Système hydraulique pour aéronef

La présente invention appartient au domaine des systèmes hydrauliques utilisés à bord des aéronefs pour la commande d'éléments mobiles tels que des gouvernes aérodynamiques et des parties de trains d'atterrissage.

Plus particulièrement l'invention concerne une protection pour de tels systèmes hydrauliques qui limite les conséquences de la rupture de certaines tuyauteries à proximité des pompes de génération de la pression hydraulique lors d'un éclatement de moteur.

Sur la majorité des aéronefs de transport modernes de nombreuses parties mobiles sont mues par des actionneurs mettant en oeuvre une puissance transportée dans un fluide hydraulique sous pression.

Les gouvernes aérodynamiques et les éléments mobiles des trains d'atterrissage sont les principaux éléments mus par des actionneurs hydrauliques et leurs bons fonctionnements sont essentiels, toute défaillance non maîtrisée pouvant mettre en danger l'aéronef.

Pour ces raisons de sécurité, les systèmes hydrauliques d'un aéronef, comportant générations hydrauliques, distributions hydrauliques et actionneurs, sont agencés suivant des architectures qui cherchent à limiter les conséquences des défaillances possibles des différents composants des dits systèmes et dans tous les cas à éviter qu'une défaillance probable ne puisse entraîner des conséquences susceptibles de mettre en jeu l'intégrité de l'aéronef concerné.

De nombreuses architectures ont été imaginées et ou sont mises en oeuvre à bord des aéronefs pour limiter les conséquences des défaillances des composants des systèmes hydrauliques. Des principes communs à toutes les architectures connues, au moins pour celles utilisées à bord des aéronefs civils devant respecter des règles sévères de certification, consistent à agencer plusieurs circuits hydrauliques indépendants, en général deux ou trois circuits, chaque circuit pouvant comporter deux ou plusieurs fois certains composants, par exemple deux pompes de

génération de la pression hydraulique (règles de redondance), et en outre à agencer les composants des dits circuits à bords de l'aéronef de sorte que le risque d'endommagement de deux ou plusieurs circuits ou composants en redondance, en raison d'un même événement cause de l'endommagement, soit improbable (règle de ségrégation).

Afin de mettre en oeuvre ces principes de base pour la sécurité des systèmes hydrauliques certains circuits hydrauliques sont pourvus d'au moins deux sources de génération de puissance hydraulique, des pompes hydrauliques, entraînées par des moteurs différents, par exemple un moteur de propulsion sur l'aile gauche d'un avion et un moteur de propulsion sur l'aile droite (ou un moteur électrique, ou une éolienne ou un groupe auxiliaire de puissance).

Dans ce type de circuit hydraulique, il est alors nécessaire que la défaillance d'une source de génération du circuit ne rend pas le circuit inutilisable ce qui aurait pour conséquence de rendre inutile la seconde source de génération du même circuit. Dans le cas contraire la redondance des pompes serait alors apparente et n'atteindrait pas le but recherché.

Un risque important pour un circuit hydraulique dont la génération hydraulique de puissance met en oeuvre une pompe hydraulique entraînée par un moteur de propulsion de type turbine de turboréacteur ou de turbomoteur provient des débris pouvant être projeté lors d'un éclatement d'une partie tournante de ladite turbine, événement qualifié d'éclatement moteur.

Les pompes hydrauliques entraînées mécaniquement par les moteurs de propulsion sont nécessairement situées proches des dits moteurs et il est généralement impossible que les conduites hydrauliques raccordées aux dites pompes puissent être installées en dehors de toutes les zones susceptibles d'être atteinte par les débris conséquences d'un éclatement moteur.

Dans le cas d'un tel événement, le risque est élevé qu'une conduite hydraulique soit fortement endommagée ou même sectionnée et, sans précaution particulière, le circuit hydraulique concerné perd rapidement du fluide hydraulique et devient inutilisable.

Pour éviter que tout le fluide hydraulique d'un circuit ne soit perdu en cas de sectionnement d'une conduite lors d'un éclatement moteur, un dispositif

propre au moteur, par exemple un calculateur de conduite du moteur qui comporte une fonction de surveillance, qui analyse des paramètres de fonctionnement du moteur aptes à permettre de détecter un éclatement moteur, génère un signal spécifique pour signaler un éclatement du moteur considéré, lequel signal est utilisé pour commander la fermeture de robinets coupe feu montés sur les conduites hydrauliques et qui provoque l'isolement du circuit hydraulique par rapport à la zone d'éclatement dans laquelle est susceptible d'avoir été sectionnée une conduite.

Un inconvénient de ce type de dispositif vient du fait que le plus souvent les moyens de détection de l'éclatement d'un moteur ne sont pas en mesure de générer le signal correspondant avant un délai important, de l'ordre de 30 secondes, au regard de la fuite hydraulique générée par le sectionnement d'une conduite de pompe.

Pour activer le ou les robinets coupe feu isolant le circuit hydraulique des pompes entraînées par le moteur défaillant avant que le fluide hydraulique ne soit totalement perdu, il est alors nécessaire de disposer d'un réservoir de fluide de capacité importante, solution généralement écartée en raison de la masse induite par une telle solution.

Il est également possible de mettre en place d'autres moyens de détection comme par exemple des fils à casser associés aux conduites hydrauliques qui en raison de leur rupture en cas de rupture de la tuyauterie permettent de détecter rapidement le sectionnement d'une tuyauterie.

Ces solutions ne sont toutefois pas totalement satisfaisantes non plus en raison de la fragilité des fils à casser qui travaillent, dans le cas des conduites hydrauliques proches des moteurs de propulsion, dans un environnement sévère et qui ne permettent pas toujours de détecter toutes les trajectoires possibles de débris de moteur.

In fine la nécessité de considérer le cas de l'éclatement moteur et l'endommagement des conduites hydrauliques à proximité de la ou des pompes associées à ce moteur conduit à des architectures de systèmes de génération hydraulique complexes et lourdes, notamment par la mise en place de circuits hydrauliques entièrement en dehors des zones de projection de débris en cas

d'éclatement moteur qui impose d'utiliser des pompes entraînées par des moyens autres que les moteurs de propulsion, par exemple par des moteurs électriques ou par des éoliennes...

