資料2-3
本資料のうち，枠囲みの内容は機密事項に属しますので公開できません。

柏崎刈羽原子力発電所6号及び7号炉審査資料
資料番号
KK67-0046 改05
提出年月日
平成27年9月3日

柏崎刈羽原子力発電所 6号及び7号炉

安全保護回路について

平成27年9月
東京電力株式会社

第二十四条：安全保護回路<目
次>
1． 基本方針・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・
1.1 要求事項の整理・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・
1.2 適合のための設計方針・・・・・・・・・・・・・・・・・・・・・・・・・・・・・

1
1
3

2． 安全保護回路・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 6
2.1 安全保護系の不正アクセス行為防止のための措置について・・・・・・・・・ 6
2.2 安全保護系盤の概要・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 9
2.3 物理的分離及び電気的分離について・・・・・・・・・・・・・・・・・・・・ 10
2.4 外部からの不正アクセス行為防止について・・・・・・・・・・・・・・・・・・ 11
2.5 安全保護系盤制御装置のソフトウェア管理方法について・・・・・・・・・・・ 12
2.6 想定脅威に対する対策について・・・・・・・・・・・・・・・・・・・・・・ 13
2.7 安全保護系の検証及び妥当性確認について・・・・・・・・・・・・・・・・・・・ 14
別紙1
別紙2
別紙3
別紙4
別紙5
別紙6

アナログ型安全保護回路について，承認されていない動作や変更を防ぐ設計方針
今回の設置許可申請に関し，安全保護回路に変更を施している場合の基準適合性
アナログ型安全保護回路の不正アクセス行為等の防止対策
ソフトウェア更新時の立会において，インサイダー等に対するセキュリティ対策
ディジタル型安全保護回路のシステムへ接続可能なアクセスについて
ディジタル型安全保護回路について，システム設計と実際のデバイスが具備している機能との差（未使用機能等）による影響の有無
別紙7 安全保護系の過去のトラブル（落雷によるスクラム動作事象等）の反映事項

<概

要>

１．において，安全保護回路の設置許可基準規則，技術基準規則の追加要求事項を明確化
するとともに，それら要求に対する柏崎刈羽原子力発電所６号炉及び７号炉における適合性を示す。
２．において，安全保護回路について，追加要求事項に適合するために必要となる機能を達成するための設備又は運用等について説明する。

1． 基本方針
1.1 要求事項の整理
安全保護回路について，設置許可基準規則第二十四条及び技術基準規則第三十五条において，追加要求事項を明確化する（第1.1表）。
第 1.1 表 設置許可基準規則第二十四条及び技術基準規則第三十五条 要求事項
設置許可基準規則
技術基準規則備 考第二十四条（安全保護回路）
第三十五条（安全保護装置）
発電用原子炉施設には，次に掲げると 発電用原子炉施設には，安全保護装置 変更なし
ころにより，安全保護回路（安全施設 を次に定めるところにより施設しなに属するものに限る。以下この条にお ければならない。
いて同じ。）を設けなければならない。
一 運転時の異常な過渡変化が発生す 一 運転時の異常な過渡変化が発生する場合において，その異常な状態をる場合又は地震の発生により発電検知し，及び原子炉停止系統その他
用原子炉の運転に支障が生ずる場
系統と併せて機能することにより，合において，原子炉停止系統その他
燃料要素の許容損傷限界を超えな系統と併せて機能することにより，いようにできるものとすること。
燃料要素の許容損傷限界を超えないようにできるものであること。
二 設計基準事故が発生する場合において，その異常な状態を検知し，原子炉停止系統及び工学的安全施設を自動的に作動させるものとする
こと。

変更なし
－

三 安全保護回路を構成する機械若し 二 系統を構成する機械若しくは器具 変更なし
くは器具又はチャンネルは，単一故又はチャンネルは，単一故障が起き障が起きた場合又は使用状態からた場合又は使用状態からの単一のの単一の取り外しを行った場合に取り外しを行った場合において，安
おいて，安全保護機能を失わないよ
全保護機能を失わないよう，多重性
う，多重性を確保するものとするこを確保すること。
と。
四 安全保護回路を構成するチャンネ 三 系統を構成するチャンネルは，そ 変更なし
ルは，それぞれ互いに分離し，それれぞれ互いに分離し，それぞれのチ
ぞれのチャンネル間において安全
ャンネル間において安全保護機能
保護機能を失わないように独立性を失わないように独立性を確保すを確保するものとすること。
ること。

1

五 駆動源の喪失，系統の遮断その他 四 駆動源の喪失，系統の遮断その他 変更なしの不利な状況が発生した場合におの不利な状況が生じた場合においいても，発電用原子炉施設をより安ても，発電用原子炉施設をより安全全な状態に移行するか，又は当該状な状態に移行するか，又は当該状態態を維持することにより，発電用原を維持することにより，発電用原子子炉施設の安全上支障がない状態
炉施設の安全上支障がない状態をを維持できるものとすること。
維持できること。
六 不正アクセス行為その他の電子計 五 不正アクセス行為その他の電子計 追加要求
算機に使用目的に沿うべき動作を算機に使用目的に沿うべき動作を事項
させず，又は使用目的に反する動作
させず，又は使用目的に反する動作をさせる行為による被害を防止すをさせる行為による被害を防止することができるものとすること。
るために必要な措置が講じられているものであること。
七 計測制御系統施設の一部を安全保 六 計測制御系の一部を安全保護装置 変更なし
護回路と共用する場合には，その安と共用する場合には，その安全保護
全保護機能を失わないよう，計測制機能を失わないよう，計測制御系か
御系統施設から機能的に分離され
ら機能的に分離されたものである
たものとすること。
こと。

