特開 2022-75577 交流バッテリの安全コンセプトのための方法及びシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022075577

(43)【公開日】2022-05-18

(54)【発明の名称】交流バッテリの安全コンセプトのための方法及びシステム

(51)【国際特許分類】

   H02J 7/00 20060101AFI20220511BHJP

   B60L 3/00 20190101ALI20220511BHJP

   B60L 58/18 20190101ALI20220511BHJP

【ＦＩ】

H02J7/00 S

H02J7/00 P

B60L3/00 S

B60L58/18

【審査請求】有

【請求項の数】10

【出願形態】ＯＬ

(21)【出願番号】P 2021178537

(22)【出願日】2021-11-01

(31)【優先権主張番号】10 2020 129 130.2

(32)【優先日】2020-11-05

(33)【優先権主張国・地域又は機関】DE

(71)【出願人】

【識別番号】510238096

【氏名又は名称】ドクター エンジニール ハー ツェー エフ ポルシェ アクチエンゲゼルシャフト

【氏名又は名称原語表記】Ｄｒ． Ｉｎｇ． ｈ．ｃ． Ｆ． Ｐｏｒｓｃｈｅ Ａｋｔｉｅｎｇｅｓｅｌｌｓｃｈａｆｔ

【住所又は居所原語表記】Ｐｏｒｓｃｈｅｐｌａｔｚ １， Ｄ－７０４３５ Ｓｔｕｔｔｇａｒｔ， Ｇｅｒｍａｎｙ

(74)【代理人】

【識別番号】100202647

【弁理士】

【氏名又は名称】寺町 健司

(72)【発明者】

【氏名】ドクター ハラルト シェフラー

(72)【発明者】

【氏名】スフェン リル

(72)【発明者】

【氏名】ヘルマン ヘルムート ディボス

(72)【発明者】

【氏名】ダニエル シモン

(72)【発明者】

【氏名】エドゥアルト シュペヒト

(72)【発明者】

【氏名】クリスティアン コルテ

(72)【発明者】

【氏名】ヤン カチェトル

(72)【発明者】

【氏名】トーマス カチェトル

【テーマコード（参考）】

5G503

5H125

【Ｆターム（参考）】

5G503AA01

5G503AA07

5G503BA01

5G503BB01

5G503CA01

5G503FA06

5G503FA17

5G503GD03

5G503GD06

5H125AA01

5H125AC12

5H125AC23

5H125BC28

5H125CC01

5H125CD04

5H125EE26

(57)【要約】      （修正有）

【課題】交流バッテリの安全コンセプトのための方法及びシステムを提供する。
【解決手段】交流バッテリは、中央コントローラと、複数のスイッチング状態を有するパワー基板を夫々有する複数のバッテリモジュールと、複数のコンタクタと、複数の電流センサと、故障ループと、高速バスとを備え、トラクション機構に接続され、中央コントローラのプロセッサユニット上で、バッテリモジュール、複数のコンタクタ、及び故障ループを制御するように制御プログラムが構成される。バッテリモジュールは、中央コントローラから高速バスを介して故障ループまで接続され、中断故障が発生すると、交流バッテリが安全動作状態に変更される。安全状態は、各バッテリモジュールの「バイパス」スイッチング状態及び各コンタクタのそれぞれの安全スイッチング位置によって、中央コントローラによる緊急切断によって少なくとも実現される。
【選択図】なし

【特許請求の範囲】

【請求項1】

交流バッテリの安全コンセプトのための方法であって、前記交流バッテリが、中央コントローラと、少なくとも１つのストリングに配置され、複数のスイッチング状態を有するパワー基板をそれぞれ有する複数のバッテリモジュールと、複数のコンタクタと、複数の電流センサと、故障ループと、高速バスとを備え、及びトラクション機構に接続され、前記中央コントローラが、少なくとも１つのマイクロプロセッサコアを有するハードウェアプログラマブルプロセッサユニットを有し、前記ハードウェアプログラマブルプロセッサユニット上で、前記バッテリモジュール、前記複数のコンタクタ、及び前記故障ループを制御するように制御プログラムが構成され、状態機械が前記制御プログラムによって実装され、前記バッテリモジュールが前記中央コントローラから前記高速バスを介して前記故障ループまで接続され、中断故障が検出されると、各コンタクタがそれぞれの安全スイッチング位置を取ることによって、及び前記中央コントローラが最終的に切断されることによって「バイパス」スイッチング状態を取るように、前記中央コントローラによって前記高速バスを介して各バッテリモジュールに要求することによって、前記交流バッテリが前記中央コントローラによって安全動作状態に変更される、方法。

【請求項2】

前記中断故障が、断線、故障ループがトリガを運んでいること、及び前記中央コントローラに接続されたＣＡＮバスが不適切な動作状態を指示していることのうちのいずれかイベントが存在する場合に取得される、請求項１に記載の方法。

