INPI-France/Brevets-Francais-2024-Chunked huggingface dataset:
Elle conduit par ailleurs divers travaux de recherche permettant de maintenir au plus haut niveau la sécurité offerte par les modules de sécurité matériels. En 2019, la demanderesse a ainsi découvert 14 vulnérabilités dans un module HSM. L'exploitation de ces vulnérabilités aurait pu permettre à un attaquant distant d'obtenir une exécution de code arbitraire dans le HSM et éventuellement d'extraire toutes les clés secrètes, sans aucune authentification. Ce problème a été divulgué de manière responsable et correctement corrigé par les fournisseurs de HSM, ce qui a permis de relever le niveau de sécurité pour l'ensemble de l'industrie du HSM. Voir : https://donjon.ledger.com/BlackHat2019-presentation.
Malgré l’absence connue à ce jour d’un quelconque problème de sécurité qui aurait pu conduire à une attaque sur des clés de comptes mutualisés détenues par de tels modules de sécurité matériels, la demanderesse est sans cesse en recherche de perfectionnements visant augmenter le niveau de sécurité des systèmes qu’elle développe (Cf. https://donjon.ledger.com).
Il pourrait donc être souhaité d’augmenter le niveau de sécurité offert par un système de gestion mutualisée de comptes de cryptoactifs du type qui vient d’être décrit.
Résumé Des modes de réalisation concernent un système de gestion mutualisée de comptes de cryptoactifs, dans lequel une demande de réalisation d’une transaction sur un compte de cryptoactif ne peut être exécutée qu’après avoir reçu l’accord d’au moins un approbateur et satisfait une règle de gouvernance, le système comprenant un premier module de sécurité matériel pour exécuter des règles de gouvernance, et un service de signature configuré pour générer une signature d’une transaction à partir d’une donnée secrète, le premier module de sécurité matériel étant configuré pour, en réponse à une demande de réalisation d’une transaction, solliciter l'approbation d’au moins un dispositif approbateur et vérifier si une règle de gouvernance applicable à la transaction demandée est satisfaite, système dans lequel le service de signature est exécuté par un second module de sécurité matériel ayant accès à la donnée secrète, le premier module de sécurité matériel étant configuré pour, lorsque la règle de gouvernance est satisfaite, transmettre une demande de signature de la transaction au second module de sécurité matériel, le second module de sécurité matériel étant configuré pour fournir la signature de la transaction.
Selon un mode de réalisation, le premier module de sécurité matériel est configuré pour inclure la transaction dans la demande de signature de la transaction.
Selon un mode de réalisation, le premier module de sécurité matériel est configuré pour ne pas inclure la transaction dans la demande de signature de la transaction et y inclure seulement un condensat de la transaction produit par une fonction de hachage, et des données complémentaires permettant au second module de sécurité matériel de générer la signature de la transaction à partir de ce condensat.
Selon un mode de réalisation, les données complémentaires comprennent un chemin de dérivation déterministe hiérarchique et une fonction de signature à utiliser pour générer la signature de la transaction, ou un identifiant de cette fonction.
Selon un mode de réalisation, le second module de sécurité matériel n’a jamais connaissance du contenu de la transaction, le système comprenant un service de diffusion de transactions sur la blockchain recevant la signature de la transaction fournie par le second module de sécurité matériel et la transaction fournie par le premier module de sécurité matériel
Selon un mode de réalisation, le premier module de sécurité matériel est agencé dans un premier lieu à accès restreint, et le second module de sécurité matériel agencé dans un second lieu à accès restreint différent du premier lieu.
Selon un mode de réalisation, la donnée secrète est une graine permettant de générer une clé maître permettant elle-même de générer des clés privées de comptes de cryptoactifs, ou une clé maître permettant de générer des clés privées de comptes de cryptoactifs.
Selon un mode de réalisation, une règle de gouvernance définit au moins un nombre d'approbations à recevoir de dispositifs approbateurs pour qu’une transaction soit signée et exécutée.
