FR3101495A1

FR3101495A1 - Circuit d’inhibition d’un système embarqué dans un véhicule automobile, système embarqué, et véhicule automobile l’incorporant

Info

Publication number: FR3101495A1
Application number: FR1910664A
Authority: FR
Inventors: Jean-Claude Bert; Herve Perseval
Original assignee: PSA Automobiles SA
Current assignee: Stellantis Auto Sas Fr
Priority date: 2019-09-26
Filing date: 2019-09-26
Publication date: 2021-04-02

Abstract

Un circuit (1) d’inhibition par coupure d’alimentation électrique comprend un premier élément de commutation (10) à transistors MOSFET et un second élément de commutation (20) à transistors MOSFET, agencés en série, tête-bêche, et qui comprennent chacun un premier transistor MOSFET (MT_A1, MT_B1) et un second transistor MOSFET (MT_A2, MT_B2) agencés en série, tête-bêche. Le circuit comprend aussi deux contrôleurs (11,21), à savoir un pour chacun des éléments de commutation (10,20) redondés, afin d’isoler tout défaut pour pouvoir maintenir le circuit d’inhibition en état de fonctionnement en toutes circonstances et être ainsi conforme aux exigences de sécurité de type ASIL D. F igure pour l’abrégé : f ig ure 1

Description

Circuit d’inhibition d’un système embarqué dans un véhicule automobile, système embarqué, et véhicule automobile l’incorporant

La présente invention se rapporte de manière générale à la sécurité fonctionnelle et à la fiabilité des systèmes électriques et électroniques embarqués dans les véhicules automobiles, et notamment à la sécurité par interruption d’alimentation électrique de ces systèmes. Elle concerne plus particulièrement un circuit d’inhibition (« muting » en anglais) pour véhicule automobile, ainsi qu’un système embarqué dans un véhicule automobile qui comprend un tel circuit, et qu’un véhicule l’incorporant.

Etat de la technique

La sécurité fonctionnelle et la fiabilité des systèmes dans les véhicules automobiles, et notamment les systèmes d’aide à la conduite (aussi appelés ADAS, de l’anglais « Advanced Driver Assistance Systems ») est un problème complexe. En cas d’accident, en effet, la responsabilité juridique du constructeur peut être directement engagée. Or, la présence de ces systèmes tend à se généraliser dans les véhicules automobiles modernes, ce qui fait de la problématique du respect des objectifs de leur sécurité fonctionnelle et de leur fiabilité de de fonctionnement un enjeu important.

La redondance fonctionnelle et la remontée d’informations de diagnostique sont des mesures qui aident à maintenir le système (et donc le véhicule) dans un état sûr (« Safe state » en anglais). Un état sûr est un mode de fonctionnement dans lequel le système (la chaîne de traction par exemple), et donc le véhicule, présentent un niveau de risque acceptable. Concernant la chaîne de traction d’un véhicule électrique ou hybride, par exemple, les états sûrs admissibles sont le fonctionnement nominal ou, en cas de défaillance, la mise du véhicule en roue libre (avec un voyant allumé au tableau de bord pour prévenir le conducteur) ou encore le maintien du véhicule à l'arrêt (interdiction de démarrer) s'il était déjà dans cette configuration. L'interdiction de démarrage (pas de commande de couple au niveau de l’onduleur) est applicable lors de la phase de démarrage du véhicule (initialisation des calculateurs et tests préliminaires avant d'autoriser la traction).

Dans ce contexte, différentes normes ont vu le jour dont, en 2011, la norme ISO 26262 concernant la sécurité fonctionnelle des systèmes électriques et électroniques automobiles, qui est applicable à l’électronique programmable des ADAS. L'application de la norme IS0 26262 pour les systèmes embarqués dans les véhicules automobiles, par exemple, entraîne un fort accroissement des niveaux d'intégrité de sécurité automobile, ou ASIL (de l’anglais « Automotive Safety Integrity Level ») qui sont exigés pour valider les équipements et les fonctions mises en œuvre dans ces systèmes automobiles, dont notamment mais pas uniquement les ADAS. Cette norme impose de nouveaux protocoles d’évaluation de la sécurité des véhicules, qu’ils soient mis au point en Europe ou en Amérique du Nord. Ces équipements et ces fonctions sont cotés selon un niveau d'exigence en matière de sécurité, allant de ASIL A à ASIL D (D étant le niveau le plus critique), selon la Sévérité (S), l'Exposition (E) et la Contrôlabilité (C) de la situation dangereuse ou de l’évènement redouté (ER).

