4. 矿山OPC UA服务器选型与部署

在矿山数据采集项目中，OPC UA服务器是现场设备层与SCADA之间的“翻译官”和“安全闸门”。选型不当，轻则调试周期拉长，重则因并发能力或安全策略不匹配导致数据中断。本节围绕三类主流方案展开：商业成熟的KEPServerEX、面向开发与测试的Prosys OPC UA Simulation Server，以及开源可嵌入的open62541，并给出安装、端点配置与安全策略设置的可执行路径。

一、三类方案的定位与选型判断

KEPServerEX（Kepware）是工业现场应用最广的商业网关，内置数百种驱动，可直接对接西门子S7、Modbus TCP、AB Logix、OPC DA等，适合矿山中PLC、皮带秤、提升机、通风机多品牌混存的场景。其优势是驱动成熟、图形化配置、支持冗余与高级标签管理；代价是授权费用较高，且深度定制需借助插件。

Prosys OPC UA Simulation Server主要用于协议验证、客户端联调和教学演示。它可快速构造地址空间、模拟变量变化，适合在SCADA组态前验证会话、订阅、安全策略是否匹配。它不适合作为长期生产数据源，但在联调阶段能显著降低“到底是服务器问题还是客户端问题”的排查成本。

open62541是开源（MPL 2.0）的OPC UA协议栈，以C语言实现，可编译进嵌入式网关或边缘计算盒，适合需要深度定制信息模型、把矿山专有设备数据语义化建模的场合。它灵活、无授权费，但需要开发人员自行实现驱动接入、证书管理和持久化，工程门槛最高。

二、安装与端点配置的关键动作

以KEPServerEX为例，安装时应选择“以服务方式运行”，使服务器在无人登录时仍能采集数据；安装账户建议使用具备本地服务权限的专用账户，避免使用个人域账户导致密码变更后服务中断。安装完成后，在“OPC UA Configuration”中启用UA接口，默认端口为4840。矿山现场通常有管理网与生产网两套网络，端点绑定应明确选择生产网网卡IP，而不是“所有网卡”，以减少暴露面。

端点URL的规范形式为 opc.tcp://192.168.10.20:4840。若服务器位于NAT之后，需在端点中填写客户端可达的外部地址，否则客户端拿到的端点列表会指向不可达的内网IP，表现为“能连上但无法创建会话”。Prosys的端点配置在“Options → OPC UA Server”中设置，可同时开启多个端点用于对比测试。open62541则在代码中通过 UA_ServerConfig_addNetworklayerTCP 指定端口，并在 UA_Server_run_startup 前完成安全策略加载。

三、安全策略设置与证书信任

OPC UA的安全由“安全策略”和“消息安全模式”两个维度共同决定。安全策略决定签名与加密算法，矿山项目推荐 Basic256Sha256，兼顾兼容性与强度；消息安全模式选择 Sign & Encrypt，即签名并加密。仅选 Sign 只能防篡改不能防窃听，在跨越办公网的链路上不建议使用。匿名登录应关闭，改用用户名口令或证书认证。

证书信任是联调中最常见的卡点。服务器首次启动会自签名生成应用实例证书，客户端（如UaExpert或SCADA）连接时，双方需将对方证书加入“信任列表”。典型现象是：客户端提示 BadSecurityChecksFailed 或 BadCertificateUntrusted，此时应在服务器端“Trusted Clients”中导入客户端证书，在客户端“Trusted Servers”中导入服务器证书，然后重建会话。证书有效期建议设置为3～5年，并在项目运维计划中登记到期时间，避免证书过期导致采集中断。

四、联调验证与结果判读

部署完成后，用UaExpert连接端点，依次完成：浏览地址空间确认标签层级正确；对关键变量（如皮带秤瞬时流量、主通风机电流）建立订阅，观察采样周期内数值是否刷新；查看会话状态中的安全策略是否显示为 Basic256Sha256 / Sign & Encrypt。若订阅无数据，先查变量节点ID是否与SCADA组态一致，再查服务器端是否因权限限制拒绝读取。下表给出一个可参考的部署检查项示例（参数为教学示例，实际以现场为准）。

选型的最终判断应回到项目约束：若现场设备品牌多、工期紧、运维力量有限，KEPServerEX的授权成本可被调试效率抵消；若处于方案验证或SCADA组态前期，Prosys能快速暴露协议层问题；若需要把矿山专有设备语义嵌入地址空间并长期自主可控，open62541是合理选择，但须预留开发与证书运维投入。三者并非互斥，实际项目中常见“边缘侧open62541做语义汇聚、中心侧KEPServerEX做多协议接入”的组合部署。