MODULE DE SECURITE POUR ONDULEUR DE VEHICULE HYBRIDE

[Domaine technique]

[0001] L’invention concerne le domaine des véhicules hybrides et plus précisément un module de sécurité pour onduleur de véhicule hybride ou électrique.

[Etat de la technique antérieure]

[0002] De manière connue, un tel véhicule comprend un moteur thermique, une batterie et une machine électrique. La machine électrique est apte à fonctionner selon deux modes de fonctionnement : un mode de fonctionnement moteur, dans lequel la machine électrique convertit de l’énergie électrique fournie par la batterie en énergie mécanique afin de démarrer le moteur thermique, et un mode de fonctionnement générateur, dans lequel la machine électrique convertit l’énergie mécanique de rotation du moteur thermique en énergie électrique stockée dans la batterie.

[0003] Notamment, la machine électrique et la batterie permettent d’alimenter en énergie électrique le réseau électrique du véhicule afin d’alimenter en tension continue divers équipements du véhicule.

[0004] Dans le cas d’une machine électrique triphasée, la machine électrique comprend trois bobines.

[0005] Afin de piloter la machine électrique, un onduleur est connecté entre la batterie et la machine électrique. Dans le cas présent, l’onduleur est apte à générer trois courants différents déphasés les uns par rapport aux autres, à partir de la tension fournie par la batterie. Chaque courant généré permet d’alimenter une bobine de la machine électrique.

[0006] Pour générer les trois courants alternatifs, l’onduleur comprend trois niveaux de puissance. Chaque niveau de puissance comprend un premier transistor MOSFET dit « haut » puisque son drain est connecté à la batterie et un deuxième transistor MOSFET dit « bas » puisque sa source est reliée à la masse. Le drain du transistor bas est relié à la source du transistor haut. C’est au point milieu reliant les deux transistors qu’est généré le courant pour alimenter la bobine correspondante de la machine électrique.

[0007] De plus, une unité de contrôle est apte à commander chaque transistor de l’onduleur afin de modifier la phase ou l’amplitude du courant généré sur chaque point milieu.

[0008] Lorsque la machine électrique fonctionne selon le mode générateur, de l’énergie électrique circule de la machine électrique vers la batterie pour recharger la batterie. Cependant, lorsque la batterie est complètement chargée, si l’onduleur dysfonctionne, il est possible que le courant circule tout de même depuis la machine électrique vers la batterie, pouvant provoquer une surcharge de la batterie et donc une détérioration de la batterie. Ainsi, un module de protection est monté dans le véhicule afin de protéger la batterie lorsqu’un dysfonctionnement est détecté.

[0009] De manière connue, le module de protection comprend trois transistors de protection, chaque transistor de protection étant relié à un point milieu qui lui est propre. Le module de protection est également contrôlé par l’unité de contrôle. Lorsqu’un dysfonctionnement est détecté sur un transistor haut ou bas, l’unité de contrôle commande les trois transistors de protection de sorte qu’ils relient les points milieux entre eux, empêchant ainsi le courant de circuler vers la batterie.

[0010] Cependant, il est également nécessaire d’effectuer le diagnostic du module de protection et plus précisément de chaque transistor de protection. Pour cela, il est connu de mesurer le courant dans chaque branche reliant chaque transistor de sécurité au point milieu correspondant. Ainsi l’unité de contrôle peut vérifier si la variation du courant dans chacune des branches correspond à la commande émise à chaque transistor de protection. Dans le cas contraire, l’unité de contrôle détecte un dysfonctionnement d’un transistor de protection. Dans cette solution, il est donc nécessaire d’installer une pluralité de dispositifs de mesure de courant, cela étant contraignant, fastidieux et coûteux en termes de composant et de montage.

[0011] Il existe donc le besoin d’une solution permettant de pallier au moins en partie, les inconvénients cités précédemment.

