逆シミュレーションの勧め~福島第一原発事故原因特定に向けて

はじめに

原子力は他のエネルギーと違って、原子炉に停止用の制御棒を挿入してシステムを停止しても「崩壊熱」が引き続き発生するので、停止後であってもこの冷却除去に失敗すれば燃料がメルトダウンする、ということは原子力の教科書の冒頭に出てくる注意事項である。

具体的には、全出力で運転している原子炉を「緊急停止」した瞬間から、崩壊熱と冷却システムの闘いが始まるのであり、原子力発電の開発当初から、原発の天敵は「外部電源喪失」であるとして、この時の対策に腐心してきたのだと思う。

特に福島第一原発のような沸騰水型（BWR）は外部電源喪失時に原子炉が「緊急停止」すれば、原子炉内の高圧蒸気で駆動されるECCS(非常用炉心冷却装置：HPCI)を備え、その起動は蓄電池等による直流電源とすることで、交流電源を失っても崩壊熱の冷却が可能なように万全を期していたはずである。非常用ディーゼル発電機の交流電源に頼らないこの緊急「崩壊熱対策」は、加圧水型（PWR）にはない最大の特長であったはずである。

私が現役時代にNUPEC（原子力発電技術機構）で改良実用化に携わったERSS(緊急時対策支援システム)は原発の事故時にリアルタイムでその事故進展を予測するシミュレーションシステムであるが、こちらも原発の天敵である「外部電源喪失」時にも確実に対応できるように様々な対策が取られていた。その一つが「無停電電源装置」と呼ばれる停電対策であった。このシステムの電源ケーブルが第１図に示すように、事故の４か月前からつながれていいなかったことも、ERSSが福島第一原発事故で活躍できなかった理由の一つかもしれない。

日本の原子力安全問題の根本は、「技術大国の日本で原発の大事故など起こるはずがない」と関係当事者たちが原発のリスクを軽視していい加減な管理と運営を行っていたのであり、福島第一原発事故後に至ってもその失敗事実を隠し続けながら、再稼働に前のめりになって事故の原因究明を後回しにしていることが、次の事故防止策をピンポイントで特定できない理由である。

ERSSとSPEEDI

２０１１年３月１１日の東日本大震災の時に、当時の原子力安全・保安院が当時の菅直人総理大臣に「福島第一原発が停電になっているので、ERSSが動かずそのシミュレーション結果を使って放射性物質の拡散状況を予測するSPEEDIが使えません」と報告したとされている。

菅直人総理大臣はご自身を理科系と自負されていたようであるが、彼がこの時混乱したのを想像すると以下のようになると思う。

総理大臣である自分が出席して訓練した「原子力災害訓練」はSBO（全交流電源喪失）の訓練だった。あの訓練も原発は停電であったはずなのに、その時の自分の目の前にはERSSの事故進展予測による放出量を入力してSPEEDIで作成した放射性物質の拡散予測図がおかれていて、避難訓練はその図にしたがって行われたと記憶しているのだが、いざ事故の本番になると,なんと原子力安全・保安院は「原発が停電しているからERSSが動かずSPEEDIがつかえない」と言っている。

彼は思わず、目の前で「停電だからSPEEDIが使えないのは当然」のように説明する原子力安全・保安院長にむかって「君は理科系か？」とただしたのが真相ではないかと思う。

この災害でSPEEDIが役に立たなかったという理由で、今後ERSSとSPEEDIによる予測による避難はおこなわないことになった。

今後これらを使わないという根拠がまことに不透明であるので、その理由を推理してみる。もし、今後とも事故時にERSSとSPEEDIによる予測を使って避難指示を出すことにすると、関係自治体とか専門家から、福島第一原発事故そのものを対象とした事故訓練を行ってほしい、というリクエストがあるかもしれない。

2011年3月11日の14時46分に震度6強の地震が発生し、全出力で運転中だった1,2,3号の原子炉が「外部電源喪失」により直ちに「緊急停止」した。そして15時37分に津波が到達して「SBO」になったとされている。

これを事故訓練でERSSを使ってシミュレートすると、「外部電源喪失」時点に「緊急停止」した原子炉は既に膨大な崩壊熱を放出してメルトダウンに向かっているのに、３基ともECCSによる崩壊熱の除去が始まっていないことがはっきりするのである。また、この時に国の防災専門官が駐在していた原発から逃げ出した理由もはっきりするのである。

