JP5589719B2

JP5589719B2 - 多重化システム及び多重化システムの制御方法

Info

Publication number: JP5589719B2
Application number: JP2010214861A
Authority: JP
Inventors: 誠覚知
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2010-09-27
Filing date: 2010-09-27
Publication date: 2014-09-17
Anticipated expiration: 2030-09-27
Also published as: JP2012070307A

Description

本発明は多重化システム及び多重化システムの制御方法に関し、特に電源ユニット及び制御ユニットが多重化された多重化システム及び多重化システムの制御方法に関する。

ＥＣＵ（Engine Control Unit）等の制御ユニット及び電源ユニットが二重化された二重化システムにおいて、制御ユニットは、通常、当該制御ユニットに電源を供給している電源ユニットの状態を監視する。

図４にＥＣＵ及び電源ユニットが二重化された多重化システム９の一般的な構成を示す。多重化システム９は、電源ユニット９１ａ、９１ｂ、ＥＣＵ９２ａ、９２ｂを備える。電源ユニット９１ａは、ＥＣＵ９２ａに電源を供給する。同様に、電源ユニット９１ｂは、ＥＣＵ９２ｂに電源を供給する。これにより、電源ユニット及びＥＣＵの二重化が図られている。

このとき、電源ユニット９１ａの制御マイコン９１１ａは、電源ユニット９１ａの状態（電源電圧、電源電流、温度等）を検出する。そして、ＥＣＵ９２ａの制御ＣＰＵ(Central Processing Unit)９２１ａは、制御マイコン９１１ａが検出した電源ユニット９１ａの状態を監視する。同様に、ＥＣＵ９２ｂの制御ＣＰＵ９２１ｂは、制御マイコン９１１ｂが検出した電源ユニット９１ｂの状態を監視する。

なお、特許文献１には、複数の電池モジュールを備えた組電池システムにおいて、電池モジュール間の伝送路をループ状に構成する技術が開示されている。これにより、一部の伝送路が切断された場合や、一部の電池モジュールが故障した場合であっても、故障部分以外の電池モジュール間のデータ転送を確保することができる。

特開２０１０−３５３６号公報

しかしながら、図４に示した多重化システム９においては、電源ユニット９１ａが何らかの理由により電源供給を停止すると、ＥＣＵ９２ａは電源の供給を受けられない。そのため、ＥＣＵ９２ａの動作も停止する。したがって、制御ＣＰＵ９２１ａは、電源ユニット９１ａの状態を監視できなくなる。その結果、電源ユニット９１ａが電源供給を停止した原因が特定できないという問題が生じていた。

加えて、特許文献１には、故障部分以外の電池モジュール間のデータ転送の確保については記載されているが、故障部分の電池モジュールの状態を監視する点については何ら開示も示唆もされていない。

本発明はこのような問題を解決するためになされたものであり、電源ユニットの故障時に当該電源ユニットの状態を認識できる多重化システム及びその制御方法を提供することを目的としている。

本発明の第１の態様は、制御ユニットと、当該制御ユニットに電源を供給する電源ユニットと、を含む制御系を複数備え、前記制御ユニット及び前記電源ユニットが多重化された多重化システムであって、前記複数の制御系のうち一の制御系に含まれる前記制御ユニットは、他の制御系に含まれる前記電源ユニットのうち、少なくとも一つの前記電源ユニットと接続され、当該電源ユニットの状態を監視する多重化システムである。このような構成によって、電源ユニットの故障時に当該電源ユニットの状態を認識できる。

また、前記一の制御系に含まれる前記制御ユニットと、前記他の制御系に含まれる前記制御ユニットとは通信可能に接続されており、前記一の制御系に含まれる前記制御ユニットは、自己が監視する前記電源ユニットの状態を、当該電源ユニットが電源を供給する前記制御ユニットに対して通知するものであってもよい。これにより、制御ユニット間で電源ユニットに関する情報のやり取りが可能となる。

また、前記一の制御系に含まれる前記制御ユニットと、前記他の制御系に含まれる前記制御ユニットとは、直流的に絶縁されていてもよい。これにより、他の制御系に含まれる制御ユニットに異常が発生した場合であっても、一の制御系には影響が及ばない。

