Wat is High Availability (HA)?
High Availability (HA) is het ontwerpprincipe waarbij systemen en netwerken zo zijn ingericht dat bedrijfskritische functies beschikbaar blijven, ook als een onderdeel uitvalt, doordat storingen automatisch worden opgevangen door redundante componenten en failover. Beschikbaarheid wordt uitgedrukt als percentage van de tijd dat een functie werkt, vaak in “negens”: 99,99% betekent nog geen uur stilstand per jaar. HA is geen product, maar een samenstel van ontwerpkeuzes, configuratie en testen.
In industriële automatisering is HA essentieel voor systemen die 24/7-productie, procesbewaking of veiligheid moeten garanderen, zoals SCADA, Historian, PLC-netwerken of MES.
🧠 Hoe werkt High Availability?
Elke HA-oplossing bestaat uit drie bouwstenen die samen moeten werken:
- Redundantie - dubbele hardwarecomponenten zoals servers, voedingen, switches of firewalls, en redundante netwerkpaden (bijvoorbeeld RSTP, MRP, PRP of HSR). Er mag geen single point of failure overblijven.
- Failovermechanismen - bij uitval schakelt het systeem automatisch over naar een werkende component. Hoe snel dat gaat, hangt sterk af van het mechanisme: van 0 ms bij parallelle netwerken tot enkele minuten bij het herstarten van een virtuele machine.
- Monitoring en detectie - heartbeats, watchdogs en statuscontroles zien dat een component niet meer reageert, starten de omschakeling of automatisch herstel en alarmeren de beheerder. Een stand-by die zelf ongemerkt defect is (latent fault), is een veelvoorkomende oorzaak van mislukte failovers.
Beschikbaarheid laat zich berekenen als MTBF / (MTBF + MTTR). Een hogere MTBF (betrouwbaardere componenten) en vooral een lagere MTTR (sneller herstel) verhogen de beschikbaarheid. HA verlaagt de effectieve hersteltijd door de reparatie los te koppelen van de dienstverlening: het proces draait door op de tweede component, terwijl de eerste wordt vervangen.
📊 Hoeveel stilstand hoort bij welk beschikbaarheidsniveau?
| Beschikbaarheid | Maximale stilstand per jaar | Typische toepassing |
|---|---|---|
| 99% | circa 87,6 uur (3,65 dagen) | Kantoorapplicatie zonder redundantie |
| 99,9% | circa 8,8 uur | Enkelvoudige server met goede back-up en reserveonderdelen |
| 99,99% | circa 53 minuten | Redundante SCADA-server of virtualisatiecluster |
| 99,999% | circa 5 minuten | Redundante controller, ringnetwerk, gescheiden voedingen |
| 99,9999% | circa 32 seconden | Naadloze redundantie in onderstations en procesbesturing |
Elke extra negen vraagt grofweg een tienvoudige verbetering en kost onevenredig veel meer. Bepaal het doel daarom per functie op basis van een business impact analyse en de gewenste RTO en RPO, niet voor de hele installatie tegelijk.
🔄 Wat is het verschil tussen HA, fault tolerance en disaster recovery?
De begrippen worden vaak door elkaar gebruikt, maar beschermen tegen verschillende scenario’s:
| Begrip | Doel | Omschakeling | Voorbeeld |
|---|---|---|---|
| High Availability | Uitval beperken tot korte onderbreking | Seconden tot minuten | Failovercluster, herstart van een VM op een andere host |
| Fault tolerance | Geen merkbare onderbreking | 0 ms of enkele tientallen ms | PRP, lockstep-servers, redundante CPU’s |
| Disaster Recovery | Herstel na verlies van een hele locatie | Uren tot dagen | Uitwijklocatie, back-ups en restore |
| Business Continuity | Bedrijfsvoering laten doorgaan | Organisatorisch | Handbediening, noodprocedures, crisisteam |
HA beschermt tegen het uitvallen van een component, niet tegen ransomware, een verkeerde configuratiewijziging of brand: een fout of besmetting wordt immers vaak keurig naar de tweede node gesynchroniseerd. Daarvoor blijven back-ups, bij voorkeur een immutable back-up, en een getest herstelplan nodig.
