CPwE: redes industriais convergentes

O problema das redes flat

Plantas industriais que cresceram organicamente costumam ter uma rede flat: tudo conectado em uma mesma camada L2, com pouca segmentação, ACLs frouxas e sem segregação clara entre controle, supervisão e informação. O sintoma típico é:

• Tráfego broadcast atravessando toda a planta
• Engenheiro consegue acessar PLC do escritório da fábrica
• Atualização de Windows derruba uma linha de produção
• Auditoria de seguro/compliance gera lista de não-conformidades

CPwE, Converged Plantwide Ethernet, é uma arquitetura de referência desenvolvida pela Rockwell e Cisco com contribuições do ecossistema industrial. CPwE não é norma: usa o modelo Purdue e implementa padrões de segmentação e defesa em profundidade que podem apoiar um projeto alinhado à IEC 62443.

As camadas, do chão de fábrica ao escritório

CPwE organiza a rede em zonas e camadas bem definidas:

• Cell/Area Zone, controle local: PLCs, IEDs, instrumentação, redundância de rede (anel DLR ou redes paralelas PRP)
• Industrial Zone, supervisão, historiação, MES, gestão de ativos
• IDMZ (Industrial DMZ), zona desmilitarizada que isola o ambiente industrial do corporativo
• Enterprise Zone, TI corporativa, ERP, e-mail, internet

Entre cada camada existem regras explícitas de quem pode falar com quem, em qual porta, com qual protocolo. Sem isso, defense in depth não passa de slogan.

Referência técnica pública

CPwE na prática: zonas industriais sem caminho direto para TI

DLR, PRP e a redundância que você pode pagar

Redundância de rede industrial vem em sabores:

• STP/RSTP, mecanismos padronizados de prevenção de loop e reconvergência. Podem ser adequados em trechos cuja tolerância à interrupção aceite seus tempos de recuperação; versão, configuração e topologia precisam ser medidas.
• DLR (Device Level Ring), redundância em anel L2, convergência em milissegundos nas topologias e quantidades de nós caracterizadas. É suportado por modelos compatíveis EtherNet/IP e costuma oferecer boa relação custo-benefício em anéis de controle.
• PRP (Parallel Redundancy Protocol), duas redes paralelas independentes. Equipamentos compatíveis enviam cópias pelos dois caminhos, o que pode manter a comunicação sem reconvergência diante de uma falha única coberta pelo projeto. Exige duas LANs realmente independentes e validação de capacidade e interoperabilidade; é uma opção, não requisito universal de processo crítico.

A escolha não é “qual é melhor”, é qual cabe no risco operacional do trecho específico da rede.

Cibersegurança vem desde o desenho

Aplicar IEC 62443 sobre uma rede já construída é caro e doloroso. Aplicar desde o início, em cima de uma arquitetura CPwE, é parte do projeto:

• Segmentação por VLAN com ACLs específicas por zona
• Port security em switches industriais (MAC sticky, BPDU guard)
• Storm control para evitar loops
• Autenticação centralizada via RADIUS/TACACS+ para acesso administrativo aos switches
• Logs centralizados em um SIEM/syslog para detecção de anomalias

Como migrar uma planta legada

Migração de rede em planta em produção pode ser feita por fases:

1. Diagnóstico documentado. Mapear topologia atual, tráfego real, dispositivos por VLAN, regras de firewall existentes.
2. Arquitetura alvo. Desenhar CPwE adaptado à planta, definir zonas, separar Cell/Area por área de processo.
3. Plano de cutover por área. Cada área é migrada em janela curta, com plano de rollback testado em laboratório/ambiente espelho.
4. Validação. Cada área migrada é monitorada por um período definido pelo ciclo operacional e pelos critérios de aceite antes da próxima fase, para capturar problemas que só aparecem em produção.
5. Hardening progressivo. Depois do cutover físico, aplicar port-security, ACLs e logs centralizados de forma incremental.

Não é projeto para improvisar. O cronograma depende do porte, das janelas e da documentação disponível. Os benefícios precisam ser demonstrados por redução de exposição, melhor diagnóstico, testes de recuperação e evidências de governança — sem prometer disponibilidade ou aprovação de auditoria.

---

Tem uma rede industrial que precisa de uma análise estruturada? Solicite um diagnóstico técnico.