Timeout

Wat is een timeout?

Een timeout is een vooraf ingestelde maximale wachttijd waarna een systeem stopt met wachten op een antwoord, bericht of gebeurtenis en de poging als mislukt behandelt. In OT- en industriële automatiseringsomgevingen is de timeout het basismechanisme voor foutdetectie: zonder timeout zou een PLC, SCADA-server of O-station eindeloos blijven wachten op een apparaat dat allang uitgevallen is. De gekozen waarde bepaalt hoe snel een storing wordt opgemerkt en hoe vaak er onterecht alarm wordt geslagen. Daarmee raakt een timeout direct aan beschikbaarheid en procesveiligheid in industriële processen.

🧠 Hoe werkt een timeout?

Elke timeout is in de kern een timer die start bij een verwachte gebeurtenis:

1. Een systeem verstuurt een verzoek of verwacht een cyclisch bericht.
2. Een timer start met de ingestelde waarde.
3. Komt het antwoord op tijd, dan stopt of herstart de timer.
4. Loopt de timer af, dan volgt een vooraf bepaalde reactie: opnieuw proberen, alarm geven, een vervangwaarde gebruiken of naar een veilige toestand gaan.

In OT komen twee varianten voor. Bij request/response (bijvoorbeeld Modbus-polling) wacht een master op het antwoord op één verzoek. Bij cyclische bewaking (een watchdog) verwacht een ontvanger elke cyclus een nieuw bericht en grijpt in als dat een aantal cycli uitblijft. PROFIsafe, ProfiNET I/O en CIP Safety werken op die tweede manier.

🔄 Wat is het verschil tussen timeout, latency en jitter?

Een timeout is een grens die u instelt, Latency is de werkelijke vertraging die u meet en Jitter is de variatie in die vertraging. Een timeout gaat pas af wanneer latency plus jitter de grens overschrijdt, of wanneer een bericht helemaal verloren gaat door pakketverlies of netwerkcongestie.

Daarom zijn deterministische netwerken zo belangrijk voor motion control en realtime besturing: met weinig jitter kan de timeout krap worden ingesteld zonder spookstoringen.

🔧 Welke timeouts kennen TCP en UDP?

TCP heeft ingebouwde timers. De retransmission timeout (RTO) bepaalt wanneer een niet-bevestigd segment opnieuw wordt verzonden. Volgens RFC 6298 begint de RTO op 1 seconde, mag hij niet onder 1 seconde zakken en verdubbelt hij bij elke mislukte poging. Na enkele pogingen lopen de wachttijden dus snel op tot tientallen seconden. TCP-keepalive staat standaard uit en controleert, als hij aan staat, pas na 2 uur stilte of de andere kant nog leeft. Een “session timeout” bestaat in TCP zelf niet: die zit in applicaties, firewalls en VPN-gateways die inactieve verbindingen opruimen.

UDP heeft geen bevestigingen en dus geen eigen timeouts. De applicatie moet zelf bewaken of berichten aankomen. IP gebruikt UDP voor cyclische I/O en bewaakt elke verbinding met een eigen timeout. PROFINET RT, EtherCAT en SERCOS III draaien rechtstreeks op Ethernet, zonder IP en UDP, en hebben hun eigen watchdogmechanismen.

Voor procesbewaking zijn de TCP-timers te traag. Daarom gebruiken protocollen boven TCP eigen bewaking, zoals de testframes van IEC 60870-5-104, de keep alive van MQTT en de keep-alive-berichten van OPC UA-subscriptions.

🏭 Welke timeoutwaarden zijn gangbaar in industriële protocollen?

De cyclus-watchdog van een PLC is geen communicatietimeout, maar werkt op dezelfde manier. Het artikel over cycle time beschrijft de verschillen per platform. Bij Modbus RTU schrijft de specificatie alleen een stilte van 3,5 tekens tussen frames voor; de response timeout stelt u zelf in de master in. Bij Modbus TCP-gateways geven te veel clients of een te korte polltijd al snel timeouts, omdat de gateway seriële verzoeken één voor één verwerkt.

