FR 3040571 A1 20170303 FR 1558098 A 20150901 1 TITRE DISPOSITIF ET PROCEDE DE COMMANDE D'UN ONDULEUR, SYSTEME ELECTRIQUE COMPORTANT UN TEL DISPOSITIF DE COMMANDE DOMAINE TECHNIQUE La présente invention concerne le domaine des onduleurs et notamment des onduleurs de puissance utilisés dans les véhicules automobiles. Dans la description et les revendications qui vont suivre, le terme de « connexion » (au singulier) est utilisé pour décrire une ou plusieurs connexions physiques, par exemple au sens d'un ou plusieurs conducteurs. ARRIÈRE-PLAN TECHNOLOGIQUE La demande publiée sous le numéro WO 2014 128401 A2 décrit un dispositif de commande d'un onduleur utilisé dans un véhicule automobile pour convertir le courant continu fourni par une batterie en courant alternatif permettant d'alimenter une machine synchrone à aimants permanents. Le dispositif de commande comporte plusieurs circuits intégrés numériques. Comme cela est connu en soi, un circuit intégré numérique est un regroupement de composants électroniques intégrés et encapsulés dans un boîtier. Pour des raisons de sécurité, certains circuits intégrés numériques du dispositif de commande sont doublés. En outre, les circuits intégrés numériques se surveillent les uns les autres. En cas de détection d'une défaillance d'un circuit intégré numérique, il est prévu de placer en court-circuit les trois phases de la machine électrique, de sorte que cette dernière produise un couple nul. L'invention a pour but de proposer un dispositif de commande simplifié. RÉSUMÉ DE L'INVENTION 3040571 2 À cet effet, il est proposé un dispositif de commande d'un onduleur à au moins trois bras respectivement associés à au moins trois extrémités de bobines d'une machine électrique synchrone à aimants permanents, chaque bras présentant : un interrupteur de côté haut destiné à être sélectivement fermé pour connecter l'extrémité à une borne de 5 côté haut destinée à être connectée à une borne positive d'une batterie et ouvert pour déconnecter l'extrémité de la borne de côté haut, et un interrupteur de côté bas destiné à être sélectivement fermé pour connecter l'extrémité à une borne de côté bas destinée à être connectée à une borne négative de la batterie et ouvert pour déconnecter l'extrémité de la borne de côté bas, le dispositif de commande comportant : 10 un pilote de côté haut destiné à piloter les interrupteurs de côté haut, un pilote de côté bas destiné à piloter les interrupteurs de côté bas, un circuit intégré numérique principal, un circuit intégré numérique auxiliaire, dans lequel, pour faire fonctionner la machine électrique, le circuit intégré numérique 15 principal est destiné à envoyer, d'une part, des commandes directement à un premier des pilotes, et, d'autre part, des commandes au circuit intégré numérique auxiliaire, ce dernier étant destiné à relayer les commandes à un deuxième des pilotes, dans lequel le circuit intégré numérique auxiliaire est en outre destiné à détecter une défaillance du circuit intégré numérique principal, et, en cas de détection d'une telle 20 défaillance, à envoyer une commande de court-circuit au deuxième des pilotes pour que ce dernier ferme les interrupteurs qu'il pilote. Grâce à l'invention, le circuit intégré numérique principal commande directement un des pilotes. Il n'y a donc pas de redondance pour ce pilote, ce qui permet de réduire le nombre de circuits intégrés numériques du dispositif de 25 commande. De façon optionnelle, le premier des pilotes est le pilote de côté haut et le deuxième des pilotes est le pilote de côté bas. De façon optionnelle également, le circuit intégré numérique principal est un microcontrôleur. 30 De façon optionnelle également, le circuit intégré numérique auxiliaire est un circuit logique programmable complexe. 