5 สิ่งที่ต้องรู้ก่อนติดตั้ง Core Switch และ VLAN ในโรงงาน

โรงงานผลิตชิ้นส่วนยานยนต์แห่งหนึ่งในจังหวัดสมุทรปราการ โทรหาผมด้วยน้ำเสียงร้อนรนตอนสี่ทุ่มของคืนวันเสาร์ เพราะระบบควบคุมเครื่องจักร CNC หยุดทำงานกะทันหัน ส่งผลให้สายการผลิตต้องชะงักไปเกือบ 3 ชั่วโมง สาเหตุไม่ได้เกิดจากตัวเครื่องจักรขัดข้อง แต่เกิดจากพนักงานในฝั่งออฟฟิศดาวน์โหลดไฟล์ขนาดใหญ่ และมีคอมพิวเตอร์พนักงานบางเครื่องติดไวรัสจนแพร่กระจายข้อมูลขยะวิ่งเต็มเครือข่ายเดิมที่ไม่มีการแบ่งแยกโซน

เหตุการณ์ลักษณะนี้ไม่ใช่เรื่องใหม่ในวงการ ระบบเครือข่ายโรงงาน ครับ เพราะโรงงานจำนวนมากมักเริ่มจากสเกลเล็กๆ แล้วขยายอุปกรณ์เพิ่มเข้าไปเรื่อยๆ โดยใช้ Layer 2 Switch ทั่วไปต่อพ่วงกันไปเรื่อยๆ การนำเครื่องจักรสำคัญ ระบบ ERP กล้องวงจรปิด และสัญญาณ WiFi ของพนักงานมารวมอยู่ใน Broadcast Domain เดียวกัน ถือเป็นความเสี่ยงระดับวิกฤต วันนี้ผมในฐานะวิศวกรและผู้ดูแล SIAM-LOGIN จึงอยากมาแชร์ 5 ข้อสำคัญที่ควรทราบก่อนตัดสินใจ ติดตั้ง Core Switch และ VLAN เพื่อก้าวสู่อุตสาหกรรมที่เสถียรและปลอดภัยครับ

1. เข้าใจปัญหา Broadcast Storm และการทำ Network Isolation

ในสถาปัตยกรรมเครือข่ายแบบ Flat Network (ทุกอุปกรณ์อยู่ในวง IP เดียวกันทั้งหมด) หากมีคอมพิวเตอร์เครื่องใดเครื่องหนึ่งส่งสัญญาณ Broadcast ออกมา ข้อมูลนั้นจะถูกส่งไปยังอุปกรณ์ทุกตัวที่ต่ออยู่ในเครือข่ายเดียวกัน หากเกิดปัญหารูปแบบนี้ในปริมาณมากจะเกิดปรากฏการณ์ที่เรียกว่า Broadcast Storm ซึ่งส่งผลให้สวิตช์ทำงานหนักเกินไป สัญญาณเครือข่ายหน่วง และสายการผลิตหยุดทำงานได้ทันที

การทำ Network Isolation ด้วยการวาง VLAN (Virtual Local Area Network) จะช่วยตัดแบ่ง Broadcast Domain ออกเป็นส่วนๆ เช่น

• VLAN 10: สำหรับเครื่องจักรและระบบควบคุม PLC / SCADA
• VLAN 20: สำหรับเซิร์ฟเวอร์และระบบ ERP / MES
• VLAN 30: สำหรับคอมพิวเตอร์ฝ่ายบริหารและออฟฟิศ
• VLAN 40: สำหรับระบบกล้องวงจรปิด CCTV
• VLAN 50: สำหรับ WiFi ผู้มาติดต่อ (Guest WiFi)

การแยกโซนแบบนี้จะช่วยรับประกันว่า หากเกิดไวรัสระบาดหรือมีข้อมูลขยะใน VLAN 30 สัญญาณความเสียหายจะไม่ทะลุไปรบกวนเครื่องจักรใน VLAN 10 อย่างแน่นอน

2. การเลือกสวิตช์ระดับองค์กร (Enterprise Switch) ให้เหมาะกับสถาปัตยกรรม

การแบ่ง VLAN ในโรงงานอุตสาหกรรมไม่สามารถใช้ Unmanaged Switch หรือสวิตช์บ้านทั่วไปได้ จำเป็นต้องเลือกใช้ สวิตช์ระดับองค์กร (Enterprise Switch) ที่มีความทนทานและรองรับฟีเจอร์ระดับ Layer 3 โดยปกติผมจะแนะนำให้วางโครงสร้างเครือข่ายออกเป็น 2-3 ชั้นหลักๆ ได้แก่

Core Switch (Layer 3 Switch)

เปรียบเสมือนสมองส่วนกลางของโรงงาน ทำหน้าที่ประมวลผลข้อมูลความเร็วสูง และทำหน้าที่ routing ข้ามไปมาระหว่าง VLAN (Inter-VLAN Routing) ควรเลือกอุปกรณ์ที่มี Backplane Bandwidth สูง รองรับการเชื่อมต่อแบบ Fiber Optic SFP+ ความเร็ว 10Gbps ขึ้นไป และมีพาวเวอร์ซัพพลายแบบ Redundant Power Supply เพื่อป้องกันการดับของอุปกรณ์

Access Switch (Layer 2 / Layer 3 Switch)