Pour simplifier l'architecture des systèmes hydrauliques d'un aéronef, l'invention propose un système hydraulique comportant au moins un circuit hydraulique alimenté par au moins deux pompes et dans lequel parmi les pompes du circuit hydraulique :

- au moins une pompe est entraînée par un moteur susceptible de subir un éclatement moteur, lequel éclatement moteur est susceptible de projeter des débris dans une zone de projection ;

- des canalisations de raccordement de la pompe au reste du circuit hydraulique sont installées en partie dans la zone de projection, les dites canalisations comportant : - une ou plusieurs canalisations d'aspiration de fluide hydraulique à basse pression dans laquelle le fluide hydraulique circule depuis entre autre une bâche hydraulique vers la pompe, la ou les canalisations d'aspiration comportant chacune une vanne coupe feu qui dans une position ouverte laisse circuler le fluide dans la canalisation et dans une position fermée interdit la circulation du fluide dans la canalisation d'aspiration considérée ;

- une ou plusieurs canalisations de refoulement de fluide hydraulique sous haute pression, dite refoulement HP, dans laquelle ou lesquelles le fluide hydraulique circule depuis la pompe vers le reste du circuit hydraulique, la ou les canalisations de refoulement comportant chacune un clapet antiretour agencé pour interdire la circulation du fluide hydraulique dans la canalisation de refoulement concernée vers la pompe ;

- le cas échéant une ou des canalisations de drain de fluide hydraulique à basse pression dans laquelle le fluide hydraulique circule depuis un carter de la pompe vers la bâche, la ou les

canalisations de drain comportant chacune un clapet anti-retour agencé pour interdire la circulation du fluide hydraulique dans la canalisation de drain concernée depuis la bâche vers le carter de pompe. Afin qu'un éclatement moteur endommageant des canalisations, canalisations d'aspiration et ou canalisations de refoulement HP et ou, le cas échéant, canalisations de drain, à proximité d'une pompe ne rende pas inutilisable le circuit hydraulique auquel est raccordée la pompe du fait de la fuite hydraulique provoquée par l'endommagement des canalisations, la ou les canalisations d'aspiration, la ou les canalisations de refoulement HP et la ou les canalisations de drain comportent chacune au moins un capteur de pression, chaque capteur de pression étant agencé entre la pompe et la vanne coupe-feu ou le clapet anti-retour de la canalisation considérée, apte à délivrer un signal caractéristique d'une valeur de la pression du fluide hydraulique dans la canalisation considérée, et le système hydraulique comporte un dispositif de commande de la vanne coupe-feu qui :

- reçoit des capteurs de pression de chaque canalisation, canalisations d'aspiration, canalisations de refoulement et canalisations de drain, le signal caractéristique de la pression mesurée ; - compare chaque signal caractéristique de la pression mesurée à un seuil prédéfini pour chaque canalisation ;

- génère un signal FVCF de commande de fermeture de la vanne coupe-feu lorsque l'un au moins des signaux caractéristiques d'une pression mesurée est inférieur au seuil auquel il est comparé. Pour éviter de déclencher une fermeture non justifiée de la vanne coupe- feu en raison d'une variation de la pression dans la canalisation d'aspiration qui est sujette à d'importantes variations de pression en utilisation normale, le dispositif de commande de la vanne coupe-feu inhibe le signal FVCF de commande de fermeture de la vanne coupe-feu lorsque la pression mesurée sur la canalisation d'aspiration est inférieure à la valeur seuil de la pression prédéfinie pour ladite canalisation d'aspiration si un signal caractéristique d'un niveau de

fluide hydraulique dans la bâche ne détermine pas que ledit niveau de fluide dans la bâche est inférieur à un niveau minimum prédéfini, dit niveau bas de bâche.

Afin de prendre en compte des fuites faibles qui n'induisent pas de chutes de pression dans les canalisations en dessous des seuils prédéfinis, c'est à dire suffisantes pour être interprétées comme un endommagement d'une canalisation, le dispositif de commande de la vanne coupe-feu :

- génère un signal FVCF de fermeture de la vanne coupe-feu lorsque aucune pression dans les canalisations n'est mesurée inférieure aux seuils prédéfinis mais qu'un signal de niveau bas de bâche est reçu et ; - qu'un signal identifiant un éclatement moteur est reçu d'un système de détection d'éclatement moteur.

Pour éviter que des conditions particulières ne conduisent le dispositif de commande de la vanne coupe-feu à générer un signal de réouverture de la ou des vannes coupe-feu lorsque ces vannes ont été fermées, le signal de fermeture généré par le dispositif de commande de la vanne coupe-feu est verrouillé lorsqu'un signal de bas niveau du fluide hydraulique dans la bâche est reçu et qu'un signal est en outre reçu du dispositif de détection d'éclatement moteur comme quoi un éclatement est détecté.

Pour consolider les conditions qui déclenchent la fermeture de la vanne coupe-feu, de préférence la pression dans une canalisation est déterminée au moyen de deux capteurs de pression et la pression dans une canalisation donnée est considérée comme inférieure au seuil défini pour la dite canalisation si :

- un des deux capteurs au moins associé à la dite canalisation délivre un signal caractéristique d'une pression inférieure au seuil correspondant ; - des signaux de validité des mesures fournies par les deux capteurs indiquent qu'aucun des deux capteurs n'est en mesure de transmettre une mesure fiable.

Pour des raisons similaires, le niveau bas du fluide hydraulique dans la bâche est consolidé : - en comparant une valeur QB du niveau, mesuré par un capteur de niveau, de fluide dans la bâche avec un seuil SQB et en combinant le

résultat de cette comparaison avec un ET logique d'un détecteur de niveau minimum QMIN dans la bâche lorsque la valeur transmise par le capteur de niveau est considérée comme fiable en raison de la valeur d'un signal de validité associé audit capteur de niveau, ou ; - en utilisant la seule information QMIN du détecteur de niveau minimum lorsque la valeur transmise par le capteur de niveau est considérée comme non fiable en raison de la valeur d'un signal de validité associé audit capteur de niveau.

Afin de ne pas gêner la mise en route des systèmes hydrauliques lorsque les moteurs sont démarrés depuis un état arrêté, le dispositif de commande de la vanne coupe-feu inhibe le signal FVCF de fermeture de la vanne coupe-feu, si ladite vanne coupe-feu n'a pas été fermée en raison d'un éclatement moteur supposé ou identifié, lorsque l'aéronef n'est pas en vol et ou que la pompe est dépressurisée par une commande de dépressurisation CDP volontaire. Avantageusement, le dispositif de commande de la vanne coupe-feu considère que l'aéronef n'est pas en vol lorsque les moteurs ne sont pas détectés en fonctionnement et que la vitesse de l'aéronef est inférieure à une vitesse seuil inférieure à une vitesse minimale de vol.

Par sécurité et éviter que la vanne coupe-feu ne soit ouverte sans que les opérations nécessaires de remise en état de l'aéronef n'ait été réalisée, le dispositif de commande de la vanne coupe-feu est apte à générer un signal OVCF de commande d'ouverture de la vanne coupe-feu et n'autorise la génération dudit signal OVCF d'ouverture, lorsque les conditions de fermeture de la vanne coupe- feu ont été réalisées au cours d'un vol, que lorsque les moteurs de l'aéronef sont tous détectés à l'arrêt, que l'aéronef est détecté au sol et que le niveau de fluide hydraulique dans la bâche est supérieur au niveau bas.

L'invention concerne également un système hydraulique pour aéronef comportant deux circuits hydrauliques indépendants chacun des dits circuits comportant deux pompes hydrauliques et les deux pompes d'un même circuit étant entraînées par des moteurs de propulsion différents de l'aéronef, dans lequel chaque pompe hydraulique est associée à une vanne coupe-feu

commandée suivant une logique conforme à la logique qui vient d'être décrite.

De cette façon l'architecture du système hydraulique se trouve simplifiée par rapport aux architectures connues sans que la fiabilité du système hydraulique s'en trouve affectée.

Le procédé suivant l'invention est décrit en référence aux figures qui représentent schématiquement : figure 1 : une architecture de système hydraulique comportant deux circuits hydrauliques indépendants suivant l'invention ; figure 2 : un schéma de principe des moyens de l'invention à proximité d'une pompe hydraulique entraînée par un moteur de propulsion ; Figure 3 : une logique de contrôle de la vanne coupe-feu associée à une pompe hydraulique ;

Suivant l'invention un système hydraulique pour aéronef comporte au moins un circuit hydraulique alimenté par au moins deux pompes hydrauliques distinctes dont l'une au moins comporte des canalisations qui se trouvent dans une zone de projection possible de débris d'un moteur dans l'hypothèse d'un éclatement moteur, notamment en raison de son entraînement mécanique par ledit moteur qui impose une installation très proche dudit moteur.

La figure 1 illustre un exemple d'une architecture d'un système hydraulique d'un aéronef correspondant à une telle situation. L'installation hydraulique de la figure 1 comporte deux circuits hydrauliques indépendants la, dit circuit vert, et Ib, dit circuit jaune.

Les dits deux circuits vert et jaune sont sur le plan fonctionnel très similaires.

Chaque circuit la, Ib comporte deux pompes hydrauliques 10a, lia, respectivement 10b, 11b qui sont entraînées chacune par des moteurs différents

2a et 2b de propulsion de l'aéronef de sorte que si un moteur, 2a, respectivement 2b, cesse d'entraîner les pompes 10a et 10 b, respectivement lia

et llb auquel elles sont connectées, par exemple en raison d'un arrêt de la rotation du dit moteur, les deux circuits hydrauliques restent fonctionnels en raison de leur alimentation par les pompes lia, llb, respectivement 10a, 10b connectées à l'autre moteur 2b, respectivement 2a. Chaque circuit hydraulique comporte des canalisations d'une distribution hydraulique dans lesquelles circule en circuit fermé un fluide hydraulique, représentées schématiquement sur la figure 1 par un trait unique 3a, 3b qui alimentent en énergie hydraulique des équipements consommateurs, actionneurs, moteurs hydrauliques ..., nécessaire par exemple à des commandes de vol 12, à des dispositifs hypersustentateurs et à des inverseurs de poussée de moteurs 13 et à des systèmes de train d'atterrissage 14.

Un circuit hydraulique comporte le cas échéant des moyens de génération de puissance hydraulique annexes 15 pour des besoins de maintenance. Chaque circuit comporte également au moins une bâche hydraulique, non représentée, réservoir sous pression qui contient une réserve de fluide hydraulique.

La bâche permet de compenser des pertes de fluide hydraulique, en particulier en raison des micro-fuites inévitables dans un système hydraulique et de compenser les variations de niveau du fluide induites par le fonctionnement des équipements et par des variations de température en service sources de variations de volume du fluide.

La bâche est donc un élément essentiel d'un circuit hydraulique et en particulier son volume qui caractérise une capacité de la bâche à compenser des pertes de fluide hydraulique.

La bâche comporte notamment au moins un capteur d'un niveau Qb de fluide hydraulique dans la bâche et de préférence un détecteur spécifique d'un niveau bas Qmin du fluide hydraulique, niveau bas Qmin qui est déduit le cas échéant de la mesure du niveau Qb de fluide.

La figure 2 illustre schématiquement la situation d'une génération hydraulique d'un circuit hydraulique au niveau d'un moteur de propulsion 2 qui

correspond à un des moteurs 2a, 2b de la figure 1.

Le moteur 2 entraîne mécaniquement une pompe 10, correspondant à une pompe 10a ou 10b ou lia ou llb de la figure 1 suivant le moteur et le circuit hydraulique vert ou jaune considéré. Le moteur 2 comporte également un dispositif 21 de détection d'un éclatement moteur qui génère un signal d'information particulier lorsque qu'un éclatement est détecté au moyen d'une ligne de communication 22 telle qu'un bus de transmission de données.

