具体实施方式

以下，通过发明的实施方式来说明本发明，但以下的实施方式并非对权利要求所涉及的发明进行限定。此外，实施方式中说明的所有特征的组合并不全是解决发明的技术问题的技术方案所必须的。

图1示出本实施方式所涉及的电机系统200的结构。电机系统200即使在故障时也能够检测电动机PM的旋转速度，并能够根据旋转速度来决定是否解除电动机的短路。由此，电机系统200可以抑制不必要地继续电动机的短路、因再生转矩而造成的不必要的致动、及发生逆变器或电动机的不必要的发热。

电机系统200包括：主电池1、开关2、直流母线电容器3、辅机电池6、电动机PM、一个或多个电流传感器100、速度传感器101、逆变器210、和电动机驱动装置220。主电池1例如为400V的电源，连接在逆变器210的直流母线的正侧与负侧之间，产生提供至电动机PM的电力。

开关2被设置于主电池1与直流母线电容器3及逆变器210之间，对是否将主电池1与电容器3及逆变器210相连接进行切换。作为一个示例，开关2可以根据电机系统200或搭载电机系统200的车辆被启动这一情况等而被切换为导通状态，并根据电机系统200或搭载电机系统200的车辆发生故障或异常这一情况、或直流母线间的电压伴随来自电动机PM侧的再生而超过上限电压这一情况等而被切换为截止状态。此外，开关2可以根据来自辅机电池6的供电被切断这一情况、即例如从辅机电池6提供的电压变成预先确定的下限电压以下这一情况，而被切换为截止状态。

直流母线电容器3在比开关2更靠逆变器210侧，连接在正侧与负侧的直流母线间。这里，主电池1和直流母线电容器3为第2电源的一个示例。直流母线电容器3在使直流母线电压稳定的同时，吸收提供至逆变器210侧的电流的变动。

辅机电池6例如为12V的电源，产生提供至电动机驱动装置220的电力。这里，辅机电池6是第1电源的一个示例。辅机电池6也可以与被设置于搭载电机系统200的车辆等的其他设备(起动器及电气设备等)，从而向这些设备提供电力。辅机电池6的负侧即接地GND_N1可以被接地到车辆的主体，与主电池1和直流母线电容器3绝缘。

电源电路13连接在直流母线间，接收来自直流母线电容器3的供电，输出使正侧的直流母线的电压下降而得到的电源电压VHV_2。这里，电源电压VHV_2可以将负侧的直流母线的电位(即图中接地GND_N2的电位)设为基准电位，并且具有例如接地GND_N2的电位+12V的电位。电源电路13可以例如是DC/DC转换器等直流电压转换器，并且与主电池1和直流母线电容器3非绝缘。

作为一个示例，电动机PM是3相的永磁体(PM：Permanent Magnet)电动机。取而代之地，电动机PM可以具有不同的相数，也可以是接收电力的提供并进行旋转的其他种类的电动机。在本实施方式中，电动机PM使搭载电机系统200的车辆的车轮进行旋转。

一个或多个电流传感器100被设置于与电动机PM相连接的一个或多个配线的一部分或全部，检测流过相对应的配线的电流。电流传感器100可以是CT(CurrentTransformer：电流变压器)方式等的以与测定对象的配线非接触的方式来测定电流的电流传感器。速度传感器101是第1旋转检测部的一个示例，接收来自辅机电池6的供电，并且检测电动机PM的旋转。速度传感器101可以是对电动机PM的旋转角度进行检测的旋转速度传感器或者旋转角传感器等。

逆变器210连接在直流母线间，将直流母线电压转换成对电动机PM进行驱动的交流电压(在本实施方式中，为3相交流电压)，并提供至电动机PM。逆变器210与电动机PM的各相对应地具有多个上臂侧开关元件4a～4c(以下，也示出为“上臂侧开关元件4”)中的每一个、和多个下臂侧开关元件5a～5c(以下，也示出为“下臂侧开关元件5”)中的每一个。各上臂侧开关元件4和各下臂侧开关元件5可以是功率半导体开关，作为一个示例，是具有集电极及发射极作为主端子、且具有栅极作为控制端子的IGBT(绝缘栅双极晶体管)。取而代之地，各上臂侧开关元件4和各下臂侧开关元件5可以是具有漏极及源极作为主端子、且具有栅极作为控制端子的MOSFET。

上臂侧开关元件4a和下臂侧开关元件5a的主端子间与直流母线电容器3并联地以该顺序连接在正侧的直流母线和负侧的直流母线之间，在上臂侧开关元件4a和下臂侧开关元件5a之间连接有电动机PM的第1相端子(U相端子)。上臂侧开关元件4b和下臂侧开关元件5b、以及上臂侧开关元件4c和下臂侧开关元件5c的主端子间，与上臂侧开关元件4a和下臂侧开关元件5a相同地连接在直流母线间，在上臂侧开关元件4b和下臂侧开关元件5b之间连接有电动机PM的第2相端子(V相端子)，在上臂侧开关元件4c和下臂侧开关元件5c之间连接有电动机PM的第3相端子(W相端子)。

各上臂侧开关元件4和各下臂侧开关元件5可以具有与开关元件主体反向连接的续流二极管。这里，在各上臂侧开关元件4和各下臂侧开关元件5是MOSFET时，续流二极管是寄生二极管。

各上臂侧开关元件4和下臂侧开关元件5中的至少一个具有电流检测端子。在本实施方式中，下臂侧开关元件中的一个(例如，下臂侧开关元件5a)具有电流检测端子。电流检测端子使与流过主端子间的电流相对应的电流检测用小电流流过。例如，在IGBT的情况下，为了检测流过IGBT的电流，具有感测发射极端子。这样的感测发射极端子可利用作为电流检测端子。

