188

PWR プラントのレベル−１ PSA ベンチマーク解析（ステップ２）―― 共通要因故障と人間信頼性解析 ――Benchmark Exercises on PWR Level-1 PSA (Step 2)— Analyses for Common Cause Failure and Human Reliability —丹羽雄二(Yuji Niwa)*

高橋

英明 (Hideaki Takahashi)†

要約 レベル１ PSA の各段階で行われる工学的知見に基づく仮定により，PSA の結果は統計量を使用することによる本来の数値的揺らぎにより不確定性を生ずる．この仮定による不確定性の把握を目的として，解析する標準問題，即ちベンチマーク問題を設定した．適用するデータベース
により，単一の安全系のアンアベイラビリティに大きな不確定性を生ずることを示した．本報告では，共通要因故障とヒューンエラーによる不確定性把握のために，既に設定したベンチマーク
問題に感度解析を行い，得られらた種々の知見について述べる．
キーワード

ベンチマーク，共通要因故障，ヒューマンエラー

Abstract
Several assumptions based on engineering judgement for various stages of level-1
PSA cause uncertainties in respect of statistical fluctuations. This problem, known as the 'benchmark
problem', has been analyzed to determine the uncertainties caused by these assumptions. It has beenconcluded that the database that was applied caused the considerable uncertainties of unavailability ofeven a single safety system. In this report, some conclusions are drawn concerning common cause
failure and human error analyses by applying sensitivity analyses to the benchmark problem.
Keywords

1.

benchmark, common cause failure, human error

ベンチマーク問題Ａに関する共通要因故障を考慮した解析（Ａ）米国 Generic Data（２）（Ｂ）米国 Surry プラントの PSA（NUREG ／ CR4550（３），信号系の故障は基本事象扱い）

1.1

機器の独立故障率に対する追加感度
解析

（Ｃ）米国

〃

4550，
（Ｂ）に対し信号系のモデルを詳細化）（Ｄ）米国

Step-1 で解析を行った単一安全系の機能喪失を炉
心損傷確率に大きな影響を持つ補助給水系に対して（NUREG ／ CR-〃（IPE（４））（Ｅ）米国 Sequoyah プラントの PSA（NUREG ／（５）

CR-4550､信号系の故障は基本事象扱い ）再度データを追加して解析を実施した．（１）本ベン（Ｆ）米国

チマーク問題で作成した蒸気発生器細管破損事故（Ｇ）米国 Millstone プラントの PSA（７）〃（IPE（６））（SGTR）を起因事象としたイベントツリーと問題Ａ， （Ｈ）米国 LER および IEEE（８）（９）Ｂ，Ｃで扱う部分を図１に，モデルの補助給水系の（Ｉ）米国〃（（H）に対し，DG の系統図を図２に再掲する．具体的な解析ケースは下記のとおりである．
*（株）原子力安全システム研究所†（株）三菱総合研究所

故障率を（Ｇ）での値に変更）（Ｊ）欧州 T-Book（10）

技術システム研究所

189

各ケースの解析において，まずシステムの使命時（ｇ）MGL 法（FRG（11））

間（６時間），各機器の点検周期（１ヶ月），およびヒ（ｈ）BFR 法（Millstone 3 PSA（７））適用故障ューマンエラー確率については同じ値を使用した．

モードを（ａ）と同じとしたケース

図３に共通要因故障を考慮しない場合の各ケースの（ｉ）BFR 法（Millstone 3 PSA（７））

解析結果を，図４にシステムのアンアベイラビリテ

表１にあげた機器以外にも冗長な機器の故障がィに対する機器故障率寄与度のプロフィールを示し

MCS（Minimal Cut Set）中に現れるが，共通要因故

た．機器故障率の寄与度 FV は，次の式で算出した障を考慮していないものとして，オリフィス，リレ値（Fussell-Vesely 重要度）を規格化したものである．

ー，ロジックモジュール，インバータの４種類の機R0R器が存在する．図５に（Ｃ）と（Ｇ）のケースに関する

FV

1

（1）

解析結果（平均値）を，それぞれ独立故障のみを考

但し，R0 ：当該機器の故障率を０とした場合の慮した結果との相対値として示した．図６には，アンアベイラビリティ，（Ｃ）と（Ｇ）のケースについてのシステムのアンアベ