Un tel dispositif 21 est avantageusement un système de contrôle du fonctionnement du moteur, dit FADEC, dans lequel est incorporé de manière connue la fonction de détection d'éclatement par analyse de signaux issus de divers capteurs, non représentés, du moteur.

La pompe 10 est raccordée au circuit hydraulique par des canalisations dans lesquelles le fluide hydraulique circule vers la pompe et des canalisations dans lesquelles le fluide hydraulique repart de la pompe.

Sur l'exemple de la figure 2 la pompe comporte, suivant une architecture de pompe connue, trois canalisations.

Une première canalisation 31, dite aspiration, correspond à l'arrivée de fluide hydraulique à basse pression vers la pompe 10, fluide arrivant des équipements consommateurs et ou de la bâche.

Une seconde canalisation 32, dite drain, correspond à un départ de fluide hydraulique à basse pression depuis un carter de drainage de la pompe 10. La canalisation de drain envoie vers la bâche le fluide hydraulique qui arrive dans le carter de la pompe 10 en raison de fuites internes à ladite pompe. Une troisième canalisation 33, dite refoulement HP, correspond à un départ de fluide hydraulique à haute pression depuis la pompe 10, à destination des équipements consommateurs.

De manière connue la canalisation d'aspiration 31 est pourvue d'au moins une vanne d'isolement 311, dite vanne coupe-feu, comportant une première position, dite position ouverte, dans laquelle le fluide hydraulique circule librement dans la canalisation correspondante, et une seconde position, dite position fermée, dans laquelle le fluide hydraulique ne peut plus circuler entre

une partie aval, côté pompe de la vanne, et une partie amont, côté circuit hydraulique et équipements consommateurs, de la canalisation.

Si la pompe comporte deux ou plusieurs canalisations d'aspiration, cas non représentés sur les figures, de manière similaire chaque canalisation est pourvue d'au moins une vanne d'isolement. Dans la suite de la description l'expression « la vanne coupe-feu » doit être interprété comme « les vannes coupe-feu associées aux canalisations d'aspiration de la pompe » lorsque ladite pompe comporte plus d'une canalisation d'aspiration.

De manière connue également chacune des canalisations de drain 32 et de refoulement HP 33 est pourvue d'au moins un clapet anti-retour respectivement 321, 331, chaque clapet anti-retour étant agencé sur la canalisation correspondante de sorte que le fluide hydraulique circule librement dans la canalisation depuis la pompe 10 vers le circuit hydraulique et ne peut pas circuler dans le sens inverse, c'est à dire vers la pompe. Si la pompe comporte deux ou plusieurs canalisations de drain ou de refoulement HP, cas non représentés sur les figures, de manière similaire chaque canalisation est pourvue d'au moins un clapet anti-retour.

Les clapets anti-retour sont plus simples que les vannes coupe-feu car il ne nécessitent aucune commande et sont très fiables en raison de leur constitution. Ils sont suffisants pour éviter un retour de fluide hydraulique vers la pompe sans s'opposer au passage du fluide dans la canalisation en fonctionnement normal. Bien que préférés, les clapets anti-retour peuvent être remplacés ou complétés par des vannes commandées pour assurer les mêmes fonctions que les clapets. Dans un tel agencement, les dites vannes sont alors commandées de manière simultanée avec la ou les vannes coupe-feu des canalisation d'aspiration.

Chaque canalisation 31, 32, 33 est également équipée, entre la pompe

10 d'une part et la vanne coupe-feu 311 ou les clapets anti-retour 321, 331 d'autre part, d'au moins un capteur de pression 312a, 312b, respectivement

322a, 322b et 332a, 332b, qui délivre une information de pression du fluide hydraulique dans la canalisation correspondante.

La vanne coupe-feu 311, les clapets anti-retour 321, 331 et les capteurs de pression 312a, 312b, 322a, 322b, 332a, 332b, sont agencés sur les canalisations de préférence dans des zones en dehors d'une zone 23, dite zone de projection, dans laquelle sont susceptibles d'être projetés des débris du moteur pouvant endommager les canalisations hydrauliques 31, 32, 33, de sorte que les dits capteurs, ladite vanne et les dits clapets ne risquent pas d'être endommagés par des projections de débris ou au moins pour diminuer autant que possible ce risque. Capteurs, vannes et clapets sont par exemple installés dans une zone d'un mat d'accrochage du moteur 2. Avantageusement les capteurs de pressions sont agencés au plus près de la zone 23 afin d'être aussi sensibles que possible aux variations de pressions du fluide hydraulique dans les sections de canalisations situées dans ladite zone.

En outre, un dispositif de commande de la vanne coupe-feu 311 reçoit des signaux des capteurs de pression agencés sur les canalisations de sorte que lorsque les pressions mesurées par les capteurs sont inférieures à des seuils, adaptés à chaque canalisation considérée, ledit dispositif de commande génère un signal ayant pour effet de commander la fermeture de ladite vanne coupe-feu.

Du fait des mesures quasi-instantanées des pressions fournies par les capteurs de pression agencés sur les canalisations et de la chute rapide de pression dans une canalisation qu'engendrerait le sectionnement de ladite canalisation, la détection par un capteur d'une chute de pression en dessous du seuil associé audit capteur est interprété par le système de commande de la vanne coupe-feu comme une fuite dans la canalisation correspondante conséquence possible d'un éclatement moteur et ledit système de commande la fermeture de la vanne coupe-feu 311 de la canalisation d'aspiration 31 de la pompe 10 entraînée par le moteur 2.

Cette fermeture de la vanne coupe-feu 311 est commandée dans un délai très court, au plus de l'ordre de quelques secondes, suivant la détection de la baisse de pression et donc de l'éclatement supposé, délai bien plus court que celui de l'ordre de trente secondes à l'issue duquel le dispositif 21 de détection d'éclatement moteur est en mesure de donner l'information d'éclatement moteur.

