# 系統感度（重大度関数）の較正ノート

## 何を測るか

攻撃で同時に失われる・加えられる出力 ΔP を、系統が自動で吸収できる予備力で割った無次元量 x を使う。記事・モデル・シミュレータで定義は一つに固定する（記事第 6 章と同じ）。

- ステップ部分（ランプ制限が効かない、または侵害で消えた部分）：x_fast = s · ΔP_step / FCR（s＝同期係数、FCR＝一次調整力）
- 全体（ランプ制限で遅くなった部分を含む）：x_slow = ΔP_total / (FCR + FRR)
- 採用値 x = max(x_fast, x_slow)

ファームウェア系統（鍵・OTA）の侵害では、ランプ制限はファームウェアに実装されているため残らない。独立監視 MCU や遠隔停止クラスの物理無効化で残るのは「出力下限（床）」だけである。したがってベンダー経路の x は床で縮んだ ΔP を**ステップ**として FCR と比べる。この扱いを変える（ハードウェア実装のランプ制限を仮定する）と到達上限が 11.5% → 31% に動く（`results/vendor_share_limit.csv` の 3 行目、仮想ケース）。

この定義は EU NCCS の暫定 ECII（高影響閾値＝各国の FRR 最小量、重大閾値＝FCR 3,000 MW）の論理をそのまま連続量にしたもの [S05]。

## 重大度関数

S(x) = 1 − exp(−(x / x₀)^k)、基準 x₀ = 1.7、k = 3。

**S(x) は「負荷遮断（UFLS）以上の広域事象が起きる確率」**であり、ブラックアウトの確率ではない。負荷遮断は系統が崩壊を避けるために設計通り働いた結果でもあるが、需要家側からは数百万戸規模の停電であり、本稿ではこれを「広域障害」の下限に置く。崩壊確率はこれより一桁以上小さいはずで、別途 `results/attack_scenarios.csv` の class 列（contained / degraded / UFLS / cascade）で段階を示す。

較正は「文献点への当てはめ」であって、統計的推定ではない。点数が少なく、系統も規模も異なる事故を同じ x 軸に載せている。

| 較正点 | ΔP | 参照予備力 | x | S(x) 基準 | 経験的な帰結 | 出典 |
|---|---|---|---|---|---|---|
| フランス 2023 年、原子力 2 基脱落 | 2,660 MW | 3,000 MW（大陸欧州 FCR） | 0.89 | 0.13 | 49.88 Hz、負荷遮断なし | R06 |
| ENTSO-E 基準事故 | 3,000 MW | 3,000 MW | 1.0 | 0.18 | 設計上吸収できる上限 | R08 |
| Dabrowski et al.（モデル計算）基準事故の 1.5 倍 | 4,500 MW | 3,000 MW | 1.5 | 0.50 | 49 Hz 以下、UFLS 域（論文のモデル結果。本稿のスイング方程式では 49.80 Hz で再現できない。文献側の慣性・負荷モデルの違いによる） | R09 |
| 東日本 2022-03-16 福島県沖地震 | 約 6,000 MW 超 | 約 1,200 MW（夜間需要約 40 GW の 3%） | ≈5 | ≈1 | UFR 動作、約 2 GW 強を遮断、崩壊せず | R13 |
| 北海道 2018 初期脱落 | 1,160 MW | 155 MW（需要 3,090 MW の 5%） | 7.5 | ≈1 | UFLS 作動、追加脱落で全域停電 | R01 |
| SPE/DNV 臨界閾値 | 10,000 MW | 3,000 MW | 3.3 | 0.9995 | 連鎖的崩壊の目安（報告書の閾値であり実測事故ではない） | R06 |

2022-03-16 と 2018-09-06 はともに S≈1 で、結果は「負荷遮断で止まった」と「崩壊した」に分かれる。S(x) はこの差を表現しない。差を分けたのは追加脱落（北海道では送電線事故による水力脱落）と系統規模であり、本稿では「UFLS 以上」でまとめている。

## スイング方程式モデルとの対応

`model/grid_sim.py` の基準系統（需要 45 GW・H=3.5 s・FCR 3%＝1,350 MW・FRR 5%＝2,250 MW・負荷遮断 48.5/48.2/47.9 Hz 各 10%・発電機脱落 47.5 Hz）でのステップ喪失の掃引（`results/grid_step_sweep.csv`）：

| ステップ喪失 | x（FCR 比） | 最低周波数 | 分類 |
|---|---|---|---|
| 500 MW | 0.37 | 49.88 Hz | 吸収 |
| 1,350 MW | 1.0 | 49.51 Hz | 劣化（予備力枯渇） |
| 2,000 MW | 1.48 | 49.16 Hz | 劣化 |
| 3,000 MW | 2.22 | 48.55 Hz | 劣化（UFLS 直前） |
| 4,000 MW | 2.96 | 48.50 Hz | UFLS 第 1 段 |
| 10,000 MW | 7.4 | 48.20 Hz | UFLS 第 2 段 |

UFLS の開始は 3,000〜4,000 MW（x≈2.2〜3.0）の間にある。S(x) 基準では x=2.2 で 0.89、x=3.0 で 0.996 なので、「UFLS 以上の確率」としての整合は取れている。一方 S(1.0)=0.18、S(1.5)=0.50 は、スイング方程式では「劣化」止まりの領域に確率を与えている。この差は、単一エリアモデルが表現しない要素（送電制約・保護協調・電圧・初期条件のばらつき）を S 側が丸めて持っている、と解釈している。k を 4〜5 に上げればこの領域の S はほぼゼロになり、分散側の相対優位は大きくなる。k=1〜2 に下げれば逆になる。結論の k 依存は `results/required_p_reduction_by_k.csv`・図 6・図 9 に示す。

「2,660 MW → 49.90 Hz」は大陸欧州相当（400 GW・FCR 3,000 MW）の設定での値であり（`results/grid_context_cases.csv`）、基準系統の値ではない。基準系統で 2,660 MW を失うと 48.8 Hz 付近まで下がる。

## 既知の限界

1. 単一エリア・単一周波数モデルであり、送電混雑・電圧崩壊・保護協調の連鎖は表現しない。イベリア 2025 年 [R04] は電圧起因であり、本モデルの x では捉えられない。
2. k の値で小さな x における S(x) が桁で変わる。k=1 なら線形、k=4 なら x<1 でほぼゼロ。
3. 「失う」攻撃だけでなく「増やす」攻撃（蓄電池放電・EV 充電停止による需要減）も同じ x で扱うが、過周波数側の保護は別物である。
4. 北海道のような小規模系統では需要比 FCR が大きくても絶対量が小さく、同じ台数の DER で x が一桁大きくなる。日本の 10 エリアはすべてを同じ x₀ で扱える系統ではない。
5. 定格容量と発電中の容量は違う。PV 50 GW のフリートが実際に系統へ出しているのは時刻で 0〜70% であり、攻撃者が最大化できる時刻は昼の晴天時に限られる。モデルの CBR は定格ベースなので、PV 中心のフリートでは過大、蓄電池・EV・給湯機中心のフリートではおおむね妥当。
6. ランプ制限の効果は「ランプがファームウェア外で強制される」場合にしか得られない。本稿ではベンダー経路でそれを仮定しない。