「システム思考」の欠如が招いた原発事故

システム科学者の「原発一人事故調」

 

「システム思考」の欠如が招いた原発事故

【第1回】有事に不可欠な思考のループを準備せよ

• 2012年5月11日　金曜日
• 木村 英紀

 

　日本のものつくりの素晴らしさをたたえる本は巷にあふれていた。3・11以後この論調は影をひそめたようである。震災と原発事故で日本の科学技術の力不足が誰の目にも明らかになったからと思われる。ものつくりの技術力が原発事故では十分発揮されず、ずるずると事態の悪化を招き、あげくの果てにアメリカやフランスの力に頼らざるを得なかったのは何故か？　このような疑問を感じている読者は少なくないはずである。

　この疑問に答えるべき日頃饒舌な技術ジャーナリストや科学技術史の論客たちはおしなべて沈黙しておられるようである。私はこれまで日本の科学技術について、ものつくり礼賛とちょうど逆の位相から私見を述べてきた（『ものつくり敗戦』）。科学技術の主役は「ものつくり」から大きく転換し、その潮流変化に日本の科学技術は対応できていない、というのが私の分析であった。

「全体像を見る視点」を「システム思考」と捉える

　福島原発事故の発生以来1年を経過し、事故の実相が詳細に明らかになりつつある。はっきりしてきたのが、現場で厳しい環境の中で危険を冒して仕事を遂行した作業員や消防士、自衛官など多くの勇気ある人々が存在した反面、現場の苦闘を結びつけて実を結ばせるための東京の「司令部」がほとんど機能を果たせず、ある本の表現によれば「国家の中枢が機能不全に陥っていた」ことである。

　同じことが70年前にあった。太平洋戦争で顕著だった「精強な兵と無能な司令部」という対比である。国家の命運がかかるという点では共通している原発事故対応がそれを再現してしまった。私にはこのことが、要素技術の開発には強いがその成果をシステムとして統合して社会に生かすことの不得手な日本の科学技術の姿に重なるのである。

　昨年末に出された「東京電力福島原子力発電所における事故調査・検証委員会中間報告」（以下「報告書」）は、資料編を加えると700ページを超える大作であるが、その末尾を3つの「小括」として締めくくっている。そのひとつが「全体像を見る視点の欠如」である。報告書に描かれている錯誤と蹉跌に満ちた事故対応のさまざまのディテールは、この視点から眺める時、ひとつの鮮やかな像を結ぶ。

　私は「全体像を見る視点」を「システム思考」と捉えたい。システム思考の欠如が今回の事故の重大化をもたらした。逆に、システム思考が理想的に作動していれば、事故は防げたか、あるいは少なくともあのような深刻なものとはならなかったはずである。このことを以下報告書をベースに検証してみたい。それを通じて、システム思考とは何か？　それがどれほど重要であるか、を読者に理解していただくのが本稿の目的である。

 

事故の対応とシステム思考

 

　事故が発生した時には次の順序で対応がなされることは多くの読者は同意していただけるであろう。

(i) 事故についての情報をできる限り収集する（データ収集）
(ii) 得られたデータに基づいて事故の状態をできるだけ正確に把握する（推定）
(iii) 将来起こり得る事象を予測する（予測）
(iv) 与えられた条件の下で最適な対応策を決める（決定）
(v) 対応策を実施する（実行）

　上記の手順は事態の推移進展に応じて繰り返し行うので、対応は下の図1のようにループとして表現される。このループは多くの異なった組織が関与し、それぞれの機能ボックスがさらにこれと同じ仕組みをマイナーなループとして持つ場合もある。

　このループが効率的に回るように平時から準備し、有事に至ってこのループをできるだけ大局的な視点に立って適切かつ円滑に回すことがシステム思考の目標となる。事故対応に限ればシステム思考はこのループに凝縮されていると言ってよい。

現場の災害対策本部もループをうまく回せなかった

　本来は官邸や東京電力本店の対策本部の指令のもとに現地の対策本部が実行部隊となり、このループが回るはずであった。しかし官邸や東電本店の対策本部は司令塔としての役割を果たすことは全くできず、助言すべき原子力安全・保安院や原子力安全委員会もほとんどその機能を果たさなかったことはすでに多くの資料が明らかにしているのでここでは触れない。

　このループを担う役割を負わされたのは現地福島発電所の災害対策本部（以下「対策本部」）である。残念ながら対策本部もこのループをスムーズに回すことはできなかった。状況の誤認とそこから来る致命的な判断の誤りをいくつか犯した。これについて以下で図1の各ステップに照らして述べる。

図1　システム思考のループ

最も重要で難しいのが推定と予測

 

