Hạ tầng mạng nhà máy KCN: từ khảo sát đến bàn giao

Triển khai hạ tầng mạng nhà máy mới trong khu công nghiệp đòi hỏi quy trình chặt chẽ từ khảo sát mặt bằng, phân vùng IT/OT, kéo cáp quang trục đến nghiệm thu bàn giao. Môi trường công nghiệp diện tích rộng, nhiệt độ khắc nghiệt, nhiều bụi bẩn và can nhiễu điện từ từ máy biến áp, động cơ công suất lớn. Lựa chọn đúng kiến trúc phân vùng với tường lửa trung tâm kết hợp switch công nghiệp DIN-rail tại xưởng sẽ quyết định tính an toàn và liên tục của toàn bộ dây chuyền sản xuất.

Hiểu nhanh bằng hình

Hiểu nhanh mô hình phân vùng mạng IT và OT cho nhà máy trong khu công nghiệp

Kiến trúc phân vùng mạng IT và OT trong nhà máy

Kinh nghiệm thực tế của anh em kỹ thuật NTCOM cho thấy sai lầm phổ biến nhất là gộp chung mạng văn phòng và sản xuất vào cùng hạ tầng vật lý. Khi máy tính văn phòng nhiễm ransomware hoặc nghẽn mạng do bão broadcast, toàn bộ máy tính công nghiệp và bộ điều khiển phân xưởng có thể tê liệt ngay lập tức.

Mô hình chuẩn mực hiện nay là phân tách thành ba vùng chức năng theo ISA-99 và IEC 62443:

Vùng IT văn phòng: Phục vụ ERP, máy chủ kế toán, camera hành chính và hệ thống Wi-Fi 6 cho cán bộ công nhân viên.
Vùng OT sản xuất: Kết nối máy móc, cánh tay robot, máy tính nhúng, PLC và màn hình HMI. Mạng này ưu tiên độ trễ thấp, tính ổn định và khả năng chống nhiễu công nghiệp.
Vùng đệm an ninh (Industrial DMZ): Đặt sau tường lửa thế hệ mới FortiGate 100F, chứa máy chủ thu thập dữ liệu sản xuất (MES/SCADA), máy chủ vá lỗi và cổng VPN cho chuyên gia hãng máy. Mọi luồng dữ liệu IT và OT bắt buộc đi qua vùng đệm này, không cho phép định tuyến trực tiếp.

Mô hình kiến trúc hạ tầng mạng phân vùng IT và OT cho nhà máy trong khu công nghiệp

Bảng so sánh yêu cầu kỹ thuật hạ tầng mạng IT và OT

Bảng đối chiếu các tiêu chí kỹ thuật căn bản giữa hai khu vực:

Hạng mục so sánh	Khu vực IT văn phòng	Khu vực OT phân xưởng
Môi trường hoạt động	Phòng điều hòa, 20 đến 28 độ C, độ ẩm ổn định	-10 đến +60 độ C, bụi kim loại, hơi dầu, rung lắc
Chuẩn hạ tầng áp dụng	TIA-568, ISO/IEC 11801 Class E	TIA-1005 (chuẩn MICE), IEC 60068-2 về chống rung sốc
Cáp truyền dẫn nhánh	Cáp đồng UTP Cat6 không bọc kim, vỏ PVC tiêu chuẩn	Cáp bọc kim chống nhiễu Cat6A STP hoặc SFTP, vỏ LSZH chống cháy
Trục truyền dẫn chính	Cáp đồng Cat6 hoặc cáp quang Multimode OM3/OM4	Cáp quang Singlemode OS2 luồn ống chống gặm nhấm, đi ngầm hoặc máng kín
Dòng switch khuyến nghị	Cisco Catalyst 9200L, 9300 gắn rack 19 inch trong tủ mạng MDF	Cisco Catalyst IE3400, IE3300 gắn thanh DIN-rail trong tủ điều khiển máy
Cấp độ bảo vệ vỏ máy	IP20 (thông gió cưỡng bức bằng quạt làm mát)	IP30 hoặc IP40 (vỏ nhôm nguyên khối, tản nhiệt tự nhiên không quạt)
Cơ chế cấp nguồn điện	Nguồn AC 220V qua bộ lưu điện UPS văn phòng	Nguồn DC kép 9.6 đến 60VDC hoặc AC/DC công nghiệp
Giao thức dự phòng vòng	Spanning Tree (RSTP/MSTP) chuyển mạch 1 đến 2 giây	Vòng Ring (REP, MRP) khôi phục dưới 50 mili giây

Thông số kỹ thuật các thiết bị mạng tiêu biểu cho nhà máy

Bảng thông số kỹ thuật trích từ tài liệu chính hãng Cisco và Fortinet:

Model thiết bị	Kiểu dáng lắp đặt	Cổng giao tiếp vật lý	Thông lượng xử lý	Nguồn điện cấp	Nhiệt độ vận hành
Cisco IE-3400-8T2S-E	DIN-rail 35mm (IP30)	8 cổng GE RJ45 + 2 khe quang GE SFP	Chuyển mạch 20 Gbps, tốc độ chuyển tiếp 14.88 Mpps	Nguồn DC kép 9.6 đến 60VDC	-40 đến +70 độ C
Cisco IE-3300-8T2S-E	DIN-rail 35mm (IP30)	8 cổng GE RJ45 + 2 khe quang GE SFP	Chuyển mạch 20 Gbps, tốc độ chuyển tiếp 14.88 Mpps	Nguồn DC kép 9.6 đến 60VDC	-40 đến +70 độ C
Cisco C9200L-24P-4G-E	Rackmount 19 inch 1U	24 cổng GE PoE+ (370W) + 4 khe quang GE SFP	Chuyển mạch 56 Gbps, tốc độ chuyển tiếp 41.66 Mpps	Nguồn AC 100-240V tích hợp	-5 đến +45 độ C
FortiGate 100F	Rackmount 19 inch 1U	2x 10GE SFP+ FortiLink, 4x GE SFP, 14x GE RJ45	Firewall 20 Gbps, IPS 2.6 Gbps, Threat 1.0 Gbps	Nguồn AC kép dự phòng bên trong	0 đến 40 độ C

Quy trình 5 bước triển khai từ khảo sát đến bàn giao

Quy trình triển khai mạng nhà máy gồm 5 giai đoạn liên kết chặt chẽ:

Khảo sát mặt bằng MEP: Đối chiếu bản vẽ kiến trúc và cơ điện, xác định vị trí phòng MDF và tủ IDF. Tuyến cáp mạng duy trì khoảng cách ly tối thiểu 30 cm so với cáp động lực 3 pha và không đi song song với máy biến áp để triệt tiêu nhiễu điện từ.
Bóc tách khối lượng: Lập dự toán cáp quang Singlemode 12 core OS2, ống xoắn HDPE ngầm, thang máng cáp xưởng, cáp Cat6A STP và tủ rack. Khối lượng cáp kéo trục luôn tính dôi dư 15 đến 20 phần trăm dự phòng mở rộng dây chuyền.
Thi công rải cáp và lắp đặt tủ mạng: Luồn cáp quang ngầm qua hố ga kỹ thuật, lắp thang máng cáp treo xưởng. Switch công nghiệp gá trên thanh DIN-rail trong tủ IP55 chống bụi nước. Tiếp địa vỏ tủ và thanh gá hạt mạng bọc kim vào bãi tiếp địa công trình với điện trở dưới 4 Ohm.
Cấu hình phân vùng và an ninh: Chia tách mạng thành các VLAN độc lập cho văn phòng, camera và phân xưởng. Trên FortiGate 100F, cấu hình chính sách cấm truy cập trực tiếp từ máy tính văn phòng vào PLC; máy chủ MES chỉ giao tiếp với PLC qua cổng dịch vụ công nghiệp (cổng TCP 102 cho S7comm hoặc cổng 502 cho Modbus TCP).
Đo kiểm chuyên dụng và bàn giao: Đo kiểm 100 phần trăm tuyến quang bằng máy OTDR ở bước sóng 1310 nm và 1550 nm. Toàn bộ nút cáp đồng đo kiểm thông tuyến và suy hao xuyên âm (NEXT) bằng máy Fluke Networks. Hồ sơ hoàn công gồm sơ đồ nguyên lý, nhãn cáp và kết quả đo Fluke gốc.

Tình huống thực tế: Xử lý sự cố nhiễu và đứt kết nối tại một nhà máy cơ khí

Khi cải tạo hạ tầng cho nhà máy cơ khí chính xác tại KCN ở Bắc Ninh (15.000 m2), chúng tôi ghi nhận bài học đắt giá về mạng công nghiệp.

Nhà máy gồm khối văn phòng 3 tầng và 2 phân xưởng cơ khí với hơn 40 máy CNC. Đơn vị trước dùng cáp Cat6 văn phòng đi chung máng cáp điện động lực 3 pha kéo dài 165 mét (vượt trần 100 mét cáp đồng), dùng switch văn phòng vỏ nhựa gắn tạm trên tường xưởng.

Hậu quả: máy CNC liên tục mất kết nối về máy chủ MES khi khởi động máy cắt; tỷ lệ rớt gói tới 18%. Sau 6 tháng, quạt switch kẹt bụi kim loại và hơi dầu, dẫn đến cháy nguồn, gián đoạn sản xuất 8 tiếng.

