简介《GE 90-30系列modbusTCP通讯手册》是一份面向工业自动化工程师、PLC程序员及现场调试人员的专业文档系统讲解了90-30系列控制器通过ModbusTCP协议与远程设备通信的实现方法。整份资源为单个docx文件容量2.51MB便于检索与标记。已有495人学习使用。手册围绕通信请求的完整链路展开详细介绍了COMMREQ功能块、命令块结构、通道命令、LAN接口状态位及CRS状态字等核心概念并结合“打开Modbus/TCP客户端连接”等通道命令给出数据格式与操作流程。通过阅读读者能够搭建以太网接口与PLC之间的数据交互逻辑理解WAIT/NOWAIT标志、SYSID参数、块移动指令等实操细节掌握状态位联锁与故障输出的安全使用方式从而提升ModbusTCP通信程序设计的可靠性与排错能力。1. 拿到GE 90-30系列Modbus TCP通讯手册后先看这几页再动手很多工程师第一次接触GE 90-30系列时习惯性先翻Modbus TCP的报文格式和功能码定义结果卡在最前面90-30的CPU本体并没有以太网口Modbus TCP通讯靠的是以太网模块CMM321。手册里的通讯配置、寄存器映射、COMMREQ命令块全都要围绕这个模块展开没搞清硬件架构后面全是空转。这篇内容适合两类人一类是把90-30作为Modbus TCP从站服务器给上位机、触摸屏或第三方PLC提供数据另一类是通过GE自家的指令发请求去读别家设备。前者的配置路径在MEProficy Machine Edition里完成后者需要动手写COMMREQ命令块。我把配置步骤、参数表、代码和排错顺序一次讲清按这套顺序做能把半小时起步的联调压缩到几分钟。2. 90-30系列Modbus TCP通讯的硬件选型与协议边界2.1 为什么必须用CMM321模块CPU自身串口不行的原因90-30系列的CPU本体如CPU 331/341/351等自带的是RS-232或RS-485串口固件里维护的是GE的SNP/SNPX协议不是Modbus RTU。串口上跑Modbus RTU需要额外的协议转换模块如IC693CMM311曾支持串口Modbus或外接协议网关。而Modbus TCP走以太网90-30背板上只有CMM321IC693CMM321这一个以太网通讯模块支持Modbus TCP从站功能下一个级别是PACSystems RX3i的Ethernet模块如IC695ETM001。CMM321是必选项不是可选项。选型时注意CMM321的版本差异早期CMM321的固件在Modbus从站映射数量上有上限部分老固件在连续读写超过125个寄存器时会异常。如果你要做大块连续数据区交互优先找GE支持确认固件版本或把数据拆成多个数据块映射每个块不超过125个寄存器。Modbus TCP单帧读取125个寄存器的限制不是GE定的是Modbus协议标准定的无论你对面是西门子、罗克韦尔还是国产触摸屏都卡这个数。2.2 Modbus TCPMBAP和SNP协议在报文层面的本质区别Modbus TCP在TCP/IP之上占用的502端口报文结构是MBAP头加PDU。MBAP头固定7个字节事务处理标识符2字节、协议标识符2字节恒为0x0000、长度2字节、单元标识符1字节。PDU里是功能码加数据。CMM321收到MBAP帧后会校验单元标识符和功能码然后按映射表去读写90-30的%I、%Q、%AI、%AQ、%R内存区。SNP是GE私有的串口协议跑在串行线上报文头是~字符加S帧头地址格式是PLC的CPU槽号加内存类型。抓包看SNP报文你看到的不是标准Modbus结构第三方设备基本不认。所以异构系统对接时CMM321的Modbus TCP从站模式是唯一免开发网关的做法上位机侧不用装GE的驱动直接用标准Modbus库发请求就行。2.2.1 抓包时怎么区分MBAP头是否合法在Wireshark里过滤tcp.port 502看TCP载荷的前4个字节。事务标识符Transaction ID每次请求都会变化正常是0x0001、0x0002这样递增协议标识符Protocol ID必须是0x0000如果抓到的包这里是0xFFFF或者其他值说明对方用的不是标准Modbus TCP而是某个私有封装CMM321侧会直接丢弃。长度字段是后续字节数包括单元标识符加PDU算出来如果和实际TCP载荷长度对不上CMM321也会以异常码响应。2.2.2 从站模式下CMM321如何解析和响应CMM321在从站模式下一直在502端口监听。