这里，在开关元件为截止的情况下，作为检测电流的对象的下臂侧开关元件5a在开关元件主体中不使电流流过，但可经由续流二极管使电流从负侧的直流母线流向电动机PM。因此，在本实施方式中，下臂侧开关元件5a具有与续流二极管并联的电流检测用小型二极管，并具有连接了感测发射极端子和电流检测用二极管的阳极的端子以作为电流检测端子。在这样的电流检测端子中，流过将流经下臂侧开关元件5a的感测发射极端子的电流和流经电流检测用二极管的电流相组合而得到的电流、即与流经包含续流二极管的下臂侧开关元件5a整体的电流相对应的感测电流。另外，感测电流可在稳定状态下在某种程度上与流经下臂侧开关元件5a整体的电流成比例，但在过渡状态下不必成比例。逆变器210将与这样的感测电流相对应的电流检测信号提供至电动机驱动装置220。作为一个示例，电流检测信号是通过使感测电流流过具有预先确定的电阻值的感测电阻而得到的、具有与感测电流相对应的大小的电压的信号。另外，下臂侧开关元件5a可以被设计为，续流二极管电流的大小与流过电流检测用二极管的电流的大小之间的比率、和流过开关元件主体中的发射极的电流的大小与流过感测发射极的电流的大小之间的比率实质上相同。

电动机驱动装置220与逆变器210相连接，接收来自电源电路13和辅机电池6的供电，并且控制逆变器210。电动机驱动装置220具有：控制电路7、第1故障安全电路8、故障检测电路15、多个上臂电源电路9a～9c、多个上臂栅极驱动电路12a～12c、下臂电源电路10、电源电路13、速度检测部22、第2故障安全电路14及多个栅极驱动电路21a～21c。

控制电路7将辅机电池6的负侧的接地GND_N1的电位设为基准电位，并且接收来自辅机电池6的供电。控制电路7可以由电动机控制用的微控制器或处理器等CPU、或包含CPU的计算机等实现。取而代之地，控制电路7可以由硬件电路来实现。控制电路7从车辆的ECU(Electric Control Unit：电子控制单元)等计算机(未图示)接收对驱动电动机PM的转矩进行指定的转矩指令τ*，生成用于驱动电动机PM的栅极驱动指令Gu_LV1、Gv_LV1、Gw_LV1、Gx_LV1、Gy_LV1、以及Gz_LV1并进行输出，以使得产生与转矩指令τ*相对应的转矩。Gu_LV1、Gv_LV1、Gw_LV1、Gx_LV1、Gy_LV1、以及Gz_LV1依次为与上臂侧开关元件4a、上臂侧开关元件4b、上臂侧开关元件4c、下臂侧开关元件5a、下臂侧开关元件5b、以及下臂侧开关元件5c相对应的栅极驱动指令。在本实施方式中，控制电路7输出栅极驱动指令，该栅极驱动指令对逆变器210发出产生用于使电动机PM以由转矩指令τ*所指定的转矩来旋转的3相交流电流的指示。

第1故障安全电路8将接地GND_N1的电位设为基准电位，并且至少从辅机电池6接收供电。在本实施方式中，第1故障安全电路8虽然接收来自辅机电池6的供电，但不接收来自主电池1和直流母线电容器3的供电。第1故障安全电路8使用来自速度传感器101的检测信号，来对上臂栅极驱动电路12a～12c及下臂栅极驱动电路21a～21c中的至少接收来自辅机电池6的供电的栅极驱动电路进行故障安全控制。在本实施方式中，第1故障安全电路8进行对接收来自速度传感器101的供电的上臂栅极驱动电路12a～12c的故障安全控制。在本实施方式中，由于栅极驱动电路21a～21c也接收来自速度传感器101的供电，因而第1故障安全电路8也进行对栅极驱动电路21a～21c的故障安全控制。

具体地，第1故障安全电路8输入来自控制电路7的栅极驱动指令Gu_LV1、Gv_LV1、Gw_LV1、Gx_LV1、Gy_LV1及Gz_LV1，在通常运行中，在不改变栅极驱动指令Gu_LV1、Gv_LV1、Gw_LV1、Gx_LV1、Gy_LV1及Gz_LV1的值的情况下，作为栅极驱动指令Gu_LV2、Gv_LV2、Gw_LV2、Gx_LV2、Gy_LV2及Gz_LV2进行输出。由此，逆变器210根据控制电路7的控制来驱动电动机PM。在故障安全动作中，第1故障安全电路8可以在电动机PM的旋转速度为阈值以上的情况下，针对逆变器210进行故障安全控制，该故障安全控制包含将上臂侧开关元件4a～4c全部设为导通状态、以及将下臂侧开关元件5a～5c全部设为导通状态中的至少一个。

故障检测电路15与控制电路7相连接，接收来自辅机电池6的供电。故障检测电路15监视控制电路7并检测控制电路7的故障或异常，并且根据故障或异常的种类来对控制电路7进行复位及再启动。此外，根据故障或异常的种类，故障检测电路15对第1故障安全电路8发出进行故障安全控制的指示。

上臂电源电路9a～9c分别接收来自辅机电池6的供电，并且将来自辅机电池6的电源电压转换为用于对上臂侧开关元件4a～4c中的每一个进行控制的电源电压。这里，上臂侧电源电路9a输出将上臂侧开关元件4a的在下臂侧开关元件5a侧的主端子(在本实施方式中，为上臂侧开关元件4a的发射极端子)设为基准电位(接地GND_U)的电压，以作为用于对上臂侧开关元件4a进行控制的电源电压(例如，GND_U的电位+12V)。上臂电源电路9b输出将接地GND_V设为基准电位的电压，以作为用于对上臂侧开关元件4b进行控制的电源电压。上臂电源电路9c输出将接地GND_W设为基准电位的电压，以作为用于对上臂侧开关元件4c进行控制的电源电压。作为一个示例，上臂电源电路9a～9c分别可以是包含绝缘变压器的绝缘型DC/DC转换器。

