การออกแบบเครือข่ายอุตสาหกรรมที่ยังคงแก้ไขปัญหาได้ง่าย

ความล้มเหลวของเครือข่ายอีเทอร์เน็ตอุตสาหกรรมมักไม่ได้เกิดจากข้อผิดพลาดด้านการออกแบบครั้งใหญ่เพียงครั้งเดียว แต่บ่อยครั้งเกิดจากการประนีประนอมเล็ก ๆ ที่สะสมขึ้นในโรงงาน เช่น การเพิ่มสวิตช์ที่ไม่มีการจัดการระหว่างช่วงหยุดซ่อมบำรุง การปล่อยให้มีการกำหนดที่อยู่ซ้ำโดยไม่มีการบันทึก การไม่เคยทดสอบวงแหวนหลังการขยายระบบ หรือการอนุญาตให้ทราฟฟิกการผลิตใช้เส้นทางร่วมกับการรวบรวมข้อมูลปริมาณมาก เครือข่ายอาจทำงานได้นานหลายปี ก่อนจะวินิจฉัยได้ยากเมื่อมีการเปลี่ยนสายเคเบิล สวิตช์ หรือการกำหนดค่าในที่สุด

ดังนั้น เครือข่ายที่ดูแลรักษาได้จึงไม่ใช่เพียงแผนผังการเชื่อมต่อ แต่เป็นรูปแบบการปฏิบัติงานที่ทำให้มองเห็นเส้นทางทราฟฟิก ผู้รับผิดชอบ ขอบเขตความเสียหาย และขั้นตอนการกู้คืนได้อย่างชัดเจน เป้าหมายไม่ใช่ความซับซ้อนสูงสุด แต่คือการออกแบบที่ช่วยให้ช่างเทคนิคตอบคำถามสามข้อได้อย่างรวดเร็วว่า มีอะไรเปลี่ยนแปลง สิ่งใดได้รับผลกระทบ และควรเริ่มทดสอบที่จุดใด

เริ่มจากผลกระทบต่อการควบคุม

ก่อนเลือก VLAN การกำหนดเส้นทาง หรือโปรโตคอลสำรอง ให้กำหนดก่อนว่าการสูญเสียการสื่อสารมีความหมายอย่างไรต่อกระบวนการ เซลล์บรรจุภัณฑ์อาจหยุดทำงานอย่างปลอดภัยหาก HMI ขาดการติดต่อ ขณะที่สายการผลิตที่ทำงานประสานกันอาจสร้างผลิตภัณฑ์เสียหายเมื่อจำนวนที่ผลิตและจำนวนที่ใช้งานไม่ตรงกัน ส่วนหน่วยกระบวนการอาจยังควบคุมเฉพาะที่ต่อไปได้ แม้จะสูญเสียการมองเห็นจากระบบควบคุมระดับกำกับดูแล ผลกระทบเหล่านี้จะเป็นตัวกำหนดว่าการเชื่อมต่อใดต้องมีระบบสำรอง การแจ้งเตือนใดต้องจัดการที่หน้างาน และกระแสข้อมูลใดสามารถยอมรับความล่าช้าได้

จัดทำเอกสารระบุผู้ส่งและผู้รับสำหรับการเชื่อมต่อสำคัญทุกจุด โดยรวมถึงทราฟฟิก PLC ไปยัง I/O การสื่อสารระหว่างคอนโทรลเลอร์ การควบคุมไดรฟ์ การสื่อสารที่เกี่ยวข้องกับความปลอดภัย การสำรวจข้อมูลจาก HMI การรวบรวมข้อมูลเข้าสู่ฮิสทอเรียน การเข้าถึงเพื่อวิศวกรรม การซิงโครไนซ์เวลา และการสนับสนุนระยะไกล รายการสินทรัพย์ที่ได้จะมีประโยชน์มากกว่าแบบแปลนที่แสดงเพียงพอร์ตของสวิตช์

