Compartilhando informações da automação ma rede corporativa

Compartilhando informações da automação na rede corporativa

A interligação entre redes corporativa e de automação com a finalidade de melhorar o sistema de guarda de dados e a atualização do sistema supervisório; e a adoção de alternativa utilizando DMZ como meio de interligação aproveitando a estrutura já existente na empresa.

Os sistemas atendem plenamente aos requisitos operacionais, mas não são usados em sua totalidade de funcionalidade pelos profissionais das empresas, já que informações importantes em análises não estão disponíveis em tempo real para equipes de manutenção e engenharia.

Os sistemas são disponibilizados nas salas de comando das usinas e centros de operação e tornam o acesso aos profissionais de fora da área operacional muitas vezes difícil. Instalados para atender aos operadores, as consoles estão à disposição destes profissionais e os aplicativos são criados para apresentar da melhor forma possível todos os equipamentos que envolvem a planta operada, como geradores, turbinas, circuitos unifilares da usina e auxiliares elétricos. Devido à instalação nos centros de operações, estes equipamentos ficam afastados de demais usuários que necessitam de informações do sistema, gerando dificuldades para busca de informações.

Esta e outras dificuldades, tais como, falta de treinamento, inexistência de consoles separadas, receio de efetuar um comando ou operação indevida, afastam os profissionais da área de manutenção, engenharia e gerência, fazendo as necessidades de informações, quando da análise de ocorrências, serem dirigidas aos operadores ou profissionais responsáveis pela implantação dos sistemas.

Esta cultura deve mudar nas empresas que, em trabalho conjunto com as áreas de implementação dos sistemas e manutenção, devem elaborar estruturas nos sistemas que atendam também às necessidades das demais áreas que utilizam estes dados, tanto para análises de ocorrências como informações preventivas dos equipamentos.

Os profissionais da empresa, utilizando as ferramentas criadas e direcionadas para o grupo operacional, podem buscar melhorias nos procedimentos de manutenção e nos índices de falhas, já que a correta avaliação pode identificar erros capazes de gerar falhas em equipamentos. Estas ferramentas podem também auxiliar em ensaios, manutenções preventivas e servir como apoio à área de engenharia da empresa com a verificação de dados em tempo real.

Para resolver este problema de não disponibilidade das informações das operações em tempo real, necessitamos de uma interface (software) que receba os dados desta rede e disponibilize para os tomadores de decisão da empresa.

O problema principal é a interligação segura entre as redes de automação e corporativa. Normalmente as redes corporativas estão mais suscetíveis a invasões, vírus ou e fatores que comprometem o funcionamento de forma correto. Em redes de automações estas ocorrências praticamente são nulas devido aos procedimentos de acesso e segurança das informações.

Seguindo os procedimentos necessários, temos a possibilidade de interligação das redes e processamento da disponibilidade das informações da automação necessárias aos gerentes, equipes de engenharia e manutenção para acompanhar análises de ocorrências, procedimentos de manutenção, auxílio à operação de tempo real e visualização das grandezas principais das unidades geradoras em operação para apoio nas análises de metas e objetivos futuros.

Dentre as dificuldades para elaboração do projeto, destaca-se:

Abrangência do sistema – identificar as necessidades que compõe o sistema e delinear os requisitos de implementação;

Identificar a melhor configuração para interligação de rede e, em função da escolha, elaborar a especificação técnica de hardware e software necessária para efetuar a interligação com total segurança;

Selecionar, de acordo com a configuração adotada, a melhor opção para elaboração do software que irá disponibilizar as informações necessárias na rede corporativa;

Levantamento dos pontos com necessidade de aquisição para montagem de telas e relatórios para disponibilizar aos clientes.

O projeto verificou as necessidades e mapeou as possíveis falhas, restringindo os canais de ligação com equipamentos e software capazes de evitar invasões, disseminação de vírus e outros agentes que podem comprometer o funcionamento da rede.

Desenvolvimento

As redes de automação são instaladas nas usinas e compostas por equipamentos dedicados a controle e supervisão das unidades geradoras. Entre os equipamentos que compõe a rede de automação estão: computadores, Controladores Lógicos Programáveis (CLPs) e IEDs (Intelligent Electronic Device), entre eles, relés de proteção, transdutores de temperatura e grandezas elétricas.

