SCADA e EMS – Perché sono diversi?

In questo articolo ho deciso di concentrarmi sullo SCADA. All’inizio volevo confrontare SCADA e EMS, come avevo fatto nell’articolo su EMS vs BMS, che vi invito a leggere quando avrete tempo. Ma parlando con Manu — a Manu faccio spesso domande giusto per imparare qualcosa in più su un argomento — mi sono resa conto che contrapporre SCADA e EMS non era in realtà una buona idea. E vi spiego perché.

Che cos’è lo SCADA?

Lo SCADA è il sistema di supervisione di un impianto che controlla un processo produttivo. (In inglese si parla di Supervisory Control and Data Acquisition).

E, come forse sapete, l’EMS è il sistema che monitora le condizioni ambientali critiche.

E che cosa fa esattamente uno SCADA?

Uno SCADA (che scriverete sempre in maiuscolo, come molti acronimi :)) è un sistema di supervisione globale, capace di interagire con tutti i moduli che lo compongono e di influenzarli. È uno strato superiore che si sovrappone a questi moduli e li supervisiona.

Per esempio, uno SCADA può informarvi che qualcuno ha passato il badge alla porta 1 del vostro laboratorio ma che, poiché la porta 2 è già aperta e la pressione è quindi calata, bloccherà l’accesso e non aprirà la porta 1.

Come distinguere SCADA e EMS?

Quello che dovete assolutamente ricordare è che la finalità di questi sistemi non è la stessa. Nelle industrie iper-regolamentate come quella farmaceutica (ma non solo), le autorità regolatorie vi obbligano a dotarvi di strumenti che non interpretino i vostri dati e non piloti le vostre apparecchiature, ma che li raccolgano comunque, li conservino e li documentino. Il riferimento qui è all’integrità dei dati (21 CFR Part 11).

In che cosa differiscono dunque EMS e SCADA? Uno SCADA è un sistema dotato di PLC, con supervisione e con la possibilità di intervenire sui parametri direttamente dalla schermata di supervisione. Un EMS, al contrario, non può in alcun modo influenzare i parametri. Esatto: è un sistema neutro, che non può prendere il controllo dell’ambiente che sta misurando. Non può regolarsi da sé. Non lo dico io: lo dice la legge.

Mi seguite?

Ecco un piccolo esempio con la temperatura…

Il vostro termostato è impostato su 26°. Se guardate il termostato e indica 26°, pensate “evviva” e vi mettete a correre in costume per i corridoi gridando che sono le vacanze e che volete un mojito (be’, lo ammetto, questo Manu non me l’ha detto).

Ma il fatto che il termostato indichi 26° dimostra che nella stanza ci sono davvero 26°? No. Significa soltanto che è stato impostato un setpoint di temperatura a 26° e che dietro c’è un processo che porta la temperatura della stanza a 26°. Il termostato è un po’ come il vostro SCADA.

Se volete la certezza che ci siano 26°, non è sullo schermo del termostato che dovete verificarlo, ma sul termometro che metterete al centro della stanza. Il termometro è un po’ come il vostro EMS.

Si possono usare le stesse apparecchiature per l’EMS e per lo SCADA?

Vi starete chiedendo: “In che senso?”.

Immaginate di usare la stessa sonda per regolare e per monitorare la temperatura del locale.

Se questa sonda deriva di un grado (cioè sovrastima la temperatura di un grado), il vostro termostato indicherà 27° e non 26°.

E poiché usate la stessa sonda per monitorare e per regolare l’ambiente, il sistema non si accorgerà che nella stanza ci sono 26° (dato che la sonda deriva di un grado, il sistema crede che ce ne siano 27). Di conseguenza darà l’ordine di immettere aria fredda per abbassare la temperatura di un grado. E così, alla fine, la vostra temperatura non sarà più di 26° ma piuttosto di… 25°. Mi seguite?

Nel vostro ufficio non è poi così grave. Vi togliete uno strato, ve lo rimettete… In fondo nessuno tiene traccia delle curve di temperatura del vostro condizionatore mentre lavorate (be’, dipende da dove lavorate) e il peggio che possa capitarvi è un raffreddore!

