チェルノブイリ原発事故⑨｜事故原因は「運転員のミス」だけだったのか――INSAG-7が覆した初期説明

1986年8月。

チェルノブイリ原発事故から約4か月後、
ソ連の専門家たちはウィーンに集まった。

国際原子力機関――IAEAで開かれた
事故後検討会議。

そこでソ連側が示した説明は、
事故原因を理解するうえで
その後長く影響を残すことになる。

事故の主因は、
4号炉の運転員が
運転規則と手順を繰り返し破ったことだった。

低すぎる出力で試験を行った。

安全装置を無効にした。

制御棒を引き抜きすぎた。

危険な状態にもかかわらず
試験を続行した。

そうした運転員の行動が重なり、
本来なら起こるはずのない事故を起こした――。

事故直後の公式説明は、
大きく言えばこの構図だった。

しかしその後、
ソ連国内の事故調査資料、
RBMKの設計情報、
過去の異常事象、
制御棒の挙動に関するデータが
徐々に明らかになっていく。

すると、
1986年の説明だけでは
事故を説明できないことが分かってきた。

1992年、
IAEAの国際原子力安全諮問グループINSAGは
事故原因を再検討した。

その報告書が
INSAG-7
「The Chernobyl Accident: Updating of INSAG-1」
である。

そこでは事故原因の重心が変わった。

運転員だけではない。

RBMKの設計。

制御棒。

正のボイド係数。

安全解析。

運転手順。

設計者と運転員の情報共有。

規制機関。

そして
安全文化。

チェルノブイリは、
一つの夜勤チームの失敗ではなく、
ソ連原子力システム全体の弱点が
事故炉へ集約された事例として
再評価されるようになった。

1986年――事故原因は「極めてありそうにない規則違反の組み合わせ」

事故から4か月後の1986年8月、
ソ連はIAEAの専門家会議で
詳細な事故報告を行った。

後のINSAG-7に収録された
ソ連国家原子力安全監督委員会の再調査資料によれば、
この1986年公式説明では事故の主因が

「運転員による運転指示・手順違反の
極めてありそうにない組み合わせ」

として説明されていた。

つまり、
RBMKは通常なら安全だった。

しかし運転員が
複数の安全規則を同時に破ったため、
極端に特殊な状態が生まれた。

その結果として事故が起きた。

この説明なら、
事故原因の中心は
制御室にいた人間になる。

INSAG-1も、当初はソ連側情報を強く反映した

IAEAの国際原子力安全諮問グループINSAGは、
同年9月に
INSAG-1を公表した。

INSAG-1は、
1986年8月にソ連側が提示した情報を
重要な基礎としてまとめられている。

したがって、
運転員の行動に強い重点を置いた事故像が
国際的にも広がった。

当時報告された主な問題には、

• 非常用炉心冷却系を外したこと
• 原子炉を予定より低い出力まで下げたこと
• 低い運転反応度余裕――ORMで運転したこと
• 一部の原子炉保護機能を無効化したこと
• 試験計画から逸脱したこと