Selon un mode de réalisation, le système comprend au moins un dispositif approbateur, le dispositif approbateur comprenant des moyens de calcul cryptographique pour établir un canal de communication sécurisé avec le premier module de sécurité matériel.
La courbe P(f) représente la valeur maximale de la puissance qui peut être injectée par un onduleur ENRv sur le réseau. Elle est imposée par l’onduleur en fonction de la fréquence mesurée. Entre cette courbe P(f) et la ligne de puissance nulle se trouve une zone de fonctionnement de l’onduleur, représentée sous forme hachurée sur la : la puissance injectée par l’onduleur ENRv prend une valeur qui se trouve dans cette zone hachurée, entre la courbe P(f) et 0 (on ignore les pertes dans cet exemple). La puissance imposée par la fonction P(f) n’impacte donc la puissance injectée par l’onduleur ENRv que quand la puissance disponible dépasse la valeur de P(f).
La courbe P(f) de la comporte trois éléments importants et paramétrables : - la valeur de la fréquence de démarrage de la limitation de la puissance maximum injectée par l’onduleur : f start = f n +Y, où f n désigne la fréquence nominale du réseau de distribution électrique, soit 50 Hz dans l’exemple de la et dans l’ensemble de ce document. Pour une fréquence mesurée inférieure ou égale à f start = f n +Y, l’onduleur peut injecter toute la puissance installée (P n ), et la puissance injectée est égale à la puissance disponible (pas d’écrêtement) ; - la valeur de la fréquence de la fin de limitation de la puissance maximum injectée par l’onduleur : f fin =f n +X. Au-delà de cette valeur de fréquence f fin =f n +X, la puissance est écrêtée complètement (0% de la puissance injectée, indépendamment de la puissance disponible) ; - la valeur de la rampe entre le point de démarrage de la courbe de coordonnées (P n ; f start ) et le point de fin de la courbe de coordonnées (0 ; f fin ) ; pour une fréquence mesurée comprise entre f start et f fin , la puissance maximale injectée par l’onduleur est écrêtée par la loi P(f) si la puissance disponible est supérieure à P(f). En pratique, l’un de ces 3 paramètres peut s’avérer redondant, et seuls deux de ces trois paramètres, au choix du constructeur, sont généralement paramétrables sur les interfaces homme-machine (IHM) de la plupart des onduleurs existants.
Les paramètres habituellement utilisés sont f start =50,2Hz et f fin =51,2Hz, soit une rampe de ΔP/Δf= 1 [p.u./Hz].
Cependant, en France, seuls les onduleurs ENRv installés après juin 2020 implémentent un contrôle actif de la puissance injectée en fonction de la puissance mesurée selon une telle fonction P(f). Les onduleurs ENRv installés dans le réseau de distribution électrique avant juin 2020 doivent être déconnectés lors d’une détection d’îlotage. Pour éviter une injection de puissance dans un réseau îloté, sans régulation de tension, la norme impose une protection de découplage en fonction de l’année d’installation de l’onduleur ENRv. Les différents types d’onduleur actuellement présents sur le réseau de distribution électrique national en France sont présentés dans le tableau 1 ci-dessous.
Type d’onduleur P(f) activée par défaut Fréquence de découplage (en Hz) Puissance installée (en GW) Probabilité de présence sur le réseau national (en %) 1 NON 50,2 2 43 2 NON 50,4 0,3 7 3 NON 50,6 1,7 37 4 OUI 51,5 0,6 13
On notera que cette diversité des types d’onduleurs présents sur le réseau de distribution électrique national rend complexe le contrôle de la puissance injectée par un module ENRv par un pilotage en fréquence imposé par un équipement formant source de tension, et ce, d’autant plus qu’en cas d’intervention sur un micro-réseau îloté, il est difficile de connaître la répartition exacte des différents types d’onduleurs et leur puissance installée. Par ailleurs, dans d’autres pays, le nombre de type d’onduleurs présents sur le réseau de distribution électrique peut être différent de quatre.
