Um CLP está instalado em uma máquina, painel ou unidade distante da equipe técnica. Surge uma necessidade de diagnóstico, verificação ou suporte, mas chegar fisicamente ao local exige deslocamento.
Uma arquitetura de acesso remoto a CLP pode permitir que uma equipe autorizada alcance esse controlador pela rede. Para isso, porém, não basta simplesmente conectar o painel à internet.
É necessário criar um caminho de comunicação entre o computador da equipe e a rede onde está o CLP, definir endereçamento, rotas, permissões e segurança e verificar se o próprio controlador e seu software de engenharia permitem o tipo de acesso desejado.
Em locais sem infraestrutura fixa de comunicação, a rede celular 4G pode fazer parte dessa arquitetura. Com um roteador industrial e uma VPN corretamente configurada, é possível estabelecer conectividade entre o ponto remoto e a infraestrutura utilizada pela equipe técnica.
Neste artigo, mostramos como funciona o acesso remoto a CLP via 4G e VPN, quais elementos precisam ser considerados e onde um roteador industrial como o UR32L pode entrar nessa arquitetura.
Neste conteúdo:
- O que significa acessar um CLP remotamente?
- Como funciona a arquitetura de acesso remoto?
- O que o CLP precisa ter?
- Qual é o papel da VPN?
- É necessário ter IP público ou fixo?
- Por que endereçamento e rotas são importantes?
- O software de programação sempre encontra o CLP?
- Como tratar a segurança do acesso remoto?
- O que considerar quando a comunicação utiliza 4G?
- O que pode ser feito remotamente?
- Onde o UR32L entra nessa arquitetura?
- Checklist antes de implementar
- Perguntas frequentes
O que significa ter acesso remoto a um CLP?
Quando a equipe acessa um CLP localmente, seu computador está conectado diretamente ao controlador ou à mesma infraestrutura de rede da instalação.
No acesso remoto, existe uma rede de comunicação entre esses dois pontos.
Esse tipo de arquitetura pode ser utilizado quando o controlador está instalado, por exemplo, em:
- máquinas localizadas em outras unidades;
- painéis de automação distantes da equipe técnica;
- estações de bombeamento;
- unidades de saneamento;
- casas de máquinas;
- equipamentos ou instalações distribuídas em campo.
Dependendo do controlador, do software utilizado e das permissões definidas, a conexão pode permitir atividades como consulta de estados, diagnóstico, acompanhamento online da lógica, transferência de arquivos de projeto ou programação.
Essas possibilidades não são iguais para todos os CLPs. O que pode ser realizado remotamente depende dos recursos do controlador, do software de engenharia e da arquitetura de comunicação utilizada.
Acesso remoto e monitoramento remoto cumprem funções diferentes
No acesso remoto, normalmente um usuário autorizado estabelece uma conexão para alcançar determinado equipamento ou rede quando existe necessidade de suporte, diagnóstico ou intervenção.
No monitoramento de processos e equipamentos industriais, a arquitetura é voltada ao acompanhamento contínuo de informações da operação, como variáveis, estados e alarmes.
As duas funções podem coexistir no mesmo projeto, mas uma não substitui automaticamente a outra.
Como funciona uma arquitetura de acesso remoto a CLP via 4G e VPN?
Para entender a arquitetura, é melhor observar separadamente o ponto remoto e o computador de quem realizará o acesso.
No painel ou unidade remota
Em uma aplicação com CLP conectado por Ethernet, o caminho pode ser representado de forma simplificada assim:
CLP → rede Ethernet local → roteador industrial → rede celular 4G → infraestrutura externa de comunicação/VPN
Na equipe técnica
Do outro lado, o computador autorizado também precisa alcançar a infraestrutura VPN:
computador da equipe técnica → internet → infraestrutura VPN
Quando a VPN, as rotas e as permissões estão corretamente configuradas, essa infraestrutura cria um caminho entre o computador autorizado e a rede remota onde está o controlador.
