JP7615973B2

JP7615973B2 - Vehicle control device

Info

Publication number: JP7615973B2
Application number: JP2021146222A
Authority: JP
Inventors: 辰明鈴木
Original assignee: Toyota Motor Corp
Current assignee: Toyota Motor Corp
Priority date: 2021-09-08
Filing date: 2021-09-08
Publication date: 2025-01-17
Anticipated expiration: 2041-09-08
Also published as: JP2023039186A

Description

本発明は、車両制御装置に関する。 The present invention relates to a vehicle control device.

例えば特許文献１には、回転電機から電池へ電流を流せない故障が生じた場合、回転電機の出力トルクをゼロとする制御を実行する点が開示されている。このようなフェイルセーフ動作は、例えばモータのトルクを指令する車両ＥＣＵ（Electric Control Unit）などにより実行される。 For example, Patent Document 1 discloses that if a fault occurs that prevents current from flowing from the rotating electric machine to the battery, control is performed to set the output torque of the rotating electric machine to zero. Such fail-safe operation is performed, for example, by a vehicle ECU (Electric Control Unit) that commands the torque of the motor.

特開２０１９－２０１４６７号公報JP 2019-201467 A

車両ＥＣＵが故障してフェイルセーフ動作を実行できない場合、例えばモータＥＣＵにより回転電機の動作を停止制御することが考えられる。しかし、モータＥＣＵは単独でフェイルセーフの実行の可否を判断することができない。 If the vehicle ECU fails and is unable to perform the fail-safe operation, it is conceivable that the motor ECU may, for example, control the operation of the rotating electric machine to stop. However, the motor ECU cannot independently determine whether or not to perform the fail-safe operation.

そこで本発明は上記の課題に鑑みてなされたものであり、フェイルセーフ機能が向上した車両制御装置を提供することを目的とする。 Therefore, the present invention was made in consideration of the above problems, and aims to provide a vehicle control device with improved fail-safe functions.

本発明の車両制御装置は、車両を駆動する回転電機と、前記回転電機と電気的に接続されたバッテリと、前記バッテリの状態を監視し、前記バッテリの状態の監視結果から異常状態を検出する第１制御部と、前記回転電機の出力を制御する第２制御部と、前記バッテリの状態の監視結果に基づき前記回転電機の出力を前記第２制御部に指示し、前記第１制御部が前記バッテリの異常を検出した場合に前記回転電機の動作の制限を実行する第３制御部と有し、前記第１制御部は、前記バッテリの状態の監視結果に基づいて、前記バッテリが異常状態であること、及び前記第３制御部の異常状態のために前記回転電機の動作の制限が実行されていないことを検出したとき、前記第２制御部に前記回転電機の動作の停止を指示し、前記第３制御部は、前記第３制御部の正常状態または異常状態を示す状態信号を前記第２制御部に出力し、前記第２制御部は、前記状態信号が前記第３制御部の異常状態を示す場合、前記第１制御部からの前記回転電機の停止の指示に従って前記回転電機の動作を停止させ、
前記状態信号が前記第３制御部の正常状態を示す場合、前記第１制御部からの前記回転電機の停止の指示に従わずに前記回転電機の動作を継続させる。 The vehicle control device of the present invention includes a rotating electric machine that drives a vehicle, a battery electrically connected to the rotating electric machine, a first control unit that monitors a state of the battery and detects an abnormal state from a result of monitoring the state of the battery, a second control unit that controls an output of the rotating electric machine, and a third control unit that instructs the second control unit to output the rotating electric machine based on the result of monitoring the state of the battery and restricts the operation of the rotating electric machine when the first control unit detects an abnormality of the battery, and when the first control unit detects that the battery is in an abnormal state based on the result of monitoring the state of the battery and that restriction of the operation of the rotating electric machine is not being executed due to the abnormal state of the third control unit, the first control unit instructs the second control unit to stop the operation of the rotating electric machine, and the third control unit outputs a state signal indicating a normal state or abnormal state of the third control unit to the second control unit, and when the state signal indicates the abnormal state of the third control unit, the second control unit stops the operation of the rotating electric machine in accordance with the instruction to stop the rotating electric machine from the first control unit,
When the state signal indicates that the third control unit is in a normal state, the third control unit continues operation of the rotating electric machine without following an instruction from the first control unit to stop the rotating electric machine.

上記の構成において、前記制御部は、前記状態信号が所定の規則性を有している場合、前記指示部が正常状態であると判定し、前記状態信号が前記所定の規則性を有していない場合、前記指示部が異常状態であると判定してもよい。 In the above configuration, the control unit may determine that the indication unit is in a normal state when the status signal has a predetermined regularity, and may determine that the indication unit is in an abnormal state when the status signal does not have the predetermined regularity.

上記の構成において、前記第３制御部は、正常状態である場合、一定周期で所定の数値パタンを繰り返す前記状態信号を出力してもよい。 In the above configuration, the third control unit may output the status signal that repeats a predetermined numerical pattern at regular intervals when in a normal state.

上記の構成において、前記第３制御部は、前記第１制御部が前記バッテリの異常を検出した場合に前記回転電機と前記バッテリの間の電気的な接続を切断することにより前記回転電機の動作の制限を実行してもよい。 In the above configuration, the third control unit may restrict the operation of the rotating electric machine by cutting off the electrical connection between the rotating electric machine and the battery when the first control unit detects an abnormality in the battery.

上記の構成において、前記第１制御部は、前記バッテリの状態の監視結果に基づいて、前記回転電機と前記バッテリの間に流れる電流の値が閾値未満であると判定した場合、前記第３制御部の異常状態のために前記回転電機の動作の制限が実行されていないことを検出してもよい。 In the above configuration, when the first control unit determines that the value of the current flowing between the rotating electric machine and the battery is less than a threshold value based on the result of monitoring the state of the battery, the first control unit may detect that the operation of the rotating electric machine is not being restricted due to an abnormal state of the third control unit.

本発明によれば、車両制御装置のフェイルセーフ機能を向上することができる。 The present invention can improve the fail-safe function of a vehicle control device.

車両の一例を示す構成図である。FIG. 1 is a configuration diagram showing an example of a vehicle. ローカル通信バスのフレーム信号及びグローバル通信バスのフレーム信号の例を示す図である。1 is a diagram showing an example of a frame signal of a local communication bus and a frame signal of a global communication bus; 状態判定値の例を示す図である。FIG. 11 is a diagram illustrating an example of a state determination value. バッテリが正常である場合の電池ＥＣＵ、車両ＥＣＵ、及びモータＥＣＵの動作の一例を示すシーケンス図である。5 is a sequence diagram showing an example of the operation of the battery ECU, the vehicle ECU, and the motor ECU when the battery is normal. FIG. バッテリが異常状態である場合の電池ＥＣＵ、車両ＥＣＵ、及びモータＥＣＵの動作の一例を示すシーケンス図である。5 is a sequence diagram showing an example of the operation of the battery ECU, the vehicle ECU, and the motor ECU when the battery is in an abnormal state. FIG. 車両ＥＣＵのフェイルセーフ動作の一例を示す図である。FIG. 4 is a diagram illustrating an example of a fail-safe operation of the vehicle ECU. バッテリが異常状態である場合の電池ＥＣＵ、車両ＥＣＵ、及びモータＥＣＵの動作の他の例を示すシーケンス図である。10 is a sequence diagram showing another example of the operation of the battery ECU, the vehicle ECU, and the motor ECU when the battery is in an abnormal state. FIG. モータジェネレータの動作の強制停止の一例を示す図である。FIG. 11 is a diagram illustrating an example of a forced stop of the operation of the motor generator. 車両ＥＣＵが正常状態である場合に偽の強制停止指示が送信されたときのモータＥＣＵの動作を示すシーケンス図である。FIG. 11 is a sequence diagram showing an operation of the motor ECU when a false forced stop instruction is transmitted while the vehicle ECU is in a normal state. 電池ＥＣＵの動作の一例を示すフローチャートである。4 is a flowchart showing an example of an operation of a battery ECU. 状態判定値Ｎに基づく車両ＥＣＵの状態判定処理を示すフローチャートである。5 is a flowchart showing a state determination process of a vehicle ECU based on a state determination value N. モータジェネレータの制御処理の一例を示すフローチャートである。4 is a flowchart showing an example of a control process of a motor generator. スイッチング信号の一例を示す図である。FIG. 4 is a diagram illustrating an example of a switching signal.

（車両の構成）
図１は、車両９の一例を示す構成図である。車両９は、車両制御装置１、センサユニット２０，バッテリ２１、システムメインリレー（ＳＭＲ: System Main Relay）２２、昇圧コンバータ２３、インバータ２４、モータジェネレータ（ＭＧ）２５、電流センサ２６、回転位置センサ２７、及び車輪機構２８を有する。なお、車両９としてはハイブリッド車及び電気自動車を挙げられるが、これに限定されない。 (Vehicle configuration)
1 is a configuration diagram showing an example of a vehicle 9. The vehicle 9 includes a vehicle control device 1, a sensor unit 20, a battery 21, a system main relay (SMR) 22, a boost converter 23, an inverter 24, a motor generator (MG) 25, a current sensor 26, a rotational position sensor 27, and a wheel mechanism 28. Note that examples of the vehicle 9 include, but are not limited to, a hybrid vehicle and an electric vehicle.

バッテリ２１は、例えばリチウムイオン電池であり、ＭＧ２５と電気的に接続されている。バッテリ２１は、力行動作時のＭＧ２５に電力を供給し、また、回生動作時のＭＧ２５が発電した電力が充電される。センサユニット２０は、例えばバッテリセンサであり、バッテリの動作状態に関する各種の値を検出する。センサユニット２０の検出値としては、例えば、バッテリ２１の電流値、電圧値、及び温度が挙げられるが、これに限定されない。 The battery 21 is, for example, a lithium ion battery, and is electrically connected to the MG 25. The battery 21 supplies power to the MG 25 during power running, and is charged with power generated by the MG 25 during regenerative operation. The sensor unit 20 is, for example, a battery sensor, and detects various values related to the operating state of the battery. Examples of detected values of the sensor unit 20 include, but are not limited to, the current value, voltage value, and temperature of the battery 21.

バッテリ２１は、ＳＭＲ２２を介して昇圧コンバータ２３に電気的に接続されている。昇圧コンバータ２３は、バッテリ２１から入力される直流電圧を目標電圧に昇圧する。昇圧コンバータ２３はインバータ２４と電気的に接続されている。インバータ２４には、昇圧コンバータ２３から直流電圧が印加される。 The battery 21 is electrically connected to the boost converter 23 via the SMR 22. The boost converter 23 boosts the DC voltage input from the battery 21 to a target voltage. The boost converter 23 is electrically connected to the inverter 24. The DC voltage is applied from the boost converter 23 to the inverter 24.

インバータ２４は、例えばＩＧＢＴ（Insulated Gate Bipolar Transistor）などの複数のスイッチング素子を有する。インバータ２４の各スイッチング素子は、車両制御装置１から入力されるスイッチング信号によりオンオフ制御される。これにより、インバータ２４は直流電圧から三相（ｕ相、ｖ相、及びｗ相）交流電流を生成する。 The inverter 24 has multiple switching elements, such as IGBTs (Insulated Gate Bipolar Transistors). Each switching element of the inverter 24 is on/off controlled by a switching signal input from the vehicle control device 1. This allows the inverter 24 to generate three-phase (u-phase, v-phase, and w-phase) AC current from the DC voltage.

電流センサ２６は、インバータ２４からＭＧ２５に出力される三相交流電流のうち、例えばｕ相及びｖ相の各電流値を検出する。また、回転位置センサ２７は、例えばレゾルバであり、ＭＧ２５の回転子の回転位置を検出する。 The current sensor 26 detects the current values of, for example, the u-phase and v-phase of the three-phase AC current output from the inverter 24 to the MG 25. The rotational position sensor 27 is, for example, a resolver, and detects the rotational position of the rotor of the MG 25.

ＭＧ２５は、インバータ２４から入力される三相交流電流からトルクを生成して車輪機構２８に出力する。車輪機構２８には、ＭＧ２５の回転軸に接続されるギア機構２８０、車軸２８１、及び車輪２８２などが含まれる。車輪機構２８は、ＭＧ２５のトルクを車輪２８２の駆動力に変換する。なお、ＭＧ２５は、車両９を駆動する回転電機の一例である。 The MG 25 generates torque from the three-phase AC current input from the inverter 24 and outputs it to the wheel mechanism 28. The wheel mechanism 28 includes a gear mechanism 280 connected to the rotating shaft of the MG 25, an axle 281, and wheels 282. The wheel mechanism 28 converts the torque of the MG 25 into driving force for the wheels 282. The MG 25 is an example of a rotating electric machine that drives the vehicle 9.

車両制御装置１は、ユーザの操作に従って車両９が駆動されるように、例えばインバータ２４を制御し、バッテリ２１に異常が発生した場合、車両９が安全に停止できるようにフェイルセーフ動作を実行する。車両制御装置１は、電池ＥＣＵ１０、車両ＥＣＵ１１、モータＥＣＵ１２、アクセルセンサ１３、ブレーキセンサ１４、速度センサ１５、通信インターフェース部１６、及びセントラルゲートウェイ（セントラルＧＷ）１７を有する。 The vehicle control device 1 controls, for example, the inverter 24 so that the vehicle 9 is driven according to the user's operation, and performs a fail-safe operation so that the vehicle 9 can be stopped safely if an abnormality occurs in the battery 21. The vehicle control device 1 has a battery ECU 10, a vehicle ECU 11, a motor ECU 12, an accelerator sensor 13, a brake sensor 14, a speed sensor 15, a communication interface unit 16, and a central gateway (central GW) 17.

セントラルＧＷ１７は、ＣＡＮ（Controller Ares Network）に基づく通信を行うための複数のグローバル通信バスＧＢａ～ＧＢｃを有する。グローバル通信バスＧＢａには、電池ＥＣＵ１０、車両ＥＣＵ１１、及びモータＥＣＵ１２などが電気的に接続されている。グローバル通信バスＧＢｂには、アクセルセンサ１３、ブレーキセンサ１４、及び速度センサ１５などが電気的に接続されている。グローバル通信バスＧＢｃには、通信インターフェース部１６などが電気的に接続されている。 The central GW17 has multiple global communication buses GBa to GBc for communication based on CAN (Controller Ares Network). The battery ECU 10, vehicle ECU 11, motor ECU 12, etc. are electrically connected to the global communication bus GBa. The accelerator sensor 13, brake sensor 14, speed sensor 15, etc. are electrically connected to the global communication bus GBb. The communication interface unit 16, etc. are electrically connected to the global communication bus GBc.

セントラルＧＷ１７は、複数のグローバル通信バスＧＢａ～ＧＢｃの間でフレーム信号を転送する。これにより、電池ＥＣＵ１０、車両ＥＣＵ１１、モータＥＣＵ１２、アクセルセンサ１３、ブレーキセンサ１４、速度センサ１５、及び通信インターフェース部１６は互いにフレーム信号を送受信することができる。 The central GW 17 transfers frame signals between multiple global communication buses GBa to GBc. This allows the battery ECU 10, vehicle ECU 11, motor ECU 12, accelerator sensor 13, brake sensor 14, speed sensor 15, and communication interface unit 16 to send and receive frame signals to and from each other.

通信インターフェース部１６は、例えば無線ＬＡＮ（Local Area Network）の通信回路であり、車両９の外部のスマートフォンなどの端末装置８と車両制御装置１の間の通信を処理する。通信インターフェース部１６は、例えば車両９の故障診断が実行される場合、端末装置８との間で車両９の診断情報などを送受信する。 The communication interface unit 16 is, for example, a wireless LAN (Local Area Network) communication circuit, and processes communication between a terminal device 8, such as a smartphone, outside the vehicle 9 and the vehicle control device 1. For example, when a fault diagnosis of the vehicle 9 is performed, the communication interface unit 16 transmits and receives diagnostic information of the vehicle 9 between the terminal device 8 and the vehicle control device 1.

アクセルセンサ１３は車両９のアクセルペダル（不図示）の開度を検出する。ブレーキセンサ１４は車両９のブレーキペダル（不図示）の開度を検出する。速度センサ１５は車両９の速度を検出する。アクセルセンサ１３、ブレーキセンサ１４、及び速度センサ１５は検出値を、グローバル通信バスＧＢａ，ＧＢｂを介して車両ＥＣＵ１１に通知する。 The accelerator sensor 13 detects the opening degree of the accelerator pedal (not shown) of the vehicle 9. The brake sensor 14 detects the opening degree of the brake pedal (not shown) of the vehicle 9. The speed sensor 15 detects the speed of the vehicle 9. The accelerator sensor 13, the brake sensor 14, and the speed sensor 15 notify the detection values to the vehicle ECU 11 via global communication buses GBa and GBb.

電池ＥＣＵ１０、車両ＥＣＵ１１、及びモータＥＣＵ１２は、例えばマイクロコントローラであるが、これに限定されず、ＦＰＧＡ（Field Programmable Gate Array）やＡＳＩＣ（Application Specified Integrated Circuit）などの集積回路であってもよい。電池ＥＣＵ１０及び車両ＥＣＵ１１はローカル通信バスＬＢａを介して互いに通信し、車両ＥＣＵ１１及びモータＥＣＵ１２はローカル通信バスＬＢｂを介して互いに通信する。ローカル通信バスＬＢａ，ＬＢｂは、グローバル通信バスＧＢａ～ＧＢｃと同様にＣＡＮに基づく通信回線である。 The battery ECU 10, the vehicle ECU 11, and the motor ECU 12 are, for example, microcontrollers, but are not limited to these, and may be integrated circuits such as FPGAs (Field Programmable Gate Arrays) and ASICs (Application Specified Integrated Circuits). The battery ECU 10 and the vehicle ECU 11 communicate with each other via a local communication bus LBa, and the vehicle ECU 11 and the motor ECU 12 communicate with each other via a local communication bus LBb. The local communication buses LBa and LBb are communication lines based on CAN, like the global communication buses GBa to GBc.

電池ＥＣＵ１０は、センサユニット２０からバッテリ２１の状態に関する各種の検出値を取得することによりバッテリ２１の状態を監視する。電池ＥＣＵ１０は、各検出値からバッテリ２１の充電量及び入出力制限値を算出し、さらに各検出値からバッテリ２１異常状態を判定する。 The battery ECU 10 monitors the state of the battery 21 by acquiring various detection values related to the state of the battery 21 from the sensor unit 20. The battery ECU 10 calculates the charge amount and input/output limit values of the battery 21 from each detection value, and further determines whether the battery 21 is in an abnormal state from each detection value.

電池ＥＣＵ１０は、例えばセンサユニット２０が検出したバッテリ２１の電圧からバッテリの充電量を算出し、センサユニット２０が検出したバッテリ２１の温度及び電圧から入出力制限値を算出する。電池ＥＣＵ１０は、ローカル通信バスＬＢａを介してバッテリ２１の充電量及び入出力制限値などをバッテリ２１の監視結果として車両ＥＣＵ１１に通知する。 The battery ECU 10 calculates the charge amount of the battery from the voltage of the battery 21 detected by the sensor unit 20, for example, and calculates the input/output limit value from the temperature and voltage of the battery 21 detected by the sensor unit 20. The battery ECU 10 notifies the vehicle ECU 11 of the charge amount and input/output limit value of the battery 21 as the monitoring result of the battery 21 via the local communication bus LBa.

また、電池ＥＣＵ１０は、例えばセンサユニット２０が検出したバッテリ２１の温度が閾値以上である場合（つまり過熱状態の場合）、または、センサユニット２０が検出したバッテリ２１の電圧が閾値以上である場合（つまり過電圧の場合）、バッテリ２１が異常状態であると判定する。電池ＥＣＵ１０は、ローカル通信バスＬＢａを介してバッテリ２１の異常状態を車両ＥＣＵ１１に通知する。 The battery ECU 10 also determines that the battery 21 is in an abnormal state, for example, when the temperature of the battery 21 detected by the sensor unit 20 is equal to or higher than a threshold (i.e., when the battery is in an overheated state), or when the voltage of the battery 21 detected by the sensor unit 20 is equal to or higher than a threshold (i.e., when the battery is in an overvoltage state). The battery ECU 10 notifies the vehicle ECU 11 of the abnormal state of the battery 21 via the local communication bus LBa.

このように電池ＥＣＵ１０は、バッテリ２１の状態を監視し、バッテリ２１の監視結果から異常状態を検出する。なお、電池ＥＣＵ１０は第１制御部の一例である。 In this way, the battery ECU 10 monitors the state of the battery 21 and detects an abnormal state from the monitoring results of the battery 21. The battery ECU 10 is an example of a first control unit.

車両ＥＣＵ１１は、アクセルセンサ１３、ブレーキセンサ１４、及び速度センサ１５からグローバル通信バスＧＢａを介して各々の検出値を受信する。また、車両ＥＣＵ１１は、電池ＥＣＵ１０からローカル通信バスＬＢａを介してバッテリ２１の監視結果として充電量及び入出力制限値などを受信する。車両ＥＣＵ１１は、アクセルセンサ１３、ブレーキセンサ１４、及び速度センサ１５の各検出値と、バッテリ２１の監視結果とに基づきＭＧ２５のトルク指令値を算出する。 The vehicle ECU 11 receives the detection values from the accelerator sensor 13, brake sensor 14, and speed sensor 15 via the global communication bus GBa. The vehicle ECU 11 also receives the charge amount, input/output limit values, and other monitoring results for the battery 21 from the battery ECU 10 via the local communication bus LBa. The vehicle ECU 11 calculates a torque command value for the MG 25 based on the detection values from the accelerator sensor 13, brake sensor 14, and speed sensor 15 and the monitoring results for the battery 21.

車両ＥＣＵ１１は、ローカル通信バスＬＢｂを介してトルク指令値をモータＥＣＵ１２に通知する。すなわち、車両ＥＣＵ１１は、バッテリ２１の状態の監視結果に基づきＭＧ２５の出力をモータＥＣＵ１２に指示する。 The vehicle ECU 11 notifies the motor ECU 12 of the torque command value via the local communication bus LBb. That is, the vehicle ECU 11 instructs the motor ECU 12 on the output of the MG 25 based on the results of monitoring the state of the battery 21.

また、車両ＥＣＵ１１は、電池ＥＣＵ１０がバッテリ２１の異常を検出した場合にＭＧ２５の動作を制限するフェイルセーフ動作を実行する。例えば車両ＥＣＵ１１は、電池ＥＣＵ１０からバッテリ２１の異常状態の通知を受けた場合、ＳＭＲ２２を遮断状態に切り替える。これにより、ＭＧ２５とバッテリ２１の間の電気的な接続が切断されるため、車両９の動作が異常となることが抑制される。なお、フェイルセーフ動作としては、ＭＧ２５とバッテリ２１の間の電気的な接続に限定されず、ＭＧ２５の動作を安全に停止する他の手段が用いられてもよい。車両ＥＣＵ１１は第３制御部の一例である。 The vehicle ECU 11 also performs a fail-safe operation that restricts the operation of the MG 25 when the battery ECU 10 detects an abnormality in the battery 21. For example, when the vehicle ECU 11 receives a notification from the battery ECU 10 that the battery 21 is in an abnormal state, the vehicle ECU 11 switches the SMR 22 to a cut-off state. This cuts off the electrical connection between the MG 25 and the battery 21, thereby preventing the operation of the vehicle 9 from becoming abnormal. Note that the fail-safe operation is not limited to the electrical connection between the MG 25 and the battery 21, and other means for safely stopping the operation of the MG 25 may be used. The vehicle ECU 11 is an example of a third control unit.

モータＥＣＵ１２は、インバータ２４にスイッチング信号を出力することによりＭＧ２５のトルクを制御する。モータＥＣＵ１２は、車両ＥＣＵ１１からローカル通信バスＬＢｂを介してトルク指令値を受信し、ＭＧ２５からトルク指令値に応じたトルクが出力されるようにスイッチング信号のデューティ比を制御する。このとき、モータＥＣＵ１２は、電流センサ２６が検出した電流値、及び回転位置センサ２７が検出したＭＧ２５の回転子の回転位置からューティ比を制御する。なお、モータＥＣＵ１２は、ＭＧ２５の出力を制御する制御部の一例である。 The motor ECU 12 controls the torque of the MG 25 by outputting a switching signal to the inverter 24. The motor ECU 12 receives a torque command value from the vehicle ECU 11 via the local communication bus LBb, and controls the duty ratio of the switching signal so that the MG 25 outputs a torque corresponding to the torque command value. At this time, the motor ECU 12 controls the duty ratio from the current value detected by the current sensor 26 and the rotational position of the rotor of the MG 25 detected by the rotational position sensor 27. The motor ECU 12 is an example of a control unit that controls the output of the MG 25.

また、モータＥＣＵ１２は、車両ＥＣＵ１１がフェイルセーフ動作を実行した場合、車両ＥＣＵ１１からローカル通信バスＬＢｂを介してトルク出力停止指示を受信する。この場合、モータＥＣＵ１２は、ＭＧ２５からのトルクの出力を停止するため、例えば三相交流電流を０（Ａ）とするようにスイッチング信号のデューティ比を制御する。 When the vehicle ECU 11 executes a fail-safe operation, the motor ECU 12 receives a torque output stop command from the vehicle ECU 11 via the local communication bus LBb. In this case, the motor ECU 12 controls the duty ratio of the switching signal to, for example, set the three-phase AC current to 0 (A) in order to stop the torque output from the MG 25.

電池ＥＣＵ１０は、バッテリ２１の監視結果から異常を検出したとき、さらにセンサユニット２０の検出値に基づき、車両ＥＣＵ１１によるフェイルセーフ動作の成否を判定する。例えば電池ＥＣＵ１０は、センサユニット２０が検出したバッテリ２１の電流値が実質的に０（Ａ）である場合、バッテリ２１からＭＧ２５に電流が流れていないため、フェイルセーフ動作が成功したと判定する。 When the battery ECU 10 detects an abnormality from the results of monitoring the battery 21, it further determines whether the fail-safe operation by the vehicle ECU 11 has been successful based on the detection value of the sensor unit 20. For example, if the current value of the battery 21 detected by the sensor unit 20 is substantially 0 (A), the battery ECU 10 determines that the fail-safe operation has been successful because no current is flowing from the battery 21 to the MG 25.

車両ＥＣＵ１１は、故障して異常状態である場合、フェイルセーフ動作を行うことができない。この場合、センサユニット２０が検出したバッテリ２１の電流値は０（Ａ）とはならないため、電池ＥＣＵ１０は、フェイルセーフ動作が失敗したと判定する。 If the vehicle ECU 11 has a malfunction and is in an abnormal state, it cannot perform fail-safe operation. In this case, the current value of the battery 21 detected by the sensor unit 20 is not 0 (A), so the battery ECU 10 determines that the fail-safe operation has failed.

電池ＥＣＵ１０は、フェイルセーフ動作が失敗したと判定した場合、グローバル通信バスＧＢａを介してモータＥＣＵ１２に強制停止指示を送信する。モータＥＣＵ１２は、強制停止指示に従ってＭＧ２５の動作を停止させる。例えばモータＥＣＵ１２は、インバータ２４に強制停止信号を出力してインバータ２４のＩＧＢＴのゲート遮断を行うことによりＭＧ２５の動作を強制的に停止させる。 If the battery ECU 10 determines that the fail-safe operation has failed, it sends a forced stop instruction to the motor ECU 12 via the global communication bus GBa. The motor ECU 12 stops the operation of the MG 25 in accordance with the forced stop instruction. For example, the motor ECU 12 outputs a forced stop signal to the inverter 24 to shut off the gates of the IGBTs of the inverter 24, thereby forcibly stopping the operation of the MG 25.

このように電池ＥＣＵ１０は、バッテリ２１の監視結果に基づいて、バッテリ２１が異常状態であること、及び車両ＥＣＵ１１の異常状態のためにＭＧ２５の動作の制限が実行されていないことを検出したとき、モータＥＣＵ１２にＭＧ２５の動作の停止を指示する。 In this way, when the battery ECU 10 detects, based on the results of monitoring the battery 21, that the battery 21 is in an abnormal state and that restrictions on the operation of the MG 25 are not being implemented due to the abnormal state of the vehicle ECU 11, it instructs the motor ECU 12 to stop the operation of the MG 25.

モータＥＣＵ１２は、車両ＥＣＵ１１が故障している場合のみ、強制停止指示に従ってＭＧ２５の動作を停止させる。車両ＥＣＵ１１は、車両ＥＣＵ１１の異常判定に用いられる異常判定信号を、ローカル通信バスＬＢｂを介してモータＥＣＵ１２に周期的に送信する。異常判定信号は、車両ＥＣＵ１１の正常状態または異常状態を示す状態信号の一例である。本例における異常判定信号は周期的なカウンタ値を示すが、これに限定されず、周期的なパルス信号であってもよい。 The motor ECU 12 stops the operation of the MG 25 in accordance with the forced stop instruction only if the vehicle ECU 11 has a malfunction. The vehicle ECU 11 periodically transmits an abnormality determination signal used to determine an abnormality in the vehicle ECU 11 to the motor ECU 12 via the local communication bus LBb. The abnormality determination signal is an example of a state signal that indicates a normal or abnormal state of the vehicle ECU 11. In this example, the abnormality determination signal indicates a periodic counter value, but is not limited to this and may be a periodic pulse signal.

モータＥＣＵ１２は、異常判定信号が車両ＥＣＵ１１の異常状態を示す場合、電池ＥＣＵ１０からの強制停止指示に従ってＭＧ２５の動作を停止させ、異常判定信号が車両ＥＣＵ１１の正常状態を示す場合、強制停止指示に従わずにＭＧ２５の動作を継続させる。このため、モータＥＣＵ１２は、車両ＥＣＵ１１が故障した場合のみ、ＭＧ２５の動作を停止することができる。 When the abnormality determination signal indicates an abnormal state of the vehicle ECU 11, the motor ECU 12 stops the operation of the MG 25 in accordance with a forced stop instruction from the battery ECU 10, and when the abnormality determination signal indicates a normal state of the vehicle ECU 11, the motor ECU 12 continues the operation of the MG 25 without following the forced stop instruction. Therefore, the motor ECU 12 can stop the operation of the MG 25 only when the vehicle ECU 11 has failed.

強制停止指示が送受信されるグローバル通信バスＧＢａは、セントラルＧＷ１７を介して通信インターフェース部１６に接続されている。このため、例えば悪意のあるユーザが端末装置８から通信インターフェース部１６を介して偽の強制停止指示をモータＥＣＵ１２に送信することが考えられる。 The global communication bus GBa, through which the forced stop instruction is sent and received, is connected to the communication interface unit 16 via the central GW 17. For this reason, for example, it is conceivable that a malicious user could send a false forced stop instruction from the terminal device 8 to the motor ECU 12 via the communication interface unit 16.