On s’attache dans la suite à décrire un exemple de mode de réalisation, dans lequel un système de stockage d’énergie électrique par batterie est connecté provisoirement à un micro-réseau îloté, en raison d’une intervention de maintenance programmée, ou d’une coupure, sur le réseau de distribution électrique principal. On suppose que le micro-réseau îloté comprend plusieurs modules de production d’énergie renouvelable variable, ENRv, par exemple plusieurs modules de production d’énergie photovoltaïque, ainsi qu’illustré sur la . On s’attache dans la suite à décrire un exemple applicable au réseau de distribution électrique français, comprenant des onduleurs de type 1 à 4 tels que mentionnés ci-dessus. Cet exemple est bien sûr généralisable à toute autre configuration de réseau de distribution électrique, comprenant plus ou moins de types d’onduleurs distincts (par exemple N≥1 types d'onduleurs distincts), présentant ou non une fonction P(f) activée par défaut, et des caractéristiques de fréquences de découplage et de puissance installée qui peuvent différer de celles mentionnées dans le Tableau 1 ci-dessus.
Un système de stockage d’énergie électrique, comprend une batterie 10 1 fournissant une tension continue aux bornes d’un onduleur DC/AC 10 2 . L’onduleur DC/AC 10 2 est un équipement d’électronique de puissance qui génère une tension alternative, qui alimente le micro-réseau îloté 11, pendant la durée de l’intervention de maintenance ou de la coupure. Plus généralement, on désigne par batterie 10 1 la partie DC du système de stockage d’énergie électrique, qui comprend une ou plusieurs cellules de batterie, leur contrôle individuel, ainsi que le système de gestion de batterie ou BMS (pour l’anglais « Battery Management System »). Le système de stockage d’énergie électrique est l’ensemble constitué par la batterie 10 1 et l’onduleur DC/AC 10 2 qui peut produire une tension alternative. La tension et le courant alternatifs peuvent être mesurés pour obtenir la puissance du système de stockage (injectée ou soutirée au micro-réseau) et la fréquence (de sa tension). Plusieurs modules de production d’énergie photovoltaïque PV 1 à PV n sont par ailleurs présents sur le micro-réseau 11. Chacun de ces modules PV i comprend un panneau photovoltaïque 12 1 - i qui fournit une puissance continue à un onduleur DC/AC 12 2 - i , qui la convertit en puissance alternative avant injection dans le micro-réseau 11. Un ensemble de charges C 1 à C m sont connectées au micro-réseau 11 et consomment l’énergie électrique fournie par le système de stockage et les modules photovoltaïques PV i .
Dans l’ensemble de ce document, on utilise la convention « générateur » pour la puissance du système de stockage d’énergie électrique : une puissance P positive signifie que le système de stockage injecte de la puissance dans le micro-réseau 11, et donc qu’il se décharge. On considère par ailleurs que la puissance absorbée par le système de stockage correspond à la puissance générée par les modules de production d’énergie photovoltaïque PV 1 à PV n , moins la puissance des charges C 1 à C m . Dans l’ensemble de ce document, une puissance mesurée positive est donc une puissance absorbée par le système de stockage par batteries.
Dans un mode de réalisation, on implémente, dans le système de stockage par batterie, une logique de contrôle de la valeur consigne de la fréquence f de la tension alternative générée par l’onduleur DC/AC 10 2 et alimentant le micro-réseau 11, qui doit répondre à plusieurs objectifs :
1. Eviter un black-out, qui peut avoir par exemple pour cause : une puissance absorbée par le système de stockage trop importante (supérieure à sa puissance installée) ; un niveau de charge (SoC) trop élevé du système de stockage. Si la batterie est presque pleine (SoC important), le système de gestion de la batterie va limiter le courant maximum absorbé jusqu’à une limitation totale. Si le courant équivalent du réseau demande un courant absorbé supérieur à cette limitation, les protections vont ouvrir le disjoncteur principal ; le niveau de charge (SoC) trop bas du système de stockage, s’il est trop déchargé. Si la batterie est presque vide (SoC très faible) le système de gestion de la batterie va limiter le courant maximum injecté jusqu’à une limitation totale. Si le courant équivalent du réseau demande un courant injecté supérieur à cette limitation, les protections vont ouvrir le disjoncteur principal.
