東海第二発電所

安全保護回路本資料のうち，は商業機密又は核物質防護上の観点から公開できません。

第 24 条安全保護回路

＜目

次＞

1.

基本方針

1.1

要求事項の整理

1.2

追加要求事項に対する適合性(1)

位置，構造及び設備(2)

安全設計方針

(3)

適合性説明

1.3

気象等

1.4

設備等（手順等含む）

2.

安全保護回路2.1

安全保護回路の不正アクセス行為防止のための措置について

2.2

安全保護回路の概要

2.3

安全保護回路の物理的分離対策

2.4

外部からの不正アクセス行為防止について

2.5

想定脅威に対する対策について

2.6

物理的分離及び電気的分離について
別紙 1

安全保護回路について，承認されていない動作や変更を防ぐ設
計方針

別紙 2

今回の設置許可申請に関し，安全保護回路に変更を施している
場合の基準適合性

別紙 3

安全保護回路の不正アクセス行為等の防止対策

別紙 4

ソフトウェア更新時の立会における，インサイダー等に対する

セキュリティ対策
別紙 5

安全保護回路のうちデジタル部分のシステムへ接続可能なアクセスについて別紙 6

安全保護回路のうちデジタル部分について，システム設計と実際のデバイスが具備している機能との差（未使用機能等）による
影響の有無

別紙 7

安全保護系の過去のトラブル（落雷によるスクラム動作事象
等）の反映事項

3.

運用，手順説明資料（別添資料）安全保護回路

＜概

要＞

1.において，設計基準事故対処設備の設置許可基準規則，技術基準規則の追加要求事項を明確化するとともに，それら要求に対する東海第二発電所における適合性を示す。

2.において，設計基準事故対処設備について，追加要求事項に適合するために必要となる機能を達成するための設備又は運用等について説明する。

3.において，追加要求事項に適合するための運用，手順等を抽出し，必要となる対策等を整理する。

1.

基本方針

1.1

要求事項の整理
安全保護回路について，設置許可基準規則第 24 条及び技術基準規則第 35条において，追加要求事項を明確化する。（第 1.1 表）

24 条 - 1

1

24 条 - 2

2

設計基準事故が発生する場合において，その異常な状態を検知し，原子炉停止系統及び工学的安全施設を自動的に作動させるものとすること。

安全保護回路を構成する機械若しくは器具又はチャンネルは，単一故障が起きた場合又は使用状態からの単一の取り外しを行った場合において，安全保護機能を失わないよう，多重性を確保するものとすること。

安全保護回路を構成するチャンネルは，それぞれ互いに分離し，それぞれのチャンネル間において安全保護機能を失わないように独立性を確保するものとする
こと。

三

四

運転時の異常な過渡変化が発生する場合において，その異常な状態を検知し，及び原子炉停止系統その他
系統と併せて機能することにより，燃料要素の許容損
傷限界を超えないようにできるものとすること。

二

一

要求事項

系統を構成する機械若しくは器具又はチャンネル
は，単一故障が起きた場合又は使用状態からの単一の取り外しを行った場合において，安全保護機能を失わないよう，多重性を確保すること。
系統を構成するチャンネルは，それぞれ互いに分離
し，それぞれのチャンネル間において安全保護機能を失わないように独立性を確保すること。

三―

運転時の異常な過渡変化が発生する場合又は地震の発生により発電用原子炉の運転に支障が生じる場合において，原子炉停止系統その他系統と併せて機能する
ことにより，燃料要素の許容損傷限界を超えないようにできるものであること。

二一

技術基準規則第 35 条（安全保護装置）
発電用原子炉施設には，安全保護装置を次に定めるところにより施設しなければならない。

設置許可基準規則第 24 条及び技術基準規則第 35 条

設置許可基準規則
第 24 条（安全保護回路）
発電用原子炉施設には，次に掲げるところにより，安全保護回路（安全施設に属するものに限る。以下この条において同じ。）を設けなければならない。

第 1.1 表

変更なし

変更なし

変更なし

変更なし

変更なし

備

考

24 条 – 33

計測制御系統施設の一部を安全保護回路と共用する
場合には，その安全保護機能を失わないよう，計測制
御系統施設から機能的に分離されたものとすること。

七

―

―

五

不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができるものと
すること。

六

計測制御系の一部を安全保護装置と共用する場合には，その安全保護機能を失わないよう，計測制御系か
ら機能的に分離されたものであること。
発電用原子炉の運転中に，その能力を確認するための必要な試験ができるものであること。
運転条件に応じて作動設定値を変更できるものであ
ること。

六

七

八

不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止するために必要な措置が講じられているものであること。

技術基準規則第 35 条（安全保護装置）
四 駆動源の喪失，系統の遮断その他の不利な状況が生じた場合においても，発電用原子炉施設をより安全な状態に移行するか，又は当該状態を維持することにより，発電用原子炉施設の安全上支障がない状態を維持できること。

設置許可基準規則
第 24 条（安全保護回路）
五 駆動源の喪失，系統の遮断その他の不利な状況が発生した場合においても，発電用原子炉施設をより安全な状態に移行するか，又は当該状態を維持することにより，発電用原子炉施設の安全上支障がない状態を維持できるものとすること。
考

変更なし

変更なし

変更なし

追加要求事項

変更なし

備

1.2.

追加要求事項に対する適合性(1)

位置，構造及び設備

ロ

発電用原子炉施設の一般構造(3)

その他の主要な構造(ⅰ)

本原子炉施設は，(1)耐震構造，(2)耐津波構造に加え，以下の基本的方針のもとに安全設計を行う。
ａ．設計基準対象施設(s)

安全保護回路安全保護回路は，運転時の異常な過渡変化が発生する場合において，その異常な状態を検知し及び原子炉緊急停止系その他系統と併せて機能することにより，燃料要素の許容損傷限界を超えないようにできるものとするとともに，設計基準事故が発生する場合において，その異常な状態を検知し，原子炉緊急停止系及び工学的安全施設を自動的に作動させる設計とする。
安全保護回路を構成する機械若しくは器具又はチャンネルは，単一故障が起きた場合又は使用状態からの単一の取り外しを行った場合において，安全保護機能を失わないよう，多重性を確保する設計とする。
安全保護回路を構成するチャンネルは，それぞれ互いに分離し，それぞれのチャンネル間において安全保護機能を失わないよう独立性を確保する設計とする。
駆動源の喪失，系統の遮断その他の不利な状況が発生した場合においても，発電用原子炉施設をより安全な状態に移行するか，又は当該状態を維持することにより，発電用原子炉施設の安全上支障がない状態を維持できる設計とする。
安全保護回路のうち，一部デジタル演算処理を行っている機器は，不24 条－44

正アクセス行為に対する安全保護回路の物理的分離及び機能的分離を行うとともに，ソフトウェアは設計，製作，試験及び変更管理の各段階で検証と妥当性の確認を適切に行うことで，不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができる設計とする。
【説明資料（2.1：P24 条-32,33）（2.2：P24 条-34）（2.3：P24 条35）（2.4：P24 条-36）（2.5：P24 条-37）（2.6：P24-37,38）】
計測制御系統施設の一部を安全保護回路と共用する場合には，その安全機能を失わないよう，計測制御系統施設から機能的に分離した設計とする。

ヘ

計測制御系統施設の構造及び設備
原子炉の適切かつ安全な運転のため，中性子束を測定する炉内核計装設備と水位，圧力，再循環流量等を測定する計装設備，安全保護回路及び制御設備が設けられる。また，通常運転中の原子炉圧力を一定に保つために，圧力制御装置が設けられる。
原子炉の出力制御は，再循環流量の調整及び制御棒位置の調整の 2 方式により行われる。

(1)計

装（ⅰ）核計装の種類
中性子束は以下のように 2 つの領域に分けて原子炉内で計測する。
起動領域：固定型計数方式及び8 チャンネルキャンベル方式計装
出力領域：固定型直流方式計装172 チャンネル

（ⅱ）その他の主要な計装の種類
24 条－55

原子炉水位，原子炉圧力，再循環流量，給水流量，蒸気流量，制御棒
位置，制御棒駆動用冷却材圧力などの計装装置が設けられる。
(2)

安全保護回路安全保護回路（安全保護系）は，「原子炉停止回路（原子炉緊急停止系
作動回路）」及び「その他の主要な安全保護回路（工学的安全施設作動回路）」で構成する。
安全保護回路は，不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止する設計とする。
【説明資料（2.1：P24条-32,33）（2.2：P24条-34）（2.3：P24条-35）（2.4：P24条-36）（2.5：P24条-37）（2.6：P24-37,38）】(ⅰ)

原子炉停止回路の種類
原子炉停止回路（原子炉緊急停止系作動回路）は，次に示す条件により原子炉をスクラムさせるため，2つの独立のチャンネルが設けられ，これらの同時動作によって原子炉をスクラムさせる。
ａ．原子炉圧力高ｂ．原子炉水位低
ｃ．ドライウェル圧力高ｄ．原子炉出力ペリオド短（起動領域計装）
ｅ．中性子束高（起動及び平均出力領域計装）
ｆ．中性子束指示低（平均出力領域計装）
ｇ．中性子計装動作不能（起動及び平均出力領域計装）
ｈ．スクラム・ディスチャージ・ボリューム水位高ｉ．主蒸気隔離弁閉
ｊ．主蒸気管放射能高24 条－66

ｋ．主蒸気止め弁閉
ｌ．蒸気加減弁急速閉（ＥＨＣ油圧低）ｍ．地震加速度大ｎ．原子炉モード・スイッチ「停止」の位置
ｏ．手動

なお，原子炉緊急停止系作動回路の電源喪失の場合にも原子炉はスク
ラムする。
(ⅱ)