อุปกรณ์ที่ทำหน้าที่รับสายแลนจากคอมพิวเตอร์ เครื่องจักร หรือ Access Point โดยตรง โดย Access Switch จะต้องรองรับการกำหนด VLAN Port Tagging (802.1Q) เพื่อรับส่งทราฟฟิกแยกตาม VLAN ไปยัง Core Switch ได้อย่างถูกต้อง

3. การวางแผนทำ Inter-VLAN Routing และกำหนดนโยบาย Firewall

การแบ่ง VLAN จะช่วยแยกเครือข่ายออกจากกันโดยสิ้นเชิง แต่ในความเป็นจริง ฝ่ายผลิตอาจยังจำเป็นต้องส่งข้อมูลจากเครื่องจักรไปยังเซิร์ฟเวอร์ ERP เพื่อบันทึกสถิติการทำงาน ตรงนี้เองที่การทำ Inter-VLAN Routing บน Core Switch เข้ามามีบทบาท

อย่างไรก็ตาม การเปิดให้ทุก VLAN คุยกันได้แบบอิสระจะทำให้ประโยชน์ของ VLAN ลดลงทันที สิ่งสำคัญคือการตั้งค่า Access Control List (ACL) หรือการส่งทราฟฟิกระหว่าง VLAN ขึ้นไปกรองผ่าน Next-Gen Firewall โดยมีหลักการง่ายๆ คือ

• อนุญาตเฉพาะพอร์ตและโปรโตคอลที่จำเป็นในการทำงานเท่านั้น
• ไม่อนุญาตให้ VLAN ออฟฟิศ หรือ WiFi ทั่วไปเข้าถึง VLAN เครื่องจักรโดยตรง
• จำกัดสิทธิ์การรีโมตเข้ามาแก้ไขระบบเครื่องจักรให้ทำได้เฉพาะคอมพิวเตอร์ของฝ่ายไอทีเท่านั้น

4. การออกแบบ Redundancy และระบบสายสัญญาณสำรอง

ในสภาพแวดล้อมโรงงานอุตสาหกรรม ความเสี่ยงเรื่องสายสัญญาณขาดจากรถโฟล์คลิฟต์ หรือสายไฟเบอร์ออปติกชำรุดเป็นสิ่งที่เกิดขึ้นได้เสมอ การออกแบบระบบ Core Switch ที่ดีจึงต้องคำนึงถึงเรื่อง Redundancy หรือระบบสำรองเสมอครับ

ผมมักแนะนำให้ลูกค้าระดับโรงงานเลือกใช้เทคโนโลยี Link Aggregation (LACP) เพื่อรวมสายไฟเบอร์ออปติก 2 เส้นเข้าด้วยกัน ซึ่งนอกจากจะได้แบนด์วิธเพิ่มเป็นเท่าตัวแล้ว หากมีสายเส้นใดเส้นหนึ่งขาด ระบบจะสลับไปใช้สายอีกเส้นหนึ่งทันทีโดยที่สายการผลิตไม่หลุด รวมถึงการเปิดใช้งาน Spanning Tree Protocol (STP) เพื่อป้องกันปัญหา Network Loop ที่อาจเกิดขึ้นจากการเสียบสายแลนผิดพอร์ต

5. การกำหนดลำดับความสำคัญของข้อมูลด้วย Quality of Service (QoS)

ข้อมูลในโรงงานอุตสาหกรรมมีความสำคัญไม่เท่ากัน สัญญาณการสั่งงานเครื่องจักร Real-time หรือข้อมูลแพ็กเกจของระบบควบคุม PLC ต้องการความรวดเร็วและไม่อาจยอมรับความล่าช้า (Latency) ได้ แม้แต่วินาทีเดียว ในขณะที่การเปิดเว็บไซด์ของออฟฟิศ หรือการอัปเดตไฟล์ทั่วไปสามารถรอได้

การกำหนด Quality of Service (QoS) บน Core Switch จะช่วยให้ระบบสามารถจัดลำดับความสำคัญของแพ็กเกจข้อมูลได้ โดยเราสามารถตั้งค่าให้ทราฟฟิกจาก VLAN เครื่องจักรและระบบ IP Phone มี priority สูงสุด ทำให้ไม่ว่าเครือข่ายจะถูกใช้งานหนักแค่ไหน ข้อมูลสำคัญของสายการผลิตก็จะถูกส่งผ่านไปก่อนเสมอ

การวางโครงสร้างและ ติดตั้ง Core Switch และ VLAN ไม่ใช่เพียงเรื่องของการซื้ออุปกรณ์ราคาแพงมาเสียบปลั๊กแล้วใช้งานได้ทันที แต่คือการออกแบบสถาปัตยกรรมเครือข่ายที่ต้องเข้าใจทั้ง Workflow ของโรงงานและมาตรฐานความปลอดภัยทางไอที หากคุณกำลังพิจารณาปรับปรุงระบบเครือข่ายโรงงานให้ได้มาตรฐาน ประหยัดงบประมาณ และใช้งานได้อย่างยาวนาน การปรึกษาทีมวิศวกรที่มีประสบการณ์ตรงจะช่วยลดความผิดพลาดและป้องกันความเสียหายต่อสายการผลิตได้อย่างยั่งยืนครับ