資料 5‐1	 
福島事故では深層防護のどこに問題があったか（平成２４年５月８日	  原子力安全部会第２回福島事故セミナー）
原子力安全部会・部会長	  阿部清治
１．安全確保策と深層防護の関係
福島事故では深層防護のあちこちで安全確保策の不十分さが見られた。どこにそういう不十分さがあったかは２章で論じるが、ここではその準備として、これまでのわが国の安全確保策を深層防護と結びつけて図１に示す。

図１	  安全確保策と深層防護の関係
図で縦方向は、安全確保のための各活動を挙げている。
安全は、適切な安全設計と適切な安全管理（マネジメント）によって担保される。そして、安全設計では、(1) 安全に関係する個々の構築物・系統・機器（Structures, Systems and Components：SSC）が適切に設計･製作されること（図の上から 3 段目、設計指針の要求）と、(2) そういう SSC で構成されるプラントシステムが、全体として十分な安全性能を示すこと（図の上から 2 段目、評価指針の要求）が求められる。
1	  図の最上段は安全管理に関わるものである。安全管理は広範なものであり、図には示していないが、保守管理や運転管理に係る諸活動が含まれる。
図の最下段は「事故故障の誘因の考慮」である。これについては本章の末尾に記述する。	  次に深層防護の各レベルについて説明する。図で横方向は、事象が厳しくなっていく状況、あるいは、発生頻度が低くなっていくことを示している。
第１のレベルは、そもそもの発端となる異常や故障等のトラブルの発生を防止することである。そのためには、実証された技術に基づいて十分裕度のある設計を行うこと、必要に応じ地震や飛来物等の外的誘因事象に対する防護設計を行うこと、高い品質管理システムに基づいて保守管理を行うこと等が図られる。
第１のレベルの設計要求は、設計指針に示されている。
第２のレベルは、トラブルが起きた場合にそれを直ちに検知して対応することにより、それが事故に発展するのを防ぐことである。具体的には、運転パラメータがある許容範囲を超えた時に制御棒を自動挿入して原子炉を停止すること等である。（ただし、「事故」の中には、軽度なトラブルが発展して事故になるものの他、原子炉冷却系配管の破断のように、初めから事故のものがある。）
第３のレベルは、万一の事故に備えて、その影響の緩和を図ることである。例えば、原子炉冷却系の配管が破断し、冷却水が流出して炉心が空焚きになるような事故（冷却材喪失事故。Loss-of-Coolant Accident：LOCA）に対して非常用炉心冷却系（Emergency CoreCooling System：ECCS）を用意しておくこと、また、放射性物質の環境への放出を防ぐために頑丈で機密性の高い格納容器を用意しておくこと、格納容器が内圧によって破損するのを防止するために格納容器冷却系を用意すること等がこれに対応する。
第２、第３のレベルの安全性能要求は、評価指針に示されている。原子力施設で起き得るさまざまな事象のうち、幾つかの代表的事象を選定し、それらを推定される発生頻度によって「運転時の異常な過渡変化」と「事故」に分類する。その上で、これらの各事象が起きたと想定して事象の進展解析を行い、すべての解析結果が「運転時の異常な過渡変化」及び「事故」それぞれに対して用意した「判断基準」を満たせば、施設全体として十分な安全設計がなされていると判断される。ここで想定される「事故」が、いわゆる「設計基準事故（Design Basis Accident：DBA）」である。
第４のレベルは、シビアアクシデント対策である。これは、安全設計での想定を超えて原子炉の炉心が損傷するようなシビアアクシデントが、起きそうになってしまった、あるいは、起きてしまったあとの対処策である。
わが国ではこのレベルの安全対策は従来直接的な規制の対象とはされておらず、事業者の自主保安の一環として実施されるアクシデントマネジメント（Accident Management：2AM）であると位置づけられている。
AM 策の第１は炉心損傷の発生防止である。万一設計の想定を超えた事象が発生し、あらかじめ設計で考えていた安全系の設備だけでは事故の拡大が困難な場合には、安全系以外の既存設備を有効利用することによって、あるいは、新たにつけくわえる設備によって、炉心が損傷するのを防止しようとすることである。これらはフェイズ１の AM と呼ばれている。
炉心が損傷したあとであっても、その拡大を防止し、影響を緩和するために、様々な対処策が考えられる。溶融炉心を冷却するための対処策（たとえば、代替注水）や、放射性物質に対する最後の工学的障壁である格納容器が破損しないための対処策（たとえば、格納容器ベンと）が考えられている。水素爆発を防ぐためにイグナイタ（点火器）を取り付けて水素を計画燃焼させること等も考案されている。これらはフェイズ２の AM と呼ばれている。
なお、DBA を超してしまった状況を DBA 超過（Beyond DBA：B-DBA）と呼ぶが、その中にはまだシビアアクシデントに至っていない場合（上述フェイズ１に相当）とシビアアクシデントに至ってしまった場合（上述フェイズ２に相当）とがある。前者については、レベル３の中に分類する人もレベル４の中に分類する人もいる。
更に補足説明をすれば、一口に DBA と言っても、同じものを指していない。「非常用炉心冷却系性能評価指針」は、ECCS という特定の系統の設計要求を示す指針であるが、評価指針の下位指針として位置づけられており、かつ、「いわゆる DBA 条件」に対する設計の妥当性を判断する代表的指針である。これに対して、設計指針には「制御室の居住性」や「可燃性ガス制御系」に係る設計要件が入っているが、これらの設備･系統の DBA としては立地評価事故条件が用いられている。即ち、「DBA」について論じるには、「どの SSCについて、どういう事故条件を適用するのか」を確認することが必要である。
第５のレベルは敷地外対応である。図１では第４のレベルの右側に示してあるが、第５のレベルは必ずしも第４のレベルを超した状況ではない。いずれもシビアアクシデントを対象としたもので、敷地内の対応をレベル４、敷地外の対応をレベル５と分類しているものである。
第５のレベルの要求事項は、具体的には、プラントから敷地境界までの距離が十分大きいこと（「敷地設計」と言っていい）と、敷地外で必要に応じ防災対策（退避及び避難）が実施されることである。
ここで立地指針について説明しておくと、これは、施設の立地条件と敷地の広さが適切であることを判断するためのものであり、原則的立地条件として以下の３項目を挙げている。