東電の説明では、例えば２号機で「運転員がRCIC(隔離時原子炉冷却装置)を直ちに動かして、原子炉水位が確保されていたのでECCSを使わなければならない状況ではなかった」と説明しているのだが、２０２０年７月に発表した拙稿「専門家の間違った常識が福島第一原発事故原因究明を阻害している」（https://bee-media.co.jp/archives/3379）で説明したように、緊急停止で急低下していた原子炉水位が数分で回復したのはRCIC投入によるものではなく、崩壊熱が作るボイド（気泡）の力によるものであり、ボイドの力で原子炉水位が通常水位よりも高い位置に押し上げられ、その水位はRCICの自動停止レベル（L-8）以上に高止まりしてしまうため、運転員がRCICを手動起動しても、その都度強制的にこれが自動停止されて、RCICは崩壊熱を冷却することなく実力を発揮できていない。

このボイドに打ち勝って炉心冷却するためには、RCICの10倍の力を持つECCSを投入してボイドをつぶしながら冷水を注入しなければならなかった。

このような状況がばれるのを恐れて、国が行う事故訓練はERSSを使うことをやめて、突然SBOからスタートするとして行われている。福島第一原発事故のいろいろな報告書もSBO時点から話を始める傾向にあるため、事故の真相に迫ることができなかった。

逆シミュレーションという思考実験

このように、ERSSを使って「緊急停止」後の事故進展をシミュレートすれば、福島第一事故の事故原因は「崩壊熱」対策の失敗であることは明確になるのだが、現在の私たちはERSSを動かすことができない。

したがって、今回は逆シミュレーションを行うという思考実験を行うことで、福島第一原発事故の事故原因を考えてみたい。なお、逆シミュレーションとは何かを理解していただくために、第一部として福島第一原発事故の放射性ヨウ素の拡散を実測から逆シミュレーションした方法を説明し、その後第２部として、福島第一原発事故の原因を考察するための逆シミュレーションの方法を説明する。

実測値から放射性ヨウ素の影響配置地図を作る方法

ご存じのように、事故当日にはSPEEIはERSSから放出量が与えられなかったので、役に立たなかったといわれている。第2図は、3月24日になって放射性ヨウ素の線量を現地で実測して作った放射性ヨウ素の拡散図である。24日に測定するということは3月12日午前6時から3月24日午前0時までのヨウ素が積もり積もった結果であり、その間に半減期8日での減衰もあっての値である。

説明のため、測定地点を仮に図の1~5の5地点だったとしよう。SPEEDIにこの12日間の気象条件を与えたうえで、拡散地図を出力させるのだが、まず、例えば放出量として放射性ヨウ素１BqをSPEEDIに与えて、シミュレーションすると５地点ともほとんど０mSvでしかないだろう。

SPEEDIに与える放出量を少しづつ増やしていきながらシミュレーションをすると、例えば、160×10^15Bqの時のシミュレーションが、5地点の実測値との一致度が最も良好だったとしたら、真の放出量がこの値だったことになる。そこでこの160PBｑをSPEEDIに正式に与えてシミュレーションさせて地図を作れば、この蝶々のような拡散図が描かれるということである。

福島第一原発事故の進展を逆シミュレーションで求める方法

SPEEDIの図を実測値から逆シミュレーションする方法を上述した。では、事故の進展をERSSで逆シミュレーションする方法はないのだろうか。日本でECCSが動いたことが過去に5件あるという（第３図）。そしてなんとその中の2回が福島第一原発2号機である。

福島第一原発２号機の2回とは１９８１年５月１２日と１９９２年９月２９日であり、いずれも１００％出力運転中の緊急停止であり、直ちに原子炉の水位が低下しECCS(HPCI)とRCICが自動で作動している。いずれも崩壊熱の早期冷却処理という点で合格であり、１９７５年に発生した米国ブラウンズフェリー火災事故に関して１９８１年に発表されたオークリッジ国立研究所の報告書NUREG/CR-2182の考え方に即したものである。

前述のヨウ素のシミュレーションで仮定した実測値５地点の代わりに福島第一原発２号の過去２回のECCSが自動起動したケースを①と②とし、福島第一原事故の９か月前に「外部電源喪失」したがRCICを運転員が機敏に手動停止して、ECCS (HPCI)を使わなかったケースを③とし、東日本大震災の日の「外部電源喪失」から津波到来でSBOになりメルトダウンしたケースを④とし、同じ東日本大震災の時の同じ沸騰水型の東海第二がECCSとRCICを３分程度で自動起動したケースを⑤とする。これらを表にすると以下のようになる。

