FR 3040557 A1 20170303 FR 1558010 A 20150828 1 Système de conversion d'énergie électrique destiné à être connecté à une charge et comprenant un convertisseur d'énergie et un organe d'isolement commandés par circuit à logique programmable sans logiciel embarqué et procédé de pilotage d'un tel système La présente invention concerne un système de conversion d'énergie électrique, destiné à être connecté à une charge électrique. Le système comprend un convertisseur d'énergie électrique, le convertisseur comportant des interrupteurs ; un organe d'isolement électrique, configuré pour isoler électriquement le convertisseur de la charge, en étant connecté en sortie du convertisseur et destiné à être connecté en entrée de la charge, l'organe d'isolement électrique étant commandable entre une position ouverte d'isolement du convertisseur vis-à-vis de la charge et une position fermée de connexion du convertisseur à la charge ; et un dispositif électronique de pilotage comportant notamment un module électronique de commande du convertisseur, ainsi qu'éventuellement un module de surveillance du système. La présente invention concerne également un procédé de pilotage d'un tel système de conversion. On connaît du document EP 2 154 778 Al un système de conversion d'énergie électrique du type précité. Ce document décrit un appareil de commande de moteurs, avec un onduleur pour chaque moteur, un contacteur connecté entre chaque onduleur et moteur respectifs, et une unité commune de commande, apte à commander notamment les onduleurs et les contacteurs. L'unité de commande comprend une première unité commune de calcul, une seconde unité commune de calcul, des unités individuelles de calcul, un contrôleur du convertisseur et une unité commune logique de calcul. La première unité commune de calcul comporte un processeur de séquence, un détecteur de protection et un processeur de communication. La seconde unité commune de calcul comporte un générateur de commande d'un couple et un calculateur. Les unités individuelles de calcul comportent un processeur de commande de couple et deux contrôleurs. L'unité commune logique de calcul comporte des portes logiques, un calculateur de vitesse, un contacteur logique, un détecteur de protection à haute vitesse et un circuit OU. L'unité de commande est globalement mise en oeuvre via l'exécution d'un logiciel, mis à part pour le détecteur de protection qui, pour des raisons de rapidité d'exécution de l'opération de protection, est réalisé sous forme d'une structure électronique, telle qu'un réseau de portes programmables ou FPGA (de l'anglais Field-Programmable Gate Array). 3040557 2 Toutefois, le fonctionnement d'un tel système de conversion d'énergie électrique n'est pas optimal, notamment pour les applications nécessitant une très faible probabilité de défaillance au démarrage d'une charge électrique, en particulier d'une charge ne devant pas être alimentée à l'exception de demandes de secours ultime ou de tests 5 périodiques de bon fonctionnement. Le but de l'invention est donc de proposer un système de conversion d'énergie électrique ayant une plus faible probabilité de défaillance lors de l'alimentation de la charge électrique qui est destinée à être connectée au système. 10 À cet effet, l'invention a pour objet un système de conversion d'énergie électrique du type précité, dans lequel le dispositif de pilotage comprend un circuit logique programmable et le circuit logique programmable comporte le module de commande, le module de commande étant configuré pour être entièrement mis en oeuvre via le circuit logique programmable. 15 Le système de conversion d'énergie électrique selon l'invention permet alors, via le circuit logique programmable qui est inclus dans le dispositif de pilotage, qui comporte le module de commande et qui met entièrement en oeuvre ledit module de commande, de réduire significativement la probabilité de défaillance au démarrage de la charge, la probabilité de défaillance obtenue étant par exemple inférieure à 10-3 par an. Une telle 20 défaillance est d'ailleurs particulièrement difficile à obtenir pour une charge, telle qu'un équipement de secours, ne devant pas être alimentée la plupart du temps, à l'exception de demandes de secours ultime ou de tests périodiques de bon fonctionnement. En outre, le système de conversion selon l'invention permet également d'obtenir une faible probabilité de démarrage, ou d'alimentation, intempestif de la charge, telle 25 qu'une probabilité inférieure à 10-3 par an. Suivant d'autres