Siemens-PPI协议分析

SiemensPPI协议分析大家好：我是山东临沂的郝金红，由于前段时间的疯狂的研究西门子PPI协议解密之故，所以无心插柳的研究出了较实用的西门子S7-200PPI协议，今天奉献大家。我们经常要用于上位机、现场设备与S7-200CPU之间的通讯，但是西门子公司没有公布PPI协议的格式，用户如果想使用PPI协议监控，必须购买其监控产品或第三方厂家的组态软件。大家要知道国内的组态王、紫金桥、力控等等组态公司是花了多少钱才得到的PPI的深层协议吗？其实西门子工控产品的超高价垄断掠夺行为已经引起了我们国家及业内人士的抵制和抗议，他们的什么软件都需要授权且对于系统的霸道性是有目共睹的。这样给用户自主开发就带来了一定的困难，特别是想用VB、VC等语言自行开发，根本没办法接入PLC，要么你大把掏钱给他们。洋为中用，最近在国外网站得到一个串口监视软件，带协议分析的相当不错，你吧！我就是通过此软件的数据监视、分析方法，找出了PPI协议的关键报文格式所在。其实西门子S7-200PLC之间或者PLC与PC之间通信有很多种方式:自由口，PPI方式，MPI方式，Profibus方式。使用自由口方式进行编程时，在上位机和PLC中都要编写数据通信程序。使用PPI协议进行通信时，PLC可以不用编程，而且可读写所有数据区，快捷方便。这也是我们之所以要研究、找出PPI协议的源动力！下面我们就要说说分析的方法了！西门子的STEP7MicroWIN是用于S7-200系列PLC的开发工具，它使用PC机上的COM口通过一条PC/PPI编程电缆连到PLC的编程口上。这说明，PC实际上是可以通过串口同S7-200CPU通讯。只是我们不知道通讯协议而已。通过截获PC机串口上的收发数据，对照Step7软件发出的指令，我们就有可能分析出有关指令的报文和通讯方式；然后，直接通过串口向PLC发送报文，以验证这些指令报文是否正确。本着这一思想，我们采用以下步骤获得这些报文。你首先下载上面那个英文的串口监控软件，英文不好的网友可以使用我们为你汉化的汉化包，替换原文件即可，你必须使用这个软件，因为我先前使用过很多的监控软件，在收发数据很多的情况下都有死机现象，造成数据丢失，容易给我们错误分析。接下来你先打开这个软件，新建、选择端口COM1,然后再将PC/PPI编程电缆接在COM1上，这样，Step7Micro/Win发给PLC的报文就可以在监视软件上完全裸露的展现在你的面前了。我们按S7-200系统手册设置好串口参数：9600，8，E偶校验，1位停止位。然后设置好Step7软件，使之能与S7-200CPU正常通讯。从Step7软件中发出一个明确指令，监视软件就能显示这条报文了（用16进制显示，ASCII码的只能看到几个版本号之类的，其他都没有意义）。我们的破解策略就是通过软件监视的方法，分析PLC内部固有的PPI通讯协议，然后上位机采用VB编程，遵循PPI通讯协议，读写PLC数据，实现人机操作任务。这种通讯方法，与一般的自由通讯协议相比，省略了PLC的通讯程序编写，只需编写上位机的通讯程序资源。S7-200的编程口物理层为RS-485结构，SIEMENS提供MicroWin软件，采用的是PPI(PointtoPoint)协议，关于232串口转485你可以采用我们网站开发研制的自制PPI电缆，效果倍好哦！还是自己动手，丰衣足食啊！不能光说不练啊！下面我们就说说西门子PLC到底是怎么通讯的。PC与PLC采用主从方式通讯，PC按如下文的格式发读写指令，PLC作出接收正确的响应（返回应答数据E5H或F9H见下文分析），上位机接到此响应则发出确认命令（10025C5E16），PLC再返回给上位机相应数据。一般上位机要连接PLC就要先发送如下寻呼数据100200494B16同志们呐！我们可都是有血、有肉、有思想、有灵感的高级动物啊，面对这么多枯燥、无味、复杂、混乱的机器数字你怎么记呢？反正我是记不住啊！（^_^开始洗脑）这时你可以闭上眼睛，安静、静、再静。。。。。。想一想战争时期的战地对讲机通话模式，那么这个初始的寻呼指令（100200494B16）就可以理解为：“洞两洞两（02），我是洞洞（00），听到请回答，听到请回答！over！”。现在我们来简单的分析一下这个指令的具体含义：10起始符，咳嗽一声要开始讲话的意思。02是上位机要联系的下位机PLC的地址站号，就是要找的人。00就是上位机电脑本身自己的站号。49寻呼指令，呼叫寻找的意思。16终止符，over、完毕、结束的意思。其中4B为校验码，防止数据传输出错而设计的，它是这样得来的：02+00+49和的最后两位就是校验码，这就是所说的偶校验或称和校验也称余校验，因为取的是除以100后的余数。计算器在16进制计算时公式（02+00+49）mod100得出的数就是校验码，你计算一下是不是等于4B啊！其他的所有PPI协议校验都是如此。假如02站号的PLC收到寻呼信号那么会回答：100002000216意思是：“报告洞洞（00），洞两（02）收到，请指示，over！”这样的解释是不是很好理解啊！你有更好的解释吗？既然找到了要找的人，接下来PC上位机电脑，就是司令啦！就可以发号施令了。这时上位机发出一条指令，这个指令下面详细解说，发号施令后如果PLC正确接收就会返回E5字符，意思是：“明白！”。其实啊，说到这里PLC只说他明白，他已经明白了上位机PC的指示，但并没有执行命令，那么要怎么他才执行命令呢？就是上位机PC发出确认命令后才执行。这时上位机会发出确认指令（10025C5E16），这里的5C是执行指令，意思是：“请洞两立即执行，over！”。然后PLC就干他该干的工作了！原来PLC也不容易啊，怪不得叫下位机呢！就是下人的意思！说了这么多乱不乱呐？目的就是要理清上下级关系、主从关系，指令的顺序，用一个好的记忆方法记住枯燥无味的机器码。