"一または二以上の制御装置と、該制御装置と伝送路を介して接続し、該制御装置に対して制御指令を送信する主コントローラと、該主コントローラの異常を監視する従コントローラとを有するデータ伝送システムであって、前記主コントローラは、符号化処理および複合化処理を行うための複数の符号化ルールのそれぞれを特定するための符号化キーを保存する手段と、前記従コントローラから送られてくる符号化キーを保存する符号化キー保存手段と、前記従コントローラまたは前記制御装置から送られてくるデータを受信する受信処理部と、該受信処理部の受信データを該符号化キー保存手段に保存されている符号化キーを用いて復号化処理する復号化部と、該復号化部によって複号化処理された受信データの異常の有無を判定し、異常無しの場合であって、該受信データが従コントローラから送られてきた符号化キーの場合は該符号化キー保存手段に該符号化キーを保存する異常検出部と、周期的に前記制御装置へ送信するための制御指令を生成する送信データ生成部と、当該制御指令に対するチェックコードを生成するチェックコード生成部と、該符号化キー保存手段に保存されている符号化キーに対応する符号化ルールに基づいて前記制御指令と前記チェックコードとを符号化処理して送信データを生成する符号化部と、該符号化部によって生成された送信データを前記制御装置へ送信する送信処理部と、を備え、前記従コントローラは、符号化処理および複合化処理を行うための複数の符号化ルールのそれぞれを特定するための符号化キーを保存する手段と、前記主コントローラおよび前記制御装置へ送信する符号化キーを生成する符号化キー切替部と、前記制御装置から送られてくる異常通知を受信することによって前記主コントローラの異常と判定し、前記制御装置に対して、コントローラ切替指令を送信する異常検出部と、前記主コントローラが異常の場合に、前記制御装置へ送信するための制御指令を生成する送信データ生成部と、該符号化キー切替部によって生成された符号化キーまたは該送信データ生成部によって生成された制御指令を前回送信した符号化キーによって符号化処理して送信データを生成する符号化部と、該符号化部によって生成された送信データを前記制御装置へ送信する送信処理部と、を備え、前記制御装置は、符号化処理および複合化処理を行うための複数の符号化ルールのそれぞれを特定するための符号化キーを保存する手段と、前記従コントローラから送られてくる符号化キーを保存する符号化キー保存手段と、前記主コントローラまたは前記従コントローラから送られてくるデータを受信する受信処理部と、該受信処理部の受信データを該符号化キー保存手段に保存されている符号化キーを用いて復号化処理する復号化部と、該復号化部によって複号化処理された受信データの異常の有無を判定し、該判定の結果が異常無しの場合であって、該受信データが前記従コントローラから送られてきた符号化キーの場合は該符号化キー保存手段に該符号化キーを保存する一方、該判定の結果が異常有りの場合であって、該受信データが前記主コントローラから送られてきた制御指令の場合は前記主コントローラに異常が発生したものとして前記従コントローラに異常通知を送信する異常検出部と、該判定の結果が異常無しの場合であって、該受信データが前記主コントローラから送られてきた制御指令の場合は、該制御指令に従って動作する制御指令実行部と、を備えたことを特徴とするデータ伝送システム。請求項1記載のデータ伝送システムにおいて、符号化ルールとして共通鍵暗号化アルゴリズムを適用することを特徴とするデータ伝送システム。前記従コントローラは、複数の前記制御装置から異常通知を受けることにより、前記主コントローラの異常と判定することを特徴とする請求項1または2に記載のデータ伝送システム。前記送信データは、伝送フォーマット上の所定位置に送信データが少なくとも制御指令か、符号化キーかを識別するための所定長の種別コードを含み、前記主コントローラの符号化部および前記従コントローラの符号化部は、種別コードが制御指令以外のときは送信データの符号化処理を行わず、種別コードが制御指令のときは該種別コードを除く送信データ部分について符号化処理を行い、前記主コントローラの復号化部および前記制御装置の復号化部は、種別コードが制御指令以外のときは受信データの復号化処理を行わず、種別コードが制御指令のときは該種別コードを除く受信データ部分について復号化処理を行うことを特徴とする請求項1乃至3のいずれか一項に記載のデータ伝送システム。しかしながら、従来の方法では、伝送路上で発生する障害については検出可能であるが、コントローラ内の障害を検出できない。