3040571 3 De façon optionnelle également, le dispositif de commande comporte en outre un premier circuit intégré numérique de surveillance du circuit intégré numérique principal, destiné à détecter une défaillance du circuit intégré numérique principal, et, en cas de détection d'une telle défaillance, à envoyer une commande de désactivation au 5 premier des pilotes pour que ce dernier ouvre les interrupteurs qu'il pilote. De façon optionnelle également, le circuit intégré numérique auxiliaire est destiné à envoyer la commande de court-circuit un temps prédéterminé après la détection de la défaillance. De façon optionnelle également, le circuit intégré numérique principal est en 10 outre destiné à détecter une défaillance du circuit intégré numérique auxiliaire, et, en cas de détection d'une telle défaillance, à envoyer une commande de court-circuit au premier des pilotes pour que ce dernier ferme les interrupteurs qu'il pilote. De façon optionnelle également, le dispositif de commande comporte en outre un deuxième circuit intégré numérique de surveillance du circuit intégré numérique 15 auxiliaire, le deuxième circuit intégré numérique de surveillance étant destiné à détecter une défaillance du circuit intégré numérique auxiliaire, et, en cas de détection d'une telle défaillance, à envoyer une commande de désactivation au deuxième des pilotes pour que ce dernier ouvre les interrupteurs qu'il pilote. De façon optionnelle également, le circuit intégré numérique principal est 20 destiné à envoyer la commande de court-circuit un temps prédéterminé après la détection de la défaillance. De façon optionnelle également, le dispositif de commande comporte en outre : une première alimentation électrique destinée à alimenter électriquement le circuit intégré numérique principal et le pilote de côté haut, et une deuxième alimentation électrique destinée à alimenter électriquement le circuit intégré numérique auxiliaire et le pilote de côté bas, la deuxième alimentation électrique étant indépendante de la première alimentation électrique. Il est également proposé un système électrique comportant : une machine électrique synchrone à aimants permanents, 3040571 4 un onduleur comportant une borne de côté haut destinée à être connectée à une borne positive d'une batterie, et une borne de côté bas destinée à être connectée à une borne négative de la batterie, un dispositif de commande de l'onduleur selon l'invention. 5 Il est également proposé un procédé de commande d'un onduleur à au moins trois bras respectivement associés à au moins six extrémités de bobines d'une machine électrique synchrone à aimants permanents, chaque bras présentant : un interrupteur de côté haut destiné à être sélectivement fermé pour connecter l'extrémité à une borne de côté haut destinée à être connectée à une borne positive d'une batterie et ouvert pour 10 déconnecter l'extrémité de la borne de côté haut, et un interrupteur de côté bas destiné à être sélectivement fermé pour connecter l'extrémité à une borne de côté bas destinée à être connectée à une borne négative de la batterie et ouvert pour déconnecter l'extrémité de la borne de côté bas, le procédé comportant : pour faire fonctionner la machine électrique : 15 un circuit intégré numérique principal envoie, d'une part, des commandes directement à un premier de deux pilotes destinés à piloter respectivement les interrupteurs de côté haut et les interrupteurs de côté bas, et, d'autre part, des commandes à un circuit intégré numérique auxiliaire, le circuit intégré numérique auxiliaire relaie les commandes reçues du 20 circuit intégré numérique principal à un deuxième des pilotes, lors d'une défaillance du circuit intégré numérique principal : le circuit intégré numérique auxiliaire détecte une défaillance du circuit intégré numérique principal, et, en cas de détection d'une telle défaillance, envoie une commande de court-circuit à un deuxième des deux pilotes 25 pour que ce dernier ferme les interrupteurs qu'il pilote. DESCRIPTION DE LA FIGURE UNIQUE La figure unique est un schéma électrique d'un système électrique mettant en oeuvre l'invention. DESCRIPTION DÉTAILLÉE 3040571 5 En référence à la figure unique, un système électrique 100 mettant en oeuvre l'invention va à présent être décrit. Le système électrique 100 comporte tout d'abord une machine électrique synchrone à aimants permanents comportant six bobines 102, 103, 104, 105, 106, 107 5 (également appelées « phases »). Les trois premières bobines 102, 103, 104 sont connectées