FR 3099655 A1 20210205 FR 1911503 A 20191016 Description Titre de l'invention : SYSTEME ET PROCEDE DE PROTECTION ELECTRIQUE Domaine technique [0001] La présente invention concerne un procédé et un système de protection d'une ins- tallation électrique pour la transmission de haute tension à courant continu HVDC (« High Voltage Direct Cunent » en langue anglo-saxonne) à au moins un appareil électrique, de sorte à alimenter ledit au moins un appareil électrique en énergie électrique de manière sécurisée. Technique antérieure [0002] Une installation électrique, par exemple telle qu'installée dans un aéronef, comporte classiquement au moins une source d'alimentation électrique reliée à au moins un appareil électrique pour alimenter ledit au moins un appareil électrique en énergie électrique. L'installation électrique comprend au moins une ligne électrique formée d'un conducteur électrique recouvert d'une gaine isolante. La ligne électrique comprend en outre un disjoncteur configuré pour surveiller des paramètres électriques de signaux transitant sur le conducteur électrique entre ladite au moins une source d'alimentation électrique et ledit au moins un appareil électrique. Le disjoncteur est en outre configuré pour couper l'alimentation électrique dudit au moins un appareil électrique lorsque les paramètres électriques surveillés montrent une présence de courant de surcharge ou de courant de court-circuit dans le conducteur électrique. [0003] Dans le cas des aéronefs, la consommation d'énergie électrique a significativement augmenté en raison de la demande énergétique croissante des appareils électriques (e.g., ordinateurs portables, tablettes, avionique...) embarqués à bord. Cette tendance entraîne inévitablement une augmentation des niveaux de tension des systèmes d'alimentation électrique des aéronefs, qui étaient traditionnellement de 115 volts AC (« Altemating Cun-ent » en langue anglo-saxonne) et de 28 volts DC (« Direct Cun-ent » en langue anglo-saxonne). Des tensions de l'ordre de +/- 270 volts DC, voire de +/- 540 volts DC, sont désormais envisagées. On parle alors de haute tension à courant continu HVDC. Ces valeurs de tension élevées posent de nouveaux problèmes de protection électrique. Par exemple, des arcs électriques peuvent se produire lorsque le courant fuit de la ligne électrique. Un arc électrique entre un conducteur électrique alimentant électriquement au moins un appareil électrique et le fuselage d'un aéronef, qui est conducteur, ou entre deux conducteurs électriques adjacents, pourrait endommager ledit au moins un appareil électrique. [0004] Les disjoncteurs de l'état de la technique ne sont pas optimisés pour sécuriser la 2 transmission de puissance via des liaisons électriques utilisant des tensions aussi élevées. Spécifiquement, à haute tension, avec les disjoncteurs de l'état de la technique, il est nécessaire de respecter de grandes distances de sécurité entre un fourreau contenant des câbles d'alimentation électrique et le fuselage de l'aéronef, ou entre un fourreau contenant des câbles d'alimentation et un autre fourreau contenant des câbles de transmission de données, afin d'éviter qu'un éventuel arc électrique dans le fourreau contenant des câbles d'alimentation n'endommage, par effet thermique, le fuselage de l'aéronef ou les câbles de transmission de données. Ces distances de sécurité génèrent des contraintes spatiales importantes dans la conception des aéronefs, ce qui accroît leurs dimensions et leur consommation de carburant. [0005] Il est souhaitable de pallier totalement ou partiellement l'inconvénient de l'art antérieur mentionné ci-dessus. Il existe donc un besoin pour un dispositif de protection électrique d'une ligne électrique qui assure une alimentation sécurisée en énergie électrique à au moins un appareil électrique grâce à de hautes tensions à courant continu HVDC. Il est notamment souhaitable de fournir une solution qui soit applicable à la protection électrique d'installations électriques de véhicules, notamment d'aéronefs. [0006] Le document de brevet U.S. Pat. Pub. N° 2018/323602 divulgue un système de protection électrique destiné à protéger une ligne électrique conçue pour relier une source d'alimentation haute tension à courant continu HVDC à un appareil électrique. La ligne électrique comprend un conducteur électrique entouré d'une enveloppe isolante (« insulating cover » en langue anglo-saxonne) et un dispositif de protection électrique comprenant : [0007] - une gaine conductrice (« conductive sleeve » en langue anglo-saxonne) disposée autour de l'enveloppe isolante ; [0008] - un module de polarisation (« biasing module » en langue anglo-saxonne) configuré pour polariser en tension la gaine conductrice (valeur constante et prédéterminée) ; [0009] - un disjoncteur agencé sur la gaine conductrice et configuré pour couper, sur commande, un courant traversant le conducteur électrique ; et, [0010] - un module de détection connecté à la gaine conductrice et configuré pour détecter une fuite de courant au