C135 PCS 7 (PCS7)
6C
6 Cielo Ciencia y Tecnología
·Publicada en C135 PCS 7 (PCS7)

Cómo detectar maestros de sincronización horaria SIMATIC erráticos (rogue) usando Wireshark

Para detectar maestros de sincronización horaria no autorizados o erráticos que transmiten telegramas horarios con el método SIMATIC en el bus de planta utilizando Wireshark, capture tráfico en un puerto de switch reflejado (mirrored) y aplique el filtro de visualización eth.dst == 09:00:06:01:ff:ef o llc[0:2] == 0xfefe. La sincronización horaria SIMATIC opera en la Capa 2 utilizando tramas de multidifusión (multicast) estándar de Siemens. Inspeccionar la dirección MAC de origen (eth.src) de los paquetes de hora capturados identifica la tarjeta de red transmisora; comparar esta MAC con la de HW Config aísla la CPU, la tarjeta CP o la estación de trabajo errática que transmite ajustes de reloj no coordinados.

Índice de contenidos

Estructura de trama de Capa 2 del método de sincronización horaria SIMATIC

En SIMATIC PCS 7, la sincronización horaria a través del bus de planta Industrial Ethernet puede operar utilizando el protocolo de red NTP (Network Time Protocol) en la Capa 3/4 o el modo propietario SIMATIC Mode en la Capa 2:
* Arquitectura de protocolo: El modo SIMATIC utiliza tramas de multidifusión sin procesar de ISO Industrial Ethernet sin encapsulación IP, omitiendo la sobrecarga de enrutamiento IP para lograr un determinismo a nivel de milisegundos.
* Dirección de destino de multidifusión: Todos los telegramas horarios de SIMATIC se transmiten a la dirección MAC de multidifusión de hardware reservada de Siemens:
09:00:06:01:FF:EF
* Cabecera de Control de Enlace Lógico (LLC): Las tramas presentan una cabecera LLC IEEE 802.2 / 802.3 con identificadores del Punto de Acceso al Servicio del Protocolo de Acceso a Subred (SNAP) configurados en 0xFE (DSAP = 0xFE, SSAP = 0xFE).

En condiciones normales de operación, solo el maestro de hora de hardware designado (por ejemplo, un SICLOCK TC400 o un servidor OS de WinCC activo) transmite estas tramas a intervalos regulares (típicamente cada 10 segundos). Si otro controlador, tarjeta CP o portátil de ingeniería se configura accidentalmente como "Time Master" en HW Config, se producen colisiones de doble maestro, lo que provoca saltos de reloj erráticos hacia atrás y hacia adelante en los sistemas de automatización (AS).

Configuración de captura en Wireshark y filtros de paquetes exactos

Para aislar y localizar transmisores de hora erráticos en la red industrial:

  1. Configurar la duplicación de puertos del switch (SPAN):
    * Acceda a la interfaz de administración web del switch Industrial Ethernet (por ejemplo, SCALANCE X-200 o X-300).
    * Configure Port Mirroring: establezca el puerto de monitorización (destino) en el puerto del switch conectado a su portátil de ingeniería, y establezca los puertos de origen en los enlaces ascendentes del bus de planta.
  2. Iniciar la captura en Wireshark:
    * Abra Wireshark y seleccione su interfaz de red Ethernet física.
    * Inicie la captura de paquetes.
  3. Aplicar filtros de visualización:
    * En la barra de filtros de Wireshark, introduzca cualquiera de los siguientes filtros de visualización:
    • eth.dst == 09:00:06:01:ff:ef (Filtra específicamente las tramas multicast horarias de Siemens).
    • llc[0:2] == 0xfefe (Filtra las tramas SAP 0xFE de Siemens SNAP).
    • (eth.dst == 09:00:06:01:ff:ef) && !(eth.src == [SICLOCK_MAC_Address]) (Aísla los paquetes de cualquier dispositivo que no sea su maestro SICLOCK conocido).
  4. Analizar las direcciones MAC de origen y la carga útil (payload):
    * Inspeccione la lista de paquetes. En condiciones normales, aparece exactamente un paquete cada 10 segundos originado en la dirección MAC del SICLOCK.
    * Si los paquetes provienen de una dirección MAC secundaria (por ejemplo, 00:1B:1B:xx:xx:xx), anote dicha dirección MAC.
    * Expanda los detalles del paquete: inspeccione la carga útil de la marca de tiempo (timestamp) para observar la fecha y hora que transmite el maestro competidor.
  5. Rastrear el dispositivo errático:
    * En SIMATIC Manager, busque en la configuración de hardware (HW Config) de su proyecto la dirección MAC identificada entre las tarjetas S7-400 CP 443-1, los puertos integrados de la CPU 410-5H o los adaptadores CP 1623.
    * Abra el módulo conflictivo en HW Config -> Time Synchronization, desmarque Activate time-of-day synchronization, o cambie su rol de As master a As slave.

