西门子显示屏6AV2123-2GA03-0AX0触摸屏附件

西门子显示屏6AV2123-2GA03-0AX0触摸屏附件

S7- - 1500 中，系统特定的一致性数据的数量：
如果遵循系统中所的一致性数据大数量，则不会产生不一致现象。在程序循环过
程中，S7-1500 可将块中 512 个字节的通信数据一致性地复制到或传出用户存储
器。超出该数据区时，将无法确保数据的一致性。如果要定义确保数据的一致性，则
CPU 内用户程序中的通信数据长度不能超过 512 个字节。之后，即可在 HMI 设备上通过
Read/Write 变量对这些数据进行一致性访问。
如果需一致性传输的数据量超出了系统的数据大量，则需在应用程序中使用特殊措
施确保数据的一致性。
确保数据一致性
通过指令访问公共数据：
如果在用户程序中通过一些通信指令访问公共数据（如 TSEND/TRCV），则可使用诸如
“DONE"等参数对该数据区进行访问。因此，在用户程序中使用指令进行数据传输，可确
保通信过程中数据区中数据的一致性。
说明
用户程序中采取的具体措施
要确保数据一致性，可将待传输数据复制到一个单独的数据区（如，全局数据块）中。用
户程序继续传输源数据时，可通过通信指令将一致性地传输单独数据区中存储的数据。
在复制过程中，系统将使用相应的不可中断型指令，如 UMOVE_BLK 或 UFILL_BLK。这
些指令可确保高达 16 KB 的数据一致性。
使用 PUT/GET 指令或通过 HMI 通信进行 Write/Read 操作：
使用 PUT/GET 指令进行 S7 通信或通过 HMI 通信进行 Write/Read 操作时，编程或组态
中需考虑一致性数据区的大小。将 S7-1500 用作服务器时，用户程序没有可用于数据传
输的指令。在用户程序运行过程中，可通过 PUT/GET 指令进行数据交换，对 S7-1500
进行更新。但在循环执行用户程序时，不支持对数据进行一致性传输。待传送数据区的长
度应小于 512 个字节。

本公司*销售西门子PLC,200，300，400，1200，西门子PLC附件，西门子电机，西门子人机界面，西门子变频器，西门子数控伺服，西门子总线电缆现货供应，*咨询系列产品，折扣低，货期准时，并且备有大量库存.长期有效

公司主营：

更多信息
● 有关通信模块所支持的一致性数据大数量，请参见设备手册中的相应技术规范。
● 有关数据一致性的更多信息，请参见 STEP 7 在线帮助中的指令说明。
通信服务
3.6 安全通信
通信
40 功能手册, 11/2019, A5E03735819-AH
3.6 安全通信
3.6.1 安全通信的基础知识
在 STEP 7 (TIA Portal) V14 及更高版本和固件版本 V2.0 及更高版本的 S7-1500 CPU
中，设计了大量的安全通信选项。
简介
“安全"(secure) 属性用于识别以 Public Key Infrastructure (PKI) 为基础的通信机制（例
如，RFC 5280 ，用于 Internet X.509 Public Key Infrastructure Certificate and Certificate
Revocation List Profile）。Public Key Infrastructure (PKI) 是一个可签发、发布和检查数
字证书的系统。PKI 通过签发的数字证书确保计算机通信安全。如果 PKI 采用非对称密钥
加密机制，则可对网络中的消息进行数字签名和加密。
在 STEP 7 中组态用于安全通信的组件，将使用非对称密钥加密机制，该机制使用 Public
Key 和 Private Key 进行加密。同时使用 TLS (Transport Layer Security) 作为加密协议。
TLS 是 SSL (Secure Sockets Layer) 协议的后继协议。
安全通信的目的
安全通信可用于实现以下目标：
● 机密性
即，数据安全/窃听者无法读取。
● 完整性
即，接收方接收到的消息与发送方发送的消息*相同，未经更改。消息在传送过程
中未经更改。
● 端点认证
即，端点通信伙伴确实是声称为参与通信的本人。对伙伴方的身份进行检查。
在过去，这些目标通常仅与 IT 和计算机网络相关。但如今，包含有敏感数据的工业设备
和控制系统也开始面临相同的信息安全高风险。这是因为，这些设备它们同样实现了网络
互联，因而必须满足严格的数据交换安全要求。
在过去，往往会采用单元保护机制，通过防火墙或 VPN 连接保护自动化单元安全（如，
使用安全模块），而如今同样如此。
但是，通过企业内部网或公共网络以加密形式将数据传送到外部计算机变得越来越重要。
 通信服务
3.6 安全通信
通信
功能手册, 11/2019, A5E03735819-AH 41
安全通信的通用原则
无论采用何种机制，安全通信都基于 Public Key Infrastructure (PKI) 理念，包含以下组成
部分：
● 非对称加密机制：
– 使用公钥或私钥对消息进行加密/解密。
– 验证消息和证书中的签名。
发送方/认证机构通过自己的私钥对消息/证书进行签名。接收方/验证者使用发送方/
认证机构的公钥对签名进行验证。
● 使用 X.509 证书传送和保存公钥。
– X.509 证书是一种数字化签名数据，根据绑定的身份对公钥进行认证。
– X.509 证书中还包含有公钥使用的详细说明或使用限制。例如，证书中公钥的生效
日期和过期日期。
– X.509 证书中还包含证书颁发方的安全相关信息。
在后续的章节中，将简要介绍在 STEP 7 (TIA Portal) 中管理证书和编写 secure Open
User Communication (sOUC) 通信指令等所需的基本知识。
使用 STEP 7 进行安全通信：
在 STEP 7 V14 及其更高版本中，提供了安全通信的组态和操作所需的 PKI。
示例：
● 基于 TLS (Transport Layer Security) 协议，将 Hypertext Transfer Protokoll 在大多数浏览器中，这类的安全连接将突出显示。
● 将 Open User Communication 转换为 secure Open User Communication。这种通信
方式的底层协议同样为 TLS。
● 电子邮件服务提供商同样支持基于“Secure SMTP over TLS"协议进行访问，从而提高
电子邮件通信的安全性。
通信服务
3.6 安全通信
通信
42 功能手册, 11/2019, A5E03735819-AH
下图显示了通信层中的 TLS 协议。
图 3-6 通信层中的 TLS 协议。
采用 OPC UA 的安全通信
固件版本 V2.0 及更高版本的 S7-1500 CPU 中，具有 OPC UA 服务器功能。OPC UA
Security 中也涉及使用 X.509 数字证书进行认证、加密以及数据完整性检查，并且同样采
用 Public Key Infrastructure (PKI)。根据应用的具体要求，端点安全可选择不同安全等
级。有关 OPC UA 服务器的功能说明，请参见“将 S7-1500 用作 OPC UA 服务器
(页 177)"部分。
3.6.2 通过加密确保数据机密
消息加密是数据安全的一项重要措施。在通信过程中，即使加密的消息被第三方截获，这
些潜在的侦听者也无法访问所获取的信息。
在进行消息加密时，采用了大量的数学处理机制（算法）。
所有算法都通过一个“密钥"参数，对消息进行加密和解密。
● 算法 + 密钥 + 消息 => 密文
● 密文 + 密钥 + 算法 =>（明文）消息
 通信服务
3.6 安全通信
通信
功能手册, 11/2019, A5E037

本公司*销售西门子PLC,200，300，400，1200，西门子PLC附件，西门子电机，西门子人机界面，西门子变频器，西门子数控伺服，西门子总线电缆现货供应，*咨询系列产品，折扣低，货期准时，并且备有大量库存.长期有效

西门子LOGO控制器可编程西门子S7-200PLC模块西门子S7-300PLC模块西门子S7-400PLC模块西门子S7-1200PLC模块西门子S7-1500PLC模块西门子V20变频器西门子V90伺服驱动西门子触摸屏西门子.828.840D.808.802数控系列西门子数控维修西门子电线电缆西门子传感器西门子交换机 6GK5 西门子通讯网卡6GK1西门子驱动程序西门子伺服电机西门子数控备件西门子S120驱动系统西门子LOGO控制器可编程西门子S7-200PLC模块西门子S7-300PLC模块西门子S7-400PLC模块西门子S7-1200PLC模块西门子S7-1500PLC模块西门子V20变频器西门子V90伺服驱动

拥有丰富的自动化产品的应用和实践经验以及雄厚的技术力量，

35819-AH 43
对称加密
对称加密的关键在于，两个通信伙伴都采用相同的密钥对消息进行加密和解密，如下图所
示：Bob 使用的加密密钥与 Alice 使用的解密密钥相同。即，我们常说的双方共享一个密
钥，可通过该密钥对消息进行加密和解密。
① Bob 采用对称密钥对消息进行加密
② Alice 采用对称密钥对加密后的消息进行解密
图 3-7 对称加密
该过程类似于一个公文箱，发送方和接收方使用同一把钥匙打开或锁上该公文箱。
● 优势：对称加密算法（如，AES、Advanced Encryption Algorithm）的速度较快。
● 缺点：如何将密钥发送给接收方，而不会落到其他人手中？此为密钥分发问题。如果
截获的消息数量足够大，则可推算出所用的密钥，因此必须定期更换。
如果通信伙伴比较多，则需分发的密钥数量巨大。
非对称加密
在非对称加密技术中使用一对密钥：一个公钥和一个私钥。与 PKI 一同使用时，又称为
公钥加密系统，简称 PKI 加密系统。通信伙伴（下图中的 Alice）拥有一个私钥和一个公
钥。公钥对所有人公开。即，任何通信伙伴都可以获得该公钥。拥有公钥的通信伙伴可对
发送给 Alice 的消息进行加密。即下图中的 Bob。
通信服务
3.6 安全通信
通信
44 功能手册, 11/2019, A5E03735819-AH
Alice 的私钥为她自己所有而不公开，用于对发送给她的密文进行解密。
① Alice 将其公钥提供给 Bob。无需采取防范措施即可实现该过程：只要确定采用的
是 Alice 的公钥，所有人都可以发消息给 Alice。
② Bob 使用 Alice 的公钥对消息进行加密。
③ Alice 使用私钥对 Bob 发送的密文进行解密。由于仅 Alice 拥有私有且未公开，因
此只有她才能对该消息进行解密。通过私钥，Alice 可以对使用她所提供的公钥加
密的消息进行解密，而不仅仅只是 Bob 的消息。
图 3-8 非对称加密
该系统与类似，所有人都可以向发送消息，但只有拥有密钥的人才能删除这些消
息。
● 优势：使用公钥加密的消息，仅私钥拥有者才能进行解密。由于在解密时需要使用另
一密钥（私钥），而且加密的消息数量庞大，因此很难推算出解密密钥。这意味着，
公钥无需保持机密性，而这与对称密钥不同。
另一大优点在于，公钥的发布更为方便快捷。在非对称密钥系统中，接收方将公钥发
送到发送方（消息加密方）时无需建立的安全通道。与对称加密过程相比，密钥
管理工作量相对较少。
● 缺点：算法复杂（如，RSA，以三位数学家 Rivest、Shamir 和 Adleman 的名字的
字母命名），因此性能低于对称加密机制。
 通信服务
3.6 安全通信
通信
功能手册, 11/2019, A5E03735819-AH 45
实际通信中的加密过程
在实际通信过程中（如，与 CPU Web 服务器通信和开发式用户安全通信），通常在相关
的应用层之后使用 TLS 协议。例如，应用层采用的协议为 HTTP 或 SMTP，详细信息见
前文所述。
例如，TLS (Transport Layer Security) 混合采用非对称加密和对称加密（混合加密）机制
确保数据通过 Internet 进行安全传输，并支持以下子协议：
● TLS Handshake Protocol，对通信伙伴进行身份验证，并在非对称加密的基础上对数
据传输所需的算法和密钥进行协商
● TLS Record Protocol 采用对称加密机制对用户数据加密以及进行数据交换。
无论是非对称加密还是对称加密，这两种数据安全加密机制在安全性方面没有明显差异。
数据安全等级取决于设置的参数，如所选密钥的长度等等。
加密使用不当
通过位串，无法公钥的身份。欺瞒者可使用他们自己的公钥声明为其他人。如果第三
方使用该公钥将其认作是的通信伙伴，则将导致机密信息被窃取。之后，欺瞒者再使
用自己的密钥对这些本消息进行解密，虽然这些消息本不应发送给他们。终，导致敏感
信息泄露，落入他人之手。
为了有效预防此类错误的发生，该通信伙伴必须确信与正确的通信伙伴进行数据通信。此
类信任关系是通过 PKI 中的数字证书建立的。
3.6.3 通过签名确保数据的真实性和完整性
由能够截获服务器与客户端之间的通信并将自身伪装成客户端或服务器的程序实施的攻击
称为中间人攻击。如果未能检测到这些程序的真实身份，则将造成诸如 S7 程序、CPU
中设定值等重要信息泄漏，进而导致设备或工厂遭受攻击。可使用数字证书避免此类攻
击。
在安全通信过程中，所用的数字证书符合 International Telecommunication Union (ITU)
的 X.509 标准。该证书用于检查（认证）程序、计算机或组织机构的身份。
通信服务
3.6 安全通信
通信
46 功能手册, 11/2019, A5E03735819-AH
如何通过证书建立信任关系
X.509 证书主要用于将带有证书的数据身份（如，电子邮件地址或计算机名称）与公钥中
的身份绑定在一起。身份可以是个人、计算机，也可以是机器设备。
证书由证书颁发机构（Certificate Authority，CA）或证书主体签发。而 PKI 系统则
了用户信任证书颁发机构及其所签发证书的规则。
证书认证过程：

西门子显示屏6AV2123-2GA03-0AX0触摸屏附件

西门子显示屏

触摸屏附件

技术数据

4、HMI触摸屏TD200 TD400C TP177,

1. 要获取一份证书，需要向与证书颁发机构相关联的注册机构提交一份证书申请。
2. 证书颁发机构将基于既定标准对该申请和申请人进行评估。
3. 如果可以清晰识别申请人的身份，则证书颁发机构将签发一份已签名的证书进行确
认。申请人现成为证书主体。
在下图中，对这一过程进行了简要说明。但不涉及 Alice 对该数字签名的检查过程。
图 3-9 由证书颁发机构对证书进行签名
自签名证书
自签名证书指，由证书主体而非独立的证书颁发机构签名的证书。
示例：
● 用户也可以自己创建证书并签名，对发送给通信伙伴的消息进行加密。在上述示例
中，Bob（而非 Twent）可以使用私钥对自己的证书进行签名。之后，Alice 将使用
Bob 的公钥检查该签名是否与 Bob 的公钥相匹配。该过程可用于简单的工厂内部数据
加密通信。
● 例如，根证书是一种由证书颁发机构 (CA) 签署的自签名证书，其中包含证书颁发机
构的公钥。
 通信服务
3.6 安全通信
通信
功能手册, 11/2019, A5E03735819-AH 47
自签名证书的特性
自签名证书的证书主体“CN"(Common Name of Subject) 和“Issuer"属性相同：用户已完
成对证书的签名。字段“CA" (Certificate Autority) 需设置为“False"；自签名证书不得用于
对其它证书进行签名。
自签名证书未包含在 PKI 系统中。
证书内容
符合 X.509 V3 标准（同样用于 STEP 7 和 S7-1500 CPU）要求的证书通常包含以下元
素：
● 公钥
● 证书主体（即，密钥持有者）的详细信息。如，Common Name (CN) of Subject 。
● 各种属性，如序列号和有效期等等
● 证书颁发机构 (CA) 的数字签名，用于证实信息的正确性。
除此之外，还包含以下扩展详细：
over TLS)，以确保 Web 浏览器地址栏中的证书同样属于该 URL 所的 Web 服务
器。
如何生成并验证签名
非对称密钥可用于证书的验证：在“MyCert"证书示例中，介绍了具体的“签名"与“验证签
名"过程。
生成签名：
1. “MyCert"证书的签发者使用一个特定的哈希函数（例如，SHA-1，Secure Hash
Algorithm），根据证书数据生成一个哈希值。
该 HASH 值是一个长度固定的位串。HASH 值长度固定的优势在于，签名的时间始终
相同。
2. 之后，证书的签发者再使用由这种方式生成的 HASH 值和私钥，生成一个数字签名。
通常采用 RSA 签名机制。
3. 数字签名将保存在证书中。此时，证书已签名。
通信服务
3.6 安全通信
通信
48 功能手册, 11/2019, A5E03735819-AH
验证一个签名：
1. “MyCert"证书的认证方将获得签发者签发的证书和公钥。
2. 使用签名时所用的哈希算法（例如，SHA-1），根据证书数据生成一个新的哈希值。