技术领域
[0001] 本
发明属于
燃料电池汽车领域，具体涉及一种燃料电池汽车多源控制器及控制方法。
背景技术
[0002] 燃料电池
发动机控制器是燃料电池发动机的大脑，控制燃料电池发动机的安全可靠运行。燃料电池发动机控制器的功能主要包括气管理，电管理，
水管理，
热管理，通信功能与故障诊断。
[0003] (1)气管理，
氢燃料电池主要通过氢气与
氧气的反应来发电，因此气管理在系统中具有重要作用。首先根据当前设定的功率，来选择最佳运行状态下的反应气体压
力，另一方面，反应气体不断消耗，流量的变化会导致压力的
波动。为了保证燃料电池的正常运转，必须设计合理的气管理系统。
[0004] (2)电管理，燃料电池的电管理主要包括各个
单体电池的
电压检测、输出
电流过电流保护等。在燃料电池工作期间，
电池组监控器要实时检测单电池电压、输出总电压，输出电流等。若有某单电池损坏，则可能导致电池组不能正常运行，甚至爆炸。当输出电流过载时，电池组也会出现故障及危险，这时就要及时停止电池组工作。
[0005] (3)水管理，采用有效的水管理，不仅可以增加电池的
峰值功率，而且可以增大电池在峰值功率工作时的
稳定性。保持电池内部适当的湿度，并及时排除
阴极侧多余的水，是确保
质子交换膜燃料电池稳定运行及延长工作寿命的重要手段，为确保电池组性能，反应气必须预增湿。此电池组使用尾气循环反应气增湿方法。由于FCE电化学反应上生成的水和水在电池内传递，电池组排出尾气的湿度已经达到或接近100％，因此只要将电池尾气循环，与新进入尚未增湿的反应气混合，再进入电池组，即可达到对反应气增湿的目的。尾气循环采用
风机进行，电池组进口反应气的湿度则由循环尾气湿度与循环比决定。增加风机转速就可以增加循环比，从而提高反应气湿度。
[0006] (4)热管理，热管理是指对电池
工作温度的控制。在FCE电池组工作温度维持在60-75℃有50％左右的热量必须排除出。需要采取适当的冷却措施，如空冷或水冷，以维持电池组工作温度。若系统采用水冷，循环
冷却水通过去离子后进入水箱，通过调节水
泵的转速，可以控制冷却水的流量，冷却水经过两路，一路为
散热器，一路为旁路
阀，最后的回水再次回到水箱。通过调节旁路阀的开度，即可控制流经
散热器的水的比例，从而可以使燃料电池组快速升温。
冷却液采用去离子水，对水的电导要求非常严格。
[0007] (5)通信功能，FCE作为整车的一部分，需要接收整车控制器的工作指令并向整车控制器汇报当前FCE的工作状态与工作参数，这都需要通过FCE控制器的通信功能实现。同时，FCE控制器还需要与电脑、诊断仪等设备通信以实现调试与故障诊断等功能。
[0008] (6)故障诊断，控制器故障诊断功能可以快速
定位汽车电气故障；同时保证行车过程中出现电气故障时车辆的安全性，合理的故障处理是汽车功能安全的核心。FCE控制器故障诊断完善程度决定了FCE与燃料电池汽车安全性可靠性与长期可维护性。
[0009] 现有氢气为燃料的燃料电池的控制器主要包括电源管理模
块、氧
传感器控
制模块、燃气
喷嘴控制模块、节气
门控制模块、模拟输入输出模块、
开关量输入输出模块、接
插件、
单片机。
[0010] 现有的燃料电池发动机控制器，处于高速发展时期，但批量规模仍较小，
质量层次不齐。燃料电池系统是一个多输入多输出的复杂电化学装置，燃料电池一般是由很多单体
