リスクが極めて高いシステムに対する安全設計思想について— 原子力発電に対する一考察 —明治大学理工学部 情報科学科 教授

向殿 政男 Masao Mukaidono

1. はじめにてわが国の産業を直撃し、民衆をパニック状態に陥れた。さらに深刻なのは、福島県を中極めてまれにしか起きないが、いったん発心に数十万の人達が強制的に避難、移動をさ生すると被害の規模がとてつもなく大きな災せられ、故郷を離れざるを得ない人々が多く害や事故に対して、われわれはどのように対出たことである。ストレスが原因で、特に病応すべきなのであろうか。今回の東日本大震

院や施設などの移転に伴い高齢者や体の弱い災、 大津波、 そして福島第一原発という三人々において、多くの関連死が報告されてい重災害は、この問題を深く私たちに突きつける。このように原子力発電事故の被害は、津た。今回の大地震による津波によって、死者波による直接的な死者とは質的に違った意味や行方不明者が二万人に及ぶという圧倒的なで、甚大なものがあった。

規模の被害からすると稀に見る大災害であっここでは、今回の原子力発電の事故のようた。一方、原発事故では、確かに直接の死者に確率は極めて低いが、いったん発生するとは一人も出ていないかもしれないが、その被甚大な被害を及ぼすような人工的なシステム害たるものは甚大であった。放射性物質は日に対する安全設計思想はどうあるべきかについて考えてみることにする。

図 1 福島第一原発事故（3 号機の水素爆発）

2. システムにおける一般的な安全の確保の考え方
まず、人工的なシステムにおける一般的な安全の確保のステップを振り返ってみよう。
図 2 に示すように、最初に設計段階で未然防止方策を施す。予防安全である。次の実際の（インターネットより引用）

本はもとより世界中に拡散した（図 1）。低濃↓度の放射線被害がどのようなものであるかと↓いう科学的な根拠が不明確な中で、日常の食↓品などに放射能被害が広がり、農産物に大きな影響が出て、ひいては風評被害をもたらし
10

図 2 安全確保のステップ

図 3 リスクアセスメント（ISO/IES ガイド51）

運用段階では、人間が注意をしながら、また重要な概念として、同じく ISO/IEC ガイド

保守点検や保全をしながら事故を起こさない

51 にスリー ステッ プメソッ ドが示されていように安全を確保する。運用安全と呼ぶことる（図 4）。まず本質的安全設計、すなわち、最ができよう。現実には、絶対安全はあり得な

初から危険源がないように事故が起きてもそいので事故の可能性は常にある。実際に事故のひどさは小さくなるように、人間が関与すが発生した時には、危害のひどさを下げる、拡大を防ぐ、再稼働を早めるなどの対策を施

図 4 スリーステップメソッド

す。自動車や交通機関などで言えば衝突安全である。その後、事故調査が行われ、原因を科学的、客観的な事実を背景や組織まで含めて明らかにして、再発防止策を提案して、各ステージにフィードバックをする。例えば、新しい安全設計基準などを設けて再度設計段階の予防安全から繰り返すことになる。
予防安全のステッ プにおける設計段階でる機会をなるべく少なくするように、本質的は、安全設計のバイブルと言われている ISO/に安全を確保する設計とする。しかし、現実

IEC ガイド 51 に示されているリスクアセスにはそれだけでリスクをなくすことはできなメントの考え方が基本となる（図 3）。ここでいので、残るリスクに対して付加的に安全装は、使用条件を明確化すること、人間がやる置などを含めた安全防護対策行う。これでもだろう予見可能な誤使用も明確にすること、決してリスクはゼロにはならない。最後の手

危険源（ハザード）を洗い出すこと、危害の頻段として、残った残留リスクを使用上の情報度とひどさからリスクの大きさを見積もり・として提示して、作業者に安全の確保を委ね評価すること、リスクが許容可能か否かを判る、というステップである。ここまでは、設定すること、および許容可能でない場合には計者側の役割で、残ったリスクに対しては注リスクを低減することなどが重要なステップ

意、訓練、管理などを通して安全を確保するとなっている。リスクの低減策に関しては、作業者の役割となる。
SE 170 2013. MARCH

11

3. リスクが極めて高いシステムに対する安全設計思想について

護の考え方で悲劇的な被害が発生する確率が極めて小さくなっているから安全であるという理由で許容され、各国で稼働し、わが国で図 2 のステップでは、未然防止からスターもエネルギー問題の解決策、従って産業活動トしているが、現実には事故を経験して再発の維持の基本として、原子力発電の稼働が認防止のステップから始まる事例が多い。事故

められて来た（しかし、現実には、原子力発電から学ぶ考え方である。 しかし、 今回の原が稼働して約 60 年、その間にわれわれは 3 回発事故のように被害が甚大であるような場合のシビアアクシデントを経験しているので、に、事故から学ぶにしては、あまりに悲劇的稼働台数を考慮しても過去のデータからは決すぎる。再発防止よりは未然防止を徹底すべして確率が極めて小さいとは言えない）。

きであることは間違いない。

12型が現在の形の原子力発電であろう。多重防

確率は極めて小さいが、いったん発生するリスクとは、その定義にあるように 1）、危と甚大な被害を及ぼすような人工的なシステ

害の頻度（確率）と危害のひどさの組み合わせ

ムに対してどう考えるべきだろうか。そのたであるが、組み合わせを乗算や加算などの計めには、まず、信頼性と安全性の違いを明確算で定める場合には、被害が甚大である場合にしておく必要がある。信頼性は、果たすべであっても頻度が極めて小さい場合には、被き機能をいかに保ち続けるかを問い、安全性害は小さいがよく発生する事故と同じリスク

は機能が果たせなくなった時にも人命などにになる可能性があり、許容可能と判断される危害を及ぼさないようにすることを問う。一ことがあり得る。ここに頻度とひどさかのど般に信頼性が上がれば安全性は上がると考えちらを優先させるべきかという価値観の話はてよいが、安全性を高めるために信頼性を下入ってくる。危害のひどさを優先して、余りげる（安全が確保されなければ稼働させない）に被害が大きすぎる場合には、頻度がいくらことがあり得るので、両者は実は異なった概低くても認めないという立場があり得る。頻念である。安全を確保するためには二つのア度は確率で評価され、確率は不確定さを含み、プローチがある。一つは、本来の機能を果た

いくら小さくても明日起きるかもしれないか

せなくなったら安全側に固定する構造を組みらである。一方、リスクの高いものに挑戦す込んでおくものであり、 ほかの一つは信頼ることで科学技術は発展して来たし、どんな性を高めることで安全性を確保するものであシステムでもリスクはゼロにはならない。利る。前者は確定論的、または構造的アプロー

便性を受けているシステムにリスクが存在す

チ、後者は確率論的なアプローチと呼ばれてるのは当然である。われわれは事故に学びないる。例えば、列車は故障などが生じて本来がら進歩を続けて現在の便利で豊かな社会をの機能を果たせなくなった場合には止めるこ築いてきた。便益を受けるためにはある程度とにより安全を確保することができる。前者のリスクは覚悟すべきである。歴史的に考えの確定論的に安全を確保している。一方、飛れば、医学がそうであり、列車がそうであり、んでいる飛行機は、飛ぶという本来の機能を飛行機がそうであり、有人宇宙飛行がそうで果たせなくなったら落ちるしかない、すなわある等等という事実がある。現在、われわれ

ち安全側に固定することはできない。従って、が有している人工のシステムで、いったん事飛んでいる飛行機の安全性は、いかに飛行を故が起きると最も大きな被害を出すものの典続行するかという本来の機能を維持し続ける図 5 原子炉の固有安全（出典：原子力・エネルギー図面表 2011）

後者の信頼性のアプローチとなる。前者の典図 6 トリプルＦ
（Ｆ3）
システム

型的な安全設計思想がフェールセーフ（故障しても安全）であり、後者のそれはフォールトトレランス（多重系、冗長系による高信頼化）である。
原子力発電はどのような安全設計思想に基づいているのであろうか。電源が喪失したら制御棒が重力で落下して核分裂が止まる構造止まって固定する構造とする。その上で、頻（沸騰型ではこの構造は採用されていない）、繁に故障などで安全側に止まってしまっては核分裂が暴走してもある安定した状態になり不便なので、本来の機能を果たすべく信頼性決して原子力爆弾にはならないという固有安高く稼働し続けるようにする。これはフォー

