FR 2908939 A1 20080523 FR 0610059 A 20061117 DISPOSITIF DE COMMANDE POUR ASSURER LA REGULATION EN TENSION D'UN BUS D'ALIMENTATION L'invention porte sur un dispositif de commande pour assurer la régulation en tension d'un bus d'alimentation, ainsi que sur un module de 5 génération d'énergie électrique pour un bus d'alimentation comportant un tel dispositif. Un dispositif et un module selon l'invention sont adaptés, en particulier, pour l'alimentation des satellites en énergie électrique d'origine solaire. 10 Le réseau d'alimentation électrique d'un satellite comporte généralement un bus principal d'alimentation auquel sont reliés un générateur solaire constitué par une pluralité de générateurs élémentaires, un dispositif de stockage d'énergie électrique comportant une ou plusieurs batteries et les équipements devant être alimentés. Le générateur solaire doit à la fois 15 alimenter, de façon régulée en tension, le bus principal et assurer la recharge du dispositif de stockage d'énergie. Ce dernier prend le relais du générateur pendant les périodes d'éclipse et l'aide à gérer les pics de consommation d'énergie par les équipements. Par ailleurs, il est nécessaire de prévoir également un mécanisme de dissipation de l'excédent d'énergie qui peut être 20 produit par le générateur solaire, notamment dans des conditions de fort éclairement et faible consommation de la part des équipements. D'une manière conventionnelle, la régulation de la tension du bus principal est obtenue en reliant sélectivement les générateurs solaires individuels audit bus principal, ou en les court-circuitant sur eux-mêmes. 25 Lorsque le niveau de tension du bus principal tend à augmenter, un des générateurs individuels affectés à son alimentation est court-circuité ; inversement, lorsque le niveau de tension du bus tend à diminuer, un des générateurs court-circuités est relié à ce dernier. Un dispositif dédié contrôle le chargement des batteries par l'intermédiaire du bus principal, ainsi que leur 30 décharge quand l'énergie produite par l'ensemble des générateurs solaires s'avère insuffisante pour assurer le maintien d'un niveau nominal de tension dudit bus principal. Ce principe, connu comme architecture S3R (de l'anglais 2908939 2 Sequential Switching Shunt Regulator , régulateur à commutation de court-circuit séquentielle) est décrit dans le document BE 853124 ainsi que dans l'article de D. O'Sullivan et A. Weinberg The Sequential Switching Shunt Regulator S3R , Proceedings of the Third ESTEC Spacecraft Power Conditioning Seminar, 21-23 septembre 1977 (ESA SP 126, pages 123 - 131). Le document FR 2 785 103 divulgue un perfectionnement important de l'architecture S3R, dans lequel un dispositif de commande à trois états permet de relier sélectivement chaque générateur solaire à un bus d'alimentation ou à un dispositif de stockage d'énergie électrique, ou le court-circuiter. De cette manière, le dispositif de commande à trois états assure la régulation de la tension du bus principal et, en même temps, le chargement des batteries, en éliminant le besoin pour un régulateur de chargement séparé. La simplification considérable qui en résulte améliore la fiabilité du système d'alimentation et en augrnente l'efficacité énergétique. Cette architecture perfectionnée est connue dans la littérature technique anglo-saxonne comme Sequential and Serial Switching Shunt Regulator (régulateur à commutation de court-circuit séquentielle et en série), ou S4R. Le document FR 2 828 962 décrit un système complet de régulation de tension pour un bus principal d'alimentation, comportant une pluralité de modules de type S4R. La figure 1 montre un exemple de dispositif de commande S4R, comportant un bloc de commande L qui pilote deux interrupteurs 11 et 12 en fonction d'un premier signal NTBA indicatif d'un niveau de tension dudit bus d'alimentation et d'un deuxième signal NTCB indicatif d'un niveau de tension de chargement des batteries. Une simple inspection du circuit montre que le générateur G alimente en énergie électrique le bus principal BUS lorsque les deux interrupteurs sont ouverts et recharge la batterie BATT lorsque l'interrupteur 12 est ouvert et l'interrupteur 11 est fermé, tandis qu'il est court-circuité sur lui-même lorsque l'interrupteur 12 est fermé, indépendamment de l'état de l'interrupteur 11. 2908939 3 Un inconvénient du dispositif de commande de la figure 1 est qu'une défaillance du bloc de commande L, du moyen de génération du deuxième signal NTCB ou de l'interrupteur 11 peut déterminer le blocage de ce dernier en position fermée, ce qui est susceptible de surcharger les 5 batteries et donc de les endommager. Ce problème est particulièrement aigu lorsque la tension de chargement maximale admissible des batteries est inférieure à la tension nominale du bus principal. Ce problème est mis en évidence par le document FR 2 785 103 lui-même, qui propose de le résoudre en forçant la fermeture 10 de l'interrupteur 12 lorsque l'interrupteur 11 se trouve dans son état fermé alors même que le deuxième signal NTCB indique un niveau de chargement relativement élevé des batteries, ce qui aurait dû en déterminer l'ouverture. Cette solution ne donne pas entière satisfaction, car elle n'est efficace qu'à l'encontre d'une défaillance se produisant au niveau de 15 l'interrupteur 11 lui-même, mais est sans effet en cas de dysfonctionnement du bloc de commande L. En effet, en cas de défaillance de ce dernier, il ne serait pas possible de forcer la fermeture de 12 et donc de mettre en oeuvre la protection. De même, une défaillance dans le moyen de génération du deuxième signal NTCB pourrait rendre inopérant le mécanisme de protection 20 proposé. Il s'ensuit qu'une panne isolée (c'est à dire ne concernant qu'un seul élément), se produisant dans un seul des nombreux dispositifs de commande faisant partie d'un système complet de régulation de tension pour un bus principal d'alimentation, est susceptible d'entraîner la dégradation 25 irréparable d'une composante essentielle dudit système, à savoir le dispositif de stockage d'énergie électrique. Le document FR 2 828 962 ne propose aucune solution à ce problème. Au contraire, il montre des schémas électriques détaillés de modules de type S4R ne permettant même pas la mise en oeuvre du 30 mécanisme de protection partiel du document FR 2 785 103. Un but de l'invention est de fournir une solution, totale ou partielle, à cet inconvénient de l'art antérieur. 