【畅学技术】PCS 7 用户权限设置

1 内容介绍

过程控制系统中通常包含若干工艺段，操作界面也依此划分不同区域并由不同用户来操作。用户权限管理是DCS系统至关重要的一个环节，合理的用户权限设置是确保系统安全稳定运行及重要运行数据不被窃取或篡改的一个前提。在实际工厂往往对用户权限管理有详细的要求，例如：不同用户可操作的区域不同、重要参数只有部分用户可设置、只显示当前登录用户对应区域的消息等。

图1 Demo项目和用户权限效果

我们以上图为例说明PCS 7中用户权限相关内容和技巧，并实现如下需求：

• 操作界面根据工艺划分为Unit1 Unit2 Unit3三个区域

• 分别为每个区域分配独立的操作员用户组，只可监控各自的区域

• 设置一个监视用户组，可以监视各区域但不可操作，作为Web的用户

• 设置一个工程师组，包含所有权限

2 PCS 7 用户管理器功能

OS项目的用户管理器中已经包含了预定义的默认授权和系统授权，这些授权分别由唯一的ID标识，各授权之间相互独立，ID编号大的授权并不包括编号较小的授权。

图2 用户管理器

对于上述默认权限，名称只是标识了对应权限的功能，根据名称可能无法明确该权限的实际用法，列表简要说明如下：

表1 默认权限

注意：1000和1001在PCS 7 系统中不使用。

通过用户管理器也可以激活SIMATIC Logon登录实现中央用户管理，如下图所示：

图3 用户管理器属性

当使用SimaticLogon方式登录时，因为使用指定计算机或域控中的用户名和用户组，在OS的用户管理器中只需创建同名的用户组并给用户组设置权限就大功告成。有关SimaticLogon的更多内容可参考1847中内容。

当使用OS本身的用户管理时，在上图中“密码兼容性”选项卡还可以设置密码的复杂度，防止密码泄露。

图4 用户组权限设置和属性

如上图所示，用户管理器通常按照用户组来分类，创建新的用户组并给该用户组分配权限，之后该用户组中新建用户即可默认集成所属用户组的权限（但可以对用户组中的用户单独调整权限，这也意味着仅是默认集成，后续用户组和用户可以独立设置权限，且不会互相同步）。

对于用户组和用户还可设置用户是否自动注销，包含：不自动注销、用户登录后经过时间注销、无操作后经过设置时间注销三种类型，通过“到进行自动注销的时间段”设置自动注销的时间。

在用户管理器中可以设置用户组和用户是否可应用于Webnavigator的网页端登录用户名，并设置起始画面。

对于具体用户还可以组态变量登录，顾名思义就是可以通过改变变量的值而自动改变当前登录的账号。具体实现方法如下：选择用户管理器→在其属性中设置变量登录的各个选项：计算机名、变量名称、下限和上限。

图5 变量登录

为每个用户分配具体的登录变量值，如下图所示：

图6 为用户分配变量登录值

这样当UserTag的值为1时，即自动登录了unit1_1的用户。

3 通过CFC管脚分配用户管理器中的权限

APL的面板中每个操作均已分配了特定的操作权限级别，可以方便的在块图标和面板中进行设置。但实际项目中同一类设备（使用相同面板）也会进行区分，PCS7 为了用户方便可以在CFC中对功能块实例修改该操作授权级别 –即功能块对应引脚的“操作员授权级别”属性（例如模拟量监视块的报警限值设定），如下图所示：

图7 CFC设置操作员授权级别

操作员授权级别可设置的数值范围为0-5，分别对应如下级别的权限：

表2 操作员授权级别和权限的对应关系

对于上述表格中授权级别的功能和示例均基于 APL功能块的默认授权级别，用户可根据实际需求进行调整。例如图7中我们可以将PV_AH_Lim的操作员授权级别修改为3，并执行OS的编译下载之后，只有具有“Zui高过程控制”权限的用户方可修改高报的限值。

图8 操作员授权级别示例

4 PCS 7 项目中用户划分

PCS 7项目中的用户划分通常按照如下三种方式：

• 用户职责：工程师、操作员、系统管理员

• 工艺：例如图1中按照单元进行区域划分

• 用户职责和工艺结合：例如操作员不可修改 PID的参数，只有系统管理员或工程师方可退出图形运行系统，Unit2的用户不可操作Unit1的画面等

如开篇所述，我们结合图1的例子和要求为此控制系统系统创建5个用户组即Unit1-3、Engineer、Monitor，并分别设置各个组的权限，在各个组下创建若干用户，默认集成所属组的权限：

