2. 抓包环境搭建与工具选型
抓包环境搭建的核心目标，是在不干扰变电站二次系统正常运行的前提下，把需要分析的报文“无损、无遗漏、时间可对齐”地引到分析主机上。变电站网络以IEC 61850的GOOSE、SV、MMS报文为主，GOOSE和SV属于组播、周期性、低时延报文，一旦抓包点选错或镜像口配置不当，很容易出现丢帧、时间戳错乱、报文被交换机丢弃等问题，导致后续诊断结论失真。因此本节按“抓包点选择—工具选型—工程准备”三条主线展开。
一、抓包点的三种典型方式
变电站内可用的抓包点主要有三类：交换机镜像口（SPAN/端口镜像）、无源TAP（分光/分流器）、以及主机本地抓包。三者适用场景不同，工程上常组合使用。
SPAN端口镜像是最常用的方式。在过程层或站控层交换机上，把需要监视的端口（或VLAN）流量复制到一个空闲端口，分析主机接入该端口即可。配置时要注意：镜像源可以是“入方向”“出方向”或“双向”，GOOSE/SV诊断通常需要双向；镜像目的端口不能再承载业务，否则会形成环路或引入额外流量。以某型号工业交换机为例，典型配置思路如下：
# 示例：将端口1、2的双向流量镜像到端口24（具体命令随厂商不同）
monitor session 1 source interface Gi1/1 - 1/2 both
monitor session 1 destination interface Gi1/24
需要特别提醒：SPAN是交换机内部复制，当镜像流量超过目的端口带宽时，交换机会静默丢弃超出部分。GOOSE突发（如断路器变位时连发5帧）叠加SV的固定采样流，很容易在百兆镜像口上溢出。因此镜像口建议使用千兆及以上，并在抓包端观察丢包计数。
无源TAP串接在链路中，把光/电信号按比例分光到监视口，对原链路几乎无影响，也不依赖交换机CPU，适合对时延敏感或不允许改动交换机配置的场合。缺点是需中断链路一次进行串接，且分光比（如70/30、50/50）会影响监视口光功率，需核算接收灵敏度。
主机本地抓包适用于分析站控层MMS、后台通信等场景，直接在分析主机网卡上抓取，但无法看到交换机内部转发细节，也看不到被丢弃的帧。
二、工具选型：Wireshark、tcpdump 与专用分析仪
三类工具定位不同，建议按“现场快速抓取用tcpdump、离线深度解析用Wireshark、长期在线监测用专用分析仪”分工。
tcpdump适合在无图形界面的现场主机或嵌入式设备上抓包，资源占用低。抓取GOOSE/SV时，关键是设置合适的快照长度和过滤条件。SV报文帧长通常较大，若-s设置过小会截断，导致解析失败，建议直接-s 0抓完整帧：
# 抓取指定网卡全部报文，完整帧，写入环形分卷文件
tcpdump -i eth0 -s 0 -w /data/cap/goose_%Y%m%d_%H%M.pcap -G 300 -C 200
# 仅抓取 GOOSE 组播（示例组播MAC 01:0C:CD:01:00:01）
tcpdump -i eth0 -s 0 -w goose.pcap 'ether dst 01:0c:cd:01:00:01'
其中-G 300表示每300秒切一个文件，-C 200表示单文件超过200MB再切分，二者配合可避免单个文件过大、便于按时间定位。
Wireshark用于离线解析。变电站报文分析需注意：GOOSE/SV基于以太网二层，Wireshark默认能识别，但需确认版本支持IEC 61850解析器；解析SV时要在首选项里配置采样率与通道映射，否则无法还原一次值。常用显示过滤表达式如goose、sv、eth.type == 0x88b8（GOOSE）、eth.type == 0x88ba（SV）。
专用分析仪（如继保测试仪配套的报文分析软件、电力专用网络分析仪）内置GOOSE/SV状态机解析、断链统计、时延计算，适合长期在线监测和故障录波式回溯，但价格高、灵活性不如通用工具。
三、工程准备事项
网卡混杂模式：抓包网卡必须开启混杂模式，否则只能收到目的MAC为自己的帧，而GOOSE/SV是组播，会被网卡过滤掉。Linux下可用ip link set eth0 promisc on，或在tcpdump启动时自动开启。同时关闭网卡的校验和卸载、巨帧等特性，避免抓到的帧长度异常。
时间同步：多台设备、多个抓包点联合分析时，时间戳必须统一。建议分析主机接入站内NTP或PTP对时，抓包前用ntpq -p或chronyc sources确认偏差在毫秒级以内。若分析GOOSE/SV的时延，还需注意抓包主机本地时钟与装置时钟的偏差，必要时用同一时钟源。
存储规划：SV报文流量大，一个合并单元8通道、4kHz采样，单口流量可达数十Mbps，长时间抓包会迅速占满磁盘。建议：单独挂载数据盘，使用环形缓冲（tcpdump的-W配合-C），并预留至少2倍于预计数据量的空间。示例：若预计抓取30分钟、平均20MB/s，则约36GB，应预留80GB以上。
四、抓包环境检查清单（示例）
| 检查项 | 要求/示例值 | 判断依据 |
|---|---|---|
| 镜像源/目的端口 | 源 Gi1/1-1/2 双向，目的 Gi1/24 | 目的口无业务、无环路 |
| 镜像口带宽 | ≥1Gbps | 抓包端丢包计数为0 |
| 网卡模式 | 混杂模式开启 | 能收到组播GOOSE/SV |
| 快照长度 | -s 0（完整帧） | Wireshark可完整解析 |
| 时间同步 | 偏差 < 1ms | ntpq/chronyc 输出正常 |
| 存储空间 | ≥预计数据量2倍 | 抓包期间磁盘不写满 |
| 文件切分 | -G 300 -C 200 | 单文件可控、便于回溯 |
完成以上准备后，抓包环境才算具备“可复现、可对齐、可回溯”的基本条件。实际工程中，建议先用小流量、短时间试抓，核对帧数、时间戳和解析结果，再进入正式诊断阶段。