176

ソフトウェア・エージェントによる原子力発電プラントの事故時自動操作系の概念設計に関する研究
Research on Conceptual Design of Automated Accident Recovery System
in Nuclear Power Plant by Software Agent
丹羽 雄二 (Yuji Niwa)*寺邊 正大 (Masahiro Terabe)†

鷲尾 隆 (Takashi Washio)‡

要約 本研究では，まず原子力発電プラントの運転員が安全運転を行うためには，プラントの重要なパラメータとそれらの間に存在する因果関係を考慮した上で意思決定を行う必要があることを，科学的な考察と分析結果にもとづいて指摘する．時間制約による精神的抑圧の下では，運転員がプラントの各々のプラントパラメータが本来持っている複雑な因果関係を考慮した上で最適な意思決定を行うことは不可能に近い．このような理由から，事故収拾操作の計算機による自動化に関する要請が高まっている．従って，本研究では，特に原因が不明確な原子力発電プラントの事故下で，自律的に運転員と協調して効果的な意思決定を行うことができるエージェントシス
テムを提案する．
キーワード

ヒューマン・マシンシステム, 原子力発電プラント, 人工知能, エージェント, 安全機能，自動化

Abstract
In this paper, investigations and analyses of the human-machine joint system haverevealed the necessity of careful decision-making by Nuclear Power Plant (NPP) operators
considering the critical parameters of NPP to attain safety and the causalities amongst theseparameters. Under a strong time pressure, it is virtually impossible to make an optimal decision taking
such causalities into account. As a result, the computerization of taking recovery actions is required.
Considering a the requirement of such computerization, an autonomous system in collaboration withhuman (what we call the agent system), which is still effective even in such an unforeseen conditionin NPP, is proposed.
Keywords

human-machine system, nuclear power plant, artificial intelligence, agent, safety function,

automation

1.

緒言

ントに導入されてきた．しかしながら，それら制御システムは，蒸気発生器水位や加圧器圧力など，プ

近 年 の 高 度 情 報 処 理 （ Advanced Information
Techno-logy：AIT）の技術的進歩により，原子力発

ラントの局所的プロセスを自動制御するにとどまっていた．

電プラント（Nuclear Power Plant：NPP）の種々の原子力発電プラントでは，一般的に新技術の導入

事故時における支援を考えることが可能になってきについては，信頼性に最重点がおかれるため，他業た．現在は，一旦原子力発電プラントに制御系で補種の化学プロセスプラントに比べても自動化のレベ

償不可能な外乱が印加されると，安全維持のためにルが低く押さえられてのが実状である．しかしなが自動的に原子炉を停止するような機構になっていら，高度情報処理の進歩により，自動事故収拾シスる．従来の古典的な制御理論にもとづいたフィード

テムの開発が可能な技術的環境に近づいている．そバック制御理論の適用が，これまで原子力発電プラ

こで本稿では，高度情報処理技術を適用した事故自* （株）原子力安全システム研究所†（株）三菱総合研究所‡ 大阪大学産業科学研究所

技術システム研究所

177

動収拾システムについての概念を確立する．

手順書では，運転員は必ずしも，事故事象の同定を特有の強い非線形性や，プラント内の構成機器の行う必要はない．運転員は，事象の同定に失敗した多さから，原子力発電プラントは複雑系と考えられ，

場合，プラントが予想される応答を示さなかった場

特に，事故時における自動化について保守的になっ

合，および事故収拾操作中に状況が把握できなくなてきたことは十分に理解されよう．

った場合には，事象ベース事故時手順書から，安全

一方，原子力発電プラントにおける運転員の役割

機能ベース事故時手順書へと参照の対象を移行する

は，現在，非常に重要なものとなっている．従来よことが新しい手順書体系で義務付けられている．

り，事故が起こった場合には，まず運転員は事象を事故時において，運転員は，この安全機能につい同定する，すわなち原子力発電プラントに何がどのて継続的に観察を続けなければならない．そして，ような原因で起こったのかという内容について把握

上述のようにそれらのうちの１つでも機能が喪失しする．そして，同定された事象に準拠した事故時手た場合には，事象が同定されている場合でも運転員

順書（Emergency Operating Procedure：EOP）を参照

は直ちにその機能を復旧すべく操作を行わなければしながら，原子力発電プラントの事故収拾操作を開ならない．

始する．従って，これら従来の事故時手順書を参照

安全機能ベース事故時手順書は運転員による事象

する場合には，いかなる場合にも事象の同定が必要の同定を要求しないことから，事象が同定できないである．このような理由から，上にあげたような事場合の運転員の支援に役立っているが，安全機能自故時手順書は，事象ベース事故時手順書（Event-体は，原子力発電プラント設計，特に確率論的安全

