多重系での出力照合方式によるフェールセーフ装置において、外部よりデータを取り込む受信部と各系がデータ交換するためのデータ交換部と、各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部とを設け、各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し、自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第1の健全性を確認し、他系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第2の健全性を確認し、前記第1の健全性確認と、前記第2の健全性確認を系毎に実行することを特徴とするフェールセーフ装置。請求項1に記載のフェールセーフ装置において、第1および第2の健全性確認は、自系自身が受信部より取り込んだデータを、データ交換部に書き込むデータとし、他系自身が受信部より取り込んだデータを、データ交換部に書き込むデータとし、自系がデータ交換部に書き込んだデータを読み出すとともに、他系がデータ交換部に書き込んだデータを読み出して両者のデータ比較動作を実施して、その差が予め設定した閾値以内であれば、その系の健全性が保持されていると判断することを特徴とするフェールセーフ装置。多重系での出力照合方式によるフェールセーフ装置において、外部よりデータを取り込む受信部と各系がデータ交換するためのデータ交換部と、各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部と各系のそれぞれのバスの状態を監視するバス照合回路とを設け、各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第1の健全性を確認し、他系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第2の健全性を確認し、前記第1の健全性確認と、前記第2の健全性確認を系毎に実行し、さらに、前記バス照合回路がバス状態を確認して第3の健全性を確認し、フェールセーフ装置全体の健全性を確認することを特徴とするフェールセーフ装置。請求項1ないし3のいずれか1項に記載のフェールセーフ装置において、健全性が確認できない場合に、異常検知信号ないし制御信号をフェールセーフ装置外部に出力することを特徴とするフェールセーフ装置。請求項1ないし3のいずれか1項に記載のフェールセーフ装置において、受信部で取り込むデータが、移動体の速度情報であることを特徴とするフェールセーフ装置。請求項1に記載のフェールセーフ装置において、第1および第2の健全性確認でのデータの一方が、ビットが0と1が交互に現れるデータであり、他方のビットが1と0が交互に現れるデータであることを特徴とするフェールセーフ装置。出力照合方式の2重系CPUで構成した列車制御装置向けのフェールセーフ装置において、2重化したCPUがそれぞれ取り込んだ速度パルス信号の1カウントの相違によって、出力照合不一致となり故障と判断する。そのため、ブレーキ出力を行い列車停止に至ることで、稼働率が低下してしまうという課題がある。さらに、CPUがそれぞれ取り込んだ速度パルス信号のカウント相違があっても、フェールセーフ装置自体が故障している場合には、出力照合結果が一致と判断してしまう可能性がある。本来は、ブレーキ出力により列車を停止する必要があるのにそれが行われないという課題もある。本発明の目的は、列車等の移動体の速度制御を安全に実施し、かつ稼働率を低下させないフェールセーフ装置を提供することにある。上記目的を達成するために、多重系での出力照合方式によるフェールセーフ装置において、外部よりデータを取り込む受信部と、各系がデータ交換するためのデータ交換部と、各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部とを設け、各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し、自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第1の健全性を確認し、他系が前記データ交換部に書き込んだデータと該データを自系がデータ交換部から読み出した結果とを比較して第2の健全性を確認し、前記第1の健全性確認と、前記第2の健全性確認を系毎に実行することにある。