JPH0439740A - ３重化システム - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔産業上の利用分野〕 この発明は、高信頼性化するために同一の機能を持つ３
つの機能装置（以下これをモジュールと記す）と、この
３つのモジュールの出力の多数決をとる多数決装置とを
有する３重化システムにおいて、各モジュールおよび多
数決装置の故障発生時におけるシステムとしての機能を
維持する方法に関する。

〔従来技術〕

近年、電子技術の進歩に伴いより多くの機能を有する様
々なシステムが構築されるようになっている。このよう
なシステムにおいては、その機能を充実させるだけでな
く、システムの信頼性を向上させる必要性も高まってい
る。

そのための方法として、システム内の一部が故障しても
システム全体の機能を正常に保つために、冗長構成を採
用する方式が一般に知られている。

冗長構成方式としては、例えば同一の機能を持つモジュ
ールを３個用いて同時に動作させ、各モジュールの出力
値の多数決を取ってシステムの出力値とするＴ　Ｍ　Ｒ
（Ｔｒｉｐｌｅ　Ｍｏｄｕｌａｒ　Ｒｅｄｕｎｄａｎｃ
ｙ　）方式がある。

ＴＭＲ方式のシステムの信頼性について、多数決装置お
よび３個のモジュールの故障の発生が互いに相関ないと
いう仮定のもとで考えると、ＴＭＲ方式のシステムの信
頼度Ｒｔｍｒは、多数決装置の信頼度Ｒｖおよび個々の
モジュールの信頼度Ｒｍの関数として次式で与えられる
。

Ｒｔｍｒ＝（（３個のモジュールがすべて機能している
確率）＋（いずれか２個のモジュールが機能している確
率）〕×（多数決装置が機能している確率）＝［Ｒｍ”
＋３Ｒｒｎ”Ｘ（１−Ｒｍ））ＸＲｖ＝Ｒｖ　（３Ｒｍ
”−２Ｒｍ’　）　　　　　・＝　（１−１）このＴＲ
Ｍ方式のシステムは、１個のモジュールが故障してもシ
ステム全体としては正常に動作する。さらに、２個のモ
ジュールが故障した場合でも、故障の状態によってはシ
ステム全体として正常に動作することがある。例えばあ
る１個のモジュールの出力値が論理値“１″に固定され
る故障（以下これをＳ　−Ａ　−１（５ｔｕｃｋ　−Ａ
ｔ−１３と記す）を起こし、さらに、もう１個のモジュ
ールの出力値が論理値“０″に固定される故障（以下こ
れを５−Ａ−＋（Ｓｔｕｃｋ−Ａｔ−０〕と記す）を起
こした場合などである。

しかし、多数決装置が故障してしまうと、モジュールの
故障とは無関係にシステムが障害を起こしてしまうとい
う問題点を有している。

ここで、このＴＭＲ方式のシステムの信頼度について、
以下に示す仮定を用いて考察する。すなわち、各モジュ
ールに対して、すでに十分な期間のバーン・イン（モジ
ュールを一定期間動作させることＫより、もともと欠陥
を持ったモジュールを除去すること）が行われていと仮
定すれば、多数決装置の信頼度Ｒｖは、λｌを一定の故
障率とする時間に関する指数関数、すなわちＲｖ＝ｅ−
”ｔとなる。同様に個々のモジュールの信頼度Ｒｍは、
λを一定の故障率とする時間に関する指数関数、すなわ
ちＲｍ＝ｅ−”となる。ここで、式（１−１）にこのＲ
ｖおよびＲｍを代入すると、 −Ｊｌｔ　　　　　　−２λｔ Ｒｔｍｒ＝ｅ　　　（３ｅ　　　−２ｅ−３”）　　＝
・（１−２）となる。

また、前述したように例えば１個のモジュールが故障し
た場合には、ＴＭＲ方式のシステム全体としては正常に
動作する。しかし、１１ｍ１のモジュールが故障した状
態でシステムが正常に動作し続けるためには、２個のモ
ジュールが両方とも正常に動作する必要があるため、Ｔ
ＭＲ方式のシステムの信頼度Ｒｔｍｒがモジュール単独
の信頼度Ｒｍよりも低下してしまうという問題点を有し
ていた。

