IEC61850实战：GOOSE与SMV报文解析及TaoToken配置验证

1. 抓包现场：GOOSE 跳闸报文与 SMV 采样值到底长什么样

如果你在变电站调试继电保护，大概率遇到过这种场景：保护装置动作了，后台却只看到一条干巴巴的“跳闸”信号，想确认 GOOSE 报文里的stNum有没有翻转、sqNum是不是连续、SMV 采样值有没有丢帧，只能靠抓包工具硬啃十六进制。IEC61850 把 GOOSE 和 SMV 都压在了二层以太网上，Ethertype 分别是0x88B8和0x88BA，Wireshark 虽然能识别，但默认解析出来的字段名和现场调试习惯对不上，尤其是allData里那一串布尔值，不结合datSet定义根本不知道哪个是跳闸出口。

这篇内容面向继电保护调试和数字化变电站集成人员，目标很明确：从 Wireshark 过滤表达式开始，把 GOOSE 跳闸报文和 SMV 采样值报文的结构字段逐层拆开，再给出一套通过 TaoToken 统一 Key 通道接入 AI 辅助分析工具的settings.json配置骨架，让抓包到报文语义解读形成闭环。你不需要背 ASN.1 编码规则，跟着操作就能把一条 GOOSE 报文里的gocbRef、goID、stNum、sqNum和allData对应到实际保护逻辑上。

先明确两个概念。GOOSE 是面向通用对象的变电站事件，用于跳闸、联闭锁这类快速报文，典型传输时间要求小于 3ms，报文直接映射到以太网，不经过 TCP/IP。SMV 是采样值报文，用于传输电流电压瞬时值，IEC61850-9-2 版本直接映射到以太网，Ethertype0x88BA，每个采样点带一个 32 位计数器smpCnt，从 0 循环到采样率减一。两者都是组播，GOOSE 目的 MAC 通常是01:0C:CD:01:00:00到01:0C:CD:01:01:FF范围，SMV 类似。

我试过在 220kV 数字化变电站的合并单元和保護装置之间抓包，现场用镜像口或者串接一个支持端口镜像的交换机就行。Wireshark 版本建议 4.0 以上，自带的 IEC61850 解析器已经能识别 GOOSE 和 SV，但需要手动开启一些偏好设置，否则allData只显示原始字节。

2. TaoToken 前置：为什么报文分析也需要统一 Key 通道

抓包只是第一步，真正费时间的是把十六进制字段翻译成保护逻辑语义。比如 GOOSE 报文里allData有 9 个布尔值，哪个对应“跳闸A相”、哪个对应“跳闸B相”，得对照 SCD 文件里的datSet定义。SMV 报文里smpCnt跳变、quality位异常，也需要快速判断是合并单元同步问题还是网络丢包。这些分析如果纯靠人工翻标准、查 SCD，一条报文看半小时很正常。

TaoToken 在这里的角色是统一 Key 通道。你可以把它理解成一个聚合入口：用同一个 API Key 就能调用多家模型，把抓包导出的文本或者 pcap 摘要丢给 AI 辅助分析，让它帮你做字段对照、异常模式识别、甚至生成排查脚本。官网地址是 https://taotoken.net/?utm_source=taotoken_aicg_blog_end&utm_medium=csdn&utm_campaign=rewrite&utm_content= ，API 入口是 https://taotoken.net/api ，注意 API 地址不带 UTM 参数。

为什么不用直连某一家模型？现场调试环境往往网络受限，统一 Key 通道的好处是配置一次、多处复用，而且settings.json骨架可以同时适配模型对话、Coding Plan 和 API Keys 三种场景。对于长期做继电保护调试的人来说，把 AI 辅助分析工具接进日常工作流，比每次临时找接口要省事得多。

需要先拿到 Key。登录后进入控制台，在 API Keys 页面创建一个新 Key，复制保存。这个 Key 后面会写进settings.json。如果你只是临时验证模型连通性，可以直接用模型对话页面测试；如果要做长期编码或者 Agent 集成，建议走 Coding Plan，配额和稳定性更适合持续调试场景。