entre elles par une première extrémité (notée « a» sur la figure), de même que les trois autres bobines 105, 106, 107 (l'extrémité est notée « b » sur la figure). Les bobines 102, 103, 104, 105, 106, 107 présentent chacune une autre extrémité U, V, W, X, Y, Z. Dans l'exemple décrit, la machine électrique est intégrée dans une boîte de 10 vitesses. La boîte de vitesses est par exemple à double embrayage et présente deux arbres primaires, un pour les rapports pairs et un autre pour les rapports impairs. Dans ce cas, la machine électrique entraîne par exemple un des deux arbres primaires, par exemple l'arbre des rapports pairs. Le système électrique 100 comporte en outre une batterie 108 présentant une 15 borne positive (+) et une borne négative (-). La batterie 108 est par exemple une batterie au lithium. Le système électrique 100 comporte en outre un onduleur 110 connectant la batterie 108 aux bobines 102, 103, 104, 105, 106, 107 de la machine électrique. L'onduleur 110 comporte une borne de côté haut 112 et une borne de côté bas 20 114 respectivement connectées à la borne positive (+) et à la borne négative (-) de la batterie 108. L'onduleur 110 comporte en outre six bras de commutation 116, 118, 120, 122, 124, 126 associés respectivement aux six extrémités U, V, W, X, Y, Z des bobines 102, 104, 106. Chaque bras de commutation 116, 118, 120, 122, 124, 126 présente un 25 interrupteur de côté haut 116h, 118h, 120h, 122h, 124h, 126h et un interrupteur de côté bas 116b, 118b, 120b, 122b, 124b, 126b. Les interrupteurs sont par exemple des transistors à effet de champ à grille isolée (de l'anglais « Metal Oxide Semiconductor Field Effect Transistor », ou MOSFET). Comme cela est connu en soit, des diodes de roue libre (non représentées) sont de préférence montées en paralèle des interrupteurs. 30 Chaque interrupteur de côté haut 116h, 118h, 120h, 122h, 124h, 126h est destiné à être sélectivement fermé et ouvert pour respectivement connecter et déconnecter l'extrémité U, V, W, X, Y, Z respective de la borne de côté haut 112. De manière similaire, chaque 3040571 6 interrupteur de côté bas 116b, 118b, 120b, 122b, 124b, 126b est destiné à être sélectivement fermé et ouvert pour respectivement connecter et déconnecter l'extrémité U, V, W, X, Y, Z respective de la borne de côté bas 114. Le système électrique 100 comporte en outre un dispositif de commande 128 5 des interrupteurs. Le dispositif de commande 128 comporte une carte électronique 130 recevant les circuits intégrés numériques 132, 134, 136, 142, 147, 150, 160, 165 qui seront décrits par la suite. Le dispositif de commande 128 comporte en outre un pilote de côté haut 132 10 destiné à piloter les interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h. Le dispositif de commande 128 comporte en outre un pilote de côté bas 134 destiné à piloter les interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b. Microcontrôleur 136 15 Le dispositif de commande 128 comporte en outre un microcontrôleur 136 destiné en particulier à commander les pilotes 132, 134 comme cela sera expliqué par la suite, en fonction d'instructions I reçues d'éléments du véhicule automobile, par exemple via un bus de communication série (aussi appelé « controller area network 20 (CAN) » en anglais). Le microcontrôleur 136 est destiné à envoyer au pilote de côté haut 132, par une connexion 138, des commandes d'ouverture et de fermeture des interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h. La connexion 138 comporte au moins une piste s'étendant sur la carte électronique 130, par exemple six pistes respectivement 25 dédiées à la commande des six interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h. Le microcontrôleur 136 est en outre destiné à envoyer une commande de désactivation au pilote de côté haut 132 par une connexion 139. Suite à la réception de la commande de désactivation, le pilote de côté haut 132 est destiné à se désactiver, 30 provoquant l'ouverture de tous les interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h. 3040571 7 Circuit de surveillance 142 du microcontroleur 136 Le dispositif de commande 128 comporte en outre un