この２つの問題点を解決した３重化システムの従来例と
しては、例えば第３図に示すようなものがある。

〔参考文献「フォールト・トレランス入門」Ｐａｒａｇ
　Ｋ、　Ｌａ１ａ著、オーム社、１９８８年９月第１版
、４章ディジタル・システムのフォールト・トレランス
入門、ｐＩ）８１〜８７〕 第３図に示した３重化システムにおいては、入力端子Ｉ
Ｎを介して入力される信号が同一の機能を持つ３個のモ
ジュール１０１，１０２，１０３へ入力され、各モジュ
ール１０１　、１０２　、１０３の出力信号が該出力信
号の多数決を取って多数決信号を出力する多数決装置２
００へ入力される。

そして、各モジュール１０１，１０２，１０３の出力信
号と多数決装置２００の出力する多数決信号とがそれぞ
れ不一致であるか否か検出する不一致検出回路３０１，
３０２，３０３へ入力され、各不一致検出回路３０１，
３０２，３０３の出力信号がモジュール１０１，１０２
，１０３および多数決装置２００の故障を判別して制御
信号を出力する制御装置４００へ入力される。その制御
信号が出力端子ＯＵＴへ出力する信号を切り換える切換
装置５００へ入力されるように構成されている。ここで
、モジュール１０１．１０２，１０３は、マイクロプロ
セッサ−であっても良く、加算器やゲートなどのより簡
単なユニットであっても良い。

上記のごとき従来の３重化システムの動作を第３図に基
づいて説明する。

（１−１）　　３重化システム全体が正常な場合：モジ
ュール１０１，１０２，１０３および多数決装置２００
が正常に動作している場合、各モジュール１０１．１０
２，１０３の出力信号および多数決装置２００の多数決
信号はすべて一致する。すると、不一致検出回路３０１
．３０２，３０３の出力信号は、すべて“０１となる。

そのため、制御装置４００は、不一致検出回路３０１．
３０２゜３０３の出力信号からモジュール１０１，１０
２゜１０３および多数決装置２００がすべて正常と判断
し、多数決装置２００の多数決信号を出力端子ＯＵＴへ
出力するように指示する制御信号を切換装置５００へ出
力する。この制御信号を受けとった切換装置５００は、
多数決装置２００の多数決信号を３重化システムの出力
信号として出力するように切り換える。

（１−ｂ）　　モジュールの故ｗｉＬ検出：例えばモジ
ュール１０３が故障した場合、モジュール１０１゜１０
２の出力と多数決装置２００の出力とは一致するが、モ
ジュール１０３の出力と多数決装置２００の出力とが一
致しない。すると、不一致検出回路３０３の出力信号は
、′１１となり、不一致検出回路３０１．３０２の出力
信号は、“０１となる。そのため、制御装置４００は、
不一致検出回路３０１．３０２，３０３の出力信号から
モジュール１０３が故障したと判断し、モジュール１０
１の出力信号を出力端子ＯＵＴへ出力するように指示す
る制御信号を切換装置５００へ出力する。この制御信号
を受けとった切換装置５００は、モジュール１０１の出
力信号を３重化システムの出力信号として出力するよう
に切り換える。

（１−ｃ）　　多数決装置の故障検出：例えば多数決装
置２００が故障した場合、各モジュール１０１゜１０２
．１０３の出力と多数決装置２００の出力とがそれぞれ
一致しない。すると、不一致検出回路３０１．３０２，
３０３の出力信号は、すべて“１′″となる。そのため
、制御装置４００は、不一致検出回路３０１，３０２，
３０３の出力信号から多数決装置２００が故障したと判
断し、モジュール１０１の出力信号を出力端子ＯＵ、Ｔ
へ出力するように指示する制御信号を切換装置５００へ
出力する。この制御信号を受けとった切換装置５００は
、モジュール１０１の出力信号を３１化システムの出力
信号として出力するように切り換える。

上記のごとく、この３重化システムは、（１−ｂ）の場
合、制御装置４００がモジュール１０３の故障を判別し
、切換装置５００によって３重化システムの出力端子Ｏ
ＵＴへモジュール１０１の出力信号を出力させて３重化
システムを動作させる（以下この状態をシンプレックス
・モードと記す）ことにより、３重化システムの信頼度
が低下することを防いでいる。また、（ｉ−ｃ）の場合
、制御装置４００が多数決装置２００の故障を判別し、
切換装置５００によってモジュール１０１の出力信号を
出力端子ＯＵＴから出力するシンプレックス・モードで
動作させることにより、３重化システムの機能を維持す
ることができる。