O CLP continua executando sua lógica localmente. O roteador não executa o programa do controlador nem assume a função de controle do processo.
O papel da infraestrutura de comunicação é permitir que os pontos autorizados consigam trocar dados pela rede. O que o software de engenharia poderá fazer depois dessa conexão depende do CLP e das ferramentas utilizadas.
O que o CLP precisa ter para permitir acesso remoto?
A primeira análise deve ser feita no próprio controlador.
Quando o CLP possui Ethernet e o fabricante permite acesso de engenharia por rede IP, ele pode integrar uma rede local conectada ao roteador industrial.
Ainda assim, é necessário conhecer os requisitos específicos daquele controlador, como endereçamento, portas de comunicação, protocolo utilizado pelo software de engenharia e eventuais configurações necessárias.
Exemplo com o CLP NEON 5
Um exemplo de controlador que pode participar desse tipo de arquitetura é o CLP NEON 5 da nossa parceira HI Tecnologia em uma configuração equipada com interface Ethernet.
O NEON 5 possui opções de conectividade Ethernet 10/100 Mbps e utiliza o HIstudio como ambiente de programação nas versões com firmware G5. O software permite programar, configurar e realizar inspeção online do controlador, além de estabelecer comunicação com equipamentos pela rede Ethernet.
Em uma instalação remota, o NEON 5 pode estar conectado à rede Ethernet local do painel, enquanto um roteador industrial como o UR32L fornece a conectividade externa e participa da infraestrutura VPN utilizada para alcançar essa rede.
Isso não elimina a necessidade de configurar corretamente endereçamento, rotas, portas de comunicação, VPN e regras de acesso. Também é necessário considerar a forma como o HIstudio estabelece a comunicação com o controlador na arquitetura utilizada.
E se o CLP não possuir Ethernet?
Nesse caso, a arquitetura precisa ser avaliada de acordo com a interface disponível e com a forma como o fabricante realiza a comunicação de programação.
Um conversor Serial/Ethernet pode ser adequado para determinadas aplicações de comunicação de dados, mas não é correto assumir que ele permitirá automaticamente programar remotamente qualquer CLP que possua uma porta serial.
O software de engenharia pode utilizar protocolos ou mecanismos específicos do fabricante que não são equivalentes a uma comunicação serial genérica.
Por isso, quando o controlador não possui Ethernet, é necessário verificar na documentação do equipamento quais formas de acesso e programação remota são suportadas antes de definir a solução.
Qual é o papel da VPN no acesso remoto a CLP?
A VPN permite criar um caminho lógico de comunicação entre redes ou dispositivos que estão fisicamente separados.
Em uma arquitetura de acesso remoto industrial, ela pode permitir que um computador autorizado alcance a rede onde estão o CLP, a IHM ou outros dispositivos previstos no projeto sem que esses equipamentos precisem ficar diretamente expostos à internet.
Dependendo da solução utilizada, o roteador remoto pode estabelecer uma conexão com um servidor ou plataforma VPN, enquanto o computador da equipe técnica também se conecta à mesma infraestrutura.
Depois disso, rotas e regras de acesso definem quais redes e dispositivos podem ser alcançados.
Entretanto, ter uma VPN disponível não resolve sozinho todos os requisitos de segurança.
A arquitetura também precisa considerar:
- quem pode acessar;
- quais redes e equipamentos ficam disponíveis;
- como os usuários são autenticados;
- quais serviços e portas podem ser utilizados;
- regras de firewall;
- segmentação de rede quando aplicável;
- gestão de credenciais;
- atualização dos equipamentos;
- procedimentos para autorizar, acompanhar e encerrar acessos.
A VPN, portanto, deve fazer parte de uma arquitetura de acesso remoto definida conforme os requisitos da instalação.
É necessário ter IP público ou IP fixo para acessar um CLP por 4G?
Não necessariamente.