－

－

七 発電用原子炉の運転中に，その能力を確認するための必要な試験ができるものであること。

変更なし

八 運転条件に応じて作動設定値を変更できるものであること。

変更なし

2

1.2 適合のための設計方針
一 安全保護系は，運転時の異常な過渡変化時に，中性子束及び原子炉圧力等の変化を検出し，原子炉緊急停止系を自動的に作動させ燃料の許容設計限界を超えることがない
よう設計する。
安全保護系は，偶発的な制御棒引抜きのような原子炉停止系のいかなる単一誤動作に起因する異常な反応度印加が生じた場合でも，燃料の許容設計限界を超えないよう，中性子束高スクラム及び原子炉周期短により原子炉を停止できるように設計する。
二 安全保護系は，事故時に異常状態を検知し，原子炉緊急停止系を自動的に作動させる。また自動的に主蒸気隔離弁の閉鎖，非常用炉心冷却系の起動，非常用ガス処理系の起動を行わせる等の保護機能を有する設計とする。
1. 原子炉は，下記の条件の場合にスクラムする。
a. 原子炉圧力高b. 原子炉水位低c. ドライウェル圧力高
d. 中性子束高(平均出力領域モニタ)
e. 原子炉周期短(起動領域モニタ)
f. 中性子束計装動作不能(起動領域及び平均出力領域モニタ)
g. 炉心流量急減
h. 制御棒駆動機構充てん水圧力低i. 主蒸気隔離弁閉
j. タービン主蒸気止め弁閉
k. タービン蒸気加減弁急速閉
1. 主蒸気管放射能高m. 地震加速度大n. 手動
o. モード・スイッチ「停止」
2. 工学的安全施設を作動させる工学的安全施設作動回路には，次のようなものを設ける。
a. 原子炉水位低，主蒸気管放射能高，主蒸気管圧力低，主蒸気管流量大，主蒸気管ト
ンネル温度高，復水器真空度低のいずれかの信号による主蒸気隔離弁閉鎖b. ドライウェル圧力高，原子炉水位低，原子炉区域放射能高のいずれかの信号による常用換気系の閉鎖と非常用ガス処理系の起動
c. 原子炉水位低又はドライウェル圧力高の信号による高圧炉心注水系，原子炉隔離時
冷却系及び低圧注水系の起動
d. 原子炉水位低及びドライウェル圧力高の同時信号による自動減圧系の作動
e. 原子炉水位低又はドライウェル圧力高の信号による非常用ディーゼル発電機の起動
f. 原子炉水位低又はドライウェル圧力高の信号による主蒸気隔離弁以外の隔離弁の閉鎖
三 安全保護系は，以下に示す設計方針に基づき多重性を有するチャンネル構成とし，機器又はチャンネルの単一故障が起こっても，あるいは使用状態からの単一取り外しを行っても保護機能を果たすよう設計する。
具体例は下記のとおりである。
1. 原子炉緊急停止系の作動回路は，検出器，トリップ・チャンネル，主トリップ継電器
等で構成し「2 out of 4」方式とする。
3

検出器は4区分に分け，一つの区分には，一つの測定変数に対して1個以上の検出器を設ける。また，トリップ・チャンネルは4チャンネル設ける。
各トリップ・チャンネルは，四つの区分の検出器からの信号を入力し，2区分以上の検出器の動作によりトリップする。各トリップ・チャンネルからの信号は，対応するト
リップ・チャンネルに属する主トリップ継電器に入力され，二つ以上のトリップ・チャ
ンネルがトリップした場合，原子炉はスクラムする。
したがって，機器またはチャンネルの単一故障が起こっても，使用状態からの単一の取り外しを行っても安全保護系の機能は維持できる。
2. 工学的安全施設を作動させる検出器は，多重性をもった構成とする。
したがって，これらの単一故障，使用状態からの単一取り外しを行っても他の検出器により，安全保護機能は維持できる。
四 安全保護系は，その系を構成するチャンネル相互が分離され，また計測制御系からも原則として分離し，独立牲を持つ設計とする。
具体例は下記のとおりである。
1. 格納容器を貫通する計装配管は，物理的に独立した貫通部を有する4系統を設ける。
2. 検出器からのケーブル，電源ケーブルは，独立に中央制御室の各盤に導く。各トリ
ップチャンネルの論理回路は，盤内で独立して設ける。
3. 安全保護系作動回路の電源は，分離・独立した母線から供給する。
五 安全保護系の駆動源として電気あるいは空気圧を使用する。この系統に使用する弁等は，フェイル・セイフとするか，又は故障と同時に現状維持（フェイル・アズ・イズ）になるようにし，この現状維持の場合でも多重化された他の回路によって保護動作を行えるようにする。
フェイル・セイフとなるものの主要なものをあげると以下のとおりである。
1. 電源喪失(1) スクラム(2) 主蒸気隔離弁閉(3) 格納容器ベント弁閉2. 制御用空気喪失(1) スクラム(2) 格納容器ベント弁閉
また，主蒸気隔離弁以外の工学的安全施設を作動させる安全保護系の場合，駆動源である電源の喪失は，系の現状維持をもたらすものである。
系の遮断やその他，火災，浸水等不利な状況が発生した場合でも，この工学的安全施設作動回路及び工学的安全施設自体が多重性，独立性を持つことで原子炉を十分に安全な状態に導くよう設計する。
六 安全保護系は，以下のとおり，外部からの不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができる設計としている。
(1) 安全保護系は，直接社外のネットワークとは接続しない設計としており，外部シ
ステムと接続する必要があるデータについては，防護装置を介しての接続とするとともに，安全保護系盤の信号を一方向（送信機能のみ）通信に制限することで機能的に分離する設計とする。
4

(2) 安全保護系の回路には，安全保護上要求される機能を正しく確実に実現するために，設計，製作等の各段階において，検証及び妥当性確認を実施したソフトウェア
を使用している。
(3) 不正な変更等による承認されていない動作や変更を防ぐため，発電所の出入管理により，物理的アクセスを制限するとともに，安全保護系盤制御装置の保守ツール
接続コネクタ部に対して施錠を行い，保守ツールのパスワード管理による電気的ア
クセスの制限により，関係者以外のアクセスを防止する設計とする。
七 安全保護系と計測制御系とは電源，検出器，ケーブル・ルート及び格納容器を貫通する計装配管を，原則として分離する設計とする。
安全保護系は，原子炉水位及び原子炉圧力等を検出する計装配管ヘッダの一部を計測
制御系と共用すること及び原子炉核計装の検出部が表示，記録計用検出部と共用される以外は計測制御系とは完全に分離する等，計測制御系での故障が安全保護系に影響を与えない設計とする。
計装配管は，4系列で独立性があり，更に1系列内で安全保護系と共用している計測制
御系の配管は，安全保護系と同等の設計としている。
また，原子炉核計装の検出部が表示，記録計用検出部と共用しているが，計測制御系の短絡，地絡又は断線によって安全保護系に影響を与えない設計とする。

