FR 3154257 A1 20250418 FR 2310963 A 20231012 L’invention concerne un dispositif de commande (10) pour un convertisseur (8) agencé entre une batterie (4) et un réseau de bord (6), le dispositif de commande comprenant un module de commande (15), un module de pilotage (16) et un module de sécurité (17) : le module de commande étant configuré pour délivrer un signal (S T ) de commande du convertisseur ; le module de pilotage étant configuré pour appliquer, au convertisseur, un signal de pilotage (S R ) fonction du signal de commande, le module de commande étant configuré pour, en cas de surtension sur le réseau de bord, commander une suspension de transfert d'énergie électrique par le convertisseur ; le module de sécurité étant configuré pour, en réponse à la surtension : vérifier une conformité du signal de pilotage avec ladite suspension ; et déclencher un arrêt du convertisseur en cas de non conformité. Figure 1 Dispositif de commande de convertisseur, véhicule et procédé de commande associés La présente invention concerne un dispositif de commande pour un convertisseur destiné à être embarqué à bord d’un véhicule automobile et agencé en utilisation entre un réseau haute tension du véhicule automobile, associé à une première tension continue, et un réseau basse tension du véhicule automobile, associé à une deuxième tension continue inférieure à la première tension. L’invention concerne également un véhicule comprenant un tel dispositif de commande, un procédé de commande et un programme d’ordinateur. L’invention s’applique au domaine des véhicules, et plus spécifiquement des véhicules électriques comprenant une batterie destinée à alimenter un circuit de bord du véhicule. État de la technique Dans le domaine des véhicules électriques, notamment celui des automobiles électriques, il est connu d’avoir recours à un convertisseur pour transférer de la puissance électrique entre une batterie embarquée à bord du véhicule et un réseau de bord du véhicule. En particulier, un tel convertisseur est destiné à convertir une première tension continue (dite « haute tension », typiquement de l’ordre de 400 V), fournie par la batterie, en une deuxième tension continue (dite « basse tension », par exemple 12 V), disponible pour les équipements électriques reliés au réseau de bord. Afin de protéger les organes électriques connectés au réseau de bord, il est connu de détecter des surtensions en sortie du convertisseur, et de fournir une réponse à une telle situation en fonction d’une cause supposée de la surtension. Plus spécifiquement, si la surtension résulte d’un dysfonctionnement du convertisseur, l’arrêt du convertisseur est requis. À l’inverse, si la surtension est due à un défaut externe au convertisseur, l’interruption du transfert d’énergie électrique est souhaitable, mais le convertisseur doit être prêt à transférer de nouveau de l’énergie électrique dès la disparition de la surtension. L’origine de la surtension doit donc être déterminée sans ambiguïté. De façon classique, pour déterminer l’origine de la surtension, il est connu de surveiller, au moyen d’un capteur de courant, un signe du courant délivré par le convertisseur au réseau de bord : un courant positif (c’est-à-dire circulant depuis le convertisseur vers le réseau de bord) est considéré comme indicatif d'un défaut du convertisseur lui-même. Néanmoins, un tel procédé ne donne pas entière satisfaction. En effet, en cas de panne du capteur de courant, il n’est plus possible de déterminer de façon fiable la cause de la surtension. Un but de la présente invention est de remédier à au moins un des inconvénients de l’état de la technique. Un autre but de l’invention est de proposer un dispositif qui soit en mesure de déterminer de façon plus fiable l’origine de la surtension, même en cas de panne du capteur de courant. Un autre but de l’invention est de proposer un dispositif qui réponde de façon efficace à la surtension. À cet effet, l’invention concerne un dispositif de commande du type précité, comprenant un module de commande, un module de pilotage et un module de sécurité : le module de commande étant configuré pour délivrer un signal de commande associé à une consigne de fonctionnement du convertisseur, notamment un fonctionnement suivant un premier mode de