circuit 142 de surveillance du microcontrôleur 136. Le circuit de surveillance 142 est ainsi destiné à jouer le rôle 5 d'un « chien de garde » (de l'anglais « watchdog ») du microcontrôleur 136. À cette fin, le circuit de surveillance 142 est par exemple destiné à envoyer un signal de surveillance au microcontrôleur 136 par une connexion 144. Le microcontrôleur 136 est alors destiné à répondre à ce signal de surveillance par un signal prédéterminé, appelé signal d'activité normale, par la connexion 144. Le circuit de 10 surveillance 142 est alors destiné à comparer le signal d'activité normale reçu avec un signal attendu. En cas d'absence du signal d'activité normale ou bien si le signal d'activité normale est différent du signal attendu, le circuit de surveillance 142 est destiné à détecter une défaillance du microcontrôleur 136. Par exemple, le signal de surveillance est un signal à modulation de largeur d'impulsion de rapport cyclique 15 prédéterminé. Alternativement, le circuit de surveillance 142 pourrait ne pas envoyer de signal de surveillance. Dans ce cas, le microcontrôleur 136 pourrait être destiné à envoyer un signal d'activité normale à des instants prédéterminés, connus du circuit de surveillance 142. En cas de détection d'une défaillance du microcontrôleur 136, le circuit de 20 surveillance 142 est destiné, d'une part, à envoyer une commande de réinitialisation au microcontrôleur 136 par la connexion 144 et, d'autre part, une commande de désactivation au pilote de côté haut 132, par une connexion 146. Dans l'exemple décrit, les connexions 139 et 146 se rejoignent du côté du pilote de côté haut 132 au moyen d'une porte logique OU 147. 25 CPLD 150 Le dispositif de commande 128 comporte en outre un circuit logique programmable complexe 150 (de l'anglais « Complex Programmable Logic Device »). Il 30 sera désigné par la suite par l'acronyme anglais CPLD. Le CPLD 150 est destiné à relayer au pilote de côté bas 134 des commandes reçues du microcontrôleur 136, à 3040571 8 surveiller le microcontrôleur 136 et à surveiller les pilotes 132, 134 et les interrupteurs, comme cela sera expliqué plus en détail par la suite. Le CPLD 150 est connecté au microcontrôleur 136 par une connexion 152, par laquelle le microcontrôleur 136 est destiné à envoyer au CPLD 150 des commandes 5 d'ouverture et de fermeture des interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b. La connexion 152 comporte au moins une piste s'étendant sur la carte électronique 130, par exemple six pistes respectivement dédiées à la commande des six interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b. Le microcontrôleur 136 est en outre destiné à surveiller le CPLD 150 au travers 10 de la connexion 152, par exemple de la manière décrite plus haut pour la surveillance du microcontrôleur 136 par le circuit de surveillance 142. Ainsi, le microcontrôleur 136 joue le rôle d'un « chien de garde » (de l'anglais «watchdog ») du CPLD 150. Le CPLD 150 est par ailleurs connecté au pilote de côté bas 156 par une connexion 156 par laquelle le CPLD est destiné à relayer les commandes reçues du 15 microcontrôleur 136 jusqu'au pilote de côté bas 134. La connexion 156 comporte au moins une piste s'étendant sur la carte électronique 130, par exemple six pistes respectivement dédiées à la commande des six interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b. Par ailleurs, le CPLD 150 est destiné à surveiller le microcontrôleur 136 au 20 travers de la connexion 152, par exemple de la manière décrite plus haut pour la surveillance du microcontrôleur 136 par le circuit de surveillance 142. Le CPLD 150 est ainsi destiné à jouer le rôle d'un « chien de garde » (de l'anglais «watchdog ») du microcontrôleur 136. En cas de détection d'une défaillance du microcontrôleur 136, le CPLD 150 est destiné à envoyer une commande de désactivation au pilote de côté bas 25 134, par une connexion 159. Suite à la réception de la commande de désactivation, le pilote de côté bas 134 est destiné à se désactiver, provoquant l'ouverture de tous les interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b. Par ailleurs, le CPLD 150 est destiné à détecter une défaillance des pilotes 132, 134 ou des interrupteurs. À cette fin, la connexion 138 bifurque jusqu'au CPLD 150 30 pour que ce dernier reçoive les commandes envoyées par le microcontrôleur 136. Le CPLD 150 est en outre destiné à recevoir (éventuellement après une mise en forme) des mesures M des tensions aux extrémités U, V, W, X, Y, Z et à vérifier que ces mesures 3040571 9 correspondent bien aux commandes de côté haut (reçues du microcontrôleur 136 par la bifurcation de la connexion 138) et aux commandes de côté bas (reçues du microcontrôleur 136 par la connexion 152). Le CPLD 150 est destiné à détecter une défaillance soit du côté haut, soit du côté bas - selon la discordance. Dans ce cas, le 5 CPLD 150 est destiné à envoyer au microcontrôleur 136, par la connexion 152, une commande soit d'ouverture soit de fermeture - selon la défaillance détectée, de tous les interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h. Le CPLD 150 est en outre destiné à envoyer soit des commandes d'ouverture des interrupteurs de côté bas par la connexion 156, soit une commande de désactivation au pilote de côté bas 134 par 10 la connexion 159. Circuit de surveillance 160 du CPLD 150 Le dispositif de commande 128 comporte en outre un circuit 160 de surveillance 15 du CPLD 150, connecté à ce dernier par une connexion 162, par laquelle le circuit de surveillance 160 est destiné à surveiller le CPLD 150, par exemple de la manière décrite plus haut pour la surveillance du microcontrôleur 136 par le circuit de surveillance 142. Le circuit de surveillance 160 est ainsi destiné à jouer le rôle d'un « chien de garde » (de l'anglais « watchdog ») du CPLD 150. 20 Le circuit de surveillance 160 est en outre connecté au pilote de côté bas 134 par une connexion 164, par laquelle le circuit de surveillance 160 est destiné à envoyer, en cas de détection d'une défaillance du CPLD 150, une commande de désactivation au pilote de côté bas 134. Dans l'exemple décrit, les connexions 159 et 164 se rejoignent du côté du pilote de côté bas 134 au moyen d'une porte logique OU 165. 25 Alimentations électriques Le système électrique 100 comporte en outre une première alimentation électrique 170 alimentant électriquement le microcontrôleur 136, le pilote de côté haut 30 132 et le circuit de surveillance 142. La première alimentation 170 tire l'énergie électrique d'une source d'énergie, différente de la batterie 108 dans l'exemple décrit. 3040571 10 Le système électrique 100 comporte en outre une deuxième alimentation électrique 172, indépendante de l'alimentation électrique 170 et alimentant électriquement le CPLD 150, le pilote de côté bas 134 et le circuit de surveillance 160. Dans l'exemple décrit, la deuxième alimentation électrique 172 tire l'énergie électrique 5 d'une source d'énergie différente de celle de la première alimentation 170, de la batterie 108 dans l'exemple décrit. Dans d'autres modes de réalisation, les rôles des deux alimentations électriques 170, 172 pourraient être inversés. 10 Dans le système électrique 100, la connexion 138 relie directement le microcontrôleur 136 au pilote de côté haut 132, c'est-à-dire sans passer par un seul autre circuit intégré numérique. Chacune des autres connexions 139, 144, 146, 152, 154, 156, 159, 162, 164 peut également être directe. 15 Fonctionnement Le fonctionnement du système électrique 100 va à présent être décrit. En fonctionnement normal, le microcontrôleur 136 reçoit des instructions I. En fonction de ces instructions I, le microcontrôleur 136 envoie directement, 20 c'est-à-dire sans passer par un circuit intégré numérique, au pilote de côté haut 132 des commandes pour les interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h et au CPLD 150 des commandes pour les interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b. Le CPLD 150 relaie au pilote de côté bas 134 les commandes reçues du 25 microcontrôleur 136. Par ailleurs, le circuit de surveillance 142 et CPLD 150 surveillent chacun le microcontrôleur 136. Le circuit de surveillance 160 et le microcontrôleur 136 surveillent chacun le CPLD 150. En outre, le CPLD 150 surveille les pilotes 132, 134 et les interrupteurs. 30 Plusieurs cas de défaillance vont à présent être décrits. Dans un premier cas, le CPLD 150 subit une défaillance. 3040571 11 Le circuit de surveillance 160 détecte la défaillance du CPLD 150. En conséquence, le circuit de surveillance 160 envoie une commande de désactivation au pilote de côté bas 134 par la connexion 164. Le pilote de côté bas 134 reçoit la commande de désactivation et, en 5 conséquence, ouvre tous les interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b. Par ailleurs, le microcontrôleur 136 détecte lui aussi la défaillance du CPLD 150. En conséquence, le microcontrôleur 136 envoie des commandes de court-circuit des interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h au pilote de côté haut 10 132, par la connexion 138. Les commandes de court-circuit sont de préférence envoyées après un temps-mort compris entre 1 et 5 ps. Le temps-mort permet de s'assurer que les interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h sont fermés après que les interrupteurs de côté bas 116b, 118b, 120b, 122b, 124b, 126b ont été ouverts. Cela permet d'éviter qu'un interrupteur de côté haut 116h, 118h, 120h, 122h, 124h, 126h ne 15 soit fermé alors que l'interrupteur de côté bas 116b, 118b, 120b, 122b, 124b, 126b du même bras 116, 118, 120, 122, 124, 126 est lui aussi fermé. En effet, dans ce dernier cas, la batterie 108 serait mise en court-circuit, ce qu'il est important d'éviter. Le pilote de côté haut 132 reçoit les commandes de court-circuit et, en conséquence, ferme les interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h. 20 Ainsi, les bobines 102, 104, 106 sont toutes en court-circuit. Dans un deuxième cas, le microcontrôleur 136 subit une défaillance. Le circuit de surveillance 142 détecte la défaillance du microcontrôleur 136. En conséquence, le circuit de surveillance 142 envoie une commande de désactivation au pilote de côté haut 132, par la connexion 146. 25 Le pilote de côté haut 132 reçoit la commande de désactivation et, en conséquence, ouvre tous les interrupteurs de côté haut 116h, 118h, 120h, 122h, 124h, 126h. Par ailleurs, le CPLD 150 détecte lui aussi la défaillance du microcontrôleur 136. En conséquence, le CPLD 150 envoie des commandes de court-circuit des interrupteurs 30 de côté bas au pilote de côté bas 134, par la connexion 156. Comme dans le premier cas de défaillance, les commandes de court-circuit sont de préférence envoyées après un 3040571 12 temps-mort durant par exemple entre 1 et 5 its , pour éviter une mise en court-circuit de la batterie 108. Le pilote de côté bas 132 reçoit les commandes de court-circuit et, en conséquence, ferme les interrupteurs de côté bas. Ainsi, les bobines 102, 104, 106 sont 5 toutes en court-circuit. Dans un troisième cas, un pilote 132, 134 ou un interrupteur subit une défaillance. Le CPLD 150 détecte cette défaillance en comparant les mesures de tension des extrémités U, V, W, X, Y, Z aux commandes reçues du microcontrôleur 136 par les 10 connexions 138 et 152. En conséquence, le CPLD 150 place les interrupteurs de côté bas en court-circuit et les interrupteurs de côté haut en position ouverte (solution 1), ou bien l'inverse (solution 2). La solution 1 est par exemple choisie par le CPLD 150 lorsque la défaillance détectée est qu'un interrupteur de côté bas est bloqué en position fermé ou bien qu'un interrupteur de côté haut est bloqué en position ouverte. La 15 solution 2 est par exemple choisie par le CPLD 150 lorsque la défaillance détectée est qu'un interrupteur de côté haut est bloqué en position fermé ou bien qu'un interrupteur de côté bas est bloqué en position ouverte. En conséquence, le CPLD 150 envoie une commande soit d'ouverture (solution 1) soit de fermeture (solution 2) des interrupteurs de côté haut au microcontrôleur 136. 