Système ABB 800xA pour contrôler le terminal d’hydrogène liquide de Kawasaki

ABB a été sélectionnée par Kawasaki Heavy Industries pour fournir le système de contrôle et de sécurité du terminal LH2 de Kawasaki, en cours de développement à Ogishima, près de Tokyo. Le périmètre d’automatisation prévu s’articule autour d’ABB Ability System 800xA et intégrera le contrôle des procédés, la sécurité et les données opérationnelles pour les activités de liquéfaction, de stockage, de chargement et de déchargement maritimes, d’approvisionnement en gaz et de chargement des camions.

Le terminal est développé par Japan Suiso Energy dans le cadre d’un programme de commercialisation soutenu par la New Energy and Industrial Technology Development Organization du Japon. Les plans publiés comprennent un réservoir de stockage d’hydrogène liquide de 50 000 mètres cubes, des équipements de manutention de cargaisons maritimes, des installations de liquéfaction, des infrastructures d’approvisionnement en hydrogène gazeux et des installations de chargement de camions. La construction a commencé en 2025 et le programme de démonstration devrait se poursuivre jusqu’à l’exercice 2030.

Un environnement de contrôle commun est au cœur du projet

Le périmètre d’ABB comprend un système instrumenté de sécurité SIL 3, des contrôleurs redondants et une infrastructure de serveurs redondante. Un environnement de contrôle commun peut offrir aux opérateurs une vue cohérente de l’état des réservoirs, des séquences de transfert, des systèmes auxiliaires, des alarmes, des déclenchements et de la disponibilité des équipements. L’avantage ne réside pas uniquement dans l’uniformité visuelle. Des horodatages intégrés, une gestion coordonnée des alarmes et des dossiers d’ingénierie communs peuvent raccourcir le délai entre une indication anormale et une décision d’exploitation sûre.

L’hydrogène liquide impose des conditions de procédé exigeantes. Il est stocké à environ moins 253 degrés Celsius : l’instrumentation, les matériaux, l’isolation et les équipements de transfert doivent donc résister aux températures cryogéniques. De faibles apports de chaleur peuvent accroître l’évaporation. La large plage d’inflammabilité de l’hydrogène et sa faible énergie d’inflammation rendent indispensables la détection des fuites, la ventilation, la conception des zones dangereuses et la maîtrise des sources d’inflammation. L’automatisation doit accompagner ces mesures de protection conçues à cet effet sans devenir un point unique de défaillance.

Pour les lecteurs qui évaluent l’orientation plus large d’ABB en matière de contrôle, le rapport de PLC ProTech sur la modernisation des DCS et l’intégration numérique d’ABB fournit un contexte utile sur la séparation opérée par l’entreprise entre le contrôle déterministe et l’analytique de niveau supérieur.

Le contrôle du stockage commence par des mesures fiables

Un réservoir de 50 000 mètres cubes nécessite des mesures diversifiées et des couches de protection indépendantes. Le niveau, la pression, la répartition des températures, le débit de gaz d’évaporation, la position des vannes et la surveillance du confinement contribuent tous à la compréhension de l’exploitation. Le service cryogénique complique le choix des capteurs et la configuration des lignes d’impulsion, tandis que la densité et la stratification peuvent influer sur les calculs d’inventaire.

Les ingénieurs doivent distinguer les mesures de contrôle des mesures indépendantes de déclenchement lorsque l’analyse des dangers exige une séparation. Une logique de vote peut convenir à la protection critique contre la pression ou le niveau, mais elle n’est utile que si les capteurs présentent des modes de défaillance suffisamment indépendants. Des lignes d’impulsion communes, une alimentation partagée, une exposition environnementale identique ou une seule erreur d’étalonnage peuvent neutraliser une redondance apparente.

Gérer le gaz d’évaporation sans masquer l’instabilité

Les apports thermiques normaux produisent un gaz d’évaporation qui doit être récupéré, comprimé, reliquéfié ou acheminé en toute sécurité selon la conception du terminal. Les boucles de contrôle doivent disposer d’une plage suffisante pour gérer les variations courantes, tandis que les alarmes doivent révéler une fuite thermique anormale, une fuite de vanne ou une dégradation des équipements. Un réglage trop agressif peut masquer un problème émergent en sollicitant davantage un autre actionneur. Les opérateurs ont besoin de tendances et d’indicateurs de performance montrant à la fois la variable contrôlée et l’effort nécessaire pour la maintenir.

Le transfert maritime crée une frontière mobile

Le chargement et le déchargement relient le terminal fixe à un navire doté de ses propres systèmes de contrôle, d’arrêt d’urgence, de communication et procédures d’exploitation. Le transfert ne peut pas commencer simplement parce qu’une vanne est ouverte. Les permissifs peuvent inclure l’état du poste à quai, la confirmation de l’amarrage, le raccordement du bras de chargement, l’inertage des lignes, l’équilibrage des pressions, l’alignement des vannes, la détection de gaz et la vérification de la communication entre le navire et la terre.

La philosophie d’arrêt d’urgence doit définir quel côté déclenche l’arrêt, comment les signaux sont échangés, quelles vannes se ferment, comment les pompes s’arrêtent et comment le liquide piégé est géré. Une fermeture trop lente peut prolonger une fuite ; une fermeture trop rapide peut provoquer des transitoires hydrauliques ou de pression. Les essais de cause à effet doivent donc intégrer des scénarios dynamiques, et pas seulement des vérifications point à point.

