Redundantie

Wat is redundantie?

Redundantie is het bewust dubbel (of meervoudig) uitvoeren van kritieke componenten, verbindingen of functies, zodat een systeem blijft werken of veilig blijft wanneer één onderdeel uitvalt. In industriële automatisering, IT- en OT-omgevingen gaat het om dubbele voedingen, controllers, netwerkpaden, servers en sensoren. Redundantie is geen doel op zich: het is een middel om beschikbaarheid of veiligheid te verhogen, en welke van de twee u wint, hangt af van hoe u de extra componenten schakelt.

Redundantie haalt een single point of failure weg, maar elke extra component is ook een extra onderdeel dat kan falen, beheerd moet worden en getest moet blijven.

🧠 Waarom is redundantie belangrijk?

Een continu proces, zoals een waterzuivering, een chemische fabriek of een elektriciteitsnet, kan niet even opnieuw opstarten. Een uitgevallen controller of switch betekent daar productieverlies, een onveilige procestoestand of uitval van een vitale dienst. Redundantie helpt bij:

• Beschikbaarheid - het proces draait door bij een hardware-, netwerk- of voedingsstoring
• Procesveiligheid - een veiligheidsfunctie blijft werken als één sensor of kanaal faalt (vereist door IEC 61511 vanaf een bepaald SIL)
• Onderhoud zonder stilstand - de ene helft vervangen of updaten terwijl de andere het proces bestuurt
• Continuïteit en Compliance - onderdeel van Business Continuity en Disaster Recovery, en van de zorgplicht onder NIS2 en de Cyberbeveiligingswet

🧱 Welke soorten redundantie zijn er?

Data-redundantie is iets anders dan een Backup. Replicatie en RAID kopiëren een fout, een verwijdering of een ransomware-versleuteling direct naar de tweede kopie. Alleen een losgekoppelde of onveranderbare back-up beschermt daartegen.

⚙️ Welke redundantiearchitecturen bestaan er?

Daarnaast wordt capaciteit vaak uitgedrukt in N-notatie. N is wat nodig is om het proces te draaien. N+1 betekent één reserve-eenheid extra (bijvoorbeeld drie pompen waar er twee nodig zijn), 2N betekent een volledig tweede, onafhankelijk systeem. Datacenters gebruiken deze taal in de Tier-indeling van het Uptime Institute: Tier III is concurrently maintainable (elk onderdeel kan in onderhoud zonder uitval), Tier IV is fault tolerant (één willekeurige storing leidt niet tot uitval).

🔐 Wat betekent redundantie in veiligheidssystemen?

In een SIS gaat het niet om beschikbaarheid van productie, maar om de vraag of de veiligheidsfunctie werkt wanneer het nodig is. IEC 61508 en IEC 61511 gebruiken daarvoor de begrippen hardware fault tolerance (HFT) en MooN-stemming (M out of N). Een HFT van 1 betekent dat één gevaarlijke storing nog niet tot verlies van de functie leidt; pas de tweede doet dat.

IEC 61511-1 (editie 2016) eist een minimale HFT per SIL: 0 voor SIL 1, 0 voor SIL 2 in low demand en 1 in high demand, 1 voor SIL 3 en 2 voor SIL 4. Een safety-PLC haalt die eisen vaak met interne dubbele processoren; in het veld betekent het dubbele sensoren of actuatoren met stemlogica. Meer achtergrond staat bij functionele veiligheid.

🏭 Hoe wordt redundantie in OT toegepast?

Concrete voorbeelden uit de praktijk:

• Redundante controllers - Siemens S7-1500R/H: de R-variant koppelt het CPU-paar via een PROFINET-ring met MRP (CPU’s tot circa 100 m uit elkaar, omschakeling rond 300 ms), de H-variant via synchronisatiemodules en glasvezel (tot 40 km, omschakeling rond 50 ms). Bij ControlLogix verbinden redundantiemodules (1756-RM2 of de nieuwere 1756-RM3) twee chassis.
• Redundante SCADA-servers - een primaire en secundaire server met gesynchroniseerde alarm- en tagdatabase; clients schakelen automatisch om.
• DCS-architecturen - van oudsher redundant uitgevoerd: dubbele controllers, dubbele netwerken en dubbele I/O-communicatie.
• Netwerken - ringredundantie met MRP (standaard 200 ms herstel volgens IEC 62439-2), of PRP en HSR uit IEC 62439-3 met nul hersteltijd, bijvoorbeeld in onderstations.
• Servers en virtualisatie - gevirtualiseerde SCADA- en historianservers op een cluster met automatische herstart op een andere host.
• Netwerkscheiding - een redundant firewall-paar in active/passive-opstelling, en dubbele VLAN-trunks tussen kern-switches.

Redundantie is ook een cybersecurityonderwerp. Foundational Requirement 7 (Resource availability) van IEC 62443-3-3 behandelt onder meer bescherming tegen denial-of-service, back-up, herstel en noodstroom. Tegelijk kan een redundantieonderdeel zelf kwetsbaar zijn: Rockwell meldde in januari 2026 een DoS-kwetsbaarheid (CVE-2025-14027) in de 1756-RM2-module, waarvoor geen firmware-update bestaat en overstap naar de 1756-RM3 wordt aangeraden. Bovendien vangt redundantie geen aanval op die beide helften tegelijk raakt.

