冗長機能を有する第1のプロセッサエレメントと、第2のプロセッサエレメントと、前記第1及び第2のプロセッサエレメントに共用され、前記第1のプロセッサエレメントが実行する第1のプログラムが格納された第1の記憶部と、前記第1のプログラムが格納された領域に対し、前記第2のプロセッサエレメントがアクセスできないように設定可能なガード部と、を備え、前記第1のプロセッサエレメントが前記ガード部を設定した後、前記第2のプロセッサエレメントが起動するプロセッサシステム。前記第1のプロセッサエレメントをリセットするハードウェアリセット信号と、前記第1のプロセッサエレメントが前記第1のプログラムを実行することにより前記ガード部を設定したことを示すソフトウェアリセット信号と、に基づいて前記第2のプロセッサエレメントの起動を制御する起動制御信号を生成する起動制御回路を、更に備えることを特徴とする請求項1に記載のプロセッサシステム。前記起動制御信号に応じて、前記第2のプロセッサエレメントのリセットが解除されることにより、前記第2のプロセッサエレメントが起動することを特徴とする請求項2に記載のプロセッサシステム。前記起動制御信号に応じて、前記第2のプロセッサエレメントへのクロック信号の供給が開始されることにより、前記第2のプロセッサエレメントが起動することを特徴とする請求項2に記載のプロセッサシステム。前記起動制御信号に基づいて、前記第2のプロセッサエレメントへの前記クロック信号の供給を制御するクロック供給制御回路を、更に備えることを特徴とする請求項4に記載のプロセッサシステム。前記第1のプログラムを検証する第3のプロセッサエレメントを、更に備えることを特徴とする請求項1~5のいずれか一項に記載のプロセッサシステム。前記第3のプロセッサエレメントが前記第1のプログラムを検証した後、前記第1のプロセッサエレメントが起動することを特徴とする請求項6に記載のプロセッサシステム。前記第1及び第2のプロセッサエレメントからのアクセスが禁止され、前記第3のプロセッサエレメントが実行する第2のプログラムが格納された第2の記憶部を、更に備えることを特徴とする請求項7に記載のプロセッサシステム。前記第1のプロセッサエレメントと前記第3のプロセッサエレメントとの接続を遮断するスイッチを、更に備えることを特徴とする請求項6~8のいずれか一項に記載のプロセッサシステム。前記第1の論理回路が前記第1のプロセッサエレメントの内部に設けられていることを特徴とする請求項2に記載のプロセッサシステム。前記第1の論理回路が前記第2のプロセッサエレメントの内部に設けられていることを特徴とする請求項2に記載のプロセッサシステム。前記第1のプロセッサエレメントは、前記ソフトウェアリセット信号を保持するレジスタを備えることを特徴とする請求項2~11のいずれか一項に記載のプロセッサシステム。第2のプロセッサエレメントが冗長機能を有しないことを特徴とする請求項1~12のいずれか一項に記載のプロセッサシステム。冗長機能を有する第1のプロセッサエレメントと、第2のプロセッサエレメントと、前記第1及び第2のプロセッサエレメントに共用され、前記第1のプロセッサエレメントが実行するプログラムが格納された記憶部と、前記第2のプロセッサエレメントが、前記プログラムが格納された領域に対し、アクセスできないように設定可能なガード部と、を備えたプロセッサシステムの起動方法であって、前記第1のプロセッサエレメントを起動し、前記第1のプロセッサエレメントにより、前記ガード部を設定した後、前記第2のプロセッサエレメントを起動するプロセッサシステムの起動方法。前記プロセッサシステムが前記プログラムを検証する第3のプロセッサエレメントを、更に備え、前記第3のプロセッサエレメントを起動し、前記第3のプロセッサエレメントにより、前記プログラムを検証した後、前記第1のプロセッサエレメントを起動することを特徴とする請求項14に記載のプロセッサシステムの起動方法。発明者は以下の課題を見出した。複数のプロセッサエレメントを備えるプロセッサシステムでは、上述のセーフティ機能に関して、例えば、冗長機能を有しない通常のプロセッサエレメントが暴走することにより、冗長機能を有するプロセッサエレメント以下、冗長プロセッサエレメントが実行するプログラムが破壊されてしまうおそれがあった。つまり、冗長プロセッサエレメントが実行するプログラムの信頼性が保証されていなかった。本発明に係るプロセッサシステムの一態様は、冗長機能を有する第1のプロセッサエレメントと、第2のプロセッサエレメントと、前記第1及び第2のプロセッサエレメントに共用され、前記第1のプロセッサエレメントが実行する第1のプログラムが格納された第1の記憶部と、前記第1のプログラムが格納された領域に対し、前記第2のプロセッサエレメントがアクセスできないように設定可能なガード部と、を備え、前記第1のプロセッサエレメントが、前記ガード部を設定した後、前記第2のプロセッサエレメントが起動するものである。