Construindo uma Ponte de Dados de Fábrica para Escritório em uma Planta Industrial
Um estudo de caso detalha como a InfoSystems Jet superou desafios técnicos e de segurança para integrar dados de um sistema de controle industrial isolado (Delta V) à rede corporativa, criando dashboards e relatórios em tempo real.
MundiX News·06 de julho de 2026·7 min de leitura·👁 1 views
Olá a todos! Meu nome é Andrey Belyaev, sou arquiteto de negócios na InfoSystems Jet.
Como disse Tyrion Lannister no último episódio de "Game of Thrones", nada no mundo é mais forte do que uma boa história. Especialmente quando uma tarefa comum de coleta de métricas na produção precisava ser resolvida, e ninguém esperava por uma história. Como resultado, criamos uma arquitetura de solução, a reinventamos, lutamos contra um sistema industrial fechado e construímos uma "ponte" de dados de um chão de fábrica isolado para a rede corporativa.
Como isso aconteceu e o que conseguimos, contarei abaixo.
Qual era o problema?
Nosso cliente é uma grande planta de produção com várias instalações em todo o país. Trabalhamos no projeto em uma unidade em Podmoskovye – o processo de produção em três linhas tecnológicas é gerenciado pelo sistema de controle de processos (ACS TP) Delta V da Emerson.
Com base na experiência em dezenas de instalações industriais, os produtos Emerson são soluções conservadoras, mas confiáveis, que podem funcionar por décadas sem falhas. Na infraestrutura do cliente, por exemplo, o Delta V funciona com sucesso há mais de 15 anos. Portanto, ninguém sequer pensou em substituir completamente o sistema.
Primeiro, "se funciona, não mexa" é caro. Não faz sentido investir recursos colossais na substituição do que já funciona perfeitamente. Segundo, tal intervenção quebraria o processo de produção estabelecido. E não é garantido que uma nova solução funcione tão estável e previsível quanto o Delta V, há muito estabelecido.
Mas havia uma nuance: na infraestrutura do cliente, o sistema operava em uma rede tecnológica isolada e não enviava dados para lugar nenhum. Nenhuma integração, apenas hardcore: você vai até o chão de fábrica e faz um download da estação operadora local.
Para obter um relatório sobre os resultados do trabalho por turno, os tecnólogos tinham que descer até o chão de fábrica. Lá, eles baixavam dados das estações operadoras no formato Excel, voltavam para o escritório e transferiam manualmente os números das tabelas para o sistema de contabilidade corporativa baseado em 1C.
Como resultado, uma desvantagem do Delta V leva a vários problemas e riscos para todo o negócio:
As informações atuais estão sempre um pouco atrasadas. Os gerentes são forçados a se orientar pela imagem no final do turno anterior.
A confiabilidade dos dados depende muito do fator humano. É fácil cometer um erro de digitação ou confundir números ao transferi-los manualmente do Excel no final do dia de trabalho.
Os tecnólogos gastam tempo entregando dados de um sistema para outro. Mesmo meia hora por dia já são várias horas por semana para cada funcionário, que poderiam ser gastas em outras tarefas de produção.
Assim, surgiu o plano: abrir com segurança uma janela da rede tecnológica isolada para a rede corporativa, extrair mais de 3000 tags, criar 43 dashboards interativos com base nelas, configurar 17 relatórios regulares e integrar tudo isso com o 1C.
O que queríamos fazer ou como chegamos a um beco sem saída
Inicialmente, pensamos que poderíamos nos contentar com mudanças mínimas na arquitetura. As estações de integração do Delta V do cliente rodavam em sistemas operacionais da família Windows.
Próximos passos lógicos:
Usar software russo comprovado para consultar dispositivos e converter dados do padrão OPC DA para OPC UA (escolhemos MasterOPC MultiProtocol).
Instalá-lo nos servidores ACS TP e coletar as tags necessárias usando um protocolo industrial seguro.
Enviar as tags para o banco de dados.
A arquitetura se tornou compacta, sem servidores extras e roteamento complexo. Mas não levamos em conta as peculiaridades da plataforma Emerson, e pela lei de Murphy, tudo o que poderia dar errado, deu errado.
Os problemas começaram quando começamos a testar a solução e tentamos instalar o MasterOPC em uma estação de teste Delta V. Descobrimos que qualquer programa de terceiros instalado sobre o sistema Emerson bloqueia completamente a funcionalidade dos comunicadores padrão do Delta V. A plataforma começou a conflitar consigo mesma e parou de consultar os controladores de nível inferior.
