《智能变电站网络报文分析原理与应用-窦中山讲解》由会员分享，可在线阅读，更多相关《智能变电站网络报文分析原理与应用-窦中山讲解（33页珍藏版）》请在金锄头文库上搜索。
1、技术中心中低压系统研发部-系列培训教程 许继电气 智能变电站网络报文分析原理 与应用 主要内容 1、以太网基础知识 2、网络监听原理 3、报文分析基础 4、智能变电站网络分析功能概述 5、网络报文记录与分析装置的实现 6、在智能变电站中的应用 (一)以太网基础知识 IEEE802.3 带碰撞检测的载波监听多路访问(CSMA/CD)访问方法 和物理层规范 多路访问/冲突检测的原理：先听后讲的策略。检测到传输信道空闲才发送，发送 过程中继续监听。如果此时检测到发送冲突，则立即停止发送，并等待一个随机 时间后重新开始检测传输信道状态。 以太网的MAC地址 每块网卡在出厂时都有一个全世界唯一的硬件地址
2、，即MAC地址。长度为6字节（ 48位）其中，前3字节为IEEE分配给厂商的厂商代码，后3字节为网卡编号。 IEEE 802.3规定：以太网的第48bit用于表示这个地址是组播地址还是单播地址。 为“0”时，表示是单播地址；为“1”时，表示是组播地址。如果所有位全为 “1”时，表示是广播地址（FF:FF:FF:FF:FF:FF）。 组播地址示例： 01-80-C2-00-00-00 01-80-C2-00-00-01 http:/standards.ieee.org/develop/regauth/grpmac/p ublic.html (一)以太网基础知识 n关于以太网传输顺序 以太网线路上
3、按“Big Endian”字节序传送报文（也就是最高字节先传送 ），而比特序是”Little Endian”（也就是最低位先传送 )。 (一)以太网基础知识 n以太网最小帧64字节的由来 在10Mbps网络时代，IEEE802.3标准中规定采用中继器时对于两个站点的 最远距离为2500米，由4个中继器连接而成，其碰撞检测的冲突窗口时间为2倍 电缆传输延迟加上4个中继器的双向延迟之和，合计为51.2us。对10Mbps网络 而言，这个时间段内等于发送512bit，即64字节的时间。这就是IEEE802.3标准 中最小帧长度为64字节的来由。 考虑如下极限的情况，主机发送的帧很小，而两台冲突主机相
4、距很远。在主 机A发送的帧传输到B之前，B开始发送帧。这样，当A的帧到达B时，B检测到冲 突，于是发送冲突信号。假如在B的冲突信号传输到A之前，A的帧已经发送完毕 ，那么A将检测不到冲突而误认为已发送成功。这也是为什么必须有个最小帧长的 限制。 (一)以太网基础知识 目的MAC源MAC类型数据FCS 6字节6字节2字节46-1500字节4字节 n 以太网的帧格式 有两种主要的以太网帧类型：由RFC894定义的传统以太网封装格式（ EthernetII）和RFC1042定义的802.3以太网封装格式； 最常使用的封装格式 是RFC 894定义的格式。 EthernetII（RFC894）帧结构如
5、下： 802.3 以太网帧（ RFC1042 ）的结构与Ethernet II 的非常类似，如下图所示： 目的MAC源MAC类型LLC数据FCS 6字节6字节2字节46-1500字节4字节注：1、LLC-逻辑链路控制。在IEEE802.2中规定。 2、前导码由7个字节前同步码(0xAA)，1个字节帧起始标志符(0xAB)。 (一)以太网基础知识 注：由于都采用了碰撞检测技术，意味着网络速度越快，传输距离越短。 n 以太网的类型 标准以太网-最开始以太网只有10Mbps的吞吐量，它所使用的是CSMA/CD （带有冲突检测的载波侦听多路访问）的访问控制方法，通常把这种最早期 的10Mbps以太网称
