Wat is PROFINET?
PROFINET (Process Field Network) is een open industrieel Ethernet-protocol van PROFIBUS & PROFINET International (PI), vastgelegd in IEC 61158 en IEC 61784-2, waarmee een PLC in realtime procesdata uitwisselt met I/O, drives en andere veldapparatuur. Het gebruikt standaard Ethernet (IEEE 802.3) en kent drie prestatieniveaus: gewone TCP/IP-communicatie, Real-Time (RT) en Isochronous Real-Time (IRT). PROFINET is de Ethernet-tegenhanger van Profibus en neemt het bekende applicatiemodel van PROFIBUS DP over. Met 89,2 miljoen geïnstalleerde knooppunten eind 2025 is het een van de meest gebruikte industriële netwerken ter wereld.
🧠 Hoe werkt PROFINET?
PROFINET IO werkt volgens het provider/consumer-model: controller en apparaten sturen hun cyclische data zelfstandig, zonder dat er telkens om wordt gevraagd. Er zijn drie apparaatrollen:
| Rol | Typisch apparaat | Taak |
|---|---|---|
| IO controller | PLC of soft PLC | Voert het besturingsprogramma uit, levert outputs en ontvangt inputs |
| IO device | O, drive, ventielblok, sensor | Levert inputs en ontvangt outputs van één of meer controllers |
| IO supervisor | engineeringstation, laptop of HMI | Inbedrijfstelling en diagnose, meestal tijdelijk aangesloten |
Bij het opstarten bouwt de controller per apparaat een Application Relation (AR) op met aparte kanalen voor cyclische data, acyclische parameters en alarmen. Enkele bouwstenen die u in elk PROFINET-netwerk tegenkomt:
- GSD-bestand (GSDML) - een XML-beschrijving van het apparaat die de fabrikant levert en die u in de engineeringtool, zoals TIA Portal, importeert
- Apparaatnaam en DCP - elk apparaat krijgt een naam; het Discovery and basic Configuration Protocol koppelt die naam aan het MAC-adres en wijst het IP-adres toe
- LLDP - via IEEE 802.1AB kent elk apparaat zijn buren, zodat de controller de topologie kent en een vervangen apparaat automatisch zijn naam terugkrijgt
- Laag 2-transport - cyclische data gaat zonder IP-header direct in Ethernet-frames met Ethertype 0x8892 en VLAN-prioriteit 6; parameters lopen via UDP
- Diagnose - gestandaardiseerde diagnosealarmen en SNMP voor poortstatus en netwerkstatistieken
⚙️ Wat is het verschil tussen RT, IRT en TSN?
PROFINET gebruikt verschillende kanalen naast elkaar op hetzelfde netwerk. De update-tijd stelt u per apparaat in, van 250 µs tot 512 ms.
| Kanaal | Gebruik | Typische cyclustijd | Hardware |
|---|---|---|---|
| TCP/IP en UDP | Engineering, webserver, parameters, OPC UA | Geen gegarandeerde timing | Standaard Ethernet |
| RT (Real-Time) | Cyclische I/O-data tussen PLC en apparaten | 1–10 ms | Standaard Ethernet-chips, switches met 802.1Q-prioriteit |
| IRT (Isochronous Real-Time) | Motion control, servo’s, gesynchroniseerde assen | 250 µs tot 31,25 µs, jitter < 1 µs | Speciale ASIC’s en IRT-switches |
| TSN (conformance class D) | Dezelfde functies als IRT, via IEEE 802.1-standaarden | Vergelijkbaar met IRT | TSN-capabele switches en apparaten |
IRT reserveert in elke cyclus een vaste tijdsfase voor gepland verkeer en synchroniseert alle klokken tot op de microseconde. Dat vraagt speciale hardware. Met PROFINET over TSN vervangt PI dat eigen mechanisme door open IEEE-standaarden. De TSN-specificatie (PROFINET V2.4) was in 2019 klaar. Het industriële TSN-profiel IEC/IEEE 60802 verscheen in juni 2026 en wordt in PROFINET V2.5 ondersteund.
🧱 Welke conformance classes kent PROFINET?
Een conformance class (CC) legt vast welke functies een apparaat en het netwerk minimaal moeten ondersteunen. De klassen bouwen op elkaar voort.
| Klasse | Communicatie | Belangrijkste functies | Typische toepassing |
|---|---|---|---|
| CC-A | RT | Basis-I/O, alarmen, parameters; gewone Ethernet-infrastructuur | Gebouwautomatisering, eenvoudige I/O |
| CC-B | RT | Plus SNMP-diagnose, topologiedetectie en apparaatvervanging zonder engineeringtool; optioneel MRP | Fabrieks- en procesautomatisering |
| CC-C | IRT | Plus bandbreedtereservering en kloksynchronisatie; optioneel stootloze mediaredundantie (MRPD) | Motion control, robots, drukpersen |
| CC-D | TSN | Functies van CC-C via IEEE 802.1 TSN | Geconvergeerde IT/OT-netwerken |
Naast de conformance classes bestaan application classes, zoals CC-B(PA) voor de procesindustrie. Een apparaat mag de naam PROFINET pas dragen na certificering door een door PI geaccrediteerd testlab. Vraag uw leveranciers daarom om het PROFINET-certificaat bij de gewenste conformance class.
🔄 Hoe verschilt PROFINET van PROFIBUS en andere protocollen?
PROFINET is geen PROFIBUS over Ethernet, maar hergebruikt wel het I/O-model en de profielen. PROFIBUS wordt nog steeds verkocht: in 2025 kwamen er ongeveer 1 miljoen apparaten bij, op een geïnstalleerde basis van 71 miljoen.
| Kenmerk | Profibus DP / PA | PROFINET |
|---|---|---|
| Fysieke laag | RS-485 of glasvezel (DP), MBP tweedraads (PA) | Ethernet koper of glasvezel, ook Ethernet-APL |
| Snelheid | Max. 12 Mbit/s (DP), 31,25 kbit/s (PA) | 100 Mbit/s full-duplex, Gigabit mogelijk; APL 10 Mbit/s |
| Topologie | Lijn met afsluitweerstanden | Ster, lijn, boom en ring via switches |
| Toegang | Master-slave, token passing | Provider/consumer, meerdere controllers mogelijk |
| IT-integratie | Via gateway | Direct: TCP/IP, webserver, SNMP, OPC UA naast realtime data |
Tegenover de andere grote industriële Ethernet-protocollen: IP (ODVA, sterk in Noord-Amerika) gebruikt UDP/IP voor I/O, EtherCAT verwerkt frames in het voorbijgaan en is zeer snel voor motion control, en Modbus TCP is eenvoudig maar niet deterministisch. PROFINET is vooral sterk in Europa en in Siemens-omgevingen, maar is een open standaard die honderden fabrikanten ondersteunen.
🛡️ Hoe regelt PROFINET redundantie en functionele veiligheid?
Voor hoge beschikbaarheid kent PROFINET meerdere niveaus van redundantie:
- MRP (Media Redundancy Protocol, IEC 62439-2) - switches en apparaten in een ring; een Media Redundancy Manager houdt één ringpoort geblokkeerd en schakelt bij een kabelbreuk binnen maximaal 200 ms (bij een ring van 50 apparaten) om naar de reserveroute
- MRPD - voor IRT stuurt de controller elk frame tegelijk beide kanten van de ring op, zodat een storing stootloos wordt opgevangen
- S2-systeemredundantie - een redundant controllerpaar; elk apparaat onderhoudt twee verbindingen, waarvan één actief
- R1-systeemredundantie - twee volledig gescheiden netwerken, met apparaten die twee interfaces hebben
Voor functionele veiligheid draait PROFIsafe (IEC 61784-3-3) bovenop PROFINET. Het profiel gebruikt het netwerk als black channel en beveiligt de safety-data zelf met volgnummers, watchdogs, CRC’s en een unieke adresrelatie. PROFIsafe haalt SIL 3 volgens IEC 61508 en PL e volgens ISO 13849, en wordt gebruikt tussen een safety PLC en noodstoppen, lichtschermen en veilige drives. Eind 2025 waren er 31,5 miljoen PROFIsafe-knooppunten geïnstalleerd.
🏭 Waar wordt PROFINET gebruikt?
- Fabrieksautomatisering - productielijnen, verpakkingsmachines en robotica, vaak met TIA Portal als engineeringomgeving
- Motion control - servo-assen en drukpersen met IRT of TSN en het PROFIdrive-profiel
- Procesautomatisering - via proxy’s naar PROFIBUS PA en steeds vaker direct via Ethernet-APL, tweedraads Ethernet tot in de Ex-zone
- Sensoren en actuatoren - IO-Link-masters die als PROFINET-apparaat in het netwerk zitten
- Infrastructuur - tunnels, waterzuivering en gebouwen, gekoppeld aan SCADA
In Nederland ondersteunt PI Nederland, met het secretariaat bij branchefederatie FHI in Leusden, gebruikers en leveranciers met kennisdagen en trainingen. Voor installatie en inbedrijfstelling werkt u met de PROFINET-installatierichtlijnen van PI en gecertificeerde engineers.
🔐 Hoe beveiligt u een PROFINET-netwerk?
Nu PROFINET-netwerken steeds vaker aan IT-systemen gekoppeld zijn, wordt cybersecurity een kernvraag. Klassiek PROFINET is ontworpen voor een afgeschermde cel en kent geen authenticatie of versleuteling. Wie laag 2-toegang heeft, kan apparaten opsporen, met DCP hernoemen of resetten en cyclische data afluisteren. Een bekend voorbeeld is CVE-2017-2680: speciaal opgestelde DCP-broadcasts brachten tal van Siemens-componenten in een denial-of-service die alleen handmatig te herstellen was.
PI beantwoordt dit met PROFINET Security, in drie klassen die op elkaar voortbouwen:
| Klasse | Doel | Maatregelen | Status (2026) |
|---|---|---|---|
| Security Class 1 | Robuustheid | DCP alleen-lezen, SNMP standaard uit, digitaal ondertekende GSD-bestanden (GSDX) | Apparaten in gebruik |
| Security Class 2 | Integriteit en authenticiteit | Cryptografisch beveiligde berichten, X.509-certificaten voor apparaten en controllers | Gespecificeerd, in test |
| Security Class 3 | Vertrouwelijkheid | Geauthenticeerde versleuteling van alle data, rolgebaseerde toegang, logging | Gespecificeerd, in test |
Omdat de meeste installaties nog geen Security Class 2 of 3 hebben, blijft defense in depth leidend. Een praktische aanpak:
- Breng het netwerk in kaart - maak een asset-inventaris van controllers, apparaten, firmwareversies en GSD-bestanden.
- Segmenteer - plaats elke PROFINET-cel in een eigen zone volgens het zones-en-conduits-model van IEC 62443 en het Purdue Model, met segmentatie via VLAN’s en een firewall naar hogere niveaus, bij voorkeur een industriële firewall die PROFINET-verkeer herkent.
- Blokkeer laag 2 aan de rand - laat DCP, LLDP en RT-frames (Ethertype 0x8892) de cel niet verlaten; RT en DCP zijn niet routeerbaar en hoeven dat ook niet.
- Hardening - schakel ongebruikte switchpoorten, webservers en SNMP-schrijfrechten uit, zet DCP waar mogelijk op alleen-lezen en gebruik managed switches met poortbeveiliging.
- Monitor passief - een OT-IDS op een mirrorpoort herkent nieuwe apparaten, DCP-set-commando’s en firmwaredownloads; analyseer verkeer met Wireshark, dat PROFINET volledig decodeert.
- Beheer wijzigingen - beperk toegang tot het engineeringstation, controleer GSD-bestanden op herkomst en houd patches van firmware bij.
Voor organisaties onder NIS2 en de Cyberbeveiligingswet horen deze maatregelen bij de zorgplicht. Fabrikanten van PROFINET-apparaten vallen onder de Cyber Resilience Act: de meldplicht voor actief misbruikte kwetsbaarheden geldt sinds 11 september 2026 en de volledige eisen gelden vanaf 11 december 2027; certificeringen volgens IEC 62443-4-2 helpen dat aan te tonen.
❓ Veelgestelde vragen
Waar staat PROFINET voor?
PROFINET staat voor Process Field Network. Het is de industriële Ethernet-standaard van PROFIBUS & PROFINET International, vastgelegd in IEC 61158 en IEC 61784-2. De naam verwijst naar de oorsprong in de PROFIBUS-veldbuswereld.
Is PROFINET alleen voor Siemens-apparatuur?
PROFINET is een open standaard die door PI wordt beheerd en die honderden fabrikanten ondersteunen, van controllers tot drives en sensoren. Siemens was wel een drijvende kracht achter de ontwikkeling en levert veel PROFINET-controllers. Elk apparaat met de naam PROFINET moet door een geaccrediteerd PI-testlab zijn gecertificeerd.
Wat is het verschil tussen PROFINET RT en IRT?
PROFINET RT verstuurt cyclische data met cyclustijden van ongeveer 1 tot 10 ms over standaard Ethernet-hardware. PROFINET IRT reserveert bandbreedte en synchroniseert klokken, waardoor cyclustijden tot 31,25 µs met een jitter onder 1 µs mogelijk zijn. IRT is bedoeld voor motion control en vraagt speciale hardware.
Kan ik gewone Ethernet-switches gebruiken voor PROFINET?
Voor PROFINET RT in conformance class A werken switches die IEEE 802.1Q-prioriteit ondersteunen. Voor conformance class B en hoger zijn PROFINET-gecertificeerde switches nodig, die topologie en diagnose via LLDP en SNMP leveren. IRT vraagt switches met speciale IRT-hardware.
Is PROFINET veilig?
Klassiek PROFINET heeft geen authenticatie of versleuteling, dus de beveiliging komt uit segmentatie, firewalls, hardening en monitoring. PROFINET Security Class 1 maakt apparaten robuuster, onder meer met DCP in alleen-lezenmodus en ondertekende GSD-bestanden. Security Class 2 en 3 voegen certificaten en versleuteling toe en zijn gespecificeerd, maar in 2026 nog in de testfase.
Wat is PROFINET over Ethernet-APL?
PROFINET over Ethernet-APL brengt PROFINET met 10 Mbit/s over één tweedraadskabel tot in het procesveld, inclusief voeding en intrinsieke veiligheid voor explosiegevaarlijke zones. Daarmee kunnen veldinstrumenten zonder gateway rechtstreeks in een PROFINET-netwerk worden opgenomen. Het is bedoeld als opvolger van PROFIBUS PA en de 4-20 mA-lus.
📌 Samengevat
PROFINET is het open industriële Ethernet-protocol van PI dat PLC’s, I/O en drives in realtime verbindt, van eenvoudige RT-communicatie tot microseconde-nauwkeurige IRT en TSN. Met conformance classes A tot en met D, MRP-redundantie, PROFIsafe en Ethernet-APL dekt PROFINET zowel fabrieks- als procesautomatisering. Omdat klassiek PROFINET geen authenticatie kent, blijven segmentatie, hardening en monitoring nodig tot Security Class 2 en 3 breed beschikbaar zijn.