ドラフト「デジタル安全保護系に関する日本電気協会規格の技術評価に関する検討チーム会合における日本電気協会への説明依頼事項（案）」に対する回答（JEAC4620-2020 及び JEAG4609-2020）
令和４年１月２５日（一社）日本電気協会
原子力規格委員会
標記につきましては，以下の通り回答いたします。
○説明依頼事項

１．安全保護系へのディジタル計算機の適用に関する規程（１） 2008 年版の技術評価において、適用に当たっての条件としたもののうち、2020 年に反映しなかった内容について、その理由を説明して下さい。
（２） IEEE 規格、IEC 規格から本規程に反映した事項を説明して下さい。また、反映しなかった部分があれば、その内容と理由を説明してください1。
（３） 2020 年版において、「安全保護系」の用語の定義に、検出器が含まれる
ことが明記されました。核計装や放射線計装などのデジタル化された装置に関する必要な要件は、本規程に含まれるのか説明してください。
（４） 「1.目的」には、「ディジタル計算機を適用した原子力発電所の安全保護系」を対象とすると記載されています。
「3.1 ディジタル計算機」には PLD2が適用される場合を含むのか説明してください（核計装や放射線計装のデジタ
ル化では PLD（FPGA3等）が適用される場合があると理解しています。）。含む
場合、PLD は「内蔵されたプログラム」又は「デジタルデータの算術演算や論理演算等の計算を行う装置」のいずれに該当するか、説明してください。
（５） 「4. ディジタル安全保護系に対する要求事項」には、「ディジタル安全
保護系は、動作に失敗する確率（アンアベイラビリティ）及び誤動作する頻度（誤動作率）を考慮し、」とありますが、どのように考慮するのか例を示し
1

例えば、以下の内容は、規格に反映されていない。
○ 手動操作回路（4.14 に機能の記載有り）をデジタル化する場合の要件○ デジタル技術として PLD（FPGA 等）を適用する場合の要件○ デジタル技術として組込デバイス（EDD）を適用する場合の要件
2
Programmable Logic Device
3
Field Programmable Gate Array1

て説明してください。また、アンアベイラビリティや誤動作率の評価には、
ソフトウェアも必要になりますが、記載していない理由を説明ください。
（６） 「解説-4 アンアベイラビリティ及び誤動作率の評価」には、アンアベイ
ラビリティや誤動作率の評価において考慮するハードウエア構成要素として、異常の検出等デジタル安全保護系の機能が挙げられています。アンアベ
イラビリティや誤動作率の評価において必要となるものは、設備とその故障モードですが、機能を挙げている理由を説明してください。
（７） 「4.6 計測制御系との分離」には、「通信を共用する場合には機能的にも分離する設計とすること。」と規定され、「解説-8 計測制御系との分離」には、ディジタル安全保護系と計測制御系との通信の機能的分離の措置の例として４例が記載されています。これらをどのように適用すれば（単独で、あるいは組み合わせて）規程の要求を満足できるのか説明してください。
（８） 「4.6 計測制御系との分離」に関連して、米国では通信の独立性に関して具体的な要件が定められていますが（例えば、DI&C-ISG-04 4 に記載の項目）、これに対応する要件のうち、規定していないものについてその理由を説明してください。
（９） 「4.9 外的要因」の「4.9.1 環境条件」には、「ディジタル安全保護系は，次の環境条件を考慮した設計とすること」の具体的な事項として、「想定される電源じょう乱，サージ電圧，電磁波等の外部からの外乱・ノイズ」があげられていますが、解説-10 には達成すべき水準が具体的な規格基準等により示されていません5。達成すべき水準（具体的な規格基準等）を説明してください。
（１０） 「4.9.4 設計の確証」には、「4.9.1 及び 4.9.2 で要求された設計」によりそれぞれの外的要因に対して機能維持できることを確証するとありま
すが、「4.9.3 その他の外的要因」に規定された火災防護上及び溢水防護上の措置を考慮した設計の確証が要求されていません。その理由として、解説11 には、「ディジタル計算機の耐力を要求しているものではないため」とありますが、設計の確証が「機能維持」の確証ではなく、「耐力」の確証としている理由を説明してください。

4

Revision 1, Interim Staff Guidance on Highly-Integrated Control Rooms –Communications Issues (HICRc), March 2009
52008 年版解説-8 において「耐サージ性：「原子力発電所の耐雷指針：JEAG 4608-2007」」が記載されていたが、2020 年版解説-10「外的要因（関連規格・指針）」においては削除された。

2

（１１） 「4.15 動作及びバイパスの表示」には、「ディジタル安全保護系が動作した場合は，その動作原因が中央制御室に表示される設計とする」と規定されていますが、どのような情報（例えば第１原因）を「動作原因」とするのか説明してください。
（１２） 「解説-17 不正アクセス行為等の被害の防止」の(1)には、「外部ネッ
トワークと遮断」とありますが、ここでいう「遮断」の定義を説明してください。
（１３） 「解説-17 不正アクセス行為等の被害の防止」の(2)には、「物理的及び
電気的アクセスの制限を設けることにより、システムの据付け、更新、試験、保守等で、承認されていない者の操作、ウイルス進入等を防止する。」とありますが、管理の対象を設計開発段階からではなく、据付け以降に限定している理由を説明してください。
（１４） 「4.19 品質保証」には、「ソフトウェアの健全性を確保すること。」とあり、「ソフトウェアライフサイクル及び構成管理手法を定めた，品質保証活動」及び「V&V 活動」の手法で確保すると規定しています。ソフトウェア
ライフサイクル、構成管理手法及び V&V 活動に関する規格としては、「JIS X
0160:2021 ソフトウェアライフサイクルプロセス」があげられます。同規格の規定との違いを説明してください。
（１５） 「4.19.3 V&V」には、V&V に関する要件として(1)～(3)として、実施体
制の独立性、文書化、再利用が規定されています。何を実施すれば V&V として十分とみなせるかに関する基本的な事項が規程として記載されていない
理由を説明してください。
（１６） 「5.留意事項」には、「ディジタル安全保護系とは動作原理等が異なる
追加の設備を設けることが推奨される」とありますが、「推奨される」の意
味を説明して下さい。
（１７） 「5. 留意事項」には、「4.ディジタル安全保護系に対する要求事項」を遵守することにより、共通原因故障が発生する可能性は十分低いものとなっている」とあります。共通原因故障の可能性を大きく低減させるものとして、多様性があげられますが、その要求が規定されていません。「共通原因故障が発生する可能性は十分低い」とした理由を説明してください。