2. Prendre en compte la diversité des types de réglages d’onduleurs 12 2-i qui peuvent exister sur le micro-réseau 11 (voir Tableau 1).
3. Favoriser au maximum la production d’énergie renouvelable pour pouvoir : Prolonger la durée théorique d’îlotage (i.e. éviter que la batterie ne se décharge trop vite) ; Produire de l’énergie dite « verte » pour répondre à une priorité environnementale ; Faire bénéficier les propriétaires des modules de production d’énergie photovoltaïque PV 1 à PV n de la présence du micro-réseau 11, en leur permettant de vendre l’électricité produite à l’exploitant du réseau de distribution électrique. 4. Garantir un fonctionnement stable à court terme et à long terme en ce qui concerne les variations oscillatoires entre la fréquence réglée et la puissance active des onduleurs.
Pour répondre à ces besoins, la technique proposée repose sur une logique de contrôle de la valeur consigne de la fréquence f de la tension alternative générée par l’onduleur DC/AC 10 2 et alimentant le micro-réseau 11 qui comporte deux grandes composantes : - une première loi de contrôle f(P), qui contrôle la fréquence f en fonction de la puissance P mesurée aux bornes du système de stockage électrique ; - une deuxième loi de contrôle f(SoC), qui contrôle la fréquence f en fonction du niveau de charge SoC (pour l’anglais « State of charge ») de la batterie 10 1.
Chacune de ces deux lois de contrôle (f(P), f(SoC)) fonctionne selon une logique à deux étages : - un premier étage, mettant en œuvre une loi d’évolution présentant un cycle d’hystérésis, qui permet d’assurer le bon fonctionnement des onduleurs de type 4, ou plus généralement de tous les onduleurs dans lesquels le réglage P(f) est activé ; - un deuxième étage, qui opère un traitement par niveaux de découplage, et qui permet d’assurer le bon fonctionnement des onduleurs de type 1, 2 et 3, ou plus généralement de tous les onduleurs dans lesquels le réglage P(f) n’est pas activé.
On présente désormais, en relation avec les figures 3 à 5, la première loi de contrôle f(P) implémentée dans le contrôleur de l’onduleur 10 2 du système de stockage d’énergie électrique. Cette première loi de contrôle est établie à partir d’une première loi d’évolution illustrée en .
On note toutefois que le jeu périphérique 95 doit être le plus faible possible tout en garantissant que la patte 92 peut tourner, simultanément à la rotation de l’organe rotatif 68, autour de l’axe Q de la tige 88 à laquelle elle est reliée. En effet, comme indiqué précédemment, le tige 88 est entrainée en rotation par la patte 92 lors de la rotation de l’organe rotatif 68, ce qui provoque le déplacement de toute aube 62 portée par la tige 88 entre les première et deuxième positions. Afin que chaque aube 62 se déplace entre les première et deuxième positions de manière simultanée à la rotation de l’organe rotatif 68 autour de l’axe C, le jeu 95 doit être le plus faible possible. Au contraire, il y aurait un décalage entre le début de la rotation de l’organe rotatif 68 et le début du déplacement des aubes 62.
Dans certains cas, les coins de la patte 92 qui sont en vis-à-vis radial de la paroi de fond 82 du logement 77 respectif peuvent être sensiblement arrondis. Ceci permet d’obtenir un jeu 95 plus important mais sans devoir augmenter les dimensions de l’organe rotatif 68, ce qui augmenterait l’encombrement, ni devoir diminuer la taille de la portion 94, ce qui créerait un décalage important entre le début de la rotation de l’organe rotatif 68 et la rotation de chaque aube 62.