しかし、モータＥＣＵ１２は、異常判定信号が車両ＥＣＵ１１の異常状態を示す場合のみ、電池ＥＣＵ１０からの強制停止指示に従ってＭＧ２５の動作を停止させるため、偽の強制停止指示に従ってＭＧ２５の動作を停止させることがない。また、偽の強制停止指示を防止するためにグローバル通信バスＧＢａ～ＧＢｃに高コストな暗号化手段などを設ける必要がない。 However, the motor ECU 12 stops the operation of the MG 25 in accordance with a forced stop instruction from the battery ECU 10 only when the abnormality determination signal indicates an abnormal state of the vehicle ECU 11, and therefore does not stop the operation of the MG 25 in accordance with a false forced stop instruction. In addition, there is no need to provide expensive encryption means or the like on the global communication buses GBa to GBc to prevent false forced stop instructions.

（フレーム信号）
図２は、ローカル通信バスＬＢａ，ＬＢｂのフレーム信号Ｆａ及びグローバル通信バスＧＢａ～ＧＢｃのフレーム信号Ｆｂの例を示す図である。各フレーム信号Ｆａ，Ｆｂは、一例としてデータＩＤ、データ領域、及びＣＲＣ（Cyclic redundancy Check）領域を有する。 (Frame signal)
2 is a diagram showing an example of a frame signal Fa of the local communication buses LBa, LBb and a frame signal Fb of the global communication buses GBa to GBc. Each of the frame signals Fa, Fb has, for example, a data ID, a data area, and a CRC (Cyclic redundancy check) area.

データＩＤは、データ領域に格納されるデータの種類を識別するための識別子である。電池ＥＣＵ１０、車両ＥＣＵ１１、モータＥＣＵ１２、及び通信インターフェース部１６は、受信対象のフレーム信号をデータＩＤにより識別する。また、電池ＥＣＵ１０、車両ＥＣＵ１１、モータＥＣＵ１２、アクセルセンサ１３、ブレーキセンサ１４、速度センサ１５、及び通信インターフェース部１６は、送信対象のデータに応じたデータＩＤのフレーム信号を送信する。 The data ID is an identifier for identifying the type of data stored in the data area. The battery ECU 10, vehicle ECU 11, motor ECU 12, and communication interface unit 16 identify the frame signal to be received by the data ID. In addition, the battery ECU 10, vehicle ECU 11, motor ECU 12, accelerator sensor 13, brake sensor 14, speed sensor 15, and communication interface unit 16 transmit a frame signal with a data ID corresponding to the data to be transmitted.

データ領域には各種のデータが収納される。ＣＲＣ領域にはデータ領域のデータの誤りを検査する検査符号が収容される。所定ビット数以下のデータの誤りは検査符号により訂正することが可能である。 The data area contains various types of data. The CRC area contains a check code that checks for errors in the data in the data area. Errors in data below a certain number of bits can be corrected using the check code.

ローカル通信バスＬＢａ，ＬＢｂのフレーム信号Ｆａのデータとしては、例えば、バッテリ状態情報、バッテリ異常情報、トルク指令値、トルク出力停止指示、及び状態判定値などが挙げられる。電池ＥＣＵ１０は、バッテリ２１の充電量及び入出力制限値をバッテリ状態情報としてフレーム信号Ｆａのデータ領域に収容して送信する。また、電池ＥＣＵ１０は、バッテリ２１の異常状態をバッテリ異常情報としてフレーム信号Ｆａのデータ領域に収容して送信する。 Data in the frame signal Fa of the local communication buses LBa and LBb includes, for example, battery status information, battery abnormality information, torque command value, torque output stop instruction, and status determination value. The battery ECU 10 stores the charge amount and input/output limit value of the battery 21 as battery status information in the data area of the frame signal Fa and transmits it. The battery ECU 10 also stores the abnormal state of the battery 21 as battery abnormality information in the data area of the frame signal Fa and transmits it.

車両ＥＣＵ１１は、ＭＧ２５のトルク指令値をフレーム信号Ｆａのデータ領域に収容して送信する。車両ＥＣＵ１１は、フェイルセーフ動作を実行する場合、トルク出力停止指示をフレーム信号Ｆａのデータ領域に収容して送信する。また、車両ＥＣＵ１１は、周期的に状態判定値をフレーム信号Ｆａのデータ領域に収容して送信する。さらに車両ＥＣＵ１１は、一定周期で状態判定値をフレーム信号Ｆａのデータ領域に収容して送信する。 The vehicle ECU 11 stores the torque command value of the MG 25 in the data area of the frame signal Fa and transmits it. When performing a fail-safe operation, the vehicle ECU 11 stores a torque output stop instruction in the data area of the frame signal Fa and transmits it. The vehicle ECU 11 also periodically stores a state determination value in the data area of the frame signal Fa and transmits it. The vehicle ECU 11 also periodically stores a state determination value in the data area of the frame signal Fa and transmits it.

一方、グローバル通信バスＧＢａ～ＧＢｃのフレーム信号Ｆｂのデータとしては、例えば、診断情報、アクセルセンサ値、ブレーキセンサ値、速度センサ値、及び強制停止指示などが挙げられる。通信インターフェース部１６は、車両ＥＣＵ１１などから診断情報をデータ領域に収容したフレーム信号Ｆｂを受信して端末装置８に転送する。 On the other hand, the data of the frame signal Fb of the global communication buses GBa to GBc includes, for example, diagnostic information, accelerator sensor values, brake sensor values, speed sensor values, and forced stop instructions. The communication interface unit 16 receives the frame signal Fb containing diagnostic information in the data area from the vehicle ECU 11 or the like, and transfers it to the terminal device 8.

アクセルセンサ１３は、アクセルペダルの開度を示すアクセルセンサ値をフレーム信号Ｆｂのデータ領域に収容して送信する。ブレーキセンサ１４は、ブレーキペダルの開度を示すブレーキセンサ値をフレーム信号Ｆｂのデータ領域に収容して送信する。速度センサ１５は、車両９の速度を示す速度センサ値をフレーム信号Ｆｂのデータ領域に収容して送信する。電池ＥＣＵ１０は、フェイルセーフ動作が失敗した場合、強制停止指示をフレーム信号Ｆｂのデータ領域に収容して送信する。 The accelerator sensor 13 stores an accelerator sensor value indicating the accelerator pedal opening in the data area of the frame signal Fb and transmits it. The brake sensor 14 stores a brake sensor value indicating the brake pedal opening in the data area of the frame signal Fb and transmits it. The speed sensor 15 stores a speed sensor value indicating the speed of the vehicle 9 in the data area of the frame signal Fb and transmits it. If the fail-safe operation fails, the battery ECU 10 stores a forced stop instruction in the data area of the frame signal Fb and transmits it.

（状態判定値）
図３は、状態判定値の例を示す図である。符号Ｇ１ａは、車両ＥＣＵ１１が正常である場合の状態判定値の時刻変化の例を示す。状態判定値は、例えば所定の周期Δｔごとに「０」から「６」まで１つずつ増加する。状態判定値は、「０」～「６」の範囲でカウントアップを繰り返すことにより車両ＥＣＵ１１の正常状態を示す。モータＥＣＵ１２は、矢印で示されるように、周期Δｔごとに状態判定値を読み出して状態判定値が正常にカウントアップされている場合、車両ＥＣＵ１１が正常であると判定する。 (Status judgment value)
3 is a diagram showing an example of the state determination value. Symbol G1a shows an example of the change in the state determination value over time when the vehicle ECU 11 is normal. The state determination value increases by one from "0" to "6" for example every predetermined period Δt. The state determination value indicates the normal state of the vehicle ECU 11 by repeatedly counting up within the range of "0" to "6". As shown by the arrow, the motor ECU 12 reads out the state determination value every period Δt, and determines that the vehicle ECU 11 is normal if the state determination value is counted up normally.

符号Ｇ２ａは、車両ＥＣＵ１１が故障している場合の状態判定値の時刻変化の例を示す。本例において、状態判定値は、時刻ｔ１において「５」ではなく、前回の周期と同じ「４」を示し、それ以降も「４」を示している。モータＥＣＵ１２は、時刻ｔ１において状態判定値が正常にカウントアップしていないことを検出することにより車両ＥＣＵ１１が異常状態であると判定する。 Symbol G2a shows an example of the change in the state determination value over time when the vehicle ECU 11 is malfunctioning. In this example, the state determination value is not "5" at time t1, but "4" as in the previous cycle, and continues to show "4" thereafter. The motor ECU 12 detects that the state determination value is not counting up normally at time t1, and thereby determines that the vehicle ECU 11 is in an abnormal state.

符号Ｇ３ａは、車両ＥＣＵ１１が故障している場合の状態判定値の時刻変化の他の例を示す。本例において、状態判定値は、時刻ｔ２において「６」ではなく、「６」の後の「０」を示している。つまり、状態判定値は、「６」をスキップしてカウントアップしている。モータＥＣＵ１２は、時刻ｔ２において状態判定値が正常にカウントアップしていないことを検出することにより車両ＥＣＵ１１が異常状態であると判定する。 Symbol G3a shows another example of the change in the state determination value over time when the vehicle ECU 11 is malfunctioning. In this example, the state determination value is not "6" at time t2, but rather "0" after "6". In other words, the state determination value counts up by skipping "6". The motor ECU 12 detects that the state determination value is not counting up normally at time t2 and thereby determines that the vehicle ECU 11 is in an abnormal state.

このように車両ＥＣＵ１１は、異常状態である場合、一定周期で所定の数値パタンを繰り返す状態判定値を出力する。このため、モータＥＣＵ１２は、例えば周期Δｔでカウントアップするカウンタにより容易に車両ＥＣＵ１１の異常状態を判定することができる。 In this way, when the vehicle ECU 11 is in an abnormal state, it outputs a state determination value that repeats a predetermined numerical pattern at a constant cycle. Therefore, the motor ECU 12 can easily determine the abnormal state of the vehicle ECU 11 by using, for example, a counter that counts up at a cycle of Δt.

状態判定値は、上記のようなカウントアップの繰り返しに限定されず、例えば単純な周期的パルスパタンであってもよい、所定の数値パタンの繰り返しであってもよい。つまり、状態判定値は所定の規則性を有していればよい。 The state determination value is not limited to the repeated count-up as described above, but may be, for example, a simple periodic pulse pattern or a repetition of a predetermined numerical pattern. In other words, the state determination value only needs to have a predetermined regularity.

