西門子精智面板6AV2124-0UC24-0BX0鍵控

將 S7-1500 用作 OPC UA 服務(wù)器
通信
226 功能手冊(cè), 11/2019, A5E03735819-AH
在本示例中，將“Gate_1_State"變量從右側(cè)區(qū)域拖到左側(cè)區(qū)域的“<新增>"(<Add new>)
位置。
然后，將服務(wù)器方法拖到左側(cè)區(qū)域。
服務(wù)器方法位于右側(cè)區(qū)域的“smOpenGate_DB [DB3]"數(shù)據(jù)塊中。
STEP 7 (TIA Portal) 將顯示如下對(duì)話框：
圖 9-29 向服務(wù)器接口添加 OPC UA 元素
限制 OPC UA 服 服 務(wù)器的視圖
通過(guò)選擇 OPC UA 元素可限制 OPC UA 服務(wù)器的視圖以及 OPC UA 客戶端的選項(xiàng)。
在該示例的服務(wù)器接口中，缺少“Robot_1"數(shù)據(jù)塊，因?yàn)楣I(yè)卡車不需要訪問(wèn)機(jī)器人的服
務(wù)器方法和變量。
在這種情況下，在 S7-1500 CPU 的 OPC UA 屬性中禁用標(biāo)準(zhǔn)服務(wù)器接口
（SIMATIC 命名空間），以便無(wú)法通過(guò)其它任何方式訪問(wèn)過(guò)濾的節(jié)點(diǎn)。
圖 9-30 禁用標(biāo)準(zhǔn)服務(wù)器接口
還可在服務(wù)器接口的屬性中禁用每個(gè)已組態(tài)服務(wù)器接口的可見性，從而避免客戶端在接口
運(yùn)行期間使用該服務(wù)器接口。舉例來(lái)說(shuō)，可通過(guò)此選項(xiàng)定義多個(gè)服務(wù)器接口，并且僅可下
載所需服務(wù)器接口。
定義了服務(wù)器接口后，可將其拖動(dòng)到項(xiàng)目樹的其它 CPU 中。
 OPC UA 通信
9.3 將 S7-1500 用作 OPC UA 服務(wù)器
通信
功能手冊(cè), 11/2019, A5E03735819-AH 227
圖 9-31 禁用服務(wù)器接口可見性
關(guān)于服務(wù)器接口的信息
“OPC UA 服務(wù)器接口"(OPC UA Server Interface) 對(duì)話框采用表格結(jié)構(gòu)，可提供以下信
息：
請(qǐng)注意，并不會(huì)顯示所有列?？捎益I單擊表格的標(biāo)題行確定顯示的列。
現(xiàn)在該行時(shí)，可在窗口（“OPC UA 屬性"區(qū)域）中顯示該節(jié)點(diǎn)的 OPC UA 屬性，如
節(jié)點(diǎn) ID、節(jié)點(diǎn)類別、節(jié)點(diǎn)類型及描述。
● BrowseName
用戶自定義服務(wù)器接口的語(yǔ)言中立名稱位于端 (BrowseName)?？扇我膺x擇該名
稱。
已添加到服務(wù)器接口的各個(gè) OPC UA 節(jié)點(diǎn)的名稱 (BrowseNames) 位于接口名稱下
方。
不能在該對(duì)話框中更改 OPC UA 節(jié)點(diǎn)的名稱。名稱來(lái)自 STEP 7 項(xiàng)目。
可將 OPC UA 節(jié)點(diǎn)從表中刪除。這意味著該節(jié)點(diǎn)不再屬于服務(wù)器接口，并且不再對(duì)
OPC UA 客戶端可見。
● DisplayName
與 BrowseName 類似。但名稱可進(jìn)行翻譯并以相應(yīng)的語(yǔ)言顯示（若可用）。
● 節(jié)點(diǎn) ID