3２．ディジタル安全保護系の検証及び妥当性確認（V&V）に関する指針（１） 「3.2 安全保護系」には、設備の範囲として検出器から動作装置入力端子までとされています。デジタル計算機のソフトウェアで処理する手前に、PLD 等を使用した論理回路が構築されている可能性があります。そのような場合、PLD 等の論理回路は V&V の対象となるのか説明してください。

4

○回答
１．安全保護系へのディジタル計算機の適用に関する規程（１）2008 年版の技術評価において、適用に当たっての条件としたもののうち、2020年に反映しなかった内容について、その理由を説明して下さい。

回答 １）
No

NISA/JNES 技術評価書の適用条件

1 ①過渡時，事故時及び地震時の機能

JEAC4620 への反映
「4.1 過渡時及び地震時の機能」及び運転時の異常な過渡変化が生じる場合又 「4.2 事故時の機能」に左記条件を考は地震の発生等により原子炉の運転に支障 慮した記載を追記。
が生じる場合において，原子炉停止系統及 記載内容については，技術基準規則
び工学的安全施設と併せて機能することに との整合性を考慮して反映。
より，燃料許容損傷限界を超えないよう安全保護系の設定値を決定すること。
2 ②検証及び妥当性確認（解説-23）に左記条件を追記。

検証と妥当性確認の実施に際して作成された文書は，構成管理計画の中に文書の保存を定め，適切に管理すること。
3 ③環境条件

2008 年版における「4.8 環境条件」を

デジタル計算機を設置するプラントで想定さ 「4.9 外的要因」として，「環境条件」，
れるサージ電圧や電磁波等の外部からの外 「耐震性」，「その他の外的要因」に関
乱・ノイズについて，その対策の妥当性が十 する要求事項とその確証に関する記分であることを確証すること。

載に変更。
「4.9.1 環境条件」に，左記条件を考慮して外部からの外乱・ノイズに関する記載を追記。

4 ④計測制御系との分離

左記条件を踏まえて，「ディジタル安

デジタル安全保護系は，試験時を除き，計全保護系は，計測制御系と部分的に測制御系からの情報を受けないこと，又は共用する場合には，計測制御系で故計測制御系からの情報を受ける場合には，障が生じてもディジタル安全保護系

計測制御系の故障により，デジタル安全保に影響のないよう，計測制御系と電護系が影響を受けないこと。 デジタル安全

気的に分離する設計とすること。」を

保護系及び計測制御系の伝送ラインを共用 要求事項として，本文に反映。
する場合，通信をつかさどる制御装置は発「デジタル安全保護系は，試験時を除信側システムの装置とすること。

き，計測制御系からの情報を受けな
5

いこと」，及び「通信をつかさどる制御
装置は発信側システムの装置とすること」については，実際の対策例を考慮した上で，（解説-8）にディジタル安
全保護系と計測制御系との通信の機
能的分離の措置の例として記載。
5 ⑤外部ネットワークとの遮断

2008 年版における「4.16 外部ネット

外部影響の防止された設備とすること。

ワークとの遮断」を，「4.18 不正アク
セス行為等の被害の防止」の措置の例として，左記条件を考慮して（解説17）に記載。

6 ⑥アンアベイラビリティ及び誤動作率の評価

左記条件については，「4. ディジタル

デジタル安全保護系のトリップ失敗確率及 安全保護系に対する要求事項」の本
び誤トリップする頻度を評価し，従来型のも 文に，「ディジタル安全保護系は，動のと比較して同等以下とすること。デジタル 作に失敗する確率（アンアベイラビリ
安全保護系の信頼性評価において，ハード ティ）及び誤動作する頻度（誤動作
ウェア構成要素に異常の検出，検出信号の 率）を考慮し，その安全保護機能に相伝送，入出力信号の処理，演算処理，トリッ 応した高い信頼性を有すること」を記
プ信号の伝送，トリップの作動等，評価に必 載。
要な構成要素を含むこと。

信頼性評価に必要な構成要素については，（解説－4）として左記条件の記載を追記。

7

なお，別記-7 No.10 の要求事項に対して， JEAC4620 については，ディジタル計「デジタル安全保護系規程」には該当する記 算機を適用した原子力発電所の安全載がないことから，安全保護系に用いられる 保護系に対し，その機能と設計に関デジタル計算機の健全性を実証できない場 する要求事項及びそのソフトウェアに合，安全保護機能の遂行を担保するための 対する品質上の要求事項を規定した原理の異なる手段を別途用意すること。

ものである。
「ディジタル安全保護系と動作原理等が異なる追加の設備を設けること」については，ディジタル安全保護系への要求事項ではないことから，これまでと同様，留意事項にとどめており，要求事項としては反映していない。
【１．（１６）（１７）回答参照。】