串联而成。在燃料电池运行的过程中，燃料电池控制器能够实时检测和控制系统状态，根据电池的实际运行状态提供所需的原料和合适的环境，保证燃料电池可靠高效地运行。层次不齐的燃料电池发动机控制器质量是很难保证燃料电池系统高效可靠地运行的。
[0011] 现有的大多燃料电池发动机控制器大多经历的
迭代较少，较少考虑功能安全、电磁兼容、安全冗余及智能控制对芯片和系统的扩展要求。
[0012] 现有燃料电池汽车上整车控制器可提供的资源丰富、但实际资源使用量并不多，造成资源浪费。
[0013] 燃料电池汽车上燃料电池发动机控制器和整车控制器两套软
硬件独立设计运行，不利于资源整合，会造成资源浪费，难以减低成本。
[0014] 燃料电池汽车上燃料电池发动机控制器和整车控制器软硬件各自独立设计，不利功能安全、电磁兼容、安全冗余及智能控制对芯片和系统的综合需求设计，加大了系统风险。
发明内容
[0015] 本发明所要解决的技术问题是：提供一种燃料电池汽车多源控制器及控制方法，该多源控制器及控制方法解决了目前大多燃料电池发动机控制器硬件功能单一、品质参差不齐、可扩展性差、难以满足目前燃料电池发动机及汽车智能化控制的软硬件资源需求及现有燃料电池汽车上整车控制器上资源浪费的问题。
[0016] 本发明为解决上述技术问题采用以下技术方案：
[0017] 一种燃料电池汽车多源控制器，包括核心单片机、CAN
接口滤波
电路、
数字量输入扩展电路、数字量输出扩展电路、AD转换电路、电压-电流转换电路；CAN接口滤波电路分别与核心单片机的CAN端口和燃料电池系统的CAN网络连接；数字量输入扩展电路的输入端连接燃料电池的数字量传感器，输出端连接核心单片机的数字量输入端；数字量输出扩展电路的输入端连接核心单片机的数字量输出端，输出端连接燃料电池的感性负载；AD转换电路的输入端连接燃料电池的模拟量传感器，输出端连接核心单片机的模拟量输入端；电压-电流转换电路的输入端连接核心单片机的模拟量输出端，输出端连接燃料电池的DC/DC及
变频器；其中，数字量输入扩展电路、数字量输出扩展电路、模拟量输出端、CAN接口滤波电路与核心单片机之间均具有光
电隔离电路。
[0018] 所述数字量传感器包括档位
信号传感器、钥匙信号传感器、
离合器开关信号传感器。
[0019] 所述模拟量传感器包括
加速踏板信号采集传感器。
[0020] 还包括PWM信号采集电路、PWM信号输出电路；其中，PWM信号采集电路采集正弦或脉冲形式的
转速传感器信号；PWM信号输出电路能够控制风扇，并具有
电机驱动功能，能够驱动节气门电机。
[0021] 所述CAN端口的通信采用CANB2.0标准，通讯速率为500Kbps。
[0022] 一种燃料电池汽车多源控制器的控制方法，包括启动模式控制、
能量分配控制、
制动回馈控制、故障诊断及容错控制、驾驶员意图解释控制；启动过程中，根据动力电池剩余电量选择运行模式，当动力电池的剩余电量大于最大剩余电量的时候，采用纯电动模式；当动力电池的剩余电量大于最小剩余电量且小于最大剩余电量的时候，根据驾驶员输入指令选择启动模式；当动力电池的剩余电量小于最小剩余电量的时候，启动燃料电池发动机；启动后，根据汽车各运行参数执行能量分配控制、制动回馈控制、故障诊断及容错控制、驾驶员意图解释控制
算法。
[0023] 车辆启停状态控制逻辑如下：
[0024] 步骤1、将钥匙拧到ON档，控制器采集到钥匙输入的ON档信号，进入12V低压上电模式，控制动力系统部件控制器上电；