本発明に係るプロセッサシステムは、第1のプロセッサエレメントが実行するプログラムが格納された領域に対し、第2のプロセッサエレメントがアクセスできないように設定可能なガード部を備えている。そして、当該プロセッサシステムの起動時に、第1のプロセッサエレメントが、前記ガード部を設定した後、第2のプロセッサエレメントが起動する。そのため、ガード部を設定する前に第2のプロセッサエレメントが暴走し、第1のプロセッサエレメントが実行するプログラムを破壊してしまうおそれがない。そのため、第1のプロセッサエレメントが実行するプログラムの信頼性を保証することができる。本発明に係るプロセッサシステムによれば、冗長プロセッサエレメントが実行するプログラムの信頼性を保証することができる。以下、本発明を適用した具体的な実施の形態について、図面を参照しながら詳細に説明する。ただし、本発明が以下の実施の形態に限定される訳ではない。また、説明を明確にするため、以下の記載及び図面は、適宜、簡略化されている。実施の形態1以下、図面を参照して本発明の実施の形態について説明する。まず、本発明を適用可能なプロセッサシステム全体の概要について説明する。なお、以下で説明するプロセッサシステムはあくまでも一例であり、当然のことながら、他のプロセッサシステムに本発明を適用することも可能である。図1は、本実施の形態に係るプロセッサシステムの全体を示すブロック図である。図1に示すように、本実施の形態に係るプロセッサシステムは、複数のプロセッサエレメントを用いることにより処理性能の向上を実現するものである。また、本発明に係るプロセッサシステムでは、機能毎に3つのサブシステムに分類される。図1に示すように、本発明に係るプロセッサシステムは、メインPEサブシステム、IOInputOutputサブシステム、HSMHardwareSecurityModuleサブシステムを有する。メインPEサブシステムは、予め内部に記憶されたプログラム又は外部から読み込んだプログラムに基づいて、本プロセッサシステムに求められる具体的な処理を行う。IOサブシステムは、メインPEサブシステム又はHSMサブシステムにより用いられる周辺装置が動作するための各種処理を行う。HSMサブシステムは、プロセッサシステムにおいて行われている処理のセキュリティ検証処理を行う。また、本実施の形態に係るプロセッサシステムでは、各サブシステムにクロック信号CLKa、CLKb、CLKc、CLKpが供給される。図1に示す例では、メインPEサブシステムにはクロック信号CLKaが供給され、IOサブシステムにはクロック信号CLKb、CLKpが供給され、HSMサブシステムにはクロック信号CLKcが供給される。これらのクロック信号CLKa、CLKb、CLKcは、システム全体構成の仕様に応じて、同一の周波数であっても、異なる周波数であってもよい。また、クロック信号CLKpは、周辺装置に与えられ、IOサブシステムに与えられるクロック信号CLKbとは非同期のクロック信号である。次に、より具体的に各サブシステムについて説明する。メインPEサブシステムは、メインPEである2つのプロセッサエレメントPEa、PEb、第1の命令メモリ、データメモリ、システムバスを有する。メインPEサブシステムでは、プロセッサエレメントPEa、PEb、第1の命令メモリ及びデータメモリは、システムバスを介して互いに接続される。第1の命令メモリには、プログラムが格納されている。データメモリは、外部から読み込んだプログラム及びプロセッサシステム内で処理されたデータを一時的に記憶する。プロセッサエレメントPEa、PEbは、それぞれ第1の命令メモリ、データメモリ等を利用しながらプログラムを実行する。ここで、プロセッサエレメントPEaが冗長機能を有するプロセッサエレメントであるのに対し、プロセッサエレメントPEbは冗長機能を有さない通常のプロセッサエレメントである。冗長プロセッサエレメントPEaは、ハードウェア的には、同一構成の2つのプロセッサエレメントが一組になった多重化された構成もしくは通常のプロセッサエレメントに検査回路等が付加された構成を備えている。一方、ソフトウェア的には一つのプロセッサエレメントとして動作する。このような構成により、信頼性の高い動作を行うことができる。冗長動作の一例として、多重化された回路の出力結果が同一であるか否かをクロック毎に比較するロックステップ動作がある。IOサブシステムは、周辺バス、入出力プロセッサエレメントIOPE、周辺装置を有する。IOPEは、周辺装置を利用する上で必要な処理を行う。なお、IOPEはメインPEシステムの第1の命令メモリに記憶されているプログラムに基づき動作してもよく、他の記憶領域に記憶されているプログラムに基づき動作してもよい。周辺バスは、IOPE及び周辺装置を互いに接続する。