JP5892398B2 - 燃料電池システム - Google Patents

Description

本発明は、コンバータやインバータを制御するコントローラを複数備えた燃料電池システムに関する。

従来から、燃料電池（以下、ＦＣ）と二次電池の２つを電力供給源とするＦＣシステムや、そのようなＦＣシステムを搭載したＦＣ車両が知られている。その中でも電力回生を目的として二次電池を搭載する場合には、ＦＣに対して比較的小さい容量の二次電池でその目的を十分に達成することが可能である。

しかしながら、このような２つの電力供給源を備えたＦＣシステムでは、例えばＦＣ、二次電池、ＦＣ又は／及び二次電池から電力供給を受ける駆動モータ、駆動モータを制御するインバータ等のいずれかのシステム構成要素が故障し、いずれかのシステム構成要素から出力を出せなくなると、出力のアンバランスが発生してしまう。

例えば、１００ｋＷの駆動モータに１００ｋＷの出力をＦＣが供給しているときに、何らかの理由で駆動モータが故障した場合には、ＦＣからの１００ｋＷの出力が回生用の二次電池に流入することになる。

このような駆動モータの故障によるＦＣの全出力の二次電池への流入に対し、ヒューズが切断するような構成が採用されている場合、すなわち、ＦＣシステムを構成している個々のシステム構成要素が自立して故障検知や自己保護目的の停止を行なうような構成が採用されている場合には、あるシステム構成要素の故障に伴い他のシステム構成要素も故障してしまうという、いわゆる共連れ故障を起こす虞がある。

このような共連れ故障の対策として、例えば特許文献１には、ＦＣと負荷との間に設けられたＦＣ用の昇圧コンバータに過電流が発生した場合に、この昇圧コンバータと負荷との間に設けられた駆動インバータの入力側電圧を所定の過電圧閾値以下に制限することで、昇圧コンバータのスイッチング素子がオープン故障をした場合でも、駆動インバータ等の共連れ故障を抑制する技術が開示されている。

特開２００９−２８３１７２号公報

ところで、ＦＣ及び二次電池、これらＦＣ及び二次電池と第１負荷及び第２負荷との間にそれぞれ設けられたＦＣ用のコンバータ及び二次電池用のコンバータ、これらＦＣ用のコンバータ及び二次電池用のコンバータと第１負荷及び第２負荷との間にそれぞれ設けられた第１インバータ及び第２インバータを備えたＦＣシステムにおいて、ＦＣの出力を制御するコントローラと、二次電池からの出力を含めて第１インバータ及び第２インバータへ供給する出力を制御するコントローラとを分けて構成し、それらコントローラを別々に制御するものがある。

このようなＦＣシステムにおいて、一方のコントローラで制御されているシステム構成要素が故障した場合に、その故障の情報が他方のコントローラに伝達されるのが遅れると、他方のコントローラで制御されているシステム構成要素の共連れ故障を引き起こす虞がある。

特に、故障検知や自己保護の機能が各コントローラでそれぞれ独立して制御される場合に、故障検知の情報がそれぞれのコントローラ間で共有できないと、共連れ故障を引き起こすことが回避できなくなる。

本発明は、上記事情に鑑みてなされたもので、共連れ故障の抑制に有効なＦＣシステムを提供することを目的としている。

上記目的を達成するために、本発明のＦＣシステムは、
電力供給源としてのＦＣ及び二次電池と、
これらＦＣ及び二次電池と第１負荷及び第２負荷との間にそれぞれ設けられた第１コンバータ及び第２コンバータと、
これら第１コンバータ及び第２コンバータと前記第１負荷及び第２負荷との間にそれぞれ設けられた第１インバータ及び第２インバータと、
前記第１コンバータを制御することによって前記ＦＣの出力を制御する第１コントローラと、
前記第１コントローラとは別個に構成され、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを制御することによって前記二次電池からの出力を含めて前記第１インバータ及び前記第２インバータへ供給する出力を制御する第２コントローラと、を備え、
前記第１コントローラと前記第２コントローラとは、それぞれの制御対象の故障情報が相互通信可能に接続され、
前記第１コントローラ及び前記第２コントローラは、それらの一方から送信された前記故障情報を受信した場合に、その故障情報を受信した側の前記第１コントローラ又は前記第２コントローラによる前記制御対象の運転を停止させるものである。

このような構成のＦＣシステムにおいて、例えば第１コントローラによって制御されるシステム構成要素の故障が検知された場合には、第２コントローラによって制御されるシステム構成要素の運転を同時に停止させることが可能となる。それとは逆に、第２コントローラによって制御されるシステム構成要素の故障が検知された場合には、第１コントローラによって制御されるシステム構成要素の運転を同時に停止させることが可能となる。
よって、特定のシステム構成要素が故障した場合でも、その故障とは直接関係のないシステム構成要素の共連れ故障が抑制される。

なお、第２コントローラは、物理的に１つのコントローラで第１インバータ、第２インバータ及び第２コンバータを制御するように構成されていてもよいし、第１インバータ、第２インバータ、及び第２コンバータのそれぞれに対して各１つのコントローラが設けられていて、これら３つのコントローラが接続されて第２コントローラが構成されていてもよい。

また、第１インバータ、第２インバータ、及び第２コンバータのうちの１つを制御するコントローラと、残りの２つを制御するコントローラとが接続されて第２コントローラが構成されていてもよい。

上記の構成において、前記第１コントローラ及び前記第２コントローラは、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、又は前記第２インバータのいずれかの故障が検知された場合において、
前記第２コンバータの故障が検知されたときは、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータの運転を停止させ、
前記第２コンバータ以外の故障が検知されたときは、前記第１コンバータ、前記第１インバータ、及び前記第２インバータの運転を停止させ、この運転停止よりも所定時間が経過した後に前記第２コンバータの運転を停止させるようにしてもよい。

このＦＣシステムでは、第２コンバータが故障した場合を除き、第２コンバータは同時停止の対象から外されている。つまり、第２コンバータだけは、他の制御対象の同時停止のタイミングから所定時間が経過した後に停止する。
これにより、第１インバータや第２インバータが同時停止した後に発生し得る逆起電圧を第２コンバータによって制御することが可能となり、逆起電圧による半導体素子の故障を抑制することができる。

上記の構成において、
前記故障の原因を判定する判定部を備え、
前記第１コントローラ及び前記第２コントローラは、前記判定部の判定結果に基づいて、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータの少なくとも１つを再起動させるようにしてもよい。

この構成によれば、共連れ故障を回避した後のシステム停止状態から、再起動に適したシステム構成要素のみによる安全な再起動が可能となる。

例えば、かかる構成において、
前記第１コンバータが２相以上の昇圧回路部を備えてなるマルチフェーズコンバータであり、
前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が特定相の過電流異常であり、かつ、それが１回目の過電流異常である場合には、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させるようにしてもよい。

また、前記第１コンバータが２相以上の昇圧回路部を備えてなるマルチフェーズコンバータであり、
前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が特定相の過電流異常であり、かつ、それが２回目以降の過電流異常である場合には、前記第１コンバータの前記特定相を除く全ての相、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させるようにしてもよい。

また、前記第１コンバータが２相以上の昇圧回路部を備えてなるマルチフェーズコンバータであり、
前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が特定相の過熱異常又は回路異常である場合には、前記第１コンバータの前記特定相を除く残りの相、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させるようにしてもよい。

また、前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が当該第１コンバータの出口側回路における回路異常である場合には、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させるようにしてもよい。