[0025] 步骤2、将钥匙拧到OFF档一定时间内再拧回ON档或将钥匙拧至Start档，控制器根据采集到的钥匙信号输入，并且判定当前部件是否满足启动状态，如果满足启动状态，进入电动模式启动，控制器发出BMS使能信号，BMS完成预充后，反馈当前继电器状态及系统状态就绪，车辆进入纯电动模式；
[0026] 步骤3、电动模式启动成功后，控制器发送DCL使能指令，为12V系统进行供电及12V
蓄电池充电，同时，控制器根据驾驶员的行车意图对电机控制器发出使能及
扭矩命令，车辆在纯电动模式行驶；
[0027] 步骤4、将钥匙直接拧至Start档，在纯电动模式启动成功后，直接进入燃料电池启动模式，控制器发送燃料电池使能命令，燃料电池根据命令启动，启动成功后，进入燃料电池模式，控制器对DCDC发出控制指令，发送燃料电池设定功率，DCDC控制输出电流为驱动系统供电及动力电池充电；
[0028] 步骤5、进入燃料电池模式后，车辆正常行驶；
[0029] 步骤6、判断是否有动力系统各零部件出现关机故障或钥匙拧至OFF档，如果有，车辆进入关机流程，首先关闭燃料电池，发出关闭燃料电池指令后需等待燃料电池完成关机流程，发送关闭完成指令后，再进入纯电动模式关闭，进入电动模式关闭后发送动力电池关闭指令，同时发送电机放电指令，为
母线进行放电，否则，返
回执行步骤5；
[0030] 步骤7、判断母线电压是否低于60V或放电超时60s，如果是，进入低压断电模式，控制器控制动力系统各
节点低压下电，完成整个燃料电池系统的启停。
[0031] 所述扭矩控制策略包括扭矩
请求，扭矩限制，扭矩协调和扭矩滤波四个部分，其中，扭矩请求包含加速踏板扭矩请求，蠕行扭矩请求，巡航扭矩请求，ESP干涉扭矩请求和能量回收扭矩请求；扭矩限制从功率限制，车速限制和扭矩限值三个方面限制驱动扭矩和回收扭矩输出，避免电池过流和电机过载；
[0032] 扭矩协调根据车辆的工况和驾驶员的意图，确定各扭矩需求的优先级，输出当前工况下的最优扭矩；
[0033] 扭矩滤波的功能是保证扭矩在各种工况下均及时平滑的过渡。
[0034] 所述能量分配包括四种模式：纯电动模式、燃料电池模式、燃料电池和动力电池混合模式、能量回馈模式，其中，
[0035] 纯电动模式禁止在室内启动，供驾驶员将车辆驶出
车库；
[0036] 燃料电池模式，当车辆功率小于预设功率下限值的模式下，燃料电池最大输出功率完全满足整车功率需求，此时为燃料电池驱动模式，燃料电池输出功率为驱动系统供电，同时能够为动力电池进行能量补充，保证动力电池SOC处于设定范围内；
[0037] 燃料电池和动力电池混合模式，当车辆处于大于预设功率上限的模式下，燃料电池最大输出功率无法满足整车功率需求，此时为燃料电池和动力电池混合驱动模式，燃料电池和动力电池共同为驱动系统供电，满足车辆行驶需求；
[0038]
再生制动模式，当车辆处于减速或制动模式下，
驱动电机进行能量回馈，根据动力电池的最大允许充电功率和电机回馈功率，控制燃料电池的输出功率，当回馈功率大于允许充电功率时，燃料电池令零功率输出，同时限制回馈功率大小至动力电池允许充电功率，当回馈功率小于允许充电功率时，燃料电池弥补当前需要动力电池所需充电功率，避免动力电池过充。
[0039] 所述故障诊断及容错控制包括四级，具体如下：
[0040] 一级故障：该等级故障为紧急停机故障，故障出现时车辆会自动关闭系统；
