FR 3013003 A1 20150515 FR 1360944 A 20131108 Commande sécurisée d'un réchauffeur électrique La présente invention concerne généralement un réchauffeur électrique, et plus particulièrement une commande sécurisée d'un tel 5 réchauffeur. L'invention concerne notamment le domaine des véhicules électriques ou hybrides où les réchauffeurs électriques sont conçus pour fonctionner avec deux tensions d'alimentation de valeurs distinctes, typiquement une tension basse de l'ordre de 12 Volts et une tension haute de l'ordre de 350 Volts. La 10 haute tension sert à mettre en fonctionnement le réchauffeur, alors que la basse tension sert à piloter ce fonctionnement (marche, arrêt, puissance, etc.). En général, le réseau de basse tension du véhicule est constitué par la batterie de basse tension à la valeur nominative de 12 V. Ce circuit de basse tension est relié à la carrosserie du véhicule par une des bornes de la batterie 15 de basse tension. Le réseau de haute tension du véhicule est constitué par la batterie de haute tension (- 350 V), appelée batterie de traction. Le circuit de haute tension est maintenu inaccessible aux passagers du véhicule. Les réchauffeurs pour véhicules électriques ou hybrides sont utilisés pour chauffer l'habitacle du véhicule en réchauffant l'eau du circuit de 20 refroidissement. Les réchauffeurs comportent un ou plusieurs éléments résistifs chauffants et sont alimentés par un courant de puissance venant de la batterie de haute tension du véhicule (- 350 V), appelée batterie de traction. L'élément résistif chauffant peut, par exemple, être piloté par un circuit de commande incluant un transistor de puissance placé en série avec l'élément 25 chauffant sur l'alimentation en courant de puissance, où la grille du transistor est pilotée par un dispositif de commande de grille dont l'énergie provient du circuit de basse tension du véhicule. Lorsque le circuit d'alimentation d'un réchauffeur est défaillant, résultant par exemple d'un court-circuit du transistor de puissance, le 30 réchauffeur peut fonctionner en permanence, ce qui engendre un risque d'incendie lorsque l'eau entre en ébullition et s'évapore, confrontant ainsi des pièces du véhicule à des températures très hautes. Les réchauffeurs dans les véhicules doivent répondre à la norme ISO 26262, le risque venant d'un réchauffeur défaillant étant classé ASIL (initiales anglo-saxonnes mises pour automotive safety integrity level) D, ce qui correspond au niveau d'exigence le plus critique en termes de sécurité. Pour se protéger des températures anormalement élevées, les 5 réchauffeurs utilisent généralement, comme éléments résistifs chauffants, soit des résistances chauffantes associées à un fusible, par exemple un bilame, soit des éléments à coefficient de température positif (appelés éléments CTP). Les éléments CTP, dont la résistance augmente avec la température, permettent de ne pas dépasser une température donnée (par exemple, 10 environ 200°C). Cependant, les éléments CTP sont plutôt coûteux (par rapport à une résistance fixe) et leur performance diminue très rapidement en fonction de la température de l'eau. Les bilames, quant à eux, ont l'inconvénient de l'apparition d'un arc lors de la coupure d'un courant continu de puissance. En outre, les bilames sont très peu compacts. 15 Il est donc nécessaire de disposer d'une commande du réchauffeur capable de pallier une quelconque défaillance d'un des éléments du circuit électronique afin d'éviter le fonctionnement non voulu du réchauffeur et ainsi le risque d'incendie, tout en remédiant aux inconvénients des commandes conventionnelles mentionnés ci-dessus. 