JPH04307633A - 多重化制御装置 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、計算機制御システムに
おいて、その信頼性，安全性を高めるため、計算機を多
重化する際の多重化構成及び制御方式に関する。

【０００２】

【従来の技術】一般に、制御装置の信頼性を高めるため
に、多重化の技法がある。

【０００３】例えば、複数の計算機を同期させ、計算機
のアドレスバス，データバスを常時照合，多数決を行な
うことによって、３重系の場合は、１台の計算機が故障
しても、残りの２台の計算機が故障なく、バス上での照
合が一致していれば、そのまま計算制御を継続すること
ができるものがある。

【０００４】このような方法で、多重系を構成した場合
の問題は、まず、第１に、それぞれの計算機をどのよう
に同期化するか、第２に、入力データをそれぞれの計算
機でどのようにして一致化させるか、第３に、多重化さ
れた計算機の内部制御状態、又は、入，出力データの多
数決，照合を行なう回路をどのようにして、フェールセ
ーフ化（誤りが検出されないことがないようにする）す
るかである。事例では、特殊な入力データ一致化，出力
データ照合回路を設けることで解決しているが、そのた
めの回路の増大を避けることはできない。特に、多重化
の計算機数を増すに従って、その複雑さは、増大する一
方である。また、計算機の同期化に関しては、計算機の
制御クロックの同期化をとる事例があるが、共通なクロ
ックを用いていることにより、クロックの故障が、シス
テム故障につながる問題をはらんでいる。

【０００５】以上の問題の他に、このような詳細な動作
に渡っての照合多数決方式においては、一旦、一つの計
算機が故障し、それを保守しなければならない状況とな
ったとき、その他の動作中の計算機に影響を与えること
なく補修することは困難である。また、補修の終った後
、復旧させる時においても一旦、システム全体を停止さ
せ、初期化再起動する必要がある。これらの技術が、日
経エレクトロニクス（１９８２年３月１日発行）「鉄道
信号制御技術に見るフォールトトレラントシステムの設
計」及び電気情報通信学会志（１９８７年１月）「フォ
ールトトレラントコンピュータ」に紹介されている。

【０００６】

【発明が解決しようとする課題】このように、計算機の
詳細なレベルでの同期，照合による故障検出と、多数決
による正常データの選択制御では、以上のような問題点
があるものの、一台の計算機では、計算機固有の故障，
誤り検出能力に限界があるため、高度な信頼性，安全性
を必要とされるシステムには、一台の計算機をそのまま
使用することができない。

【０００７】従って、高信頼，高安全を要求される計算
機制御システムを実現するには、計算機を多重化する必
要があり、しかも、同期化，多数決照合のために特殊な
機構を設けることなく、実現する方法が望まれている。

【０００８】本発明の目的は、従来の多重化計算機制御
システムの問題点に鑑み、多重化された計算機の制御ク
ロックレベルの同期，制御データの計算機内部バスレベ
ル照合など詳細でかつ、特殊なハードウェアレベルでの
機構を設けることなく、独立した計算機間の制御対象に
対する制御サイクルレベルの同期，計算機間の入，出力
データの交換，多数決照合など、ソフトウェアレベルの
制御による多重化計算機制御システムの構成制御方式を
実現することにある。

【０００９】

【課題を解決するための手段】上記課題は計算機内部で
、実施されるデータの多数決照合処理の診断をソフトウ
ェアにより制御サイクル毎に行ない、この診断結果をフ
ェールセーフな診断手段で検証することにより解決され
る。

【００１０】また、計算機の多重化にあたり、計算機間
で、共有されるハードウェアをなくすことにより解決さ
れる。

【００１１】

【作用】計算機内部で実施される多数決照合の診断を出
力側でそれ自体フェイルセイフな構成の診断手段で検証
するので、多数決照合処理の正当化を図ることができる
。

【００１２】また、多重化された計算機間で共通ハード
ウェアをなくしたので、多重化計算機制御システムとし
ての信頼性を向上させるとともに、システムの一部の保
守にあたり、全システムを停止させることがない。

【００１３】

【実施例】詳細説明の前に本発明の概要を説明する。

【００１４】本発明の目的は、多重化される計算機の入
，出力データ等の多数決照合を行なう計算機間に共通と
なる特殊な装置を設けることなく、計算機間でデータ交
換を行ない、各計算機内のプログラム制御により、各計
算機内で、入，出力データ等の多数決照合処理を行なう
ことである。