Comme indiqué précédemment, la rotation de la tige 88 autour de son axe Q provoque le déplacement de l’aube 62 qu’elle porte entre la première position et la deuxième position. De manière avantageuse, chaque logement 77 et chaque patte 92 sont conformés pour assurer toutes les tiges 88, et donc, que toutes les aubes 62 de chaque vrille 54, se déplacent en même temps et d’un même angle autour de l’axe de rotation O respectif.
On note que grâce à l’alternance de parties pleines 74 et creuses 76 de l’organe rotatif 68, chaque aube 62 peut être déplacée de la première position à la deuxième position, ou vice versa. En effet, cette alternance permet que, quel que soit le sens de la rotation de l’organe rotatif 68, l’une des parties pleines 74, notamment l’un de ses bords latéraux 78, 80, entre en contact avec la portion de chaque patte 92 engagée dans les logements 77. Les mouvements des aubes 62 de la première position à la deuxième position, et vice versa, sont ainsi possibles.
Aussi, grâce à la tige 88 et au mécanisme à biellette 90, l’organe rotatif 68 est couplé en rotation à la rangée annulaire d’aubes 62 de chaque vrille 54 du système d’injection. On note bien entendu que la configuration présentée ci-avant n’est pas limitative, et que d’autres manières de coupler en rotation l’organe rotatif 68 et les aubes 62 de chaque vrille 54 sont envisageables.
Comme expliqué précédemment, lorsque les aubes 62 sont déplacées entre la première position et la seconde position, la perméabilité à l’air et le calage de la vrille 54 respective varient. La rotation de l’organe rotatif 68 autour de l’axe central permet ainsi d’ajuster la perméabilité à l’air et le calage de la vrille 54, notamment en fonction du régime de fonctionnement de la turbomachine.
Par exemple, en phase d’allumage ou de rallumage, il est avantageux de réduire la perméabilité du système d’injection 48 afin d’enrichir en carburant la chambre de combustion 14. En effet, lorsque la perméabilité du système d’injection 48 diminue, le taux d’enrichissement en carburant dans la chambre de combustion 14, défini comme le rapport entre un débit de carburant injecté dans la chambre 14 et un débit d’air injecté dans la chambre 14, augmente. Ceci permet au noyau de flamme initié devant la bougie d’allumage d’attendre plus facilement la zone de recirculation carburée du système d’injection, et à la flamme générée dans la chambre de se propager sans difficultés aux systèmes d’injection voisins. Les chances d’allumer avec succès la chambre de combustion 14 lors des phases d’allumage ou de rallumage de la turbomachine 100 sont ainsi augmentées. Le plafond de rallumage de la turbomachine 100 est également augmenté lorsque la perméabilité du système d’injection 48 diminue. Aussi, lors de phases d’allumage ou de rallumage, il est avantageux que les aubes 62 se déplacent de la deuxième position à la première position.
Au contraire, lorsque la turbomachine 100 fonctionne à plein gaz, par exemple en phase de décollage, il est avantageux d’augmenter la perméabilité du système d’injection 48 pour appauvrir en carburant la chambre de combustion 14, notamment la zone primaire de celle-ci, afin de réduire les émissions de polluants. Dans les régimes à plein gaz il est donc avantageux que les aubes 62 se déplacent de la première position à la deuxième position.
Les performances de la turbomachine 100 peuvent donc être améliorées en fonction du régime dans lequel elle fonctionne à partir du déplacement des aubes 62 entre la première position et la deuxième position décrites ci-avant, ou, autrement dit, à partir de la modification du calage de la ou les vrilles 54 du système d’injection 48. Comme décrit ci-avant, les performances de la turbomachine 100 peuvent être améliorées notamment en termes de consommation de carburant (avec notamment une diminution de consommation) ou de plafond de rallumage (avec une augmentation de celui-ci, ce qui permet de garantir le rallumage de la chambre de combustion à des hauteurs plus élevées). L’émission de polluants lorsque la turbomachine 100 est en service peut aussi être diminuée grâce à l’ensemble décrit ici. D’autres performances de la turbomachine 100 qui peuvent être améliorées grâce à cet ensemble concernent la stabilité de la chambre de combustion de la turbomachine, ou la limite de soufflage de la flamme dans la chambre de combustion.