fonctionnement dans lequel le convertisseur transfère de l’énergie électrique depuis le réseau haute tension vers le réseau basse tension, le module de pilotage étant configuré pour appliquer, au convertisseur, un signal de pilotage fonction du signal de commande, de manière à piloter le convertisseur conformément à la consigne de fonctionnement, le module de commande étant, en outre, configuré pour, en réponse à la détection d’une surtension au niveau du réseau basse tension durant le premier mode de fonctionnement, délivrer un signal de commande d’une suspension du transfert d'énergie électrique du réseau haute tension vers le réseau basse tension par le convertisseur ; le module de sécurité étant configuré pour, en réponse à la détection d’une surtension au niveau du réseau basse tension durant le premier mode de fonctionnement : vérifier une conformité du signal de pilotage avec une suspension du transfert d'énergie électrique du réseau haute tension vers le réseau basse tension par le convertisseur ; et déclencher un arrêt du convertisseur en cas de discordance entre le signal de pilotage et ladite suspension du transfert d'énergie électrique. En effet, grâce à la vérification de la conformité (ou non) du signal de pilotage avec la suspension du transfert d'énergie électrique, il devient possible de déterminer si la surtension résulte d’un dysfonctionnement du convertisseur, et ce sans recourir à une mesure du courant délivré par le convertisseur au réseau basse tension. Le déclenchement d’une réponse appropriée (par exemple, l’arrêt du convertisseur) est alors envisageable. De façon avantageuse, le dispositif de commande selon l’invention présente une ou plusieurs des caractéristiques suivantes, prises isolément ou selon toute combinaison techniquement possible : le dispositif de commande comprend, en outre, un capteur de tension configuré pour délivrer un signal de mesure de tension indicatif d’une tension du réseau basse tension ; le dispositif de commande est également configuré pour, en cas de détection d’une surtension au niveau du réseau basse tension durant le premier mode de fonctionnement : déterminer un signe d’un courant circulant depuis le convertisseur vers le réseau basse tension ; et déclencher l’arrêt du convertisseur si ledit courant est positif ; Le dispositif de commande est également configuré pour, en réponse à la détection d’une surtension au niveau du réseau basse tension durant le premier mode de fonctionnement et en cas de concordance entre le signal de pilotage et ladite suspension du transfert d'énergie électrique, piloter le convertisseur suivant un deuxième mode de fonctionnement pour amener le convertisseur à transférer de l’énergie électrique depuis le réseau basse tension vers le réseau haute tension. Le dispositif selon l’invention peut être tout type d’appareil tel qu’un serveur, un ordinateur, une tablette, un calculateur, un processeur, une puce informatique, programmé pour mettre en œuvre le procédé selon l’invention, par exemple en exécutant le programme d’ordinateur selon l’invention. Selon un autre aspect de l’invention, il est proposé un véhicule comprenant un dispositif de commande tel que défini ci-dessus, une batterie formant le réseau haute tension, un réseau de bord formant le réseau basse tension, et un convertisseur connecté entre la batterie et le réseau de bord, le dispositif de commande étant relié au convertisseur pour piloter le fonctionnement du convertisseur. Selon un autre aspect de l’invention, il est proposé un procédé de commande d’un convertisseur embarqué à bord d’un véhicule automobile et agencé entre un réseau haute tension du véhicule automobile, associé à une première tension continue, et un réseau basse tension du véhicule automobile, associé à une deuxième tension continue inférieure à la première tension, le procédé de commande comprenant les étapes : fourniture en sortie, par un module de commande, d’un signal de commande associé à une consigne de fonctionnement du convertisseur, notamment suivant un premier mode de fonctionnement dans lequel le convertisseur transfère de l’énergie électrique depuis le réseau haute tension vers le réseau basse tension ; et application, au convertisseur, par un module de pilotage, d’un signal de pilotage