その他の主要な安全保護回路の種類
その他の主要な安全保護回路（工学的安全施設作動回路）には，次のものを設ける。
ａ．原子炉水位異常低下，主蒸気管放射能高，主蒸気管圧力低，主蒸
気管流量大，主蒸気管トンネル温度高，復水器真空度低のいずれかの信号による主蒸気隔離弁の閉鎖
ｂ．ドライウェル圧力高，原子炉水位低，原子炉建屋放射能高のいず
れかの信号による原子炉建屋常用換気系の閉鎖と原子炉建屋ガス処
理系の起動
ｃ．原子炉水位異常低下又はドライウェル圧力高の信号による高圧炉
心スプレイ系，低圧炉心スプレイ系及び低圧注水系の起動
ｄ．原子炉水位異常低下及びドライウェル圧力高の同時信号による自動減圧系の作動ｅ．原子炉水位異常低下又はドライウェル圧力高の信号による非常用
ディーゼル発電機の起動
ｆ．原子炉水位低，原子炉水位異常低下，ドライウェル圧力高のいず
れかの信号による主蒸気隔離弁以外の隔離弁の閉鎖
また，その他保護動作としては次のようなものがある。
24 条－77

ａ．原子炉水位異常低下信号による原子炉隔離時冷却系の起動(2)

安全設計方針1.1.5

安全保護系の基本方針

反応度制御系（制御棒）および工学的安全施設の作動を開始させるための安全保護系は，多重性と独立性を有する設計とし，実際に起こると考えられる，いかなる単一故障によってもその安全保護機能が妨げられないような設計とする。また，安全保護系は系の遮断，駆動源の喪失等においても安全上許容される状態（フェイル・セイフ又はフェイル・アズ・イズ）になるよう設計する。
安全保護系については，不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止する設計とする。
【説明資料（2.1：P24 条-32,33）（2.2：P24 条-34）（2.3：P24 条35）（2.4：P24 条-36）（2.5：P24 条-37）（2.6：P24-37,38）】

24 条－8

8

(3)

適合性説明

（安全保護回路）
第二十四条

発電用原子炉施設には、次に掲げるところにより、安全保護回路（安全施設に属するものに限る。以下この条において同じ。）を設けなければならない。
一

運転時の異常な過渡変化が発生する場合において、その異常な状態を検知し、及び原子炉停止系統その他系統と併せて機能することにより、燃料要素の許容損傷限界を超えないようにできるものとすること。

二

設計基準事故が発生する場合において、その異常な状態を検知し、原子炉停止系統及び工学的安全施設を自動的に作動させるものとすること。

三

安全保護回路を構成する機械若しくは器具又はチャンネルは、単一故障が起きた場合又は使用状態からの単一の取り外しを行った場合において、安全保護機能を失わないよう、多重性を確保するものとすること。

四

安全保護回路を構成するチャンネルは、それぞれ互いに分離し、それぞれのチャンネル間において安全保護機能を失わないように独立性を確保するものとすること。

五

駆動源の喪失、系統の遮断その他の不利な状況が発生した場合においても、発電用原子炉施設をより安全な状態に移行するか、又は当該状態を維持することにより、発電用原子炉施設の安全上支障がない状態を維持できるものとすること。

六

不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず、又は使用目的に反する動作をさせる行為による被害を防止することができるものとすること。

24 条－99七

計測制御系統施設の一部を安全保護回路と共用する場合には、その安全保護機能を失わないよう、計測制御系統施設から機能的に分離されたものとすること。

適合のための設計方針
第１項第１号について(1)

安全保護系は，運転時の異常な過渡変化時に，中性子束及び原子炉圧力等の変化を検出し，原子炉緊急停止系を含む適切な系統の作動を自動的に開始させ，燃料要素の許容損傷限界を超えることがない設計とする。

(2)

安全保護系は，偶発的な制御棒引抜きのような原子炉停止系のいかなる単一誤動作に起因する異常な反応度印加が生じた場合でも，燃料要素の許容損傷限界を超えないよう，中性子束高スクラム及び原子炉出力ペリオド短スクラムにより原子炉を停止できる設計とする。

第１項第２号について
安全保護系は，設計基準事故時に異常状態を検知し，原子炉緊急停止系を自動的に作動させる。また自動的に主蒸気隔離弁の閉鎖，非常用炉心冷却系の起動，原子炉建屋ガス処理系の起動を行わせる等の保護機能を有する設計
とする。
(1)

発電用原子炉は，下記の条件の場合にスクラムする。
ａ．原子炉圧力高ｂ．原子炉水位低
ｃ．ドライウェル圧力高ｄ．原子炉出力ペリオド短（起動領域計装）
24 条－1010ｅ．中性子束高（起動及び平均出力領域計装）
ｆ．中性子束指示低（平均出力領域計装）
ｇ．中性子計装動作不能（起動及び平均出力領域計装）
ｈ．スクラム・ディスチャージ・ボリューム水位高ｉ．主蒸気隔離弁閉
ｊ．主蒸気管放射能高ｋ．主蒸気止め弁閉
ｌ．蒸気加減弁急速閉（ＥＨＣ油圧低）ｍ．地震加速度大ｎ．原子炉モード・スイッチ「停止」の位置
ｏ．手
(2)

動

その他主要な安全保護系（工学的安全施設作動回路）には，次のようなものを設ける設計とする。
ａ．原子炉水位異常低下，主蒸気管放射能高，主蒸気管圧力低，主蒸気管
流量大，主蒸気管トンネル温度高，復水器真空度低のいずれかの信号による主蒸気隔離弁の閉鎖
ｂ．ドライウェル圧力高，原子炉水位低，原子炉建屋放射能高のいずれかの信号による原子炉建屋常用換気系の閉鎖と原子炉建屋ガス処理系の起動
ｃ．原子炉水位異常低下又はドライウェル圧力高の信号による高圧炉心ス
プレイ系，低圧炉心スプレイ系及び低圧注水系の起動
ｄ．原子炉水位異常低下及びドライウェル圧力高の同時信号による自動減圧系の作動
ｅ．原子炉水位異常低下又はドライウェル圧力高の信号による非常用ディーゼル発電機の起動
24 条－1111

ｆ．原子炉水位低，原子炉水位異常低下，ドライウェル圧力高のいずれかの信号による主蒸気隔離弁以外の隔離弁の閉鎖
また，その他保護動作としては次のようなものがある。
ａ．原子炉水位異常低下信号による原子炉隔離時冷却系の起動

第１項第３号について
安全保護系は，十分に信頼性のある少なくとも2チャンネルの保護回路で構成し，機器又はチャンネルの単一故障が起きた場合，又は使用状態からの単一の取り外しを行った場合においても，安全保護機能を失わないように，多重性を備えた設計とする。
具体例は下記のとおりである。
(1)

原子炉緊急停止系作動回路は，検出器，トリップ接点，論理回路，主トリップ継電器等で構成し，基本的に二重の「1 out of 2」方式とする。
安全保護機能を維持するため，原子炉緊急停止系作動回路は，運転中すべて励磁状態であり，電源の喪失，継電器の断線及び検出器を取り外した
場合，回路が無励磁状態で，チャンネル・トリップになるようにする。
したがって，これらの単一故障が起きた場合，又は使用状態からの単一の取外しを行った場合においても，その安全保護機能を維持できる。
核計装系は，安全保護回路として必要な最小チャンネル数よりも一つ以
上多いチャンネルを持ち，運転中でもバイパスして保守，調整及び校正できる。
したがって，これが故障の場合，故障チャンネルはバイパスし，残りのチャンネルにより安全保護回路の機能が維持できる。

(2)

工学的安全施設を作動させるチャンネル（検出器を含む）は，多重性
24 条－1212

をもった構成とする。
したがって，これらの単一故障，使用状態からの単一の取外しを行った
場合においても，その安全保護機能を維持できる。

第１項第４号について
安全保護系は，その系統を構成するチャンネル相互が分離され，また計測制御系からも原則として分離し，独立性を持つ設計とする。
具体例は下記のとおりである。
(1)

原子炉格納容器を貫通する計装配管は，物理的に独立した貫通部を有する2系列を設ける。

(2)

検出器からのケーブル及び電源ケーブルは，独立に中央制御室の各盤に導く。各トリップチャンネルの論理回路は，盤内で独立して設ける。

(3)

原子炉緊急停止系作動回路の電源は，分離・独立した母線から供給する。

第１項第５号について
安全保護系の駆動源として電源あるいは計器用空気を使用する。この系統に使用する弁等は，フェイル・セイフの設計とするか，又は故障と同時に現状維持（フェイル・アズ・イズ）になるようにし，この現状維持の場合でも多重化された他の回路によって保護動作を行うことができる設計とする。
フェイル・セイフとなる主要なものは以下のとおりである。
(1)

電源喪失
ａ．スクラムｂ．主蒸気隔離弁閉ｃ．格納容器ベント弁閉24 条－1313

(2)計器用空気喪失
ａ．スクラムｂ．格納容器ベント弁閉
また，主蒸気隔離弁以外の工学的安全施設を作動させる安全保護系の場

合，駆動源である電源の喪失時には，系統を現状維持とする設計とする。
系統の遮断やその他，火災，浸水等不利な状況が発生した場合でも，この工学的安全施設作動回路及び工学的安全施設自体が多重性，独立性を持つことで発電用原子炉施設を十分に安全な状態に導くよう設計する。

第１項第６号について
安全保護系のうち，一部デジタル演算処理を行っている機器は，これが収納された盤の施錠等により，ハードウェアを直接接続させない措置を実施することで物理的に分離するとともに，外部ネットワークへのデータ伝送の必要がある場合は，防護装置（片方向のみの通信を許可する装置）を介して安全保護回路の信号を一方向（送信機能のみ）通信に制限することで機能的に分離するとともに，固有のプログラム言語の使用による一般的なコンピュー
タウイルスが動作しない環境等によりウイルス等の侵入を防止することでソフトウェアの内部管理の強化を図り，外部からの不正アクセスを防止する設計とする。
ソフトウェアは設計，製作，試験及び変更管理の各段階で検証と妥当性の確認を適切に行うことで，不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止する設計とする。
また，発電所での出入管理による物理的アクセスの制限により不正な変更等による承認されていない動作や変更を防止する設計とする。
24 条－1414

【説明資料（2.1：P24条-32,33）（2.2：P24条-34）（2.3：P24条-35）（2.4：P24条-36）（2.5：P24条-37）（2.6：P24-37,38）】第１項第７号について
安全保護系と計測制御系とは電源，検出器，ケーブル・ルート及び原子炉格納容器を貫通する計装配管を，原則として分離する設計とする。
安全保護系は，原子炉水位及び原子炉圧力を検出する計装配管ヘッダの一部を計測制御系と共用すること及び核計装等の検出部が表示，記録計用検出部と共用される以外は計測制御系とは完全に分離する等，計測制御系での故障が安全保護系に影響を与えない設計とする。
安全保護系と計測制御系で計装配管を共用する場合は，安全保護系の計装配管として設計する。
また，核計装等の検出部が表示，記録計用検出部と共用しているが，計測制御系の短絡，地絡又は断線によって安全保護系に影響を与えない設計とす
る。

1.3

気象等
該当なし

1.4

設備等（手順等含む）

6.

