FR 3151356 A1 20250124 FR 2307709 A 20230718 Un procédé (100) de surveillance d’un moteur (10) d'un aéronef (50) alimenté en dihydrogène, comprenant un dispositif de sécurité (1) comprenant une vanne de sécurité (2) mobile entre une position ouverte dans laquelle le moteur (10) est alimenté en dihydrogène et une position fermée dans laquelle le moteur (10) n’est plus alimenté en dihydrogène, un système de détection d’un incendie moteur, un système de détection de fuite de dihydrogène (20) et un système de détection de dommage moteur, et comprenant de la circuiterie électronique (200) adaptée pour implémenter le procédé (100) de surveillance. Si une autorisation de verrouillage est donnée et si l'une parmi trois conditions A, B et C est vraie, alors le dispositif de sécurité (1) ferme la vanne de sécurité (2), avec : - la condition A est vraie si un système de détection d’incendie (30) moteur détecte un incendie, - la condition B est vraie si un système de détection de fuite de dihydrogène (20) détecte une fuite de dihydrogène, et - la condition C est vraie si un système de détection de dommage moteur (40) détecte un dommage moteur. Figure à publier avec l’abrégé : Fig. 3 PROCÉDÉ DE SURVEILLANCE DE SURVENUE D’INCENDIE DANS UN MOTEUR L’invention concerne le domaine de la surveillance de la survenue d’un incendie dans une turbomachine, d’un aéronef, alimentée en dihydrogène. ETAT DE LA TECHNIQUE ANTERIEURE D’une manière connue, une turbomachine d'un aéronef comprend une pluralité de capteurs de détection d’incendie connectés à un dispositif de surveillance (du type FDU pour fire détection unit : unité de détection d'incendie) configurés pour transmettre un message d'alerte incendie lors de la détection d'un incendie dans la turbomachine. A la réception d'un message d'alerte incendie, l'équipage doit se concentrer sur la mise en place de contre-mesures à l'incendie, comme, par exemple, déclencher des dispositifs anti-incendie ou réduire la poussée de la turbomachine. On peut citer par exemple les documents FR3068392 et FR3052747 qui décrivent un dispositif et un procédé de surveillance incendie d’une turbomachine. De tels moyens pour détecter la survenue d'un incendie sur une turbomachine sont efficaces mais ne sont pas adaptés pour une turbomachine fonctionnant avec du dihydrogène. En effet, les signaux précurseurs d’un incendie ne sont pas nécessairement les mêmes que pour une turbomachine fonctionnant au kérosène. En outre, l’utilisation du dihydrogène nécessite une réaction plus rapide sur la mise en place de contre-mesures à l’incendie. De plus, il est également souhaitable que les contre-mesures à l’incendie soient efficaces même lorsque l’incendie ou une fuite de dihydrogène résulte d’une panne moteur non contenue, aussi appelée UERF (« Uncontained Engine Rotor Failure » en anglais). Dans ce contexte, il est souhaitable de fournir un procédé de surveillance d’un moteur d’un aéronef alimenté en dihydrogène, qui permette la mise en place d’une contremesure automatisée en cas de détection d’un risque d’incendie dans le moteur. A cet effet, selon un premier aspect, il est proposé un procédé de surveillance d’un moteur d'un aéronef alimenté en dihydrogène, comprenant un dispositif de sécurité comprenant une vanne de sécurité mobile entre une position ouverte dans laquelle le moteur est alimenté en dihydrogène et une position fermée dans laquelle le moteur n’est plus alimenté en dihydrogène, un système de détection d’un incendie moteur, un système de détection de fuite de dihydrogène et un système de détection de dommage moteur, et comprenant de la circuiterie électronique adaptée pour implémenter le procédé de surveillance. Si une autorisation de verrouillage est donnée et si l'une parmi trois conditions A, B et C est vraie, alors le dispositif de sécurité ferme la vanne de sécurité, avec : - la condition A est vraie si un système de détection d’incendie moteur détecte un incendie, - la condition B est vraie si un système de détection de fuite de dihydrogène détecte une fuite de dihydrogène, et - la condition C est vraie si un système de détection de dommage moteur détecte un dommage moteur. Selon un mode de réalisation, la condition B est vraie si l’une des deux condition B1 ou B2 est vraie, avec : - la condition B1 est vraie si une pression de dihydrogène inférieure à un seuil prédéterminé est détectée par un le système de détection de fuites de dihydrogène ; - la condition B2 est vraie si au moins l’une des conditions suivante est remplie : une concentration de dihydrogène supérieure à un seuil prédéterminé est détectée par le système de détection de fuites de dihydrogène ; ou une rupture d’une canalisation d’alimentation en dihydrogène est détectée par le système de détection de fuites de dihydrogène ; ou une pression dans le moteur, supérieure à une pression prédéterminée est détectée par le système de détection de fuites de dihydrogène ; ou une variation de température supérieure à une variation de température prédéterminée est détectée par le système de détection de fuites de dihydrogène. Selon un mode de réalisation, la condition B est vraie si les deux conditions B1 et B2 sont vraies. Selon un mode de réalisation, la condition A est vraie si deux conditions A1 et A2 sont vraies, avec : - la condition A1 est vraie si un défaut d’une boucle de détection d’incendie est détecté par le système de détection d’incendie ; - la condition A2 est vraie si le système de détection d’incendie détecte un incendie. Selon un mode de réalisation, la condition A est vraie si les deux conditions A1 et A2 sont vraies dans un intervalle de temps prédéterminé. Selon un autre aspect, il est proposé un dispositif de sécurité d’un moteur alimenté en dihydrogène qui comprend : - une vanne de sécurité mobile entre une position ouverte dans laquelle le moteur est alimenté en dihydrogène et une position fermée dans laquelle le moteur n’est plus alimenté en dihydrogène ; - un système de détection d’incendie moteur ; - un système de détection de fuite de dihydrogène ; - un système de détection de dommage moteur ; et - de la circuiterie électronique adaptée pour implémenter un procédé de surveillance dans lequel, si une autorisation de verrouillage est donnée et si l'une des aux moins trois conditions A ou B ou C est vraie, alors le dispositif de sécurité ferme la vanne de sécurité, avec : - la condition A est vraie si un système de détection d’incendie moteur détecte un incendie, - la condition B est vraie si un système de détection de fuites de dihydrogène détecte une fuite de dihydrogène, et - la condition C est vraie si un système de détection de dommage moteur détecte un dommage moteur. Selon un mode de réalisation, le système de détection d’incendie comprend une boucle de détection d’incendie et un détecteur d’incendie. Selon un mode de réalisation, le système de détection de fuites de dihydrogène comprend un élément choisi parmi un détecteur de rupture de canalisation, un détecteur de pression de dihydrogène, un détecteur de pression dans le moteur, et/ou un détecteur de variation de température. Selon un autre aspect, il est proposé un aéronef comprenant un dispositif de sécurité selon l’invention. Selon un autre aspect, il est proposé un produit programme d’ordinateur comprenant des instructions de code de programme pour exécuter le procédé de surveillance selon l’invention, lorsque lesdites instructions sont exécutées par au moins un processeur. Selon un autre aspect il est proposé un support de stockage non transitoire sur lequel est stocké un programme d’ordinateur comprenant des instructions de code de programme pour exécuter le procédé de surveillance selon l’invention, lorsque lesdites instructions sont lues depuis ledit support de stockage non transitoire et exécutées par un processeur. Les caractéristiques de l’invention mentionnées ci-dessus, ainsi que d'autres, apparaîtront plus clairement à la lecture de la description suivante d’au moins un exemple de réalisation, ladite description étant faite en relation avec les dessins joints, parmi lesquels : illustre schématiquement l’implantation