La red de comunicaciones de una subestación transporta disparos, enclavamientos y mandos, así que su estado se supervisa como el de cualquier equipo de protección. Las alarmas de enlace caído, pérdida de redundancia PRP o HSR, falla de fuente y cambios de configuración se recogen con SNMP, preferiblemente en su versión 3, y con syslog, y las esenciales llegan al SCADA. IEC 62351-7 define objetos de supervisión propios del sector eléctrico con su mapeo a SNMP.
Por qué supervisar la red
En una subestación con IEC 61850, la red Ethernet lleva disparos por GOOSE, enclavamientos entre bahías, valores muestreados en el bus de proceso y los mandos del centro de control. Una falla de la red es, en la práctica, una falla del sistema de protección y control. Sin embargo, muchas redes se entregan sin supervisión: los switches funcionan, nadie mira su estado y la primera señal de un problema es un enclavamiento que no se libera o un disparo que no llega.
La redundancia agrava el riesgo en silencio. Con PRP o HSR, la pérdida de una LAN o de un tramo del anillo no interrumpe nada; el tráfico sigue pasando por el otro camino. Si nadie se entera, la subestación queda operando sin redundancia hasta que falla el segundo camino. La supervisión existe para que esa primera falla se vea y se corrija.
Qué alarmas llevar al SCADA
No todo lo que reporta un switch interesa al operador. Una clasificación práctica separa lo que va al SCADA de lo que va a un sistema de gestión de red:
| Evento | Al SCADA | A la gestión de red |
|---|---|---|
| Falla del switch o de una de sus fuentes | Sí | Sí |
| Enlace caído en un puerto con tráfico de protección o un enlace troncal | Sí | Sí |
| Pérdida de una LAN de PRP o de un sentido del anillo HSR | Sí | Sí |
| Cambio de topología del anillo RSTP | Sí, como alarma | Con el detalle del puerto |
| Errores de trama en un puerto | No | Sí |
| Temperatura interna alta | Según el diseño | Sí |
| Cambio de configuración o acceso de administración | Según la política de seguridad | Sí, con usuario y hora |
El contacto de alarma del switch, cableado a una entrada del controlador de bahía, cubre la falla grave del equipo. Lo demás llega por protocolos de gestión.
SNMP: versiones y uso
SNMP (Simple Network Management Protocol) es el protocolo estándar de gestión de equipos de red. El gestor consulta periódicamente los valores del equipo y este envía notificaciones (traps o informs) cuando ocurre un evento. Los valores se organizan en bases de información (MIB): las estándar, comunes a todos los fabricantes, y las privadas, con datos propios de cada modelo.
La versión importa por seguridad:
- SNMPv1 y v2c identifican al gestor con una cadena de comunidad que viaja en texto claro. Quien capture el tráfico la obtiene y, si la comunidad de escritura está habilitada, puede cambiar la configuración del switch.
- SNMPv3 añade un modelo de seguridad basado en usuarios, con autenticación y, si se habilita, cifrado de los mensajes.
En una subestación la práctica es usar SNMPv3, dejar el acceso en solo lectura salvo justificación, y restringir qué direcciones pueden consultar al equipo.
Syslog y registro centralizado
Syslog es el formato estándar para que un equipo envíe sus mensajes de registro a un servidor central. Switches, routers, firewalls y muchos IED lo soportan. Donde SNMP responde «qué estado tiene el equipo», syslog responde «qué pasó y cuándo»: arranques, cambios de puerto, cambios de configuración, accesos correctos y fallidos.
Para que sirva, el registro debe estar centralizado y con tiempo sincronizado. Un evento con la hora equivocada no se puede correlacionar con el registro de eventos del SCADA ni con una oscilografía. Por eso la supervisión de la red depende también de la sincronización de tiempo.
Lo que aportan IEC 61850 e IEC 62351-7
Los IED también supervisan la red desde su lado. En IEC 61850, el nodo lógico LGOS supervisa cada suscripción GOOSE y LCCH supervisa los canales físicos de comunicación del IED. Sus alarmas revelan problemas que el switch no reporta, como un GOOSE que dejó de llegar por un error de configuración. La guía del switch Ethernet de subestación menciona además el modelo de objetos de puente de IEC TR 61850-90-4, que permite leer el estado del switch con el mismo modelo que los IED.
IEC 62351-7 define objetos de supervisión de redes y sistemas (NSM) propios del sector eléctrico, para vigilar la salud de la red, de los IED y de las RTU y apoyar la detección de intrusiones, con su mapeo a MIB de SNMP. Su segunda edición, de 2025, reemplazó a la de 2017. La guía de IEC 62351 ubica esta parte dentro de la serie.
- 01Evento en el switchUn enlace cae o una LAN de PRP pierde la redundancia
- 02NotificaciónEl switch envía un trap SNMPv3 y un mensaje syslog
- 03Gestor de redRegistra el evento con su hora y clasifica la alarma
- 04Gateway o SCADARecibe las alarmas esenciales como señales de la subestación
- 05OperadorVe la alarma y abre la orden de trabajo antes de que falle el segundo camino
Relación con la ciberseguridad
La supervisión de la red es también un control de seguridad. IEC 62443-3-3, en su requisito fundamental de respuesta oportuna a eventos, pide que los registros de auditoría estén accesibles y que el sistema se supervise de forma continua. Un switch que reporta cada acceso de administración y cada cambio de configuración permite detectar un uso indebido; uno que no reporta nada lo oculta.
Al mismo tiempo, el protocolo de gestión es una puerta de entrada. Por eso se aplican las mismas reglas que en el resto de la red: gestión en una VLAN propia, SNMPv3, cuentas individuales y acceso solo desde equipos autorizados. El monitoreo del tráfico para detectar comportamientos anómalos es un paso más, propio de los sistemas de detección de intrusos.
Errores frecuentes
- Comunidades SNMP por defecto (las de fábrica) habilitadas en lectura y escritura.
- Supervisar solo el contacto de alarma y no la pérdida de redundancia, que no activa ese contacto en muchos modelos.
- Syslog enviado a un servidor que nadie revisa o sin espacio de almacenamiento.
- Alarmas de red sin texto claro en el SCADA, como «SW3 P12», que el operador no sabe interpretar.
- Relojes desincronizados entre switches, IED y servidor de registros.
Cómo se lo resolvemos
La supervisión de la red se define en la ingeniería: qué alarmas se generan, por qué protocolo, cómo se nombran y cómo llegan al gateway y al SCADA. En Tiza Group hacemos la configuración de control, protecciones y comunicaciones, incluida la integración de alarmas de red al SCADA, en subestaciones de media, alta y extra alta tensión y en industria. Cuéntenos qué equipos tiene y qué necesita supervisar.
Guías relacionadas
- Switch Ethernet de subestación
- Red de comunicaciones de subestación
- PRP y HSR: redundancia sin pérdida de tramas
- RSTP y redundancia Ethernet
- Router y firewall industrial
- Sistema SCADA y HMI de subestación
- Gestión de configuración: versiones de ajustes y del SCD
- Comunicaciones de subestación por nivel de tensión
Referencias
- IEC TR 61850-90-4:2020, Network engineering guidelines.
- IEC 61850-7-4, Compatible logical node classes and data object classes (LGOS, LCCH).
- IEC 62351-7:2025, Network and System Management (NSM) data object models.
- IEC 62443-3-3, System security requirements and security levels.
- IEC 62439-3, Parallel Redundancy Protocol (PRP) and High-availability Seamless Redundancy (HSR).
- IETF RFC 3414, User-based Security Model (USM) for SNMPv3.
- IETF RFC 5424, The Syslog Protocol.
Preguntas frecuentes
¿Qué alarmas de los switches deben llegar al SCADA de la subestación?
Como mínimo, la falla del equipo o de una de sus fuentes, la caída de los enlaces que llevan tráfico de protección, la pérdida de redundancia de la red (una LAN de PRP o un sentido del anillo HSR) y los cambios de topología del anillo. El resto de eventos, como errores de puerto o accesos, puede ir a un sistema de gestión de red.
¿Por qué se recomienda SNMPv3 y no SNMPv1 o v2c?
Porque SNMPv1 y v2c identifican al gestor con una cadena de comunidad que viaja en texto claro y no cifran nada. SNMPv3 añade autenticación de usuario y, si se habilita, cifrado de los mensajes, lo que evita que cualquiera en la red lea o cambie la configuración del switch.
¿Basta con el contacto de alarma del switch cableado a una entrada del controlador de bahía?
Sirve para la falla grave del equipo, pero no dice qué puerto se cayó ni si la red perdió la redundancia mientras sigue funcionando. Por eso se combina con SNMP o syslog y con la supervisión que hacen los propios IED de sus suscripciones GOOSE y de sus puertos.