[0041] 二级故障：该等级故障为请求停机故障，踏板不
输出信号，电机无扭矩输出，车辆，不能行驶，操作人员根据具体的故障类型来选择是否；
[0042] 三级故障：该等级故障为降功率故障，当出现该级故障将限制电机扭矩的输出，从而达到限制系统功率输出，驾驶员可继续低速行驶，跛行返回；
[0043] 四级故障：该等级故障出现时不做任何处理，操作人员对该等级故障在运行时仅作故障记录。
[0044] 所述高压安全管理控制包括碰撞安全、高压互
锁、绝缘检测、主动放电和被动放电；其中，
[0045] 碰撞安全：车辆低压上电后，ACM需持续对碰撞状态进行检测，并将碰撞状态通过CAN报文发送出来；如车辆发生碰撞，ACM将碰撞状态发送给控制器，控制器将碰撞状态转发给MCU、FCE和BMS；如碰撞信号状态为真，则控制器引导整车高压下电，BMS/FCE立即断开高压继电器，MCU执行0扭矩指令；如发生碰撞，控制器在下电前将碰撞故障置1后进行存储，如车辆再次上电，控制器在引导高压上电前判断碰撞故障状态，如为1则禁止高压上电；碰撞故障能够被诊断仪清除，故障清除后，车辆方可正常高压上电；
[0046] 高压互锁：高压互锁检测共一个回路，BMS检测动力电池包、燃料电池、PCU上高压接插件的互锁状态，并将互锁状态发送给控制器；控制器如收到上报高压互锁状态为1，则根据车辆当前车速、高压上电状态进入故障处理，具体的策略为：如整车静置且没有上高压，整车无法高压上电，同时仪表点亮相应的系统故障灯；整车静置且已上高压，即车辆行驶速度V≤5km/h状态，整车高压下电，同时仪表点亮相应的系统故障灯；车辆行驶速度V>5km/h，整车能够行驶且不限速，同时，仪表点亮相应的系统故障灯；故障消失后，整车需要下电后才能上电；
[0047] 绝缘检测：绝缘检测任务由BMS完成，检测电路集成在BMS内部，当高压上电完成后，BMS检测的绝缘
电阻值为整车
直流母线绝缘电阻值，包含电池及全部并联的高压零部件；BMS需对绝缘电阻值进行监控，当绝缘电阻值低于一定阀值时上报绝缘电阻低故障，并完成故障处理；
[0048] 主动放电：当车辆高压断电后，可通过主动放电电路将直流母线电压在规定时间内快速降至60V(DC)安全电压以下，其中主动放电电路包括MCU和PTC两部分执行机构，MCU和PTC根据状态机执行放电功能，当检测到高压放电状态机后，MCU驱动电机绕组或电阻放电回路执行主动放电；PTC控制器通过控制PTC加热电阻接入母线执行主动放电；
[0049] 被动放电：燃料电池汽车应具备被动放电功能，该功能由MCU执行，在切断动力电池高压以后，被动放电功能必须将直流母线的电压在设定的时间以内降至60V(DC)以下；
[0050] 氢气安全：通过HMS检测车内及后备箱的氢气浓度，保证氢气浓度不超过其安全警戒值，在超过报警浓度后提醒驾驶员对车辆进行相应的处理。
[0051] 与
现有技术相比，本发明具有以下有益效果：
[0052] 1、将燃料电池发动机控制器与整车控制器及智能控制交互硬件集成设计，充分利用硬件资源，降低硬件成本。
[0053] 2、将多套硬件集成设计，利于功能安全、电磁兼容、安全冗余及智能控制对芯片综合需求设计，降低了系统功能设计风险。
[0054] 3、将多控制器
软件控制集成设计，利于各功能综合协调控制及优化。
附图说明
[0055] 图1为氢燃料电池汽车动力系统结构图。
[0056] 图2为本发明燃料电池汽车多源控制器架构原理示意图。
