Modbus通信协议原理

核心安全警示

Modbus协议原生不支持任何加密、认证或授权机制 ，所有数据和指令都以明文形式传输。这使其极易受到窃听、篡改和非法控制攻击。在涉及关键基础设施（如电力、水务、交通）或对安全有要求的场景中，严禁将Modbus直接暴露在非信任网络中，必须部署专业的工业防火墙、VPN加密隧道或使用带安全扩展的Modbus协议（如Modbus/TLS）。

Modbus协议是一种主从架构 的应用层通信协议，遵循请求/应答模式，通信完全由主站（Master）发起，从站（Slave）被动响应。

核心架构与数据模型

物理接口：支持RS-232、RS-485、以太网等。RS-485因采用差分信号传输，具备抗干扰能力强、支持多点通信（1200米，一条总线最多挂接247个设备）等优势，成为工业环境最主流的选型。
四种数据类型：Modbus定义了标准化的数据模型，每个设备内部都通过四类数据表组织数据。

数据类型 (Data Type)	位宽	读写属性	核心说明
线圈 (Coil)	1位 (Bit)	可读可写	类比为开关量输出，用于控制设备的"开/关"状态，如启动/停止继电器、点亮指示灯等。
离散输入 (Discrete Input)	1位 (Bit)	只读	类比为开关量输入，用于读取外部信号的二进制状态，如读取限位开关、按钮是否被按下。
保持寄存器 (Holding Register)	16位 (Word)	可读可写	用于存储设备的参数和设定值，如读取/修改变频器的当前频率、PID参数、系统配置等。
输入寄存器 (Input Register)	16位 (Word)	只读	用于采集模拟量数据，如读取温度传感器、压力变送器的实时测量值，通常是以16位整数表示的工程值。

通信模式：三大主流变体

模式	主要特点	帧结构与校验	优势	劣势
RTU (远程终端单元)	基于串口(RS-232/485)，二进制传输，效率高	以至少3.5个字符的空闲时间界定帧包含地址、功能码、数据、CRC校验	通信效率最高，在相同波特率下可比ASCII模式传输更多数据	对时序要求严格，帧间隔需精确控制在3.5个字符时间窗口内
ASCII	基于串口，用ASCII码传输，便于阅读	以冒号":"开始，以回车换行(CRLF)结束包含地址、功能码、数据、LRC校验	报文格式直观，便于人工调试和阅读	传输效率低，每个字节数据需要用2个ASCII字符表示
TCP	基于TCP/IP网络，端口502，适应现代工业网络	帧结构为MBAP头 + PDU MBAP头含事务标识符、协议标识符、长度和单元标识符 PDU部分与RTU相同	高性能，高并发，支持跨网段，无复杂时序限制，调试简便	依赖于TCP/IP网络，增加了网络层的复杂性

功能码：工业世界的"指令表"

功能码（Function Code）是嵌入在Modbus请求中的命令代码，主站通过它告诉从站要执行何种操作。

功能码 (Hex)	功能码名称	操作类型	操作对象
0x01	读线圈 (Read Coils)	读	1个或多个线圈
0x02	读离散输入 (Read Discrete Inputs)	读	1个或多个离散输入
0x03	读保持寄存器 (Read Holding Registers)	读	1个或多个保持寄存器
0x04	读输入寄存器 (Read Input Registers)	读	1个或多个输入寄存器
0x05	写单个线圈 (Write Single Coil)	写	单个线圈
0x06	写单个寄存器 (Write Single Register)	写	单个保持寄存器
0x0F (15)	写多个线圈 (Write Multiple Coils)	写	多个线圈
0x10 (16)	写多个寄存器 (Write Multiple Registers)	写	多个保持寄存器

当从站无法执行请求（如地址非法）时，会在响应帧中返回异常码 ，其功能码为请求功能码的最高位加1 （即加上0x80），并附带异常代码（如01=非法功能，02=非法数据地址，03=非法数据值）。

错误处理机制：CRC校验与重试

Modbus协议保证通信可靠性的核心机制是：通过CRC-16循环冗余校验确保数据链路层传输准确，并通过主站程序中的超时与重试机制补救应用层异常。

实际通信案例：读取保持寄存器

一个典型的Modbus通信流程如下：

请求帧（主站→从站地址0x01） ：

00 01 00 00 00 06 01 03 00 00 00 02

这个请求使用Modbus TCP模式，其含义是：
- MBAP头 (00 01 00 00 00 06)：00 01为事务标识符；00 00为协议标识符（0代表Modbus）；00 06为后续字节数。
- 从站地址 (01)：目标设备地址为1。
- 功能码 (03)：执行"读保持寄存器"操作。
- 起始地址 (00 00)：从0x0000号寄存器开始读取。
- 读取数量 (00 02)：连续读取2个寄存器。
响应帧（从站→主站） ：

00 01 00 00 00 05 01 03 04 00 0A 00 14

这个成功的响应帧含义如下：
- MBAP头 (00 01 00 00 00 05)：00 06变为了00 05，代表响应报文的后续字节数为5。
- 从站地址 (01)：响应来自1号设备。
- 功能码 (03)：确认"读保持寄存器"操作成功。
- 数据字节数 (04)：表明后续有4个字节的数据。
- 寄存器1数据 (00 0A)：1号寄存器值为0x000A（10进制为10）。
- 寄存器2数据 (00 14)：2号寄存器值为0x0014（10进制为20）。

典型应用场景与小结

凭借其开放性 、简单性 和稳定性 ，Modbus广泛应用于工业自动化、能源管理、楼宇自动化等众多领域。其挑战主要在于安全性 、实时性 和主动性 方面（不支持主动上报）。通过部署协议转换网关（如Modbus转MQTT），可在保留设备接入优势的同时，规避其安全缺陷并增强系统集成能力。

问题1：为什么同一个地址（如40001）在不同的设备中可能代表不同的东西？这是协议本身的问题吗？
问题2：CRC校验具体是如何工作的？它能保证100%的数据正确吗？
问题3：如果Modbus网络中有多个主站，如何协调它们的通信？