20 La présente invention répond à cet objectif en proposant un dispositif de commande sécurisée d'un module réchauffeur comportant au moins une résistance chauffante apte à être connectée en série entre un conducteur haute tension et un conducteur de masse d'un réseau électrique haute tension, le dispositif comprenant : 25 - un premier interrupteur électronique apte à être connecté en série avec ladite au moins une résistance chauffante; - un premier module de contrôle apte à contrôler le premier interrupteur électronique; - un deuxième interrupteur électronique apte à être connecté en série 30 avec ladite au moins une résistance chauffante et le premier interrupteur électronique; - un deuxième module de contrôle apte à contrôler le deuxième interrupteur électronique, le deuxième module de contrôle étant flottant par rapport au premier module de contrôle; et - des moyens de conversion à découpage aptes à être connectés à un réseau électrique basse tension et aptes à alimenter indépendamment le premier module de contrôle et le deuxième module de contrôle, les moyens de conversion comprenant une isolation galvanique entre le réseau électrique basse tension et le réseau électrique haute tension. La commande sécurisée d'un module réchauffeur selon l'invention offre ainsi une redondance dans la fonction des composants dupliqués (modules de contrôle, interrupteurs). Ceci permet de pallier une quelconque éventuelle défaillance d'un de ces composants et, par conséquent, d'assurer la sécurité fonctionnelle exigée vis-à-vis du risque d'incendie tout en remédiant aux inconvénients mentionnés ci-dessus. Selon un mode de réalisation de l'invention, les moyens de conversion comprennent deux convertisseurs à découpage comprenant chacun : - un enroulement primaire apte à être connecté au réseau électrique basse tension pour fournir de l'énergie électrique ; - un enroulement secondaire galvaniquement isolé de l'enroulement primaire ; dans lequel l'enroulement secondaire est apte à fournir une valeur de tension utile en restituant l'énergie électrique fournie. De manière particulièrement préférentielle, les moyens de conversion 25 comprennent un unique convertisseur à découpage apte à alimenter le premier et le deuxième modules de contrôle. En plus des avantages mentionnés ci-dessus, un unique convertisseur à découpage constitue une alimentation parfaitement adaptée, économique et astucieuse des deux modules de contrôle, permettant en outre un gain de 30 place par rapport à deux alimentations distinctes. De plus, un unique convertisseur à découpage permet un gain de place Selon une variante, l'unique convertisseur à découpage est un convertisseur de type flyback, comprenant : - un enroulement primaire apte à être connecté au réseau électrique basse tension pour fournir de l'énergie électrique ; - deux enroulements secondaires galvaniquement isolés de l'enroulement primaire; dans lequel les enroulements secondaires sont adaptés à fournir une même valeur de tension utile en restituant l'énergie électrique fournie. Préférentiellement, l'unique convertisseur à découpage comprend en outre : - un enroulement de régulation apte à fournir une valeur de tension utile en restituant l'énergie électrique fournie ; et - un module de régulation; dans lequel le module de régulation est apte à mesurer la valeur de tension utile fournie par l'enroulement de régulation et à réguler le rapport cyclique du convertisseur pour obtenir une valeur de tension utile prédéterminée. Ceci permet de réguler le convertisseur afin que les premier et deuxième enroulements secondaires fournissent une valeur de tension utile prédéterminée pour alimenter les premier et deuxième modules de contrôle. De manière avantageuse, le dispositif comprend en outre un premier détecteur de température et un deuxième détecteur de température, les détecteurs étant aptes à détecter une valeur de température d'eau à proximité de ladite au moins une première résistance chauffante du module réchauffeur et à fournir la valeur détectée à l'un des modules de contrôle. Selon une variante préférentielle, le premier module de contrôle est un module de contrôle maître, et le deuxième module de contrôle est un module 25 de contrôle esclave. Avantageusement, le module de contrôle maître comprend un module de mesure de courant apte à mesurer un courant de puissance passant dans le premier interrupteur électronique et le deuxième interrupteur électronique. Selon une variante, le premier et le deuxième modules de contrôle sont 