Based Emergency Operating Procedure：EB-EOP）と評価の専門家の判断により決定されたものである．

呼ばれる．

このため，全ての安全機能が保たれてさえいれば，運転員が事象の同定の段階でエラーを起こさない

炉心損傷が起こる可能性について，完全に否定でき

限り，EB-EOPを参照しながら事故収拾操作を行えることが客観的に保証されているわけではないことば，（同定された）事故は収拾へと向かう．しかしに注意しよう．

ながら，原子力発電プラントで起こりうる全ての事

筆者らは，事故時手順書システムは，想定されて故を予測することは，現実的には期待できない．例

いない事象を含むすべての事故について適用可能な

えば，スリーマイル島２号機（TMI-2）の事故がそものとして準備されるべきであると考えている．この典型であろう．TMI-2の事故での経験を基に，新の技術的目標の達成は大変困難なものであるが，安しい考え方にもとづくEOPの必要性が指摘されるよ

全機能をより客観的な視点から，工学的専門家の主うになった．新しい概念に基づくEOPは種々提案さ観に基づく判断を極力介さずに定義することができれたが，その１つに原子力発電プラントの「機能」

るならば，解決への糸口を掴むことができる．一方に着目したものがある．

で，安全機能ベース事故時手順書については，時間Corcoranは，原子力発電プラントの安全維持を達的な制約やプラントの挙動が明確に認識できないで成するための機能について，安全機能として定義しいる運転員が，極めて強い心理的抑圧がかかった状（1）

た ．Corcoranによれば，安全機能（Safety Function

況のなかで適切に参照できるのか，という疑問も残：SF）は，炉心損傷を回避するための人間／機械っている．このような問題点を解決するためにも，による操作の集合として定義される．複数ある全て予測できない状況下における，事故時における自動の安全機能が満たされなければ，炉心損傷の可能性

収拾システムの研究の必要性が指摘される．

があるので，事故時に（重要）安全機能の１つでも以上のような議論にもとづいて，本稿では主に以喪失すれば，速やかに当該の安全機能回復を行うと下のような３つのサブテーマについての問題解決にいう原理に基づいたEOPである．
この事故時手順書は，各安全機能ごとにまとめられていることから，安全機能ベース事故時手順書（SF-EOP）と呼ばれている．安全機能ベース事故時

ついて述べる．
（1）事故状況下における機械による状況認識（2）自動事故収拾システムのアーキテクチュア，およびシステムと運転員の協調について

178（3）人間・機械（計算機）協調環境下におけるヒューマンマシンシステム設計

2.

原子力発電プラント事故状況下での機械による状況認識

2.1

安全機能と安全機能間の関係構造に関する客観的記述

Corcoranは，炉心損傷を防ぐための基本的な機能として，5つの安全機能を図1のように定義している．
安全機能が充たされていない状況下では，原子力発電プラントの安全が脅かされているということがで

炉心損傷回避のための安全機能（Corcoran,1981）
炉心反応度維持
炉心除熱確保
1次冷却材（からの）除熱確保
1次冷却材の圧力制御
1次冷却材のインベントリ確保*本表では，格納容器の健全性に関する安全については含
めていない．

図１

Corcoranによる安全機能

dX
dt = F(X,U)
Y= G(X,U)きる．また，喪失した安全機能に対して適切な事故

ここで，収拾操作がとられなければ，原子力発電プラントはX ：状態変数ベクトル

深刻な状況に陥ることになる．

Y ：出力（目的）変数ベクトル

この安全機能の考え方は，既に商用プラントに適用されており，この概念を基にして，安全機能ベー

(1)
(2)

U ：制御ベクトルt ：時間スの手順書が作成された．先にあげたような理由により，Corcoranにより定義された現在の安全機能の出力ベクトル Y の各要素 y は，それぞれSFDの主

定義は，プラント設計者の専門的主観に依存するも要パラメータであり，適当なセンサを通じて計測さのである．さらには，これまで安全機能間の構造はれ評価される．状態ベクトルXの全要素は，現在の階層的であり，それらは互いに独立な関係にあると原子力発電プラントの計装系により計測可能なものされてきている．この仮定は，従来の安全機能を考である． Y の要素は全て X の要素に含まれるので，える上では大変便利である．並列，独立の仮定の上式（2）は線形方程式の形で表現することができる．

に安全機能ベース事故時手順書が作成されている．

すなわち，定数ベクトルと状態ベクトルの内積によ

しかしながら，安全機能を客観的に定義し，そのり表現できる．Uは制御ベクトルであり，原子力発

因果的構造について考察することは重要である．商電プラントの事故収拾に必要な操作系列により規定

用の原子力発電プラントでは，安全機能は，多少乱される．

暴な言い方をすれば，プラントパラメータ集合として解釈されている．本稿では，プラントの動的モデU =［OP1,OP2…OPn］(3)

