島根原子力発電所２号機

デジタル安全保護回路のソフトウェア共通要因故障緩和対策に関する要件整合報告書（詳細設計）

２０２４年４月１８日
中国電力株式会社

改訂来歴
改訂番号

改訂年月日

改訂内容

備考

初版

2024/4/18

新規作成－－以下余白－

島根原子力発電所２号機 デジタル安全保護回路のソフトウェア共通要因故障緩和対策に関する要件整合報告書（詳細設計）
目次頁
Ⅰ．本文 …………………………………………………………………………………………… 1
Ⅱ．添付書類 ……………………………………………………………………………………… 25

Ⅰ．本文

1

島根原子力発電所２号機におけるデジタル安全保護回路のソフトウェア共通要因故障（以下、「ソフトウェア CCF」という。）緩和対策について、「原子力発電所におけるデジタル安全保護回路のソフトウェア共通要因故障緩和対策に関する技術要件書（ATENA 20-ME05 Rev.1）」（以下、「ATENA 技術要件書」という。）
が定める「３．多様化設備要件」及び「４．有効性評価」の各要求内容に対する要件整合性の確認を行った。なお、各要求内容に対する要件整合性の確認は、多様化設備に期待しない前提で行った。
また、「５．手順書の整備と教育及び訓練の実施」の各要求内容に対する要件整合報告書については、本報告書の対象外とする。
１．確認方法（１）「３．多様化設備要件」
有効性評価により、ATENA技術要件書「3.1る要件整合性の確認を行う。

設置要求」の要求内容に対す【要求内容】ATENA 技術要件書より
3.1 設置要求
デジタル安全保護回路を設ける場合には，代替機能を有する多様化設備を設置しなければならない。
ただし，ソフトウェア CCF が発生するおそれがない場合，若しくは運転時の異常な過渡変化又は設計基準事故が発生し，かつ安全保護回路の一部がソフトウェアにより作動するものがある場合で，当該ソフトウェアが機能しない場合を想定しても，他の安全保護回路の安全機能が作動することにより設計基準事故の判断基準を概ね満足することが有効性評価により確認できる場合には，多様化設備を設けなくてもよい。

なお、要件整合性の確認にあたっては多様化設備に期待しないものとし、ソフトウェアCCFを想定する安全保護回路のデジタル部の範囲を特定したう
えで、ソフトウェアCCFを考慮すべき事象（運転時の異常な過渡変化及び設計基準事故）を有効性評価の対象として選定する。
（２）「４．有効性評価」
有効性評価は、選定したソフトウェアCCFを考慮すべき事象に対して、代表ABWRプラントの有効性評価に対する定性的な評価を行う。
代表ABWRプラントの有効性評価のうち、選定したソフトウェアCCFを考慮すべき事象に対して、ATENA技術要件書「４．有効性評価」の各要求内容に対する要件整合性の確認を行う。
２．確認結果（１）「３．多様化設備要件」
ａ．島根原子力発電所２号機の安全保護回路について2

（ａ）安全保護回路の概要
安全保護回路（安全保護系）は、「原子炉停止回路（原子炉保護系）」
及び「その他の主要な安全保護回路（工学的安全施設作動回路）」で構成される。安全保護回路は、運転時の異常な過渡変化が発生する場
合において、その異常な状態を検知し及び原子炉保護系その他系統と併せて機能することにより、燃料要素の許容損傷限界を超えないようにできるものとするとともに、設計基準事故が発生する場合において、その異常な状態を検知し、原子炉保護系及び工学的安全施設を自動的に作動させる設計としている。
（ｂ）安全保護回路のデジタル部について
島根原子力発電所２号機の安全保護回路は、検出信号処理において
一部デジタル演算処理を行う機器がある他は、アナログ回路で構成している。また、安全保護回路とそれ以外の設備との間で用いる信号はアナログ信号（接点信号含む。）である。
安全保護回路の構成機器のうち、デジタル処理部のある機器として平均出力領域モニタ（APRM）及びプロセス放射線モニタ（PRM）がある。
安全保護回路の構成機器のうちデジタル処理部のある機器を表1及び表2に、概略構成を図1に示す。
表1

原子炉保護系の構成機器

原子炉スクラム信号の種類

検出器

設定器

原子炉圧力高アナログ

アナログ

原子炉水位低（レベル３）

アナログ

アナログ

格納容器圧力高

アナログ

アナログ

平均出力領域計装

アナログ

デジタル

中間領域計装アナログ

アナログ

平均出力領域計装

アナログ

デジタル

中間領域計装

アナログ

アナログ

中性子束高
中性子計装不作動

アナログ（接点）

スクラム排出水容器水位高

アナログ

アナログ

主蒸気隔離弁閉アナログ（接点）

主蒸気止め弁閉アナログ（接点）

蒸気加減弁急速閉

アナログ（接点）

主蒸気管放射線高

アナログ

デジタル

地震大

アナログ（接点）

手動

アナログ（接点）

原子炉モード・スイッチ「停止」位置

アナログ（接点）3表2

工学的安全施設作動回路の構成機器

機能

信号の種類

検出器

設定器

原子炉水位低（レベル２）

アナログ

アナログ

主蒸気管圧力低

アナログ

アナログ

主蒸気管流量大

アナログ

アナログ

復水器真空度低

アナログ

アナログ

主蒸気管放射線高

アナログ

デジタル

主蒸気管周囲温度高

アナログ

アナログ

主蒸気隔離弁以外の主要 格納容器圧力高

アナログ

アナログ

な隔離弁閉鎖原子炉水位低（レベル３）

アナログ

アナログ

原子炉棟排気放射線高

アナログ

デジタル

燃料取替階放射線高

アナログ

デジタル

格納容器圧力高

アナログ

アナログ

原子炉水位低（レベル３）

アナログ

アナログ

アナログ
高圧炉心スプレイ系及び 格納容器圧力高
同ディーゼル起動
原子炉水位低（レベル１Ｈ） アナログ

アナログ

主蒸気隔離弁閉鎖

非常用ガス処理系起動

アナログ

格納容器圧力高

アナログ

アナログ

原子炉水位低（レベル１）

アナログ

アナログ

格納容器圧力高

アナログ

アナログ

原子炉水位低（レベル１）

アナログ

アナログ

格納容器圧力高

アナログ

アナログ

原子炉水位低（レベル１）

アナログ

アナログ

非常用ディーゼル発電機 格納容器圧力高
起動
原子炉水位低（レベル１）

アナログ

アナログ

アナログ

アナログ

低圧炉心スプレイ系起動
低圧注水系起動自動減圧系作動図1

安全保護回路の概略構成
4

ｂ．島根原子力発電所２号機
多様化設備設置要否について（ａ）多様化設備設置要否を考慮すべき事象について
島根原子力発電所２号機の安全保護回路は、表1及び表2に示すとおり検出信号処理において一部デジタル演算処理を行う機器がある。そのため、多様化設備設置要否を考慮すべき対象は、「運転時の異常な過渡変化」又は「設計基準事故」のうち、デジタル安全保護回路に収束を期待している事象となる。表3にその整理結果を示す。
（ｂ）多様化設備設置要否について
表3に示すとおり、アナログ安全保護回路に収束を期待している事象については、ソフトウェアCCFを考慮する必要がないため、多様化設備の設置は不要となる。
一方、デジタル安全保護回路に収束を期待している事象については、
ソフトウェアCCFを考慮すべき事象であるが、添付１－１及び添付１－２に示すとおり判断基準を概ね満足できることから多様化設備の設置は不要である。
表3

多様化設備設置要否を考慮すべき事象について（1/2）
事象収束に期待する安全保護回路等

事象
原子炉停止回路

運
転
時
の
異
常
な
過
渡
変
化

工学的安全施設作動回路

考慮
要否

原子炉起動時における制御棒の異常な引き抜き

原子炉スクラム（中間領域計装の中性子束高信号）

アナログ

－

－

否

出力運転中の制御棒の異常な引き抜き

制御棒引抜監視装置による制御
棒引抜阻止信号※１

デジタル

－

－

要

原子炉冷却材流量の部分喪失－（原子炉スクラムに至らない）

－

－

－

否

原子炉冷却材の停止ループ
誤起動－（原子炉スクラムに至らない）

－

－

－

否

外部電源喪失原子炉スクラム（主蒸気止め弁
閉信号）

アナログ

－

－

否

給水加熱喪失原子炉スクラム（平均出力領域
計装の中性子束高（熱流速相当）
信号）

デジタル

－

－

要

原子炉冷却材流量制御系の誤動作

原子炉スクラム（平均出力領域
計装の中性子束高信号）

デジタル

－

－

要

負荷の喪失

原子炉スクラム（蒸気加減弁急
速閉信号）

アナログ

－

－

否

主蒸気隔離弁の誤閉止

原子炉スクラム（主蒸気隔離弁
閉信号）

アナログ

－

－

否

給水制御系の故障

原子炉スクラム（主蒸気止め弁
閉信号）

アナログ

－

－

否

原子炉圧力制御系の故障

原子炉スクラム（主蒸気隔離弁
閉信号）

アナログ

－

－

否

給水流量の全喪失

原子炉スクラム（原子炉水位低（レベル３）信号）

アナログ

－

－

否

5

表3

多様化設備設置要否を考慮すべき事象について（2/2）
事象収束に期待する安全保護回路等

考慮
要否

事象
原子炉停止回路

アナログ

自動減圧系（格納容器圧力高信号及び原子炉水位低（レベル１）信号）
高圧炉心スプレイ系（原子炉
水位低（レベル１Ｈ）信号）
低圧炉心スプレイ系及び低圧注水系（原子炉水位低（レベル１）信号）

アナログ

否

アナログ又
はデジタル

否

原子炉冷却材の喪
失又は炉心冷却状態の著しい変化

原子炉スクラム（原子炉水位
低（レベル３）信号）

環境への放射性物
質の異常な放出

原子炉スクラム（原子炉水位
低（レベル３）信号）アナログ

非常用ガス処理系（原子炉水位低（レベル３）信号、格納容器圧力高又は原子炉棟排気放射線高信号）

原子炉格納容器内
圧力、雰囲気等の
異常な変化

－

－

－

－

否

原子炉冷却材流量の喪
失

原子炉スクラム（主蒸気止め
弁閉信号）

アナログ

－

－

否

原子炉冷却材ポンプの軸固着

原子炉スクラム（主蒸気止め
弁閉信号）

アナログ

－

－

否

反応度の異常な投入又は原子炉出力の急激な変化

原子炉スクラム（中間領域計
装の中性子束高信号）※２

アナログ

－

－

否

環境への放射性物
質の異常な放出

原子炉スクラム（中間領域計
装の中性子束高信号）※２

アナログ

主蒸気隔離弁閉（主蒸気管放射線高信号）

デジタル

要

－

－

排気筒モニタ放射線高※３－

否

原子炉スクラム（主蒸気隔離
弁閉信号）

アナログ

主蒸気隔離弁閉（主蒸気管流
量大信号）

アナログ

否

燃料集合体の落下－－

非常用ガス処理系起動（燃料取替階放射線高信号）

デジタル

要

可燃性ガスの発生

－

－

－

－

否

動荷重の発生

－

－

－

－

否

原
子
炉
冷
却
材
喪
失

設
計
基
準
事
故

工学的安全施設作動回路

制
御
棒
落
下

放射性気体廃棄物処理施設の破損
主蒸気管破断※１：安全保護回路ではないが、APRMが入力信号として使用されている。
※２：設置許可添付書類十の設計基準事故解析では、原子炉スクラム（中間領域
計装の中性子束高信号）は保守的に期待していないが、中間領域計装がデジタル化されていないため本機能に期待できる。
※３：警報発生信号であり、工学的安全施設の自動起動信号ではない。
【ATENA技術要件書の各要求内容】
3.1 設置要求（２）「４．有効性評価」
有効性評価に対する要件整合性について、以下に示す技術要件書の各要求内容に対して確認を行った。具体的には、代表ABWRプラントの有効性評価の6

うち、島根原子力発電所２号機でソフトウェアCCFを考慮すべき事象に対して、有効性評価図書（「沸騰水型原子力発電所 デジタル安全保護回路のソ
フトウェア共通要因故障影響緩和対策の有効性評価書※」TLR-100、HLR-129、
東芝エネルギーシステムズ株式会社、日立GEニュークリア・エナジー株式会
社、2022年10月）（添付１－１）及び有効性評価図書の補足資料「BWR5の安全保護回路ソフトウェアCCFの有効性評価補足説明」（添付１－２）より、ソ
フトウェアCCFを考慮すべき事象に対していずれも判断基準を満足するものであった。有効性評価結果の概要について表4に示す。
※：本図書では、代表ABWRプラントの解析結果及びそれらを基にしたBWRプ
ラントの有効性評価の検討結果を記載しており、島根原子力発電所２号機の有効性評価は包含される。
表4 有効性評価結果の概要
評価事象

評価結果概要出力運転中の制御棒の異

原子炉の出力運転中に運転員の誤操作による制御棒１本の連続引き抜

常な引き抜ききにより、出力が徐々に増加する事象である。BWR5はABWRのような制御棒のギャング引き抜きモードがなく、制御棒１本の誤引き抜きであり、炉心平均の出力及び原子炉圧力の増加は僅かであり、代表ABWRプラントと同様に判断基準を満足する。

給水加熱喪失
運
転
時
の
異
常
な
過
渡
変
化

原子炉の出力運転中に炉心入口サブクーリングが増加し原子炉出力が上昇する事象である。原子炉圧力の増加及び原子炉水位の低下は僅かであり、主蒸気隔離弁閉条件には至らず、主蒸気隔離弁の誤閉止に包絡される。主蒸気隔離弁の誤閉止は、重大事故等対策の有効性評価で確認済であり、これらの事象はその結果に包絡される。

原子炉冷却材流量制御系

原子炉の出力運転中に再循環流量制御系の故障により再循環流量が増の誤動作

加し原子炉出力が上昇する事象である。炉心流量の増加に伴い中性子束が一時的に増加するが、反応度フィードバックにより出力上昇は抑えられ、炉心流量に見合った出力状態に整定する。また、原子炉圧力の増加
及び原子炉水位の低下も制御され主蒸気隔離弁閉条件には至らず、主蒸気隔離弁の誤閉止に包絡される。主蒸気隔離弁の誤閉止は、重大事故等対策の有効性評価で確認済であり、これらの事象はその結果に包絡され
る。

設
計
基
準
事
故

制御棒落下（被ばく評価） 環境への放射性物質の異常な放出については、BWR5においても代表ABWR
プラントと同様に現実的な評価条件により判断基準を満足する。
燃料集合体の落下（被ばく評価）なお、ATENA技術要件書「４．有効性評価」の各要求内容に対する要件整合7

の確認結果については表5に示す。
【ATENA技術要件書の各要求内容】
4.2 評価すべき事象
4.3 判断基準
4.4 解析に当たって考慮すべき事項
３．まとめ
島根原子力発電所２号機におけるソフトウェアCCF緩和対策について、ATENA
技術要件書に基づき要件整合性の確認を行った。
その結果、代表ABWRプラントの有効性評価結果より、ソフトウェアCCFを考慮すべき事象において判断基準を満足することが確認できたことから、多様化
設備の設置は不要である。

8

表 5 「4．有効性評価」に関する要件整合性確認表（1/16）（判定記号）〇：整合有 －：該当なし

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
記載内容（概要）

要求内容

要件整合性
判定

理由

有効性評価図書

4.2 評価すべき事象
運転時の異常な過渡変化及び設計基準事故

多様化設備は安全保護回路の代替機の全事象を対象に評価。

能を有する設備であるため、「運転時の異常な過渡変化」及び「設計基準

運転時の異常な過渡変化及び設計基 4.1 評価対象の整理（P.4-1）〇

準事故の全事象を対象としている。

添付 2 代表プラント以外への適用性（添付表 2-1、添付表 2-2）事故」の全事象を対象としている。
ソフトウェアCCFが同じ影響を与える事象評価すべき事象において、グルーピン

はグルーピングすることができる。なお，

グは考慮していない。

グルーピングを行う場合は，代表シナリオ

―

―

―

9

の包絡性を確認し，その妥当性を示すこと。
以下に該当する場合は解析を省略できる。
・判断基準に対して影響の程度が軽微である事象

以下の事象は判断基準に対して影響

対象事象は判断基準に対して影響の 4.1 評価対象の整理（P.4-1）の程度が軽微であるため、解析を省略

程度が軽微であることを示している。 添付 2 代表プラント以外への適している。

用性（添付表 2-1、添付表 2-2）◯運転時の異常な過渡変化

添付１－２ BWR5 の安全保護回・出力運転中の制御棒の異常な引き抜き・給水加熱喪失
・原子炉冷却材流量制御系の誤動作〇設計基準事故〇

路ソフトウェア CCF の有効性評
価補足説明

表 5 「4．有効性評価」に関する要件整合性確認表（2/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）
・制御棒落下（環境への放射性物質の異常な放出）
・燃料集合体の落下
出力運転中の制御棒の異常な引き抜
きは、原子炉の出力運転中に運転員の誤操作による制御棒１本の連続引き抜きにより、出力が徐々に増加する事
象であるが、ソフトウェア CCF が重畳

10

し制御棒引抜阻止に失敗したとしても、ABWR のギャング引き抜きとは異なり制御棒１本の誤引き抜きとなる
ため、炉心平均の出力及び原子炉圧力の増加が僅かであることから影響の程度は軽微として解析は省略する。
給水加熱喪失は、原子炉の出力運転中に給水温度が低下し炉心入口サブクーリングが増加して原子炉出力が上昇する事象であるが、ソフトウェア
CCF が重畳しスクラムに失敗したとしても、他事象よりも出力変化が緩や

要件整合性
判定

理由

有効性評価図書表 5 「4．有効性評価」に関する要件整合性確認表（3/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）
かであり原子炉圧力及び原子炉水位が制御されることから、影響の程度は軽微として解析は省略する。
原子炉冷却材流量制御系の誤動作は、原子炉の出力運転中に再循環流量制
御系の故障により再循環流量が増加
し原子炉出力が上昇する事象であるが、ソフトウェア CCF が重畳しスクラ

11

ムに失敗したとしても、原子炉出力は
炉心流量に見合った出力に整定し、原子炉圧力及び原子炉水位も制御されることから、影響の程度は軽微として解析は省略する。
制御棒落下（環境への放射性物質の異常な放出）及び燃料集合体の落下は、
ソフトウェア CCF が重畳した場合においても、現実的な評価条件を考慮することで判断基準を満足すると判断できることから、影響の程度は軽微として解析は省略する。

要件整合性
判定

理由

有効性評価図書表 5 「4．有効性評価」に関する要件整合性確認表（4/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
記載内容（概要）

要求内容
・グルーピングしたグループ内の代表事象―に包絡される事象
・デジタル安全保護回路の動作を期待しな
い事象（判定記号）〇：整合有 －：該当なし

要件整合性
判定
―

理由

有効性評価図書

評価すべき事象において、グルーピン―

グは考慮していない。

以下の事象はデジタル安全保護回路

対象事象がデジタル安全保護回路の 4.1 評価対象の整理（P.4-1）の動作を期待しないため、解析を省略

動作に期待していないことを示して 添付 2 代表プラント以外への適

する。

いる。

用性（添付表 2-1、添付表 2-2）【運転時の異常な過渡変化】

添付１－２ BWR5 の安全保護回・原子炉起動時における制御棒の異路ソフトウェア CCF の有効性評

常な引き抜き価補足説明

12・原子炉冷却材流量の部分喪失
・原子炉冷却材の停止ループの誤起動・外部電源喪失・負荷の喪失・主蒸気隔離弁の誤閉止・給水制御系の故障
・原子炉圧力制御系の故障
・給水流量の全喪失【設計基準事故】
・原子炉冷却材喪失（原子炉冷却材の喪失又は炉心冷却状態の著しい変〇表 5 「4．有効性評価」に関する要件整合性確認表（5/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）化）（原子炉格納容器内圧力、雰囲
気等の異常な変化、環境への放射性物質の異常な放出）
・原子炉冷却材流量の喪失
・原子炉冷却材ポンプの軸固着
・制御棒落下（反応度の異常な投入又は原子炉出力の急激な変化）
・主蒸気管破断13・放射性気体廃棄物処理施設の破損・可燃性ガスの発生・動荷重の発生

要件整合性
判定

理由

有効性評価図書表 5 「4．有効性評価」に関する要件整合性確認表（6/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）

要件整合性
判定

有効性評価図書理由

4.3 判断基準
全事象に対して判断基準は設計基準事故に判断基準として「設置許可基準規則」

代表 ABWR プラントの解析において 4.2 判断基準（P.4-1、P.4-2）

おいて使用される判断基準を準用し，その第十三条第一項第二号を準用し、解析

は、設計基準事故において使用される 5. 運転時の異常な過渡変化＋ソ判断基準を概ね満足することの確認を行によりその判断基準を概ね満足する判断基準を準用し、解析結果は「設置 フトウェア CCF の解析（各表、う。