西門子精智面板6AV2124-0UC24-0BX0鍵控

西門子精智面板

鍵控

伺服電機(jī)

本公司*銷售西門子PLC,200，300，400，1200，西門子PLC附件，西門子電機(jī)，西門子人機(jī)界面，西門子變頻器，西門子數(shù)控伺服，西門子總線電纜現(xiàn)貨供應(yīng)，*咨詢系列產(chǎn)品，折扣低，貨期準(zhǔn)時(shí)，并且備有大量庫(kù)存.長(zhǎng)期有效

OPC UA 節(jié)點(diǎn)的 NodeId，
OPC UA 通信
9.3 將 S7-1500 用作 OPC UA 服務(wù)器
通信
228 功能手冊(cè), 11/2019, A5E03735819-AH
● 節(jié)點(diǎn)類型
● 訪問(wèn)等級(jí)
– 如果 OPC UA 節(jié)點(diǎn)為變量（UAVariable 類型），則節(jié)點(diǎn)只能是可讀 (RD) 或可讀寫
(RD/WR) 節(jié)點(diǎn)。
– 如果 OPC UA 節(jié)點(diǎn)為方法（UAMethod 類型），則該節(jié)點(diǎn)始終可調(diào)用。
● 本地?cái)?shù)據(jù)
CPU 中 SIMATIC 數(shù)據(jù)類型的數(shù)據(jù)塊，會(huì)通過(guò)該數(shù)據(jù)塊讀取 OPC UA 節(jié)點(diǎn)的值
（UAVariable 類型）或向該數(shù)據(jù)塊寫入值。
一致性檢查
可選擇檢查服務(wù)器接口。
在一致性檢查過(guò)程中，STEP 7 會(huì)檢查服務(wù)器接口的 OPC UA 節(jié)點(diǎn)是否分別分配給合適的
OPC UA 元素（相同數(shù)據(jù)類型），或者使用的元素是否仍存在于 CPU 中。
要檢查服務(wù)器接口的一致性，請(qǐng)單擊 OPC UA 服務(wù)器接口編輯器工具欄中的以下圖標(biāo)：
圖 9-32 “一致性檢查"(Consistency check) 按鈕使用連接參數(shù)分配
9.4.9.1 創(chuàng)建和組態(tài)連接
利用 OPC UA 客戶端的指令，可創(chuàng)建與 OPC UA 服務(wù)器交換數(shù)據(jù)的用戶程序。為此需要
使用一系列系統(tǒng)數(shù)據(jù)類型。
為了簡(jiǎn)化對(duì)這些系統(tǒng)數(shù)據(jù)類型的操作，從 STEP 7 (TIA Portal) 版本 V15.1 開始，可對(duì)
OPC UA 客戶端進(jìn)行連接參數(shù)分配。
可以選擇是否使用連接參數(shù)分配，并不強(qiáng)制要求使用。還可以手動(dòng)創(chuàng)建所需系統(tǒng)數(shù)據(jù)類
型。
我們通過(guò)舉例的方式讓說(shuō)明更易于理解，請(qǐng)參見“示例說(shuō)明 (頁(yè) 279)"。
 OPC UA 通信
9.4 將 S7-1500 CPU 用作 OPC UA 客戶端
通信
功能手冊(cè), 11/2019, A5E03735819-AH 301
打開連接參數(shù)分配
要組態(tài)與 OPC UA 服務(wù)器的連接，請(qǐng)按以下步驟操作：
1. 在“OPC UA 通信"(OPC UA communication) 區(qū)域，雙擊要在項(xiàng)目樹中為其分配參數(shù)的
客戶端接口。
對(duì)于示例組態(tài)：雙擊“ProductionLine"客戶端接口。
“創(chuàng)建客戶端接口 (頁(yè) 281)"部分介紹了如何創(chuàng)建客戶端接口。
2. 如果選項(xiàng)卡尚未顯示，請(qǐng)單擊“特性"(Properties) 選項(xiàng)卡（窗口）。
STEP 7 現(xiàn)在顯示 OPC UA 客戶端指令的連接參數(shù)分配。
“常規(guī)"(General) 選項(xiàng)卡會(huì)打開。
3. 單擊“組態(tài)"(Configuration) 選項(xiàng)卡并設(shè)置與 OPC UA 服務(wù)器的連接。
設(shè)置連接參數(shù)
1. 為會(huì)話選擇一個(gè)描述性名稱。在本示例中，將選擇名稱“OPC UA Connection to
ProductionLine"。
2. 在“地址"(Address) 字段中，輸入用戶程序（作為 OPC UA 客戶端運(yùn)行）要與之建立連
接的 OPC UA 服務(wù)器的 IP 地址。在示例組態(tài)中，控制生產(chǎn)線的 CPU 的 IP 地址為
“192.168.1.1"。將與該 CPU 的 OPC UA 服務(wù)器建立連接。為此，需要在“地
址"(Address) 字段中輸入 IP 地址。在這種情況下，OPC UA 服務(wù)器會(huì)使用默認(rèn)端口
4840。
或者，也可以在“地址"(Address)字段中輸入有效的 DNS 名稱。DNS 名稱的長(zhǎng)度限制
為 242 個(gè)字符。
如果地址無(wú)效，則會(huì)顯示錯(cuò)誤消息：“輸入有效地址"(Enter a valid address)。
如果“地址"(Address)、“端口"(Port) 和“路徑"(Path) 字段的字符串長(zhǎng)度超過(guò) 254 個(gè)字
符，也會(huì)顯示錯(cuò)誤消息。
OPC UA 通信
9.4 將 S7-1500 CPU 用作 OPC UA 客戶端
通信
302 功能手冊(cè), 11/2019, A5E03735819-AH