aspects avantageux de l'invention, le système de conversion d'énergie électrique comprend une ou plusieurs des caractéristiques suivantes, prises isolément ou suivant toutes les combinaisons techniquement possibles : - le dispositif de pilotage comporte en outre un module électronique de 30 surveillance configuré pour surveiller une ou plusieurs tensions en sortie du convertisseur, destinées à être délivrées à la charge, et pour commander l'organe d'isolement ; - le circuit logique programmable comporte le module de surveillance, le module de surveillance étant configuré pour être entièrement mis en oeuvre via le circuit logique programmable ; 3040557 3 - le circuit logique programmable comporte un premier oscillateur de synchronisation du module de commande et un deuxième oscillateur de synchronisation du module de surveillance, le deuxième oscillateur étant distinct du premier oscillateur ; - le module de surveillance est en outre configuré pour surveiller au moins une 5 continuité de ligne électrique entre le convertisseur et la charge ; - le dispositif de pilotage comporte en outre un organe électronique de vérification de l'état d'au moins un signal de sortie du circuit logique programmable, l'organe de vérification étant distinct du circuit logique programmable ; - l'organe de vérification est en outre configuré pour, lorsque le ou les signaux de 10 sortie du circuit logique programmable sont inactifs pendant une durée supérieure à un seuil prédéfini, commander l'ouverture de l'organe d'isolement et/ou le blocage d'interrupteurs du convertisseur ; - ledit organe d'isolement est commandé à la fermeture à partir d'un signal, d'amplitude et de période prédéfinies, issu du circuit logique programmable, et commandé 15 à l'ouverture lorsque ledit signal est inactif pendant une durée supérieure au seuil prédéfini ou de fréquence anormale ; - le dispositif de pilotage comporte en outre une première table de paramètres, apte à être utilisée par le module de commande pour modifier, par ajustement en boucle ouverte, un signal, modulé en largeur d'impulsion, de commande d'interrupteurs du 20 convertisseur ; - le dispositif de pilotage comporte en outre une deuxième table de paramètres, apte à être utilisée par le module de surveillance et/ou le module de commande pour surveiller et/ou piloter la ou les tensions en sortie du convertisseur ; - le dispositif de pilotage comporte une mémoire externe au circuit logique 25 programmable, chaque table de paramètres étant stockée dans ladite mémoire, et le circuit logique programmable est configuré pour vérifier régulièrement chaque table de paramètres par calcul d'une somme de contrôle ; - le circuit logique programmable est de type FPGA. L'invention a également pour objet un procédé de pilotage d'un système de 30 conversion tel que défini ci-dessus, dans lequel le procédé comprend les étapes suivantes : - une étape de fonctionnement à vide du convertisseur, l'organe d'isolement étant en position ouverte ; - une étape de test de l'organe d'isolement pendant laquelle les interrupteurs du 35 convertisseur sont bloqués afin que le convertisseur ne délivre pas d'énergie électrique à la charge en sortie. 3040557 4 Suivant un autre aspect avantageux de l'invention, le procédé de pilotage comprend la caractéristique suivante : - l'étape de fonctionnement à vide représente au moins 90 % du temps de fonctionnement du système de conversion, de préférence au moins 95 % dudit temps de 5 fonctionnement. Ces caractéristiques et avantages de l'invention apparaitront à la lecture de la description qui va suivre, donnée uniquement à titre d'exemple non limitatif, et faite en référence aux dessins annexés, sur lesquels : 10 - la figure 1 est une représentation schématique d'un système de conversion d'énergie électrique selon l'invention, connecté entre une source d'alimentation électrique et une charge électrique ; - la figure 2 est une représentation illustrant la surveillance d'une continuité de ligne électrique à travers le système de conversion de la figure 1, jusqu'à la charge ; et 15 - la figure 3 est un organigramme d'un procédé, selon l'invention, de pilotage du système de conversion de la figure 1. Sur la figure 1, un système de conversion d'énergie électrique 10 est connecté entre une source d'alimentation électrique 12 et une charge électrique 14. 