JP2017005483A - データ処理装置、データ処理システム及びデータ処理方法 - Google Patents

Abstract

【課題】誤り検出符号によって、機能モジュールから出力された異常データを検出可能にする。【解決手段】データ処理装置１００は、同一の処理対象データに対して同一の処理を実行する複数の機能モジュール１を備える。各機能モジュール１は、出力データ１１に対して誤り検出符号１２を生成し、誤り検出符号１２を他の機能モジュール１に送信する。各機能モジュール１は、他の機能モジュール１から受信された誤り検出符号１２と、出力データ１１とが整合するかを判定し、整合すると判定された誤り検出符号１２を出力データ１１とともに出力する。【選択図】図１

Description

この発明は、システムが故障した場合に異常データを外部に出さないために、機能モジュールを重複して設けたデータ処理技術に関する。

自動車等の乗り物の加減速及び操舵についての制御システムと、人間に危害を及ぼす可能性のある工作機械又はロボットの制御システムと、高額な金品又は債券を扱う制御システムとのような、人命又は高額な財産に関する制御システムがある。この制御システムにおいて、故障が起きた場合でも、異常データを制御システム外部に出さないようにするため、機能モジュールを重複して設けたものがある。特に、３つの機能モジュールが並列接続され、多数決の原理により、異常データを制御システム外部に出さない三重多数決冗長系（ＴＭＲ：Ｔｒｉｐｌｅ Ｍｏｄｕｌａｒ Ｒｅｄｕｎｄａｎｃｙ）と呼ばれるシステムがある。異常データをシステム外部に出さないことを、誤りデータをマスクするという（非特許文献１）。

しかし、三重多数決冗長系では、機能モジュールの異常データを外部に出さないことはできても、多数決を行う回路の異常データを外部に出さないようにはできない（非特許文献１，２）。
非特許文献１は１９５６年の出版ではあるが、５０年以上たった２０１４年に発行された非特許文献２でも「計算要素を三重化し、その結果の多数決を採って出力とするシステムの場合、多数決を採る機構の故障には耐えられない。」とあり、解決策が見出されていないことがわかる。

Ｊ． Ｖｏｎ Ｎｅｕｍａｎｎ： "Ｐｒｏｂａｂｉｌｉｓｔｉｃ Ｌｏｇｉｃｓ ａｎｄ ｔｈｅ ｓｙｎｔｈｅｓｉｓ ｏｆ ｒｅｌｉａｂｌｅ ｏｒｇａｎｉｓｍｓ ｆｒｏｍ ｕｎｒｅｌｉａｂｌｅ ｃｏｍｐｏｎｅｎｔｓ，" Ａｕｔｏｍａｔａ Ｓｔｕｄｉｅｓ， Ａｎｎ． ｏｆ Ｍａｔｈ． Ｓｔｕｄｉｅｓ， ｎｏ． ３４， Ｃ． Ｅ． Ｓｈａｎｎｏｎ ａｎｄ Ｊ． ＭｃＣａｒｔｈｙ， Ｅｄｓ．， Ｐｒｉｎｃｅｔｏｎ Ｕｎｉｖｅｒｓｉｔｙ Ｐｒｅｓｓ， ｐｐ． ４３−９８， １９５６． 米田友洋："無駄と冗長"，情報・システムソサイエティ誌第１９巻２号，電子情報通信学会，２０１４年８月 当麻喜弘、南谷崇、藤原秀雄："フォールトトレラントシステムの構成と設計"，ｐｐ１０３−１０４，槇書店，１９９１年

異常データを制御システム外部に出さないことはできなくても、異常データがあることを誤り検出符号で制御システム外部に知らせることができれば有益である。しかし、そのような技術は実現されていなかった。
この発明は、誤り検出符号によって、機能モジュールから出力された異常データを検出可能にする。

この発明に係るデータ処理装置は、
同一の処理対象データに対して同一の処理を実行する複数の機能モジュールを備えるデータ処理装置であり、
各機能モジュールは、
前記処理を実行して得られた出力データに対して誤り検出符号を生成する符号生成部と、
前記符号生成部によって生成された誤り検出符号を他の機能モジュールに送信する符号送信部と、
他の機能モジュールの前記符号送信部によって送信された誤り検出符号を受信する符号受信部と、
前記符号受信部によって受信された誤り検出符号と、前記出力データとが整合するかを判定する符号判定部と、
前記符号判定部によって前記出力データと整合すると判定された誤り検出符号を、前記出力データとともに出力する出力部と
を備える。

この発明では、他の機能モジュールで生成された誤り検出符号が出力データとともに出力される。これにより、外部システムでは、出力データが異常データでないことを確認することが可能である。

実施の形態１に係るデータ処理装置１００の構成図。 実施の形態１に係る外部システム２１の構成図。 実施の形態１に係るデータ処理装置１００の動作を示すフローチャート。 実施の形態２に係るデータ処理装置１００の構成図。 実施の形態２に係る外部システム２１の構成図。 実施の形態３に係るデータ処理装置１００の構成図。 実施の形態３に係るデータ処理装置１００の動作を示すフローチャート。 実施の形態４に係るデータ処理システム１１０の構成図である。 実施の形態５に係るデータ処理システム１２０の構成図。 実施の形態５に係るデータ処理システム１２０の動作を示すフローチャート。 実施の形態６に係るデータ処理システム１４０の構成図。 実施の形態１〜３に係るデータ処理装置１００のハードウェア構成例を示す図。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、実施の形態１に係るデータ処理装置１００の構成図である。
データ処理装置１００は、同一の処理対象データに対して同一の処理を実行する３つの機能モジュール１を備える。各機能モジュール１間は、相互にデータ通信できるようにデータ通信ラインで接続されている。また、各機能モジュール１は、外部システム２１とデータ通信できるようにデータ通信ラインで接続されている。
各機能モジュール１は同じ構成である。ここでは、３つの機能モジュール１を区別して示す場合、各機能モジュール１に添え字ａ，ｂ，ｃを付して、機能モジュール１ａ，１ｂ，１ｃと表す。

