随着教育信息化应用的迅速发展，高校的教学资源日渐丰富。诸多学校为了实现资源的有限共享，都提供了VPN远程访问数字资源的服务。与读取图书馆等文献网页资源其相比，高校在远处实验室资源的共享上起步较晚。随着信息化的发展，国内外高校纷纷根据实验室的情况，推进设备的网络化进程。然而，在过程控制领域，由于设备总线协议方面的限制，远程系统往往局限于监控方面，远远不能满足对系统设备进行编程调试的需要。

台达PLC可编程控制器具有可连接CANo p e n /DeviceNet主站的以太网模块，应用于工业控制系统，其功能易于扩展。通过其网络接口将通用协议与开放式软件接口有机结合，保证了控制数据高效传输，并实现了信息从底层的设备网到上层信息网络的无缝传输。本文构建了一种适用于台达PLC可编程控制器的远程控制系统。通过登陆该系统，客户端可以实现远程对上位机操作，下位机编程并且通过视频图像监控设备的运行，同时，服务器记录客户端的登陆信息及进行管理账号。此外，客户端还可以通过视频监控设备的运行情况。

二、系统的总体结构及功能介绍

2.1远程控制系统的总体结构

基于台达PLC控制器的远程控制系统由现场设备，远程网络控制服务器和远程客户端组成（如图1所示）。其中，现场设备由PLC控制的KNT-PCK3自动仓储实训装置等实验设备组成。PLC控制器含有以太网通讯模块DVPEN01-SL，可通过网络规划软件DCISoft进行远程设置及通讯功能。该模块支持Modbus TCP通讯协议，可使用图控软件或人机介面，进行远程的监控。DVPEN01-SL也可以作为Modbus TCP的主端，可发送Modbus TCP指令，控制周边设备。

远程网络服务器是由装有Linux系统的计算机，其上架设有虚拟专用网服务器、Radius服务器、LAMP网络服务系统以及MJPG-streamer流媒体服务器。其中，虚拟专用网服务器提供可靠的网络链路以供客户端接入；Radius服务器对客户端进行授权，对账户进行记录及管理；流媒体服务器提供网络摄像头的直播服务；在Apache服务器上，既可以提供查询Radius服务器的管理界面也可以提供流媒体网络直播服务的平台；流媒体服务器提供实时监控的图像。客户端电脑采用Windows XP系统，在其上安装的软件有虚拟专用网的客户端和与台达PLC的相应编程、通讯软件（DCISoft、WPLSoft和Screen Editor）。其中，通过WPLSoft对PLC控制器进行配置与编程，通过DCISoft为台达软件应用程序提供底层驱动连通性，通过Screen Editor对HMI人机界面进行编程，以便对自动控制设备与生产过程进行高速与有效的监视。客户端需要先登陆到服务器上，通过服务器建立隧道连接，与现场设备进行通信。当与服务器的连接建立以后，客户端可以直接使用WPLSoft组态软件对设备进行系统配置；也可以通过DCISoft连接台达PLC控制器，对程序进行修改，上载所编写的程序以及下载控制器上的程序；通过Screen Editor与触摸屏建立连接，对控制画面进行修改，下载画面到台达触摸屏中，以实现HMI人机界面对设备进行操作；客户端也可以同时通过浏览器实时监控设备运行的画面。

2.2客户端登陆流程

用户在远程登录操作之前需要在网页上进行预约，服务器会将预约信息自动添加到RADIUS服务器中。用户在预约的时间段内要登陆服务器，首先需要采用自己的用户名与密码登录OpenVPN客户端，OpenVPN客户端将通过Internet向服务器发送连接请求。在服务器上的虚拟专用网服务器接收到客户端的请求后，向Radius服务器发送认证请求(如图2所示)。Radius服务器连接到数据库，查询数据库内的账户信息。如果用户之前预约到了相应的时间段，此时数据库将会有该预约信息，并将账户信息的查询结果发回到radius服务器。Radius服务器通过收到的账户信息，判断是否允许客户端连接，如果允许客户端连接，则由虚拟专用网服务器发起连接，建立虚拟专用网。

三、远程网络控制服务器的构架

3.1工业以太网的架构

台达PLC可配有以太网通讯模块DVPEN01-SL，可通过WPLSoft进行远程设置及通讯功能。该模块支持Modbus TCP通讯协议，可使用图控软件或人机界面，进行远程的监控。同时，DVPEN01-SL也可以作为Modbus TCP的主端，发送Modbus TCP指令，控制周边设备。借助该模块可构建相应的工业以网，实现工业自动化应用的实时控制、网络组态和数据采集。但是，传统的工业以太网往往局限于本地局域网内，并不能适应远 程控制的需要。由于受以太网模块配置的限制，该模块只能工作在局域网内，这使得远程接入网络对系统进行控制变得困难。

3.2VPN虚拟专用网络的架构

VPN（Virtual Private Network，虚拟专用网络）是利用公网线路连接节点而搭建成的临时的、安全的连接。通过虚拟专用网，用户可以采用Internet作为介质来建立网络传输数据。该技术具有的加密和其它安全机制可以确保只有授权的用户才有权对网络进行访问，同时传输数据不能被截获，是一条穿过混乱的公用网络而建立起来的安全、稳定的连接。有多种方法实现VPN的技术，目前主要有基于PPTP、L2TP、MPLS、IPSec、SSL等技术的VPN实现方案。其中，SSL VPN是最近几年提出的构建VPN的新方法，是一种基于数据包封装技术的、利用SSL/TLS协议结合加密算法和身份认证技术的、可靠安全地构造虚拟专用网络的一种方法。本系统采用的OpenVPN技术是一个具有全部功能的开源SSL VPN解决方案，它具有可跨多种操作系统及网络环境运行、至此用户证书认证、可与防火墙相结合使用、提供多种加密算法实现数据加密、NAT穿透力强、支持动态地址分配、可配置性强等优点。

OpenVPN通过构造虚拟TUNTAP设备，将网络数据包使用SSL/TLS技术重新加密传输，以实现隧道功能。其中，TUN指的是虚拟点对点设备，是字符设备驱动。字符驱动可以实现网络包在用户空间与系统内核之间的传输，用来模拟物理链路的接收和发送过程。TAP指的是虚拟以太网设备，是网卡驱动。该驱动程序用来接收来自TCPIP协议栈的网络包，经过处理后发送出去，或者将接收到的网络包传送给协议栈进行处理。每个进行隧道传输的节点上都必须安装有TUNTAP虚拟设备，根据系统设置分配给这些虚拟设备在虚拟专用网内唯一的IP地址。这些分配有IP地址的虚拟设备构成整个网络。

以仓储实训系统为例，说明数据包封装的过程。当PLC控制的仓储实训系统要通过VPN服务器向客户端发送数据包时，VPN服务器将仓储实训系统的IP作为源地址，客户端建立连接时分配的局域网IP作为目的地址，数据包的内容包含仓储系统报文和运行数据。VPN服务器收到包含仓储系统报文和运行数据包后，它会加密原始的整个数据包，数据包的源地址是VPN服务器端虚拟专用网的IP地址，目标地址为另一端的IP地址。最后，VPN server 通过互联网将数据包发送到VPN client。

3.3RADIUS协议概述

RADIUS（Remote Authentication Dial In User Service，远程认证用户拨入服务）是一种采用Client／Server模式，基于UDP协议的用户接入管理协议。该协议的最初目的是对使用串行端口与MODEM上网的大量的分散用户进行拨号用户认证和计费管理，此后多次改进成为了最流行的用于用户接入管理的协议。FreeRADIUS是基于RADIUS的软件应用，在该设计中，我们采用FreeRADIUS架构系统的认证服务器，负责对接入用户进行身份认证、授予相应权限并进行必要的监控甚至进行记账。

RADIUS认证服务器认证框架由应用层，服务器层，通用模块层和数据库层四层构成。其中，用户信息、日志信息、计费信息等数据源构成数据库层。服务器层和应用层通过通用模块层访问日志函数和数据库访问函数。服务器层用来实现RADIUS认证服务器的配置以及控制台管理程序，其可以支持多个用户同时接入时代多线程并发处理与数据传输，同时服务器层中的RADIUS协议模块进行协议解析，生成RADIUS请求数据包和产生RADIUS回答包。应用层则由认证模块、授权模块、计费模块及RADIUS Client代理组成，系统通过该层，实现RADIUS的各个功能。RADIUS服务器运行时，先采用认证模块实现对用户的认证；如果需要，还可以同时调用授权模块实现对用户进行相应的授权，并使用计费模块进行计费功能；RADIUS Client代理则负责与上一级的RADIUS Server通讯，以转发用户认证请求。根据实际的需要，可采用一个RADIUS Server服务端，多个RADIUS Client客户端的分布式架设方式；也可以采用将服务端和客户端放在同一台主机上的集中式架设方式。

由于系统中只有一台远程网络控制服务器与实验设备相连接，在本系统中采用后者的架构方式。为了保证客户端与服务器之间的安全通信，本系统采用VPN作为网络连接链路。为了对接入VPN的用户进行授权管理，系统采用了FreeRADIUS进行账户管理。为了在客户端实现VPN与RADIUS之间的通讯，系统采用OpenVPN_Plugin插件实现两者之间的交互。当VPNserver端收客户端连接请求时，直接启动OpenVPN_Plugin插件进行RADIUS认证。在该过程中，OpenVPN_Plugin插件先启动RADUIS client端，RADUIS client端将用户名及密码等信息作为认证请求，送到RADIUSserver端。