20 Le système de conversion d'énergie électrique 10 est configuré pour convertir l'énergie électrique reçue de la source d'alimentation 12, l'énergie reçue étant continue ou bien alternative, en une autre énergie électrique délivrée à la charge 14, l'énergie délivrée étant continue ou bien alternative. Autrement dit, le système de conversion d'énergie électrique 10 est un système de 25 conversion continu-continu, également noté DC-DC (DC de l'anglais Direct Current), ou un système de conversion continu-alternatif, également noté DC-AC (AC de l'anglais Alternative Current), ou un système de conversion alternatif-continu, également noté ACDC, ou encore un système de conversion alternatif- alternatif, également noté AC-AC. Le système de conversion d'énergie électrique 10 comprend un convertisseur 30 d'énergie électrique 16, le convertisseur 16 comportant des interrupteurs 18, un organe d'isolement électrique 20 configuré pour isoler électriquement le convertisseur 16 de la charge 14, et un dispositif électronique de pilotage 22. En complément facultatif, le système de conversion 10 comporte une première impédance Z1 connectée en parallèle du convertisseur d'énergie électrique 16 et une 35 deuxième impédance Z2 connectée en parallèle de l'organe d'isolement électrique 20, 3040557 5 comme représenté sur la figure 2. La deuxième impédance Z2 permet de tester la continuité de ligne du convertisseur 16 jusqu'à la charge 14. La source d'alimentation électrique 12 est une source d'alimentation continue ou bien alternative. La source d'alimentation électrique 12 est, par exemple, un réseau 5 électrique ou encore un dispositif de stockage d'énergie électrique, tel qu'une batterie. La charge électrique 14 est une charge fonctionnant avec une énergie électrique continue ou bien alternative. La charge 14 est, par exemple, un moteur électrique, tel qu'un moteur continu ou un moteur alternatif. En variante, la charge 14 est une baie électronique. En variante encore, la charge 14 est une charge passive. 10 Le convertisseur d'énergie électrique 16 est connu en soi. Le convertisseur d'énergie électrique 16 est, par exemple, un convertisseur statique Le convertisseur d'énergie électrique 16 est un convertisseur DC-DC, ou un convertisseur DC-AC, ou un convertisseur AC-DC ou encore un convertisseur AC-AC. Le convertisseur d'énergie électrique 16 comporte alors un redresseur et/ou un 15 onduleur, non représentés, selon la conversion d'énergie effectuée. Lorsque le convertisseur 16 est un convertisseur DC-DC, il comprend par exemple l'onduleur et le redresseur connectés en série, le redresseur étant connecté en sortie de l'onduleur, pour obtenir par exemple un variateur de tension ou courant selon l'architecture de pilotage adoptée. Lorsque le convertisseur 16 est un convertisseur DC-AC, il comprend par 20 exemple seulement l'onduleur. Lorsque le convertisseur 16 est un convertisseur AC-DC, il comprend par exemple seulement le un redresseur de préférence commandé pour obtenir par exemple un variateur de tension. Enfin, lorsque le convertisseur 16 est un convertisseur AC-AC, il comprend par exemple le redresseur et l'onduleur connectés en série, l'onduleur étant connecté en sortie du redresseur. 25 Comme connu en soi, l'onduleur et le redresseur comportent par exemple, chacun des bras de commutation, chaque bras de commutation comportant au moins un interrupteur 18. Chaque interrupteur 18 comporte par exemple un transistor 24 et une diode 26 connectée en antiparallèle du transistor 24, la diode 26 formant une diode de roue libre, 30 comme représenté sur la figure 1. De manière générale, le transistor 24 forme un interrupteur électronique unidirectionnel commandable à l'ouverture et à la fermeture. Le transistor 24 est par exemple un transistor à effet de champ ou FET (de l'anglais FieldEffect Transistor), tel qu'un MOSFET (de l'anglais Metal-Oxide-Semiconductor FieldEffect Transistor), un JFET (de l'anglais Junction gate Field-Effect Transistor). En 35 variante, le transistor 24 est un transistor IGBT (de l'anglais Insulated Gate Bipolar 3040557 6 Transistor). Bien entendu, encore d'autres types de technologies d'interrupteur électronique unidirectionnel (GTO, SICMOS, GAN,....) sont utilisables. L'organe d'isolement électrique 20 est connecté en sortie du convertisseur 16 et est destiné à être connecté en entrée de la charge 14. L'organe d'isolement électrique 20 5 est commandable entre une position ouverte pour l'isolement du convertisseur 16 vis-à- vis de la charge 14 et une position fermée pour la connexion électrique du convertisseur 16 à la charge 14. Autrement dit, l'organe d'isolement électrique 20 est un organe permettant, en position