3. 可复制配置：Wireshark 过滤表达式与 settings.json 骨架

3.1 Wireshark 过滤表达式

抓 GOOSE 报文，最直接的显示过滤器是：

goose

抓 SMV 报文：

sv

如果现场既有 GOOSE 又有 SMV，想按 APPID 区分，比如 GOOSE 的 APPID 是0x000B，SMV 的 APPID 是0x1028：

goose && goose.appid == 0x000B sv && sv.appid == 0x1028

想抓某个特定goID的 GOOSE 报文，比如XRP800GOLD/LLN0$GO$gocb1：

goose && goose.goID == "XRP800GOLD/LLN0$GO$gocb1"

抓stNum发生变化的报文，用于确认保护是否动作：

goose && goose.stNum != 0

更实用的是抓stNum翻转的瞬间，可以结合frame.time_delta看时间间隔。SMV 方面，抓smpCnt不连续的报文需要写自定义解析，Wireshark 默认不直接暴露这个过滤器，但可以用：

sv && sv.smpCnt < 10

来抓采样计数器回绕附近的报文，辅助判断同步状态。

3.2 GOOSE 报文结构字段对照表

3.3 SMV 报文结构字段对照表

3.4 settings.json 配置骨架

下面这份骨架用于把 AI 辅助分析工具接入 TaoToken 统一 Key 通道。把YOUR_API_KEY替换成你在控制台创建的 Key。

{ "provider": "taotoken", "api_base": "https://taotoken.net/api", "api_key": "YOUR_API_KEY", "model": "claude-3-5-sonnet", "timeout": 60, "max_retries": 3, "features": { "model_chat": true, "coding_plan": false, "api_keys": true }, "context": { "domain": "iec61850", "protocols": ["goose", "smv"], "analysis_mode": "packet_semantic" } }

如果你要做长期编码或者 Agent 集成，把coding_plan改成true，并到 Coding Plan 页面确认配额。如果只是验证模型连通性，model_chat保持true即可，直接走模型对话入口测试。

4. 验证请求：从抓包到报文语义解读的闭环

4.1 用 Wireshark 导出报文文本

抓到一个 GOOSE 跳闸报文后，在 Wireshark 里右键报文，选择“复制”->“作为纯文本”，粘贴到文本文件。或者用tshark命令行导出：

tshark -r goose.pcap -Y "goose" -T fields -e goose.gocbRef -e goose.stNum -e goose.sqNum -e goose.allData > goose_fields.txt

SMV 报文类似：

tshark -r smv.pcap -Y "sv" -T fields -e sv.svID -e sv.smpCnt -e sv.confRev -e sv.smpSynch > smv_fields.txt

4.2 用 curl 验证 TaoToken 连通性

在把报文丢给 AI 之前，先确认 Key 通道可用。用 curl 发一个最小请求：

curl -X POST https://taotoken.net/api/v1/chat/completions \ -H "Content-Type: application/json" \ -H "Authorization: Bearer YOUR_API_KEY" \ -d '{ "model": "claude-3-5-sonnet", "messages": [ {"role": "user", "content": "请用一句话说明GOOSE报文中stNum和sqNum的区别"} ], "max_tokens": 100 }'

如果返回正常，说明 Key 和网络都通。如果返回 401，检查 Key 是否复制完整；如果返回 404，检查api_base是否写成了带 UTM 的地址，API 入口应该是https://taotoken.net/api，不带查询参数。

4.3 把报文文本交给 AI 做语义解读

把goose_fields.txt的内容作为上下文，构造一个分析请求：

curl -X POST https://taotoken.net/api/v1/chat/completions \ -H "Content-Type: application/json" \ -H "Authorization: Bearer YOUR_API_KEY" \ -d '{ "model": "claude-3-5-sonnet", "messages": [ {"role": "system", "content": "你是IEC61850继电保护调试专家，请根据GOOSE报文字段判断保护是否动作，并指出allData中哪些位可能对应跳闸出口。"}, {"role": "user", "content": "gocbRef=XRP800GOLD/LLN0$GO$gocb11, stNum=1, sqNum=1, allData=[FALSE,FALSE,FALSE,FALSE,FALSE,FALSE,FALSE,FALSE,FALSE]"} ], "max_tokens": 500 }'