fonction du signal de commande, pour piloter le convertisseur conformément à la consigne de fonctionnement, le procédé de commande comportant, en outre, en réponse à la détection d’une surtension au niveau du réseau basse tension durant le premier mode de fonctionnement, les étapes : fourniture en sortie, par le module de commande, d’un signal de commande d’une suspension du transfert d'énergie électrique du réseau haute tension vers le réseau basse tension par le convertisseur ; vérification, par un module de sécurité distinct du module de commande et du module de pilotage d’une conformité du signal de pilotage avec une suspension du transfert d'énergie électrique du réseau haute tension vers le réseau basse tension par le convertisseur ; et déclenchement, par le module de sécurité, d’un arrêt du convertisseur en cas de discordance entre le signal de pilotage et ladite suspension du transfert d'énergie électrique. De façon avantageuse, le procédé de commande selon l’invention présente une ou plusieurs des caractéristiques suivantes, prises isolément ou selon toute combinaison techniquement possible : le procédé comprend également, en cas de détection d’une surtension au niveau du réseau basse tension lorsque le convertisseur est piloté suivant le premier mode de fonctionnement, les étapes : détermination d’un signe d’un courant circulant depuis le convertisseur vers le réseau basse tension ; et déclenchement de l’arrêt du convertisseur si ledit courant est positif ; le procédé comprend en outre, en cas de concordance entre le signal de commande et ladite suspension du transfert d'énergie électrique, un pilotage du convertisseur suivant un deuxième mode de fonctionnement pour amener le convertisseur à transférer de l’énergie électrique depuis le réseau basse tension vers le réseau haute tension ; le réseau haute tension est une batterie embarquée à bord d’un véhicule, et dans lequel le réseau basse tension est un réseau de bord du véhicule. Selon un autre aspect de l’invention, il est proposé un programme d’ordinateur comprenant des instructions exécutables qui, lorsqu’elles sont exécutées par ordinateur, mettent en œuvre les étapes du procédé tel que défini ci-dessus. Le programme d’ordinateur peut être en tout langage informatique, tel que par exemple en langage machine, en C, C++, JAVA, Python, etc. Brève description des figures L’invention sera mieux comprise à la lecture de la description qui va suivre, donnée uniquement à titre d’exemple non limitatif et faite en se référant aux dessins annexés sur lesquels : La FIG. 1 est une représentation schématique d’un véhicule selon l’invention. Il est bien entendu que les modes de réalisation qui seront décrits dans la suite ne sont nullement limitatifs. On pourra notamment imaginer des variantes de l’invention ne comprenant qu’une sélection de caractéristiques décrites par la suite isolées des autres caractéristiques décrites, si cette sélection de caractéristiques est suffisante pour conférer un avantage technique ou pour différencier l’invention par rapport à l’état de la technique antérieure. Cette sélection comprend au moins une caractéristique de préférence fonctionnelle sans détails structurels, ou avec seulement une partie des détails structurels si c'est cette partie qui est uniquement suffisante pour conférer un avantage technique ou pour différencier l’invention par rapport à l’état de la technique antérieure. En particulier toutes les variantes et tous les modes de réalisation décrits sont combinables entre eux si rien ne s’oppose à cette combinaison sur le plan technique. Description détaillée Un véhicule 2 selon l’invention est illustré par la FIG. 1 . Le véhicule 2 est, notamment, un véhicule électrique, ou encore un véhicule hybride. Par exemple, le véhicule 2 est une automobile. Le véhicule 2 embarque une batterie 4, un réseau de bord 6, un convertisseur 8 connecté entre la batterie 4 et le réseau de bord 6, et un dispositif de commande 10 relié au convertisseur 8. Le véhicule 2 comporte, en outre, un capteur de tension 11 configuré pour délivrer un signal de mesure de tension indicatif d’une tension du réseau de bord 6. De façon optionnelle, le véhicule 2 comporte également un capteur de courant 12 configuré pour délivrer un signal de mesure