网络报文记录分析及故障录波在数字化变电站中的应用课件

PCR-901

智能网络记录与分析系统南京新和普电力科技有限公司2013.8网络报文记录分析

及故障录波

在数字化变电站中的应用PCR-901

智能网络记录与分析系统网络报文记录分析

及故1数字化变电站

数字化变电站的特征网络通信的重要性网络通信的复杂性网络通信的不直观性数字化变电站数字化变电站的特征2第一代：记录+离线分析第二代：实时分析第三代：实时分析+网络监测第四代：状态监测?第一代：记录+离线分析3

网络报文记录分析必要性及其作用

网络报文记录分析在数字化变电站中存在的必要性网络报文记录分析可在数字化变电站中发挥的作用(本质功能)

网络报文记录分析将数字化变电站的通信网络可视化网络报文记录分析将数字化变电站的二次回路可视化网络报文记录分析对数字化变电站网络通信故障定位

网络报文记录分析需要满足的特性

网络报文记录分析必要性及其作用网络报文记录分析在数字化变4网络报文记录分析及故障录波在数字化变电站中的应用课件5网络报文记录分析及故障录波在数字化变电站中的应用课件6PCR-901网络报文记录分析装置PCR-901网络报文记录分析装置7

PCR-901网络信息处理流程

（高端FPGA）采集、时间戳、解码嵌入式实时操作系统(RTLinux)环形缓冲技术（网络报文实时分析）录波单元PCI-E/DMACF卡（操作系统/循环日志存储）企业级硬盘（网络报文原始数据）LAN后台管理机(实时数据库)超容量日志/事件存储PCR-901PCR-901零丢包零拷贝PCR-901网络信息处理流程（高端FPGA）嵌入式实时8

PCR-901记录分析单元硬件结构图

FPGA并行处理(采集时间戳解码)PCI-E32位高速嵌入式硬件系统（RTLinux）PCI-E2Gb/s企业级硬盘Ethernet/FiberEthernet/FiberEthernet/FiberEthernet/FiberEthernet/FiberEthernet/Fiber灵活替换PCR-901记录分析单元硬件结构图FPGA并行处理(采9

前向网络报文采集通道共6路100Mb/s，采集模块配置两块128MB内存采用单片FPGA完成报文接收、加盖时间戳，连续报文采集分辨力<100ns，确保采集模块零丢包通过PCI-E高速总线、直接内存访问(DMA)方式，不占用任何上位机CPU资源，达到数据零拷贝

PCR-901-数据采集原理

PCR-901-数据采集原理10

接收数据处理单元采用独特的环形内存技术，管理采集模块与上位机交互的内存缓冲，确保数据传输可靠、完整、高效；采用存储预规划、存储均衡分布、存储负载平衡、存储多盘同读写等实用型技术组合实现超大数据量存储，采用数据零擦写、循环覆盖方式替代传统的删除旧文件、写入新文件的方式；存储数据方式层次化：事件日志条目存储和报文数据存储；其中报文数据存储不仅有常规的原始报文按照网络划分存储；还有按照协议存储，如站控层MMS、GOOSE；特别的还针对有异常的报文做出特别处理；异常报文不仅有对应的事件告警信息条目存储，还有异常报文对应的原始报文数据存储，并且异常报文数据的存储有定值设置，即可以根据实际情况选择哪种异常状况需要启动异常报文数据存储；报文存储格式：本公司特有格式ncap，还支持流行的pcap格式；其中支持pcap的常用的两类格式：微秒格式、纳秒格式

PCR-901-数据存储策略

PCR-901-数据存储策略11

网络报文信息三级处理解决方案：FPGA实现报文采集、统计、SV解码及模拟量数据抽取；CPU实现报文详细分析、事件告警；管理机实现综合分析处理及人机界面操作

运行模式是由一个管理单元和一个或多个采集单元构成，管理单元负责管理多个采集单元，实时显示和采用数据库存储采集单元分析触发的事件告警日志、系统日志；查看模拟量的有效值、相位、谐波等，查看开关量的实时状态；查看IED的历史告警事件；功能强大、细节入微的离线分析