ことを確認している。

許可基準規則」を概ね満足している。 各図）○

島根２号機における対象事象は、代表 6.2.1 制御棒落下（各表、各ABWR の結果に包絡されることを確認 図）
した事象と判断基準に対して影響が 7. まとめ（P.7-1）

14

軽微である事象であるため、判断基準 添付１－２ BWR5 の安全保護回を満足している。

路ソフトウェア CCF の有効性評
価補足説明

設備の健全性が別途確認されている原子炉

他の判断基準は使用していない。

格納容器の限界圧力，温度等の条件，及び炉心の著しい損傷防止が達成できることを適切に確認できる他の判断基準を用いても
よい。

―

―

―

表 5 「4．有効性評価」に関する要件整合性確認表（7/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）

要件整合性
判定

理由

有効性評価図書4.4 解析に当たって考慮すべき事項
最適評価コードにより，運転時の異常な過最適評価コードである TRAC 系コード

渡変化又は設計基準事故に対する評価を行を使用し評価を実施している。

うこと。

代表 ABWR プラントの解析において 4.3 解析に当たって考慮する事○

は、最適評価コードによる評価を実施 項（P.4-2）
している。

4.4 解析に使用する計算プログ
ラム（P.4-4～4-6）

保守的評価によって解析した結果が余裕をもって判断基準を満足する場合には，保守的評価を採用してもよい。

代表 ABWR プラントの解析において――は、従来より使用している保守的な評
価コード（許認可解析コード）による―

15

評価は実施していない。
4.4.1 解析にあたって考慮する範囲
有効性評価においては，事象発生前の状態 サイクル期間中の炉心燃焼変化、燃料

島根２号機は代表 ABWR プラントの解 4.3.1 解析にあたって考慮するとして，通常運転範囲及び運転期間の全域 交換等による長期的な変動及び運転析条件に包絡されており、代表 ABWR 範囲（P.4-2）

を対象とすること。

中に予想される運転状態を考慮し、全○プラントの解析においては、全ての運 4.5 解析条件（表 4-3、表 4-4、ての運転範囲及び運転期間を対象に

転範囲及び運転期間を対象に解析条 表 4-6～表 4-8）

解析条件を設定した。

件を設定している。

表 5 「4．有効性評価」に関する要件整合性確認表（8/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）

要件整合性
判定

有効性評価図書

理由

解析は，想定した事象が，判断基準を概ね満 解析範囲は、事象発生から多様化設備

島根２号機は代表 ABWR プラントの解 4.3.1 解析にあたって考慮する

足しながら，過渡状態が収束し，その後原子 の作動によって事象進展が収束しプ

析条件に包絡されており、代表 ABWR 範囲（P.4-2）

炉は支障なく安定状態へ移行できることが ラント状態が整定するまでを基本とプラントの解析においては、事象発生 5. 運転時の異常な過渡変化＋ソ

合理的に推定できる時点までを包含するこ し、安定状態へ支障なく移行できるとと。

○

から、主要パラメータが判断基準を満 フトウェア CCF の解析（各表、合理的に推定できる時点までの解析足しながら、安定状態へ支障なく移行 各図）

結果（グラフ）を示している。

できると合理的に推定できる時点ま 6.2.1 制御棒落下（各表、各で解析を実施している。

図）

4.4.2 解析で想定する現実的な条件等

16

最適評価で想定する現実的な条件の例を以下に示す。
・事象発生前のプラント初期条件は，設計値 解析条件として、解析のプラント初期

島根２号機は代表 ABWR プラントの解 4.3.2 解析で想定する現実的な等に基づく現実的な値を用いること。そ 条件と設定根拠及び安全設計の妥当の場合には，安全設計の妥当性確認に用 性確認に用いる安全解析との差異を析条件に包絡されており、代表 ABWR 条件等（P.4-2）○

プラントの解析においては、プラント 4.5 解析条件（表 4-3、表 4-6～いる安全解析における解析条件との差異 示している。

初期条件及び設定根拠が示されてい 表 4-8）

及び根拠を明確にすること。

る。

表 5 「4．有効性評価」に関する要件整合性確認表（9/16）（判定記号）〇：整合有 －：該当なし

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
記載内容（概要）

要求内容

要件整合性
判定

・事象発生によって生じる外乱の程度，炉心 事象発生による外乱の程度、炉心状

有効性評価図書理由

島根２号機は代表 ABWR プラントの解 4.3.2 解析で想定する現実的な状態（出力分布，反応度係数等），機器の 態、機器の容量などの解析条件と設定

析条件に包絡されており、代表 ABWR 条件等（P.4-2）

容量等は，設計値等に基づく現実的な値 根拠及び安全設計の妥当性確認に用プラントの解析においては、解析条件 4.5 解析条件（表 4-4、表 4-6～を用いること。その場合には，安全設計の いる安全解析との差異を示している。

○

及び根拠が示されている。

表 4-8）

妥当性確認に用いる安全解析における解析条件との差異及び根拠を明確にすること。
・作動設定点等については計装上の誤差は 自動作動を期待する設備の作動設定

17

考慮しなくともよい。

島根２号機は代表 ABWR プラントの解 4.3.2 解析で想定する現実的な点として設計値を設定し、解析条件として示している。

析条件に包絡されており、代表 ABWR 条件等（P.4-2）○

プラントの解析においては、自動作動 4.5 解析条件（表 4-4、表 4-6～を期待する設備の動作条件として、計 表 4-8）
装上の誤差を考慮しない、設計値を設定している。

・誤操作が起因事象となる評価では，運転手 原子炉起動時における制御棒の異常

島根２号機は代表 ABWR プラントの解 4.3.2 解析で想定する現実的な順に基づく現実的な操作条件を用いるこ な引き抜きの解析においては、保安と。

規定に基づき作成された制御棒引抜操作手順を考慮し、現実的な操作条件を想定した投入反応度としている。

析条件に包絡されており、代表 ABWR 条件等（P.4-3）〇

プラントの解析においては、運転操作 4.5 解析条件（表 4-6）
手順に基づく現実的な投入反応度を 5.1.1 原子炉起動時における制考慮している。

御棒の異常な引き抜き（P.5-1）

表 5 「4．有効性評価」に関する要件整合性確認表（10/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）

要件整合性
判定

有効性評価図書理由

4.4.3 安全系機能に対する仮定
ソフトウェアCCF発生時のデジタル安全保
護回路，原子炉停止系統及び工学的安全施設を含む安全設備の作動状態については，以下を仮定すること。
・ソフトウェアCCFによりデジタル安全保護 デジタル安全保護回路の機能が喪失

島根２号機は代表 ABWR プラントの解 4.3.3 安全系機能に対する仮定回路の機能が喪失し，原子炉停止系統及 し原子炉停止系統が動作しないこと

析条件に包絡されており、代表 ABWR （P.4-3）

び工学的安全施設が自動作動しない。

プラントの解析においては、ソフトウ 4.5 解析条件（表 4-4、表 4-6、を解析条件として設定している。

18

ェア CCF による機能喪失を解析条件 表 4-8）○に反映している。

5. 運転時の異常な過渡変化＋ソ
フトウェア CCF の解析（各クロノロジー表）
6.2.1 制御棒落下（表 6.2.12）

表 5 「4．有効性評価」に関する要件整合性確認表（11/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）

要件整合性
判定・デジタル安全保護回路を経由しない，自動 各事象においてデジタル安全保護回

理由

有効性評価図書島根２号機は代表 ABWR プラントの解 4.3.3 安全系機能に対する仮定

起動信号又は運転員が事象の発生を認知 路の機能が喪失し、動作しない原子炉

析条件に包絡されており、代表 ABWR （P.4-3）

した場合の手動起動信号により，原子炉 停止系統及び工学的安全施設についプラントの解析においては、デジタル 4.5 解析条件（表 4-4、表 4-7）

停止系統及び工学的安全施設は作動可能 て、デジタル安全保護回路を経由しなとする。

○

安全保護回路を経由しない、自動起動 5. 運転時の異常な過渡変化＋ソ

い、自動起動信号（代替制御棒挿入、信号（代替制御棒挿入、代替再循環ポ フトウェア CCF の解析（各クロ

代替再循環ポンプトリップ）を解析条

ンプトリップ）を解析条件として反映 ノロジー表）

件として設定している。

している。

・自動起動信号又は運転員の手動操作によ 各事象において、起因事象による影響

島根２号機は代表 ABWR プラントの解 4.3.3 安全系機能に対する仮定

19

る，最も確からしいプラント応答を評価 を受けない、安全機能を有する機器のするため，安全機能を有する機器の単一 単一故障は想定していない。
故障は想定しない。

析条件に包絡されており、代表 ABWR （P.4-3）○

プラントの解析においては、起因事象の影響を受けない安全機能を有する
機器の単一故障を解析条件としていない。

・安全機能のサポート系（電源系，冷却系， 各事象において、起因事象との従属性

島根２号機は代表 ABWR プラントの解 4.3.3 安全系機能に対する仮定

空調系等）は，起因事象との従属性がな がなく、かつソフトウェア CCF の影響
く，かつソフトウェアCCFの影響を受けな を受けない安全機能のサポート系（電い場合は，起因事象が発生する前の作動 源系、冷却系、空調系等）は、起因事状態を維持する。

析条件に包絡されており、代表 ABWR （P.4-3）○

プラントの解析においては、必要な安 添付 4 多様化設備が作動させる
全機能のサポート系について、起因事 設備に対するサポート系の機能

象が発生する前の作動状態を維持す

象及びソフトウェア CCF の影響を受 確保ることを想定している。

けないことを確認している。

表 5 「4．有効性評価」に関する要件整合性確認表（12/16）（判定記号）〇：整合有 －：該当なし

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
記載内容（概要）

要求内容

要件整合性
判定

理由

有効性評価図書

4.4.4 常用系機能に対する仮定
常用系設備の機能については，以下を仮定すること。
・起因事象として外部電源の喪失を仮定す 起因事象が外部電源喪失以外の事象

島根２号機は代表 ABWR プラントの解 4.3.4 常用系機能に対する仮定

る事象以外は，外部電源は利用可能とす では外部電源喪失は仮定していない。
る。

析条件に包絡されており、代表 ABWR （P.4-3）○

プラントの解析においては、起因事象
が外部電源喪失以外の事象では、解析条件において、外部電源喪失を仮定し

20

ていない。
・事象発生前から機能しており，かつ事象発 事象発生前から機能している常用系

島根２号機は代表 ABWR プラントの解 4.3.4 常用系機能に対する仮定

生後も機能し続ける設備は，故障の仮定 設備の機能喪失は仮定していない。
から除外する。

析条件に包絡されており、代表 ABWR （P.4-3）○

プラントの解析においては、解析条件 4.5 解析条件（表 4-4）において、起因事象に関係しない常用 6.3 環境への放射性物質の異常系設備の機能喪失は仮定していない。 な放出（P.6-15～P.6-16）・常用系機能の喪失が起因となる事象が前 常用系機能の喪失が前提となる事象

島根２号機は代表 ABWR プラントの解 4.3.4 常用系機能に対する仮定

提である場合は，当該事象を評価する際 では、当該常用系の機能には期待してにはその機能を期待しない。

いない。

析条件に包絡されており、代表 ABWR （P.4-3）○

プラントの解析においては、常用系機能の喪失が前提となる事象では、事象発生以降、その機能には期待していない。

表 5 「4．有効性評価」に関する要件整合性確認表（13/16）（判定記号）〇：整合有 －：該当なし

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
記載内容（概要）

要求内容

要件整合性
判定

理由

有効性評価図書

4.4.5 多様化設備に関連する条件
多様化設備に関連する条件を以下に示す。
（1）機器条件
・多様化設備がもつ緩和機能の有効性を確 多様化設備の単一故障は想定してい島根２号機は代表 ABWR プラントの解 4.3.5 多様化設備に関連する条認する観点から，多重性を要求しない多 ない。
様化設備の単一故障は想定しない。

析条件に包絡されており、代表 ABWR 件（P.4-3）○

プラントの解析においては、多重性が要求されない多様化設備の単一故障を想定していない。

21

・多様化設備がもつ緩和機能の有効性を確 多様化設備が代替作動させる原子炉

島根２号機は代表 ABWR プラントの解 4.3.5 多様化設備に関連する条認する観点から，多様化設備が代替作動 停止系統、工学的安全施設等は、そのさせる原子炉停止系統，工学的安全施設 サポート系が使用できない場合を除等の故障及び誤動作が起因となる事象は き、代替作動させる設備の故障及び誤想定しない。

動作は想定していない。

析条件に包絡されており、代表 ABWR 件（P.4-3）○

プラントの解析においては、多様化設
備が代替作動させる設備の故障及び誤動作が起因となる事象は想定していない。

表 5 「4．有効性評価」に関する要件整合性確認表（14/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）

要件整合性
判定

・多様化設備が作動させる原子炉停止系統， 多様化設備が作動させる原子炉停止

理由

有効性評価図書島根２号機は代表 ABWR プラントの解 4.3.5 多様化設備に関連する条

工学的安全施設等は，そのサポート系（電 系統及び工学的安全施設等は、起因事

析条件に包絡されており、代表 ABWR 件（P.4-3）

源系，冷却系，空調系等）が利用可能であ 象及びソフトウェア CCF が発生したプラントの解析においては、サポート 添付 4 多様化設備が作動させる

ることを確認し，使用できない場合原子 状態において、そのサポート系が使用○

系が起因事象及びソフトウェア CCF 設備に対するサポート系の機能

炉停止系統，工学的安全施設等は利用で 可能であることを確認し、その利用をの影響を受けず利用可能であるかを 確保

きないものとする。

確認している。

前提として期待していることを記載している。

（2）操作条件

22・運転員による手動操作をソフトウェアCCF 事象に応じ、運転員による手動操作を

島根２号機は代表 ABWR プラントの解 4.3.5 多様化設備に関連する条対策として期待することができる。ただ 期待しているが、多様化設備の警報等

析条件に包絡されており、代表 ABWR 件（P.4-4）

し，有効性評価において運転員による手 により事象の認知が可能であり、あらプラントの解析においては、解析上期

動操作を期待する場合には，原子炉制御 かじめ定める手順書に基づき手動操待している運転員の手動操作の成立

室において運転員による事象の認知が可 作を行うことを記載している。

○

性は、有効性評価の知見が反映された能であり，それに基づく操作手順書が整

運転員操作手順書及び教育訓練計画

備され運転操作訓練が適切に行われるこにより裏付けられていることを示しとによって，手動操作が適切に実施されている。

ることが前提となる。

表 5 「4．有効性評価」に関する要件整合性確認表（15/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
記載内容（概要）

要求内容

要件整合性
判定

・原子炉制御室での運転操作開始時間を現 事象に応じ、中央制御室での運転員にいては，運転員による事象の認知から運 による事象の認知から運転操作開始
転操作開始までの時間を適切に考慮し， までの各所要時間を適切に設定して理由

有効性評価図書島根２号機は代表 ABWR プラントの解 4.3.5 多様化設備に関連する条実的な想定としてもよい。その場合にお よる手動操作を期待しており、運転員

その根拠を明確にすること。

（判定記号）〇：整合有 －：該当なし

析条件に包絡されており、代表 ABWR 件（P.4-4）○いる。

プラントの解析においては、事象認知から移動や操作にかかる各操作の所
要時間を計測し、根拠を明確にしたうえで成立性を確認している。

23

・原子炉制御室外における運転員による現島根２号機は代表 ABWR プラントの解

場操作を考慮してもよい。その場合にお析条件に包絡されており、代表 ABWR

いては，原子炉制御室における運転員にプラントの解析においては、中央制御

よる事象の認知から現場操作場所までの――移動時間，及び現場操作場所に到着して室以外での現場操作を想定していな―い。

から操作開始までの時間は適切に考慮
し，その根拠を明確にすること。
4.4.6 解析に使用する計算プログラム及びモデル
有効性評価を行う場合は，運転時の異常な 最適評価コード及び現実的な計算モ

代表 ABWR プラントの解析において 4.3 解析に当たって考慮する事

過渡変化又は設計基準事故の解析で用いる デルを使用している。また、有効性評

は、最適評価コード及び現実的な計算 項（P.4-2）

計算プログラム及びモデル，又は最適評価 価に用いた計算プログラム及びモデ
コード及び現実的な計算モデルを使用する ルについて詳述した他の資料を引用こと。

する形で記載している。

○

モデルを使用しており、詳細は引用し 4.4 解析に使用する計算プログ
た他の資料から確認できる。

ラム（P.4-4～4-6）
8. 参考文献（P.8-1）

表 5 「4．有効性評価」に関する要件整合性確認表（16/16）

ソフトウェア CCF 対策有効性評価図書の要件整合性

ATENA 技術要件書
要求内容（判定記号）〇：整合有 －：該当なし

記載内容（概要）

要件整合性
判定

理由

有効性評価図書使用する計算プログラム及びモデルは，適 有効性評価に用いた計算プログラム

代表 ABWR プラントの解析において 4.4 解析に使用する計算プログ

用範囲について，妥当性確認及び検証が行 及びモデルについて、妥当性確認及びは、解析で用いた計算プログラム、モ ラム（P.4-4～4-6）

われたものであること。なお，許認可での使 検証を行っている。各コード、解析モ
用実績により，計算プログラム及びモデル デルの妥当性を詳述した他の資料をの確認が行われている場合には，妥当性確 引用する形で示している。
認及び検証は不要である。

○

デルの妥当性確認及び検証を行って 8. 参考文献（P.8-1）
おり、詳細は引用した他の資料から確
認できる。

24

Ⅱ．添付書類

25目次（１）添付資料添付１ 「４．有効性評価」における有効性評価図書
添付１－１ 沸騰水型原子力発電所 デジタル安全保護回路のソフトウ
ェア共通要因故障影響緩和対策の有効性評価書（TLR-100，
HLR-129，2022年10月）
添付１－２ BWR5の安全保護回路ソフトウェアCCFの有効性評価補足説
明

（１）添付資料

添付１－１ 沸騰水型原子力発電所 デジタル安全保護回路のソフトウェア共通
要因故障影響緩和対策の有効性評価書（TLR-100、HLR-129、2022
年10月）

TLR-100
HLR-129

沸騰水型原子力発電所
デジタル安全保護回路のソフトウェア共通要因故障影響緩和対策の有効性評価書２０２２ 年 10 月

東 芝 エネルギーシステムズ 株 式 会 社
日立 GE ニュークリア・エナジー 株式会社

目次

1.

はじめに

2.

ソフトウェア CCF とその対策について
2.1 ソフトウェア CCF について
2.1.1 ソフトウェア CCF 想定の範囲
2.1.2 ソフトウェア CCF 発生時の安全保護回路故障モード想定
2.2 ソフトウェア CCF 対策について
2.2.1 設置要求
2.2.2 機能要求
2.2.3 多様化設備の範囲

3.

有効性評価の目的

4.

評価方針
4.1 評価対象の整理
4.2 判断基準
4.3 解析に当たって考慮する事項
4.4 解析に使用する計算プログラム
4.5 解析条件

5.

運転時の異常な過渡変化＋ソフトウェア CCF の解析
5.1 炉心内の反応度又は出力分布の異常な変化
5.1.1 原子炉起動時における制御棒の異常な引き抜き
5.1.2 出力運転中の制御棒の異常な引き抜き
5.2 炉心内の熱発生又は熱除去の異常な変化
5.2.1 原子炉冷却材流量の部分喪失
5.2.2 外部電源喪失
5.2.3 給水加熱喪失
5.3.4 原子炉冷却材流量制御系の誤動作
5.3 原子炉冷却材圧力又は原子炉冷却材保有量の異常な変化
5.3.1 負荷の喪失
5.3.2 主蒸気隔離弁の誤閉止
5.3.3 給水制御系の故障
5.3.4 原子炉圧力制御系の故障
5.3.5 給水流量の全喪失

i設計基準事故＋ソフトウェア CCF の解析

6.

6.1 原子炉冷却材の喪失又は炉心冷却状態の著しい変化
6.1.1 原子炉冷却材喪失
6.1.2 原子炉冷却材流量の喪失
6.2 反応度の異常な投入又は原子炉出力の急激な変化
6.2.1 制御棒落下
6.3 環境への放射性物質の異常な放出6.3.1 放射性気体廃棄物処理施設の破損
6.3.2 主蒸気管破断
6.3.3 燃料集合体の落下
6.3.4 原子炉冷却材喪失
6.3.5 制御棒落下
6.4 原子炉格納容器内圧力，雰囲気等の異常な変化
6.4.1 原子炉冷却材喪失
6.4.2 可燃性ガスの発生
6.4.3 動荷重の発生
7.

まとめ

8.

参考文献

添付 1 評価対象事象について
添付 2 代表プラント以外への適用性
添付 3 プラント設計の代表性及び燃料型式の影響
添付 4 多様化設備が作動させる設備に対するサポート系の機能確保
添付 5 有効性評価で仮定する運転員対応操作について
参考 1 LOCA＋ソフトウェア CCF における常用系設備の作動タイミングに関する感度解析
について

ii

1.

はじめに
デジタル安全保護回路のハードウェアは，4 区分の検出器，2 out of 4 回路，チャンネル

間の独立性確保，運転中の試験可能性，自己診断機能による計算機の異常検知等，ハードウ
ェアに対するランダム故障と共通要因故障に対してその安全機能に相応した十分に高い信頼性を確保してきている。
また，デジタル安全保護回路のソフトウェアについても，一度に一つのタスクのみ実行するシングルタスク処理を採用するとともに，実行中のタスクを中断する割り込み処理を行
わないシンプルなソフトウェア構造の適用，可視化言語の適用により第三者による検証を容易にすること等，設計上の取り組みに加え，品質保証活動・検証及び妥当性確認により，十分に高い信頼性を確保してきており，ソフトウェア CCF の発生は十分低く抑えられている。
しかしながら，特定できない不具合がソフトウェアに内在することを想定した場合に，ソフトウェア CCF が顕在化することにより，多重化されたデジタル安全保護回路が同時に故障し，安全保護機能が喪失するという可能性は否定できない。このようなソフトウェア CCF
リスクに対し，デジタル安全保護回路を設ける場合には，ソフトウェア CCF の影響を受けない代替機能を有する多様化設備を自主的に設置してきた。安全保護回路をデジタル化している ABWR では，自主設置している多様化設備に，運転員のソフトウェア CCF 発生の認知のため警報を追加することにより，運転時の異常な過渡変化又は設計基準事故とソフトウェ
ア CCF が重畳した場合でも適切に事象を緩和し，炉心損傷を防止することが可能になる。また，BWR5 では，核計装系の一部及び放射線モニタ等がデジタル化されているプラントがあるが，安全保護回路自体のデジタル化は当面計画されておらず，ソフトウェア CCF の影響は限定的である。
本資料は，自主的にデジタル安全保護回路のソフトウェア CCF 影響緩和対策を行うにあたり，対策設備である多様化設備の有効性評価の，評価条件及び評価結果について取りまとめたものである。

1 - 1

2.

ソフトウェア CCF とその対策について

2.1 ソフトウェア CCF について
2.1.1 ソフトウェア CCF 想定の範囲
ソフトウェア CCF を想定する設備の範囲は，デジタル計算機を適用した安全保護回路のうち設定値比較機能，論理演算機能とする。図 2.1-1 にソフトウェア CCF の発生を想定する範囲の例を示す。
安全保護回路のうちソフトウェア CCF を想定する範囲

検出器

設定値比較機能

論理演算機能リレー等
・原子炉緊急停止
・ポンプ動作・弁閉止 等図 2.1-1 安全保護回路のうちソフトウェア CCF を想定する範囲（例）2.1.2 ソフトウェア CCF 発生時の安全保護回路故障モード想定
デジタル安全保護回路のソフトウェアに不具合が潜在しているところで，運転時の異常な過渡変化又は設計基準事故が発生しデジタル安全保護回路の自動作動が要求された時に，その不具合が顕在化しソフトウェア CCF が発生することにより，原子炉停止系統及び工学
的安全施設を自動起動する信号が出力されず，安全保護機能が喪失する状態を故障モードとして想定する。
なお，ソフトウェア CCF の発生により安全保護機能が喪失する場合においても，それ以前にデジタル安全保護回路の信号により起動，運転しているポンプ等の機器は，ソフトウェア
CCF の影響を受けないものとして機器の作動状態の変化は想定しない。
また，デジタル安全保護回路のソフトウェア CCF により誤作動信号が出力され，ソフトウ
ェア CCF による誤作動が起因事象となる場合は，工学的安全施設の機器の作動，原子炉緊急停止等のプラント状態の変化を伴うことにより，運転員等に認知され，適切に対処可能であ
る。

2 - 1

2.2 ソフトウェア CCF 対策について「1. はじめに」で述べた背景のもと，安全保護回路をデジタル化している ABWR では，多様化設備を自主的に設置してきた。さらに，参考文献[1]の発刊を受け，「運転時の異常な過渡変化」および「設計基準事故」の全事象に対してソフトウェア CCF が重畳する場合の影響を評価し，必要な影響緩和対策を抽出した。本有効性評価において期待する多様化設備を，
表 2.2-1 に示す。これらの多様化設備は，以下の基本要求を満足するように設計される。
2.2.1 設置要求
デジタル安全保護回路を設ける場合には，代替機能を有する多様化設備を設置する。
ただし，ソフトウェア CCF が発生するおそれがない場合，若しくは運転時の異常な過渡変化又は設計基準事故が発生し，かつ安全保護回路の一部がソフトウェアにより作動するものがある場合で，当該ソフトウェアが機能しない場合を想定しても，他の安全保護機能が作動することにより設計基準事故の判断基準を概ね満足することが有効性評価により確認できる場合には，多様化設備を設けないこととする。
2.2.2 機能要求
多様化設備は，運転時の異常な過渡変化又は設計基準事故が発生し，かつソフトウェア
CCF により安全機能が喪失した場合においても，設計基準事故の判断基準を概ね満足できる
よう，原子炉停止系統，工学的安全施設等を自動，又は手動で作動させることができるようにする。
さらに，原子炉停止系統，工学的安全施設等を手動により作動させる場合には，運転員が必要な時間内に操作を開始し，判断基準を概ね満足した状態で事象を収束させることができるよう，運転時の異常な過渡変化又は設計基準事故の発生時に安全保護機能動作の異常の発生を認知し，必要な操作の判断を行える機能を設ける。
2.2.3 多様化設備の範囲
多様化設備の範囲は，「2.2.2 機能要求」を達成するために必要となる，検出器，操作ス
イッチ，論理回路，指示計・警報等の計測制御設備とする。多様化設備の範囲を図 2.2-1 に示す。
この計測制御設備の構成要素は，参考文献[1]の「3.5 多様化設備への要求事項」を満足する限り，デジタル安全保護回路のソフトウェア CCF 影響緩和対策として設けた設備以外の設備（安全保護回路の検出器及び操作スイッチ，重大事故等対処設備等）も多様化設備として用いることができる。

2 - 2

表 2.2-1 本有効性評価において期待する多様化設備
基本
安全機能
止める

自動緩和機能手動緩和機能・原子炉スクラム

冷やす・代替制御棒挿入（ARI）
・原子炉再循環ポ
ンプトリップ－

閉じ込める－・主蒸気隔離弁閉止・主要な格納容器隔離
弁閉止

・高圧炉心注水系起動

指示機能

警報機能

・原子炉水位
・原子炉圧力・ドライウェル圧力・高圧炉心注水系起動状態
・高圧炉心注水系系統流量・主蒸気隔離弁の状態
・主要な隔離弁の状態

・ARI 作動・原子炉水位低・原子炉圧力高操作
スイッチ

検出器（多重化）

指示計
警報

論理回路
論理機能

デジタル
安全保護回路指示計
警報

自動作動回路（多重化）

原子炉停止系統，
工学的安全施設等

青点線は，多様化設備の範囲の例を示す

図 2.2-1 多様化設備の範囲

2 - 3

3.

有効性評価の目的
本資料における有効性評価（以下，CCF 有効性評価という）は，運転時の異常な過渡変化

又は設計基準事故とソフトウェア CCF が重畳する場合に，炉心の著しい損傷を防止する上で，安全保護回路の代替機能を有する設備である多様化設備が有効であることを確認するものであり，具体的には，4.2 節で述べる判断基準を概ね満足し，事象が収束することを解析等により確認することを目的とする。

3 - 1

4.

評価方針

4.1 評価対象の整理
安全保護回路を含む原子炉施設の安全設計の妥当性を確認するため，原子炉設置許可申請書では，「発電用軽水型原子炉施設の安全評価に関する審査指針」に基づき，運転時の異常な過渡変化及び設計基準事故の全事象について解析し評価を行っている。
多様化設備は，安全保護回路の代替機能を有する設備であることから，CCF 有効性評価においても，運転時の異常な過渡変化及び設計基準事故の全事象を対象とする。
評価に際しては，ソフトウェア CCF が同じ影響を与える事象は，グルーピングを行い，また，判断基準に照らし合わせて影響の程度が軽微である事象，グルーピングしたグループ内の代表事象に包絡されることが定性的に評価できる事象，及びデジタル安全保護回路の動作を期待しない事象は解析を省略する。
具体的な評価対象事象の選定については添付 1 に示す。
選定した評価対象事象にデジタル安全保護回路のソフトウェア CCF が重畳した場合でも，多様化設備等が有効に機能することで適切に対処可能であることを評価する。評価にあたっては，以下に示す代表プラントを対象にソフトウェア CCF 対策の有効性を評価する。代表
プラント以外の型式のプラントに対する評価結果の適用性については添付 2 に，評価対象としたプラント設計の代表性及び燃料型式の影響については添付 3 に示す。
代表プラント：ABWR 9×9 燃料（A 型）ウラン炉心
なお，デジタル安全保護回路のソフトウェア CCF により誤作動信号が出力され，ソフトウ
ェア CCF による誤作動が起因事象となる場合は，工学的安全施設の機器の作動，原子炉緊急停止等のプラント状態の変化を伴うことにより，運転員等に認知され，適切に対処可能であり，以下のように誤作動の影響は設計基準事象とソフトウェア CCF が重畳する事象に包絡される。
・原子炉停止機能の誤作動は，スクラムが発生するだけであり，他の異常な過渡変化に包絡される。
・炉心冷却機能のうち，注水系の誤作動によるプラント挙動への外乱は小さい。自動減圧系の誤作動による影響は，主蒸気管破断に包絡される。
・閉じ込め機能のうち，原子炉系の隔離弁の誤閉止は，主蒸気隔離弁の誤閉止に包絡される。二次格納施設や原子炉制御室に係る空調の誤閉止や SGTS の誤起動は，原子炉の運転状態に直ちに悪影響はない。
・非常用電源の誤作動による原子炉への外乱はない。
4.2 判断基準
CCF 有効性評価では，運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重4 - 1

畳するという設計基準を超える事象に対し，ソフトウェア CCF 影響緩和対策により，炉心損傷防止が可能になることを確認することから，運転時の異常な過渡変化及び設計基準事故のいずれに対しても，判断基準は設計基準事故において使用される判断基準（「実用発電用原子炉及びその附属施設の位置、構造及び設備の基準に関する規則」（以下，「設置許可基準
規則」という。）第十三条第一項第二号）を準用し，その判断基準を概ね満足することの確認を行う。
なお，設備の健全性が別途確認されている原子炉格納容器の限界圧力，温度等の条件，又は炉心の著しい損傷防止が達成できることを適切に確認できる他の判断基準を用いる場合
は，当該の評価で記載する。
4.3 解析に当たって考慮する事項
運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳する事象は，設計基準を超える事象であり，これらのプラント応答を評価するにあたっては，安全設計の妥当性確認に用いる安全解析（運転時の異常な過渡変化又は設計基準事故）のような保守的評価
ではなく，最も確からしいプラント応答を評価する観点から，重大事故等対策の有効性評価（以下，SA 有効性評価という）のような最適評価を基本的な考え方とする。すなわち，プラント初期条件，機器の作動状態の想定等の最適評価条件の考慮及び想定する事象を現実的に予測できる最適評価コードの使用により，運転時の異常な過渡変化又は設計基準事故に対する評価を行うことである。
ただし，ソフトウェア CCF が重畳する場合においても，保守的評価によって解析した結果が余裕をもって判断基準を満足する場合には，最適評価を行わず，保守的評価を採用する。
4.3.1 解析にあたって考慮する範囲
CCF 有効性評価においては，事象発生前の状態として，通常運転範囲及び運転期間の全域を対象とする。すなわち，サイクル期間中の炉心燃焼変化，燃料交換等による長期的な変動
及び運転中に予想される運転状態を考慮する。
解析は，想定した事象が，判断基準を概ね満足しながら，多様化設備等の作動によって過渡状態が収束しプラント状態が整定するまでを基本とし，その後原子炉が支障なく安定状態へ移行できることが合理的に推定できる時点までとした。
4.3.2 解析で想定する現実的な条件等最適評価で想定する現実的な条件の例を以下に示す。
・事象発生前のプラント初期条件は，設計値等に基づく現実的な値を用いる。
・事象発生によって生じる外乱の程度，炉心状態（出力分布，反応度フィードバック等），
機器の容量等は，設計値等に基づく現実的な値を用いる。なお，作動設定点等については計装上の誤差は考慮しない。

4 - 2

・誤操作が起因事象となる評価では，運転手順に基づく現実的な操作条件を用いる。
4.3.3 安全系機能に対する仮定
ソフトウェア CCF 発生時のデジタル安全保護回路，原子炉停止系統及び工学的安全施設を含む安全設備の作動状態については，以下を仮定する。
・ソフトウェア CCF によりデジタル安全保護回路の機能が喪失し，原子炉停止系統及び工学的安全施設が自動作動しない。
・デジタル安全保護回路を経由しない，自動起動信号又は運転員が事象の発生を認知した場合の手動起動信号により，原子炉停止系統及び工学的安全施設は作動可能とする。
・自動起動信号又は運転員の手動操作による，最も確からしいプラント応答を評価するため，安全機能を有する機器の単一故障は想定しない。
・安全機能のサポート系（電源系，冷却系，空調系等）は，起因事象との従属性がなく，かつソフトウェア CCF の影響を受けない場合は，起因事象が発生する前の作動状態を維持する。
4.3.4 常用系機能に対する仮定
常用系設備の機能については，以下を仮定する。
・起因事象として外部電源の喪失を仮定する事象以外は，外部電源は利用可能とする。
・事象発生前から機能しており，かつ事象発生後も機能し続ける設備は，故障の仮定から除外する。
・常用系機能の喪失が起因となる事象が前提である場合は，当該事象を評価する際にはその機能を期待しない。
4.3.5 多様化設備に関連する条件
多様化設備に関連する条件を以下に示す。
（1）機器条件
・多様化設備がもつ緩和機能の有効性を確認する観点から，多重性を要求しない多様化設
備の単一故障は想定しない。
・多様化設備がもつ緩和機能の有効性を確認する観点から，多様化設備が代替作動させる
原子炉停止系統，工学的安全施設等の故障及び誤動作が起因となる事象は想定しない。
・ソフトウェア CCF によりデジタル安全保護回路は，機能喪失するものの，多様化設備が代替し，利用可能である原子炉停止系統，工学的安全施設等を作動させることができる
ものとする。ただし，想定する起因事象及びソフトウェア CCF が発生した状態において，原子炉停止系統，工学的安全施設等のサポート系（電源系，冷却系，空調系等）が使用できない場合には，原子炉停止系統，工学的安全施設等は利用できないものとする。
多様化設備が作動させる設備に対するサポート系の有効性を添付 4 に示す。

4 - 3

（2）操作条件
・事象に応じ，運転員による手動操作をソフトウェア CCF 対策として期待する。なお，
CCF 有効性評価において運転員に期待する手動操作については，運転操作手順書及び教育訓練計画に適切に反映する。
・事象に応じ，原子炉制御室での運転操作開始時間を現実的な想定とする。その場合においては，運転員による事象の認知から運転操作開始までの時間を適切に設定する。期待する操作及びその成立性を，添付 5 に示す。
・事象に応じ，原子炉制御室外における運転員による現場操作を考慮する。その場合においては，原子炉制御室における運転員による事象の認知から現場操作場所までの移動
時間，及び現場操作場所に到着してから操作開始までの時間は適切に設定する。なお，
今回のソフトウェア CCF 有効性評価では運転員による現場操作は考慮していない。
4.4 解析に使用する計算プログラム
解析に使用する計算プログラムを表 4-1 及び表 4-2 に示す。
（1）CCF 有効性評価で用いる計算プログラム及びモデルの詳細は，参考文献[2]及び[3]に記載している。
（2）使用する計算プログラム及びモデルの妥当性確認及び検証については，参考文献[2]及び[4]に記載している。
4.5 解析条件
解析に用いる主要な条件を表 4-3～表 4-8 に示す。

4 - 4

表 4-1 解析に使用する計算プログラム一覧表（運転時の異常な過渡変化＋ソフトウェア CCF）
解析項目

使用するプログラム

原子炉起動時における制御棒
TRAC 系コード [2],[3],[4]炉 心 内 の 反 応 度 又 の異常な引き抜き
は出力分布の異常な変化
出力運転中の制御棒の異常なTRAC 系コード [2],[3],[4]引き抜き
原子炉冷却材流量の部分喪失

外部電源喪失炉心内の熱発生又は熱除去の異常な変化
給水加熱喪失－－－原子炉冷却材流量制御系の誤
操作

－

負荷の喪失

－

主蒸気隔離弁の誤閉止
原子炉冷却材圧力又は原子炉冷却材
給水制御系の故障
保有量の異常な変化

TRAC 系コード [2],[3],[4]－原子炉圧力制御系の故障

TRAC 系コード [2],[3],[4]給水流量の全喪失

TRAC 系コード [2],[3],[4]4 - 5

表 4-2 解析に使用する計算プログラム一覧表（設計基準事故＋ソフトウェア CCF）
解析項目

原子炉冷却材の喪失

使用するプログラム

原子炉冷却材喪失

TRAC 系コード [2],[3],[4]原子炉冷却材流量の喪失

TRAC 系コード [2],[3],[4]又は炉心冷却状態の著しい変化

反応度の異常な投入
TRAC 系コード [2],[3],[4]又は原子炉出力の急 制御棒落下
激な変化
放射性気体廃棄物処理施設の破損

TRAC 系コード [2],[3],[4]主蒸気管破断環境への放射性物質－

原子炉冷却材喪失－

燃料集合体の落下

－

制御棒落下

－

原子炉冷却材喪失－

力、雰囲気等の異常 可燃性ガスの発生－の異常な放出原子炉格納容器内圧な変化
動荷重の発生－4 - 6

表 4-3 主要解析条件（共通）項目

CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方

原子炉熱出力3,926 MW
(100%)

4,005 MW
(102%)

定格原子炉熱出力として設定

原子炉圧力7.07 MPa[gage]

7.17 MPa[gage]

定格原子炉圧力として設定

原子炉水位

通常水位

同左

通常運転時の原子炉水位として設定

炉心入口流量47.0×103 t/h
(90%)

同左

定格出力での炉心流量幅（90%～120%）の
うち低流量側を設定*

タービン蒸気流量

7.64×103 t/h

7.82×103 t/h

原子炉給水温度

原子炉出力，炉心流量，
原子炉圧力により定まる値

217 ℃

定格タービン蒸気流量として設定
TRAC 系コードによる計算値* 運転時の異常な過渡変化＋ソフトウェア CCF：初期炉心流量は，今回評価対象としている主蒸気隔離弁の誤閉止，原子炉圧力制御系の故障，給水流量の全喪失，原子炉冷却材流量の喪失の事象の特徴（圧力上昇/流量低下）を踏まえて，低流量側の 90%としている。
原子炉冷却材喪失＋ソフトウェア CCF：燃料被覆管温度の最高値を厳しく評価するため，低流量側の 90％としている。

4 - 7

表 4-4 主要解析条件（運転時の異常な過渡変化（制御棒の誤引き抜きを除く）又は原子炉冷却材流量の喪失＋ソフトウェア CCF）
(a) 炉心・燃料条件
項目

CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方
サイクル期間中から代表点を適用＊2。

9×9 燃料（A 型）平衡炉心サイクル初期（原子炉冷却材流量の喪失）
サイクル末期（他 3 事象*1）

同左

ボイド反応度係数

炉心 as is

サイクル初期×0.9 倍，又はサイクル末期×1.25 倍*1

最適評価コードを用いた，より実現象に即したモデルの採用

ドップラ反応度係数

炉心 as is

サイクル初期×1.1 倍，又はサイクル末期×0.9 倍*1

最適評価コードを用いた，より実現象に即したモデルの採用

ギャップ熱伝達係数

約 7,380 W/（m2・K）（平均出力バンドル）
約 10,800 W/（m2・K）（高出力バンドル）

同左

出力分布

炉心 as is

設計軸方向出力分布（下方ピーク)初期 MCPR1.22

初期 MLHGR

44.0 kW/m

炉心・燃料(炉心状態)