鍵控

伺服電機(jī)

路徑。該條目由組件“OPC 示意前綴"(OPC Schematic Prefix)、“IP 地址"(IP
address)、“端口號(hào)"(Port number)"和“服務(wù)器路徑"(Server path) 組成，例如：
“opc.tcp://192.168.0.10:4840/example/path"。
下圖顯示了 OPC UA 服務(wù)器的 IP 地址條目：
圖 9-70 連接參數(shù)
4. 如果 OPC UA 服務(wù)器不使用標(biāo)準(zhǔn)端口 4840，則必須在此插入端口號(hào)。
例如，如果要與之建立連接的 OPC UA 服務(wù)器使用該端口號(hào)，則在字段中輸入數(shù)字
65535。
5. 此外，還接受會(huì)話超時(shí)（30 秒）和監(jiān)視時(shí)間（5 秒）的默認(rèn)設(shè)置。
設(shè)置安全參數(shù)
1. 單擊“組態(tài)"(Configuration) 選項(xiàng)卡中的“安全"(Security) 區(qū)域。
此區(qū)域包含與 OPC UA 服務(wù)器的連接的所有安全設(shè)置。
可進(jìn)行以下設(shè)置：
 OPC UA 通信
9.4 將 S7-1500 CPU 用作 OPC UA 客戶端
通信
功能手冊(cè), 11/2019, A5E03735819-AH 303
“ “ 常規(guī) "(General) 區(qū)域
安全模式：
從下拉列表中選擇與 OPC UA 服務(wù)器的連接必須達(dá)到的安全模式。
如果服務(wù)器不滿足所選模式的要求，將不建立連接。
可進(jìn)行以下設(shè)置：
● 不安全：無(wú)安全連接！
● 簽名：OPC UA 服務(wù)器和 OPC UA 客戶端對(duì)數(shù)據(jù)傳輸進(jìn)行簽名（所有消息）：因此可
檢測(cè)到修改。
● 簽名并加密：OPC UA 服務(wù)器和 OPC UA 客戶端對(duì)數(shù)據(jù)傳輸進(jìn)行簽名和加密（所有消
息）：
安全策略：
設(shè)置將為消息簽名和加密使用的加密技術(shù)。
可進(jìn)行以下設(shè)置：
● 不安全
● Basic128Rsa15
● Basic256
● Basic256Sha256
要組態(tài)安全連接，必須注意以下事項(xiàng)：
● 需要為客戶端使用證書才能建立安全連接。
● 需要讓服務(wù)器知曉該客戶端證書。
相關(guān)操作步驟，請(qǐng)參見“處理客戶端和服務(wù)器證書 (頁(yè) 204)"部分“OPC UA 客戶端的證書"
下的內(nèi)容。
“ “ 證書 "(Certificates) 區(qū)域
OPC UA 通信
9.4 將 S7-1500 CPU 用作 OPC UA 客戶端
通信
304 功能手冊(cè), 11/2019, A5E03735819-AH
客戶端證書：
證書確認(rèn) OPC UA 客戶端的真實(shí)性。
要選擇證書，請(qǐng)單擊以下符號(hào)：
STEP 7 會(huì)顯示證書列表。
選擇已讓服務(wù)器知曉的證書。
單擊帶有綠色復(fù)選標(biāo)記的符號(hào)。
或者創(chuàng)建新證書。此時(shí)，可單擊“添加"(Add) 符號(hào)。
如果創(chuàng)建新證書，必須讓服務(wù)器知曉該證書。
“ “ 用戶認(rèn)證 "(User authentication) 區(qū)域
可為用戶身份認(rèn)證進(jìn)行以下設(shè)置：

