JP2011014458A - 燃料電池発電システム - Google Patents

Abstract

【課題】簡単な構成で最低限の安全を確保できる。
【解決手段】サブ制御装置６は、ＣＰＵ３１と、制御装置４からの信号を入力する１つの入力モジュール３３と、原燃料遮断弁へ信号出力する１つの出力モジュール３４を有する。つまり、入力／出力モジュールを、１台ずつしか有していない。そして、ＣＰＵ３１は、制御装置４からの入力信号に基づいて、制御装置４の異常を検知した場合には、出力モジュール３４を介して原燃料遮断弁へ閉指令信号を出力する。これによって原燃料遮断弁が閉じることで、原燃料の供給がストップする。
【選択図】 図３

Description

本発明は、燃料電池発電システムに関する。

燃料電池発電システムの制御装置に故障が発生した場合、通常、当該燃料電池発電システムへの原燃料流入を遮断したり、窒素パージを行う等、全ての出力（制御装置からの制御信号）が安全側に働くように設計されている。例えば、制御装置は、故障時に全ての出力をＯＦＦにする制御を行う。しかしながら、制御装置自体が故障するのであるから、常にこの様な制御が実行できるとは限らない（全ての出力がＯＦＦにならない場合があり得る）。

安全性能を高めた制御装置として、例えば特許文献１記載の安全ＰＬＣが知られている。
また、例えば、特許文献２記載の従来技術も知られている。

特許文献１には、ＣＰＵユニットと出力ユニットを備えたコントローラに関して、ＣＰＵユニットと出力ユニットの両方に同一内容のユーザプログラムを記憶させて、各々の演算部によりユーザプログラムを実行させ、これら演算部による演算結果を比較し、一致した場合のみ演算結果を出力ユニットから出力することが開示されている。

また、特許文献２では、制御装置の異常時には、データ伝送バスに異常データを流さないようにするデータ伝送装置等を提案している。特許文献２におけるデータ伝送カードは、制御装置内のＣＰＵからの入力データを、マルチプレクサを介して２ポートメモリに記憶し、このデータをＲＡＭに格納し、この格納データをＨＤＬＣフォーマットに変換してモデムを介してデータ伝送バスに送出する。そして、上記ＣＰＵが異常のときには、上記マルチプレクサを停止して切り離し、別のマルチプレクサを動作させて、他系統の制御装置のデータを入力して伝送する。

特開２００２−３５８１０６号公報 特開平７−２８３８４６号公報

ここで、燃料電池発電システムにおいては、制御装置が故障すること自体は完全には避けられないにしても、それによって火災等の重大事故が発生することは絶対に阻止しなければならない。しかしながら、従来では、制御装置の出力がＯＮのまま制御不能になるケースは想定していないため（上記の様に全ての出力がＯＦＦにならない場合があり得るが、従来ではこの様なケースに対する対応方法を考えていない）、例えば原燃料流量遮断弁が開いたまま制御不能になった場合、可燃性ガス漏れ等による火災等の重大事故に繋がる可能性があった。

例えば、上記特許文献１等の安全ＰＬＣを用いても、この安全ＰＬＣの制御装置が故障しないとは限らず、上記の問題は解決しない。また、この様な安全ＰＬＣは、構成が複雑になり、それ故にコスト高となり、燃料電池発電システムのように制御点数が多いシステムの場合は特に、全ての制御点においてその制御装置に安全ＰＬＣを適用すると、非常にコスト高となり、コストの面で問題となる（また、当然、構成も複雑になる問題がある）。

また、プログラマブルコントローラの分野では、従来、稼動系と待機系の２つの制御装置を備え、稼動系の制御装置が故障した場合には、待機系の制御装置が制御を引き継ぐ構成の冗長二重化システムが知られている。この場合も、冗長的に制御装置を１台追加することになるので、コスト高となる。

本発明の課題は、簡単な構成でコスト低減を図りつつ最低限の安全を確保でき、特に重大事故に繋がる可能性がある特定の異常が発生した場合でも（例えば制御装置が故障した場合でも）火災等の重大事故に繋がることを防止できる燃料電池発電システム等を提供することである。

本発明の燃料電池発電システムは、少なくとも、原燃料に基づいて水素を生成する改質装置と、外部から該改質装置に前記原燃料を供給する為の供給路上に設けられた原燃料遮断弁と、制御装置を有する燃料電池発電システムであって、前記制御装置は、前記燃料電池発電システム内の各所に設けられる各種計測機器からの各種計測データを入力する複数の第１入力モジュールと、前記燃料電池発電システム内の前記改質装置、原燃料遮断弁を含む各制御対象構成要素へ制御信号を出力する複数の第１出力モジュールと、前記各第１入力モジュールを介して前記各種計測データを収集し、該計測データに基づいて前記制御信号を生成して前記第１出力モジュールから出力させる第１演算処理手段を有し、サブ制御装置を更に備え、該サブ制御装置は、前記制御装置からの所定信号を入力する第２入力モジュールと、少なくとも前記原燃料遮断弁に制御信号を出力する第２出力モジュールと、前記所定信号に基づいて特定の異常を検知した場合、前記第２出力モジュールを介して少なくとも前記原燃料遮断弁に対して閉指令信号を出力することで前記原燃料の供給を停止させる第２演算処理手段とを有する。

例えば一例としては、前記第２出力モジュールは前記原燃料遮断弁に対する制御信号のみを出力する出力モジュールであり、前記第２演算処理手段は、前記所定信号に基づいて特定の異常を検知した場合、該第２出力モジュールを介して前記原燃料遮断弁に対する閉指令信号のみを出力させる。