Os computadores e os CLPs comunicam-se por meio de rede de alta velocidade, em TCP/IP, entre eles e com o Centro de Operação da Geração (COG) onde existem micros remotos responsáveis pela operação desassistida das usinas. Os demais equipamentos comunicam-se com os CLPs por meio de redes seriais utilizando protocolo ModBus.

Todo o sistema existente na automação é utilizado pela equipe de operação como forma de supervisionar, comandar e auxiliar nas tomadas de decisões e, em alguns casos, pela engenharia da empresa como suporte a análise de ocorrências. Os softwares instalados neste sistema interagem diretamente com os dispositivos de hardware.

Devido à grande importância das manobras e decisões que dependem destas redes, elas são consideradas redes de sistemas críticos. Em todo o sistema crítico, existem dois fatores de grande importância que devem ser considerados e, na maioria das empresas, faz parte da política de qualidade e metas das áreas: confiabilidade e disponibilidade.

A cada dia as tomadas de decisões nas empresas tornam-se mais importantes para que as corporações permaneçam competitivas e eficientes. Os tomadores de decisão nas empresas normalmente não dispõem das informações necessárias de forma organizada e coerente, necessitando para isto da tecnologia da informação por meio de ferramentas que auxiliam na organização dos dados de forma mais eficiente.

Para resolver este problema de indisponibilidade das informações das operações em tempo real, necessitamos de uma interface (software) que receba as informações desta rede e disponibilize para os tomadores de decisão da empresa.

O problema principal é a interligação segura entre as redes de automação e corporativa. Normalmente as redes corporativas estão mais suscetíveis a invasões, vírus e/ou fatores que comprometem o funcionamento de forma correta. Em redes de automação, estas ocorrências praticamente são nulas devido aos procedimentos de acesso e segurança das informações.

No momento de falar em interligação destas redes se faz necessária a garantia da segurança, mapeando as possíveis falhas e restringindo os canais de ligação com equipamentos e software capazes de evitar invasões, disseminação de vírus e outros agentes que podem comprometer o funcionamento da rede.

Interligação de redes por conexão em ponte (bridge)

Forma simples de interligação de redes de computadores, a interligação em ponte segue um conceito antigo do Windows e pode ser uma das formas de efetuar a ligação necessária no projeto por possuir simplicidade em sua implementação e configuração. As pontes permitem combinar duas redes, além de admitir que estações de uma rede acessem recursos de outra. As pontes utilizam protocolo de controle de acesso ao meio físico, MAC address (Media Access Control address) na física da rede.

Um microcomputador escolhido faria a ligação entre as duas redes. Nele seria efetuada a instalação de duas placas de rede, configuradas de acordo com as redes a serem conectadas.

As conexões reais que dão origem à conexão em ponte ficam com todos os seus comandos desativados. Tudo passa como se o computador usasse uma única placa de rede na qual existem os circuitos das duas placas que deram origem à ponte, é como uma ligação internada entre esses circuitos.

O que se verifica é que as duas redes foram fundidas por esta ponte. Cabe lembrar que esta união só existe enquanto o Windows estiver sendo executado. Se o computador for desligado, a ponte fica suspensa até o computador seja novamente ligado e reiniciado o Windows.

Este microcomputador com a ponte é configurado como um roteador operando na camada de rede do modelo OSI. Neste caso, a configuração, de acordo com o modelo OSI, terá a função de examinar o endereço de cada mensagem e decidir de que lado da ponte está o destinatário. Se a mensagem não precisa ser transportada pela ponte e, por este motivo, venha a criar trafego rede de estendida, o roteador não irá enviá-la.

Abaixo, na Figura 1, uma representação da interligação de rede em ponte:

Figura 1 – Interligação de rede em ponte

Interligação de redes com uso de VPN

A utilização de uma Rede Virtual Privada (Virtual Private Network – VPN) é uma rede segura que utiliza protocolo de criptografia por tunelamento em vários níveis de segurança que possibilita confidencialidade, autenticação e integridade necessária para garantir a privacidade das comunicações requeridas.