本公司*銷售西門子PLC,200，300，400，1200，西門子PLC附件，西門子電機(jī)，西門子人機(jī)界面，西門子變頻器，西門子數(shù)控伺服，西門子總線電纜現(xiàn)貨供應(yīng)，*咨詢系列產(chǎn)品，折扣低，貨期準(zhǔn)時(shí)，并且備有大量庫(kù)存.長(zhǎng)期有效

● 訪客
● 用戶名和密碼
● 用戶（TIA Portal - 安全設(shè)置）
更多信息，請(qǐng)參見“具有 OPC UA 功能權(quán)限的用戶和角色 (頁(yè) 216)"。
 OPC UA 通信
9.4 將 S7-1500 CPU 用作 OPC UA 客戶端
通信
功能手冊(cè), 11/2019, A5E03735819-AH 305
設(shè)置語(yǔ)言
String 類型的 UA 變量可通過(guò) OPC UA 進(jìn)行本地化，也就是說(shuō)，文本（UA 變量的值）能
夠以不同的語(yǔ)言形式提供給服務(wù)器。例如，本地化文本可用于 DisplayName（節(jié)點(diǎn)名
稱）和 Description（說(shuō)明）。
例如，在“組態(tài)"(Configuration) 選項(xiàng)卡的“語(yǔ)言"(Languages) 區(qū)域，可通過(guò)以下操作改變服
務(wù)器返回文本的語(yǔ)言：
在“語(yǔ)言"(Languages) 區(qū)域中，輸入連接建立期間服務(wù)器傳送到客戶端的語(yǔ)言數(shù)。
在行中輸入的語(yǔ)言或與之關(guān)聯(lián)的本地 ID（“語(yǔ)言代碼"）是客戶端的語(yǔ)言。
● 如果服務(wù)器能夠以請(qǐng)求的語(yǔ)言提供 UA 變量，則會(huì)將該變量傳送到客戶端。
● 如果服務(wù)器不能以請(qǐng)求的語(yǔ)言提供 UA 變量，則會(huì)檢查能否以在第二行中輸入的語(yǔ)言
（替代語(yǔ)言）提供 UA 變量。
● 服務(wù)器會(huì)逐個(gè)檢查列表中的各條目，如果服務(wù)器既不能提供請(qǐng)求的語(yǔ)言，也不能提供
替代語(yǔ)言，則將提供默認(rèn)語(yǔ)言。S7- - 1500 CPU 的客戶端證書處理
客戶端證書來(lái)自何處？
如果使用 S7-1500 CPU 的 OPC UA 客戶端（OPC UA 客戶端已啟用），則可按照以下
章節(jié)中的詳細(xì)介紹，使用 STEP 7 V15.1 及更高版本為這些客戶端創(chuàng)建證書。
如果使用來(lái)自制造商或 OPC 基金會(huì)的 UA 客戶端，則會(huì)在安裝期間或在*調(diào)用程序時(shí)
