Wat is GOOSE?
GOOSE (Generic Object Oriented Substation Event) is een berichttype uit de normenreeks IEC 61850 waarmee IED’s in een onderstation gebeurtenissen zoals trips, blokkeersignalen en schakelstanden binnen enkele milliseconden als multicast-Ethernetframe naar elkaar sturen, zonder tussenkomst van een server of TCP/IP. GOOSE vervangt de koperen signaaldraden die vroeger tussen beveiligingsrelais en vermogensschakelaars liepen. Het is daarmee de real-time ruggengraat van digitale onderstations en industriële middenspanningsinstallaties.
GOOSE is gebouwd voor snelheid en betrouwbaarheid, niet voor beveiliging: de basisvorm heeft geen authenticatie of versleuteling.
🧠 Hoe werkt GOOSE?
GOOSE volgt het publisher-subscribermodel. Een IED publiceert een dataset (bijvoorbeeld “trip fase L1”, “schakelaar open” en een kwaliteitsbit) en elk IED dat die dataset nodig heeft, abonneert zich erop. Er is geen verbinding en geen bevestiging; betrouwbaarheid komt uit herhaling.
- Direct op laag 2 - GOOSE gebruikt Ethernet zonder IP- of TCP-laag, met EtherType 0x88B8. Dat scheelt protocolverwerking en maakt de looptijd voorspelbaar (deterministisch). In het OSI-model wordt de applicatielaag direct op de datalinklaag afgebeeld.
- Multicast - het doel-MAC-adres ligt in de door IEC 61850 gereserveerde reeks 01-0C-CD-01-00-00 tot en met 01-0C-CD-01-01-FF. Een switch stuurt het frame naar alle poorten in hetzelfde VLAN, tenzij multicastfiltering is ingesteld.
- Gebeurtenisgestuurd - bij een wijziging verstuurt de publisher direct een nieuw bericht en verhoogt hij het statusnummer (stNum).
- Herhaling met oplopende intervallen - direct na de wijziging volgt een snelle reeks herhalingen, waarna het interval steeds verdubbelt tot het ingestelde rustinterval (de heartbeat). Elke herhaling verhoogt het volgnummer (sqNum).
- Bewaking met timeAllowedToLive - elk bericht vertelt de ontvanger hoe lang hij maximaal op het volgende mag wachten. Komt er binnen die tijd niets, dan markeert de subscriber de waarde als ongeldig en kan hij een alarm geven. Sinds editie 2 rapporteert de logische knoop LGOS de status van elk GOOSE-abonnement.
Prioriteit krijgt GOOSE via een IEEE 802.1Q-tag: standaard prioriteit 4, zodat QoS in de switches trips vóór ander verkeer laat gaan.
🔧 Wat staat er in een GOOSE-bericht?
Een GOOSE-frame past altijd in één Ethernetframe. De belangrijkste velden:
| Veld | Betekenis | Waarom het ertoe doet |
|---|---|---|
| APPID | Applicatie-ID in de Ethernet-header | Publisher en subscriber moeten hetzelfde getal gebruiken; switches en IED’s filteren erop |
| gocbRef | Verwijzing naar het GOOSE-controleblok | Identificeert welk IED en welk controleblok het bericht stuurt |
| datSet | Naam van de dataset | Bepaalt welke data-objecten in het bericht zitten |
| timeAllowedToLive | Maximale wachttijd tot het volgende bericht | Basis voor detectie van een verloren publisher |
| t | Tijdstempel van de laatste wijziging | Nodig voor storingsanalyse en volgorde van gebeurtenissen |
| stNum / sqNum | Status- en volgnummer | Onderscheidt een nieuwe gebeurtenis van een herhaling |
| simulation (editie 2) | Testvlag | Maakt testberichten herkenbaar, zodat een test geen echte trip geeft |
| confRev | Configuratierevisie | Een mismatch wijst op een verouderde configuratie bij publisher of subscriber |
| allData | De waarden zelf | Booleans, integers, kwaliteit en tijd van elk data-object |
Welke IED welk bericht publiceert en wie zich erop abonneert, ligt vast in het SCD-bestand: de XML-configuratie (SCL, IEC 61850-6) van het hele station.
⚡ Hoe snel is GOOSE?
IEC 61850-5 deelt berichten in naar de toegestane overdrachtstijd: de tijd van de applicatie in het zendende IED tot de applicatie in het ontvangende IED, inclusief verwerking aan beide kanten.
| Berichtsoort | Voorbeeld | Maximale overdrachtstijd |
|---|---|---|
| Type 1A / klasse TT6 | Trip, blokkering | 3 ms (prestatieklasse P2/P3); 10 ms in klasse P1 |
| Type 1B | Vergrendeling, schakelstand, overige snelle signalen | 20 ms (P2/P3) tot 100 ms (P1) |
| Langzamere berichten | Meetwaarden, rapporten naar SCADA | Honderden ms en meer (via MMS) |
De prestatieklassen hangen af van de toepassing: P1 geldt voor distributienetten, P2 en P3 voor transmissienetten met strengere eisen. Fabrikanten laten hun IED’s hierop testen in het conformiteitsprogramma van de UCA International Users Group; geaccrediteerde labs geven een GOOSE-prestatiecertificaat af. Dat getal is relevanter dan de vaak genoemde “submilliseconde”: de latentie van het netwerk zelf is in een geschakeld 100 Mbit/s-netwerk klein, maar de verwerking in de IED’s telt mee. Een verloren frame mag niet tot een gemiste trip leiden, daarom combineren netbeheerders GOOSE met PRP of HSR uit IEC 62439-3, die elk frame over twee paden sturen met nul hersteltijd. Tijdsynchronisatie gebeurt via NTP of, in digitale stations, via het Precision Time Protocol volgens IEC/IEEE 61850-9-3.
🔄 Wat is het verschil tussen GOOSE, MMS en Sampled Values?
| Protocol | Doel | Transport | Communicatiemodel | Toepassing |
|---|---|---|---|---|
| GOOSE | Gebeurtenissen en statusberichten | Ethernet laag 2, EtherType 0x88B8 | Publisher-subscriber, multicast | Trips, blokkeringen, vergrendelingen |
| MMS | Data-uitwisseling en besturing | Applicatieprotocol over TCP/IP, poort 102 | Client-server | Rapporten, configuratie, koppeling met SCADA |
| Sampled Values (SV) | Gesamplede analoge meetwaarden | Ethernet laag 2, EtherType 0x88BA | Publisher-subscriber, multicast | Stroom en spanning van merging units op de procesbus |
GOOSE en SV zijn niet routeerbaar. Voor communicatie tussen onderstations zijn er R-GOOSE en R-SV, die over UDP/IP-multicast lopen; ze werden beschreven in technisch rapport IEC 61850-90-5 (2012) en zijn met editie 2.1 in de norm opgenomen.
🏭 Waar wordt GOOSE gebruikt?
- Beveiligingsschema’s - doorgestuurde trips, schakelaarfalenbeveiliging en blokkeerschema’s voor railbeveiliging, waarbij het ene relais het andere binnen milliseconden laat ingrijpen
- Vergrendelingen - een scheider mag pas schakelen als de vermogensschakelaar open is; die status gaat via GOOSE in plaats van via een hulpcontact en een draad
- Directe aansturing van vermogensschakelaars zonder tussenkomst van SCADA
- Statusoverdracht van generatoren, transformatoren en scheiders naar stationsautomatisering
- Industriële energieverdeling in olie, chemie, metaal en datacenters, waar middenspanningsinstallaties met IEC 61850-relais werken
In Nederland legt TenneT in zijn kwalificatiesysteem voor beveiligings- en besturingsapparatuur de nadruk op IEC 61850, en het Bay Replacement-programma voor de vervanging van hoogspanningsvelden werkt met IEC 61850-stationsautomatisering. Oudere stations communiceren met het controlecentrum nog via IEC 60870-5-104 of DNP3; GOOSE blijft altijd binnen het station.
🔐 Hoe beveiligt u GOOSE?
De basisvorm van GOOSE is niet versleuteld en niet geauthenticeerd. Wie toegang heeft tot het stationsnetwerk, kan een bericht met een hoger statusnummer injecteren; de subscriber accepteert dat als de nieuwste toestand. Dat heet spoofing, vaak gecombineerd met een replay- of man-in-the-middle-aanval, met als gevolg een ongewenste uitschakeling of een geblokkeerde beveiliging. De Industroyer-malware van Sandworm (Oekraïne, december 2016) had al een module voor IEC 61850.
IEC 62351-6 voegt een security-uitbreiding aan het GOOSE-frame toe met een HMAC over de inhoud, zodat de ontvanger kan controleren of het bericht echt en ongewijzigd is. De editie uit 2020 gebruikt symmetrische sleutels, omdat digitale handtekeningen te traag zijn voor een overdrachtstijd van 3 ms. Het sleutelbeheer staat in IEC 62351-9 en gebruikt GDOI (RFC 6407) om groepssleutels te verdelen. Veel geïnstalleerde IED’s ondersteunen dit nog niet, dus netwerkmaatregelen blijven het fundament:
- Segmenteer - houd stationsbus en procesbus in eigen VLAN’s en zones volgens IEC 62443; Netwerksegmentatie met een firewall en ACL’s scheidt ze van kantoor- en SCADA-netwerken
- Sluit poorten af - Port Security en uitgeschakelde ongebruikte poorten op industriële switches voorkomen dat een laptop zomaar GOOSE kan zenden
- Monitor - leid verkeer via een TAP of SPAN-poort naar een IDS met kennis van IEC 61850; een onbekende publisher, een sprong in stNum of een confRev-mismatch is een duidelijk alarm, dat u doorzet naar uw SIEM
- Beheer de configuratie - bescherm SCD-bestanden en engineeringtools met RBAC en wijzigingsbeheer, en zorg voor fysieke afscherming van de stationskasten
- Zet IEC 62351-6 aan waar publisher en alle subscribers het ondersteunen
Netbeheerders vallen onder NIS2 en de Nederlandse Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is. GOOSE-beveiliging hoort daardoor bij de zorgplicht voor het stationsnetwerk.
❓ Veelgestelde vragen
Waar staat GOOSE voor?
GOOSE staat voor Generic Object Oriented Substation Event. Het is een berichttype uit IEC 61850 waarmee IED’s in een onderstation gebeurtenissen zoals trips en schakelstanden als multicast-Ethernetframe naar elkaar sturen.
Is GOOSE routeerbaar?
Klassieke GOOSE is niet routeerbaar, omdat het direct op Ethernet laag 2 werkt zonder IP-header. Voor communicatie tussen onderstations bestaat R-GOOSE, dat over UDP/IP-multicast loopt en met IEC 61850 editie 2.1 in de norm is opgenomen.
Hoe snel moet een GOOSE-trip aankomen?
IEC 61850-5 eist voor trips en blokkeringen in de strengste prestatieklassen (klasse TT6) een overdrachtstijd van maximaal 3 ms, gemeten van applicatie tot applicatie. Minder kritieke GOOSE-berichten zoals vergrendelingen mogen 20 tot 100 ms duren.
Waarom wordt een GOOSE-bericht steeds herhaald?
GOOSE gebruikt geen bevestigingen, dus betrouwbaarheid komt uit herhaling. Na een wijziging volgt een snelle reeks herhalingen met oplopende intervallen, en daarna een vast rustinterval, zodat de subscriber ook een verloren publisher kan detecteren.
Is GOOSE versleuteld?
De basisvorm van GOOSE is niet versleuteld en niet geauthenticeerd. IEC 62351-6 voegt een HMAC toe waarmee de ontvanger echtheid en integriteit controleert, maar veel bestaande IED’s ondersteunen dat nog niet, dus segmentatie en monitoring blijven nodig.
Wat is het verschil tussen stNum en sqNum in GOOSE?
Het statusnummer stNum stijgt bij elke wijziging in de dataset, terwijl het volgnummer sqNum stijgt bij elke herhaling van dezelfde toestand en bij een nieuwe wijziging opnieuw begint. Een onverwachte sprong in stNum kan wijzen op een geïnjecteerd GOOSE-bericht.
📌 Samengevat
GOOSE is het snelle multicast-berichttype van IEC 61850 waarmee IED’s elkaar binnen 3 ms trips, blokkeringen en schakelstanden sturen, direct over Ethernet laag 2. Herhaling, timeAllowedToLive, VLAN-prioriteit en redundantie met PRP of HSR maken het betrouwbaar; segmentatie, monitoring en IEC 62351-6 maken het veilig.