崩壊熱

許認可適用値

同左（原子炉冷却材流量の喪失は1.19）
同左（原子炉冷却材流量の喪失は44.0×1.02）

ANSI/ANS5.1-1979（燃焼度 33 GWd/t）

GE（平均）＋3σ

最適評価コードを用いた，より実現象に即したモデルの採用
運転制限値として設定
運転制限値として設定
サイクル末期の燃焼度のばらつきを考慮し，10％の保守性を考慮して設定*1 事象の特性に応じて評価が厳しくなるように設定*2 サイクル期間中から，事象の特徴（圧力上昇/流量低下）を踏まえて代表点を選定している。燃焼度でボイド反応度係数とドップラ反応度係数が異なるが，ボイド率変化に伴う投入反応度の方が燃料温度変化に伴う投入反応度よりも大きいため，基本的にボイド反応度係数の絶対値の大小から代表点を選定している。

4 - 8

(b) 主蒸気系条件［1/2］
項目

CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方
許認可適用特性3 秒で閉止(主蒸気隔離弁の誤閉止
ケースのみ)
100

弁
実

主蒸気隔離弁
閉止特性

効

同左

流
路
⾯

50

積
(%)

0
0

1

2
時 間

3

4

(s)

主蒸気止め弁閉止特性

0.1 秒で閉止

同左

許認可適用特性

蒸気加減弁
閉止特性

0.075 秒で閉止

同左

許認可適用特性・タービントリップにより作動
・部分開（原子炉圧力制御系の故障ケースのみ）

同左

許認可適用特性

タービンバイパス弁
(TBV)

4 - 9

(b) 主蒸気系条件［2/2］
項目

CCF 有効性評価の解析条件

安全評価の解析条件（参考）タービンバイパス
流量

33％

同左

許認可適用特性

タービントリップ
設定点

原子炉水位高（レベル 8）

同左

許認可適用特性

圧力制御装置最大出
力信号

115％

117％

仕様値

逃がし安全弁

逃がし弁機能7.51 MPa[gage]×1 個(363 t/h)
7.58 MPa[gage]×1 個(367 t/h)
7.65 MPa[gage]×4 個(370 t/h)
7.72 MPa[gage]×4 個(373 t/h)
7.79 MPa[gage]×4 個(377 t/h)
7.86 MPa[gage]×4 個(380 t/h)

逃がし弁機能7.66 MPa[gage]×1 個(371 t/h)
7.73 MPa[gage]×1 個(374 t/h)
7.80 MPa[gage]×4 個(378 t/h)
7.87 MPa[gage]×4 個(381 t/h)
7.94 MPa[gage]×4 個(385 t/h)
8.01 MPa[gage]×4 個(388 t/h)（原子炉冷却材流量の喪失は安全弁
機能を仮定）

4 - 10

条件設定の考え方

現実的な値として逃がし安全弁の逃し
弁機能の設計値を設定

(c) 設備作動条件［1/2］
項目

CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方

動作を想定しない

各スクラム信号ソフトウェア CCF の影響により期待しな

60%挿入：1.71 秒

い

制御棒挿入
作動条件
挿入速度

100%挿入：3.70 秒
設計スクラム曲線

スクラム曲線
代替制御棒挿入作動条件
全挿入完了時間

原子炉圧力高(7.48 MPa[gage]) 又は動作を想定しない

原子炉水位低(レベル 2)（制御棒挿入の条件のため）代替制御棒挿入機能の設計値として設定
25 秒以内の仕様値に対して保守的に最も起動条件成立から 25 秒

遅い 25 秒に設定
給水喪失時の給水流

5 秒で 0

同左

SA 有効性評価・従来過渡と同様の設定

電動機駆動

T/D 停止後

同左

T/D 給水ポンプトリップ後，M/D 給水ポン

給水ポンプ

M/D バックアップ

量時間変化

プが自動起動するものとする。給水は継続する方が原子炉出力が高めに推移するため，解析条件としては厳しい設定となる。

4 - 11

(c) 設備作動条件［2/2］
項目

CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方

手動起動

D/W 圧力高又はソフトウェア CCF のため自動起動しない

HPCF
起動条件

原子炉水位低(レベル 1.5)
注入流量

再循環ポンプ・トリップ
再循環ポンプ
慣性定数182～727 m3/h

同左

原子炉圧力高(7.48 MPa[gage]) 又は原子炉水位低(レベル 3):4 台
原子炉水位低(レベル 2):6 台
0.7 秒

ものと仮定
HPCF の安全要求値として設定

原子炉水位低(レベル 3):4 台

代替再循環ポンプ・トリップ機能の設計

原子炉水位低(レベル 2):6 台

値として設定同左（原子炉冷却材流量の喪失：0.62 秒）

設計値

再循環流量制御系
運転モード

自動

同左

4 - 12設計仕様

表 4-5 主要解析条件（原子炉冷却材喪失＋ソフトウェア CCF）［1/2］
項目

事故条件

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方

安全評価審査指針の要求に基づき，原子炉
冷却材圧力バウンダリを構成する配管の破原子炉の出力運転中に給水配管，主蒸気
原子炉の出力運転中に高圧炉心注水系配損を想定することとし，
ソフトウェア CCF の配管，又は RHR 出口配管が瞬時に両端破管が瞬時に両端破断する
影響を踏まえ燃料被覆管最高温度評価の観断する点から最も厳しい破断箇所を選定

炉心・燃料

9×9（A 型）平衡サイクル末期炉心（出力分布（ノミナル））

9×9 燃料（A 型）

初期 MCPR

1.22

1.19

運転制限値として設定

初期 MLHGR

44.0 kW/m

44.0 kW/m×1.02

運転制限値として設定

ANSI/ANS-5.1-1979（燃焼度 33 GWd/t）

GE（平均）＋3σ

サイクル末期の燃焼度のばらつきを考慮
し，10％の保守性を考慮して設定

崩壊熱

単一故障

仮定しない

外部電源

健全

サイクル期間中から代表点を適用＊

・安全保護系（炉心流量急減スクラム）の現実的条件として，多様化設備の単一故障
単一故障
・健全側の高圧炉心注水系に給電する非 は想定しない
常用ディーゼル発電機の故障
事故発生と同時に喪失

現実的条件として，事象発生前から機能しており，事象発生後も機能すると仮定＊ 制御棒が全引き抜きとなり，出力分布が上方ピークとなる平衡サイクル末期炉心を設定。LOCA＋ソフトウェア CCF 事象では水位低下により燃料が露出し，燃料被覆管温度が上昇するため，上方ピークの軸方向出力分布の方が燃料被覆管最高温度が高くなる傾向にある。

4 - 13

表 4-5 主要解析条件（原子炉冷却材喪失＋ソフトウェア CCF）［2/2］項目

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方

原子炉スクラム機能
作動条件

動作を想定しない

炉心流量急減ソフトウェア CCF の影響により期待しない－

60％挿入：1.71 秒
100％挿入：3.70 秒

代替制御棒挿入機能
作動条件
全挿入完了時間

原子炉水位低（レベル 2）
起動条件成立から 25 秒作動を想定しない－

代替制御棒挿入機能の設計値として設定
25 秒以内の仕様値に対して保守的に最も遅い 25 秒に設定

再循環ポンプ・トリッ
プ機能

原子炉水位低（レベル 3）：4 台
原子炉水位低（レベル 2）：6 台

外部電源喪失による全台トリップ

代替再循環ポンプ・トリップ機能の設計値
として設定

挿入速度

逃がし安全弁ECCS 起動信号

HPCF 注水流量

給復水系

逃し弁機能
7.51MPa[gage]×1 個
7.58MPa[gage]×1 個
7.65MPa[gage]×4 個
7.72MPa[gage]×4 個
7.79MPa[gage]×4 個
7.86MPa[gage]×4 個

安全弁機能
8.07MPa[gage]×2 個
8.14MPa[gage]×4 個
8.21MPa[gage]×4 個
8.28MPa[gage]×4 個
8.35MPa[gage]×4 個

RCIC：水位低レベル 1.5
ソフトウェア CCF による ECCS 起動失敗を
HPCF：水位低レベル 1.5
仮定。ただし，多様化設備による HPCF のLPFL：水位低レベル 1
手動起動に期待する。
ADS：水位低レベル 1 and D/W 圧力高
182～727 m3/h

同左

給水配管破断：配管破断による全給水
流量喪失
給水配管破断以外：給復水系による注水継続

外部電源喪失による全給水流量喪失

4 - 14

逃がし安全弁の逃し弁機能の設計値として設定

ソフトウェア CCF の影響により ECCS の自動起動を期待しない

HPCF の安全要求値として設定

常用系が正常に作動することを仮定表 4-6 主要解析条件（原子炉起動時における制御棒の異常な引き抜き＋ソフトウェア CCF）［1/2］項目

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

原子炉の起動時の臨界近接時に運転操作を誤り，制御棒を連続引き抜きする

同左

原子炉熱出力定格出力の 10-8

同左

原子炉圧力

0.0 MPa[gage]

同左

冷却材温度

50℃

20℃

現実的条件として，実炉心で想定される運
転条件を想定炉心流量

定格炉心流量の 40％

定格炉心流量の 20％

ボイド反応度フィードバックの観点から保守的な高流量を設定

炉心・燃料

9×9 燃料（A 型）平衡炉心

同左

ドップラ反応度

炉心 as is同左

ボイド反応度炉心 as is

考慮しない

最適評価コードを用いた，より実現象に即したモデルの採用

減速材温度反応度

炉心 as is

考慮しない

最適評価コードを用いた，より実現象に即したモデルの採用

燃料エンタルピ

初期燃料温度に対応するコード内部で計算された値

8kJ/kg

事故条件

4 - 15

条件設定の考え方

サイクル初期及びサイクル末期を選定

表 4-6 主要解析条件（原子炉起動時における制御棒の異常な引き抜き＋ソフトウェア CCF）［2/2］項目

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方
保安規定に基づき作成された制御棒引抜操
作手順を考慮し，複数人の運転員の監視等
によって異常を認知できることから，
0.010Δk まで引き抜かれる間に運転員が異常引き抜きに気づき，連続引き抜きを中断する想定

引抜制御棒価値

0.010Δk

0.035Δk

制御棒引抜速度33mm/s

同左

0.010Δk まで引き抜かれる間に運転員が連続引き抜きを中断する想定

スクラムと同時に制御棒の引き抜きが阻止される

スクラム失敗を仮定

原子炉周期短（SRNM）

制御棒引抜阻止条件
原子炉スクラム信号

逃がし安全弁

主蒸気隔離弁逃し弁機能
7.51MPa[gage]×1 個
7.58MPa[gage]×1 個
7.65MPa[gage]×4 個
7.72MPa[gage]×4 個
7.79MPa[gage]×4 個
7.86MPa[gage]×4 個

逃し弁機能
7.66MPa[gage]×1 個
7.73MPa[gage]×1 個
7.80MPa[gage]×4 個
7.87MPa[gage]×4 個
7.94MPa[gage]×4 個
8.01MPa[gage]×4 個

閉

同左

4 - 16

逃がし安全弁の逃し弁機能の設計値として設定

表 4-7 主要解析条件（出力運転中の制御棒の異常な引き抜き＋ソフトウェア CCF）［1/2］項目

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

出力運転中の制御棒引き抜き操作を誤り，制御棒を連続引き抜きする

同左

炉心入口流量47.0×103 t/h（90%）

58.0×103 t/h（111％）

炉心・燃料

9×9 燃料（A 型）平衡炉心

同左

ドップラ反応度

炉心 as is同左

ボイド反応度炉心 as is同左

初期 MCPR

1.22

同左

運転制限値として設定

初期 MLHGR

44.0 kW/m

同左

運転制限値として設定

原子炉出力，炉心流量，
原子炉圧力により定まる値

同左

33%

－

原子炉圧力高(7.48 MPa[gage])
起動条件成立から 25 秒作動を想定しない

事故条件

原子炉給水温度
タービンバイパス流量
代替制御棒挿入機能
作動条件
全挿入完了時間

4 - 17

条件設定の考え方

燃料被覆管温度の最高値を厳しく評価する
ため，低流量側の 90％を設定
サイクル初期及びサイクル中期を選定

設計値

代替制御棒挿入機能の設計値として設定
25 秒以内の仕様値に対して保守的に最も遅い 25 秒に設定

表 4-7 主要解析条件（出力運転中の制御棒の異常な引き抜き＋ソフトウェア CCF）［2/2］項目

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

再循環ポンプ・トリッ
プ機能

原子炉水位低（レベル 3）：4 台
原子炉水位低（レベル 2）：6 台－

再循環ポンプ
慣性定数

約 0.7 秒－

逃がし安全弁逃し弁機能
7.51MPa[gage]×1 個
7.58MPa[gage]×1 個
7.65MPa[gage]×4 個
7.72MPa[gage]×4 個
7.79MPa[gage]×4 個
7.86MPa[gage]×4 個

－

手動モード

－

ANSI/ANS-5.1-1979－

定格出力運転時に挿入されている制御棒
パターンからの引き抜き

熱的制限値の状態になっている燃料が引抜制御棒の近傍に来るように設定

制御棒引抜阻止信号

ロッドブロック失敗を仮定

定格出力の 105％又は 108%

解析で仮定する状態

過渡計算

定常計算（表面熱流束は中性子束に対し時間遅れなし）再循環流量制御系
運転モード
崩壊熱

制御棒パターン

条件設定の考え方

逃がし安全弁の逃し弁機能の設計値として設定

4 - 18

現実的条件として，実炉心で想定される制
御棒パターンを想定

表 4-8 主要解析条件（制御棒落下＋ソフトウェア CCF）［1/2］項目

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

臨界又は臨界近傍にあるときに，制御棒
駆動軸から分離して炉心内にとどまっていた制御棒及びこれと結合した中空ピス
トンが落下

同左

原子炉熱出力定格出力の 10-8

同左

原子炉圧力

0.0 MPa[gage]

同左

冷却材温度

50℃

20℃

現実的条件として，実炉心で想定される運
転条件を想定炉心流量

定格炉心流量の 40％

定格炉心流量の 20％

ボイド反応度フィードバックの観点から保守的な高流量を設定

炉心・燃料

9×9 燃料（A 型）平衡炉心

同左

ドップラ反応度

炉心 as is同左

ボイド反応度炉心 as is

考慮しない

最適評価コードを用いた，より実現象に即したモデルの採用

減速材温度反応度

炉心 as is

考慮しない

最適評価コードを用いた，より実現象に即したモデルの採用

燃料エンタルピ

初期燃料温度に対応するコード内部で計算された値

8kJ/kg

事故条件

4 - 19

条件設定の考え方

サイクル初期及びサイクル末期を選定

表 4-8 主要解析条件（制御棒落下＋ソフトウェア CCF）［2/2］項目

ソフトウェア CCF 有効性評価の解析条件

安全評価の解析条件（参考）

条件設定の考え方

落下制御棒価値

0.010Δk

0.013Δk

制御棒価値ミニマイザの制御棒価値制限値
を設定

制御棒落下速度0.95m/s

0.7m/s保守的に BWR5 の制御棒落下速度を設定

原子炉スクラム信号

スクラム失敗を仮定

中性子束高（APRM）

逃がし安全弁

主蒸気隔離弁逃し弁機能
7.51MPa[gage]×1 個
7.58MPa[gage]×1 個
7.65MPa[gage]×4 個
7.72MPa[gage]×4 個
7.79MPa[gage]×4 個
7.86MPa[gage]×4 個

安全弁機能
8.07MPa[gage]×2 個
8.14MPa[gage]×4 個
8.21MPa[gage]×4 個
8.28MPa[gage]×4 個
8.35MPa[gage]×4 個

閉

同左

4 - 20

逃がし安全弁の逃し弁機能の設計値として設定

5.

運転時の異常な過渡変化＋ソフトウェア CCF の解析

5.1 炉心内の反応度又は出力分布の異常な変化
5.1.1 原子炉起動時における制御棒の異常な引き抜き
表 5.1.1-1 に解析結果，表 5.1.1-2 に主要事象のクロノロジー，図 5.1.1-1，図 5.1.1-2に主要パラメータの時間変化を示す。
運転員による制御棒の連続引き抜き（ギャング引き抜き）により，中性子束は急激に増加する。本来であれば SRNM ペリオド短による原子炉スクラムにより事象は整定するが，ソフ
トウェア CCF によりスクラムが失敗することを仮定している。運転員は連続引き抜き中に異常に気付き，速やかに制御棒の手動挿入に移ることが期待できる。
結果として，燃料エンタルピは約 32 秒後に 717[kJ/kg]まで増加するものの，燃焼及びガ
ドリニア添加に伴う融点低下分を保守的に考慮した判断基準（837kJ/kg）を満足することが分かる。
表 5.1.1-1 原子炉起動時における制御棒の異常な引き抜き＋CCF の判断基準パラメータの解析結果
項目
燃料エンタルピ最大値[kJ/kg]／[cal/g]
破損割合(%)
原子炉冷却材バウンダリ圧力（MPa[gage]）

解析結果

判断基準

約 717/171

963／230※

約2

10.34

約 0.15(最高使用圧力の 1.2 倍)※燃焼（75GWd/t）に伴う融点低下分に相当するエンタルピ約 105kJ/kg（25cal/g）及びガドリニア添加（10wt%）に伴う融点低下分に相当するエンタルピ約 21kJ/kg（5cal/g）
を対象燃料棒に応じて考慮が必要である。保守的に両者を考慮した場合，837kJ/kg（200cal/g）となる。
表 5.1.1-2 原子炉起動時における制御棒の異常な引き抜き＋CCF の
主要事象のクロノロジ―
解析結果
0秒

主要事象
制御棒引き抜き開始

約 18 秒

制御棒連続引き抜き中断

約 30 秒

制御棒挿入開始

約 32 秒

燃料エンタルピ最大値到達

約 40 秒（解析終了）

5 - 1

5

炉心平均出力(定格に対する比)ケース２（EOC COLD, 50℃, HBB炉心）
4

3

2

1

0
0

10

20

30

40

事故後の時間(s)図 5.1.1-1 中性子束の時間変化（原子炉起動時における制御棒の異常な引き抜き＋CCF）

燃料エンタルピ(kJ/kg)

ケース２（EOC COLD, 50℃, HBB炉心）
1000

500

0
0

10

20

30

40

事故後の時間(s)図 5.1.1-2 燃料エンタルピの時間変化（原子炉起動時における制御棒の異常な引き抜き＋CCF）

5 - 25.1.2 出力運転中の制御棒の異常な引き抜き
表 5.1.2-1 に解析結果，表 5.1.2-2 に主要事象のクロノロジー，図 5.1.2-1～図 5.1.2-4に主要パラメータの時間変化を示す。
出力運転中の制御棒の連続引き抜き（ギャング引き抜き）により，出力は徐々に増加する。
本来であれば制御棒引抜監視装置により制御棒引き抜きが阻止されるが，ソフトウェア CCF
により制御棒引抜阻止が失敗することを仮定している。このため，制御棒の引き抜きは継続
し出力は増加し続けるが，原子炉圧力高による再循環ポンプトリップ及び代替制御棒挿入
により事象は整定する。
結果として，
燃料被覆管温度は約 55 秒後に 894℃まで増加するものの，判断基準（1200℃）を満足することが分かる。また，燃料被覆管の酸化量は 1%以下であり，判断基準 15%以下となる。

表 5.1.2-1 出力運転中の制御棒の異常な引き抜き＋CCF の判断基準パラメータの解析結果
項目
燃料被覆管温度
（℃）
原子炉圧力

解析結果

判断基準

約 894

1200℃
10.34

約 7.52（MPa[gage]）(最高使用圧力の 1.2 倍)

表 5.1.2-2 出力運転中の制御棒の異常な引き抜き＋CCF の主要事象のクロノロジ―
解析結果
0秒

主要事象
制御棒引き抜き開始

約 27 秒RPS によるスクラム失敗（原子炉圧力高）

約 33 秒

多様化設備の ATWS-RPT(原子炉圧力高)による 4 台 RPT
多様化設備の ARI(原子炉圧力高)による制御棒挿入機能作動

約 55 秒

燃料被覆管温度最大値到達

約 58 秒

制御棒挿入完了

約 80 秒（解析終了）

5 - 3

140

中性⼦束(%)

120
中性⼦束

100
80
60
40
20
0
0

20

40

事故後の時間(s)6080

図 5.1.2-1 中性子束の時間変化（出力運転中の制御棒の異常な引き抜き＋CCF）
160

炉⼼流量(%)

140
120
100
80
60
炉⼼流量

40
20
0
0

20

40

事故後の時間(s)6080

図 5.1.2-2 炉心流量の時間変化（出力運転中の制御棒の異常な引き抜き＋CCF）

原⼦炉圧⼒(MPa[gage])

8.0
7.0
6.0
5.0
4.0
3.0
原⼦炉圧⼒

2.0
1.0
0.0
0

20

40

事故後の時間(s)6080

図 5.1.2-3 原子炉圧力の時間変化（出力運転中の制御棒の異常な引き抜き＋CCF）

5 - 4

燃料被覆管温度(℃)