ouverte, d'ouvrir la ligne électrique entre le convertisseur 16 et la charge 14, et en 10 position fermée, de laisser le courant électrique circuler à travers ladite ligne entre le convertisseur 16 et la charge 14. L'organe d'isolement 20 est par exemple un contacteur ou un interrupteur, commandable aussi bien à l'ouverture qu'à la fermeture. Le dispositif de pilotage 22 comporte un module électronique 28 de commande du 15 convertisseur 16. En complément facultatif, le dispositif de pilotage 22 comporte en outre un module électronique 30 de surveillance, configuré pour surveiller le ou les tensions en sortie du convertisseur 16 afin de contrôler leurs cohérences lors des autotests et de signaler à distance toute anomalie constatée le cas échéant ; ladite ou lesdites tensions étant 20 destinée à être délivrées à la charge 14, et pour commander le cas échéant l'organe d'isolement 20 en position ouverte ou fermée. Le dispositif de pilotage 22 comprend un circuit logique programmable 32, tel qu'un FPGA (de l'anglais Field Programmable Gate Array), le circuit logique programmable 32 comportant le module de commande 28, et le module de commande 28 25 étant configuré pour être entièrement mis en oeuvre via le circuit logique programmable 32. Le dispositif de pilotage 22 comporte, en complément facultatif, un premier organe électronique 34 de vérification de l'état d'un premier signal de sortie du circuit logique programmable 32, le premier signal de sortie étant par exemple un signal de commande 30 des interrupteurs 18 issu du module de commande 28, le premier organe de vérification 34 étant distinct du circuit logique programmable 32. Le dispositif de pilotage 22 comporte, en complément facultatif, un deuxième organe électronique 36 de vérification de l'état d'un deuxième signal de sortie du circuit logique programmable 32, le deuxième signal de sortie étant par exemple, un signal de 35 commande de l'organe d'isolement électrique 20 issu du module de surveillance 30, le deuxième organe de vérification 36 étant distinct du circuit logique programmable 32. 3040557 7 Le dispositif de pilotage 22 comporte, par exemple également, un organe électronique 38 de génération d'un signal de retour à destination d'un équipement électronique de commande distant 40, le signal de retour étant à titre d'exemple un signal d'état de bon fonctionnement du module de surveillance 30. 5 Le dispositif de pilotage 22 comporte en outre une première table de paramètres 42, apte à être utilisée par le module de commande 28 pour modifier, par ajustement en boucle ouverte, un signal modulé en largeur d'impulsion pour la commande des interrupteurs 18 du convertisseur 16. Le dispositif de pilotage 22 comporte en outre une deuxième table de paramètres 44, apte 10 à être utilisée par le module de surveillance 30 et/ou le module de commande 28, pour surveiller et/ou piloter la tension en sortie du convertisseur 16. Le dispositif de pilotage 22 comporte une mémoire 46 de stockage de données, la mémoire 46 étant externe au circuit logique programmable 32, chaque table de paramètres 42, 44 étant stockée dans ladite mémoire 46. Le circuit logique programmable 15 32 est configuré pour vérifier régulièrement chaque table de paramètres 42, 44 par calcul du somme de contrôle (de l'anglais checksum). Le module de commande 28 est configuré pour commander le convertisseur 16, c'est-à-dire pour générer des signaux de commande des interrupteurs 18 dudit convertisseur et pour les transmettre au convertisseur, en particulier à des électrodes de 20 commande desdits interrupteurs 18. Les signaux de commande générés par le module de commande 28 sont, par exemple, des signaux modulés en largeur d'impulsion, également appelés signaux MLI. Le module de commande 28 est entièrement mis en oeuvre par le circuit logique 25 programmable 32, et ne comporte pas de logiciel exécutable apte à être exécuté par un processeur. Le module de surveillance 30 est configuré pour surveiller la ou les tensions de sortie du convertisseur 16 par l'intermédiaire de capteurs de tension 48, ou en variante par l'intermédiaire de capteurs de courant, disposés entre le convertisseur 16 et l'organe 30 d'isolement électrique 20. Le module de surveillance 30 est configuré en outre pour commander l'organe d'isolement électrique 20 soit vers sa position ouverte d'isolement, soit vers sa position fermée de connexion, par exemple en fonction d'ordres automatiques d'autotest effectués périodiquement par ledit module de surveillance 30 et des tensions mesurées en sortie du 35 convertisseur 16. 