201

PWR プラントのレベル−１ PSA ベンチマーク解析（ステップ３）―― 事故シーケンス解析と全体のまとめ ――
Benchmark Exercises on PWR Level-1 PSA (Step 3)— Analyses of Accident Sequence and Conclusions —丹羽 雄二(Yuji Niwa)*

高橋 英明(Hideaki Takahashi)†

要約 レベル１ PSA の結果は，統計量を使用することによる本来の数値的揺らぎに加えて，各段階で行われる工学的知見に基づく仮定による不確定性を生ずる．この仮定による不確定性の把握を目的として，解析する標準問題，すなわちベンチマーク問題を３題設定した．本報告では，事
故シーケンスに関するベンチマーク問題の解析を通して得られた知見について述べる．システム間の依存性の取扱いが PSA の不確性を発生しうる．またこれまで実施してきた他のベンチマーク問題も併せて，得られた種々の知見を整理する．
キーワード

ベンチマーク，事故シーケンス解析，システム間の依存

Abstract
The results of level 1 PSA generate fluctuations due to the assumptions based on
several engineering judgements set in the stages of PSA analysis. On the purpose of the investigationof uncertainties due to assumptions, three kinds of a standard problem, what we call benchmark
exercise have been set. In this report, sensitivity studies (benchmark excercise) of sequence analyses
are treated and conclusions are mentioned. The treatment of inter-system dependency would generate
uncertainly of PSA. In addition, as a conclusion of the PSA benchmark excercise, several findings in
the sequnce analysis together with previous benchmark analyses in earlier INSS Journals are treated.
Keywords

1.

benchmark, accident sequence analysis, inter-system dependency

ベンチマーク問題Ｂの解析は得られた情報に基づいて行われることから，他のシナリオが発生していると見誤り，不適切な行為を

1.1

事故シーケンスのモデル化行う要因として，計装系の故障等によるプラント情報に関した問題が重要となる．

図１に，各ベンチマーク問題（1）の範囲を示す．

同じ事故シーケンスカットセット中に複数のヒュ

ベンチマーク問題Ｂは，「破損蒸気発生器（SG）の隔

ーマンエラーが含まれる場合，これらは独立な事象

離失敗」および「1 次系の減圧失敗」の多重のヒュとして取扱えない場合が多いであろう．この場合，

ーマンエラーからなる事故シーケンスである．本ベ

確率的な依存性をどう評価するかが問題になる．同

ンチマーク問題の解析は，既に実施しているが（2），

じ原因により複数の事象が影響を受ける場合や，そ本報告においては詳細イベントツリーの解析条件のの結果により他の事象が影響を受ける場合には，明見直しと，感度解析を実施した．

確に依存性が存在するが，現在行われている HRA

PSA における従来の人間信頼性解析（HRA）に対しては，次のような批判がある．

ではエラーの原因を追求しないため，依存性を考慮することは困難である．

予期しないシナリオの可能性を増大させる「不適本研究では，上記のような問題を検討するため，切な行為」としてのコミッションエラーが考慮され多重のヒューマンエラーを含んだシーケンスを対象ていない．事故時において様々に行われる意思決定とし，ヒューマンエラーの原因を検討しながら解析*（株）原子力安全システム研究所 技術システム研究所†（株）三菱総合研究所 総合安全研究センタ

202

原子炉
トリップ

高圧
注入

２次系
の冷却

破損SG
の隔離

１次系の
減圧

スプレ
注入

低圧
再循環

高圧
再循環

スプレ
再循環

シーケンス
番号
1
2
3
4
5

問題Ｂ

6
7
8

問題Ｃ

9
10
11

問題Ｃ

12
13

問題Ａ
ＳＧＴＲ
起因事象

図１

ベンチマーク問題の設定を実施した．但し，対象としている事故シーケンス（7）隔離操作の対象となる弁の正常動作

ならびに事故時の対応は，国によって，また個々の（8）ハードウェア故障の認知プラントにおける運用上の違いによって，異なった（9）一次系の減圧操作（加圧器逃し弁の開放）ものとなり得るものであることに注意する必要があ（10）加圧器逃し弁の正常動作

る．

これらのシーケンスについては，判断状況によっ

図２に，「破損 SG の隔離」と「1 次系の減圧」にて次の４つのケースに分類される．

対して展開した詳細イベントツリーを示す．従来の（Ａ）隔離すべき弁が故障により閉止しなかっ

一般的なスモールイベントツリーによる表現では，たが，閉止していないことが表示灯で確「破損 SG の隔離」と「1 次系の減圧」は，図１のよ認された

うに単純に 2 つのヘディングで表現される．しかし，（Ｂ）隔離すべき弁が故障により閉止しなかっ

実際には事故の原因や状況に応じて様々な認知と判たが，閉止の確認をしなかったため，状断が関与することから，現実をこのように単純なツ況の正確な判断ができていない

リーの形態で表すことには無理がある．このために，可能性のある状況を考慮の上，より詳細に展開した（Ｃ）破損 SG 隔離操作上のエラー（行動エラー）により，隔離されなかった

イベントツリーを構築した．詳細イベントツリーに（Ｄ）破損 SG の同定に失敗した

おけるヘディングの内容は次のとおりであり，ハーこれらの，シーケンスの対応については，図２にドウェア故障も含んだものとなっている．

おいて，円で囲まれたＡ，Ｂ，Ｃ，Ｄで表している．

（1）蒸気発生器伝熱管破損事故（SGTR）の認知

ヒューマンエラーが係わる上記の各ヘディングに対（2）破損 SG の同定

して，事象の進展状況と，ヒューマンエラーの形態（3）タービンバイパス弁等の自動閉止および主要原因を検討し，この結果を HRA に反映（4）自動閉止失敗時の手動バックアップ

