JP2018147831A - 燃料電池システムの始動方法 - Google Patents

Abstract

【課題】始動時に遮断線の異常確認を行う際に、始動時間を短縮することができる燃料電池システムの始動方法を提供する。【解決手段】ＦＣ−ＣＶＴ１５（燃料電池コンバータ）からの異常信号ＮＯＤＤに異常があるか否かを確認する異常判断と、ＦＣ−ＣＶＴ１５の動作を遮断する遮断信号をＳｕｂＣＰＵ３０２からＦＣ−ＣＶＴ１５へ出力する遮断線ＦＳＤＮ２のうち少なくとも１つ以上の遮断線が異常であるか否かを確認する異常判断と、を並行して実施する第１異常確認工程と、車両に搭載される高電圧駆動機器の停止中に実行するプリチャージと並行して、第１異常確認工程において選択されていない遮断線の異常を確認する第２異常確認工程と、遮断線の全ての確認が完了したときに、システムメインリレーを接続する接続工程と、を含む。【選択図】図２

Description

本発明は、燃料電池システムの始動方法に関する。

従来から、燃料電池（以下、ＦＣ）とバッテリの２つを電力供給源とするＦＣシステムが知られている。ＦＣに接続される電源ラインとバッテリに接続される電源ラインとの間で双方向に電圧変換を行うＤＣ−ＤＣコンバータ（燃料電池コンバータ、バッテリコンバータ）を設けることにより、電力の相互供給等を効率的に行っている。

上記ＤＣ−ＤＣコンバータが設けられた燃料電池システムにおいて、例えば燃料電池コンバータを構成する主スイッチに過電流が流れ、スイッチング素子がオープン故障してしまうと、モータやバッテリに大電流が流れ、モータ等に接続されるインバータやバッテリに接続されるバッテリコンバータに過電圧が発生し、これによってインバータやバッテリコンバータ等も故障するいわゆる共連れ故障が発生することが指摘されている。

このような共連れ故障の対策として、例えば特許文献１では、燃料電池コンバータが故障したときに、燃料電池コンバータの動作を遮断する遮断信号を遮断線に出力して燃料電池コンバータの動作を遮断する燃料電池システムが提案されている。

特開２０１１−２２８２９４号公報

上記遮断線に異常がないか否か、燃料電池システムの始動時に異常判断を行うことがある。しかし、ＩＳＯ２６２６２（自動車の安全要求と安全対策を指定する指標）に対応するために遮断線が増えると、遮断線の異常判断に要する時間が長くなり、燃料電池システムの始動に時間がかかるおそれがある。

そこで、本発明は、始動時に遮断線の異常確認を行う際に、始動時間を短縮することができる燃料電池システムの始動方法を提供することを目的とする。

本発明に係る燃料電池システムの始動方法は、電力供給源としての燃料電池及びバッテリと、燃料電池と第１負荷との間に設けられた燃料電池コンバータと、バッテリと第２負荷との間に設けられたバッテリコンバータと、燃料電池コンバータと第１負荷との間に設けられた第１インバータと、バッテリコンバータと第２負荷との間に設けられた第２インバータと、燃料電池コンバータを制御する第１コントローラと、第１コントローラとは別個に構成され、バッテリコンバータを制御する第２コントローラと、燃料電池、燃料電池コンバータ、バッテリコンバータ、第１インバータ、第２インバータ、第１コントローラ、及び、第２コントローラの動作をそれぞれ遮断する遮断信号が出力される遮断線と、燃料電池から第１負荷への電力の供給と遮断とを切換えるシステムメインリレーと、を備えた燃料電池システムの始動方法であって、第１コントローラ又は第２コントローラは、イグニッションオンの後に遮断線の異常判断工程を行い、遮断線の異常判断工程は、燃料電池コンバータからの異常信号に異常があるか否かを確認する異常判断と、第１インバータ及び第２インバータの動作を遮断する遮断信号を第１コントローラから第１インバータ及び第２インバータへ出力する遮断線、燃料電池コンバータの動作を遮断する遮断信号を第１コントローラから燃料電池コンバータへ出力する遮断線、第１インバータ及び第２インバータの動作を遮断する遮断信号を燃料電池コンバータから第１インバータ及び第２インバータへ出力する遮断線、第１インバータ及び第２インバータの動作を遮断する遮断信号を第２コントローラから第１インバータ及び第２インバータへ出力する遮断線、並びに、燃料電池コンバータの動作を遮断する遮断信号を第２コントローラから燃料電池コンバータへ出力する遮断線のうち、少なくとも１つ以上の遮断線が異常であるか否かを確認する異常判断と、を並行して実施する第１異常確認工程と、燃料電池又はバッテリから供給される電力が流れる高電圧回路上の電荷を０とする停止工程と、車両に搭載される高電圧駆動機器の停止中に実行するプリチャージと並行して、第１異常確認工程において選択されていない遮断線の異常を確認する第２異常確認工程と、遮断線の全ての確認が完了したときに、システムメインリレーを接続する接続工程と、を含む。

かかる構成によれば、燃料電池コンバータからの異常信号に異常があるか否かを確認する異常判断を行うタイミング、又は、高電圧駆動機器の停止中に実行するプリチャージのタイミングと並行して遮断線の異常確認を行うため、例えばＩＳＯ２６２６２に対応するために遮断線が増えたとしても、燃料電池システムの始動時間を短縮することができる。

