WO2017217094A1

WO2017217094A1 - ヒューマンマシンインタフェース機器

Info

Publication number: WO2017217094A1
Application number: PCT/JP2017/014852
Authority: WO
Inventors: 大祐小山田; 悟赤坂; 雅裕白石
Original assignee: 株式会社日立製作所
Priority date: 2016-06-13
Filing date: 2017-04-11
Publication date: 2017-12-21
Also published as: JP6684023B2; EP3471108A1; CN109313946B; EP3471108B1; KR20190002668A; EP3471108A4; CN109313946A; JP2017223465A; KR102122606B1

Abstract

原子力プラントの安全保護系に求められる要求事項を満足し、かつ、運転員の監視・操作負荷を抑制することを課題とする。解決手段であるヒューマンマシンインタフェース機器（５）は、原子力プラントの安全保護系に適用されるロジックコントローラ（１）と、ハードスイッチ（３８）を備えた表示装置（３）とを備える。このロジックコントローラ（１）は、原子力プラントを構成する計装制御システムとのインタフェース（１４）と、ハードウェアロジックによりハードスイッチ（３８）による表示装置（３）の表示情報を切り替えて制御するロジックコントローラ（１１）と、ロジックコントローラ（１１）からの表示情報を画素に展開して表示装置（３）に出力するディスプレイコントローラ（２２）とを備える。

Description

ヒューマンマシンインタフェース機器

　本発明は、原子力プラントの安全保護系に適用されるヒューマンマシンインタフェース機器に関するものである。

　近年、プラント等の計装制御システムはデジタル化が進んでいる。運転員の操作コンソールについても、ワークステーションや操作機能付きのディスプレイ等を使用したソフトウェアベースの監視・操作コンソールが主流である。従来操作コンソールに配置していた多くの操作用スイッチやアナログの指示器・計器類に関しても、ディスプレイ上にデジタル表示されるようになった。これにより、適切な人間工学的設計とデジタル装置の故障評価に基づく適切なシステム設計により情報が集約され、運転員の負荷が軽減される。

　上述したように、従来のヒューマンマシンインタフェースに使用されている機器には、一般的にワークステーションや操作機能付きのディスプレイ等の民生品が多く含まれている。これら民生品は、厳しい市場競争を勝ち抜くために、一般消費者の多様なニーズにタイムリーに応えることが重要であり、以下のような共通的な特徴を持っている。

　第１の特徴は、スピード重視の開発であり、不具合等はアップグレードで対応することである。このアップグレードにおいては、Ｗｅｂ経由でのソフトウェアの更新・修正などが行われることが多い。第２の特徴は、組み込みソフトウェアの使用による多機能化と機能の複雑化である。例えば、ソフトウェアによるディスプレイのタッチオペレーションなどが挙げられる。第３の特徴は、知的財産の厳密な管理による技術ノウハウのブラックボックス化である。

　しかしながら一方で、プラントの事故時に公衆への影響が大きい原子力発電所のような施設に対しては、安全に対する規制がこれまで以上に厳しくなっているという現状もある。これに対応するため、原子力プラントの安全保護系に適用する装置には、民生品とは異なる特徴が求められる。
　例えば特許文献１に記載された原子力プラントの安全系操作装置の発明では、系統図を表示するディスプレイと操作器を表示するディスプレイを別のディスプレイにして安全系ディスプレイ上に表示している系統図から個別の安全系プラント機器を選択したときに、対応する操作器をすでに表示している系統図とは別の場所に表示し、この系統図をそのまま表示させておくという発明が記載されている。

　IEC規格(IEC61513）は、原子力プラントの安全上重要な役割を果たす計装制御装置に関わる。このIEC規格では、原子力発電所の計装制御システムの持つ機能に応じて、安全上の見地からそれらの重要度（クラス１～３）が定められている。特に、最上位の重要度として分類されるクラス１（安全保護系）に該当するデジタル計装制御装置については、最も厳密な開発／設計プロセスやトレーサビリティ確保が求められる。各国の規制判断によっては、民生品の技術をベースとした原子力プラントの安全保護系に適用するヒューマンマシンインタフェース機器も、厳密な規格準拠が求められるケースがある。厳密な規格準拠とは、例えば、機能安全規格IEC61508のSIL要件相当の設計や、ソフトウェアの開発／設計プロセスの開示、および第三者による厳密な審査等をいう。

特許第５１８５８６４号公報

　以上より、原子力プラントの安全保護系に適用するヒューマンマシンインタフェース機器に求められる主要な要求事項は、厳密な開発／設計プロセス管理、機能の単純性、第三者への説明性の三点である。厳密な開発／設計プロセス管理とは、検証と妥当性の確認や、トレーサビリティ確保や、設計変更管理等のことをいう。機能の単純性とは、共通要因故障を含む設計の複雑さに起因する不具合要因を、できるだけ排除することをいう。第三者への説明性とは、使用される機器に対する全ての設計情報をホワイトボックス化することをいう。設計情報とは、開発プロセス、内部プログラムのソースコード、試験報告書等をいう。

　ここに挙げた三点の要求事項は、民生品の特徴とは全く相反する。しかし、要求事項を満足させるために、多くの操作用スイッチやアナログの指示器・計器類を配置した前時代的な操作コンソールに戻すことは、スペースの増大を招き、ひいては運転員の監視・操作負荷の増大につながる。

　そこで、本発明は、原子力プラントの安全保護系に対して求められる各要求事項を満足し、かつ、運転員の監視・操作負荷を抑制するヒューマンマシンインタフェース機器を提供することを課題とする。