各機能モジュール１は、データ処理部２と、符号生成部３と、符号送信部４と、符号受信部５と、符号判定部６と、出力部７とを備える。

データ処理部２は、処理対象データに対して処理を実行して出力データ１１を出力する。

符号生成部３は、データ処理部２によって出力された出力データ１１に対して誤り検出符号１２を生成する。
生成される誤り検出符号１２は、チェックサムとＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）とのような通信における誤り検出用の符号に限らず、暗号の分野で使われている認証符号又は署名データであってもよい。但し、認証符号及び署名データは、通信における誤り検出用の符号よりもデータ長が長くなることが多い。そのため、通信における誤り検出用の符号を用いる方が、データの伝送量等の面で有利である。

符号送信部４は、符号生成部３によって生成された誤り検出符号１２を他の２つの機能モジュール１に送信する。
ここでは、機能モジュール１ａが備える符号送信部４は、誤り検出符号１２ａを機能モジュール１ｂ，１ｃに送信する。機能モジュール１ｂが備える符号送信部４は、誤り検出符号１２ｂを機能モジュール１ａ，１ｃに送信する。機能モジュール１ｃが備える符号送信部４は、誤り検出符号１２ｃを機能モジュール１ａ，１ｂに送信する。

符号受信部５は、他の２つの機能モジュール１の符号送信部４によって送信された誤り検出符号１２を受信する。
ここでは、機能モジュール１ａが備える符号受信部５は、誤り検出符号１２ｂ，１２ｃを受信する。機能モジュール１ｂが備える符号受信部５は、誤り検出符号１２ａ，１２ｃを受信する。機能モジュール１ｃが備える符号受信部５は、誤り検出符号１２ａ，１２ｂを受信する。

符号判定部６は、符号受信部５によって受信された２つの誤り検出符号１２それぞれと、出力データ１１とが整合するかを判定する。つまり、符号判定部６は、符号受信部５によって受信された２つの誤り検出符号１２それぞれによって、出力データ１１から誤りが検出されるか判定する。そして、符号判定部６は、出力データ１１と整合する誤り検出符号１２、つまり誤りが検出されなかった方の誤り検出符号１２を誤り検出符号１３として選択する。
ここでは、機能モジュール１ａであれば、符号判定部６は、誤り検出符号１２ｂと出力データ１１とが整合するかと、誤り検出符号１２ｃと出力データ１１とが整合するかとを判定する。そして、符号判定部６は、出力データ１１と整合する方の誤り検出符号１２を誤り検出符号１３として選択する。
符号判定部６は、誤り検出符号１２ｂ，１２ｃの両方が出力データ１１と整合する場合には、どちらか一方を誤り検出符号１３として選択する。

出力部７は、符号判定部６によって選択された誤り検出符号１３を、出力データ１１とともに外部システム２１に出力する。
出力部７は、符号判定部６によって選択された誤り検出符号１３がない場合、つまりいずれも誤り検出符号１２も出力データ１１と整合しなかった場合、出力データ１１のみを外部システム２１に出力する。

図２は、実施の形態１に係る外部システム２１の構成図である。
外部システム２１は、符号点検部２２を備える。符号点検部２２は、各機能モジュール１の出力部７によって出力された出力データ１１及び誤り検出符号１３の組について、出力データ１１と誤り検出符号１３とが整合するか判定する。

ある機能モジュール１の出力部７によって出力された出力データ１１と誤り検出符号１３とが整合すれば、その機能モジュール１の出力データ１１と、他の機能モジュール１の出力データ１１とが等しかったということになる。つまり、３つの機能モジュール１のうち、２つの機能モジュール１の出力データ１１が等しかったということになる。すなわち、多数決の結果となる。
一方、ある機能モジュール１の出力部７によって出力データ１１だけが出力された場合、通信エラーが発生したか、又は、機能モジュール１が誤動作していると考えられる。この場合、外部システム２１は、通信リトライを実施する。つまり、外部システム２１は、データ処理装置１００に出力データ１１を再要求する。通信リトライを実施しても出力データ１１だけが出力される場合には、機能モジュール１が誤動作していると考えられる。

＊＊＊動作の説明＊＊＊
図３は、実施の形態１に係るデータ処理装置１００の動作を示すフローチャートである。
実施の形態１に係るデータ処理装置１００の動作は、実施の形態１に係るデータ処理方法に相当する。また、実施の形態１に係るデータ処理装置１００の動作は、実施の形態１に係るデータ処理プログラムの処理に相当する。

各機能モジュール１においてＳ１１からＳ１８の処理が実行される。

Ｓ１１のデータ処理工程では、データ処理部２が、処理対象データに対して処理を実行して出力データ１１を出力する。Ｓ１２の符号生成工程では、符号生成部３が、Ｓ１１で出力された出力データ１１に対して誤り検出符号１２を生成する。Ｓ１３の符号送信工程では、符号送信部４が、Ｓ１２で生成された誤り検出符号１２を他の２つの機能モジュール１に送信する。Ｓ１４の符号受信工程では、符号受信部５が、他の２つの機能モジュール１によって、Ｓ１３で送信された誤り検出符号１２を受信する。

Ｓ１５の第１符号判定工程では、符号判定部６が、一方の機能モジュール１から受信された誤り検出符号１２と出力データ１１とが整合するかを判定する。整合する場合（Ｓ１５でＹＥＳ）、符号判定部６は処理をＳ１７に進める。一方、整合しない場合（Ｓ１５でＮＯ）、符号判定部６は処理をＳ１６に進める。

Ｓ１６の第２符号判定工程では、符号判定部６が、他方の機能モジュール１から受信された誤り検出符号１２と出力データ１１とが整合するかを判定する。整合する場合（Ｓ１６でＹＥＳ）、符号判定部６は処理をＳ１７に進める。一方、整合しない場合（Ｓ１６でＮＯ）、符号判定部６は処理をＳ１８に進める。

Ｓ１７の第１出力工程では、符号判定部６が、Ｓ１５又はＳ１６で整合すると判定された誤り検出符号１２を誤り検出符号１３として選択する。そして、出力部７が、選択された誤り検出符号１３を、出力データ１１とともに外部システム２１に出力する。

