1. S7-200 SMART的通信资源与协议选型先把家底摸清楚很多工程师入手S7-200 SMART第一个项目往往是点灯、启停电机觉得这PLC挺简单的。可一旦遇到通信需求比如要接变频器、智能仪表、条码枪甚至和上位机对接就会发现在通信协议这一关上卡住了。S7-200 SMART虽然是西门子家族里的小型PLC但它的通信能力并不弱只是很多人一开始没搞明白它到底有哪些接口、哪些语言胡乱选型结果不是连不上就是程序跑飞。1.1 硬件通信端口别把RS485口当成RS232S7-200 SMART的CPU本体上通常有两个通信接口一个是标准的RJ45以太网口支持以太网通信另一个是DB9九针母座很多人默认它是COM口实际上它内部走的是RS485差分信号不是RS232。这一点非常关键因为RS485和RS232的电平逻辑完全不同接线方式也不同。如果你拿着原来做RS232的USB转串口线直接怼上去大概率是收不到数据的。除了本体集成的RS485口S7-200 SMART还支持通过SB CM01信号板扩展第二个RS485口。在编程软件里本体串口叫做POR0信号板扩展口叫做POR1。进行自由口通信或者Modbus RTU通信时必须搞清楚当前设备接在哪个PORT上指令参数也要对应填对。我见过有人把自由口配置写进了SMB30控制POR0但设备实际接在信号板的POR1上结果SMB130完全没配置通信怎么调都不通。另外要注意S7-200 SMART在工程调试时我们一般用以太网下载程序这是最稳的。如果用串口下载波特率默认是9.6kbps而且某些固件版本对串口下载的兼容性一般。所以我的习惯是新项目到手先通过以太网把硬件系统配置好包括IP地址、通信端口参数然后再去写通信程序。1.2 通信协议家族PPI、自由口、Modbus RTU、Modbus TCP、S7 TCPS7-200 SMART支持的通信协议主要有以下几类这里逐一说明便于后面选型。PPI协议这是西门子早期的点对点接口协议常用于旧版S7-200 PLC和触摸屏、编程电缆通信。S7-200 SMART虽然保留了部分PPI兼容能力但实际项目里用PPI的越来越少因为以太网和Modbus的通用性更好。除非你手里有老的西门子触摸屏或者PPI电缆否则不建议把PPI作为首选方案。自由口协议这是S7-200系列特有的杀手锏。所谓自由就是用户自己定义串口上的报文帧格式通过XMT和RCV指令自己收发字节想发什么就发什么。条码枪、串口打印机、自定义协议的仪表、老式称重仪表基本都是用自由口对接的。Modbus RTU工业控制现场应用最广泛的串行通信协议绝大多数变频器、温控器、电力仪表、阀岛都支持。S7-200 SMART提供了官方指令库可以快速搭建主站或者从站。后面我会重点讲。S7 TCP这个是以太网上的西门子专有协议端口号是102。S7-200 SMART的以太网口原生支持S7 TCP通信可以通过GET/PUT指令直接读写另一台S7-200 SMART的V存储区。很多触摸屏和上位机组态软件比如WinCC、Intouch、组态王连接S7-200 SMART时用的就是这个协议。Modbus TCP就是把Modbus报文封装在TCP/IP里端口号一般用502。S7-200 SMART可以作为Modbus TCP从站响应上位机或者触摸屏的请求。如果上位机是C#自研的或者现场用了Modbus网关这个协议比S7 TCP更开放、跨平台兼容性更好。1.3 协议选型逻辑对手设备决定方案我做过的实际项目里选型逻辑可以归纳成一张表这是最直接的对接设备类型推荐协议原因触摸屏/HMIS7 TCP 或 Modbus TCP触摸屏原生驱动支持组态简单速度快西门子200系列PLCS7 TCPGET/PUT原生支持V区互访不需要额外通信库变频器/伺服Modbus RTU通用性强绝大多数驱动器都有Modbus寄存器表温控器/智能仪表Modbus RTU仪表行业标准功能码简单可靠条码枪/串口打印机自由口设备通常只输出ASCII字符串需要自定义帧自研上位机/数据库Modbus TCP 或 S7 TCP看研究开发时间C#用Modbus TCP库更通用选型时还要考虑一个因素通信距离和抗干扰。