4. 在“端点：”(End point:)下方的“伙伴”(Partner) 中，选择 CPU 1516‑3 PN/DP 作为通信伙伴。5. 在“接口：”(Interface:)下方的“伙伴”(Partner) 中，选择 CPU 1516‑3 PN/DP 的PROFINET 接口 X2。6.在“连接数据”(Connection data) 下的“本地”(Local)中，选择设置“<新建>”(<new>)。STEP 7 将在 S7‑1500R/H冗余系统的用户程序中为连接数据创建一个数据块，例如“PLC_1_Send_DB”。“TCP”默认设置为该连接类型。7.在“连接类型”(Connection type) 下的“伙伴”(Partners) 中，选择设置“新建”(NEW)。STEP 7将在其它 CPU 的用户程序中为连接数据创建一个数据块，例如“PLC_3_Receive_DB”。CPU 1516 3PN/DP用户程序中的 TRCV_C 指令在 CPU 1516‑3PN/DP 的用户程序中创建一个 TRCV_C指令并按照以下方式分配参数：通过设备 IP 地址建立连接要通过两个 CPU 中一个 CPU 的设备 IP 地址建立 OUC 连接：•选择 S7‑1500R/H 冗余系统中所需的 PROFINET 接口。• 取消选中“使用系统 IP 地址”(Use system IPaddress) 复选框。与 CP 1543-1 进行开放式用户通信简介通过 CP 1543‑1 通信处理器，可同时使用开放式用户通信(OUC) 以及安全 OUC。如果要使用安全 OUC，必须满足以下附加要求，以便处理设备和 CA 证书：• 项目保护已激活•已在每个要用于安全 OUC 的 CP 1543‑1 中启用安全功能。• 同一插槽中主 CPU 和备用 CPU 上的每个 CP的安全设置相同• 为两个 CP 组态相同的 CA 证书• CP 的设备证书分别引用两个 CP，例如，在两个设备证书中组态使用者可选名称(SAN)。说明不会自动同步安全设置在 STEP 7 中，不会在 CP 之间自动同步安全设置。因此，对主 CPU 和备用 CPU的同一插槽中的 CP 进行相同组态。372通信功能手册, 11/2023, A5E03735819-AL与冗余系统S7-1500R/H 进行通信16.7 与冗余系统 S7-1500R/H 进行开放式用户通信通过 CP进行开放式用户通信的连接选项对于以下组态，始终会通过本地 CP 接口与伙伴建立 OUC 连接，而不考虑使用的是 OUC 还是安全OUC。建立通信连接时，需要根据使用的组态调整连接参数。使用以下选项之一在连接参数中选择接口的相应硬件标识符：• 使用分配了本地 IP地址的 CP 接口：对于“InterfaceId”连接参数，指定 CP本地以太网接口的硬件标识符，例如“Local1~CP_1543-1_1~Ethernet_interface_1”。在RUN-Redundant 系统状态下使用主CPU 和备用 CPU 的 CP 接口。• 使用组态了设备 IP 地址的 CPU 的 W1虚拟接口：对于“InterfaceId”连接参数，指定 CPU虚拟接口的硬件标识符，例如“Local1~Virtual_communication_interface”。在RUN-Redundant 系统状态下使用主 CPU和备用 CPU 的 W1 虚拟接口• 使用组态了系统 IP 地址的 CPU 的W1虚拟接口：对于“InterfaceId”连接参数，使用字符串“...HSystemIPRef...”和默认名称中的“Virtual”标识符组态对象的硬件标识符，例如“Local1~Virtual_communication_interface~HsystemIPRef_1”。该对象随即会引用CPU 的W1 虚拟接口的系统 IP 地址。通过 CP 创建连接可为 S7‑1500R/H 冗余系统的集成 PROFINET接口创建连接。