2000
PCT

1600
1200
800
400
0
0

20

40

事故後の時間(s)6080

図 5.1.2-4 燃料被覆管温度の時間変化（出力運転中の制御棒の異常な引き抜き＋CCF）

5 - 55.2 炉心内の熱発生又は熱除去の異常な変化
5.2.1 原子炉冷却材流量の部分喪失
原子炉冷却材流量の部分喪失は，炉心流量低下によるボイドの増加によって原子炉水位は上昇するものの原子炉水位高（レベル 8）には到達せず，タービントリップしないため，
スクラム条件に至らず整定する事象であり，ソフトウェア CCF によるスクラム失敗の有無に影響されない。
5.2.2 外部電源喪失
外部電源喪失は，蒸気加減弁急閉により再循環ポンプトリップする事象である。原子炉圧力高信号により再循環ポンプトリップする主蒸気隔離弁の誤閉止に比べて，再循環ポンプ
トリップのタイミングが早いためボイド発生により出力が抑制されることから，ソフトウ
ェア CCF を想定した場合のスクラム遅れの影響は主蒸気隔離弁の誤閉止に包絡される。
5.2.3 給水加熱喪失
給水加熱喪失は，炉心入口サブクーリングの増加によるボイドの減少により中性子束は上昇するが，原子炉水位はレベル 1.5 まで低下することはないため MSIV 閉条件に至らず，
原子炉圧力の上昇は緩やかなため ARI も作動しない事象である。ソフトウェア CCF を想定した場合のスクラム遅れの影響は主蒸気隔離弁の誤閉止に包絡される。
5.2.4 原子炉冷却材流量制御系の誤動作
原子炉冷却材流量制御系の誤動作は，炉心流量増加によるボイドの減少によって中性子束は増加するが，原子炉水位はレベル 1.5 まで低下することはないため MSIV 閉条件に至らず，原子炉圧力の上昇は緩やかなため ARI も作動しない事象である。ソフトウェア CCF を想定した場合のスクラム遅れの影響は主蒸気隔離弁の誤閉止に包絡される。
5.3 原子炉冷却材圧力又は原子炉冷却材保有量の異常な変化
5.3.1 負荷の喪失
負荷の喪失は，蒸気加減弁急閉により再循環ポンプトリップする事象である。原子炉圧力高信号により再循環ポンプトリップする主蒸気隔離弁の誤閉止に比べて，再循環ポンプト
リップのタイミングが早いためボイド発生により出力が抑制されることから，ソフトウェ
ア CCF を想定した場合のスクラム遅れの影響は主蒸気隔離弁の誤閉止に包絡される。

5 - 6

5.3.2 主蒸気隔離弁の誤閉止
表 5.3.2-1 に解析結果，表 5.3.2-2 に主要事象のクロノロジー，図 5.3.2-1～5.3.2-7に主要パラメータの時間変化を示す。
主蒸気隔離弁（MSIV）誤閉止の発生後，主蒸気隔離弁閉信号が発生するが，RPS による
原子炉スクラムに失敗する。約 2 秒後に原子炉圧力高信号で代替再循環ポンプトリップ（再循環ポンプ 4 台トリップ）および代替制御棒挿入機能（ARI）が作動する。
MSIV 閉止により原子炉圧力が上昇し中性子束が急上昇するため，沸騰遷移が生じて燃料被覆管温度は上昇する。その後，代替再循環ポンプトリップにより原子炉出力が減少する
ため燃料被覆管表面はリウェットし，燃料被覆管温度は約 715 ℃に抑えられる。また燃料
被覆管の酸化量は酸化反応が著しくなる前であり，判断基準 15%以下となる。原子炉圧力は代替再循環ポンプトリップと逃がし安全弁の作動により約 8.42 MPa[gage]以下に抑えられる。原子炉冷却材圧力バウンダリにかかる圧力は，原子炉圧力と原子炉圧力容器底部圧力との差（高々約 0.3 MPa）を考慮しても，判断基準を十分下回る。事象開始後約 27 秒までに ARI による全制御棒挿入は完了して原子炉出力が低下し事象は収束する。

5 - 7

表 5.3.2-1 主蒸気隔離弁の誤閉止＋CCF の判断基準パラメータの解析結果
項目

解析結果

燃料被覆管温度（℃）

約 715[16/24]

中性子束（%）

約 293

原子炉圧力（MPa[gage]）

約 8.42

S/P 水温（℃）
*

判断基準
＊

1200
10.34
(最高使用圧力の 1.2 倍)

約 43

104

（解析終了時点）(最高使用温度)[ ]内の数値は，燃料棒軸方向 24 ノード中の位置を示す。

表 5.3.2-2 主蒸気隔離弁の誤閉止＋CCF の主要事象のクロノロジー
解析結果
0秒

主要事象
主蒸気隔離弁誤閉止開始
スクラム失敗（MSIV10％閉止に伴う MSIV 閉スクラム）＊

約2秒

原子炉圧力高到達
代替再循環ポンプトリップ作動（再循環ポンプ 4 台トリップ）
ARI 弁励磁
SRV（逃し弁機能）作動

3秒

主蒸気隔離弁全閉

約4秒

原子炉圧力最大値到達

約6秒

燃料被覆管温度最大値到達

約 27 秒

全制御棒挿入完了

約 30 秒

原子炉水位低（レベル 2）到達
再循環ポンプ 6 台トリップ

60 秒*（解析終了）

RPS（ソフトウェア CCF）による失敗

5 - 8

300

中
性
子
束

200

（%）
100

0
0

20

40

60

事故後の時間 (s)図 5.3.2-1 中性子束の時間変化（主蒸気隔離弁の誤閉止＋CCF）

150

炉
心
流
量

100

（%）
50

0
0

20

40
事故後の時間 (s)図 5.3.2-2 炉心流量の時間変化（主蒸気隔離弁の誤閉止＋CCF）

5 - 9

60

150

給
水
流
量

100

（%）
50

0
0

20

40

60

事故後の時間 (s)図 5.3.2-3 給水流量の時間変化（主蒸気隔離弁の誤閉止＋CCF）

150

主
蒸
気
流
量
（%）

100

50

0
0

20

40
事故後の時間 (s)図 5.3.2-4 主蒸気流量の時間変化（主蒸気隔離弁の誤閉止＋CCF）

5 - 10

60

10

9

原
8
子
炉
圧
力
（MPa[gage]） 7

6

5
0

20

40

60

事故後の時間 (s)図 5.3.2-5 原子炉圧力の時間変化（主蒸気隔離弁の誤閉止＋CCF）

100
L-8
0
L-3
原
子
炉
水
位
変
化

-100
L-2
-200

-300

L-1.5

(cm)
-400

L-1

-500
0

20

40

60

事故後の時間 (s)図 5.3.2-6 原子炉水位(シュラウド外水位)の時間変化（主蒸気隔離弁の誤閉止＋CCF）

5 - 11

1200

1000

燃
料
被
覆
管
温
度

800

600

400

（℃）
200

0
0

20

40
事故後の時間 (s)図 5.3.2-7 燃料被覆管温度の時間変化（主蒸気隔離弁の誤閉止＋CCF）

5 - 1260

5.3.3 給水制御系の故障
給水制御系の故障は，給水流量増加によって原子炉水位は上昇し原子炉水位高（レベル 8）によるタービントリップに至るが，ARI 作動により原子炉圧力の上昇は抑えられ，注水により原子炉水位も回復するため事象収束までに MSIV 閉条件には至らない事象である。ソフト
ウェア CCF を想定した場合のスクラム遅れの影響は主蒸気隔離弁の誤閉止に包絡される。
5.3.4 原子炉圧力制御系の故障
表 5.3.4-1 に解析結果，表 5.3.4-2 に主要事象のクロノロジー，図 5.3.4-1～5.3.4-7 に主要パラメータの時間変化を示す。
圧力制御装置の故障により最大出力信号が発生すると，主蒸気流量が増大するとともに
原子炉圧力は低下し，約 8 秒後にタービン入口圧力低が発生する。主蒸気隔離弁閉止に失敗するため，原子炉はスクラムしない。減圧による炉心内のボイドが増加し，約 17 秒で原子
炉水位高（レベル 8）によるタービントリップおよび給水ポンプトリップが発生する。約 22秒で原子炉水位低（レベル 3）により再循環ポンプ 4 台トリップが発生するが，RPS による
原子炉水位低スクラムに失敗する。またタービン主蒸気止め弁の閉止により原子炉圧力が上昇し，約 23 秒後に原子炉圧力高信号で代替制御棒挿入機能（ARI）が作動する。
その後，代替再循環ポンプトリップにより原子炉出力が減少するため燃料被覆管表面はリウェットし，燃料被覆管温度は約 748 ℃に抑えられる。また燃料被覆管の酸化量は酸化反応が著しくなる前であり，判断基準 15%以下となる。原子炉圧力は代替再循環ポンプトリ
ップと逃がし安全弁の作動により約 8.04 MPa[gage]以下に抑えられる。原子炉冷却材圧力バウンダリにかかる圧力は，原子炉圧力と原子炉圧力容器底部圧力との差（高々約 0.3 MPa）
を考慮しても，判断基準を十分下回る。事象開始後約 48 秒までに ARI による全制御棒挿入は完了して原子炉出力が低下し事象は収束する。

5 - 13

表 5.3.4-1 原子炉圧力制御系の故障＋CCF の判断基準パラメータの解析結果
項目

解析結果

燃料被覆管温度（℃）

約 748[19/24]

中性子束（%）

約 196

原子炉圧力（MPa[gage]）

約 8.04

S/P 水温（℃）

約 42

*

判断基準
＊

1200
10.34
(最高使用圧力の 1.2 倍)104(最高使用温度)[ ]内の数値は，燃料棒軸方向 24 ノード中の位置を示す。

表 5.3.4-2 原子炉圧力制御系の故障＋CCF の主要事象のクロノロジー
解析結果
0秒

主要事象
最大出力信号発生
蒸気加減弁開度増タービンバイパス弁作動

約8秒

タービン入口圧力低発生
MSIV 閉（スクラム）不作動 ＊約 17 秒

原子炉水位高（レベル 8）到達
タービントリップ（タービン主蒸気止め弁閉止）
スクラム失敗（主蒸気止め弁閉スクラム）＊

約 22 秒

原子炉水位低（レベル 3）到達
スクラム失敗（原子炉水位低スクラム）＊
再循環ポンプ 4 台トリップ

約 23 秒

原子炉圧力高到達
ARI 弁励磁

約 24 秒SRV（逃し弁機能）作動
原子炉圧力最大値到達

約 37 秒

燃料被覆管温度最大値到達

約 41 秒

原子炉水位低（レベル 2）到達
再循環ポンプ 6 台トリップ*

約 48 秒

全制御棒挿入完了

60 秒（解析終了）

RPS（ソフトウェア CCF）による失敗

5 - 14

300

中
性
子
束

200

（%）
100

0
0

20

40

60

事故後の時間 (s)図 5.3.4-1 中性子束の時間変化（原子炉圧力制御系の故障＋CCF）

150

炉
心
流
量

100

（%）
50

0
0

20

40
事故後の時間 (s)図 5.3.4-2 炉心流量の時間変化（原子炉圧力制御系の故障＋CCF）

5 - 15

60

150

給
水
流
量

100

（%）
50

0
0

20

40

60

事故後の時間 (s)図 5.3.4-3 給水流量の時間変化（原子炉圧力制御系の故障＋CCF）

150

主
蒸
気
流
量
（%）

100

50

0
0

20

40
事故後の時間 (s)図 5.3.4-4 主蒸気流量の時間変化（原子炉圧力制御系の故障＋CCF）

5 - 16

60

10

9

原
8
子
炉
圧
力
（MPa[gage]） 7

6

5
0

20

40

60

事故後の時間 (s)図 5.3.4-5 原子炉圧力の時間変化（原子炉圧力制御系の故障＋CCF）

100
L-8
0
L-3
原
子
炉
水
位
変
化
(cm)

-100
L-2
-200

-300

L-1.5

-400

L-1

-500
0

20

40

60

事故後の時間 (s)図 5.3.4-6 原子炉水位(シュラウド外水位)の時間変化（原子炉圧力制御系の故障＋CCF）

5 - 17

1200

1000

燃
料
被
覆
管
温
度

800

600

400

（℃）
200

0
0

20

40
事故後の時間 (s)図 5.3.4-7 燃料被覆管温度の時間変化（原子炉圧力制御系の故障＋CCF）

5 - 1860

5.3.5 給水流量の全喪失
表 5.3.5-1 に解析結果，表 5.3.5-2 に主要事象のクロノロジー，図 5.3.5-1～5.3.5-7 に主要パラメータの時間変化を示す。
給水ポンプトリップの発生により原子炉水位が低下する。約 8 秒で原子炉水位低（レベル3）により再循環ポンプ 4 台トリップが発生するが，RPS による原子炉水位低スクラムに失敗する。さらに約 19 秒で原子炉水位低（レベル 2）により再循環ポンプ 6 台トリップおよび代替制御棒挿入機能（ARI）が作動する。
原子炉水位低（レベル 2）による RCIC の起動に失敗するものの，HPCF の手動起動により原子炉水位は回復する。解析では HPCF 作動まで行っていないが，このとき既に ARI が作動しており，出力は十分減少しているため，原子炉圧力，燃料被覆管温度および燃料被覆管の酸化量は初期値を超えることない。また，注水の時間余裕は LOCA に包絡される。事象開始
後約 44 秒までに ARI による全制御棒挿入は完了して原子炉出力が低下し事象は収束する。

5 - 19

表 5.3.5-1 給水流量の全喪失＋CCF の判断基準パラメータの解析結果
項目

解析結果

判断基準
＊

燃料被覆管温度（℃）

初期値を超えない

中性子束（%）

約 102

原子炉圧力（MPa[gage]）

初期値を超えない

S/P 水温（℃）

初期値を超えない

1200
10.34
(最高使用圧力の 1.2 倍)104(最高使用温度)* 本評価では BT しない。

表 5.3.5-2 給水流量の全喪失＋CCF の主要事象のクロノロジー
解析結果

主要事象

0秒

給水ポンプトリップ

約8秒

原子炉水位低（レベル 3）到達
スクラム失敗（原子炉水位低スクラム）＊
再循環ポンプ 4 台トリップ

約 19 秒

原子炉水位低（レベル 2）到達
再循環ポンプ 6 台トリップ
ARI 弁励磁*

約 44 秒

全制御棒挿入完了

60 秒（解析終了）

RPS（ソフトウェア CCF）による失敗

5 - 20

150

中
性
子
束

100

（ %）
50

0
0

20

40

60

事故後の時間 (s)図 5.3.5-1 中性子束の時間変化（給水流量の全喪失＋CCF）

150

炉
心
流
量

100

（ %）
50

0
0

20

40
事故後の時間 (s)図 5.3.5-2 炉心流量の時間変化（給水流量の全喪失＋CCF）

5 - 21

60

150

給
水
流
量

100

（ %）
50

0
0

20

40

60

事故後の時間 (s)図 5.3.5-3 給水流量の時間変化（給水流量の全喪失＋CCF）

150

主
蒸
気
流
量
（ %）

100

50

0
0

20

40
事故後の時間 (s)図 5.3.5-4 主蒸気流量の時間変化（給水流量の全喪失＋CCF）

5 - 22

60

10

9

原
8
子
炉
圧
力
（MPa[gage]） 7

6

5
0

20

40

60

事故後の時間 (s)図 5.3.5-5 原子炉圧力の時間変化（給水流量の全喪失＋CCF）

100
L-8
0
L-3
原
子
炉
水
位
変
化
(cm)

-100
L-2
-200

-300

L-1.5

-400

L-1

-500
0

20

40

60

事故後の時間 (s)図 5.3.5-6 原子炉水位(シュラウド外水位)の時間変化（給水流量の全喪失＋CCF）

5 - 23

6.

設計基準事故＋ソフトウェア CCF の解析

6.1 原子炉冷却材の喪失又は炉心冷却状態の著しい変化
6.1.1 原子炉冷却材喪失
ABWR を対象に原子炉冷却材喪失事故（LOCA）とソフトウェア CCF が重畳する場合に，炉心損傷を防止する上で，多様化設備による原子炉停止機能及び炉心冷却機能の有効性，並びに多様化設備による手動操作に対する時間余裕を評価した。ここで，ソフトウェア CCF はデジタル安全保護回路に対して安全保護機能の喪失を想定するものであることから，常用系が正常に作動することを仮定した。
表 6.1.1-1 に LOCA＋ソフトウェア CCF における HPCF 手動起動に対する時間余裕の評価結果を示す。また，図 6.1.1-1 に HPCF 手動起動時間と燃料被覆管温度の関係を示す。給水配管破断＋ソフトウェア CCF が最厳ケースとなり，炉心の著しい損傷を防止（燃料被覆管の最高温度≦1200℃，燃料被覆管の酸化量≦15％）するための HPCF 手動起動に対する時間余裕
は約 13 分と評価される。給水配管破断ケースは，給水継続が行われないため，多様化設備
による手動操作に対する時間余裕が他のケースに比べ最も小さい。
また，被ばく評価への影響を考慮した手動操作の時間余裕を評価した。表 6.1.1-2 に被ばく評価への影響を考慮した手動操作の時間余裕の評価結果を示す。最厳ケースの給水配管
破断＋ソフトウェア CCF において燃料被覆管の破裂を防止するための HPCF 手動起動に対する時間余裕は約 10 分と評価される。
なお，RHR 出口配管破断＋ソフトウェア CCF では，タービン駆動給水ポンプ（T/D-RFP）
トリップ及びその後の電動駆動給水ポンプ（M/D-RFP）の自動起動のタイミングが，原子炉減圧の状態等によって変わり得ることから，M/D-RFP が自動起動しない保守的な条件で感度解析を実施し，保守的な条件を仮定した場合でも手動操作に対する要求時間は 10 分以上となることを確認している（参考 1 参照）。

表 6.1.1-1 LOCA＋CCF における HPCF 手動起動に対する時間余裕
起因事象

HPCF 手動起動に対する時間余裕

給水配管破断13 分

主蒸気管破断22 分

RHR 出口配管破断

20 分

6 - 1

表 6.1.1-2 被ばく評価への影響を考慮した HPCF 注水の手動操作に対する時間余裕
燃料被覆管の破裂防止のための起因事象

HPCF 手動起動に対する時間余裕

給水配管破断10 分

1400

燃料被覆管最高温度（℃）

1200

1000

800

600
給水配管破断＋CCF

400

主蒸気管破断＋CCF
RHR出口配管破断＋CCF

200

0
0

5

10

15

20

25

30

HPCF手動起動時間（分）図 6.1.1-1 LOCA＋CCF における HPCF 手動起動時間と燃料被覆管温度の関係最厳となる給水配管破断＋ソフトウェア CCF について，境界条件となった HPCF1 台 13 分
手動起動ケースの解析結果を以下に示す。
表 6.1.1-3 に主要事象のクロノロジー，図 6.1.1-2～6 に主要パラメータの時間変化を示す。
給水配管破断により，事象発生と同時に給水流量は全喪失するが，CRD パージ水による注水は継続される。破断口からの冷却材流出により原子炉水位は徐々に低下し，原子炉水位低（レベル 3）信号は事故後約 2 秒で発生する。原子炉水位低（レベル 3）信号発生後，RPS によるスクラムに失敗するが，多様化設備の ATWS-RPT により再循環ポンプ 4 台はトリップする。さらに水位が低下して，原子炉水位低（レベル 2）信号が事故後約 7 秒で発生し，多様化設備の ARI による制御棒挿入機能が作動する。原子炉水位低（レベル 2）信号発生後，ATWS-RPT により残りの再循環ポンプ 6 台がトリップするとともに，約 32 秒後に ARI による
制御棒挿入が完了する。その後，原子炉水位は低下し，約 4 分後にシュラウド内水位は燃料
有効長上端を下回り，燃料被覆管温度は上昇するが，13 分後に多様化設備による HPCF1 台

6 - 2

手動起動により注水が開始され，炉心は再冠水する。
燃料被覆管最高温度は事象発生から約 13 分後に約 1153℃（有効発熱部の下から約 74％の位置）となるが，判断基準である 1200℃を下回る。また，燃料被覆管酸化割合の最大値
は約 10％であり，判断基準である 15％を下回る。
表 6.1.1-3 主要事象のクロノロジー（給水配管破断＋CCF，HPCF1 台 13 分手動起動）
解析結果
0秒

