資料1-4-3
本資料のうち，枠囲みの内容は機密事項に属しますので公開できません。

柏崎刈羽原子力発電所6号及び7号炉審査資料
資料番号
KK67-0046 改01
提出年月日
平成27年2月19日

柏崎刈羽原子力発電所 6号及び7号炉

安全保護回路について

平成27年2月
東京電力株式会社

第二十四条：安全保護回路<目次>
1． 基本方針・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・
1.1 要求事項の整理・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・
1.2 適合のための設計方針・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

1
1
3

2． 安全保護回路・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 6
2.1 安全保護系の不正アクセス行為防止のための措置について・・・・・・・・・ 6
2.2 安全保護系盤の概要・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 9
2.3 物理的分離及び電気的分離について・・・・・・・・・・・・・・・・・・・・ 10
2.4 外部からの不正アクセス行為防止について・・・・・・・・・・・・・・・・・・ 11
2.5 安全保護系盤制御装置のソフトウェア管理方法について・・・・・・・・・・・ 12
2.6 想定脅威に対する対策について・・・・・・・・・・・・・・・・・・・・・・ 13
2.7 安全保護系の検証及び妥当性確認について・・・・・・・・・・・・・・・・・・・ 14

<概要>１．において，安全保護回路の設置許可基準規則，技術基準規則の追加要求事項を明確化するとともに，それら要求に対する柏崎刈羽原子力発電所６号炉及び７号炉における適合性を示す。
２．において，安全保護回路について，追加要求事項に適合するために必要となる機能を達成するための設備又は運用等について説明する。

1． 基本方針
1.1 要求事項の整理
安全保護回路について，設置許可基準規則第二十四条及び技術基準規則第三十五条において，追加要求事項を明確化する（第1.1表）。
第 1.1 表 設置許可基準規則第二十四条及び技術基準規則第三十五条 要求事項
設置許可基準規則
技術基準規則備 考第二十四条（安全保護回路）
第三十五条（安全保護装置）
発電用原子炉施設には，次に掲げると 発電用原子炉施設には，安全保護装置 変更なし
ころにより，安全保護回路（安全施設 を次に定めるところにより施設しなに属するものに限る。以下この条にお ければならない。
いて同じ。）を設けなければならない。
一 運転時の異常な過渡変化が発生す 一 運転時の異常な過渡変化が発生する場合において，その異常な状態をる場合又は地震の発生により発電検知し，及び原子炉停止系統その他用原子炉の運転に支障が生ずる場系統と併せて機能することにより，合において，原子炉停止系統その他燃料要素の許容損傷限界を超えな系統と併せて機能することにより，いようにできるものとすること。
燃料要素の許容損傷限界を超えないようにできるものであること。
二 設計基準事故が発生する場合において，その異常な状態を検知し，原子炉停止系統及び工学的安全施設を自動的に作動させるものとする
こと。

変更なし
－

三 安全保護回路を構成する機械若し 二 系統を構成する機械若しくは器具 変更なし
又はチャンネルは，単一故障が起き
くは器具又はチャンネルは，単一故障が起きた場合又は使用状態からた場合又は使用状態からの単一のの単一の取り外しを行った場合に取り外しを行った場合において，安おいて，安全保護機能を失わないよ
全保護機能を失わないよう，多重性う，多重性を確保するものとするこを確保すること。と。
四 安全保護回路を構成するチャンネ 三 系統を構成するチャンネルは，そ 変更なし
ルは，それぞれ互いに分離し，それれぞれ互いに分離し，それぞれのチぞれのチャンネル間において安全ャンネル間において安全保護機能を失わないように独立性を確保す
保護機能を失わないように独立性を確保するものとすること。
ること。

