La etiqueta IEEE 802.1Q agrega a cada trama Ethernet un identificador de VLAN y una prioridad. En una subestación sirve para entregar cada GOOSE y cada flujo de valores muestreados solo a los puertos que lo necesitan y para que pasen antes que el tráfico de MMS, ingeniería o video. Sin VLAN ni filtrado, el multicast llega a todos los IED y puede saturar la red.
Qué es IEEE 802.1Q y qué define
IEEE 802.1Q es la norma de puentes y redes con puentes de IEEE; la edición vigente es 802.1Q-2022. Entre muchas otras cosas define la etiqueta VLAN: un campo de 4 octetos que se inserta en la trama Ethernet, después de la dirección de origen, con:
- TPID, el tipo 0x8100, que avisa que la trama está etiquetada;
- PCP, la prioridad, de 3 bits, con valores de 0 a 7 (lo que antes se llamaba 802.1p);
- DEI, un bit que marca las tramas que pueden descartarse primero en caso de congestión;
- VID, el identificador de VLAN, de 12 bits: válidos de 1 a 4094. El valor 0 indica una trama que solo lleva prioridad, sin VLAN.
Dónde se usa y por qué
En la arquitectura de comunicaciones de subestación, la VLAN y la prioridad ordenan el tráfico del bus de estación y del bus de proceso. GOOSE y valores muestreados son multicast de capa 2. Un switch sin configurar reenvía el multicast a todos sus puertos, como si fuera difusión. En un bus de proceso, un flujo de valores muestreados de 9-2LE a 80 muestras por ciclo ocupa, según un fabricante de relés, unos 5,8 Mbit/s a 60 Hz; unos pocos flujos sin filtrar bastan para cargar puertos de 100 Mbit/s que no los necesitan. Un caso publicado por el mismo fabricante describe una red donde cada GOOSE llegaba a todos los IED, con decenas de Mbit/s de carga.
La VLAN y la prioridad resuelven dos cosas:
- Segregación: cada mensaje llega solo a los puertos de su VLAN.
- Prioridad: en cada salida, el GOOSE de disparo se adelanta al tráfico de MMS, ingeniería o video.
Cómo funciona
Identificación del tráfico. GOOSE usa el tipo Ethernet 0x88B8 y SV el 0x88BA. Sus direcciones de destino multicast empiezan por 01-0C-CD; el cuarto octeto es 01 para GOOSE y 04 para SV. El publicador fija la dirección, la VLAN y la prioridad en su configuración (en el archivo SCL).
Valores por defecto. IEC 61850 prescribe por defecto tramas GOOSE y SV con etiqueta solo de prioridad: VID 0 y prioridad 4. Un switch trata una trama con VID 0 como no etiquetada y la mete en la VLAN nativa del puerto, es decir, sin segregación. Por eso las guías de diseño de fabricantes de relés y de redes recomiendan asignar un VID distinto de cero.
Comportamiento del switch.
- Ingreso: una trama etiquetada entra a su VLAN si el puerto la admite; una sin etiqueta entra a la VLAN nativa (PVID).
- Egreso: en los puertos troncales, la trama sale con su etiqueta; en los de acceso, sale sin ella.
- Colas: el PCP se mapea a colas de salida. Los switches de subestación suelen tener varias colas con planificación estricta o ponderada; con planificación estricta, una cola baja solo transmite cuando las altas están vacías.
Filtrado multicast. Dentro de una VLAN, el multicast se sigue inundando a todos sus puertos. Para limitarlo hay tres herramientas:
- Filtros estáticos de direcciones multicast por puerto.
- Registro de capa 2 (GMRP, hoy MMRP en 802.1Q), que pocos IED soportan.
- IGMP snooping, que solo actúa sobre multicast IP: sirve para GOOSE y SV enrutables sobre UDP/IP, no para los clásicos.
Una guía de diseño de un fabricante de redes recomienda VLAN únicas por IED o por mensaje y filtros en la salida hacia los suscriptores, porque en anillos el filtrado en troncales no es práctico.
Configuración
- Plan de VLAN por función: GOOSE de disparo, GOOSE de enclavamiento, SV por bahía, MMS, gestión, video.
