Brevet FR3119714A1 — publié le 20220812

L’invention concerne un dispositif de sécurité (1) pour système électronique de véhicule électrique, comprenant - un réseau à haute tension (R HT ) comprenant une première batterie (B) comportant un premier interrupteur de sécurité (S 1 ), une machine (M) ; - un réseau à basse tension (R BT ) comprenant une deuxième batterie et des appareils ; - un convertisseur (DC) entre les réseaux. Le convertisseur (DC) comporte un deuxième interrupteur de sécurité (S 2 ), et le premier interrupteur de sécurité (S 1 ) est met en œuvre un temps de latence où il est maintenu fermé en dépit d’une détection de court-circuit (CC) dans le réseau à haute tension (R HT ), et le deuxième interrupteur de sécurité (S 2 ) est configuré pour s’ouvrir dès détection dudit court-circuit (CC) avant le premier interrupteur de sécurité (S 1 ). L’invention concerne en outre un procédé, un programme et un véhicule sur la base d’un tel dispositif de sécurité (1). Fig. 1 DISPOSITIF DE SECURITE PAR SYNCHRONISATION DE MODULES D’INTERRUPTEUR, POUR SYSTEME ELECTRONIQUE DE VEHICULE ELECTRIQUE, PROCEDE ET VEHICULE SUR LA BASE D’UN TEL DISPOSITIF L’invention se rapporte au domaine des dispositifs et montages de sécurité pour des systèmes électroniques de véhicules électriques. Ce type de montage comprend une machine de traction de véhicule automobile, une batterie à haute tension d’alimentation de la machine dans un réseau à haute tension. Plusieurs autres appareils électriques du véhicule fonctionnent à basse tension ce qui implique généralement un deuxième réseau à basse tension et un convertisseur de courant continu DC/DC entre les deux réseaux. La batterie à haute tension peut être celle à recharger et/ou celle récupérant l’énergie électrique de la machine. Une deuxième batterie à basse tension peut être prévue dans le réseau à basse tension. Dans un réseau à haute tension, par exemple 48V, quand il survient un court-circuit, tous les composants cessent de fonctionner extrêmement rapidement, la batterie 48V ouvre ses contacteurs (ou interrupteurs de sécurité), la machine électrique cesse de fournir du courant et le convertisseur DC/DC arrête de convertir. La raison de cette ouverture rapide est liée à la façon de faire le diagnostic, l’état de l’art propose de faire une mesure de courant, or cette mesure de courant est critique, car l’ouverture doit se faire très vite dès que le courant va du réseau 12V vers le réseau 48V, et la dynamique peut être très rapide. Le court-circuit sur le réseau 48V peut être un court-circuit à la masse sur l’une des lignes +48V ou un court-circuit interne à un composant 48V entre son alimentation +48V et son alimentation 0V interne. La tension passe ensuite sous le seuil de fonctionnement des différents composants, à savoir la machine, le convertisseur DC/DC, les appareils ; et la batterie 48V qui détecte ce surcourant induit par le court-circuit ouvre son contacteur (courant supérieur à 1000 A). Cela a pour effet d’abaisser la tension sur le réseau 48V à une tension inférieure à 12V. Cela implique que par le convertisseur DC/DC transite un courant fort prélevé sur la batterie 12V ne permettant plus de respecter la tension minimale des composants 12V. Cela engendre des erreurs et réinitialisation des appareils du véhicule. Par ailleurs, l’ouverture de la fonction de sécurité (interrupteurs de sécurité) extrêmement rapide (quelques dixièmes de millisecondes) implique que la fonction de détection soit très précise, très réactive et très fiable pour répondre à des objectifs de sécurité et de disponibilité du véhicule. Par exemple une fonction peu fiable induirait un taux de fausses détections élevé et impacterait l’usage du véhicule. A l’heure actuelle le respect de tous ces critères est très difficile à remplir avec les technologies courantes. En outre, cela est très consommateur de temps d’analyse et de fabrication de capteurs de courant fiables et précis. Les solutions connues à ce jour obligent à l’ajout en parallèle de plusieurs MOSFET pour tenir les contraintes de courants, et à un équilibrage entre les composants. En outre, cela surdimensionne les cartes de