Interruzione della rete industriale: come evitare i fermi di produzione

Fibra ottica interrotta, router guasto, guasto dell’operatore, malfunzionamento di uno switch industriale, collegamento radio instabile: un’interruzione della rete industriale può rendere indisponibile un sistema SCADA, isolare i PLC, interrompere la segnalazione degli allarmi e rallentare la diagnostica sul campo. Per evitare che un incidente alle telecomunicazioni si trasformi in un fermo di produzione, è necessario progettare una continuità di rete OT con failover LTE, Dual SIM, supervisione attiva, avvisi e regole di priorità adeguate alle applicazioni critiche.

Il problema delle interruzioni di rete nel settore industriale

In un ambiente industriale, la rete non è un semplice servizio di comfort. Collega il sistema SCADA ai controllori logici programmabili, i sensori al sistema di supervisione, gli operatori alle interfacce di controllo, i tecnici di manutenzione alle apparecchiature remote e i sistemi di registrazione ai dati di produzione.

Quando questa rete smette di funzionare, le conseguenze possono essere immediate.

• Il sistema SCADA perde il collegamento con i controllori logici programmabili: niente più dati in tempo reale, niente più controllo remoto, niente più visibilità centralizzata.

• A volte gli operatori devono intervenire fisicamente su ogni singola apparecchiatura, il che allunga i tempi e aumenta il rischio di errore.

• I registri di produzione, le cronologie delle misurazioni e le tracce degli eventi possono presentare lacune difficili da interpretare.

• Gli allarmi critici non vengono più inoltrati al centro di supervisione o al servizio di reperibilità.

• La diagnosi richiede più tempo, poiché occorre distinguere tra un guasto alla rete, un guasto al PLC, un guasto all’applicazione o un errore dell’operatore.

• Le sedi isolate o i sistemi multi-sede dipendono fortemente dalla qualità del collegamento WAN principale.

• Le infrastrutture critiche, quali quelle idriche, energetiche, sanitarie, logistiche o alcuni processi continui, devono dimostrare la propria capacità di garantire la continuità operativa e il ripristino.

Il rischio principale non è solo l’interruzione in sé, ma l’assenza di un meccanismo automatico in grado di rilevare il guasto, attivare il sistema di backup, inviare un allarme e ripristinare lo stato nominale.

Perché un’interruzione della rete può bloccare la produzione

Non tutte le interruzioni di rete provocano un arresto immediato. Alcuni impianti continuano a funzionare a livello locale grazie ai controllori logici programmabili, ai circuiti di regolazione e ai dispositivi di sicurezza sul campo. Tuttavia, non appena si rende necessario il monitoraggio, il coordinamento tra più apparecchiature o l’intervento da remoto, la perdita di connessione alla rete compromette gravemente il funzionamento.

Elemento interessato	Effetto immediato	Rischio industriale
SCADA	Perdita di visibilità e controllo	Funzionamento compromesso o arresto precauzionale
Controllori PLC	Non raggiungibili dalla sala di supervisione	Diagnostica e ripristino più lenti
Allarmi	Non trasmessi o ritardati	Incidente rilevato troppo tardi
Cronologia	Dati mancanti	Analisi della qualità e tracciabilità compromesse
Accesso remoto	Manutenzione impossibile	Intervento in loco obbligatorio
Telecamere IP	Perdita del controllo visivo	Sorveglianza ridotta
Telelettura	Dati non trasmessi	Fatturazione, reporting o conformità compromessi

Una rete OT deve quindi essere concepita come un’infrastruttura di disponibilità. La ridondanza non serve solo ad “avere Internet”, ma a mantenere le funzioni critiche in caso di guasto del collegamento principale.

Le cause più comuni di interruzione della rete OT

I guasti alle reti industriali hanno cause diverse. Alcuni dipendono dall’operatore, altri dal sito stesso.

• Interruzione della fibra ottica a causa di lavori o di un incidente di ingegneria civile.

• Guasto del box, del router, del firewall o del modem.

• Interruzione dell’alimentazione su un rack di rete o su un armadio di campo.

• Scarsa qualità della connessione ADSL, SDSL, radio o 4G.

• Saturazione temporanea del collegamento principale.

• Configurazione di rete errata dopo l’intervento.