🎯 Wat gebeurt er in een installatie bij een timeout?

• PLC en remote I/O - het I/O-station zet uitgangen op vervangwaarden of nul, de PLC meldt stationsuitval en het programma moet bepalen of het proces door kan.
• SCADA en HMI - tags krijgen de kwaliteit “bad”, trends en historian-data vertonen gaten en operators zien een communicatiealarm. Goed alarmmanagement voorkomt dat één uitgevallen verbinding honderden alarmen oplevert.
• Safety - een safety PLC die geen geldig safety-bericht meer ontvangt, brengt de betrokken uitgangen in de veilige toestand. Dat is een gewenste reactie en geen noodstop in de zin van een bedieningsfunctie, maar het betekent wel stilstand.
• Motion - bij motion control leidt een timeout tot een gecontroleerde stop van de assen en soms tot verlies van synchronisatie of positie.
• Draadloos - Wifi, Bluetooth en WirelessHART hebben meer variatie in vertraging door interferentie en roaming, dus hier zijn ruimere timeouts en buffering nodig.
• Cloud en edge - een WAN-storing mag de lokale besturing nooit raken. Edge-systemen bufferen data en sturen die na herstel alsnog door.

🔧 Hoe stelt u een timeout goed in?

Een te korte timeout geeft spookstoringen, een te lange timeout laat een echte storing te lang onopgemerkt. Een praktische aanpak:

1. Meet de werkelijke responstijd onder normale en piekbelasting en kijk naar de slechtste waarden, niet naar het gemiddelde.
2. Kies een marge - een veelgebruikte vuistregel is een timeout van enkele keren de slechtste gemeten responstijd, binnen de grens die het proces of de veiligheidsanalyse toelaat.
3. Reken retries mee - de detectietijd is timeout × (aantal retries + 1). Met 1 s timeout en 3 retries duurt het 4 s voordat een station als uitgevallen geldt.
4. Stem lagen op elkaar af - zet de applicatietimeout boven de TCP-hertransmissietijd en houd idle-timeouts van firewalls langer dan het pollinterval, anders sluit de firewall een verbinding die de applicatie nog open denkt.
5. Leg de reactie vast - laatste waarde vasthouden, vervangwaarde, alarm of veilige toestand.
6. Test uitval bewust - trek een kabel uit of blokkeer verkeer en meet hoe lang detectie en herstel duren.

Rekenvoorbeeld: een SCADA-systeem pollt 50 RTU’s via radio met een timeout van 1 s en 3 retries. Vallen 5 stations uit, dan kost elke pollronde bijna 5 × 4 s = 20 s extra. De gezonde stations worden daardoor veel minder vaak ververst. Veel drivers zetten een uitgevallen station daarom tijdelijk op een lagere pollfrequentie.

🔐 Hoe hangen timeouts samen met cybersecurity?

Een DDoS-aanval, een scan op het productienetwerk of een rogue device kan het netwerk zo belasten dat watchdogs aflopen. Safety-protocollen brengen de installatie dan in een veilige toestand, maar wel stil. Een denial-of-service in OT is dus vaak een aanval op beschikbaarheid via timeouts. Ook securitymaatregelen zelf voegen vertraging toe: deep packet inspection, TLS-inspectie, encryptie in een VPN-tunnel en overbelaste firewalls. Segmentatie en netwerksegmentatie beperken de impact van zulk verkeer.

Timeouts zijn tegelijk een beveiligingsmaatregel. IEC 62443-3-3 vraagt met SR 2.5 (session lock) en SR 2.6 (remote session termination) dat sessies na inactiviteit worden vergrendeld of beëindigd. Dat geldt bijvoorbeeld voor remote access naar engineering stations. Binnen cybersecurity voor OT is het dus zaak om sessietimeouts streng en procestimeouts stabiel te houden.

📈 Hoe monitort u timeouts?

Een stijgend aantal timeouts is vaak het eerste signaal van slechte bekabeling, overbelaste switches, congestie of een aanval. Nuttige metrics zijn het aantal timeouts per verbinding, de responstijd (inclusief slechtste waarden), het aantal retries en het aantal herstarte verbindingen. Die metrics zijn te verzamelen in InfluxDB en te visualiseren met Grafana, naast de diagnose in SCADA en netwerkmonitoring. Algemene monitoring van trends helpt om drift te zien voordat het proces stilvalt.

Herstelmechanismen die op timeouts reageren zijn retries, failover naar een tweede verbinding, heartbeats en watchdogs. Redundantie in netwerk en servers, plus een duidelijk recovery-proces, beperken de gevolgen. Bij OT-convergentie met IIoT-platformen en cloudkoppelingen groeit het aantal lagen met eigen timeouts, en daarmee het belang van afstemming.

❓ Veelgestelde vragen

Wat is een goede timeoutwaarde voor Modbus-polling?

Een goede timeoutwaarde voor Modbus-polling ligt enkele keren boven de slechtste gemeten responstijd van het apparaat of de gateway. De Modbus-specificatie schrijft geen waarde voor, dus de engineer stelt de timeout in de master in. Bij seriële lijnen via een gateway moet ook de wachttijd van andere clients worden meegerekend.

Wat is het verschil tussen een timeout en een watchdog?

Een timeout bewaakt meestal één verwacht antwoord op een verzoek, terwijl een watchdog continu bewaakt of cyclische berichten of programmacycli op tijd blijven komen. Beide zijn timers die ingrijpen als de tijd verstrijkt. In PROFINET, PROFIsafe en PLC-cycli heet het mechanisme watchdog, in polling-protocollen response timeout.

Waarom krijg ik timeouts terwijl de ping goed is?

Timeouts bij een goede ping ontstaan vaak doordat het apparaat zelf te traag antwoordt, zijn maximale aantal verbindingen bereikt heeft of een firewall een inactieve verbinding heeft afgesloten. Een ping test alleen netwerkbereikbaarheid en niet de applicatie. Ook incidentele pieken in latency en jitter vallen bij een paar pings niet op.

Wat gebeurt er bij een PROFINET-watchdog-timeout?

Bij een PROFINET-watchdog-timeout ontvangt het I/O-device binnen de watchdogtijd geen geldige data en zet het zijn uitgangen op vervangwaarden. De controller meldt het station als uitgevallen. De watchdogtijd is de updatetijd maal het aantal geaccepteerde gemiste cycli, standaard 3.

Moet een timeout kort of lang zijn?

Een timeout moet zo kort zijn als de foutdetectie vereist en zo lang als nodig om normale variatie in vertraging op te vangen. Te kort geeft spookstoringen en onnodige stilstand, te lang laat een echte storing te lang onopgemerkt. Binnen OT gaat stabiliteit meestal voor maximale snelheid.

Kan een cyberaanval timeouts veroorzaken?

Een cyberaanval kan timeouts veroorzaken door het netwerk of apparaten te overbelasten, bijvoorbeeld met een DDoS of een agressieve scan. In OT leidt dat tot communicatie-uitval en kan het safety-systemen naar een veilige stilstand dwingen. Segmentatie, rate limiting en monitoring op timeout-tellers helpen zo’n aanval te beperken en snel te zien.

📌 Samengevat

Een timeout is de ingestelde maximale wachttijd waarmee OT-systemen communicatie- en verwerkingsfouten detecteren. De waarde bepaalt de balans tussen snelle foutdetectie en spookstoringen. Van TCP (RTO vanaf 1 s) en IEC 104 (t1 = 15 s) tot PROFINET-watchdogs en PROFIsafe: wie timeouts meet, onderbouwt, op elkaar afstemt en bewaakt, houdt een installatie zowel veilig als beschikbaar.