Architecture de communication des sous-stations intelligentes — De la surveillance temps réel stricte au retour de données sécurisé
Dernière mise à jour : 12 oct.
Introduction : La pierre angulaire de communication de l’ère du Smart Grid
Une sous-station doit résoudre plusieurs problèmes de communication. Les équipements de protection échangent des informations sensibles au temps sur un réseau local conçu à cet effet. Les exploitants ont aussi besoin de mesures, d'alarmes et d'un accès autorisé au-delà de la station. Ces flux n'ont pas les mêmes exigences de délai, de disponibilité et de sécurité. Un routeur industriel peut desservir la liaison externe ; il ne transforme pas un WAN distant en réseau de protection.
Ce guide sépare les fonctions des niveaux processus, travée et station de la liaison avec le centre de conduite. Il précise les décisions à prendre avant de choisir un routeur, une liaison fibre, une relève cellulaire ou une méthode d'accès distant.
Les réseaux intelligents reposent sur les échanges entre les équipements de terrain, les sous-stations et les centres de conduite. Pour concevoir le système, il faut déterminer quelles informations doivent parvenir à quelle destination, dans quels délais et avec quel comportement en cas de défaillance. Les montants d’investissement ne suffisent pas, à eux seuls, à définir ces exigences.
Dans cet ensemble, le réseau de communication relie la production, le transport, les sous-stations, la distribution et les services d’entreprise autorisés. Il permet la supervision, la coordination de l’exploitation et l’échange de commandes à travers des frontières définies.
Une sous-station intelligente réunit l’acquisition des données, la protection, la surveillance, la commande et la liaison de supervision vers le centre de conduite.
Acquisition des données de terrain, selon l’instrumentation installée
Surveillance en temps réel des valeurs et états prévus par la conception
Commande automatisée dans le périmètre des fonctions et autorisations définies
Transmission des données de supervision au centre de conduite selon les règles d’accès établies
Un déclenchement ou un interverrouillage doit emprunter le chemin de communication temps réel spécifié et validé pour cette fonction. Certains schémas de protection conçus à cet effet relient plusieurs sous-stations ; un WAN public ou une liaison cellulaire ordinaire ne peut pas être présumé conforme à leurs exigences.
Défis actuels :
Perturbations électromagnétiques et contraintes environnementales
Croissance du trafic et coexistence de besoins de communication différents
Menaces de cybersécurité et contrôle des accès distants
Cet article suit les flux depuis les équipements de procédé, à travers les systèmes du poste, jusqu’au centre de conduite. Il compare les architectures, la redondance et le déploiement de routeurs, puis propose un exemple de planification et de réception plutôt qu’un cas client non vérifié.
Les déclenchements et interverrouillages de protection doivent emprunter le chemin temps réel spécifié et validé. Une liaison cellulaire ou un VPN ne suffit pas à établir cette qualification.
Architecture générale du système de communication d’une sous-station intelligente
IEC 61850 est une famille de modèles et de services de communication pour l'automatisation électrique [1]. Dans une architecture courante, les équipements du niveau processus fournissent les mesures, les IED de travée prennent les décisions de protection et les systèmes de station supervisent et collectent les données. L'architecture, les protocoles et les budgets de temps applicables relèvent du cahier des charges de l'exploitant, et non de la présence d'un routeur.
La norme IEC 61850 définit des modèles et des services de communication pour l’automatisation des réseaux électriques. Chaque projet sélectionne les parties, profils et règles d’ingénierie applicables. Cette famille de normes n’impose ni routeur, ni organisation de bus, ni topologie WAN universels.
Les niveaux de processus, de baie et de contrôle de station décrivent des fonctions. Le bus de processus et le bus de station décrivent des organisations de communication internes au poste. Le WAN de téléconduite ou d’entreprise constitue une frontière distincte ; il ne s’agit pas du second réseau d’une formule universelle « trois niveaux, deux réseaux ».