6

（２）IEEE 規格、IEC 規格から本規程に反映した事項を説明して下さい。また、反映しなかった部分があれば、その内容と理由を説明してください 1 。
1

例えば、以下の内容は、規格に反映されていない。

○ 手動操作回路（4.14 に機能の記載有り）をデジタル化する場合の要件○ デジタル技術として PLD（FPGA 等）を適用する場合の要件○ デジタル技術として組込デバイス（EDD）を適用する場合の要件

回答 ２）2008 年に本規程を制定する際に，ディジタル安全保護系に関連する IEEE,IEC 規格な
どの海外規格及び国内規制／規格を調査しています。調査の結果，国内で初めてディジ
タル安全保護系の要件をまとめた規程（JEAC4620）を作成するにあたり，要件の項目を抽出するために参考とした規制／規格を，安全設計審査指針，技術基準（当時の別記―７含む），JEAG4604-1993，IEEE7-4.3.2-2003（そのベースとなる IEEE603-1998 含む）としました。それらの比較表を表（２）－１に示します。
2020 年版改定時においても同様の調査を実施していますが，調査段階においてはIEEE7-4.3.2 の 2016 年版は未発行の状態であり，次回改定時に調査及び反映検討をすることとしていました。
参考に IEEE7-4.3.2－2016 と JEAC4620-2020 との比較を表（２）－２に示します。
また，IEEE7-4.3.2－2016 のうち，JEAC4620-2020 に反映されていない項目の一覧を
表（２）－３に示します。
次回改定時においても国内外の規制／規格の反映検討は実施していきます。

7

表（2）－1

安全保護系に関する各種基準・指針間での要求事項の対応整理
国内規制要求要求事項(a) 多重性（単一故障基準）(b) 分離・独立性(c) 過渡時の機能(d) 事故時の機能(e) 故障時の機能(f) 計測制御系との分離(g) 試験可能性(h) 環境条件(i) 自然現象（地震他）(j) 外部人為事象（アクセス管理）(k) 内部発生飛来物(l) 火災(m) ユニット間共用(n) バイパス(o) 非常用電源(p) 設定値の変更(q) 入力パラメータ選定(r) 保護動作の完了(s) 手動操作(t) 中央表示(u) 保守・補修(v) 精度・応答時間(w) 品質管理(w-1) ライフサイクルプロセス(w-2) 品質指標(w-3) ソフトウエアツール(w-4) Ｖ＆Ｖ
(w-5) Ｖ＆Ｖ体制(w-6) 構成管理(w-7) プロジェクトリスク管理(x) 機器認定(x-1) ＣＯＴＳ(y) 識別(z) 補助機能(A) 人間工学(B) 信頼性評価(C) 共通要因故障(D) 自己診断(E) 外部ネットワーク

安全設計
審査指針

技術基準

指針 34
指針 35
指針 36
指針 37
指針 38
指針 39
指針 40

第 22 条の二
第 22 条の三
第 22 条の一（同上）
第 22 条の四
第 22 条の五
第 22 条の六

国内民間指針
別記－７

7.
4.

指針
指針
指針
指針
指針

2
3
4
5
7

（2007 年当時の検討）

3.(2)

指針 48
第 22 条の七5.

JEAG-4604-1993

JEAG-4609-1999

JEAG-4611-1991

JEAC-4620

IEEE-603-1998

3.1
3.2
3.3
3.4
3.5
3.6
3.7
3.8
3.9
3.10
3.11
3.12
3.13
3.14
3.15
3.16
3.17
3.18
3.19
3.20
3.21

解説-4 (3)
解説-4 (4)
解説-4 (1)（同上）
解説-4 (5)
解説-4 (6)
解説-4 (7)
解説-4 (8)
（同上）
4.(2)

4.2 (1) a.
（同上）

解説-4 (8)
解説-4 (9)4.2 (5)

解説-4 (10)
解説-4 (11)

4.2 (1) d.

4.3
4.4
4.1
（同上）
4.5
4.6
4.7
4.8
（同上）
4.17
－
4.8
－
4.3
4.9
4.10
4.11
4.12
4.13
4.14
－
4.2
4.18
4.19
(4.19)(JEAG-4609)
4.21
4.21(1)
4.20－
4.18(4.18)
－
－
－
4.
5.
4.15
4.16

5.1，6.3
5.6
－
－
－
5.6
5.7，6.5
5.5
5.5
5.9
5.5
5.5
5.13
6.6，6.7，7.4，7.5
8.1
6.8
6.4
5.2，7.3
6.2
5.8
5.10
6.8
5.3
－
－
－
－
－
－
－
5.4
－
5.11
5.12
5.14
5.15
5.16
－
－

4.3
4.2 (1) b.
4.2 (1) c.

解説-4 (2)
4.5

1.(a)
1.(b)
1.(c)
2.(1),(2),(4),(5)2.(3)
3. 3.(1)5.
5.2 (2)

1.(c)

9.
10.
6.
8.