図1では、周辺装置として、CANユニット、FLEXRAYユニット、SPIユニット、UARTユニット、ADCユニット、WDユニット、タイマを例示した。CANユニットは、自動車の車内通信規格の一つであるCANControllerAreaNetworkに基づく通信を行う。FLEXRAYユニットは、自動車の車内通信規格の一つであるFlexRay規格に基づく通信を行う。SPIユニットは、3線又は4線のシリアル通信であるSPISystemPacketInterface規格の通信を行う。UARTUniversalAsynchronousReceiverTransmitterユニットは、調歩同期方式によるシリアル信号をパラレル信号に変換し、また、その逆方向の変換を行う。ADCAnalogtoDigitalConverterユニットは、センサ等から与えられるアナログ信号をデジタル信号に変換する。WDWatchdogユニットは、所定の期間が経過したことを検出するウォッチドックタイマ機能を提供する。タイマは、時間の計測、波形生成などを行う。図1の例では、上記ユニットを周辺装置としたが、他の機能を有するユニットを含むことも可能であり、また、一部のユニットのみを有する場合も考えられる。HSMサブシステムは、セキュリティプロセッサエレメントSPESecurityProcessorElementと、第2の命令メモリとを有する。セキュリティプロセッサエレメントSPEは、システムバスに接続される。セキュリティプロセッサエレメントSPEは、メインPEサブシステムで実行されているプログラムの正当性又はプログラムを実行して得られるデータの正当性を判断する。第2の命令メモリには、プログラムが格納される。また、第2の命令メモリは、セキュリティプロセッサエレメントSPEのみがアクセスできるメモリである。第2の命令メモリは、第1の命令メモリと物理的に独立して設けられている必要はないが、セキュリティプロセッサエレメントSPEのみがアクセス可能な領域として、アクセス制御されている必要がある。つまり、第2の命令メモリは、第1の命令メモリと少なくとも論理的には独立している必要がある。上記説明の通り、図1に示したプロセッサシステムは、複数のプロセッサエレメントにより処理能力を向上させつつ、予期しない故障、予期しないプログラムの改変等の不具合に対して高い耐性を有している。なお、図1に示したプロセッサシステムは、本発明が適用されるプロセッサシステムの一例を示したものであり、例えば、命令メモリ及びデータメモリの配置及びシステム中の個数は、そのシステムのアーキテクチャにより種々考えられる。また、メモリと各プロセッサエレメントとの接続は、例えば、複数のバスを介して接続される構成であってもよく、バスを介さずにプロセッサエレメントと接続される構成であってもよく、アーキテクチャの設計により種々の構成が考えられ得る。図2は、実施の形態1に係るプロセッサシステムのブロック図である。図2に示すように、実施の形態1に係るプロセッサシステムは、プロセッサエレメントPEa、PEb、システムバス、周辺バスブリッジ23、PEガード24~26、第1の命令メモリ、データメモリ、周辺バス、I/OInputOutput、WDユニット、タイマを有する。ここで、システムバス、第1の命令メモリ、データメモリ、周辺バス、WDユニット、タイマについては、図1に示したブロック図において説明したものと同じであるためここでは説明を省略する。また、図2のI/Oは、図1で示したCANユニット、FLEXRAYユニット、SPIユニット、UARTユニット、ADCユニットを含むものとする。PEガード24~26は、1つのプロセッサエレメントのみにアクセスが許可されたアドレス範囲に対し、他のプロセッサエレメントからのアクセス要求があった場合、このアクセス要求を無効にする。具体的には、PEガード24~26は、信頼性の高い冗長機能を有するプロセッサエレメント以下、冗長プロセッサエレメントとも称すPEaのみがアクセス可能なアドレス範囲に対し、プロセッサエレメントPEbからアクセス要求があった場合、このアクセス要求を無効にする。ここで、図3を用いて、PEガード24~26の詳細な構成について説明する。PEガード24~26は同じ構成であるため、ここでは、PEガード24を例にPEガードの詳細について説明する。図3は、実施の形態1に係るPEガード24のブロック図である。図3に示すように、PEガード24は、アクセス制御回路40、PEa固有領域設定レジスタ42、PEa固有領域判定部43を有する。PEa固有領域設定レジスタ42には、冗長プロセッサエレメントPEaのみがアクセス可能なデータ格納領域アドレス範囲を規定する設定値以下、PEa固有領域設定値と称すASaが格納される。PEa固有領域設定レジスタ42は、このPEa固有領域設定値ASaを出力する。