ルを用いることにより，安全機能を客観的に再定義する．プラントモデルは，集中系モデルで表現する．

ここで，ここで安全機能を，従来の安全機能と区別する意味

OPk：SFD維持のために実施されるタスク，

で 安 全 機 能 規 定 因 子 （ SFD： Safety Function

1≦k≦n

Designator）として再定義する．
原子力発電プラントのモデルが得られたならば，機械が取得したい全てのプラントパラメータを推定
原子力発電プラントは，次のような集中定数系の状態方程式により定式化することができる．

することができる．安全機能規定因子の定義については参考文献 （2）に詳しい．安全機能規定因子は，当該の規定因子のふるまいを表現する代表的なパラメータを持つ．原子力発電プラントの動的な振る舞

179

いを規定する全てのパラメータ間の因果関係についした．

て分析した．ここで，安全機能規定因子間の因果関

2.2

（3）
係は，「因果推論」という解析的な手法を用いて機械システムによる状況認識分析した結果から．各安全機能規定因子間の因果関

本稿において，原子力発電プラントにおける「事係は，その安全機能規定因子とその他の安全機能規故」とは，炉心がプラントの安全機器と操作の失敗

定因子に関連する代表パラメータの因果関係を解析

により，損傷するような状況を指す．安全機能規定することにより導出することができる．

因子が安全機能よりも優れているところは，安全機安全機能規定因子間の因果関係を分析した結果，

能規定因子が機械の状況認識に関する指標を提供でそれらの間には相互依存的な因果関係が存在し，安きる点にある，機械は，プラントパラメータにより全機能規定因子の構造は階層型というよりは，ネッ

張られる状態空間の中でプラントの置かれている位（2）

トワーク型であると言える ．従って，これまでは置，すなわち，原子力発電プラントが危険な状態で安全機能間に相互関係が無いと考えられてきたが，ある程度と，その下で機械が行わなければならない

実際には，ある安全機能を維持すべく操作がなされことについて，この指標から認識が可能である．

る場合には，その操作の影響が他の安全機能にも及安全機能規定因子が提供する指標のうち，最も特徴的なものは，安全余裕時間である．安全余裕時間

ぶことになる．
安全機能規定因子の相互依存関係を，Corcoranには，機械に対して，原子力発電プラントが破滅的なより提案された安全機能の構造とともに図2に示す．

状況，すなわち炉心が損傷したような状況に陥るの各安全機能規定因子は，安全機能と同じ名前になっを避けるために，意思決定（操作の生成）と行動ている．これは，安全機能規定因子は安全機能を，（操作）に与えられた時間である．もう１つの指標

単に客観的に再定義したものであることによる．そは，プラントパラメータにより張られる状態空間にして，この再定義により，安全機能規定因子を現在おける危険領域と現在の状態が表す点との距離であの事故時操作手順システムに導入することを可能にる．これについては，以下のように記述される．
各時刻tにおける安全機能規定因子と，代表パラメータを要素とする状態ベクトルX（t）は式（3）か（2）炉心反応度維持

ら求めることができる．操作Uを評価する指標を得（4）RCSインベントリ制御（3）RCS圧力制御

るには，安全機能規定因子の維持が必要となる．この指標は，入力 U ，状態ベクトルX，そして現在の状態を始点として安全機能規定因子のモデルから予（1）炉心除熱確保

想される状態ベクトルXの遷移をもとに定義され，（5）RCS除熱確保評価される．

Corcoranによる階層的構造

安全機能規定因子の評価基準（2）を適用することにより，安全機能規定因子の破壊に関する判断を行う（1）炉心除熱確保

ことができる．安全機能規定因子が破壊されているならば，その時点での安全余裕時間 Ta は評価することができる．安全余裕距離についても，同様に以下のように評価することができる．

（2）炉心反応度維持（3）RCS圧力制御

D=（5）RCS除熱確保（4）RCSインベントリ制御

ネットワーク状のSFD構造

図２

安全機能と安全機能規定因子の構造

∫│δX│

(4)

ここで，

┃δX┃：状態ベクトルの差分ノルム
は，プラントが安全機能規定因子が喪失した危険な180

危険領域からの距離Dと安全余裕時間Ta

Ta-D平面上へのプロット

効果的な操作の実行
危険領域

予測される
状態遷移

D：危険領域からの距離
Ta：危険領域到達 Mapping
までの時間

現在状態

現在状態

炉心の危険がなくなった場
合、Taは無限遠にジャンプ
する。

D

効果的でない状態変数により張られる空間図3

0Ta

Ta-Dプロットの概念（エージェント内における状況確認）

状態（領域）と現在の状態との距離をあらわしてい

原子力発電プラント事故時の事故収拾システムにる．現在の状態X(0) と制御系列U(t) のあらゆる組み

ついて議論する前に，事故時手順書の機械化に関す

合わせについて，その位置がTa-D平面状に記される定義を明確化する．

る．この様子を図3に示す．より原点（左下隅）に

これまでに述べたとおり，原子力発電プラントの近い点は，より重大な緊急状態にあることを示して運転員は，事故時には，事故時手順書を参照しながいる．ただし，安全機能規定因子が維持されていたら収拾操作にあたる．事故時手順書は，これまで一り，将来的に維持されるであろう場合には，Taが般的な操作手順書と同様にドキュメントの形で準備

