2013年秋の大会
標準委員会セッション2(原子力安全検討会、分科会）「原子力安全確保のための深層防護の考え方」（３）深層防護による安全確保のアプローチ
平成２５年９月４日
東京大学 出町和之（原子力安全分科会）
1

発表内容
目的
これまでの深層防護の概念と適用の例
具体的な適用戦略の例とこれまでの認識
各防護レベルの信頼性を高めるための手段
安全重要度分類の意義
安全裕度の深層防護上の位置づけ
深層防護の概念の理解のための論点
設計要求範囲と設計評価に関する整理
Design Extension Conditions (DEC) の持つ意義とは何か
設計基準を超える外的ハザードに対する取組
深層防護の有効性評価
原子力規制の中での深層防護の考え方
まとめ
2

目的
 深層防護の概念の具体的な適用、および原子力安全に係わるすべての人が認識とすべき事項について検討・整理した内容を、原子炉施設を中心に記述する。
 深層防護ＷＧにて策定中の、標準委員会技術レ
ポート「原子力安全の基本的考え方について（別冊）深層防護の考え方」、第３章以降の報告。
 分科会で議論になった事項の整理が中心であるため、必ずしも体系的な整理となっていない。
3

これまでの深層防護の概念と適用の例
具体的な適用戦略の例とこれまでの認識①発生防止と影響緩和の考え方
設計のみならず、原子炉施設に関わる様々な取り組みに適用されている。

（例） 立地の選定 •安全に影響する自然現象が無いこと•人口密集地帯からの隔離

運転 •設計が適切に機能するための対応②原子力安全は概ね以下の取組により確保されている。
••
•
•
•
•

実証された技術に基づく十分余裕のある設計
高い品質管理システムに基づく保守管理
運転パラメータがある許容範囲を超えた場合、制御棒自動挿入による炉停止
設計基準事故に基づく用意： ECCS系、格納容器、格納容器冷却系など設計基準を超える事故状態に備え、シビアアクシデントになるのを防止する対策(フェイズ１のAM)
シビアアクシデントになってしまった後に影響を緩和するための対策（フェイズ２のAM)③設計基準事象(DBE: Design Basis Events)••••

深層防護に基づき、ある「想定」に基づく事故シナリオに基づきDBEを設定
現実に起きる可能性のある多様な事故群や事故シーケンスをカバーし「包絡」していると考える
歴史的な変遷を経て安全評価審査指針類に規定されるような現在の形になっている
設計基準を超える内的事象 品質管理による発生防止、LBB(Leak before Break)による対策

一方、• 外的事象（自然事象）

 各自然現象のある強度レベルに対する防護策をとることで共通的に設備が故障することを防止し，残る偶発故障に対して内的事象の中で取り込んで考えるという整理
4 ある強度レベルを超える外的事象に対しては明確な考えがなかった。

これまでの深層防護の概念と適用の例
各防護レベルの信頼性を高めるための手段「多重性」，「多様性」，「自立した有効性」は，深層防護の概念に基づいた安全設計において，ある防護レベルの信頼性を高めるための設計の手段

単一故障基準「多重性」，「多様性」の効果を確認する１つの手段であった。

同一の機能を有する同一の性質の「多重性」
系統又は機器が二つ以上あること
人的過誤を見越した
設計思想
フェイルセーフ
フェイルアズイズ の設計
フールプルーフなども防護レベルの信頼性を高めるための設計の手段

同一の機能を有する異なる性質の「多様性」 系統又は機器が二つ以上あること「多重性」 、「多様性」が効果を発揮するための前提条件「自立した有効性」
２つ以上の系統又は機器が、想定される環境条件及び運転状態において，物理的方法その他の方法によりそれぞれ互いに分離することにより、共通要因によって同時にその機能が阻害されないこと。

我が国におけるシビアアクシデントに対する信頼性を高める取り組み
既存設備を有効活用してリスクを低減する対策
可搬設備の活用×
アクシデントマネジメント手順の整備とその教育・訓練
柔軟に対応する意識×5