　図1のループで最も重要でしかも難しいのが、何が起こっているかを推定し、次に何が起こるかを予測することである。完全なデータがあれば事態を把握することは容易であるが、事故の場合そのようなことは望むべくもない。計測器や通信システムが破壊され必要なデータが得られないことはむしろ普通である。

 

　福島の事故では各プラントの状態を示す中央制御室のパネルが、3号機を除いて電源喪失によって読めなくなった。3号機を除きプラントで何が起こっているかが全く分からなくなったのである。発電所の緊急対策マニュアルである「事故時運転操作基準」に記された対応作業はすべて中央制御室のパネルから炉の状態が読み取れることを前提にしており、中央制御室が機能を失った以上何の役にも立たない。こうして未知の世界におかれた対策本部の悪戦苦闘が始まる。

　事故における情報把握の重要性を考えると、まず何よりも計測機器の復旧に必要なバッテリーを含む直流電源の確保と、少しでも情報を得るための新しい線量計の設置を急ぐべきであった。対策本部は確かに3月11日の深夜に12Vの自動車用バッテリー1000個を東芝に発注しているが、その一部が届いたのは3月14日の夜であった。また、計測器の生きている3号機のデータを活用して1、2号機の状態を推定し事故の状況を総合的に捉える努力をすべきであった。

現状の推定で犯した致命的なミス

　現状の推定で対策本部は幾つかの致命的なミスを犯した。その代表例は、事故の初期に1号機の「非常用復水器」（IC）が正常に作動し、1号機には冷却水が必要なだけ補給されていると誤認していたことである。事実はその逆で、地震後ICはほとんど作動していなかったことが後に判明している。

　他の炉は曲がりなりにも非常用の冷却水が供給されていたので、それがほとんど断たれていた1号機は最も危険な状態にあった。その認識がなかったため1号機の代替え注水が遅れ、結果として地震後25時間で水素爆発を引き起こしてしまった。

　ICは圧力容器内の蒸気を蒸発熱のエネルギーを使って外部の熱交換器に導いて水に戻し、その水を炉に戻すことによって炉心を冷却する装置で、電源がなくても動作させることができる。炉の運転中は開いているバルブが電源を喪失すると閉じることを対策本部は知らなかった。

　ICが動作していないことを考えもつかなかった理由として、圧力容器の水位が十分高いというデータが一時的に得られたことが挙げられているが、一方では周囲の線量が急速に増加し圧力と温度が増大している事実を知りながら、ICの動作について疑いを持たなかったことを報告書は厳しく批判している。結果としてICの給水タンクの淡水はほとんど使われずに「宝の持ち腐れ」に終わってしまった。

　新聞報道によれば（産経新聞2011年12月6日付）、原子力安全基盤機構（INES）は、もしICが津波後45分で稼働していれば1号機のメルトダウンは回避されたであろうとの解析結果を公表している。部分的なデータから状況を総合的に推定するシステム思考の鉄則を忘れていたと言わざるを得ない。

予測能力の欠如を示す深刻な例

　事故の対応で現状の推定に次いで重要なのは予測である。対策を実行するための準備に時間がかかる場合は予測によって時間をかせぐことは不可欠である。原子炉建屋内での水素爆発を予測できなかったことは、予測能力の欠如を示す深刻な例である。燃料棒が融けると水素が発生すること、さらにそれが格納容器から漏れて建屋内に充満する可能性は当時報道されていたが、現地の対策本部でそれを現実のものと受け止めていなかったことが「中間報告書」では示唆されている。

　対策本部では1号機が爆発した時の地響きを余震と勘違いした人が多かったようである。もし水素爆発の可能性が予測されていればその時間を予測しそれを防ぐための手だて（たとえば建屋の壁にウォータージェットで穴を空けるなど）ができたと思われる。

 

　予測が不十分であるために深刻な帰結を導いたもうひとつの例を述べよう。2号機の担当者が独自の判断で原子炉隔離時冷却系（RCIC）の水源を非常用タンクから圧力抑制室（SC）に変更したことである。このために圧力抑制室の水温と圧力が上がってしまい、SCの本来の役割である圧力容器の減圧が困難となり、その結果消火系からの給水が不可能となった。そしてベントにも失敗し2号機は給水の方法が途絶えた。

　その結果圧力容器の内圧が設計限界を大きく超え原発技術者が最も恐れる圧力容器破壊の危機に直面した。東電が現地から撤退することを経産省に申し出たのはこの時である。実際にはSCが破壊されることによって圧力が下がり最悪の事態は免れたが、2号機からは桁違いに大量の放射能が放出されてしまった。SCをRCICの水源に利用することのマイナスを予測できなかったことの帰結である。