〔発明が解決しようとする課題〕

しかしながら、上述した従来の３！化システムにあって
は、不一致横巾装置３０１，３０２゜３０３が３つ同時
に不一致を検出（出力信号が“１゛）した場合以外は、
（１−ｂ）に示したように出力信号が“１゛となった不
一致横巾装置に接続されているモジュールが故障したと
判断していた。

このため、例えば不一致横巾装置３０１，３０２の出力
信号が２つ同時に“１゛となった場合、制御装置４００
は、不一致横巾装置３０１，３０２に接続されているモ
ジュール１０１，１０２が故障したと判断する。また、
不一致横巾装置３０１゜３０２の出力信号が２つ同時に
“１゛となる場合には、多数決装置２００が通常制御装
置４００で七の故障を検出できないような故障（例えば
多数決装置２００がモジュール１０１．１０２．１０３
の出力信号の多数決結果によらずモジュール１０３の出
力信号にのみ依存した値を出力する故ＩＩ）を起こして
いて、さらにモジュール１０３が故障を起こしたような
場合が考えられる。ここで、モジュール１０１．１０２
が２個同時に故障する場合と、上記のように多数決装置
２００とモジュール１０３が故障した場合を比較すると
、後者の場合のほうが発生する確率が大きい（詳細は後
述するＸしたがって、従来の３重化システムでは、不一
致横巾装置３０１，３０２の出力信号が２つ同時に“１
゛となった場合に、制御装置４００は、出力信号が“０
′″である不一致横巾装置３０３に接続されたモジュー
ル１０３が正常と判断し、故障しているモジュール１０
３の出力信号を３重化システムの出力端子ＯＵＴから出
力してしまうか、あるいは、この状態（不一致横巾装置
３０１，３０２の出力信号が２つ同時に“１゛となる状
態）を全く考慮していないために３重化システムの出力
端子ＯＵＴから出力される信号が不定になってしまう可
能性が高いという問題点があった。

この発明は、上記のごとき問題点を解決するためＫなさ
れたものであり、信頼性を更に向上させた３重化システ
ムを提供することを目的としている。

〔問題を解決するための手段〕

この発明は、上記の目的を達成するためになされたもの
で、３重化システムは、同一の機能を持つ第１．第２お
よび第３機能装置と、第１．第２および第３機能装置が
それぞれ出力する出力信号の多数決をとった結果に基づ
く多数決信号を出力する多数決装置と、多数決信号と前
記第１．第２および第３機能装置の各出力信号とがそれ
ぞれ−致しているか否かを検出する第１．第２および第
３不一致横巾装置と、第１．第２または第３不−致横巾
装置の出力信号を監視して前記第１．第２および第３機
能装置と多数決装置のいずれかに故障が発生したかを判
断して制御信号を出力する制御装置と、第１．第２およ
び第３機能装置の出力信号または多数決信号のいずれか
を出力端子へ出力するのかを制＃信号によって切り換え
る切換装置とからなる構成である。この制御装置は、第
１および第２不一致横巾装置が不一致を検出したことを
示す出力信号を出力し、第３不一致慣出装置が不一致を
検出しなかったことを示す出力信号を出力した場合、第
３不一致横巾装置に接続されている第３機能装置および
多数決装置の両方が故障したと判断して制御信号を出力
し、該制御信号によって第２機能装置の出力信号を出力
端子へ出力するように切り換えるようにした。

〔作用〕

３重化システムにおいて、例えば多数決装置が、第１．
第２および第３機能装置の出力信号の多数決結果によら
ずに第３機能装置の出力信号をそのまま出力した多数決
信号を出力するような故障を起こしていると、第１．第
２および第３機能装置が正常に動作している闇、制御装
置は、３重化システム全体が正常であると判断する。こ
こで、第３機能装置が故障を起こすと、第１および第２
機能装置の出力信号は、第３機能装置の出力信号に依存
している多数決信号と一致しなくなる。すると、第１お
よび第２不一致横巾装置が不一致を検出したことを示す
出力信号を出力し、第３不一致横巾装置が不一致を検出
しなかったことを示す出力信号を出力する。この第１．
第２および第３不一致横巾装置の出力信号を入力された
制御装置は、多数決装置と第３機能装置が故障したと判
断して第２機能装置の出力信号を出力端子へ出力するよ
うに指示する制御信号を切換装置へ出力し、切換装置は
、出力端子への出力を第２機能装置の出力信号に切り換
えて、シンプレックス・モードで動作させることにより
３重化システムに障害が発生することを防ぐことが可能
となる。

