FR 3154125 A1 20250418 FR 2311177 A 20231017 L’invention concerne une unité (200) de production d’hydrogène comprenant : un empilement (102) de cellules à oxyde solide, un circuit (110) d’air, et un circuit de fuel (120) traversant ledit empilement (102) ; caractérisé en ce que ladite unité (200) est équipée d’un système d’arrêt comprenant : une entrée (202) et une sortie (204) de gaz neutre pour faire circuler un gaz neutre prédéterminé dans ledit empilement, une entrée (206) et une sortie (208) de gaz de sécurité pour faire circuler un gaz de sécurité dans ledit empilement (102), et un module (210) de contrôle pour faire passer ledit empilement (102) de la configuration de production à la configuration d’arrêt. Elle concerne également un procédé de pilotage d’une telle unité. Voir Figure 2 Unité de production d’hydrogène munie d’un système d’arrêt, et procédé d’arrêt d’une telle unité La présente invention concerne une unité de production d’hydrogène par électrolyse à haute température de vapeur d’eau munie d’un système d’arrêt de ladite unité. Elle concerne également un procédé d’arrêt d’une telle unité. Le domaine de l’invention est de manière générale le domaine de la production d’hydrogène par électrolyse à haute température de vapeur d’eau, et en particulier dans un électrolyseur à oxyde solide. État de la technique Il existe actuellement différentes techniques de production d’hydrogène. Une de ces techniques est l’électrolyse à haute température de la vapeur d’eau dans un électrolyseur à oxyde solide, SOEL (pour « Solide Oxide Electrolyser » en anglais). En résumé, l’eau est chauffée pour obtenir de la vapeur d’eau à une température de l’ordre de 150°C. La vapeur d’eau est introduite dans unité d’électrolyse surchauffée à une température comprise entre 700°C et 850° et alimentée en courant électrique pour décomposer la molécule de vapeur d’eau H 2 O en molécules de H 2 et O 2 de sorte à obtenir, en sortie de ladite unité d’électrolyse, un flux d’hydrogène H 2 et un flux d’oxygène O 2 à partir d’un flux de vapeur d’eau. Une unité d’électrolyse à haute température de la vapeur d’eau comprend un empilement de cellules à oxyde solide, également appelé stack dans la suite, qui constitue le composant essentiel et aussi le plus coûteux de ladite unité. Chaque cellule d’électrolyse est au contact, d’un côté avec un flux d’air amené par un circuit d’air et de l’autre avec un flux, appelé fuel, le fuel pouvant être, soit un mélange vapeur-hydrogène, soit un mélange azote-hydrogène. Le besoin de maintenir les conditions opératoires du stack (pression, composition des fluides et température) dans une enveloppe précise est essentiel, tout écart a cette enveloppe pouvant conduire à un endommagement, voire a une destruction des cellules composant chaque stack. A titre d’exemple, et de manière non exhaustive : le maintien d’un différentiel de pression de part et d’autre de chaque cellule est essentiel, et un différentiel de pression trop important (positif ou négatif) peut endommager mécaniquement les cellules. Ce non maintien de la pression de chaque côté et le différentiel de pression, peut être due a un problème lie aux boucles de régulation afférente, un problème sur la fourniture d’air (débit, pression), ou encore un problème sur la fourniture du fuel (débit, pression) ; lorsque les cellules produisent de l’hydrogène (dans ce cas le fuel est un mélange vapeur-hydrogène), un débit de vapeur trop faible voire une coupure de la vapeur entraine a court terme une destruction de la cellule (phénomène connu sous le nom de « steam starvation ») ; si la proportion d’hydrogène dans le flux fuel en entrée est trop basse, alors on observe des phénomènes de re-oxydation délétère pour le fonctionnement des cellules ; si le taux d’humidité de l’air fourni au stack (côté air) est trop important, on peut également observer des dégradations de cellule inacceptable. Ainsi, pour toutes les situations de déviation de process pouvant affecter l’intégrité des stacks (et donc des cellules) il existe un besoin pour une solution permettant un arrêt, en particulier un arrêt d’urgence, de l’unité d’électrolyse sans endommager ladite unité et sans présenter de risque. Un but de la présente invention est de remédier à au moins un des inconvénients précités. Un autre but de l’invention est de proposer une solution efficace pour arrêter rapidement et sans endommagement une unité d’électrolyse à haute température de vapeur d’eau. Un autre but de l’invention est de proposer une solution efficace pour réaliser un arrêt d’urgence d’une unité de production d’hydrogène par électrolyse de vapeur d’eau à haute température. L’invention propose d’atteindre au moins l’un des buts précités par une unité de production d’hydrogène par électrolyse à haute température de vapeur d’eau, ladite unité comprenant : un empilement de cellules à oxyde solide, un circuit, dit circuit d’air, traversant ledit empilement, et comportant une entrée d’air et une sortie d’air enrichi en oxygène, dans une configuration de production d’hydrogène dudit empilement, et un circuit, dit circuit de fuel, traversant ledit empilement, comportant une entrée de vapeur d’eau et une sortie de vapeur d’eau enrichi en hydrogène, dans ladite configuration de production. Selon l’invention, l’unité de production d’hydrogène est équipée d’un système d’arrêt de ladite unité, ledit système d’arrêt comprenant : une entrée et une sortie de gaz neutre, prévues sur le circuit d’air de part et d’autre dudit empilement, pour faire circuler un gaz neutre prédéterminé dans ledit empilement, dans une configuration d’arrêt dudit empilement, une entrée et une sortie de gaz de sécurité, prévues sur le circuit de fuel de part et d’autre dudit empilement, pour faire circuler un gaz de sécurité prédéterminé dans ledit empilement, dans la configuration d’arrêt, et un module de contrôle pour faire passer ledit empilement de la configuration de production à la configuration d’arrêt. Ainsi, l’invention propose une unité de production d’hydrogène par électrolyse à haute température de vapeur d’eau qui est équipée d’un système d’arrêt de ladite unité. Le système d’arrêt permet d’injecter d’une part un gaz neutre dans le circuit d’air et d’autre part un gaz de sécurité dans le circuit de fuel : ainsi il est possible de préserver un équilibre de pression, ainsi que des conditions évitant la re-oxydation des cellules, dans l’empilement de cellules et en particulier de part et d’autre de chaque cellule : cela permet de préserver l’intégrité des cellules et donc de ne pas endommager l’empilement de cellules. De plus, l’injection du gaz neutre dans le circuit d’air et du gaz de sécurité dans le circuit de fuel permet un « séchage des cellules » permettant de réduire très fortement la présence de molécules d’oxygène (présentes dans la vapeur mais aussi l’air) causant une re-oxydation des cellules dans un milieu non-réducteur (i.e pas suffisamment riche en hydrogène). En outre, et surtout, le système d’arrêt équipant l’unité de production d’hydrogène peut être utilisé pour réaliser un arrêt d’urgence de ladite unité, par exemple en cas d’incident sur le circuit d’air ou sur le circuit de fuel. Un tel arrêt d’urgence peut être déclenché de manière très rapide en cas d’incident car le système d’arrêt est raccordé sur les circuits d’air et de fuel directement, et à tout moment. Par « circuit d’air » on entend, un circuit fournissant un premier flux, qui est généralement de l’air, à l’empilement de cellules. Ce premier flux se charge de molécules d’O 2 produites lors de l’électrolyse de la vapeur d’eau dans l’empilement de sorte que le circuit d’air évacue dudit empilement un premier flux enrichi en oxygène. Le circuit d’air comprend un conduit d’entrée amenant le premier flux vers l’empilement, un cheminement au sein de l’empilement, et un conduit de sortie évacuant le premier flux enrichi en oxygène hors dudit empilement. Le circuit d’air comporte une entrée, prévue sur le conduit d’entrée, pour le premier flux et utilisée lors de la phase de production. L’entrée peut de préférence être munie d’une ou plusieurs vannes permettant d’autoriser, d’interdire, et éventuellement d’ajuster, le passage de flux par ladite entrée. Le circuit d’air comporte une sortie, prévue sur le conduit de sortie, pour évacuer le premier flux enrichi en oxygène lors de la phase de production. La sortie peut être munie d’une ou plusieurs vannes permettant d’autoriser, d’interdire, et éventuellement d’ajuster, le passage de flux par ladite sortie. Par « circuit de fuel » on entend, un circuit fournissant un deuxième flux comprenant de la vapeur d’eau, H 2 O, et de l’hydrogène, H2, typiquement dans une proportion respective 90%/10% en répartition molaire, à l’empilement de cellules. Les molécules de vapeur d’eau sont cassées dans l’empilement lors de la réaction d’électrolyse, ce qui produit des molécules d’hydrogène H 2 et des molécules d’O 2 . Les molécules d’O 2 passent dans le circuit d’air au travers chaque cellule et enrichissent le premier flux en oxygène. Les molécules d’H 2 restent dans le circuit de fuel et enrichissent en H 2 le deuxième flux. Ainsi, le circuit de fuel évacue de l’empilement un deuxième flux enrichi en H 2 . Le circuit de fuel comprend un conduit d’entrée amenant le deuxième flux vers l’empilement, un cheminement au sein de l’empilement, et un conduit de sortie évacuant le deuxième flux enrichi en hydrogène hors dudit empilement. Le circuit de fuel comporte une entrée, prévue sur le conduit d’entrée, pour le deuxième flux et utilisée lors de la phase de production pour fournir le deuxième flux à l’empilement. Suivant des modes de réalisation, l’entrée peut comporter plusieurs sous-entrées, chacune utilisée pour injecter une composante du deuxième flux, lorsque celui-ci est un mélange de plusieurs gaz. Ainsi, l’entrée du circuit de fuel peut par exemple comporter une sous-entrée de vapeur d’eau, une sous-entrée d’H 2 et éventuellement une sous-entrée de gaz de sécurité. L’entrée, respectivement au moins une sous-entrée le cas échéant, peut de préférence être munie d’une ou plusieurs vannes permettant d’autoriser, d’interdire, et éventuellement d’ajuster, le passage de flux par ladite entrée, respectivement ladite au moins une sous-entrée. Le circuit de fuel comporte une sortie, prévue sur le conduit de sortie, pour évacuer le deuxième flux enrichi en H 2 lors de la phase de production. Suivant des modes de réalisation, la sortie peut comporter plusieurs sous-sorties, chacune utilisée pour récupérer une composante du deuxième flux enrichi en hydrogène. Ainsi, la sortie du circuit de fuel peut par exemple comporter une sous-sortie de vapeur d’eau pour récupérer la vapeur d’eau résiduelle dans le deuxième flux enrichie en hydrogène, une sous-sortie d’H 2 pour récupérer le H 2 se trouvant dans le deuxième flux, etc. La sortie, respectivement au moins une sous-sortie le cas échéant, peut de préférence être munie d’une ou plusieurs vannes permettant d’autoriser, d’interdire, et éventuellement d’ajuster, le passage de flux par ladite sortie, respectivement ladite au moins une sous-sortie. Par « configuration de production » on entend, une configuration dans laquelle la réaction d’électrolyse a lieu dans l’empilement de cellules, de sorte que ledit empilement génère de l’hydrogène par électrolyse à haute température de la vapeur d’eau. Par « configuration d’arrêt », on entend une configuration dans laquelle la réaction d’électrolyse est arrêtée, ou du moins en cours d’arrêt, de sorte que la production d’hydrogène est arrêtée, en partant d’une configuration de production de l’unité de production d’hydrogène. Par « configuration de démarrage », on entend une configuration dans laquelle la réaction d’électrolyse est déclenchée, ou du moins en cours de déclenchement, en partant d’une configuration d’arrêt de l’unité de production d’hydrogène. Suivant des modes de réalisation, l’entrée de gaz neutre peut comporter au moins une vanne de régulation du passage de gaz neutre. Ainsi, il est possible d’actionner cette vanne pour autoriser ou non le passage du gaz neutre dans le circuit d’air, et éventuellement l’ajuster. En d’autres termes, il est possible de déclencher la phase d’arrêt de production d’hydrogène en actionnant cette vanne pour injecter le gaz neutre dans le circuit d’air, ce qui peut être réalisé de manière simple et rapide. Surtout, l’actionnement de la vanne peut être réalisée de manière automatisée, dès détection d’un incident sur le circuit d’air et/ou sur le circuit de fuel, ce qui permet de réaliser un arrêt d’urgence. La vanne de régulation équipant l’entrée de gaz neutre sur le circuit d’air peut être une vanne normalement ouverte. Ainsi, la vanne autorise le passage de gaz neutre dans le circuit d’air dans son état normal et doit être fermé dans le cas contraire. Suivant des modes de réalisation, l’entrée de gaz neutre peut comporter un régulateur de pression pour réguler la pression du gaz neutre dans le circuit d’air. Ainsi, il est possible de contrôler et d’ajuster la pression du gaz neutre dans le circuit d’air pour éviter toute dérive de pression dans le circuit d’air lors de phase d’arrêt et éviter une dégradation de l’empilement de cellules. Suivant un exemple de réalisation, le régulateur de pression peut être configuré pour assurer une pression de 10 mbarg en sortie du circuit d’air et une pression de 1barg en entrée du circuit d’air. Bien entendu ces valeurs sont données à titre d’exemple indicatif et ne sont nullement limitatives. Suivant des modes de réalisation, la sortie de gaz neutre peut comporter au moins une vanne de régulation du passage de gaz neutre. La vanne de régulation équipant la sortie de gaz neutre sur le circuit d’air peut être une vanne normalement ouverte de sorte qu’elle autorise la sortie du gaz neutre du circuit d’air dans son état normal et doit être fermé dans le cas contraire. Suivant des modes de réalisation, le système d’arrêt peut en outre comprendre une source de gaz neutre reliée à l’entrée de gaz neutre. Une telle source de gaz neutre peut être un réservoir de gaz neutre. Une telle source de gaz neutre peut être à pression ambiante. Alternativement, de préférence, la source de gaz neutre peut être à une pression supérieure ou égale à la pression de gaz neutre souhaitée dans le circuit d’air. Une telle source de gaz neutre peut comprendre, ou être, une ou plusieurs bouteilles de gaz neutre. Alternativement, le système d’arrêt de l’unité de production d’hydrogène selon l’invention peut ne pas comprendre de source, ou de réservoir, de gaz neutre, en particulier lorsque le site sur lequel se trouve ladite unité de production d’hydrogène est déjà équipé d’une source de gaz neutre. Dans ce cas, l’entrée de gaz neutre est reliée directement, ou par l’intermédiaire d’un autre appareil, à ladite source de gaz neutre équipant ledit site. Suivant des modes de réalisation, l’entrée de gaz de sécurité peut comporter au moins une vanne de régulation du passage de gaz de sécurité. Ainsi, il est possible d’actionner cette vanne pour autoriser ou non le passage du gaz de sécurité dans le circuit de fuel, et éventuellement l’ajuster. En d’autres termes, il est possible de déclencher la phase d’arrêt de production d’hydrogène en actionnant cette vanne pour injecter le gaz de sécurité dans le circuit de fuel, ce qui peut être réalisé de manière simple et rapide. Surtout, l’actionnement de la vanne peut être réalisée de manière automatisée, dès détection d’un incident sur le circuit d’air et/ou sur le circuit de fuel, ce qui permet de réaliser un arrêt d’urgence de l’unité de production d’hydrogène. La vanne de régulation équipant l’entrée de gaz de sécurité sur le circuit de fuel peut être une vanne normalement ouverte. Ainsi, la vanne autorise le passage de gaz de sécurité dans le circuit de fuel dans son état normal et doit être fermé dans le cas contraire. Suivant des modes de réalisation, l’entrée de gaz de sécurité peut comporter un régulateur de pression pour réguler la pression du gaz de sécurité dans le circuit de fuel. Ainsi, il est possible de contrôler et d’ajuster la pression du gaz de sécurité dans le circuit de fuel pour éviter toute dérive de pression dans le circuit de fuel lors de phase d’arrêt et éviter une dégradation de l’empilement de cellules. Suivant un exemple de réalisation, le régulateur de pression peut être configuré pour assurer une pression de 10 mbarg en sortie du circuit de fuel et une pression de 1barg en entrée du circuit de fuel. Bien entendu ces valeurs sont données à titre d’exemple indicatif et ne sont nullement limitatives. Suivant des modes de réalisation, la sortie de gaz de sécurité peut comporter au moins une vanne de régulation du passage de gaz de sécurité. La vanne de régulation équipant la sortie de gaz de sécurité sur le circuit de fuel peut être une vanne normalement ouverte de sorte qu’elle autorise la sortie du gaz de sécurité du circuit de fuel dans son état normal et doit être fermé dans le cas contraire. Suivant des modes de réalisation, le système d’arrêt peut en outre comprendre une source de gaz de sécurité reliée à l’entrée de gaz de sécurité. Une telle source de gaz de sécurité peut être un réservoir de gaz de sécurité. La source de gaz de sécurité peut être à pression ambiante. Alternativement, la source de gaz de sécurité peut être à une pression supérieure ou égale à la pression de gaz de sécurité souhaitée dans le circuit de fuel. La source de gaz de sécurité peut comprendre, ou être, une ou plusieurs bouteilles de gaz de sécurité. Alternativement, le système d’arrêt de l’unité de production d’hydrogène selon l’invention peut ne pas comprendre de source, ou de réservoir, de gaz de sécurité, en particulier lorsque le site sur lequel se trouve ladite unité de production d’hydrogène est déjà équipé d’une source de gaz de sécurité. Dans ce cas, l’entrée de gaz de sécurité est reliée directement, ou par l’intermédiaire d’un autre appareil, à ladite source de gaz de sécurité équipant ledit site. Bien entendu, l’entrée de gaz neutre et/ou la sortie de gaz neutre peut être équipée d’un capteur de pression et/ou un capteur de débit. Bien entendu, l’entrée de gaz de sécurité et/ou la sortie de gaz de sécurité peut être équipée d’un capteur de pression et/ou un capteur de débit. Suivant des modes de réalisation nullement limitatifs, le gaz neutre peut être, ou peut comprendre, de l’azote. Bien entendu, un autre gaz neutre vis-à-vis de l’électrolyse à haute température de vapeur d’eau peut être utilisé. Suivant des modes de réalisation, le gaz de sécurité peut être tout type de gaz non explosif dans une configuration de production d’hydrogène par électrolyse à haute température par . Suivant des modes de réalisation nullement limitatifs, le gaz de sécurité peut être un mélange N 2 /H 2 avec une proportion de H 2 empêchant la re-oxydation des cellules, en particulier une proportion de H 2 inférieure ou égale à 5%, en particulier inférieure ou égale à 4% de H 2 , par exemple inférieur ou égale à 1%. Bien entendu, un autre gaz de sécurité vis-à-vis de l’électrolyse à haute température de vapeur d’eau peut être utilisé. Le module de contrôle peut être tout type d’appareil électronique et/ou électropneumatique et/ou encore électromécanique. Le module de contrôle peut par exemple être une machine d’état. Le module de contrôle peut comprendre une ou plusieurs entrées recevant une ou plusieurs valeurs d’entrée, ou de signaux d’entrée, choisie(s) parmi les valeurs/signaux suivantes : au moins un(e) valeur/signal de pression dans le circuit d’air, et/ou au moins un(e) valeur/signal de pression dans le circuit de fuel ; au moins un(e) valeur/signal de température dans le circuit d’air, et/ou au moins un(e) valeur/signal de température dans le circuit de fuel ; au moins un(e) valeur/signal de température dans l’empilement, et/ou au moins un(e) valeur/signal de pression dans l’empilement ; au moins un(e) valeur/signal d’état signalant l’état de fonctionnement d’au moins une vanne du circuit d’air, en particulier d’au moins une vanne équipant l’entrée, dans le circuit d’air, du premier flux et/ou d’au moins une vanne équipant la sortie, du circuit d’air, du premier flux enrichi en oxygène ; au moins un(e) valeur/signal d’état signalant l’état de fonctionnement d’au moins une vanne du circuit de fuel, en particulier d’au moins une vanne équipant l’entrée, dans le circuit de fuel, du deuxième flux et/ou d’au moins une vanne équipant la sortie, du circuit de fuel, du deuxième flux enrichi en hydrogène. Suivant des modes de réalisation, le module de contrôle peut être agencé pour détecter un incident sur le circuit d’air et/ou un incident sur le circuit de fuel, et déclencher la configuration d’arrêt. La détection d’incident peut être réalisée en fonction d’au moins une donnée d’entrée reçue par le module de contrôle. En particulier, la détection d’un incident peut être réalisée en fonction d’au moins une donnée d’entrée relative à la pression dans chacun des circuits, ou de l’état d’une vanne du circuit d’air et/ou de l’état d’une vanne du circuit de fuel. Plus généralement, la détection d’un incident peut être réalisée en fonction d’une ou plusieurs des données d’entrée listées plus haut. Le module de contrôle peut générer au moins une donnée de sortie, ou au moins un signal de sortie, et en particulier : au moins une donnée, ou au moins un signal, de sortie pour commander au moins une vanne, et en particulier chaque vanne, installée sur le circuit d’air, et/ou au moins une donnée, ou au moins un signal, de sortie pour commander au moins une vanne, et en particulier chaque vanne, installée sur le circuit de fuel. Suivant des modes de réalisation, le module de contrôle peut être configuré, ou programmé, pour réaliser une phase d’arrêt en vue de passer l’unité de production d’hydrogène de la configuration