全の構造など（図 5）、多くの場面で構造安全ルトトレランスの概念に基づく信頼性で確保の機構は組み込まれている。しかし、今回のである。ここまでが利用者や作業者には見え事故の真の原因となった長期の全電源喪失かなくてもよいインフラの部分である。人間にらは必然的にメルトダウンに至る。従 っ て、接する部分は、ファジィの精神で持って設計

現在の形の原子力発電は、フェールセーフにする。すなわち、ある程度のあいまいさを許なっていない。いかに長期的な全電源喪失をし、人間にとって分かりやすく柔軟で、少しさせないかという信頼性に頼った安全なのでぐらいの誤りを許し、たとえ人間が間違えてある。確定論的な安全性に基づいたフェールも大丈夫なようにフールプルーフな構造とす

セー フな原子力発電はあり得ないのだろうるものである。ここは人間の安心につながるか。このことを考える前に、リスクが極めて部分である。

大きなシステムに対する安全設計思想の一つ

Ｆ3 システムの考え方に近いのは鉄道であを紹介しよう。図 6 は、筆者が提案しているろう。列車は安全が確認できない場合には止トリプルＦ（Ｆ3 ）システムの考え方である。ままることによって安全を確保する。信号機やず基本は、フェールセーフの構造を組み込ん踏切などの故障はフェールセーフの考え方にでおき、どうしようもなくなったら安全側に従い安全側に固定される。この構造が構築さSE 170 2013. MARCH13

図 7 原子炉における安全確保のしくみ（出典：原子力・エネルギー図面表 2011）

14

れている条件の上で、高信頼部品や多重系の証はない。コスト、利便性、管理費、景観など使用、および保全活動などで信頼性高く稼働を考えると、防潮堤をいたずらに高くするのし、スケジュール通りに運用される。人間とは考えものである。津波は来ると仮定して長の接点では、例えば、ドアがすべて閉じない期の全電源喪失の可能性を下げる方に努力をのに誤って運転手が発車命令を出しても列車傾注すべきである。長期の全電源喪失を引きは動かないし、乗客が挟まれないようにホー起こすきっかけは何も津波だけではない。隕

ムドアが設置されている。現実には人身事故

石の落下もあるだろうし、旅客機の墜落もあが起きているのは、これらのシステムが完全るだろうし、テロも考えられるだろう。現在でないためである。の原子力発電の設計ではここに最も注意を払さて、原子力発電の安全ではどうであろう

うべきなのであるが、国の原子力安全委員会か。 前述したように、 現在の原子力発電での指針では、原発の設計に際して、「長期間には、長期の全電源喪失が起こると必然的にメわたる全電源喪失を考慮する必要はない」とルトダウンが生ずる。実際には長期の全電源規定されているとのことである。安全設計の喪失が起こらないように多重系で、すなわち基本を忘れているとしか言いようがない。まフォールトトレランスの考え方、信頼性に基た、このリスクを下げるもう一つの方法は、被づいて安全が確保されている。この場合のリ害のひどさを軽減することである。そのため

スクは、危害が起る確率（長期の全電源喪失がには原発の運用者にとって最も重要な点は、起こる確率）とその危害のひどさ（メルトダウ

事故が起きた後の対策を十分に準備しておくンから引き起こされる被害、現実には今回のことである。事故は起きないとしてその対策悲惨な原発事故の被害）との組み合わせであをおろそかにしていたことは、安全運用の基り、われわれはこのリスクを許容するか否か本を無視しているとしか言いようがない。

