FR 3128069 A1 20230414 FR 2110821 A 20211013 L’invention concerne un module de sécurité (40) pour onduleur (20) de véhicule automobile, l’onduleur (20) comprenant au moins deux circuits de puissance (C1, C2, C3), le module de sécurité (40) comprenant une unité de contrôle (42) et au moins deux interrupteurs de sécurité (I1, I2, I3), chaque interrupteur de sécurité (I1, I2, I3) étant associé à un circuit de puissance (C1, C2, C3) et étant relié entre le circuit de puissance (C1, C2, C3) et un point dit « de mesure » (P), l’unité de contrôle (42) étant apte à commander chaque interrupteur de sécurité (I1, I2, I3) et étant configurée pour détecter un dysfonctionnement de fermeture d’un interrupteur de sécurité (I1, I2, I3) si : une commande de fermeture a été émise audit interrupteur de sécurité (I1, I2, I3), les autres interrupteurs de sécurité étant ouverts, et la tension au point de mesure (P) est négative. Figure pour l’abrégé : Fig 2 Module de sécurité pour onduleur de véhicule hybride L’invention concerne le domaine des véhicules hybrides et plus précisément un module de sécurité pour onduleur de véhicule hybride ou électrique. De manière connue, un tel véhicule comprend un moteur thermique, une batterie et une machine électrique. La machine électrique est apte à fonctionner selon deux modes de fonctionnement : un mode de fonctionnement moteur, dans lequel la machine électrique convertit de l’énergie électrique fournie par la batterie en énergie mécanique afin de démarrer le moteur thermique, et un mode de fonctionnement générateur, dans lequel la machine électrique convertit l’énergie mécanique de rotation du moteur thermique en énergie électrique stockée dans la batterie. Notamment, la machine électrique et la batterie permettent d’alimenter en énergie électrique le réseau électrique du véhicule afin d’alimenter en tension continue divers équipements du véhicule. Dans le cas d’une machine électrique triphasée, la machine électrique comprend trois bobines. Afin de piloter la machine électrique, un onduleur est connecté entre la batterie et la machine électrique. Dans le cas présent, l’onduleur est apte à générer trois courants différents déphasés les uns par rapport aux autres, à partir de la tension fournie par la batterie. Chaque courant généré permet d’alimenter une bobine de la machine électrique. Pour générer les trois courants alternatifs, l’onduleur comprend trois niveaux de puissance. Chaque niveau de puissance comprend un premier transistor MOSFET dit « haut » puisque son drain est connecté à la batterie et un deuxième transistor MOSFET dit « bas » puisque sa source est reliée à la masse. Le drain du transistor bas est relié à la source du transistor haut. C’est au point milieu reliant les deux transistors qu’est généré le courant pour alimenter la bobine correspondante de la machine électrique. De plus, une unité de contrôle est apte à commander chaque transistor de l’onduleur afin de modifier la phase ou l’amplitude du courant généré sur chaque point milieu. Lorsque la machine électrique fonctionne selon le mode générateur, de l’énergie électrique circule de la machine électrique vers la batterie pour recharger la batterie. Cependant, lorsque la batterie est complétement chargée, si l’onduleur dysfonctionne, il est possible que le courant circule tout de même depuis la machine électrique vers la batterie, pouvant provoquer une surcharge de la batterie et donc une détérioration de la batterie. Ainsi, un module de protection est monté dans le véhicule afin de protéger la batterie lorsqu’un dysfonctionnement est détecté. De manière connue, le module de protection comprend trois transistors de protection, chaque transistor de protection étant relié à un point milieu qui lui est propre. Le module de protection est également contrôlé par l’unité de contrôle. Lorsqu’un dysfonctionnement est détecté sur un transistor haut ou bas, l’unité de contrôle commande les trois transistors de protection de sorte qu’ils relient les points milieux entre eux, empêchant ainsi le courant de circuler vers la batterie. Cependant, il est également nécessaire d’effectuer le diagnostic du module de protection et plus précisément de chaque transistor de protection. Pour cela, il est connu de mesurer le courant dans chaque branche