また、メモリ診断などによってメモリの異常については検出できるが、近年のメモリの大容量化によりメモリ診断に時間がかかり、サイクリック伝送を前提としたとき、伝送周期たとえば10ms内でメモリ異常を検出することは難しい。このため、メモリ異常が内在するにもかかわらず、それを検出できずに動作を行う時間が生ずる。また、コントローラ内部のCPUなどロジック回路の異常については検出することができなかった。本発明は、上述のかかる事情に鑑みてなされたものであり、コントローラからの定周期データ受信のたびにコントローラ内部の演算回路の異常の有無を確認でき、コントローラの異常を即座に検知することのできるデータ伝送システムを提供することを目的とする。上記目的を達成するため、本発明に係るデータ伝送システムは、一または二以上の制御装置と、該制御装置と伝送路を介して接続し、該制御装置に対して制御指令を送信する主コントローラと、該主コントローラの異常を監視する従コントローラとを有するデータ伝送システムであって、前記主コントローラは、符号化処理および複合化処理を行うための複数の符号化ルールのそれぞれを特定するための符号化キーを保存する手段と、前記従コントローラから送られてくる符号化キーを保存する符号化キー保存手段と、前記従コントローラまたは前記制御装置から送られてくるデータを受信する受信処理部と、該受信処理部の受信データを該符号化キー保存手段に保存されている符号化キーを用いて復号化処理する復号化部と、該復号化部によって複号化処理された受信データの異常の有無を判定し、異常無しの場合であって、該受信データが従コントローラから送られてきた符号化キーの場合は該符号化キー保存手段に該符号化キーを保存する異常検出部と、周期的に前記制御装置へ送信するための制御指令を生成する送信データ生成部と、当該制御指令に対するチェックコードを生成するチェックコード生成部と、該符号化キー保存手段に保存されている符号化キーに対応する符号化ルールに基づいて前記制御指令と前記チェックコードとを符号化処理して送信データを生成する符号化部と、該符号化部によって生成された送信データを前記制御装置へ送信する送信処理部と、を備え、前記従コントローラは、符号化処理および複合化処理を行うための複数の符号化ルールのそれぞれを特定するための符号化キーを保存する手段と、前記主コントローラおよび前記制御装置へ送信する符号化キーを生成する符号化キー切替部と、前記制御装置から送られてくる異常通知を受信することによって前記主コントローラの異常と判定し、前記制御装置に対して、コントローラ切替指令を送信する異常検出部と、前記主コントローラが異常の場合に、前記制御装置へ送信するための制御指令を生成する送信データ生成部と、該符号化キー切替部によって生成された符号化キーまたは該送信データ生成部によって生成された制御指令を前回送信した符号化キーによって符号化処理して送信データを生成する符号化部と、該符号化部によって生成された送信データを前記制御装置へ送信する送信処理部と、を備え、前記制御装置は、符号化処理および複合化処理を行うための複数の符号化ルールのそれぞれを特定するための符号化キーを保存する手段と、前記従コントローラから送られてくる符号化キーを保存する符号化キー保存手段と、前記主コントローラまたは前記従コントローラから送られてくるデータを受信する受信処理部と、該受信処理部の受信データを該符号化キー保存手段に保存されている符号化キーを用いて復号化処理する復号化部と、該復号化部によって複号化処理された受信データの異常の有無を判定し、該判定の結果が異常無しの場合であって、該受信データが前記従コントローラから送られてきた符号化キーの場合は該符号化キー保存手段に該符号化キーを保存する一方、該判定の結果が異常有りの場合であって、該受信データが前記主コントローラから送られてきた制御指令の場合は前記主コントローラに異常が発生したものとして前記従コントローラに異常通知を送信する異常検出部と、該判定の結果が異常無しの場合であって、該受信データが前記主コントローラから送られてきた制御指令の場合は、該制御指令に従って動作する制御指令実行部と、を備えたことを特徴とする。本発明では、制御装置と主コントローラに複数の符号化ルールと各符号化ルールを特定するための符号化キーを持たせ、従コントローラから符号化処理を行うための符号化キーを通知する。主コントローラでは、この符号化キーに対応する符号化ルールにしたがって送信データとチェックコードの符号化処理を行い制御装置へ送信する。制御装置では、符号化キーに対応する復号化ルールにしたがって、受信データを復号化してチェックコードが正しいか否かの判定を行う。