En particulier, les dispositifs de coupure (aussi appelés dispositifs d’inhibition) utilisés dans les véhicules pour couper l’alimentation par une batterie, notamment une batterie haute tension (de l’ordre de 400 Volts) fournissant l’énergie de traction à un groupe motopropulseur d’un véhicule électrique ou hybride, par exemple, devront bientôt satisfaire des exigences en matière de sécurité concernant des situations potentiellement à risque de type ASIL D. Ces exigences comprennent la faculté de couper l’alimentation électrique par une batterie en interrompant la circulation du courant dans les deux sens (depuis la batterie, et vers la batterie), afin d’isoler un équipement ou un accessoire considéré comme défectueux.

Une solution classique à base de relais présente pour inconvénients un nombre limité de commutations en raison de l’usure progressive des contacts, la nécessité d’une énergie relativement importante pour assurer les commutations, et en outre des problèmes de fiabilité du fait des pièces électromécaniques mises en œuvre dans les relais.

C’est pourquoi, pour réaliser la fonction de coupure dans des applications automobiles, on peut utiliser un circuit d’inhibition à base de transistors, comme des transistors MOSFET (de l’anglais « Metal Oxyde Semiconductor Field Effect Transistor »). Un tel circuit ne présente pas les inconvénients précités des relais. Par contre, les transistors MOSFET peuvent présenter des courants de fuite, qui affectent le pouvoir de coupure du circuit d’inhibition.

L’invention vise à proposer un circuit d’inhibition comprenant un composant de commutation à base de transistors MOSFET qui soit capable de satisfaire une contrainte de coupure de type ASIL D dans les deux sens de circulation du courant à travers le composant. Le dispositif de commande du composant doit permettre de le rendre parfaitement non-passant, nonobstant l’existence éventuelle de courants de fuite dans les transistors MOSFET, afin de couper en sécurité l’alimentation électrique d’un système électrique ou électronique à fiabiliser.

La solution retenue s’appuie sur la redondance d’un élément de commutation à base de transistors MOSFET, mais va au-delà de cette mesure de sécurité fonctionnelle connue en soi, en permettant notamment de supprimer des cas de défaillance en mode commun.

Plus spécifiquement, la solution retenue est d'implémenter deux contrôleurs, un pour chacun des éléments de commutation redondés, afin d’isoler tout défaut pour pouvoir maintenir le circuit d’inhibition en état de fonctionnement en toutes circonstances et être ainsi conforme aux exigences de sécurité de type ASIL D. Chaque contrôleur a la charge du pilotage d'un élément de commutation indépendamment de l’autre.

Dans un premier aspect, l’invention propose un circuit d’inhibition par coupure d’alimentation électrique d’un système électrique ou électronique de véhicule automobile alimenté électriquement par une source d’alimentation électrique, ledit circuit d’inhibition comprenant :
- une première borne destinée à être couplée à la source d’alimentation électrique et une seconde borne destinée à être couplée au système ;
- un premier élément de commutation à transistors MOSFET et un second élément de commutation à transistors MOSFET, agencés en série, tête-bêche, entre la première borne et la seconde borne du circuit, et adaptés pour pouvoir être placé, chacun, dans un état passant ou dans un état non passant, ledit premier élément de commutation et ledit second élément de commutation comprenant chacun un premier transistor MOSFET et un second transistor MOSFET agencés en série, tête-bêche ;
- un premier contrôleur et un second contrôleur électriquement indépendants l’un de l’autre et adaptés, chacun, pour commander l’état passant ou non passant du premier élément de commutation et du second élément de commutation, respectivement ; et,
- un module détecteur de courants de fuite agencé entre la première borne et la seconde borne, et adapté pour détecter l’existence éventuelle d’un courant de fuite dans le premier élément de commutation ou dans le second élément de commutation lorsque ledit élément est à l’état non passant, et pour, le cas échéant, notifier une information correspondante au second contrôleur ou au premier contrôleur, respectivement, à des fins de redondance fonctionnelle entre le premier élément de commutation et le second élément de commutation relativement à leur mise à l’état non passant afin de couper l’alimentation électrique du système.

