ABB System 800xA zur Steuerung des Kawasaki-Flüssigwasserstoffterminals

ABB wurde von Kawasaki Heavy Industries ausgewählt, das Steuerungs- und Sicherheitssystem für das Kawasaki-LH2-Terminal zu liefern, das derzeit in Ogishima bei Tokio entwickelt wird. Der geplante Automatisierungsumfang basiert auf ABB Ability System 800xA und integriert Prozesssteuerung, Sicherheit und Betriebsdaten für Verflüssigung, Speicherung, das Be- und Entladen von Schiffen, die Gasversorgung und die Verladung auf Lastkraftwagen.

Das Terminal wird von Japan Suiso Energy im Rahmen eines Kommerzialisierungsprogramms entwickelt, das von der New Energy and Industrial Technology Development Organization Japans unterstützt wird. Zu den veröffentlichten Plänen gehören ein Flüssigwasserstofftank mit 50.000 Kubikmetern Fassungsvermögen, Ausrüstung für den Umschlag von Schiffsladungen, Verflüssigungsanlagen, Infrastruktur für die Versorgung mit Wasserstoffgas und Einrichtungen zur Lkw-Verladung. Die Bauarbeiten begannen 2025, und das Demonstrationsprogramm soll bis zum Haushaltsjahr 2030 fortgeführt werden.

Eine gemeinsame Steuerungsumgebung steht im Mittelpunkt des Projekts

Der Lieferumfang von ABB umfasst ein sicherheitsgerichtetes System mit SIL 3, redundante Steuerungen und eine redundante Serverinfrastruktur. Eine gemeinsame Steuerungsumgebung kann den Bedienern eine einheitliche Sicht auf Tankstatus, Transfersequenzen, Versorgungssysteme, Alarme, Abschaltungen und die Anlagenverfügbarkeit bieten. Der Vorteil besteht nicht nur in der visuellen Einheitlichkeit. Integrierte Zeitstempel, eine koordinierte Alarmbehandlung und gemeinsame Engineering-Dokumentation können den Weg von einer abweichenden Anzeige zu einer sicheren Betriebsentscheidung verkürzen.

Flüssigwasserstoff bringt anspruchsvolle Prozessbedingungen mit sich. Er wird bei etwa minus 253 Grad Celsius gespeichert, weshalb Messgeräte, Werkstoffe, Isolierung und Transferausrüstung mit kryogenen Temperaturen zurechtkommen müssen. Bereits geringe Wärmeeinträge können die Verdampfungsverluste erhöhen. Der große Entzündbarkeitsbereich und die geringe Zündenergie von Wasserstoff machen Leckageerkennung, Belüftung, die Auslegung explosionsgefährdeter Bereiche und die Kontrolle von Zündquellen unerlässlich. Die Automatisierung muss diese technischen Schutzmaßnahmen unterstützen, ohne selbst zu einem Single Point of Failure zu werden.

Lesern, die ABBs übergreifende Steuerungsstrategie bewerten, bietet der Bericht von PLC ProTech zu ABBs Modernisierung von DCS-Systemen und digitaler Integration nützlichen Kontext zur Trennung deterministischer Steuerung von Analysen auf höherer Ebene.

Die Speichersteuerung beginnt mit zuverlässiger Messung

Ein Tank mit 50.000 Kubikmetern Fassungsvermögen erfordert vielfältige Messungen und unabhängige Schutzebenen. Füllstand, Druck, Temperaturverteilung, Verdampfungsstrom, Ventilstellung und die Überwachung der Rückhaltung tragen gemeinsam zum Betriebsbild bei. Der kryogene Betrieb erschwert die Auswahl der Sensoren und die Auslegung von Impulsleitungen, während Dichte und Schichtung die Bestandsberechnungen beeinflussen können.

Ingenieure sollten Steuerungsmessungen von unabhängigen Abschaltmessungen unterscheiden, wenn die Gefährdungsanalyse eine Trennung erfordert. Für den kritischen Druck- oder Füllstandsschutz kann eine Abstimmungslogik angemessen sein, doch sie hilft nur, wenn die Sensoren hinreichend unabhängige Ausfallarten aufweisen. Gemeinsame Impulsleitungen, gemeinsam genutzte Stromversorgungen, identische Umgebungsbedingungen oder ein einzelner Kalibrierfehler können eine scheinbare Redundanz zunichtemachen.

Verdampfungsverluste beherrschen, ohne Instabilität zu verbergen

Der normale Wärmeeintrag erzeugt Verdampfungsgas, das je nach Auslegung des Terminals zurückgewonnen, komprimiert, erneut verflüssigt oder sicher abgeleitet werden muss. Regelkreise benötigen einen ausreichenden Bereich, um routinemäßige Schwankungen zu bewältigen, während Alarme auf ungewöhnliche Wärmeeinträge, Ventilleckagen oder eine Verschlechterung der Ausrüstung hinweisen. Eine aggressive Reglereinstellung kann ein sich entwickelndes Problem verdecken, indem sie einen anderen Stellaktor stärker bewegt. Bediener benötigen Trends und Leistungskennzahlen, die sowohl die Regelgröße als auch den dafür erforderlichen Stellaufwand zeigen.

Der Schiffstransfer schafft eine bewegliche Grenze

Beim Be- und Entladen wird das feste Terminal mit einem Schiff verbunden, das über eigene Steuerungs-, Notabschaltungs-, Kommunikations- und Betriebsverfahren verfügt. Der Transfer kann nicht einfach beginnen, nur weil ein Ventil geöffnet ist. Freigabebedingungen können den Liegeplatzstatus, die Bestätigung der Vertäuung, die Verbindung des Ladearms, die Inertisierung der Leitung, den Druckausgleich, die Ventilstellung, die Gasdetektion und eine bestätigte Kommunikation zwischen Schiff und Land umfassen.

Das Konzept für die Notabschaltung muss festlegen, welche Seite die Abschaltung einleitet, wie Signale ausgetauscht werden, welche Ventile schließen, wie Pumpen stoppen und wie eingeschlossene Flüssigkeit behandelt wird. Ein zu langsames Schließen kann die Dauer einer Freisetzung verlängern; ein zu schnelles Schließen kann hydraulische Druckstöße oder Drucktransienten verursachen. Die Prüfung der Ursache-Wirkungs-Matrix muss daher dynamische Szenarien und nicht nur Punkt-zu-Punkt-Prüfungen umfassen.

Die Lkw-Verladung bringt eine weitere Schnittstelle mit sich, einschließlich Fahrzeugidentifikation, Erdung, Verbindungsprüfung, voreingestellter Menge, Überfüllschutz und Abfahrtsverriegelungen. Wenn diese Abläufe in einer gemeinsamen 800xA-Umgebung geführt werden, kann dies die Ereigniskorrelation verbessern. Jede Verladebucht sollte jedoch weiterhin über einen geeigneten lokalen Schutz und ein ausfallsicheres Verhalten verfügen.

SIL 3 ist eine Verpflichtung über den gesamten Lebenszyklus

Ein sicherheitsgerichtetes System mit SIL 3 entsteht nicht allein durch den Kauf einer Sicherheits-SPS. Das Ziel ergibt sich aus der Gefährdungsanalyse und der Untersuchung der Schutzebenen und hängt anschließend von der Zuverlässigkeit von Sensoren, Logiksolver und Endelementen, der Prüfabdeckung, den Diagnosemöglichkeiten, der Architektur und den Managementpraktiken ab. Die Kontrolle von Überbrückungen, deren Dauer, Wartungsaufzeichnungen und die Qualität der Wiederholungsprüfungen sind ebenso wichtig wie die Zertifizierung der Steuerung.

Der Wasserstoffbetrieb legt besonderen Wert auf die Endelemente. Notabsperrventile müssen sich unter dem ungünstigsten glaubwürdigen Differenzdruck und den widrigsten Umgebungsbedingungen bewegen können. Teilhubprüfungen können einige gefährliche Ausfälle ohne vollständige Abschaltung erkennen, ersetzen jedoch keine regelmäßigen Vollprüfungen. Magnetventile, Antriebe, Stellungsrückmeldungen, Instrumentenluft und Verkabelung müssen sämtlich in die Berechnung der Sicherheitsfunktion einbezogen werden.

Die Analyse von PLC ProTech zu den Gründen, warum Prozesssicherheitsprogramme trotz ausgefüllter Checklisten scheitern, ist hier relevant: Dokumentation ist nur dann wertvoll, wenn die vorgesehenen Schutzmaßnahmen durch Praxis im Feld, Kompetenz und Betriebsdisziplin aufrechterhalten werden.