Em redes celulares, o endereço recebido pelo roteador remoto pode não estar diretamente acessível pela internet. Isso significa que simplesmente conhecer o endereço da conexão 4G não garante que um computador externo conseguirá iniciar uma conexão diretamente com o painel.
Uma alternativa é utilizar uma arquitetura em que o próprio roteador remoto inicia a conexão VPN com um servidor ou plataforma acessível externamente.
Nesse cenário, o ponto remoto não precisa necessariamente receber um IP público fixo para que a comunicação seja estabelecida.
Isso não significa que a arquitetura deixa de precisar de uma infraestrutura alcançável. O servidor, serviço ou plataforma utilizada para estabelecer a VPN precisa estar disponível para os participantes da conexão.
Outros projetos podem utilizar IP público, APN específico ou uma infraestrutura VPN própria. A escolha depende da solução adotada e das condições oferecidas pela operadora.
A forma de acesso deve ser definida antes da implantação, e não apenas depois que o roteador já estiver instalado.
Por que endereçamento IP e rotas são importantes?
Criar uma VPN não significa automaticamente que o computador remoto sabe como chegar ao endereço do CLP.
Para que a comunicação funcione, as redes precisam possuir endereçamento e rotas coerentes entre os pontos envolvidos.
Um problema possível ocorre quando a rede do computador remoto e a rede instalada no painel utilizam a mesma faixa de endereços.
Nesse cenário, podem surgir conflitos porque o computador interpreta determinados endereços como pertencentes à sua própria rede local.
Por isso, uma arquitetura de acesso remoto precisa considerar:
- endereço IP do CLP;
- endereçamento da rede local do painel;
- máscara de rede;
- gateway quando necessário;
- faixas utilizadas pela VPN;
- rede utilizada pelo computador remoto;
- rotas entre as diferentes redes;
- possíveis conflitos de endereçamento.
Em soluções como o MilesightVPN, por exemplo, a própria configuração contempla a definição da sub-rede existente atrás do roteador para permitir o encaminhamento adequado da comunicação.
O software de programação sempre encontra o CLP pela VPN?
Não necessariamente.
Mesmo quando existe comunicação de rede entre o computador e o controlador, o comportamento do software de engenharia depende da forma como ele localiza e acessa o CLP.
Alguns ambientes de programação permitem configurar diretamente o endereço IP utilizado para comunicação com o controlador e também oferecem mecanismos de descoberta de equipamentos na rede local. O HIstudio, utilizado nos controladores HI Tecnologia com firmware G5, é um exemplo: o ambiente possui configuração de canais Ethernet e também uma ferramenta para procurar controladores na rede.
Esses dois mecanismos não devem ser confundidos. Uma função de descoberta que funciona na rede local pode depender de tráfego que não será encaminhado da mesma forma através de uma VPN roteada. Por isso, a possibilidade de alcançar o endereço IP do CLP e a possibilidade de encontrá-lo automaticamente pelo software precisam ser avaliadas separadamente.
Antes da implantação, valide o modelo do CLP, o software de engenharia e a forma de comunicação que será utilizada.
Como tratar a segurança no acesso remoto a um CLP?
O acesso remoto amplia os caminhos de comunicação disponíveis para a rede de automação. Por isso, a segurança precisa fazer parte da arquitetura desde o início.
Controladores e outros dispositivos de automação não devem ser expostos diretamente à internet apenas para facilitar o acesso técnico quando existe a possibilidade de utilizar uma arquitetura mais controlada.
Entre os pontos que precisam ser avaliados estão:
- VPN e os protocolos utilizados para estabelecer a comunicação;
- firewall e restrição dos serviços disponíveis;
- usuários e mecanismos de autenticação;
- permissões compatíveis com a função de cada pessoa;
- restrição do acesso apenas às redes e equipamentos necessários;
- segmentação da rede quando pertinente;
- atualização dos equipamentos envolvidos;
- controle sobre quem está autorizado a realizar intervenções remotas.
