(57)【要約】多重化システムを構成する要素の少なくとも一つを自己の故障検出が可能な要素とし、要素の出力と故障検出通知とから出力を決定することにより、より高い信頼性の多重化システムを提供する。多重化システム１は、自己の故障検出が可能でない要素Ａ１（１０ａ）、要素Ｂ１（１０ｂ）、要素Ｃ１（１０ｃ）と、自己の故障検出が可能な要素Ａ２（２０ａ）、要素Ｂ２（２０ｂ）との複数の要素からなり、それぞれの要素の出力１１ａ，１１ｂ，１１ｃ，２１ａ，２１ｂと、故障検出通知２２ａ，２２ｂとが出力決定部３０に入力され、出力決定部３０はそれぞれの要素の出力と故障検出通知とから多重化システム１の出力を決定する。
2011099233.tif 000002
【特許請求の範囲】
【請求項１】
同一の機能を持つ複数の要素からなる多重化システムであって、前記複数の要素の少なくとも一以上は自己の故障検出が可能な要素であり、前記複数の要素の出力と、前記自己の故障検出が可能な要素の故障検出通知とから、多重化システムの出力を決定する出力決定部を含むことを特徴とする多重化システム。
【請求項２】
前記出力決定部は、自己の故障検出が可能な要素のなかで、故障検出通知を出さない要素が一つ以上存在する場合、前記故障検出通知を出さない要素の一つの出力を多重化システムの出力とすることを特徴とする請求項１に記載の多重化システム。
【請求項３】
前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在した場合、前記自己の故障検出が可能な要素以外の要素の一つの出力を多重化システムの出力とすることを特徴とする請求項１に記載の多重化システム。
【請求項４】
前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在しない場合、多重化システムの出力値を変えないことを特徴とする請求項１に記載の多重化システム。
【請求項５】
前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在しない場合、既定の値を多重化システムの出力とすることを特徴とする請求項１に記載の多重化システム。
【請求項６】
前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一であった場合、前記過半数を占める要素の出力を多重化システムの出力とすることを特徴とする請求項１に記載の多重化システム。
【請求項７】
前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一でない場合、あるいは、自己の故障検出が可能な要素以外の要素が２以上存在しない場合、多重化システムの出力値を変えないことを特徴とする請求項１に記載の多重化システム。
【請求項８】
前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一でない場合、あるいは、自己の故障検出が可能な要素以外の要素が２以上存在しない場合、既定の値を多重化システムの出力とすることを特徴とする請求項１に記載の多重化システム。
【請求項９】
複数の要素からなる多重化システムの出力決定方法であって、前記多重化システムは自己の故障検出が可能な少なくとも１以上の第１の要素と、自己の故障検出が可能ではないが前記第１の要素と同一の機能を有する少なくとも１以上の第２の要素とを含み、前記第１の要素及び前記第２の要素の各出力と、前記第１の要素の自己の故障検出通知とから多重化システムの出力を決定することを特徴とする多重化システムの出力決定方法。
【請求項１０】
前記第１の要素のうち自己の故障検出通知を出さない要素が一つ以上存在する場合、前記故障検出通知を出さない要素の一つの出力を多重化システムの出力とすることを特徴とする請求項９に記載の多重化システムの出力決定方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、同一機能を有する複数の要素からなる多重化システムに関し、特に、少なくとも一つの要素は故障検出が可能である多重化システムに関する。
【背景技術】
【０００２】
様々な、機械システム、電気システム、計算システムが、工場やプラント、あるいはネットワークシステムなどの社会インフラで使われるようになり、これらのシステムの故障が人命にかかわることから、高い信頼性が求められている。
システムの信頼性を高める方法の一つとして、システムを構成する同一機能の要素を複数用意して並列稼動させる多重化システムがある。
