(57)【要約】  本発明は、プログラミング及び／又は回路の点で、通常動作に関連する多数のセンサ／アクチュエータシステム（１１ａ、ｂ）を制御するように設計されており、通常動作に関連するセンサ／アクチュエータシステム（１１ａ、ｂ）は、通常の動作中の燃料電池装置（２）の動作状態に関する、動作制御モジュール（１７）を有し、かつ、プログラミング及び／又は回路の点で、安全関連センサ／アクチュエータシステム（１０ａ、ｂ）を制御するように設計されており、安全関連センサ／アクチュエータシステム（１０ａ、ｂ）は燃料電池装置（２）の安全機能に関する、安全制御モジュール（１６）を有し、安全制御モジュール（１６）は、動作制御モジュール（１７）に対して自律的に動作する集合部の形態である、燃料電池装置（２）用の制御装置（３）を提案する。
2009535769.tif 000002
【特許請求の範囲】
【請求項１】
燃料電池装置（２）用の制御装置（３）であって、
動作制御モジュール（１７）を有し、その動作制御モジュール（１７）は、プログラム技術及び回路技術に関して、複数の通常動作関連センサシステム（１１ａ）及びアクチュエータシステム（１１ｂ）を制御するように設計され、前記通常動作関連センサシステム（１１ａ）及びアクチュエータシステム（１１ｂ）は通常の動作中の燃料電池装置（２）の動作状態に関係するものであり、
さらに、安全制御モジュール（１６）を有し、その安全制御モジュール（１６）は、プログラム技術及び回路技術に関して、安全関連センサシステム（１０ａ）及びアクチュエータシステム（１０ｂ）を制御するように設計され、前記安全関連センサシステム（１０ａ）及びアクチュエータシステム（１０ｂ）は、前記燃料電池装置（２）の安全機能に関係するものであり、
前記安全制御モジュール（１６）が、前記動作制御モジュール（１７）に対して自律的に動作する集合部として供されることを特徴とする制御装置（３）。
【請求項２】
前記安全制御モジュール（１６）が、前記燃料電池装置（２）の前記安全関連センサシステム（１０ａ）及びアクチュエータシステム（１０ｂ）のほとんど又は全てを制御するように設計されることを特徴とする請求項１に記載の制御装置デバイス（３）。
【請求項３】
前記安全制御モジュール（１６）が、他の制御モジュール（４、１７）との通信が中断されるか障害がある場合に、前記安全関連センサシステム（１０ａ）及びアクチュエータシステム（１０ｂ）を制御するように設計されることを特徴とする請求項１あるいは２に記載の制御装置（３）。
【請求項４】
前記安全制御モジュール（１６）が、電子安全システムとして供されることを特徴とする請求項１〜３のいずれか一項に記載の制御装置（３）。
【請求項５】
前記安全制御モジュール（１６）が、前記安全関連センサシステム（１０ａ）及びアクチュエータシステム（１０ｂ）の前記センサ（７ａ、ｂ）及びアクチュエータ（８ａ、ｂ）を接続するためのインターフェース（５ａ、ｂ、６ａ、ｂ）を有することを特徴とする請求項１〜４のいずれか一項に記載の制御装置（３）。
【請求項６】
前記インターフェース（５ａ、ｂ、６ａ、ｂ）が、前記センサ（７ａ、ｂ）又はアクチュエータ（８ａ、ｂ）に個別に割り当てられることを特徴とする請求項５に記載の制御装置（３）。
【請求項７】
前記安全制御モジュール（１６）及び／又は前記動作制御モジュール（１７）が、バスシステム（１２）を介して互いに通信し、及び／又は、移動装置（１）の開ループ制御を実行するように設計される中央制御ユニット（４）と通信することを特徴とする請求項１〜６のいずれか一項に記載の制御装置（３）。
【請求項８】
前記安全関連センサシステム（１０ａ）及びアクチュエータシステム（１０ｂ）と前記安全制御モジュール（１６）との間の通信が前記バスシステム（１２）から独立して行われることを特徴とする請求項７に記載の制御装置（３）。
【請求項９】
前記安全関連センサシステム（１０ａ）及びアクチュエータシステム（１０ｂ）が、
温度センサ、圧力センサ、ガスセンサ、伝導度センサ、電流センサ、電圧センサ、絶縁測定部、安全ループ、メインコンタクタ、バルブ、モータ、ヒューズ、半導体スイッチ及び／又はリレーのうちの少なくとも１つを含むことを特徴とする請求項１〜８のいずれか一項に記載の制御装置（３）。
