JP7646366B2 - 負荷駆動システム - Google Patents

Description

本開示は、負荷駆動システムに関する。

特許文献１に開示されているように、車載通信ネットワークのサイバーセキュリティに関する技術がある。

特開２０１９－１１５０６７号公報

ところで、従来技術ではないが、負荷駆動システムでは、負荷制御装置から負荷駆動装置に対して、通信バスを介して負荷の駆動状態を指示する構成が考えられる。この場合、負荷駆動システムは、サイバー攻撃などをうけて、負荷駆動装置に対する指示が改ざんされる可能性がある。これを防ぐために、負荷駆動システムは、負荷制御装置から負荷駆動装置への通信で暗号化などを行うことが考えられる。しかしながら、負荷駆動システムは、暗号化を行うことで、負荷制御装置と負荷駆動装置の処理負荷が増えるという課題がある。

開示される目的は、負荷制御装置から負荷駆動装置への指示の確かさを確認でき、処理負荷が増えることを抑制できる負荷駆動システムを提供することである。

ここに開示された負荷駆動システムは、
負荷制御装置（２００）と、負荷駆動装置（１００）と、負荷制御装置と負荷駆動装置とが接続された通信バス（Ｂ１）と、負荷制御装置と負荷駆動装置とを接続する通信バスとは異なる信号線（Ｌ３）とを備え、負荷を駆動する負荷駆動システムであって、
負荷制御装置は、負荷の駆動状態を指示する駆動情報を含む複数のメッセージを、通信バスを介して負荷駆動装置に送信する送信部（Ｓ１２）を備え、
負荷駆動装置は、
通信バスを介してメッセージを受信し、受信したメッセージを受信用のメッセージボックスに格納し、メッセージボックスから駆動情報を含む駆動指示メッセージを抜き出し、
駆動指示メッセージを負荷駆動信号に変換するものであり、
負荷駆動信号に基づいて負荷を駆動する駆動部（Ｓ３５）と、
信号線を介して負荷制御装置に負荷駆動信号を通知する通知部（Ｓ３４）と、を備え、
負荷制御装置は、
信号線を介して負荷駆動信号を取得する取得部（Ｓ１３）と、
送信部から送信した駆動指示メッセージと、取得部で取得した負荷駆動信号とを比較する比較部（Ｓ１４）と、
送信部から送信した駆動指示メッセージと、取得部で取得した負荷駆動信号とが所定の対応関係を満たさない場合に取得部で負荷駆動信号を取得した回数をカウントし、カウントしたカウント数が所定回数を超えると、取得部で取得した負荷駆動信号が異常であり、負荷駆動装置が負荷を異常に駆動する状態であると判定する異常判定部（Ｓ１７～Ｓ１９）と、を備えている。

このように、負荷駆動システムは、負荷制御装置から送信されたメッセージを受信し、受信したメッセージにおける駆動指示メッセージを負荷駆動信号に変換して、負荷駆動信号に基づいて負荷を駆動する負荷駆動装置を備えている。そして、負荷駆動装置は、負荷駆動信号を、通信バスとは異なる信号線を介して負荷制御装置に通知する。このため、負荷制御装置は、負荷駆動装置に対する指示の確かさを確認できる。また、負荷駆動システムは、通信バスとは異なる信号線を介して負荷制御装置に通知するため、通信バスがサイバー攻撃を受けていた場合であっても、適切に、駆動情報を負荷制御装置に通知できる。さらに、負荷駆動システムは、負荷制御装置から負荷駆動装置に対する指示の確かさを確認できるため、暗号化などを行う必要がない。よって、負荷駆動システムは、負荷制御装置と負荷駆動装置の処理負荷が増えることを抑制できる。

この明細書において開示された複数の態様は、それぞれの目的を達成するために、互いに異なる技術的手段を採用する。請求の範囲およびこの項に記載した括弧内の符号は、後述する実施形態の部分との対応関係を例示的に示すものであって、技術的範囲を限定することを意図するものではない。この明細書に開示される目的、特徴、および効果は、後続の詳細な説明、および添付の図面を参照することによってより明確になる。

第１実施形態における駆動装置の概略構成を示す回路図である。

第１実施形態における駆動ＩＣ部分の概略構成を示す回路部である。

第１実施形態における制御レジスタの概略構成を示すイメージ図である。

第１実施形態におけるシーケンス回路の動作を示すブロックである。

第１実施形態における制御パターン（更新値）のセット動作を示すイメージ図である。

第１実施形態における制御パターン（前回値）のセット動作を示すイメージ図である。

第１実施形態における通電パターンのセット動作を示すイメージ図である。

第１実施形態における遷移禁止パターンのセット動作を示すイメージ図である。

第１実施形態における通電パターンの概略構成を示すイメージ図である。

第１実施形態における遷移禁止パターンの概略構成を示すイメージ図である。

第１実施形態におけるモニタレジスタの概略構成を示すイメージ図である。

第１実施形態におけるＥＣＵの動作を示すフローチャートである。

第１実施形態における通信データ受信時の駆動装置の動作を示すフローチャートである。

第１実施形態における負荷駆動信号通知時の駆動装置の動作を示すフローチャートである。

第１実施形態における駆動装置の動作を示すフローチャートである。

変形例１における遷移禁止パターンを示すイメージ図である。

変形例２における遷移禁止パターンを示すイメージ図である。

第２実施形態における駆動装置の動作を示すフローチャートである。

第３実施形態における駆動装置の動作を示すフローチャートである。

第４実施形態における駆動装置の動作を示すフローチャートである。

第５実施形態における駆動装置の動作を示すフローチャートである。

第６実施形態における駆動装置の動作を示すフローチャートである。

第７実施形態における駆動装置の動作を示すフローチャートである。

第８実施形態における駆動装置の動作を示すフローチャートである。

第９実施形態における駆動装置の概略構成を示す回路図である。

第９実施形態における駆動装置の動作を示すフローチャートである。

第９実施形態におけるＥＣＵの動作を示すフローチャートである。

第１０実施形態における駆動装置の概略構成を示す回路図である。

以下において、図面を参照しながら、本開示を実施するための複数の形態を説明する。各形態において、先行する形態で説明した事項に対応する部分には同一の参照符号を付して重複する説明を省略する場合がある。各形態において、構成の一部のみを説明している場合は、構成の他の部分については先行して説明した他の形態を参照し適用することができる。

（第１実施形態）
図１～図１５を用いて、本実施形態の駆動装置１００、ＥＣＵ２００、および負荷駆動システム１０００に関して説明する。負荷駆動システム１０００は、例えば車両に搭載された負荷を駆動する回路に適用可能である。以下では、車両の自動変速機に適用される例について説明する。しかしながら、本開示は、これに限定されない。

＜自動変速機＞
自動変速機の概略構成について説明する。自動変速機は、例えば、バルブボディ、変速機構、オイルポンプ、パーキングロック機構などを備えている。変速機構は、例えばクラッチやブレーキ等からなる複数の摩擦要素を有している。変速機構は、各摩擦要素を選択的に係合することで、変速比を段階的に変更可能である。

バルブボディ内には、変速機構に供給される作動油の圧力を調節する油圧回路が形成されている。バルブボディは、オイルポンプから圧送された作動油を調圧して摩擦要素に供給する複数のソレノイドバルブを有している。ソレノイドバルブは、ソレノイドを有している。ソレノイドは、コイルと称されることがある。ソレノイドへの通電を制御することで、作動油が調節される。

ソレノイドバルブは、負荷に相当する。また、本実施形態では、後ほど説明する複数のアクチュエータ４０１～４０ｎとしてソレノイドバルブを採用している。よって、負荷への通電状態は、ソレノイドバルブ（ソレノイド）への通電状態と同意である。なお、ソレノイドバルブは、リニアソレノイドバルブを採用できる。また、アクチュエータ４０１～４０ｎは、特に区別する必要がない場合、アクチュエータ４０ｎとも記載する。

パーキングロック機構は、パーキングレンジが選択されると、自動変速機の出力軸（車軸）の回転をロックするパーキングロックを行う。パーキングロックの状態からパーキングレンジ以外のシフトレンジが選択されると、パーキングロック機構は、パーキングロックを解除する。これにより、出力軸がアンロックされる。しかしながら、自動変速機は、上記構成に限定されない。

＜負荷駆動システム＞
図１に示すように、負荷駆動システム１０００は、駆動装置１００と、ＥＣＵ２００と、通信バスＢ１と、第３信号線Ｌ３を、少なくとも備えている。本実施形態では、一例として、通信バスＢ１とは異なる第１信号線Ｌ１と第２信号線Ｌ２を備えた負荷駆動システム１０００を採用している。

負荷駆動システム１０００は、複数のアクチュエータ４０ｎの駆動を制御する。負荷駆動システム１０００のうち、駆動装置１００は、バルブボディ上に配置されている。つまり、駆動装置１００は、自動変速機と機電一体構造をなしている。ＥＣＵ２００は、自動変速機とは機械的に分離されている。なお、バルブボディを含む自動変速機に関しても負荷とみなすこともできる。図１では、アクチュエータ４０１～４０ｎの通電経路を簡素化している。

なお、ｎは、２以上の自然数である。本実施形態では、一例として、ｎ＝８を採用している。よって、本実施形態では、第１アクチュエータ４０１～第８アクチュエータ４０８を通電駆動する例を採用している。また、本実施形態では、第１アクチュエータ４０１～第８アクチュエータ４０８の駆動を制御することで、自動変速機を１速～５速、Ｐレンジ、Ｒレンジ、Ｎレンジの間で切り替える例を採用している。

しかしながら、本開示は、これらに限定されない。本開示は、複数のアクチュエータ４０ｎの駆動を制御することで、自動変速機の変速を１速～５速の間で切り替えるものであっても採用できる。また、本開示は、例えば、複数のアクチュエータ４０ｎの駆動を制御することで、自動変速機をＰレンジ、Ｒレンジ、Ｎレンジ、Ｄレンジの間で切り替えるものであっても採用できる。さらに、アクチュエータ４０ｎとしては、オンオフソレノイドバルブであっても採用できる。

また、負荷駆動システム１０００は、複数の駆動スイッチ３０１～３０ｎを制御することで、複数のアクチュエータ４０ｎの駆動を制御する。各駆動スイッチ３０１～３０ｎは、各アクチュエータ４０ｎの通電経路に個別に設けられている。よって、本実施形態では、一例として、第１駆動スイッチ３０１～第８駆動スイッチ３０８が設けられている例を採用する。駆動スイッチ３０１～３０８は、それぞれを特に区別する必要がない場合、駆動スイッチ３０ｎとも称する。駆動スイッチ３０ｎは、後ほど説明する駆動ＩＣ２０に含まれていてもよい。

駆動スイッチ３０ｎのオンにより、対応するアクチュエータ４０ｎに対して電流の供給がされる。駆動スイッチ３０ｎのオフにより、対応するアクチュエータ４０ｎに対する電流の供給が遮断される。言い換えると、各アクチュエータ４０ｎは、対応する駆動スイッチ３０ｎがオンすることで通電される。また、各アクチュエータ４０ｎは、対応する駆動スイッチ３０ｎがオフすることで非通電とされる。

図１、図２に示すように、負荷駆動システム１０００は、給電スイッチ５００（ＰＳＣ）を備えている。また、負荷駆動システム１０００は、各種センサを備えていてもよい。しかしながら、負荷駆動システム１０００は、給電スイッチ５００およびセンサを備えず、給電スイッチ５００およびセンサが負荷駆動システム１０００の外に配置された構成としてもよい。

給電スイッチ５００は、アクチュエータ４０ｎの通電経路に設けられている。複数のアクチュエータ４０ｎに対して、単一（共通）の給電スイッチ５００が設けられている。給電スイッチ５００のオンにより、各アクチュエータ４０ｎに対して電流の供給が可能となる。給電スイッチ５００のオフにより、各アクチュエータ４０ｎに対する電流の供給が遮断される。

給電スイッチ５００は、複数のアクチュエータ４０ｎに対して、ハイサイド側、すなわち電源側に配置されてもよいし、ローサイド側、すなわちグランド（ＧＮＤ）側に配置されてもよい。本実施形態の給電スイッチ５００は、ハイサイド側に配置されている。なお、給電スイッチ５００は、例えばＭＯＳＦＥＴなどの半導体スイッチを採用できる。また、給電スイッチ５００は、駆動装置１００に設けられている。

センサは、負荷の状態を示す信号（電気信号）を出力する。センサは、バルブボディを含む自動変速機の状態を検出するともいえる。本実施形態では、センサの一例として、回転センサ６００（ＲＳ）を備えている例を採用している。回転センサ６００は、例えば自動変速機の入力側の回転数を示す信号を出力するセンサと、出力側の回転数を示す信号を出力するセンサを含む。

ＥＣＵ２００および駆動装置１００は、共通の通信バスＢ１に接続されている。通信バスＢ１には、ＥＣＵ２００および駆動装置１００とは別の図示しない装置が接続されてもよい。本実施形態において、ＥＣＵ２００および駆動装置１００は、ＣＡＮプロトコルに準拠した車載ネットワークの通信バスＢ１を介して、相互に通信可能に構成されている。言い換えると、ＥＣＵ２００および駆動装置１００は、通信バスＢ１を介して、二線式差動方式によるデータの相互通信を行う。通信バスＢ１は、ＣＡＮバスと称されることがある。ＣＡＮは、Controller Area Networkの略称である。ＣＡＮは、登録商標である。

このように、ＥＣＵ２００と駆動装置１００は、通信バスＢ１としてＣＡＮバスを介して相互に通信を行う。このため、ＥＣＵ２００と駆動装置１００は、実質的に一本の線で複数のデータを送受信できる。つまり、ＥＣＵ２００と駆動装置１００は、三本以上の銅線を必要とするＳＰＩ通信などとは異なる方式で通信を行うものである。

本実施形態の負荷駆動システム１０００において、ＥＣＵ２００および駆動装置１００が送信するメッセージは、メッセージの重要度や種別などに応じて、予め優先順位が定められている。そして、各メッセージの送信に際しては、まず、各メッセージの優先順位を示す優先順位情報（ＩＤコード）が送信される。このとき、複数のメッセージの優先順位情報の送信が競合した場合には、それぞれの優先順位情報の調停が行われ、より高い優先順位を持つ優先順位情報が送信権を獲得するようになっている。

また、ＥＣＵ２００と駆動装置１００は、第１信号線Ｌ１と第２信号線Ｌ２と第３信号線で接続されている。各信号線Ｌ１～Ｌ３は、ＣＡＮバスとは異なり、上記メッセージを送受信するものではない。各信号線Ｌ１～Ｌ３は、ＳＰＩ通信で用いられる銅線や、パラレル変換を行わないシリアル通信で用いられる銅線などである。よって、ＥＣＵ２００と駆動装置１００は、後ほど説明するＣＡＮトランシーバ２０３などを介することなく、信号の送受信ができる。

