JP7139620B2 - 燃料電池システム - Google Patents

Description

本発明は、複数の燃料電池サブシステムを備える燃料電池システムに関する。

燃料電池車両等において、大きな駆動力を出力するために複数の燃料電池サブシステムを備える燃料電池システムが搭載されることがある。特許文献１に記載の燃料電池システムでは、２つの燃料電池サブシステムがそれぞれ備える各燃料電池へ、共通する複数の水素タンクから水素を供給している。

特開２００５－００５０８７号公報

複数の燃料電池サブシステムを備える燃料電池システムにおいては、水素タンク等の水素供給系と、電気・電源系とが密接して配置されることがある。このため、本願発明者らは、水素を利用する上での安全性を向上させるために、複数の燃料電池サブシステムを備える燃料電池システムにおいて何らかの異常が検出された場合に、全ての燃料電池サブシステムを停止させる制御方法を想定した。しかしながら、全ての燃料電池サブシステムを停止させると、出力電力不足や燃料電池システムの全停止に伴うユーザーの利便性低下の問題が生じ得ることを、本願発明者らは見出した。

本発明は、上述の課題を解決するためになされたものであり、以下の形態として実現することが可能である。
［形態１］燃料電池システムであって、水素と酸素との供給を受けて発電する燃料電池を有する複数の燃料電池サブシステムと、各前記燃料電池サブシステムが有する前記燃料電池の発電を制御する制御部と、を備え、各前記燃料電池サブシステムは、前記水素を貯蔵する１以上の水素タンクと、前記水素タンクからの水素の供給と停止とを制御する主止弁と、を有し、前記水素を前記複数の燃料電池サブシステムが有する前記燃料電池にそれぞれ供給する複数の水素供給系と、各前記水素供給系の外部への水素漏れである外部水素漏れを検出可能な外部水素漏れ検出センサと、前記水素タンク内の圧力を検出する圧力センサと、各前記燃料電池サブシステムの異常を検出する異常検出部と、を有し、前記制御部は、検出された前記異常が、前記外部水素漏れと、前記水素タンク内の圧力が予め定められた圧力以下となる水素欠と、のうちの少なくとも一方である場合に、検出された前記異常の種類および深刻度に応じたフェールセーフモードで前記複数の燃料電池サブシステムをそれぞれ動作させ、検出された前記異常が、前記外部水素漏れと前記水素欠とのうちのいずれでもない場合に、検出された前記異常の種類および深刻度に応じて、前記主止弁の開閉操作に関わる制御シーケンスを含む予め定められたシーケンスの各前記燃料電池サブシステム同士の同期の可否を判定し、前記同期が可能と判定された場合には、各前記燃料電池サブシステムの間で前記開閉操作に関わる制御を同期させ、前記同期が不可能と判定された場合には、各前記燃料電池サブシステムの間で前記開閉操作に関わる制御を同期させない、燃料電池システム。

本発明の一形態によれば、燃料電池システムが提供される。この燃料電池システムは；水素と酸素との供給を受けて発電する燃料電池を有する複数の燃料電池サブシステムと；前記水素を貯蔵する水素タンクを有し、前記水素を前記燃料電池にそれぞれ供給する水素供給系と；前記水素供給系の外部への水素漏れである外部水素漏れを検出可能な外部水素漏れ検出センサと；前記水素タンク内の圧力を検出する圧力センサと；前記燃料電池サブシステムの異常を検出する異常検出部と；前記燃料電池サブシステムが有する前記燃料電池の発電を制御する制御部と；を備え；前記制御部は；検出された前記異常が、前記外部水素漏れと、前記水素タンク内の圧力が予め定められた圧力以下となる水素欠と、のうちの少なくとも一方である場合に、全ての前記燃料電池サブシステムを停止させ；検出された前記異常が、前記外部水素漏れと前記水素欠とのうちのいずれでもない場合に、前記異常が検出されていない前記燃料電池サブシステムにおける前記燃料電池の発電を継続させる。この形態の燃料電池システムによれば、検出された異常が、外部水素漏れと水素欠とのうちの少なくとも一方である場合に、全ての燃料電池サブシステムを停止させるので、水素を利用する上での安全性を向上できる。また、検出された異常が、外部水素漏れと水素欠とのうちのいずれでもない場合に、異常が検出されていない燃料電池サブシステムにおける燃料電池の発電を継続させるので、出力電力不足や燃料電池システムの全停止に伴うユーザーの利便性低下を抑制できる。

本発明は、燃料電池システム以外の種々の形態で実現することも可能である。例えば、かかる燃料電池システムを備える燃料電池車両、燃料電池システムの制御方法等の形態で実現することができる。

本発明の一実施形態としての燃料電池システムの概略構成を示す説明図である。 異常時制御処理の手順を示すフローチャートである。 異常時制御処理の手順を示すフローチャートである。 異常時制御処理の手順を示すフローチャートである。 異常の同期を説明するための説明図である。 水素欠判定の同期を説明するための説明図である。 他の実施形態１の制御内容の一例を説明するための説明図である。

Ａ．第１実施形態：
Ａ－１．燃料電池システムの構成：
図１は、本発明の一実施形態としての燃料電池システム１０の概略構成を示す説明図である。燃料電池システム１０は、車両の駆動モータ等に駆動用電源を供給するためのシステムとして、図示しない燃料電池車両に搭載されている。燃料電池システム１０は、第１燃料電池サブシステム１０Ａと、第２燃料電池サブシステム１０Ｂと、制御部５０とを備える。

第１燃料電池サブシステム１０Ａおよび第２燃料電池サブシステム１０Ｂは、いずれも燃料電池１００Ａ、１００Ｂの発電により駆動用電源の一部を供給するためのシステムであり、互いに同一の構成を備える。このため、以下では、第１燃料電池サブシステム１０Ａについて詳細に説明し、第２燃料電池サブシステム１０Ｂについての詳細な説明は、省略する。第２燃料電池サブシステム１０Ｂの構成要素には、第１燃料電池サブシステム１０Ａの構成要素における符号の末尾のＡをＢに代えた符号を付している。

第１燃料電池サブシステム１０Ａは、燃料電池１００Ａと、高圧水素供給系２００Ａと、中低圧水素給排系３００Ａと、水素センサ９００Ａと、空気給排系４００Ａと、冷却系５００Ａと、二次電池６００Ａと、ＥＣＵ７００Ａとを備える。

燃料電池１００Ａは、第１燃料電池サブシステム１０Ａにおける電力の供給源であり、いわゆる固体高分子型燃料電池により構成されている。燃料電池１００Ａは、燃料ガスとしての水素と、酸化ガスとしての酸素との電気化学反応によって発電する。燃料電池１００Ａは、固体高分子型燃料電池に代えて、固体酸化物型燃料電池等の他の任意のタイプの燃料電池により構成されてもよい。燃料電池１００Ａは、図示しない複数の単セルが積層されたスタック構造を有する。各単セルは、図示しない電解質膜の両面に電極を配置した図示しない膜電極接合体と、膜電極接合体を挟持する図示しない１組のセパレータとを有する。燃料電池１００Ａを構成する各単セルには、電解質膜を介して、水素が供給されるアノードと、空気が供給されるカソードとが形成されている。

高圧水素供給系２００Ａは、燃料ガスとしての水素を貯蔵するとともに、中低圧水素給排系３００Ａを介して燃料電池１００Ａへと水素を供給する。高圧水素供給系２００Ａは、５つの水素タンク２１０Ａと、各水素タンク２１０Ａにそれぞれ接続される５つのタンク管路２３０Ａと、マニホールド２４０Ａと、高圧水素配管２７０Ａとを備える。以降の説明では、５つの水素タンク２１０Ａおよびタンク管路２３０Ａのうちの１つを代表して説明し、他の４つについての詳細な説明を省略する。