[0057] 图3为本发明VMS(VCU)系统原理图。
[0058] 图4为本发明多源控制系统基本信号
流程图。
[0059] 图5为本发明车辆启停状态控制流程图。
[0060] 图6为本发明车辆扭矩控制流程图。
[0061] 图7车辆能量分配流动图。
[0062] 图8车辆故障诊断及容错控制流程图。
具体实施方式
[0063] 下面结合附图对本发明的结构及工作过程作进一步说明。
[0064] 一般情况下，将燃料电池辅助系统分为四个子系统：氢气供应子系统；空气供应子系统；水热管理子系统；控制子系统。但各个子系统之间并不是完全独立，有部分零部件同时属于不同的子系统。由于燃料电池的类型不同，因此在设计整个燃料电池发动机时所选用的辅助系统零部件也会不尽相同，但总的来说还是可以按照前述的四个辅助子系统来划分。
[0065] 1)氢气供应子系统主要包括储氢系统、压力调节阀、氢气
循环泵、
加湿器、水分离器以及管路等，用以将燃料电池发动机
阳极侧的氢气处理到合适的条件。
[0066] 2)空气供应子系统主要包括空压机/鼓风机、加湿器、
冷凝器、水分离器、背压调节阀及相应管路等部件。用以为燃料电池阴极侧的空气处理到合适的条件。
[0067] 3)水热管理子系统主要包括冷却水泵、散热器及风扇、加湿水泵、水箱及相应的管路等，同时加湿器、冷凝器、水分离器的部分功能也属于水热管理子系统。
[0068] 4)控制子系统包括控制器、传感器和
驱动器等，控制器是由一套或一系列
微控制器为核心构成的
电子装置和相应的控制算法组成。传感器主要是压力、温度、电压和电流传感器等。驱动器主要是用于空压机/鼓风机、冷却水泵、氢气循环泵以及阀门等设备的驱动。
[0069] 一种燃料电池汽车多源控制器，包括核心单片机、CAN接口滤波电路、数字量输入扩展电路、数字量输出扩展电路、AD转换电路、电压-电流转换电路；CAN接口滤波电路分别与核心单片机的CAN端口和燃料电池系统的CAN网络连接；数字量输入扩展电路的输入端连接燃料电池的数字量传感器，输出端连接核心单片机的数字量输入端；数字量输出扩展电路的输入端连接核心单片机的数字量输出端，输出端连接燃料电池的感性负载；AD转换电路的输入端连接燃料电池的模拟量传感器，输出端连接核心单片机的模拟量输入端；电压-电流转换电路的输入端连接核心单片机的模拟量输出端，输出端连接燃料电池的DC/DC及变频器；其中，数字量输入扩展电路、数字量输出扩展电路、模拟量输出端、CAN接口滤波电路与核心单片机之间均具有光电隔离电路。
[0070] 所述数字量传感器包括档位信号传感器、钥匙信号传感器、离合器开关信号传感器。
[0071] 所述模拟量传感器包括加速踏板信号采集传感器。
[0072] 还包括PWM信号采集电路、PWM信号输出电路；其中，PWM信号采集电路采集正弦或脉冲形式的转速传感器信号；PWM信号输出电路能够控制风扇，并具有电机驱动功能，能够驱动节气门电机。
[0073] 所述CAN端口的通信采用CANB2.0标准，通讯速率为500Kbps。
[0075] (1)燃料电池汽车多源控制器通过主控芯片接入12V(或24V)电源及内部电源使能信号后，内部电源输出模块提供控制器内部所需要的电压，随后控制器开始工作，控制器输入模块通过模拟输入及开关量输入收集各个部件的工作状态及需求信息，然后将这些信息通过内部的CAN通信协议，以报文的形式发送给控制器主控芯片，主控芯片收到这些信息后，内部的控制运算程序经过计算判断，然后下达控制指令。