Des modes de réalisation pris isolément ou en combinaison, prévoient en outre que :

- le premier contrôleur et/ou le second contrôleur peuvent comprendre chacun une logique de commande et un circuit de commande de grille isolé agencé entre ladite logique de commande, d’une part, et les grilles de commande des premier et second transistors MOSFET du premier élément de commutation et du second élément de commutation, respectivement, d’autre part ;

- les transistors MOSFET du premier élément de commutation et/ou les transistors MOSFET du second élément de commutation peuvent être des transistors MOS de type N ;

- les transistors MOSFET du premier élément de commutation et les transistors MOSFET du second élément de commutation peuvent être choisis auprès de sources d’approvisionnement respectives différentes ;

- les transistors MOSFET du premier élément de commutation et les transistors MOSFET du second élément de commutation peuvent avoir des boîtiers de types respectifs différents ;

- l’implantation du premier et du second éléments de commutation sur une même carte électronique, ou sur des cartes électroniques distinctes dans un même boîtier, ou dans des boîtiers séparés, peut être adaptée pour respecter des distances d’isolement déterminées entre lesdits éléments de commutation ;

- l’implantation du premier et du second contrôleur sur une même carte électronique, ou sur des cartes électroniques distinctes dans un même boîtier, ou dans des boîtiers séparés, est adaptée pour respecter des distances d’isolement déterminées entre lesdits contrôleurs ;

- le module détecteur de courants de fuite est adapté pour générer :

un signal qui donne une information relative à un dysfonctionnement éventuel du premier transistor du premier élément de commutation, délivré au premier contrôleur ;
un signal qui donne une information relative à un dysfonctionnement éventuel du premier transistor du premier élément de commutation, délivré au second contrôleur ;
un signal qui donne une information relative à un dysfonctionnement éventuel du second transistor du premier élément de commutation, délivré au premier contrôleur ;
un signal qui donne une information relative à un dysfonctionnement éventuel du second transistor du premier élément de commutation, délivré au second contrôleur ;
un signal qui donne une information relative à un dysfonctionnement éventuel du premier transistor du second élément de commutation, délivré au premier contrôleur ;
un signal qui donne une information relative à un dysfonctionnement éventuel du second transistor du second élément de commutation, délivré au second contrôleur ;
un signal qui donne une information relative à un dysfonctionnement éventuel du second transistor du second élément de commutation, délivré au premier contrôleur ; et, enfin,
le signal qui donne une information relative à un dysfonctionnement éventuel du second transistor du second élément de commutation, délivré au second contrôleur.

Un deuxième aspect de l’invention se rapporte à un système embarqué dans un véhicule automobile qui comprend un circuit d’inhibition selon le premier aspect ci-dessus.

Un troisième et dernier aspect de l’invention se rapporte à un véhicule automobile comprenant un système embarqué selon le deuxième aspect ci-dessus.

Brève description des figures

D’autres caractéristiques et avantages de l’invention apparaîtront encore à la lecture de la description qui va suivre. Celle-ci est purement illustrative et doit être lue en regard des dessins annexés sur lesquels :

la figure 1, qui est la figure unique, est un diagramme fonctionnel du circuit d’inhibition selon des modes de réalisation.

Dans la description de modes de réalisation qui va suivre et dans les Figures des dessins annexés, les mêmes éléments ou des éléments similaires portent les mêmes références numériques aux dessins.

Dans la suite du présent exposé, on entend par « défaillance » d’un système, la cessation de l’aptitude du système à accomplir une fonction requise ou à fonctionner comme prévu.

On entend par « défaillance de cause commune » (ou « défaillance en mode commun ») une défaillance résultant d'un ou plusieurs événements qui, provoquant des défaillances simultanées de deux ou plusieurs éléments séparés dans un système multiéléments, conduit à la défaillance du système.

On entend par fonction « d'inhibition » (ou « muting » en anglais), l’interruption temporaire d’une ou des fonctions relatives à la sécurité, par des parties de systèmes de commande relatives à la sécurité. Cette interruption peut être souhaitable afin de protéger le système, ou d’autres systèmes dans le véhicule, ou plus généralement dans un objectif de sécurité de fonctionnement ou de sécurité des passagers.

Enfin, on entend par « redondance », l’existence de plusieurs moyens pour accomplir une fonction requise dont l’un peut intervenir, avec la même efficacité, en substitution de l’autre en cas de défaillance de ce dernier.

