Máquina e notebook no mesmo switch
Se o CLP está na mesma faixa de endereços dos computadores, qualquer falha de um lado alcança o outro.
Rede industrial · Empresas
Segregação entre rede de TI e rede de automação para empresas
As máquinas da linha numa rede só delas, com um firewall decidindo o que conversa com o escritório, e a mudança feita sem tirar a produção do ar.
- Inventário de cada máquina antes do desenho
- Mudança encaixada nas paradas da produção
- Fornecedor entra por um acesso só, registrado
Segregação entre rede de TI e rede de automação é dividir a rede da empresa em duas partes, a dos computadores e a das máquinas, CLPs e supervisórios, com um firewall que só deixa passar o que a produção precisa. É para a indústria, o frigorífico ou a agroindústria de Santa Catarina em que máquina e notebook ainda dividem o mesmo switch. O resultado é uma linha que continua rodando quando o escritório pega vírus, tem laço de cabo ou troca de servidor.
O que é segregação entre TI e automação
É colocar a produção atrás de uma barreira com regras escritas. O escritório continua vendo relatórios e indicadores, mas deixa de alcançar diretamente o CLP.
Na maioria das plantas, a rede industrial nasceu como extensão da rede administrativa: um switch a mais no painel, um cabo puxado até a máquina nova. Funciona até o dia em que um problema de um lado aparece do outro.
A separação organiza a planta em zonas. Cada zona reúne equipamentos com a mesma importância e o mesmo risco, e o tráfego entre elas passa por um ponto de controle. Sensores IoT e câmeras ganham zona própria, para não virarem atalho até as máquinas.
Gateways LoRaWAN, coletores de dados e o servidor de histórico ficam numa zona intermediária, que conversa com os dois lados sem ligar um ao outro. Uma planta típica termina com quatro zonas:
Zona do escritório (TI)
Computadores, e-mail, ERP e internet. É onde circula mais gente e mais arquivo de fora, por isso não tem caminho direto para a produção.
Zona intermediária
Servidor de histórico, pasta de receitas de produção e o ponto de entrada dos fornecedores. Tudo que os dois lados precisam ver fica aqui, e só aqui.
Zona de supervisão
Supervisório (SCADA), estações de operação e IHMs centrais. Lê os CLPs e mostra a linha para os operadores, sem navegar na internet.
Zona de controle
CLPs, inversores, robôs e painéis de máquina. É a zona que não pode parar, com o mínimo de tráfego e nenhuma saída para fora da planta.
Quando você precisa de segregação entre TI e automação
Seis sinais mostram que escritório e produção ainda estão na mesma rede. Um só já justifica a visita de inventário.
A linha parou por causa do escritório
Laço de cabo, vírus ou atualização de servidor que travou o supervisório é o sinal mais claro de rede misturada.
Fabricante acessa a máquina por fora
Programa de acesso remoto instalado na IHM ou porta aberta no roteador é uma entrada que ninguém vigia.
Vai ligar a produção ao ERP ou ao MES
Antes de mandar dados da linha para sistemas de gestão, a rede precisa de um caminho controlado para isso.
Seguradora, matriz ou cliente perguntou
Questionários de segurança passaram a pedir como a produção é isolada. [CONFIRMAR exigência do seu setor]
Ninguém sabe o que está ligado
Sem inventário, cada mudança é feita no escuro e com a produção esperando a rede voltar.
Como funciona a segregação entre TI e automação
São cinco etapas, e as máquinas só mudam de rede na quarta. Antes disso, tudo é levantamento, desenho e aprovação com a produção.
Inventário da planta
Visita para listar máquinas, CLPs, IHMs, switches e endereços, e observar quem conversa com quem, sem desligar nada.
Prazo: [PREENCHER]
Desenho das zonas
Documento com as zonas, o firewall, as regras de passagem e a ordem de mudança, máquina por máquina.
Prazo: [PREENCHER]
Aprovação com a produção
Manutenção, integrador e gestão aprovam o desenho e as datas de parada. Nenhuma máquina muda antes desse sim.
