OPC UA PubSub 通信编辑器 OPC UA PubSub 通信模型 常规 自版本 V19 起，SIMATIC NET OPC UA 服务器支持根据 S7 和“S7 优化”协议的 OPC UA 规范 第 14 部分通过 UDP 进行安全 OPC UA PubSub 通信。OPC UA PubSub 通信在 PC 应用中如何进行？ Publisher 在网络中使用 UDP Multicast 地址发送其已发布数据。 要订阅数据，Subscriber 应从 Publisher 接收要订阅的数据包结构的相关信息。Subscriber 可 使用此数据过滤通过网络接收的所有数据包。 下图显示了 OPC UA PubSub 通信模型的主要组件：连接 连接保存有关所用网络协议和 IP 地址的数据，其中通过该 IP 地 址发送已发布数据或接收订阅数据。 重要参数包括地址、PublisherId 或传输配置文件 URI。 Publisher 将网络消息发送到网络的 OPC UA PubSub 组件（发布）。 Subscriber 从网络接收 Publisher 的网络消息（订阅）的 OPC UA PubSub 组件。 PublishedDataSet (Publisher) PublishedDataSet 包含将发布的数据点及其数据类型信息的列 表 (DataSet collection)。整理了以下内容： • 变量 • 元数据DataSetWriter (Publisher) DataSetWriter 使 PublishedDataSet 的信息可用作创建 DataSetMessage 的数据集。它描述了数据包中的数据结构。 DataSetWriter 分组到 WriterGroups 中。 此外，还会在此设置消息格式 (message mapping)“UADP”(UA Datagram Protocol)。 WriterGroup (Publisher) WriterGroup 定义发布数据的时间间隔。另外，此处还存储了 数据包的加密和签名的设置。 通过 DataSetMessage 创建网络消息。 在此过程中，会为消息格式 (message mapping) 定义其它参 数。 DataSetMessage 可进行加密和签名，并包含以下内容： • 一个或多个数据集 • 带元数据的 Header 网络消息 包含以下内容的传输单元： • 由多个部分组成的 Header • 一个或多个 DataSetMessages • Security Footer（可选）和签名（可选） 传输层上的帧 包含以下内容的传输单元： • Header，包括传输配置文件的数据。 • 网络消息 SubscribedDataSet (Subscriber) SubscribedDataSet 包含有关地址空间中将用于存储订阅数据 的位置的信息。 已接收数据集的内容会分配给 Subscriber 的变量。 DataSetReader (Subscriber) DataSetReader 解密并分发数据。DataSetReader 分组到 ReaderGroups 中。 评估由 Publisher 编码的参数。 ReaderGroup (Subscriber) ReaderGroup 将消息转发到 DataSetReader。 Security Key Service Security Key Service (SKS) 管理安全组，并使其中包含的密钥 可供发布者或订阅者使用。 SecurityGroup (SKS) 用于加密的密钥在 SKS 内的安全组中管理。每个安全组都管理 一个密钥，并在 SKS 中有唯一的 ID。

             安全 (SKS) • 仅可使用一个 SKS。 • PC 应用程序包含一个用于 Security Key Services 的内部服务器：本地 SKS 本地 SKS 的参数是从 OPC 服务器继承的，且为只读状态。 默认使用本地 SKS。 • 也可以组态外部 SKS：默认 SKS 可组态默认 SKS 的名称。 安全的 OPC UA PubSub 通信 为确保 OPC UA PubSub 通信安全，网络消息以加密方式发送（对称加密）。为此， Publisher 和 Subscriber 必须拥有适当的密钥进行加密和解密。Security Key Service (SKS) 负责管理不 同 OPC UA PubSub 通信的密钥。 SKS 管理安全 OPC UA PubSub 通信的密钥。以下 SKS 可用： • 本地 SKS 默认使用本地 SKS。 是 OPC UA 服务器应用程序的组成部分，用于管理项目中所有 OPC UA PubSub 参与者的 密钥。Publisher 和 Subscriber 都从此 SKS 接收用于其 OPC UA PubSub 通信的密钥。 • 默认 SKS 可用外部 SKS 代替本地 SKS。 SKS 可与 Global Discovery Server (GDS) 组合使用。 SKS 中的每个密钥都存储在各自的安全组中。它在 SKS 中具有唯一 ID。在组态过程中， Publisher 和 Subscriber 接收其密钥的 SecurityGroupID 以及用于访问 SKS 的端点描述。它们 使用此信息登录 SKS。权限概念确保仅参与 OPC UA PubSub 通信的合作伙伴可访问特定安全组的信息。访问 SKS 的先决条件是 SKS 客户端的应用程序 URI 必须作为“替代主题”存 储在其证书中。若要从 SKS 读取密钥，Publisher 或 Subscriber 必须具有 OPC UA 客户端功能。 OPC UA PubSub 安全 – 应用程序 URI OPC UA 客户端访问 SKS 管理的 SecurityGroup 时，SKS 会检查 OPC UA 客户端的应用程序 URI。如果 OPC UA 客户端未获得对 SecurityGroup 的访问权限，则会拒绝访问。这样可确保 只有获得授权的 OPC UA 客户端可以访问 SecurityGroup 中的密钥。由于 OPC UA 客户端的 应用程序 URI 还包含在证书中，因此 OPC UA 客户端不能使用伪造的应用程序 URI。OPC UA 客户端的证书还必须被 OPC UA 服务器分类为可信任证书。否则，将无法在 OPC UA 客户端 与 OPC UA 服务器之间建立连接。 根据 OPC UA 服务器的用途，按以下方式在组态中使用应用程序 URI： • 用作 SKS 服务器：在 SKS 服务器的端点描述中输入应用程序 URI。要使 SKS 客户端连接 到作为 SKS 服务器的 OPC UA 服务器，需要提供端点描述。 • 用作 SKS 客户端：要在 SKS 服务器的 SecurityGroup 中注册 SKS 客户端，则在 SKS 服务 器安全组角色的 Identity 中输入 SKS 客户端的应用程序 URI。 SIMATIC NET PC 软件 OPC UA 服务器的应用程序 URI 包含在 OPC UA 服务器的相应服务器证 书中，可从证书详细信息中读取。参见“主题备用名称”(Subject Alternative Name) 下，格 式为“URL=