30 aptes à communiquer entre eux par une liaison de données. De manière préférentielle, le module de contrôle maître est apte à : - détecter une défaillance de l'un des premier et deuxième interrupteurs électroniques au moyen du module de mesure de courant et à détecter une défaillance du module de contrôle esclave au moyen de la liaison de données, - commander l'ouverture du premier interrupteur électronique lorsque l'une de ces défaillances est détectée. De manière préférentielle, le module de contrôle esclave est apte à détecter une défaillance du module de contrôle maître au moyen de la liaison de données et à commander l'ouverture du deuxième interrupteur électronique lorsqu'une défaillance est détectée. Avantageusement, le dispositif selon un mode de réalisation comprend 10 en outre : - un module de communication LIN apte à être connecté au réseau électrique basse tension; et - un coupleur non galvanique; dans lequel le module de communication LIN est apte à transmettre des 15 commandes de pilotage du module réchauffeur au module de contrôle maître au moyen du coupleur non galvanique. Préférentiellement, chacun des premier et deuxième interrupteurs électroniques comprend un transistor comprenant une grille connectée à une sortie du module de contrôle associé. Selon des variantes, le transistor est un 20 IGBT ou un MOSFET. Chacun desdits premier et deuxième modules de contrôle comprend un microcontrôleur et un dispositif de commande de grille. De manière avantageuse, le premier et le deuxième interrupteurs électroniques sont aptes à être connectés du même côté de ladite au moins une résistance chauffante. 25 Alternativement et de manière avantageuse, le premier et le deuxième interrupteurs électroniques sont aptes à être connectés de part et d'autre de ladite au moins une résistance chauffante. De manière préférentielle, la valeur de tension utile est d'environ 15 V. 30 L'invention et les avantages qu'elle procure seront mieux compris au vu de la description suivante d'un exemple non limitatif de mise en oeuvre de l'invention, faite en référence aux figures annexées, dans lesquelles : - la figure 1 représente un schéma simplifié d'un dispositif de commande sécurisée selon un premier mode de réalisation de l'invention La figure 1 représente un mode de réalisation d'un dispositif de commande sécurisée 1 d'un module réchauffeur 3, le module réchauffeur 3 comportant deux résistances chauffantes 31, 33 apte à être connectées en série entre un conducteur haute tension 5 et un conducteur de masse 7 d'un 10 réseau électrique haute tension. Le dispositif de commande sécurisée 1 comporte : - un premier interrupteur électronique 11 apte à être connecté en série avec les résistances chauffantes 31, 33, - un premier module de contrôle 13 apte à contrôler le premier 15 interrupteur électronique 11, - un deuxième interrupteur électronique 15 apte à être connecté en série avec les résistances chauffantes 31, 33 et le premier interrupteur électronique 11, et - un deuxième module de contrôle 17 apte à contrôler le deuxième 20 interrupteur électronique 15. Le dispositif de commande 1 selon le mode de réalisation représenté comprend en outre des moyens de conversion à découpage 19 connectés à un réseau électrique basse tension. Le réseau électrique basse tension fournit, par exemple, une tension d'environ 12 V, pouvant varier approximativement 25 entre 9 V et 16 V. Le réseau basse tension peut être constitué, par exemple, par la batterie de basse tension du véhicule. Le réseau haute tension est, par exemple, constitué par la batterie de traction du véhicule. Il fournit une tension d'environ 350 V, pouvant varier entre 250 V et 450 V environ. Les moyens de conversion 19 servent à alimenter le premier module 30 de contrôle 13 et le deuxième module de contrôle 17 en une valeur utile de basse tension. Typiquement, cette valeur de tension de sortie est de l'ordre de 15 V, et elle est essentiellement la même pour les deux alimentations de module de contrôle. Les moyens de conversion 19 comprennent une isolation galvanique entre