En référence au schéma de lafigure 1, le circuit d’inhibition 1 selon des modes de réalisation de l’invention comprend une première borne 100 et une seconde borne 200. La borne 100 est destinée à être couplée à une source d’alimentation électrique, par exemple une batterie du véhicule (non représentée) qui délivre une tension d’alimentation +VBAT. La borne 200 est destinée à être couplée à un système électrique ou électronique du véhicule automobile (non représenté), qui est alimenté par la batterie précitée pour son fonctionnement. Par exemple, un tel système peut être un ADAS. Dans un autre exemple, il peut s’agir d’un dispositif de maintien de la tension du réseau (DMTR), dans un véhicule automobile équipé d’un système d’arrêt et de relance automatique du moteur thermique, dit « Stop & Start.

Du point de vue fonctionnel, le circuit d’inhibition 1 agit comme un interrupteur adapté pour commuter, sur la borne 200, la tension de la batterie +VBAT qui est disponible sur la borne 100. Dit autrement, la borne 200 est adaptée pour délivrer une version commutée +VBAT_SW de la tension d’alimentation +VBAT disponible sur le nœud 100, en fonction de l’état ouvert ou fermé du circuit 1. Dit autrement, encore, le circuit 1 est adapté pour inhiber le fonctionnement du système couplé à la borne 200 par la coupure de son alimentation électrique fournie par la source d’alimentation couplée à la borne 100.

L’homme du métier appréciera que du courant peut s’écouler de la borne 100 vers la borne 200, mais également dans l’autre sens, à savoir de la borne 200 vers la borne 100, en fonction des applications, que cette circulation de courant dans les deux sens possibles soit volontaire ou non. Un exemple de circulation volontaire de courant dans les deux sens possibles est celui d’un système électrique comme un alterno-démarreur, adapté pour être alimenté par la batterie dans une certaine phase de fonctionnement (en mode démarreur), et pour recharger la batterie en générant un courant de recharge de la batterie dans une autre phase de fonctionnement (en mode alternateur). Un exemple de circulation involontaire de courant dans les deux sens possibles est par exemple le cas où la borne 200 peut être couplée à une autre batterie, de valeur nominale supérieure à celle de la batterie couplée à la borne 100, avec une défaillance des moyens normalement prévus pour prévenir la mise en court-circuit des deux batteries en empêchant le couplage simultané des deux batteries à la borne 200.

Du point de vue structurel, le circuit d’inhibition 1 tel que montré à la figure comprend un premier élément de commutation 10 à transistors MOSFET et un second élément de commutation 20 à transistors MOSFET. Ces deux éléments de commutation 10 et 20 sont agencés en série, tête-bêche, entre la première borne 100 et la seconde borne du circuit 200. Ils sont adaptés pour pouvoir être placé, chacun, dans un état passant ou dans un état non passant. En opération, les circuits de commutation 10 et 20 sont redondants l’un de l’autre, dans la mesure où si l’un ou l’autre seulement de ces circuits est non passant, la fonction de coupure du circuit 1 est assurée. Ainsi, par exemple, si l’élément de commutation 10 était défaillant, en sorte que par exemple il existerait à l’état non passant un courant de fuite entre son drain et sa source, il serait possible d’empêcher que ce courant de fuite (et tout autre courant) ne circule entre les bornes 100 et 200, en commandant l’état non passant de l’élément de commutation 20 redondant (ceci en supposant que celui-ci, bien entendu, ne soit pas lui-même défaillant).

De manière plus générale, le circuit d’inhibition 1 comprend deux voies, notées A et B à la figure, qui peuvent chacune assurer la fonction de coupure du circuit de manière redondante l’une de l’autre, et qui comprennent à cet effet, respectivement, l’élément de commutation 10 et l’élément de commutation 20. Avantageusement, ces deux voies A et B sont indépendantes, et ce aussi bien du point de vue de la constitution des éléments de commutation 10 et 20 que du point de vue des contrôleurs 11 et 21, qui en assurent la commande, respectivement, comme il apparaîtra de la description qui sera donnée plus loin desdits contrôleurs 11 et 21.

On notera que, à la figure 1, les indications désignant des éléments constitutifs et des signaux se rapportant à la voie B sont présentées en caractères gras et italiques, pour les distinguer des éléments et signaux correspondants qui se rapportent à la voie A.