Em resumo, com a opção de "simplesmente instalar o software no servidor ACS TP", arriscamos parar toda a produção. Também desistimos de tentar resolver o problema no Delta V; mexer em um sistema industrial que funciona sem falhas há anos é uma má ideia.
Como resolvemos a coleta de 3000 tags no final
Tivemos que mudar a abordagem em andamento e criar uma camada intermediária.
Para isso, implantamos servidores hub separados, para os quais alocamos servidores rodando no sistema operacional Windows. Nesses nós, instalamos apenas o sistema operacional básico e o conversor MasterOPC.
Historicamente, toda a comunicação dentro da rede Delta V ocorria pelo protocolo OPC DA (Data Access). Esta é uma tecnologia desatualizada que está rigidamente ligada ao stack de tecnologias Microsoft (DCOM).
Isso não nos agradou: OPC DA é um protocolo de troca de dados vulnerável. Ele é transmitido em texto claro e requer configuração DCOM complexa, o que afeta diretamente a segurança da informação.
Portanto, o esquema resultante foi o seguinte:
Hubs dedicados são fisicamente conectados ao segmento tecnológico da rede.
Eles consultam os servidores DeltaV pelo antigo protocolo OPC DA e coletam as 3000 tags.
O MasterOPC converte o fluxo em tempo real para o protocolo industrial moderno, seguro e roteável OPC UA (Unified Architecture).
Os dados são enviados com segurança em formato criptografado para o próximo nível da arquitetura.
Zona Desmilitarizada e Ponte para a Rede Corporativa
Os dados tecnológicos coletados no formato OPC UA precisavam agora ser transmitidos com segurança para a rede corporativa da empresa.
No entanto, o segmento tecnológico da rede na produção é física e logicamente isolado do contorno corporativo. O roteamento direto de tráfego entre essas redes é estritamente proibido pelos regulamentos de segurança da informação.
Para resolver essa tarefa arquitetônica, projetamos uma zona desmilitarizada (DMZ). Dentro da DMZ, implantamos um servidor intermediário de coleta de dados e o isolamos de ambos os lados com firewalls.
O servidor na DMZ funciona como um nó proxy seguro. Ele recebe o fluxo de dados dos hubs e o transmite através de um segundo cascade de firewalls para o servidor de aplicativos na rede corporativa. Essa arquitetura permite a transferência de dados do segmento tecnológico da rede e mantém a separação física e lógica entre o chão de fábrica e o escritório.
A arquitetura completa pode ser vista no diagrama. Falarei sobre o processamento de dados no Tibbo AggreGate e a integração com o 1C no próximo capítulo.
Como construímos o processamento de dados na rede corporativa
O servidor de coleta de dados na zona desmilitarizada transfere as tags tecnológicas para o servidor de aplicativos. A plataforma AggreGate é responsável pelo armazenamento, processamento e visualização.
As tarefas da plataforma podem ser divididas em três grandes grupos:
Monitoramento Tecnológico: O AggreGate ajuda a monitorar os parâmetros do processo tecnológico e a controlar o cumprimento dos regulamentos (com notificação se forem violados). Além disso, a plataforma gera automaticamente relatórios operacionais sob demanda do usuário.
Controle de Estado do Equipamento: O sistema rastreia o "tempo de atividade" do equipamento e registra seu estado atual com base em seus sinais de operação. Ajuda a detectar anomalias a tempo e a realizar a manutenção antes que uma anomalia se torne uma falha crítica e uma parada na produção.
Monitoramento e Controle de Processos de Produção: A plataforma monitora em tempo real os indicadores de produção, consumo de matérias-primas e recursos energéticos nas unidades de produção, e exibe os resultados em um dashboard. É possível ver, por exemplo, o consumo de recursos energéticos por tonelada de produto acabado ou o volume de produção de matérias-primas por turno.
Além disso, o AggreGate gera relatórios de despacho, balanços operacionais e transfere dados para o sistema de contabilidade corporativa.
A plataforma processa todas as 3000 tags e, com base nelas, cria dashboards visuais – configuramos 43 telas interativas para monitoramento em tempo real e 17 relatórios analíticos regulares.
Resolvemos o problema de download manual de dados e de ir até as estações operadoras do Delta V – agora tudo pode ser visto no laptop de trabalho. Além disso, se for necessária análise operacional, não é mais preciso baixar nada manualmente.