これまでの深層防護の概念と適用の例
安全重要度分類の意義
各防護レベルの信頼性を高めるためには、対策を具体化するための優先度が必要• 構築物・系統・機器に対して重要度分類を行うことで、原子力安全の重要度に応じた信頼性を確保する。
• 原子力安全を確保する機能を見落とさず重点的に信頼性を高めること• すなわち重要度分類の目的は、防護レベルにより求める信頼性を決めること

安全確保に必要不可欠な機能を見極めて安全確保の努力を最適配分すること

安全裕度の深層防護上の位置づけ• 安全裕度（safety margin）: 機器等の設計において，システムや物理的障壁のふるまいを予測する際に十分に考慮されない現象や事象進展に対して余裕を持たせることを意図した工学的アプローチ

深層防護の概念を適用して各防護レベルの信頼性を高めるためには不可欠の要素。
6

深層防護の概念の理解のための論点
設計要求範囲に関する整理／欧米の例から見た整理
欧州WENRAの深層防護を適用した規制体系⇒ 設計要求範囲は深層防護の全レベルに亘る一連の構成としている。
米国NRCの規制体系⇒ ・これまでの設計要求範囲はおもに許認可範囲と認識されており、単一の起因事象による設計基準事故・事象に基づく範囲を指すことが多かった。
・ しかし、対応手順などを含む規制プログラム全体の範囲は深層防護のレベル全体に及ぶ⇒ ・ 今までの事象分類の見直し・再構築による規制のあり方について、規制当局の意思決定プロセスに深層防護の考え方を取り入れて今後検討することとしている。
・ これまで発生頻度が極低頻度と考えられて想定外としていたものも含まれる可能性。対処の方策としてレジリエンスなどの新たな提案も。

○設計要求範囲に深層防護の概念を適用するための考え方の１つと捉える。
7

深層防護の概念の理解のための論点
Extension Conditions (DEC) の持つ意義とは何か
IAEA(SSR-2/1)(2012)※1

IAEA
SSR-2/1 の改訂ドラフト(DS-462)• “design basis accident”を超える事故に対する従来の呼称”beyond
design basis accident”に変えて、新たに” design extension conditions（DEC）”という呼称を与えている。
• 従来のbyeond design basis事象に対しても，予め設計で対処しておくために設定された。実際にどのような事象にするかはPRAの知見、最適評価手法などにより特定される。
• プラント状態を炉心溶融前と溶融後（シビアアクシデント）に明確に分類• ＤＥＣを超える領域として”Conditions Practically eliminated”を定義• 実質的に考慮不要な状態しか残らないような範囲まで、設計での対応を考慮しておくという考え方に進みつつあるのでは、と考えられる。

※1 “Safety of Nuclear Power Plants: Design for protecting people and the environment,” Specific Safety
Requirements, No. SSR-2/1 (2012)

DECの意義とは
従来，設計ではなくアクシデントマネジメントで対応していた“beyond design basis”事象に対し，これをリスク評価や最適評価を用いてDECとして捉え直すことによって設計で対処することを考え，それによるresidual riskが実質的に考慮から排除できるようにする。
 DECとは、重大事故に対して、従来のアドホックな（限定目的な）やりくりでの対処から、8あらかじめ考慮した設計での対処へとシフトしていこう、という考え方の現れ深層防護の概念の理解のための論点
設計基準を超える外的ハザードに対する取組
リスク要因の所在を追求

施設の外部で発生する事象（自然現象、外的人為事象）

安全重要度が顕在化したもの

極めて頻度の低い事
象や経験のない事象

設計基準
で対応

設計基準を超えるハザード

効果的にリスクを低減
冷静かつ迅速に持ちうるリソースを活用した有効かつ実効的な対策を行うことが求められる。
 施設についての細部にわたる知識 多様な異常状態における原子炉施設の挙動に関する理解 緊急時における個人および組織の対処能力に大きく依存

多様な状況に柔軟に対応できる能力（マネジメント能力）を重視した対策が有効
どのようなハード面とソフト面の設備・対策をどう組み合わせるかは、ハザード毎の特性に応じて決定することが重要。
原子炉設置者は、常々、運転経験や外的事象についての最新試験に基づくリスク評価を行い、プラント固有の事項を十分に理解したうえで、対応の手順の整備と十分な訓練を行っておく必要がある。9深層防護の概念の理解のための論点
深層防護の有効性評価(1)有効性評価のあり方
深層防護のレベルが進むにつれ、事象の発生頻度が下がり、不確かさが高まる

決定論的手法には限界があるため、リスク評価に基づく確率論的手法が有効対応策としてマネジメントの比重が大きくなる

事前に現実的な状況の推移を知識ベースとして把握しておくことが重要

多様な現象を扱うことによる偏った保守性

現実的な状況と乖離しないよう、最適評価手法を採用し可能な限り現実的な評価を“unknown unknowns”(未知の未知）米国で始まった検討に基づくリスク情報には、深層防護の有効性を測る上でも常に認識を(2)リスク評価の意義
リスク評価は、深層防護の十分さと安全性に対する不確かさを把握するために有効なツール。
安全性のレベル、不確かさやクリフエッジ性

リスク評価にも限界• 評価手法未確立なハザードの存在• 改良の度合により成熟度に差• ハザードにより数値の信頼性が異なる

リスク評価と深層防護の相互補完性と相補性

深層防護の概念による強化が重要• 安全対策が無効にあることを想定した対策
10• 護るべきものから逆に遡った対策 など

深層防護の概念の理解のための論点
原子力規制の中での深層防護の考え方
 単一故障基準要件の暗黙の前提＝「安全機能の多重故障の発生確率は極めて小さく事実上起こり得ないため，単一故障基準を満足している限り著しい炉心損傷も事実上起こり得ない」 という工学的判断。
欧米の規制 炉心健全性確保を目的とする防護レベル3の条件を多重故障への対処まで拡張し、これまでの運転経験・知見の蓄積に応じて深層防護の概念を再考し深化 特に注目すべき点は，深層防護の再考・深化の議論が，福島第一事故を契機に始められたのではなく，それ以前から行われていたということ。
我が国の場合 平成22年12月2日旧原子力安全委員会決定「原子力安全委員会の当面の施策の基本方針について」の中で今後の活動の一つとして「原子力安全の基本的考え方の提示」を受け、国内外の現状分析が始まったばかりであった。
 深層防護概念の深化とそれに基づく安全性向上の展望を議論するまでには至っていなかった。
今後は欧米の議論を参考に、具体的な安全性向上に結び付く実効的な規制施策の議論が必要。
• 深層防護の観点から安全規制の包絡性等に不備・矛盾がないか• 如何にすれば不備・矛盾が解消できるか etc.

11

まとめ
• リスクはその影響の大きさや発生の割合（頻度）に不確かさがあり，リスクをゼロにすることは不可能である。このため，効果的な原子力安全の達成のために不確かさに対する備えである深層防護の概念が重要である。
• 深層防護の概念に基づく方策は、ハードウェアにとどまらず、組織や人の力量に係わるマネジメントなどのソフトウェアや安全文化に基づく行動規範など多様なものが含まれる。常に最新技術レベルや知見を取り入れ、安全を効果的に向上させることが必要。
• 安全を達成するために規制が果たす役割は大きく、規制もまた深層防護の概念に基づく考え方が重要である。
12

ご清聴ありがとうございました。

13

【解説3.1-1】 深層防護と多重障壁の関係
米国NRCの「21世紀における原子炉安全強化に関する勧告」（2011年7月12日）では，深層防護は放射性物質の放出に対する多重障壁アプローチの思想とともにNRCが使ってきた思想としており，NUREG1860では，過去の深層防護の適用でよく知られているのが多重の物
理的障壁の使用（燃料，被覆管，原子炉冷却材圧力バウンダリ，格納容器）としている。
また，IAEA INSAG-12では，防護のレベルと物理的障壁（燃料マトリクス，燃料被覆管，一次冷却材バウンダリ，閉じ込め）は深層防護の構成要素としている。
以上から，多重障壁は，その考え方については深層防護の考え方とともに原子力安全を確保するために用いられる考え方の1つであり，具現化された多重障壁は深層防護の考え方に基づく対策の一部を構成するものである。すなわち，深層防護と多重障壁は原子力安全の観点から密接に関連するものの，同義ではない。
14

