FR3134164A1

FR3134164A1 - Dispositif à pleine autorité de contrôle, de gestion et de pilotage pour installation de stockage et de distribution embarquée de carburant ou de fluide cryogénique.

Info

Publication number: FR3134164A1
Application number: FR2202841A
Authority: FR
Inventors: Jean-Michel SCHULZ; Romain SCHULZ; Eric Schulz
Original assignee: Individual
Current assignee: Individual
Priority date: 2021-03-07
Filing date: 2022-03-29
Publication date: 2023-10-06
Also published as: FR3120419A1

Abstract

La présente invention concerne un dispositif de contrôle, de gestion, de régulation, et de surveillance d’une installation de stockage et de distribution embarquée de carburants ou de fluides cryogéniques. Ce système indépendant et à pleine autorité, le plus souvent autonome, permet de conserver le ou les réservoirs cryogéniques dans des conditions de fonctionnement et de sécurité optimums, aussi bien dans les phases d’utilisation classiques, que celles de remplissage ou de stockage. Figure pour l’abrégé : [Fig 2]

Description

Dispositif à pleine autorité de contrôle, de gestion et de pilotage pour installation de stockage et de distribution embarquée de carburant ou de fluide cryogénique.

Dans le cadre des réservoirs embarqués de carburants ou de fluides cryogéniques, de nouvelles difficultés voient le jour. En effet, au-delà des problèmes habituels liés aux carburants traditionnels, avec des carburants ou des fluides cryogéniques apparaissent des problématiques associées aux très basses températures, aux transferts thermiques, à la nucléation, à l’ébullition, à l’évaporation ou encore au vide nécessaire à l’isolation thermique des réservoirs. Les dangers de la cryogénie sont notamment dérivés de la quantité de fluide à l’état liquide à très basse température qui réchauffée et gazéifiée occupe rapidement un volume très supérieur et peut produire une montée en pression jusqu’à l’explosion de l’installation. Une fuite de fluide cryogénique bien que moins expéditive, engendre aussi un certain nombre de dangers potentiels, tels que l’anoxie, les brûlures, les ruptures fragiles à froid des matériaux environnants non cryogéniques, ou encore les risques d’incendie et d’explosion dans le cas de carburants.

Ces problématiques sont accentuées par le caractère dynamique d’un réservoir embarqué sur un engin en mouvement, soumis entre autres à des accélérations, à des vibrations, ou encore à des chocs et des écarts thermiques d’amplitudes. La gravité et les conséquences d’un accident sont augmentées dans le cas du transport collectif et intensifiées encore avec le nombre de passagers présents à bord ou en proximité immédiate de l’appareil. Les phases de remplissage sont également très critiques. Par ailleurs, l’intégration de cette technologie dans des engins et dans des environnements par définition complexes, les interactions et les interfaçages des différents systèmes sont susceptibles de générer de nombreuses complications, difficilement toutes prévisibles.

Dans le cas particulier de l’hydrogène, carburant spécialement concerné par le stockage cryogénique, la dangerosité est également accrue du fait :

Des risques de fuite attachés à la petite taille de la molécule d’hydrogène.
Des risques d’inflammabilité associés à la faible énergie requise pour l’enflammer.
Des risques d’explosion liés à sa grande volatilité.

Enfin, il est important d’insister ici sur le fait que dans le cadre d’installations cryogéniques, un petit dysfonctionnement initial, s’il n’est pas corrigé immédiatement, peut très rapidement se transformer en un mode de défaillance important, voire catastrophique. Par exemple, les situations accidentelles qui mènent à des entrées de chaleur inopinées peuvent entraîner des augmentations de pression souvent extrêmement rapides. Ces notions de complexité et de constante de temps très courte nécessitent donc des doctrines de contrôles, de surveillance, de gestion et de pilotage très réactives, prédictives, évolutives et situées au plus juste des réservoirs cryogéniques.