従コントローラは複数の制御装置から異常通知を受信したときに主コントローラの異常としてバックアップ処理を行う。また、符号化ルールとして共通鍵暗号化アルゴリズムを用いることにより、簡便な手法でコントローラの異常の検知ができるのみならず高いセキュリティを実現することができる。好ましくは、主コントローラや制御装置では、符号化キー保存手段には従コントローラから受信した符号化キーを受信順に最新のものから一定数保存しておいて、複合化処理の結果、異常検出部で異常を検出した場合は、過去に受信した符号化キーのうち新しいものから順にその符号化キーを用いて複合化処理をするようにすると良い。これにより、一時的に符号化キーの受信が出来ない事態が生じても正常に複合化処理をすることができる。また、本発明に係るデータ伝送システムでは、送信データは、伝送フォーマット上の決められた位置に送信データが少なくとも制御指令か、符号化キーかを識別するためのある一定長の種別コードを含み、前記主コントローラの符号化部および前記従コントローラの符号化部は、種別コードが制御指令以外のときは送信データの符号化処理を行わず、種別コードが制御指令のときは該種別コードを除く送信データ部分について符号化処理を行い、前記主コントローラの復号化部および前記制御装置の復号化部は、種別コードが制御指令以外のときは受信データの復号化処理を行わず、種別コードが制御指令のときは該種別コードを除く受信データ部分について復号化処理を行うことを特徴とする。本発明では、伝送データに種別コードを付加し、制御指令については、種別コードに続く送信データ部分の符号化処理復号化処理を行い、符号化キーについては符号化処理復号化処理を行わないようにしたので、一時的に符号化キーのずれが生じても、次の送信周期で復帰することができる。以上説明したように、本発明によれば、コントローラからの定周期データ受信のたびにコントローラ内部の演算回路の異常の有無を確認できるため、低頻度に実行される自己診断方式などと比較して、コントローラの異常を即座に検知することができ、信頼性の高いデータ伝送システムを構成することができる。以下、本発明の実施の形態によるデータ伝送システムについて、図面を参照しながら説明する。なお、以下に示す実施形態は本発明のデータ伝送システムにおける好適な具体例であり、技術的に好ましい種々の限定を付している場合もあるが、本発明の技術範囲は、特に本発明を限定する記載がない限り、これらの態様に限定されるものではない。また、以下に示す実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、かつ、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、以下に示す実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。全体構成図1は、本発明の実施の形態によるデータ伝送システムの装置構成図である。この図において、データ伝送システム1は、起動時に動作系となって制御指令を送信する主コントローラ2a、起動時に待機系となって主コントローラ2aをバックアップする従コントローラ2b、主コントローラ2aまたは従コントローラ2bからの制御指令を受けて外部装置図示せずに対して制御出力を行う複数の制御装置6、各装置2a,2b,6をリング状に接続する伝送路4で構成されている。主コントローラ2aは動作系として伝送路4を介して制御装置6への指令値を含む制御指令を送信し、制御装置6からのステータスたとえば、制御指令に対する応答や装置異常の有無の受信を行うことによって、システムを制御する。従コントローラ2bは主コントローラ2aに障害が発生したときに、自らが動作系となってシステムの制御を続行する。このデータ伝送システム1の適用分野は特に限定されず、電力システム、自動車、鉄道車両などいろいろな分野に適用することができる。データ伝送システム1の適用例として、たとえば鉄道車両の制御系に用いた場合、制御装置6は、空調用制御装置、扉開閉用制御装置など機能ごと車両ごとに設けられ、両端の駆動車に夫々設けられた2台のコントローラのうち、進行方向側のコントローラが主コントローラ2aとなって制御指令を各制御装置6へ送信する。たとえば、主コントローラ2aは、空調の入り切り指令、設定温度などの指令値を読み込んで、空調用制御装置へ制御指令を送信したり、外部から扉開閉信号を読み込んで扉開閉用制御装置へ制御指令を送信する。