• Guasto di uno switch industriale o di un convertitore in fibra ottica.

• Loop di rete, tempesta di broadcast o errore di segmentazione.

• Manutenzione non programmata da parte dell’operatore.

• Incidente informatico che ha comportato l’isolamento di una parte della rete.

La continuità della rete OT non può basarsi su un unico scenario. Deve monitorare l’effettiva disponibilità del servizio ed effettuare il passaggio a un percorso alternativo quando il collegamento principale non svolge più la sua funzione.

Configurazione consigliata con failover LTE Dual SIM

Un’architettura di failover LTE industriale prevede l’inserimento di un gateway tra la rete OT e i collegamenti in uscita. Questo gateway monitora il collegamento principale, mantiene attivo un collegamento di riserva mobile e applica una politica di failover automatico.

Questa architettura consente di mantenere un percorso di rete quando il collegamento principale diventa indisponibile. Fornisce inoltre ai team una documentazione di quanto accaduto: ora dell’interruzione, collegamento utilizzato, durata del failover, ritorno alla normalità e qualità osservata.

Il nostro approccio

Il gateway Eziwan monitora costantemente la qualità del collegamento principale, che si tratti di fibra ottica, accesso ADSL, SDSL, Ethernet dell’operatore o altro collegamento WAN. Non appena viene rilevata una soglia di degrado, può passare automaticamente a un collegamento LTE di riserva.

Il cambio di stato può essere attivato da diversi segnali.

• Perdita totale del collegamento principale.

• Latenza anomala.

• Perdita eccessiva di pacchetti.

• Tunnel VPN non disponibile.

• Jitter troppo elevato per applicazioni sensibili.

• Ripetuti errori nelle prove di disponibilità.

• Degrado permanente al di là di una soglia definita.

Due schede SIM associate a operatori diversi garantiscono una maggiore ridondanza. Se la rete mobile principale non è disponibile o presenta problemi di connessione, il gateway può utilizzare una seconda scheda SIM. Per i siti più critici o al di fuori della copertura mobile, è possibile aggiungere un collegamento satellitare, ad esempio Starlink o VSAT a seconda del contesto, come terzo livello di backup.

Funzionalità principali

Dual SIM attivo/passivo

La modalità Dual SIM attiva/passiva consiste nel mantenere una SIM principale e una SIM secondaria pronta a subentrare. Le due schede possono essere associate a operatori diversi, al fine di ridurre la dipendenza da un’unica infrastruttura mobile.

Questo approccio è particolarmente utile quando il sito dipende da un operatore che funziona correttamente in condizioni normali, ma deve rimanere raggiungibile in caso di guasto locale, saturazione o manutenzione della rete.

Transizione trasparente per i servizi critici

Il failover deve essere il più discreto possibile negli ambienti industriali. A seconda dei protocolli, della configurazione VPN, dei tempi di attesa delle applicazioni e dei meccanismi di riconnessione, alcune sessioni possono sopravvivere al failover o ripristinarsi automaticamente.

L’obiettivo è quello di mantenere le funzioni critiche: allarmi, monitoraggio, accesso remoto, segnalazione degli stati, comandi autorizzati e telemetria prioritaria. I flussi meno urgenti possono essere rallentati o sospesi durante il funzionamento su LTE.

Sonde di qualità della rete

Un’interruzione netta è facile da individuare. Un deterioramento progressivo è più pericoloso, poiché la connessione sembra ancora attiva mentre le applicazioni diventano instabili.

Le sonde di qualità monitorano in particolare:

• La latenza.

• La giga.

• La perdita di pacchetti.

• Lo stato del tunnel VPN.

• La disponibilità di bersagli di riferimento.

• La qualità radio LTE.

• L’operatore di telefonia mobile attivo.

Queste misure consentono di passare a un sistema alternativo prima che il sistema di supervisione diventi inutilizzabile.

Avvisi in tempo reale

Gli avvisi devono raggiungere le persone giuste al momento giusto. Una notifica utile deve specificare il sito interessato, il link non funzionante, il link di riserva utilizzato, l’ora del passaggio, lo stato del tunnel e il livello di criticità.

I canali possono includere:

• E-mail.

• SMS.

• Webhook.

• Supervisione centralizzata.

