ABB System 800xA per il controllo del terminale di idrogeno liquido Kawasaki

ABB è stata selezionata da Kawasaki Heavy Industries per fornire il sistema di controllo e sicurezza per il Kawasaki LH2 Terminal, in fase di sviluppo a Ogishima, vicino a Tokyo. L’ambito di automazione previsto si basa su ABB Ability System 800xA e integrerà il controllo di processo, la sicurezza e i dati operativi nelle attività di liquefazione, stoccaggio, carico e scarico marittimo, fornitura di gas e carico su camion.

Il terminal è sviluppato da Japan Suiso Energy nell’ambito di un programma di commercializzazione sostenuto dalla New Energy and Industrial Technology Development Organization giapponese. I piani pubblicati prevedono un serbatoio di stoccaggio di idrogeno liquido da 50.000 metri cubi, apparecchiature per la movimentazione del carico marittimo, impianti di liquefazione, infrastrutture per la fornitura di idrogeno gassoso e il carico su camion. La costruzione è iniziata nel 2025 e il programma dimostrativo dovrebbe proseguire fino all’anno fiscale 2030.

Un ambiente di controllo comune è fondamentale per il progetto

L’ambito ABB comprende un sistema strumentato di sicurezza SIL 3, controller ridondanti e un’infrastruttura server ridondante. Un ambiente di controllo comune può offrire agli operatori una visione coerente dello stato dei serbatoi, delle sequenze di trasferimento, dei sistemi ausiliari, degli allarmi, degli arresti e della disponibilità delle apparecchiature. Il vantaggio non consiste soltanto nell’uniformità visiva. Marcature temporali integrate, gestione coordinata degli allarmi e registrazioni ingegneristiche comuni possono abbreviare il percorso tra un’indicazione anomala e una decisione operativa sicura.

L’idrogeno liquido introduce condizioni di processo impegnative. Viene stoccato a circa meno 253 gradi Celsius, quindi strumentazione, materiali, isolamento e apparecchiature di trasferimento devono resistere alle temperature criogeniche. Piccoli apporti di calore possono aumentare il boil-off. L’ampio intervallo di infiammabilità dell’idrogeno e la bassa energia di accensione rendono essenziali il rilevamento delle perdite, la ventilazione, la progettazione delle aree pericolose e il controllo delle fonti di innesco. L’automazione deve supportare queste protezioni ingegneristiche senza diventare un singolo punto di guasto.

Per chi valuta la più ampia direzione di ABB nel controllo, il rapporto di PLC ProTech su modernizzazione dei DCS e integrazione digitale di ABB fornisce un utile contesto sulla separazione operata dall’azienda tra controllo deterministico e analisi di livello superiore.

Il controllo dello stoccaggio inizia da misurazioni affidabili

Un serbatoio da 50.000 metri cubi richiede misurazioni diversificate e livelli di protezione indipendenti. Livello, pressione, distribuzione della temperatura, portata del boil-off, posizione delle valvole e monitoraggio del contenimento contribuiscono tutti al quadro operativo. Il servizio criogenico complica la scelta dei sensori e la configurazione delle linee di impulso, mentre densità e stratificazione possono influenzare i calcoli dell’inventario.

Gli ingegneri dovrebbero distinguere le misurazioni di controllo da quelle indipendenti destinate all’arresto, quando l’analisi dei pericoli richiede tale separazione. La logica a votazione può essere appropriata per la protezione critica da sovrapressione o alto livello, ma è efficace solo quando i sensori presentano modalità di guasto sufficientemente indipendenti. Linee di impulso comuni, alimentazioni condivise, identica esposizione ambientale o un singolo errore di calibrazione possono vanificare la ridondanza apparente.

Gestire il boil-off senza nascondere l’instabilità

Il normale ingresso di calore genera gas di boil-off, che deve essere recuperato, compresso, reliquefatto o instradato in sicurezza secondo la progettazione del terminal. I circuiti di controllo devono avere un intervallo sufficiente per gestire le variazioni di routine, mentre gli allarmi devono evidenziare perdite di calore anomale, perdite dalle valvole o degrado delle apparecchiature. Una taratura aggressiva del controllo può mascherare un problema emergente facendo lavorare maggiormente un altro attuatore. Gli operatori hanno bisogno di trend e indicatori delle prestazioni che mostrino sia la variabile controllata sia lo sforzo necessario per mantenerla.

Il trasferimento marittimo crea un confine dinamico

Le operazioni di carico e scarico collegano il terminale fisso a una nave dotata di propri sistemi di controllo, arresto di emergenza, comunicazione e procedure operative. Il trasferimento non può iniziare semplicemente perché una valvola è aperta. Le condizioni permissive possono includere lo stato dell’ormeggio, la conferma dell’ormeggio, il collegamento del braccio di carico, l’inertizzazione delle linee, l’equilibrio delle pressioni, l’allineamento delle valvole, il rilevamento dei gas e la comunicazione verificata tra nave e terra.

La filosofia di arresto di emergenza deve definire quale lato lo avvia, come vengono scambiati i segnali, quali valvole si chiudono, come si arrestano le pompe e come viene gestito il liquido intrappolato. Una chiusura troppo lenta può prolungare una fuoriuscita; una chiusura troppo rapida può creare transitori idraulici o di pressione. I test causa-effetto devono quindi includere scenari dinamici, non soltanto verifiche punto-punto.