Se basant sur les problématiques énoncées ci-dessus, la présente invention concerne un dispositif à pleine autorité, de contrôle, de surveillance, de gestion, de régulation et de pilotage pour installation de stockage et/ou de distribution embarquée de carburants ou de fluides cryogéniques. Ce dispositif permet d’assurer un fonctionnement sécuritaire et performant de l’équipement de stockage et de distribution de carburant ou de fluide cryogénique embarqué. L’expression « pleine autorité » signifie ici que le dispositif est indépendant et surpasse tout autre système de commande concernant le pilotage et les actions sur l’installation de stockage cryogénique.

Il assure entre autres les fonctions :

De gestion du remplissage de l’installation.
De gestion du stockage des différents fluides en fonctionnement et engin à l’arrêt.
De gestion de la distribution et de la recirculation des différents fluides.
De la sécurisation de l’installation, aussi bien en fonctionnement qu’à l’arrêt.
De la transmission et la réception d’informations des autres calculateurs de l’engin.
Ainsi que son autocontrôle.

Comme le montre la qui représente un le schéma fonctionnel, le dispositif est assemblé autour d’un calculateur numérique à pleine autorité, qui au travers de capteurs et d’actionneurs, pilote par exemple les éléments suivants en fonction du type d’installation et de manière non exhaustive :

Les débits et les niveaux de carburant, les températures et les pressions du carburant.
Les débits et les niveaux, les pressions et les températures du fluide d’inertage (si l’installation en est pourvue).
Les débits, les pressions et les températures des fluides de refroidissements internes et/ou externes (si l’équipement en est doté).
Les débits de décharge, de transferts et/ou de purges rapides.
Les puissances des réchauffeurs et/ou des refroidisseurs (si l’installation en possède).
Le niveau de vide de l’enceinte extérieure du réservoir.
La présence et la concentration des gaz dans les différents réservoirs et dans l’enceinte extérieure.
Les efforts, les déplacements, les jeux, les accélérations, les vibrations et les amortissements mécaniques des organes internes et externes de l’installation.
Les organes de sécurité en général vannes, soupapes, clapets ou disques de rupture.
La communication de l’état du système aux autres interfaces et aux autres calculateurs de l’engin.
L’enregistrement et la communication de l’état du système aux interfaces statiques de suivi de la mission et de la maintenance.
La mise en sécurité ultime de l’installation, voire son annihilation.

Une suite de processeurs sont capables d’appréhender les différentes variables fournies par les capteurs et les piloter à l’aide des différents actionneurs. En fonction de l’analyse des modes de défaillance et de leur criticité, les dispositifs calculateurs, processeurs, capteurs et actionneurs pourront être redondants. Le dispositif assure lui-même la fiabilité du système de contrôle, de gestion et de pilotage, via des boucles internes et externes d’autocontrôle et de tests.

De même suivant leur spécificité et leur besoin de fonctionner de manière autonome, les dispositifs pourront être pourvus d’une source indépendante d’énergie pour les alimenter. Cette source pourrait être une ou des batteries, ou une ou plusieurs piles à combustible ou encore un motoalternateur alimenté directement par le carburant cryogénique.

Le schéma de la représente une application à un aéronef du présent dispositif dans le cadre d’une installation de stockage cryogénique avec un réservoir de carburant Hydrogène liquide (1), associé à un système d’inertage et de pressurisation avec de l’Hélium liquide dans le réservoir (7) puis gazeux dans le réservoir (2), par exemple conformément au brevet FR 2011805. L’ensemble réservoir (1), (2) et (7) est maintenu dans l’enceinte extérieure (6) dans laquelle il y a du vide, par des supports flexibles pilotés, par exemple suivant le brevet d’invention FR 2101159. L’installation possède un système de purge rapide, par exemple conformément au brevet d’invention FR 2103473.

