Las 4 capas OT para tu industria

Ninguna planta se para por falta de tecnología. Se para porque el PLC va por su lado, el historiador guarda datos que nadie mira, el técnico de la máquina tarda dos días en llegar y el USB del subcontratista entra por la puerta sin que nadie lo revise.

Las soluciones OT para plantas industriales se compran casi siempre por trozos, cada uno en un momento distinto y a un proveedor distinto. Por eso acaban sin hablarse.

En Opertek trabajamos con cuatro fabricantes. No es una lista de catálogo: cada uno responde a una pregunta distinta que se hace cualquier responsable de planta, y las cuatro preguntas hay que responderlas.

¿Controlo el proceso? ¿Entiendo lo que está pasando? ¿Puedo llegar a la máquina cuando falla? ¿Sé lo que entra y lo que sale de mi red?

Vamos por partes.

Emerson: la capa que no se puede improvisar

Emerson es el hardware que sostiene el proceso. PLC, entradas y salidas, PC industriales, paneles de operador. Lo que hay dentro del armario.

Es la capa menos glamurosa y la que más cara sale cuando se elige mal. Un PLC no se cambia cada tres años: se instala pensando en la vida útil de la máquina, que en muchas plantas españolas pasa de quince años.

La familia PACSystems cubre el rango entero. El PLC RX3i para arquitecturas de planta con alta disponibilidad PROFINET, el CPE200 y el CPE100 cuando quieres el mismo runtime en formato compacto y en carril DIN, y las E/S distribuidas RSTi-EP cuando el que manda es el cableado. Todo se programa desde Machine Edition, detalle nada menor cuando conviven cuatro generaciones de máquina en la misma nave.

Un escalón por encima está el cómputo en planta: los PC industriales RXi sin ventiladores, los Panel PC RXi modulares y el QuickPanel+, que junta HMI, PLC e historización en un solo equipo.

Y hay una pieza que interesa mucho a quien está pensando en datos: el PLC CPL410 ejecuta un PLC determinista y un coprocesador Linux con PACEdge en el mismo hardware. Puedes tratar datos en el borde sin meter otra caja en el armario ni añadir otro punto de fallo.

Velotic: tus datos ya existen, el problema es que no dicen nada

Aquí es donde se pone interesante. Casi todas las plantas ya están generando datos. Lo que casi ninguna tiene es contexto.

Una temperatura de 68 grados no es información. Es un número. Se convierte en información cuando sabes de qué lote es, en qué línea, en qué turno, con qué receta y con qué operario. Ese salto es exactamente lo que hace el software de Velotic, la casa que hoy reúne Proficy, Kepware y ThingWorx bajo una misma marca (antes GE Vernova y GE Digital).

Proficy Historian recoge y archiva el dato de proceso a alta frecuencia, y escala sin dramas. Proficy iFIX y Proficy CIMPLICITY son la capa HMI/SCADA por la que el operario ve y actúa.

Encima, Proficy Plant Applications construye el modelo de producción (línea, unidad, producto, lote, turno), y ahí es donde aparecen el OEE real y las causas de parada. Proficy Operations Hub lo pone todo en un navegador, sin instalar nada en el puesto. Y cuando quieres pasar del informe a la predicción, la pieza es Proficy CSense.

En los casos documentados por el fabricante en alimentación y bebidas se repite el mismo patrón: plantas con controles mezclados de distintas marcas y distintas generaciones que consiguen visibilidad de línea completa sin tocar la capa de control. No hace falta rehacer la planta. Hace falta recoger bien lo que ya hay.

Y una advertencia por experiencia: el software de datos no arregla un proceso que va mal. Te enseña dónde va mal, que es otra cosa y suele doler más.

Secomea: llegar a la máquina sin abrir la planta

El día que se para la línea a las tres de la mañana, la pregunta no es técnica. Es cuánto tarda en conectarse alguien que sepa arreglarlo.

La respuesta tradicional era una VPN corporativa. Funciona, pero tiene un problema de fondo: una VPN te mete en la red. Secomea te lleva al equipo concreto que tienes autorizado, y a nada más.

La arquitectura tiene tres piezas. SiteManager es la pasarela que se instala en planta, junto a la máquina. GateManager es el servidor de gestión de accesos, en la nube o en local. LinkManager es el cliente con el que se conecta el ingeniero, incluso desde el navegador y sin instalar nada.