contrôle. D’autres solutions où les composants sont dimensionnés au plus juste, la moindre variation de paramètres externes tels que la longueur de câble, l’impédance de câblage, le niveau de courant, les sous-tensions transitoires dans l’usage du véhicule, rendent le dispositif non fiable. En outre, pour respecter l’exigence de sécurité, cela nécessite un dimensionnement de composant de puissance de haut niveau, ayant une capacité à ouvrir à un courant selfique de 1000A avec une impédance entre 1µH et 5µH dans un temps de coupure inférieur à 5 ms. Ce temps intègre le temps de détection du défaut, le temps de validation du défaut et le temps de commande du composant de puissance ouvrant le circuit. A date, la contrainte, le temps de réponse et le dimensionnement nécessaire induisent une conception fastidieuse et d’une fiabilité difficile à atteindre. Ainsi, un premier objectif de la présente invention est de proposer une solution de sécurité limitant pendant un certain temps la chute de tension dans les réseaux et les erreurs et réinitialisations des appareils du véhicule. Un deuxième objectif est de proposer un dispositif utilisant des modules d’interrupteur simplifiés pour en limiter la complexité et le temps de fabrication, tout en étant sensiblement fiable. Pour atteindre ces objectifs, l’invention propose un dispositif de sécurité pour système électronique de véhicule électrique, comprenant - un réseau à haute tension qui comprend un module de batterie à haute tension comportant un premier module d’interrupteur de sécurité, une machine à haute tension ; - un réseau à basse tension qui comprend un module de batterie à basse tension et au moins un appareil à basse tension ; - un module de convertisseur de courant continu configuré pour convertir le courant du réseau à haute tension vers le réseau à basse tension ; caractérisé en ce que le module de convertisseur de courant continu comporte un deuxième module d’interrupteur de sécurité, et en ce que le premier module d’interrupteur de sécurité est configuré pour mettre en œuvre un temps de latence dans lequel il est maintenu fermé en dépit d’une détection de court-circuit dans le réseau à haute tension, et le deuxième module d’interrupteur de sécurité est configuré pour s’ouvrir dès détection dudit court-circuit avant le premier module d’interrupteur de sécurité. Avantageusement, le maintien du premier module d’interrupteur de sécurité fermé permet d’alimenter le court-circuit avec le courant de la batterie à haute tension sans utiliser le courant de la batterie à basse tension. Cela permet de continuer à alimenter les appareils du véhicule et de limiter pendant un certain temps la chute de tension dans les réseaux et les erreurs et réinitialisation des appareils du véhicule. En outre le deuxième module d’interrupteur ne nécessite pas une complexité et peut avoir un temps de réponse de quelques millisecondes, ce qui implique une réduction de son temps de fabrication. Le courant appliqué est à moins de 100A. Selon d’autres aspects pris isolément, ou combinés selon toutes les combinaisons techniquement réalisables : - ledit temps de latence est d’au moins 12 ms. - le deuxième module d’interrupteur de sécurité est configuré pour s’ouvrir en moins de 10 ms, de préférence en moins de 5ms. - le premier module d’interrupteur de sécurité est configuré pour maintenir le réseau à haute tension au-dessus d’une première tension minimale, en particulier au-dessus de 4V. - le premier module d’interrupteur de sécurité est configuré pour maintenir le réseau à haute tension en dessous d’une tension maximale, en particulier en dessous de 10V. - le deuxième module d’interrupteur de sécurité est configuré pour maintenir le réseau à basse tension au-dessus d’une deuxième tension minimale, en particulier au-dessus de 9V. - le deuxième module d’interrupteur de sécurité est du type à commande linéaire. L’invention concerne en outre un procédé de sécurisation d’un système électronique de véhicule électrique comprenant - un réseau à haute tension comportant un premier module d’interrupteur de sécurité ; - un réseau à basse tension ; - un module de convertisseur de