Dans les environnements industriels interconnectés d'aujourd'hui, la capacité d'échanger des données de façon sûre et fiable entre les machines, les capteurs et les systèmes de contrôle n'est plus un luxe, c'est une exigence fondamentale. À mesure que les usines deviennent plus intelligentes et les chaînes d'approvisionnement plus numérisées, la surface d'attaque des cybermenaces s'étend en conséquence. OPC UA (Open Platform Communications Unified Architecture) est devenue la norme de facto pour une communication industrielle sécurisée et indépendante de la plate-forme.

Qu'est-ce que l'AU du Commissariat?

OPC UA est un protocole de communication machine-machine développé et entretenu par la OPC Foundation. Il a été conçu pour remplacer les standards OPC Classic (OPC DA, HDA, et A&E) qui s'appuient sur la technologie Microsoft COM/DCOM et qui étaient limités aux environnements Windows. OPC UA est indépendant de la plate-forme, ce qui signifie qu'il peut fonctionner sur des appareils embarqués, des contrôleurs industriels, des serveurs, des instances cloud, et même des appareils mobiles. Il prend en charge les modèles de communication client-serveur et de publication-abonnement (PubSub), ce qui le rend adapté à une large gamme de scénarios d'automatisation industrielle, des boucles de contrôle en temps réel à l'intégration de données d'entreprise de haut niveau.

Ce protocole est construit sur une architecture orientée vers le service et comprend un modèle d'information riche qui permet aux systèmes d'exposer des données structurées, des métadonnées, des alarmes, des tendances historiques et des méthodes.Cette capacité de modélisation est un différenciateur clé : au lieu d'échanger des paires de valeurs brutes de tags, OPC UA peut représenter des objets complexes et leurs relations, en préservant le contexte à travers les systèmes. La norme est définie dans plusieurs parties (spécifications) couvrant la découverte, la sécurité, l'accès aux données, les alarmes et conditions, l'accès historique, etc. Il est reconnu comme IEC 62541 et est une technologie de base dans l'industrie 4.0 et l'Internet industriel des objets (IIoT).

Principales caractéristiques de l'AU du Commissariat

L'adoption généralisée de l'AU du Commissariat est motivée par plusieurs caractéristiques clés qui répondent aux défis les plus pressants dans la communication industrielle.Ces caractéristiques ne sont pas seulement des détails techniques, mais des principes architecturaux qui rendent l'AU du Commissariat adapté aux environnements d'automatisation des friches industrielles et des champs verts.

Sécurité

La sécurité est profondément intégrée dans la pile de protocole OPC UA depuis le début. Contrairement à de nombreux protocoles industriels existants qui dépendent uniquement des défenses du périmètre du réseau, OPC UA met en œuvre la sécurité de bout en bout à la couche d'application.

  • Encryptage: Toutes les données transmises par l'OPC peuvent être chiffrées à l'aide d'algorithmes cryptographiques symétriques et asymétriques (par exemple, AES, RSA).
  • Authentification: Les clients et les serveurs doivent présenter des certificats numériques valides pour établir la confiance. OPC UA prend en charge les certificats X.509 et peut s'intégrer aux infrastructures à clé publique (ICP) existantes pour la gestion des certificats.
  • Autorisation:[ Le contrôle d'accès est appliqué par des permissions basées sur le rôle. Le protocole définit un modèle complet pour accorder ou refuser l'accès à des nœuds, des méthodes ou des données spécifiques basés sur l'identité de l'utilisateur.
  • Sécurité des canaux:[ Les séances de communication sont établies sur un canal sécurisé par cryptographie à l'aide de la poignée de main de sécurité OPC UA. Ce canal fournit l'intégrité des données, la confidentialité et la signature opc UA pour détecter toute modification des messages.

Ces mécanismes sont conformes aux normes de sécurité industrielle telles que la norme CEI 62443, qui fournit une architecture défendable pour les infrastructures essentielles. La Fondation OPC publie également des lignes directrices et des pratiques exemplaires en matière de sécurité pour déployer l'AU du Commissariat dans des environnements présentant des profils de risque variés.

Interopérabilité

Le modèle d'information est extensible, de sorte que les organisations spécifiques à un domaine (p. ex. pour l'extrusion, l'emballage ou la gestion de l'énergie) peuvent définir des spécifications d'accompagnement propres à l'industrie qui s'appuient sur le modèle d'AU du Commissariat. Cela signifie qu'un PLC d'un fournisseur peut exposer ses données de façon à ce qu'un système SCADA d'un autre fournisseur puisse comprendre sans cartographie personnalisée. La Fondation OPC maintient un programme de certification pour assurer la conformité et l'interopérabilité par des tests rigoureux.

Échelle

Le protocole est assez léger pour fonctionner sur des capteurs et microcontrôleurs à ressources limitées, mais assez puissant pour gérer des milliers de nœuds et de flux de données à haute fréquence dans de grands systèmes de contrôle. OPC UA s'échelle verticalement (plus de données par serveur) et horizontalement (plus de serveurs dans un réseau). L'extension PubSub permet une communication efficace entre plusieurs, réduisant la bande passante et permettant des performances déterministes sur des réseaux sensibles au temps (OPC UA sur TSN).

Modélisation des données

Au-delà des paires de valeurs de balise simples, OPC UA prend en charge des modèles de données complexes orientés objet. Un serveur peut exposer non seulement la valeur actuelle d'un capteur de température, mais aussi ses métadonnées (unité, plage, date d'étalonnage), les alarmes, les données historiques de tendance et les méthodes associées (p. ex., réinitialiser l'alarme).Cette riche modélisation sémantique permet aux applications de niveau supérieur d'interpréter les données sans documentation externe.

L'importance de la sécurité dans la communication industrielle

Les systèmes de contrôle industriel (SIC) et de contrôle de surveillance et d'acquisition de données (SCADA) ont été historiquement isolés des réseaux d'entreprises et d'Internet. Cette isolation a fourni un certain degré de sécurité par obscurité. Aujourd'hui, la convergence des systèmes IT et OT, la pression pour la surveillance à distance et l'adoption d'analyses en nuage ont exposé ces systèmes à une large gamme de cybermenaces.

La sécurité dans la communication industrielle ne consiste pas seulement à prévenir les violations de données. Elle a une incidence directe sur la sécurité, la continuité opérationnelle et la conformité réglementaire. Les normes telles que IEC 62443 définissent les niveaux de sécurité et nécessitent des protocoles de communication sécurisés. OPC UA est l'un des rares protocoles industriels qui peuvent répondre à ces exigences sans compter sur des VPN externes ou des solutions de rechange propriétaires.

De plus, les systèmes industriels ont souvent un cycle de vie long, parfois des décennies. Un protocole sécurisé aujourd'hui doit également être tourné vers l'avenir. L'architecture de sécurité modulaire de l'OPC UA permet de mettre à jour les algorithmes cryptographiques à mesure que les menaces évoluent.

Comment le Commissariat facilite la communication sécuritaire

L'OPC UA met en œuvre un modèle de sécurité à plusieurs niveaux qui couvre toutes les phases de la communication : de la découverte initiale et de l'établissement de la connexion à l'échange continu de données et à la fin de la session.

Authentification fondée sur un certificat

Chaque application OPC UA (client ou serveur) possède un certificat d'instance d'application (X.509). Pendant la poignée de main, ces certificats sont échangés et validés. Si un certificat n'est pas fiable, la connexion est rejetée. La Fondation OPC publie une liste globale de certificats de confiance, mais les organisations peuvent également mettre en place leur propre ICP pour gérer les certificats pour les appareils de terrain.

Chiffrement et signature des séances

Une fois authentifié, le client et le serveur négocient une politique de sécurité (par exemple Basic256Sha256) qui définit l'algorithme de chiffrement et la longueur de la clé. Tous les messages suivants sont cryptés et signés en option. La signature garantit que même si un paquet est intercepté, il ne peut pas être modifié en route. OPC UA prend en charge le chiffrement symétrique et asymétrique : asymétrique pour l'échange initial de clé, symétrique pour le transfert de données en vrac pour atteindre des performances.