米国民間指針4.(1)，解説-5

IEEE-7.4.3.2-2003
←
5.6
－
－
－
5.6
←，5.5.2
5.5.1
←
←
←
←
←
←
←
←
←
←
←
←
←
←
←
5.3
5.3.1
5.3.2
5.3.3
5.3.4
5.3.5
5.3.6
5.4.1
5.4.2
5.11
←
←
5.15
－
5.5.3
－

（注１：項目の対応のみであり，各要求事項の範囲・深さが同等であることを保証するものではない）（注２：「－」は記載なしを意味する。 「←」は IEEE-603 の記載内容以外にディジタル設備としての追加要求がないことを意味する。
）-8-

表（2）－2 JEAC4620 と IEEE-603 および IEEE-7.4.3.2 の最新版記載項目の比較
JEAC-4620-2020
4.1
4.2
4.3
4.4
4.5
4.6
4.7
4.8
4.9.1
4.9.2
4.9.3
4.9.4
－
－
－
4.10
4.11
4.12
4.13
4.14
4.15
－
4.16
4.17
4.18
4.19
4.19.1
4.19.2(JEAG-4609・4.2)
4.19.3
－
－
－
－
－
4.
5.
－
－

要求事項
過渡時及び地震時の機能
事故時の機能精度及び応答時間
多重性
独立性（安全系間の分離）
計測制御系との分離
故障時の機能
試験可能性
環境条件
耐震性
その他の外的要因（火災・溢水）
設計の確証
優先ロジック
内部発生飛来物
バイパス
非常用電源の使用
設定値の変更入力変数の選定
保護動作の完全性
手動操作
動作およびバイパスの表示
保守・補修
自己診断
ソフトウエアの管理外の変更の防止
不正アクセス行為等の被害の防止
品質保証
ライフサイクルプロセス
構成管理
ソフトウエアツール
Ｖ＆Ｖ
プロジェクトリスク管理
識別補助機能
ユニット間共用
人間工学
信頼性評価
留意事項（共通要因故障）
ＣＯＴＳ
シンプルさ

（参考）
JEAC-4604-2009

安全設計
審査指針

設置許可規則技術基準規則

←
←
←
5.1

3.3
3.4

指針 36
指針 37

24 条の 1
24 条の 235 条の 1

3.1

指針 34

35 条の 2

5.6.4
5.6.4
5.5.1
5.7，5.5.2
5.5
←
←
5.4
5.5.4
←
←
←
←
←
←
←
5.8
←
5.5.3
5.9
5.9
5.3
5.3.1
5.3.5
5.3.2
5.3.3，5.3.4
5.3.6
5.11
←
←
←
5.15
5.16
5.17
5.18

3.2
3.6
3.5
3.7
3.8
3.9
3.12

指針 35
指針 39
指針 38
指針 40
指針 2
指針 5

12 条の 2，24 条の3
24 条の 424 条の 724 条の 524 条の 412 条の 34条
8 条，9 条35 条の 335 条の 635 条の 435 条の 714 条
5条
11 条，12 条

3.11
3.14
3.15
3.16
3.17
3.18
3.19
3.20
3.21

指針 4

12 条の 515 条の 4

指針 48

33 条

45 条
35 条の 8

3.10

指針 3

24 条の 635 条の 5

3.13

指針 7

12 条の 615 条の 5IEEE-603-2009(IEEE-603-2018)

IEEE-7.4.3.2-2016

6.1，7.1
6.1，7.1
6.8，5.5
5.1，6.3
5.6，5.6.1
5.6，5.6.3，6.3－
5.7，6.5
5.5
5.5
5.5
5.4
－
5.5
6.6，6.7,7.4，7.5
8.1
6.8
6.4
5.2，7.3
6.2
5.8
5.10
－
－
5.9
5.3
－
－
－
－
－
5.11
5.12
5.13
5.14
5.15
5.16
－
－

（注１：項目の対応のみであり，各要求事項の範囲・深さが同等であることを保証するものではない）（注２：「－」は記載なしを意味する。 「←」は IEEE-603 の記載内容以外に 7-4.3.2 にディジタル設備としての追加要求がないことを意味する。）-9-

表（2）－3 IEEE には項目があるが，JEAC4620 には項目がないもの
IEEE-603-2009(IEEE-603-2018)

IEEE-7.4.3.2-2016

優先ロジック－

5.5.4

内部発生飛来物

5.5←

ディジタル安全保護系特有の要件ではないため（JEAC4604 には記載）

バイパス

6.6，6.7,7.4，7.5←

ディジタル安全保護系特有の要件ではないため（JEAC4604 には記載）

保守・補修

5.10

←

ディジタル安全保護系特有の要件ではないため（JEAC4604 には記載）

プロジェクトリスク管理

－

5.3.6

プロジェクト管理の例であるため

識別

5.11

5.11

ディジタル安全保護系特有の要件ではないため

補助機能

5.12

←

ディジタル安全保護系特有の要件ではないため

ユニット間共用

5.13←

ディジタル安全保護系特有の要件ではないため（JEAC4604 には記載）

人間工学

5.14

←

HFE の手法が国内では確立していなかったため

ＣＯＴＳ

－

5.17

国内では一般産業品を使用する計画がなかったため

シンプルさ

－

5.18

今後検討（IEEE-7.4.3.2-2003 に無し）
。ただし IEEE にも特段の要求事
項はない

要求事項

10

JEAC4620 に記載がない理由
今後検討（IEEE-7.4.3.2-2003 に無し）

（３）2020 年版において、「安全保護系」の用語の定義に、検出器が含まれることが明記されました。核計装や放射線計装などのデジタル化された装置に関する必要な要件は、本規程に含まれるのか説明してください。

回答 ３）
本規程は，安全保護系のうち，原子炉停止系及び工学的安全施設作動系の演算・論理回路を有するディジタル計算機への要件を示しており，核計装や放射線計装などの検出部については，
本規程の対象範囲外です。
なお，解説―２の適用範囲の概要図において，本規程の対象範囲であるディジタル計算機の箇所を線にて囲っております。