また、PEa固有領域設定レジスタ42は、PEa固有領域設定値ASaが格納されていない状態例えば、プロセッサシステムの起動時やリセット時では、イネーブル信号ENaをディスエーブル状態とし、PEa固有領域設定値ASaが格納された後にイネーブル信号ENaをイネーブル状態とする。なお、PEa固有領域設定レジスタ42は、アクセス対象回路に内蔵される構成としてもよい。PEa固有領域判定部43は、イネーブル信号ENaがイネーブル状態の場合、判定を実行し、イネーブル信号ENaがディスエーブル状態の場合、判定を実行しない。PEa固有領域判定部43は、アクセス要求RQと共にプロセッサエレメントPEa、PEbなどのバスマスタが出力するプロセッサエレメント識別信号PEIDを受信する。そして、PEa固有領域判定部43は、プロセッサエレメント識別信号PEIDがプロセッサエレメントPEbであることを示し、かつ、アクセス対象回路に対するアクセスアドレスADDがPEa固有領域設定値ASaで特定されるアドレス範囲にある場合、検出信号DETaをディスエーブル状態とする。それ以外の場合、PEa固有領域判定部43は、検出信号DETaをイネーブル状態とする。なお、PEa固有領域判定部43は、イネーブル信号ENaがディスエーブル状態の場合、検出信号DETaをディスエーブル状態とする。アクセス制御回路40は、PEa固有領域判定部43が出力する検出信号DETaの状態を考慮してアクセス制御を行う。具体的には、検出信号DETaがイネーブル状態である場合、アクセス要求RQをアクセス対象回路に伝達する。一方、検出信号DETaがディスエーブル状態である場合、アクセス要求RQに対してエラー応答信号ERRを出力し、当該アクセス要求RQを無効とする。図3の例では、プロセッサエレメントPEbからPEa固有領域設定値ASaで特定されるアドレス範囲へのアクセスが遮断される。つまり、PEガードが設けられているため、信頼性の高い冗長プロセッサエレメントPEaが実行するプログラムが、通常のプロセッサエレメントPEbにより書き換えられるおそれがない。従って、プロセッサシステムの信頼性を向上させることができる。また、PEガードを設定するためのPEa固有領域設定値ASa自体が、信頼性の高い冗長プロセッサエレメントPEaにより、PEa固有領域設定値ASaで特定されるアドレス範囲に格納される。そのため、PEa固有領域設定値ASaは一度設定されれば、通常のプロセッサエレメントPEbの誤動作により変更されるおそれがない。従って、プロセッサシステムの信頼性を向上させることができる。次に、図4、5を用いて、本実施の形態に係るプロセッサシステムの起動方法について説明する。上述の通り、本実施の形態に係るプロセッサシステムでは、PEガードによりプロセッサシステムの信頼性を向上させることができる。しかしながら、PEガードが設定される前に、通常のプロセッサエレメントPEbが起動してしまうと、PEガードが設定されるまでの間に、プロセッサエレメントPEbにより、信頼性の高い冗長プロセッサエレメントPEaが実行するプログラムが書き換えられるおそれがある。そのため、本実施の形態に係るプロセッサシステムでは、システム起動時にまず信頼性の高い冗長プロセッサエレメントPEaが起動し、上述のPEガードを設定する。その後、通常のプロセッサエレメントPEbが起動する。つまり、通常のプロセッサエレメントPEbが起動する前に、PEガードのPEa固有領域設定値ASaが設定される。従って、上述の通り、プロセッサエレメントPEbの誤動作により、冗長プロセッサエレメントPEaが実行するプログラムやPEa固有領域設定値ASaが書き換えられるおそれがない。図4は、実施の形態1に係るプロセッサシステムの起動方法を説明するための模式的ブロック図である。図4に示すように、冗長プロセッサエレメントPEaは、レジスタREG1、ORゲートOR1を備えている。図4におけるPEガードPGは、図2に示すように、PEガード24~26を含んでいる。図4における共用リソースSRは、冗長プロセッサエレメントPEaやプロセッサエレメントPEb等に共用されるリソースである。本実施の形態では、共用リソースSRは、図2に示すように、第1の命令メモリ、データメモリ、周辺バスブリッジ23、周辺バス、I/O、WDユニット、タイマを含んでいる。図4に示すように、ハードウェアリセット信号HWRSTが、冗長プロセッサエレメントPEaに入力されている。この例では、ハードウェアリセット信号HWRSTは、HHighのときリセット、LLowのときリセット解除を意味する。また、ハードウェアリセット信号HWRSTによりレジスタREG1の値がHに初期化される。ハードウェアリセット信号HWRSTが、HからLに切り換わると、冗長プロセッサエレメントPEaが起動し、共有リソースSR内に格納されたプログラムに基づいて動作を開始する。ここで、冗長プロセッサエレメントPEaは、PEガードPGを設定する。具体的には、図3に示したPEa固有領域設定レジスタ42に対してPEa固有領域設定値ASaを設定する。