Autorisation de l'utilisateur et contrôle d'accès

Au-delà de l'authentification par application, OPC UA fournit un modèle de contrôle d'accès basé sur le rôle. Le serveur peut définir des règles qui limitent les nœuds auxquels un utilisateur ou un rôle particulier peut lire, écrire ou s'abonner. Ceci est géré par le biais de OPC UA Security Configuration et peut s'intégrer à des fournisseurs d'identité externes (p. ex. LDAP, Active Directory). Par exemple, un ingénieur de maintenance peut avoir accès par écrit à un paramètre machine, alors qu'un opérateur peut seulement avoir accès par lecture.

Vérification des sentiers et de l'exploitation des événements

Les serveurs UA du Commissariat peuvent générer des événements de vérification pour des activités liées à la sécurité telles que les tentatives de connexion, les défaillances de validation de certificat et les refus de contrôle d'accès. Ces événements peuvent être recueillis et analysés dans un système de gestion des informations et des événements de sécurité (SIEM).

Découverte sécurisée

OPC UA définit un mécanisme de découverte qui permet aux clients de trouver des serveurs sur un réseau local ou sur Internet. Ce processus de découverte est sécurisé. Le serveur de découverte local (LDS) ou serveur de découverte global (GDS) valide les certificats avant de fournir des informations sur le serveur.

Demandes d'accès universel au Commissariat dans l'industrie

L'AU du Commissariat a été adoptée dans un large éventail d'industries où la sécurité et la fiabilité des communications sont essentielles. Voici des exemples représentatifs de la façon dont l'AU du Commissariat est utilisée dans la pratique.

Fabrication et automation discrète

Dans les lignes d'assemblage automobile, les systèmes d'emballage et la fabrication électronique, OPC UA relie des capteurs, des contrôleurs logiques programmables (PLC), des robots et des systèmes de vision. Le protocole permet aux données en temps réel de la machine de se déplacer vers les systèmes d'exécution de fabrication (MES) et les plateformes d'analyse du cloud.

Énergie et services publics

Le protocole prend en charge la norme IEC 61850 pour l'automatisation des sous-stations, permettant une intégration sans faille entre les appareils intelligents et les centres de contrôle. La communication sécurisée est mandatée par de nombreux opérateurs de réseau pour prévenir les défaillances de cascade. OPC UA est également utilisé dans les systèmes de stockage d'énergie de batterie (BESS) et l'infrastructure de recharge des véhicules électriques, où il gère les données en temps réel de l'état de charge et utilise des certificats pour authentifier les stations de recharge avec le réseau.

Pétrole et gaz, pétrochimique

Dans les raffineries et les réseaux de pipelines, OPC UA constitue l'épine dorsale pour la collecte de données des unités terminaux distantes (UTR), des débitmètres et des contrôleurs de vannes. Le protocole de soutien aux alarmes et aux conditions est essentiel pour détecter les fuites ou les anomalies de pression.

Automatisation des bâtiments et bâtiments intelligents

La spécification de l'unité de gestion de l'immeuble (OPC UA) permet aux appareils d'automatisation de l'immeuble BACnet de communiquer avec les clients de l'unité de gestion de l'immeuble (OPC UA). Par exemple, un système de sécurité peut lire des données sur la température et l'occupation afin d'optimiser l'utilisation de l'énergie tout en maintenant la sécurité. La sécurité intégrée garantit la protection de l'accès aux contrôleurs de bâtiments, essentielle pour empêcher le contrôle non autorisé des serrures ou des amortisseurs d'incendie.

Transports et chemins de fer

Le protocole soutient la redondance et la communication déterministe au-dessus de TSN (réseautage sensible au temps) répond aux exigences rigoureuses des applications ferroviaires. Le protocole est également utilisé dans les systèmes de manutention des bagages des aéroports et l'automatisation des navires maritimes, où l'interopérabilité entre divers sous-systèmes est essentielle.