主要事象
給水配管破断給水流量の全喪失（但し，CRD パージ水による注水は継続）

約2秒

RPS によるスクラム失敗（水位低レベル 3）
多様化設備の ATWS-RPT（水位低レベル 3）による 4 台 RPT

約7秒

多様化設備の ARI（水位低レベル 2）による制御棒挿入機能作動
ATWS-RPT（水位低レベル 2）による 6 台 RPT

約 32 秒

制御棒挿入完了

約4分

原子炉水位 TAF 到達

13 分

多様化設備による HPCF1 台の手動起動

約 23 分

炉心再冠水

6 - 3

10

原子炉圧力（MPa[abs]）

8

6

4

2

0
0

10

20

30

事故後の時間（分）図 6.1.1-2 原子炉圧力の時間変化（給水配管破断＋CCF）

20

シュラウド外水位（m）

15
L3
L2

10

L1.5
L1
TAF

5

BAF

0
0

10

20
事故後の時間（分）図 6.1.1-3 原子炉水位（シュラウド外水位）の時間変化（給水配管破断＋CCF）

6 - 4

30

20

シュラウド内水位（m）

15

PCTが発生する燃料集合体内の水位

10
TAF

BAF

5

0
0

10

20

30

事故後の時間（分）図 6.1.1-4 原子炉水位（シュラウド内水位）の時間変化（給水配管破断＋CCF）

1500

注水流量（t/hr）

1000
HPCF流量

500

0
0

10

20
事故後の時間（分）図 6.1.1-5 HPCF 注水流量の時間変化（給水配管破断＋CCF）

6 - 5

30

1400
1200℃

1200

燃料被覆管温度（℃）

1000

800

600

400

200

0
0

10

20
事故後の時間（分）図 6.1.1-6 燃料被覆管温度の時間変化（給水配管破断＋CCF）

6 - 6

30

6.1.2 原子炉冷却材流量の喪失
表 6.1.2-1 に解析結果，表 6.1.2-2 に主要事象のクロノロジー，図 6.1.2-1～6.1.2-7 に主要パラメータの時間変化を示す。
再循環ポンプが同時に全台停止すると炉心流量は急激に減少する。炉心流量の減少によって，ボイド率が増加して炉心に負の反応度が投入されるが，RPS による原子炉スクラム（流量急減）に失敗する。一方，ボイド率の増加で原子炉水位は増加し，約 3 秒で原子炉水位高（レベル 8）によるタービントリップ（タービン主蒸気止め弁閉止）および給水ポンプトリップが発生する。タービントリップにより原子炉圧力が上昇し約 4 秒後に原子炉圧力高信号で代替制御棒挿入機能（ARI）が作動する。また，原子炉出力の減少に応じて燃料被覆管
表面はリウェットし，燃料被覆管温度は約 472 ℃に抑えられる。また燃料被覆管の酸化量は酸化反応が著しくなる前であり，判断基準 15%以下となる。原子炉圧力は逃がし安全弁の作動により約 7.97 MPa[gage]に抑えられる。原子炉冷却材圧力バウンダリにかかる圧力は，
原子炉圧力と原子炉圧力容器底部圧力との差（高々約 0.3 MPa）を考慮しても，判断基準を十分下回る。事象開始後約 29 秒までに ARI による全制御棒挿入は完了して原子炉出力が低
下し事象は収束する。

6 - 7

表 6.1.2-1 原子冷却材流量の喪失＋CCF の判断基準パラメータの解析結果
項目

解析結果

判断基準
＊

燃料被覆管温度（℃）

約 472[20/24]

中性子束（%）

初期値を超えない

原子炉圧力（MPa[gage]）

約 7.97

S/P 水温（℃）
*

1200
10.34
(最高使用圧力の 1.2 倍)

約 41

104

（解析終了時点）(最高使用温度)[ ]内の数値は，燃料棒軸方向 24 ノード中の位置を示す。

表 6.1.2-2 原子炉冷却材流量の喪失＋CCF の主要事象のクロノロジー
解析結果

主要事象

0秒

再循環ポンプ全台トリップ

約2秒

スクラム失敗（流量急減スクラム）＊

約3秒

原子炉水位高（レベル 8）到達
タービントリップ（タービン主蒸気止め弁閉止）
スクラム失敗（主蒸気止め弁閉スクラム）＊

約4秒

燃料被覆管温度最大値到達
原子炉圧力高到達
ARI 弁励磁

約5秒

SRV（逃し弁機能）作動
原子炉圧力最大値到達*

約 29 秒

全制御棒挿入完了

60 秒（解析終了）

RPS（ソフトウェア CCF）による失敗

6 - 8

150

中
性
子
束

100

（ %）
50

0
0

20

40

60

事故後の時間 (s)図 6.1.2-1 中性子束の時間変化（原子炉冷却材流量の喪失＋CCF）

150

炉
心
流
量

100

（ %）
50

0
0

20

40
事故後の時間 (s)図 6.1.2-2 炉心流量の時間変化（原子炉冷却材流量の喪失＋CCF）

6 - 9

60

150

給
水
流
量

100

（ %）
50

0
0

20

40

60

事故後の時間 (s)図 6.1.2-3 給水流量の時間変化（原子炉冷却材流量の喪失＋CCF）

150

主
蒸
気
流
量
（ %）

100

50

0
0

20

40
事故後の時間 (s)図 6.1.2-4 主蒸気流量の時間変化（原子炉冷却材流量の喪失＋CCF）

6 - 10

60

10

9

原
8
子
炉
圧
力
（MPa[gage]） 7

6

5
0

20

40

60

事故後の時間 (s)図 6.1.2-5 原子炉圧力の時間変化（原子炉冷却材流量の喪失＋CCF）

100
L-8
0
L-3
原
子
炉
水
位
変
化

-100
L-2
-200

-300

L-1.5

(cm)
-400

L-1

-500
0

20

40

60

事故後の時間 (s)図 6.1.2-6 原子炉水位(シュラウド外水位)の時間変化（原子炉冷却材流量の喪失＋CCF）

6 - 11

1200

1000

燃
料
被
覆
管
温
度

800

600

400

（℃）
200

0
0

20

40
事故後の時間 (s)図 6.1.2-7 燃料被覆管温度の時間変化（原子炉冷却材流量の喪失＋CCF）

6 - 1260

6.2 反応度の異常な投入又は原子炉出力の急激な変化
6.2.1 制御棒落下
表 6.2.1-1 に解析結果，表 6.2.1-2 に主要事象のクロノロジー，図 6.2.1-1，図 6.2.1-2に主要パラメータの時間変化を示す。
制御棒の落下により，中性子束は急激に増加する。本来であれば SRNM ペリオド短による原子炉スクラムにより事象は整定するが，ソフトウェア CCF によりスクラムが失敗することを仮定している。運転員による対応は期待しないが，ドップラ反応度フィードバック，ボ
イド反応度フィードバックといった固有の安全性により，燃料エンタルピの増加は緩和される。
結果として，燃料エンタルピは約 26 秒後に 775[kJ/kg]まで増加するものの，燃焼及びガ
ドリニア添加に伴う融点低下分を保守的に考慮した判断基準（837kJ/kg）を満足することが分かる。

表 6.2.1-1 制御棒落下＋CCF の判断基準パラメータの解析結果
項目
燃料エンタルピ最大値[kJ/kg]／[cal/g]
破損割合(%)
原子炉冷却材バウンダリ圧力（MPa[gage]）

解析結果

判断基準

約 775/185

963／230※

約 0.7

10.34

約 0.14(最高使用圧力の 1.2 倍)※燃焼（75GWd/t）に伴う融点低下分に相当するエンタルピ約 105kJ/kg（25cal/g）及びガドリニア添加（10wt%）に伴う融点低下分に相当するエンタルピ約 21kJ/kg（5cal/g）
を対象燃料棒に応じて考慮が必要である。保守的に両者を考慮した場合，837kJ/kg（200cal/g）となる。
表 6.2.1-2 制御棒落下＋CCF の主要事象のクロノロジ―
解析結果

主要事象

0秒

制御棒落下開始

約4秒

制御棒落下終了

約 26 秒

燃料エンタルピ最大値到達

約 30 秒（解析終了）

6 - 13

図 6.2.1-1 中性子束の時間変化（制御棒落下+CCF）

図 6.2.1-2 燃料エンタルピの時間変化（制御棒落下+CCF）
6 - 14

6.3 環境への放射性物質の異常な放出6.3.1 放射性気体廃棄物処理施設の破損
放射性気体廃棄物処理施設の破損は，破損した気体廃棄物処理系から環境へ放射性物質が放出される事象である。デジタル安全保護回路による工学的安全施設の自動起動に期待していないため，ソフトウェア CCF を想定しても気体廃棄物処理系の隔離弁を手動閉止することで放出は停止でき，線量影響は判断基準に対して大きな余裕がある。
6.3.2 主蒸気管破断
主蒸気管破断は，主蒸気管破断時に燃料棒からの微小な追加放出を含む原子炉冷却材が環境へ放出される事象である。評価例[5]によれば，ソフトウェア CCF を想定し主蒸気隔離弁が自動閉止しない場合でも，高圧炉心注水系（HPCF）を手動起動して原子炉へ注水すること
により燃料被覆管の健全性を確保することで，線量影響は判断基準を下回ると考えられる。
注：評価例では，代表サイトを対象に以下のような想定で評価を行い，判断基準（5mSv）を下回る結果（約 2.3 mSv）を得ている。
・燃料被覆管からの追加放出を想定（被覆管の破裂なし）
・放出された放射性物質は全量が気相へ移行
・現実的な希ガス漏えい率（f 値）を仮定
6.3.3 燃料集合体の落下
燃料集合体の落下は，落下により破損した燃料から原子炉建屋内へ放出された放射性物
質が環境へ漏えいする事象である。評価例[5]によれば，ソフトウェア CCF を想定し非常用ガス処理系（SGTS）が自動起動しない場合でも，現実的には原子炉建屋の換気空調系が事象発
生前から運転継続しているため，高所放出により線量影響は抑制されると考えられる。
注：評価例では，代表サイトを対象に以下のような想定で評価を行い，判断基準（5mSv）を下回る結果（約 1.9 mSv）を得ている。
・破損燃料本数，使用済燃料プール水による DF 等は設置許可申請解析と同一
・SGTS は不作動（地上放出）
・建屋換気率は 0.5 回/d と仮定
6.3.4 原子炉冷却材喪失
原子炉冷却材喪失における放射性物質の環境への放出は格納容器からのわずかな漏えいを経ることから他の事故に比べると緩慢であり，ソフトウェア CCF を想定し SGTS が自動起動しない場合でも，高圧炉心注水系（HPCF）の手動起動により燃料被覆管の健全性を確保でき，また現実的には原子炉建屋の換気空調系が事象発生前から運転継続しており，高所放出
により線量影響は抑制されることから，判断基準に対して厳しい結果とはならない。

6 - 15

6.3.5 制御棒落下
制御棒落下は，出力の急上昇により破損した燃料から放出された放射性物質が主蒸気隔離弁の閉止前に復水器へ移行し，環境へ漏えいする事象である。ソフトウェア CCF を想定し主蒸気隔離弁が自動閉止しない場合でも，主蒸気隔離弁は手動閉止できること，また，手動閉止の場合には隔離に要する時間が長くなるものの，現実的には蒸気式空気抽出器（SJAE）
が事象発生前から運転継続しているため，復水器からタービン建屋への漏えいはなく，環境への放射性物質の放出は抑制される。

なお，参考として，設計基準事故時における線量影響が判断基準に対して大きな余裕を有していることを表 6.3-1 に示す。

6 - 16

表 6.3-1 事故時の線量影響（設計基準事故時，ABWR）
事故

プラント A

プラント B

1.0×10-２

1.1×10-２

主蒸気管破断5.1×10-２

2.8×10-２

燃料集合体の落下

1.1×10-２

2.7×10-１

原子炉冷却材喪失

1.6×10-５

3.7×10-４

制御棒落下

1.6×10-３

1.1×10-３放射性気体廃棄物処理施設
の破損

判断基準

5

（単位：mSv）

6 - 17

6.4 原子炉格納容器内圧力，雰囲気等の異常な変化
6.4.1 原子炉冷却材喪失
原子炉冷却材喪失時の格納容器内圧力・温度の上昇を支配する破断流量は破断面積によって決まり，ソフトウェア CCF によるスクラム遅れの影響は小さい。また，圧力抑制型格納容器では，破断口から放出される蒸気はサプレッション・チェンバ・プール水で凝縮し，格
納容器圧力の上昇が緩和されることから，格納容器スプレイを自動起動させる必要はない
ため，ソフトウェア CCF を想定しても格納容器スプレイ起動有無の影響を受けない。
6.4.2 可燃性ガスの発生
ソフトウェア CCF を想定し可燃性ガス濃度制御系（FCS）が起動できない場合でも，設計基準事故条件下での現実的な G 値や炉心における沸騰状態の変化を考慮すれば，事故時の判断基準は満足される。
6.4.3 動荷重の発生
原子炉冷却材喪失時の動荷重は，主として破断流量（破断面積）の大きさに支配される。
また，逃がし安全弁作動時の動荷重は，原子炉圧力上昇に対する感度が小さいことから，いずれもソフトウェア CCF によるスクラム遅れの影響は小さい。

6 - 18

7.

まとめ
本資料では，自主的にデジタル安全保護回路のソフトウェア CCF 影響緩和対策を行うにあたり，対策設備である多様化設備の有効性評価の評価条件及び評価結果について取りまとめた。
運転時の異常な過渡変化又は設計基準事故とソフトウェア CCF が重畳する場合に，炉心の著しい損傷を防止する上で，安全保護回路の代替機能を有する多様化設備が有効であり，設計基準事故において使用される判断基準を概ね満足し，事象が収束することを解析等により確認した。

7 - 1

8.

参考文献

[1] 原子力エネルギー協議会，「原子力発電所におけるデジタル安全保護回路のソフトウ
ェア共通要因故障緩和対策に関する技術要件書」，ATENA 20-ME05 Rev.1[2] 東芝エネルギーシステムズ株式会社，「炉心三次元動特性解析に係る最適評価コード（TRACT）の概要」，TLR-101[3] 株式会社グローバル・ニュークリア・フュエル・ジャパン，「TRACG モデル解説書」，
GLR-010[4] 株式会社グローバル・ニュークリア・フュエル・ジャパン，「TRACG 適格性確認報告書」，GLR-011[5] 原子力エネルギー協議会，発電用原子炉施設におけるデジタル安全保護系の共通要因
故障対策等に関する検討チーム 第 4 回会合 資料 1

8 - 1

添付 1 評価対象事象について
運転時の異常な過渡変化＋ソフトウェア CCF，設計基準事故＋ソフトウェア CCF に対して，ソフトウェア CCF の影響を確認するために影響評価が必要な解析対象事象を選定するため，グルーピングの考え方などを整理する。
なお，国内の BWR5 については，核計装系の一部及び放射線モニタ等がデジタル化されているプラントはあるが，安全保護回路自体のデジタル化は当面計画されていないことを踏
まえ，評価対象事象を選定する。
添付図 1-1 に解析対象事象の選定フローを示す。安全保護系及び工学的安全施設の作動回路がデジタル化されている ABWR を対象として，運転時の異常な過渡変化又は設計基準事
故時にソフトウェア CCF の発生を仮定した場合の影響を考慮し，解析対象となる事象を整理したものを添付表 1-1～添付表 1-3 に示す。また，添付図 1-2 に添付表 1-2 の補足として
ABWR において RPV に接続される主要配管の位置を示す。
原子力発電所におけるデジタル安全保護回路のソフトウェア共通要因故障緩和対策に関する技術要件書（ATENA 20-ME05）で例示されている考え方に従い，評価対象とする事象は
まず原子炉停止の観点から，反応度の異常な変化又は投入事象と，それ以外の事象の 2 種類に大別できる。
また，反応度の異常な変化又は投入事象以外の事象は，炉心冷却の観点から初期の水位低下速度が速い LOCA と LOCA 以外の 2 種類に分類できる。LOCA（炉側）は，ソフトウェア CCFの影響で工学的安全施設の自動起動に期待できず，また，他の事象と比較して水位低下速度が速いため，その影響を確認する必要がある。
過渡事象及び LOCA 以外の事故事象では，スクラムによって事象を直接緩和・収束しており，ソフトウェア CCF の影響でスクラムに期待できず制御棒挿入が遅れることによる炉心への熱影響，原子炉圧力への影響を確認する必要がある。SA 有効性評価（原子炉停止機能喪失）の知見も参考として，スクラムが失敗した場合に最も早く影響が生じる原子炉圧力の上昇する事象を評価する（圧力上昇に伴うボイド反応度フィードバックが最も厳しい MSIV
誤閉止を代表とする）。また，その他の過渡事象は圧力上昇事象に比べボイド反応度フィー
ドバックの観点で厳しくならないか，プラント状態の変化が緩慢で設計基準事象ではあるがスクラムに至らない（スクラム失敗の影響がない）事象である。ただし，MSIV 自動閉止
条件に至る事象はソフトウェア CCF による MSIV 自動閉止失敗を想定すると単なる ATWS とは挙動が変わるため，参考として影響を確認する。なお，原子炉冷却材流量の喪失（APTA）
は SA 有効性評価では解析対象外であるが，ソフトウェア CCF の影響評価としては解析を行い，過渡事象及び LOCA 以外の事故事象全体として代表性を確認する。以上の考え方を添付
表 1-1 に示す。
過渡及び事故のうち，工学的安全施設の自動起動によらず収束する事象は，解析対象外となる。具体的には，冷却材流量の部分喪失時にはスクラムに至らずプラント状態は整定する。
放射性気体廃棄物処理施設の破損時には工学的安全施設の自動起動を要せず，仮に検知・隔

添付 1 - 1

離が遅れて放出量が増加しても判断基準に対しては大きな余裕があるため，これらの事象は解析対象外とする。
また，工学的安全施設の自動起動によって収束する事象であっても，起動する工学的安全
施設が事象発生後短期の影響緩和に直接寄与していないものは解析対象外とする。具体的には，原子炉格納容器内圧力，雰囲気等の異常な変化のうち，原子炉冷却材喪失時の格納容
器内圧力・温度の上昇を支配する破断流量は破断面積によって決まり，スクラム遅れの影響
は小さいことと，設計基準事故時の圧力は判断基準に対する裕度が大きい。さらに，放射性物質の環境への漏えいは他の事故に比べると緩慢であり，高圧炉心注水系（HPCF）の手動起動により燃料被覆管の健全性を確保でき，また現実的には原子炉建屋の換気空調系が事象発生前から運転継続しており，高所放出により線量影響は抑制されることから，解析対象外とする。なお，LOCA 時の動荷重は，主として破断流量（破断面積）の大きさに支配され，また，逃がし安全弁作動時の動荷重は原子炉圧力上昇に対する感度が小さいことから，いずれもソフトウェア CCF によるスクラム遅れの影響は小さいため，解析対象外とする。また，可燃性ガスの発生は可燃性ガス濃度制御系（FCS）の機能が期待できない場合でも，設計基準
事故条件下での現実的な G 値や炉心における沸騰状態の変化を考慮すれば，事故時の判断
基準は満足されるため，解析対象外とする。制御棒落下は，ソフトウェア CCF により MSIVの自動閉止に失敗するものの，現実的には SJAE が事象発生前から運転継続しているため放出量は抑制されるため，解析対象外とする。
環境への放射性物質の異常な放出のうち，主蒸気管破断は，隔離弁（MSIV）の自動閉止を期待しているが，その機能が期待できない場合でも，高圧炉心注水系（HPCF）を手動起動し燃料被覆管の健全性を確保することで，線量影響は判断基準を下回ることを過去の評価例
により確認する。燃料集合体の落下は，工学的安全施設（SGTS）の自動起動を期待しているが，その機能が期待できない場合でも，現実的には原子炉建屋の換気空調系が運転継続しているため，高所放出により線量影響は抑制されることを過去の評価例により確認する。
以上の選定の考え方の流れを添付図 1-1 に示す。これらの分類それぞれについて，ソフ
トウェア CCF の多様化設備の有効性を確認するため，基本的には判断基準に対し挙動が最も厳しくなると考えられる事象を解析対象として選定する。

添付 1 - 2

運転時の異常な過渡変化
又は設計基準事故

反応度の異常な変化
又は投入事象Y・起動時における制御棒の異常
な引き抜き
・出力運転中の制御棒の異常な
引き抜き
・制御棒落下N

Y
LOCA（炉側）

・原子炉冷却材喪失（MS，FW，RHR，LPFL，HPCF，底部ドレン）

N※

添付図 1-1 解析対象事象の選定フロー［1/2］添付 1 - 3※N

スクラムにより直接緩和･収束する事象

工学的安全施設が自動起動する事象

N
SA 有効性評価で包絡・スクラムしない過渡(冷却材流量の部分喪失)
・放射性気体廃棄物処理施設の破損

事故後短期の影響の
直接緩和

LOCA 以外の事故
・原子炉冷却材流量の喪失（APTA）

Y

Y
N

MSIV 閉条件に
至る事象

Y

N

環境への放射性物質の異常な放出N
対象外
・原子炉冷却材喪失(格納容器内圧力，線量)
・動荷重の発生・可燃性ガスの発生・制御棒落下(線量)・主蒸気管破断・燃料集合体の落下