Ｓ１８の第２出力工程では、出力部７が、出力データ１１のみを外部システム２１に出力する。

＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係るデータ処理装置１００は、各機能モジュール１が、自身が生成した出力データ１１に、他の機能モジュール１によって生成された誤り検出符号１２を誤り検出符号１３として付して、外部システム２１に出力する。これにより、外部システム２１では、出力データ１１と誤り検出符号１３との整合性がとれていることが確認できれば、２つの機能モジュール１の出力データ１１が一致していることが確認できる。これは、機能モジュール１が３つの場合には、多数決の結果が得られたことと同じである。
実施の形態１に係るデータ処理装置１００は、多数決を行う回路を用いていないため、多数決を行う回路が故障した場合を考慮する必要がない。

三重多数決冗長系では、出力データ１１の多数決をとるために全出力データ１１を多数決を行う回路に伝送する必要があり、伝送時間がかかっていた。しかし、実施の形態１に係るデータ処理装置１００は、機能モジュール１間で誤り検出符号１２のみ伝送すればよいため、伝送するデータ量を減らすことができ、伝送時間を短縮できる。

＊＊＊他の構成＊＊＊
上記説明では、３つの機能モジュール１が並列接続された場合について説明した。しかし、並列接続される機能モジュール１の数は４つ以上でもよい。

また、並列接続される機能モジュール１の数は２つであってもよい。多数決を行う場合には並列接続される機能モジュール１の数は少なくとも３つ必要である。しかし、並列接続される機能モジュール１の数は２つであっても、比較システムとしては成立する。
具体的には、２つの機能モジュール１からそれぞれ別のハードディスクに出力データ１１が出力され、格納されるとする。この場合、各ハードディスクに格納された出力データ１１が整合しているか否かは、２つのハードディスクから出力データ１１を読み出して比較する必要がある。しかし、データ処理装置１００の構成によれば、１つのハードディスクに格納された出力データ１１と誤り検出符号１３との整合性を判定すれば済む。

また、並列接続される機能モジュール１の数は３つとする場合でも、４つ以上の機能モジュール１を用意しておき、ある機能モジュール１が故障した場合に、故障した機能モジュール１を新たな機能モジュール１に交換するようにしてもよい。
ｎ＋２個の機能モジュール１を用意しておけば、ｎ個の機能モジュール１の故障まで耐えられる構成となる。

また、上記説明では、出力部７は、いずれの誤り検出符号１２も出力データ１１と整合しない場合には、誤り検出符号１３を付さず、出力データ１１だけを外部システム２１に出力した。
しかし、出力部７は、いずれの誤り検出符号１２も出力データ１１と整合しない場合には、出力データ１１と整合しない誤り検出符号１３を出力データ１１とともに外部システム２１に出力してもよい。この場合、外部システム２１は、誤り検出符号１３と出力データ１１とが整合しない場合、通信エラーが発生したか、又は、機能モジュール１が誤動作していると判定することができる。
また、出力部７は、いずれの誤り検出符号１２も出力データ１１と整合しない場合には、出力データ１１も出力しないようにしてもよい。

実施の形態２．
実施の形態２では、機能モジュール１毎に異なる識別子１６を出力データ１１に合成した上で誤り検出符号１２を生成する点が実施の形態１と異なる。実施の形態２では、この異なる点について説明する。

＊＊＊構成の説明＊＊＊
図４は、実施の形態２に係るデータ処理装置１００の構成図である。
符号生成部３は、機能モジュール１毎に異なる識別子１６を出力データ１１に合成した生成用データ１４に対して誤り検出符号１２を生成する。
ここでは、機能モジュール１ａの符号生成部３は、機能モジュール１ａの識別子１６であるＩＤ−Ａを出力データ１１に合成した生成用データ１４ａに対して、誤り検出符号１２ａを生成する。機能モジュール１ｂの符号生成部３は、機能モジュール１ｂの識別子１６であるＩＤ−Ｂを出力データ１１に合成した生成用データ１４ｂに対して、誤り検出符号１２ｂを生成する。機能モジュール１ｃの符号生成部３は、機能モジュール１ｃの識別子１６であるＩＤ−Ｃを出力データ１１に合成した生成用データ１４ｃに対して、誤り検出符号１２ｃを生成する。

符号送信部４は、識別子１６を誤り検出符号１２とともに他の２つの機能モジュール１に送信する。

符号受信部５は、識別子１６を誤り検出符号１２とともに他の２つの機能モジュール１から受信する。

符号判定部６は、符号受信部５によって受信された誤り検出符号１２と、符号受信部５によって受信された識別子１６を出力データ１１に合成した判定用データ１５とが整合するかを判定する。そして、符号判定部６は、出力データ１１と整合する誤り検出符号１２を誤り検出符号１３として選択する。また、符号判定部６は、誤り検出符号１３として選択した誤り検出符号１２とともに受信された識別子１６を選択する。
ここでは、機能モジュール１ａであれば、符号判定部６は、誤り検出符号１２ｂと、ＩＤ−Ｂを出力データ１１に合成した判定用データ１５とが整合するかを判定する。また、符号判定部６は、誤り検出符号１２ｃと、ＩＤ−Ｃを出力データ１１に合成した判定用データ１５とが整合するかを判定する。

出力部７は、符号判定部６によって選択された誤り検出符号１３及び識別子１６を、出力データ１１とともに外部システム２１に出力する。
出力部７は、符号判定部６によって選択された誤り検出符号１３がない場合、つまりいずれも誤り検出符号１２も出力データ１１と整合しなかった場合、出力データ１１のみを外部システム２１に出力する。

図５は、実施の形態２に係る外部システム２１の構成図である。
符号点検部２２は、各機能モジュール１の出力部７によって出力された出力データ１１及び誤り検出符号１３及び識別子１６の組について、識別子１６を出力データ１１に合成した判定用データ１５と、誤り検出符号１３とが整合するか判定する。

