网络报文记录分析仪在数字化变电站中的应用

宁楠

(贵州电网公司六盘水供电局，贵州 六盘水 553001)

0 引言

数字化变电站是以IEC 61850通信规范为基础，由智能化一次设备和网络化二次设备分层构建，能够实现变电站内智能电气设备间信息共享和互操作的现代化变电站，其特征是所有信息的采集、传输、处理和输出过程由过去的模拟信息全部转换为数字信息，并建立与之相适应的通信网络和系统。在数字化变电站中，站控层、间隔层和过程层之间按IEC 61850协议进行通信，模拟量通过采样值(SV，也称SMV)报文传输，状态量、跳闸和联闭锁等信息通过通用面向对象变电站事件(GOOSE)报文传输，遥控、遥信等通过制造报文规范(MMS)报文传输。以上信息均为数字量，即在综合自动化变电站中传输的各类隐形信息被数字信息所替代，把不可视信息可视化，这是数字化变电站先进性的体现。因此，如何能完整记录数字化变电站中各智能设备间的通信及整个通信过程，为事故分析和以后的二次设备状态检修提供依据，成为数字化变电站亟须解决的问题。网络报文记录分析仪就是这样一种能满足数字化变电站实际应用的设备［1］。

1 网络报文记录分析仪

网络报文记录分析仪(以下简称网分)是一种能够极好地适应数字化变电站网络通信模式的监测设备，具有如下特点:

(1)透明性监测。单向接收报文，不对原有网络发送任何报文，因而不会对原有系统构成任何伤害，安全性极高。

(2)海量信息处理。能够接收并处理整个变电站内大量的、不确定的通信报文，处理方式包括报文存储、解析、数据在线及离线分析、一次系统工况再现、信息检索及管理等。

(3)精准时标。支持IRIG－B码和简单网络时间协议(SNTP)等多种时钟源对时，能够为每条报文打上精度优于1 μs的时间戳，可为事故分析的逻辑时序提供依据。

(4)全面支持变电站配置描述(SCD)文件。SCD文件全面描述了全站所有设备及其链路关系，结合SCD文件来解析通信报文，相当于具备了把计算机语言翻译成人类语言的能力，用肉眼能够看得懂的信息来表现变电站的运行状况，也为IEC 61850技术在数字化变电站的工程应用提供了坚强支撑。

网分能够准确地记录数字化变电站过程层、站控层网络中交换的通信报文并打上精确时标，然后对这些报文进行有目的的多元化分析，实时对站内设备及网络出现的异常情况和故障现象进行预警。数字化变电站过程层网络结构主要有SV和GOOSE共网、SV点对点、GOOSE组网［2］等方式，不同网络结构下，网分的接入方式也有所不同。网分主要由数据存储和数据分析2部分构成。

1.1 数据存储

网分记录的数据主要是MMS，GOOSE和SV，每类数据格式不同，其流量大小也不一样。例如间隔合并单元，发送给保护测控的采样频率为4000 Hz，根据《贵州电网数字化变电站采样值报文输出技术规范》要求，以SV报文为例，按22个通道标准配置，实测合并单元通过交换机端口的流量为7～8 Mbit/s，因硬盘容量以 Byte 为单位，1 Byte=8 bit，所以折算后约1 MByte/s，按24 h计算，数据容量大约有86 GB，一个典型的110 kV单母分段变电站，合并单元数量约13个，1 d需记录的数据容量约1.1 TB。贵州电网公司对网分记录容量的要求是记录过程层SV网络原始报文和GOOSE原始报文，至少可以连续记录72 h，也就是说，在不考虑压缩的情况下需要有7 TB的存储开销，这无疑是一个海量的数字。因此，对于主要用于事故追忆和分析功能的网分，需单独配置数据存储器，以实现海量数据的无损存储。当记录文件的记录容量达到最大值后，网分系统一般采用循环覆盖历史记录的方式进行再记录。

1.2 数据分析

采集分析单元实时对采集的网络数据进行网络分析和应用协议分析，实时发现网络通信过程中的异常和应用协议中的错误。

1.2.1 网络分析

详细分析各层网络协议的信息，如链路层、网间网协议(IP)层、传输控制协议(TCP)层、基于TCP的ISO传输服务(TPKT)层、面向连接传输层协议(COTP)层及表示层(PRES)等，并实现对互联网时间同步的标准协议(NTP)、SNTP、地址解析协议(ARP)、卫星传输协议(STP)、简单网络管理协议(SNMP)及互联网控制信息协议(ICMP)等网络协议的完整分析。对网络通信过程进行实时分析，如IP分片与重组、TCP连接与断开等。

