Wat is QoS?
QoS (Quality of Service) is een verzameling netwerkmechanismen die verkeer herkent, markeert en bij drukte in een vaste volgorde doorstuurt, zodat kritieke data betrouwbaar, op tijd en met zo min mogelijk vertraging en jitter aankomt. QoS maakt geen extra bandbreedte: het bepaalt alleen wie voorgaat als een link of switchpoort vol raakt. In OT-netwerken beschermt QoS realtime communicatie zoals GOOSE, Sampled Values (SV), OPC UA en VoIP tegen vertraging of pakketverlies wanneer kantoor-, back-up- of camerastromen hetzelfde netwerk delen.
🧠 Hoe werkt QoS?
QoS werkt in vijf stappen die elke switch en router op het pad moet ondersteunen:
- Classificeren - inkomend verkeer wordt herkend op basis van protocol (Ethertype), poortnummer, IP-adres of fysieke poort
- Markeren - het pakket krijgt een prioriteitswaarde mee:
- 802.1p / PCP (Priority Code Point) - 3 bits in de VLAN-tag van IEEE 802.1Q, dus acht niveaus (0–7) op laag 2
- DSCP (DiffServ Code Point) - 6 bits in de IP-header (RFC 2474), dus 64 mogelijke waarden op laag 3
- Wachtrijen (queuing) - elke uitgaande poort heeft meerdere wachtrijen, meestal vier tot acht; de markering bepaalt in welke wachtrij een frame terechtkomt
- Plannen (scheduling) - de switch kiest welke wachtrij als eerste mag zenden, bijvoorbeeld via strict priority of gewogen verdeling (WRR, WFQ)
- Begrenzen - met policing (overschot weggooien) en shaping (overschot bufferen en afvlakken) wordt voorkomen dat één stroom de link opeist
QoS werkt vooral op laag 2 en laag 3 van het OSI-model; classificatie kan ook naar laag 4-poorten kijken. Het werkt alleen end-to-end als alle schakels, inclusief eindapparaten, de markering respecteren.
Belangrijk is dat QoS pas effect heeft bij congestie. Op een lege link wordt alles direct doorgestuurd; zodra een poort meer verkeer krijgt dan hij kan verzenden, beslist QoS wat wacht en wat vervalt.
🔍 Welke QoS-methoden en -markeringen zijn er?
| Methode | Wat het doet | Typisch gebruik in OT |
|---|---|---|
| Classification | Verkeer herkennen op adres, protocol of poort | PROFINET herkennen aan Ethertype 0x8892 |
| Marking | Prioriteit toekennen via PCP of DSCP | GOOSE op PCP 4 of hoger zetten |
| Strict priority | Hoogste wachtrij gaat altijd eerst | Besturings- en beveiligingsverkeer |
| WRR / WFQ | Bandbreedte gewogen verdelen over wachtrijen | SCADA, historian en kantoorverkeer naast elkaar |
| Policing / shaping | Overschot weggooien of afvlakken | Camera- of back-upstromen begrenzen |
| Time-aware shaping | Tijdvensters per wachtrij (TSN, IEEE 802.1Qbv) | Deterministische motion control |
De IEEE beveelt voor de acht PCP-waarden een vaste betekenis aan. Opvallend: waarde 1 (background) ligt lager dan 0 (best effort), omdat 0 tevens de standaardwaarde is voor ongemarkeerd verkeer.
| PCP | Verkeerstype (IEEE 802.1Q) | Voorbeeld in OT |
|---|---|---|
| 1 | Background | Back-ups, software-updates |
| 0 | Best effort (standaard) | Kantoor- en webverkeer |
| 2 | Excellent effort | Belangrijke bedrijfsapplicaties |
| 3 | Critical applications | SCADA-polling, historian |
| 4 | Video | Camerabeelden; standaard voor GOOSE |
| 5 | Voice | VoIP en intercom |
| 6 | Internetwork control | PROFINET RT-frames |
| 7 | Network control | Netwerkprotocollen zoals spanning tree |
Op laag 3 is EF (Expedited Forwarding, DSCP 46) de bekendste markering voor spraak; daarnaast zijn er vier AF-klassen (Assured Forwarding) met elk drie drop-prioriteiten en de klassieke CS0–CS7-waarden.
🏭 Hoe gebruiken industriële protocollen QoS?
Veel industriële protocollen brengen hun eigen markering mee. Een netwerkontwerper moet die kennen om de switches correct in te richten:
- ProfiNET - PROFINET RT-frames dragen een VLAN-tag met VLAN-ID 0 en prioriteit 6. Voor zwaardere eisen gebruikt PROFINET IRT gereserveerde tijdvensters in plaats van alleen prioriteit.
- IEC 61850 - GOOSE (Ethertype 0x88B8) en Sampled Values (0x88BA) zijn laag-2-multicast. Is de prioriteit niet geconfigureerd, dan geldt voor GOOSE de standaardwaarde 4. IEC 61850-5 eist voor uitschakelcommando’s (trip) een overdrachtstijd van maximaal 3 ms.
- IP - het CIP QoS-object (0x48) zet standaard DSCP 55 voor urgente I/O, 47 voor scheduled, 43 voor high, 31 voor low en 27 voor explicit messaging; PTP-tijdsynchronisatie gebruikt DSCP 59 voor event-berichten.
- OPC UA PubSub - kan via UDP of direct op Ethernet met VLAN-prioriteit publiceren en vormt samen met TSN de basis voor OPC UA FX. Het onderliggende PubSub-patroon maakt cyclische, deterministische datastromen mogelijk.
- SCADA en historian - Modbus TCP- of OPC UA-polling krijgt meestal een middenklasse, boven kantoor- en engineeringverkeer maar onder besturingsverkeer.
Andere toepassingen zijn VoIP voor industriële telefonie en omroep, het scheiden van monitoring- en logverkeer (laag) van procesbesturing (hoog) en het minimaliseren van latency en jitter op regelkringen tussen een PLC en een frequentieregelaar.
In OT-netwerken zorgt QoS ervoor dat kritieke processen stabiel blijven draaien, ook als het netwerk zwaar belast wordt.
🔄 Wat is het verschil tussen QoS, TSN en MQTT QoS?
Klassieke QoS geeft voorrang, maar geen garantie: een frame met prioriteit 7 kan nog steeds wachten tot een groot frame met lage prioriteit volledig verzonden is. Bij 100 Mbit/s duurt een frame van 1.518 bytes ruim 120 µs. TSN (Time-Sensitive Networking) gaat verder met gegarandeerde tijdvensters (802.1Qbv), frame preemption (802.1Qbu met 802.3br) en tijdsynchronisatie via PTP. Het profiel IEC/IEEE 60802 legt vast welke TSN-functies industriële apparaten moeten ondersteunen.
| Kenmerk | Klassieke QoS | TSN | MQTT QoS |
|---|---|---|---|
| Laag | Netwerk (laag 2/3) | Netwerk (laag 2) | Applicatie (broker) |
| Doel | Voorrang bij congestie | Begrensde, voorspelbare latency | Afleveringsgarantie |
| Mechanisme | PCP, DSCP, wachtrijen | Tijdvensters, preemption, PTP | Bevestigingen (0, 1, 2) |
| Garantie | Relatief | Deterministisch | Geen timing, wel aflevering |
MQTT QoS heeft een andere betekenis: niveau 0 is at most once, 1 at least once en 2 exactly once. Dat regelt of een bericht aankomt, niet hoe snel het door het netwerk gaat.
🔧 Hoe richt u QoS in een OT-netwerk in?
Een praktische aanpak voor een fabrieks- of stationsnetwerk:
- Inventariseer de verkeersstromen - welke protocollen, welke richtingen en welke tijdseisen (cyclustijd, maximale latency). Netwerkmonitoring of een capture met Wireshark laat zien wat er werkelijk loopt.
- Definieer een klein aantal klassen - vier tot zes klassen is in de praktijk beheersbaar, bijvoorbeeld netwerkbeheer, besturing/beveiliging, tijdsynchronisatie, SCADA, spraak/video en best effort.
- Bepaal de vertrouwensgrens (trust boundary) - vertrouw markeringen alleen van bekende apparaten op toegangspoorten; overschrijf de markering van onbekende apparaten naar 0.
- Configureer elke switch op het pad - wachtrij-toewijzing per PCP/DSCP, strict priority voor de hoogste klasse en gewogen verdeling voor de rest. Gebruik een managed industriële switch.
- Begrens de hoogste klasse - maximaal een beperkt deel van de linkcapaciteit, zodat een storing of aanval in die klasse niet al het andere verdringt.
- Test onder belasting - meet latency en jitter terwijl u de link bewust vult, bijvoorbeeld met een back-up of camerastroom.
Referentiearchitecturen als Converged Plantwide Ethernet beschrijven deze aanpak uitgebreid. QoS werkt het best in combinatie met netwerksegmentatie: VLAN’s scheiden verkeer logisch, QoS regelt de volgorde binnen een gedeelde link.
🔐 Welke beveiligingsrisico’s heeft QoS?
