Tester les commandes du convertisseur en toute sécurité avant de brancher le matériel

Principaux enseignements

• L'injection de défauts constitue le moyen le plus sûr de tester le logiciel de commande d'un convertisseur avant la mise sous tension.
• Les modèles d'installations en boucle fermée permettent de mettre en évidence des défauts liés à la synchronisation, à la protection et à la remise en service que les essais nominaux ne détectent pas.
• Le matériel doit garantir une couverture stable des défaillances, et non constituer le premier endroit où apparaît une logique non sûre.

Les essais de contrôle de sécurité des convertisseurs commencent par l'injection de défauts sur un modèle d'installation sous tension, avant que le circuit de puissance ne soit mis sous tension.

Cette séquence est importante car le code de contrôle a tendance à défaillir dans des conditions limites telles que les transitoires, les mesures erronées et les événements de protection. Les ventes mondiales de voitures électriques ont dépassé les 17 millions d’unités en 2024, ce qui signifie davantage de convertisseurs, davantage de logiciels de contrôle et moins de marge pour les défauts logiques cachés dans les systèmes électrifiés. Vous êtes plus en sécurité lorsque le premier déclenchement pour surintensité, le gel d’un capteur et la chute de tension sur le bus CC se produisent au sein d’un modèle qui ne peut pas endommager les composants électroniques. Le matériel doit valider une stratégie de contrôle qui a déjà résisté aux pires scénarios.

Les tests par injection de défauts permettent de détecter les comportements de contrôle dangereux avant la mise sous tension du matériel.

Les tests par injection de défauts consistent à introduire délibérément des conditions anormales dans le modèle du convertisseur, les entrées du contrôleur ou le circuit des capteurs, puis à observer la réaction du code de commande. Il s'agit du moyen le plus sûr de détecter les logiques défaillantes avant que les transitoires de courant, de tension et de commutation n'endommagent le matériel. Vous obtenez ainsi la preuve de la capacité de récupération, plutôt qu'une simple certitude fondée uniquement sur des tests nominaux.

Un cas de test utile commence par un onduleur à commande de courant qui se régule correctement à la charge nominale. Le test prend tout son sens lorsque l'on force un capteur de courant de phase à se figer pendant 5 millisecondes, que l'on décale la valeur du bus CC de 10 %, ou que l'on fait varier la charge de manière suffisamment brusque pour déclencher la limitation de courant. Chaque défaut injecté permet de vérifier un aspect différent du logiciel. Un cas teste les contrôles de plausibilité, un autre la gestion de la saturation, et un troisième la temporisation des protections.

C'est important, car les défaillances des convertisseurs se manifestent rarement de manière claire. Un contrôleur peut sembler stable lors d'un test sur banc d'essai, mais imposer des cycles de service dangereux dès que sa boucle de rétroaction devient obsolète ou contradictoire. Si vous attendez que le matériel physique révèle cette faille, vous passerez du temps à trier les pièces endommagées, à décrypter des journaux d'erreurs confus et à apporter des modifications au code sous la pression.

« Les tests par injection de défauts consistent à introduire délibérément des conditions anormales dans le modèle du convertisseur, les entrées du contrôleur ou le circuit des capteurs, puis à observer la réaction du code de commande. »

Pour tester en toute sécurité le contrôle d'un convertisseur, il faut disposer d'un modèle d'installation en boucle fermée

Pour tester de manière fiable le contrôle d'un convertisseur, il faut que le contrôleur fonctionne en boucle fermée par rapport à un modèle d'installation qui réagit au même rythme que le code. Les vérifications en boucle ouverte permettent de valider les calculs et la planification, mais elles ne montrent pas comment les commandes de rapport cyclique, les délais de mesure et la logique de protection interagissent en conditions de contrainte. C'est dans la réponse en boucle fermée que les hypothèses erronées apparaissent.

Un exemple de convertisseur abaisseur illustre bien ce principe. Si l'on alimente un contrôleur avec des formes d'onde préenregistrées, il passera souvent les contrôles de limites, car le système asservi ne réagit jamais. Mais si l'on connecte ce même code à un modèle en temps réel composé d'une inductance, d'un condensateur, d'un commutateur et d'une charge, une brève variation du rapport cyclique peut entraîner un dépassement, une saturation et un retard dans la rétroaction de courant lors du même test. Le logiciel doit désormais contrôler un élément qui réagit à ses actions.

C'est également dans cette configuration en boucle fermée que la qualité d'exécution est déterminante. OPAL-RT est utilisé à ce stade car un modèle de convertisseur en temps réel permet au contrôleur d'échanger des données d'entrée/sortie avec une installation qui se met à jour suffisamment rapidement pour préserver les délais de protection et l'interaction entre les boucles. Vous n'avez plus à deviner comment le code se comporte en cas de défaillance physique. Vous l'observez dans des conditions reproductibles qui peuvent être réexécutées après chaque modification logicielle.