Dans un mode de réalisation, l’élément de commutation 10 et l’élément de commutation 20 comprennent chacun un premier transistor MOSFET, noté MT_A1 et MT_B1, respectivement, à la figure 1, ainsi qu’un second transistor MOSFET, noté MT_A2 et MT_B2, respectivement, à la figure 1. Dans chacun des éléments de commutation 10 et 20, ces premier et second transistors MT_A1 et MT_A2, ou MT_B1 et MT_B2, respectivement, sont montés en série, tête-bêche. Au sein de chacune des voies A et B, ces deux transistors MOSFET montés tête-bêche des éléments de commutation 10 et 20, respectivement, sont commandés ensemble et simultanément par le contrôleur 11 et par le contrôleur 21, respectivement. A cet effet, les grilles de commande des deux transistors MT_1A et MT_2A sont connectées ensemble à une sortie de commande du contrôleur 11, et leurs sources sont connectées ensemble à une autre sortie de commande dudit contrôleur 11. De la même façon, les grilles de commande des deux transistors MT_1B et MT_2B sont connectées ensemble à une sortie de commande du contrôleur 12, et leurs sources sont connectées ensemble à une autre sortie de commande dudit contrôleur 12. Ainsi, chacun des éléments de commutation 10 et 20 peut assurer la coupure du courant dans les deux sens de circulation possibles entre les bornes 100 et 200, à savoir de la borne 100 vers la borne 200, ou réciproquement, et ce indépendamment l’un de l’autre.

Dans un mode de réalisation, les transistors MOSFET du premier élément de commutation 10 et/ou les transistors MOSFET du second élément de commutation 20 sont des transistors MOS de type N. De tels transistors sont mieux adaptés aux applications de puissance que les transistors MOS de type P ou les transistors IBGT (de l’anglais « Isolated Gate Bipolar Transistor »), car ils peuvent passer des courants relativement plus importants.

Ainsi qu’il a été mentionné plus haut, les deux voies A et B du circuit 1 redondées sont contrôlées indépendamment l’une de l’autre. A cet effet, les contrôleurs 11 et 21 précités sont entièrement séparés, et indépendants l’un de l’autre dans leur constitution et dans leur fonctionnement.

Plus particulièrement, dans un mode de réalisation le contrôleur 11 de la voie de A et/ou le contrôleur 21 de la voie de commande B comprennent chacun une logique de commande 12 et 22, respectivement, ainsi qu’un circuit de commande de grille isolé 13 et 23, respectivement. Chacun des circuits de commande de grille isolé 13 et 23 est agencé entre, d’une part, la logique de commande 12 ou 22, respectivement, et, d’autre part, la grille de commande des premier et second transistors MT_1A et MT_2A ou MT_1B et MT_2B, respectivement, du premier élément de commutation 10 et du second élément de commutation 20, respectivement.

Également, le contrôleur 11 et le contrôleur 12 peuvent être alimentés par des sources d’alimentation électriques respectives différentes, afin d’éviter les pannes de mode commun ayant pour origine une défaillance liée à leur alimentation.

En outre, dans un mode de réalisation, et afin d’éviter les pannes de mode commun, les transistors MOSFET utilisés dans l’élément de commutation 10 ou 20 de chacune des voies redondantes A et B, respectivement, peuvent être choisis auprès de sources d’approvisionnement respectives différentes. Dit autrement, ils peuvent provenir de lots de fabrication, de fabricants, de technologie, etc., qui diffèrent pour la voie A et pour la voie B.

En variante ou en complément, les transistors MOSFET utilisés dans l’élément de commutation 10 ou 20 de chacune des voies redondantes A et B, respectivement, peuvent avoir des boîtiers de types respectifs différents. Cela renforce l’indépendance entre les voies, en réduisant les risques de couplage électromagnétiques, par exemple.

Également, l’implantation des composants des voies A et B sur une même carte électronique, ou sur des cartes électroniques distinctes dans un même boîtier ou dans des boîtiers séparés, est adaptée pour respecter des distances d’isolement, notamment entre les éléments de commutation 10 et 20. On évite également de cette manière la formation de couplages entre les voies A et B, notamment de couplage électromagnétique. Également, si un évènement redouté survient qui affecte la zone d’implantation de l’un quelconque de ces éléments de commutation, par exemple une élévation anormale et excessive de la température localement, cet évènement qui n’affecte peut-être pas, ou pas autant, la zone d’implantation de l’autre élément de commutation, peut causer un dysfonctionnement du premier mais pas du second. Le premier élément de commutation peut alors être défectueux alors que le second peut demeurer opérationnel et être alors utilisé au titre de la redondance fonctionnelle. L’homme du métier appréciera que cela vaut aussi pour les contrôleurs 11 et 21.