また、前記一の制御系に含まれる前記制御ユニットと、当該制御ユニットが監視する前記電源ユニットとは、直流的に絶縁されていてもよい。これにより、他の制御系に含まれる電源ユニットに異常が発生した場合であっても、一の制御系には影響が及ばない。

また、前記制御ユニットは、自己が監視する前記電源ユニットの状態に異常が発生した場合、前記多重化システムのユーザに当該電源ユニットの状態を通知するものであってもよい。これにより、ユーザは電源ユニットの状態に適した対応を取ることができる。

また、前記電源ユニットは、前記制御ユニットに供給する電源の電圧、電流、及び自己の温度のうち少なくとも一つを検出するセンサと、前記センサの検出結果に基づいて、前記電源ユニットの異常を検出する異常検出手段と、を有し、前記制御ユニットは、自己が監視する前記電源ユニットの前記異常検出手段の検出結果を監視するものであってもよい。

また、前記一の制御系に含まれる前記制御ユニットは、前記他の制御系に含まれる前記電源ユニットの状態に加え、当該一の制御系に含まれる前記電源ユニットの状態も監視するものであってもよい。これにより、一の制御系に含まれる制御ユニットは、他の制御系に含まれる制御ユニットが故障した場合であっても、当該一の制御ユニットに含まれる電源ユニットの状態を監視できる。

また、前記複数の制御系に含まれる複数の前記制御ユニット及び複数の前記電源ユニットは、バス接続されていてもよい。これにより、複数の制御系の接続を簡略化することができる。

本発明の第２の態様は、制御ユニットと、当該制御ユニットに電源を供給する電源ユニットと、を含む制御系を複数備え、前記制御ユニット及び前記電源ユニットが多重化された多重化システムの制御方法であって、前記複数の制御系のうち一の制御系に含まれる前記制御ユニットが、他の制御系に含まれる前記電源ユニットのうち、少なくとも一つの前記電源ユニットの状態を監視する多重化システムの制御方法である。本態様にかかる多重化システムの制御方法は、上記第１の態様にかかる多重化システムと共通する技術的特徴を有するため、上記の多重化システムと同一の作用、効果を奏する。

本発明により、電源ユニットの故障時に当該電源ユニットの状態を認識できる多重化システム及びその制御方法を提供することができる。

実施の形態１にかかる多重化システムの構成例を示す図である。実施の形態１にかかる多重化システムの動作を示すフローチャートである。実施の形態２にかかる多重化システムの構成例を示す図である。関連する多重化システムの構成例を示す図である。

実施の形態１
以下、図面を参照して本発明の実施の形態について説明する。本実施の形態にかかる多重化システム１の構成例を図１に示す。多重化システム１は、第１の電源ユニット１１ａ、第２の電源ユニット１１ｂ、第１のＥＣＵ１２ａ、第２のＥＣＵ１２ｂを備える。なお、第１の電源ユニット１１ａ及び第１のＥＣＵ１２ａは、第１の制御系２１を構成する。同様に、第２の電源ユニット１１ｂ及び第２のＥＣＵ１２ｂは、第２の制御系２２を構成する。つまり、多重化システム１は、第１の制御系２１及び第２の制御系２２を備え、電源ユニット及びＥＣＵが二重化された二重系のシステムである。

第１の電源ユニット１１ａは、制御マイコン１１１ａ、電流センサ１１２ａ、電圧センサ１１３ａ、温度センサ１１４ａ、電圧変換部１１５ａ、スイッチ１１６ａ、絶縁部１１７ａ、電池１１８ａを有する。