niveau du conducteur électrique (détecté par une valeur de tension au niveau de la gaine conductrice dépassant un seuil prédéfini) et pour ordonner au disjoncteur de couper le courant traversant le conducteur électrique en cas de détection de fuite de courant. [0011] Un tel système, appelé capteur HVEP (« High Voltage Enhanced Protection » en langue anglo-saxonne), est efficace pour détecter une anomalie sur une ligne électrique. Bien qu'il soit présumé efficace aux fins prévues, il serait souhaitable de pouvoir détecter une anomalie sur l'ensemble de l'installation électrique, et pas 3 seulement au niveau du conducteur électrique, telle qu'une anomalie qui pourrait être à l'origine d'un futur arc électrique. Exposé de l'invention [0012] La présente invention concerne un système de protection électrique destiné à protéger une installation électrique haute tension à courant continu, le système de protection électrique comprenant : au moins un capteur de premier type, configuré pour effectuer des mesures d'une grandeur physique non électrique ; au moins un capteur (le second type, configuré pour effectuer des mesures d'une grandeur physique électrique ; et un organe de contrôle connecté audit au moins un capteur de premier type et audit au moins un capteur de second type. L'organe de contrôle comporte de la circuiterie électronique configurée pour commander en ouverture un disjoncteur dc l'installation électrique haute tension à courant continu lorsque, dans une fenêtre temporelle glissante, appelée fenêtre glissante SW3, un phénomène non électrique anormal est détecté grâce aux mesures dudit au moins un capteur de premier type et qu'en outre un phénomène électrique anormal est détecté grâce aux mesures dudit au moins un capteur dc second type. Ainsi, une anomalie sur l'ensemble de l'installation électrique est aisément détectée et des formations d'arcs électriques peuvent être aisément prévenues. [0013] Selon un mode dc réalisation particulier, l'organe de contrôle comporte un premier contrôleur connecté à chaque capteur de premier type, le premier contrôleur étant sous forme dc circuiterie électronique configurée pour, lors d'une phase de surveillance de chaque capteur de premier type : effectuer une acquisition de valeurs mesurées par chaque capteur de premier type ; déterminer la différence, appelée signal Delta Tl, entre les valeurs acquises par chaque capteur dc premier type et une mesure de référence ; décider de générer un événement interne à l'organe de contrôle lorsque, pour au moins un dit capteur de premier type, le signal Delta Tl sort d'une enveloppe normale, l'enveloppe normale définissant la variabilité des signaux captés par ledit capteur dc premier type en fonctionnement nominal de l'installation électrique haute tension à courant continu ; et décider de générer un événement externe à l'organe dc contrôle lorsque le nombre d'événements internes générés par le premier contrôleur pendant une fenêtre temporelle glissante, appelée fenêtre glissante SW1, atteint un nombre prédéfini Nl. [0014] Selon un mode de réalisation particulier, un événement externe différent est généré selon si le nombre Nl d'événements internes générés pendant la fenêtre glissante SW1 est atteint grâce à un seul capteur de premier type ou par une pluralité de capteurs de premier type. [0015] Selon un mode de réalisation particulier, l'organe de contrôle comporte un second contrôleur connecté à chaque capteur de second type, le second contrôleur étant sous forme de circuiterie électronique configure° pour, lors d'une phase de surveillance de chaque capteur de second type : effectuer une acquisition de valeurs mesurées par chaque capteur de second type ; déterminer la différence, appelée signal Delta T2, entre les valeurs acquises par chaque dit capteur de second type et une mesure de référence ; décider de générer un événement interne à l'organe de contrôle lorsque, pour au moins un dit capteur de second type, le signal Delta T2 sort d'une enveloppe normale, l'enveloppe normale définissant la variabilité des signaux captés par ledit capteur de second type en fonctionnement nominal de l'installation électrique haute tension à courant continu ; et décider de générer un événement externe à l'organe de contrôle lorsque le nombre d'événements internes générés par le second contrôleur pendant une fenêtre temporelle glissante, appelée fenêtre glissante SW2, atteint un nombre prédéfini N2. [0016] Selon un mode de réalisation particulier, l'organe de contrôle commande en ouverture le disjoncteur lorsqu'un dit événement externe est généré par le second contrôleur. [0017] Selon un mode de réalisation particulier, l'organe de contrôle comporte un troisième contrôleur connecté au premier contrôleur et au second contrôleur, le troisième contrôleur étant sous forme de circuiterie électronique configurée pour : recevoir les événements internes générés par le premier contrôleur ; recevoir les événements internes générés par le second contrôleur ; décider de générer un événement externe