3040557 8 En complément facultatif, le module de surveillance 30 est en outre configuré pour surveiller au moins une continuité de ligne électrique entre le convertisseur 16 et la charge 14, à l'aide de l'impédance Z2. Les impédances Z1 et Z2 permettent par exemple, via un contrôleur permanant d'isolement (CPI) externe raccordé sur la source 5 d'alimentation 12, de surveiller l'isolement de la charge 14 par rapport à la masse électrique lorsque le convertisseur 16 est en fonctionnement ou non, et lorsque l'organe d'isolement électrique 20 est en position ouverte ou non, autrement dit lorsque le système 10 est aussi bien à l'arrêt qu'en fonctionnement. En complément facultatif, le module de surveillance 30 comporte un voteur 50 apte 10 à mettre en oeuvre une fonction de vote sur des ordres reçus de la part de l'équipement de commande distant 40. La fonction de vote est par exemple une fonction de vote 2/3 apte à confirmer l'exactitude des ordres reçus, à partir du moment où au moins deux signaux d'ordre sur trois sont identiques, les ordres reçus de la part de l'équipement de commande distant 40 étant par exemple des ordres, ou commandes, triplex. 15 Le module de surveillance 30 est de préférence configuré pour être entièrement mis en oeuvre via le circuit logique programmable 32, et ne comporte alors pas de logiciel exécutable apte à être exécuté par un processeur. Le circuit logique programmable 32 comporte le module de commande 28, comme décrit précédemment. 20 Le circuit logique programmable 32 comporte également de préférence le module électronique de surveillance 30, lorsque le module de surveillance 30 est configuré pour être entièrement mis en oeuvre via le circuit logique programmable 32. Le circuit logique programmable 32 comporte un premier oscillateur 52 de synchronisation du module de commande 28. 25 Lorsque le circuit logique programmable 32 comporte également le module de surveillance 30, le circuit logique programmable 32 comporte en outre de préférence un deuxième oscillateur 54 de synchronisation du module de surveillance 30, le deuxième oscillateur 54 étant alors distinct du premier oscillateur 52. Le premier organe de vérification 34 est configuré pour, lorsque le ou les signaux 30 de sortie du circuit logique programmable 32 issu(s) du module de commande 28 sont inactifs pendant une durée supérieure à un seuil prédéfini, commander le blocage des interrupteurs 18 du convertisseur 16, afin de mettre en sécurité le système de conversion 10. L'ordre de grandeur du seuil prédéfini est par exemple le dixième de seconde. Le temps de réaction de la chaine complète de commande est alors inférieur à environ 0,1 s. 35 En variante ou en complément, le premier organe de vérification 34 est configuré pour, lorsque le ou les signaux de sortie du circuit logique programmable 32 issu(s) du 3040557 9 module de commande 28 sont dans une plage prédéfinie de fréquences incorrectes, commander le blocage des interrupteurs 18 du convertisseur 16, afin de mettre en sécurité le système de conversion 10. Le premier organe de vérification 34 comprend par exemple un filtre passe bande analogique discret pilotant un interrupteur, tel qu'un 5 interrupteur statique ou un transistor commandable à l'ouverture et à la fermeture. En complément facultatif, le premier organe de vérification 34 est configuré en outre pour générer, en cas de durée d'inactivité supérieure au seuil prédéfini et/ou de fréquence incorrecte, un signal d'anomalie de fonctionnement du système 10. Le signal d'anomalie est, par exemple, un message de données envoyé à un équipement externe, 10 ou encore un signal sonore ou lumineux. Le deuxième organe de vérification 36 est configuré pour, lorsque le ou les signaux de sortie du circuit logique programmable 32 issu(s) du module de surveillance 30 sont inactifs pendant une durée supérieure à un seuil prédéfini, commander l'ouverture de l'organe d'isolement 20, afin également de mettre en sécurité le système de 15 conversion 10. L'ordre de grandeur du seuil prédéfini est par exemple le dixième de seconde. En variante ou en complément, le deuxième organe de vérification 36 est configuré pour, lorsque le ou les signaux de sortie du circuit logique programmable 32 issu(s) du module de surveillance 30 sont dans une plage prédéfinie de fréquences 20 incorrectes, commander l'ouverture de l'organe d'isolement 20, pour la mise en sécurité du système de conversion 10. Le deuxième organe de vérification 36 comprend par exemple un filtre passe bande analogique discret pilotant un interrupteur, tel qu'un interrupteur statique ou un transistor commandable à l'ouverture et à la fermeture. En complément facultatif, le deuxième organe de vérification 36 est configuré en 25 outre pour générer, en cas de durée d'inactivité supérieure au seuil prédéfini et/ou de fréquence incorrecte, un signal d'anomalie de fonctionnement du système 10. Le signal d'anomalie est, par exemple, un message de données envoyé à un équipement externe, ou encore un signal sonore ou lumineux. Chaque organe de vérification 34, 36 est par exemple réalisé sous forme d'une 30 fonction câblée, ayant un taux de défaillance très bas, dont la sortie ne s'active qu'en présence d'un signal d'amplitude et de période prédéfinies sur son entrée, ce qui permet de ne pas activer la fonction de façon intempestive en cas de perte du signal d'entrée (niveau continu, à l'état haut ou état bas), ou en présence de tout autre forme de signal aléatoire (impulsions, échelons, fréquence hors plage). 3040557 10 La première table de paramètres 42 contient par exemple différentes valeurs de signaux MLI en fonction des caractéristiques de la source d'alimentation 12, par exemple en fonction de la tension et/ou de la fréquence de la source d'alimentation 12. La première table de paramètres 42 permet alors de compenser une absence de 5 régulation de la tension de sortie du convertisseur 16 par un ajustement en boucle ouverte du pilotage de la modulation de largeur d'impulsion du convertisseur 16 en fonction de variations de la source d'alimentation 12. La deuxième table de paramètres 44 permet, par exemple, de régler, selon la nature de la charge 14 et de l'application, des caractéristiques de sortie du convertisseur 10 16, telles que l'amplitude de ou des tensions de sortie, la fréquence fondamentale (pour les sorties alternatives), le temps et la forme des rampes de démarrage et d'arrêt. La deuxième table de paramètres 44 permet alors de piloter la tension issue du convertisseur 16. Lorsque l'énergie délivrée à la charge 14 est une énergie alternative, notamment lorsque le convertisseur 16 est un variateur, la deuxième table de paramètres 15 44 permet en outre de piloter une loi représentant le ratio de la tension sur la fréquence de la charge 14, également appelée loi U/F. Les première et deuxième tables de paramètres 42, 44 permettent alors de contrôler en boucle ouverte différents paramètres de sortie du convertisseur 16. 20 Le fonctionnement du système de conversion 10 selon l'invention va désormais être expliqué, notamment à l'aide de la figure 3 représentant un organigramme du procédé, selon l'invention, de pilotage dudit système de conversion. Le procédé de pilotage du système de conversion 10 comprend une étape 100 de fonctionnement à vide du convertisseur 16, l'organe d'isolement 20 étant alors en position 25 ouverte. Cette étape de fonctionnement à vide 100 permet alors de faire fonctionner le convertisseur d'énergie 16, sans risquer un fonctionnement intempestif de la charge 14. Le procédé de pilotage du système de conversion 10 comprend ensuite une étape 110 de test de l'organe d'isolement 20 pendant laquelle les interrupteurs 18 du convertisseur 16 sont bloqués afin que le convertisseur 16 ne délivre pas d'énergie 30 électrique à la charge 14 en sortie. Cette étape 110 permet de tester le bon fonctionnement de l'organe d'isolement électrique 20, sans risquer également un fonctionnement intempestif de la charge 14. A l'issue de l'étape de test 110, l'étape de fonctionnement à vide 100 est à nouveau effectuée, tel qu'illustré par la flèche rebouclant de l'étape 110 vers l'étape 100, 35 tant que le système de conversion 10 selon l'invention est en mode d'autotest, les étapes 100 et 110 correspondant à des autotests périodiques effectués à vide, c'est-à-dire en 3040557 11 n'alimentant pas la charge 14. Les autotests périodiques permettent de limiter le risque de défaillance au démarrage du système de conversion 10 selon l'invention. Les autotests sont réalisés automatiquement dès lors qu'il n'y a pas d'ordre de « marche » demandé, autrement dit d'ordre d'alimentation de la charge 14, reçu de la part de l'équipement de 5 commande distant 40 ou reçu manuellement de la part d'un opérateur en local. L'homme du métier comprendra bien entendu que, lorsque le système de conversion 10 n'est pas en mode d'autotest, il est apte, en mode de fonctionnement normal, non représenté sur la figure 3, à alimenter la charge 14 en énergie électrique, les interrupteurs 18 du convertisseur 16 étant alors commandés afin de convertir l'énergie 10 d'entrée reçue de la source 12 en l'énergie de sortie délivrée à la charge 14, et l'organe d'isolement électrique 20 étant en position fermée de connexion de la sortie du convertisseur 16 à la charge électrique 14. L'étape de fonctionnement à vide 100 du convertisseur 16 représente de préférence au moins 90% du temps de fonctionnement du système de conversion 10 15 selon l'invention, de préférence encore au moins 95 % dudit temps de fonctionnement. Ainsi, le système de conversion 10 selon l'invention comprend le convertisseur d'énergie 16 et l'organe d'isolement électrique 20, ce dernier étant commandable pour permettre d'isoler la sortie du convertisseur 16 de la charge électrique 14 afin de réaliser 20 des autotests périodiques à vide pour vérifier qu'il n'y a pas de panne cachée et/ou afin de réduire le risque de fonctionnement intempestif de la charge 14. Le système de conversion 10 comprend également le dispositif de pilotage 22 permettant de piloter à la fois le convertisseur 16 et l'organe d'isolement 20. De préférence, le dispositif de pilotage 22 ne comporte pas de logiciel exécutable apte à être 25 exécuté par un processeur, le module de commande 28 et le module de surveillance 30 étant alors entièrement mis en oeuvre via le circuit logique programmable 32, tel qu'un FPGA. En outre, le module de commande 28 et le module de surveillance 30 sont de préférence synchronisés indépendamment l'un de l'autre, chacun avec leur propre 30 oscillateur 52, 54, afin d'améliorer encore l'indépendance desdits modules de commande 28 et de surveillance 30, et ainsi la fiabilité du dispositif de pilotage 22, et donc du système de conversion 10. Le système de conversion 10 permet également une surveillance permanente de la continuité de ligne entre le convertisseur 16 et la charge 14 via l'impédance Z2 35 connectée en parallèle de l'organe d'isolement 20. 3040557 12 Le système de conversion 10 permet également qu'un dispositif externe au système de conversion 10 puisse surveiller l'isolement électrique depuis la source d'alimentation 12 jusqu'à la charge 14, même lorsque le convertisseur 16 est à l'arrêt, grâce aux impédances Z1, Z2 connectées respectivement en parallèle du convertisseur 5 16 et de l'organe d'isolement 20. Le système de conversion 10 selon l'invention autorise également une surveillance du bon fonctionnement de son convertisseur 16, par exemple par logique dynamique, à l'aide du ou des organes de vérification 34, 36. Plus précisément, les premier et deuxième organes de vérification 34, 36 permettent une coupure des ordres, ou signaux, de 10 commande du convertisseur 16 et de l'organe d'isolement 20 par perte de deux logiques dynamiques distinctes, ce qui permet encore de diminuer la probabilité d'un démarrage intempestif de la charge 14, en particulier sachant que l'étape de fonctionnement à vide du convertisseur 16 représente de préférence au moins 90% du temps de fonctionnement du système de conversion 10, de préférence encore au moins 95 % dudit temps de 15 fonctionnement. Le système de conversion 10 selon l'invention permet alors de répondre à des exigences de démonstration déterministe de sûreté pour un équipement de sûreté, tel qu'un équipement nucléaire. Le système de conversion 10 selon l'invention permet aussi d'avoir une très faible 20 probabilité de défaillance au démarrage, telle qu'une probabilité inférieure à 10-3 par an, et/ou d'avoir une très faible probabilité de démarrage intempestif de la charge électrique 14, telle qu'une probabilité inférieure à 10-3 par an. REVENDICATIONS1. Système de conversion d'énergie électrique (10), destiné à être connecté à une charge électrique (14), le système (10) comprenant : - un convertisseur d'énergie électrique (16), le convertisseur (16) comportant des interrupteurs (18) ; - un organe d'isolement électrique (20), configuré pour isoler électriquement le convertisseur (16) de la charge (14), en étant connecté en sortie du convertisseur (16) et destiné à être connecté en entrée de la charge (14), l'organe d'isolement électrique (20) étant commandable entre une position ouverte d'isolement du convertisseur (16) vis-à-vis de la charge (14) et une position fermée de connexion du convertisseur (16) à la charge (14) ; et - un dispositif électronique de pilotage (22) comportant un module électronique (28) de commande du convertisseur (16) ; caractérisé en ce que le dispositif de pilotage (22) comprend un circuit logique programmable (32) et le circuit logique programmable (32) comporte le module de commande (28), le module de commande (28) étant configuré pour être entièrement mis en oeuvre via le circuit logique programmable (32). 