智能变电站网络报文分析原理与应用窦中山

1、许继电气许继电气智能变电站网络报文分析原理智能变电站网络报文分析原理与应用与应用1、以太网基础知识、以太网基础知识2、网络监听原理、网络监听原理3、报文分析基础、报文分析基础4、智能变电站网络分析功能概述、智能变电站网络分析功能概述5、网络报文记录与分析装置的实现、网络报文记录与分析装置的实现6、在智能变电站中的应用、在智能变电站中的应用nIEEE802.3 带碰撞检测的载波监听多路访问带碰撞检测的载波监听多路访问(CSMA/CD)访问方法访问方法和物理层规范和物理层规范多路访问多路访问/ /冲突检测的原理：先听后讲的策略。检测到传输信道空闲才发送，发送冲突检测的原理：先听后讲的策略。检测到传

2、输信道空闲才发送，发送过程中继续监听。如果此时检测到发送冲突，则立即停止发送，并等待一个随机过程中继续监听。如果此时检测到发送冲突，则立即停止发送，并等待一个随机时间后重新开始检测传输信道状态。时间后重新开始检测传输信道状态。n以太网的以太网的MAC地址地址每块网卡在出厂时都有一个全世界唯一的硬件地址，即每块网卡在出厂时都有一个全世界唯一的硬件地址，即MACMAC地址。长度为地址。长度为6 6字节字节（4848位）其中，前位）其中，前3 3字节为字节为IEEEIEEE分配给厂商的厂商代码，后分配给厂商的厂商代码，后3 3字节为网卡编号。字节为网卡编号。IEEE 802.3IEEE 802.3规

3、定：以太网的第规定：以太网的第48bit48bit用于表示这个地址是组播地址还是单播地址。用于表示这个地址是组播地址还是单播地址。为为“0”0”时，表示是单播地址；为时，表示是单播地址；为“1”1”时，表示是组播地址。如果所有位全为时，表示是组播地址。如果所有位全为“1”1”时，表示是广播地址（时，表示是广播地址（FF:FF:FF:FF:FF:FFFF:FF:FF:FF:FF:FF）。）。组播地址示例：01-80-C2-00-00-0001-80-C2-00-00-01/develop/regauth/grpmac/public.html n关于

4、以太网传输顺序关于以太网传输顺序以太网线路上按以太网线路上按“Big EndianBig Endian”字节序传送报文（也就是最高字节先传字节序传送报文（也就是最高字节先传送），而比特序是送），而比特序是”Little EndianLittle Endian”（也就是最低位先传送（也就是最低位先传送 ) )。n以太网最小帧以太网最小帧64字节的由来字节的由来在在10Mbps网络时代，网络时代，IEEE802.3标准中规定采用中继器时对于两个站点的标准中规定采用中继器时对于两个站点的最远距离为最远距离为2500米，由米，由4个中继器连接而成，其碰撞检测的冲突窗口时间为个中继器连接而成，其碰撞检测

5、的冲突窗口时间为2倍倍电缆传输延迟加上电缆传输延迟加上4个中继器的双向延迟之和，合计为个中继器的双向延迟之和，合计为51.2us。对。对10Mbps网络网络而言，这个时间段内等于发送而言，这个时间段内等于发送512bit，即，即64字节的时间。这就是字节的时间。这就是IEEE802.3标准标准中最小帧长度为中最小帧长度为64字节的来由。字节的来由。考虑如下极限的情况，主机发送的帧很小，而两台冲突主机相距很远。在考虑如下极限的情况，主机发送的帧很小，而两台冲突主机相距很远。在主机主机A发送的帧传输到发送的帧传输到B之前，之前，B开始发送帧。这样，当开始发送帧。这样，当A的帧到达的帧到达B时，时，

6、B检测到检测到冲突，于是发送冲突信号。假如在冲突，于是发送冲突信号。假如在B的冲突信号传输到的冲突信号传输到A之前，之前，A的帧已经发送完的帧已经发送完毕，那么毕，那么A将检测不到冲突而误认为已发送成功。这也是为什么必须有个最小帧长将检测不到冲突而误认为已发送成功。这也是为什么必须有个最小帧长的限制。的限制。目的MAC源MAC类型数据FCS6字节6字节2字节46-1500字节4字节n以太网的帧格式以太网的帧格式有两种主要的以太网帧类型：由有两种主要的以太网帧类型：由RFC894定义的传统以太网封装格式定义的传统以太网封装格式（EthernetII）和）和RFC1042定义的定义的802.3以太

7、网封装格式；以太网封装格式； 最常使用的封装格最常使用的封装格式是式是RFC 894定义的格式。定义的格式。EthernetII（RFC894）帧结构如下： 802.3 以太网帧（ RFC1042 ）的结构与Ethernet II 的非常类似，如下图所示：目的MAC源MAC类型LLC数据FCS6字节6字节2字节46-1500字节4字节注：注：1、LLC-逻辑链路控制。在逻辑链路控制。在IEEE802.2中规定中规定。 2 2、前导码、前导码由由7个字节前同步码个字节前同步码(0 xAA)，1个字节帧起始标志符个字节帧起始标志符(0 xAB)。注：由于都采用了碰撞检测技术，意味着网络速度越快，传

8、输距离越短。n以太网的类型以太网的类型标准以太网-最开始以太网只有10Mbps的吞吐量，它所使用的是CSMA/CD（带有冲突检测的载波侦听多路访问）的访问控制方法，通常把这种最早期的10Mbps以太网称之为标准以太网。快速以太网-也就是我们现在大量使用的100Mbps以太网。快速以太网由 IEEE 802.3u 标准定义，基本与标准以太网相同，但速度比标准以太网快十倍。 千兆以太网-向前兼容的速度更快的以太网。由IEEE 802.3z标准定义。n常见以太网物理拓扑结构常见以太网物理拓扑结构组播注册协议（GMRP）是基于GARP的一个组播注册协议，用于维护交换机中的组播注册信息 。组播：主机之间

9、一对一组的通讯模式，也就是加入了同一个组的主机可以接受到此组内的所有数据，网络中的交换机和路由器只向有需求者复制并转发其所需数据。主机可以向路由器请求加入或退出某个组，网络中的路由器和交换机有选择的复制并传输数据，即只将组内数据传输给那些加入组的主机。这样既能一次将数据传输给多个有需要（加入组）的主机，又能保证不影响其他不需要（未加入组）的主机的其他通讯。注：上面部分内容来自文章110kV大侣智能变电站自动化系统的设计与应用。n组播与组播与GMRP广播风暴：是指网络上不正确的数据流包，或者广播消息的过度传送。在一个局域网中，任何一台主机发出的广播报文都会被同一广播域中的所有其他主机接收到。随着

10、网络规模的扩大，网络中的广播报文越来越多，广播报文占用的网络资源越来越多，严重影响网络性能，这就是所谓的广播风暴的问题。解决广播泛滥问题的主导思想：将没有互访需求的主机隔离开。虚拟局域网(VLAN)：是把一个物理网络划分为多个逻辑工作组的逻辑网段。标准是IEEE802.1Q。注： VLAN无法解决广播风暴，你只能通过较小的VLAN划分来减少广播风暴的发生率。TPI D = 0 x8100PVLAN I Dn广播风暴与广播风暴与VLAN网络监听技术主要基于以下三个条件:n一块网卡一块网卡正常情况下网卡只接收与自身硬件地址相同正常情况下网卡只接收与自身硬件地址相同的数据报文，以及广播和组播报文。的

11、数据报文，以及广播和组播报文。n混杂模式混杂模式（Promiscuous Mode）混杂模式就是不管目的地址，接收所有经过混杂模式就是不管目的地址，接收所有经过本网卡的数据报文的工作模式。本网卡的数据报文的工作模式。 n支持报文转发的网络支持报文转发的网络集线器（集线器（HUBHUB）支持网管的交换机（支持网管的交换机（SWITCHSWITCH）o端口镜像端口镜像oVLANVLAN网络监听-利用计算机的网络接口截获目的地为其它计算机的数据报文。注：在普通交换式网络中通过ARP欺骗的方式也可以进行网络监听。nWindow-winpcapwiresharkwireshark/ethereal/et

12、hereal，ComviewComview，SnifferSniffernLinux/Unix-libpcaptcpdumptcpdump，wiresharkwireshark 9-19-2GOOSEARPRARPTCPUDPIGMPICMPSNTP1588GMRPn如何识别不同的以太网帧格式如何识别不同的以太网帧格式长度： = 1536(0 x0600)如果帧头跟随源地址的2 字节的值大于1536,则此帧为Ethernet II格式的;接着 比较紧接着的2 字节如果为0 xFFFF则为Novell Ether类型的帧;如果为0 xAAAA则为 Ethernet SNAP格式的帧;如果都不是则

13、为Ethernet 802.3/802.2格式的帧.n如何识别不同的通信协议（如何识别不同的通信协议（Ethernet II） 几种常见通信协议的类型值：IP 0800ARP0806SV88BAGOOSE88B8158888F7n IEC61850功能与协议集功能与协议集n MMS应用协议集应用协议集MMS 是一个国际信息通讯标准，提供适用于多种智能设备(IED)和控制设备范围广泛的服务。MMS由两部分组成：服务定义（Servicedefinition）和协议规范（Protocol specification）。MMS 使用了抽象语法标记(ASN.1) 来描述它们所传输的PDU。n TCP/I

14、P传输协议集传输协议集n OSI传输协议集传输协议集n 9-2报文解析实例报文解析实例百兆以太网每秒最大传输帧数的计算公式（传输能力）spbytebitpbytesbit/148809/8/)4601712(/1000000100下面以以太网最小帧长64字节的报文为例计算网络流量：有效数据流量计算：60byte x 148809帧/秒 x 8bit/byte = 71428320bit/秒 = 71.428Mbps网络传输负载计算：(12+8+60+4)byte x 148809帧/秒 x 8bit/byte = 99999648bit/秒 = 99.999Mbps注：同理我们来推算百兆以太网

15、最多能传输多少台采样率为4000Hz的MU报文，假设MU的SVID为11个字符，22个通道，每帧1个点，带4字节VLAN信息。通过捕获报文可以知道每帧有效数据长度为242字节。通过以上公式可以得到46992帧/秒。46992/400011台。n网络传输能力（网络流量计算）网络传输能力（网络流量计算）缺少针对网络模型的监视手段缺少针对网络模型的监视手段 智能设备和通信网络的健康状况将直接影响整智能设备和通信网络的健康状况将直接影响整个智能变电站的通信，网络报文的发送端、接个智能变电站的通信，网络报文的发送端、接收端及通信网络异常或故障均可能导致电力系收端及通信网络异常或故障均可能导致电力系统重大

16、事故，因此需要对网络报文进行有效的统重大事故，因此需要对网络报文进行有效的监视、记录和诊断，提前发现通信网络的薄弱监视、记录和诊断，提前发现通信网络的薄弱环节和故障设备，预防电力系统事故的发生。环节和故障设备，预防电力系统事故的发生。 原始数据的记录与追溯原始数据的记录与追溯 当电力系统故障发生时，不仅能对记录的网络当电力系统故障发生时，不仅能对记录的网络原始报文进行分析，还能还原电力系统一次设原始报文进行分析，还能还原电力系统一次设备故障波形以及二次设备动作行为，便于事故备故障波形以及二次设备动作行为，便于事故发生后进行分析和快速查找故障原因。发生后进行分析和快速查找故障原因。n为什么需要网

17、络分析为什么需要网络分析从物理设备上分：从物理设备上分：合并单元合并单元智能终端智能终端保护测控保护测控监控后台监控后台交换机？交换机？从协议类型和逻辑节点分：从协议类型和逻辑节点分：SV节点节点GOOSE节点节点IP节点节点1588 n监视和分析的对象监视和分析的对象1）记录数据的分辨率：）记录数据的分辨率： 1us；2）SV报文连续记录存储：报文连续记录存储： 3天；天；3）GOOSE报文连续记录存储：报文连续记录存储： 15天；天；4）MMS报文连续记录存储：报文连续记录存储： 15天；天；5）报文异常事件记录存储：）报文异常事件记录存储： 1000条；条；6）文件格式：）文件格式： p

18、cap格式格式n报文数据记录报文数据记录将被监视网络的所有报文打上时标后，无损记录。将被监视网络的所有报文打上时标后，无损记录。实时分析报文，给出预警信息并启动报文记录。启动报文记录的条件包括：实时分析报文，给出预警信息并启动报文记录。启动报文记录的条件包括：报文格式错误，如报文格式错误，如SV、GOOSE、MMS等报文格式错误；等报文格式错误；报文不连续，如丢帧、重复、超时等；报文不连续，如丢帧、重复、超时等；报文不同步，如报文不同步，如SV报文不同步等；报文不同步等；数据属性变化数据属性变化, 如品质因数变化、同步标志变化等；如品质因数变化、同步标志变化等；SV采样异常，如频率不稳定，双采

