Caso de uso de digitalización del Mantenimiento industrial
Enrique Martín
Consultor de desarrollo de negocio OT
TITANIUM
Sergio Gómez
Jefe de Mantenimiento
Bahía de Bizkaia Electricidad
1. RESUMEN
Hoy en día, la interconexión entre las redes de negocio y de operación es una tendencia irreversible en las organizaciones industriales. Los datos de producción necesitan alimentar aplicaciones de negocio que intentan optimizar el rendimiento de los recursos productivos y el coste operacional para mejorar las cuentas de resultados y la competitividad. Herramientas de eficiencia energética y mantenimiento predictivo se implantan en las redes de tecnología operacional (OT) con mayor o menor cuidado en el diseño seguro de las interconexiones desde y hacia fuera de estas redes, exponiendo de manera inintencionada los activos críticos de las organizaciones a incidentes de funcionamiento que pueden llegar a detener la producción de manera no programada. Esta nueva circunstancia obliga a los responsables del mantenimiento de estas redes a comenzar a vigilar los dispositivos electrónicos de su red para garantizar su correcta configuración y funcionamiento las 24 horas del día. Dado el alto número y tipologías de dispositivos que suelen existir en estas redes, es preciso ayudar a sus responsables a realizar esta vigilancia y monitorización de manera automática.
Además, debido a los retos impuestos por las normativas y estándares como NIS2 e IEC62443, es obligatorio disponer de herramientas que faciliten la gestión de los activos de manera eficiente y segura.
2. CONTENIDO
En este artículo, mostraremos una herramienta de vigilancia y monitorización de redes de control que permite ayudar en la detección de eventos del tipo:
- Cambios no solicitados o comunicados en la topología de la red de control
- Cambios no solicitados o comunicados en las configuraciones de los dispositivos
- Cambios no solicitados o comunicados en las versiones de firmware o software de los dispositivos
- Interrupciones en la conectividad de red de algún dispositivo
- Aparición de defectos publicados en el software o firmware de los dispositivos y que pueden ser utilizados para alterar su correcto funcionamiento
- Aparición de nuevos dispositivos/protocolos/aplicaciones en la red de control sin su conocimiento y documentación
Con este tipo de soluciones se logra la detección y comunicación de eventos potencialmente peligrosos para la producción de manera automática y desatendida.
Para entender mejor el caso de uso de este tipo de herramientas en una organización de mantenimiento industrial, se describirá el funcionamiento de la propia herramienta, el entorno tecnológico de la planta, los recursos necesarios para su despliegue, las tareas y plazos de su instalación y los resultados prácticos obtenidos con su utilización en ese entorno concreto.
El uso de la herramienta no solo permite una eficiente gestión y monitorización de redes de control, sino que también contribuye significativamente al cumplimiento de normativas y estándares internacionales como NIS2 e IEC62443. Estas normativas exigen una gestión rigurosa del inventario de hardware y software, así como la monitorización continua de los sistemas críticos para garantizar la seguridad y resiliencia de las infraestructuras.
2.1. Descripción de la solución
La herramienta Rutile se compone de varios módulos:
- La consola central de control
- Las sondas de recogida de información
La arquitectura distribuida de la solución es la siguiente:
Figura 1: Arquitectura de Rutile
Tal y como se puede ver en la Figura 1, cada red de control de la planta puede ser monitorizada por una sonda que se encargará de recoger la información de los Switches que conectan los dispositivos de control de esa zona y del tráfico de red que estos mismos dispositivos generan.
Toda esta información recogida por las sondas desplegadas en la planta se consolida en la consola central para su explotación.
2.1. Descripción del entorno de instalación
Todos los Sistemas de Control de la planta están Inter conexionados en una red principal redundante y a ésta se encuentran conectados la estación de operación y supervisión, la estación de ingeniería y mediante Gateway se enlaza la red principal con redes secundarias para conectar éstas con estaciones de gestión y explotación, y estaciones remotas (Telecontrol y Telemando).
Dadas las elevadas y peculiares exigencias en el control del proceso de regulación de los turbogeneradores de gas y vapor incorporan sistemas independientes autónomos especialmente diseñados para este servicio. No obstante una total transparencia en el control, supervisión y parametrización de estos sistemas de control mantienen intactas la filosofía de control distribuido, ya que a través de las Estaciones de Operación y Supervisión se dispone de gobierno sobre los citados sistemas.
De acuerdo con la configuración de la Planta existen una serie de subsistemas, principalmente las plantas paquete y el sistema eléctrico, que por su funcionamiento autónomo, disponen de un sistema propio de Control. Para ello este Sistema de Control principal genera una red de Control Secundaria de la cual cuelgan los Subsistemas:
De la misma manera que en los turbogeneradores, los principales controles y supervisión de estos subsistemas se realizan desde el Control Central, por lo que se mantiene la filosofía de Control Distribuido.
2.2. Instalación de la solución en el entorno
Para la monitorización de todos los sistemas y redes descritos anteriormente, se desplegó una consola central virtualizada sobre los servidores existentes en la planta y se desplegó una única sonda que tiene acceso a las redes de gestión de los switches y que recibe una copia del tráfico que cursan todos los elementos entre sí.
En un primer momento se configuraron las credenciales de acceso a los switches de la red para comprobar su validez y privilegios.
Posteriormente se realizó un descubrimiento activo de las redes mediante la extracción de la información que mantienen los switches en su memoria.
Esta información se complementó posteriormente con la que se extrajo del análisis del tráfico de la propia red.
La solución utiliza un algoritmo propietario de identificación de dispositivos a partir del tráfico de red y que utiliza inspección profunda de protocolos de niveles 2 – 7 para extraer toda la información de fabricante, modelo, firmware/software instalado y cualquier otra información que permita asignar el papel de dicho dispositivo en la red de control.
En ese momento, se consiguió representar el mapa topológico y físico de las redes de control y un inventario actualizado de todos los elementos operativos:
Figura 2: Mapa topológico de la planta
Para que toda esta información permanezca actualizada en tiempo “casi-real”, se configuraron una serie de trabajos periódicos que permitían al responsable de mantenimiento conocer cualquier cambio que se pudiera originar sobre los activos de las redes de control:
- Cambios no solicitados o comunicados en la topología de la red de control
- Cambios no solicitados o comunicados en las configuraciones de los dispositivos
- Cambios no solicitados o comunicados en las versiones de firmware o software de los dispositivos
- Interrupciones en la conectividad de red de algún dispositivo
- Aparición de defectos publicados en el software o firmware de los dispositivos y que pueden ser utilizados para alterar su correcto funcionamiento
- Aparición de nuevos dispositivos/protocolos/aplicaciones en la red de control sin su conocimiento y documentación
La duración total del despliegue de la solución fue de dos jornadas, incluyendo la programación de los trabajos periódicos.
3. Resultados prácticos de su operación
Durante el año de funcionamiento de la solución, se han detectado situaciones potencialmente peligrosas para la producción y que comentamos a continuación:
- Detección de activos no inventariados en algunos segmentos de la red de planta.
Figura 3: Nuevos activos conectados a la red de la planta
- Detección de cambios de configuración no autorizados mediante Orden de Trabajo en algunos Firewalls de la red de control.
Figura 4: Cambios de configuración en un Firewall
- Alertas sobre el estado de las deficiencias (vulnerabilidades) en el Sistema Operativo de distintos servidores de la red (Servidor de parches y máquinas de acceso remoto de proveedores de mantenimiento)
Figura 5: Variación de las vulnerabilidades en un servidor de la red
- Detección de problemas de comunicaciones en equipos de la red de control.
Figura 5: Variación de los tiempos de respuesta en un Switch de la red
4. CONCLUSIÓN
La implementación de este tipo de herramientas en las redes de control industrial no solo mejora la eficiencia operativa y la seguridad, sino que también asegura el cumplimiento con normativas esenciales como NIS2 e IEC62443. Al proporcionar una gestión integral del inventario de hardware y software, detección de cambios no autorizados y gestión proactiva de vulnerabilidades, este tipo de herramientas se posicionan como indispensables para las organizaciones industriales que buscan mantenerse competitivas y seguras en un entorno cada vez más interconectado.