Grâce à la redondance procurée en soi par la voie A et la voie B et notamment l’indépendance des contrôleurs 11 et 21, et grâce en outre aux divers modes de réalisation optionnels desdites voies A et B, pris isolément ou en combinaison, tels que décrits ci-dessus, le circuit d’inhibition 1 peut respecter une exigence de niveau ASIL D très contraignante.

On va maintenant décrire les moyens fonctionnels qui permettent de mettre en œuvre la redondance opérationnelle entre les deux voies A et B, ou plutôt, plus particulièrement, entre les deux éléments de commutation 10 et 20.

Le circuit 1 comprend en effet un module 30 qui opère comme détecteur de courants de fuite, agencé entre la borne 100 et la borne 200, en parallèle avec l’ensemble formé par les éléments de commutation 10 et 20 en série entre lesdites bornes. Ce détecteur de courants de fuite 30 est adapté pour détecter l’existence éventuelle d’un courant de fuite dans les transistors MOSFET du premier élément de commutation 10 et/ou du second élément de commutation 20, lorsque ledit élément est commandé par son contrôleur associé 11 ou 21, respectivement, pour être à l’état non passant. Un tel courant de fuite traduit un dysfonctionnement de l’élément de commutation considéré, dont il résulte que la fonction de coupure associée au circuit 1 n’est plus assurée, ou bien n’est plus qu’imparfaitement assurée. Typiquement, un tel courant de fuite peut être causé par l’endommagement voire le claquage de la capacité drain-source d’un des transistors MOSFET).

C’est pourquoi le cas échéant, c’est-à-dire en cas de détection d’un tel courant de fuite dans l’élément de commutation 10 ou 20, le détecteur de courants de fuite 30 notifie une information correspondante au contrôleur 21 ou au contrôleur 11, respectivement, qui est chargé de contrôler l’état passant ou non passant de l’autre élément de commutation 20 ou 10, respectivement, afin que cet autre élément de commutation soit commandé à la place ou en complément de l’élément de commutation considéré comme défectueux du fait de ces courants de fuite. Comme l’homme du métier l’aura compris, ceci est réalisé à des fins de redondance fonctionnelle entre l’élément de commutation 10 et l’élément de commutation 20 relativement à la mise à l’état non passant de ces éléments, laquelle vise à couper l’alimentation électrique du système qui est couplé à la borne 200.

Plus particulièrement, dans l’exemple montré à la figure 1, le module détecteur de courants de fuite 30 est adapté pour générer huit signaux, qui sont délivrés aux contrôleurs 11 ou 21, à savoir :

le signal S1A_A qui donne une information relative à un dysfonctionnement éventuel (i.e., l’existence de courants de fuite entre son drain et sa source) du premier transistor MT_1A de la voie A, délivré au contrôleur 11 de ladite voie A ;
le signal S1A_B qui donne une information relative à un dysfonctionnement éventuel du premier transistor MT_1A de la voie A, délivré au contrôleur 21 de l’autre voie, à savoir la voie B ;
le signal S2A_A qui donne une information relative à un dysfonctionnement éventuel du second transistor MT_2A de la voie A, délivré au contrôleur 11 de ladite voie A ;
le signal S2A_B qui donne une information relative à un dysfonctionnement éventuel du second transistor MT_2A de la voie A, délivré au contrôleur 21 de la voie B ;
le signal S1B_A qui donne une information relative à un dysfonctionnement éventuel du premier transistor MT_1B de la voie B, délivré au contrôleur 11 de l’autre voie, à savoir la voie A ;
le signal S1B_B qui donne une information relative à un dysfonctionnement éventuel du second transistor MT_1B de la voie B, délivré au contrôleur 21 de ladite voie B ;
le signal S2B_A qui donne une information relative à un dysfonctionnement éventuel du second transistor MT_2B de la voie B, délivré au contrôleur 11 de la voie A ; et, enfin,
le signal S2B_B qui donne une information relative à un dysfonctionnement éventuel du second transistor MT_2B de la voie B, délivré au contrôleur 21 de ladite voie B.

Plus particulièrement, les signaux précités sont délivrés à la logique de commande 12 ou 22 du contrôleur 11 ou 21, respectivement de la voie A ou B, respectivement. Ainsi, les voies A et B sont adaptées pour se commander l’une l’autre, mais indépendamment l’une de l’autre, via les signaux ci-dessus, générés par le détecteur de courants de fuite 30.

