Resolución de retrasos en la autorización y bloqueos de Batch Control Center en clientes BATCH de PCS 7

En SIMATIC BATCH V9.1 SP2, la ejecución de Batch Control Center (BatchCC) en una estación de trabajo cliente remota puede demorar varios minutos antes de fallar con el mensaje 'This action requires BATCH Server Authorization' (Esta acción requiere autorización del servidor BATCH) y bloquear los privilegios de edición de recetas. Este fallo ocurre cuando la comunicación de red del Automation License Manager (ALM) está bloqueada por el Firewall de Windows, cuando el uso compartido remoto de licencias está deshabilitado en el servidor BATCH o cuando los derechos de cuenta de usuario en el grupo local SIMATIC BATCH están desincronizados.

Índice de contenidos

Arquitectura de la autorización cliente-servidor de SIMATIC BATCH

SIMATIC BATCH coordina la ejecución de recetas modulares de acuerdo con las normas ISA-88:
* El servidor BATCH: Gestiona las bases de datos de recetas, los registros electrónicos de lotes (EBR) y la comunicación con los controladores S7-400 / CPU 410. Aloja las licencias centrales del servidor y gestiona la sincronización del estado operativo.
* El cliente BATCH: Estaciones de trabajo que ejecutan Batch Control Center (BatchCC) y el Editor de recetas (Recipe Editor).
* Validación de inicio: Cuando un operador inicia BatchCC en un cliente, este inicia un proceso de autenticación de múltiples etapas:
1. Valida la cuenta de usuario de Windows del operador con respecto al grupo de seguridad SIMATIC BATCH.
2. Se comunica con el servicio Launch Coordinator del servidor BATCH a través de NTLM o Kerberos.
3. Consulta al Automation License Manager (ALM) en el servidor BATCH a través del bus de terminales para adquirir un token de licencia flotante SIMATIC BATCH Client.

Mecanismo del error: 'This Action Requires BATCH Server Authorization'

Cuando se obstruye el proceso de conexión del cliente:
* BatchCC se queda congelado en la pantalla de presentación durante 2 a 5 minutos mientras expira el tiempo de espera de las solicitudes de sockets de red internos.
* La aplicación finalmente muestra la advertencia:

This action requires BATCH Server Authorization.
* Al hacer clic en Aceptar, se permite que se abra BatchCC, pero todos los controles interactivos (creación de lotes, modificación de recetas, liberación de asignaciones de unidades) quedan deshabilitados. La interfaz entra en un modo restringido de solo lectura, incluso al iniciar sesión con una cuenta de superusuario autorizada.

Causa raíz 1: Bloqueo de la comunicación de red del Automation License Manager (ALM)

El fallo técnico principal se produce dentro de la capa de licencias:
* SIMATIC BATCH opera con licencias de red flotantes alojadas centralmente en el servidor BATCH (por ejemplo, SIMATIC BATCH Server Basic y SIMATIC BATCH Client).
* Configuración de ALM: Si el ALM en el servidor BATCH no está configurado explícitamente para permitir solicitudes de licencias remotas, las consultas de los clientes se rechazan de inmediato.
* Bloqueo de puertos: ALM se comunica a través del puerto TCP 4410. Si el Firewall de Windows en el servidor BATCH o en el cliente bloquea el puerto 4410, el cliente agota el tiempo de espera para la validación de la licencia, lo que deriva en un bloqueo por autorización.

Causa raíz 2: Alineación de derechos de usuario y grupos de seguridad de SIMATIC BATCH

La seguridad de SIMATIC BATCH se basa en grupos de usuarios locales de Windows:
* La cuenta de usuario activa en el cliente debe pertenecer a los grupos de seguridad SIMATIC BATCH y SIMATIC HMI, tanto en la PC cliente como en el servidor BATCH.
* En un entorno de grupo de trabajo (workgroup) sin un controlador de dominio, se deben configurar nombres de usuario y contraseñas idénticos en ambas máquinas. Una discrepancia de contraseña hace que el Launch Coordinator rechace la autorización del cliente.