Niveaux fonctionnels : processus, baie et contrôle de station
Communications internes : bus de processus et bus de station lorsque la conception les prévoit
Communications externes : WAN de supervision et frontières d’accès distant spécifiés séparément
Comparaison de l’architecture à trois niveaux
Niveau fonctionnel | Équipements typiques | Rôle principal | Exigence de communication | Exemples de services | Vérification d’ingénierie |
|---|---|---|---|---|---|
Processus | Capteurs, unités de fusion et interfaces | Acquérir les mesures et états primaires | Échantillonnage, délais et synchronisation spécifiés | Sampled Values (SV) ; GOOSE le cas échéant | Correspondance des signaux, qualité temporelle et comportement en cas de perte |
Baie | IED de protection et de commande | Exécuter la protection et la logique de commande de la baie | Délais et disponibilité propres à la fonction | GOOSE ; MMS le cas échéant | Abonnements, interverrouillages et réponse aux défaillances validée |
Contrôle de station | SCADA, IHM et passerelles applicatives | Supervision, agrégation et interfaces externes | Qualité des données, accès et reprise applicative définis | MMS en interne ; IEC 104 ou DNP3 sur certaines interfaces | Séparer les fonctions de passerelle du routage et de la sécurité WAN |
Supports de communication & redondance
Choisissez des supports, commutateurs et interfaces qualifiés pour l’environnement réel et le budget temporel. La fibre peut réduire les voies de perturbations conduites, mais les équipements aux extrémités, l’alimentation et l’installation restent déterminants.
Choisissez la redondance selon les exigences de l’application. Le PRP transmet des copies sur deux LAN distincts ; le HSR utilise des chemins dupliqués dans les topologies en anneau ou en maillage prises en charge. Le RSTP et l’ERPS rétablissent une topologie après une défaillance ; l’interruption dépend de la configuration.
Pour la liaison externe, évaluez la diversité des routes, la dépendance aux opérateurs, l’alimentation, les antennes et la reprise applicative. Deux liaisons ne définissent pas un taux de disponibilité universel.
Documentez l’interopérabilité, la maintenance et le comportement en cas de défaillance de tous les appareils participants.
Comparaison entre architecture traditionnelle et architecture intelligente
Dimension | Approche conventionnelle | Approche en réseau numérique | Conséquence de conception |
|---|---|---|---|
Signaux | Circuits analogiques et TOR câblés | Mesures numérisées et événements en réseau lorsque la conception les prévoit | Vérifier la qualité des mesures, les exigences temporelles et l’évolution des dépendances |
Interconnexion | Câblage dédié point à point | Modèles d’équipements et services Ethernet définis par l’ingénierie | Valider l’interopérabilité et la responsabilité de configuration |
Supervision | Inspection locale et télémesure installée | Supervision du poste et enregistrements distants autorisés | Définir la qualité des alarmes, les accès et les responsabilités de maintenance |
Extension | Ajout de câblage et d’interfaces | Ajout d’équipements conçus et adaptation de la capacité réseau | Réévaluer l’incidence sur la protection, le trafic, la sécurité et la mise en service |
Les déclenchements de protection, les interverrouillages et les autres fonctions temps réel strict doivent suivre les chemins spécifiés et validés par l’exploitant électrique, y compris toute téléprotection inter-sous-stations conçue à cet effet. Ne présumez pas qu’un WAN public ou cellulaire ordinaire convient. Définissez un état sûr lorsque la connexion externe tombe et validez les commandes de supervision autorisées au regard de la conception de contrôle.
Liens critiques et flux de données
Tracez séparément les mesures et événements internes, la télémétrie SCADA vers le centre de conduite, les commandes, la maintenance technique et les exports vers un historien ou une application analytique. Notez pour chaque flux ses extrémités, son protocole, son sens, son besoin temporel, son responsable et son comportement en cas de coupure. GOOSE, Sampled Values et MMS désignent des services différents d'IEC 61850 ; leurs noms ne remplacent pas une conception propre au site [1].
Cheminement des données
Acquisition des données : mesures primaires et flux de valeurs échantillonnées
Les mesures provenant des interfaces de procédé ou unités de fusion sélectionnées sont associées aux consommateurs configurés. Lorsque des Sampled Values sont utilisées, concevez la configuration des flux, les abonnements, la synchronisation temporelle et le comportement en cas de perte d’échantillons ou de dégradation de la qualité temporelle.
Surveillance et commande : échanges GOOSE et supervision du poste
Les messages GOOSE distribuent des événements définis aux IED abonnés, conformément au schéma de protection et de commande conçu. La supervision du poste peut utiliser les services MMS pour ses propres données et commandes. Traitez ces services séparément et vérifiez que chaque fonction conserve ses dépendances et sa réponse aux défaillances requises.
Télétransmission de supervision : de la passerelle du poste au centre de conduite
L’application du poste ou la passerelle sélectionne les points de supervision et met en œuvre le mappage applicatif requis. Le routeur achemine le trafic IP autorisé vers le centre de conduite par une voie approuvée. Protégez le canal aux extrémités appropriées ; le routage ou la seule mention IEC 61850 ne chiffre pas automatiquement le trafic.
Exécution des commandes : actions autorisées et validées
Une commande du centre de conduite autorisée passe par l’interface permise jusqu’à l’application et à l’équipement responsables dans le poste. Validez le mappage des points, les comportements de sélection et d’exécution le cas échéant, les autorisations locales et distantes, les interverrouillages, les accusés de réception et le comportement en cas de perte de liaison. Les commandes de supervision ne sont pas équivalentes aux déclenchements rapides de protection.
Établissez un budget de trafic à partir de la configuration réelle des valeurs échantillonnées, des abonnements aux événements, de la télémesure, des enregistrements de perturbations et des transferts de maintenance. Consignez les débits soutenus et de pointe, les limites de latence et de perte, les exigences de synchronisation temporelle, la rétention et le comportement en cas de congestion. La tension nominale d’un poste ne permet pas, à elle seule, d’estimer le volume quotidien de données.
Exigences de performance et vérification
Étape | Informations | Décision de conception | Preuve de réception |
|---|---|---|---|
Acquisition | Mesures, états et Sampled Values | Choisir les exigences d’acquisition et de qualité temporelle | Comparer les valeurs, les horodatages et le signalement des données manquantes |
Traitement | Événements de protection et de commande, logique de station | Attribuer la logique et les délais de communication | Tester les actions prévues, les actions bloquées et les états de défaillance |
Transmission | Télémesures, alarmes et commandes autorisées | Spécifier le comportement du WAN, les files d’attente et la reprise de session | Observer les données de bout en bout et le traitement des commandes pendant une interruption |
Analyse | Enregistrements, historien et analyses facultatives | Séparer les transferts volumineux des flux à contrainte temporelle | Mesurer la charge de transfert, l’exhaustivité des données et leur utilité opérationnelle |
Principes de conception des réseaux électriques
Partez des zones réseau approuvées par l'exploitant. Déterminez quels systèmes de station peuvent joindre le réseau de conduite, quels utilisateurs distants peuvent entrer et où pare-feu, VPN, courtier d'accès ou passerelle appliquent la séparation. Un VPN protège un chemin configuré ; il ne remplace ni l'identité, ni les droits minimaux, ni les journaux, ni la gestion des changements. Les recommandations OT du NIST relient la sécurité aux besoins de fiabilité, de performance et de sûreté du système [2].
Pour chaque flux, définissez des exigences mesurables de fiabilité, de temps réel, de résilience et de sécurité. Les liaisons redondantes, la synchronisation et le chiffrement répondent à des modes de défaillance différents ; leur contribution doit être évaluée sur l’ensemble du chemin applicatif.
Principe | Choix de conception | Limite ou frontière | Vérification |
|---|---|---|---|
Fiabilité | Équipements qualifiés, alimentation et redondance adaptée | Des dépendances communes peuvent neutraliser des liaisons dupliquées | Simuler les défaillances pertinentes de liaison, d’équipement et d’alimentation |
Performance temps réel | Ingénierie du trafic et synchronisation temporelle spécifiées | Une mention QoS ou TSN ne prouve pas le respect d’un délai de bout en bout | Mesurer latence, gigue, pertes et qualité temporelle sous une charge représentative |
Résilience et isolation | Zones définies, chemins autorisés et fonctionnement dégradé | Un VLAN seul ne constitue pas un contrôle d’accès complet | Tester les autorisations entre zones, la reprise et le mode de repli opérationnel |
Sécurité | Identités contrôlées, moindre privilège, canaux protégés et journaux | Le chiffrement VPN ne remplace ni l’autorisation ni la gouvernance de la maintenance | Vérifier les accès autorisés et bloqués, la révocation, les journaux et le contrôle de configuration |
Déploiement des routeurs industriels dans les systèmes électriques
Choisissez les routeurs industriels en fonction de l’environnement d’installation et des exigences de qualification de l’exploitant électrique. Pour le modèle exact, vérifiez la plage de température, la compatibilité électromagnétique, l’immunité aux surtensions, l’alimentation, les interfaces et les certifications applicables. La seule mention « industriel » ne démontre pas qu’un appareil convient à une sous-station.