Dans cette configuration, le dispositif de contrôle, de gestion, de régulation, et de surveillance d’une installation de stockage embarquée de carburants ou de fluides cryogéniques prend le nom de FADHyCC pour Full Authority Digital Hydrogen Cryogenic Control.

Comme le montre le schéma en bas à droite de la , le dispositif surveille les grandeurs d’état du système, les analyse en permanence, identifie d’éventuels dérives ou dysfonctionnements et définit les modes de fonctionnements normaux, dégradés ou sécuritaires, les plus en adéquation avec la situation. Le dispositif communique et/ou enregistre les informations nécessaires à son maintien opérationnel, son entretien et sa maintenance ou susceptibles de mettre en évidence des anomalies, des pannes ou des incidents. Par exemple, des régimes de surpression, des températures anormalement élevées ou basses, de trop fortes accélérations, des fuites, des détections gazeuses anormales ou encore des chocs en fonctionnement ou lors des opérations de stockage à l’arrêt, même temporaire, sont enregistrés et contribuent à la sécurité et à la maintenance prédictive du système. Le dispositif peut être complété d’un modèle par expérimentation, qui permet d’enrichir et d’ajuster les coefficients du modèle mathématique multivariable, aux évolutions réelles de l’installation physique de stockage embarquée. Par ailleurs l’enregistrement et l’analyse en temps réel ou légèrement différé des évolutions de ces coefficients concourent également à l’analyse de la fiabilité, des pannes, du vieillissement et de la maintenabilité de l’installation. De fait, l’analyse de l’évolution de ces coefficients dits expérimentaux associée à celle de l’évolution des mesures permet soit de choisir un fonctionnement optimisé dans le domaine normal de fonctionnement de l’installation, soit d’évoluer vers un mode dégradé ou même un mode sécurité.

Dans le cas d’un fonctionnement en mode normal, c’est-à-dire pour lequel l’installation est contenue dans son domaine de fonctionnement conforme, le dispositif délivrera la quantité de carburant demandé, maintiendra l’installation dans son domaine de fonctionnement et cherchera à optimiser le minimum d’évaporation d’hydrogène liquide.

Dans le cas d’un mode dégradé, le dispositif analysera et hiérarchisera le ou les dysfonctionnements, cherchera à les éliminer pour retourner rapidement dans le domaine de fonctionnement conforme (mode normal) et délivrera la quantité de carburant demandée dans la limite de ses possibilités et dans une logique de non-aggravation de la situation dégradée.

Pour le mode sécurité, le dispositif a identifié un problème de sûreté immédiat ou imminent dont le pronostic de disparition du dysfonctionnement avant accident n’est pas favorable. Dans ce cas l’objectif prioritaire est la sécurisation immédiate de l’installation, y compris en incluant l’abandon de la mission et la vidange rapide de l’Hydrogène, par exemple avec un dispositif de purge rapide tel que présenté dans la demande de brevet FR2103473.

La présente le schéma fonctionnel de la boucle de régulation principale du dispositif qui consiste à satisfaire la demande en carburant des moteurs par l’intermédiaire de leur FADEC (Full Authorithy Digital Engine Control) en agissant sur la pompe (11) et la vanne du circuit carburant (9). Le prélèvement d’Hydrogène liquide du réservoir (1) a tendance à faire baisser la pression P1 dans ce réservoir. Pour compenser cette pression et remplacer le carburant prélevé, le dispositif ordonnera l’injection d’Hélium gazeux en provenance du réservoir (2) qui possède une pression P2 supérieure à P1, par l’intermédiaire de la vanne (13). De même le prélèvement d’Hélium du réservoir (2) a tendance à faire baisser la pression P2, le dispositif pour compenser ce phénomène ordonnera l’ouverture de la vanne (12) pour prélever de l’Hélium liquide du réservoir (7). On notera ici que l’évaporation de l’hélium liquide dans le réservoir (2) puis sa détente dans le réservoir (1) contribue tout ou partie à la compensation des entrées thermiques extérieures, donc agissent sur l’évaporation de l’Hydrogène, la température T1 et la pression P1.