　前記した課題を解決するため、本発明のヒューマンマシンインタフェース機器は、原子力プラントの安全保護系に適用されるロジックコントローラと、ハードスイッチを備えた表示装置とを備える。ロジックコントローラは、原子力プラントを構成する計装制御システムとのインタフェースと、ハードウェアロジックによりハードスイッチによる表示装置の表示情報を切り替えて制御するロジックユニットと、このロジックユニットからの表示情報を画素に展開して表示装置に出力するディスプレイコントローラとを備える。
　その他の手段については、発明を実施するための形態のなかで説明する。

　本発明によれば、原子力プラントの安全保護系に求められる要求事項を満足し、かつ、運転員の監視・操作負荷を抑制するヒューマンマシンインタフェース機器を提供することが可能となる。

ヒューマンマシンインタフェース機器の構成図である。第１の実施形態の表示装置と、これに表示された監視画面を示す図である。第１の実施形態の表示装置と、これに表示された機器選択前の操作画面を示す図である。第１の実施形態の表示装置と、これに表示された機器選択後の操作画面を示す図である。第１の実施形態の表示装置と、これに表示された機器決定後の操作画面を示す図である。第１の実施形態の表示装置と、これに表示された操作方向の選択後の操作画面を示す図である。第１の実施形態の表示装置と、これに表示された操作方向の決定後の操作画面を示す図である。ヒューマンマシンインタフェース機器の操作方法を示したフローチャートである。ヒューマンマシンインタフェース機器のモード遷移図である。第２の実施形態の表示装置と、これに表示された機器選択前の操作画面を示す図である。第２の実施形態の表示装置と、これに表示された機器選択後の操作画面を示す図である。第２の実施形態の表示装置と、これに表示された機器決定後の操作画面を示す図である。第２の実施形態の表示装置と、これに表示された操作方向の選択後の操作画面を示す図である。第２の実施形態の表示装置と、これに表示された操作方向の決定後の操作画面を示す図である。ヒューマンマシンインタフェースシステムの操作方法を示したフローチャートである。ヒューマンマシンインタフェースシステムのモード遷移図である。

　以降、本発明を実施するための形態を、各図を参照して詳細に説明する。
　最初、原子力プラントの安全保護系に適用されるヒューマンマシンインタフェース機器の概要について、図１を用いて説明する。次いでテンキーを用いた第１実施形態について図２から図９を用いて説明する。更にカーソルキーを用いた第２実施形態について図１０から図１６を用いて説明する。

　図１は、ヒューマンマシンインタフェース機器５の構成図である。
　ロジックコントローラ１は、上位の計装制御システムに含まれるシステムコントローラ４とのインタフェースと、ハードスイッチ３８による表示装置３の表示情報の切り替え制御とを行う。
　ディスプレイコントローラ２は、ロジックコントローラ１からの表示情報を画素に展開して、展開した画素を表示装置３の液晶ディスプレイに表示出力する。

　システムコントローラ４は、計装制御に関する上位のコントローラである。
　ロジックコントローラ１は、ロジックユニット基板１１、デジタル入力基板１２とデジタル出力基板１３、インタフェース基板１４，１５を含んで構成される。ロジックコントローラ１には、ＣＰＵ（Central Processing Unit）や組み込みソフトウェアを使用していないため、安全保護系システムのソフトウェアに課せられる厳密な検証は不要である。
　ロジックユニット基板１１は、例えばＦＰＧＡ（field-programmable gate array）などで作製され、ハードウェアで制御演算を行う。
　デジタル入力基板１２は、表示装置３のハードスイッチ３８からの信号を受け付ける。ハードスイッチ３８は、照光式押ボタンスイッチとして構成されており、不図示のランプを備えている。デジタル出力基板１３は、ハードスイッチ３８が備えるランプへの出力を行う。インタフェース基板１４は、上位の計装制御システムに含まれるシステムコントローラ４との通信を行い、インタフェース基板１５は、ディスプレイコントローラ２との通信を行う。

　ディスプレイコントローラ２は、インタフェース基板２１，２３、描画エンジン２２を含んで構成される。インタフェース基板２１はロジックコントローラ１との通信を行い、表示情報を受信する。描画エンジン２２は、ロジックコントローラ１から受信した表示情報を画素情報に展開する。インタフェース基板２３は、表示装置３との通信を行い、展開された画素情報を表示出力する。

　本実施形態のヒューマンマシンインタフェース機器５は、原子力プラントの監視制御を行っている上位のシステムコントローラ４と接続される。ヒューマンマシンインタフェース機器５は、運転員の要求に対して任意のプロセスの操作画面３１３ａ（図３参照）などを表示し、計装制御システムの各機器に対する操作を可能とする。

　ロジックコントローラ１の主な機能は、以下三点が挙げられる。
　第１の機能は、上位のシステムコントローラ４から送られるプラント情報を、ディスプレイコントローラ２経由で表示装置３に表示するものである。
　第２の機能は、表示装置３のハードスイッチ３８からの信号をデジタル入力基板１２から取り込み、ディスプレイの表示情報の切り替えを制御するものである。
　第３の機能は、表示装置３のハードスイッチ３８の信号を上位のシステムコントローラ４に出力し、上位のシステムコントローラ４の信号により表示装置３のハードスイッチ３８のランプを点灯させるものである。機器操作時に、ロジックコントローラ１は、表示装置３のハードスイッチ３８の機器選択信号およびモード選択信号をデジタル入力基板１２を介して取り込んだ後、上位のシステムコントローラ４に出力する。そして、ロジックコントローラ１は、上位のシステムコントローラ４からの機器状態およびモード選択状態の打ち返し信号をデジタル出力基板１３から出力し、表示装置３のハードスイッチ３８のランプを点灯させる。このとき、機器状態およびモード選択状態は、ディスプレイコントローラ２を介して表示装置３のディスプレイ上でも認識可能とする。