などがあった。

これらが組み合わさった結果、
事故へ至ったという理解だった。

しかし、調べるほど「違反」の一部が違反ではなくなった

事故後、
ソ連国内の記録や運転規則が
より詳しく調べられた。

すると、
1986年に「規則違反」とされた項目の中に、
実際には規則上許されていたものや、
事故の開始・進展に影響しなかったものが
含まれていることが分かった。

非常用炉心冷却系――ECCSを切り離したこと

事故当日の14時、
タービン試験の準備として
非常用炉心冷却系ECCSが切り離されていた。

INSAG-1では、
これが運転手順違反として問題視された。

ところが後の資料では、
責任者の承認があればECCSの切離しは可能で、
今回の試験手順にも含まれていたことが確認された。

さらに事故時には、
ECCSを自動作動させる信号そのものが
発生していなかった。

後の再評価では、
ECCSを切り離していたことは
事故の発生・進展には影響しなかった
とされた。

ただし、
予定外に試験が長時間延期された間も
ECCSを外したまま半出力で運転したことについては、
安全上適切だったとは評価されていない。

「700MW以下で運転してはいけなかった」

事故当夜、
試験は約200MW(th)で実施された。

試験計画では
約700MWで行う予定だった。

このため初期説明では、
低出力運転そのものが
重大な規則違反として扱われた。

しかし後のソ連側再調査では、
当時の

設計文書、
規制文書、
運転文書

のいずれにも、
700MW未満での原子炉運転そのものを禁止する規定はなかった
ことが確認された。

むしろ運転手順には、
特定の異常時に
200～300MW程度まで出力を下げる操作も
想定されていた。

問題は、
低出力域でRBMKの安定性が悪化することが
設計側で十分に安全限界として整理され、
運転員へ伝えられていなかったことだった。

タービン停止で原子炉を止める保護系を無効にしたこと

事故当夜には、
二基のタービンが停止した際に
原子炉を自動停止させる保護機能も
無効化されていた。

これも初期説明では
安全装置を意図的に解除した行為として
強く問題視された。

しかし後の再調査では、
当時の運転手順が
特定のタービン出力条件では
この保護系を無効化することを認めていた。

ソ連側再調査委員会は、
この操作そのものについて
運転員を責めることはできないとした。

それでも、運転員が「無実」になったわけではない

ここを逆方向へ単純化してはいけない。

INSAG-7は、

「事故原因はすべて設計者にあり、
運転員には何の問題もなかった」

と結論づけた報告ではない。

INSAGは、
事故原因の評価重心を
設計側へ大きく移しながらも、

「運転員の行動には、
多くの点で不適切なものがあった」

という評価を維持している。

実際に問題だった――ORM

事故前、
4号炉の運転反応度余裕ORMは
大きく低下した。

事故後の計算では、
01時22分30秒時点で
8本相当。

運転規則の下限15本を下回っていた。

ORM低下は、
実際の運転規則上の問題だった。

しかし第2回で見たように、
ORMには単なる
「制御棒を抜きすぎた」
以上の意味があった。

ORMが小さくなると、

正のボイド係数、
炉内出力分布、
制御棒挿入時の正反応度効果

というRBMK固有の安全特性まで悪化する。

ところが、
その重要性が運転員へ十分に理解できる形で
提示されていたとは言い難かった。

さらに事故直前のORM値は、
制御室でリアルタイム表示されていたわけではない。

事故後に磁気テープの記録から
再計算された値だった。

試験計画を現場で変更したことは、INSAG-7も批判している

INSAG-7が強く問題視した運転側の行動の一つが、
試験条件の変更だった。

試験は約700MWで行う計画だった。

しかし実際には、
出力が30MWまで急低下した後、
約200MWまで回復させたところで
試験を続行した。

原子炉状態は、
当初の試験計画とは大きく違っていた。

それにもかかわらず、
独立した安全審査を再度受けることなく
現場で試験が続行された。

INSAG-7は、
このような試験手順の現場変更について
明確に批判している。

最大の変化――「なぜ運転員の操作が大事故になったのか」へ

初期説明では、

「なぜ運転員は
これほど多くの規則を破ったのか」

が大きな問いだった。

INSAG-7では、
問いそのものが変わる。

「なぜ運転員がその操作をしたとき、
原子炉を安全に停止できなかったのか」

である。

人間は操作を誤る。

手順から外れることもある。

判断を誤ることもある。

原子力発電所の安全設計は、
その可能性を前提にして
重大事故へ進ませない必要がある。

ところが事故当時のRBMKでは、
ある炉心状態に入ると
運転員の操作を設計側が安全に吸収できなかった。

設計問題①｜大きな正のボイド係数

事故当時のRBMKでは、
運転状態によって
大きな正のボイド係数を持つことがあった。

冷却水が蒸気へ変わる。

中性子吸収が減る。

反応度が上がる。

出力が上がる。

さらに蒸気が増える。

つまり、
出力変化を抑えるのではなく
増幅する正帰還が成立し得た。

