Capítulo 2 — Sistemas de computación
Mapa de la lección
Lección 02 publicada. Mapa, ejemplo, EX004.
flowchart TD
N0["Resultados de aprendizaje"]
N1["2.1 El ciclo de escaneo"]
N2["2.2 PLC frente a servidor"]
N3["2.3 Qué vive en el firmware"]
N4["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX004"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["2.1 El ciclo de escaneo"]
N2["2.2 PLC frente a servidor"]
N3["2.3 Qué vive en el firmware"]
N4["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX004"]
[Resultados de aprendizaje]
|
v
[2.1 El ciclo de escaneo]
|
v
[2.2 PLC frente a servidor]
|
v
[2.3 Qué vive en el firmware]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX004]
Resultados de aprendizaje
Usted podrá (1) describir las capas de un controlador lógico programable, desde la tarjeta de E/S hasta el ciclo de escaneo; (2) contrastar un PLC con un servidor de propósito general; (3) explicar por qué la temporización determinista es una propiedad de seguridad en TO; y (4) enumerar lo que contiene una imagen de firmware.
2.1 El ciclo de escaneo
Un PLC lee repetidamente las entradas, ejecuta la lógica, escribe las salidas y atiende las comunicaciones. En LDHP, el PLC de calderas PLC-H completa este bucle cada 20 ms. Si la gestión de comunicaciones crece —por ejemplo, porque un historiador mal configurado sondea 400 registros cada 50 ms—, el tiempo de escaneo se alarga y el temporizador de vigilancia (watchdog) puede llevar el controlador a una parada segura. Por eso, en TO una denegación de servicio puede llegar como tráfico ordinario que simplemente es demasiado.
Maya se encontró con esto en su segunda semana: un proyecto de panel de control pedía «todas las etiquetas, en cada escaneo». Convertida a tiempo de escaneo, esa petición habría cargado la gestión de comunicaciones de PLC-H en cada ciclo de 20 ms, así que recomendó leer del historiador.
2.2 PLC frente a servidor
Un servidor está diseñado para ejecutar muchos programas, aceptar actualizaciones y recuperarse reiniciando. Un PLC está diseñado para ejecutar un único programa durante años, a menudo sin cuentas de usuario, con un registro limitado y con un firmware que el fabricante firma (o, en modelos antiguos, no firma). Reiniciar un servidor es rutina; reiniciar un controlador en una sala de calderas en funcionamiento exige un permiso de trabajo, la presencia de operadores y un plan para mantener el proceso en estado seguro.
Para PLC-H esto significa que una corrección de firmware no puede aplicarse sin más un martes por la tarde: necesita la ventana mensual de cuatro horas, un permiso de trabajo y la presencia del jefe de turno.
2.3 Qué vive en el firmware
El firmware agrupa un sistema operativo de tiempo real, pilas de protocolos, el entorno de ejecución que ejecuta la lógica de escalera o el texto estructurado, y un cargador de arranque. De ahí se siguen consecuencias de seguridad: un fallo en una pila de protocolos puede afectar a todos los programas del dispositivo, y una vía de actualización sin firma permite a cualquiera que alcance el puerto de ingeniería sustituir el entorno de ejecución. NIST SP 800-82r3 trata la integridad del firmware y la descarga controlada de programas como prácticas centrales de TO.
Para PLC-H, la pregunta práctica es quién puede alcanzar el puerto de ingeniería: si EWS-1 es el único equipo que puede hacerlo, proteger EWS-1 protege el entorno de ejecución; si la VLAN de oficina también puede alcanzar el puerto 502, el comportamiento de firma del firmware se convierte en la última barrera.
Ejemplo resuelto (LDHP sintética)
PLC-H tiene un escaneo objetivo de 20 ms y un watchdog de 100 ms. La lógica tarda 9 ms, la E/S 4 ms, y atender cada petición Modbus cuesta 0,6 ms. Con 10 peticiones por escaneo, el ciclo es 9 + 4 + 6 = 19 ms. Si un nuevo panel añade 30 peticiones por escaneo, el ciclo pasa a 37 ms: sigue por debajo del watchdog, pero se pierde la temporización de 20 ms que esperan los lazos ajustados y la calidad del control se degrada antes de que salte ninguna alarma.
Caso sintético — Lakeside District Heating Plant. Maya encuentra un proyecto de panel que pide «todas las etiquetas, en cada escaneo». Convierte la petición en milisegundos de escaneo y recomienda sondear el historiador, no el controlador.
Errores y límites
Los modelos de escaneo varían según el fabricante; algunos atienden las comunicaciones en una tarea separada. Nunca mida el impacto en el escaneo cargando un controlador de producción: use una unidad de banco o las cifras del fabricante.
Ejercicios — capítulo 2
- EX004 — Carga de comunicaciones y tiempo de escaneo. Con 9 ms de lógica, 4 ms de E/S y 0,6 ms por petición, ¿cuántas peticiones por escaneo mantienen PLC-H en 20 ms o menos? Rúbrica: 3 = 11 peticiones, con el cálculo; 2 = número correcto, sin cálculo; 1 = ignora la E/S; 0 = nada.
- EX005 — Hábitos de servidor que dañan a los controladores. Nombre dos hábitos de administración de servidores que no son seguros en un PLC en funcionamiento y dé la alternativa de TO para cada uno. Rúbrica: 3 = dos hábitos con alternativas; 2 = un par; 1 = hábitos sin alternativas; 0 = nada.
- EX006 — Capas del firmware y radio de impacto. Explique por qué una vulnerabilidad en la pila de protocolos de un controlador tiene un impacto más amplio que un fallo en un escalón de la lógica de escalera. Rúbrica: 3 = la pila compartida sirve a todos los programas y es alcanzable antes de que se ejecute la lógica; 2 = parcial; 1 = vago; 0 = nada.
Síntesis del capítulo
Un controlador es primero una máquina temporizada y después un computador; su seguridad empieza por respetar el ciclo de escaneo y controlar qué puede cargarse en él.
Siga estudiando — capítulo 02 de 40
← Capítulo 01 (borrador) · Índice de capítulos del curso · Capítulo 03 (borrador) →