La ridondanza di una rete industriale è ciò che separa un guasto da un fermo di produzione: quando un apparato, un link o un carrier si rompe, la rete deve continuare a funzionare, in millisecondi o al più in secondi, senza intervento umano. In questa guida vediamo come si progetta, livello per livello: anelli e aggregati, gateway e firewall in alta disponibilità, WAN multi-carrier, telefonia e Wi-Fi, fino al collaudo dei failover.

Il punto di partenza però non è la tecnologia: è il numero di minuti di fermo che l’azienda può permettersi in un anno. La tabella qui sotto traduce le classi di disponibilità in ore e minuti di downtime, ed è la base di ogni decisione che segue.

Cosa significa alta affidabilità: i numeri prima delle promesse

In un impianto produttivo la rete non è un servizio di supporto: è il sistema nervoso che tiene insieme PLC, SCADA, MES, robot, telecamere, telefonia e accessi al cloud. Quando si parla di reti industriali ad alta affidabilità, il punto di partenza non è la tecnologia ma un numero: quanti minuti di fermo all’anno l’azienda può permettersi.

Disponibilità	Downtime massimo annuo	Downtime mensile
99%	~3,65 giorni	~7,3 ore
99,9%	~8,8 ore	~44 minuti
99,99%	~53 minuti	~4,4 minuti
99,999%	~5,3 minuti	~26 secondi

Due grandezze guidano il progetto: il MTBF (tempo medio tra i guasti) si allunga scegliendo apparati industriali e ridondandoli, il MTTR (tempo medio di ripristino) si accorcia con failover automatici, monitoraggio e procedure collaudate. L’obiettivo della progettazione è eliminare ogni single point of failure: e un SPOF può essere ovunque, dall’alimentatore dello switch fino all’unico carrier che porta la connettività in stabilimento. La ridondanza deve essere end-to-end, non solo interna alla LAN.

Il modello a livelli della ridondanza

Una rete resiliente si progetta per livelli, e ogni livello ha i suoi meccanismi con tempi di ripristino diversi:

• Livello fisico: alimentazione, UPS, percorsi in fibra separati
• Switching (L2): aggregati multi-chassis, anelli REP/MRP/ERPS e, per i casi estremi, gli standard seamless PRP e HSR
• Gateway e routing (L3): HSRP/VRRP, OSPF, BFD
• Sicurezza: firewall in cluster HA, separati per ruolo
• WAN: più carrier, più tecnologie di accesso, BGP o SD-WAN
• Servizi critici: SBC e telefonia in alta disponibilità
• Monitoraggio: perché un failover che nessuno vede è un guasto che nessuno ripara

Livello fisico: alimentazione e percorsi

La maggior parte dei fermi rete in stabilimento non nasce da un protocollo ma da un alimentatore. Gli apparati di dorsale e di campo vanno scelti con doppio alimentatore collegato a due linee elettriche distinte, con UPS dimensionato e soprattutto monitorato (batterie esauste scoperte durante il blackout sono un classico). Le dorsali in fibra tra i nodi devono correre su percorsi fisici separati: due fibre nello stesso cavidotto non sono una ridondanza, perché l’escavatore le taglia insieme. Anche le ottiche vanno tenute sotto controllo leggendo i livelli DOM/DDM via SNMP: una fibra che degrada si vede settimane prima del guasto.

Ridondanza di switching: aggregati e anelli

Aggregazione multi-chassis: LACP, vPC e StackWise Virtual

Un port-channel LACP aggrega più link punto-punto e sopravvive alla perdita di un membro in pochi millisecondi. Da solo però non protegge dal guasto dello chassis: per questo i due link dell’aggregato vanno terminati su due switch fisici distinti che si presentano come un unico peer logico. Su Cisco Nexus questo si fa con vPC (virtual Port-Channel), con peer-link dedicato e peer-keepalive su percorso separato; su Catalyst 9500/9600 con StackWise Virtual. È il pattern standard per la server farm: gli host VMware si collegano in vPC verso una coppia di Nexus, con NIC teaming attivo-attivo, e la perdita di uno switch o di una scheda non interrompe le VM.