また、前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が当該第１コンバータの出口側の過電圧異常、当該第１コンバータの入口側の低電圧異常、当該第１コンバータの入口側回路における回路異常のいずれかである場合には、前記ＦＣから前記第１負荷及び前記第２負荷への出力を遮断した後、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させるようにしてもよい。

上記の構成において、前記第１コントローラが、前記故障の有無を確定するための故障診断を実施するものである場合に、
前記第１コントローラ及び前記第２コントローラは、前記故障診断が完了するまでは、前記再起動を禁止するようにしてもよい。

例えば、第１コンバータの故障原因が特定相の過電流異常である場合には、第１コンバータの運転が停止した後しばらくすると、故障原因が解消して正常回復することがある。このとき、ハードウェア的にみると、第１コンバータ等の再起動は可能であるが、上記構成によれば、故障診断が完了するまで再起動を禁止（留保）することで、ＦＣシステムの信頼性が向上する。

上記の構成において、前記第１コントローラが、前記故障の有無を確定するための故障診断を実施するものである場合に、
前記第１コントローラ及び前記第２コントローラは、前記故障診断が完了した後に、前記再起動を許可するようにしてもよい。

例えば、第１コンバータの故障原因が、特定相の過熱異常又は回路異常、第１コンバータの出口側回路における回路異常、第１コンバータの出口側の過電圧異常、第１コンバータの入口側の低電圧異常、又は第１コンバータの入口側回路における回路異常のいずれかである場合には、第１コンバータの運転が停止した後しばらくしても、故障原因が解消して正常回復することはないか、正常回復まで多くの時間がかかる。

したがって、上記構成によれば、故障診断が完了した後に、第１コンバータ等の再起動を許可することで、より迅速かつ確実な再起動を実現することが可能となる。

本発明によれば、共連れ故障の抑制に有効なＦＣシステムを提供することが可能となる。

本発明の一実施形態に係るＦＣシステムの構成図である。 ＦＣ昇圧コンバータコントローラとインバータ類コントローラとの間における故障情報の相互通信によってＦＣ昇圧コンバータ、駆動インバータ、補機インバータ、及びバッテリ昇圧コンバータの同時運転停止がどのようにして実現されるかを説明する図である。 図２中の故障信号やシャットダウン信号の内容を説明する図である。 ＦＬＶＬを出力するための下限電圧遮断回路を説明する図である。

１１ ＦＣシステム（燃料電池システム）
１２ ＦＣ（燃料電池）
１３ 駆動モータ（第１負荷）
１４ 駆動モータ（第２負荷）
１５ ＦＣ−ＣＶＴ（ＦＣ昇圧コンバータ、第１コンバータ）
１６ 駆動ＩＶＴ（駆動インバータ、第１インバータ）
１７ 補機ＩＶＴ（補機インバータ、第２インバータ）
２０ ＢＡＴ（二次電池）
２２ ＢＡＴ−ＣＶＴ（バッテリ昇圧コンバータ、第２コンバータ）
３０ ＣＴＲＬ（コントローラ）
３１ Ｃ−ＣＴＲＬ（ＦＣ昇圧コンバータコントローラ、第１コントローラ、判定部）
３２ Ｉ−ＣＴＲＬ（インバータ類コントローラ、第２コントローラ、判定部）

以下、添付図面を参照して、本発明に係るＦＣシステムの一実施形態について説明する。本実施形態では、本発明に係るＦＣシステムをＦＣ車両（ＦＣＨＶ；Fuel Cell Hybrid Vehicle）の車載発電システムとして用いた場合について説明する。

図１に示すように、本実施形態のＦＣシステム１１は、負荷への電力供給源として、例えば高分子電解質型のＦＣ１２及びＢＡＴ２０を備えている。

ＦＣ１２と車両を走行させるための駆動モータ（第１の負荷）１３とは、電力供給経路Ａを介して接続されている。この電力供給経路Ａには、ＦＣ１２側から順に、ＦＣリレー５０、ＦＣ−ＣＶＴ（第１コンバータ）１５及び駆動ＩＶＴ１６が設けられている。なお、ＦＣリレー５０は、ＦＣ−ＣＶＴ１５と後述する接続点Ｘとの間に設けられていてもよい。

ＦＣ−ＣＶＴ１５は直流の電圧変換器であり、ＦＣ１２から入力された直流電圧を調整して駆動ＩＶＴ１６側へ出力する。駆動モータ１３は例えば三相交流モータであり、駆動ＩＶＴ１６は直流電流を三相交流に変換して駆動モータ１３に供給する。

電力供給経路Ａには、電力供給経路Ｂが接続されている。電力供給経路Ａと電力供給経路Ｂとの接続点Ｘは、ＦＣ−ＣＶＴ１５と駆動ＩＶＴ１６との間に位置する。電力供給経路Ｂの一端にはＢＡＴ２０が接続されており、ＢＡＴ２０と接続点Ｘとの間には、ＢＡＴ２０側から順にリレー（図示略）及びＢＡＴ−ＣＶＴ（第２コンバータ）２２が設けられている。

ＢＡＴ２０は、ＣＴＲＬ３０からの制御信号に基づいて、ＦＣ１２の出力電力の余剰分や駆動モータ１３の回生電力を充電することや、駆動モータ１３，１４の駆動に必要な電力に対してＦＣ１２の出力電力では不足する場合にその不足分の電力を補給することが可能になっている。

ＢＡＴ−ＣＶＴ２２は直流の電圧変換器であり、ＢＡＴ２０から入力された直流電圧を調整して駆動モータ１３，１４側へ出力する機能と、ＦＣ１２または駆動モータ１３から入力された直流電圧を調整してＢＡＴ２０に出力する機能と、を有する。このようなＢＡＴ−ＣＶＴ２２の機能により、ＢＡＴ２０の充放電が実現される。

電力供給経路Ｂの高電圧側には、電力供給経路Ｃが接続されている。電力供給経路Ｂと電力供給経路Ｃとの接続点Ｙは、接続点ＸとＢＡＴ−ＣＶＴ２２との間に位置する。電力供給経路Ｃの一端には、駆動モータ（第１の負荷）１４が接続されている。駆動モータ１４は、例えば三相交流モータであり、ＦＣ１２に空気（酸化ガス）を圧送するエアコンプレッサの駆動モータである。駆動モータ１４と接続点Ｙとの間には、補機ＩＶＴ１７が設けられている。補機ＩＶＴ１７は、直流電流を三相交流に変換して駆動モータ１４に供給する。

なお、本実施形態では、図示を省略しているが、電力供給経路Ｂの低電圧側（ＢＡＴ２０側）には、ＦＣ１２の水素ガス流路から排出された水素オフガスをＦＣ１２に還流させるための水素ポンプを駆動する補機モータ、ＦＣ１２の温調に使用される冷却水を循環させるための冷却水ポンプを駆動する補機モータ、及びこれらの補機モータに直流電流を三相交流に変換したうえで供給する補機インバータが設けられている。

ＣＴＲＬ３０は、ＦＣシステム１１を統合制御するためのコンピュータシステムであり、例えばＣＰＵ、ＲＡＭ、ＲＯＭ等を有している。ＣＴＲＬ３０は、各種センサから供給される信号（例えば、アクセル開度を表す信号、車速を表す信号、ＦＣ１２の出力電流や出力電圧を表す信号等で、図１には一部のみを図示している。）の入力を受けて、駆動モータ１３，１４及び補機モータを含む負荷全体の要求電力を算出する。