Também lidamos com o fator humano – o AggreGate transfere automaticamente os relatórios para o 1C. Agora os funcionários não trabalham como "mensageiros" entre os sistemas. Quando o turno termina, o tecnólogo na interface web do AggreGate abre o resumo gerado para as horas de trabalho anteriores. Se os números de controle coincidirem, ele clica no botão "Enviar para 1C". Os dados via API vão para o 1C e são automaticamente distribuídos pelos registros contábeis.
O que aprendemos e o que faremos a seguir
O cliente tem outra grande unidade de produção, e agora estamos desenvolvendo a arquitetura para replicar a solução.
Os planos incluem escalar a plataforma para a segunda unidade, construir um sistema semelhante e seguro de coleta de métricas através da DMZ e unificar os fluxos de informação de ambas as redes. Isso permitirá a criação de um centro de despacho corporativo unificado, onde a gerência poderá monitorar o andamento dos processos tecnológicos em tempo real, comparar a eficiência das linhas e gerenciar os recursos de ambas as unidades.
Atualmente, estamos aprimorando a solução já implementada: corrigindo pequenos bugs, adaptando os dashboards às necessidades dos usuários e eliminando as arestas da integração. Tudo isso ajudará a reduzir o time-to-market do projeto na segunda produção.
Por fim, algumas dicas com base em nossa experiência:
Não tente instalar software de terceiros para coleta de dados sobre sistemas ACS TP proprietários antigos como o DeltaV. Procure contornar os problemas para não "derrubar" a produção com experimentos.
Se você estiver trabalhando em um projeto com requisitos rigorosos de proteção de infraestrutura de informação crítica (KII), não use o protocolo OPC DA para transferir dados fora do contorno tecnológico fechado. Para qualquer roteamento e transmissão segura, converta-o para o moderno OPC UA o mais próximo possível da fonte de dados.
Não economize em segurança da informação. EDR, soluções de backup e ferramentas de controle de segurança em estações de trabalho e servidores são uma necessidade. Firewalls também.
Obrigado por ler o artigo. E se você já teve falhas no Delta V ao instalar software de terceiros sobre ele e conseguiu resolvê-las, escreva nos comentários como você fez isso.
🛡️⚡
Pare de pesquisar. Comece a hackear.
O MundiX é seu copiloto de pentest com IA: comandos exatos, análise de outputs e próximo passo na kill chain — em segundos.
Sem cartão para começar · Planos a partir de R$49/mês
Olá a todos! Meu nome é Andrey Belyaev, sou arquiteto de negócios na InfoSystems Jet.
Como disse Tyrion Lannister no último episódio de "Game of Thrones", nada no mundo é mais forte do que uma boa história. Especialmente quando uma tarefa comum de coleta de métricas na produção precisava ser resolvida, e ninguém esperava por uma história. Como resultado, criamos uma arquitetura de solução, a reinventamos, lutamos contra um sistema industrial fechado e construímos uma "ponte" de dados de um chão de fábrica isolado para a rede corporativa.
Como isso aconteceu e o que conseguimos, contarei abaixo.
Qual era o problema?
Nosso cliente é uma grande planta de produção com várias instalações em todo o país. Trabalhamos no projeto em uma unidade em Podmoskovye – o processo de produção em três linhas tecnológicas é gerenciado pelo sistema de controle de processos (ACS TP) Delta V da Emerson.
Com base na experiência em dezenas de instalações industriais, os produtos Emerson são soluções conservadoras, mas confiáveis, que podem funcionar por décadas sem falhas. Na infraestrutura do cliente, por exemplo, o Delta V funciona com sucesso há mais de 15 anos. Portanto, ninguém sequer pensou em substituir completamente o sistema.
Primeiro, "se funciona, não mexa" é caro. Não faz sentido investir recursos colossais na substituição do que já funciona perfeitamente. Segundo, tal intervenção quebraria o processo de produção estabelecido. E não é garantido que uma nova solução funcione tão estável e previsível quanto o Delta V, há muito estabelecido.
Mas havia uma nuance: na infraestrutura do cliente, o sistema operava em uma rede tecnológica isolada e não enviava dados para lugar nenhum. Nenhuma integração, apenas hardcore: você vai até o chão de fábrica e faz um download da estação operadora local.
Para obter um relatório sobre os resultados do trabalho por turno, os tecnólogos tinham que descer até o chão de fábrica. Lá, eles baixavam dados das estações operadoras no formato Excel, voltavam para o escritório e transferiam manualmente os números das tabelas para o sistema de contabilidade corporativa baseado em 1C.
