Réseau OT : pourquoi et comment utiliser SNMP pour surveiller vos switchs industriels
Au sein des architectures industrielles actuelles, la continuité de production repose directement sur la fiabilité de l’infrastructure de communication. Alors que les protocoles temps réel comme PROFINET, EtherNet/IP ou Modbus TCP transportent les données d’automatisme, la santé des équipements réseau reste parfois un point aveugle. Une perte de liaison sur un anneau de communication ou une surchauffe dans un coffret électrique peut passer inaperçue jusqu’à l’arrêt brutal d’une ligne d’assemblage. Pour éviter ces interruptions coûteuses, le protocole SNMP (Simple Network Management Protocol) s’impose comme l’outil standard pour observer et diagnostiquer la couche physique et logique de votre réseau OT.
Les fondements de SNMP : MIB, OID et versions
Le protocole SNMP repose sur une architecture client-serveur simple. L’équipement à surveiller embarque un agent SNMP, tandis qu’un serveur de supervision centralisé interroge cet agent à intervalles réguliers. L’ensemble des données accessibles sur un équipement est organisé dans une base d’informations nommée MIB (Management Information Base). Cette structure arborescente attribue à chaque paramètre un identifiant unique sous forme d’une suite de chiffres, appelé OID (Object Identifier). La vitesse d’un port Ethernet, l’état d’une alimentation électrique ou la température interne d’un boîtier disposent tous d’un OID spécifique.
Trois versions du protocole coexistent dans le monde industriel :
- SNMPv1 : version historique, aujourd’hui obsolète en raison d’une absence totale de sécurité.
- SNMPv2c : version la plus courante dans les ateliers, qui apporte des mécanismes de lecture améliorés mais utilise un mot de passe en texte clair appelé “communauté”.
- SNMPv3 : la version recommandée pour tout nouveau déploiement OT, apportant un chiffrement des données et une authentification forte par utilisateur (modèle USM).
Simple Network Management Protocol (© vrautomation.fr)
Dans un contexte de cybersécurité renforcée selon la norme IEC 62443, la transition vers la version 3 devient une priorité pour protéger l’architecture des usines.
Polling actif et traps SNMP : deux modes complémentaires
La collecte d’informations via SNMP s’effectue selon deux modes distincts qui se complètent sur le terrain.
Le polling (ou interrogation active) constitue le mode régulier. Le serveur de supervision envoie des requêtes via le port UDP 161 vers l’équipement réseau toutes les 30 secondes ou toutes les 5 minutes pour relever l’état d’une variable. Ce mécanisme convient parfaitement à la mesure des tendances : calcul de la bande passante consommée, évolution de la température ou taux d’erreurs sur les trames Ethernet.
À l’inverse, les traps SNMP correspondent à des alertes spontanées envoyées par l’équipement vers la supervision dès qu’un événement critique survient. Si un câble réseau est déconnecté ou si une seconde source d’alimentation tombe en panne, le switch n’attend pas la prochaine interrogation : il émet immédiatement une alerte via le port UDP 162. L’association du polling pour les mesures régulières et des traps pour les urgences garantit une réactivité optimale.
L'intégration dans les outils de supervision IT et OT
La mise en place de la supervision SNMP ne nécessite pas le remplacement de vos outils existants. Les commutateurs industriels fabriqués par Moxa, Hirschmann, Siemens ou Cisco proposent tous des agents SNMP natifs.
Pour l’exploitation au quotidien, deux approches sont envisageables. La première consiste à utiliser des plateformes de supervision IT bien établies comme PRTG, Zabbix ou Centreon. Ces outils disposent de modèles préconfigurés (Plugin Packs ou templates) pour le matériel d’automatisation et permettent d’obtenir une vision globale de l’ensemble du parc d’infrastructures.
La seconde approche s’appuie sur des suites logicielles dédiées au monde industriel, telles que Hirschmann Industrial HiVision ou Moxa MXview. Ces logiciels exploitent SNMP conjointement avec le protocole LLDP (IEEE 802.1AB) pour construire automatiquement la topologie du réseau, faire ressortir visuellement les liaisons redondantes et diagnostiquer précisément les anneaux de communication.
Exemples d'application sur le terrain
Pour illustrer l’intérêt de cette démarche, voici quelques cas d’usage directement observables en atelier de fabrication.
Surveillance de la redondance d’anneau : dans un réseau utilisant le protocole MRP (Media Redundancy Protocol / IEC 62439-2) pour secourir les liaisons Ethernet avec un temps de reconfiguration inférieur à 200 ms, SNMP permet de surveiller en continu le statut du gestionnaire d’anneau. Si l’anneau se rompt et passe en mode secouru, la supervision le détecte immédiatement via un OID propriétaire du constructeur, permettant aux équipes de maintenance d’intervenir avant qu’une seconde panne n’interrompe la production.
Contrôle de la qualité des liaisons : un câble Ethernet partiellement endommagé ou soumis à des interférences électromagnétiques fortes générera des pertes de paquets. En suivant l’OID correspondant aux erreurs CRC sur la liaison, le technicien repère la dégradation de la ligne bien avant la rupture complète de la communication avec l’automate.
Gestion environnementale des armoires : les switchs installés dans les coffrets de bord de ligne sont exposés à la poussière et aux élévations de température. La lecture de la sonde thermique interne de l’équipement permet de déclencher une pré-alarme dès que le boîtier franchit le seuil de 60 °C, signalant un dysfonctionnement de la ventilation du coffret.
Limites et contraintes de mise en œuvre
Bien que la supervision par SNMP offre une excellente visibilité, plusieurs contraintes doivent être prises en compte pour garantir le succès du projet.
La première limite concerne l’impact sur les processeurs des équipements d’automatisation. Contrairement aux commutateurs informatiques de centre de données, certains switchs compacts ou passerelles industrielles disposent de ressources CPU réduites. Une fréquence d’interrogation trop élevée (par exemple toutes les secondes) risque d’absorber une part excessive des capacités du processeur et de perturber la transmission des flux de contrôle. Une périodicité de 60 à 300 secondes pour le polling est généralement suffisante.
La deuxième contrainte réside dans la gestion des fichiers MIB. Chaque constructeur utilise des identifiants propriétaires pour ses fonctions avancées. La recherche, le chargement et la compilation des fichiers MIB spécifiques exigent une rigueur d’organisation initiale. Enfin, la cohabitation entre les équipes IT et OT nécessite une politique d’attribution des adresses IP et de sécurisation des identifiants SNMP claire et partagée dès le départ.
Conclusion
Superviser son réseau OT au moyen du protocole SNMP transforme une infrastructure passive en un composant mesurable et maîtrisé. En combinant la remontée des alertes immédiates par traps et le suivi des performances par interrogation périodique, les techniciens et ingénieurs disposent d’un levier puissant pour basculer d’une maintenance corrective subie vers une maintenance préventive anticipée. Un démarrage progressif, en débutant par la surveillance des switchs cœurs de réseau puis en étendant les sondes aux coffrets de terrain, garantit un retour sur investissement rapide sans perturber le fonctionnement des lignes de production.