[Exposé de l’invention]

[0012] A cette fin, l’invention concerne un module de sécurité pour onduleur de véhicule automobile, le véhicule comprenant une batterie, l’onduleur comprenant au moins deux circuits de puissance, chaque circuit de puissance comprenant un premier interrupteur dit «haut », connecté entre la batterie et un point milieu propre audit circuit de puissance, et un deuxième interrupteur dit « bas », connecté entre le point milieu et une masse, chaque circuit de puissance étant apte à fournir un courant alternatif en son point milieu, le module de sécurité comprenant une unité de contrôle et au moins deux interrupteurs de sécurité, chaque interrupteur de sécurité étant associé à un circuit de puissance et étant relié entre le point milieu du circuit de puissance auquel il est associé et un point dit « de mesure », le point de mesure étant commun aux interrupteurs de sécurité, l’unité de contrôle étant apte à commander chaque interrupteur de sécurité et étant remarquable en ce qu’elle est configurée pour mesurer la tension au point de mesure et pour détecter un dysfonctionnement de fermeture d’un interrupteur de sécurité si : a) une commande de fermeture a été émise audit interrupteur de sécurité, les autres interrupteurs de sécurité étant ouverts, b) et la tension au point de mesure est négative.

[0013] Ainsi l’unité de contrôle du module de sécurité permet de vérifier l’état de fonctionnement de la fermeture d’un interrupteur de sécurité, en utilisant seulement un point de mesure et à partir d’une seule valeur de tension mesurée. Le montage d’un dispositif de mesure de tension commun à tous les interrupteurs de sécurité est plus simple que le montage d’un dispositif de mesure en courant pour chaque interrupteur de sécurité. De plus, le fait de ne monter qu’un seul dispositif de mesure de tension est moins onéreux que de monter plusieurs dispositifs de mesure en courant. Enfin, l’unité de contrôle permet de déterminer en temps réel, si un interrupteur de sécurité présente un dysfonctionnement de fermeture.

[0014] De préférence, l’unité de contrôle est configurée pour déterminer un laps de temps où tous les interrupteurs hauts ou tous les interrupteurs bas sont fermés, l’unité de contrôle étant apte à effectuer la détection d’un dysfonctionnement de fermeture d’un interrupteur de sécurité pendant le laps de temps déterminé.

[0015] Ainsi, l’unité de contrôle est apte à déterminer un laps de temps pendant lequel effectuer le diagnostic des interrupteurs de sécurité, sans pour autant perturber le fonctionnement normal de l’onduleur.

[0016] De préférence, les interrupteurs de sécurité sont des transistors, de préférence de type MOSFET ou bipolaire. Puisque chaque transistor est doté d’une capacité intrinsèque, par exemple entre la source et le drain pour un transistor de type MOSFET, il n’est pas nécessaire d’ajouter une capacité supplémentaire aux bornes de l’interrupteur.

[0017] Selon une autre forme de réalisation, dans le cas où chaque transistor ne comprend pas de capacité intrinsèque, une capacité externe est ajoutée en parallèle de chaque transistor.

[0018] De préférence encore, l’unité de contrôle est apte à détecter un dysfonctionnement d’ouverture d’un interrupteur de sécurité si un court-circuit est détecté entre deux points milieu parmi les points milieu. [0019] Ainsi, l’unité de contrôle du module de sécurité permet de détecter à la fois un dysfonctionnement de fermeture et un dysfonctionnement d’ouverture d’un interrupteur de sécurité.

[0020] L’invention concerne également un véhicule automobile comprenant une batterie et un onduleur, l’onduleur comprenant au moins deux circuits de puissance, chaque circuit de puissance comprenant un premier interrupteur dit «haut », connecté entre la batterie et un point milieu propre audit circuit de puissance, et un deuxième interrupteur dit « bas », connecté entre le point milieu et une masse, chaque circuit de puissance étant apte à fournir un courant alternatif en son point milieu, le véhicule étant remarquable en ce qu’il comprend un module de sécurité tel que décrit précédemment.

[0021] L’invention concerne également un procédé de diagnostic pour véhicule automobile tel que présenté précédemment, le procédé étant mis en œuvre par l’unité de contrôle et comprenant une phase de vérification du fonctionnement de la fermeture d’un interrupteur de sécurité comprenant les étapes : a) d’envoi d’une commande de fermeture à un interrupteur de sécurité, les autres interrupteurs étant ouverts, b) de mesure de la tension au point de mesure suite à l’étape d’envoi d’une commande de fermeture, c) de détection d’un dysfonctionnement de fermeture de l’interrupteur de sécurité ayant reçu la commande de fermeture, si la tension mesurée est strictement négative.