【請求項１０】
前記安全制御モジュール（１６）が、ハードウェア回路を備える複数マイクロプロセッサシステムとして供され、前記動作制御モジュール（１７）が１つのマイクロプロセッサシステムとして供されることを特徴とする請求項１〜９のいずれか一項に記載の制御装置（３）。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、プログラム技術及び／又は回路技術の点で複数の通常動作関連センサシステム／アクチュエータシステムを制御するように設計される動作制御モジュールであって、通常動作関連センサシステム／アクチュエータシステムは、通常の動作中の燃料電池装置の動作状態に関する、動作制御モジュールと、プログラム技術及び／又は回路技術の点で安全関連センサシステム／アクチュエータシステムを制御するように設計される安全制御モジュールであって、安全関連センサシステム／アクチュエータシステムは、燃料電池装置の安全機能に関する、安全制御モジュールを有する燃料電池装置用制御装置に関する。
【背景技術】
【０００２】
燃料電池装置は、道路交通車両への動力供給の将来的な代替物として見込まれている。なぜなら、燃料電池装置を使用することによって、特に排気ガスによる環境への負荷を大幅に軽減することが可能であるためである。
【０００３】
そのような燃料電池装置は、好適な制御装置を使用して開ループ及び／又は閉ループ制御が実行される必要のある複雑な技術システムを構成し、従来技術から車両用の多種多様の制御装置が知られている。
【０００４】
例えば、特許文献１には、車両の駆動伝達系用の複数のモジュールを備える開ループ制御システムが開示されており、駆動伝達系は、任意に燃料電池も含む。この開ループ制御システムでは、駆動伝達系の開ループ制御を統合するための第１のモジュール及び発電及び／又はトランスミッションを制御するための第２のモジュールを提供することを提案し、ここで、２つのモジュールを、互いに独立してプログラムすることが可能である。
【０００５】
特許文献２には、車両の駆動ユニットを制御するための制御ユニット及びコンピュータプログラムが開示されている。制御ユニットは、コンピュータプログラムが実行されるハードウェアプラットフォームを含み、車両の駆動ユニット用の開ループ制御機能、安全機能及び／又は監視機能を実装する複数のモジュールは、コンピュータプログラムで実行される。この文献は、紛れもなく本発明に最も近い従来技術を形成している。
【０００６】
【特許文献１】独国特許出願公開第１０３３６７４３Ａ１号明細書
【特許文献２】独国特許出願公開第１０  ２００４  ００８８９６Ａ１号明細書
【発明の開示】
【発明が解決しようとする課題】
【０００７】
本発明の目的は、車両における燃料電池装置の動作信頼性を支援する冒頭に述べた種類の制御装置を提供することに基づくものである。
【課題を解決するための手段】
【０００８】
この目的は、請求項１の特徴を有する制御装置によって達成される。好ましい及び／又は有利な実施形態は従属請求項、以下の説明及び／又は添付の図面に開示されている。
【０００９】
本発明による制御装置は、特に車両で使用するための燃料電池装置用に設計される及び／又はそれに好適であり、少なくとも１つの動作制御モジュール及び少なくとも１つの安全制御モジュールを含み、両制御モジュールは、それぞれプログラム技術及び／又は回路技術の点でセンサシステム／アクチュエータシステムを制御するために設計される。例えば、デジタル及び／又はアナログ形式の測定信号式が制御モジュールに１つ以上のセンサシステムを介して送信される場合に、センサシステム／アクチュエータシステムの制御をもたらし、測定信号は、開ループ又は閉ループ制御に基づいて制御モジュールにおいて処理され、開ループ又は閉ループ制御の結果、作動信号が、割り当てられたアクチュエータシステムに同様にデジタル及び／又はアナログ形式で送信される。
【００１０】
