企业官网建设流程全解析

干过几年电气自动化的人，应该都有这种感觉：手上设备一多，通信就成了最头疼的环节。西门子PLC本身有现成的Modbus库，拖两个功能块出来就能跑，MBUS_CTRL加MBUS_MSG配上就完事了，可真到现场遇到数据对不上、从站隔三差五掉线、或者要对接一个说明书写得含糊的非标仪表时，不懂协议和报文解析，就只能干瞪眼。自由口通信（Freeport）是西门子PLC串口最底层的收发能力，等于把串口完全交给你自己控制，报文自己拼、CRC自己算、响应自己解析。这篇文章我就以S7-200 SMART为例，把自由口通信从零拆开，手动实现Modbus RTU协议解析与报文处理，涵盖主站轮询、从站响应、CRC校验、异常帧处理这些完整环节。

如果你只是想在项目里“能用就行”，那直接用官方库最快。但如果你想知道库在后台到底干了什么，为什么第一次通信会卡住，为什么从站地址明明写对了却读不到数据，为什么变频器偶尔不响应，那你需要的就是这篇文章里的东西。我尽量不绕弯子，把能落地到寄存器和梯形图上的经验全部写出来。

1. 为什么放着现成库不用，非要手写Modbus RTU

1.1 现成库能省事，但也会让人变成“盲开”

S7-200 SMART自带的库函数里，MBUS_CTRL负责初始化通信参数，MBUS_MSG负责具体的读写请求。设置好使能、波特率、从站地址和数据指针，读写保持寄存器、线圈就都有了。S7-1200/1500也有类似的Modbus库，拖进去填参数就能工作。这确实是西门子给用户的福利，尤其做前期验证的时候，能省下大量时间，这点必须承认。

但依赖库有个很现实的问题：库内部封装了全部逻辑，你看到的只有一堆使能位和数据指针。一旦遇到特殊场景，比如有的仪表要求从站地址不从0开始，有的设备3.5字符间隔要求特别严格，有的上位机请求了库不支持的扩展功能码，这时候库函数就改不动了，出错连排查入口都找不到。它像个黑盒，省心，但也会限制你的思路。我见过不少同行，Modbus库用了好几年，连一帧报文长什么样都说不清楚，出了问题只能复位重启，这是很被动的。

1.2 手写协议，赚到的不只是“省一个授权”

手动实现Modbus RTU，表面上是把发送和接收都控制在手里，实际上真正收获的是三样东西：

第一，对帧格式的深度记忆。地址、功能码、数据区、CRC这几个字节各是什么作用，手写一遍比背一百遍文档都记得牢。第二，对错误细节的敏感度。像CRC高低字节顺序、寄存器地址偏移、3.5字符间隔这类细节，踩过一次坑就再也不会忘。第三，迁移能力。理解了协议本质之后，换到任何一台PLC、单片机、上位机，你都能自己写，不会被某个品牌或者某个库绑死。

我常拿开车打比方：库是自动挡，手写就是手动挡。自动挡方便，但真到了泥地、陡坡、长下坡，你得懂手动挡的原理才能应付突发状况。工业现场就是“越野”现场，手写协议这套能力，关键时刻非常值钱。

2. 自由口通信底层配置：把串口完全交给你自己

2.1 SMB30寄存器，打开自由口的大门

S7-200 SMART的端口0和端口1，在默认情况下跑的是PPI协议，也就是编程电缆和上位机组态软件用的那种协议。想要自由收发，就必须修改SMB30（对应端口0）和SMB130（对应端口1）这两个特殊寄存器。

这里必须逐位拆开来看。SM30.0和SM30.1负责校验选择，00表示无校验，01表示偶校验，10表示奇校验；SM30.2决定数据位，0是8位，1是7位；SM30.3和SM30.4负责波特率，00是38400，01是19200，10是9600，11是4800；SM30.5和SM30.6负责协议选择，01是自由口模式；SM30.7为1时启用自由口模式。

