4. OPC DA/UA协议：OPC经典架构（Server/Client/Group）、UA的地址空间模型、安全策略配置
各位同行，今天我们来聊聊OPC。这玩意儿在工业通讯里，可以说是老大哥级别的存在了。我最早接触OPC还是十几年前，那时候做项目，上位机要和PLC通讯，各家有各家的驱动，烦得很。后来用了OPC，世界清净了。
但OPC也分时代。经典OPC（也就是OPC DA）和现在的OPC UA，虽然都叫OPC，但骨子里差别很大。咱们一个一个说。
4.1 OPC经典架构：Server、Client、Group
经典OPC DA，说白了就是基于微软COM/DCOM技术的。你想想看，Windows系统里，一个程序怎么调用另一个程序的功能？COM就是干这个的。OPC DA把工业数据包装成COM接口，让不同厂家的软件能互相读写数据。
它的架构很清晰，就三个角色：
- OPC Server：数据提供方。比如你有个PLC，装个OPC Server软件，它就把PLC里的寄存器、变量都暴露出来了。
- OPC Client：数据消费方。比如你的SCADA系统，它作为Client去连Server，读数据、写数据。
- OPC Group：这个是我觉得最巧妙的设计。Client不是直接去读单个数据点，而是先建一个Group，把要读的数据点都扔进这个组里。然后你可以对这个组统一设置刷新频率、死区等参数。
核心要点：Group机制大大减少了网络通讯次数。你想想，如果每个数据点都单独请求，那效率得多低？Group把一批数据打包处理，这才是工业现场该有的做法。
我记得有一次，一个现场有2000多个数据点要采集。如果每个点单独轮询，周期得十几秒。后来我建了4个Group，每个Group设不同的刷新频率——重要的模拟量100ms，普通的开关量500ms，历史数据1s。效果立竿见影，CPU占用率从85%降到了30%。
但经典OPC有个致命伤——它依赖DCOM。DCOM这东西，在局域网里还好，一旦跨网段、跨防火墙，配置起来能让人崩溃。我当年为了配DCOM安全策略，整整折腾了两天。端口要开135，还要配各种用户权限，稍有不慎就连不上。
避坑指南：我曾经因为DCOM的匿名访问权限没配好，导致OPC Client连不上Server。查了半天，最后发现是Windows防火墙把135端口给拦了。所以，配经典OPC时，第一件事就是检查防火墙和DCOM配置。
4.2 OPC UA的地址空间模型
OPC UA的出现，就是为了解决经典OPC的痛点。它不再依赖COM，而是基于TCP/IP，跨平台、跨网络都行。但UA最大的革新，我觉得是它的地址空间模型。
经典OPC的地址空间，说白了就是个扁平的列表。你看到的都是类似“DB1.DBW0”这样的标签。但UA不一样，它把数据组织成了一个网络结构，有点像文件系统的目录树。
UA的地址空间由节点（Node）和引用（Reference）组成：
- 节点：每个节点代表一个对象、变量、方法或类型。比如一个电机，可以是一个对象节点，它的转速、温度是变量节点，启动、停止是方法节点。
- 引用：节点之间的关系。比如“电机”对象节点引用“转速”变量节点，表示转速是电机的一个属性。
这样做的好处是什么？我给你举个例子。在经典OPC里，你要读一个电机的转速和温度，你得知道两个标签名：“Motor1.Speed”和“Motor1.Temp”。但在UA里，你找到“Motor1”这个对象节点，然后遍历它的子节点，就能看到所有相关的变量。而且，你还能看到这个电机属于哪个产线、哪个工位——这些信息都通过引用关联起来了。
个人经验：我建议在配置UA Server时，一定要花时间设计好地址空间的结构。别图省事把所有变量都扔在一个层级下。按设备类型、按区域、按功能来组织，后期维护会轻松很多。我在一个汽车焊装项目里，把地址空间分成了“车间-产线-工位-设备-参数”五层，后来排查问题，定位数据点的时间缩短了60%。
UA的地址空间还支持类型定义。你可以定义一个“电机”类型，包含转速、温度、电流等变量，以及启动、停止等方法。然后所有电机都继承这个类型。这样，新加一台电机，你只需要实例化这个类型，所有属性自动就有了。嗯，这其实就是面向对象的思想在工业通讯里的应用。
4.3 安全策略配置
说到安全，经典OPC基本是裸奔的。DCOM的安全机制，说白了就是Windows的用户认证，而且默认配置漏洞很多。我见过不少现场，OPC通讯直接走公网，数据明文传输，想想都后怕。
OPC UA把安全作为了核心设计。它提供了三种安全模式：
| 安全模式 | 说明 | 适用场景 |
|---|---|---|
| None | 无加密、无签名 | 仅用于测试或内部可信网络 |
| Sign | 对消息进行签名，确保数据未被篡改 | 需要防篡改，但对数据保密性要求不高 |
| SignAndEncrypt | 签名+加密，既防篡改又防窃听 | 生产环境，尤其是跨网络通讯 |
配置安全策略时，有几个关键点要注意：
- 证书管理：UA使用X.509证书进行身份验证。Server和Client都需要安装对方的受信任证书。我建议用企业自己的CA签发的证书，别用自签名证书——自签名证书在大型项目里管理起来太乱了。
- 安全策略选择：我个人习惯，内部局域网用Sign就够了，加密会带来额外的性能开销。但如果是跨公网或者和第三方系统对接，必须用SignAndEncrypt。
- 用户认证：UA支持匿名、用户名/密码、证书等多种认证方式。生产环境千万别开匿名，至少要用用户名/密码。我见过一个项目，为了省事开了匿名，结果被外部系统误操作写入了错误数据，导致产线停了两个小时。
避坑指南：我曾经配置UA安全策略时，Client和Server的证书都装好了，但就是连不上。查了半天，发现是证书的“增强型密钥用法”里没有包含“服务器认证”和“客户端认证”。UA对证书的用法要求很严格，少一个都不行。所以生成证书时，一定要把这两个用法都加上。
另外，UA的安全配置还涉及到传输层。UA默认使用二进制协议（UA Binary），端口是4840。如果你用HTTPS传输，端口是443。我个人更推荐二进制协议，性能更好。但如果你要穿越企业防火墙，HTTPS可能更友好——毕竟443端口通常是开放的。
最后说一句，安全配置不是一劳永逸的。证书有有效期，安全策略也要定期审计。我建议每半年检查一次证书状态，每年更新一次安全策略。别等到出了事才想起来——工业现场的安全事故，代价往往很大。
总结一下：经典OPC DA靠Group机制提高了数据采集效率，但DCOM的局限性让它逐渐被UA取代。OPC UA的地址空间模型让数据有了结构化的组织方式，安全策略则提供了从传输到认证的全链路保护。做项目时，别图省事跳过安全配置——你省下的那点时间，可能要用十倍的时间来填坑。
好了，关于OPC DA和UA的核心内容就这些。记住，技术选型要看场景——老系统用DA兼容，新项目直接上UA。安全配置别偷懒，地址空间设计多花点心思，后面你会感谢自己的。