但需要对连接参数进行相应调整。在“接口”(Interface) 选择列表中选择要使用的 CP 1543‑1通信处理器。如果要使用“使用系统 IP 地址”(Use system IP address) 选项，则必须为 W1虚拟接口组态系统IP 地址。为通过 CP 进行的开放式用户安全通信选择证书根据对配有 CP 1543‑1 的 S7‑1500R/H站的组态方式，以下证书规则适用于与连接伙伴进行的通信：• 通过使用本地 IP 地址的 CP 进行通信：使用 CP的设备证书进行身份验证。为了使连接伙伴能够验证设备证书，“伙伴设备证书”(Certificates of the partnerdevices) 下必须提供 CP 的 CA 证书。• 通过组态了系统 IP 地址的 CPU 的 W1 虚拟接口进行通信：使用 CPU的设备证书进行身份验证。为了使连接伙伴能够验证设备证书，“伙伴设备证书”(Certificates of the partnerdevices) 下必须提供 CPU 的证书颁发机构。更多信息有关如何创建或分配证书的信息，请参见“管理证书 (页53)”部分。有关通过 CP 接口进行开放式用户安全通信的信息，请参见“通过 CP 接口进行安全 OUC 连接(页78)”部分。
在 S7-1500R/H 系统中使用 OPCUA 服务器S7-1500R/H 系统对 OPC UA 服务器的支持配有 OPC UA 服务器的 S7-1500R/H自固件版本V3.1 起，S7-1500R/H CPU 配有 OPC UA服务器。此版本交付发布后，可在此处找到所有附加信息：S7-1500/ET 200MP、S7-1500R/H 文档的产品信息使用 CP1543-1 确保工业以太网安全17全方位保护 -工业以太网安全的任务通过工业以太网安全，可以对以太网中的单个设备、自动化单元或网段进行保护。此外，还可以通过组合其它不同的安全措施，对数据传输提供如下保护：•数据侦听• 数据操纵• 未经授权的访问安全措施• 防火墙– 全状态数据包检测型 IP 防火墙 （第 3 层和第 4 层）– 符合IEEE 802.3 标准的以太网“非 IP”帧的防火墙（第 2 层）– 带宽限制– 全局防火墙规则防火墙将保护 CP 1543‑1内网段中的所有网络节点。例外：如果使用“通过通信模块访问PLC”功能通过 CP 的接口访问 CPU，则防火墙不会保护此连接。•日志记录在监视过程中，事件将存储在日志文件中，可通过组态工具进行读取或者自动发送到Syslog 服务器中。•HTTPS对网站传输进行加密，例如在过程控制期间。• FTPS（显式模式）对文件传输进行加密。• 安全NTP对时间同步和传输进行保护• SNMPv3对网络分析信息的传输进行安全保护，以防窃听。• VPN 组通过组态，可将 CP1543-1 及其它安全模块整合到 VPN 组中。在 VPN 组 (VPN) 的所有安全模块之间建立 IPsec隧道。这些安全模块的所有内部节点可通过此隧道互相进行安全通信。• 对设备和网段进行保护防火墙与 VPN组的保护功能可应用于单个设备、多个设备或整个网段的操作。375通信功能手册, 11/2023,A5E03735819-AL更多信息有关工业安全的Zui重要内容的链接，请参见该常见问题与解答。防火墙防火墙的任务防火墙的目的是保护网络和站点免受外部的影响和干扰。 这意味着，只能与之前指定的通信伙伴进行通信。可通过 IPv4地址、IPv4 子网、端口号或 MAC 地址等信息对为数据流进行过滤。可以为以下协议层组态防火墙功能：• 全状态数据包检测型 IP防火墙 （第 3 层和第 4 层）• 符合 IEEE 802.3 标准的以太网“非 IP”帧的防火墙（第 2层）防火墙的规则在防火墙规则中将介绍允许或禁止传输的数据包以及传输的方向。日志记录功能安全模块可以通过诊断和日志功能进行测试和监视。