2908939 4 Un autre but de l'invention est de fournir une telle solution sans entraîner une augmentation notable de la complexité du système de régulation de tension pour un bus principal d'alimentation. Conformément à l'invention, ces buts sont atteints par un 5 dispositif de commande pour assurer la régulation en tension d'un bus d'alimentation, comportant : un premier interrupteur agencé pour connecter, lorsqu'il est dans une position dite fermée, un générateur d'énergie électrique à un dispositif de stockage d'énergie ; et un deuxième interrupteur agencé pour court-circuiter, lorsqu'il est dans une position dite fermée, ledit 10 générateur ; ledit générateur étant connecté audit bus d'alimentation lorsque lesdits premier et deuxième interrupteur sont dans une position dite ouverte ; le dispositif de commande comportant également un bloc de pilotage pour générer un signal de pilotage dudit premier interrupteur et un signal de pilotage dudit deuxième interrupteur ; caractérisé en ce que le bloc de 15 pilotage comporte un premier moyen pour générer ledit signal de pilotage dudit premier interrupteur en fonction d'un premier signal indicatif d'un niveau de tension dudit bus d'alimentation et d'un deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie, ledit premier moyen étant agencé pour générer un signal de pilotage déterminant 20 la fermeture dudit premier interrupteur lorsque ledit premier signal est indicatif d'un niveau de tension dudit bus d'alimentation supérieur à un premier niveau de référence, et ledit deuxième signal est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie inférieur à un deuxième niveau de référence ; et pour générer un signal de pilotage déterminant 25 l'ouverture dudit premier interrupteur dans tous les autres cas ; et un deuxième moyen, distinct et indépendant dudit premier moyen, pour générer ledit signal de pilotage dudit deuxième interrupteur en fonction dudit premier signal indicatif d'un niveau de tension dudit bus d'alimentation, dudit deuxième signal indicatif d'un niveau de tension de chargement dudit 30 dispositif de stockage d'énergie et d'un troisième signal indicatif d'un état de fermeture ou d'ouverture dudit premier interrupteur ; ledit deuxième moyen étant agencé pour générer un signal de pilotage déterminant la fermeture 2908939 5 dudit deuxième interrupteur lorsque ledit deuxième signal est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxièrne niveau de référence alors que : ledit premier signal est indicatif d'un niveau de tension dudit bus d'alimentation supérieur audit 5 premier niveau de référence ; ou bien, indépendamment de la valeur dudit premier signal, ledit troisième signal indique que ledit premier interrupteur se trouve à l'état fermé ; et pour générer un signal de pilotage déterminant l'ouverture dudit deuxièrne interrupteur dans tous les autres cas. Dans un dispositif de commande selon le document 10 FR 2 828 962, le bloc de commande L reçoit en entrée deux signaux, indicatifs respectivement d'un niveau de tension du bus principal et d'un niveau de tension de chargement des batteries, et produit à ses sorties deux signaux de pilotage, pour les interrupteurs I1 et 12 respectivement. Chacun des deux signaux de sortie dépend des deux signaux en entrée, qui se 15 trouvent pour ainsi dire croisés dans le bloc de commande. Il s'ensuit qu'une panne isolée se produisant à l'intérieur du bloc de commande L affecterait très probablement les deux signaux de sortie à la fois, et perturberait donc le pilotage des deux interrupteurs, ce qui empêcherait la mise en oeuvre d'une protection contre la surcharge des batteries selon le 20 principe décrit dans le document. Au contraire, dans un dispositif de commande selon l'invention, une panne isolée ne peut affecter que l'un seul des deux signaux de pilotage des interrupteurs. Si, par exemple, la panne isolée bloque le premier interrupteur dans sa position fermée, le dispositif reste capable 25 d'empêcher toute surcharge du dispositif de stockage d'énergie électrique en forçant la fermeture du deuxième interrupteur. Si, au contraire, la panne isolée bloque le deuxième interrupteur dans sa position ouverte, le premier interrupteur demeure capable de s'ouvrir à son tour lorsque ledit dispositif de stockage d'énergie est suffisamment chargé. Les autres modes de défaillance 30 possibles (premier interrupteur bloqué en position ouverte ou deuxième interrupteur bloqué en position fermée) ne sont pas susceptibles de provoquer une surcharge des batteries, ni plus généralement d'endommager 2908939 6 le système de régulation de tension pour un bus principal d'alimentation ; ces modes de défaillance rendent simplement un des nombreux générateurs solaires individuels du système partiellement ou totalement inopérant. Un mode de défaillance dans lequel le premier interrupteur serait bloqué en 5 position ouverte et le deuxième interrupteur bloqué en position fermée, ce qui entraînerait une surcharge de la batterie, ne peut jamais se produire suite à une panne isolée. Selon des modes de réalisation particuliers de l'invention : -Ledit deuxième moyen pour générer un signal de pilotage 10 dudit deuxième interrupteur peut comporter une unité de détection de défaillance du chargement du dispositif de stockage d'énergie, recevant à une première entrée ledit deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie et à une deuxième entrée ledit troisième signal indicatif d'un état de fermeture ou d'ouverture dudit 15 premier interrupteur, ladite unité étant agencée pour générer à sa sortie un signal indicatif d'une condition de défaillance lorsque ledit troisième signal indique que ledit premier interrupteur se trouve à l'état fermé alors que ledit deuxième signal est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxième niveau de 20 référence. - Ladite unité de détection de défaillance du chargement du dispositif de stockage d'énergie peut être agencée pour maintenir à sa sortie un signal indicatif d'une condition de défaillance jusqu'à que ledit deuxième signal à sa première entrée ne change de valeur, en devenant indicatif d'un 25 niveau de tension de chargement dudit dispositif de stockage d'énergie inférieur audit deuxième niveau de référence. - En variante ladite unité de détection de défaillance du chargement du dispositif de stockage d'énergie peut être agencée pour maintenir à sa sortie un signal indicatif d'une condition de défaillance pendant 30 un temps avant de se réinitialiser, une réinitialisation anticipée pouvant être provoquée par la transition dudit deuxième signal à sa première entrée vers 2908939 7 une valeur indicative d'un niveau de tension de chargement dudit dispositif de stockage d'énergie inférieur audit deuxième niveau de référence. - Ledit deuxième moyen pour générer un signal de pilotage dudit deuxième interrupteur peut comporter également une unité de pilotage 5 ayant une première entrée reliée à la sortie de ladite unité de détection de défaillance, une deuxième entrée pour ledit premier signal indicatif d'un niveau de tension dudit bus d'alimentation et une troisième entrée pour ledit deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie ; ladite unité de pilotage étant agencée pour : 10 -générer un signal de pilotage déterminant la fermeture dudit deuxième interrupteur lorsque le signal présent à sa troisième entrée est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxième niveau de référence et inversement ; 15 - générer un signal de pilotage déterminant l'ouverture dudit deuxième interrupteur lorsque le signal présent à sa deuxième entrée est indicatif d'un niveau de tension dudit bus d'alimentation inférieur audit premier niveau de référence ; et - générer un signal de pilotage déterminant la fermeture 20 dudit deuxième interrupteur lorsque le signal présent à sa première entrée est indicatif d'une condition de défaillance du chargement du dispositif de stockage d'énergie ; avec la condition qu'en cas de conflit la première entrée est prioritaire par rapport à la deuxième et à la troisième, et la deuxième entrée 25 est prioritaire par rapport à la troisième. - Ledit dispositif de commande peut comporter également un premier circuit comparateur comportant : - une première entrée pour un signal indicatif d'un écart du niveau de tension dudit bus d'alimentation par rapport à un premier 30 niveau de tension nominale; - une deuxième entrée pour un premier niveau de tension de référence ; 2908939 8 - des moyens pour comparer les signaux présents auxdites première et deuxième entrée et pour générer, en fonction du résultat de cette comparaison, ledit premier signal indicatif d'un niveau de tension dudit bus d'alimentation ; et 5 - une sortie pour ledit premier signal indicatif d'un niveau de tension dudit bus d'alimentation. - Ledit premier circuit comparateur peut être un circuit comparateur à hystérésis. - Ledit premier circuit comparateur peut être agencé pour 10 produire un signal de sortie à un niveau haut ou à un niveau bas , à l'exclusion de tout niveau intermédiaire. - Ledit dispositif de commande peut comporter également un deuxième circuit comparateur comportant : - une première entrée pour un signal indicatif d'un 15 écart du niveau de tension de chargement dudit dispositif de stockage d'énergie par rapport à deuxième un niveau de tension nominale ; - une deuxième entrée pour un deuxième niveau de tension de référence ; des moyens pour comparer les signaux présents 20 auxdites première et deuxième entrée et pour générer, en fonction du résultat de cette comparaison, ledit deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie; et - une sortie pour ledit deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie. - Ledit deuxième circuit comparateur peut être un circuit comparateur à hystérésis. - Ledit deuxième circuit comparateur peut être agencé pour produire un signal de sortie à un niveau dit haut ou à un niveau dit bas, à l'exclusion de tout niveau intermédiaire. - Ledit deuxième circuit comparateur présente avantageusement des redondances internes garantissant qu'en cas de défaillance d'un seul de ses éléments, ledit deuxième circuit comparateur 25 30 2908939 9 continue à fonctionner normalement ou bien reste bloqué dans un état dans lequel le signal à sa sortie est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxième niveau de référence. 