水素タンク２１０Ａは、水素を高圧で貯蔵する高圧水素タンクとして構成されている。
タンク管路２３０Ａの一端は、水素タンク２１０Ａの図示しない口金と接続され、他端は、マニホールド２４０Ａと接続されている。タンク管路２３０Ａには、主止弁２２０Ａが配置されている。主止弁２２０Ａは、ＥＣＵ７００Ａの第１制御部７１０Ａからの指示に応じて開閉する。主止弁２２０Ａの開閉によって、水素タンク２１０Ａからの水素の供給と遮断とが制御される。マニホールド２４０Ａは、各タンク管路２３０Ａと高圧水素配管２７０Ａとを接続している。マニホールド２４０Ａには、高圧圧力センサ２４２Ａが配置されている。高圧圧力センサ２４２Ａは、水素タンク２１０Ａ内の水素の圧力を検出する。

第１燃料電池サブシステム１０Ａの高圧水素配管２７０Ａと第２燃料電池サブシステム１０Ｂの高圧水素配管２７０Ｂとは、連通管２９０によって互いに接続されている。このため、第１燃料電池サブシステム１０Ａの高圧水素供給系２００Ａと、第２燃料電池サブシステム１０Ｂの高圧水素供給系２００Ｂとは、２つの燃料電池サブシステム１０Ａ、１０Ｂに共通に使用される。

中低圧水素給排系３００Ａは、高圧水素供給系２００Ａから高圧水素配管２７０Ａを介して供給される水素を燃料電池１００Ａへ供給するとともに、燃料電池１００Ａから排出されるアノード排ガスを排出する。中低圧水素給排系３００Ａは、減圧弁３２０Ａと、中低圧水素配管３１０Ａと、中圧リリーフ弁３２５Ａと、中圧圧力センサ３３０Ａと、インジェクタ３４０Ａと、低圧リリーフ弁３４５Ａと、低圧圧力センサ３５０Ａと、水素排出路３６０Ａと、気液分離器３７０Ａと、循環配管３７５Ａと、水素ポンプ３８０Ａと、排気排水路３９０Ａと排気排水弁３９５Ａとを備える。

減圧弁３２０Ａは、高圧水素配管２７０Ａと接続され、高圧水素供給系２００Ａから供給される水素の圧力を所定の圧力まで低下させて中低圧水素配管３１０Ａへと送る。中低圧水素配管３１０Ａは、減圧弁３２０Ａから燃料電池１００Ａまでの間における水素の流路を構成している。中低圧水素配管３１０Ａには、減圧弁３２０Ａ側から順に、中圧リリーフ弁３２５Ａ、中圧圧力センサ３３０Ａ、インジェクタ３４０Ａ、低圧リリーフ弁３４５Ａおよび低圧圧力センサ３５０Ａが配置されている。中圧リリーフ弁３２５Ａは、減圧弁３２０Ａの下流側における水素の圧力が所定の圧力以上となった場合に自動的に開かれて、大気中に水素を放出する。中圧リリーフ弁３２５Ａは、通常閉じられており、減圧弁３２０Ａの異常等によって開かれる。中圧圧力センサ３３０Ａは、減圧弁３２０Ａからインジェクタ３４０Ａまでの間における水素の圧力を検出する。インジェクタ３４０Ａは、第１制御部７１０Ａによって設定された駆動周期や開弁時間に応じて駆動し、水素を噴射する。低圧リリーフ弁３４５Ａは、インジェクタ３４０Ａの下流側における水素の圧力が所定の圧力以上となった場合に自動的に開かれて、大気中に水素を放出する。低圧リリーフ弁３４５Ａは、通常閉じられており、インジェクタ３４０Ａの異常等によって開かれる。低圧圧力センサ３５０Ａは、燃料電池１００Ａのアノードに供給される水素の圧力を検出する。

水素排出路３６０Ａは、燃料電池１００Ａと気液分離器３７０Ａとを接続している。気液分離器３７０Ａは、燃料電池１００Ａから排出された液水混じりの排ガスから、液水および窒素ガス等の不純物ガスを分離する。循環配管３７５Ａは、気液分離器３７０Ａと中低圧水素配管３１０Ａの低圧リリーフ弁３４５Ａよりも下流側とを接続している。水素ポンプ３８０Ａは、循環配管３７５Ａに配置され、電気化学反応に用いられなかった水素を含む排ガスを循環させる。排気排水路３９０Ａは、気液分離器３７０Ａと、後述する空気排出路４２０Ａとを接続している。排気排水弁３９５Ａは、気液分離器３７０Ａと排気排水路３９０Ａとの間に配置され、第１制御部７１０Ａからの指示に応じて開閉する。気液分離器３７０Ａによって分離された液水および不純物ガスは、排気排水弁３９５Ａが開かれると、排気排水路３９０Ａおよび空気排出路４２０Ａを介して外部へと排出される。

上述のように、第１燃料電池サブシステム１０Ａの高圧水素配管２７０Ａと第２燃料電池サブシステム１０Ｂの高圧水素配管２７０Ｂとは、連通管２９０によって互いに接続されている。このため、高圧水素供給系２００Ａ、２００Ｂの両方から、第１燃料電池サブシステム１０Ａの中低圧水素給排系３００Ａおよび燃料電池１００Ａと、第２燃料電池サブシステム１０Ｂの中低圧水素給排系３００Ｂおよび燃料電池１００Ｂとに、それぞれ水素が共通して供給される。各高圧水素供給系２００Ａ、２００Ｂと、各中低圧水素給排系３００Ａ、３００Ｂと、連通管２９０とは、水素供給系２００を構成している。すなわち、水素供給系２００は、各燃料電池１００Ａ、１００Ｂに水素をそれぞれ供給する。

水素センサ９００Ａは、水素を検出するガスセンサにより構成されている。水素センサ９００Ａは、水素供給系２００の近傍に複数配置され、水素供給系２００の外部への水素漏れである外部水素漏れを検出する。水素センサ９００Ａは、５つの水素タンク２１０Ａを収容する図示しないタンクケースや、中低圧水素配管３１０Ａの外側に配置されている。なお、水素センサ９００Ａは、水素供給系２００の近傍における他の任意の位置に設けられていてもよい。

空気給排系４００Ａは、酸化ガスとしての酸素を含む空気を燃料電池１００Ａに供給し、排出する。空気給排系４００Ａは、空気供給路４１０Ａと、エアコンプレッサ４４０Ａと、空気排出路４２０Ａと、バイパス路４３０Ａと、分流弁４５０Ａと、調圧弁４６０Ａとを備える。

空気供給路４１０Ａは、燃料電池１００Ａへと供給される空気の流路を構成している。空気供給路４１０Ａには、エアコンプレッサ４４０Ａおよび図示しないセンサ類やインタークーラ等が配置されている。エアコンプレッサ４４０Ａは、空気供給路４１０Ａに配置され、空気を圧縮して燃料電池１００Ａのカソードへと送出する。図示しないセンサ類には、例えば、外気温を検出する温度センサ、大気圧を検出する大気圧センサ、空気の流量を検出するエアフローメータ、エアコンプレッサ４４０Ａから送出される空気の圧力を検出する圧力センサ、燃料電池１００Ａのカソードに供給される空気の温度を検出する温度センサ等が該当する。

空気排出路４２０Ａは、燃料電池１００Ａのカソードと接続され、燃料電池１００Ａから排出される空気とバイパス路４３０Ａに分流された空気とを、マフラー４７０Ａを介して外部へ排出する。バイパス路４３０Ａは、空気供給路４１０Ａと空気排出路４２０Ａとを連通する。分流弁４５０Ａは、空気供給路４１０Ａに配置されてバイパス路４３０Ａと接続され、第１制御部７１０Ａからの指示に応じて燃料電池１００Ａおよびバイパス路４３０Ａへの空気の流量を調節する。調圧弁４６０Ａは、空気排出路４２０Ａにおいてバイパス路４３０Ａとの接続部位よりも燃料電池１００Ａ側に配置されている。調圧弁４６０Ａは、第１制御部７１０Ａからの指示に応じて開閉し、カソードの圧力を調整する。

冷却系５００Ａは、発電によって温度が上昇した燃料電池１００Ａを冷却する。冷却系５００Ａは、冷媒供給路５２０Ａと、冷媒排出路５３０Ａと、ラジエータ５１０Ａと、バイパス路５４０Ａと、三方弁５６０Ａと、冷媒ポンプ５５０Ａとを備える。冷媒供給路５２０Ａは、冷媒としての冷却水を燃料電池１００Ａに供給する。なお、冷却水に代えて、エチレングリコール等の不凍液や空気等を用いてもよい。冷媒排出路５３０Ａは、燃料電池１００Ａから排出された冷媒をラジエータ５１０Ａへと送る。ラジエータ５１０Ａは、冷媒を放熱する。バイパス路５４０Ａは、冷媒供給路５２０Ａと冷媒排出路５３０Ａとを連通する。三方弁５６０Ａは、ラジエータ５１０Ａとバイパス路５４０Ａへの冷媒の流量を調整する。冷媒ポンプ５５０Ａは、冷媒供給路５２０Ａに配置され、冷媒を循環させる。また、冷却系５００Ａは、図示しないイオン交換器や、冷媒の温度を検出する図示しない温度センサ等を備える。

中低圧水素給排系３００Ａ、空気給排系４００Ａおよび冷却系５００Ａは、第１燃料電池サブシステム１０Ａのみに使用され、第２燃料電池サブシステム１０Ｂに対して独立した系統である。同様に、中低圧水素給排系３００Ｂ、空気給排系４００Ｂおよび冷却系５００Ｂは、第２燃料電池サブシステム１０Ｂのみに使用され、第１燃料電池サブシステム１０Ａに対して独立した系統である。

二次電池６００Ａは、リチウムイオン電池によって構成され、燃料電池１００Ａとともに第１燃料電池サブシステム１０Ａにおける電力の供給源として機能する。なお、リチウムイオン電池に代えて、ニッケル水素電池等の他の任意の種類の二次電池により構成されてもよい。二次電池６００Ａは、燃料電池１００Ａで発電された電力のうち駆動モータ等の負荷で消費されなかった余剰の電力と、回生電力とによって充電される。

ＥＣＵ７００Ａは、ＣＰＵと記憶装置とを備えるマイクロコンピュータであり、電子制御ユニットとして構成されている。ＣＰＵは、記憶装置に予め記憶されている制御プログラムを実行することにより、第１制御部７１０Ａとして機能する。第１制御部７１０Ａは、燃料電池１００Ａの発電制御および二次電池６００Ａの充放電制御を含めた、第１燃料電池サブシステム１０Ａ全体の動作を制御する。第１制御部７１０Ａは、高圧圧力センサ２４２Ａ、中圧圧力センサ３３０Ａ、低圧圧力センサ３５０Ａおよび水素センサ９００Ａ等の各種センサからの出力信号を取得する。また、主止弁２２０Ａ、分流弁４５０Ａ、調圧弁４６０Ａおよび三方弁５６０Ａ等の各種弁や、インジェクタ３４０Ａ、水素ポンプ３８０Ａ、エアコンプレッサ４４０Ａおよび冷媒ポンプ５５０Ａ等、燃料電池１００Ａの発電に関わる各部に駆動信号を出力する。第１制御部７１０Ａは、第２燃料電池サブシステム１０Ｂの第２制御部７１０Ｂと、信号線を介して互いに通信可能に構成されている。

制御部５０は、ＣＰＵと記憶装置とを備えるマイクロコンピュータであり、電子制御ユニットとして構成されている。ＣＰＵは、記憶装置に予め記憶されている制御プログラムを実行することにより、燃料電池システム１０全体の制御を行なう。制御部５０は、第１制御部７１０Ａおよび第２制御部７１０Ｂと互いに通信可能に構成されるとともに、第１制御部７１０Ａおよび第２制御部７１０Ｂに対して制御指令を出力する。したがって、制御部５０は、各燃料電池サブシステム１０Ａ、１０Ｂが有する燃料電池１００Ａ、１００Ｂの発電を制御する。

制御部５０は、異常検出部６０を備える。異常検出部６０は、第１燃料電池サブシステム１０Ａおよび第２燃料電池サブシステム１０Ｂのそれぞれの異常を検出する。かかる異常の検出は、各燃料電池サブシステム１０Ａ、１０Ｂが備える各種センサ類から第１制御部７１０Ａおよび第２制御部７１０Ｂに対して出力される検出値に基づいて行なわれる。制御部５０は、異常検出部６０による異常の検出結果に基づいて異常時制御処理を実行することにより、異常の種類および異常の深刻度等に応じた制御モードを設定して燃料電池システム１０を制御し、水素を利用する上での安全性を向上させるとともに、燃料電池１００Ａ、１００Ｂの発電停止による出力電力不足や、燃料電池システム１０の全停止に伴うユーザーの利便性の低下を抑制する。

Ａ－２．異常時制御処理
図２、図３および図４は、異常時制御処理の手順を示すフローチャートである。異常時制御処理は、燃料電池車両の図示しないスタータースイッチが押されて燃料電池システム１０が起動すると実行される。

第１制御部７１０Ａおよび第２制御部７１０Ｂは、各燃料電池サブシステム１０Ａ、１０Ｂが備える各種センサ類の検出値をそれぞれ取得する（ステップＳ１１０）。異常検出部６０は、ステップＳ１１０の結果に基づいて、各燃料電池サブシステム１０Ａ、１０Ｂが正常であるか否かを判定する（ステップＳ１１５）。各燃料電池サブシステム１０Ａ、１０Ｂが正常であると判定された場合（ステップＳ１１５：ＹＥＳ）、制御部５０は、燃料電池システム１０の制御モードを連通モードに設定し、燃料電池システム１０を連通モードで動作させる（ステップＳ１２０）。連通モードにおいては、各燃料電池サブシステム１０Ａ、１０Ｂの間で、主止弁２２０Ａ、２２０Ｂの開閉操作に関わる制御等を同期させる。この場合、各燃料電池サブシステム１０Ａ、１０Ｂは、通常の発電制御により動作する。

制御部５０は、燃料電池車両の走行が終了したか否かを判定する（ステップＳ１２５）。燃料電池車両の走行が終了していないと判定された場合（ステップＳ１２５：ＮＯ）、ステップＳ１１０に戻る。他方、燃料電池車両の走行が終了したと判定された場合（ステップＳ１２５：ＹＥＳ）、異常時制御処理は終了する。

上記ステップＳ１１５において、各燃料電池サブシステム１０Ａ、１０Ｂが正常でないと判定された場合（ステップＳ１１５：ＮＯ）、すなわち、少なくとも１つの燃料電池サブシステム１０Ａ、１０Ｂの異常が検出された場合、異常検出部６０は、検出された異常が水素供給系２００の異常であるか否かを判定する（ステップＳ１３０）。

水素供給系２００の異常には、例えば、水素欠、水素漏れ、水素の圧力異常、水素供給系２００におけるセンサ類の故障等が該当する。

検出された異常が水素供給系２００の異常であると判定された場合（ステップＳ１３０：ＹＥＳ）、制御部５０は、燃料電池システム１０の制御モードを第１フェールセーフモードに設定する（ステップＳ２００）。他方、水素供給系２００の異常でないと判定された場合（ステップＳ１３０：ＮＯ）、すなわち、水素供給系２００以外の異常であると判定された場合、制御部５０は、燃料電池システム１０の制御モードを第２フェールセーフモードに設定する（ステップＳ３００）。以下では、第１フェールセーフモードの詳細内容を説明した後に、第２フェールセーフモードの詳細内容を説明する。燃料電池システム１０は、後述するステップＳ２０５～ステップＳ２７０が実行されることにより、第１フェールセーフモードで動作する。

第１フェールセーフモードには、水素供給系２００の異常の種類および深刻度等に応じて、フェールセーフモードａ、ｂ、ｃおよびｄの、４つのモードが予め設定されている。第１フェールセーフモードでは、全ての燃料電池サブシステム１０Ａ、１０Ｂに対して異常を同期させて異常情報を共有させることにより、全ての燃料電池サブシステム１０Ａ、１０Ｂに対してフェールセーフモードａ～ｄでの制御を実行する。「異常の同期」について、以下に説明する。なお、「フェールセーフモードａ～ｄ」については、後述する。また、以降の説明では、２つの燃料電池サブシステム１０Ａ、１０Ｂのうちのいずれか一方は、異常が検出されていないものとして説明する。

図５は、異常の同期を説明するための説明図である。図５では、各燃料電池サブシステム１０Ａ、１０Ｂにおけるそれぞれの異常判定結果と、各燃料電池サブシステム１０Ａ、１０Ｂが統合された燃料電池システム１０における異常判定結果とが示されている。異常判定は、異常が検出されていない間はＯＦＦであり、異常が検出されるとＯＮになる。図５の横軸は、時刻を示している。

時刻Ｔ１０では、２つの燃料電池サブシステム１０Ａ、１０Ｂのいずれにおいても異常が検出されていない。このため、各燃料電池サブシステム１０Ａ、１０Ｂおよび燃料電池システム１０の異常判定は、全てＯＦＦになっている。時刻Ｔ１１では、第１燃料電池サブシステム１０Ａで異常が検出され、第１燃料電池サブシステム１０Ａの異常判定がＯＮになっている。このため、時刻Ｔ１２において燃料電池システム１０の異常判定をＯＮにすることにより、異常が検出されていない第２燃料電池サブシステム１０Ｂにおいても、時刻Ｔ１３に異常判定をＯＮにする。すなわち、異常の同期とは、全ての燃料電池サブシステム１０Ａ、１０Ｂの異常判定をＯＮにさせることにより、異常情報を共有させることを意味する。

図３に示すように、異常検出部６０は、検出された異常の数が１つであるか否かを判定する（ステップＳ２０５）。検出された異常の数が１つであると判定された場合（ステップＳ２０５：ＹＥＳ）、制御部５０は、かかる異常内容を記憶する（ステップＳ２１０）。他方、検出された異常の数が１つでないと判定された場合（ステップＳ２０５：ＮＯ）、すなわち複数の異常が検出されている場合、制御部５０は、複数の異常のうち最も強い制限に該当する異常内容を記憶する（ステップＳ２１５）。ここで、「最も強い制限に該当する異常」とは、深刻度が最も大きい異常を意味し、燃料電池システム１０の運転において大きな制限をかけるべき異常を意味する。異常の深刻度は、予め設定されて制御部５０の記憶装置に記憶されている。

制御部５０は、ステップＳ２１０またはステップＳ２１５で記憶された異常内容が、フェールセーフモードａに対応する異常であるか否かを判定する（ステップＳ２２０）。フェールセーフモードａに対応する異常とは、フェールセーフモードａで動作制御すべき異常として予め設定されて制御部５０の記憶装置に記憶されている異常と、異常内容が一致する異常を意味する。

フェールセーフモードａは、水素供給系２００の異常のうち深刻度が最も大きい異常に対するモードであり、燃料電池車両を緊急停止させる制御モードに該当する。異常内容がフェールセーフモードａに対応する異常であると判定された場合（ステップＳ２２０：ＹＥＳ）、制御部５０は、燃料電池システム１０の制御モードをフェールセーフモードａに設定し、各燃料電池サブシステム１０Ａ、１０Ｂをフェールセーフモードａで動作させる（ステップＳ２２５）。

フェールセーフモードａでは、全ての燃料電池サブシステム１０Ａ、１０Ｂを停止させ、異常の拡大を抑制する。ステップＳ２２５では、異常が検出された燃料電池サブシステム１０Ａ、１０Ｂ（以下、「異常サブシステム」とも呼ぶ）における燃料電池１００Ａ、１００Ｂの発電を停止し、異常サブシステムの停止処理を実行する。また、異常が検出されていない燃料電池サブシステム１０Ａ、１０Ｂ（以下、「正常サブシステム」とも呼ぶ）における燃料電池１００Ａ、１００Ｂの発電を停止し、正常サブシステムの停止処理を実行する。これにより、燃料電池車両を停止させる。

ステップＳ２２５および後述のステップＳ２４５、Ｓ２５５、Ｓ２６０、Ｓ２７０に示す燃料電池サブシステム１０Ａ、１０Ｂの停止処理では、制御部５０により第１制御部７１０Ａおよび第２制御部７１０Ｂに制御指令が出力される。これにより、例えば、主止弁２２０Ａ、２２０Ｂ、減圧弁３２０Ａ、３２０Ｂおよびインジェクタ３４０Ａ、３４０Ｂの閉弁や、エアコンプレッサ４４０Ａ、４４０Ｂの停止等が実行され、燃料電池１００Ａ、１００Ｂへの反応ガスの供給が停止されて燃料電池１００Ａ、１００Ｂの発電が停止される。また、各燃料電池サブシステム１０Ａ、１０Ｂが備える図示しない燃料電池コンバータ等が停止され、図示しない燃料電池用リレー回路等が遮断される。

フェールセーフモードａに対応する異常としては、外部水素漏れおよび水素欠の２つの異常が該当する。

外部水素漏れは、水素センサ９００Ａ、９００Ｂにより検出される他、高圧圧力センサ２４２Ａ、２４２Ｂ、中圧圧力センサ３３０Ａ、３３０Ｂまたは低圧圧力センサ３５０Ａ、３５０Ｂにより検出される圧力が所定圧力以下となった場合に検出される。加えて、中圧リリーフ弁３２５Ａ、３２５Ｂまたは低圧リリーフ弁３４５Ａ、３４５Ｂの開状態が継続することにより検出されてもよい。中低圧水素配管３１０Ａ、３１０Ｂの圧力が予め定められた圧力以上に上昇した場合であって、リリーフ弁３２５Ａ、３２５Ｂ、３４５Ａ、３４５Ｂの開状態を継続させる場合には、水素の放出が継続するからである。

水素欠は、高圧圧力センサ２４２Ａ、２４２Ｂにより検出された水素タンク２１０Ａ、２１０Ｂ内の圧力が、水素欠閾値として予め定められた圧力以下となることにより検出される。いずれか一方の燃料電池サブシステム１０Ａ、１０Ｂにおいて水素欠が検出された場合に、全ての燃料電池サブシステム１０Ａ、１０Ｂを停止させるのは、以下の理由による。

第１燃料電池サブシステム１０Ａの高圧水素供給系２００Ａと、第２燃料電池サブシステム１０Ｂの高圧水素供給系２００Ｂとは、２つの燃料電池サブシステム１０Ａ、１０Ｂに共通に使用される。また、高圧圧力センサ２４２Ａは第１燃料電池サブシステム１０Ａに含まれ、高圧圧力センサ２４２Ｂは第２燃料電池サブシステム１０Ｂに含まれている。このため、いずれか一方の燃料電池サブシステム１０Ａ、１０Ｂにおいて水素欠が検出されて水素欠判定がＯＮとなった場合に、水素欠が検出されていない燃料電池サブシステム１０Ａ、１０Ｂにおいても水素欠判定をＯＮとすることによって、水素欠が検出されていない燃料電池サブシステム１０Ａ、１０Ｂの燃料電池１００Ａ、１００Ｂの発電が継続されて水素が完全に枯渇することを抑制できる。

図６は、水素欠判定の同期を説明するための説明図である。図６では、各燃料電池サブシステム１０Ａ、１０Ｂにおいて、高圧圧力センサ２４２Ａ、２４２Ｂにより検出された水素圧力をそれぞれ太い実線で示し、水素欠閾値をそれぞれ破線で示している。また、図６では、各燃料電池サブシステム１０Ａ、１０Ｂにおけるそれぞれの水素欠判定結果と、各燃料電池サブシステム１０Ａ、１０Ｂが統合された燃料電池システム１０における水素欠判定結果とが示されている。水素欠判定は、水素欠が検出されていない間はＯＦＦであり、水素欠が検出されるとＯＮになる。図６の横軸は、時刻を示している。

時刻Ｔ２０では、２つの燃料電池サブシステム１０Ａ、１０Ｂのいずれにおいても、水素圧力が水素欠閾値を上回っているため、水素欠が検出されていない。このため、各燃料電池サブシステム１０Ａ、１０Ｂおよび燃料電池システム１０の水素欠判定は、全てＯＦＦになっている。時刻Ｔ２１では、第１燃料電池サブシステム１０Ａで水素圧力が水素欠閾値となって水素欠が検出され、第１燃料電池サブシステム１０Ａの水素欠判定がＯＮになっている。このため、時刻Ｔ２２に燃料電池システム１０の水素欠判定をＯＮにすることにより、水素欠が検出されていない第２燃料電池サブシステム１０Ｂにおいても、時刻Ｔ２３に水素欠判定をＯＮにする。水素圧力の低下は、時刻Ｔ２４に燃料電池サブシステム１０Ａ、１０Ｂの停止処理が実行されることにより、抑制される。

本実施形態のフェールセーフモードａでは、水素漏れの検知の開始や終了のタイミング等の各種シーケンスの同期を、燃料電池サブシステム１０Ａ、１０Ｂ間で取らずに非同期で制御し、各燃料電池サブシステム１０Ａ、１０Ｂの停止処理を実行する。各種シーケンスの非同期は、燃料電池サブシステム１０Ａ、１０Ｂの停止処理が完了して、燃料電池車両が停止するまで継続される。ステップＳ２２５の実行後、異常時制御処理は終了する。

上記ステップＳ２２０において、異常内容がフェールセーフモードａに対応する異常でないと判定された場合（ステップＳ２２０：ＮＯ）、制御部５０は、異常内容がフェールセーフモードｂに対応する異常であるか否かを判定する（ステップＳ２３０）。異常内容がフェールセーフモードｂに対応する異常であると判定された場合（ステップＳ２３０：ＹＥＳ）、制御部５０は、燃料電池システム１０の制御モードをフェールセーフモードｂに設定し、各燃料電池サブシステム１０Ａ、１０Ｂをフェールセーフモードｂで動作させる（ステップＳ２３５）。

フェールセーフモードｂでは、異常サブシステムにおける燃料電池１００Ａ、１００Ｂを出力制限して発電させる。また、正常サブシステムにおける燃料電池１００Ａ、１００Ｂについても、同様に出力制限して発電させる。このように、フェールセーフモードｂでは、全ての燃料電池サブシステム１０Ａ、１０Ｂにおける燃料電池１００Ａ、１００Ｂの発電を制限することによって、水素供給系２００の異常の拡大を抑制しつつ、燃料電池１００Ａ、１００Ｂの発電停止によるユーザーの利便性低下を抑制できる。

フェールセーフモードｂに対応する異常としては、例えば、内部水素漏れによって中低圧水素配管３１０Ａ、３１０Ｂの圧力が予め定められた圧力以上となる水素圧力異常が該当する。

内部水素漏れとは、外部水素漏れ以外の水素漏れを意味し、水素供給系２００内での水素漏れが該当する。内部水素漏れには、例えば、減圧弁３２０Ａ、３２０Ｂやインジェクタ３４０Ａ、３４０Ｂの故障等により水素漏れ、すなわち予定されている供給量よりも多い水素供給が発生して中低圧水素配管３１０Ａ、３１０Ｂの圧力が上昇する場合等が該当する。水素圧力異常は、例えば、中圧圧力センサ３３０Ａ、３３０Ｂまたは低圧圧力センサ３５０Ａ、３５０Ｂにより検出される圧力が、予め定められた圧力以上となると検出される。

ここで、燃料電池１００Ａ、１００Ｂは、出力制限等による発電状態の違いによって水素の使用量が互いに異なることがあり、複数の水素タンク２１０Ａ、２１０Ｂにおける圧力低下や圧損等の度合いが互いに異なる場合がある。また、水素タンク２１０Ａ、２１０Ｂ等の温度の違い、流量誤差、部品の製造誤差、部品の劣化度合いの違い等に起因して、水素供給系２００が備える圧力センサ２４２Ａ、２４２Ｂ、３３０Ａ、３３０Ｂ、３５０Ａ、３５０Ｂの検出結果に差が生じる場合がある。このような場合、いずれか一方の燃料電池サブシステム１０Ａ、１０Ｂにおいて、内部水素漏れを検出できない、または、内部水素漏れの検出が遅れることがある。しかしながら、上述の図５に示すように異常を同期させるので、いずれか一方の燃料電池サブシステム１０Ａ、１０Ｂにおいて異常が検出されると、他方の燃料電池サブシステム１０Ａ、１０Ｂにおいても異常が検出されたことと同じ状態となるので、内部水素漏れの検出が遅れることを抑制できる。

フェールセーフモードｂおよび後述するフェールセーフモードｃ、ｄに対応する異常には、可逆的な異常と不可逆的な異常との、大きく分けて２種類の異常が該当する。可逆的な異常とは、異常が検出されなくなることが期待できる異常であり、不可逆的な異常とは、異常が検出されなくなることが期待できない異常である。

フェールセーフモードｂに対応する異常のうち可逆的な異常には、例えば、低圧圧力センサ３５０Ａ、３５０Ｂが中低圧水素配管３１０Ａの圧力上昇を検出した場合に、低圧リリーフ弁３４５Ａ、３４５Ｂが開弁して水素を放出することにより中低圧水素配管３１０Ａの圧力が正常範囲に戻る場合のような異常が該当する。フェールセーフモードｂに対応する異常のうち不可逆的な異常には、例えば、低圧圧力センサ３５０Ａ、３５０Ｂが中低圧水素配管３１０Ａの圧力上昇を検出した場合に、低圧リリーフ弁３４５Ａ、３４５Ｂが開弁して水素を放出しても、中低圧水素配管３１０Ａの圧力が正常範囲に戻らない場合のような異常が該当する。

フェールセーフモードｂに対応する異常のうち、可逆的な異常の場合には、ステップＳ２３５において燃料電池１００Ａ、１００Ｂの出力制限を一時的に実行してもよく、不可逆的な異常の場合には、ステップＳ２３５において燃料電池１００Ａ、１００Ｂの出力制限を継続的に実行してもよい。

フェールセーフモードｂに対応する異常として、内部水素漏れによる水素圧力異常に加えて、燃料電池１００Ａ、１００Ｂの発電を一時的または継続的に制限することによって水素供給系２００の異常の拡大を抑制できるような、他の異常が含まれていてもよい。図３に示すステップＳ２３５の実行後、異常時制御処理は終了する。

ステップＳ２３０において、異常内容がフェールセーフモードｂに対応する異常でないと判定された場合（ステップＳ２３０：ＮＯ）、制御部５０は、異常内容がフェールセーフモードｃに対応する異常であるか否かを判定する（ステップＳ２４０）。異常内容がフェールセーフモードｃに対応する異常であると判定された場合（ステップＳ２４０：ＹＥＳ）、制御部５０は、燃料電池システム１０の制御モードをフェールセーフモードｃに設定し、各燃料電池サブシステム１０Ａ、１０Ｂをフェールセーフモードｃで動作させる（ステップＳ２４５）。

フェールセーフモードｃでは、異常サブシステムの停止処理を実行する。また、正常サブシステムにおける燃料電池１００Ａ、１００Ｂは、異常サブシステムの停止処理が完了するまでの間、出力制限して発電させる。このように制御することにより、水素供給系２００の異常の拡大を抑制しつつ、燃料電池１００Ａ、１００Ｂの発電停止によるユーザーの利便性低下を抑制できる。

フェールセーフモードｃに対応する異常としては、例えば、フェールセーフモードｂに対応する異常と同様の種類の異常のうち、異常の深刻度が比較的小さく、異常の拡大の可能性が比較的低く、他の部品の故障を引き起こす可能性が低い異常が該当する。

制御部５０は、異常サブシステムが停止したか否かを判定する（ステップＳ２５０）。異常サブシステムが停止していないと判定された場合（ステップＳ２５０：ＮＯ）、ステップＳ２４５に戻る。他方、異常サブシステムが停止したと判定された場合（ステップＳ２５０：ＹＥＳ）、制御部５０は、正常サブシステムに対し、燃料電池１００Ａ、１００Ｂの出力制限または正常サブシステムの停止処理を実行する（ステップＳ２５５）。

ステップＳ２５５において、正常サブシステムに対し、出力制限と停止処理とのうちのいずれを実行するかについては、異常の種類および深刻度等に応じて決定されてもよい。例えば、異常の深刻度が比較的小さい場合に出力制限が実行されてもよく、異常の深刻度が比較的大きい場合に停止処理が実行されてもよい。このように、フェールセーフモードｃでは、異常サブシステムの停止とともに、正常サブシステムの出力制限または停止処理を実行することにより、再走行・発電を抑制するので、水素供給系２００の異常の拡大を抑制できる。また、少なくとも異常サブシステムが停止するまでの間、正常サブシステムの燃料電池１００Ａ、１００Ｂを出力制限した状態で発電させるので、出力電力不足を抑制でき、退避走行距離を確保でき、ユーザーの利便性低下を抑制できる。ステップＳ２５５の実行後、異常時制御処理は終了する。

ステップＳ２４０において、異常内容がフェールセーフモードｃに対応する異常でないと判定された場合（ステップＳ２４０：ＮＯ）、制御部５０は、燃料電池システム１０の制御モードをフェールセーフモードｄに設定し、各燃料電池サブシステム１０Ａ、１０Ｂをフェールセーフモードｄで動作させる（ステップＳ２６０）。

フェールセーフモードｄでは、異常サブシステムの停止処理を実行する。また、正常サブシステムにおける燃料電池１００Ａ、１００Ｂは、異常サブシステムの停止処理が完了するまでの間、出力制限せずに通常通り発電させる。このように制御することにより、水素供給系２００の異常の拡大を抑制しつつ、出力電力不足を抑制でき、退避走行距離を確保でき、ユーザーの利便性低下を抑制できる。

フェールセーフモードｄに対応する異常としては、例えば、異常サブシステムにおいて検出された異常が、正常サブシステムに影響を与えないような異常が該当し、フェールセーフモードｃに該当する異常と同様の種類の異常のうち、異常の深刻度がさらに小さく、異常の拡大の可能性がさらに低く、他の部品の故障を引き起こす可能性がさらに低い異常が該当する。また、例えば、制御の際に必要となる値が、推定値や他のセンサによる検出値によって代替可能であるような異常が該当する。例えば、２つの高圧圧力センサ２４２Ａ、２４２Ｂのうちのいずれか一方の故障は、他方の高圧圧力センサ２４２Ａ、２４２Ｂの値を参照して制御を実行することが可能であるため、異常の深刻度が小さく、フェールセーフモードｄに対応する異常に該当する。

制御部５０は、異常サブシステムが停止したか否かを判定する（ステップＳ２６５）。異常サブシステムが停止していないと判定された場合（ステップＳ２６５：ＮＯ）、ステップＳ２６０に戻る。他方、異常サブシステムが停止したと判定された場合（ステップＳ２６５：ＹＥＳ）、制御部５０は、正常サブシステムに対し、燃料電池１００Ａ、１００Ｂの発電の継続と、出力制限と、停止処理とのうちのいずれか１つを実行する（ステップＳ２７０）。

ステップＳ２７０において、正常サブシステムに対し、発電の継続と出力制限と停止処理とのうちのいずれを実行するかについては、異常の種類および深刻度等に応じて決定されてもよい。このように、フェールセーフモードｄでは、少なくとも異常サブシステムが停止するまでの間、正常サブシステムの燃料電池１００Ａ、１００Ｂを通常通り発電させるので、出力電力不足をより抑制でき、退避走行距離をより確保でき、ユーザーの利便性低下をより抑制できる。ステップＳ２７０の実行後、異常時制御処理は終了する。

図２のステップＳ３００に示す第２フェールセーフモードは、水素供給系２００以外の異常の場合に実行される。水素供給系２００以外の異常には、例えば、燃料電池１００Ａ、１００Ｂ本体の異常、空気給排系４００Ａ、４００Ｂにおける空気の圧力異常、エアコンプレッサ４４０Ａ、４４０Ｂの回転異常、冷却系５００Ａ、５００Ｂの冷媒温度異常等が該当する。水素供給系２００以外の異常は、正常サブシステムに影響を及ぼさないため、第２フェールセーフモードにおいては、正常サブシステムに異常を同期させなくてもよい。

第２フェールセーフモードにおいては、検出された異常の種類および深刻度に応じて、各燃料電池サブシステム１０Ａ、１０Ｂの制御が実行される。具体的には、制御部５０は、異常サブシステムおよび正常サブシステムのそれぞれに対し、燃料電池１００Ａ、１００Ｂの発電の継続と、出力制限と、停止処理とのうちのいずれか１つを実行する。例えば、異常サブシステムにおける異常が、エアフローメータの故障である場合、エアコンプレッサ４４０Ａ、４４０Ｂの回転数に基づいて空気の流量を推定して制御を実行することが可能であるため、燃料電池１００Ａ、１００Ｂの発電を通常通り継続させてもよい。また、例えば、異常サブシステムにおける異常が、燃料電池１００Ａ、１００Ｂの温度上昇である場合、出力制限することにより発電の継続が可能であるため、出力制限を実行してもよい。また、例えば、異常サブシステムにおける異常が、燃料電池１００Ａ、１００Ｂにおける電解質膜の穴開きの場合、発電の継続が不可能な状態であるため、発電停止処理を実行し、異常サブシステムを停止させてもよい。正常サブシステムは、異常サブシステムにおける異常の種類および深刻度に応じて、燃料電池１００Ａ、１００Ｂの発電の継続と、出力制限と、停止処理とのうちのいずれか１つが実行されてもよい。

図４に示すように、制御部５０は、各燃料電池サブシステム１０Ａ、１０Ｂの間で各種シーケンスの同期可能か否かを判定する（ステップＳ３０５）。各燃料電池サブシステム１０Ａ、１０Ｂの間で各種シーケンスの同期可能か否かは、検出された異常の種類および深刻度に応じて判定される。例えば、部品故障等の、異常の深刻度が比較的小さい異常である場合、同期可能と判定される。同期可能と判定された場合（ステップＳ３０５：ＹＥＳ）、制御部５０は、燃料電池システム１０の制御モードを連通モードに移行させる（ステップＳ３１０）。連通モードにおいては、各燃料電池サブシステム１０Ａ、１０Ｂの間で、主止弁２２０Ａ、２２０Ｂの開閉操作に関わる制御等を同期させる。ステップＳ３１０が実行されると、各燃料電池サブシステム１０Ａ、１０Ｂは、第２フェールセーフモードの制御内容に基づいて、発電の継続と、出力制限と、停止処理とのうちのいずれか１つが実行される。制御部５０は、燃料電池車両の走行が終了したか否かを判定する（ステップＳ３１５）。燃料電池車両の走行が終了していないと判定された場合（ステップＳ３１５：ＮＯ）、ステップＳ３１５に戻る。他方、燃料電池車両の走行が終了したと判定された場合（ステップＳ３１５：ＹＥＳ）、異常時制御処理は終了する。

他方、各燃料電池サブシステム１０Ａ、１０Ｂの間で同期可能でないと判定された場合（ステップＳ３０５：ＮＯ）、制御部５０は、燃料電池システム１０の制御モードを退避走行モードに移行させる（ステップＳ３２０）。退避走行モードとは、走行可能距離が予め定められた距離以下に限定されるモードである。退避走行モードにおいては、各燃料電池サブシステム１０Ａ、１０Ｂの間で、主止弁２２０Ａ、２２０Ｂの開閉操作に関わる制御を同期させない。ステップＳ３２０が実行されると、各燃料電池サブシステム１０Ａ、１０Ｂは、第２フェールセーフモードの制御内容に基づいて、発電の継続と、出力制限と、停止処理とのうちのいずれか１つが実行される。制御部５０は、燃料電池車両の走行が終了したか否かを判定する（ステップＳ３２５）。燃料電池車両の走行が終了していないと判定された場合（ステップＳ３２５：ＮＯ）、ステップＳ３２５に戻る。他方、燃料電池車両の走行が終了したと判定された場合（ステップＳ３２５：ＹＥＳ）、異常時制御処理は終了する。

本実施形態において、水素センサ９００Ａ、９００Ｂ、高圧圧力センサ２４２Ａ、２４２Ｂ、中圧圧力センサ３３０Ａ、３３０Ｂおよび低圧圧力センサ３５０Ａ、３５０Ｂは、課題を解決するための手段における外部水素漏れを検出可能な外部水素漏れ検出センサの下位概念にそれぞれ相当し、高圧圧力センサ２４２Ａ、２４２Ｂは、課題を解決するための手段における圧力センサの下位概念にそれぞれ相当する。

以上説明した本実施形態の燃料電池システム１０によれば、燃料電池サブシステム１０Ａ、１０Ｂの異常が外部水素漏れである場合に、燃料電池システム１０の制御モードをフェールセーフモードａに移行させて、全ての燃料電池サブシステム１０Ａ、１０Ｂを停止させるので、水素を利用する上での安全性を向上できる。

ここで、２つの燃料電池サブシステム１０Ａ、１０Ｂを備える燃料電池システム１０においては、搭載位置が制限される場合があるため、水素供給系２００と電気・電源系とが密接に配置されることがある。このため、２つの燃料電池サブシステム１０Ａ、１０Ｂのうちのいずれか一方で外部水素漏れが発生した場合、外部水素漏れが発生していない正常サブシステムを含む全ての燃料電池サブシステム１０Ａ、１０Ｂを停止させることにより、電気・電源系への着火を抑制でき、水素を利用する上での安全性を向上できる。

また、燃料電池サブシステム１０Ａ、１０Ｂの異常が水素欠である場合に、燃料電池システム１０の制御モードをフェールセーフモードａに移行させて、全ての燃料電池サブシステム１０Ａ、１０Ｂを停止させるので、水素供給系２００の一部が２つの燃料電池サブシステム１０Ａ、１０Ｂに共通に使用される構成であっても、正常燃料電池サブシステムにおいて燃料電池１００Ａ、１００Ｂの発電が継続されて水素が完全に枯渇することを抑制できる。

また、燃料電池サブシステム１０Ａ、１０Ｂの異常が水素圧力異常である場合に、燃料電池システム１０の制御モードをフェールセーフモードｂに移行させて、全ての燃料電池サブシステム１０Ａ、１０Ｂにおける燃料電池１００Ａ、１００Ｂの発電を制限するので、異常の拡大を抑制でき、水素を利用する上での安全性を向上できる。また、全ての燃料電池サブシステム１０Ａ、１０Ｂにおける燃料電池１００Ａ、１００Ｂの発電を制限しつつ継続させるので、出力電力不足を抑制でき、退避走行距離を確保でき、燃料電池システム１０の全停止に伴うユーザーの利便性低下を抑制できる。

また、燃料電池サブシステム１０Ａ、１０Ｂの異常が、水素供給系２００の異常であって外部水素漏れと水素欠とのうちのいずれでもない場合に、燃料電池システム１０の制御モードをフェールセーフモードｂ、ｃまたはｄに移行させて、正常サブシステムにおける燃料電池１００Ａ、１００Ｂの発電を継続させるので、出力電力不足を抑制でき、退避走行距離を確保でき、燃料電池システム１０の全停止に伴うユーザーの利便性低下を抑制できる。また、異常の種類および深刻度に応じて各フェールセーフモードｂ、ｃまたはｄに移行させるので、退避走行距離をより確保でき、ユーザーの利便性低下をより抑制できる。また、各フェールセーフモードｂ、ｃまたはｄにおいて、正常サブシステムにおける燃料電池１００Ａ、１００Ｂの出力制限を実行することにより、異常の拡大を抑制できる。また、出力制限を実行することにより、水素タンク２１０Ａ、２１０Ｂの残水素量が比較的少ない状態においても、正常サブシステムと異常サブシステムとの間で水素の圧力差が生じることを抑制できる。

また、燃料電池サブシステム１０Ａ、１０Ｂの異常が、水素供給系２００の異常である場合に、第１フェールセーフモードに移行させて異常を同期させて異常情報を共有するので、一方の燃料電池サブシステム１０Ａ、１０Ｂにおいて、異常が検出できない、または異常の検出が遅れることがあっても、水素を利用する上での安全性を向上できる。また、水素供給系２００の異常が複数検出された場合に、複数の異常のうち最も強い制限に該当する異常内容に基づいてフェールセーフモードａ～ｄを設定するため、水素を利用する上での安全性を向上できる。

また、燃料電池サブシステム１０Ａ、１０Ｂの異常が、水素供給系２００の異常でない場合に、第２フェールセーフモードに移行させる。第２フェールセーフモードでは、正常サブシステムにおける燃料電池１００Ａ、１００Ｂの発電を継続させてもよいので、出力電力不足を抑制でき、退避走行距離を確保でき、燃料電池システム１０の全停止に伴うユーザーの利便性低下を抑制できる。ここで、水素供給系２００の異常でない場合とは、各燃料電池サブシステム１０Ａ、１０Ｂで独立した系統で発生した異常であるため、正常サブシステムにおける燃料電池１００Ａ、１００Ｂの発電を継続させた場合であっても、異常の拡大を抑制できる。

Ｂ．他の実施形態：
（１）上記実施形態のフェールセーフモードｃおよびｄでは、異常サブシステムにおいて直ちに停止処理を実行していたが、本発明はこれに限定されるものではない。例えば、異常サブシステムにおいて、燃料電池１００Ａ、１００Ｂの発電を、出力制限した状態で継続させた後、停止処理を実行してもよい。かかる構成によっても、上記実施形態と同様な効果を奏する。加えて、異常サブシステムにおいて、燃料電池１００Ａ、１００Ｂの発電を、出力制限した状態で継続させるので、出力電力不足をより抑制でき、退避走行距離をより確保できる。

図７は、他の実施形態１の制御内容の一例を説明するための説明図である。図７に示す例では、異常サブシステムにおいて燃料電池１００Ａ、１００Ｂの発電を出力制限した状態で継続させた後、停止処理を実行する点において、上記実施形態のフェールセーフモードｄと異なる。図７では、各燃料電池サブシステム１０Ａ、１０Ｂにおける燃料電池１００Ａ、１００Ｂの出力を、それぞれ太い実線で示し、異常サブシステムである第１燃料電池サブシステム１０Ａにおける燃料電池１００Ａの出力制限値をそれぞれ破線で示している。また、図７では、各燃料電池サブシステム１０Ａ、１０Ｂによるそれぞれの異常判定と、各燃料電池サブシステム１０Ａ、１０Ｂが統合された燃料電池システム１０による異常判定とが示されている。図７の横軸は、時刻を示している。

