Solución de problemas: No se encuentran imágenes (No pictures found) en los clientes OS de WinCC con usuarios restringidos

El error "No pictures found" se produce en un cliente OS de WinCC al iniciar sesión con un usuario de Windows restringido y de nueva creación porque la cuenta de usuario carece de permisos de acceso a la red para el directorio de proyecto compartido en el servidor OS. Los clientes OS de WinCC no almacenan gráficos localmente; cargan los archivos de imágenes (GraCS) a través del bus de terminal (Terminal Bus) desde la carpeta compartida del servidor OS. Si la cuenta de usuario no existe en el servidor OS con exactamente las mismas credenciales, o no es miembro del grupo local 'SIMATIC HMI' tanto en el cliente COMO en el servidor, la autenticación de red de Windows falla, lo que bloquea la carga de gráficos.

Índice de contenidos

Arquitectura de carga de gráficos cliente-servidor en PCS 7

En una arquitectura SIMATIC PCS 7 distribuida, los clientes OS ligeros operan como portales de visualización:
* La máquina cliente aloja una base de datos de proyecto de WinCC Client mínima (*.mcp).
* Los gráficos de proceso (*.pdl), scripts de faceplates y símbolos de mapas de bits se almacenan de forma centralizada en el servidor OS dentro de la subcarpeta del proyecto GraCS.
* Cuando un operador activa el Runtime en el cliente, WinCC consulta el paquete de datos del servidor (*.pck) cargado para localizar el recurso compartido de red con la Convención de Nomenclatura Universal (UNC) del servidor (por ejemplo, \\OS_SRV_01\WinCC_Project\GraCS).
* Si el sistema operativo concede el acceso, el cliente renderiza la imagen de inicio @Overview1.pdl. Si la autenticación de red falla, el subsistema gráfico se aborta con el cuadro de diálogo de error: No pictures found.

Causas raíz de los fallos de autenticación en el bus de terminal

Cuando una cuenta administrativa funciona sin problemas mientras una cuenta de operador restringida de nueva creación falla, el problema radica en la autenticación entre estaciones de Windows:

Desajuste de credenciales en grupo de trabajo (Fallo de autenticación traspasada): En grupos de trabajo industriales sin dominio, Windows utiliza la autenticación traspasada (pass-through). Si el usuario restringido Operator1 se crea en el PC cliente, pero tiene una contraseña diferente, un nombre de usuario mal escrito o no existe en el servidor OS, el servidor rechaza las solicitudes de archivos de red con un error de Acceso denegado (Access Denied).
Falta de pertenencia al grupo 'SIMATIC HMI' del servidor: El uso compartido de carpetas de Windows para proyectos de WinCC otorga permisos NTFS y de compartición específicamente al grupo local SIMATIC HMI. Agregar el usuario al grupo SIMATIC HMI en el PC cliente es insuficiente; el usuario debe ser miembro de SIMATIC HMI en el servidor OS.
Derechos de usuario de Windows restringidos: Si bien las cuentas de operador estándar deben tener restringida la modificación de la configuración del sistema de Windows, la eliminación de los derechos de acceso a la red principal (como "Acceder a este equipo desde la red" en la directiva de seguridad local) bloquea las transferencias de archivos de WinCC.

Procedimiento paso a paso para la configuración de seguridad y usuarios

Ejecute la siguiente configuración administrativa para establecer un acceso válido entre máquinas:

Alinear las credenciales de usuario en todas las estaciones:
* En cada estación (estación de ingeniería, servidor OS A, servidor OS B y todos los clientes OS), abra Administración de equipos (compmgmt.msc).
* Navegue a Usuarios y grupos locales -> Usuarios (Local Users and Groups -> Users).
* Cree la cuenta de usuario restringido (por ejemplo, Operator_Plant) con exactamente el mismo nombre de usuario y contraseña en todas las máquinas (las contraseñas distinguen mayúsculas de minúsculas).
* Desmarque "El usuario debe cambiar la contraseña en el siguiente inicio de sesión" y marque La contraseña nunca caduca.
Asignar los grupos de seguridad de Windows obligatorios:
* Tanto en el cliente OS COMO en el servidor OS, agregue la cuenta de usuario a los siguientes grupos locales:
- Users (Usuarios)
- SIMATIC HMI (Obligatorio: otorga acceso a las bases de datos y recursos compartidos de WinCC).
- SIMATIC Management Users (Opcional: para SIMATIC Management Console).
- NO agregue operadores estándar a los grupos Administrators (Administradores) o Power Users (Usuarios avanzados).
Verificar los permisos del recurso compartido del proyecto en el servidor OS:
* En el servidor OS, abra el Explorador de Windows y localice la carpeta del proyecto.
* Haga clic derecho en la carpeta y seleccione Propiedades -> Compartir -> Uso compartido avanzado (Properties -> Sharing -> Advanced Sharing).
* En Permisos (Permissions), verifique que el grupo SIMATIC HMI tenga Control total (Full Control) (o Cambiar/Lectura).
* Vaya a la pestaña Seguridad (Security) (NTFS) y asegúrese de que SIMATIC HMI posea permisos de modificación, lectura y ejecución.
Probar el acceso al recurso compartido de red desde el cliente:
* Inicie sesión en la máquina cliente OS como usuario restringido.
* Abra el Explorador de archivos de Windows y navegue directamente a la ruta UNC del recurso compartido del servidor:
\\OS_SRV_01\WinCC_Project\GraCS
* Confirme que los archivos de imagen .pdl se puedan ver y abrir sin recibir un mensaje de solicitud de credenciales de red de Windows.

Verificación

En el cliente OS, ejecute WinCC Runtime con la cuenta de usuario de Windows restringida.
Verifique que la barra de navegación de la vista general principal, el banner de resumen de alarmas y las imágenes de vista general de la planta se carguen inmediatamente sin ningún cuadro de diálogo de error "No pictures found".
Abra un faceplate APL. Confirme que los valores de las variables (tags), las tendencias y los diarios de alarmas se rellenen dinámicamente.

Limitaciones y precauciones operativas

En dominios corporativos de Active Directory, gestione las cuentas de usuario de forma centralizada: cree un usuario de dominio, agréguelo a un grupo global de dominio y anide ese grupo en el grupo local SIMATIC HMI en todos los servidores y clientes industriales.
Nunca comparta directorios de proyectos con "Todos" (Everyone) sin la seguridad NTFS adecuada; los recursos compartidos sin restricciones exponen bases de datos de control industrial críticas a malware y ransomware en toda la red.
La ejecución de varios clientes OS con inicios de sesión de operador genéricos idénticos (por ejemplo, Operator1) es común en las salas de control; asegúrese de mantener la responsabilidad individual del operador a través de la administración de usuarios interna de WinCC o SIMATIC Logon.

Preguntas frecuentes del ingeniero

¿Por qué el usuario administrativo funcionó sin problemas?
La cuenta de administrador tenía credenciales idénticas preconfiguradas en todas las estaciones durante la instalación de PCS 7, heredando automáticamente los derechos completos de recursos compartidos de red administrativos.
¿Necesita el cliente privilegios de administrador local para ejecutar WinCC?
No. Los clientes OS están diseñados específicamente para ejecutarse bajo usuarios de Windows Users estándar restringidos, siempre que pertenezcan al grupo local SIMATIC HMI.
¿Se pueden copiar los archivos de imagen localmente en el cliente para evitar compartir el servidor?
No. La arquitectura cliente-servidor de PCS 7 requiere la carga dinámica de imágenes y el enrutamiento de paquetes de datos del servidor a través del bus de terminal. Los gráficos locales interrumpen la ingeniería central multi-cliente.

Referencias técnicas

Manual del sistema de control de procesos SIMATIC PCS 7 OS; Arquitectura cliente-servidor (A5E41356262-AA).
Entrada del Servicio en Línea de la Industria de Siemens ID 109801081: Configuración de derechos de usuario y recursos compartidos de red en PCS 7.
Guía de configuración de seguridad y grupos de trabajo de SIMATIC HMI WinCC V7/V8.

Etiquetas relacionadas

PCS 7, WinCC, OS Client, OS Server, User Rights, SIMATIC HMI, Terminal Bus, Networking