PCR-901-数据分析策略

PCR-901-数据分析策略12

采取软件模块化弱耦合策略，报文分析模块和报文存储模块分离报文存储模块任务逻辑非常简单清晰，只负责将报文数据按照存储机制存储，除了硬盘硬件故障外，确保数据存储不会因为某些难以预知的非法状况引起程序退出造成数据丢失，由于逻辑简单，提升了其可靠性报文分析模块任务逻辑繁杂，由非法报文或某些报文数据输入引起的bug可能性存在；所有协议的分析、统计、归类、事件告警、通信等都在这一模块实现，其中协议按照类型分类，设计为插件式，接口定义明确，方便未来扩展，并且在线协议分析插件和离线协议分析共用，确保在线和离线分析的一致性具备故障自诊断功能，程序的异常退出，尤其是报文分析模块的退出概率还是存在的；所以提供了程序看门狗，大大增加系统运行的可靠性

PCR-901-软件设计策略采取软件模块化弱耦合策略，报文分析模块和报文存储模块分离

13

事件告警按照重要性分为三类：错误、重要(警告)、常规；错误类型表示引起这类事件的原因可能会导致变电站二次系统运行行为异常，如SV采样序号异常、GOOSEstNum、sqNum变化规律异常、配置不一致等；这类事件告警信息需要查找原因，并设法去解决的，辨别是有何引起的这类故障，是网络原因还是IED的原因，是人为原因还是工具的原因等等；重要类型表示引起这类事件的原因反应了一些需要特别关注的现象，如GOOSE新事件(开关变位)、站控层的SOE事件、网络流量突变等；这类的事件可能反映了电力系统的行为变化，需要关注这些事件告警是否真正符合系统运行情况常规类型表示的是一些大多是软件系统提示的内部信息

PCR-901-事件告警等级分类

PCR-901-事件告警等级分类14

支持以下等多项告警

1）、数据帧丢失、错序、重复(采样序号异常)2）、数据异常变大

3）、超时、中断

4）、抖动(报文发送频率异常)5）、采样品质变化

6）、双AD不一致

7）、检修状态位变化

8）、同步状态变化

9）、通道延时变化

10）、数据有效位变化

11）、配置不一致：APPID、组播地址、输出选项、ASDU数量、采样率、 数据引用、svID、版本号、通道数等

PCR-901-事件告警-SV支持以下等多项告警

PCR-901-事件告警-SV15

支持以下等多项告警

1）、发送机制错误（T1、T2、T3时间间隔不规范）

2）、心跳报文抖动(T0时间间隔不规范)3）、超时、中断4）、丢帧、错序、重复(stNum和sqNum变化规律异常)5）、状态改变

6）、状态虚变

7）、检修状态位变化

8）、重启

9）、配置不一致：APPID、组播地址、GoCBRef、DatSet、版本号、 GoID、数据总个数、数据类型等

10）、数据条目数不吻合

11）、数据条目数改变

12）、数据条目的类型改变

PCR-901-事件告警-GOOSE支持以下等多项告警

PCR-901-事件告警-GOOS16

支持以下等多项告警

1）、报告控制块初始化异常

2）、与SCD文件配置不一致

3）、服务否定响应

4）、服务错误

5）、遥控

6）、修改定值

7）、切换定值区

8）、SOE报告

9）、SOE报告中数据值无效

10）、连接释放

PCR-901-事件告警-MMS支持以下等多项告警

PCR-901-事件告警-MMS17

PTP(IEC1588):1）、报文重复

2）、报文丢失

3）、报文错序

4）、Sync报文和FollwUp顺序错误

PCR-901-事件告警-其它 TCP:1）、连接重置、连接断开、建立连接成功

2）、数据重传

3）、传输丢帧

IP:1）、IP分片过多

2）、非法IP地址(SCD中未配置)3）、PING攻击

4）、ARP攻击

网络环境:1）、节点突增

2）、流量异常

3）、网络中断

4）、网络风暴 通用分析:1）、通信中断

2）、通信恢复

3）、报文格式错误支持以下等多项告警

PTP(IEC1588):