Segundo Dameon D. Welch-Abernathy, VPN é uma tecnologia que permite que dois ou mais locais se comuniquem de forma segura por uma rede pública enquanto mantêm a segurança e a privacidade de uma rede privada. Criptografia, autenticação e verificações de integridade do pacote são os principais capacitadores das VPNs, pois garantem que os dados serão privados e a integridade deles será mantida.

Este protocolo adequadamente implantado pode assegurar comunicação segura por meio de redes inseguras. Abaixo, na Figura 2, está o exemplo de uma rede utilizando VPN onde um tunelamento dentro da rede corporativa disponibiliza informações do servidor para uma estação da rede.

Figura 2 – Exemplo de rede com VPN. Tunelamento dentro da rede corporativa

As empresas estão utilizando muito as VPNs por ser um modo econômico de interligar sites e as redes privadas serem muito dispendiosas de adquirir e montar.

Interligação de redes com uso de DMZ

DMZ é a sigla para DeMilitarized Zone ("zona desmilitarizada"). Também conhecida como Rede de Perímetro ou Zona Neutra, a DMZ é uma rede que separa uma rede confiável de uma não confiável, normalmente utilizada entre uma rede local e a internet.

A função da DMZ é manter os serviços que precisam de acesso externo separados da rede local.

A DMZ pode ser um ou vários segmentos de rede, parcialmente protegida, que está entre uma rede protegida e uma desprotegida e que contém serviços e informações para os clientes. Nela podem existir regras de acesso específico e sistemas de defesa de perímetro simulando uma rede protegida para induzir os possíveis invasores para armadilhas virtuais, tentando, assim, localizar a origem do ataque.

A configuração deve ser realizada por meio de Firewall que realiza o controle de acesso entre as duas redes. Esta configuração pode ser visualizada na Figura 3.

Figura 3 – Exemplo de rede com DMZ

Sistema proposto

De acordo com os estudos entre as diversas tecnologias disponíveis foi acordado entre as equipes de automação e telecomunicação da empresa, que a utilização da DMZ é a que mais atende às necessidades de praticidade e segurança dos dados da automação.

Esta tecnologia, por ser conhecida pela equipe e já adotada na empresa, torna o desenvolvimento do trabalho mais seguro e menos propenso a falhas. Este fato é um ponto crítico para o desenvolvimento do projeto.

Com o envolvimento no projeto das áreas de tecnologia da informação e tecnologia de redes surgiram alterações necessárias para atender as políticas de segurança da empresa. Entre as que geraram impacto no projeto esta a necessidade de atualização automática do software de antivírus.

Para evitar número expressivo de portas abertas no firewall, ficou acertada a colocação de um servidor de antivírus junto à DMZ, realizando atualização via servidor principal de antivírus, instalado na rede corporativa, e com toda política necessária para garantir a segurança. No servidor principal existem rotinas de verificação constante de atualizações de versão do software e rotina de auditoria de todos os computadores que são conectados à rede.

Este servidor, instalado na DMZ, ficará responsável pela busca das atualizações no servidor principal e fará o gerenciamento das atualizações dos microcomputadores instalados na rede de automação da mesma forma que o servidor principal em relação aos micros da rede corporativa.

Para completar as alterações na estrutura inicial da rede, a mudança na forma de salvamento das informações nas usinas e centro de operação para melhorar a confiabilidade de busca e guarda dos dados, e a necessidade de outras áreas de buscarem informações existentes na rede de automação, foi solicitada a inclusão de banco de dados para guarda dos dados requisitados nas usinas.

Estando atendidas todas as necessidades, na Figura 4 está representada a configuração da interligação da rede e as necessidades para o projeto.

Figura 4 – Proposta final da rede

Descrição da arquitetura da rede

A estrutura proposta compreende três divisões principais:

- Rede corporativa: Na rede da empresa são conectados todos os equipamentos corporativos utilizados no trabalho diário dos funcionários. O projeto estará aproveitando o servidor de vírus da rede para efetuar as atualizações do servidor de antivírus da rede DMZ.

Computadores na rede corporativa poderão rodar aplicativos que estarão buscando informações do banco de dados instalado na DMZ, disponibilizados neste pelos equipamentos instalados nas usinas.