收到请求后先检查单元标识符是否等于组态里设置的从站地址默认255表示任意单元标识符都接受再检查功能码是否在使能列表里最后查映射表看请求的寄存器地址是否落在已配置的数据块范围。全部通过后模块直接访问背板总线上的内存组织响应帧发出。整个过程中CPU几乎不参与CPU程序即使处于STOP状态Modbus TCP的读请求依然可以返回数据只要数据区不是%R%R需要CPU运行才会刷新。这个特性决定了排错方向如果上位机能ping通CMM321但读不到数据先别怀疑CPU程序去看CMM321本身的组态和映射表。3. Proficy ME里组态CMM321的五个关键步骤3.1 建立工程并添加以太网模块在Proficy MEMachine Edition软件中新建工程选PLC型号为90-30。在主控模板里右键“添加硬件”在以太网类里选IC693CMM321。添加后双击模块进入属性对话框里面配置的是模块的IP地址、子网掩码和默认网关。90-30系列支持BOOTP自动获取IP但制造业现场不建议依赖BOOTP服务器直接手填静态IP更稳定。IP地址配置时有几个细节模块IP和上位机必须同网段子网掩码必须一致网关只有在跨网段访问时才需要填。CMM321的默认IP是8.15.5.1如果不改就下载会和现场网络冲突。另外CMM321的MAC地址印在模块侧面的贴纸上组态时不会显示做IP与MAC绑定或排错时需要看实物。3.2 Modbus从站参数配置功能码和端口在CMM321属性里的“Modbus/TCP Slave”页面勾选使能从站功能。端口号默认502不需要改。功能码使能项里默认是01、02、03、04、05、06、15、16全开按实际需求关掉不需要的。比如上位机只做监控就只保留03读保持寄存器和04读输入寄存器其他全关减少被异常写入的风险。这里有一个容易踩的坑Modbus TCP的4xxxx保持寄存器在CMM321里既可以被03读也可以被06或16写。如果你把4xxxx映射到了%R数据区而%R在PLC程序里也被内部逻辑写入就会出现“上位机写的数据被PLC逻辑覆盖”的现象。组态时要想清楚数据流向%R适合可读写的用途%AI只读不要映射到4xxxx。3.3 寄存器映射表%AI、%AQ、%I、%Q到Modbus地址的对应关系CMM321里最核心的是“Data Blocks”配置页每一行定义一段映射关系。典型映射如下表Modbus地址范围功能码90-30内存区典型用途0xxxx线圈01%Q离散输出上位机写启停1xxxx离散输入02%I离散输入上位机读状态3xxxx输入寄存器04%AI模拟量输入只读4xxxx保持寄存器03/06/16%R或%AQ参数读写指令下发结合实际面板场景举例假设要建立一段映射把%R101到%R130共30个字映射到Modbus 40001到40030。在Data Blocks配置里数据块起始地址填1长度填30内存类型选%R起始内存地址填101对应关系如下Modbus 40001 - %R101 Modbus 40002 - %R102 ... Modbus 40030 - %R130映射建立后上位机读40001到40030就是依次读%R101到%R130。同理%AI1到%AI16映射到30001到30016功能码04读取。%Q和%I的映射逻辑一致只是功能码不同。映射规则的参数说明起始地址是Modbus侧的起始编号可以4096以内任意设置长度最大不建议超过125内存区类型和起始地址必须确保PLC内存足够否则编译报错。映射表可以在线修改并重新下载不用断电重启。3.4 下载组态时容易忽略的选项在组态下载前检查CMM321属性里的“Ethernet”高级选项勾选“TCP KeepAlive”默认不勾。开启后模块会定时发保活包检测对端是否掉线。通信对端是上位机软件时开这个对端崩溃时模块能及时释放连接。缺点是占用少量带宽负载低时无感。“Max Connections”最大连接数默认是16如果现场有多台上位机同时访问确认这个值够用。超时时间设置“Modbus Response Timeout”是CMM321作为主站如果启用主站功能等待从站响应的时长默认500ms。从站模式不用管这个参数。下载组态的方式是先连CPU再在ME里把CMM321的IP设为与模块当前IP一致才能通信成功。常见错误是ME的“Target”里IP和模块实际IP不一致下载时报“No Target”。先用ping确认模块IP可通再把ME里的目标IP改成同一地址。4. PLC侧COMMREQ指令实现Modbus TCP主站请求4.1 COMMREQ指令的标准写法当90-30需要主动去读另一台设备的Modbus TCP数据时比如读一台西门子S7-200的寄存器CMM321也可以做主站。这时PLC程序里用COMMREQ指令发命令块给CMM321。COMMREQ是GE PLC的通用通讯请求指令在梯形图里位于“Communications”指令族。常用命令块的ST写法如下以结构化文本为例实际写在梯形图功能块中// COMMREQ命令块写入%R100起始地址 // 命令字16#2000表示CMM321以太网模块 // 任务号0表示立即执行 %R100 : 16#2000; // 命令类型CMM321以太网通讯 %R101 : 0; // 任务号设为0立即执行 %R102 : 16#0000; // 数据长度高字本命令块从这里开始计算 %R103 : 16#0001; // 数据长度低字命令块总字数 %R104 : 1; // 通道号CMM321的通道0上面只是命令块头的通用结构真正干活的是后续的数据区包括目标IP地址、端口号、功能码、数据长度等。GE标准的COMMREQ以太网命令SVC_REQ2000要求你把“命令字符串”按特定偏移填好。完整的存储区布局是命令块总长度约30-50个字前6个字是标准头第7开始是命令特定数据。Modbus TCP请求最常见的是“Modbus TCP Read/Write”命令参数包括偏移0命令长度字数 偏移1内存类型1内部寄存器%R 偏移2PLC内存起始地址 偏移3数据长度字 偏移4功能码03/04/06/16 偏移5目标IP地址4字节 偏移6单元标识符 偏移7目标寄存器起始地址代码逻辑说明COMMREQ发出的命令块本质上是一段参数表CMM321模块收到后负责把参数组装成真正的Modbus TCP请求帧再发到网络上。PLC侧的CPU不参与TCP封装所以命令块里不需要也不能拼MBAP头那是模块干的事。参数具体设定时注意三点内存类型填1表示%R2表示%AI3表示%AQ4表示%I5表示%Q这个枚举值不能写错PLC内存起始地址是数据的来源地址不是目标设备的地址目标寄存器起始地址要按Modbus寻址规则填写比如读保持寄存器但从40001开始这里直接填1不要填40001。4.2 发送、响应和状态字监控的梯形图逻辑在梯形图里把COMMREQ指令拉出来IN引脚填一个触发条件比如常通触点SYSID引脚填CMM321的模块编号在ME里模块属性里看到的硬件编号FT引脚填首地址比如%R100。指令执行完成后状态字会被写入FT7的字里。状态字的含义状态值说明16#0000正常命令执行完成16#0101命令块长度错误16#0103内存类型无效16#0105寄存器地址超出PLC范围16#0114目标设备无响应16#0115连接超时程序里写一个判断如果FT7不等于0且不等于16#0114就把这个状态字移到%R200并置位一个报警位%Q1。这样通讯异常时第一个看到的是状态码不是猜。4.2.1 无响应与连接超时的区别16#0114表示CMM321收到了请求但对方没回包目标设备活着但通讯故障16#0115表示TCP连接都建不起来IP不可达或端口未监听。这个区分排错很有用连接超时先查网络无响应先查对方从站配置和寄存器地址。4.3 调试辅助用写保持寄存器验证通讯链路如果现场没有上位机可以用ME软件的“Data Watch”窗口直接写PLC内存。把%R101到%R110映射到Modbus 40001到40010后在Data Watch里给%R101写一个已知值如12345然后从另一台上位机用Modbus扫描工具读40001如果能读到12345说明从站链路通了问题在上位机侧如果读不到说明映射表或组态有问题问题在PLC侧。5. 上位机侧Modbus地址换算与读取验证5.1 用Python的pyModbus库进行读取测试在正式组态软件接入之前先用Python脚本做链路验证是最快的。pyModbus是标准库支持Modbus TCP几行代码完成读操作。from pymodbus.client import ModbusTcpClient # 连接CMM321模块的IP和端口 client ModbusTcpClient(host192.168.1.10, port502) connect client.connect() if connect: # 读保持寄存器40001到40010对应PLC的%R101到%R110 # 功能码03单位标识符1 rr client.read_holding_registers(address0, count10, slave1) if rr.isError() is False: print(寄存器值:, rr.registers) else: print(读取异常:, rr) client.close() else: print(TCP连接失败检查IP和端口)逻辑说明address0对应Modbus地址40001的偏移量协议内地址从0开始count10读10个字slave1是单元标识符。