SIEMENS西门子 3VA1 IEC断路器 3VA1 196-6ED32-0AA0

          使用 hmi 安全通信 在 tia portalv17 及以上版本中，如果 cpu 和 hmi 设备均满足 hmi 安全通信要求，则可使用 这种通信方式。 要使用 hmi安全通信，hmi 设备可在建立通信连接时通过 cpu 发送的 plc 通信证书对该 cpu 进行身份验证，确定该cpu“可信”。仅当满足以上条件时，才能进行 hmi 安全通信。 在本章节中，将介绍各 hmi 设备将 plc通信证书手动标记为“可信”的具体措施。要求 • cpu 和 hmi 设备支持 hmi 安全通信。 • 当前项目位于 cpu 中（tiaportal v17 及更高版本）。 组态 hmi 安全通信 1. 组态 hmi 设备的报警视图。 说明如果报警视图缺失，则无法设备连接错误。 2. 组态 cpu 中所需的安全设置。选择 plc 通信证书，保护 hmi 连接安全；或通过tia portal 生成一个 plc 通信证书。 3. 组态 cpu 与 hmi 设备间的 hmi 连接。 4. 将项目下载到cpu 和 hmi 设备中。在项目传送过程中，系统将 plc 通信证书传送到 cpu 和 hmi 设备中。必要时，还将传输ca（证书颁发机构）证书。 将 plc 通信证书设置为可信 连接建立时，cpu 将该 plc 通信证书传送到 hmi 设备中。 •如果该 plc 通信证书在 hmi 设备中的状态已标记为“可信”，则 cpu 与 hmi 设备间将自动建 立一条 hmi 安全通信。• 如果该 plc 通信证书在 hmi 设备中的未标记为“可信”，则在 hmi 设备的报警视图中将显示 一条消息指示该 cpu不可信，并提供一个错误代码。 此时，需在 hmi 设备上将该 plc 通信证书标记为“可信”。 根据 hmi设备类型，执行以下操作步骤。 第二代精简面板 1. 在 start center 中，选择“settings >internet settings > certificate store”。 2. 在“availablecertificates in device”列表中，选择该 cpu 的 plc 通信证书。 3. 按下“trust”。 4.重新启动 hmi 运行系统软件。 unified 系列精智面板 1. 打开“控制面板”(control panel)。 2.选择“security > certificates”。 3. 在“certificatestore”选择列表中，选择条目“other certificates”。 4. 在“othercertificates”列表中，选择该 cpu 的 plc 通信证书。 5. 按下“trust”。 6. 重新启动 hmi运行系统软件。但 cpu 可使用制造商的设备证书（如果有），或使用自签名的证书建立连接。在该阶段中， 此 cpu仅能有限范围内使用。在此阶段中，cpu 将等待基于密码的密钥信息。即，保护机密 plc组态数据的密码。此阶段下称配置阶段。诊断缓冲区中的消息指示 cpu 处于配置阶段。 项目下载到 cpu 中后，cpu 会接收项目数据：• 硬件配置，包括用于安全通信（opc ua、https、安全 ouc、pg/hmi 间安全通信）的已 组态证书 •用户程序调试期间可能存在的安全风险 在调试过程中，cpu 提供制造商的设备证书（如果有）或自签名证书，必须信任该证书才能建立连接。仅当编程设备与 cpu 处于受保护网络、并彼此直接相连时，才会信任此证书。在不受保护的环境中，这些证书可能被操纵，允许攻击者访问编程设备/hmi 与 cpu 之间的通信 （例如通过中间人攻击）。 配置阶段结束tia portal 不会在项目中存储机密 plc 组态数据的密码本身或通过密码生成的密钥信息。因此，首次下载项目或下载新项目时，会在对话框中请求输入密码，并将该密码作为密钥信息 传送到 cpu。只有在执行此步骤之后，cpu才能使用受保护的 plc 组态数据 - 这样便可完成配 置阶段，cpu 才能开始运行。 如果未使用密码保护机密 plc组态数据，则首次下载 cpu 时无需输入密码。此时，对 pg/hmi 数据通信无影响；但需注意，机密的 plc组态数据（如，私钥）几乎无任何保护，无法防止未 经授权的访问。 pg/hmi 通信启动 当 cpu 已下载并收到用于 pg/hmi间安全通信的 cpu 证书后，编程设备将再次连接 - 此时基于 下载的 ca 证书。