Serão disponibilizados aplicativos na mesma estrutura dos softwares instalados nas usinas e COG na forma de software de visualização (Viewer Read Only) com as necessidades de cada usuário. As permissões serão implementadas no servidor 3 instalado na DMZ, bem como toda política de acesso ao aplicativo. O número de visualizadores será de acordo com necessidade das áreas que precisam de informações provenientes da rede de automação.

Existe ainda a previsão de ser instalado em outra fase um servidor de internet para possibilitar a visualização por meio de um aplicativo web.

- Rede de Automação: Na rede de automação estão todos os equipamentos que compõe os SDSC instalados nas usinas e os demais equipamentos do COG.

Na primeira etapa as usinas não terão quaisquer alterações tanto estrutural como de software. Na etapa seguinte estarão se adequando as modificações efetuadas no COG. No COG a estrutura atualmente se adequará às alterações de forma gradativa e o sistema atual permanece em toda sua funcionalidade. O projeto será instalado de forma a operar em paralelo com o atual, possibilitando, desta forma, minimizar qualquer falha na migração para o novo sistema.

Serão instalados na rede de automação os seguintes equipamentos:

Servidor de base de dados – Banco de dados responsável por concentrar todos os dados das usinas que compõe a rede de automação.

Servidor de aplicativo – Dois servidores operando em Hot-Standby. Estes servidores serão responsáveis pela comunicação com todos os dispositivos da rede e atualizações dos dados provenientes das usinas que operam com o mesmo sistema SCADA.

O servidor que estiver operando como principal estará atualizando os dados nos consoles de operação e também no servidor instalado na DMZ. Em caso de desligamento do servidor principal, o segundo servidor (Standby) deverá assumir todas as funções. Quando o servidor que entrou em falha retornar ao sistema irá automaticamente receber todas as informações que foram geradas durante o período que permaneceu em falha e permanecerá na função Standby até que ocorra uma falha no outro servidor.

Estações de operação – Três estações de operação possibilitam a operação das usinas conectadas aos servidores. Estas estações funcionam com um software cliente que busca todas as informações do sistema diretamente do servidor que estiver como principal.

- DMZ: Ela será responsável pela interligação segura entre as duas redes por meio de dois firewalls, um no lado da rede de automação e outro na rede corporativa. Nela estará a política de segurança com as permissões de cada cliente externo de poder buscar no servidor da automação os dados necessários à visualização. Controlará também quem pode buscar as informações disponíveis no servidor de banco de dados. Realizará ainda o bloqueio de escritas no lado da rede de automação, permitindo somente o fluxo de dados no sentido da DMZ, nunca no sentido contrário.

Serão instalados na DMZ os seguintes equipamentos:

Servidor de base de dados – Banco de dados responsável por concentrar todos os dados das usinas que compõe a rede de automação. Servirá como cópia de todo banco de dados da automação e ainda como servidor de dados para a rede corporativa, disponibilizando dados necessários à equipes externas da operação de usinas.

Servidor de aplicativo – Um servidor operando como principal e disponibilizando informações para os softwares de visualização. No servidor 3 estará a política de acesso dos usuários da rede corporativa ao sistema de automação.

Servidor de antivírus – Este servidor será responsável pela busca permanente das atualizações existentes no servidor principal de antivírus instalado na rede corporativa.

Fará também o controle de atualização dos computadores instalados na rede de automação realizando a verificação dos computadores da mesma forma que o servidor principal. Deverá realizar as rotinas de auditoria de todos os computadores que são conectados à rede de automação.

A equipe de tecnologia de redes disponibilizou uma estrutura similar à rede de automação para realização de todos os testes, tanto de criação da DMZ quanto dos servidores de banco de dados, software de visualização dos sistemas digitais e servidor de antivírus.

Diante de conceitos de isolamento em redes de automação e a constante preocupação quanto à segurança da rede, além de isolamento de sistema entre a rede de automação e corporativa, proporcionada pela DMZ, foi solicitado proposta para mais uma camada de proteção nesta interligação, bloqueando alguns canais de comunicação.

Atendendo a esta solicitação, foi feito estudo para interligação utilizando um canal serial via USB (Universal Serial Bus). A taxa de transmissão para a USB 2.0 é de até 480 Mbps (cerca de 60 MB por segundo), como no padrão de rede Ethernet trabalhamos a 100 Mbps, a utilização do barramento USB pode representar uma velocidade superior em até cinco vezes.