实测下来，模型能根据stNum从 0 变 1 判断状态翻转，并提示allData全 FALSE 说明当前无跳闸出口动作，需要结合datSet定义确认。对于 SMV 报文，把smpCnt序列和smpSynch状态丢进去，模型能指出smpSynch=none时采样值不可用于保护计算，需要检查合并单元对时。

4.4 成功结果判断

一次完整的闭环验证应该看到：Wireshark 能过滤出目标 GOOSE/SMV 报文，tshark导出的字段与 SCD 定义一致，curl 请求返回 200 且内容合理，AI 分析结果能指出stNum翻转对应保护动作、smpCnt跳变对应丢帧。如果这四步都通过，说明从抓包到语义解读的链路已经打通。

5. 本篇常见错排查

5.1 Wireshark 解析不出 GOOSE/SMV 字段

现象：抓到的包 Ethertype 显示0x88B8或0x88BA，但协议列只显示Ethernet，没有展开 GOOSE 或 SV 树。

原因通常是 Wireshark 的 IEC61850 解析器被禁用，或者版本过低。检查“分析”->“启用的协议”里goose和sv是否勾选。如果版本低于 3.6，建议升级到 4.0 以上。另一个原因是抓包时用了错误的链路层类型，比如在 Linux 上用any接口抓包可能丢失二层头，改用具体网卡如eth0。

5.2 GOOSE 报文 allData 全 FALSE 但保护已动作

现象：保护装置面板显示跳闸，但抓到的 GOOSE 报文allData全是 FALSE，stNum也没变。

先确认抓包点位置。如果在保护装置发送口抓，应该能看到stNum翻转；如果在接收口抓，可能订阅的是另一个 GOOSE 控制块。检查gocbRef和goID是否与 SCD 中跳闸控制块一致。还有一种情况是保护动作后 GOOSE 报文发了多次，stNum翻转后sqNum递增，但allData里的跳闸位在第一个报文里是 TRUE，后续重传可能被置回 FALSE，需要看第一个stNum变化后的报文。

5.3 SMV 报文 smpCnt 不连续

现象：smpCnt从 2061 直接跳到 2063，中间缺一个。

先看smpSynch字段。如果smpSynch=none，说明合并单元未同步，采样计数器可能因时钟抖动跳变。如果smpSynch=global或local，检查网络是否有丢包，用交换机端口统计看 CRC 错误和丢弃计数。另外，smpCnt回绕时从最大值跳到 0 是正常的，不要误判为丢帧。

5.4 TaoToken 请求返回 401 或 404

401 通常是 Key 无效或未加Bearer前缀。检查Authorization头格式是否为Bearer YOUR_API_KEY，注意 Bearer 和 Key 之间有一个空格。404 通常是api_base写错，确认是https://taotoken.net/api，不要带 UTM 参数，也不要写成首页地址。如果返回 429，说明请求频率超限，降低并发或到控制台查看配额。

5.5 settings.json 不生效

现象：配置文件写好了，但工具仍然报未配置。

检查 JSON 格式是否合法，可以用python -m json.tool settings.json验证。确认api_base字段名是否正确，有些工具用base_url而不是api_base。如果工具支持环境变量覆盖，检查是否有TAOTOKEN_API_KEY之类的环境变量冲突。最后确认配置文件路径是否在工具默认搜索路径下，必要时用绝对路径。

6. 接入文档与后续动作

报文解析和 AI 辅助分析的闭环搭起来之后，下一步是把这套流程固化到日常调试里。你可以把tshark导出命令写成脚本，抓包后自动生成字段文本，再通过 TaoToken 的 API 批量分析。对于长期做数字化变电站集成的人来说，建议走 Coding Plan，把分析逻辑封装成可复用的 Agent，减少重复劳动。

需要查阅接入细节的话，API Keys 管理在控制台的 API Keys 页面，接入文档在文档中心，模型对话入口可以直接测试模型响应。如果你更习惯用 Claude Code 做编码辅助，Anthropic 兼容入口也支持同一套 Key。把settings.json里的api_base保持为https://taotoken.net/api，其余按工具要求调整即可。

现场调试最耗时的往往不是抓包本身，而是把十六进制字段翻译成保护逻辑。把这一步交给 AI 辅助分析，前提是 Key 通道稳定、配置正确。先跑通 curl 验证，再接入工具，最后把常用分析请求固化成脚本，这套顺序能帮你少踩很多坑。