Les quatre premiers signaux de test ci-dessus sont délivrés par un premier circuit du module de test 30, et les quatre derniers signaux de test ci-dessus sont délivrés par un second circuit de test dudit module 30. Ces deux sous-circuits sont indépendants l’un de l’autre.

De préférence, ces circuits de test du module détecteur de courants de fuite 30 sont adaptés, chacun, pour tester l’existence éventuelle d’un dysfonctionnement (i.e., l’existence de courants de fuite) à la fois dans l’un et dans l’autre des deux sens de circulation du courant entre les bornes 100 et 200. Chaque circuit de test comprend un sous-circuit de test dédié à la détection d’un courant de fuite dans l’un desdits sens de circulation du courant.

En outre, les sous-circuits de test dans chacun des sens de circulation du courant sont indépendants, et sont redondés l’un par l’autre. En cas de panne d’un sous-circuit de test, cette redondance desdits sous-circuits de test fait qu’un second sous-circuit de test permet de garantir la sécurité de fonctionnement de l’ensemble du circuit de test si un premier sous-circuit de test est défaillant. Ainsi, le module détecteur de courants de fuite 30respecte aussi, lui-même, un niveau de sécurité ASIL D.

La description détaillée de l’architecture et du fonctionnement du module détecteur de courants de fuite 30 sortirait du cadre de la présente description, et fait l’objet d’une autre demande de brevet déposée le même jour par le demandeur, et désignant le(s) même(s) inventeur(s).

On notera que, en pratique et selon les besoins de chaque application, l’un quelconque des éléments de commutation 10 et 20 peut être utilisé à titre principal afin d’assurer la fonction de coupure qui est visée, pendant au moins une partie du temps, alors que l’autre desdits éléments de commutation n’est utilisé qu’en cas de besoin pour assurer la redondance du premier. Ceci peut être implémenté dans les logiques de commande 12 et 22 des contrôleurs 11 et 21, respectivement. On limite ainsi les commutations inutiles dans l’élément qui n’est utilisé qu’au titre de la redondance fonctionnelle, ce qui peut allonger sa durée de vie. On peut aussi alterner des phases de fonctionnement dans lesquelles c’est par exemple l’élément 10 qui est utilisé à titre principal, l’élément 20 n’étant utilisé qu’au titre de la redondance fonctionnelle, et des phases de fonctionnement dans lesquelles c’est l’inverse. Globalement, ceci peut contribuer à allonger la durée de vie des deux éléments 10 et 20.

La présente invention a été décrite et illustrée dans la présente description détaillée et dans les figures des dessins annexés, dans des formes de réalisation possibles. La présente invention ne se limite pas, toutefois, aux formes de réalisation présentées. D’autres variantes et modes de réalisation peuvent être déduits et mis en œuvre par la personne du métier à la lecture de la présente description et des dessins annexés.

Dans le présent exposé, le terme "comprendre" ou "comporter" n’exclut pas d’autres éléments ou d’autres étapes. Un seul processeur ou plusieurs autres unités peuvent être utilisées pour mettre en œuvre l’invention. Les différentes caractéristiques présentées peuvent être avantageusement combinées. Leur présence dans des parties différentes, n’excluent pas cette possibilité. Les signes de référence ne sauraient être compris comme limitant la portée de l’invention.