〔実施例〕

以下、具体的な実施例に基づいて説明する。

第１図は、この発明の１実施例を示す図である。

第１図において、１０１．１０２，１０３は、それぞれ
入力端子ＩＮから入力される信号の演算処理を行なう同
一の機能を有したモジュールである。

これらのモジュール１０１　、ｉ０２，１０３の出力信
号は、多数決装置２００へ入力されると共に、不一致横
巾装置３０１，３０２，３０３および切換装置５００へ
入力される。そして、多数決装置２００は、３個のモジ
ュールの出力信号の多数決をとり、その多数決結果を多
数決信号として不一致横巾装置３０１，３０２，３０３
および切換装置５００へ出力する。すると、不一致横巾
装置３０１．３０２，３０３は、各モジュールの出力信
号と多数決信号とがそれぞれ不一致となるか否かを検出
し、その出力信号３１１，３２２，３３３を制御装置４
００へ出力する。すると、制御装置４００は、出力信号
３１１．３２２，３３３からモジュール１０１，１０２
，１０３および多数決装置２００の故障を判断し、切換
装置５００をコントロールするための制御信号４２０，
４２２゜４２４．４２６を出力する。切換装置５００は
、制御信号４２０，４２２，４２４，４２６により出力
端子ＯＵＴへ出力する信号を切り換える。

なお、制御装置４００は、３人力ＡＮＤ回路４０１と、
２人力ＮＡＮＤ回路４０２．４０３　。

４０４と、２人力ＡＮＤ回路４０５．４０６　。

４０７と、２人力ＯＲ回路４０８と、３人力ＮＯＲ回路
４０９とから構成されている。そして、不一致横巾装置
３０１の出力信号３１１は、３人力ＡＮＤ回路４０１と
２人力ＮＡＮＤ回路４０２゜４０４と２人力ＡＮＤ回路
４０６と３人力ＮＯＲ回路４０９とに入力される。同様
に不一致横巾装置３０２の出力信号３２２は、３人カＡ
ＮＤ回路４０１と２人力ＮＡＮＤ回路４０２，４０３と
２人力ＡＮＤ回路４０７と３人力ＮＯＲ回路４０９とに
入力される。同様に不一致横巾装置３０３の出力信号３
３３は、３人力ＡＮＤ回路４０１と２人力ＮＡＮＤ回路
４０３．４０４と２人カＡＮＤ回路４０５と３人力ＮＯ
Ｒ回路４０９とに入力される。また、２人力ＮＡＮＤ回
路４０２の出力信号は、２人力ＡＮＤ回路４０７へ入力
され、２人力ＮＡＮＤ回路４０３（７）出方信号は、２
人カＡＮＤ回路４０５へ入力され、２人力ＮＡＮＤ回路
４０４の出力信号は、２人力ＡＮＤ回路４０６へ入力さ
れる。そして、３人力ＡＮＤ回路４０１の出方信号およ
び２人力ＡＮＤ回路４０７の出方信号は、それぞれ２人
力ＯＲ回路４０８へ入力される。そして、２人力ＡＮＤ
回路４０５，４０６の出方信号と２人力ＯＲ回路４０８
の出方信号および３人力ＮＯＲ回路４０９の出力信号は
、それぞれ制御信号４２０，４２２，４２４，４２６と
して切換装置５００へ出力される。

また、切換装置５００は、制御装置４００の出力する制
御信号４２０．４２２．４２４．４２６によりそれぞれ
オンオフするスイッチング素子５０１．５０２．５０３
．５０４から構成されている。そして各スイッチング素
子５０１，５０２゜５０３．５０４の一端は３重化シス
テムの出方端子ＯＵＴ　Ｋ接続され、スイッチング素子
５０１の他の一端はモジュール１０１の出カ忙接続され
、スイッチング素子５０２の他の一端はモジュール１０
２の出力に接続され、スイッチング素子５０３の他の一
端はモジュール１０３の出方に接続され、スイッチング
素子５０４の他の一端は多数決装置２００の出力に接続
されている。

