OPC UA vs Modbus : faut-il moderniser son legacy OT ?

La rupture la plus profonde entre OPC UA et Modbus n'est ni la sécurité ni Pub/Sub : c'est l'Address Space. Un serveur OPC UA expose un graphe de nœuds typés (Objects, Variables, Methods, References), chacun identifié par un NodeId qualifié par un namespace. Quand un client lit une variable, il récupère la valeur, son type (Double, Float, UInt16), l'unité d'ingénierie (EUInformation, par exemple °C IEC 60050), l'horodatage source et serveur, la qualité (Good, Bad, Uncertain), les limites d'alarme et les relations vers les objets parents. Le client peut découvrir l'arborescence à l'exécution via les services Browse, sans configuration préalable.

Modbus livre seize bits. Le registre 40001 contient une valeur — il faut un PDF du constructeur pour savoir que c'est une température exprimée au dixième de degré, encodée en complément à deux. Aucune unité, aucune qualité, aucun horodatage, aucune méta-information. Toute la sémantique est implicite et redocumentée à chaque intégration.

C'est cette différence qui rend les Companion Specifications stratégiques. PA-DIM (Process Automation Device Information Model), publiée avec NAMUR et FieldComm Group, aligne les paramètres d'un capteur de pression sur le dictionnaire IEC 61987. Robotics Companion Specification, portée par VDMA, expose un cobot Stäubli ou un robot KUKA avec la même arborescence quel que soit le fabricant. AutoID unifie RFID, UWB et RTLS. Avec OPC UA, un MES interroge la flotte sans ouvrir un seul classeur Excel ; avec Modbus, c'est l'intégrateur qui maintient le mapping à la main.

Modbus a été conçu en 1979 pour un bus série isolé, sans aucun mécanisme de sécurité : pas d'authentification, pas de chiffrement, pas de contrôle d'intégrité, pas d'audit. N'importe quel équipement sur le segment peut envoyer une fonction 06 (Write Single Register) et reconfigurer un variateur ou un automate. Modbus TCP a hérité de cette absence : la sécurisation se fait par segmentation réseau, firewall industriel, VPN site-à-site, voire diode unidirectionnelle (Systerel, Seclab, Stormshield).

OPC UA intègre la sécurité dans la spécification IEC 62541-2. Un SecureChannel est négocié au-dessus de TCP : authentification mutuelle par certificat X.509, signature et chiffrement applicatifs (Basic256Sha256, Aes256_Sha256_RsaPss), gestion de session avec jetons utilisateur (username/password, X.509, JWT, Kerberos), audit trail des connexions et opérations. Les profils de sécurité sont normalisés et auditables.

Ces propriétés cochent les exigences IEC 62443. L'ANSSI a publié en novembre 2025 la version 2 de son guide ANSSI-PA-108 (Mesures détaillées) et un nouveau référentiel le 6 février 2026, qui alignent explicitement les recommandations OT avec IEC 62443 et précisent les attentes pour SL2 (entités importantes NIS 2) ou SL3 (entités essentielles). Côté éditeurs français, Panorama de Codra est le premier SCADA certifié CSPN par l'ANSSI ; Systerel propose Safe & Secure OPC, un stack OPC UA certifié pour les environnements critiques. Sur un appel d'offres NIS 2 ou un site Seveso, OPC UA arrive avec les bons artefacts ; Modbus impose d'ajouter une couche de cyberdéfense périphérique.

Le modèle natif de Modbus est le polling : le controller (ex-maître) interroge périodiquement chaque device (ex-esclave) avec un function code (03 Read Holding Registers, 04 Read Input Registers), attend la réponse, recommence. Sur un atelier de 200 capteurs polleés à 100 ms, le bus sature vite et la latence se dégrade. Aucune notification événementielle native : un seuil franchi n'est connu qu'au cycle suivant.

OPC UA propose deux modes complémentaires. Le mode client/server avec Subscriptions et MonitoredItems permet à un client de s'abonner aux changements d'une variable selon un sampling interval et une deadband, le serveur ne notifie qu'en cas de variation significative. Depuis la version 1.04, OPC UA Pub/Sub découple émetteurs et récepteurs via un broker (MQTT, AMQP) ou un transport UDP/Ethernet TSN. Un capteur publie son dataset, n clients consomment sans connexion point-à-point. Le payload peut être JSON (lisibilité, intégration cloud) ou UADP binaire (performance).

Cette flexibilité ouvre la porte à des architectures edge-to-cloud : un broker MQTT central, OPC UA Pub/Sub côté machine, Sparkplug B (spec MQTT industrielle d'Eclipse Foundation) pour le payload, et un MES qui consomme les topics. Côté Modbus, l'astuce courante reste l'EoN node (Edge of Network), un gateway type Prosoft PLX32 ou Moxa MGate qui poll les esclaves Modbus et republie en OPC UA ou MQTT Sparkplug. OPC UA Pub/Sub est nativement IIoT ; Modbus reste un bus terrain qu'on intègre via passerelle.

La gratuité apparente d'OPC UA cache un coût d'ingénierie significatif. Une stack Modbus RTU tient dans 5 à 10 € de silicium et quelques jours de firmware ; un serveur OPC UA correct demande un processeur capable, plusieurs mégaoctets de RAM, la gestion des certificats X.509, le maintien d'une Address Space cohérente, le respect d'une Companion Specification quand elle existe, et plusieurs semaines d'ingénierie. Les SDK certifiés (Unified Automation, Prosys, Matrikon, open62541 côté open source) accélèrent le travail mais imposent licences et formation.

Côté infrastructure, OPC UA suppose une PKI opérationnelle (autorité de certification, processus de renouvellement, révocation), un serveur de découverte (LDS/GDS) pour les grosses topologies, et une supervision capable d'auditer les sessions. Schneider EcoStruxure OPC UA Server Expert démarre vers 1 500 € HT pour la licence simple, plus l'effort d'intégration. Une migration complète Modbus → OPC UA sur une ligne existante coûte couramment plusieurs dizaines de milliers d'euros entre matériel, licences, ingénierie et formation OT/IT.

D'où la stratégie hybride dominante observée chez les intégrateurs français : conserver Modbus au niveau terrain (variateurs, compteurs Schneider Acti9, capteurs Wago, Phoenix Contact) et placer une gateway OPC UA en amont (Ignition, Kepware KEPServerEX, Panorama COM de Codra, ProSoft PLX32, Beckhoff TwinCAT OPC UA). Le MES, le SCADA et le data historian dialoguent en OPC UA chiffré ; les automates et capteurs continuent à parler Modbus en aval. C'est la trajectoire pragmatique financée par France 2030 dans la plupart des dossiers Première Usine et Industrie du Futur.