冗長プロセッサエレメントPEaは、PEガードPGを設定した後、レジスタREG1の値をHからLへ書き換える。図4に示すように、このレジスタREG1の値は、ソフトウェアリセット信号SWRST1としてORゲートOR1の一方の入力に入力されている。ORゲートOR1の他方の入力には、ハードウェアリセット信号HWRSTが入力されている。ORゲートOR1の出力からは、プロセッサエレメントPEbを制御するためのリセット信号RST1が出力される。つまり、ORゲートOR1は、プロセッサエレメントPEbの起動制御信号を生成する起動制御回路である。従って、ハードウェアリセット信号HWRSTが、HからLに切り換わると、冗長プロセッサエレメントPEaがPEガードPGを設定し、その後レジスタREG1の値をHからLへ書き換える。そして、リセット信号RST1がHからLに切り換わると、プロセッサエレメントPEbが起動する。図5は、実施の形態1に係るプロセッサシステムの起動方法を説明するためのタイミングチャートである。図5の上から、ハードウェアリセット信号HWRST、ソフトウェアリセット信号SWRST1、リセット信号RST1を示している。まず、ハードウェアリセット信号HWRSTが、HからLに切り換わると、上述の通り、冗長プロセッサエレメントPEaが起動し、PEガードPGを設定する。次に、冗長プロセッサエレメントPEaがPEガードPGを設定した後、レジスタREG1の値をHからLへ書き換える。最後に、レジスタREG1の値がHからLへ書き換わると、リセット信号RST1もHからLに切り換わり、プロセッサエレメントPEbが起動する。このように、本実施の形態に係るプロセッサシステムでは、システム起動時にまず信頼性の高い冗長プロセッサエレメントPEaが起動し、上述のPEガードを設定する。その後、通常のプロセッサエレメントPEbが起動する。つまり、通常のプロセッサエレメントPEbが起動する前に、PEガードのPEa固有領域設定値ASaが設定されている。従って、上述の通り、プロセッサエレメントPEbの誤動作により、冗長プロセッサエレメントPEaが実行するプログラムやPEa固有領域設定値ASaが書き換えられるおそれがなく信頼性が保証される。実施の形態1の変形例次に、図6を用いて、実施の形態1の変形例について説明する。図6は、実施の形態1の変形例に係るプロセッサシステムの起動方法を説明するための模式的ブロック図である。図4では、冗長プロセッサエレメントPEaが、ORゲートOR1を備えていたが、図6では、冗長プロセッサエレメントPEaがORゲートOR1を備える代わりに、プロセッサエレメントPEbがORゲートOR2を備えている。つまり、プロセッサエレメントPEbを起動するためのリセット信号RST1が、図4では、冗長プロセッサエレメントPEaにおいて生成されていたのに対し、図6では、プロセッサエレメントPEbにおいて生成されている。そのため、図4では、ハードウェアリセット信号HWRSTが、冗長プロセッサエレメントPEaのみに入力されていたのに対し、図6では、冗長プロセッサエレメントPEa及びプロセッサエレメントPEbの両方に入力されている。動作については図4の場合と同様である。まず、ハードウェアリセット信号HWRSTによりレジスタREG1の値がHに初期化される。次に、ハードウェアリセット信号HWRSTが、HからLに切り換わると、冗長プロセッサエレメントPEaが起動し、PEガードPGを設定する。具体的には、図3に示したPEa固有領域設定レジスタ42に対してPEa固有領域設定値ASaを設定する。冗長プロセッサエレメントPEaがPEガードPGを設定した後、レジスタREG1の値をHからLへ書き換える。図6に示すように、このレジスタREG1の値は、ソフトウェアリセット信号SWRST1としてORゲートOR2の一方の入力に入力されている。ORゲートOR2の他方の入力には、ハードウェアリセット信号HWRSTが入力されている。ORゲートOR2の出力からは、プロセッサエレメントPEbを起動するためのリセット信号RST1が出力される。従って、ハードウェアリセット信号HWRSTが、HからLに切り換わると、冗長プロセッサエレメントPEaがPEガードPGを設定し、その後レジスタREG1の値をHからLへ書き換える。そして、リセット信号RST1がHからLに切り換わると、プロセッサエレメントPEbが起動する。このように、本実施の形態の変形例に係るプロセッサシステムでも、システム起動時にまず信頼性の高い冗長プロセッサエレメントPEaが起動し、上述のPEガードを設定する。その後、通常のプロセッサエレメントPEbが起動する。つまり、通常のプロセッサエレメントPEbが起動する前に、PEガードのPEa固有領域設定値ASaが設定されている。従って、上述の通り、プロセッサエレメントPEbの誤動作により、冗長プロセッサエレメントPEaが実行するプログラムやPEa固有領域設定値ASaが書き換えられるおそれがなく信頼性が保証される。