制御マイコン１１１ａ（異常検出手段）は、ＣＰＵと、ＲＯＭ（Read Only Memory）やＲＡＭ（Random Access Memory）等のメモリと、を有し（図示省略）、メモリに格納された制御プログラムに基づいてＣＰＵが制御信号を出力し、電源ユニット１１ａの動作を制御する。具体的には、制御マイコン１１１ａは、電力線４１を介して、電池１１８ａから第１のＥＣＵ１２ａに対して電源を供給する。制御マイコン１１１ａは、電流センサ１１２ａ及び電圧センサ１１３ａが検出した供給電源の電流値及び電圧値を取得する。さらに、制御マイコン１１１ａは、温度センサ１１４ａが検出した第１の電源ユニット１１ａの温度を取得する。そして、制御マイコン１１１ａは、これらの検出結果に基づいて、電源ユニット１１ａの異常や電池１１８ａの残量を検出する。

制御マイコン１１１ａは、信号線５１を介して、第２のＥＣＵ１２ｂと接続されている。さらに、制御マイコン１１１ａと信号線５１との間には、絶縁部１１７ａが設けられている。絶縁部１１７ａは、信号（電源ユニット１１ａの状態を示す信号）は伝達するが、直流的には絶縁されている。そのため、第１及び第２の制御系２１、２２のいずれか一方の系に異常が発生した場合であっても、他方の系に影響が及ぶことを防止できる。絶縁部１１７ａは、例えば、フォトカプラやトランス等である。

電池１１８ａの一端は電流センサ１１２ａを介してグランドに接続され、他端は電圧変換部１１５ａ及びスイッチ１１６ａに接続されている。電圧変換部１１５ａは、電池１１８ａから供給される電源を低電圧に変換し、制御マイコン１１１ａに供給する。スイッチ１１６ａは、制御マイコン１１１ａからの制御信号により導通が制御される。スイッチ１１６ａの導通時には、電池１１８ａから第１のＥＣＵ１２ａに対して電源が供給される。スイッチ１１６ａは、例えばトランジスタである。

第２の電源ユニット１１ｂは、第１の電源ユニット１１ａと同様に、電力線４２を介して第２のＥＣＵ１２ｂに対して電源を供給する。なお、第２の電源ユニット１１ｂの構成は第１の電源ユニット１１ａと同様の構成であるため、説明を省略する。

第１のＥＣＵ１２ａは、制御ＣＰＵ１２１ａ、負荷１２２ａ、電圧変換部１２３ａ、絶縁部１２４ａを有する。また、第２のＥＣＵ１２ｂは、制御ＣＰＵ１２１ｂ、負荷１２２ｂ、電圧変換部１２３ｂ、絶縁部１２４ｂを有する。第１及び第２のＥＣＵ１２ａ、１２ｂは、モータ駆動、ブレーキ制御、バッテリ管理等、多重化システム１を搭載した移動体の総合的な制御を行う。ここで、第１のＥＣＵ１２ａ及び第２のＥＣＵ１２ｂは同様の構成である。よって、以下では主として第１のＥＣＵ１２ａの構成について説明し、第２のＥＣＵ１２ｂについての説明は適宜省略する。

制御ＣＰＵ１２１ａは、ＲＯＭやＲＡＭ等のメモリを有し（図示省略）、メモリに格納された制御プログラムに基づいてＥＣＵ１２ａの動作を制御する。

さらに、制御ＣＰＵ１２１ａは、第２の制御系２２に含まれる電源ユニット１１ｂの制御マイコン１１１ｂと信号線５２を介して接続されている。制御ＣＰＵ１２１ａは、電源ユニット１１ｂの状態を監視する。具体的には、制御ＣＰＵ１２１ａは、制御マイコン１１１ｂから電源ユニット１１ｂの状態に関する情報（電源電圧、電源電流、温度、異常の有無、電池残量等）を取得する。制御ＣＰＵ１２１ｂも同様に、第１の制御系２１に含まれる電源ユニット１１ａの制御マイコン１１１ａと信号線５１を介して接続されている。制御ＣＰＵ１２１ｂは、電源ユニット１１ａの状態を監視する。

制御ＣＰＵ１２１ａ及び負荷１２２ａは、電源ユニット１１ａから電源の供給を受ける。このとき、制御ＣＰＵ１２１ａにかかる電圧は、電圧変換部１２３ａによって低電圧に変換されてから供給される。加えて、電圧変換部１２３ａは、直流的に絶縁されている。なお、負荷１２２ａの一端はグランドに接続されている。

さらに、制御ＣＰＵ１２１ａと制御ユニット１２１ｂとは信号線５３を介して通信可能に接続されている。そして、制御ＣＰＵ１２１ｂは、電源ユニット１１ａの状態を、制御ＣＰＵ１２１ａに対して定期的に通知する。これにより、第１のＥＣＵ１２ａは、自己に電源供給を行う第１の電源ユニット１１ａの状態を認識できる。なお、信号線５２の両端には、絶縁部１２４ａ、１２４ｂが設けられている。絶縁部１２４ａ、１２４ｂは、絶縁部１１７ａ、１１７ｂと同様に直流的に絶縁されている。そのため、第１及び第２のＥＣＵ１２ａ、１２ｂのいずれか一方が故障した場合に、他方が故障の影響を受けない。

続いて、図２に示すフローチャートを用いて、多重化システム１の動作例について説明する。まず、第１の電源ユニット１１ａが何らかの原因により故障する（ステップＳ１０１）。つまり、第１の電源ユニット１１ａは、第１のＥＣＵ１２ａに対する電源の供給を停止する。

次に、第１の電源ユニット１１ａからの電源供給を受けられない第１のＥＣＵ１２ａがダウンする（ステップＳ１０２）。そのため、多重化システム１は、第１のＥＣＵ１２ａが監視する第２の電源ユニット１１ｂの状態が認識できなくなる。

通常動作時は、第１及び第２のＥＣＵ１２ａ、１２ｂの両方が動作しているため、第１のＥＣＵ１２ａがダウンすると、多重化システム１としては十分な制御ができなくなる。さらに、第２のＥＣＵ１２ｂのみで動作していると、二次故障や連続故障のおそれも生じる。そのため、第２のＥＣＵ１２ｂは、監視している第１の電源ユニット１１ａに異常が発生すると、多重化システム１を安全停止させる（ステップＳ１０３）。

そして、第２のＥＣＵ１２ｂは、現在の電源ユニット１１ａの状態に関する情報を制御マイコン１１１ａから取得する。そして、現在の第１の電源ユニット１１ａの状態と、第１のＥＣＵ１２ａから最後に通知された第２の電源ユニット１１ｂの状態とを、表示装置やスピーカ等のユーザインターフェースを介して、多重化システム１のユーザに通知する（ステップＳ１０４）。

以上のように、本実施の形態にかかる多重化システム１の構成によれば、第１の電源ユニット１１ａから電源の供給を受けていない第２のＥＣＵ１２ｂが、第１の電源ユニット１１ａの状態を監視する。そのため、第１の電源ユニット１１ａが故障して、第１のＥＣＵ１２ａに電源の供給ができなくなった場合であっても、第２のＥＣＵ１２ｂが第１の電源ユニット１１ａの状態を監視できる。つまり、第２のＥＣＵ１２ｂは、第１の電源ユニット１１ａの故障時においても、第１の電源ユニット１１ａの状態を認識できる。その結果、ユーザが第１の電源ユニット１１ａの故障原因を特定することができ、適切な対応をとることができる。

例えば、第１の電源ユニット１１ａに予期しない外乱が入った場合や、第１の電源ユニット１１ａの温度が極端に上昇した場合には、第１の電源ユニット１１ａの安全機能として瞬時に電源供給を停止する。具体的には、制御マイコン１１１ａがスイッチ１１６ａを非導通状態とする。そして、外乱が解消したり、温度が下がったりすれば、制御マイコン１１１ａは電源供給を再開する。このような場合、電源供給の停止の原因をユーザが把握できれば、少しの時間待てば多重化システム１が復帰することをユーザが認識できる。これに対して、図４に記載の多重化システム９においては、上述の通り、電源ユニットが電源の供給を停止した場合は、ユーザは当該電源ユニットの状態を把握できない。そのため、ユーザは、電源供給の停止が電源ユニットの寿命によるものであるか、一時的なシステムの停止であるのか等を認識できない。

勿論、第１のＥＣＵ１２ａが第２の電源ユニット１１ｂの状態を監視しているため、第２の電源ユニット１１ｂが故障した場合も第１のＥＣＵ１２ａは同様の処理を行うことができる。

実施の形態２
本発明にかかる実施の形態２について説明する。本実施の形態にかかる多重化システム２の構成例を図３に示す。多重化システム２において、第１及び第２の電源ユニット１１ａ、１１ｂ、第１及び第２のＥＣＵ１２ａ、１２ｂの構成は図１に示した多重化システム１と同様である。ただし、第１のＥＣＵ１２ａは、バス接続された信号線５４を介して、第２の電源ユニット１１ｂに加えて、第１の電源ユニット１１ａ及び第２のＥＣＵ１２ｂと接続されている。

具体的には、制御マイコン１１１ａ、１１１ｂ、制御ＣＰＵ１２１ａ、１２１ｂは、バス３０を介してバス接続されている。つまり、制御ＣＰＵ１２１ａは、制御マイコン１１１ｂに加えて、制御マイコン１１１ａ及び制御ＣＰＵ１２１ｂと接続されている。

そのため、例えば、第１の電源ユニット１１ａの故障に伴い、第１のＥＣＵ１２ａがダウンした場合であっても、第２のＥＣＵ１２ｂは、第１の電源ユニット１１ａ及び第２の電源ユニット１１ｂの状態を認識できる。

以上のように、本実施の形態にかかる多重化システム２は、第１及び第２の電源ユニット１１ａ、１１ｂ、第１及び第２のＥＣＵ１２ａ、１２ｂがバス接続されている。そのため、第１及び第２のＥＣＵ１２ａ、１２ｂのそれぞれは、第１及び第２の電源ユニット１１ａ、１１ｂの双方を監視することができる。その結果、第１及び第２のＥＣＵ１２ａ、１２ｂのいずれか一方がダウンした場合であっても、他方のＥＣＵは、ダウンしたＥＣＵに電源を供給していた電源ユニットの状態に加えて、自らに電源を供給する電源ユニットの状態も認識できる。

さらに、第１のＥＣＵ１２ａ及び第２のＥＣＵ１２ｂもバス接続されている。そのため、第１のＥＣＵ１２ａと第２のＥＣＵ１２ｂとを接続するための専用ラインも必要ない。したがって、第１及び第２の制御系２１、２２の接続を簡略化することができる。

なお、本発明は上記実施の形態に限られたものではなく、趣旨を逸脱しない範囲で適宜変更及び組み合わせをすることが可能である。例えば、制御ユニットとしてＥＣＵを用いて説明したが、ＥＣＵ以外の制御ユニットであってもよい。さらに、上述した実施の形態１、２においては、第１の制御系２１と第２の制御系２２とを備える二重系について説明したが、これに限られるものではない。本発明は、３つ以上の制御系を有する多重化システムについても適用することができる。具体的には、図１に示した多重化システム１が、第３の電源ユニット及び第３のＥＣＵを含む第３の制御系をさらに備える構成としてもよい。このとき、各電源ユニットには、自らの制御系以外の制御系に含まれる２つのＥＣＵが信号線を介して接続される。そのため、各電源ユニットは、２つのＥＣＵによって監視されることとなる。すなわち、例えば、第２の電源ユニットを、第１のＥＣＵ及び第３のＥＣＵと信号線を介してそれぞれ接続することで、第２の電源ユニットを第１のＥＣＵ及び第３のＥＣＵを用いて監視することができる。他の電源ユニットについても同様に自己の制御系以外の２つのＥＣＵと接続することができる。このような構成とすることで、多重化システムの冗長性を向上させることができる。

１、２、９多重化システム
１１、９１電源ユニット
１２、９２ＥＣＵ
２１、２２制御系
３０バス
４１、４２電力線
５１〜５４信号線
１１１制御マイコン
１１２電流センサ
１１３電圧センサ
１１４温度センサ
１１５電圧変換部
１１６スイッチ
１１７絶縁部
１１８電池
１２１制御ＣＰＵ
１２２負荷
１２３電圧変換部
１２４絶縁部