＊＊＊動作の説明＊＊＊
図３に基づき、実施の形態２に係るデータ処理装置１００の動作を説明する。

Ｓ１１の処理は、実施の形態１と同じである。
Ｓ１２では、符号生成部３が、識別子１６をＳ１１で出力された出力データ１１に合成した生成用データ１４に対して誤り検出符号１２を生成する。Ｓ１３では、符号送信部４が、識別子１６とともに、Ｓ１２で生成された誤り検出符号１２を他の２つの機能モジュール１に送信する。Ｓ１４の符号受信工程では、符号受信部５が、他の２つの機能モジュール１によって、Ｓ１３で送信された誤り検出符号１２及び識別子１６を受信する。

Ｓ１５では、符号判定部６が、一方の機能モジュール１から受信された誤り検出符号１２と、合わせて受信された識別子１６を出力データ１１に合成した判定用データ１５とが整合するかを判定する。Ｓ１６では、符号判定部６が、他方の機能モジュール１から受信された誤り検出符号１２と、合わせて受信された識別子１６を出力データ１１に合成した判定用データ１５とが整合するかを判定する。

Ｓ１７では、符号判定部６が、Ｓ１５又はＳ１６で整合すると判定された誤り検出符号１２を誤り検出符号１３として選択するとともに、誤り検出符号１２と合わせて受信された識別子１６を選択する。そして、出力部７が、選択された誤り検出符号１３及び識別子１６を、出力データ１１とともに外部システム２１に出力する。
Ｓ１８の処理は、実施の形態１と同じである。

＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係るデータ処理装置１００は、機能モジュール１毎に異なる識別子１６を含めて誤り検出符号１２を生成する。これにより、外部システム２１で出力データ１１ともに出力された誤り検出符号１２がどの機能モジュール１で生成されたかを特定することができる。これは、システム製作時のデバッグと、システムの安全性検証時とに有用である。

実施の形態３．
実施の形態３では、符号判定部６が整合しないと判定した場合に、データ処理部２に処理を再実行させる点が実施の形態１と異なる。実施の形態３では、この異なる点について説明する。

ここでは、実施の形態１で他の構成として説明した、２つの機能モジュール１からそれぞれ別のハードディスクに出力データ１１が出力され、格納される場合を説明する。

＊＊＊構成の説明＊＊＊
図６は、実施の形態３に係るデータ処理装置１００の構成図である。
データ処理装置１００は、２つの機能モジュール１を備える。ここでは、２つの機能モジュール１を区別して示す場合、各機能モジュール１に添え字ａ，ｂを付して、機能モジュール１ａ，１ｂと表す。

各機能モジュール１は、図１に示す機能モジュール１が備える構成に加え、再実行部８を備える。

再実行部８は、符号判定部６によって出力データ１１と整合すると判定された誤り検出符号１２がない場合に、データ処理部２に処理の再実行を指示する再実行指示信号１７を出力する。

＊＊＊動作の説明＊＊＊
図７は、実施の形態３に係るデータ処理装置１００の動作を示すフローチャートである。

Ｓ２１からＳ２５と、Ｓ２７との処理は、図３のＳ１１からＳ１５と、Ｓ１７との処理と同じである。
Ｓ２５で整合しない場合、Ｓ２６の再実行処理で、再実行部８がデータ処理部２に処理の再実行を指示する再実行指示信号１７を出力する。すると、処理がＳ２１に戻され、Ｓ２１でデータ処理部２が処理を再実行する。

＊＊＊実施の形態３の効果＊＊＊
以上のように、実施の形態３に係るデータ処理装置１００は、出力データ１１と整合すると判定された誤り検出符号１２がない場合に、データ処理部２が処理を再実行する。
再現性のない一時的な故障の発生確率は、再現性のある永久的な故障の発生確率より格段に高い。つまり、誤りが発生しても処理をやり直せば正しい結果が得られる可能性は高い。そのため、正しい出力データ１１が得られない場合であっても、処理を再実行することにより、正しい出力データ１１が得られる可能性が高い。

＊＊＊他の構成＊＊＊
上記説明では、再実行部８は、データ処理部２に再実行指示信号１７を出力するとした。しかし、誤り検出符号１２を送信した際に誤り検出符号１２にエラーが含まれた可能性もある。そのため、処理を再実行させるのではなく、誤り検出符号１２の送信元の機能モジュール１に誤り検出符号１２を再送信させるだけでもよい。また、誤り検出符号１２を生成した際にエラーが含まれた可能性もある。そのため、処理を再実行させるのではなく、誤り検出符号１２の送信元の機能モジュール１に誤り検出符号１２を再生成させるだけでもよい。

また、上記説明では、実施の形態１に係る機能モジュール１の構成に再実行部８を加えた構成を説明した。しかし、実施の形態２に係る機能モジュール１の構成に再実行部８を加えた構成にすることも可能である。

また、上記説明では、２つの機能モジュール１からそれぞれ別のハードディスクに出力データ１１が出力され、格納される場合を説明した。しかし、実施の形態１，２で説明した多数決を行う構成とすることも可能である。この場合、並列接続される機能モジュール１の数は３つ以上となる。

実施の形態４．
実施の形態４では、実施の形態１〜３で説明したデータ処理装置１００を応用したシステムについて説明する。ここでは、外部システム２１がトータリーセルフチェッキングシステムになっているデータ処理システム１１０について説明する。

トータリーセルフチェッキングシステムとは、トータリーセルフチェッキング性を有するシステムである。トータリーセルフチェッキング性を有するとは、（１）〜（３）の３つの条件を満たすことである。
条件（１）は、各機能ブロックの出力が、誤り検出符号で符号化されていることである。条件（２）は、動作中に故障が生じると、一定の動作サイクル内に非符号語が出力されるように機能ブロックが構成されていることである。条件（３）は、非符号語をチェックする機能ブロックの故障も検出可能であることである。
非符号語とは、データと誤り検出符号との組であって、誤り検出符号によってデータの誤りを検出可能な組である。

図８は、実施の形態４に係るデータ処理システム１１０の構成図である。
データ処理システム１１０は、データ処理装置１００と、外部システム２１である外部処理装置２１１とを備える。
外部処理装置２１１は、２つの処理モジュール１１１を備える。各処理モジュール１１１は同じ構成である。