次に１この３重化システムの動作を第１図および第２図
に基づいて説明する。第２図は、第１図に示した制御装
置４００の真理値表およびスイッチング素子５０１．５
０２．５０３．５０４の状態を示している。

（２−ａ）３重化システム全体が正常な場合の動作：モ
ジュール１０１，１０２，１０３および多ａ決装置２０
０が正常に動作していると、各モジュール１０１．１０
２，１０３の出力信号および多数決装置２００の出方す
る多数決信号がすべて一致し、不一致検出回路３０１，
３０２，３０３の出力信号３１１．３２２，３３３は“
０′″となる。

その結果、第２図の（２−ａ）に示したように制御装置
４００は、モジュール１０１，１０２，１０３および多
数決装置２００が正常に動作していると判断し、制御信
号４２０，４２２，４２４を“ｏ−。

制御信号４２６を“１′″として出方する。この制御信
号４２０，４２２，４２４，４２６によって、スイッチ
ング素子５０４がオンして多数決装置２００の出力する
多数決信号が出力端子ＯＵＴへ出力される。

（２−ｂ　）モジュールの故障検出動作：例えばモジュ
ール１０１，１０２の出力信号と多数決装置２００の出
力する多数決信号が一致し、モジュール１０３の出力信
号と多数決装置２００の出力する多数決信号が一致しな
い場合、不一致検出回路３０１．３０２の出力信号３１
１，３２２は“Ｏ′″となり、不一致検出回路３０３の
出力信号３３３は“１″″となる。その結果、第２図の
（２−ｂ）に示したように制御装置４００は、制御信号
４２２゜４２４．４２６を“０′″、制御信号４２０を
ｌ″″として出力する。この制御信号４２０，４２２゜
４２４．４２６によって、スイッチング素子５０１がオ
ンしてモジュール１０１の出力信号が出力端子ＯＵＴへ
出力され、シンプレックス・モードで動作する。

（２＝ｃ）多数決装置の故障検出動作　：例えばモジュ
ール１０１．１０２，１０３の出力信号と多数決装置２
００の出力する多数決信号がすべて一致しない場合、不
一致検出回路３０１，３０２゜３０３の出力信号３１１
．３２２，３３３はすべてｌ″″となる。その結果、第
２図の（２−ｃ）に示したように制御装置４００は、多
数決装置２００が故障したと判断し、制御信号４２０，
４２２゜４２６を“０′″、制御信号４２４を“１″″
として出力する。この制御信号４２０，４２２，４２４
゜４２６によって、スイッチング素子５０３がオンして
モジュール１０３の出力信号が出力端子ＯＵＴへ出力さ
れ、シンプレックス・モードで動作する。

以上に示したような動作は、前記（１−ａ）〜（１−ｃ
）に示したよ５に、従来の３重化システムにおいても同
様の動作が行われていたが、以下に示す動作は、この発
明に特有の動作である。

（２−ｄ）モジュールと多数決装置が両方故障した場合
の検出動作：例えばモジュール１０１の出力信号と多数
決装置２００の出力する多数決信号が一致し、モジュー
ル１０２，１０３の出力信号と多数決横巾装置２００の
出力する多数決信号が一致しない場合、不一致検出横巾
装置３０１の出力信号３１１は“０゛となり、不一致検
出横巾装置３０２．３０３の出力信号３２２．３３３は
“ｌ゛となる。このように出力信号３１１，３２２゜３
３３が、上記の如き状態となる場合には、以下に示すよ
うな３つのモードがある。

■モジュール１０２，１０３が同時に故障した場合 ■モジュール１０１と多数決装置２００が同時に故障す
る場合 ■多数決装置２００が故障した後に、モジュール１０１
が故障する場合 以上のようなモードである。ここで、この■〜■の３つ
のモードについて故障発生の確率に付いて考えてみる。

まず、■および■のモードの場合、２つの装置が同時に
故障したように見えても、各装置の処理時間で見ると故
障発生時間にずれがあって、まったく同時に故障の発生
する確率は非常に小さ（、■および■のモードの故障が
発生することはないと仮定することができる。

これに対して、■のモードの場合、多数決装置２００が
前記の如き故障（（２−ｃ）に示した方法で検出不能で
ある故障〕を起こした後に、モジュール１０１が故障を
起こした場合に発生する。■のモードの故障が発生する
確率りは、 Ｄ＝ｌ／Ｒｖ・１／Ｒｍ・β・１／３　　−（３−２）
と表すことができる。