計測制御系統施設

6.3

原子炉プラント・プロセス計装

6.3.1

概

要

発電用原子炉の適切かつ安全な運転のため，核計装のほかに，発電用原子炉施設の重要な部分には，すべてプロセス計装を設ける。原子炉プラント・
24 条－1515

プロセス計装は，温度，圧力，流量，水位等を測定及び指示するものである
が，一部を除き必要な指示及び記録計器は，すべて中央制御室に設置する｡
原子炉プラント・プロセス計装は，原子炉圧力容器計装，再循環回路計
装，原子炉給水系及び蒸気系計装，制御棒駆動機構計装及びその他の計装から構成されている。
発電用原子炉の停止，炉心冷却及び放射性物質の閉じ込めの機能の状況を監視するために必要なパラメータは，設計基準事故時においても監視でき確
実に記録及び保存ができる。

6.3.2

設計方針

(1)

通常運転時及び運転時の異常な過渡変化時において，炉心，原子炉冷却材圧力バウンダリ及び格納容器バウンダリ並びにそれらに関連する系
統の健全性を確保するために必要なパラメータは，予想変動範囲内での監視が可能であるようにプロセス計装を設ける設計とする。

(2)

設計基準事故時において，事故の状態を知り対策を講じるのに必要なパラメータを監視できるように，プロセス計装を設ける設計とする。

(3)

安全保護系に関連する原子炉プラント・プロセス計装は，「6.6

安全保護系」に記載する設計方針(4)～(9)を満足するように設計する。
(4)

原子炉冷却材圧力バウンダリからの冷却材の漏えいがあった場合，その漏えいを検出するのに必要なプロセス計装を設ける設計とする。

(5)

安全確保上最も重要な原子炉停止，炉心冷却及び放射能閉じ込めの 3
つの機能の状況を監視するのに必要な炉心の中性子束，原子炉水位及び原子炉冷却材系の圧力及び温度等は，設計基準事故時においても記録されるとともに事象経過後に参照できるよう当該記録が保存できる設計とする。
24 条－1616

6.3.3

主要設備の仕様

原子炉プラント・プロセス計装の一覧を第 6.3－1 表に示す。

6.3.4

主要設備

(1)

原子炉圧力容器計装
原子炉圧力容器について計測する必要のある項目は，水位，圧力，容器
胴部の温度及びフランジ・シール漏えいである。
原子炉水位は差圧形検出器で連続的に測定され，指示及び記録される。
水位高及び水位低で警報が出され，水位低下が更に大きい場合には，原子炉スクラム信号が出される。原子炉圧力は圧力検出器で測定され，指示及び記録される。原子炉圧力高でスクラム信号が出される。
原子炉圧力容器壁の温度は熱電対によって測定され，記録される。この記録を基にして，原子炉冷却材の加熱及び冷却を行う。
原子炉容器上蓋のフランジ部シールの漏えいは，2 個のＯリング間のフランジ面に接続されたドレン・ラインで連続的にモニタされる。通常ドレ
ン・ラインは閉鎖されているが，ドレン・ラインの圧力が測定及び指示され，圧力高で警報が出される。

(2)

再循環回路計装
外部の再循環回路では，再循環流量，冷却材温度，ポンプ出入口差圧及び流量制御弁開度が連続的に測定され指示される。また炉心流量はジェット・ポンプのディフューザの差圧によって測定される。再循環ポンプについては，シール漏えい量，冷却水流量及び温度が計測され，シール漏えい
流量高及び低並びに原子炉補機冷却系流量低で警報が出される。

(3)

原子炉給水系及び蒸気系計装
24 条－1717

原子炉給水流量及び蒸気流量は，フロー・ノズルによって連続的に測定され，指示及び記録される。これらは温度及び圧力補償が行われた後，三要素式原子炉水位制御用の信号として用いられる。
そのほか，給水温度，タービン第一段圧力などが測定され，指示及び記
録される。
(4)

制御棒駆動機構計装制御棒駆動機構計装は，駆動冷却材の供給系，通常の駆動水圧系，スクラム・アキュムレータ及びスクラム・ディスチャージ・ボリューム並びに制御棒位置指示に対して，それぞれ適当なプロセス計装が設けられている。
駆動冷却材の供給系では，駆動ポンプ出口圧力，フィルタでの圧力降下などが計測される。
通常の駆動水圧系では，原子炉と駆動水圧系との差圧，駆動ヘッダの流量と制御棒駆動機構の温度（位置指示用計器ウェル内）等が計測される。
スクラム・アキュムレータ及びディスチャージ・ボリューム系では，アキュムレータ窒素圧力，アキュムレータの漏えい水量，ディスチャージ・
ボリューム水位等が計測され，アキュムレータの圧力低と水位高，ディスチャージ・ボリュームの水位高で警報が出される。ディスチャージ・ボリ
ュームの水位が更に高くなれば，原子炉はスクラムされる。
制御棒位置は，駆動機構の中心部に設けられた計器ウェル内のリード・スイッチによって測定指示される。

(5)

原子炉格納容器内雰囲気計装
原子炉格納容器（以下 6.では「格納容器」という。）について計測する
主要な項目は，格納容器内の圧力，温度，湿度，水素濃度，酸素濃度及び放射線レベルである。
24 条－1818

格納容器内の圧力，温度及び酸素濃度は，連続的に測定し，指示又は記録する。また，冷却材喪失事故後の格納容器内の圧力，温度，水素濃
度，酸素濃度，放射線レベル等も測定し，記録する。その他，ドライウ
ェルの湿度並びにサプレッション・チェンバのプール水位及び水温も連続的に測定し，指示又は記録する。
ドライウェル圧力高，水素濃度高及び酸素濃度高で警報を出す。ドラ
イウェル圧力の上昇が更に大きい場合には，原子炉緊急停止系及び工学
的安全施設を作動させるための信号を出す（第 6.6－3 図及び第 6.6－5
図参照）。
サプレッション・チェンバでは，プール水位低，プール水位高，プー
ル水温高，水素濃度高及び酸素濃度高で警報を出す。
(6)

漏えい検出系計装
原子炉冷却材圧力バウンダリからの原子炉冷却材の漏えいは，ドライウ
ェル内ガス冷却装置のドレン量，格納容器内サンプ水量の測定により約
3.8L／min の漏えいを 1 時間以内に検出できるようにする。また，格納容
器内雰囲気中の核分裂生成物の放射性物質濃度の測定によっても漏えいを検出できるようにする。測定値は，指示するとともに，原子炉冷却材の漏えい量が多い場合には警報を出す。

(7)

その他の原子炉プラント・プロセス計装
ドライウェル及びサプレッション・チェンバ系では，ドライウェル圧力
及びサプレッション・プールの水温及び水位が計測され，ドライウェル圧
力高で原子炉はスクラムされる。
ほう酸水注入系では，ほう酸水貯蔵タンク水位，ほう酸水温度及びポン
プ出口圧力が計測され，タンク水位低，ポンプ出口圧力低等で警報が出される。
24 条－1919高圧炉心スプレイ系，低圧炉心スプレイ系及び残留熱除去系では，ポンプ出口圧力及びサプレッション・プール水位が計測される。

6.3.5

試験検査

原子炉プラント・プロセス計装は，定期的に試験又は検査を行い，その機能の健全性を確認する。

6.3.6

評

価

(1)

原子炉プラント・プロセス計装は，通常運転時及び運転時の異常な過渡変化時において，炉心，原子炉冷却材圧力バウンダリ及び原子炉格納容器バウンダリ並びにそれらに関連する系統の健全性を確保するために必要なパラメータを予想変動範囲内で監視することができる設計として
いる。

(2)

原子炉プラント・プロセス計装は，設計基準事故時において，事故の状態を知り対策を講じるのに必要なパラメータを監視することができる設計としている。

(3)

安全保護系に関連する原子炉プラント・プロセス計装は，「6.6

安全保護系」に記載する設計方針(4)～(9)を満足する設計としている。
(4)

原子炉プラント・プロセス計装は，原子炉冷却材圧力バウンダリからの冷却材の漏えいがあった場合，その漏えいを検出することができる設計としている。

6.6

安全保護系

6.6.1

概

要

安全保護系は，原子炉の安全性を損なうおそれのある過渡状態や誤動作が24 条－2020

生じた場合，あるいはこのような事態の発生が予想される場合には，原子炉及び発電所の保護のための制御棒の緊急挿入（スクラム）機能，その他の保護動作（低圧注水系起動等を含む）を有する。また，安全保護系を構成するチャンネルは，各チャンネル相互を可能な限り，物理的，電気的に分離し，独立性を持たせるように設計するとともに，原子炉運転中においても試験が可能な設計とする。

6.6.2

設計方針

(1)

安全保護系は，運転時の異常な過渡変化時に，その異常状態を検知し，原子炉緊急停止系を含む適切な系統を自動的に作動させ，燃料要素の許容損傷限界を超えないようにする。

(2)

安全保護系は，偶発的な制御棒引抜きのような原子炉停止系のいかなる単一の誤動作に対しても，燃料要素の許容損傷限界を超えないようにする。

(3)

安全保護系は，設計基準事故時にあっては，直ちにこれを検知し，原子炉緊急停止系及び工学的安全施設の作動を自動的に開始させる。

(4)

安全保護系は，多重性及び電気的・物理的な独立性を有する設計とし，機器の単一故障若しくは使用状態からの単一の取外しによっても，その安全保護機能が妨げられないようにする。

(5)

安全保護系は，系統の遮断，駆動源の喪失においても，安全上許容される状態（フェイル・セイフ又はフェイル・アズ・イズ）になるようにする。

(6)

安全保護系は，計測制御系とは極力分離し，部分的に共用した場合でも計測制御系の故障が安全保護系に影響を与えないようにする。

(7)