Ma sul vostro sito di produzione farmaceutica lo stesso scenario può avere conseguenze potenzialmente disastrose e catastrofiche, come la distruzione di un lotto o addirittura dell’intera produzione.

Meglio non correre rischi, vero?

Perché lo SCADA non dovrebbe occuparsi della parte EMS?

Installazione e configurazione

Un EMS come Mirrhia viene fornito con template pronti all’uso e documentazione standard che semplificano la configurazione del sistema, mentre uno SCADA richiede sviluppi su misura (capitolato, protocollo, documentazione ecc.). Da noi, installazione e configurazione sono una passeggiata!

Connettività

Come è ovvio, un EMS è dedicato al monitoraggio ambientale dei locali controllati, delle apparecchiature ecc. Potete quindi immaginare che un EMS (come Mirrhia) sia stato progettato per offrire una connettività solida, integrata e pre-convalidata con le apparecchiature critiche: contatori di particelle, campionatori d’aria e così via.

Qualifica

La qualifica in loco del nostro EMS è ridotta al minimo, mentre per lo SCADA è richiesta una qualifica completa (considerato sviluppo su misura: categoria 5). La nostra soluzione è pre-qualificata e pacchettizzata. Il nostro sistema non ha più bisogno di essere qualificato sul posto. Il merito, evidentemente, è del nostro reparto QA interno.

Evolutività

In Mirrhia siamo molto sensibili a questo tema. Ovviamente non siamo compatibili con le ultime versioni Microsoft prima ancora che escano (non siamo così magici), ma quando le nuove versioni arrivano effettuiamo una qualifica di Mirrhia sul nuovo sistema operativo e sulle nuove versioni dei database, per seguire tutte le evoluzioni e restare compatibili.

Con alcuni sistemi, se dovete aggiornare il sistema operativo o i server per ragioni di sicurezza informatica (cosa sempre più frequente), sarete costretti a eseguire una qualifica sul nuovo OS ed eventualmente a passare a nuove versioni. E tutto questo avrà un costo.

Costo

Vi avviso: è un capitolo corposo, ma devo affrontarlo. Capirete ancora meglio perché è preferibile evitare lo SCADA per la parte EMS.

Certo, con lo SCADA si possono contenere i costi usando le stesse sonde (per regolare e monitorare), la stessa automazione per l’acquisizione… e, spingiamoci oltre, gli stessi cavi. Si potrebbe pensare di risparmiare molto ma, come abbiamo dimostrato nell’esempio precedente, usare la stessa strumentazione per entrambe le funzioni è una falsa buona idea. Nessun risparmio, dunque.

Ci sono poi altri costi, quelli nascosti, che si moltiplicano: per esempio i costi legati a

• Lo sviluppo e l’integrazione di nuove funzioni software (molte delle quali sono già integrate in Mirrhia):
  • La manutenzione predittiva sulle sonde.
  • La gestione elettronica dei lotti.
  • Ecc.
• Gli sviluppi normativi (ve l’ho detto poco fa: Mirrhia dispone di un proprio reparto di Assicurazione Qualità (QA) che segue tutte le principali evoluzioni. Questo garantisce che il nostro software sia costantemente conforme alla legislazione).
  • Nel 2019, per esempio, è stato pubblicato un importante aggiornamento dell’Allegato 11 che stabiliva che, in caso di allarme, bisognava giustificarne sistematicamente la presa in carico e quindi dimostrare chi ha fatto che cosa, quando e soprattutto perché. Il perché è di fatto diventato obbligatorio. Con Mirrhia è magia (ve l’ho detto, qui siamo nel paese delle meraviglie :)): in un attimo era implementato!
  • Ricordate anche che in alcuni sistemi aggiungere informazioni supplementari a ogni misura può comportare un numero maggiore di tag sullo SCADA e quindi una variazione del prezzo della licenza. Con Mirrhia non è così.
• L’evoluzione dei sistemi operativi e dei database, di cui abbiamo parlato sopra.