d’un dispositif de surveillance dans un moteur ; illustre schématiquement un système informatique ; illustre schématiquement un procédé de surveillance selon un premier mode de réalisation ; illustre schématiquement un procédé de surveillance selon un premier mode de réalisation ; et illustre schématiquement un aéronef comprenant un moteur et un dispositif de sécurité. EXPOSE DETAILLE DE MODES DE REALISATION Dispositif de sécurité En référence à la , selon un aspect, il est proposé un dispositif de sécurité 1 d’un moteur 10 alimenté en dihydrogène. Le dispositif de sécurité 1 est adapté pour être implanté dans et autour du moteur 10, pour surveiller les risques d’incendies dans le moteur 10. Le dispositif de sécurité 1 comprend une vanne de sécurité 2 mobile entre une position ouverte dans laquelle le moteur 10 est alimenté en dihydrogène et une position fermée dans laquelle le moteur 10 n’est plus alimenté en dihydrogène. Tel que schématisé sur la , selon un mode de réalisation, la vanne de sécurité 2 est positionnée à l’extérieur d’une zone de combustion 12 du moteur 10. En effet, tel que schématisé sur la , le moteur 10 est une turbomachine, comprenant une zone de combustion 12 dans laquelle sont situés des compresseurs 14 et des turbines 16. Cette architecture d’une turbomachine est par ailleurs bien connue. En revanche, d’une manière particulièrement astucieuse, la vanne de sécurité 2 est positionnée à l’extérieur de la zone de combustion 12 de manière à pouvoir agir sur (i.e., interrompre) l’alimentation en dihydrogène (i.e. les canalisations 18) en amont de la zone de combustion 12. De façon avantageuse, la zone de combustion 12 considérée inclut l’ensemble des zones autour du moteur 10 dans lesquelles des débris du moteur 10 sont susceptibles d’être projetés en cas de panne moteur non contenue. Ainsi, la vanne de sécurité 2 étant positionnée à l’extérieur de la zone de combustion 12, la vanne de sécurité 2 ne risque pas d’être impactée en cas de panne moteur non contenue. Selon un mode de réalisation, la vanne de sécurité 2 est positionnée à l’extérieur de la zone de combustion 12, tout en étant au plus près de la zone de combustion 12. Cette disposition permet de minimiser la quantité de dihydrogène pouvant encore circuler dans les canalisations 18 après que la vanne de sécurité 2 soit passée en position fermée. Outre la vanne de sécurité 2, le dispositif de sécurité 1 comprend aussi : un système de détection d’incendie 30 moteur, un système de détection de fuite de dihydrogène 20, un système de détection d’un dommage moteur 40. Selon un mode de réalisation, le système de détection d’incendie 30 moteur comprend une boucle de détection d’incendie et un détecteur d’incendie. La boucle de détection d’incendie et le détecteur d’incendie sont des éléments connus. Typiquement la boucle de détection d’incendie est une canalisation remplie d’un gaz. Lorsque la chaleur augmente autour de la canalisation (i.e. lorsqu’il y a un incendie autour de la canalisation) le gaz se dilate. Un capteur de dilation associé à la canalisation détecte la dilatation et émet un signal de détection d’un incendie. Selon un mode de réalisation, le système de détection de fuite de dihydrogène 20 comprend un détecteur de rupture de canalisation, un détecteur de pression de dihydrogène, un détecteur de pression dans le moteur, et un détecteur de variation de température. Selon un mode de réalisation, le détecteur de rupture de canalisation fonctionne en mesurant une pression de dihydrogène dans la canalisation de dihydrogène. En cas de rupture de canalisation, la pression varie pour tendre vers la pression atmosphérique. Si le détecteur capte une pression dans la canalisation similaire à la pression atmosphérique, il émet un signal de détection d’une rupture de canalisation de dihydrogène. Selon un mode de réalisation, le détecteur de pression dans le moteur est un détecteur de pression ambiante dans le moteur. En cas de variation de la pression ambiante, le détecteur émet un signal de détection d’une variation de pression