例えば、図５は多重化システムの構成例である。構成要素数は２であるため、特に二重化システムとも呼ばれる。同一機能の要素Ａ（１０ａ）と要素Ｂ（１０ｂ）とで二重化され、それぞれの出力１１ａ，１１ｂに応じて出力決定部３０が二重化システム５の出力を決定する。図５ａに示すように、二重化システム５を構成する要素の一方に故障が発生すると（図５ａでは要素Ｂ（１０ｂ）に故障が発生した場合）、出力決定部３０は要素の出力Ｘ，Ｘ’が不一致となり、構成要素の故障を検出できる。このようなシステムとして、特開２００３−１７７９３５公報（特許文献１）を挙げることができる。
多重化システムの他の例として、特開２００９−２７６９８３号公報（特許文献２）に開示された多重化計算システムがある。そこでは、多重化されたプロセッサの各出力を多数決回路に入力して多重化されたプロセッサの出力値を決定することがおこなわれる。そして、特許文献２の図５には、３つのプロセッサが並列動作可能とし、各系統のデータ及びアドレスの正否をデータ多数決回路及びアドレス多数決回路で検出し、一致した出力の２つの出力を正常として運転を継続させるとともに、各系統のデータ及びアドレスの正否から故障診断回路で故障を検出した場合には、故障の系統の運転を停止し、１の系統が故障してもシステムの動作を継続できる多重化計算システムを記載している。
【発明の概要】
【発明が解決しようとする課題】
【０００３】
特許文献２に記載のシステムでは、多数決で正否を決めることができない場合の多重化計算システムの出力については述べられていない。
図５に示した２重化システムでは、既に図５ａに示したように、一方の構成要素に故障が発生した場合、故障の発生を検出できるが、出力ＸとＸ’のどちらが正常かを判定できないので、構成要素のどちらに故障があるかを判別できない。すなわち、二重化システムでは一つの故障が発生した場合、正常な値を出力することができず、二重化システムは停止する。
また、図５ｂに示すように、二重化システムを構成する要素の両方に故障が発生し、同様の故障により出力がＸ’に一致する場合、不一致がないため出力決定部３０はエラーＸ’に二重化システムの出力を決定してしまい、二重化システムはエラー出力を回避できない。すなわち、二重化システムでは二つの故障が同時に発生した場合、エラーを出力する可能性がある。
特許文献２のシステムは、多重度を３以上にし、より多くの故障が発生しても、多数決などの手段により正常な値を決定し、正常な出力することができので、より高い信頼性を提供することができる。しかし、一般的に多重度を高めることはより多くの構成要素を必要とするので、コストの増加を招く。
本発明は、上記の事情を考慮してなされたものであり、コスト増加を抑えて、高い信頼性を実現する多重化システムを提供する。
【課題を解決するための手段】
【０００４】
本発明の態様によれば、同一の機能を持つ複数の要素からなる多重化システムにおいて、前記要素の少なくとも一つは自己の故障検出が可能であり、前記要素の出力と、前記自己の故障検出が可能な要素の故障検出通知とから、システムの出力を決定する出力決定部を含むことを特徴とする多重化システムが提供される。
【発明の効果】
【０００５】
本発明の態様によれば、多重化システムを構成する要素の少なくとも一つの要素を、自己の故障検出が可能である要素とすることで、要素単独で故障検出ができるのでより高い信頼性を実現できる。
また、故障検出は要素数を増やすことがないので、コスト増加を招くことなく高い信頼性を実現できる。
【図面の簡単な説明】
【０００６】
図１は、本発明の第１の実施形態の多重化システムの構成を示すブロック図である。
図２は、本発明の第２の実施形態の多重化（二重化）システムの構成を示すブロック図である。
図２ａは、本発明の第２の実施形態の多重化（二重化）システムの故障発生時の動作を説明する図である。
図２ｂは、本発明の第２の実施形態の多重化（二重化）システムの故障発生時の動作を説明する図である。
図２ｃは、本発明の第２の実施形態の多重化（二重化）システムの故障発生時の動作を説明する図である。
図３は、本発明の第３の実施形態の多重化（三重化）システムの構成を示すブロック図である。
図３ａは、本発明の第３の実施形態の多重化（三重化）システムの故障発生時の動作を説明する図である。
図３ｂは、本発明の第３の実施形態の多重化（三重化）システムの故障発生時の動作を説明する図である。
図３ｃは、本発明の第３の実施形態の多重化（三重化）システムの故障発生時の動作を説明する図である。
図３ｄは、本発明の第３の実施形態の多重化（三重化）システムの故障発生時の動作を説明する図である。