reliant chaque transistor de sécurité au point milieu correspondant. Ainsi l’unité de contrôle peut vérifier si la variation du courant dans chacune des branches correspond à la commande émise à chaque transistor de protection. Dans le cas contraire, l’unité de contrôle détecte un dysfonctionnement d’un transistor de protection. Dans cette solution, il est donc nécessaire d’installer une pluralité de dispositifs de mesure de courant, cela étant contraignant, fastidieux et couteux en termes de composant et de montage. Il existe donc le besoin d’une solution permettant de pallier au moins en partie, les inconvénients cités précédemment. A cette fin, l’invention concerne un module de sécurité pour onduleur de véhicule automobile, le véhicule comprenant une batterie, l’onduleur comprenant au moins deux circuits de puissance, chaque circuit de puissance comprenant un premier interrupteur dit «haut », connecté entre la batterie et un point milieu propre audit circuit de puissance, et un deuxième interrupteur dit « bas », connecté entre le point milieu et une masse, chaque circuit de puissance étant apte à fournir un courant alternatif en son point milieu, le module de sécurité comprenant une unité de contrôle et au moins deux interrupteurs de sécurité, chaque interrupteur de sécurité étant associé à un circuit de puissance et étant relié entre le point milieu du circuit de puissance auquel il est associé et un point dit « de mesure », le point de mesure étant commun aux interrupteurs de sécurité, l’unité de contrôle étant apte à commander chaque interrupteur de sécurité et étant remarquable en ce qu’elle est configurée pour mesurer la tension au point de mesure et pour détecter un dysfonctionnement de fermeture d’un interrupteur de sécurité si : une commande de fermeture a été émise audit interrupteur de sécurité, les autres interrupteurs de sécurité étant ouverts, et la tension au point de mesure est négative. Ainsi l’unité de contrôle du module de sécurité permet de vérifier l’état de fonctionnement de la fermeture d’un interrupteur de sécurité, en utilisant seulement un point de mesure et à partir d’une seule valeur de tension mesurée. Le montage d’un dispositif de mesure de tension commun à tous les interrupteurs de sécurité est plus simple que le montage d’un dispositif de mesure en courant pour chaque interrupteur de sécurité. De plus, le fait de ne monter qu’un seul dispositif de mesure de tension est moins onéreux que de monter plusieurs dispositifs de mesure en courant. Enfin, l’unité de contrôle permet de déterminer en temps réel, si un interrupteur de sécurité présente un dysfonctionnement de fermeture. De préférence, l’unité de contrôle est configurée pour déterminer un laps de temps où tous les interrupteurs hauts ou tous les interrupteurs bas sont fermés, l’unité de contrôle étant apte à effectuer la détection d’un dysfonctionnement de fermeture d’un interrupteur de sécurité pendant le laps de temps déterminé. Ainsi, l’unité de contrôle est apte à déterminer un laps de temps pendant lequel effectuer le diagnostic des interrupteurs de sécurité, sans pour autant perturber le fonctionnement normal de l’onduleur. De préférence, les interrupteurs de sécurité sont des transistors, de préférence de type MOSFET ou bipolaire. Puisque chaque transistor est doté d’une capacité intrinsèque, par exemple entre la source et le drain pour un transistor de type MOSFET, il n’est pas nécessaire d’ajouter une capacité supplémentaire aux bornes de l’interrupteur. Selon une autre forme de réalisation, dans le cas où chaque transistor ne comprend pas de capacité intrinsèque, une capacité externe est ajoutée en parallèle de chaque transistor. De préférence encore, l’unité de contrôle est apte à détecter un dysfonctionnement d’ouverture d’un interrupteur de sécurité si un court-circuit est détecté entre deux points milieu parmi les points milieu. Ainsi, l’unité de contrôle du module de sécurité permet de détecter à la fois un dysfonctionnement de fermeture et un dysfonctionnement d’ouverture d’un interrupteur de sécurité. L’invention concerne également un véhicule automobile comprenant une batterie et un onduleur, l’onduleur comprenant au moins deux circuits de puissance, chaque circuit de puissance comprenant un premier interrupteur dit «haut », connecté entre la batterie et un point milieu propre audit circuit de puissance, et un deuxième interrupteur dit « bas », connecté entre le point milieu et une masse, chaque circuit de puissance étant apte à fournir un courant alternatif en son point milieu, le véhicule étant remarquable en ce qu’il comprend un module de sécurité tel que décrit précédemment. L’invention concerne également un procédé de diagnostic pour véhicule automobile tel que présenté précédemment, le procédé étant mis en œuvre par l’unité de contrôle et comprenant une phase de vérification du fonctionnement de la fermeture d’un interrupteur de sécurité comprenant les étapes : a) d’envoi d’une commande de fermeture à un interrupteur de sécurité, les autres interrupteurs étant ouverts, b) de mesure de la tension au point de mesure suite à l’étape d’envoi d’une commande de fermeture, c) de détection d’un dysfonctionnement de fermeture de l’interrupteur de sécurité ayant reçu la commande de fermeture, si la tension mesurée est strictement négative. Ainsi le procédé permet de détecter en temps réel si un des interrupteurs de sécurité est défaillant et n’est plus apte à se fermer correctement, en utilisant seulement un point de mesure et à partir d’une seule valeur de tension. De préférence, la phase de vérification du fonctionnement de la fermeture d’un interrupteur de sécurité est réitérée pour chaque interrupteur de sécurité. Ainsi le procédé permet de vérifier si chacun des interrupteurs de sécurité est apte à se fermer correctement, en utilisant seulement un point de mesure et à partir d’une seule valeur de tension. De préférence encore, le procédé comprend avant la phase de vérification, une étape préalable de détermination du laps de temps sur lequel réaliser le diagnostic des interrupteurs de sécurité, correspondant à un laps de temps où tous les interrupteurs hauts, ou les interrupteurs bas, sont ouverts. Ainsi le procédé est apte à déterminer un laps de temps pendant lequel effectuer le diagnostic des interrupteurs de sécurité, sans pour autant perturber le fonctionnement normal de l’onduleur. De manière avantageuse, le procédé comprend, après chaque étape de détection, une étape d’avertissement de la détection d’un dysfonctionnement sur un interrupteur de sécurité, via un voyant lumineux s’affichant sur le tableau de bord du véhicule ou via un signal sonore. De cette façon, l’utilisateur du véhicule est prévenu du dysfonctionnement et de la nécessité de remplacer un ou des interrupteurs de sécurité. L’invention concerne également un programme d’ordinateur remarquable en ce qu’il comporte un ensemble d’instructions de code de programme qui, lorsqu’elles sont exécutées par un ou plusieurs processeurs, configurent le ou les processeurs pour mettre en œuvre un procédé tel que présenté précédemment. D’autres caractéristiques et avantages de l’invention apparaîtront encore à la lecture de la description qui va suivre. Celle-ci est purement illustrative et doit être lue en regard des dessins annexés sur lesquels : La est une vue schématique d’un ensemble comprenant une batterie, un onduleur, une machine électrique et un module de sécurité selon l’invention. La est une vue détaillée d’une partie de l’onduleur, du module de sécurité et de la machine électrique selon la . La est une représentation schématique du procédé selon l’invention. Module de sécurité (40) pour onduleur (20) de véhicule automobile, le véhicule comprenant une batterie (10), l’onduleur (20) comprenant au moins deux circuits de puissance (C1, C2, C3), chaque circuit de puissance (C1, C2, C3) comprenant un premier interrupteur dit «haut » (I h 1 , I h 2 , I h 3 ), connecté entre la batterie (10) et un point milieu (PM1, PM2, PM3) propre audit circuit de puissance (C1, C2, C3), et un deuxième interrupteur dit « bas » (I l1 , I l2 , I l3 ), connecté entre le point milieu (PM1, PM2, PM3) et une masse, chaque circuit de puissance (C1, C2, C3) étant apte à fournir un courant alternatif en son point milieu (PM1, PM2, PM3), le module de sécurité (40) comprenant une unité de contrôle (42) et au moins deux interrupteurs de sécurité (I1, I2, I3), chaque interrupteur de sécurité (I1, I2, I3) étant associé à un circuit de puissance (C1, C2, C3) et étant relié entre le point milieu (PM1, PM2, PM3) du circuit de puissance (C1, C2, C3) auquel il est associé et un point dit « de mesure » (P), le point de mesure (P) étant commun aux interrupteurs de sécurité (I1, I2, I3), l’unité de contrôle (42) étant apte à commander chaque interrupteur de sécurité (I1, I2, I3) et étant caractérisée en ce qu’elle est configurée pour mesurer la tension au point de mesure (P) et pour détecter un dysfonctionnement de fermeture d’un interrupteur de sécurité (I1, I2, I3) si : une commande de fermeture a été émise audit interrupteur de sécurité (I1, I2, I3), les autres interrupteurs de sécurité étant ouverts, et la tension au point de mesure (P) est négative. Module de sécurité (40) selon la revendication précédente, dans lequel l’unité de contrôle (42) est configurée pour déterminer un laps de temps où tous les interrupteurs hauts (I h1 , I h2 , I h3 ) ou tous les interrupteurs bas (I l1 , I l2 , I l3 ) sont fermés, l’unité de contrôle (42) étant apte à effectuer la détection d’un dysfonctionnement de fermeture d’un interrupteur de sécurité (I1, I2, I3) pendant le laps de temps déterminé. Module de sécurité (40) selon l’une quelconque des revendications précédentes, dans lequel les interrupteurs de sécurité (I1, I2, I3) sont des transistors, de préférence de type MOSFET ou bipolaire. Module de sécurité (40) selon l’une quelconque des revendications précédentes, dans lequel l’unité de contrôle (42) est apte à détecter un dysfonctionnement d’ouverture d’un interrupteur de sécurité (I1, I2, I3) si un court-circuit est détecté entre deux points milieu parmi les points milieu (PM1, PM2, PM3). Véhicule automobile comprenant une batterie (10) et un onduleur (20), l’onduleur (20) comprenant au moins deux circuits de puissance (C1, C2, C3), chaque circuit de puissance (C1, C2, C3) comprenant un premier interrupteur dit «haut » (I h 1 , I h 2 , I h 3 ), connecté entre la batterie (10) et un point milieu (PM1, PM2, PM3) propre audit circuit de puissance (C1, C2, C3), et un deuxième interrupteur dit « bas » (I l1 , I l2 , I l3 ), connecté entre le point milieu (PM1, PM2, PM3) et une masse, chaque circuit de puissance (C1, C2, C3) étant apte à fournir un courant alternatif en son point milieu (PM1, PM2, PM3), le véhicule étant caractérisé en ce qu’il comprend un module de sécurité (40) selon l’une quelconque des revendications précédentes. Procédé de diagnostic pour véhicule automobile selon la revendication précédente, le procédé étant mis en œuvre par l’unité de contrôle (40) et comprenant une phase (P2) de vérification du fonctionnement de la fermeture d’un interrupteur de sécurité (I1, I2, I3) comprenant les étapes : d’envoi d’une commande de fermeture (E21) à un interrupteur de sécurité (I1, I2, I3), les autres interrupteurs étant ouverts, de mesure (E22) de la tension au point de mesure (P) suite à l’étape d’envoi d’une commande de fermeture (E21), de détection d’un dysfonctionnement de fermeture (E23) de l’interrupteur de sécurité (I1, I2, I3) ayant reçu la commande de fermeture, si la tension mesurée est strictement négative. Procédé selon la revendication précédente, dans lequel la phase (P2) de vérification du fonctionnement de la fermeture d’un interrupteur de sécurité (I1, I2, I3) est réitérée pour chaque interrupteur de sécurité (I1, I2, I3). Procédé selon l’une quelconque des revendications 6 ou 7, comprenant, avant la phase (P2) de vérification, une étape préalable (E0) de détermination du laps de temps sur lequel réaliser le diagnostic des interrupteurs de sécurité (I1, I2, I3), correspondant à un laps de temps où tous les interrupteurs hauts (I h1 , I h2 , I h3 ), ou les interrupteurs bas (I l1 , I l2 , I l3 ), sont fermés. Procédé selon l’une quelconque des revendications 6 à 8, comprenant après chaque étape de détection (E23), une étape d’avertissement (E24) de la détection d’un dysfonctionnement sur un interrupteur de sécurité (I1, I2, I3), via un voyant lumineux s’affichant sur le tableau de bord du véhicule ou via un signal sonore. Produit programme d’ordinateur caractérisé en ce qu’il comporte un ensemble d’instructions de code de programme qui, lorsqu’elles sont exécutées par un ou plusieurs processeurs, configurent le ou les processeurs pour mettre en œuvre un procédé selon l’une quelconques des revendications 6 à 9.