11

（４）
「1.目的」には、「ディジタル計算機を適用した原子力発電所の安全保護系」を対象とすると記載されています。
「3.1 ディジタル計算機」には PLD2 が適用される場合を含むのか説明してください（核計装や放射線計装のデジタル化では PLD（FPGA3 等）が適用される場合があると理解しています。
）。含む場合、PLD は「内蔵されたプログラム」又は「デジタルデータの算術演算や論理演算等の計算を行う装置」のいずれに該当するか、説明してください。
2
3

Programmable Logic Device
Field Programmable Gate Array

回答 ４）
国内においては，安全保護系のディジタル計算機のうち信号入出力部（IO 部品）等として一部に PLD を採用した実績はありますが，安全保護系としての機能を実現するソフトウェア（ディジタルデータの算術演算，論理演算などの計算を行う装置）に係る部分には採用実績がないため，現行版では PLD を「3.1 ディジタル計算機」の対象範囲としておりません。
ただし，将来的には安全保護系としての機能を実現するソフトウェアとして PLD が採用される可能性もあり，また，IEEE でも PLD を対象範囲に加えてきていることから，次回以降の改定において，PLD の取り扱いも検討していきたいと考えております。

12

（５）
「4. ディジタル安全保護系に対する要求事項」には、「ディジタル安全保護系
は、動作に失敗する確率（アンアベイラビリティ）及び誤動作する頻度（誤動作率）を考慮し、」とありますが、どのように考慮するのか例を示して説明してください。また、アンアベイラビリティや誤動作率の評価には、ソフトウェアも必
要になりますが、記載していない理由を説明ください。

回答 ５）
ディジタル安全保護系の信頼性に関しては，下記のようにハードウェア構成要素ごとに分割した信頼性評価モデルを使用して信頼度を算出しております。例として，ABWR の原子炉
緊急停止系の信頼性評価モデル（下図）を用いて説明します。
<ABWR の信頼性評価モデル>

評価対象は，装置の入力からロードドライバ開までのディジタル安全保護系（一点鎖線の範囲）を対象としています。システム全体のアンアベイラビリティを構成要素のアベイラビリテ
ィを組み合わせることにより求めます。ここでは，原子炉スクラム要求時にスクラムが失敗する確率として，2 out of 4 システムの 3 重故障を求めます。また，誤動作率については，最初の故障の修理中に 2 番目の故障が生じる 2 重故障で誤スクラムが生じる頻度を求めます。

13

PWR の場合も同様に，信頼性評価モデルを使用して評価しております。PWR での評価モ
デルを下図に示します。
<PWR の信頼性評価モデル>

14また，ソフトウェアに関しては，ハードウェアのように偶発的に故障が発生するものではなく，設計製作段階における人為的なミスを起因とするものであるため，定量的に故障率を扱うことはできません。そのため，信頼性評価にはハードウェアの構成要素しか考慮しておりません。一方で，ディジタル安全保護系は高い信頼性が要求されるため，課題であるソフトウェアの設計製作段階における信頼性確保のための手法として，JEAC4620/JEAG4609 で V&V を実施することを要求しております。

15

（６）
「解説-4 アンアベイラビリティ及び誤動作率の評価」には、アンアベイラビリ
ティや誤動作率の評価において考慮するハードウエア構成要素として、異常の検出等デジタル安全保護系の機能が挙げられています。アンアベイラビリティ
や誤動作率の評価において必要となるものは、設備とその故障モードですが、機能を挙げている理由を説明してください。

回答 ６）
ご指摘の通り，アンアベイラビリティや誤動作率の信頼性評価においては，システムを構成する各設備（ハードウェア構成要素）を適切に考慮する必要があります。（解説-4）での記載の趣旨は，”異常の検出”，“検出信号の伝送”等の機能を実現するハードウェア構成要素を，
信頼性評価において適切に考慮するよう求めるものです。
実際，（５）で示したモデルにもあるように，安全保護系の機能を実現するソフトウェアの演
算処理を行う要素だけでなく，電源や信号伝送（異常検出信号含む）を担うインターフェイス
回路などの構成要素についても信頼性評価で考慮することとしています。

16

（７）
「4.6 計測制御系との分離」には、「通信を共用する場合には機能的にも分離す
る設計とすること。
」と規定され、「解説-8 計測制御系との分離」には、ディジ
タル安全保護系と計測制御系との通信の機能的分離の措置の例として４例が記載されています。これらをどのように適用すれば（単独で、あるいは組み合わせて）規程の要求を満足できるのか説明してください。

回答 ７）
解説-8 は通信の機能的分離を達成するために適用可能である仕様の例を示していますが，これらの例のいずれかを適用して適切に設計することにより機能的分離を達成することが可能と考えます。
ただし，あくまでも例示であり，例示された措置以外の方法によって機能的分離を達成することを妨げるものではありません。

17

（８）
「4.6 計測制御系との分離」に関連して、米国では通信の独立性に関して具体的な要件が定められていますが（例えば、DI&C-ISG-044 に記載の項目）、これに対応する要件のうち、規定していないものについてその理由を説明してください。
4Revision 1, Interim Staff Guidance on Highly-Integrated Control Rooms –Communications Issues (HICRc), March 2009

回答 ８）
米国における計測制御系（No-Safety System）との通信の独立性に関する要求事項等は米国の民間規格である IEEE 7-4.3.2 を参考としています。
IEEE 7-4.3.2 の 2003 年版においては，通信の独立性のガイドラインは Annex E に記載されており，２ポートメモリ（バッファメモリ）を用いた例が記載されています。
2010 年版では ISG での検討などを踏まえて，5.6.4 節において，バッファメモリの適用方法の詳細，およびその他通信の実現に関する仕様などが記載されており，2016 年版でも同様となっています。
JEAC4620 としては，あくまでも基本的な要求事項のみを記載することとし，実現方法としての個々の設計仕様に係る事項は記載していません。