20 Dans le premier cas, le microcontrôleur 136 envoie une commande de désactivation au pilote de côté haut par la connexion 139. Dans le deuxième cas, le microcontrôleur 136 envoie alors des commandes de fermeture des interrupteurs de côté haut au pilote de côté haut 132 par la connexion 138. Le CPLD 150 envoie en outre soit (solution 2) une commande de désactivation 25 au pilote de côté bas 134, par la connexion 159, soit (solution 1) des commandes de fermeture des interrupteurs de côté bas au pilote de côté bas 134 par la connexion 156. La présente invention n'est pas limitée au mode de réalisation décrit précédemment, mais est au contraire définie par les revendications qui suivent. Il sera en 30 effet apparent à l'homme du métier que des modifications peuvent y être apportées. Par ailleurs, les termes utilisés dans les revendications ne doivent pas être compris comme limités aux éléments du mode de réalisation décrit précédemment, mais 3040571 13 doivent au contraire être compris comme couvrant tous les éléments équivalents que l'homme du métier peut déduire à partir de ses connaissances générales. REVENDICATIONS1. Dispositif (128) de commande d'un onduleur (110) à au moins trois bras (116, 118, 120, 122, 124, 126) respectivement associés à au moins trois extrémités (U, V, W, X, Y, Z) de bobines (102, 103, 104, 105, 106) d'une machine électrique synchrone à aimants permanents, chaque bras présentant (116, 118, 120, 122, 124, 126) : un interrupteur de côté haut (116h, 118h, 120h, 122h, 124h, 126h) destiné à être sélectivement fermé pour connecter l'extrémité (U, V, W, X, Y, Z) à une borne de côté haut (112) destinée à être connectée à une borne positive (+) d'une batterie (108) et ouvert pour déconnecter l'extrémité (U, V, W, X, Y, Z) de la borne de côté haut (112), et un interrupteur de côté bas (116b, 118b, 120b, 122b, 124b, 126b) destiné à être sélectivement fermé pour connecter l'extrémité (U, V, W, X, Y, Z) à une borne de côté bas (114) destinée à être connectée à une borne négative (-) de la batterie (108) et ouvert pour déconnecter l'extrémité (U, V, W, X, Y, Z) de la borne de côté bas (114), le dispositif de commande (128) comportant : un pilote de côté haut (132) destiné à piloter les interrupteurs de côté haut (116h, 118h, 120h, 122h, 124h, 126h), un pilote de côté bas (134) destiné à piloter les interrupteurs de côté bas (116b, 118b, 120b, 122b, 124b, 126b), un circuit intégré numérique principal (136), un circuit intégré numérique auxiliaire (150), dans lequel, pour faire fonctionner la machine électrique, le circuit intégré numérique principal (136) est destiné à envoyer, d'une part, des commandes directement à un premier (132) des pilotes (132, 134) et, d'autre part, des commandes au circuit intégré numérique auxiliaire (150), ce dernier étant destiné à relayer les commandes à un deuxième (134) des pilotes (132, 134), dans lequel le circuit intégré numérique auxiliaire (150) est en outre destiné à détecter une défaillance du circuit intégré numérique principal (136), et, en cas de détection d'une telle défaillance, à envoyer une commande de court-circuit au deuxième (134) des pilotes (132, 134) pour que ce dernier ferme les interrupteurs (116b, 118b, 120b, 122b, 124b, 126b) qu'il pilote. 3040571 15 2. Dispositif de commande (128) selon la revendication 1, dans lequel le premier des pilotes (132, 134) est le pilote de côté haut (132) et le deuxième des pilotes (132, 134) est le pilote de côté bas (134). 3. Dispositif de commande (128) selon la revendication 1 ou 2, dans lequel le 5 circuit intégré numérique principal (136) est un microcontrôleur. 4. Dispositif de commande (128) selon l'une quelconque des revendications 1 à 3, dans lequel le circuit intégré numérique auxiliaire (150) est un circuit logique programmable complexe. 5. Dispositif de commande (128) selon l'une quelconque des revendications 1 à 4, 10 comportant en outre un premier circuit intégré numérique (142) de surveillance du circuit intégré numérique principal (136), destiné à détecter une défaillance du circuit intégré numérique principal (136), et, en cas de détection d'une telle défaillance, à envoyer une commande de désactivation au premier (132) des pilotes (132, 134) pour que ce dernier ouvre les interrupteurs qu'il pilote. 15 6. Dispositif de commande (128) selon la revendication 5, dans lequel le circuit intégré numérique auxiliaire (150) est destiné à envoyer la commande de court-circuit un temps prédéterminé après la détection de la défaillance. 