した．ヒューマンエラーが係わる各ヘディングに対（5）手動バックアップ操作の対象となる弁の正する検討の概要は次のとおりである．

常動作（6）破損 SG の補助給水との隔離操作

ヘディング： SGTR の認知
SGTR においては，伝熱管の破損に伴う 1 次冷却

203

SGTR
の認知

破損SG TBバイパス弁 自動閉止 バックアップ 破損SGのの同定 大気放出弁 失敗した 弁の正常 隔離操作
給水制御弁 弁のバック動作の自動閉止 アップ

隔離弁の
正常動作

HW故障の
認知状態

１次系
の
減圧

加圧器逃がし弁の正常動作

A
B
C
A
B
C
A
B

F 5
S 6
F 7
F 8
S 9
S 10
F 11
F 12
F 13
S 14
F 15
F 16
S 17
F 18
F 19
F 20
S 21
F 22
F 23
S 24
F 25
F 26
F 27

C
D

図２

S 1
S 2
F 3
F 4

SGTR 時操作の詳細イベントツリー（OAET; Operator Action Event Tree）

材の流出により，1 次系の減圧が始まる．1 次系ののモニタが健全であればよいことから，確率は小さ減圧により，原子炉は「原子炉圧力低」または「過い．LBB が存在せず急に伝熱管が破断した場合，

大温度ΔＴ高」信号によって自動停止する．またまたは複数の伝熱管破断が発生して多数の警報が同「原子炉圧力低」信号によるＳＩ信号によって，非時発信した場合には SGTR の認知に失敗する可能性

常用炉心冷却設備が作動する．更に SI 信号の発信が高くなるが，このような事象の発生は無視できるにより給水隔離がなされ（給水制御弁の閉止），補ほど小さいものと仮定する．以上のことから，

助給水ポンプが起動する．原子炉トリップ後は，タ「SGTR の認知に失敗する」重大な要因は考えられービンバイパス弁によって蒸気発生器の 2 次側の蒸ず，この確率は比較的小さいものと想定される．

気が復水器へと導かれ，2 次側の圧力上昇が抑えられる．

ヘディング：破損 SG の同定

運転員は，SG ブローダウンモニタまたは復水器破損 SG の同定には，放射線管理課係員によるオ

空気抽出器ガスモニタの線量率が上昇しているのをフラインサンプリングの結果を判断の最終材料とす

見て，SGTR の発生を確信する．「事故の認知に失ることが望ましい．しかしこのためには 30 分程度

敗し，誤った対応を選択する」主要な原因として，の時間がかかることから，事故の発生後にサンプリ

次のようなことが考えられる．

ングにとりかかることによる同定は期待できない．

知識不足，不慣れ，訓練不足

実際には下記のパラメータで破損 SG を同定するこ

計装系の故障とが要求される．

警報による混乱
しかし実際には，事象ベースの事故の代表例とし（1）各ループの「給水流量」と「蒸気流量」のミスマッチて訓練が良く実施されており，ハードウェア故障を（2）SG の水位上昇，圧力上昇

仮定しなければ，認知失敗の確率は小さいものと期（3）補助給水流量ループ間の偏差待できる．ハードウェア故障についても，どちらか

これらのうち，（1）が運転員間の認識では最も親204

しんだパラメータと考えられる．流量ミスマッチのは，コントローラにて閉止確認を行う．タービンバ

警報はあるが，1 本破断の SGTR で警報が発生する

イパス弁はランプで確認する．これらの弁が自動閉かどうかは不明であるため，常に運転員による認知止に失敗した場合に，「気がつかなかったり，選択が必要であるとする．

や操作の誤りによって，バックアップ操作に失敗す（1）の認知方法により「状況の判断に失敗し，誤る」原因として，次のようなことが考えられる．

った対応を選択する」原因として，次のようなこと

知識不足，不慣れ，訓練不足が考えられる．

モニタライトの不適切なレイアウト等により，知識不足，不慣れ，訓練不足

故障の判断が困難

計器の選択ミス

心理的ストレス

流量の偏差の読み取りミス

SGTR の認知と同様に，事象ベースの代表例とし

流量計等の故障て訓練もよく実施されていることから，第一の要因

判断ミスの影響は小さいものと期待できる．対象弁の状態確

思いこみ，過信（シミュレータと違った挙動を認のためのモニタライトが存在し，プラントデザイ

示した場合，判断できると思っていたことがでンの点でもかなり重視されたものとなっていることきなくなる可能性がある）

から，第二の要因の影響は小さい．弁の手動バック

SGTR の認知と同様に，事象ベースの代表例とし

アップに失敗するケースとしては，タービンバイパて訓練もよく実施されていることから，第 1 番目のス弁が非安全系の弁であること，および高い心理的要因の影響は小さいものと期待できる．計器の配置

ストレス条件下で，「モニタライトの確認を忘れる」

は特にミミック化はされていないが，流量偏差評価

ことが挙げられる．

のための視認性はかなり良いものと考えられることから，第 2 および第 3 番目の要因の影響も小さいもヘディング：破損 SG の隔離操作のと考えられる．また流量計等のハードウェア故障「不履行，選択や操作誤りによって，隔離操作に失も，確率的には影響が小さいものと考えられる．

敗する」原因として，次のようなことが考えられる．

破損 SG の同定に失敗するケースとしては，（1）

知識不足，不慣れ，訓練不足の情報がシミュレータほど明確には得られず，これ不適切なレイアウトや不明瞭なラベル

で（2）
（3）
,
の評価を忘れてしまうことが挙げられる．

心理的ストレス

また計器（3 ペン式のレコーダ）の公差を偏差と思SGTR の認知と同様に，事象ベースの代表例としいこみ，別の SG を破損 SG と同定する可能性も考て訓練もよく実施されていることから，第 1 番目のえられる．機器の計器の選択ミスや読み取りミス等

要因の影響は小さいものと期待できる．スイッチ類の単純なミスよりも，これらの影響のほうが大きいの配置は特にミミック化はされていないが，整理さものと考えられる．

れた配置となっていることから，第 2 番目の要因の影響も小さいものと考えられる．ストレスの影響以

ヘディング：自動閉止に失敗した弁の手動バックア

外，特殊な影響要因はない．

ップ
次の手動バックアップを行う．

ヘディング：バックアップ用弁または隔離弁の動作不良の場合の，故障の認知（1）主蒸気逃がし弁が再閉止失敗した場合は，その元弁を閉止（2）タービンバイパス弁が再閉止失敗した場合には，主蒸気隔離弁を閉止（3）給水制御弁が自動閉止失敗した場合は，手動で閉止
手順書に従い，給水制御弁および主蒸気逃がし弁