le réseau électrique basse tension et le réseau électrique haute tension, afin de garantir l'isolation sécuritaire entre ces deux réseaux. Cette isolation sécuritaire est exigée par les constructeurs d'automobiles électriques et hybrides. L'alimentation du deuxième module de contrôle 17 est flottante par rapport à l'alimentation du premier module de contrôle 13. Ceci signifie qu'il n'existe pas de relation fixe entre le potentiel de masse du premier interrupteur 11 et du premier module de contrôle 13 et le potentiel de masse du deuxième interrupteur 15 et du deuxième module de contrôle 17. Par exemple, les potentiels de masse peuvent être de la même valeur dans le cas où le deuxième interrupteur 15 est fermé, et ils peuvent être différents l'un de l'autre dans d'autres cas. De manière préférentielle, et comme représenté sur la figure 1, les moyens de conversion 19 comprennent un unique convertisseur à découpage, apte à alimenter indépendamment le premier module de contrôle 13 et le deuxième module de contrôle 17. Le convertisseur est, par exemple, un convertisseur du type flyback ayant des inductances (enroulements) couplées sur un même noyau magnétique. Le réseau basse tension fournit au primaire du convertisseur 19 de l'énergie électrique qui est stockée en tant qu'énergie magnétique. L'énergie magnétique est restituée par les secondaires en énergie électrique. Dans le mode de réalisation représenté, le convertisseur à découpage comprend un enroulement primaire 119 connecté au réseau électrique basse tension et deux enroulements secondaires 219, 319 galvaniquement isolés de l'enroulement primaire 119. Le convertisseur à découpage comprend également un enroulement de régulation 419, sous forme d'un troisième enroulement secondaire, permettant de réguler le convertisseur 19 afin que les premier et deuxième enroulements secondaires 219, 319 fournissent une tension de sortie d'une valeur prédéterminée, par exemple, environ 15 V. Pour cela, le convertisseur 19 comprend également un module de régulation 420 relié à l'enroulement de régulation 419 et qui régule le rapport cyclique du convertisseur 19 en fonction de la valeur de tension de sortie des trois enroulements secondaires 219, 319, 419, afin d'obtenir une valeur de tension utile prédéterminée pour l'alimentation respective des deux modules de contrôle 13, 17. Par exemple, si la tension de sortie est trop élevée, le rapport cyclique est diminué afin d'obtenir la tension de sortie prédéterminée. Ceci est possible si l'on considère que les trois secondaires sont similaires. Ainsi, la bonne régulation d'un enroulement secondaire entraine automatiquement la bonne régulation des deux autres enroulements secondaires. Un unique convertisseur à découpage du type flyback comme moyen de conversion 19 est ainsi parfaitement adaptée pour l'alimentation des deux modules de contrôle 13, 17. L'unique convertisseur constitue en effet une alimentation économique, simple et astucieuse des deux modules de contrôle redondants. Selon une variante non représentée du dispositif de commande sécurisée 1, les moyens de conversion 19 comprennent deux convertisseurs à découpage. Dans cette variante, chacun des deux convertisseurs comprend un enroulement primaire connecté au réseau électrique basse tension et un enroulement secondaire galvaniquement isolé de l'enroulement primaire. Chaque enroulement secondaire restitue de l'énergie électrique pour alimenter son module de contrôle associé. Chacun des premier et deuxième interrupteurs électroniques 11, 15 comprend un transistor. La grille G du transistor est connectée à une sortie de son module de contrôle associé. Le transistor peut être, par exemple, un IGBT (transistor bipolaire à grille isolée, initiales anglo-saxonnes mises pour Insulated Gate Bipolar Transistor) ou un MOSFET (transistor à effet de champ à structure métal-oxyde-semiconducteur, initiales anglo-saxonnes mises pour Meta/ Oxide Semiconductor Field Effect Transistor). Selon le mode de réalisation représenté, le premier module de contrôle 13 comprend un premier microcontrôleur 113 et un premier dispositif de commande de grille 213, et le deuxième module de contrôle 17 comprend un deuxième microcontrôleur 117 et un deuxième dispositif de commande de grille 217. Les deux alimentations fournies par les secondaires du convertisseur 19 sont respectivement destinées à alimenter un ensemble microcontrôleur/dispositif de commande de grille. Les premier et deuxième dispositifs de commande de grille 213, 217 commandent leur transistor 5 associé afin de le commuter entre l'état bloqué (position ouverte) et l'état passant (position fermée). Par exemple, les dispositifs de commande de grille 213, 217 appliquent à la grille du transistor 0 V pour ouvrir le transistor et 12V (dans le cas de MOSFET) ou 15 V (dans le cas de IGBT) pour le fermer. Chaque microcontrôleur 113, 117 contrôle que son transistor associé est piloté 10 à une valeur d'environ 12 V ou 15 V, ne varient pas plus d'environ 2 V pour protéger le transistor. Selon une variante, le dispositif 1 comprend en outre des régulateurs (non représentés) pour chaque microcontrôleur 113, 117 afin de réguler la tension de l'alimentation de ces derniers. Par exemple, la tension de 15 V 15 fournie par les secondaires du convertisseur peut être abaissée à 5 V par les régulateurs. Avantageusement, le dispositif 1 comprend un premier et un deuxième détecteurs de température 35, 37 situés chacun à proximité de l'une des deux résistances chauffantes 31, 33 du module réchauffeur 3 afin de mesurer la 20 température de l'eau chauffée du circuit de refroidissement. Le premier détecteur de température 35 fournit sa valeur de température détectée au premier module de contrôle 13, et le deuxième détecteur de température 37 fournit sa valeur de température détectée au deuxième module de contrôle 17. Si la température de l'eau est proche de son point d'ébullition, par 25 exemple, environ 90°C, l'interrupteur électronique 11, 15 associé au module de contrôle 13, 17 ayant reçu la valeur mesurée est mis en position ouverte par le module de contrôle 13, 17 afin d'arrêter le passage du courant dans le module réchauffeur 3. Comme la valeur de température de l'eau est approximativement la même pour les deux détecteurs, les deux interrupteurs 30 sont mis en position ouverte. La détection de la température fait ainsi partie du diagnostic du bon fonctionnement du dispositif de commande 1. Selon une variante, le module réchauffeur 3 comporte une seule résistance chauffante, et les deux détecteurs de température 35, 37 peuvent se trouver à proximité de l'une unique résistance chauffante. Le premier module de contrôle 13 reçoit les deux valeurs de température mesurées soit à proximité de deux résistances chauffantes, respectivement, soit à proximité d'une seule résistance chauffante. La duplication de certains composants du dispositif de commande (modules de contrôle, interrupteurs électroniques, détecteurs de température) permet ici d'avoir une redondance dans la fonction de ces composants ce qui permet de pallier une quelconque éventuelle défaillance d'un de ces composants. Par exemple, les défaillances d'un module de contrôle peuvent inclure un blocage dû à un verrouillage (terme anglo-saxon catch-up) du circuit et un dysfonctionnement de l'électronique du module de contrôle. Aussi, dans la plupart des cas, la défaillance d'un transistor produit un court-circuit. Dans l'illustration du mode de réalisation, de manière exemplaire, le premier interrupteur électronique 11 et le deuxième interrupteur électronique 15 sont connectés en série entre eux et en série avec les deux résistances chauffantes 31, 33 qui sont arrangées parallèlement dans le module réchauffeur 3. Les deux interrupteurs 11, 15 sont connectés en série du côté du potentiel de masse des résistances chauffantes 31, 33. Selon d'autres variantes, les interrupteurs peuvent également être connectés en série du côté du potentiel de haute tension des résistances chauffantes, ou en série de part et d'autre des résistances chauffantes. De manière avantageuse, le premier module de contrôle 13 est un module de contrôle maître comprenant un microcontrôleur principal 113 et un dispositif de commande de grille principal 213, et le deuxième module de contrôle 17 est un module de contrôle esclave comprenant un microcontrôleur auxiliaire 117 et un dispositif de commande de grille auxiliaire 217. Les microcontrôleurs principal et auxiliaire 13, 17 communiquent entre eux par une liaison de données 23. Par exemple, cette liaison 23 peut être une liaison SPI (initiales anglo-saxonnes mises pour Serial Peripheral Interface), dans laquelle le module esclave répond aux requêtes du module maître de communiquer selon une horloge générée par le module maître. Par exemple, le module maître 13 peut demander au module esclave 17 de lui communiquer la température mesurée par le deuxième détecteur de température 37. Cette liaison de données 23 est réalisée de manière non galvanique afin de permettre aux deux modules de contrôle 13, 17 de rester flottant l'un par 5 rapport à l'autre. Pour cela, le dispositif 1 selon le deuxième mode de réalisation comprend un module de liaison 27. Le module de liaison 27 comprend, par exemple, un photocoupleur ou un coupleur capacitif (coupleur digital). La communication SPI est bidirectionnelle. La communication permet aux modules de contrôle 13, 17 d'effectuer des séquences de diagnostic qui 10 seront vues plus en détails par la suite. Le module de contrôle maître 13 comprend un module de mesure de courant 313 permettant d'effectuer des mesures du courant de puissance passant dans le premier transistor 11 (transistor principal) et le deuxième transistor 15 (transistor auxiliaire). Lorsque les deux transistors 11, 15 sont 15 fermés, un courant de puissance doit être détecté. Dans tous les autres cas, aucun courant ne doit être mesuré. Ceci permet au module maître 13 de vérifier le bon fonctionnement des deux transistors 11, 15. Cette vérification peut également être effectuée par la mesure de la haute tension à la sortie des éléments chauffants 31, 33. 20 Selon le mode de réalisation de la figure 1, le dispositif de commande sécurisée 1 comprend en outre un module de communication LIN (initiales anglo-saxonnes mises pour Local Interconnect Network) 25 connecté au réseau électrique basse tension, et un moyen de couplage 250 non galvanique entre le module de communication LIN 25 et le microcontrôleur principal 113. 25 La communication LIN est bidirectionnelle. La communication LIN permet de communiquer avec le système de pilotage (microcontrôleur, dispositif de commande, interrupteur) du réchauffeur 3 même si l'alimentation de haute tension dysfonctionne. Ceci permet au module de communication LIN 25 de transmettre des commandes de pilotage du module réchauffeur 3 au 30 microcontrôleur principal 113 afin que le dispositif de commande de grille 213 puisse piloter son transistor 11 en conséquence. Dans le mode réalisation représenté, le microcontrôleur auxiliaire 117 ne dispose pas de moyens de communication avec le réseau basse tension, la communication étant assurée par le microcontrôleur principal 113 via les liaisons LIN et SPI. Les moyens de couplage 250 comprennent, par exemple, un photocoupleur ou un coupleur capacitif (coupleur digital). De manière avantageuse, le module de contrôle maître 13 remplit un 5 certain nombre de fonctions, dont les principales sont : - le diagnostic du bon fonctionnement des premier et deuxième interrupteurs 11, 15, en vérifiant, par exemple, qu'aucun des deux n'est en court-circuit. Ce diagnostic peut être réalisé selon le schéma suivant : 10 o premier interrupteur ouvert et deuxième interrupteur fermé, et o deuxième interrupteur ouvert et premier interrupteur fermé. Dans les deux cas, aucun courant ne doit être détecté. - la vérification du bon fonctionnement du module de contrôle esclave 15 17 au moyen de la liaison de données 23, - le commandement de l'ouverture du premier interrupteur 11 lorsque l'une de ces défaillances est détectée. Les fonctions principales du module de contrôle esclave 17 sont : - la détection d'une défaillance du module de contrôle maître 13 