Topologie ad anello: REP, MRP e ERPS

Nei reparti produttivi la topologia naturale è l’anello: meno fibra posata, due percorsi verso ogni nodo. Chiuderlo con Spanning Tree però significa accettare riconvergenze da 1 a 6 secondi, inaccettabili per molti processi: RSTP va lasciato come rete di sicurezza, non come meccanismo primario. I protocolli di ring dedicati fanno molto meglio: REP (Resilient Ethernet Protocol) sui Catalyst Industrial Ethernet converge tipicamente tra 50 e 250 ms, e nella variante REP Fast sotto i 50 ms; MRP (IEC 62439-2) offre profili di recovery da 500, 200, 30 e persino 10 ms; ERPS (ITU-T G.8032) garantisce circa 50 ms in ambienti multivendor.

PRP e HSR: la ridondanza a zero interruzione (e quando serve davvero)

Ai livelli più spinti della scala esistono due standard, PRP e HSR (IEC 62439-3), che eliminano del tutto il tempo di ripristino: ogni frame viaggia in doppia copia su due percorsi e il destinatario scarta il duplicato. Non c’è failover perché non c’è commutazione: se un percorso muore, la copia sull’altro arriva comunque, senza perdere un solo pacchetto.

PRP lo ottiene con due reti fisicamente indipendenti (LAN A e LAN B): i nodi a doppio attacco trasmettono su entrambe, i dispositivi standard si collegano tramite RedBox, e il prezzo è la doppia infrastruttura. HSR lo ottiene su un anello singolo, duplicando i frame nelle due direzioni: dimezza la fibra ma richiede che ogni nodo dell’anello supporti lo standard in hardware e consuma circa metà della banda disponibile.

Sono soluzioni nate per contesti in cui anche pochi millisecondi di interruzione non sono accettabili: protezioni elettriche e sottostazioni IEC 61850, utility, segnalamento ferroviario, processo continuo critico. Richiedono switch industriali dedicati e dispositivi compatibili, e nella manifattura tipica raramente si giustificano: nella grande maggioranza degli stabilimenti un anello REP o MRP, con riconvergenza di poche decine di millisecondi, copre i requisiti reali a una frazione del costo. L’approccio corretto è partire dal requisito misurabile (quanti millisecondi di interruzione tollera il processo?) e scegliere il meccanismo di conseguenza, non il contrario.

Attenzione a non confondere HSR con HSRP: HSR è ridondanza seamless di livello 2 definita da IEC 62439-3, HSRP è il protocollo Cisco che rende ridondante il default gateway di livello 3. Nomi quasi identici, ruoli completamente diversi, ed entrambi possono convivere nella stessa rete.

Tempi di convergenza a confronto

Meccanismo	Ambito	Tempo tipico di ripristino
RSTP	L2 generico	1-6 s
MRP (IEC 62439-2)	Anello industriale	200 ms (profili fino a 10-30 ms)
REP / REP Fast	Anello Cisco IE	50-250 ms / <50 ms
ERPS (G.8032)	Anello multivendor	~50 ms
PRP / HSR (IEC 62439-3)	Reti critiche	0 ms
Port-channel LACP (vPC/SWV)	Aggregato L2	millisecondi sulla perdita di un membro
HSRP (timer di default)	Gateway L3	~10 s (sub-secondo con timer in ms e object tracking)
VRRP (timer di default)	Gateway L3	~3 s (sub-secondo con tuning e BFD)
BGP + BFD	WAN	~1 s (senza BFD anche minuti)
FortiGate FGCP	Firewall	1-2 s con session pickup

I valori sono indicativi: dipendono da dimensione della rete, tuning dei timer e qualità del progetto. È esattamente il motivo per cui i tempi di failover vanno misurati in collaudo, non dichiarati a catalogo.

Gateway e routing ridondati: HSRP, VRRP e BFD

Il default gateway di ogni VLAN deve sopravvivere al guasto di un nodo core. HSRP e il suo equivalente standard VRRP creano un IP virtuale condiviso tra due switch L3: equivalenti nel ruolo, non nei valori di fabbrica, perché HSRP con i timer di default (hello 3 s, hold 10 s) commuta nell’ordine dei 10 secondi, mentre VRRP (advertisement a 1 s) commuta intorno ai 3. In entrambi i casi il tuning è d’obbligo: con timer in millisecondi e object tracking sugli uplink si scende sotto il secondo. Nelle tratte routed interne, OSPF con BFD (Bidirectional Forwarding Detection) rileva un guasto di inoltro in poche centinaia di millisecondi anche quando il link fisico resta formalmente up, il caso più insidioso: il guasto silenzioso.

