Brevet FR3101495A1 — publié le 20210402

Un circuit (1) d’inhibition par coupure d’alimentation électrique comprend un premier élément de commutation (10) à transistors MOSFET et un second élément de commutation (20) à transistors MOSFET, agencés en série, tête-bêche, et qui comprennent chacun un premier transistor MOSFET (MT_A1, MT_B1) et un second transistor MOSFET (MT_A2, MT_B2) agencés en série, tête-bêche. Le circuit comprend aussi deux contrôleurs (11,21), à savoir un pour chacun des éléments de commutation (10,20) redondés, afin d’isoler tout défaut pour pouvoir maintenir le circuit d’inhibition en état de fonctionnement en toutes circonstances et être ainsi conforme aux exigences de sécurité de type ASIL D. F igure pour l’abrégé : f ig ure 1 Circuit d’inhibition d’un système embarqué dans un véhicule automobile, système embarqué, et véhicule automobile l’incorporant La présente invention se rapporte de manière générale à la sécurité fonctionnelle et à la fiabilité des systèmes électriques et électroniques embarqués dans les véhicules automobiles, et notamment à la sécurité par interruption d’alimentation électrique de ces systèmes. Elle concerne plus particulièrement un circuit d’inhibition (« muting » en anglais) pour véhicule automobile, ainsi qu’un système embarqué dans un véhicule automobile qui comprend un tel circuit, et qu’un véhicule l’incorporant. Etat de la technique La sécurité fonctionnelle et la fiabilité des systèmes dans les véhicules automobiles, et notamment les systèmes d’aide à la conduite (aussi appelés ADAS, de l’anglais « Advanced Driver Assistance Systems ») est un problème complexe. En cas d’accident, en effet, la responsabilité juridique du constructeur peut être directement engagée. Or, la présence de ces systèmes tend à se généraliser dans les véhicules automobiles modernes, ce qui fait de la problématique du respect des objectifs de leur sécurité fonctionnelle et de leur fiabilité de de fonctionnement un enjeu important. La redondance fonctionnelle et la remontée d’informations de diagnostique sont des mesures qui aident à maintenir le système (et donc le véhicule) dans un état sûr (« Safe state » en anglais). Un état sûr est un mode de fonctionnement dans lequel le système (la chaîne de traction par exemple), et donc le véhicule, présentent un niveau de risque acceptable. Concernant la chaîne de traction d’un véhicule électrique ou hybride, par exemple, les états sûrs admissibles sont le fonctionnement nominal ou, en cas de défaillance, la mise du véhicule en roue libre (avec un voyant allumé au tableau de bord pour prévenir le conducteur) ou encore le maintien du véhicule à l'arrêt (interdiction de démarrer) s'il était déjà dans cette configuration. L'interdiction de démarrage (pas de commande de couple au niveau de l’onduleur) est applicable lors de la phase de démarrage du véhicule (initialisation des calculateurs et tests préliminaires avant d'autoriser la traction). Dans ce contexte, différentes normes ont vu le jour dont, en 2011, la norme ISO 26262 concernant la sécurité fonctionnelle des systèmes électriques et électroniques automobiles, qui est applicable à l’électronique programmable des ADAS. L'application de la norme IS0 26262 pour les systèmes embarqués dans les véhicules automobiles, par exemple, entraîne un fort accroissement des niveaux d'intégrité de sécurité automobile, ou ASIL (de l’anglais « Automotive Safety Integrity Level ») qui sont exigés pour valider les équipements et les fonctions mises en œuvre dans ces systèmes automobiles, dont notamment mais pas uniquement les ADAS. Cette norme impose de nouveaux protocoles d’évaluation de la sécurité des véhicules, qu’ils soient mis au point en Europe ou en Amérique du Nord. Ces équipements et ces fonctions sont cotés selon un niveau d'exigence en matière de sécurité, allant de ASIL A à ASIL D (D étant le niveau le plus critique), selon la Sévérité (S), l'Exposition (E) et la Contrôlabilité (C) de la situation dangereuse ou de l’évènement redouté (ER). En particulier, les dispositifs de coupure (aussi appelés dispositifs d’inhibition) utilisés dans les véhicules pour couper l’alimentation par une batterie, notamment une batterie