タービンバイパス弁等が自動閉止に失敗した際に，バックアップ操作を行っても弁の動作不良によってバックアップに失敗した場合，「そのことに気がつかない」原因として，次のようなことが考えられる．
確認しなかった205

故障の判断が困難

ったが，閉止していない事が表示灯で確認された場

心理的ストレス合）では，上記の「ためらい」はあるものの，一次表示灯等の故障

系の減圧操作を実施するという判断を行う状況が発思い込み，過信生している．この場合の診断エラーの評価には，時破損 SG の隔離が弁の動作不良によって失敗した

間信頼性曲線のノミナル値の適用が妥当であろう．

場合，「そのことに気がつかない」原因も同様である．中央制御室で操作する弁は，表示灯により開閉（Ｂ）のケース（隔離弁が故障により閉止しなか状態が表示されるので，確認により故障の判断が可ったが，閉止の確認をしなかったため，状況の正確能である．現地弁は，表示灯が中央制御室に表示さな判断ができていない場合）では，一次系の減圧操れないので，認知が不可能である．他の要因はすべ

作を直ちに実施するという判断はできないものと考てあり得るものである．

えられる．この場合の診断エラーの評価には，時間信頼性曲線の上限値の適用が妥当であろう．余裕時

ヘディング： 1 次系の減圧操作「状況の判断に失敗し，誤った対応を選択する」
原因として，次のようなことが考えられる．

間は 10 分とする．この場合，診断エラーの確率は1.0 となるが，判断が困難という状況を考えると，妥当な数値と考えられる．

知識不足，不慣れ，訓練不足
心理的ストレス（Ｃ）のケース（操作エラーにより隔離されなか

肉体的ストレスった場合）では，状況の把握に基づき 1 次系の減圧

時間的ストレス操作を実施するという判断を行うことが期待でき

躊躇る．この場合の診断エラーの評価には，時間信頼性

意図的な不履行曲線のノミナル値の適用が妥当であろう．

ストレス要因については，隔離操作の後にはすぐに RCS の冷却操作や減圧操作を実施しなければな（Ｄ）のケース（破損 SG の同定に失敗した場合）らず，これらが運転員への大きな心理的負荷となる

では，必然的に適切な隔離ができていないというこことから，SG 水位等からパラメトリックに状況をとから，一次系の減圧操作を実施するという判断を判断する必要がある状況が発生した場合には，加圧行う状況が発生している．この場合の診断エラーの器逃し弁の開操作による一次系の減圧の必要性を判

評価には，時間信頼性曲線のノミナル値の適用が妥断することは困難と考えられる．躊躇や意図的な不当であろう．

履行については，加圧器逃し弁の開放自身が，放射性物質閉じ込めの物理的障壁の１つである RCS バ「選択や操作の誤りによって，操作に失敗する」

ウンダリを破る操作であるだけに，運転員にはこの原因として，次のようなことが考えられる．

操作に対して「ためらい」があることも予想できる．

知識不足，不慣れ，訓練不足

そのため，これが操作時期を誤るといった原因にも不適切なレイアウトや不明瞭なラベル

なりかねない．また同様の理由から，明らかに加圧

心理的ストレス

器逃し弁を開放すべき状況が発生していない限り，肉体的ストレス

むやみに実施はしない可能性があるものと考えられる．

時間的ストレス
第 1 番目および第二の要因の影響は小さいと考えこれらを考慮すると，1 次系の減圧操作を実施すられるが，各種ストレス要因により，加圧器逃し弁る各ケース（図２（Ａ）〜（Ｄ））は，次のように考による一次系の減圧操作を終了すべき条件になってえられる．

いないにもかかわらず操作を終了してしまい，そのまま炉心温度のチェックが行われずに，炉心の再加（Ａ）のケース（隔離弁が故障により閉止しなか

熱が起こる可能性も否定できない．このような検討

206に基づき，表１に HRA の際の解析条件をまとめた．

1.2

事故シーケンスの解析作成したイベントツリー中の各ヒューマンエラー
要素に対して，THERP 手法による解析を実施した．
表２に，図２の各シーケンスの進展確率をまとめた．
全シーケンスの進展確率のうち約３分の１が，何らかのハードウェア故障が関係したシーケンスによるものとなった．このうちの２分の１以上はシーケン
ス４，即ち，破損 SG の隔離操作は実施したが弁の故障によって隔離されず，このことに気がつかずに１次系の減圧操作を実施しないということによるものである．
表１に記載したとおり，ハードウェアの故障によ

ｼｰｹﾝｽ番号

進展確率

3
4
5
7
8
11
12
13
15
16
18
19
20
22
23
25
26
27

1.31E-6
8.12E-4
6.70E-5
3.55E-6
2.20E-3
6.47E-8
4.00E-5
3.30E-6
1.75E-7
1.08E-4
4.98E-8
3.08E-5
2.54E-6
1.54E-7
9.49E-5
1.78E-7
1.10E-4
1.00E-4

寄与割合

HW故障の関与

22.7%
1.9%

Yes
Yes
Yes
Yes

61.6%
Yes
Yes
Yes
Yes
Yes
Yes
Yes
Yes
Yes
Yes
Yes

1.1%

3.0%
0.9%

2.7%
3.1%
2.8%

って弁が閉じないということはモニタライトで確認でき，また確認すべきことが手順書で指示されてい合計

3.57E-3

99.8%

32.5%

表２

詳細イベントツリーの解析結果

るという解析条件を設定している．これらの条件により，ヒューマンエラーの確率評価において比較的小さな過誤率が算出されているが，それでも寄与率

1
SGTRの認知

破損SGの同定

認知エラーの考慮(1)許容診断時間(2)上限/ﾉﾐﾅﾙ/下限

考慮する
30分
下限値

考慮する
30分
ﾉﾐﾅﾙ値

行動ｴﾗｰを考慮する操作

な

な

し

PSF
(1) 手順書

1.ﾗﾝﾌﾟ等で 1.電動補助給 1.ﾓﾆﾀﾗｲﾄの閉止確認 水ﾎﾟﾝﾌﾟ出口
確認
2.主蒸気隔離 電動弁の閉弁の閉止（ 2.補助給水
制御室操作) 量調整弁閉