Redundanz muss Schwachstellen durch gemeinsame Ursachen beseitigen

Redundante Steuerungen und Server erhöhen die Verfügbarkeit nur, wenn das Design gemeinsam genutzte Abhängigkeiten berücksichtigt. Stromzuführungen, Netzwerk-Switches, Zeitquellen, Kühlung, Cybersicherheitsdienste und der Engineering-Zugriff können zu gemeinsamen Ausfallpunkten werden. Werks- und Standortabnahmetests sollten den Umschaltvorgang der Steuerungen, den Ausfall eines Servers, die Unterbrechung eines Netzwerkpfads, widersprüchliche Messgeräte und die Wiederherstellung nach einem fehlgeschlagenen Update umfassen.

Das System benötigt außerdem eine klare Strategie für den eingeschränkten Betrieb. Bediener sollten wissen, welche Funktionen nach dem Verlust eines Servers, eines Steuerungspfads, eines Remote-I/O-Segments oder eines externen Datendienstes verfügbar bleiben. Alarmfluten während einer Umschaltung können ebenso schädlich sein wie der Verlust der Steuerung, wenn sie das auslösende Ereignis verdecken. Alarmrationalisierung, die Verwaltung zurückgestellter Alarme und die Genauigkeit der Ereignisfolge sollten vor Beginn des Wasserstofftransfers überprüft werden.

Cybersicherheit gehört zur Sicherheitsbetrachtung

Ein integriertes Terminal tauscht Daten mit Engineering-Stationen, Wartungssystemen, Historian-Systemen, Geschäftsanwendungen und möglicherweise mit Fernsupport aus. Netzwerkzonen sollten Basissteuerung, Sicherheit, Paketaggregate, übergeordnete Dienste und Unternehmensschnittstellen voneinander trennen. Der Fernzugriff erfordert namentlich zugeordnete Identitäten, Mehrfaktor-Authentifizierung, eine begrenzte Dauer, Genehmigung und Protokollierung. Der Zugriff auf das Sicherheitssystem sollte restriktiver sein als der gewöhnliche Überwachungszugriff.

Das Einspielen von Patches muss einem getesteten Lebenszyklus folgen. Ein Terminal kann automatische Updates nach Art eines Unternehmens nicht auf kritischen Steuerungen akzeptieren, doch ein unbegrenztes Aufschieben führt zu einer wachsenden Gefährdung. Anlageninventar, Herstellerhinweise, kompensierende Maßnahmen, Offline-Sicherungen und repräsentative Tests bieten einen praktikablen Mittelweg. Die Konfiguration von System 800xA, Steuerungsanwendungen, Sicherheitslogik, Grafiken, Alarmdatenbanken und Parametern der Paketsysteme benötigen allesamt kontrollierte Versionen und wiederherstellbare Kopien.

Erfahrungen aus Kobe verringern das Risiko der Hochskalierung, beseitigen es jedoch nicht

ABB lieferte zuvor Steuerungs- und Sicherheitssysteme für das kleinere Empfangsterminal Hy touch Kobe, das bei von Kawasaki geleiteten Transportversuchen mit Flüssigwasserstoff eingesetzt wurde. Diese Betriebserfahrung ist wertvoll, da sie reale Ereignisdaten, Rückmeldungen der Bediener und Erkenntnisse aus der Wartung liefert. Die Anlage in Ogishima ist dennoch eine Hochskalierung mit größeren Beständen, mehr Schnittstellen und Anforderungen an die Kommerzialisierung. Bewährte Module sollten dort wiederverwendet werden, wo dies gerechtfertigt ist, während neue Gefährdungen durch Größe und Durchsatz einer erneuten Analyse unterzogen werden.

Das aussagekräftigste Ergebnis dieses Projekts wird ein wiederholbares Betriebsmodell für importierten Flüssigwasserstoff sein. Zuverlässige Automatisierung muss kryogene Speicherung, Schiffstransfer, Verteilung, Sicherheit, Wartung und kommerzielle Daten koordinieren, ohne die Verantwortlichkeiten zwischen diesen Bereichen zu verwischen. ABBs integrierter Steuerungs- und Sicherheitsumfang bietet Kawasaki eine einheitliche Plattform; konsequentes Engineering über den gesamten Lebenszyklus wird bestimmen, wie erfolgreich diese Plattform einen sicheren und verfügbaren Betrieb bis zum Ende des Demonstrationszeitraums 2030 unterstützt.