SCADA Redundancy Architecture: Server, Network, dan Database

Memahami arsitektur redundansi SCADA pada server, network, dan database untuk meningkatkan availability, mengurangi single point of failure, serta menjaga kontinuitas monitoring dan control plant.

Dalam sistem industri modern, SCADA memiliki tiga pekerjaan utama, yaitu mengumpulkan data, memindahkan data melalui network, dan menyimpan data ke dalam database untuk kebutuhan trend serta reporting.

Masing-masing fungsi tersebut dapat mengalami kegagalan secara terpisah. Server dapat mengalami crash, kabel network dapat putus, dan database dapat mengalami masalah seperti disk penuh atau file corruption.

Karena itu, SCADA redundancy architecture tidak hanya berfokus pada satu komponen. Server, jalur network, dan database perlu diproteksi secara bersama-sama agar kegagalan pada satu layer tidak langsung menghentikan kemampuan operator untuk melakukan monitoring dan control plant.

Apa Itu SCADA Redundancy Architecture?

SCADA redundancy architecture adalah pendekatan desain dengan menduplikasi komponen utama SCADA, yaitu server, communication network, dan database.

Tujuannya adalah menyediakan komponen atau jalur alternatif ketika salah satu bagian mengalami failure.

Sebagai contoh, sebuah SCADA dapat memiliki primary server dan standby server. Ketika primary server mengalami kegagalan, standby server mengambil alih fungsi aktif.

Namun redundant server saja belum cukup.

Jika hanya server yang dibuat redundant sedangkan network tetap menggunakan satu jalur, maka network masih menjadi single point of failure.

Hal yang sama berlaku pada database. Jika server dan network sudah redundant tetapi database hanya memiliki satu salinan, maka database tetap menjadi titik kelemahan sistem.

Karena itu, redundansi SCADA perlu dipandang sebagai satu kesatuan yang mencakup server, network, dan database.

Bagaimana SCADA Redundancy Berguna di Plant?

SCADA digunakan untuk mengumpulkan data proses, mengirimkan data melalui jaringan komunikasi, dan menyimpan data untuk kebutuhan trend, alarm, serta reporting.

Ketiga fungsi tersebut mempunyai potensi failure masing-masing.

Server dapat mati.

Network dapat kehilangan koneksi.

Database dapat kehilangan data atau tidak dapat diakses.

Dengan SCADA redundancy, ketiga layer tersebut mendapatkan mekanisme perlindungan sehingga kegagalan pada satu komponen tidak langsung menyebabkan keseluruhan sistem kehilangan fungsi monitoring dan control.

Tiga Layer yang Harus Dilindungi dalam SCADA

1. Server Redundancy

Server redundancy menggunakan primary server dan standby server.

Kedua server dapat menjalankan project yang sama. Primary server menjadi server aktif yang menangani operator screen dan fungsi control, sedangkan standby server siap mengambil alih ketika primary mengalami failure.

Ketika primary server gagal, standby server dapat mengambil alih operator screen dan fungsi control.

2. Network Redundancy

Network redundancy menyediakan jalur komunikasi kedua antara server, RTU, dan field device.

Konfigurasi yang dapat digunakan antara lain:

• Ring network.
• Star network.
• Dual network path.

Tujuannya adalah menjaga aliran data ketika salah satu kabel atau network switch mengalami failure.

3. Database Redundancy

Database redundancy membuat salinan database pada server lain.

Database dapat menyimpan current values, alarms, dan event logs, sedangkan historian menyimpan trend data dalam jangka panjang.

Dengan adanya database redundancy, trends, alarms, dan historical information tetap dapat dipertahankan ketika terjadi disk atau server failure.

Bagaimana SCADA Server Redundancy Bekerja?

Banyak platform SCADA menggunakan konfigurasi hot standby server pair.

Primary dan standby server menjalankan project yang sama, tetapi hanya primary server yang secara aktif menjalankan operator screen.

Standby server secara terus-menerus menerima update dari primary server, termasuk:

• Tag.
• Alarm.
• Current values.
• Informasi project yang diperlukan.

Dengan cara ini, standby server selalu siap untuk mengambil alih.

Ketika primary server mengalami failure atau kehilangan network contact, standby server mendeteksi kondisi tersebut dan berpindah ke active mode.

Dari sisi operator, proses tersebut idealnya hanya menghasilkan refresh singkat pada screen, bukan full system outage.

Mengapa Network Redundancy Penting?

Redundant server tetap membutuhkan network yang dapat menghubungkan operator, server, RTU, dan field device.

Bayangkan sebuah SCADA mempunyai:

Primary Server

Standby Server

Tetapi kedua server hanya memiliki satu jalur network.

Ketika kabel atau switch pada jalur tersebut gagal, kedua server dapat kehilangan komunikasi.

Akibatnya, server redundancy tidak dapat memberikan perlindungan penuh.