CMM321的单元标识符组态里默认是255如果你没改这里要填255才能匹配client.read_holding_registers(address0, count10, slave255)。很多初调失败是因为单元标识符对不上。参数说明host填CMM321的IP不是上位机自己的IPtimeout参数默认10秒调试时可以调成30秒避免慢网络下误报超时。如果读取返回TCPConnectionAborted检查CMM321的最大连接数是否被占满或者上位机本地防火墙是否挡了502端口出站。5.2 功能码选择保持寄存器与输入寄存器的使用边界上位机读模拟量数据时很多人弄混功能码。%AI映射到3xxxx用04功能码%R映射到4xxxx用03功能码。如果映射表里把%AQ放到了4xxxx写入时用06写单个保持寄存器或16写多个保持寄存器。常见错误是用03读30001CMM321响应异常码2非法数据地址Wireshark里会看到收到异常响应帧。调试建议是先用扫描工具比如Modbus Poll读一圈先读0到100全部保持寄存器看看哪些地址有返回值再缩小范围。这个做法能快速定位映射偏移错误因为CMM321对未映射的地址返回异常异常码会明确告诉你地址非法还是功能码非法。5.3 Wireshark抓包过滤与报错定位抓包主要用于两类场景上位机读数据失败想知道请求是否到达CMM321或者CMM321回了异常码想知道功能码是否被禁用。# 只过滤502端口的TCP包 tcp.port 502 # 只过滤发往CMM321的请求按IP过滤 tcp.port 502 ip.dst 192.168.1.10 # 过滤含异常码的响应包Modbus协议里0x80以上的功能码表示异常 modbus.func_code 0x80正常请求和响应的Transaction ID是互相配对的。如果抓包只有请求没有响应说明CMM321没处理检查模块状态LED如果有响应但功能码带0x80展开帧看异常码字段常见异常码01非法功能码CMM321里没使能该功能码02非法数据地址寄存器地址超出映射范围03非法数据值比如写线圈时给了0xFF00以外的值04从站设备故障多半是CMM321内部内存区无数据6. 通讯不稳定时按顺序查这三处6.1 先看CMM321面板LED状态模块面板上有OK/FAIL/ETH三个指示灯。OK绿灯常亮代表模块自检通过并已启动组态FAIL红灯常亮代表组态加载失败或因网络故障降级ETH闪烁代表有以太网活动这是正常状态。如果FAIL亮着直接重写组态并断电重启模块。如果OK和FAIL都不亮检查24V供电和背板插接。注意CMM321是安装后带电插拔可能损坏的其他情况建议断电操作。LED状态是硬信号比软件诊断可靠得多。6.2 再看COMMREQ状态字和组态一致性PLC侧做主站时把FT7状态字在Data Watch窗口里拉出来实时监控。如果状态字在16#0114无响应和0之间反复跳说明网络间歇性丢包优先检查交换机的端口双工模式把CMM321所接端口强制为100M全双工很多老交换机自适应失败会导致这种症状。组态一致性是另一个高频问题点ME里的映射表和实际下载到模块的组态不一致时通讯表现是“有时通有时不通”。改动映射表后必须重新下载组态并断电重启模块因为部分映射参数只在模块启动时加载。6.3 最后查防火墙和ARP表上位机上执行arp -a看CMM321的IP和MAC对应关系是否正确锁定。如果ARP表里是错误MAC说明IP冲突或有人手动绑定过。Windows下用arp -d清空缓存后再Ping重新解析。防火墙方面很多现场给上位机装了安全软件入站规则里默认阻止502端口。在Windows防火墙里加一条“入站允许TCP 502”的规则注意同时允许相关的ICMP用于Ping但Ping通不代表502通以实际Modbus请求是否成功为准。最后可以做一个持续读写的压测用Python脚本循环读保持寄存器10万次同时抓包看是否有大量TCP重传如果有基本可以判定为链路质量问题。tcp.analysis.retransmission过滤器可以直接标出重传包数量超过1%就要查交换机端口或网线。本文还有配套的精品资源点击获取 GE 90-30通过CMM321实现Modbus TCP通讯的配置与调试指南
简介《GE 90-30系列modbusTCP通讯手册》是一份面向工业自动化工程师、PLC程序员及现场调试人员的专业文档系统讲解了90-30系列控制器通过ModbusTCP协议与远程设备通信的实现方法。整份资源为单个docx文件容量2.51MB便于检索与标记。已有495人学习使用。手册围绕通信请求的完整链路展开详细介绍了COMMREQ功能块、命令块结构、通道命令、LAN接口状态位及CRS状态字等核心概念并结合“打开Modbus/TCP客户端连接”等通道命令给出数据格式与操作流程。通过阅读读者能够搭建以太网接口与PLC之间的数据交互逻辑理解WAIT/NOWAIT标志、SYSID参数、块移动指令等实操细节掌握状态位联锁与故障输出的安全使用方式从而提升ModbusTCP通信程序设计的可靠性与排错能力。1. 拿到GE 90-30系列Modbus TCP通讯手册后先看这几页再动手很多工程师第一次接触GE 90-30系列时习惯性先翻Modbus TCP的报文格式和功能码定义结果卡在最前面90-30的CPU本体并没有以太网口Modbus TCP通讯靠的是以太网模块CMM321。手册里的通讯配置、寄存器映射、COMMREQ命令块全都要围绕这个模块展开没搞清硬件架构后面全是空转。这篇内容适合两类人一类是把90-30作为Modbus TCP从站服务器给上位机、触摸屏或第三方PLC提供数据另一类是通过GE自家的指令发请求去读别家设备。前者的配置路径在MEProficy Machine Edition里完成后者需要动手写COMMREQ命令块。我把配置步骤、参数表、代码和排错顺序一次讲清按这套顺序做能把半小时起步的联调压缩到几分钟。2. 90-30系列Modbus TCP通讯的硬件选型与协议边界2.1 为什么必须用CMM321模块CPU自身串口不行的原因90-30系列的CPU本体如CPU 331/341/351等自带的是RS-232或RS-485串口固件里维护的是GE的SNP/SNPX协议不是Modbus RTU。串口上跑Modbus RTU需要额外的协议转换模块如IC693CMM311曾支持串口Modbus或外接协议网关。而Modbus TCP走以太网90-30背板上只有CMM321IC693CMM321这一个以太网通讯模块支持Modbus TCP从站功能下一个级别是PACSystems RX3i的Ethernet模块如IC695ETM001。CMM321是必选项不是可选项。选型时注意CMM321的版本差异早期CMM321的固件在Modbus从站映射数量上有上限部分老固件在连续读写超过125个寄存器时会异常。如果你要做大块连续数据区交互优先找GE支持确认固件版本或把数据拆成多个数据块映射每个块不超过125个寄存器。Modbus TCP单帧读取125个寄存器的限制不是GE定的是Modbus协议标准定的无论你对面是西门子、罗克韦尔还是国产触摸屏都卡这个数。2.2 Modbus TCPMBAP和SNP协议在报文层面的本质区别Modbus TCP在TCP/IP之上占用的502端口报文结构是MBAP头加PDU。MBAP头固定7个字节事务处理标识符2字节、协议标识符2字节恒为0x0000、长度2字节、单元标识符1字节。PDU里是功能码加数据。CMM321收到MBAP帧后会校验单元标识符和功能码然后按映射表去读写90-30的%I、%Q、%AI、%AQ、%R内存区。SNP是GE私有的串口协议跑在串行线上报文头是~字符加S帧头地址格式是PLC的CPU槽号加内存类型。抓包看SNP报文你看到的不是标准Modbus结构第三方设备基本不认。所以异构系统对接时CMM321的Modbus TCP从站模式是唯一免开发网关的做法上位机侧不用装GE的驱动直接用标准Modbus库发请求就行。2.2.1 抓包时怎么区分MBAP头是否合法在Wireshark里过滤tcp.port 502看TCP载荷的前4个字节。事务标识符Transaction ID每次请求都会变化正常是0x0001、0x0002这样递增协议标识符Protocol ID必须是0x0000如果抓到的包这里是0xFFFF或者其他值说明对方用的不是标准Modbus TCP而是某个私有封装CMM321侧会直接丢弃。长度字段是后续字节数包括单元标识符加PDU算出来如果和实际TCP载荷长度对不上CMM321也会以异常码响应。2.2.2 从站模式下CMM321如何解析和响应CMM321在从站模式下一直在502端口监听。收到请求后先检查单元标识符是否等于组态里设置的从站地址默认255表示任意单元标识符都接受再检查功能码是否在使能列表里最后查映射表看请求的寄存器地址是否落在已配置的数据块范围。全部通过后模块直接访问背板总线上的内存组织响应帧发出。整个过程中CPU几乎不参与CPU程序即使处于STOP状态Modbus TCP的读请求依然可以返回数据只要数据区不是%R%R需要CPU运行才会刷新。这个特性决定了排错方向如果上位机能ping通CMM321但读不到数据先别怀疑CPU程序去看CMM321本身的组态和映射表。3. Proficy ME里组态CMM321的五个关键步骤3.1 建立工程并添加以太网模块在Proficy MEMachine Edition软件中新建工程选PLC型号为90-30。在主控模板里右键“添加硬件”在以太网类里选IC693CMM321。添加后双击模块进入属性对话框里面配置的是模块的IP地址、子网掩码和默认网关。90-30系列支持BOOTP自动获取IP但制造业现场不建议依赖BOOTP服务器直接手填静态IP更稳定。IP地址配置时有几个细节模块IP和上位机必须同网段子网掩码必须一致网关只有在跨网段访问时才需要填。CMM321的默认IP是8.15.5.1如果不改就下载会和现场网络冲突。另外CMM321的MAC地址印在模块侧面的贴纸上组态时不会显示做IP与MAC绑定或排错时需要看实物。3.2 Modbus从站参数配置功能码和端口在CMM321属性里的“Modbus/TCP Slave”页面勾选使能从站功能。端口号默认502不需要改。功能码使能项里默认是01、02、03、04、05、06、15、16全开按实际需求关掉不需要的。比如上位机只做监控就只保留03读保持寄存器和04读输入寄存器其他全关减少被异常写入的风险。这里有一个容易踩的坑Modbus TCP的4xxxx保持寄存器在CMM321里既可以被03读也可以被06或16写。如果你把4xxxx映射到了%R数据区而%R在PLC程序里也被内部逻辑写入就会出现“上位机写的数据被PLC逻辑覆盖”的现象。组态时要想清楚数据流向%R适合可读写的用途%AI只读不要映射到4xxxx。3.3 寄存器映射表%AI、%AQ、%I、%Q到Modbus地址的对应关系CMM321里最核心的是“Data Blocks”配置页每一行定义一段映射关系。典型映射如下表Modbus地址范围功能码90-30内存区典型用途0xxxx线圈01%Q离散输出上位机写启停1xxxx离散输入02%I离散输入上位机读状态3xxxx输入寄存器04%AI模拟量输入只读4xxxx保持寄存器03/06/16%R或%AQ参数读写指令下发结合实际面板场景举例假设要建立一段映射把%R101到%R130共30个字映射到Modbus 40001到40030。在Data Blocks配置里数据块起始地址填1长度填30内存类型选%R起始内存地址填101对应关系如下Modbus 40001 - %R101 Modbus 40002 - %R102 ... Modbus 40030 - %R130映射建立后上位机读40001到40030就是依次读%R101到%R130。同理%AI1到%AI16映射到30001到30016功能码04读取。%Q和%I的映射逻辑一致只是功能码不同。映射规则的参数说明起始地址是Modbus侧的起始编号可以4096以内任意设置长度最大不建议超过125内存区类型和起始地址必须确保PLC内存足够否则编译报错。映射表可以在线修改并重新下载不用断电重启。3.4 下载组态时容易忽略的选项在组态下载前检查CMM321属性里的“Ethernet”高级选项勾选“TCP KeepAlive”默认不勾。开启后模块会定时发保活包检测对端是否掉线。通信对端是上位机软件时开这个对端崩溃时模块能及时释放连接。缺点是占用少量带宽负载低时无感。“Max Connections”最大连接数默认是16如果现场有多台上位机同时访问确认这个值够用。超时时间设置“Modbus Response Timeout”是CMM321作为主站如果启用主站功能等待从站响应的时长默认500ms。从站模式不用管这个参数。下载组态的方式是先连CPU再在ME里把CMM321的IP设为与模块当前IP一致才能通信成功。常见错误是ME的“Target”里IP和模块实际IP不一致下载时报“No Target”。先用ping确认模块IP可通再把ME里的目标IP改成同一地址。4. PLC侧COMMREQ指令实现Modbus TCP主站请求4.1 COMMREQ指令的标准写法当90-30需要主动去读另一台设备的Modbus TCP数据时比如读一台西门子S7-200的寄存器CMM321也可以做主站。