au 20 moyen de la liaison de données 23, - le commandement de l'ouverture du deuxième interrupteur 15 lorsqu'une défaillance est détectée. De manière avantageuse, le module de contrôle maître 13 comprend en outre un module de mesure de haute tension 29 pour mesurer la tension 25 entre le conducteur haute tension 5 et le conducteur de masse 7 du réseau électrique haute tension. En fonction de la valeur de haute tension mesurée, le rapport cyclique de l'interrupteur principal 11 peut être adapté afin d'obtenir la puissance requise des résistances chauffantes 31, 33 du module réchauffeur 3. Ainsi, le mode de réalisation offre, en plus de la redondance précitée 30 dans la fonction des composants du dispositif, une sécurité accrue contre le fonctionnement non voulu des résistances chauffantes grâce à la communication entre les modules de contrôle et les diagnostics qui sont ainsi rendus possibles. De manière préférentielle, le dispositif 1 comporte un module 41 de filtrage EMC (initiales anglo-saxonnes mises pour Electro Magnetic Compatibility) entre le potentiel de basse tension du circuit basse tension et le primaire 119 du convertisseur 19 (montré sur la figure 2). Le module de filtrage EMC est adapté pour supprimer de possibles variations de tensions, par exemple dues à la pollution électromagnétique provenant du fonctionnement du convertisseur 19. Avantageusement, le dispositif 1 de commande sécurisée comporte également des détecteurs de température 38, 39 à proximité des transistors afin de mesurer la température de ces derniers. La température des transistors peut varier en fonction de l'environnement, p.ex. dû au chauffage par le moteur. Quand la température dépasse une certaine valeur, par exemple, environ 120°C, le transistor concerné est ouvert afin de le protéger. REVENDICATIONS1. Dispositif de commande sécurisée (1) d'un module réchauffeur (3) comportant au moins une résistance chauffante (31, 33) apte à être connectée en série entre un conducteur haute tension (5) et un conducteur de masse (7) d'un réseau électrique haute tension (9), le dispositif (1) comprenant : - un premier interrupteur électronique (11) apte à être connecté en série avec ladite au moins une résistance chauffante (31, 33) ; - un premier module de contrôle (13) apte à contrôler le premier interrupteur électronique (11) ; - un deuxième interrupteur électronique (15) apte à être connecté en série avec ladite au moins une résistance chauffante (31, 33) et le premier interrupteur électronique (11) ; - un deuxième module de contrôle (17) apte à contrôler le deuxième interrupteur électronique (15), le deuxième module de contrôle (17) étant flottant par rapport au premier module de contrôle (13) ; et - des moyens de conversion à découpage (19) aptes à être connectés à un réseau électrique basse tension (21) et aptes à alimenter indépendamment le premier module de contrôle (13) et le deuxième module de contrôle (17), les moyens de conversion (19) comprenant une isolation galvanique entre le réseau électrique basse tension (21) et le réseau électrique haute tension (9). 2. Dispositif (1) selon la revendication 1, dans lequel les moyens de conversion (19) comprennent deux convertisseurs à découpage comprenant chacun : - un enroulement primaire apte à être connecté au réseau électrique basse tension (21) pour fournir de l'énergie électrique ; - un enroulement secondaire galvaniquement isolé de l'enroulement primaire ;dans lequel l'enroulement secondaire est apte à fournir une valeur de tension utile en restituant l'énergie électrique fournie. 3. Dispositif (1) selon la revendication 1, dans lequel les moyens de conversion (19) comprennent un unique convertisseur à découpage apte à alimenter le premier et le deuxième modules de contrôle (13, 17). 4. Dispositif (1) selon la revendication 3, dans lequel l'unique convertisseur à découpage (19) est un convertisseur de type flyback, comprenant : - un enroulement primaire (119) apte à être connecté au réseau électrique basse tension (21) pour fournir de l'énergie électrique ; - deux enroulements secondaires (219, 319) galvaniquement isolés de l'enroulement primaire (119) ; dans lequel les enroulements secondaires sont adaptés à fournir une même valeur de tension utile en restituant l'énergie électrique fournie. 