ＥＣＵ２００と駆動装置１００は、各信号線Ｌ１～Ｌ３を介してＳＰＩ通信を行う場合、シリアルデータを送受信し、受信したシリアルデータをパラレルデータに変換することで信号を取得する。また、ＥＣＵ２００と駆動装置１００は、各信号線Ｌ１～Ｌ３を介してパラレル変換を行わないシリアル通信を行う場合、各信号線Ｌ１～Ｌ３が接続された端子のレベルを検出することで信号を取得する。

第１信号線Ｌ１は、ＥＣＵ２００と給電回路７０（ＰＳＣ）とを接続している。第２信号線Ｌ２は、ＥＣＵ２００と第１比較器４０（１ＣＭＰ）とを接続している。第３信号線Ｌ３は、ＥＣＵ２００とＣＡＮコントローラ２（ＣＴＲ）とを接続している。

＜ＥＣＵ＞
ＥＣＵ２００は、負荷制御装置に相当する。つまり、ＥＣＵ２００は、駆動装置１００の外部に設けられた制御装置である。ＥＣＵ２００は、第１マイコン２０１（ＭＣ）と、第２マイコン２０２（ＭＣ）を備えている。また、ＥＣＵ２００は、通信バスＢ１を介した通信を行うためのＣＡＮトランシーバ２０３（ＴＲＣ）を備えている。

第１マイコン２０１は、ＣＰＵ２０１１、ＣＡＮコントローラ２０１２、ＲＯＭ、ＲＡＭ、レジスタなどを備えたマイクロコンピュータである。第１マイコン２０１において、ＣＰＵ２０１１が、ＲＡＭやレジスタの一時記憶機能を利用しつつ、ＲＯＭに予め記憶された制御プログラムにしたがって各種制御を実行する。ＣＰＵ２０１１は、ＥＣＵ２００外から取得したデータ、例えばセンサの検出信号を用いて制御を実行する。本実施形態のＣＰＵ２０１１は、各アクチュエータ４０ｎ、ひいては自動変速機の制御を実行する。

ＣＰＵ２０１１は、自動変速機の変速段を設定する。ＣＰＵ２０１１は、駆動装置１００に対して変速段を指示する。ＣＰＵ２０１１は、変速段を示す負荷駆動信号を示すデータ出力することで、駆動装置１００に対して変速段を指示する。負荷駆動信号を示すデータは、負荷の駆動状態を指示する情報である。負荷駆動信号を示すデータは、駆動情報に相当する。以下、負荷駆動信号を示すデータを含むメッセージを駆動指示メッセージと称する。

駆動指示メッセージは、各アクチュエータ４０ｎへの通電状態（駆動状態）を指示する信号（値）を含んでいる。つまり、駆動指示メッセージは、各アクチュエータ４０ｎに個別に対応した通電状態を指示する信号を含んでいるともいえる。また、駆動指示メッセージは、各アクチュエータ４０ｎの駆動状態を指示する信号を含んでいるともいえる。

なお、ＣＰＵ２０１１は、所定の演算を実行して目標電流値を設定してもよい。目標電流値は、各アクチュエータ４０ｎを目標状態にするために、各アクチュエータ４０１～４０ｎに流すべき電流値である。第１マイコン２０１は、自動変速機の状態を取得し、各アクチュエータ４０ｎの出力油圧の必要値である目標油圧を算出する。第１マイコン２０１は、例えば自動変速機の入力側の回転数と出力側の回転数に基づいて、目標油圧を算出する。第１マイコン２０１は、算出した目標油圧に基づいて目標電流値を設定する。目標油圧と目標電流値との関係は、例えばマップや関数として予め定められている。ＥＣＵ２００は、駆動装置１００に対して目標電流値を指示する。

ＣＰＵ２０１１は、自動変速機の状態に基づいて、デューティ比を設定してもよい。第１マイコン２０１は、変速初期におけるオーバーシュートや、電流リプルなどの電流変動を抑制するために、デューティ比を設定する。デューティ比は、後述する駆動スイッチ３０ｎのゲートに出力するＰＷＭ信号のデューティ比である。

第１マイコン２０１は、例えば油圧回路の作動油の圧力、作動油の温度、各アクチュエータ４０ｎに流れる実電流値の少なくとも一つに基づいて、デューティ比を設定する。ＥＣＵ２００は、駆動装置１００に対してデューティ比を指示する。ＥＣＵ２００は、ＥＣＵ２００の電源が投入されている期間においてデューティ比を指示してもよいし、変速初期など、一時的な期間のみにおいてデューティ比を指示してもよい。

ＣＰＵ２０１１は、自動変速機の状態に基づいて、異常が生じているか否かを判定する。第１マイコン２０１は、例えば作動油の圧力と油圧閾値とを比較し、異常が生じているか否かを判定する。第１マイコン２０１は、例えば作動油の温度と温度閾値とを比較し、異常が生じているか否かを判定する。

異常が生じていると判定すると、ＥＣＵ２００は、すべてのアクチュエータ４０ｎへの通電を所定の異常処置状態とするために、駆動装置１００に対して緊急指示を出力する。本実施形態のＥＣＵ２００は、緊急指示として、すべてのアクチュエータ４０ｎへの通電を遮断するために、駆動装置１００に対して緊急遮断指示を出力する。なお、ＣＰＵ２０１１は、駆動装置１００から異常信号が入力された場合も緊急遮断指示を出力してもよい。この場合、ＣＰＵ２０１１は、例えば第１信号線Ｌ１を介して異常信号が入力される。

ところで、後ほど説明するが、駆動装置１００から異常信号が入力された場合、通信バスＢ１は、外部から攻撃されている可能性がある。つまり、通信バスＢ１を介して緊急遮断指示を送信した場合、緊急遮断指示は、改ざんされる可能性がある。このため、ＣＰＵ２０１１は、ＣＡＮトランシーバ２０３を介して緊急遮断指示を送信したとしても、駆動装置１００が緊急遮断指示を受信できないことが起こりうる。

そこで、ＣＰＵ２０１１は、ＣＡＮトランシーバ２０３を介さずに、第１信号線Ｌ１を介して緊急遮断指示を出力すると好ましい。これによって、ＣＰＵ２０１１は、駆動装置１００に対して、確実に緊急遮断指示を出力できる。

第１マイコン２０１は、通信バスＢ１を介したメッセージの送受信のために、ＣＡＮコントローラ２０１２を内蔵している。ＣＡＮコントローラ２０１２は、ＣＡＮプロトコルにしたがった通信制御を実行する。ＣＡＮコントローラ２０１２は、例えば、送信制御、受信制御、および調停制御を実行する。

ＣＡＮトランシーバ２０３は、ＣＡＮコントローラ２０１２に電気的に接続されるとともに、通信バスＢ１にも電気的に接続されている。ＣＡＮトランシーバ２０３は、通信バスＢ１とＣＡＮコントローラ２０１２との間の電気的特性を相互変換することにより、通信バスＢ１とＣＡＮコントローラ２０１２との間を双方向へメッセージを伝達可能にしている。例えば、通信バスＢ１のバスレベルの信号をＣＡＮコントローラ２０１２が取り扱い可能なデジタル信号に変換することで、ドミナントとレセシブとを認識できるようにする。つまり、ＣＡＮコントローラ２０１２は、ＣＡＮトランシーバ２０３を介して通信バスＢ１に接続されることで通信バスＢ１との間でのメッセージの送受信が可能になっている。

ＣＡＮコントローラ２０１２は、メッセージを格納するメッセージボックスを有している。ＣＡＮコントローラ２０１２は、送信用のメッセージボックスと、受信用のメッセージボックスを有している。ＣＡＮコントローラ２０１２は、通信インターフェースを介して取得した送信用のメッセージを、メッセージボックスに順次格納する。ＣＡＮコントローラ２０１２は、格納されたメッセージを、ＩＤコードの優先順位に応じて送信処理する。ＣＡＮコントローラ２０１２は、メッセージボックスに格納されたメッセージに基づいてフレームを生成し、ＣＡＮトランシーバ２０３を介して通信バスＢ１に送信する。

ＣＰＵ２０１１は、例えば、駆動指示メッセージをＣＡＮコントローラ２０１２の送信用メッセージボックスに格納する。この場合、ＣＡＮコントローラ２０１２は、駆動指示メッセージを含むフレームを生成して、ＣＡＮトランシーバ２０３を介して通信バスＢ１に送信する。なお、ＣＡＮコントローラ２０１２は、データフィールドに駆動指示メッセージを含むフレームを生成することになる。このように、駆動指示メッセージは、フレームのデータフィールドに配置されて送信される。よって、駆動指示メッセージは、ＣＡＮメッセージデータの一つである。

ＣＡＮコントローラ２０１２は、ＣＡＮトランシーバ２０３を介して通信バスＢ１からフレームを受信してメッセージ等を抽出し、メッセージボックスに順次格納する。ＣＡＮコントローラ２０１２は、ＩＤコードの優先順位にしたがって受信したメッセージを送信対象に出力する。ＣＡＮコントローラ２０１２は、通信バスＢ１上でフレームが衝突した際の送信権の調停（ビット単位非破壊アービトレーション）を行う。ＣＡＮコントローラ２０１２は、その他、フレームの送受信に関連して生じるエラーの検出、通知等を行う。ＣＡＮトランシーバ２０３およびＣＡＮコントローラ２０１２は、制御側通信部といえる。

ＥＣＵ２００は、図１に示すように第２マイコン２０２をさらに備えてもよい。第２マイコン２０２は、第１マイコン２０１が正常に動作しているかを監視する。第１マイコン２０１はメインマイコンと称され、第２マイコン２０２は監視マイコンと称されることがある。第２マイコン２０２は、例えば第１マイコン２０１にウォッチドック異常、通信異常、演算機能の異常がないか監視する。第２マイコン２０２は、上記した監視機能に加えて、第１マイコン２０１が実行する制御を補助する機能を有してもよい。第２マイコン２０２は、負荷駆動システム１０００とは別の制御を実行してもよい。第２マイコン２０２についても、図示しないＣＡＮコントローラを内蔵し、通信バスＢ１を介してメッセージを送受信可能な構成としてもよい。

本実施形態では、第１マイコン２０１の監視手段が第２マイコン２０２として構成されており、マイコン２０１、２０２は、それぞれが正常に動作しているか相互に監視する。第１マイコン２０１の監視手段は、第２マイコン２０２に限定されない。第２マイコン２０２に代えて、監視ＩＣを設けてもよい。ＥＣＵ２００が、第２マイコン２０２などの監視手段を備えない構成としてもよい。

＜駆動装置構成＞
駆動装置１００に関して説明する。図２では、便宜上、一つのアクチュエータ４０１に対応する箇所のみを図示している。

駆動装置１００は、負荷駆動装置に相当する。駆動装置１００は、複数のアクチュエータ４０ｎを通電駆動する回路である。また、駆動装置１００は、複数の駆動スイッチ３０ｎを制御することで、複数のアクチュエータ４０ｎを通電駆動する。駆動装置１００は、ＥＣＵ２００と異なり、マイコンを備えていない。つまり、駆動装置１００は、ハードウェアロジックによって、複数のアクチュエータ４０ｎを通電駆動する。

駆動装置１００は、主に、ＣＡＮトランシーバ１、ＣＡＮコントローラ２、制御レジスタ１１を含むＳＰＩ回路１０、駆動ＩＣ２０、第１比較器４０、ＲＯＭ５０を備えている。さらに、駆動装置１００は、シーケンス回路３０、レジスタ部６０、給電回路７０、電流検出抵抗８１、増幅器８２、第２比較器８３、モニタレジスタ８４、波形解析回路９０などを備えている。

ＣＡＮトランシーバ１は、ＣＡＮコントローラ２に電気的に接続されるとともに、通信バスＢ１にも電気的に接続されている。ＣＡＮトランシーバ１は、通信バスＢ１とＣＡＮコントローラ２との間の電気的特性を相互変換することにより、通信バスＢ１とＣＡＮコントローラ２との間を双方向へメッセージを伝達可能にしている。ＣＡＮコントローラ２は、ＣＡＮトランシーバ１を介して通信バスＢ１に接続されることで通信バスＢ１との間でのメッセージの送受信が可能になっている。

ＣＡＮコントローラ２は、メッセージを格納するメッセージボックスを有している。ＣＡＮコントローラ２は、送信用のメッセージボックスと、受信用のメッセージボックスを有している。ＣＡＮコントローラ２は、通信インターフェースを介して取得した送信用のメッセージを、メッセージボックスに順次格納する。ＣＡＮコントローラ２は、格納されたメッセージを、ＩＤコードの優先順位に応じて送信処理する。ＣＡＮコントローラ２は、メッセージボックスに格納されたメッセージに基づいてフレームを生成し、ＣＡＮトランシーバ１を介して通信バスＢ１に送信する。

ＣＡＮコントローラ２は、ＣＡＮトランシーバ１を介して通信バスＢ１からフレームを受信してメッセージボックスに順次格納する。ＣＡＮコントローラ２は、ＩＤコードの優先順位にしたがって受信したメッセージを送信対象に出力する。ＣＡＮコントローラ２は、通信バスＢ１上でフレームが衝突した際の送信権の調停（ビット単位非破壊アービトレーション）を行う。ＣＡＮコントローラ２は、その他、フレームの送受信に関連して生じるエラーの検出、通知等を行う。

詳述すると、ＣＡＮコントローラ２は、例えば、駆動指示メッセージを含むフレームを受信した場合、フレームにおけるデータフィールドのデータを受信用のメッセージボックスに格納する。また、ＣＡＮコントローラ２は、受信用のメッセージボックスからデータを取り出す。そして、ＣＡＮコントローラ２は、取り出したデータから駆動指示メッセージを抽出して、駆動指示メッセージを負荷駆動信号に変換する。負荷駆動信号は、駆動情報、または、駆動情報に相当する信号といえる。

なお、ＣＡＮコントローラ２は、ＳＰＩ通信用のレジスタを有していてもよい。この場合、ＣＡＮコントローラ２は、駆動指示メッセージを、メッセージボックスからレジスタなどに格納してもよい。このように、ＣＡＮコントローラ２は、ＥＣＵ２００から送信された駆動指示メッセージを一時的に記憶する。

ＣＡＮコントローラ２に記憶された負荷駆動信号は、例えば、通電を指示する信号として１、非通電を指示する信号として０を含んでいる。よって、負荷駆動信号は、０と１によって表すことができる。本実施形態では、図３の上段に示すように、一例として８ビットの負荷駆動信号を採用する。しかしながら、本開示は、これに限定されず、複数ビットの負荷駆動信号であれば採用できる。

負荷駆動信号は、複数のアクチュエータ４０ｎの駆動を制御する信号である。このため、ＣＡＮコントローラ２に記憶された負荷駆動信号は、制御パターンといえる。また、ＣＡＮコントローラ２に記憶された制御パターンは、複数のアクチュエータ４０ｎの駆動を制御する今回の制御パターンである。よって、ＣＡＮコントローラ２に記憶された制御パターンは、制御パターンの更新値といえる。

また、制御パターンの更新値は、各アクチュエータ４０ｎの駆動遷移後の駆動状態（次回駆動状態）に対応している。このため、各アクチュエータ４０ｎは、制御パターンが前回値から更新値に切り替わることで駆動状態が遷移する。制御パターンの前回値に関しては、後ほど詳しく説明する。