次
(A)

考慮する
10分
ﾉﾐﾅﾙ値

系

の

減

圧

操

(B)
考慮する
10分
上限値

(6)電動弁やHCVのためのｽｲｯﾁに関するPSF(7)ﾀｽｸ間の依存性(8)ﾀｸｸ間の依存性

考慮する
10分
ﾉﾐﾅﾙ値

1.加圧器逃がし弁2/2第を強制開放（ｽﾌﾟﾘﾝｸﾞﾘﾀｰﾝｽｨｯﾁ)
そのまま長時間保持(24Hr)･知識不足･知識不足 ･知識不足 ･知識不足 ･ｽﾘｯﾌﾟ･知識不足、不慣れ、訓練不足
不慣れ
不慣れ
不慣れ
不慣れ
･心理的ｽﾄﾚｽ ･心理的ｽﾄﾚｽ
訓練不足
訓練不足
訓練不足
訓練不足 ･表示灯故障 ･時間的ｽﾄﾚｽ･計装系の故障･ｽﾘｯﾌﾟ･不適切な ･不適切な･思いこみ、 ･肉体的ｽﾄﾚｽ･警報による ･計装系故障 ﾚｲｱｳﾄ等
ﾚｲｱｳﾄ等
過信･躊躇
混乱･思いこみ ･心理的ｽﾄﾚｽ ･心理的ｽﾄﾚｽ･意図的な不履行、不適切なﾚｲｱｳﾄ等

表１

人間信頼性解析における解析条件表

作(C)

ﾛﾝｸﾞﾘｽﾄﾛﾝｸﾞﾘｽﾄﾛﾝｸﾞﾘｽﾄﾛﾝｸﾞﾘｽﾄ
ﾁｪｯｸｵﾌ欄あり同左同 左
ﾁｪｯｸｵﾌ欄あり
熟
練
熟
練
熟
練
熟
練
極度に高い 極度に高い 極度に高い
極度に高い
普
通
普
通
普
通
普
通
考慮する
考慮する
考慮する
考慮する
(特に要請さ (特に要請さ (特に要請さ (特に要請されたﾁｪｯｸ)れたﾁｪｯｸ）
れたﾁｪｯｸ） れたﾁｪｯｸ)2方向ｽｲｯﾁ
2方向ｽｲｯﾁ ﾓﾆﾀﾗｲﾄ
2方向ｽｲｯﾁ
機能別配置 機能別配置
機能別配置
ｽﾃﾚｵﾀｲﾌﾟなしｽﾃﾚｵﾀｲﾌﾟなし
ｽﾃﾚｵﾀｲﾌﾟによる侵害なし
保持必要
保持必要
ｽｲｯﾁの長期保持必要確認と操作 MOVとHCV
OM:高依存 操作
CM:中依存 OM:高依存
CM:中依存
Step By Task Step By Task Step By Task Step By Task

(2) 経験レベル(3)ストレスレベル(4)ﾀｷﾞﾝｸﾞﾚﾍﾞﾙ
(5)当直長等による過誤の回復

ｴﾗｰの主原因

し

自動閉止した 破損SGの HW故障の
弁の手動
隔
離
認
知
ﾊﾞｯｸｱｯﾌﾟ
考慮しない 考慮しない 考慮しない

207

は大きい．更に，図２の「バックアップ弁の正常動ていない，ハードウェアの故障の影響（ハ作」のヘディングで弁の故障に共通要因故障を考慮

ードウェア故障が原因となったヒューマン

した場合には，全確率の 41 ％がハードウェア故障

エラー生起を含んだシーケンスの存在）が，が関与したシーケンスによるものとなり，ヒューマ

無視できない程度に存在する可能性があ

ンエラーの確率として評価結果の下限値を適用した

る．このようなシーケンスは図２のような場合には，全確率の 78 ％がハードウェア故障が関イベントツリーを検討すること，また表１

与したシーケンスによるものとなった．

に示した形でヒューマンエラー評価上の条件を検討・整理することによって評価する

1.3

ベンチマーク問題 B の解析によって得られた知見

人的過誤による不確定性を評価するためのベンチ
マーク問題 B として次のような知見が得られた．

ことができる．

2.

ベンチマーク問題 C の解析

2.1

事故シーケンスのモデル化

ベンチマーク問題Ｃは，複数のフロントラインシ
知見１： THERP による行動エラーの評価においてステムの失敗または成功の組み合わせで表現されるは，特に次の取扱いの影響が大きい．