逆シミュレーションを行うにあたって配慮すべき状況

ⅰ　水位の低下とECCS の起動

ケース①と②からわかることは、１００％運転中に原子炉が「緊急停止」となれば、崩壊熱を冷却処理するためにECCS（HPCI）とRCICが自動起動するということである。ECCS（HPCI）とRCICが自動起動するのは、行き場を失った蒸気の圧力が上がって、原子炉内のボイド（気泡）をつぶして原子炉水位がこれらの起動のレベル（L－２）まで低下するからである。

ケース①と②の原子炉の低下がどれくらいの速さで低下したかが公表されてないのでわからないが、元原子力安全委員会委員長の佐藤一男氏が著書「改訂　原子力安全の論理」日刊工業新聞社　ｐ173でいうように、設計基準事故の場合は10分以内に必要なことは自動で進行することになっているのだから、①と②のECCSとRCICの起動は10分以内であったはずである。

東海第二の⑤の場合もECCSとRCICは３分以内で自動起動していることから見ても、「外部電源喪失」や「作業員のミス」で高圧復水ポンプなどが停止すれば原子炉は「緊急停止」するので、ECCSとRCICが数分以内に自動起動するはずである。では、この時の水位の復旧速度はどうだろう。今年２０２０年７月に発表した拙稿「専門家の間違った常識が福島第一原発事故原因究明を阻害している」（https://bee-media.co.jp/archives/3379）で説明したように、ケース③とケース④でRCICを手動起動した後、原子炉水位が回復するまでに、③は５０分くらいかかり、④は１分で回復していた。

その理由を私は、原子炉水位の回復があまりに早いので、RCICを手動起動したタイミングがほんのちょっと違うだけで、この差が出たのだと思う。すなわち、③は２０１０年６月１７日の原子炉停止１４時５２分とほぼ同時の１分以内に手動起動しているから原子炉水位が急降下して間のないつぶれたボイドが崩壊熱によって成長する前にRCICが投入されたのだろう。

だから、崩壊熱によってボイドがだんだん成長していく力とRCICの注水がボイドをつぶす力が最初は均衡していてせめぎあいになり、やがて崩壊熱が蓄積するにつれてボイドの成長力が勝り、原子炉水位が通常水位レベルを超えて、RCICを自動停止する水位L－８まで上昇するまでに約５０分かかったと考えられる。一方④は２０１１年３月１１日の原子炉停止１４時４７分から３分後の１４時５０分というタイミングで手動起動しているから、崩壊熱によってボイドが成長し、水位が、RCICがトリップする設定水位L－８直前まで上昇したところに遅ればせながら３分後にRCICが投入されたので、RCICは投入後１分で水位高によりトリップしたと考えられる。

東電はRCICが投入されたので水位がＬ－８まで回復したと説明しているが、③の場合に水位はＬ－８を超えてはるかに上昇しているから、「RCICの力で水位を維持できた」という説明には無理がある。ここで想像できるのは、原子炉が緊急停止すると約１分程度でL―2以下に水位が低下し、３分後にはほとんど水位が自力でＬ－８までも上昇回復するぐらい一瞬の出来事だということである。

この素早い動きを①と②の水位計は感度よく把握したのだが、③と④の水位計は、東電の故意かどうかわからないが、感応しなかったのではないか。原子力の専門家の多くは、水位さえ回復できればECCSは不必要だと考えている人が多い。

原子炉水位の回復と上昇は崩壊熱に支えられたボイドの力であって、原子炉水位があってもそれはボイドを多量に含んだ原子炉水位であり、RCICは水位高Ｌ－８で自動停止するように設定されているから手動投入してもすぐトリップしてしまうRCICはほとんど出る幕がない状態で無力である。

原子炉はボイドによる泡だらけで水位が存在しているものの、RCICの冷水が入ってこないため冷却はほとんどできなくなっている。RCICの１０倍の力のあるECCSでボイドをつぶしながら冷水を原子炉内に注入しなければ、崩壊熱の行き場がないから燃料がメルトダウンするというのが、私の主張である。