無限大になる．その場合，Ta-D平面上の状態をあされてきた．このため，完全に自動化事故収拾シス

らわす点は，事故時操作が事故を終結させる程有効

テムに至るまでには，以下に述べるように，多くのな場合に，平面上の原点から右上の無限遠へと不連

前段階を経ることが必要である．

続に遷移することになる．

実際には，事故収拾操作が計算機化されるべきか

手法の詳細は，ここではページ数の制約から省略

否かという問いについては，これまであまり議論さするが，ここであげた情報が優先して維持すべき安れていない．しかしながら，事故収拾操作について

全機能規定因子に関する判断の基礎となる情報を提「どの程度まで計算機化すべきであるのか」，いいか供することは明らかである．

えると，「計算機化する」あるいは「自動化する」
ことの真の意義はどこにあるのか，という内容につ3.

原子力発電プラント事故時の事故収
拾システム

いてはよく議論されている．事故時手順書のGUI上の表示については，事故時操作手順書の自動化における重要な段階である（4）．一方，本稿でとりあげる

3.1

計算機化事故時操作手順書と提案シ
ステム

ような自動事故収拾システムのレベルや残された課
題について把握することも必要である．
最も初期のレベルをレベル0とする．これは，従181

来からのものであり，最も一般的な形式である．

スに生じている問題を同定し，運転員による実行（1）レベル−0

や確認の必要なく自動的に操作を実行する．

事故時手順書はドキュメントである． このレベルでは，操作手順は，印刷された（8）レベル−7

自律化されており，必要に応じて手順，あるいはチェックリストとして表現されて操作が実行される．（完全自動化）

おり，これは，従来からの形式で，これまで用い

このレベルは，以下の２つの条件により，さらにられてきたものである．

分割することができる．そのうちの１つは，操作の事故時手順書は，極めて原始的な実行結果が運転員に通知されるものと，一般の制御形で計算機化されている．このレベルでは，操作器のように．実行結果が運転員に通知されないもの

手順は電子化されており，手動スクロールが可能に分けることができる．後者については，基本的になVDU上に表示される．ただし，ここでは，フ

全自動化に対応しており，操作を運転員にとって実ォーマットの変換は含まれていない．このレベル

施し易くするという検討は全く必要がない．操作のの特徴は，ディスプレイ上でスクロールすること

実行は完全に計算機化されている．

（2）レベル−1

により，操作手順全体を認識しやすくしていることである．
（3）レベル−2

3.2
操作手順書は，ディスプレイ上に原子力発電プラントの自動事故収拾システム

表示される．このレベルでは，操作手順の表現が変更される．この機能は，計算機に制御されたデ原子力発電プラントにおける完全自動化を実現すィスプレイやコンピュータグラフィクスにより実るためには，全ての事故が予想され，事前に解析さ現される．フォーマット，プロセスとのリンクづ

れていなければならない．現状での完全自動化は困けに関する詳細については，後で述べる．この段難な状況にある．このため，原子力発電プラントに階から，計算機化手順書と呼ぶことにする．

おける運転員の役割を無視することは，不可能であ（4）レベル−3

操作の追跡，監視機能をもつ計算

る．従って，人間中心の自動化（Human Centered機化された操作手順書である．これより下位のレ

Automation）が現在，ヒューマン−マシン研究でしベルとの違いは，操作を通じて，必要な部分だけ

ばしば行われている．このような技術困難にも関わを表示できる点にある．これらの機能は，自動ス

らず，安全機能の構造が非常に複雑なネットワーク

クロールに代表されるように，運転員のタスクを構造をもつ因果関係にあり，制御が難しいことから，軽減するのに重要である．

事故時手順書の機械高度化，すなわち高度なレベル（5）レベル−4

自動化された手順書（1）：操作を機での計算機化についての強い要請が生まれる．完全械に委任する．このレベルでは，運転員の指示にに計算機による自動化を行った事故時手順生成シス

より，整理された操作手順の一部が自動的に実行

テムについて考えた場合，計算機（機械）システム

される．ここでの計算機化の範囲は，操作手順のの信頼性は完全ではない．原子力発電プラントのよ表示から，操作手順の実行まで拡張されている．

うなプロセス系は，サーボ機構よりも，大きな時定（6）レベル−5

自動化された手順書（2）：機械が操数で状態が遷移する．このため，原子力発電プラン

作を提案し，運転員が最終的に承諾することによトの運転員（人間）には，深い洞察を行うことにより，事故時操作の管理を行う．機械はプロセスをる事故時操作への寄与が期待できる．加えて，本稿