自動(dòng)生成客戶端證書。在 STEP 7 中，需要通過(guò)全局證書管理器導(dǎo)入這些證書，并在相應(yīng)
的 CPU 中使用。
如果自行編寫 OPC UA 客戶端程序，則可以通過(guò)程序生成證書。也可通過(guò)工具生成證書
（如，使用 OpenSSL 或 OPC 基金會(huì)的證書生成器）：
● 有關(guān)使用 OpenSSL 的操作步驟，請(qǐng)參見此處：“用戶自己生成 PKI 密鑰對(duì)和證書
(頁(yè) 171)"。
● 有關(guān)使用 OPC 基金會(huì)的證書生成器的步驟，請(qǐng)參見此處：“創(chuàng)建自簽名證書
(頁(yè) 170)"。
S7- - 1500 CPU 的 OPC UA 客戶端證書
僅當(dāng) OPC UA 服務(wù)器將 OPC UA 客戶端證書歸類為可信任證書時(shí)，服務(wù)器與客戶端之間
才能建立安全連接。
因此，需要讓服務(wù)器知曉該客戶端證書。
在以下章節(jié)中，將介紹如何為 S7-1500 CPU 的 OPC UA 客戶端生成證書，并提供給
服務(wù)器。
1. 生成并導(dǎo)出客戶端證書
要進(jìn)行安全連接，需生成一個(gè)客戶端證書，如果服務(wù)器和客戶端位于不同項(xiàng)目中，還需要
導(dǎo)出該證書。
如果客戶端和服務(wù)器位于相同項(xiàng)目中，則無(wú)需導(dǎo)出客戶端以及進(jìn)行后續(xù)導(dǎo)入。
要求
CPU 的 IP 接口已組態(tài)，IP 地址可用。
背景：在“主題備用名稱 (SAN)"(Subject Alternative Name (SAN)) 中，輸入用于訪問(wèn)系統(tǒng)
中該 CPU 的 IP 地址。
 OPC UA 通信

西門子精智面板6AV2124-0UC24-0BX0鍵控

西門子精智面板

鍵控

西門子LOGO控制器可編程西門子S7-200PLC模塊西門子S7-300PLC模塊西門子S7-400PLC模塊西門子S7-1200PLC模塊西門子S7-1500PLC模塊西門子V20變頻器西門子V90伺服驅(qū)動(dòng)西門子觸摸屏西門子.828.840D.808.802數(shù)控系列西門子數(shù)控維修西門子電線電纜西門子傳感器西門子交換機(jī) 6GK5 西門子通訊網(wǎng)卡6GK1西門子驅(qū)動(dòng)程序西門子伺服電機(jī)西門子數(shù)控備件西門子S120驅(qū)動(dòng)系統(tǒng)西門子LOGO控制器可編程西門子S7-200PLC模塊西門子S7-300PLC模塊西門子S7-400PLC模塊西門子S7-1200PLC模塊西門子S7-1500PLC模塊西門子V20變頻器西門子V90伺服驅(qū)動(dòng)