3

① 大きな事故の誘因となるような事象が過去においてなかったことはもちろんであるが、将来においてもあるとは考えられないこと。また、災害を拡大する事象も少ないこと。
②

原子炉は、その安全防護設備との関連において十分に公衆から離れていること。

③

原子炉の敷地は、その周辺も含め、必要に応じ公衆に対して適切な措置を講じうる環境にあること。

このうち①は、敷地周辺の環境条件が施設の安全に影響を及ぼさないための要求である。
この要求は、実際には、多様な外的事象についてハザードの評価を行い、その発生頻度が一定レベルを超えるようであれば当該ハザードに対する防護設計を行うことで解決される。
即ち、立地指針に記載はされているものの、実際には設計において対応される。
②及び③は、施設で発生し得る大きな事故が敷地周辺の社会環境に影響を及ぼさないための要求である。②については、「重大事故」、「仮想事故」という２通りの立地評価事故を想定し、それらについて決定論的安全評価を行い、結果が判断基準を満足すれば施設は公衆から十分に離隔されていると判断する。なお、私見であるが、これらの想定事故は立地（Siting）の妥当性を判断するものではなく、敷地（Site）の妥当性を判断するものであるから、「敷地評価事故」（英語では元々、Site Evaluation Accident）と呼ぶべきものである。
③については防災指針等に要件が定められている。
さて、図１の最下段にある「事故故障の誘因の考慮」であるが、原安委の設計指針は基本設計に係る要件を記述するものであり、そこには設計にあたり考慮すべき事故の誘因事象がまとめられている。しかし、地震や津波といった外的誘因は、AM や防災といった後段の安全対策にも影響を及ぼし得るものである。
実際、福島事故では、以下に述べていくが、地震･津波といった外的誘因が、また、シビアアクシデントが引き起こした水素爆発や高放射線環境が、後段の安全対策に大きな障害をもたらした。この問題について事前にきちんとした考慮がなされていなかったことは大きな反省点である。
２．福島事故で見られた問題点
福島事故では、深層防護の重要性が再認識されるとともに、しかし一方で、各段の安全対策には脆弱性があったことが明らかになった。
まずは全体を見渡せば、原子力安全は安全設計と安全管理（マネジメント）によって担保されるが、深層防護の後段に行くほど安全管理の役割が大きくなる（図１の右上部分のAM や防災）。そうした前提の下で、シビアアクシデントに対しては、安全管理を助けるものとの位置づけで設計を考えるべきではなかったか（→論点１）、シビアアクシデント対策
4の分野で、設計と管理の役割分担、あるいは、設計者と運転者の理解の共有はどうあるべきか（→論点１）といった問題を検討する必要がある。	 
それから、真反対のことを言うようであるが、具体的に考えられることについては、具体的な安全対策が必要であり、具体的に考えるのが困難なこと（テロ等）についても、何らかの対策が必要である。
安全確保策を考えていく上では、①どのような事故でもこういう現象に至るはずだから、それに沿って対策を考えよう（たとえば、シビアアクシデント全般に関する安全対策）というのが従来の考え方であったと思われる。	 
しかしながら、②地震や津波などの外的誘因によって事故が起きる場合は、誘因ごとに事故進展や事故影響が変わることに留意してより緻密な対策を立てること（たとえば、地震や津波の影響を考慮しての物資の運搬手段）が必要である（→論点４）。
しかし一方で、③具体的に考えるのが困難なこと（テロ等）についても、何らかの対策が必要であり、そのためには、安全設計だけでなく、オンサイト、オフサイトの対応まで含めての総合的対応を考えておくことにより、何が起きても最低限の対処はできるようにしておくことが必要である（→論点１）。
シビアアクシデント対策の重要性も再認識された。そこでは、実際のシビアアクシデン