なお、図３の上段に示すように、本実施形態では、一例として、制御パターンの更新値として１１１００１００（１速）が書き込まれた状態のＣＡＮコントローラ２を採用している。また、制御パターンの更新値は、遷移判定値としての遷移禁止パターン５２と比較される。よって、制御パターンは、比較パターンともいえる。また、遷移禁止パターン５２は、判定用パターンともいえる。

なお、図３の上段における第１ビット２１１は、第１アクチュエータ４０１に対応している。第２ビット２１２は、第２アクチュエータ４０２に対応している。第３ビット２１３は、第３アクチュエータ４０３に対応している。第４ビット２１４は、第４アクチュエータ４０４に対応している。第５ビット２１５は、第５アクチュエータ４０５に対応している。第６ビット２１６は、第６アクチュエータ４０６に対応している。第７ビット２１７は、第７アクチュエータ４０７に対応している。第８ビット２１８は、第８アクチュエータ４０８に対応している。

なお、本実施形態では、ＣＡＮトランシーバ１およびＣＡＮコントローラ２で受信された負荷駆動信号に相関する各アクチュエータ４０ｎの相関駆動状態として、制御パターンの更新値そのものを採用している。相関駆動状態は、駆動遷移後の駆動状態とみなすことができる。よって、相関駆動状態は、次駆動状態ともいえる。

また、ＣＡＮコントローラ２は、制御パターンの更新値をＳＰＩ回路１０に出力する。このとき、ＣＡＮコントローラ２は、制御パターンの更新値が正常な場合に限って、ＳＰＩ回路１０に出力する。つまり、ＣＡＮコントローラ２は、後ほど説明する第１比較器４０から正常信号が出力されると、制御パターンの更新値をＳＰＩ回路１０に出力する。また、ＣＡＮコントローラ２は、第１比較器４０から異常信号が出力されると、制御パターンの今回値をＳＰＩ回路１０に出力することなく破棄する。

ＳＰＩ回路１０（ＳＰＩＣ）は、ＣＡＮコントローラ２、駆動ＩＣ２０、シーケンス回路３０などと接続されている。ＳＰＩ回路１０は、制御レジスタ１１（ＣＲＥＧ）を有している。なお、制御レジスタ１１は、制御用記憶部といえる。ＳＰＩは、Serial Peripheral Interfaceの略称である。

制御レジスタ１１は、ＣＡＮコントローラ２から出力された制御パターンが記憶される。後ほど説明するが、駆動装置１００は、制御レジスタ１１に記憶されている制御パターンに応じて駆動ＩＣ２０が各アクチュエータ４０ｎの駆動を制御する。そして、制御レジスタ１１には、駆動ＩＣ２０が駆動制御に用いた制御パターンが記憶されているといえる。よって、制御レジスタ１１に記憶されている制御パターンは、制御パターンの前回値といえる。つまり、制御パターンの前回値は、各アクチュエータ４０ｎの現在の駆動状態である現駆動状態に対応している。このように、ＳＰＩ回路１０は、制御パターンの前回値を取得する。

なお、図３の下段に示すように、本実施形態では、一例として、制御パターンの前回値として０１１１０１００（４速）が書き込まれた状態の制御レジスタ１１を採用している。制御レジスタ１１は、各アクチュエータ４０ｎに対応したアドレスのビット１１１～１１８を有している。制御レジスタ１１は、負荷駆動信号における各アクチュエータ４０ｎへの駆動状態を指示する信号が、各アドレスのビットに書き込まれる。

図３の下段における第１ビット１１１は、第１アクチュエータ４０１に対応している。第２ビット１１２は、第２アクチュエータ４０２に対応している。第３ビット１１３は、第３アクチュエータ４０３に対応している。第４ビット１１４は、第４アクチュエータ４０４に対応している。第５ビット１１５は、第５アクチュエータ４０５に対応している。第６ビット１１６は、第６アクチュエータ４０６に対応している。第７ビット１１７は、第７アクチュエータ４０７に対応している。第８ビット１１８は、第８アクチュエータ４０８に対応している。

図１、図２に示すように、駆動ＩＣ２０は、複数の駆動スイッチ３０ｎと接続されている。駆動ＩＣ２０は、制御パターンに応じて複数の駆動スイッチ３０ｎを制御する。つまり、駆動ＩＣ２０は、制御レジスタ１１に格納されている制御パターンに応じて、各駆動スイッチ３０ｎを個別にオンオフさせる駆動信号を出力する。また、駆動ＩＣ２０は、制御レジスタ１１に格納されている制御パターンに応じて、複数の駆動スイッチ３０１～３０８を選択的にオンオフする。

なお、図１では、便宜的に、駆動ＩＣ２０を一つのみ図示している。しかしながら、駆動装置１００は、各駆動スイッチ３０ｎのそれぞれと個別に接続された複数の駆動ＩＣ２０を備えている。つまり、駆動装置１００は、駆動スイッチ３０ｎの個数と同数の駆動ＩＣ２０を備えている。

よって、各駆動ＩＣ２０は、制御パターンにおける自身に対応する値に応じて、自身に接続されている駆動スイッチ３０ｎをオンオフする。例えば、第１の駆動ＩＣ２０と第１駆動スイッチ３０１が接続されていた場合、第１の駆動ＩＣ２０は、制御レジスタ１１の第１ビット１１１に格納されている値に応じて、第１駆動スイッチ３０１をオンオフする。

駆動信号としては、ＰＷＭ信号を採用できる。この場合、駆動ＩＣ２０は、ＰＷＭ信号のデューティ比を変えることにより、アクチュエータ４０ｎに流す電流（すなわち、通電電流）を変えることができる。ＰＷＭは、Pulse Width Modulationの略である。

例えば制御パターンが１１１００１００の場合、駆動ＩＣ２０は、第１駆動スイッチ３０１～第３駆動スイッチ３０３、第６駆動スイッチ３０６をオンする。これによって、駆動ＩＣ２０は、第１アクチュエータ４０１～第３アクチュエータ４０３、第６アクチュエータ４０６に通電する。また、このとき、駆動ＩＣ２０は、第４駆動スイッチ３０４、第５駆動スイッチ３０５、第７駆動スイッチ３０７、第８駆動スイッチ３０８をオフする。これによって、駆動ＩＣ２０は、第４アクチュエータ４０４、第５アクチュエータ４０５、第７アクチュエータ４０７、第８アクチュエータ４０８を非通電とする。

図４に示すように、シーケンス回路３０（ＳＱＣ）は、第１データローダ３１と第２データローダ３２と第３データローダ３３と第４データローダ３４と第３比較器４１などを備えている。また、シーケンス回路３０は、複数のスイッチング素子などを備えている。シーケンス回路３０は、クロックに同期して動作する。シーケンス回路３０は、制御パターンの更新値と判定用パターンとを比較するために動作する。

第１データローダ３１は、図５に示すように、ＣＡＮコントローラ２に記憶されている制御パターンの更新値を第１データレジスタ６１に書き込む。つまり、第１データローダ３１は、ＣＡＮコントローラ２における各ビットの信号をコピーして第１データレジスタ６１の各ビットに書き込む。

第２データローダ３２は、図６に示すように、制御レジスタ１１に記憶されている制御パターンの前回値を第２データレジスタ６２に書き込む。つまり、第２データローダ３２は、制御レジスタ１１における各ビットの信号をコピーして第２データレジスタ６２の各ビットに書き込む。

第３データローダ３３は、図７に示すように、ＲＯＭ５０の記憶されている複数の通電パターン５１を順番に第３データレジスタ６３に書き込む。つまり、第３データローダ３３は、通電パターン５１における各ビットの信号をコピーして第３データレジスタ６３の各ビットに書き込む。なお、通電パターン５１に関しては、後ほど詳しく説明する。

第３比較器４１は、第２データレジスタ６２にセットされた制御パターンと、第３データレジスタ６３にセットされた通電パターン５１とを順番に比較する。第３比較器４１は、複数の通電パターン５１から制御パターンの前回値に一致する通電パターン５１を選択する。これは、制御パターンの前回値に対応する遷移禁止パターン５２を選択するためである。第３比較器４１は、制御パターンの前回値に一致する通電パターン５１を示す信号を出力する。

なお、第３比較器４１は、制御パターンの前回値が４速を示す制御パターンであることを検出するともいえる。また、第３比較器４１は、制御パターンの前回値が示す駆動状態から、制御パターンの更新値が示す駆動状態への駆動遷移を判定するともいえる。

第４データローダ３４は、図８に示すように、ＲＯＭ５０に記憶されている遷移禁止パターン５２を第４データレジスタ６４に書き込む。第４データローダ３４は、第３比較器４１から出力された信号に対応する遷移禁止パターン５２を第４データレジスタ６４に書き込む。遷移禁止パターン５２が複数ある場合、第４データローダ３４は、遷移禁止パターン５２を順番に第４データレジスタ６４に書き込む。つまり、第４データローダ３４は、遷移禁止パターン５２における各ビットの信号をコピーして第４データレジスタ６４の各ビットに書き込む。このように、第４データローダ３４は、制御パターンに関連付けられた遷移禁止パターン５２をＲＯＭ５０から取得する。

本実施形態では、判定用パターンとして遷移禁止パターン５２を採用している。なお、遷移禁止パターン５２は、遷移判定値および禁止判定値といえる。遷移禁止パターン５２に関しては、後ほど詳しく説明する。

第１比較器４０（１ＣＭＰ）は、オペアンプなどによって構成されている。第１比較器４０は、遷移禁止パターン５２と、制御パターンの更新値とを比較する。第１比較器４０は、遷移禁止パターン５２の各信号と制御パターンの更新値における各信号を順番に比較する。第１比較器４０は、遷移禁止パターン５２と制御パターンの更新値とを比較して、遷移禁止パターン５２と制御パターンの更新値とが所定の対応関係を満たしているか否かを判定する。そして、第１比較器４０は、所定の対応関係を満たしている場合に制御パターンの更新値が異常と判定する。

このように、本実施形態では、遷移判定値として遷移禁止パターン５２を採用している。よって、第１比較器４０は、遷移禁止パターン５２と制御パターンの更新値とが一致していた場合に、所定の対応関係を満たしていると判定する。また、遷移禁止パターン５２と制御パターンの更新値とが一致している状態は、制御パターンの更新値が遷移禁止パターン５２に含まれるともいえる。一方、第１比較器４０は、遷移禁止パターン５２と制御パターンの更新値とが不一致の場合に、所定の対応関係を満たしていないと判定する。

遷移禁止パターン５２と一致した制御パターンの更新値は、現駆動状態から禁止されている駆動状態への駆動遷移を指示する制御パターンとなる。このため、この制御パターンの更新値は、異常な制御パターンである。ＣＡＮコントローラ２が異常な制御パターンを受信する原因は、メッセージのなりすましなどをあげることができる。つまり、負荷駆動システム１０００は、例えば通信バスＢ１が攻撃されて負荷駆動信号が改ざんされることで、異常な制御パターンが駆動装置１００に送信されてしまう。

一方、遷移禁止パターン５２と一致していない制御パターンの更新値は、現駆動状態から禁止されていない駆動状態への駆動遷移を指示する制御パターンとなる。このため、この制御パターンの更新値は、正常な制御パターンである。

よって、第１比較器４０は、遷移禁止パターン５２と制御パターンの更新値とが一致した場合、制御パターンの更新値が異常と判定する。一方、第１比較器４０は、遷移禁止パターン５２と制御パターンの更新値とが一致しなかった場合、制御パターンの更新値が正常と判定する。

また、第１比較器４０は、一致した場合と不一致の場合とで出力信号が異なる。第１比較器４０は、一致した場合、制御パターンの更新値が異常であることを示す異常信号を出力する。異常信号は、制御パターンの更新値が異常であることを示すとともに、通信バスＢ１を介した通信が異常であること示している。

一方、第１比較器４０は、一致しなかった場合、制御パターンが正常であることを示す正常信号を出力する。異常信号および正常信号は、ＣＡＮコントローラ２、給電回路７０、ＥＣＵ２００などに出力される。正常信号は、制御パターンの更新値が正常であることを示すとともに、通信バスＢ１を介した通信が正常であること示している。

第１比較器４０は、異常信号をＣＡＮコントローラ２に出力することで、制御パターンの更新値が異常であることをＣＡＮコントローラ２に通知する。第１比較器４０は、ＣＡＮコントローラ２に異常を通知することで、制御パターンの更新値の破棄をＣＡＮコントローラ２に指示する。第１比較器４０は、異常信号を給電回路７０やＥＣＵ２００に出力することで、アクチュエータ４０ｎに対する電源状態を遮断状態とすることを指示する。なお、電源のカットを指示する場合、第１比較器４０は、給電回路７０やＥＣＵ２００の少なくとも一方に異常信号を出力すればよい。

また、第１比較器４０は、正常信号をＣＡＮコントローラ２に出力することで、制御パターンの更新値の出力をＣＡＮコントローラ２に指示する。第１比較器４０は、正常信号を給電回路７０やＥＣＵ２００に出力することで、アクチュエータ４０ｎに対する電源状態を給電状態とすることを指示する。

上記のように、通信バスＢ１は、外部から攻撃されることがありうる。つまり、通信バスＢ１を介して異常信号や正常信号を送信した場合、それらの信号は、が改ざんされる可能性がある。このため、駆動装置１００は、ＣＡＮトランシーバ２０３を介して異常信号や正常信号を送信したとしても、それらの信号をＥＣＵ２００が受信できないことが起こりうる。

そこで、第１比較器４０は、第２信号線Ｌ２を介して、ＥＣＵ２００に異常信号や正常信号を出力すると好ましい。これによって、第１比較器４０は、通信バスＢ１が攻撃されていたとしても、異常信号や正常信号をＥＣＵ２００に出力できる。

ＲＯＭ５０は、通電パターン５１（ＥＺＰ）と遷移禁止パターン５２（ＰＨＰ）が記憶されている。ＲＯＭ５０は、通電パターン５１が記憶された通電パターンメモリと、遷移禁止パターン５２が記憶された遷移禁止パターンメモリとを有しているともいえる。ＲＯＭ５０は、判定用記憶部といえる。

図９に示すように、通電パターン５１は、各アクチュエータ４０ｎへの駆動状態として取りうる全駆動状態のそれぞれに対応した制御パターンである。よって、ＲＯＭ５０は、複数の通電パターン５１を記憶している。また、各通電パターン５１は、各アクチュエータ４０ｎの駆動状態を指示する信号を含むものである。さらに、各通電パターン５１は、自動変速機の各状態に相関するものである。制御パターンの前回値と制御パターンの更新値は、正常であれば、通電パターン５１の一つとなる。なお、図９などでは、各アクチュエータ４０１～４０８をＡＣＴ１～ＡＣＴ８と示している。