従コントローラ2bは、主コントローラ2aと同じ機能を有しており、主コントローラ2aの異常を検知したときに動作系となって、各制御装置6へ制御指令を送信する。コントローラ2a,2bの構成図2はコントローラ2a,2bの機能ブロック図である。図2に示すように、コントローラ2a,2bは、それぞれデータを演算処理する演算処理手段20、データを記憶する記憶手段40、データを分岐する3ポートスイッチ51、データの送受信を実行する伝送コントローラ52、伝送コントローラ52および演算処理手段20の双方から読書き可能な双方向メモリ53を有している。また、演算処理手段20は、起動時に主系か従系かを判定するモード判定部21、外部から制御指令や指令値を入力する入力処理部22、所定のタイミングで符号化キーを切り替える符号化キー切替部23、制御装置6や他方のコントローラへの送信データを生成する送信データ生成部24、送信データのチェックコードを生成するチェックコード生成部25、送信データとチェックコードの符号化処理を実行する符号化部26、符号化されたデータを双方向メモリ53に書き込んで送信処理を実行する送信処理部27、伝送コントローラ52からの受信通知によって双方向メモリ53から受信データを読み込む受信処理部28、受信データを復号化処理する復号化部29、復号化されたデータをもとに異常の有無を検知する異常検出部30、を備えている。これら各部21~30は、CPUの機能としてブログラムによって実現可能である。また、コントローラ2a,2bの記憶手段40には、符号化ルールや復号化ルールに関連付けられた符号化キーを保存する符号化キーテーブル41、伝送路4に繋がる制御装置やコントローラの正常/異常の状態デフォルトは正常やアドレスなどを保存するステータステーブル42が予め格納されている。図8は、コントローラ2a,2bが有するステータステーブル42のデータ構成例である。各装置に対応づけてアドレス、正常/異常を示すステータス、主系/従系を示すフラグ、および動作系が否かを示すフラグがセットされている。なお、予め設定される送信元アドレスによって、ステータステーブル中の自装置を特定することができ、自装置のステータスについては自己診断によって正常/異常が書き込まれ、他の装置のステータスや動作系フラグについては、後述する処理によって書き込まれる。主系/従系のフラグについては、外部から入力されるモード信号の状態が書き込まれる。3ポートスイッチ51は、伝送路4の一方から来たデータを他方の伝送路4へ中継すると共に、伝送コントローラ52側へも伝える。なお、特開2006-314098号公報に記載されているように、伝送コントローラ52側のポートポートcにはスイッチ機能を設け、自装置を含む特定のアドレスのデータのみを取り込んで伝送コントローラ52側へ伝えるようにしても良い。また、伝送コントローラ52から送信されたデータは、3ポートスイッチ51を介して、伝送路4の宛先装置のある方向ポートaまはたポートbへ送信される。したがって、図1に示すように、伝送路をループ構成とした場合、ある装置から送信されたデータは、右回りか、左回りのルートで各装置を順に伝わる。伝送路の1箇所が切れた場合でも、他方のルートを経由して全ての装置に対してデータを送ることができる。なお、3ポートスイッチを用いたループ構成の代わりに、2重化されたバス構成など他の伝送路形態を用いることもできる。制御装置の構成図3は制御装置6の内部構成を示す機能ブロック図である。ハードウェア構成は、コントローラ2a,2bと同様に、データを演算処理する演算処理手段60、データを記憶する記憶手段70、データを分岐する3ポートスイッチ81、データの送受信を実行する伝送コントローラ82、伝送コントローラ82および演算処理手段60の双方から読書き可能な双方向メモリ83を有している。制御装置6の演算処理手段60は、伝送コントローラ82からの受信通知によって双方向メモリ83から受信データを読み込む受信処理部65、受信データを復号化処理する復号化部66、復号化されたデータをもとに異常の有無を検出し、異常を検出した場合は復号異常を出力する異常検出部67、制御指令受信時に異常が検出されなかった場合に制御指令を外部装置図示せずに出力する制御指令実行部68、制御結果などのステータスや復号異常をコントローラ2a,2bへ通知するための送信データを生成する送信データ生成部61、送信データのチェックコードを生成するチェックコード生成部62、送信データとチェックコードの符号化処理を実行する符号化部63、符号化されたデータを双方向メモリ83に書き込んで送信処理を実行する送信処理部64、を備えている。