Prazo: depende do calendário de paradas
Preparo e mudança
Switches e firewall configurados em paralelo; em cada parada, um grupo de máquinas passa para a zona nova e é testado.
Duração de cada parada: [PREENCHER]
Conferência e entrega
Produção, supervisório, relatórios e acessos testados, com diagrama, tabela de regras e inventário entregues.
Prazo: [PREENCHER]
O que está incluído na segregação entre TI e automação
O serviço cobre o inventário, o desenho das zonas, a configuração e a mudança acompanhada. O que fica de fora tem dono próprio, e o escopo final vai escrito na proposta.
Incluído
- Inventário de máquinas, CLPs, IHMs e equipamentos de rede
- Mapa do tráfego atual entre escritório e produção
- Desenho de zonas e conduítes com as regras de passagem
- VLANs configuradas nos switches existentes ou novos
- Configuração do firewall entre as zonas
- Zona intermediária para histórico, relatórios e arquivos
- Acesso remoto de fornecedores com usuário próprio e registro
- Mudança em paradas combinadas, com plano de volta
- Diagrama, tabela de regras e inventário atualizado
Não incluído
- Compra de firewall e switches (a Táquion Tech não vende equipamento)
- Programação de CLPs, IHMs e supervisório, que fica com o integrador de automação
- Divisão da rede do escritório por setor, feita na segmentação de rede corporativa
- Acompanhamento contínuo da rede, que é o NOC para empresas
- Adequação elétrica de painéis às normas NR-10 e NR-12 [CONFIRMAR na norma]
Quanto custa a segregação entre TI e automação
O preço depende principalmente de quantas máquinas mudam de rede e de quanto a rede atual está misturada. O valor exato sai por escrito, depois do inventário.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Máquinas e CLPs | Cada equipamento é identificado, endereçado e testado na zona nova | Linha com 15 máquinas e 3 supervisórios |
| Grau de mistura | Endereços repetidos e IPs fixos antigos pedem mais trabalho na mudança | CLPs na mesma faixa dos notebooks |
| Equipamento existente | Switch gerenciável é reaproveitado; switch simples precisa sair | Switches de escritório dentro dos painéis |
| Paradas disponíveis | Janelas curtas e raras espalham a mudança por mais visitas | Uma parada programada por mês |
| Acesso de fornecedores | Cada fabricante ganha usuário, regra e registro próprios | Cinco fabricantes com suporte remoto |
| Prédios e distâncias | Galpões separados pedem mais pontos de fibra ou de firewall | Fábrica com caldeira e expedição em prédios à parte |
Faixa de preço para uma planta de porte médio: [PREENCHER faixa aprovada pela Táquion Tech]. Firewall e switches entram na sua compra, com a especificação que o desenho entrega.
O que conferir antes de contratar segregação entre TI e automação
Antes de assinar, confira os erros que mais param linhas, as formas de separar e as normas de referência. Esta seção serve para avaliar qualquer empresa de segregação entre rede de TI e rede de automação, inclusive a Táquion Tech.
Erros comuns ao contratar
Cinco falhas que aparecem em separações feitas sem conhecer a planta. Pergunte ao fornecedor como evita cada uma.
Separar sem inventário
Sem saber quem conversa com quem, a primeira regra do firewall corta um relatório ou o supervisório, e a linha para no meio do turno.
Firewall que libera tudo
Duas redes ligadas por um firewall com regra aberta estão separadas só no diagrama. Peça para ver a tabela de regras prevista.
Esquecer o acesso remoto antigo
O programa de acesso instalado na IHM continua funcionando por fora do caminho novo. Todo acesso de fabricante precisa ser levantado e trocado.
Mudar a planta inteira num dia
Passar todas as máquinas na mesma parada impede saber o que falhou. Grupos pequenos, testados um a um, encurtam a volta se algo der errado.
Deixar o integrador de fora
É ele quem conhece os IPs fixos dos CLPs e as conversas entre máquinas. Sem ele na mesa, o desenho erra justamente onde dói.