安全保護系は，通常運転中においても，定期的に機能試験を行うことが24 条－21

21

できるようにする。
(8)

安全保護系は，監視装置，警報等によりその作動状況が確認できる設
計とする。

(9)

安全保護系は，不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止する設計とする。
【説明資料（2.1：P24 条-32,33）（2.2：P24 条-34）（2.3：P24 条-35）（2.4：P24 条-36）（2.5：P24 条-37）（2.6：P24-37,38）】

6.6.3

主要設備の仕様

原子炉緊急停止系作動回路の主要設備を第 6.6－1 表，第 6.6－1 図から第6.6－3 図に，その他主要な安全保護系の仕様を第 6.6－2 表，第 6.6－4 図及び第 6.6－5 図に示す。

6.6.4

主要設備

(1)

原子炉緊急停止系の機能
原子炉緊急停止系は，第 6.6－1 図に示すように 2 チャンネルで構成され各チャンネルには，1 つの測定変数に対して少なくとも 2 つ以上の独立
したトリップ接点があり，いずれかの接点の動作でそのチャンネルがトリップし，両チャンネルの同時のトリップに対して，原子炉がスクラムされるようになっている。
原子炉は，下記の条件の場合にスクラムされる。
ａ．原子炉圧力高ｂ．原子炉水位低
ｃ．ドライウェル圧力高24 条－2222

ｄ．原子炉出力ペリオド短（起動領域計装）
ｅ．中性子束高（起動及び平均出力領域計装）
ｆ．中性子束指示低（平均出力領域計装）
ｇ．中性子計装動作不能（起動及び平均出力領域計装）
ｈ．スクラム・ディスチャージ・ボリューム水位高ｉ．主蒸気隔離弁閉
ｊ．主蒸気管放射能高ｋ．主蒸気止め弁閉
ｌ．蒸気加減弁急速閉（ＥＨＣ油圧低）ｍ．地震加速度大ｎ．原子炉モード・スイッチ「停止」の位置
ｏ．手動

検出器の形式，配置場所及びスクラム設定値は，第 6.6－1 表に示すとおりである。
この他，原子炉緊急停止系作動回路の電源喪失の場合にも原子炉はスクラムする。
なお，原子炉モード・スイッチによって安全保護系の回路は以下のようにバイパスされる。
(a)「停止」このモードでは，スクラム信号が出され，全制御棒が炉内に挿入される。このモードにしてから約 10 秒程度で自動的にスクラ
ム信号のリセットが可能となる。また，主蒸気隔離弁閉のスクラム信号は原子炉圧力が約 4.1MPa［gage］以下のときには自動的にバイパスされ，スクラム・ディスチャージ・ボリューム水位高によるスクラ
ム信号も手動でバイパス可能である。

(b)「燃料取替」このモードではスクラム回路は動作状態にあるが，主24 条－2323

蒸気隔離弁閉のスクラム信号は原子炉圧力が約 4.1MPa［gage］以下のときは自動的にバイパスされる。さらに，スクラム・ディスチャー
ジ・ボリューム水位高によるスクラム信号も手動でバイパス可能であるが，この場合には制御棒を引き抜くことはできない。
(c)「起動」このモードは原子炉を起動し，最高で定格の約 5％まで出力をあげる場合に適用される。また，主蒸気隔離弁が閉で，かつター
ビン補機が動作している状態で，原子炉を臨界に保つ時にも適用される。このモードでは，主蒸気隔離弁閉のスクラム信号は原子炉圧力が約 4.1MPa［gage］以下のときには自動的にバイパスされる。

(d)「運転」このモードでは，バイパスはすべて解除され，運転手順の上で特に許される場合にのみ保守上の目的で，個々の計器をバイパスさせることができる。

(2)

その他の主要な安全保護系の種類
その他の主要な安全保護系（工学的安全施設作動回路）には，次のようなものが設けられる。
ａ．原子炉水位異常低下，主蒸気管放射能高，主蒸気管圧力低，主蒸気管
流量大，主蒸気管トンネル温度高，復水器真空度低のいずれかの信号による主蒸気隔離弁の閉鎖
ｂ．ドライウェル圧力高，原子炉水位低，原子炉建屋放射能高のいずれかの信号による原子炉建屋常用換気系の閉鎖と原子炉建屋ガス処理系の起動
ｃ．原子炉水位異常低下又はドライウェル圧力高の信号による高圧炉心ス
プレイ系，低圧炉心スプレイ系及び低圧注水系の起動
ｄ．原子炉水位異常低下及びドライウェル圧力高の同時信号による自動減圧系の作動
24 条－2424

ｅ．原子炉水位異常低下又はドライウェル圧力高の信号による非常用ディーゼル発電機の起動
ｆ．原子炉水位低，原子炉水位異常低下，ドライウェル圧力高のいずれかの信号による主蒸気隔離弁以外の隔離弁の閉鎖
また，その他保護動作としては次のようなものがある。
ａ．原子炉水位異常低下信号による原子炉隔離時冷却系の起動(3)

原子炉緊急停止系の動作
原子炉緊急停止系は二重チャンネル，継電器方式の構成で，論理回路及びスクラム・パイロット弁のソレノイドを制御する主トリップ継電器には，特に高信頼度の継電器を用いている。
チャンネル・トリップあるいは原子炉スクラムに関連する継電器は，すべて運転中励磁状態にあり，コイルの断線又は短絡，あるいは導線の断線等の継電器の故障の大部分は，継電器自体を非励磁状態に戻し，回路が不動作状態になるように働くので，このような回路構成は，大部分の故障条件に対して“フェイル・セイフ”になっている。
一方，接点の焼損又は溶着等“フェイル・セイフ”に反する方向の故障に対しては，各接点を流れる電流が定格の 50％以下であるように制限することによって，その発生を防止するようにしている。
第 6.6－1 図に示すように，論理回路の継電器接点はすべて直列につながれているので，どの継電器でも 1 個が非励磁の状態になれば，その継電器接点が属している論理回路の主トリップ継電器の電源は阻止されることになる。主トリップ継電器の接点は，各ソレノイド・グル一プ回路ごとに2 つずつ直列につないで，継電器接点が 1 つ単独で故障して開かない場合
でも，スクラム動作を妨げないようにしている。
主蒸気隔離弁の閉鎖及びそのほかの補助保護機能の作動開始には，別の24 条－2525

継電器が使用されている。
主スクラム弁への計器用空気の制御には，ソレノイド作動スクラム・パ
イロット弁を使用する。このパイロット弁は，3 方向形で，各制御棒駆動機構のスクラム弁に対して，2 つのソレノイドの 1 つあるいは両方が励磁状態にある場合は，スクラム弁のダイヤフラムに空気圧がかかって，弁を閉鎖状態に保つようになっている。両パイロット弁のソレノイドが非励磁になれば，スクラム弁ダイヤフラムの空気圧がなくなって弁は開き，制御棒を挿入することになる。各駆動機構に 2 つずつあるソレノイドは，2 チ
ャンネルに接続されるので，両チャンネルがトリップすれば，原子炉はスクラムされるが，単一チャンネルのトリップではスクラムされない。
緊急停止系統の試験は，一度に 1 つずつのチャンネルを各検出器でトリップさせることによって，原子炉運転中でも定期的に行うことができる。
この試験によって，スクラム・パイロット弁までのあらゆる機能をチェックすることができる。
(4)

リセット及び警報
いずれか一方のチャンネルがトリップすれば，ロック・アウトされ警報が出る。この場合スクラム・パイロット弁を再励磁するためには，手動でリセットしなければならない。個々のトリップ信号の警報によって，運転員はチャンネル・トリップあるいはスクラムの原因を確認することが可能であり，また運転監視補助装置が，各検出器トリップの時間的順序を記録
する。

(5)

後備緊急停止系統
スクラム・パイロット弁の一つが故障によって動作しないという事態が生じた場合，制御棒が確実に挿入されるように，計器用空気系統に 2 個の3 方向ソレノイド後備緊急停止弁を設けている。このソレノイドは直流回24 条－2626

路に接続されていて，通常時は無励磁状態にある。原子炉緊急停止系の 2
チャンネルの主トリップ継電器の消勢によって，2 個の後備緊急停止弁のソレノイドが励磁される。パイロット弁が故障で動作しない場合には，後備緊急停止弁の動作によってスクラム弁への空気圧がなくなる。この場合の制御棒の挿入時間は，通常の挿入時間より長いが原子炉を停止させる場
合，1 本の制御棒の挿入が遅れても，他の制御棒が挿入できれば十分なので，たとえ後備緊急停止弁がなくても安全に停止することができる。
(6)

原子炉緊急停止系の電源回路
原子炉緊急停止系の電源回路は，第 6.6－2 図に示されている。原子炉
緊急停止系の各チャンネルは，原子炉保護系用Ｍ－Ｇ装置（はずみ車付）に接続されていて，各電動機は所内電気系の別々の 480V 交流電源に接続されている。はずみ車の保有エネルギが大きいので，瞬間的な電圧降下では原子炉スクラムは生じない。
原子炉保護系用Ｍ－Ｇ装置（はずみ車付）を保守のため取り外すことができるように，バイパス変圧器からも電力を供給できるようになってい
る。

6.6.5

試験検査

(1)

原子炉緊急停止系は，原則として原子炉運転中でも次の試験ができ，定期的にその機能が喪失していないことを確認できる。
ａ．手動スクラム・パイロット弁作動試験：手動スクラム・スイッチによるパイロット弁ソレノイドの無励磁の確認
ｂ．自動スクラム・パイロット弁作動試験：各トリップ・チャンネルごとの鍵付テスト・スイッチによるトリップ・チャンネル及びパイロット弁
ソレノイドの無励磁の確認
24 条－2727

ｃ．検出器作動試験：各検出器の校正用タップ及びトリップ・チャンネルの試験端子から校正用模擬信号を入れることによるトリップ・チャンネ
ルの作動の確認
ｄ．制御棒スクラム試験：手動スイッチによる同一水圧制御ユニットに属する 1 組又は 1 本の制御棒のスクラム時間の確認
以上のうちｂ．及びｃ．の試験により，各チャンネルの独立性の確認も行うことができる。
(2)

