В ИТ-инфраструктуре системообразующих отраслей российской экономики сегодня доминируют программные и аппаратные средства зарубежных компаний. В контуре АСУП отраслевыми стандартами де-факто стали решения Microsoft (MSWindows, MSOffice, ActiveDirectory, ActiveX, .NETCore, SharePoint) и комплекс продуктов SAP, поддерживающий бóльшую часть бизнес-процессов предприятий. Контур АСУ ТП тоже функционирует преимущественно на решениях зарубежных компаний — Schneider Electric, Siemens, ABB, Yokogawa.
Российские разработки в обоих сегментах присутствуют, но пока их доля столь невелика, что приходится констатировать: мы построили объекты критической инфраструктуры России, которые находятся в технологической и политической зависимости от зарубежных вендоров и их правительств. Сложилась парадоксальная ситуация: Россия ежегодно тратит миллиарды на оплату лицензий импортного ПО..., которое в любой момент может быть использовано для внешнего несанкционированного вмешательства в работу автоматизированных систем.
Эксплуатировать такие системы дорого и рискованно. Совершенно очевидно, что цифровую инфраструктуру критически важных объектов необходимо переводить на российские программные и аппаратные средства.
«До оснований, до корней, до сердцевины»
«Сердцевиной» любой ИТ-инфраструктуры служит операционная система. Она, в различных вариантах исполнения, обеспечивает управление работой и различных аппаратных средств (компьютеров, сетевых устройств, контроллеров и др.), и прикладного ПО. Многие годы цифровая среда объектов критической инфраструктуры строилась на основе MSWindows и сопутствующего ей системного ПО — преимущественно от Microsoft. Причем в подавляющем большинстве случаев это давно устаревшие версии ОС: Windows XP, 2000, едва ли не NT. Эти версии давно не поддерживаются разработчиком, они буквально испещрены уязвимостями, которые отлично всем известны. Страшно представить масштабы техногенных катастроф, которые могут спровоцировать злоумышленники, повлияв через операционную систему в контуре АСУП на работу АСУ ТП. Достаточно вспомнить катастрофу 2009 года на Саяно-Шушенской ГЭС, которая унесла жизни 75 человек. Причины ее остались до конца не выясненными. Существует ненулевая вероятность, что нештатный разгон турбины был спровоцирован вмешательством через АСУП в работу АСУ ТП.
Энергетики осознали проблему, поэтому в отрасли развернута масштабная программа импортозамещения, в рамках которой «ветхие» версии Windows в верхнем контуре АСУ предполагается заменить отечественными ОС на базе ядра Linux.
Но на пути реализации отраслевой программы импортозамещения цифровой инфраструктуры возникли препятствия, которые серьезно тормозят процесс.
«Движение сопротивления» № 1. ИТ-специалисты отрасли ТЭК
Недоверие, скептицизм, предвзятость — таково, к сожалению, отношение множества ИТ-специалистов, работающих в системообразующих отраслях российской экономики, к отечественным операционным системам на базе ядра Linux. Со студенческой скамьи им накрепко внушили, что лучший софт — импортный, а российские разработки ни в какое сравнение с ним не идут и никогда идти не смогут. Долгие годы эти специалисты спокойно жили за «большими спинами» зарубежных вендоров, руководствуясь в своей работе готовыми инструкциями. Сегодня им крайне сложно даже представить, что российский софт и «железо» вполне конкурентоспособны зарубежным, что отечественные решения могут — и уже успешно работают! — на объектах критической инфраструктуры. В частности — в энергетическом комплексе, буквально на соседних со скептиками объектах.
За недостаточностью внутриотраслевых «точек опоры» компаниям ИВК и «Базальт СПО» невольно пришлось взять на себя функции центра компетенции по вопросам полномасштабного импортозамещения ИТ-инфраструктуры энергетики. Мы помогаем ИТ-специалистам сориентироваться в предложениях разработчиков российского ПО и оборудования, создаем тестовые стенды, на которых отрабатываются процессы миграции на отечественные технологические решения. И, что крайне важно, помогаем оптимизировать архитектуру сложных многокомпонентных информационных систем — чтобы не «вливать новое вино в старые мехи», а создать по-настоящему эффективное решение с учетом возможностей и перспектив развития нового ПО и оборудования.
«Движение сопротивления» № 2. Зарубежные вендоры
Практически все прикладное ПО, используемое в контуре АСУП объектов критической инфраструктуры России создавалось для работы в среде Windows. В частности, в энергетике отраслевым стандартом ERPстала система SAP. Теперь необходимо адаптировать ее и другое зарубежное ПО к Linux-среде, создав соответствующие версии. Но западные вендоры не торопятся приступить к решению этой задачи, предпочитая «не замечать» процессы импортозамещения, в которых ключевую роль играет системный софт на основе свободного программного обеспечения. И прежде всего — российские операционные системы на основе ядра Linux. Свое промедление с портированием продуктов на Linux они аргументируют тем, что их продукты являются системообразующими для целых отраслей российской экономики, поэтому предприятия будут продолжать использовать те версии ПО, которые им предоставляет вендор. Целесообразность создания Linux-версий ставится под сомнение на том основании, что доля российского рынка якобы невелика в общей структуре доходов компаний. На мой взгляд, это лукавое утверждение служит маскировкой желания затормозить перенос бизнес-процессов российских предприятий наотечественное ПО. Безусловно, этот процесс сопряжен с огромным обилием рисков и затрат, он не может произойти быстро. Но нежелание западных вендоров идти на диалог придает ему дополнительное ускорение. Западным коллегам было бы разумнее выстроить взаимодействие по схеме «win-win» и внести в используемое ПО изменения, необходимые российским потребителям.