すなわち、モータＥＣＵ１２は、状態判定値が所定の規則性を有している場合、車両ＥＣＵ１１が正常状態であると判定し、状態判定値が所定の規則性を有していない場合、車両ＥＣＵ１１が異常状態であると判定する。このため、モータＥＣＵ１２は、例えば単に信号値のレベル（ハイレベルまたはローレベル）で車両ＥＣＵ１１の故障を判定する場合より正確に車両ＥＣＵ１１の故障を検出することができる。 In other words, if the state determination value has a predetermined regularity, the motor ECU 12 determines that the vehicle ECU 11 is in a normal state, and if the state determination value does not have the predetermined regularity, the motor ECU 12 determines that the vehicle ECU 11 is in an abnormal state. Therefore, the motor ECU 12 can detect a failure of the vehicle ECU 11 more accurately than when the failure of the vehicle ECU 11 is determined simply from the level of the signal value (high level or low level), for example.

（電池ＥＣＵ、車両ＥＣＵ、及びモータＥＣＵの動作シーケンス）
図４は、バッテリ２１が正常である場合の電池ＥＣＵ１０、車両ＥＣＵ１１、及びモータＥＣＵ１２の動作の一例を示すシーケンス図である。電池ＥＣＵ１０は、センサユニット２０から各検出値を取得することによりによりバッテリ２１の状態を監視する（符号Ｓ１）。電池ＥＣＵ１０は、監視結果から充電量及び入出力制限値を算出してバッテリ状態情報として車両ＥＣＵ１１に送信する。 (Operation Sequence of Battery ECU, Vehicle ECU, and Motor ECU)
4 is a sequence diagram showing an example of the operation of the battery ECU 10, the vehicle ECU 11, and the motor ECU 12 when the battery 21 is normal. The battery ECU 10 monitors the state of the battery 21 by acquiring each detection value from the sensor unit 20 (reference S1). The battery ECU 10 calculates the charge amount and input/output limit values from the monitoring results and transmits them to the vehicle ECU 11 as battery state information.

また、車両ＥＣＵ１１は、正常状態を示す状態判定値をモータＥＣＵ１２に送信する。モータＥＣＵ１２は、状態判定値に基づき車両ＥＣＵ１１が正常状態であると判定する（符号Ｓ４）。 The vehicle ECU 11 also transmits a state determination value indicating a normal state to the motor ECU 12. The motor ECU 12 determines that the vehicle ECU 11 is in a normal state based on the state determination value (reference S4).

次に車両ＥＣＵ１１は、アクセルセンサ値、ブレーキセンサ値、及び速度センサ値を受信する（符号Ｓ２）。次に車両ＥＣＵ１１は、アクセルセンサ値、ブレーキセンサ値、速度センサ値、及びバッテリ状態情報からトルク指令値を算出する（符号Ｓ３）。 Next, the vehicle ECU 11 receives the accelerator sensor value, the brake sensor value, and the speed sensor value (reference S2). Next, the vehicle ECU 11 calculates a torque command value from the accelerator sensor value, the brake sensor value, the speed sensor value, and the battery state information (reference S3).

次に車両ＥＣＵ１１は、トルク指令値をモータＥＣＵ１２に送信する。モータＥＣＵ１２は、トルク指令値に基づき、インバータ２４に対しスイッチング信号を出力することによりＭＧ２５を制御する（符号Ｓ５）。 Next, the vehicle ECU 11 transmits the torque command value to the motor ECU 12. The motor ECU 12 controls the MG 25 by outputting a switching signal to the inverter 24 based on the torque command value (reference S5).

図５は、バッテリ２１が異常状態である場合の電池ＥＣＵ１０、車両ＥＣＵ１１、及びモータＥＣＵ１２の動作の一例を示すシーケンス図である。本例において、車両ＥＣＵ１１は正常状態である。 Figure 5 is a sequence diagram showing an example of the operation of the battery ECU 10, the vehicle ECU 11, and the motor ECU 12 when the battery 21 is in an abnormal state. In this example, the vehicle ECU 11 is in a normal state.

電池ＥＣＵ１０は、センサユニット２０から各検出値を取得することによりバッテリ２１の状態を監視する（符号Ｓ１１）。本例では、電池ＥＣＵ１０は、例えばセンサユニット２０が検出した温度が閾値以上であることからバッテリ２１が異常状態であると判定する。電池ＥＣＵ１０は、バッテリ異常情報を車両ＥＣＵ１１に送信する。 The battery ECU 10 monitors the state of the battery 21 by acquiring each detection value from the sensor unit 20 (reference S11). In this example, the battery ECU 10 determines that the battery 21 is in an abnormal state because, for example, the temperature detected by the sensor unit 20 is equal to or higher than a threshold value. The battery ECU 10 transmits battery abnormality information to the vehicle ECU 11.

また、車両ＥＣＵ１１は、正常状態を示す状態判定値をモータＥＣＵ１２に送信する。モータＥＣＵ１２は、状態判定値に基づき車両ＥＣＵ１１が正常状態であると判定する（符号Ｓ１３）。また、車両ＥＣＵ１１は、グローバル通信バスＧＢａを介してアクセルセンサ値、ブレーキセンサ値、及び速度センサ値を受信する（符号Ｓ１２）。 The vehicle ECU 11 also transmits a state determination value indicating a normal state to the motor ECU 12. The motor ECU 12 determines that the vehicle ECU 11 is in a normal state based on the state determination value (reference S13). The vehicle ECU 11 also receives the accelerator sensor value, the brake sensor value, and the speed sensor value via the global communication bus GBa (reference S12).

次に車両ＥＣＵ１１は、バッテリ異常情報を受信すると、通常のトルク指令値の算出を行わずにフェイルセーフモードに移行する（符号Ｓ１４）。次に車両ＥＣＵ１１はフェイルセーフモードにおいてＳＭＲ２２を遮断する（符号Ｓ１５）。これにより、バッテリ２１とＭＧ２５の間の電気的な接続が切断される。 Next, when the vehicle ECU 11 receives the battery abnormality information, it transitions to a fail-safe mode without calculating the normal torque command value (reference S14). Next, the vehicle ECU 11 shuts off the SMR 22 in the fail-safe mode (reference S15). This cuts off the electrical connection between the battery 21 and the MG 25.

次に車両ＥＣＵ１１はトルク出力停止指示をモータＥＣＵ１２に送信する。モータＥＣＵ１２は、トルク出力停止指示を受信すると、インバータ２４に対しトルク出力停止制御を行う（符号Ｓ１６）。このとき、モータＥＣＵ１２は、三相交流電流が０（Ａ）となるようにスイッチング信号のデューティ比を制御する。これにより、ＭＧ２５の動作が停止する。 Next, the vehicle ECU 11 transmits a torque output stop command to the motor ECU 12. Upon receiving the torque output stop command, the motor ECU 12 performs torque output stop control on the inverter 24 (reference S16). At this time, the motor ECU 12 controls the duty ratio of the switching signal so that the three-phase AC current becomes 0 (A). This stops the operation of the MG 25.

また、電池ＥＣＵ１０は、バッテリ２１の異常状態を検出したため、バッテリ異常情報の送信タイミングから例えば期間Ｔの経過後、センサユニット２０からバッテリ２１の電流値を取得する（符号Ｓ１７）。すなわち、電池ＥＣＵ１０は、再度、バッテリ２１の監視を行う。電池ＥＣＵ１０は、バッテリ２１の電流値を閾値ＴＨと比較し、電流値が実質的に０（Ａ）、つまり電流値＜ＴＨであることを検出することにより車両ＥＣＵ１１のフェイルセーフ動作が成功であると判定する（符号Ｓ１８）。 Furthermore, since the battery ECU 10 has detected an abnormal state of the battery 21, after a period of time T has elapsed from the timing of transmitting the battery abnormality information, the battery ECU 10 acquires the current value of the battery 21 from the sensor unit 20 (reference S17). That is, the battery ECU 10 monitors the battery 21 again. The battery ECU 10 compares the current value of the battery 21 with the threshold value TH, and determines that the current value is substantially 0 (A), that is, the current value < TH, thereby determining that the fail-safe operation of the vehicle ECU 11 has been successful (reference S18).

図６は、車両ＥＣＵ１１のフェイルセーフ動作の一例を示す図である。車両ＥＣＵ１１は、バッテリ２１が異常状態であるため、フェイルセーフモードに移行してＳＭＲ２２に遮断信号を出力することによりバッテリ２１とＭＧ２５の間の電気的な接続を遮断する。このため、バッテリ２１の電流値は閾値ＴＨ未満（実質的に０（Ａ））となり、電池ＥＣＵ１０は、車両ＥＣＵ１１のフェイルセーフ（ＦＳ）動作が成功したと判定する。 Figure 6 is a diagram showing an example of the fail-safe operation of the vehicle ECU 11. Because the battery 21 is in an abnormal state, the vehicle ECU 11 transitions to a fail-safe mode and outputs a cutoff signal to the SMR 22, thereby cutting off the electrical connection between the battery 21 and the MG 25. As a result, the current value of the battery 21 becomes less than the threshold value TH (effectively 0 (A)), and the battery ECU 10 determines that the fail-safe (FS) operation of the vehicle ECU 11 has been successful.

また、車両ＥＣＵ１１は、ＳＭＲ２２を遮断状態に制御したため、トルク出力停止指示をモータＥＣＵ１２に送信する。モータＥＣＵ１２は、トルク出力停止指示に従って、三相交流電流が０（Ａ）となるようにインバータ２４にスイッチング信号を出力する。 In addition, because the vehicle ECU 11 has controlled the SMR 22 to the cut-off state, it transmits a torque output stop command to the motor ECU 12. In response to the torque output stop command, the motor ECU 12 outputs a switching signal to the inverter 24 so that the three-phase AC current becomes 0 (A).

このように、車両ＥＣＵ１１は、バッテリ２１が異常状態である場合、フェイルセーフ動作を実行することにより車両９の動作を安全に停止することができる。 In this way, if the battery 21 is in an abnormal state, the vehicle ECU 11 can safely stop the operation of the vehicle 9 by performing a fail-safe operation.

図７は、バッテリ２１が異常状態である場合の電池ＥＣＵ１０、車両ＥＣＵ１１、及びモータＥＣＵ１２の動作の他の例を示すシーケンス図である。本例において、車両ＥＣＵ１１は異常状態である。 Figure 7 is a sequence diagram showing another example of the operation of the battery ECU 10, the vehicle ECU 11, and the motor ECU 12 when the battery 21 is in an abnormal state. In this example, the vehicle ECU 11 is in an abnormal state.