以最常用的9600、8位数据、无校验、1位停止位为例，配置字就是SMB30 = 16#09。拆开来看，SM30.0为1、SM30.1为0，无校验；SM30.2为0，8位数据；SM30.3为0、SM30.4为1，9600波特率；SM30.5为0、SM30.6为1，自由口协议；SM30.7为1，启用自由口。组合起来是00001001，也就是16#09。一位一位对上去，怎么算都不会错。

这里有个新手必踩的坑：SMB30一旦设为自由口模式，PPI通信就失效了，编程软件可能直接掉线。这时候不要慌，把PLC断电重启，或者通过网口恢复连接，把程序里的SMB30改回来再下载。我自己第一次调试时，设置完SMB30之后编程线立刻断连，还以为是PLC烧了，后来才知道是协议切换导致的。

2.2 XMT和RCV：自己拼报文、自己收报文

自由口模式下，发送数据用XMT指令，接收数据用RCV指令。这两条指令的核心不是“发”和“收”本身，而是缓冲区管理。

XMT的发送缓冲区，第一个字节必须是待发送数据的长度，从第二个字节开始才是真正的报文内容。比如要发送“01 03 00 00 00 01”这么一帧读请求，缓冲区就必须是：VB100存放长度6，VB101存01，VB102存03，VB103存00，VB104存00，VB105存00，VB106存01。XMT指令执行后，发送完成会自动触发中断事件9（端口0），程序可以在中断里做后续处理。

RCV指令比XMT讲究得多。它也需要一个缓冲区，第一个字节是最大接收长度，同时还要配合SMB87等控制寄存器来决定“什么时候开始收、什么时候结束收”。我常用的配置是：

• SM87.6 = 1，允许接收
• SM87.5 = 1，使用空闲线检测作为接收结束方式
• SM87.3 = 1，使用定时器超时作为附加结束条件
• SM89，空闲线超时时间
• SM94，最大字符间隔时间

这样设置之后，总线上安静超过一定时间，RCV就认为一帧数据接收完毕，触发中断事件23（端口0接收完成）。如果接收过程中出错，会触发中断事件24。这个机制相当于给PLC装了一个“自动判断报文边界”的大脑，Modbus RTU正是靠“3.5个字符时间间隔”来切分帧的，RCV的定时器正好能实现这个效果。

3. Modbus RTU报文结构拆解：地址、功能码、数据、CRC

3.1 RTU一帧的四个部分

Modbus RTU协议本身并不复杂，一帧报文就是四段：

从站地址（1字节）+ 功能码（1字节）+ 数据区（N字节）+ CRC16校验（2字节）

从站地址用来指定通信对象，1到247是有效范围，0是广播地址。功能码告诉从站“你要干什么”，比如03是读保持寄存器，06是写单个寄存器。数据区根据不同功能码有不同含义，可能是寄存器起始地址，也可能是寄存器数量或具体写入值。最后两个字节是CRC16校验码，用来验证整个报文在传输过程中是否发生错误。

拿最经典的读保持寄存器请求举例：

01 03 00 00 00 02 C4 0B

这帧的意思是从站地址为1、功能码为03、起始寄存器地址为0x0000、读取2个寄存器。C4 0B是前面的所有字节经过CRC计算得到的结果。从站的正常响应格式是：

01 03 04 00 00 00 64 87 32

这个响应里，01是从站地址，03是功能码，04表示后面有4个数据字节，00 00是第一个寄存器的值，00 64是第二个寄存器的值，87 32是CRC校验。

3.2 地址偏移和字节序，最容易搞混的两个点

实际项目里，通讯对不上，十有八九是栽在这两个细节上。

第一个是地址偏移。很多仪表和设备说明书上写的是“40001”“40002”这种PLC风格地址，对应到Modbus协议地址却是0x0000、0x0001。换算关系是协议地址 = PLC地址 - 40001。比如说明书写“频率设定地址40002”，那Modbus请求里的起始地址就是0x0001，也就是00 01。如果直接填40002，转成16进制是9C42，请求发出去，从站根本不知道你要干什么。