また、多重系での出力照合方式によるフェールセーフ装置において、フェールセーフ装置の外部よりデータを取り込む受信部と各系がデータ交換するためのデータ交換部と、各系それぞれに前記データ交換部へデータを書き込む、ないしデータを読み出すための演算部と各系のそれぞれのバスの状態を監視するバス照合回路とを設け、各系が、それぞれ、自系が書き込むデータと他系が書き込むデータを記憶し自系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第1の健全性を確認し、他系が前記データ交換部に書き込んだデータと、該データを自系がデータ交換部から読み出した結果とを比較して第2の健全性を確認し、前記第1の健全性確認と、前記第2の健全性確認を系毎に実行し、さらに、前記バス照合回路がバス状態を確認して第3の健全性を確認し、フェールセーフ装置全体の健全性を確認することにある。本発明では、多重系での出力照合方式によるフェールセーフ装置を列車に搭載し、列車の速度制御を行う場合、演算部のデータを交換するデータ交換部の健全性チェックを行うことで、誤りなくデータ交換を行い、システムの安全性を確保することを可能とする。また、速度信号の取り込みタイミングの相違によるパルスカウント値の不整合を防止することで、不要な速度差検知による故障検知に伴ってブレーキが出力することを防ぎ、不要な列車の稼働率低下を防ぐことができる。本発明を実施するための最良の形態例を説明する。本発明の第1の実施例であるフェールセーフ装置を図1から図6で説明する。なお、本実施例では、移動体を列車と設定し、系多重度を2、すなわち2重系それぞれの系をA系とB系と呼称するとして説明する。まず、図1と図2で全体構成を説明する。図1は、本発明のフェールセーフ装置を備えた車上装置のシステム構成図である。図2は本発明のフェールセーフ装置の全体構成図である。図1の12が列車本体で、軌道回路線路18上を走行する。走行時にATC送信部11より送信されるATC信号111を列車12の受電器19を経由して列車12内部のATC受信部13で受信される。ATC受信部13は、図2に示すようにA系/B系それぞれのDSPDigitalSignalProcessorを有し、入力されたATC信号191はDSP_A130a、DSP_B130bでそれぞれ信号変換処理され、列車の制限速度や在線情報などの列車制御情報131a、131bとしてフェールセーフ演算部14に入力される。フェールセーフ演算部14には、変換処理されたATC信号以外に、車輪17に備えられた速度発電機16により速度パルス信号161を取り込む。フェールセーフ演算部14は、図2のように演算部であるCPU_A207aとCPU_B207b、速度パルス信号161のカウントと時刻を計測するタイマ_A205a、タイマ_B205b、記憶部であるRAM_A206aとRAM_B206b、それらを接続するバス_A204a、バス_B204bをA系とB系それぞれに設ける。さらに、CPU_A207aとCPU_B207bがアクセスしデータの交換を行うデータ交換レジスタ210とバス_A204aとバス_B204bの状態を監視するバス照合回路208を設ける。バス照合回路208は、速度照査部15に制限速度情報141を出力し、バス状態の監視で異常が発見された場合はエラー信号2081をCPU_A207aとCPU_B207bへ、故障検知信号142を列車12内の他の機能部分や地上装置などの外部に出力する。なお、バス照合回路208は図3に図示される接続サイド確認レジスタ_A面212aと接続サイド確認レジスタ_B面212bを有し、CPU_A207aとCPU_B207bがどちらの系A系かB系に接続される属しているかの判別をできるようにしている。また、データ交換レジスタ210も、A系のデータ交換レジスタ_A面210aとB系のデータ交換レジスタ_B面210bを持つ。また、速度照査部15は速度照査回路152を有し、速度パルス信号161から算出した列車12の速度と、ATC信号191の列車制御情報の1つである制限速度情報141とを比較する。現行の速度が制限速度を超えている場合には、ブレーキ出力151で減速を行う。次に、動作について説明する。2重系CPUとその間に有するデータ交換レジスタ210によって、読み込みタイミングの違いによるパルスカウントのカウント誤差が閾値以内であれば健全と判断し、タイマ_A205a、タイマ_B205bやパルス入力回路の故障検知とデータ交換レジスタ210の故障検知を各CPUやバス照合回路208で行い列車の稼働率と安全性を向上させるものである。より具体的には、各CPUが列車の速度位置制限速度の算出を行い、列車の実速度が制限速度を超過している場合においては、ブレーキ出力を行う。また、出力照合式の2重系構成では、バス照合回路にてA系/B系の出力結果を照合し、A系/B系の出力結果が不一致となる場合においては、故障と判断しブレーキ出力を行い、列車を停止させることでシステムの安全性を確保する。一方で、A系/B系のタイマで行うパルスカウントの読み込みは、速度パルス信号の読み込みタイミングによっては、A系/B系で読み込みカウント値に1カウント以上の誤差が発生する。この違いが顕在したまま各々の系の演算結果の出力照合を実施すると出力照合不一致に伴う故障となり、列車停止となり稼働率低下を招くこととなる。