A utilização tem o objetivo de efetuar uma conexão direta entre dois equipamentos utilizando um cabo de rede ou cabo link USB, alterando a configuração de rede anteriormente definida, sendo apresentada como nova proposta inicial para a interligação das redes e oferecendo as informações necessárias para o aplicativo disponibilizado na rede corporativa.

Com esta alteração fica eliminada temporariamente a utilização do Virus Server que estaria instalado na DMZ, devendo o DataBase Server 2 realizar esta operação, replicando as atualizações no DataBase Server 1, tendo este a função de atualizar os computadores da automação.

Na Figura 5, está representada a configuração final do projeto considerando a interligação da rede de automação com a DMZ através de conexão com Link USB por meio dos Data Servers.

Figura 5 – Interligação das redes utilizando conexão USB

Definição de software

Como a empresa já possui licenças de utilização do software Elipse Scada, torna-se viável a continuidade na utilização deste produto para desenvolvimento do aplicativo que irá apresentar as informações na rede corporativa.

Existe um ganho significativo na utilização de mesma tecnologia por ser software conhecido e com vários scripts importantes já desenvolvidos em relação à segurança e atualização de dados. Este software permite com facilidade a criação de telas, relatórios e demais necessidades do trabalho, pois possibilita a programação orientada a objetos e scripts em linguagem de programação VB script.

Analisando as duas versões que a empresa Elipse disponibiliza de software para SDSC (SCADA e E3) a escolha ficou no E3 devido às suas características e inovações.

Para realizar a atividade de criação do software que irá disponibilizar as informações do SDSC será realizada a migração da versão do software desenvolvido no Elipse SCADA para o Elipse E3, de acordo com orientações do fabricante.

Funcionalidades do sistema

De acordo com definições de utilização do mesmo software existente nos aplicativos da automação, e com alteração da versão do software do SCADA para E3, surgiram facilidades que possibilitam a utilização do aplicativo no software de visualização e a manutenção das funcionalidades.

O servidor 3 ficará responsável pela atualização de todos os visualizadores da rede corporativa. Serão disponibilizadas via servidor 3 os relatórios já existentes no sistema e que podem auxiliar nas analises de ocorrências, telas das grandezas da usina e telas de alarmes e eventos.

No banco de dados da DMZ, estarão todas as informações existentes no banco de dados da automação, com a diferença de tabelas que irão disponibilizar as informações necessárias a outras áreas da empresa e que não serão visualizadas pelo software.

Com a utilização de software de visualização e, tendo como principal finalidade a busca de informações para equipes de engenharia, manutenção e gerência, todo comando ou escrita no sistema instalado na rede da automação fica eliminada, sendo realizados os bloqueios e política de acesso diretamente no servidor instalado na DMZ.

O aplicativo finalizado irá efetuar leitura dos equipamentos instalados na rede de automação e disponibilizar os dados para apresentação nas telas.

Conclusão

A solução apresentada possibilita a expansão futura com a instalação de um servidor de internet para possibilitar a visualização por meio de um aplicativo web, que facilitará a análise das ocorrências por parte das equipes de engenharia e manutenção, bem como o acompanhamento de trabalhos por parte das gerências.

O sistema é de fácil implantação por se tratar de sistemas já desenvolvidos isoladamente pela empresa. O software já está rodando em versão anterior no COG (centro de operações da geração) e o controle de rede já é de domínio da empresa. Os custos envolvidos no projeto são baixos já que os equipamentos estão disponíveis e só existe a necessidade de configuração e migração de software, com suas devidas adequações, necessitando alguma estrutura específica de hardware.

A implantação de sistemas inteligentes propicia altos ganhos para as empresas que necessitam de informações oportunas e consistentes disponíveis aos tomadores de decisão.

O projeto desenvolvido altera a forma de gerenciamento dos processos na geração. Atualmente as empresas tomam decisões em funções de relatórios gerenciais e com esta implantação o foco passa a ser em sistemas de informações gerenciais com análises em tempo real e informações mais consistentes.

Velocidade em informações de processos gera decisões rápidas que podem tornar-se diferenciais para o negócio da empresa.