courant continu configuré pour convertir le courant du réseau à haute tension vers le réseau à basse tension, le module de convertisseur de courant continu comportant un deuxième module d’interrupteur de sécurité, le procédé étant caractérisé par des étapes pour : - détecter un court-circuit dans le réseau à haute tension ; - maintenir le premier module d’interrupteur de sécurité fermé pendant un temps de latence en dépit du court-circuit ; - ouvrir le deuxième module d’interrupteur de sécurité dès détection dudit court-circuit avant le premier module d’interrupteur de sécurité. Un autre objet de l’invention concerne un programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes du procédé de contrôle selon l’invention, lorsque ledit programme fonctionne sur au moins un ordinateur. L’invention porte en outre sur un véhicule automobile comprenant un dispositif de sécurité selon l’invention. L’invention sera davantage détaillée par la description de modes de réalisation non limitatifs, et sur la base des figures annexées illustrant des variantes de l’invention, dans lesquelles : - illustre schématiquement un dispositif de sécurité selon une variante préférée de l’invention ; - illustre schématiquement un exemple de fonctionnement du dispositif de sécurité de la . L’invention concerne un dispositif de sécurité 1 du type utilisable pour un système électronique de véhicule électrique. Ce type de système électronique comprend un réseau à haute tension R HT qui comprend un module de batterie à haute tension B. Le module de batterie à haute tension B comporte un premier module d’interrupteur de sécurité S 1 , et une machine à haute tension M. Il s’agit en particulier d’un réseau du type pouvant alimenter une machine de traction d’un véhicule électrique et rechargeant la batterie correspondante. Il est par exemple à 48V. Ce type de système électronique comprend en outre un réseau à basse tension R BT qui comprend un module de batterie à basse tension et au moins un appareil à basse tension. Il s’agit en particulier d’un réseau du type pouvant alimenter des appareils électroniques d’un véhicule électrique tel que des appareils d’assistance au freinage, et de direction assistée notamment. Il est par exemple à 12V. Ce type de système électronique comprend en outre un module de convertisseur de courant continu DC configuré pour convertir le courant du réseau à haute tension, ici 48V, vers le réseau à basse tension, ici 12V. Selon l’invention, le module de convertisseur de courant continu comporte un deuxième module d’interrupteur de sécurité S 2 . Dans l’agencement de l’invention, le premier module d’interrupteur de sécurité S 1 est configuré pour mettre en œuvre un temps de latence L dans lequel il est maintenu fermé en dépit d’une détection de court-circuit CC dans le réseau à haute tension R HT . Le temps de latence L est en particulier l’intervalle allant de t 1 à t 4 dans la variante illustrée. De préférence, ledit temps de latence L est d’au moins 12 ms. En outre, le deuxième module d’interrupteur de sécurité S 2 est configuré pour s’ouvrir dès détection dudit court-circuit CC avant le premier module d’interrupteur de sécurité S 1 . Avantageusement, le maintien du premier module d’interrupteur de sécurité S 1 fermé permet d’alimenter le court-circuit CC avec le courant de la batterie à haute tension B sans utiliser le courant de la batterie à basse tension du réseau à basse tension R BT . Cela permet de continuer à alimenter les appareils du véhicule et de limiter pendant un certain temps la chute de tension dans les réseaux et les erreurs et réinitialisation des appareils du véhicule. En particulier, ledit deuxième module d’interrupteur de sécurité est mis en place, de préférence en série, entre les deux batteries (48V et 12V). Il est de type tête bêche. Ainsi, les tensions de fonctionnement des appareils du réseau à basse tension sont respectées. Dans la variante préférée, il faut maintenir la batterie 48V connectée au réseau 48V ainsi que la production d’électricité par la machine électrique M jusqu’à ce que l’ouverture du deuxième interrupteur de sécurité S 2 soit effective et vérifiée par un courant