19、样异常，如频率不稳定，双A/D不一致等：不一致等：GOOSE StNum与与SqNum的变化规律，如变位、重启、状态虚变等；的变化规律，如变位、重启、状态虚变等；对时服务事件，如时钟加入、时钟退出、时钟切换、报文超时等；对时服务事件，如时钟加入、时钟退出、时钟切换、报文超时等；与与SCD配置不一致，如数据集、条目数、地址、参引等；配置不一致，如数据集、条目数、地址、参引等；ACSI服务分析，如名称解析、数据解析、服务过程解析、捕获时间、否定响应等。服务分析，如名称解析、数据解析、服务过程解析、捕获时间、否定响应等。n报文实时监视与分析报文实时监视与分析 装置能够实时监视及分析网络状态。能够实时

20、监视网络中节点的增加和删除、报装置能够实时监视及分析网络状态。能够实时监视网络中节点的增加和删除、报文流量、帧速、通信状态等，给出预警信息并启动报文记录。启动报文记录的条文流量、帧速、通信状态等，给出预警信息并启动报文记录。启动报文记录的条件包括：流量异常、网络风暴、节点突增、通信超时、通信中断等。件包括：流量异常、网络风暴、节点突增、通信超时、通信中断等。n网络状态实时监视及分析网络状态实时监视及分析 实时监视电力系统数据，如有效值、相角、频率、有功功率、无功功率、实时监视电力系统数据，如有效值、相角、频率、有功功率、无功功率、功率因数、差流、阻抗等当前量值及开关量当前状态的能力。功率因数、

21、差流、阻抗等当前量值及开关量当前状态的能力。 实时分析以下异常：电压突变、电压（相实时分析以下异常：电压突变、电压（相/正序）越限、负序电压越限、零正序）越限、负序电压越限、零序电压越限、二次谐波电压越限、三次谐波电压越限、五次谐波电压越限、序电压越限、二次谐波电压越限、三次谐波电压越限、五次谐波电压越限、七次谐波电压越限、电流突变、电流越限、负序电流越限、零序电流越限、七次谐波电压越限、电流突变、电流越限、负序电流越限、零序电流越限、频率越限、频率变化率、开关量变位等，并给出相应的告警信息。频率越限、频率变化率、开关量变位等，并给出相应的告警信息。n电力系统数据实时监视及分析电力系统数据实时

22、监视及分析高精度时标高精度时标MU的离散度的离散度1-10us存储存储 性能性能400Mbps流量流量容量容量 4TB/天天管理算法管理算法点对点的多网卡采集点对点的多网卡采集光口数量光口数量散热散热分析分析网络或报文故障诊断模型网络或报文故障诊断模型MMS协议集分析协议集分析多多MU数据同步技术数据同步技术报文高速分析与显示技术报文高速分析与显示技术n高精度时标高精度时标n存储存储硬件压缩硬件压缩-相对提高存储速度与增大存储容量问题。相对提高存储速度与增大存储容量问题。多硬盘多分区交错使用及数据格式化技术多硬盘多分区交错使用及数据格式化技术多硬盘均衡使用，提高硬盘多硬盘均衡使用，提高硬盘使用寿命；写入与删除不在同一硬盘同时进行，提高硬盘使用效率；格使用寿命；写入与删除不在同一硬盘同时进行，提高硬盘使用效率；格式化删除减少硬盘碎片。式化删除减少硬盘碎片。数据索引技术数据索引技术-使用数据库进行文件索引，提高文件查询效率。使用数据库进行文件索引，提高文件查询效率。容量问题解决途径：容量问题解决途径：大容量硬盘大容量硬盘增加硬盘数量增加硬盘数量数据压缩数据压缩性能问题解决途径：性能问题解决途径：并行写入并行写入数据压缩数据压缩减少文件碎片减少文件碎片减少同时操作相同硬盘的几率减少同时操作相同硬盘的几率注：在完善了诊断模型后，故障式数据记注：在完善了诊断模型后，故