制御装置の構成が明瞭である場合は、制御されたセンサシステム／アクチュエータシステムは好ましくは通常動作関連センサシステム／アクチュエータシステムと安全関連センサシステム／アクチュエータシステムに分割される。本明細書では、通常動作関連センサシステム／アクチュエータシステムは、通常の動作モードの燃料電池装置の閉ループ又は開ループ制御に関し、そのため、例えば、これらのセンサシステム／アクチュエータシステムによって要求に対応する発電を行う。これらのセンサシステム／アクチュエータシステムは、例えば、燃料電池に燃料油及び酸化剤を十分な量供給すること、及び燃料電池又は燃料電池装置の個々の構成部品の温度をそれぞれの動作状態に対して最適にすることを確実にする。
【００１１】
それとは対照的に安全関連センサシステム／アクチュエータシステムは、燃料電池装置を許容できない動作状態にしないことを確実にする。許容できない動作状態は、特に、燃料電池又は燃料電池装置又は燃料電池装置に接続されている構成部品に損傷を与える危険性がある場合に、発生する。そのような許容できない動作状態の例としては、例えば、燃料電池装置又はその構成部品の圧力又は温度が予め定められた安全限界値を超えることが挙げられる。
【００１２】
本発明によれば、安全制御モジュールを、動作制御モジュールに対して自律的に動作する集合部として供する。
【００１３】
本発明によるこの実施形態では、安全制御モジュールは、安全関連センサシステム／アクチュエータシステムと通信可能であり、かつそれらを動作制御モジュールから独立して制御可能である。
【００１４】
このようにするために、安全制御モジュールを、動作制御モジュールから独立しておりかつ特に別個の論理回路及び／又は１つ以上の別個の処理装置、具体的にはマイクロプロセッサ、ＤＳＰ、ＡＳＩＣ、ＦＰＧＡなどを有するハードウェアとして供する。特に、安全制御モジュールを、安全制御モジュールでのみ作動するオペレーションシステムを備える埋め込みシステムとして供する。
【００１５】
本明細書では、本発明は、他の機能集合部又は制御モジュールから独立して安全関連機能を行うことができる、電子集合部における燃料電池装置の集中安全関連機能という考えに基づいている。安全制御モジュールを、好ましくはスタンドアロンシステムとして供する。
【００１６】
これにより、他の制御モジュールとの通信が中断される又は障害がある場合でも、安全制御モジュールは自律的及び／又は独立して安全機能を確実に実施できる。
【００１７】
本発明の別の利点は、安全制御モジュールが、燃料電池装置の通常の動作モードに関するセンサシステム／アクチュエータシステムの、特に閉ループ又は開ループ制御の制御から解放されることである。燃料電池装置を動作させるために必要な構成部品が多いために燃料電池装置の制御は非常に複雑性であるので、安全制御モジュールの安全機能を分離することは、安全機能を実施する際の反応時間及び速度を改善する。
【００１８】
安全制御モジュールを、燃料電池装置の安全関連センサシステム／アクチュエータシステムのほとんど又は全てを制御するように設計することが好ましい。この文脈においては、好ましくは全ての安全機能が安全制御モジュールにおいて実施されて、本発明は段階的に実現される。他の実施形態では、安全機能のごく一部を動作制御モジュールにおいて実施することもできる。本発明の範囲内で、複数の安全制御モジュールを使用することも可能であり、その場合、各安全制御モジュールを、自律的に動作する集合部として供する。
【００１９】
他の制御モジュール、特に動作制御モジュールとの通信が中断されているか障害がある場合でも安全機能を実施するように、安全制御モジュールを設計すると有利である。特に好ましい一実施形態では、安全制御モジュールは、初期化に必要なプログラム、データ及び／又はパラメータ全てが記憶されているメモリを有しているので、安全制御モジュールが開始する場合に、他の制御モジュールと通信する必要がない。別の実施形態では、安全制御モジュールが開始する場合に、前述のプログラム、データ及び／又はパラメータが他の制御モジュールから伝送され、その場合初期化後には、安全制御モジュールを動作させるための他の制御モジュールとの別の通信が、もはや必要ない。