[0022] Ainsi le procédé permet de détecter en temps réel si un des interrupteurs de sécurité est défaillant et n’est plus apte à se fermer correctement, en utilisant seulement un point de mesure et à partir d’une seule valeur de tension.

[0023] De préférence, la phase de vérification du fonctionnement de la fermeture d’un interrupteur de sécurité est réitérée pour chaque interrupteur de sécurité.

[0024] Ainsi le procédé permet de vérifier si chacun des interrupteurs de sécurité est apte à se fermer correctement, en utilisant seulement un point de mesure et à partir d’une seule valeur de tension.

[0025] De préférence encore, le procédé comprend avant la phase de vérification, une étape préalable de détermination du laps de temps sur lequel réaliser le diagnostic des interrupteurs de sécurité, correspondant à un laps de temps où tous les interrupteurs hauts, ou les interrupteurs bas, sont ouverts. [0026] Ainsi le procédé est apte à déterminer un laps de temps pendant lequel effectuer le diagnostic des interrupteurs de sécurité, sans pour autant perturber le fonctionnement normal de l’onduleur.

[0027] De manière avantageuse, le procédé comprend, après chaque étape de détection, une étape d’avertissement de la détection d’un dysfonctionnement sur un interrupteur de sécurité, via un voyant lumineux s’affichant sur le tableau de bord du véhicule ou via un signal sonore. De cette façon, l’utilisateur du véhicule est prévenu du dysfonctionnement et de la nécessité de remplacer un ou des interrupteurs de sécurité.

[0028] L’invention concerne également un programme d’ordinateur remarquable en ce qu’il comporte un ensemble d’instructions de code de programme qui, lorsqu’elles sont exécutées par un ou plusieurs processeurs, configurent le ou les processeurs pour mettre en œuvre un procédé tel que présenté précédemment.

[Description des dessins]

[0029] D’autres caractéristiques et avantages de l’invention apparaîtront encore à la lecture de la description qui va suivre. Celle-ci est purement illustrative et doit être lue en regard des dessins annexés sur lesquels :

[0030] [Fig 1] La figure 1 est une vue schématique d’un ensemble comprenant une batterie, un onduleur, une machine électrique et un module de sécurité selon l’invention.

[0031] [Fig 2] La figure 2 est une vue détaillée d’une partie de l’onduleur, du module de sécurité et de la machine électrique selon la figure 1 .

[0032] [Fig 3] La figure 3 est une représentation schématique du procédé selon l’invention.

[Description des modes de réalisation]

[0033] Véhicule

[0034] Il va maintenant être présenté une forme de réalisation du véhicule selon l’invention. En référence à la figure 1 , le véhicule est un véhicule hybride et comprend donc un moteur thermique, une batterie 10, une machine électrique M, un onduleur 20, une unité de commande 30 de l’onduleur 20 et un module de sécurité 40.

[0035] La batterie 10 est apte à fournir une tension continue afin d’alimenter en énergie électrique différents équipements montés dans le véhicule. Dans le cas présent, la batterie est notamment apte à alimenter la machine électrique M. [0036] La machine électrique M désigne notamment un moteur électrique à aimant permanent, ou plus communément appelé alterno-démarreur ou BSG pour « Belt Starter Generator » par l’homme du métier.

[0037] La machine électrique M est apte à fonctionner selon deux modes de fonctionnement : un mode de fonctionnement moteur, dans lequel la machine électrique M convertit de l’énergie électrique en énergie mécanique afin de démarrer le moteur thermique, et un mode de fonctionnement générateur, dans lequel la machine électrique M convertit l’énergie mécanique de rotation du moteur thermique en énergie électrique stockée dans la batterie 10.

[0038] De manière usuelle, une machine électrique M comprend au moins deux phases et un nombre de bobines identique au nombre de phases. Dans l’exemple présenté ci-après, la machine électrique M est triphasée et comprend trois bobines L1 , L2, L3.

[0039] L’onduleur 20 est connecté entre la batterie 10 et la machine électrique M afin de commander la machine électrique M.

