在工业环境中，数据安全性和访问保护（安全性）的主题变得越来越重要。整个工业系统的联网、公司内部的垂直集成和各级联网不断增多，以及远程维护等新技术的采用，都大大tigao了对保护工业设备的更高要求。用于办公环境的数据安全性解决方案不能简单地照搬到工业应用场合中，以防止在敏感系统和生产网络中进行操纵。要求工业环境中特定的通信需求（例如实时通信）导致要满足更多的安全性要求：•防止自动化单元之间的交互• 保护网段• 防止故障和未经授权访问• 网络安全性的可伸缩性•不得影响网络结构安全性的定义为防止以下情况而采取的所有措施的统称：• 因对数据进行未经授权的访问而导致泄密•因数据操作而导致数据不完整•因数据毁坏（例如，通过故障组态和拒绝服务攻击）而导致的不可用性威胁外部操纵和内部操纵均会导致威胁。数据安全性的丧失并不总是因有意的行为而引起的。以下情况可导致内部威胁：•技术错误• 操作员错误• 程序缺陷除了这些内部威胁之外，还存在外部威胁。外部威胁与办公环境中熟知的威胁没有任何实质区别：•软件病毒和蠕虫• 木马程序• “中间人”攻击• 密码窃取•拒绝服务保护措施以下是在工业环境中防止操纵和丢失数据安全性的Zui重要的预防措施：• 对设备进行物理访问保护•通过防火墙过滤和控制数据liuliang• 虚拟专用网络 (VPN) 用于在公共网络（例如 Internet）上交换私有数据。Zui常用的VPN 技术是 IPsec。IPsec（Internet Protocol Security，Internet协议安全性）是一个安全性协议集，用作调解级别的 IP 协议的基础，并允许通过潜在不安全 IP 网络进行安全通信。•在受保护的自动化单元中进行分段这一防护措施用于通过安全模块来保护较低级别的网络设备。一组受保护的设备构成一个受保护的自动化单元。•设备的认证（标识）安全模块使用认证过程在安全（加密）通道上互相标识。因此，未经授权的实体无法访问受保护的网段。•对数据通信进行加密通过对数据通信进行加密来确保数据的机密性。为每个安全模块提供一个包含加密密钥的VPN证书。网络组件和软件防止未经授权的访问可以使用以下解决方案将工业网络连接至 Intranet 和Internet，以防止内部和外部威胁：• 通信处理器，例如 SIMATIC CP 1543‑1• SCALANCE X‑300 和SCALANCE S - SIMATIC NET 产品系列的数据安全性组件• PC 上使用的 SOFTNET安全性客户端功能这些产品均有多种功能，例如：• 轻松将现有网络与集成的防火墙集成而无需组态。• 在受保护的自动化单元中进行分段•设备的认证（标识）• 对数据通信进行加密。
应用示例办公和生产级别的数据安全性下图包含一个应用示例，该示例具有使用 SCALANCE S和安全性客户端创建的公司不同级别的受保护区域。 受保护区域以浅色突出显示。参数分配/寻址4设置自动化系统需要对各硬件组件进行组态、分配参数和互连。 在 STEP 7中，此任务所需的操作可在设备、拓扑以及网络视图中执行。组态“组态”意指对设备、拓扑或网络视图中的设备和模块进行排列、设置和联网。将给各模块自动分配一个I/O 地址。 这些 I/O 地址可以随后进行修改。CPU 将 STEP 7 中的预设组态与系统当前的实际组态进行比较。这样可以检测可能的错误并直接进行报告。STEP 7的在线帮助中详细介绍了设备的具体组态步骤。分配参数“分配参数”意指设置所用组件的属性。 将同时组态硬件组件和数据通信的设置。在STEP 7 中，可以为以下设置 PROFINET“分配参数”：• 设备名称和 IP 地址参数• 端口互连和拓扑•模块属性/参数这些参数将加载到 CPU 并在 CPU 启动期间传送给相应的模块。 使用备件可非常轻松地更换模块，这是因为针对SIMATIC CPU分配的参数在每次启动时会自动加载到新模块中。根据项目需求调整硬件如果想要设置、扩展或更改自动化项目，则需要组态硬件。为此，需要向结构中添加硬件组件、将它们与现有的组件相连并根据任务要求修改硬件属性。自动化系统和模块的属性是预设的，因此在很多情况下，都无需再为其分配参数。但在下列情况下需要进行参数分配：•想要更改模块的默认参数设置。• 想要使用特殊功能。• 想要组态通信连接。47使用 STEP 7 组态 PROFINET功能手册,11/2023, A5E03444491-AN4.1 将 IO 设备分配给 IO 控制器PROFINET IO 系统PROFINETIO 系统由一个 PROFINET IO 控制器和其分配的 PROFINET IO设备组成。这些设备在网络或拓扑视图中就位后，STEP7 会为其分配默认值。Zui初只需考虑将 IO 设备分配给 IO 控制器。要求• 已处于STEP 7的网络视图中。• 已放置一个CPU（例如，CPU 1516‑3 PN/DP）。• 已放置一个 IO 设备（例如，IM 155‑6 PN ST）。操作步骤要将 IO设备分配给 IO 控制器，请按照以下步骤进行操作：1. 将鼠标指针移动到 IO 设备的接口上。2. 按住鼠标左键。3.移动鼠标指针。指针此时将使用联网符号来指示“联网”模式。与此同时，可以看到指针上出现锁型符号。指针移到有效目标位置上时，该锁型符号才消失。4.现在，将指针移动到 IO 控制器的接口上。执行该操作时，鼠标左键可以一直保持按下状态，也可以松开鼠标左键。5.现在松开鼠标左键或再次按住它（取决于上一个动作）。结果将 IO 设备分配给 IO控制器。检查分配情况可以在网络视图的表格区域中的“IO 通信”(IO communication)选项卡中找到通信关系概述。