【解説3.1-2】 設計における外的事象への深層防護の適用
IAEA INSAG-10 ”Defence in Depth in Nuclear Safety”では，深層防護の概念は，内的事象及び外的事象に対してバリア（燃料マトリクス，燃料被覆管，原子炉冷却材圧力バウンダリ，格納容器）の健全性を防護することに適用するとしている。第一のレベル（通常運転からの逸脱と故障の防止）は内的事象及び外的事象に対する防護の最初の基準を規定するものであるとし，第三のレベル（設計基準内での事故の制御）では外的事象によるシステムの共通原因故障の防止を求めている。
また，IAEA NS-R-1” Safety of Nuclear Power Plants: Design”では，発電所の設計要件として，設計条件とすべき外的事象を決めることを要求しており，炉心及び原子炉容器内にある内部機器は，設計基準の外的事象に対して想定される静的及び動的荷重に耐えられるよう設計・設置することを求めている。
なお，INSAG-12 “Basic Safety Principles for Nuclear Power Plants 75-INSAG-3 Rev.
1”では，システム設計においてクリフエッジ効果への配慮が示されている（INSAG-3
でも同じ記載）。
一方，わが国において，これまでの原子力安全委員会の耐震指針では，「耐震設計上重要な施設は，敷地周辺の地質・地質構造並びに地震活動性等の地震学及び地震工学的見地から施設の供用期間中に極めてまれではあるが発生する可能性があり，施設に大きな影響を与えるおそれがあると想定することが適切な地震動による地震力に対して，その安全機能が損なわれることがないように設計されなければならない。」とし，耐震設計方針として，例えばSクラス施設については，基準地震動による地震力に対してその安全機能が保持できることを要求していた。
15

【解説3.1-2】 設計における外的事象への深層防護の適用（つづき）
また，同指針において，津波に関しては地震随伴事象に対する考慮として扱っており，「施設の供用期間中に極めてまれではあるが発生する可能性があると想定することが適切な津波によっても，施設の安全機能が重大な影響を受けるおそれがないこと。」としていた。
このような安全確保の考え方に関連し，「原子力安全の論理」（佐藤一男，昭和59年1月25日）では，自然現象に対する対策例として，地震に対しては地震力に耐えられるように建造する，津波に対しては十分に高い所に施設を配置する，台風に対してはそれによる地すべりや山崩れなどについて防止対策を厳重に行うとしている。そして，これらの対策の目標は，「予見し得る自然現象に対して，安全確保上重要な機器が必然的に失われること（これを「システマティック・フェーリュア」と呼んでいる）の可能性を，無視できるほど低くするということである」としており，自然現象については，あるレベルの防護策をとることで共通的に設備が故障することを防止し，残る偶発故障に対して内的事象の中で取り込んで考えるという整理がなされている。
以上から，設計基準の外的事象に対しては，国内外ともに深層防護の概念に基づき対策することになっているが，設計基準を超える外的事象に対する取り組みの明確な考え方はこれまでには見受けられない。
なお，複数の防護レベルが同時に喪失することに対して，例えば平成24年に当時の原子力安全・保安院から示された新たなシビアアクシデント対策規制の基本的な考え方において，複数の防護レベルが無効になっても包括的な放射性物質拡散抑制対策や防災を含む対策を用意しておくなどの考え方が示されている 16【解説3.1-3】 レジリアンスについて
2001年9月11 日に発生した米国同時多発テロをはじめ，世界的な経済危機や未曾有の大震災によって，様々な分野で脆弱性が露呈する中で，国民の日々の生活，国家の経済活動さらには安全保障に重大な影響をもたらす脅威は，テロ攻撃だけでなく，洪水や地震などの自然災害やサイバー攻撃は無論のこと，パンデミックなどを含めたすべての災害（all-hazards）を脅威の対象とすることが必要となって来ている。このようなリスクに対応するため，脅威，資産及び脆弱性に対処する従来のリスクマネジメントから，資産の被害がもたらす国民の生活や経済活動に及ぼす影響をどのようにマネジメントすべきか（低減すべきか）とそのリスクをマネジメントする考え方が変化してきている。
近年では原子力安全の目的である，「人と環境を防護すること」には，悪意のある外部からの攻撃や経済的損失を含む社会的リスクへの対応も含めて深層防護に考慮すべきとの議論がなされている。そのためテロ攻撃や短期間の戦争行為によって原子力施設に被害が生じた場合には，国民の生活や経済活動に影響を及ぼすため，それをも外的ハザードとして捉え，米国のB.5.b規制のように深層防護においてその対応を考慮し，施設やその管理機能に耐性とFLEX（Diverse & Flexible CopingStrategy）に代表される早期の回復力をもたらす為の方策を織り込む。また，原子力施設からの大量の放射性物質の放出を抑制し，社会的リスクの顕在化を防止する。
これは「レジリアンス」（resilience）の考え方に他ならない。このように原子力安全においても深層防護にレジリアンスの考え方を織り込み，原子力施設の被害による社会のあらゆる面への影響の発生を抑止する考え方をとることが重要になってきてい17
る。

【解説3.2.4-1】 リスク評価と深層防護の関係
NUREG-2150”A Proposed Risk Management Regulatory Framework”では，リスク情報を活用したパフォーマンス・ベースの深層防護（Risk-informed and performance-based defensein-depth）を特徴付ける１つとしてリスクを挙げており，リスク評価は深層防護の適切さを測るための有効な手段としている。この中では，リスク評価により以下がもたらされるとしている。
原子炉施設の安全性を脅かす多様なハザードを評価するための体系的なアプローチ。
特定されたハザードに対する原子炉施設の設計・運転の能力を特徴付けるための論理的な手法。
ハザードとそれへの対応の失敗の組み合わせによる影響を評価するための手法（従来のアプローチでは限定的で定型化した事故シナリオが考慮されるところ，数千の現実的な事故シーケンスが調査される）。
ハザードの発生頻度と対応の失敗確率，及び失敗することによる影響を評価するためのモデル。頻度と確率は定量的に評価することができる。
リスクに寄与する事故シーケンスの順位，構築物，系統，機器（SSC）の順位。
事故シーケンスとSSCの順位を通じた，リスク上本当に重要なものに焦点を当てるために必要なリソース配分をするためのリスクマネジメントへの貴重な情報。
また，リスク評価の１つであるPRAは，設計や運転が安全目標を満足していることを確実にするために，プラントのリスクプロファイルを評価するために使うことができ，さらに，あるバリアが喪失，もしくはある設計値（例えば溢水レベル）を超えることで炉心損傷や放射性物質の環境中への放出に直接結びつくような潜在的なクリフエッジ効果を特定することができるとしており，PRAは深層防護をより定量的に特徴付けする機会をもたらすものとしている。
18

【解説3.2.4-2】 ストレステストの意義
ENSREG（European Nuclear Safety Regulators Group）のストレステスト仕様によれば，ストレステストは深層防護のロジック（起因事象，安全機能喪失，シビアアクシデント）に基づき選定した防止策・緩和策を確認するものであり，プラントの安全機能に影響しシビアアクシデントを引き起こすような極端な自然事象において，防御ラインが次々に喪失したと仮定して，クリフエッジ効果などを確認するものである。
このようにストレステストは外部事象に対するプラントの脆弱性を増すような潜在的な問題を同定し，それを改善する必要があることを示すものであり，原子力施設の安全性の能力を知る手法として重要である。
19

【解説 3.2.4-3】予防原則について予防原則（Precautionary Principle）あるいは予防的取り組み（Precautionary Approach）とは，化学物質や遺伝子組換えなどの新技術などに対して，環境に重大かつ不可逆的な影響を及ぼす仮説上の恐れがある場合，科学的に因果関係が十分証明されない状況でも，規制措置を可能にする制度や考え方のことであり，不確かさが大きい事象への対処として1990年頃から欧米を中心に取り入れられてきた概念である。
欧州委員会（EU）が発出した欧州委員会通達（Communication from the Commission，2002年2月）における，予防原則を適用する際に守るべき原則を踏まえると，予防原則を適用する際は，リスク，便益，コストなど様々な側面を吟味することになる。
科学的に不確かさが大きい事象に対して備えるための考え方であることや，リスク評価が重要であるという点などについて，予防原則は深層防護と性質が似ている側面がある。

20