　ディスプレイコントローラ２は、ロジックコントローラ１からの表示情報をインタフェース基板２１を介して入力して描画エンジン２２で画素情報に展開する。このディスプレイコントローラ２は更に、展開した画素情報をインタフェース基板２３を介して表示装置３に表示出力する。ここで、ロジックコントローラ１とディスプレイコントローラ２は、共にIEC規格(IEC61513）に準拠する厳密な開発／設計プロセスに従い作製されたものとする。

《第１の実施形態》
　第１実施形態のヒューマンマシンインタフェース機器５に用いられる表示装置３の構成と動作とを、以下の図２から図７に示す。更にヒューマンマシンインタフェース機器５の動作を、以下の図８と図９に示す。

　図２は、第１実施形態の表示装置３と、これに表示される監視画面３１０を示す図である。
　表示装置３は、液晶ディスプレイパネル３１と、ハードスイッチ３８とを備えている。液晶ディスプレイパネル３１は、表示調整用のプロセッサや組み込みソフトウェアを使用しない表示専用のディスクリート部品である。ハードスイッチ３８は、画面管理用ハードスイッチ群３２、テンキー３３Ａ、エンターキー３４Ａ、操作選択用ハードスイッチ群３５、操作／監視モード切替用ハードスイッチ３６、操作指令用ハードスイッチ３７を含む。各ハードスイッチ３８は、例えばＬＥＤ（light emitting diode）などのランプを備えたディスクリート部品であり、このランプの発光により、自身が押下されたことなどを視認可能としている。

　画面管理用ハードスイッチ群３２は、ページ前進／後進などを指示するためのスイッチである。操作／監視モード切替用ハードスイッチ３６は、監視モードと操作モードとを切り替えるためのスイッチである。
　テンキー３３Ａは、機器選択用ハードスイッチ群３３（図１参照）の一態様であり、操作対象の機器を選択するためのスイッチである。テンキー３３Ａは、‘０’から‘９’までの数字キーと、“DEL”と刻印された削除キーの計１１個のハードスイッチで構成され、機器選択時に対象機器の一貫番号に対応した数字を入力する際に使用する。“ENT”と刻印されたエンターキー３４Ａは、機器決定用ハードスイッチ３４（図１参照）の一態様であり、操作対象の機器を決定するためのスイッチである。

　操作選択用ハードスイッチ群３５は、選択した機器に対する操作を選択するためのスイッチであり、操作選択用ハードスイッチ３５１～３５４を含んでいる。操作指令用ハードスイッチ３７は、選択した機器に対して、操作選択用ハードスイッチ３５１～３５４の押下によって選択された操作を指令するためのスイッチである。
　操作選択用ハードスイッチ群３５は、液晶ディスプレイパネル３１の下側に沿って配置されている。画面管理用ハードスイッチ群３２、テンキー３３Ａ、エンターキー３４Ａ、操作／監視モード切替用ハードスイッチ３６は、液晶ディスプレイパネル３１の右側に配置されている。

　表示装置３は、液晶ディスプレイパネル３１やハードスイッチ３８などのディスクリート部品のみからなる構成であり、ＣＰＵや組み込みソフトウェアを使用していない。そのため表示装置３は、安全保護系システムのソフトウェアに課せられるような厳密な検証は不要である。

　液晶ディスプレイパネル３１には、監視画面３１０が表示されている。この監視画面３１０は、プラントの系統ごとの機器や計装配管を示した系統ペイン３１１を含んでいる。ヒューマンマシンインタフェース機器５は、機器の動作状態を色やシンボル形状の違いにより系統ペイン３１１に表示する。これにより運転員は、系統ペイン３１１に表示された機器の色やシンボル形状の違いにより、各機器の動作状態を判別可能である。
　ヒューマンマシンインタフェース機器５は更に、パラメータを監視している機器・計器に対しては計測されるプロセス値を系統ペイン３１１に表示する。これにより運転員は、系統ペイン３１１に表示された機器のプロセス値により、この機器・計器に係るパラメータを監視可能である。

　図２を用いて、画面切り替えについて説明する。画面管理用ハードスイッチ群３２は、「画面テスト」、「表示ＯＮ／ＯＦＦ」、「ページ前進」、「ページ後進」などの画面管理の用途で使用するスイッチからなる。また、システムの画面構成に合わせ、機器リストやプロセス値のパラメータ等の運転員に必要な任意の情報を表示させるための選択スイッチも、画面管理用ハードスイッチ群３２に含まれる。
　これら画面管理用ハードスイッチ群３２のうちいずれかを押下することで、押下したスイッチからの信号がデジタル入力基板１２を介してロジックコントローラ１へ入力される。選択された任意の画面情報は、表示装置３の液晶ディスプレイパネル３１に表示される。

　図３は、第１の実施形態の表示装置３と、機器選択前の操作画面３１３ａとを示す図である。
　図３において、液晶ディスプレイパネル３１上には、機器選択前の操作画面３１３ａが表示される。この操作画面３１３ａには、系統ペイン３１１と操作端リストペイン３１２ａとが表示される。

　系統ペイン３１１は、図２で示した系統ペイン３１１と同様であり、更に操作可能な機器に対して２桁の機器番号が表示されている。
　操作端リストペイン３１２ａは、未だ空白であり、未だ機器が選択されていないことを示している。

　図４は、第１の実施形態の表示装置３と、これに表示された機器選択後の操作画面３１３ｂを示す図である。
　図４において、液晶ディスプレイパネル３１上には、機器選択後の操作画面３１３ｂが表示される。この操作画面３１３ｂには、系統ペイン３１１と操作端リストペイン３１２ｂとが表示される。ここで機器選択後とは、運転員がテンキー３３Ａを操作して機器の番号を入力した後のことをいう。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図４の操作端リストペイン３１２ｂは、選択された操作対象機器に対し、対象機器の機器番号、機器名称を示した選択ボックス３１９を表示している。これによりヒューマンマシンインタフェース機器５は、選択ボックス３１９に表示された機器が選択されていることを運転員に示している。