本発明によれば、始動時に遮断線の異常確認を行う際に、始動時間を短縮することができる燃料電池システムの始動方法を提供することができる。

燃料電池システムの構成図である。 ＦＣ昇圧コンバータコントローラとインバータ類コントローラとの間における故障情報の相互通信によってＦＣ昇圧コンバータ、駆動インバータ、補機インバータ、及びバッテリ昇圧コンバータの同時運転停止がどのようにして実現されるかを説明する図である。 図２中の故障信号やシャットダウン信号の内容を説明する図である。 遮断線の異常判断工程を説明するためのフローチャートである。

以下添付図面を参照しながら本発明の実施形態について説明する。尚、以下の好ましい実施形態の説明は、例示に過ぎず、本発明、その適用物或いはその用途を制限することを意図するものではない。

図１に示すように、本実施形態のＦＣシステム１１は、負荷への電力供給源として、例えば高分子電解質型のＦＣ１２及びＢＡＴ２０を備えている。

ＦＣ１２と車両を走行させるための駆動モータ（第１の負荷）１３とは、電力供給経路Ａを介して接続されている。この電力供給経路Ａには、ＦＣ１２側から順に、ＦＣリレー５０、ＦＣ−ＣＶＴ（第１コンバータ）１５及び駆動ＩＶＴ１６が設けられている。なお、ＦＣリレー５０は、ＦＣ−ＣＶＴ１５と後述する接続点Ｘとの間に設けられていてもよい。

ＦＣ−ＣＶＴ１５は直流の電圧変換器であり、ＦＣ１２から入力された直流電圧を調整して駆動ＩＶＴ１６側へ出力する。駆動モータ１３は例えば三相交流モータであり、駆動ＩＶＴ１６は直流電流を三相交流に変換して駆動モータ１３に供給する。

電力供給経路Ａには、電力供給経路Ｂが接続されている。電力供給経路Ａと電力供給経路Ｂとの接続点Ｘは、ＦＣ−ＣＶＴ１５と駆動ＩＶＴ１６との間に位置する。電力供給経路Ｂの一端にはＢＡＴ２０が接続されており、ＢＡＴ２０と接続点Ｘとの間には、ＢＡＴ２０側から順にリレー（図示略）及びＢＡＴ−ＣＶＴ（第２コンバータ）２２が設けられている。

ＢＡＴ２０は、ＣＴＲＬ３０からの制御信号に基づいて、ＦＣ１２の出力電力の余剰分や駆動モータ１３の回生電力を充電することや、駆動モータ１３，１４の駆動に必要な電力に対してＦＣ１２の出力電力では不足する場合にその不足分の電力を補給することが可能になっている。

ＢＡＴ−ＣＶＴ２２は直流の電圧変換器であり、ＢＡＴ２０から入力された直流電圧を調整して駆動モータ１３，１４側へ出力する機能と、ＦＣ１２または駆動モータ１３から入力された直流電圧を調整してＢＡＴ２０に出力する機能と、を有する。このようなＢＡＴ−ＣＶＴ２２の機能により、ＢＡＴ２０の充放電が実現される。

電力供給経路Ｂの高電圧側には、電力供給経路Ｃが接続されている。電力供給経路Ｂと電力供給経路Ｃとの接続点Ｙは、接続点ＸとＢＡＴ−ＣＶＴ２２との間に位置する。電力供給経路Ｃの一端には、駆動モータ（第１の負荷）１４が接続されている。駆動モータ１４は、例えば三相交流モータであり、ＦＣ１２に空気（酸化ガス）を圧送するエアコンプレッサの駆動モータである。駆動モータ１４と接続点Ｙとの間には、補機ＩＶＴ１７が設けられている。補機ＩＶＴ１７は、直流電流を三相交流に変換して駆動モータ１４に供給する。

なお、本実施形態では、図示を省略しているが、電力供給経路Ｂの低電圧側（ＢＡＴ２０側）には、ＦＣ１２の水素ガス流路から排出された水素オフガスをＦＣ１２に還流させるための水素ポンプを駆動する補機モータ、ＦＣ１２の温調に使用される冷却水を循環させるための冷却水ポンプを駆動する補機モータ、及びこれらの補機モータに直流電流を三相交流に変換したうえで供給する補機インバータが設けられている。

ＣＴＲＬ３０（統合ＥＣＵ）は、ＦＣシステム１１を統合制御するためのコンピュータシステムであり、本実施形態では、例えば、ＭａｉｎＣＰＵ３０１（以下、Ｍ−ＣＰＵ３０１）、ＳｕｂＣＰＵ３０２（以下、Ｓ−ＣＰＵ３０２）、ＲＡＭ、ＲＯＭ等を有している。ＣＴＲＬ３０は、各種センサから供給される信号（例えば、アクセル開度を表す信号、車速を表す信号、ＦＣ１２の出力電流や出力電圧を表す信号等で、図１には一部のみを図示している。）の入力を受けて、駆動モータ１３，１４及び補機モータを含む負荷全体の要求電力を算出する。

本実施形態のＣＴＲＬ３０は、ＦＣ１２の出力電圧（言い換えれば、ＦＣ−ＣＶＴ１５の入力電圧）を制御するＣ−ＣＴＲＬ３１と、ＢＡＴ２０からの出力電圧（言い換えれば、ＢＡＴ−ＣＶＴ２２の入力電圧）と駆動ＩＶＴ１６及び補機ＩＶＴ１７へ供給する出力電圧を制御するＩ−ＣＴＲＬ３２と、相互通信可能に接続されている。