La boucle de régulation de contrôle du fonctionnement normal s’articule principalement autour des capteurs de mesure de pression et de température redondants avec vote P1a, P1b et P1c pour P1, T1a, T1b et T1c pour T1, P2a, P2b et P2c pour P2, T2a, T2b et T2c pour T2 et P6a, P6b et P6c pour P6 qui caractérise le niveau de vide dans l’enceinte extérieure (6). Lorsque la pression P1 augmente au-delà d’une première valeur d’alerte, le dispositif enclenche le circuit de refroidissement (4) par recirculation de l’Hydrogène via la pompe (11) et l’ouverture de la vanne (13). Le niveau de réactivité du système dépendra de la quantité de carburant prélevé et de la dynamique d’évolution de P1 sur les derniers cycles. Le modèle mathématique du système permet d’appréhender le temps de retour à la normale. Si le refroidissement n’est pas suffisant ou pour l’accélérer en fonction du diagnostic et du pronostique, le régulateur pourra agir en augmentant la puissance de refroidissement par évaporation d’hélium liquide en ouvrant la vanne 12 dans la limite de la pression P2 et de la consommation d’Hélium. Il existe un deuxième seuil d’alerte pour une pression P1 supérieure au premier seuil d’alerte, pour lequel le dispositif agira sur la vanne (15) évent de sécurité du réservoir (1) jusqu’au retour de P1 à une valeur conforme aux conditions normales de fonctionnement. Enfin il existe un ultime seuil d’alerte qui vise à protéger le réservoir d’hydrogène (1) de l’explosion en actionnant via la vanne (8) le circuit de vidange rapide. A contrario, dans certaines conditions, par exemple de forte consommation de carburant, la température T1 peut être amenée à diminuer provoquant le risque d’une solidification de l’Hydrogène et le danger de l’obstruction du circuit de distribution de carburant. Aussi il est défini une température T1 minimale, pour laquelle l’hydrogène sera encore totalement liquide, en dessous de laquelle le dispositif enclenchera la mise en route du réchauffeur (14). De même il convient également de protéger le réservoir d’Hydrogène (1) contre une éventuelle implosion par une différence de pression excessive entre P2 et P1. Dans ce cas, le régulateur agira sur la vanne (16) du circuit de pressurisation pour équilibrer les pressions. Le problème peut également venir d’une augmentation anormale de la pression P2. Pour limiter cette pression et protéger le réservoir (2) d’un endommagement, le FADHyCC ordonnera et/ou coordonnera simultanément l’ouverture de la vanne de sécurité (5) jusqu’à ce que la pression P2 et le différentiel de pression entre P2 et P1 reviennent à leur plage de fonctionnement normal.

Les accéléromètres permettent de mesurer les accélérations, les vibrations ou encore les chocs en vol ou au sol. Les valeurs sont enregistrées et permettent une mesure et un comptage de l’endommagement de l’installation. Par ailleurs elles sont introduites dans le régulateur qui en fonction de la spécificité de ces perturbations peut opérer des corrections sur la tension et l’amortissement des supports par action sur les vérins amortisseurs (17 et 18). Les capteurs de mesure sur les vérins (force et déplacement dans le temps) donnent un feed-back au FADHyCC qui analyse l’intégrité de l’installation et corrige les tensions ou les positions. Une boucle spécifique de calcul permet d’appréhender la quantité d’hydrogène restant liquide dans le réservoir (1) et les consommations instantanées et cumulées d’Hydrogène et d’Hélium, en intégrant la mesure du niveau dans le réservoir 1, la mesure du niveau dans le réservoir 7, les tensions dans les différents supports, les pressions P1 et P2, les températures T1 et T2, les équations d’état des gaz et le diagramme de phase de l’Hydrogène.

