Matriz de comunicaciones de una subestación

Respuesta corta

La matriz de comunicaciones de una subestación es la tabla que dice quién habla con quién, con qué protocolo y puerto, sobre qué VLAN, con qué periodicidad y con qué protección. A diferencia de la lista de señales, que describe los datos, la matriz describe los flujos. De ella salen las reglas del cortafuegos, el plan de VLAN, el cálculo de ancho de banda, las pruebas de red y la evidencia para una auditoría.

Qué es la matriz de comunicaciones

En una subestación moderna conviven decenas de conversaciones simultáneas: los IED se hablan entre sí, informan al SCADA local, un gateway reporta al centro de control, los medidores responden al sistema de energía, los relojes distribuyen la hora y alguien, de vez en cuando, entra a ingeniería desde fuera. Si esas conversaciones no están escritas en un solo lugar, cada una vive en la cabeza de quien la configuró.

La matriz de comunicaciones es ese lugar. Es una tabla en la que cada fila es un flujo de datos y cada columna responde una pregunta sobre él: quién lo origina, quién lo recibe, por qué protocolo y puerto viaja, en qué VLAN, con qué periodicidad y con qué protección. No describe los datos uno por uno, para eso está la lista de señales de la subestación; describe el camino que recorren y quién tiene derecho a recorrerlo.

Qué flujos recoge

Los flujos de una subestación se agrupan por función. Cada grupo suele tener un transporte distinto y, por tanto, reglas distintas:

Flujo	Protocolo y transporte	Particularidad
Disparo y enclavamiento entre IED	GOOSE sobre Ethernet, tipo de trama 0x88B8	Multicast de capa 2: no cruza routers ni se filtra por dirección IP
Valores muestreados de las unidades de campo a las protecciones	Sampled Values, tipo de trama 0x88BA	Multicast de capa 2, caudal constante y alto
Reportes y mandos entre IED y SCADA local	MMS sobre TCP, puerto 102	Asociación cliente-servidor que se mantiene abierta
Gateway hacia el centro de control	IEC 60870-5-104 sobre TCP, puerto 2404, o DNP3, puerto 20000	Cruza la frontera de la subestación: es el flujo más vigilado
Medidores, servicios auxiliares e inversores	Modbus TCP, puerto 502	Sondeo cíclico, sin seguridad propia en su versión básica
Sincronización de hora	NTP, puerto UDP 123, o PTP según IEEE 1588	Un fallo aquí degrada el estampado de todo lo demás
Gestión y supervisión de la red	SNMP, syslog, HTTPS, SSH	Tráfico de administración, con acceso restringido
Ingeniería y acceso remoto	VPN y servidor de salto	Conexión temporal que debe quedar registrada

Los detalles de cada protocolo están en las guías de GOOSE, MMS, Modbus y puerto 2404 de IEC 104. Aquí interesa algo más simple: que cada flujo exista como una fila.

Qué columnas lleva

No hay un formato obligatorio, pero una matriz útil responde, como mínimo, estas preguntas:

Identificador del flujo. Un código que permita citarlo en pruebas, en el cortafuegos y en el informe de aceptación.
Origen y destino. Equipo, zona de la red y, si aplica, dirección IP o dirección multicast.
Servicio o función. Qué hace el flujo: disparo, reporte, mando, hora, gestión.
Protocolo y puerto, o tipo de trama. Lo que realmente aparece en una captura de tráfico.
Quién inicia la conexión. Es lo que define la dirección de la regla en un cortafuegos.
VLAN y prioridad. Según el plan de direccionamiento IP y VLAN y el etiquetado IEEE 802.1Q.
Periodicidad y volumen. Cíclico, por evento o por demanda, con el caudal estimado.
Criticidad y redundancia. Qué pasa si el flujo se interrumpe y por qué camino alterno se recupera.
Seguridad. Si el flujo va en claro, autenticado o cifrado, y qué control de acceso aplica.
Observaciones y responsable. Quién responde por ese flujo cuando falla.

Una columna vacía es una pregunta que alguien tendrá que responder durante la puesta en servicio, con la subestación ya cableada.

De dónde salen los datos

La matriz no se inventa: se obtiene de documentos que ya existen y se reconcilia entre ellos.

Del archivo de configuración SCD, en una subestación IEC 61850, salen los GOOSE, los valores muestreados y los reportes: quién publica, quién se suscribe, con qué dirección y qué VLAN. Se explica en la guía de archivos SCL.
De la lista de señales salen los flujos hacia el centro de control y el protocolo de cada uno.
Del plan de direccionamiento salen las direcciones, las subredes y las VLAN.
De las especificaciones de los equipos auxiliares salen los medidores, los cargadores, los inversores y los demás dispositivos que se integran por Modbus u otro protocolo.
De la política de acceso remoto salen los flujos de ingeniería y de soporte de los fabricantes.

Si dos documentos se contradicen, la matriz lo evidencia: una dirección que figura en el SCD y no en el plan, un gateway que espera un puerto que el cortafuegos no abre. Detectarlo en oficina es barato; detectarlo con el tablero energizado, no.