本実施形態のＣＴＲＬ３０は、ＦＣ１２の出力電圧（言い換えれば、ＦＣ−ＣＶＴ１５の入力電圧）を制御するＣ−ＣＴＲＬ３１と、ＢＡＴ２０からの出力電圧（言い換えれば、ＢＡＴ−ＣＶＴ２２の入力電圧）と駆動ＩＶＴ１６及び補機ＩＶＴ１７へ供給する出力電圧を制御するＩ−ＣＴＲＬ３２とを備えている。

図１中の破線枠で示すように、ＦＣ−ＣＶＴ１５はＣ−ＣＴＲＬ３１によって制御されるシステム構成要素群（以下、制御対象群４１）に属するものであり、ＢＡＴ−ＣＶＴ２２，駆動ＩＶＴ１６及び補機ＩＶＴ１７はＩ−ＣＴＲＬ３２によって制御されるシステム構成要素群（以下、制御対象群４２）に属している。

これらＣ−ＣＴＲＬ３１とＩ−ＣＴＲＬ３２とは、相互通信可能に接続されており、例えば一方の制御対象群４１／４２に属するシステム構成要素に故障が発生した場合には、その故障情報が一方のＣ−ＣＴＲＬ３１／Ｉ−ＣＴＲＬ３２から他方のコントローラＩ−ＣＴＲＬ３２／Ｃ−ＣＴＲＬ３１に送信されるようになっている。

駆動モータ１３，１４及び補機モータ以外の負荷としては、車両走行に必要な不図示の装置（変速機、車輪制御装置、操舵装置、懸架装置等）で消費される電力や、乗員空間内に配置される不図示の装置（空調装置、照明器具、オーディオ等）で消費される電力等がある。

ＣＴＲＬ３０は、ＦＣ１２とＢＡＴ２０の各出力電力の配分を決定し、発電指令値を算出する。より具体的には、ＣＴＲＬ３０は、ＦＣ１２及びＢＡＴ２０に対する要求電力を算出すると、これらの要求電力が得られるようにＦＣ−ＣＶＴ１５及びＢＡＴ−ＣＶＴ２２の動作を制御する。

そして、通常運転時においては、ＣＴＲＬ３０のＣ−ＣＴＲＬ３１がＦＣ−ＣＶＴ１５にＦＣ１２の出力電圧を制御させると共に、Ｉ−ＣＴＲＬ３２がＢＡＴ−ＣＶＴ２２に駆動モータ１３，１４側への出力電圧、言い換えれば、駆動ＩＶＴ１６及び補機ＩＶＴ１７への入力電圧を制御させるが、一方のＣ−ＣＴＲＬ３１／Ｉ−ＣＴＲＬ３２が一方の制御対象群４１／４２に属するシステム構成要素の故障を検知した場合には、その故障情報は他方のコントローラＩ−ＣＴＲＬ３２／Ｃ−ＣＴＲＬ３１に送信される。

一方のＣ−ＣＴＲＬ３１／Ｉ−ＣＴＲＬ３２から送信された故障情報を受信した他方のＩ−ＣＴＲＬ３２／Ｃ−ＣＴＲＬ３１は、故障したシステム構成要素が何であるかに応じて、種々の同時シャットダウン（同時運転停止）処理を実施する。以下、このシャットダウン処理について詳述する。

図２は、本実施形態に係るＦＣシステム１１のシャットダウン体系の一例を示す図である。符号１００は、Ｉ−ＣＴＲＬ３２によって駆動ＩＶＴ１６、補機ＩＶＴ１７、及びＢＡＴ−ＣＶＴ２２のシャットダウンとその解除等が制御される第１のシャットダウン体系である。また、符号２００は、Ｃ−ＣＴＲＬ３１によってＦＣ−ＣＶＴ１５のシャットダウンとその解除等が制御される第２のシャットダウン体系である。

ところで、コンバータやインバータには、ＩＰＭ（Intelligent Power Module）と呼ばれる機能部品が組み込まれている。これは、コンバータやインバータ内の半導体素子（例えば、ＩＧＢＴ）が過熱、過電流、過電圧等の異常に対して非常に弱く、故障しやすい部品であるため、あらかじめＩＧＢＴモジュールを設計する際に、前記異常を検知する異常検知回路を当該ＩＧＢＴモジュールに組み込み、異常が検知された場合に速やかに回路への通電を遮断することで、ＩＧＢＴの故障を抑制するものである。

本実施形態においては、図２に示すように、駆動ＩＶＴ１６、補機ＩＶＴ１７、及びＢＡＴ−ＣＶＴ２２を備えた制御対象群４１に対してＰＣＵ−ＩＰＭ１１０が組み込まれており、ＦＣ−ＣＶＴ１５を備えた制御対象群４２に対してＦＤＣ−ＩＰＭ２１０が組み込まれている。なお、図２には、ＦＣ−ＣＶＴ１５がＵ相、Ｖ相、Ｗ相、及びＸ相の４相の昇圧回路部を備えてなるマルチフェーズコンバータである場合が例示されている。

以下、図２及び図２中の記号の説明をリストにした図３を参照しながら、Ｃ−ＣＴＲＬ３１及びＩ−ＣＴＲＬ３２によって制御されるシャットダウン動作の代表例について具体的に説明する

なお、図３において、ＭＦＩＮＶ，ＧＦＩＮＶ，ＦＣＶ等のように大文字のアルファベットで表記され、且つ、信号名に「−ｒｇ」を有しない信号は、シャットダウン指令（停止信号）を意味する信号値（以下、「シャットダウン側の信号値」という場合があり、また、「シャットダウン側の信号値を有する」を単に「シャットダウン側の」という場合があるものとする。）、又は、シャットダウン解除指令（停止解除信号）を意味する信号値（以下、「シャットダウン解除側の信号値」という場合があり、また、「シャットダウン解除側の信号値を有する」を単に「シャットダウン解除側の」という場合があるものとする。）のいずれか一方を有する信号である。

また、ｍｆｉｎｖ−ｒｇ，ｇｆｉｎｖ−ｒｇ，ｆｃｖ−ｒｇ等のように小文字のアルファベットで表記され、且つ、信号名に「−ｒｇ」を有する信号は、上記シャットダウン指令を意味する信号値が出力されている場合でもそれをマスクしてシャットダウン指令を無効化する信号である。

＜ＭＦＩＮＶ＞
第１のシャットダウン体系１００において、例えば駆動ＩＶＴ１６が故障した場合には、その故障がＰＣＵ−ＩＰＭ１１０によって検知され、駆動ＩＶＴ１６の故障検知に対応してシャットダウン側の信号値を有するＭＦＩＮＶが出力される。このシャットダウン側のＭＦＩＮＶが出力されると、駆動モータ１３，１４に対するシャットダウン側の信号値を有するＭＳＤＮ及びＧＳＤＮが生成され、それらシャットダウン側のＭＳＤＮ及びＧＳＤＮがそれぞれ駆動ＩＶＴ１６及び補機ＩＶＴ１７に出力され、駆動モータ１３，１４の運転が停止する。

このとき、ＢＡＴ−ＣＶＴ２２に対しては、シャットダウン解除側の信号値を有するＣＳＤＮが出力されている。また、第１のシャットダウン体系１００においてシャットダウン側のＭＦＩＮＶが出力され、このシャットダウン側のＭＦＩＮＶの出力に応じて制御対象群４１に対するシャットダウン側の信号値を有するＦＳＤＮが生成されると、このシャットダウン側のＦＳＤＮが第１のシャットダウン体系１００から第２のシャットダウン体系２００に送信される。