Rôles fonctionnels principaux
Acheminement des données : router uniquement les flux IP explicitement autorisés entre les réseaux du poste et du centre de conduite.
Passerelle applicative : utiliser IEC 104, DNP3, MQTT ou une autre conversion uniquement si la fonction exacte de la passerelle et le mappage des données sont documentés.
Frontière de sécurité : vérifier les fonctions de pare-feu, de VPN, d’intégration d’identité et de journalisation ; ne pas présumer qu’un routeur intègre un IDS.
Connectivité cellulaire et traitement en périphérie facultatif : vérifier les bandes du modem, le service opérateur, la prise en charge logicielle et les ressources par rapport au besoin réel.
Déploiement selon les scénarios
Scénario | Liaison principale | Liaison de secours | Point à examiner pour le déploiement | Preuve de sélection |
|---|---|---|---|---|
Sous-station urbaine | Fibre ou WAN électrique approuvé | Cellulaire si autorisé | Vérifier les dépendances communes : conduits, alimentation et opérateur | Reprise applicative, compatibilité des interfaces et qualification environnementale |
Sous-station éloignée | Service disponible de l’opérateur électrique ou télécom | Autre opérateur ou satellite si justifié | Étudier la couverture radio, les antennes, l’alimentation et la latence du service | Mesures sur site et fonctionnement dégradé testé |
Sous-station principale | Services diversifiés conçus par l’exploitant électrique | Voies externes diversifiées approuvées | Coordonner zones de sécurité, capacité et fenêtres de maintenance | Essais de panne de bout en bout et acceptation par l’exploitant ; aucun coût générique présumé |
À la frontière de la station, le routeur ou la passerelle ne doit transmettre que le trafic explicitement autorisé. Une passerelle de protocole peut aussi traduire une interface définie.
Le routage IP ordinaire ne convertit pas à lui seul des données IEC 61850 en IEC 60870-5-104, DNP3 ou MQTT.
Si la conversion est nécessaire, vérifiez la fonction sur le matériel et la configuration précis.
Si la fibre est le lien externe principal et le cellulaire un secours, testez la véritable application pendant la bascule. Vérifiez la reprise des files de télémétrie, des sessions, de l'adressage et des commandes ; deux interfaces connectées ne garantissent pas la continuité applicative. Définissez aussi le comportement lorsque les deux liens sont indisponibles. Couverture radio, opérateur, antennes, alimentation et conditions du site doivent être mesurés à l'emplacement final.