[0076] (2)控制指令如下，根据氧传感器反馈的
空燃比信号，主控芯片给
燃气喷嘴下达控制器指令，控制燃气的喷入量；当氧传感器的工作
环境温度过大或者过小时，主控芯片控制氧传感器加热量，始终保持氧传感器处于最佳的工作状态；当燃料电池内部的氧气浓度不足时，就会产生一个低压信号；当主控芯片收到后，便会下达控制指令，控制空气泵的工作，根据氢气浓度传感器的浓度信号，主控芯片可以判断燃料电池内部的氢气浓度的大小，然后下达控制指令，控制进排气阀的开合，保证燃料电池内部的氢气和氧气处于合适的浓度与压力。根据温度传感器的信号，主控芯片可以获得燃料电池的工作温度，然后去控制水泵的工作，水泵流出的水经过燃料电池，通
过热交换作用控制燃料电池的温度，使其处于最佳的工作温度。另外，为了控制燃料电池输出合适的电压，燃料电池控制器通过CAN总线，发送报文给DC-DC，这些报文里包含控制指令，DC-DC根据这些指令输出合适的电压给电机控制器。此外燃料电池汽车多源控制器的主控芯片通过CAN通信协议与外部的整车保持通信。
[0077] (3)燃料电池汽车多源控制器包含VMS(VCU)的功能，VMS(VCU)除具备一般意义上整车控制器的功能外，还具有多路
数字信号输入通道，可采集如档位信号、钥匙信号、离合器开关信号等；具有多路模拟量输入通道，可采集加速踏板、档位信号等模拟、数字信号；具有多路PWM信号采集通道，可采集正弦或脉冲形式的转速传感器信号；具有多路PWM输出形式，可控制风扇；具有电机驱动功能，可驱动节气门电机。
[0078] 一种燃料电池汽车多源控制器的控制方法，包括启动模式控制、能量分配控制、制动回馈控制、故障诊断及容错控制、驾驶员意图解释控制；启动过程中，根据动力电池剩余电量选择运行模式，当动力电池的剩余电量大于最大剩余电量的时候，采用纯电动模式；当动力电池的剩余电量大于最小剩余电量且小于最大剩余电量的时候，根据驾驶员输入指令选择启动模式；当动力电池的剩余电量小于最小剩余电量的时候，启动燃料电池发动机；启动后，根据汽车各运行参数执行能量分配控制、制动回馈控制、故障诊断及容错控制、驾驶员意图解释控制算法。
[0079] 具体实施例，如图4至图8所示：
[0080] 车辆启停状态控制逻辑如下：
[0081] 步骤1、将钥匙拧到ON档，VMS(VCU)采集到钥匙输入的ON档信号，进入12V低压上电模式，控制动力系统部件BMS、MCU、DCL、DCDC、FCE等控制器上电，其中，VMS(VCU)为整车控制器，BMS为
电池管理系统，MCU为电机控制器，DCL为高压转低压电源转换器，DC-DC为燃料电池发电系统中直流电源转换器，FCE为燃料电池发动机控制器；
[0082] 步骤2、将钥匙拧到OFF档一定时间内，该实施例设定为2s，再拧回ON档或将钥匙拧至Start档，控制器根据采集到的钥匙信号输入，并且判定当前部件是否满足启动状态，如果满足启动状态，进入电动模式启动，控制器发出BMS使能信号，BMS完成预充后，反馈当前继电器状态及系统状态就绪，车辆进入纯电动模式；
[0083] 步骤3、电动模式启动成功后，控制器发送DCL使能指令，为12V系统进行供电及12V蓄电池充电，同时，控制器根据驾驶员的行车意图对电机控制器发出使能及扭矩命令，车辆在纯电动模式行驶；