•诊断功能包括各种可在线使用的系统和状态功能。• 记录功能记录系统和安全事件。 根据事件类型的不同，记录的信息将包含在 CP1543‑1 的易失性或非易失性的本地缓冲区中。此外，也可以存储在网络服务器中。只能通过网络连接对这些功能进行参数分配和评估。通过日志功能记录事件通过日志设置，指定待记录的事件。在此，可组态以下记录方式：• 本地日志记录通过这种记录方式，可以将事件记录在 CP 1543‑1 的本地缓冲区中。并通过安全组态工具的在线对话框访问和显示这些记录，并在服务站中进行归档。• 网络 Syslog使用网络Syslog，可以记录到网络中的 Syslog 服务器上。使用这种方式时，将根据日志设置中的组态信息对事件进行记录。376通信功能手册, 11/2023, A5E03735819-AL使用CP 1543-1 确保工业以太网安全17.2 日志记录17.3 NTP 客户端功能要检查证书时间的有效性以及日志条目的时间戳，则需在CPU 上对 CP 1543‑1 中的日期和时间进行维护。 时间可以与 NTP 同步。 CP 1543-1通过自动化系统的背板总线将同步的时间转发到 CPU。 这样 CPU 还可以在执行程序时接收时间事件的同步时间。可通过安全型或非安全型NTP 服务器对时间进行自动设置和定期同步。 Zui多可为 CP 1543‑1分配 4 个 NTP 服务器。但不能混合使用非安全型和安全型 NTP 服务器的组态。17.4 SNMP功能与 CPU 类似，CP 1543‑1也可基于简单网络管理协议 (SNMP) 传输管理信息。为此，需在CP/CPU 上安装一个“SNMP 代理”，用于接收和响应 SNMP查询。有关具有 SNMP 功能设备的属性信息保存在 MIB（管理信息库）文件中，需要具有相应权限才能访问。在使用 SNMPv1安全措施时，还将发送“社区字符串”。“社区字符串”类似于一个密码，与SNMP查询一起发送。在“社区字符串”正确时，发送请求的信息。在此字符串不正确时，丢弃该请求。在使用 SNMPv3安全措施时，将对数据进行加密传输。为此，需要选择一种认证方法（例如SHA）或者一种认证和加密方法（例如AES）。用户可以激活和取消激活 CP/CPU 的 SNMP 应用。如果网络的安全准则不允许使用 SNMP 或需使用用户自己的SNMP 解决方案时，则可取消激活 SNMP。有关如何激活和取消激活 CPU 中 SNMP 功能的信息，请参见“SNMP (页96)”部分。17.5 VPN功能对于保护内部网络的安全模块，可借助VPN（虚拟专用网络）隧道，通过非安全外部网络实现安全的数据连接。该模块采用 IPsec 协议（IPsec 隧道模式）建立隧道。在STEP 7 中，可向安全模块分配 VPN 组。在 VPN 组的所有模块之间会自动建立 VPN隧道。在该过程中，一个项目中的某个模块可能同时属于多个不同的 VPN 组。N 50170 标准的第 3 部分。→ 另请参见“DP从站”FETCH/WRITE使用 TCP/IP、ISO-on-TCP 和 ISO 协议的服务器服务，用于访问 S7 CPU的系统存储区。可以从SIMATIC S5 或第三方设备/PC进行访问（客户端功能）。FETCH：直接读取数据；WRITE：直接写入数据。Freeport 协议可任意编程的 ASCII协议；使用该协议可通过点到点连接进行数据传输。FTP文件传输协议 (FTP) 是一种网络协议，用于通过 IP 网络进行文件传输。FTP用于在服务器与客户端间进行文件的上传或下载。FTP 目录可以创建并读取，也可以重命名或删除。HMI人机界面(HMI)，用于显示和控制自动化过程的设备。通信378 功能手册IO 控制器、PROFINET IO 控制器PROFINET系统中的中央设备，通常为典型的可编程逻辑控制器或 PC。IO 控制器将建立与IO设备的连接，与这些设备进行数据交换，并对系统进行监控。