à l'organe de contrôle lorsque, pendant la fenêtre glissante SW3, au moins un événement interne est généré par le premier contrôleur et au moins un événement interne est généré par le second contrôleur, et lorsqu'en outre leur somme, sur ladite fenêtre glissante SW3, est supérieure ou égale à un nombre prédéfini N3. [0018] Selon un mode de réalisation particulier, le système de protection électrique comporte au moins deux capteurs de premier type détectant des phénomènes non électriques de natures différentes. [0019] La présente invention concerne également un aéronef comportant une installation électrique haute tension à courant continu munie d'un système de protection électrique, tel que mentionné ci-dessus, afin de protéger ladite installation électrique haute tension à courant continu. [0020] La présente invention concerne également un procédé implémenté par un système de protection électrique protégeant une installation électrique haute tension à courant continu, le système de protection électrique comprenant : au moins un capteur de premier type, configuré pour effectuer des mesures d'une grandeur physique non électrique ; au moins un capteur de second type, configuré pour effectuer des mesures d'une grandeur physique électrique ; et un organe de contrôle connecté audit au moins un capteur de premier type et audit au moins un capteur de second type. Le procédé est tel que l'organe de contrôle commande en ouverture un disjoncteur de l'installation électrique haute tension à courant continu lorsque, dans une fenêtre temporelle glissante, appelée fenêtre glissante SW3, un phénomène non électrique anormal est détecté grâce aux mesures dudit au moins un capteur de premier type et qu'en outre un phénomène électrique anormal est détecté grâce aux mesures dudit au moins un capteur de second type. Brève description des dessins [0021] Les caractéristiques de l'invention mentionnées ci-dessus, ainsi que d'autres, appa- raîtront plus clairement à la lecture de la description suivante d'un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels : [0022] [fig.1 J illustre schématiquement une installation électrique protégée par un système de protection électrique ; [0023] [fig.2] illustre schématiquement un agencement d'un organe de contrôle du système de protection électrique ; [0024] [fig.3] illustre schématiquement un exemple de signal contenu dans une enveloppe, dite normale, et deux exemples de signal qui sort de cette enveloppe normale ; [0025] [fig.4] illustre schématiquement un exemple d'architecture matérielle de l'organe de contrôle ; et [0026] W8.51 illustre schématiquement, en vue de côté, un aéronef dans lequel une ins- tallation électrique protégée par le système de protection électrique est embarquée. [0027] EXPOSE DETAILLE DE MODES DE REALISATION [0028] Il est proposé un système de protection électrique permettant une prévention et une détection plus complètes d'anomalies survenant sur une installation électrique. Le système de protection électrique proposé comprend un ensemble de capteurs disposés à différents endroits de l'installation électrique (ligne électrique, connecteur entre des éléments électriques, par exemple pour connecter une ligne électrique et une autre ligne électrique, pour connecter une ligne électrique et une source d'alimentation électrique, pour connecter une ligne électrique et un appareil électrique, etc.) et qui utilisent différentes technologies de capteur. Ainsi, l'invention vise plus particulièrement la comparaison de signatures multi-physiques obtenues par une utilisation de capteurs de différents types situés sur des connecteurs et/ou sur des câbles électriques. [0029] Des signatures qualifiées de « normales » sont obtenues en mode opérationnel et pour un environnement défini. Ces signatures font partie d'une enveloppe d'amplitude de signal, appelée « enveloppe normale ». Des signatures qualifiées d'« anormales » sont obtenues en présence de signaux, c'est-à-dire de représentations de grandeurs physiques mesurées par les capteurs, qui sortent de cette enveloppe normale. Il est 6 alors proposé une comparaison continue des signatures multi-physiques, à des fins de prévention (e.g., détection de dommages causés à des harnais électriques) et de détection d'arcs électriques. [0030] Comme détaillé ci-après, il est proposé une utilisation simultanée de détection d'anomalies non prioritaires (anomalies de « Type 1 »), détectées grâce à des capteurs de Type 1, et d'anomalies prioritaires (anomalies de « Type 2 »), détectées grâce à des capteurs de Type 2, afin d'atteindre un niveau acceptable de robustesse de détection d'anomalie de l'installation électrique. Les capteurs de Type 1 sont configurés pour effectuer des mesures de grandeurs physiques non électriques et ainsi permettre de détecter des phénomènes non électriques, alors que les capteurs de Type 2 sont configurés pour effectuer des mesures de grandeurs physiques électriques et ainsi permettre de détecter des phénomènes électriques. [0031] Les anomalies non