5 En variante, le dispositif de commande peut comporter également un troisième circuit comparateur comportant : - une première entrée pour ledit signal indicatif d'un écart du niveau de tension de chargement dudit dispositif de stockage d'énergie par rapport à deuxième un niveau de tension nominale ; 10 - une deuxième entrée pour ledit deuxième niveau de tension de référence ; - des moyens pour comparer les signaux présents auxdites première et deuxième entrée et pour générer, en fonction du résultat de cette comparaison, une réplique dudit deuxième signal indicatif d'un 15 niveau de tension de chargement dudit dispositif de stockage d'énergie; et - une sortie pour ladite réplique dudit deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie ; ladite réplique dudit deuxième signal étant fournie à la 20 première entrée de ladite unité de détection de défaillance du chargement du dispositif de stockage d'énergie. Dans ce cas, il n'est pas nécessaire que le deuxième et troisième circuits comparateurs comportent les redondances internes précitées. Un autre objet de l'invention est un module de génération d'énergie électrique pour un bus d'alimentation comportant un générateur d'énergie électrique ; et un dispositif de commande tel que décrit ci-dessus pour relier sélectivement ledit générateur d'énergie électrique audit bus d'alimentation ou à un dispositif de stockage d'énergie, ou le court-circuiter. D'autres caractéristiques, détails et avantages de l'invention ressortiront à la lecture de la description faite en référence aux dessins annexés donnés à titre d'exemple et qui représentent, respectivement : 25 30 2908939 10 - La figure 1, un schéma de principe d'un dispositif de commande connu de l'art antérieur ; - La figure 2, un schéma de principe d'un dispositif de commande selon un mode de réalisation de l'invention ; 5 - La figure 3, un schéma de principe d'un système complet de régulation de tension pour un bus principal d'alimentation utilisant une pluralité de dispositifs de commande du type représenté sur la figure 2 ; - Les figures 4A à 4E, des graphiques illustrant le fonctionnement d'un dispositif de commande selon un premier mode de 10 réalisation de l'invention ; - Les figures 5A à 5E, des graphiques illustrant le fonctionnement d'un dispositif de commande selon un deuxième mode de réalisation de l'invention ; et - La figure 6, un schéma de principe d'un dispositif de 15 commande selon un mode de réalisation alternatif de l'invention. Comme illustré par la figure 2, un dispositif de commande S4R selon l'invention reçoit en entrée le courant généré par un générateur MG, typiquement un générateur solaire tel qu'un réseau de photopiles, et dirige ce courant vers un bus principal d'alimentation MB, un dispositif de 20 stockage d'énergie BATT, typiquement une batterie ou un ensemble de batteries, ou bien vers la terre. Dans ce dernier cas, le générateur MG est court-circuité. Plus précisément, l'inspection du circuit de la figure 2 montre que lorsque l'interrupteur S2 est en position fermée, le générateur MG est court-circuité quelle que soit l'état de l'interrupteur S1. Lorsque S2 est ouvert 25 et S1 fermé, le courant généré par MG est dirigé vers le dispositif de stockage d'énergie BATT, qui se trouve à un niveau de tension généralement inférieur à celui du bus MB, tandis que lorsque les deux interrupteurs S1, S2 sont ouverts le courant alimente le bus MB. D'une manière connue en soi, des diodes D1, D2, D3 et D4 empêchent au courant électrique de s'écouler du 30 bus ou du dispositif de stockage d'énergie vers le générateur MG, ou du bus vers le dispositif de stockage d'énergie. 2908939 >> Les interrupteurs S1 et S2, généralement réalisés physiquement sous la forme de MOSFET de puissance, sont pilotés en ouverture et en fermeture par un premier et un deuxième moyen de génération d'un signal de pilotage, S1DM et S2DM, respectivement. 5 Le premier moyen de génération d'un signal de pilotage S1DM reçoit en entrée un premier signal A indicatif d'un niveau de tension du bus principal d'alimentation MB et un deuxième signal B indicatif d'un niveau de tension de chargerent du dispositif de stockage d'énergie BATT, et produit à sa sortie un signal OUT1 qui pilote l'ouverture ou la fermeture du 10 premier interrupteur S1. Le deuxième moyen de génération d'un signal de pilotage S2DM reçoit en entrée ledit premier signal A indicatif d'un niveau de tension du bus principal d'alimentation MB, ledit deuxième signal B indicatif d'un niveau de tension de chargement du dispositif de stockage d'énergie BATT, 15 ainsi qu'un troisième signal VO indicatif d'un état de fermeture ou d'ouverture du premier interrupteur S1 et produit à sa sortie un signal OUT1 qui pilote l'ouverture ou la fermeture du deuxième interrupteur S2. Le premier et le deuxième signaux, A et B, sont générés par un premier et un deuxième circuit comparateur EVC, BEVC respectivement. 20 Le premier circuit comparateur EVC reçoit à sa première entrée EVC 11 un signal MEV indicatif d'un écart du niveau de tension VMB du bus d'alimentation par rapport à sa valeur nominale VMBN, et à sa deuxième entrée EVC_12 un premier niveau de tension de référence MEAR. Le signal A présent à sa sortie EVC_O prend une valeur haute ou basse , à 25 l'exclusion de toute valeur intermédiaire, en fonction du résultat d'une comparaison avec hystérésis entre les signaux d'entrée MEV et MEAR. Par exemple, si A se trouve initialement à l'état bas alors que MEV BEAR'>BEAR". Cela permet au 20 système de régulation de fonctionner de la manière décrite plus haut. Le module central de contrôle MCC comporte deux amplificateurs d'erreur MEA et BEA qui génèrent respectivement les-signaux d'écart MEV et BEV et deux diviseurs de tension à échelle de résisteurs MEARL et BEARL qui génèrent respectivement les signaux de référence 25 MEAR et BEAR. Afin de garantir un fonctionnement fiable du système il est opportun que les éléments constitutifs du module central de contrôle soient redondants, en prévoyant par exemple une redondance à majorité. Cela n'augmente pas sensiblement la complexité du système dans son ensemble. La figure 3 montre que la valeur du signal d'écart MEV est 30 d'autant plus grande que le niveau de tension VMB du bus MB est haut ; au contraire, la valeur du signal BEV est d'autant plus grande que le niveau de tension VBAU du dispositif de stockage d'énergie BATT est bas. Autrement 2908939 15 dit, une valeur élevée du signal MEV indique un niveau de tension relativement élevé du bus MB, tandis qu'une valeur élevée du signal BEV indique un niveau de tension de chargement relativement bas du dispositif de stockage d'énergie BATT. A l'intérieur de chaque dispositif de commande, le 5 premier circuit comparateur EVC génère un signal A haut lorsque MEV>_MEAR et inversement, tandis que le deuxième circuit comparateur BEVC génère un signal B haut lorsque BEV fonctionnement du système de régulation dans son ensemble, cette éventualité étant généralement prise en compte lors du dimensionnement du système. Huitième cas : panne dans BCFD, S2[) ou S2, bloquant ce 30 dernier dans sa position ouverte. Le générateur est donc connecté soit au bus MB, soit au dispositif de stockage d'énergie BATT, mais le dispositif Si DD de génération d'un signal de désactivation du premier interrupteur empêche 2908939 20 toute surcharge de ce dernier, en provoquant l'ouverture de S1 lorsque le signal B passe à son niveau haut. Dans ce cas, le bus est alimenté de manière continue par au moins un générateur, correspondant justement au module MGE défaillant. Cela n'a généralement pas de conséquences graves 5 car, si la consommation minimale des équipements à alimenter est inférieure à la puissance d'un générateur individuel, il suffit de rajouter à ces équipements une résistance de dissipation reliée au bus par un interrupteur commandé par le module central de contrôle MCC. Les signaux d'entrée du dispositif de commande S4R sont 10 fiables car le module central de contrôle MCC présente des redondances, par exemple des redondances à rnajorité, suffisantes à en assurer un fonctionnement normal rnême en cas de panne isolée. Par conséquent, dans aucun cas une panne isolée survenant dans un élément quelconque du système de régulation de tension pour un 15 bus principal d'alimentation, n'est susceptible d'entraîner la dégradation irréparable d'une composante essentielle dudit système, et en particulier du dispositif de stockage d'énergie électrique BATT. De plus, ce résultat est obtenu sans qu'il soit nécessaire de prévoir des redondances pour tous les éléments du système : seul le module central de contrôle MCC est 20 complètement redondant, tandis que les dispositifs de commande S4R comportent un degré limité de redondance interne. Sur la figure 3, les blocs entièrement redondants présentent un coin supérieur gauche noir, tandis que ceux qui ne présentent que des redondances partielles ont leur coin supérieur gauche blanc. 25 En variante, comme représenté sur la figure 6, il est possible de prévoir également un troisième circuit comparateur BEVC2. Tout comme le deuxième circuit comparateur BEVC, le circuit BEVC2 reçoit à sa première entrée BEVC2_11 le signal BEV et à sa deuxième entrée BEVC2_I2 le signal BEAR, et il fournit à sa sortie BEVC2_C) une réplique B' du signal B. Dans ce 30 mode de réalisation de l'invention, le signal B généré par BEVC est fourni à la troisième entrée P3 de l'unité de pilotage S2D, tandis que sa réplique B' générée par BEVC2 est fournie à la première entrée BCFD_l1 de l'unité 2908939 21 BCFD. Tant que les deux circuits comparateurs BEVC et BEVC2 fonctionnent régulièrement, les signaux B et B' qu'ils génèrent prennent la même valeur à tout moment, et le dispositif fonctionne exactement comme si un seul circuit comparateur connecté à la fois aux entrées de S2D et de BCFD était présent. 5 En cas de panne isolée, l'un des deux circuits peut présenter une anomalie de fonctionnement, mais l'autre continue à se comporter de manière correcte : il est possible de vérifier que cela suffit à écarter tout risque de surcharge de la batterie. Par rapport au mode de réalisation de la figure 2, cette variante permet de simplifier la structure interne des comparateurs 10 BEVC, BEVC2, car il n'est plus nécessaire d'assurer qu'une panne isolée ne puisse pas bloquer la sortie B ou B' au niveau bas. Il est seulement nécessaire que, même en cas de panne, lesdits signaux de sortie prennent une valeur définie, haute ou basse. Le moyen de pilotage S1 DM du premier interrupteur peut 15 recevoir en entrée, indifféremment, le signal B généré par le deuxième circuit comparateur BEVC, comme représenté sur la figure 6, ou la réplique B' générée par le troisième circuit comparateur BEVC2. Le fonctionnement de l'unité de détection de défaillance du chargement du dispositif de stockage d'énergie BCFD mérite d'être étudié 20 plus en détail. En effet, contrairement à ce qu'on pourrait penser à la lecture du dernier paragraphe du document FR 2785103 précité, la valeur du signal à la sortie de cette unité ne peut pas dépendre uniquement des valeurs instantanées des signaux à ses entrées. Cela sera compris à l'aide d'un exemple : supposons qu'à l'instant T aussi bien Vo que B soient à leur niveau 25 haut, condition indicative d'une défaillance ; dans un tel cas, l'unité BCFD génère le signal de sortie BFS qui force la fermeture de l'interrupteur S2 ; lorsque l'interrupteur S2 est fermé, le point Q est relié à la terre par un parcours de faible résistance, donc le signal VQ prend immédiatement une valeur basse. Si cette variation de Vo se répercutait immédiatement sur la 30 sortie de BCFD, S2 s'ouvrirait à nouveau, et un cycle oscillatoire non contrôlé s'établirait. 2908939 22 L'invention propose deux solutions alternatives à ce problème. Dans un premier mode de réalisation, l'unité de détection de défaillance du dispositif de stockage d'énergie BCFD présente un 5 fonctionnement de type bistable : elle génère à sa sortie le signal BFS indicatif d'une condition de défaillance lorsque aussi bien B que VQ sont à un niveau haut, et le maintient jusqu'à que le signal B ne change de valeur, en effectuant une transition vers un niveau bas. La transition de VQ, qui se produit nécessairement lors de la fermeture de l'interrupteur S2, est sans 10 effet. Dans un deuxième mode de réalisation, l'unité de détection de défaillance du dispositif de stockage d'énergie BCFD présente un fonctionnement de type monostable elle génère à sa sortie le signal BFS indicatif d'une condition de défaillance lorsque aussi bien B que VQ sont à un 15 niveau haut, et le maintient pendant une durée