• Ticket in uno strumento ITSM.

• Notifica a un team di reperibilità.

L’allarme di ripristino è importante quanto l’allarme di interruzione, poiché consente di confermare il ritorno alle condizioni nominali e di analizzare la durata effettiva dell’incidente.

Rapporto sulla disponibilità

Un rapporto sulla disponibilità fornisce una panoramica oggettiva degli incidenti di rete. Può essere utile ai team OT, alla direzione informatica, al responsabile della manutenzione, al responsabile della qualità o al fornitore di servizi Internet.

Un buon rapporto deve contenere:

• Il numero di passaggi.

• Il tempo totale trascorso sul collegamento di riserva.

• I link utilizzati.

• Gli orari di interruzione e di ripristino.

• Le cause individuate.

• La qualità del segnale radio rilevata.

• I periodi di deterioramento prima dell’interruzione.

• Gli eventi ricorrenti per sito.

Questi dati aiutano a decidere se cambiare operatore, spostare un’antenna, aggiungere un collegamento satellitare, sostituire un router o rivedere la topologia di rete.

Compatibilità con le apparecchiature IP esistenti

Un gateway di continuità di rete deve integrarsi senza richiedere una completa riprogettazione delle apparecchiature industriali. Può funzionare con numerose apparecchiature IP esistenti: sistemi SCADA, controllori logici programmabili (PLC) Siemens, Schneider o Rockwell, telecamere IP, interfacce uomo-macchina (HMI), server di archiviazione dati storici, switch industriali, sensori connessi, RTU e gateway IoT.

La sfida consiste nel preservare i flussi utili evitando al contempo di esporre direttamente le apparecchiature OT a Internet.

Degradazione graduale configurabile

Quando un sito opera su LTE, può essere necessario limitare alcune funzionalità per contenere la larghezza di banda e i costi dei dati. Il “degradation gracieuse” consiste nel mantenere le funzioni critiche e nel ridurre la priorità del resto.

Esempi di priorità:

• Mantenere attivi gli allarmi critici.

• Garantire il funzionamento dei comandi necessari all’esercizio.

• Mantenere il tunnel VPN per il servizio di reperibilità.

• Ridurre la frequenza dei polling non urgenti.

• Sospendere alcuni flussi video.

• Rinviare le esportazioni di grandi dimensioni.

• Limitare gli aggiornamenti non critici.

Questa logica trasforma la connessione LTE in una vera e propria continuità del servizio, non in una semplice soluzione di riserva "best effort".

Assistenza satellitare di terzo livello

Per i siti molto isolati, il 4G o il 5G non sono sempre sufficienti. Una porta WAN Ethernet può consentire l’aggiunta di un modem satellitare come terzo livello di backup. Questa architettura a tripla ridondanza è adatta a siti in cui la perdita di connettività ha un impatto significativo: acqua, energia, sicurezza, telelettura critica, supervisione di siti isolati o gestione multisito.

Il satellite deve tuttavia essere concepito come un collegamento a tutti gli effetti: la visibilità del cielo, l’alimentazione, il fissaggio, la latenza, la supervisione, i costi e le regole di priorità devono essere verificati.

Ciclo di transizione di un legame industriale

Un failover efficace segue un ciclo ben definito: monitoraggio, rilevamento, verifica, commutazione, supervisione della modalità di emergenza, ritorno controllato.

Il ritorno al valore di riferimento deve essere controllato. Se la fibra torna al valore di riferimento per alcuni secondi e poi scende nuovamente, un ritorno troppo rapido può causare oscillazioni. È quindi necessario attendere un periodo di stabilità prima di tornare al valore nominale.

A quali flussi dare la priorità durante un’interruzione di corrente

Non tutti i flussi OT hanno lo stesso livello di criticità. Un buon piano di continuità definisce ciò che deve essere mantenuto durante un’interruzione del collegamento principale.