図１中の破線枠で示すように、ＦＣ−ＣＶＴ１５はＣ−ＣＴＲＬ３１によって制御されるシステム構成要素群（以下、制御対象群４１）に属するものであり、ＢＡＴ−ＣＶＴ２２，駆動ＩＶＴ１６及び補機ＩＶＴ１７はＩ−ＣＴＲＬ３２によって制御されるシステム構成要素群（以下、制御対象群４２）に属している。

これらＣ−ＣＴＲＬ３１とＩ−ＣＴＲＬ３２とは、ＣＴＲＬ３０を介して相互通信可能に接続されている。例えば一方の制御対象群４１／４２に属するシステム構成要素に故障が発生した場合には、その故障情報を一方のＣ−ＣＴＲＬ３１／Ｉ−ＣＴＲＬ３２からＣＴＲＬ３０が受信し、ＣＴＲＬ３０から一方の制御対象群４１／４２に属するシステム構成要素を緊急停止するための遮断指令を出力するようになっている。

駆動モータ１３，１４及び補機モータ以外の負荷としては、車両走行に必要な不図示の装置（変速機、車輪制御装置、操舵装置、懸架装置等）で消費される電力や、乗員空間内に配置される不図示の装置（空調装置、照明器具、オーディオ等）で消費される電力等がある。

ＣＴＲＬ３０は、ＦＣ１２とＢＡＴ２０の各出力電力の配分を決定し、発電指令値を算出する。より具体的には、ＣＴＲＬ３０は、ＦＣ１２及びＢＡＴ２０に対する要求電力を算出すると、これらの要求電力が得られるようにＦＣ−ＣＶＴ１５及びＢＡＴ−ＣＶＴ２２の動作を制御する。

そして、通常運転時においては、Ｃ−ＣＴＲＬ３１がＦＣ−ＣＶＴ１５にＦＣ１２の出力電圧を制御させると共に、Ｉ−ＣＴＲＬ３２がＢＡＴ−ＣＶＴ２２に駆動モータ１３，１４側への出力電圧、言い換えれば、駆動ＩＶＴ１６及び補機ＩＶＴ１７への入力電圧を制御させるが、一方のＣ−ＣＴＲＬ３１／Ｉ−ＣＴＲＬ３２が制御する一方の制御対象群４１／４２に属するシステム構成要素の故障をＣＴＲＬ３０が検知した場合には、ＣＴＲＬ３０から一方の制御対象群４１／４２に属するシステム構成要素を緊急停止するための遮断指令を出力する

ＣＴＲＬ３０は、例えばＭＧ−ＥＣＵ（図２参照）の故障を検知（ＭＧ−ＥＣＵの故障をソフトウェア的な信号線を受信することによって検知）した場合には、インバータ（図２に示す駆動ＩＶＴ１６及び補機ＩＶＴ１７）を緊急停止するための遮断指令ＨＳＤＮ（図２参照）を、ＣＴＲＬ３０のＭ−ＣＰＵ３０１から出力する。なお、Ｍ−ＣＰＵ３０１が故障している場合において、ＭＧ−ＥＣＵの故障をＣＴＲＬ３０が検知した場合には、駆動ＩＶＴ１６及び補機ＩＶＴ１７を緊急停止するための遮断指令ＨＳＤＮ２を、ＣＴＲＬ３０のＳ−ＣＰＵ３０２から出力する。

ＣＴＲＬ３０から送信された故障情報を受信した他方のＩ−ＣＴＲＬ３２／Ｃ−ＣＴＲＬ３１は、故障したシステム構成要素が何であるかに応じて、種々の同時シャットダウン（同時運転停止）処理を実施する。以下、このシャットダウン処理について詳述する。

図２は、本実施形態に係るＦＣシステム１１のシャットダウン体系の一例を示す図である。符号１００は、Ｉ−ＣＴＲＬ３２によって駆動ＩＶＴ１６、補機ＩＶＴ１７、及びＢＡＴ−ＣＶＴ２２のシャットダウンとその解除等が制御される第１のシャットダウン体系である。また、符号２００は、Ｃ−ＣＴＲＬ３１によってＦＣ−ＣＶＴ１５のシャットダウンとその解除等が制御される第２のシャットダウン体系である。

ところで、コンバータやインバータには、ＩＰＭ（Intelligent Power Module）と呼ばれる機能部品が組み込まれている。これは、コンバータやインバータ内の半導体素子（例えば、ＩＧＢＴ）が過熱、過電流、過電圧等の異常に対して非常に弱く、故障しやすい部品であるため、あらかじめＩＧＢＴモジュールを設計する際に、前記異常を検知する異常検知回路を当該ＩＧＢＴモジュールに組み込み、異常が検知された場合に速やかに回路への通電を遮断することで、ＩＧＢＴの故障を抑制するものである。

本実施形態においては、図２に示すように、駆動ＩＶＴ１６、補機ＩＶＴ１７、及びＢＡＴ−ＣＶＴ２２を備えた制御対象群４１に対してＰＣＵ−ＩＰＭ１１０が組み込まれており、ＦＣ−ＣＶＴ１５を備えた制御対象群４２に対してＦＤＣ−ＩＰＭ２１０が組み込まれている。なお、図２には、ＦＣ−ＣＶＴ１５がＵ相、Ｖ相、Ｗ相、及びＸ相の４相の昇圧回路部を備えてなるマルチフェーズコンバータである場合が例示されている。