図４は、本発明の第４の実施形態の多重化（三重化）システムの構成を示すブロック図である。
図４ａは、本発明の第４の実施形態の多重化（三重化）システムの故障発生時の動作を説明する図である。
図４ｂは、本発明の第４の実施形態の多重化（三重化）システムの故障発生時の動作を説明する図である。
図５は、従来の多重化（二重化）システムの構成を示すブロック図である。
図５ａは、従来の多重化（二重化）システムの故障発生時の動作を説明する図である。
図５ｂは、従来の多重化（二重化）システムの故障発生時の動作を説明する図である。
【発明を実施するための形態】
【０００７】
一形態では、多重化システムは、同一の機能を持つ複数の要素と、前記複数の要素の出力から前記多重化システムの出力を決定する出力決定部とを含み、前記複数の要素の少なくとも一以上は自己の故障検出が可能な要素であり、前記決定部は、前記複数の要素の出力と、前記自己の故障検出が可能な要素の故障検出通知とから、多重化システムの出力を決定する。
一形態において、前記出力決定部は、自己の故障検出が可能な要素のなかで、故障検出通知を出さない要素が一つ以上存在する場合、前記故障検出通知を出さない要素の一つの出力を多重化システムの出力とする。
一形態において、前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在した場合、前記自己の故障検出が可能な要素以外の要素の一つの出力を多重化システムの出力とする。
一形態において、前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在しない場合、多重化システムの出力値を変えない。
一形態において、前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在しない場合、既定の値を多重化システムの出力とする。
一形態において、前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一であった場合、前記過半数を占める要素の出力を多重化システムの出力とする。
一形態において、前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一でない場合、あるいは、自己の故障検出が可能な要素以外の要素が２以上存在しない場合、多重化システムの出力値を変えない。
一形態において、前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一でない場合、あるいは、自己の故障検出が可能な要素以外の要素が２以上存在しない場合、既定の値を多重化システムの出力とする。
別の態様では、複数の要素からなる多重化システムの出力決定方法であって、前記多重化システムは、自己の故障検出が可能な少なくとも１以上の第１の要素と、自己の故障検出が可能ではないが前記第１の要素と同一の機能を有する少なくとも１以上の第２の要素とを含み、前記出力決定方法は、前記第１の要素及び前記第２の要素の各出力と、前記第１の要素の自己の故障検出通知とから多重化システムの出力を決定することを含む。
前記第１の要素のうち自己の故障検出通知を出さない要素が一つ以上存在する場合、前記故障検出通知を出さない要素の一つの出力を多重化システムの出力にする。
次に、本発明の実施形態を図面に基づいて詳細に説明する。
図１は本発明の第１の実施形態の多重化システムの構成を示すブロック図である。以降で説明される図面において、同種の構成ブロックには同じ参照番号を付している。
図１を参照すると、多重化システム１は、自己の故障検出が可能でない要素Ａ１（１０ａ）、要素Ｂ１（１０ｂ）、要素Ｃ１（１０ｃ）と、自己の故障検出が可能な要素Ａ２（２０ａ）、要素Ｂ２（２０ｂ）との複数の要素からなり、それぞれの要素は多重化システム１の入力を共有する。また、それぞれの要素の出力１１ａ，１１ｂ，１１ｃ，２１ａ，２１ｂと、故障検出通知２２ａ，２２ｂとは出力決定部３０に入力され、出力決定部３０の出力は多重化システム１の出力になっている。なお、図１には自己の故障検出が可能でない要素の数を３、自己の故障検出が可能な要素の数を２として図示しているが、自己の故障検出が可能な要素の数が１以上、自己の故障検出が可能でない要素の数と自己の故障検出が可能な要素の数との合計が２以上であれば、この数に限定されるものではない。