1

五 駆動源の喪失，系統の遮断その他 四 駆動源の喪失，系統の遮断その他 変更なしの不利な状況が発生した場合におの不利な状況が生じた場合においいても，発電用原子炉施設をより安ても，発電用原子炉施設をより安全全な状態に移行するか，又は当該状な状態に移行するか，又は当該状態態を維持することにより，発電用原を維持することにより，発電用原子子炉施設の安全上支障がない状態炉施設の安全上支障がない状態をを維持できるものとすること。
維持できること。
六 不正アクセス行為その他の電子計 五 不正アクセス行為その他の電子計 追加要求
算機に使用目的に沿うべき動作を算機に使用目的に沿うべき動作を事項させず，又は使用目的に反する動作させず，又は使用目的に反する動作をさせる行為による被害を防止すをさせる行為による被害を防止することができるものとすること。
るために必要な措置が講じられているものであること。
七 計測制御系統施設の一部を安全保 六 計測制御系の一部を安全保護装置 変更なし
護回路と共用する場合には，その安と共用する場合には，その安全保護全保護機能を失わないよう，計測制機能を失わないよう，計測制御系か御系統施設から機能的に分離されら機能的に分離されたものであるたものとすること。
こと。

－－

七 発電用原子炉の運転中に，その能力を確認するための必要な試験ができるものであること。

変更なし

八 運転条件に応じて作動設定値を変更できるものであること。

変更なし

2

1.2 適合のための設計方針
一 安全保護系は，運転時の異常な過渡変化時に，中性子束及び原子炉圧力等の変化を検出し，原子炉緊急停止系を自動的に作動させ燃料の許容設計限界を超えることがないよう設計する。
安全保護系は，偶発的な制御棒引抜きのような原子炉停止系のいかなる単一誤動作に起因する異常な反応度印加が生じた場合でも，燃料の許容設計限界を超えないよう，中性子束高スクラム及び原子炉周期短により原子炉を停止できるように設計する。
二 安全保護系は，事故時に異常状態を検知し，原子炉緊急停止系を自動的に作動させる。また自動的に主蒸気隔離弁の閉鎖，非常用炉心冷却系の起動，非常用ガス処理系の起動を行わせる等の保護機能を有する設計とする。
1. 原子炉は，下記の条件の場合にスクラムする。
a. 原子炉圧力高b. 原子炉水位低c. ドライウェル圧力高
d. 中性子束高(平均出力領域モニタ)
e. 原子炉周期短(起動領域モニタ)
f. 中性子束計装動作不能(起動領域及び平均出力領域モニタ)
g. 炉心流量急減
h. 制御棒駆動機構充てん水圧力低i. 主蒸気隔離弁閉
j. タービン主蒸気止め弁閉
k. タービン蒸気加減弁急速閉
1. 主蒸気管放射能高m. 地震加速度大n. 手動
o. モード・スイッチ「停止」
2. 工学的安全施設を作動させる工学的安全施設作動回路には，次のようなものを設ける。
a. 原子炉水位低，主蒸気管放射能高，主蒸気管圧力低，主蒸気管流量大，主蒸気管ト
ンネル温度高，復水器真空度低のいずれかの信号による主蒸気隔離弁閉鎖b. ドライウェル圧力高，原子炉水位低，原子炉区域放射能高のいずれかの信号による常用換気系の閉鎖と非常用ガス処理系の起動
c. 原子炉水位低又はドライウェル圧力高の信号による高圧炉心注水系，原子炉隔離時
冷却系及び低圧注水系の起動
d. 原子炉水位低及びドライウェル圧力高の同時信号による自動減圧系の作動
e. 原子炉水位低又はドライウェル圧力高の信号による非常用ディーゼル発電機の起動
f. 原子炉水位低又はドライウェル圧力高の信号による主蒸気隔離弁以外の隔離弁の閉鎖
三 安全保護系は，以下に示す設計方針に基づき多重性を有するチャンネル構成とし，機器又はチャンネルの単一故障が起こっても，あるいは使用状態からの単一取り外しを行っても保護機能を果たすよう設計する。
具体例は下記のとおりである。
1. 原子炉緊急停止系の作動回路は，検出器，トリップ・チャンネル，主トリップ継電器等で構成し「2 out of 4」方式とする。
3