haute tension (de l’ordre de 400 Volts) fournissant l’énergie de traction à un groupe motopropulseur d’un véhicule électrique ou hybride, par exemple, devront bientôt satisfaire des exigences en matière de sécurité concernant des situations potentiellement à risque de type ASIL D. Ces exigences comprennent la faculté de couper l’alimentation électrique par une batterie en interrompant la circulation du courant dans les deux sens (depuis la batterie, et vers la batterie), afin d’isoler un équipement ou un accessoire considéré comme défectueux. Une solution classique à base de relais présente pour inconvénients un nombre limité de commutations en raison de l’usure progressive des contacts, la nécessité d’une énergie relativement importante pour assurer les commutations, et en outre des problèmes de fiabilité du fait des pièces électromécaniques mises en œuvre dans les relais. C’est pourquoi, pour réaliser la fonction de coupure dans des applications automobiles, on peut utiliser un circuit d’inhibition à base de transistors, comme des transistors MOSFET (de l’anglais « Metal Oxyde Semiconductor Field Effect Transistor »). Un tel circuit ne présente pas les inconvénients précités des relais. Par contre, les transistors MOSFET peuvent présenter des courants de fuite, qui affectent le pouvoir de coupure du circuit d’inhibition. L’invention vise à proposer un circuit d’inhibition comprenant un composant de commutation à base de transistors MOSFET qui soit capable de satisfaire une contrainte de coupure de type ASIL D dans les deux sens de circulation du courant à travers le composant. Le dispositif de commande du composant doit permettre de le rendre parfaitement non-passant, nonobstant l’existence éventuelle de courants de fuite dans les transistors MOSFET, afin de couper en sécurité l’alimentation électrique d’un système électrique ou électronique à fiabiliser. La solution retenue s’appuie sur la redondance d’un élément de commutation à base de transistors MOSFET, mais va au-delà de cette mesure de sécurité fonctionnelle connue en soi, en permettant notamment de supprimer des cas de défaillance en mode commun. Brève description des figures D’autres caractéristiques et avantages de l’invention apparaîtront encore à la lecture de la description qui va suivre. Celle-ci est purement illustrative et doit être lue en regard des dessins annexés sur lesquels : la figure 1, qui est la figure unique, est un diagramme fonctionnel du circuit d’inhibition selon des modes de réalisation. Circuit (1) d’inhibition par coupure d’alimentation électrique d’un système électrique ou électronique de véhicule automobile alimenté électriquement par une source d’alimentation électrique, ledit circuit d’inhibition comprenant : - une première borne (100) destinée à être couplée à la source d’alimentation électrique et une seconde borne (200) destinée à être couplée au système ; - un premier élément de commutation (10) à transistors MOSFET et un second élément de commutation (20) à transistors MOSFET, agencés en série, tête-bêche, entre la première borne et la seconde borne du circuit, et adaptés pour pouvoir être placé, chacun, dans un état passant ou dans un état non passant, ledit premier élément de commutation et ledit second élément de commutation comprenant chacun un premier transistor MOSFET (MT_A1, MT_B1) et un second transistor MOSFET (MT_A2, MT_B2) agencés en série, tête-bêche ; - un premier contrôleur (11) et un second contrôleur (21) électriquement indépendants l’un de l’autre et adaptés, chacun, pour commander l’état passant ou non passant du premier élément de commutation et du second élément de commutation, respectivement ; et, - un module (30) détecteur de courants de fuite agencé entre la première borne et la seconde borne, et adapté pour détecter l’existence éventuelle d’un courant de fuite dans le premier élément de commutation ou dans le second élément de commutation lorsque ledit élément est à l’état non passant, et pour, le cas échéant, notifier une information correspondante au second contrôleur ou au premier contrôleur, respectivement, à des fins de redondance fonctionnelle entre le premier élément de commutation et le second élément de