故障の検出は、機械システムや電気システムであればセンサーによる異常値検出が、計算システムであればパリティなどに代表される符号化、剰余による算術演算の検算などが知られており、一般的に、同一の要素を複数用いて比較する構成に比べると面積、電力、重量などのコストが小さい。
図２は本発明の第２の実施形態の多重化（二重化）システムの構成を示すブロック図である。
図２を参照すると、二重化システム２は、自己の故障検出が可能でない要素Ａ（１０ａ）と、自己の故障検出が可能な要素Ｂ（２０ｂ）とからなり、それぞれの要素は二重化システム２の入力を共有する。また、それぞれの要素の出力１１ａ，２１ｂと、故障検出通知２２ｂとは出力決定部３０に入力され、出力決定部３０の出力は二重化システム２の出力になっている。
図２ａは本発明の第２の実施形態の要素Ａに故障が発生したときの動作を説明する図である。要素Ａは故障によりエラーＸ’を出力し、要素Ｂは故障がなく正常なＸを出力するものとする。出力決定部は、自己の故障検出が可能な要素Ｂから故障検出通知がないので、要素Ｂの出力Ｘを出力決定部の出力に決定し、二重化システムは正常なＸを出力する。
図２ｂは本発明の第２の実施形態の要素Ｂに故障が発生したときの動作を説明する図である。要素Ａは故障がなく正常なＸを出力し、要素Ｂは故障によりエラーＸ’を出力すると共に、故障検出通知ｅｒｒを出力すると仮定する。出力決定部は、自己の故障検出が可能な要素Ｂから故障検出通知があるので、要素Ｂの出力を採用せず、要素Ａの出力Ｘを出力決定部の出力に決定し、二重化システムは正常なＸを出力する。
図５ａに示したように、従来の二重化システムは、一つの故障が発生した場合、故障検出ができるだけで、正常な値を出力することができないのに対し、図２ａと図２ｂとに示すように、第２の実施形態では一つの故障が発生した場合でも二重化システムは正常なＸを出力し、より高い信頼性を提供できる。
図２ｃは本発明の第２の実施形態の要素Ａと要素Ｂとに故障が発生したときの動作を説明する図である。要素Ａは故障によりエラーＸ’を出力し、要素Ｂは同様の故障により同一のエラーＸ’を出力すると共に、故障検出通知ｅｒｒを出力するとする。出力決定部は、自己の故障検出が可能な要素Ｂから故障検出通知があるので、要素Ｂの出力を採用せず、その他に自己の故障が検出可能な要素が２以上存在しないので、既定の出力Ｓを出力決定部の出力に決定し、二重化システムは既定の出力Ｓを出力する。既定の出力Ｓはその出力によって外部が危険な状態に陥らない出力が望ましい。例えば、信号機システムでは赤信号をこの場合の出力とすることが一般的である。図２ｃには示していないが、あるいは、出力決定部は、出力決定部の出力を変えないで前の出力のままとしてもよい。
図５ｂに示したように、従来の二重化システムは、二つの故障が同時に発生し、同様の故障により出力Ｘ’で一致した場合、エラーＸ’を出力してしまうのに対し、図２ｃに示すように、第２の実施形態では二つの故障が同時に発生した場合でも、エラーＸ’を出力することなく、より高い信頼性を提供できる。
第２の実施形態において、出力決定部が、自己の故障検出が可能な要素（図２では要素Ｂ）から故障検出通知を受け取った場合、自己の故障検出が可能でない要素（図２では要素Ａ）の出力を採用するかどうかは、二重化システムに求められる信頼性によって決めることができる。すなわち、高々一つの故障に対応するのであれば、要素Ａの出力を採用し、より高い信頼性を求めて、二つ以上の故障に対応するのであれば、要素Ａの出力を採用しないのが望ましい。
図３は本発明の第３の実施形態の多重化（三重化）システムの構成を示すブロック図である。
図３を参照すると、三重化システム３は、自己の故障検出が可能でない要素Ａ（１０ａ）、要素Ｂ（１０ｂ）と、自己の故障検出が可能な要素Ｃ（２０ｃ）とからなり、それぞれの要素は三重化システム３の入力を共有する。また、それぞれの要素の出力１１ａ，１１ｂ，２１ｃと、故障検出通知２２ｃとは出力決定部３０に入力され、出力決定部３０の出力は三重化システム３の出力になっている。
図３ａは本発明の第３の実施形態の要素Ａに故障が発生したときの動作を説明する図である。要素Ａは故障によりエラーＸ’を出力し、要素Ｂと要素Ｃとは故障がなく正常なＸを出力すると仮定する。出力決定部は、自己の故障検出が可能な要素Ｃから故障検出通知がないので、要素Ｃの出力Ｘを出力決定部の出力に決定し、三重化システムは正常なＸを出力する。