Flusso	Priorità	Commento
Allarmi critici	Molto alta	Da mantenere anche in modalità ridotta
Comandi operativi	Alta	Da limitare agli usi autorizzati
Monitoraggio SCADA	Alta	Intervallo di polling regolabile in base alla larghezza di banda
Accesso remoto per manutenzione	Da media ad alta	Secondo la procedura di reperibilità
Registrazione dettagliata	Media	Può essere temporaneamente ridotta
Video IP	Variabile	Spesso dispendioso in termini di larghezza di banda
Esportazioni batch	Bassa	Da rinviare dopo il ripristino
Aggiornamenti	Bassa	Da bloccare durante il funzionamento di emergenza

Questa impostazione delle priorità impedisce che un flusso secondario occupi la connessione LTE a scapito degli allarmi o del monitoraggio essenziale.

Esempio di politica di failover

Una politica di failover deve essere documentata e comprensibile per i team IT, OT e di manutenzione. Essa descrive le soglie, i collegamenti di backup, gli avvisi e le regole di ripristino.

site:
  nom: usine_ligne_conditionnement
  criticite: haute

lien_principal:
  type: fibre
  surveillance:
    latence_max: 250ms
    perte_paquets_max: 5%
    echec_sonde: 3
    duree_degradation: 30s

secours:
  lte:
    mode: dual_sim
    sim_1: operateur_a
    sim_2: operateur_b
    priorite:
      - alarmes
      - supervision
      - acces_maintenance
  satellite:
    actif: optionnel
    usage: dernier_recours

retour_nominal:
  stabilite_requise: 10min
  retour_automatique: true

alertes:
  basculement: sms_email
  degradation: email
  retour_service: sms_email
  rapport_mensuel: pdf

I valori devono essere adeguati al sito. Una stazione di pompaggio isolata, una linea robotizzata e un centro di supervisione multisito non presentano gli stessi vincoli.

Misurare l’MTTR della rete OT

L’MTTR, ovvero il tempo medio di ripristino, è un indicatore fondamentale. In una rete industriale, non bisogna limitarsi a misurare il tempo necessario per riparare il collegamento principale, ma occorre considerare anche il tempo necessario per mantenere o ripristinare il servizio.

Si possono distinguere diverse fasi.

Indicatore	Definizione	Obiettivo
Tempo di rilevamento	Tempo che intercorre tra l’incidente e il rilevamento	Il più breve possibile
Tempo di commutazione	Tempo che intercorre prima dell’attivazione del sistema di riserva	Compatibile con le applicazioni
Tempo di notifica	Tempo che intercorre prima dell’allerta al team	Immediato o quasi immediato
Tempo di diagnosi	Tempo necessario per identificare la causa	Ridotto grazie ai log
Tempo di riparazione	Tempo necessario per ripristinare il collegamento principale	Dipende dal fornitore
Tempo di ripristino nominale	Tempo necessario per il ripristino controllato	Evitare oscillazioni

Il failover LTE non ripara la fibra danneggiata. Riduce l’impatto operativo mentre sono in corso i lavori di riparazione.

SLA, disponibilità e continuità della produzione

Un obiettivo di disponibilità, come il 99,9% o il 99,97%, non deve essere utilizzato come promessa generica priva di contesto. Dipende dall’architettura, dai collegamenti disponibili, dalla copertura di rete mobile, dall’alimentazione, dalla manutenzione, dai contratti con gli operatori e dal monitoraggio.

Al contrario, un’architettura ridondante consente di realizzare un punto di servizio più robusto rispetto a un unico collegamento.

Architettura	Resilienza prevista	Limite principale
Connessione WAN singola	Bassa	Qualsiasi guasto interrompe il funzionamento del sito
WAN + LTE mono-SIM	Media	Dipendenza da un operatore di telefonia mobile
WAN + doppia SIM	Elevata	Dipendenza dalla copertura mobile
WAN + doppia SIM + satellite	Molto elevata	Costo, latenza e complessità
Siti multipli supervisionati	Elevata se ben gestita	Richiede procedure chiare

La disponibilità effettiva deve essere misurata nel tempo attraverso report utilizzabili, non solo dichiarata in un contratto.

Sicurezza: garantire la continuità senza esporre l’OT

Una connessione di riserva mal progettata può comportare un rischio informatico. Ad esempio, un modem 4G collegato direttamente a un controllore logico programmabile (PLC), con un’interfaccia di amministrazione esposta, può costituire una porta d’accesso non controllata.

Le buone pratiche in materia di sicurezza sono indispensabili.

• Nessun servizio OT accessibile direttamente su Internet.