図１０に示すように、遷移禁止パターン５２は、各アクチュエータ４０ｎへの駆動状態を示す通電パターン５１である。遷移禁止パターン５２は、現駆動状態からの駆動遷移に相関する値である。遷移禁止パターン５２は、制御パターンの更新値が異常であるか否かを判定するための判定値である。ＲＯＭ５０は、制御パターンと遷移禁止パターン５２とが関連付けられて記憶されている。

遷移禁止パターン５２は、制御パターンの前回値が示す駆動状態からの駆動遷移が禁止されている駆動状態を示すものである。遷移禁止パターン５２は、自動変速機として好ましくない動作となる駆動遷移を示す通電パターン５１といえる。

図１０の例では、一例として、４速を示す制御パターンに関連付けられた遷移禁止パターン５２を示している。自動変速機が４速の場合、１速へのシフトダウンは、意図しない急減速になる。また、Ｒレンジへのシフトチェンジは、意図しない逆速になる。そして、Ｐレンジへのシフトチェンジは、意図しないＰロックになる。このため、４速に対応する制御パターンには、１速、Ｒレンジ、Ｐレンジのそれぞれに対応する通電パターンが遷移禁止パターンとして関連付けられている。遷移禁止パターン５２は、制御パターンとは異なり、予めＲＯＭ５０に記憶されている。

ＲＯＭ５０は、各アクチュエータ４０１～４０８に対応したアドレスのビットを有している。ＲＯＭ５０は、遷移禁止パターン５２における各アクチュエータ４０１～４０８への駆動状態を示す信号（値）が、各アドレスのビットに書き込まれている。本実施形態では、一例として、８ビットの制御パターンを採用している。よって、各遷移禁止パターン５２は、制御パターンと同じ８ビットとなる。各遷移禁止パターン５２は、通電を示す信号として１、非通電を示す信号として０を含んでいる。よって、各遷移禁止パターン５２は、０と１によって表すことができる。

ＲＯＭ５０は、ＣＡＮコントローラ２を介してアクセスできない構成であると好ましい。つまり、ＲＯＭ５０は、ＣＡＮコントローラ２を介して、駆動装置１００の外部から書換ができない構成である。また、ＲＯＭ５０は、通信バスＢ１を介した通信とは独立して設けられているといえる。よって、ＲＯＭ５０は、工場やディーラなどで通電パターン５１や遷移禁止パターン５２が書き込まれる。このようにすることで、駆動装置１００は、通電パターン５１や遷移禁止パターン５２が意図せず書き換えられることを抑制できる。

レジスタ部６０（ＲＥＧ）は、第１データレジスタ６１（１ＲＥＧ）、第２データレジスタ６２（２ＲＥＧ）、第３データレジスタ６３（３ＲＥＧ）、第４データレジスタ６４（４ＲＥＧ）を備えている。各データレジスタ６１～６４には、上記のように値がセットされる。

図１、図２に示すように、給電回路７０は、給電スイッチ５００のオンオフを切り替える回路である。給電回路７０は、給電スイッチ５００のオンオフによって、複数のアクチュエータ４０１～４０８への電源状態を切り替える。給電回路７０（ＰＳＣ）は、電源部といえる。

給電回路７０は、例えば、ＥＣＵ２００から緊急遮断指示が入力されると、給電スイッチ５００のオフを示す信号を出力する。つまり、給電回路７０は、給電スイッチ５００をオフして、各アクチュエータ４０ｎに対する電源状態を遮断状態にする。また、給電回路７０は、異常な制御パターンによって各アクチュエータ４０ｎが駆動されることを防止するために、給電スイッチ５００をオフするともいえる。一方、給電回路７０は、制御パターンの更新値が正常の場合、給電スイッチ５００をオンして、各アクチュエータ４０ｎに対する電源状態を給電状態とする。

なお、給電回路７０は、第１比較器４０から異常信号が入力された場合に、給電スイッチ５００のオフを示す信号を出力してもよい。緊急遮断指示および異常信号は、給電スイッチ５００のオフを指示する信号ともいえる。

電流検出抵抗８１は、増幅器８２とともに電流検出部を構成している。電流検出部は、各アクチュエータ４０ｎに個別に設けられている。よって、本実施形態では、五つの電流検出部が駆動装置１００に設けられている。図１では、代表例として、第１アクチュエータ４０１に対応する電流検出部のみを図示している。

各電流検出部は、対応するアクチュエータ４０ｎに実際に流れる電流を検出する。言い換えると、各電流検出部は、対応するアクチュエータ４０ｎの駆動状態を検出する。また、各電流検出部は、各アクチュエータ４０ｎへの通電状態をモニタするともいえる。

なお、電流検出部は、電流検出抵抗８１と増幅器８２に加えて、増幅器８２で増幅された電圧のノイズを除去するフィルタを備えていてもよい。フィルタは、例えば抵抗とコンデンサで構成することができる。

電流検出抵抗８１は、アクチュエータ４０１に直列に接続されている。電流検出抵抗８１は、第１アクチュエータ４０１に対してグランド側（下流側）に設けられている。増幅器８２は、電流検出抵抗８１の両端に生じ、電流に比例する電圧を増幅する。よって、増幅器８２は、第１アクチュエータ４０１に流れる電流に比例した電圧信号を出力する。このため、各電流検出部は、対応する各アクチュエータ４０ｎに流れる電流に比例した電圧信号を出力する。

第２比較器８３（２ＣＭＰ）は、オペアンプなどによって構成されている。第２比較器８３は、各アクチュエータ４０ｎに個別に設けられている。また、第２比較器８３は、電流検出抵抗８１および増幅器８２とセットで設けられている。本実施形態では、八つの第２比較器８３が駆動装置１００に設けられている。図１では、代表例として、第１アクチュエータ４０１に対応する第２比較器８３のみを図示している。

第２比較器８３は、増幅器８２が出力する電圧信号と基準値とを比較する。第２比較器８２は、電圧信号が基準値よりも高ければ正の値を出力し、電圧信号が基準値よりも低ければ負の値を出力する。つまり、第２比較器８３は、各電流検出部がモニタした各アクチュエータ４０ｎへの通電状態を示すモニタ結果を出力するともいえる。第２比較器８３は、例えば、第１アクチュエータ４０１が通電されている場合は正の値を出力する。また、第２比較器８３は、例えば、第１アクチュエータ４０１が通電されていない場合は負の値を出力する。

図１１に示すように、モニタレジスタ８４（ＭＲＥＧ）は、各第２比較器８３の出力が書き込まれる。つまり、モニタレジスタ８４には、各アクチュエータ４０ｎへの通電状態をモニタした結果であるモニタパターンが記憶されるといえる。モニタパターンは、現駆動状態とみなせる。また、モニタパターンは、相関駆動状態とみなすこともできる。モニタレジスタ８４は、モニタ用記憶部ともいえる。図１１では、一例として、４速を示すモニタパターンが記憶されたモニタレジスタ８４を採用している。

このように、駆動装置１００は、電流検出抵抗８１、増幅器８２、第２比較器８３、モニタレジスタ８４によって、各アクチュエータ４０ｎの現駆動状態を取得することができる。本実施形態は、現駆動状態として、制御パターンの前回値のかわりに、モニタパターンを用いることもできる。これらの構成要素８１～８４は、取得装置といえる。しかしながら、本開示は、構成要素８１～８４を備えていなくてもよい。特に、モニタレジスタ８４は、設けられていなくてもよい。

モニタレジスタ８４は、各アクチュエータ４０１～４０８に対応したアドレスのビットを有している。モニタレジスタ８４は、各アクチュエータ４０１～４０８への通電状態を示す信号（値）が、各アドレスのビットに書き込まれる。各アクチュエータ４０１～４０８への通電状態を示す信号は、各第２比較器８３の出力である。

モニタレジスタ８４には、例えば、通電を示す信号として１、非通電を示す信号として０が書き込まれる。よって、モニタパターンは、０と１によって表すことができる。本実施形態では、一例として、８ビットの制御パターンを採用している。よって、モニタパターンは、制御パターンと同じ８ビットとなる。

なお、モニタレジスタ８４の第１ビット８４１は、第１アクチュエータ４０１に対応している。同様に、第２ビット８４２～第８ビット８４８のそれぞれは、第２アクチュエータ４０２～第８アクチュエータ４０８のそれぞれに対応している。

波形解析回路９０は、回転センサ６００の出力である回転センサ信号が入力される。波形解析回路９０は、回転センサ信号［pls/s］に基づいて車速を判定する。波形解析回路９０は、例えば、車速が高速、低速、０（停車）のいずれであるかを判定する。

波形解析回路９０は、回転センサ信号が予め決められた閾値に達した場合に高速と判定する。また、波形解析回路９０は、回転センサ信号が予め決められた閾値に達しておらず、かつ、０でない場合に低速と判定する。そして、波形解析回路９０は、回転センサ信号が０の場合に停車と判定する。

よって、車速は、各アクチュエータ４０ｎの現駆動状態とみなせる。よって、波形解析回路９０は、取得装置といえる。しかしながら、本開示は、波形解析回路９０を備えていなくてもよい。なお、回転センサ６００は、負荷の駆動状態に応じた電気信号を出力するセンサである。

また、本実施形態では、負荷の駆動状態に応じた電気信号を出力するセンサ一例として、回転センサ６００を採用している。しかしながら、本開示は、これに限定されない。本実施形態は、後ほどの実施形態と同様、油圧センサ、油温センサ、Ｐロックセンサなどであっても採用できる。つまり、駆動装置１００は、油圧センサ、油温センサ、Ｐロックセンサが接続されていてもよい。

この場合、駆動装置１００は、各センサから出力された電気信号を、通信バスＢ１を介してＥＣＵ２００に送信するしてもよい。これによって、負荷駆動システム１０００は、信号線の数が増えることを抑制できる。この結果、負荷駆動システム１０００は、安価に構成することができる。

＜処理動作＞
図１２～図１５を用いて、負荷駆動システム１０００の処理動作に関して説明する。

まず、図１２を用いて、ＥＣＵ２００の処理動作に関して説明する。ＥＣＵ２００は、所定時間ごと、またはイベント発生時に、図１２のフローチャートに示す処理動作を開始する。

ステップＳ１０では、負荷駆動遷移を決定する。ＣＰＵ２０１１は、駆動装置１００に指示する負荷駆動信号を決定することで、負荷駆動遷移を決定する。ＣＰＵ２０１１は、例えば、自動変速機の変速を１速へと切り替えることを示す負荷駆動遷移を決定する。

ステップＳ１１では、駆動禁止状態とする（駆動許可部）。ＣＰＵ２０１１は、負荷を駆動禁止の状態とする。ＣＰＵ２０１１は、負荷駆動遷移を決定したとしても、ステップＳ１４で一致と判定するまでは負荷を正常に駆動できない可能性がある。このため、ＣＰＵ２０１１は、ステップＳ１４で一致と判定するまでの間は、負荷を駆動禁止の状態とする。言い換えると、ＣＰＵ２０１１は、負荷を異常に駆動する状態でないと判定するまで、負荷を駆動禁止とする。なお、駆動禁止状態とは、駆動装置１００による負荷の駆動が禁止されている状態である。

例えば、ＣＰＵ２０１１は、負荷の駆動許可を示す駆動許可信号を駆動装置１００に出力することで負荷の駆動禁止を解除、すなわち、負荷を駆動許可の状態とする。一方、ＣＰＵ２０１１は、駆動許可信号を駆動装置１００に出力しないことで負荷を駆動禁止の状態とする。

ＣＰＵ２０１１は、第３信号線Ｌ３を介してＣＡＮコントローラ２に駆動許可信号を出力する。そして、ＣＡＮコントローラ２は、駆動許可信号が入力されている場合に限って、制御パターンの更新値をＳＰＩ回路１０に出力する。よって、駆動装置１００は、駆動許可信号が入力されている場合に限って負荷の駆動が可能となる。

ステップＳ１２では、駆動指示メッセージを含むフレームを送信する（送信部）。ＣＰＵ２０１１は、ステップＳ１１で決定した負荷駆動信号に対応する駆動指示メッセージをＣＡＮコントローラ２０１２の送信用のメッセージボックスに格納する。ＣＡＮコントローラ２０１２は、駆動指示メッセージを含むフレームを生成して、ＣＡＮトランシーバ２０３を介して通信バスＢ１に送信する。ここでは、１速への切り替え指示を示す駆動指示メッセージを含むフレームを、通信バスＢ１を介して駆動装置１００に送信する。なお、ＣＰＵ２０１１は、負荷の駆動状態を指示する駆動情報を含む複数のメッセージを、通信バスＢ１を介して駆動装置１００に送信する。

ステップＳ１３では、負荷駆動信号を取得する（取得部）。ＣＰＵ２０１１は、第３信号線Ｌ３を介して負荷駆動信号を取得する。つまり、ＣＰＵ２０１１は、駆動装置１００から負荷駆動信号を取得する。

ＣＰＵ２０１１は、駆動装置１００に対して指示した駆動状態と、駆動装置１００が実行しようとしている駆動状態とが一致するか否かを判定するために、負荷駆動信号を取得する。また、ＣＰＵ２０１１は、駆動装置１００が指示された駆動状態通りに、負荷を駆動するか否かを判定するために負荷駆動信号を取得するといえる。さらに、ＣＰＵ２０１１は、駆動装置１００に対して送信した駆動指示メッセージが改ざんされているか否かを判定するために負荷駆動信号を取得するといえる。

ステップＳ１４では、駆動指示と比較する（比較部）。ＣＰＵ２０１１は、ステップＳ１２で送信した駆動指示メッセージと、ステップＳ１３で受信した負荷駆動信号とを比較する。つまり、ＣＰＵ２０１１は、ＥＣＵ２００が通信バスＢ１を介して送信した駆動情報と、第３信号線Ｌ３を介して駆動装置１００から送信されてＥＣＵ２００が取得した駆動情報とを比較するといえる。また、ＥＣＵ２００は、駆動装置１００に指示した駆動状態と、駆動装置１００がＥＣＵ２００から指示された駆動状態とを比較するともいえる。例えば、ＣＰＵ２０１１は、駆動装置１００と同様に、送信した駆動指示メッセージを負荷駆動信号に変換して、受信した負荷駆動信号と比較することができる。

後ほど説明するが、駆動装置１００は、ＥＣＵ２００から送信された駆動指示メッセージを受信すると、その駆動指示メッセージを負荷駆動信号へと変換する。そして、駆動装置１００は、変換した負荷駆動信号をＥＣＵ２００に通知する。このため、ステップＳ１３で受信した負荷駆動信号は、改ざんなどされていなければ、ステップＳ１２で送信した駆動指示メッセージと一致している。

そこで、ＣＰＵ２０１１は、ステップＳ１２で送信した駆動指示メッセージと、ステップＳ１３で受信した負荷駆動信号とが一致していると判定した場合、ステップＳ１５へ進む。また、ＣＰＵ２０１１は、不一致と判定した場合、ステップＳ１７へ進む。一致している場合、駆動装置１００が負荷を異常に駆動する状態でないとみなすことができる。一方、不一致の場合、駆動装置１００が負荷を異常に駆動する状態とみなすことができる。