図３ｂは本発明の第３の実施形態の要素Ｃに故障が発生したときの動作を説明する図である。要素Ａと要素Ｂとは故障がなく正常なＸを出力し、要素Ｃは故障によりエラーＸ’を出力すると共に、故障検出通知ｅｒｒを出力すると仮定する。出力決定部は、自己の故障検出が可能な要素Ｃから故障検出通知があるので、要素Ｃの出力を採用しない。自己の故障が検出可能な要素すべてから故障通知があるが、その他に、自己の故障検出が可能な要素以外の要素、すなわち自己の故障が検出可能でない要素が要素Ａと要素Ｂとの二つ存在し、その過半数の出力が同一なので、その出力Ｘを出力決定部の出力に決定し、三重化システムは正常なＸを出力する。
図３ｃは本発明の第３の実施形態の要素Ａと要素Ｂとに故障が発生したときの動作を説明する図である。要素Ａと要素Ｂとは故障によりエラーＸ’を出力し、要素Ｃは故障がなく正常なＸを出力すると仮定する。出力決定部は、自己の故障検出が可能な要素Ｃから故障検出通知がないので、要素Ｃの出力Ｘを出力決定部の出力に決定し、三重化システムは正常なＸを出力する。
図３ｄは本発明の第３の実施形態の要素Ａと要素Ｃとに故障が発生したときの動作を説明する図である。要素Ａと要素Ｃとは故障によりエラーＸ’を出力し、要素Ｃは故障検出通知ｅｒｒを出し、要素Ｂは故障がなく正常なＸを出力すると仮定する。出力決定部は、自己の故障検出が可能な要素Ｃから故障検出通知があるので、要素Ｃの出力を採用しない。自己の故障が検出可能な要素すべてから故障通知があるが、その他に、自己の故障検出が可能な要素以外の要素、すなわち自己の故障が検出可能でない要素が要素Ａと要素Ｂとの二つ存在し、その過半数の出力が同一でないので、既定の出力値Ｓを出力決定部の出力に決定し、三重化システムは既定の安全なＳを出力する。図３ｄには示していないが、あるいは出力決定部はその出力を変えなくてもよい。
従来の三重化システムは、二つの故障があった場合、その故障が同一のエラーを引き起こすと多数決によってエラーを出力する可能性があるのに対し、第３の実施の形態の三重化システムは、二つの故障があっても図３ｃに示したように正常なＸを出力するか、図３ｄに示したように安全なＳを出力することができ、エラーを出力することなく、より高い信頼性を提供できる。
図４は本発明の第４の実施形態の多重化（三重化）システムの他の構成を示すブロック図である。
図４を参照すると、三重化システム４は、自己の故障検出が可能でない要素Ａ（１０ａ）と、自己の故障検出が可能な要素Ｂ（２０ｂ）、要素Ｃ（２０ｃ）とからなり、それぞれの要素は三重化システム４の入力を共有する。また、それぞれの要素の出力１１ａ，２１ｂ，２１ｃと、故障検出通知２２ｂ，２２ｃとは出力決定部３０に入力され、出力決定部３０の出力は三重化システム４の出力になっている。
図４ａは本発明の第４の実施形態の要素Ａと要素Ｂとに故障が発生したときの動作を説明する図である。要素Ａと要素Ｂとは故障によりエラーＸ’を出力し、要素Ｂは故障検出通知ｅｒｒを出し、要素Ｃは故障がなく正常なＸを出力すると仮定している。出力決定部は、自己の故障検出が可能な要素Ｃから故障検出通知がないので、要素Ｃの出力Ｘを出力決定部の出力に決定し、三重化システムは正常なＸを出力する。
図４ｂは本発明の第４の実施形態の要素Ｂと要素Ｃとに故障が発生したときの動作を説明する図である。要素Ａは故障がなく正常なＸを出力し、要素Ｂと要素Ｃとは故障によりエラーＸ’を出力すると共に故障検出通知ｅｒｒを出力するとする。出力決定部は、自己の故障が検出可能な要素すべてから故障通知があるが、その他に自己の故障が検出可能でない要素Ａが存在するのでその出力Ｘを出力決定部の出力に決定し、三重化システムは正常なＸを出力する。
従来の三重化システムは、二つの故障があった場合、その故障が同一のエラーを引き起こすと多数決によってエラーを出力する可能性があるのに対し、第４の実施の形態の三重化システムは、二つの故障があっても図４ａと図４ｂとに示したように正常なＸを出力することができ、エラーを出力することなく、より高い信頼性を提供できる。
三つ以上の故障が同時に発生することを仮定して、更に高い信頼性を求める場合、図４ｂに示したように要素Ｂと要素Ｃとに故障が発生したとき、出力決定部は自己の故障が検出可能な要素すべてから故障通知があり、その他に自己の故障が検出可能でない要素が二つ以上存在しないので、出力決定部の出力を既定の安全な出力Ｓを出力するか、その出力を変えなくてもよい。
以上、本発明を上記実施例に即して説明したが、本発明は上記実施例の構成に限定されるものでなく、本発明の範囲内で当業者であればなしうるであろう各種変形、修正を含むことは勿論である。
上述した実施形態の１部又は、全部は、以下の付記のようにも記載できるが、これらには限らない。