電池ＥＣＵ１０は、センサユニット２０から各検出値を取得することによりバッテリ２１の状態を監視する（符号Ｓ２１）。本例では、電池ＥＣＵ１０は、センサユニット２０の各検出値からバッテリ２１が異常状態であると判定する。電池ＥＣＵ１０は、バッテリ異常情報を車両ＥＣＵ１１に送信する。 The battery ECU 10 monitors the state of the battery 21 by acquiring each detection value from the sensor unit 20 (reference S21). In this example, the battery ECU 10 determines that the battery 21 is in an abnormal state from each detection value of the sensor unit 20. The battery ECU 10 transmits battery abnormality information to the vehicle ECU 11.

車両ＥＣＵ１１には故障が発生している（符号Ｓ２２）。車両ＥＣＵ１１は、故障により状態判定値を正常にカウントアップすることができない。このため、車両ＥＣＵ１１は、異常状態を示す状態判定値をモータＥＣＵ１２に送信する。モータＥＣＵ１２は、状態判定値を受信することにより車両ＥＣＵ１１が異常状態であることを判定する（符号Ｓ２３）。 A malfunction has occurred in the vehicle ECU 11 (reference S22). Due to the malfunction, the vehicle ECU 11 is unable to count up the state determination value normally. Therefore, the vehicle ECU 11 transmits a state determination value indicating an abnormal state to the motor ECU 12. The motor ECU 12 receives the state determination value and determines that the vehicle ECU 11 is in an abnormal state (reference S23).

また、電池ＥＣＵ１０は、バッテリ２１の異常状態を検出したため、バッテリ異常情報の送信タイミングから例えば期間Ｔの経過後、センサユニット２０からバッテリ２１の電流値を取得する（符号Ｓ２４）。すなわち、電池ＥＣＵ１０は、再度、バッテリ２１の監視を行う。電池ＥＣＵ１０は、バッテリ２１の電流値を閾値ＴＨと比較し、電流値が０（Ａ）ではない、つまり電流値≧ＴＨであることを検出することにより車両ＥＣＵ１１のフェイルセーフ動作が失敗であると判定する（符号Ｓ２５）。 Furthermore, since the battery ECU 10 has detected an abnormal state of the battery 21, after a period of time T has elapsed from the timing of transmitting the battery abnormality information, the battery ECU 10 acquires the current value of the battery 21 from the sensor unit 20 (reference S24). That is, the battery ECU 10 monitors the battery 21 again. The battery ECU 10 compares the current value of the battery 21 with the threshold value TH, and determines that the fail-safe operation of the vehicle ECU 11 has failed by detecting that the current value is not 0 (A), i.e., that the current value is equal to or greater than TH (reference S25).

電池ＥＣＵ１０は、フェイルセーフ動作が失敗であるため、モータＥＣＵ１２に強制停止指示を送信する。モータＥＣＵ１２は、強制停止指示に従ってインバータ２４に対しゲート遮断を行うことによりＭＧ２５の動作を強制停止する（符号Ｓ２６）。 Because the fail-safe operation has failed, the battery ECU 10 sends a forced stop instruction to the motor ECU 12. In response to the forced stop instruction, the motor ECU 12 shuts off the gate of the inverter 24, thereby forcibly stopping the operation of the MG 25 (reference S26).

図８は、ＭＧ２５の動作の強制停止の一例を示す図である。車両ＥＣＵ１１は、故障のため、ＳＭＲ２２を遮断することができない（符号Ｐａ参照）。このため、バッテリ２１とＭＧ２５の間の接続は維持されたままとなる。 Figure 8 shows an example of a forced stop of the operation of the MG 25. The vehicle ECU 11 is unable to shut off the SMR 22 due to a malfunction (see symbol Pa). Therefore, the connection between the battery 21 and the MG 25 remains maintained.

また、車両ＥＣＵ１１は、故障のため、モータＥＣＵ１２にトルク出力停止指示を送信することができない（符号Ｐｂ参照）。このため、モータＥＣＵ１２はスイッチング信号により三相交流電流を０（Ａ）に制御することができない（符号Ｐｃ参照）。 In addition, due to a failure, the vehicle ECU 11 cannot send a torque output stop command to the motor ECU 12 (see symbol Pb). Therefore, the motor ECU 12 cannot control the three-phase AC current to 0 (A) using a switching signal (see symbol Pc).

ＳＭＲ２２が遮断されていないため、バッテリ２１の電流値は閾値ＴＨ以上となり、電池ＥＣＵ１０は、フェイルセーフ（ＦＳ）動作が失敗したと判定する。このため、電池ＥＣＵ１０は、グローバル通信バスＧＢａを介して強制停止指示をモータＥＣＵ１２に送信する。 Because the SMR 22 is not shut off, the current value of the battery 21 is equal to or greater than the threshold value TH, and the battery ECU 10 determines that the fail-safe (FS) operation has failed. Therefore, the battery ECU 10 sends a forced stop command to the motor ECU 12 via the global communication bus GBa.

このように電池ＥＣＵ１０は、バッテリ２１の監視結果に基づいて、ＭＧ２５とバッテリ２１の間に流れる電流の値が閾値未満であると判定した場合、車両ＥＣＵ１１の異常状態のためにＭＧ２５の動作の制限が実行されていないことを検出する。したがって、電池ＥＣＵ１０は、ＭＧ２５の動作の制限が実行されていないことを容易に判定することができる。 In this way, when the battery ECU 10 determines, based on the results of monitoring the battery 21, that the value of the current flowing between the MG 25 and the battery 21 is less than the threshold value, it detects that the operation of the MG 25 is not being restricted due to an abnormal state of the vehicle ECU 11. Therefore, the battery ECU 10 can easily determine that the operation of the MG 25 is not being restricted.

モータＥＣＵ１２は、車両ＥＣＵ１１が故障しているため、強制停止指示に従ってインバータ２４に強制停止信号を出力する。このため、インバータ２４内のＩＧＢＴは強制的にオフ状態となり、インバータ２４の動作は停止する。これにより、ＭＧ２５の動作が強制的に停止される。 Because the vehicle ECU 11 is faulty, the motor ECU 12 outputs a forced stop signal to the inverter 24 in accordance with the forced stop instruction. As a result, the IGBTs in the inverter 24 are forced to turn off, and the operation of the inverter 24 stops. This forces the operation of the MG 25 to stop.

このように、モータＥＣＵ１２は、車両ＥＣＵ１１が異常状態であると判定した場合、電池ＥＣＵ１０から受信した強制停止指示に従ってＭＧ２５の動作を強制的に停止制御する。しかし、以下のように、モータＥＣＵ１２は、車両ＥＣＵ１１が正常状態であると判定した場合、強制停止指示を受信してもＭＧ２５の動作を停止させない。 In this way, if the motor ECU 12 determines that the vehicle ECU 11 is in an abnormal state, it controls the operation of the MG 25 to be forcibly stopped in accordance with the forced stop instruction received from the battery ECU 10. However, as described below, if the motor ECU 12 determines that the vehicle ECU 11 is in a normal state, it does not stop the operation of the MG 25 even if it receives a forced stop instruction.

図９は、車両ＥＣＵ１１が正常状態である場合に偽の強制停止指示が送信されたときのモータＥＣＵ１２の動作を示すシーケンス図である。本例において、車両ＥＣＵ１１は正常状態である。 Figure 9 is a sequence diagram showing the operation of the motor ECU 12 when a false forced stop instruction is sent when the vehicle ECU 11 is in a normal state. In this example, the vehicle ECU 11 is in a normal state.

車両ＥＣＵ１１は、正常状態を示す状態判定値をモータＥＣＵ１２に送信する。モータＥＣＵ１２は、状態判定値に基づき車両ＥＣＵ１１が正常状態であると判定する（符号Ｓ３１）。 The vehicle ECU 11 transmits a state determination value indicating a normal state to the motor ECU 12. The motor ECU 12 determines that the vehicle ECU 11 is in a normal state based on the state determination value (reference S31).

例えば悪意のあるユーザが端末装置８から通信インターフェース部１６に偽の強制停止指示を入力する。偽の強制停止指示は通信インターフェース部１６からモータＥＣＵ１２に送信される。 For example, a malicious user inputs a false forced stop command from the terminal device 8 to the communication interface unit 16. The false forced stop command is transmitted from the communication interface unit 16 to the motor ECU 12.

しかし、モータＥＣＵ１２は、車両ＥＣＵ１１が正常状態であると判定済みであるため、偽の強制停止指示を廃棄する（符号Ｓ３２）。このため、モータＥＣＵ１２は、偽の強制停止指示に従ってＭＧ２５の動作を停止させることが抑制される。これは、仮にモータＥＣＵ１２が、車両ＥＣＵ１１が正常状態であるにもかかわらず、誤って強制停止指示を送信した場合も同様である。すなわち、モータＥＣＵ１２は、状態判定値が正常状態を示す場合、強制停止指示に従わずにＭＧ２５の動作を継続させる。 However, because the motor ECU 12 has already determined that the vehicle ECU 11 is in a normal state, it discards the false forced stop instruction (reference S32). This prevents the motor ECU 12 from stopping the operation of the MG 25 in accordance with the false forced stop instruction. This also applies if the motor ECU 12 erroneously transmits a forced stop instruction even though the vehicle ECU 11 is in a normal state. In other words, if the state determination value indicates a normal state, the motor ECU 12 continues the operation of the MG 25 without following the forced stop instruction.

図１０は、電池ＥＣＵ１０の動作の一例を示すフローチャートである。電池ＥＣＵ１０は、センサユニット２０からバッテリ２１の各検出値を取得する（ステップＳｔ１）。これにより電池ＥＣＵ１０はバッテリ２１の状態を監視する。 Figure 10 is a flowchart showing an example of the operation of the battery ECU 10. The battery ECU 10 acquires each detection value of the battery 21 from the sensor unit 20 (step St1). In this way, the battery ECU 10 monitors the state of the battery 21.

次に電池ＥＣＵ１０は、バッテリ２１の各検出値からバッテリ２１が異常状態であるか否かを判定する（ステップＳｔ２）。電池ＥＣＵ１０は、バッテリ２１が正常状態である場合（ステップＳｔ２のＮｏ）、充電量及び入出力制限値などのバッテリ状態情報を車両ＥＣＵ１１に送信する（ステップＳｔ９）。 Next, the battery ECU 10 determines whether the battery 21 is in an abnormal state based on each detection value of the battery 21 (step St2). If the battery 21 is in a normal state (No in step St2), the battery ECU 10 transmits battery state information such as the charge amount and input/output limit values to the vehicle ECU 11 (step St9).