監視し，適切な操作を選択し，実行する主体が運で提案する自動事故収拾システムは，プラントモデ

転員よりも操作システムになっているような状況

ルにもとづいて適切な事故収拾操作を生成する．実である．しかしながら，実行レベルについては，

際のプラントプロセスは，モデルでは完全に表現で運転員による承諾が必要なである．

きないことは明らかである．その結果として，機械（7）レベル−6

自動化された手順書（3）：問題駆動

型の自動化
さらに自動化が進むと，操作システムがプロセ

システムは不適切な操作を生成してしまう可能性がある．このため，人間は機械システムによる操作生成結果を評価しなくてはならない．

182

プラントのユーザサイドでは，原子力発電プラン

エージェント，あるいはエージェントシステムのトにおいて，事故時に対する完全自動化システムの定義は，簡単には「自律的に行動するもの」である．

導入に対する躊躇がある．その理由として，完全自

また，Russellら（6）はエージェントについて，「自律動化システムを導入した場合，運転員が自動化シス

的に状況を認識し，行動しながら知的に行動するもテムに過度に依存することにより技術レベルが低下の」であると定義している．さらに，Russellらは，し，結果として，計算機の機能喪失が原子力発電プ

人工知能の研究を合理的なエージェントに関する研ラントの制御を不能にしてしまうことが考えられ究である，と主張している．

る．以上のような理由により，現在の商用原子力発

原子力発電プラントの支援システムに必要な機能

電プラントにおける事故時手順書の計算機化レベル

は，まさに合理的なエージェントを設計することには，低いままになっている．このような背景から，同義である．本稿では，「合理的」 という用語の概

人間と機械による協調に関する研究が現実的で好ま念を，「限られた資源を管理しながら，操作を実行しい．その意味では，提案する自動事故収拾システ

し，目標を達成する（事故を収拾する）システム」

ムの自動化レベルは先に挙げた分類にしたがうとレであると定義する．筆者等は，運転員支援システム

ベル5に相当する．全自動化に向けての段階と人間として，運転員と協調して事故の収拾にあたることの役割および責任分担の変化に関する分類についてができる，合理的な，言い換えると知的なエージェ

は，Sheridan（5）にまとめられており，本研究の人間

ントシステムを提案する．

と機械の協調に関する考え方は，これにもとづいてエージェントは，自らの支援形態について，以下のような3つの運転員支援モードを持ち，事故の状いる．

況に応じて支援モードを切り替える．

エージェント型操作支援システム

4.

（1）SFDモデル：プラントに事故が起こった兆候をエージェントが発見した場合，先ずエージェント

4.1

エージェントはSFDモードで動作を開始する．このモードでは，エージェントは詳細な定量的プラントモデルを用

本章では，我々がエージェントという概念を事故いてプラント状況の分析を行う．さらに，第２章

時操作支援システムに導入した理由，エージェント

で説明したとおり，生成した事故収拾のための操の定義，提案するエージェントシステムについて述

作系列の評価に用いる，安全余裕時間（ Ta ）とべる．

安全余裕距離（D）の計算にも，この定量的プラ第２章で述べたとおり，安全機能規定因子間にはントモデルを用いる．エージェントが生成した最

複雑な因果関係が存在する．運転員は，時間的な抑も効果的な操作系列は，インタフェースを通じて圧がかかる事故時の状況下でこれら複雑な安全機能

エージェントから運転員に提示される．

規定因子について把握しておくことが必要になる．

（2）メタモデル：SFDモードにおいて，エージェン

さらには，運転員は，事故収拾に残された時間だけトが定量的モデルが事故の進行によりプラントのではなく，実行可能な操作の状況についても把握し現状にそぐわないことを発見した場合，この定量ておく必要がある．事故時における運転員は，事故的モデルの利用を中止し，メタモデルモードへとにより混乱しがちであり，とくに進行している事故

移行する．メタモデルは基本的な物理則を反映し状況について把握することが困難な状況に置かれてた定性的な記述がされている．エージェントは，いるために，操作の決定から実行という一連の作業

メタモデルを用いた結果を用いて，事故収拾に効を適切に行うことが困難な状況に置かれている．そ果があると見込まれるものについて，リストアッこで，本研究では運転員の作業を代行することが可