de production à la configuration d’arrêt. La phase d’arrêt peut comprendre une étape de déclenchement comprenant les étapes suivantes réalisées en parallèle : ouverture de l’entrée de gaz neutre et de la sortie de gaz neutre sur le circuit d’air, et de l’entrée de gaz de sécurité et de la sortie de gaz de sécurité sur le circuit de fuel, et fermeture des autres entrées et sorties des circuits d’air et de fuel. De préférence, ces étapes peuvent être réalisées simultanément. Ces étapes peuvent alternativement être réalisées dans un lapse de temps court, par exemple inférieur ou égale à 5 secondes, plus particulièrement 2 secondes. A la fin de l’étape de déclenchement, le circuit d’air est parcouru uniquement par le gaz neutre et le circuit de fuel est parcouru uniquement par le gaz de sécurité. Ainsi, la pression respective de chacun des circuits, et la pression relative des deux circuits entre eux, est assurée par le gaz de neutre et le gaz de sécurité. De plus, ces gaz permettent de mettre fin à, ou du moins commencer à arrêter, la réaction d’électrolyse qui a lieu dans l’empilement de cellules. Suivant des modes de réalisation, le module de contrôle peut être configuré, ou programmé, pour réaliser, lors de la phase d’arrêt, une étape de purge de l’unité de production d’hydrogène selon l’invention, et en particulier de l’empilement de cellules. L’étape de purge peut comprendre les étapes suivantes : maintien ouvertes de l’entrée de gaz neutre et de la sortie de gaz neutre sur le circuit d’air, et de l’entrée de gaz de sécurité et de la sortie de gaz de sécurité sur le circuit de fuel, et maintien fermées des autres entrées et sorties des circuits d’air et de fuel ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une pression prédéterminée. L’étape de purge permet de purger, avec le gaz neutre, le circuit d’air de l’oxygène se trouvant dans ledit circuit d’air. En effet, après le déclenchement de la phase d’arrêt certaines cellules peuvent ne pas encore être totalement arrêtée et produire de l’hydrogène avant que la réaction d’électrolyse s’arrête totalement, ce qui génère encore de l’oxygène qu’il faut purger. L’étape de purge permet de purger, avec le gaz de sécurité, le circuit de fuel de l’hydrogène, ou de la vapeur d’eau, se trouvant dans ledit circuit de fuel. En effet, après le déclenchement de la phase d’arrêt certaines cellules peuvent ne pas encore être totalement arrêtée et produire de l’hydrogène avant que la réaction d’électrolyse s’arrête totalement, ce qui génère encore de l’hydrogène qu’il faut purger. De plus, il peut encore y avoir de la vapeur d’eau dans le circuit de fuel : cette vapeur d’eau résiduelle doit être purgée sinon elle peut abîmer les cellules d’électrolyse. L’étape de purge peut être réalisée pendant une durée prédéterminée, par exemple de 30 minutes. Cette durée peut être variable d’une unité à l’autre par exemple en fonction de la taille de l’empilement de cellules ou de la puissance de l’unité de production d’hydrogène. L’étape de purge peut être réalisée jusqu’à atteindre une pression prédéterminée dans le circuit d’air, et/ou dans le circuit de fuel. Suivant des modes de réalisation, le module de contrôle peut être configuré, ou programmé, pour réaliser, lors de la phase d’arrêt, une étape de refroidissement de l’unité de production d’hydrogène selon l’invention, et en particulier de l’empilement de cellules. Cette étape de refroidissement peut comprendre les étapes suivantes : maintien ouvertes de l’entrée de gaz neutre sur le circuit d’air et de l’entrée de gaz de sécurité sur le circuit de fuel, fermeture de la sortie de gaz neutre sur le circuit d’air et de la sortie de gaz de sécurité sur le circuit de fuel, et maintien fermées des autres entrées et sorties des circuits d’air et de fuel ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une température de l’empilement en dessous d’un seuil prédéterminé. Cette étape de refroidissement permet de faire descendre en température l’unité de production, et en particulier l’empilement de cellules, tout en compensant les pertes de gaz intrinsèques dans l’empilement de cellules. L’étape de refroidissement peut être réalisée pendant une durée prédéterminée, par exemple de 2 heures. Cette durée peut être variable d’une unité à l’autre par exemple en fonction de la taille de l’empilement de cellules ou de la puissance de l’unité de production d’hydrogène selon l’invention. L’étape de refroidissement peut être réalisée jusqu’à ce que la température de l’empilement de cellules soit inférieure ou égale à une température seuil, par exemple de 200°C. Suivant un autre aspect de la présente invention, il est proposé un procédé de pilotage d’une unité de production d’hydrogène selon l’invention, ledit procédé comprenant une phase d’arrêt pour passer l’unité de production d’hydrogène selon l’invention de la configuration de production à la configuration d’arrêt. La phase d’arrêt peut comprendre les étapes décrites plus haut en référence au module de contrôle, ainsi que toutes les alternatives ou caractéristiques décrites en lien avec chacune desdites étapes. En particulier, la phase d’arrêt peut comprendre une étape de déclenchement comprenant les étapes suivantes réalisées en parallèle, et de préférence de manière simultanée : ouverture de l’entrée de gaz neutre et de la sortie de gaz neutre sur le circuit d’air, et de l’entrée de gaz de sécurité et de la sortie de gaz de sécurité sur le circuit de fuel, et fermeture des autres entrées et sorties des circuits d’air et de fuel. Suivant des modes de réalisation, la phase d’arrêt peut comprendre une étape de purge comprenant les étapes suivantes : maintien ouvertes de l’entrée de gaz neutre et de la sortie de gaz neutre sur le circuit d’air, et de l’entrée de gaz de sécurité et de la sortie de gaz de sécurité sur le circuit de fuel, et maintien fermées des autres entrées et sorties des circuits d’air et de fuel ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une pression prédéterminée dans l’empilement de cellules. Suivant des modes de réalisation, la phase d’arrêt peut comprendre une étape de refroidissement comprenant les étapes suivantes : maintien ouvertes de l’entrée de gaz neutre sur le circuit d’air et de l’entrée de gaz de sécurité sur le circuit de fuel, fermeture de la sortie de gaz neutre sur le circuit d’air et de la sortie de gaz de sécurité sur le circuit de fuel, et maintien fermées des autres entrées et sorties des circuits d’air et de fuel ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une température de l’empilement en dessous d’un seuil prédéterminé. Description des figures et modes de réalisation D’autres avantages et caractéristiques apparaîtront à l’examen de la description détaillée de modes de réalisation nullement limitatifs, et des dessins annexés sur lesquels : la FIG. 1 est une représentation schématique d’un exemple de réalisation non limitatif d’une unité de production d’hydrogène de l’état de la technique ; et la FIG. 2 est une représentation schématique d’un exemple de réalisation non limitatif d’une unité de production d’hydrogène selon l’invention ; la FIG. 3 est une représentation schématique d’un autre exemple de réalisation non limitatif d’une unité de production d’hydrogène selon l’invention ; et la FIG. 4 est une représentation schématique d’un exemple de réalisation non limitatif d’un procédé selon l’invention. Il est bien entendu que les modes de réalisation qui seront décrits dans la suite ne sont nullement limitatifs. On pourra notamment imaginer des variantes de l’invention ne comprenant qu’une sélection de caractéristiques décrites par la suite isolées des autres caractéristiques décrites, si cette sélection de caractéristiques est suffisante pour conférer un avantage technique ou pour différencier l’invention par rapport à l’état de la technique antérieure. Cette sélection comprend au moins une caractéristique de préférence fonctionnelle sans détails structurels, ou avec seulement une partie des détails structurels si c’est cette partie qui est uniquement suffisante pour conférer un avantage technique ou pour différencier l’invention par rapport à l’état de la technique antérieure. En particulier toutes les variantes et tous les modes de réalisation décrits sont combinables entre eux si rien ne s’oppose à cette combinaison sur le plan technique. Sur les figures et dans la suite de la description, les éléments communs à plusieurs figures conservent la même référence. La FIG. 1 est une représentation schématique d’un exemple de réalisation non limitatif d’une unité de production d’hydrogène, de l’état de la technique. L’unité 100 de la FIG. 1 réalise une production d’hydrogène par électrolyse à haute température de vapeur d’eau, et en particulier une électrolyse de la vapeur d’eau à une température comprise entre 700°C et 850°C. L’unité 100 de production d’hydrogène par électrolyse à haute température de vapeur d’eau comprend un empilement 102 de cellules d’électrolyse. En particulier, chaque cellule d’électrolyse est une cellule d’électrolyse à oxyde solide. En particulier, l’unité 100 est un électrolyseur à oxide solide, ou SOEL pour « Solid Oxyde Electrolyser » en anglais. L’empilement 102 de cellules d’électrolyse peut être un empilement vertical ou un empilement horizontal. L’empilement 102 peut comprendre un nombre donné de cellules d’électrolyse, et en particulier 50 cellules d’électrolyse empilées les unes avec les autres avec des interconnecteurs disposés entre deux cellules adjacentes. L’empilement est alimenté par de la vapeur d’eau et un courant électrique. Au niveau des cellules d’électrolyse, les molécules de vapeur d’eau sont cassées, ce qui permet de produire de l’hydrogène, et en particulier du dihydrogène H 2 , et de l’oxygène et en particulier du dioxygène, O 2 . L’empilement 102 est disposé dans une enceinte 104, appelée hotbox, maintenue à haute température, en particulier à une température comprise entre 700°C et 850°C. L’enceinte 104 peut comprendre des échangeurs de chaleur, et en particulier deux échangeurs de chaleurs 106 et 108 pour chauffer les flux entrants dans l’empilement et récupérer la chaleur des flux sortant de l’empilement. L’unité 100 comprend en outre un premier circuit 110, appelé circuit d’air, fournissant un flux d’air à l’empilement 102. Le flux d’air entre dans le circuit d’air 110 par une entrée d’air 112, puis traverse le circuit d’air 110 en passant par l’empilement 102. Au passage de l’empilement 102, le flux d’air circulant dans le circuit d’air 110 s’enrichit avec les molécules d’O 2 produites lors de l’électrolyse. Le flux d’air enrichi en oxygène sort du circuit d’air par une sortie d’air 114. Dans l’exemple représenté sur la FIG. 1 , l’entrée d’air 112 du circuit d’air 110 est équipée : d’une vanne d’isolement 116 1 . Cette vanne d’isolement 116 1 est une vanne normalement fermée 116. Lors du fonctionnement de l’unité de production, la vanne 116 1 est maintenue ouverte par exemple grâce à un circuit pneumatique commandant l’ouverture de ladite vanne 116 1 ; une vanne de contrôle de débit 118 1 . Cette vanne 118 1 de contrôle de débit est une vanne normalement ouverte. Dans l’exemple de la FIG. 1 , cette vanne de contrôle de débit 118 1 est disposée entre la vanne d’isolement 116 1 et la hotbox 104. Cette vanne 118 1 a pour fonction de contrôler, et/ou d’ajuster, le débit du flux entrant dans le stack par le circuit d’air. La sortie d’air 114 du circuit d’air 110 est équipée : d’une vanne d’isolement 116 2 . Cette vanne d’isolement 116 2 est une vanne normalement fermée. Lors du fonctionnement de l’unité de production, la vanne 116 2 est maintenue ouverte par exemple grâce à un circuit pneumatique commandant l’ouverture de ladite vanne 116 2 ; d’une vanne de contrôle 118 2 contrôlant la contre-pression. Cette vanne de contrôle 118 2 est une vanne normalement ouverte. Dans l’exemple de la FIG. 1 , cette vanne 118 2 de contrôle de contre-pression est disposée entre la vanne d’isolement 116 2 et la hotbox 104. L’unité 100 comprend en outre un deuxième circuit 120, appelé circuit de fuel, fournissant un deuxième flux comprenant de la vapeur d’eau, H 2 O v , à l’empilement 102. Le deuxième flux entre dans le circuit de fuel 120 par une entrée de fuel 122, puis traverse le circuit de fuel 120 en passant par l’empilement 102. Au passage de l’empilement 102, le deuxième flux circulant dans le circuit de fuel 120 s’enrichit avec les molécules d’H 2 produites lors de l’électrolyse. Le deuxième flux enrichi en hydrogène sort du circuit de fuel 120 par une sortie d’air 124. Dans l’exemple représenté sur la FIG. 1 , l’entrée de fuel 122 comporte plusieurs entrées, ou sous-entrées. L’entrée de fuel 122 comprend : une première sous-entrée 122 1 pour injecter de la vapeur d’eau H 2 O v dans le circuit de fuel 120 : c’est cette vapeur d’eau qui sera électrolysée pour produire de l’hydrogène ; une deuxième sous-entrée 122 2 pour injecter une quantité d’hydrogène H 2 dans le circuit de fuel 120 : l’hydrogène injecté dans le circuit de fuel 120 vient se mélanger avec la vapeur d’eau et permet de réaliser la réaction électrochimique dans de bonne conditions ; une troisième sous-entrée 122 3 pour injecter une quantité de gaz de sécurité, SG (pour « Safety Gaz » en anglais), dans le circuit de fuel 120 : le SG injecté dans le circuit de fuel 120 vient se mélanger avec la vapeur d’eau, et le cas échéant à l’hydrogène. Ainsi, le deuxième flux injecté dans le circuit de fuel 120 par l’entrée de fuel 122 peut avoir une composition différente en fonction de l’état dans lequel se trouve l’unité de production 100. En effet, en fonction de l’état de l’unité de production, la composition du flux fourni à l’entrée de fuel 122 peut différer : dans un état, dit « état Hot standby », dans lequel l’enceinte est à température de fonction mais le stack n’est pas alimenté en courant électrique, on ne produit pas de H2 et on garde les stacks en température. Dans cet état, il est préférable de fournir au stack du safety gas avec un minimum de 4% de H2 pour éviter les phénomènes de re-oxidation ; dans un état de fonction en électrolyse, le stack est à température de fonction et est alimenté en courant, le flux gazeux fourni à l’entrée de fuel est un mix de vapeur d’eau et de H 2 . Dans l’exemple représenté sur la FIG. 1 , l’entrée de fuel 122 comporte trois entrées. Alternativement, le circuit de fuel 120 peut comprendre un nombre différent de sous-entrées. Dans l’exemple représenté sur la FIG. 1 , chacune des sous-entrées de fuel 122 1 -122 3 : d’une vanne d’isolement 