工学的安全施設作動回路は，原子炉運転中でもテスト信号によって各々のチャンネル（検出器含む）の試験を行うことができ，定期的にその機能が喪失していないことを確認できる。
なお，論理回路を含む全系統の試験については，原子炉停止時に行うことができる。

6.6.6

手順等

安全保護系に関して，以下の内容を含む手順等を定め，適切な管理を行う。
(1)

安全保護回路を有する制御盤については，施錠管理方法を定め運用する。

(2)

発電所の出入管理方法については，「1.1.1.5

人の不法な侵入等の防止(3)手順等」に示す。
(3)

発電所の出入管理に係る教育については，「1.1.1.5

人の不法な侵入等の防止(3)手順等」に示す。

24 条－28

28

第 6.3－1 表
項

原子炉プラント・プロセス計装一覧表

目

名

称

原子炉圧力容器計装

原子炉水位，圧力圧力容器胴部温度
圧力容器フランジ部シール漏えい

再循環回路計装

再循環流量
冷却材温度
再循環ポンプ出入口差圧
炉心流量
再循環ポンプ冷却水流量，温度

原子炉給水系及び蒸気系計装

原子炉給水流量
給水温度
タービン第一段圧力

制御棒駆動機構計装制御棒駆動ポンプ出口圧力
フィルタ圧力原子炉と駆動水圧系との差圧駆動ヘッダ流量
制御棒駆動機構温度

漏えい検知系計装

ドライウェル内ガス冷却装置ドレン量
格納容器内サンプ水量
格納容器内雰囲気中の核分裂生成物の放射性物質濃度

その他の原子炉プラン
ト・プロセス計装

ドライウェル圧力
サプレッションプール水温，水位
ほう酸水貯蔵タンク水位
ほう酸水温度及びポンプ出口圧力
高圧炉心スプレイポンプ出口圧力低圧炉心スプレイポンプ出口圧力
残留熱除去系ポンプ出口圧力

24 条－29

29

第 6.6－2 表

その他の主要な安全保護系作動信号一覧表

信 号 の 種 類
原

子

炉

水

位

保護機能の種類
低原子炉建屋ガス処理系起動

主蒸気隔離弁閉鎖
高圧炉心スプレイ系起動

設

定

値

1,370cm（ベッセルゼロより上）（レベル３）
1,245cm（ベッセルゼロより上）（レベル２）

原 子 炉 水 位 異 常 低 下
低圧炉心スプレイ系起動
低圧注水系起動自動減圧系作動960cm（ベッセルゼロより上）（レベル１）

低圧炉心スプレイ系起動
低圧注水系起動ド ラ イ ウ ェ ル 圧 力 高高圧炉心スプレイ系起動

13.7kPa［gage］

自動減圧系作動
原子炉建屋ガス処理系起動
主 蒸 気 管 圧 力 低

主蒸気隔離弁閉鎖

5.89MPa［gage］

主高

主蒸気隔離弁閉鎖

定格流量の 140％相当

復 水 器 真 空 度 低

主蒸気隔離弁閉鎖真空度 24.0kPa

主 蒸 気 管 放 射 能 高

主蒸気隔離弁閉鎖

通常運転時の放射能の10 倍以下

主蒸気管トンネル温度高主蒸気隔離弁閉鎖93℃

原 子 炉 建 屋 放 射 能 高

原子炉建屋ガス処理系起動

通常運転時の放射能の10 倍以下蒸気流

量24 条－3030

原子炉保護系電源喪失
原 子 炉 圧 力 低
停
原
子
炉 燃
モード・スイッチ 起
運

料

取

止
替
動
転

●

●

主 蒸 気 隔 離 弁 閉
スクラム･ディスチャージ･ボリューム
水位高スクラム･ ディスチャージ･ ボリューム
水 位 高 信 号 バ イ パ ス ･ス イ ッ チ

通
常
バイパス

原 子 炉 ス ク ラ ム

主蒸気管放射能高地震加速度大主 蒸 気 止 め 弁 閉
蒸気加減弁急速閉
原子炉熱出力（約 30％以下）

平均出力
領域計装

中 性 子 束 高
中性子計装動作不能
中 性 子 束 指 示 低

起動領域
計装

中 性 子 束 高
中性子計装動作不能
原子炉出力ペリオド短原子
炉
モード･スイッチ

●

運
転
運転以外

原 子 炉 圧 力 高ＯＲ

原子炉水位低（レベル３）
ドライウェル圧力高
手

ＡＮＤ

動
ＮＯＴ

原子炉モード・スイッチ「停止」位置

第 6.6－3 図 原子炉緊急停止系機能説明図
24 条－2931

主 蒸 気 管 圧 力 低原子炉モード・スイッチ「運転」

原子炉水位異常低下（レベル２）

主 蒸 気 隔 離 弁 閉

主 蒸 気 管 流 量 大

復 水 器 真 空 度 低

主 蒸 気 止 め 弁 閉
原 子 炉 圧 力 低原子炉モード・スイッチ「 運 転 」 以 外
復 水 器 真 空 度 低
バイパス・スイッチ「 バ イパ ス」 位置

主 蒸 気 管 放 射 能 高

主蒸気管トンネル温度高

ＯＲ

ＡＮＤ

ＮＯＴ

第 6.6－4 図 その他の主要な安全保護系機能説明図（その１）24 条－3032

原子炉水位異常低下（レベル１）

低圧炉心スプレイ系起動●

ド ラ イ ウ ェ ル 圧 力 高

低 圧 注 水 系 起 動●●

非常用ディーゼル発電機
起 動

●

●

高圧炉心スプレイ系起動
原子炉水位異常低下（レベル２）●●

主蒸気隔離弁以外の隔離弁の閉鎖●T.D
原子炉水位低（レベル３）●●

自 動 減 圧 系 作 動
低圧炉心スプレイ系ポンプ
吐 出 圧 力 確 立
残留熱除去系ポンプ
吐 出 圧 力 確 立

原子炉建屋ガス処理系起動
原 子 炉 建 屋 放 射 能 高

ＯＲ

第 6.6－5 図

ＡＮＤ

T.D

時間遅れ

その他の主要な安全保護系機能説明図（その２）24 条 - 31

33

2.

安全保護回路2.1

安全保護回路の不正アクセス行為防止のための措置について「実用発電用原子炉及びその附属施設の位置，構造及び設備の基準に関する規則」第二十四条（安全保護回路）第 1 項第六号において，『不正ア
クセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができるものとすること。』が要求されている。
東海第二発電所の安全保護回路は，検出信号処理において一部デジタル演算処理を行う機器がある他は，アナログ回路で構成している。安全保護
回路（原子炉緊急停止系，工学的安全施設作動回路）の不正アクセス行為
による被害防止については，デジタル演算処理を行う機器も含め，下記の対策を実施している。

(1)

物理的及び電気的アクセスの制限対策
発電所への入域に対しては，出入管理により物理的アクセスを制限し，
電気的アクセスについては，安全保護回路を有する制御盤を施錠管理とし，デジタル演算処理を行う機器からデータを採取するデータ収集端末にはデジタル演算処理を行う機器からのデータ受信機能のみを設けるとともに，データ収集端末を施錠管理された場所に保管することで管理されない変更を防止している。

(2)

ハードウェアの物理的な分離又は機能的な分離対策
安全保護回路の信号は，安全保護回路→プロセス計算機・データ伝送装
置→防護装置→緊急時対策支援システム伝送装置→防護装置を介して外部に伝送している。この信号の流れにおいて，安全保護回路からは発信されるのみであり，外部からの信号を受信しないこと，及びハードウェアを直接接続しないことで物理的及び機能的分離を行っている。
24 条 - 32

34

(3)

外部ネットワークからの遠隔操作及びウイルス等の侵入防止対策
安全保護回路とそれ以外の設備との間で用いる信号はアナログ信号又は接点信号であり，外部ネットワークを介した不正アクセス等による被害を受けることはない。
安全保護回路の信号で外部ネットワークへのデータ伝送の必要がある場
合は，防護装置を介して安全保護回路の信号を一方向（送信機能のみ）通信に制限 ※ し外部からのデータ書き込み機能を設けないことでウイルスの侵入及び外部からの不正アクセスを防止している。
※データダイオード装置（ハードウェアレベルでダイオードのように片方向のみ通信を許可する装置）により一方向通信に制限する。

(4)

システムの導入段階，更新段階または試験段階で承認されていない動作や変更を防ぐ対策
安全保護回路のうち，一部デジタル演算処理を行っている機器は，固有のプログラム言語を使用（一般的なコンピュータウイルスが動作しない環境）するとともに，保守以外の不要なアクセス制限対策として入域制限や設定値変更作業での鍵管理及びパスワード管理を行い，関係者以外の不正な変更等を防止している。

(5)

耐ノイズ・サージ対策
安全保護回路は，雷・誘導サージ・電磁波障害等による擾乱に対して，制御盤へ入線する電源受電部及びケーブルからの信号入出力部にラインフ
ィルタや絶縁回路を設置している。
ケーブルは金属シールド付ケーブルを適用し，金属シールドは接地して電磁波の侵入を防止する設計としている。安全保護回路は，鋼製の筐体に格納し，筐体を接地することで電磁波の侵入を防止する設計としている。

24 条 - 33

35

2.2

安全保護回路の概要
安全保護回路は，検出信号処理において一部デジタル演算処理を行う機器がある他は，アナログ回路で構成している。また安全保護回路とそれ以外の設備との間で用いる信号はアナログ信号又は接点信号であり，外部ネットワークを介した不正アクセス等による被害を受けることはない。例として，原子炉緊急停止系の構成例を第 2.2 図に示す。
安全保護回路は，検出器からの信号を受信し，原子炉緊急停止系を自動的に作動させる回路と，工学的安全施設を作動させる信号を発する工学的
安全施設作動回路で構成しており，多重性及び電気的・物理的な独立性を持たせている。

Ry

A 検出器

C 検出器

B 検出器

D 検出器

トリップ設定器

トリップ設定器

トリップ設定器

トリップ設定器

ﾁｬﾝﾈﾙ
A1

Ry

ﾁｬﾝﾈﾙ
A2

Ry

安全保護系チャンネル A

ﾁｬﾝﾈﾙ
B1

Ry

ﾁｬﾝﾈﾙ
B2

安全保護系チャンネル B

排気
計装用空気圧縮系より制御棒駆動水ポンプより制御棒駆動機構へ

第2.2図

原子炉緊急停止系の構成例

24 条 - 34

36

2.3

安全保護回路の物理的分離対策
安全保護回路は，不正アクセスを防止するため，安全保護系盤等の扉には施錠を行い，許可された者以外はハードウェアを直接接続できない対策を実施している。