第二个是字节序。Modbus标准规定寄存器数据是多字节时按大端传输，也就是高字节在前、低字节在后。西门子PLC的V存储区本身也是高字节在前，所以MOVW指令搬数据时一般不用额外交换字节，但如果你从串口调试助手里手工拼接数据，就一定要按高字节在前、低字节在后的顺序来填。

3.3 CRC16的算法，一步一步推给你看

CRC16是Modbus RTU协议里最核心的校验算法，也是新手最容易写错的地方。标准Modbus CRC16的特征是：

• 多项式采用0xA001（反转后的形式）
• 16位CRC寄存器初值为0xFFFF
• 帧字节先与CRC寄存器低字节异或，再右移8次
• 发送时CRC低字节在前、高字节在后

算法步骤用文字描述就是：CRC寄存器初始化为0xFFFF；取报文第一个字节与CRC寄存器低八位异或，结果放回CRC寄存器；CRC寄存器右移1位，最高位补0，如果移出的那一位是1，就把CRC寄存器与0xA001异或；重复右移8次；处理下一个报文字节，重复上面的过程；所有字节处理完后，CRC寄存器里的值就是校验码。

我用C语言写了一份非常简洁的实现，方便大家理解算法内核：

uint16_t crc16_modbus(uint8_t *buf, uint16_t len) { uint16_t crc = 0xFFFF; for (uint16_t i = 0; i < len; i++) { crc ^= buf[i]; for (uint8_t j = 0; j < 8; j++) { if (crc & 0x0001) crc = (crc >> 1) ^ 0xA001; else crc >>= 1; } } return crc; }

这段代码在电脑上直接就能验证，拿“01 03 00 00 00 02”喂进去，算出来的CRC应该是C4 0B。理解它之后再转成梯形图或STL就顺了。我自己在PLC里实现时用的是循环移位指令配合FOR循环，虽然比查表法慢一点，但占用存储空间小，程序也直观。

这里必须提醒一句：发送报文时，CRC低字节在前、高字节在后。也就是上面例子中，C4先发送，0B后发送。很多人算法写对了，但高低字节顺序搞反了，主站依然报CRC错误，这个细节特别容易被忽略。

4. 主站实现：一台PLC轮询32台变频器的调度逻辑

4.1 能不能一台PLC带32台变频器？可以，但要算好时间

先回答很多人在问的问题：一个西门子PLC与32个变频器走Modbus RTU通讯，控制是否可行？答案是可行的，前提是接受轮询机制。

以9600波特率为例，一帧读请求也就8个字节，正常响应大概7到9个字节，加上帧间隔和PLC处理时间，完成一台设备的一次读写约需20毫秒。32台变频器，每台读2个参数、写2个参数，共128次通信，总轮询周期大约是2.56秒。对恒压供水、风机水泵这类工况，2秒多刷新一轮完全够用。如果觉得太慢，可以只轮询关键参数，或者把波特率提到19200，轮询周期能再压缩一半。

调度逻辑的核心是一个轮询指针。我会先在V区定义一张从站地址表，比如VB1000到VB1032按顺序存32台变频器的地址，然后在主循环里用一个整型指针指向当前要通信的从站。注意，从站地址和指针序号不要混在一起，地址是设备在总线上的ID，指针是程序内部扫描到哪一台的标记。

增删设备时只需要改地址表，不用动程序结构，这也是老工程师推荐的做法。

4.2 通信状态机：发送、等待、接收、解析

自由口通信不能像库函数那样一条指令全搞定，必须自己管理通信状态。我习惯用四个状态值来描述当前通信流程：

• 0：空闲，准备发送下一帧
• 1：等待响应
• 2：接收完成，进入解析处理
• 3：超时或出错，准备重试

主程序里每个扫描周期都检查这个状态字，根据状态执行不同动作。状态0时，如果轮询使能位置位，就组装请求帧并触发XMT，同时把状态改为1，并启动一个超时定时器。状态1时，如果接收完成中断把状态改为2，就进入解析；如果超时定时器到了还没收到响应，就把状态改为3。状态2里做CRC校验、从站地址匹配、功能码和数据解析，最后把轮询指针加1，回到状态0，开始下一台设备的通信。

状态3是通信故障处理，重试次数加1。如果重试还没到3次，就重新发送当前帧；如果已经3次都没响应，就把这台设备标记为通信故障，然后强制跳到下一台。这个机制可以避免因为某一台设备故障导致整个总线卡死。

4.3 发送缓冲区的构建，推荐逐字节填充

构建一帧完整的读保持寄存器请求，我强烈建议逐字节填充，而不是用MOVW一次搞定。原因很简单：显式、不易错、改动方便。以读保持寄存器功能码03为例，请求帧布局如下：

• VB101：从站地址，从轮询地址表里读取
• VB102：功能码，03
• VB103：起始地址高字节
• VB104：起始地址低字节
• VB105：寄存器数量高字节
• VB106：寄存器数量低字节
• VB107、VB108：CRC16校验，低字节在前
• VB100：发送长度，固定填8

填充完前6个字节后，调用CRC子程序计算VB101到VB106的校验值，将结果低字节放到VB107，高字节放到VB108，然后再执行XMT指令。这样拼帧的好处是，任何一个字段对不上，直接看V区就能定位，不用猜。

这里说一下S7-200 SMART的VW数据格式。VW103高字节在VB103、低字节在VB104，而Modbus协议也要求高字节在前，所以用MOVW指令传起始地址其实也不会错，但逐字节填充对所有基础水平的同行都更友好，所以我个人一直推荐这种写法。

4.4 响应解析，数据校验一个都不能少

收到从站响应后，解析顺序非常重要。我建议按这个顺序执行：

1. 先校验CRC。把接收到的所有数据重新跑一遍CRC算法，和帧尾的2个CRC字节比较，不一致直接丢弃整帧，不进入下一步。
2. 再核对从站地址。首字节必须等于本次请求的从站地址，否则丢弃。
3. 检查功能码最高位。如果功能码最高位是1，说明从站返回的是异常帧，第二个字节就是异常码，要记录并报错。
4. 最后才是数据解析。根据功能码类型，从数据区提取寄存器值，写入PLC对应的V区。

这个顺序不能乱。尤其CRC校验必须放在最前面，因为现场环境里总线上干扰是客观存在的，地址码和功能码即使看起来正确，数据位也可能已经发生了跳变。如果省掉CRC直接解析数据，轻则数据抖动，重则误动作。

5. 从站实现：让PLC响应外部主站请求

5.1 接收完成中断里的处理逻辑

PLC作为Modbus从站时，逻辑和主站不太一样。它不需要主动发数据，而是在接收完成中断里解析请求，然后把响应帧发回去。

接收完成的判断顺序是：先看SMB86接收状态字，如果错误位置位，就说明这一帧接收有问题，直接丢弃并重新准备接收；然后判断接收数据首字节是否等于本站地址，不匹配就直接扔掉，避免响应别人的请求；匹配之后再解析功能码，分派给对应的处理流程。

这里有个非常容易踩的坑：RCV指令是“一次性”的，接收完成后必须重新再调用一次RCV，否则下一帧数据来了根本没地方放，通信就静默了。很多初学自由口的人收到的只是第一帧，原因就在这里。正确的做法是在接收完成中断程序里，先做解析和响应，然后马上重新执行RCV指令。

5.2 功能码解析与响应帧构建

对于大部分项目，作为从站时至少要实现03读保持寄存器和06写单个寄存器，这两个是最常用的。

处理03功能码时，先从请求帧里解析出起始地址和寄存器数量，然后把PLC对应V区的数据取出来，按高字节在前、低字节在后的顺序放入响应帧。响应帧结构是：从站地址、功能码03、数据字节数、若干数据字节、CRC。数据字节数等于寄存器数量乘以2。