また、電池ＥＣＵ１０は、バッテリ２１が異常状態である場合（ステップＳｔ２のＹｅｓ）、車両ＥＣＵ１１をフェイルセーフモードに移行させるためにバッテリ異常情報を車両ＥＣＵ１１に送信する（ステップＳｔ３）。バッテリ２１の異常状態とは、例えば過電圧、センサユニット２０の故障、及び高温などが挙げられる。その後、電池ＥＣＵ１０は、フェイルセーフ動作の完了に必要な期間Ｔだけ待機する（ステップＳｔ４）。 If the battery 21 is in an abnormal state (Yes in step St2), the battery ECU 10 transmits battery abnormality information to the vehicle ECU 11 to transition the vehicle ECU 11 to a fail-safe mode (step St3). Examples of abnormal states of the battery 21 include overvoltage, failure of the sensor unit 20, and high temperature. The battery ECU 10 then waits for a period T required to complete the fail-safe operation (step St4).

次に電池ＥＣＵ１０はセンサユニット２０からバッテリ２１の電流値を取得する（ステップＳｔ５）。次に電池ＥＣＵ１０は電流値を閾値ＴＨ（＞０）と比較する（ステップＳｔ６）。 Next, the battery ECU 10 acquires the current value of the battery 21 from the sensor unit 20 (step St5). Next, the battery ECU 10 compares the current value with a threshold value TH (>0) (step St6).

電池ＥＣＵ１０は、電流値＜ＴＨが成立する場合（ステップＳｔ６のＮｏ）、フェイルセーフ動作により電流値が実質的に０（Ａ）になったと判断し、車両ＥＣＵ１１のフェイルセーフ動作が成功したと判定する（ステップＳｔ１０）。その後、電池ＥＣＵ１０は動作を終了する。 If the current value is less than TH (No in step St6), the battery ECU 10 determines that the current value has become substantially 0 (A) due to the fail-safe operation, and determines that the fail-safe operation of the vehicle ECU 11 has been successful (step St10). After that, the battery ECU 10 ends its operation.

また、電池ＥＣＵ１０は、電流値≧ＴＨが成立する場合（ステップＳｔ６のＹｅｓ）、車両ＥＣＵ１１のフェイルセーフ動作が失敗したと判定する（ステップＳｔ７）。次に電池ＥＣＵ１０はグローバル通信バスＧＢａを介して強制停止指示をモータＥＣＵ１２に送信する（ステップＳｔ８）。その後、電池ＥＣＵ１０は動作を終了する。 If the current value ≧TH is satisfied (Yes in step St6), the battery ECU 10 determines that the fail-safe operation of the vehicle ECU 11 has failed (step St7). Next, the battery ECU 10 transmits a forced stop command to the motor ECU 12 via the global communication bus GBa (step St8). After that, the battery ECU 10 ends its operation.

また、電池ＥＣＵ１０は、ＭＧ２５とバッテリ２１の間に流れる電流の値が閾値ＴＨ未満である場合、フェイルセーフ動作が成功したと判定し、電流の値が閾値ＴＨ以上である場合、フェイルセーフ動作が失敗したと判定する。このため、電池ＥＣＵ１０は、ＭＧ２５とバッテリ２１の間の接続が遮断するフェイルセーフ動作の成否を電流値から容易に判定することができる。 In addition, the battery ECU 10 determines that the fail-safe operation has been successful if the value of the current flowing between the MG 25 and the battery 21 is less than the threshold value TH, and determines that the fail-safe operation has failed if the value of the current is equal to or greater than the threshold value TH. Therefore, the battery ECU 10 can easily determine from the current value whether the fail-safe operation of cutting off the connection between the MG 25 and the battery 21 has been successful.

図１１は、状態判定値Ｎに基づく車両ＥＣＵ１１の状態判定処理を示すフローチャートである。本処理は、図３に示される周期Δｔごとに実行される。変数ｎ（＝０，１，２，・・・，６）は状態判定値Ｎの期待値である。なお、変数ｎ及び状態判定値Ｎの初期値は「０」であると仮定する。 Figure 11 is a flowchart showing the state determination process of the vehicle ECU 11 based on the state determination value N. This process is executed every period Δt shown in Figure 3. The variable n (= 0, 1, 2, ..., 6) is the expected value of the state determination value N. It is assumed that the initial values of the variable n and the state determination value N are "0".

モータＥＣＵ１２は、車両ＥＣＵ１１からローカル通信バスＬＢｂを介して状態判定値Ｎを取得する（ステップＳｔ２１）。次にモータＥＣＵ１２は状態判定値Ｎを変数ｎと比較する（ステップＳｔ２２）。モータＥＣＵ１２は、状態判定値Ｎと変数ｎが互いに一致した場合（ステップＳｔ２２のＹｅｓ）、車両ＥＣＵ１１が正常状態であると判定する（ステップＳｔ２３）。 The motor ECU 12 acquires the state determination value N from the vehicle ECU 11 via the local communication bus LBb (step St21). Next, the motor ECU 12 compares the state determination value N with the variable n (step St22). If the state determination value N and the variable n match (Yes in step St22), the motor ECU 12 determines that the vehicle ECU 11 is in a normal state (step St23).

次にモータＥＣＵ１２は、変数ｎを上限値ｎ＿ｍａｘ（１以上の整数）と比較する（ステップＳｔ２４）。ここで、上限値ｎ＿ｍａｘは、図３の例の場合、「６」である。モータＥＣＵ１２は、変数ｎと上限値ｎ＿ｍａｘが互いに一致する場合（ステップＳｔ２４のＹｅｓ）、変数ｎを「０」に設定する（ステップＳｔ２５）。また、モータＥＣＵ１２は、変数ｎと上限値ｎ＿ｍａｘが互いに一致しない場合（ステップＳｔ２４のＮｏ）、変数ｎに１を加算する（ステップＳｔ２６）。これにより変数ｎが状態判定値Ｎの次の周期の期待値に更新される。その後、処理は終了する。 Next, the motor ECU 12 compares the variable n with an upper limit value n_max (an integer equal to or greater than 1) (step St24). Here, the upper limit value n_max is "6" in the example of FIG. 3. If the variable n and the upper limit value n_max match each other (Yes in step St24), the motor ECU 12 sets the variable n to "0" (step St25). If the variable n and the upper limit value n_max do not match each other (No in step St24), the motor ECU 12 adds 1 to the variable n (step St26). This updates the variable n to the expected value for the next cycle of the state determination value N. The process then ends.

また、モータＥＣＵ１２は、状態判定値Ｎと変数ｎが互いに一致しない場合（ステップＳｔ２２のＮｏ）、車両ＥＣＵ１１が故障のために異常状態であると判定する（ステップＳｔ２７）。その後、処理は終了する。 If the state determination value N and the variable n do not match each other (No in step St22), the motor ECU 12 determines that the vehicle ECU 11 is in an abnormal state due to a malfunction (step St27). Then, the process ends.

このように、モータＥＣＵ１２は、状態判定値Ｎが周期Δｔごとに１ずつカウントアップしている場合、車両ＥＣＵ１１が正常状態であると判定し、状態判定値Ｎが周期Δｔごとに１ずつカウントアップしていない場合、車両ＥＣＵ１１が異常状態であると判定する。 In this way, if the state determination value N counts up by one every period Δt, the motor ECU 12 determines that the vehicle ECU 11 is in a normal state, and if the state determination value N does not count up by one every period Δt, the motor ECU 12 determines that the vehicle ECU 11 is in an abnormal state.

図１２は、ＭＧ２５の制御処理の一例を示すフローチャートである。モータＥＣＵ１２は本処理を例えば所定の周期で実行する。 Figure 12 is a flowchart showing an example of the control process of the MG 25. The motor ECU 12 executes this process, for example, at a predetermined interval.

モータＥＣＵ１２は、車両ＥＣＵ１１からトルク指令値を受信しているか否かを判定する（ステップＳｔ３１）。モータＥＣＵ１２は、トルク指令値を受信している場合（ステップＳｔ３１のＹｅｓ）、トルク指令値に基づきＭＧ２５のｄ軸及びｑ軸の各電流指令値を算出する（ステップＳｔ３２）。ここでモータＥＣＵ１２は、例えばトルク指令値に対応するＭＧ２５の電流実効値及び電流進角をマップデータから取得し、電流実効値及び電流進角から所定の算出式に基づいて各電流指令値を算出する。 The motor ECU 12 determines whether or not a torque command value has been received from the vehicle ECU 11 (step St31). If the motor ECU 12 has received a torque command value (Yes in step St31), it calculates each current command value for the d-axis and q-axis of the MG 25 based on the torque command value (step St32). Here, the motor ECU 12 obtains, for example, the effective current value and current advance angle of the MG 25 corresponding to the torque command value from map data, and calculates each current command value from the effective current value and current advance angle based on a predetermined calculation formula.

次にモータＥＣＵ１２は、電流センサ２６及び回転位置センサ２７の各検出値から三相交流電流のｄ軸及びｑ軸の各電流値を取得する（ステップＳｔ３３）ここでモータＥＣＵ１２は、回転位置センサ２７の検出値からＭＧ２５の電気角を算出し、電流センサ２６が検出した三相交流電流の各電流値を、電気角を用いて３相－２相変換することによりｄ軸電流Ｉｄ及びｑ軸電流Ｉｑを取得する。 Next, the motor ECU 12 obtains the d-axis and q-axis current values of the three-phase AC current from the detection values of the current sensor 26 and the rotational position sensor 27 (step St33). Here, the motor ECU 12 calculates the electrical angle of the MG 25 from the detection value of the rotational position sensor 27, and obtains the d-axis current Id and the q-axis current Iq by performing a 3-phase-to-2-phase conversion on the current values of the three-phase AC current detected by the current sensor 26 using the electrical angle.

次にモータＥＣＵ１２は、ｄ軸の電流指令値及び電流値とｑ軸の電流指令値及び電流値からＭＧ２５の三相交流電圧の各相（ｕ相、ｖ相、及びｗ相）の電圧指令値をそれぞれ算出する（ステップＳｔ３４）。ここでモータＥＣＵ１２は、ｄ軸の電流指令値及び電流値の差分とｑ軸の電流指令値及び電流値の差分をフィードバック制御することによりｄ軸及びｑ軸の各電圧指令値をそれぞれ算出する。モータＥＣＵ１２は、ＭＧ２５の電気角を用いてｄ軸及びｑ軸の各電圧指令値を２相－３相変換することにより三相交流電圧の各相の電圧指令値を算出する。 Next, the motor ECU 12 calculates the voltage command values for each phase (u-phase, v-phase, and w-phase) of the three-phase AC voltage of the MG 25 from the d-axis current command value and current value and the q-axis current command value and current value (step St34). Here, the motor ECU 12 calculates each of the d-axis and q-axis voltage command values by feedback control of the difference between the d-axis current command value and current value and the difference between the q-axis current command value and current value. The motor ECU 12 calculates the voltage command values for each phase of the three-phase AC voltage by performing a 2-phase-3-phase conversion of each of the d-axis and q-axis voltage command values using the electrical angle of the MG 25.