以下、図２及び図２中の記号の説明をリストにした図３を参照しながら、ＣＴＲＬ３０によって制御されるシャットダウン動作の代表例について具体的に説明する

なお、図３において、ＭＦＩＮＶ，ＧＦＩＮＶ，ＦＣＶ等のように大文字のアルファベットで表記され、且つ、信号名に「−ｒｇ」を有しない信号は、シャットダウン指令（停止信号）を意味する信号値（以下、「シャットダウン側の信号値」という場合があり、また、「シャットダウン側の信号値を有する」を単に「シャットダウン側の」という場合があるものとする。）、又は、シャットダウン解除指令（停止解除信号）を意味する信号値（以下、「シャットダウン解除側の信号値」という場合があり、また、「シャットダウン解除側の信号値を有する」を単に「シャットダウン解除側の」という場合があるものとする。）のいずれか一方を有する信号である。

また、ｍｆｉｎｖ−ｒｇ，ｇｆｉｎｖ−ｒｇ，ｆｃｖ−ｒｇ等のように小文字のアルファベットで表記され、且つ、信号名に「−ｒｇ」を有する信号は、上記シャットダウン指令を意味する信号値が出力されている場合でもそれをマスクしてシャットダウン指令を無効化する信号である。

＜ＭＦＩＮＶ＞
第１のシャットダウン体系１００において、例えば駆動ＩＶＴ１６が故障した場合には、その故障がＰＣＵ−ＩＰＭ１１０によって検知され、駆動ＩＶＴ１６の故障検知に対応してシャットダウン側の信号値を有するＭＦＩＮＶが出力される。このシャットダウン側のＭＦＩＮＶが出力されると、駆動モータ１３，１４に対するシャットダウン側の信号値を有するＭＳＤＮ及びＧＳＤＮが生成され、それらシャットダウン側のＭＳＤＮ及びＧＳＤＮがそれぞれ駆動ＩＶＴ１６及び補機ＩＶＴ１７に出力され、駆動モータ１３，１４の運転が停止する。

このとき、ＢＡＴ−ＣＶＴ２２に対しては、シャットダウン解除側の信号値を有するＣＳＤＮが出力されている。また、第１のシャットダウン体系１００においてシャットダウン側のＭＦＩＮＶが出力されると、このシャットダウン側のＭＦＩＮＶの出力に応じて制御対象群４１に対するシャットダウン側の信号値を有するＦＳＤＮが、ＣＴＲＬ３０のＭ−ＣＰＵ３０１から生成され、このシャットダウン側のＦＳＤＮが、ＣＴＲＬ３０のＭ−ＣＰＵ３０１から第２のシャットダウン体系２００に送信される。なお、例えばＭ−ＣＰＵ３０１が故障して、シャットダウン側のＦＳＤＮがＭ−ＣＰＵ３０１から第２のシャットダウン体系２００に送信されない場合に、Ｓ−ＣＰＵ３０２からＦＳＤＮ２が第２のシャットダウン体系２００に送信される。具体的には、Ｍ−ＣＰＵ３０１が故障している状態で第１のシャットダウン体系１００においてシャットダウン側のＭＦＩＮＶが出力されると、このシャットダウン側のＭＦＩＮＶの出力に応じて制御対象群４１に対するシャットダウン側の信号値を有するＦＳＤＮ２が、Ｓ−ＣＰＵ３０２から生成され、このシャットダウン側のＦＳＤＮ２が、Ｓ−ＣＰＵ３０２から第２のシャットダウン体系２００に送信される。

すると、第２のシャットダウン体系２００においては、ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、及びＸ相の各相に対するシャットダウン側の信号値を有するＳＤＮＵ、ＳＤＮＶ、ＳＤＮＷ、及びＳＤＮＸが生成され、これらシャットダウン側のＳＤＮＵ乃至ＳＤＮＸがそれぞれＵ相乃至Ｘ相に出力され、ＦＣ−ＣＶＴ１５の運転が停止する。

このように、本実施形態では、駆動ＩＶＴ１６の故障が検知された場合には、同じ制御対象群４２に属しているシステム構成要素のうちＢＡＴ−ＣＶＴ２２を除くその他の駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が同時に停止するだけでなく、もう一方の制御対象群４１に属しているＦＣ−ＣＶＴ１５の運転までもが同時に停止する。したがって、駆動ＩＶＴ１６が故障した場合であっても、それに伴う補機ＩＶＴ１７やＦＣ−ＣＶＴ１５の共連れ故障が抑制される。

本実施形態では、共連れ故障を抑制するために、故障したシステム構成要素以外のシステム構成要素についても同時停止させるものであるが、ＢＡＴ−ＣＶＴ２２だけは同時停止の対象から外されている。つまり、ＢＡＴ−ＣＶＴ２２だけは、上記同時停止のタイミングから所定時間が経過した後に停止する。
これにより、駆動ＩＶＴ１６や補機ＩＶＴ１７が同時停止した後に発生し得る逆起電圧をＢＡＴ−ＣＶＴ２２によって制御することが可能となり、逆起電圧による半導体素子の故障を抑制することができる。

＜ＧＦＩＮＶ＞
第１のシャットダウン体系１００において、補機ＩＶＴ１７が故障した場合は、その故障がＰＣＵ−１ＰＭ１１０によって検知され、かかる故障検知に対応してシャットダウン側の信号値を有するＧＦＩＮＶが出力される。そして、シャットダウン側のＧＦＩＮＶが出力されると、このシャットダウン側のＭＳＤＮ及びＧＳＤＮが出力される。それ以降のシステム構成要素の同時停止動作は、上述した駆動ＩＶＴ１６が故障した場合（上記＜ＭＦＩＮＶ＞）と同様であるので、かかる場合の動作及び作用効果の説明は省略する。

＜ＦＣＶ＞
次に、第１のシャットダウン体系１００において、ＢＡＴ−ＣＶＴ２２が故障した場合について説明する。かかる場合には、その故障がＰＣＵ−ＩＰＭ１１０によって検知され、ＢＡＴ−ＣＶＴ２２の故障検知に対応してシャットダウン側の指令値を有するＦＣＶが出力される。

このシャットダウン側のＦＣＶが出力されると、駆動モータ１３，１４及びＢＡＴ−ＣＶＴ２２に対するシャットダウン側の信号値を有するＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮが出力され、それらシャットダウン側のＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮがそれぞれ駆動ＩＶＴ１６，補機ＩＶＴ１７及びＢＡＴ−ＣＶＴ２２に出力され、駆動モータ１３，１４及びＢＡＴ−ＣＶＴ２２の運転が停止する。

また、上述した駆動ＩＶＴ１６が故障した場合と同様に、第１のシャットダウン体系１００においてシャットダウン側のＦＣＶが出力されると、このＦＣＶの出力に応じてＦＣ−ＣＶＴ１５に対するシャットダウン側の信号値を有するＦＳＤＮがＣＴＲＬ３０から生成されて第２のシャットダウン体系２００に送信され、ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、及びＸ相の各相に対するシャットダウン側の信号値を有するＳＤＮＵ乃至ＳＤＮＸがそれぞれＵ相乃至Ｘ相に出力され、ＦＣ−ＣＶＴ１５の運転が停止する。

このように、ＢＡＴ−ＣＶＴ２２の故障が検知された場合にも、制御対象群４２に属しているＢＡＴ−ＣＶＴ２２、駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が同時に停止するだけでなく、もう一方の制御対象群４１に属しているＦＣ−ＣＶＴ１５の運転までもが同時に停止するので、共連れ故障が抑制される。

＜ＯＶＨ＞
第１のシャットダウン体系１００において、駆動ＩＶＴ１６の入力電圧が所定の閾値以上となる駆動ＩＶＴ１６の過電圧異常が検知された場合には、その異常がＰＣＵ−ＩＰＭ１１０によって検知され、かかる異常検知に対応してシャットダウン側の信号値を有するＯＶＨが出力される。

そして、このシャットダウン側のＯＶＨが出力されると、シャットダウン側のＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮが出力される。それ以降のシステム構成要素の同時停止動作は、上述したＢＡＴ−ＣＶＴ２２の故障が検知された場合（上記＜ＦＣＶ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

＜ＯＶＬ＞
また、第１のシャットダウン体系１００において、ＢＡＴ−ＣＶＴ２２の入口電圧が所定の閾値以上となるＢＡＴ−ＣＶＴ２２の過電圧異常が検知された場合には、その異常がＰＣＵ−ＩＰＭ１１０によって検知され、かかる異常検知に対応してシャットダウン側の信号値を有するＯＶＬが出力される。

そして、このシャットダウン側のＯＶＬが出力されると、シャットダウン側のＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮが出力される。それ以降のシステム構成要素の同時停止動作は、上述したＢＡＴ−ＣＶＴ２２の故障が検知された場合（上記＜ＦＣＶ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

＜ＦＣＶＵ＞
次に、第２のシャットダウン体系２００において、ＦＣ−ＣＶＴ１５内のＵ相が故障した場合について説明する。かかる場合には、その故障がＦＤＣ−ＩＰＭ２１０によって検知され、ＦＣ−ＣＶＴ１５のＵ相の故障検知に対応してシャットダウン側の信号値を有するＦＣＶＵが出力される。

シャットダウン側のＦＣＶＵが出力されると、ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、Ｘ相に対するシャットダウン側の信号値を有するＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸが出力され、それらシャットダウン側のＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸがそれぞれ駆動ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、Ｘ相に出力され、ＦＣ−ＣＶＴ１５の全相の運転が停止する。

なお、図２ではソフトウェア的な信号線の図示を省略しているが、シャットダウン側のＦＣＶＵが出力されると、Ｍ−ＣＰＵ３０１及びＳ−ＣＰＵ３０２は、Ｕ相乃至Ｘ相をソフトウェア的にもシャットダウンするように構成されている。

第２のシャットダウン体系２００においては、シャットダウン側のＦＣＶＵが出力されると、このＦＣＶＵの出力に応じて制御対象群４２に対するシャットダウン側の信号値を有するＩＳＤＮが生成されて第１のシャットダウン体系１００に送信される。

すると、第１のシャットダウン体系１００においては、駆動モータ１３，１４に対するシャットダウン側の信号値を有するＭＳＤＮ及びＧＳＤＮが生成され、それらシャットダウン側のＭＳＤＮ及びＧＳＤＮがそれぞれ駆動ＩＶＴ１６及び補機ＩＶＴ１７に出力され、駆動モータ１３，１４の運転が停止する。