🔍 Welke HA-architecturen bestaan er?
| Architectuur | Toelichting |
|---|---|
| Active/Passive | Eén node actief, de andere stand-by voor failover (hot, warm of cold standby) |
| Active/Active | Beide nodes actief, verdeling van belasting; bij uitval draagt de overblijver alles |
| Clustered HA | Groep systemen deelt taakverdeling en status; een quorum bepaalt welke helft actief blijft |
| Redundante netwerken | PRP, HSR, MRP, RSTP of DLR voor continue datastromen |
| Virtualisatie met failover | VM’s draaien op meerdere hosts; bij uitval herstart een HA-cluster ze elders |
Bij clusters is split-brain het grootste gevaar: twee helften die elkaar niet meer zien, worden allebei actief en schrijven tegenstrijdige data of sturen dezelfde installatie aan. Failoverclusters voorkomen dat met een quorum: alleen de partitie met meer dan de helft van de stemmen blijft actief. Bij twee nodes levert een witness (een gedeelde schijf, file share of cloudopslag) de beslissende derde stem.
Bij virtualisatie is het onderscheid tussen HA en fault tolerance concreet. VMware vSphere HA herstart virtuele machines na een hostuitval op een andere hypervisor-host; het gastbesturingssysteem start opnieuw op en de toestand in het geheugen gaat verloren. vSphere Fault Tolerance houdt een gesynchroniseerde secundaire VM bij die direct overneemt, maar kent beperkingen in het aantal vCPU’s en ondersteunde functies.
🏭 Hoe wordt HA toegepast in industriële automatisering?
- Redundante SCADA-servers - een serverpaar met gesynchroniseerde database, alarmen en historie; clients schakelen automatisch om naar de partner
- Redundante controllers - volgens Siemens schakelt de S7-1500R via een PROFINET-ring met MRP typisch om in circa 300 ms, de S7-1500H via synchronisatiemodules in circa 50 ms; in een DCS zijn redundante controllers standaard
- PROFINET-systeemredundantie - I/O-apparaten houden verbindingen met twee controllers aan: S2 (één interface, twee verbindingen) is het meest gebruikt, R1 en R2 gebruiken twee interfacemodules en beschermen zo ook tegen uitval van een interface of een heel netwerk
- Redundante communicatie - via ringredundantie, DLR en PROFINET-mediaringen, of naadloos met PRP en HSR in onderstations
- Datalogging - via Historian-clusters of een gerepliceerde time-series database, met lokale buffering in edge-apparaten zodat er bij een storing geen data verloren gaat
- Netwerkbeveiliging - OT-firewalls en routers in actief/passief-configuratie, met gesynchroniseerde sessietabellen
- Energievoorziening - dubbele voedingen op aparte groepen, een UPS en eventueel een noodstroomaggregaat
Toepasselijke sectoren zijn onder meer energiecentrales, waterzuivering, chemie, food, farma, tunnel- en railtechniek.
HA voor beschikbaarheid is iets anders dan redundantie voor veiligheid. In een SIS gaat het erom dat de veiligheidsfunctie werkt wanneer dat nodig is; functionele veiligheid volgens IEC 61508 en IEC 61511 werkt daarvoor met hardware fault tolerance en stemlogica zoals 1oo2 of 2oo3 in een safety-PLC.
🧭 Hoe richt u High Availability stap voor stap in?
- Inventariseer de kritieke functies - welke processen mogen niet stilvallen en wat kost een uur stilstand?
- Leg doelen vast - beschikbaarheid, maximale omschakeltijd, RTO en RPO per functie.
- Zoek single points of failure - servers, controllers, switches, voedingen, maar ook licentieservers, DNS, tijdsynchronisatie en de kast of kabelgoot waar alles doorheen loopt.
- Beperk common cause failures - scheid voedingen, kabelroutes en ruimtes; twee nodes in hetzelfde rack sneuvelen samen bij één brand of overspanning.
- Kies het mechanisme - passend bij de toegestane omschakeltijd: PRP/HSR (0 ms), MRP (standaard 200 ms), controllerredundantie (tientallen tot honderden ms), clusterfailover (seconden tot minuten).
- Test failover periodiek - trek gepland een kabel of schakel een node uit tijdens een onderhoudsvenster; een HA-voorziening die nooit is getest, is een aanname.
- Beheer beide helften gelijk - patchmanagement en change management moeten beide nodes in dezelfde staat houden, zodat de stand-by bij omschakeling werkt.