[0084] 步骤4、如钥匙直接拧至Start，则在纯电动模式启动成功后，直接进入燃料电池启动模式，VMS(VCU)发送燃料电池使能命令，燃料电池根据命令启动，启动成功后，进入燃料电池模式，VMS(VCU)对DCDC发出控制指令，发送燃料电池设定功率，DCDC控制输出电流为驱动系统供电及动力电池充电；
[0085] 步骤5、如为分级启动，在纯电动模式下，需要将钥匙拧至Start档，才能进入燃料电池启动模式；进入燃料电池模式后，车辆正常行驶；
[0086] 步骤6、进入燃料电池模式后，车辆可以正常行驶，判断是否有动力系统各零部件出现关机故障或钥匙拧至OFF档，如果有，车辆进入关机流程，首先关闭燃料电池，发出关闭燃料电池指令后需等待燃料电池完成关机流程，发送关闭完成指令后，再进入纯电动模式关闭，进入电动模式关闭后发送动力电池关闭指令，同时发送电机放电指令，为母线进行放电，否则，返回执行步骤5；
[0087] 步骤7、判断母线电压是否低于60V或放电超时60s，如果是，进入低压断电模式，控制器控制动力系统各节点低压下电，完成整个燃料电池系统的启停。
[0088] 扭矩控制功能主要是为了根据驾驶员意图、实际工况等综合因素考虑，并将驾驶员意图转换成扭矩值，经过一系列扭矩控制，协调，限制和滤波后，将扭矩请求最终发送给MCU控制器，驱动车辆工作。扭矩控制包括扭矩请求，扭矩限制，扭矩协调和扭矩滤波四个部分。
[0089] 扭矩请求包含加速踏板扭矩请求，蠕行扭矩请求，巡航扭矩请求，ESP干涉扭矩请求和能量回收扭矩请求。
[0090] 扭矩限制主要从功率限制，车速限制和扭矩限值(系统最大扭矩限制值和电机最大扭矩)三个方面限制驱动扭矩和回收扭矩输出，避免电池过流和电机过载。
[0091] 扭矩协调根据车辆的工况和驾驶员的意图，确定各扭矩需求的优先级，输出当前工况下的最优扭矩。
[0092] 扭矩滤波的功能是保证扭矩在各种工况下均及时平滑的过渡(除TCS、ABS干涉情况)，提高车辆的平顺性，驾驶性。
[0093] 燃料电池汽车根据能量分配有以下四种模式：纯电动模式、燃料电池模式、燃料电池和动力电池混合模式、能量回馈模式。
[0094] 对这四种能量分配模式进行阐述：
[0095] (1)纯电动模式：燃料电池汽车由于燃料是氢气，从安全
角度考虑一般不允许在室内启动，因此纯电动模式可供驾驶员将车辆驶出车库。
[0096] (2)燃料电池模式：当车辆处于小功率模式下，燃料电池最大输出功率完全满足整车功率需求，此时为燃料电池驱动模式，燃料电池输出功率为驱动系统供电，同时可以为动力电池进行能量补充，保证动力电池SOC处于合理范围内。
[0097] (3)燃料电池和动力电池混合模式：当车辆处于大功率模式下，燃料电池最大输出功率无法满足整车功率需求，此时为燃料电池和动力电池混合驱动模式，燃料电池和动力电池共同为驱动系统供电，满足车辆行驶需求。
[0098] (4)再生制动模式：当车辆处于减速或制动模式下，此时驱动电机可进行能量回馈，根据动力电池的最大允许充电功率和电机回馈功率，可控制燃料电池的输出功率，当回馈功率大于允许充电功率时，燃料电池以零功率输出，同时限制回馈功率大小至动力电池允许充电功率，当回馈功率小于允许充电功率时，燃料电池弥补当前需要动力电池所需充电功率，避免动力电池过充，从而影响动力电池的寿命以及安全性。
[0099] 燃料电池的故障诊断与容错控制的主要目的是：保证车辆行驶的安全性、可靠性、稳定性。为此在燃料电池轿车中引入分级式故障处理策略，以期达到上述目的。所述故障诊断及容错控制包括四级，具体如下：