18

（９）
「4.9 外的要因」の「4.9.1 環境条件」には、「ディジタル安全保護系は，次の環境条件を考慮した設計とすること」の具体的な事項として、「想定される電源
じょう乱，サージ電圧，電磁波等の外部からの外乱・ノイズ」があげられていま
すが、解説-10 には達成すべき水準が具体的な規格基準等により示されていません 5 。達成すべき水準（具体的な規格基準等）を説明してください。
52008 年版解説-8 において「耐サージ性：「原子力発電所の耐雷指針：JEAG 4608-2007」」が記載されていたが、2020 年版解説-10「外的要因（関連規格・指針）」においては削除
された。

回答 ９）
本規程は安全保護系のディジタル計算機への性能規定を示しており，それを達成する具
体的な方法及び数値基準は記載しておりません。
2008 年版に記載していた JEAG4608 については，「外部からの外乱・ノイズ」に対して
JEAG4608 だけを準拠すればよいと誤解されかねないため，2020 年版では削除しました。

19

（１０）
「4.9.4 設計の確証」には、「4.9.1 及び 4.9.2 で要求された設計」によりそれぞれの外的要因に対して機能維持できることを確証するとありますが、「4.9.3 その他の外的要因」に規定された火災防護上及び溢水防護上の措置を考慮した設計の確証が要求されていません。その理由として、解説-11 には、「ディジタル計算機の耐力を要求しているものではないため」とありますが、設計の確証が「機能維持」の確証ではなく、「耐力」の確証としている理由を説明してください。

回答 １０）「4.9 外的要因」では，ディジタル安全保護系が，使用時に想定される周辺環境等の外部要因に対して，その安全機能を維持するために考慮すべき項目を示しています。そのうち，「4.9.1 環境条件」および「4.9.2 耐震性」で示す各条件（温度，湿度，放射線量，耐震等）は，
ディジタル安全保護系自身がその外部環境に耐え，安全機能を維持することが必要であるため，「4.9.4 設計の確証」において，設計の適格性を確証することを求めています。
一方，「4.9.3 その他の外的要因」で示す火災防護および溢水防護は，ディジタル安全保護
系以外のシステム設計等と合わせて対応するものです。例えば火災防護では，安全系の一系統が火災により機能喪失した場合の原子炉冷態停止が求められており，ディジタル安全保
護系のうち一系統の火災を仮に想定した上で，対策を講じていきます。このため，本規程においては，火災防護及び溢水防護に係る設計の確証は求めず，それぞれの防護設計・評価
において設計の妥当性を確認することとしています。

20

（１１）
「4.15 動作及びバイパスの表示」には、「ディジタル安全保護系が動作した
場合は，その動作原因が中央制御室に表示される設計とする」と規定されていますが、どのような情報（例えば第１原因）を「動作原因」とするのか説明してください。

回答 １１）
ディジタル安全保護系は，安全保護系の動作が行われた場合，その動作した要素が中央制御室に警報として告知されるものとし，1 チャンネルでも動作すれば警報を発するとともに，チャンネルごとに動作状態を表示するものとしています。
ABWR では，ディジタル安全保護系の作動要因としている以下の警報項目について，大型表示盤にハードウェア警報窓を設置しています。また，プラント異常の事象把握を支援するものとして，前記警報窓の最上部に大型ファーストヒット表示部を設け，4 大イベント（①MSIV(主蒸気隔離弁)閉，②原子炉スクラム，③タービントリップ，④発電機トリップ）の中で最初に発生したイベント及びその動作原因について表示する機能を有しています。
＜ディジタル安全保護系の動作原因（ABWR の例）＞
・原子炉水位低（L-3，L-2，L-1.5，L-1）
・中性子束高高・ペリオド短短
・D/W 圧力高高・地震加速度大・原子炉圧力高高・MSIV2 弁以上閉・炉心流量急減
・主蒸気管放射能高高・CV 急閉・MSV 閉・制御棒充填水圧力低・復水器真空度低・主蒸気管室温度高・主蒸気管圧力低・主蒸気流量高・原子炉建屋放射能高高・燃料取替床放射能高高21

ＰＷＲの総合デジタルプラントでは，第 1 原因の把握として，以下の警報項目について，ファーストアウト警報を設けています。ファーストアウト警報は，運転コンソールに設置された警報ＶＤＵに表示されます。また，大型表示装置及び監視操作ＶＤＵには，ファーストアウト警報のファーストヒットを監視情報として表示する設計としています。
＜ディジタル安全保護系の動作原因（PWR の例）＞
・中性子束高（SR/IR/PR）
・中性子束変化率高（PR）
・１次冷却材可変温度高（過大温度/過大出力）・加圧器圧力高・加圧器圧力低・１次冷却材流量喪失
・タービントリップ
・蒸気発生器主給水流量低・蒸気発生器水位異常低・加圧器水位高・地震・加圧器圧力低と加圧器水位低の一致
・加圧器圧力異常低・主蒸気流量高と主蒸気圧力低の一致
・主蒸気流量高と１次冷却材平均温度異常低の一致
・主蒸気差圧高
・格納容器圧力高・格納容器圧力異常高