Y

過渡(参考解析)

・主蒸気隔離弁の誤閉止・圧力制御系の故障
・給水流量の全喪失(上記で包絡)・負荷遮断・外部電源喪失

対象外

Y

Y

圧力上昇過渡N

対象外
・給水加熱喪失・流量制御系の誤動作
・給水制御系の故障
添付図 1-1 解析対象事象の選定フロー［2/2］
添付 1 - 4：解析対象とした事象：評価例を確認した事象

添付表 1-1 運転時の異常な過渡変化及び LOCA 以外の事故の解析対象事象（ABWR）
分類
圧力上昇過渡事象

必要性

MSIV 全閉

DCD の解析結果より，ATWS（ARI 作動）時

外部電源喪失においては，EP 過渡解析と異なり，原子負荷遮断

炉圧力最大値は再循環ポンプトリップ

対象

タイミングの遅い MSIV 全閉で最も高くなる。原子炉圧力高信号により再循環ポ
ンプトリップする MSIV 全閉に比べ，負荷遮断や外部電源喪失は蒸気加減弁急閉により早期に再循環ポンプトリップ◎

するため原子炉圧力は低い傾向であり解析結果はこれに包絡される。したがって MSIV 全閉を代表事象とする。ARI（原子炉圧力高）に期待しない SA 有効性評
価（MSIV 全閉 ATWS）に包絡されるが，ARI 作動時の挙動を確認する。
圧力低下過渡圧力制御系の故障

設計基準事象ではスクラム時に原子炉出力が低下しており中性子束は初期値を超えない事象であるため，MSIV 全閉に包絡される。タービン入口圧力低の MSIV〇

閉条件に至るもののソフトウェア CCF 発
生時は MSIV が動作しないため，不作動時の影響を確認する。
流量減少過渡冷却材流量の部分喪

炉心流量低下によるボイドの増加によ

失って原子炉水位は上昇するものの原子
炉水位高（レベル 8）には到達せず，タービントリップしないため，ARI 作動に－至らない事象である（設計ベースでスク
ラムしない）。解析結果は MSIV 全閉に包絡されるため，解析対象とはしない。
流量増加過渡流量制御系の誤動作

炉心流量増加によるボイドの減少によって中性子束は増加するが，原子炉水位はレベル 1.5 まで低下することはないた
め MSIV 閉条件に至らず，原子炉圧力の上昇は緩やかなため ARI も作動しない事象である。解析結果は MSIV 全閉に包絡されるため，解析対象とはしない。

添付 1 - 0－

分類
サブクール過渡事象
給水加熱喪失必要性

対象

炉心入口サブクーリングの増加によるボイドの減少により中性子束は上昇す
るが，原子炉水位はレベル 1.5 まで低下することはないため MSIV 閉条件に至らず，原子炉圧力の上昇は緩やかなため－

ARI も作動しない事象である。スクラム
遅れの影響は，SA 有効性評価（MSIV 全閉
ATWS）に包絡されるため，解析対象とはしない。
水位低下過渡給水流量の全喪失

給水流量の喪失により原子炉水位は低下し，さらに原子炉水位低（レベル 3/レベル 2）で再循環ポンプトリップする。
注水により原子炉水位も回復するため
熱的に厳しい事象ではないが，水位の観点から評価を行う。注水が遅れた場合，〇原子炉水位が低下し MSIV 閉条件に至る
ものの，ソフトウェア CCF 発生時は MSIVが自動閉止しないため不作動時の影響も確認する。
水位上昇過渡給水制御系の故障

給水流量増加によって原子炉水位は上
昇し原子炉水位高（レベル 8）によるタービントリップに至るが，ARI 作動により原子炉圧力の上昇は抑えられ，注水により原子炉水位も回復するため事象収束までに MSIV 閉条件には至らない事象である。スクラム遅れの影響は，SA 有効性評価（MSIV 全閉 ATWS）に包絡されるため，解析対象とはしない。なお，原子炉
水位高（レベル 8）によるタービントリ
ップが発生しない場合においては，主蒸気止め弁閉止に伴う圧力上昇も生じな
いため，タービントリップが発生した場合の結果に包絡される。

添付 1 - 1

－

分類

事象

必要性

流量急減事故原子炉冷却材流量のLOCA 以外の事故の代表事象 ＊喪失（APTA）

再循環ポンプ全台トリップによる原子対象

炉出力と流量のミスマッチによって沸騰遷移が生じ，炉心流量急減スクラムしないが，ボイド量増加によって原子炉水◎位は上昇し原子炉水位高（レベル 8）によるタービントリップに至り，ARI 作動
し事象収束となる。沸騰遷移が生じるた
め不作動時の影響を確認する。
DCD：ABWR Design Control Document, Rev.7 (2019)◎：代表事象（運転時の異常な過渡変化及び LOCA 以外の事故）〇：参考解析（過渡変化のタイプと CCF の影響を受ける機器(MSIV 等)の有無に着目して選定－：対象外* 原子炉冷却材流量の喪失（APTA）は設計基準事故であり，SA 有効性評価（原子炉停止
機能喪失）では解析を実施していないため，今回確認のために評価対象としている。

添付 1 - 2添付表 1-2 LCOA の解析対象事象（ABWR）
事象
主蒸気配

配管径

有効断面積を

有効破断

(mm)

与える箇所

面積(m2)

700

フローリミッ

0.39

管破断

タ部×4

必要性

対象

枯渇するまでの間，給復水系による注水が継続するものの，破断面積が最大で，主蒸気隔離弁が閉止〇しないため挙動を確認
給水配管

550

破断

スパージャノ0.084

ズル部

給水配管破断は，破断時に冷却材流出を律速する有効断面積，及び給復水系による注水継続の可否の観点から，運転員操作に要求さ〇れる時間余裕に対する最厳ケー
スとなる。
RHR 出 口

350

配管部

0.079

配管破断

RHR 出口配管破断は，給復水系による注水が継続するものの，破断配管の圧力容器接続位置が給水の注水位置より低く，効果が限定〇的であることから，運転員操作に要求される時間余裕を確認
LPFL 配管

200

破断

スパージャノ0.021

ズル部

破断配管の圧力容器接続位置が
RHR 出口配管と同じであり，破断面積が RHR 出口配管破断より小－さいため，RHR 出口配管破断の解
析に包絡される。
HPCF 配管

200

破断

スパージャノ

0.0082

ズル部

破断面積が小さく，給復水系による注水が枯渇するまで原子炉水位が維持されるため，運転員操作－に要求される時間余裕は大破断
LOCA＋CCF の解析に包絡される。
ドレン
配管破断

65

ベッセルノズル部

0.002

燃料有効長上端より下に接続される配管であるが，破断面積が小さく，給復水系による注水が枯渇するまで原子炉水位が維持されるため，運転員操作に要求される
時間余裕は大破断 LOCA＋CCF の解析に包絡される。

○：解析対象，－：対象外

添付 1 - 3－

添付図 1-2

ABWR における RPV 接続主要配管の位置

添付 1 - 4添付表 1-3 事故（環境への放射性物質の異常な放出・原子炉格納容器内圧力，雰囲気等の異常な変化）の解析対象事象（ABWR）
分類

事象

必要性

環境への放射性

放射性気体廃棄物処

工学的安全施設は自動起動しない事象

物質の異常な放理施設の破損であり，仮に検知・隔離が遅れても，線量影響は判断基準に対して大きな余裕

出

対象

－

があるため，解析対象とはしない。
主蒸気管破断主蒸気隔離弁の自動閉止に期待しているため，ソフトウェア CCF の影響により主蒸気隔離弁が自動閉止しない場合でも，高圧炉心注水系（HPCF）を手動起動＃

し燃料被覆管の健全性を確保すること
で，線量影響は判断基準を下回ることを，過去の評価例から確認する。
燃料集合体の落下

非常用ガス処理系の自動起動に期待しているため，ソフトウェア CCF の影響により非常用ガス処理系（SGTS）が自動起動しない場合でも，現実的には原子炉建
屋の換気空調系が事象発生前から運転＃継続しているため，高所放出により線量影響は抑制されることを，過去の評価例
から確認する。
原子炉冷却材喪失

放射性物質の環境への放出は格納容器
からのわずかな漏えいのみで他の事故に比べると緩慢であり，SGTS が自動起動しない場合でも，判断基準に対して厳し－い結果とはならないため，解析対象とは
しない。
制御棒落下

現実的には蒸気式空気抽出器（SJAE）が事象発生前から運転継続しているため，復水器からタービン建屋への漏えいは－なく，環境への放射性物質の放出は抑制されるため，解析対象とはしない。
原子炉格納容器原子炉冷却材喪失

格納容器内圧力・温度の上昇を支配する

内圧力，雰囲気

破断流量は破断面積によって決まり，ス等の異常な変化

クラム遅れの影響は小さい。また，圧力添付 1 - 5

－

分類

事象

必要性

対象

抑制型格納容器では格納容器スプレイを自動起動させる必要はないため，解析対象とはしない。
可燃性ガスの発生

可燃性ガス濃度制御系（FCS）が起動できない場合でも，設計基準事故条件下での現実的な G 値や炉心における沸騰状態の－変化を考慮すれば，事故時の判断基準は満足されるため，解析対象とはしない。
動荷重の発生原子炉冷却材喪失時の動荷重は，主として破断流量（破断面積）の大きさに支配され，また，逃がし安全弁作動時の動荷重は，原子炉圧力上昇に対する感度が小さいことから，いずれもスクラム遅れの影響は小さいため，解析対象とはしない。

○：解析対象，＃：評価例[5]から判断基準を満足すると考えられる，－：対象外

添付 1 - 6－

添付 2 代表プラント以外への適用性
ソフトウェア CCF 対策の有効性評価では，ABWR を代表プラントとして検討している。ABWR
では安全保護系のデジタル化範囲はプラント間で同一である。BWR5 では，核計装と放射線モニタが一部デジタル化されているプラントがある。
具体的には，添付表 2-1 及び添付表 2-2 に示す緩和系の作動信号がソフトウェア制御となっている場合は，当該の事象に対してソフトウェア CCF の重畳を想定することになる。なお，緩和系のうち，静的機器，外部からの動力の供給によらず作動する設備（安全弁）は，
ソフトウェア制御の影響を受けないため表から除いている。また，BWR5 の想定事象である
原子炉冷却材系の停止ループの誤起動と原子炉冷却材ポンプの軸固着は，デジタル安全保
護系により収束する事象ではないため，ソフトウェア CCF の想定対象とはならない。
・核計装
起動時の制御棒の異常な引き抜きについては，制御棒落下速度の方が制御棒引き抜き速
度よりも速いため制御棒落下事故事象で包絡される。
出力運転中の制御棒の異常な引き抜きについては，設計基準事象と異なりロッドブロッ
クされないため，複数本引き抜かれる ABWR の方が投入反応度が大きくなることから，ABWRの評価に包絡される。
制御棒落下事象では落下制御棒近傍が重要であり，炉心サイズによる直接的な影響は基本的にはない。そのため，ABWR において制御棒落下速度を BWR5 条件とすることで，BWR5 も含めた代表解析としている。
運転時の異常な過渡変化（制御棒系の過渡以外）のうち，核計装信号によるスクラムを期待しているのは，給水加熱喪失及び原子炉冷却材流量制御系の誤動作である。これらの事象
は，スクラム失敗時でも原子炉水位がレベル 2 まで低下することはないため MSIV 閉条件に至らず，原子炉圧力の上昇は緩やかなため ARI も作動しない事象であり，主蒸気隔離弁の誤閉止より原子炉圧力の上昇が大きくなることはない。主蒸気隔離弁の誤閉止は，原子炉停止
機能喪失時でも多様化設備等により炉心の健全性が確保できることが重大事故等対策の有効性評価で確認済であり，これらの事象はその結果に包絡される。
・放射線モニタ
制御棒落下時の破損燃料本数は，前述のように制御棒落下速度を BWR5 条件とすることで代表性のある評価としている。ABWR 及び BWR5 いずれも，主蒸気隔離弁を手動閉止すること
で放射能放出は停止でき，また，現実的には蒸気式空気抽出器（SJAE）が事象発生前から運転継続しているため，復水器からタービン建屋への漏えいはなく，環境への放射性物質の放出は抑制される。
放射性気体廃棄物処理施設の破損は，ABWR 及び BWR5 いずれも，気体廃棄物処理系の隔離弁を手動閉止することで放射能放出は停止でき，線量影響は判断基準に対して大きな余裕がある。
主蒸気管破断時の環境への冷却材放出は，主蒸気管流量大や主蒸気管放射能等の信号で

添付 2 - 1

隔離されるが，BWR5 ではソフトウェア CCF を想定しても原子炉水位低（アナログ）により隔離されるため，ABWR の評価に包絡される。
燃料集合体落下時の挙動は炉型に依存しない。ソフトウェア CCF を想定し非常用ガス処
理系（SGTS）が自動起動しない場合でも，現実的には原子炉建屋の換気空調系が事象発生前から運転継続しているため，高所放出により線量影響は抑制される。

添付表 2-1 設計基準事象における緩和系の作動信号（運転時の異常な過渡変化）
事象
原子炉起動時における制解析で考慮する緩和系の作動信号
原子炉停止系

備考

工学的安全施設

原子炉周期短 *1

－

*1

核計装

制御棒引抜監視装置

－

*2

核計装

御棒の異常な引き抜き
出力運転中の制御棒の異常な引き抜き(RBM 信号)*2による引き抜き阻止原子炉冷却材流量の部分

－

－

－

－

喪失
原子炉冷却材の停止ルー
プの誤起動 (BWR5)
外部電源喪失CV 急速閉－給水加熱喪失中性子束高(熱流束

－

*3

核計装

中性子束高 *3

－

*4

核計装

負荷の喪失

CV 急速閉－

主蒸気隔離弁の誤閉止

MSIV 閉－給水制御系の故障

MSV 閉－

原子炉圧力制御系の故障

MSIV 閉－給水流量の全喪失

原子炉水位レベル 3*5

RCIC(補給水機能)相当) *2
原子炉冷却材流量制御系の誤動作

原子炉水位レベル 2 *4

添付 2 - 2添付表 2-2 設計基準事象における緩和系の作動信号（事故）
解析で考慮する緩和系の作動信号

事象
原子炉冷却材喪失

原子炉停止系

工学的安全施設

原子炉水位レベル 3

原子炉水位レベル 1.5

D/W 圧力高or D/W 圧力高 (高圧系)

備考

原子炉水位レベル 1 orD/W 圧力高 (低圧系)
原子炉水位レベル 1 andD/W 圧力高 (ADS)
原子炉水位レベル 3(SGTS)(ABWR)

原子炉水位レベル 1.5(MSIV)
手動 (格納容器スプレイ
冷却系，可燃性ガス濃度
制御系)
同上

原子炉水位レベル 2 or

一部のプラントD/W 圧力高 (高圧系)の高圧系作動は

原子炉水位レベル 1 or

レベル 1HD/W 圧力高 (低圧系)
原子炉水位レベル 1 andD/W 圧力高 (ADS)
原子炉水位レベル 3(BWR5)(SGTS)
原子炉水位レベル 2(MSIV)
手動 (格納容器スプレイ
冷却系，可燃性ガス濃度
制御系)
原子炉冷却材流量の喪失

炉心流量急減 *6－(ABWR)*6

核計装系内で判定(BWR5)

MSV 閉

原子炉冷却材ポンプの軸

MSV 閉

－

固着 (BWR5)
制御棒落下

中性子束高 *5

主蒸気管放射能高(MSIV)

添付 2 - 3

*7

核計装

事象

解析で考慮する緩和系の作動信号

備考

原子炉停止系

工学的安全施設－

気体廃棄物処理設備エリ*8

ア放射能高 *6

物処理系隔離弁

放射性気体廃棄物処理施設の破損

MS-3(気体廃棄を手動閉)
主蒸気管破断燃料集合体の落下

MSIV 閉

主蒸気管流量大－原子炉区域放射能高添付 2 - 4

添付 3 プラント設計の代表性及び燃料型式の影響(1) プラント設計
有効性評価では ABWR（3,926MW）プラントを対象としているが，解析に関連する個別プラ
ント間の設計差異がある項目を添付表 3-1 に示す。
・炉心流量幅は，個別プラントの流量幅を包絡する 90～120％の範囲で，解析結果が厳しくなるように低流量側の下限（90％）としている。
・逃がし安全弁は，原子炉過圧事象の観点で厳しめの従来型 SRV としており，また，原子炉冷却材喪失では破断により原子炉は減圧されるため，影響はない。
・再循環ポンプ電源の違いにより RPT 台数が異なるが，運転時の異常な過渡変化＋CCF では RPT 台数が 4 台から 5 台となり，RPT による炉心流量減少が大きくなるが，出力低下の効果も大きくなるため，代表ケースより過度に厳しくなることはない。また，原子炉
冷却材喪失＋CCF では再循環ポンプが全台トリップした後に炉心が露出し，燃料被覆管
温度が上昇するため，RPT 台数の違いによる影響はない。
・FMCRD の構造の違いにより，制御棒の常駆動速度仕様値（30±3mm/s→28±5mm/s）及びステップ幅（約 18mm→約 37mm）が異なるが，制御棒の誤引き抜き＋CCF において解析
条件として用いる制御棒引き抜き速度の上限値は 33mm/s で変わらず，また，制御棒引
抜阻止条件として 0.010Δk まで引き抜かれる間に運転員が連続引き抜きを中断することを想定しているため，ステップ幅の違いによる影響もない。
添付表 3-1 プラント設計の主な差異
項目

代表ケースの解析条件

差異のあるプラント

炉心流量幅

定格流量の 90～120％

定格流量の 95～120％

逃がし安全弁

従来型 SRV×18 弁

大容量 SRV×16 弁

再循環ポンプ電

ASD（10 台）＋MG セット（2 台）

流体継手付き MG セット（2 台）

源

RPT 台数：4 台（炉圧高，水位低 L3） RPT 台数：5 台（炉圧高，水位低 L3）
6 台（水位低 L2）

制御棒駆動機構

FMCRD（軸封型）

5 台（水位低 L2）
FMCRD（シールレス型）

添付 3 - 1

(2) 燃料型式
対象事象のうち，評価結果が燃料設計に依存する事象への影響は以下のようになる。
a. MOX(8×8)燃料・運転時の異常な過渡変化及び LOCA 以外の事故
Pu 装荷割合が多いため，ボイド反応度の観点で原子炉圧力の上昇は厳しくなる傾向はあるが，その影響は BWR5 の評価例によれば比較的小さく，判断基準に対しては十分な余裕がある。また，軸方向出力分布はウラン(9×9)燃料より下方ピークとなる傾向であるため，炉心上部が沸騰遷移する事象における燃料被覆管温度の上昇は代表ケースより厳しくならない。
・原子炉冷却材喪失（LOCA）
評価対象期間ではウラン燃料より崩壊熱が小さく，また，MOX 炉心はウラン（9×9）炉心より軸方向出力分布が下方ピークとなる傾向があるため，炉心露出時の燃料被覆管温度の上昇は代表ケースより厳しくならない。なお，ウラン燃料と MOX 燃料の違いが被ばく評価に及ぼす影響は，解析条件の保守性に包絡される。
・制御棒の誤引き抜き/制御棒落下“原子炉起動時における制御棒の異常な引き抜き”及び“制御棒落下”において，遅発中性子割合が小さくなることで事象初期における出力パルスは大きくなる傾向はあるが，特にボイド反応度による負の反応度がウラン(9×9)燃料より大きく，また運転時の最大線出力密度の制限を満足させるため，低温時の軸方向出力分布ピーキング係数及び局所ピーキ
ング係数が小さくなる方向であることとあいまって，燃料エンタルピが代表ケースより過度に厳しくなることはない。
“出力運転中の制御棒の異常な引き抜き”については，ボイド反応度及びドップラ反応度による負の反応度がウラン(9×9)燃料より大きく，また単位長さあたりの燃料棒表面積が大きいことで同じ線出力密度条件では除熱されやすいこととあいまって，燃料被覆管温度が代表ケースより過度に厳しくなることはない。
b. 9×9(B)型燃料
・運転時の異常な過渡変化及び LOCA 以外の事故
9×9(A)型燃料より水対ウラン比が大きく，ボイド率増減に伴う減速材水量の変化は小さ
いため，リミティング事象において圧力上昇に伴うボイド減少による反応度増加が相対的に小さく，ボイド反応度の観点で 9×9(A)型燃料より厳しくはならない。また，軸方向出力
分布は 9×9(A)型燃料と大きな相違はない。
・原子炉冷却材喪失（LOCA）
事象発生後早期に ARI（原子炉水位低）が作動するため，制御棒が挿入され一定時間を経た後の炉心露出により上昇を始める燃料被覆管温度に対する反応度（ボイド及びドップラ）