【００１５】多重化構成のキーとなるこの多数決照合処
理が正常に行なわれているかは、複数の計算機の多数決
照合処理と交互に、その診断処理を実行し、診断処理結
果を、各計算機毎にもつ診断装置により監視することと
した。

【００１６】この構成をとることにより、多重化される
計算機そのものは、汎用の計算機を使用でき、かつ、計
算機の処理状態を監視する診断装置を、各計算機に付加
することで、信頼性の高い多重化計算機システムを実現
することができる。

【００１７】また、各計算機で、共有となる装置をなく
することができるので、信頼性，保守性の向上を図るこ
とができる。

【００１８】複数の計算機をその制御対象に対する周期
的な制御サイクル毎に同期させつつ動作させ、各計算機
は、制御サイクルの同期化により、並行して制御対象と
のデータ入力を行なう。

【００１９】一方、各計算機は、それぞれの内部の制御
状態を交換するための通信装置により結合される。

【００２０】この通信装置により、各計算機は、入力デ
ータを交換し、多数決論理にもとづき、データの一致化
を図る。入力データの一致化が行なわれると、その入力
データに従って、制御が行なわれ、制御出力データが作
成される。

【００２１】制御出力データも、各計算機間で交換され
、多数決論理にもとづき、データの一致化が図られる。

【００２２】これら制御サイクルを通じ、各計算機の制
御状態に従って、各計算機の共通な論理により、制御出
力を行なう計算機も決定される。

【００２３】但し、この多重化計算機システムの構成制
御の中心は、各計算機内の多数決照合処理であり、これ
が、各計算機で、正常に行なわれることが前提である。 従って、この多数決照合処理を診断するため、各計算機
は、同期をとり、多数決照合処理の診断用データを交換
し、多数決照合処理が、多数決の成立，不成立を確実を
検出できるかを検査している。多数決照合処理の診断結
果は、各計算機の診断装置に入力される。診断装置では
、各計算機の多数決照合処理の診断結果のフェールセー
フな多数決をとり、診断装置の接続される計算機の状況
を診断する。

【００２４】診断装置には、多数決照合処理の診断結果
とともに、各計算機より、制御出力を行なう計算機の選
択制御結果も入力される。

【００２５】診断装置は、診断装置の接続される計算機
の多数決照合処理が、正常に行なわれ、かつ、制御出力
を行なう計算機としての選択制御の結果についても、多
数決にて、診断装置の接続される計算機が、制御出力を
行なうべきと判定されたとき、この計算機の制御出力を
計算機システムの制御出力とすべく、制御出力切換回路
に対し、制御を行なう。

【００２６】この構成では、各計算機の自己診断、及び
多数決照合処理診断を含めた相互診断により、多重化さ
れた計算機システム内の計算機の異常を検出できれば、
診断装置のみをフェールセーフ化することによって、計
算機システムとしてのフェールセーフ化を図ることがで
きる。

【００２７】即ち、汎用の計算機の自己診断、及び、多
数決照合処理診断を含めた相互診断により、計算機の異
常が検出できれば、計算機の内部バスレベル照合等の特
殊な計算機によらずとも、高信頼な計算機システムを実
現できる。

【００２８】

【実施例】以下、本発明の一実施例を図１から図１２に
よって説明する。

【００２９】図１は、本発明を実施する三重系制御装置
の全体構成を示すものである。

【００３０】図１において、１，２，３は、それぞれ単
一の計算機制御装置、４は、１，２，３によって制御さ
れる制御対象、５は、１，２，３間を互いに結合し、デ
ータ交換を行なう通信回線、６は、１，２，３間の装置
系間の同期割込み制御を行なう割込み制御線、７は、１
，２，３の計算機制御装置と４の制御対象とを結合する
制御入出力線、８は、１，２，３の計算機制御装置のう
ちの一つを制御出力を行なうための装置と選択制御する
ための系構成制御線である。

【００３１】１，２，３は、同一な構成であり、通信回
線５，割込み制御線６，制御入出力線７，系構成制御線
８によって結合されるが、装置間は、いずれも、電気的
に絶縁されている。即ち、通信回線５は、国際標準技術
規格ＩＥ３８０２．３、又は、ＩＥ３８０２．４に準拠
するものであるが、いずれも、同軸ケーブルを伝送媒体
とし、装置と伝送媒体の間は、トランスにより結合され
るため、電気的に絶縁されている。

【００３２】また、制御入出力線７は、国際標準技術規
格ＥＩＡＲＳ４８５に準拠しているが、図２に示すよう
に、制御入出力伝送用電源と装置内部電源を電気的に分
離しているため、装置間は、絶縁されることとなる。

【００３３】さらに、割込み制御線６，系構成制御線８
は、電流駆動方式をとり、フォトカップラにより、装置
間の絶縁をとっている。

【００３４】各計算機制御装置１，２，３の内部構成は
、以下のようである。

【００３５】１０，２０，３０は、計算機制御装置の演
算の中心となる制御装置、１１，２１，３１は、制御装
置の制御状態を検出する診断装置、１２，２２，３２は
、制御出力データの出力装置、１３，２３，３３は、制
御入力データの入力装置、１４，２４，３４は、制御出
力切換装置、１５，２５，３５は、制御装置の同期割込
み制御装置、１６，２６，３６は、制御装置間の制御デ
ータ交換のための通信装置である。

【００３６】以下の説明では、三重系の計算機制御装置
１，２，３をそれぞれ、Ａ系，Ｂ系，Ｃ系と系ぶことと
する。

【００３７】図１における三重化制御装置の動作を、Ａ
系の動作を中心に説明する。

【００３８】制御装置１０，２０，３０は、制御対象４
を、周期的に制御する。各制御装置の制御サイクルの開
始タイミングは、装置間の系間同期割込みによるものと
する。各制御装置の制御クロックは、それぞれ独立した
ものである。この装置間の系間同期割込みは、同期割込
み制御装置１５，２５，３５によって、発生される。同
期割込み制御装置の内部構成を図３に、また、同期割込
み発生タイミングを図４に示す。同期割込み制御装置の
内部は、図３に示すように、カウンタ１５１，多数決回
路１５２、及び、フォトカップよりなる装置間インター
フェース回路１５３とにより構成される。カウンタ１５
１は、制御装置１０より、カウント開始の指令をうけ、
カウントを開始する。カウンタ１５１は、カウントを終
了すると多数決回路１５２に、論理レベル“１”の信号
を与えるとともに、外部に対しても、自系同期信号１５
４を、論理レベル“１”として出力する。他系の同期割
込み制御装置２５，３５も、同様に動作し、内部カウン
タのカウントを終了すると、外部に自系同期信号を論理
レベル“１”として出力する。３系の同期割込み制御装
置のうちの２つ以上のカウンタのカウントが終了すると
、図４の■のようなタイミングにて、制御装置へ同期割
込みが発生させられる。この同期割込みは、３系の制御
装置にほぼ同時に発生するので、同期割込みの発生によ
り、カウンタの更新を同時に行えば、以後、３系の同期
割込み制御装置内のカウンタは、同時にカウントを終了
し、同時に、同期割込みを発生しつづけることとなる。

【００３９】制御装置は、系間同期割込みをトリガして
、制御サイクルを開始する。

【００４０】制御サイクル内で、各制御装置は、装置間
の制御データの交換を通信装置１６，２６，３６によっ
て、行なう。

【００４１】一つの制御サイクル内で、各制御装置は、
図５に示す処理を並行して実行する。

【００４２】図５に示すように、一つの制御サイクルは
、制御フェーズと診断フェースの２つのフェーズにより
構成される。

【００４３】ここで、制御フェーズとは、制御装置が、
制御対象に対する制御のための演算を行なうフェーズで
あり、診断フェーズとは、３系の制御装置の制御状態を
診断するフェーズである。

【００４４】診断フェーズでは、制御装置の自己／相互
診断とソフトウェアで実現される装置間データ多数決処
理の診断が行なわれる。

【００４５】制御装置と制御対象は、次のように、接続
されている。

【００４６】各制御装置と制御入出力線７とは、制御デ
ータの入力装置１３，２３，３３により、常に接続され
ている。従って、各制御装置は、制御入出力線上のデー
タ状態を常に取り込むことができる。一方、制御データ
の出力装置１２，２２，３２は、それぞの制御出力切換
装置１４，２４，３４を介して、制御入出力線７に接続
される。

【００４７】制御装置の診断装置は、制御装置の制御状
態をもとに、多数決により、制御出力を行なう制御装置
を唯一に決定し、対応する制御出力切換装置を制御し、
出力装置を制御入出力線と接続する。

【００４８】診断装置による制御出力を行なう装置の選
択についての詳細は、後述するものとする。

【００４９】以後、制御出力を行なう制御装置を主系、
それ以外の制御装置を従系と呼ぶ。制御フェーズでは、
系間同期割込みによる同期化処理後、各制御装置が、制
御対象より、同時に、同一の制御状態データを入力する
。制御状態データの入力は、その時点で、主系となって
いる制御装置が、制御対象に対し、制御状態データの出
力要求を出力し、これに対する制御状態データの返送を
各制御装置より取り込む形で行なう。

【００５０】次に、各制御装置に取り込まれた入力デー
タは、その正当性を確認するため、通信装置を介し、制
御装置間で交換され、多数決処理により、一致化される
。制御対象に対する制御処理は、一致化された入力デー
タのもとで実行され、さらに、その制御出力データを制
御装置間で交換し、多数決処理により、制御出力データ
として確定する。

【００５１】本実施例では、制御装置間の制御入出力デ
ータを通信装置によって交換し、ソフトウェアによって
多数決処理を行なう。従って、ソフトウェアで行なわれ
る多数決処理が正常に実施されないと、三重系として、
多重化することの意味がなくなってしまう。

【００５２】診断フェーズでは、制御装置が同期して、
３系で多数決が必ず不成立となる多数決診断データを交
換しあい、異常データの検出能力を確認する。

【００５３】各制御装置の制御状態が正常であるとき、
制御フェーズと診断フェーズとで、制御装置診断信号と
して、多数決処理の結果を出力すると、制御フェーズで
は、多数決成立に対応する信号、診断フェーズでは、多
数決不成立に対応する信号を交互に出力することとなる
。

【００５４】制御装置診断信号としては、多数決処理の
診断結果だけでなく、各制御装置が、自らの装置をも含
め、どの装置を主系として選択しているかの情報も加え
られ、制御装置の診断装置へ入力される。

【００５５】図６は、制御装置診断信号の制御サイクル
内での変化を示すものである。

【００５６】制御装置診断信号は、制御装置と診断装置
の接続信号線数を少なくすることと、診断装置の内部回
路構成をフェールセイフ論理とするため、周波数信号と
した。

【００５７】これにより、制御装置診断信号は、制御フ
ェーズ診断フェーズにて、多数決処理が、所定の動作を
したこと、及び、主系としてどの制御装置を選択したか
に対応して、周波数変調されたものとした。

【００５８】図６において、ｆｎ，ｉ　とは、制御フェ
ーズにて、多数決処理が正常で、ｉ系（ｉ＝ＡｏｒＢｏ
ｒＣ）の制御装置を主系に選択した場合の周波数、ｆｔ
，ｉ　とは、診断フェーズにて、多数決処理が正常で、
ｉ系（ｉ＝ＡｏｒＢｏｒＣ）の制御装置を主系に選択し
た場合の周波数を意味する。

【００５９】制御装置の診断装置は、規定の周波数範囲
の診断信号が、下記条件を満足して、連続して入力され
るとき、自らの制御装置を主系と判断し、制御出力切換
装置に対し、出力装置と制御入出力線ととの接続を指令
する。

【００６０】（ｉ）自らの制御装置の自己診断結果が正
常で、かつ、他の制御装置と同期して、多数決処理結果
が同一に遷移している。

【００６１】（ｉｉ）他の制御装置による自らの制御装
置の相互診断結果が正常で、かつ、自らの制御装置と少
なくとも他のもう一つの制御装置より主系と指定されて
いる。

【００６２】表１は、制御装置診断信号の周波数割当て
例である。

【００６３】

【表１】

【００６４】表１において、Ａａｔとは、Ａ系が、診断
フェーズで、自系を主系として選択した状態を示し、こ
のときの診断信号は、５１５±１３５Ｈｚであることを
表わしている。

【００６５】図７は、制御装置の診断装置の概略内部構
成と、診断装置の他装置との接続を示すものである。

【００６６】診断装置は、制御装置より入力される診断
周波数信号の周波数弁別回路１１１，多数決処理診断結
果の判定を行なう診断回路１１２，制御出力を行なう主
系であるかの選択制御を行なう出力系選択回路１１３と
よりなっている。