该表是上下文关联的表格，可在图形区域中进行选择：• 接口选择显示了相应接口的 I/O 通信。•接口选择显示了 CPU 的所有 I/O 通信（包括 PROFIBUS）。• 站接口选择（如上图所示）显示了整个站的 I/O 通信。有关S7‑1500R/H 的信息有关将带有系统冗余 2 的 IO 设备分配给 S7‑1500R/H 冗余系统的具体操作步骤，请参见“将IO设备分配给 S7-1500R/H 冗余系统 (页 299)”部分。设备名称和 IP 地址简介为了使 PROFINET 设备可作为PROFINET 上的节点进行寻址，以下内容必须满足：• 唯一的 PROFINET 设备名称• 相关 IP 子网中的唯一 IP地址STEP 7 在硬件和网络编辑器中排列 PROFINET 设备期间分配设备名称。 IP 地址通常由 STEP7自动分配，并根据设备名称分配给设备。可以手动更改名称和 IP 地址。在 STEP 7 中可以在巡视窗口中 PROFINET接口的属性中的“以太网地址”(Ethernet addresses) 下找到设备名称和 IP 地址。设备名称设备名称IO设备必须具有设备名称，才可通过 IO 控制器寻址。在 PROFINET 中，使用名称比使用复杂的 IP地址更为简单，因此，将选择使用名称。为具体的 IO 设备分配设备名称可与设置 DP 从站的 PROFIBUS地址进行比较。出厂时，IO 设备没有设备名称。在 IO 控制器对 IO设备进行寻址前（如，在启动过程中传输组态数据或循环交换用户数据），必须先为设备分配一个设备名称。如，通过 PG/PC 为 IO设备指定设备名称。具有可移动存储介质插槽的 IO设备允许将设备名称直接写入编程设备的可移动存储卡介质中。使用无需可移动介质的设备更换某设备时，IO控制器会根据拓扑组态来分配设备名称（请参见组态拓扑结构 (页 67)部分）。结构化的设备名称在 STEP 7 中组态PROFINET、S7‑1200、S7‑1500、ET 200MP、ET 200SP 和 ET 200AL等设备时，默认自动为其分配设备名称。这些名称由 CPU 名称或接口模块名称构成。对于具有多个PROFINET接口的设备，接口的名称有所增强，例如，“plc_1.profinet-interface_2”或“iodevice_1”。可以使用DNS 命名惯例结构化设备名称。这些命名惯例是由“在应用程序中实现国际化域名” (IDNA)定义的。据此，设备名称应为小写字母。“域名系统”(DNS) 是一种分布式数据库 可管理 Internet上的名称空间。为了结构化名称，将使用句点（“.”）。从左向右以升序显示其层级。...
IP 地址IP 地址要将 PROFINET设备寻址为工业以太网中的设备，需确保该设备的 IP 地址在该网络中唯一。IP地址通常由 STEP 7自动分配，并根据设备名称分配给设备。如果是一个独立网络，则可使用STEP 7 建议的 IP地址和子网掩码。如果网络为公司现有以太网网络的一部分，则应向网络管理员获取这些数据。组态 IP 地址基于 Internet 协议 V4(IPv4)，IP 地址由 4 个 0 到 255 间的十进制数组成。这些十进制数使用句点进行分隔（如，192.162.0.0）。IP地址由以下几个部分组成：• 网络地址• 设备的地址（IO 控制器/IO 设备的 PROFINET 接口）生成 IP 地址在 STEP7 中分配 IO 设备的 IP 地址。IO 设备在由 IO 控制器进行参数分配的过程中接收其 IP地址。此外，对于某些 IO设备（如，SCALANCE X、S7‑300 CP），则不在 IO 控制器启动期间获得 IP地址，而是在此之前在设备上设置 IP地址（请参见“允许在设备上直接更改设备名称和 IP 地址(页 62)”）。IO 设备的 IP 地址始终与 IO控制器的子网掩码相同，并通过 IO 控制器的 IP 地址按升序进行分配。必要时，可以手动更改 IP 地址。对于具有多个PROFINET 接口的设备（例如，CPU 1516‑3 PN/DP），IP 地址必须位于不同的子网中。说明通过 DHCP 服务器分配IP 地址自 STEP 7 V17 开始，可以为 PROFINET 接口选择“来自 DHCP 服务器的 IP 地址”(IPaddressfrom DHCP server) 选项。选择该选项，可以由 DHCP 服务器为 ROFINET 接口分配 IP地址。如果为 PROFINET 接口组态了“来自 DHCP 服务器的 IP 地址”(IP address from DHCPserver) 选项，则该接口不再支持 PROFINET IO 功能。有关 DHCP 服务器分配 IP地址的更多信息，请参见“通信”功能手册。默认路由器如果必须通过 TCP/IP 或 UDP将数据转发给本地网络之外的伙伴时，则需使用默认路由器。在 STEP 7 中，默认路由器的名称为 Router。在 CPU的巡视窗口中，可通过“IP 协议”(IPprotocol) 部分的“使用路由器”(Use router)复选框激活路由器的使用。系统默认，STEP 7 将该本地 IP 地址分配给默认路由器。在 IO 控制器中 PROFINET接口内设置的路由器地址将自动传送到所组态的 IO 设备中。子网掩码子网掩码中设置的位决定 IP地址中包含网络地址的部分。通常，应该遵循以下原则：• 网络地址通过将 IP 地址与子网掩码进行“与”运算获得。• 设备地址通过将 IP地址与子网掩码进行“与非”运算获得。