このとき、ＢＡＴ−ＣＶＴ２２に対しては、シャットダウン解除側の信号値を有するＣＳＤＮが出力されている。

このように、ＦＣ−ＣＶＴ１５内のＵ相の故障が検知された場合には、制御対象群４１に属しているＦＣ−ＣＶＴ１５の全相の運転が同時に停止するだけでなく、もう一方の制御対象群４２に属している駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転までもが同時に停止するので、共連れ故障が抑制される。

この同時停止の際、ＢＡＴ−ＣＶＴ２２だけは同時停止の対象から外されている。つまり、ＢＡＴ−ＣＶＴ２２だけは、上記同時停止のタイミングから所定時間が経過した後に停止する。これにより、駆動ＩＶＴ１６や補機ＩＶＴ１７が同時停止した後に発生し得る逆起電圧をＢＡＴ−ＣＶＴ２２によって制御することが可能となり、逆起電圧による半導体素子の故障を抑制することができる。

＜ＦＣＶＶ，ＦＣＶＷ，ＦＣＶＸ＞
第２のシャットダウン体系２００において、ＦＣ−ＣＶＴ１５内の他の相（Ｖ相、Ｗ相、Ｘ相）のいずれかの相において故障が検知された場合も、その故障がＦＤＣ−ＩＰＭ２１０によって検知され、故障した相に対応する故障検知信号として、それぞれシャットダウン側の信号値を有するＦＣＶＶ（Ｖ相）、ＦＣＶＷ（Ｗ相）、或いはＦＣＶＸ（Ｘ相）が出力される。

そして、シャットダウン側のＦＣＶＶ乃至ＦＣＶＸのいずれかが出力されると、シャットダウン側のＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸが出力される。それ以外のシステム構成要素の同時停止動作やソフトウェア的なシャットダウン動作は、上述したＵ相の故障が検知された場合（上記＜ＦＣＶＵ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

＜ＦＯＶＨ＞
第２のシャットダウン体系２００において、ＦＣ−ＣＶＴ１５の出口電圧が所定の閾値以上となる過電圧異常が検知された場合には、かかる異常検知に対応してシャットダウン側の信号値を有するＦＯＶＨが出力される。

そして、このシャットダウン側のＦＯＶＨが出力されると、シャットダウン側のＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸが出力される。それ以外のシステム構成要素の同時停止動作やソフトウェア的なシャットダウン動作は、上述したＦＣ−ＣＶＴ１５のＵ相の故障が検知された場合（上記＜ＦＣＶＵ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

上述したように、第１のシャットダウン体系１００及び第２のシャットダウン体系２００が動作した後は、ＦＣシステム１１の運転に係る主要なシステム構成要素の全てが運転を停止しているので、そのままでは車両が路上故障の状態に陥ってしまう。

そこで、上述したシャットダウン動作によってシステム構成要素を安全に停止させて共連れ故障を回避した後は、その故障（異常）内容を特定したうえで、最適な方法でＦＣシステム１１を再起動させ、フェールセーフ走行（退避走行）を行なう。

上述したように、第１のシャットダウン体系１００又は第２のシャットダウン体系２００におけるいずれかのシステム構成要素が故障した場合に、ＦＣ−ＣＶＴ１５又は駆動ＩＶＴ１６・補機ＩＶＴ１７の動作を遮断する遮断信号を遮断線に出力して、ＦＣ−ＣＶＴ１５又は駆動ＩＶＴ１６・補機ＩＶＴ１７の動作を遮断するが、本実施形態では、遮断線に異常があるか否かの確認を、燃料電池システムの始動時に行う。図４は、燃料電池システムの始動時に行われる、遮断線の異常判断工程の一例を示すフローチャートである。以下で説明する異常判断工程において、適宜図１及び図２に示した構成要素を参照しながら説明する。

図４に示すステップＳ１１０にて、ＩＧ（イグニッション）がオンされたか否かが判定される。ＩＧオンを検出した場合には（ステップＳ１１０にてＹＥＳ）、次のステップへ進む。ＩＧオンを検出しない場合には（Ｓ１２０にてＮＯ）、処理はＳ１１０へ戻されて、ＩＧオンを検出するまで繰り返される。

ステップＳ１２０にて、ＦＣ−ＣＶＴ１５の降圧動作が異常であることをＣＴＲＬ３０に連絡するための異常信号ＮＯＤＤについて異常の有無を確認する。なお、降圧動作の異常とは、例えば、ＦＣ−ＣＶＴ１５の本体故障が発生した場合、あるいはＦＣ−ＣＶＴ１５の入力側電圧が異常に上昇した場合（過電圧）等が挙げられる。

