通信协议基础：IEC 61850、IEC 60870-5-104、Modbus TCP协议介绍及安全缺陷
各位好，我是老张。在风电圈摸爬滚打十几年，今天咱们聊聊风电场通信协议的那些事儿。说实话，很多同行觉得协议就是收发数据，没什么好研究的。但我见过太多因为协议安全问题导致的风机停摆事故，所以这一章，我打算把三个主流协议掰开了讲清楚。
1. IEC 61850：智能变电站的“通用语言”
IEC 61850，说白了就是让不同厂家的设备能互相听懂对方说话。在风电场里，它主要用于升压站和风机之间的快速通信。
核心特点：
- 面向对象建模：每个设备都被抽象成逻辑节点，比如断路器、变压器。我习惯把这种建模方式想象成“给每个设备发了一张身份证”。
- 抽象通信服务接口（ACSI）：定义了读、写、报告等标准服务，不管底层用啥网络，上层接口都一样。
- 面向通用对象的变电站事件（GOOSE）：这是我最看重的功能。GOOSE报文不经过TCP/IP，直接走数据链路层，延迟能控制在3毫秒以内。我在项目里用它做跳闸信号，比传统硬接线快多了。
- 采样值传输（SV）：用于传输电流、电压的瞬时采样值，精度高，但带宽占用也大。
安全缺陷：
- GOOSE/SV无认证：GOOSE报文是广播发送的，任何设备都能伪造。我曾经在测试中发现，只要伪造一个GOOSE跳闸报文，整条集电线路就会误动作。
- MMS协议漏洞：MMS（制造报文规范）基于TCP，容易被中间人攻击。攻击者可以篡改定值，导致保护装置误动或拒动。
- 时间同步依赖：IEC 61850依赖精确时间同步（通常用PTP或SNTP）。如果时间被篡改，事件记录和故障分析就会乱套。
我的经验：在部署IEC 61850网络时，我建议把GOOSE和SV报文隔离在独立的VLAN里，别跟MMS混在一起。另外，一定要启用IEC 62351标准中的认证机制，虽然会增加一点延迟，但安全多了。
2. IEC 60870-5-104：远动通信的“老黄牛”
IEC 60870-5-104（简称104协议）是风电场调度通信的主力。它把传统的串口协议搬到了TCP/IP网络上，结构简单，部署方便。
核心特点：
- 基于TCP/IP：默认端口2404，支持长连接和短连接。我习惯用长连接，省去频繁握手的开销。
- ASDU结构：应用服务数据单元（ASDU）是核心，包含类型标识、传送原因、公共地址等信息。说白了，就是给数据包贴了个标签。
- 遥测、遥信、遥控、遥调：104协议支持这四遥功能。遥测传模拟量（如功率），遥信传状态量（如开关位置），遥控发命令（如分合闸），遥调设定值（如无功功率目标值）。
- 时钟同步：支持主站对子站的时钟同步，但精度一般，只能到秒级。
安全缺陷：
- 明文传输：104协议的数据包是明文的，没有加密。我在一次渗透测试中，用Wireshark抓包，直接看到了遥控命令的报文内容，连校验码都能解析出来。
- 无身份认证：主站和子站之间没有双向认证。攻击者可以伪造主站IP，直接下发遥控命令。我曾经遇到过一起事故，就是因为有人用假IP发了个“分闸”命令，导致整条集电线路跳闸。
- 重放攻击：由于没有时间戳或序列号保护，攻击者可以截获一个合法的遥控报文，然后重复发送。嗯，这里要注意，104协议虽然有序列号，但很多实现没有校验序列号的连续性。
避坑指南：我曾经在项目里发现，有些厂家为了省事，把104协议的端口直接暴露在公网上。这简直是给黑客留后门。我建议，104协议一定要跑在专网或VPN里，并且启用IEC 62351-5中的安全扩展，比如使用TLS加密。
3. Modbus TCP：工业控制的“万金油”
Modbus TCP是风电场里最常用的协议之一，尤其是风机控制器和PLC之间的通信。它简单、轻量，但安全问题也最突出。
核心特点：
- 主从架构：一个主站（如SCADA）可以连接多个从站（如风机控制器）。主站发起请求，从站响应。
- 功能码：Modbus用功能码区分操作类型。比如01功能码读线圈状态，03功能码读保持寄存器，05功能码写单个线圈，06功能码写单个寄存器。
- 寄存器地址：每个数据点对应一个寄存器地址。比如风机有功功率可能映射到地址40001。说白了，就是给每个数据点编了个门牌号。
- 无状态：Modbus TCP是无状态的，每个请求都是独立的。这简化了实现，但也带来了安全问题。
安全缺陷：
- 无认证：Modbus TCP没有内置认证机制。任何设备只要知道IP和端口，就能读写寄存器。我在测试中，用一台笔记本电脑模拟主站，直接修改了风机的有功功率设定值，风机立刻降功率运行。
- 无加密：所有数据都是明文传输。攻击者可以轻松嗅探到风机运行参数，甚至修改控制命令。
- 广播攻击：Modbus支持广播请求（地址0），攻击者可以发送广播写命令，同时控制多台风机。这太危险了。
- 功能码滥用：有些功能码（如08功能码诊断）可能被用于拒绝服务攻击。我曾经见过有人用诊断功能码让PLC死机。
我的建议：对于Modbus TCP，我强烈建议使用Modbus/TLS（即Modbus over TLS）来加密通信。另外，在网关或防火墙层面，限制Modbus功能码的使用，只允许必要的功能码通过。比如，只允许03和06功能码，禁止08功能码。
4. 三种协议的安全对比
为了让大家更直观地理解，我整理了一个对比表：
| 特性 | IEC 61850 | IEC 60870-5-104 | Modbus TCP |
|---|---|---|---|
| 主要用途 | 升压站保护、控制 | 调度远动通信 | 风机控制器、PLC |
| 传输层 | TCP/IP + 链路层 | TCP/IP | TCP/IP |
| 实时性 | 高（GOOSE < 3ms） | 中（秒级） | 低（百毫秒级） |
| 认证机制 | 无（需扩展IEC 62351） | 无（需扩展IEC 62351） | 无 |
| 加密机制 | 无（需扩展IEC 62351） | 无（需扩展IEC 62351） | 无（需Modbus/TLS） |
| 主要风险 | GOOSE伪造、MMS篡改 | 明文窃听、重放攻击 | 无认证、广播攻击 |
5. 知识体系结构图
下面这张图，是我梳理的本章知识体系。你想想看，三种协议虽然各有特点，但安全缺陷都集中在“无认证、无加密”这两个核心问题上。
好了，这一章的内容就到这里。三种协议各有千秋，但安全短板都差不多。说白了，就是“裸奔”太久，该穿件防弹衣了。下一章，我会具体讲讲怎么给这些协议“穿衣服”——也就是加密和认证的实现方案。