以上のことから、不一致横巾装置の二つが同時に不一致
を検出した場合、■のモードの故障が発生したと判断す
ることができる。したがって、不一致検出横巾装置３０
１の出力信号３１１が“０゛となり、かつ不一致検出横
巾装置３０２，３０３の出力信号３２２，３３３が“１
″″となる。すると、第２図の（２−ｄ）　Ｋ示したよ
う九制御装置４００は、モジュール１０１および多数決
装置２０００両方が故障したと判断し、制御信号４２０
，４２２゜４２６を“０″、制御信号４２４を１１１１
″とじて出力する。この制御信号４２０，４２２，４２
４゜４２６により、スイッチング素子５０３がオンして
モジュール１０３の出力信号が出力端子ＯＵＴへ出力さ
れ、シンプレックス・モードで動作する。

また、多数決装置２００が（２−ｃ）に示した方法で検
出不能である故障を起こした場合でも、多数決信号に影
響を与えていないモジュール１０３が故障を起こすと、
（２−ｂ）＆Ｃ示した方法でモジュール１０３に故障が
発生したと判断し、モジュール１０１の出力信号が出力
端子ＯＵＴへ出力され、シンプレックス・モードで動作
する。

〔発明の効果〕

以上、具体的な実施例に基づいて説明してきたように、
３重化システムの制御装置が、第１および第２不一致横
巾装置が不一致を検出したことを示す出力信号を出力し
て第３不一致横巾装置が不一致を検出しなかったことを
示す出力信号を出力した場合に第３不一致横巾装置に接
続している第３機能装置および多数決装置の両方が故障
したと判断して制御信号を出力する構成としたことによ
り、例えば多数決装置が、第３機能装置の出力信号をそ
のまま出力するような故障を起こしており、これに続い
て第３機能装置が、故障を起こした場合においても、こ
のような故障に対応し、３重化システムの切換装置は、
出力端子への出力を第１機能装置の出力信号に切り換え
て、シンプレックス・モードで動作させることにより３
重化システムに障害が発生することを防ぐことが可能と
なり、３重化システムの信頼性を更に向上させることが
できる。

【図面の簡単な説明】

第１図は、この発明の１実施例を示す３重化システムの
構成図、 第２図は、制御装置および切換装置の動作を示す図、 第３図は、従来図である。 １０１．１０２，１０３・・・モジュール、２００・・
・多数決装置、３０１，３０２，３０３・・・不一致横
巾装置、４００・・・制御装置、４０１・・・３人力Ａ
ＮＤ回路、４０２，４０３．４０４・・・２人力ＮＡＮ
Ｄ回路、４０５　、４０６　、４０７−２人力ＡＮＤ回
路、４０８−２人力ＯＲ回路、４０９−・・３人力ＮＯ
Ｒ回路、４２０，４２２，４２４゜４２６・・・制御信
号、５００・・・切換装置、５０１５０２．５０３．５
０４・・・スイッチング素子特許出願人　　日産自動車
株式会社

Claims (1)

1. 【特許請求の範囲】 同一の機能を持つ第１、第２および第３機能装置と、該
   第１、第２および第３機能装置がそれぞれ出力する出力
   信号の多数決をとつた結果に基づく多数決信号を出力す
   る多数決装置と、該多数決信号と前記第１、第２および
   第３機能装置の各出力信号とがそれぞれ一致しているか
   否かを検出する第１、第２および第３不一致検出装置と
   、該第１、第２または第３不一致検出装置の出力信号を
   監視して前記第１、第２および第３機能装置と前記多数
   決装置のどの装置に故障が発生したかを判断して制御信
   号を出力する制御装置と、前記第１、第２および第３機
   能装置の出力信号または前記多数決信号のどの信号を出
   力端子へ出力するのかを前記制御信号によつて切り換え
   る切換装置とを具備し、 前記制御装置は、前記第１および第２不一致検出装置が
   不一致を検出したことを示す出力信号を出力し、前記第
   ２不一致検出装置が不一致を検出しなかつたことを示す
   出力信号を出力した場合、前記第３不一致横巾装置に接
   続されている前記第３機能装置および前記多数決装置の
   両方が故障したと判断して制御信号を出力し、該制御信
   号によつて前記第２機能装置の出力信号を出力端子へ出
   力するように切り換えることを特徴とする３重化システ
   ム。