（付記１）同一の機能を持つ複数の要素からなる多重化システムは、前記要素の少なくとも一つは自己の故障検出が可能であり、前記要素の出力と、前記自己の故障検出が可能な要素の故障検出通知とから、多重化システムの出力を決定する出力決定部を含む多重化システム。
（付記２）前記出力決定部は、自己の故障検出が可能な要素のなかで、故障検出通知を出さない要素が一つ以上存在する場合、前記故障検出通知を出さない要素の一つの出力を多重化システムの出力とする付記１に記載の多重化システム。
（付記３）前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在した場合、前記自己の故障検出が可能な要素以外の要素の一つの出力を多重化システムの出力とする付記１記載の多重化システム。
（付記４）前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在しない場合、多重化システムの出力値を変えない付記１記載の多重化システム。
（付記５）前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が存在しない場合、既定の値を多重化システムの出力とする付記１記載の多重化システム。
（付記６）前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一であった場合、前記過半数を占める要素の出力を多重化システムの出力とする付記１記載の多重化システム。
（付記７）前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一でない場合、あるいは、自己の故障検出が可能な要素以外の要素が２以上存在しない場合、多重化システムの出力値を変えない付記１記載の多重化システム。
（付記８）前記出力決定部は、自己の故障検出が可能な要素のすべてが故障検出通知を出した場合、かつ、自己の故障検出が可能な要素以外の要素が２以上存在し、かつ、前記自己の故障検出が可能な要素以外の要素の過半数の出力が同一でない場合、あるいは、自己の故障検出が可能な要素以外の要素が２以上存在しない場合、既定の値を多重化システムの出力とする付記１記載の多重化システム。
（付記９）複数の要素からなる多重化システムの出力決定方法であって、前記多重化システムは自己の故障検出が可能な第１の要素と、自己の故障検出が可能ではないが前記第１の要素と同一の機能を有する第２の要素とを含み、前記第１の要素及び前記第２の要素の各出力と、前記第１の要素の自己の故障検出通知とから多重化システムの出力を決定する方法。
（付記１０）前記第１の要素のうち自己の故障検出通知を出さない要素が一つ以上存在する場合、前記故障検出通知を出さない要素の一つの出力を多重化システムの出力とする付記９記載の多重化システムの出力決定方法。
（付記１１）複数の要素からなる多重化システムであって、前記多重化システムは自己の故障検出が可能な第１の要素と、自己の故障検出が可能ではないが前記第１の要素と同一の機能を有する第２の要素とを含み、前記第１の要素及び前記第２の要素の各出力と、前記第１の要素の自己の故障検出通知とからシステムの出力を決定する出力決定部を含む多重化システム。
この出願は、２０１０年２月１０日に出願された日本出願特願２０１０−０２７５３８を基礎とする優先権を主張し、その開示のすべてをここに取り込む。
【図１】
2011099233.tif 000003
【図２】
2011099233.tif 000004
【図２ａ】
2011099233.tif 000005
【図２ｂ】
2011099233.tif 000006
【図２ｃ】
2011099233.tif 000007
【図３】
2011099233.tif 000008
【図３ａ】
2011099233.tif 000009
【図３ｂ】
2011099233.tif 000010
【図３ｃ】
2011099233.tif 000011
【図３ｄ】
2011099233.tif 000012
【図４】
2011099233.tif 000013
【図４ａ】
2011099233.tif 000014
【図４ｂ】
2011099233.tif 000015
【図５】
2011099233.tif 000016
【図５ａ】
2011099233.tif 000017
【図５ｂ】
2011099233.tif 000018
【国際調査報告】
2011099233.tif 000019
2011099233.tif 000020
2011099233.tif 000021
2011099233.tif 000022