ステップＳ１２０と並行してステップＳ１３０（第１異常確認工程）の処理を実行する。ステップＳ１３０では、ＦＣ−ＣＶＴ１５、又は、駆動ＩＶＴ１６及び補機ＩＶＴ１７のいずれかの動作を遮断する遮断信号が出力される遮断線のうち、任意に選択される遮断線の異常確認を行う。具体的には、ＣＴＲＬ３０（Ｍ−ＣＰＵ３０１又は−ＣＰＵ３０２）は、ＦＣ−ＣＶＴ１５、又は、駆動ＩＶＴ１６及び補機ＩＶＴ１７のいずれかの動作を遮断する遮断信号を出力し（ステップＳ１３０の遮断線ＯＮ）、モニタ線が正常に接続されているか否か、例えば図２に示す符号Ｍ箇所にて確認する。モニタ線が正常に接続されている場合には、ステップＳ１４０へ移行し、モニタ線が正常に接続されていない場合には、ステップＳ１１０へ戻る。なお、ステップＳ１３０の異常確認において選択される遮断線の本数は任意であるが、ステップＳ１２０と並行して処理する観点から、ステップＳ１２０の処理時間に基づきステップＳ１３０で確認する遮断線の本数を決定することが望ましい。ステップＳ１３０において選択される少なくとも１つ以上の遮断線としては、以下の遮断線を含む。すなわち、駆動ＩＶＴ１６及び補機ＩＶＴ１７の動作を遮断する遮断信号を、Ｍ−ＣＰＵ３０１から駆動ＩＶＴ１６及び補機ＩＶＴ１７へ出力する遮断線（ＨＳＤＮ）、Ｍ−ＣＰＵ３０１が故障したときに、駆動ＩＶＴ１６及び補機ＩＶＴ１７の動作を遮断する遮断信号を、Ｓ−ＣＰＵ３０２から駆動ＩＶＴ１６及び補機ＩＶＴ１７へ出力する遮断線（ＨＳＤＮ２）、第１のシャットダウン体系１００において、シャットダウン側のいずれかのシステム構成要素が故障したときに出力される信号に応じて、ＦＣ−ＣＶＴ１５の動作を遮断する遮断信号を、Ｍ−ＣＰＵ３０１からＦＣ−ＣＶＴ１５へ出力する遮断線（ＦＳＤＮ）、Ｍ−ＣＰＵ３０１が故障したときに、ＦＣ−ＣＶＴ１５の動作を遮断する遮断信号を、Ｓ−ＣＰＵ３０２からＦＣ−ＣＶＴ１５へ出力する遮断線（ＦＳＤＮ２）、第２のシャットダウン体系２００において、シャットダウン側のいずれかのシステム構成要素が故障したときに出力される信号に応じて、駆動ＩＶＴ１６及び補機ＩＶＴ１７の動作を遮断する遮断信号を、駆動ＩＶＴ１６及び補機ＩＶＴ１７へ出力する遮断線（ＩＳＤＮ）を含む。

次いで、ステップＳ１４０において、ＦＣ１２又はＢＡＴ２０から供給される電力が流れる高電圧回路上に電荷が有るか否かを確認し、電荷が有る場合には放電させて電荷を０とし、処理はステップＳ１５０へ移される。

ステップＳ１５０にて、ＳＴ（システムスタート）がオンされたか否かを判断する。ＳＴオンを検出した場合（ステップＳ１５０にてＹＥＳ）、処理はステップＳ１６０へ移される。ＳＴオンを検出しない場合（ステップＳ１５０にてＮＯ）、処理はステップＳ１５０へ戻されて、ＳＴオンを検出するまで繰り返される。

ステップＳ１６０（停止工程）にて、車両に搭載された高電圧駆動機器（例えばモータ、エアコンプレッサ等を含む装置）を停止させ、次のステップへ移行する。

高電圧駆動機器の停止中に、ステップＳ１７０においてプリチャージを行う。このプリチャージは、例えば、システムメインリレーをバイパスするように接続したプリチャージ用リレー（図示略）をオンとした状態で、負荷側の電圧値が予め定められた電圧値以上に到達したか、予め定められたプリチャージ時間が経過したことにより完了する。本実施形態では、このプリチャージと並行してステップＳ１８０の処理を行う。すなわち、ステップＳ１８０では、高電圧駆動機器の停止中に、ステップＳ１３０で選択されなかった遮断線（異常が有るか否か未確認の遮断線）について異常確認を行い、全ての遮断線の確認が終了したときに、システムメインリレー（ＳＭＲ、例えばＦＣリレー５０（図１参照）、ＢＡＴ２０側のリレー（図示略）を含む）を接続する（ステップＳ１９０）。

なお、ステップＳ１８０における処理内容は、ステップＳ１３０における処理内容と同じであり、確認する遮断線が異なるものである。例えば、ステップＳ１３０において、ＨＳＤＮ、ＨＳＤＮ２の異常確認が完了していたときには、ステップＳ１８０において、ＦＳＤＮ、ＦＳＤＮ２、ＩＳＤＮの異常確認を行う。ステップＳ１８０において、遮断線の異常（故障）が有る場合には、フェールセーフ走行（退避走行）へ移行する。

ステップＳ２００では、システム起動完了しＲｅａｄｙＯＮ状態（車両の発進を可能にする状態）とする。なお、ステップＳ１８０においてフェールセーフ走行へ移行してＲｅａｄｙＯＦＦと設定している場合には、ＲｅａｄｙＯＮ状態としない。

以上説明した本実施形態では、ＦＣ−ＣＶＴ１５からの異常信号（ＮＯＤＤ）に異常があるか否かを確認する異常判断を行うタイミング、又は、高電圧駆動機器の停止中のプリチャージを行うタイミングと並行して遮断線の異常確認を行うため、ＩＳＯ２６２６２に対応するために遮断線が増えたとしてもＦＣシステム１１の始動時間を短縮することができる。