すると、第２のシャットダウン体系２００においては、ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、及びＸ相の各相に対するシャットダウン側の信号値を有するＳＤＮＵ、ＳＤＮＶ、ＳＤＮＷ、及びＳＤＮＸが生成され、これらシャットダウン側のＳＤＮＵ乃至ＳＤＮＸがそれぞれＵ相乃至Ｘ相に出力され、ＦＣ−ＣＶＴ１５の運転が停止する。

このように、本実施形態では、駆動ＩＶＴ１６の故障が検知された場合には、同じ制御対象群４２に属しているシステム構成要素のうちＢＡＴ−ＣＶＴ２２を除くその他の駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が同時に停止するだけでなく、もう一方の制御対象群４１に属しているＦＣ−ＣＶＴ１５の運転までもが同時に停止する。したがって、駆動ＩＶＴ１６が故障した場合であっても、それに伴う補機ＩＶＴ１７やＦＣ−ＣＶＴ１５の共連れ故障が抑制される。

本実施形態では、共連れ故障を抑制するために、故障したシステム構成要素以外のシステム構成要素についても同時停止させるものであるが、ＢＡＴ−ＣＶＴ２２だけは同時停止の対象から外されている。つまり、ＢＡＴ−ＣＶＴ２２だけは、上記同時停止のタイミングから所定時間が経過した後に停止する。
これにより、駆動ＩＶＴ１６や補機ＩＶＴ１７が同時停止した後に発生し得る逆起電圧をＢＡＴ−ＣＶＴ２２によって制御することが可能となり、逆起電圧による半導体素子の故障を抑制することができる。

＜ＧＦＩＮＶ＞
第１のシャットダウン体系１００において、補機ＩＶＴ１７が故障した場合は、その故障がＰＣＵ−１ＰＭ１１０によって検知され、かかる故障検知に対応してシャットダウン側の信号値を有するＧＦＩＮＶが出力される。そして、シャットダウン側のＧＦＩＮＶが出力されると、このシャットダウン側のＭＳＤＮ及びＧＳＤＮが出力される。それ以降のシステム構成要素の同時停止動作は、上述した駆動ＩＶＴ１６が故障した場合（上記＜ＭＦＩＮＶ＞）と同様であるので、かかる場合の動作及び作用効果の説明は省略する。

＜ＦＣＶ＞
次に、第１のシャットダウン体系１００において、ＢＡＴ−ＣＶＴ２２が故障した場合について説明する。かかる場合には、その故障がＰＣＵ−ＩＰＭ１１０によって検知され、ＢＡＴ−ＣＶＴ２２の故障検知に対応してシャットダウン側の指令値を有するＦＣＶが出力される。

このシャットダウン側のＦＣＶが出力されると、駆動モータ１３，１４及びＢＡＴ−ＣＶＴ２２に対するシャットダウン側の信号値を有するＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮが出力され、それらシャットダウン側のＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮがそれぞれ駆動ＩＶＴ１６，補機ＩＶＴ１７及びＢＡＴ−ＣＶＴ２２に出力され、駆動モータ１３，１４及びＢＡＴ−ＣＶＴ２２の運転が停止する。

また、上述した駆動ＩＶＴ１６が故障した場合と同様に、第１のシャットダウン体系１００においてシャットダウン側のＦＣＶが出力されると、このＦＣＶの出力に応じてＦＣ−ＣＶＴ１５に対するシャットダウン側の信号値を有するＦＳＤＮが生成されて第２のシャットダウン体系２００に送信され、ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、及びＸ相の各相に対するシャットダウン側の信号値を有するＳＤＮＵ乃至ＳＤＮＸがそれぞれＵ相乃至Ｘ相に出力され、ＦＣ−ＣＶＴ１５の運転が停止する。

このように、ＢＡＴ−ＣＶＴ２２の故障が検知された場合にも、制御対象群４２に属しているＢＡＴ−ＣＶＴ２２、駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が同時に停止するだけでなく、もう一方の制御対象群４１に属しているＦＣ−ＣＶＴ１５の運転までもが同時に停止するので、共連れ故障が抑制される。

＜ＯＶＨ＞
第１のシャットダウン体系１００において、駆動ＩＶＴ１６の入力電圧が所定の閾値以上となる駆動ＩＶＴ１６の過電圧異常が検知された場合には、その異常がＰＣＵ−ＩＰＭ１１０によって検知され、かかる異常検知に対応してシャットダウン側の信号値を有するＯＶＨが出力される。

そして、このシャットダウン側のＯＶＨが出力されると、シャットダウン側のＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮが出力される。それ以降のシステム構成要素の同時停止動作は、上述したＢＡＴ−ＣＶＴ２２の故障が検知された場合（上記＜ＦＣＶ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

＜ＯＶＬ＞
また、第１のシャットダウン体系１００において、ＢＡＴ−ＣＶＴ２２の入口電圧が所定の閾値以上となるＢＡＴ−ＣＶＴ２２の過電圧異常が検知された場合には、その異常がＰＣＵ−ＩＰＭ１１０によって検知され、かかる異常検知に対応してシャットダウン側の信号値を有するＯＶＬが出力される。

そして、このシャットダウン側のＯＶＬが出力されると、シャットダウン側のＭＳＤＮ，ＧＳＤＮ及びＣＳＤＮが出力される。それ以降のシステム構成要素の同時停止動作は、上述したＢＡＴ−ＣＶＴ２２の故障が検知された場合（上記＜ＦＣＶ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

＜ＦＣＶＵ＞
次に、第２のシャットダウン体系２００において、ＦＣ−ＣＶＴ１５内のＵ相が故障した場合について説明する。かかる場合には、その故障がＦＤＣ−ＩＰＭ２１０によって検知され、ＦＣ−ＣＶＴ１５のＵ相の故障検知に対応してシャットダウン側の信号値を有するＦＣＶＵが出力される。

シャットダウン側のＦＣＶＵが出力されると、ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、Ｘ相に対するシャットダウン側の信号値を有するＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸが出力され、それらシャットダウン側のＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸがそれぞれ駆動ＦＣ−ＣＶＴ１５のＵ相、Ｖ相、Ｗ相、Ｘ相に出力され、ＦＣ−ＣＶＴ１５の全相の運転が停止する。

なお、図２ではソフトウェア的な信号線の図示を省略しているが、シャットダウン側のＦＣＶＵが出力されると、Ｃ−ＣＴＲＬ３１は、Ｕ相乃至Ｘ相をソフトウェア的にもシャットダウンするように構成されている。

第２のシャットダウン体系２００においては、シャットダウン側のＦＣＶＵが出力されると、このＦＣＶＵの出力に応じて制御対象群４２に対するシャットダウン側の信号値を有するＩＳＤＮが生成されて第１のシャットダウン体系１００に送信される。すると、第１のシャットダウン体系１００においては、駆動モータ１３，１４に対するシャットダウン側の信号値を有するＭＳＤＮ及びＧＳＤＮが生成され、それらシャットダウン側のＭＳＤＮ及びＧＳＤＮがそれぞれ駆動ＩＶＴ１６及び補機ＩＶＴ１７に出力され、駆動モータ１３，１４の運転が停止する。

このとき、ＢＡＴ−ＣＶＴ２２に対しては、シャットダウン解除側の信号値を有するＣＳＤＮが出力されている。

このように、ＦＣ−ＣＶＴ１５内のＵ相の故障が検知された場合には、制御対象群４１に属しているＦＣ−ＣＶＴ１５の全相の運転が同時に停止するだけでなく、もう一方の制御対象群４２に属している駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転までもが同時に停止するので、共連れ故障が抑制される。