　図５は、第１の実施形態の表示装置３と、これに表示された機器決定後の操作画面３１３ｃを示す図である。
　図５において、液晶ディスプレイパネル３１上には、機器決定後の操作画面３１３ｃが表示される。この操作画面３１３ｃには、系統ペイン３１１と操作端リストペイン３１２ｃとが表示される。ここで機器決定後とは、運転員がエンターキー３４Ａを押下して機器を決定した後のことをいう。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図５の操作端リストペイン３１２ｃは、選択ボックス３１９に加えて、機器の操作方向である「切保持」「切」「自動」「入」を示した選択ボックス３１５～３１８を表示している。選択ボックス３１５～３１８は、それぞれ対応する操作選択用ハードスイッチ３５１～３５４に隣接して表示される。選択ボックス３１５～３１８の表示により、ヒューマンマシンインタフェース機器５は、操作方向の入力が可能であることを運転員に示している。

　図６は、第１の実施形態の表示装置３と、これに表示された操作方向の選択後の操作画面３１３ｄを示す図である。
　図６において、液晶ディスプレイパネル３１上には、操作方向の選択後の操作画面３１３ｄが表示される。この操作画面３１３ｄには、系統ペイン３１１と操作端リストペイン３１２ｄとが表示される。ここで操作方向の選択後とは、運転員が操作選択用ハードスイッチ３５１～３５４のうちいずれかを押下して、操作方向を入力した後のことをいう。図６は、操作選択用ハードスイッチ３５３を押下した後を示している。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図６の操作端リストペイン３１２ｄは、選択ボックス３１９と、選択ボックス３１５～３１８を表示している。選択ボックス３１７は、枠色の変化などにより他の選択ボックス３１５，３１６，３１８よりも強調して表示される。これによりヒューマンマシンインタフェース機器５は、選択ボックス３１７に表示された「自動」の指示が選択されたことを運転員に示している。

　図７は、第１の実施形態の表示装置３と、これに表示された操作方向の決定後の操作画面３１３ｅを示す図である。
　図７において、液晶ディスプレイパネル３１上には、操作方向の選択後の操作画面３１３ｅが表示される。この操作画面３１３ｅには、系統ペイン３１１と操作端リストペイン３１２ｅとが表示される。ここで操作方向の決定後とは、運転員が操作指令用ハードスイッチ３７を押下した後のことをいう。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図７の操作端リストペイン３１２ｅは、選択ボックス３１９と、選択ボックス３１５～３１８を表示している。選択ボックス３１５，３１６，３１８は、その内部が空白である。選択ボックス３１７は、反転表示などにより他の選択ボックス３１５，３１６，３１８よりも更に強調して表示される。これによりヒューマンマシンインタフェース機器５は、選択ボックス３１７に表示された「自動」の指示が決定されたことと、他の選択ボックス３１５，３１６，３１８に係る指示ではないことを運転員に示している。
　以下、各操作画面３１３ａ～３１３ｅを特に区別しない場合には、単に操作画面３１３と記載する。

　図８は、ヒューマンマシンインタフェース機器５の操作方法を示したフローチャートである。この図８では、テンキー３３Ａを使用して機器選択、および機器操作を実施する場合を例に説明する。

　運転員は、表示装置３が操作画面３１３を表示しているならば（ステップＳ１０：Ｙｅｓ）、ステップＳ１２の処理に進む。運転員は、表示装置３が操作画面３１３以外を表示しているならば（ステップＳ１０：Ｎｏ）、操作／監視モード切替用ハードスイッチ３６を押下する（ステップＳ１１）。これにより表示装置３は、操作画面３１３の表示に切り替わる。

　ここで、表示装置３は、操作画面３１３を表示しているならば機器選択や機器操作が可能だが、表示装置３が操作画面３１３以外を表示しているならば、機器選択や機器操作はできない。なお、通常の表示装置３の表示は監視画面３１０であり、操作画面３１３のまま所定時間が経過すると、監視画面３１０へ切り替わる。これにより、意図しない機器選択や機器操作を防ぐことができる。
　表示装置３が操作画面３１３を表示しているとき、系統ペイン３１１に表示されている機器のうち、操作可能な機器に対して機器シンボル近傍に一貫番号が表示される。ここで、表示される一貫番号は、各画面に固有な２桁以上の番号とする。

　系統ペイン３１１に一貫番号が表示されている状態で、運転員は、操作したい機器の一貫番号に対応する数字をテンキー３３Ａより入力して（ステップＳ１２）、機器を選択する。入力される数字や、選択された機器の名称等は、操作端リストペイン３１２の選択ボックス３１９に表示される。
　なお運転員は、“DEL”と刻印された削除キーの押下で、入力した数字の修正も可能である。その後運転員は、エンターキー３４Ａを押下することで、選択された機器を決定する（ステップＳ１３）。

　ここまでの機器選択操作により、選択された機器の情報を示す操作端リストペイン３１２が液晶ディスプレイパネル３１下部に表示される（ステップＳ１４）。操作端リストペイン３１２には、操作方向を示した選択ボックス３１５～３１９が、操作選択用ハードスイッチ群３５の各スイッチに対応する形で表示される。運転員は、操作端リストペイン３１２の表示により、機器選択が正しいか否かを判断する（ステップＳ１５）。運転員は、機器選択が誤っていたならば（ステップＳ１５：Ｎｏ）、ステップＳ１２の処理に戻り、再び機器選択を行う。

