做工业通讯调试这些年被问得最多的问题就是Modbus功能码到底怎么选01、02、03、04、05、06、15、16……这串数字背下来不难难的是每次对着设备手册还是一头雾水不知道手里这台仪表到底该用哪个码去读。这篇文章我就把Modbus功能码拆到报文层面讲清楚功能码在帧里站在什么位置、8个最常用的码分别在什么场景用、收到异常码该怎么判断问题、以及项目里最容易踩的地址偏移和数量限制类坑。适合刚接触PLC通讯、组态软件和仪表接入的工程师也适合写采集程序时想确认自己没选错功能码的人。1. 从一帧报文看功能码的位置与职责1.1 先拆开RTU帧功能码就是第二个字节一串标准的Modbus RTU请求帧是这个样子的字段地址码功能码数据区CRC校验长度1字节1字节N字节2字节示例010300 00 00 02C4 0B以01 03 00 00 00 02 C4 0B这帧为例01是从站地址03就是功能码后面跟着的是数据区最后两个字节是CRC校验。功能码是整个帧里语义最明确的一个字节它直接告诉从站我这次请求是要读保持寄存器还是我要写单个线圈。如果从站能理解这个功能码并且参数合法它就会按照功能码的约定往回吐数据如果它不理解就会把功能码的最高位置1也就是在原始功能码基础上加上0x80然后返回一个异常码。这也是为什么调试工具里常看到0x83、0x84这类看起来很奇怪的功能码本质上就是原功能码01、02的报错版本。1.2 请求-响应模型里功能码决定能不能答与怎么答Modbus是典型的一主多从请求响应模型。主站下发请求帧从站执行完动作后回一个响应帧广播地址0x00除外——广播时从站执行但不会回复。功能码在中间扮演的角色就是那个约定你这次要干什么的指令编号。打个比方主站和从站之间就像两个人在柜台办业务功能码相当于你递过去的业务单据。你递一张查询余额的单据柜员就知道该去账务系统里查数字你递一张转账的单据柜员就知道要修改账目。如果单据本身写错了柜员不会帮你猜你要干嘛只会回一句这业务办不了——对应到Modbus里就是异常响应码01非法功能。理解这个模型之后很多现场问题就有了清晰的归因方向报文通了、CRC没错、从站也回了但回的是异常帧那大概率是功能码和数据区不匹配。比如你要读的是输入寄存器却发了03读保持寄存器的报文有的从站会直接返回非法功能或非法数据地址而不是好心帮你把数据找出来。1.3 为什么功能码比看似相似的寄存器地址更值得先研究调试Modbus设备时大家第一反应往往是查地址表手册上写着电压地址40001、电流地址40002于是赶紧在软件里填地址。地址固然重要但功能码才是决定通讯语义闭环的第一道门槛。地址表通常按数据区划分四个数据区各有一套地址编号。你选了03地址40001才指向保持寄存器你选了04地址30001才指向输入寄存器。功能码选错地址跟着全错。更麻烦的是有些设备手册并不会把所有功能码都列全只说支持标准Modbus协议这时候你必须先确认设备支持哪些功能码再去谈地址。我自己的习惯是拿到新设备第一件事翻手册里通讯协议章节找两个东西——Supported Function Codes支持的功能码列表和Register Map寄存器映射表。前者决定我用哪些功能码后者决定我填什么地址。两者对不上后边的调试就是浪费时间。2. 八个常用功能码从数据模型到使用场景2.1 四类数据区线圈、离散输入、输入寄存器、保持寄存器Modbus协议把从站内部的数据抽象成四块每块对应不同的读写属性功能码也是围绕这四块数据设计的数据区位/字读写属性典型数据线圈 Coil位可读可写继电器输出、DO点、启停命令离散输入 Discrete Input位只读按钮、接近开关、DI点输入寄存器 Input Register16位字只读电压、电流、采集到的测量值保持寄存器 Holding Register16位字可读可写设定参数、运行变量、累计值初看会混淆的是输入寄存器和保持寄存器听起来差不多实际定位完全不同。输入寄存器只读一般放外部设备实时采集到的数据比如温控表读到的温度、电流表读到的电流保持寄存器可读可写一般放允许主站修改的设定值和运行过程中的上下限、目标值之类的参数。少数设备也把测量值放在保持寄存器里这种属于实现习惯问题以手册为准。