事故シーケンスを対象としたものである．関係する

ストレスレベル

フロントラインシステムの数が増えると共に，これタスクの難易度（ステップバイステップ

らに関わるサポートシステムも増加し，ベンチマー

タスクかダイナミックタスクか）ク問題Ａと比べてシステム間の相互作用が複雑にな

エラーの回復（当直長等による回復の効果）

る．

これらの扱いにより，単独の要素によりファクター 5 程度の差異を生じ得る．

ベンチマーク問題Ｃのモデル化に関わる系統は次のとおりである．
（1）高圧注入系（注入モードおよび再循環モード）

知見２：単一の事故シーケンス中に複数のヒューマ
ンエラーが存在する場合は，それらの間の（2）補助給水系（3）加圧器逃がし弁等

依存性をどのように仮定するかで，シーケ

格納容器スプレイ系（注入モードおよび再ンスの解析結果には大きな差異が生じ得

循環モード）

る．従来の単純なイベントツリーをベース

低圧注入系（再循環モード）としただけでは依存性を議論することは困

電源系

難である一方，依存性をどういう形で反映

工学的安全施設起動系

するかによって，解析結果には大きな違い

補機冷却水系を生じ得る．

補機冷却海水系
制御用圧縮空気系

知見３：詳細なイベントツリーを構築することによベンチマーク問題 C で初めて関係する各システム

り，状況の進展や必要な判断，およびヒュの成功基準ならびにバックアップに関するモデルのーマンエラーとして考慮している範囲が分設定を以下に示す．

かりやすく表示され，従来のイベントツリ
ーと比べて理解しやすい．またエラーの原因も検討しやすく，これによりヒューマン
エラー間の依存性の問題も考えやすい．

（1）高圧注入系（注入モード）（a） ３台中１台の充てんポンプが起動し，運転を継続すること．
（b）３ループ中２ループへの注入があること．

知見４：従来のイベントツリーのレベルでは考慮し（c） ほう酸注入タンクのヒーターが機能して

208

いること．

（b）１系統が使用不能になった時のタイライ
ン手動開による回復操作を考慮する．

（d）ほう酸注入タンクを通るルートが使えない場合，補助注入ラインによるバックア（c） ２台中１台のコンプレッサーポンが起動し，運転を継続すること．

ップが考慮できる．
（2）高圧注入系（再循環モード）（d）２台中１台のコンプレッサー用熱交換器が機能していること．

（a） ２台中１台の余熱除去ポンプが起動し，運転を継続すること．

（e） 雑用空気系によるバックアップは考慮し（b）2 台中 1 台の余熱除去冷却器が機能してい

ない．

ること．
（c） 3 台中 1 台の充てんポンプが運転を継続すること．

図３に，サポートシステムの間の依存関係を示す．
図からわかるように，依存関係にはいくつかのルー（d）注入時に開いているＲＷＳＴからのライプが生じている．本研究では，まずこれらの関係をン上の電動弁が，再循環モードでは閉止

正確に反映したフォールトツリーモデルを構築しすること．

た．サポートシステムのフォールトツリーモデルの（e） ほう酸注入タンクのヒーターが機能していること．

階層図を，図４に示す．各系統間の依存関係をこのような多重の階層関係でモデル化することにより，（f） ほう酸注入タンクを通るルートが使えな

各フロントラインシステムのモデルに接続する際にい場合，補助注入ラインによるバックア

は，サポートシステム間に存在するループの影響がップが考慮できる．

すべて反映されたものなる．

（3）格納容器スプレイ系（注入モード）（a） ４台中２台の格納容器スプレイポンプが起動し，運転を継続すること．
（b）４つのスプレイリングのうち２つのリン

2.2

事故シーケンスの解析

ベースケースとして，前記のようなシステム間の依存関係を正確にモデル化したフォールトツリーのグからスプレイがなされること．

解析を行った．解析にあたって使用した各種データ（4）格納容器スプレイ系（再循環モード）（機器故障率，βファクター，待機除外確率，使命（a） ４台中２台の格納容器スプレイポンプが運転を継続すること．

時間）は，Surry プラントを対象とした PSA レポート（NUREG/CR-4450 Vol.3,Rev.1)から引用した．

（b）４つのスプレイリングのうち２つのリン共通要因故障のモデルはβファクター法であり，共グからスプレイがなされること．

通要因故障を考慮する機器および故障モードは次の（c） ２台中１台の熱交換器が機能していること．
（d）注入時に開いている RWST からのライン

とおりである．
電動ポンプの起動失敗

上の電動弁が，再循環モードでは閉止す

電動弁の開失敗

ること．

電動弁の閉失敗（5）補機冷却水系（a） ４台中２台の補機冷却水ポンプが起動し，運転を継続すること．３台中２台の熱交換器が機能していること．
（6）補機冷却海水系（a） ４台中２台の補機冷却海水ポンプが起動し，運転を継続すること．
（7）制御用圧縮空気系（a） 系統分離がなされている．

空気作動弁の開失敗
非常用ＤＧの起動失敗
ストレーナの閉塞
使命時間は次のとおりである．
フロントラインシステムの注入モード： 12 時間
フロントラインシステムの再循環モード： 24 時間
補助給水系：６時間
試験の周期は次のとおり設定した．
定期試験を実施していると考えられる機器：

209

制御用圧縮空気系

M

熱交換器用冷却水
空気作動弁用
制御用圧縮空気起動・作動用
SI信号

作動・駆動用電源

補機冷却水系

M
M

熱交換器用冷却水

補機冷却海水系
起動・作動用
SI信号

作動・駆動用電源

起動・作動用
SI信号

作動・駆動用電源

DG冷却用冷却水

起動用SI信号
作動用電源

信号系

電源系

図３

サポート系間の関係

フロントラインシステム

IAS
CCW
EPS
SWS
SIS

IAS

EPS

CCW

EPS

SWS
SIS

CCW

SWS
CCW

SIS
EPS

EPS

CCW
SIS

EPS

SWS

SIS
IAS

IAS

IAS

SWS

CCW SWS LAS SIS

IAS
CCW
EPS
SWS

SWS
SIS

IAS

EPS

SWS

EPS

SIS

SWS

EPS

SIS
IAS

IAS

SIS
EPS

CCW

IAS

SIS

EPS

系統名

IAS
EPS

IAS

CCW
SWS

EPS

モデル化されている直接依存している系統
SIS
IAS

モデル化していない系統を表す

図４

サポート系間の依存関係モデル化されている、直接依存している系統を介して間接的に依存している系統

210

720 時間と，影響がサポートシステム間で伝搬することが原

格納容器内にあるなど，試験が考えられない機因である．この影響の伝搬の様子を図５と図６に示器： 8760 時間

す．

ヒューマンエラーについては，新たに次のエラー
感度解析として，次の 10 ケースを実施した．

の評価を行った．
（1）各系統におけるポンプなどの試験時のヒュ（1）サポートシステム間の依存性関係を図７のように簡略化したケース

ーマンエラー（2）事故時の，注入モードから再循環モードへ（2）サポートシステム間の依存性をモデル化しないケースの切替に係わるヒューマンエラー（3）事故時の，制御用圧縮空気系のタイライン（3）サポートシステムの故障をモデル化しない
ケース