上臂栅极驱动电路12a～12c与第1故障安全电路8相连接，并且从辅机电池6、和上臂电源电路9a～9c接收供电。而且，上臂栅极驱动电路12a～12c基于来自第1故障安全电路8的栅极驱动指令，来对上臂侧开关元件4a～4c的栅极进行驱动。更具体地，上臂栅极驱动电路12a包含电绝缘且传输信号的光耦合器等绝缘元件，将以辅机电池6的基准电位(接地GND_N1)设为基准电位的栅极驱动指令Gu_LV2升压为以接地GND_U设为基准电位的栅极驱动指令GuO_HV，并输出至上臂侧开关元件4a的栅极。上臂栅极驱动电路12b和上臂栅极驱动电路12c也是相同的。

下臂电源电路10接收来自辅机电池6的供电，并且将以接地GND_N1设为基准电位的辅机电池6的电源电压转换成以接地GND_N2设为基准电位的电源电压VHV_1(例如接地GND_N2的电位+12V)。下臂电源电路10也可以是包含绝缘变压器的绝缘型DC/DC转换器。

来自下臂电源电路10的电源电压VHV_1和来自电源电路13的电源电压VHV_2例如分别经由整流二极管等整流元件而合流，成为电源电压VHV。由此，将电源电压VHV冗余化，以使得即使失去了电源电压VHV_1和电源电压VHV_2中的任一个，电源电压VHV也不会丧失。

速度检测部22是第2旋转检测部的一个示例，至少接收来自第2电源的供电，并且检测电动机PM的旋转。速度检测部22接收来自电源电压VHV的供电，并基于来自上臂侧开关元件4或下臂侧开关元件5的电流检测端子的电流检测信号，来检测电动机PM的旋转。在本实施方式中，速度检测部22基于来自下臂侧开关元件5a的电流检测端子的电流检测信号，来输出与电动机的旋转速度相对应的检测信号N_det。

第2故障安全电路14与速度检测部22相连接，并且至少接收来自第2电源的供电。在本实施方式中，第2故障安全电路14接收来自电源电压VHV的供电。第2故障安全电路14使用来自速度检测部22的检测信号N_det，来对上臂栅极驱动电路12a～12c及下臂栅极驱动电路21a～21c中的至少接收来自电源电路13的供电的栅极驱动电路(在本实施方式中，为栅极驱动电路21a～21c)进行故障安全控制。

在本实施方式中，第2故障安全电路14根据从下臂电源电路10输入电源电压VHV_1、并且电源电压VHV_1变为下限电压以下这一情况，对失去了来自辅机电池6的供电这一情况进行检测。而且，第2故障安全电路14在失去了来自辅机电池6的供电的情况下，对经由电源电路13接收来自直流母线电容器3的供电的栅极驱动电路21a～21c进行故障安全控制。在本实施方式中，第2故障安全电路14在通常动作中将栅极驱动指令Gxyz_HV设为逻辑L(低)。在故障安全控制中，第2故障安全电路14在电动机PM的旋转速度为阈值以上的情况下，将栅极驱动指令Gxyz_HV设为逻辑H(高)，从而将下臂侧开关元件5a～5c全部设为导通。

栅极驱动电路21a～21c与第1故障安全电路8及第2故障安全电路14相连接，并接收来自辅机电池6及电源电压VHV的供电。而且，栅极驱动电路21a～21c作为下臂栅极驱动电路而发挥功能，并基于来自第1故障安全电路8和第2故障安全电路14的栅极驱动指令，来对下臂侧开关元件5a～5c的栅极进行驱动。栅极驱动电路21a在来自第2故障安全电路14的栅极驱动指令Gxyz_HV为逻辑L时，基于来自第1故障安全电路8的栅极驱动指令Gx_LV2，使下臂侧开关元件5a切换成导通或截止，并且在栅极驱动指令Gxyz_HV为逻辑H时，将把下臂侧开关元件5a设为导通的栅极驱动指令GxO_HV输出到下臂侧开关元件5a。这里，栅极驱动指令GxO_HV是将主电池1和直流母线电容器3的基准电位(接地GND_N2)设为基准电位的信号。速度检测部22b和速度检测部22c也具有相同的功能。

根据以上示出的电机系统200，上臂栅极驱动电路12a～12c及速度传感器101虽然接收来自辅机电池6的供电，但是不接收来自电源电路13的供电。与此相对地，速度检测部22、第2故障安全电路14和栅极驱动电路21a～21c接收来自电源电路13的供电。由此，电机系统200即使在辅机电池6丧失从而上臂栅极驱动电路12a～12c不进行动作、而无法通过速度传感器101检测出旋转速度的情况下，也可以通过接收来自电源电路13的供电的速度检测部22和第2故障安全电路14，来进行故障安全控制。

此外，下臂电源电路10和电源电路13虽然对速度检测部22、第2故障安全电路14、和栅极驱动电路21a～21c提供电力，但是不对控制电路7、第1故障安全电路8、上臂栅极驱动电路12a～12c、和故障检测电路15提供电力，因此，可以抑制下臂电源电路10和电源电路13的最大输出电力，从而可以使下臂电源电路10和电源电路13小型化。

另外，在本实施方式中，对下臂侧开关元件5a～5c进行控制的电路部分的电源通过电源电路13和辅机电池6来冗余化。取而代之地，也可将对下臂侧开关元件5a～5c进行控制的电路部分设为不从辅机电池6来提供电力的结构。在该情况下，电机系统200在失去了来自辅机电池6的供电的情况下，对上臂侧开关元件4a～4c进行故障安全控制，在失去了来自主电池1和直流母线电容器3的供电的情况下，对下臂侧开关元件5a～5c进行故障安全控制。此外，取代使对下臂侧开关元件5a～5c进行控制的电路部分的电源冗余化，而可以使对上臂侧开关元件4a～4c进行控制的电路部分的电源冗余化，将速度检测部22和第2故障安全电路14用于上臂栅极驱动电路12a～12c。

图2示出本实施方式所涉及的速度检测部22的结构的一个示例。速度检测部22包含基准电压源26、转换器CMP1、单稳态电路24、和低通滤波器25。基准电压源26产生要与来自下臂侧开关元件5a的电流检测端子的电流检测信号Ix的电压值进行比较的基准电压。在本实施方式中，电流检测信号Ix具有与流过下臂侧开关元件5a的开关元件主体和续流二极管的电流之和相对应的电压值，并且成为具有与电动机PM的旋转周期相对应的周期的正弦波状信号。应当检测这样的信号的频率，作为一个示例，基准电压源26产生0V或从0V减去预先确定的微小冗余而得到的电压。

转换器CMP1将电流检测信号Ix与由基准电压源26所产生的基准电压进行比较，并输出与比较结果相对应的逻辑信号。由于电流检测信号Ix具有与电动机PM的旋转周期相对应的周期，因而转换器CMP1在电动机PM的旋转周期的每1周期内，输出包含逻辑H的期间及逻辑L的期间的逻辑信号。另外，转换器CMP1也可以具有迟滞。

单稳态电路24将由转换器CMP1所输出的逻辑信号作为触发，产生具有根据单稳态电路24的设计而确定的宽度的脉冲的脉冲信号。在本实施方式中，单稳态电路24将由转换器CMP1所输出的逻辑信号的下降沿(从逻辑H至逻辑L的变化)设为触发，来产生脉冲信号。

低通滤波器25产生与由单稳态电路24所输出的脉冲信号中的脉冲密度(即逻辑H的期间的比例)相对应的检测信号N_det。具体地，单稳态电路24所输出的脉冲信号由于具有针对每个与电动机PM的旋转周期相对应的周期而预先确定的宽度的脉冲，因此，在电动机PM的旋转周期更小(即，电动机PM的旋旋转速度度更大)的情况下，逻辑H的期间的比例变得更高，在电动机PM的旋转周期更大(即，电动机PM的旋旋转速度度更小)的情况下，逻辑H的期间的比例变得更小。低通滤波器25通过使这样的脉冲信号平滑化，从而可以在电动机PM的旋转速度更大的情况下，输出为更大值(作为一个示例，为电压值)的检测信号N_det，在电动机PM的旋转速度更小的情况下，输出为更小值的检测信号N_det。

图3示出在开关元件的导通状态下的电流检测端子的输出特性的一个示例。在下臂侧开关元件5a为导通的情况下，下臂侧开关元件5a也可流过从负侧的直流母线至电动机PM的方向、和从电动机PM至负侧的直流母线的方向中的任一方向的电流。因此，电流检测信号(图中的电流感测信号)根据下臂侧开关元件5a所流过的电流Ic的正负，来取正值或负值。

图4示出在开关元件的导通状态下的速度检测方法的一个示例。在下臂侧开关元件5a为导通的情况下，如图4的上侧的曲线图所示那样，电流检测信号Ix在正与负之间变化，得到与电动机PM的旋转速度相对应的周期的正弦波状的信号波形。在基准电压源26产生0V的基准电压的情况下，转换器CMP1在电流检测信号Ix为正的情况(超过0V的情况)下，输出为逻辑H的逻辑信号，在电流检测信号Ix为负或0的情况(0V以下的情况)下，输出为逻辑L的逻辑信号。如图4的下侧的曲线图所示那样，单稳态电路24在该逻辑信号的下降沿(即电流检测信号Ix从正变为负的定时)处，产生固定宽度的脉冲。低通滤波器25可以通过使包含这样的脉冲的脉冲信号平滑化，来产生与电动机PM的旋转速度相对应的检测信号N_det。

图5示出在开关元件的截止状态下的电流检测端子的输出特性的一个示例。在下臂侧开关元件5a为截止的情况下，在下臂侧开关元件5a中，虽然从负侧的直流母线至电动机PM的方向的电流可通过续流二极管和电流检测用二极管来流动，但是从电动机PM至负侧的直流母线的方向的电流被切断。因此，电流检测信号(图中的电流感测信号)在下臂侧开关元件5a所流过的电流Ic为负的情况下取负值，而不取正值。

图6示出在开关元件的截止状态下的速度检测方法的一个示例。在下臂侧开关元件5a为截止的情况下，如图6的上侧的曲线图所示那样，电流检测信号Ix不为正，得到与电动机PM的旋转速度相对应的周期的正弦波状的信号波形中被限制成上限为0的信号波形。在基准电压源26产生从0V减去冗余而得到的基准电压的情况下，转换器CMP1在电流检测信号Ix为大致0V的情况下，输出为逻辑H的逻辑信号，在电流检测信号Ix为负的情况下，输出为逻辑L的逻辑信号。如图6的下侧的曲线图所示那样，单稳态电路24在该逻辑信号的下降沿(即电流检测信号Ix从0超过冗余而变为负的定时)处，产生固定宽度的脉冲。低通滤波器25可以通过使包含这样的脉冲的脉冲信号平滑化，来产生与电动机PM的旋转速度相对应的检测信号N_det。另外，在基准电压源26产生从0V减去冗余而得到的基准电压的情况下，速度检测部22在下臂侧开关元件5a为导通或截止中的任一个的情况下，也可以检测出电动机PM的旋转速度。