【請求項3】

電流センサとマイクロプロセッサを有するモジュールコントローラとが各バッテリモジュールに配置され、前記モジュールコントローラは、前記中断故障が検出されると前記故障ループに前記トリガを渡す、請求項１又は２に記載の方法。

【請求項4】

前記交流バッテリが、以下のリスト：
低電圧ＤＣ／ＤＣコンバータ、前記トラクション機構のそれぞれの相電流のための電流センサ、及び充電プラグ
のうちから少なくとも１つの周辺ユニットを有し、前記少なくとも１つの周辺ユニットが前記故障ループに接続され、前記少なくとも１つの周辺ユニットは、前記中断故障が検出されると前記故障ループに前記トリガを渡す、請求項１～３のいずれか一項に記載の方法。

【請求項5】

前記ハードウェアプログラマブルプロセッサユニットとしてＦＰＧＡが選択され、前記状態機械が前記制御プログラムによって前記少なくとも１つのマイクロプロセッサコア上で実装される、請求項１～４のいずれか一項に記載の方法。

【請求項6】

交流バッテリの安全コンセプトのためのシステムであって、前記交流バッテリが、中央コントローラと、少なくとも１つのストリングに配置され、複数のスイッチング状態を有するパワー基板をそれぞれ有する複数のバッテリモジュールと、複数のコンタクタと、複数の電流センサと、故障ループと、高速バスとを備え、及びトラクション機構に接続され、前記中央コントローラが、少なくとも１つのマイクロプロセッサコアを有するハードウェアプログラマブルプロセッサユニットを有し、前記ハードウェアプログラマブルプロセッサユニット上で、前記バッテリモジュール、前記複数のコンタクタ、及び前記故障ループを制御するように制御プログラムが構成され、状態機械が前記制御プログラムによって実装され、前記バッテリモジュールが前記中央コントローラから前記高速バスを介して前記故障ループまで接続され、中断故障が検出されると、前記中央コントローラが前記交流バッテリを安全動作状態に変更するように構成され、前記変更することが、「バイパス」スイッチング状態を取るように前記高速バスを介して各バッテリモジュールに要求することと、各コンタクタにおいてそれぞれの安全スイッチング位置を命令することと、最後に前記中央コントローラを切断することとを含む、システム。

【請求項7】

前記中断故障が、以下のリスト：断線、故障ループがトリガを運んでいること、及び前記中央コントローラに接続されたＣＡＮバスが不適切な動作状態を指示していること、のうちのいずれかのイベントの場合に存在する、請求項６に記載のシステム。

【請求項8】

電流センサとマイクロプロセッサを有するモジュールコントローラとが各バッテリモジュールに配置され、前記モジュールコントローラは、前記中断故障が検出されると前記故障ループに前記トリガを渡すように構成される、請求項６又は７に記載のシステム。

【請求項9】

前記交流バッテリが、以下のリスト：
低電圧ＤＣ／ＤＣコンバータ、及び前記トラクション機構のそれぞれの相電流のための電流センサ
のうちから前記故障ループに接続される少なくとも１つの周辺ユニットを有し、前記少なくとも１つの周辺ユニットが前記故障ループに接続され、前記少なくとも１つの周辺ユニットは、中断故障が検出されると前記故障ループに前記トリガを渡すように構成される、請求項６～８のいずれか一項に記載のシステム。

【請求項10】

前記ハードウェアプログラマブルプロセッサユニットがＦＰＧＡであり、前記状態機械が前記少なくとも１つのマイクロプロセッサコア上で前記制御プログラムによって実装される、請求項６～９のいずれか一項に記載のシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、電気自動車のトラクションシステムにエネルギーを供給するために使用される交流バッテリの安全コンセプトのための方法に関する。また、本方法が実行されるシステムも提示する。

【背景技術】

【0002】

電気自動車では、トラクションシステムにエネルギーを供給するために交流バッテリが使用され、トラクション機構に交流電流を供給するための１つ又は複数の位相は、直流電圧源の接続を連続的に変えることによってもたらされる。交流電源内でのケーブル断線などの故障が発生した場合には、トラクションシステムを安全状態に変更できなければならない。このようなタスクは、例えば、トラクションシステムのコントローラによって、特に交流バッテリのコントローラによって、様々なコンポーネントどうしを電気的に遮断したり接続したりする目的でトラクションシステムの内部に配置されたコンタクタを介して実行され得る。

【0003】

（特許文献１）には、電気自動車で使用されるエネルギーを貯蔵するためのシステム及び方法が含まれる。システムは、それぞれの制御可能なスイッチを介して互いに独立に車両のエネルギー供給源に接続され得るバッテリストリングを備える。

【0004】

（特許文献２）は、バッテリ制御モジュール及びコントローラを記載している。バッテリ制御モジュールが一定の時間間隔でバッテリの充電状態を出力する一方で、コントローラは、充電状態に関する通知がない場合に、バッテリと電気的ドライブトレーンとの間の電力の流れを制限値に制限するように構成される。この場合、制限値は推定された充電状態から得られる。

【0005】

（特許文献３）は、負荷時にバッテリとトラクションシステムとの間の供給を遮断するためのシステム及び方法を開示している。システムは、この目的のために開放され得る少なくとも１つのコンタクタを備える。

【0006】

電気自動車の動作中には、様々なトラクションシステムの動作状態が望まれることがあり、そのような動作状態では、交流バッテリ、トラクション機構、及び接続周辺機器の様々な接続が必要とされる。コンタクタ及びバッテリモジュールの制御に課せられる要件は、それぞれの動作状態においてトラクションシステムのコンポーネントのそれぞれのハードウェア接続、ハザード及びリスクの解析、並びに機能的安全性規制から生じ、それぞれの動作状態には安全コンセプトが必要である。

【先行技術文献】

【特許文献】

【0007】

【特許文献1】米国特許出願公開第２０１７／００５３７１Ａ１号明細書

【特許文献2】米国特許出願公開第２０１８／０１３４２７９Ａ１号明細書

【特許文献3】米国特許出願公開第２０１７／０１２０７７０Ａ１号明細書

【発明の概要】

【発明が解決しようとする課題】

【0008】

上記の背景に鑑み、本発明の目的は、交流バッテリの安全コンセプトのための方法を提供することであり、本方法では、トラクション機構のための交流バッテリに対して電力を供給するための割り込み要求があった場合に、交流バッテリが安全状態に変更される。また、本方法が実行されるシステムを提示することも意図されている。

【課題を解決するための手段】

【0009】

上記の目的を達成するために、交流バッテリの安全コンセプトのための方法が提案され、本方法では、交流バッテリが、トラクション機構に接続され、及び中央コントローラと、少なくとも１つのストリングに配置され、複数のスイッチング状態を有するパワー基板をそれぞれ有する複数のバッテリモジュールと、複数のコンタクタと、複数の電流センサと、故障ループと、高速バスとを備える。中央コントローラは、少なくとも１つのマイクロプロセッサコアを有するハードウェアプログラマブルプロセッサユニットを有する。このハードウェアプログラマブルプロセッサユニット上で、バッテリモジュール、複数のコンタクタ、及び故障ループを制御するように制御プログラムが構成される。この場合、状態機械が制御プログラムによって実装され、バッテリモジュールが中央コントローラから高速バスを介して故障ループまで接続される。中断故障が検出されると、各コンタクタがそれぞれの安全スイッチング位置を取ることによって、及び中央コントローラが最終的に切断されることによって「バイパス」スイッチング状態を取るように、中央コントローラによって高速バスを介して各バッテリモジュールに要求することによって、交流バッテリが中央コントローラによって安全動作状態に変更される。各バッテリモジュールに対して「バイパス」スイッチング状態を取るように要求することと、各コンタクタに対してそれぞれの安全スイッチング位置を取るように要求することとは、同時に行われ得る。これは、各バッテリモジュールに要求して「バイパス」スイッチング状態を取ることが、例えばマイクロ秒単位で行われ、コンタクタは、例えば１０ミリ秒超の時間範囲で制御されるためである。そうすると、状態機械は安全動作状態に留まり、この安全動作状態からは再起動によってしか離脱することができない。これにより、好都合なことに、機能的安全仕様が考慮される。

【0010】

中断故障は交流バッテリにおけるイベントであり、中断故障が存在する場合には、交流バッテリ及びそのコンポーネントは直ちに安全状態に変更されなければならない。

【0011】

好都合なことに、ハードウェアプログラマブルプロセッサは完全に試験可能であるため、各種試験によって不適切な制御動作を事前に排除することができる。ハードウェアプログラマブルプロセッサを用いることにより、本発明による方法は、それぞれのコンタクタスイッチング状態、すなわち開閉をトラクションシステムのそれぞれの動作状態にいつでも確実に割り当て、ひいては、ハザード及びリスクの分析並びに機能的安全性が制御されたトラクションシステムに課しているすべての安全要件を遵守する。

【0012】

それぞれのコンタクタにおいて、それぞれの安全スイッチング位置が異なり得る。したがって、いわゆる能動短絡回路コンタクタ、つまりトラクション機構の能動短絡回路のコンタクタの場合、安全スイッチング位置は、トラクション機構の相を短絡するために、当業者には「常閉」又は「常閉接点」とも呼ばれる閉スイッチング位置になる。対照的に、バッテリモジュールストリングと充電接続との間のコンタクタでは、安全スイッチング位置は、電気的接続を遮断するための開スイッチング位置を意味する。