[0100] (1)一级故障：该等级故障为紧急停机故障，故障出现时车辆会自动关闭系统。
[0101] (2)二级故障：该等级故障为请求停机故障。踏板不输出信号，电机无扭矩输出，车辆将不能行驶。驾驶员或技术人员可根据具体的故障情况来选择关机与否。
[0102] (3)三级故障：该等级故障为降功率故障。当出现该级故障将限制电机扭矩的输出，从而达到限制系统功率输出，驾驶员可继续低速行驶，跛行返回。此种处理方式大大降低了车辆的抛锚几率。
[0103] (4)四级故障：该等级故障出现时不做任何处理，故障有可能在短时间内消失，驾驶员以及工程人员对该等级故障在运行时仅作故障记录。
[0104] 高压安全管理是为了防范电动汽车高压失控造成严重后果而做的保护性措施，主要有：碰撞安全、高压互锁、绝缘检测、主动放电、被动放电和氢气安全。
[0105] (1)碰撞安全：车辆低压上电后，ACM需持续对碰撞状态进行检测，并将碰撞状态通过CAN报文发送出来；如车辆发生碰撞，ACM将碰撞状态发送给VMS(VCU)，VMS(VCU)将碰撞状态转发给MCU、FCE和BMS；如碰撞信号状态为真，则VMS(VCU)引导整车高压下电，BMS/FCE立即断开高压继电器，MCU执行0扭矩指令；如发生碰撞，VMS(VCU)需在下电前将碰撞故障置1后进行存储，如车辆再次上电，VMS(VCU)需在引导高压上电前判断碰撞故障状态，如为1则禁止高压上电；碰撞故障可以被诊断仪清除，故障清除后，车辆方可正常高压上电。
[0106] (2)高压互锁：高压互锁检测共一个回路，BMS检测动力电池包、燃料电池、PCU上高压接插件的互锁状态，并将互锁状态发送给VMS(VCU)；VMS(VCU)如收到上报高压互锁状态为1，则进入故障处理。综合车辆当前状态(车速、高压上电状态)，具体的策略为：如整车静置且没有上高压，整车无法高压上电(仪表点亮系统故障灯)；整车静置且已上高压(车速度辆V≤5km/h状态)，整车高压下电(仪表点亮系统故障灯)；车辆行驶速度(V>5km/h)，整车可以行驶且不限速，但仪表点亮系统故障灯；故障消失后，整车需要下电后才能上电。
[0107] (3)绝缘检测：绝缘检测任务由BMS完成，检测电路集成在BMS内部，当高压上电完成后，BMS检测的绝缘电阻值为整车直流母线绝缘电阻值，包含电池及全部并联的高压零部件；BMS需对绝缘电阻值进行监控，当绝缘电阻值低于一定阀值时上报绝缘电阻低故障，并完成故障处理。
[0108] (4)主动放电：当车辆高压断电后，可通过主动放电电路将直流母线电压在规定时间内快速降至60V(DC)安全电压以下，其中主动放电电路包括MCU和PTC两部分执行机构，MCU和PTC根据状态机执行放电功能，当检测到高压放电状态机后，MCU驱动电机绕组或电阻放电回路执行主动放电；PTC控制器通过控制PTC加热电阻接入母线执行主动放电。
[0109] (5)被动放电：燃料电池汽车应具备被动放电功能，该功能由MCU执行。被动放电功能通过MCU高压电路中的放电电阻来实现。在切断动力电池高压以后，被动放电功能必须将直流母线的电压在5min以内降至60V(DC)以下。
[0110] (6)氢气安全：通过HMS检测车内及后备箱的氢气浓度，保证氢气浓度不超过其安全警戒值，在超过报警浓度后提醒驾驶员并对车辆进行相应的保护策略。
