零基础玩转西门子PLC：C#手撕S7协议，打造工业数据采集神器

最新推荐文章于 2026-06-23 19:08:06 发布

原创最新推荐文章于 2026-06-23 19:08:06 发布 · 536 阅读

3 ·

本内容遵循CC 4.0 BY-SA版权协议

GEO检测

标签

#c# #开发语言 #上位机 #网络协议

在工业自动化领域，西门子PLC几乎占据了半壁江山。无论是产线数据采集、设备状态监控还是上位机系统开发，绕不开的核心话题就是S7通信协议。很多人习惯直接调用S7.Net、Sharp7等第三方库快速落地，但一旦遇到连接异常、数据错位或者性能瓶颈，往往无从下手。

本文将从协议底层原理出发，用C#原生Socket从零手撕S7协议，带你彻底搞懂每一个字节的含义，最终打造一套可直接用于生产环境的工业数据采集组件。全文兼顾零基础入门与深度原理拆解，看完你不仅能写出稳定的通信代码，更能具备独立排查现场问题的能力。

一、S7协议深度拆解：看懂每一层报文

很多人做了多年PLC通信，只知道连102端口、发指令读数据，却讲不清S7协议到底长什么样。要手撕协议，第一步必须把协议栈结构吃透。

1.1 协议家族与适用范围

S7协议是西门子专为SIMATIC S7系列PLC设计的应用层通信协议，主要分为两大分支：

S7Comm（协议标识0x32）：经典版本，适用于S7-200 SMART、S7-300、S7-400、S7-1200、S7-1500全系列，也是我们最常用的版本
S7CommPlus（协议标识0x72）：新一代加密协议，主要用于S7-1200/1500的高级功能，默认开启安全机制，逆向难度大

我们日常做数据采集，99%的场景使用的都是S7Comm协议，它基于ISO-on-TCP（RFC1006）标准，通过TCP 102端口传输。

1.2 四层协议栈结构

S7报文不是直接塞到TCP里发的，而是经过了四层封装，从外到内依次是：

TPKT层（4字节）：ISO-on-TCP的报文头，标识整个报文的总长度
COTP层（3+字节）：面向连接的传输协议，负责连接建立与数据传输
S7 Header（10字节）：S7协议固定头，包含协议标识、PDU类型、参数长度等
Parameter + Data：具体的功能参数与数据内容，读写指令都在这里

1.3 完整通信流程

一次成功的数据读取，背后要经历四个阶段：

TCP三次握手：建立基础Socket连接，目标端口102
COTP连接请求：发送CR报文，协商TSAP地址
S7通信建立：发送Setup Communication，协商PDU最大长度
业务数据交互：发送Read/Write指令，PLC返回响应数据

很多新手以为连上102端口就能发读写指令，结果PLC直接断开连接，就是因为跳过了中间两次握手。

二、PLC侧配置：90%的连接失败都出在这里

代码写得再完美，PLC侧配置不对也是白搭。这一步是现场调试最容易踩坑的环节，务必逐项核对。

2.1 基础网络设置

在博途中组态PLC，设置IP地址，确保与上位机在同一网段
下载硬件组态到PLC，Ping测试网络连通性
确认PLC未启用全局安全通信保护

2.2 开启PUT/GET通信权限

这是S7-1200/1500最关键的一步，也是最容易被忽略的一步。

选中CPU，打开属性面板
进入「防护与安全 → 连接机制」
勾选允许来自远程对象的PUT/GET通信访问

如果不勾选这个选项，PLC会直接拒绝所有外部S7连接请求，表现为Socket能连上，但一发握手报文就被断开。

2.3 DB块的正确创建方式

很多人读DB块全是0或者报错，问题出在DB块属性上：

创建全局DB块时，取消勾选“优化的块访问”
否则变量地址不是按偏移量排列的，无法通过绝对地址读取
下载DB块后，记录下DB号和变量的起始偏移地址

三、手撕核心：C#原生Socket实现S7通信

原理讲完，进入实战环节。我们完全不依赖任何第三方库，只用System.Net.Sockets原生类，一步步实现完整的S7通信。

3.1 整体架构设计

我们先把通信类的骨架搭起来，分为连接管理、报文构造、报文解析、数据转换四大模块。

3.2 第一步：建立TCP连接

S7协议固定使用102端口，先创建Socket并建立基础连接。

private Socket _socket;
private readonly string _ip;
private readonly int _port = 102;

public bool Connect()
{
    try
    {
        _socket = new Socket(AddressFamily.InterNetwork, SocketType.Stream, ProtocolType.Tcp);
        _socket.ReceiveTimeout = 3000;
        _socket.SendTimeout = 3000;
        _socket.Connect(_ip, _port);
        