Commencez par les défauts qui mettent en avant la synchronisation de la protection

Les défauts liés aux délais de protection doivent être traités en priorité, car ils révèlent les défaillances aux conséquences les plus graves avec le moins d'ambiguïté possible. Si un contrôleur n'est pas en mesure de détecter, de verrouiller et de réagir à un événement grave dans le délai requis, les tests de priorité inférieure ne modifieront en rien le bilan de sécurité. Les vérifications précoces des délais constituent la base de chaque étape de validation ultérieure.

Une séquence pratique commence par une surintensité importante, suivie d’une surtension sur le bus CC, puis d’un conflit de commande de grille. Un contrôleur de variateur de moteur peut devoir ignorer le bruit pendant quelques microsecondes, se déclencher en quelques dizaines de microsecondes et maintenir la modulation d’impulsions en largeur (PWM) désactivée jusqu’à ce que la logique de réinitialisation soit terminée. Un convertisseur raccordé au réseau peut devoir supporter une brève chute de tension, mais se déclencher rapidement en cas de défaut prolongé. Chaque cas met à rude épreuve la synchronisation, le filtrage et le comportement des verrous.

Cet ordre permet de gagner du temps, car il distingue les faiblesses catastrophiques des problèmes de réglage. Vous saurez rapidement si le chemin d'interruption est en retard, si le masquage des défauts est trop généreux ou si la logique de réinitialisation réactive la sortie trop tôt. Un contrôleur qui ne respecte pas une fenêtre de protection n'est pas prêt pour des scénarios plus complexes, quelle que soit la qualité de ses courbes en régime permanent.

Introduire des défauts dans les états du convertisseur perçus par le contrôleur

Les points d’injection de défauts les plus utiles sont les états que le contrôleur perçoit réellement et les commandes qu’il envoie effectivement. Cela signifie que les valeurs des capteurs, les sorties des estimateurs, les indicateurs d’état numériques et les trajectoires des actionneurs méritent davantage d’attention que les seules variables internes de l’installation. Les défauts sont utiles lorsqu’ils remettent en question les hypothèses du logiciel quant à ce qui est vrai.

Un décalage de phase du courant illustre bien cette différence. Si vous ne forcez que le courant de l'inductance au sein de l'installation, le régulateur continue de recevoir des mesures fiables et peut se rétablir sans difficulté. En revanche, si vous introduisez le même problème dans le canal de courant échantillonné, la boucle de régulation peut se bloquer, dépasser une limite ou rejeter des données valides en les considérant comme du bruit. Une mise à jour PWM bloquée, un retard d'échantillonnage du convertisseur analogique-numérique (ADC) ou un saut de compteur du codeur révèlent souvent bien plus qu'une simple perturbation de charge.

Vous bénéficierez également d'une meilleure couverture lorsque les sites de défaillance correspondent à l'architecture de contrôle. Les boucles internes doivent détecter les données de capteurs corrompues et la saturation des actionneurs. Les couches de supervision doivent détecter les conflits de requêtes de mode, les discordances de retour d'information des contacteurs et les combinaisons d'états impossibles. Cette mise en correspondance permet d'aligner les tests sur la manière dont les défaillances surviennent dans le logiciel lors du fonctionnement physique.

Utiliser un niveau de fidélité du modèle adapté au risque lié au contrôleur

La fidélité du modèle doit correspondre au risque de contrôle que vous cherchez à éliminer. La logique de protection et les boucles de courant rapides nécessitent des détails sur la commutation, les délais et les effets non idéaux lorsque ces derniers influencent les déclenchements ou la stabilité. Les séquences de supervision et la gestion des modes peuvent souvent être testées avec une installation plus simple, à condition que les chemins de défaut restent fidèles à la réalité.

Un convertisseur résonant illustre bien l’importance de cette question. Si votre préoccupation porte sur la séquence de démarrage, un modèle d’ordre réduit permet de vérifier efficacement les transitions d’état et les verrouillages. Si vous vous intéressez plutôt aux pertes de commutation à tension nulle, aux pics de courant au moment de la commutation ou à la sensibilité au temps mort, la simplification masquera justement le comportement exact que vous devez tester. Le travail sur les convertisseurs de réseau rend la mise encore plus importante, car l’électronique de puissance s’intègre désormais au sein de systèmes électriques de plus grande envergure. Les ajouts mondiaux de capacité renouvelable ont atteint près de 510 gigawatts en 2023, soit près de 50 % de plus qu’en 2022, ce qui signifie que les commandes des convertisseurs assument une responsabilité accrue vis-à-vis du réseau.

Le point de contrôle ci-dessous vous aide à déterminer le niveau de détail à conserver avant de lancer des campagnes de détection de défauts à grande échelle.