PCR-901-事件告警-18

实时监测单元软件主要包含后台管理机主程序、系统日志程序、数据库程序、通信服务程序、进程监控程序和离线报文分析软件。通信服务程序是后台管理机主程序和网络报文分析装置之间信息交换的桥梁。采集后台管理机程序主要实现人机交互操作和信息显示，含网络概貌、设备历史信息、MU监测、GOOSE监测、MU综合分析和文件、日志检索等。系统日志程序实时呈现在线分析的结果信息。数据库程序主要管理设备信息、统计信息和历史事件信息。离线分析软件主要对报文文件进行更详细具体的分析，以图文方式呈现分析结果。进程监控程序随主程序一起启动，如果发现主程序、通信服务程序、系统日志程序异常退出，会自动重新启动该程序。

PCR-901-软件模块之架构实时监测单元软件主要包含后台管理19

记录仪配置及管理需要根据现场情况配置一些参数，如变电站名称、配置文件名称、数据存储路径、记录仪名称、ip地址;记录仪的删除、添加等在线配置可以设置采集单元的采集端口信息、通信端口的地址、异常报文记录参数、是否使能站控层、GOOSE报文单独存储以及是否使能异常报文记录存储等

PCR-901-参数配置对象配置(IED终端配置)可以从SCD导入全站配置信息，也可以手工加入信息，保存后自动更新管辖范围内的采集单元配置信息，保证后台与采集单元使用共同的配置分析配置有关分析的配置全部在这里完成通用在线分析配置：网络中断定值、流量异常阀值、风暴阀值、流量变化阀值等

SV分析设置：超时阀值、中断阀值、双AD误差阀值、抖动阀值、分析项目使能等

GOOSE分析设置：超时阀值、中断阀值、心跳周期抖动误差阀值、发送机制异常等站控层实时分析设置：实时上报报告服务-SOE、实时上报所有报告、上报TCP连接、复位等记录仪配置及管理

PCR-901-参数配置对象配置(IE20

过程层数据过程层网络（SV、GOOSE）数据采如果用组网方式接入，首先在考虑每个网络端口流量的基础上，对过程层交换机进行VLAN划分，然后通过光纤接入记录分析装置。如果采用点对点方式接入，需配置网路数据汇集接口装置，从汇集口接入记录分析装置

PCR-901-数据接入站控层数据站控层网络（MMS）数据接入之前，需要设置站控层交换机，把与监控主机相连的交换机端口的收发数据镜像到一个端口(MirrorPort)，再把镜像端口(MirrorPort)接入记录分析装置

过程层数据

PCR-901-数据接入站控层数据21

采集分析单元的属性信息，包括采集分析单元的名称和IP地址；采集分析单元各记录端口的名称编号，网络通信状态，绿灯表示通信正常（有数据），红灯表示通信中断（无数据）；采集分析单元各记录端口对应的名称，如侦听的是站控层(MMS)A网，可标注为MMS–A，可以直观显示各端口对应的子网的名称；采集分析单元各记录端口记录的网络IED设备的数目；采集分析单元各记录端口对应的每秒钟网络包的个数和网络流量的大小、协议分布和包大小分布；采集分析单元各记录端口接入设备的相关信息，包括设备的名称、MAC地址、流量信息、设备状态等；

设备状态栏信息包含运行、通信中断、配置不一致、失步、检修模式、数据无效、无效PDU等。根据此信息可实时了解设备的一些信息，快速判断设备的运行情况和配置是否一致。

PCR-901-软件之网络概貌 采集分析单元的属性信息，包括采集分析单元的名称和IP地址22

双击网络概况页面设备名称视图中的某套设备【或者双击”设备列表”（通常隐藏在右上侧）中的某套设备】，或在网络概貌页面设备名称视图中按右键选择【设备历史信息】，将在设备信息界面中详细显示该设备的详细信息和历史事件信息，按鼠标右键可按信息类型（所有、常规、告警、错误）过滤

PCR-901-软件之设备历史信息双击网络概况页面设备名称视图中的某套设备【或者双击”设备列23

在网络概貌页面的设备名称视图中选择某合并单元按右键选择MU监测，或者切换页面到MU监测，在主界面右上角的【设备列表】中双击某合并单元，可以监测该MU的实时波形、通道名称、有效值、相位和离散度，见图

PCR-901-软件之MU值监测在网络概貌页面的设备名称视图中选择某合并单元按右键选择MU24

在网络概貌页面的设备名称视图中选择某智能终端按右键选择GOOSE监测，或者切换页面到GOOSE监测，在主界面右上角的设备列表中双击某GSE控制块，可以实时监测该控制块的通道名称、状态等信息，见图

PCR-901-软件之GOOSE状态值监测在网络概貌页面的设备名称视图中选择某智能终端按右键选择GO25

该页面主要同时监测多个MU（已经配置好）的通道采样值、相位、谐波等信息。在主界面右上角的设备列表中双击某合并单元，该合并单元的MAC地址会自动添加到图中的组合框中，可多次双击选择多个MU，也可以在设备列表中在相应MU位置上按鼠标右键挑选需要监测的通道。在图中双击某一个通道，该通道名称会显示在【相位基准通道】右侧，选中【相位基准通道】，其它通道的相位会以该通道相位为基准显示。见图

PCR-901-软件之MU值综合分析该页面主要同时监测多个MU（已经配置好）的通道采样值、相位26

该页面提供按时间和文件类型检索相应记录分析装置的报文文件列表，按时间检索日志信息，双击报文列表中的某一项，自动下载报文文件到本地（文件存放路径在【系统配置】--->【记录仪管理及配置】中配置），并调用离线分析软件进行详细分析。见图：文件类型说明：ncap文件：正常记录存储的报文文件mcap文件：站控层MMS报文文件gcap文件：GOOSE报文文件所有文件:：包含ncap、gcap、mcap文件ecap文件:：异常报文文件

PCR-901-软件之文件日志检索该页面提供按时间和文件类型检索相应记录分析装置的报文文件列27

离线分析程序用来对历史报文文件（文件格式包括wireshark软件支持的pcap格式和本系统的专有文件格式含ncap、mcap、gcap、ecap）来再现通信过程，详细分析报文产生故障或者异常的原因

PCR-901-软件之离线报文分析离线分析程序用来对历史报文文件（文件格式包括wiresha28

在运行过程中，通过系统日志可以方便快捷查看各种信息。系统日志实时显示系统运行过程中的告警事件信息、错误事件信息和其它信息。信息按报文协议类型（MMS、SAV、GOOSE、其它和系统）分类，并按信息类型（常规信息、告警信息、错误信息）分类

提供按APPID或装置名称、信息关键字等组合进行信息过滤,方便查找相关信息。双击某一条信息（系统信息除外），会自动下载包含该信息的报文文件并调用离线软件打开文件、定位到相应位置

PCR-901-软件之事件查看在运行过程中，通过系统日志可以方便快捷查看各种信息。

29

系统运行过程中，由在线软件实时分析报文，分析结果通过系统日志以文字方式呈现用户。对异常事件的处理分三步：（1）浏览系统日志信息，查看异常事件详细信息，双击对应事件信息，下载包含该事件信息的报文文件。（2）或者在第一步记录该异常事件的发生时间，切换到主程序的【文件、日志检索】页面，调整检索时间，找到包含该事件的报文文件，双击下载。说明：报文文件名称以时间命名，通过比对相邻文件名中包含的时间信息，结合事件发生时间定位相应文件。（3）在离线分析软件中，定位到异常事件的报文，通过上下关联帧的报文分析，结合软件提供的统计、过滤等功能，快速查找异常事件发生的原因

PCR-901-软件之装置异常查看异常事件处理一览表系统运行过程中，由在线软件实时分析报文，分析结果通过系统30

SV采样值报文丢包/错序/配置不一致/失步案例下图是SV报文相邻2帧报文截图，从图中可以看出相邻SV帧smpCnt计数器分别为3499和3501，中间丢了一帧

PCR-901-应用案例一SV采样值报文丢包/错序/配置不一致/失步案例

PCR31

同一设备发出的2帧相邻GOOSE报文截图，从图中可以看出goID和数据集条目数配置不一致，是由于SCD文件和装置模型（ICD）文件配置不一致导致的。同时相邻2帧goose报文中的前一帧stNum=1，sqNum=30，后一帧stNum=2，sqNum=0，,并且数据集有改变，说明GOOSE状态有变化