- Manipulatie van markeringen - een onbevoegd apparaat kan zijn eigen verkeer op prioriteit 7 of DSCP 46 zetten en zo kritiek verkeer verdringen
- Uithongering (starvation) - bij strict priority kan een overvolle hoogste wachtrij alle lagere wachtrijen stilleggen
- Te veel op de hoogste prioriteit - als alles prioriteit heeft, heeft niets prioriteit
- Toegang tot configuratie - beperk wie QoS-instellingen kan wijzigen via RBAC en ACL’s
- Detectie - monitor verkeer met hoge prioriteit via een SIEM of netwerkmonitoring en alarmeer op onverwachte markeringen
IEC 62443-3-3 vraagt onder fundamentele eis 7 (beschikbaarheid van middelen) bescherming tegen denial of service (SR 7.1), inclusief het beheersen van communicatiebelasting. QoS is daarvoor een belangrijk hulpmiddel, maar geen vervanging voor bescherming tegen DDoS-aanvallen aan de rand van het netwerk.
Een foutieve of misbruikte QoS-configuratie kan zelf leiden tot denial-of-service op kritieke netwerken.
❓ Veelgestelde vragen
Heeft QoS zin als het netwerk nooit vol zit?
QoS heeft alleen effect wanneer een poort meer verkeer ontvangt dan hij kan verzenden. Ook netwerken met een lage gemiddelde belasting kennen korte pieken, bijvoorbeeld door broadcasts, back-ups of een storing, en juist dan beschermt QoS het kritieke verkeer. Daarom is QoS in OT-netwerken een verzekering tegen de momenten dat het misgaat.
Wat is het verschil tussen 802.1p en DSCP?
802.1p (PCP) is een prioriteit van 3 bits in de VLAN-tag van een Ethernet-frame en werkt binnen een laag-2-netwerk. DSCP is een markering van 6 bits in de IP-header en blijft behouden wanneer een router het pakket doorstuurt naar een ander subnet. Veel switches vertalen tussen beide via een mappingtabel.
Welke prioriteit gebruikt PROFINET?
PROFINET RT-frames gebruiken een VLAN-tag met VLAN-ID 0 en prioriteit 6 in het 802.1Q-veld. Switches die deze tag niet correct verwerken, bijvoorbeeld omdat VLAN-ID 0 niet wordt geaccepteerd, kunnen PROFINET-communicatie verstoren. Controleer daarom bij de keuze van een switch of PROFINET-ondersteuning expliciet is getest.
Is QoS hetzelfde als TSN?
QoS is niet hetzelfde als TSN: klassieke QoS geeft voorrang, terwijl TSN een begrensde en voorspelbare latency garandeert met tijdvensters en tijdsynchronisatie. TSN bouwt voort op de prioriteiten van 802.1Q en voegt daar planning, frame preemption en PTP aan toe. Voor de meeste SCADA-toepassingen volstaat klassieke QoS; voor motion control en convergente netwerken is TSN de volgende stap.
Kan QoS ook over wifi en 5G?
Ja, ook draadloze netwerken kennen QoS. Wifi gebruikt WMM (gebaseerd op IEEE 802.11e) met vier toegangscategorieën: spraak, video, best effort en background. 5G werkt met QoS-flows die elk een 5QI-waarde krijgen, waardoor een privaat 5G-netwerk besturingsverkeer apart kan behandelen.
Wie configureert QoS in een fabriek: IT of OT?
QoS-configuratie vraagt kennis van zowel netwerken als processen, daarom is het een typische taak voor OT-samenwerking. OT levert de tijdseisen van de protocollen, IT of de netwerkbeheerder vertaalt die naar een consistent QoS-beleid op alle switches en routers. Leg dat beleid vast in een netwerkontwerp, zodat latere wijzigingen het niet ongemerkt breken.
📌 Samengevat
QoS classificeert, markeert en plant netwerkverkeer zodat besturings-, beveiligings- en tijdsynchronisatieverkeer voorgaat op kantoor-, back-up- en videoverkeer. Industriële protocollen zoals PROFINET, IEC 61850 en EtherNet/IP gebruiken vaste markeringen die op elke switch moeten worden gerespecteerd. Een goed ontwerp houdt het aantal klassen klein, legt een vertrouwensgrens vast en begrenst de hoogste prioriteit; waar harde tijdgaranties nodig zijn, is TSN de opvolger.
QoS is onmisbaar in industriële netwerken om de beschikbaarheid, timing en betrouwbaarheid van kritieke communicatie te garanderen: het zorgt dat wat belangrijk is altijd voorrang krijgt.