61850模型及MMS报文分析基础

1、基于61850模型和mms消息分析2012-02参考文档：1.数字化变电站调试总结-马玉龙2.iec61850标准 iec61850实施规范列表1、文件类型31.1 icd/cid文件结构32模型验证33、ied配置43.1有关ied和逻辑设备(ld)的信息43.2逻辑节点逻辑节点(ln)53.3 data do和data attribute da 73.4数据集：doi /dai中的集合103.5报告控制块报告控制：114如何抓住包124.1修补工具124.2抓住方法124.3分析实例125、mms消息分析165.1初始化相关165.2与报告相关的215.3视频相关295.4控制相关32与5

2、.5值相关的35第一部分：模型文件基础1、文件类型智能电子设备、保护、测量和控制等设备(ied)必须提供描述icd文件、功能和通信内容的功能(例如设置值、压盘、动作信号等)。系统集成工具通过合并和实例化每个icd文件(如ied名称、信息点说明等)生成工作站级模型文件(scd文件)。scd文件是工作站级别的应用程序，包括监视、远程和错误信息主工作站。ied从scd文件导出此相关部分以构建cid文件，即实例化模型文件(ied运行时)。1.1 icd/cid文件结构-header:历史版本信息等-communication: goose配置等-ied:值、压板、运动信号等-datatypetempl

3、ates:定义对象类型2模型验证xmlspy可以进行一些语法验证。四方61850客户端工具软件可以进行其他验证。3、ied配置注：此示例中的大多数来自培训资料包中的csc326des1.cid。3.1有关ied和逻辑设备(ld)的信息1、icd文件的ied名称通常为template2，cid文件中的ied名称必须与子系统的csscfg.ini配置匹配3，每个ld具有1-n个ldevice，每个ld具有1个ln0和几个ln如果四、四、四周型号文件中有两个专用配置，大型型号(cid超过1m)设备可能无法正常启动，如果需要对这两个参数进行重大更改，则在csc高压保护mst 61850库版本3.40后

4、的串行端口输出中将显示消息。dtvalidnums树叶总数提示信息：sclmaxleafnum is too smaldtallnums每个ln包含的最大类型数5，ld路径名：ld名称整个工作站唯一标识ld3.2逻辑节点逻辑节点(ln)3.2.1包含状态数据的lnln实例：csc326deld0/ggio21，ln类型ln类型：说明datatypetemplate节中查询的数据信息，具体取决于ln类型；例如csc326de/ld0/ggio22、ln实例名称：prefix lnclass inst示例：ggio2(prefix为空)3，ln实例路径名：csc326deld0/ggio2 ld和

5、ln区分为/4、仅在ln0实例中包含数据集dataset、报告控制块reportcontrol、日志控制块logcontrol(必须从模型文件中删除)3.2.2包含度量数据的lnln实例：csc326demeas/mmxu13.2.3包含控制数据的lnln实例：csc326demeas/lln03.2.4包含固定值数据的lnln实例：csc326deprot/lln03.3 data do和data attribute da在模型中，ln的子数据称为do，每个do含义均在61850标准中定义，do可以包含子do和da，因此do可以视为结构化数据。da是模型的最后一级数据，da可能再次包含da。

6、最后一级da称为leaf。模型中的信息分为几种类型，由da的功能约束属性fc标识。典型的fc有以下类别：st:状态mx:测量co:控制sg:当前区域值se:编辑区域值br:缓冲报告控制块rp:非缓冲报告控制块以下是典型数据类型的示例：3.3.1状态类数据包括压板状态、打开状态、警报信息、事件状态等。类型：sps3.3.2测量类别资料包括测量和控制测量和保护测量类型cmv wye mv3.3.3控制类数据控制类型包括返回、压板和开关控制类型cmv wye mv在1，61850实施规范中，check数据必须有值，不能为空值。如果client远程控制命令check为空，则保护度量和控制设备无法接收控

7、制命令，并且控制失败。2、sbow和oper数据类型通常相同3、除了返回直接控制类型外，大部分是预设、执行方式的控制。3.3.4值类数据3.4数据集：doi /dai中的集合fcda到do，do中包含的fc指定da也属于fcdafcda到da1、数据集路径名datasetreference单个数据集：ied名称ld名称ln名称唯一标识数据集名称2、根据每个数据成员实例查找数据的说明，以了解数据与合并内部数据的对应关系3.5报告控制块reportcontrol:1、报告控制块用于设置需要传输的所有内容和方法，如警报、事件、输入和模拟。61850都主动发送数据，除非请求总数由客户端发起。2、ied