Mesurer la capacité de récupération du contrôleur après chaque injection de défaut

Réussir un test de défaut signifie que le contrôleur détecte la situation, passe à l'état de protection approprié et revient à un mode de fonctionnement sûr selon des règles bien définies. La reprise du fonctionnement mérite d'être examinée avec autant d'attention que le déclenchement lui-même. Un contrôleur qui se déclenche en toute sécurité mais qui redémarre mal reste dangereux.

Un test de reprise robuste pour un convertisseur de batterie ne se limite pas à la détection d'un seul indicateur de défaut. Il convient d'enregistrer l'instant où le défaut apparaît, le délai avant le blocage du PWM, le moment où les intégrateurs sont réinitialisés, les conditions de réarmement, ainsi que les premiers cycles suivant le redémarrage. Un code peut sembler robuste parce qu'il s'arrête rapidement, mais il peut néanmoins échouer lorsque des références obsolètes ou des filtres non effacés provoquent un deuxième déclenchement au redémarrage.

Des critères de réussite clairs permettent de respecter cet objectif. Vous devez vous assurer que le courant est limité, qu’il n’y a pas d’états de grille illégaux, que le verrouillage des défauts est correct et que la procédure de redémarrage suit la même séquence à chaque exécution. Les traces de récupération doivent être « sans surprise ». Si ce n’est pas le cas, cela signifie que le contrôleur contient encore des états cachés qu’un réglage nominal ne permettra jamais de mettre en évidence.

« Les traces de récupération devraient être ennuyeuses. »

Des lacunes courantes dans les tests laissent des logiques dangereuses non testées

Les lacunes dangereuses proviennent généralement du fait que seuls les points de fonctionnement auxquels s'attendent les ingénieurs sont testés. Le code de commande du convertisseur présente plus souvent des défaillances lors des transitions, en cas de signaux contradictoires et lorsque les boucles de rétroaction sont partiellement défaillantes qu'en régime permanent nominal. Vous ne détecterez pas ces lacunes à moins que des cas de défaillance ne soient créés pour remettre en question les hypothèses relatives à la synchronisation, à l'état et à la validité des données.

Une boucle de courant capable de passer tous les tests de réponse en échelon peut tout de même présenter des défaillances graves lorsque la valeur du capteur se fige lors d’un changement de mode. Un étage de puissance numérique peut également se déclencher correctement lors de son premier défaut, puis redémarrer dans le même état défectueux, car le verrouillage du défaut est désactivé avant la réinitialisation de la voie de référence. Les défaillances les plus courantes ont tendance à se concentrer à quelques endroits :

• Les tests de protection s'arrêtent à la détection du déclenchement et ne prennent pas en compte le comportement au redémarrage.
• Les défaillances des capteurs sont simulées uniquement sous forme de bruit, et non sous forme de données figées ou biaisées.
• On accorde trop d'importance aux charges nominales, tandis que les charges limites sont souvent négligées.
• La synchronisation des défauts est fixe et n'est pas décalée par rapport aux fronts d'échantillonnage et d'interruption.
• Les critères de réussite reposent sur des graphiques plutôt que sur des seuils explicites et des vérifications d'état.

Une fois ces lacunes comblées, l'ensemble de tests gagne en fiabilité et devient plus facile à maintenir. Vous passerez moins de temps à analyser une forme d'onde et davantage à améliorer les chemins d'exécution clairement liés à des résultats dangereux.

Passer au matériel une fois que la couverture des pannes s'est stabilisée

La connexion matérielle ne doit être lancée qu’après que le contrôleur a résisté à une série stable de cas de défaillance graves et modérées lors d’une simulation en boucle fermée. Une couverture stable signifie que les nouveaux cycles de test produisent des résultats cohérents, que le timing des fronts est bien compris et que la logique de récupération se comporte de la même manière lors de tests répétés. C’est à ce stade que le matériel apporte une confirmation plutôt qu’une surprise.

Un transfert judicieux consiste à utiliser Énergie une quantité limitée Énergie . Vous pouvez connecter le contrôleur à une étape à faible risque, limiter le courant et la tension, puis reproduire les mêmes catégories de défauts que celles déjà utilisées lors de la simulation. Si un cas de sous-tension sur le bus, un cas de biais de capteur et un cas de redémarrage correspondent tous aux courbes attendues, le travail sur le matériel devient alors une extension des résultats antérieurs plutôt qu'une nouvelle recherche d'inconnues.

C’est là que la séquence de test prend toute sa valeur. Les équipes qui utilisent OPAL-RT pour injecter des défauts dans un modèle de convertisseur en temps réel parviennent généralement au matériel avec moins de questions en suspens, car le logiciel de contrôle a déjà été confronté aux cas les plus susceptibles de révéler un comportement dangereux. Une bonne validation du contrôle d’un convertisseur est rigoureuse, reproductible et sans concession. On met le système sous tension une fois que le code a déjà prouvé qu’il pouvait résister à des entrées erronées, à des synchronisations incorrectes et à des états indésirables, sans exposer le matériel à un premier risque de défaillance.