ambiante. Selon un mode de réalisation, le détecteur de variation de température peut comprendre un thermocouple ou un capteur optique. Selon un mode de réalisation, le détecteur de variation de température peut émettre un signal de détection de variation de température si une température mesurée se situe en dehors d’un intervalle prédéterminé. Selon un autre mode de réalisation, le détecteur de variation de température est adapté pour détecter un changement abrupt de température, c’est-à-dire un changement de température au-delà d’un seuil prédéterminé, sur une durée prédéterminée. Selon un mode de réalisation, le système de détection de dommage moteur 40 est un système connu, par exemple des documents FR3068392 et FR3052747, qui ne sera pas décrit dans le présent document. Selon d’autres modes de réalisations, certains des détecteurs précédemment énoncés peuvent être absents. Système informatique En outre, le dispositif de sécurité 1 comprend de la circuiterie électronique adaptée pour implémenter un procédé 100 de surveillance qui sera décrit ci-après. Ainsi, selon un autre aspect, il est proposé un système informatique 200 comprenant de la circuiterie électronique configurée pour implémenter un procédé 100 de surveillance. Tel que schématisé sur la , le système informatique 200 peut comporter, reliés par un bus de communication 210 : un processeur 201 ; une mémoire vive 202 ; une mémoire morte 203, par exemple de type ROM (« Read Only Memory » en anglais) ou EEPROM (« Electrically-Erasable Programmable Read Only Memory » en anglais) ; une unité de stockage 204, telle qu’un disque dur HDD (« Hard Disk Drive » en anglais), ou un lecteur de support de stockage, tel qu’un lecteur de cartes SD (« Secure Digital » en anglais) ; et un gestionnaire d’interfaces d’entrées-sorties 205. Le processeur 201 est capable d’exécuter des instructions chargées dans la mémoire vive 202 à partir de la mémoire morte 203, d’une mémoire externe, d’un support de stockage (tel qu’une carte SD), ou d’un réseau de communication. Lorsque le système informatique 200 est mis sous tension, le processeur 201 est capable de lire de la mémoire vive 202 des instructions et de les exécuter. Ces instructions forment un programme d’ordinateur permettant l’implémentation, par le processeur 201, du procédé 100 de surveillance décrit ci-après. Tout ou partie du procédé 100 peut ainsi être implémenté sous forme logicielle par exécution d’un ensemble d’instructions par une machine programmable, par exemple un processeur de type DSP (« Digital Signal Processor » en anglais) ou un microcontrôleur, ou être implémenté sous forme matérielle par une machine ou un composant dédié, par exemple un composant FPGA (« Field Programmable Gate Array » en anglais) ou ASIC (« Application-Specific Integrated Circuit » en anglais). D’une manière générale, le système informatique 200 comporte de la circuiterie électronique adaptée et configurée pour implémenter, sous forme logicielle et/ou matérielle, le procédé 100 de surveillance décrit ci-après en relation avec le système informatique 200 en question. Aéronef Selon un autre aspect, tel que schématisé sur la , il est proposé un aéronef 50 comprenant un moteur 10 alimenté en dihydrogène, et comprenant en outre au moins un dispositif de sécurité 1 et le système informatique 200. Procédé de surveillance Selon un autre aspect, en référence aux Figs. 3 et 4, il est proposé un procédé 100 de surveillance d’un moteur 10 de l’aéronef 50 alimenté en dihydrogène. En référence aux Figs. 3 et 4, si une autorisation de verrouillage est donnée et si l'une des aux moins trois conditions A ou B ou C est vraie, alors le dispositif de sécurité 1 ferme la vanne de sécurité 2, avec : - la condition A est vraie si un système de détection d’incendie 30 moteur détecte un incendie, - la condition B est vraie si un système de détection de fuite de dihydrogène 20 détecte une fuite de dihydrogène, et - la condition C est vraie si un système de détection de dommage moteur 40 détecte un dommage moteur. Selon un mode de