これら各部61~68は、CPUの機能としてブログラムによって実現可能である。また、各制御装置6の記憶手段70には、コントローラ2a,2bと同様、符号化ルールや復号化ルールに関連付けられた符号化キーを保存する符号化キーテーブル71、伝送路4に繋がる制御装置やコントローラの正常/異常の状態デフォルトは正常やアドレスなどを保存するステータステーブル72が予め格納されている。ステータステーブル72については、図8において主系/従系のフィールドが存在しない以外は、上述したステータステーブル42の構成と同様である。データ伝送システム1の動作概要主コントローラ2aから制御装置6へデータを送信する場合を例にして本システムの送受信処理の概要を説明する。主コントローラ2aの演算処理手段CPU20は送信すべきデータを双方向メモリ53へ書き込んで伝送コントローラ52に伝送要求をかける。伝送コントローラ52は双方向メモリ53に書き込まれたデータを順番に読み出して、3ポートスイッチ51のポートcへ送る。3ポートスイッチ51は伝送コントローラ52からの送信データを外部に接続された2つのポートポートa,ポートbの一方に出力し、伝送路4にデータを送出する。3ポートスイッチ51のポートa,ポートbから出力された伝送データは、それぞれ制御装置6から隣接する制御装置6へ順々に伝えられて最終的に目的の制御装置6に到達する。制御装置6の受信動作は次のように実施される。伝送路4を介して送られてきたデータは、制御装置6の3ポートスイッチ81に入力されると、その宛先の制御装置6が存在する方向のポートに出力される。このように、伝送路4を介して送られてきたデータは、3ポートスイッチ81によって自制御装置宛てと判断されると、伝送コントローラ82に入力される。伝送コントローラ82は伝送データのエラーチェックなどを行い、データにエラーがなく、自装置宛てであることを確認すると双方向メモリ83に受信データを書き込み、演算処理手段60に割込信号などでデータを受信したことを通知する。演算処理手段60は、この通知を受けることによって双方向メモリ83内のデータを読み込み、そのデータに基づいて所定の処理を行う。次に、データ伝送システム1の上記動作を実現するためのコントローラ2a,2bおよび制御装置6の処理手順について詳述する。コントローラ2a,2bの処理手順2台のコントローラには、それぞれ主系として立ち上がるか、従系として立ち上がるかを指定するモード信号が外部から入力されている。モード信号がオンのときは、主系すなわち主コントローラ2aとして立ち上がり、モード信号がオフのときは、従系すなわち従コントローラ2bとして立ち上がる。なお、外部から信号を入力する代わりに、不揮発性メモリに主系,従系の設定を予め書き込んでおき、起動時に演算処理手段20がこの設定データを読み込むようにしても良いし、システムによっては、主系、従系を固定にしてそれぞれ専用のプログラムによって動作するようにしても良い。本実施の形態では、コントローラ2a,2bは同一の機能を有しており、外部からのモード信号によって、主系主コントローラ2aとして機能するか、従系従コントローラ2bとして機能するかを決定するようにしている。以下、図4を用いてコントローラ2a,2bの処理手順を詳述する。コントローラ2a,2bは、電源投入やシステムリセット等によって起動すると、モード判定部21は外部から主系/従系を指定するモード信号を読み込むS101。そして、モード信号がオンならば、主コントローラ2aとして立ち上がりS101でYES、モード信号がオフならば、従コントローラ2bとして立ち上がるS101でNO。まず、主コントローラ2aの処理手順について説明する。主コントローラ2aの送信データ生成部24は、ステータステーブル42の最初の制御装置6に対する送信データを生成するS103。たとえば、送信先が空調機の制御装置の場合は、設定温度を指令値として送信データを生成する。送信先が扉開閉の制御装置の場合は、開/閉を指令値として送信データを生成する。次に、チェックコード生成部25は、生成した送信データのチェックコードを作成して、送信データに付加するS104。チェックコードとしては、チェックサムやCRCコードなどがある。そして、符号化部26が送信データとチェックコードについて符号化処理を行うS105。図5に符号化キーテーブル41,71のデータ構成例を示す。符号化キーテーブル41,71には、符号化ルール,復号化ルールと対応付けられた複数の符号化キーが登録されており、さらに、符号化処理,複号化処理で用いるべき一の符号化キー以下、これを指定キーという。