ト条件下でのアクシデントマネジメント（AM）の困難さについては認識が不十分だったことも明らかになった。そこでは、DBA に対処するに当たって安全側に想定したことがシビアアクシデントではかえって障害になったという例も見られた。たとえば 1 号機では、閉じ込め機能を優先させるため、直流電源喪失時に非常用復水器の弁が自動閉になって炉心冷却を困難にした。今後は、DBA 対処からシビアアクシデント対処まで含めての最適設計はどうあるべきかについての 検討が必要である（→論点２)。
また、これは個別課題であるが、水位計はシビアアクシデント条件下では正しい値を示さないこともわかった（→第 3 回セミナーでの論点）。制御室は、シビアアクシデント時の対応をするに困らない居住性を有しなければならないが、必ずしもその条件が満たされていないこともわかった。今後こういう個別課題の検討も必要である。
「共通原因故障」対策の重要性も再認識されている。共通原因の代表例は「外的事象」であるが、わが国の規制ではこれまで、地震を除き、それぞれの外的事象についての安全対策や規制に具体性が欠けていた（→論点４）。また、外的事象については、経験（歴史地震や歴史津波などのデータを含む）を超える、いわゆる「低頻度事象」についての対策が不十分であった。（→論点５）
ところで、共通原因故障に対して最も効果的な安全設計は「多様性（Diversity）」である
5

が、福島事故ではその重要性も再認識された。ただし、多様性については従来、原安委の設計指針に「同一の機能を有する異なる性質の系統又は機器が２つ以上あること」と定義されているように、異なる原理の設計を指していた。しかしながら今回の事故は、「据え付け位置の多様性」も重要であることを示している。	 
安全設計においては、多重性、多様性、独立性が要求される。ここで多重性については、「単一故障を仮定しても安全機能を果たすこと」という明確な規制要求があるし、独立性は実際には難しい問題もあるが、概念としてわかりやすいものである。これに対して多様性は、どのような多様性を考えるべきなのか、また、どれほどの多様性であれば十分なのか。多様性はあるいは、設計だけでなくマネジメントまで含めて考えるべきか。いずれにしても、事故を踏まえれば検討の余地がある問題と思われる。
このほかの問題としては、原子炉に直結しない設備の設計要件を定めることが必要である。使用済み燃料プールの設計基準や AM、外的誘因に対する防護設計（たとえば、防潮堤や水密扉）、情報伝達に必要な設備（たとえば、Safety Parameter Display System：SPDS）、環境モニタリングのための設備などである（→外的誘因に対する防護設計については論点
４及び５、残りはいずれも第４回セミナーでの論点）。
施設の外の問題としては、防災対策の重要性が再認識されている。福島事故では、これまでの我が国の原子力防災に実効性が低かったことも、住民への情報伝達にも問題があったことも明らかになった（→いずれも、第４回セミナーでの論点）。
それから、事故後にはそれこそ「雨後の筍」のように、様々な安全対策や安全研究が提案されているが、それらが本当に安全の向上に効果的なものなのかどうかについては冷静な判断が必要である。実際には役に立たない安全対策や安全研究にリソースを割くことは、むしろ安全を低下させるものである。
実効的規制のためには「こうでなければならない！」型の詳細規則は廃して、実態として有効な対策であればよい、詳細仕様は事業者の責任でよい、との「性能規定化」が大事であると認識されていたはずである。今後有効な安全対策を整備していくためには、性能規定化の原則に従うべきである（→論点３）。
一方、PSA の結果として得られる「リスク情報」と、既に提案されている安全目標及び性能目標の活用がも必要である。
PSA については、わが国ではこれまで、いわゆる内的事象（対象はランダム事象だけであり、施設内で生じる溢水、火災、タービンミサイル等を含まない）と地震についてのもの以外には、ほとんど実施されていない。また、リスク情報の活用も、地震 PSA の結果が耐震指針の強化の基になったことを除き、ほとんどなされていない。
6