開操作に係わるヒューマンエラー（4）各サポートシステムの故障を基本事象として取扱うケース

フォールトツリー解析によって得られた各フロン
トラインシステムのミニマルカットセット（MCS）（5）成功しているシステムの存在を反映しない
ケース

を見ると，共通要因故障とヒューマンエラーの寄与が優勢であるが，サポートシステム中の機器故障の（6）高圧再循環への切替操作と格納容器スプレ

寄与も目立つものとなった．特に高圧注入系と格納

イ再循環の切替操作のヒューマンエラーの間に依存性を考慮するケース

容器スプレイ系の注入モードは，ＡＣ母線Ａの機能喪失あるいは制御用圧縮空気系Ａトレインの機能喪（7）制御用圧縮空気系のタイライン開操作を考慮しないケース

失によって失敗に至っている．これは，・ＡＣ母線Ａ系統の機能喪失→補機冷却海水系の空（8）共通要因故障のデータとして SequoyahIPEのデータを使用するケース

気作動弁が閉→補機冷却水系熱交換器２基への冷却水が喪失→補機冷却水系による各種ポンプ等の（9）共通要因故障を考慮する機器およびデータ
共に SequoyahIPE と同じくしたケース

冷却機能が喪失（MGL 法を適用し，3 重故障も考慮）
・制御用圧縮空気系Ａトレインが機能喪失→補機冷（10）全交流電源喪失の発生を考慮したケース

却海水系の空気作動弁が閉→補機冷却水系熱交換器２基への冷却水が喪失→補機冷却水系による各解析ケース（1）から（5）は，システム間の依存性に関する感度解析である．解析ケース（6）は，複数

種ポンプ等の冷却機能が喪失の系統に関係するヒューマンエラーに関する感度解コンプレッサーAトレイン起動失敗

AC母線Aトレイン故障

電源系

サ
ポ
ー
ト
系

補機冷却水系熱交換器用冷却水の出口空気作動弁

補機冷却海水系

補機冷却水系

制御用圧縮空気系Aトレインアンアベイラブル

Aトレインがフェイルクローズ

Bトレインがフェイルクローズ

熱交換器Aが冷却機能喪失

熱交換器Bが冷却機能喪失

補機冷却水系の冷却機能喪失

サ
ポ
ー
ト
系

補機冷却水系熱交換器用冷却水の出口空気作動弁

補機冷却海水系

補機冷却水系

補機冷却水系のA、B両トレインがアンアベイラブル

フロントラインシステムがアンアベイラブル

Ａトレイン交流電源故障の伝搬

Aトレインがフェイルクローズ

Bトレインがフェイルクローズ

熱交換器Aが冷却機能喪失

熱交換器Bが冷却機能喪失

補機冷却水系の冷却機能喪失
補機冷却水系のA、B両トレインがアンアベイラブル

ポンプ冷却機能喪失

フロントラインシステム

図５

タイライン開操作失敗

制御用圧縮空気系
電源系Aトレインアンアベイラブル

ポンプ冷却機能喪失

フロントラインシステム
フロントラインシステムがアンアベイラブル

図６

計器用空気系故障の伝搬

211

フロントラインシステム

IAS
CCW

CCW
SWS

EPS
SWS

SWS

EPS

EPS

SIS

SWS
SIS

SIS

SIS

SIS
系統名

IAS
CCW

EPS

モデル化されている直接依存している系統
SIS
モデル化されている、直接依存している系統を介して間接的に依存している系統

IAS

SWS

モデル化していない系統を表す

図７

簡略化されたサポート系

1

事故シーケンス進展確率

図２のシーケンス

10–3

10–4

10–4

10–5
B

1

2

3

4

5(*1) 6(*2)

シーケンス3(SGI+CSR)
シーケンス4(SGI+HPR)
シーケンス5(SGI+CSI)
シーケンス6(SGI+PDP)
10–1

10–2

10–3

10–4
7

8

9

B
1
2
3
4
5
6(*1) 78910(*1)解析ケース7については格納容器スプレイ再循環以外のシーケンスはベースケースと同じ値を使用しているので省略した。

10(*1)解析ケース6については、上記以外のシステムはベースケースと同じ値を使用しているので省略した。
(*2)解析ケース7については格納容器スプレイ再循環以外はベースケースと同じ値を使用しているので省略した。

解析ケース

図９ シーケンス解析結果（シーケンス毎の結果）

解析ケース

図８

（ただし、破損SG隔離失敗確率がかかっていない値）

システムアンアベイラビリティ

10

1.0
高圧注入
補助注水
加圧器逃がし弁格納容器スプレイ注入
高圧再循環–2 格納容器スプレイ再循環

シーケンス解析の結果（フロントライン系の Unavailability）

析，解析ケース（7）は，回復操作に関する感度解析である．解析ケース（8）と（9）は，共通要因故障に

2.3

ベンチマーク問題 C の解析によって得られた知見関する感度解析である．また解析ケース（10）は，モデルに関する感度解析である．解析結果を図８と次のような知見が得られた．

図９に示す．システムによって，それぞれの影響の大きさに顕著な違いが見られる．

知見１：成功しているシステムについては，そのことをモデル上で考慮する必要がある．モデ212

ル化しない場合は，シーケンスによってはファクター 2 〜 3 の過大評価となる結果を生じうる．

（1）データベース（a） 独立故障を考慮する機器故障モードの種

知見２：サポートシステムについても機器レベルで類，機器故障率データ，待機除外確率，のモデル化をする必要がある．適切なモデ

使命時間，点検周期，およびこれらのソル化をしない場合は，システムによってはースについて明示すること．

ファクター２〜３過小評価となる結果を生じうる．
知見３：サポートシステム間の相互依存関係は，厳密に取扱うことが望ましい．簡略化したモ（b）これらのデータを１つの表に整理する．
この表には，実際に使用した数値に加えてジェネリックデータを併記することが望ましい．

デルを使用する時は，影響の大きいサポー（c） 動的機器については，ジェネリックデー

トシステム間の故障の伝播がモデル化されタと一緒に図示し，これらの違いが明確ていることを確認する必要がある．厳密なに把握できるようにすることが望ましい．

取扱いをしない場合は，一般的に過小評価（d）プラント固有な故障データを使用していの結果を生ずる．但し，簡略モデルを適用る場合には，故障率の算出に使用したパ

した場合であっても，影響の大きい伝播経

ラメータも明示することが望ましい．

路を正確にモデル化していれば，評価結果（e） 共通要因故障を考慮する機器故障モードには有為な差は生じない．
知見４：複数の系統が関連する事故シーケンスであっても，共通要因故障とヒューマンエラーの種類，系統の範囲，共通要因故障パラ
メータおよびそのソースについて明示すること．

は事故の進展緩和を妨げるドミナントな要（f） これらのデータを１つの表に整理する．

因である．従って，ベンチマーク問題 A お

この表には，実際に使用した数値に加えよび B において整理された知見はそのままてジェネリックデータを併記することが有効なものである．

望ましい．
（g）MCS 中に現れる冗長な機器の同時故障の

PSA における解析結果の不確定性要因についての総合的な知見中で，共通要因故障を考慮していない機

3 題のベンチマーク問題の解析を通して得られた

明記する必要がある．できればこれに対

3.

PSA 結果を報告または評価するにあたっての定性

器および故障モードがあれば，その旨をする考察を加える．

的なガイドラインを検討・整理した．3.1 では，存在する不確定性を定量的に理解しやすいものとする（2）ヒューマンエラーの取扱いとの観点から，PSA レポートへの記載内容を提案（a） 一般的にヒューマンエラーの値の不確定

した．3.2 では，逆に提出された解析結果を評価す性が大きいことから，特に重要なヒューる側の留意点について整理した．

マンエラーについては，レビューにあた
る第三者が同じ条件での解析を実施でき

3.1

PSA 実施結果の表示方法

るだけの情報を付記すること．
（b）THERP 手法を使用する場合には，本報告

PSA 報告書には，様々な不確定要因に関してど

書の表１のような整理が望ましい．

のような取扱いを行っているかが明確にわかるよう（c） 特に診断エラーの評価条件，行動エラー

な資料が添付されていることが重要である．特に次の評価におけるストレスレベル，タスクの要因については，解析結果への影響が大きいため，

難易度，エラーの回復要素については感取扱いを明示する必要がある．

度が大きいので明示する必要性が高い．

213（d）MCS 中に多重のヒューマンエラーの組みことは，各サポートシステムの少なくと合わせがある場合には，それらを全て列も 1 トレインは成功していることを意味し挙すること．

ている．特にサポートシステムへの依存（e） ヒューマンエラー間の依存性を，エラー性の影響が大きい場合には，各サポートが発生する原因を検討の上で考慮する必システムの少なくとも 1 トレインがアベイ

要がある．原因を考慮することによって，ラブルであるという条件を反映する必要

様々な様相での依存性の存在が検討でき

がある．

る．
（f） 場合によっては本研究で構築したような，不確定性は，それが実際のところどこまでを考慮

ハードウェアの故障も考慮したシーケンしたものであるか曖昧なまま，不確定性幅というはスを展開する必要がある．

っきりしない用語でもって示されることが多い．あいまいさを避けるため，特に上記の要因による不確（3）システム間のインターフェイスについてのモ

定性について，次の観点からの考察が必要である．

デル（a） システムモデルにおいて考慮されている（4）不確定性解析によって把握可能な範囲の把握

システム間の依存関係（フロントライン（a）解析結果には，通常点推定値に加えて不確システムとサポートシステム，およびサ

定性解析結果が示されるが，この不確定ポートシステム間の）が，明確に示され性解析の範囲でカバーされる不確定性要ていなければならない．

因と，カバーできない不確定性要因を明（b）原子力プラントにおけるシステム間の依確にすること．

存関係は，かなり複雑である．システム（b）モンテカルロ法を用いた通常の不確定性によって，また設計によって，依存関係解析でカバーできる要因として，例えばの複雑さやモデルの解析結果への影響が

機器故障率，待機除外確率，使命時間等

異なる．場合によっては単一の機器の故がある．

障が，複雑な影響経路を経て，冗長性を（c）通常の不確定性解析でカバーできない要因有しているはずのシステムや，複数のシとして，例えば共通要因故障やヒューマ

ステムの不動作を引き起こし得る．もしンエラーの取扱い等がある．

このような故障があれば（ＭＣＳにより（d）カバーできると考えられる要因について発見できる），その影響経路について，明は，重要度の高い機器について，ジェネ記する．

リックデータとの違いを明記し，ジェネ（c） サポートシステムで簡略化した取扱いをリックデータを使用した際に生じる変化

行っているものがある場合には，現実のの方向（不確定性幅の上限の方向にずれ

依存関係に対してどのような取扱いとなるのか，下限の方向にずれるのか）を示っているか，明記すべきである．

す．

（d）簡略化したモデルを使用する場合は，影（f）機器故障率等のデータの中に相対的に特殊響の大きい故障の伝播がモデル化されてなものがなければ，機器故障率，共通要いることを示す必要がある．

因故障パラメータ，待機除外確率，使命（e） イベントツリーにおける成功システムの時間，および点検周期による不確定性は，取扱についてのモデルについて明確に示通常行われる不確定性解析によって得らされていなければならない．

れる上下限値の範囲でほぼカバーされる（f） イベントツリーにおいて成功しているフと考えられる．しかし，次のような場合

ロントラインシステムが存在するというにはデータに対する感度が極めて大きく

214なる場合があることに注意する必要があ
る．
（g）機器故障率データ間のバランスに変化が（1）独立な機器故障率
ジェネリックデータと比べて特に大きな違いがあるもの，全体のバランスを崩すようなものがないか．