Topologies réseau & comparaison
Schéma | Mécanisme | Usage possible | Atout | Limite |
|---|---|---|---|---|
Récupération en anneau | Rétablissement de la topologie par RSTP/ERPS selon les fonctions prises en charge | Ethernet de poste conçu en conséquence | Chemin alternatif après une défaillance couverte | L’interruption dépend du protocole, de la topologie et de la mise en œuvre |
Étoile | Les équipements sont reliés à un point de commutation central | Réseaux de petite taille ou segmentés | Chemins clairs et diagnostic direct | Les équipements centraux ou leur alimentation peuvent constituer un point de défaillance commun |
PRP sur deux LAN | Trames dupliquées sur deux LAN distincts | Applications exigeant une redondance réseau sans temps de reprise, si elle est prise en charge | Le chemin encore disponible peut éviter un délai de récupération réseau pour une panne LAN couverte | Exige des équipements compatibles et deux LAN réellement séparés ; ne garantit pas l’absence totale d’interruption applicative |
Fibre avec secours cellulaire | Bascule de la liaison WAN de supervision | Télémesure externe et accès distant autorisé | Autre support de transmission s’il est qualifié | Service radio variable, changement de session ou d’adresse et interruption applicative possibles |
Anneau ou maillage HSR | Trames dupliquées sur les chemins HSR pris en charge | Réseaux de poste compatibles avec la redondance | Transmission redondante pour les défaillances réseau couvertes | Exige des nœuds compatibles et la validation de la topologie, de la capacité et du périmètre de défaillance |
Pour comparer les topologies, tenez compte de la tolérance aux défaillances requise et des responsabilités d’exploitation. Une architecture de supervision possible suit ce parcours : équipements de procédé et unités de fusion → IED de protection et de commande → SCADA du poste ou passerelle → frontière contrôlée du poste → WAN autorisé → centre de conduite. Une voie de protection conçue séparément peut avoir d’autres extrémités et exigences. Le secours cellulaire, l’historisation et l’analyse constituent des branches autorisées supplémentaires, et non des dépendances automatiques de la protection.
La redondance doit couvrir la défaillance que l’on veut tolérer. La seule duplication d’interfaces ne prouve pas la continuité de l’application.
Sous-station 110 kV : exemple de planification de modernisation et de réception
Exemple de planification uniquement : considérons un poste de 110 kV qui doit conserver ses fonctions de protection validées tout en améliorant la liaison de supervision et la maintenance à distance contrôlée. Aucun déploiement client, nombre d’appareils, gain financier ni niveau de performance mesuré n’est affirmé ici.
Préparez la modernisation à partir des schémas existants de l’exploitant, des exigences de protection et des contraintes liées aux indisponibilités du poste :
Architecture : relevez les bus existants du poste et du procédé ainsi que le schéma de protection ; conservez les chemins temps réel approuvés et définissez l’interface de la passerelle de supervision.
Résilience : choisissez la redondance interne et la diversité des liaisons externes selon le comportement attendu en cas de défaillance ; testez la reprise applicative et le fonctionnement dégradé.
Sécurité et exploitation : définissez les zones, les flux autorisés, les utilisateurs distants identifiés, les journaux, les sauvegardes de configuration et les preuves de mise en service.
Définissez les éléments de preuve de réception avant de choisir les équipements :
Élément de réception | Référence initiale à consigner | Essai à réaliser | Preuves à conserver |
|---|---|---|---|
Protection et commande | Chemins, dépendances et états sûrs approuvés | Simuler les défaillances spécifiées sans dépendre d’un WAN non qualifié | Observations et exceptions approuvées par l’exploitant électrique |
Données de supervision | Valeurs, horodatages, alarmes et files d’attente attendus | Transmettre les données réelles à l’application du centre de conduite | Enregistrements aux extrémités et résultats de qualité des données |
Reprise du WAN | Exigences de service, d’adresse, de session et de reprise | Interrompre puis rétablir les liaisons principale et de secours | Interruptions observées, reprise, indications opérateur et limites |
Maintenance à distance | Utilisateurs identifiés, destinations, autorisations et journaux | Tester les accès autorisés, bloqués et révoqués | Journaux d’accès, configuration finale et validation du responsable |
Un schéma de sous-station peut illustrer une frontière possible, sans prouver une fonction Wavetel, un déploiement client ou une performance mesurée. Vérifiez topologie et matériel réels.
Utilisez une fiche de réception propre au site plutôt qu'une promesse générale de « haute disponibilité » :
Comparez le plan avec les ports, VLAN, routes, pare-feu, source de temps et applications réellement installés.
Confirmer que la protection et la commande respectent leurs exigences de communication spécifiées et validées lors des défaillances WAN pertinentes ; inclure les dépendances à toute téléprotection inter-sous-stations conçue à cet effet.
Testez les accès distants permis et interdits avec des utilisateurs nommés et une autorisation tracée.
Envoyez de vraies données de supervision à l'application de conduite et contrôlez valeurs, horodatages, alarmes et droits de commande.