另外，作为下臂侧开关元件5a，也可使用不具有与续流二极管并联的电流检测用小型二极管的元件。在这样的结构中，在下臂侧开关元件5a为截止的情况下，无法检测到流过下臂侧开关元件5a的电流。此外，在下臂侧开关元件5a为导通的情况下，虽然可以检测出从电动机PM流到负侧的直流母线的电流(正的电流Ic)，但是无法检测出从负侧的直流母线流到电动机PM的电流(负的电流Ic)中的流过续流二极管的部分电流。因此，速度检测部22可以设为，例如将基准电压源26设为将0V加上正的冗余而得到的电压，从而单稳态电路24基于电流检测信号Ix的信号波形中的0以上的部分的信号波形，来产生脉冲信号。另外，在即使无法检测出流过续流二极管的部分电流、也可正确地检测出流过下臂侧开关元件5a的电流的正负的情况下，速度检测部22也可设为，单稳态电路24在电流检测信号Ix的从负到正等变化定时产生脉冲信号。

图7示出本实施方式所涉及的第2故障安全电路14的一个示例。第2故障安全电路14包含基准电压源23、转换器CMP2、基准电压源19、转换器CMP3、和逻辑与元件AND1。

基准电压源23产生基准电压。在本实施方式中，基准电压源23产生根据电动机PM的旋转速度是进行故障安全控制的下限旋转速度Vsafe而被设定的检测信号N_det的阈值电压Vth。在转换器CMP2中，正输入端子(非反转输入端子)与速度检测部22相连接，并输入检测信号N_det，负输入端子(反转输入端子)输入转换器CMP2基准电压源23的基准电压。由此，转换器CMP2在检测信号N_det在阈值电压Vth以下的情况下输出逻辑L，在检测信号N_det超过阈值电压Vth的情况下输出逻辑H。另外，转换器CMP2也可以具有迟滞。

基准电压源19产生基准电压。在本实施方式中，基准电压源19产生以辅机电池6是否正常作为基准的阈值电压。在转换器CMP3中，负输入端子(反转输入端子)输入来自下臂电源电路10的电源电压VHV_1，正输入端子(非反转输入端子)输入基准电压源19的基准电压。由此，转换器CMP3在电源电压VHV_1比阈值电压要高的情况下输出逻辑L，在电源电压VHV_1在阈值电压以下的情况(即，判断为辅机电池6丧失的情况)下，输出逻辑H。另外，转换器CMP3也可以具有迟滞。

逻辑与元件AND1在转换器CMP2的输出和转换器CMP3的输出这两方为逻辑H的情况(即，超过判断为逻辑H的阈值的情况)下，输出为逻辑H的栅极驱动信号Gxyz_HV。由此，第2故障安全电路14根据辅机电池6丧失、且电动机PM的旋转速度超过预先确定的阈值下限值这一情况，将应当进行使下臂侧开关元件5a～5c全部导通的故障安全控制的驱动信号Gxyz_HV设为逻辑H。

图8示出本实施方式所涉及的栅极驱动电路21的一个示例。在本图中，虽然将栅极驱动电路21a～21c中的栅极驱动电路21a的结构作为代表进行说明，但是栅极驱动电路21b和栅极驱动电路21c也可设为相同结构。栅极驱动电路21a包含绝缘电路18、缓冲器BUF1、缓冲器BUF2、和逻辑或元件OR1。

绝缘电路18包含绝缘变压器或光耦合器等。绝缘电路18接收电源电压VLV和电源电压VHV，并且将以接地GND_N1设为基准电位的栅极驱动指令Gx_LV2转换成以接地GND_N2设为基准电位的栅极驱动指令。

缓冲器BUF1对以接地GND_N2设为基准电位的栅极驱动指令Gxyz_HV进行整形并输出。缓冲器BUF2对将栅极驱动指令Gx_LV2进行转换而得到的栅极驱动指令进行整形并输出。逻辑或元件OR1输出缓冲器BUF1的输出和缓冲器BUF2的输出的逻辑或。由此，逻辑或元件OR1在来自第2故障安全电路14的栅极驱动指令Gxyz_HV和来自第1故障安全电路8的栅极驱动指令Gx_LV2中的至少一个为逻辑H的情况下，输出为逻辑H的以接地GND_N2设为基准电位的栅极驱动指令GxO_HV，在任一个都为逻辑L的情况下，输出为逻辑L的以接地GND_N2设为基准电位的栅极驱动指令GxO_HV。由此，绝缘电路18在通常动作中，可以将与来自控制电路7的栅极驱动指令Gx_LV1相对应的栅极驱动指令提供至下臂侧开关元件5a，并且在辅机电池6丧失的情况下，将来自第2故障安全电路14的栅极驱动指令Gxyz_HV提供至下臂侧开关元件5a。

图9示出本实施方式所涉及的电机系统的动作波形的一个示例。在本图中，从上到下依次示出：电动机实际速度(每分钟的转速)、接触器(开关2)的状态、由速度检测部22所得到的电动机速度检测值(即，检测信号N_det的电压)、第2故障安全电路14所输出的栅极驱动指令Gxyz_HV、上臂侧开关元件4a～4c的状态、下臂侧开关元件5a～5c的状态及常用电源(辅机电池6)的状态的时间变化。