検出器は4区分に分け，一つの区分には，一つの測定変数に対して1個以上の検出器を設ける。また，トリップ・チャンネルは4チャンネル設ける。
各トリップ・チャンネルは，四つの区分の検出器からの信号を入力し，2区分以上の検出器の動作によりトリップする。各トリップ・チャンネルからの信号は，対応するトリップ・チャンネルに属する主トリップ継電器に入力され，二つ以上のトリップ・チャンネルがトリップした場合，原子炉はスクラムする。
したがって，機器またはチャンネルの単一故障が起こっても，使用状態からの単一の取り外しを行っても安全保護系の機能は維持できる。
2. 工学的安全施設を作動させる検出器は，多重性をもった構成とする。
したがって，これらの単一故障，使用状態からの単一取外しを行っても他の検出器により，安全保護機能は維持できる。
四 安全保護系は，その系を構成するチャンネル相互が分離され，また計測制御系からも原則として分離し，独立牲を持つ設計とする。
具体例は下記のとおりである。
1. 格納容器を貫通する計装配管は，物理的に独立した貫通部を有する4系統を設ける。
2. 検出器からのケーブル，電源ケーブルは，独立に中央制御室の各盤に導く。各トリップチャンネルの論理回路は，盤内で独立して設ける。
3. 安全保護系作動回路の電源は，分離・独立した母線から供給する。
五 安全保護系の駆動源として電気あるいは空気圧を使用する。この系統に使用する弁等は，フェイル・セイフとするか，又は故障と同時に現状維持（フェイル・アズ・イズ）になるようにし，この現状維持の場合でも多重化された他の回路によって保護動作を行えるようにする。
フェイル・セイフとなるものの主要なものをあげると以下のとおりである。
1. 電源喪失(1) スクラム(2) 主蒸気隔離弁閉(3) 格納容器ベント弁閉2. 制御用空気喪失(1) スクラム(2) 格納容器ベント弁閉
また，主蒸気隔離弁以外の工学的安全施設を作動させる安全保護系の場合，駆動源である電源の喪失は，系の現状維持をもたらすものである。
系の遮断やその他，火災，浸水等不利な状況が発生した場合でも，この工学的安全施設作動回路及び工学的安全施設自体が多重性，独立性を持つことで原子炉を十分に安全な状態に導くよう設計する。
六 安全保護系は，以下のとおり，外部からの不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができる設計としている。
(1) 安全保護系は，直接社外のネットワークとは接続しない設計としており，外部システムと接続する必要があるデータについては，防護装置を介しての接続とするとともに，安全保護系盤の信号を一方向（送信機能のみ）通信に制限することで機能的に分離する設計とする。
4

(2) 安全保護系の回路には，安全保護上要求される機能を正しく確実に実現するために，設計，製作等の各段階において，検証及び妥当性確認を実施したソフトウェアを使用している。
(3) 不正な変更等による承認されていない動作や変更を防ぐため，発電所の出入管理により，物理的アクセスを制限するとともに，安全保護系盤制御装置の保守ツール接続コネクタ部に対して施錠を行い，関係者以外のアクセスを防止する設計とする。
七 安全保護系と計測制御系とは電源，検出器，ケーブル・ルート及び格納容器を貫通する計装配管を，原則として分離する設計とする。
安全保護系は，原子炉水位及び原子炉圧力等を検出する計装配管ヘッダの一部を計測制御系と共用すること及び原子炉核計装の検出部が表示，記録計用検出部と共用される以外は計測制御系とは完全に分離する等，計測制御系での故障が安全保護系に影響を与えない設計とする。
計装配管は，4系列で独立性があり，更に1系列内で安全保護系と共用している計測制
御系の配管は，安全保護系と同等の設計としている。
また，原子炉核計装の検出部が表示，記録計用検出部と共用しているが，計測制御系の短絡，地絡又は断線によって安全保護系に影響を与えない設計とする。