Claims

Circuit (1) d’inhibition par coupure d’alimentation électrique d’un système électrique ou électronique de véhicule automobile alimenté électriquement par une source d’alimentation électrique, ledit circuit d’inhibition comprenant :
- une première borne (100) destinée à être couplée à la source d’alimentation électrique et une seconde borne (200) destinée à être couplée au système ;
- un premier élément de commutation (10) à transistors MOSFET et un second élément de commutation (20) à transistors MOSFET, agencés en série, tête-bêche, entre la première borne et la seconde borne du circuit, et adaptés pour pouvoir être placé, chacun, dans un état passant ou dans un état non passant, ledit premier élément de commutation et ledit second élément de commutation comprenant chacun un premier transistor MOSFET (MT_A1, MT_B1) et un second transistor MOSFET (MT_A2, MT_B2) agencés en série, tête-bêche ;
- un premier contrôleur (11) et un second contrôleur (21) électriquement indépendants l’un de l’autre et adaptés, chacun, pour commander l’état passant ou non passant du premier élément de commutation et du second élément de commutation, respectivement ; et,
- un module (30) détecteur de courants de fuite agencé entre la première borne et la seconde borne, et adapté pour détecter l’existence éventuelle d’un courant de fuite dans le premier élément de commutation ou dans le second élément de commutation lorsque ledit élément est à l’état non passant, et pour, le cas échéant, notifier une information correspondante au second contrôleur ou au premier contrôleur, respectivement, à des fins de redondance fonctionnelle entre le premier élément de commutation et le second élément de commutation relativement à leur mise à l’état non passant afin de couper l’alimentation électrique du système.
Circuit d’inhibition selon la revendication 1, dans lequel le premier contrôleur et/ou le second contrôleur comprennent chacun une logique de commande (12,22) et un circuit de commande de grille isolé (13,23) agencé entre ladite logique de commande, d’une part, et les grilles de commande des premier et second transistors MOSFET du premier élément de commutation et du second élément de commutation, respectivement, d’autre part.
Circuit d’inhibition selon la revendication 1 ou la revendication 2, dans lequel les transistors MOSFET du premier élément de commutation et/ou les transistors MOSFET du second élément de commutation sont des transistors MOS de type N.
Circuit d’inhibition selon l’une quelconque des revendications 1 à 3, dans lequel les transistors MOSFET du premier élément de commutation et les transistors MOSFET du second élément de commutation sont choisis auprès de sources d’approvisionnement respectives différentes.
Circuit d’inhibition selon l’une quelconque des revendications 1 à 4, dans lequel les transistors MOSFET du premier élément de commutation et les transistors MOSFET du second élément de commutation ont des boîtiers de types respectifs différents.
Circuit d’inhibition selon l’une quelconque des revendications 1 à 5, dans lequel l’implantation du premier et du second éléments de commutation (10,20) sur une même carte électronique, ou sur des cartes électroniques distinctes dans un même boîtier, ou dans des boîtiers séparés, est adaptée pour respecter des distances d’isolement déterminées entre lesdits éléments de commutation.
Circuit d’inhibition selon l’une quelconque des revendications 1 à 6, dans lequel l’implantation du premier et du second contrôleur (11,21) sur une même carte électronique, ou sur des cartes électroniques distinctes dans un même boîtier, ou dans des boîtiers séparés, est adaptée pour respecter des distances d’isolement déterminées entre lesdits contrôleurs.
Circuit d’inhibition selon l’une quelconque des revendications 1 à 7, dans lequel le module (30) détecteur de courants de fuite est adapté pour générer :
un signal (S1A_A) qui donne une information relative à un dysfonctionnement éventuel du premier transistor (MT_1A) du premier élément de commutation (10), délivré au premier contrôleur (11) ;

un signal (S1A_B) qui donne une information relative à un dysfonctionnement éventuel du premier transistor (MT_1A) du premier élément de commutation (10), délivré au second contrôleur (21) ;

un signal (S2A_A) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2A) du premier élément de commutation (10), délivré au premier contrôleur (11) ;

un signal (S2A_B) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2A) du premier élément de commutation (10), délivré au second contrôleur (21) ;

un signal (S1B_A) qui donne une information relative à un dysfonctionnement éventuel du premier transistor (MT_1B) du second élément de commutation (20), délivré au premier contrôleur (11) ;

un signal (S1B_B) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_1B) du second élément de commutation (20), délivré au second contrôleur (21) ;

un signal (S2B_A) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2B) du second élément de commutation (20), délivré au premier contrôleur (11) ; et, enfin,

le signal (S2B_B) qui donne une information relative à un dysfonctionnement éventuel du second transistor (MT_2B) du second élément de commutation (20), délivré au second contrôleur (21).
Système électrique ou électronique embarqué dans un véhicule automobile, adapté pour être alimenté électriquement par une source d’alimentation électrique, et comprenant un circuit d’inhibition (1) par coupure d’alimentation électrique selon l’une quelconque des revendications 1 à 8.
Véhicule automobile comprenant une source d’alimentation électrique, un système électrique ou électronique alimenté électriquement par ladite source d’alimentation électrique, et un circuit d’inhibition (1) selon l’une quelconque des revendications 1 à 8 agencé entre ladite source d’alimentation électrique et ledit système, pour protéger ledit système par coupure d’alimentation électrique.