nul dans le sens 12V vers 48V traversant la structure du convertisseur DC 48V/12V En outre, cette configuration de commande à l’ouverture permet de limiter le dimensionnement du deuxième interrupteur de sécurité S 2 , avec un impact sur le volume et les temps de fabrication, et de garantir la fiabilité. La réalisation de ce maintien permet au deuxième interrupteur de sécurité S 2 de s’ouvrir sans que le courant soit élevé dans le sens 12V vers 48V. De préférence le deuxième module d’interrupteur de sécurité est du type à commande linéaire. Selon une variante préférée, le deuxième module d’interrupteur de sécurité S 2 est configuré pour s’ouvrir en moins de 10 ms, de préférence en moins de 5ms. Cela laisse le temps d’alimenter des fonctions essentielles du véhicule. Dans la variante illustrée, le premier module d’interrupteur de sécurité S 1 est configuré pour maintenir le réseau à haute tension R HT au-dessus d’une première tension minimale V HT_min , en particulier au-dessus de 4V. De préférence, le premier module d’interrupteur de sécurité S 1 est configuré pour maintenir le réseau à haute tension en dessous d’une tension maximale, en particulier en dessous de 10V. En outre, dans la variante illustrée, le deuxième module d’interrupteur de sécurité S 2 est configuré pour maintenir le réseau à basse tension au-dessus d’une deuxième tension minimale V BT_min , en particulier au-dessus de 9V. Cela correspond aux tensions optimales pour maintenir les fonctions des appareils du réseau à basse tension. L’invention concerne également un procédé de sécurisation d’un système électronique de véhicule électrique. Ce système électronique peut être tel que celui décrit précédemment. Le procédé comprend en particulier les actions mises en œuvre par au moins un des composants d’un dispositif de sécurité 1 tel que décrit précédemment. Le procédé peut être illustré par la . La tension dans le réseau à haute tension RHT est en trait continu, et la tension dans le réseau à basse tension RBT est en trait mixte. En état standard à t=0, tous les interrupteurs de sécurité sont fermés. On peut parler d’une étape S 1 _f comme étape initiale du procédé. En cas de court-circuit dans le réseau à haute tension R HT , celui-ci est détecté par le système électronique via une chute de tension dans ledit réseau R HT (cf. t= t 1 et t 2 ). Ainsi, le procédé comprend au moins une étape de détection D 1 , D 2 pour détecter un court-circuit dans le réseau à haute tension R HT . La détection peut se faire selon l’art antérieur par exemple par des unités de contrôle, par exemple de type microcontrôleur, d’un ou des deux modules d’interrupteurs de sécurité S 1 . En réponse, le dispositif de sécurité 1, en particulier le premier module d’interrupteur de sécurité S 1 , se maintien en état fermé pendant un temps de latence L. Cela permet d’alimenter le court-circuit CC sans avoir de défaillance dans le réseau de basse tension R BT . On pourra parler d’une étape S 1 _mf pour maintenir le premier module d’interrupteur de sécurité S 1 fermé pendant ledit temps de latence L en dépit de la détection du court-circuit CC. En outre, le deuxième module d’interrupteur de sécurité S 2 , détecte également le court-circuit CC par une chute de tension en particulier dans un deuxième temps (cf. t=t 2 ). A contrario, le deuxième module d’interrupteur de sécurité S 2 est configuré pour s’ouvrir immédiatement et avant le premier le module d’interrupteur de sécurité S 1 . On pourra parler d’étape S 2 _o d’ouverture dudit module S 2 . Cela permet de préserver les fonctions des appareils électriques du réseau à basse tension pendant le temps de latence L. Ensuite, une fois le temps de latence expiré, le premier le module d’interrupteur de sécurité S 1 peut s’ouvrir. On pourra parler d’étape S 1 _o d’ouverture dudit module S 1 . Cela induit que la batterie 48V qui aura à supporter ce défaut pourra fournir un courant maximal supérieur à 2000A pendant 12ms. L’invention concerne en outre un programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes d’un procédé de contrôle tel que décrit précédemment, lorsque ledit programme fonctionne sur au moins un