7. Dispositif de commande (128) selon l'une quelconque des revendications 1 à 6, dans lequel le circuit intégré numérique principal (136) est en outre destiné à détecter 20 une défaillance du circuit intégré numérique auxiliaire (150), et, en cas de détection d'une telle défaillance, à envoyer une commande de court-circuit au premier (132) des pilotes (132, 134) pour que ce dernier ferme les interrupteurs qu'il pilote. 8. Dispositif de commande (128) selon la revendication 7, comportant en outre un deuxième circuit intégré numérique (160) de surveillance du circuit intégré numérique 25 auxiliaire (150), le deuxième circuit intégré numérique de surveillance (160) étant destiné à détecter une défaillance du circuit intégré numérique auxiliaire (150), et, en cas de 3040571 16 détection d'une telle défaillance, à envoyer une commande de désactivation au deuxième (134) des pilotes (132, 134) pour que ce dernier ouvre les interrupteurs qu'il pilote. 9. Dispositif de commande (128) selon la revendication 8, dans lequel le circuit intégré numérique principal (136) est destiné à envoyer la commande de court-circuit un 5 temps prédéterminé après la détection de la défaillance. 10. Dispositif de commande (128) selon l'une quelconque des revendications 1 à 9, comportant en outre : une première alimentation électrique (170) destinée à alimenter électriquement le circuit intégré numérique principal (136) et le pilote de côté 10 haut (132), et - une deuxième alimentation électrique (172) destinée à alimenter électriquement le circuit intégré numérique auxiliaire (134) et le pilote de côté bas (134), la deuxième alimentation électrique (172) étant indépendante de la première alimentation électrique (170). 15 11. Système électrique (100) comportant : une machine électrique synchrone à aimants permanents, un onduleur (110) comportant une borne de côté haut (112) destinée à être connectée à une borne positive (+) d'une batterie (108), et une borne de côté bas (114) destinée à être connectée à une borne négative (-) de la batterie 20 (108), un dispositif (128) de commande de l'onduleur (110) selon l'une quelconque des revendications 1 à 10. 12. Procédé de commande d'un onduleur (110) à au moins trois bras (116, 118, 120, 122, 124, 126) respectivement associés à au moins trois extrémités (U, V, W, X, Y, Z) de 25 bobines (102, 103, 104, 105, 106) d'une machine électrique synchrone à aimants permanents, chaque bras présentant (116, 118, 120, 122, 124, 126) : un interrupteur de côté haut (116h, 118h, 120h, 122h, 124h, 126h) destiné à être sélectivement fermé pour connecter l'extrémité (U, V, W, X, Y, Z) à une borne de côté haut (112) destinée à être connectée à une borne positive (+) d'une batterie (108) et ouvert pour déconnecter 3040571 17 l'extrémité (U, V, W, X, Y, Z) de la borne de côté haut (112), et un interrupteur de côté bas (116b, 118b, 120b, 122b, 124b, 126b) destiné à être sélectivement fermé pour connecter l'extrémité (U, V, W, X, Y, Z) à une borne de côté bas (114) destinée à être connectée à une borne négative (-) de la batterie (108) et ouvert pour déconnecter 5 l'extrémité (U, V, W, X, Y, Z) de la borne de côté bas (114), le procédé comportant : - pour faire fonctionner la machine électrique : - un circuit intégré numérique principal (136) envoie, d'une part, des commandes directement à un premier (132) de deux pilotes (132, 134) destinés à piloter respectivement les interrupteurs de côté haut et les 10 interrupteurs de côté bas, et, d'autre part, des commandes à un circuit intégré numérique auxiliaire (150), le circuit intégré numérique auxiliaire (150) relaie les commandes reçues du circuit intégré numérique principal (136) à un deuxième (134) des pilotes (132, 134), 15 - lors d'une défaillance du circuit intégré numérique principal (136) : le circuit intégré numérique auxiliaire (150) détecte une défaillance du circuit intégré numérique principal (136), et, en cas de détection d'une telle défaillance, envoie une commande de court-circuit à un deuxième (134) des deux pilotes (132, 134) pour que ce dernier ferme les interrupteurs 20 qu'il pilote.