🔧 Hoe pakt u redundantie stapsgewijs aan?

1. Bepaal de kriticiteit - welke functies leiden bij uitval tot gevaar, milieuschade of verlies van een vitale dienst? Een BIA en de gewenste RTO geven richting.
2. Zoek single points of failure - loop voeding, controller, netwerk, servers, tijdsynchronisatie en mensen (één beheerder met kennis) langs.
3. Kies het doel per functie - beschikbaarheid (2oo2, hot standby) of veiligheid (1oo2, 2oo3), en de toegestane omschakeltijd.
4. Reken het effect door - de beschikbaarheid van één component is MTBF / (MTBF + MTTR). Met een MTBF van 50.000 uur en een MTTR van 8 uur is dat 99,984%. Twee onafhankelijke exemplaren parallel komen theoretisch boven 99,9999%, maar alleen als de omschakeling werkt en er geen gemeenschappelijke oorzaak is.
5. Beperk common cause failures - scheid voedingen, kabelroutes, kasten en firmwareversies. IEC 61508-6 kwantificeert dit met een bètafactor, typisch tussen 0,5% en 10% van de faalkans.
6. Test de omschakeling periodiek - een standby die nooit is getest, faalt vaak juist op het moment dat het moet. Bewaak ook de reserve met monitoring, anders merkt u een defecte standby pas bij de tweede storing.

Ter indicatie wat beschikbaarheidspercentages betekenen per jaar (8.760 uur):

In de Nederlandse context vraagt de Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) als implementatie van NIS2 maatregelen voor bedrijfscontinuïteit, back-upbeheer en crisisbeheer. Voor digitale infrastructuur en digitale diensten, zoals cloud- en datacenteraanbieders en managed service providers, werkt Uitvoeringsverordening (EU) 2024/2690 dit uit met expliciete eisen voor back-up- en redundantiebeheer. In gevalideerde farmaceutische omgevingen volgens GAMP moet een wijziging aan een redundante configuratie bovendien gevalideerd en gedocumenteerd worden.

🔄 Wat is het verschil tussen redundantie en high availability?

Redundantie is het bouwblok; high availability is het resultaat dat u ermee wilt bereiken. HA combineert redundantie met foutdetectie, automatische omschakeling, monitoring en geteste procedures. Twee servers zonder failover-mechanisme zijn wel redundant, maar niet hoog beschikbaar.

❓ Veelgestelde vragen

Is redundantie hetzelfde als een back-up?

Nee, redundantie houdt een systeem draaiend bij uitval, terwijl een back-up gegevens herstelbaar maakt na verlies of beschadiging. Redundante kopieën nemen fouten en ransomware-versleuteling direct over. Daarom heeft u beide nodig: redundantie voor continuïteit en een gescheiden back-up voor herstel.

Maakt redundantie een systeem altijd veiliger?

Nee, redundantie kan beschikbaarheid of veiligheid verhogen, maar niet automatisch beide. Een 2oo2-schakeling voorkomt onterechte trips maar verdraagt geen enkele gevaarlijke storing, terwijl 1oo2 veiliger is maar vaker onnodig het proces stopt. Een 2oo3-schakeling combineert beide voordelen tegen hogere kosten.

Wat is een common cause failure bij redundantie?

Een common cause failure is één oorzaak die beide redundante exemplaren tegelijk uitschakelt, zoals een gedeelde voeding, dezelfde firmwarefout, brand in één kast of een cyberaanval. Zo’n storing maakt de redundantie waardeloos. U beperkt het risico door fysieke scheiding, diversiteit in componenten en aparte voedingen.

Wat betekent N+1-redundantie?

N+1-redundantie betekent dat er één reserve-eenheid meer is dan nodig om het proces te laten draaien. Bij drie pompen waar er twee nodig zijn, mag er één uitvallen of in onderhoud zijn zonder dat de capaciteit tekortschiet. 2N betekent een volledig tweede, onafhankelijk systeem.

Hoe snel schakelt een redundante PLC om?

De omschakeltijd van een redundante PLC hangt af van het platform en de synchronisatie: van tientallen milliseconden bij hot standby met glasvezelsynchronisatie tot enkele honderden milliseconden bij synchronisatie via het netwerk. Siemens noemt circa 50 ms voor de S7-1500H en circa 300 ms voor de S7-1500R. Controleer altijd of het proces die onderbreking verdraagt.

Hoe vaak moet u een redundante omschakeling testen?

Een redundante omschakeling moet u periodiek testen, bijvoorbeeld bij geplande stops of na elke firmware- of configuratiewijziging. Veiligheidsfuncties hebben een vast proof-testinterval vanuit de SIL-berekening. Zonder test weet u niet of de standby werkelijk overneemt.

📌 Samengevat

Redundantie dupliceert voedingen, controllers, netwerken, servers en sensoren zodat één storing het proces niet stillegt of onveilig maakt. De gekozen architectuur (hot, warm of cold standby, N+1 of 2N, 1oo2 of 2oo3) bepaalt of u vooral beschikbaarheid of veiligheid wint. Common cause failures, ongeteste omschakelingen en het verschil met back-ups bepalen of de investering in de praktijk iets oplevert.

Redundantie is het bewust aanbrengen van dubbele systemen of paden om continuïteit, veiligheid en betrouwbaarheid te waarborgen, maar werkt alleen als de reserve onafhankelijk, bewaakt en getest is.