あるいは、他の例としては、前記第２出力モジュールは、前記原燃料遮断弁に対する制御信号を含む、前記燃料電池発電システムを緊急停止させる為の該燃料電池発電システムにおける複数の構成要素に対する各種制御信号を出力する出力モジュールであり、
前記第２演算処理手段は、前記所定信号に基づいて特定の異常を検知した場合、該第２出力モジュールを介して、前記原燃料遮断弁を含む前記複数の構成要素に対して、前記燃料電池発電システムを緊急停止させる為の指令信号を出力する。

従来の例えば稼動／待機の冗長二重化システムでは上記制御装置と同様の構成の制御装置をもう一台追加することになる。あるいは上記制御装置を特許文献１等の安全ＰＬＣとすることも考えられる。しかしながら、これらの従来手法では、構成が複雑になりコスト高となる。また、火災等の重大事故の発生を阻止できるとは限らない。

一方、上記構成の本発明の燃料電池発電システムでは、特定の異常を検知した場合に少なくとも原燃料の供給を停止させる制御を行う簡単な構成のサブ制御装置を設ける。これによって簡単な構成で最低限の安全を確保できるようになる。

このサブ制御装置は、上記一例のように、原燃料の供給を停止させる制御のみを行うようにしてもよい。この場合でも、火災等の重大事故の発生を阻止でき、最低限の安全を確保できる。そして、この一例の場合には、サブ制御装置は極めて簡単な構成で済む(基本的に、入力モジュール、出力モジュールがそれぞれ１つのみで済む)。

また、この例に限らず、サブ制御装置は、上記他の例のように、燃料電池発電システムを緊急停止させる処理のみを行うものであってもよい。この緊急停止処理には、原燃料の供給を停止させる制御も含まれる。よって、上記一例と他の例は、少なくとも原燃料の供給を停止させる制御は行われる点で共通する。

また、上記特定の異常は、上記制御装置自体の異常、あるいは緊急停止を行うべき異常である。
すなわち、上記構成の燃料電池発電システムにおいて、例えば、前記特定の異常は、前記制御装置の異常であり、前記制御装置からの所定信号は定周期パルス信号であり、前記第２演算処理手段は、該定周期パルス信号が途絶えた場合に前記特定の異常を検知したものと判定する。つまり、サブ制御装置は、制御装置自体の異常を検知した場合、原燃料遮断弁に対して閉指令信号を出力することで前記原燃料の供給を停止させる。この場合の制御装置自体の異常とは、特に制御不能になるような重大な故障を意味する。これによって、制御装置が故障した場合でも（特に制御不能になるような重大な故障が発生した場合でも）、火災等の重大事故に繋がることを防止できる。

あるいは、上記構成の燃料電池発電システムにおいて、例えば、前記特定の異常は、緊急停止を行うべき異常であり、前記制御装置は、更に、前記計測データに基づいて異常判定を行い、前記緊急停止を行うべき異常が発生したと判定した場合には、前記サブ制御装置に対して異常信号を送信すると共に、前記第１出力モジュールを介して前記原燃料遮断弁に対して閉指令信号を出力する異常判定・対応手段を有し、前記制御装置からの所定信号は前記異常信号であり、前記第２演算処理手段は、該異常信号を受信した場合に前記特定の異常を検知したものと判定する。

この場合、制御装置には上記のような制御不能になるような重大な故障は生じていないが、例えば原燃料遮断弁に接続した第２出力モジュールに故障が発生している場合も有り得る。もし、この様な状態で緊急停止を行うべき異常が発生した場合、制御装置は原燃料遮断弁を閉制御できないかもしれないが、サブ制御装置が原燃料遮断弁を閉制御するので、確実に緊急停止が実行され、火災等の重大事故に繋がることを防止できる。

また、例えば、前記制御装置と前記サブ制御装置とが相互に離れた位置となるように設置されるようにしてもよい。特に、燃料電池発電システムに物理的な衝撃が加わった場合、制御装置とサブ制御装置の位置が近いと、両方とも故障する可能性がある為、この様な事態を回避するものである。

本発明の燃料電池発電システム等によれば、簡単な構成でコスト低減を図りつつ最低限の安全を確保でき、特に重大事故に繋がる可能性がある特定の異常が発生した場合でも（例えば制御装置が故障した場合でも）火災等の重大事故に繋がることを防止できる。

本例の燃料電池発電システムの概略図である。 メイン制御装置の概略構成例である。 実施例１のサブ制御装置の概略構成例である。 メイン制御装置の概略処理フローチャート図である。 実施例１のサブ制御装置の概略処理フローチャート図である。 本例の燃料電池発電システムの詳細構成例を示す図である。 本例の燃料電池発電システムに係る電力系統の構成図である。 実施例２のサブ制御装置の概略構成例である。 実施例２のサブ制御装置の概略処理フローチャート図である。

以下、図面を参照して、本発明の実施の形態について説明する。
図１は、本実施の形態に係る燃料電池発電システムの概略図である。
本例の燃料電池発電システムは、以下にまず説明する実施例１においては、概略的には、原燃料遮断弁の制御部分のみ制御を２重化することで、簡単な構成で制御装置の故障等による火災等の重大事故発生を防ぐことができるものである。

また、後述するサブ制御装置の設置場所を、制御装置の設置場所から隔離することで、制御装置、サブ制御装置の両方ともが同時に故障する可能性を減らすことができる。
図１に示すシステム構成のうち、まず、従来の燃料電池発電システムと略同様であってよい構成・処理について説明する。