这时PLC程序里用COMMREQ指令发命令块给CMM321。COMMREQ是GE PLC的通用通讯请求指令在梯形图里位于“Communications”指令族。常用命令块的ST写法如下以结构化文本为例实际写在梯形图功能块中// COMMREQ命令块写入%R100起始地址 // 命令字16#2000表示CMM321以太网模块 // 任务号0表示立即执行 %R100 : 16#2000; // 命令类型CMM321以太网通讯 %R101 : 0; // 任务号设为0立即执行 %R102 : 16#0000; // 数据长度高字本命令块从这里开始计算 %R103 : 16#0001; // 数据长度低字命令块总字数 %R104 : 1; // 通道号CMM321的通道0上面只是命令块头的通用结构真正干活的是后续的数据区包括目标IP地址、端口号、功能码、数据长度等。GE标准的COMMREQ以太网命令SVC_REQ2000要求你把“命令字符串”按特定偏移填好。完整的存储区布局是命令块总长度约30-50个字前6个字是标准头第7开始是命令特定数据。Modbus TCP请求最常见的是“Modbus TCP Read/Write”命令参数包括偏移0命令长度字数 偏移1内存类型1内部寄存器%R 偏移2PLC内存起始地址 偏移3数据长度字 偏移4功能码03/04/06/16 偏移5目标IP地址4字节 偏移6单元标识符 偏移7目标寄存器起始地址代码逻辑说明COMMREQ发出的命令块本质上是一段参数表CMM321模块收到后负责把参数组装成真正的Modbus TCP请求帧再发到网络上。PLC侧的CPU不参与TCP封装所以命令块里不需要也不能拼MBAP头那是模块干的事。参数具体设定时注意三点内存类型填1表示%R2表示%AI3表示%AQ4表示%I5表示%Q这个枚举值不能写错PLC内存起始地址是数据的来源地址不是目标设备的地址目标寄存器起始地址要按Modbus寻址规则填写比如读保持寄存器但从40001开始这里直接填1不要填40001。4.2 发送、响应和状态字监控的梯形图逻辑在梯形图里把COMMREQ指令拉出来IN引脚填一个触发条件比如常通触点SYSID引脚填CMM321的模块编号在ME里模块属性里看到的硬件编号FT引脚填首地址比如%R100。指令执行完成后状态字会被写入FT7的字里。状态字的含义状态值说明16#0000正常命令执行完成16#0101命令块长度错误16#0103内存类型无效16#0105寄存器地址超出PLC范围16#0114目标设备无响应16#0115连接超时程序里写一个判断如果FT7不等于0且不等于16#0114就把这个状态字移到%R200并置位一个报警位%Q1。这样通讯异常时第一个看到的是状态码不是猜。4.2.1 无响应与连接超时的区别16#0114表示CMM321收到了请求但对方没回包目标设备活着但通讯故障16#0115表示TCP连接都建不起来IP不可达或端口未监听。这个区分排错很有用连接超时先查网络无响应先查对方从站配置和寄存器地址。4.3 调试辅助用写保持寄存器验证通讯链路如果现场没有上位机可以用ME软件的“Data Watch”窗口直接写PLC内存。把%R101到%R110映射到Modbus 40001到40010后在Data Watch里给%R101写一个已知值如12345然后从另一台上位机用Modbus扫描工具读40001如果能读到12345说明从站链路通了问题在上位机侧如果读不到说明映射表或组态有问题问题在PLC侧。5. 上位机侧Modbus地址换算与读取验证5.1 用Python的pyModbus库进行读取测试在正式组态软件接入之前先用Python脚本做链路验证是最快的。pyModbus是标准库支持Modbus TCP几行代码完成读操作。from pymodbus.client import ModbusTcpClient # 连接CMM321模块的IP和端口 client ModbusTcpClient(host192.168.1.10, port502) connect client.connect() if connect: # 读保持寄存器40001到40010对应PLC的%R101到%R110 # 功能码03单位标识符1 rr client.read_holding_registers(address0, count10, slave1) if rr.isError() is False: print(寄存器值:, rr.registers) else: print(读取异常:, rr) client.close() else: print(TCP连接失败检查IP和端口)逻辑说明address0对应Modbus地址40001的偏移量协议内地址从0开始count10读10个字slave1是单元标识符。