6、之为标准以太网。 快速以太网-也就是我们现在大量使用的100Mbps以太网。快速以太网由 IEEE 802.3u 标准定义，基本与标准以太网相同，但速度比标准以太网快十 倍。 千兆以太网-向前兼容的速度更快的以太网。由IEEE 802.3z标准定义。 (一)以太网基础知识 n 常见以太网物理拓扑结构 (一)以太网基础知识 组播注册协议（GMRP）是基于GARP的一个组播注册协议，用于维护交换机中 的组播注册信息 。 组播：主机之间一对一组的通讯模式，也就是加入了同一个组的主机可以接受到 此组内的所有数据，网络中的交换机和路由器只向有需求者复制并转发其所需数 据。主机可以向路由器请求加入或退出某
7、个组，网络中的路由器和交换机有选择 的复制并传输数据，即只将组内数据传输给那些加入组的主机。这样既能一次将 数据传输给多个有需要（加入组）的主机，又能保证不影响其他不需要（未加入 组）的主机的其他通讯。 注：上面部分内容来自文章110kV大侣智能变电站自动化系统的设计与应用。 n 组播与GMRP (一)以太网基础知识 广播风暴：是指网络上不正确的数据流包，或者广播消息的过度传送。在一个局 域网中，任何一台主机发出的广播报文都会被同一广播域中的所有其他主机接收 到。随着网络规模的扩大，网络中的广播报文越来越多，广播报文占用的网络资 源越来越多，严重影响网络性能，这就是所谓的广播风暴的问题。 解决
8、广播泛滥问题的主导思想：将没有互访需求的主机隔离开。 虚拟局域网(VLAN)：是把一个物理网络划分为多个逻辑工作组的逻辑网段。标准 是IEEE802.1Q。 注： VLAN无法解决广播风暴，你只能通过较小的VLAN划分来减少广播风暴的发 生率。 n 广播风暴与VLAN (二)网络监听的原理 网络监听技术主要基于以下三个条件: 一块网卡 正常情况下网卡只接收与自身硬件地址相同 的数据报文，以及广播和组播报文。 混杂模式（Promiscuous Mode） 混杂模式就是不管目的地址，接收所有经过 本网卡的数据报文的工作模式。 支持报文转发的网络 集线器（HUB） 支持网管的交换机（SWITCH）
9、端口镜像 VLAN 网络监听-利用计算机的网络接口截获目的地为其它计算机的数据报文。 注：在普通交换式网络中通过ARP欺骗的方式也可 以进行网络监听。 (二)网络监听的原理 Window-winpcap wireshark/ethereal，Comview，Sniffer Linux/Unix-libpcap tcpdump，wireshark 9-1 9-2 GOOSE ARP RARP TCP UDP IGMP ICMP SNTP 1588 GMRP (三)报文分析基础 n如何识别不同的以太网帧格式 长度： = 1536(0x0600) 如果帧头跟随源地址的2 字节的值大于1536,则此帧
10、为Ethernet II格式的;接着 比较紧接着的2 字节如果为0xFFFF则为Novell Ether类型的帧;如果为0xAAAA则为 Ethernet SNAP格式的帧;如果都不是则为Ethernet 802.3/802.2格式的帧. n如何识别不同的通信协议（Ethernet II） 几种常见通信协议的类型值： IP 0800 ARP0806 SV88BA GOOSE88B8 158888F7 (三)报文分析基础 nIEC61850功能与协议集 (三)报文分析基础 nMMS应用协议集 MMS 是一个国际信息通讯标准，提供适用于多种智能设备(IED)和控制设备 范围广泛的服务。 MMS由两
11、部分组成：服务定义（Servicedefinition）和协议规范（Protocol specification）。 MMS 使用了抽象语法标记(ASN.1) 来描述它们所传输的PDU。 (三)报文分析基础 nTCP/IP传输协议集 (三)报文分析基础 nOSI传输协议集 (三)报文分析基础 n9-2报文解析实例 (三)报文分析基础 百兆以太网每秒最大传输帧 数的计算公式（传输 能力） 下面以以太网最小帧长64字节的报文为例计算网络流量： 有效数据流量计算： 60byte x 148809帧/秒 x 8bit/byte = 71428320bit/秒 = 71.428Mbps 网络传输负载计算