给PLC做点位表时我会先把IO类型和这四个数据区做映射开关量输入就是离散输入开关量输出就是线圈模拟量采集就是输入寄存器要下发的设定值就是保持寄存器。映射清楚了功能码自然就出来了。2.2 读侧功能码01-04到底想读什么读操作是日常调试里频率最高的。四个读功能码对应四个数据区01读线圈读取DO状态、继电器吸合状态返回的是每一位的布尔量。02读离散输入读取DI点状态比如门禁开关、限位开关、急停按钮。03读保持寄存器最常用的一个码读参数、读设定值、读运行变量一帧最多读125个寄存器。04读输入寄存器读只读的测量值比如温湿度传感器读到的温湿度、电力仪表读到的电压电流。实际选型时核心问题就一句话我要读的东西是只读的还是可读可写的。可读可写用03只读用04。知道用03还是04之后再去地址表里找对应的寄存器编号。这里有个容易踩的弯有的设备手册把测量值放在03区也有的放在04区两个都能试出来但不要凭感觉先看手册。2.3 写侧功能码05、06、0F、10动作的组合拳写操作分成单点和批量两类四个功能码对应四种动作05写单个线圈输出一个DO点的状态比如启动一台电机、打开一路阀门。06写单个寄存器修改一个保持寄存器的值比如把PID目标温度改成80。0F十进制15 写多个线圈一次批量输出多个DO点按位打包适合同步下发一组开关状态。10十进制16 写多个寄存器一次连续写多个保持寄存器适合批量下发参数表。单点和批量怎么选我的建议是如果只是偶尔控制一个点用05或06报文简单、排查省心如果每个扫描周期要同步刷新一批点用0F或10一次交互搞定不容易出现中间态。一个小知识点06和10其实是能互相替代的10也能只写一个寄存器但主流习惯还是单个用06、批量用10。有的从站对这两个功能码的响应细节有差异保守做法是跟随手册推荐手册没写就首选06。2.4 一张速查表收拢8个功能码功能码名称操作对象典型场景一次最大操作数01读线圈线圈读DO状态2000位02读离散输入离散输入读DI状态2000位03读保持寄存器保持寄存器读参数/运行值125个寄存器04读输入寄存器输入寄存器读测量值125个寄存器05写单个线圈线圈单点启停1位06写单个寄存器保持寄存器修改单个参数1个寄存器0F写多个线圈线圈批量DO输出1968位10写多个寄存器保持寄存器批量参数下发123个寄存器这张表我建议直接打印出来贴在工位上。大多数设备调试场景90%的功能码选型都落在上边这8个里。剩下10%可能会碰到0x16掩码写寄存器、0x17读写多寄存器之类的进阶功能码后面章节单独说。3. 报文拆解让功能码从纸上落到线缆里3.1 读保持寄存器03的完整交互假设我要从站地址01的设备上读取保持寄存器地址0、1两个寄存器请求帧是这样拼的01 03 00 00 00 02 C4 0B逐字节拆解01从站地址03功能码00 00寄存器起始地址高位在前00 02读取数量C4 0B是CRC16校验值。从站正常响应长这样01 03 04 00 01 00 02 3B B701地址03功能码04数据字节数两个寄存器乘以2字节00 01是地址0的值00 02是地址1的值3B B7是CRC。从这里能看出一个规律响应帧里寄存器值全部是大端序高字节在前低字节在后。我在写采集程序时最常用这样的伪逻辑拼请求帧发出去收响应校验地址码和功能码然后按字节数把数据切出来每两个字节转换成一个无符号整数。这套逻辑无论换成哪个功能码骨架都不变。3.2 05写单线圈FF00这个特殊值别记岔写单个线圈的功能码是05请求帧格式为01 05 00 00 FF 00 8C 3A00 00是要写的线圈地址FF 00表示置ON00 00表示置OFF。注意这里布尔量的定义不是常见的01和00协议规定ON必须用FF00OFF才用0000。有的从站校验很严格你发01 00它可能当作非法数据值异常码03处理。当初我在这上面栽过一次早期用一个通用工具测试界面上勾选置位后工具自动发了FF00一切正常后来自己写代码时图省事直接填了0x01结果从站那边纹丝不动排查了半天才反应过来。所以关于05功能码就一句话ON就是FF00OFF就是0000别自创。3.3 批量写0F/10的数据区怎么数批量写就比单个写稍微复杂一点因为数据区里要先声明我有几个数据要发。