【００２０】
有利な一発展形態では、安全制御モジュールを電子安全システムとして供する。安全制御モジュールは好ましくは監視機能システム、自律電源装置及び／又は非常用電源装置を含む及び／又は自律システムを開始可能とする。
【００２１】
安全制御モジュールは好ましくは安全関連センサシステム／アクチュエータシステムのセンサとアクチュエータを接続するインターフェースを有する。これらのインターフェースを例えばＣＡＮバス用のバスインターフェースとして供することが可能である。この場合、安全制御モジュールを、好ましくは同時にゲートウェイとして供するので、センサ及びアクチュエータ用のバスシステムを、安全制御モジュールが他の機能ユニット又は制御モジュールと通信する別のバスシステムから独立して設計する。
【００２２】
その代わりに又はそれに加えて、センサ及び／又はアクチュエータを個別に安全制御モジュールに接続することを提供する。この実施形態は、安全制御モジュールとセンサシステム／アクチュエータシステムとの間のデータラインの１つが故障しても、少なくとも残りのセンサシステム／アクチュエータシステムは依然として駆動し得るという利点がある。
【００２３】
本発明の一発展形態では、安全制御モジュール及び動作制御モジュールを階層的制御構造の一部として供する。
【００２４】
一実施形態では、最上の階層を、移動装置、特に車両の開ループ制御を実行するように設計される中央制御ユニットによって形成する。
【００２５】
この中央制御ユニットをバスシステムを介して、とりわけ、動作制御モジュールに接続する。中央制御ユニット及び動作制御モジュールは好ましくはマスター／スレーブの組み合わせを形成し、中央制御ユニットをマスターとして供する。バスを、例えば、ＣＡＮバス又はＳＡＥ  Ｊ  １８５０−バス又はＢＭ−ＬＡＮとして実装する。
【００２６】
安全制御モジュールを、マスターレベル又はスレーブレベルに配置し、その場合、マスターレベルでは、データ、具体的には運転パラメータを中央制御ユニットから受信し、データを例えば警告指令の形式で中央制御ユニットに伝送する。
【００２７】
この代わりは、安全制御モジュールをスレーブレベルに配置することであり、その場合、中央制御ユニットから動作指令を受信する。
【００２８】
データ、具体的には警告指令を通信し伝えるために、任意に、安全制御モジュールが、特に、バスシステムを介して動作制御モジュール及び／又は中央制御ユニットと通信することを提供する。しかしながら、既に上述したように、安全関連センサシステム／アクチュエータシステムとの通信が、バスシステム、又は安全制御モジュールと動作制御モジュールとの間の及び／又は中央制御ユニットとの間のバスシステムから独立して発生すると、有利である。
【００２９】
本発明の別の特徴、利点及び効果は、本発明による制御装置の例示された実施形態の図面の以下の説明から明らかとなる。
【発明を実施するための最良の形態】
【００３０】
図１は、燃料電池装置２、制御装置３及び中央制御ユニット４が図示され、互いに接続している車両１の概略的なブロック図である。燃料電池装置２は、例えば、ＰＥＭ設計の燃料電池である。中央制御ユニット４を、車両１の複数の機能的集合部において上位におかれた制御ユニットとして供する。
【００３１】
制御装置３に、２つの別個の集合部、具体的には動作制御モジュール１７及び安全制御モジュール１６を設ける。安全制御モジュール１６は、データライン９を経由してセンサ７ａ、７ｂ又はアクチュエータ８ａ、８ｂに一対一で接続される２つの入力端子５ａ、５ｂ及び２つの出力端子６ａ、６ｂを有する。データライン９は、一方向性又は双方向性のデータ送信用の別個のデジタルデータラインでもよい。その代わりに、データライン９又はデータライン９の一部を使用してアナログ信号を送信してもよい。共通のセンサシステム１０ａ／アクチュエータシステム１０ｂに関連するセンサ／アクチュエータの組み合わせに、共通のデータライン９によって情報技術の観点から情報を供給することも可能である。センサシステム１０ａ／アクチュエータシステム１０ｂを、それぞれセンサ７ａ及びアクチュエータ８ａ、又は７ｂ及び８ｂを組み合わせることによって形成し、センサシステム１０ａ／アクチュエータシステム１０ｂに関連する構成部品は、安全制御モジュール１６と共に、作動回路又は閉ループ制御回路を形成する。