図示の燃料電池発電システム１０において、まず、炭化水素系の原燃料８が、原燃料遮断弁７を介して、改質装置２に流入する。また、改質装置２に対して、補機ユニット５内の水蒸気分離器（不図示）から水蒸気が送られてくる。但し、これら水蒸気と原燃料８とは、改質装置２への流入前に合流する。そして、改質装置２内において化学反応により水素に改質される。この水素は燃料電池本体１に送られる。また、燃料電池本体１には、補機ユニット５内の反応空気ブロア（不図示）から反応空気が供給されている。これより、燃料電池本体１内において、上記水素と反応空気との化学反応により直流電流を発生する。燃料電池本体１にて発生した直流電流は、インバータ３にて交流に変換され、不図示の負荷に供給される。制御装置４は当該燃料電池システム１０全体の制御を行う。

原燃料８を外部（不図示）から改質装置２に供給する為の供給路（配管等）上に、上記原燃料遮断弁７が設けられており、原燃料遮断弁７が“開”の状態では原燃料８が改質装置２に流入するが、原燃料遮断弁７が“閉”（ここでは完全に閉を意味するものとする）の状態では原燃料８は改質装置２に流入しない（システム１０に対する原燃料８の供給がストップする）。原燃料遮断弁７の“開”／“閉”制御は、基本的には、制御装置４が行う。

以下、本システム１０の特徴について説明する。
本システム１０の特徴は、主にサブ制御装置６を設けたことにある。
ここでは、実施例１のサブ制御装置６について説明する。実施例２のサブ制御装置６については、後に説明する。

実施例１においては、サブ制御装置６は、特定の異常を検知した場合に、原燃料遮断弁７を閉じる制御を実行することで、システムの安全を確保する。特定の異常とは、制御装置４の故障（特に制御不能になるような重大な故障）や、緊急停止を行うべき異常等である（詳しくは後述する）。換言すれば、実施例１のサブ制御装置６は、基本的に、制御装置４の故障時等に原燃料遮断弁７を閉じる機能しか有さない。よって、サブ制御装置６は極めて簡単な構成で実現できる。そして、制御装置４の故障等があっても、火災等の重大事故に繋がることは防止することができる。

サブ制御装置６は、実施例１，２の何れにおいても、従来の稼動系と待機系の２つの制御装置とから成る冗長二重化制御システムの場合における待機系の制御装置に相当するものではない。既に述べたように、この様な冗長制御システムにおける待機系の制御装置は、稼動系の制御装置の故障時に、自らが稼動系に移行して処理を引き継ぐものである為、稼動系の制御装置と同じ構成・機能を有する必要があり、構成が複雑になり、コスト高となる。これに対して、実施例１，２のサブ制御装置６は、処理を引き継ぐことはできないが、極めて簡単な構成で低コストで、火災等の重大事故は確実に防止することができる。

また、例えば制御装置４を、例えば上記特許文献１等の既存の所謂“安全ＰＬＣ”とした場合でも、既に述べた通り、制御装置が故障しないとは限らないし、また制御装置の故障時に火災等の重大事故を確実に防止できるものでもなく、更に装置が複雑化・高コスト化してしまう。本手法では、制御装置４は、“安全ＰＬＣ”としてもよいし、しなくてもよい。何れの場合でも、制御装置４が故障等しても、上記サブ制御装置６の制御によって、最低限の安全性を確保できる。

図２には制御装置４の概略構成例を示し、図３にはサブ制御装置６の概略構成例を示す。
また、図４には制御装置４の概略処理フローチャート図、図５はサブ制御装置６の概略処理フローチャート図を示す。

まず、図２に示す様に、制御装置４は概略的には、ＣＰＵ２１、複数の入力モジュール２３（図示の例では入力モジュールａ，ｂ，ｃ）、複数の出力モジュール２４（図示の例では出力モジュールｄ，ｅ，ｆ）を有し、ＣＰＵ２１、各入力モジュール２３、各出力モジュール２４は、システムバス２２に接続しており、システムバス２２を介して相互に通信（データ送受信）可能となっている。尚、ＣＰＵ２１は、ＣＰＵ本体だけでなくメモリ等の記憶装置等も備えるＣＰＵモジュールと考えても良い。これは後述するＣＰＵ３１に関しても同様である。

尚、ここでは簡単に示す為に入力モジュール２３、出力モジュール２４はそれぞれ３つずつ示しているが、実際には多数の入力先、出力先に応じた多数のモジュールが設けられることになる。

制御装置４の構成、動作は、従来とほぼ同じであってよく、ここでは詳細には説明せず、以下、図４も参照して、概略的な動作について説明する。尚、図４の処理は主にＣＰＵ２１が実行する。これは、不図示のメモリ等に予め記憶されているアプリケーションプログラムを、ＣＰＵ２１が読出し・実行することにより実現される。

まず、制御装置４は、随時、入力処理（データ収集）を実行している（ステップＳ１１）。すなわち、複数の入力モジュール２３（ａ，ｂ，ｃ）は、それぞれ当該システム１０内の各所（例えば上記改質装置２、補機ユニット５、燃料電池本体１、インバータ３の内部の任意の箇所等や、原燃料遮断弁７等）に設置されている各種計測機器（温度センサ、流量センサ、弁開度検出用センサ等の各種センサ等）による計測データを入力しており、ＣＰＵ２１は、システムバス２２を介して各入力モジュール２３から、この各種計測データを収集している。

そして、ＣＰＵ２１は、収集したデータに基づいて、異常発生か否かを判定する（ステップＳ１２）。上記の通り、この判定処理の詳細は説明しない（既存の異常判定処理であってよい）。

そして、異常発生していない場合には（ステップＳ１２、ＮＯ）、通常処理を実行し（ステップＳ１３）、この通常処理に基づく出力処理を実行する（ステップＳ１５）。これらの処理についても、既存の処理であってよく、詳細には説明しないが、通常処理は例えば収集したデータに基づいて新たな制御値や各種指令を決定する処理であり、出力処理はこの制御値や各種指令等を出力モジュール２４を介して出力する処理である。出力モジュール２４は、それぞれ当該システム１０内の各制御対象構成要素（例えば上記改質装置２、補機ユニット５、燃料電池本体１、インバータ３等における不図示の制御弁、コンダクタ等や、原燃料遮断弁７等）に対して、上記制御値や各種指令等を出力する。この各種指令には、例えば原燃料遮断弁７の弁を開く指令や弁を閉じる（完全に閉じる）指令等が含まれる。