de courant indicatif d’une intensité d’un courant circulant depuis le convertisseur 8 vers le réseau de bord 6. La batterie 4 est configurée pour stocker de l’énergie électrique, et est connectée à des premières bornes 13 du convertisseur 8. La batterie 4 est associée à une première tension continue, en particulier la tension nominale de la batterie 4 (par exemple de l’ordre de 400 V), formant ainsi un premier réseau électrique, dit « réseau haute tension ». Le réseau de bord 6 est connecté à des deuxièmes bornes 14 du convertisseur 8, et est, par exemple, destiné à alimenter des appareils électriques embarqués à bord du véhicule 2. Le réseau de bord 6 est associé à une deuxième tension continue, en particulier la tension nominale (par exemple, 12 V) de fonctionnement des appareils électriques embarqués (par exemple, une batterie dite « basse tension »), formant ainsi un deuxième réseau électrique, dit « réseau basse tension ». Le convertisseur 8 est adapté pour transférer de l’énergie électrique entre le réseau haute tension et le réseau basse tension, c’est-à-dire entre la batterie 4 et le réseau de bord 6. Par exemple, le convertisseur 8 comprend un onduleur, un transformateur et un redresseur étagés dans cet ordre entre la batterie 4 et le réseau de bord 6. De façon classique, l’onduleur comprend des éléments de commutation, par exemple des paires de transistors MOSFET (de l’anglais « Metal-Oxide-Semiconductor Field-Effect Transistor », ou transistor à effet de champ à grille isolée) tête-bêche, aptes à être commandés par modulation de largeur d'impulsion (en anglais « Pulse Width Modulation », ou PWM) afin de générer une tension alternative à partir d’une tension continue. En outre, le transformateur est associé à un taux de réduction, et est adapté pour convertir une tension d’entrée alternative provenant de l’onduleur en une tension de sortie alternative telle que le rapport entre l’amplitude de la tension d’entrée et l’amplitude de la tension de sortie est égal au taux de réduction. Enfin, le redresseur est configuré pour transformer la tension de sortie alternative du transformateur en une tension continue. De façon préférée, le convertisseur 8 est bidirectionnel, c’est-à-dire qu’il est adapté pour transférer de l’énergie électrique du réseau haute tension vers le réseau basse tension, mais également du réseau basse tension vers le réseau haute tension, suivant la façon dont le convertisseur 8 est piloté. Comme mentionné précédemment, le dispositif de commande 10 est relié au convertisseur 8, et ce pour piloter le fonctionnement du convertisseur 8. Plus précisément, le dispositif de commande 10 comprend un module de commande 15, un module de pilotage 16 et un module de sécurité 17 distincts les uns des autres. Une sortie du module de commande 15 est reliée en entrée du module de pilotage 16 pour l’acheminement d’un signal de commande S T . En outre, une sortie du module de pilotage 16 est connectée au convertisseur 8 pour l’acheminement d’un signal de pilotage S R . Enfin, le module de sécurité 17 est connecté au module de pilotage 16 pour recevoir le signal de pilotage S R . En outre, une sortie du module de sécurité 17 est reliée au convertisseur 8 pour l’acheminement d’un signal d’arrêt S A . Une entrée du module de sécurité 17 est, en outre, reliée au capteur de tension 11 pour recevoir le signal de mesure de tension. Le module de commande 15 est configuré pour déterminer et générer le signal de commande S T en vue de piloter le convertisseur 8 conformément à une consigne de fonctionnement correspondante. Notamment, le signal de commande S T est associé à une consigne de fonctionnement du convertisseur 8 suivant un premier mode de fonctionnement dans lequel le convertisseur 8 transfère de l’énergie électrique depuis le réseau haute tension (c’est-à-dire depuis la batterie 4) vers le réseau basse tension (c’est-à-dire vers le réseau de bord 6). En outre, et de façon classique, le module de pilotage 16 est configuré pour déterminer le signal de pilotage S R à partir du signal de commande S T reçu en provenance du module de commande 15. Un tel signal de pilotage S R comprend des signaux électriques adaptés pour piloter un fonctionnement du convertisseur 8, en particulier pour piloter l’état passant