したがって、出力照合を行う前に、A系/B系CPUが取り込んだ各々のパルスカウント値をデータ交換レジスタで交換し、A系/B系での取り込み値に2カウント以上のカウント誤差があるかチェックを行う。1カウントの誤差は許容する。2カウント以上のカウント差が有る場合においては、タイマもしくは入力段回路の故障と判断し、装置全体を故障とする。このチェック処理において、2重化されたパルスカウント読み込み部分の健全性チェックを行う。この処理において問題がなければ、A系/B系CPUは、それぞれA系で取り込んだパルスカウント値を以降の制御処理に使用することとするB系で取り込んだパルスカウント値を使用してもかまわない。以上の処理によって、A系/B系における読み込みタイミングの違いによるパルスカウントの1カウントの相違においては、出力照合不一致とはせず、また、パルスカウントに2カウント以上の差異が発生した場合においては、故障としブレーキ出力することによって、稼働率を確保しつつ、安全性を確保することが可能となる。前記説明では2カウント以上を故障と判断したが、予め設定した閾値を用いることも可能である。なお、上記処理で使用するデータ交換レジスタ210は、A系/B系CPUからアクセス可能な共通部である。そのため、データ交換レジスタのデータ交換動作の確認を行ない、データ交換レジスタに潜在故障がないことを、予め例えば、列車運行開始前診断する必要がある。そこで、データ交換レジスタを利用したパルスカウントのデータ交換を実施する前に例えば、装置立ち上げ時の処理において、データ交換レジスタの全ビットを変化させるような特殊値のデータ交換を行うことにより、故障有無を確認する。すなわち、A系のCPU_A207aがデータ交換レジスタに書き込むデータAと、B系のCPU_B207bがデータ交換レジスタに書き込むデータは全ビット排他的とし、そのデータをA系のCPU_A207aとB系のCPU_B207bが読み出して比較して、一致することを確認する。その詳細な動作を図3と図5で説明する。図3は、フェールセーフ装置のデータ交換レジスタの健全性チェック方法を説明する図である。図5は、フェールセーフ装置全体の初期チェック方法のフローチャート図である。列車の運行前にフェールセーフ演算部の初期チェックを実施する。最初に、CPU自身が自己の内部の自己診断を実施するS1000。健全であればS1001のYesに分岐、次にRAMチェックS1002、カウンタタイマチェックS1003、DSPチェックS1004、バス照合回路チェックS1005を実施し、全て健全か確認するS1006。健全であればS1006のYesに分岐、図3で図示したデータ交換レジスタのチェックを実施するS1007。データ交換レジスタも健全S1008のYesに分岐であれば、フェールセーフ演算部は全て健全であると判断し初期チェックを終了する。もし、CPUが不健全S1001でNoに分岐か、RAM/カウンタ/DSP/バス照合回路のいずれか1個以上が不健全S1006でNoに分岐か、データ交換レジスタが不健全S1008のNoに分岐であれば、フェールセーフ演算部が故障していると判断し異常通知S9000を実施し、初期チェックを停止する。次に、データ交換レジスタの健全性チェックをより詳細に説明する。まず、CPUは自身が、A系なのかB系なのかを接続サイド確認レジスタで認識する。次に、A系/B系CPUがそれぞれ、A系/B系で異なるチェックデータをデータ交換レジスタのA面とB面に書き込む。さらにA系/B系CPUは、データ交換レジスタのA面/B面を指定しアクセスした上で、両系のデータ交換レジスタを交互に読み込み、お互いの系のデータを交換し取得できることを確認する。ここでチェックに使用する特殊値は、データ交換エリアの全ビットを0/1変化させたチェック用データを交換することによって、データ交換エリアに固定故障がないことを確認する。本処理をもって、データ交換レジスタの健全性の確認が出来る。また、本処理が終わった後のみに、パルスカウント値のデータ交換を許可することによって、誤ったデータ交換による速度認識の誤りを防ぐことが可能となる。より具体的にはS01各CPU207a、207bは、接続サイド確認レジスタのA面212a、B面212bで自身の系を認識する。2071a、2071bS02接続サイド確認レジスタがA系212aである場合、つまり自身がA系CPU207aだと認識した場合、0x5A5A5A5Aのデータをデータ交換レジスタのA面210aに書き込む。2072aS03接続サイド確認レジスタがB系212bである場合、つまり自身がB系CPU207bだと認識した場合、0xA5A5A5A5のデータをデータ交換レジスタのB面210bに書き込む。2072bS04各CPU207a、207bは、データ交換レジスタのA面210aを指定し格納されたデータを読出す。