Ma perché rendere i sistemi indipendenti?

Per noi è molto importante separare i sistemi e rendere il sistema di monitoraggio ambientale indipendente dal resto. Lo scopo di un sistema di monitoraggio ambientale (EMS) è garantire l’integrità dei dati. E credetemi, è davvero cruciale! Per garantirla, il sistema di monitoraggio ambientale deve essere indipendente e limitarsi all’acquisizione dei dati (nessun controllo, nessun pilotaggio). L’EMS deve essere separato dal controllo di processo. Ciò elimina qualsiasi possibilità di interferenza.

Sistemi separati dal controllo di processo consentono un monitoraggio realmente indipendente, pronto per esempio per un successivo audit GMP.

Un esempio con la pressione differenziale…

Dal momento in cui un sistema riunisce più sottosistemi, ciascuno di essi può avere un impatto sul sistema principale.

Immaginate la situazione…

Supponete di avere una sonda di pressione differenziale in una camera di compensazione (questa sonda misura la differenza di pressione tra la camera e il locale adiacente), che la sonda serva a verificare che ci siano 15 Pa in più (questo è monitoraggio ambientale), che la stessa sonda possa indicare all’HVAC che, quando la pressione cala, va rialzata e che, infine, possa sbloccare l’interlock.

Qualcuno è entrato nella camera di compensazione creando così una depressione: la pressione è scesa. La porta si è chiusa, una persona si trova all’interno. Per evitare problemi, il sistema attende che la pressione sia risalita a 15 Pa prima di consentire l’apertura della porta successiva.

Significa che questa stessa sonda di pressione differenziale è utilizzata in 3 sistemi distinti:

• Nell’interlock, poiché determinerà automaticamente il periodo durante il quale la persona resterà bloccata.
• Nel monitoraggio ambientale, poiché ci sarà raccolta e archiviazione dei dati di pressione differenziale.
• Nella regolazione, poiché indicherà all’HVAC che la pressione deve essere rialzata.

In caso di problema (se per esempio perdete questa sonda di pressione), non c’è più regolazione, l’interlock crea un problema di gestione degli accessi e non c’è più alcuna registrazione ai fini del monitoraggio ambientale.

Questa terza conseguenza è molto fastidiosa, perché non avrete più alcun modo di dimostrare che non c’è stato alcun impatto sulla pressione della vostra zona. E se ci fosse stata la minima variazione di pressione, non potrete dimostrare che non ha avuto conseguenze sul vostro prodotto. Senza contare che, se dovete intervenire sul vostro automatismo per modificare qualcosa, ciò avrà un impatto critico sulla parte di monitoraggio ambientale.

Immaginate di dover fermare il vostro PLC… Vuol dire fermare il vostro EMS.

In conclusione

Lo SCADA è un sistema generico capace di fare moltissime cose, davvero. Non è però concepito in origine per il monitoraggio ambientale dei locali controllati e delle apparecchiature GMP, per esempio. È certamente possibile utilizzarlo a questo scopo, ma gli sforzi di sviluppo, i costi in risorse umane e finanziarie, il lavoro di manutenzione e di aggiornamento, gli adeguamenti in caso di modifiche legislative (in settori come il farmaceutico, la cosmetica, l’agroalimentare ecc.) sono molto più consistenti rispetto alla scelta di un EMS come Mirrhia.

Il vantaggio di disporre di un EMS dedicato al monitoraggio ambientale come il nostro è che è progettato appositamente per essere compatibile con tutta una serie di apparecchiature specifiche del monitoraggio ambientale — contatori di particelle, campionatori d’aria ecc. — con la robustezza e le tecnologie necessarie a garantire l’integrità dei dati! E, e, e… è una gran bella cosa!

In sostanza, non contrapponiamo SCADA e EMS. Vogliamo solo dirvi che è meglio avere un EMS indipendente e separato! Olé!

Un minuto con Marie

Volete vedere la serie “Un minuto con Marie” dedicata alle differenze tra EMS e SCADA?