5

2． 安全保護回路
2.1 安全保護系の不正アクセス行為防止のための措置について「実用発電用原子炉及びその附属施設の位置，構造及び設備の基準に関する規則」第二十四条（安全保護回路） 第１項第六号にて要求されている『不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができるものとすること。』に対して，ディジタル化している安全保護系（原子炉緊急停止系作動回路，工学的安全施設作動回路）は下記の対策を実施している。
(1) ハードウェアの物理的な分離又は機能的な分離対策
安全保護系の信号は，安全保護系盤→プロセス計算機→防護装置→緊急時対策支援シ
ステム伝送装置（ERSS）→防護装置を介して外部に伝送している。この信号の流れにおいて，安全保護系からは発信されるのみであり，外部からの信号を受信しないこと，及びハードウェアを直接接続しないことで物理的及び機能的分離を行っている。
(2) 外部ネットワークからの遠隔操作及びウイルス等の侵入防止対策
緊急時対策支援システム伝送装置は，防護装置を介しての接続とするとともに，安全保護系盤の信号を一方向（送信機能のみ）通信に制限し外部からのデータ書き込み機能を設けないことでウイルスの侵入及び外部からの不正アクセスを防止している。
(3) 物理的及び電気的アクセスの制限対策
発電所への入域に対しては，出入管理により物理的アクセスを制限し，電気的アクセスについては，安全保護系盤制御装置の保守ツールを施錠管理された場所に保管するとともに，安全保護系盤制御装置の保守ツール接続コネクタ部を施錠することにより不要なソフトウェアへのアクセスを制限することで，管理されない変更を防止している。
(4) システムの導入段階，更新段階又は試験段階で承認されていない動作や変更を防ぐ
対策｢安全保護系へのディジタル計算機の適用に関する規程（JEAC4620）｣及び「ディジタル安全保護系の検証及び妥当性確認に関する指針（JEAG4609）」に準じて設計，製作，試験及び変更管理の各段階で検証及び妥当性確認（V&V）がなされたソフトウェアを使用している。また，安全保護系は，固有のソフトウェアを使用（一般的なコンピュータウイルスが動作しない環境）するとともに，保守以外の不要なソフトウェアへのアクセ
ス制限対策として入域制限を行い，関係者以外の不正な変更等を防止している。
(5) 耐ノイズ・サージ対策
安全保護系は，雷・誘導サージ・電磁波障害等による擾乱に対して，制御盤へ入線する電源受電部にラインフィルタや絶縁回路を設置，外部からの信号入出力部にラインフィルタや絶縁回路を設置，通信ラインにおける光ケーブルを適用している。また開発検証時に耐ノイズ／サージに対する耐性を確認している。（電源ノイズ試験・誘導ノイズ試験／参考規格 ANSI C 37.90，静電ノイズ試験／参考規格 IEC-Pub801-2，電波障害試
験／参考規格 JEIDA-29「工業用計算機設置環境基準」，インパルス試験／参考規格
JEC-210,212）(6) ウイルス侵入防止について，供給者への要求事項及び供給者で実施している対策
ウイルスの侵入防止対策も含め，当社の安全保護系への妨害行為又は破壊行為を防止
6するため，第2.1表のようなセキュリティ対策を安全保護系の設計に反映するよう，供給者へ要求することとしている。なお，当社は供給者に対し，品質保証に関する監査を継続的に実施することにより，適切に管理されているかを確認することとしている。
供給者はこれを受けて，インターネットへの直接接続の禁止，保守のための当該システムへの接続は許可された機器のみに限定している等の対応を実施している。

7

第 2.1 表
項目

供給者への要求事項及び供給者で実施している対策
当社の要求

供給者の対応開発・改造に関する
設計上の
要求

媒体の管理

保守に関する
要求

教育

設定及び設定変更管理

作業実施：防護上の観点から公開できません

8

2.2

安全保護系盤の概要
安全保護系盤は，プロセス信号（検出器からの信号）を処理，監視するとともに，設定値との比較を行い，原子炉緊急停止信号及び工学的安全施設作動に係わる信号を発信する設備である。
ディジタル設備の適用に当たっては，「安全保護系へのディジタル計算機の適用に関する規程」（JEAC4620）及び「ディジタル安全保護系の検証及び妥当性確認に関する指針」(JEAG4609）に準じた検証及び妥当性確認を行っている。
グループ１

区分Ⅰ
設定 値比較 部

論理 回路部
手 動ス クラム
※

※

※

※

※

※

※

※

※
※

ソフトウェアⅠ

Ⅲ

ソフトウェア
※

※

検出器

Ⅲ

多重伝送装置Ⅰ

ⅣⅡ

安全保護系盤
他区分へ Ⅳ Ⅲ Ⅱ

Ⅱ ⅢⅣ 他区分から区分Ⅱ

ⅡＡ

Ⅳ

ソレ ノイド（ Ａ）

同上Ｂ

ソレノイド（ Ｂ）

スクラムパ イロット弁※※グループ２～４も同様

検出器
多重伝送装置安全保護系盤
インターフェース部

警報区分Ⅲ
※

ＡＮ Ｎ

※
※

プロセス計算機

ソフトウェア
※

同上

※
※

※

検出器
多重伝送装置安全保護系盤

区分Ⅳ

同上

凡例

※

：光伝送：メタル伝送

検出器
多重伝送装置※：光変換カード

安全保護系盤

第 2.2 図安全保護系盤構成図（例：原子炉緊急停止信号）

安全保護系は，相互干渉が起こらないように，物理的，電気的独立性を持たせている。
盤内のソフトウェアは区分毎にそれぞれ設けており，ソフトウェアの故障，異常等の単一故障又は使用状態からの単一の取り外しを行った場合でも，安全保護系機能を喪失することはない。また，誤信号発生等による誤動作・誤不動作を防止するため，区分毎に論理回路部を設け，2 out of 4ロジック回路を構成している。

9

2.3

物理的分離及び電気的分離について
安全保護系盤からインターフェース部（計測制御系）の分離は，光変換カードによって送信側と受信側の物理的及び電気的分離（計測制御系で短絡等の故障が生じても安全保護系に影響を与えない）を行っている。
送信側

受信側
インターフェース部（計測制御系）

安全保護系

光変換カード光変換カード

電気信号
電気信号

光

物理的分離

電気的分離

第 2.3 図通信における分離概念図

10

2.4

外部からの不正アクセス行為防止について
安全保護系盤は，外部ネットワークと直接接続は行っておらず，外部システムと接続する必要のあるデータ等については，防護装置を介して接続している。また，安全保護系盤の制御装置は固有のソフトウェアを使用するとともに，外部からのデータ書き込み機能を設けないことでウイルスの侵入等を防止している。
原子力発電所への入域については，出入管理により制限しており，外部からの人的妨害行為または破壊行為を防止している。また，安全保護系盤制御装置の保守ツール接続コネクタ部に対して施錠を行い，関係者以外のアクセスを防止している。
社外

原子力発電所
緊急時対策所（免震重要棟）

出入管理

緊急時対策支援システム伝送装置

妨害行為
又は破壊行為

防護装置
外部ネットワーク

サービス建屋
中央制御室（コントロール建屋）

妨害行為
又は破壊行為

妨害行為
又は破壊行為：許可されている情報の流れ（電気通信回線）：許可されていない情報の流れ（電気通信回線）

第 2.4 図妨害行為
又は破壊行為

出入管理

制御装置の保守ツー
ル接続コネクタ部の施錠による物理的な対策を実施

出入管理

アクセス管理出入管理

安全保護系盤 プロセス計算機 防護装置

ネットワーク概略図11：許可されていないアクセス2.5

安全保護系盤制御装置のソフトウェア管理方法について
安全保護系盤制御装置のソフトウェア変更にあたっては，保管庫内の施錠されたラック内に保管した保守ツールを使用して行い，保守ツール使用時は安全保護系盤制御装置の保守ツール接続コネクタ部の解錠を必要とし，管理されないソフトウェアの変更を防止している。安全保護系盤制御装置へソフトウェアをインストールする場合は，以下の手順で実施する。
なお，一連の作業は当社社員が立ち会い，正しくソフトウェア変更が行われたことを確認することとしている。

第 2.5 図安全保護系盤制御装置及び保守ツール：防護上の観点から公開できません

12

2.6

想定脅威に対する対策について
安全保護系のソフトウェアは，工場製作段階から以下の想定脅威に対する対策を適切に行うことで高い信頼性を実現している。
第 2.6 表 想定脅威に対する対策（工場製作及び出荷）想定脅威
対策：防護上の観点から公開できません

13

2.7

安全保護系の検証及び妥当性確認について
安全保護系のソフトウェアは，工場製作段階から以下の品質保証活動に基づくライフサイクルプロセスにおける各段階での検証と妥当性確認（V&V）を適切に行うことで高い信頼性を実現している。
第 2.7-1 表 ライフサイクルプロセスにおける各段階での対策段階

設計プロセス

製作プロセス

試験プロセス

装荷プロセス

変更プロセス

内容
安全保護系設備に対するシステムの要求事項からソフトウェア設計仕様を作成する。

対策

安全保護系設備ソフトウェ
ア設計要求仕様より安全保護系設備ソフトウェアを製作する。
製作された安全保護系設備ソフトウェアに対して，ハードウェアを統合し，その統合したシステムが設計要
求通り製作されていることを試験により確認する。
実機へ安全保護系設備ソフトウェアを実装する。
安全保護系設備ソフトウェ
アの変更が生じた場合，変更仕様を決定し，変更を行うライフサイクルプロセスから，変更の実施内容に応じて必要とされる各々のプロセスを順次実施する。

：防護上の観点から公開できません
ディジタル安全保護系ソフトウェアは，設計，製作，試験，変更管理の各段階で，「安全保護系へのディジタル計算機の適用に関する規程」（JEAC4620）及び「ディジタル安全保護系の検証及び妥当性確認に関する指針」(JEAG4609）に基づき，安全保護上要求される機能が正しく確実に実現されていることを保証するため，供給者による検証及び妥当性確認の各段階において，確実に実施されていることを確認している。
なお，設計要求仕様の変更及びソフトウェアの変更が生じた際は，変更理由，変更箇所等を文書化し，変更の影響範囲を明確にした上で，変更を実施する。必要に応じ，変更箇所及び変更の影響を受ける部分について検証及び妥当性確認作業を再度実施する。
以下に，検証及び妥当性確認の流れと内容を示す。

14

供給者

当社

ディジタル安全保護系
システム要求事項
基本計画

基本計画の確認【基本計画書】

システム設計要求仕様

検証１

ハードウェア
ソフトウェア
設計要求仕様検証２

検証と妥当性確認（Ｖ＆Ｖ）
要領書の審査報告書の確認

設計プロセス

ハード
ウェア
設計・製作

【要領書，報告書】

設計図書の審査

ソフトウェア
設計・製作

検証３，４

ハードウェア・ソフトウェア統合

検証５【設定値根拠書，インターロック
ブロック線図，ソフトウェア図他】

製作プロセス

試験プロセス

試験

装荷プロセス

装荷

妥当性確認

変 更変更プロセス

検証と妥当性確認（必要に応じ）

検証と妥当性確認（Ｖ＆Ｖ）
要領書の審査報告書の確認【要領書，報告書】

運転・保守プロセス運 転 ・ 保 守

変 更変更プロセス

Ｖ＆Ｖ実施範囲
廃廃止プロセス

止Ｖ＆Ｖ：検証と妥当性確認(Verification and Validation)

第 2.7 図ディジタル安全保護系のソフトウェアに対する検証及び妥当性確認の流れ

第 2.7-2 表
検証項目
検証１
検証２
検証３
検証４
検証５
妥当性確認

検証項目及び検証内容

検証内容
ディジタル安全保護系システム要求事項が正しくシステム設計要求仕様に反映されていることを検証する。
システム設計要求仕様が正しくハードウェア・ソフトウェア設計要求仕様に反映されていることを検証する。
ソフトウェア設計要求仕様が正しくソフトウェア設計に反映されていることを検証する。
ソフトウェア設計通りに正しくソフトウェアが製作されていることを検証する。
ハードウェアとソフトウェアを統合してハードウェア・ソフトウェア設計要
求仕様通りのシステムとなっていることを検証する。
ハードウェアとソフトウェアを統合して検証されたシステムが，ディジタル安全保護系システム要求事項を満たしていることを確認する。

以上
15