Coupez puis rétablissez chaque lien externe ; consignez reprise, lacunes de données, indications opérateur et procédure de réponse.
Conservez configuration finale, conditions d'essai, exceptions et validation des responsables dans le dossier de changement.
Tendances futures : 5G, TSN et edge computing
Technologie | Rôle possible | Prérequis | Limite |
|---|---|---|---|
5G | Liaison de supervision qualifiée ou service dédié conçu pour cet usage | Couverture, caractéristiques du service, sécurité et validation applicative | Ne pas présumer qu’un service cellulaire public convient à la protection |
TSN | Ordonnancement spécifié du trafic et Ethernet sensible au temps | Équipements et profils compatibles, synchronisation et ingénierie de bout en bout | Un composant compatible TSN ne qualifie pas le système complet |
Informatique en périphérie | Filtrage local, gestion d’enregistrements ou analyses approuvées | Application validée, ressources, qualité des données et responsabilité de maintenance | Éviter qu’une analyse facultative devienne une dépendance de protection non évaluée |
Diagnostic assisté | Prioriser des alarmes ou suggérer une investigation de maintenance | Éléments représentatifs et procédures de conduite avec intervention humaine | Aucune précision d’IA ni reprise autonome garantie n’est affirmée |
Conclusion
Une architecture de communication pour sous-station intelligente doit préciser chaque flux, son responsable, ses exigences temporelles et sa réponse aux défaillances. Préservez les chemins de protection et de commande qualifiés tout en améliorant la connectivité de supervision autorisée.
Les services IEC 61850, une redondance adaptée, un accès WAN contrôlé et des équipements dûment qualifiés constituent des éléments de conception. TSN, la 5G privée et l’analyse en périphérie exigent une justification d’ingénierie et une validation pour la fonction visée ; ils n’assurent pas automatiquement une reprise autonome.
Commencez par relever les interfaces installées et les critères de réception. N’étendez la connectivité que si le chemin obtenu, la frontière d’accès, la procédure de maintenance et les preuves peuvent être exploités par l’opérateur du réseau électrique.
Pour étudier plus largement la frontière d'accès OT, consultez la sécurité IT/OT convergente et l'architecture Zero Trust. Le choix du produit vient après la définition de ces chemins et critères de réception.
FAQ
Un routeur 5G peut-il transporter un déclenchement de protection ?
Ne le présumez pas. Un chemin de protection doit respecter les exigences de temps, de fiabilité et de défaillance définies par l’exploitant électrique, y compris les fonctions inter-sous-stations conçues à cet effet. N’utilisez le cellulaire que pour les fonctions explicitement qualifiées et approuvées pour ce service.
Un routeur industriel convertit-il IEC 61850 en IEC 104 ?
Pas du seul fait qu'il route des paquets. Une conversion exige une fonction de passerelle documentée, un mappage, une configuration et un essai de bout en bout du matériel et du logiciel précis.
Que faut-il vérifier lors d'une bascule WAN ?
Contrôlez les données applicatives, les sessions et adresses, les alarmes, la visibilité des opérateurs et le temps de reprise selon les seuils du site. Le voyant d'un modem ne prouve pas la reprise de l'application de conduite.
Un VPN suffit-il à l'accès de maintenance ?
Non. Il faut un chemin contrôlé avec identités nominatives, autorisations, destinations permises, journaux et procédure de maintenance convenue avec les responsables exploitation et sécurité.
Quelle différence entre le bus de processus, le bus de station et le WAN externe ?
Le bus de processus et le bus de station organisent les communications internes selon la conception du poste ; le WAN externe relie les interfaces approuvées du poste au centre de conduite ou à d’autres systèmes autorisés. Les niveaux fonctionnels et les segments réseau sont des notions de conception liées, mais leurs noms ne sont pas interchangeables.
Le PRP et le HSR sont-ils équivalents au RSTP ou à l’ERPS ?
Non. Le PRP et le HSR transmettent des trames en double sur des chemins redondants pris en charge, pour les défaillances réseau qu’ils couvrent. Le RSTP et l’ERPS rétablissent une topologie après une défaillance. La compatibilité des équipements, le périmètre de la panne et le comportement applicatif complet doivent toujours être validés.