Também é importante diferenciar ter conectividade com o CLP de ter autorização para alterar a aplicação.
Uma conexão utilizada para diagnóstico não deve significar automaticamente que qualquer usuário pode modificar a lógica do processo.
Alterações remotas em sistemas em operação precisam seguir os procedimentos técnicos e de segurança definidos para a instalação.
O que considerar quando o acesso remoto ao CLP utiliza 4G?
A rede celular é uma alternativa importante para máquinas, painéis e unidades que não possuem infraestrutura fixa de comunicação.
Mas a disponibilidade e o comportamento do link dependem das condições existentes no local.
Antes da implantação, é importante avaliar:
- cobertura da operadora;
- intensidade e estabilidade do sinal no ponto de instalação;
- bandas celulares compatíveis com o equipamento e a rede disponível;
- posição e instalação da antena;
- plano de dados;
- forma de endereçamento disponibilizada pela operadora;
- latência e estabilidade observadas para a utilização pretendida.
Uma conexão celular também não deve ser tratada como se tivesse necessariamente o mesmo comportamento de uma rede Ethernet local.
Oscilações de sinal, latência e indisponibilidade temporária podem afetar a experiência de acesso. Atividades que exigem maior volume de transferência ou comunicação mais sensível às condições da rede devem considerar esse comportamento.
Se você ainda está definindo a infraestrutura de comunicação, veja também nosso guia para escolher um roteador industrial 4G.
O que o acesso remoto ao CLP pode permitir na prática?
As possibilidades dependem do controlador, do software utilizado e das permissões estabelecidas. Por isso, cada função precisa ser validada para a aplicação.
| Necessidade | O que precisa ser compatível |
|---|---|
| Acompanhar o CLP online | Software de engenharia, protocolo do controlador, conectividade de rede e permissões. |
| Realizar diagnóstico | Recursos disponíveis no controlador e no software, além do acesso à rede. |
| Transferir ou alterar o programa | Suporte do fabricante ao acesso de engenharia pela rede, permissões e procedimentos de intervenção. |
| Acessar uma IHM | Interface da IHM, recurso de acesso disponível, rotas e permissões configuradas. |
| Monitorar o processo continuamente | Exige uma arquitetura adequada de coleta, supervisão ou telemetria; o acesso pontual ao equipamento não substitui esse sistema. |
O roteador cria a infraestrutura de comunicação, mas não adiciona ao CLP funções que o próprio controlador ou seu software de engenharia não oferecem.
Onde o UR32L entra em uma arquitetura de acesso remoto a CLP?
O roteador industrial 4G UR32L da Milesight pode atuar como a camada de conectividade entre a rede Ethernet instalada no ponto remoto e a infraestrutura utilizada para realizar o acesso.
O equipamento reúne conectividade celular 4G, duas portas Ethernet, diferentes tecnologias de VPN e recursos de firewall e controle de acesso.
O UR32L também é compatível com o MilesightVPN, solução da fabricante voltada ao acesso remoto a dispositivos conectados atrás dos roteadores Milesight.
A própria Milesight apresenta CLPs e IHMs entre os dispositivos que podem participar dessa arquitetura e cita troubleshooting e programação de CLPs entre as aplicações da plataforma.
Isso, porém, não significa que a instalação do UR32L torna qualquer CLP automaticamente programável à distância.
Para que o acesso funcione conforme esperado, ainda é necessário verificar:
- interface e recursos de comunicação do CLP;
- compatibilidade do software de engenharia com o acesso pela rede;
- endereçamento das redes;
- rotas necessárias;
- regras de firewall e permissões;
- arquitetura da VPN;
- condições da rede celular no ponto remoto.
O UR32L fornece recursos para construir o caminho de comunicação. A arquitetura completa define se e como o controlador poderá ser acessado.
Para conhecer as características do equipamento, consulte as especificações do roteador industrial 4G UR32L.