22

（１２）
「解説-17

不正アクセス行為等の被害の防止」の(1)には、「外部ネットワー

クと遮断」とありますが、ここでいう「遮断」の定義を説明してください。

回答 １２）
遮断の定義については，安全保護装置と外部ネットワークにおいて「遮断された状態であること」が要求事項となります。
BWR での例を以下に示しますが，これらのいずれかを適用して適切に設計することを考慮しています 。
・外部ネットワークとの直接接続をしない。
・外部ネットワークからの不正アクセスを物理的又は，機能的に遮断する防護装置を設ける。
・安全保護装置の信号を一方向（送信機能のみ）通信に制限し外部からのデータ書き込み機能を設けない。

23

（１３）「解説-17 不正アクセス行為等の被害の防止」の(2)には、「物理的及び電気的アクセスの制限を設けることにより、システムの据付け、更新、試験、保守等
で、承認されていない者の操作、ウイルス進入等を防止する。
」とありますが、管理の対象を設計開発段階からではなく、据付け以降に限定している理由を説明してください。

回答 １３）
設計段階においては，メーカ工場での入域管理やセキュリティ教育を実施し，関係者を限定的にするとともにリスク低減を図っています。
メーカ出荷以降においてはメーカ工場よりも多数の方が介在することになるため，据付け以降に着目し管理しています。

24

（１４）「4.19 品質保証」には、「ソフトウェアの健全性を確保すること。
」とあり、「ソフトウェアライフサイクル及び構成管理手法を定めた，品質保証活動」及び「V&V 活動」の手法で確保すると規定しています。ソフトウェアライフサイクル、
構成管理手法及び V&V 活動に関する規格としては、「JIS X 0160:2021 ソフトウェアライフサイクルプロセス」があげられます。同規格の規定との違いを説明してください。

回答 １４）JEAC4620 および JEAG4609 では，特定のライフサイクルを指定はしていません。製品・機種などに応じてライフサイクルを予め設定し，これに基づいて品質保証の計画を立てて実行することを要求しています。
JIS X 0160：2021「ソフトウェアライフサイクルプロセス」は，ISO/IEC/IEEE 12207「Software
life cycle processes」を国内向けに翻訳したものであり，初版は 2012 年に発行されています。
JIS X 0160 は「ソフトウェアシステムのライフサイクルにおける，取得者，供給者及び他の利害関係者の間で円滑に情報伝達を行う場合に必要な定義されたプロセスの集合を提供すること（1.2 目的）」すなわち関係者間の認識統一のための共通の言語の提供を目的としています。
このため，JIS X 0160 も特定のライフサイクル（例えばウォーターフォールモデル）を定義するものではなく，ライフサイクルで実施される様々な活動（プロセス及びこれを構成するアクテ
ィビティ及びタスク）を関係者が同じ用語・理解で取り組めるように定義し標準化したものです。
なお，JIS X 0160 は，明記はされていませんが，主にソフトウエアハウスが顧客の注文を受けてソフトウェアの開発や導入・運用・保守を行うような業務を想定しているものと考えています。
JIS X 0160 に記載された「プロセス」を次葉に示します。このプロセスの中にはプロジェクトマ
ネジメントや品質保証に係るものも多く含まれていますが，JEAC4620 および JEAG4609 で取り上げている活動と対応するのは主に「テクニカルプロセス」の一部と考えます。
JEAC4620 および JEAG4609 での設計・製作・試験・装荷のプロセスや V&V 活動，構成管理などが対応しており，ほぼ同様な範囲をカバーしていると考えられます。
なお，JEAC4620 および JEAG4609 ではプラントごとの安全保護系の機能を実現するソフト
ウェアのみを対象としており，それ以外は一般の原子力品質保証活動の対象となります。
JIS X 0160 の記載事項は，様々なプロセスでの実施内容について細分化して定義を明確化・標準化し，実務の計画検討にあたっての関係者間での確認項目として活用できるものであり，所謂「要求事項」を記載したものではありませんが，設計実務に参考になるものであると考えます。
25

（JIS X 0160 に記載されたプロセス：番号は JIS の章番号）
6.1 合意プロセス
6.1.1 取得プロセス
6.1.2 供給プロセス
6.2 組織のプロジェクトイネーブリングプロセス
6.2.1 ライフサイクルモデル管理プロセス
6.2.2 インフラストラクチャ管理プロセス
6.2.3 ポートフォリオ管理プロセス
6.2.4 人的資源管理プロセス
6.2.5 品質管理プロセス
6.2.6 知識管理プロセス
6.3 テクニカルマネジメントプロセス
6.3.1 プロジェクト計画プロセス
6.3.2 プロジェクトアセスメント及び制御プロセス
6.3.3 意思決定管理プロセス
6.3.4 リスク管理プロセス
6.3.5 構成管理プロセス
6.3.6 情報管理プロセス
6.3.7 測定プロセス
6.3.8 品質保証プロセス
6.4 テクニカルプロセス
6.4.1 ビジネス又はミッション分析プロセス（ビジネス又はミッションにおける問題を定義し可能性をもつソリューションを決定）
6.4.2 利害関係者ニーズ及び利害関係者要件（要求事項）定義プロセス（利害関係者を識別し，そのニーズを定義）
6.4.3 システム及び／又はソフトウェア要件（要求事項）定義プロセス（要望されている能力についての利用者主体のビューを，ソリューションについての技
術面のビューへ変換）
6.4.4 アーキテクチャ定義プロセス（システムアーキテクチャの候補及びその代替案を作成し，システム要件を満たす一つ以上の代替案を選定し，アーキテクチャを表現）
6.4.5 設計定義プロセス
26

