摘 要：通过数据监视，分析的方法，找出了PPI协议的关键报文格式，可用于上位机、现场设备与S7-200 CPU之间通讯。
关键字：PLC ，PPI ，协议
1 前言
西门子S7-200 PLC之间或者PLC与PC之间通信有很多种方式:自由口，PPI方式，MPI方式，Profibus方式。使用自由口方式进行编程时，在上位机和PLC中都要编写数据通信程序。使用PPI协议进行通信时，PLC可以不用编程，而且可读写所有数据区，快捷方便。但是西门子公司没有公布PPI协议的格式。用户如果想使用PPI协议监控，必须购买其监控产品或第三方厂家的组态软件。这样给用户自主开发带来一定困难，特别是自行开发的现场设备就不能通过PPI协议接入PLC。其它通讯方式编程也存在编程复杂，需要购买软件和授权等局限性(1)。通过数据监视、分析的方法，我们找出了PPI协议的关键报文格式，可用于上位机、现场设备与S7-200 CPU之间通讯。
2 分析方法
西门子的Step 7 Micro/Win32 是用于S7-200系列PLC的开发工具，它使用PC机上的COM口通过一条PC/PPI编程电缆连到PLC的编程口上。这说明，PC实际上是可以通过串口同S7-200 CPU通讯。只是我们不知道通讯协议而已。通过截获PC机串口上的收发数据，对照Step 7软件发出的指令，我们就有可能分析出有关指令的报文和通讯方式；然后，直接通过串口向PLC发送报文，以验证这些指令报文是否正确。本着这一思想，我们采用以下步骤获得这些报文。
首先制作一个串口的分支器，COM1的RX、TX分别接到COM2的TX、RX，即交叉接线，使得COM1发的数据COM2能收到。PC/PPI编程电缆接在COM1上，这样，Step7 Micro/Win32发给PLC的报文就可以在COM2上接收了。我们按S7-200系统手册设置好两个串口，参数要一样，均为9600，8，偶校验，1位停止位。然后设置好Step7软件，使之能与S7-200 CPU正常通讯。从Step7软件中发出一个明确指令，COM2上的监视软件就能显示这条报文了（用16进制显示）。通过与Profibus标准的类比(2)我们就可以得到一些关键的报文了。这种方法比分析PLC中NETR，NETW指令要直接、全面(3)。
3 PPI协议分析
PC与PLC采用主从方式通讯，PC按如下的格式发读写指令，PLC作出接收正确的响应（返回应答数据E5H或F9H见下文分析），上位机接到此响应则发出确认命令（10 02 5C 5E 16），PLC再返回给上位机相应数据。
SD LE LEr SD DA SA FC DSAP SSAP DU FCS ED
SD:开始符（68H）
LE、Ler：长度（从DA到DU）
DA：目的地址
SA：源地址
FC：功能码 （6CH）
DSAP：目的服务存取点
SSAP：源服务存取点
DU：数据单元
FCS：校验和
ED：结束符（16H）
3.1 读命令分析
一次读一条数据
对于一次读取一个数据，读命令都是33个字节。前面的0—21字节是相同的，为 ：
68 1B 1B 68 02 00 6C 32 01 00 00 00 00 00 0E 00 00 04 01 12 0A 10
因为是PC上发的读PLC数据的命令，SA=00，DA=02，如果有多个站，DA要改成相应的站号。读命令中从DA到DU的长度为1B即27个字节。从22字节开始根据读取数据的类型、位置不同而不同。表一是读不同存储器命令的Byte22—32。
字节 |
22 |
23 |
24 |
25 |
26 |
27 |
28 |
29 |
30 |
31 |
32 |
功能 |
读取长度 |
数据个数 |
存储器类型 |
存储器偏移量指针 |
校验和 |
结束 |
读q0.0 |
01 |
00 |
01 |
00 |
00 |
82 |
00 |
00 |
00 |
64 |
16 |
读m0.0 |
01 |
00 |
01 |
00 |
00 |
83 |
00 |
00 |
00 |
65 |
16 |
读M0.1 |
01 |
00 |
01 |
00 |
00 |
83 |
00 |
00 |
01 |
66 |
16 |
读SMB34 |
02 |
00 |
01 |
00 |
00 |
05 |
00 |
01 |
10 |
F9 |
16 |
读VB100 |
02 |
00 |
01 |
00 |
01 |
84 |
00 |
03 |
20 |
8B |
16 |
读VW100 |
04 |
00 |
01 |
00 |
01 |
84 |
00 |
03 |
20 |
8D |
16 |
读vd100 |
06 |
00 |
01 |
00 |
01 |
84 |
00 |
03 |
20 |
8F |
16 |
读i0.5 |
01 |
00 |
01 |
00 |
00 |
81 |
00 |
00 |
05 |
68 |
16 |
读i0.7 |
01 |
00 |
01 |
00 |
00 |
81 |
00 |
00 |
07 |
6A |
16 |
表一 读命令的Byte22-32
从表中我们可以得出以下结果：
Byte 22 读取数据的长度
01：1 Bit 02：1 Byte 04：1 Word 06：Double Word
Byte 24数据个数
这里是01 ，一次读多个数据时见下面的说明。
Byte 26 存储器类型
01：V存储器 00：其它
Byte 27 存储器类型
04：S 05：SM 06：AI 07：AQ 1E: C 81：I 82：Q
83：M 84：V 1F: T
Byte 28,29,30存储器偏移量指针（存储器地址*8），如：VB100，存储器地址为100，偏移量指针为800,转换成16进制就是320H,则Byte 28—29这三个字节就是：00 03 20。
Byte 31 校验和，前面已说到这是从(DA+SA+DSAP+SSAP+DU) Mod 256 。
一次读多条数据
对于一次读多个数据的情况，前21Byte与上面相似只是长度LD，LDr及Byte 14不同：
Byte 14 数据块占位字节，它指明数据块占用的字节数。与数据块数量有关，长度=4+数据块数*10,如：一条数据时为4+10=0E(H)；同时读M,V,Q三个不同的数据块时为4+3*10=22(H)。
Byte 22 总是02 即以Byte为单位。
Byte 24 以字节为单位，连续读取的字节数。如读2个VD则Byte24=8
Byte 19---30 按上述一次读一个数据的格式依次列出，
Byte 31---42 另一类型的数据，也是按上述格式给出。
以此类推，一次最多读取222个字节的数据。
3.2 写命令分析
一次写一个Double Word类型的数据，写命令是40个字节，其余为38个字节。
写一个Double Word类型的数据，前面的0—21字节为 ：
68 23 23 68 02 00 6C 32 01 00 00 00 00 00 0E 00 00 04 01 12 0A 10