下面我们列表分析读取PLC密码的指令：681B1B6802006C320100000000000E00000401120A100200080000030005E0D216读命令分析：一次读一条数据0.开始定界符(68H)1报文数据长度2.重复数据长度3.开始定界符(68H)4.目标地址，指该地址的值，就是PLC的地址5.本地地址，指该地址的指针，就是上位机自己的地址6.功能码，5CH为交替周期触发，6CH为首次信息周期触发，7CH为交替周期触发。7-16.目的服务存取点17-21.源服务存取点18位分析：01:位排列02:字节排列04:字排列06:双字排列22-30.数据单元31.校验码32.结束分界符（16H）报文数据长度和重复数据长度为自DA至DU的数据长度，校验码为DA至DU数据的和校验，只取其中的末字节值关于这个校验码的计算方法同上面说明。在读写PLC的变量数据中，读数据的功能码为6CH，写数据的功能码为7CH。对于一次读取一个数据，读命令都是33个字节。前面的0—21字节是相同的，为0123456789101112131415161718192021开始符长度开始符站号源地址功能码协议识别远程控制冗余识别协议数据单元参考参数长度数据长度04读05写排列格式681B1B6802006C320100000000000E00000401120A10读取PLC密码的指令：681B1B6802006C320100000000000E00000401120A100200080000030005E0D2162223242526272829303132读取长度数据个数存储器类型偏移量校验码结束符0200080000030005E0D216因为是PC上发的读PLC数据的命令，SA=00，DA=02，如果有多个站，DA要改成相应的站号。读命令中从DA到DU的长度为1B即27个字节。从22字节开始根据读取数据的类型、位置不同而不同。上表是读不同存储器命令的Byte22—32。字节2223242526272829303132功能读取长度数据个数存储器类型偏移量校验码结束符读Q0.10100010000820000006416读M0.00100010000830000006516读M0.10100010000830000016616读SMB34020001000005000001F916读VB1000200010001840003208B16读VW1000400010001840003208D16读VD1000600010001840003208F16读I0.50100010000810000056816读I0.70100010000810000076A16上表读命令的Byte22-32从表中我们可以得出以下结果：Byte22读取数据的长度01：1Bit02：1Byte04：1Word06：DoubleWordByte24数据个数,这里是01，一次读多个数据时见下面的说明。Byte26存储器类型，01：V存储器00：其它Byte27存储器类型04：S05：SM06：AI07：AQ1E:C81：I82：Q83：M84：V1F:TByte28,29,30存储器偏移量指针（存储器地址*8），如：VB100，存储器地址为100，偏移量指针为800,转换成16进制就是320H,则Byte28—29这三个字节就是：000320。Byte31校验和，前面已说到这是从(DA+SA+DSAP+SSAP+DU)Mod256。一次读多条数据对于一次读多个数据的情况，前21Byte与上面相似只是长度LD，LDr及Byte14不同：Byte14数据块占位字节，它指明数据块占用的字节数。与数据块数量有关，长度=4+数据块数*10,如：一条数据时为4+10=0E(H)；同时读M,V,Q三个不同的数据块时为4+3*10=22(H)。Byte22总是02即以Byte为单位。Byte24以字节为单位，连续读取的字节数。如读2个VD则Byte24=8Byte19---30按上述一次读一个数据的格式依次列出，Byte31---42另一类型的数据，也是按上述格式给出。以此类推，一次最多读取222个字节的数据。写命令分析：一次写一个DoubleWord类型的数据，写命令是40个字节，其余为38个字节。写一个DoubleWord类型的数据，前面的0—21字节为：0123456789101112131415161718192021开始符长度开始符站号源地址功能码6821216802007C320100000000000E00000401120A106823236802006C320100000000000E00000401120A10写一个其它类型的数据，前面的0—21字节为：（与上面比较，只是长度字节发生变化）6821216802006C320100000000000E00000401120A1022232425262728293031323334353637数据长度数据个数存储类型偏移量数据形式数据位数写入值校验码终止符01000100008200000000030001017916从22字节开始根据写入数据的值和位置不同而变化。上表是几个写命令的Byte22—40。字节22232425262728293031323334353637383940写入位置及值长度个数类型偏移量位数值、校验码、结束符M0.0=10100010000820000000003000101007116M0.0=00100010000830000000003000100007016M0.1=10100010000830000010003000101007216vb100=10020001000184000320000400081000AE16vb100=FF02000100018400032000040008FF009D16VW100=FFFF04000100018400032000040010FFFFA616VD100=FFFFFFFF06000100018400032000040020FFFF