一方、異常発生と判定した場合には（ステップＳ１２，ＹＥＳ）、この異常内容に応じた異常処理（異常時対処処理）を実行する（ステップＳ１４）。この異常処理も、既存技術であり、特に詳細には説明しないが、概略的には例えば（１）緊急停止、（２）通常停止、（３）待機行き故障、（４）負荷低減故障（発電電力設定を下げる）、（５）警告の何れかの処理を、異常内容に応じて決定・実行するものである。これら何れかの処理に係わる出力は、該当する出力モジュール２４を介して行われる。

上記（１）緊急停止は、燃料電池発電システムを緊急に停止する為の処理である。（１）緊急停止と（２）通常停止との違いは、（２）通常停止の場合には「発電冷却→停止動作→停止」となるが、（１）緊急停止の場合には発電冷却は行わずに停止動作に移行する点である。尚、発電冷却では、燃料電池本体１が一定温度以下になるまで発電を継続する。これらについては、従来技術であるので、特に詳細には説明しないが、“停止動作”には複数の動作より成るが、そのなかに原燃料遮断弁７を閉じる処理が含まれる。これによって原燃料８が燃料電池発電システム（改質装置２）に流入しないようにする。

例えば可燃性ガス漏洩検知や異常高温検知等の所定の入力信号を受信した場合に、上記「緊急停止を行うべき異常が発生した」と判定され、上記（１）緊急停止の処理が実行される。

そして、実施例１においては、サブ制御装置６は、上記特定の異常を検知した場合、上記原燃料遮断弁７を閉じる処理のみを行う。原燃料遮断弁７を閉じる（完全に閉じる）制御を行うことで、システム１０への原燃料８供給を停止させる。原燃料８流入がストップすれば、異常内容が何であっても、少なくとも火災等の重大事故は防止することができる。

但し、この様な例に限るものではなく、例えば後述する実施例２の場合には、サブ制御装置６は、上記特定の異常を検知した場合、例えば上記（１）緊急停止と同様の処理を行う。

次に、以下、図３、図５を参照して、実施例１のサブ制御装置６の構成・動作について説明する。
すなわち、図３は実施例１のサブ制御装置６の構成図であり、図５は実施例１のサブ制御装置６の処理フローチャート図である。

図３に示す例のサブ制御装置６は概略的には、ＣＰＵ３１、１つの入力モジュール３３（図示の入力モジュールｇ）、１つの出力モジュール３４（図示の出力モジュールｈ）を有し、ＣＰＵ３１、各入力モジュール３３、各出力モジュール３４は、システムバス３２に接続しており、システムバス３２を介して相互に通信（データ送受信）可能となっている。

従来の例えば上述した冗長二重化のシステム構成では、稼動、待機の２つの制御装置は基本的に同じ構成を有している必要がある。稼動系の制御装置に故障が発生した場合、これに代わって待機系の制御装置が処理を引き継ぎ実行する為である。この例に則して考えるならば、サブ制御装置６は上記図２の構成と略同様の構成とする必要があり、構成・機能が複雑になる。

これに対して、実施例１のサブ制御装置６は、図３に示すように、図２の構成に比べて簡単な構成となっている。すなわち、上記の通り、入力モジュール３３、出力モジュール３４はそれぞれ１つのみ設けられている。そして、出力モジュール３４の出力先は上記原燃料遮断弁７である。また、入力モジュール３３は通信線１１を介して制御装置４に接続しており、制御装置４からの所定の信号（後述する異常信号または定周期パルス信号）を入力している。そして、ＣＰＵ３１は、基本的に、特定の異常を検知した場合に上記原燃料遮断弁７を閉じる処理を行うだけである。

ここで、制御装置４は、通常時、上述した既存の処理に加えて、以下の（６）、（７）の処理を実行している。
（６）サブ制御装置６に対して通信線１１を介して定周期パルス信号を送信する。すなわち、常時、予め決められている一定の周期でパルス信号を送信している。

（７）上記ステップＳ１２の判定（異常発生）がＹＥＳであり、且つこの異常内容が上記「緊急停止を行うべき異常」であった場合（上記の通り、例えば可燃性ガス漏洩検知や異常高温検知等）、サブ制御装置６に対して通信線１１を介して異常信号を送信する。

以下、図５も参照して、サブ制御装置６の概略的な動作について説明する。尚、図５の処理は主にＣＰＵ３１が実行する。これは、不図示のメモリ等に予め記憶されているアプリケーションプログラムを、ＣＰＵ３１が読出し・実行することにより実現される。

図５の処理では、サブ制御装置６は、随時、入力処理を行っている（ステップＳ２１）。すなわち、入力モジュール３３は上記制御装置４からの信号を入力し、ＣＰＵ３１はシステムバス３２を介してこの信号を取得する。

そして、ＣＰＵ３１は、この信号が上記異常信号である場合（ステップＳ２２，ＹＥＳ）、あるいは上記定周期パルス信号が途絶えた場合（所定時間以上受信していない場合等）（ステップＳ２３，ＹＥＳ）には、出力モジュール３４を介して原燃料遮断弁７を閉じる指令を出力する（ステップＳ２４）。これにより、原燃料遮断弁７の弁は閉じられて、それ以降は本システム１０に原燃料は供給されない状態になる。