La pompe 10 et les éléments de canalisations associés susceptibles d'avoir été endommagés sont alors isolés du reste du circuit hydraulique, par la vanne coupe-feu 31 d'une part et par les clapets anti-retour 32, 33 d'autre part, sans qu'une quantité importante de fluide hydraulique n'ait été perdu et donc en maintenant ledit circuit hydraulique opérationnel avec l'autre pompe du circuit considéré.

Dans un mode particulier de réalisation, lorsque les moyens mis en oeuvre pour détecter un éclatement moteur sont considérés comme délivrant une information suffisamment sûre, le dispositif de commande de la vanne coupe-feu comporte également une logique qui actionne la fermeture de la vanne 311 associée à la pompe 10 lorsque le dispositif 21 de détection d'éclatement moteur déclare un éclatement du moteur sur lequel est montée ladite pompe, même lorsque aucune des pressions mesurées par les capteurs de pression 312a, 312b, 322a, 322b, 332a, 332b n'est inférieure aux seuils. II est en effet possible dans ce cas que l'éclatement moteur ait généré des fuites limitées n'ayant pas fait diminuer les pressions mesurées par les capteurs de pression en dessous des seuils pour lesquels le dispositif commande une fermeture de la vanne coupe-feu 311. Dans ce cas la perte de fluide hydraulique reste limitée malgré le délai de détection de l'éclatement moteur par le dispositif 21 de détection d'éclatement.

La bâche comporte également au moins un capteur du niveau Qb de fluide hydraulique dans ladite bâche qui délivre un signal caractérisant ledit niveau de fluide.

De préférence la bâche comporte également un détecteur de niveau bas qui génère un signal qui change d'état lorsque le niveau de fluide dans la bâche devient inférieur à un niveau prédéfini.

Il convient de noter que même en absente de fuite, lorsque l'éclatement moteur est confirmé, il est souhaitable d'isoler la pompe 10 lorsque le moteur 2 a subi un éclatement car le balourd d'un moteur après un éclatement est généralement important et le risque d'endommagement des canalisations hydrauliques est élevé en raison du fort niveau vibratoire.

Avantageusement le dispositif de commande de la vanne coupe-feu

reçoit des signaux pour inhiber la commande de fermeture de la vanne coupe-feu 311 lorsque les pressions mesurées par les capteurs de pression 312a, 312b, 322a, 322b, 332a, 332b sont normalement en dessous des valeurs seuils, en particulier pendant des phases de démarrage du moteur 2. Par exemple la logique du dispositif de commande de la vanne coupe-feu inhibe la fermeture de la vanne coupe-feu 311 lorsque la vitesse de l'aéronef est inférieure à une vitesse donnée, par exemple une vitesse de 100Kt pour un avion civil, qui implique que l'avion n'est pas en vol.

Dans un mode préféré de réalisation de l'invention la condition de pression, pour laquelle il est considéré par le dispositif de commande de la vanne coupe-feu qu'une canalisation 31, 32, 33 est endommagée, est établie au moyen d'un premier capteur 312a, respectivement 322a et 332a, et d'un second capteur 312b, respectivement 322b et 332b, de mesure de la pression dans ladite canalisation, capteurs qui chacun délivrent d'une part une valeur de pression mesurée du fluide dans la canalisation correspondante et d'autre part un signal de validité qui caractérise une fiabilité de l'information délivrée par le capteur.

La valeur de pression délivrée par un capteur peut être une valeur analogique ou numérique correspondant à une valeur mesurée et qui est alors comparée par le dispositif de commande de la vanne coupe-feu à la valeur seuil associée audit capteur, ou par construction dudit capteur une valeur discrète qui change d'état pour la valeur seuil.

Dans un mode préféré de réalisation mettant en oeuvre deux capteurs de pression par canalisation, afin de consolider la condition de perte de pression sur une canalisation, le dispositif de commande de la vanne coupe-feu détermine que la pression est inférieure au seuil prédéfini :

- si le premier capteur délivrant un signal valide en raison de la valeur du signal de validité associé donne une valeur de pression inférieure au seuil prédéfini pour ce capteur, et ou ;

- si le second capteur délivrant un signal valide en raison de la valeur d'un signal de validité associé donne une valeur de pression inférieure au seuil prédéfini pour ce capteur, ou ;

- si le premier et le second capteurs sont déclarés ne pas donner d'informations valides en raison de leurs signaux de validité, condition qui conduit à supposer que les deux capteurs sont endommagés.

Lorsque la détection d'un éclatement de moteur n'est pas confirmée dans un délai donné nécessaire au dispositif 21 de détection d'éclatement moteur, par exemple un délai de trente secondes, pour délivrer l'information d'éclatement, il est fait l'hypothèse que la fermeture de la vanne coupe-feu 311 n'est pas justifiée et le dispositif de commande de la vanne coupe-feu 311 commande la réouverture de ladite vanne pour obtenir le retour à un fonctionnement nominal de la pompe.

A contrario, si la détection d'un éclatement de moteur est confirmée dans dans le délai donné nécessaire au dispositif 21 de détection d'éclatement moteur pour délivrer l'information d'éclatement, la fermeture de la vanne coupe-feu 311 est justifiée et le dispositif de commande de la vanne coupe-feu 311 verrouille la commande de fermeture de ladite vanne de sorte que la réouverture de ladite vanne est alors impossible jusqu'au rétablissement de conditions correspondant à une remise en état du circuit lorsque l'aéronef est au sol.

Un exemple détaillé d'une logique de fonctionnement du dispositif de commande de la vanne coupe-feu pour une pompe 10 agencée comme dans l'exemple de la figure 2 suivant l'invention est donné sur la figure 3. Chaque pompe entraînée par un moteur susceptible de projeter des débris, quel que soit le circuit alimenté en pression hydraulique par la dite pompe, est de préférence pourvue d'un dispositif similaire de commande d'une vanne coupe-feu ou le cas échéant des vannes coupe-feu associées à la pompe considérée si plusieurs vannes sont mises en oeuvre.