PCR-901-应用案例二同一设备发出的2帧相邻GOOSE报文截图，从图中可以看出g32

监控主机通过站控层网络遥控开关，但没有成功。诊断栏中红色部分提示遥控操作的对象不存在，通过分析诊断是由于SCD文件和保护装置模型中对象配置不一致造成的

PCR-901-应用案例三监控主机通过站控层网络遥控开关，但没有成功。诊断栏中红色部33PCR-901面向使用的特色功能

全面完整的协议分析●SV报文分析

分析APDU、ASDU是否符合标准；confNo、svID、datSet、entriesNum等参数是否与配置文件一致；对丢帧、帧计数不连续、采样值同步变化、采样值品质位变化、采样值频率抖动、通信中断等进行分析；对重要日志事件通过日志系统模块触发告警；实时监测合并单元的SV发布中断、恢复状况并显式提示。●GOOSE报文分析

分析APDU、ASDU是否符合标准；confNo、goRef、datSet、entriesNum是否与配置文件一致；对stNum、sqNum变化错误、GOOSEIED重启、新事件、报文间隔超过规范、通信中断等进行分析；对重要日志事件通过日志系统模块触发告警；实时监测IED终端的GOOSE发布中断、恢复状况并显式提示。●MMS报文分析

分析是否符合每种服务定义的格式，对编码错误、服务错误、ACSI服务错误进行告警；对MMS报文详细解码、MMS命令交互过程解析、MMS到ACSI映射分析、ACSI服务分析；实时监测IED终端的通信中断、恢复状况并显式提示。●IEEE1588(PTP)报文分析

分析报文结构与标准是否吻合，对PTP进行应用分析，分析时钟源改变、时钟精度变化等信息；实时监测时钟源退出、加入状况并显式提示。●GMRP报文分析

分析GMRP报文结构、GMRP报文应用信息●TCP/IP协议栈分析

反追踪TCP/IP协议栈，TC连接、断开、复位、重组乱序报文、丢弃重复报文、拼接分片报文；使整个分析过程完全还原真正的TCP/IP协议栈机制，为上层分析提供坚实可靠基础●TPKT/COTP协议分析

完整的校验TPKT层完整性；拼接COTP分段报文，重组成完整的上层报文●SES会话层、PRES表示层分析PCR-901面向使用的特色功能全面完整的协议分析●SV报34

PCR-901面向使用的特色功能(续)

SV曲线回放●以报文文件为时间断面回放SV曲线●自动根据SCD显示对应的通道名称●查看通道有效值、一次/二次切换●SV数据保存为COMTRADE格式、EXCEL(CVS)格式●提供快捷方式查看SV对应的报文●提供快捷方式定位异常报文对应的时刻，并可直接定位此刻报文●提供快捷方式定位SV有效值突变时刻，并可直接定位此刻报文PCR-901面向使用的特色功能(续)

SV曲线回放●35

GOOSE状态回放●以报文文件为时间断面回放GOOSE曲线●自动根据SCD显示对应的通道名称●GOOSE状态数据保存为COMTRADE格式●提供快捷方式查看GOOSE对应的报文●提供快捷方式查看GOOSE变位时刻，并可直接定位此刻报文PCR-901面向使用的特色功能(续)GOOSE状态回放●以报文文件为时间断面回放GOOSE36

PCR-901面向使用的特色功能(续)

