Industrial Switch

Wat is een Industrial Switch?

Een industrial switch is een netwerkswitch die speciaal is gebouwd voor industriële omgevingen: hij verbindt PLC’s, HMI’s, IO-modules en servers via Ethernet en blijft betrouwbaar werken bij extreme temperaturen, trillingen, stof en elektromagnetische storingen (EMI). Waar een kantoorswitch in een geklimatiseerde serverruimte staat, hangt een industriële switch op een DIN-rail in een schakelkast naast frequentieregelaars, in een pompgemaal of in een onderstation. Daarnaast ondersteunt hij industriële redundantieprotocollen en beheerfuncties die een kantoorswitch vaak mist.

Industrial switches vormen de kern van het Control Network en het Supervisory Network: als de switch uitvalt, valt de communicatie tussen besturing en proces stil, hoe goed de rest van de installatie ook is.

🧠 Hoe werkt een industrial switch?

Technisch werkt een industriële switch hetzelfde als elke Ethernet-switch, maar met een aantal functies die in OT het verschil maken:

1. Frames doorsturen op laag 2 - de switch leert welke MAC-adressen achter welke poort zitten en stuurt elk frame alleen naar de juiste poort (laag 2 van het OSI-model). Een laag-3-switch kan daarnaast routeren tussen VLAN’s, maar vervangt geen firewall.
2. Logische scheiding met VLAN’s - één fysiek netwerk wordt opgedeeld in afzonderlijke broadcastdomeinen, bijvoorbeeld voor besturing, camera’s en engineering. Zo helpt de switch om segmentatie en de zones uit het zones-en-conduits-model in de praktijk te brengen.
3. Voorrang voor procesverkeer - met QoS krijgen tijdkritische protocollen zoals ProfiNET en IP voorrang op bijvoorbeeld camerabeelden of back-upverkeer.
4. Redundantie - ringprotocollen zoals MRP en DLR, het topologie-onafhankelijke RSTP, of naadloze redundantie met PRP en HSR, houden de communicatie in stand bij een kabelbreuk of een defecte switch.
5. Beheer en diagnose - via webinterface, CLI of SNMPv3 leest een beheerder poortstatus, foutentellers en alarmen uit; veel switches sturen meldingen naar Syslog en hebben een alarmrelais dat een PLC kan uitlezen.

🔄 Wat is het verschil met een kantoorswitch?

Het verschil zit vooral in de hardware en in de protocollen die de switch ondersteunt:

Fanless betekent ook dat er geen ventilator is die stof en vocht naar binnen zuigt. Het alarmrelais schakelt onder meer bij het wegvallen van een van de twee voedingen of bij een linkstoring, zodat de PLC dit kan doorgeven en de storing direct in het SCADA-systeem zichtbaar wordt.

🔁 Welke redundantieprotocollen ondersteunt een industrial switch?

Een veelgehoorde vuistregel is dat industriële netwerken “binnen 50 ms” herstellen, maar dat hangt sterk af van het protocol:

Voor een PROFINET-installatie is MRP met het profiel van 200 ms de gebruikelijke keuze. Stel dan de watchdog-tijd van de O langer in dan 200 ms, anders meldt het IO-apparaat een communicatiefout tijdens het omschakelen van de ring. Voor toepassingen met IRT die geen enkele onderbreking verdragen, kent PROFINET daarnaast MRPD, waarbij frames dubbel door de ring worden gestuurd. In onderstations volgens IEC 61850 zijn PRP en HSR gangbaar, omdat beveiligingsrelais geen enkele onderbreking mogen zien. Lees meer over ringtopologieën bij Ring Redundancy en over het algemene principe bij Redundantie.

🏭 Waar worden industrial switches toegepast?

• Fabrieken en machinebouw - het Control Network met PLC’s, drives en I/O, vaak met MRP- of DLR-ringen per productielijn.
• Procesindustrie - redundante backbones tussen de controlekamer en de veldkasten, met glasvezel over grotere afstanden.
• Water en infrastructuur - gemalen, rioolwaterzuiveringen, tunnels en sluizen, vaak buiten in kasten met grote temperatuurverschillen.
• Energie - onderstations, waar switches moeten voldoen aan IEC 61850-3 en IEEE 1613 (EMC-immuniteit, temperatuur, trillingen) en Precision Time Protocol doorgeven voor tijdsynchronisatie.
• Spoor en transport - switches voor rollend materieel volgens EN 50155 en voor baanapparatuur volgens EN 50121-4.

Steeds vaker komt daar TSN bij, voor deterministisch verkeer over een gedeeld netwerk, en Power over Ethernet (IEEE 802.3af/at/bt) voor camera’s, wifi-access points en sensoren.

🧭 Hoe kiest u een industrial switch?

Begin bij de eisen van de installatie, niet bij het merk. Deze stappen helpen:

1. Bepaal de omgeving - temperatuur in de kast (zonlicht op een buitenkast kan de interne temperatuur ver boven de omgevingstemperatuur brengen), trillingen, vocht en eventuele ATEX-zones.
2. Kies managed of unmanaged - zie de tabel hieronder. Voor alles wat met productie te maken heeft is een managed switch de norm.
3. Kies het redundantieprotocol - afgestemd op het veldbusprotocol: MRP bij PROFINET, DLR bij EtherNet/IP, PRP/HSR in onderstations.
4. Tel poorten en media - koper of glasvezel (SFP-slots), aantal poorten nu en over tien jaar, PoE-budget.
5. Controleer protocolondersteuning - PROFINET- of EtherNet/IP-conformance, IGMP-snooping voor multicastverkeer, PTP als tijdsynchronisatie nodig is.
6. Toets de security - certificering volgens IEC 62443-4-2 op het gewenste security level, de termijn waarin de leverancier firmware-updates levert en een beleid voor kwetsbaarheidsmeldingen.