[0040] L’onduleur 20 est apte à générer au moins un courant alternatif à partir de la tension fournie par la batterie 10. Chaque courant alternatif généré par l’onduleur 20 permet d’alimenter une bobine L1 , L2, L3 de la machine électrique M. Ainsi, puisque la machine électrique M comprend trois bobines L1 , L2, L3, l’onduleur 20 est apte à générer trois courants alternatifs, déphasés entre eux.

[0041] L’unité de commande 30 est apte à commander l’onduleur 20, afin de définir la conversion de la tension entre la batterie 10 et la machine électrique M.

[0042] Le module de sécurité 40 comprend un ensemble 41 d’interrupteurs dit « de sécurité », une unité de contrôle 42.

[0043] En référence à la figure 2, il est décrit la structure détaillée de l’onduleur 20 et du module de sécurité 40.

[0044] Pour générer chaque courant alternatif, l’onduleur 20 comprend un circuit dit « de puissance ». Selon l’exemple présenté ici, l’onduleur 20 est apte à générer trois courants alternatifs déphasés pour alimenter la machine électrique M et l’onduleur 20 comprend donc trois circuits de puissance C1 , C2, C3.

[0045] Chaque circuit de puissance C1 , C2, 03 comprend un premier interrupteur dit « haut » Ihi , Ih2, Ih3 et un deuxième interrupteur dit « bas » In, l| ₂ , lis. [0046] Le premier interrupteur l _h i, Ih2, Ihs de chaque circuit de puissance C1 , C2, C3 est connecté entre la batterie 10 et un point milieu PM1 , PM2, PM3 propre audit circuit de puissance C1 , C2, C3.

[0047] Le deuxième interrupteur In, h ₂ , lis de chaque circuit de puissance C1 , C2, C3 est connecté entre le point milieu PM1 , PM2, PM3 propre audit circuit de puissance C1 , C2, C3 et une masse.

[0048] Ainsi, pour chaque circuit de puissance C1 , C2, C3, le premier interrupteur Ihi , Ih2, l _h 3 et le deuxième interrupteur In, h ₂ , ssont connectés l’un à l’autre via le point milieu propre audit circuit de puissance C1 , C2, C3.

[0049] Chaque circuit de puissance C1 , C2, C3 génère ainsi un courant alternatif en son point milieu PM1 , PM2, PM3.

[0050] Ainsi, le point milieu PM 1 du premier circuit de puissance C1 est relié à la première bobine L1 de la machine électrique M, le deuxième point milieu PM2 du deuxième circuit de puissance C2 est relié à la deuxième bobine L2 et le troisième point milieu PM3 du troisième circuit de puissance C3 est relié à la troisième bobine L3.

[0051] De préférence, chaque interrupteur est un transistor par exemple de type MOSFET ou bipolaire. Selon l’exemple décrit, les interrupteurs sont de type MOSFET.

[0052] Selon une première forme de réalisation, chaque interrupteur comprend une capacité intrinsèque, par exemple connectée entre la source et le drain pour un transistor de type MOSFET. Ainsi, il n’est pas nécessaire d’ajouter une capacité supplémentaire aux bornes de l’interrupteur.

[0053] Selon une autre forme de réalisation, dans le cas où chaque interrupteur ne comprend pas de capacité intrinsèque, une capacité externe est ajoutée en parallèle de chaque interrupteur.

[0054] L’unité de commande 30 de l’onduleur 20 est apte à commander l’ouverture et la fermeture de chaque interrupteur haut l _h i, Ih2, Ih3 et chaque interrupteur bas In, h ₂ , h ₃ en fonction de l’amplitude et de la fréquence des courant alternatifs à fournir.

[0055] Plus précisément, toujours en référence à la figure 2, l’ensemble 41 comprend autant d’interrupteurs de sécurité que de circuits de puissance C1 , C2, C3. Chaque interrupteur de sécurité 11 , 12, 13 de l’ensemble 41 est associé à un circuit de puissance C1 , C2, C3. Par exemple le premier interrupteur de sécurité 11 est associé au premier circuit de puissance C1 et est relié entre le point milieu PM 1 du premier circuit de puissance C1 et un point dit « de mesure » P. Par analogie, le deuxième interrupteur de sécurité 12 est associé au deuxième circuit de puissance C2 et est relié entre le point milieu PM2 du deuxième circuit de puissance C2 et le point de mesure P. Enfin le troisième interrupteur de sécurité 13 est associé au troisième circuit de puissance C3 et est relié entre le point milieu PM3 du troisième circuit de puissance C3 et le point de mesure P. Le point de mesure P est donc commun à tous les interrupteurs de sécurité 11 , I2, I3.