なお、本開示は、これに限定されない。ＣＰＵ２０１１は、ステップＳ１２で送信した駆動指示メッセージと、ステップＳ１３で受信した負荷駆動信号とが、所定の対応関係を満たす場合に、ステップＳ１５へ負荷を進んでもよい。この場合、ＣＰＵ２０１１は、所定の対応関係を満たさない場合に、ステップＳ１７へ進んでもよい。

ステップＳ１５では、駆動許可状態に変更する（駆動許可部）。ＣＰＵ２０１１は、ステップＳ１４にて一致と判定すると、駆動装置１００に対して駆動許可信号を出力する。これによって、ＣＰＵ２０１１は、駆動装置１００を駆動許可状態とする。なお、駆動許可状態とは、駆動装置１００による負荷の駆動が許可されている状態である。

このように、負荷駆動システム１０００は、常時、駆動禁止状態として、ステップＳ１４にて一致と判定した場合に限って駆動許可状態とする。これによって、負荷駆動システム１０００は、誤った指示により負荷を駆動することを防止できる。よって、負荷駆動システム１０００は、信頼性を向上できる。しかしながら、本開示は、ステップＳ１１，Ｓ１５を備えていなくてもよい。

ステップＳ１６では、正常動作と判定する。ＣＰＵ２０１１は、駆動装置１００が負荷を正常に動作すると判定する。また、ＣＰＵ２０１１は、通信バスＢ１で送信した駆動指示メッセージは改ざんされていないと判定する、といえる。さらに、ＣＰＵ２０１１は、通信バスＢ１で正常に通信が行われていると判定する、といえる。

ステップＳ１７では、状態通知回数をカウントする（異常判定部）。状態通知回数とは、駆動装置１００からの負荷駆動信号の通知回数である。つまり、状態通知回数は、負荷駆動信号をステップＳ１３で受信した回数である。また、状態通知回数は、不一致と判定した回数ともいえる。ＣＰＵ２０１１は、ステップＳ１４で不一致と判定されるたびに、状態通知回数をカウントする。状態通知回数のカウント数は、Ｎとする。

ステップＳ１８では、Ｎ＞５であるか否かを判定する（異常判定部）。ＣＰＵ２０１１は、カウント数Ｎが５を超えたと判定するとステップＳ１９へ進み、５を超えていないと判定するとステップＳ１１へ戻る。５は、所定回数といえる。

なお、ＣＰＵ２０１１は、例えば、ステップＳ１４で一致と判定されると、カウント数をクリアする。つまり、ＣＰＵ２０１１は、ステップＳ１４で一致と判定されることなく、カウント数Ｎが５を超えると、ステップＳ１９へ進む。

ＣＰＵ２０１１は、ステップＳ１８でＮＯ判定してステップＳ１１へ戻ることで、駆動禁止状態を継続する。さらに、ＣＰＵ２０１１は、再度、駆動指示メッセージを含むフレームを送信する。

なお、ここでは、カウント数の閾値である所定回数の一例として５を採用している。しかしながら、本開示は、これに限定されない。所定回数は、１以上の自然数であれば採用できる。所定回数が小さいほど、通信異常をすみやかに判定できる。一方、所定回数が大きいほど通信異常の誤判定を抑制できる。さらに、本開示は、ステップＳ１７，Ｓ１８を備えていなくてもよい。

ステップＳ１９では、通信異常と判定する（異常判定部）。ＣＰＵ２０１１は、通信バスＢ１を介した駆動装置１００との通信が異常であると判定する。つまり、ＣＰＵ２０１１は、通信バスＢ１が外部から攻撃されており、負荷駆動信号を正常に駆動装置１００に送信できないと判定する。

このように、ＣＰＵ２０１１は、ステップＳ１２で送信した駆動指示メッセージと、ステップＳ１３で受信した負荷駆動信号とが一致しない場合、ステップＳ１３で受信した負荷駆動信号が異常と判定する。そして、ＣＰＵ２０１１は、ステップＳ１３で受信した負荷駆動信号が異常であるため、駆動装置１００が負荷を異常に駆動する状態であると判定する。

ステップＳ２０では、緊急遮断を行う（異常処置部）。ＣＰＵ２０１１は、駆動装置１００が負荷を異常に駆動する状態であると判定した場合、負荷を遮断する。ＣＰＵ２０１１は、第１信号線Ｌ１を介して、給電回路７０に緊急遮断指示を出力する。つまり、ＣＰＵ２０１１は、ＣＡＮコントローラ２０１２およびＣＡＮトランシーバ２０３を介することなく給電回路７０に緊急遮断指示を出力する。これによって、ＣＰＵ２０１１は、通信異常が発生している通信バスＢ１を介して送信した負荷駆動信号に基づいて、各アクチュエータ４０ｎが駆動制御されることを抑制できる。

なお、ＣＰＵ２０１１は、第１信号線Ｌ１を介して、特定の変速状態への遷移指示を出力してもよい。つまり、ＣＰＵ２０１１は、第１信号線Ｌ１を介して、負荷への通電を所定の異常処置状態とする指示を出力するものであれば採用できる。

次に、図１３～図１５を用いて、駆動装置１００の処理動作に関して説明する。駆動装置１００は、フレームを受信すると、図１３のフローチャートに示す処理動作を開始する。

ステップＳ３０では、受信用のメッセージボックスに格納する（受信部）。ＣＡＮコントローラ２は、通信バスＢ１を介してフレームを受信する。そして、ＣＡＮコントローラ２は、受信したフレームにおけるデータフィールドのデータを受信用のメッセージボックスに格納する。ここでは、駆動信号メッセージを含むフレームを受信した場合を採用する。また、受信したメッセージは、駆動信号メッセージを含んでいるといえる。なお、ＣＡＮコントローラ２は、複数のメッセージを受信する。

ステップＳ３１では、データを取り出す。ＣＡＮコントローラ２は、受信用のメッセージボックスからデータを取り出す。

ステップＳ３２では、駆動指示メッセージを抜き出す。ＣＡＮコントローラ２は、取り出したデータから駆動指示メッセージを抜き出す（抽出する）。

ステップＳ３３では、駆動指示メッセージを負荷駆動信号に変換する。ＣＡＮコントローラ２は、駆動指示メッセージを負荷駆動信号に変換する。これによって、駆動指示メッセージは、例えば８ビットのデータ（制御パターン）に変換される。このため、負荷駆動信号は、駆動指示メッセージよりも十分に容量（情報量）が小さいデータとなる。

ステップＳ３４では、負荷駆動信号を通知する（通知部）。ＣＡＮコントローラ２は、ステップＳ３３で変換した負荷駆動信号を、第３信号線Ｌ３を介してＥＣＵ２００に通知（送信）する。つまり、ＣＡＮコントローラ２は、ステップＳ３２で抜き出した駆動指示メッセージとして、変換後の負荷駆動信号を通知する。

このため、ＣＡＮコントローラ２は、ＣＡＮメッセージである駆動指示メッセージをそのままＥＣＵに伝達する場合よりも伝達情報（情報量）を減らすことができる。よって、負荷駆動システム１０００は、一本の第３信号線Ｌ３で通知でき、かつ、安価な構成とすることができる。また、ＣＡＮコントローラ２は、負荷を異常に駆動する状態であるか否かを判定するのに必要な情報だけを送信することができる。なお、ＥＣＵ２００は、ここでＣＡＮコントローラ２が出力した負荷駆動信号をステップＳ１３で取得することになる。

ところで、駆動装置１００は、例えば８ビットの負荷駆動信号を通知する場合、複数の信号線を用いて負荷駆動信号を通知することが考えられる。この場合、負荷駆動システム１０００は、駆動装置１００とＥＣＵ２００とを複数の信号線で接続する必要がある。しかしながら、駆動装置１００は、負荷駆動信号を通知する際に、パルス信号のデューティで通知してもよい。そして、ＥＣＵ２００は、周波数やデューティで負荷駆動信号を判定する。

この場合、駆動装置１００は、一本の第３信号線Ｌ３で負荷駆動信号を通知することができる。よって、負荷駆動システム１０００は、負荷駆動信号を通知するために、駆動装置１００とＥＣＵ２００とを複数の信号線で接続する必要がない。負荷駆動システム１０００は、上記と同様、一本の第３信号線Ｌ３で通知でき、かつ、安価な構成とすることができる。また、ＥＣＵ２００は、周波数やデューティで負荷駆動信号を判定するため、ノイズの影響を受けにくい。さらに、ＥＣＵ２００は、通信バスＢ１を用いることなく通知されるため、ステップＳ１４において、データ変換時間なく素早く比較および判定できる。

本実施形態では、ステップＳ３３，Ｓ３４に示すように、駆動指示メッセージを変換した負荷駆動信号を通知する例を採用している。しかしながら、本開示は、これに限定されない。本開示は、ステップＳ３２で抜き出した駆動指示メッセージを、第３信号線Ｌ３を介してＥＣＵ２００に通知してもよい。これによって、負荷駆動システム１０００は、駆動装置１００が変換を行わない分、駆動装置１００の構成を簡素化できる。

ステップＳ３５では、指示通りドライバを駆動する（駆動部）。駆動装置１００は、ステップＳ３０で受信した駆動指示メッセージに含まれている負荷駆動信号を示すデータに基づいて負荷を駆動する。つまり、駆動装置１００は、ステップＳ３２で変換した負荷駆動信号に応じて負荷を駆動する。このとき、ＣＡＮコントローラ２は、変換した負荷駆動信号（制御パターン）を制御レジスタ１１に格納する。駆動装置１００は、上記のように、制御レジスタ１１に記憶されている制御パターンに応じて駆動ＩＣ２０が各アクチュエータ４０ｎの駆動を制御する。

なお、上記のように、ＥＣＵ２００は、ステップＳ１４で不一致と判定した場合、負荷を緊急遮断する。しかしながら、駆動装置１００は、ステップＳ３４とステップＳ３５の間に、数百ｍ、百ｍ程度の時間的に余裕がある。このため、ＥＣＵ２００がステップＳ１７，Ｓ１８を行わない場合や４回以下の不一致となった場合に、駆動装置１００は、不一致と判定された負荷駆動信号で負荷を駆動することを抑制できる。この場合、ＥＣＵ２００は、ステップＳ１９に移行せず、駆動禁止状態とする処理を行わなくてもよい。

また、駆動装置１００は、負荷駆動信号を通知した場合、図１４のフローチャートに示す処理を開始してもよい。なお、ステップＳ４１は、ステップＳ３５と同様である。

ステップＳ４０では、許可指示があるか否かを判定する。ＣＡＮコントローラ２は、第３信号線Ｌ３を介して駆動許可信号が入力されているか否かを判定する。この駆動許可信号は、ＣＰＵ２０１１がステップＳ１５で出力する信号である。

ＣＡＮコントローラ２は、駆動許可信号が入力されている場合は、許可指示があると判定してステップＳ４１へ進む。ＣＡＮコントローラ２は、駆動許可信号が入力されてない場合は、許可指示がないと判定してステップＳ４２へ進む。

ステップＳ４２では、所定時間経過したか否かを判定する。ＣＡＮコントローラ２は、負荷駆動信号を通知してから所定時間が経過したか否かを判定する。この場合、ＣＡＮコントローラ２は、ステップＳ３４で負荷駆動信号を通知するとタイマーなどによって経過時間の経時を開始する。ＣＡＮコントローラ２は、所定時間経過したと判定した場合はステップＳ４３へ進む。また、ＣＡＮコントローラ２は、所定時間経過したと判定しなかった場合はステップＳ４２へ進む。

なお、所定時間は、予め決められた時間である。例えば、所定時間は、負荷駆動信号の通知に要する時間、ステップＳ１４での比較処理に要する時間、駆動許可信号の伝達に要する時間の合計時間や、その合計時間にマージンを持たせた時間などである。

ステップＳ４３では、通知する。ＣＡＮコントローラ２は、負荷駆動信号を通知したにもかかわらず、駆動許可信号が入力されない旨をＥＣＵ２００に通知する。

なお、図１２～図１４のフローチャートに示す処理動作は、他の実施形態にも適用できる。また、駆動装置１００は、負荷駆動信号を受信すると、図１５のフローチャートに示す処理動作を開始してもよい。このとき、給電回路７０は、給電スイッチ５００のオンを示す信号を出力しているものとする。つまり、各アクチュエータ４０ｎは、電流の供給が可能となっている。なお、本開示は、図１５のフローチャートに示す処理動作を実行しなくてもよい。この場合、駆動装置１００は、この処理動作のみに関連する構成を備えていなくてもよい。

ステップＳ５０ａでは、遷移禁止パターンをセットする。第２データローダ３２、第３データローダ３３、第４データローダ３４は、上記のように、制御パターンの前回値に対応する遷移禁止パターン５２をＲＯＭ５０から選択して、第４データレジスタ６４にセットする。

なお、ＲＯＭ５０に複数の遷移禁止パターン５２が記憶されている場合、第４データローダ３４は、ＲＯＭ５０の記憶されている遷移禁止パターン５２を順番に第４データレジスタ６４に書き込む。また、第４データローダ３４は、第４データレジスタ６４に書き込んだ遷移禁止パターン５２が第１比較器４０に出力されると、次の遷移禁止パターン５２を第４データレジスタ６４に書き込む。

ステップＳ５１では、負荷駆動信号をセットする。第１データローダ３１は、上記のように、ＣＡＮコントローラ２から負荷駆動信号である制御パターンの更新値をロードする。そして、第１データローダ３１は、ロードした制御パターンの更新値を第１データレジスタ６１にセットする。制御パターンは、第１データレジスタ６１にセットされると、第１比較器４０に出力される。

ステップＳ５２ａでは、受信信号と遷移禁止パターンを比較する。受信信号は、制御パターンの更新値である。第１比較器４０は、第１データレジスタ６１にセットされた制御パターンの更新値と、第４データレジスタ６４にセットされた遷移禁止パターン５２とを比較する。ＲＯＭ５０に複数の遷移禁止パターン５２が記憶されている場合、第１比較器４０は、制御パターンの更新値と各遷移禁止パターン５２とを順番に比較する。これによって、第１比較器４０は、制御パターンの更新値と全遷移禁止パターン５２とを比較する。

第１比較器４０は、制御パターンの更新値と全遷移禁止パターン５２とが不一致の場合、ステップＳ５３へ進む。この場合、制御パターンの更新値は、正常であるとみなせる。

一方、第１比較器４０は、制御パターンの更新値と遷移禁止パターン５２とが一致した場合、ステップＳ５４へ進む。つまり、第１比較器４０は、遷移禁止パターン５２の一つでも制御パターンの更新値と一致した場合、ステップＳ５４へ進む。この場合、制御パターンの更新値は、異常であるとみなせる。

本実施形態では、制御パターンの更新値として１１１００１００を採用している。また、本実施形態では、遷移禁止パターン５２として、図８などに示す三つを採用している。よって、この制御パターンの更新値は、三つ目の遷移禁止パターン５２と一致する。このため、第１比較器４０は、制御パターンの更新値と遷移禁止パターン５２とが一致と判定することになる。

