国产PLC通信协议解析与C#原生实现

1. 项目背景与核心价值

最近两年在工业自动化领域，国产PLC的崛起已经成为不可忽视的趋势。汇川、信捷等国产PLC品牌凭借性价比优势，正在逐步替代西门子、三菱等进口品牌。但在上位机开发领域，我们却面临一个尴尬的现实——大多数C#开发者仍然依赖第三方商业库或开源库来实现与PLC的通信，这不仅增加了项目成本，更关键的是将核心通信逻辑封装在黑盒中，给后期维护和自主可控带来巨大隐患。

我去年接手的一个汽车零部件产线改造项目就遇到了典型问题：原系统使用某商业库连接西门子PLC，当客户要求替换为汇川PLC时，我们发现商业库根本不支持国产协议，而开源库又存在功能残缺。最终不得不花费三周时间逆向分析通信协议，用原生Socket实现了稳定通信。这段经历让我深刻认识到：掌握原生通信能力，才是工业控制程序员的立身之本。

2. 国产PLC通信协议解析

2.1 汇川H5U系列ModbusTCP协议详解

汇川H5U系列PLC采用标准ModbusTCP协议，但在功能码和地址映射上有自己的特色。其线圈寄存器（0x）地址范围是0-1999，输入寄存器（1x）是10000-11999，保持寄存器（4x）是40000-49999。与标准Modbus不同的是，H5U对某些功能码做了扩展：

csharp复制// 读取保持寄存器（功能码0x03）的请求报文示例
byte[] BuildReadHoldingRegistersRequest(ushort startAddr, ushort quantity)
{
    byte[] frame = new byte[12];
    frame[0] = 0x00;  // 事务标识符高字节
    frame[1] = 0x01;  // 事务标识符低字节
    frame[2] = 0x00;  // 协议标识符高字节
    frame[3] = 0x00;  // 协议标识符低字节
    frame[4] = 0x00;  // 长度高字节
    frame[5] = 0x06;  // 长度低字节
    frame[6] = 0x01;  // 单元标识符（PLC站号）
    frame[7] = 0x03;  // 功能码
    frame[8] = (byte)(startAddr >> 8);  // 起始地址高字节
    frame[9] = (byte)(startAddr & 0xFF); // 起始地址低字节
    frame[10] = (byte)(quantity >> 8);   // 数量高字节
    frame[11] = (byte)(quantity & 0xFF); // 数量低字节
    return frame;
}

关键细节：汇川PLC的寄存器地址需要减去偏移量。例如要读取实际地址40010的寄存器，请求中应发送40010-40000=10（0x000A）

2.2 信捷XC系列自定义协议破解

信捷XC系列采用私有协议，通过抓包分析可以发现其报文结构为：

code复制[STX][LEN][ADR][CMD][DATA][CRC][ETX]

其中：

• STX：固定0x02
• LEN：后续数据长度
• CMD：0x45（读）、0x46（写）
• CRC：从ADR到DATA的CRC16校验（多项式0xA001）

读操作示例代码：

csharp复制byte[] BuildXcReadRequest(byte stationNo, ushort startAddr, byte length)
{
    byte[] data = new byte[6];
    data[0] = stationNo;  // 站号
    data[1] = 0x45;       // 读命令
    data[2] = (byte)(startAddr >> 8);
    data[3] = (byte)(startAddr &