Daarnaast bestaan “lite managed” of “smart” switches met een beperkte set functies, zoals alleen VLAN’s en PROFINET-diagnose; die zijn geschikt voor kleinere machinenetwerken.

🔐 Hoe beveiligt u een industrial switch?

Een switch staat midden in het netwerk en is daarmee zowel een doelwit als een belangrijk beveiligingsmiddel. Een niet-geconfigureerde switch is een ingang voor een insider of voor malware die zich lateraal verspreidt. Belangrijke maatregelen:

• Hardening - standaardwachtwoorden wijzigen, ongebruikte poorten uitschakelen, Telnet en HTTP vervangen door SSH en HTTPS, beheer alleen vanuit een apart beheer-VLAN.
• Port Security en 802.1X - alleen bekende apparaten mogen een poort gebruiken; 802.1X vraagt authenticatie voordat een apparaat netwerktoegang krijgt.
• ACL’s op laag-3-switches - verkeer tussen VLAN’s beperken, als aanvulling op een industriële firewall tussen zones.
• SNMPv3 in plaats van SNMPv1/v2c, omdat de oudere versies community strings onversleuteld versturen.
• Monitoring - verkeer kopiëren via een SPAN-poort of een TAP naar een systeem voor netwerkmonitoring en anomaliedetectie, en logs doorsturen naar een SIEM.
• Patchmanagement - firmware van switches bijhouden in de asset-inventaris en kwetsbaarheden volgen; industriële switches komen regelmatig voor in advisories.

In de EU valt een switch als product onder de Cyber Resilience Act: routers, internetmodems en switches staan in bijlage III als belangrijk product van klasse I. De meldplicht voor actief misbruikte kwetsbaarheden geldt vanaf 11 september 2026 en de volledige eisen vanaf 11 december 2027. Organisaties onder de Cyberbeveiligingswet, de Nederlandse invulling van NIS2, moeten daarnaast zelf zorgen voor passende maatregelen in hun netwerk, en de switch is daarin een kerncomponent.

❓ Veelgestelde vragen

Wat kost een industrial switch vergeleken met een kantoorswitch?

Een industrial switch is per poort doorgaans een veelvoud duurder dan een kantoorswitch, omdat hij een breder temperatuurbereik, dubbele voeding, robuustere componenten en industriële protocollen heeft. Daar staat een gebruiksduur van vaak tien jaar of meer tegenover. Uitval van een productielijn door een defecte switch kost in de regel meer dan het prijsverschil.

Mag ik een kantoorswitch in een schakelkast gebruiken?

Een kantoorswitch in een schakelkast is af te raden, omdat de temperatuur in de kast al snel buiten het bereik van 0 tot circa 40 °C komt en de EMC-immuniteit niet is afgestemd op frequentieregelaars en schakelende belastingen. Ook ontbreken een 24 V DC-voeding, DIN-railmontage en industriële redundantieprotocollen. Gebruik in schakelkasten daarom een industrial switch.

Heeft een industrial switch altijd een ringprotocol nodig?

Een industrial switch heeft niet altijd een ringprotocol nodig, maar voor elk netwerksegment waarvan de uitval de productie stillegt is redundantie sterk aan te raden. Het protocol volgt meestal uit het veldbusprotocol: MRP bij PROFINET, DLR bij EtherNet/IP en PRP of HSR in onderstations. Voor een enkele machine met een korte levensduur kan een sterconfiguratie volstaan.

Wat is een laag-3 industrial switch?

Een laag-3 industrial switch kan naast het doorsturen van frames ook IP-verkeer routeren tussen VLAN’s of subnetten. Dat is handig in een backbone met meerdere productielijnen, en met ACL’s kan zo’n switch verkeer tussen VLAN’s beperken. Voor de overgang tussen beveiligingszones blijft een industriële firewall nodig, omdat die verkeer op protocol- en applicatieniveau kan inspecteren.

Wat betekent IEC 62443-4-2 voor een industrial switch?

IEC 62443-4-2 beschrijft de technische beveiligingseisen voor componenten van een industrieel automatiseringssysteem, zoals authenticatie, autorisatie, logging en beveiligde updates. Een industrial switch die volgens deze norm is gecertificeerd op bijvoorbeeld security level 2, heeft aantoonbaar de bijbehorende functies. Meerdere fabrikanten laten hun industriële switches hiertegen certificeren.

Waarom is een industrial switch vaak fanless?

Een industrial switch is vaak fanless omdat een ventilator een bewegend onderdeel is dat slijt en uitvalt, en omdat hij stof, vocht en vuil de behuizing in zuigt. Passieve koeling via een metalen behuizing met koelribben verhoogt daardoor de betrouwbaarheid. Wel moet u in de schakelkast rekening houden met voldoende ruimte rond de switch voor warmteafvoer.

📌 Samengevat

Een industrial switch is een robuuste, meestal managed netwerkswitch die PLC’s, HMI’s en servers in OT-netwerken verbindt en blijft werken bij hitte, kou, trillingen en elektromagnetische storingen. Met VLAN’s, QoS, redundantieprotocollen zoals MRP, DLR en PRP, en een geharde configuratie volgens IEC 62443 vormt hij het fundament van betrouwbare en veilige industriële automatisering.