この同時停止の際、ＢＡＴ−ＣＶＴ２２だけは同時停止の対象から外されている。つまり、ＢＡＴ−ＣＶＴ２２だけは、上記同時停止のタイミングから所定時間が経過した後に停止する。これにより、駆動ＩＶＴ１６や補機ＩＶＴ１７が同時停止した後に発生し得る逆起電圧をＢＡＴ−ＣＶＴ２２によって制御することが可能となり、逆起電圧による半導体素子の故障を抑制することができる。

＜ＦＣＶＶ，ＦＣＶＷ，ＦＣＶＸ＞
第２のシャットダウン体系２００において、ＦＣ−ＣＶＴ１５内の他の相（Ｖ相、Ｗ相、Ｘ相）のいずれかの相において故障が検知された場合も、その故障がＦＤＣ−ＩＰＭ２１０によって検知され、故障した相に対応する故障検知信号として、それぞれシャットダウン側の信号値を有するＦＣＶＶ（Ｖ相）、ＦＣＶＷ（Ｗ相）、或いはＦＣＶＸ（Ｘ相）が出力される。

そして、シャットダウン側のＦＣＶＶ乃至ＦＣＶＸのいずれかが出力されると、シャットダウン側のＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸが出力される。それ以外のシステム構成要素の同時停止動作やソフトウェア的なシャットダウン動作は、上述したＵ相の故障が検知された場合（上記＜ＦＣＶＵ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

＜ＦＬＶＬ＞
第２のシャットダウン体系２００において、ＦＣ−ＣＶＴ１５の入口電圧が所定の閾値以下となる低電圧異常が検知された場合には、かかる異常検知に対応してシャットダウン側の信号値を有するＦＬＶＬが出力される。

ここで、このＦＬＶＬを出力するための下限電圧遮断回路とその作用について、図４を参照しながら以下に説明する。なお、本実施形態のＦＣ−ＣＶＴ１５は、上述したように所謂マルチフェーズコンバータであるが、図４では、説明の便宜上、一相のみ（例えば、Ｕ相）を図示している。

Ｕ相（その他の相も同様である。）は、インダクタＬ１、スイッチング素子Ｓ１、還流ダイオードＤ１を有している。スイッチング素子Ｓ１は、絶縁ゲートバイポーラトランジスタ（ＩＧＢＴ）、その他のバイポーラトンンジスタ、電界効果トランジスタ（ＦＥＴ）等の半導体装置１５１に、図示の如くダイオード１５２が接続されたものである。

Ｕ相のスイッチング素子Ｓ１の一端は、接続節点Ｐ１にてインダクタＬ１の一端が接続されている。インダクタＬ１の他端には、接続接点Ｐ２において還流ダイオードＤ１の一端と接続されている。そして、インダクタＬ１の他端及び還流ダイオードＤ１の一端は、リレー５０を介してＦＣ１２の正極に接続されている。

インダクタＬ１の一端及びスイッチング素子Ｓ１の一端は、平滑コンデンサＣ１の一端に接続されている。平滑コンデンサＣ１の他端、スイッチング素子Ｓ１の他端、還流ダイオードＤ１の他端は、リレー５０を介してＦＣ２の負極に接続されている。

還流ダイオードＤ１の一端及び他端には、それぞれＦＣ−ＣＶＴ１５の入口電圧を取得するための信号線ＳＬ１，ＳＬ２が接続されている。
第１回路２５１では、信号線ＳＬ１からの電位信号と信号線ＳＬ２からの電位信号との差（電位差）がＦＣ−ＣＶＴ１５の入口電圧として算出される。

第２回路２５２では、ＦＣ−ＣＶＴ１５の入口電圧と所定の下限電圧閾値（電源２６０の正極側電位）との差が算出（言い換えれば、大小関係が比較）される。
そして、ＦＣ−ＣＶＴ１５の入口電圧が前記下限電圧閾値を下回っている場合には、第２回路２５２からシャットダウン側の信号値を有するＦＬＶＬが出力され、それ以外の場合は、シャットダウン解除側の信号値を有するＦＬＶＬが出力される。

図２に戻り、第２のシャットダウン体系２００においてシャットダウン側のＦＬＶＬが出力されると、このＦＬＶＬの出力に応じて制御対象群４２に対するシャットダウン側の信号値を有するＩＳＤＮが生成されて第１のシャットダウン体系１００に送信される。すると、第１のシャットダウン体系１００においては、駆動モータ１３，１４に対するシャットダウン側の信号値を有するＭＳＤＮ及びＧＳＤＮが生成され、それらＭＳＤＮ及びＧＳＤＮがそれぞれ駆動ＩＶＴ１６及び補機ＩＶＴ１７に出力され、駆動モータ１３，１４の運転が停止する。

このとき、ＢＡＴ−ＣＶＴ２２に対しては、シャットダウン解除側の信号値を有するＣＳＤＮが出力されている。

そして、シャットダウン側のＦＬＶＬが出力されると、シャットダウン側のＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸが出力される。それ以外のシステム構成要素の同時停止動作やソフトウェア的なシャットダウン動作は、上述したＦＣ−ＣＶＴ１５のＵ相の故障が検知された場合（上記＜ＦＣＶＵ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

＜ＦＯＶＨ＞
第２のシャットダウン体系２００において、ＦＣ−ＣＶＴ１５の出口電圧が所定の閾値以上となる過電圧異常が検知された場合には、かかる異常検知に対応してシャットダウン側の信号値を有するＦＯＶＨが出力される。

そして、このシャットダウン側のＦＯＶＨが出力されると、シャットダウン側のＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ及びＳＤＮＸが出力される。それ以外のシステム構成要素の同時停止動作やソフトウェア的なシャットダウン動作は、上述したＦＣ−ＣＶＴ１５のＵ相の故障が検知された場合（上記＜ＦＣＶＵ＞）と同様であるので、かかる場合の動作と作用効果の説明は省略する。

上述したように、第１のシャットダウン体系１００及び第２のシャットダウン体系２００が動作した後は、ＦＣシステム１１の運転に係る主要なシステム構成要素の全てが運転を停止しているので、そのままでは車両が路上故障の状態に陥ってしまう。

そこで、上述したシャットダウン動作によってシステム構成要素を安全に停止させて共連れ故障を回避した後は、その故障（異常）内容を特定したうえで、最適な方法でＦＣシステム１１を再起動させ、フェールセーフ走行（退避走行）を行なう必要がある。

以下、故障（異常）内容に応じてフェールセーフ走行の最適パターンを選択し、車両を走行可能な状態に復帰させるまでの処理について説明する。

＜ＦＣＶＵ乃至ＦＣＶＸ＞
第２のシャットダウン体系２００において出力された故障信号がシャットダウン側のＦＣＶＵ乃至ＦＣＶＸのいずれかである場合、つまり、ＦＣ−ＣＶＴ１５のＵ相乃至Ｘ相のいずれかにおいて故障が検知された場合には、まず、その故障の原因が過電流異常、過熱異常、及び回路異常（例えば、短絡）のいずれによるものなのかが、Ｃ−ＣＴＲＬ３１によって判定される。

代表例として、Ｕ相（特定相）が故障した場合について説明する。
Ｕ相の電流値（Ｕ相におけるリアクトルＬ１の電流値）が所定の上限電流閾値以上になり、その状態が所定時間継続したことが検知された場合には、当該Ｕ相に過電流異常があると判定される。

Ｕ相の故障原因が過電流異常でない場合であって、Ｕ相の温度（Ｕ相におけるＩＧＢＴの温度）が所定の上限温度閾値以上になり、その状態が所定時間継続したことが検知された場合には、当該Ｕ相に過熱異常があると判定される。