Verificación

  • En Wireshark, mantenga un filtro de captura activo durante 60 segundos. Confirme que los paquetes de transmisión horaria llegan ahora exclusivamente desde la dirección MAC autorizada de SICLOCK.
  • En los servidores OS de WinCC, abra C:\Program Files (x86)\Siemens\WinCC\Diagnostics\TimeSync.log. Confirme que las advertencias tales como Time jump detected o Unexpected time master cesan por completo.
  • Verifique que los búferes de diagnóstico de la CPU en todas las estaciones AS muestren tiempos de reloj estables y crecientes monótonamente sin discrepancias de sincronización.

Limitaciones y precauciones operativas

  • Capturar tramas multicast de Capa 2 en un puerto de switch que no esté reflejado (mirrored) puede capturar únicamente tráfico de difusión; configurar un puerto SPAN reflejado en switches SCALANCE administrados es esencial para una visibilidad completa del bus.
  • No desactive la sincronización horaria en un controlador activo sin comprender las dependencias de las marcas de tiempo en toda la planta, como el registro de secuencias de eventos (SOE) de alarmas.
  • En topologías de red de anillos múltiples, asegúrese de que los filtros de límite del switch administrado eviten que las tramas multicast horarias sefiltren entre unidades de producción independientes.

Preguntas frecuentes para ingenieros (Engineer FAQ)

  • ¿Puede Wireshark ejecutarse en un servidor OS activo?
    Aunque técnicamente es posible, instalar controladores de captura de paquetes de terceros (WinPcap / Npcap) en servidores OS activos puede infringir las estrictas políticas de cualificación de la planta. Realice la captura de paquetes desde una estación de ingeniería o un portátil de mantenimiento de diagnóstico.
  • ¿Por qué una CPU S7-400 comenzó a transmitir telegramas horarios automáticamente?
    En STEP 7 HW Config, insertar ciertos procesadores de comunicación (CP 443-1) o copiar estaciones de hardware puede habilitar involuntariamente la opción "Send time-of-day synchronization on MPI / Industrial Ethernet" por defecto.
  • ¿Cuál es la diferencia entre el modo SIMATIC y el modo NTP en Wireshark?
    Las tramas en modo SIMATIC utilizan multidifusión Ethernet de Capa 2 (09:00:06:01:FF:EF). Las tramas NTP utilizan paquetes UDP estándar de Capa 3/4 dirigidos al puerto 123.

Referencias técnicas

  • Manual del sistema de sincronización horaria SIMATIC PCS 7 (A5E41356410-AA).
  • Siemens Industry Online Support Entry ID 109801081: Diagnosing Time Synchronization on the Plant Bus.
  • Guía de configuración y duplicación de puertos de switches administrados SCALANCE X-300 / X-400.

Artículos relacionados

Etiquetas relacionadas

PCS 7, Wireshark, Time Synchronization, SIMATIC Mode, Plant Bus, SICLOCK, Troubleshooting, Diagnostics

6 respuestas