Firewall in alta disponibilità: il modello a due livelli

Un cluster FortiGate in FGCP (FortiGate Clustering Protocol) in modalità active-passive con session pickup mantiene le sessioni TCP durante il failover: l’utente percepisce al massimo un’esitazione. Due regole d’oro: heartbeat su almeno due link dedicati (un heartbeat singolo è la ricetta per lo split-brain, con entrambi i nodi convinti di essere attivi) e interfacce monitorate configurate, così il cluster commuta anche quando a cadere è un link e non l’intero apparato.

Nelle reti che progettiamo separiamo sempre due livelli di firewall con compiti distinti: un cluster perimetrale per Internet, VPN e pubblicazioni, e un cluster interno per la segmentazione tra VLAN e tra mondo IT e mondo OT. I vantaggi sono concreti: policy più semplici da mantenere, domini di guasto separati e, soprattutto, se il perimetro va giù per un guasto o una manutenzione, la produzione continua a lavorare. È lo stesso principio di segmentazione che abbiamo approfondito nella progettazione delle reti industriali IT/OT.

WAN ridondata: più carrier, più tecnologie, un solo IP

La ridondanza interna non serve a nulla se lo stabilimento è appeso a un solo carrier. La regola è diversificare su due assi: operatore e tecnologia di accesso. Fibra dedicata come primario, poi FWA, 5G o VDSL come secondario, verificando con i provider che gli ultimi migli non condividano lo stesso cavidotto o la stessa centrale: due contratti diversi sullo stesso scavo sono una ridondanza solo sulla carta. Un ponte radio in banda licenziata è un’opzione ulteriore, ma è infrastruttura propria, con costi e tempi di realizzazione diversi da quelli di un servizio di accesso.

Il problema successivo è l’indirizzo IP. VPN site-to-site con peer fissi, trunk SIP autenticati per indirizzo sorgente, servizi pubblicati e whitelist IP sui servizi cloud smettono di funzionare se il failover cambia IP pubblico. La soluzione strutturale è il BGP multihoming: indirizzi propri e un AS number proprio, annunciati a entrambi i carrier, così che se il primario cade l’annuncio resti valido attraverso il secondario e l’IP non cambi: VPN, trunk e servizi restano raggiungibili. Con BFD sulle sessioni BGP il failover scende intorno al secondo; senza, i timer di default possono impiegare minuti a rilevare un guasto silenzioso.

Va detto però come si ottengono quegli indirizzi, perché nel 2026 non è più come dieci anni fa. Il RIPE NCC ha esaurito gli IPv4 liberamente disponibili a novembre 2019 e non assegna più nuovo spazio Provider Independent: quello che ancora alloca è un singolo /24 per membro, tramite una lista d’attesa senza garanzia di tempi che oggi supera l’anno, e per esserci bisogna diventare membro RIPE con una quota d’iscrizione e un canone annuale. La strada praticabile per un’azienda è un’altra: acquisire un /24 sul mercato dei trasferimenti e registrarlo come assegnazione indipendente attraverso un LIR sponsor, cioè un operatore che mantiene le risorse a nome dell’utente finale. È fattibile in poche settimane, ma ha un costo di acquisizione e un canone di sponsorizzazione.

Ecco perché nella maggior parte dei progetti la domanda giusta non è scegliere tra BGP e SD-WAN, ma capire quali servizi dipendono davvero da un indirizzo fisso. Se i trunk SIP sono registration-based e i servizi vivono in cloud, l’SD-WAN nativo dei FortiGate (probe di SLA su latenza, jitter e perdita, steering applicativo per traffico voce e critico) gestisce il failover in modo trasparente anche se l’IP pubblico cambia, senza toccare il tema delle risorse di numerazione. Ridurre la lista dei servizi IP-dipendenti è spesso più economico e più rapido che procurarsi un blocco proprio.

VoIP che non cade: SBC in HA e trunk ridondati

La telefonia è il servizio dove il fermo si nota per primo. Il punto di controllo è il Session Border Controller: gli SBC AudioCodes supportano l’alta disponibilità 1+1 con due unità identiche (due Mediant VE su host di virtualizzazione separati con regole di anti-affinity, oppure due appliance fisiche dello stesso modello), configurazione e stato sincronizzati e preservazione delle chiamate stabili al failover.

