Comprensión de los estados de sincronización de hora en servidores OS redundantes de WinCC y detección de maestros de bus no autorizados (Rogue Bus Masters)

En un par de servidores OS redundantes de SIMATIC PCS 7 sincronizados por un maestro de hora SICLOCK externo en el bus de planta (Plant Bus), ambos servidores OS muestran legítimamente @TimeSyncDevice1State = Standby Master. Debido a que el SICLOCK externo actúa como el maestro de hora activo primario, ambos servidores WinCC permanecen en modo de maestro de hora en modo de espera (standby) mientras sincronizan sus relojes internos con las telegramas de SICLOCK. Si SICLOCK falla, el servidor maestro OS de WinCC activo realiza la transición a 'Active Master' (Maestro activo) para transmitir telegramas en el bus, mientras que el socio redundante permanece como 'Standby Master'. Los maestros de bus no autorizados (rogue bus masters) se pueden detectar usando Wireshark aplicando un filtro para el tipo de Ethernet 0x8892 o SNAP SAP 0xFE.

Índice de contenidos

Arquitectura de sincronización de hora de PCS 7 con maestro externo

En instalaciones de SIMATIC PCS 7 para toda la planta, mantener una sincronización de hora con precisión de milisegundos en los sistemas de automatización (AS), servidores OS y clientes OS es crítico para el registro de secuencias de eventos (SOE, Sequence of Events).

La arquitectura estándar de la industria emplea un reloj de hardware externo dedicado (como un Siemens SICLOCK TC400 o TM) conectado al bus de planta Industrial Ethernet. En WinCC Explorer -> Time Synchronization, la configuración de ingeniería asigna:
* Punto de acceso 1 (Plant Bus / CP 1623): Configurado con el modo SIMATIC (sincronización de hora mediante telegramas multicast ISO Industrial Ethernet) o modo NTP.
* Definición de Maestro / Esclavo: Ambos servidores OS de WinCC redundantes se configuran como maestros de hora en el bus de planta para que puedan actuar como transmisores de hora de respaldo si el reloj de hardware central falla.

Interpretación de los estados de funcionamiento de @TimeSyncDevice1State

Los ingenieros que inspeccionan las variables internas de WinCC a menudo observan que @TimeSyncDevice1State reporta Standby Master tanto en el Servidor A como en el Servidor B, asumiendo que uno debería indicar "Active Master".

La máquina de estados en tiempo de ejecución opera de la siguiente manera:
1. Operación normal (SICLOCK en buen estado):
* SICLOCK transmite activamente telegramas de hora a través del bus de planta a intervalos regulares (típicamente cada 10 segundos).
* Tanto el servidor OS A como el servidor OS B reciben estos telegramas, sincronizan los relojes de su sistema operativo y evalúan el bus como gobernado por un maestro externo.
* Debido a que un maestro externo está en buen estado y transmitiendo, ningún servidor de WinCC asume la tarea de transmisión activa. Por lo tanto, ambos servidores reportan Standby Master.
2. Falla de SICLOCK / Desconexión de cable:
* Los telegramas de SICLOCK se detienen.
* Una vez transcurrido el tiempo de espera de supervisión configurado, el servidor OS que posee el estatus de maestro en tiempo de ejecución activo de WinCC se promueve a Active Master y comienza a transmitir telegramas de hora SIMATIC para mantener la sincronización del AS.
* El servidor socio redundante permanece en modo Standby Master, escuchando al nuevo maestro activo.
3. Apagado del servidor OS activo:
* Si el servidor OS activo se apaga por mantenimiento mientras SICLOCK permanece fuera de línea, el servidor socio en espera asume el rol de Active Master.

Detección de maestros de hora no autorizados con el método SIMATIC en el bus de planta

Si la sincronización de hora se vuelve inestable o si los relojes del sistema saltan de manera errática, un dispositivo no autorizado o mal configurado podría estar transmitiendo tramas de hora SIMATIC no deseadas.