RS485在9600波特率下理想传输距离可以到1000米左右但现场如果电磁干扰严重要适当降速并用屏蔽双绞线。以太网通信虽然速度快但网线最长不超过100米超过就要加交换机或者光纤。2. 自由口通信实战自己定义协议搞定非标串口设备自由口通信是最能体现S7-200 SMART灵活性的功能。所谓自由就是串口上跑的报文不再使用西门子PPI那套固定格式而是完全由用户自己定义。你可以把PLC当成一个单片机按字节拼报文通过XMT指令发出去通过RCV指令把外部发来的字节收进来。正因为这样很多现场的不规则设备最后都是用自由口硬啃下来的。2.1 进入自由口模式的底层逻辑SM30.0和SMB30S7-200 SMART上电后串口默认处于PPI模式方便PC和触摸屏连接。要切换到自由口模式必须修改特殊存储器。POR0的自由口控制字节是SMB30POR1是SMB130。SMB30的结构是SM30.0和SM30.1决定校验方式00无校验01偶校验10奇校验SM30.2决定数据位长度08位17位SM30.4和SM30.5决定波特率SM30.6和SM30.7决定通信模式把SM30.7和SM30.6都清零就进入自由口模式。这里有个容易踩的坑如果你把SM30.7、SM30.6设置成两位出现10这样的组合串口可能会进入某种保留模式实际表现就是完全收不到数据。所以进入自由口的最稳妥做法是在程序初始化时直接执行// POR0进入自由口模式8数据位无校验9600波特率 MOVB 16#09, SMB30这个16#09换算成二进制是00001001SM30.7~SM30.600自由口SM30.50、SM30.41波特率9600SM30.208位数据位SM30.1~SM30.001偶校验注意这里16#09二进制末两位是01即偶校验如果不需要校验应该是16#01。写这行指令前务必先确认你要的校验方式因为奇偶校验不匹配是最常见的通信失败原因。进入自由口模式后编程软件通过串口直连PLC的调试功能可能就会失效。所以我在项目里通常是用以太网下载程序然后在程序中用SM0.0常开触点或者一个调试开关来控制是否进入自由口模式这样既能保证通信功能运行又不至于让整个PLC失去监控手段。2.2 XMT与RCV指令发送接收不定长数据的核心自由口通信全靠两条指令XMT发送和RCV接收。XMT指令的TBL参数是发送缓冲区的起始地址缓冲区第一个字节存放的是要发送的字节数后面字节就是要发的数据。RCV指令的TBL参数是接收缓冲区起始地址同样第一个字节存放最大可接收字节数。RCV指令接收结束的条件可以配置在SMB86到SMB94里。比如SMB87用于允许/禁止接收条件SMB88用于设置空闲线检测周期SMB94用于设置最大字符间隔。如果是和热敏打印机通信打印机通常在输出结束后有短暂的静默期我们就可以用空闲线检测方式判断一帧数据是否结束。举个例子打印机发回的状态反馈往往长短不一但最后会有一个几百毫秒的空闲期把SMB88的空闲时间设成5对应5个字符时间的空闲就可以很好地切帧。发送端的缓冲区布局也很讲究。我曾经给一台标签打印机写打印报文打印机的ESC/POS指令集要求先发送初始化命令0x1B 0x40再发送要打印的ASCII字符串最后发送换行命令0x0A。那么在POU程序组织单元里我用一个数据块作为发送缓冲区VB100 本次发送的总字节数 VB101 0x1B // ESC VB102 0x40 // 初始化打印机 VB103 数据首字节 ... VB10x 0x0A // 换行这里有个很重要的细节发送的字节数必须手动计算。拼接完字符串后必须用加法指令把偏移量算出来再写入VB100。如果漏了这一步发送长度不对打印机会把报文拆断轻则乱码重则卡纸。2.3 手写CRC16校验为什么照抄示例总是不灵很多自由口设备尤其是称重仪表和温控器都会在自己的协议中要求CRC校验。但CRC校验并不是只有一种标准算法同样的CRC16多项式、初值、结果异或、高低字节顺序甚至计算覆盖的范围都可能不同。我的亲身经历是有一台温度巡检仪文档上写的是CRC16-Modbus我当时按标准的Modbus CRC16算好把低字节放高位、高字节放低位结果发过去对方完全没反应。后来用串口监听仪器的原厂软件和它通信抓下正常报文再把我们自己程序生成的报文放一起比对才发现那台仪器的CRC计算范围是设备地址功能码数据区而且字节序是反的。这不能怪厂家文档错只能说现场设备太五花八门。在S7-200 SMART里实现CRC16我推荐用查表法。因为小型PLC的扫描周期本来就要尽量短位循环法虽然代码少但每条指令都按位处理占用扫描时间明显偏大。查表法把256个字节对应的CRC值存成常量表每次取一个字节就查一次表速度可以提升一个数量级。不过要注意查表法消耗的数据块空间比位循环法多512字节高低字节各一张表但S7-200 SMART的数据区一般足够关键是要预留好地址不要和通信缓冲区重叠。实战中还有一个经验如果实在不确定CRC算法细节就先把标准算法都做成子程序Modbus CRC16、CRC16-CCITT、CRC16-xmodem每个子程序输出不同的CRC值。然后用串口助手逐个试发从设备的响应判断哪一个才是它认的。这个过程听起来笨但往往是解决文档和实物不一致最快捷的办法。3. Modbus RTU搞定90%的仪表和变频器如果说自由口是为非标设备准备的那么Modbus RTU就是工业通信里的普通话。S7-200 SMART官方提供了Modbus RTU指令库分为从站指令和主站指令只需要在程序中调用不需要自己去拼报文和算CRC非常省心。但省心不代表可以乱用很多现场问题恰恰出在细节参数上。3.1 从站模式让上位机来读S7-200 SMART当S7-200 SMART作为Modbus RTU从站时上位机触摸屏、组态软件、自研软件通过串口网关来读PLC的数据。我们需要在PLC里调用MBUS_INIT初始化和MBUS_SLAVE从站响应两个指令。MBUS_INIT的参数比较多包括从站地址1~247、波特率、校验方式、超时时间、保持寄存器区起始地址、保持寄存器数量等。最需要留意的就是保持寄存器区起始地址这是Modbus保持寄存器映射到PLC存储区的一个关键参数。比如想让上位机的40001对应PLC里的VW0那么MBUS_INIT里的保持寄存器区起始地址就要填写VB0因为保持寄存器区是以字节地址为基址的40001对应VW0也就是VB0VB1。我在这里踩过一次坑设计时把保持寄存器区起始地址填成了VW100结果上位机读40001时实际读到的是VW100的内容而不是VW0。后来我查了官方手册才发现MBUS_INIT里那个参数是指针型的填的是VB地址不是VW地址。数据区错位后所有地址都偏移了排查起来很浪费时间。MBUS_SLAVE指令在程序中要每个扫描周期都无条件调用让PLC持续检测是否有主站请求到来。这里有个细节MBUS_SLAVE会占用一部分定时器所以程序里要避免使用编号过大的定时器否则会冲突。3.2 主站模式轮询森兰SB200变频器的完整思路S7-200 SMART做主站用Modbus RTU去控制变频器是现场最常见的需求。以森兰SB200系列变频器为例它的Modbus寄存器地址表一般会描述功能码03读运行频率、功能码06写给定频率、功能码05控制启停等。实际上很多国产变频器的寄存器地址都是从40xxx或者403xx开始的需要仔细查看手册。