ordinateur. Il s’agit par exemple d’un programme de contrôle de des interrupteurs de sécurité à installer dans un ou plusieurs microcontrôleurs des modules d’interrupteurs de sécurité S 1 et/ou S 2 . L’invention porte également sur un véhicule automobile comprenant un système électronique équipé d’un dispositif de sécurité 1 tel que décrit précédemment. Dispositif de sécurité (1) pour système électronique de véhicule électrique, comprenant - un réseau à haute tension (R HT ) qui comprend un module de batterie (B) à haute tension comportant un premier module d’interrupteur de sécurité (S 1 ), une machine à haute tension (M) ; - un réseau à basse tension (R BT ) qui comprend un module de batterie à basse tension et au moins un appareil à basse tension ; - un module de convertisseur de courant continu (DC) configuré pour convertir le courant du réseau à haute tension (R HT ) vers le réseau à basse tension (R BT ) ; caractérisé en ce que le module de convertisseur de courant continu (DC) comporte un deuxième module d’interrupteur de sécurité (S 2 ), et en ce que le premier module d’interrupteur de sécurité (S 1 ) est configuré pour mettre en œuvre un temps de latence (L) dans lequel il est maintenu fermé en dépit d’une détection de court-circuit (CC) dans le réseau à haute tension (R HT ), et le deuxième module d’interrupteur de sécurité (S 2 ) est configuré pour s’ouvrir dès détection dudit court-circuit (CC) avant le premier module d’interrupteur de sécurité (S 1 ). Dispositif de sécurité (1) selon la revendication 1, caractérisé en ce que ledit temps de latence (L) est d’au moins 12 ms. Dispositif de sécurité (1) selon l’une quelconque des revendications 1 à 2, caractérisé en ce que le deuxième module d’interrupteur de sécurité (S 2 ) est configuré pour s’ouvrir en moins de 10 ms, de préférence en moins de 5ms. Dispositif de sécurité (1) selon l’une quelconque des revendications 1 à 3, caractérisé en ce que le premier module d’interrupteur de sécurité (S 1 ) est configuré pour maintenir le réseau à haute tension (R HT ) au-dessus d’une première tension minimale (V HT_min ), en particulier au-dessus de 4V. Dispositif de sécurité (1) selon l’une quelconque des revendications 1 à 4, caractérisé en ce que le premier module d’interrupteur de sécurité (S 1 ) est configuré pour maintenir le réseau à haute tension (R HT ) en dessous d’une tension maximale, en particulier en dessous de 10V. Dispositif de sécurité (1) selon l’une quelconque des revendications 1 à 5, caractérisé en ce que le deuxième module d’interrupteur de sécurité (S 2 ) est configuré pour maintenir le réseau à basse tension (R BT ) au-dessus d’une deuxième tension minimale (V BT_min ), en particulier au-dessus de 9V. Dispositif de sécurité (1) selon l’une quelconque des revendications 1 à 6, caractérisé en ce que le deuxième module d’interrupteur de sécurité (S 2 ) est du type à commande linéaire. Procédé de sécurisation d’un système électronique de véhicule électrique comprenant - un réseau à haute tension (R HT ) comportant un premier module d’interrupteur de sécurité (S 1 ) ; - un réseau à basse tension (R BT ) ; - un module de convertisseur de courant continu (DC) configuré pour convertir le courant du réseau à haute tension (R HT ) vers le réseau à basse tension (R BT ), le module de convertisseur de courant continu (DC) comportant un deuxième module d’interrupteur de sécurité (S 2 ), le procédé étant caractérisé par des étapes pour : - (D 1 , D 2 ) détecter un court-circuit dans le réseau à haute tension (R HT ) ; - (S 1 _mf) maintenir le premier module d’interrupteur de sécurité (S 1 ) fermé pendant un temps de latence (L) en dépit du court-circuit ; - (S 1 _o) ouvrir le deuxième module d’interrupteur de sécurité (S 2 ) dès détection dudit court-circuit (CC) avant le premier module d’interrupteur (S 1 ) de sécurité. Programme d’ordinateur comprenant des instructions de code de programme pour l’exécution des étapes du procédé de contrôle selon la revendication 8, lorsque ledit programme fonctionne sur au moins un ordinateur. Véhicule automobile comprenant un dispositif de sécurité (1) selon l’une quelconque des revendications 1 à 7.