Le chargement des camions ajoute une autre interface, avec l’identification du véhicule, la mise à la terre, la vérification des raccordements, le préréglage de la quantité, la protection contre le surremplissage et les interverrouillages de départ. Le fait de regrouper ces opérations dans un environnement 800xA partagé peut améliorer la corrélation des événements, mais chaque baie de chargement doit conserver une protection locale appropriée et un comportement à sécurité intégrée.

Le SIL 3 est un engagement sur tout le cycle de vie

Un système instrumenté de sécurité SIL 3 ne s’établit pas par le simple achat d’un automate de sécurité. Le niveau cible découle de l’analyse des dangers et de l’étude des couches de protection, puis dépend de la fiabilité des capteurs, du solveur logique et des éléments finaux, de la couverture des tests périodiques, des capacités de diagnostic, de l’architecture et des pratiques de gestion. Le contrôle des contournements, la durée des dérogations, les dossiers de maintenance et la qualité des tests périodiques sont aussi importants que la certification du contrôleur.

Le service hydrogène accorde une importance particulière aux éléments finaux. Les vannes d’isolement d’urgence doivent se déplacer dans les pires conditions crédibles de pression différentielle et d’environnement. Les essais de course partielle peuvent révéler certaines défaillances dangereuses sans arrêt complet, mais ils ne remplacent pas les essais complets périodiques. Les électrovannes, les actionneurs, le retour de position, l’air instrument et le câblage doivent tous être pris en compte dans le calcul de la fonction de sécurité.

L’analyse de PLC ProTech sur les raisons pour lesquelles les programmes de sécurité des procédés échouent malgré des listes de contrôle complétées est pertinente ici : la documentation n’a de valeur que si les pratiques sur le terrain, les compétences et la discipline d’exploitation maintiennent la protection prévue.

La redondance doit éliminer les faiblesses de cause commune

Des contrôleurs et des serveurs redondants n’améliorent la disponibilité que si la conception traite les dépendances partagées. Les alimentations, les commutateurs réseau, les sources horaires, le refroidissement, les services de cybersécurité et l’accès d’ingénierie peuvent devenir des points communs de défaillance. Les essais de réception en usine et sur site doivent inclure la commutation des contrôleurs, la perte d’un serveur, l’interruption d’un chemin réseau, le désaccord entre instruments et la récupération après une mise à jour défaillante.

Le système a également besoin d’une stratégie claire en mode dégradé. Les opérateurs doivent savoir quelles fonctions restent disponibles après la perte d’un serveur, d’un chemin de contrôleur, d’un segment d’E/S déportées ou d’un service de données externe. Une avalanche d’alarmes lors d’une commutation peut être aussi dommageable qu’une perte de contrôle si elle masque l’événement initiateur. La rationalisation des alarmes, la gouvernance de leur mise en attente et l’exactitude de la chronologie des événements doivent être vérifiées avant le début du transfert d’hydrogène.

La cybersécurité fait partie intégrante de la sécurité

Un terminal intégré échange des données avec des stations d’ingénierie, des systèmes de maintenance, des historiens, des applications métier et potentiellement des services d’assistance à distance. Les zones réseau doivent séparer le contrôle de base, la sécurité, les équipements en package, les services de supervision et les interfaces d’entreprise. L’accès à distance nécessite des identités nominatives, une authentification multifacteur, une durée limitée, une approbation et une journalisation. L’accès au système de sécurité doit être plus restrictif que l’accès ordinaire à la supervision.

Les correctifs doivent suivre un cycle de vie testé. Un terminal ne peut pas accepter des mises à jour automatiques de type informatique d’entreprise sur des contrôleurs critiques, mais un report indéfini crée une exposition cumulative. L’inventaire des actifs, les avis des fournisseurs, les mesures compensatoires, les sauvegardes hors ligne et les tests sur une configuration représentative offrent une voie médiane pratique. La configuration de System 800xA, les applications des contrôleurs, la logique de sécurité, les écrans, les bases de données d’alarmes et les paramètres des systèmes en package doivent tous disposer de versions maîtrisées et de copies récupérables.

L’expérience de Kobe réduit le risque de montée en échelle, sans l’éliminer

ABB a précédemment fourni des systèmes de contrôle et de sécurité pour le terminal de réception plus petit Hy touch Kobe, utilisé lors d’essais de transport d’hydrogène liquide dirigés par Kawasaki. Cette expérience d’exploitation est précieuse, car elle fournit des données issues d’événements réels, des retours d’opérateurs et des enseignements de maintenance. L’installation d’Ogishima constitue néanmoins une montée en échelle, avec davantage d’inventaire, d’interfaces et d’exigences de commercialisation. Les modules éprouvés doivent être réutilisés lorsque cela est justifié, tandis que les nouveaux dangers liés à l’échelle et au débit doivent faire l’objet d’une nouvelle analyse.

Le résultat le plus significatif de ce projet sera un modèle d’exploitation reproductible pour l’hydrogène liquide importé. Une automatisation fiable doit coordonner le stockage cryogénique, le transfert maritime, la distribution, la sécurité, la maintenance et les données commerciales sans brouiller les responsabilités entre ces domaines. Le périmètre intégré de contrôle et de sécurité d’ABB offre à Kawasaki une plateforme cohérente ; l’ingénierie rigoureuse du cycle de vie déterminera dans quelle mesure cette plateforme soutiendra une exploitation sûre et disponible jusqu’à la fin de la période de démonstration en 2030.