Usine connectée : le réseau de l’industrie 4.0

Trois flux, un seul socle réseau

Les projets industrie 4.0 empilent souvent trois infrastructures : une passerelle IoT pour les données, des boîtiers de télémaintenance pour les constructeurs, et rien de prévu pour l’IA. Les trois besoins reposent pourtant sur la même question — qui a le droit de joindre quelle machine.

Le socle : un réseau privé par agent logiciel

Le socle de l’usine connectée n’est ni une plateforme cloud ni un boîtier : c’est un agent logiciel installé sur les machines et les passerelles, qui les met sur un réseau privé commun.

• L’agent s’installe sur ce qui existe déjà : PC d’IHM, poste de supervision, PC industriel, passerelle Linux, NVIDIA Jetson, terminal Android — et le navigateur peut devenir un nœud (WASM).
• Zéro port entrant : chaque agent n’établit que des connexions sortantes et traverse le pare-feu usine, le CGNAT et les liens 4G/5G sans aucune règle à demander.
• Chiffrement de bout en bout : QUIC/TLS 1.3, clés Ed25519, établissement de clés hybride post-quantique — les relais éventuels ne voient que des paquets opaques.
• MagicDNS et ACL : chaque machine porte un nom stable, chaque flux est autorisé explicitement — voir politiques et ACL.
• Le multicast passe : mDNS, SSDP, DDS — la découverte d’appareils fonctionne entre sites comme dans l’atelier, voir le domaine de diffusion.

Collecter les données machines, ligne par ligne

La collecte ne se décrète pas usine entière : elle se construit ligne par ligne, avec des flux bornés dans un seul sens quand c’est possible.

1. 1
   Enrôlez la machine ou la passerelle de ligneUne clé à usage unique générée depuis la console, une commande sur place : la ligne rejoint le réseau avec sa propre identité. Un équipement sans OS est joint via la passerelle, hôte par hôte.
2. 2
   Laissez parler les protocoles existantsLe serveur OPC UA se consulte à son adresse overlay, le broker MQTT reçoit les mesures, le Modbus TCP remonte — voir Modbus, SCADA et automates.
3. 3
   Couvrez le legacy sérieCompteurs et instruments RS-485 se lisent à distance via le port série sur IP (bêta) — voir Modbus RTU à distance.
4. 4
   Bornez le flux par ACLLa collecte monte de la ligne vers l’historian — et c’est tout : aucune règle n’autorise le chemin inverse, le poste bureautique ne joint pas l’automate.

L’accès distant des constructeurs, sans DMZ

Une usine connectée héberge des machines de plusieurs constructeurs, chacun avec son contrat de maintenance. Multiplier les boîtiers et les VPN d’exception ne passe pas à l’échelle — et chaque exception affaiblit la politique.

• Un accès par machine et par contrat : le constructeur joint sa machine, sur les services prévus — le reste de l’usine n’existe pas pour lui.
• Chaque session est journalisée : qui, quelle machine, quand — le dossier de preuve se constitue tout seul.
• La révocation est immédiate en fin de contrat, sans toucher aux accès des autres constructeurs.

L’étage IA : la flotte exposée aux assistants

La dernière étape de l’usine connectée est en train de s’écrire : brancher des assistants IA sur la flotte. Le pont MCP local permet à chaque logiciel de bord — contrôleur de robot, supervision, logiciel métier — de publier ses capacités auprès du client VIGIL de sa machine ; l’assistant, lui, se connecte à un seul endroit et découvre un inventaire vivant de la flotte.

• Interroger l’état de santé des équipements d’un site en un appel d’outil, sans intégration sur mesure.
• Corréler les erreurs d’un contrôleur avec celles du reste de la flotte, puis documenter l’incident automatiquement.
• Agir — recalibrage, redémarrage d’un service — dans les limites exactes de la politique de la console, chaque appel étant journalisé.

Questions fréquentes