ここでは、データ交換レジスタのA面210aから読出した結果は、0x5A5A5A5Aである。2073a、2073bS05各CPU207a、207bは、データ交換レジスタのB面210bを指定し格納されたデータを読出す。ここでは、データ交換レジスタのB面210bから読出した結果は、0xA5A5A5A5である。2074a、2074bS06CPU207aは、データ交換レジスタのA面210aを指定し読み出した値0x5A5A5A5Aが、予め認識しているA系用チェックデータ0x5A5A5A5Aと一致することを確認する。2075aS07CPU207bは、データ交換レジスタのB面210aを指定し読み出した値0xA5A5A5A5が、予め認識しているB系用チェックデータ0xA5A5A5A5と一致することを確認する。2075bS08CPU207aは、データ交換レジスタのB面210bを指定し読み出した値0xA5A5A5A5が、予め認識しているA系用チェックデータ0x5A5A5A5Aの反転と一致することを確認する。2076aS09CPU207bは、データ交換レジスタのA面210aを指定し読み出した値0x5A5A5A5Aが、予め認識しているB系用チェックデータ0xA5A5A5A5の反転と一致することを確認する。2076b上記処理において、データ交換レジスタ210の全ビットを0と1に変化させチェックするので、故障を確実に検知できる。次に、図4を用いて速度パルス信号の取り込みにおけるパルスカウントデータの健全性チェックを説明する。S11A系/B系CPU207a、207bは、それぞれ自系のタイマ_A205a、タイマ_B205bから、パルスカウント値TCLKA_AとTCLKA_Bを取得する。2171a、2171bS12CPU207aはデータ交換レジスタ210のA面210aに、CPU207bはデータ交換レジスタ210のB面210bに自系で取り込んだパルスカウント値の書き込みを行う。2172a、2172bS13CPU207a、CPU207bはデータ交換レジスタ210のA面210aを指定し読み出すことで、A系タイマ205aのパルスカウント値TCLKA_Aを取得する。2173a、2173bS14CPU207a、CPU207bはデータ交換レジスタ210のB面210bを指定し読み出すことで、B系タイマ210bのパルスカウント値TCLKA_Bを取得する。2174a、2174bS15CPU207a、207bは、S13、S14で読み出したA系タイマ205aのパルスカウント値TCLKA_Aと、B系タイマ205bのパルスカウント値TCLKA_Bの差が閾値以内であることを確認するパルス差監視処理。2175a、2175bS16CPU207a、207bは、S15のパルス差監視処理の異常がなければ、A系タイマ205aで取り込んだパルスカウント値TCLKA_Aを列車速度の演算に使用し、列車制御処理を行う。もし、S15でのパルスカウント差が閾値より大きい場合には、入力段回路やタイマの異常と見なし、列車に故障検知信号とブレーキの出力で減速や停止を行う。そのため、列車システムとして安全動作が可能となる。なお、本実施例ではデータ交換レジスタ210の1番地を使用し説明した。しかしながら、データ交換レジスタ210は、複数ビット長複数バイトであるレジスタを複数個有するので、レジスタを順次変えて使用することによるチェックも可能である。図6は列車運行時の異常検知方法のフローチャート図である。本図ではフェールセーフ演算部14で重要な機能部であるデータ交換レジスタ210の健全性を初期チェック時だけでなく、運行時のパルスカウント値チェック前述のS11からS16に加えて行うものである。まず、タイマ205aないし205bより時刻情報を取得S2000し、その情報がチェック時刻に達したらS2001のYesに分岐、データ交換レジスタのチェックS2100、前述のS01からS09を実施し健全か否かを判断するS2101。健全であればS2101のYesに分岐、パルスカウント値チェックS2002を実施し健全性をチェックする。健全であればS2003のYesに分岐、バス照合回路208のチェックを行うS2005。健全であればS2005のYesに分岐、再度同様な処理を繰り返す。もし、S2101、S2003、S2005のいずれかで不健全Noに分岐の場合には、故障と判断し、異常通知S9000列車に故障検知信号とブレーキの出力を実行する。なお、主チェックはS2000からS2005であり、S2100とS2101は従チェックである。そこで、例えば主チェックは10msec毎に1回と細かく健全性を確認し、従チェックは100sec毎に1回と健全性を確認する。このような方法で詳細にフォールセーフ装置全体をチェックすることにより、更なる健全性向上が図れる。以上の実施例の説明では、移動体の一例として列車を用いたが列車以外の移動体、例えば、自動車等でも本発明を適応できることは言うまでもない。