つまり、サブ制御装置６は、制御装置４の異常を検知したとき（定周期パルス信号が途絶えた場合）、または（１）緊急停止を実行すべき異常状態である場合（上記異常信号受信）には、上記原燃料遮断弁７を閉じる処理のみを実行するものである。

尚、異常信号受信に関しては、例えば制御装置４の故障が、例えば原燃料遮断弁７に制御信号を送出する為の出力モジュール２４に関する故障だけであり、上記図４の処理自体は問題なく実行される（但しこの場合、ステップＳ１５の出力処理を実行しても、出力モジュール２４からの出力は行われないことになる）等というケースが想定される。また、制御装置４に何等故障が無い場合には、制御装置４とサブ制御装置６の両方から原燃料遮断弁７に“閉”指令が出力されることになるが、これは特に問題ないものである（要は確実に原燃料遮断弁７が閉じられればよい）。

また、制御装置４に特に制御不能になるような重大な故障が生じた場合（例えば入力モジュール２３、出力モジュール２４の一部の故障程度ではなく、ＣＰＵ２１自体に故障が発生した場合等）、制御装置４から上記定周期パルス信号が送信されなくなる。これより、サブ制御装置６は、定周期パルス信号が途絶えたことにより、この様な重大な故障が制御装置４に発生したと見做して、原燃料遮断弁７を閉じる制御を行う。制御装置４が制御不能となっても、必ずしも火災発生等の重大事故に繋がるとは限らないが、本手法では安全確保を優先し、サブ制御装置６によって原燃料遮断弁７を閉じる制御を行うものである。

尚、上述した説明及びそれに対応する図面は、一例を示したものであり、この例に限らない。例えば、サブ制御装置６の構成として、図３の構成に加えて、原燃料遮断弁７の開／閉状態を入力する入力モジュール３３を更に備えるようにしてもよい。この場合、サブ制御装置６は、上記異常信号を受信した場合（ステップＳ２２，ＹＥＳ）、予め設定される所定時間、原燃料遮断弁７の開／閉状態を監視して、所定時間経過しても原燃料遮断弁７が閉状態にならなかった場合のみ、ステップＳ２４の処理（原燃料遮断弁７への“閉”指令）を実行するようにしてもよい。

原燃料供給さえ停止できれば、他の制御が異常となっても(制御不能となっても)、原燃料への引火等による火災発生等の重大事故には繋がらない。また、従来の冗長二重化システムのように全ての機能を二重化するのではなく、異常時の原燃料遮断弁７閉制御に特化したサブ制御装置６を設けているので（原燃料遮断弁７の制御部分のみ二重化しているので）、サブ制御装置６は極めて簡単な構成で済み、機器コストを低減でき、また製造や試験工数の手間が少なくて済むようになる。

尚、ステップＳ２２、Ｓ２３の判定は、必ずしも両方とも必要なものではなく、どちらか一方であってもよい。
また、例えば、制御装置４とインバータ３はセットで電気ユニット９として、故障確率を減らす為の措置が施されている。例えば他の機器（１，２，５）から隔離されている。また、更に、この電気ユニット９は、例えば何らかの耐熱材料等で囲われており、他の機器（特に燃料電池本体１と改質装置２のような高温状態となる機器）からの熱から保護されるようになっている。

ここで、本例のシステム１０内において、サブ制御装置６の設置位置は、他の機器（特に燃料電池本体１と改質装置２）からの高温の熱の影響が少なくて済み（例えばこれらの機器から出来るだけ離れた場所に設置する；あるいは何らかの耐熱材料等で囲む等）、且つ上記電気ユニット９からも離れた場所とすることが望ましい。すなわち、サブ制御装置６と電気ユニット９(特に制御装置４)とが相互に離れた位置となるようにすることが望ましい。特に、サブ制御装置６を電気ユニット９からも離れた場所とするのは、物理的な衝撃が加わる場合を考慮したものであり、この様な場合でも、制御装置４とサブ制御装置６が同時に故障する可能性を減らすことができる。尚、サブ制御装置６を、燃料電池発電システム１０の外側に設置するようにしてもよい。

以上実施例１について説明した。
以下、実施例２について説明する。
尚、以下の説明では、主に、実施例１と異なる点について説明するものであり、実施例１と同じ点については基本的には説明しないものとする。

上述した実施例１では、サブ制御装置６は、基本的に、制御装置４の故障時等に原燃料遮断弁７を閉じる機能しか有さないものであったが、この例に限るものではなく、サブ制御装置６は他の機能も有するものであってもよく、その一例を実施例２として示す。

実施例１では、上記の機能しか有さないので、サブ制御装置６は極めて簡単な構成で実現できる。そして、制御装置４の故障等があっても、火災等の重大事故に繋がることは防止することができる。つまり、極めて簡単な構成で最悪の事態は防止できる。

これに対して、実施例２では、サブ制御装置６は、制御装置４の故障時等に、燃料電池システムの緊急停止処理を行う。この緊急停止処理自体は、従来より実行されているものであり、例えば制御装置４は所定の異常が発生したときに緊急停止処理を実行する。

この緊急停止処理には、上記原燃料遮断弁７を閉じる処理も含まれる。すなわち、サブ制御装置６に関して、実施例１では原燃料遮断弁７を閉じる制御しか有さないのに対して、実施例２では原燃料遮断弁７以外の制御も含む、というものである。換言すれば、本発明は、サブ制御装置６が原燃料遮断弁７を閉じる機能しか有さない例に限るものではない、ということである。

但し、上記の通り緊急停止処理には原燃料遮断弁７を閉じる制御も含まれるので、「少なくとも原燃料遮断弁７を閉じる制御が行われる」という点では、実施例１，２で共通するものである。