In Nederland en de EU is beschikbaarheid ook een wettelijke verplichting. NIS2 artikel 21 vraagt om bedrijfscontinuïteit, zoals back-upbeheer en disaster recovery, en crisisbeheer. De Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden, zet deze zorgplicht om in Nederlandse wetgeving voor essentiële en belangrijke entiteiten.
🔐 Welke beveiligingsaspecten spelen bij HA?
- Redundantie verhoogt beschikbaarheid, maar vereist ook dubbel toegangsbeheer en patchmanagement
- Monitoring en anomaliedetectie moeten beide knooppunten bewaken
- Back-up en restore procedures moeten werken in gespiegelde systemen
- Audit-trails moeten beide systemen loggen
- Failover mag geen beveiligingslek creëren (zoals automatische open verbindingen of standaardwachtwoorden op de stand-by)
- Synchronisatie- en heartbeatverbindingen horen in een eigen, afgeschermd segment volgens netwerksegmentatie
In IEC 62443-3-3 valt beschikbaarheid onder Foundational Requirement 7 (Resource availability), met onder meer SR 7.1 bescherming tegen denial-of-service, SR 7.3 back-up van het besturingssysteem, SR 7.4 herstel en reconstructie en SR 7.5 noodstroom. SR 7.1 vraagt dat een systeem bij een DoS-aanval in een gedegradeerde modus blijft werken of zijn essentiële functies behoudt. Een aanval die beide helften tegelijk raakt, vangt redundantie niet op.
HA is geen vervanging voor security, maar moet er juist mee integreren.
❓ Veelgestelde vragen
Wat betekent 99,99% beschikbaarheid?
Een beschikbaarheid van 99,99% betekent dat een systeem maximaal circa 53 minuten per jaar niet beschikbaar mag zijn. Bij 99,9% is dat ongeveer 8,8 uur en bij 99,999% ongeveer 5 minuten. Voor High Availability in OT wordt het doel per kritieke functie vastgesteld.
Is High Availability hetzelfde als redundantie?
High Availability is het doel, redundantie is het belangrijkste middel om dat te bereiken. Redundantie zonder automatische detectie en failover levert nog geen HA op, omdat iemand handmatig moet omschakelen. HA combineert dus redundantie, failover, monitoring en regelmatig testen.
Wat is het verschil tussen active/passive en active/active?
Bij active/passive verwerkt één node al het werk en neemt een stand-by node het over bij uitval. Bij active/active werken beide nodes tegelijk en verdelen ze de belasting, zodat er bij uitval geen omschakeling nodig is maar wel capaciteit wegvalt. Active/passive is in OT de gangbare opzet, onder meer voor SCADA-servers en controllers.
Wat is split-brain bij een HA-cluster?
Split-brain ontstaat wanneer de nodes van een High Availability-cluster elkaar niet meer zien en allebei denken dat ze de actieve node zijn. Dat kan leiden tot tegenstrijdige data of dubbele aansturing van een installatie. Een quorum met een witness zorgt dat maar één helft actief blijft.
Beschermt High Availability tegen ransomware?
High Availability beschermt tegen het uitvallen van componenten, niet tegen ransomware. Versleutelde of beschadigde data wordt meestal gewoon naar de tweede node gerepliceerd. Tegen ransomware zijn segmentatie, offline of immutable back-ups en een getest disaster-recoveryplan nodig.
Wat eist IEC 62443 op het gebied van beschikbaarheid?
IEC 62443-3-3 behandelt beschikbaarheid in Foundational Requirement 7, Resource availability. Die bevat eisen voor bescherming tegen denial-of-service, resourcebeheer, back-up, herstel, noodstroom, configuratie-instellingen, minimale functionaliteit en een inventaris van componenten. High Availability-maatregelen helpen aan deze eisen te voldoen.
📌 Samengevat
High Availability houdt kritieke OT- en IT-functies beschikbaar door redundantie, automatische failover en monitoring te combineren, zodat het uitvallen van één component het proces niet stillegt. Kies het beschikbaarheidsdoel en de omschakeltijd per functie, voorkom single points of failure en split-brain, test failover regelmatig en vul HA aan met back-ups en disaster recovery, omdat HA niet beschermt tegen ransomware of configuratiefouten.