แบ่งเซกเมนต์ตามหน้าที่และขอบเขตความเสียหาย

การแบ่งเซกเมนต์ควรลดทั้งขอบเขตการกระจายบรอดแคสต์และผลกระทบต่อการปฏิบัติงาน จุดเริ่มต้นที่ใช้กันทั่วไปคือการแยกเซลล์เครื่องจักร พื้นที่กระบวนการ บริการโครงสร้างพื้นฐาน และแอปพลิเคชันระดับโรงงานออกจากกัน ขอบเขตควรสอดคล้องกับวิธีที่โรงงานดำเนินงานและบำรุงรักษา หากทีมบำรุงรักษาทีมเดียวรับผิดชอบทั้งสายการผลิต การใช้โซนระดับสายการผลิตอาจชัดเจนกว่าการสร้างซับเน็ตย่อยจำนวนมากโดยไม่มีหลักเกณฑ์ หากสกิดได้รับการจัดหาและให้บริการแยกต่างหาก ก็ควรรักษาขอบเขตของสกิดนั้นให้ระบุได้อย่างชัดเจน

การแบ่งเซกเมนต์ไม่ได้ทำให้ระบบปลอดภัยโดยตัวมันเอง ทราฟฟิกระหว่างโซนยังคงต้องมีกฎที่กำหนดไว้อย่างชัดเจน เส้นทางที่มีการตรวจสอบ และการบริหารจัดการที่ควบคุมได้ แนวทางปัจจุบันของ NIST สำหรับความปลอดภัยของเทคโนโลยีปฏิบัติการ เน้นสถาปัตยกรรมที่คำนึงถึงข้อกำหนดด้านประสิทธิภาพ ความน่าเชื่อถือ และความปลอดภัยของ OT ในทางปฏิบัติ หมายความว่าต้องออกแบบมาตรการรักษาความปลอดภัยให้สอดคล้องกับกระบวนการ แทนที่จะคัดลอกจากระบบ IT สำนักงานมาใช้โดยไม่พิจารณา

การแบ่งเซกเมนต์ที่มีประโยชน์ควรสอดคล้องกับผู้รับผิดชอบกระบวนการ และจำกัดพื้นที่ที่ได้รับผลกระทบจากข้อขัดข้องหรือการเปลี่ยนแปลงที่ไม่ได้รับอนุญาต

สร้างเส้นทางระหว่างโซนที่คาดการณ์ได้

คอนโทรลเลอร์ในเซกเมนต์ที่แยกจากกันยังคงต้องใช้ข้อมูลบางส่วนร่วมกัน การกำหนดเส้นทางจึงควรทำให้เส้นทางเหล่านั้นเกิดขึ้นโดยมีเจตนาชัดเจน หลีกเลี่ยงการสร้างเกตเวย์หลายจุดระหว่างโซนเดียวกันโดยไม่มีเอกสารกำกับ ยิ่งมีเส้นทางมาก การดักจับแพ็กเก็ต การควบคุมการเข้าถึง และการวิเคราะห์ข้อขัดข้องก็ยิ่งทำได้ยาก ใช้โครงสร้างพื้นฐานที่มีการจัดการ พร้อมการสำรองข้อมูลการกำหนดค่า การตั้งชื่อที่สอดคล้องกัน และกฎที่ชัดเจนว่าการกำหนดเส้นทางเกิดขึ้นที่ใด

ควรเลือกสวิตช์อุตสาหกรรมให้เหมาะกับสภาพแวดล้อมและงานวินิจฉัยที่คาดว่าจะต้องทำ ตัวนับข้อผิดพลาดของพอร์ต การค้นหาโทโพโลยี หน้าสัมผัสสัญญาณเตือน การซิงโครไนซ์เวลา การส่งออกการกำหนดค่า และการบันทึกเหตุการณ์ มักมีความสำคัญระหว่างเกิดข้อขัดข้องมากกว่าความเร็วการส่งต่อสูงสุดตามสเปก แค็ตตาล็อกการสื่อสารและเครือข่ายของ PLC ProTech แสดงตัวอย่างโมดูลและสวิตช์ที่มีการจัดการซึ่งมักใช้สร้างเส้นทางเหล่านี้