【0013】

特に、時間的に調整する必要があり、且つそれぞれの動作状態に応じて調整する必要がある複数のコンタクタを制御するためには、本発明による方法によるプログラムによるハードウェア実装が好都合である。これは、プログラムによって制御された車両システム全体に、及び／又はプログラムによって制御された交流バッテリ、例えば、シリアル及びパラレル接続のモジュール型マルチレベルコンバータに状態機械を適合させること（例えば、Ｇｏｅｔｚ，Ｓ．Ｍ．；Ｐｅｔｅｒｃｈｅｖ，Ａ．Ｖ．；Ｗｅｙｈ，Ｔ．，“Ｍｏｄｕｌａｒ Ｍｕｌｔｉｌｅｖｅｌ Ｃｏｎｖｅｒｔｅｒ Ｗｉｔｈ Ｓｅｒｉｅｓ ａｎｄ Ｐａｒａｌｌｅｌ Ｍｏｄｕｌｅ Ｃｏｎｎｅｃｔｉｖｉｔｙ：Ｔｏｐｏｌｏｇｙ ａｎｄ Ｃｏｎｔｒｏｌ，”Ｐｏｗｅｒ Ｅｌｅｃｔｒｏｎｉｃｓ，ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ， ｖｏｌ．３０，ｎｏ．１，ｐｐ．２０３，２１５，２０１５．ｄｏｉ：１０．１１０９／ＴＰＥＬ．２０１４．２３１０２２５で説明されている）が、容易であり複雑ではなく、純粋にプログラムによって行われ得るためである。

【0014】

それぞれのバッテリモジュールにおいて、「バイパス」スイッチング状態とは、それぞれのバッテリモジュール接続に電流が流れたときに、それぞれのバッテリモジュールに配置されたそれぞれのエネルギー貯蔵素子がバイパスされるように、それぞれのパワー基板のスイッチが切り替えられることを意味する。より正確には、２つの入力接続及び２つの出力接続を有するそれぞれのバッテリモジュールの構成の場合、「バイパス」スイッチング状態の取り方は２つ考えられ、本明細書では「バイパス＋」及び「バイパス－」と呼ぶ。「バイパス＋」の場合、それぞれのバッテリモジュールの２つの入力及び出力接続間の割り当てにおいて極性が保持され、「バイパス－」の場合は極性が入れ替わる。ここで「バイパス」スイッチング状態とは、単にそれぞれのエネルギー貯蔵素子をバイパスすることではなく、すべてのバッテリモジュールが「バイパス－」若しくは「バイパス＋」のいずれかに接続されること、又はすべてのバッテリモジュールが並列に接続され、トラクション機構に最も近いバッテリモジュールのみが（各相又はモジュールストリングごとに）「バイパス－」若しくは「バイパス＋」のいずれかとして接続されることのいずれかを意味する。

【0015】

本発明による方法の一実施形態では、中断故障は、断線、故障ループがトリガを運んでいること、及び中央コントローラに接続されたＣＡＮバスが不適切な動作状態を指示していることのうちのいずれかのイベントが存在する場合に取得される。

【0016】

それぞれの動作状態は、例えば、「アイドル」又は静止状態、モータ運転、直流電圧充電、交流電圧充電、スイッチオフから選択され得る。「アイドル」動作状態は安全状態であり、つまり、コンタクタを介した能動短絡回路が既に存在する。ＣＡＮバスが不適切な動作状態を指示している場合、故障メッセージがＣＡＮバスに報告され、いわゆる「ソフトシャットダウン」が開始される。しかしながら、このプロセスを通常の故障として処理することも可能である（プレイプロテクション）。

【0017】

いわゆる「急停止」の場合に実現される安全動作状態を取るのは、「モータオフ」動作状態の場合のみであり得る。これらの動作状態間に可能な遷移条件としては、例えば、第１に、モータ制御ユニットによるトルクの指定が失敗したという事実（ＣＡＮメッセージが監視される）、又は、例えば、第２に、モータ制御システムが要求されたトルク又は要求された速度を達成できない（例えば、モータ制御ユニットが事前に定義された限界を無視したため）という事実があり、この場合、遷移条件は短い時間枠でのみ許容され、その後直ちに「急停止」が開始される。この場合、「急停止」はゼロトルク制御に対応する。状態機械のコマンドチェーンにおいて、ユーザが追加で介入する必要はない。

【0018】

交流バッテリの安全動作状態に到達した後、運転動作を再開するためには、モータ制御システムは、まずゼロ値のトルク、つまりゼロトルクに設定されなければならない。この場合、トラクション機構では交流バッテリによっていかなるトルクも供給されておらず、電気自動車は停止している。「急停止」から「モータ」動作状態に戻るためには、第１に、モータ制御システムのそれぞれの入力パラメータがそれぞれ有効範囲にあるという条件と、第２に、モータ制御ユニットからのＣＡＮメッセージが存在するという条件と、第３に、車両の速度がゼロであるという条件と、第４に、いわゆる致命的なエラー（ＩＲＱ）がトリガされていないという条件とをすべて満たさなければならない。

【0019】

この場合に本発明による方法を実行する際の重要な機能として、中央コントローラにおいては、高速バスを介してそれぞれの制御コマンドを伝達する制御プログラムのサブプログラムが挙げられる（以下、ＨＳＢ＿ＣＭＤ＿ＴＸと呼ぶ）。ＨＳＢ＿ＣＭＤ＿ＴＸは、例えば、ＶＨＤＬでＩＰコアとしてプログラムされ、ハードウェアプログラマブルプロセッサユニット上で実行される。そのため、ＨＳＢ＿ＣＭＤ＿ＴＸは、故障ループにおいて中断故障を示すトリガの発生を監視する。トリガは、例えば、無故障時に、ある電圧を有する故障ループの遮断（スイッチの開放）などによる故障ループにおける電圧降下によって示すことができ、スイッチはセンサによって制御される。この目的のために、ＨＳＢ＿ＣＭＤ＿ＴＸは、ハードウェアプログラマブルプロセッサユニットに故障ループのための入力を提供する。更に、ＨＳＢ＿ＣＭＤ＿ＴＸは、ハードウェアプログラマブルプロセッサユニットに、更なる監視動作のためのトリガ信号入力、及び／又は更なるトリガ入力として少なくとも１つのマイクロプロセッサコアに対するソフトウェアインターフェースを提供し得る。上述のトリガ信号入力のうちの１つが中断故障を示す場合、いわゆる中断故障のビットがＨＳＢ＿ＣＭＤ＿ＴＸから（すべてのバッテリモジュールに）ブロードキャストメッセージにおいて設定され、その結果、すべてのバッテリモジュールが同時に「バイパス」スイッチング状態に変更される。中断故障がバッテリモジュールの複数のストリング（例えば、３相電流の場合は３つ）のうちの個々のストリングにおいて発生した場合、このことは、その個々のストリングにおける中断故障が、交流バッテリの安全動作状態に関してすべてのストリングに反映され得るメカニズムを示す。反対に、マイクロプロセッサコアへの割り込みも、中断故障が発生した場合と同様の挙動となり、交流バッテリが安全動作状態に移行され、マイクロプロセッサコア上で実装された状態機械も、例えば故障状態に制御され、再びスイッチが入らないように保護されて、再起動が必要となる。

【0020】

中断故障が発生したときの中央コントローラのシナリオとしては、「バイパス」ブロードキャストメッセージをすべてのバッテリモジュールに送ることが考えられる。好都合なことに、このことは、それぞれのスイッチング位置が「バイパス」ブロードキャストメッセージを用いてすべてのバッテリモジュールに同時に送信されること、つまり、すべてのバッテリモジュールが、例えば「バイパス－」若しくは「バイパス＋」のいずれかとして接続されるか、又はすべてのバッテリモジュールが並列に接続され、トラクション機構に最も近いバッテリモジュールのみが（各相又はモジュールストリングごとに）「バイパス－」若しくは「バイパス＋」のいずれかとして接続されることを意味する。交流バッテリのストリングとトラクション機構との間の接続におけるコンタクタが（交流バッテリをトラクション機構から切り離すために）開かれ、能動短絡回路コンタクタがこの目的のために時間遅延を伴って閉じられる。状態機械では、緊急遮断動作後の最終状態である「ＭＯＴＯＲ ＦＡＵＬＴ」状態が取られる。この状態は、後にユーザの介入によりパワーオンリセットコマンドを用いて強制的に再起動させるために、シャットダウンするコマンドによってのみ維持される。ユーザの介入は、例えば、ＣＡＮを介したシャットダウン信号である。

【0021】

本発明による方法の別の実施形態では、中央コントローラの本質的な安全は、以下のシナリオにおいてトラクションシステムのシャットダウンを引き起こすことによって実現される。
・即時シャットダウンが入力信号によって要求される、
・ゼロトルクが不適切に報告される、
・中断故障が故障ループの監視から推測される、
・トラクション機構の相電流の測定センサが中断故障を出力する、
・少なくとも２つの測定センサ、例えばトラクション機構の電流センサの妥当性チェックが中断故障を出力する、
・追加的に配置されたＤＣ／ＤＣコンバータが中断故障を出力する。

【0022】

本発明による方法の更に別の実施形態では、中断故障は以下の事実によって定義される。
・すべての電流センサが故障する、
・１つの電流センサを除くすべての電流センサが故障する、
・相電流トリップに関連して少なくとも１つのヒューズが飛ぶ、
・トラクション機構のロータの回転角度を測定するリゾルバが故障する、又は妥当性監視によって判定され得る、若しくは判定される信号による不適切なロータ位置、
・それぞれの相電流が許容範囲を外れている（例えば、断線の結果として）、
・トラクション機構への電力の流れが許容範囲を外れている。

【0023】

本発明による方法の更なる実施形態では、電流センサとマイクロプロセッサを有するモジュールコントローラとが各バッテリモジュールに配置される。モジュールコントローラは、中断故障が検出されると故障ループにトリガを渡す。このトリガにより、交流バッテリは安全状態に変更され、トリガを引き起こしたバッテリモジュールのモジュールコントローラは直ちに「バイパス－」スイッチング状態を実施し、他のすべてのバッテリモジュールは現在の状態を維持し、次のサイクルで更にコマンドを発行することなく「バイパス－」スイッチング状態に同様に変更される。中央コントローラ又はＨＳＢ＿ＣＭＤ＿ＴＸのＩＰコアがこの故障を検出し、それを他の相又はモジュールストリングに反映させる。次いで、中央コントローラは、各ブロードキャストメッセージにおいてすべてのモジュールに故障を同期的に送信する。すると、モジュールコントローラが、モジュール制御ソフトウェアが実装されるハードウェアプログラマブルプロセッサユニットを有することができる。また、モジュール状態機械は、モジュール制御ソフトウェアで実装されてもよい。

【0024】

この場合に本発明による方法を実行する際の重要な機能として、各バッテリモジュールにおいては、モジュールコントローラに実装され、高速バスを介してそれぞれの制御コマンドを受信又は実行するプログラム部分が挙げられ、このプログラム部分（以下、ＨＳＢ＿ＣＭＤ＿ＲＸと呼ぶ）は、ＶＨＤＬでＩＰコアとして実装され、且つＦＰＧＡ上で実行される。ＨＳＢ＿ＣＭＤ＿ＲＸは高速バスに接続され、例えば、中央コントローラのＨＳＢ＿ＣＭＤ＿ＴＸからブロードキャストメッセージを受信することができ、ブロードキャストメッセージには、いわゆる中断故障のビットが設定される。次いで、このことにより、ＨＳＢ＿ＣＭＤ＿ＲＸが各バッテリモジュールのモジュールコントローラに連絡され、そしてモジュールコントローラは、各バッテリモジュールを保護されたスイッチング状態、例えば「バイパス－」に移行させる。

【0025】

それぞれのバッテリモジュールが保護されたスイッチング状態に変更されるために可能なシナリオは、２つの可能な初期状態について次のようになる。すなわち、第１の初期状態では、それぞれのモジュールコントローラは作動していない、又は現在再起動中である、又は完全に起動していない。この場合、それぞれのバッテリモジュールは本質的に「ＰＡＳＳＩＶＥ」状態、つまり、バッテリモジュールのすべてのスイッチが非導電状態にある。隣接するバッテリモジュールは切り離され、それぞれのモジュールストリングのトラクション機構には電流が流れない。このような状態は、トラクション機構が停止している場合にのみ安全であり、このとき誘導電圧は発生しない。第２の初期状態では、それぞれのモジュールコントローラ（ここでは、制御基板を略して「ＣＢ」）が完全に起動しており、モジュール制御ソフトウェアによって制御される。ここで、モジュール制御ソフトウェアによって実装されたモジュール状態機械は、次のような状態遷移を有し得る。
・「ＰＯＲ」（「パワーオンリセット（Ｐｏｗｅｒ－Ｏｎ－Ｒｅｓｅｔ）」の略）状態の後に取られていた「ＣＢ＿ＩＮＩＴ」状態から「バイパス－」状態に変化している。
・中断故障の発生を意味する「ＣＢ＿ＥＲＲＯＲ」状態から「バイパス－」状態に変化している。
・「ＣＰ＿ＲＵＮ」状態からは、受信されるブロードキャストメッセージの内容に応じて、故障ループがトリガを運んでいない限り（ここでは「故障ループがトップである」とも言う）、措置が取られる。
・中央コントローラからのシャットダウンコマンド後に取られていた「ＣＢ＿ＳＨＵＴＤＯＷＮ」状態から「ＢＹＰＡＳＳ－」状態に変更される。この状態から、最終的に「ＰＡＳＳＩＶＥ」状態に変更され、システムがシャットダウンされる。

【0026】

したがって、モジュール状態機械のすべての可能な状態から、最終的に「ＢＹＰＡＳＳ－」状態が実現される。

【0027】

本発明による方法の更に別の実施形態では、交流バッテリは、以下のリスト：低電圧ＤＣ／ＤＣコンバータ、トラクション機構のそれぞれの相電流のための電流センサ、及び充電プラグのうちから、少なくとも１つの周辺ユニットを有する。少なくとも１つの周辺ユニットは故障ループに接続される。少なくとも１つの周辺ユニットは、中断故障が検出されると故障ループにトリガを渡す。トリガはまた、無故障時には、ある電圧レベルの電圧信号を故障ループが運び、故障が発生すると、例えば故障が発生したバッテリモジュールの故障ループが遮断され、その結果、故障ループの電圧信号が中央コントローラにおいて０Ｖに降下するという事実によって形成され得る。絶縁監視装置は、中断故障をもたらすことはないが、スイッチが（再び）入るのを防ぐことができる更なる周辺ユニットである。

【0028】

本発明による方法の続く更なる実施形態では、ハードウェアプログラマブルプロセッサユニットとしてＦＰＧＡが選択され、状態機械が少なくとも１つのマイクロプロセッサコア上で制御プログラムによって実装される。ＦＰＧＡは「フィールドプログラマブルゲートアレイ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）」の略語である。本発明によるコンタクタ制御を有する電気自動車を起動するとき、例えば、それぞれのプロセッサのプログラミングがＦＰＧＡ上で構成でき、このプログラミングはハードウェア実装とみなされ、したがって安全に実行され得る。動作開始時には、制御プログラムは、ハードウェアプログラマブルプロセッサユニット上でプログラムローダによって構成される。動作開始時にハードウェアプログラマブルプロセッサユニットに制御プログラムをそれぞれ新たに供給するプログラムローダは、例えば、ファーストステージブートローダ（ＦＳＢＬと略す）であってもよい。

【0029】

本発明による方法の続く更なる実施形態では、それぞれのバッテリモジュール又はそのモジュールコントローラの本質的な安全性は、次の理由により（それぞれの）モジュールコントローラへの入力信号が中断故障を示すシナリオによって達成される。
・電流センサがＲＳ４８５インターフェースを介して故障メッセージを発する
・電流センサが接続の遮断を判定する
・規定範囲外の電圧値が判定される
・所定の温度範囲を超えた（例えば、８６℃超）と温度センサが判定する
・ＨＳＢ＿ＣＭＤ＿ＲＸ（ＩＰコア）が機能持続時間（定期的に送信される信号の「タイムアウト」）を超える
・ウォッチドッグ又はその測定センサが短時間の電圧降下を判定する（ウォッチドッグ電圧降下検出）

【0030】

交流バッテリの安全コンセプトのためのシステムも特許請求の範囲に記載され、本システムでは、交流バッテリが、中央コントローラと、複数のスイッチング状態を有するパワー基板をそれぞれ有する複数のバッテリモジュールと、複数のコンタクタと、複数の電流センサと、故障ループと、高速バスとを備え、及びトラクション機構に接続される。中央コントローラは、少なくとも１つのマイクロプロセッサコアを有するハードウェアプログラマブルプロセッサユニットを有する。ハードウェアプログラマブルプロセッサユニット上で、バッテリモジュール、複数のコンタクタ、及び故障ループを制御するように制御プログラムが構成され、状態機械が制御プログラムによって実装される。バッテリモジュールは、中央コントローラから高速バスを介して故障ループまで接続される。この場合、中断故障が検出されると、中央コントローラは交流バッテリを安全動作状態に変更するように構成される。このことは、「バイパス」スイッチング状態を取るように高速バスを介して各バッテリモジュールに要求することと、各コンタクタにおいてそれぞれの安全スイッチング位置を命令することと、最後に中央コントローラを切断することとを含む。

【0031】

本発明によるシステムの一構成では、中断故障は、以下のリスト：断線、故障ループがトリガを運んでいること、及び中央コントローラに接続されたＣＡＮバスが不適切な動作状態を指示していること、のうちのいずれかのイベントの場合に存在する。

【0032】

本発明によるシステムの別の構成では、中央コントローラが故障ループを備え、各モジュールが更なる故障ループを備え、ある相のすべてのモジュールが中央コントローラの対応する相に接続される。加えて、中央コントローラの３つの相は、ＨＳＢ＿ＣＭＤ＿ＲＸ（ＩＰコア）を介して接続され、したがって一緒にシステム全体にわたって故障ループを形成する。

【0033】

本発明によるシステムの更なる構成では、電流センサとマイクロプロセッサを有するモジュールコントローラとが各バッテリモジュールに配置される。この場合、モジュールコントローラは、中断故障が検出されると故障ループにトリガを渡すように構成される。

【0034】

本発明によるシステムの更に別の構成では、交流バッテリは、以下のリスト：低電圧ＤＣ／ＤＣコンバータ、及びトラクション機構のそれぞれの相電流のための電流センサのうちから故障ループに接続される少なくとも１つの周辺ユニットを有する。この場合、少なくとも１つの周辺ユニットが故障ループに接続される。加えて、少なくとも１つの周辺ユニットは中断故障が検出されると故障ループにトリガを渡すように構成される。

【0035】

本発明によるシステムの続く更なる構成では、ハードウェアプログラマブルプロセッサユニットがＦＰＧＡであり、状態機械が少なくとも１つのマイクロプロセッサコア上で制御プログラムによって実装される。

【0036】

本発明の更なる利点及び構成は、説明及び添付の図面から明らかになる。

【0037】

当然のことながら、上述の特徴及び以下に説明する特徴は、本発明の範囲を逸脱することなしに、それぞれの記載された組み合わせだけではなく、他の組み合わせでも単独でも使用され得る。