プして運転員に提示する．

能なマシンシステムについて検討することにした．

（3）マクロモデル：さらに事故が進行し，プラント

筆者らは，このマシンシステムをエージェントといの基本的なコンフィグレーションが破壊され，操う概念を用いて設計した．

作の目的が格納容器の保護に絞られているような183

状況では，エージェントは，マクロモデルに移行する．この状況下では，事前に予測および準備さ

事故の発生れた推論規則はほとんど利用できない．よって，
マクロモードでのエージェントの運転員支援の形
態は，プラントと実行可能操作に関する情報の集約である．

Goal A：
事故収拾に適切な操作
系列の生成（SFD モデルベース）
事故の進行によりNPPモデルが使用できない

モードを切り替える機構について，図4にまとめる．上に述べたように，各モードは異なる目標を持つ．また，運転員とエージェントとの協調形態は，エージェントが適切な操作を生成できない

Goal B：
事故収拾に適切であると推定される操作系列
を運転員に提案する（メタルモデルベース）

各モードにおいて異なる．

4.2

事故収拾

SFDモデルモード

ここでは，SFDモデルベース支援時のエージェン

エージェントが適切な操作を発見できないト操作支援システムを提案する．エージェントの内部機構を図5に示す．エージェントシステムは，自身の環境である原子力発電プラントと運転員の情報

Goal C：
格納容器保護に関する情報の提供（マクロモデルベース）を入手し，働きかけるために２つのインタフェースをもつ．マシン（エージェント）−プロセス（原子力発電プラント）は，複数のセンサー，伝送器，表

図４

エージェントにおけるモードの切り替え

示灯等から構成される自動操作/制御に用いられる

エージェント
操作生成プロセスの説明
意志決定部

資源管理部

ターゲット生成

時間資源

安全資源

原子力発電
プラント

操作DB

プランニングマンマシン
インタフェース

認識部
OP1 ..
OP2 .
OP3 .

情報、説明
の要求

実行

情報、
説明

operation

操作実行

状態の認識
・主なパラメータ
・各SFDのTaとD・実行可能性

情報

操作実行

運転員

情報

図５

原子力発電
プラント

エージェントの内部構造

マシン・マシンインタフェース

184

機器群である．一方，エージェントシステム自身は，する．

6つのウィンドウにより構成されるGUIからなるヒエージェントシステムは，この時間資源を事故収ューマン・マシンインタフェースを持つ．これにつ拾操作の決定と実行，すなわち，状況を評価し，事いては，次章にて詳述する．エージェントシステム

故を収拾する操作系列の案を生成し，序で適切な操は，自身の情報処理結果，運転員への提案内容，実作系列を選択し，さらに，これを実行することに用行した操作内容について，このインタフェースを通いることができる．

じて提示する．
SFDモデルベース中のエージェントは，主に以下

エージェントは，全行動（基本単位となる操作）に関する安全資源データベースを持ち，計装から得のような３つのパートからなる．

られている情報や過去に行った操作の情報をもと（1）認識部に，各操作の実行可能性が反映されるようになって（2）資源管理部

いる．これら操作は，その操作が最も効果を与える（3）意思決定部

安全機能規定因子ごとに整理されてデータベース化

認識部は，マシン（プラント）-マシン（エージェされている．

ント）インタフェースを通じて得た情報から事故の意思決定部は以下のような３レイヤ（層）からな

状況を把握する．認識された状況は，原子力発電プ

る．

ラントのパラメータのみにより表現されるわけでは（1）ターゲットレイヤ

なく，各安全機能規定因子ごとに前述のように定義（2）操作生成レイヤ

される安全余裕時間（Ta）や安全余裕距離（D）を（3）操作実行レイヤ

用いて表現される．安全余裕時間や安全余裕距離は，

ターゲットレイヤでは，ヒューマン・マシンシステ

認識部を通じて送られてくるプロセス信号（プランムが目標とすべき内容について決定する．ターゲッ

トパラメータ）の情報と定量的モデルを用いて計算

トとしては，「炉心損傷を回避する」と「安全余裕される．

時間（炉心損傷が始まるまでの時間）を長くする」

資源管理部では，合理的に目標を達成するのに必という２つが準備されている．

要な２種類の資源を管理している．その１つは，エージェントシステムが事故を検知して最初に始動「時間資源」とよばれるものであり，もう一つは，した場合には，ターゲットを「炉心損傷回避」に設

各時点における実行可能な操作の集合である．この定する．そして，ターゲットの達成に適当な操作探資源は，ある状況下において事故収拾を行うために索に失敗した場合には，「安全余裕時間を延長」に利用可能な機器群に対応する．この資源を本研究で切り替える．