VLAN, firewall ou redes físicas separadas
É a decisão que mais pesa no custo. A maioria das plantas começa pela segunda opção e isola fisicamente só o que é crítico.
| Forma | Proteção | Custo de mudança |
|---|---|---|
| Só VLAN no switch | Baixa: separa o tráfego, não filtra | Baixo |
| VLAN com firewall entre zonas | Boa: cada passagem tem regra | Médio |
| Redes físicas com firewall | Alta: nenhum switch em comum | Alto |
Só VLAN
Quando serve
Primeiro passo em planta pequena, enquanto o firewall não chega. Já impede que um laço no escritório alcance a linha.
Cuidado
O roteamento entre VLANs costuma deixar tudo passar. Sem filtro, um vírus atravessa do mesmo jeito.
VLAN com firewall
Quando serve
A maior parte das plantas médias. Aproveita os switches gerenciáveis que já existem e põe regra em cada passagem.
Cuidado
O firewall vira ponto único de falha. Linhas críticas pedem fonte dupla ou um segundo equipamento.
Redes físicas separadas
Quando serve
Processos contínuos ou perigosos, como caldeira, frio industrial com amônia e envase.
Cuidado
Custa mais cabo e switch. Vale para a zona de controle, não para a planta inteira.
Normas e boas práticas
Referências que uma separação séria considera. Peça ao fornecedor que diga quais aplica e como.
IEC 62443
Série de normas de segurança para automação industrial. Organiza a planta em zonas e conduítes e define um nível de segurança para cada zona [CONFIRMAR na norma].
Modelo Purdue e ISA-95
Dividem a operação em níveis, do sensor no campo ao ERP. Servem de mapa para decidir em que zona fica cada equipamento [CONFIRMAR na norma].
NR-10 e NR-12
Trabalho em painel energizado e perto de máquinas segue as normas de segurança do trabalho. Por isso a troca de switch no painel é feita com a manutenção da planta [CONFIRMAR na norma].
NIST SP 800-82
Guia público com recomendações para proteger sistemas de controle industrial, útil como lista de conferência do desenho [CONFIRMAR na norma].
Checklist antes de contratar
Com estes itens em mãos, a visita rende mais e a proposta sai mais precisa.
Lista de máquinas
Máquinas com CLP, IHM ou computador industrial, mesmo incompleta. Fotos dos painéis ajudam muito.
Contato do integrador
Quem programa CLPs e supervisório, para combinar endereços e conversas entre máquinas.
Fornecedores com acesso remoto
Quais fabricantes entram nas máquinas à distância, por qual programa e com que frequência.
Calendário de paradas
As paradas programadas dos próximos meses, para encaixar a mudança sem perder produção.
Por que escolher a Táquion Tech para separar a rede da produção
Porque a separação é feita com a produção, não contra ela, e a documentação fica com você. Seis compromissos valem para toda segregação.
Especialista no chão de fábrica
Quem visita a planta e conversa com a manutenção é quem desenha e aplica a separação.
[PREENCHER: plantas industriais atendidas]
Plano de volta por parada
Cada grupo de máquinas tem o caminho de retorno escrito e conferido antes da janela.
O plano de volta vai junto com o calendário de paradas
Não vendemos firewall
A especificação sai do tráfego medido na planta, não de meta de venda de fabricante.
Nenhuma marca indicada por comissão
Junto com o integrador
A rede é nossa; CLPs, IHMs e supervisório seguem com quem já cuida da automação.
Integrador convidado desde o inventário
Regras com motivo e dono
Cada regra do firewall tem justificativa e responsável. A próxima equipe sabe o que pode mudar.
Tabela de regras entregue no fim
Presencial em Santa Catarina
Inventário, mudança e testes feitos no local, lado a lado com a equipe da planta.
[CONFIRMAR área de atendimento]
Onde a Táquion Tech faz segregação de rede industrial
A segregação é presencial em plantas de Santa Catarina, porque inventário e paradas pedem gente no local. Fora do estado, o trabalho é avaliado quando o projeto pede.