déterminée, puis il se réinitialise. Le fonctionnement bistable de l'unité de détection de défaillance du dispositif de stockage d'énergie BCFD sera mieux compris à l'aide des figures 4A à 4E qui représentent les courbes d'évolution temporelle 20 des signaux VQ (fig. 4A), BFS (fig. 4A), B (fig. 4D) et BEV (fig. 4E), ainsi que de la tension VBATT (fig. 4B) et du courant 'BAU (fig. 4C) de chargement du dispositif de stockage d'énergie électrique BATT. Le signal VBS (fig. 4A) est indicatif de l'état d'un dispositif bistable interne à l'unité BCFD, dont dépend le signal de sortie BFS. 25 Initialement (T=45 ms) le signal B est dans son état haut (10 V), donc l'interrupteur S1 se trouve à l'état ouvert et par conséquent VQ=OV et IBAn=OA. La tension de chargement du dispositif de stockage d'énergie BATT est légèrement supérieure à 24 V et décrois lentement en raison de la décharge spontanée dudit dispositif. 30 A l'instant Ti (T=46 ms), l'interrupteur Si est court-circuité, et par la suite il reste dans son état fermé. Le signal Vo subit une transition 2908939 23 rapide vers une valeur proche de VBATT et un courant électrique IBATT commence à charger le dispositif de stockage d'énergie BATT. Au temps T2, comme B est toujours à sa valeur haute, l'unité BCFD réagit : VBS, initialement haut, passe à un niveau bas et BFS prend une 5 valeur haute, indicative d'une condition de défaillance. Suite à ces transitions, l'interrupteur S2 se ferme, ce qui ramène à zéro la tension VQ et le courant IBATr. Malgré le fait que Vo soit à nouveau bas, l'unité BCFD maintient le signal BCFD à sa sortie (fonctionnement bistable). Entre temps, le dispositif de stockage d'énergie continue de 10 se décharger lentement : la tension VBATr diminue et le signal d'écart BEV augmente. A l'instant T3, BEV prend une valeur suffisamment élevée pour déclencher une transition du signal B vers son niveau bas. Cela provoque le retour de l'unité BCFD dans son état initial, avec BFS=O V, ce qui entraîne la réouverture de l'interrupteur S2. 15 L'interrupteur S2 étant ouvert, un courant 'BAU peut recharger le dispositif de stockage d'énergie, en provoquant une augmentation de son niveau de tension de chargement VBA1-r et, corrélativement, une diminution de la valeur du signal d'écart BEV. VQ retrouve un niveau élevé, mais cela est sans influence sur l'unité BCFD tant que B reste à son niveau bas. 20 A l'instant T4, la diminution de la valeur du signal BEV au-dessous du seuil prédéterminé (BEAR-6L) provoque le retour de B à son niveau haut. A nouveau, l'unité BCFD provoque la fermeture de l'interrupteur S2. Le fonctionnement monostable de l'unité de détection de 25 défaillance du dispositif de stockage d'énergie BCFD sera mieux compris à l'aide des figures 5A à 5E qui représentent les courbes d'évolution temporelle des signaux Vo (fig. 5A), BFS (fig. 5A), B (fig. 5D) et BEV (fig. 5E), ainsi que de la tension VBA-T (fig. 5B) et du courant IBATT (fig. 5C) de chargement du dispositif de stockage d'énergie électrique BATT. Le signal VMS (fig. 5A) est 30 indicatif de l'état d'un dispositif monostable interne à l'unité BCFD, dont dépend le signal de sortie BFS. Plus précisément, lorsque le signal VMs effectue une transition de son niveau haut (stable) vers son niveau bas 2908939 24 (métastable), il provoque le chargement d'un condensateur qui se décharge ensuite à travers une résistance ; le signal BFS est proportionnel à la tension aux bornes de ce condensateur : il s'agit donc d'un signal à valeurs continues. Comme dans le cas des figures 4A - 4E, initialement (T=45 5 ms) le signal B est dans son état haut (10 V), donc l'interrupteur S1 se trouve à l'état ouvert et par conséquent VQ=OV et IBATT=OA ; la tension de chargement du dispositif de stockage d'énergie est légèrement supérieure à 24 V et décroît lentement à cause de la décharge spontanée dudit dispositif. A l'instant T'1 (T=46 ms), l'interrupteur S1 est court-circuité, 10 et par la suite reste dans son état fermé. Le signal VQ subit une transition rapide vers une valeur proche de VBAU et un courant électrique 'BAU commence à charger le dispositif de stockage d'énergie. Comme B est toujours à sa valeur haute, l'unité BCFD réagit au temps T'2 : VMS, initialement haut, passe à un niveau bas et il y reste 15 jusqu'au temps T'3. Le signal BFS subit donc une transition vers un niveau haut, puis commence à décroître lentement. A l'instant T'4 le transistor MOSFET qui réalise physiquement l'interrupteur S2, et qui se trouvait dans son état de conduction, passe dans sa région ohmique suite à la diminution du niveau de tension BFS appliqué à 20 sa grille. Par conséquent Vo reprend à croître, alors que le courant IBATr reste négligeable à cause de la présence des diodes D3 et D4. Suite à l'augmentation de VQ, au temps T'5 le signal VMS effectue une nouvelle transition de son niveau haut vers son niveau bas, ramenant BFS au même niveau haut qu'au temps T'2. L'interrupteur S2 retourne donc dans son état 25 de conduction. Au temps T'6, le signal VMS retourne à son niveau stable (haut). On peut dire que l'ouverture graduelle de l'interrupteur S2 permet au dispositif BCFD de sonder VQ à intervalles régulières la valeur de. La valeur de Vo en correspondance de laquelle BCFD réagit en ouvrant à nouveau S2 doit être inférieure à la tension de chargement VBArr de la 30 batterie, afin d'éviter que l'ouverture partielle de l'interrupteur S2 ne détermine une surcharge de cette dernière. 