IT vo výrobe: kde kancelárske IT naráža na limity

Nie, bežné kancelárske IT vo výrobnej hale spravidla nestačí. Sieť navrhnutá pre notebooky, tlačiarne a e-mail naráža vo výrobe na úplne iné požiadavky: stroje, ktoré desať rokov bežia na tom istom operačnom systéme, prach a teplotné výkyvy, ktoré zaťažujú elektroniku, a zmenu, ktorá sa pri výpadku siete okamžite zastaví namiesto toho, aby len spomalila. Kto plánuje výrobné IT rovnako ako kancelárske, stavia mimo skutočných potrieb.

Plánovanie funguje najlepšie, keď IT a vedenie výroby sedia pri jednom stole od začiatku: IT pozná sieťovú techniku, výroba pozná stroje, ich cykly a miesta, kde je výpadok najbolestivejší. Ak sa opýta len jedna strana, na konci väčšinou chýba presne tá informácia, ktorá robí rozdiel.

Prečo by mala byť výrobná sieť oddelená od kancelárskej?

V kancelárii spravidla stačí jedna spoločná sieť pre pracovné stanice, tlačiarne a Wi-Fi. Vo výrobe sú následky problému v spoločnej sieti oveľa väčšie: infikovaný zdieľaný priečinok na kancelárskom notebooku sa nesmie dostať do tej istej broadcastovej domény ako riadenie CNC stroja. Oddelenie sa rieši cez vlastné VLAN, alebo pri vyšších nárokoch cez fyzicky oddelené siete s firewallom medzi nimi, ktorý presne určuje, aká komunikácia je povolená a akým smerom.

• Vlastný VLAN alebo fyzicky oddelená sieť pre výrobné zariadenia, oddelená od kancelárskej a hosťovskej Wi-Fi
• Pravidlá firewallu, ktoré povoľujú len skutočne potrebné spojenia, nie 'všetko otvorené medzi sieťami'
• Samostatný prehľad o tom, ktoré zariadenia sú vo výrobnej sieti aktívne – transparentnosť pred dôverou

Ako riešiť stroje so starými operačnými systémami?

Vo väčšine výrobných hál bežia riadiace počítače strojov na operačných systémoch, ktoré už roky nedostávajú bezpečnostné aktualizácie – často preto, že výrobca certifikoval stroj pre konkrétne vydanie Windows Embedded a aktualizácia by certifikáciu alebo záruku ohrozila. Výmena zvyčajne nie je možná zo dňa na deň, stroj napokon stále funguje. Praktickým riešením nie je aktualizácia, ale izolácia: stroj dostane vlastný, prísne oddelený sieťový segment bez prístupu na internet a bez priamej dosiahnuteľnosti zo zvyšku siete. Čo skutočne potrebuje na komunikáciu – napríklad pripojenie na riadiaci systém –, sa povolí cielene, všetko ostatné zostáva zatvorené.

• Staré riadiace systémy strojov umiestniť do vlastného izolovaného segmentu bez prístupu na internet
• Povoliť len skutočne potrebné spojenia, nie paušálne otvoriť celú sieť
• Viesť zoznam, ktorý stroj beží na akom operačnom systéme – základ pre každé neskoršie rozhodnutie

Čo v praxi znamená dostupnosť počas zmeny?

V kancelárii je desaťminútový výpadok siete otravný. Vo výrobe môže rovnaký výpadok zastaviť celú linku, ak sú stroje pri objednávkach, kusovníkoch alebo uvoľneniach závislé od siete. Dostupnosť preto nie je abstraktná požiadavka, ale veľmi konkrétna: ktorá sieťová komponenta smie zlyhať bez toho, aby sa zastavila zmena? Rozdiel robia redundantné prepojenia medzi centrálnymi switchmi, náhradné zariadenie pre kritické komponenty priamo na mieste namiesto objednávky až v prípade poruchy a monitoring, ktorý nahlási výpadok skôr, než to urobí vedenie dielne.

• Redundantné prepojenia medzi centrálnymi sieťovými komponentmi vo výrobe
• Náhradný hardvér pre kritické switche mať na mieste, nie objednávať až pri poruche
• Aktívny monitoring s upozornením namiesto čakania na hlásenie z dielne

Na čo si dať pozor pri konštrukcii sieťových prvkov vo výrobnej hale?

Bežná kancelárska sieťová technika nie je stavaná na halu s prachom, kovovými pilinami, vibráciami a teplotnými výkyvmi medzi letom a zimou. Priemyselné switche s krytím minimálne IP54, často IP65, odolávajú prachu a striekajúcej vode, pracujú v podstatne širšom teplotnom rozsahu ako kancelárske zariadenia a spravidla sú bez ventilátora, aby sa žiadny ventilátor nezanášal prachom. Aj pri kabeláži sa oplatí zohľadniť prostredie: tienené káble a odolné konektory vydržia mechanickú záťaž vo výrobnej hale výrazne dlhšie ako kancelársky materiál.

Ako bezpečne zapojiť vzdialené prístupy výrobcov strojov na servis?

Mnohí výrobcovia strojov trvajú na vzdialenom prístupe kvôli servisu, diagnostike alebo aktualizáciám softvéru – pochopiteľné, ale trvalo otvorený prístup zvonka do výrobnej siete je riziko, ktoré nie je úmerné prínosu. Vhodnejší je prístup, ktorý je aktívny len v prípade potreby, obmedzený na konkrétny stroj a zaznamenáva, kto sa kedy pripojil. Každý výrobca dostane vlastný prístup namiesto jednej spoločnej brány pre všetok vzdialený servis – tak zostáva jasné, ktorý prístup patrí k akému účelu, keď treba neskôr niečo objasniť.

• Vzdialený prístup na servis aktivovať len časovo obmedzene, nie trvalo
• Pre každého výrobcu stroja vlastný, jasne ohraničený prístup namiesto jedného spoločného pre všetkých
• Záznam o tom, kto sa kedy pripojil a ku ktorému stroju pristupoval

Prečo sa oplatí dôsledná dokumentácia výrobnej kabeláže?

Výrobná hala sa v priebehu rokov opakovane prestavuje, rozširuje a preusporadúva – pribúdajú nové stroje, staré sa presúvajú, linky sa menia. Bez dokumentácie, ktorý kábel kam vedie a ktorý port switcha patrí k akému stroju, sa každá neskoršia zmena mení na hľadanie. Prehľadný plán kabeláže, dôsledné označenie na oboch koncoch a priebežne aktualizovaný prehľad aktívnych zariadení šetria čas presne v momente, keď stroj stojí a nikto hneď nevie prečo. Rovnako užitočný je jednoduchý register zmien, do ktorého sa zaznamená, kedy, kto a prečo niečo v sieti upravil – pri neskoršej poruche alebo rozšírení to výrazne skracuje hľadanie príčiny a zabraňuje tomu, aby vedomosti o sieti zostali len v hlave jedného človeka.

• Dokumentovať plán kabeláže a obsadenie portov a udržiavať ho aktuálny pri každej zmene
• Označiť oba konce každého kábla, nielen stranu pri switchi
• Viesť prehľad, ktoré zariadenie je na akom porte – základ pre rýchle riešenie porúch