Redundantie: waarom technologie met opzet dingen dubbel doet
Stel je voor dat het remsysteem van je auto slechts uit één kabeltje bestaat. Breekt dat kabeltje, dan rem je niet meer af. Niemand zou zo'n auto vertrouwen. Daarom bouwen ingenieurs kritieke systemen zo dat er altijd een reserveonderdeel klaarstaat als iets faalt. Dat principe heet redundantie: het bewust inbouwen van extra, overtollige capaciteit of extra exemplaren van een onderdeel, zodat één storing niet meteen tot een ramp leidt.
Redundantie kom je overal tegen zodra falen te duur of te gevaarlijk is: in vliegtuigen, ruimtevaartuigen, datacenters, elektriciteitsnetten en kerncentrales. Een simpele analogie: een schip met meerdere waterdichte compartimenten. Loopt er één vol water, dan blijft het schip drijven omdat de andere compartimenten het overnemen. Precies dat idee — verlies van een deel mag het geheel niet laten zinken — vormt de kern van elk redundant ontwerp, of het nu om staal en water gaat, of om computerchips en stroomkabels.
Wat is het precies?
Redundantie draait om het toevoegen van extra componenten die (deels) hetzelfde doen als het hoofdonderdeel, zodat het systeem blijft werken als dat hoofdonderdeel uitvalt. Er bestaan een paar herkenbare vormen.
Bij N+1-redundantie heeft een systeem precies één reserveonderdeel bovenop wat strikt noodzakelijk is. Heeft een datacenter bijvoorbeeld vier koelinstallaties nodig om alle serverkasten koel te houden, dan plaatst men er vijf: valt er één uit voor onderhoud of storing, dan draaien de overige vier gewoon door. Bij 2N-redundantie gaat men een stap verder en verdubbelt men het hele systeem, inclusief eigen stroomvoorziening en bekabeling, zodat zelfs het uitvallen van een volledige helft geen gevolgen heeft.
Een verfijndere vorm is triple modular redundancy: drie identieke systemen doen tegelijk dezelfde berekening, en een stemcircuit vergelijkt de uitkomsten. Zijn twee van de drie het met elkaar eens, dan wint die meerderheid — ook als het derde systeem een fout maakt. Nog geraffineerder is dissimilar redundancy (ook wel diversiteit genoemd): de reservesystemen zijn niet identiek, maar door een ander team met andere programmeertaal of andere hardware gebouwd. Dat voorkomt dat een en dezelfde ontwerpfout in alle exemplaren tegelijk misgaat, iets wat bij identieke reservesystemen wél kan gebeuren en een common-mode failure heet.
Belangrijk is het begrip single point of failure: een onderdeel waarvan het uitvallen het hele systeem plat legt, ongeacht hoe goed de rest is beveiligd. Goed redundantie-ontwerp probeert juist elk zo'n zwak punt op te sporen en te elimineren — niet alleen door onderdelen te verdubbelen, maar ze ook fysiek te scheiden, zodat één brand, overstroming of stroomstoring niet toevallig alle reserves tegelijk raakt.
Wat wil men ermee bereiken?
Het uiteindelijke doel is betrouwbaarheid: de kans dat een systeem blijft functioneren, ook wanneer onderdelen kapotgaan — en dat gaan ze uiteindelijk allemaal, vroeg of laat. In sommige toepassingen gaat het om mensenlevens: een vliegtuig dat plots geen stuurinput meer kan geven, of een kerncentrale die de koeling verliest, kan tot een ramp leiden. In andere gevallen gaat het vooral om economische schade: elke minuut dat een groot datacenter plat ligt, kost bedrijven als banken of clouddiensten al snel duizenden euro's per minuut.
Een tweede doel is graceful degradation, oftewel 'sierlijk aftakelen': in plaats van dat een systeem in één keer volledig uitvalt, moet het bij toenemende schade steeds iets minder goed presteren, maar wel operationeel blijven. Een vliegtuig dat één motor verliest, vliegt bijvoorbeeld gewoon door op de resterende motoren, zij het met minder vermogen.
Tegelijk is redundantie nooit gratis: extra onderdelen kosten geld, gewicht, ruimte en energie, en kunnen zelf ook weer kapotgaan of, paradoxaal genoeg, extra complexiteit en dus nieuwe faalkansen introduceren. Ontwerpers moeten dus voortdurend een afweging maken tussen kosten en het gewenste veiligheidsniveau — vandaar dat een ziekenhuis-serverruimte doorgaans zwaarder beveiligd is dan de website van een hobbyclub.
Voorbeelden uit de praktijk
De Space Shuttle van NASA (operationeel van 1981 tot 2011) had vijf boordcomputers. Vier daarvan draaiden identieke software en stemden bij elke berekening met elkaar af; wanneer één computer afweek, werd die simpelweg genegeerd. De vijfde computer draaide een volledig los, door een ander team geschreven programma als laatste redmiddel — een klassiek voorbeeld van dissimilar redundancy, bedoeld om een softwarefout die toevallig in alle vier identieke computers tegelijk zou zitten, op te vangen.
Bij SpaceX's Falcon 9-raket zorgt zogeheten 'engine-out'-capaciteit voor redundantie: de eerste trap heeft negen motoren, en het besturingssysteem kan doorvliegen als er één uitvalt door de resterende motoren langer te laten branden. Dit werd voor het eerst in de praktijk getoond tijdens de CRS-1-missie in oktober 2012, toen een motor kort na de lancering uitviel en de raket de vracht alsnog naar de juiste baan bracht.
Een tegenvoorbeeld laat zien wat er misgaat als redundantie slecht is doordacht: de kerncentrale van Fukushima Daiichi in Japan had in 2011 meerdere reserve-dieselgeneratoren om de koeling bij stroomuitval te garanderen. Die generatoren stonden echter grotendeels op dezelfde, laaggelegen plek en werden door dezelfde tsunami tegelijk overspoeld. De redundantie bestond dus wel op papier, maar niet in de fysieke scheiding die nodig was om één gemeenschappelijke oorzaak — het water — buiten te houden.
In de datacenterwereld hanteert het Amerikaanse Uptime Institute al sinds de jaren negentig een indeling in vier 'Tiers'. Tier III-datacenters draaien met N+1-redundantie op stroom en koeling, terwijl Tier IV-centra volledig 2N-redundant zijn: elk onderdeel, van stroomkabel tot koelunit, bestaat dubbel en is fysiek gescheiden, zodat onderhoud of een storing nooit tot downtime hoeft te leiden.
Ook het Nederlandse en Europese elektriciteitsnet werkt volgens een redundantieprincipe, het zogeheten N-1-criterium: het net moet zo zijn ontworpen dat het uitvallen van willekeurig één kabel, transformator of centrale niet tot stroomuitval bij afnemers leidt. Netbeheerder TenneT past dit principe toe op het Nederlandse hoogspanningsnet.
Hoe ver is de techniek?
Redundantie is geen opkomende technologie maar een decennia-oud, volwassen ontwerpprincipe dat in de lucht- en ruimtevaart al sinds de jaren zestig wordt toegepast en inmiddels ook in internationale normen is vastgelegd, zoals de industriële veiligheidsnorm IEC 61508 voor elektronische besturingssystemen. Wat wél sterk in ontwikkeling is, is de toepassing ervan in nieuwere domeinen.
Bij zelfrijdende auto's bijvoorbeeld werken bedrijven als Waymo aan volledig redundante stuur-, rem- en computersystemen, zodat een auto zonder bestuurder ook bij een storing veilig tot stilstand kan komen — een uitdaging die zwaarder weegt dan bij vliegtuigen, omdat auto's veel dichter op elkaar en op voetgangers rijden en er geen copiloot is om in te grijpen. In datacenters groeit de vraag naar redundantie mee met de explosieve toename van clouddiensten en, recenter, energie-intensieve AI-rekencentra, wat spanning oplevert tussen de wens tot volledige 2N-redundantie en de enorme energie- en materiaalkosten die daarbij horen.
Een blijvend obstakel is dat redundantie alléén helpt tegen onafhankelijke, toevallige storingen. Tegen gedeelde, onderliggende oorzaken — een ontwerpfout die in alle kopieën zit, of een fysieke ramp die alles tegelijk raakt, zoals in Fukushima — biedt simpele verdubbeling geen garantie. Daarom verschuift de aandacht in de sector steeds meer naar diversiteit en fysieke scheiding, niet alleen naar aantallen.
Wie werken eraan?
In de ruimtevaart zijn NASA en het Europese ESA toonaangevend, samen met commerciële spelers als SpaceX en Boeing. In de luchtvaart bepalen fabrikanten als Airbus en Boeing de standaarden voor redundante besturingssystemen, onder toezicht van luchtvaartautoriteiten als de Amerikaanse FAA en de Europese EASA.
Op het gebied van datacenters zet het Uptime Institute de wereldwijde norm met zijn Tier-classificatie, terwijl grote clouddienstverleners als Google, Microsoft en Amazon hun eigen redundantie-architecturen doorontwikkelen. Voor elektriciteitsnetten werken Europese netbeheerders samen binnen ENTSO-E (European Network of Transmission System Operators for Electricity), met in Nederland TenneT als beheerder van het hoogspanningsnet. Voor industriële veiligheidsnormen, waaronder redundantie-eisen, is de IEC (International Electrotechnical Commission) de belangrijkste internationale standaardisatie-organisatie.