Claims

制御ユニットと、当該制御ユニットに電源を供給する電源ユニットと、を含む制御系を複数備え、前記制御ユニット及び前記電源ユニットが多重化された多重化システムであって、
前記複数の制御系のうち一の制御系に含まれる前記制御ユニットは、他の制御系に含まれる前記電源ユニットのうち、少なくとも一つの前記電源ユニットと接続され、当該電源ユニットの状態を監視し、前記一の制御系に含まれる前記制御ユニットと、前記他の制御系に含まれる前記制御ユニットとは通信可能に接続されており、前記一の制御系に含まれる前記制御ユニットは、自己が監視する前記電源ユニットの状態を、当該電源ユニットが電源を供給する前記制御ユニットに対して通知する多重化システム。
前記一の制御系に含まれる前記制御ユニットは、監視している前記電源ユニットに異常が発生すると、前記多重化システムを安全停止させる請求項１に記載の多重化システム。
前記一の制御系に含まれる前記制御ユニットと、前記他の制御系に含まれる前記制御ユニットとは、直流的に絶縁されている請求項１または２に記載の多重化システム。
前記一の制御系に含まれる前記制御ユニットと、当該制御ユニットが監視する前記電源ユニットとは、直流的に絶縁されている請求項１〜３のいずれか一項に記載の多重化システム。
前記制御ユニットは、自己が監視する前記電源ユニットの状態に異常が発生した場合、
前記多重化システムのユーザに当該電源ユニットの状態を通知する請求項１〜４のいずれか一項に記載の多重化システム。
前記電源ユニットは、
前記制御ユニットに供給する電源の電圧、電流、及び自己の温度のうち少なくとも一つを検出するセンサと、
前記センサの検出結果に基づいて、前記電源ユニットの異常を検出する異常検出手段と、を有し、
前記制御ユニットは、自己が監視する前記電源ユニットの前記異常検出手段の検出結果を監視する請求項１〜５のいずれか一項に記載の多重化システム。
前記一の制御系に含まれる前記制御ユニットは、前記他の制御系に含まれる前記電源ユニットの状態に加え、当該一の制御系に含まれる前記電源ユニットの状態も監視する請求項１〜６のいずれか一項に記載の多重化システム。
前記複数の制御系に含まれる複数の前記制御ユニット及び複数の前記電源ユニットは、バス接続されている請求項７に記載の多重化システム。
制御ユニットと、当該制御ユニットに電源を供給する電源ユニットと、を含む制御系を複数備え、前記制御ユニット及び前記電源ユニットが多重化された多重化システムの制御方法であって、
前記複数の制御系のうち一の制御系に含まれる前記制御ユニットが、他の制御系に含まれる前記電源ユニットのうち、少なくとも一つの前記電源ユニットの状態を監視し、
前記一の制御系に含まれる前記制御ユニットが、自己が監視する前記電源ユニットの状態を、当該電源ユニットが電源を供給する前記制御ユニットに対して通知する多重化システムの制御方法。
前記一の制御系に含まれる前記制御ユニットは、監視している前記電源ユニットに異常が発生すると、前記多重化システムを安全停止させる請求項９に記載の多重化システムの制御方法。
前記制御ユニットが、自己が監視する前記電源ユニットの状態に異常が発生した場合、前記多重化システムのユーザに当該電源ユニットの状態を通知する請求項９または１０に記載の多重化システムの制御方法。
前記電源ユニットが前記制御ユニットに供給する電源の電圧、電流、及び当該電源ユニットの温度のうち少なくとも一つを検出し、
検出結果に基づいて、前記電源ユニットの異常を検出し、
前記制御ユニットが、自己が監視する前記電源ユニットの異常の検出結果を監視する請求項９〜１１のいずれか一項に記載の多重化システムの制御方法。
前記一の制御系に含まれる前記制御ユニットが、前記他の制御系に含まれる前記電源ユニットの状態に加え、当該一の制御系に含まれる前記電源ユニットの状態も監視する請求項９〜１２のいずれか一項に記載の多重化システムの制御方法。