がフラグによって特定されるようになっている。図5の例では、符号化キーxに指定キーフラグがセットされているため、符号化処理,複号化処理では、この符号化キーxに対応する符号化ルール,復号化ルールで処理が行われる。デフォルトでは、システムの全装置について同じ符号化キーが指定キーとして予め設定されている。その後、従コントローラ2bから送信されてきた符号化キーによって、指定キーフラグが書き換えられるようになっている。図6は、符号化ルールの説明図である。図6Aに符号化キーの構成例を示す。符号化キーは8ビットの符号化コード8個で構成され、合計で64ビットの長さを持っている。符号化コードは64ビットのデータ単位に対する符号化処理の指令を含んでおり、符号化コード1~8の連続する8種類のデータ処理を連続して行うことによって符号化を行う。図6Bは、符号化コードの構成例である。8ビットのうち、上位2ビットは符号化演算コードであり、たとえば、00:右シフト、01:左シフト、10:加算、11:減算という演算種別を示す。下位6ビットは符号化演算パラメータであり、上位2ビットの符号化演算コードに対するパラメータになっている。たとえば、シフト演算であればシフト量、加減算であれば加減算値を示す。これらの演算は可逆であり、逆の演算を行うことによって元のデータに戻すこと復号化ができる。図4のステップS105において、主コントローラ2aの符号化部26は、符号化キーテーブル41から指定キーフラグのセットされている符号化キーを抽出し、そのキーに対応する符号化ルール、すなわち8種類の符号化コードに基づいて符号化処理を行う。次に、送信処理部27は、符号化処理を施した送信データとチェックコード、および送信先の制御装置のアドレスを双方向メモリ53へ書き込んで、伝送コントローラ52へ送信要求を出力するS106。これにより、伝送コントローラ52は、双方向メモリ53から書き込まれたデータを読み込んで、制御装置6に向けて送信する。図7は伝送フォーマット例である。送信データは、コントローラ2aから制御装置6への指令値、あるいは制御装置6から主コントローラ2aへのステータスとなる。この送信データに対してチェックコードが付加される。送信データとチェックコードは、演算処理手段20で作成するデータ部ペイロードであるが、このデータ部に対して符号化処理が行われている。さらに、伝送フォーマットでは、伝送コントローラ52によってCRCコードが付加されている。このCRCコードによって伝送系の異常を検出することができ、符号化されたチェックコードによって、コントローラすなわち演算処理系の異常を検出することができるのである。以上のステップS103からステップS106までの処理をステータステーブル42に設定されている全ての制御装置6について繰り返すS102a,S102b。このようにして、定周期で必ず全ての制御装置への送信データを生成する。続いて、主コントローラ2aは、従コントローラ2bへ全制御装置6への送信が終了したことを通知する。このとき、制御装置6への送信と同様に、送信データに対するチェックコードの生成や符号化処理を行う。その後、次の周期が到来するまでスリープしてS108、周期が到来すると再びステップS102aに戻って、以降の処理を実行する。また、主コントローラ2aは、スリープ期間中に従コントローラ2bから符号化キーを受信した場合はS109、符号化キーテーブル41の当該符号化キーの指定キーフラグのみをセットするS110。以上、主コントローラ2aの処理手順について説明した。次に、従コントローラ2bの処理手順について説明する。ステップS101の判定の結果、モード信号がオンしていなければS101でNO、コントローラは従コントローラ2bとして立ち上がる。従コントローラ2bは立ち上がると、異常検出部30により、まずステータステーブル42にアクセスして、主コントローラ2aに異常があるか否かを判定しS111、異常が無ければS111でNO、いずれかの制御装置6からのデータ受信があったか否かを判定するS120。そして、受信があった場合はS120でYES、復号異常の通知か否かを判定しS121、予め定めた複数の制御装置から復号異常の通知があった場合はS122でYES、ステータステーブル42の主コントローラ2aのステータス領域に異常を書き込むS123。そして、外部へ主コントローラ2aの異常通知を行いS124、送信データ生成部24等を介して全制御装置6へコントローラの切替指令、すなわち従コントローラ2bを動作系として設定する旨の指令を送信するS125。