Como resultado, uma desvantagem do Delta V leva a vários problemas e riscos para todo o negócio:
As informações atuais estão sempre um pouco atrasadas. Os gerentes são forçados a se orientar pela imagem no final do turno anterior.
A confiabilidade dos dados depende muito do fator humano. É fácil cometer um erro de digitação ou confundir números ao transferi-los manualmente do Excel no final do dia de trabalho.
Os tecnólogos gastam tempo entregando dados de um sistema para outro. Mesmo meia hora por dia já são várias horas por semana para cada funcionário, que poderiam ser gastas em outras tarefas de produção.
Assim, surgiu o plano: abrir com segurança uma janela da rede tecnológica isolada para a rede corporativa, extrair mais de 3000 tags, criar 43 dashboards interativos com base nelas, configurar 17 relatórios regulares e integrar tudo isso com o 1C.
O que queríamos fazer ou como chegamos a um beco sem saída
Inicialmente, pensamos que poderíamos nos contentar com mudanças mínimas na arquitetura. As estações de integração do Delta V do cliente rodavam em sistemas operacionais da família Windows.
Próximos passos lógicos:
Usar software russo comprovado para consultar dispositivos e converter dados do padrão OPC DA para OPC UA (escolhemos MasterOPC MultiProtocol).
Instalá-lo nos servidores ACS TP e coletar as tags necessárias usando um protocolo industrial seguro.
Enviar as tags para o banco de dados.
A arquitetura se tornou compacta, sem servidores extras e roteamento complexo. Mas não levamos em conta as peculiaridades da plataforma Emerson, e pela lei de Murphy, tudo o que poderia dar errado, deu errado.
Os problemas começaram quando começamos a testar a solução e tentamos instalar o MasterOPC em uma estação de teste Delta V. Descobrimos que qualquer programa de terceiros instalado sobre o sistema Emerson bloqueia completamente a funcionalidade dos comunicadores padrão do Delta V. A plataforma começou a conflitar consigo mesma e parou de consultar os controladores de nível inferior.
Em resumo, com a opção de "simplesmente instalar o software no servidor ACS TP", arriscamos parar toda a produção. Também desistimos de tentar resolver o problema no Delta V; mexer em um sistema industrial que funciona sem falhas há anos é uma má ideia.
Como resolvemos a coleta de 3000 tags no final
Tivemos que mudar a abordagem em andamento e criar uma camada intermediária.
Para isso, implantamos servidores hub separados, para os quais alocamos servidores rodando no sistema operacional Windows. Nesses nós, instalamos apenas o sistema operacional básico e o conversor MasterOPC.
Historicamente, toda a comunicação dentro da rede Delta V ocorria pelo protocolo OPC DA (Data Access). Esta é uma tecnologia desatualizada que está rigidamente ligada ao stack de tecnologias Microsoft (DCOM).
Isso não nos agradou: OPC DA é um protocolo de troca de dados vulnerável. Ele é transmitido em texto claro e requer configuração DCOM complexa, o que afeta diretamente a segurança da informação.
Portanto, o esquema resultante foi o seguinte:
Hubs dedicados são fisicamente conectados ao segmento tecnológico da rede.
Eles consultam os servidores DeltaV pelo antigo protocolo OPC DA e coletam as 3000 tags.
O MasterOPC converte o fluxo em tempo real para o protocolo industrial moderno, seguro e roteável OPC UA (Unified Architecture).
Os dados são enviados com segurança em formato criptografado para o próximo nível da arquitetura.
Zona Desmilitarizada e Ponte para a Rede Corporativa
Os dados tecnológicos coletados no formato OPC UA precisavam agora ser transmitidos com segurança para a rede corporativa da empresa.
No entanto, o segmento tecnológico da rede na produção é física e logicamente isolado do contorno corporativo. O roteamento direto de tráfego entre essas redes é estritamente proibido pelos regulamentos de segurança da informação.
Para resolver essa tarefa arquitetônica, projetamos uma zona desmilitarizada (DMZ). Dentro da DMZ, implantamos um servidor intermediário de coleta de dados e o isolamos de ambos os lados com firewalls.
O servidor na DMZ funciona como um nó proxy seguro. Ele recebe o fluxo de dados dos hubs e o transmite através de um segundo cascade de firewalls para o servidor de aplicativos na rede corporativa. Essa arquitetura permite a transferência de dados do segmento tecnológico da rede e mantém a separação física e lógica entre o chão de fábrica e o escritório.