以上説明したとおり、上述の実施形態においては、あるシステム構成要素の故障に起因して他のシステム構成要素を同時停止（シャットダウン）させた後でも、故障したシステム構成要素とその故障原因を特定することにより、故障していないシステム構成要素によるシステム再起動が可能である。よって、ＦＣシステム１１を搭載した車両によれば、システム構成要素の共連れ故障を回避しつつ、その回避後においても最低限のフェールセーフ走行が可能である。

なお、上述した実施形態においては、Ｉ−ＣＴＲＬ３２が物理的に１つのコントローラで構成され、この１つのコントローラで駆動ＩＶＴ１６（第１インバータ）、補機ＩＶＴ１７（第２インバータ）、及びＢＡＴ−ＣＶＴ２２（第２コンバータ）を制御する例について説明したが、本発明は、そのような例に限定されるものではない。

例えば、第１インバータ、第２インバータ、及び第２コンバータのそれぞれに対して各１つのコントローラが設けられていて、これら３つのコントローラが接続されて第２コントローラが構成されていてもよい。
また、第１インバータ、第２インバータ、及び第２コンバータのうちの１つを制御するコントローラと、他の２つを制御するコントローラとが接続されて第２コントローラが構成されていてもよい。

また、上述した実施形態においては、本発明に係るＦＣシステムをＦＣ車両に搭載した場合について説明したが、ＦＣ車両以外の各種移動体（ロボット、船舶、航空機等）にも本発明に係るＦＣシステムを適用することができる。また、本発明に係るＦＣシステムを、建物（住宅、ビル等）用の発電設備として用いられる定置用発電システムに適用することもできる。

以上説明した実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。実施形態が備える各要素並びにその配置、材料、条件、形状及びサイズ等は、例示したものに限定されるわけではなく適宜変更することができる。また、異なる実施形態で示した構成同士を部分的に置換し又は組み合わせることが可能である。

１１…ＦＣシステム
１２…ＦＣ（燃料電池）
１３、１４…駆動モータ
１５…ＦＣ−ＣＶＴ（燃料電池コンバータ）
１６…駆動ＩＶＴ（インバータ）
１７…補機ＩＶＴ（インバータ）
２０…ＢＡＴ（バッテリ）
３０…統合ＥＣＵ
４１、４２…制御対象群
１００…第１シャットダウン体系
２００…第２シャットダウン体系
３０１…ＭａｉｎＣＰＵ（第１コントローラ）
３０２…ＳｕｂＣＰＵ（第２コントローラ）
ＮＯＤＤ…異常信号
ＨＳＤＮ…遮断線
ＦＳＤＮ…遮断線
ＩＳＤＮ…遮断線
ＨＳＤＮ２…遮断線
ＦＳＤＮ２…遮断線

Claims (1)

1. 電力供給源としての燃料電池及びバッテリと、
   前記燃料電池と第１負荷との間に設けられた燃料電池コンバータと、
   前記バッテリと第２負荷との間に設けられたバッテリコンバータと、
   前記燃料電池コンバータと前記第１負荷との間に設けられた第１インバータと、
   前記バッテリコンバータと前記第２負荷との間に設けられた第２インバータと、
   前記燃料電池コンバータを制御する第１コントローラと、
   前記第１コントローラとは別個に構成され、前記バッテリコンバータを制御する第２コントローラと、
   前記燃料電池、前記燃料電池コンバータ、前記バッテリコンバータ、前記第１インバータ、前記第２インバータ、前記第１コントローラ、及び、前記第２コントローラの動作をそれぞれ遮断する遮断信号が出力される遮断線と、
   前記燃料電池から前記第１負荷への電力の供給と遮断とを切換えるシステムメインリレーと
   を備えた燃料電池システムの始動方法であって、
   前記第１コントローラ又は前記第２コントローラは、イグニッションオンの後に前記遮断線の異常判断工程を行い、
   前記遮断線の異常判断工程は、
   前記燃料電池コンバータからの異常信号に異常があるか否かを確認する異常判断と、前記第１インバータ及び前記第２インバータの動作を遮断する遮断信号を前記第１コントローラから前記第１インバータ及び前記第２インバータへ出力する遮断線、前記燃料電池コンバータの動作を遮断する遮断信号を前記第１コントローラから前記燃料電池コンバータへ出力する遮断線、前記第１インバータ及び前記第２インバータの動作を遮断する遮断信号を前記燃料電池コンバータから前記第１インバータ及び前記第２インバータへ出力する遮断線、前記第１インバータ及び前記第２インバータの動作を遮断する遮断信号を前記第２コントローラから前記第１インバータ及び前記第２インバータへ出力する遮断線、並びに、前記燃料電池コンバータの動作を遮断する遮断信号を前記第２コントローラから前記燃料電池コンバータへ出力する遮断線のうち、少なくとも１つ以上の遮断線が異常であるか否かを確認する異常判断と、を並行して実施する第１異常確認工程と、
   前記燃料電池又は前記バッテリから供給される電力が流れる高電圧回路上の電荷を０とする停止工程と、
   車両に搭載される高電圧駆動機器の停止中に実行するプリチャージと並行して、前記第１異常確認工程において選択されていない遮断線の異常を確認する第２異常確認工程と、
   前記遮断線の全ての確認が完了したときに、前記システムメインリレーを接続する接続工程と、
   を含むことを特徴とする燃料電池システム。