离线报文分析●事后分析的重要工具，与历史数据库相辅相成●最精细的分析过程，提供丰富手段查看通信行为●按照通信协议分类、以IED节点对为最小分析单位，快速定位IED的特定协议的通信过程●按照IED节点分类、快速定位IED的所有通信过程●按照通信发生时间顺序列出分析结果●提供绝对时间戳显示、提供相对时间差显示、提供报文时间间隔●提供按照指定基准值，快速定位报文间隔差超过指定阀值的报文，特别适用于查找SV报文●对异常报文、包含重要事件的报文以直观的结果提示●提供过滤手段，直接查看异常报文、包含重要事件的报文●分析窗口层次明了，按照协议分层，可以隐藏/显示，操作界面友好，适用于不同需求的人员●以树状图显示报文结构层次、十六进制/二进制显示报文内容，结构层次和报文内容可以直观关联，便于学习通信协议●简要报文分析结果●网络流量按协议种类统计●网络报文大小分布统计●MU离散值分析统计●SV曲线回放●GOOSE信号状态回放●报文检索功能●报文定位功能●报文标签功能●报文格式转换导出PCR-901面向使用的特色功能(续)离线报文分析●37PFR-601数字化故障录波分析装置总体架构数字化故障录波器采用全嵌入式系统设计。高可靠性、高效率CPU；嵌入式操作系统；大规模FPGA技术。数字化故障录波器由管理机单元、数字化录波单元/网络通信单元、数据采集处理模块和其他辅助单元组成。PFR-601数字化故障录波分析装置总体架构38性能指标

1）.模拟量

SV通道最多可支持96路启动判据，可接入256路参与录波记录2).开入量

GOOSE通道最多可达1024路启动判据、录波记录3).采样指标

1)采样速度:线速采集、最高达背靠背采集

2）采样方式：被动接入采样

3）采集分辨力：100ns4).测距精度金属性短路优于2%性能指标1）.模拟量39性能指标(续)5).启动要求所有参与判据的信号均可作为启动量,任一路输入信号满足定值给出的启动条件,均可启动录波。5.1).启动方式

(1)相电压高越限和零序电压高越限、相电压突变量和零序电压突变量启动(2)电压正序高越限、电压负序低越限和零序电压高越限启动(3)频率越限与变化率启动:50.5HZ≤f≤49.5HZdf/dt≥0.1HZ/s(4)主变中性点零序电流I0越限启动(5)同一相电流变化1.5s内最大值与最小值之差大于平均值10%(6)相电流突变量和零序电流突变量启动(7)相电流高越限、电流负序越限、零序电流高越限启动(8)开关量变位启动(9)手动启动：由人工控制启动录波(10)遥控启动：由监控主机下达启动命令5.2)．启动精度越限启动量，优于5%；突变启动量，优于10%。性能指标(续)5).启动要求40

技术特点报文采集单元采用高端FPGA硬件体系和嵌入式实时软件设计

采用基于IEC61850体系建模通信的设计方案

FPGA多通道并行解码机制

DMA内存共享技术

支持常见数字化变电站信息发布

全面支持IEC61850,满足一致性测试要求

技术特点报文采集单元采用高端FPGA硬件体系和嵌入式实时软41定值配置定值配置42定值配置(续)

定值配置(续)43通道值、相位监测通道值、相位监测44线路综合监测线路综合监测45波形及谐波监测波形及谐波监测46

数据仓库/数据引擎/数据平台报文解码报文捕获/时间戳帧间隔分析统计流量统计

数据分析故障录波

报文历史追溯采样数据显示SV曲线回放网络概貌协议插件GOOSE序列图报文分析简报事件日志功能调用消息触发

事件驱动录波判据波形分析

录波应用实时分析基本应用故障分析简要报告数据交互100Mb/s谐波分析频率计算高级应用1010101COMTRADE格式PCR-901A网络报文记录分析及故障录波

实现概貌100Mb/1000Mb/s事件日志事件日志流量统计

事件日志帧间隔分析统计流量统计

事件日志事件日志事件日志流量统计

事件日志帧间隔分析统计流量统计

事件日志数据分析协议插件数据分析数据分析协议插件数据分析报文历史追溯GOOSE序列图采样数据显示报文历史追溯GOOSE序列图SV曲线回放采样数据显示报文历史追溯GOOSE序列图报文分析简报SV曲线回放采样数据显示报文历史追溯GOOSE序列图网络概貌报文分析简报SV曲线回放采样数据显示报文历史追溯GOOSE序列图GOOSE序列