INSAG-7は、
RBMKの物理特性そのものが
不安定な挙動を可能にしていたことを
事故原因の重要部分として扱った。

設計問題②｜緊急停止系が最初に正反応度を入れ得た

さらに重大だったのが
制御棒設計である。

制御棒を大きく引き抜いた状態から
AZ-5を作動させると、
黒鉛ディスプレーサが
炉心下部の水を置き換える。

そのため挿入開始時に
一部の炉心へ正反応度が加わり得た。

第4回で見た
positive scram
である。

本来は原子炉を停止させる安全装置が、
特定状態では最初の瞬間だけ
逆方向へ作用する。

これは運転員の判断ではなく、
装置の物理構造による現象である。

しかも、この現象は事故前に観測されていた

さらに問題なのは、
制御棒による正反応度効果が
1986年4月26日に初めて発見されたわけではないことだった。

INSAG-7によれば、
同様の制御棒効果は
1983年のイグナリナ原発試運転時に確認されていた。

またチェルノブイリ4号炉の試運転でも
異常な反応度挙動が観測されていた。

それにもかかわらず、
十分な制御棒改修は行われなかった。

補償措置も取られなかった。

そして運転組織へ
危険性を確実に伝達する仕組みも機能しなかった。

これは、
チェルノブイリ事故を
単なるヒューマンエラーでは説明できない
重要な理由である。

1975年――レニングラード原発でも警告は出ていた

INSAG-7は、
チェルノブイリ以前のRBMK事故にも注目した。

1975年、
レニングラード原発1号機で
炉心の局所的な出力上昇と
燃料損傷を伴う事故が発生していた。

1982年には、
チェルノブイリ1号炉でも
燃料チャンネル損傷事故が起きている。

INSAG-7は、
こうした事象が
RBMKの特性や運転上の弱点を示す警告になっていたと指摘する。

しかし得られた経験は、
他のRBMK発電所へ十分共有されなかった。

チェルノブイリ4号炉の運転員は、
レニングラード事故の性質や原因について
十分な情報を持っていなかった。

事故情報が「組織の中」で止まっていた

ここから事故原因は、
原子炉工学から組織論へ広がっていく。

ある発電所で異常が起きた。

設計部門が問題を知った。

別の研究機関が解析した。

しかしその情報が
別の発電所の運転員へ届かない。

危険性が運転規則へ反映されない。

制御室の警報やインターロックにも反映されない。

それなら、
人間は知らない危険に対して
正しい判断をすることができない。

規制機関は、設計者から十分独立していたのか

さらにINSAG-7が問題視したのが、
ソ連の原子力規制体制だった。

原子力施設では、
設計者や運転事業者とは独立した立場から

「その設計は安全要求を満たしているか」

を審査する規制機関が必要になる。

ところがINSAG-7は、
事故当時のソ連について
強力で独立した規制体制が存在していなかった
と評価している。

安全解析。

運転員教育。

規則の強制。

安全文化の推進。

複数の領域で規制機能が不十分だった。

RBMKの基本設計自体も、
当時存在していた複数の原子力安全要求を
満たさない部分を抱えたまま承認されていた。

設計者・運転員・規制――責任の境界が曖昧だった

INSAG-7の序文では、
事故以前のソ連原子力分野について

設計者、
技術者、
製造者、
建設者、
運転者、
規制者

の間で、
運転経験のフィードバックと情報伝達が
不十分だったことが指摘されている。

さらに責任分担も明確ではなかった。

一つの組織が
完全に事故を起こしたというより、

複数組織の境界部分に
安全上の情報が落ちていった

と見ることができる。

ここで「安全文化」という言葉が出てくる

INSAGがチェルノブイリ事故を議論する中で
重要視した概念が
Safety Culture――安全文化である。

これは、
「作業員が安全意識を持ちましょう」
という精神論ではない。

安全を最優先するための
組織構造と行動様式全体を意味する。

異常情報を共有する。

設計の欠点を隠さない。

独立した安全審査を行う。

生産目標より安全限界を優先する。

運転員へ必要な情報を与える。

危険状態なら
人間の判断を待たずに自動停止する。

規制機関が事業者へ
実効的な強制力を持つ。

これらすべてが
安全文化の一部になる。

チェルノブイリの問題は、現場だけの安全文化ではなかった

INSAG-7が踏み込んだのはここである。

安全文化の不足は、
チェルノブイリ原発の運転員だけの問題ではなかった。

設計。

エンジニアリング。

建設。

製造。

運転。

規制。

ソ連原子力産業の
複数段階に存在したとされた。

つまり、
事故当夜の制御室は
安全文化不足の「原因」だけではなく、
それまで積み重なっていた
組織的問題が最後に現れた場所でもあった。

1986年とINSAG-7を比較すると

INSAG-7はINSAG-1を「撤回」してはいない

ここも重要である。

INSAG-7自身は、
INSAG-1を全面撤回したとは述べていない。

新しい情報によって
事故要因の
「バランスが変わった」
と表現している。

運転員の不適切な行動は残った。

しかし1986年のように
事故原因のほぼすべてを
運転員へ負わせることはできなくなった。

INSAG-7では、
一部の「規則違反」は
そもそも規則違反ではなかったと認められた。

一方で、
実際に運転規則から外れた行動や
試験手順の現場変更については
批判が維持された。

最も重要な問い――「人がミスしたら爆発する設計」でよかったのか

チェルノブイリ事故を
運転員のミスだけで説明すると、
再発防止策は簡単になる。

運転員をもっと教育する。

規則を厳しくする。

試験手順を守らせる。

しかし、
それだけでは同じ設計上の危険が残る。

人間はいつか間違える。

だから原子力安全では、
一つのミスを
次の防護層が止める必要がある。

操作を誤っても、
インターロックが止める。

出力が不安定になっても、
物理的な負帰還が抑える。

それでも異常なら、
緊急停止系が止める。

チェルノブイリ4号炉では、
事故直前の条件で
この多重防護が逆に崩れていった。

人間の失敗を
設備が吸収するはずだった。

しかしその設備にも
同じ方向の弱点があった。

これが、
チェルノブイリをSYSTEM事故として扱う理由である。

安全装置を「操作しないこと」が安全条件になってはいけない

第4回で見たように、
事故の最終局面ではAZ-5が作動した。

原子炉を停止するための操作である。

事故当時の炉心状態では、
その制御棒挿入によって
炉心下部へ一時的な正反応度が加わった可能性が高い。

もし安全装置を作動させると
事故が悪化する特定状態が存在するなら、

「その状態では安全装置を使ってはいけない」

という運用に頼るのではなく、

その状態へ入れない設計、
またはどの状態からでも確実に停止できる設計

が必要になる。

事故後のRBMK改修が
制御棒構造、
挿入速度、
ボイド係数、
ORM監視などへ集中した理由もここにある。

事故原因は「誰が悪いか」と「なぜ事故になったか」を分ける必要がある

大事故の調査では、
責任追及と原因分析を混同すると
再発防止を誤る可能性がある。

誰が規則を破ったのか。

誰が試験を許可したのか。

誰が設計したのか。

これは責任の問題である。

一方、

なぜ一つの操作が
原子炉破壊まで進んだのか。

なぜ安全装置が止められなかったのか。

なぜ既知の設計問題が
改修されなかったのか。

なぜ運転員へ情報が届かなかったのか。

これは事故原因の問題である。

後者を解明しなければ、
担当者を処罰しても
同じシステムが残ってしまう。

INSAG-7が最終的に列挙したもの

INSAG-7は事故の広い背景として、
次のような問題をまとめている。

• 当時の安全基準を十分満たさず、危険な特性を持った原子炉設計
• 不十分な安全解析
• 独立した安全審査の不足
• 安全解析に十分基づいていない運転手順
• 運転組織間、設計者と運転員間の重要安全情報共有の不足
• 運転員による原子炉安全特性の理解不足
• 運転・試験手順を厳格に守らない現場運用
• 生産上の圧力へ対抗できない不十分な規制体制
• 国家・現場双方における安全文化の不足

事故原因は、
一つではなくなった。

むしろ、
一つの原因へ還元できないこと自体が
チェルノブイリの原因分析だった。

まとめ｜「運転員のミス」は事故原因の一部だった。しかし全部ではなかった

1986年の事故直後、
チェルノブイリの原因は
運転員による
「極めてありそうにない規則違反の組み合わせ」
として強く説明された。

実際、
事故当夜の運転には問題があった。

低ORM。

試験条件の変更。

規則や手順への不十分な配慮。

これらを無視することはできない。

しかしその後の調査では、
初期に規則違反とされた行動の一部が
実際には許可されていたことも分かった。

約200MWでの運転自体は禁止されていなかった。

ECCSの切離しは事故の発生・進展に影響しなかった。

一部の保護機能の無効化も
当時の手順で認められていた。

そして、
それ以上に大きかったのが
RBMKそのものの問題だった。

大きな正のボイド係数。

positive scramを起こし得る制御棒。

遅い緊急停止。

危険な低ORM状態を
自動的に排除しない保護系。

十分でない計装。

さらに、
事故以前に知られていたRBMKの問題が
運転員まで伝わっていなかった。

それを是正する独立規制も弱かった。

INSAG-7は、
1986年の説明を完全撤回したわけではない。

しかし事故原因の見方を
大きく変えた。

運転員が事故を起こした

だけではなく、

運転員の誤った判断が
破局へ進むことを防げないシステムが存在した

という評価へ移ったのである。

そして再発防止策も変わった。

運転員教育だけではない。

RBMKそのものを改修する。

制御棒を変える。

正のボイド係数を下げる。

緊急停止を速くする。

ORMを常時監視する。

安全装置の無効化を制限する。

規制と安全文化を見直す。

事故原因の再評価は、
そのまま事故後の改修内容に表れた。

次回はCASE38最終回。

チェルノブイリ事故後、
RBMKは実際に何を変更され、
4号炉は現在どのように封じ込められているのか。

1986年の設計変更から
New Safe Confinement、
廃炉、
そして現在の4号炉までを追う。