R ：基本ケースでのシステムのアンアベイ
ラビリティ

イラビリティに対する機器故障率寄与度のプロフィールを示した．

図４において例えばモーター動補助給水ポンプと

1.3

ベンチマーク問題Ａの解析によって得られた知見1.3.1

機器の独立故障率や保守時のヒューマンエ

は，電動補助給水ポンプＡおよびＢについての各故
障モードの総和（起動失敗，運転失敗，待機除外の和であり，サポート系の故障は除く）をとったもの

ラーに対する感度解析から得られた知見

である．

1.2

共通要因故障に対する感度解析

次に上記のケースの中から（Ｃ）および（Ｇ）の２ケースをベースケースとして選択し，これらに対して

知見１：見かけ上同じような解析結果を示した場合
でも，各機器の寄与割合には有意な違いが存在し得る．
逆に各機器の寄与割合が比較的類似している場合

共通要因故障の取扱いに関する検討を行った．これでも，解析結果には大きな違いが存在し得る．

らをベースケースとして選択した理由は，システム

説明：ケース（Ａ）から（Ｅ）の解析結果は，一見類似のアンアベイラビリティ解析結果に２桁近い大きなした値を示した．しかし，MCS および各機器の寄差異があることから，共通要因故障の影響にも際だ

与度合には明らかに違いが見られる．これはそれぞった差異を生じ得るものであり，影響の範囲を検討

れのケースでは個々の主要な機器の故障率にはファするのに適当と判断したことによる．それぞれにつクター３の範囲内での差異があることによる．一方

いて以下の取扱いを行う解析ケースを設定した．各（Ｅ）と（Ｆ）は同じプラントを対象とした規制側と産ケースについて共通要因故障を考慮した機器と故障

業界側との違いを反映したものであるが，機器の故モードを表１に示した．

障寄与度のプロフィールが比較的一致して見えて（ａ）βファクター法（NUREG ／ CR-4550（３））（４）（ｂ）βファクター法（Surry IPE）適用故障

モードを（ａ）と同じとしたケース（４）（ｃ）βファクター法（Surry IPE）（ｄ）MGL 法（Sequoyah IPE（６））適用故障モードを（ａ）と同じとしたケース（６）（ｅ）MGL 法（Sequoyah IPE（11）（ｆ）MGL 法（FRG））適用故障モードを（ａ）と同じとしたケース

も，最終的な解析結果には約１桁の違いが生じている．
知見２：少数の機器のデータの変化であっても極めて大きな影響を持ち得ることに注意する必要がある．特に，使用する故障率データの中で機器間のバランスが大きく変化するような異種のデータソース
からの引用を図る場合には，注意が必要である．
説明：（Ｃ）と（Ｇ）のケースの差には，非常用 DG お
よびタービン動ポンプについての故障率の違いが大

190

原子炉
トリップ

高圧
注入

２次系
の冷却

破損SG
の隔離

１次系の
減圧

問題Ｂ

スプレ
注入

低圧
再循環

高圧
再循環

問題Ｃ

問題Ｃ

問題Ａ
ＳＧＴＲ
起因事象

図１

TO TANK1

M

TO TOP

CV14
CV4

XV1

MV11

M

M

MV9
MV12

NV5
MV1
CV7
M

MV10
M

TANK1

CV13

NV4

M

CV15

XV4

MV5

M

MV4

M

TANK2
MV6

ベンチマーク問題 A，B，C の範囲

SGA

S

CV1

S1 MDPA
MV2

M

M

XV5

01

MV7
S2

XV2

CV5

MV3
M

SGB

CV8
02
CV9

S

M

CV2

MDPB

MV8

NV1

S3

XV3

03

CV10

SGC

CV11

S

CV3

TDP
TO TANK1

図２

CV6

NV2

CV12
NV3

モデルとした補助給水系の系統図

スプレ
再循環

191

1.0E+00

1.0E−01

1.0E−02
アンアベイラビリティ（点推定値）
1.0E−03

1.0E−04①

Case‐A②

Case‐B③

Case‐C④

Case‐D⑤

Case‐E⑥

Case‐F⑦

Case‐G⑧

Case‐H⑨

Case‐I⑩

Case‐J

1.0E−05

1.0E−06
①

②

図３

図４

③

④

⑤

⑥

⑦

⑧

⑨

⑩

共通要因を考慮しない場合の解析結果

共通要因を考慮しない場合の機器故障率寄与度

192

表１

各ケースの共通因子を考慮した機器と故障モード

図５

共通因子を考慮した場合の解析結果

193

きく影響している．それぞれ，（ Ｃ）の方が約 15 倍，が異なる．
（Ｂ）から（Ｃ）へのモデルの変更によって２倍となっている．
（ Ｇ）のケースのデータのうち，結果の数値には大きな変化がない一方で，機器の故上記の２つの機器に関するデータのみを（Ｃ）のデー

障寄与度のプロフィールには有意な変化が生じていタに置き換えただけで，解析結果はほぼ一致したもる．これは，計装系のモデルを詳細化したケースでのとなる．（Ｅ）と（Ｆ）についても非常用 DG についは，比較的上位のカットセットにインバータの故障てのデータの違いの影響が大きい．更に特に顕著にや定電圧装置の故障といった電源系の機器の故障が現れた例として（Ｈ）と（Ｉ）がある．これらの２ケ現れていることによる．計装系（デジタル部分）はバ

ースでは非常用 DG の故障率のみが違うが，アンア

イタル電源を必要としていることから，このような

ベイラビリティ値は（Ｉ）の方が２桁小さい（（Ｈ）

カットセットが現れる．ケース（Ｃ）では他の PSA

では 0.2，（Ｉ）では 2.3E − 3）．故障寄与度のプロフ

でのデータと比べてインバータの故障率が２桁ほど

ィールにも大きな違いを生じている．

高い値を適用していることから，比較的寄与度が高

知見３：バランスのとれたジェネリックデータを活いものとなっている．

用することが重要である．

知見６：ポンプの定期試験時のヒューマンエラー

説明：ケース（Ａ）から（Ｆ）では，機器故障率寄与度（点検後の弁の復旧エラー）の影響は小さく，無視でのプロフィールにはそれほど顕著な違いは見られなきる程度である．

い．この理由として，それぞれの PSA でプラント

知見７：同じフォールトツリーモデルを用いても，固有の故障率データを使用する際に，ジェネリック

使用する故障率データによって「１つの安全系の機

データを事前分布としたベイズ処理を施しているこ

能喪失」の確率には２桁以上の差を生じ得る．これとがあげられるであろう．このことによりジェネリ

は，複数の安全系の機能喪失が重なる事故シーケン

ックデータから顕著な差は生じず，また異なった機スともなれば，更に大きな差を生じる可能性の存在

器の故障率の間のバランスもある程度保たれることを示唆している．

が期待される．
知見４：故障率と待機除外確率のバランスも重要である．ポンプや DG の待機除外確率が起動失敗確率

1.3.2

共通要因故障に対する感度解析から得られた知見と比べて著しく小さい場合には，解析結果に有意な

知見８：共通要因故障モデルによって生じる結果の変化をもたらし得る．また使命時間の違いも一般的差異を議論することは不可能であった．

に解析結果に有意な変化をもたらし得る．

説明：共通要因故障モデルには，MGL 法（βファク

説明：待機除外確率の影響については，10 種類のター法を含む），BFR 法の２モデルを適用したが，データベースの中で機器故障率に対する待機除外確モデルによってパラメータの意味するところが異な率の最も小さいデータ（起動失敗確率の 30 分の１程り，比較は困難であった．MGL 法とβファクター度）を適用したケースと，逆に最も大きいデータ法については，３重故障をどのように考慮するかよ（起動失敗確率と同程度）を適用したケースの間で比りも，どのような機器の故障モードまで共通要因故較を行った．この結果ファクター３の範囲での差異

障を考慮するかの違いの影響が大きい．

を生じた．使命時間の影響は機器故障率データに依

知見９：共通要因故障の影響の大きさは，機器の独存し，例えば，解析ケース（Ｇ）では運転失敗の故障

立な故障に関するデータによって極めて大きな影響

率が起動失敗確率に比べて小さいことから，影響はを受ける．

極めて小さい．一方解析ケース（Ｃ）ではファクター

説明：ベースケースの（Ｃ）と（Ｇ）では，寄与度が大２前後の変化が見られた．

きな機器のうち，非常用 DG 等のごく少数の機器に知見５：使用するデータによっては，系統間の依存

おいて，機器故障率に 15 〜 100 倍の違いがある．

性を正確に取り扱うことの重要性が大きく異なり得

このことが影響し，ベースケース（Ｇ）の場合には，る．

共通要因故障の寄与は極めて大きなものとなった．

説明：ケース（Ｂ）と（Ｃ）では，計装系の取扱いのみ

共通要因故障データ（考慮する故障モードの違いを

194含む）に対する感度も，ベースケース（Ｇ）の場合のク解析でも，多重のヒューマンエラーを含んだシー方が大きいが，これも独立な故障率値に対して依存

ケンスの解析を行う．このための問題Ｂは，蒸気発している．また機器故障寄与度のプロフィールにも生器の伝熱管破損を起因事象とする事故シーケンス

大きな違いが生じた．ベースケース（Ｃ）の場合には，のうち，破損 SG の隔離失敗および一次系の減圧失共通要因故障データが異なっていても，機器の故障

敗の２つのヒューマンエラーからなるシーケンスを寄与度のプロフィールには大きな変化は生じていな対象としたものである．こういった事故シーケンス

い．一方ベースケース（Ｇ）の場合には，使用する共ならびに事故時の対応は，国によって，また個々の通要因故障データによってプロフィールには有意なプラントの運用上の違いによって異なったものとな変化が生じた．

り得るものである．従って，国内の実状を反映した

知見１０：独立故障率の利用にあたって，使用するものではないことに注意する必要がある．本研究で故障率データの中で機器間のバランスが大きく変化

扱われるシーケンスはあくまで，アメリカ等での公するような異種のデータソースからの引用を図る場

開資料に基づき，標準的なものを設定したにすぎな

合には，注意が必要であることを記述した．この場

い．またイベントツリーでの表現方法によっても異合には更に，共通要因故障を考慮した解析結果の安なり，PSA によっては SGTR イベントツリーのヘデ

定性にも大きな影響を及ぼし得る．加えて独立故障

ィングに１つのヒューマンエラーが入る場合から５と共通要因故障のバランスの問題も重要なものとなつのヒューマンエラーが入る場合まで，様々な例がり，独立な故障率と共通要因故障パラメータのデーある．しかし，例えヘディングとして１つのヒュータのソースが異なったものである場合には，特に注

マンエラー事象としてしか表現されていない場合で意を要する．

も，その中にバップアップ操作を含んだ複数のヒュ知見１１：共通要因故障を考慮することにより，不ーマンエラーが関わる場合も存在する可能性がある

確定性幅が減少することもあり得る．

ことに注意する必要がある．

説明：独立故障のみを考慮した場合，ベースケース

一般的な小イベントツリーによる表現では，「破（Ｃ）と（Ｇ）の解析値の間には２桁以上の差が存在し損 SG の隔離」と「一次系の減圧」は，図１の太線

たが，この差は共通要因故障を考慮することにより，部分のように単純に２つのヘディングで表現され約１桁の差に縮まった．これはベースケース（Ｇ）

る．この２つのヘディングに対して代表的なヒューの場合には，共通要因故障の寄与度が 90 ％前後をマンファクター解析法である THERP 手法

占めることによる．すなわち，共通要因故障への依（Technique for Human Error Rate Prediction（12））と存性が極めて大きいことにより，見かけ上の差が小HCR 手法 （Human Cognitive Reliability Analysis（12））

さくなったものである．

の適用を図った．

知見１２：共通要因故障パラメータの不確定性は，破損蒸気発生器（以下，破損 SG と書く．）の隔離

解析結果に大きな影響を持たない．

に考慮する人的過誤とベースケースの解析条件は下

説明：モンテカルロ法による不確定性解析で，共通記のとおりである．

要因故障のパラメータに対するエラーファクターを− SGTR の認知失敗（診断エラー）

５とした場合と 10 とした場合の解析を行った．こ−破損 SG の同定失敗（診断エラー）

れらの間に有意な差は生じなかった．

−破損 SG の隔離（行動エラー）
診断と行動エラーを分けているのは，THERP 手法

2.

ベンチマーク問題Ｂに関する解析において診断エラーには時間−信頼性時間（TRC）

2.1

ベンチマーク問題Ｂの解析モデル

曲線を使用するからである．ベースケースの仮定は既に行われた Level-1 PSA ベンチマーク解析で− SGTR であることの同定および破損 SG の同

下記のとおりである．

は，ヒューマンエラーの取り扱いにより大きな不確定に関する許容診断時間は 30 分とする．

定性が生じたことが指摘されている．本ベンチマー(Surry PSA より）

195

とおりである．

− SGTR の事象認知については，良く訓練されている．従って，TRC 曲線の下限値を採用する．

−図５のツリーのケースの場合，主給水ポンプ，−破損 SG の同定に関しては，TRC 曲線のノミナ

補助給水ポンプの停止警報の発生を認識し，
30 分以内に１次系の減圧を実施する必要があ

ル値を採用する．

る．
（Surry PSA より）− HCR を使用する場合に必要なパラメータである平均応答時間は 10 分とする．

− HCR を使用する場合に必要なパラメータである平均応答時間は５分とする．

− HCR を使用する場合に必要なパラメータであ− HCR を使用する場合に必要なパラメータである認知のタイプはスキルベースとする．

る認知のタイプはルールベースとする．

−マンマシン・インターフェースの良否につい−診断エラーに対しては，TRC 曲線のノミナルては，普通（ディスプレー等は人間工学に基づ値を適用する．

いて設計されているが，情報の統合は運−その他は，破損 SG の隔離と同じ仮定条件を転員が実施しなければならない．
）である．

適用する．

−手順書（ロングリスト）は使用される．
−運転員は十分な経験レベルを持つ．

2.2−ストレスレベルは極めて高い．
−手順書の記載ミスはない．

ベースケースの解析結果

ベースケース解析の結果を表２に示す．THERP−診断後の操作タスクについては，Supervisor

手法と HCR 手法の結果の比較については，基礎とによる過誤の回復を考慮する．

なる考えが異なるので，単純な比較はできないが，−弁のスイッチに関する PSF は次のとおりであ

ベースケースの場合，比較的近い値を示している．

る．

これは，経験，手順書情報等に基づく仮定を十分検

２方向スイッチである．

討して行えば，どちらのモデルを採用しても結果にス テ レ オ タ イ プ（ 慣 習 と の 不 一 致 ）に よ大きな影響を与えないことを示唆している．

る侵害はない．

2.3

スイッチは機能別に配置されている．
−各タスクはステップバイステップタスクとす

感度解析

THERP，HCR 手法において結果に大きな影響をる．

及ぼすと考えられる因子について感度解析を実施し１次系の減圧操作については，基本的に加圧器逃がし弁を強制的に開放する操作である．

た例を示す．

減圧必要と認める認知エラーと行動エラーを考慮している．ベースケースの仮定は下記の

評価対象
評価手法
過誤の形態

破損 SG の隔離操作
THERP

HCR

THERP

HCR

（１）診断エラー

応答エラー（１）診断エラー

応答エラー（２）行動エラー（１）0.001

過誤確率

１次系の減圧操作（２）行動エラー
0.030（２）0.029
0.030

表２（１）0.100.027（２）0.013
0.030

ベースケースの解析結果

0.11

0.027

196

解析ケース

SGTR の認知失敗

ベースケースCase‐1

破損 SG の隔離操作失敗1.0 E − 4

1.0 E − 3

2.9 E − 2

3.0 E − 2−

1.0 E − 4−

2.9 E − 3

Case‐2−

1.0 E − 3

4.8 E − 3

5.8 E − 3

Case‐3−−

2.8 E − 3

3.8 E − 3

Case‐4−−

1.1 E − 1

1.1 E − 1

Case‐5−−

5.8 E − 2

5.9 E − 3

Case‐6−−

9.5 E − 2

9.6 E − 2

表3

「破損 SG の隔離」における THERP 手法の感度解析

ヘディング「破損 SG の隔離」に関する感

2.3.1

ヘディング
破損 SG 隔離失敗

破損 SG の同定失敗

（２）HCR 手法による解析の場合
上記の仮定をベースケースとして感度解析

度解析を実施した．その項目を記す．
（１）THERP 手法による解析の場合
Case‐1

Case‐7

破損 SG の同定失敗において，間を 5 分とした場合

TRC の「ノミナル値」から「下限Case‐8値」に変更
Case‐2

Case‐9「スイッチは機能別に配置されてCase‐10マンマシン・インタフェースの状態を貧弱とした場合置となっている」に変更

Case‐11Supervisor による過誤の回復を考

ストレスレベルを「若干高い」と
した場合

慮しない．
Case‐5

マンマシン・インタフェースの状態を良とした場合いる」から「ミミック化された配Case‐4

運転員がタスクの遂行に要する時間を 15 分とした場合

ストレスレベルを「極めて高い」
から「高い」に変更

Case‐3

運転員がタスクの遂行に要する時

Case‐12Supervisor による過誤の回復は考

認識処理のタイプをルールベースとした場合慮するが，「特に要請されたチェ

以上の結果を纏めたものを表４に示す．遂行時間のック」から「手順書を用いた肩ご

感度が大きくなるのは，HCR 手法の性質上，明らしのチェック」に変更
Case‐6

操作を「ステップバイステップ・

解析ケース

タスク」から「ダイナミック・タスク」に変更Case‐1 から Case‐3 は全体の過誤率を楽観的に変えるものであり，Case‐4 から Case‐6 は逆に保守的に変えるものである．表３に感度解析の結果を示す．表１のように，ストレスレベルとタブルチェッ
クの有無でかなりヘディングの値そのものが揺らぐことが判る．診断の余裕時間に関する感度解析は実施していないが，感度はかなり大きいものと予想される．

表４

破損 SG の隔離失敗確率

ベースケース

3.0 E− 2

Case‐7

1.6 E − 1

Case‐82.5 E − 1

Case‐9

1.3 E − 1

Case‐10

1.1 E − 1

Case‐11

1.3 E − 1

Case‐12

1.4 E − 1

「破損 SG の隔離」における HCR 手法の感
度解析

197

ヘディング
「１次系の減圧」
失敗確率

１次系の減圧の必要性の認知失敗

１次系の減圧失敗

ベースケース

1.0E− 1

1.3 E − 2

1.1 E − 1

Case‐1

1.0E − 2−

2.3 E − 2

Case‐2−

2.1 E − 3

1.0 E − 1

Case‐3−

1.2 E − 2

1.1 E − 1

解析ケース

Case‐4−

5.2 E − 2

1.5 E − 1

Case‐5−

2.6 E − 2

1.3 E − 1

Case‐6−

5.6 E − 2

1.6 E − 1

表５

「１次系の減圧」における THERP 手法の感度解析

かであるが，運転操作の難しさやマンマシン・イン

解析ケース

ターフェースの良否で結果が３倍程度になることにベースケース

3.5 E − 2

Case‐7

1.1 E − 1

Case‐86.0 E − 1

Case‐91.6 E − 1

Case‐10

5.0 E − 1

注意しよう．

2.3.2

ヘディング「１次系の減圧」に関する感度
解析（１）THERP 手法による解析の場合
許容診断時間を 10 分とした場合の Case‐1

破損 SG の隔離失敗確率

Case‐11

2.8 E − 1

Case‐12

3.9 E − 1

から Case‐6 の感度解析を実施した結果を表５に示す．「１次系の減圧操作」自体の操作タ
スクが簡単なことから，不確定性幅は比較的

表６「１次系の減圧」における HCR 手法の感度
解析

せまいものになっている．
（２）HCR 手法による解析の場合「破損 SG の隔離」の感度解析項目と同じ

ヘディングをより詳細に解析するために，OAT

ものを実施するが，ベースケースの平均応答（Operator Action Tree）を作成し，この問題点につ時間が異なるため，Case‐7 については，３

いての解決を図ることとした．OAT の分岐要素は

分 （Case‐7'と書く），Case‐8（Case‐8'と書下記のとおりである．下記の項目中，「●」印は要く）については，10 分で解析している．結果求される人間の行動を表し，「○」印はハードウェを表６に示す．時間の因子が最も影響が大きア故障を表している．

いが，タスクが簡単なため，それ程の値の大● SGTR の認知

きさの差異がないのは，THERP 手法による感●破損 SG の同定

度解析と同様である．

2.4

考慮されていないことである．そこで，この２つの詳細イベントツリーによる解析

通常のシーケンス評価では，「破損 SG の隔離」と「１次系の減圧」の値を乗ずることになるが，２つの更に詳細に考察すべき点が残る．１つは，各ヘディングの間の依存性の考慮が不十分なこと，もう一方は，操作されるべき機器のハードウェア故障が−多くの場合，「給水」と「蒸気」流量のミスマッチにより破損 SG を同定○タービンバイパス弁，主蒸気逃がし弁，主給水制
御弁の自動再閉止−ハードウェアのインタロックによる自動動作である．
●自動再閉止失敗時の手動バックアップ−主蒸気逃がし弁自動再閉止失敗後の手動閉止

198

図６

共通要因を考慮した場合の機器故障率寄与度

操作−タービンバイパス弁自動再閉止失敗後の主蒸
気隔離操作−給水制御弁自動閉止失敗後の手動閉止（主給水隔離弁の自動動作は期待していない．）○上記のバックアップ操作の弁の正常動作−弁体脱落等のハードウェア故障を考慮する．
●破損 SG の補助給水との隔離操作−電動補助給水ポンプ出口電動弁と補助給水流量調整弁の閉止操作○補助給水隔離関連の弁の正常動作−弁体脱落等のハードウェア故障を考慮する．
●ハードウェア故障の認知状態

B 隔離すべき弁が故障により閉止しなかったが，閉止の確認をしなかったため，状況の正確な判断ができていない．
C 破損 SG 隔離操作上のエラー（行動エラー）により，隔離されなかった．
D 破損 SG の同定に失敗した．
OAT のハードウェア故障率については，アメリカの Generic の値を採用し，サポート系故障の影響も近似的に考慮した．また，共通要因故障については，
βファクターモデルを採用した．解析した OAT の中でのドミナントなシーケンスの上位３シーケンスの内容は次のようになる．これは，全体の 20 ％程度になる．