réalisation, l’autorisation de verrouillage est donnée en fonction de critères liés à la disponibilité d'un autre moteur 10 de l'aéronef 50, par exemple si un problème similaire n'a pas déjà été détecté sur l'autre moteur de l'aéronef et si la poussée de l'autre moteur est disponible. Selon les modes de réalisation schématisés sur les Figs. 3 et 4, la condition A est vraie si deux conditions A1 et A2 sont vraies, avec : - la condition A1 est vraie si un défaut d’au moins une boucle de détection d’incendie est détecté par le système de détection d’incendie 30 en question ; - la condition A2 est vraie si le système de détection d’incendie 30 en question détecte un incendie. En outre, selon une disposition particulière, schématisée sur les Figs. 3 et 4, la condition A1 est vraie si deux conditions A11 et A12 sont vraies, avec : - la condition A11 est vraie si un défaut d’une première boucle de détection d’incendie est détecté par le système de détection d’incendie 30 en question ; - la condition A12 est vraie si un défaut d’une deuxième boucle de détection d’incendie est détecté par le système de détection d’incendie 30 en question. Selon une disposition particulière, la condition A1 est vraie si les deux conditions A11 et A12 sont vraies dans un intervalle de temps prédéterminé, par exemple un intervalle de temps de 5 secondes. Selon un mode de réalisation schématisé sur la , la condition B est vraie si l’une des deux conditions B1 ou B2 est vraie, avec : - la condition B1 est vraie si une pression de dihydrogène inférieure à un seuil prédéterminé est détectée par un le système de détection de fuite de dihydrogène 20 ; - la condition B2 est vraie si au moins une des conditions suivantes est remplie : une concentration de dihydrogène supérieure à un seuil prédéterminé est détectée par le système de détection de fuite de dihydrogène 20 (condition B21) ; ou si une rupture d’une canalisation d’alimentation en dihydrogène est détectée par le système de détection de fuite de dihydrogène 20 (condition B22) ; ou si une pression dans le moteur 10, supérieure à une pression prédéterminée est détectée par le système de détection de fuite de dihydrogène 20 (condition B23) ; ou si une variation de température supérieure à une variation de température prédéterminée est détectée par le système de détection de fuite de dihydrogène 20 (condition B24). Selon un autre mode de réalisation schématisé sur la , la condition B est vraie si au moins les deux conditions B1 et B2 sont vraies. Selon un mode de réalisation, la position ouverte ou fermée de la vanne 2 est indiquée à un utilisateur sur un écran d’affichage. Typiquement cet écran d’affichage peut être un écran de contrôle dans le cockpit de l’aéronef 50. Selon un mode de réalisation, des signaux visuels distinctifs permettent de renseigner un utilisateur sur l’état de chaque détecteur du dispositif de sécurité 1. Ainsi, selon ce mode de réalisation, si la vanne 2 passe en position fermée, l’utilisateur est alerté et les différents signaux visuels lui permettent de connaitre la cause du passage en position fermée de la vanne 2. Procédé (100) de surveillance d’un moteur (10) d'un aéronef (50) alimenté en dihydrogène, comprenant un dispositif de sécurité (1) comprenant une vanne de sécurité (2) mobile entre une position ouverte dans laquelle le moteur (10) est alimenté en dihydrogène et une position fermée dans laquelle le moteur (10) n’est plus alimenté en dihydrogène, un système de détection d’un incendie moteur, un système de détection de fuite de dihydrogène (20) et un système de détection de dommage moteur, et comprenant de la circuiterie électronique (200) adaptée pour implémenter le procédé (100) de surveillance, le procédé (100) de surveillance est caractérisé en ce que si une autorisation de verrouillage est donnée et si l'une parmi trois conditions A, B et C est vraie, alors le dispositif de sécurité (1) ferme la vanne de sécurité (2), avec : - la condition A est vraie si un système de détection d’incendie (30) moteur détecte un incendie, - la condition B est