                 支持用于 OPC UA PubSub 通信的数据类型 对于 SIMATIC NET OPC UA 服务器 V19 或更高版本，以下数据类型支持用于 OPC UA PubSub 通信： 说明 数据类型必须按以下方式进行组态才能供 OPC UA 服务使用（已选择选项）： • “可从 HMI/OPC UA 访问”(Accessible from HMI/OPC UA) • “可从 HMI/OPC UA 写入”(Writable from HMI/OPC UA) • “可从 OPC UA 访问 DB”(DB accessible from OPC UA)使用本地 Security Key Service 组态 OPC UA Publisher 前提是必须有一个现有的 STEP 7 项目或创建一个新的 STEP 7 项目，其中已组态与安有 OPC UA 服务器 V19 或更高版本的 PC 站的 S7 连接。此外，还需要使用受支持数据类型创建的数 据块，参见“支持用于 OPC UA PubSub 通信的数据类型 (页 2043)”部分。 要通过 PC 站发布数据，请按以下步骤操作： 1. 打开 STEP 7 项目。 2. 打开 OPC UA 服务器的“设备组态”(Device configuration)，为 S7 连接的“OPC 符号”(OPC symbols) 选择“全部”(All) 选项，如果仅会使用 OPC 符号的子集，则选择“已组 态”(Configured) 选项。3. 在项目树中浏览到将用于发布数据的 PC 站，“PC 站 > OPC 服务器 > OPC UA PubSub”(PC station > OPC server > OPC UA PubSub)，以打开编辑器。 4. 对于 S7/ S7OPT OPC UA 服务器，单击“已发布数据集 > 添加数据集”(Published data sets > Add data set)，并选择新创建的数据集。 5. 在“变量”(Tag) 列中单击带三个点号的按钮。在打开的对话框中，浏览到之前创建的数据块。 6. 从数据块中选择将使用该数据集发布的变量。 7. 在“组态本地 SKS”(Configure local SKS) 中，单击“添加新的 SecurityGroup”(Add new SecurityGroup)。 8. 选择新创建的 SecurityGroup ，并在其属性中浏览到“角色权限设置”(Settings for role rights)，然后使用“从证书导入 ApplicationURI”(Import ApplicationURI from certificate) 按钮 为每个 Subscriber 导入 ApplicationURI。 9. 单击“连接 > 添加新连接”(Connections > Add new connection) 创建新连接。 10.选择新创建的连接，并在其属性中浏览到“常规 > Port”(General > Port)。Publisher 和 Subscriber 的端口必须相同。 11.转到“常规 > gaoji > 网络接口”(General > Advanced > Network interface)，在输入框中输入 将用于发布数据的 PC 站的网络地址。 12.为新创建的连接单击“WriterGroups > 添加新 WriterGroup”(WriterGroups > Add new WriterGroup)。 13.选择“WriterGroup > 默认 SecurityKeyService”(WriterGroup > Default SecurityKey Service) 进 行安全设置。 14.对于“端点描述”(Endpoint description)，单击“新增”(Add new)，并使用“选择”(Select) 按 钮为“服务器 > Application URI”(Server > Application URI) 分配具有 Security Key Service 的 ApplicationURI 的证书。也可以直接输入 ApplicationURI 或粘贴已复制的 ApplicationURI。 15.对于“Discovery URL”，单击“新增”(Add new)。在其中指定组态为 Security Key Service 服务 器的 OPC UA 服务器的 IP 地址和端口。 16.选择 WriterGroup，并在属性中浏览到“常规 > Security”(General > Security)。 17.通过“安全配置文件”(Security profile) 下拉列表分配值“签名和加密”(Sign and encrypt)（默 认设置），并为“安全组 ID”(Security Group ID) 输入安全组的 ID。可通过默认 SecurityKeyService 的属性获取该 ID。 18.对于新创建的 WriterGroup，单击“添加新的 DataSetWriter”(Add new DataSetWriter)，并选 择新创建的 DataSetWriter。在 DataSetWriter 属性中浏览到“常规 > PublishedDataSet”(General > PublishedDataSet)，并从下拉列表中选择要发布的数据集。 19.编译 STEP 7 项目并将其下载到设备中。 组态 OPC UA 订阅者 前提是必须有一个现有的 STEP 7 项目或创建一个新的 STEP 7 项目，其中已组态与安有 OPC UA 服务器 V19 或更高版本的 PC 站的 S7 连接。此外，还需要使用受支持数据类型创建的数 据块，参见“支持用于 OPC UA PubSub 通信的数据类型 (页 2043)”部分。