実施の形態1の他の変形例次に、図7を用いて、実施の形態1の他の変形例について説明する。図7は、実施の形態1の他の変形例に係るプロセッサシステムの起動方法を説明するための模式的ブロック図である。図7では、図4の構成に加えて、ANDゲートAN1をさらに備えている。図4では、ORゲートOR1から出力されるリセット信号RST1により、プロセッサエレメントPEbの起動を制御していた。これに対し、図7では、ORゲートOR1から出力されるリセット信号RST1を用いて、冗長プロセッサエレメントPEaによるPEガードPGの設定が終了するまで、プロセッサエレメントPEbへのクロック信号CLKbの供給を停止する。また、図4では、ハードウェアリセット信号HWRSTが、冗長プロセッサエレメントPEaのみに入力されていたのに対し、図7では、冗長プロセッサエレメントPEa及びプロセッサエレメントPEbの両方に入力されている。まず、ハードウェアリセット信号HWRSTによりレジスタREG1の値がHに初期化される。次に、ハードウェアリセット信号HWRSTが、HからLに切り換わると、冗長プロセッサエレメントPEaが起動し、PEガードPGを設定する。具体的には、図3に示したPEa固有領域設定レジスタ42に対してPEa固有領域設定値ASaを設定する。ここで、プロセッサエレメントPEbにもハードウェアリセット信号HWRSTが入力されているため、プロセッサエレメントPEbのリセットも解除されているが、クロック信号の供給が停止されているため起動しない。冗長プロセッサエレメントPEaは、PEガードPGを設定した後、レジスタREG1の値をHからLへ書き換える。図7に示すように、このレジスタREG1の値は、ソフトウェアリセット信号SWRST1としてORゲートOR1の一方の入力に入力されている。ORゲートOR1の他方の入力には、ハードウェアリセット信号HWRSTが入力されている。ORゲートOR1の出力からは、リセット信号RST1が出力される。ここで、ANDゲートAN1の一方入力には、ORゲートOR1から出力されるリセット信号RST1の反転信号が入力されている。ANDゲートAN1の他方入力には、クロック信号CLKbが入力されている。そして、ANDゲートAN1から出力されるクロック信号がプロセッサエレメントPEbに供給される。ここで、ANDゲートAN1は、プロセッサエレメントPEbへのクロック供給を制御するクロック供給制御回路である。なお、冗長プロセッサエレメントPEaには、クロック信号CLKbが直接入力されている。ハードウェアリセット信号HWRSTが、HからLに切り換わると、冗長プロセッサエレメントPEaがPEガードPGを設定し、その後レジスタREG1の値をHからLへ書き換える。そして、リセット信号RST1がHからLに切り換わると、プロセッサエレメントPEbへのクロック信号の供給が開始され、プロセッサエレメントPEbが起動する。このように、本実施の形態の他の変形例に係るプロセッサシステムでも、システム起動時にまず信頼性の高い冗長プロセッサエレメントPEaが起動し、上述のPEガードを設定する。その後、通常のプロセッサエレメントPEbが起動する。つまり、通常のプロセッサエレメントPEbが起動する前に、PEガードのPEa固有領域設定値ASaが設定されている。従って、上述の通り、プロセッサエレメントPEbの誤動作により、冗長プロセッサエレメントPEaが実行するプログラムやPEa固有領域設定値ASaが書き換えられるおそれがなく信頼性が保証される。実施の形態2次に、図8を用いて、実施の形態2に係るプロセッサシステムについて説明する。図8は、実施の形態2に係るプロセッサシステムの起動方法を説明するための模式的ブロック図である。本実施の形態に係るプロセッサシステムは、図4と比較して、図1に示したセキュリティプロセッサエレメントSPEを備えている。図8に示すように、セキュリティプロセッサエレメントSPEは、レジスタREG2、ORゲートOR3を備えている。図8におけるSPEプログラム格納領域51は、セキュリティプロセッサエレメントSPEが実行するプログラムが格納された領域であって、図1に示した第2の命令メモリに含まれる。図8におけるPEaプログラム格納領域52は、冗長プロセッサエレメントPEaが実行するプログラムが格納された領域であって、図1に示した第1の命令メモリに含まれる。まず、ハードウェアリセット信号HWRSTによりレジスタREG1、REG2の値がHに初期化される。次に、ハードウェアリセット信号HWRSTが、HからLに切り換わると、セキュリティプロセッサエレメントSPEが起動し、SPEプログラム格納領域51内に格納されたプログラムに基づいて動作を開始する。ここで、セキュリティプロセッサエレメントSPEは、プロセッサシステム全体を検証する。