ⅱ　東電の説明

ケース③は清水社長の2011年5月1日の国会での説明によると原子炉水位は低下したもののRCICを運転員が機敏に手動起動したから水位はECCSの起動レベル（L－２）まで低下せずECCSは自動起動しなかったと言っている。運よくこの時は、外部電源が３３分後に回復したためあらゆる補機が通常どおりに使えるようになったと思われる。

ケース④は東日本大地震の時の「外部電源喪失」であるが、これについても東電は、運転員がRCICを手動起動したので、原子炉水位はECCSの起動レベルにまで低下しなかった、と説明している。

約５０分後に津波が到来して非常用ディーゼル発電機が水没して使えなくなり、ＳＢＯとなったので原子炉がメルトダウンしたと東電は説明しているが、これは元原子力安全委員会委員長の佐藤一男著「改訂　原子力安全の論理」日刊工業新聞社　ｐ173のいう設計基準事故では１０分以内に必要な操作は自動で行われるようになっている、という主張と矛盾している。

「外部電源喪失事故は」設計基準事故（DBA）だから１０分以内にECCSが自動起動して、事故にならない設計となっているはずだからである。

ⅲ　ECCSと崩壊熱

ECCSの目的が「崩壊熱処理のためにある」のだから、④が崩壊熱のためにメルトダウンしたのにこの時ECCSが動こうとしなかったことが大きな矛盾である。①②⑤でECCSが自動起動したことは自然なことである。③はECCSを動かさないことにしていたが、運よく33分後に外部電源が回復したから、例えばあらかじめ原子炉を減圧して交流電源駆動のLPCI(低圧注入系)が使えるようになるなどして、事なきを得たという説明が可能かもしれない。

ひょっとしたら。外部電源が復旧する前から気の利く運転員が、原子炉の減圧に取り掛かっていたのかもしれない。一方、何もしなかった④はメルトダウンしてしまった。

ⅳ　ECCSの起動条件

前述の元原子力安全委員会の佐藤一男氏の主張にかんがみれば、原子炉水位が下がって安全系のECCSとRCICが動くまでに１０分以内のはずなのに、③と④が動かなかったのは、これらの自動起動回路に阻止条件がかまされていたか、水位計の感度が数分以上の平均値に対応するか、瞬間的な変化をカットするロウカット回路がかぶせられていたのかもしれない。

あるいは、LOCA(配管破断等で冷却材が失われる冷却材喪失事故)の時だけ起動するようにECCSとRCICの起動回路に「格納容器圧力高」の条件をかませておいたと仮定すると、③と④の原子炉水位が①と②のようにこの数分で低下したのに、ECCSが自動起動しなかったことの理由が付く。この場合、③④はECCSの起動条件を東電がいつの間にか変えていたということになる。

逆シミュレーションによる福島第一原発事故の事故進展

a.①、②、⑤のように「外部電源喪失」時に原子炉が「緊急停止」すると、原子炉水位が急激に低下して、ECCSとRCICの自動起動水位レベルL－２となり、ECCSとRCICが自動起動して、崩壊熱を冷却除去できるので当然メルトダウンという大事故にならないということをシミュレーションで確認する。

ｂ、上記シミュレーションで、約５０分後に津波が来てSBOになればメルトダウンするのかどうかを確かめる。メルトダウンしなければ「津波がメルトダウンの原因説」が消えて「ECCS説」が絶対視されることになる。一方メルトダウンするのであれば、事故原因は津波だった可能性が生じる。ただし、その５０分間に東電が原子炉の原子炉を減圧してまだ動いている非常用ディーゼル発電機を使って低圧注入系（LPCI）を動かすなどの努力をしないという条件付きである。

ｃ、③のように「外部電源喪失」時の「緊急停止」でECCSを動かさず、１分以内にRCICを手動投入するとその後３３分間原子炉水位がL－２まで低下しないため、ECCSが自動起動しないことがあるというシミュレーションが存在可能かを検証し、原子炉水位の変化を見る。もしこの時、原子炉水位がL－２まで低下するのであれば、東電がECCSの自動起動回路を停止していたことになる。逆に、ほんとうに水位がL－２まで低下しないことがあるとすれば、「崩壊熱」の除去手段であるECCSが自動起動しない場合がありうるということになるので、１９７５年に発生した米国ブラウンズフェリー火災事故に関して１９８１年に発表されたオークリッジ国立研究所の報告書NUREG/CR-2182が推奨するように「緊急停止後に運転員が一刻も早く手動で起動」するというルール作りが必要となる。