【００６７】図８は、診断装置における周波数弁別回路
の機能を示すものである。

【００６８】図８において、周波数分離回路１１１１は
、リング演算回路をベースとする周波数論理（特開昭５
９−２８７２５　号公報）回路であり、制御装置より入
力される診断周波数信号をフェールセーフに分離し、表
１の診断周波数信号割付けに対応した７本の信号の唯一
つのみに出力する。この周波数分離回路の出力を周波数
演算することにより、三重系の構成制御用信号を作成し
ている。

【００６９】周波数弁別回路より出力される構成制御用
信号の機能は、以下である。

【００７０】初期化信号（Ａｉ，Ｂｉ，Ｃｉ）は、三重
系構成制御の立上げ制御信号である。

【００７１】制御信号（Ａｎ，Ｂｎ，Ｃｎ）は、制御装
置が、制御フェーズにあることを示す信号である。

【００７２】診断信号（Ａｔ，Ｂｔ，Ｃｔ）は、制御装
置が、診断フェーズにあることを示す信号である。

【００７３】自系選択信号（Ａａ，Ｂｂ，Ｃｃ）は、制
御装置が、自系を主系と判定していることを示す信号で
ある。

【００７４】他系１選択信号（Ａｂ，Ｂｃ，Ｃｂ）は、
制御信号が、他の系のうちの特定の１系を主系と判定し
ていることを示す信号である。

【００７５】他系２選択信号（Ａｃ，Ｂｃ，Ｃａ）は、
他系１選択信号と同様、制御装置が、他系のうちの特定
の１系を主系と判定していることを示す信号である。

【００７６】図９は、診断装置における診断回路の概略
内部構成と他装置との接続を示す図である。

【００７７】診断回路は、三重系の各制御装置が、多数
決処理を同期をとって、正常に実行しているかを、各系
の制御信号，診断信号のそれぞれの多数決とその結果の
周波数ＯＲ信号の継続とにより確認するものである。

【００７８】また、多数決処理の診断に異常を検出した
場合、その異常検出された制御装置が、修復，再立上げ
されない限り、三重系に参加できないよう、故障保持回
路を有している。

【００７９】図９、及び図１０により、三重系の構成制
御立上げと故障保持について説明する。

【００８０】図９の診断回路において、■系正常遅延信
号は、診断回路における故障状態保持の機能をもつ信号
である。この■系正常遅延信号が、周波数論理レベルで
“０”となると、この診断回路は、機能を停止する。三
重系の構成制御の立上げには、初期化信号（Ａｉ，Ｂｉ
，Ｃｉ）の周波数論理多数決により、■同期イニシャル
信号を周波数論理レベル“１”とする。これにより、■
系正常信号、及び、■系正常遅延信号を周波数論理レベ
ル“１”とする。三重系の制御装置の実制御の開始にあ
たり、制御装置よりの診断周波数信号が、制御サイクル
の制御フェーズ，診断フェーズに対応した周波数に切り
換わると、■系正常信号は、一時オフとなる。しかし、
周波数論理によるオフディレイにより、■系正常遅延信
号が残っている間に、制御信号（Ａｎ，Ｂｎ，Ｃｎ）の
周波数論理多数決が成立すれば、■系正常信号が、復活
し、■系正常遅延信号は、連続して出力されることにな
る。さらに、各制御装置が、同期して、診断フェーズに
移れば、■系正常信号は、出力されつづけることとなる
。

【００８１】制御信号（Ａｎ，Ｂｎ，Ｃｎ）又は、診断
信号（Ａｔ，Ｂｔ，Ｃｔ）の周波数論理多数決が成立せ
ず、■系正常遅延信号のオフディレイ時間以上経過する
と、■系正常遅延信号が周波数論理レベル“０”となる
ため、この診断回路を有する制御装置は、再立上げされ
るまで、三重系に復帰できない。

【００８２】図１２に、出力系選択回路の内部論理構成
を示す。

【００８３】出力系選択回路は、系選択信号の自系選択
信号を優先させた多数決回路である。この回路では、自
系を主系と選択し、かつ、他系のいずれか１系以上の系
より主系と選択されない。