【図面の簡単な説明】

【0038】

【図1】本発明によるシステムの１つの構成における、中断故障を処理するための中央コントローラのブロック図である。

【図2】本発明によるシステムの更なる構成における、中断故障を処理するためのモジュールコントローラのブロック図である。

【発明を実施するための形態】

【0039】

図１は、本発明によるシステムの１つの構成における、中断故障を処理するための中央コントローラ１００のブロック図を示しており、参照符号１０３の矢印で示される中央コントローラ上でプロセス１０１、１０２が行われ、参照符号１０４の矢印で示される制御基板に信号が送信される（１３４、１４３）。中央コントローラ１００の少なくとも１つの専用マイクロプロセッサ上のプロセス１０１は、オンチップ温度監視１１０、電流センサチェック１１１、エラーライン導体遮断検出１１２、ＨＳＢ＿Ｄａｔａタイムアウト監視１１３などの監視装置によって形成される。つまり、データを送信するための高速バスにおいて信号送信時間の超過を監視し、中断故障をトラクションシステム状態機械１１４に報告する。また、ＨＳＢ＿ＣＭＤブロック１２７によってトリガされた致命的なエラーＩＲＱ１１５がトラクションシステム状態機械１１４に報告され得る。次いで、トラクションシステム状態機械１１４は、ＨＳＢ＿ＣＭＤブロック１２７に中断故障を報告する。ハードウェアプログラマブルプロセッサユニット１０２（ここではＦＰＧＡ）上のプロセスは、同期ＡＤＣ１２０及び「ＡＤＣ＿ＲＡＷが所定範囲内にある」１２１などのアナログ／デジタルコンバータを有するブロックによって行われ、また、スケーラ１２２、リゾルバ／デコーダ１２３、永久磁石式同期モータコントローラ１２４、デルタシグマ変調器１２５、及びスケジューラなどのブロックで行われ、これらが中断故障をＨＳＢ＿ＣＭＤブロック１２７に報告する。また、ＨＳＢ＿ＣＭＤブロック１２７は、「ＡＤＣ＿ＲＡＷ信号が所定範囲内にある」ブロック１２１、零相電流／リゾルバ１２８、及び飽和／電力制限ブロック１２９から、このような中断故障メッセージを直接受信する。ＨＳＢ＿ＣＭＤブロック１２７は、例えば、すべてのバッテリモジュールが接続されている制御基板にＨＳＢ＿ＣＭＤ１３４としてコマンドを送信し、制御基板に接続されている故障ループ１４３を監視する。

【0040】

図２は、本発明によるシステムの更なる構成における、中断故障を処理するためのモジュールコントローラ２００のブロック図を示しており、参照符号２０３の矢印で示されるモジュールコントローラ上でプロセス２０１、２０２が行われ、参照符号２０４の矢印で示される制御基板に、又はこの制御基板への電気接続に信号が送信される（２３４、２４３）。モジュールコントローラ２００の少なくとも１つの専用マイクロプロセッサ上のプロセス２０１は、オンチップ温度監視２１０、電流センサ導体遮断検出２１１、及び「電流センサ閾値が信号に到達」ブロック２１２などの監視装置によって形成され、中断故障をモジュール状態機械２１３に報告する。次いで、モジュール状態機械２１３は、バッテリモジュールのＨＳＢ＿ＣＭＤブロック２２１に中断故障を報告する。また、モジュールコントローラ２００のハードウェアプログラマブルプロセッサユニット２０２（例えば、ここではＦＰＧＡ）上のプロセスでは、中断故障がバッテリモジュールのＨＳＢ＿ＣＭＤブロック２２１に「不足電圧／過電圧検出」モジュールによって報告される。バッテリモジュールのＨＳＢ＿ＣＭＤブロック２２１は、ＨＳＢ＿ＣＭＤ２３４としてコマンドを受信し、故障ループ２４３に接続される。

【符号の説明】

【0041】

２００ 制御基板の故障の処理
２０１ モジュールコントローラのマイクロプロセッサ上のプロセス
２０２ ＦＰＧＡモジュールコントローラ上のプロセス
２０３ 中央コントローラ上のプロセス
２０４ モジュールコントローラから制御基板へ
２１０ オンチップ温度監視
２１１ 電流センサ導体遮断検出
２１２ 電流センサ閾値が信号に到達
２１３ モジュール状態機械
２２０ 不足電圧／過電圧検出モジュール
２２１ ＨＳＢ＿ＣＭＤ
２３４ 制御基板からのＨＳＢ＿ＣＭＤ
２４３ 制御基板へのエラーライン
１００ 中央コントローラ
１０１ 中央コントローラのマイクロプロセッサ上のプロセス
１０２ ＦＰＧＡ中央コントローラ上のプロセス
１０３ 中央コントローラ上のプロセス
１０４ 中央コントローラから制御基板へ
１１０ オンチップ温度監視
１１１ 電流センサチェック
１１２ エラーライン導体遮断検出
１１３ ＨＳＢ＿Ｄａｔａタイムアウト監視
１１４ トラクションシステム状態機械
１１５ 致命的エラーＩＲＱ
１２０ 同期ＡＤＣ
１２１ ＡＤＣ＿ＲＡＷが範囲内である
１２２ スケーラ
１２３ リゾルバ／デコーダ
１２４ 永久磁石式同期モータコントローラ
１２５ デルタシグマ変調器
１２６ スケジューラ
１２７ ＨＳＢ＿ＣＭＤブロック
１２８ 零相電流／リゾルバ
１２９ 飽和／電力制限
１３４ 制御基板へのＨＳＢ＿ＣＭＤ
１４３ 制御基板の故障ループ

【図1】

【図2】