Guia de preço · Rede industrial
Quanto custa segregação entre rede de TI e rede de automação: guia
Quanto custa segregação entre rede de TI e rede de automação depende de quantas máquinas mudam de rede, de quão misturada a rede está hoje e de quantas paradas a produção oferece para a mudança. Firewall e switches são comprados à parte, e o serviço de inventário, desenho e mudança é a outra metade da conta.
Resumo
- O serviço tem quatro partes, e o inventário da planta é a que mais reduz surpresas na mudança.
- CLPs com endereço repetido, switches simples dentro dos painéis e acessos remotos antigos são o que mais encarece.
- Planta com paradas raras espalha a mudança por mais visitas, e isso pesa tanto quanto o número de máquinas.
- Assinatura do firewall, horas do integrador e revisão das regras costumam ficar fora da primeira proposta.
Quanto custa segregação entre rede de TI e rede de automação: onde vai o dinheiro
O dinheiro se divide entre o serviço, feito em quatro etapas, e os equipamentos que a fábrica compra. Saber o peso de cada parte ajuda o gestor a ler a proposta sem comparar coisas diferentes.
Rede de TI é a do escritório, com computadores, e-mail e sistema de gestão. Rede de automação é a das máquinas: CLPs, os controladores que comandam a linha, IHMs, as telas de operação, e o supervisório, o programa que mostra a fábrica inteira para os operadores.
Segregar é colocar essas duas redes atrás de uma barreira com regras escritas, para que um vírus ou um cabo ligado errado no escritório não pare a produção. A segregação entre TI e automação faz isso sem tocar na programação das máquinas.
A Táquion Tech não vende firewall nem switch, e a proposta sai por escrito depois do inventário. Faixa de preço do serviço para uma planta de porte médio: [PREENCHER faixa de preço da Táquion Tech].
| Parte | O que acontece | O que mais pesa |
|---|---|---|
| Inventário | Visita para listar máquinas, endereços e quem conversa com quem | Painéis sem identificação e máquinas sem documentação |
| Desenho das zonas | Zonas, regras do firewall e ordem de mudança máquina a máquina | Quantidade de conversas entre escritório e linha |
| Mudança nas paradas | Grupos de máquinas passando para a rede nova, com teste e plano de volta | Número de janelas de parada disponíveis |
| Entrega | Diagrama, tabela de regras e inventário atualizado | Quantos fabricantes ganharam acesso remoto novo |
| Equipamentos (compra da fábrica) | Firewall, switches gerenciáveis e, às vezes, fibra entre prédios | Proteção desejada e número de prédios |
Três termos que aparecem em toda proposta
As propostas de segregação usam três palavras que o gestor precisa entender para comparar preços.
- VLAN: rede virtual criada dentro do switch, que separa o tráfego sem trocar cabo; só funciona em switch gerenciável.
- Firewall: equipamento que fica entre as redes e só deixa passar as conversas que estão numa lista de regras.
- Zona intermediária: pedaço da rede onde ficam relatórios e acessos de fornecedores, visível pelos dois lados sem ligar um ao outro.
O que encarece a segregação na sua planta?
Encarece tudo o que obriga a mexer em mais equipamentos ou em mais visitas. A tabela traz sinais que o próprio gestor confere antes de pedir proposta.
| Sinal na planta | Por que dá mais trabalho | Efeito no orçamento |
|---|---|---|
| CLPs na mesma faixa de endereços dos notebooks | Cada CLP pode precisar de endereço novo, combinado com o integrador | Mais horas de mudança e de integrador |
| Switch de escritório dentro do painel | Switch simples não faz VLAN e precisa ser trocado | Compra de switches gerenciáveis |
| Vários fabricantes com acesso remoto | Cada um ganha usuário, regra e registro próprios | Mais horas no desenho e na entrega |
| Uma parada por mês, ou menos | A mudança é dividida em muitas janelas | Mais visitas e prazo mais longo |
| Galpões e utilidades em prédios separados | Cada prédio pede passagem de fibra ou firewall próprio | Mais equipamento e obra |
| Processo que não pode parar | Firewall duplicado ou com fonte dupla para não virar ponto único de falha | Segundo equipamento na compra |
A quarta linha costuma pesar mais que o número de máquinas. Uma fábrica com quarenta máquinas e paradas toda semana pode sair mais em conta que outra com quinze máquinas e uma única parada por trimestre.
Acesso remoto de fornecedores: o item que mais cresce
Cada fabricante de máquina que dá suporte à distância costuma ter instalado um programa próprio de acesso, direto na IHM ou num computador da linha.
Na segregação, esses programas são trocados por uma entrada única, com usuário para cada fornecedor e registro de quem entrou. O guia de implantação de TACACS mostra a lógica de dar a cada pessoa um acesso próprio e rastreável aos equipamentos de rede.
Exemplo: frigorífico de processo contínuo e fábrica de móveis em um turno
Os dois casos têm número parecido de máquinas e chegam a orçamentos de forma diferente. No frigorífico pesaram as paradas raras e a redundância; na fábrica de móveis, o grau de mistura da rede.
- Frigorífico com refrigeração por amônia: a câmara fria e a sala de máquinas do frio não podem parar, e a linha de abate só para em datas fixas. A zona de controle do frio ganhou rede física própria, o firewall entrou em par e a mudança foi dividida em várias janelas curtas. Pesaram as paradas raras e o segundo firewall.
- Fábrica de móveis com um turno: a produção para todo fim de semana, então as janelas não eram problema. Em compensação, os CLPs das seccionadoras estavam na mesma faixa dos notebooks, os switches dos painéis eram de escritório e seis fabricantes entravam por programas diferentes. Pesaram os endereços refeitos, a troca dos switches e o acesso remoto.
As duas propostas tinham totais próximos, mas por motivos opostos. Comparar as duas pela quantidade de máquinas esconderia que no frigorífico o custo está no tempo e no equipamento, e na fábrica de móveis está no trabalho de desfazer a mistura.
Quer saber o que pesa na rede da sua planta?
Na segregação entre TI e automação, um Especialista faz o inventário, desenha as zonas com a manutenção e muda as máquinas nas paradas combinadas.
Na prática: o que acontece numa janela de parada
Cada janela segue o mesmo roteiro, e isso explica por que o número de janelas aparece na proposta.
- Antes da parada: switches e firewall já estão configurados, e o grupo de máquinas da vez está escolhido.
- Durante: as máquinas do grupo passam para a rede nova, uma a uma, com o integrador presente.
- Teste: produção, supervisório e relatórios são conferidos com os operadores antes de liberar a linha.
- Volta, se preciso: o plano de retorno escrito devolve o grupo à rede antiga sem improviso.
Quanto custa uma linha parada por um problema do escritório?
Custa a produção perdida, a matéria-prima estragada e o atraso de entrega, e cada fábrica tem esses números no próprio controle. A tabela mostra como fazer a conta sem depender de referência externa.
| Perda | Como calcular com os seus números |
|---|---|
| Linha parada por laço de cabo no escritório | Horas paradas x peças por hora x margem por peça |
| Vírus que chegou ao supervisório | Dias até a produção voltar ao normal x faturamento por dia, mais a recuperação dos computadores |
| Produto perdido por falha no controle | Lotes no processo durante a falha x valor de cada lote |
| Entrega atrasada | Multa ou desconto previsto no contrato do cliente x pedidos afetados |
| Hora extra para recuperar a produção | Horas extras x pessoas x custo da hora |
Basta um evento por ano na primeira ou na segunda linha para a conta passar o valor de muitas segregações. Uma tempestade de broadcast, o excesso de mensagens que um laço de cabo gera, é o caso mais comum, e o guia de configuração de storm control explica como os switches a contêm.
Quando o menor preço sai caro na segregação
A proposta com valor mais baixo costuma economizar justamente nas etapas que impedem a linha de parar.
Desconfie da proposta que
- Pula o inventário e promete desenhar as zonas só com a planta do prédio.
- Entrega o firewall com uma regra que libera tudo, para resolver depois.
- Quer mudar todas as máquinas numa parada só.
- Não menciona os acessos remotos já instalados nas IHMs.
- Deixa o integrador de automação fora das reuniões.
Cada marca é uma etapa cortada que volta como linha parada, e a economia da proposta some no primeiro evento.
Segregar a rede por etapas ou tudo de uma vez?
Fazer por etapas distribui o investimento e encaixa melhor nas paradas; fazer tudo de uma vez encurta o período de risco. A escolha depende do caixa e de quanto a planta aguenta esperar.
| Etapa | O que entra | O que já resolve | O que ainda falta |
|---|---|---|---|
| 1. Inventário e VLANs | Levantamento e redes virtuais nos switches gerenciáveis | Laço no escritório deixa de alcançar a linha | Filtro entre as redes |
| 2. Firewall entre zonas | Firewall com regras e zona intermediária | Cada conversa passa a ter regra e registro | Isolamento físico do que é crítico |
| 3. Zona de controle isolada | Rede física própria para processos que não podem parar | Nenhum switch em comum com o escritório | Revisão periódica das regras |
A primeira etapa já reduz o risco mais comum e custa pouco em equipamento quando os switches são gerenciáveis. Mas VLAN sem firewall separa o tráfego e não filtra nada: um vírus atravessa do mesmo jeito.
Antes de escolher, responda com a manutenção e a TI: quantas paradas a produção oferece nos próximos seis meses, quais switches dos painéis são gerenciáveis e se algum projeto de dados, como a IoT na indústria, vai precisar da rede separada antes.
O que fica fora quando se pergunta quanto custa segregação entre rede de TI e rede de automação
Ficam fora, em geral, os equipamentos, as assinaturas do firewall, as horas do integrador e o acompanhamento depois da entrega. Conhecer a lista evita que o custo cresça no meio da mudança.
- Equipamentos: firewall, switches gerenciáveis e fibra entre prédios são comprados pela fábrica, com a especificação do desenho.
- Assinatura do firewall: muitos modelos cobram por ano as atualizações de proteção e o suporte do fabricante [CONFIRMAR na proposta do fabricante].
- Integrador: trocar o endereço de um CLP ou ajustar o supervisório é trabalho de quem programa a automação.
- Produção na janela: a parada usada para a mudança tem custo, mesmo quando já estava programada.
- Acompanhamento: alertas de falha em switch ou firewall depois da entrega são do NOC para empresas.
- Painéis elétricos: trocar switch em painel segue as normas NR-10 e NR-12, com a manutenção da planta [CONFIRMAR na norma].
Uma proposta de segregação completa mostra
- Quantas máquinas, CLPs e IHMs entram no inventário e como serão levantados sem desligar nada.
- As zonas previstas e quem fica em cada uma.
- Um exemplo da tabela de regras, com motivo e responsável por regra.
- Quantas janelas de parada a mudança usa e o plano de volta de cada uma.
- Como fica o acesso de cada fabricante de máquina.
- Quais referências o desenho segue, como a série IEC 62443 [CONFIRMAR na norma].
Proposta sem inventário e sem tabela de regras é venda de firewall, não segregação. Peça os dois antes de comparar valores.
Erros que encarecem a separação da rede da fábrica
Estes erros não aparecem no orçamento e aparecem depois, quando a linha para por causa da própria mudança.
Evite ao contratar a segregação
- Comprar o firewall antes do inventário e descobrir que ele não aguenta o tráfego da planta.
- Deixar só VLAN e chamar isso de segregação pronta.
- Esquecer o computador do supervisório que também navega na internet.
- Não registrar quem é dono de cada regra do firewall.
- Fechar a proposta sem saber o calendário de paradas.
A Táquion Tech entrega o diagrama, a tabela de regras com o motivo de cada uma e o inventário atualizado, para que a próxima equipe saiba o que pode mudar. O guia sobre rede da empresa lenta mostra o efeito de tudo dividir o mesmo segmento.
Perguntas frequentes
Dá para segregar a rede sem parar a produção?
A preparação acontece com a linha rodando, mas a passagem de cada máquina para a rede nova pede uma parada curta. Por isso a mudança é encaixada nas paradas que a produção já programa.
Firewall comum serve para separar a fábrica?
Na fronteira entre escritório e produção, um firewall comum bem dimensionado costuma servir. Dentro de painel, com calor e poeira, pode ser preciso um modelo industrial, e a escolha sai do inventário.
Os switches que já tenho podem ser reaproveitados?
Os gerenciáveis, em geral, sim, porque aceitam VLAN. Switches simples de escritório dentro dos painéis precisam ser trocados, e essa compra entra no orçamento da fábrica.
A seguradora pode exigir a separação da rede?
Questionários de seguradoras, matrizes e clientes têm perguntado como a produção é isolada [CONFIRMAR exigência do seu setor]. A tabela de regras e o diagrama da entrega servem como resposta a esses questionários.
Depois da entrega, alguém precisa cuidar das regras?
Sim, porque máquina nova, fornecedor novo e sistema novo pedem regra nova. Sem revisão periódica, o firewall vai ganhando exceções até deixar de separar de fato.
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Fontes
- IEC 62443 (Wikipédia em inglês): série de normas de segurança para automação industrial, com zonas e conduítes.
- NIST SP 800-82, Guide to Operational Technology Security: guia público do NIST para proteger sistemas de controle industrial.
- Purdue Enterprise Reference Architecture (Wikipédia em inglês): modelo em níveis, do sensor no campo ao ERP, usado para posicionar cada equipamento.