Artinya, sistem masih memiliki single point of failure.

Karena itu, network juga perlu dibuat redundant.

Jenis Network Redundancy pada SCADA

Ring Network

Pada ring architecture, perangkat terhubung membentuk jalur melingkar.

Konfigurasi ini dapat menyediakan jalur komunikasi alternatif ketika salah satu bagian network mengalami gangguan, tergantung pada implementasi sistem.

Star Network

Pada star architecture, perangkat terhubung ke central switch.

Dalam aplikasi yang memerlukan redundancy, desain dapat menggunakan perangkat dan jalur network tambahan untuk mengurangi risiko kehilangan koneksi.

Dual Network

Dual network menyediakan dua jalur komunikasi.

Ketika satu jalur mengalami failure, jalur lainnya dapat digunakan untuk mempertahankan komunikasi sistem.

Pemilihan konfigurasi network harus mempertimbangkan layout plant dan kebutuhan reliability sistem.

Bagaimana Database dan Historian Redundancy Bekerja?

Database SCADA menyimpan current values, alarms, dan event logs.

Historian digunakan untuk menyimpan trend data dalam jangka panjang.

Database redundancy biasanya dilakukan dengan mempertahankan salinan database pada primary dan standby server.

Data pada database standby diperbarui secara terus-menerus ketika data baru diterima sehingga kedua salinan tetap tersinkronisasi.

Pada beberapa sistem, database juga dapat direplikasi ke lokasi disaster recovery yang terpisah.

Dengan konfigurasi tersebut, kehilangan control room utama tidak otomatis menyebabkan seluruh historical record hilang.

Perbandingan Tiga Layer Redundancy

Layer	Apa yang Terjadi Jika Tidak Redundant	Metode Umum
Server	Operator screen dan control dapat berhenti	Hot standby server pair
Network	Server tidak dapat berkomunikasi dengan RTU atau perangkat lain	Ring, star, atau dual network path
Database	Trend, alarm, dan history dapat hilang	Synchronized atau mirrored database

Mengapa Ketiga Layer Harus Bekerja Bersama?

Ketiga layer redundancy bukanlah pilihan yang berdiri sendiri.

Ketiganya merupakan bagian dari satu rantai.

Jika server redundant tetapi network hanya memiliki satu jalur, maka network menjadi titik kelemahan.

Jika server dan network redundant tetapi database hanya mempunyai satu salinan, maka database menjadi titik kelemahan.

Secara sederhana:

Server Pair + Network Path + Database Copy = Full SCADA Redundancy

Jika salah satu layer tetap single, layer tersebut menjadi batas nyata terhadap reliability seluruh sistem.

Menghitung Availability SCADA Redundant

Availability dapat digunakan untuk memperkirakan seberapa besar kemungkinan sistem tetap tersedia dalam periode tertentu.

Dalam contoh perhitungan pada materi ini digunakan tiga layer, yaitu:

• Server.
• Network.
• Database.

Masing-masing layer mempunyai redundant pair.

Rumus yang digunakan:

System Availability = (Pair Availability)³

Parameter contoh:

MTBF per Unit = 20.000 jam

MTTR per Unit = 6 jam

Langkah 1: Single Unit Availability

Single Unit Availability:

20.000 ÷ (20.000 + 6)

Hasil:

0,9997001

Langkah 2: Redundant Pair Unavailability

Redundant Pair Unavailability:

(1 − 0,9997001)²

Hasil:

0,0000001

Dalam contoh tersebut, nilai ini setara dengan sekitar 0,047 menit downtime per tahun untuk satu redundant layer.

Langkah 3: Overall System Availability

Karena terdapat tiga layer:

Overall System Availability = Pair Availability³

Hasil:

0,99999973

Langkah 4: Overall Downtime

Overall downtime yang diperoleh dari contoh tersebut adalah sekitar:

0,14 menit per tahun

Contoh ini menunjukkan bagaimana penggunaan redundancy pada tiga layer secara bersamaan dapat menghasilkan availability sistem yang sangat tinggi berdasarkan parameter MTBF dan MTTR yang digunakan.

Cara Sederhana Merencanakan SCADA Redundancy

1. Tentukan Tiga Layer Sebelum Mendesain

Sebelum menentukan arsitektur, buat rencana untuk:

• Server.
• Network.
• Database.

Ketiganya harus dipertimbangkan bersama sejak awal.

2. Gunakan Hot Standby Server Pair

Primary dan standby server sebaiknya menggunakan hardware dan software version yang sesuai atau matched.

Tujuannya agar standby dapat mengambil alih ketika primary mengalami failure.

3. Duplicate Network Path

Gunakan ring, star, atau dual network sesuai dengan layout plant dan kebutuhan sistem.

Jangan menentukan network redundancy hanya berdasarkan biaya.