Para detectar y localizar maestros de hora no autorizados:
1. Captura de red con Wireshark:
* Conecte una laptop de ingeniería a un puerto de switch reflejado (mirror port) en el bus de planta.
* Inicie Wireshark y capture tráfico en la interfaz Ethernet industrial.
* Aplique uno de los siguientes filtros de captura:
* ether proto 0x8892 (Tramas de tiempo real de PROFINET / Siemens).
* llc[0:2] == 0xfefe (ISO-on-Ethernet SNAP SAP 0xFE utilizado por los telegramas de transmisión de hora de SIMATIC).
* eth.dst == 09:00:06:01:ff:ef (Dirección multicast estándar de Siemens para la sincronización de hora).
2. Identificar la dirección MAC de origen:
* Inspeccione la dirección MAC de origen (eth.src) de las tramas de sincronización de hora entrantes.
* Si las tramas se originan desde una dirección MAC que no es el hardware SICLOCK o los servidores OS autorizados, contraste la dirección MAC con HW Config para identificar la CPU del AS, la tarjeta CP o el dispositivo de terceros no autorizado.
3. Revisar el diagnóstico de TimeSync en WinCC:
* Inspeccione el archivo de registro C:\Program Files (x86)\Siemens\WinCC\Diagnostics\TimeSync.log en ambos servidores OS en busca de advertencias que indiquen "Telegram received from unexpected master".

Verificación

En WinCC Explorer -> Tag Management, abra las variables internas y supervise @TimeSyncDevice1State. Confirme que el valor sea Standby Master cuando SICLOCK está en línea.
Desconecte temporalmente SICLOCK del switch en un entorno de pruebas.
Confirme que @TimeSyncDevice1State en el servidor OS primario realice la transición de Standby Master a Active Master en un plazo de 30 segundos.
Vuelva a conectar SICLOCK. Confirme que el servidor primario cede la transmisión activa y regresa a Standby Master.

Limitaciones y precauciones operativas

Nunca configure un AS (CPU de PLC) como maestro de hora activo cuando haya un SICLOCK externo o servidores OS redundantes presentes en el mismo bus de planta.
En entornos virtualizados, asegúrese de que la sincronización de hora del invitado del hipervisor (por ejemplo, la sincronización de hora de VMware Tools) esté completamente deshabilitada en los servidores OS para evitar ajustes de reloj conflictivos.
Asegúrese de que el bus de terminal (Terminal Bus) y el bus de planta utilicen adaptadores de red físicos separados (por ejemplo, CP 1623 para el bus de planta y tarjeta de red estándar para el bus de terminal).

Preguntas frecuentes del ingeniero (Engineer FAQ)

¿Es un problema que ninguno de los servidores sea 'Active Master'?
No. Mientras SICLOCK esté funcionando, ambos servidores deben permanecer en modo Standby Master. Tener un servidor actuando como Active Master mientras SICLOCK está activo crearía colisiones de doble maestro.
¿Cuál es la diferencia entre el modo SIMATIC y el modo NTP?
El modo SIMATIC utiliza tramas multicast de Ethernet de Capa 2 específicas de los controladores Siemens, logrando precisión de milisegundos sin sobrecarga de IP. NTP opera en la Capa 3/4 a través del puerto UDP 123.
¿Puede un par redundante tener dos unidades SICLOCK externas diferentes?
Sí. Las instalaciones de alta disponibilidad pueden utilizar unidades SICLOCK dobles redundantes configuradas en modo maestro/espera para eliminar puntos únicos de falla.

Referencias técnicas

Manual de sistema de sincronización de hora de SIMATIC PCS 7 (A5E41356410-AA).
Entrada de Siemens Industry Online Support ID 109801081: Configuración de la sincronización de hora con SICLOCK y WinCC.
Manual de diagnóstico del sistema y arquitectura de redundancia de WinCC V7/V8.