commutation relativement à leur mise à l’état non passant afin de couper l’alimentation électrique du système. Circuit d’inhibition selon la revendication 1, dans lequel le premier contrôleur et/ou le second contrôleur comprennent chacun une logique de commande (12,22) et un circuit de commande de grille isolé (13,23) agencé entre ladite logique de commande, d’une part, et les grilles de commande des premier et second transistors MOSFET du premier élément de commutation et du second élément de commutation, respectivement, d’autre part. Circuit d’inhibition selon la revendication 1 ou la revendication 2, dans lequel les transistors MOSFET du premier élément de commutation et/ou les transistors MOSFET du second élément de commutation sont des transistors MOS de type N. Circuit d’inhibition selon l’une quelconque des revendications 1 à 3, dans lequel les transistors MOSFET du premier élément de commutation et les transistors MOSFET du second élément de commutation sont choisis auprès de sources d’approvisionnement respectives différentes. Circuit d’inhibition selon l’une quelconque des revendications 1 à 4, dans lequel les transistors MOSFET du premier élément de commutation et les transistors MOSFET du second élément de commutation ont des boîtiers de types respectifs différents. Circuit d’inhibition selon l’une quelconque des revendications 1 à 5, dans lequel l’implantation du premier et du second éléments de commutation (10,20) sur une même carte électronique, ou sur des cartes électroniques distinctes dans un même boîtier, ou dans des boîtiers séparés, est adaptée pour respecter des distances d’isolement déterminées entre lesdits éléments de commutation. Circuit d’inhibition selon l’une quelconque des revendications 1 à 6, dans lequel l’implantation du premier et du second contrôleur (11,21) sur une même carte électronique, ou sur des cartes électroniques distinctes dans un même boîtier, ou dans des boîtiers séparés, est adaptée pour respecter des distances d’isolement déterminées entre lesdits contrôleurs. Circuit d’inhibition selon l’une quelconque des revendications 1 à 7, dans lequel le module (30) détecteur de courants de fuite est adapté pour générer : un signal (S1A_A) qui donne une information relative à un dysfonctionnement éventuel du premier transistor (MT_1A) du premier élément de commutation (10), délivré au premier contrôleur (11) ; un signal (S1A_B) qui donne une information relative à un dysfonctionnement éventuel du premier transistor (MT_1A) du premier élément de commutation (10), délivré au second contrôleur (21) ; un signal (S2A_A) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2A) du premier élément de commutation (10), délivré au premier contrôleur (11) ; un signal (S2A_B) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2A) du premier élément de commutation (10), délivré au second contrôleur (21) ; un signal (S1B_A) qui donne une information relative à un dysfonctionnement éventuel du premier transistor (MT_1B) du second élément de commutation (20), délivré au premier contrôleur (11) ; un signal (S1B_B) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_1B) du second élément de commutation (20), délivré au second contrôleur (21) ; un signal (S2B_A) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2B) du second élément de commutation (20), délivré au premier contrôleur (11) ; et, enfin, le signal (S2B_B) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2B) du second élément de commutation (20), délivré au second contrôleur (21). Système électrique ou électronique embarqué dans un véhicule automobile, adapté pour être alimenté électriquement par une source d’alimentation électrique, et comprenant un circuit d’inhibition (1) par coupure d’alimentation électrique selon l’une quelconque des revendications 1 à 8. Véhicule automobile comprenant une source d’alimentation électrique, un système électrique ou électronique alimenté électriquement par ladite source d’alimentation électrique, et un circuit d’inhibition (1) selon l’une quelconque des revendications 1 à 8 agencé entre ladite source d’alimentation électrique et ledit système, pour protéger ledit système par coupure d’alimentation électrique.