2908939 25 Entre temps, le dispositif de stockage d'énergie électrique BATT se décharge lentement, donc VBAU diminue et le signal d'écart BEV augmente; au temps T'7, BEV atteint un niveau suffisamment élevé pour provoquer une transition du signal B vers son niveau bas. A son tour, cette 5 transition détermine l'ouverture de l'interrupteur S2 et la réinitialisation de l'unité BCFD, c'est à cuire le passage du signal BFS à son niveau bas. La batterie commence donc à se recharger à travers S2, et le signal BEV à diminuer, bien qu'avec un certain retard. Au temps T'8, la diminution du signal BEV au-dessus de la 10 valeur de seuil BEAR-ÎiI. provoque la transition du signal B vers son niveau haut. L'unité BCFD provoque donc le retour de BFS à un niveau haut et la fermeture de l'interrupteur S2. A partir de ce moment, le cycle de control reprend comme au point T'2. Ce mode de réalisation de l'invention est intéressant car une 15 réinitialisation de l'unité BCFD peut se produire même sans variation du signal B (voir ce qui se passe entre T'4 et T'6). Pour que BCFD puisse réagir à une défaillance de l'interrupteur Si il n'est donc pas nécessaire qu'un survoltage au niveau de la batterie BATT se propage à travers toute la chaîne de contrôle, par l'intermédiaire des signaux BEA, BEVC et enfin B. 20 L'utilisation d'une unité BCFD à fonctionnement monostable est donc particulièrement intéressante lorsque la batterie à une faible capacité (et donc sa tension de charge varie rapidement), ou lorsque la chaîne de commande est lente par rapport au temps caractéristique d'un épisode de surcharge. REVENDICATIONS 1. Dispositif de commande pour assurer la régulation en tension d'un bus d'alimentation, comportant : - un premier interrupteur (Si) agencé pour connecter, 5 lorsqu'il est dans une position dite fermée, un générateur (MG) d'énergie électrique à un dispositif de stockage d'énergie (BATT) ; et - un deuxième interrupteur (S2) agencé pour court-circuiter, lorsqu'il est dans une position dite ferrnée, ledit générateur (MG); - ledit générateur étant connecté audit bus d'alimentation 10 lorsque lesdits premier et deuxième interrupteur sont dans une position dite ouverte ; le dispositif de commande comportant également un bloc de pilotage pour générer un signal de pilotage (OUT1) dudit premier interrupteur (Si) et un signal de pilotage (OUT2) dudit deuxième interrupteur (S2) ; 15 caractérisé en ce que le bloc de pilotage comporte : - un premier moyen (S1 DM) pour générer ledit signal de pilotage (OUT1) dudit premier interrupteur en fonction ci'un premier signal (A) indicatif d'un niveau de tension dudit bus d'alimentation et d'un deuxième signal (B) indicatif d'un niveau de tension de chargement dudit dispositif de 20 stockage d'énergie, ledit premier moyen étant agencé pour générer un signal de pilotage (OUT1) déterminant la fermeture dudit premier interrupteur (SI) lorsque ledit premier signal (A) est indicatif d'un niveau de tension dudit bus d'alimentation supérieur à un premier niveau de référence, et ledit deuxième signal (B) est indicatif d'un niveau de tension de chargement dudit dispositif 25 de stockage d'énergie inférieur à un deuxième niveau de référence ; et pour générer un signal de pilotage déterminant l'ouverture dudit premier interrupteur dans tous les autres cas ; et - un deuxième moyen (S2DM), distinct et indépendant dudit premier moyen, pour générer ledit signal de pilotage (OUT2) dudit deuxième 30 interrupteur en fonction dudit premier signal (A) indicatif d'un niveau de tension dudit bus d'alimentation, dudit deuxième signal (B, B') indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie et 2908939 27 d'un troisième signal (\/Q) indicatif d'un état de fermeture ou d'ouverture dudit premier interrupteur ; ledit deuxième moyen étant agencé pour générer un signal de pilotage (OUT2) déterminant la fermeture dudit deuxième interrupteur lorsque ledit deuxième signal (B, B') est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxième niveau de référence alors que : - ledit premier signal (A) est indicatif d'un niveau de tension dudit bus d'alimentation supérieur audit premier niveau de référence ; ou bien -indépendamment de la valeur dudit premier signal (A), ledit troisième signal (Vo) indique que ledit premier interrupteur (SI) se trouve à l'état fermé ; et pour générer un signal de pilotage déterminant l'ouverture dudit deuxième interrupteur dans tous les autres cas. 2. Dispositif de commande selon la revendication 1 dans lequel ledit deuxième moyen (S2DM) pour générer un signal de pilotage dudit deuxième interrupteur comporte une unité de détection de défaillance du chargement du dispositif de stockage d'énergie (BCFD), recevant à une première entrée (BCFD__IN1) ledit deuxième signal (B, B') indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie et à une deuxième entrée (BCFD._IN2) ledit troisième signal (VQ) indicatif d'un état de fermeture ou d'ouverture dudit premier interrupteur, ladite unité étant agencée pour générer à sa sortie un signal (BFS) indicatif d'une condition de défaillance lorsque ledit troisième signal (VQ) indique que ledit premier interrupteur (Si) se trouve à l'état fermé alors que ledit deuxième signal (B, B') est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxième niveau de référence. 3. Dispositif de commande selon la revendication 2 dans lequel ladite unité de détection de défaillance du chargement du dispositif de stockage d'énergie (BCFD) est agencée pour maintenir à sa sortie un signal (BFS) indicatif d'une condition de défaillance jusqu'à que ledit deuxième signal (B, B') à sa prerière entrée (BCFD_IN1) ne change de valeur, en 2908939 28 devenant indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie inférieur audit deuxième niveau de référence. 4. Dispositif de commande selon la revendication 2 dans lequel ladite unité de détection de défaillance du chargement du dispositif de 5 stockage d'énergie (BCFD) est agencée pour maintenir à sa sortie un signal (BFS) indicatif d'une condition de défaillance pendant un temps avant de se réinitialiser, une réinitialisation anticipée pouvant être provoquée par la transition dudit deuxième signal (B, B') à sa première entrée (BCFD __Mi) vers une valeur indicative d'un niveau de tension de chargement dudit dispositif de 10 stockage d'énergie inférieur audit deuxième niveau de référence. 