【００３２】
同様にして、動作制御モジュール１７をセンサシステム１１ａ／アクチュエータシステム１１ｂに接続する。
【００３３】
センサシステム１０ａ／アクチュエータシステム１０ｂ及びセンサシステム１１ａ／アクチュエータシステム１１ｂの制御モジュール１６又は１７への割り当てはそれぞれ、センサシステム１０ａ、１１ａ／アクチュエータシステム１０ｂ、１１ｂの機能に基づいて実行される。安全機能を支援する安全関連センサシステム／アクチュエータシステム及び／又はセンサシステム／アクチュエータシステムは全て安全制御モジュール１６に割り当てられる。
【００３４】
安全関連センサシステム１０ａ／アクチュエータシステム１０ｂの例としては、液圧系統又は空気圧系統における圧力センサ過圧弁システムが挙げられる。
【００３５】
中央制御ユニット４を、通信ライン１２を経由して、例えば、バスラインとして、具体的にはＣＡＮバスとして供される動作制御モジュール１７に接続する。任意に、データラインを動作制御モジュール１７と安全制御モジュール１６との間及び／又は中央制御ユニット４と安全制御モジュール１６との間に設ける。
【００３６】
機能を達成する方法に関しては、動作制御モジュール１７が、燃料電池装置２を作動させるために必要な全ての閉ループ及び／又は開ループ制御プロセスを仮定する。動作制御モジュール１７は好ましくは、中央制御ユニット４からデータライン１２を経由して、上記に関する情報又は要求を受信する。中央制御ユニット４を、例えば、別のデータラインを経由して（図示せず）車両１のペダル位置を感知するセンサに接続し、実際のペダル位置を測定値として感知し、対応する必要電力を動作制御モジュール１７に伝送する。次にこの必要な電力をセンサシステム１１ａ／アクチュエータシステム１１ｂ、又は別のセンサシステム／アクチュエータシステムによって動作制御モジュール１７により実現する。
【００３７】
他方で安全制御モジュール１６は、もっぱら安全機能の監視及び維持に対して責任を負っている。安全制御モジュール１６の機能性をいかなる動作状態においても確実にするために、安全制御モジュールを任意に非常用電源１３、オペレーティングシステムのメモリ１４、安全制御モジュール１６の動作用のデータ又はパラメータと共に及び／又は監視機能という意味で安全制御モジュール１６の機能を監視する監視ユニット１５と共に供する。
【００３８】
一方で、車両１の制御全体の図示の構成は、制御装置全体のいかなる動作状態においても、全ての場合に安全機能が安全制御モジュール１６によって維持されることを確実にする。なぜなら安全制御モジュール１６は、これらの安全機能を他の機能モジュールから独立して実行することができるからである。他方で、動作制御モジュール１７はこれらの安全機能から解放され、その計算能力の全てを通常動作状態の燃料電池装置２の開ループ又は閉ループ制御を実行するために使用することができる。本明細書では、動作制御モジュール１７及び安全制御モジュール１６を、互いに自律的に動作する２つの集合部として供する。
【００３９】
当然のことながら、これら２つの集合部を共通の回路基板に配置することも可能であるが、そのような場合には、少なくとも安全制御モジュール１６に対しては独立した及び／又は自律的な動作方法が確実に保たれることが必要である。
【図面の簡単な説明】
【００４０】
【図１】本発明による制御装置の第１の例示された実施形態をブロック図で示す。
【図１】
2009535769.tif 000003
【国際調査報告】
2009535769.tif 000004
2009535769.tif 000005
2009535769.tif 000006
2009535769.tif 000007
2009535769.tif 000008
2009535769.tif 000009