国际电工委员会(IEC)为电气工程和电力系统自动化应用中的远程控制(监控和数据采集)制定了IEC 60870标准。第5部分提供了一个通信配置文件，用于在中心控制站和远程控制站之间发送基本的远程控制消息，远程控制站和单独的远程控制站之间使用永久的直接连接的数据电路。

IEC 60870-5包括IEC 60870-5-101(1995)传输协议(基本遥控任务的伴生标准)、IEC 60870-5-102(1996)传输协议(电力系统综合总量传输的伴生标准)、IEC 60870-5-103(1997)传输协议(保护设备信息接口的配套标准)以及IEC 60870-5-104 (2000)传输协议(使用标准传输协议对IEC 60870-5-101的以太网网络访问) 等等协议。
本文主要介绍IEC 60870-5-104协议。IEC 104（IEC 60870-5-104）协议主要用于电力系统控制和信息采集。104规约在101规约的基础上演化而来的，104规约主要运用于变电站远动数据传输。IEC104规约把IEC101的应用服务数据单元（ASDU）用网络规约TCP/IP进行传输的标准，该标准为远动信息的网络传输提供了通信规约依据。采用104规约组合101规约的ASDU的方式后,可很好的保证规约的标准化和通信的可靠性。IEC-104协议使用场景非常广泛，比如电力、城市轨道交通等行业。

IEC60870 -5-104规约简介

IEC60870-5-104实际上是将IEC60870-5-101与TCP／IP提供的网络传输功能相组合，使得IEC60870-5-101在TCP／IP内各种网络类型都可使用，在5层ISO参考模型中，IEC60870-5-104实际上处于应用层协议的位置；基于TCP/IP的应用层协议很多，每一种应用层协议都对应着一个网络端口号，根据其在传输层上使用的是TCP协议（传输控制协议）还是UDP协议（用户数据报文协议），端口号又分为TCP端口号和UDP端口号，其中TCP协议是一种面向连接的协议，为用户提供可靠的、全双工的字节流服务，具有确认、流控制、多路复用和同步等功能，适用于数据传输，而UDP协议则是无连接的，每个分组都携带完整的目的地址，各分组在系统中独立地从数据源走到终点，它不保证数据的可靠传输，也不提供重新排列次序或重新请求功能，为了保证可靠地传输远动数据，IEC60870-5-104规定传输层使用的是TCP协议，因此其对应的端口号是TCP端口。IEC60870-5-104规定本标准使用的端口号为2404，并且此端口号已经得到IANA（互联网地址分配机构，Internet Assigned Numbers Authority）的确认。对于基于TCP的应用程序来说，存在两种工作模式，即服务器模式和客户机模式。服务器模式和客户机模式的区别是，在建立TCP连接时，服务器从不主动发起连接请求，它一直处于侦听状态，当侦听到来自客户机的连接请求后，则接受此请求，由此建立一个TCP连接，服务器和客户机就可以通过这个虚拟的通信链路进行数据的收发。IEC60870-5-104规定控制站（即调度系统）作为客户机，而被控站（即站端RTU）作为服务器。
IEC 60870-5-104规定一个APDU报文由应用规约控制信息（APCI）和应用服务数据单元（ASDU）组成，和IEC-60870-5-101的帧结构相比，其中应用服务数据单元（ASDU）是相同的，相异之处在于，IEC-60870-5-104使用应用规约控制信息（APCI），而IEC-60870-5-101使用链路规约控制信息（LPCI）。在APDU中，启动字符68H定义了数据流内的起始点，应用规约数据单元的长度定义了APDU主体的长度；IEC 60870-5-104规定一个APDU报文（包括启动字符和长度标识）不能超过255个字节，因此APDU最大长度为253（等于255减去启动和长度标识共两个字节），ASDU的最大长度为249，这个要求限制了一个APDU报文最多能发送121个不带品质描述的归一化测量值或243个不带时标的单点遥信信息，若RTU采集的信息量超过此数目，则必须分成多个APDU进行发送。 

IEC60870 -5-104协议解析

IEC60870 -5-104协议(又名IEC104)是TCP/IP网络中具有编码位串行数据传输的远程控制设备和系统的标准，用于监视和控制地理分布广泛的进程。协议标准定义站对象中传输的数据实体与IEC 60870-5-101协议中使用的数据实体相同。IEC104协议的实现使用与IEC101实现相同的站目标(STA)。IEC104是根据TCP/IP协议套件(RFC 2000)中提供的一系列传输功能指定的。在TCP/IP中，可以使用各种网络类型，包括X.25、帧中继、ATM、ISDN、以太网和串行点对点(X.21)。

IEC-104应用规约数据单元基本结构

IEC60870-5-104应用规约数据单元基本结构：
应用规约数据单元：APDU（Applicationprotocal data unit）；
应用规约控制信息：APCI（Applicationprotocal control information）；
应用服务数据单元：ASDU（Applicationprotocal control unit）；
编号的信息传输（I格式）APDU包含APCI和ASDU；
编号的监视功能（S格式）APDU只包含APCI，不含ASDU。当报文接收方收到发送方的I格式报文后，如果没有I格式报文需要发送给对方，可以向对方发送S格式报文以对所接收到的报文进行确认；

未编号的控制功能（U格式）APDU只包含APCI，不含ASDU。其作用主要在于实现3种控制功能，即启动子站进行数据传输（STARTDT）、停止子站的数据传输（STOPDT）和TCP链路测试（TESTFR）。

总结

从安全角度说，通过了解IEC-104协议的基本内容，以及对该协议的分析，才能更好地分析电力系统通信。现在，工控流量审计系统、工控防火墙、态势感知平台等主流工业互联网安全产品都可以对IEC-104协议进行识别。例如，工厂的审计产品识别到“响应站召唤”、“背景扫描”、“文件传输”等指令时，工程师可以检查是否为常规操作。如果识别到“激活”、“停止激活”等命令时，工程师可以向上级询问操作是否经得管理员同意。如果识别到“未知的类型标识”、“未知的传送原因”则很可能是系统出现问题，需要排查并结合防火墙产品进行阻断。强化对IEC-104这个重要协议的理解和认识，可以帮助工程师识别、筛选、判断异常信息，将知识和认知运用于产品化工程实践，优化、提升相关安全产品的检测、响应的性能，更好地为关键设备提供安全防护。