主站程序的骨干是两个指令MBUS_CTRL和MBUS_MSG。MBUS_CTRL负责配置主站的波特率、校验、超时并且提供通信初始化完成的标志。MBUS_MSG负责发送单条读写请求参数包括请求使能EN、完成标志Done、错误代码Error、从站地址、功能码、起始地址、数据长度和数据指针。写主站程序时最关键的是一次只能发送一条MBUS_MSG。很多人一开始不习惯把好几条MBUS_MSG堆在一起结果PLC运行后整个通信网络直接卡死。因为MBUS_MSG在执行期间如果又有新的请求进来指令会报代码错误。正确的做法是用轮询的方式等第一条请求的Done位变1后再开始发送下一条请求。我在项目里通常这样做用MBUS_CTRL的完成位启动一个定时器每10ms扫描一次通信状态。把要执行的每条通信任务编成顺序号轮到哪条就触发哪条MBUS_MSG的上升沿。每条MBUS_MSG完成后判断Error如果不为0记录错误代码然后继续下一条绝不让一条出错卡死全局。这里还要补充一个关于485通讯块如何写程序的常见问题。其实不管是写变频器还是写温控器主站轮询的核心套路是一样的通信任务排队、逐条发送、等待完成、再排下一批。如果你有10台变频器要同时控制最好的办法是建立两个轮询列表一个用于定时读取运行状态所有站都轮询另一个用于触发写入操作只在需要时插入队首。我见过有人把写操作也放入定时轮询里结果每次修改给定频率都延迟一个轮询周期在需要实时调速的场合这完全不可接受。3.3 Modbus RTU调试中最容易忽略的四个细节第一校验位。很多国产变频器出厂默认是8N1无校验但部分老设备默认是8E1偶校验。如果现场通信偶尔正常偶尔乱码先检查两端校验位设置是否一致。在S7-200 SMART的MBUS_CTRL中校验参数有具体编码0无校验1偶校验2奇校验填错了该错误代码。第二地址偏移。Modbus协议里保持寄存器地址40001对应协议地址0000有的上位机软件会直接显示40001有的会显示0。下游PLC的寄存器地址如果按1起始就会产生1个地址的偏差。我建议所有数据读写先写一个固定值到目标寄存器然后在上位机读回确认偏移量。第三超时时间。Modbus主站发送请求后从站如果在超时时间内没有响应MBUS_MSG会置Done并返回错误代码6超时。如果现场有设备偶尔不响应超时时间可以适当调大但不能太大。因为如果一台设备彻底掉线超时时间太长会导致整个轮询周期拉长影响后面设备的刷新速度。我一般把超时设置在300~500ms既能容忍干扰又不至于拖累整体。第四RS485的终端电阻和接地。在变频器附近通信干扰是个大问题。必须使用屏蔽双绞线屏蔽层单端接地千万不要两端都接地否则会产生环流。如果通信距离超过50米在总线两端并联120欧姆终端电阻。接线时还要确认A、B极性许多现场通信不通只是A、B接反了而已。4. 以太网通信S7-200 SMART联机上位机、触摸屏和兄弟PLCS7-200 SMART带以太网口这意味着它可以轻松接入工厂局域网和上位机数据库对接也可以和同系列PLC做分布式控制。和串口通信相比以太网速度快、稳定而且编程调试都方便很多。但以太网协议选择也很多很多人面对S7 TCP、Modbus TCP、GET/PUT指令不知道从哪里下手。4.1 GET/PUT指令S7-200 SMART之间的数据交换如果你有两台S7-200 SMART想让它们交换数据最直接的办法就是用GET/PUT指令。GET是读取远程PLC的V区数据PUT是写远程PLC的V区数据。这两个指令可以在STEP 7-MicroWIN SMART的指令向导里生成向导会引导你填入远程IP、通信区域、数据长度和触发条件。要注意的是GET/PUT指令的寻址对象只能是另一台S7-200 SMART的V存储区。它不支持直接访问S7-1200、S7-1500的DB块或M区。很多工程师把GET/PUT当成万能以太网通信工具拿去读S7-1200的数据块结果发现数据读不出来这正是因为协议栈的定位不同。还有一个安全设定远程PLC的以太网安全等级必须允许GET/PUT访问。在S7-200 SMART的系统块里有一个允许来自远程对象的PUT/GET通信访问选项默认可能是禁止的。如果两台PLC怎么都通信不上先检查这个选项是否勾上然后重新下载硬件配置。GET/PUT指令的触发条件建议使用边沿信号不要每个扫描周期都持续读取。因为GET/PUT本身是异步通信如果每周期都触发容易造成通信拥塞。我给两个CPU传数据时通常用一个100ms的定时脉冲触发GET读取完成后立刻处理数据并把数据存入中间寄存器。4.2 和S7-1500通信别用GET/PUT硬碰S7-200 SMART和S7-1500的通信很多人想当然地用GET/PUT结果失败。实际上S7-1500只认S7协议或者开放式通信TCP。如果是S7-1500作为主站可以在博途里用PUT/GET向导去读S7-200 SMART的V区这时S7-200 SMART作为服务器那是可以的。如果反过来S7-200 SMART想主动去读S7-1500的DB那S7-200 SMART的PUT/GET就无能为力了因为它的指令集不支持访问S7-1500的DB块。解决办法通常有两种第一种让S7-1500做主站用TSEND_C/TRCV_C或者PUT/GET向导主动把数据发给S7-200 SMART第二种让双方都通过Modbus TCP通信S7-200 SMART开从站S7-1500开Modbus TCP客户端这样通用性最好。我在项目里遇到S7-200 SMART和S7-1200/1500混搭时基本都用Modbus TCP虽然要多配几个字节的映射区但至少逻辑清晰不会出现高级PLC不搭理低级PLC的尴尬。4.3 Modbus TCP与威纶通触摸屏的地址映射S7-200 SMART支持Modbus TCP从站功能在软件里需要调用MB_SERVER指令。MB_SERVER和串口的MBUS_SLAVE类似也是每个扫描周期持续调用它会监听端口502响应客户端的Modbus请求。同样需要在初始化指令MB_INIT里面配置端口通常502和保持寄存器映射区。威纶通触摸屏连接S7-200 SMART最常见的做法是选择Siemens S7-200 (Ethernet)驱动然后在属性里填PLC的IP地址端口号默认102。有些新版本软件里会有S7-200 SMART的驱动选项也可以选。我个人的经验是选S7-200 (Ethernet)兼容性最好因为S7-200 SMART模拟了S7-200的TCP服务。地址映射这块要特别注意触摸屏里的V区地址和PLC里的V区字节是直接对应的。比如触摸屏读VW0对应的就是S7-200 SMART的VW0。如果触摸屏组态软件里地址风格是4x的那就要通过Modbus TCP方式连接需要额外在PLC里组态MB_SERVER指令。用哪种方式取决于你选用的驱动。最简单的办法先确认触摸屏型号支持的驱动再用对应的地址风格。我在现场遇到过一个很典型的坑威纶通软件里PLC类型选成了Modbus TCP因为看到S7-200 SMART支持Modbus TCP挺开心然后在地址栏填4x地址但PLC里并没有调用MB_SERVER指令。结果触摸屏一上电就是通信异常后来我把驱动改回S7-200以太网驱动地址全部改成VW开头的风格通信立刻恢复正常。这告诉我们先确定协议再选择驱动不要因为设备支持多种协议就随意切换。5. 通信调试的实战方法论从乱码到稳定通信调试是PLC工程项目里最磨人的环节。很多人以为程序写了、参数设置了通信就应该正常但实际现场往往会在物理层、数据链路层和应用层三层出各种问题。我在无数次抓包和看波形的过程中总结了一套相对固定的排查路径给大家做一个参考。