Sul lato trunk vale la distinzione vista sopra: un trunk IP-based richiede l’IP persistente garantito dal BGP, un trunk registration-based si ri-registra e segue il failover SD-WAN. In entrambi i casi l’SBC monitora i trunk con SIP OPTIONS e applica l’alternative routing verso il percorso o l’operatore secondario. Ne abbiamo parlato in dettaglio nella guida alla configurazione sicura di un SBC e nell’integrazione della telefonia aziendale.

Wi-Fi ad alta disponibilità

Anche la rete wireless che copre magazzini, AMR e terminali di reparto ha il suo failover: una coppia di controller Cisco Catalyst 9800 (anche in versione 9800-CL virtualizzata) in HA SSO con Redundancy Management Interface commuta in modo stateful, senza che access point e client debbano ri-associarsi. In alternativa, il modello N+1 con un controller di riserva copre più sedi con un investimento ridotto, accettando una breve ri-associazione. La copertura, come sempre, va prima progettata e verificata con un site survey: la ridondanza dei controller non compensa un AP posizionato male.

Il monitoraggio è parte della ridondanza

Una ridondanza mai testata è un guasto latente. E una ridondanza che scatta senza che nessuno lo sappia è ancora peggio: la rete lavora senza riserva finché il secondo guasto la spegne. Per questo il monitoraggio è un componente del progetto, non un accessorio: polling e trap SNMP v3 su tutti gli apparati, syslog centralizzato e controlli specifici sugli stati che contano davvero: salute dei cluster HA (firewall, SBC, controller), stato delle sessioni BGP, esito dei SIP OPTIONS sui trunk, livelli ottici delle fibre, autonomia e batterie degli UPS.

Gli allarmi devono raggiungere le persone giuste sul canale giusto: email per la reportistica, notifiche immediate su Telegram o WhatsApp per gli eventi critici, con soglie differenziate per evitare che il rumore seppellisca l’allarme vero. Completano il quadro i test di failover programmati: almeno una volta l’anno, in finestra concordata, si spegne davvero il nodo primario e si misura cosa succede, aggiornando il runbook con i risultati.

Failure mode: gli errori che vediamo più spesso

• Heartbeat su un solo link: il cluster va in split-brain e due firewall attivi fanno più danni di uno spento.
• Due WAN nello stesso cavidotto o sulla stessa centrale: la ridondanza esiste solo in fattura.
• Config drift tra i membri di un cluster: al failover il nodo secondario si comporta in modo diverso dal primario.
• STP come unico meccanismo di ring: riconvergenze da secondi su processi che tollerano millisecondi.
• UPS non monitorati: la batteria esausta si scopre durante il blackout.
• Ridondanza mai collaudata: il failover fallisce la prima volta che serve davvero.
• Complessità non documentata: ogni meccanismo di ridondanza aggiunge stati e casi limite; senza runbook, allunga il MTTR invece di ridurlo.

L’architettura di riferimento Netframe

Nei progetti per il manifatturiero emiliano applichiamo un’architettura consolidata: switching di accesso e distribuzione Cisco Catalyst con anelli ridondati verso i reparti, coppia di Cisco Nexus in vPC per la server farm VMware, Wi-Fi con controller Catalyst 9800-CL in HA SSO, due livelli di FortiGate in cluster FGCP (perimetro e segmentazione interna IT/OT), SBC AudioCodes in HA 1+1 per la telefonia, connettività multi-carrier con BGP o SD-WAN a seconda dei servizi da preservare, e monitoraggio SNMP con allarmi in tempo reale. Il tutto sostenuto da certificazioni Cisco, Fortinet NSE 4 e AudioCodes e dal collaudo dei meccanismi di failover prima della consegna.

Domande frequenti sulle reti ad alta affidabilità

Cosa significa alta affidabilità in una rete industriale?

Significa che la rete garantisce un livello di disponibilità misurabile anche in presenza di guasti. Le classi si esprimono in percentuale: 99,9% equivale a circa 8,8 ore di fermo massimo all’anno, 99,99% a circa 53 minuti, 99,999% a circa 5,3 minuti. Si raggiungono eliminando i singoli punti di guasto con ridondanza a ogni livello, failover collaudati e monitoraggio continuo.