Cette figure 3 présente un schéma qui utilise les conventions générales de représentation des circuits logiques au moyen de portes logiques ET (AND) et de portes logiques OU (OR), associée ou non à des entrées inversées, ainsi que

de TEMPORISATION (TEMP) et de COMPARATEUR (COMP).

Sur la figure 3 les signaux d'entrée et de sortie ont les significations suivantes :

- pour les signaux d'entrée :

Suivant la logique proposée, comme il ressort de l'analyse du schéma de la figure 3, pour les signaux comportant deux états logiques (1,0) ou (Vrai,Faux), un signal prend la valeur logique 1 ou Vrai lorsque la condition donnée dans la définition est remplie.

Le schéma est transposable sans difficulté si des signaux d'entrée ne respectent pas ce principe et la logique n'est pas limitée strictement au schéma

proposé, en particulier des conditions supplémentaires de déclenchement ou d'inhibition des commandes de fermeture ou d'ouverture de la vanne coupe-feu pouvant être introduites par exemple pour des raisons de sûreté de fonctionnement du dispositif. Le fonctionnement de l'invention dans le cas de l'exemple particulier de la logique proposée sur la figure 3 est détaillé ci-après.

En conditions nominales, aéronef en vol et moteurs en fonctionnement normal : - le niveau de fluide hydraulique dans la bâche du circuit hydraulique considéré est supérieur au niveau minimal, dit bas niveau, c'est à dire que la quantité mesurée de fluide QB est supérieur au seuil inférieur SQB et le signal de détection de bas niveau QMIN est à la valeur logique 0 ; - le moteur est alimenté en carburant et le signal ML est à la valeur logique 1 ;

- la pompe hydraulique du circuit hydraulique considéré est pressurisée et le signal CDP est à la valeur logique 0 ;

- le calculateur FADEC de gestion du fonctionnement et de surveillance du moteur délivre un signal ER à la valeur logique 1 pour caractériser le fonctionnement correct du moteur

- le dispositif 21 de détection d'éclatement moteur, le calculateur FADEC dans l'exemple considéré, délivre un signal DEFA à la valeur logique 0, aucun éclatement moteur n'étant détecté.

On suppose également dans le cas du fonctionnement nominal que les signaux de validité, destinés à éviter la prise en considération d'un signal émis par un équipement défaillant, sont tous à la valeur logique 1, c'est à dire que les signaux émis par les équipements sont pris comme valides. Pendant une phase transitoire de mise en route des moteurs les pressions, mesurées par les capteurs de pression 312a, 312b, 322a, 322b, 332a,

332b, sont établies progressivement depuis des valeurs inférieures aux valeurs de seuil SHP, SD et SLP respectivement pour les trois canalisations de refoulement HP, de drain et d'aspiration.

Pendant cette phase transitoire le signal FVCF de commande de fermeture de la vanne coupe-feu 311 est donc verrouillé et ladite vanne coupe- feu est maintenue ouverte, FVCF est à la valeur logique 0 et OVCF à la valeur logique 1.

Pendant un décollage la vitesse de l'aéronef augmente et lorsque la vitesse atteint une vitesse seuil, ladite vitesse seuil étant choisie inférieure à une vitesse minimale de vol de l'aéronef concerné, par exemple une vitesse de 100 noeuds pour un avion de transport civil moderne, la fermeture de la vanne coupe-feu 311 devient possible.

Au cours du vol, en condition normale de vol, la vanne coupe-feu 311 est ouverte et la logique est en état de commander une fermeture de ladite vanne. En cas d'éclatement du moteur, des débris sont éjectés susceptibles d'endommager une des conduites de refoulement et ou de drain et ou d'aspiration, un endommagement pouvant provoquer une fuite importante, notamment en cas de sectionnement d'une canalisation, c'est à dire une perte rapide de fluide hydraulique en regard du temps nécessaire au dispositif 21 de détection d'éclatement moteur pour identifier l'éclatement.

L'endommagement peut également être plus limité, par exemple en perforant de manière limitée une canalisation, et provoquer une fuite par laquelle la perte de fluide hydraulique est lente en regard du temps nécessaire au dispositif 21 de détection d'éclatement moteur pour identifier l'éclatement. Si aucune canalisation n'est endommagée lors de l'éclatement moteur, aucune fuite ne se produit et dans ce cas il n'y aura a priori ni baisse de pression mesurée du fluide dans les canalisations ni baisse de niveau de fluide dans la bâche.

Cas d'une fuite importante :

Lorsque la canalisation de refoulement HP 33 subit une fuite importante, la pression dans ladite canalisation de refoulement HP chute et les valeurs PHPl

et PHP2 mesurées par les capteurs de pressions 332a et 332b de refoulement deviennent inférieures à la valeur seuil SHP ce qui a pour effet d'activer la fermeture de la vanne coupe-feu 311 puisque la logique de fermeture est active compte tenu des autres conditions d'activation. Les clapets anti-retour 321, 331 interdisent l'écoulement du fluide hydraulique vers la pompe 10 qui n'est plus alimentée en fluide.

De même lorsque la canalisation de drain 32 subit une fuite importante, la pression dans ladite canalisation de drain chute et les valeurs PDl et PD2 mesurées par les capteurs de pressions 322a et 322b de drain deviennent inférieures à la valeur seuil SD ce qui a pour effet d'activer la fermeture de la vanne coupe-feu 311.

De même lorsque la canalisation d'aspiration 31 subit une fuite importante, la pression, normalement maintenue par la bâche, dans ladite canalisation d'aspiration chute et les valeurs PLPl et PLP2 mesurées par les capteurs de pressions 312a et 312b d'aspiration deviennent inférieures à la valeur seuil SLP ce qui a pour effet d'activer la fermeture de la vanne coupe-feu 311.