Les détecteurs de présence de gaz Hélium et Hydrogène dans l’enceinte (6) et le réservoir (2) permettent quant à eux de discerner très rapidement l’existence de fuites des réservoirs (1), (2) ou (7) et d’anticiper les actions afin de devancer les éventuels risques associés. De même, les capteurs de pression P6 permettent d’identifier une fuite progressive ou le cas de rupture brutale du vide de l’enceinte extérieure (6), qui peuvent conduire à de fortes entrées thermiques et des risques de montée rapide en pression dans les réservoirs (1), (2) et (7). Si l’installation est dotée d’une pompe à vide, le dispositif pourra l’enclencher lorsqu’un seuil en P6 sera atteint et arrêté lorsque le niveau de vide sera obtenu.

Le FADHyCC dialogue et échange des informations avec les calculateurs de l’aéronef et également avec les FADEC des moteurs. Ces informations contribuent à l’état et à la prise de décision des différents systèmes. De même le présent dispositif possède un module de gestion spécifique pour les phases de remplissage qui permet de prendre le pilotage de la gestion des opérations et des appareils de ravitaillement en Hydrogène et/ou en Hélium en toute sécurité.

Lorsque l’aéronef possède plusieurs installations de stockage chacune équipé de leur FADHyCC, les dispositifs peuvent communiquer entre eux pour optimiser la fonction stockage de carburant et/ou de fluides cryogéniques, et procéder à des transferts de carburant ou de fluides cryogéniques et/ou de mise en sécurité de tout ou partie des installations.

Enfin dans certains cas de propulsion par une motorisation électrique à supraconduction, le carburant et/ou le fluide cryogénique pourront servir de fluide de refroidissement au moteur. Dans ce cas le FADHyCC gérera également les boucles de régulation de ces circuits.

