Uno de los errores más comunes que sigo encontrando en proyectos de redes OT es escuchar frases como:
"Esta es la VLAN de Nivel 1" o "Esta es la VLAN de Nivel 2".
El problema es que el modelo Purdue nunca fue creado para definir VLANs, subredes o esquemas de direccionamiento IP.
El modelo Purdue, definido y adoptado en estándares como ISA-95 y la ISA/IEC 62443, fue diseñado para clasificar activos y funciones industriales según su rol dentro de la arquitectura de automatización. Su objetivo es ayudar a entender las responsabilidades de cada sistema, no diseñar directamente la topología de red.
Un ejemplo práctico:
Un PLC pertenece al Nivel 1 del modelo Purdue.
Pero ese mismo PLC puede tener de varias interfaces de comunicación:
- Una interfaz Ethernet conectada a HMIs y SCADA.
- Una interfaz de comunicaciones de campo conectada a sensores y actuadores de Nivel 0.
- Una tercera interfaz conectada a una red entre PLCs de áreas o esclavos.
Entonces, ¿a qué VLAN pertenece ese PLC?
La respuesta correcta es: depende de la función de cada interfaz y del flujo de comunicación que se desea controlar, no del nivel Purdue asignado al equipo.
De hecho, un mismo dispositivo puede participar simultáneamente en comunicaciones asociadas a varios niveles Purdue.
Por eso, diseñar VLANs bajo la lógica VLAN Nivel 0 o VLAN Nivel 1,2 ..3 esta mal y vas a tener problemas para justificarlo y mas aun para implementarlo:
- Purdue clasifica funciones.
- Las VLANs segmentan comunicaciones.
Son conceptos relacionados, pero no equivalentes.
Cuando intentamos obligar a la red a seguir estrictamente el modelo Purdue, terminamos diseñando una arquitectura difícil de operar y mantener.
Mi recomendación:
Si desean asociar las VLAN con Purdue, háganlo como una referencia funcional, no como una restricción absoluta.
En lugar de definir:
❌ VLAN Nivel 1
consideren definir:
- VLAN Nivel 0-1 Área de Envasado
- VLAN Nivel 1-2 Línea 3
- VLAN Nivel 0-1 Utilities
Que Opinas? Quieres que te apoye en alguna duda o proyecto relacionado?
Por: Sebastian Castrillón Ospina - IEC/ISA 62443 Certificado