各処理モジュール１１１は、マルチプレクサ１１２Ａ，１１２Ｂと、チェッカ１１３Ａ，１１３Ｂと、情報処理部１１４と、チェッカ１１５とを備える。

マルチプレクサ１１２Ａ，１１２Ｂは、２つの入力から１つを選択して出力する。マルチプレクサ１１２Ａ，１１２Ｂは、トータリーセルフチェッキング性を有するように構成できることが知られている。
マルチプレクサ１１２Ａは、機能モジュール１ｂから出力された出力データ１１及び誤り検出符号１３の組と、機能モジュール１ｃから出力された出力データ１１及び誤り検出符号１３の組との２つを入力とする。そして、マルチプレクサ１１２Ａは、チェッカ１１３Ａから出力された選択信号１１６Ａに従い、いずれかの入力を出力する。
マルチプレクサ１１２Ｂは、機能モジュール１ａから出力された出力データ１１及び誤り検出符号１３の組と、マルチプレクサ１１２Ａから出力された出力データ１１及び誤り検出符号１３の組との２つを入力とする。そして、マルチプレクサ１１２Ｂは、チェッカ１１３Ｂから出力された選択信号１１６Ｂに従い、いずれかの入力を出力する。

チェッカ１１３Ａ，１１３Ｂは、出力データ１１と誤り検出符号１３との整合性を判定し、判定結果に応じた選択信号１１６Ａ，１１６Ｂを出力する。
チェッカ１１３Ａは、機能モジュール１ｂから出力された出力データ１１と誤り検出符号１３との整合性を判定する。そして、チェッカ１１３Ａは、整合する場合には、機能モジュール１ｂから出力された組を選択することを示す選択信号１１６Ａを出力し、整合しない場合には、機能モジュール１ｃから出力された組を選択することを示す選択信号１１６Ａを出力する。
チェッカ１１３Ｂは、機能モジュール１ａから出力された出力データ１１と誤り検出符号１３との整合性を判定する。そして、チェッカ１１３Ｂは、整合する場合には、機能モジュール１ａから出力された組を選択することを示す選択信号１１６Ｂを出力し、整合しない場合には、マルチプレクサ１１２Ａから出力された組を選択することを示す選択信号１１６Ｂを出力する。
選択信号１１６Ａ，１１６Ｂは、２ビットの値である。ここでは、整合する場合には、選択信号１１６Ａ，１１６Ｂは“１０”となり、整合しない場合には、選択信号１１６Ａ，１１６Ｂ“０１”となる。これにより、チェッカ１１３Ａ，１１３Ｂに故障が生じて、出力された選択信号１１６Ａ，１１６Ｂのうち１ビットに誤りがあったとしても、マルチプレクサ１１２Ａ，１１２Ｂは誤りを検出することが可能である。つまり、上述した条件（３）が満される。

情報処理部１１４は、トータリーセルフチェッキング性を有する装置である。情報処理部１１４は、トータリーセルフチェッキング性を有するため、データと誤り検出符号との組を出力する。
情報処理部１１４の処理内容は、データ処理システム１１０として実現したい内容に応じて決定される。

チェッカ１１５は、情報処理部１１４から出力されたデータと誤り検出符号との整合性を判定し、判定結果に応じた結果信号１１７を出力する。結果信号１１７は、選択信号１１６Ａ，１１６Ｂと同様に２ビットの値である。そのため、上述した条件（３）が満たされる。

以上のように、各処理モジュール１１１を構成することにより、各処理モジュール１１１はトータリーセルフチェッキングシステムになる。したがって、外部処理装置２１１は、冗長構成をとったトータリーセルフチェッキングシステムとなる。

データ処理装置１００は、出力データ１１が異常の場合には、必ず非符号語を出力する。そして、外部処理装置２１１は、トータリーセルフチェッキングシステムとなっており、データ処理装置１００の出力を入力として動作する。そのため、データ処理システム１１０は、全体としてトータリーセルフチェッキングシステムになる。

また、外部処理装置２１１は、冗長構成をとったトータリーセルフチェッキングシステムであるため、データ処理システム１１０は、全体として１系統が故障することを許容した構成なる。

実施の形態５．
実施の形態５では、実施の形態１〜３で説明したデータ処理装置１００を応用したシステムについて説明する。ここでは、ループバック及び定期テストにより外部システム２１の動作を保障するデータ処理システム１２０について説明する。

ここでは、データ処理システム１２０が有人宇宙船のヒータ制御システムである場合を説明する。宇宙船に搭載される化学エンジンは、噴射口と、配管と、バルブと、タンクとを備える。このうち、配管及びバルブは、宇宙の厳しい温度環境に弱い部分である。地球近傍の宇宙では、高温側は太陽光によって１３０℃以上となり、低温側は暗黒宇宙との熱結合によって−１６０℃以下になる。配管及びバルブは、低温になり過ぎても高温になり過ぎても、破裂と爆発と異常燃焼とのいずれかの危険がある。これらは宇宙船に乗った人の命に係わる事象である。そのため、高温側の対策として、配管及びバルブは断熱材で覆われている。また、低温側の対策として、ヒータで加熱することが行われている。この場合、ヒータ制御には、故障が発生しても、決められた温度範囲に制御対象を収めることが要求される。

図９は、実施の形態５に係るデータ処理システム１２０の構成図である。
データ処理システム１２０は、データ処理装置１００と、外部システム２１である外部処理装置２１２とを備える。
外部処理装置２１２は、２つの処理モジュール１２１と、ループバック部１２２とを備える。各処理モジュール１２１は同じ構成である。一方の処理モジュール１２１が稼働しており、他方の処理モジュール１２１は待機している。

各処理モジュール１２１は、ヒータ制御装置１２３と、ヒータ１２４と、電流センサ１２５とを備える。

ヒータ制御装置１２３は、各機能モジュール１から出力された出力データ１１及び誤り検出符号１３の組のうち、出力データ１１と誤り検出符号１３とが整合する組の出力データ１１を選択する。ヒータ制御装置１２３は、選択した出力データ１１に従いヒータ１２４をオンするかオフするかを示す切替信号１２８を出力する。
ここでは、ヒータ制御装置１２３は、切替信号１２８を電流で表す。ヒータ制御装置１２３は、ヒータ１２４をオンする場合には、電流を流し、ヒータ１２４をオフする場合には、電流を流さないようにする。