は，「安全資源」と呼ぶことにする．

操作生成レイヤでは，エージェントシステムは安エージェントシステムは，安全機能規定因子，

全資源と時間資源を参照しながら，いくつかの操作「炉心からの除熱確保」（SFD1と記す．）の安全余裕

系列を生成し，効果について評価を行う．この評価

時間を時間資源の指標として用いる．資源管理部は，は，操作系列OPiを実行した場合に，安全余裕時間

原子力発電プラントの集中定数化（単純化）されたTa（SFD1,OPi）がどれ程長くなるかにより評価する．

動的定量モデルを保有する．このモデルでは，各パもし，安全余裕時間が何も操作を行わなかった場合

ラメータがステップ状及びランプ状に入力されるもの安全余裕時間Ta（SFD1,φ）よりも長くなった場のと仮定している．資源管理部では，第２章で説明

合には，その操作は事故収拾に効果があるものとししたように，このモデルを用いて入力された状態パて評価される．さらに，操作が安全余裕時間を無限ラメータから安全余裕時間を計算する．この時間資大にする場合には，この操作を実行すれば事故が収源は，各単位時間が経過するごとに断続的に変化す拾できると予測されることを意味している．このよる．もし，何の収拾操作も行われなかった場合には，うな操作が見つかった場合には，エージェントは操

安全余裕時間は短くなる．これとは逆に，有効な操作を運転員に提示し，操作に対する承認を求める．

作の実行に成功した場合には，安全余裕時間は増加

系列として生成が可能な操作系列は多くあるが，

185

B. RCSからの除熱確保が十分でない

A. 炉心温度が
高すぎる
A
T
T
F
F

A
T
T
F
F

B P(C)
T 0.90F 0.95
T 0.70F 0.01

C. SFD「炉心からの除熱確保」を優先す
べきである
C
T
T
F
F

D
T
F
T
F

入力レイヤ

P(C)
0.50
0.60
0.70
0.01

B P(D)
T 0.50F 0.10T 0.99F 0.01

D. SFD「RCSからの除熱確保」を優先す
べきである

中間レイヤ

出力レイヤ
E. SFD「炉心反応度維持」を優先すべきである
図６

ベイジアンネットワークによる熟練者の知識表現

エージェントは，まず（SFD1），すなわち，炉心除適切に管理しながら事故収拾に適切な操作を導出し熱確保に関するものとして準備されている操作系列

た結果をインタフェースに提示することにより知的から評価を開始する．もし，（SFD1）について準備に運転員を支援している．

されている操作系列の全てが事故の収拾に効果がないという評価になった場合には，エージェントは，

4.3

メタモデルモード

第２章で述べた安全機能規定因子間の因果構造を参照しながら次に検討する安全機能規定因子を決定する．

エージェントが，SFDモードで用いられる定量的モデルが事故の進行により状況にそぐわないと判断

この次に検討する安全機能規定因子の決定には，した場合には，モードをメタモデルモードに変更す

熟練者の知識を表現したベイジアンネットワークをる．このモードでは，エージェントは定性的モデル用いて行う．ここでは，各安全機能規定因子に対応を用いた推論により，事故収拾に有効な操作をリスする5つのベイジアンネットワークが準備されていトアップすることによる支援を行う．メタモデルは，

る．ベイジアンネットワークの入力は，各安全機能「もし，RCSの冷却材の体積（VRCS）が増加したら，規定因子を構成する主なパラメータである．そして，

炉心温度（T）は低下する」というような定性的な出力は，その安全機能規定因子を次に検討する対象表現がされたルールによりモデル記述がなされていとする選択確率である．このベイジアンネットワー

る．また，各操作のプラントパラメータへの効果にクの例を図6に示す．

ついても，同様に「もし，操作が実行されたら，1

操作実行レイヤでは，操作の実行についての管理を行う．すなわち，生成された操作系列の実行確認

次冷却材ループの冷却材体積（VRCS）は増加する」，というように定性的な記述がされている．

と実行操作の完了確認について，このレイヤで行う

これらメタモデルと操作による効果の記述を用いことになる．本章で述べたように，提案するエージて推論を行うことにより，エージェントは炉心損傷ェントシステムは，インタフェースを通して自律的を防ぐことが可能であろうと思われる操作を抽出すにプラントや運転員等の環境を自律的に認知し，行る．そして，その操作をリストアップした結果を運動するものである．そしてエージェントは，資源を転員に参考として表示する．

186

エージェントによる意志決定プロセス

加工された情報

どの情報をはじめとするエージェントが保有する情OVERVIEW
Window

報について，インタフェースを通じて受けることができる．
（1）Overview ウィンドウ：Overviewウィンドウは，

WHY
Window

WHAT IFWindow

全ウィンドウのなかでも基本的な位置を占めるものである．エージェントは，生成した操作に関す

RESOURCE
Window

SFD
Window

る情報をこのウィンドウを通じて運転員に提示する．生成した操作系列の情報は，図3に示したような D-Ta 平面グラフ形式でウィンドウに表示さALL
Window

生情報れるので，運転員は，その操作系列による効果などについて容易に把握することができる．また運
転員は，提案された操作系列の実行の許可および

図７

インターフェースの画面構成

拒否について，このウィンドウを通じてエージェ
ントに伝達することができる．
（2）Why ウィンドウ，What If ウィンドウ：運転員

4.4

マクロモデルモード

は，WhyウィンドウとWhat Ifウィンドウを通じて，エージェントが行った操作生成に関する意思

このモードでは，エージェントは事故収拾に対し決定プロセスへの疑問を質問という形で問うことて有効な操作を抽出するという他モードのような支ができる．例えば，「なぜ，その操作を提案した