2. Système (10) selon la revendication 1, dans lequel le dispositif de pilotage (22) comporte en outre un module électronique de surveillance (30) configuré pour surveiller une ou plusieurs tensions en sortie du convertisseur (16), destinées à être délivrées à la charge (14), et pour commander l'organe d'isolement (20). 3. Système (10) selon la revendication 2, dans lequel le circuit logique programmable (32) comporte le module de surveillance (30), le module de surveillance (30) étant configuré pour être entièrement mis en oeuvre via le circuit logique programmable (32). 4. Système (10) selon la revendication 2 ou 3, dans lequel le circuit logique programmable (32) comporte un premier oscillateur (52) de synchronisation du module de commande (28) et un deuxième oscillateur (54) de synchronisation du module de surveillance (30), le deuxième oscillateur (54) étant distinct du premier oscillateur (52). 30 35 3040557 14 5. Système (10) selon l'une quelconque des revendications 2 à 4, dans lequel le module de surveillance (30) est en outre configuré pour surveiller au moins une continuité de ligne électrique entre le convertisseur (16) et la charge (14). 5 6. Système (10) selon l'une quelconque des revendications précédentes, dans lequel le dispositif de pilotage (22) comporte en outre un organe électronique (34, 36) de vérification de l'état d'au moins un signal de sortie du circuit logique programmable (32), l'organe de vérification (34, 36) étant distinct du circuit logique programmable (32). 10 7. Système (10) selon la revendication 6, dans lequel l'organe de vérification (34, 36) est en outre configuré pour, lorsque le ou les signaux de sortie du circuit logique programmable (32) sont inactifs pendant une durée supérieure à un seuil prédéfini, commander l'ouverture de l'organe d'isolement (20) et/ou le blocage d'interrupteurs (18) du convertisseur (16). 15 8 Système (10) selon la revendication 7, dans lequel ledit organe d'isolement (20) est commandé à la fermeture à partir d'un signal, d'amplitude et de période prédéfinies, issu du circuit logique programmable (32), et commandé à l'ouverture lorsque ledit signal est inactif pendant une durée supérieure au seuil prédéfini ou de fréquence anormale. 20 9. Système (10) selon l'une quelconque des revendications précédentes, dans lequel le dispositif de pilotage (22) comporte en outre une première table de paramètres (42), apte à être utilisée par le module de commande (28) pour modifier, par ajustement en boucle ouverte, un signal, modulé en largeur d'impulsion, de commande 25 d'interrupteurs (18) du convertisseur (16). 10. Système (10) selon l'une quelconque des revendications précédentes prise avec la revendication 2, dans lequel le dispositif de pilotage (22) comporte en outre une deuxième table de paramètres (44), apte à être utilisée par le module de surveillance (30) et/ou le module de commande (28) pour surveiller et/ou piloter la ou les tensions en sortie du convertisseur (16). 11. Système (10) selon la revendication 9 ou 10, dans lequel le dispositif de pilotage (22) comporte une mémoire (46) externe au circuit logique programmable (32), chaque table de paramètres (42, 44) étant stockée dans ladite mémoire (46), et le circuit 3040557 15 logique programmable (32) est configuré pour vérifier régulièrement chaque table de paramètres (42, 44) par calcul d'une somme de contrôle. 12. Système (10) selon l'une quelconque des revendications précédentes, dans 5 lequel le circuit logique programmable (32) est de type FPGA. 13. Procédé de pilotage d'un système de conversion (10) selon l'une quelconque des revendications précédentes, le procédé étant caractérisé en ce qu'il comprend les étapes suivantes : 10 - une étape (100) de fonctionnement à vide du convertisseur (16), l'organe d'isolement (20) étant en position ouverte ; - une étape (110) de test de l'organe d'isolement (20) pendant laquelle les interrupteurs (18) du convertisseur (16) sont bloqués afin que le convertisseur ne délivre pas d'énergie électrique à la charge (14) en sortie. 15 14. Procédé selon la revendication 13, dans lequel l'étape de fonctionnement à vide (100) représente au moins 90 % du temps de fonctionnement du système de conversion (10), de préférence au moins 95 % dudit temps de fonctionnement. 20