ヒータ１２４は、制御対象１３０を加熱する。ヒータ１２４は、ヒータ制御装置１２３の制御に従い、オンとオフとを切り替える。

電流センサ１２５は、ヒータ制御装置１２３からヒータ１２４に流れる電流を検出する。電流センサ１２５は、電流を検出した結果を示す検出信号１２９を後述する各ＡＤ変換機１２７に出力する。

ループバック部１２２は、３つの温度センサ１２６と、各温度センサ１２６に対応して設けられたＡＤ変換機１２７とを備える。

各温度センサ１２６は、制御対象１３０の温度１３１を検出する。各温度センサ１２６は、検出した温度１３１を対応するＡＤ変換機１２７に出力する。

各ＡＤ変換機１２７は、対応する温度センサ１２６から出力された温度１３１と、電流センサ１２５から出力された検出信号１２９とをＡＤ（Ａｎａｌｏｇ Ｄｉｇｉｔａｌ）変換して、各機能モジュール１に出力する。

各機能モジュール１のデータ処理部２は、各ＡＤ変換機１２７から出力された３つの温度１３１からヒータ１２４をオンするかオフするかを示すオンオフ情報を含む出力データ１１を生成する。ここでは、各機能モジュール１は、３つの温度１３１から多数決によって選択された温度１３１が基準温度よりも高いか否かによって、ヒータ１２４をオンするかオフするかを決定し、オンオフ情報を含む出力データ１１を生成する。

また、各機能モジュール１の出力部７は、定期的に、整合しない出力データ１１と誤り検出符号１３との組、つまり非符号語をヒータ制御装置１２３に出力する。この際、出力部７は、他の機能モジュール１の出力部７と異なるときに、非符号語を出力する。

また、各機能モジュール１は、実施の形態１〜３で説明した構成に加え、制御判定部９を備える。図９では、実施の形態１〜３で説明した構成については省略している。
制御判定部９は、各ＡＤ変換機１２７から出力された検出信号１２９に基づき、オンオフ情報の通りの切替信号１２８がヒータ１２４に出力されているかを判定する。具体的には、制御判定部９は、オンすると決定し、検出信号１２９が電流が流れていることを示すか、又は、オフすると決定し、検出信号１２９が電流が流れていないことを示す場合に、オンオフ情報の通りの切替信号１２８がヒータ１２４に出力されていると判定する。
制御判定部９は、オンオフ情報の通りの切替信号１２８がヒータ１２４に出力されていない場合には、出力データ１１及び誤り検出符号１３の出力先を、待機中の処理モジュール１２１に切り替える。これにより、待機中の処理モジュール１２１が稼働する。

＊＊＊動作の説明＊＊＊
図１０は、実施の形態５に係るデータ処理システム１２０の動作を示すフローチャートである。
なお、データ処理システム１２０の動作開始時には、いずれか一方の処理モジュール１２１が稼働しており、他方の処理モジュール１２１は待機している。

Ｓ３１の出力データ生成処理では、各機能モジュール１は、３つの温度１３１から多数決により温度１３１を選択する。各機能モジュール１は、選択された温度１３１に基づきオンオフ情報を含む出力データ１１を生成して、ヒータ制御装置１２３に出力する。

Ｓ３２のヒータ制御処理では、ヒータ制御装置１２３は、Ｓ３１で各機能モジュール１から出力された出力データ１１及び誤り検出符号１３の組から、出力データ１１と誤り検出符号１３とが整合する組の出力データ１１を選択する。ヒータ制御装置１２３は、選択した出力データ１１に含まれるオンオフ情報に従いヒータ１２４をオンするかオフするかを示す切替信号１２８を出力する。
この際、電流センサ１２５は、ヒータ制御装置１２３からヒータ１２４に流れる電流を検出して、検出信号１２９をＡＤ変換機１２７に出力する。

Ｓ３３の温度計測処理では、各温度センサ１２６は、制御対象１３０の温度１３１を検出して、検出された温度１３１を対応するＡＤ変換機１２７に出力する。

Ｓ３４のループバック処理では、各ＡＤ変換機１２７は、Ｓ３３で出力された温度１３１と、Ｓ３２で出力された検出信号１２９とをＡＤ変換して、各機能モジュール１に出力する。

Ｓ３５の動作判定処理では、各機能モジュール１において制御判定部９は、Ｓ３４で出力された３つの検出信号１２９から多数決により検出信号１２９を選択する。制御判定部９は、選択された検出信号１２９に基づき、オンオフ情報の通りの切替信号１２８がヒータ１２４に出力されているかを判定する。
オンオフ情報の通りの切替信号１２８がヒータ１２４に出力されている場合（Ｓ３５でＹＥＳ）、制御判定部９は処理をＳ３１に戻す。一方、オンオフ情報の通りの切替信号１２８がヒータ１２４に出力されていない場合（Ｓ３５でＮＯ）、制御判定部９は、Ｓ３６の出力先切替処理で待機中の処理モジュール１２１に出力先を切り替えた上で、Ｓ３１に処理を戻す。

なお、Ｓ３１では、各機能モジュール１の出力部７は、他の機能モジュール１の出力部７と異なるときに、定期的に非符号語を出力する。

＊＊＊実施の形態５の効果＊＊＊
以上のように、実施の形態５に係るデータ処理システム１２０は、機能モジュール１、ヒータ制御装置１２３、電流センサ１２５、ＡＤ変換機１２７、機能モジュール１の順に、ヒータ１２４をオンするかオフするかを示す情報が形態を変えながらループバックしている。これにより、処理モジュール１２１で故障があったことをデータ処理装置１００が検出できる。そして、処理モジュール１２１に故障があった場合に、待機中の処理モジュール１２１に出力先を切り替えることができる。その結果、外部処理装置２１２の動作を保証することできる。

また、実施の形態５に係るデータ処理システム１２０は、出力部７が定期的に非符号語をヒータ制御装置１２３に出力する。これにより、ヒータ制御装置１２３における整合した出力データ１１を選択する機能が故障していないか確認することができる。