Checklist antes de implementar acesso remoto a CLP
| Pergunta | O que verificar |
|---|---|
| Qual equipamento precisa ser acessado? | CLP, IHM ou outro dispositivo e suas interfaces disponíveis. |
| O CLP permite acesso de engenharia por rede IP? | Interface, protocolo e requisitos definidos pelo fabricante. |
| Qual software será utilizado? | Forma de conexão, portas necessárias e possibilidade de acesso por endereço IP. |
| Existem conflitos entre as redes? | Sub-redes, máscaras, gateways e faixas utilizadas em cada local. |
| Como a VPN será estabelecida? | Servidor ou plataforma, clientes, rotas, autenticação e infraestrutura necessária. |
| Existe cobertura 4G adequada? | Operadora, sinal, antena e comportamento da conexão no local. |
| Quem poderá acessar? | Usuários, autenticação, permissões e regras de firewall. |
| O que poderá ser feito remotamente? | Diagnóstico, acompanhamento, programação ou outras funções autorizadas e suportadas pelo equipamento. |
Esse levantamento ajuda a evitar que o roteador seja tratado como a única peça necessária para resolver uma aplicação que depende também do controlador, da rede e do software utilizado.
Perguntas frequentes sobre acesso remoto a CLP
É possível acessar um CLP remotamente pela rede 4G?
Sim, desde que exista uma arquitetura que forneça conectividade entre a rede onde está o controlador e o usuário autorizado e que o CLP e seu software sejam compatíveis com esse tipo de acesso. O 4G funciona como um dos meios possíveis para estabelecer a comunicação.
Preciso deixar o CLP exposto diretamente à internet?
Não. Uma arquitetura com VPN, firewall, autenticação e restrição das redes e serviços acessíveis permite estabelecer o acesso de forma mais controlada. Os requisitos de segurança devem ser definidos conforme a instalação.
Preciso de IP público fixo no roteador 4G?
Não necessariamente. Em arquiteturas nas quais o roteador remoto inicia uma conexão VPN para um servidor ou plataforma acessível externamente, o ponto remoto pode não precisar de um IP público fixo. A necessidade depende da arquitetura escolhida e das condições disponibilizadas pela operadora.
Qualquer CLP com Ethernet pode ser programado remotamente?
Não é possível afirmar isso de forma geral. Além da interface Ethernet, é necessário verificar se o controlador e seu software de engenharia suportam o acesso através da rede utilizada e quais protocolos, portas e configurações são necessários.
Posso acessar uma IHM pela mesma infraestrutura?
Pode ser possível quando a IHM está conectada a uma rede alcançável pela VPN e possui recursos compatíveis com o tipo de acesso pretendido. O funcionamento depende do equipamento, da arquitetura e das permissões configuradas.
Acesso remoto a CLP é o mesmo que telemetria?
Não. O acesso remoto permite que um usuário autorizado alcance determinado equipamento ou rede quando necessário. A telemetria utiliza uma arquitetura voltada à coleta e transmissão de informações da operação para acompanhamento remoto.
Se o CLP possui apenas porta serial, basta instalar um conversor Serial/Ethernet?
Não necessariamente. Um conversor pode atender determinadas comunicações de dados, mas não garante compatibilidade com o protocolo ou mecanismo utilizado pelo software de programação do controlador. A forma de acesso suportada pelo fabricante precisa ser verificada.
Precisa estruturar o acesso remoto de um CLP ou painel?
Uma arquitetura de acesso remoto envolve controlador, rede, roteador, VPN, endereçamento e regras de segurança.
A TBC Automação atua com automação, programação de CLPs e IHMs, integração de sistemas e comunicação remota, além de fornecer equipamentos para compor essas arquiteturas.
Se a sua aplicação precisa permitir acesso a um CLP, IHM, máquina ou painel remoto, entre em contato para avaliar os requisitos técnicos e a infraestrutura necessária para o projeto.