あるような特殊なデータを一部の機器にもしある場合には解析結果にどのような影響をもつ

使用する場合や機器故障率データと共通のか，感度解析によって影響の範囲が評価されてい要因故障データのソースに違いがあり，るか確認する．

これらの間のバランスが一般的に使用されているものと比べて著しく異なってい（2）共通要因故障

る場合には，通常の不確定性解析ではな（a） 一般的に使用されているデータと比べてく，感度解析によって影響の大きさを把特に大きな違いがあるものはないか，ま握する必要がある．独立故障率データとた独立な機器故障率との相対関係に大き共通要因故障データとの間のバランス関

な違いはないか．違いがある場合には，係が特異な場合，共通要因故障パラメー

感度解析によって影響の範囲が評価されタの不確定性幅を大きくすることによっているか確認する．

ては，必ずしも影響の適切な把握が可能とは限らない．

（b）解析結果に占める共通要因故障の寄与率はどの程度かを確認する必要がある．使用するデータによっては全体の５％以下（5）感度解析の実施の場合もあり得るし，95 ％以上の場合も（a） 感度解析においては，感度の大小を見るあり得る．寄与率が極端な場合には，デだけでなく，現実的な影響の方向（解析ータのバランスの観点から正当性を検証

結果が大きい方向にずれるのか小さい方する必要がある．

向にずれるのか）と度合い（不確定性解（c） MCS 中に現れる冗長な機器の同時故障の析の幅を超える影響を生じ得るのか否か）中で，共通要因故障を考慮していない機を把握し，特に影響の大きな不確定性要器および故障モードがある場合には，そ因を明確にする必要がある．

のことが明記されているか．できれば，（b）不確定な解析条件が存在し（例えば人間
信頼性解析における種々の解析条件等），

その影響が無視し得るものか否かを検証する．

その影響が特に大きい場合は，感度解析
を通して，通常の不確定性解析に使用す（3）待機除外時間と使命時間

る上下限幅を決定することも有効である．

（a）待機除外がアンアベイラビリティ要因とし（c） ジェネリックデータを用いた解析結果もて考慮されている機器では，一般に起動示され，解析結果に違いを生じる原因に失敗確率と同等な値が適用されているこ

ついて考察を加えることが望ましい．比とが多い．これが相対的に小さい場合に較的少数の重要度の高い機器のみで，違は，単独のフロントラインシステムの解いが説明できる場合が多いであろう．

析結果にはファクター２〜３程度の違い

3.2

結果を解釈する際の留意点

レビューする側は，上記の不確定要因に対する記述が適切になされ，また資料が添付されているかど
うかをチェックの上レビューする．特に次の点に留意する．

を生じ得る．待機除外時間のデータにより，不確定性幅の上下限のどの方向へのずれが見込めるのかを確認する必要があ
る．
（b）起動後の運転失敗がアンアベイラビリテ
ィ要因として考慮されている機器では，一般に起動失敗による寄与と同等な値が215

適用されていることが多い．従って使命ある．このため，重要なヒューマンエラ

時間の値に対する感度も比較的大きなもーについては，感度解析によって影響を把握することが望ましい．

のとなる場合が多い．運転失敗によるア
ンアベイラビリティが相対的に小さいこ（b）特に，事故後の一連のシーケンスの中にとにより，解析結果にはやはりファクタ

運転員の多重の応答があったり，ヒューー２〜３程度の違いを生じ得る．使命時

マンエラーのバックアップがあったりす間のデータにより，不確定性幅の上下限る場合，これらに対してどのような評価のどの方向へのずれが見込めるのかを確がなされているか，どのような原因によ認する必要がある．

ってヒューマンエラーの間の依存性が存在し得るのか等を確認する必要がある．
多重のヒューマンエラーはイベントツリ（4）システム間のインターフェイスについてのモー上で複数のヘディングに分かれているデル（a） システム間の依存性が，システムモデルとは限らないので，事故シーケンスのにおいて正確に取扱われているか確認す

MCS により，多重のヒューマンエラーのる．厳密な取扱いをしない場合は，一般存在を確認する必要がある．

的には解析結果は過小評価となる．しかし，影響の大きな故障の伝播を正確にモデル化しておけば，他の依存関係は簡略化しても，厳密なモデルの場合と同じ結果を得ることができる．簡略化したモデルが使用された場合には，影響の大きい
故障の伝播がモデル化されていることを確認する必要がある．類似のプラントで既に厳密なモデル化による解析が行われており，この成果を反映して簡略化した
場合には，簡略化の根拠として受容できるが，そうでなければ確認は困難である．
（b）システム間の依存性を厳密に評価した場
合には，複雑な波及経路を経て，一見現れそうにない MCS によってシステムの失

4.

まとめ

単一の安全系の故障（ベンチマーク問題Ａ），人的過誤（ベンチマーク問題Ｂ），シーケンス（ベンチマーク問題Ｃ）の感度解析から得られた知見を通じて，PSA の評価者が留意すべき事項を提案した．
PSA の不確定性については，様々な定義があるが，解析者によって最も値が異なると言われるフォール
トツリー解析の FT を固定することにより，見通しの良い結果が得られた．しかしながら，PSA の不確定性を論じる場合，本研究は端緒にすぎない．レベル 2 や外的事象の不確定性も含めて十分議論されなければならない問題である．

参考文献

敗やシーケンスの発生に至る場合がある．
このような経路の存在は，厳密なモデル（1）丹羽雄二

高橋英明，PWR プラントのレベによる解析を実施せずには発見できない

ル−１ PSA ベンチマーク解析（ベンチマーク

であろうことに留意する必要がある．

問題設定），INSS Journal No.1, 1994
（2）丹羽雄二（5）多重のヒューマンエラー間の従属性（a） 一般的にヒューマンエラーの値の不確定性の影響が大きいことに留意する必要が高橋英明，PWR プラントのレベ

ル−１ PSA ベンチマーク解析（ステップ２），
INSS Journal No.2, 1995