ループバックと定期テストは、セルフチェッキングシステムが有するフォールトセキュア性と、セルフテスティング性に対応する性質を実現している。

なお、温度センサ１２６及びＡＤ変換機１２７も３つずつ用意されており、出力結果から使用するデータを多数決により選択する。これにより、温度センサ１２６及びＡＤ変換機１２７の１つが故障した場合であっても、動作を保証することができる。

＊＊＊他の構成＊＊＊
上記説明では、処理モジュール１２１は２つであった。しかし、処理モジュール１２１は３つ以上であってもよい。これにより、２つ以上の処理モジュール１２１が故障した場合であっても、外部処理装置２１２の動作を保証することできる。

実施の形態６．
実施の形態６では、実施の形態１〜３で説明したデータ処理装置１００を応用したシステムについて説明する。ここでは、分散サーバを構成するデータ処理システム１４０について説明する。

ここでは、データ処理装置１００がサーバであり、外部システム２１がクライアントである場合を想定する。クライアントは、顧客又は他社が使用する設備である。そのため、クライアント側で故障が発生することは大きな問題とはならないが、サーバ側で故障が発生することは避けたい場合がある。
具体的には、サーバから出力されたデータに誤りがあり、誤りに気付かずクライアント側で処理を進めてしまい、大きな問題となる場合がある。

図１１は、実施の形態６に係るデータ処理システム１４０の構成図である。
データ処理システム１４０は、データ処理装置１００と、外部システム２１である外部処理装置２１３とを備える。データ処理システム１４０では、通信プロトコルとしてＴＣＰ／ＩＰ（Ｔｒａｎｓｍｉｓｓｉｏｎ Ｃｏｎｔｒｏｌ Ｐｒｏｔｏｃｏｌ／Ｉｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ）が用いられる。

データ処理装置１００は、１つの機能モジュール１を有する３台の計算機１４１を備える。つまり、各機能モジュール１は、それぞれ異なる計算機１４１に実装される。そして、３台の計算機１４１のうち、２台だけが稼働し、残りの１台は待機している。稼働中の２台の計算機１４１のうち一方だけが、出力データ１１及び誤り検出符号１３を外部処理装置２１３に出力する。
ここでは、誤り検出符号１２及び誤り検出符号１３は、ＴＣＰ／ＩＰのチェックサムの領域が用いられる。

外部処理装置２１３は、データ処理装置１００から出力された出力データ１１を用いて処理を実行する。
この際、外部処理装置２１３は、出力データ１１と誤り検出符号１３とが整合するかを判定する。外部処理装置２１３は、整合する場合、出力データ１１を用いて処理を実行する。一方、外部処理装置２１３は、整合しない場合、データ処理装置１００に出力データ１１を再要求する。この処理は、誤り検出符号１３がＴＣＰ／ＩＰのチェックサムの領域を用いられていることで、外部処理装置２１３側では意識することなく実現される。

データ処理装置１００は、実施の形態１〜３で説明した構成に加え、計算機切替部１０を備える。
計算機切替部１０は、外部処理装置２１３から出力データ１１を再要求された場合、稼働中の２台の計算機１４１のうち、出力データ１１及び誤り検出符号１３を出力した計算機１４１を停止させ、代わりに待機中の計算機１４１を稼働させる。そして、再び出力データ１１及び誤り検出符号１３を出力する。

これにより、計算機１４１のうち１台が故障した場合でも、外部処理装置２１３が誤りのない出力データ１１を用いて処理をすることができる。

上記説明では、データ処理装置１００が３つの機能モジュール１を有する場合を説明した。しかし、データ処理装置１００は、４つ以上の機能モジュール１を有していてもよい。この場合であっても、データ処理装置１００は、機能モジュール１毎に計算機１４１を備えていればよい。これにより、複数の計算機１４１の故障を許容する構成とすることが可能である。

図１２は、実施の形態１〜６に係るデータ処理装置１００のハードウェア構成例を示す図である。
データ処理装置１００はコンピュータである。
データ処理装置１００は、プロセッサ９０１、補助記憶装置９０２、メモリ９０３、通信装置９０４、入力インターフェース９０５、ディスプレイインターフェース９０６といったハードウェアを備える。
プロセッサ９０１は、信号線９１０を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
入力インターフェース９０５は、ケーブル９１１により入力装置９０７に接続されている。
ディスプレイインターフェース９０６は、ケーブル９１２によりディスプレイ９０８に接続されている。

プロセッサ９０１は、プロセッシングを行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９０１は、具体的には、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。
補助記憶装置９０２は、具体的には、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）である。
メモリ９０３は、具体的には、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
通信装置９０４は、データを受信するレシーバー９０４１及びデータを送信するトランスミッター９０４２を含む。通信装置９０４は、具体的には、通信チップ又はＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。
入力インターフェース９０５は、入力装置９０７のケーブル９１１が接続されるポートである。入力インターフェース９０５は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。
ディスプレイインターフェース９０６は、ディスプレイ９０８のケーブル９１２が接続されるポートである。ディスプレイインターフェース９０６は、具体的には、ＵＳＢ端子又はＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。
入力装置９０７は、具体的には、マウス、キーボード又はタッチパネルである。
ディスプレイ９０８は、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。

補助記憶装置９０２には、上述したデータ処理部２と、符号生成部３と、符号送信部４と、符号受信部５と、符号判定部６と、出力部７と、再実行部８と、制御判定部９と（以下、データ処理部２と、符号生成部３と、符号送信部４と、符号受信部５と、符号判定部６と、出力部７と、再実行部８と、制御判定部９とをまとめて「部」と表記する）の機能を実現するプログラムが記憶されている。
このプログラムは、メモリ９０３にロードされ、プロセッサ９０１に読み込まれ、プロセッサ９０１によって実行される。
更に、補助記憶装置９０２には、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。
そして、ＯＳの少なくとも一部がメモリ９０３にロードされ、プロセッサ９０１はＯＳを実行しながら、「部」の機能を実現するプログラムを実行する。
図１２では、１つのプロセッサ９０１が図示されているが、データ処理装置１００が複数のプロセッサ９０１を備えていてもよい。そして、複数のプロセッサ９０１が「部」の機能を実現するプログラムを連携して実行してもよい。
また、「部」の処理の結果を示す情報又はデータ又は信号値又は変数値が、メモリ９０３、補助記憶装置９０２、又は、プロセッサ９０１内のレジスタ又はキャッシュメモリにファイルとして記憶される。
また、「部」の機能を実現するプログラムは、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤ等の記憶媒体に記憶される。

