Una Dashboard Web in Tempo Reale per il Monitoraggio della Cybersecurity nelle Smart Grid IEC 61850

Abstract

La transizione alle Smart Grid impone due esigenze in conflitto. Il relè di protezione deve restare deterministico sotto i 4 ms richiesti da IEC 61850, ottenuti inviando frame GOOSE (Generic Object Oriented Substation Event) direttamente al Layer 2 del modello OSI, bypassando TCP/IP. I gestori devono inoltre visualizzarla, verificarla rispetto a NIS2 e NERC CIP e rilevarne anomalie. Le tecnologie web standard non vedono il multicast GOOSE a Layer 2, costringendo storicamente a gateway SCADA proprietari. Questa tesi presenta un livello di monitoraggio complementare, open-source e web-based che aggiunge osservabilità di cybersecurity e rilevamento di anomalie di processo a un'installazione IEC 61850 esistente. Il suo ambito è il monitoraggio, non il controllo: osserva la telemetria GOOSE e genera allarmi, mentre comando e protezione restano al sistema SCADA e ai relè esistenti. L'architettura ha tre livelli disaccoppiati. Un eseguibile C su libiec61850 cattura i frame GOOSE da due feeder simulati. Un middleware Node.js li interpreta, segnala correnti oltre 500 A, persiste gli allarmi su SQLite (modalità WAL) e li trasmette in JSON via Socket.io. Un frontend React mostra grafici live, il registro allarmi e comandi dimostrativi TRIP/CLOSE. In un test di stress da 10.000 messaggi il middleware ha mantenuto 3,2 ms di latenza media di parsing (5,1 ms al 99° percentile), nessuna perdita e 45-55 MB di memoria; il frontend ha richiesto uno state-batching a 50 ms per restare reattivo. Il contributo principale è una proprietà strutturale di sicurezza: poiché il processo Node.js non possiede socket raw, la telemetria fluisce solo dall'OT verso l'IT e l'overlay non può iniettare frame GOOSE contraffatti neppure se il livello web è compromesso. Un'analisi STRIDE individua rischi residui e mitigazioni (IEC 62351-6 HMAC, Suricata, TLS mutuo). Parole chiave: IEC 61850, GOOSE, monitoraggio cybersecurity, rilevamento anomalie, convergenza IT/OT, smart grid, diodo logico.

The smart-grid transition forces substation engineers to reconcile two conflicting needs. Protective relaying must stay deterministic below the 4 ms required by IEC 61850, achieved by sending GOOSE (Generic Object Oriented Substation Event) frames directly at Layer 2 of the OSI model, bypassing TCP/IP. Yet utilities must also surface that telemetry in dashboards, audit it against regulations such as EU NIS2 and NERC CIP, and detect cybersecurity anomalies in it. Standard web technology cannot see Layer-2 GOOSE multicast, which has historically forced reliance on proprietary SCADA gateways. This thesis presents a complementary, lightweight, open-source web-based monitoring overlay adding cybersecurity observability and process-aware anomaly detection to an existing IEC 61850 deployment. Its scope is monitoring, not control: it observes GOOSE telemetry and raises alarms, while command and protection remain with the existing SCADA and relays. The system has three decoupled tiers. A C program on libiec61850 captures GOOSE frames from two simulated feeders. A Node.js middleware parses them, flags current above 500 A, persists alarms in SQLite (WAL mode) and broadcasts JSON via Socket.io. A React frontend renders live charts, an alarm ledger and logged TRIP/CLOSE demonstration controls. In a 10,000-message broadcast-storm test the middleware held 3.2 ms average parsing latency (5.1 ms 99th-percentile), lost no messages and stayed at 45-55 MB; the React UI required 50 ms state batching to remain responsive. The main contribution is a structural security property: because the Node.js process holds no raw socket, telemetry can only flow from OT to IT, so the overlay cannot inject forged GOOSE frames even if the web layer is fully compromised. A STRIDE analysis identifies residual risks and benchmarked mitigations (IEC 62351-6 HMAC, Suricata, mutual TLS). Keywords: IEC 61850, GOOSE, cybersecurity monitoring, anomaly detection, IT/OT convergence, smart grid, logical diode.