La conexión sale de planta hacia fuera por el puerto 443 sobre HTTPS/TLS. No hay que abrir puertos entrantes en el firewall de OT, que es justo lo que suele bloquear estos proyectos en el comité de seguridad.

Encima va lo que exige cualquier auditoría seria: autenticación multifactor, SSO contra Azure AD u Okta, permisos por usuario y por activo, accesos temporales para el subcontratista que solo tiene que entrar el martes, registros de auditoría y grabación de sesiones. Secomea está certificada en IEC 62443-4-1 y encaja en el modelo Purdue sin pelearse con la segmentación que ya tienes.

Como extra, el módulo de recogida de datos puede leer OPC UA, Modbus TCP, S7 o MQTT desde la misma pasarela y enviarlo a donde lo necesites. La misma caja que usas para mantenimiento remoto te sirve para empezar a mover datos.

OPSWAT: lo que entra por el USB y lo que sale por el cable

Esta es la capa que más ha crecido en los dos últimos años, y no por moda. Es la que se lleva la mayoría de las preguntas incómodas en una auditoría.

OPSWAT trabaja sobre una idea sencilla y bastante desconfiada: no te fíes de ningún fichero, no te fíes de ningún dispositivo. En entornos industriales eso se traduce en cuatro frentes.

El primero es el perímetro dentro de la planta. MetaDefender Industrial Firewall es un firewall industrial para carril DIN, con inspección profunda de protocolos como Modbus, EtherNet/IP, S7COMM, PROFINET, DNP3 o IEC-60870-5-104, y un modo de aprendizaje que observa el tráfico normal antes de proponer las reglas. Rango de temperatura de -40 a +70 grados, o sea, pensado para ir en el armario y no en un rack con aire acondicionado.

El segundo es la transferencia de datos entre OT e IT. Aquí está MetaDefender NetWall: pasarelas unidireccionales y diodo óptico que garantizan que el dato sale de OT hacia IT y que nada puede volver. Un firewall convencional es bidireccional por definición y depende de una configuración que alguien puede tocar. Una pasarela unidireccional no. Soporta OPC DA, A&E y UA, Modbus/TCP, IEC 104 y transferencia de ficheros, con casos de uso tan concretos como replicar pantallas de HMI a un centro de control remoto sin exponer la planta.

El tercero son los medios extraíbles. La protección de medios periféricos con MetaDefender Kiosk, Media Firewall y Endpoint obliga a que cualquier USB, disco o soporte que llegue a planta pase antes por un análisis y quede registrado. Suena a detalle menor hasta que revisas cómo entraron la mitad de los incidentes conocidos en entornos industriales.

El cuarto es MetaDefender OT Access, para acceso remoto con control granular por protocolo, sesión y usuario, con supervisión y grabación de sesión.

Las soluciones OT para plantas industriales no se compran sueltas

Se puede comprar cada capa por separado. Mucha gente lo hace, y luego dedica seis meses a que las piezas se entiendan.

Lo que aporta Opertek no es el catálogo. Es haber montado estas cuatro capas juntas en plantas de alimentación y bebidas, química, farmacia, manufacturing, aguas, energía y gestión de infraestructuras, y saber de antemano dónde suelen chocar: qué protocolo no pasa por la pasarela unidireccional, qué recolector de Historian conviene según el SCADA que ya está instalado, qué permisos hay que definir para que el auditor no ponga pegas.

También hay una parte poco épica pero muy real: distribución oficial para España y Portugal, repuestos, formación, soporte en español, y alguien que coge el teléfono cuando la línea está parada y el reloj corre.

Entonces, ¿por dónde empiezo?

Por la capa que tengas floja, no por la que esté de moda.

Si tu control es de una generación que ya no tiene repuestos, empieza por Emerson. Si tienes datos pero nadie los usa para decidir, empieza por Velotic. Si tu mantenimiento remoto depende de una VPN que nadie audita, empieza por Secomea. Y si la respuesta a "quién ha metido ese USB" es un encogimiento de hombros, empieza por OPSWAT.

Lo importante no es cuál eliges primero. Es que las cuatro acaben hablando el mismo idioma.