「部」を「サーキットリー」で提供してもよい。また、「部」を「回路」又は「工程」又は「手順」又は「処理」に読み替えてもよい。「回路」及び「サーキットリー」は、プロセッサ９０１だけでなく、ロジックＩＣ又はＧＡ（Ｇａｔｅ Ａｒｒａｙ）又はＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）又はＦＰＧＡ（Ｆｉｅｌｄ−Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）といった他の種類の処理回路をも包含する概念である。

また、出力部７は、トランスミッター９０４２として実現されてもよい。

１ 機能モジュール、２ データ処理部、３ 符号生成部、４ 符号送信部、５ 符号受信部、６ 符号判定部、７ 出力部、８ 再実行部、１１ 出力データ、１２ 誤り検出符号、１３ 誤り検出符号、１４ 生成用データ、１５ 判定用データ、１６ 識別子、１７ 再実行指示信号、２１ 外部システム、２２ 符号点検部、１００ データ処理装置、１１０ データ処理システム、１１１ 処理モジュール、１１２ マルチプレクサ、１１３ チェッカ、１１４ 情報処理部、１１５ チェッカ、１１６ 選択信号、１１７ 結果信号、１２０ データ処理システム、１２１ 処理モジュール、１２２ ループバック部、１２３ ヒータ制御装置、１２４ ヒータ、１２５ 電流センサ、１２６ 温度センサ、１２７ ＡＤ変換機、１２８ 切替信号、１２９ 検出信号、１３０ 制御対象、１３１ 温度、１４０ データ処理システム、１４１ 計算機、２１１，２１２，２１３ 外部処理装置。

Claims (9)

1. 同一の処理対象データに対して同一の処理を実行する複数の機能モジュールを備えるデータ処理装置であり、
   各機能モジュールは、
   前記処理を実行して得られた出力データに対して誤り検出符号を生成する符号生成部と、
   前記符号生成部によって生成された誤り検出符号を他の機能モジュールに送信する符号送信部と、
   他の機能モジュールの前記符号送信部によって送信された誤り検出符号を受信する符号受信部と、
   前記符号受信部によって受信された誤り検出符号と、前記出力データとが整合するかを判定する符号判定部と、
   前記符号判定部によって前記出力データと整合すると判定された誤り検出符号を、前記出力データとともに出力する出力部と
   を備えるデータ処理装置。
2. 前記符号生成部は、機能モジュール毎に異なる識別子を前記出力データに合成した生成用データに対して誤り検出符号を生成し、
   前記符号送信部は、前記識別子を前記誤り検出符号とともに送信し、
   前記符号受信部は、前記識別子を前記誤り検出符号とともに受信し、
   前記符号判定部は、前記符号受信部によって受信された前記誤り検出符号と、前記符号受信部によって受信された識別子を前記出力データに合成した判定用データとが整合するかを判定する
   請求項１に記載のデータ処理装置。
3. 前記各機能モジュールは、さらに、
   前記符号判定部によって前記出力データと整合すると判定された誤り検出符号がない場合に、前記処理の再実行を指示する再実行指示信号を出力する再実行部
   を備える請求項１又は２に記載のデータ処理装置。
4. 請求項１から３までのいずれか１項に記載のデータ処理装置と、
   前記出力部によって出力された出力データを用いて処理を行う外部処理装置と
   を備えるデータ処理システム。
5. 前記外部処理装置は、
   ２つの機能モジュールのうちの一方の機能モジュールが備える前記出力部によって出力された誤り検出符号と、前記出力部によって出力された出力データとが整合するか否かを判定するチェッカと、
   前記チェッカによって整合すると判定された場合には前記一方の機能モジュールが備える前記出力部によって出力された出力データを出力し、前記チェッカによって整合しないと判定された場合には他方の機能モジュールが備える前記出力部によって出力された出力データを出力するマルチプレクサと、
   前記マルチプレクサによって出力された出力データを用いて情報処理を実行する情報処理部と
   を備える請求項４に記載のデータ処理システム。
6. 前記外部処理装置は、
   前記複数の機能モジュールが備える前記出力部によって出力された出力データのうち、ともに出力された誤り検出符号と整合する出力データに基づく信号を制御対象に送信して、前記制御対象を制御する処理モジュールと、
   前記処理モジュールが出力した前記信号を取得して、取得された信号を前記各機能モジュールに出力するループバック部と
   を備え、
   前記各機能モジュールは、さらに、
   前記ループバック部によって出力された信号に基づき、前記出力データに従う制御を前記処理モジュールがしているか判定する制御判定部
   を備える請求項４に記載のデータ処理システム。
7. 前記出力部は、定期的に、前記出力データ及び前記誤り検出符号に代えて、整合しない出力データ及び誤り検出符号、又は、出力データのみを出力する
   請求項６に記載のデータ処理システム。
8. 前記各機能モジュールは、それぞれ異なる計算機に実装され、前記各機能モジュールが実装された各計算機のうち複数の計算機が稼働するとともに、残りの計算機が待機しており、
   前記データ処理装置は、さらに、
   前記出力データの出力先から前記出力データを再要求されると、稼働している少なくとも一部の計算機を停止させ、待機している少なくとも一部の計算機を稼働させる計算機切替部
   を備える請求項１から３までのいずれか１項に記載のデータ処理装置。
9. 同一の処理対象データに対して同一の処理を実行する複数の機能モジュールを備えるデータ処理装置におけるデータ処理方法であり、
   各機能モジュールが、
   前記処理を実行して得られた出力データに対して誤り検出符号を生成し、
   生成された誤り検出符号を他の機能モジュールに送信し、
   他の機能モジュールによって送信された誤り検出符号を受信し、
   受信された誤り検出符号と、前記出力データとが整合するかを判定する
   データ処理方法。

Images