Cependant, dans ce dernier cas, en raison des pressions relativement faibles dans la canalisation d'aspiration 31, en général quelques bars, souvent entre 2 et 5 bars, et des fortes variations relatives de la dite pression en fonctionnement normal, soit en raison du volume de fluide dans la bâche, soit en raison de la perte de charge dans le circuit lors d'une forte demande de débit par des consommateurs hydrauliques, il est avantageux de consolider la détection d'une baisse de pression dans la canalisation d'aspiration 31 par un signal 301, dit de bas niveau dans la bâche, qui est à l'état logique 1 lorsque le niveau de fluide hydraulique dans la bâche est inférieur à un seuil déterminé.

Dans un mode de réalisation préféré de la logique, le signal 301 de bas niveau dans l'accumulateur est lui-même consolidé par une combinaison d'une mesure du niveau QB de fluide hydraulique dans l'accumulateur comparée à un seuil SQB prédéfini et d'un signal QMIN de détection de niveau bas, lequel signal QMIN passe à l'état logique 1 lorsque le niveau de fluide dans l'accumulateur devient inférieur à un niveau donné, avantageusement le niveau correspondant

au seuil SQB ou un niveau voisin.

La consolidation de la mesure de baisse de pression dans la canalisation d'aspiration 31 par la détection du bas niveau dans la bâche permet d'éviter de déclencher un ordre FVCF de fermeture de la vanne coupe-feu 311 en raison de variations de pression normales dans le circuit hydraulique alors que dans le cas d'une fuite importante, la baisse de pression dans la canalisation d'aspiration et la détection de bas niveau surviennent rapidement après le début de la fuite.

Dans la logique proposée sur la figure 3, chacun des deux capteurs de pression 312a, 312b ou 322a, 322b ou 332a, 332b d'une même canalisation, respectivement 31 ou 32 ou 33, suffit à délivrer une information de baisse de pression sous réserve que le signal de validité qui lui est associé est à la valeur logique 1.

Lorsque les signaux de validité des deux capteurs d'une même canalisation sont à une valeur logique 0, c'est à dire que les valeurs de pression transmises par les dits capteurs ne sont pas fiables, il est supposé que les capteurs sont endommagés, par exemple en conséquence d'un éclatement moteur, et que la canalisation correspondante est également susceptible d'avoir été endommagée.

La logique utilisée considère donc que la non validité des deux capteurs d'une même canalisation est équivalente à une baisse de pression dans ladite canalisation.

De préférence la détection d'une baisse de pression est soumise à une temporisation pour chaque canalisation afin de ne pas entraîner de fermeture intempestive de la vanne coupe-feu 311 sur un signal transitoire qui pourrait résulter d'un fonctionnement normal du système hydraulique.

Cas d'une fuite lente :

Lorsque la fuite de fluide hydraulique est lente, ce qui résulte par exemple en cas d'éclatement moteur d'un endommagement limité d'une canalisation 31, 32, 33 par un débris ou du desserrage d'un raccord en raison de fortes vibrations engendrées par un balourd de parties tournantes du moteur 2, le système hydraulique reste opérationnel tant qu'il subsiste du fluide hydraulique

dans la bâche pour alimenter la pompe 10.

Dans ce cas, quelle que soit la canalisation défaillante, le niveau de fluide dans la bâche diminue suffisamment lentement pour que le dispositif 21 de détection d'éclatement moteur établisse, dans un délai connu, en général de l'ordre de 30 secondes, le diagnostic d'éclatement moteur.

Lorsque le signal DEFA émis par le dispositif 21 de détection d'éclatement, dans l'exemple donné le FADEC, passe à la valeur logique 1 et lorsque la surveillance du niveau de fluide dans la bâche conduit à un signal 301 de niveau bas consolidé, comme dans le cas analysé lors d'une fuite importante sur la canalisation d'aspiration 31, la fermeture de la vanne coupe-feu 311 est commandée.

Il convient de noter que dans ce cas la vanne coupe-feu 311 n'est pas fermée en absence de signal d'éclatement moteur, c'est à dire si DEFA est toujours à la valeur logique 0, même lorsque le bas niveau dans la bâche est détecté. En effet dans cette situation, rien ne permet de supposer que la fuite éventuelle est située entre la pompe 10 et la vanne coupe-feu 311 ou les clapets anti-retour 321, 331 et en conséquence la fermeture de ladite vanne coupe-feu serait sans effet sur la fuite et priverait le circuit de l'énergie fournie par la pompe 10. Pour être totalement opérationnel, la logique du système hydraulique qui isole la pompe 10 par la fermeture de la vanne coupe-feu doit prendre en compte des contraintes supplémentaires dont les principales sont explicitées ci-après.

Une première contrainte concerne la dépressurisation commandée de la pompe 10. La dépressurisation volontaire des pompes des circuits hydrauliques est possible par une action d'un pilote de l'aéronef dans le poste de pilotage qui a pour effet de faire passer la variable CDP à la valeur logique 0.

Dans ce cas la pression dans les canalisations de refoulement 33 et de drain 32 diminue normalement et la logique de fermeture de la vanne coupe-feu 311 en dehors des cas prévus de détection bas niveau dans la bâche est inhibée. A contrario, une fois que la logique a été activée et que la vanne coupe- feu 311 est fermée, le signal CDP n'est plus pris en compte quelle que soit

l'action du pilote agissant sur cette variable. Ce verrou logique 300 de la sortie 302 d'une bascule logique ne peut pas être ouvert en vol car il nécessite que la condition sol établie par la variable SOL soit à nouveau à la valeur logique 1, que les moteurs soit arrêtés, ce qui correspond à la variable ER à la valeur logique 0, et que la pression dans les canalisations soit rétablie pour qu'une fonction de déverrouillage par la sortie 303 de la bascule logique soit activée.

Lorsque la logique a été activée, la fermeture de la vanne coupe-feu 311 doit être maintenue, en particulier lorsqu'elle a été activée par le paramètre bas niveau, ce qui est le cas lors d'une fuite lente mais également en cas de rupture de la tuyauterie d'aspiration 31, car dans ces deux hypothèses le niveau de fluide dans le réservoir remonte du fait que la pompe 10 du moteur 2 éclaté reste entraînée et refoule en général du fluide hydraulique dans la bâche, en particulier le fluide contenu entre la pompe 10 et le clapet anti-retour 333 de la tuyauterie refoulement 33, mais également celui aspiré par la pompe 10 dans la tuyauterie d'aspiration 31.