ステップＳ５３では、負荷駆動信号通りに通電する。第１比較器４０は、制御パターンの更新値が正常であることを示す正常信号を出力する。駆動ＩＣ２０は、正常信号が入力されると、制御レジスタ１１に書き込まれた負荷駆動信号通りにアクチュエータ４０ｎに通電する。つまり、ＣＡＮコントローラ２は、制御パターンの更新値を制御レジスタ１１に格納する。そして、駆動ＩＣ２０は、制御レジスタ１１に格納された制御パターンの更新値にしたがって、駆動スイッチ３０１～３０８を選択的にオンオフさせる。これによって、駆動ＩＣ２０は、アクチュエータ４０ｎを選択的に通電する。このように、ステップＳ５３は、ステップＳ３５と同様の処理を行う。

ステップＳ５４では、異常を通知する。第１比較器４０は、制御パターンの更新値が異常であることを示す異常信号をＥＣＵ２００に出力する。これによって、第１比較器４０は、ＥＣＵ２００に異常を通知する。このように、駆動装置１００は、マイコンの演算を用いることなく、第１比較器４０によって、素早くＥＣＵ２００に異常を通知できる。つまり、駆動装置１００は、マイコンの演算を用いる構成よりも、第１比較器４０によって、早くＥＣＵ２００に異常を通知できるといえる。

ステップＳ５５では、電源をカットする。第１比較器４０は、制御パターンの更新値が異常であることを示す異常信号を給電回路７０に出力する。第１比較器４０は、異常信号を給電回路７０に出力することで、アクチュエータ４０ｎに対する電源のカットを指示する。給電回路７０は、異常信号が入力されると給電スイッチ５００をオフして、各アクチュエータ４０ｎに対する電流の供給を遮断する。これによって、駆動装置１００は、異常である制御パターンでアクチュエータ４０ｎを駆動することを防止できる。このように、ステップＳ５５は、ステップＳ２０と同様の処理を行う。

なお、本開示は、ステップＳ５４とステップＳ５５の少なくとも一方を行うものであればよい。

また、第１比較器４０は、異常信号を給電回路７０に出力せず、駆動ＩＣ２０に出力してもよい。この場合、駆動ＩＣ２０は、制御パターンの前回値にしたがって、駆動スイッチ３０１～３０８を選択的にオンオフさせる。これによって、駆動ＩＣ２０は、アクチュエータ４０ｎを選択的に通電する。

＜効果＞
このように、負荷駆動システム１０００は、ＥＣＵ２００から送信された駆動指示メッセージを受信し、受信した駆動指示メッセージに含まれている負荷駆動信号に基づいて負荷を駆動する駆動装置１００を備えている。そして、駆動装置１００は、受信したメッセージか負荷駆動信号を抜き出し、抜き出した負荷駆動信号を、通信バスとは異なる第３信号線Ｌ３を介してＥＣＵ２００に通知する。このため、ＥＣＵ２００は、駆動装置１００に対する指示の確かさを確認できる。また、負荷駆動システム１０００は、通信バスＢ１とは異なる第３信号線Ｌ３を介してＥＣＵ２００に通知するため、通信バスＢ１がサイバー攻撃を受けていた場合であっても、適切に、負荷駆動信号をＥＣＵ２００に通知できる。さらに、負荷駆動システム１０００は、ＥＣＵ２００から駆動装置１００に対する指示の確かさを確認できるため、暗号化などを行う必要がない。よって、負荷駆動システム１０００は、ＥＣＵ２００と駆動装置１００の処理負荷が増えることを抑制できる。

また、ＥＣＵ２００は、駆動装置１００から取得した負荷駆動信号によって、駆動装置１００が負荷を異常に駆動する状態であることを判定できる。ＥＣＵ２００は、駆動装置１００が負荷を駆動する前に負荷駆動信号を通知した場合、駆動装置１００による異常な負荷の駆動を未然に判定できる。

さらに、負荷駆動システム１０００は、暗号化処理などを用いることなく、誤った負荷駆動信号に基づいて負荷を駆動してしまうことを抑制できる。なお、誤った負荷駆動信号は、意図しない負荷駆動信号ともいえる。誤った負荷駆動信号に基づいて負荷を駆動した場合、負荷は、指示した駆動状態とは異なる駆動状態となる。

さらに、駆動装置１００は、遷移禁止パターン５２を記憶している。そして、駆動装置１００は、制御パターンの更新値と遷移禁止パターン５２とを比較することで、制御パターンの更新値が禁止遷移パターンへ移行する異常であるか否かを判定できる。

詳述すると、駆動装置１００は、制御レジスタ１１に記憶された制御パターンの今回値ではなく、ＣＡＮコントローラ２で受信した制御パターンの更新値が異常であるか否かを判定できる。よって、駆動装置１００は、通信バスＢ１で送信されるフレームに含まれる負荷駆動信号が、なりすましなどによって改ざんされたか否かを判定できる。このため、駆動装置１００は、マイコンによって通信の認証や暗号化などの複雑な処理を行うことなく、制御パターンの更新値の改ざん対策を行うことができる。

また、駆動装置１００は、各アクチュエータ４０ｎの駆動を制御する前に、受信した制御パターンの更新値が異常であるか否かを判定できる。つまり、駆動装置１００は、異常である制御パターンで各アクチュエータ４０ｎを駆動することを抑制できる。

また、改ざん対策としては、上記のように、マイコンによる通信の認証や暗号化が考えられる。しかしながら、認証や暗号化による対策は、常に最新の技術に対応することが要求される。このため、この方法では、マイコンのプログラムの更新などが必要となりコストアップにつながる。

さらに、改ざん対策としては、マイコンによる通信の監視が考えられる。しかしながら、通信の監視を行うためには、メッセージや通信の暗号化により通信容量が増加して、通信速度が低下する。このため、この方法では、通信速度の高速化のための対策コストがかかる。

これらに対して、駆動装置１００は、マイコンを用いないため、上記のようなコストアップを抑制できる。つまり、駆動装置１００は、マイコンを用いるよりも、低コストで改ざんによる禁止遷移パターンへの移行を防止することができる。

判定用パターンとしては、制御パターンの前回値が示す駆動状態からの駆動遷移が許可されている駆動状態を示す遷移許可パターンを採用することもできる。しかしながら、駆動装置１００は、判定用パターンとして、遷移禁止パターン５２をＲＯＭ５０に記憶している。遷移禁止パターン５２は、遷移許可パターンよりもパターン数が少ない。よって、駆動装置１００は、ＲＯＭ５０における判定用パターンが占める容量を少なくすることができる。

駆動装置１００は、ＥＣＵ２００と異なりマイコンを備えていない。このため、駆動装置１００は、マイコンを備えた構成よりも体格を小型化できる。また、駆動装置１００は、マイコンを備えた構成よりも消費電力および発熱を低減できる。これによって、駆動装置１００は、マイコンを備えた構成よりも、体格および発熱に伴う搭載性における制約を少なくできる。つまり、駆動装置１００は、マイコンを備えた構成よりも、搭載自由度を向上できる。さらに、駆動装置１００は、マイコンを備えた構成よりも、機能安全およびセキュリティの対応を低減することができる。

負荷駆動システム１０００は、駆動装置１００を備えている。このため、負荷駆動システム１０００は、駆動装置１００において、マイコンによって通信の認証や暗号化などの複雑な処理を行うことなく、制御パターンの更新値の改ざん対策を行うことができる。負荷駆動システム１０００は、マイコンを備えた駆動装置を用いるよりも、コストアップを抑制でき、低コストで改ざんによる禁止遷移パターンへの移行を防止することができる。負荷駆動システム１０００は、ＲＯＭ５０における判定用パターンが占める容量を少なくすることができる。さらに、負荷駆動システム１０００は、マイコンを備えた駆動装置を用いるよりも、搭載自由度を向上でき、機能安全およびセキュリティの対応を低減することができる。

なお、遷移禁止パターン５２、および、遷移禁止パターン５２の比較対象は、上記に限定されない。例えば、図１６の変形例１に示すように、遷移禁止パターン５２の比較対象は、制御パターンの前回値と更新値を並べた遷移パターンを採用できる。この場合、遷移禁止パターン５２は、制御パターンの前回値と、前回値が示す駆動状態からの駆動遷移が禁止されている駆動状態を示す通電パターンとを並べたもの採用できる。第１比較器４０は、遷移パターンと、遷移禁止パターン５２とを比較する。

図１６の例では、一例として、制御パターンの前回値として４速を示す制御パターンと更新値として１速を示す制御パターンを並べた遷移パターンを示している。この場合、遷移禁止パターン５２は、４速を示す制御パターンとＰレンジを示す制御パターンを並べたもの、４速を示す制御パターンとＲレンジを示す制御パターンを並べたもの、４速を示す制御パターンと１速を示す制御パターンを並べたものを採用する。

また、遷移禁止パターン５２、および、遷移禁止パターン５２の比較対象は、識別子に変換されたものであっても採用できる。例えば、図１７の変形例２に示すように、制御パターン（更新値、前回値）および遷移禁止パターン５２は、４ビットの識別子に変換したものを採用する。第１比較器４０は、制御パターンの更新値が変換された識別子と、遷移禁止パターン５２が変換された識別子とを比較する。

なお、変形例１と変形例２を組み合わせて実施することもできる。この場合、遷移パターンは、制御パターンの前回値が変換された識別子と、更新値が変換された識別子が並べられたものとなる。同様に、遷移禁止パターン５２は、制御パターンの前回値が変換された識別子と、前回値が示す駆動状態からの駆動遷移が禁止されている駆動状態を示す通電パターンが変換された識別子が並べられたものとなる。

以上、本開示の好ましい実施形態について説明した。しかしながら、本開示は、上記実施形態に何ら制限されることはなく、本開示の趣旨を逸脱しない範囲において、種々の変形が可能である。以下に、本開示のその他の形態として、第２～第１０実施形態に関して説明する。上記実施形態および第２～第１０実施形態は、それぞれ単独で実施することも可能であるが、適宜組み合わせて実施することも可能である。本開示は、実施形態において示された組み合わせに限定されることなく、種々の組み合わせによって実施可能である。

（第２実施形態）
図１８を用いて、第２実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態では、主に、先行して説明した実施形態と異なる箇所に関して説明する。先行して説明した実施形態と同様に箇所に関しては、適宜採用することができる。この点は、下記の各実施形態でも同様である。

本実施形態の駆動装置１００および負荷駆動システム１０００は、第１実施形態と構成が同じである。よって、本実施形態では、第１実施形態と同じ符号を用いる。本実施形態は、遷移禁止パターン５２のかわりに、遷移許可パターンを用いる点が第１実施形態と異なる。

ＲＯＭ５０は、通電パターン５１と遷移許可パターンが記憶されている。ＲＯＭ５０は、通電パターン５１が記憶された通電パターンメモリと、遷移許可パターンが記憶された遷移許可パターンメモリとを有しているともいえる。ＲＯＭ５０は、判定用記憶部にといえる。

遷移許可パターンは、各アクチュエータ４０ｎへの駆動状態を示す通電パターンである。遷移許可パターンは、現駆動状態からの駆動遷移に相関する値である。遷移許可パターンは、制御パターンの更新値が異常であるか否かを判定するための判定値である。ＲＯＭ５０は、制御パターンと遷移許可パターンとが関連付けられて記憶されている。

遷移許可パターンは、制御パターンの前回値が示す駆動状態からの駆動遷移が許可されている駆動状態を示すものである。遷移許可パターンは、現駆動状態からの駆動遷移許可を示すものといえる。遷移許可パターンは、自動変速機として許容される動作となる駆動遷移を示す通電パターンといえる。遷移許可パターンは、遷移判定値、許可判定値といえる。

駆動装置１００は、負荷駆動信号を受信すると、図１８のフローチャートに示す動作を開始する。なお、図１８では、図１５と同じ処理に同じステップ番号を付与している。

ステップＳ５０ｂでは、遷移許可パターンをセットする。シーケンス回路３０は、遷移禁止パターン５２をセットするのと同様に、遷移許可パターンを第４データレジスタ６４にセットする。つまり、シーケンス回路３０は、制御パターンの前回値に対応する遷移許可パターンをＲＯＭ５０から選択して、第４データレジスタ６４にセットする。

ステップＳ５２ｂは、受信信号と遷移許可パターンを比較する。受信信号は、制御パターンの更新値といえる。第１比較器４０は、第１データレジスタ６１にセットされた制御パターンの更新値と、第４データレジスタ６４にセットされた遷移許可パターンとを比較する（判定部）。ＲＯＭ５０に複数の遷移許可パターンが記憶されている場合は、上記実施形態と同様に比較する。

第１比較器４０は、制御パターンの更新値と少なくとも一つの遷移許可パターンとが一致した場合、ステップＳ５３へ進む。この場合、制御パターンの更新値は、正常であるとみなせる。このように、第１比較器４０は、制御パターンの更新値と少なくとも一つの遷移許可パターンとが一致する場合に、所定の対応関係を満たしていないと判定する。

一方、第１比較器４０は、制御パターンの更新値と全遷移許可パターンとが不一致の場合、ステップＳ５４へ進む。この場合、制御パターンの更新値は、異常であるとみなせる。このように、第１比較器４０は、制御パターンの更新値と全遷移許可パターンとが不一致の場合に、所定の対応関係を満たしていると判定する。また、遷移許可パターンと制御パターンの更新値とが不一致の状態は、制御パターンの更新値が遷移許可パターンに含まれないともいえる。

第２実施形態の駆動装置１００は、第１実施形態の駆動装置１００と同様の効果を奏することができる。第２実施形態の負荷駆動システム１０００は、第１実施形態の負荷駆動システム１０００と同様の効果を奏することができる。

（第３実施形態）
図１９を用いて、第３実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。例えば、本実施形態の駆動装置１００および負荷駆動システム１０００は、第１実施形態と構成が同じである。よって、本実施形態では、第１実施形態と同じ符号を用いる。

本実施形態は、現駆動状態として、制御パターンの前回値のかわりに、波形解析回路９０で判定された車速を用いる点が第１実施形態と異なる。よって、本実施形態の駆動装置１００は、波形解析回路９０を備えている必要がある。

遷移禁止パターン５２は、現駆動状態である波形解析回路９０で判定された車速に関連づけられて記憶されている。遷移禁止パターン５２は、例えば０と１などで示される各車速を示す信号に関連付けて記憶されている。例えば、高速に関連付けられた遷移禁止パターン５２は、１速、Ｐレンジ、Ｒレンジを示す通電パターンを採用する。低速に関連付けられた遷移禁止パターン５２は、Ｐレンジ、Ｒレンジを示す通電パターンを採用する。停車に関連付けられた遷移禁止パターン５２は、３速、４速を示す通電パターンを採用する。遷移禁止パターン５２は、遷移判定値、禁止判定値といえる。

駆動装置１００は、負荷駆動信号を受信すると、図１９のフローチャートに示す動作を開始する。ステップＳ６５は、ステップＳ５１と同様である。ステップＳ６６ａは、ステップＳ５２ａと同様である。ステップＳ６７～ステップＳ６９は、ステップＳ５３～Ｓ５５と同様である。

ステップＳ６０では、回転センサ信号を受信する。波形解析回路９０は、回転センサ６００から回転センサ信号を受信する。

ステップＳ６１では、車速を判定する。波形解析回路９０は、受信した回転センサ信号から車速を判定する。波形解析回路９０は、高速と判定した場合はステップＳ６２へ進み、低速と判定した場合はステップＳ６３へ進み、停車と判定した場合はステップＳ６４へ進む。

ステップＳ６２では、高速時の遷移禁止パターンをメモリからセットする。シーケンス回路３０は、ＲＯＭ５０から高速に関連付けられた遷移禁止パターン５２を第４データレジスタ６４にセットする。

ステップＳ６３では、低速時の遷移禁止パターンをメモリからセットする。シーケンス回路３０は、ＲＯＭ５０から低速に関連付けられた遷移禁止パターン５２を第４データレジスタ６４にセットする。

ステップＳ６４では、停車時の遷移禁止パターンをメモリからセットする。シーケンス回路３０は、ＲＯＭ５０から停車に関連付けられた遷移禁止パターン５２を第４データレジスタ６４にセットする。

このように、シーケンス回路３０は、波形解析回路９０で取得した車速に関連付けられた遷移禁止パターン５２をＲＯＭ５０から取得する。なお、ステップＳ６２～Ｓ６４でのメモリは、ＲＯＭ５０における遷移禁止パターンメモリといえる。

第３実施形態の駆動装置１００は、第１実施形態の駆動装置１００と同様の効果を奏することができる。また、第３実施形態の負荷駆動システム１０００は、第１実施形態の負荷駆動システム１０００と同様の効果を奏することができる。

（第４実施形態）
図２０を用いて、第４実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態の駆動装置１００および負荷駆動システム１０００は、第１実施形態と構成が同じである。よって、本実施形態では、第１実施形態と同じ符号を用いる。本実施形態は、第３実施形態と同様、現駆動状態として、波形解析回路９０で判定された車速を用いる。よって、本実施形態の駆動装置１００は、波形解析回路９０を備えている必要がある。また、本実施形態は、第２実施形態と同様、遷移判定値として遷移許可パターンを用いる。

遷移許可パターンは、現駆動状態である波形解析回路９０で判定された車速に関連づけられて記憶されている。遷移許可パターンは、例えば０と１などで示される各車速を示す信号に関連付けて記憶されている。高速に関連付けられた遷移許可パターンは、２速、３速、４速を示す通電パターンを採用する。低速に関連付けられた遷移許可パターンは、１速、２速、３速を示す通電パターンを採用する。停車に関連付けられた遷移許可パターンは、１速、２速、Ｐレンジ、Ｒレンジを示す通電パターンを採用する。遷移許可パターンは、遷移判定値、許可判定値といえる。

駆動装置１００は、負荷駆動信号を受信すると、図２０のフローチャートに示す動作を開始する。図２０では、図１９と同じ処理に同じステップ番号を付与している。なお。ステップＳ６６ｂは、ステップＳ５２ｂと同様である。

ステップＳ６２ａでは、高速時の遷移許可パターンをメモリからセットする。シーケンス回路３０は、ＲＯＭ５０から高速に関連付けられた遷移許可パターンを第４データレジスタ６４にセットする。

ステップＳ６３ａでは、低速時の遷移許可パターンをメモリからセットする。シーケンス回路３０は、ＲＯＭ５０から低速に関連付けられた遷移許可パターンを第４データレジスタ６４にセットする。

ステップＳ６４ａでは、停車時の遷移許可パターンをメモリからセットする。シーケンス回路３０は、ＲＯＭ５０から停車に関連付けられた遷移許可パターンを第４データレジスタ６４にセットする。

このように、シーケンス回路３０は、波形解析回路９０で取得した車速に関連付けられた遷移許可パターンをＲＯＭ５０から取得する。なお、ステップＳ６２ａ～Ｓ６４ａでのメモリは、ＲＯＭ５０における遷移許可パターンメモリといえる。

第４実施形態の駆動装置１００は、第１、第２、第３実施形態の駆動装置１００と同様の効果を奏することができる。また、第４実施形態の負荷駆動システム１０００は、第１、第２、第３実施形態の負荷駆動システム１０００と同様の効果を奏することができる。

（第５実施形態）
図２１を用いて、第５実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態の駆動装置１００および負荷駆動システム１０００は、第１実施形態と構成が同じである。よって、本実施形態では、第１実施形態と同じ符号を用いる。本実施形態は、相関駆動状態として、制御パターンの更新値のかわりに、モニタレジスタ８４に記憶されたモニタパターンを用いる点が第１実施形態と異なる。よって、本実施形態の駆動装置１００は、電流検出抵抗８１、増幅器８２、第２比較器８３、モニタレジスタ８４を備えている必要がある。なお、本実施形態の遷移禁止パターン５２は、第１実施形態のものと同様である。

駆動装置１００は、負荷駆動信号を受信すると、図２１のフローチャートに示す動作を開始する。なお、図２１では、図１５と同じ処理に同じステップ番号を付与している。

ステップＳ５２ｃでは、制御を開始する。ＣＡＮコントローラ２は、制御パターンの更新値を制御レジスタ１１に格納する。そして、駆動ＩＣ２０は、制御レジスタ１１に格納された制御パターンの更新値にしたがって、駆動スイッチ３０１～３０８を選択的にオンオフさせる。これによって、駆動ＩＣ２０は、アクチュエータ４０ｎを選択的に通電する。駆動ＩＣ２０は、モニタパターンを取得するために、制御を行うとみなせる。

ステップＳ５２ｄでは、制御結果をモニタする。駆動装置１００は、上記のように電流検出抵抗８１、増幅器８２、第２比較器８３が動作することで、モニタレジスタ８４にモニタパターンを記憶させる。

ステップＳ５２ｅでは、モニタ結果と遷移禁止パターンを比較する。モニタ結果は、モニタパターンといえる。第１比較器４０は、第１データレジスタ６１にセットされたモニタパターンと、第４データレジスタ６４にセットされた遷移禁止パターン５２とを比較する。ＲＯＭ５０に複数の遷移禁止パターン５２が記憶されている場合は、上記実施形態と同様に比較する。

第１比較器４０は、モニタパターンと全遷移禁止パターン５２とが不一致の場合、ステップＳ５３へ進む。この場合、モニタパターンは、正常であるとみなせる。また、モニタパターンが正常であることで、制御パターンの更新値が正常であるとみなせる。

一方、第１比較器４０は、モニタパターンと遷移禁止パターン５２とが一致した場合、ステップＳ５４へ進む。つまり、第１比較器４０は、遷移禁止パターン５２の一つでもモニタパターンと一致した場合、ステップＳ５４へ進む。この場合、モニタパターンは、異常であるとみなせる。このように、第１比較器４０は、遷移禁止パターン５２の一つでもモニタパターンと一致した場合に、所定の対応関係を満たしていると判定する。また、モニタパターンが異常であることで、制御パターンの更新値が異常であるとみなせる。

第５実施形態の駆動装置１００は、第１実施形態の駆動装置１００と同様の効果を奏することができる。また、第５実施形態の負荷駆動システム１０００は、第１実施形態の負荷駆動システム１０００と同様の効果を奏することができる。さらに、自動変速機は、例えば、実際に４速からＰレンジへの遷移が指示された場合でも、油圧の応答等で、すぐにＰレンジに遷移しない。このため、駆動装置１００は、制御パターンの更新値のかわりにモニタパターンを用いることができる。

（第６実施形態）
図２２を用いて、第６実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態の駆動装置１００および負荷駆動システム１０００は、第１実施形態と構成が同じである。よって、本実施形態では、第１実施形態と同じ符号を用いる。本実施形態は、第５実施形態と同様、相関駆動状態として、制御パターンの更新値のかわりに、モニタレジスタ８４に記憶されたモニタパターンを用いる。また、本実施形態は、第２実施形態と同様、遷移判定値として遷移許可パターンを用いる。

駆動装置１００は、負荷駆動信号を受信すると、図２２のフローチャートに示す動作を開始する。なお、図２２では、図１５、図１８と同じ処理に同じステップ番号を付与している。また、ステップＳ５２ｆ、Ｓ５２ｇは、ステップＳ５２ｃ、Ｓ５２ｄと同様である。

ステップＳ５２ｈでは、モニタ結果と遷移許可パターンを比較する。モニタ結果は、モニタパターンといえる。第１比較器４０は、第１データレジスタ６１にセットされたモニタパターンと、第４データレジスタ６４にセットされた遷移許可パターンとを比較する。ＲＯＭ５０に複数の遷移許可パターンが記憶されている場合は、上記実施形態と同様に比較する。

第１比較器４０は、モニタパターンと少なくとも一つの遷移許可パターンとが一致した場合、ステップＳ５３へ進む。この場合、モニタパターンは、正常であるとみなせる。このように、第１比較器４０は、モニタパターンと少なくとも一つの遷移許可パターンとが一致する場合に、所定の対応関係を満たしていないと判定する。

一方、第１比較器４０は、モニタパターンと全遷移許可パターンとが不一致の場合、ステップＳ５４へ進む。この場合、モニタパターンは、異常であるとみなせる。このように、第１比較器４０は、モニタパターンと全遷移許可パターンとが不一致の場合に、所定の対応関係を満たしていると判定する。また、遷移許可パターンとモニタパターンとが不一致の状態は、モニタパターンが遷移許可パターンに含まれないともいえる。

第６実施形態の駆動装置１００は、第１、第２、第５実施形態の駆動装置１００と同様の効果を奏することができる。第６実施形態の負荷駆動システム１０００は、第１、第２、第５実施形態の負荷駆動システム１０００と同様の効果を奏することができる。

（第７実施形態）
図２３を用いて、第７実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態の駆動装置１００および負荷駆動システム１０００は、第１実施形態と構成が同じである。よって、本実施形態では、第１実施形態と同じ符号を用いる。

本実施形態は、第３実施形態と同様、現駆動状態として波形解析回路９０で判定された車速を用いる。よって、本実施形態の駆動装置１００は、波形解析回路９０を備えている必要がある。なお、本実施形態の遷移禁止パターン５２は、第３実施形態のものと同様である。

また、本実施形態は、第５実施形態と同様、相関駆動状態としてモニタパターンを用いる。よって、本実施形態の駆動装置１００は、電流検出抵抗８１、増幅器８２、第２比較器８３、モニタレジスタ８４を備えている必要がある。

駆動装置１００は、負荷駆動信号を受信すると、図２３のフローチャートに示す動作を開始する。なお、図２３では、図２０と同じ処理に同じステップ番号を付与している。また、ステップＳ６６ｃ～Ｓ６６ｅは、ステップＳ５２ｃ～Ｓ５２ｅと同様である。

第７実施形態の駆動装置１００は、第１、第３、第５実施形態の駆動装置１００と同様の効果を奏することができる。また、第７実施形態の負荷駆動システム１０００は、第１、第３、第５実施形態の負荷駆動システム１０００と同様の効果を奏することができる。

（第８実施形態）
図２４を用いて、第８実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態の駆動装置１００および負荷駆動システム１０００は、第１実施形態と構成が同じである。よって、本実施形態では、第１実施形態と同じ符号を用いる。

本実施形態は、第４実施形態と同様、現駆動状態として波形解析回路９０で判定された車速を用いる。よって、本実施形態の駆動装置１００は、波形解析回路９０を備えている必要がある。なお、本実施形態の遷移許可パターンは、第４実施形態のものと同様である。

また、本実施形態は、第６実施形態と同様、相関駆動状態としてモニタパターンを用いる。よって、本実施形態の駆動装置１００は、電流検出抵抗８１、増幅器８２、第２比較器８３、モニタレジスタ８４を備えている必要がある。

駆動装置１００は、負荷駆動信号を受信すると、図２４のフローチャートに示す動作を開始する。なお、図２４では、図２０と同じ処理に同じステップ番号を付与している。また、ステップＳ６６ｆ～Ｓ６６ｈは、ステップＳ５２ｆ～Ｓ５２ｈと同様である。

第８実施形態の駆動装置１００は、第１、第４、第６実施形態の駆動装置１００と同様の効果を奏することができる。第８実施形態の負荷駆動システム１０００は、第１、第４、第６実施形態の負荷駆動システム１０００と同様の効果を奏することができる。

（第９実施形態）
図２５、図２６、図２７を用いて、第９実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態は、現駆動状態として、制御パターンの前回値のかわりに、センサ検出回路９１の各検出結果を用いる点が第１実施形態と異なる。また、本実施形態の駆動装置１００は、センサ検出回路９１を備える点が第１実施形態の駆動装置１００と異なる。センサ検出回路９１は、センサ７００が接続されている。

図２５に示すように、本実施形態のセンサ７００は、油圧センサ７０１（ＯＰＳ）と、回転センサ７０２（ＲＳ）と、油温センサ７０３（ＯＴＳ）を有している。油圧センサ７０１は、油圧回路における作動油の圧力を示す信号を出力する。回転センサ７０２は、回転センサ６００と同様である。油温センサ７０３は、油圧回路における作動油の温度を示す信号を出力する。センサ７００は、負荷の駆動状態に応じた電気信号を出力するものである。

センサ検出回路９１（ＳＥＮＤ）は、センサ７００の信号を検出する。センサ検出回路９１は、センサ７００からの入力信号に対して所定処理、例えば波形検出、Ａ／Ｄ変換などを行う。センサ検出回路９１は、負荷の状態、すなわちバルブボディを含む自動変速機の状態を検出する。つまり、バルブボディを含む自動変速機の状態は、各アクチュエータ４０ｎの現在の駆動状態である現駆動状態とみなせる。同様に、センサ検出回路９１の各検出結果は、現駆動状態とみなせる。センサ検出回路９１は、取得装置といえる。

センサ検出回路９１の各検出結果は、例えば０と１によって表すことができる。センサ検出回路９１は、各検出結果をシーケンス回路３０に出力する。また、センサ検出回路９１は、各検出結果をモニタレジスタ８４に書き込むようにしてもよい。

ＲＯＭ５０には、各検出結果と遷移禁止パターン５２とが関連付けられて記憶されている。また、ＲＯＭ５０には、遷移禁止パターン５２のかわりに、遷移許可パターンが各検出結果と関連付けられて記憶されていてもよい。ここでは、一例として、遷移禁止パターン５２を採用する。

駆動装置１００は、所定時間ごとに、図２６のフローチャートに示す動作を開始する。

ステップＳ７０では、通信データを受信する。ＣＡＮコントローラ２は、ＣＡＮトランシーバ１を介して通信バスＢ１からフレームを受信する。ＣＡＮコントローラ２は、受信したメッセージ等を抽出し、メッセージボックスに順次格納する。

ステップＳ７１では、データを取り出す。ＣＡＮコントローラ２は、メッセージボックスから負荷駆動信号を示すデータを取り出す。ＣＡＮコントローラ２は、取り出した負荷駆動信号を示すデータをレジスタに格納する。レジスタに格納した負荷駆動信号を示すデータは、制御パターンの更新値といえる。シーケンス回路３０は、制御パターンの更新値を第１データレジスタ６１にセットする。