5.1 必备的调试工具和工作链路调试串口通信USB转RS485转换器是必需的。我建议选择带光电隔离功能的转换器现场变频器启动时地线电位波动很大不隔离的转换器容易把电脑的USB口烧掉。另外调试助手软件要支持十六进制收发而且要能显示接收时间戳。看时间戳能判断报文间隔对分析超时问题非常有用。调试以太网通信Wireshark是神兵利器。通过抓包可以看到S7 TCP的连接过程TPKT握手、Modbus TCP的功能码和地址、以及异常响应。如果用的是组态软件还可以直接通过报警日志判断通信状态。就算没有Wireshark至少在CMD里ping一下IP确认物理链路通不通。很多以太网通信问题就是卡在IP设置上——两台设备不在同一个网段怎么都连不上。调试链路建立以后我习惯按这个顺序来用串口助手或Modbus Poll模拟主站/从站直接先验证对方设备的通信参数是否正确。如果模拟通信正常再让PLC接入。如果PLC接入后不正常用串口助手的虚拟串口中间人方式监听PLC发出的报文对比和模拟时的报文差异。这能快速区分问题是出在PLC程序还是外部设备上。5.2 典型故障排查流程按物理层到应用层一步步来我把常见的不通信问题分成四类每一类有自己的套路物理层问题。现象是PLC发完请求后石沉大海。先用万用表量一下RS485的A、B线间电压正常空闲时大约有0.2V~0.5V的压差。如果测量到0V说明转换器或PLC根本没驱动总线。检查A/B有没有接反终端电阻有没有接错。很多新手会把屏蔽层接到大地反而引入干扰正确的做法是屏蔽层只在PLC端单点接地。参数配置问题。现象是偶尔能收到但全是乱码。检查波特率、数据位、校验位一个字都不能差。特别提示有些设备说明书上写着9600波特率无校验实际出厂却是4800偶校验。在调试时用Modbus Poll配合设备自带的上位机软件通过抓包把真正的参数捞出来再填到PLC里。地址和字节序问题。现象是通信不报错但读回来的数据明显不对。比如读到的值往往是0x1234但PLC里实际是0x3412这是因为数据字节序不同。Modbus协议里高字节在前、低字节在后但有些智能仪表却相反。另外寄存器地址偏移也很常见解决方法是写一个固定值进去然后再读出来确定映射关系。时序和程序逻辑问题。现象是通信时好时坏或者某几条指令永远不执行。排查PLC程序里MBUS_MSG是否在轮询占用时被重复触发超时时间是否过短。还有PLC扫描周期对通信的影响如果PLC程序逻辑复杂扫描周期超过30ms可能会导致通信超时这时候要考虑用定时中断来发送请求把它从主扫描周期里剥离出来。5.3 通信程序的架构经验稳定压倒一切写过几年通信程序后我越来越认同一个观点通信程序的核心不是指令手册而是状态机的思维。把所有通信任务拆成一个个状态初始化、等待发送、等待接收、处理数据、错误重试、超时跳转。不管任务是10条还是100条状态机都能稳稳地把它们串起来。具体几个经验通信请求触发一定要用边沿脉冲。如果是电平触发一旦通信指令正在忙新请求就会被忽略最终导致逻辑混乱。每个通信任务都要有看门狗。比如一条请求发出后如果800ms没回来强制把完成标志清除继续执行下一个任务。否则一个掉线设备就能拖死整个网络。读回来的数据先存到临时缓冲区校验通过后再复制到最终地址区。防止通信过程中数据被改写导致控制逻辑抽搐。如果PLC要同时和多个设备通信分时比抢占优先级更好。比如给每个从站分配固定时间片不要因为是重要设备就持续占用总线。最后我个人调试PLC通信的一点体会协议看起来是高深的概念实际落到现场就是电平、字节、时序、地址这八个字。大多数通信问题都不是程序复杂到写不出来而是物理连接和参数配置这种基础功不过关。所以如果你正被S7-200 SMART通信折磨得焦头烂额不妨先从示波器和万用表下手把物理层基础夯实再回头审视程序往往会有柳暗花明的感觉。