ou bloqué, en fonction du temps, des éléments de commutation du convertisseur 8. En outre, le module de commande 15 est configuré pour surveiller l’évolution du signal de mesure de tension du réseau de bord 6 délivré par le capteur de tension 11. Le module de commande 15 est également configuré pour, en cas de détection d’une surtension au niveau du réseau de bord 6 pendant que le convertisseur 8 est piloté suivant le premier mode de fonctionnement, envoyer, à destination du convertisseur 8, un signal de commande S T indicatif d’une commande de suspension du transfert d'énergie électrique du réseau haute tension vers le réseau basse tension. Par « surtension au niveau du réseau de bord », il est entendu, au sens de la présente invention, une situation dans laquelle la tension courante du réseau de bord 6 est supérieure à la deuxième tension, l’écart entre la tension du réseau de bord et la deuxième tension excédant un écart maximal tolérable prédéterminé. Une telle commande de suspension vise à mettre les éléments de commutation du convertisseur 8 dans un état bloqué (c’est-à-dire non passant). Le module de sécurité 17, distinct module de commande 15 et du module de pilotage 16, est configuré pour surveiller l’évolution du signal de mesure de tension du réseau de bord 6 délivré par le capteur de tension 11. Le module de sécurité 17 est également configuré pour, en cas de détection d’une surtension au niveau du réseau de bord 6 pendant que le convertisseur 8 est piloté suivant le premier mode de fonctionnement, vérifier une conformité du signal de pilotage S R délivré par le module de pilotage 16 avec une suspension du transfert d'énergie électrique de la batterie 4 vers le réseau de bord 6 par le convertisseur 8 (c’est-à-dire vérifier que le signal de pilotage S R est bien destiné à interrompre ledit transfert d’énergie). Par exemple, le module de sécurité 17 est configuré pour calculer le signal de pilotage correspondant à une telle suspension du transfert d'énergie, et pour vérifier que le signal de pilotage S R reçu en provenance du module de pilotage 16 est identique au signal de pilotage calculé. En particulier, dans une situation de surtension au niveau du réseau de bord 6, le module de sécurité 17 est configuré pour vérifier que le signal de pilotage S R réellement délivré par le module de pilotage 16 est bien apte à piloter la mise à l’état bloqué des éléments de commutation du convertisseur 8. En outre, le module de sécurité 17 est configuré pour déclencher, c’est-à-dire causer, l’arrêt du convertisseur 8 en cas de discordance entre le signal de pilotage S R et ladite suspension du transfert d'énergie électrique (c’est-à-dire dans le cas où le signal de pilotage S R ne pilote pas la suspension dudit transfert d’énergie électrique), de façon à empêcher tout transfert d’énergie électrique entre le convertisseur 8 et le réseau basse tension. Par exemple, pour déclencher l’arrêt du convertisseur 8, le module de sécurité 17 est configuré pour interrompre une alimentation des éléments de commutation du convertisseur 8, ce qui inhibe tout transfert d’énergie électrique entre le convertisseur 8 et le réseau basse tension. Avantageusement, le dispositif de commande 10 est configuré pour, en réponse à la détection d’une surtension au niveau du réseau de bord si, et en cas de concordance entre le signal de pilotage S R et ladite suspension du transfert d'énergie électrique, piloter le convertisseur 8 suivant un deuxième mode de fonctionnement pour amener le convertisseur 8 à transférer de l’énergie électrique depuis le réseau basse tension vers le réseau haute tension. Une telle caractéristique est avantageuse, dans la mesure où sa mise en œuvre contribue à absorber l’excédent d’énergie électrique présent sur le réseau de bord 6 et imputable à des dysfonctionnements externes au convertisseur 8. Une telle caractéristique est également avantageuse en ce qu’elle permet d’éliminer la surtension en toute sécurité (après avoir éliminé l’hypothèse d’un défaut interne). De préférence, le module de commande 15 est également configuré pour surveiller l’évolution du signal de mesure de courant délivré par le capteur de courant 12. Dans ce cas, en cas de détection d’une surtension au niveau du réseau de bord 6 lorsque