[0056] L’unité de contrôle 42 est connectée à chaque interrupteur de sécurité 11 , I2, I3.

[0057] L’unité de contrôle 42 est apte à commander l’ouverture ou la fermeture de chaque interrupteur de sécurité 11 , I2, I3, simultanément ou indépendamment. Par défaut, lorsqu’aucun dysfonctionnement n’est pas détecté sur un interrupteur haut l _hi , Ih2, Ihs ou un interrupteur bas In, h ₂ , lis, les interrupteurs de sécurité 11 , I2, I3 sont ouverts. Par exemple, avant allumage de la machine électrique M, l’unité de contrôle 42 est configurée pour émettre une commande d’ouverture aux interrupteurs de sécurité 11 , I2, I3.

[0058] A l’inverse, lorsqu’un dysfonctionnement est détecté sur un interrupteur haut l _h i, l _h 2, Ihsou un interrupteur bas In, h ₂ , lis, l’unité de contrôle 42 est configurée pour émettre une commande de fermeture des interrupteurs de sécurité 11 , I2, I3, de sorte que le courant circulant dans les bobines L1 , L2, L3 soit dirigé vers les interrupteurs de sécurité 11 , I2, I3 et non vers la batterie 10, pour ainsi éviter toute détérioration de la batterie 10.

[0059] De plus, l’unité de contrôle 42 est apte à déterminer, en temps réel, un laps de temps où tous les interrupteurs hauts l _h i, Ih2, Ih3, ou les interrupteurs bas In, ₂ , l| ₃ , sont fermés. Pour cela, l’unité de contrôle 42 est apte à communiquer avec l’unité de commande 30 de l’onduleur 20, et est donc apte à savoir à quel instant l’unité de commande 30 a émis une commande de fermeture à tous les interrupteurs hauts l _h i, Ih2, Ih3, ou tous les interrupteurs bas In, ₂ , h ₃ .

[0060] L’unité de contrôle 42 est reliée au point de mesure P. L’unité de contrôle 42 est apte à mesurer la tension au point de mesure P.

[0061] Par ailleurs, l’unité de contrôle 42 est apte à vérifier à intervalle de temps régulier le fonctionnement des interrupteurs de sécurité 11 , I2, I3.

[0062] Selon une première forme de réalisation, l’unité de contrôle 42 est apte à détecter un dysfonctionnement d’ouverture d’un interrupteur de sécurité 11 , I2, I3 si un court-circuit est détecté entre deux points milieu parmi les points milieu PM1 , PM2, PM3. [0063] Selon une autre forme de réalisation, l’unité de contrôle 42 est apte à détecter un dysfonctionnement d’ouverture d’un interrupteur de sécurité 11 , I2, I3 si : a. une commande d’ouverture a été émise à tous les interrupteurs de sécurité 11 , I2, I3, b. la tension au point de mesure P n’est pas négative.

[0064] De plus, l’unité de contrôle 42 est apte à détecter un dysfonctionnement de fermeture d’un interrupteur de sécurité 11 , I2, I3 si : a. une commande de fermeture a été émise audit interrupteur de sécurité 11 , I2, I3, les autres interrupteurs étant ouverts, b. la tension au point de mesure P est négative.

[0065] L’unité de contrôle 42 comprend un processeur apte à mettre en œuvre un ensemble d’instructions permettant de réaliser ces fonctions.

[0066] Procédé

[0067] Il va maintenant être décrit une forme de réalisation du procédé de diagnostic des interrupteurs de sécurité 11 , I2, I3 du module de sécurité 40 selon l’invention.

[0068] Avant la mise en œuvre du procédé, l’ensemble des interrupteurs de sécurité 11 , I2, I3 sont ouverts. La machine électrique M fonctionne selon le mode moteur ou le mode générateur.