ระบบสำรองเองก็ต้องมีวัตถุประสงค์ที่กำหนดไว้อย่างชัดเจน วงแหวนสามารถป้องกันสายเคเบิลขาดเพียงจุดเดียวได้ แต่ก็อาจซ่อนลิงก์ที่เสียหายไว้หากไม่มีใครตรวจสอบสถานะวงแหวน ลิงก์อัปสตรีมแบบคู่สามารถเพิ่มความพร้อมใช้งานได้ แต่ต้องเข้าใจพฤติกรรมของการสวิตช์และการกำหนดเส้นทางเสียก่อน การออกแบบระบบสำรองทุกแบบควรมีขั้นตอนทดสอบสำหรับสายเคเบิลขาด การสูญเสียไฟเลี้ยงสวิตช์ การรีสตาร์ตคอนโทรลเลอร์ และการกู้คืนระบบ

ควบคุมการกำหนดที่อยู่และการตั้งค่า

แผนการกำหนดที่อยู่ต้องถือเป็นข้อมูลวิศวกรรมที่อยู่ภายใต้การควบคุม บันทึกชื่ออุปกรณ์ ที่อยู่ IP ซับเน็ต เกตเวย์ พอร์ตสวิตช์ รุ่นเฟิร์มแวร์ ผู้รับผิดชอบ และตำแหน่งตู้ ควรสำรองช่วงที่อยู่ไว้สำหรับโครงสร้างพื้นฐาน คอนโทรลเลอร์ ไดรฟ์ HMI รีโมต I/O และอุปกรณ์ชั่วคราวสำหรับการทดสอบเดินระบบ อย่าพึ่งพาความจำหรือสเปรดชีตที่มีเพียงคนเดียวเข้าถึงได้

ที่อยู่ซ้ำมักเกิดขึ้นหลังจากโหลดการกำหนดค่าเดิมลงในอุปกรณ์ทดแทน ป้องกันปัญหานี้โดยแนบระเบียนเครือข่ายที่ได้รับอนุมัติเข้ากับกระบวนการเปลี่ยนแปลง หลังการเปลี่ยนอุปกรณ์ ให้ตรวจสอบไม่ใช่เพียงการตอบสนองต่อ ping แต่รวมถึงตัวตนอุปกรณ์ ข้อมูลเพื่อนบ้าน การเชื่อมต่อที่ทำงานอยู่ และการวินิจฉัยของคอนโทรลเลอร์ด้วย การ ping สำเร็จพิสูจน์ได้เพียงเล็กน้อยเกี่ยวกับเส้นทางของแอปพลิเคชันที่ถูกต้อง

ออกแบบการวินิจฉัยก่อนเกิดข้อขัดข้อง

การแก้ไขปัญหาที่รวดเร็วที่สุดเริ่มต้นก่อนที่การผลิตจะหยุดชะงัก จัดทำค่าพื้นฐานในสภาวะปกติสำหรับข้อผิดพลาดของพอร์ตสวิตช์ การใช้งานแบนด์วิดท์ อัตรามัลติแคสต์ สถานะวงแหวน จำนวนการเชื่อมต่อของคอนโทรลเลอร์ และเวลาแฝงของเครือข่าย เก็บสำเนาสำรองการกำหนดค่าและบันทึกวันที่กู้คืนที่ตรวจสอบแล้วครั้งล่าสุด หากเป็นไปได้ ควรจัดเตรียมจุดเข้าถึงที่มีการตรวจสอบสำหรับดักจับแพ็กเก็ต เพื่อไม่ให้วิศวกรต้องนำสวิตช์มาต่อเพิ่มระหว่างระบบขัดข้อง

แบ็กโบนที่มีเอกสารกำกับช่วยให้แต่ละโซนควบคุมมีเส้นทางที่ทราบแน่ชัดและมีจุดที่สามารถสังเกตทราฟฟิกได้อย่างชัดเจน

ลำดับการตรวจสอบข้อขัดข้องอย่างเป็นระบบ

เริ่มจากอาการของกระบวนการและอุปกรณ์ที่ได้รับผลกระทบ ตรวจสอบแหล่งจ่ายไฟ สถานะลิงก์ และการเปลี่ยนแปลงล่าสุด เปรียบเทียบโทโพโลยีและตัวนับปัจจุบันกับค่าพื้นฐาน ทดสอบภายในพื้นที่ก่อนทดสอบข้ามเราเตอร์หรือไฟร์วอลล์ หากอุปกรณ์หลายตัวขัดข้องพร้อมกัน ให้ตรวจสอบสวิตช์ แหล่งจ่ายไฟ ลิงก์อัปสตรีม หรือการพึ่งพาการกำหนดเส้นทางที่มีร่วมกัน เก็บหลักฐานก่อนรีบูตอุปกรณ์ เพราะการรีสตาร์ตอาจล้างบันทึกที่มีประโยชน์ที่สุด

กำหนดความรับผิดชอบระหว่าง IT และ OT ให้ชัดเจน

IT และ OT ต้องมีสถาปัตยกรรมร่วมกัน แต่ใช้สมมติฐานด้านการปฏิบัติงานที่แตกต่างกัน ทีม IT มีความเชี่ยวชาญด้านการจัดการตัวตน การจัดการช่องโหว่ การบริหารไฟร์วอลล์ และการตรวจสอบระดับองค์กร ส่วนทีม OT เข้าใจเวลาในการสแกน ผลกระทบด้านความปลอดภัย ช่วงเวลาบำรุงรักษา การสนับสนุนจากผู้จำหน่าย และข้อจำกัดในการกู้คืน ควรกำหนดผู้รับผิดชอบสำหรับสวิตช์ ไฟร์วอลล์ เซิร์ฟเวอร์เวลา ระบบสำรองข้อมูล ใบรับรอง และบัญชีเข้าถึงระยะไกล

การควบคุมการเปลี่ยนแปลงคือจุดเชื่อมระหว่างทั้งสองฝ่าย กฎไฟร์วอลล์ การอัปเดตเฟิร์มแวร์ หรือการเปลี่ยนสวิตช์ อาจส่งผลกระทบต่อการผลิต แม้การเปลี่ยนแปลงนั้นจะเป็นงานประจำในพื้นที่อื่นก็ตาม กำหนดให้มีแผนย้อนกลับและขั้นตอนตรวจสอบการผลิต เก็บช่องทางเข้าถึงฉุกเฉินไว้ได้ แต่ต้องบันทึกและทบทวนการใช้งาน

วางแผนความจุโดยไม่ต้องคาดการณ์ทุกอย่าง

ไม่มีการออกแบบใดที่คาดการณ์เครื่องจักรใหม่ในอนาคตได้ทั้งหมด แต่สามารถรักษาทางเลือกไว้ได้ จัดเตรียมความจุของที่อยู่ที่มีเอกสารกำกับ พอร์ตสำรองบนสวิตช์ที่มีการจัดการ เส้นใยไฟเบอร์สำรองในจุดที่มีแนวโน้มขยายระบบ และพื้นที่ในตู้สำหรับโครงสร้างพื้นฐานใหม่ แยกทราฟฟิกควบคุมออกจากการวิเคราะห์ข้อมูลที่ใช้ข้อมูลจำนวนมาก เพื่อให้ฮิสทอเรียน กล้อง และระบบเอดจ์สามารถขยายตัวได้โดยไม่ใช้ขอบเขตความเสียหายเดียวกับ I/O ที่ต้องการความแน่นอนด้านเวลา

บทเรียนสำคัญนั้นตรงไปตรงมา: เครือข่ายอุตสาหกรรมที่ดีไม่ใช่เครือข่ายที่มีฟีเจอร์มากที่สุด แต่คือเครือข่ายที่พฤติกรรมยังคงอธิบายได้แม้ขยายระบบมานานหลายปี ขอบเขตที่ชัดเจน การกำหนดค่าที่กู้คืนได้ ค่าพื้นฐานที่ผ่านการวัด และความรับผิดชอบร่วมกัน จะเปลี่ยนอีเทอร์เน็ตจากสิ่งพึ่งพิงที่มองไม่เห็นให้กลายเป็นสินทรัพย์ของโรงงานที่ได้รับการออกแบบอย่างเป็นระบบ