この際、PEaプログラム格納領域52に格納された冗長プロセッサエレメントPEaが実行するプログラムも検証される。セキュリティプロセッサエレメントSPEは、プログラムを検証した後、レジスタREG2の値をHからLへ書き換える。図8に示すように、このレジスタREG2の値は、ソフトウェアリセット信号SWRST2としてORゲートOR3の一方の入力に入力されている。ORゲートOR3の他方の入力には、ハードウェアリセット信号HWRSTが入力されている。ORゲートOR3の出力からは、冗長プロセッサエレメントPEaを制御するためのリセット信号RST2が出力される。従って、ハードウェアリセット信号HWRSTが、HからLに切り換わると、セキュリティプロセッサエレメントSPEがプログラムを検証し、その後レジスタREG2の値をHからLへ書き換える。そして、リセット信号RST2がHからLに切り換わると、冗長プロセッサエレメントPEaが起動し、PEaプログラム格納領域52に格納されたプログラムに基づいて動作を開始する。ここで、冗長プロセッサエレメントPEaは、PEガードPGを設定する。具体的には、図3に示したPEa固有領域設定レジスタ42に対してPEa固有領域設定値ASaを設定する。冗長プロセッサエレメントPEaは、PEガードPGを設定した後、レジスタREG1の値をHからLへ書き換える。図8に示すように、このレジスタREG1の値は、ソフトウェアリセット信号SWRST1としてORゲートOR1の一方の入力に入力されている。ORゲートOR1の他方の入力には、ハードウェアリセット信号HWRSTが入力されている。ORゲートOR1の出力からは、プロセッサエレメントPEbを制御するためのリセット信号RST1が出力される。従って、ハードウェアリセット信号HWRSTが、HからLに切り換わると、冗長プロセッサエレメントPEaがPEガードPGを設定し、その後レジスタREG1の値をHからLへ書き換える。そして、リセット信号RST1がHからLに切り換わると、プロセッサエレメントPEbが起動する。図9は、実施の形態2に係るプロセッサシステムの起動方法を説明するためのタイミングチャートである。図9の上から、ハードウェアリセット信号HWRST、ソフトウェアリセット信号SWRST2、リセット信号RST2、ソフトウェアリセット信号SWRST1、リセット信号RST1を示している。まず、ハードウェアリセット信号HWRSTが、HからLに切り換わると、上述の通り、セキュリティプロセッサエレメントSPEが起動し、冗長プロセッサエレメントPEaが実行するプログラムを検証する。次に、セキュリティプロセッサエレメントSPEはプログラムを検証した後、レジスタREG2の値をHからLへ書き換える。次に、レジスタREG2の値がHからLへ書き換わると、リセット信号RST2もHからLに切り換わり、冗長プロセッサエレメントPEaが起動し、PEガードPGを設定する。次に、冗長プロセッサエレメントPEaは、PEガードPGを設定した後、レジスタREG1の値をHからLへ書き換える。最後に、レジスタREG1の値がHからLへ書き換わると、リセット信号RST1もHからLに切り換わり、プロセッサエレメントPEbが起動する。つまり、本実施の形態に係るプロセッサシステムでは、システム起動時にまずセキュリティプロセッサエレメントSPEが起動し、冗長プロセッサエレメントPEaが実行するプログラムを検証する。次に、冗長プロセッサエレメントPEaが起動し、上述のPEガードを設定する。最後に、通常のプロセッサエレメントPEbが起動する。そのため、冗長プロセッサエレメントPEaが起動する前に、セキュリティプロセッサエレメントSPEにより、冗長プロセッサエレメントPEaが実行するプログラムが検証済である。従って、冗長プロセッサエレメントPEaが改竄されたプログラムを実行するおそれがなく信頼性が保証される。さらに、実施の形態1と同様に、通常のプロセッサエレメントPEbが起動する前に、PEガードのPEa固有領域設定値ASaが設定されている。従って、上述の通り、プロセッサエレメントPEbの誤動作により、冗長プロセッサエレメントPEaが実行するプログラムやPEa固有領域設定値ASaが書き換えられるおそれがなく信頼性が保証される。実施の形態2の変形例次に、図10を用いて、実施の形態2の変形例について説明する。図10は、実施の形態2の変形例に係るプロセッサシステムの起動方法を説明するための模式的ブロック図である。図10では、図8の構成に加えて、ORゲートOR4、スイッチSW1をさらに備えている。また、SPE制御領域53を備えている。このような構成により、例えば当該プロセッサシステムの使用目的用途等に応じて、セキュリティプロセッサエレメントSPEを当該プロセッサシステムから切り離すことができる。換言すると、物理的にはセキュリティプロセッサエレメントSPEを備えつつ、論理的にセキュリティプロセッサエレメントSPEを無効化することができる。