常见报文分析常见报文分析.doc

常见报文分析 前言：抓包工具的使用方法 Ethereal工具的使用方法 抓包设置页面 协议显示 显示信息 过滤机制 4.1 关键字段过滤 1）按目的MAC地址过滤 2）按源MAC地址过滤 3）按优先级过滤 4）按VLAN过滤 语法vlan.id == 210 5）按以太网类型码过滤 vlan.etype == 0x88b8 6）按APPID过滤 7）按GOOSE控制块过滤 语法：frame[30:9] == 80:07:67:6f:63:62:52:65:66 从该帧报文的第30个字节读取9个字节 8）其他字段的过滤类似不在一一举例 4.1 组合过滤 1）找到特征报文的起始点 2）标注起始报文 3）去掉过滤条件，在所有的原始报文中显示标注报文，能找到事件之间的时间关系 4）进一步优化时间显示 设置特征报文为计时参考点 过滤结果 MMS报文 MMS（GBT 16720.2-2005 ）是一种实时通信机制1.对象建模：对一个实际设备进行抽象，利用面向对象思想理解设备的逻辑构成。参考7－2中进行抽象建模，提炼出设备所含有的逻辑节点，每个逻辑节点所含的参数、属性，找出逻辑节点之间数据流向。整个过程需要对设备有大概的了解，知道设备可以被抽象为哪几个逻辑节点组成，特别是数据流向问题，还有该设备可能和哪些其他设备发生数据关系。参考7－1找出该设备与其他设备发生交换的时候需要哪些ACSI服务。最终形成一张该设备的按IEC61850思想获得的逻辑抽象参数表与逻辑数据流程图。参考设备的逻辑抽象参数表与逻辑数据流程图，根据MMS协议与8－1实现映射，将逻辑节点映射成MMS中的域，特别是设备涉及的ACSI服务，很大一部分其实转映射成MMS中的读写服务。根据映射关系得出MMS映射逻辑抽象参数表与MMS服务与ACSI服务对照表。根据MMS服务与ACSI服务对照表，准备一个XML文件作为MMS的配置文件，记录该设备的MMS服务以及参数.面向连接的传递机制（考虑Socket）（RPC）在IED上实现61850，包括2个内容:建立设备数据模型和服务模型;数据模型和服务模型向MMS的映射.其中服务模型逻辑设备模型、数据对象模型、数据集模型、关联服务模型、数据存取服务模型、报告服务模型、设备控制模型、多播服务模型、时间模型、大数据模型(如图像等)。数据和服务模型必须向MMS映射,就是采用MMS来完成通信过程,MMS是OSI7层通信模型的一种应用层协议,主要用于过程自动化领域。MMS中有一些对象和应用服务单元,将通用应用服务模型向MMS映射。就是把它的对象与服务用MMS相应的对象和服务表示。MMS是IEC61850和UCA2.0的关键技术之一,它定义了通信报文格式。IEC61850标准定义了两种抽象模型：采样值传输（SAV）模型和通用的以对象为中心的变电站事件（GOOSE）模型。其中SAV模型应用于采样值传输及相关服务，而GOOSE模型则提供了变电站事件（如命令、告警等）快速传输的机制，可用于跳闸和故障录波启动等。为简化叙述，以下将采样值报文称之为SAV报文，跳闸命令报文称之为GOOSE报文。BRSAV报文和GOOSE报文的传输均/订阅者（publisher/subscriber）通信结构．MMS报文传输实现机制:IEC 61850标准针对变电站所有功能定义了比较详尽的逻辑节点（logicalnode）和数据对象，并提供了完整的描述数据对象模型的方法和面向对象的服务。这些抽象的通信服务、通信对象及参数通过特殊通信服务映射（SCSM）可映射到底层应用程序，其映射一般遵循MMS(应用层)+TCP/IP(网络层传输层)+ISO/IEC8802.3模式(物理层链路层标准)，而SV模型和GOOSE模型的报文传输映射实现比较特殊：应用层专门定义了协议数据单元（ProtocolData UnitPDU），经过表示层编码后，不经TCP/IP协议，直接映射到数据链路层和物理层，即传输层和网络层均空。这种映射方式的目的是避免通信堆栈造成传输延时，从而保证报文传输的快速性。 A8 25 ： PDU请求初始化 A8 (1010 1000 ) 25（PDU报文长度37字节） Bit7，6. Tag type 00通用 10上下文提及 Bit5， 0 原始 1 构建 BIT4-0:值，原始的通用标签，ASN.1中定义的值，[X]在MMS其他用途。 80 02 7D 00：本地通信细节，MMS最大为32000字节 81 01 1E:提出主叫持续时间 （30） 82 01 1E:提出被叫持续时间（30） 83 01 08: 拟建数据结构嵌套级别（8） A4 16: mms请求初始化 A4(1010 0100) 定义类型 16（MMS报文长度为22字节） 80 01