上記の通り、従来でも、制御装置４は、燃料電池システムの緊急停止処理を実行する機能を有する。そして、当然、制御装置４は、緊急停止処理機能だけでなく他の様々な処理機能も有するので、その構成は複雑なものとなる。この為、従来のように制御装置４を冗長二重化した場合、つまり稼動系と待機系の２つの制御装置を備える構成とした場合、これは制御装置４を２つ設けることを意味する。

よって、待機系の制御装置も、稼動系と同様に、緊急停止処理機能だけでなく他の様々な処理機能も有するので、その構成は複雑なものとなる。これに対して、実施例２では、サブ制御装置６は緊急停止処理機能だけを有するので、上記従来の冗長二重化の場合に比べて、サブ制御装置６の構成は簡素化される。そして、実施例２でも、制御装置４の故障等があっても、火災等の重大事故に繋がることは防止することができるが、これは、実施例１の場合よりも安全・確実に防止できるものとなる。

この様に、実施例２では、サブ制御装置６は、実施例１に比べるとその構成は多少は複雑になるものの、例えば制御装置４と略同様の構成とする場合に比べれば非常に簡単な構成で実現できる。そして、燃料電池システムを安全・確実に停止させることができ、火災等の重大事故に繋がることを確実に防止することができる。

尚、実施例２におけるサブ制御装置６は、上記実施例１と同様に、上記特定の異常（制御装置４の故障等）を検知する機能も有している。
以下、図６〜図９を参照して、実施例２について説明する。

実施例２におけるサブ制御装置６の概略構成図を図８に示し、その処理フローチャート図を図９に示すが、これらの説明を理解し易くする為に、本例の燃料電池発電システムの構成について、図６、図７を参照して、より詳細に説明しておく。

本例の燃料電池発電システムの構成については、既に図１に示しているが、これは概略構成図であり、図６は本例の燃料電池発電システムの詳細構成図と考えてよい。但し、図６においては、図１における制御装置４、インバータ３、サブ制御装置６や、これらの係る制御信号線等は省略して示しているが、これらは実際には存在している。

図６には、図１における改質装置２、燃料電池本体１、補機ユニット５、原燃料遮断弁７を示しており、特に改質装置２と補機ユニット５の詳細構成を示しているものである。
尚、図６に示す詳細構成は、燃料電池発電システムの一般的な構成である。

よって、以下、図６について説明するが、これは特に詳細には説明せず、簡単に説明するのみとする。
まず、図６に示す燃料電池本体１は、図１に示す燃料電池本体１に相当するものであり、よって同一符号を付してある。また、図１に示す改質装置２に相当する構成は、図上点線で囲った構成、すなわち脱硫器４８、燃料改質器４９、ＣＯ変成器５０である。そして、これら燃料電池本体１及び改質装置２に相当する構成以外の全ての構成が、図１の補機ユニット５の詳細構成と見做してよい。

原燃料遮断弁７が“開”であれば、原燃料８（都市ガス等）が燃料電池発電システム内に流入する。原燃料８は、脱硫器４８を経てスチームポンプ４６において水蒸気分離機５７から供給される水蒸気と合流してから、スチームバルブ４７を介して燃料改質器４９に供給される（勿論、スチームバルブ４７が“閉”のときには供給されない）。そして、燃料改質器４９において、化学反応により水素に改質される。尚、燃料改質器４９には、燃焼空気ブロワ５１から燃焼空気等も供給されている。

燃料改質器４９から出力される水素はＣＯ変成器５０を経て燃料電池本体１に送られる。尚、燃料改質器４９において原燃料８から水素を取り出す際、副生成物としてＣＯ（一酸化炭素）が生成されるが、これはＣＯ変成器５０によって除去される。

また、燃料電池本体１には、反応空気ブロワ５３から反応空気が供給されており、燃料電池本体１内において上記水素と当該反応空気との化学反応により直流電流を発生する。
また、燃料電池本体１には、冷却水ポンプ５９から送り出される冷却水が流入しており、この冷却水により燃料電池本体１が冷却される。この冷却水は、冷却水冷却器５８で冷却された後、水蒸気分離器５７を経て、冷却水ポンプ５９に戻される。

冷却水冷却器５８の冷却機能は、図示の熱回収用ポンプ６２、熱利用熱交換器６３、空冷式排熱冷却器７０等により実現されるが、これらについては特に説明しない。尚、空冷式排熱冷却器７０は、冷却ファン７１、冷却器エレメント７２、筐体ダクト７３等より成る。

以上、燃料電池システムの運転時の動作と主な構成要素について説明した。尚、燃焼排ガス系５２、生成水回収器５５、反応空気オフガス系５４、燃料オフガス系５６、回収水ポンプ６１、水処理装置６０等については特に説明しない。

ここで、窒素供給器４１、燃料電池窒素供給バルブ４２、燃料電池窒素供給系４３、改質器窒素供給バルブ４４、改質器窒素供給系４５は、上記運転時には用いられず、上記停止動作（緊急停止または通常停止）の際に用いられる構成である。すなわち、燃料電池窒素供給バルブ４２及び改質器窒素供給バルブ４４は、上記運転時には“バルブ閉”となっている。そして、停止動作の際に、“バルブ開”となって、窒素パージを行うものである。

窒素供給器４１は窒素を供給する装置であり、この窒素は、燃料電池窒素供給バルブ４２が“開”の状態では燃料電池窒素供給系４３を介して燃料電池空気極１ｂに供給される。また、窒素供給器４１から供給される窒素は、改質器窒素供給バルブ４４が“開”の場合には、改質器窒素供給系４５を介して改質装置２に供給される。

また、図７は、本例の燃料電池発電システムに係る電力系統の構成図である。
これも、一般的な構成であり、特に詳細には説明しないものとし、以下、簡単に説明する。

図７において、燃料電池本体１、インバータ３は、図１に示す燃料電池本体１、インバータ３に相当するものであり、よって同一符号を付してある。
燃料電池本体１による発電電力（電流Ｉfc）は、インバータ３とコンタクタ８３を介して、外部の任意の負荷８２（顧客の負荷）に供給される。また、発電電力（電流Ｉfc）は、補機負荷８４（システム内の負荷）にも供給される。また、系統連系用遮断機８１により外部の系統電源（商用電源等）８０と接続される場合もある。

ここで、燃料電池本体１の出力に対して図示の放電抵抗８５が設けられている。この放電抵抗８５は、（図示しないが）本例ではサブ制御装置６によってＯＮ／ＯＦＦ（投入／切断）制御される。尚、通常通り、制御装置４によってもＯＮ／ＯＦＦ制御される。

放電抵抗８５は、燃料電池の劣化を防止する目的で設けられる抵抗であり、燃料電池本体１の停止時にその出力を下げる為にＯＮ制御されるものである。
以下、図８、図９を参照して、実施例２におけるサブ制御装置６の構成・処理動作について説明する。

図８は、実施例２におけるサブ制御装置６の構成図である。
図示の例では、サブ制御装置６は、ＣＰＵ９１、入力モジュール９３、出力モジュール９４を有し、これらがシステムバス９２に接続されている。

入力モジュール９３は図３の入力モジュール３３と同じである。すなわち、入力モジュール９３は通信線１１を介して制御装置４に接続しており、制御装置４からの所定の信号（異常信号または定周期パルス信号）を入力する。

ＣＰＵ９１は、基本的には上記ＣＰＵ３１と同様に特定の異常を検知した場合に上記（１）緊急停止に相当する処理を行うものである。よって、その処理内容はＣＰＵ３１とは異なり、例えば図９に示すものとなる。これについては後に図９を参照して説明する。

実施例２の場合、出力モジュール９４は、原燃料遮断弁７に対する制御信号を含む、燃料電池発電システムを緊急停止させる為の該燃料電池発電システムにおける複数の構成要素（具体例は後に示す）に対する各種制御信号を出力する出力モジュールである。そして、ＣＰＵ９１は、特定の異常（ここでは制御装置４の異常）を検知した場合、出力モジュール９４を介して、原燃料遮断弁７を含む上記複数の構成要素に対して、燃料電池発電システムを緊急停止させる為の指令信号（具体例は後に示す）を出力するものである。

出力モジュール９４に関しては、その出力先は上記出力モジュール３４とは異なる。すなわち、上記の通り出力モジュール３４の出力先は原燃料遮断弁７のみである。これに対して、出力モジュール９４の出力先は、原燃料遮断弁７だけでなく更に、本例ではスチームバルブ４７、燃焼空気ブロア５１、燃料電池窒素供給バルブ４２、改質器窒素供給バルブ４４等となっている。

但し、図では１つの出力モジュール９４で複数の出力先に対応しているが、実際には各出力先毎に出力モジュール９４が必要であり、図示の例では５つの出力モジュール９４が設けられることになる。実施例１では出力モジュールは１つで済むので、この点で実施例１の場合よりも多少複雑な構成となる。

図９は、実施例２におけるサブ制御装置６の処理フローチャート図である。この処理は、ＣＰＵ９１が実行する。すなわち、ＣＰＵ９１は、例えば不図示の内蔵メモリ等に予め記憶されているアプリケーションプログラムを実行することで、図９の処理を実現する。

図９において、図５に示す処理ステップと同一の処理ステップについては同一のステップ番号を付してある。すなわち、図示のステップＳ２１、Ｓ２２、Ｓ２３は、図５の処理と同じであり、ここでは特に説明しない。

ステップＳ２２の判定がＹＥＳの場合、またはステップＳ２３の判定がＹＥＳの場合には、ステップＳ３１、Ｓ３２、Ｓ３３の処理を行う。すなわち、燃料電池の緊急停止動作を行う。尚、この緊急停止動作自体は、従来と同じであってもよい。

まず、ステップＳ３１の処理について説明する。
このステップＳ３１の処理では、ＣＰＵ９１は、出力モジュール９４を介して、各出力先に所定の制御信号を出力させる。これは、原燃料遮断弁７に対する“閉”指令を出力するだけでなく、更に、以下の制御指令を所定時間出力する。

・スチームバルブ４７に対する“バルブ開”指令（例えば４８０秒）
・燃焼空気ブロア５１に対する“ブロアＯＮ”指令（例えば９００秒）
・放電抵抗８５の投入指令（例えば１２０秒、その後、切断する；または電圧３００ｍＶ以下になったら切断する）
・燃料電池窒素供給バルブ４２に対する“バルブ開”指令（例えば３００秒）
・改質器窒素供給バルブ４４に対する“バルブ開”指令（例えば１２００秒）
尚、スチームバルブ４７、燃焼空気ブロア５１、及び放電抵抗８５に対する上記指令は、ステップＳ３１の処理開始直後から開始する。一方、燃料電池窒素供給バルブ４２、改質器窒素供給バルブ４４に対する上記指令は、ステップＳ３１の処理開始から１分経過してから開始する。つまり、、原燃料遮断弁７“閉”後に残留している燃料（メタン等）を、スチームバルブ４７“開”及び燃焼空気ブロア５１“ＯＮ”等によって除去し（化学反応でメタン→二酸化炭素＋水とする）、その後に窒素パージ（窒素充填）を行うものである。

そして、上記所定時間出力が全て完了したか否かを確認し（ステップＳ３２）（上記の例では、改質器窒素供給バルブ４４に対する指令完了が最も最後になるので、これが“開”から“閉”に戻ったことを確認し）、更に、燃料電池本体１の温度が所定の閾値(本例では１００℃とする)未満となったか否かを確認する（ステップＳ３３）。

