WinCC V7.5如何配置审计日志功能？

Question

在WinCC V7.5系统中配置审计日志功能时，常见问题为：为何已启用审计日志功能但仍无法记录用户操作事件？可能原因包括未正确配置变量归档、未在“用户管理”中为操作员分配审计权限、或审计日志服务未启动。此外，若未在“项目管理器”中激活“审计跟踪”组件，或系统时间与事件触发不一致，也会导致日志缺失。如何确保各组件协同工作以实现完整审计追踪？

Answer 1

1. 审计日志功能配置的基本概念与核心组件

在WinCC V7.5系统中，审计日志（Audit Trail）是实现操作可追溯性、满足合规要求的关键功能。其主要作用是记录用户对系统的操作行为，如登录/登出、变量修改、报警确认等。要实现完整的审计追踪，必须确保多个核心组件协同工作，包括：审计跟踪组件激活、用户权限配置、变量归档设置、服务运行状态以及系统时间同步。

• 审计跟踪组件：需在项目管理器中显式启用
• 用户管理模块：用于分配“审计记录”权限
• 变量归档：部分操作事件依赖归档机制触发记录
• WinCC服务：特别是“SIMATIC Audit Logging”服务必须处于运行状态
• 系统时钟：事件时间戳依赖准确的时间基准

2. 常见问题分析流程图

```mermaid
graph TD
    A[审计日志未记录操作] --> B{是否启用审计跟踪组件?}
    B -- 否 --> C[在项目管理器中激活审计跟踪]
    B -- 是 --> D{用户是否具有审计权限?}
    D -- 否 --> E[在用户管理中分配Audit权限]
    D -- 是 --> F{审计服务是否运行?}
    F -- 否 --> G[启动SIMATIC Audit Logging服务]
    F -- 是 --> H{变量归档配置正确?}
    H -- 否 --> I[检查归档周期与关联变量]
    H -- 是 --> J{系统时间是否同步?}
    J -- 否 --> K[校准OS时间或启用NTP]
    J -- 是 --> L[检查事件触发条件与日志过滤设置]
```

3. 深度排查路径与技术细节

排查层级	检查项	工具/位置	典型错误示例
项目配置	审计跟踪组件激活	WinCC Project Manager → Properties → Audit Trail	未勾选“Enable Audit Trail”
用户权限	操作员审计权限	User Administration → User Properties → Permissions	缺少“Audit: Record Events”权限
服务状态	Audit Logging服务	Windows Services → SIMATIC Audit Logging	服务被禁用或启动失败
数据归档	变量归档配置	Variable Archive Editor	关键变量未启用归档导致事件丢失
时间一致性	系统时间同步	OS Time / NTP Client	服务器与客户端时间偏差超过阈值
事件源	脚本/控件触发审计	C Script, VB Script in Graphics	未调用AuditWrite函数记录自定义事件
存储机制	数据库连接状态	SQL Server Management Studio	AuditLog表无法写入（权限或空间不足）
安全策略	UAC或防火墙限制	Windows Security Settings	服务账户无本地管理员权限
日志查看	Audit Viewer访问	Start → SIMATIC → WinCC → Audit Viewer	过滤条件误设导致“看似无日志”
版本兼容性	SP补丁级别	WinCC About Dialog	已知SP1存在审计服务内存泄漏问题

4. 解决方案实施步骤

1. 打开WinCC项目管理器，右键项目→属性→“审计跟踪”选项卡，勾选“启用审计跟踪”并设置日志保留周期。
2. 进入“用户管理”，为需要审计的操作员账户分配“审计：记录事件”权限（Audit: Record Events）。
3. 检查Windows服务列表，确认“SIMATIC Audit Logging”服务已启动，启动类型设为“自动”。
4. 在“变量记录”编辑器中，确保涉及关键操作的变量已配置归档，并启用“变化触发”或“周期归档”。
5. 使用命令行执行w32tm /query /status验证系统时间同步状态，必要时配置NTP服务器。
6. 在C脚本中使用AuditWrite("UserAction", "ValueChanged", 0);手动插入审计事件以测试通路。
7. 通过SQL Server查询SELECT * FROM AuditLog ORDER BY TimeStamp DESC直接验证数据库写入情况。
8. 检查事件日志（Event Viewer）中是否有来自“SIMATIC”的错误条目，如数据库连接失败或权限拒绝。
9. 若使用冗余系统，需在主从服务器上均启用审计并确保时间严格同步。
10. 定期执行备份与完整性校验，防止日志文件损坏导致回溯失效。