prioritaires sont des anomalies relevées par analyse de signaux de phénomènes non électriques, qui peuvent être annonciatrices d'un défaut électrique actuel ou futur, niais qui ne nécessitent pas à elles-seules de couper l'alimentation électrique. Les anomalies prioritaires sont des anomalies relevées par analyse de signaux de phénomènes électriques, qui peuvent nécessiter à elles-seules de couper l'alimentation électrique. [0032] La Fig. 1 illustre schématiquement une installation électrique 100 protégée par un système de protection électrique 110. L'installation électrique 100 relie une source d'alimentation électrique HVDC 120 à au moins un appareil électrique 130, afin d'alimenter en énergie électrique ledit au moins un appareil électrique 130. L'installation électrique 100 comprend au moins une ligne électrique 140 formée d'un conducteur électrique entouré d'une enveloppe isolante, une pluralité de connecteurs 180 destinés à interconnecter les différents éléments de l'installation électrique 100, et un système de protection électrique 110 comprenant une pluralité de capteurs 160 de technologies différentes (comme discuté plus en détails ci-dessous). [0033] L'installation électrique 100 est équipée d'un disjoncteur 170 (noté CB, pour Circuit Breaker » en langue anglo-saxonne, sur la Fig. 1) disposé sur le conducteur électrique d'une dite ligne électrique, et agencé et configuré pour couper, sur commande, l'alimentation électrique HVDC dudit au moins un appareil électrique 130. Le disjoncteur 170 peut faire partie du système de protection électrique 110. [0034] Le système de protection électrique 110 comprend en outre un détecteur 200, sous forme d'organe de contrôle (noté CU, pour « Control Unit » en langue anglo-saxonne, sur la Fig. 1), connecté aux capteurs 160 et au disjoncteur 170, et configuré pour prévenir et détecter une fuite de courant au niveau de l'installation électrique 100 et pour commander au disjoncteur 170 de couper l'alimentation électrique HVDC dans certains cas (comme discuté plus en détails ci-dessous). 7 [0035] Le disjoncteur 170 peut être de différents types. Basiquement, le disjoncteur 170 fonctionne comme un interrupteur qui, lorsqu'il est déclenché, s'ouvre et coupe ainsi le courant électrique dans le conducteur électrique sur lequel le disjoncteur 170 est monté. [0036] Tel qu'illustré schématiquement sur la Fig. 2, le détecteur 200 comporte un premier contrôleur 210 connecté à chaque capteur de Type 1 et un second contrôleur 220 connecté à chaque capteur de Type 2. Le détecteur 200 comporte en outre un troisième contrôleur 230, qualifié de contrôleur multi-physique, connecté au premier contrôleur 210 et au second contrôleur 220, de manière à recevoir des événements internes générés par le premier contrôleur 210 et des événements internes générés par le second contrôleur 220. Les événements en question sont qualifiés d'« internes » dans la mesure où leur portée reste interne au détecteur 200. Dans le cas contraire, les événements sont qualifiés d'« externes » (comme représentés par des flèches 240 sur la Fig. 2). [0037] Comme détaillé par la suite, le premier contrôleur 210 est en charge de superviser chaque capteur de Type 1, et de prévenir et détecter des anomalies électriques révélées par au moins un capteur de Type 1 par la mesure de grandeurs physiques non électriques ; le second contrôleur 220 est en charge de superviser chaque capteur de Type 2, et de prévenir et détecter des anomalies électriques révélées par au moins un capteur de Type 2 par la mesure de grandeurs physiques électriques ; et le troisième contrôleur 230 est en charge de superviser chaque capteur de Type 1 et chaque capteur de Type 2, et de prévenir et détecter des anomalies électriques révélées par au moins un capteur de Type 1 et en outre par au moins un capteur de Type 2. [0038] Dans un mode de réalisation particulier, les opérations du premier contrôleur 210, du second contrôleur 230 et du troisième contrôleur 230 décrites ici sont réalisées pal- un seul et même contrôleur. [0039] Au moins un capteur de Type 1 et au moins un capteur de Type 2 sont utilisés. Dans un mode de réalisation particulier, au moins deux capteurs de Type 1, préférentiellement de natures différentes (i.e., qui captent sont adaptés pour détecter des phénomènes non électriques différents), et au moins un capteur de Type 2 sont utilisés. Il convient de noter que certains capteurs sont capables de fonctionner à la fois comme capteur de Type 1 et comme capteur de Type 2, comme par exemple une fibre optique utilisée pour détecter une mauvaise connexion (en faisant une boucle avec la fibre optique entre différents éléments pour vérifier la bonne connexion mécanique entre eux) ainsi que des signaux électriques. Dans ce cas, le capteur en question est considéré comme une juxtaposition d'un capteur de Type 1 et d'un capteur de Type 2 (comme s'il existait physiquement deux capteurs au lieu d'un seul capteur). [0040] Chaque capteur de Type 1 détecte des anomalies de l'installation électrique 