添付 3 - 2

の違いの影響は小さい。軸方向出力分布は 9×9(A)型燃料と大きな相違はなく，また，燃料集合体形状の違いが炉心露出時の燃料被覆管温度に及ぼす影響もわずかである。
・制御棒の誤引き抜き/制御棒落下“原子炉起動時における制御棒の異常な引き抜き”及び“制御棒落下”において，9×9(A)型燃料と比較して，9×9(B)型燃料のボイド反応度の絶対値が小さく，かつ，軸方向出力分
布が上歪傾向となるため，9×9(A)型燃料よりも厳しくなる傾向にあると考えられる。軸方向出力分布については，部分長燃料棒がない 9×9(B)型燃料では，より上方ピークになりやすい傾向を持つ。出力運転中においてはスクラム反応度曲線が設計用スクラム曲線を上回るよう設計するため，軸方向出力分布が過度に上歪となることはなく，大きな相違は生じな
い一方，低温時／高温待機時においては 9×9(B)型燃料で上方ピークとなる傾向が表れやすい。しかしながら，9×9(B)型燃料のボイド反応度は十分負の値を有していること，及び 9
×9(A)型燃料の評価で軸方向出力分布がより上歪の炉心を対象に評価していることから，
燃料エンタルピが代表ケースより過度に厳しくなることはない。なお，局所ピーキング係数
は燃料格子によっても異なるが，運転時の最大線出力密度の制限を満足させる制約から大きな違いはなく，代表ケースより過度に厳しくならない。これは 9×9(A)型燃料についても同様である。
“出力運転中の制御棒の異常な引き抜き”についても傾向は同様であり，燃料被覆管温度が代表ケースより過度に厳しくなることはない。

添付 3 - 3

添付 4 多様化設備が作動させる設備に対するサポート系の機能確保
CCF 有効性評価において，多様化設備が作動させる原子炉停止系統・工学的安全施設等
は，そのサポート系が使用できない場合には利用できないものとして扱うこととしている。
ここで，サポート系が使用可能とは，起因事象との従属性がなく，かつソフトウェア CCF の影響を受けないことをいう。外部電源喪失のような一部のサポート系が期待できなくなる起因事象についても，以下に示すように事象収束に必要な機能は確保される。
サポート系
電源系

説明
起因事象として外部電源の喪失が生じる事象以外は，外部電源は利用可能であるため，多様化設備により作動させる工学的安全施設等の各設備のサポート系に必要な電源は供給可能である。
起因事象として外部電源が喪失する事象では，常用電源が期待できな
くなるものの，対処設備となる原子炉停止系統及び主蒸気逃がし安全
弁は，交流動力電源に依らずその動作が期待できるものであり，事象収束の機能を果たすことができる。また，現実的には他号機からの D/G 融
通や常設代替交流電源等の利用が可能であるが，保守的にこれらすべてが期待できない場合でも非常用電源系を手動起動することにより，長期冷却及び冷温停止に移行することができる。

冷却系，空調系

CCF 有効性評価において，ソフトウェア CCF による安全保護系の機能喪失を想定するものの，起因事象発生以前から正常に運転していたサポート系はソフトウェア CCF の影響を受けない。したがって，「運転時の異常な過渡変化」または「設計基準事故」にソフトウェア CCF が重畳しても，補機冷却系のように通常時から運転されており各々の起因事象との従属性がなくソフトウェア CCF の影響を受けないサポート系は利用可能である。
起因事象としての外部電源の喪失が生じた場合については，対処設備となる原子炉停止系統及び主蒸気逃がし安全弁は，冷却系，空調系等に依らず期待できるものであり，事象収束の機能を果たすことができる。
また，補機冷却系及び空調系を手動起動することにより，長期冷却及び冷温停止に移行することができる。

添付 4 - 1

添付 5 有効性評価で仮定する運転員対応操作について
ソフトウェアCCF有効性評価のうち，「原子炉冷却材喪失」では，運転員によるHPCF手
動起動操作を仮定している。「原子炉冷却材喪失」とソフトウェアCCFが重畳した場合に，運転員によるHPCF手動起動操作完了までの時間余裕が最も厳しい事象は「給水配管破断」であるが，多様化設備の警報等により事象を認知でき，原子炉制御室からHPCFを手動起動することが可能である。
各操作の所要時間は以下のとおり算定しており，必要な操作が添付表5-1に記載の時間内に実施可能であることは，事業者の確認結果に基づき記載している。
・ソフトウェアCCFに対応するために整備される手順書に基づき，事象認知から機器操作までに必要な項目として，多様化設備作動確認，多様化設備警報確認，計器確認，
事象判断，操作場所までの移動等を選定する。
・各事業者において，操作に必要な各項目に対して，運転員による模擬操作時間を計測する。
・各計測結果をもとに，全BWRプラントを包絡させる時間として算定する。
なお，運転時の異常な過渡変化とソフトウェアCCFが重畳した場合に運転員によるHPCF
手動起動操作が最も早く必要になる事象は「給水流量の全喪失」であるが，多様化設備の警報等により事象を認知でき，多様化設備のARIによる制御棒挿入完了後の崩壊熱による
原子炉水位の低下は比較的緩やかであることから，十分な時間余裕を持って原子炉制御室
からHPCFを手動起動することができるため，注水の時間余裕は「原子炉冷却材喪失」に包絡される。
添付表5-1 HPCF手動起動操作の所要時間
原子炉冷却材喪失（給水配管破断）
操作内容

所要時間

(1) 事象発生～事象判断

5分*(2) 事象判断～操作完了

5分*

合計

10分

備考

全BWRプラントを包絡する値* 計測結果をもとに各操作の所要時間を安全側に切り上げた値を設定。

添付 5 - 1

参考 1 LOCA＋ソフトウェア CCF における常用系設備の作動タイミングに関する感度解析について
LOCA＋ソフトウェア CCF のうち，RHR 出口配管破断＋ソフトウェア CCF では，主蒸気配管断破断に比べ破断面積が小さく原子炉減圧速度が緩やかであり，原子炉の減圧速度によってタービン駆動給水ポンプ（T/D-RFP）トリップ及びその後の電動駆動給水ポンプ（M/D-RFP）の自動起動のタイミングが変わり得ることから，保守的な条件として M/D-RFP
が自動起動しない場合の多様化設備による手動操作の時間余裕に対する感度を確認した。
添付表 6-1 に，RHR 出口配管破断＋ソフトウェア CCF において保守的に M/D-RFP が自動起動しないことを仮定した感度解析における HPCF 手動起動に対する時間余裕の評価結果を示す。また，添付図 6-1 に HPCF 手動起動時間と燃料被覆管温度の関係を示す。HPCF 手動起動に対する時間余裕は約 12 分と評価される。
添付表 6-1 RHR 出口配管破断＋CCF におけるHPCF 手動起動に対する時間余裕（感度解析）
起因事象

HPCF 手動起動に対する時間余裕

RHR 出口配管破断

12 分

1400

燃料被覆管最高温度（℃）

1200

1000

800

600

400

RHR出口配管破断＋CCF（感度解析）

200

0
0

5

10

15

20

25

HPCF手動起動時間（分）添付図 6-1 RHR 出口配管破断＋CCF におけるHPCF 手動起動時間と燃料被覆管温度の関係（感度解析）

参考 1 - 130添付１－２ BWR5の安全保護回路ソフトウェアCCFの有効性評価補足説明

日立 GE/東芝 ESS

BWR5 の安全保護回路ソフトウェア CCF の有効性評価補足説明
1. はじめに
BWR5 では，核計装と放射線モニタが一部デジタル化されているプラントがある。
「沸騰水型原子力発電所 デジタル安全保護回路のソフトウェア共通要因故障影響緩和対策の有効性評価書」（TLR-100/HLR-129）（以下，有効性評価書）は ABWR を代表プラントとして検討しているが，添付 2 において BWR5 への適用性を説明している。しかし，添付 2 には BWR5 では想定されるソフトウェア CCF に対して設備対応が不要であることを明記していない。
本図書は，有効性評価書の補足説明として，核計装と放射線モニタが一部デジタル化されている BWR5 において想定されるソフトウェア CCF 事象に対し，多様化設備を考慮した ABWRの評価結果との比較も参考にしつつ，設備対応が不要であることを示すものである。
2. BWR5 におけるソフトウェア CCF 事象
有効性評価書の添付表 2-1 及び添付表 2-2 に設計基準事象における緩和系の作動信号を整理している。当該表より，核計装をデジタル化している BWR5 では，以下の事象に対してソフトウェア CCF の重畳が想定される。なお，平均出力領域計装のみをデジタル化している
BWR5 では，ソフトウェア CCF の影響を受けない中間領域計装による中性子束高信号でのス
クラムに期待できるため，①及び⑤は対象外となる。
① 原子炉起動時における制御棒の異常な引き抜き② 出力運転中の制御棒の異常な引き抜き③ 給水加熱喪失④ 原子炉冷却材流量制御系の誤動作⑤ 制御棒落下また，放射線モニタをデジタル化している BWR5 では，以下の事象に対してソフトウェア
CCF の重畳が想定される。
⑥ 制御棒落下（被ばく評価）⑦ 燃料集合体の落下
被ばく評価に係る⑥～⑦の事象については，有効性評価書の添付 2 に示すように，有効性評価書 「6.3 環境への放射性物質の異常な放出」の ABWR に対する評価に代表され，これらの事象に対するソフトウェア CCF 影響緩和対策として多様化設備は不要である。なお，主蒸気管トンネル温度高の検知がデジタル化されているプラントでは，蒸気の小漏えい時にソフトウェア CCF の重畳を想定した場合でも，原子炉水位低（BWR5 はアナログ）により原子炉は隔離され燃料の健全性が確保されるため，多様化設備は不要である。
したがって，上記①～⑤の事象について，ソフトウェア CCF 影響緩和対策として多様化設

1

日立 GE/東芝 ESS

備が不要であることを説明する。
なお，ABWR の有効性評価において多様化設備を考慮した解析事象は，上記①～⑤の事象の中では，②出力運転中の制御棒の異常な引き抜きのみである。
（①原子炉起動時における制御棒の異常な引き抜きは，運転操作により事象は収束する。⑤制御棒落下は，解析上多様化設備を考慮していない。③④のプラント過渡 2 事象は，挙動が代表事象に比べて緩やかで多様化設備の作動に至らないため解析対象としていない。
）
3. BWR5 におけるソフトウェア CCF 事象の影響
2.で特定した①～⑤の事象について，ソフトウェア CCF 事象の影響を示す。
（1）原子炉起動時における制御棒の異常な引き抜き＋CCF
原子炉の起動時に運転員の誤操作による制御棒 1 本の連続引き抜きにより，中性子束が急激に増加する事象である。起動領域計装／平均出力領域計装をデジタル化している BWR5
では，本来であれば起動領域計装のペリオド短／平均出力領域計装の中性子束高信号による原子炉スクラムにより事象は整定するが，ソフトウェア CCF によりスクラムに失敗する。
現実的には，運転員が連続引き抜き中に異常に気付き，速やかに制御棒の手動挿入に移ることが期待できる。
BWR5 は ABWR のような制御棒のギャング引き抜きモードがなく制御棒 1 本の誤引き抜きとなる。このため，有効性評価書の添付 2 に記載のとおり，最終的に制御棒 1 本が全引き抜き状態となる起動時の制御棒誤引き抜きと制御棒落下を比較すると，制御棒落下速度の方が誤引き抜きによる制御棒引き抜き速度より速いため，本事象の影響（ABWR では燃料エンタ
ルピ最大値が約 717 kJ/kg）は制御棒落下＋CCF の解析結果（ABWR では燃料エンタルピ最大値が約 775 kJ/kg）に包絡される。制御棒落下＋CCF については，有効性評価書「6.2.1 制
御棒落下」に，反応度フィードバックによる固有の安全性により，燃料エンタルピの増加は緩和され，BWR5 条件の制御棒落下速度でも燃焼及びガドリニア添加に伴う融点低下を考慮しても判断基準（963 kJ/kg[gage]）を満足することが示されており，また，原子炉は低圧状態であることから，原子炉冷却材バウンダリ圧力の判断基準（10.34 MPa[gage]）に対しては十分な余裕があるため，ソフトウェア CCF 影響緩和のための多様化設備は不要である。
したがって，本事象に対しても多様化設備は不要と判断される。
（2）出力運転中の制御棒の異常な引き抜き＋CCF
原子炉の出力運転中に運転員の誤操作による制御棒 1 本の連続引き抜きにより，出力が徐々に増加する事象である。平均出力領域計装をデジタル化している BWR5 では，本来であれば制御棒引抜監視装置により制御棒引き抜きが阻止されるが，ソフトウェア CCF により制御棒引抜阻止に失敗する。
ここで，上述のように，BWR5 は ABWR のような制御棒のギャング引き抜きモードがなく制御棒 1 本の誤引き抜きとなる。このとき，炉心平均の出力及び原子炉圧力の増加はわずかであり判断基準（＜10.34 MPa[gage]）を満足し，原子炉圧力高による再循環ポンプトリップ

2

日立 GE/東芝 ESS

及び代替制御棒挿入は発生せず，運転が継続される（仮に原子炉圧力の上昇が大きい場合は，
BWR5 ではアナログ信号によるスクラムが再循環ポンプトリップおよび代替制御棒挿入より先に発生する）。また，誤引き抜き制御棒周辺の燃料集合体において沸騰遷移が発生し，燃料被覆管温度は有効性評価書「5.1.2 出力運転中の制御棒の異常な引き抜き」に示すギャン
グ引き抜きを仮定した場合と同じように 900℃程度まで上昇し，運転員による誤引き抜き制
御棒の挿入操作，または手動スクラムまでその状態が継続するものの，判断基準（≦1200℃）を満足する。ここで操作に要求される時間は，解析結果に基づき燃料被覆管温度が約 900℃となっていることを想定し，燃料被覆管の酸化量が 15％となる時間を Baker-Just の式に基づき評価すると約 12 時間と評価される。したがって，運転員による１本引き抜きは複数の運転員が確認をすることから人間系による誤引き抜きの阻止が期待できること，また，万が一，発生したとしても通常の制御棒挿入操作，または既設の手動スクラムによる対応が可能
であり時間余裕も十分あることから，ソフトウェア CCF 影響緩和のための多様化設備は不要と判断される。
（3）給水加熱喪失＋CCF
原子炉の出力運転中に，給水加熱器の蒸気流量が喪失して，給水温度が徐々に低下し，炉心入口サブクーリングが増加して，原子炉出力が上昇する事象である。平均出力領域計装をデジタル化している BWR5 では，
本来であれば平均出力領域計装の中性子束高（熱流束相当）（定格の 115％）による原子炉スクラムにより事象は整定するが，ソフトウェア CCF によりスクラムに失敗する。
炉心平均の出力は 120％程度まで上昇するが，圧力制御により原子炉圧力の増加はわずかであり，また，給水制御により原子炉水位の低下もわずかで，原子炉水位がレベル 2 まで低下することはないため MSIV 閉条件に至らないことからも，原子炉圧力の上昇は緩やかなものとなる。このため，主蒸気隔離弁の誤閉止より原子炉圧力の上昇が大きくなることはない。
主蒸気隔離弁の誤閉止は，原子炉停止機能喪失時でも重大事故等対策設備により判断基準（＜10.34 MPa[gage]）を満足することを重大事故等対策の有効性評価で確認済であり，本事象はその結果に包絡される。原子炉圧力高または原子炉水位低による再循環ポンプトリ
ップ及び代替制御棒挿入は発生せず，運転員による制御棒挿入，または手動スクラムにより出力低下させるまで出力が高い状態で運転が継続される。出力上昇に伴い沸騰遷移が発生
し，燃料被覆管温度が上昇するが，出力変化は他の事象に比べ緩やかであり，出力上昇も120％程度であることから，燃料被覆管温度は有効性評価書「5. 運転時の異常な過渡変化＋
ソフトウェア CCF の解析」に示す制御棒誤引き抜き以外の他のプラント過渡＋CCF 事象の結果（ABWR の評価例では最大 748℃）に包絡され，判断基準（≦1200℃）を満足する。また，
出力低下操作に対する時間余裕は，燃料被覆管温度を約 800℃に想定し，燃料被覆管の酸化量が 15％となる時間を Baker-Just の式に基づき評価すると約 3 日と評価される。したがって，事象収束に必要な通常の制御棒挿入操作，または既設の手動スクラムに対する時間余裕も十分あることから，ソフトウェア CCF 影響緩和のための多様化設備は不要と判断される。

3

日立 GE/東芝 ESS（4）原子炉冷却材流量制御系の誤動作＋CCF
原子炉の出力運転中に，再循環流量制御系の故障等により，再循環流量が増加し，原子炉出力が上昇する事象である。平均出力領域計装をデジタル化している BWR5 では，本来であれば平均出力領域計装の中性子束高（定格の 120％）による原子炉スクラムにより事象は整定するが，ソフトウェア CCF によりスクラムに失敗する。なお，添付書類十に記載の運転時の異常な過渡変化解析では，炉心流量の増加率が大きい再循環片ループの誤動作を想定しているが，ソフトウェア CCF によりスクラムに失敗する場合，誤動作により最大炉心流量まで増加する再循環両ループの誤動作を想定した方が，炉心流量増加後の整定状態において熱的に厳しくなることから，以下では再循環両ループの誤作動を想定する。
炉心流量の増加に伴いボイドが減少し中性子束が一時的に増加するが，反応度フィード
バックにより出力上昇は抑えられ，炉心流量に見合った出力状態に整定する。圧力制御により原子炉圧力の増加は抑制され，また，給水制御により原子炉水位低下も抑制され，原子炉水位がレベル 2 まで低下することはないため MSIV 閉条件に至らないことからも，原子炉圧力の上昇は緩やかなものとなる。このため，主蒸気隔離弁の誤閉止より原子炉圧力の上昇が大きくなることはない。主蒸気隔離弁の誤閉止は，原子炉停止機能喪失時でも重大事故等対策設備により判断基準（＜10.34 MPa[gage]）を満足することを重大事故等対策の有効性評
価で確認済であり，本事象はその結果に包絡される。原子炉圧力高または原子炉水位低による再循環ポンプトリップ及び代替制御棒挿入は発生せず，運転員による制御棒挿入，または手動スクラムにより出力低下させるまで出力が高い状態で運転が継続される。このとき，定格出力，炉心流量制御幅下限（85％炉心流量）のような運転特性図の設計流量制御曲線上の運転点から当該事象が発生した場合，整定出力は運転特性図より 110％出力程度になると推定されることから，上記(3)と同様に，出力上昇に伴い沸騰遷移が発生し，燃料被覆管温度が上昇する場合でも，燃料被覆管温度の最大値は判断基準（≦1200℃）を満足する。また，
上記(3)と同様に，事象収束に必要な通常の制御棒挿入操作，または既設の手動スクラムに対する時間余裕も十分あることから，ソフトウェア CCF 影響緩和のための多様化設備は不要と判断される。
（5）制御棒落下＋CCF
制御棒駆動軸から分離した制御棒が炉心から落下し，中性子束が急激に増加する事象である。起動領域計装／平均出力領域計装をデジタル化している BWR5 では，本来であれば起動領域計装のペリオド短／平均出力領域計装の中性子束高信号による原子炉スクラムにより事象は整定するが，ソフトウェア CCF によりスクラムに失敗する。反応度フィードバック
による固有の安全性により，燃料エンタルピの増加は緩和される。
有効性評価書の添付 2 に記載のとおり，制御棒落下事象では落下制御棒近傍が重要であり，炉心サイズによる直接的な影響は基本的にはないため，有効性評価書「6.2.1 制御棒落下」では，ABWR において制御棒落下速度を BWR5 条件とすることで，BWR5 も含めた代表解析としている。代表解析の燃料エンタルピ最大値は約 775 kJ/kg であり，燃焼及びガドリニア
添加に伴う融点低下を考慮しても判断基準（963 kJ/kg）を満足している。また，原子炉冷4

日立 GE/東芝 ESS

却材バウンダリ圧力は約 0.14 MPa[gage]であり，判断基準（＜10.34 MPa[gage]）を満足している。したがって，(1)に記載のとおり，制御棒落下＋CCF に対しては，ソフトウェア CCF
影響緩和のための多様化設備は不要である。
4. まとめ有効性評価書の添付 2 に示す BWR5 への適用性説明の補足として，核計装と放射線モニタ
が一部デジタル化されている BWR5 において想定されるソフトウェア CCF 事象について，その影響について多様化設備を考慮した ABWR の評価結果との比較も参考にしつつ整理した。
対象となる CCF 事象では，アナログ信号によるスクラムが生ずるか，通常の制御棒挿入操
作，または既設の手動スクラムによる対応が可能であり時間余裕も十分あることから，ソフ
トウェア CCF 影響緩和のための多様化設備は不要と判断される。

5