　機器選択が正しいならば（ステップＳ１５：Ｙｅｓ）、運転員は、操作選択用ハードスイッチ３５１～３５４のうち、選択したい操作方向を示した選択ボックスの真下に実装されているスイッチを押下する（ステップＳ１６）。これにより、操作端リストペイン３１２は選択された操作方向の選択ボックスの枠色が変わり、運転員は、液晶ディスプレイパネル３１上で操作方向が判別可能となる。更に、操作選択用ハードスイッチ群３５のうち選択（押下）されたスイッチが点灯することにより、運転員は、選択した操作方向が判別可能となる。つまり、運転員は、操作端リストペイン３１２の選択ボックスの枠色や、操作選択用ハードスイッチ群３５の点灯状態により、選択した操作方向を判別可能である。

　次いで運転員は、操作方向の選択が正しいか否かを判別する（ステップＳ１７）。運転員は、操作方向の選択が正しくないならば（ステップＳ１７：Ｎｏ）ステップＳ１６の処理に戻る。運転員は、操作方向の選択が正しいならば（ステップＳ１７：Ｙｅｓ）、操作指令用ハードスイッチ３７を押下する（ステップＳ１８）。これにより、ヒューマンマシンインタフェース機器５は、上位のシステムコントローラ４に操作指令を送信する。これにより、操作端リストペイン３１２は選択された操作方向の選択ボックスが反転表示され、運転員は、液晶ディスプレイパネル３１上で決定した操作方向を判別可能となる。ステップＳ１８の処理が終了すると、図８の処理は終了する。

　第１の実施形態のヒューマンマシンインタフェース機器５において、運転員の操作はダブルアクションとしている。これにより、運転員が意図せずハードスイッチ３８に触れてしまうことによる誤操作を避けることができる。具体的にいうと、操作対象の機器を選択する際には、機器の選択操作と、選択した機器の決定操作のダブルアクションが必要である。更に、操作対象の機器を選択した際には、その機器を識別可能に表示装置３に表示している。これにより、選択した機器を確認した後に決定することができる。

　同様に、操作方向を指令する際には、操作方向の選択操作と、選択した操作方向の決定動作のダブルアクションが必要である。更に、操作方向を選択した際には、その操作方向を識別可能に表示装置３に表示している。これにより、運転員は、選択した操作方向を確認した後に指令することができる。このような手順により、運転員の誤操作を抑止することができる。

　図９は、ヒューマンマシンインタフェース機器５のモード遷移図である。
　ヒューマンマシンインタフェース機器５は、起動後は監視モードＭ１０で動作し、操作／監視モード切替用ハードスイッチ３６の押下により、操作モードＭ２０に遷移する。ヒューマンマシンインタフェース機器５は、操作モードＭ２０のまま所定時間が経過すると、監視モードＭ１０へ切り替わる。これにより、意図しない機器選択や機器操作を防ぐことができる。このとき、表示装置３には、例えば図２に示した監視画面３１０が表示されている。

　ヒューマンマシンインタフェース機器５は、操作モードＭ２０に遷移した当初は、機器が選択されていない状態を操作端リストペイン３１２に表示している。このとき、表示装置３には、例えば図３に示した操作画面３１３ａが表示されている。この操作モードＭ２１において、ヒューマンマシンインタフェース機器５は、テンキー３３Ａの操作により、操作モードＭ２２に遷移する。

　操作モードＭ２２において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に機器選択中であることを表示する。このとき、表示装置３には、例えば図４に示した操作画面３１３ｂが表示されている。更にヒューマンマシンインタフェース機器５は、エンターキー３４Ａの押下により、操作モードＭ２３に遷移する。

　操作モードＭ２３において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に機器選択が完了したことを表示する。このとき、表示装置３には、例えば図５に示した操作画面３１３ｃが表示されている。更にヒューマンマシンインタフェース機器５は、操作選択用ハードスイッチ群３５のうち操作方向に対応するものの押下により、操作モードＭ２４に遷移する。

　操作モードＭ２４において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に操作方向が選択中であることを表示する。このとき、表示装置３には、例えば図６に示した操作画面３１３ｄが表示されている。更にヒューマンマシンインタフェース機器５は、操作指令用ハードスイッチ３７の押下により、操作モードＭ２５に遷移する。

　操作モードＭ２５において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に、操作方向の選択が完了したことを表示する。このとき、表示装置３には、例えば図７に示した操作画面３１３ｅが表示されている。更にヒューマンマシンインタフェース機器５は、上位のシステムコントローラ４に操作指令を送信して（操作モードＭ２６）、操作モードＭ２３に戻り、操作方向の選択を繰り返す。

　第１の実施形態のヒューマンマシンインタフェース機器５は、要素選択前と、要素選択後と、選択した要素の決定後を識別可能に表示装置３に表示している。これにより、ダブルアクションのいずれの状態であるかを容易に認識可能であり、誤操作を抑止することができる。

《第２の実施形態》
　次に、カーソルキー３３Ｕ，３３Ｄ，３３Ｌ，３３Ｒを使用して機器選択する第２の実施形態について、図１０から図１６を用いて説明する。
　図１０は、第２の実施形態の表示装置３と、機器選択前の操作画面３１４ａとを示す図である。
　図１０において、機器選択用ハードスイッチ群３３に相当するカーソルキー３３Ｕ，３３Ｄ，３３Ｌ，３３Ｒは、それぞれハードスイッチで構成され、ポインタ３９による機器選択に使用される。カーソルキー３３Ｕは上方向を示し、カーソルキー３３Ｄは下方向を示す。カーソルキー３３Ｌは左方向を示し、カーソルキー３３Ｒは右方向を示す。カーソルキー３３Ｕ，３３Ｄ，３３Ｌ，３３Ｒは、略十字に配置され、その中央には、機器決定用ハードスイッチ３４に相当する決定キー３４Ｂが配置されている。
　カーソルキー３３Ｕ，３３Ｄ，３３Ｌ，３３Ｒと決定キー３４Ｂ以外の構成は、図２から図７で示した第１の実施形態の構成と同様である。