なお、図10では、図8におけるSPEプログラム格納領域51、PEガードPG、共用リソースSRは省略されている。SPE制御領域53からセキュリティプロセッサエレメントSPEを無効化するための制御信号DISが出力される。制御信号DISはORゲートOR4の一方入力に入力される。ORゲートOR4の他方の入力には、ハードウェアリセット信号HWRSTが入力されている。制御信号DISがHの場合、セキュリティプロセッサエレメントSPEに入力されるリセット信号は常時Hとなる。そのため、セキュリティプロセッサエレメントSPEが無効化される。一方、制御信号DISがLの場合、セキュリティプロセッサエレメントSPEに入力されるリセット信号は、ハードウェアリセット信号HWRSTと同じ信号レベルとなる。そのため、セキュリティプロセッサエレメントSPEが有効となる。また、図10に示すように、制御信号DISは、スイッチSW1を切り換えるための制御信号でもある。制御信号DISがHの場合、スイッチSW1はハードウェアリセット信号HWRSTに接続される。その結果、ハードウェアリセット信号HWRSTが、冗長プロセッサエレメントPEa及びORゲートOR1に入力される。つまり、セキュリティプロセッサエレメントSPEが無効化され、図4と同様の構成となる。一方、制御信号DISがLの場合、スイッチSW1はリセット信号RST2に接続される。その結果、リセット信号RST2が、冗長プロセッサエレメントPEa及びORゲートOR1に入力される。つまり、セキュリティプロセッサエレメントSPEが有効となり、図8と同様の構成となる。実施の形態3次に、図11を用いて、実施の形態3に係るプロセッサシステムについて説明する。図11は、実施の形態3に係るプロセッサシステムの起動方法を説明するための模式的ブロック図である。本実施の形態に係るプロセッサシステムは、セキュリティプロセッサエレメントSPE、冗長プロセッサエレメントPEa、SPEプログラム格納領域51、PEaプログラム格納領域52を備えている。図11に示すように、セキュリティプロセッサエレメントSPEは、レジスタREG2、ORゲートOR3を備えている。図11におけるSPEプログラム格納領域51は、セキュリティプロセッサエレメントSPEが実行するプログラムが格納された領域であって、図1に示した第2の命令メモリの一部である。図11におけるPEaプログラム格納領域52は、冗長プロセッサエレメントPEaが実行するプログラムが格納された領域であって、図1に示した第1の命令メモリの一部である。まず、ハードウェアリセット信号HWRSTによりレジスタREG2の値がHに初期化される。次に、ハードウェアリセット信号HWRSTが、HからLに切り換わると、セキュリティプロセッサエレメントSPEが起動し、SPEプログラム格納領域51内に格納されたプログラムに基づいて動作を開始する。実施の形態2と同様に、ここで、セキュリティプロセッサエレメントSPEは、プロセッサシステム全体を検証する。この際、PEaプログラム格納領域52に格納された冗長プロセッサエレメントPEaが実行するプログラムも検証される。セキュリティプロセッサエレメントSPEは、プログラムを検証した後、レジスタREG2の値をHからLへ書き換える。図11に示すように、このレジスタREG2の値は、ソフトウェアリセット信号SWRST2としてORゲートOR3の一方の入力に入力されている。ORゲートOR3の他方の入力には、ハードウェアリセット信号HWRSTが入力されている。ORゲートOR3の出力からは、冗長プロセッサエレメントPEaを制御するためのリセット信号RST2が出力される。従って、ハードウェアリセット信号HWRSTが、HからLに切り換わると、セキュリティプロセッサエレメントSPEがプログラムを検証し、その後レジスタREG2の値をHからLへ書き換える。そして、リセット信号RST2がHからLに切り換わると、冗長プロセッサエレメントPEaが起動し、PEaプログラム格納領域52に格納されたプログラムに基づいて動作を開始する。つまり、本実施の形態に係るプロセッサシステムでは、システム起動時にまずセキュリティプロセッサエレメントSPEが起動し、冗長プロセッサエレメントPEaが実行するプログラムを検証する。次に、冗長プロセッサエレメントPEaが起動する。そのため、冗長プロセッサエレメントPEaが起動する前に、セキュリティプロセッサエレメントSPEにより、冗長プロセッサエレメントPEaが実行するプログラムが検証済である。従って、冗長プロセッサエレメントPEaが改竄されたプログラムを実行するおそれがなく信頼性が保証される。以上、実施の形態を参照して本願発明を説明したが、本願発明は上記によって限定されるものではない。本願発明の構成や詳細には、発明のスコープ内で当業者が理解し得る様々な変更をすることができる。また、上述した発明の実施の形態1、2及びその変形例は、適宜組み合わせることも可能である。