在时刻t1，如果因事故或故障等而造成辅机电池6丧失，则电机系统200检测到该情况，并将开关2从导通状态切换成截止状态。此外，根据辅机电池6丧失这一情况，电源电压VHV_1变为阈值电压以下。因此，在图7示出的第2故障安全电路14中，转换器CMP3输出逻辑H，逻辑与元件AND1在检测信号N_det超过阈值电压Vth期间，输出为逻辑H的栅极驱动指令Gxyz_HV。另外，即使在将开关2设为截止状态的情况下，电源电路13也可以使用被充电至直流母线电容器3的电力，来持续提供电源电压VHV_2。

上臂栅极驱动电路12a～12c中接收来自辅机电池6的供电，并且随着辅机电池6的丧失而变得无法对上臂侧开关元件4a～4c进行驱动。因此，上臂侧开关元件4a～4c变为截止状态。栅极驱动电路21a～21c接收经冗余化后的电源电压VHV，并且根据栅极驱动指令Gxyz_HV变为逻辑H这一情况，进行将下臂侧开关元件5a～5c全部设为导通状态的故障安全控制。如果下臂侧开关元件5a～5c全部变为导通状态从而电动机PM变为绕组短路状态，则制动力作用于电动机PM，从而电动机的转速降低。

在时刻t2，如果电动机PM的旋转速度变为进行故障安全控制的下限旋转速度Vsafe以下，则检测信号N_det变为对应于该旋转速度Vsafe而被预先设定的阈值电压Vth以下。因此，转换器CMP2的输出从逻辑H变成逻辑L，逻辑与元件AND1所输出的栅极驱动信号Gxyz_HV从逻辑H变成逻辑L。接收到该信号，栅极驱动电路21a～21c将栅极驱动指令GxO_HV、GyO_HV、和GzO_HV设为逻辑L，从而将下臂侧开关元件5a～5c设为截止状态。

如此，第2故障安全电路14即使在辅机电池6丧失的情况下，也可接收来自电源电路13的供电并使用对电动机PM的旋转进行检测的速度检测部22的检测信号N_det，来对接收来自电源电路13的供电的栅极驱动电路21a～21c进行故障安全控制。此外，第1故障安全电路8即使在失去了来自主电池1和直流母线电容器3的供电的情况下，也可接收来自辅机电池的供电并使用对电动机PM的旋转进行检测的速度传感器101，来对接收来自辅机电池6的供电的上臂栅极驱动电路12a～12c进行相同的故障安全控制。

图10示出本实施方式的变形例所涉及的电机系统300。电机系统300是图1所示的电机系统200的变形例，因此，除了以下不同点以外，省略说明。

电机系统300采用经冗余电源化的栅极驱动电路21d～21f，以使得即使在辅机电池6丧失的情况下也可驱动上臂侧开关元件4a～4c的栅极。由此，电机系统300可以在辅机电池6丧失的情况下，进行将上臂侧开关元件4a～4c和下臂侧开关元件5a～5c交替地全部导通的故障安全控制。

电机系统300包括：主电池1、开关2、直流母线电容器3、辅机电池6、电源电路313、电动机PM、一个或多个电流传感器100、速度传感器101、逆变器210及电动机驱动装置320。这里，主电池1、开关2、直流母线电容器3、辅机电池6、电动机PM、一个或多个电流传感器100、速度传感器101及逆变器210与图1所示的电机系统200中标注有相同标号的构件相同，因此省略说明。

电源电路313与电源电路13相同地连接在直流母线间，输出使正侧的直流母线的电压下降而得到的电压VHV_2。此外，电源电路313输出将接地GND_U作为基准电位的电源电压VH_U、将接地GND_V设为基准电位的电源电压VH_V、及将接地GND_W设为基准电位的电源电压VH_W。为了分别生成电源电压VH_U、VH_V及VH_W，作为一个示例，电源电路313可具有包含绝缘变压器的绝缘型DC/DC转换器。

电动机驱动装置320与电动机驱动装置220相同地连接到逆变器210，接收来自电源电路313和辅机电池6的供电，并且控制逆变器210。电动机驱动装置320具有：控制电路7、第1故障安全电路8、故障检测电路15、多个上臂电源电路9a～9c、下臂电源电路10、速度检测部22、第2故障安全电路314、多个绝缘电路27a～27c、多个栅极驱动电路21a～21c、和多个栅极驱动电路21d～21f。这里，控制电路7、第1故障安全电路8、故障检测电路15、多个上臂电源电路9a～9c、下臂电源电路10、速度检测部22及多个栅极驱动电路21a～21c与图1所示的电动机驱动装置220中标注有相同标号的构件相同，因此省略说明。

第2故障安全电路314与速度检测部22相连接，并且至少接收来自第2电源的供电。在本变形例中，第2故障安全电路314接收来自电源电压VHV的供电。第2故障安全电路314使用来自速度检测部22的检测信号N_det，来对至少接收来自电源电路13的供电的栅极驱动电路21a～21f进行故障安全控制。

在本变形例中，第2故障安全电路314根据从下臂电源电路10输入电源电压VHV_1、并且电源电压VHV_1变为下限电压以下这一情况，对失去了来自辅机电池6的供电这一情况进行检测。而且，第2故障安全电路314在失去了来自辅机电池6的供电的情况下，对栅极驱动电路21a～21c进行故障安全控制。第2故障安全电路314在通常动作中将栅极驱动指令Gxyz_HV设为逻辑L。在故障安全控制中，第2故障安全电路314在电动机PM的旋转速度为阈值以上的情况下，通过将栅极驱动指令Gxyz_HV交替地切换为逻辑H或逻辑L，从而将下臂侧开关元件5a～5c交替地设为全部导通或者全部截止。