（アーキテクチャ エンティティとの一貫性をもった実装を可能にするために，システム
及びその構成要素に関する十分に詳細なデータ及び情報を提供）
6.4.6 システム分析プロセス（意思決定を支援するために，技術面の理解のための厳密なデータ及び情報の基盤を提供）
6.4.7 実装プロセス（指定されたシステム要素を実現）
6.4.8 インテグレーションプロセス（実現されたシステム（製品又はサービス）へと，システム要素の集合を統合）
6.4.9 検証プロセス（システム又はシステム要素がその指定された要件及び特性を満たしていることの客
観的な証拠を提供）
6.4.10 移行プロセス（システムが運用環境において，規定されたサービスを供給する能力を確立）
6.4.11 妥当性確認プロセス（システムが意図された運用環境で意図された用途を達成することで，そのビジネス又はミッションの目標及び利害関係者要件を満たすという客観的証拠を提供）
6.4.12 運用プロセス（システムを利用してサービスを提供）
6.4.13 保守プロセス（サービスを提供するシステムの能力を維持）
6.4.14 廃棄プロセス（システム又はその要素の存在を終了させ，置換又は廃棄される要素を適切に処理）

27

（１５）「4.19.3 V&V」には、V&V に関する要件として(1)～(3)として、実施体制の独立性、文書化、再利用が規定されています。何を実施すれば V&V として十分とみなせるかに関する基本的な事項が規程として記載されていない理由を説明してください。

回答 １５）
3.3 の定義および解説－21 に記載の通り，原子力製品としての一般的な品質保証活動に加えて実施する検証および妥当性確認を「V&V」と定義して 4.19 でこれを実施することを要求しています。この V&V の具体的な実施ガイドは JEAG4609 にまとめています。
JEAG4609 は初版が 1989 年に発行されて以来，様々な安全保護系ディジタル化の設計に適用されてきており，V&V の実施に関する内容については実務に十分浸透していると考えています。
この中から，Ｖ＆Ｖの実施にあたって特に重要な要求事項として，組織的な独立性，文書化，再利用の妥当性の３点を JEAC4620 に記載しました。
JEAG4609 については従来から利用されてきていることから，今回の改定において基本構
成は大きく変更していません。
なお，「検証と妥当性確認」という用語（当時は「検証と健全性確認」としていました）は，
JEAG4609 の初版の発行当時は一般的な用語ではありませんでしたが，その後，品質保証活動を記述する用語としての一般的な使用が広がってきました。
このため，JEAC4620 および JEAG4609 では，ディジタル安全保護系に対する従来からの活動は「V&V」と表記することとし，一般的な品質保証活動の用語である「（設計）検証と妥当性確認」とは区別しています。

28

（１６）
「5.留意事項」には、「ディジタル安全保護系とは動作原理等が異なる追加の設備を設けることが推奨される」とありますが、「推奨される」の意味を説明して下さい。

回答 １６）JEAC4620 は，ディジタル計算機を適用した原子力発電所の安全保護系に対し，その機能と設計に関する要求事項及びそのソフトウェアに対する品質上の要求事項を規定したものです。「ディジタル安全保護系と動作原理等が異なる追加の設備を設けること」については，ディジタル安全保護系に対する要求事項ではないため，推奨事項としております。
推奨事項であるため，規格として設置することを必須とするものではありませんが，事業者の自主的な取り組みとして，基本的に設置することとしております。
また，「ディジタル安全保護系とは動作原理等が異なる追加の設備を設けること」の主な目
的はソフトウェア共通要因故障対策になりますが，ソフトウェア共通要因故障対策については，
ATENA において技術要件書がまとめられ，対策実施に関する取り組みが進められています。
ATENA で作成した技術要件書の規格化については，現状のところ，検討の動きはありません
が，今後の動向（検討や対策の実施状況）を踏まえて，必要に応じて検討していくことになると考えます。

29

（１７）「5. 留意事項」には、「4.ディジタル安全保護系に対する要求事項」を遵守することにより、共通原因故障が発生する可能性は十分低いものとなっている」とあります。共通原因故障の可能性を大きく低減させるものとして、多様性があげられますが、その要求が規定されていません。
「共通原因故障が発生する可能性は十分低い」とした理由を説明してください。

回答 １７）JEAC4620 では耐震性，耐環境性，ソフトウェアの信頼性等，様々な面から共通要因故障が発生しないよう設計上の要求事項を規定しております。
ソフトウェアに対しては，JEAG4609 の目的にも記載したとおり，V&V を実施することでソフ
トウェアの信頼性を高めております。このため，ソフトウェアに対しても，共通要因故障が発生する可能性は十分に低くなっていると考えられます。
共通要因故障を防止する手段として，多様性を持たせることが効果的であることは認識していますが，JEAC4620 は高い信頼性を有するディジタル安全保護系を構築し，運用することを目的としたものです。このため，多様性のようにディジタル計算機以外の方式を要求するような事項については規定しておりません。

30

２．ディジタル安全保護系の検証及び妥当性確認（V&V）に関する指針（１）「3.2 安全保護系」には、設備の範囲として検出器から動作装置入力端子までとされています。デジタル計算機のソフトウェアで処理する手前に、PLD 等を使用した論理回路が構築されている可能性があります。そのような場合、PLD 等の論理回路は V&V の対象となるのか説明してください。

回答 １）
国内においては，安全保護系のディジタル計算機のうち信号入出力部（IO 部品）等としてのみ PLD を採用しており，安全保護系としての機能を実現するソフトウェア（ディジタルデータの算術演算，論理演算などの計算を行う装置）ではないため，本指針における V&V 対象外となります。
ただし，将来的には安全保護系としての機能を実現するソフトウェアとして PLD が採用される可能性もあり，また，IEEE でも PLD を対象範囲に加えてきていることから，次回以降の改定において，PLD の取り扱いも検討していきたいと考えております。

31