Este documento es el resultado de los trabajos realizados en EIDER en el marco de la actividad que tiene por objetivo avanzar en el desarrollo de un modelo de identidad digital válido para los diferentes componentes del sistema eléctrico basado en estándares como OpenID y explorando el concepto de identidad soberana.

La progresiva digitalización de los sistemas eléctricos, junto con la incorporación de dispositivos inteligentes, sistemas de automatización, centros de control, infraestructuras de comunicaciones y recursos energéticos distribuidos, ha ampliado significativamente la superficie de exposición frente a amenazas cibernéticas.

En este contexto, la gestión de identidades constituye uno de los pilares fundamentales de la ciberseguridad de los componentes de la red eléctrica. La capacidad de identificar de forma única y fiable tanto a usuarios como a dispositivos, aplicaciones y sistemas permite aplicar políticas de control de acceso sólidas y garantizar que únicamente las entidades autorizadas puedan interactuar con los activos de la red. Este aspecto adquiere especial relevancia en entornos donde conviven equipos de distintos fabricantes, recursos distribuidos, subestaciones digitalizadas e infraestructuras gestionadas remotamente. Una gestión adecuada de identidades contribuye a reducir el riesgo de accesos no autorizados, movimientos laterales dentro de la red y suplantación de dispositivos o servicios críticos.

La implementación de mecanismos de gestión de identidades en la red eléctrica debe apoyarse en estándares internacionales y requisitos regulatorios reconocidos relacionados con la autenticación, autorización, gestión de credenciales, trazabilidad y protección del ciclo de vida de los activos digitales. Bajo esta perspectiva el documento realiza un análisis del estándar IEC 62443 para la seguridad de sistemas de automatización y control industrial y de IEC 62351 para la protección de las comunicaciones en sistemas de potencia de las Smart Grids.

Desde el punto de vista técnico, la autenticación debe sustentarse en protocolos y estándares ampliamente aceptados. Entre ellos, el entregables se focaliza en OAuth 2.0, OpenID Connect y SAML 2.0. Se realiza un análisis comparativo entre ellos, concluyendo que OpenID Connect es el más idóneo atendiendo a criterios de adecuación técnica, seguridad y facilidad de integración en arquitecturas actuales.

Esta decisión se materializa en el desarrollo de un prototipo y un entorno de pruebas de autenticación utilizando Keycloak como plataforma de gestión de identidades y accesos configurado para actuar como proveedor de identidad conforme al estándar OpenID Connect. Para validar el funcionamiento del sistema de autenticación y las integraciones con aplicaciones cliente, se ha desplegado también la herramienta Harbor, un registro de contenedores de código abierto orientado a entornos empresariales que permite almacenar, gestionar y distribuir imágenes de contenedores de forma segura.

Para los equipos de campo y dispositivos OT resulta especialmente relevante el uso de infraestructuras de clave pública (PKI) y certificados digitales, que facilitan la autenticación mutua, la protección de las comunicaciones, la firma de software y firmware, y la gestión centralizada de la confianza entre los diferentes componentes de la infraestructura eléctrica. PKI ha sido también objeto de análisis en el documento, considerando las jerarquías dentro de una PKI.

Adicionalmente, las tendencias más recientes apuntan hacia modelos de identidad descentralizada o identidad autosoberana (Self-Sovereign Identity, SSI), donde las entidades mantienen un mayor control sobre sus credenciales digitales mediante identificadores descentralizados (DID) y credenciales verificables. Aunque su adopción en redes eléctricas se encuentra todavía en fases iniciales, estos enfoques ofrecen un elevado potencial para escenarios de interoperabilidad entre múltiples organizaciones, cadenas de suministro y ecosistemas energéticos distribuidos. La combinación de identidades basadas en certificados digitales con mecanismos de identidad autosoberana puede proporcionar una base sólida para construir arquitecturas de confianza escalables, interoperables y alineadas con los requisitos de seguridad de las futuras redes eléctricas inteligentes.

El documento realiza una revisión de la identidad autosoberana desde el punto de vista conceptual y una comparativa de soluciones, seleccionándose entre ellas WaltID como identidad soberana digital por ser la que mejor responde a criterios de interoperabilidad, facilidad de integración y alineación con estándares internacionales. Se trata de una solución Open Source especializada en el desarrollo de infraestructuras SSI y credenciales verificables basada en estándares definidos por el W3C. Se establece también para WaltID las bases para su implementación práctica.

Este documento es el resultado de los trabajos realizados en EIDER en el marco de la actividad que tiene por objetivo proporcionar información sobre el tipo de pruebas que se realizarán para la validación de los casos de uso del proyecto, así como del entorno de experimentación que se utilizará cada caso de uso. Constituye el punto de partida para el desarrollo y pruebas de concepto de los casos de uso EIDER, que deberán permitir avanzar de cara a la obtención de los prototipos esperados a final de las anualidades 2025 y 2026 respectivamente.

El documento recoge la descripción de las infraestructuras de experimentación sobre los que se van a desarrollar, probar como pruebas de concepto y validar los distintos casos de uso que se han considerado en el proyecto EIDER.

Estas pruebas van a servir para evaluar, además de la algoritmia específica desarrollada en cada caso de uso, la tecnología transversal que se ha considerado en otros paquetes de trabajo del proyecto EIDER, en particular la relacionada con la gestión del dato (modelos de datos, gestión de identidades, seguridad en el Edge) y con el despliegue de soluciones virtualizadas (plataformas hardware y de microservicios en el Edge, arquitecturas de virtualización Cloud-Edge, seguridad den el despliegue de aplicaciones contenerizadas).

Con el propósito de homogeneizar hasta donde es posible el diseño de estas infraestructuras y las pruebas asociadas, se ha definido una metodología que recoge, para cada caso de uso, la arquitectura de la misma y sus componentes fundamentales, tanto en el caso de entornos físicos como virtuales y la definición de los escenarios de pruebas con sus pruebas y data set.

Los casos de uso para los que se ha realizado este ejercicio detallado, del que destacan los aspectos siguientes:

• Sensórica virtualizada en líneas eléctricas

Infraestructura para el desarrollo y testeo de aplicaciones virtualizadas consistente en un conjunto de software que corre en una infraestructura compuesta tanto por servidores físicos (para su conexión con equipos reales) como de servidores virtuales corriendo en Azure. Está también asociada a laboratorios físicos.

• Control dinámico de tensión en el CT

Se trata de un Living Lab construido entre Ormazabal y la distribuidora CMH situado en la localidad de Puerto Lápice, em Ciudad Real. Consiste en Consiste en la digitalización mediante fibra óptica de toda la infraestructura, desde el puesto central hasta los centros de transformación. Mediante conexión privada se puede conectar remotamente a los distintos dispositivos de los centros para la realización de pruebas. Las pruebas se realizarán en el centro de transformación de Los Olivos.

• Soporte a la tensión de red desde plantas FV

Hace uso del Laboratorio de Ciberseguridad para Smart Grids de Tecnalia, que emula un escenario compuesto por una subestación eléctrica y un centro de control. Además, el laboratorio dispone de una capa de servicios que permiten desplegar en la red eléctrica los requisitos de ciberseguridad establecidos por las principales normativas y estándares. Entre estos servicios se encuentran un gestor de identidades, un registro para desplegar aplicaciones en los nodos Edge, una PKI, …

• Analítica de datos de gestión de red a partir de los datos de los smart meters de los prosumidores

Utiliza un entorno de pruebas virtual que, recogiendo datos de entrada reales de campo, es capaz de ejecutar distintos algoritmos que monitorizan y en su caso corrigen la conectividad de los Smart meters en su asignación a transformador, feeder y fase. Consiste en un entorno Cloud – Edge, en el que el edge está virtualizado. Dicho edge lo constituyen un conjunto de Smart meters en baja tensión que recogen la información de campo, información que a través de una plataforma Smart metering de la compañía eléctrica de distribución, es trasladada al cloud, donde se corren los algoritmos IA de conectividad y topología.

• Analítica de datos para gestión energética del prosumidor

Se emplea la infraestructura disponible en el laboratorio de TECNALIA para parametrizar y validar los modelos desarrollados, en este caso, de instalaciones fotovoltaicas y cicladores de batería de ion-litio, los cuales se usarán para generar datos de entrenamiento semejantes a aquellos que se recogen en las instalaciones reales. Implica por lo tanto 1) un entorno software correspondiente a una máquina virtual empleada para desarrollar modelos de entrenamiento de generación fotovoltaica; y 2) infraestructura de laboratorio para la caracterización y modelado de baterías de iones de litio.

Este documento es el resultado de los trabajos realizados en EIDER en el marco de la actividad que tiene por objetivo crear un caso de uso donde se realice una gestión óptima de las instalaciones energéticas de un prosumidor de manera automatizada en base a un EMS que realice tanto la programación como el despacho en tiempo real de los BESS y los postes de recarga de VE del prosumidor, garantizando que la utilización de esas instalaciones se consigna en base a la minimización de la factura eléctrica del propio consumidor. Esta gestión energética tendrá en cuenta también tanto la generación local de energía fotovoltaica por parte del prosumidor, como la demanda de sus cargas de consumo, respetando el límite de potencia contratado con la empresa de distribución y en función de los precios de compra de la energía a la empresa comercializadora y en su caso, de venta de excedentes de producción fotovoltaica.

La creciente penetración del autoconsumo fotovoltaico, junto con la incorporación de baterías de almacenamiento y puntos de recarga de vehículo eléctrico, ha transformado el perfil energético de los consumidores residenciales y comerciales. En este nuevo contexto, el usuario deja de ser un consumidor pasivo y pasa a convertirse en prosumidor, al disponer de capacidad de generación local y, en determinados casos, de recursos flexibles susceptibles de ser gestionados.

Sin embargo, la mera disponibilidad de estos recursos no garantiza una operación económicamente óptima. La variabilidad de la producción fotovoltaica, la incertidumbre en la demanda, la existencia de distintos esquemas regulatorios de autoconsumo y la interacción con la tarifa eléctrica hacen necesario contar con herramientas avanzadas de gestión energética.

El presente documento entregable describe la propuesta de solución para el caso de uso “Analítica de datos para gestión energética del prosumidor” considerado en EIDER, cuyo objetivo es desarrollar un sistema capaz de optimizar la operación de los recursos energéticos del usuario para minimizar su factura eléctrica. Para ello, se plantea un sistema EMS que integra funciones de predicción de consumo y generación fotovoltaica, modelado de batería y cargador de vehículo eléctrico, planificación operativa de energía y despacho en tiempo real.

La solución contempla instalaciones de autoconsumo individual, tanto sin excedentes como con excedentes, incluyendo los esquemas de compensación simplificada y de venta de excedentes. Asimismo, define el papel de los actores implicados, la arquitectura funcional del sistema y los indicadores clave de rendimiento que permitirán evaluar el grado de éxito de la solución, principalmente en términos de ahorro económico.

Este documento es el resultado de los trabajos realizados en EIDER en el marco de la actividad que tiene por objetivo mejorar la seguridad del control directo de los inversores fotovoltaicos desde el DSO para que puedan contribuir a la estabilización de la tensión de la red eléctrica (inyección de reactiva desde los inversores fotovoltaicos) a partir de las consignas recibidas por los sistemas de optimización. En el documento se han explorado los beneficios que en materia de seguridad aportan la incorporación del modelo de identidad digital y de las medidas de seguridad desarrolladas en el PT2, así como las ventajas de virtualizar el inversor fotovoltaico.

El documento presenta los desarrollos realizados en el marco del caso de uso CdU5 – Soporte a la tensión de red desde plantas fotovoltaicas, dentro del proyecto EIDER. El objetivo principal es demostrar cómo los inversores fotovoltaicos CTR3300 de ZIGOR pueden contribuir a la estabilidad de la red de baja tensión, no solo generando energía sino proporcionando potencia reactiva bajo consignas enviadas por el operador de red (DSO). El documento describe la motivación técnica, el papel creciente de los inversores en la transición energética y la necesidad de integrarlos de forma segura y coordinada en los sistemas de control de red.

La arquitectura integra varios elementos clave: el inversor CTR3300, sus tarjetas de control conectadas por bus CAN, el SOM Variscite i.MX 8M Mini encargado de la capa embebida de control, y el SCADA del DSO, responsable de enviar consignas de operación. Esta estructura permite que el inversor reciba órdenes tanto del DSO como del SAT (operadores de mantenimiento), posibilitando la supervisión remota, la configuración del equipo y el ajuste dinámico de parámetros eléctricos.

Para garantizar la seguridad de estas interacciones, el documento detalla medidas avanzadas de ciberseguridad. Entre ellas destacan el uso de un SBOM generado mediante Yocto para monitorizar componentes software y detectar vulnerabilidades, la incorporación de Keycloak como gestor de identidades, y la implementación de auditoría, trazabilidad y control seguro de accesos. Además, se estudia la virtualización de aplicaciones en el propio inversor, aprovechando sus capacidades de procesamiento sin comprometer la operación eléctrica ni la integridad del sistema.

Finalmente, se describe un completo entorno de validación ubicado en el laboratorio de ciberseguridad para Smart Grids de Tecnalia, donde se emulan subestaciones, centros de transformación y comunicaciones industriales. En este entorno se evalúan dos escenarios de prueba planteados: autenticación en acceso humano‑máquina (HMI) desde servidor Web y autenticación en acceso máquina‑máquina (M2M) desde un sistema SCADA. En ambos casos el resultado de las pruebas ha sido satisfactorio.

Este documento es el resultado de los trabajos realizados en EIDER en el marco de la actividad que tiene por objetivo analizar la aplicación de virtualización a la sensórica de redes eléctricas, desarrollar funciones virtuales tanto para sensores de baja tensión como de media tensión, desarrollar un entorno virtual que permita la validación de estas funciones con independencia del hardware, e identificar oportunidades que permitan aprovechar la virtualización para el desarrollo de funciones que sirvan a sensores con diferente naturaleza. Concretamente, en el entregable se presenta un prototipo con el objetivo de reducir el acoplamiento tradicional entre hardware, firmware y aplicación en dispositivos de recursos reducidos y habilitar una evolución hacia aplicaciones virtuales.

Este entregable (E4.2) presenta el Prototipo 1 de “sensórica virtualizada en líneas eléctricas” dentro del proyecto EIDER (T4.2 – CdU2), con el objetivo de reducir el acoplamiento tradicional entre hardware, firmware y aplicación en dispositivos de recursos reducidos y habilitar una evolución hacia aplicaciones virtuales. La propuesta sigue una trayectoria en dos etapas:

• virtualización del equipo para desacoplar desarrollo/validación del hardware
• avance hacia un modelo de plataforma que permita gestionar el ciclo de vida de funcionalidades con mayor independencia.

Este enfoque se alinea con la planificación de prototipos y la validación progresiva contempladas en la memoria técnica del CdU2.

Como resultado, se ha validado un primer conjunto de capacidades técnicas y de ingeniería que sientan las bases para iteraciones posteriores y para la evolución hacia dispositivos entendidos como plataforma. En particular, este prototipo demuestra la viabilidad de ejecutar gemelos virtuales en PC para acelerar la iteración y la calidad, y avanza en la definición de la arquitectura necesaria para operar aplicaciones virtuales con garantías en entornos embebidos. En línea con el CdU2/T4.2, la validación se apoya en un entorno virtual/laboratorio previo que permite probar funciones con independencia del hardware, antes de su traslado a plataformas físicas.

• Gemelos virtuales en PC: implementación y validación de un entorno de ejecución en PC para dos familias representativas —sensórica de baja tensión (Smart Meter) y sensórica de media tensión— materializadas en el contador SGM15xx y el sensor WCS. Este Prototipo 1 incluye funciones de alto valor cuando se virtualizan (p. ej., medida de tensión e intensidad, gestión de eventos/oscilografía y detección de faltas) y se valida en un entorno virtual/laboratorio previo, reduciendo la dependencia de hardware y mejorando la reproducibilidad de pruebas.
• Infraestructura de desarrollo y portabilidad: consolidación del entorno HADES y de la librería libpl como base para desacoplar el código de la plataforma (HW/RTOS), habilitar virtualización realista y acelerar ciclos de depuración y validación.
• Flujo de imágenes y artefactos: integración con libfw para soportar la recepción y gestión de artefactos, pieza necesaria para evolucionar hacia mecanismos de despliegue más finos que el reflasheo completo de firmware.
• Aplicaciones virtuales (viabilidad técnica): selección y validación de un mecanismo de ejecución aislada compatible con restricciones embebidas, como paso previo a la operación de aplicaciones descargables con límites y aislamiento.
• Arquitectura de plataforma (HESTIA): definición del marco arquitectónico que completa el entorno de ejecución con las capacidades necesarias para producto: ciclo de vida de aplicaciones, políticas y permisos, gobernanza de recursos, observabilidad e integración con el sistema.

Siguiente iteración: el Prototipo 2 se centrará en completar el roadmap de HESTIA (inventario multi-aplicación, start/stop, persistencia, APIs nativas) y en demostrar aplicaciones virtuales de detección de arco, flickermeter y compresión de sincrofasores.