            精智面板，第二代移动面板 1.通过 windows ce 桌面图标“my device”，打开文件管理器。 2.浏览到目录“\flash\simatic\systemroot\oms\untrusted”。该 cpu 的 plc 通信证书位于该目录中。 3. 将该 cpu 的 plc通信证书复制到目录“\flash\simatic\systemroot\oms\trusted”中。 4. 重新启动 hmi运行系统软件。 如果该 plc 通信证书在 hmi 设备中的状态已标记为“可信”，则可建立 hmi 安全通信。更多信 息，请参见hmi 设备的操作说明。在 tia portal 中使用传统的 pg/pc 通信 在 tia portal v17及以上版本中，tia portal 支持与 s7‑1200/s7‑1500 cpu 固件版本 v4.5/v2.9及以上版本自动进行“安全”通信。即，连接伙伴自动将各自的连接机制设置为所支持的高安 全连接方式。仅在特定条件下（参见“兼容性相关信息 (页 91)”），才会回退为原 pg/pc 通信方式，即“传统 的 pg/pc 通信”。 如果cpu 的通信性能较差，而高安全性会影响该 cpu 传输速率。此时可能无需采用较高安全 性。 要求 • cpu 间未建立在线连接。 •如果对 cpu 进行在线访问，则需禁用“仅支持 pg/pc 和 hmi 安全通信”(only permit secure pg/pcand hmi communication) 选项（“连接机制”(connection mechanisms) 区域中的 cpu参数）。 • 通信伙伴位于受保护环境中，如调试阶段。 设置传统的 pg/pc 通信 1. 在“在线”(online)菜单中，选择命令“仅使用传统的 pg/pc 通信”(use only legacy pg/pc communication)。 2.选择该菜单命令前的复选框。 结果：tia portal v17 以下版本均建立在线连接。在会话期间，该设置始终有效。项目打开时，“仅使用传统的 pg/pc 通信”(use only·legacy pg/pccommunication) 选项未设置。 启用“仅使用传统的 pg/pc 通信”(use only·legacy pg/pccommunication) 选项时的特性 • cpu 中保护机密 plc组态数据的密码无法在线指定、修改或删除。需要禁用“仅使用传统的 pg/pc 通信”(use only·legacy pg/pccommunication) 选项才能使用上述功能。 • 设置为仅支持 pg/pc 和 hmi 安全通信的 cpu无法在线访问。兼容性相关信息 下文中介绍了不同 tia portal 版本与不同 cpu 固件版本间的相互关系以及对 pg/hmi连接类型 的影响。 使用 tia portal v17 以下版本创建的项目 例如，如果使用 tia portal v16 创建适用于s7-1500 cpu（例如，版本 v2.8）的项目，也可以 将使用 tia portal v17 实现的相应组态下载到s7-1500 cpu v2.9 中，例如，在备件方案中 - 与 s7-1500 cpu v2.8 上的组态具有相同的行为。 对于使用tia portal v17 以下版本创建并传送到存储卡的项目，在 s7-1500 cpu v2.9 中也可 以正常运行。 但是，使用tia portal v17 及以上版本打开项目，通过更换设备来更新 cpu 的固件版本，并借 此将其保存为固件版本为v2.9 及以上版本的 cpu 后，就会立即应用保护机密 plc 组态数据的 概念（参见“有关保护机密plc 组态数据的实用信息 (页 60)”）。不可再使用低于 tia portal v17 的版本编辑该项目。 pg/hmi和 cpu 的连接方式不同 如前几节所述，在 v17 及以上版本中，pg/hmi 设备与 cpu（新版本）之间的安全 pg/hmi连接的优势在于采用标准化通信程序 tls（传输层安全）。 可以选择将 v2.9 cpu 连接到装有 tia portal v17或更高版本的新编程设备，此外，还可以 连接到装有早期运行系统版本的 hmi 设备：设备会相应地自动调整其连接机制。为了能够更好地区分这两种连接机制，我们将先前的程序为“传统方式”（基于 s7 通信的升级版）。 概括地说（此处“pg”代表装有 tiaportal 的编程设备）： • pg/hmi 和 cpu 随 v17（或后续版本）提供：使用 tls 程序。 • pg/hmi的版本为旧版本 (< v17)：使用传统方式 - 前提是已取消激活 cpu 属性中的选项“仅 允许 pg/pc 和 hmi间安全通信”(only allow secure pg/pc and hmi communication)。 • cpu 随v17（或更高版本）提供，连接的多个 pg/hmi 来自 v17（或更高版本）和以前的 版本：使用 tls + 传统方式 -前提是已取消激活 cpu 属性中的选项“仅允许 pg/pc 和 hmi 间 安全通信”(only allow secure pg/pcand hmi communication)。 当 cpu 状态改变时 如果 cpu 状态因 pg/hmi间安全通信相关事件而发生改变，则诊断缓冲区会向用户提供相关信 息。 示例： • 成功下载包含已组态密码的组态后，诊断缓冲区将报告cpu 正在从配置阶段切换为安全模 式（tls 程序）。 • 已将装有 tia portal v17 的 pg 连接到 cpuv2.9。若“在线”(online) 菜单中禁用“仅使用传统 的 pg/pc 通信”，将自动建立 pg/hmi 间安全通信（tls程序）。