【００８４】診断装置は、各制御装置に一つずつ持ち、
独立して、診断，出力系選択を行なうが、周波数弁別回
路、及び、診断，出力系選択回路も、周波数論理にもと
づくフェールセーフ回路とすることで、出力系選択にお
ける二重選択は、おこりえない。

【００８５】図１３は、制御出力切換装置の構成を示す
ものである。制御出力は、ＲＳ４８５準拠のシリアル伝
送回線によって行なわれる。制御出力切換装置は、伝送
回線をリレーにより、接続／遮断する。

【００８６】制御出力切換装置は、診断装置よりの周波
数信号を入力し、周波数論理レベル“１”、即ち、出力
系と選択されているとき、ＡＣアンプにより、フェール
セーフにリレーを駆動する。

【００８７】

【発明の効果】本発明によれば、多重系を構成する計算
機を特殊なものとせず、汎用の計算機によるソフトウェ
ア制御多数決処理と計算機制御状態診断装置の付加とに
より、高信頼な多重系計算機システムを構成することが
できる。

【００８８】また、本発明による多重系計算機システム
は、単一の計算機の間で、共有とされる装置がないため
、共有となっている装置の異常によるシステム停止がな
いだけでなく、稼動中、一部の計算機に異常が発生した
場合、その異常計算機のみ切り離し、保守，修復可能で
ある。

【図面の簡単な説明】

【図１】本発明の一実施例を示す三重化制御装置全体構
成図。

【図２】制御入出力データ伝送系電源系統図。

【図３】系間同期割込み制御装置を示す図。

【図４】同期割込みタイミングチャート。

【図５】制御サイクル内処理の概略フロー。

【図６】制御サイクル内診断周波数信号遷移図。

【図７】診断装置概略構成図。

【図８】周波数弁別回路構成図。

【図９】系間系断回路構成図。

【図１０】系立上げ、異常検出シーケンス。

【図１１】出力系選択回路概略構成図。

【図１２】制御出力切換装置構成図。

【符号の説明】

１，２，３…計算機制御装置、４…制御対象、５…制御
装置間通信装置、６…同期割込制御線、７…制御入出力
線、８…装置構成制御線、１０，２０，３０…制御装置
、１１，２１，３１…診断装置、１２，２２，３２…出
力装置、１３，２３，３３…入力装置、１４，２４，３
４…制御出力切換装置、１５，２５，３５…同期割込制
御装置。

Claims (4)

【特許請求の範囲】
1. 【請求項１】複数の制御装置によって制御対象を周期的
   に制御する多重化制御装置において、前記各制御装置の
   夫々が制御対象との間で、データ交換を可能とするデー
   タ入力装置と、前記制御装置間を接続する通信手段と、
   この各制御装置間で、入力データ，制御出力データを互
   いに交換し、多数決論理にもとづき、これらの一致化と
   、制御出力を行なう一つの制御装置の選択制御を行うプ
   ログラムと、この入，出力データの多数決結果及び制御
   出力装置の選択制御とを交互に、これら制御の診断を行
   なう手段と、これら制御装置の診断装置による診断結果
   により、各制御装置の制御出力の一つのみを制御対象へ
   接続する制御出力切替手段を備えた多重化制御装置。
2. 【請求項２】請求項１項記載の多重化制御装置において
   、前記複数の制御装置の制御出力が前記制御出力切替回
   路により、単一化され、制御対象へ出力される際、同時
   に、前記各制御装置に再入力を行ない、これら各制御装
   置にて、制御出力状態の監視を行なうとともに、制御出
   力に異常が検出された場合、制御対象にて、実制御され
   る前に、制御中断を行なう多重化制御装置。
3. 【請求項３】請求項１項記載の多重化制御装置において
   、前記制御装置の制御状態を診断する手段及び前記制御
   出力切替装置は、前記各制御装置毎に設けられかつ多重
   化される前記各制御装置間を電気的絶縁手段により分離
   させるようにした多重化制御装置。
4. 【請求項４】請求項１項記載の多重化制御装置において
   、前記診断装置が制御装置の異常を検出した場合、この
   異常検出状態を保持し、再度、多重化制御装置としての
   立上げ処理を行なわない限り、異常の検出された制御装
   置を制御出力を行なう制御装置として選択しないように
   した多重化制御装置。