外的誘因に対する防護設計については、種々の外的誘因（地震、津波、航空機落下、火災、テロ、・・・）に対し、原則としては共通の考え方が必要であるとともに、その上で、個々の外的誘因は個々の影響をもたらす、必要な設備も異なること等を考えて、対応が必要である（→論点６）。-。	  以上述べてきたことを踏まえて、今回の第２回セミナーでの論点を挙げれば次のようになる。
・論点１：設計とマネジメントの関係を明確にし、また、外的事象やシビアアクシデン
トまで対象としての、包括的な安全対策はどうあるべきか。深層防護の後段ほど、設計以上にマネジメントの役割が大きい。まずマネジメントのあり方を考え、しかる後に設計要件を考えるべきではないか？
・論点２：設計における「相反性」をどう考えるか。
・論点３：実際に有用な AM 策及びそのための設備の整備を図るべきではないか。
・論点４：それぞれの外的誘因を考慮しての安全対策と規制が必要ではないか。
・論点５：外的誘因については、経験データでカバーされない低頻度事象にも対策が必要ではないか。
・論点６：それぞれの外的誘因を考慮したとしても、目指すべき共通の安全レベルがあるのではないか。また、確率論的安全評価と決定論的ルールの関係を再確認して基準を策定するべきではないか。
３．各論点についての説明	  以下、各論点について説明する
論点１：設計とマネジメントの関係を明確にし、また、外的事象やシビアアクシデントまで対象としての、包括的な安全対策はどうあるべきか。深層防護の後段ほど、設計以上にマネジメントの役割が大きい。まずマネジメントのあり方を考え、しかる後に設計要件を考えるべきではないか？
従来のシビアアクシデント対策は、設計基準内の安全性に悪影響を及ぼさないことを前提としてなされていた。しかし一方、福島事故の教訓だけに基づいてこれまでの設計基準事象を蔑ろにするのも合理性を欠く。外的事象対策、シビアアクシデント対策を含め、最適な安全対策はどう考えたら良いか？
また、プラント設計を幾ら頑健にしても限界がある。安全設計だけでなく、オンサイト、オフサイトの対策を含めた総合的な体制を考えた上で、プラント設計の強化・改善を図るべきではないか？

7

論点２：設計における「相反性」をどう考えるか。
1 号機の非常用復水器（Isolation Condenser：IC）は冷却材喪失事故（LOCA）を防ぐための、破断検出回路動作（直流喪失による発信）により隔離。結果として炉心冷却の喪失となった。格納容器ベントは、隔離機能重視でラプチャーディスクを設置し、フェイルクローズ設計として AO 弁を採用したため、事故状況下での開操作が困難だった。いずれも、閉止することを最大目的としていた系統が必要なタイミングで開けなかったという問題である。
これは、スリーマイル島（Three Mile Island：TMI）２号機事故における加圧器逃し弁（Pilot Operated Relief Valve：PORV）開固着とも共通の問題である。開くことを優先すれば閉じることに失敗しやすく、閉じることを優先すれば開くことに失敗しやすい。こうした「相反性」を考慮したうえでの最適設計はどうあるべきか？
論点３：実際に有用な AM 策及びそのための設備の整備を図るべきではないか。
AM 設備は、設計基準を超えた想定の難しい事態でのマネジメントが目的のため、詳細な仕様規格を定めて適用することは適切でない。設備の追加改善においても、時間のかかる安全審査や工事認可手続きはむしろ早期実用化を阻むことにもなる。
今後シビアアクシデント対処設計の規制要件化が進められるであろうが、規制側としてAM 設備についての性能要求を明示するとともに、その具体化においては事業者の自主的考案を奨励すべきではないか。
論点４：それぞれの外的誘因を考慮しての安全対策と規制が必要ではないか。
現行設計指針では、考慮すべき外的誘因は明記しているものの、地震を除き、個々の外的誘因に対しての設計要求は必ずしも具体的でない。全体として、故障はランダムに起きるという発想で書かれている。
深層防護の第 1 のレベル「機器の信頼性確保」ではある程度外的誘因を考えているものの、後段のレベルでは外的誘因の影響を考えていない。後段まで対象として、有意なすべての外的誘因を考慮しての安全対策と規制を考えるべきではないか？
そのためには問題を分析するための方法論が必要であるが、「外的誘因についての PSA」とか「外的誘因についてのストレステスト」など、安全対策や規制を考えるための手法は既に成熟しているのではないか？（注：PSA の手法としては、故障はランダムに起きると仮定する「内的事象 PSA」と、故障は特定誘因によって起きるとする「外的事象 PSA」がある。）そうした手法を用いて、外的誘因を包括的に考慮しての PSA（Individual Plant8