5. Dispositif (1) selon la revendication 4, dans lequel l'unique convertisseur à découpage (19) comprend en outre : - un enroulement de régulation (419) apte à fournir une valeur de tension utile en restituant l'énergie électrique fournie ; et - un module de régulation (420) ; dans lequel le module de régulation est apte à mesurer la valeur de tension utile fournie par l'enroulement de régulation et à réguler le rapport cyclique du convertisseur pour obtenir une valeur de tension utile prédéterminée. 6. Dispositif (1) selon l'une des revendications précédentes, comprenant en outre un premier détecteur de température (35) et un deuxième détecteur de température (37), les détecteurs étant aptes à détecter une valeur de température d'eau à proximité de ladite au moins une première résistance chauffante (31, 33) du module réchauffeur (3) et à fournir la valeur détectée à l'un des modules de contrôle (13, 17). 7. Dispositif (1) selon l'une des revendications précédentes, dans lequel le premier module de contrôle (13) est un module de contrôle maître, et le deuxième module de contrôle (17) est un module de contrôle esclave. 8. Dispositif (1) selon la revendication 7, dans lequel le module de contrôle maître (13) comprend un module de mesure de courant (313) apte à mesurer un courant de puissance passant dans le premier interrupteur électronique (11) et le deuxième interrupteur électronique (15). 9. Dispositif (1) selon l'une des revendications 7 et 8, dans lequel le premier et le deuxième modules de contrôle (13, 17) sont aptes à communiquer entre eux par une liaison de données (23). 10. Dispositif (1) selon l'une des revendications 7 à 9, dans lequel le module de contrôle maître (13) est apte à : - détecter une défaillance de l'un des premier et deuxième interrupteurs électroniques (11, 15) au moyen du module de mesure de courant (313) et à détecter une défaillance du module de contrôle esclave (17) au moyen de la liaison de données (23), - commander l'ouverture du premier interrupteur électronique (11) lorsque l'une de ces défaillances est détectée. 11. Dispositif (1) selon l'une des revendications 7 à 10, dans lequel le module de contrôle esclave (17) est apte à détecter une défaillance du module de contrôle maître (13) au moyen de la liaison de données (23) et à commander l'ouverture du deuxième interrupteur électronique (15) lorsqu'une défaillance est détectée. 12. Dispositif (1) selon l'une des revendications 7 à 11, comprenant en outre : - un module de communication LIN (25) apte à être connecté au réseau électrique basse tension (21) ; et - un coupleur non galvanique (250) ; dans lequel le module de communication LIN (25) est apte à transmettre des commandes de pilotage du module réchauffeur (3) aumodule de contrôle maître (13) au moyen du coupleur non galvanique (250). 13. Dispositif (1) selon l'une des revendications précédentes, dans lequel chacun des premier et deuxième interrupteurs électroniques (11, 15) comprend un transistor comprenant une grille (G) connectée à une sortie du module de contrôle (13, 17) associé. 14. Dispositif (1) selon la revendication 13, dans lequel le transistor est un IGBT ou un MOSFET. 15. Dispositif (1) selon l'une des revendications 13 et 14, dans lequel chacun desdits premier et deuxième modules de contrôle (13, 17) comprend un microcontrôleur (113, 117) et un dispositif de commande de grille (213, 217). 16. Dispositif (1) selon l'une des revendications précédentes, dans lequel le premier et le deuxième interrupteurs électroniques (11, 15) sont aptes à être connectés du même côté de ladite au moins une résistance chauffante (31, 33). 17. Dispositif selon l'une des revendications 1 à 14, dans lequel le premier et le deuxième interrupteurs électroniques (11, 15) sont aptes à être connectés de part et d'autre de ladite au moins une résistance chauffante (31, 33).