Procedimiento paso a paso para restaurar la funcionalidad del cliente BatchCC

Para resolver el retraso de inicio y el bloqueo de autorización:
1. Configurar ALM para el uso compartido de licencias de red en el servidor BATCH:
* Abra Automation License Manager en el servidor BATCH.
* Seleccione File -> Settings.
* Navegue a la pestaña Connection.
* Marque la casilla: Allow remote connections.
* Seleccione la pestaña Access permission: asegúrese de que las subredes de los clientes estén autorizadas o configuradas en "Accept all".
2. Verificar las reglas del Firewall de Windows:
* Abra el Firewall de Windows Defender con seguridad avanzada en el servidor y en el cliente.
* Verifique que exista una regla de entrada (Inbound Rule) que permita el puerto TCP 4410 para el servicio ALM (almsrvx.exe).
* Ejecute la utilidad SIMATIC Security Controller en ambas máquinas y haga clic en Repeat Settings para restablecer las reglas de firewall certificadas.
3. Alinear las membresías de los grupos de usuarios:
* En el servidor BATCH, abra Computer Management -> Local Users and Groups -> Groups.
* Agregue la cuenta de Windows del operador cliente al grupo SIMATIC BATCH.
* Verifique los privilegios de usuario en la utilidad SIMATIC BATCH Permission Management.
4. Reiniciar los servicios de BATCH:
* En el servidor BATCH, reinicie el servicio SIMATIC BATCH Launch Coordinator a través de Servicios de Windows (services.msc).
* Reinicie Batch Control Center en la PC cliente.

Verificación

Inicie Batch Control Center en la estación de trabajo cliente remota: confirme que la pantalla de presentación se cargue en menos de 5 segundos sin cuadros de diálogo de error.
Verifique que la barra de título muestre el estado conectado al servidor BATCH principal.
Cree una receta maestra de prueba o asigne una unidad: confirme que los botones New, Edit y Release estén completamente habilitados.
En ALM en el servidor BATCH, verifique la vista License Keys: confirme que un token de licencia de SIMATIC BATCH Client esté activo y tomado (checked out) por el nombre de equipo del cliente.

Limitaciones y precauciones operativas

Ejecutar BatchCC sin una licencia de cliente válida limita la estación de trabajo a una operación de solo lectura; no dé de baja licencias en servidores de producción en ejecución.
En arquitecturas de servidores BATCH redundantes, la configuración de conexiones remotas de ALM y las licencias deben configurarse de manera idéntica tanto en el servidor principal como en el de reserva (standby).
Valide siempre las cantidades finales de los paquetes de licencias (por ejemplo, número de clientes Batch, niveles de PO) con el catálogo oficial de Siemens Industry Mall y las cotizaciones de distribuidores autorizados.

Preguntas frecuentes para ingenieros

¿Qué causa el error 'This action requires BATCH Server Authorization' en BatchCC?
Un fallo de comunicación de red entre el ALM del cliente y del servidor, o la falta de derechos de usuario en el grupo SIMATIC BATCH.
¿Qué puerto TCP utiliza el Automation License Manager para compartir licencias en red?
El puerto TCP 4410.
¿Dónde se habilita el uso compartido de licencias remotas en ALM?
En ALM, en Archivo -> Configuración (File -> Settings), en la pestaña Conexión (Connection), marcando 'Permitir conexiones remotas' ('Allow remote connections').
¿Qué grupo de seguridad de Windows administra los permisos de SIMATIC BATCH?
El grupo de seguridad local de Windows SIMATIC BATCH.
¿Puede BatchCC ejecutarse en modo de solo lectura sin una licencia de cliente?
Sí, si la autorización falla, BatchCC se abre en un modo restringido que permite a los operadores ver los lotes activos sin modificar recetas.
¿Qué servicio en segundo plano coordina las conexiones de los clientes en el servidor BATCH?
El servicio SIMATIC BATCH Launch Coordinator (s88coord.exe).
¿SIMATIC BATCH admite cuentas de usuario de Active Directory de dominio?
Sí, las cuentas de dominio de Active Directory son totalmente compatibles cuando se asignan al grupo SIMATIC BATCH del dominio.
¿Cuántos clientes BatchCC simultáneos se pueden conectar a un servidor BATCH?
El número de clientes simultáneos está determinado por la cantidad comprada de claves de licencia flotante de SIMATIC BATCH Client.
¿Cerrar BatchCC devuelve la licencia flotante al servidor?
Sí, finalizar la aplicación BatchCC libera el token de licencia flotante de regreso al grupo central de ALM.
¿Qué utilidad abre automáticamente los puertos de firewall para SIMATIC BATCH?
La aplicación SIMATIC Security Controller.

Referencias técnicas

Manual de operación de SIMATIC PCS 7 SIMATIC BATCH (V9.1)
Manual del sistema de Automation License Manager (ALM)
Entrada de Siemens Industry Online Support: Autorización de cliente SIMATIC BATCH (Entry ID 299677)
Arquitectura estándar de control por lotes ISA-88.01