表3 Demo项目用户组划分

用户组	授权描述	用户组授权设置截图
Unit1	●  可选择Unit1的区域按钮 ●  可操作Unit1中的电机阀门设备 ●  可操作Unit1的SFC ●  可切换运行语言
Uint2	●  可选择Unit2的区域按钮 ●  可操作Unit2中的电机阀门设备 ●  可操作Unit2的SFC ●  可切换运行语言
Unit3	●  可选择Unit3的区域按钮 ●  可操作Unit3中的电机阀门设备 ●  可操作Unit3的SFC ●  可切换运行语言
Enigneer	●  可操作所有单元的区域按钮 ●  可操作所有单元的电机阀门设备 ●  可修改所有单元的PID参数 ●  可修改模拟量监视上下限等 ●  可以激活仿真 ●  可以取消激活OS ●  可切换运行语言	备注：报表系统、远程激活/组态与PCS7系统无关故不选择，Engineer组不用于Web访问故不激活Web访问仅监视
Monitor	●  可操作所有单元的区域按钮 ●  不可对任何设备进行操作 ●  可以切换运行语言 ●  可用于Web访问 – 仅监视

5 如何根据用户区域权限显示消息

如开篇所述，通常情况下某个用户仅可操作部分区域，故默认也不应显示其他区域的报警（或其他区域报警显示但不可确认），可通过设置 OS项目编辑器中的消息过滤选项满足上述需求。

• 无过滤：显示所有的报警消息

• 有授权区域的消息：仅显示具有授权区域的消息和未指定区域的消息，如下图所示，仅具有Unit2区域权限的用户登录后不显示Unit1和Unit3中的报警

• 可确认的消息在单独列表中：每个报警界面包含两个报警控件，其中一个显示不可确认的消息，一个控件显示可确认的消息，如下图所示：

• 可确认的消息在单独页面上（可切换）：对于新到达、已确认、已离开和未决消息均有两个独立的按钮用于显示不可确认和可确认的消息，如下图所示：

图12 可确认消息在单独页面

6 与授权相关的OS项目编辑器其他设置

默认情况下对于缺失授权的区域无法通过区域按钮和组显示来选择画面，也正如我们在第4部分的用户管理中分别为Unit1-3三个用户组只设置了其对应区域的权限，这样以达到各区域只可查看各自区域的功能。个别场景中可能会有这样的需求：对于缺失区域授权的用户仍然可以查看其他区域的画面，不应显示其负责区域之外的报警。使用第4部分的方法可以只增加其他区域的授权，同样会导致显示这些不可操作区域的消息，与特殊需求相悖。

实际上在OS项目编辑中已经提供了满足这种需求的快捷设置方法，如下图所示：

图13 缺失授权的区域选项

对于情形1即未经授权的区域按钮显示为灰色，对于情形2和情形3如下图所示，当前登录用为Unit1用户组中的用户，当选择情形2时可通过区域按钮切换到未经授权区域的过程画面Unit2，当选择情形3的时候则可以通过区域按钮和组显示两种方式切换到未经授权的区域画面Unit2：

图14 缺失授权的区域示例

注意：情形2和3只适用于区域按钮和组显示，对于“基于画面名称的导航”依然按照是否具有对应区域授权来显示。

7 按钮区各按钮所需授权

        此处按钮区包含如下图所示的按钮组1和按钮组2。

图15 按钮组权限

对于上诉按钮大部分并不需要授权即可进行操作，部分按钮则需要根据当前登录用户的权限来判断是否可操作：

表4 按钮组按钮默认对应权限

按钮	功能	所需授权
	日志：打开提供所有日志概览的“日志”(Logs) 系统对话框	区域授权
	加载/组态趋势组：打开“加载/组态趋势组”(Load/ configuretrend groups) 系统对话框	区域授权
	再调用画面组成：打开之前保存的画面和窗口的画面组成	区域授权
	保存画面组成：保存画面上画面和窗口的当前组成，用于下次调用	区域授权
	删除画面组成：删除先前保存的画面和窗口的画面组成	区域授权
	工厂组态：在工作区中显示 OS 上“设备状态监视”	区域授权
	确认消息：确认工作区中过程画面内显示的所有可见消息	过程控制
	更改语言：在工作区中打开对话框，在此对话框中可以为用户界面选择需要的语言	监视
	锁定消息：锁定消息，不再产生	过程控制
	解锁消息：取消锁定，消息存在时触发	过程控制