12、： (12+8+60+4)byte x 148809帧/秒 x 8bit/byte = 99999648bit/秒 = 99.999Mbps 注：同理我们来推算百兆以太网最多能传输多少台采样率为4000Hz的MU报文，假设 MU的SVID为11个字符，22个通道，每帧1个点，带4字节VLAN信息。通过捕获报文 可以知道每帧有效数据长度为242字节。通过以上公式可以得到46992帧/秒。 46992/400011台。 n 网络传输能力（网络流量计算） (四)智能变电站网络分析功能概述 缺少针对网络模型的监视手段 智能设备和通信网络的健康状况将直接影 响整个智能变电站的通信，网络报文的发送 端、接
13、收端及通信网络异常或故障均可能导 致电力系统重大事故，因此需要对网络报文 进行有效的监视、记录和诊断，提前发现通 信网络的薄弱环节和故障设备，预防电力系 统事故的发生。 原始数据的记录与追溯 当电力系统故障发生时，不仅能对记录的 网络原始报文进行分析，还能还原电力系统 一次设备故障波形以及二次设备动作行为， 便于事故发生后进行分析和快速查找故障原 因。 n 为什么需要网络分析 (四)智能变电站网络分析功能概述 从物理设备上分： 合并单元 智能终端 保护测控 监控后台 交换机？ 从协议类型和逻辑节点分 ： SV节点 GOOSE节点 IP节点 1588 n 监视和分析的对象 (四)智能变电站网络分
14、析功能概述 1）记录数据的分辨率： 1us； 2）SV报文连续记录存储： 3天； 3）GOOSE报文连续记录存储： 15天； 4）MMS报文连续记录存储： 15天； 5）报文异常事件记录存储： 1000条； 6）文件格式： pcap格式 n 报文数据记录 将被监视网络的所有报文打上时标后，无损记录。 (四)智能变电站网络分析功能概述 实时分析报文，给出预警信息并启动报文记录。启动报文记录的条件包括： 报文格式错误，如SV、GOOSE、MMS等报文格式错误； 报文不连续，如丢帧、重复、超时等； 报文不同步，如SV报文不同步等； 数据属性变化, 如品质因数变化、同步标志变化等； SV采样异常，如频
15、率不稳定，双A/D不一致等： GOOSE StNum与SqNum的变化规律，如变位、重启、状态虚变等； 对时服务事件，如时钟加入、时钟退出、时钟切换、报文超时等； 与SCD配置不一致，如数据集、条目数、地址、参引等； ACSI服务分析，如名称解析、数据解析、服务过程解析、捕获时间、否定响 应等。 n 报文实时监视与分析 (四)智能变电站网络分析功能概述 装置能够实时监视及分析网络状态。能够实时监视网络中节点的增加和删除 、报文流量、帧速、通信状态等，给出预警信息并启动报文记录。启动报文 记录的条件包括：流量异常、网络风暴、节点突增、通信超时、通信中断等 。 n 网络状态实时监视及分析 实时监视
16、电力系统数据，如有效值、相角、频率、有功功率、无功功率、 功率因数、差流、阻抗等当前量值及开关量当前状态的能力。 实时分析以下异常：电压突变、电压（相/正序）越限、负序电压越限、零 序电压越限、二次谐波电压越限、三次谐波电压越限、五次谐波电压越限 、七次谐波电压越限、电流突变、电流越限、负序电流越限、零序电流越 限、频率越限、频率变化率、开关量变位等，并给出相应的告警信息。 n 电力系统数据实时监视及分析 (五)网络报文记录与分析装置的实现 高精度时标 MU的离散度1-10us 存储 性能400Mbps流量 容量 4TB/天 管理算法 点对点的多网卡采集 光口数量 散热 分析 网络或报文故障诊断模型 MMS协议集分析 多MU数据同步技术 报文高速分析与显示技术 (五)网络报文记录与分析装置的实现 n高精度时标 (五)网络报文记录与分析装置的实现 n存储 硬件压缩-相对提高存储速度与增大存储容量问题。 多硬盘多分区交错使用及数据格式化技术多硬盘均衡使