100 8 avant même qu'un événement d'arc électrique ne se produise. Chaque capteur de Type 1 est ainsi configuré pour détecter un phénomène non électrique par la mesure d'une grandeur physique non-électrique et pour fournir un signal dont l'amplitude est représentative de la valeur de la grandeur non-électrique mesurée. Par exemple, de manière non exhaustive, le capteur de type 1 permet : [0041] - la surveillance de la température de connecteurs ; [0042] - la surveillance d'efforts de précontrainte entre connecteurs ; [0043] - la surveillance de rayonnement infrarouge, ou plus largement de rayonnement sur une autre partie du spectre radiatif ou sur tout le spectre radiatif ; ou [0044] - la surveillance acoustique. [0045] Le premier contrôleur 210, qui est connecté aux sorties des capteurs de Type 1, est configuré pour effectuer : [0046] - une phase d'apprentissage avec acquisition d'enveloppes normales dans un envi- ronnement d'étude ; [0047] - une phase d' initialisation avec acquisition d'une mesure de référence pour chaque capteur de Type 1 ; et [0048] - une phase de surveillance. [0049] Pendant la phase d'apprentissage, une dite enveloppe normale est établie pour chaque capteur de Type 1. L'enveloppe normale définit la variabilité des signaux captés par ledit capteur de Type 1 en fonctionnement nominal de l'installation électrique 100. A noter que la phase d'apprentissage peut être effectuée en laboratoire avec un système de protection dédié à la phase d'apprentissage, et le premier contrôleur 210 est alors programmé pour stocker en mémoire les caractéristiques de chaque enveloppe normale à considérer par ledit premier contrôleur 210. [0050] La phase d'initialisation permet de déterminer la mesure de référence, autour de laquelle la variabilité des signaux mesurés par le capteur de Type 1 considéré doit être contrôlée. La phase d'initialisation permet préférentiellement d'effectuer une validation du fonctionnement de l'installation électrique 100, notamment en ce qui concerne le fonctionnement de chaque capteur de Type 1. [0051] La phase de surveillance effectuée par le premier contrôleur 210 comporte : [0052] - une acquisition de valeurs mesurées par chacun des capteurs de Type 1 ; [0053] - une comparaison continue des valeurs acquises par chacun des capteurs de Type 1 avec la mesure de référence correspondant audit capteur de Type 1, la différence entre les valeurs acquises par un capteur de Type 1 et la mesure de référence correspondante étant appelée signal Delta T1 ; [0054] - une phase de décision interne d'après le résultat de la comparaison, pour chaque capteur de Type 1, entre le signal Delta Tl et l'enveloppe normale correspondante ; et [0055] - une phase de robustesse. 9 [0056] Dans le cadre de la phase de décision interne, pour chaque capteur de Type 1 : [0057] - le premier contrôleur 210 délivre un signal interne « nominal » lorsque le signal Delta TI reste dans l'enveloppe normale (voir cas (a) de la Fig. 3, où un signal S est contenu au fil du temps t dans l'enveloppe normale 300), c'est-à-dire conforme à la variabilité attendue des mesures dudit capteur de Type 1 ; [0058] - le premier contrôleur 210 délivre un signal interne « détection de dommages po- tentiels » lorsque le signal Delta TI quitte l'enveloppe normale (voir cas (h) et (e) de la Fig. 3, où le signal S sort de l'enveloppe normale 300), ce qui génère un événement interne « détection de dommages potentiels » et stoppe le signal interne « nominal » ; et [0059] - le premier contrôleur 210 délivre à nouveau le signal interne « nominal » lorsque le signal Delta TI revient dans l'enveloppe normale. [0060] Afin de limiter les fausses détections, la phase de robustesse permet d'attendre qu'un nombre prédéfini NI (NI > 1) d'événements internes « détection de dommages potentiels » soit atteint, sur une fenêtre temporelle glissante (appelée fenêtre glissante SW1) de durée prédéfinie, pour que le premier contrôleur 210 délivre un signal, ou un événement, externe « détection de dommage ». Ce nombre NI est par exemple fixé à 3. [0061] Le signal, ou événement, externe « détection de dommage » déclenche une alerte dédiée, par exemple transmise à un affichage utilisateur ou transmise à un équipement de journalisation d'événements LOG (« event logger » en langue anglo-saxonne), ensuite analysé en opérations de maintenance afin de diriger des opérations d'inspection de l'installation électrique 100. [0062] Dans un mode de réalisation particulier, lors de la phase de robustesse, le premier contrôleur 210 délivre un signal externe « inspection requise » lorsqu'un nombre prédéfini Nlb (Nlb 1) d'événements internes « ouverture recommandée » soit atteint, sur une fenêtre temporelle glissante (appelée fenêtre glissante SW2) de durée prédéfinic, pour que le second contrôleur 220 délivre un signal, ou un événement, externe « ouverture ». Le signal externe « ouverture » déclenche l'ouverture du disjoncteur 170. Ce nombre N2 est par exemple fixé à 3. [0085] Dans un mode de réalisation particulier, les