Il carico su camion aggiunge un’ulteriore interfaccia, con identificazione del veicolo, messa a terra, verifica dei collegamenti, quantità preimpostata, protezione dal sovrariempimento e interblocchi di partenza. Mantenere queste operazioni in un ambiente 800xA condiviso può migliorare la correlazione degli eventi, ma ogni baia di carico dovrebbe conservare adeguate protezioni locali e un comportamento fail-safe.

SIL 3 è un impegno per l’intero ciclo di vita

Un sistema strumentato di sicurezza SIL 3 non si realizza acquistando semplicemente un PLC di sicurezza. L’obiettivo deriva dall’analisi dei pericoli e dallo studio dei livelli di protezione, quindi dipende dall’affidabilità di sensori, risolutore logico ed elementi finali; dalla copertura dei test di prova; dalle capacità diagnostiche; dall’architettura e dalle pratiche gestionali. Il controllo dei bypass, la durata delle esclusioni, i registri di manutenzione e la qualità dei test di prova sono importanti quanto la certificazione del controller.

Il servizio con idrogeno pone particolare attenzione agli elementi finali. Le valvole di isolamento di emergenza devono muoversi alla peggiore pressione differenziale credibile e nelle peggiori condizioni ambientali. Il test a corsa parziale può rilevare alcuni guasti pericolosi senza un arresto completo, ma non sostituisce i test completi periodici. Elettrovalvole, attuatori, feedback di posizione, aria strumenti e cablaggi rientrano tutti nel calcolo della funzione di sicurezza.

L’analisi di PLC ProTech su perché i programmi di sicurezza di processo falliscono nonostante checklist completate è pertinente: la documentazione ha valore solo quando pratiche sul campo, competenze e disciplina operativa mantengono attiva la protezione prevista.

La ridondanza deve eliminare le vulnerabilità da causa comune

Controller e server ridondanti aumentano la disponibilità solo se la progettazione affronta le dipendenze condivise. Alimentazioni, switch di rete, sorgenti temporali, raffreddamento, servizi di cybersecurity e accesso ingegneristico possono diventare punti comuni di guasto. I test di accettazione in fabbrica e in sito dovrebbero includere il passaggio da un controller all’altro, la perdita di un server, l’interruzione di un percorso di rete, il disaccordo tra strumenti e il ripristino dopo un aggiornamento non riuscito.

Il sistema necessita inoltre di una strategia chiara per le modalità degradate. Gli operatori devono sapere quali funzioni restano disponibili dopo la perdita di un server, di un percorso del controller, di un segmento di I/O remoto o di un servizio dati esterno. Un’inondazione di allarmi durante un passaggio può essere dannosa quanto la perdita del controllo, se nasconde l’evento iniziale. La razionalizzazione degli allarmi, la gestione dell’accantonamento e l’accuratezza della sequenza degli eventi dovrebbero essere verificate prima dell’inizio del trasferimento dell’idrogeno.

La cybersecurity rientra nel discorso sulla sicurezza

Un terminal integrato scambia dati con stazioni ingegneristiche, sistemi di manutenzione, storici, applicazioni aziendali e potenzialmente servizi di assistenza remota. Le zone di rete dovrebbero separare il controllo di base, la sicurezza, le apparecchiature di pacchetto, i servizi di supervisione e le interfacce aziendali. L’accesso remoto richiede identità nominali, autenticazione a più fattori, durata limitata, approvazione e registrazione. L’accesso al sistema di sicurezza dovrebbe essere più restrittivo rispetto al normale accesso di monitoraggio.

Le applicazioni delle patch devono seguire un ciclo di vita verificato. Un terminal non può accettare aggiornamenti automatici in stile aziendale sui controller critici, ma un rinvio indefinito crea un’esposizione cumulativa. Inventario degli asset, avvisi dei fornitori, controlli compensativi, backup offline e test rappresentativi offrono una via intermedia pratica. Configurazione di System 800xA, applicazioni dei controller, logica di sicurezza, grafiche, database degli allarmi e parametri dei sistemi di pacchetto richiedono tutti versioni controllate e copie recuperabili.

L’esperienza di Kobe riduce, ma non elimina, il rischio di ampliamento

In precedenza ABB aveva fornito sistemi di controllo e sicurezza per il più piccolo terminal di ricezione Hy touch Kobe, utilizzato nelle prove di trasporto di idrogeno liquido guidate da Kawasaki. Questa esperienza operativa è preziosa perché fornisce dati reali sugli eventi, feedback degli operatori e insegnamenti sulla manutenzione. L’impianto di Ogishima è comunque un ampliamento, con maggiori quantità stoccate, più interfacce e requisiti di commercializzazione. I moduli già collaudati dovrebbero essere riutilizzati quando giustificato, mentre i nuovi pericoli creati da dimensioni e portata devono essere sottoposti a una nuova analisi.

Il risultato più significativo di questo progetto sarà un modello operativo ripetibile per l’idrogeno liquido importato. Un’automazione affidabile deve coordinare stoccaggio criogenico, trasferimento marittimo, distribuzione, sicurezza, manutenzione e dati commerciali senza confondere le responsabilità tra questi ambiti. L’ambito integrato di controllo e sicurezza di ABB offre a Kawasaki una piattaforma coerente; sarà l’ingegneria disciplinata dell’intero ciclo di vita a determinare quanto efficacemente tale piattaforma sosterrà un funzionamento sicuro e disponibile per tutta la durata del programma dimostrativo fino al 2030.