で原発の存在を認めるか否かが判断されるこ

現在の原子炉で事故が起きた時には、止めとになる。従って、原発が安全であると判断さる、冷やす、閉じ込めることを基本としておれるためには、このリスクをいかに下げるかり、このために電源が必須なのである（図 7）。にかかっている。原発の設計者にとって最もこれは能動安全（能動的に働き掛けることで重要な点は、長期の全電源喪失の発生する確安全を確保する）と呼ばれ、信頼性に基づく率をいかに下げるかである。今回の事故は津安全の確保である。これに対して、もう一つ波がきっかけであったが、いくら防潮堤を高の方法である構造に基づく安全によって原子くしてもそれを超える津波が来ないという保力発電を設計するにはどうしたらよいだろうか。それは、フェールセーフな原子力発電を考き的対応の延長線上で、わが国の原子力発電えることである。Ｆ3 システムの考え方に従がこれからも認められるだろうか。わが国やい、どうしようもなくなった時には、止まる、世界の民衆の価値観に依存する大きな今後の冷える、閉じ込まることを基本とする受動安課題である

全（何もしなくても自動的に安全になる）と呼リスクは危害の発生確率と危害にひどさのばれる考え方を採用する。フェールセーフな組み合わせであるが、危害が極めて大きな場原子力発電は可能であろうか。現在の原子力合には、前述したように発生頻度がいくら小発電は、効率を重視するために極めて大型とさくてもそのリスクは認められないという考なり、かつ密集して設置されている。リスクがえ方はあり得る。確率よりもひどさを優先す高まるのは必然である。長期の全電源喪失でるという価値観に基づくもので、確率的にはメルトダウンが起きるのは余熱による燃料棒極めて稀であるという意味で数値的には安全の溶解が原因である。例えば、簡単に言ってであっても、安心が得られないからである。

しまえば、燃料棒の余熱を賄うだけの水を用

安心は個人の、または社会の価値観に依存し、意し、その中で原子炉を稼働させ、事故が生じ安全が実現されている構造が理解でき、安全てどうしようもなくなった時にはそのままにを確保している人間、組織、機関を信頼するしておけば、燃料棒の余熱は除去されるといことから醸成されるのだろう。フェールセーう構造が考えられる。これ以外にも、フェーフに基づくアプローチは確定論に基づく考え

ルセーフな原子炉の形態は考えられるであろ方であり、リスクが極めて高いシステムに対う。これらの形態では、大きな原子炉はできする安全設計思想の一つの候補である。構造ないかもしれないが、効率よりも安全性を優がよく理解でき、本質的に安全が確保されて先し、小型のものを作って分散して設置すべいるので安心につながる。この際、原子力発きである。なお、原子力発電に存在する大き電は安全の基本に戻り、安全確保の構造と論なリスクには、この他にも原子炉からの高濃理に戻る必要があるだろう。原子力発電に関度放射性物質の拡散、高レベル放射性廃棄物しては、わが国の技術力をフェールセーフなの処理などもあるが、ここでは触れない。

原子炉の開発に集中し、原子力発電の高度な安全性確保の技術の開発を通して、わが国は

4. あとがき

安全立国として世界に貢献して行くという選択枝もあり得て、それができないならば、地人工的なシステムの安全性は、一般的には震や津波が多いわが国では、長期的には原発安全基準に従い設計され、残されたリスクのゼロという選択枝もあり得るだろうというこ

大きさを開示し、それが許容可能か否かで判とを提案したい。

断されることを基本とする。今回の原子力発電の事故で、今まで対応していなかった危険源やリスクが明確になり（地震の大きさや津波の大きさ）、新しい安全基準を定めて対応すれば、これまで以上に安全性が高まることは明らかである。失敗に学ぶ再発防止の考え方である。しかし、現在の構造や考え方をそのままにして安全性を上げるというモグラたた

参考文献
1）向殿政男、北野大、他、安全学入門～安全の確立から安心へ～、研成社、2009

むかいの●まさお

1970年明治大学大学院工学研究科博士課程修了。工学博士。同年明治大学工学部電気工学科専任講師、78 年同大学工学部電子通信工学科教授、89年から同大学理工学部情報科学科教授。経済産業省 消費経済審議会委員（製品安全部会長）、国土交通省
社会資本整備審議会委員（昇降機等事故調査部会長）
。消費者庁
参与、
（公）
私立大学情報教育協会会長。

SE 170 2013. MARCH

15