fenêtre glissantes SW1 et SW2 sont de même durée. [0086] Le signal, ou événement, externe « ouverture » déclenche l'ouverture du disjoncteur 170. Le signal, ou événement, externe « ouverture » peut déclencher en outre une alerte dédiée, par exemple transmise à un affichage utilisateur ou transmise à un équipement de journalisation d'événements LOG, ensuite analysé en opérations de maintenance afin de dhiger des opérations d'inspection de l'installation électrique 100. [0087] Le troisième contrôleur 230 est configuré pour prendre en compte, simultanément, les capteurs de Type 1 et de Type 2, et pour améliorer les performances réciproques des fonctions de prévention et de détection des arcs électriques, et notamment du temps de réponse et du taux de fausses détections (phase de robustesse). Le troisième contrôleur 230 prend en compte chacun des événements générés par le premier contrôleur 210 et le second contrôleur 220, indépendamment des phases de robustesse implémentées par le premier contrôleur 210 et le second contrôleur 220. Ainsi, le troisième contrôleur 230 implémente une phase de robustesse qui lui est propre, nourrie par le caractère multi-physique des événements qui lui sont rapportés. [0088] Le troisième contrôleur 230 implémente une phase de surveillance, qui comporte : [0089] - une acquisition des événements internes générés par le premier contrôleur 210 et le second contrôleur 220 ; et [0090] - une phase de décision interne. [0091] Dans le cadre de la phase de décision interne : [0092] - le troisième contrôleur 230 délivre un signal, ou un événement, externe « alarme », 12 lorsque, pendant une fenêtre temporelle glissante (appelée fenêtre glissante SW3) de durée prédéfinic, au moins un événement interne « détection de dommages potentiels » est généré par le premier contrôleur 210 et au moins un événement interne « ouverture recommandée » est généré par le second contrôleur 220, et lorsqu'en outre leur somme, sur ladite fenêtre glissante SW3, est supérieure ou égale à un nombre prédéfini N3 (N3 >1); et [0093] - le troisième contrôleur 230 délivre un signal externe « normal » sinon. [0094] Dans un mode de réalisation particulier, la fenêtre glissante SW3 est de même durée que les fenêtre glissantes SW1 et SW2. [0095] Le signal, ou événement, externe « alarme » déclenche l'ouverture du disjoncteur 170. Le signal, ou événement, externe « alarme » peut déclencher en outre une alerte dédiée, par exemple transmise à un affichage utilisateur ou transmise à un équipement de journalisation d'événements LOG, ensuite analysé en opérations de maintenance afin de diriger des opérations d'inspection de l'installation électrique 100. [0096] Considérons un premier scénario représentatif d'un phénomène physique lent. Un premier événement interne « détection de dommages potentiels » survient concernant la détection d'une anomalie non prioritaire par un capteur de Type 1. Si un second événement interne « détection de dommages potentiels » survient par un autre capteur de Type 1 dans la fenêtre glissante SW1, plus particulièrement relativement à un autre vecteur physique, le premier contrôleur 210 délivre alors un signal, ou un événement, externe « détection de dommage ». Ce type de signal, ou d'événement, externe entraîne une opération d'inspection de l'installation électrique 100. Ces opérations d'inspection consistent, par exemple, à arrêter l'installation électrique 100, à diagnostiquer l'installation électrique 100, et à prendre en conséquence d'éventuelles mesures correctives (e.g., resserrer ou remplacer des connecteurs). [0097] Considérons un second scénario représentatif d'un phénomène physique rapide. Un premier événement interne « détection de dommages potentiels » survient concernant la détection d'une anomalie non prioritaire par un capteur de Type 1. Si un second événement interne « ouverture recommandée » survient par un capteur de Type 2 dans la fenêtre glissante SW3, le troisième contrôleur déclenche l'ouverture immédiate du circuit électrique via le disjoncteur 170. [0098] Ainsi, le troisième contrôleur 230 est capable de détecter des anomalies de l'installation électriques avant qu'elles ne soient détectées par le premier contrôleur 210 ou le second contrôleur 220. Ainsi, le temps de réponse du système de protection électrique 110 est réduit. D'une manière générale, le détecteur 200, agissant comme organe de contrôle du système de protection électrique 110, est configuré pour commander en ouverture le disjoncteur 170 lorsque, dans une fenêtre temporelle glissante de durée prédéfinie, un phénomène non électrique anormal est détecté grâce 13 audit au moins un capteur de Type 1 (excursion de l'enveloppe normale par l'amplitude des signaux représentatifs des mesures faites par ledit au moins un capteur de Type 1) et qu'en outre un phénomène électrique anormal est détecté grâce audit au moins un capteur de Type 2 (excursion de l'enveloppe normale par l'amplitude des signaux représentatifs des mesures faites par ledit au moins un capteur de