处理06功能码时，解析请求帧里的寄存器地址和要写入的值，写入PLC对应的V区，然后把整帧请求原样回显给主站，作为写成功的确认。很多仪表和触摸屏就是用这个回显来判断写操作是否成功的。

对于主站请求了不存在地址或者非法参数的情况，从站应该返回异常响应帧，格式是从站地址、功能码或上0x80、异常码、CRC。常用异常码有01非法功能、02非法数据地址、03非法数据值。千万不要不响应，否则主站只能傻等超时，通信可靠性会大打折扣。

6. 实操中的坑：接线、调试、干扰、稳定

6.1 通信不上，先别怀疑程序

很多人在现场遇到Modbus通信不上，第一反应是程序写错了，其实物理层出问题的概率非常高。RS485的A、B端子接反是最常见的问题，调试助手上完全收不到任何数据。其次是终端电阻，长线缆传输时必须在总线两端并联120欧终端电阻，否则信号反射会造成偶发的乱码。第三是共地问题，RS485虽然是差分信号，但多个设备之间最好还是保证参考地一致，必要时在某个节点做单点接地。

还有一点，屏蔽层一定要单端接地，不要两端都接，否则屏蔽层会形成地环路，反而引入更多干扰。

6.2 串口调试助手是排障神器

调试自由口通信，我最推荐的方式是用电脑串口调试助手先单独测PLC。先把PLC配置成从站，用调试助手做主站发一帧标准请求，比如“01 03 00 00 00 01”，然后看PLC能不能正常回帧。这样能把问题分阶段定位：

• 发出去PLC没反应，大概率是自由口配置或RCV逻辑有问题
• PLC有反应但回帧内容不对，大概率是CRC计算或响应构建有误
• 回帧正确但上位机还是报错，大概率是字节序或地址偏移问题

这种分段排查法，能让你在现场快速锁定问题，不慌不乱。我自己在做项目时，基本都是先用调试助手把PLC侧调通，再带上变频器联调，省去大量瞎猜的时间。

6.3 变频器说明书上的地址，别直接填

变频器说明书里写的“参数地址2000H”，一般指的是Modbus保持寄存器的映射地址，对应协议地址就是0x2000，换算成PLC地址就是40001加0x2000，也就是49153。别直接把0x2000当成请求里的地址发出去，有的设备支持、有的不支持，先查清楚再填。

寄存器类型也容易混。Modbus寄存器分四种：线圈（0xxxx）、离散输入（1xxxx）、输入寄存器（3xxxx）、保持寄存器（4xxxx）。读写入口寄存器用04功能码，读写保持寄存器用03和06功能码，别以为所有参数都能用03读、06写，这个区分越早搞清楚越省事。

6.4 干扰导致偶发掉线，怎么破

现场偶发掉线、一两个小时内出现一次通信错误，是最难排查的。我遇到过的情况，多半是通信电缆和动力电缆走在了同一个线槽里，或者屏蔽层两端都接地了，个别时候是波特率设置太高导致的。解决思路是：

• 通信线用屏蔽双绞线，单独走线槽，远离变频器进出线和动力电缆
• 屏蔽层选择靠近PLC的一端单点接地
• 波特率不是越高越好，9600在抗干扰方面明显优于19200以上
• 程序里做好超时重试和故障标记，避免单次干扰导致设备一直停摆

最后再分享一个很实用的小技巧：在从站程序中，收到一帧请求后，先校验CRC再审功能码，再回响应，这个顺序一定不要颠倒。很多从站程序图省事，先回帧后校CRC，结果把坏数据也当有效数据回给了主站，主站那边就会偶尔拿到一个乱值。做协议解析，顺序就是一种态度，顺序对了，稳定性自然就上来了。