5

2． 安全保護回路
2.1 安全保護系の不正アクセス行為防止のための措置について「実用発電用原子炉及びその附属施設の位置，構造及び設備の基準に関する規則」第二十四条（安全保護回路） 第１項第六号にて要求されている『不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができるものとすること。』に対して，ディジタル化している安全保護系（原子炉緊急停止系作動回路，工学的安全施設作動回路）は下記の対策を実施している。
(1) ハードウェアの物理的な分離又は機能的な分離対策
安全保護系の信号は，安全保護系盤→プロセス計算機→防護装置→緊急時対策支援シ
ステム伝送装置（ERSS）→防護装置を介して外部に伝送している。この信号の流れにおいて，安全保護系からは発信されるのみであり，外部からの信号を受信しないこと，及びハードウェアを直接接続しないことで物理的及び機能的分離を行っている。
(2) 外部ネットワークからの遠隔操作及びウイルス等の侵入防止対策
緊急時対策支援システム伝送装置は，防護装置を介しての接続とするとともに，安全保護系盤の信号を一方向（送信機能のみ）通信に制限し外部からのデータ書き込み機能を設けないことでウイルスの侵入及び外部からの不正アクセスを防止している。
(3) 物理的及び電気的アクセスの制限対策
発電所への入域に対しては，出入管理により物理的アクセスを制限し，電気的アクセスについては，安全保護系盤制御装置の保守ツールを施錠管理された場所に保管するとともに，安全保護系盤制御装置の保守ツール接続コネクタ部を施錠することや保守ツー
ルのパスワード管理により不要なソフトウェアへのアクセスを制限することで，管理されない変更を防止している。
(4) システムの導入段階，更新段階又は試験段階で承認されていない動作や変更を防ぐ
対策｢安全保護系へのディジタル計算機の適用に関する規程（JEAC4620）｣及び「ディジタル安全保護系の検証及び妥当性確認に関する指針（JEAG4609）」に準じて設計，製作，試験及び変更管理の各段階で検証及び妥当性確認（V&V）がなされたソフトウェアを使用している。また，安全保護系は，固有のソフトウェアを使用（一般的なコンピュータ
ウイルスが動作しない環境）するとともに，保守以外の不要なソフトウェアへのアクセ
ス制限対策として入域制限や保守ツールの施錠管理及びパスワード管理を行い，関係者以外の不正な変更等を防止している。
(5) 耐ノイズ・サージ対策
安全保護系は，雷・誘導サージ・電磁波障害等による擾乱に対して，制御盤へ入線する電源受電部にラインフィルタや絶縁回路を設置，外部からの信号入出力部にラインフ
ィルタや絶縁回路を設置，通信ラインにおける光ケーブルを適用している。また開発検証時に耐ノイズ／サージに対する耐性を確認している。（電源ノイズ試験・誘導ノイズ
試験／参考規格 ANSI C 37.90，静電ノイズ試験／参考規格 IEC-Pub801-2，電波障害試
験／参考規格 JEIDA-29「工業用計算機設置環境基準」，インパルス試験／参考規格
JEC-210,212）

6

(6) ウイルス侵入防止について，供給者への要求事項及び供給者で実施している対策
ウイルスの侵入防止対策も含め，当社の安全保護系への妨害行為又は破壊行為を防止するため，第2.1表のようなセキュリティ対策を安全保護系の設計に反映するよう，供給者へ要求することとしている。なお，当社は供給者に対し，品質保証に関する監査を継続的に実施することにより，適切に管理されているかを確認することとしている。
供給者はこれを受けて，インターネットへの直接接続の禁止，保守のための当該シス
テムへの接続は許可された機器のみに限定している等の対応を実施している。

7

第 2.1 表
項目

供給者への要求事項及び供給者で実施している対策
当社の要求

供給者の対応

開発・
改造に
関する
設計上の
要求

媒体の
管理

保守に
関する
要求

教育

設定及び
設定
変更管理

作業実施

：防護上の観点から公開できません

8

2.2

安全保護系盤の概要
安全保護系盤は，プロセス信号（検出器からの信号）を処理，監視するとともに，設定値との比較を行い，原子炉緊急停止信号及び工学的安全施設作動に係わる信号を発信する設備である。
ディジタル設備の適用に当たっては，「安全保護系へのディジタル計算機の適用に関する規程」（JEAC4620）及び「ディジタル安全保護系の検証及び妥当性確認に関する指針」(JEAG4609）に準じた検証及び妥当性確認を行っている。
グループ１

区分Ⅰ
設定 値比較 部

論理 回路部
手 動スクラム
※

※

※

※

※

※

※

※

※
※

ソフトウェアⅠ

Ⅲ

ソフト ウェア
※

※

検出器

Ⅲ

多重伝送装置Ⅰ

Ⅳ

Ⅱ

安全保護系盤
他区分へ Ⅳ Ⅲ Ⅱ

Ⅱ Ⅲ Ⅳ 他区分 から

区分Ⅱ

Ⅱ

Ａ

Ⅳ

ソレ ノイド
（Ａ）

同上

Ｂ

ソレノイド
（ Ｂ）

スクラムパ イロット 弁※※グループ２～４も同様

検出器
多重伝送装置安全保護系盤
インターフェース部

警報

区分Ⅲ
※

ＡＮ Ｎ

※
※

プロセス計算機

ソフトウェア
※

同上

※
※

※

検出器
多重伝送装置安全保護系盤

区分Ⅳ

同上

凡例

※

：光伝送
：メタル伝送検出器
多重伝送装置※：光変換カード

安全保護系盤

第 2.2 図安全保護系盤構成図（例：原子炉緊急停止信号）

安全保護系は，相互干渉が起こらないように，物理的，電気的独立性を持たせている。
盤内のソフトウェアは区分毎にそれぞれ設けており，ソフトウェアの故障，異常等の単一故障又は使用状態からの単一の取り外しを行った場合でも，安全保護系機能を喪失す
ることはない。また，誤信号発生等による誤動作・誤不動作を防止するため，区分毎に論理回路部を設け，2 out of 4ロジック回路を構成している。