Type 2). [0099] La Fig. 4 illustre schématiquement un exemple d'architecture matérielle de contrôleur. L'exemple d'architecture matérielle de la Fig. 4 est applicable au premier contrôleur 210 et/ou au second contrôleur 220 et/ou au troisième contrôleur 230. Considérons à titre illustratif que l'exemple d'architecture matérielle s'applique au troisième contrôleur 230. [0100] Le troisième contrôleur 230 comporte alors, reliés par un bus de communication 410 : un microcontrôlcur ou un processeur ou un CPU (« Central Processing Unit » en langue anglo-saxonne) 401 ; une mémoire vive RAM (« Read-Only Memory » en langue anglo-saxonne) 402 ; une mémoire morte ROM (« Read Only Memory » en langue anglo-saxonne) 403, par exemple de type EEPROM (« Electrically-Erasable Programmable ROM » en langue anglo-saxonne) ou une mémoire Flash ; une unité de stockage 404, telle qu'un disque dur HDD (« Hard Disk Drive » en langue anglo-saxonne), ou un lecteur de support de stockage, tel qu'un lecteur de cartes SD (« Sccure Digital » en langue anglo-saxonne) ; un gestionnaire d'interfaces de communication COM 405. [0101] Le gestionnaire d'interfaces de communication COM 405 permet au troisième contrôleur 230 de communiquer avec le premier contrôleur 210 et le second contrôleur 220. Le gestionnaire d'interfaces de communication COM 405 permet au troisième contrôleur 230 de transmettre des événements et signaux à une unité externe, comme par exemple à un équipement de journalisation d'événements LOG etlou à un contrôleur d'avionique d'un aéronef dans lequel l'installation électrique 100 est embarquée. [0102] Le CPU 401 est capable (l'exécuter des instructions chargées dans la mémoire vive RAM 402 à partir de la mémoire morte ROM 403, d'une mémoire externe, d'un support de stockage (tel qu'une carte SD), ou d'un réseau de communication. Lorsque le troisième contrôleur 230 est mis sous tension, le CPU 401 est capable de lire de la mémoire vive RAM 402 des instructions et de les exécuter. Ces instructions forment un programme d'ordinateur causant l'implémentation, par le CPU 401, de tout ou partie des étapes, fonctionnements et comportements décrits ici en relation avec le troisième contrôleur 230. [0103] Tout ou partie des étapes, fonctionnements et comportements décrits ici en relation avec le premier contrôleur 210 et/ou le second contrôleur 220 etlou le troisième contrôleur 230 peut ainsi être implémenté sous forme logicielle par exécution d'un 14 ensemble d'instructions par une machine programmable, par exemple un processeur de type DSP (« Digital Signal Processor » en langue anglo-saxonne) ou un micro-contrôleur, ou être implémenté sous forme matérielle par une machine ou un composant dédié, par exemple un composant FPGA (« Field Programmable Gate Array » en langue anglo-saxonne) ou ASIC (« Application Spccific Integrated Circuit » en langue anglo-saxonne). D'une manière générale, le premier contrôleur 210, le second contrôleur 220 et le troisième contrôleur 230 comportent de la circuiterie électronique adaptée et configurée pour implémenter, sous forme logicielle et/ ou matérielle, les étapes, fonctionnements et comportements décrits ici. [0104] Tel qu'illustré sur la Fig. 5, l'installation électrique 100 et le système de protection électrique 110 peuvent être intégrés dans un aéronef 500. Dans un mode de réalisation particulier, lorsque l'ouverture du disjoncteur 170 est déclenchée, l'avionique de l'aéronef 500 bascule l'alimentation électrique des appareils électriques 130 sur une installation électrique de substitution. [Revendication 1] [Revendication 2] REVENDICATIONSSystème de protection électrique (110) destiné à protéger une installation électrique haute tension à courant continu (100), le système de protection électrique (110) comprenant : - au moins un capteur (160) de premier type, configuré pour effectuer des mesures d'une grandeur physique non électrique ; - au moins un capteur (160) de second type, configuré pour effectuer des mesures d'une grandeur physique électrique ; et - un organe de contrôle (200) connecté audit au moins un capteur de premier type (160) et audit au moins un capteur de second type (160), l'organe de contrôle (200) comportant de la circuiterie électronique configurée pour commander en ouverture un disjoncteur (170) de l'installation électrique haute tension à courant continu (100) lorsque, dans une fenêtre temporelle glissante, appelée fenêtre glissante SW3, un phénomène non électrique anormal est détecté grâce aux mesures dudit au moins un capteur (160) de premier type et qu'en outre un phénomène électrique anormal est détecté grâce aux mesures dudit au moins un capteur (160) de second type. Système de protection électrique (110) selon la revendication 1, dans lequel l'organe de contrôle (200) comporte un premier contrôleur (210) connecté à chaque capteur (160) de premier type, le premier contrôleur (210) étant sous forme de circuiterie électronique configurée pour : - effectuer une acquisition de valeurs mesurées par chaque capteur (160) de