次にモータＥＣＵ１２は、各相の電圧指令値に基づきスイッチング信号を生成してインバータ２４に出力する（ステップＳｔ３５）。ここでモータＥＣＵ１２は、電圧指令値からデューティ演算を行う。 Next, the motor ECU 12 generates a switching signal based on the voltage command value of each phase and outputs it to the inverter 24 (step St35). Here, the motor ECU 12 performs a duty calculation from the voltage command value.

図１３は、スイッチング信号の一例を示す図である。モータＥＣＵ１２は、時間軸において、三角波状に変化するキャリア信号を生成して、正弦波状に変化する各相の電圧指令値とキャリア信号の信号値を比較する。キャリア信号は、スイッチング信号のオンオフタイミングを決めるための信号であり、キャリア信号の信号値が電圧指令値以上である場合、スイッチング信号はオフとなり、キャリア信号の信号値が電圧指令値未満である場合、スイッチング信号はオフとなる。 Figure 13 is a diagram showing an example of a switching signal. The motor ECU 12 generates a carrier signal that changes in a triangular wave shape on the time axis, and compares the signal value of the carrier signal with the voltage command value of each phase that changes in a sinusoidal wave shape. The carrier signal is a signal that determines the on/off timing of the switching signal. When the signal value of the carrier signal is equal to or greater than the voltage command value, the switching signal is turned off, and when the signal value of the carrier signal is less than the voltage command value, the switching signal is turned off.

モータＥＣＵ１２は、スイッチング信号がオンとなる時間Ｔｏｎ、及びスイッチング信号がオフとなる時間Ｔｏｆｆを算出する。この時間Ｔｏｎ，Ｔｏｆｆによりスイッチング信号のデューティ比が決定される。 The motor ECU 12 calculates the time Ton when the switching signal is on and the time Toff when the switching signal is off. The duty ratio of the switching signal is determined by these times Ton and Toff.

再び図１２を参照すると、モータＥＣＵ１２は、トルク指令値を受信していない場合（ステップＳｔ３１のＮｏ）、車両ＥＣＵ１１からローカル通信バスＬＢｂを介してトルク出力停止指示を受信しているか否かを判定する（ステップＳｔ３６）。モータＥＣＵ１２は、トルク出力停止指示を受信している場合（ステップＳｔ３６のＹｅｓ）、ｄ軸及びｑ軸の各電流指令値を０（Ａ）に設定する（ステップＳｔ３７）。これによりＭＧ２５のトルクが０（Ｎ・ｍ）となる。 Referring again to FIG. 12, if the motor ECU 12 has not received a torque command value (No in step St31), it determines whether or not it has received a torque output stop command from the vehicle ECU 11 via the local communication bus LBb (step St36). If the motor ECU 12 has received a torque output stop command (Yes in step St36), it sets the d-axis and q-axis current command values to 0 (A) (step St37). This causes the torque of the MG 25 to become 0 (N·m).

また、モータＥＣＵ１２は、トルク出力停止指示を受信していない場合（ステップＳｔ３６のＮｏ）、電池ＥＣＵ１０からグローバル通信バスＧＢａを介して強制停止指示を受信しているか否かを判定する（ステップＳｔ３８）。モータＥＣＵ１２は、強制停止指示を受信していない場合（ステップＳｔ３８のＮｏ）、本処理を終了する。 If the motor ECU 12 has not received a torque output stop command (No in step St36), it determines whether or not it has received a forced stop command from the battery ECU 10 via the global communication bus GBa (step St38). If the motor ECU 12 has not received a forced stop command (No in step St38), it ends this process.

モータＥＣＵ１２は、強制停止指示を受信している場合（ステップＳｔ３８のＹｅｓ）、車両ＥＣＵ１１が異常状態であるか否かを判定する（ステップＳｔ３９）。車両ＥＣＵ１１の状態の判定は、図１１に示される状態判定処理により行われる。モータＥＣＵ１２は、車両ＥＣＵ１１が正常状態である場合（ステップＳｔ３９のＮｏ）、本処理を終了する。 If the motor ECU 12 has received a forced stop instruction (Yes in step St38), it determines whether the vehicle ECU 11 is in an abnormal state (step St39). The state of the vehicle ECU 11 is determined by the state determination process shown in FIG. 11. If the vehicle ECU 11 is in a normal state (No in step St39), the motor ECU 12 ends this process.

また、モータＥＣＵ１２は、車両ＥＣＵ１１が異常状態である場合（ステップＳｔ３９のＹｅｓ）、インバータ２４に対しゲート遮断制御を行う（ステップＳｔ４０）。これによりインバータ２４は動作を停止するため、ＭＧ２５の動作が停止する。 If the vehicle ECU 11 is in an abnormal state (Yes in step St39), the motor ECU 12 performs gate blocking control on the inverter 24 (step St40). This stops the operation of the inverter 24, and therefore the operation of the MG 25.

上述したように、電池ＥＣＵ１０は、バッテリ２１の監視結果に基づいて、バッテリ２１が異常状態であること、及び車両ＥＣＵ１１の異常状態のためにＭＧ２５の動作の制限が実行されていないことを検出したとき、モータＥＣＵ１２にＭＧ２５の強制停止を指示する。モータＥＣＵ１２は、状態判定値Ｎが車両ＥＣＵ１１の異常状態を示す場合、電池ＥＣＵ１０からのＭＧ２５強制停止指示に従ってＭＧ２５の動作を停止させ、状態判定値Ｎが車両ＥＣＵ１１の正常状態を示す場合、電池ＥＣＵ１０からの強制停止指示に従わずにＭＧ２５の動作を継続させる。 As described above, when the battery ECU 10 detects, based on the results of monitoring the battery 21, that the battery 21 is in an abnormal state and that restrictions on the operation of the MG 25 are not being executed due to the abnormal state of the vehicle ECU 11, it instructs the motor ECU 12 to forcibly stop the MG 25. If the state determination value N indicates an abnormal state of the vehicle ECU 11, the motor ECU 12 stops the operation of the MG 25 in accordance with the MG 25 forcible stop instruction from the battery ECU 10, and if the state determination value N indicates a normal state of the vehicle ECU 11, it continues the operation of the MG 25 without following the forcible stop instruction from the battery ECU 10.

したがって、モータＥＣＵ１２は、バッテリ２１の異常時において車両ＥＣＵ１１が故障して異常状態である場合、ＭＧ２５の動作を停止することができる。このため、車両制御装置１は、車両ＥＣＵ１１がフェイルセーフ動作を行えない場合、車両ＥＣＵ１１に代えてモータＥＣＵ１２によりＭＧ２５の動作を停止させ、車両９を安全に停止することができる。よって、車両制御装置１によると、フェイルセーフ機能を向上することができる。 Therefore, when the vehicle ECU 11 fails and is in an abnormal state due to an abnormality in the battery 21, the motor ECU 12 can stop the operation of the MG 25. Therefore, when the vehicle ECU 11 cannot perform a fail-safe operation, the vehicle control device 1 can stop the operation of the MG 25 by the motor ECU 12 instead of the vehicle ECU 11, and safely stop the vehicle 9. Therefore, the vehicle control device 1 can improve the fail-safe function.

上述した実施形態は本発明の好適な実施の例である。但し、これに限定されるものではなく、本発明の要旨を逸脱しない範囲内において種々変形実施可能である。 The above-described embodiment is a preferred example of the present invention. However, the present invention is not limited to this embodiment, and various modifications are possible without departing from the spirit of the present invention.

１車両制御装置
９車両
１０電池ＥＣＵ（第１制御部）
１１車両ＥＣＵ（第３制御部）
１２モータＥＣＵ（第２制御部）
１６通信インターフェース部
２０センサユニット
２１バッテリ
２２ＳＭＲ
２４インバータ
２５ＭＧ（回転電機）
ＧＢａ～ＧＢｃグローバル通信バス
1 Vehicle control device 9 Vehicle 10 Battery ECU (first control unit)
11 vehicle ECU (third control unit)
12 Motor ECU (second control unit)
16 Communication interface unit 20 Sensor unit 21 Battery 22 SMR
24 Inverter 25 MG (rotating electric machine)
GBa-GBc Global Communication Bus

Claims

A rotating electric machine that drives a vehicle;
a battery electrically connected to the rotating electric machine;
a first control unit that monitors a state of the battery and detects an abnormal state from a result of monitoring the state of the battery;
A second control unit that controls an output of the rotating electric machine;
a third control unit that instructs the second control unit to output the rotating electric machine based on a result of monitoring the state of the battery, and executes a restriction on the operation of the rotating electric machine when the first control unit detects an abnormality in the battery,
the first control unit, when detecting, based on a result of monitoring the state of the battery, that the battery is in an abnormal state and that a restriction on the operation of the rotating electric machine is not being executed due to the abnormal state of the third control unit, instructs the second control unit to stop the operation of the rotating electric machine;
The third control unit outputs a status signal indicating a normal state or an abnormal state of the third control unit to the second control unit,
The second control unit is
When the state signal indicates an abnormal state of the third control unit, stopping the operation of the rotating electric machine in accordance with an instruction to stop the rotating electric machine from the first control unit;
When the state signal indicates a normal state of the third control unit, the rotating electric machine is continued to operate without following an instruction from the first control unit to stop the rotating electric machine.
Vehicle control device.

The second control unit determines that the third control unit is in a normal state when the status signal has a predetermined regularity, and determines that the third control unit is in an abnormal state when the status signal does not have the predetermined regularity.
The vehicle control device according to claim 1.

The third control unit outputs the status signal that repeats a predetermined numerical pattern at a constant period when the status signal is in a normal state.
The vehicle control device according to claim 2.

the third control unit, when the first control unit detects an abnormality in the battery, restricts the operation of the rotating electric machine by cutting off an electrical connection between the rotating electric machine and the battery.
4. A vehicle control device according to claim 1.

When the first control unit determines that a value of a current flowing between the rotating electric machine and the battery is less than a threshold value based on a result of monitoring the state of the battery, the first control unit detects that a restriction on the operation of the rotating electric machine is not being executed due to an abnormal state of the third control unit.
5. A vehicle control device according to claim 1.