時刻Ｔ３０では、２つの燃料電池サブシステム１０Ａ、１０Ｂのいずれにおいても、異常が検出されていない。このため、各燃料電池サブシステム１０Ａ、１０Ｂおよび燃料電池システム１０の異常判定は、全てＯＦＦになっている。時刻Ｔ３１では、第１燃料電池サブシステム１０Ａで異常が検出され、第１燃料電池サブシステム１０Ａの異常判定がＯＮになっている。このため、異常サブシステムである第１燃料電池サブシステム１０Ａにおける燃料電池１００Ａは、出力制限される。また、時刻Ｔ３２において燃料電池システム１０の異常判定をＯＮにすることにより、異常が検出されていない第２燃料電池サブシステム１０Ｂにおいても、時刻Ｔ３３に異常判定をＯＮにする。正常サブシステムである第２燃料電池サブシステム１０Ｂにおける燃料電池１００Ｂは、時刻Ｔ３４において異常サブシステムの停止処理が完了するまでの間、出力制限されずに通常通り発電が継続される。

（２）上記実施形態の各高圧水素供給系２００Ａ、２００Ｂは、それぞれ５つの水素タンク２１０Ａ、２１０Ｂを有していたが、５つに限らず、１つ以上の水素タンク２１０Ａ、２１０Ｂをそれぞれ有していてもよい。また、各高圧水素供給系２００Ａ、２００Ｂのうちのいずれか一方を省略し、他方の高圧水素供給系２００Ａ、２００Ｂを共通に使用する構成であってもよい。かかる構成によっても、上記実施形態と同様な効果を奏する。

（３）上記実施形態では、制御部５０が異常検出部６０を有し、燃料電池システム１０全体の制御を行なうとともに異常時制御処理を実行していたが、本発明はこれに限定されるものではない。燃料電池サブシステム１０Ａ、１０Ｂの第１制御部７１０Ａと第２制御部７１０Ｂとのうちのいずれか一方が燃料電池システム１０全体の制御を行なう制御部５０として機能する構成であってもよい。かかる構成によっても、上記実施形態と同様な効果を奏する。

（４）上記実施形態の燃料電池システム１０は、燃料電池サブシステム１０Ａ、１０Ｂを２つ備えていたが、２つに代えて、３つ以上の任意の数の燃料電池サブシステムを備えていてもよい。このような構成においては、正常サブシステムにおける出力制限の度合いが異なっていてもよい。例えば、フェールセーフモードｃにおいて、正常サブシステムは、異常サブシステムの停止処理が完了するまでの間、度合いが異なる出力制限を受けてそれぞれ発電され、異常サブシステムの停止後、正常サブシステムの出力制限のうちの度合いが最も厳しい出力制限に統一されてもよい。かかる構成によっても、上記実施形態と同様な効果を奏する。

（５）上記実施形態において、燃料電池システム１０は、燃料電池車両に搭載されていたが、燃料電池車両に代えて船舶やロボット等の他の任意の移動体に搭載されてもよく、定置型燃料電池として用いられてもよい。かかる構成によっても、上記実施形態と同様な効果を奏する。

本発明は、上述の実施形態に限られるものではなく、その趣旨を逸脱しない範囲において種々の構成で実現することができる。例えば、発明の概要の欄に記載した各形態中の技術的特徴に対応する実施形態中の技術的特徴は、上述の課題の一部又は全部を解決するために、あるいは、上述の効果の一部又は全部を達成するために、適宜、差し替えや、組み合わせを行なうことが可能である。また、その技術的特徴が本明細書中に必須なものとして説明されていなければ、適宜、削除することが可能である。

１０…燃料電池システム
１０Ａ…第１燃料電池サブシステム
１０Ｂ…第２燃料電池サブシステム
５０…制御部
６０…異常検出部
１００Ａ、１００Ｂ…燃料電池
２００…水素供給系
２００Ａ、２００Ｂ…高圧水素供給系
２１０Ａ、２１０Ｂ…水素タンク
２２０Ａ、２２０Ｂ…主止弁
２３０Ａ、２３０Ｂ…タンク管路
２４０Ａ、２４０Ｂ…マニホールド
２４２Ａ、２４２Ｂ…高圧圧力センサ
２７０Ａ、２７０Ｂ…高圧水素配管
２９０…連通管
３００Ａ、３００Ｂ…中低圧水素給排系
３１０Ａ、３１０Ｂ…中低圧水素配管
３２０Ａ、３２０Ｂ…減圧弁
３２５Ａ、３２５Ｂ…中圧リリーフ弁
３３０Ａ、３３０Ｂ…中圧圧力センサ
３４０Ａ、３４０Ｂ…インジェクタ
３４５Ａ、３４５Ｂ…低圧リリーフ弁
３５０Ａ、３５０Ｂ…低圧圧力センサ
３６０Ａ、３６０Ｂ…水素排出路
３７０Ａ、３７０Ｂ…気液分離器
３７５Ａ、３７５Ｂ…循環配管
３８０Ａ、３８０Ｂ…水素ポンプ
３９０Ａ、３９０Ｂ…排気排水路
３９５Ａ、３９５Ｂ…排気排水弁
４００Ａ、４００Ｂ…空気給排系
４１０Ａ、４１０Ｂ…空気供給路
４２０Ａ、４２０Ｂ…空気排出路
４３０Ａ、４３０Ｂ…バイパス路
４４０Ａ、４４０Ｂ…エアコンプレッサ
４５０Ａ、４５０Ｂ…分流弁
４６０Ａ、４６０Ｂ…調圧弁
４７０Ａ、４７０Ｂ…マフラー
５００Ａ、５００Ｂ…冷却系
５１０Ａ、５１０Ｂ…ラジエータ
５２０Ａ、５２０Ｂ…冷媒供給路
５３０Ａ、５３０Ｂ…冷媒排出路
５４０Ａ、５４０Ｂ…バイパス路
５５０Ａ、５５０Ｂ…冷媒ポンプ
５６０Ａ、５６０Ｂ…三方弁
６００Ａ、６００Ｂ…二次電池
７１０Ａ…第１制御部
７１０Ｂ…第２制御部
９００Ａ、９００Ｂ…水素センサ

Claims (1)

1. 燃料電池システムであって、
   水素と酸素との供給を受けて発電する燃料電池を有する複数の燃料電池サブシステムと、
   各前記燃料電池サブシステムが有する前記燃料電池の発電を制御する制御部と、
   を備え、
   各前記燃料電池サブシステムは、
   前記水素を貯蔵する１以上の水素タンクと、前記水素タンクからの水素の供給と停止とを制御する主止弁と、を有し、前記水素を前記複数の燃料電池サブシステムが有する前記燃料電池にそれぞれ供給する複数の水素供給系と、
   各前記水素供給系の外部への水素漏れである外部水素漏れを検出可能な外部水素漏れ検出センサと、
   前記水素タンク内の圧力を検出する圧力センサと、
   各前記燃料電池サブシステムの異常を検出する異常検出部と、
   を有し、
   前記制御部は、
   検出された前記異常が、前記外部水素漏れと、前記水素タンク内の圧力が予め定められた圧力以下となる水素欠と、のうちの少なくとも一方である場合に、検出された前記異常の種類および深刻度に応じたフェールセーフモードで前記複数の燃料電池サブシステムをそれぞれ動作させ、
   検出された前記異常が、前記外部水素漏れと前記水素欠とのうちのいずれでもない場合に、検出された前記異常の種類および深刻度に応じて、前記主止弁の開閉操作に関わる制御シーケンスを含む予め定められたシーケンスの各前記燃料電池サブシステム同士の同期の可否を判定し、前記同期が可能と判定された場合には、各前記燃料電池サブシステムの間で前記開閉操作に関わる制御を同期させ、前記同期が不可能と判定された場合には、各前記燃料電池サブシステムの間で前記開閉操作に関わる制御を同期させない、
   燃料電池システム。

Images