        // 连接成功后，立即执行两次握手
        if (!CotpHandshake()) return false;
        if (!S7SetupCommunication()) return false;
        
        return true;
    }
    catch
    {
        _socket?.Close();
        return false;
    }
}

3.3 第二步：COTP握手

TCP连接建立后，第一步要发送COTP连接请求（CR报文）。这里最核心的是TSAP地址的计算，它由机架号和槽号决定。

对于S7-1200/1500，常用机架0槽1，TSAP计算方式：

本地TSAP：0x0100
远程TSAP：0x0300 + Rack * 0x20 + Slot

private byte[] BuildCotpConnectRequest()
{
    // 标准COTP连接请求报文，共22字节
    return new byte[]
    {
        0x03, 0x00, 0x00, 0x16, // TPKT: 版本+保留+总长度
        0x11, 0xE0, 0x00, 0x00, // COTP: 长度+CR类型+目的引用+源引用
        0x00, 0x01, 0x00, 0xC1, // 类别选项+源TSAP标识
        0x02, 0x01, 0x00, 0xC2, // 源TSAP长度+值 + 目的TSAP标识
        0x02, 0x01, 0x02, 0xC0, // 目的TSAP长度+值(机架0槽1) + PDU大小标识
        0x01, 0x09              // PDU大小: 2^9=512字节
    };
}

发送报文后接收响应，如果响应报文第5字节是0xD0（CC连接确认），说明COTP握手成功。

3.4 第三步：S7通信建立

COTP握手成功后，发送Setup Communication指令，协商PDU最大长度。这一步是S7协议层面的握手。

private byte[] BuildS7SetupRequest()
{
    return new byte[]
    {
        0x03, 0x00, 0x00, 0x1F, // TPKT头
        0x02, 0xF0, 0x80,       // COTP数据头
        0x32, 0x01, 0x00, 0x00, // S7头: 协议ID+Job类型+冗余
        0x00, 0x00, 0x08, 0x00, // PDU引用+参数长度
        0x00, 0x00, 0xF0, 0x00, // 数据长度+保留
        0x00, 0x01, 0x00, 0x01, // 功能码: Setup Communication
        0x01, 0xE0              // 协商PDU长度: 480字节
    };
}

PLC返回ACK_DATA响应，提取其中协商好的PDU长度，后续批量读写不能超过这个长度。

3.5 第四步：读取DB块数据

两次握手全部完成后，就可以正式读写数据了。读数据使用功能码0x04（Read Var）。

构造读请求报文时，需要指定：

存储区类型：0x84代表DB块
DB块编号
起始地址（按位计算，所以字节地址要乘以8）
读取长度

public byte[] ReadBytes(int dbNumber, int startAddress, int count)
{
    byte[] request = BuildReadRequest(dbNumber, startAddress, count);
    _socket.Send(request);
    
    byte[] header = new byte[4];
    _socket.Receive(header, 4, SocketFlags.None);
    
    int totalLen = (header[2] << 8) | header[3];
    byte[] response = new byte[totalLen - 4];
    _socket.Receive(response, totalLen - 4, SocketFlags.None);
    
    return ParseReadResponse(response);
}

解析响应时，先判断返回码：0xFF表示成功，其他值均为错误码。成功后从指定偏移位置提取有效数据字节。

3.6 数据类型转换

读回来的是原始字节数组，需要转换成PLC对应的数据类型。这里列出最常用的几种转换：

// 读取Int16 (Word)
public short ReadInt16(int db, int start)
{
    byte[] data = ReadBytes(db, start, 2);
    return (short)((data[0] << 8) | data[1]);
}

// 读取Float (Real)
public float ReadReal(int db, int start)
{
    byte[] data = ReadBytes(db, start, 4);
    // 西门子是大端序，需要反转字节
    byte[] temp = new byte[4];
    temp[0] = data[3]; temp[1] = data[2];
    temp[2] = data[1]; temp[3] = data[0];
    return BitConverter.ToSingle(temp, 0);
}

// 读取Bool位
public bool ReadBool(int db, int byteAddr, int bitAddr)
{
    byte[] data = ReadBytes(db, byteAddr, 1);
    return (data[0] & (1 << bitAddr)) != 0;
}