Le verrouillage de la sortie 302 est réalisé lorsque les conditions d'activation de la fermeture de la vanne coupe-feu sont présentes et que le signal DEFA du dispositif 21 de détection d'éclatement moteur est également présent.

Lorsque la logique a été activée et verrouillée, elle ne peut plus être déverrouillée tant que les conditions de déverrouillage au sol ne sont pas réunies.

Lorsqu'une activation de la logique de fermeture de la vanne coupe-feu sur la base de la mesure de pertes de pressions dans une ou des canalisations n'est pas confirmée par le signal du dispositif 21 de détection d'éclatement moteur, les conditions d'activation restent présentes pour les cas déclenchés par des mesures de faibles pressions sur la canalisation de refoulement 33 ou sur la canalisation de drain 32, confortées par la fermeture de la vanne coupe-feu 311, et donc par un manque de fluide hydraulique dans les dites canalisations, et la logique reste activée, c'est à dire que la condition de fermeture de ladite vanne n'est pas verrouillée.

Lorsque la logique de fermeture de la vanne coupe-feu est déclenchée par la rupture de la canalisation d'aspiration 31 ou dans un scénario de fuite

lente, logique qui met en oeuvre la mesure du niveau de fluide hydraulique dans la bâche, et que le niveau de fluide dans la bâche repasse au-dessus du seuil bas niveau pour les raisons expliquées ci-dessus, la vanne coupe-feu 311 est à nouveau ouverte La fuite, toujours existante, provoque alors à nouveau la descente du niveau de fluide hydraulique dans la bâche et lorsque ledit niveau atteint à nouveau le niveau bas, la logique de fermeture de la vanne coupe-feu est à nouveau activée, définitivement cette fois car le niveau reste alors sous la valeur seuil SQB. En pratique le choix de ladite valeur seuil SQB ou QMIN est issue de ce scénario de défaillance, le volume de fluide hydraulique restant alors dans la bâche une fois ce niveau atteint devant permettre un fonctionnement satisfaisant du circuit hydraulique qui est alimenté en pression hydraulique par l'autre pompe dudit circuit entraînée par un autre moteur. Si la logique de fermeture de la vanne coupe-feu détecte une baisse de pression sur l'une ou plusieurs des trois canalisations 31, 32, 33 de la pompe 10 et si après une temporisation 304 les signaux d'entrée TVC, ER et DEFA indiquent que l'avion est en vol et que le moteur 2 est opérationnel alors le verrou logique 300 n'est pas enclenché et la commande FVCF de la fermeture de la vanne coupe-feu 31 est inhibée.

Cette logique traite un cas qui ne correspond pas un éclatement moteur car il n'y a ni fuite externe ni éclatement moteur détecté, mais qui correspond à une perte de pression pour une autre cause non identifiée, par exemple une cause liée à la pompe 10 elle-même.

Lorsque la logique de fermeture de la vanne coupe-feu 311 et la sortie 302 du verrou logique 300 ont été activées, le déverrouillage est nécessaire après réparation et remise en état du circuit, au sol évidemment.

Lorsque les signaux ER et SOL établissent que l'avion est effectivement au sol moteur à l'arrêt et lorsque la condition bas niveau du fluide hydraulique dans la bâche n'existe plus, suite à la remise en état du circuit, la sortie 303 du verrou logique 300 autorise la réouverture de la vanne coupe-feu 311

antérieurement fermée et verrouillée par le signal de verrouillage 302.

La logique ayant isolé une fuite consécutive à l'éclatement d'un moteur, le circuit hydraulique considéré, qui possède au moins une autre pompe entraînée par au moins un autre moteur, par exemple un moteur de propulsion de la voilure opposée, reste fonctionnel du fait du fonctionnement de ladite autre pompe. Le moteur ayant subit l'éclatement est identifié par les signaux de pression qui lui sont dédiés, et dans le cas de la fuite lente, même si la bâche est commune pour deux ou plusieurs pompes comportant des vannes coupe-feu pilotées par une logique équivalente à celle qui vient d'être décrite, le signal du dispositif 21 de détection d'éclatement moteur détermine sans ambiguïté le moteur défaillant sur lequel la vanne coupe-feu doit être fermée.

Les équipements hydrauliques alimentés par ledit circuit hydraulique sont de préférence positionnés en dehors des trajectoires probables des débris, ou dans le cas contraire pourvus de fusibles d'isolations.

Le dispositif décrit de manière détaillée pour un circuit hydraulique dans un mode particulier de réalisation permet de réaliser une architecture de système hydraulique pour aéronef redondante telle que présentée sur la figure 1 comportant deux circuits hydrauliques indépendants, le circuit vert la et le circuit jaune Ib, chaque circuit comportant deux pompes 10a, lia, respectivement 10b, 11b, entraînées par chacune par un moteur 2a, 2b différent d'un aéronef comportant au moins deux moteurs de propulsion.

Dans cette architecture, un éclatement d'un moteur 2a, 2b est susceptible de provoquer des fuites sur les deux circuits hydrauliques vert la et jaune Ib au niveau des deux pompes 10a, 10b ou lia, llb entraînées par le moteur respectivement 2a ou 2b considéré qui subit un éclatement.

Le système hydraulique mettant en oeuvre, de préférence sur les deux circuits hydrauliques la, Ib et sur les deux pompes 10a, 10b, respectivement lia, llb, de chaque circuit, la logique de fermeture de chaque vanne coupe-feu associée à chaque pompe conformément à l'invention réalisera l'isolation des canalisations endommagées et les deux circuits hydrauliques la, Ib resteront

opérationnels au moyen des pompes entraînées par l'autre moteur car disposant de la quantité nécessaire de fluide hydraulique pour assurer le fonctionnement correct des dits circuits hydrauliques.