• Tunnel VPN crittografato verso una piattaforma controllata.

• Account nominativi per gli accessi remoti.

• Autenticazione forte quando è consentito l’accesso da parte di una persona.

• Segmentazione tra rete IT, DMZ e OT.

• Filtraggio dei flussi in base alla destinazione e all’utilizzo.

• Registrazione delle connessioni e dei passaggi di controllo.

• Revoca rapida degli accessi dei fornitori.

• Monitoraggio della configurazione e degli eventi.

Questo approccio rientra nei principi della difesa a più livelli utilizzati nella sicurezza informatica industriale, in particolare negli approcci ispirati alla norma IEC 62443.

Failover LTE e IEC 62443

La norma IEC 62443 non si limita alla disponibilità di rete. Essa affronta in modo più ampio il tema della sicurezza informatica dei sistemi industriali: zone, canali, requisiti di sicurezza, gestione dei rischi, rafforzamento della sicurezza e governance. Un failover LTE può contribuire a questo approccio, ma da solo non rende un’infrastruttura conforme alla norma.

Può fornire assistenza su diversi aspetti tecnici.

• Separazione delle zone e delle condutture di rete.

• Gestione degli accessi remoti.

• Registrazione degli eventi relativi alla connettività.

• Riduzione dell’esposizione diretta delle apparecchiature OT.

• Mantenimento di alcune funzioni critiche in caso di guasto della rete.

• Documentazione dei flussi e delle dipendenze.

La conformità deve sempre essere valutata a livello dell’intero sistema: architettura, procedure, utenti, manutenzione, fornitori e prove operative.

Casi d’uso industriali

Impianto con sistema SCADA centralizzato

Uno stabilimento che gestisce diverse linee tramite un sistema SCADA centralizzato dipende fortemente dalla disponibilità della rete. In caso di interruzione del collegamento principale, il failover LTE garantisce la visibilità sugli allarmi e sugli stati critici fino al ripristino del collegamento nominale.

Stazione di pompaggio o impianto idrico

Gli impianti di acqua potabile e di depurazione sono spesso distribuiti su un territorio esteso. La continuità della rete consente di garantire la trasmissione degli allarmi, dei livelli, dei guasti ai variatori, dello stato delle pompe e delle informazioni necessarie al servizio di reperibilità.

Produzione energetica

Un impianto solare, una stazione di consegna o un’unità di stoccaggio devono trasmettere i dati relativi alla produzione, ai guasti degli inverter, agli allarmi e agli stati di disponibilità. Un collegamento di riserva riduce il rischio di perdita di supervisione in caso di guasto del sistema operativo.

Centro logistico o magazzino automatizzato

In un magazzino automatizzato, la rete collega il WMS, i nastri trasportatori, i controllori logici programmabili, i sensori, il sistema di supervisione e, talvolta, le telecamere. Un’interruzione può rallentare o bloccare i flussi fisici. La ridondanza di rete contribuisce a mantenere attive le funzioni prioritarie.

Macchina speciale presso un cliente

Un costruttore di macchinari può dotare i propri impianti di un gateway con collegamento di riserva per garantire un accesso sicuro ai fini della manutenzione. Ciò riduce gli spostamenti e accelera la diagnosi quando la rete del cliente è indisponibile o instabile.

Lista di controllo prima dell’implementazione

Prima di mettere in produzione un sistema di failover LTE industriale, è necessario verificare gli aspetti fondamentali.

Controllo	Domanda	Priorità
Mappatura	Le apparecchiature e i flussi critici sono stati identificati?	Alta
Copertura mobile	Sono stati testati due operatori in loco?	Alta
Antenne	La posizione garantisce una qualità del segnale radio sufficiente?	Alta
Alimentazione	Il gateway e le apparecchiature di rete dispongono di un sistema di alimentazione di riserva?	Alta
Soglie	Sono stati definiti i criteri di failover?	Alta
Priorità	I flussi critici hanno la priorità in LTE?	Alta
Sicurezza	I servizi OT non sono esposti direttamente?	Alta
Log	I passaggio di emergenza sono registrati?	Alta
Avvisi	I team competenti vengono avvisati?	Alta
Ripristino	Il ripristino del collegamento principale è controllato?	Media
Test	È stata effettuata una simulazione di interruzione?	Alta

Il test di interruzione è indispensabile. Un sistema di backup non testato rimane solo un’ipotesi.