Para qué se usa

Reglas del cortafuegos. Cada fila que cruza una zona se convierte en una regla explícita. Lo que no figura en la matriz queda denegado por defecto. Es el principio de la segmentación en zonas y conductos de la serie IEC 62443, y un cortafuegos industrial bien configurado es, en la práctica, la matriz traducida a reglas.

Plan de VLAN y prioridad. Los flujos de disparo y de valores muestreados no deben compartir cola con el tráfico de gestión. La matriz muestra qué va con qué.

Ancho de banda. Sumar el caudal de cada flujo por enlace permite comprobar que ningún puerto ni enlace troncal quede cerca de su límite. La guía de ancho de banda de Sampled Values y GOOSE da el criterio.

Pruebas. Cada fila tiene su comprobación: ¿el flujo existe?, ¿llega al destino previsto?, ¿se interrumpe y se recupera por la ruta alterna? Es el hilo conductor de las pruebas de la red de comunicaciones.

Auditoría y operación. Una matriz vigente permite demostrar qué comunicaciones estaban autorizadas y detectar las que no lo estaban. Para el operador, es también la primera hoja que se abre cuando un enlace se cae.

Cómo se clasifica un flujo nuevo en la matriz

¿El flujo es de tiempo crítico (disparo, enclavamiento o valores muestreados)?
- Sí: Capa 2, VLAN propia con prioridad alta, sin pasar por routers ni cortafuegos
- No: ¿El flujo cruza la frontera de una zona de seguridad?
  - Sí: Regla explícita de cortafuegos con origen, destino y puerto, y registro de eventos
  - No: ¿Es tráfico de gestión o de ingeniería?
    - Sí: VLAN de gestión, acceso limitado a estaciones autorizadas
    - No: VLAN de la función correspondiente, con la prioridad que le toque

Errores frecuentes

Una matriz hecha una sola vez y sin dueño. Se entrega con la puesta en servicio y nadie la actualiza: a los dos años describe una subestación que ya no existe.
Documentar solo lo IP. Los GOOSE y los valores muestreados no tienen dirección IP, pero son los flujos más sensibles. Si no aparecen, no se pueden proteger ni probar.
Reglas de cortafuegos más amplias que la matriz. Se abren rangos de puertos «por si acaso» y el cortafuegos deja de ser una barrera.
Flujos de fabricantes sin registrar. Servicios de monitoreo remoto o de actualización de firmware que salen a internet y que nadie dibujó. En una auditoría de brechas OT suelen ser el hallazgo principal.

Cómo se verifica contra la realidad

Una matriz es una hipótesis hasta que se compara con lo que circula. La captura de tráfico con Wireshark en puertos espejo, o la supervisión continua con SNMP y syslog, muestran qué conversaciones existen. Todo flujo observado que no figura en la matriz es un hallazgo: o falta una fila, o hay un equipo configurado de más.

La matriz con Tiza Group

En Tiza Group elaboramos la matriz de comunicaciones como parte de la ingeniería de comunicaciones de subestaciones y plantas, la reconciliamos con el SCD, la lista de señales y el plan de direccionamiento, y la usamos como guion de las pruebas de aceptación y de la integración SCADA y gateways. Si ya tiene una instalación en servicio y no sabe qué circula por su red, le cotizamos el levantamiento. Las señales de servicios auxiliares que recoge una RTU de entradas y salidas discretas, y cómo se cablean y estampan, se describen en RTU de servicios auxiliares.

Guías relacionadas

Referencias

IEC 61850-8-1: mapeo a MMS y a ISO/IEC 8802-3 (GOOSE).
IEC 61850-9-2: valores muestreados sobre ISO/IEC 8802-3.
IEC TR 61850-90-4: guía de ingeniería de redes para la automatización de sistemas de potencia.
IEC 60870-5-104: acceso a red para IEC 60870-5-101 mediante perfiles de transporte estándar.
IEC 62443-3-2: evaluación de riesgos de seguridad y diseño del sistema, con zonas y conductos.
IEEE 1588: protocolo de sincronización de reloj de precisión para sistemas de medida y control.

Preguntas frecuentes

¿Cuál es la diferencia entre la lista de señales y la matriz de comunicaciones?

La lista de señales describe cada dato: su nombre, su tipo, su dirección en el protocolo y su calidad. La matriz describe cada flujo: quién lo origina, quién lo recibe, por qué protocolo y puerto, en qué VLAN y con qué periodicidad. Un mismo flujo, como la sesión de 104 hacia el centro de control, transporta cientos de señales. Una documenta el contenido y la otra el camino.

¿Quién debe elaborar y mantener la matriz?

La elabora quien diseña la red, con datos del integrador de protección y control, del proveedor del SCADA y del operador del centro de control. Debe tener un único responsable y un control de cambios, porque cada modificación de un IED, de un gateway o de un acceso remoto cambia un flujo y, con él, una regla de cortafuegos.

¿La matriz sirve en una subestación convencional sin IEC 61850?

Sí. Aunque no existan GOOSE ni valores muestreados, siguen existiendo flujos de SCADA, de medidores por Modbus, de hora, de gestión de equipos y de acceso remoto. La matriz es más corta, pero cumple la misma función: saber qué debe estar permitido y detectar todo lo que no figura en ella.