Examination of External Events：IPEEE）の実施が必要ではないか？
論点５：外的誘因については、経験データ（歴史地震、歴史津波など）でカバーされない低頻度事象にも対策が必要ではないか。
東京電力を含め各原子力事業者は、土木学会の「原子力発電所における津波評価技術」を参照して自主的対応として設計基準とする津波高さを高くした。（こうした自主努力はむしろ推奨される行為である。）しかし、土木学会の手法で評価の基になっているのは、1611年～1978 年の歴史津波（記録として残っている津波高さ：既往津波）である。そこではある程度安全裕度は考慮していたものの、複数津波源が同時に動くことは考えられていない。
結果として、400 年の歴史津波の最高津波高さ程度の津波が津波対策の基準となった。	 
ところで、原安委の「設計指針」の指針２には「自然現象に対する設計上の考慮：安全機能を有するSSCは、予想される自然現象のうち最も苛酷と考えられる条件・・・を考慮した設計であること」とある。そして、その解説には「 予想される自然現象のうち最も苛酷と考えられる条件」とは、「過去の記録の信頼性を考慮のうえ、少なくともこれを下回らない苛酷なものであって、統計的に妥当とみなされるものをいう」とある。土木学会の手法はまさに、「過去の記録の信頼性を考慮のうえ、少なくともこれを下回らない苛酷なものであって、統計的に妥当とみなされるもの」として400年間の歴史津波を参照したものであり、原安委の指針を忠実に反映したものと言える。	 
「ある参照期間における最大値がほとんど10万年間（格納容器破損についてのわが国の性能目標に相当する期間）における最大値と同レベルである」と、別途技術的に結論付けられる場合は、参照期間は短くてもよい。しかし、これは参照期間と10万年の間で起きることがほぼ同じである場合に限られる。参照期間の中では津波波源の連動はなく、それより長期では連動があり得るような場合にはこうした取り扱いは不適切である。	 
原子力安全の第一の責任は設置者にあるから、津波の過小評価についても東電の責任が免れるわけではないが、これは規制側も、あるいは原子力界が全体として、見逃した問題である。	 	 
同じような問題は、「設計指針」の指針 27「電源喪失に対する設計上の考慮」にもある。
そこでは、「原子力施設は、短時間の全交流電源喪失に対して、原子炉を安全に停止し、かつ、停止後の冷却を確保できる設計であること」とあるが、その解説には「長期間にわたる全交流電源喪失は、送電線の復旧または非常用交流電源設備の修復が期待できるので考慮する必要はない」とある。これも、短期間の経験データからのみ得られた結論であり、低頻度で起きる外的誘因まで含めた安全対策を考える上では不適切だったと考えられる。

9

論点６：それぞれの外的誘因に対処する安全設計については、PSA の結果も参照して判断基準を策定するべきではないか。
それぞれの外的誘因について、まずはハザードを評価し、それが一定値を超えるなら、設計基準ハザード（Design Basis Hazard：DBH）を定めた上で、それに耐えるような設計を用意するという考え方は共通であると思われる。また、DBH を定めるにあたっては、図２に示すように、定量的安全目標（個人の死亡リスク：10-6/年）、原子力発電所の性能目標（格納容器破損頻度：10-5/年、炉心損傷頻度：10-4/年）を参考にすべきと思われる。
たとえば耐津波設計を考えるにあたっては、防潮堤や水密扉（といった SSC）や、波が遡上しないような敷地設計を考えることになろうが、そこでは、防潮堤の設計のために設定する設計津波の高さと、水密扉の設計のために設定する設計津波の高さは当然に異なることも念頭に、施設の中にある安全上重要な SSC を守るための対策を総合的に考えることが必要である。

図２	  防潮堤や水密扉の設計基準津波はどう決める？

10