Errori comuni da evitare

Aggiungere un modem 4G senza supervisione

Un modem 4G autonomo può essere utile in casi specifici, ma non sempre offre una visione d’insieme sui passaggi tra reti, sulla qualità del segnale radio, sul consumo di dati o sugli incidenti ricorrenti.

Utilizzare lo stesso operatore per tutti i link

Se il collegamento principale e quello mobile dipendono dallo stesso operatore o dalla stessa infrastruttura locale, la ridondanza potrebbe risultare meno efficace. È necessario garantire una reale indipendenza quando il sito è critico.

Non dare priorità ai flussi

In caso di passaggio alla rete LTE, alcuni flussi potrebbero saturare il collegamento: video, backup, esportazioni, aggiornamenti o sincronizzazioni su larga scala. In assenza di una definizione delle priorità, gli allarmi e il monitoraggio potrebbero risentirne.

Trascurare l’alimentazione elettrica

Un failover di rete è inutile se il gateway, lo switch o l’antenna attiva non sono più alimentati. Le apparecchiature di continuità operativa devono essere collegate a un’alimentazione di emergenza quando la criticità lo richiede.

Tornare troppo in fretta al link principale

Un collegamento principale instabile può causare passaggi alternati tra WAN e LTE. È necessario definire un periodo di stabilità prima del ritorno alle condizioni normali.

In che modo Eziwan contribuisce a ridurre il rischio di arresto cardiaco

Eziwan centralizza la continuità della rete OT attorno a un gateway supervisionato, in grado di monitorare i collegamenti, passare alla rete LTE, utilizzare due schede SIM, inviare notifiche ai team e generare report.

Esigenza	Risposta di Eziwan	Vantaggio
Interruzione della fibra ottica o xDSL	Passaggio automatico a LTE	Mantenimento delle funzioni critiche
Guasto dell’operatore mobile	Dual SIM con operatori distinti	Ridondanza potenziata
Diagnostica difficile	Log e cronologia degli eventi	Analisi più rapida
Monitoraggio compromesso	Avvisi in tempo reale	Reazione immediata
Siti isolati	Antenne adatte e satellite opzionale	Copertura estesa
Costi dei dati	Riduzione gratuita configurabile	Priorità ai flussi essenziali
Audit di affidabilità	Rapporto di disponibilità	Prova di funzionamento

Questa continuità può essere integrata con il gateway Eziwan, il monitoraggio tramite il cloud Eziwan e le architetture di connettività industriale.

Piano di test consigliato

Una volta installata la soluzione, è necessario verificarne il funzionamento mediante un test controllato.

Il test deve verificare la segnalazione degli allarmi, il comportamento del sistema SCADA, la disponibilità dei controllori logici programmabili, le notifiche, i registri e il ripristino del collegamento principale. Deve essere effettuato in un contesto controllato, con il coinvolgimento dei team interessati.

Conclusione

Un’interruzione della rete industriale può causare un arresto della produzione quando il sistema SCADA, i controllori logici programmabili, gli allarmi e gli accessi remoti dipendono da un unico collegamento. Il failover LTE Dual SIM riduce questo rischio aggiungendo un percorso di backup automatico, monitorato e gestibile.

Il valore di una soluzione come Eziwan non si limita al modem 4G. Deriva dall’insieme delle sue caratteristiche: monitoraggio della qualità della rete, commutazione automatica, Dual SIM, avvisi in tempo reale, report sulla disponibilità, prioritizzazione dei flussi e integrazione con un’architettura OT sicura. Per i siti industriali critici, questo approccio trasforma la continuità di rete in un meccanismo controllato piuttosto che in una reazione di emergenza.

Per approfondire

• Backup 4G industriale — attiva automaticamente un collegamento 4G di riserva in caso di interruzione della fibra
• Ridondanza Internet industriale — architetture di ridondanza per garantire la continuità della produzione
• Connettività industriale — confronta le tecnologie di connettività per i tuoi siti industriali
• Router 4G industriale — router industriali con failover automatico e Dual SIM integrato
• Router LTE industriale — router LTE ad alte prestazioni per ambienti industriali critici