新設原子力発電所のEMC：デジタル計装制御、RG 1.180、IEC 62003

米国と西欧で数十年ぶりに建設された新しい原子炉には、既設プラントが運転を始めたときにはなかった共通点があります。入力カードから画面ベースの中央制御室まで、計装制御(I&C)がデジタルであることです。これによって電磁両立性(EMC)の意味が変わります。アナログのプラントでは、妨害は主に指示値が揺れる問題でした。デジタルのプラントでは、一つの妨害がプロセッサをリセットし、通信メッセージを壊し、安全系の誤作動を引き起こすことがあります。

新設プラントの概要

最近の西側のプロジェクトは二つの炉型を採用しています。米国のWestinghouse AP1000と欧州のEPRです。どちらもアナログの構成にデジタル機器を追加したのではなく、最初からマイクロプロセッサベースの保護・制御系として設計されました。

デジタル計装制御でEMCが安全上の問題になる理由

アナログの保護チャンネルは通常、緩やかに劣化します。妨害はトリップ比較器に雑音やオフセットを加えるだけで、誤差は妨害の大きさに応じて増えます。デジタル機器の故障の仕方は異なります。損傷のしきい値よりはるかに低い高速過渡でも誤動作を起こすことがあり、その影響は妨害の大きさと関係がありません。

• リセットまたはロックアップ：電源やI/Oポートのバーストがクロックやリセット線を乱します。ウォッチドッグがチャンネルを除外するか、設計が悪ければチャンネルが最後の出力のまま固まります。
• データ誤り：盤間や区分(ディビジョン)間の通信リンクでフレームが壊れます。必ず検出して破棄し、そのデータで動作してはいけません。
• 誤作動：デジタル入力の状態を誤って読むとポンプが起動したり弁が動いたりします。安全系ではそれ自体が解析すべき事象です。
• 共通原因故障：多重化された区分は同じハードウェアプラットフォームを使うことが多くあります。共用電源の開閉過渡や廊下の携帯無線機のように、一つの妨害がすべての区分に同時に影響すれば、多重化は安全機能を守れません。

発電所の運転経験には、携帯無線機、停止中の溶接、大容量負荷の開閉が原因とされる誤信号の事例があります。そのため規制当局はEMCを市場参入の要件としてだけでなく、環境認定・耐震認定と並ぶ機器認定(equipment qualification)の一部として扱います。

主な要求文書

NRC Regulatory Guide 1.180 (米国)

RG 1.180(Guidelines for Evaluating Electromagnetic and Radio-Frequency Interference in Safety-Related Instrumentation and Control Systems)は、安全関連I&CのEMI/RFI両立性を示す方法のうち、NRCが受け入れ可能とみなす方法を説明しています。新しい試験を作るのではなく、MIL-STD-461の試験法(例：CE101、CE102、RE101、RE102、CS114、CS115、CS116、RS101、RS103)、代替となるIEC 61000-4の試験法、サージ用のIEEE C62.41・C62.45を引用し、それらと組み合わせて使うエミッション限度値と試験レベルを示します。接地と施工の慣行についてはIEEE Std 1050を引用し、携帯送信機は立入制限区域(exclusion zone)で扱います。

IEC 62003 (国際的な原子力I&C規格)

IEC 62003はSC 45A分科委員会が作成した規格で、原子力発電所の安全上重要なI&C機器に対するEMC試験要求を定めています。民生品でなじみのあるIEC 61000-4のイミュニティ試験法とCISPRのエミッション試験法を使いますが、試験レベルはプラント環境に合わせて選び、判定基準を安全機能に結び付けることを求めます。IEC 61513(安全I&Cのシステムレベル要求)、IEC 61226(I&C機能の分類)とともにSC 45Aの規格体系に属し、欧州の多くのようにIEC原子力規格に基づく許認可でよく引用されます。

IEC 61000-6-5 (発電所・変電所環境)

IEC 61000-6-5はTC 77による、発電所・変電所で使う機器の共通(generic)イミュニティ規格です。原子力専用ではなくイミュニティのみを扱いますが、高電圧開閉に典型的な妨害を含め、発電所の電磁環境をポートの種類と設置場所ごとに記述しています。BOP(バランスオブプラント)機器や専用の製品規格がない機器に役立ち、安全系に選んだ試験レベルがプラントの一般環境を下回っていないかを確認する目安にもなります。

何を試験し、何を模擬するのか

原子力の試験が民生の試験と最も大きく異なるのは判定基準です。IEC 61000-6-2のような民生のイミュニティ規格は、多くの過渡試験で自己回復する一時的な機能喪失を認めています。安全機能では通常これは認められません。試験計画では一般に、安全出力の状態が変わらないこと、自己診断は故障を報告してもよいが意図しないトリップを起こさないこと、通信エラーが検出されることを求めます。機器はアプリケーションソフトウェアを動かした代表的な構成で試験し、すべての安全出力と通信リンクを試験後に確認するだけでなく、印加中も監視します。

プラントで効く設計対策

• 多重化区分の間、および安全系と非安全系の間の光ファイバリンク。コモンモード過渡の導電経路をなくし、区分間に求められる電気的分離を支えます。
• 種類別のケーブル分離。低レベルのアナログ信号、デジタル通信、電力ケーブルを別々のトレイに敷設するか分離距離を文書化すると、IEEE Std 384が求める安全区分間の物理的独立性にも役立ちます。
• 盤入口でのシールド処理。ケーブルシールドはピッグテールではなくグランドプレートで360°ボンディングし、プラントの接地方針(例：IEEE Std 1050に基づくもの)は一度決めて一貫して適用します。
• 盤境界での保護。入口のサージ防護デバイスとフィルタで過渡をロジック基板に届く前に逃がし、電子回路の奥にある保護に頼りません。
• フェールセーフ動作、ウォッチドッグ、多様性。例えばAP1000には多様化作動系(diverse actuation system)があり、主保護プラットフォームに共通原因故障が起きてもすべての保護機能が失われることはありません。

設計レビューでは二つの簡単な見積もりが役立ちます。出力が分かっている携帯無線機がある距離でどれだけの電界強度を生じるか(妥当な立入制限距離の根拠)と、試験室で認定した電界強度を再現するのに必要な増幅器の出力です。盤のシールドを対策として主張するなら、仮定せずに挿入損失の測定で確認すべきです。

よくある間違いと限界

• CEマーキングのある産業用製品なら認定済みだと考えること。その試験報告書は民生のレベルと判定基準を示すだけで、原子力の試験計画は異なるレベル、より広い周波数範囲、より厳しい性能基準を求めることがあります。
• カード単体を机上で試験すること。ケーブル長、接地、ソフトウェア負荷で結果が変わるため、試験構成は設置構成と一致させるか、違いを正当化する必要があります。
• プラントが変わり続けることを忘れること。新しい可変速ドライブ、無線ネットワーク、経路を変えたケーブルは環境を変えます。設備変更にはEMCレビューが必要で、現地測定で想定した環境を確認すると役立ちます。
• EMCを最後の試験とみなすこと。分離、接地、盤配置はプラント設計の初期に固まるため、プロジェクト後半に見つかった不合格は民生品よりはるかに大きな費用をかけないと直せません。