A arquitetura completa pode ser vista no diagrama. Falarei sobre o processamento de dados no Tibbo AggreGate e a integração com o 1C no próximo capítulo.
Como construímos o processamento de dados na rede corporativa
O servidor de coleta de dados na zona desmilitarizada transfere as tags tecnológicas para o servidor de aplicativos. A plataforma AggreGate é responsável pelo armazenamento, processamento e visualização.
As tarefas da plataforma podem ser divididas em três grandes grupos:
Monitoramento Tecnológico: O AggreGate ajuda a monitorar os parâmetros do processo tecnológico e a controlar o cumprimento dos regulamentos (com notificação se forem violados). Além disso, a plataforma gera automaticamente relatórios operacionais sob demanda do usuário.
Controle de Estado do Equipamento: O sistema rastreia o "tempo de atividade" do equipamento e registra seu estado atual com base em seus sinais de operação. Ajuda a detectar anomalias a tempo e a realizar a manutenção antes que uma anomalia se torne uma falha crítica e uma parada na produção.
Monitoramento e Controle de Processos de Produção: A plataforma monitora em tempo real os indicadores de produção, consumo de matérias-primas e recursos energéticos nas unidades de produção, e exibe os resultados em um dashboard. É possível ver, por exemplo, o consumo de recursos energéticos por tonelada de produto acabado ou o volume de produção de matérias-primas por turno.
Além disso, o AggreGate gera relatórios de despacho, balanços operacionais e transfere dados para o sistema de contabilidade corporativa.
A plataforma processa todas as 3000 tags e, com base nelas, cria dashboards visuais – configuramos 43 telas interativas para monitoramento em tempo real e 17 relatórios analíticos regulares.
Resolvemos o problema de download manual de dados e de ir até as estações operadoras do Delta V – agora tudo pode ser visto no laptop de trabalho. Além disso, se for necessária análise operacional, não é mais preciso baixar nada manualmente.
Também lidamos com o fator humano – o AggreGate transfere automaticamente os relatórios para o 1C. Agora os funcionários não trabalham como "mensageiros" entre os sistemas. Quando o turno termina, o tecnólogo na interface web do AggreGate abre o resumo gerado para as horas de trabalho anteriores. Se os números de controle coincidirem, ele clica no botão "Enviar para 1C". Os dados via API vão para o 1C e são automaticamente distribuídos pelos registros contábeis.
O que aprendemos e o que faremos a seguir
O cliente tem outra grande unidade de produção, e agora estamos desenvolvendo a arquitetura para replicar a solução.
Os planos incluem escalar a plataforma para a segunda unidade, construir um sistema semelhante e seguro de coleta de métricas através da DMZ e unificar os fluxos de informação de ambas as redes. Isso permitirá a criação de um centro de despacho corporativo unificado, onde a gerência poderá monitorar o andamento dos processos tecnológicos em tempo real, comparar a eficiência das linhas e gerenciar os recursos de ambas as unidades.
Atualmente, estamos aprimorando a solução já implementada: corrigindo pequenos bugs, adaptando os dashboards às necessidades dos usuários e eliminando as arestas da integração. Tudo isso ajudará a reduzir o time-to-market do projeto na segunda produção.
Por fim, algumas dicas com base em nossa experiência:
Não tente instalar software de terceiros para coleta de dados sobre sistemas ACS TP proprietários antigos como o DeltaV. Procure contornar os problemas para não "derrubar" a produção com experimentos.
Se você estiver trabalhando em um projeto com requisitos rigorosos de proteção de infraestrutura de informação crítica (KII), não use o protocolo OPC DA para transferir dados fora do contorno tecnológico fechado. Para qualquer roteamento e transmissão segura, converta-o para o moderno OPC UA o mais próximo possível da fonte de dados.
Não economize em segurança da informação. EDR, soluções de backup e ferramentas de controle de segurança em estações de trabalho e servidores são uma necessidade. Firewalls também.
Obrigado por ler o artigo. E se você já teve falhas no Delta V ao instalar software de terceiros sobre ele e conseguiu resolvê-las, escreva nos comentários como você fez isso.
📤 Compartilhar & Baixar
🧰 Ferramentas recomendadas
Divulgação: alguns links são patrocinados. Podemos receber comissão se você comprar — sem custo extra para você. Só indicamos o que faz sentido para a comunidade.
