Redundancy OT (Redondance Industrielle)

Définition

La redondance OT (Redundancy) désigne les architectures dans lesquelles des composants ou systèmes OT critiques sont dupliqués (voire triplés) pour garantir la continuité de fonctionnement en cas de défaillance d'un composant. La redondance est un principe fondamental des systèmes industriels critiques, applicable aux équipements de contrôle (PLC redondants), aux réseaux de communication (réseaux redondants), aux alimentations électriques (double alimentation ondulée), et aux capteurs de mesure (mesures redondantes ou en triplex). La redondance PLC (also called Hot Standby ou Warm Standby) est une configuration où deux automates identiques fonctionnent en parallèle : l'automate primaire exécute le programme et contrôle le processus, tandis que l'automate secondaire synchronise son état en temps réel avec le primaire. En cas de défaillance du primaire (panne hardware, erreur programme, perte d'alimentation), le secondaire prend le contrôle en quelques dizaines de millisecondes sans interruption du processus (bascule transparente, Bumpless Transfer). La redondance réseau est critique dans les environnements OT temps réel : les réseaux PROFINET et EtherNet/IP supportent des protocoles de redondance (Media Redundancy Protocol - MRP pour PROFINET, Device Level Ring - DLR pour EtherNet/IP) permettant une reconfiguration automatique en cas de coupure de câble ou de défaillance d'un switch. Le temps de reconfiguration (< 200ms pour MRP, < 3ms pour DLR) est compatible avec les exigences de disponibilité des applications industrielles critiques. Du point de vue cybersécurité, la redondance OT introduit des considérations spécifiques : un attaquant ciblant une installation redondante doit compromettre les deux systèmes simultanément pour provoquer une défaillance, mais un système redondant peut présenter une surface d'attaque plus grande si les deux systèmes sont connectés au même réseau de contrôle non sécurisé.