CMM321的单元标识符组态里默认是255如果你没改这里要填255才能匹配client.read_holding_registers(address0, count10, slave255)。很多初调失败是因为单元标识符对不上。参数说明host填CMM321的IP不是上位机自己的IPtimeout参数默认10秒调试时可以调成30秒避免慢网络下误报超时。如果读取返回TCPConnectionAborted检查CMM321的最大连接数是否被占满或者上位机本地防火墙是否挡了502端口出站。5.2 功能码选择保持寄存器与输入寄存器的使用边界上位机读模拟量数据时很多人弄混功能码。%AI映射到3xxxx用04功能码%R映射到4xxxx用03功能码。如果映射表里把%AQ放到了4xxxx写入时用06写单个保持寄存器或16写多个保持寄存器。常见错误是用03读30001CMM321响应异常码2非法数据地址Wireshark里会看到收到异常响应帧。调试建议是先用扫描工具比如Modbus Poll读一圈先读0到100全部保持寄存器看看哪些地址有返回值再缩小范围。这个做法能快速定位映射偏移错误因为CMM321对未映射的地址返回异常异常码会明确告诉你地址非法还是功能码非法。5.3 Wireshark抓包过滤与报错定位抓包主要用于两类场景上位机读数据失败想知道请求是否到达CMM321或者CMM321回了异常码想知道功能码是否被禁用。# 只过滤502端口的TCP包 tcp.port 502 # 只过滤发往CMM321的请求按IP过滤 tcp.port 502 ip.dst 192.168.1.10 # 过滤含异常码的响应包Modbus协议里0x80以上的功能码表示异常 modbus.func_code 0x80正常请求和响应的Transaction ID是互相配对的。如果抓包只有请求没有响应说明CMM321没处理检查模块状态LED如果有响应但功能码带0x80展开帧看异常码字段常见异常码01非法功能码CMM321里没使能该功能码02非法数据地址寄存器地址超出映射范围03非法数据值比如写线圈时给了0xFF00以外的值04从站设备故障多半是CMM321内部内存区无数据6. 通讯不稳定时按顺序查这三处6.1 先看CMM321面板LED状态模块面板上有OK/FAIL/ETH三个指示灯。OK绿灯常亮代表模块自检通过并已启动组态FAIL红灯常亮代表组态加载失败或因网络故障降级ETH闪烁代表有以太网活动这是正常状态。如果FAIL亮着直接重写组态并断电重启模块。如果OK和FAIL都不亮检查24V供电和背板插接。注意CMM321是安装后带电插拔可能损坏的其他情况建议断电操作。LED状态是硬信号比软件诊断可靠得多。6.2 再看COMMREQ状态字和组态一致性PLC侧做主站时把FT7状态字在Data Watch窗口里拉出来实时监控。如果状态字在16#0114无响应和0之间反复跳说明网络间歇性丢包优先检查交换机的端口双工模式把CMM321所接端口强制为100M全双工很多老交换机自适应失败会导致这种症状。组态一致性是另一个高频问题点ME里的映射表和实际下载到模块的组态不一致时通讯表现是“有时通有时不通”。改动映射表后必须重新下载组态并断电重启模块因为部分映射参数只在模块启动时加载。6.3 最后查防火墙和ARP表上位机上执行arp -a看CMM321的IP和MAC对应关系是否正确锁定。如果ARP表里是错误MAC说明IP冲突或有人手动绑定过。Windows下用arp -d清空缓存后再Ping重新解析。防火墙方面很多现场给上位机装了安全软件入站规则里默认阻止502端口。在Windows防火墙里加一条“入站允许TCP 502”的规则注意同时允许相关的ICMP用于Ping但Ping通不代表502通以实际Modbus请求是否成功为准。最后可以做一个持续读写的压测用Python脚本循环读保持寄存器10万次同时抓包看是否有大量TCP重传如果有基本可以判定为链路质量问题。tcp.analysis.retransmission过滤器可以直接标出重传包数量超过1%就要查交换机端口或网线。本文还有配套的精品资源点击获取