　図１０において、液晶ディスプレイパネル３１上には、機器選択前の操作画面３１４ａが表示される。この操作画面３１４ａには、系統ペイン３１１と操作端リストペイン３１２ａとが表示される。

　系統ペイン３１１は、図２で示した系統ペイン３１１と同様であり、更に操作可能な機器に対して機器シンボル近傍にポインタ選択用ボックス３９１が表示されている。
　操作端リストペイン３１２ａは、未だ空白であり、未だ機器が選択されていないことを示している。

　図１１は、第２の実施形態の表示装置３と、これに表示された機器選択後の操作画面３１４ｂを示す図である。
　図１１において、液晶ディスプレイパネル３１上には、機器選択後の操作画面３１４ｂが表示される。この操作画面３１４ｂには、系統ペイン３１１と操作端リストペイン３１２ｂとが表示される。ここで機器選択後とは、運転員がカーソルキーを操作して、ポインタ３９によりポインタ選択用ボックス３９１を指し示した後のことをいう。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図１１の操作端リストペイン３１２ｂは、選択された操作対象機器に対し、対象機器の機器番号、機器名称を示した選択ボックス３１９を表示している。これによりヒューマンマシンインタフェース機器５は、選択ボックス３１９に表示された機器が選択されていることを運転員に示している。

　図１２は、第２の実施形態の表示装置３と、これに表示された機器決定後の操作画面３１４ｃを示す図である。
　図１２において、液晶ディスプレイパネル３１上には、機器決定後の操作画面３１４ｃが表示される。この操作画面３１４ｃには、系統ペイン３１１と操作端リストペイン３１２ｃとが表示される。ここで機器決定後とは、運転員が決定キー３４Ｂを操作して機器を決定した後のことをいう。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図１２の操作端リストペイン３１２ｃは、選択された操作対象機器に対し、対象機器の機器番号、機器名称、機器の操作方向である「切保持」「切」「自動」「入」を示した選択ボックス３１５～３１８を表示している。このうち、機器の操作方向を示した選択ボックス３１５～３１８は、この選択ボックスに対応する操作選択用ハードスイッチ３５１～３５４に隣接して表示される。選択ボックス３１５～３１８の表示により、ヒューマンマシンインタフェース機器５は、操作方向の入力が可能であることを運転員に示している。

　図１３は、第２の実施形態の表示装置３と、これに表示された操作方向の選択後の操作画面３１４ｄを示す図である。
　図１３において、液晶ディスプレイパネル３１上には、操作方向の選択後の操作画面３１４ｄが表示される。この操作画面３１４ｄには、系統ペイン３１１と操作端リストペイン３１２ｄとが表示される。ここで操作方向の選択後とは、運転員が操作選択用ハードスイッチ３５１～３５４のうちいずれかを押下して、操作方向を入力した後のことをいう。図１３は、操作選択用ハードスイッチ３５３を押下した後を示している。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図１３の操作端リストペイン３１２ｄは、選択ボックス３１９と、選択ボックス３１５～３１８を表示している。選択ボックス３１７は、枠色の変化などにより他の選択ボックス３１５，３１６，３１８よりも強調して表示される。これによりヒューマンマシンインタフェース機器５は、選択ボックス３１７に表示された「自動」の指示が選択されたことを運転員に示している。

　図１４は、第２の実施形態の表示装置３と、これに表示された操作方向の決定後の操作画面３１４ｅを示す図である。
　図１４において、液晶ディスプレイパネル３１上には、操作方向の決定後の操作画面３１４ｅが表示される。この操作画面３１４ｅには、系統ペイン３１１と操作端リストペイン３１２ｅとが表示される。ここで操作方向の決定後とは、運転員が操作指令用ハードスイッチ３７を押下した後のことをいう。

　系統ペイン３１１は、図３で示した系統ペイン３１１と同様である。
　図１４の操作端リストペイン３１２ｅは、選択ボックス３１９と、選択ボックス３１５～３１８を表示している。選択ボックス３１５，３１６，３１８は、その内部が空白である。選択ボックス３１７は、反転表示などにより他の選択ボックス３１５，３１６，３１８よりも更に強調して表示される。これによりヒューマンマシンインタフェース機器５は、選択ボックス３１７に表示された「自動」の指示が決定されたことと、他の選択ボックス３１５，３１６，３１８に係る指示ではないことを運転員に示している。
　以下、各操作画面３１４ａ～３１４ｅを特に区別しない場合には、単に操作画面３１４と記載する。

　図１５は、ヒューマンマシンインタフェース機器５の操作方法を示したフローチャートである。この図１５では、カーソルキー３３Ｕ，３３Ｄ，３３Ｌ，３３Ｒを使用して機器選択、および機器操作を実施する場合を例に説明する。

　運転員は、表示装置３が操作画面３１４を表示しているならば（ステップＳ２０：Ｙｅｓ）、ステップＳ２２の処理に進む。運転員は、表示装置３が操作画面３１４以外を表示しているならば（ステップＳ２０：Ｎｏ）、操作／監視モード切替用ハードスイッチ３６を押下する（ステップＳ２１）。これにより表示装置３は、操作画面３１４の表示に切り替わる。

　ここで、表示装置３は、操作画面３１４を表示しているならば機器選択や機器操作が可能だが、表示装置３が操作画面３１４以外を表示しているならば、機器選択や機器操作はできない。なお、通常の表示装置３の表示は監視画面３１０であり、操作画面３１４のまま所定時間が経過すると、監視画面３１０へ切り替わる。これにより、意図しない機器選択や機器操作を防ぐことができる。
　表示装置３が操作画面３１４を表示しているとき、系統ペイン３１１に表示されている機器のうち、操作可能な機器に対して、その機器シンボル近傍にポインタ選択用ボックス３９１が表示される。