ステップS120において、制御装置6からの受信がない場合S120でNO、主コントローラ2aからの通知、すなわち全制御装置6への送信が完了した旨の通知があった場合はS126でYES、符号化キー切替部23は、符号化キーテーブル41の符号化キーの一覧から次の符号化キーを抽出してS127、主コントローラ2aと全制御装置6へ抽出した符号化キーを送信するS128。このとき、符号化キーの抽出は、順番に抽出をしても良いし、ランダムに抽出しても良い。なお、ステップS128の符号化キーの切替通知は、直前の符号化キーで符号化して送信する。一方、ステップS111の判定の結果、主コントローラ2aに異常がある場合はS111、従コントローラ2bは、動作系として、ステップS112a~ステップS112bの処理を繰り返す。この処理は、主コントローラ2aのステップS102a~ステップS102bの処理と同様である。そして、従コントローラ2bは、全制御装置への送信が完了すると、符号化キー切替部23によって符号化キーテーブル41の符号化キーの一覧から次の符号化キーを抽出してS117、主コントローラ2aと全制御装置6へ抽出した符号化キーを送信するS118。その後、次の周期までスリープし、次の周期になるとステップS111に戻って以降の処理を繰り返すS119。制御装置の動作次に、図9を用いて制御装置6の処理手順を説明する。制御装置6の受信処理部65は、伝送コントローラ82から自装置宛ての受信があった旨の通知を受けると、双方向メモリ83から受信データを読み出すS201。そして、復号化部66は、記憶手段70の符号化キーテーブル71の指定キー領域に格納されている符号化キーを抽出し、その符号化キーに対応する復号化ルールを用いて受信データを復号化処理するS202。符号化キーを用いた復号化処理について説明すると、符号化処理が符号化コード1から開始されるのに対して、複号化処理では、符号化コード8から処理が逆の順序で実行する。また、図6の符号化演算コードの意味付けは、復号化処理と符号化処理とでは逆になる。つまり、右シフトであれば左シフトに、左シフトであれば右シフトに、加算であれば減算に、減算であれば加算に処理種別が変更になる。次に、異常検出部67は、復号化されたデータのコードチェックを行い、異常を検出した場合はS204、復号化処理で異常を検出したこと復号異常を従コントローラ2bへ通知するS205。なお、受信された符号化データに対する伝送エラーは、伝送エラーチェック用に伝送コントローラ52,82で別途付加されているCRCコードでチェックされるので、復号化後にコードチェックエラーが発生しているということは、符号化演算処理または復号化演算処理に障害があるということを表している。復号異常を検知した制御装置6は待機している従コントローラ2bに対して、エラー検知を通知する。そして、上述したように待機している従コントローラ2bは、複数の制御装置6より復号異常検知の通知を受信することによって、動作系として機能している主コントローラ2aの内部に障害が発生したと判定し、接続されている全制御装置6に対して故障発生した主コントローラ2aからの受信データを破棄し、従コントローラ2b自身が送信するデータにより動作するようコントローラの切替指令を発行することになる。一方、制御装置6は、ステップS204のコードチェックの結果、異常を検出しなかった場合はS204でNO、次に、制御指令の受信か否かを判定しS206、受信データが制御指令の場合は、次にステータステーブル72を参照して動作系からの制御指令か否かを確認しS207、動作系からの制御指令の場合は、その制御指令を実行するS208。ステップS206の判定の結果、制御指令でない場合はS206でNO、次に符号化キーの受信符号化キー切替指令か否かを判定しS209、符号化キーの受信の場合は、符号化キーテーブル71中の受信した符号化キーに指定キーフラグをセットしてS210、次の復号化処理で使用する。また、受信データが動作系切替指令の場合はS211でYES、ステータステーブル72の動作系フラグを書き換える。以上のごとく、本発明の実施の形態によれば、主コントローラおよび複数の制御装置は、従コントローラから周期的に送信される符号化キーによって、符号化ルールおよび暗号化ルールを切り替えるので、各制御装置は、暗号化した受信データがコードチェックエラーになることによって、伝送系の異常とコントローラの異常とを区別してコントローラの異常を確実に検出することができる。次に本発明の第2の実施の形態について説明する。本実施の形態では、図10に示すように、伝送データの特定位置たとえば先頭の所定長を種別コードに割り当てる。