Arquitectura OPC UA: Modelo de información, seguridad, sesiones y transporte

Estructura del estándar IEC 62541

IEC 62541 consta de 13 partes numeradas. Las partes 1–7 definen la arquitectura central; las partes 8–14 cubren mapeos, seguridad y perfiles. Para los integradores de automatización de edificios, las partes más relevantes son 1 (Conceptos), 3 (Modelo de espacio de direcciones), 4 (Servicios), 6 (Mapeos — codificación y transporte), 7 (Perfiles) y la especificación complementaria IEC 62541-100 (OPC UA para Edificios).

Modelo de información: tipos NodeClass y referencias

Cada dato en un servidor OPC UA se representa como un nodo en el espacio de direcciones. Los nodos tienen un atributo NodeClass que define su función. Los nodos están vinculados entre sí mediante referencias tipadas – por ejemplo, HasComponent, HasProperty, Organizes, HasSubtype. Esto crea un grafo dirigido que los clientes pueden explorar para descubrir el contenido del servidor sin conocimiento previo de la estructura de datos.

Espacio de direcciones: espacios de nombres y árbol navegable

El espacio de direcciones está estructurado como un árbol navegable. Cada nodo se identifica mediante un NodeId que consiste en un índice de espacio de nombres y un identificador (numérico, cadena o GUID). El espacio de nombres 0 (ns=0) es siempre el espacio de nombres estándar de OPC UA que contiene tipos integrados y nodos estándar. Los espacios de nombres 1+ son asignados por el servidor para contenido específico del proveedor o la aplicación. Los clientes descubren la tabla de espacios de nombres mediante la llamada al servicio GetNamespaceArray.

Objects (ns=0;i=85)  ← OPC UA standard root
├── Server (ns=0;i=2253)  ← always present, server diagnostics
└── Building_01 (ns=1;s=Building_01)  ← application namespace
    ├── Floor_02 (ns=1;s=Building_01/Floor_02)
    │   ├── AHU_01 (ns=1;s=AHU_01)  [Object]
    │   │   ├── SupplyAirTemperature (ns=1;s=AHU_01.SAT)  [Variable, Float]
    │   │   │   ├── EngineeringUnits  [Property: "°C"]
    │   │   │   ├── EURange  [Property: Low=0, High=60]
    │   │   │   └── StatusCode  [Property: Good/Bad/Uncertain]
    │   │   ├── FanSpeed (ns=1;s=AHU_01.FanRPM)  [Variable, UInt16]
    │   │   ├── DamperPosition (ns=1;s=AHU_01.Damper)  [Variable, Byte, 0–100%]
    │   │   └── ResetAlarm (ns=1;s=AHU_01.ResetAlarm)  [Method]
    │   └── VAV_Zone_2A (ns=1;s=VAV_2A)  [Object]
    │       ├── RoomTemperature (ns=1;s=VAV_2A.RoomTemp)  [Variable, Float]
    │       └── Setpoint (ns=1;s=VAV_2A.SP)  [Variable, Float, writable]
    └── Meters (ns=1;s=Meters)
        └── Main_kWh (ns=1;s=Meter.kWh)  [Variable, Double]

Los clientes navegan desde la raíz Objects usando el servicio Browse, siguiendo referencias jerárquicas (HasComponent, Organizes, HasProperty) para descubrir nodos. El servicio TranslateBrowsePathsToNodeIds permite a los clientes saltar directamente a una ruta conocida sin recorrer todo el árbol — útil para el sondeo sensible al rendimiento de variables conocidas.

Opciones de transporte

OPC UA define tres enlaces de transporte. La elección afecta la latencia, el cruce de cortafuegos y la sobrecarga del protocolo. OPC UA Binary sobre TCP es el predeterminado para la integración BMS a nivel de planta; HTTPS y WebSockets se utilizan para interfaces en la nube o accesibles desde el navegador.

Modos de seguridad y políticas de seguridad

La seguridad de OPC UA se negocia a nivel de Secure Channel antes de intercambiar cualquier mensaje de aplicación. El servidor anuncia sus EndpointDescriptions compatibles (combinaciones de MessageSecurityMode y SecurityPolicyUri). El cliente selecciona uno al abrir una conexión. Nunca use None en un entorno de producción: transmite todos los datos en texto plano sin protección de integridad.

SecurityPolicyUri selecciona los algoritmos criptográficos. Las políticas recomendadas actuales (según IEC 62541-7:2022) son:

Métodos de autenticación

La autenticación se realiza en la capa de sesión (por encima del canal seguro). OPC UA define tres tipos de token de identidad ActivateSession. La autenticación basada en certificados es la más segura y es requerida por estándares de seguridad industrial como IEC 62443-3-3 Security Level 2.

Sesiones y suscripciones

Una sesión se establece sobre el canal seguro después de la autenticación. Las sesiones tienen un RequestedSessionTimeout (típicamente 60–3600 segundos); si el cliente no envía un keep-alive antes del tiempo de espera, el servidor elimina la sesión y todas sus suscripciones. Los clientes deben manejar la reconexión con restablecimiento o transferencia de sesión.

Las suscripciones son el mecanismo principal para la monitorización eficiente de datos. En lugar de sondear variables repetidamente (lo que genera tráfico innecesario), los clientes crean una suscripción con un PublishingInterval y agregan MonitoredItems. El servidor muestrea cada MonitoredItem en el SamplingInterval y pone en cola los cambios de valor; cuando se dispara el PublishingInterval, todas las notificaciones en cola se envían en un solo mensaje PublishResponse.

CreateSubscription request:
  RequestedPublishingInterval: 1000  // ms — how often server sends Publish
  RequestedMaxKeepAliveCount: 10     // Publish cycles before keep-alive sent
  RequestedLifetimeCount: 30         // LifetimeCount × PublishingInterval = session timeout
  MaxNotificationsPerPublish: 1000   // cap notifications per PublishResponse
  PublishingEnabled: true

MonitoredItem parameters:
  SamplingInterval: 500              // ms — server samples item at this rate
                                     // must be ≥ server MinSupportedSampleRate
  QueueSize: 10                      // buffer for overrun; 1 = last value only
  DiscardOldest: true                // discard oldest on queue overflow
  DeadbandType: None / Absolute / Percent
  DeadbandValue: 0.5                 // Absolute: only report if change > 0.5 units
                                     // Percent: only report if change > 0.5% of EURange

Especificaciones complementarias de OPC UA

Las especificaciones complementarias extienden el estándar base OPC UA con modelos de información específicos del dominio. Definen ObjectTypes, VariableTypes y URI de espacio de nombres estándar para que dispositivos de diferentes fabricantes expongan datos en una estructura coherente e interoperable. Los ingenieros de automatización de edificios deben conocer las siguientes especificaciones complementarias: