Packet loss

Wat is packet loss?

Packet loss (pakketverlies) is het verschijnsel waarbij datapakketten of Ethernet-frames tijdens netwerkcommunicatie verloren gaan of worden weggegooid voordat ze hun bestemming bereiken, uitgedrukt als percentage van alle verzonden pakketten. In kantoornetwerken merkt u een procent verlies hooguit als haperend beeld of een tragere download. Binnen OT en industriële automatisering ligt dat anders: cyclische I/O-communicatie via ProfiNET of IP tolereert maar een paar gemiste cycli, waarna een PLC uitgangen in een veilige stand zet en een machine stopt. Daarmee is packet loss een van de belangrijkste indicatoren voor netwerkgezondheid binnen OT-convergentie.

🧠 Hoe ontstaat packet loss en hoe drukt u het uit?

Netwerkcommunicatie verloopt via pakketten met een bronadres, een doeladres, een payload en controle-informatie. Een pakket gaat verloren wanneer het:

• Wordt weggegooid - een switch, router of firewall heeft geen bufferruimte meer of verwerkt het niet snel genoeg.
• Beschadigd aankomt - elk Ethernet-frame eindigt met een CRC-32-controlegetal (Frame Check Sequence); een ontvanger gooit een frame met een foute checksum stilzwijgend weg. CRC-fouten leiden dus wel degelijk tot verlies voor de hogere lagen.
• Nooit aankomt - door een kabelbreuk, een wegvallende draadloze verbinding of een routeringsfout.
• Te laat komt - strikt genomen geen netwerkverlies, maar voor een cyclische applicatie telt een frame dat na de bewakingstijd binnenkomt als gemist.

Het verliespercentage is (verzonden - ontvangen) / verzonden × 100. Van 10.000 verzonden pakketten gaan er bij 1% verlies 100 verloren. Packet loss hoort bij een reeks netwerkeigenschappen die u altijd in samenhang bekijkt:

🌐 Wat zijn de oorzaken van packet loss?

De meest voorkomende oorzaak is netwerkcongestie: wanneer verkeer de beschikbare bandbreedte van een poort overschrijdt, raken de wachtrijen vol en worden nieuwe pakketten weggegooid (tail drop). Verraderlijk zijn microbursts: korte pieken van milliseconden die buffers laten overlopen, terwijl de gemiddelde benutting over vijf minuten in uw monitoring onschuldig laag lijkt.

Bij draadloze netwerken verbergt de radiolaag een deel van het verlies: Wi-Fi bevestigt elk unicast-frame en herhaalt het bij een gemiste bevestiging. Het verlies wordt dan zichtbaar als jitter en latency in plaats van als verlies. Een hoog retry-percentage is daarom een vroeg waarschuwingssignaal. Verkeerde QoS-instellingen, bijvoorbeeld een te kleine wachtrij voor de prioriteitsklasse van realtime verkeer, zijn een vaak vergeten configuratieoorzaak.

🔄 Hoe reageren industriële protocollen op pakketverlies?

Niet elk protocol herstelt verloren pakketten. Het belangrijkste onderscheid is of het transport TCP is (hertransmissie, verlies wordt vertraging) of UDP respectievelijk direct Ethernet (geen hertransmissie, verlies wordt een gemiste waarde).

Cyclische realtime protocollen herstellen verloren data dus niet: de volgende cyclus brengt gewoon actuele waarden. De bewakingstijd bepaalt hoeveel gemiste cycli acceptabel zijn. Bij PROFINET is die watchdog het product van de watchdogfactor, de reductieratio en de send clock. Een apparaat met een update-tijd van 4 ms en factor 3 valt dus na 12 ms zonder data uit.

TCP herstelt verlies wel, maar dat kost tijd. Een verloren segment wordt na drie dubbele bevestigingen snel opnieuw verstuurd (fast retransmit); lukt dat niet, dan wacht TCP op de retransmission timeout, die volgens RFC 6298 begint op 1 seconde. Verlies remt ook de doorvoer. Volgens de bekende vuistformule van Mathis is de TCP-doorvoer ongeveer MSS / RTT × 1,22 / √p. Met 1460 bytes per segment, 20 ms rondreistijd en 1% verlies komt dat neer op circa 7 Mbit/s, ongeacht of de lijn 100 Mbit/s of 1 Gbit/s is. Voor een historian-export of cloudkoppeling over een WAN is dat direct merkbaar.

🏭 Wat zijn de gevolgen voor besturing, SCADA en historian?

• Procesbesturing - verlies van procesdata leidt tot instabiele regelkringen, verkeerde meetwaarden, PLC-timeouts en onjuiste actuatie. Gaat een I/O-verbinding verloren, dan stopt vaak de hele machine of procesunit.
• Motion control - bij gesynchroniseerde assen veroorzaakt verlies synchronisatie- en positiefouten, trillingen en veiligheidsstops. Daarom draait motion vaak op deterministische netwerken zoals PROFINET IRT, EtherCAT of TSN.
• SCADA en HMI - vertraagde trends, wegvallende HMI-waarden (”####” of grijze velden), alarmvertraging en communicatiefouten. Een operator die op verouderde data stuurt, is een veiligheidsrisico.
• Historian - ontbrekende datapunten, verstoorde trends en onbetrouwbare analyses, bijvoorbeeld voor OEE of energierapportages.
• Safety-communicatie - een safety-protocol vertrouwt het netwerk niet en gaat bij ontbrekende telegrammen naar de veilige stand. Dat is veilig, maar levert onverklaarde productiestops op (“nuisance trips”).

🧩 Hoe beperkt redundantie het effect van packet loss?

Redundantie voorkomt dat een kabelbreuk of uitgevallen switch tot langdurig verlies leidt. Tijdens de omschakeltijd gaan echter nog pakketten verloren, en die tijd moet korter zijn dan de bewakingstijd van uw I/O.

Een praktische les: een MRP-ring met 200 ms omschakeltijd beschermt geen PROFINET-apparaat met een watchdog van 12 ms. Dat apparaat valt bij een kabelbreuk toch kort uit. Verhoog dan de watchdogfactor binnen wat het proces toelaat, kies een snellere variant of gebruik PRP of HSR. Zie ook ringredundantie.

🔐 Wat is het verband tussen cybersecurity en packet loss?

Cybersecurity-incidenten veroorzaken regelmatig pakketverlies. Een DDoS-aanval verzadigt verbindingen, een agressieve netwerkscan overbelast zwakke veldapparaten, een broadcast-aanval of een ongeautoriseerd (rogue) apparaat zorgt voor congestie. Omgekeerd kunnen securitymaatregelen zelf verlies introduceren: deep packet inspection en TLS-inspectie op een overbelaste firewall, of een inline IDS die pakketten niet snel genoeg verwerkt.

IEC 62443-3-3 vraagt daarom in systeemeis SR 7.1 om bescherming tegen denial of service en in SR 7.2 om resourcebeheer, zodat het systeem essentiële functies blijft uitvoeren onder belasting. In de praktijk betekent dat: segmentatie en VLAN’s om broadcastdomeinen klein te houden, storm control op switchpoorten, rate limiting richting het controlenetwerk en voorrang voor I/O-verkeer met QoS. Securitymonitoring volgens IEC 62443 werkt bij voorkeur passief via een SPAN-poort of netwerk-TAP, zodat de monitoring zelf geen pakketverlies op het productienetwerk veroorzaakt.

🔧 Hoe spoort u packet loss stap voor stap op?

1. Bepaal de omvang - laat een ping lang lopen met veel pakketten (Windows ping -n 1000 -l 1400 <adres>, Linux ping -c 1000 -i 0.2 <adres>). Test ook grote pakketten om MTU-problemen te vinden. Let op: routers en firewalls beperken ICMP-antwoorden vaak, waardoor u vals verlies ziet.
2. Lees de switchtellers - via SNMP (IF-MIB: ifInErrors, ifInDiscards, ifOutDiscards) of de webinterface van de managed switch. Oplopende CRC-fouten wijzen op kabel, connector of EMC; output discards op congestie.
3. Lokaliseer per poort - vergelijk tellers langs het pad van PLC naar I/O-apparaat. Het probleem zit meestal op één link of één poort.
4. Analyseer het verkeer - met Wireshark toont het filter tcp.analysis.retransmission hertransmissies en tcp.analysis.lost_segment gemiste segmenten. Bij PROFINET ziet u gaten in de cycle counter van de RT-frames. Gebruik bij voorkeur een TAP: een overbelaste SPAN-poort laat zelf frames vallen.
5. Controleer de fysieke laag - certificeer kabels, controleer de aarding van de afscherming en de afstand tot vermogenskabels.
6. Bewaak continu - verzamel tellers in netwerkmonitoring met bijvoorbeeld InfluxDB en Grafana en stuur afwijkingen door naar een SIEM of het monitoring-platform van de OT-afdeling.