vraie si un système de détection de fuite de dihydrogène (20) détecte une fuite de dihydrogène, et - la condition C est vraie si un système de détection de dommage moteur (40) détecte un dommage moteur. Procédé de surveillance (100) selon la revendication 1, dans lequel la condition B est vraie si l’une des deux conditions B1 ou B2 est vraie, avec : - la condition B1 est vraie si une pression de dihydrogène inférieure à un seuil prédéterminé est détectée par le système de détection de fuites de dihydrogène (20) ; - la condition B2 est vraie si au moins l’une des conditions suivante est remplie : une concentration de dihydrogène supérieure à un seuil prédéterminé est détectée par le système de détection de fuites de dihydrogène (20) ; ou une rupture d’une canalisation d’alimentation en dihydrogène est détectée par le système de détection de fuites de dihydrogène (20) ; ou une pression dans le moteur, supérieure à une pression prédéterminée est détectée par le système de détection de fuites de dihydrogène (20) ; ou une variation de température supérieure à une variation de température prédéterminée est détectée par le système de détection de fuites de dihydrogène (20). Procédé (100) de surveillance selon la revendication 2, dans lequel la condition B est vraie si les deux conditions B1 et B2 sont vraies. Procédé (100) de surveillance selon l’une quelconque des revendications précédentes, dans lequel la condition A est vraie si deux conditions A1 et A2 sont vraies, avec : - la condition A1 est vraie si un défaut d’une boucle de détection d’incendie est détecté par le système de détection d’incendie (30) ; - la condition A2 est vraie si le système de détection d’incendie (30) détecte un incendie. Dispositif de sécurité (1) d’un moteur (10) alimenté en dihydrogène caractérisé en ce que le dispositif de sécurité (1) comprend : - une vanne de sécurité (2) mobile entre une position ouverte dans laquelle le moteur (10) est alimenté en dihydrogène et une position fermée dans laquelle le moteur (10) n’est plus alimenté en dihydrogène ; - un système de détection d’incendie (30) moteur ; - un système de détection de fuite de dihydrogène (20) ; - un système de détection de dommage moteur (40) ; et - de la circuiterie électronique (200) adaptée pour implémenter un procédé de surveillance dans lequel, si une autorisation de verrouillage est donnée et si l'une des aux moins trois conditions A ou B ou C est vraie, alors le dispositif de sécurité (1) ferme la vanne de sécurité (2), avec : - la condition A est vraie si un système de détection d’incendie (30) moteur détecte un incendie, - la condition B est vraie si un système de détection de fuites de dihydrogène (20) détecte une fuite de dihydrogène, et - la condition C est vraie si un système de détection de dommage moteur (40) détecte un dommage moteur. Dispositif de sécurité (1) selon la revendication 5, dans lequel le système de détection d’incendie (30) comprend une boucle de détection d’incendie et un détecteur d’incendie. Dispositif de sécurité (1) selon l’une quelconque des revendications 5 ou 6, dans lequel le système de détection de fuites de dihydrogène (20) comprend un élément choisi parmi un détecteur de rupture de canalisation, un détecteur de pression de dihydrogène, un détecteur de pression dans le moteur, et/ou un détecteur de variation de température. Aéronef (50) comprenant un dispositif de sécurité (1) selon l’une quelconque des revendications 5 à 7. Produit programme d’ordinateur comprenant des instructions de code de programme pour exécuter le procédé (100) de surveillance selon l’une quelconque des revendications 1 à 4, lorsque lesdites instructions sont exécutées par au moins un processeur (201). Support de stockage non transitoire sur lequel est stocké un programme d’ordinateur comprenant des instructions de code de programme pour exécuter le procédé de surveillance selon l’une quelconque des revendications 1 à 4, lorsque lesdites instructions sont lues depuis ledit support de stockage non transitoire et exécutées par un processeur (201).