- Prioridad: según IEC TR 61850-90-4, alta para GOOSE de disparo y teledisparo, media para enclavamientos y valores analógicos.
- Puertos de los IED con las VLAN que publican y a las que se suscriben; troncales con todas las VLAN que pasan.
- Confianza en la prioridad de ingreso: un switch puede reescribir el PCP si el puerto no confía en él.
- Coherencia con el SCD: VLAN, prioridad y dirección de cada GOOSE y SV iguales en el archivo de configuración y en la red. Todo eso se define en los archivos SCL.
Seguridad
Las VLAN separan tráfico, pero no son una barrera de seguridad por sí solas. Se complementan con puertos sin uso cerrados, autenticación de puertos IEEE 802.1X donde aplique, una VLAN de gestión aislada y la autenticación de GOOSE y SV de IEC 62351. El paso entre VLAN o hacia el centro de control se hace por un router y cortafuegos industrial.
Problemas típicos en campo y diagnóstico
- GOOSE que no llega tras cambiar un switch: VLAN no permitida en el puerto o VLAN nativa distinta.
- GOOSE con VID 0 inundado a todos los puertos.
- Prioridad reescrita por un puerto que no confía en el PCP.
- SV saturando puertos de IED que no los usan.
- Etiqueta invisible en Wireshark porque la tarjeta la quita: capturar en un puerto espejo.
- Equipo de prueba o portátil que no recibe tramas etiquetadas.
El diagnóstico combina la captura (VID, PCP, dirección y tipo de cada trama), la configuración de VLAN por puerto, los contadores de tráfico y la supervisión de cada suscripción en el IED.
Convivencia con otros protocolos
La etiqueta 802.1Q convive con PRP y HSR (la etiqueta HSR va después de la VLAN), con RSTP y con PTP, que en algunos perfiles también se etiqueta. MMS y los protocolos de telecontrol viajan sobre IP en sus propias VLAN. Ver el switch Ethernet de subestación.
Pruebas
- Configuración contra diseño: VLAN por puerto, nativas, troncales y prioridades, comparadas con el SCD.
- Entrega: con el equipo de prueba suscrito en cada puerto, cada IED recibe solo lo que debe.
- Prioridad bajo carga: tiempo de transferencia del GOOSE de disparo con tráfico de fondo.
- Carga de puertos con todos los flujos SV activos.
- Respaldo de la configuración final, y luego las pruebas extremo a extremo de las funciones que usan GOOSE y SV.
VLAN y prioridad con Tiza Group
¿Sus GOOSE llegan a todos los IED o se perdieron tras un cambio en la red? En Tiza Group revisamos la configuración de los IED con nuestra configuración remota de relés y, en sitio, diseñamos y probamos la red con nuestra ingeniería de comunicaciones IEC 61850, en media, alta y extra alta tensión, en subestaciones e industria.
Referencias
- IEEE 802.1Q-2022: puentes y redes con puentes.
- IEC 61850-8-1 e IEC 61850-9-2: GOOSE, MMS y valores muestreados (anexos de VLAN y direcciones multicast).
- IEC TR 61850-90-4: guía de ingeniería de redes para la automatización de sistemas de potencia.
- IETF RFC 4541: consideraciones para switches con IGMP snooping.
Preguntas frecuentes
¿Por qué un GOOSE deja de llegar después de cambiar un switch?
La causa más común es que el puerto del switch nuevo no tiene permitida la VLAN del GOOSE o lo saca sin etiqueta por la VLAN nativa. Compare la configuración de VLAN por puerto con la del switch anterior y con el diseño de red.
¿Por qué no veo la etiqueta VLAN en Wireshark?
Muchas tarjetas de red y controladores quitan la etiqueta antes de que el programa de captura la vea. Capture en un puerto espejo del switch con una tarjeta que conserve las etiquetas o con el equipo de prueba de IEC 61850.
¿Sirve el IGMP snooping para filtrar GOOSE?
No para el GOOSE y los valores muestreados clásicos, que son multicast de capa 2 sin IP. IGMP solo actúa sobre multicast IP. Para GOOSE y SV se usan VLAN, filtros multicast estáticos o un protocolo de registro de capa 2 si los equipos lo admiten.