5. Dispositif de commande selon l'une des revendications 2 à 4 dans lequel ledit deuxième moyen (S2DM) pour générer un signal de pilotage dudit deuxième interrupteur comporte également une unité de pilotage (S2D) ayant une première entrée (P1) reliée à la sortie de ladite unité 15 de détection de défaillance (BCFD), une deuxième entrée (P2) pour ledit premier signal (A) indicatif d'un niveau de tension dudit bus d'alimentation et une troisième entrée pour ledit deuxième signal (B) indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie ; ladite unité de pilotage étant agencée pour : 20 -générer un signal de pilotage (OUT2) déterminant la fermeture dudit deuxième interrupteur (S2) lorsque le signal (B) présent à sa troisième entrée (P3) est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxième niveau de référence et inversement ; 25 - générer un signal de pilotage (OUT2) déterminant l'ouverture dudit deuxième interrupteur (S2) lorsque le signal (A) présent à sa deuxième entrée (P2) est indicatif d'un niveau de tension dudit bus d'alimentation inférieur audit premier niveau de référence ; et générer un signal de pilotage (OUT2) déterminant la 30 fermeture dudit deuxième interrupteur lorsque le signal (BFS) présent à sa première entrée (P1) est indicatif d'une condition de défaillance du chargement du dispositif de stockage d'énergie ; 2908939 29 avec la condition qu'en cas de conflit la première entrée (P1) est prioritaire par rapport à la deuxième (P2) et à la troisième (P3), et la deuxième entrée (P2) est prioritaire par rapport à la troisième (P3). 6. Dispositif de commande selon l'une des revendications 5 précédentes, comportant également un premier circuit comparateur (EVC) comportant : une première entrée (EVC_I1) pour un signal (MEV) indicatif d'un écart du niveau de tension (VMB) dudit bus d'alimentation par rapport à un premier niveau de tension nominale; 10 - une deuxième entrée (EVC._12) pour un premier niveau de tension de référence (MEAR) ; - des moyens pour comparer les signaux présents auxdites première et deuxième entrée et pour générer, en fonction du résultat de cette comparaison, ledit premier signal (A) indicatif d'un niveau de tension 15 dudit bus d'alimentation ; et - une sortie (EVC O) pour ledit premier signal indicatif d'un niveau de tension dudit bus d'alimentation. 7. Dispositif de commande selon la revendication 6 dans lequel ledit premier circuit comparateur (EVC) est un circuit comparateur à 20 hystérésis. 8. Dispositif de commande selon la revendication 6 ou 7 dans lequel ledit premier circuit comparateur (EVC) est agencé pour produire un signal de sortie à un niveau haut ou à un niveau bas , à l'exclusion de tout niveau intermédiaire. 25 9. Dispositif de commande selon l'une des revendications précédentes, comportant également un deuxième circuit comparateur (BEVC) comportant : -une première entrée (BEVC__I1) pour un signal (BEV) indicatif d'un écart du niveau de tension (VBArr) de chargement dudit 30 dispositif de stockage d'énergie par rapport à deuxième un niveau de tension nominale (VBArr-") 2908939 30 - une deuxième entrée (BEVC_12) pour un deuxième niveau de tension de référence (BEAR) ; - des moyens pour comparer les signaux présents auxdites première et deuxième entrée et pour générer, en fonction du résultat 5 de cette comparaison, ledit deuxième signal (B) indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie; et - une sortie (BEVC_O) pour ledit deuxième signal (B) indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie. 10 10. Dispositif de commande selon la revendication 9 dans lequel ledit deuxième circuit comparateur (BEVC) est un circuit comparateur à hystérésis. 11. Dispositif de commande selon la revendication 9 ou 10 dans lequel ledit deuxième circuit comparateur (BEVC) est agencé pour 15 produire un signal de sortie (B) à un niveau dit haut ou à un niveau dit bas, à l'exclusion de tout niveau intermédiaire. 12. Dispositif de commande selon la revendication 11 dans lequel ledit deuxième circuit comparateur (BEVC) présente des redondances internes garantissant qu'en cas de défaillance d'un seul de ses éléments, ledit 20 deuxième circuit comparateur continue à fonctionner normalement ou bien reste bloqué dans un état dans lequel le signal (B) à sa sortie (BEVC_O) est indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie supérieur audit deuxième niveau de référence. 13. Dispositif de commande selon l'une des revendications 9 25 à 12 lorsqu'elle dépend de la revendication 2, comprenant également un troisième circuit comparateur (BEVC2) comportant : - une première entrée (BEVC2_11) pour ledit signal (BEV) indicatif d'un écart du niveau de tension (VBATT) de chargement dudit dispositif de stockage d'énergie par rapport à deuxième un niveau de tension 30 nominale (VBAUN) ; - une deuxième entrée (BEVC2_I2) pour ledit deuxième niveau de tension de référence (BEAR) ; 2908939 31 - des moyens pour comparer les signaux présents auxdites première et deuxième entrée et pour générer, en fonction du résultat de cette comparaison, une réplique (B') dudit deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie; et 5 - une sortie (BEVC2_O) pour ladite réplique (B') dudit deuxième signal indicatif d'un niveau de tension de chargement dudit dispositif de stockage d'énergie ; ladite réplique dudit deuxième signal (B) étant fournie à la première entrée (BCFD_IN1) de ladite unité de détection de défaillance du 10 chargement du dispositif de stockage d'énergie (BCFD). 14. Module de génération d'énergie électrique pour un bus d'alimentation comportant : - un générateur d'énergie électrique ; et un dispositif de commande selon l'une des 15 revendications précédentes pour relier sélectivement ledit générateur d'énergie électrique audit bus d'alimentation ou à un dispositif de stockage d'énergie, ou le court-circuiter. 20 25