Claims

Dispositif de contrôle, de gestion, de régulation, de surveillance et de pilotage d’une installation de stockage et de distribution embarquée de carburants ou de fluides cryogéniques d’un engin, caractérisé par le fait qu’il est équipé de calculateurs, de capteurs, d’actionneurs, de processeurs, capables de collecter et interpréter les données pour assurer tout ou partie des fonctions suivantes, la gestion du remplissage de l’installation, la gestion du stockage des différents fluides en fonctionnement ou engin à l’arrêt, la gestion de la distribution et de la recirculation des différents fluides, la sécurisation de l’installation en fonctionnement ou à l’arrêt, la transmission et la réception d’informations des autres calculateurs de l’engin, ainsi que son autocontrôle, en pilotant tout ou partie des éléments suivants : les débits et les niveaux de carburant, les températures et les pressions du carburant ; les débits et les niveaux ainsi que les pressions et les températures du fluide d’inertage (si l’installation en est pourvue) ; les débits, les pressions et les températures des fluides de refroidissements internes et/ou externes (si l’équipement en est doté) ; les débits de décharge, de transferts et/ou de purges rapides du carburant; les puissances des réchauffeurs et/ou des refroidisseurs (si l’installation en possède) ; le niveau de vide de l’enceinte extérieure du réservoir ; la présence et la concentration des gaz dans les différents réservoirs et dans l’enceinte extérieure ; les efforts, les déplacements, les jeux, les accélérations, les vibrations et les amortissements mécaniques des organes internes et externes de l’installation ; les organes de sécurité en général vannes, soupapes, clapets ou disques de rupture ; la communication de l’état du système aux autres interfaces et aux autres calculateurs de l’engin ; l’enregistrement et la communication de l’état du système aux interfaces statiques de suivi de la mission et de la maintenance ; la mise en sécurité ultime de l’installation, voire son annihilation.
Dispositif selon la revendication 1, caractérisé par le fait que le dispositif surveille les grandeurs d’état du système, les analyse en permanence, identifie d’éventuelles dérives ou dysfonctionnements et définit les modes de fonctionnements normaux, dégradés ou sécuritaires, les plus en adéquation avec la situation en intégrant les conséquences sur la suite de la mission.
Dispositif selon les revendications 1 à 2, caractérisé par le principe que le procédé de contrôle, de surveillance, de gestion et pilotage est dit à pleine autorité, c’est-à-dire indépendant, et surpassent tout autre système de commande concernant le pilotage et les actions sur l’installation de stockage et de distribution cryogénique afin de la conserver dans des conditions de fonctionnement et de sécurité optimums.
Dispositif selon les revendications 1 à 3 qui consiste en mode normal, à satisfaire la demande en carburant des moteurs en agissant sur la pompe (11) et la vanne du circuit carburant (9), à maintenir l’installation dans son domaine de fonctionnement conforme (mode normal) et à chercher à minimiser l’évaporation du carburant liquide dans le réservoir.
Dispositif selon les revendications 1 à 4, caractérisé par le fait que le système prévoit des modes de fonctionnement dégradés ou le dispositif cherchera à retourner rapidement dans le domaine de fonctionnement conforme (mode normal) en délivrant la quantité de carburant demandée dans la limite de ses possibilités et dans une logique de non-aggravation de la situation dégradée.
Dispositif selon les revendications 1 à 5, caractérisé par le fait que le système prévoit des modes de fonctionnement sécuritaire ou le dispositif de contrôle et de pilotage est susceptible d’annihiler tout ou partie de la ou des installations de stockage cryogénique.
Dispositif selon les revendications 1 à 6, caractérisé par le fait que le système gère également les boucles de régulation des circuits de refroidissement des motorisations supraconducteurs.
Dispositif selon au moins une des revendications 1 à 7, caractérisé par le fait que le système pilote des amortisseurs des supports des organes internes, comptabilise les endommagements liés à des accélérations des vibrations ou des chocs et vérifie l’intégrité physique et l’endommagement de l’installation.
Dispositif selon les revendications 1 à 8, caractérisé par le fait que le système possède un module de gestion spécifique pour les phases de remplissage, qui permet de prendre le pilotage de la gestion des opérations et des appareils de ravitaillement en carburant ou/et en fluides cryogéniques, en toute sécurité.
Dispositif selon les revendications 1 à 9, caractérisé par le fait que le système de contrôle et de pilotage est autonome en énergie.
Dispositif selon les revendications 1 à 10, caractérisé par le fait que tout ou partie des éléments constitutifs du dispositif sont redondants.
Dispositif selon les revendications 1 à 11, caractérisé par le fait que le système a la possibilité de dialoguer et d’échanger avec d’autres calculateurs embarqués.
Dispositif selon les revendications 1 à 12, caractérisé par le fait que la fiabilité du système est assurée par des boucles internes et/ou externes d’autocontrôle.
Dispositif selon les revendications 1 à 13, caractérisé par le fait que le système peut actionner un ou des circuits de recirculation, de refroidissement ou a contrario un ou des réchauffeurs (14) du carburant.
Dispositif selon les revendications 1 à 14, caractérisé par le fait qu’un engin comprend plusieurs réservoirs cryogéniques interconnectés entre eux et dont chacun comporte un système de contrôle, de gestion, de régulation, de surveillance et de pilotage.
Dispositif selon la revendication 15, caractérisé par le fait que lesdits systèmes de contrôle, de gestion, de régulation, de surveillance et de pilotage, chacun rattaché à une installation de stockage cryogénique et/ou de distributions, sont susceptibles de communiquer entre eux afin d’optimiser et de sécuriser le fonctionnement global des installations de stockage des carburants ou/et des fluides cryogéniques.
Dispositif suivant les revendications 1 à 16, caractérisé par le fait que lesdits dispositifs de contrôle, de gestion, de régulation, de surveillance et de pilotage, sont utilisés dans le cadre d’engins aériens, spatiaux, terrestres, navals ou sous-marins.