上記所定時間出力が全て完了し（ステップＳ３２，ＹＥＳ）且つ燃料電池本体１の温度が所定の閾値未満となったら（ステップＳ３３，ＹＥＳ）、本処理は終了となる。
尚、冷却水冷却器５８等の燃料電池本体１の冷却の為の構成は、上記指令には関係なく動作し続けるものであり、これによって燃料電池本体１は冷却されて温度が下がり続け、何れは１００℃未満となる。

尚、燃料電池システムを停止させる動作としては、上記緊急停止以外に通常停止がある。通常停止の場合には「発電冷却→停止動作→停止」となるが、緊急停止の場合には発電冷却は行わずに停止動作に移行する。尚、発電冷却では、燃料電池本体１が一定温度以下になるまで発電を継続する。

１ 燃料電池本体
２ 改質装置
３ インバータ
４ 制御装置
５ 補機ユニット
６ サブ制御装置
７ 原燃料遮断弁
８ 原燃料
９ 電気ユニット
１０燃料電池発電システム
２１ ＣＰＵ
２２ システムバス
２３ 入力モジュール
２４ 出力モジュール
３１ ＣＰＵ
３２ システムバス
３３ 入力モジュール
３４ 出力モジュール
４１ 窒素供給器
４２ 燃料電池窒素供給バルブ
４３ 燃料電池窒素供給系
４４ 改質器窒素供給バルブ
４５ 改質器窒素供給系
４６ スチームポンプ
４７ スチームバルブ
４８ 脱硫器
４９ 燃料改質器
５０ ＣＯ変成器
５１ 燃焼空気ブロワ
５２ 燃焼排ガス系
５３ 反応空気ブロワ
５４ 反応空気オフガス系
５５ 生成水回収器
５６ 燃料オフガス系
５７ 水蒸気分離器
５８ 冷却水冷却器
５９ 冷却水ポンプ
６０ 水処理装置
６１ 回収水ポンプ
６２ 熱回収用ポンプ
６３ 熱利用熱交換器
７０ 空冷式排熱冷却器
７１ 冷却ファン
７２ 冷却器エレメント
７３ 筐体ダクト
８０ 系統電源
８１ 系統連系用遮断機
８２ 補機負荷
８３ コンタクタ
８４ 負荷
８５ 放電抵抗
９１ ＣＰＵ
９２ システムバス
９３ 入力モジュール
９４ 出力モジュール

Claims (6)

1. 少なくとも、原燃料に基づいて水素を生成する改質装置と、外部から該改質装置に前記原燃料を供給する為の供給路上に設けられた原燃料遮断弁と、制御装置を有する燃料電池発電システムであって、
   前記制御装置は、前記燃料電池発電システム内の各所に設けられる各種計測機器からの各種計測データを入力する複数の第１入力モジュールと、前記燃料電池発電システム内の前記改質装置、原燃料遮断弁を含む各制御対象構成要素へ制御信号を出力する複数の第１出力モジュールと、前記各第１入力モジュールを介して前記各種計測データを収集し、該計測データに基づいて前記制御信号を生成して前記第１出力モジュールから出力させる第１演算処理手段を有し、
   サブ制御装置を更に備え、該サブ制御装置は、前記制御装置からの所定信号を入力する第２入力モジュールと、少なくとも前記原燃料遮断弁に制御信号を出力する第２出力モジュールと、前記所定信号に基づいて特定の異常を検知した場合、前記第２出力モジュールを介して少なくとも前記原燃料遮断弁に対して閉指令信号を出力することで前記原燃料の供給を停止させる第２演算処理手段とを有することを特徴とする燃料電池発電システム。
2. 前記第２出力モジュールは前記原燃料遮断弁に対する制御信号のみを出力する出力モジュールであり、前記第２演算処理手段は、前記所定信号に基づいて特定の異常を検知した場合、該第２出力モジュールを介して前記原燃料遮断弁に対する閉指令信号のみを出力させることを特徴とする請求項１記載の燃料電池発電システム。
3. 前記第２出力モジュールは、前記原燃料遮断弁に対する制御信号を含む、前記燃料電池発電システムを緊急停止させる為の該燃料電池発電システムにおける複数の構成要素に対する各種制御信号を出力する出力モジュールであり、
   前記第２演算処理手段は、前記所定信号に基づいて特定の異常を検知した場合、該第２出力モジュールを介して、前記原燃料遮断弁を含む前記複数の構成要素に対して、前記燃料電池発電システムを緊急停止させる為の指令信号を出力することを特徴とする請求項１記載の燃料電池発電システム。
4. 前記特定の異常は、前記制御装置の異常であり、
   前記制御装置からの所定信号は定周期パルス信号であり、前記第２演算処理手段は、該定周期パルス信号が途絶えた場合に前記特定の異常を検知したものと判定することを特徴とする請求項１〜３の何れかに記載の燃料電池発電システム。
5. 前記特定の異常は、緊急停止を行うべき異常であり、
   前記制御装置は、更に、前記計測データに基づいて異常判定を行い、前記緊急停止を行うべき異常が発生したと判定した場合には、前記サブ制御装置に対して異常信号を送信すると共に、前記第１出力モジュールを介して前記原燃料遮断弁に対して閉指令信号を出力する異常判定・対応手段を有し、
   前記制御装置からの所定信号は前記異常信号であり、前記第２演算処理手段は、該異常信号を受信した場合に前記特定の異常を検知したものと判定することを特徴とする請求項１〜４の何れかに記載の燃料電池発電システム。
6. 前記制御装置と前記サブ制御装置とが相互に離れた位置となるように設置されることを特徴とする請求項１〜５の何れかに記載の燃料電池発電システム。

Images