Как работает SADP

arp ?

Возможно что когда то производитель застолбил группу мак-адресов «под себя». И софтина шлёт запрос этой группе.

Что то типа https://www.wireshark.org/tools/oui-lookup.html

Широковещательные запросы конечно существуют. Какой именно шлёт - сниффером посмотри.

Ну и собсно да, поставь wireshark и сам посмотри...

IMHO это какой-нибудь бродакаст или мультикаст с SOAP

Как это происходит?

Спросите у производителя или проанализируйте сами.

Какой-то широковещательный запрос?

Возможно. Но это не единственный вариант, могут просто в параллель на все хосты локалки запрос разослать.

Могу ли я сам его сформировать?

Возможно.
—
Если я правильно распарсил ваш вопрос, то я бы начал со следующего: Запустил tcpdump на какой-нибудь машинке в локалке с фильтром по ip хоста на котором крутится SADP. Ну а дальше двигаться в зависимости от полученного результата.

По макам в л2 сегменте оно находит. Это ты ещё с лтв гго не имел дел, вот там шаманство без айпишников база.

arp -a выводит не все устройства. Сейчас буду читать как оно работает

Запусти под strace, посмотри какие системные вызовы socket, bind, send, sendto, recv, recvfrom она делает, посмотри содержимое посылаемых и принимаемых данных.

В пределах одного сегмента сети находит? Broadcast запрос на ffff.ffff.ffff, устройства отвечают.

Можешь wireshark/tcpdump на интерфейсе запустить, потом сканирование и посмотреть что происходит