le convertisseur 8 est piloté suivant le premier mode de fonctionnement, le module de commande 15 est également configuré pour déterminer, à partir du signal de mesure de courant, un signe du courant circulant depuis le convertisseur 8 vers le réseau basse tension. En outre, le dispositif de commande 10 est configuré pour déclencher l’arrêt du convertisseur 8 s’il est déterminé que ledit courant est positif, c’est-à-dire qu’il circule du convertisseur 8 vers le réseau de bord 6. Une telle caractéristique est avantageuse, dans la mesure où elle offre une sécurité supplémentaire en cas de surtension qui n’est pas due au convertisseur 8. Fonctionnement Le fonctionnement du dispositif de commande 10 va maintenant être décrit. En fonctionnement normal, le dispositif de commande 10 pilote le convertisseur 8 suivant le premier mode de fonctionnement pour transférer de l’énergie électrique depuis la batterie 4 vers le réseau de bord 6. En outre, le dispositif de commande 10, et en particulier le module de commande 15, surveille l’évolution du signal de mesure de tension délivré par le capteur de tension 11. En réponse à une surtension au niveau du réseau de bord 6 se produisant pendant que le convertisseur est piloté suivant le premier mode de fonctionnement, le module de commande 15 envoie, à destination du convertisseur 8, et par l’intermédiaire du module de pilotage 16, la commande de suspension du transfert d'énergie électrique de la batterie 4 vers le réseau de bord 6. En outre, le module de sécurité 17 vérifie que le signal de pilotage S R délivré par le module de pilotage 16 est conforme à une suspension du transfert d'énergie électrique de la batterie 4 vers le réseau de bord 6 par le convertisseur 8. En cas de discordance entre le signal de pilotage S R et ladite suspension du transfert d'énergie électrique, le module de sécurité 17 déclenche l’arrêt du convertisseur 8. Bien entendu l’invention n’est pas limitée aux exemples qui viennent d’être décrits. Dispositif de commande (10) pour un convertisseur (8) destiné à être embarqué à bord d’un véhicule automobile et agencé en utilisation entre un réseau haute tension (4) du véhicule automobile, associé à une première tension continue, et un réseau basse tension (6) du véhicule automobile, associé à une deuxième tension continue inférieure à la première tension, le dispositif de commande (10) comprenant un module de commande (15), un module de pilotage (16) et un module de sécurité (17) : le module de commande (15) étant configuré pour délivrer un signal de commande (S T ) associé à une consigne de fonctionnement du convertisseur (8), notamment un fonctionnement suivant un premier mode de fonctionnement dans lequel le convertisseur (8) transfère de l’énergie électrique depuis le réseau haute tension (4) vers le réseau basse tension (6), le module de pilotage (16) étant configuré pour appliquer, au convertisseur (8), un signal de pilotage (S R ) fonction du signal de commande (S T ), de manière à piloter le convertisseur (8) conformément à la consigne de fonctionnement, le module de commande (15) étant, en outre, configuré pour, en réponse à la détection d’une surtension au niveau du réseau basse tension (6) durant le premier mode de fonctionnement, délivrer un signal (S T ) de commande d’une suspension du transfert d'énergie électrique du réseau haute tension (4) vers le réseau basse tension (6) par le convertisseur (8) ; le module de sécurité (17) étant configuré pour, en réponse à la détection d’une surtension au niveau du réseau basse tension (6) durant le premier mode de fonctionnement : vérifier une conformité du signal de pilotage (S R ) avec une suspension du transfert d'énergie électrique du réseau haute tension (4) vers le réseau basse tension (6) par le convertisseur (8) ; et déclencher un arrêt du convertisseur (8) en cas de discordance entre le signal de pilotage (S R ) et ladite suspension du transfert d'énergie électrique. Dispositif de commande (10) selon la revendication 1, comprenant, en outre, un capteur de tension (11) configuré pour délivrer un signal de mesure de tension indicatif d’une tension du réseau basse tension (6). Dispositif de commande (10) selon la revendication 1 ou 2, également configuré pour, en cas de détection d’une surtension