Presencial em Santa Catarina
Inventário, mudança nas paradas e testes com a manutenção da planta, a partir do litoral catarinense. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Fora de SC, quando o projeto pede
Desenho das zonas e revisão de regras à distância, com o inventário feito pela sua equipe e visita nas paradas críticas. [CONFIRMAR]
Perguntas frequentes sobre segregação entre TI e automação
As dúvidas que gestores industriais mais trazem antes de pedir a proposta. Se a sua não estiver aqui, pergunte no WhatsApp.
Quanto custa a segregação entre rede de TI e rede de automação?
Depende do número de máquinas, de quanto a rede está misturada e das paradas disponíveis. A faixa para uma planta média é [PREENCHER], e o valor exato sai depois do inventário. Firewall e switches são comprados à parte.
A produção precisa parar durante a mudança?
Só no momento em que um grupo de máquinas troca de rede, e numa parada combinada com a produção. Switches e firewall são preparados antes, com a linha rodando.
Quanto tempo leva a segregação?
O inventário e o desenho levam [PREENCHER]. A mudança segue o calendário de paradas, porque cada grupo de máquinas muda numa janela própria.
O supervisório continua acessível do escritório?
Sim, por um caminho controlado. Relatórios e telas de acompanhamento passam pela zona intermediária, e o escritório deixa de falar direto com o CLP.
Vocês mexem na programação dos CLPs?
Não. Programação de CLPs, IHMs e supervisório fica com o integrador de automação. Quando um CLP precisa trocar de endereço, a troca é combinada com ele e feita na parada.
Funciona com CLPs de qualquer fabricante?
A separação acontece na rede, então vale para qualquer marca. As portas e protocolos de cada fabricante são conferidos antes de escrever as regras [CONFIRMAR na documentação do fabricante].
Como fica o acesso remoto dos fabricantes de máquina?
Cada fabricante ganha um usuário próprio, que entra por um ponto só, na zona intermediária, e deixa registro. Os programas instalados direto nas IHMs são desligados depois que o caminho novo é testado.
Existe norma para separar TI e automação?
A série IEC 62443 é a referência mais usada e organiza a planta em zonas e conduítes [CONFIRMAR na norma]. Exigências de seguradora, matriz ou cliente são conferidas caso a caso.
Preciso comprar firewall industrial?
Nem sempre. Na fronteira entre escritório e produção, um firewall comum bem dimensionado costuma servir; dentro do painel, calor e poeira podem pedir modelo industrial. A especificação sai do inventário.
Vocês atendem fábricas fora do litoral?
O atendimento presencial é em Santa Catarina [CONFIRMAR área de atendimento]. Para plantas em outros estados, o desenho pode ser feito à distância e a mudança é combinada quando o projeto pede.
Serviços relacionados à segregação entre TI e automação
Três serviços que costumam vir antes ou depois da separação. Cada um cuida de uma parte da rede da empresa.
-
IoT para indústria
Coleta de dados das máquinas sobre a rede já separada, sem tocar na programação.
Ver a IoT para indústria -
Segmentação de rede corporativa
Divisão da rede do escritório por setor, visitantes e câmeras, do lado da TI.
Ver a segmentação de rede corporativa -
NOC para empresas
Acompanhamento da rede depois da entrega, com alerta quando um switch ou link falha.
Ver o NOC para empresas
Leia antes de contratar
Três guias para entender por que redes misturadas falham e como os switches se protegem.
- Rede da empresa lenta: causas, diagnóstico e quando chamar um Especialista
Por que a rede inteira sofre quando tudo divide o mesmo segmento.
- Configuração de storm control: guia prático para provedores
Como conter a tempestade de broadcast antes que ela chegue às máquinas.
- Implantação de TACACS: guia prático para provedores
Como dar a cada pessoa um acesso próprio e registrado aos equipamentos de rede.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta de segregação entre TI e automação
Diga como a rede da planta está hoje e quantas máquinas têm CLP. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