写多个线圈0F请求帧格式01 0F 00 00 00 10 02 CD 01 ...CRC00 00起始线圈地址00 10数量16个线圈02字节数后面的数据按每8个线圈打包成一个字节。字节内每个bit对应一个线圈bit位顺序是先低字节的低bit位。这个打包规则第一次数容易乱我的办法是先在纸上把线圈编号和bit位对应表画出来再动手拼字节。写多个寄存器10格式则直白得多01 10 00 00 00 02 04 00 01 00 02 ...CRC起始地址后跟数量再跟一个字节的字节数数量乘以2然后就是每个寄存器的两字节大端数据。响应帧只回地址码、功能码、起始地址和数量不回数据内容。3.4 手动算一次CRC16以后看报文心里就有底CRC校验是RTU帧的收尾也是不少新人觉得玄乎的地方。其实算法很固定多项式0xA001初值0xFFFF对地址码、功能码和数据区逐字节进行异或移位运算。用一句话概括就是每个字节先和CRC低字节异或再右移8次碰到最低位是1就额外异或0xA001。给你一段可以直接抄的验证代码def modbus_crc(data: bytes) - int: crc 0xFFFF for b in data: crc ^ b for _ in range(8): if crc 1: crc (crc 1) ^ 0xA001 else: crc 1 return crc # 验证请求帧数据部分 01 03 00 00 00 02 frame bytes.fromhex(01 03 00 00 00 02) crc modbus_crc(frame) print(fCRC: {crc:04X}) # 输出 C40B记得RTU发送时CRC是低字节在前所以计算得到0xC40B发送顺序是C4 0B。我见过不止一个同事把顺序发反然后对着不回复的设备发呆。如果你不想写代码用任意一款Modbus调试工具发个读请求工具会直接帮你把CRC算好、把整个报文显示出来拿那个报文跟自己程序里抓的原始字节对比就能快速定位是不是CRC问题。4. 异常响应码功能码加上0x80之后的事故现场4.1 识别异常帧的三个步骤从站收到一个无法执行或参数有误的请求时回的不是正常数据而是一个异常帧。判断是不是异常帧三步就够第一步看功能码是不是大于等于0x80。正常功能码范围在0x01到0x10附近加了0x80就说明这帧是异常响应。比如我发的是01 03 00 00 00 02如果从站回01 83 02 C0 F1那么这个83就是03 0x80明显是异常帧。第二步看异常帧的第三个字节也就是异常码它告诉我们具体错误原因。第三步对照异常码表去定位是功能码问题、地址问题还是数据值问题。4.2 异常码表从非法功能到从站忙异常码含义常见触发原因01非法功能从站不支持该功能码或功能码与数据区不匹配02非法数据地址起始地址加数量超出从站有效范围03非法数据值数据区内容非法比如写入值超限、数量为004从站设备故障从站内部执行时出错常见于写EEPROM失败05已接受但需延时从站正在处理一个长任务06从站忙从站正忙无法再接收新请求0A网关路径不可用网关路由无法到达目标从站0B网关目标无响应目标从站超时未响应网关代为回复日常调试里出现频率最高的是01、02、03这三个。01是功能码本身选错02是地址越界比如设备只有0到9十个寄存器你偏偏去读地址2003是写入的值不被接受比如把温度设定值写成了6000超出设备允许范围。4.3 一次读操作报02的排查过程举个我实际排查过的例子一台现场仪表手册写到电压寄存器编号40004。我在主站软件里填地址4功能码选03结果从站回的是83 02也就是非法数据地址。当时的排查链路是这样的先怀疑地址偏置Modbus协议里40004对应的实际协议地址是3也就是0x0003于是把地址改成3结果还是报02。再怀疑功能码不对这台仪表的电压值会不会其实放在输入寄存器区于是改用04读地址3结果正常读到数据了。这个案例说明报02不一定就是地址越界也可能是功能码和数据区不匹配。因为从站内部实现的寄存器映射是按数据区分开的你在保持寄存器区用03读地址3对应位置根本没有分配寄存器设备就当成非法地址处理。后来我养成了一个习惯遇到异常码先同时怀疑两个变量——功能码和地址偏置而不是只调地址。