ｄ、④のように、「外部電源喪失」時の「緊急停止」でECCSを動かさず、RCICを３分後に投入しても、原子炉水位がL－２まで低下しないためECCSが自動起動しないことがあることが事実かを検証するのはcと同様である。また、津波到来の時間まで減圧等も行わず５０分後に津波でSBOとなった場合に３．１１のようにメルトダウンに至ることをシミュレーションで確認する。これは、福島第一原発事故の追認である。

e, ④の場合は特に、もし津波が来なければ、すなわちSBOにならなければ、メルトダウンに至らなかったのかそれともやはりメルトダウンしたのかのシミュレーションが重要である。本稿の本当の目的はここにある。この場合、SBOにならなくてもメルトダウンするのであれば、「津波がメルトダウンの原因」説が全否定され、「ECCS説」が絶対となる。「津波が原因」となると、３．１１の時、東電はSBOになるまで、減圧などの手段を取らずひたすら無駄にRCICを手動起動していたのだから、「ECCSを動かさなかったこと」に加えて「東電の無策」が原因だということになるかもしれない。ｆ、e で「津波が原因」となると、④の場合に津波が来るまでに原子炉を減圧して、まだ動いている非常用ディーゼル発電機の電力で駆動できる低圧注入系（LPCI）による冷却等が間に合ったかどうかのシミュレーションを行うことが考えられるが、これがメルトダウンを回避できたかどうかは、私にはわからない。ただ、シミュレーションの結果がどうであれ、東電がこういう多層の努力をしようとしたかどうかが問われるべきであろう。また、原発の再稼働を目指すのであれば、この状況でどんな手段を多重的に行うかというプログラムを準備するべきではないだろうか。

以上の事実をすべて満たす事故進展シミュレーションを行って、事故進展の事実データと放射性物質の放出量の実績に最も近い事故進展を、福島第一事故の真相と原因とすることにすれば、一応事故原因が特定できたことになるのではないだろうか。原発を再稼働するのであれば、このような検証を行った後とするべきだった。

おわりに

高知大学医学部での非常勤講師が８年続いたのだが、その中で原子力安全委員会が作成した放射性ヨウ素の拡散図（前述第２図）は「福島第一原発事故の約２週間後になって放射線ヨウ素の実測から、SPEEDIを使って拡散地図を逆シミュレーションした」と学生たちに説明していた。本来はERSSが当日にリアルタイム事故進展を予測して、その結果出てきた放出量をSPEEDIにつないで、SPEEDIが気象と地形を考慮した拡散予測を出力するはずだったのだからERSSを現役時代に担当したものとして、ERSSが活躍できなかったことに悔しい思いがあった。

放射性ヨウ素の拡散図を実測から逆シミュレートできるものなら、ERSSも事故後にわかっている事実をもとにして、福島第一原発事故の進展を逆シミュレートできるのではないかと考えるようになり、これを今回紹介した。前述したように福島第一原発２号機は過去に何度も「外部電源喪失」を経験しているので、ケース検討には十分のデータありで、考察に不足しなかった。

私の一貫した主張は、メルトダウンへのスタートラインはSBOではなく、「外部電源喪失」による緊急停止時に膨大な「崩壊熱」発生する時点がメルトダウンへのスタートラインだということである。地震で「外部電源喪失」が発生し原子炉が「緊急停止」したときをスタートラインとして、直ちにECCSを使って冷却すべきだということであり、３．１１の福島第一原発事故のメルトダウンは津波が到達してSBOになってからスタートしたのではないということである。そもそも大事故が起きたとき、例えばジェット機の墜落事故が起きたときは、その残骸を集めるなどして事故原因を究明して再発防止策を立てるというのが、一般的なやりかただとおもう。日本の規制側は「新しい規制基準に適合している」から再稼働を許す、としているようだが、福島第一原発事故の真の物理的原因を特定しないままで前のめりを許すというのは技術的に大事故再発への穴が開いているということである。私の主張である「外部電源喪失による緊急停止時に直ちにECCSを使うようになっていないことが第一原発事故の原因である」というのが正しいとすると、２０１８年９月６日未明に北海道で発生した「全島ブラックアウト」と同じことが、近い将来発生するといわれる南海トラフ地震時に発生し、この時必然的に原発の「外部電源喪失」が発生し、その時に直ちにECCSで「崩壊熱」を冷却するというルールを確立していなければ、稼働中の原発が枕を並べてメルトダウンするという可能性を否定できないと思うのである。