premier type ; - déterminer la différence, appelée signal Delta Tl, entre les valeurs acquises par chaque capteur (160) de premier type et une mesure de référence ; - décider de générer un événement interne à l'organe de contrôle (200) lorsque, pour au moins un dit capteur (160) de premier type, le signal Delta T1 sort d'une enveloppe normale, l'enveloppe normale définissant la variabilité des signaux captés par ledit capteur (160) de premier type en fonctionnement nominal de l'installation électrique haute tension à courant continu (100) ; et - décider de générer un événement externe à l'organe de contrôle (200) lorsque le nombre d'événements internes générés par le premier contrôleur (210) pendant une fenêtre temporelle glissante, appelée fenêtre glissante SW1, atteint un nombre prédéfini N1. 16 [Revendication 3] [Revendication 4] [Revendication 5] [Revendication 6] Système de protection électrique (110) selon la revendication 2, dans lequel un événement externe différent est généré selon si le nombre Ni d'événements internes générés pendant la fenêtre glissante SW1 est atteint grâce à un seul capteur (160) de premier type ou par une pluralité de capteurs (160) de premier type. Système de protection électrique (110) selon l'une quelconque des revendications 1 à 3, dans lequel l'organe de contrôle comporte un second contrôleur (220) connecté à chaque capteur (160) de second type, le second contrôleur (220) étant sous forme de circuiterie électronique configurée pour : - effectuer une acquisition de valeurs mesurées par chaque capteur (160) de second type ; - déterminer la différence, appelée signal Delta T2, entre les valeurs acquises par chaque dit capteur (160) de second type et une mesure de référence ; - décider de générer un événement interne à l'organe de contrôle (200) lorsque, pour au moins un dit capteur (160) de second type, le signal Delta T2 sort d'une enveloppe normale, l'enveloppe normale définissant la variabilité des signaux captés par ledit capteur (160) de second type en fonctionnement nominal de l'installation électrique haute tension à courant continu (100) ; et - décider de générer un événement externe à l'organe de contrôle (200) lorsque le nombre d'événements internes générés par le second contrôleur (220) pendant une fenêtre temporelle glissante, appelée fenêtre glissante SW2, atteint un nombre prédéfini N2. Système de protection électrique selon la revendication 4, dans lequel l'organe de contrôle (220) commande en ouverture le disjoncteur (170) lorsqu'un dit événement externe est généré par le second contrôleur. Système de protection électrique selon la revendication 2 et la revendication 4 ou 5, dans lequel l'organe de contrôle (200) comporte un troisième contrôleur (230) connecté au premier contrôleur (210) et au second contrôleur (220), le troisième contrôleur (230) étant sous forme de circuiterie électronique configurée pour : - recevoir les événements internes générés par le premier contrôleur (210) ; - recevoir les événements internes générés par le second contrôleur (220) ; - décider de générer un événement externe à l'organe de contrôle (200) 17 [Revendication 7] [Revendication 8] [Revendication 9] lorsque, pendant la fenêtre glissante SW3, au moins un événement interne est généré par le premier contrôleur (210) et au moins un événement interne est généré par le second contrôleur (220), et lorsqu'en outre leur somme, sur ladite fenêtre glissante SW3, est supérieure ou égale à un nombre prédéfini N3. Système de protection électrique (110) selon l'une quelconque des revendications 1 à 6, comportant au moins deux capteurs (160) de premier type détectant des phénomènes non électriques de natures différentes. Aéronef (500) comportant une installation électrique haute tension à courant continu (100) munie d'un système de protection électrique (110) selon l'une quelconque des revendications 1 à 7 afin de protéger ladite installation électrique haute tension à courant continu (100). Procédé implémenté par un système de protection électrique (110) protégeant une installation électrique haute tension à courant continu (100), le système de protection électrique (110) comprenant : - au moins un capteur (160) de premier type, configure pour effectuer des mesures d'une grandeur physique non électrique ; - au moins un capteur (160) de second type, configuré pour effectuer des mesures d'une grandeur physique électrique ; et - un organe de contrôle (200) connecté audit au moins un capteur (160) de premier type et audit au moins un capteur (160) de second type, le procédé étant tel que l'organe de contrôle (200) commande en ouverture un disjoncteur (170) de l'installation électrique haute tension à courant continu (100) lorsque, dans une fenêtre temporelle glissante, appelée fenêtre glissante SW3, un phénomène non électrique anormal est détecté grâce aux mesures dudit au moins un capteur (160) de premier type et qu'en outre un phénomène électrique anormal est détecté grâce aux mesures dudit au moins un capteur (160) de second type.