4. Mirror Database Secara Kontinu

Pastikan standby database terus menerima update sehingga database primary dan standby tetap hampir identik.

5. Lakukan Full Failover Test

Jangan hanya menguji setiap layer secara terpisah.

Lakukan pengujian yang melibatkan kondisi failure pada server dan network untuk melihat bagaimana sistem berperilaku ketika berada dalam kondisi nyata.

6. Dokumentasikan Recovery Procedure

Operator harus mengetahui bagaimana kondisi failover terlihat pada operator screen.

Dengan demikian, kondisi failover tidak salah dianggap sebagai process fault.

Good Practices untuk SCADA Redundancy Design

Lindungi Ketiga Layer

Server, network, dan database harus dipertimbangkan sebagai satu desain redundancy.

Samakan Primary dan Standby

Primary dan standby server harus menggunakan software version yang sesuai.

Uji Full Failover

Lakukan pengujian failover secara lengkap selama commissioning, bukan hanya melakukan verification berdasarkan diagram.

Monitor Standby System

Health dari standby layer harus terus dimonitor, bukan hanya diperiksa ketika primary mengalami failure.

Pastikan Database Tetap Sinkron

Standby database harus terus diperbarui dan kondisi kehilangan synchronization harus dapat diketahui.

Lakukan Periodic Failover Drill

Pengujian failover sebaiknya tidak berhenti setelah sistem selesai commissioning.

Periodic test membantu memastikan mekanisme redundancy tetap berfungsi.

Hal yang Harus Dihindari dalam SCADA Redundancy

Jangan menganggap redundant server saja sudah membuat seluruh SCADA menjadi redundant.

Jangan menempatkan kedua network path pada physical cable tray yang sama ketika desain mengharuskan physical separation.

Jangan membiarkan standby database kehilangan synchronization tanpa adanya indication atau alarm.

Jangan menghentikan failover drill setelah sistem selesai commissioning.

Pertanyaan yang Sering Ditanyakan

Apa itu SCADA redundancy architecture?

SCADA redundancy architecture adalah desain yang menduplikasi server SCADA, communication network, dan database sehingga failure pada satu layer tidak langsung menghentikan keseluruhan sistem.

Apakah redundant SCADA server saja sudah cukup?

Tidak.

Redundant server tetap membutuhkan network dan database yang reliable.

Jika network atau database hanya mempunyai satu jalur atau satu salinan, sistem masih mempunyai single point of failure.

Bagaimana server SCADA melakukan failover?

Standby server menerima update dari active primary server secara terus-menerus.

Ketika primary gagal atau kehilangan komunikasi, standby dapat berpindah menjadi active server secara otomatis.

Network apa yang dapat digunakan untuk SCADA redundancy?

Ring, star, dan dual network architecture dapat digunakan, tergantung kebutuhan sistem dan layout plant.

Bagaimana database primary dan standby tetap sinkron?

Database dapat menggunakan mirroring atau replication sehingga database standby terus menerima update dari primary.

Mengapa ketiga layer harus diuji bersama?

Karena pengujian layer secara terpisah dapat melewatkan masalah yang hanya muncul ketika beberapa failure terjadi secara bersamaan.

Full failover test memberikan gambaran yang lebih realistis tentang perilaku sistem ketika mengalami kondisi stress.

Ringkasan

SCADA redundancy architecture melindungi tiga layer utama:

Server → Network → Database

Server redundancy menyediakan standby server untuk mengambil alih fungsi primary.

Network redundancy menyediakan jalur komunikasi alternatif.

Database redundancy mempertahankan salinan data, alarm, dan historical information.

Ketiga layer tersebut harus dirancang sebagai satu kesatuan karena reliability keseluruhan SCADA ditentukan oleh layer yang paling lemah.

Dalam contoh perhitungan menggunakan MTBF 20.000 jam dan MTTR 6 jam, sistem dengan tiga layer redundant memiliki estimated downtime sekitar 0,14 menit per tahun.

Selain desain, pengujian juga sangat penting. Full failover test selama commissioning dapat menemukan masalah yang mungkin tidak terlihat ketika setiap layer diuji secara terpisah.

Kesimpulan

SCADA redundancy bukan hanya tentang menyediakan server cadangan.

Redundansi yang benar harus mempertimbangkan server, network, dan database secara bersama-sama.

Hot standby server dapat menjaga fungsi operator dan control ketika primary server mengalami failure.

Network redundancy menjaga komunikasi tetap tersedia ketika salah satu jalur mengalami gangguan.

Database redundancy menjaga agar trends, alarms, dan historical information tetap tersedia.

Namun, keberadaan perangkat redundant saja belum cukup. Sistem juga perlu diuji, dimonitor, dan didukung recovery procedure yang jelas.

Dengan pendekatan tersebut, SCADA redundancy dapat membantu meningkatkan availability, reliability, dan continuity sistem kontrol di lingkungan industri.