−隔離すべき弁でハードウェア故障があった場

１． シーケンス 7（図６の判定項目を記したシーケ

合，そのことが表示灯等により，すぐに判る

ンスの上から数えて７番目のシーケンスを表場合と，プラントパラメータから判断しなけ

す．）

ればならない場合を考慮する．

− SGTR の認知，破損 SG の同定には成功し，破●１次系の減圧

損 SG の隔離操作も実施したが，弁の動作不良○加圧器逃がし弁の正常動作によって隔離に失敗した．更にこの状態認知

以上の分岐をイベントツリーに展開した OAT をを種々のパラメータから判断する必要があり，

図７に示す．この中で，枝中に付されたアルファベ

許容時間内に 1 次系の減圧操作することに失敗ットの意味は判断状況により分類したものである．
A 隔離すべき弁が故障により閉止しなかったが，閉止していないことが表示灯で確認された．

した．
２． シーケンス 20− SGTR の認知，破損 SG の同定には成功し，タ

199

SGTR
の認知

破損SG TBバイパス弁 自動閉止 バックアップ 破損SGのの同定 大気放出弁 失敗した 弁の正常 隔離操作
給水制御弁 弁のバック動作の自動閉止 アップ

隔離弁の
正常動作

HW故障の
認知状態

１次系
の
減圧

加圧器逃がし弁の正常動作

Success
SuccessA

SuccessB

シーケンス７

SuccessC
Success
SuccessA

Success

B
SuccessC

シーケンス20

SuccessA
Success

B
SuccessC

シーケンス29

Success

D

図７「破損SGの隔離」，「１次系の減圧」に関する詳細OAT

破損 SG の隔離
P iso

THERP

OAT

１次系の減圧
P dp

0.03

Case‐130.014

Case‐13

4.2 E − 4

Case‐140.023

Case‐14

6.9 E − 4

Case‐15

0.11

Case‐15

3.3 E − 3

Case‐160.5

Case‐16

1.5 E − 2

−

−

表7

シーケンス確率3.3 E − 3

依存性の評価ービンバイパス弁に自動で閉止できないもの

このバックアップ操作に失敗し，プラントパがあったので，手動バックアップを実施した．

ラメータが予期しない状況になった．１次系の減圧を試みたが，これに失敗した．

その後，ヒューマンエラーにより破損 SG の隔離に失敗した．この結果，プラントパラメー

以上のように，表示灯がなかったり，故障していタが期待どおりの挙動を示さず，１次系の減たりして，事故収束に係わる弁の状態が判らず，パ圧を実施する必要があったが，これにも失敗

ラメトリックに事故収束を行わなければならない場

した．

合，SGTR 事故収束に失敗する確率が大きくなるこ

3． シーケンス 29− SGTR の認知，破損 SG の同定には成功し，タービンバイパス弁に自動で閉止できないものがあったので，手動バックアップを実施した．

とは，ユーザーの直感と相違はないものと思われる．

2.5

依存性の解析について

OAT の解析結果と従来のイベントツリー解析の

200

結果を比較することにより，ヘディング「破損 SG要とされる情報には違いがあり，またその情報に対の隔離」と「１次系の減圧」の依存性をどの程度考する解析結果の感度にも大きな違いがある．

慮すればよいかの知見が得られる可能性がある．下

知見１４： THERP による行動エラーの評価において記の３ケースと OAT の解析結果に比較を実施したは，特に次の取扱いの影響が大きい．

例を表７に示す．

１． ストレスレベル

Case‐13

完全に２つのヘディングが独立と

２． タスクの難易度（ステップバイステップタスク

した場合．この場合は単純に各ヘCase‐14Case‐15

Case‐16かダイナミックタスクか）ディングの失敗確率の乗算とな

３． エラーの回復（Supervisor 等による回復の効果）

る．

これらの扱いにより，単独の要素によりファクター

破損 SG の隔離に失敗した後に１５程度の差異を生じ得る．

次系の減圧の必要性を判断するも知見１５：単一の事故シーケンス中に複数のヒューのとし，１次系減圧のための許容

マンエラーが存在する場合は，それらの間の依存性

診断時間に 10 分を仮定する．

をどのように仮定するかで，シーケンスの解析結果

何らかの従属性を認め，これをには大きな差異が生じ得る．

Case‐13 で得られた１次系減圧失知見１６：詳細なイベントツリーを構築することに敗確率の下限値を使用する．

より，状況の進展や必要な判断，およびヒューマン

２つのヘディングの間に依存性をエラーとして考慮している範囲が分かりやすく表示

認め，THERP での取り扱い式をされ，従来のイベントツリーと比べて理解しやすい．

適用する．例えば高い従属性（HD）

またエラーの原因も検討しやすく，これによりヒュがあるものと仮定すると，下記のーマンエラー間の依存性の問題も考えやすい．

評価式が適用できる．

まとめと今後の予定

3.