Considérations relatives à la mise en œuvre

Bien que l'AU du Commissariat soit un protocole puissant, la mise en oeuvre réussie exige une planification minutieuse et le respect des pratiques exemplaires.

Architecture de réseau

L'AU OPC peut fonctionner sur les réseaux TCP/IP standard, mais pour les applications critiques dans le temps (p. ex., le contrôle des mouvements), l'AU OPC sur TSN doit être pris en compte. TSN fournit la latence et le jitter déterministes, que l'UA OPC PubSub peut utiliser. Lors du déploiement sur les pare-feu, assurez-vous que le port UA OPC (par défaut 4840) est ouvert et que les chaînes de confiance de certificats sont configurées.

Attestation et essais

La Fondation OPC offre un outil de test de conformité et un programme de certification. L'utilisation de produits certifiés réduit les risques d'intégration. Même si vous mettez en place une pile UA OPC personnalisée, il est conseillé de tester contre la mise en œuvre de référence UA OPC ou les piles commerciales populaires pour assurer l'interopérabilité.

Renforcement de la sécurité

N'installez jamais de certificat d'AU OPC avec un certificat par défaut. Générez des certificats d'instance d'application uniques pour chaque appareil. Implémentez un ICP avec des listes de révocation de certificat (LCR) ou un protocole d'état de certificat en ligne (SPOC). Limitez les rôles des utilisateurs au minimum nécessaire.

Intégration des héritages

De nombreux systèmes existants utilisent OPC Classic ou Modbus. Les passerelles UA OPC peuvent traduire entre protocoles, mais le contexte de sécurité doit être préservé. Assurez-vous que la passerelle elle-même est durcie et que les données qui se déversent du côté hérité dans le monde OPC UA respectent les mêmes politiques de chiffrement et d'authentification. La Fondation OPC fournit un dépôt d'outils (lien externe) pour aider à la migration.

L'avenir de l'AU du Commissariat

L'AU du Commissariat continue d'évoluer pour répondre aux exigences des initiatives de l'industrie 4.0, de l'IIdT et du jumeau numérique.

  • OPC UA FX (Field eXchange):[ Une extension pour la communication sur le terrain en temps réel, permettant à OPC UA de remplacer les bus de terrain propriétaires. Il fait appel à TSN pour le déterminisme et est conçu pour le contrôle des mouvements, la robotique et la coordination machine-à-machine.
  • OPC UA MQTT Bridge:[ Une spécification qui permet la publication des données UA OPC aux courtiers MQTT, en reliant le monde de l'automatisation industrielle avec des plateformes IoT natives de cloud. Cela permet des architectures de bord à nuage tout en préservant les modèles de sécurité et d'information UA OPC.
  • OPC UA Cloud Library:[ Un dépôt centralisé pour les modèles d'information OPC UA (spécifications de companie) qui peuvent être téléchargés par des appareils pendant l'exécution, permettant l'auto-découverte de données sémantiques dans le nuage.
  • OPC UA pour les jumeaux numériques: Le modèle d'information est étendu pour soutenir les coquilles d'administration des biens (AAS) et d'autres représentations numériques jumelées, permettant à l'OPC UA de servir de colonne vertébrale pour les écosystèmes jumelés interopérables.

À mesure que ces capacités se développeront, l'AU de l'OPC deviendra encore plus centrale à la communication sécurisée et normalisée dont les systèmes industriels modernes ont besoin. Pour une plongée plus profonde dans la feuille de route technique, la Fondation de l'OPC publie une feuille de route annuelle (lien externe) avec les plans de diffusion et les nouveaux groupes de travail.

Conclusion

L'APO s'est imposée comme un moteur essentiel de la communication industrielle sûre. Ses caractéristiques de sécurité complètes, c'est-à-dire le chiffrement, l'authentification, l'autorisation et les canaux sécurisés, répondent au paysage de menace croissant auquel les réseaux industriels sont confrontés. Parallèlement, son indépendance de la plate-forme, sa modélisation évolutive et sa riche modélisation de données en font une solution polyvalente pour un large éventail d'industries, de la fabrication discrète à l'infrastructure critique.