核心安全警示
Modbus协议原生不支持任何加密、认证或授权机制 ，所有数据和指令都以明文形式传输。这使其极易受到窃听、篡改和非法控制攻击。在涉及关键基础设施（如电力、水务、交通）或对安全有要求的场景中，严禁将Modbus直接暴露在非信任网络中，必须部署专业的工业防火墙、VPN加密隧道或使用带安全扩展的Modbus协议（如Modbus/TLS）。
Modbus协议是一种主从架构 的应用层通信协议，遵循请求/应答模式，通信完全由主站（Master）发起，从站（Slave）被动响应。
核心架构与数据模型
- 物理接口：支持RS-232、RS-485、以太网等。RS-485因采用差分信号传输，具备抗干扰能力强、支持多点通信（1200米，一条总线最多挂接247个设备）等优势，成为工业环境最主流的选型。
- 四种数据类型：Modbus定义了标准化的数据模型，每个设备内部都通过四类数据表组织数据。
| 数据类型 (Data Type) | 位宽 | 读写属性 | 核心说明 |
|---|---|---|---|
| 线圈 (Coil) | 1位 (Bit) | 可读可写 | 类比为开关量输出，用于控制设备的"开/关"状态，如启动/停止继电器、点亮指示灯等。 |
| 离散输入 (Discrete Input) | 1位 (Bit) | 只读 | 类比为开关量输入，用于读取外部信号的二进制状态，如读取限位开关、按钮是否被按下。 |
| 保持寄存器 (Holding Register) | 16位 (Word) | 可读可写 | 用于存储设备的参数和设定值，如读取/修改变频器的当前频率、PID参数、系统配置等。 |
| 输入寄存器 (Input Register) | 16位 (Word) | 只读 | 用于采集模拟量数据，如读取温度传感器、压力变送器的实时测量值，通常是以16位整数表示的工程值。 |
通信模式：三大主流变体
| 模式 | 主要特点 | 帧结构与校验 | 优势 | 劣势 |
|---|---|---|---|---|
| RTU (远程终端单元) | 基于串口(RS-232/485)，二进制传输，效率高 | 以至少3.5个字符的空闲时间界定帧 包含地址、功能码、数据、CRC校验 | 通信效率最高，在相同波特率下可比ASCII模式传输更多数据 | 对时序要求严格，帧间隔需精确控制在3.5个字符时间窗口内 |
| ASCII | 基于串口，用ASCII码传输，便于阅读 | 以冒号":"开始，以回车换行(CRLF)结束 包含地址、功能码、数据、LRC校验 | 报文格式直观，便于人工调试和阅读 | 传输效率低，每个字节数据需要用2个ASCII字符表示 |
| TCP | 基于TCP/IP网络，端口502，适应现代工业网络 | 帧结构为MBAP头 + PDU MBAP头含事务标识符、协议标识符、长度和单元标识符 PDU部分与RTU相同 | 高性能，高并发，支持跨网段，无复杂时序限制，调试简便 | 依赖于TCP/IP网络，增加了网络层的复杂性 |
功能码：工业世界的"指令表"
功能码（Function Code）是嵌入在Modbus请求中的命令代码，主站通过它告诉从站要执行何种操作。
| 功能码 (Hex) | 功能码名称 | 操作类型 | 操作对象 |
|---|---|---|---|
| 0x01 | 读线圈 (Read Coils) | 读 | 1个或多个线圈 |
| 0x02 | 读离散输入 (Read Discrete Inputs) | 读 | 1个或多个离散输入 |
| 0x03 | 读保持寄存器 (Read Holding Registers) | 读 | 1个或多个保持寄存器 |
| 0x04 | 读输入寄存器 (Read Input Registers) | 读 | 1个或多个输入寄存器 |
| 0x05 | 写单个线圈 (Write Single Coil) | 写 | 单个线圈 |
| 0x06 | 写单个寄存器 (Write Single Register) | 写 | 单个保持寄存器 |
| 0x0F (15) | 写多个线圈 (Write Multiple Coils) | 写 | 多个线圈 |
| 0x10 (16) | 写多个寄存器 (Write Multiple Registers) | 写 | 多个保持寄存器 |
当从站无法执行请求（如地址非法）时，会在响应帧中返回异常码 ，其功能码为请求功能码的最高位加1 （即加上
0x80），并附带异常代码（如01=非法功能，02=非法数据地址，03=非法数据值）。
错误处理机制：CRC校验与重试
Modbus协议保证通信可靠性的核心机制是：通过CRC-16循环冗余校验确保数据链路层传输准确，并通过主站程序中的超时与重试机制补救应用层异常。
实际通信案例：读取保持寄存器
一个典型的Modbus通信流程如下：
-
请求帧（主站→从站地址0x01） ：
00 01 00 00 00 06 01 03 00 00 00 02这个请求使用Modbus TCP模式，其含义是：
- MBAP头 (
00 01 00 00 00 06)：00 01为事务标识符；00 00为协议标识符（0代表Modbus）；00 06为后续字节数。 - 从站地址 (
01)：目标设备地址为1。 - 功能码 (
03)：执行"读保持寄存器"操作。 - 起始地址 (
00 00)：从0x0000号寄存器开始读取。 - 读取数量 (
00 02)：连续读取2个寄存器。
- MBAP头 (
-
响应帧（从站→主站） ：
00 01 00 00 00 05 01 03 04 00 0A 00 14这个成功的响应帧含义如下：
- MBAP头 (
00 01 00 00 00 05)：00 06变为了00 05，代表响应报文的后续字节数为5。 - 从站地址 (
01)：响应来自1号设备。 - 功能码 (
03)：确认"读保持寄存器"操作成功。 - 数据字节数 (
04)：表明后续有4个字节的数据。 - 寄存器1数据 (
00 0A)：1号寄存器值为0x000A（10进制为10）。 - 寄存器2数据 (
00 14)：2号寄存器值为0x0014（10进制为20）。
- MBAP头 (
典型应用场景与小结
凭借其开放性 、简单性 和稳定性 ，Modbus广泛应用于工业自动化、能源管理、楼宇自动化等众多领域。其挑战主要在于安全性 、实时性 和主动性 方面（不支持主动上报）。通过部署协议转换网关（如Modbus转MQTT），可在保留设备接入优势的同时，规避其安全缺陷并增强系统集成能力。
- 问题1：为什么同一个地址（如40001）在不同的设备中可能代表不同的东西？这是协议本身的问题吗？
- 问题2：CRC校验具体是如何工作的？它能保证100%的数据正确吗？
- 问题3：如果Modbus网络中有多个主站，如何协调它们的通信？