De surcroit, comme également indiqué ci-avant, grâce à la possibilité de placer chaque aube dans toute position comprise entre la première position et la deuxième position, l’ensemble décrit peut être employé comme matériel d’essais pour déterminer expérimentalement quel est le calage optimal de chaque vrille en fonction du fonctionnement de la turbomachine.
Pour déplacer les aubes 62 entre la première position et la deuxième position, plusieurs mécanismes sont envisageables.
Un premier exemple de mécanisme est illustré sur les figures 2 à 4 et 7. Dans ce cas, l’ensemble est muni d’un moyen de rappel 96 de la pluralité d’aubes 62 dans la première position. Le moyen de rappel 96 est par exemple un ressort 97 de compression ou de traction qui est attaché, à une première partie d’extrémité, au crochet 84 de l’organe rotatif 68, et à une seconde partie d’extrémité opposée à la première d’extrémité, à un crochet 98 prévu sur le système d’injection 48. Par exemple, le crochet 98 fait saillie sensiblement radialement d’une vrille 54, en l’espèce de la vrille 54-1.
Le ressort 97 est agencé de sorte à ce que son énergie potentielle élastique soit nulle lorsque l’organe rotatif 68 est dans une position qui laisse les aubes 62 dans leur première position. Au contraire, le ressort 97 est agencé de sorte à ce que la valeur absolue de son énergie potentielle élastique augmente lorsque les aubes 62 sont déplacées vers la deuxième position concomitamment à la rotation de l’organe rotatif 68. Le ressort 97 revient ainsi spontanément dans son état d’énergie potentielle élastique nulle dès lors que la force qui a provoqué le déplacement des aubes 62 vers la deuxième position cesse.
Dans ce mécanisme, le passage des aubes 62 entre la première position et la deuxième position peut se faire de manière passive. En particulier, le passage de la première position à la deuxième position peut être induit par une force aérodynamique exercée par le flux d’air traversant chaque vrille 54 sur les aubes 62, en particulier sur l’extrados 64 de celles-ci. Lorsque la force aérodynamique qui s’exerce sur les extrados des aubes 62 de chaque vrille 54 augmente, notamment par une augmentation du débit d’air entrant dans la vrille 54, les aubes 62 sont déplacées vers la deuxième position. Aussi, une augmentation de la force aérodynamique exercée sur l’extrados 64 des aubes 62 diminue le calage de la vrille 54, ce qui provoque également une augmentation de la perméabilité du système d’injection 48 de l’ensemble. Les aubes 62 étant couplées en rotation à l’organe rotatif 68, ce déplacement des aubes 62 induit par la force aérodynamique s’accompagne d’un déplacement de l’organe rotatif 68 autour de l’axe central C dans un sens provoquant une compression du ressort 97 (si c’est un ressort de compression) ou un étirement du ressort 97 (si c’est un ressort de traction). Par conséquent, l’énergie potentielle élastique emmagasinée par ce ressort 97 devient non nulle. Une fois que la force aérodynamique cesse, le passage de la deuxième position à la première position se fait aussi passivement. En particulier, le ressort 97 libère spontanément l’énergie potentielle élastique emmagasinée, ce qui provoque le déplacement de l’organe rotatif 68 vers la position où les aubes 62 retrouvent leur première position. Si la force aérodynamique sur l’extrados 64 des aubes diminue sans cesser, le ressort 97 libère une partie de l’énergie potentielle élastique emmagasinée, de sorte que l’organe rotatif 68 est déplacé vers une position qui rapproche les aubes 62 de la première position sans l’atteindre.
Ce premier mécanisme pourrait, selon une variante, être couplé à un moyen de commande du déplacement 102 de la pluralité d’aubes 62 de la première position à la seconde position.