　系統ペイン３１１にポインタ選択用ボックス３９１が表示されている状態で、運転員は、操作したい機器のポインタ選択用ボックス３９１にポインタ３９を重ねて（ステップＳ２２）、機器を選択する。選択された機器の名称等は、操作端リストペイン３１２の選択ボックス３１９に表示される。その後運転員は、決定キー３４Ｂを押下することで、選択された機器を決定する（ステップＳ２３）。

　ここまでの機器選択操作により、選択された機器の情報を示す操作端リストペイン３１２が液晶ディスプレイパネル３１下部に表示される（ステップＳ２４）。操作端リストペイン３１２には、操作方向を示した選択ボックス３１５～３１９が、操作選択用ハードスイッチ群３５の各スイッチに対応する形で表示される。運転員は、操作端リストペイン３１２の表示により、機器選択が正しいか否かを判断する（ステップＳ２５）。運転員は、機器選択が誤っていたならば（ステップＳ２５：Ｎｏ）、ステップＳ２２の処理に戻り、再び機器選択を行う。

　機器選択が正しいならば（ステップＳ２５：Ｙｅｓ）、運転員は、操作選択用ハードスイッチ３５１～３５４のうち、選択したい操作方向を示した選択ボックスの真下に実装されているスイッチを押下する（ステップＳ２６）。これにより、操作端リストペイン３１２は選択された操作方向の選択ボックスの枠色が変わり、運転員は、液晶ディスプレイパネル３１上で操作方向が判別可能となる。更に、操作選択用ハードスイッチ群３５のうち選択（押下）されたスイッチが点灯することにより、運転員は、選択した操作方向が判別可能となる。つまり、運転員は、操作端リストペイン３１２の選択ボックスの枠色や、操作選択用ハードスイッチ群３５の点灯状態により、選択した操作方向を判別可能である。

　次いで運転員は、操作方向の選択が正しいか否かを判別する（ステップＳ２７）。運転員は、操作方向の選択が正しくないならば（ステップＳ２７：Ｎｏ）ステップＳ２６の処理に戻る。運転員は、操作方向の選択が正しいならば（ステップＳ２７：Ｙｅｓ）、操作指令用ハードスイッチ３７を押下する（ステップＳ２８）。これにより、ヒューマンマシンインタフェース機器５は、上位のシステムコントローラ４に操作指令を送信する。これにより、操作端リストペイン３１２は選択された操作方向の選択ボックスが反転表示され、運転員は、液晶ディスプレイパネル３１上で決定した操作方向を判別可能となる。ステップＳ２８の処理が終了すると、図１５の処理は終了する。

　第２の実施形態のヒューマンマシンインタフェース機器５においても、運転員の操作はダブルアクションとしている。これにより、運転員が意図せずハードスイッチ３８に触れてしまうことによる誤操作を避けることができる。

　図１６は、ヒューマンマシンインタフェース機器５のモード遷移図である。
　ヒューマンマシンインタフェース機器５は、起動後は監視モードＭ３０で動作し、操作／監視モード切替用ハードスイッチ３６の押下により、操作モードＭ４０に遷移する。ヒューマンマシンインタフェース機器５は、操作モードＭ４０のまま所定時間が経過すると、監視モードＭ３０へ切り替わる。これにより、意図しない機器選択や機器操作を防ぐことができる。このとき表示装置３には、例えば図２に示した監視画面３１０と同様な画面が表示されている。

　ヒューマンマシンインタフェース機器５は、操作モードＭ４０に遷移した当初は、機器が選択されていない状態を操作端リストペイン３１２に表示している。このとき、表示装置３には、例えば図１０に示した操作画面３１４ａが表示されている。この操作モードＭ２１において、ヒューマンマシンインタフェース機器５は、カーソルキー３３Ｕ，３３Ｄ，３３Ｌ，３３Ｒの操作によりポインタ３９を操作して機器を選択し、操作モードＭ４２に遷移する。

　操作モードＭ４２において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に機器選択中であることを表示する。このとき、表示装置３には、例えば図１１に示した操作画面３１４ｂが表示されている。更にヒューマンマシンインタフェース機器５は、決定キー３４Ｂの押下により、操作モードＭ４３に遷移する。

　操作モードＭ４３において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に機器選択が完了したことを表示する。このとき、表示装置３には、例えば図１２に示した操作画面３１４ｃが表示されている。更にヒューマンマシンインタフェース機器５は、操作選択用ハードスイッチ群３５のうち操作方向に対応するものの押下により、操作モードＭ４４に遷移する。

　操作モードＭ４４において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に操作方向が選択中であることを表示する。このとき、表示装置３には、例えば図１３に示した操作画面３１４ｄが表示されている。更にヒューマンマシンインタフェース機器５は、操作指令用ハードスイッチ３７の押下により、操作モードＭ４５に遷移する。

　操作モードＭ４５において、ヒューマンマシンインタフェース機器５は、操作端リストペイン３１２に、操作方向の選択が完了したことを表示する。このとき、表示装置３には、例えば図１４に示した操作画面３１４ｅが表示されている。更にヒューマンマシンインタフェース機器５は、上位のシステムコントローラ４に操作指令を送信して（操作モードＭ４６）、操作モードＭ４３に戻り、操作方向の選択を繰り返す。

　第２の実施形態のヒューマンマシンインタフェース機器５は、要素選択前と、要素選択後と、選択した要素の決定後を識別可能に表示装置３に表示している。これにより、ダブルアクションのいずれの状態であるかを容易に認識可能であり、誤操作を抑止することができる。

　このように、略十字に配置されたカーソルキー３３Ｕ，３３Ｄ，３３Ｌ，３３Ｒを使用しても、テンキー３３Ａと同様に、誤操作なく機器を選択可能である。

（変形例）
　本発明は上記した実施形態に限定されるものではなく、様々な変形例が含まれる。例えば上記した実施形態は、本発明を分かりやすく説明するために詳細に説明したものであり、必ずしも説明した全ての構成を備えるものに限定されるものではない。ある実施形態の構成の一部を他の実施形態の構成に置き換えることが可能であり、ある実施形態の構成に他の実施形態の構成を加えることも可能である。また、各実施形態の構成の一部について、他の構成の追加・削除・置換をすることも可能である。