5. 选型与边界项目里怎么定功能码5.1 读04还是读03写05还是写0F功能码选型的判断顺序我总结成先看区、再看动作、最后看数量。先看区这台设备手册里把我关心的数据放在哪个数据区。只读测量值优先用04可读可写的参数和状态值用03。有的设备手册会把寄存器映射表做成Excel列头写着Address/Type/AccessAccess里标了R就是读标了R/W就是可读可写对着这个选功能码最稳。再看动作单个控制点用05或06批量同步用0F或10。这里有实操经验可以分享控制单台电机启停用05写单个参数用06但如果你有一组参数要下发比如给变频器写频率上限、加速时间、减速时间三个参数用10一次写完比用06发三次更可靠。原因是多个06分帧写入时存在中间态万一写到一半通讯断了设备可能就停在部分参数已更新的状态而10批量写如果失败设备可以整体丢弃。最后看数量超过一节5.3列出的上限时不管功能码是什么都要分批。分批时注意重叠和连续性别把地址算错。5.2 40001和0x0000地址偏移的处理Modbus最经典的一个坑就是地址编号偏移。协议里寄存器地址从0开始比如保持寄存器的地址是0x0000、0x0001、0x0002……但很多设备手册采用数据地址写法四万系列对应保持寄存器三万一对应输入寄存器编号从1开始。手册写法协议实际地址功能码400010x000003/06400040x000303/06300010x000004100010x000002换句话说手册里写40004你发报文时起始地址填的是0x0003不是0x0004。这个规律对线圈和离散输入同样适用0x0000对应10001或00001编号。有的组态软件里你填地址时会区分PLC地址和协议地址填40004时软件自动帮你减1转成3有的裸报文调试工具则要你自己减。我的经验是每换一个新工具先拿一个已知地址测试一下比如读手册地址40001发地址码功能码0000数量能读到正确数据就说明工具已经处理好偏移了读不到就自己手动减。5.3 一次能读多少点报文长度与数量上限数量上限不是随便定的它源于一帧报文不能超过256字节这条硬约束。拿读保持寄存器来说响应帧结构是地址1字节功能码1字节字节数1字节数据N字节CRC2字节总共N5字节。要保证整帧在256以内N最多250字节也就是125个寄存器。这就是为什么规范里写03/04一次最多125个寄存器。线圈因为每个点只占一个bit2000位折合250字节所以01/02一次最多2000位写多个线圈0F一次最多1968位因为写请求帧里还要多带地址和字节数写多个寄存器10一次最多123个寄存器也是因为要把请求帧额外开销算进去。联调时最常见的问题发生在批量读上我遇到过一位同事把要读的寄存器数量填成130从站直接回异常码02排查了很久才发现是数量超限。后来我写采集程序时都会做一个简单断言读保持寄存器数量超过125就自动拆帧两条请求分开发再把结果拼接。5.4 自定义功能码与扩展功能码的使用边界除了上面8个常用功能码Modbus还定义了一些扩展功能码比如0x16掩码写寄存器可以只改一个寄存器里的某些bit而保留其余bit适合处理状态字0x17读多个寄存器加写多个寄存器的组合操作一次交互完成读和写常用于PLC同步一段数据区。这些功能码是标准协议的一部分但不少从站固件根本没实现用之前一样先确认手册。另外还有0x41到0x5A这段用户自定义区厂商可以拿它做一些私有扩展。这段区域的通讯语义只在同一厂商的设备之间有效不同品牌之间完全不通。我做项目时会刻意避开私有功能码宁可多写几条标准功能码报文也不去依赖某个具体厂商的私有实现否则后面换设备、换平台时全是雷。最后再提醒一句所有功能码的最终裁判是设备手册。手册里如果有一行Supported Function Codes列表那就只在这个列表里选。有些设备虽然实现了03和04但04只支持地址0到5你读地址6照样报02。把手册当第一参考把调试工具当第二参考把经验当第三参考这个顺序能帮你省下大量现场时间。我自己的习惯是每接一台新设备先在调试工具里跑一遍读寄存器数量1的最小测试拿到正常响应后再逐步扩展到批量读确认无误后再去写程序。这个流程看起来慢实际上最能避免“程序写完了才发现功能码选错”的返工。
文法核心考点)