Ｕ相の故障原因が過電流異常、過熱異常のいずれにも該当しない場合であって、故障状態が第２所定時間以上継続する場合には、当該Ｕ相に回路異常があると判定される。
Ｖ相、Ｗ相、及びＸ相の故障原因の判定についても、上述したＵ相の場合と同様のプロセスによって行なわれる。

（１）過電流異常
<<リトライモード>>
故障の原因が１回目の過電流異常によるものである場合において、その過電流異常が解消されたことがＦＤＣ−ＩＰＭ２１０によって検知されると、シャットダウン解除側のＦＣＶＵが出力される。すると、第１のシャットダウン体系１００では、第２のシャットダウン体系２００からシャットダウン解除側の信号値を有するＩＳＤＮを受信し、駆動ＩＶＴ１６及び補機ＩＶＴ１７に対し、シャットダウン解除側の信号値を有するＭＳＤＮ及びＧＳＤＮが出力される。

一方、第２のシャットダウン体系２００では、Ｕ相乃至Ｘ相に対し、それぞれシャットダウン解除側の信号値を有するＳＤＮＵ，ＳＤＮＶ，ＳＤＮＷ，及びＳＤＮＸが出力される。また、シャットダウン側のＦＣＶＵが出力されてから後述する所定の診断時間が経過した後、Ｃ−ＣＴＲＬ３１は、Ｕ相乃至Ｘ相のソフトウェア的なシャットダウンを解除する。

このように、ＦＣ−ＣＶＴ１５の故障原因が過電流異常によるものであり、且つ、その過電流異常が１回目に検知されたものである場合、つまり、過電流異常がＦＣシステム１１の始動後初めて検知された場合には、運転停止状態にあった駆動ＩＶＴ１６、補機ＩＶＴ１７、及びＦＣ−ＣＶＴ１５が通常運転時と同じ条件で再起動し、通常走行可能な状態に復帰する。

このような復帰動作は、Ｖ相、Ｗ相、Ｘ相に過電流異常があった場合についても同様である。つまり、ＦＣ−ＣＶＴ１５の故障原因がＵ相以外の相の過電流異常によるものであり、且つ、その相における過電流異常がＦＣシステム１１の始動後初めて検知されたものである場合には、運転停止状態にあった駆動ＩＶＴ１６、補機ＩＶＴ１７、及びＦＣ−ＣＶＴ１５が通常運転時と同じ条件で再起動し、通常走行可能な状態に復帰する。

<<所定相昇圧禁止モード>>
しかしながら、ＦＣ−ＣＶＴ１５の故障原因が例えばＵ相の過電流異常によるものであり、且つ、そのＵ相における過電流異常がＦＣシステム１１の始動後２回目以降に検知されたものである場合には、以下に述べるとおり、上記１回目の場合とは異なる処理が行なわれる。

すなわち、１回目の場合と同様に、ＩＳＤＮ，ＭＳＤＮ，ＧＳＤＮ，及びＳＤＮＵ乃至ＳＤＮＸについて、シャットダウン解除側の信号値が出力されていても、２回目以降の場合は、ソフトウェア的にシャットダウンされているＵ相乃至Ｘ相のうち、Ｖ相乃至Ｘ相のソフトウェア的なシャットダウンは解除されるが、Ｕ相のソフトウェア的なシャットダウンは解除されずに維持される（Ｕ相の昇圧禁止）。

これにより、ＦＣ−ＣＶＴ１５のＵ相の運転停止状態が維持されたまま、他の全ての相（Ｖ相、Ｗ相、Ｘ相）、駆動ＩＶＴ１６、及び補機ＩＶＴ１７が再起動し、走行可能な状態に復帰する。このとき、ＦＣ−ＣＶＴ１５は、４相中３相のみが駆動するので、通常運転時の最大出力に対して７５％（＝３相／４相×１００％）の出力制限が課された状態での復帰となる。

このような復帰動作は、Ｖ相、Ｗ相、Ｘ相に過電流異常があった場合についても同様である。つまり、ＦＣ−ＣＶＴ１５の故障原因がＵ相以外の相の過電流異常によるものであり、且つ、その相における過電流異常がＦＣシステム１１の始動後２回目以降に検知されたものである場合には、その相の運転停止状態が維持されたまま、他の全ての相、駆動ＩＶＴ１６、及び補機ＩＶＴ１７が再起動し、走行可能な状態に復帰する。

ところで、本実施形態のＣ−ＣＴＲＬ３１は、故障検知信号であるシャットダウン側のＦＣＶＵ乃至ＦＣＶＸ、ＦＬＶＬ、又はＦＯＶＨが出力されると、故障の有無を確定するための故障診断を実施する。Ｃ−ＣＴＲＬ３１は、故障診断開始から、言い換えれば、故障検知信号の出力を検知してから、所定の診断時間（例えば、０．２秒）が経過した後も尚故障状態が継続していることを検知した場合に、故障が有ることを確定する。

上述したように、第２のシャットダウン体系２００において、例えばシャットダウン側のＦＣＶＵが出力されると、ＦＣ−ＣＶＴ１５の全相の運転が一旦停止するので、例えばＵ相の故障原因が上記過電流異常であった場合には、上記所定の診断時間を経過する前であっても、つまり、故障診断完了前であっても、Ｕ相がハードウェア的に正常回復する場合があり、かかる場合には、ＦＣ−ＣＶＴ１５その他運転停止状態のものが再起動可能な状態となる。

しかしながら、ＦＣシステム１１ひいてはＦＣ車両の信頼性向上の観点からは、たとえハードウェア的に再起動可能な状態に移行した場合であっても、Ｃ−ＣＴＲＬ３１での故障診断が完了していなければ、ＦＣ−ＣＶＴ１５等を再起動できないようにソフトウェア的に何らかの手当てをしておくことが好ましい。

例えば、シャットダウン側のＦＣＶＵが出力されてから上記所定の診断時間が経過して故障診断が完了するまで（診断結果が確定するまで）は、たとえＵ相乃至Ｘ相、駆動ＩＶＴ１６、及び補機ＩＶＴ１７に対し、それぞれシャットダウン解除側の信号値を有するＳＤＮＵ乃至ＳＤＮＸ，ＭＳＤＮ，及びＧＳＤＮがハードウェア的に出力されていても、Ｃ−ＣＴＲＬ３１はＦＣ−ＣＶＴ１５等の再起動をソフトウェア的に禁止し、Ｉ−ＣＴＲＬ３２は駆動ＩＶＴ１６等の再起動をソフトウェア的に禁止する。

そして、故障診断完了後に、Ｃ−ＣＴＲＬ３１がＦＣ−ＣＶＴ１５の再起動をソフトウェア的に許可すると共に、Ｉ−ＣＴＲＬ３２が駆動ＩＶＴ１６，補機ＩＶＴ１７の再起動をソフトウェア的に許可する。

このような運転停止状態にあった駆動ＩＶＴ１６、補機ＩＶＴ１７、及びＦＣ−ＣＶＴ１５を通常運転時と同じ条件又は出力制限付きの条件で再起動して走行可能な状態に移行させる際に実施されるソフトウェア的な再起動禁止制御は、Ｖ相、Ｗ相、Ｘ相に過電流異常があった場合についても同様に実施される。