1.2.2 应用协议分析

1.2.2.1 SV 采样值分析

目前，从合并单元至保护装置有3种通信协议:IEC 60044－8，IEC 61850－9－l及 IEC 61850－9－2［3］，这3种通信协议各有优、缺点，目前国内采用的是IEC 61850－9－2协议［4］。主要分析内容有:

(1)对报文进行详细的解码及完整性分析。重点检查APDU和ASDU格式是否符合标准;confNo，svID，datSet，entriesNum等参数是否与配置文件一致。

(2)对报文进行应用功能分析。分析采样值报文是否丢帧或错序、采样值同步位变化情况(同步转失步或失步转同步)、采样值品质位变化情况、采样值频率是否发生抖动(采样值报文间时间间隔不恒定)、合并单元间是否同步、通信中断等。例如:

1)查看合并单元发送至保护装置的报文是否是等间隔发送，如采样率为80点每周波，则前后2个报文的间隔时间为250 μs。

2)通过查看SV采样计数器来发现发送的采样值报文是否有漏包现象，如采样率为80点每周波，则1s内合并单元需发送4000帧报文，秒脉冲到来时，计数器清零，如果前后2帧报文计数值不连续，就说明有丢帧的情况发生。

3)数据同步性的判断。合并单元与保护装置采用报文通信以后，数据的同步性就显得异常重要，特别是主变压器差动保护、母差保护等需处理来自不同合并单元数据的装置，对数据的同步性要求非常高，否则，容易导致保护的误动作。通过网分解析出各个时刻合并单元计数器的值(记录仪对所记录报文的时标精确到微秒级)，可以判断出保护装置各侧采样值的同步性问题。

(3)采样值能以波形的方式实时显示。还原一次系统中电压、电流值及故障录波。

1.2.2.2 GOOSE 分析

对GOOSE报文的分析应包括抽象通信服务接口(ACSI)层面的分析和以太网(ETHERNET)层面的分析，ACSI和ETHERNET的关系是相互对应的，所以在分析时，二者的分析结果同时给出［5］。主要分析内容有:

(1)对GOOSE报文进行详细的解码，对报文的完整性进行分析。检查GOOSE报文的APDU和ASDU格式是否符合标准;检查配置版本号(Conf-No)、控制块引用(GoRef)、数据集(DatSet)、数据集个数(EntriesNum)是否与装置CID文件的配置文件相同，如果不一致，则给出异常告警信号。

(2)对报文进行应用功能分析。分析GOOSE报文状态计数(StNum)与采样计数(SqNum)是否异常、StNum与SqNum的值是否重新初始化(装置或功能重启)、新事件、报文间隔时间是否超过规范等，如有异常，系统能自动提取报文中的二次回路信息，以图形化方式实时显示。例如:

1)有新事件发生时，5 个传输时间 t0，t1，t2，t3，t4是否符合标准(标准值为0，2，2，4 和8 ms)。

2)StNum和SqNum值变化是否正确。当为心跳报文时，StNum不变，SqNum应连续增加，如果SqNum不连续，则有丢帧;当有新事件发生时，St-Num连续增加1，SqNum值变为0，如果StNum不连续，则有丢帧。

3)对GOOSE通信中断进行判断。依据SCD文件中配置的MinTime和MaxTime的值，当2帧报文的时间间隔大于4倍的MaxTime值与MinTime值的和时，则判定为通信中断。

此外，由于GOOSE报文采用发布者/订阅者的通信方式，是适合1个或多个数据源(即发布者)向多个接受者(即订阅者)发送数据的最佳解决方案［6－8］，因此，网分对 GOOSE 报文分析时还需具备按照发送地址和接收地址进行统计的功能。

1.2.2.3 MMS 分析

对 MMS报文的分析应包括 ACSI，MMS和ETHENET层面的分析。ACSI和MMS是一对一的关系，所以在分析时，二者的分析结果同时给出;MMS和ETHERNET是一对多的关系，所以是通过选择后查看相应的ETHERNET报文信息。对MMS报文主要进行3个层面的分析:

(1)MMS层分析。包括初始化过程、读/写过程、报告过程和日志服务过程等，还包括各过程相关报文的解析，实时分析MMS报文是否符合每种服务定义的报文格式，对MMS编码错误、服务错误、ACSI服务错误告警。

(2)ACSl分析为应用分析，包括控制操作、定值操作、事件上送、文件服务等服务过程与MMS服务过程之间的映射分析以及各过程相关报文解析的映射分析。对MMS报文进行详细编码解析、MMS命令过程解析、MMS 到 ACSI［9］的映射分析、ACSI过程分析、各种信息与应用数据的关联分析。