P

Piso

1 + Pdp2（2）

共通要因やヒューマン・ファクターの取り扱いの相違により PSA の結果に不確定性が生ずることは，

但し，Piso は破損 SG の失敗確率を表し ，

従来指摘されていたが，本報告で，大きな不確定性

Pdp は１次系減圧失敗の確率を表す．

が生ずることを改めて指摘した．但し，専門家が適本ケースの場合，破損 SG の隔離に失敗したという切な仮定を行えば，たとえ適用されるモデルが異な条件での１次系の減圧の失敗確率は 0.5 となる．

っても，大きな差異を生じないことから，PSA に表６を見ても判るとおり，本ケーススタディにおいおける運転や保守の専門家の参加の必要性が推奨さて，両者のヘディング間の依存性はあるものの，それる．Step-1，Step-2 とも単一または２つのヘディの依存性は低いと結論することができる．但し，ングの感度解析を実施したにすぎず，今後はシーケ

OAT 自身の感度解析，特にハードウェアの影響解

ンスにおける影響評価を実施し，より PSA の結果析を実施していないこと，あるいは，例えば実際のの不確定性の把握に近づけていくことが肝要であ

国内のプラントの事故時手順書の実体を反映したもる．更に OAT の詳細解析と感度解析も含めて実施のではないことから，国内の結果について，参考とし，今後，本ベンチマーク問題の結論を得る予定でなるものではないことに注意する必要がある．

ある．

2.6

ベンチマーク問題Ｂから得られた知見

参考文献（１） 丹羽雄二高橋英明，PWR プラントのレベ

知見１３： THERP も HCR もそれぞれ異なった特徴

ル−１ PSA ベンチマーク解析（ベンチマークをもった評価手法であることから，評価のために必問題設定），INSS Journal No1, 1994

201（２） S.A.Eida and M.B.Cally, "Generic Component
Failure Data Base" PSA'93, 1993
（３） R.C.Bertucio and J.A.Julius, "Analysis of Core
Damage Frequency，Surry Unit 1 Internal
Events" NUREG ／ CR-4550 Vol.3, Rev.1, Part1, 1990（４） Virginia Electric Power Company,"Probabilistic Risk Assessment for the
Individual Plant Examination Final Report
Surry Unit 1 and 2", 1991
（５） R.C.Bertucio and S.R.Brown, "Analysis of Core
Damage Frequency，Sequoyah, Unit 1 Internal
Events" NUREG ／ CR-4550 Vol.5, Rev.1, Part1, 1990（６） TVA, "Sequoyah Nuclear Plant Unit 1
Probabilisitic Risk Assessment Individual Plant
Examination" , 1992
（７） Northeast Nuclear Energy Company, "Millstone
Unit 3 Probabilistic Safety Study", 1983
（８） Data Summaries of Licensee Event Reports at
U.S. Nuclear Power Plants.
１．Diesel Generators，NUREG ／ CR-1362,
1980

２．Pumps，NUREG ／ CR-1205, 1982
３．Valves，NUREG ／ CR-1363, 1982
４．Selected Instrumentation and Control
Components，NUREG ／ CR-1740, 1984（９） "IEEE Guide to the Collection and Presentationof Electrical, Elecronic, Sensing Component,
and Mechanical Equipment Reliability Data for
Nuclear-Power Generating Stations" IEEE Std
500-1984（10） "T-book 3rd edition, Reliability Data of
Components in Nordic Nuclear Power Plants"
The ATV Office, 1992
（11） A.Poucet

A.Amendra

P.C.Cacciabue, "CCF-

RBE Common Cause Failure Reliability
Benchmark Excercise" EUR 11054 EN, 1987（12） A.D.Swain and H.E. Guttman, "Handbook of
Human Reliability Analysis with Emphasis on
Nuclear Power Plant Applications", NUREG ／CR-1278, 1983（13） G.W.Hannaman, A.J. Spurigin and Y.D.Lubik,"Human Cognitive Reliability Model for PSA
Analysis", NUS Corporation, 1984