Als vuistregels voor typische waarden geldt:

Voor koppelingen met de cloud en IIoT geldt dat realtime besturing lokaal blijft. Edge Computing met lokale buffering (store-and-forward) en MQTT QoS 1 voorkomt datagaten wanneer de WAN-verbinding hapert. MQTT Sparkplug B gebruikt daarnaast volgnummers om gemiste berichten te detecteren.

❓ Veelgestelde vragen

Hoeveel packet loss is acceptabel in een OT-netwerk?

Op een bedraad industrieel netwerk met cyclische I/O is de norm 0% packet loss, omdat PROFINET en EtherNet/IP maar een paar gemiste cycli tolereren. Elke oplopende foutteller op een switchpoort is een reden om de kabel, de connector of de belasting te onderzoeken. Op WAN-verbindingen naar de cloud is enig verlies normaal en vangen TCP en buffering het op.

Wat is het verschil tussen packet loss, latency en jitter?

Packet loss is het aandeel pakketten dat niet aankomt, latency is de vertraging van een pakket en jitter is de variatie in die vertraging. De drie hangen samen: congestie verhoogt eerst latency en jitter en leidt bij volle buffers tot packet loss. In OT-netwerken bewaakt u ze daarom altijd samen.

Kan ik packet loss betrouwbaar meten met ping?

Ping geeft een eerste indicatie van packet loss, maar is niet sluitend. Routers en firewalls geven ICMP vaak lage prioriteit of beperken het aantal antwoorden, en ping meet niet het verkeer van de applicatie zelf. Switchtellers via SNMP en een Wireshark-opname via een TAP geven een betrouwbaarder beeld.

Waarom valt een PROFINET-apparaat uit bij pakketverlies?

PROFINET RT herhaalt verloren frames niet, maar bewaakt de cyclische data met een watchdog. Mist het apparaat meer frames dan de watchdogfactor toestaat (standaard vaak 3), dan verbreekt het de verbinding en zet het uitgangen in een veilige stand. Bij 4 ms update-tijd gebeurt dat al na 12 ms zonder data.

Kan een firewall packet loss veroorzaken?

Ja, een firewall kan packet loss veroorzaken wanneer deep packet inspection, TLS-inspectie of logging de CPU of buffers overbelast. In OT-netwerken met realtime verkeer moet u firewalls daarom dimensioneren op piekbelasting en cyclische I/O bij voorkeur binnen één zone houden. Passieve securitymonitoring via een TAP of SPAN-poort voegt geen verlies toe.

Helpt QoS tegen packet loss?

QoS voorkomt geen packet loss door een defecte kabel, maar beschermt kritisch verkeer wel bij congestie. Door I/O-, safety- en alarmverkeer een hogere prioriteit te geven dan back-ups of videostreams, worden bij volle wachtrijen eerst de minder belangrijke pakketten weggegooid. QoS werkt alleen als het consistent op alle switches in het pad is ingesteld.

📌 Samengevat

Packet loss is het aandeel datapakketten dat onderweg verloren gaat, en in OT-netwerken leidt al een paar gemiste cycli tot timeouts, vervangwaarden en productiestops. Oorzaken zijn congestie, fysieke fouten, configuratie, draadloze storingen en overbelaste securityapparatuur. Met heldere watchdog-instellingen, redundantie die sneller schakelt dan de I/O-bewaking, QoS, segmentatie en continue bewaking van switchtellers houdt u pakketverlies in industriële netwerken beheersbaar.