如图10所示，第2故障安全电路314也可以进一步输出栅极驱动指令Guvw_HV，以对栅极驱动电路21d～21f进行故障安全控制。第2故障安全电路314在通常动作中将栅极驱动指令Gxyz_HV及栅极驱动指令Guvw_HV设为逻辑L。在故障安全控制中，第2故障安全电路314在电动机PM的旋转速度为阈值以上的情况下，通过将栅极驱动指令Gxyz_HV交替地切换为逻辑H或逻辑L、并将栅极驱动指令Guvw_HV设为栅极驱动指令Gxyz_HV的逻辑否定，从而将上臂侧开关元件4a～4c及下臂侧开关元件5a～5c交替地设为全部导通。作为一个示例，第2故障安全电路314可包含：第2故障安全电路14；以及控制电路，该控制电路在第2故障安全电路14的逻辑与元件AND1输出逻辑L的情况下，将栅极驱动指令Gxyz_HV和栅极驱动指令Guvw_HV设为逻辑L，在第2故障安全电路14的逻辑与元件AND1输出逻辑H的情况下，将栅极驱动指令Gxyz_HV和栅极驱动指令Guvw_HV交替地设为逻辑H。

绝缘电路27a～27c分别接收将接地GND_N2设为基准电位的栅极驱动信号Guvw_HV，将栅极驱动信号Guvw_HV分别转换成将接地GND_U设为基准电位的信号、将接地GND_V设为基准电位的信号、以及将接地GND_W设为基准电位的信号。绝缘电路27a～27c分别通过光耦合器等绝缘元件来将接地GND_N2侧与接地GND_U、接地GND_V、接地GND_W绝缘并传输栅极驱动信号Guvw_HV。

栅极驱动电路21d～21f作为上臂栅极驱动电路发挥功能。栅极驱动电路21d～21f可以采用与图8所示的栅极驱动电路21a相同的结构。栅极驱动电路21d与第1故障安全电路8和绝缘电路27a相连接，从辅机电池6接收电源电压VLV(将接地GND_N1设为基准电位)，从电源电路313及上臂电源电路9a接收电源电压VH_U(将接地GND_U设为基准电位)。这里，来自电源电路313的电源电压和来自上臂电源电路9a的电源电压例如分别经由整流二极管等整流元件而合流，成为电源电压VH_U。由此，将电源电压VH_U冗余化，以使得即使失去了来自电源电路313的电源电压及来自上臂电源电路9a的电源电压中的任一个，电源电压VH_U也不会丧失。

栅极驱动电路21d在来自绝缘电路27a的栅极驱动指令Guvm_HV为逻辑L时，基于来自第1故障安全电路8的栅极驱动指令Gu_LV2，使上臂侧开关元件4a切换成导通或截止，并且在栅极驱动指令Guvw_HV为逻辑H时，将把上臂侧开关元件4a设为导通的栅极驱动指令GuO_HV输出到上臂侧开关元件4a。这里，栅极驱动指令GuO_HV是将接地GND_U设为基准电位的信号。栅极驱动电路21e～21f也具有相同的功能。

根据本变形例，在电机系统300中，上臂用栅极驱动电路21a～21c和下臂用栅极驱动电路21d～21f从辅机电池6和主电池1及直流母线电容器3接收供电。由此，即使在辅机电池6丧失的情况下，电机系统300也可以使用栅极驱动电路21a～21f来进行使上臂侧开关元件4a～4c和下臂侧开关元件5a～5c交替地全部导通的故障安全控制，从而可以加快直流母线电容器3中所积蓄的电力的消耗。

图11示出电机系统300的动作波形的第1示例。在本图中，从上到下依次示出：电动机实际速度(每分钟的转速)、接触器(开关2)的状态、由速度检测部22所得到的电动机速度检测值(即，检测信号N_det的电压)、第2故障安全电路314所输出的栅极驱动指令Gxyz_HV、上臂侧开关元件4a～4c的状态、下臂侧开关元件5a～5c的状态及常用电源(辅机电池6)的状态的时间变化。

在时刻t1，如果因事故或故障等而造成辅机电池6丧失，则电机系统300检测到该情况，并将开关2从导通状态切换成截止状态。此外，根据辅机电池6丧失这一情况，电源电压VHV_1变为阈值电压以下。因此，第2故障安全电路314将检测信号N_det超过阈值电压Vth这一情况作为条件，进行使栅极驱动指令Guvw_HV和栅极驱动指令Gxyz_HV交替地全部导通的故障安全控制。

在本示例中，在故障安全控制中，速度检测部22在预先确定的每个周期内或不定期地，在下臂侧开关元件5a为导通的期间对来自下臂侧开关元件5a的电流检测信号进行感测。这里，第2故障安全电路314可以使得在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间，比在速度检测部22不感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间要长。

例如，在时刻t2，速度检测部22在栅极驱动指令Gxyz_HV为逻辑H的期间对电流检测信号进行感测。为此，第2故障安全电路314可以在时刻t2使得使下臂侧开关元件5a～5c全部导通的期间，比在从时刻t2起接下来直到感测电流检测信号的时刻t3为止的期间中的、在不感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间要长。这里，第2故障安全电路314可以使得在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间，比在速度检测部22不感测电流检测信号时使下臂侧开关元件5a～5c全部导通的全部期间要长，也可以如图11所示那样地，比在速度检测部22不感测电流检测信号时使下臂侧开关元件5a～5c全部导通的至少一个期间要长。另外，如本图所示，第2故障安全电路314也可以使得，在包含对电流检测信号进行感测的定时的期间内使上臂侧开关元件4a～4c和下臂侧开关元件5a～5c交替地重复全部导通的频率，比在不包含对电流检测信号进行感测的定时的期间内使上臂侧开关元件4a～4c和下臂侧开关元件5a～5c交替地重复全部导通的频率要低。在时刻t3和t4，与时刻t2相同，速度检测部22在下臂侧开关元件5a为导通的期间，对来自下臂侧开关元件5a的电流检测信号进行感测。