Anh em kỹ thuật NTCOM đã đưa ra phương án xử lý gồm 4 bước:

Kéo mới trục cáp quang Singlemode: Hủy bỏ tuyến cáp đồng vượt chuẩn 165 mét. Kéo mới tuyến cáp quang Singlemode 12 sợi OS2 luồn ống HDPE chôn ngầm độc lập cách xa cáp điện lực 1.2 mét, miễn nhiễm hoàn toàn với từ trường.
Chuẩn hóa tủ mạng xưởng máy: Lắp đặt tủ rack kín đạt chuẩn IP55 có gioăng chống bụi dầu. Thay switch vỏ nhựa bằng switch công nghiệp Cisco Catalyst IE-3400-8T2S-E vỏ nhôm đúc, hoạt động không quạt từ -40 đến +70 độ C.
Bảo vệ cáp nhánh tại máy CNC: Sử dụng cáp bọc kim Cat6A STP chống nhiễu, bấm đầu nối RJ45 bọc kim tiếp địa toàn diện tại cả hai đầu tủ điều khiển và switch mạng.
Phân vùng an ninh bằng tường lửa: Triển khai tường lửa FortiGate 100F tại phòng MDF để khoanh vùng mạng xưởng máy thành phân vùng bảo mật riêng, ngăn chặn mã độc từ khối văn phòng.

Sau khi hoàn tất chuyển đổi trong một ngày nghỉ cuối tuần, tỷ lệ rớt gói dữ liệu giảm về đúng 0 phần trăm. Dây chuyền truyền chương trình gia công cho máy CNC hoạt động liên tục không còn hiện tượng treo ngắt quãng. Bài học rút ra là không bao giờ dùng thiết bị và cáp mạng văn phòng đưa vào môi trường sản xuất công nghiệp.

Hạ tầng mạng nhà máy trong HSMT

Khi tham gia đấu thầu hoặc lập hồ sơ mời thầu (HSMT) cho gói tích hợp hạ tầng CNTT nhà máy, chủ đầu tư và nhà thầu cần lưu ý các tiêu chí sau:

Nhận diện tiêu chí kỹ thuật mời thầu

Yêu cầu switch phân xưởng: Thiết bị đạt chuẩn công nghiệp DIN-rail, dải nhiệt độ tối thiểu -40 đến +70 độ C, chống sốc và rung động theo IEC 60068-2-6 và IEC 60068-2-27, hỗ trợ nguồn DC kép dự phòng.
Yêu cầu cáp và phụ kiện xưởng: Cáp mạng khu vực sản xuất có bọc kim chống nhiễu (STP/FTP), vỏ chống cháy LSZH theo IEC 60332-1. Tuyến trục ngoài trời bắt buộc sử dụng cáp quang Singlemode bọc băng thép chống gặm nhấm.
Yêu cầu đo kiểm nghiệm thu: HSMT ghi rõ điều kiện bàn giao phải kèm biên bản đo kiểm OTDR cho tuyến quang và chứng nhận đo kiểm cáp mạng Fluke Networks chính hãng.

Hướng dẫn lập bảng đáp ứng kỹ thuật

Đối chiếu chính xác model: Ghi rõ mã sản phẩm chào thầu (Cisco IE-3400-8T2S-E, FortiGate 100F, Cisco C9200L-24P-4G-E), trích dẫn cụ thể số trang trong datasheet gốc của hãng và đính kèm tài liệu kỹ thuật xác nhận.
Chứng nhận chất lượng và xuất xứ: Chuẩn bị đầy đủ cam kết cung cấp chứng nhận xuất xứ CO và chứng nhận chất lượng CQ từ nhà sản xuất hoặc nhà phân phối chính thức tại Việt Nam.
Cam kết thời gian bảo hành và xử lý sự cố: Với nhà máy vận hành 24/7, nhà thầu đưa ra phương án cam kết ứng cứu kỹ thuật tại chỗ trong vòng 2 đến 4 giờ và có thiết bị tương đương thay thế tạm thời.

Xem thêm các thiết bị mạng công nghiệp chính hãng tại danh mục Switch công nghiệp, bài viết hướng dẫn chọn switch công nghiệp cho trạm biến áp và nhà máy, bài viết phân tích chọn model tường lửa FortiGate 60F và 100F và danh mục dịch vụ Giải pháp tích hợp hệ thống CNTT - Viễn thông NTCOM. Giá: liên hệ báo giá.

Nhận hỗ trợ hồ sơ thầu trong 24 giờ

Gửi cho NTCOM thông tin gói thầu kèm Phạm vi cung cấp (PVCC), datasheet, bảng thông số hoặc bảng điền đáp ứng. NTCOM tra mã sản phẩm, hãng sản xuất và điền đáp ứng kỹ thuật, phản hồi trong vòng 24 giờ. Báo giá ngay sau khi có đầy đủ hồ sơ, tên dự án, tên EU.

Nguồn tham khảo

Tài liệu mang tính tham khảo kỹ thuật; thông số có thể thay đổi theo phiên bản datasheet của hãng, cần đối chiếu trước khi lập hồ sơ.

Hạ tầng mạng nhà máy trong KCN: từ khảo sát đến bàn giao