保管ラック
データ収集端末

安全保護系盤等は，社内規程に定める発電長による扉の鍵管理を行っている。
データ収集端末は，作業担当箇所により鍵管理されたラック内に保管しており，許可されない者のアクセスを防止している。また，情報セキュリティに関する教育を行っている。

第 2.3 図安全保護系盤及びデータ収集端末

24 条 - 35

37

2.4

外部からの不正アクセス防止について
安全保護回路は，外部ネットワークと直接接続は行っていない。外部シ
ステムと接続する必要のある計算機については，防護装置を介して接続され，外部からのデータ書き込み機能を設けないことでコンピュータウイル
スの侵入等を防止している。
また，外部からの妨害行為または破壊行為については，出入管理により関係者以外の接近を防止している。
外部ネットワークとの接続構成概略図を第 2.4 図に示す。
社外

東海第二発電所

（

通信機器

出
入
管
理

通信機器

）

妨
害
行
為
又
は
破
壊
行
為

ー

緊急時対策所建屋

原子炉建屋

ネ
ッ
ト統
ワ合
原
ク子
力
衛防
星災
系

防護装置
防護装置
データ
伝送装置

プロセス
計算機

第 2.4 図妨害行為又は
破壊行為

）

【凡例】
：データ伝送（有線）：データ伝送（無線）

妨
破害
壊行
行為
為又
は

（

安全保護回路

出
入
管
理

出入管理

ネ
ッ
ト統
ワ合
原
ク子
力
有防
線災
系
ー

出入管理

通信機器
緊急時対策支援システム伝送装置

外部ネットワークとの接続構成概略図

24 条 - 36

38

2.5

想定脅威に対する対策について
デジタル処理を行っている機器については，工場製作段階から第 2.5 表に示す想定脅威に対する対策を行っている。

第 2.5 表
外部脅威
内部脅威

人的要因

想定脅威に対する対策（工場製作及び出荷）想定脅威
外部からの侵入対策
ソフトウェアの設計データの製作環
境は外部に接続しない環境で製作設備の脆弱性
安全保護系のソフトウェアは供給者
独自ソフトウェアにて構築
不 正 ソ フ ト ウ ェ ア 利 不正ソフトウェアが無いことを確認
用した環境で，ソフトウェア設計を実施
持 込 機 器 ・ 媒 体 に よ 作業専用端末による作業
る改ざん・漏えい作 業 環 境 か ら の 不 正 作業環境での第三者のソフトウェア
アクセスへの不正アクセスを防止
作 業 ミ ス ， 知 識 不 足 情報セキュリティ教育の実施による情報漏えい等

2.6

物理的分離及び電気的分離について(1)

物理的分離について
安全保護回路と計測制御系とは電源，ケーブル・ルート及び格納容器を貫通する計装配管を，原則として分離する設計とする。
計測制御系のケーブルを安全保護回路のケーブルと同じケーブル・ルー
トに敷設した場合には，安全保護回路のケーブルと同等の扱いとする設計とする。
安全保護回路と計測制御系で計装配管を共用する場合は，安全保護回路の計装配管として設計する。

(2)

電気的分離について
安全保護回路からインターフェース部（計測制御系）の分離は，アイソ
レータや補助継電器等の隔離装置（第2.6図参照）を用いて電気的分離
24 条 - 37

39

（計測制御系で短絡等の故障が生じても安全保護回路に影響を与えない）を行う。
核計装系等の検出部が表示，記録計用検出部と共用しているが，計測制
御系の短絡，地絡又は断線によって安全保護回路に影響を与えない設計とする。

アイソレータ
発光素子

受光素子
光

入力信号

電気
信号

電気
信号

出力信号

入力信号
補助継電器
コイル

接点
出力信号

第 2.6 図隔離装置（アイソレータ及び補助継電器）

24 条 - 38

40

別紙 1

安全保護回路について，承認されていない動作や変更を防ぐ設計方針

安全保護回路は，検出信号処理において一部デジタル演算処理を行う機器がある他は，アナログ回路で構成している。
安全保護回路に対し，承認されていない動作及び変更を防ぐ措置として以下を実施している。
・安全保護回路の変更が生じる場合は，上流文書から下流文書（第 1 図参照）へ変更内容が反映されていることを設備図書で承認する。
・デジタル演算処理を行う機器のソフトウェアは設計，製作，試験及び変更管理の各段階で検証と妥当性の確認を適切に行う。
・改造後はインターロック試験や定期事業者検査等にて，安全保護回路が正しく動作することを複数の人間でチェックしている。
・中央制御室への入域に対しては，出入管理により関係者以外のアクセスを防止している。
・安全保護回路及び設定値を変更するには，中央制御室にて発電長の許可を得て，発電長の管理する鍵を借用する必要があり，外部からの人的妨害行為又は破壊行為を防止している。

24 条 - 別紙 1 - 1

41

安全保護回路
システム要求事項（設置許可申請書）

システム設計要求仕様（系統設計仕様書，設定値根拠書）

ハードウェア設計要求仕様（インターロックブロック線図）

ハードウェア設計・製作（展開接続図）試

第1図

験

安全保護回路の設計・製作・試験の流れ（例）24 条 - 別紙 1 - 2

42

別紙 2

今回の設置許可申請に関し，安全保護回路に変更を施している場合の基準適合性

2011 年 3 月の運転停止以降の安全性向上対策工事等（新規制対応工事含む）のうち，安全保護回路の変更に係る工事を抽出し，確認を行った。第 1
図の抽出フローに基づき抽出した結果，SA 対策で実施する自動減圧系及び過渡時自動減圧機能の起動阻止スイッチ設置が抽出された。
安全保護回路の変更に係る設備の抽出結果を第 1 表に，抽出された設備についての個別の確認結果を(1)に示す。また，過渡時自動減圧機能及びＡＴ
ＷＳ緩和設備（代替制御棒挿入機能）については，安全保護回路に変更を施しておらず，安全保護回路と電気的・物理的に分離されており安全保護回路に悪影響を与えない設計とする（参考 1）。
(1)

自動減圧系の起動阻止スイッチについて
ａ．目的
原子炉停止機能喪失事象においては，原子炉が臨界状態であるため，
高圧炉心スプレイ系及び低圧注水系の急激な流量増加は，正の反応度印
加を引き起こし，原子炉出力の急上昇につながる。このため原子炉停止
機能喪失事象発生時に自動減圧系及び過渡時自動減圧機能が作動しない
ように，起動阻止スイッチを設置する。
ｂ．起動阻止スイッチ
自動減圧系及び過渡時自動減圧機能の作動回路を第2図に示す。この
起動阻止スイッチは，単一故障により，自動減圧系の機能を阻害しない
ように，また，多重化された自動減圧系の独立性に悪影響がないように
自動減圧系の論理回路ごとに設ける設計としている。
ｃ．自動減圧系への影響について
24 条 - 別紙 2 - 1

43

追加設置する自動減圧系の起動阻止スイッチが，自動減圧系に対して悪影響を与えないことを以下に示す。
設置許可基準規則
第 24 条（安全保護回路）
発電用原子炉施設には，次に掲げるところにより，安全保護回路（安全施設に属するものに限る。以下この条において同じ。）を設けなければならない。
一 運転時の異常な過渡変化が発生する
場合において，その異常な状態を検知し，及び原子炉停止系統その他系統と併せて機能することにより，燃料要素の許容損傷限界を超えないようにできるものとすること。
二 設計基準事故が発生する場合において，その異常な状態を検知し，原子炉停止系統及び工学的安全施設を自動的に作動させるものとすること。
三 安全保護回路を構成する機械若しくは器具又はチャンネルは，単一故障が起きた場合又は使用状態からの単一の取り外しを行った場合において，安全保護機能を失わないよう，多重性を確保するものとすること。
四 安全保護回路を構成するチャンネルは，それぞれ互いに分離し，それぞれのチャンネル間において安全保護機能を失わないように独立性を確保するものとすること。
五 駆動源の喪失，系統の遮断その他の不利な状況が発生した場合においても，発電用原子炉施設をより安全な状態に移行するか，又は当該状態を維持することにより，発電用原子炉施設の安全上支障がない状態を維持できるものとすること。
六 不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができるものとすること。
七 計測制御系統施設の一部を安全保護回路と共用する場合には，その安全保護機能を失わないよう，計測制御系統
施設から機能的に分離されたものとすること。

自動減圧系への影響
起動阻止スイッチは，原子炉停止機能喪失
事象時に手動で自動減圧系を阻止するものであり，運転時の異常な過渡変化時には使用しないため問題ない。

自動減圧系の多重性，独立性に悪影響を与えないよう，区分ごとに起動阻止スイッチを設置しているため問題ない。
自動減圧系の多重性，独立性に悪影響を与えないよう，区分ごとに起動阻止スイッチを設置しているため問題ない。

自動減圧系の多重性，独立性に悪影響を与えないよう，区分ごとに起動阻止スイッチを設置しているため問題ない。

自動減圧系は，駆動源である電源の喪失で系の現状維持（フェイル・アズ・イズ），
その他の不利な状況が発生した場合でも多重性，独立性をもつことで原子炉を十分に安全な状態に導くようにしている。追加する起動阻止スイッチはこの安全保護動作を阻害するものではない。
阻止回路はアナログで構成しており，不正アクセス行為による影響を受けない。

計測制御系とは共用していないため，影響はない。

24 条 - 別紙 2 - 2

44

設置許可基準規則
第 12 条（安全施設）
４ 安全施設は，その健全性及び能力を確認するため，その安全機能の重要度に応じ，発電用原子炉の運転中又は停止中に試験又は検査ができるものでなければならない。