116 3 . Cette vanne d’isolement 116 3 est une vanne normalement fermée. Lors du fonctionnement de l’unité de production, la vanne 116 3 est maintenue ouverte par exemple grâce à un circuit pneumatique commandant l’ouverture de ladite vanne 116 3 ; d’une vanne de contrôle de débit 118 3 . Cette vanne 118 3 de contrôle de débit est une vanne normalement ouverte. Dans l’exemple de la FIG. 1 , cette vanne de contrôle de débit 118 3 est disposée entre la vanne d’isolement 116 3 et la hotbox 104. Cette vanne 118 3 a pour fonction de contrôler, et/ou d’ajuster, le débit du flux entrant dans le stack par le circuit de fuel. Dans l’exemple représenté sur la FIG. 1 , la sortie de fuel 124 comporte plusieurs sorties, ou sous-sorties. La sortie de fuel 124 comprend : une première sous-sortie 124 1 pour récupérer la vapeur d’eau mélangé avec de l’hydrogène H 2 ; une deuxième sous-sortie 124 2 pour récupérer le SG. Chacune des sous-sorties 124 1 -124 2 du circuit de fuel 120 est équipée : d’une vanne d’isolement 116 4 . Cette vanne d’isolement 116 4 est une vanne normalement fermée. Lors du fonctionnement de l’unité de production, la vanne 116 4 est maintenue ouverte par exemple grâce à un circuit pneumatique commandant l’ouverture de ladite vanne 116 4 ; d’une vanne de contrôle 118 4 contrôlant la contre-pression. Cette vanne de contrôle 118 4 est une vanne normalement ouverte. Dans l’exemple de la FIG. 1 , cette vanne 118 4 de contrôle de contre-pression est disposée entre la vanne d’isolement 116 4 et la hotbox 104. L’unité 100 de la FIG. 1 ne comprend pas de système d’arrêt permettant de réaliser un arrêt de ladite unité 100, et en particulier un arrêt d’urgence cas d’incident dans le circuit d’air 110 ou dans le circuit de fuel 120. Par exemple, un dysfonctionnement du circuit d’air 110 ou du circuit de fuel 120 peut casser l’équilibre des pressions dans l’empilement 102, et donc dégrader les cellules dans l’empilement 102. Or, l’unité 100 ne comprend aucun moyen pour intervenir sur ladite unité 100 et l’arrêter lorsqu’un tel dysfonctionnement se produit. La FIG. 2 est une représentation schématique d’un exemple de réalisation non limitatif d’une unité de production d’hydrogène selon l’invention. L’unité 200 de la FIG. 2 réalise une production d’hydrogène par électrolyse à haute température de vapeur d’eau, et en particulier une électrolyse de la vapeur d’eau à une température comprise entre 700°C et 850°C. L’unité 200 de la FIG. 2 comprend tous les éléments de l’unité 100 de la FIG. 1 . De plus, et à la différence de l’unité 100 de la FIG. 1 , l’unité 200 de la FIG. 2 est équipé d’un système d’arrêt de ladite unité 200. Le système d’arrêt comprend : une entrée 202 pour injecter un gaz neutre prédéterminé, NG (pour « Neutral Gas » en anglais), dans le circuit d’air 110, et une sortie 204 de gaz neutre NG pour évacuer le gaz neutre NG du circuit d’air 110 ; prévues sur le circuit d’air 110 de part et d’autre de l’empilement 102. Il est à noter que, de préférence, les entrée et sortie 202 et 204 du gaz neutre NG sont dédiées au gaz neutre NG et ne sont pas utilisées pour d’autre flux. Le système d’arrêt comprend en outre : une entrée 206 pour injecter un gaz de sécurité prédéterminé, SG (pour « Security Gas » en anglais) dans le circuit de fuel 120, et une sortie 208 de gaz de sécurité SG pour évacuer le gaz de sécurité SG du circuit de fuel 120 ; prévues sur le circuit de fuel 120 de part et d’autre de l’empilement 102. Il est à noter que, de préférence, les entrée et sortie 222 et 224 du gaz de sécurité SG sont dédiées au gaz de sécurité SG et ne sont pas utilisées pour d’autre flux. Le système d’arrêt comprend en outre un module de contrôle 210 pour déclencher un arrêt de production d’hydrogène, et passer l’unité 200 et en particulier l’empilement 102 d’une configuration de production d’hydrogène à une configuration d’arrêt de production d’hydrogène. L’entrée de gaz neutre NG 202 est équipée : d’un régulateur de pression 212 1 ; et d’une vanne d’isolement 214 1 normalement ouverte. Dans l’exemple non limitatif représenté sur la FIG. 2 , la vanne d’isolement 214 1 est positionnée entre le régulateur de pression 212 1 et le stack 102. La sortie de gaz neutre NG 204 est équipée : d’une vanne d’isolement 214 2 normalement ouverte, et optionnellement, une vanne manuelle 216 1 qui peut être manipulée en cas de coupure d’alimentation électrique de piloter les vannes d’isolement 214 1 et 214 2 . Cette vanne manuelle 216 1 est de préférence à l’état ouvert et peut être fermé manuellement en cas de besoin. Dans l’exemple non limitatif représenté sur la FIG. 2 , la vanne d’isolement 214 2 est positionnée entre la vanne manuelle optionnelle 216 1 et le stack 102. Chacune des vannes d’isolement 214 1 et 214 2 est, comme indiqué, une vanne normalement ouverte de sorte qu’en l’absence de commande, elle se trouve à l’état ouvert. Leur fermeture nécessite la réception d’une commande de fermeture, par exemple une commande pneumatique ou une commande électrique. L’entrée de gaz de sécurité SG 206 est équipée : d’un régulateur de pression 212 2 ; et d’une vanne d’isolement 214 3 normalement ouverte. Dans l’exemple non limitatif représenté sur la FIG. 2 , la vanne d’isolement 214 3 est positionnée entre le régulateur de pression 212 2 et le stack 102. La sortie de gaz de sécurité SG 208 est équipée : d’une vanne d’isolement 214 4 normalement ouverte, et optionnellement, une vanne manuelle 216 2 qui peut être manipulée en cas de coupure d’alimentation électrique de piloter les vannes d’isolement 214 3 et 214 4 . Cette vanne manuelle 216 2 est de préférence à l’état ouvert et peut être fermé manuellement en cas de besoin. Dans l’exemple non limitatif représenté sur la FIG. 2 , la vanne d’isolement 214 4 est positionnée entre la vanne manuelle optionnelle 216 2 et le stack 102. Chacune des vannes d’isolement 214 3 et 214 4 est, comme indiqué, une vanne normalement ouverte de sorte qu’en l’absence de commande, elle se trouve à l’état ouvert. Leur fermeture nécessite la réception d’une commande de fermeture, par exemple une commande pneumatique ou une commande électrique. Le système d’arrêt comprend en outre, comme indiqué plus haut, un module de contrôle 210 pour déclencher un arrêt de production d’hydrogène, et passer l’unité 200 et en particulier l’empilement 102 d’une configuration de production d’hydrogène à une configuration d’arrêt de production d’hydrogène. Le module de contrôle 210 peut être relié directement ou indirectement aux vannes 116, 118 et 214, et/ou aux régulateurs 212, équipant les entrées et les sorties du circuit d’air 110 et du circuit de fuel 120. Le module de contrôle 210 est configuré, ou programmé pour réaliser une phase d’arrêt permettant de passer l’unité de production d’hydrogène 200 d’une configuration de production d’hydrogène à une configuration d’arrêt de production d’hydrogène. En d’autres termes, le module de contrôle 210 permet de piloter une mise à l’arrêt de l’unité 200, et en particulier de l’empilement 102. En particulier, le module de contrôle 210 est configuré pour réaliser les étapes suivantes. Tout d’abord, lors d’une étape de déclenchement de la phase d’arrêt, le module de contrôle 210 commande, de préférence simultanément : l’ouverture de la vanne 214 1 de l’entrée de gaz neutre NG 202, de la vanne 214 2 de la sortie de gaz neutre NG 204, de la vanne 214 3 de l’entrée de gaz de sécurité SG 206, et de la vanne 214 4 de sortie de gaz de sécurité SG 208 ; et la fermeture des vannes 116 1 -116 4 et 118 1 -118 4 de toutes les autres entrées et sorties 112, 114, 122 et 124 des circuits d’air 110 et de fuel 120. Ainsi, le circuit d’air 110 est parcouru uniquement par le gaz neutre NG et le circuit de fuel 120 est parcouru uniquement par le gaz de sécurité SG. La pression respective de chacun des circuits 110 et 120 est ajustée par les régulateurs de pression 212 1 et 212 2 , de sorte à obtenir une pression sensiblement identique dans chacun des circuits, en particulier dans l’empilement 102. Lors d’une étape de purge, le module de commande 210 commande : le maintien en position ouverte des vannes 214 1 -214 2 de l’entrée 202 et de la sortie 204 de gaz neutre NG, et des vannes 214 3 -214 4 de l’entrée 206 et de la sortie 208 de gaz de sécurité SG, et le maintien en position fermée de toutes les autres vannes ; pendant une durée prédéterminée, par exemple de 30 minutes. Pendant cette période l’empilement 102 est purgé, par exemple de l’oxygène résiduel et de la vapeur d’eau résiduelle se trouvant dans ledit empilement 102. Puis, lors d’une étape de refroidissement le module de commande 210 commande : le maintien en position ouverte de la vanne 214 1 équipant l’entrée 202 de gaz neutre NG, et de la vanne 214 3 équipant l’entrée 206 de gaz de sécurité SG, la fermeture de la vanne 214 2 équipant la sortie 204 de gaz neutre NG, et de la vanne 214 4 équipant la sortie 208 de gaz de sécurité SG, et le maintien en position fermée de toutes les autres vannes ; jusqu’à ce que la température de l’empilement 102 soit inférieure ou égale à une température seuil, en dessous de laquelle, le risque de re-oxidation n’existe plus, par exemple en dessous de 250°C. Après l’étape de refroidissement, l’empilement 102 et plus généralement l’unité de production d’hydrogène 200 est en configuration d’arrêt. Le système d’arrêt peut être utilisé pour arrêter l’unité 200 lorsqu’on souhaite arrêter la production d’hydrogène, sans qu’il y ait d’incident ou de dysfonctionnement. Surtout, le système d’arrêt peut être utilisé pour réaliser un arrêt d’urgence de l’unité 200, par exemple en cas de survenu d’un incident sur le circuit d’air ou sur le circuit de fuel pouvant casser l’équilibre de pression entre les deux circuits, en particulier au niveau de l’empilement 102, et donc causer une dégradation de l’empilement 102. La phase d’arrêt peut être lancée manuellement par un opérateur. Alternativement, la phase d’arrêt peut être lancée automatiquement suite à la détection d’un incident. Suivant des modes de réalisation, le module de contrôle 210 peut être configuré pour détecter un incident en fonction d’au moins une donnée, ou d’au moins un signal, d’entrée relatif à : l’état de fonctionnement de(s) vanne(s) équipant au moins une, en particulier chaque, entrée du circuit d’air 110, et/ou chaque sortie du circuit d’air 110 ; l’état de fonctionnement de(s) vanne(s) équipant au moins une, en particulier chaque, entrée du circuit de fuel 120, et/ou chaque sortie du circuit de fuel 120 ; la pression dans le circuit d’air 110, et/ou la pression dans le circuit de fuel 120. Pour ce faire, le module de commande 210 peut être relié directement ou indirectement auxdites vannes. Alternativement, lesdites données, ou lesdits signaux, peuvent être collecté(e)s par un autre module et transmis(es) au module de contrôle 210. La FIG. 3 est une représentation schématique d’un exemple de réalisation non limitatif d’une unité de production d’hydrogène selon l’invention. L’unité 300 de la FIG. 3 comprend tous les éléments de l’unité 200 de la FIG. 2 . De plus, l’unité 300 comprend une source 302 de gaz neutre NG reliée directement à l’entrée de gaz neutre NG 212 sur le circuit d’air 110. De préférence, la source de gaz neutre 302 est un réservoir de gaz neutre. De préférence, la source de gaz neutre 302 fournit un gaz neutre à une pression supérieure ou égale à la pression de gaz neutre souhaitée à l’entrée 202 de gaz neutre du circuit d’air 110. Par exemple, la source de gaz neutre 302 peut comprendre une ou plusieurs bouteilles de gaz neutre sous pression. L’unité 300 comprend en outre une source 304 de gaz de sécurité SG reliée directement à l’entrée de gaz de sécurité SG 206 sur le circuit de fuel 120. De préférence, la source de gaz de sécurité 304 est un réservoir de gaz de sécurité. De préférence, la source de gaz de sécurité 304 fournit un gaz de sécurité à une pression supérieure ou égale à la pression de gaz de sécurité souhaitée à l’entrée 206 de gaz de sécurité du circuit de fuel 120. Par exemple, la source de gaz de sécurité 304 peut comprendre une ou plusieurs bouteilles de gaz de sécurité sous pression. La FIG. 4 est une représentation schématique d’un exemple de réalisation non limitatif d’un procédé selon l’invention. Le procédé 400 de la FIG. 4 peut être utilisé pour piloter une unité de production d’hydrogène selon l’invention et en particulier les unités 200 et 300 des FIGURES 2 et 3. Le procédé 400 comprend une phase d’arrêt 402 permettant passer une unité de production d’hydrogène selon l’invention d’une configuration de production d’hydrogène à une configuration d’arrêt de production d’hydrogène, tout en assurant l’intégrité des cellules d’électrolyse. La phase d’arrêt 402 comprend une étape 404 de déclenchement de la phase d’arrêt, comprenant les étapes suivantes : l’ouverture des entrées et des sorties de gaz neutre et de gaz de sécurité, et la fermeture des autres entrées et sorties des circuits d’air et de fuel. De préférence, ces étapes sont réalisées, ou du moins déclenchées, simultanément. La phase d’arrêt 402 comprend en outre une étape 406 de purge, lors de laquelle : les entrées et sorties de gaz neutre et de gaz de sécurité sont maintenues ouvertes, et les autres entrées et sorties des circuits d’air et de fuel sont maintenues fermées ; pendant une durée prédéterminée, par exemple de 30 minutes. Pendant cette période l’empilement est purgé, de manière à éliminer les traces d’eau du mieux possible dans les cellules qui peuvent être assimilées à des milieux poreux. Puis, la phase d’arrêt 402 comprend une étape 408 de refroidissement lors de laquelle : l’entrée de gaz neutre et l’entrée de gaz de sécurité sont maintenues ouvertes, la sortie de gaz neutre et la sortie de gaz de sécurité sont fermées, et les autres entrées et sorties des circuits d’air et de fuel sont maintenues fermées ; jusqu’à ce que la température de l’empilement soit inférieure ou égale à une température seuil, par exemple de 200°C. Optionnellement, le procédé 400 peut comprendre une étape 410 de détection d’incident sur le circuit d’air ou sur le circuit de fuel, par exemple en fonction de l’état d’une vanne équipant ledit circuit et pouvant affecter la pression dans ledit circuit Cette étape 410 est réalisée avant la phase d’arrêt 402. Lorsqu’un incident est détecté lors de l’étape 410, la phase d’arrêt 402 est déclenchée automatiquement pour réaliser un arrêt d’urgence de l’unité de production d’hydrogène selon l’invention. Bien entendu l’invention n’est pas limitée aux exemples qui viennent d’être décrits. Unité (200;300) de production d’hydrogène par électrolyse à haute température de vapeur d’eau, ladite unité (200;300) comprenant : un empilement (102) de cellules à oxyde solide, un circuit (110), dit circuit d’air, traversant ledit empilement (102), et comportant une entrée (112) d’air et une sortie (114) d’air enrichi en oxygène, dans une configuration de production d’hydrogène de ladite unité (200;300), et un circuit (120), dit circuit de fuel, traversant ledit empilement (102), comportant une entrée (122) de vapeur d’eau et une sortie (124) de vapeur d’eau enrichi en hydrogène, dans ladite configuration de production ; caractérisé en ce que ladite unité (200;300) est équipée d’un système d’arrêt de ladite unité (200;300), ledit système d’arrêt comprenant : une entrée (202) et une sortie (204) de gaz neutre, prévues sur le circuit d’air (110) de part et d’autre dudit empilement (102), pour faire circuler un gaz neutre prédéterminé dans ledit empilement (102), dans une configuration d’arrêt de ladite unité (200;300), une entrée (206) et une sortie (208) de gaz de sécurité, prévues sur le circuit de fuel (120) de part et d’autre dudit empilement (102), pour faire circuler un gaz de sécurité prédéterminé dans ledit empilement (102), dans ladite configuration d’arrêt, et un module (210) de contrôle pour faire passer ledit empilement (102) de la configuration de production à la configuration d’arrêt. Unité (200;300) selon la revendication précédente, caractérisée en ce que l’entrée (202) de gaz neutre comporte : au moins une vanne (214 1 ) de régulation du passage de gaz neutre, éventuellement, un régulateur de pression (212 1 ) pour réguler la pression du gaz neutre dans le circuit d’air (110). Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que la sortie (204) de gaz neutre comporte au moins une vanne (214 2 ) de régulation du passage de gaz neutre. Unité (300) selon l’une quelconque des revendications précédentes, caractérisés en ce que le système d’arrêt comprend en outre une source (302) de gaz neutre reliée à l’entrée (202) de gaz neutre. Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que l’entrée (206) de gaz de sécurité comporte : au moins une vanne de régulation (214 3 ) du passage de gaz de sécurité, éventuellement, un régulateur de pression (212 2 ) pour réguler la pression du gaz de sécurité dans le circuit de fuel (120). Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que la sortie (208) de gaz de sécurité comporte au moins une vanne de régulation (214 4 ) du passage de gaz de sécurité. Unité (300) selon l’une quelconque des revendications précédentes, caractérisée en ce le système d’arrêt comprend en outre une source (304) de gaz de sécurité reliée à l’entrée (206) de gaz de sécurité. Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que : le gaz neutre est, ou comprend, de l’azote ; et/ou le gaz de sécurité est, ou comprend, un mélange N 2 /H 2 avec une proportion de H 2 inférieure ou égale à 5%. Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que le module de contrôle (210) est configuré pour détecter un incident sur le circuit d’air (110) et/ou un incident sur le circuit de fuel (120), et déclencher la configuration d’arrêt. Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que le module de contrôle (210) est configuré pour réaliser une phase d’arrêt (402) en vue de passer ladite unité (200;300) de la configuration de production à la configuration d’arrêt, ladite phase (402) d’arrêt comprenant une étape (404) de déclenchement comprenant les étapes suivantes réalisées en parallèle : ouverture de l’entrée de gaz neutre (202) et de la sortie (204) de gaz neutre sur le circuit d’air (110), et de l’entrée (206) de gaz de sécurité et de la sortie (208) de gaz de sécurité sur le circuit de fuel (120), et fermeture des autres entrées et sorties des circuits d’air (110) et de fuel (120). Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que le module de contrôle (210) est configuré pour réaliser, lors de la phase d’arrêt (402), une étape (406) de purge de ladite unité (200;300) comprenant les étapes suivantes : maintien ouvertes de l’entrée (202) de gaz neutre et de la sortie (204) de gaz neutre sur le circuit d’air (110), et de l’entrée (206) de gaz de sécurité et de la sortie (208) de gaz de sécurité sur le circuit de fuel (120), et maintien fermées des autres entrées et sorties des circuits d’air (110) et de fuel (120) ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une pression prédéterminée dans l’empilement (102) de cellules. Unité (200;300) selon l’une quelconque des revendications précédentes, caractérisée en ce que le module de contrôle (230) est configuré pour réaliser, lors de la phase d’arrêt (402), une étape (408) de refroidissement de ladite unité (200;300) comprenant les étapes suivantes : maintien ouvertes de l’entrée (202) de gaz neutre sur le circuit d’air (110) et de l’entrée (206) de gaz de sécurité sur le circuit de fuel (120), fermeture de la sortie (204) de gaz neutre sur le circuit d’air (110) et de la sortie (208) de gaz de sécurité sur le circuit de fuel (120), et maintien fermées des autres entrées et sorties des circuits d’air (110) et de fuel (120) ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une température de l’empilement (102) en dessous d’un seuil prédéterminé. Procédé (400) de pilotage d’une unité (200;300) de production d’hydrogène selon l’une quelconque des revendications précédentes, ledit procédé (400) comprenant une phase d’arrêt (402) pour passer ladite unité (200;300) de la configuration de production à la configuration d’arrêt, ladite phase (402) comprenant une étape (404) de déclenchement comprenant les étapes suivantes réalisées en parallèle : ouverture de l’entrée (202) de gaz neutre et de la sortie (204) de gaz neutre sur le circuit d’air (110), et de l’entrée (206) de gaz de sécurité et de la sortie (208) de gaz de sécurité sur le circuit de fuel (120), et fermeture des autres entrées et sorties des circuits d’air (110 et de fuel (120). Procédé (400) selon la revendication précédente, caractérisé en ce que la phase d’arrêt (402) comprend une étape (406) de purge comprenant les étapes suivantes : maintien ouvertes de l’entrée (202) de gaz neutre et de la sortie (204) de gaz neutre sur le circuit d’air (110), et de l’entrée (206) de gaz de sécurité et de la sortie (208) de gaz de sécurité sur le circuit de fuel (120), et maintien fermées des autres entrées et sorties des circuits d’air (110) et de fuel (120) ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une pression prédéterminée dans l’empilement (102). Procédé (400) selon l’une quelconque des revendications 13 ou 14, caractérisé en ce que la phase d’arrêt (402) comprend une étape (408) de refroidissement comprenant les étapes suivantes : maintien ouvertes de l’entrée (202) de gaz neutre sur le circuit d’air (110) et de l’entrée (206) de gaz de sécurité sur le circuit de fuel (120), fermeture de la sortie (204) de gaz neutre sur le circuit d’air (110) et de la sortie (208) de gaz de sécurité sur le circuit de fuel (120), et maintien fermées des autres entrées et sorties des circuits d’air (110 et de fuel (120) ; pendant une durée prédéterminée, et/ou jusqu’à atteindre une température de l’empilement (102) en dessous d’un seuil prédéterminé.