1. 课程导入与变电站网络通信全景

在智能变电站中，一次设备与二次设备之间的信息交换几乎全部依赖网络报文完成。当保护动作异常、测控数据不刷新、对时偏差过大或通信中断时，仅凭装置面板告警往往无法定位根因，必须回到网络层面，通过抓包观察真实流动的报文，才能判断是"谁没发、谁没收到、谁发错了、谁发晚了"。本课程的目标，就是让学员掌握从"接上抓包口"到"读懂报文、定位故障"的完整能力链。

学习目标：从抓得到到看得懂

本课程围绕四个递进目标展开。第一，会抓：能在站控层、间隔层、过程层的正确位置接入抓包工具，理解镜像口、TAP、交换机端口镜像的差别，避免因接入方式错误导致丢包或改变网络行为。第二，会读：能识别IEC 61850体系下MMS、GOOSE、SV、PTP等报文的封装结构与关键字段，例如GOOSE的stNum/sqNum、SV的smpCnt、PTP的sequenceId。第三，会判：能依据报文的时间间隔、序号连续性、状态变化、时标一致性判断通信是否正常。第四，会诊：能把抓包结果与装置行为、SCD配置、网络拓扑关联起来，形成可复现的故障结论。

需要强调的是，抓包不是"抓得越多越好"。变电站网络流量具有明显的周期性：SV按采样率持续发送，GOOSE在稳态下以心跳间隔发送，MMS则突发性强。若不加过滤地长时间抓取，数据量会迅速膨胀，反而淹没关键事件。因此本课程始终强调"带着问题抓包"——先明确怀疑对象和判据，再设计过滤条件与抓包时长。

三层网络与协议分布

IEC 61850将变电站通信划分为三层：站控层、间隔层、过程层。理解协议在这三层中的分布，是建立诊断直觉的基础。

站控层面向监控后台、远动网关、工程师站，主要承载MMS（制造报文规范）通信，用于遥测、遥信、遥控、定值读写、报告上送等。MMS基于TCP/IP，报文长度可变、突发性强，典型端口为102。站控层还承载SNTP或PTP对时、文件传输等。诊断站控层问题时，关注点通常是连接建立、报告使能、响应时延与丢包重传。

间隔层是保护、测控、合并单元、智能终端等装置所在的层次，是GOOSE与MMS并存的区域。GOOSE用于间隔层设备之间的快速状态传递，如跳闸、闭锁、联闭锁、位置信号，直接映射到以太网链路层，不经过TCP/IP，典型重复间隔在稳态下为秒级，在状态变化后按毫秒级加密重发。GOOSE的诊断核心是stNum（状态号）与sqNum（序号）的配合关系。

过程层直接连接一次设备，承载SV（采样值）与GOOSE。SV将互感器采样以固定采样率广播，典型为每周期80点或256点，对应4kHz或12.8kHz采样率，报文中的smpCnt按采样计数递增，是判断采样连续性的关键。过程层还承载PTP（精确时间协议）对时，为SV和GOOSE提供统一时标，PTP的同步质量直接影响采样值同步与保护计算。

报文类型与诊断对象的对应关系

把协议分布落到诊断动作上，可以形成一张"现象—协议—判据"的对照关系。当后台遥信不刷新时，优先怀疑站控层MMS报告链路，检查报告控制块是否使能、是否被抑制、TCP连接是否中断。当保护装置收不到跳闸命令时，优先怀疑间隔层GOOSE，检查订阅关系、stNum是否变化、sqNum是否连续、报文是否被交换机丢弃。当保护出现采样异常告警时，优先怀疑过程层SV，检查smpCnt是否跳变、采样率是否与配置一致、报文是否丢帧。当全站对时偏差告警时，优先怀疑PTP，检查主从状态、偏移量、路径时延。

这种对应关系不是绝对的，但能显著缩小排查范围。实际故障中，一个现象可能由多层原因引起，例如"保护误动"既可能是GOOSE误发，也可能是SV采样异常，还可能是对时偏差导致采样不同步。因此抓包诊断的价值在于：用报文证据把可能性逐一排除，而不是凭经验猜测。

抓包接入位置的选择

抓包位置决定了能看到什么。在站控层，通常通过监控后台所在交换机的镜像口抓取，能看到MMS与对时报文；在间隔层，通过过程层交换机或间隔交换机的镜像口抓取，能看到GOOSE与SV；若需同时观察GOOSE收发两端，应在交换机上配置双向镜像，或使用TAP串接。需要注意的是，端口镜像在流量较大时可能丢弃报文，SV高采样率场景下尤其明显，此时应优先使用TAP或降低抓包范围。

一个最小可用的抓包记录模板

为了让抓包结果可复现、可追溯，建议每次抓包都记录以下信息。该模板可直接用于现场记录：

以GOOSE为例，若怀疑跳闸命令未送达，可在过程层交换机镜像口执行过滤抓包，观察保护A发出的GOOSE报文。正常状态下，稳态心跳间隔约为1秒，sqNum持续递增；当保护动作时，stNum加1，sqNum从1重新开始并按毫秒级间隔重发数次。若抓到的报文中stNum始终不变，说明保护未发出变位；若stNum已变但智能终端侧未收到，则问题在链路或订阅配置。这就是"用报文证据定位"的典型过程。

本课程的知识框架

后续章节将沿着"抓包准备—协议解析—典型故障诊断—综合案例"的主线展开。抓包准备部分解决工具选择、接入方式、过滤策略；协议解析部分逐一拆解MMS、GOOSE、SV、PTP的报文结构与关键字段；典型故障诊断部分覆盖通信中断、报文丢失、时标异常、误动拒动等场景；综合案例部分把前述能力整合为完整的诊断流程。学完本课程，学员应能独立完成一次从现象到结论的抓包诊断，并输出可被他人复核的诊断记录。

建立"网络分层—报文类型—诊断对象"的整体认知，是后续所有技能的基础。请记住：抓包只是手段，诊断才是目的；报文只是证据，判据才是关键。