9

2.3

物理的分離及び電気的分離について
安全保護系盤からインターフェース部（計測制御系）の分離は，光変換カードによって送信側と受信側の物理的及び電気的分離（計測制御系で短絡等の故障が生じても安全
保護系に影響を与えない）を行っている。
送信側

受信側
インターフェース部（計測制御系）

安全保護系

光変換カード光変換カード

電気信号
電気信号

光

物理的分離

電気的分離

第 2.3 図通信における分離概念図

10

2.4

外部からの不正アクセス行為防止について
安全保護系盤は，外部ネットワークと直接接続は行っておらず，外部システムと接続する必要のあるデータ等については，防護装置を介して接続している。また，安全保護系盤の制御装置は固有のソフトウェアを使用するとともに，外部からのデータ書き込み機能を設けないことでウイルスの侵入等を防止している。
原子力発電所への入域については，出入管理により制限しており，外部からの人的妨害行為または破壊行為を防止している。また，安全保護系盤制御装置の保守ツール接続
コネクタ部に対して施錠を行い，関係者以外のアクセスを防止している。
社外

原子力発電所
緊急時対策所（免震重要棟）

出入管理

緊急時対策支援システム伝送装置

妨害行為
又は破壊行為

防護装置
外部ネットワーク

サービス建屋
中央制御室（コントロール建屋）

妨害行為
又は破壊行為

妨害行為
又は破壊行為：許可されている情報の流れ（電気通信回線）：許可されていない情報の流れ（電気通信回線）

第 2.4 図妨害行為
又は破壊行為

出入管理

制御装置の保守ツー
ル接続コネクタ部の施錠による物理的な
対策を実施

出入管理

アクセス管理出入管理

安全保護系盤 プロセス計算機 防護装置

ネットワーク概略図11：許可されていないアクセス2.5

安全保護系盤制御装置のソフトウェア管理方法について
安全保護系盤制御装置のソフトウェア変更にあたっては，保管庫内の施錠されたラッ
ク内に保管した保守ツールを使用して行い，保守ツール使用時は安全保護系盤制御装置の保守ツール接続コネクタ部の解錠を必要とし，管理されないソフトウェアの変更を防止している。安全保護系盤制御装置へソフトウェアをインストールする場合は，以下の手順で実施する。
なお，一連の作業は当社社員が立ち会い，正しくソフトウェア変更が行われたことを確認することとしている。

第 2.5 図安全保護系盤制御装置及び保守ツール：防護上の観点から公開できません

12

2.6

想定脅威に対する対策について
安全保護系のソフトウェアは，工場製作段階から以下の想定脅威に対する対策を適切に行うことで高い信頼性を実現している。
第 2.6 表 想定脅威に対する対策（工場製作及び出荷）想定脅威
対策：防護上の観点から公開できません

13

2.7

安全保護系の検証及び妥当性確認について
安全保護系のソフトウェアは，工場製作段階から以下の品質保証活動に基づくライフ
サイクルプロセスにおける各段階での検証と妥当性確認（V&V）を適切に行うことで高い信頼性を実現している。
第 2.7-1 表 ライフサイクルプロセスにおける各段階での対策
段階

設計プロセス

製作プロセス

試験プロセス

装荷プロセス

変更プロセス

内容
安全保護系設備に対するシ
ステムの要求事項からソフ
トウェア設計仕様を作成する。

対策

安全保護系設備ソフトウェ
ア設計要求仕様より安全保護系設備ソフトウェアを製作する。
製作された安全保護系設備
ソフトウェアに対して，ハードウェアを統合し，その統合したシステムが設計要
求通り製作されていることを試験により確認する。
実機へ安全保護系設備ソフ
トウェアを実装する。
安全保護系設備ソフトウェ
アの変更が生じた場合，変更仕様を決定し，変更を行
うライフサイクルプロセス
から，変更の実施内容に応じて必要とされる各々のプロセスを順次実施する。

：防護上の観点から公開できません
ディジタル安全保護系ソフトウェアは，設計，製作，試験，変更管理の各段階で，「安
全保護系へのディジタル計算機の適用に関する規程」（JEAC4620）及び「ディジタル安
全保護系の検証及び妥当性確認に関する指針」(JEAG4609）に基づき，安全保護上要求される機能が正しく確実に実現されていることを保証するため，供給者による検証及び妥当性確認の各段階において，確実に実施されていることを確認している。
なお，設計要求仕様の変更及びソフトウェアの変更が生じた際は，変更理由，変更箇所等を文書化し，変更の影響範囲を明確にした上で，変更を実施する。必要に応じ，変更箇所及び変更の影響を受ける部分について検証及び妥当性確認作業を再度実施する。
以下に，検証及び妥当性確認の流れと内容を示す。

14

供

給

者

当

社

ディジタル安全保護系
システム要求事項
基本計画

基本計画の確認【基本計画書】

システム設計要求仕様

検証１

ハードウェア
ソフトウェア
設計要求仕様検証２

検証と妥当性確認（Ｖ＆Ｖ）
要領書の審査報告書の確認

設計プロセス

ハード
ウェア
設計・製作

【要領書，報告書】

設計図書の審査

ソフト
ウェア
設計・製作

検証３，４

ハードウェア・ソフトウェア統合

検証５【設定値根拠書，インターロック
ブロック線図，ソフトウェア図他】

製作プロセス

試験プロセス

試験

装荷プロセス

装

荷

妥当性確認

変 更

変更プロセス

検証と妥当性確認（必要に応じ）

検証と妥当性確認（Ｖ＆Ｖ）
要領書の審査報告書の確認【要領書，報告書】

運転・保守プロセス

運 転 ・ 保 守

変 更変更プロセス

Ｖ＆Ｖ実施範囲
廃廃止プロセス

第 2.7 図止

Ｖ＆Ｖ：検証と妥当性確認(Verification and Validation)

ディジタル安全保護系のソフトウェアに対する検証及び妥当性確認の流れ

第 2.7-2 表
検証項目
検証１
検証２
検証３
検証４
検証５
妥当性確認

検証項目及び検証内容

検証内容
ディジタル安全保護系システム要求事項が正しくシステム設計要求仕様に反映されていることを検証する。
システム設計要求仕様が正しくハードウェア・ソフトウェア設計要求仕様に反映されていることを検証する。
ソフトウェア設計要求仕様が正しくソフトウェア設計に反映されていることを検証する。
ソフトウェア設計通りに正しくソフトウェアが製作されていることを検証する。
ハードウェアとソフトウェアを統合してハードウェア・ソフトウェア設計要
求仕様通りのシステムとなっていることを検証する。
ハードウェアとソフトウェアを統合して検証されたシステムが，ディジタル
安全保護系システム要求事項を満たしていることを確認する。

以上
15

別紙 1 アナログ型安全保護回路について，承認されていない動作や変更を防ぐ設計方針
アナログ型の安全保護回路はハードワイヤーロジック（リレーや配線によるアナログ回路）で構成されており，これらの回路に対し，承認されていない動作や変更を防ぐ措置として，以下を実施している。
・ 安全保護回路の変更が生じる場合は，上流図書から下流図書（第 1 図参照）へ変更内容が反映されていることを設備図書で承認する。
・ 改造後はインターロック試験や定期事業者検査等にて，安全保護回路が正しく動作する
ことを複数の人間でチェックしている。
・ なお，中央制御室への入域に対しては，出入管理により関係者以外のアクセスを防止している。

アナログ型安全保護系（参考）ディジタル型安全保護系

安全保護系
システム要求事項（設置許可申請書）

ディジタル安全保護系
システム要求事項（設置許可申請書）

システム設計要求仕様（系統設計仕様書，設定値根拠書）

システム設計要求仕様（系統設計仕様書，設定値根拠書）

ハードウェア設計要求仕様（インターロックブロック線図）

ハードウェア・ソフトウェア
設計要求仕様（機器設計仕様書，
インターロックブロック線図）

ハードウェア
設計・製作

ソフトウェア
設計・製作（展開接続図）（ソフトウェア図）

ハードウェア設計・製作（展開接続図）ハードウェア・ソフトウェア統合

試

第1図

試

験

験

安全保護系の設計・製作・試験の流れ（例）

別紙 1-1

別紙 2 今回の設置許可申請に関し，安全保護回路に変更を施している場合の基準適合性
設置変更許可申請に関わる安全保護回路の変更は行っていない。なお，重大事故等対処
設備の設置に伴い，ディジタル安全保護系設備のソフトウェア改造を実施している事例が下記 2 件あるが，｢安全保護系へのディジタル計算機の適用に関する規程（JEAC4620）｣及び「ディジタル安全保護系の検証及び妥当性確認に関する指針（JEAG4609）」に準じて設計，製作，試験等の各段階で検証及び妥当性確認（V&V）を実施することで，ソフトウェア
改造に伴う影響を防止する設計としている。また，ＡＴＷＳ緩和設備（代替制御棒挿入機
能：ＡＲＩ）と重大事故等時の逃がし安全弁作動回路（代替自動減圧機能）については，
安全保護回路に変更を施しておらず，安全保護回路と電気的・物理的に分離されており安全保護回路に悪影響を与えない設計としている（参考１）。詳細は各条文の基準適合性説明
資料にて説明する。
「6 号炉及び 7 号炉 高圧代替注水設備（HPAC）設置に伴う弁操作機能の追加」
・ 重大事故等時に原子炉隔離時冷却系（RCIC）が機能喪失した場合において，高圧注水設
備の代替手段として，高圧代替注水設備（HPAC）を設置することとしている。
・ 高圧代替注水設備（HPAC）は原子炉隔離時冷却系（RCIC）と同様に原子炉からの主蒸気を駆動源としたタービン駆動のポンプであり，RCIC 蒸気管より分岐した蒸気系のライン構成となっている。
・ RCIC 起動失敗，または機能喪失時に，RCIC 蒸気入口弁操作不能（開状態で停止）で HPAC
起動後も HPAC 蒸気量低で定格流量が得られない状況を回避するため，RCIC 重大事故時
蒸気止め弁を設置しており，この弁操作を RCIC 系から実施可能とするためのソフトウ
ェア改造を実施することとしている。
ドライウェル
原子炉格納容器

原
子
炉
圧
力
容
器

AO

給水系から

AO

AO

AO

タービン
MO

MO
MO

MO

MO

RCIC重大事故時蒸気止め弁
主蒸気

給水系
MO

MO
MO

サプレッション・チェンバ

MO

MO

MO

高圧代替注水系
タービン

復 水
貯蔵槽

MO
MO

原子炉隔離時冷却系
タービン

原子炉隔離時冷却系
ポンプ

HO

MO
MO

第1図

高圧代替注水系(HPAC)の系統概要
別紙 2-1

高圧代替注水系ポンプ「6 号炉 直流 125V 6A 蓄電池室 換気空調設備の制御回路の追加」
・ 直流 125V 蓄電池 6A の増容量に伴い，蓄電池室（換気空調設備含む）を新設しており，換気空調設備の制御回路追加のソフトウェア改造を実施することとしている。

別紙 2-2

参考１

新規制対応設備の安全保護系への影響について

１．代替制御棒挿入機能（ＡＲＩ）について（１）目的
代替制御棒挿入機能は，制御棒駆動機構を作動させる原子炉緊急停止系の故障によるＡ
ＴＷＳ発生時に，スクラム用計装空気配管に取り付けられた排気弁を開放することによって制御棒を急速に挿入し，原子炉出力を低下させることを目的とする。
（２）原子炉緊急停止系への影響について
原子炉緊急停止系と代替制御棒挿入機能のロジック回路は第１図のとおり，検出器からロジックまで，原子炉緊急停止系と代替制御棒挿入機能は独立した構成となっており，原子炉緊急停止系に悪影響を与えない設計としている。
なお，第２図のとおり原子炉緊急停止系の作動電磁弁についても，代替制御棒挿入機能と原子炉緊急停止系では独立した構成となっている。

第１図

原子炉緊急停止系及び代替制御棒挿入機能のロジック図

別紙 2-3

第２図

作動電磁弁について
別紙 2-4：常時励磁：常時無励磁ＮＥ

ＮＤ

凡例

２．代替自動減圧機能（１）目的
代替自動減圧機能は，原子炉冷却材圧力バウンダリが高圧の場合であって，自動減圧系が有する原子炉の減圧機能喪失が発生するおそれがある場合又は発生した場合に，原子炉
冷却材圧力バウンダリを減圧し，炉心の著しい損傷及び原子炉格納容器の破損を防止することを目的とする。
（２）自動減圧系への影響について
自動減圧系と代替自動減圧機能の論理回路は第３図のとおりであり，論理回路を自動減圧系に対して独立した構成としており，自動減圧系に悪影響を与えない設計としている。
第４図のとおり検出器（原子炉水位低（レベル１），残留熱除去系ポンプ吐出圧力高）からの入力信号については共有しているが，自動減圧系と隔離装置を用いて電気的に分離しており，自動減圧系への悪影響を与えない設計としている。
また，論理回路からの作動用電磁弁制御信号についても共用しているが，自動減圧系と隔離装置を用いて電気的に分離しており，自動減圧系への悪影響を与えない設計としている。
なお，原子炉スクラム失敗時に自動減圧が自動起動すると，高圧炉心注水系及び低圧注
水系から大量の冷水が注水され，出力の急激な上昇に繋がるため，自動減圧系及び代替自動減圧機能の自動起動阻止回路を用いて，自動起動を阻止する設計としている。自動減圧系回路と代替自動減圧機能回路の自動起動阻止回路は，手動阻止スイッチ（ハードスイッチ）を共用しているが，ハードスイッチは単純な構造であり，スイッチ接点以降は分離していることから，自動減圧系に悪影響を与えない設計としている。

別紙 2-5

自動減圧機能ロジック回路

6号炉：H11-P662-1
7号炉：H11-P662-1

KOS
原子炉水位低(ﾚﾍﾞﾙ1)

区分Ⅰ
区分Ⅱ
区分Ⅲ

凡例

阻
止

通
常

A系ロジックADS(A)起動信号
リセット

ADS(A)/SA-ADS(A)
自動起動阻止自動起動阻止キーSW：ADS及びSA-ADSで共有

阻止
2/4

通常

2/4

： 2 out of 4論理： AND論理

区分Ⅳ： OR論理(WO)
ドライウェル圧力高

(WO)

区分Ⅰ

通
常

T.D.
29秒

阻
止

通
常

自動減圧系

阻
止

代替自動減圧機能

区分Ⅱ
区分Ⅲ

2/4

(WO)

： 信号阻止TD： タイマー

区分Ⅳ

残留熱除去系ポンプ吐出圧力高A
BC

高圧炉心注水系ポンプ(B)吐出圧力高BC

6号炉：H11-P662-2
7号炉：H11-P662-2

SV-C SV-B SV-A

代替自動減圧機能ロジック回路

6号炉：H11-P654
7号炉：H11-P652

ND

ND

ND

A系ロジック

原子炉水位低(ﾚﾍﾞﾙ1)

主蒸気逃がし安全弁（ADS機能付き（8弁））
A, C, F, H
L, N, T, R
：代替自動減圧機能（4弁）

SA-ADS(A)起動
信号リセットADS(A)/SA-ADS(A)
自動起動阻止KOSＳＲＶアクチュエータ

B系ロジックA系と同様

主蒸気逃がし安全弁
作動用電磁弁

阻止
通常

区分Ⅰ
区分Ⅱ

2/3

(WO)
(WO)