在时刻t5，如果电动机PM的旋转速度变为进行故障安全控制的下限旋转速度Vsafe以下，则检测信号N_det变为根据该旋转速度Vsafe而被预先设定的阈值电压Vth以下。因此，第2故障安全电路314结束使上臂侧开关元件4a～4c及下臂侧开关元件5a～5c交替地全部导通的故障安全控制。

由此，第2故障安全电路314可以确保从使下臂侧开关元件5a～5c全部导通到速度检测部22感测电流检测信号为止的时间更长，并可以在下臂侧开关元件5a～5c的切换后电流检测信号进一步稳定之后，对电流检测信号进行感测。由此，即使在使应当对直流母线电容器3进行急速放电的上臂侧开关元件4a～4c及下臂侧开关元件5a～5c快速且交替地全部导通的情况下，速度检测部22也可以在伴随着开关的噪声减少之后对电流检测信号进行感测。另外，在速度检测部22对流过上臂侧开关元件4a～4c中的至少一个的电流进行检测的情况下，第2故障安全电路314在故障安全控制中可以使得在速度检测部22感测电流检测信号时使上臂侧开关元件4a～4c全部导通的期间，比在速度检测部22不感测电流检测信号时使上臂侧开关元件4a～4c全部导通的期间要长。

图12示出电机系统300的动作波形的第2示例。在本图的示例中，第2故障安全电路314所输出的栅极驱动指令Gxyz_HV、上臂侧开关元件4a～4c的状态、以及下臂侧开关元件5a～5c的状态的时间变化与图11不同，因而以下主要针对这些内容来进行说明。

在本示例中，第2故障安全电路314在故障安全控制中，可以使得在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间，比在速度检测部22不感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间要长。在本图的示例中，在时刻t2、t3、和t4，将在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间，维持得比在使下臂侧开关元件5a～5c全部导通的另一期间及使上臂侧开关元件4a～4c全部导通的各期间要长。

由此，第2故障安全电路314与图11同样地可以确保从使下臂侧开关元件5a～5c全部导通到速度检测部22感测电流检测信号为止的时间更长，并可以在下臂侧开关元件5a～5c的切换后电流检测信号进一步稳定之后，对电流检测信号进行感测。另外，在速度检测部22对流过上臂侧开关元件4a～4c中的至少一个的电流进行检测的情况下，第2故障安全电路314在故障安全控制中可以使得在速度检测部22感测电流检测信号时使上臂侧开关元件4a～4c全部导通的期间，比在速度检测部22不感测电流检测信号时使上臂侧开关元件4a～4c全部导通的期间要长。

图13示出电机系统300的动作波形的第3示例。在本图的示例中，第2故障安全电路314所输出的栅极驱动指令Gxyz_HV、上臂侧开关元件4a～4c的状态、以及下臂侧开关元件5a～5c的状态的时间变化与图11及图12不同，因而以下主要针对这些内容进行说明。

在本示例中，第2故障安全电路314在故障安全控制中，可以使得在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间，比使上臂侧开关元件4a～4c全部导通的期间要长。在本图的示例中，在故障安全控制中，作为使上臂侧开关元件4a～4c全部导通的各期间的一个示例实质上为相同的时间长度，作为使下臂侧开关元件5a～5c全部导通的各期间的一个示例实质上为相同的时间长度，比使上臂侧开关元件4a～4c全部导通的各期间要大。

由此，第2故障安全电路314与图11及图12同样地可以确保从使下臂侧开关元件5a～5c全部导通到速度检测部22感测电流检测信号为止的时间更长，并可以在下臂侧开关元件5a～5c的切换后电流检测信号进一步稳定之后，对电流检测信号进行感测。另外，在速度检测部22对流过上臂侧开关元件4a～4c中的至少一个的电流进行检测的情况下，第2故障安全电路314在故障安全控制中可以使得在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间，比使上臂侧开关元件4a～4c全部导通的期间要长。

与图11至图13的故障安全控制分开地，或与图11至图13的故障安全控制共同地，在失去了来自主电池1、直流母线电容器3、或电源电流313的供电的情况下或正在失去的情况下，电机系统300也可以通过第1故障安全电路8来与第2故障安全电路314同样地进行使上臂侧开关元件4a～4c和下臂侧开关元件5a～5c交替地全部导通的故障安全控制。

此外，速度检测部22也可以如关于图5和图6所说明的那样，基于来自下臂侧开关元件5a的电流检测信号，在下臂侧开关元件5a为导通的期间检测电动机PM的旋转。在该情况下，取代在图11和图13中使得在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间较长，第2故障安全电路314也可以使得在速度检测部22感测电流检测信号时使下臂侧开关元件5a～5c全部导通的期间较长。

以上，使用实施方式对本发明进行了说明，但是本发明的技术范围不限于上述实施方式所记载的范围。本领域技术人员可以明白，可以对上述实施方式进行各种变更或改进。由权利要求范围的记载可以明确，施加了这种变更或改进的方式也包含在本发明的技术范围内。

应当注意的是，权利要求书、说明书以及附图中所示的装置、系统、程序及方法中的动作、顺序、步骤、以及阶段等的各处理的执行顺序只要没有特别明确地示出为“之前”、“先前”等，此外只要不是在之后的处理中使用之前的处理的输出，则可以按照任意的顺序来实现。权利要求书、说明书以及附图中的动作流程中，为了方便说明，使用了“首先”、“然后”等，但并不意味着一定要按照这样的顺序来实施。