　上記の各構成、機能、処理部、処理手段などは、それらの一部または全部を、例えば集積回路などのハードウェアで実現してもよい。上記の各構成、機能などは、プロセッサがそれぞれの機能を実現するプログラムを解釈して実行することにより、ソフトウェアで実現してもよい。各機能を実現するプログラム、テーブル、ファイルなどの情報は、メモリ、ハードディスク、ＳＳＤ（Solid State Drive）などの記録装置、または、フラッシュメモリカード、ＤＶＤ（Digital Versatile Disk）などの記録媒体に置くことができる。

　各実施形態において、制御線や情報線は、説明上必要と考えられるものを示しており、製品上必ずしも全ての制御線や情報線を示しているとは限らない。実際には、殆ど全ての構成が相互に接続されていると考えてもよい。

　本発明は、上記実施形態に限定されることなく、本発明の趣旨を逸脱しない範囲で、変更実施が可能であり、例えば、次の（ａ）～（ｃ）のようなものがある。
（ａ）　操作指令用ハードスイッチ３７に代えて、鍵によってオンオフ可能なハードスイッチを設けてもよい。これにより最終的な機器操作を実施する際に、運転員は、操作方向が選択された状態で、鍵を鍵穴に挿入して操作指令方向へ回転させて、操作指令をロジックコントローラ１に送信させる。鍵によってのみ機器への操作指令が可能なので、機器の操作権限を有する者に限定して鍵を配布することにより、機器の操作権限を有さない者による不用意な操作指令を防ぐことができる。

（ｂ）　ロジックユニット基板１１はＦＰＧＡによる作製に限定されず、例えばＡＳＩＣ（application specific integrated circuit）、ＰＬＤ（programmable logic device）など、任意のハードウェア形式で作製されていてもよく、限定されない。
（ｃ）　ヒューマンマシンインタフェース機器５の動作モードは、監視モードと操作モードに限定されず、これら以外の任意のモードで動作してもよい。

１　ロジックコントローラ
１１　ロジックユニット基板
１２　デジタル入力基板
１３　デジタル出力基板
１４，１５　インタフェース基板
２　ディスプレイコントローラ
２１，２３　インタフェース基板
２２　描画エンジン
３　表示装置
３１　液晶ディスプレイパネル
３２　画面管理用ハードスイッチ群
３３　機器選択用ハードスイッチ群
３４　操作選択用ハードスイッチ群
３５　操作／監視モード切替用ハードスイッチ
３６　操作指令用ハードスイッチ
３１０　系統ペイン
３１３ａ～３１３ｃ，３１４ａ～３１４ｃ　操作端リストペイン
３１３　テンキー
３２１　カーソルキー
４　システムコントローラ
５　ヒューマンマシンインタフェース機器

Claims

　原子力プラントの安全保護系に適用されるロジックコントローラ（１）と、
　ハードスイッチ（３８）を備えた表示装置（３）と、
　を備え、
　前記ロジックコントローラ（１）は、
　前記原子力プラントを構成する計装制御システムとのインタフェース（１４）と、
　ハードウェアロジックにより前記ハードスイッチ（３８）による前記表示装置（３）の表示情報を切り替えて制御するロジックユニット（１１）と、
　前記ロジックユニット（１１）からの表示情報を画素に展開して前記表示装置（３）に出力するディスプレイコントローラ（２２）と、
　を備えることを特徴するヒューマンマシンインタフェース機器。
　前記表示装置（３）は、
　表示部（３１）と、
　前記原子力プラントを構成する計装制御システムの各機器の選択に使用される機器選択用ハードスイッチ群（３３）と、
　前記機器選択用ハードスイッチ群（３３）により選択された機器の決定に使用される機器決定用ハードスイッチ（３４）と、
　前記機器決定用ハードスイッチ（３４）により決定された機器に対する操作の選択に使用される操作選択用ハードスイッチ群（３５）と、
　前記操作選択用ハードスイッチ群（３５）により選択された機器に対する操作の決定に使用される操作指令用ハードスイッチ（３７）と、
　を備えることを特徴とする請求項１に記載のヒューマンマシンインタフェース機器。
　前記機器選択用ハードスイッチ群（３３）は、前記表示部（３１）に表示された機器の番号を入力して当該機器を選択するテンキーを含む、
　ことを特徴とする請求項２に記載のヒューマンマシンインタフェース機器。
　前記機器選択用ハードスイッチ群（３３）は、前記表示部（３１）に表示された機器と関連する領域に、当該表示部（３１）に表示されたポインタ（３９）を重ねることで当該機器を選択するカーソルキーを含む、
　ことを特徴とする請求項２に記載のヒューマンマシンインタフェース機器。
　前記操作選択用ハードスイッチ群（３５）は、前記表示部（３１）のいずれかの辺に沿って設けられ、
　前記ロジックユニット（１１）は、前記操作選択用ハードスイッチ群（３５）に沿った前記表示部（３１）の辺に、前記機器決定用ハードスイッチ（３４）により決定された機器に対する操作情報を、前記操作選択用ハードスイッチ群（３５）と対応するように前記ディスプレイコントローラ（２２）に表示させる、
　ことを特徴とする請求項２に記載のヒューマンマシンインタフェース機器。
　前記ロジックユニット（１１）は、前記操作選択用ハードスイッチ群（３５）のうちいずれかが押下されると、押下されたハードスイッチに対応する操作情報が選択されたことを当該ハードスイッチに表示させる、
　ことを特徴とする請求項５に記載のヒューマンマシンインタフェース機器。