9.4 將 S7-1500 CPU 用作 OPC UA 客戶端
通信
功能手冊(cè), 11/2019, A5E03735819-AH 307
創(chuàng)建 OPC UA 客戶端接口
為 S7-1500 CPU 生成客戶端證書的單方法是組態(tài)一個(gè)客戶端接口。
為選擇或生成客戶端證書而提供的客戶端接口的組態(tài)，參見“創(chuàng)建和組態(tài)連接 (頁(yè) 300)"。
或者可按以下方法生成客戶端證書：
1. 在項(xiàng)目樹中，選擇將用作客戶端的 CPU。
2. 雙擊“設(shè)備組態(tài)"(Device configuration)。
3. 在該 CPU 的屬性中，單擊“保護(hù)和安全 > 證書管理器"(Protection & Security >
Certificate manager)。
4. 在“設(shè)備證書"(Device certificates) 表格中，雙擊“<新增>"(<Add new>)。
在 STEP 7 中，將打開一個(gè)對(duì)話框。
5. 單擊“添加"(Add) 按鈕。
6. 從“使用"(Usage) 列表選擇“OPC UA 客戶端"(OPC UA client) 條目。
7. 單擊“確定"(OK)。
此時(shí)，STEP 7 將在“設(shè)備證書"(Device certificates) 表格中顯示該客戶端證書。
8. 如果服務(wù)器位于另一項(xiàng)目中：右鍵單擊此行，并從快捷菜單中選擇“導(dǎo)出證書"(Export
certificate)。
9. 選擇該客戶端證書的目標(biāo)存儲(chǔ)目錄。
2. 向服務(wù)器通告該客戶端證書
用戶需要將該客戶端證書發(fā)送至服務(wù)器，以便允許建立安全連接。
OPC UA 通信
9.4 將 S7-1500 CPU 用作 OPC UA 客戶端
通信
308 功能手冊(cè), 11/2019, A5E03735819-AH
為此，請(qǐng)執(zhí)行以下操作步驟：
1. 如果客戶端是在另一項(xiàng)目中組態(tài)的，并且已在該項(xiàng)目中創(chuàng)建并導(dǎo)出客戶端證書：
– 選擇服務(wù)器本地證書管理器中的“使用證書管理器的全局安全設(shè)置"(Use global
security settings for certificate manager) 選項(xiàng)。這會(huì)使全局證書管理器可用。
可以在用作服務(wù)器的 CPU 的特性“保護(hù)和安全 > 證書管理器"(Protection &
Security > Certificate manager) 下找到此選項(xiàng)。
– 如果項(xiàng)目未受保護(hù)，請(qǐng)?jiān)?STEP 7 的項(xiàng)目樹中選擇“安全設(shè)置 > 設(shè)置"(Security
settings > Settings)，然后單擊“保護(hù)此項(xiàng)目"(Protect this project) 按鈕并登錄。
“全局安全設(shè)置"(Global security settings) 菜單項(xiàng)隨即顯示在 STEP 7 項(xiàng)目樹的“安全
設(shè)置"(Security setting) 下。
– 雙擊“全局安全設(shè)置"(Global security settings)。
– 雙擊“證書管理器"(Certificate manager)。
STEP 7 將打開全局證書管理器。
– 單擊“設(shè)備證書"(Device certificates) 選項(xiàng)卡。
– 在此選項(xiàng)卡的空白區(qū)域（而非證書上）中，右鍵單擊鼠標(biāo)。
– 選擇“導(dǎo)入"(Import) 快捷菜單。
將顯示用于導(dǎo)入證書的對(duì)話框。
– 選擇服務(wù)器信任的客戶端證書。
– 單擊“打開"(Open)，導(dǎo)入證書。
客戶端證書現(xiàn)已包含在全局證書管理器中。請(qǐng)留意剛剛導(dǎo)入的客戶端證書 ID。
2. 單擊用作服務(wù)器的 CPU 的特性中的“常規(guī)"(General) 選項(xiàng)卡。
3. 單擊“OPC UA > 服務(wù)器 > 安全 > 安全通道"(OPC UA > Server > Security > Secure
Channel)。