Acesso remoto a equipamento Modbus

O que mudou no atendimento#

A engenharia da Frigocenter chega ao equipamento de refrigeração sem sair da mesa e sem pedir liberação ao time de TI do site. Um gateway desenvolvido pela Migra fica instalado no painel, conversa com os equipamentos no protocolo que eles já falam e mantém um túnel cifrado aberto de dentro da planta para fora. A rede que hospeda o equipamento continua sem nenhuma regra de entrada, e cada acesso sai de um usuário identificado.

Quem é a Frigocenter#

A Frigocenter projeta, instala e mantém sistemas de refrigeração industrial e comercial desde 1986. Fica em Ribeirão Pires, São Paulo, e atende a cadeia do frio da indústria alimentícia: frigoríficos, laticínios, bebidas, congelados, distribuição e varejo.

Gestão remota faz parte do portfólio de serviços dela, ao lado de manutenção e treinamento. Isso coloca a engenharia diante de um problema recorrente: alcançar equipamento que fala protocolo industrial, instalado longe de quem precisa diagnosticar. A Migra desenvolve o gateway deste case e também a plataforma Airon, o monitoramento em nuvem das instalações de refrigeração que a Frigocenter oferece aos clientes dela. O mesmo protocolo aparece por outro ângulo no case da base de conhecimento técnico no Teams.

O que acontece quando ninguém lê o equipamento à distância#

O chamado entra com o sintoma que o cliente consegue descrever: a câmara não segura temperatura, o equipamento desarmou de madrugada, o alarme repetiu três vezes na semana. O que decide o atendimento não está nessa descrição. Está no parâmetro de operação registrado no equipamento: a leitura de pressão, o código de falha guardado no controlador, o ajuste que alguém mexeu na última intervenção.

Sem caminho remoto, esse dado só existe na frente do painel. Quem decide o atendimento decide sem ele, e a decisão possível é sempre a mesma: mandar alguém.

A primeira visita vira diagnóstico. O técnico dirige até a planta, abre o painel, lê o valor e descobre que o conserto exige uma peça que ele não levou. O reparo fica para a segunda visita. O custo aparece em horas de técnico, quilometragem e uma vaga de agenda que saiu do atendimento de outro cliente. O SLA corre desde o primeiro contato, e o equipamento do cliente atravessa parado o intervalo entre as duas viagens.

Existe ainda o chamado que a leitura remota resolveria sozinha, e proporcionalmente é o mais caro: um parâmetro fora de faixa, um ajuste que se corrige à distância, um alarme que se explica em dois minutos de consulta. Sem acesso, ele consome um deslocamento inteiro para entregar uma resposta que cabia numa tela.

As saídas que a operação tenta antes#

Pedir a alguém do site para ler o parâmetro por telefone. Depende de haver na planta alguém com acesso ao painel, disponível na hora e capaz de achar o valor certo em um controlador que ele não opera. O dado chega transcrito por quem não sabe o que está lendo, e um dígito trocado manda o diagnóstico para o lado errado.

Agendar uma visita só para diagnosticar. Resolve a informação e cobra o deslocamento inteiro por ela. A agenda do técnico é o recurso escasso da operação, e gastar uma vaga para produzir dado, sem executar reparo, empurra outros chamados para a semana seguinte.

Esperar a próxima preventiva. O chamado para de consumir agenda e o problema segue rodando. O equipamento opera fora de faixa até a data marcada, o que costuma transformar uma correção pequena em uma parada maior.

Pedir acesso à TI responsável pela rede onde o equipamento está. É a saída mais próxima do que a engenharia precisa, e a que menos depende da Frigocenter. Cada acesso vira uma conversa com outra empresa: explicar o que seria acessado, justificar, esperar uma janela. A agenda de quem sabe resolver fica presa na agenda de quem controla o firewall, e a janela que não vem devolve o chamado para o deslocamento.

Por que abrir porta no firewall não resolve#

O atalho técnico seria uma regra de encaminhamento no roteador apontando para o equipamento. Isso o coloca na internet pública, e é assim que a maior parte dos ativos industriais expostos chega lá.

O protocolo não protege ninguém. O Modbus foi publicado em 1979 para barramento serial, e a especificação de aplicação não define autenticação, cifragem nem verificação de integridade. O isolamento da rede era o controle de segurança. Um equipamento Modbus atende qualquer endereço que consiga alcançá-lo, sem usuário e sem senha. Buscadores de dispositivo indexam host exposto, e a CISA publica um guia sobre reduzir essa superfície.

Existe o lado normativo. A IEC 62443-3-3, no requisito SR 1.13, pede que o sistema de controle seja capaz de monitorar e controlar todos os métodos de acesso vindos de redes não confiáveis. Uma porta encaminhada apenas repassa tráfego, sem monitorar e sem controlar. Quando a TI de um site recusa esse pedido, a recusa está certa, e insistir nela custa relacionamento com o cliente.

Como o acesso funciona#

flowchart TB
  subgraph PLANTA["Na planta"]
    EQ["Equipamento de refrigeração"]
    GW["Gateway no painel"]
    EQ -->|"protocolo que já roda no equipamento"| GW
  end
  GW -->|"conexão iniciada de dentro"| TU["Túnel VPN"]
  subgraph FRIGO["Na engenharia da Frigocenter"]
    ENG["Engenheiro, acesso identificado"]
  end
  TU --> ENG

Cada peça do desenho responde a uma das saídas que falhavam.

O gateway entra no painel e passa a falar com os equipamentos que já estão lá, no protocolo deles. Isso tira a dependência de alguém no site: o parâmetro chega direto do equipamento, sem transcrição por telefone.

O túnel é aberto de dentro da planta para fora. A rede que hospeda o equipamento dispensa regra de entrada, então o acesso deixa de depender de uma janela negociada com a TI de outra empresa, e a engenharia para de pedir aquilo que um time de segurança tem razão em recusar.

Do outro lado, o engenheiro trabalha como se estivesse na frente do painel. O chamado que se resolve por leitura passa a se resolver por leitura, e a visita que precisa acontecer sai com o diagnóstico pronto e a peça certa na van. O acesso tem nome, e o que foi feito no gateway fica registrado, o que permite responder ao dono da rede quem entrou e quando.

Por que o desenho é esse#

A decisão que mais define o produto é onde a conversa com o equipamento acontece. Ela acontece dentro do painel, no gateway, e o que atravessa o túnel é a sessão de rede.

O motivo é o relógio do protocolo. O Modbus em barramento serial trabalha com um orçamento de tempo apertado: a 9600 baud, cada caractere leva cerca de 1,04 ms na linha, o fim de uma mensagem é marcado por um silêncio de 3,5 tempos de caractere, e a espera por resposta costuma ficar entre 100 e 200 ms. Uma conexão de internet com variação de dezenas de milissegundos estoura essa janela, e o equipamento passa a descartar mensagem válida como se fosse ruído. O sintoma seria falha intermitente de comunicação, o pior tipo de chamado para diagnosticar à distância, e a operação trocaria um problema por outro. Com a conversa serial acontecendo no painel, a variação do link deixa de contaminar a leitura.

A segunda decisão é o que o gateway não mexe. Ele não troca CLP, não refaz painel, não substitui o supervisório e não pede mudança na topologia de rede de quem hospeda o equipamento. Isso importa porque o parque instalado tem vida útil longa, orçamento de troca que ninguém aprovou, e um cliente final que não autoriza obra para resolver um problema de acesso da prestadora. O gateway se apoia no que já está instalado e se limita a abrir o caminho.

Onde isso se aplica além da Frigocenter#

O gateway está disponível para outras operações com a mesma dor: equipe técnica que precisa alcançar equipamento instalado em rede de terceiro, sem transformar cada diagnóstico em negociação de acesso ou em deslocamento. A dor pertence a quem atende ativo de outra empresa, em qualquer segmento de campo.

Ele também admite desenvolvimento sob medida. A engenharia da Migra trabalha com integração de protocolo industrial, e adaptar o gateway para conversar com outros protocolos além do Modbus é trabalho dentro do que a equipe faz, avaliado por caso conforme o equipamento, o barramento e o volume de leitura da operação. O que existe entregue e rodando hoje é a leitura Modbus da Frigocenter; o resto entra como escopo de projeto, com prazo e critério definidos antes de começar.

É o modo de trabalho da Migra: engenheiros embarcados na operação do cliente, montando sobre o equipamento e o processo que já existem no painel.

Onde o case está hoje#

O que já é verificável: o gateway está em uso pela Frigocenter, o túnel parte de dentro da planta, nenhuma porta de entrada é aberta na rede que hospeda o equipamento, e o acesso tem usuário identificado.

O que ainda não é publicável: o ganho de tempo até o primeiro diagnóstico e a queda de deslocamentos aparecem no relato da operação, e esta página segue sem número enquanto o método de apuração não estiver fechado com a Frigocenter, com janela de comparação, origem do dado no sistema de chamados e responsável pela medição.

Perguntas frequentes#

Como acessar remotamente um equipamento instalado na planta de um cliente?#

Com um gateway instalado no painel, que conversa com o equipamento no protocolo dele e abre um túnel cifrado de dentro da planta para fora. O acesso parte de dentro, então a rede que hospeda o equipamento dispensa regra de entrada e liberação caso a caso.

Preciso abrir porta no firewall da rede onde o equipamento está?#

Não. O túnel é iniciado pelo gateway, de dentro para fora. Encaminhamento de porta apontando para equipamento de controle é justamente o caminho que o expõe na internet pública, e o Modbus não tem autenticação para se defender disso.

Preciso trocar o CLP, o controlador ou o supervisório?#

Não. O gateway conversa com o equipamento que já está instalado, no protocolo que ele já fala. CLP, controlador, inversor e supervisório continuam sendo os mesmos, sem obra e sem projeto de substituição.

Funciona com equipamento antigo, que só fala protocolo serial?#

Sim. É o caso mais comum. O gateway fica no mesmo barramento do equipamento serial e resolve ali a diferença entre o que o equipamento fala e o que trafega pela rede.

O acesso remoto atrasa a leitura do equipamento?#

Não, porque a conversa serial acontece dentro do painel. O Modbus em barramento serial precisa de silêncio de 3,5 tempos de caractere entre mensagens e de resposta na casa de 100 a 200 ms, folga que uma conexão de internet com variação não garante. Pelo túnel passa a sessão de rede, que tolera essa variação.

Fica registrado quem acessou?#

Sim. Cada acesso sai de um usuário identificado, e o que foi feito no gateway fica registrado. É o que permite responder ao dono da rede quem entrou e quando, sem reconstituir por memória.

Serve para uma operação que não é de refrigeração?#

Sim, quando a dor é a mesma: equipe técnica que precisa alcançar equipamento instalado na rede de outra empresa. Adaptação para outro protocolo ou outro tipo de equipamento entra como escopo de projeto, avaliado antes de começar.