au niveau du réseau basse tension (6) durant le premier mode de fonctionnement : déterminer un signe d’un courant circulant depuis le convertisseur (8) vers le réseau basse tension (6) ; et déclencher l’arrêt du convertisseur (8) si ledit courant est positif. Dispositif de commande (10) selon l’une quelconque des revendications 1 à 3, également configuré pour, en réponse à la détection d’une surtension au niveau du réseau basse tension (6) durant le premier mode de fonctionnement et en cas de concordance entre le signal de pilotage (S R ) et ladite suspension du transfert d'énergie électrique, piloter le convertisseur (8) suivant un deuxième mode de fonctionnement pour amener le convertisseur (8) à transférer de l’énergie électrique depuis le réseau basse tension (6) vers le réseau haute tension (4). Véhicule (2) comprenant un dispositif de commande (10) selon l’une quelconque des revendications 1 à 4, une batterie formant le réseau haute tension (4), un réseau de bord formant le réseau basse tension (6), et un convertisseur (8) connecté entre la batterie et le réseau de bord, le dispositif de commande (10) étant relié au convertisseur (8) pour piloter le fonctionnement du convertisseur (8). Procédé de commande d’un convertisseur (8) embarqué à bord d’un véhicule automobile et agencé entre un réseau haute tension (4) du véhicule automobile, associé à une première tension continue, et un réseau basse tension (6) du véhicule automobile, associé à une deuxième tension continue inférieure à la première tension, le procédé de commande comprenant les étapes : fourniture en sortie, par un module de commande (15), d’un signal de commande (S T ) associé à une consigne de fonctionnement du convertisseur (8), notamment suivant un premier mode de fonctionnement dans lequel le convertisseur (8) transfère de l’énergie électrique depuis le réseau haute tension (4) vers le réseau basse tension (6) ; et application, au convertisseur (8), par un module de pilotage (16), d’un signal de pilotage (S R ) fonction du signal de commande (S T ), pour piloter le convertisseur (8) conformément à la consigne de fonctionnement, le procédé de commande comportant, en outre, en réponse à la détection d’une surtension au niveau du réseau basse tension (6) durant le premier mode de fonctionnement, les étapes : fourniture en sortie, par le module de commande (15), d’un signal (S T ) de commande d’une suspension du transfert d'énergie électrique du réseau haute tension (4) vers le réseau basse tension (6) par le convertisseur (8) ; vérification, par un module de sécurité (17) distinct du module de commande (15) et du module de pilotage (16) d’une conformité du signal de pilotage (S R ) avec une suspension du transfert d'énergie électrique du réseau haute tension (4) vers le réseau basse tension (6) par le convertisseur (8) ; et déclenchement, par le module de sécurité (17), d’un arrêt du convertisseur (8) en cas de discordance entre le signal de pilotage (S R ) et ladite suspension du transfert d'énergie électrique. Procédé selon la revendication 6, comprenant également, en cas de détection d’une surtension au niveau du réseau basse tension (6) lorsque le convertisseur (8) est piloté suivant le premier mode de fonctionnement, les étapes : détermination d’un signe d’un courant circulant depuis le convertisseur (8) vers le réseau basse tension (6) ; et déclenchement de l’arrêt du convertisseur (8) si ledit courant est positif. Procédé selon la revendication 6 ou 7, comprenant en outre, en cas de concordance entre le signal de commande (S T ) et ladite suspension du transfert d'énergie électrique, un pilotage du convertisseur (8) suivant un deuxième mode de fonctionnement pour amener le convertisseur (8) à transférer de l’énergie électrique depuis le réseau basse tension (6) vers le réseau haute tension (4). Procédé de commande selon l’une quelconque des revendications 6 à 8, dans lequel le réseau haute tension (4) est une batterie embarquée à bord d’un véhicule (2), et dans lequel le réseau basse tension (6) est un réseau de bord du véhicule (2). Programme d’ordinateur comprenant des instructions exécutables qui, lorsqu’elles sont exécutées par ordinateur, mettent en œuvre les étapes du procédé selon l’une quelconque des revendications 6 à 8.