援形態をあきらめ，このモードにおけるエージェンのか？」，「この操作系列の効果については，どのトの役割は，プラント，とくに格納容器の状態に関ような評価になったのか？」というような内容にする情報を集約し，エージェントに提示する．例え関する回答をエージェントから得ることができ

ば，エージェントは格納容器中の水素ガス分布に関る．このような質問を通じたコミュニケーション

連する情報を提示する．

は，運転員とエージェントの相互理解に大変役立
つものである．
（3）SFD ウィンドウ：SFDウィンドウは，SFDとそ

5.

ヒューマン・マシンインタフェースの相互関係に関するCAIの役割を果たすウィンド
ウである．このウィンドウでは，各SFDに関する

ヒューマン・マシン協調型システムにおいては，適切なヒューマン・マシンインタフェースの開発が情報と相互関係に関する情報を運転員の要求に応じて提示することができる．

重要な意味を持つ．インタフェースを規定する要因（4）Resource ウィンドウ：Resourceウィンドウでは，のなかで，エージェントが自己の信号処理プロセス

操作の実行可能性と安全機器の利用可能性に関すを如何に明確な形で運転員に対して情報として提示る情報が提供される．例えば，各時点における実するか，すなわち透明性（transparency）の問題は，行可能な操作のリストや，その時点において実行

これまでも注目を集めてきた．ヒューマン・マシン

可能な操作が再び実行可能になるまでの推定時間システムの協調において，互いの信頼感は大変重要等の情報が提供される．これらの情報の全てはエな要素である．このような考え方をもとにして，6ージェントの内部で生成，あるいは管理されていつのウィンドウにより構成されるインタフェースをる情報である．

設計した．この画面構成を図7に示す．

（5）All ウィンドウ：Allウィンドウは，エージェン

ウィンドウの機能構成と階層構成は，エージェン

トが持つ各SFDに関する基本的な情報である，主トの情報処理流れに沿ったものになっている．運転

要パラメータ値，安全余裕時間，安全余裕距離な員は，プラントプロセスの状況や安全機器の状況などの情報が運転員に提供される．このウィンドウ

187から提供される情報により，エージェントが意思文献決定の下にしている内容を運転員も把握することができる．

（1）W.R.Corcoran et al., Critical Safety Functions.

運転員は，自分の見たいウィンドウのアイコンをク

Nuclear Technology, 55pp.690-712（1981）

リックすることにより，そのウィンドウへと移るこ（2）丹羽雄二，鷲尾隆, 原子力プラントにおける安とができる．

全機能の構造と定義,

INSS Journal, No.3,

pp.230-241（1996）（3）鷲尾隆,物理法則による外性駆動変数の導出,日結言

6.

本人工知能学会誌, vol.5, No.4pp.482-491（1990）（4）Y.Niwa, E. Hollnagel and M. Green, Guidelines for（2）

では，安全機能について従来よりも明確か

computerized presentation of emergency operating

つ客観的な記述を行うことを目的として定義した安procedures. Nuclear Engineering and Design, Vol.

全機能規定因子，SFDという概念を用いて，SFD間167, pp.114-127（1996）

前稿に存在する因果構造を因果推論を用いて導出した．

（5）T.B.Sheridan, Supervisory control：Problem,

その結果，このSFD間に存在する因果構造は大変複theory and experiment for application to human-

雑なことが判明した．従って本稿では，事故時におcomputer interaction in undersea remote systems.,

いて運転員がこれを理解した上で操作を行うことはDept. of Mechanical Engineering, MIT（1982）

大変困難であることを指摘し．この様な状況で運転（6）S.Russell and P. Norvig, Artificial Intelligence：A員を支援するものとして，炉心損傷を回避可能な操Modern Approach, Prentice Hall, New Jersey

作を自動的に生成するエージェント型事故自動収拾（1995）

システムの提案を行った．このエージェントシステ
ムは，エージェント自らが管理する資源（即ち，時間余裕，その状況に使用可能な安全機器）を鑑みながら意思決定を行うものであり，知的で自律的なシステムとして振る舞うことができる．
人間−機械の協調において，ヒューマン・マシン
インタフェースは重要である．従って，ヒューマン・マシンコラボレーションの協調形態やこれを活性化するヒューマン・マシンインタフェースの設計論についても議論した．意思決定プロセスをいかに判りやすく運転員に提示するかという問題は，ヒューマン・マシンインタフェースの設計において，非常に重要な要素であり，具体的なスクリーンイメー
ジの設計は，将来ここに提案した様な運転員の教育訓練を含めて今後の研究課題である．