　「測れる量を通して測れない量を推定する」のは計測の原理でもある。その原理を適用すべき事態は今も続いている。燃料棒の状態や所在が今でも明らかになっていない。燃料集合体は依然として極めて強い放射線の発生源である。新しい線量計の配備や現在稼働中の冷却水の温度変化、炉内の画像計測や地中の温度計測などあらゆる手段を尽くして燃料体の状態推定に努力を傾けることが必要である。現代の計測と推定の技術を駆使すればそれなりの結果が得られるはずである。

繋がらなかった「決定」と「実行」

 

　現状を推定し来るべき事態が予測できたとすれば、それに対応する手段を決定し実行するのが次のステップである。もちろん、手段は実際にできることから選ばなければならない。3号機の爆発はこの点での致命的な錯誤によって引き起こされた。3号機は直流電源が生き残っていたことはすでに述べたが、それを使って高圧炉心スプレー系（HPCS）が作動していた。

　作動環境が指示書通りではないことを憂慮した運転担当者は独断でHPCSを停止して、それに代わるディーゼル駆動消火ポンプ（DDFP）を駆動しようとした。しかしDDFPの吐出圧が炉の内圧に勝つことができなかったためにDDFPは働かず、また炉の減圧にもHPCSの再起働にも失敗、2号機と同様給水の手段を失った。HPCSを停止する前にDDFPによる注水が可能であるかどうかを確認することを怠った結果である。なお3号機の爆発については、燃料プールでの核反応を誘発したという説も根強くあり、まだ分かっていない部分が多い。

　IC、RCIC、HPCS、DDFPなどそれぞれの炉に常備されている幾つかの非常用の冷却装置は、2号機3号機では地震発生後かなりの時間動いており、1号機でも作動可能の状態にあった。これらの装置のうちIC、RCICは電源を必要としないので、津波による電源喪失に事故の原因のすべてを押し付けるのは違和感を拭い切れない。非常用の装置で時間を稼いでいる間に次の手を早急に打たなければならなかったのに、それが遅れてしまったのが事故の真の原因ではないかと私には思われる。

 

　次の手としては消防車による消火系からの注水以外にないことは対策本部の首脳部も早くから意識していたようである。実際使用可能な消防車が3台あり、後に他の発電所や自衛隊からの救援も届いて消防車の数は充足した。しかしさまざまの障害が発生し、消防車による給水は順調に行かなかった。

　障害の中には瓦礫の散乱や取水口の数が足りないなどやむを得ないものもあったが、専任の担当班が作られなかったり、注水のための炉の減圧ができなかったり、淡水にこだわったり、燃料切れで給水が長時間停止したり、さらに経験のある運転員が不足するなどオペレーション上のミスも少なくなかった。図1のループの「決定」と「実行」が繋がらなかったのである。

　炉に比べて使用済み燃料プールへの注水は比較的スムーズに進んだ。水素爆発により建屋の屋根が破壊されたので放水が可能となった。警察、自衛隊、消防などによる放水の試みの後コンクリートポンプ車が導入されひとまずの解決を得た。コンクリートポンプ車の導入は優れたアイデアであり、このような臨機応変の「決定」と「実行」がもっと欲しかったと思うのは筆者だけではあるまい。

＊＊＊＊＊

　本稿はすべて後知恵を書いていると思われた読者もおられるかも知れない。課題が同時多発し次から次に上がって来る危険情報で騒然となった現場で落ち着いた思考ができるはずもない、システム思考は現場を知らない頭でっかちな学者のないものねだりに過ぎない、と思われたかも知れない。

　確かに今回の対策本部のように何も準備をせずに徒手空拳で事態に臨んだとすれば、システム思考に習熟した強いリーダシップの持ち主でなければ図1のループを回すことは難しいであろう。

　しかし現在はシステム思考を支援する多くの先端的な科学技術とそれを体現したさまざまのツールがある。これらを装備したシステムを構築していれば、図1のループを効果的に回すことは普通の人でも可能である。このことは次回に詳しく述べたい。

（次回につづく）

木村 英紀（きむら・ひでのり）

東京大学名誉教授。1970年東京大学工学系大学院博士課程修了。大阪大学工学部教授、東京大学工学部教授を歴任。2002年、理化学研究所バイオミメテイック制御研究センターチームリーダー、2007年理化学研究所BSI-トヨタ連携センター長、2009年科学技術振興機構研究開発戦略センター上席フェロー。専門は制御システム工学、生物制御論。2011年国際自動制御連盟からGiorgio Quazza 賞受賞（世界で11人目、アジアで初）。著書に『制御工学の考え方』（講談社ブルーバックス）、『線形代数』（東京大学出版会）、『ものつくり敗戦』（日経プレミアシリーズ）ほか。