8、和客户端连接期间，客户端通常根据需要设置每个报告实例的属性。其中，示例是icd中设置的默认值，如果客户端未重新配置，则以此方式传递。3，datset属性：此报告控制与块相对应的数据集。4，trgops:报告触发选项，用于在哪些条件下通过报告发送数据集中的数据dchg:数据更改传输qchg:质量更改传输dupd:数据更新传输，当前通常不需要周期：周期转移5、optfeilds:报告消息中包含的数据域、信号状态模拟值以外的信息(例如，以下数据等)seqnum:报告的序列号，增量timestamp:报告生成的时间标记，而不是信号更改时间在dataset:报告中包含数据集名称6、rptenabled:

9、 max属性是ied可以支持的报告实例数。初始化时，每个报告创建max个实例，报告控制块名称实例编号(01，02)，例如brcbalarm01、brabarial02.)进行区分。连接时，每个客户端占用一个报告实例编号不同的报告实例。每个报告实例根据客户端指定的属性发送报告。7、如果数据集成员是do级别，则只要其中的任何数据满足报告触发条件，就必须触发报告8、报告分为两种类型的缓存和非缓存，通过reportcontrol段的“buffered”属性设置，buffered=true设置缓冲区报告。fc=brbuffered=false设置无缓冲报告(相当于fc=rp)。基于缓存的报告需要在内存中

10、缓存报告(例如，通信中断期间发生事件)，恢复每次通信时不会丢失事件消息，通常将报告(例如，警报、事件、soe等)建模为缓存类型。基于非缓存的报告不需要ied缓存，通信中断期间可能会丢失数据，远程测量类型的数据通常建模为非缓存报告。扣和mms消息。第二部分：mms消息分析的基础4如何抓住包4.1修补工具典型的tracker包括windows上的mms-ethereal、wireshark和solaris上的snoop命令。mms-ethereal可以自动解释适用于应用层消息分析的mms消息。wireshark是ethereal的替代版本，界面更友好，但标准版本不支持mms消息分析；snoop主要

11、用于数据包，没有图形分析界面，snoop捕获的文件可以使用wireshark打开辅助分析；4.2离合器对于广播和多播消息(如udp心跳消息)，您可以使用便携式计算机连接到交换机上的任何端口。对于后台和装置之间的tcp通信，有几种方法：(1)可以在后台安装软件以捕获软件包，对于非window系统，可以在笔记本电脑上以相同的配置模拟后台截取消息。(2)使用集线器连接后台和设备，将笔记本电脑放在集线器上。必须使用集线器，交换机不可用。wireshark和mms-ethereal都易于用作图形界面，您只需选择正确的网卡即可。使用snoop的方法可以通过man snoop获得，最基本的命令是snoop

12、-d bge0 -o xx.snoop3)如果是远程和子工作站设备，则可以在交换机上设置镜像端口，并将要拦截消息的端口镜像到镜像端口，这样笔记本电脑就会连接到镜像端口，拦截其他端口的消息。交换机通常支持端口镜像功能，并需要设置参考文档。4.3分析示例以wireshark为例，类似于mms-ethereal。1.3.1设置扣过滤器在后台捕获数据包时，数据量较大，文件较大，解析速度较慢，可以在捕获数据包时设置过滤器，以便简单地分析应用层消息。为了分析网络遍历问题，通常不设置过滤条件，因此可以轻松地全面了解网络状态。捕获过滤器条件在capture-options-capture filter中设置，点捕获过滤器有许多现成的示例，以下是一些最常用的示例：tcp仅捕获tcp消息udp仅捕获udp消息host 198.120.0.100仅捕获198.120.0.100的消息ethere host 003300:3336900:1:115仅捕获指定mac地址的消息1.3.2设置显示过滤器打开包文件后，可以在工具栏的filter栏中设置显示过滤器。其中，语法与capture filter略有不同，如下所示：tcp仅捕获tcp消息udp仅捕获udp消息ip.addr=198.120.0.100仅捕获198.120.0.100的消息eth . addr=003300:3336600:033601: