西门子6AV2124-0UC24-1AX0键控

西门子6AV2124-0UC24-1AX0键控

 S7 1500 CPU 的固件版本为 V2.0 及以上版本如果使用 CP 1543SP-1：固件
V1.0 及以上版本。
● 这两个 CP（如 CP 1543-1）的固件版本必须 V2.0 及以上版本
● TLS 客户端和 TLS 服务器具有所需的全部证书。
– 必须为该 CP 生成设备证书（实体证书）并存储在该 CP 的证书存储器中。如
果通信伙伴是一个外部设备（如，MES 或 ERP 系统），则需确保该设备上包含有
设备证书。

键控

技术数据

本公司*销售西门子PLC,200，300，400，1200，西门子PLC附件，西门子电机，西门子人机界面，西门子变频器，西门子数控伺服，西门子总线电缆现货供应，*咨询系列产品，折扣低，货期准时，并且备有大量库存.长期有效
– 对通信伙伴设备证书进行签名的 root 证书（CA 证书）也必须位于该 CP 的证书存
储器中，或位于外部设备的证书存储器中。如果使用中间证书，则必须确保所验证
设备中的证书路径完整。设备将通过这些证书验证通信伙伴的设备证书。
● 这些通信伙伴需通过 IPv4 地址进行寻址，而不能通过域名进行寻址。
下图显示了两个通信伙伴通过 CP 1543-1 进行通信时，设备中的不同证书。此外，在该
图中还显示了建立连接时设备证书的传输（“Hello"）。
图 6-22 通过 CP 接口，在两个 S7-1500 CPU 之间进行 OUC 安全连接的证书处理操
作。
 开放式用户通信
6.11 开放式用户安全通信
通信
功能手册, 11/2019, A5E03735819-AH 115
TLS 客户端的设置
要在 TLS 客户端中建立安全的 TCP 连接，请按以下步骤操作：
1. 在项目树中，创建一个全局数据块。
2. 在该全局数据块中，定义一个数据类型为 TCON_IP_4_SEC 的变量。为此，需在“数据
类型"(Data type) 字段中输入字符串“TCON_IP_V4_SEC"。
以下示例中显示了全局数据块“Data_block_1"，其中，定义了数据类型为
TCON_IP_V4_SEC 的变量“SEC 连接 1 TLS 客户端"(SEC connection 1 TLS-Client)。
该接口 ID 的值为本地 CP（TLS 客户端）中 IE 接口的硬件标识符。
图 6-23 IP_V4_SEC_Client
3. 在“起始值"(Start value) 列中，设置 TCP 连接的连接参数。例如，在“RemoteAddress"
中输入 TLS 服务器的 IPv4 地址。
开放式用户通信
6.11 开放式用户安全通信
通信
116 功能手册, 11/2019, A5E03735819-AH
4. 在“起始值"(Start value) 列中，设置安全通信的参数。
– “ActivateSecureConn"：激活该连接的安全通信。如果该参数的值为 FALSE，则忽
略后面的安全参数。此时，可建立非安全的 TCP 或 UDP 连接。
– “TLSServerCertRef"：输入值“2"（引用 TIA Portal 项目 (SHA256) 的 CA 证书），
或输入值“1"（引用 TIA Portal 项目 (SHA1) 的 CA 证书）。如果使用不同的 CA 证
书，则需在证书管理器的全局安全设置中输入相应的 ID。

本公司*销售西门子PLC,200，300，400，1200，西门子PLC附件，西门子电机，西门子人机界面，西门子变频器，西门子数控伺服，西门子总线电缆现货供应，*咨询系列产品，折扣低，货期准时，并且备有大量库存.长期有效

– “TLSClientCertRef"：自身 X.509-V3 证书的 ID。
5. 在程序编辑器中，创建一个 TSEND_C、TRCV_C 或 TCON 指令。
6. 将 TSEND_C、TRCV_C 或 TCON 指令的 CONNECT 参数与 TCON_IP_V4_SEC 数
据类型的变量进行互连。
 开放式用户通信
6.11 开放式用户安全通信
通信
功能手册, 11/2019, A5E03735819-AH 117
TLS 服务器的设置
要在 TLS 服务器中建立安全的 TCP 连接，请按以下步骤操作：
1. 在项目树中，创建一个全局数据块。
2. 在该全局数据块中，定义一个数据类型为 TCON_IP_4_SEC 的变量。
以下示例中显示了全局数据块“Data_block_1"，其中，定义了数据类型为
TCON_IP_V4_SEC 的变量“SEC 连接 1 TLS 服务器"(SEC connection 1 TLS-
Server)。
该接口 ID 的值为本地 CP（TLS 服务器）中 IE 接口的硬件标识符。
图 6-24 IP_V4_SEC_Server
3. 在“起始值"(Start value) 列中，设置 TCP 连接的连接参数。例如，在“RemoteAddress"
中输入 TLS 客户端的 IPv4 地址。
开放式用户通信
6.11 开放式用户安全通信
通信
118 功能手册, 11/2019, A5E03735819-AH
4. 在“起始值"(Start value) 列中，设置安全通信的参数。
– “ActivateSecureConn"：激活该连接的安全通信。如果该参数的值为 FALSE，则忽
略后面的安全参数。此时，可建立非安全的 TCP 或 UDP 连接。
– “TLSServerReqClientCert"：TLS 客户端需具有 X.509-V3 证书。输入值“true"。
– “TLSServerCertRef"：自身 X.509-V3 证书的 ID。
– “TLSClientCertRef"：输入值“2"（引用 TIA Portal 项目 (SHA256) 的 CA 证书），
或输入值“1"（引用 TIA Portal 项目 (SHA1) 的 CA 证书）。如果使用不同的 CA 证
书，则需在证书管理器的全局安全设置中输入相应的 ID。
5. 在程序编辑器中，创建一个 TSEND_C、TRCV_C 或 TCON 指令。
6. 将 TSEND_C、TRCV_C 或 TCON 指令的 CONNECT 参数与 TCON_IP_V4_SEC 数
据类型的变量进行互连。
上传设备作为新站
在将带有证书的组态进而组态的开放式用户安全通信作为新站上传到 STEP 7 项目中时，
与 CPU 的证书不同，CP 的证书不会上传。在将设备加载为新站后，在 CP 的设备证书
表格中不会包含更多证书。
上传后，需再次对证书进行组态。否则，重新加载组态将导致 CP 之前存在的证书删除，
无法进行安全通信。
通过 CPU 和 CP 接口的 OUC 安全连接（操作相似）
● 连接资源：
OUC 和安全 OUC 之间无差别。编程的 OUC 安全连接将使用诸如 OUC 连接之类的
连接资源，而不考虑与该站通信的 IE/PROFINET 接口。
● 连接诊断：
OUC 和 OUC 安全连接诊断之间无差别。
● 将带有 OUC 安全连接的项目加载到 CPU 中：
如果还需加载证书，则只能 CPU STOP 模式下进行。
建议：加载到设备 > 硬件和软件 (Load to device > Hardware and software)。原因：
需确保带有安全 OUC 的程序、硬件配置和证书一致。
证书随硬件配置一同加载。因此，加载过程中需要停止 CPU 的运行。仅当所需的证书
位于模块中时，才能在 RUN 模式下重新加载使用其它 OUC 安全连接的块。
 开放式用户通信
6.11 开放式用户安全通信
通信
功能手册, 11/2019, A5E03735819-AH 119
6.11.5 通过 Modbus TCP 进行 OUC 安全连接
要进行 Modbus TCP 安全连接，需手动创建一个 TCON_IP_V4_SEC 或
TCON_QDN_SEC 系统数据类型的数据块，分配相应参数并在 MB_Server 或
MB_CLIENT 指令中直接调用该数据块。
要求：
● S7-1500 CPU 固件版本 V2.5 或更高版本
● Modbus 客户端（TLS 客户端）可通过网络中的 IP 通信访问 Modbus 服务器（TLS
服务器）。
● TLS 客户端和 TLS 服务器具有所需的全部证书。
与 与 Modbus TCP 服务器建立 Modbus TCP 安全连接的示例
在下文章节中，介绍如何通过 Modbus TCP 在 Modbus TCP 客户端与 Modbus TCP 服
务器之间建立开放式用户安全通信。
开放式用户通信
6.11 开放式用户安全通信
通信
120 功能手册, 11/2019, A5E03735819-AH
要在 Modbus TCP 客户端（TLS 客户端）与 Modbus TCP 服务器（TLS 服务器）之间建
立安全连接并设置邮件服务器的 Ipv4 地址，请按以下步骤操作：
1. 在项目树中，创建一个全局数据块。
2. 在该全局数据块中，定义一个 TCON_IP_V4 SEC 数据类型的变量。
图 6-25 TCON_IP_V4_SEC
3. 在“起始值"(Start value) 列中，设置 TCP 连接的连接参数。例如，在
“MailServerAddress"中输入邮件服务器的 IPv4 地址。
4. 在“起始值"(Start value) 列中，设置安全通信的参数。例如，在“TLSServerCertRef"中
输入通信伙伴的 CA 证书的证书 ID。
– “ActivateSecureConn"：激活该连接的安全通信。如果该参数的值为 FALSE，则忽
略后面的安全参数。此时，可设置一个 Modbus TCP 非安全连接。
– “TLSServerCertRef"：对 Modbus TCP 服务器中 X.509 V3 (CA) 证书的引用，TLS
客户端使用该信息对 Modbus TCP 服务器进行身份验证。
5. 在程序编辑器中，创建一个 MB_CLIENT 指令。
6. 将 MB_Client 指令的 CONNECT 参数与 TCON_IP_4_SECC 数据类型的变量进行互
连。

西门子6AV2124-0UC24-1AX0键控

西门子

6AV2124-0UC24-1AX0

本公司*销售西门子PLC,200，300，400，1200，西门子PLC附件，西门子电机，西门子人机界面，西门子变频器，西门子数控伺服，西门子总线电缆现货供应，*咨询系列产品，折扣低，货期准时，并且备有大量库存.长期有效

S7-200，

 开放式用户通信
6.11 开放式用户安全通信
通信
功能手册, 11/2019, A5E03735819-AH 121
6.11.6 通过电子邮件实现 OUC
通过 CPU 接口建立与邮件服务器的安全连接
要建立与邮件服务器的安全通信，需手动创建一个 TMAIL_V4_SEC 或
TMAIL_QDN_SEC 系统数据类型的数据块，分配参数并在 TMAIL_C 指令中直接调用该
数据块。
要求：
● TMAIL_C 指令，版本 V5.0 或更高版本
● STEP 7 V15 及更高版本
● S7-1500 CPU V2.5 及更高版本
● 已经为 CPU（TLS 客户端）分配了邮件服务器（TLS 服务器）的所有 CA 证书，且
组态已下载到 CPU 中。
● 在 CPU 中，设置当前的日期和时间。
与邮件服务器建立安全连接的操作过程
与邮件服务器建立安全连接时，可选择以下两种操作过程：
● SMTPS：客户端尝试与邮件服务器立即建立 TLS 连接（“握手"过程）如果邮件服务器
不支持 TLS，则不建立连接。
● STARTTLS：客户端与邮件服务器建立 TCP 连接。客户端将发送一个请求，“更新"当
前通过 TCP 连接与 TLC 安全连接的连接。如果邮件服务器支持 TLS，则客户端将发
生该命令建立安全连接。为此，邮件服务器将使用 SMTP 命令“STARTTLS"。之后，
客户端将建立与邮件服务器的安全连接。优势：如果邮件服务器不支持 TLS，则客户
端和邮件服务器之间可进行非安全通信。
开放式用户通信
6.11 开放式用户安全通信
通信
122 功能手册, 11/2019, A5E03735819-AH
在块参数“MAIL_ADDR_PARAM"的数据类型中设置“远程端口"(Remote Port)，可定义进
行通信的进行。
表格 6- 6 SMTPS 和 STARTTLS 进程的端口号
进程 端口
SMTPS： 465 1
STARTTLS： 任意端口 (≠465) 2
1 指令 TMAIL_C 仅在 465 端口采用 SMTPS 通信协议。其它所有端口将使用 STARTTLS
通信协议。
2 根据 RFC，邮件服务器使用端口 25，而 STARTTLS 安全连接则使用端口 587。RFC 不
建议 SMTP 使用其它端口号，否则无法确保与邮件服务器的通信成功。
示例：通过 IPv4 与邮件服务器建立安全连接
在以下章节中，将介绍如何使用 TMAIL_C 通信指令与 IPv4 邮件服务器建立安全连接。
 开放式用户通信
6.11 开放式用户安全通信
通信
功能手册, 11/2019, A5E03735819-AH 123
要通过邮件服务器的 IP4 地址建立安全连接，请按以下步骤操作：
1. 在项目树中，创建一个全局数据块。
2. 在该全局数据块中，定义一个 TMAIL_V4_SEC 数据类型的变量。
在以下示例中，显示了一个全局数据块“MailConnDB"，其中，定义了数据类型为
TMAIL_V4_SEC 的变量“MailConnectionSEC"。
图 6-26 数据类型 TMAIL_V4_SEC
3. 在“起始值"(Start value) 列中，设置 TCP 连接的连接参数。例如，在
“MailServerAddress"中输入邮件服务器的 IPv4 地址。
说明
连接参数接口 ID
请注意，在数据类型 TMAIL_V4_SEC 中，如果指令 TMAIL_C 的指令版本为 V5.0 或
更高版本，则需在接口 ID 中输入值“0 0"。此时，CPU 将自行搜索适用的本地 CPU 接
口。
开放式用户通信
6.11 开放式用户安全通信
通信
124 功能手册, 11/2019, A5E03735819-AH
4. 在“起始值"(Start value) 列中，设置安全通信的参数。例如，在“TLSServerCertRef"中
输入通信伙伴的 CA 证书的证书 ID。
– “ActivateSecureConn"：激活该连接的安全通信。如果该参数的值为 FALSE，则忽
略后面的安全参数。此时，可建立非安全的 TCP 或 UDP 连接。
– “TLSServerCertRef"：对电子邮件服务器中 X.509 V3 (CA) 证书的引用，供 TLS 客
户端用来对邮件服务器进行身份验证。
5. 在程序编辑器中，创建一个 TMAIL_C 指令。
6. 将 TMAIL_C 指令的 MAIL_ADDR_PARAM 参数与 TMAIL_V4_SEC 数据类型的变量进
行互连。

技术数据

本公司*销售西门子PLC,200，300，400，1200，西门子PLC附件，西门子电机，西门子人机界面，西门子变频器，西门子数控伺服，西门子总线电缆现货供应，*咨询系列产品，折扣低，货期准时，并且备有大量库存.长期有效

建立了良好的相互协作关系，

在以下示例中，TMAIL_C 指令的 MAIL_ADDR_PARAM 参数已与
“MailConnectionSEC"变量（TMAIL_V4_SEC 数据类型）进行互连。
图 6-27 TMAIL_C 指令
 开放式用户通信
6.11 开放式用户安全通信
通信
功能手册, 11/2019, A5E03735819-AH 125
通过通信模块接口与邮件服务器建立安全连接
要通过一个通信模块与邮件服务器建立安全通信，则需手动创建一个系统类型为
TMAIL_V4_SEC、TMAIL_QDN_SEC 或 TMAIL_V6_SEC 的数据块，分配参数并在
TMAIL_C 指令中直接调用该数据块。
要求：
● TMAIL_C 指令，版本 V4.0
● S7-1500 CPU 固件版本 V2.0 及以上版本，通信模块 CP 1543-1 固件版本 V2.0 及以
上版本
● ET 200SP CPU 固件版本 V2.0 及以上版本，通信模块 CP 1542SP-1 (IRC) 固件版本
V1.0 及以上版本
● 已将邮件服务器的所有 CA 证书分配给 CP（TLS 客户端），而且已将组态下载到
CPU 中。
● 在 CPU 中，设置当前的日期和时间。
有关如何通过通信模块的接口与邮件服务器建立安全连接的信息，请参见 STEP 7 在线帮
助。
应用示例
通过本应用示例 认应用程序“TMAIL_C"从 S7 CPU 发送电子邮件。
更多信息
有关系统数据类型 TMail_V4_SEC 和 TMAIL_QDN_SEC 的更多信息，请参见 STEP 7 在
线帮助。
有关安全通信的更多信息，请参见“安全通信 (页 40)"部分。
通信
126 功能手册, 11/2019, A5E03735819-AH
S7 通信 7 7
S7 通信的特点
S7 通信作为 SIMATIC 的同构通信，属于 SIMATIC CPU 之间进行供应商相关的通信（非
开放式标准）。在移植和连接现有系统（S7-300、S7-400）进行通信时通常使用 S7 通
信。
对于两个 S7-1500 自动化系统之间的数据传输，建议使用开放式通信（请参见“开放式用
户通信 (页 71)"部分）。
S7 通信的属性
通过 S7 通信，CPU 可与另一个 CPU 交换数据。一旦用户在接收端接收到数据，就将自
动向发送端 CPU 确认已接收到数据。
通过所组态的 S7 连接进行数据交换。S7 连接可以在一端或者同时在两端进行组态。
S7 通信可通过以下方式进行：
● CPU 的集成 PROFINET 或 PROFIBUS DP 接口
● CP/CM 的接口
在一端组态 S7 连接
对于在一端组态的 S7 连接，仅在一个通信伙伴中组态此连接并且仅下载到此伙伴。
可以组态一个连接到一台 CPU 的单向 S7 连接，该 CPU 仅作为 S7 连接的服务器（例
如，CPU 315-2 DP）。该 CPU 已组态，因此其地址参数和接口也是已知的。
另外，还可以组态一个连接到伙伴的单向 S7 连接，该伙伴不在项目中，其地址参数和接
一个 STEP 7 或第三方项目中进行组态。
 S7 通信
通信
功能手册, 11/2019, A5E03735819-AH 127
在两端组态 S7 连接
在两端同时组态 S7 连接时，将同时在两个通信伙伴中组态和下载所组态的 S7 连接参
数。
S7 通信的指令
与 S7-1500 进行 S7 通信时，可以使用以下指令：
● PUT/GET
可使用指令“PUT"，将数据写入一个远程 CPU。使用指令“GET"从远程 CPU 读取数
据。PUT 和 GET 指令是单向指令，也就是说，只需在一个通信伙伴中有该指令即
可。通过连接组态，可方便地设置 PUT 和 GET 指令。
说明
PUT/GET 指令的 数据块
使用 PUT/GET 指令时，只能使用进行寻址的数据块。不能使用进行符号寻址的
数据块。
用户还必须在“保护"(Protection) 区域启用此服务以保护 CPU 组态在从站模式下，通过 PROFIBUS DP 接口进行 S7 通信
在 STEP 7 中的通信模块（如 CM 1542-5）PROFIBUS DP 接口属性中，有一个“测试、
调试和路由"(Test, commissioning, routing) 复选框。通过该复选框，可以确定将 DP 从站
上的 PROFIBUS DP 作为 PROFIBUS 上的主动设备或被动设备。
● 选中复选框：该从站将作为 PROFIBUS 上的主动设备。
● 禁用复选框：DP 从站将作为 PROFIBUS 上的被动设备。只能为该 DP 从站建立一端
组态的 S7 连接。
图 7-1 “测试、调试和路由"(Test, commissioning, routing) 复选框
组态 PUT/GET 指令的 S7 连接

西门子6AV2124-0UC24-1AX0键控

西门子

6AV2124-0UC24-1AX0

键控

技术数据

可以创建 S7 连接并在 PUT/GET 指令的连接参数时分配这些连接的参数。分配连接
参数时，会立即检查更改的值有无输入错误。
要求：PUT 或 GET 指令是在程序编辑器中创建的。
要使用 PUT/GET 组态 S7 连接，请按以下步骤操作：
1. 在程序编辑器中，选择调用 PUT 或 GET 指令。
2. 在窗口中，打开“属性 > 组态"(Properties > Configuration) 选项卡。
 S7 通信
通信
功能手册, 11/2019, A5E03735819-AH 129
3. 选择“连接参数"(Connection parameters) 组。在选择连接伙伴之前，只显示伙伴端点
的空下拉列表。其它所有输入选项均禁用。
同时显示一些已知的连接参数：
– 本地端点的名称
– 本地端点的接口
– 本地端点的 IPv4 地址
图 7-2 PUT 指令的连接组态
S7 通信
通信
130 功能手册, 11/2019, A5E03735819-AH
4. 从伙伴端点的下拉列表框中，选择一个连接伙伴。可以选择项目中未的设备或
CPU 作为通信伙伴。
选择连接伙伴后，会自动输入以下参数：