T.D.
10分

区分Ⅲ

残留熱除去系ポンプ吐出圧力高ABC

6号炉：H11-P654
7号炉：H11-P653

A系と同様

第３図

B系ロジック自動減圧機能及び代替自動減圧機能のロジック回路

別紙 2-6

ロジック回路

代替自動減圧機能

隔離装置

原子炉水位検出器信号

主蒸気逃がし安全弁
作動用電磁弁

自動減圧系

検出器

Ⅰ

自動減圧系

Ⅱ
Ⅲ
隔離装置
隔離装置

代替自動減圧機能

隔離装置

代替自動減圧機能
起動信号

Ry

Ry

A

残留熱除去系ポンプ吐出圧力信号

B

自動減圧系

C
隔離装置
隔離装置

代替自動減圧機能

隔離装置

隔離装置の概要図

警報設定器
検出器信号
設定値

Ry

出力信号

第４図

信号の分離について

別紙 2-7

電磁弁

自動減圧系
起動信号

別紙 3 アナログ型安全保護回路の不正アクセス行為等の防止対策
アナログ型安全保護回路の検出器から作動回路について，検出器はアナログ機器，作
動回路はハードワイヤーロジック（リレーや配線によるアナログ回路）で構成されており，一部の安全保護回路への出力信号処理でディジタル型制御装置を使用している（起動領域モニタ，平均出力領域モニタ，安全系放射線モニタ）。例として，原子炉緊急停止
系の構成例を第１図に示す。不正アクセス行為等による対策については，「2.1 安全保護系の不正アクセス行為防止のための措置について」に記載の設計方針としている（下記に，「2.1」の記載内容の一部再掲）。
(1) ハードウェアの物理的な分離又は機能的な分離対策
安全保護系の信号は，安全保護系盤→プロセス計算機→防護装置→緊急時対策支援シ
ステム伝送装置（ERSS）→防護装置を介して外部に伝送している。この信号の流れにおいて，安全保護系からは発信されるのみであり，外部からの信号を受信しないこと，及びハードウェアを直接接続しないことで物理的及び機能的分離を行っている。
(2) 外部ネットワークからの遠隔操作及びウイルス等の侵入防止対策
緊急時対策支援システム伝送装置は，防護装置を介しての接続とするとともに，安全保護系盤の信号を一方向（送信機能のみ）通信に制限し外部からのデータ書き込み機能を設けないことでウイルスの侵入及び外部からの不正アクセスを防止している。
(3) 物理的アクセスの制限対策
発電所への入域に対しては，出入管理により物理的アクセスを制限し，管理されない
変更を防止している。
(4) システムの導入段階，更新段階又は試験段階で承認されていない動作や変更を防ぐ
対策
アナログ型安全保護回路は別紙 1 の通り。
なお，ディジタル型制御装置（起動領域モニタ，平均出力領域モニタ，安全系放射線モニタ）については，｢安全保護系へのディジタル計算機の適用に関する規程（ JEAC4620）｣ 及び「デ ィジタ ル安全保護系の 検証及 び妥当性確 認に 関す る指 針
（JEAG4609）」に準じて設計，製作，試験及び変更管理の各段階で検証及び妥当性確認（V&V）がなされたソフトウェアを使用している。また，固有のソフトウェアを使用（一般的なコンピュータウイルスが動作しない環境）するとともに，保守以外の不要なソフ
トウェアへのアクセス制限対策として入域制限を行い，関係者以外の不正な変更等を防止している。
(5) 耐ノイズ・サージ対策
安全保護系は，雷・誘導サージ・電磁波障害等による擾乱に対して，制御盤へ入線する電源受電部にラインフィルタや絶縁回路を設置，外部からの信号入出力部にラインフ
別紙 3-1ィルタや絶縁回路を設置している。
(6) ウイルス侵入防止について，供給者への要求事項及び供給者で実施している対策
ウイルスの侵入防止対策も含め，当社の安全保護系への妨害行為又は破壊行為を防止するため，第2.1表のようなセキュリティ対策を安全保護系の設計に反映するよう，供給者へ要求することとしている。なお，当社は供給者に対し，品質保証に関する監査を継続的に実施することにより，適切に管理されているかを確認することとしている。供
給者はこれを受けて，インターネットへの直接接続の禁止，保守のための当該システムへの接続は許可された機器のみに限定している等の対応を実施している。
アナログ型安全保護回路（Ａ１チャンネル）の例
警報設定器
検出器

[起動領域モニタ]

手動スクラム

前置増幅器

起動領域モニタ

トリップ論理

Ry

A1

Ry

B1

Ry

A2

Ry

B2

Ｂ

ソレノイド

検出器

[平均出力領域モニタ]
ソレノイド
（Ａ）

Ａ

平均出力領域モニタ
検出器（Ｂ）

スクラムパイロット弁※他の区分も同様[安全系放射線モニタ]
前置増幅器：ディジタル機器

放射線モニタ

検出器（参考）ディジタル型安全保護回路（区分Ⅰ）の例
多重伝送装置

設定値比較部

検出器
手動スクラムⅠ[起動領域モニタ]
前置増幅器

Ⅲ

起動領域モニタ
Ⅲ

検出器

Ⅰ

Ⅳ

Ⅱ

論理回路部
[平均出力領域モニタ]ⅡⅣ

平均出力領域モニタ
Ａ

検出器

ソレノイド
（Ａ）

Ｂ

ソレノイド
（Ｂ）

スクラムパイロット弁※他の区分も同様[安全系放射線モニタ]
前置増幅器

放射線モニタ：ディジタル機器

検出器

第１図

安全保護回路の構成例（原子炉緊急停止系）

別紙 3-2

別紙 4 ソフトウェア更新時の立会において，インサイダー等に対するセキュリティ対策
安全保護系盤制御装置のソフトウェア変更にあたっては，以下の対策を実施している。
・ ソフトウェア変更に必要な保守ツール，記憶媒体については，保管庫内の施錠されたラック内に保管している。また，保守ツール使用時は安全保護系盤制御装置の保守ツール
接続コネクタ部の解錠を必要とし，管理されないソフトウェアの変更を防止している。
・ 保管庫内の施錠されたラック内に保管した保守ツール，記憶媒体は，使用の際に当社監
理員立ち会いの下，貸し出しを行っている。
・ 保守ツール接続コネクタ部の鍵は，当直長の許可を得た上で，貸し出しを行っている。

・ ソフトウェア変更に係わる者は，情報セキュリティ教育（１回／年）を受講している。
：防護上の観点から公開できません

別紙 4-1

別紙 5 ディジタル型安全保護回路のシステムへ接続可能なアクセスについて
安全保護回路等を含むネットワーク全体構成図は第 1 図及び第 2 図の通りであり，安
全保護回路のシステムへ接続可能なアクセスについては，安全保護回路へのネットワー
ク上の接続可能なアクセスと安全保護系盤制御装置のソフトウェアへ直接アクセス可能な保守ツール接続箇所となる。
安全保護回路のシステムへ接続可能なアクセスについては，以下の通り対策をしている。

（２）外部ネットワークからの遠隔操作及びウイルス等の侵入防止対策
安全保護回路へのネットワーク上の接続可能なアクセスについては，機能的に分離する設計としている。具体的には，安全保護回路と計測制御系は第 3 図に示すように，通信コントローラとマイクロプロセッサとの間は，通信専用のメモリを介することにより，
通信コントローラが直接安全保護系のマイクロプロセッサの動作に関与しない設計とし，機能的に分離している為,計測制御系が安全保護回路のマイクロプロセッサの動作には関与しない。

（３）物理的アクセスの制限対策
安全保護系盤制御装置のソフトウェアへアクセス可能な保守ツールについては，保管
庫内の施錠されたラック内に保管した保守ツールを使用して行い，保守ツール使用時は安全保護系盤制御装置の保守ツール接続コネクタ部の解錠を必要とし，管理されないソ
フトウェアの変更を防止している。
：防護上の観点から公開できません

別紙 5-1

計測制御系
信号取合概念図は第3図参照

FD

他区分も同様DCU区分ⅠTLU 区分Ⅰ

他区分 DTMOLULD

DTM 区分Ⅰ

他区分 TLU

現場RMU 区分Ⅰ
安全保護系

第1図

＜凡例＞
・TLU：論理回路部
・DTM：設定値比較部
・DCU：データ コミュニケーション ユニット
・LD：ロードドライバ
・RMU：多重伝送盤
・OLU：出力回路部
・FD：フラットディスプレイ

ネットワーク全体構成概念図（6 号炉 RPS/MSIV の例）

計測制御系

信号取合概念図は図3参照

FD
他区分も同様OLULDTLU 区分Ⅰ

他区分 DTMDTM 区分Ⅰ

他区分 TLU＜凡例＞
・TLU：論理回路部
・DTM：設定値比較部
・LD：ロードドライバ
・RMU：多重伝送盤
・OLU：出力回路部
・FD：フラットディスプレイ

現場RMU 区分Ⅰ

安全保護系

第2図

ネットワーク全体構成概念図（7 号炉 RPS/MSIV の例）

別紙 5-2

第3図

安全保護回路と計測制御系との信号取合概念図：枠囲みの内容は商業機密に属しますので公開できません。

別紙 5-3

別紙 6 ディジタル型安全保護回路について，システム設計と実際のデバイスが具備している機能との差（未使用機能等）による影響の有無

システム設計に基づき，安全保護上要求される機能が正しく確実に実現されていることを保証するため，ディジタル安全保護系ソフトウェアは，設計，製作，試験，変更管理の各段階で，「安全保護系へのディジタル計算機の適用に関する規程」（JEAC4620）及び「ディジタル安全保護系の検証及び妥当性確認に関する指針」(JEAG4609）に基づき，供給者による検証及び妥当性確認の各段階において，確実に実施されていることを確認している。
：防護上の観点から公開できません

別紙 6-1

別紙 7 安全保護系の過去のトラブル（落雷によるスクラム動作事象等）の反映事項
安全保護系に関わる過去のトラブル情報を抽出し，柏崎刈羽原子力発電所 6 号炉及び 7号炉の安全保護系の設計面へ反映すべき事項を下記の通り確認した。
（１）過去の不具合事例の抽出
安全保護系の設計面に反映が必要となる事象の抽出にあたり，以下を考慮した。
① 公開情報（原子力施設情報公開ライブラリー「ニューシア」）を対象② キーワード検索（安全保護系，原子炉緊急停止系，工学的安全施設作動回路，雷，ノイズ，スクラム等）により抽出③ 間接的な影響（他設備のトラブル）によって安全保護系へ影響を与えた事象（安全保護系の正動作は除く）（２）反映が必要となる事象の選定
安全保護系の設計面に反映が必要となる事象について，第 1 図及び第 1 表に基づき抽出した。抽出された過去の不具合事象を第 2 表に示す。
（３）過去の不具合事例への対応について
過去の不具合事例を抽出し，安全保護系の設計面への反映要否について検討を実施した結果，対応済み，もしくは，反映不要であることを確認した。

別紙 7-1

ニューシア情報

YES

安全保護系に影響

対象外を及ぼさない事象

NO
YES

人的要因による

操作・手順ミスによる不具合
事象（55 件）事象

NO

設備の不具合（設YES

計面への反映無

一過性及び基板故障等の設
備不具合（124 件）

し）による事象

NO
不具合事象に対して設計面の対策を実施した事象（１件）

第1図
第1表

設計面への反映すべき事項の抽出フロー

設計面への反映を不要とする理由

項目

事象例

理由

人的要因による事象

安全処置の実施又は復作業手順，作業管理等の人的要因によるもので旧時のミス，作業手順あり，設計面へ反映すべき事項ではない。
のミス等

設備の不具合（設計
面への反映無し）による事象

計器・部品の単品故故障した部品の交換等の対策を図ることが基
障・一過性故障・偶発本であり，設計面へ反映すべき事項ではない。
故障等

別紙 7-2第2表

抽出された過去の不具合事象

件名

柏崎刈羽原子力発電所 6 号機

会社名・

東京電力株式会社「主蒸気管放射能高」信号誤動作によるスクラムについて

柏崎刈羽原子力発電所 6 号機

プラント
発生日
事象概要

2012 年 08 月 22 日
平成２４年８月２２日２０時１２分頃，定期検査中の６号機において，「主蒸気管放射能高」信号の誤動
作によりスクラム信号が発生し，原子炉スクラム（ゼロスクラム）が発生した。
なお，６号機は冷温停止状態であり，制御棒は全挿入状態であった。

＜時系列＞
8/22
20:12 「主蒸気管放射能高

区分（Ⅰ）
（Ⅲ）
」発生

主蒸気隔離弁（内側弁）「全閉」 実動作

主蒸気ドレン内側弁「全閉」 実動作（点検のため上記弁は「全開」であった。なお，主蒸気隔離弁（外側弁）は，「全閉」であった）「原子炉スクラム」発生（ゼロスクラム）「スクラムパイロットエアーヘッダー圧力低」発生「ＣＲＤ充てん水圧力低低」発生
20:22 主蒸気管放射線モニタ

中操確認

区分Ⅰ：レベル高・高高ランプ 点灯

スクラム後指示値

2.0E-13A

区分Ⅱ：警報発生なし

スクラム後指示値

2.0E-13A

区分Ⅲ：レベル高・高高ランプ・下限点灯 スクラム後指示値

2.2E-13A

区分Ⅳ：下限ダウンスケール

点灯

スクラム後指示値（スクラム前の指示については，記録計が停止中のため採取できず）
20:40 主蒸気隔離弁（内側弁）現場確認：異常なし
20:51～20:54 主蒸気管放射線モニタ（区分Ⅰ～Ⅳ）インターロック除外実施（機能要求はないため再発防止として実施）
21:01 スクラムリセット実施
21:08 ＨＣＵ廻り現場確認：異常なし
原因

雷によるノイズ対策(1) アナログ式モニタからディジタル式モニタへ変更。
(2) ケーブルルート見直し
雷サージ電流の進入ルートと考えられる信号ケーブルの電線管ルートを原子炉建屋外壁埋設から原子炉建屋内の露出電線管ルートへの変更を実施した。

以上

別紙 7-3