当RADIUS server收到认证请求后，首先检验用户是否是合法用户。如果进行认证请求的RADIUSclient的信息不存在于数据库列表中，则视为非法用户，忽略或舍弃该数据包。如果是合法用户，接下来检验数据包是否有效，若为无效数据包则忽略或舍弃该数据包。然后系统进行解包处理，在解包数据中所得到用户的信息为有效值，将回复RADIUS client一个应答数据包，完成整个请求应答过程。之后，系统将继续监听端口以等待下一个RADIUS client发过来的应答请求。

3.4LAMP网络服务系统

LAMP由Linux操作系统、Apache服务器、MySQL数据库和PHP编程语言共同组成，是一种Web的开放资源网络应用和网络开发环境。其中Linux是一个开源开放的操作系统；Apache是网络上最通用的网络服务器；MySQL是一种开源的数据库管理系统；PHP是嵌入的HTML文档脚本语言，它包含了大多数编程语言的优秀特征，内置了对数据库的强大支持功能。

借助LAMP架构，在主机上架构出一台网络服务器，用户可以在该网站进行账户的注册操作。通过管理员审查认证后，当用户要使用台达物流系统时，先登录该网站进行预约，以获得相应的系统操作权限。在用户登入使用台达实验室系统前，系统会根据其所获得的权限进行判断，如果有相应的权限，则允许其进行操作。

用户只要能接入校园网并拥有相应的权限，就可以通过客户端对处于台达实验室的控制器进行调试，上传或者下载程序，并且通过实时视频来观察现场设备的总体运行情况。在各个账户登入系统时，网络服务器对各个账户进行实时监控。同时，该系统还支持用户资料修改、密码修改、发表留言等操作功能。

系统对学生开放，学生可以在课余时间登陆系统进行操作，但为了避免多个用户同时登陆系统时可能出现的冲突的情况，我们在服务器上设置了预约实验的功能。当使用预约功能时（如图所示3），用户可以在该页面预约进行实验的时间，在用户的预约时间段，用户拥有对台达实验室系统的唯一操作权限。

3.5视频实时监控系统

由于用户处于远程操作设备，虽然可以通过PLC相关软件查询设备运行情况，但此过程不如直接采用实时视频进行监控来的直观。系统通过MJPG-streamer流媒体服务器构架出一个视频实时监控系统，提供现场设备的实时视频。该系统由服务器和客户端组成：其中服务器连接摄像头，进行图像的采集工作；客户端通过浏览器读取服务器上的视频图像。

MJPG-streamer服务器启动input_uvc.so模块，通过Linux-UVC V4L驱动读取图像。V4L驱动程序是Linux系统内用于获取音频和视频的API接口函数，通过V4LAPI函数，可以对视频硬件进行初始化、设置硬件属性以及调用硬件中断等操作。MJPG-streamer流媒体服务器将摄像头采集来的图像通过internet进行传播。系统可以选择连接在服务器上不同的摄像头设备，可以根据网络情况设置图像的分辨率和每秒帧数，可以指定传输流媒体的视频端口。在input_uvc.so模块读取图像后，采用output_http.so模块压缩图像数据并生成TCP格式的数据包，发送给客户端。

客户端通过浏览器获取流媒体服务器采集到的视频图像。客户端浏览器中需嵌入VLC插件，以接收流媒体文件。客户端要进行实时视频监控时，先向远程服务器发送图像帧请求。服务器接收到请求后，通过output_http.so模块将TCP格式的图像数据包发给客户端。客户端在浏览器上实时刷新接收到的图像，形成监控视频（如图4所示）。

四、 结论

本文描述的远程控制系统针对台达PLC控制器进行设计，具有实时性好，操作性强，方便的远程监控等特点。经测试，客户端可对实验设备进行自由的控制设计，通过上位机监控界面或视频进行监控，监控视频图像流畅，画面清晰。该系统作为厦门理工学院台达自动化实验室的网络化教学方案投入使用，取得良好的教学效果。

深圳亿鑫是台达华南一级代理商。已连续几年蝉联台达伺服，台达数控，台达变频器，台达plc，运动控制轴卡，温控器，压力表产品销售冠军，是台达高度认可的商业合作伙伴。深圳亿鑫将本着质量+服务=信誉的原则,竭诚为客户提供周到、满意的变频器安装、调试和产品配套等服务工作.