[0069] Le procédé comprend tout d’abord une étape préalable E0 de détermination du laps de temps sur lequel réaliser le diagnostic des interrupteurs de sécurité 11 , I2, I3. Pour cela, l’unité de contrôle 42 reçoit les commandes de fermeture émises par l’unité de commande 30 de l’onduleur 20 aux interrupteurs hauts l _hi , Ih2, Ih3, et aux interrupteurs bas In, Ii2, lis- L’unité de contrôle 42 est ainsi apte à déterminer, en temps réel, un laps de temps où tous les interrupteurs hauts l _h i, Ih2, Ih3, ou les interrupteurs bas In, l| ₂ , s, sont fermés.

[0070] Le procédé comprend une première phase P1 de vérification périodique du fonctionnement de l’ouverture des interrupteurs de sécurité 11 , I2, I3.

[0071] Selon un premier mode de réalisation, la première phase P1 comprend une étape de détection d’un dysfonctionnement d’ouverture sur un interrupteur de sécurité 11 , I2, I3 si un court-circuit est détecté entre deux points milieu parmi les points milieu PM1 , PM2, PM3.

[0072] Selon un deuxième mode de réalisation, la première phase P1 comprend une étape d’envoi E11 d’une commande d’ouverture à tous les interrupteurs de sécurité 11 , I2, I3 par l’unité de contrôle 42. Chaque interrupteur de sécurité 11 , I2, I3 reçoit donc la commande d’ouverture. Chaque interrupteur de sécurité 11 , I2, I3 doit donc s’ouvrir.

[0073] Toujours selon le deuxième mode de réalisation, la première phase P1 comprend également une étape de confirmation E12 du bon fonctionnement des interrupteurs de sécurité 11 , I2, I3 si la tension au point de mesure P est négative. Les étapes d’envoi E11 et de confirmation E12 sont répétés de manière périodique.

[0074] Suite à la première phase P1 et sur le laps de temps déterminé lors de l’étape préalable E0, le procédé comprend une deuxième phase P2 de vérification du fonctionnement de la fermeture de chaque interrupteur de sécurité 11 , I2, I3.

[0075] La deuxième phase P2 comprend une étape d’envoi d’une commande de fermeture E21 à un seul interrupteur de sécurité 11 , I2, I3 parmi les trois interrupteurs de sécurité 11 , 12, 13. L’interrupteur de sécurité 11 ou I2 ou I3 concerné reçoit donc la commande de fermeture et devrait se fermer tel que demandé par la commande.

[0076] La deuxième phase P2 comprend ensuite une étape de mesure E22 de la tension au point de mesure P suite à l’étape d’envoi d’une commande de fermeture E21 . Pour cela, l’unité de contrôle 42 mesure la tension au point de mesure P.

[0077] Le procédé comprend ensuite une étape de détection d’un dysfonctionnement de fermeture E23 de l’interrupteur de sécurité 11 , I2, I3 ayant reçu la commande de fermeture, si la tension mesurée est strictement négative. En effet, cela signifie que l’interrupteur de sécurité 11 , I2, I3 se comporte comme un interrupteur ouvert et non comme un interrupteur fermé.

[0078] A l’inverse, lorsque la tension mesurée est sensiblement nulle, cela signifie que l’interrupteur ayant reçu la commande de fermeture est correctement fermé.

[0079] Ainsi, l’étape d’envoi E21 , l’étape de mesure E22 et l’étape de détection d’un dysfonctionnement de fermeture E23 sont répétées pour chaque interrupteurs de sécurité 11 , I2, I3.

[0080] Ainsi, le procédé permet de détecter si il y a un dysfonctionnement sur chaque interrupteur de sécurité 11 , 12, 13 et à déterminer si cela correspond à un défaut de fermeture ou d’ouverture de l’interrupteur de sécurité 11 , I2, I3.

[0081] La deuxième phase du procédé peut ainsi également comprendre une étape d’avertissement E24 de la détection d’un dysfonctionnement sur un interrupteur de sécurité 11 , 12, I3, par exemple par un voyant lumineux s’affichant sur le tableau de bord du véhicule ou par un signal sonore. De cette façon, l’utilisateur sait qu’il faut remplacer le module de sécurité 40, ou du moins les interrupteurs de sécurité 42.