種別コードは、送信データの種類を表し、たとえば、符号化キー、制御指令、ステータスなどがある。そして、種別コードが制御指令のときのみ、種別コードを含まない、送信データおよびチェックコードについてのみ符号化、復号化処理を行うようにしたものである。本実施の形態のコントローラ2a,2bおよび制御装置6の機能ブロック図は、基本的に図2、図3に示す第1の実施の形態と同様である。以下、図11、図12を用いて、本実施の形態のコントローラ2a,2bおよび制御装置6の処理手順について第1の実施の形態との相違点を中心に説明する。従コントローラ2bの処理手順従コントローラ2bの受信処理部28は、主コントローラ2aに異常がない場合S311でNO、主コントローラ2aからデータを受信したときに、種別コードは制御指令か否かを判定する。そして、種別コードが制御指令の場合は、次の符号化キーを抽出し、抽出した符号化キーを主コントローラ2aと全制御装置6へ送信する。その後、復号化部29は、種別コードを除く送信データとチェックコード部分について符号化キーに対応した復号化処理を行う。そして、異常検出部30によりチェックコードが不一致か否かを判定し、不一致の場合すなわち復号異常の場合は、最新の復号異常発生時刻を記録して、主コントローラ異常カウンタをカウントアップし、カウンタ値が一定値以上になると主コントローラ異常を出力して、全制御装置6に対して動作系切り替え指令を送信する。一方、ステップS320でNOの場合は、次に制御装置6からの受信があるか否かを判定し、制御装置6からの受信がある場合は、復号異常か否かを判定する。そして、復号異常の場合は、ステップS327で記録した最新の異常発生時刻と制御装置6で検出した復号異常の時刻との差が一周期以内の場合は、ステップS328へ移行して主コントローラ2aの異常としてカウントする。ステップS334で前後一周期以内に主コントローラの復号異常が発生していない場合はS334でNO、当該制御装置の異常として当該制御装置の異常カウンタをカウントアップするS335。そしてカウンタ値が一定値以上になるとS336、当該制御装置の異常として出力するS337。図11において、主コントローラ2aの処理S301~S310および従コントローラ2bが動作系になったときの処理S311~S319については、伝送データ中、種別コードについては符号化処理の対象としない点を除いては、図4のS101~S110およびS111~S119と同様であるので説明を割愛する。制御装置6の処理手順図12において、受信処理部65は、伝送コントローラ82から自装置宛ての受信があった旨の通知を受けると、双方向メモリ83から受信データを読み出すS401。受信処理部65は、次に、受信データの種別コードを読み出してS402、種別コードの内容を判定するS403。種別コードが制御指令の場合は、次に受信データの送信元アドレスから動作系からの制御指令か否かを判定しS404、動作系からの制御指令の場合は、符号化キーテーブル71に登録されている指定キーフラグのセットされている符号化キーを抽出し、その符号化キーに対応する復号化ルールを用いて受信データを復号化処理するS405。そして、復号化したデータのコードをチェックして異常を検出した場合はS406,S407、復号化処理で異常を検出したこと復号異常を従コントローラ2bへ通知するS408。コードチェックの結果、異常を検出しなかった場合はS407でNO、制御指令を実行するS409。ステップS403において、種別コードが符号化キーの切替指令の場合は、受信した符号化キーを次回復号化時に使用する符号化キーとして符号化キーテーブル71の指定キーフラグをセットするS411。ステップS403において、種別コードが動作系切替指令の場合は、ステータステーブル72の動作系フラグを従コントローラ2b側へ切り替える。以上、本実施の形態によれば、伝送データに種別コードを付加し、制御指令についてのみ、種別コードに続く送信データおよびチェックコードを符号化復号化処理をするようにしたので、一時的に符号化キーのずれが生じても、次の送信周期で復帰することができる。また、主コントローラは、種別コードを制御指令として、定周期で従コントローラへ送信するようにしたので、従コントローラは、主コントローラからの受信データのコードチェック結果と制御装置からの復号異常の通知とから主コントローラの異常か制御装置の異常かを精度良く判定することができる。なお、上記各実施の形態において、制御指令以外は必ずしも符号化処理複合化処理は必ずしも行わなくても良いので、制御指令の送受信に係らない場合は符号化部複号化部は省略することができる。"