Che differenza c’è tra ridondanza e alta affidabilità?

La ridondanza è il mezzo, l’alta affidabilità è il risultato. Una rete è ad alta affidabilità quando garantisce un livello misurabile di disponibilità, ad esempio 99,99% annuo, grazie a ridondanza su ogni livello, failover collaudati, monitoraggio e procedure di ripristino. Duplicare gli apparati senza testare i failover non produce alta affidabilità.

Che differenza c’è tra HSR e HSRP?

Sono due protocolli completamente diversi nonostante i nomi simili. HSR (High-availability Seamless Redundancy) è uno standard IEC 62439-3 di livello 2 che duplica ogni frame su un anello per ottenere zero interruzione. HSRP (Hot Standby Router Protocol) è il protocollo Cisco che rende ridondante il default gateway di livello 3 con un IP virtuale condiviso tra due switch. Possono convivere nella stessa rete con ruoli diversi.

Come si mantiene lo stesso indirizzo IP pubblico con due operatori diversi?

Con il BGP multihoming: indirizzi propri e un numero AS annunciati a entrambi i carrier, così che al guasto del primario l’annuncio resti valido attraverso il secondario e l’IP non cambi. Nel 2026 le risorse non si richiedono più direttamente a RIPE come un tempo: lo spazio IPv4 si acquisisce sul mercato dei trasferimenti e si registra tramite un LIR sponsor, con un costo di acquisizione e un canone. Per questo, se i servizi non dipendono da un IP fisso (trunk registration-based, servizi in cloud), l’SD-WAN è quasi sempre la strada più rapida ed economica.

Quale livello di disponibilità serve a un’azienda manifatturiera?

Dipende dal costo orario del fermo produzione. Come riferimento, il 99,9% equivale a circa 8,8 ore di fermo massimo all’anno, il 99,99% a circa 53 minuti. Il progetto parte proprio da qui: si calcola quanto costa un’ora di fermo e si dimensiona la ridondanza di conseguenza, perché ogni nove in più ha un costo infrastrutturale crescente.

Ogni quanto vanno testati i meccanismi di failover?

Almeno una volta all’anno, in una finestra di manutenzione concordata, spegnendo davvero il nodo primario e misurando i tempi di commutazione reali. Una ridondanza mai testata è un guasto latente: la maggior parte dei failover falliti che vediamo dipende da configurazioni divergenti tra i nodi o da modifiche mai propagate al secondario.

Se la tua rete ha anche un solo punto singolo di guasto, o se la ridondanza c’è ma non è mai stata testata, parliamone: un assessment mirato dice in pochi giorni dove sei esposto e cosa costa rimediare. Scrivici a info@netframe.it o chiamaci allo 059 7134794.

Netframe è un system integrator indipendente. Cisco, Fortinet e AudioCodes, citati in questa guida, sono produttori di cui Netframe è partner certificato. Tempi di ripristino e funzionalità derivano dagli standard e dalla documentazione ufficiale elencati sotto.

Fonti

• IEC 62439-2, Industrial communication networks. High availability automation networks. Media Redundancy Protocol (MRP)
• IEC 62439-3:2021 (Ed. 4.0, con COR1:2023), Parallel Redundancy Protocol (PRP) e High-availability Seamless Redundancy (HSR)
• ITU-T G.8032, Ethernet ring protection switching (itu.int)
• IEC 61850, reti e sistemi di comunicazione per le sottostazioni
• RIPE NCC, IPv4 Address Allocation and Assignment Policies for the RIPE NCC Service Region (ripe-826) e pagina ufficiale della IPv4 Waiting List (ripe.net)
• Documentazione Cisco: REP e REP Fast, vPC, StackWise Virtual, Catalyst 9800 in HA SSO
• Documentazione Fortinet: FGCP e SD-WAN
• Documentazione AudioCodes: alta disponibilità 1+1

Fonti verificate il 10 agosto 2026. Le politiche di assegnazione IPv4 e le condizioni del mercato dei trasferimenti cambiano nel tempo: prima di pianificare un progetto BGP multihoming, verificare lo stato corrente sulla documentazione RIPE NCC.