ステップＳ７２では、状態を取得する。シーケンス回路３０は、制御レジスタ１１に記憶されている制御パターンの前回値を第２データレジスタ６２にセットする。

ステップＳ７３では、遷移を判定する。シーケンス回路３０は、ステップＳ７１で取り出した制御パターンの更新値と、ステップＳ７２で取得した制御パターンの前回値とから駆動遷移を判定する。つまり、シーケンス回路３０は、現駆動状態から、制御パターンの更新値が示す駆動状態への駆動遷移を判定する。

シーケンス回路３０は、例えば、図１６に示すように、制御パターンの更新値と制御パターンの前回値とを組み合わせた遷移パターンを生成することで、駆動遷移を判定する。この場合、シーケンス回路３０は、図１６に示すように、遷移パターンに対応する遷移禁止パターン５２を第４データレジスタ６４にセットする。

ステップＳ７４では、比較する。第１比較器４０は、遷移パターンと遷移禁止パターン５２とを比較する。第１比較器４０は、遷移パターンと全遷移禁止パターン５２とが不一致の場合、ステップＳ７５へ進む。この場合、制御パターンの更新値は、正常であるとみなせる。

一方、第１比較器４０は、遷移パターンと遷移禁止パターン５２とが一致した場合、ステップＳ７７へ進む。つまり、第１比較器４０は、遷移禁止パターン５２の一つでも制御パターンの更新値と一致した場合、ステップＳ７７へ進む。この場合、制御パターンの更新値は、異常であるとみなせる。

ステップＳ７５では、正常通信と判定する。第１比較器４０は、正常通信と判定する。このとき、第１比較器４０は、第２信号線Ｌ２を介して、ＥＣＵ２００に正常信号を出力してもよい。

ステップＳ７６では、駆動ＩＣ２０を制御する。ステップＳ７６は、ステップＳ５３と同様である。

ステップＳ７７では、データを破棄する。第１比較器４０は、上記のように、制御パターンの更新値が異常であることを示す異常信号をＣＡＮコントローラ２に出力する。ＣＡＮコントローラ２は、異常信号が入力されると、制御パターンの更新値をＳＰＩ回路１０に出力することなく破棄する。ＣＡＮコントローラ２は、制御パターンの更新値をＳＰＩ回路１０に出力しないことで制御パターンの更新値を破棄する。なお、ＣＡＮコントローラ２は、異常信号が入力された時点で記憶している制御パターンの更新値を消去することで破棄してもよい。

このように、第１比較器４０は、異常信号をＣＡＮコントローラ２に出力することで、異常と判定した制御パターンの更新値を制御レジスタ１１に記憶させない。このため、駆動装置１００は、異常と判定された制御パターンの更新値が制御レジスタ１１に書き込まれない。よって、駆動装置１００は、異常と判定された制御パターンの更新値によって、各アクチュエータ４０ｎの駆動を制御することを抑制できる。

ステップＳ７８では、データ破棄を通知する。第１比較器４０は、第２信号線Ｌ２を介して、ＥＣＵ２００に異常信号を出力する。異常信号は、制御パターンの更新値が異常であることなどを示すとともに、データの破棄を通知する信号である。ここでのデータは、制御パターンの更新値である。また、このように、駆動装置１００は、マイコンなどを用いることなく、第１比較器４０が異常信号を出力する。

なお、第１比較器４０は、異常信号を給電回路７０に出力しなくてもよい。また、ステップＳ７７、Ｓ７８は、他の実施形態にも適用できる。

ＥＣＵ２００の動作に関して説明する。ＥＣＵ２００は、所定時間ごとに、図２７のフローチャートに示す動作を開始する。なお、ステップＳ８０，Ｓ８１は、ステップＳ１０，Ｓ１１と同様である。

ステップＳ８２では、データの破棄通知の有無を判定する。ＣＰＵ２０１１は、第２信号線Ｌ２を介して、駆動装置１００からデータの破棄通知を受信したか否かによって、破棄通知の有無を判定する。ＣＰＵ２０１１は、破棄通知を受信した場合に破棄通知有りと判定してステップＳ８４へ進み、破棄通知を受信してない場合に破棄通知無しと判定してステップＳ８３へ進む。

ステップＳ８３では、正常判定する。ＣＰＵ２０１１は、駆動装置１００との通信が正常であると判定する。

ステップＳ８４では、通知をカウントする。ＣＰＵ２０１１は、破棄通知をカウントする。ステップＳ８５～Ｓ８７は、ステップＳ１８～Ｓ２０と同様である。

第９実施形態の駆動装置１００は、第１実施形態の駆動装置１００と同様の効果を奏することができる。また、第９実施形態の負荷駆動システム１０００は、第１実施形態の負荷駆動システム１０００と同様の効果を奏することができる。さらに、第９実施形態の負荷駆動システム１０００は、通信異常が発生した場合に、ＥＣＵ２００から、各アクチュエータ４０ｎの電源状態を遮断状態とすることができる。このため、第９実施形態の負荷駆動システム１０００は、駆動装置１００をより一層簡易な構成とすることができる。

（第１０実施形態）
図２８を用いて、第１０実施形態の駆動装置１００および負荷駆動システム１０００に関して説明する。本実施形態では、便宜的に、第１実施形態と同じ符号を用いている。

第１０実施形態の駆動装置１００は、シフトバイワイヤシステムにおけるモータ８００を駆動制御する点が上記実施形態と異なる。よって、アクチュエータ４０１～４０３は、モータ８００のＵ相巻き線、Ｖ相巻き線、Ｗ相巻き線といえる。

本実施形態の駆動装置１００は、センサ検出回路９２を備える点が第１実施形態の駆動装置１００と異なる。本実施形態は、現駆動状態として、制御パターンの前回値のかわりに、センサ検出回路９２の各検出結果を用いる点が第１実施形態と異なる。本実施形態は、遷移判定値が、現駆動状態と車両状態からの駆動遷移に相関する値である点が第１実施形態と異なる。

本実施形態は、負荷駆動信号における各アクチュエータ４０１～４０３への駆動状態を指示する信号が制御レジスタ１１の各アドレスのビットに書き込まれる点が第１実施形態と異なる。本実施形態では、制御レジスタ１１に記憶された制御パターンの更新値に相関する各アクチュエータ４０１～４０８の相関駆動状態として、制御パターンの更新値そのものを採用している。

シフトバイワイヤシステムは、モータ８００のほかにも、パーキングロック（Ｐロック）機構やシフトレンジ切替機構などを備えている。モータ８００は、図示しない車両に搭載されるバッテリから電力が供給されることで回転し、シフトレンジ切替機構の駆動源として機能する。モータ８００は、給電スイッチ５００のオンにより、各アクチュエータ４０ｎに対して電流の供給が可能となる。給電スイッチ５００のオフにより、各アクチュエータ４０ｎに対する電流の供給が遮断される。

制御パターンの更新値は、例えば、Ｐロックの解除などを示すものを採用できる。つまり、ＥＣＵ２００は、駆動装置１００に対する負荷駆動信号として、単にモータ８００の回転を指示する信号だけではなく、Ｐロックの解除を指示する信号なども含まれる。

本実施形態のセンサは、ブレーキスイッチ７０４、Ｐロックセンサ７０５を有している。ブレーキスイッチ７０４（ＢＳ）は、ブレーキペダルが踏み込まれた状態か、ブレーキペダルが踏み込まれていない状態かを示す信号を出力する。また、ブレーキスイッチ７０４は、ブレーキペダルの踏み込み量に応じた信号を出力するものであってもよい。Ｐロックセンサ７０５（ＰＬＳ）は、Ｐロックがロック状態か非ロック状態かを示す信号を出力する。

センサ検出回路９２（ＳＥＮＤ）は、センサ７００の信号を検出する。センサ検出回路９２は、センサ７００からの入力信号に対して所定処理、例えば波形検出、Ａ／Ｄ変換などを行う。センサ検出回路９２は、負荷の状態、すなわちシフトバイワイヤシステムの状態を検出する。つまり、シフトバイワイヤシステムの状態は、各アクチュエータ４０ｎの現在の駆動状態である現駆動状態とみなせる。同様に、センサ検出回路９２の検出結果は、現駆動状態とみなせる。また、センサ検出回路９２は、車両のブレーキペダルの踏み込み状態を検出する。車両のブレーキペダルの踏み込み状態は、車両状態とみなせる。センサ検出回路９２は、取得部といえる。

センサ検出回路９２の各検出結果は、例えば０と１によって表すことができる。センサ検出回路９２は、各検出結果をシーケンス回路３０に出力する。また、センサ検出回路９２は、各検出結果をモニタレジスタ８４に書き込むようにしてもよい。

ＲＯＭ５０には、センサ検出回路９２の各検出結果と遷移禁止パターン５２とが関連付けられて記憶されている。つまり、遷移禁止パターン５２は、現駆動状態と車両状態に関連付けられている。また、ＲＯＭ５０には、遷移禁止パターン５２のかわりに、遷移許可パターンが各検出結果と関連付けられて記憶されていてもよい。ここでは、一例として、遷移禁止パターン５２を採用する。

シーケンス回路３０は、各検出結果に基づいて、現駆動状態と車両状態を判定する。また、シーケンス回路３０は、各検出結果に関連付けられた遷移禁止パターン５２を第４データレジスタ６４にセットする。遷移禁止パターン５２は、例えば、Ｐロックがロック状態で、ブレーキペダルが踏み込まれていない状態に対して、Ｐロックの解除を示す制御パターンの更新値などを採用できる。

第１比較器４０は、上記実施形態と同様に、制御パターンの更新値と、遷移禁止パターン５２とを比較する。第１比較器４０は、制御パターンの更新値と遷移禁止パターン５２とが一致した場合に異常と判定し、不一致の場合に正常と判定する。

第１０実施形態の駆動装置１００は、第１実施形態の駆動装置１００と同様の効果を奏することができる。第１０実施形態の負荷駆動システム１０００は、第１実施形態の負荷駆動システム１０００と同様の効果を奏することができる。

１…ＣＡＮトランシーバ、２…ＣＡＮコントローラ、１０…ＳＰＩ回路、１１…制御レジスタ、２０…駆動ＩＣ、３０…シーケンス回路、４０…第１比較器、５０…ＲＯＭ、５１…通電パターン、５２…遷移禁止パターン、６０…レジスタ部、６１…第１データレジスタ、６２…第２データレジスタ、６３…第３データレジスタ、６４…第４データレジスタ、７０…給電回路、８１…電流検出抵抗、８２…増幅器、８３…第２比較器、８４…モニタレジスタ、９０…波形解析回路、９１，９２…センサ検出回路、１００…駆動装置、２００…ＥＣＵ、３０１～３０ｎ…第１～第ｎ駆動スイッチ、４０１～４０ｎ…第１～第ｎアクチュエータ、５００…給電スイッチ、６００…回転センサ、７００…センサ、７０１…油圧センサ、７０２…回転センサ、７０３…油温センサ、７０４…ブレーキスイッチ、７０５…Ｐロックセンサ、１０００…負荷駆動システム、Ｌ１…第１信号線、Ｌ２…第２信号線、Ｌ３…第３信号線

Claims (9)

1. 負荷制御装置（２００）と、負荷駆動装置（１００）と、前記負荷制御装置と前記負荷駆動装置とが接続された通信バス（Ｂ１）と、前記負荷制御装置と前記負荷駆動装置とを接続する前記通信バスとは異なる信号線（Ｌ３）とを備え、負荷を駆動する負荷駆動システムであって、
   前記負荷制御装置は、前記負荷の駆動状態を指示する駆動情報を含む複数のメッセージを、前記通信バスを介して前記負荷駆動装置に送信する送信部（Ｓ１２）を備え、
   前記負荷駆動装置は、
   前記通信バスを介して前記メッセージを受信し、受信した前記メッセージを受信用のメッセージボックスに格納し、前記メッセージボックスから前記駆動情報を含む駆動指示メッセージを抜き出し、前記駆動指示メッセージを負荷駆動信号に変換するものであり、
   前記負荷駆動信号に基づいて前記負荷を駆動する駆動部（Ｓ３５）と、
   前記信号線を介して前記負荷制御装置に前記負荷駆動信号を通知する通知部（Ｓ３４）と、を備え、
   前記負荷制御装置は、
   前記信号線を介して前記負荷駆動信号を取得する取得部（Ｓ１３）と、
   前記送信部から送信した前記駆動指示メッセージと、前記取得部で取得した前記負荷駆動信号とを比較する比較部（Ｓ１４）と、
   前記送信部から送信した前記駆動指示メッセージと、前記取得部で取得した前記負荷駆動信号とが所定の対応関係を満たさない場合に前記取得部で前記負荷駆動信号を取得した回数をカウントし、前記カウントしたカウント数が所定回数を超えると、前記取得部で取得した前記負荷駆動信号が異常であり、前記負荷駆動装置が前記負荷を異常に駆動する状態であると判定する異常判定部（Ｓ１７～Ｓ１９）と、を備えている負荷駆動システム。
2. 前記通知部は、前記駆動部にて前記負荷を駆動する前に、前記負荷駆動信号を、前記信号線を介して前記負荷制御装置に通知する請求項１に記載の負荷駆動システム。
3. 前記負荷制御装置は、前記異常判定部にて異常に駆動する状態であると判定された場合、前記負荷を異常処置状態とする異常処置部（Ｓ２０）を備えている請求項１または２に記載の負荷駆動システム。
4. 前記負荷制御装置は、前記異常判定部にて異常に駆動する状態でないと判定されるまで、前記負荷を駆動禁止とし、前記異常判定部にて異常に駆動する状態でないと判定されると、前記負荷駆動装置に対して、前記負荷の駆動許可を示す駆動許可信号を送信する駆動許可部（Ｓ１１，Ｓ１５）を備えている請求項１～３のいずれか１項に記載の負荷駆動システム。
5. 前記負荷駆動装置は、抜き出した前記駆動指示メッセージよりも情報量が少ない前記負荷駆動信号に変換する請求項１～４のいずれか１項に記載の負荷駆動システム。
6. 前記負荷駆動装置は、前記負荷の前記駆動状態に応じた電気信号を出力するセンサが接続されており、前記センサから出力された前記電気信号を、前記通信バスを介して前記負荷制御装置に送信する請求項１～５のいずれか１項に記載の負荷駆動システム。
7. 前記通知部は、前記負荷駆動信号を、前記信号線を介して前記負荷制御装置に通知する際に、パルス信号のデューティで通知する請求項１～６のいずれか１項に記載の負荷駆動システム。
8. 前記負荷制御装置は、前記通信バスを介して、三本以上の銅線を必要とする通信方式とは異なる方式で、前記負荷駆動装置に前記メッセージを送信する請求項１～７のいずれか１項に記載の負荷駆動システム。
9. 前記負荷制御装置は、前記メッセージを含むフレームを前記通信バスを介して送信し、
   前記負荷駆動装置は、前記通信バスを介して前記フレームを受信し、前記フレームから前記駆動指示メッセージを抜き出す請求項１～８のいずれか１項に記載の負荷駆動システム。

Images