(3)ETHENET层分析是对报文表示层及以下各层状信息进行分析，显示各层的详细信息。

通过对MMS层、ACSI层及ETHENET层报文的分析，可以判断出MMS报文发送过程是否顺序错误，控制过程是否连续，控制命令是否有错误，报文是否有漏包和装置之间通信是否有中断等。

2 工程应用

近年来，通过对数个数字化变电站的调试和验收，笔者接触到国内多家厂商的网分，如武汉中元华电ZH－5N、广州思唯奇M8100、南京能发PCR－901和国电南思NSAR513等，在运行过程中发现网络报文记录分析仪的现场应用存在一些问题，并且其强大的分析功能没有得到有效的利用。

2.1 网分工程应用中的问题

(1)端口流量控制。一般情况下，网络报文记录分析仪通过防水尾缆直接与过程层A，B网汇总交换机相连，记录SV采样值和GOOSE报文。采样值、报文数据量较大，对于典型的110 kV单母分段变电站，合并单元至少有13个，如果在交换机侧只配置1个光端口给网分进行数据传输，此端口数据流量将达到120～130 Mbit/s，对于100 Mbit工业级过程层交换机，该端口一定会丢失数据，对应的网分采集到的数据会出现不完整的情况。因此，控制好网分监听端口的数据流量，是确保数据完整性的必要条件。

可采取以下措施:

1)同时在网分和100 Mbit过程层汇总交换机侧配置1000 Mbit光端口硬件。

2)数据分流。A网或B网过程层汇总交换机分别至少分配2路端口资源给网分，网分侧对应配置2路监听端口用于接收数据，同时通过交换机的VLAN划分功能，将全站合并单元按流量分成2个部分，分别进入网分相应的监听端口。通常将主变压器间隔所对应的装置单独划在一个VLAN号，其数据进入网分监听口1，其余装置划在另一个VLAN号，其数据进入网分监听口2。这样处理后，端口就不会出现数据溢出现象，避免了数据丢失。

(2)智能设备ICD文件通道描述的可读性。网分的一个重要特点是采到什么就反映什么，不会附加任何其他内容。网分的基本功能是反映网络上各合并单元、智能终端、保护装置等智能设备的工作状况，上述装置根据功能的不同，有不同的控制块，例如110 kV线路智能终端PRS－7389有3个控制块，110 kV线路合并单元PRS－7393－1有1个控制块。每个控制块内通道数目、名称和功能不相同。因此，若要准确地知道它们的工况，必须确保各元件使用的通道名称描述正确、易懂且规范。目前，智能设备的ICD文件由各厂家提供，都是标准版，没有附加任何工程信息，例如:

1)110 kV间隔合并单元，通道2的标准名称是保护A相电流，没有该间隔的线路名称或断路器编号，当此线路A相接地短路后，需在网分中查询此次故障，因为没有明确名称，操作起来非常不便。

2)110 kV间隔智能终端，GOOSE输出控制块OUT20的标准名称是备用开入25，实际反映的是断路器未储能信号。集成商在配置全站SCD文件、关联各装置之间的逻辑关系时，通常关注的是虚拟二次回路的正确性，而对于各智能设备的报文描述没有在意，但对于运行和维护人员来说，网络报文描述的正确性、易懂性和规范性却非常重要。因此，在现场调试或验收时，一定要求厂商根据施工设计图、标准和运行习惯，修改相应ICD文件的通道描述，做到一目了然。

2.2 网分的现场调试

网络报文记录分析仪调试分为单体调试和系统调试，前者主要内容是查看装置硬件工况是否良好、软件工作是否正常、信号是否正确等，后者是从电力系统的角度，对网分进行全面、细致、有针对性的检查。进行系统调试至少要具备3个条件:过程层和站控层A，B网已经搭建好;采取了合理措施，避免网分监听端口出现数据溢出;各智能元件的ICD文件通道描述正确、易懂且规范。

系统调试的关键点是根据模拟的故障类型，结合保护装置、合并单元、智能终端等元件的动作情况，在网分上查询它们留下的痕迹，以验证相关设备动作的准确性。以南京新和浦PCS－901网分为例，模拟一条110kV线路AB相间故障，调试思路或步骤如下:

(1)查找包含故障时刻的网络报文数据包。获取数据包的方法有2种:一种是通过系统日志找到故障事件记录，然后双击该事件，此时包含故障时刻的数据包将自动下载并打开，如图1所示。这种方法简洁直观，但受时间限制，因为日志在不断滚动和更新。另一种是查阅历史文件数据库。各厂家对网络报文数据包的存储方式各不相同:按数据容量进行打包，如南京新和浦、广州思唯齐;按时间进行打包，如中元华电;既按容量也按时间打包，如国电南思。查找时应注意3点:

1)所选取的网络报文时刻要在故障发生前，这样保护事件才可能包含在这个数据包中。因为在网分上显示的报文时间，是报文进入网分后由网分对时系统打上的时标。

2)以保护装置动作时间为参考，缩小搜索范围，这样快捷且准确，因为全站设备是同一个时钟源。

3)数据不要遗漏，过程层A，B网皆要查找。

(2)查看合并单元。打开数据包后，找到对应的故障线路合并单元，通过采样波形显示功能，读出相应的短路时刻、相别和幅值，然后与保护装置进行比较，判断合并单元是否正确输出采样值，同时注意数据包中的同步位(SmpSynch)是什么状态，如图2所示。

(3)查看保护装置。打开数据包后，找到故障线路保护装置，重点关注以下内容:

1)stNum和sqNum的变化，前者加1时，后者是否置0。

2)在stNum状态计数加1时，查看解析后的数据包allDate中有哪些数据发生突变，由FALSE变为TRUE，或由TRUE变为FALSE。

3)新事件发生后，t0，t1，t2，t3和 t4是否符合标准。将这些数据与保护装置进行比较，判断保护装置是否正确动作，如图3所示。

(4)查看智能终端。打开数据包后，找到故障线路智能终端，重点关注内容同上。对于智能终端，要求厂家增加其收到保护装置跳令的GOOSE输出，以便断路器发生拒动后的事故调查，如图4所示。将其数据与保护装置和断路器机构进行比较，判断智能终端是否正确动作。

2.3 其他

网分不仅用于事故调查分析，而且是实现二次设备状态检修的重要技术手段。电网在正常状态下，网分若发出告警信息，例如合并单元品质改变、sqNum丢失、失步、丢包和通信中断等，运行和维护人员要高度重视，及时找出其原因。

3 研究和改进

网络报文记录分析仪作为一种新型的对数据进行实时监视和分析的辅助装置，其强大的分析功能有目共睹，但某些产品仍存在一些问题有待研究和改进，具体如下:

(1)对MMS报文的解析能力不足。网分对MMS报文的实际解析能力与理论有很大的差距，不能满足现场需求，这需要各网分厂家加大研究力度。

(2)缺乏统一的技术标准。目前国内尚未正式发布关于网分的技术标准。

(3)人机界面不友好。网分报文分析软件界面太复杂，不易掌握。

(4)事件报告标题与报告所链接数据包的内容不符。网分在日志里生成的事件报告中链接的数据包与该事件完全没有关系，造成事件查询困难。

(5)报文分析和数据记录功能不独立。当报文分析软件不运行时，网分停止记录和存储数据。

(6)不具备采样波形显示、事件序列显示、有效值计算等分析功能。

(7)数据存储时间短。

4 结束语

网络报文记录分析仪有着强大的实时监视告警和分析功能，为电网的事故追忆、运行维护和状态检修提供依据。

网络报文记录分析仪是基于对SCD文件的解析，SCD文件包含了丰富的信息，未来应开发SCD文件深度解析工具，以提取全站设备之间虚拟二次回路的逻辑关系，同时开发虚拟二次回路图形化解析软件，将虚拟二次回路中所包含的各物理设备之间的逻辑关系和通道联系，以目录树形式分类、分层呈现出来，这样将大大扩展网分的应用层面和功能，提高运行、维护人员的工作效率。

［1］辛建波，黄瑶数字化变电站建设中需要注意的几个问题［J］.江西电力，2007，31(3):37 －39.

［2］樊陈，倪益民，窦仁辉，等.智能变电站过程层组网方案分析［J］.电力系统自动化，2011，35(18):67 －71.

［3］童晓阳，廖晨淞，周立龙，等.基于IEC 61850－9－2的变电站通信网络仿真［J］.电力系统自动化，2010，34(2):69－74.

［4］郑新才，施鲁宁，杨光，等.IEC 61850标准下采样值传输规范9－l，9－2的对比和分析［J］.电力系统保护与控制，2008，32(18):47 －50.

［5］张劲松，俞建育，张勇.网络分析仪在数字化变电站中的应用［C］∥2010年输变电年会论文集.南京:西安高压电器研究院，2010.

［6］张帆，竹之涵，刘之尧，等.面向通用对象的变电站事件(GOOSE)实时解析和预警系统［J］.电力系统保护与控制，2009，37(23):92 －95.

［7］王攀峰，周晓龙，杨恢宏.一种面向数字化变电站的母线保护方案［J］.电力系统保护与控制，2009，37(12):48－51.

［8］许国伟，蒋晔，张亮，等.数字化变电站中网络通信黑匣子的设计与应用［J］.电力系统自动化，2008，32(17):92－94.

［9］IEC 61850，Communication Networks and Systems in Substations［S］.