（２）過熱異常
<<所定相昇圧禁止モード>>
第２のシャットダウン体系２００において出力された故障信号がシャットダウン側のＦＣＶＵ乃至ＦＣＶＸのいずれかである場合、つまり、ＦＣ−ＣＶＴ１５のＵ相乃至Ｘ相のいずれかにおいて故障が検知された場合において、その故障の原因が過熱異常によるものである場合には、上述の「（１）過電流異常」における「<<所定相昇圧禁止モード>>」と同様の処理が行なわれる。

例えばＵ相に過熱異常があった場合を例に挙げれば、シャットダウン解除側の信号値を有するＩＳＤＮ，ＭＳＤＮ，及びＧＳＤＮが出力された後、ソフトウェア的にシャットダウンしているＵ相乃至Ｘ相のうち、Ｕ相だけはソフトウェア的なシャットダウンが維持され（Ｕ相の昇圧禁止）、Ｖ相乃至Ｘ相のソフトウェア的なシャットダウンが解除される。

これにより、ＦＣ−ＣＶＴ１５のＵ相の運転停止状態が維持されたまま、他の全ての相（Ｖ相、Ｗ相、Ｘ相）、駆動ＩＶＴ１６、及び補機ＩＶＴ１７が再起動し、より迅速かつ確実に走行可能な状態に復帰する。このとき、ＦＣ−ＣＶＴ１５は、４相中３相のみが駆動するので、通常運転時の最大出力に対して７５％（＝３相／４相×１００％）の出力制限が課された状態での復帰となる。

以上の復帰動作は、Ｖ相、Ｗ相、Ｘ相のいずれかに過熱異常があった場合についても、運転停止状態が維持される相が過熱異常相である点以外は、同様である。

（３）回路異常１
<<所定相昇圧禁止モード>>
第２のシャットダウン体系２００において出力された故障信号がシャットダウン側のＦＣＶＵ乃至ＦＣＶＸのいずれかである場合、つまり、ＦＣ−ＣＶＴ１５のＵ相乃至Ｘ相のいずれかにおいて故障が検知された場合において、その故障の原因が回路異常（例えば、短絡）によるものである場合にも、上述の「（２）過熱異常」の場合と同様の処理が行なわれ、通常運転時の最大出力に対して７５％の出力制限付きではあるが走行可能な状態に復帰する。

＜ＦＬＶＬ＞
第２のシャットダウン体系２００において出力された故障信号がシャットダウン側のＦＬＶＬである場合には、まず、その故障の原因が回路異常（例えば、短絡）、低電圧異常のいずれによるものなのかが、Ｃ−ＣＴＲＬ３１によって判定される。

例えば、ＦＣ−ＣＶＴ１５の入口電圧が所定の下限電圧閾値以下になり、その状態が所定時間継続していることが検知された場合には、ＦＣ−ＣＶＴ１５に低電圧異常があると判定される。
また、ＦＣ−ＣＶＴ１５の異常原因が低電圧異常に該当しない場合であって、故障状態が前記所定時間よりも長い第２所定時間以上継続する場合には、ＦＣ−ＣＶＴ１５の入口側回路に何らかの回路異常があると判定される。

（１）回路異常２
<<ＥＶ走行>>
故障の原因が回路異常によるものである場合には、その回路異常を検知してから上記所定の診断時間を経過した後、つまり、故障診断完了後に、シャットダウン解除側の信号値を有するＩＳＤＮ，ＭＳＤＮ，ＧＳＤＮ，ＣＳＤＮが出力される一方で、一旦設定されたＵ相乃至Ｘ相のソフトウェア的なシャットダウンは解除されることなく維持される（全相の昇圧禁止）。その後、ＦＣ１２とＦＣ−ＣＶＴ１５との間に配置されているＦＣリレー５０が切断される。

このように、ＦＣ−ＣＶＴ１５の入口側回路に回路異常が検知された場合には、ＦＣ１２からの電力供給は絶たれるが、運転停止状態にあった駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が復帰し、ＢＡＴ２０だけからの供給電力による、いわゆるＥＶ走行が可能な状態に復帰する。

（２）低電圧異常
<<ＥＶ走行>>
第２のシャットダウン体系２００において出力された故障信号がシャットダウン側のＦＬＶＬである場合において、その故障の原因が低電圧異常によるものであるときには、上記「（１）回路異常２」の場合と同様の処理が行なわれ、ＦＣ１２からの電力供給は絶たれるが、運転停止状態にあった駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が復帰し、ＢＡＴ２０だけからの供給電力による、いわゆるＥＶ走行が可能な状態に復帰する。

＜ＦＯＶＨ＞
第２のシャットダウン体系２００において出力された故障信号がシャットダウン側のＦＯＶＨである場合には、まず、その故障の原因が回路異常（例えば、短絡）、過電圧異常のいずれによるものなのかが、Ｃ−ＣＴＲＬ３１によって判定される。

例えば、ＦＣ−ＣＶＴ１５の出口電圧が所定の上限電圧閾値以上になり、その状態が所定時間継続していることが検知された場合には、ＦＣ−ＣＶＴ１５に過電圧異常があると判定される。
また、ＦＣ−ＣＶＴ１５の異常原因が過電圧異常に該当しない場合であって、故障状態が前記所定時間よりも長い第２所定時間以上継続する場合には、ＦＣ−ＣＶＴ１５の出口側回路に何らかの回路異常があると判定される。

（１）回路異常３
<<ＦＣ−ＣＶＴ停止走行>>
故障の原因が回路異常によるものである場合には、その回路異常を検知してから上記所定の診断時間を経過した後、つまり、故障診断完了後に、シャットダウン解除側の信号値を有するＩＳＤＮ，ＭＳＤＮ，ＧＳＤＮが出力される一方で、一旦設定されたＵ相乃至Ｘ相のソフトウェア的なシャットダウンは解除されることなく維持される（全相の昇圧禁止）。

このように、ＦＣ−ＣＶＴ１５の出口側回路に回路異常が検知された場合には、ＦＣ−ＣＶＴ１５の運転停止状態は維持されたままであるが、運転停止状態にあった駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が復帰し、ＦＣ１２又は／及びＢＡＴ２０からの供給電力によって走行可能な状態に復帰する。

（２）過電圧異常
<<ＥＶ走行>>
第２のシャットダウン体系２００において出力された故障信号がシャットダウン側のＦＯＶＨである場合において、その故障の原因が過電圧異常によるものであるときには、その過電圧異常を検知してから上記所定の診断時間を経過した後、つまり、故障診断完了後に、シャットダウン解除側の信号値を有するＩＳＤＮ，ＭＳＤＮ，ＧＳＤＮ，ＣＳＤＮが出力される一方で、Ｕ相乃至Ｘ相のソフトウェア的なシャットダウンは解除されることなく維持される（全相の昇圧禁止）。

その後、ＦＣ１２とＦＣ−ＣＶＴ１５との間に配置されているＦＣリレー５０が切断される。

このように、ＦＣ−ＣＶＴ１５の過電圧異常が検知された場合には、ＦＣ１２からの電力供給は絶たれるが、運転停止状態にあった駆動ＩＶＴ１６及び補機ＩＶＴ１７の運転が復帰し、ＢＡＴ２０だけからの供給電力による、いわゆるＥＶ走行が可能な状態に復帰する。

以上説明したとおり、上述の実施形態においては、あるシステム構成要素の故障に起因して他のシステム構成要素を同時停止（シャットダウン）させた後でも、故障したシステム構成要素とその故障原因を特定することにより、故障していないシステム構成要素によるシステム再起動が可能である。
よって、ＦＣシステム１１を搭載した車両によれば、システム構成要素の共連れ故障を回避しつつ、その回避後においても最低限のフェールセーフ走行が可能である。

なお、上述した実施形態においては、Ｉ−ＣＴＲＬ３２（第２コントローラ）が物理的に１つのコントローラで構成され、この１つのコントローラで駆動ＩＶＴ１６（第１インバータ）、補機ＩＶＴ１７（第２インバータ）、及びＢＡＴ−ＣＶＴ２２（第２コンバータ）を制御する例について説明したが、本発明は、そのような例に限定されるものではない。

例えば、第１インバータ、第２インバータ、及び第２コンバータのそれぞれに対して各１つのコントローラが設けられていて、これら３つのコントローラが接続されて第２コントローラが構成されていてもよい。
また、第１インバータ、第２インバータ、及び第２コンバータのうちの１つを制御するコントローラと、他の２つを制御するコントローラとが接続されて第２コントローラが構成されていてもよい。

また、上述した実施形態においては、本発明に係るＦＣシステムをＦＣ車両に搭載した場合について説明したが、ＦＣ車両以外の各種移動体（ロボット、船舶、航空機等）にも本発明に係るＦＣシステムを適用することができる。また、本発明に係るＦＣシステムを、建物（住宅、ビル等）用の発電設備として用いられる定置用発電システムに適用することもできる。

Claims (9)

1. 電力供給源としての燃料電池及び二次電池と、
   これら燃料電池及び二次電池と第１負荷及び第２負荷との間にそれぞれ設けられた第１コンバータ及び第２コンバータと、
   これら第１コンバータ及び第２コンバータと前記第１負荷及び第２負荷との間にそれぞれ設けられた第１インバータ及び第２インバータと、
   前記第１コンバータを制御することによって前記燃料電池の出力を制御する第１コントローラと、
   前記第１コントローラとは別個に構成され、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを制御することによって前記二次電池からの出力を含めて前記第１インバータ及び前記第２インバータへ供給する出力を制御する第２コントローラと、を備え、
   前記第１コントローラと前記第２コントローラとは、それぞれの制御対象の故障情報が相互通信可能に接続され、
   前記第１コントローラ及び前記第２コントローラは、それらの一方から送信された前記故障情報を受信した場合に、その故障情報を受信した側の前記第１コントローラ又は前記第２コントローラによる前記制御対象の運転を停止させ、
   前記第１コントローラ及び前記第２コントローラは、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、又は前記第２インバータのいずれかの故障が検知された場合において、
   前記第２コンバータの故障が検知されたときは、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータの運転を停止させ、
   前記第２コンバータ以外の故障が検知されたときは、前記第１コンバータ、前記第１インバータ、及び前記第２インバータの運転を停止させ、この運転停止よりも所定時間が経過した後に前記第２コンバータの運転を停止させる、燃料電池システム。
2. 請求項１に記載の燃料電池システムにおいて、
   前記故障の原因を判定する判定部を備え、
   前記第１コントローラ及び前記第２コントローラは、前記判定部の判定結果に基づいて、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータの少なくとも１つを再起動させる、燃料電池システム。
3. 請求項２に記載の燃料電池システムにおいて、
   前記第１コンバータが２相以上の昇圧回路部を備えてなるマルチフェーズコンバータであり、
   前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が特定相の過電流異常であり、かつ、それが１回目の過電流異常である場合には、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させる、燃料電池システム。
4. 電力供給源としての燃料電池及び二次電池と、
   これら燃料電池及び二次電池と第１負荷及び第２負荷との間にそれぞれ設けられた第１コンバータ及び第２コンバータと、
   これら第１コンバータ及び第２コンバータと前記第１負荷及び第２負荷との間にそれぞれ設けられた第１インバータ及び第２インバータと、
   前記第１コンバータを制御することによって前記燃料電池の出力を制御する第１コントローラと、
   前記第１コントローラとは別個に構成され、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを制御することによって前記二次電池からの出力を含めて前記第１インバータ及び前記第２インバータへ供給する出力を制御する第２コントローラと、を備え、
   前記第１コントローラと前記第２コントローラとは、それぞれの制御対象の故障情報が相互通信可能に接続され、
   前記第１コントローラ及び前記第２コントローラは、それらの一方から送信された前記故障情報を受信した場合に、その故障情報を受信した側の前記第１コントローラ又は前記第２コントローラによる前記制御対象の運転を停止させ、
   前記故障の原因を判定する判定部を備え、
   前記第１コントローラ及び前記第２コントローラは、前記判定部の判定結果に基づいて、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータの少なくとも１つを再起動させ、
   前記第１コンバータが２相以上の昇圧回路部を備えてなるマルチフェーズコンバータであり、
   前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が特定相の過電流異常であり、かつ、それが２回目以降の過電流異常である場合には、前記第１コンバータの前記特定相を除く全ての相、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させる、燃料電池システム。
5. 電力供給源としての燃料電池及び二次電池と、
   これら燃料電池及び二次電池と第１負荷及び第２負荷との間にそれぞれ設けられた第１コンバータ及び第２コンバータと、
   これら第１コンバータ及び第２コンバータと前記第１負荷及び第２負荷との間にそれぞれ設けられた第１インバータ及び第２インバータと、
   前記第１コンバータを制御することによって前記燃料電池の出力を制御する第１コントローラと、
   前記第１コントローラとは別個に構成され、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを制御することによって前記二次電池からの出力を含めて前記第１インバータ及び前記第２インバータへ供給する出力を制御する第２コントローラと、を備え、
   前記第１コントローラと前記第２コントローラとは、それぞれの制御対象の故障情報が相互通信可能に接続され、
   前記第１コントローラ及び前記第２コントローラは、それらの一方から送信された前記故障情報を受信した場合に、その故障情報を受信した側の前記第１コントローラ又は前記第２コントローラによる前記制御対象の運転を停止させ、
   前記故障の原因を判定する判定部を備え、
   前記第１コントローラ及び前記第２コントローラは、前記判定部の判定結果に基づいて、前記第１コンバータ、前記第２コンバータ、前記第１インバータ、及び前記第２インバータの少なくとも１つを再起動させ、
   前記第１コンバータが２相以上の昇圧回路部を備えてなるマルチフェーズコンバータであり、
   前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が特定相の過熱異常又は回路異常である場合には、前記第１コンバータの前記特定相を除く残りの相、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させる、燃料電池システム。
6. 請求項２に記載の燃料電池システムにおいて、
   前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が当該第１コンバータの出口側回路における回路異常である場合には、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させる、燃料電池システム。
7. 請求項２に記載の燃料電池システムにおいて、
   前記第１コントローラ及び前記第２コントローラは、前記第１コンバータの故障原因が当該第１コンバータの出口側の過電圧異常、当該第１コンバータの入口側の低電圧異常、当該第１コンバータの入口側回路における回路異常のいずれかである場合には、前記燃料電池から前記第１負荷及び前記第２負荷への出力を遮断した後、前記第２コンバータ、前記第１インバータ、及び前記第２インバータを再起動させる、燃料電池システム。
8. 請求項３又は４に記載の燃料電池システムにおいて、
   前記第１コントローラは、前記故障の有無を確定するための故障診断を実施するものであり、
   前記第１コントローラ及び前記第２コントローラは、前記故障診断が完了するまでは、前記再起動を禁止する、燃料電池システム。
9. 請求項５乃至７のいずれか１項に記載の燃料電池システムにおいて、
   前記第１コントローラは、前記故障の有無を確定するための故障診断を実施するものであり、
   前記第１コントローラ及び前記第２コントローラは、前記故障診断が完了した後に、前記再起動を許可する、燃料電池システム。

Images