自動減圧系への影響
起動阻止スイッチを設置することで自動減圧系の試験に影響を与えることはない。

2011 年 3 月運転停止以降の安全性向上対策工事等

既設の制御盤の改造又は新たな制御盤の設置に関
する改造か

NO

対象外

YES

原子炉緊急停止系及び工学的安全施設作動回路に係る改造か

NO

対象外

YES

原子炉緊急停止系及び工学的安全施設作動回路の論理に係る改造か

NO

対象外

YES

確認対象

第1図

安全保護回路の変更に係る改造抽出フロー

24 条 - 別紙 2 - 3

45

第1表

安全保護回路の変更に係る設備の抽出結果

改造概要

条文

ＡＴＷＳ時に自動減圧系及び過渡時
自動減圧機能の作動を阻止する手動阻止回路を追加する。
44 条

安全保護回路への影響評価
自動減圧系及び過渡時自動減圧機能の起動阻止スイッチは自動減圧機能論理
回路の関連回路として安全保護回路と同等に扱うものとする。これらは安全保護回路と同様，計測制御系統施設や他の重大事故等対処設備から物理的，電気的に分離する。さらに，安全保護回路として多重化しそれぞれの区分は
互いに物理的，電気的に分離する。

24 条 - 別紙 2 - 4

46

第2図

自動減圧系及び過渡時自動減圧機能の作動回路図

24 条 - 別紙 2 - 5

47

参考 1

1.
(1)

新規制対応設備の安全保護回路への影響について

過渡時自動減圧機能について目的
過渡時自動減圧機能は，原子炉冷却材圧力バウンダリが高圧の状態であって，設計基準事故対処設備が有する原子炉の自動減圧機能が喪失した場
合においても，原子炉冷却材圧力バウンダリを減圧し，炉心の著しい損傷
及び原子炉格納容器の破損を防止することを目的とする。

(2)

自動減圧系への影響について
過渡時自動減圧機能の論理回路は別紙2（第2図）のとおりであり，論理回路を自動減圧系に対して独立した構成としており，自動減圧系に悪影響を与えない設計としている。
第1図のとおり，原子炉水位異常低下（レベル１），低圧炉心スプレイ系
ポンプ吐出圧力確立，及び残留熱除去系ポンプ吐出圧力確立信号については共有しているが，自動減圧系と隔離装置を用いて電気的に分離しており，
自動減圧系への悪影響を与えない設計としている。
また，論理回路からの作動用電磁弁制御信号についても共用しているが，自動減圧系と隔離装置を用いて電気的に分離しており，自動減圧系への悪影響を与えない設計としている。

24 条 - 別紙 2 - 648

信号の分離について
第1図
24 条 - 別紙 2 - 7

49

2．ＡＴＷＳ緩和設備（代替制御棒挿入機能）について(1)

目的
代替制御棒挿入機能は，運転時の異常な過渡変化時において，原子炉の運転を緊急に停止することができない事象が発生するおそれがある場合又は当該事象が発生した場合において，原子炉緊急停止系から独立した回路により，計器用空気配管上に設置したスクラム・パイロット弁とは別のソレノイドが励磁され排気弁を開放し，全制御棒を挿入することにより原子炉出力を低下させることを目的とする。

(2)

原子炉緊急停止系への影響について
代替制御棒挿入機能の論理回路は第 2 図のとおり，検出器から論理回路
まで，原子炉緊急停止系とは独立した構成となっており，原子炉緊急停止
系に悪影響を与えない設計としている。
なお，代替制御棒挿入機能の作動電磁弁についても，第 3 図のとおり代
替制御棒挿入機能と原子炉緊急停止系では独立した構成となっている。

24 条 - 別紙 2 - 8

50

第2図

原子炉緊急停止系及び代替制御棒挿入機能の論理回路図

24 条 - 別紙 2 - 9

51

第3図

作動電磁弁について

24 条 - 別紙 2 - 10

52

別紙 3

安全保護回路の不正アクセス行為等の防止対策

安全保護回路は，検出信号処理において一部デジタル演算処理を行う機器がある他は，アナログ回路で構成している。安全保護回路（原子炉緊急停止
系，工学的安全施設作動回路）について，検出器から論理回路の入口までの構成機器に対しアナログ・デジタルの有無を抽出した。安全保護系構成概略
図を第 1 図，抽出結果を第 1 表，第 2 表に示す。安全保護回路にはプロセス
放射線モニタ盤の演算処理装置及び中性子束計装モニタ盤の演算処理装置に
デジタル回路が含まれる。ただし，当該演算処理装置は外部ネットワークと直接接続しないことにしている。さらに，出入管理により外部からの妨害行
為または破壊行為を防止していることから不正アクセス行為による被害を受けることはない。
(1)

物理的及び電気的アクセスの制限対策
発電所への入域に対しては，出入管理により物理的アクセスを制限し，
電気的アクセスについては，安全保護回路を有する制御盤を施錠管理とし，デジタル演算処理を行っている機器からデータを採取するデータ収集端末にはデジタル演算処理を行っている機器からのデータ受信機能のみを設けるとともに，データ収集端末を施錠管理された場所に保管することで管理されない変更を防止している。

(2)

ハードウェアの物理的な分離又は機能的な分離対策
安全保護回路の信号は，安全保護回路→プロセス計算機・データ伝送装
置→防護装置→緊急時対策支援システム伝送装置→防護装置を介して外部に伝送している。この信号の流れにおいて，安全保護回路からは発信されるのみであり，外部からの信号を受信しないこと，及びハードウェアを直接接続しないことで物理的及び機能的分離を行っている。
24 条 - 別紙 3 - 1

53

(3)

外部ネットワークからの遠隔操作及びウイルス等の侵入防止対策
安全保護回路の信号で外部ネットワークへのデータ伝送の必要がある場
合は，防護装置を介して安全保護回路の信号を一方向（送信機能のみ）通信に制限 ※ し外部からのデータ書き込み機能を設けないことでウイルスの侵入及び外部からの不正アクセスを防止している。
※データダイオード装置（ハードウェアレベルでダイオードのように片方向のみ通信を許可する装置）により一方向通信に制限する。

(4)

システムの導入段階，更新段階または試験段階で承認されていない動作や変更を防ぐ対策
安全保護回路のデジタル演算処理を行っている機器は，固有のプログラ
ム言語を使用（一般的なコンピュータウイルスが動作しない環境）するとともに，保守以外の不要なアクセス制限対策として入域制限や設定値変更
作業での鍵管理及びパスワード管理を行い，関係者以外の不正な変更等を防止している。

(5)

耐ノイズ・サージ対策
安全保護回路は，雷・誘導サージ・電磁波障害等による擾乱に対して，制御盤へ入線する電源受電部及びケーブルからの信号入出力部にラインフ
ィルタや絶縁回路を設置している。
ケーブルは金属シールド付ケーブルを適用し，金属シールドは接地して電磁波の侵入を防止する設計としている。安全保護回路は，鋼製の筐体に格納し，筐体を接地することで電磁波の侵入を防止する設計としている。

24 条 - 別紙 3 - 2

54

第1図

安全保護系構成概略図

24 条 - 別紙 3 - 3

55

第1表

原子炉緊急停止系の構成機器
構成機器

原子炉スクラム信号の種類
検出器

設定器

原子炉圧力高アナログ

アナログ

原子炉水位低アナログ

アナログ

ドライウェル圧力高

アナログ

アナログ

原子炉出力ペリオド短（起動領域計装）

アナログ

デジタル

中性子束高（起動及び平均出力領域計装）

アナログ

デジタル

中性子束指示低（平均出力領域計装）

アナログ

デジタル

中性子計装動作不能（起動及び平均出力領域計装）

アナログ

デジタル

スクラム・ディスチャージ・ボリューム水位高アナログ（接点）

主蒸気隔離弁閉アナログ（接点）

主蒸気管放射能高

アナログ

デジタル

主蒸気止め弁閉アナログ（接点）

蒸気加減弁急速閉（ＥＨＣ油圧低）アナログ（接点）

地震

アナログ（接点）

原子炉モード・スイッチ「停止」の位置

アナログ（接点）

手動

アナログ（接点）24 条 - 別紙 3 - 4

56

第2表

工学的安全施設作動回路の構成機器
構成機器

機能

信号の種類
検出器

設定器

主蒸気管放射能高

アナログ

デジタル

主蒸気管圧力低

アナログ

アナログ

主蒸気流量高アナログ

アナログ

原子炉水位異常低下

アナログ

アナログ

主蒸気管トンネル温度高

アナログ

アナログ

復水器真空度低

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

ドライウェル圧力高

アナログ

アナログ

原子炉水位異常低下

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

デジタル

アナログ

アナログ

アナログ

アナログ

アナログ

アナログ

主蒸気隔離弁閉

高圧炉心スプレイ
ドライウェル圧力高系，低圧炉心スプレ
イ系及び低圧注水系
原子炉水位異常低下の起動
自動減圧系の作動
高圧炉心スプレイ系
ドライウェル圧力高ディーゼル発電機及び非常用ディーゼル
原子炉水位異常低下
発電機の起動ドライウェル圧力高原子炉建屋常用換気系 の 閉 鎖 と 原 子 炉 建 原子炉水位低屋ガス処理系の起動
原子炉建屋放射能高ドライウェル圧力高
主蒸気隔離弁以外の原子炉水位低主要な隔離弁閉鎖
原子炉水位異常低下

24 条 - 別紙 3 - 5

57

別紙 4

ソフトウェア更新時の立会における，インサイダー等に対するセキュ
リティ対策

安全保護回路について，検出器から論理回路入口までの構成機器のうちデジタル演算処理を行っている機器は，プロセス放射線モニタ盤，中性子束計
装モニタ盤である。これらについては以下の対策を実施する。
データ収集端末については，デジタル演算処理を行っている機器からのデータ受信機能のみを設けることとし，施錠管理されたラック内に保管する。
また，データ収集端末は，当社保修員が許可した者に限定して貸し出しを行うこととする。
データ収集端末接続のためには制御盤の解錠が必要であり，制御盤の鍵は発電長の許可を得た上で貸し出しを行う。
これらにより，許可された者のみアクセス可能とする。

24 条 - 別紙 4 - 1

58

別紙 5

安全保護回路のうちデジタル部分のシステムへ接続可能なアクセスについて安全保護回路は，検出信号処理において一部デジタル演算処理を行う機器がある他は，アナログ回路で構成している。
デジタル演算処理を行う機器への接続可能なアクセスとして，データ収集
端末の接続がある。こちらについては以下のとおり対策する。
(1)

データ収集端末による不正アクセスの防止対策
データ収集端末は，中性子束計装モニタ盤に接続することによりデジタ
ル演算処理を行う機器からデータを受信する機能がある。この場合において，中性子束計装モニタ盤からはデータを発信するだけであり，データ収
集端末には自身から中性子束計装モニタ盤に向けて通信する機能は持たせ
ていない。

(2)

物理的アクセスの制限
データ収集端末は通常時接続はせず，接続のためには制御盤の解錠を必要とする。また，施錠管理された場所に保管することで管理されない使用及び変更を防止している。
発電所への入域に対しては，出入管理により物理的アクセスを制限し，管理されない変更を防止している。

24 条 - 別紙 5 - 1

59

別紙 6

安全保護回路のうちデジタル部分について，システム設計と実際のデバイスが具備している機能との差（未使用機能等）による影響の有無

システム設計に基づき，安全保護上要求される機能が正しく確実に実現されていることを保証するため，安全保護回路のうち，デジタル演算処理を行う機器は，工場出荷前試験及び導入時における試験を実施することにより，要求される機能を満足することの確認及び未使用機能等による悪影響がない
ことの確認が供給者によって確実に実施されていることを確認している。

24 条 - 別紙 6 - 1

60

別紙 7

安全保護系の過去のトラブル（落雷によるスクラム動作事象等）の反
映事項

安全保護系に関わる過去のトラブル情報を抽出し，東海第二発電所の安全保護系の設計面へ反映すべき事項を下記のとおり確認した。

(1)

過去の不具合事象の抽出
安全保護系の設計面に反映が必要となる事象の抽出にあたり，以下を考慮した。
ａ．公開情報（原子力施設情報公開ライブラリー「ニューシア」）を対象
ｂ．キーワード検索（安全保護系，原子炉保護系，工学的安全施設作動回路，雷，ノイズ，スクラム等）により抽出
ｃ．間接的な影響（他設備のトラブル）によって安全保護系へ影響を与えた事象（安全保護系の正動作は除く）(2)

反映が必要となる事象の選定
安全保護系の設計面に反映が必要となる事象について，第1図及び第1表に基づき抽出した。抽出された過去の不具合事象を第2表に示す。

(3)

過去の不具合事象への対応について
安全保護系の設計面への反映要否について検討を実施した結果，抽出された1件については対応を実施しており，また，その他の不具合事象については反映不要であることを確認した。
なお，今後新知見等が得られれば，設計面への反映を検討していく。

24 条 - 別紙 7 - 1

61

ニューシア情報

安全保護系に影響を及ぼさない事象

YES

対象外

NO

人的要因による
事象

YES

操作・手順ミスによる不具合事
象（60件）

YES

一過性及び基板故障等の設備不具合，事象発生プラント固有の原因による不具合（125件）

NO

設備の不具合，プラント固有の原因（設計面への反映
無し）による事象

NO

不具合事象に対して設計面の対策を実施した事象（1件）

第1図

第1表
項目

設計面へ反映すべき事項の抽出フロー

設計面への反映を不要とする理由
事象例

安全処置の実施又人的要因による事象 は 復 旧 時 の ミ ス ，
作業手順のミス等
計器・部品の単体
故障，一過性故障，偶発故障等
設備の不具合，プラプラント固有の原
ント固有の原因（設因によるケーブル
計面への反映なし）
へのノイズ混入やによる事象
機器振動の計装配管への伝搬による
誤動作

理由
作業手順，作業管理等の人的要因によるものであり，設計面へ反映すべき事項ではない。
故障した部品の交換等の対策を図ることが基本であり，設計面
へ反映すべき事項ではない。
事象発生プラント固有の原因によるものであり，東海第二発電所の設計面へ反映すべき事項ではない。

24 条 - 別紙 7 - 2

62

第2表
件名
会社名・
プラント
発生日
事象発生
時の状況

抽出された過去の不具合事象

原子炉保護系チャンネルＡのトリップについて
日本原子力発電株式会社 東海第二発電所
1982年3月18日
出力１，１００ＭＷで定常運転中の３月１８日１６時５６分，原子炉保護系チャンネルＡが，原子炉圧力高（Ａ２）の動作によりトリップした。
関連パラメータには，異常が認められなかったので，チャンネルＡトリップをリセットして，運転を継続した。

原因調査
当該圧力スイッチ（Ｂ２２－Ｎ０２３Ｃ）の較正確認試験をの概要実施した結果，セット値７３．３ｋｇ／ｃｍ ２ ｇ（原子炉施設
保安規定に定める設定値は７４．０ｋｇ／ｃｍ ２ ｇ）に対し，動作値は７２．１ｋｇ／ｃｍ ２ ｇであり，動作値がセット値に対し１．２ｋｇ／ｃｍ ２ ｇ低い（ドリフト）ことが判明した。
なお，当該圧力スイッチ（Ｂ２２－Ｎ０２３Ｃ）は，昨年７
月２８，２９日にも同じ事象が発生しており，その後，再現性テスト，配管・サポートの点検，圧力スイッチの固有振動数並
びに運転中の圧力変動（脈動）及び振動値（加速度）の測定等の結果，当該圧力スイッチの検出管は，他の検出管に比べ圧力変動（脈動）が大きい（変動巾最大値１．３５ｋｇ／ｃｍ２ｇ）現象が認められた。しかし，動作に至るほどの変動ではな
かった。このため，定検後の原子炉起動時（昨年１２月）には，検出配管内のフラッシング及び空気抜きを十分に行っていた。
事象の原
当該圧力スイッチの動作値がドリフトしていたこと及び検出
因
配管内の圧力脈動等を瞬時に検出して，動作したものと考えられる。
再 発 防 止 （１）当該圧力スイッチは動作値がドリフトしていたので，予対策
備の圧力スイッチと交換した。
（２）次回定検時，検出方式を現在の現場圧力スイッチ方式から，圧力変動（脈動）等の影響（誤動作）及びドリフトの少ない，アナログ方式に変更する。
（３）中間停止（今年６月）から次回定検（今年１１月開始）までの運転中，関連パラメータをイベントレコーダに接続して，誤動作が生じるような事象の連続監視を行う。

24 条 - 別紙 7 - 3

63

参考１
サイバー攻撃（ランサムウェア）による安全保護回路への影響について

チェルノブイリ原子力発電所周辺において，ランサムウェアによる攻撃により，ウィンドウズ・システムを使う放射線センサが作動しなくなったため手動に切り替えたとの報道がある。
安全保護回路は，検出信号処理において一部デジタル演算処理を行う機器がある他は，アナログ回路で構成している。また安全保護回路とそれ以外の設備との間で用いる信号はアナログ信号又は接点信号であり，また外部ネットワー
クへ直接接続されておらず，外部からのランサムウェア等のサイバー攻撃に対して安全保護回路が影響を受けることはないと考える。
プロセス計器

検出器（アナログ）

安全保護系
設定器盤（アナログ）

放射線モニタ計算機
検出器 増幅器（アナログ）

防護装置

外部

プロセス放射
線モニタ盤（デジタル）

中性子束計装アナログ信号
検出器 増幅器（アナログ）

中性子束計装モニタ盤（デジタル）

通信24 条 - 別紙 7 - 4

64

参考２
安全保護系の過去のトラブル（落雷によるスクラム動作事象等）の反映事項
において，柏崎の落雷事象を反映不要とした理由

柏崎刈羽原子力発電所 6 号機で発生した落雷によるスクラム事象は，原子炉建屋外壁埋設となっていた信号ケーブルに雷サージ電流が侵入したことが原因と考えられる。
東海第二発電所における安全保護回路のケーブルは，建屋内に集約されており，原子炉建屋外壁埋設となっていないため，上記事象はプラント固有の原因と判断し，設計面へ反映すべき事項の抽出フロー（別紙 7-2 第 1 図）により反映不要としている。
なお，安全保護回路を含む重要安全施設に対する落雷影響については，6 条「外部からの衝撃による損傷の防止」（7.落雷影響評価について）において評価し，機能が損なわれないことを確認している。

24 条 - 別紙 7 - 5

65

別 添

東海第二発電所

運用，手順説明資料
安全保護回路66

第 24 条安全保護回路設置許可基準 第 24 条 第 1 項 第 6 号
不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止することができるものとすること。
（解釈）
第 6 号に規定する「不正アクセス行為その他の電子計算機に使用目的に沿うべき動作をさせず，又は使用目的に反する動作をさせる行為による被害を防止すること」とは，ハードウェアの物理的分離，機能的分離に加え，システムの導入段階，更新段階又は試験段階でコンピュータウイルスが混入することを防止する等，承認されていない動作や変更を防ぐ設計のことをいう。

安全保護盤

物理的分離

機能的分離

コンピュータウイルスの混入防止

アクセス制限出入管理

不正なアクセスを遮断する措置施 錠 管 理【 第 7条 （ 発

固有のプロ

防護装置を

【 第 7条 （ 発施錠管理，パ

（データ収

電用原子炉

グラム言語

介して一方

電用原子炉

スワード管理

集端末の施

施設への人

を使用

向通信

施設への人

（制御盤及び

錠管理，制

の不法な侵

の不法な侵

データ収集端

御盤の施錠

入）にて整

入）にて整

末保管場所の

管理）

理】

理】

施錠管理，設
定値変更時の鍵管理及びパス ワ ー ド 管
理）

工

保

核

工

【後段規制との対応】

工核【添付六，八への反映事項】

工：工認（基本設計方針，添付書類）：添付六，八に反映

保：保安規定（運用，手順に係る事項，下位文書含む）：当該条文に該当しない

核：核物質防護規定（下位文書含む）

工（他条文での反映事項他）

24 条 - 別添 - 1

67

第1表
設置許可基準対象条文

運用，手順に係る対策等（設計基準）

対象項目

施錠管理

区分

運用対策等

運用・手順

・施錠管理に関する管理方法を定める。
（運転員，保修員による識別及び施錠管
理）－－・管理（設定値変更時のパスワード管理の手順整備含む）・操作（パスワード入力手順の整備含む）（保修員によるパスワード管理）
－
－

体制
保守・点検
教育・訓練

第 24 条安全保護回路

運用・手順
パスワード
管理

体制
保守・点検
教育・訓練

24 条 - 別添 - 2

68