Справедливости ради надо отметить, что у SAP уже существует серверный клиент, работающий на SUSE и RedHat. Но его нельзя механически применить для работы в среде российской Linux-подобной операционной системы — например, ОС «Альт». Необходимо создать специализированную версию, чтобы оградить пользователей от «сюрпризов» возможной некорректной работы приложения. Эта работа требует плотного взаимодействия разработчиков операционной системы и прикладного ПО. Однако нам, как разработчикам ОС, пока не удается наладить конструктивный диалог с российским отделением SAP. Закономерно, что энергетические компании, реализующие программы импортозамещения, начинают обдумывать альтернативы западной ERP-системе, которая становится тормозом развития корпоративной ИТ-инфраструктуры. Кстати, сравнение ежегодных отчислений за лицензии российских ERP-системс ПО SAP становится дополнительным весомым аргументом в пользу отечественного решения.
«Движение неприсоединения». Средства создания доменных зон
Поскольку практически вся ИТ-инфраструктура российских системообразующих отраслей работает на MS Windows, для организации доменных зон здесь используется Microsoft Active Directory. Для полноценной реализации корпоративной программы импортозамещения им требуется импортонезависимый аналог этого инфраструктурного ПО. Причем такой, который позволяет развернуть доменную зону для компьютеров на Linux и обеспечить их бесконфликтную работу с компьютерами на MS Windows в единой корпоративной сети. Совместная бесконфликтная работа компьютеров под двумя ОС — это принципиальное требование заказчиков. Доменная зона — важнейшая инфраструктурная составляющая, в которой трудятся десятки тысяч пользователей. Нельзя ставить под угрозу ее доступность. Кроме того, заказчикам важно иметь возможность поэтапно переходить на российские технологии, сохраняя ранее вложенные инвестиции в системное и прикладное ПО.
К сожалению, такую возможность обеспечивают не все отечественные ОС, включенные в Единый реестр российских программ.
Поэтому мы рекомендуем заказчикам развернуть тестовый стенд, на котором можно отработать требуемую интеграцию доменных зон. При создании подобных стендов мы опираемся на собственный успешный опыт: в Министерстве обороны создан обширный сегмент сети, который работает исключительно на платформе Linux-подобной операционной системы «Альт» и совместим с Microsoft Active Directory. Аналогичные работы были выполнены и для других государственных ведомств и крупных бизнес-структур. В платформу «Альт» встроены импортонезависимые аналоги системообразующего инфраструктурного ПО. Контроллер домена c расширенной функциональностью SAMBA DC способен интегрироваться в систему доменов Microsoft Active Directory, постепенно заменяя ее, а система SOGo (аналог Microsoft Exchange Server) обеспечивает среду совместной работы пользователей. Функции аутентификации и управления доступом и групповыми политиками в платформе разделены. За первую группу отвечает Samba DC, за вторую — система управления конфигурациями Puppet. Важная деталь: ОС «Альт» способна работать как на компьютерах с архитектурой x86, так и на компьютерах «Эльбрус» (архитектура e2k), «Байкал М» (архитектура ARM), «Байкал Т» (архитектура MIPS), ведутся работы по портированию ОС «Альт» на свободную архитектуру RiscV. Это дает заказчикам возможность постепенно перевести аппаратную часть ИТ-инфраструктуры на технологически независимые решения, создав альтернативный парк рабочих станций и серверов.
«Зоопарк Линуксов»: аппаратная инфраструктура контура АСУ ТП
Основную долю аппаратной части инфраструктуры предприятий системообразующих отраслей составляют устройства, которые обеспечивают поток первичных данных (исполнительные механизмы, промышленные логические контроллеры и т.п.). Их российские разработчики в качестве программной части используют либо MSWindows, либо собственные Linux-подобные ОС. Первый подход чреват значительными рисками для потребителей: зависимостью от зарубежного вендора, в том числе в плане санкционных мер, и «дырами» в безопасности, поскольку огромное число ПАК построены на устаревших версиях MS Windows (Win XP, Win 2000) со множеством широко известных уязвимостей. Второй подход породил «зоопарк Линуксов»: из-за крайне скудного ассортимента готовых компактных ОС (в том числе realtime) и отсутствия нормативной базы, стандартизирующей создание и поддержку подобных программно-аппаратных устройств, их разработчики вынуждены создавать собственные операционные системы с нужными свойствами. В результате, в инфраструктуре одного и того же предприятия могут работать одинаковые изделия с совершенно разной софтверной «начинкой». Такой «зоопарк» — источник потенциальных рисков. Во-первых, производители промышленного оборудования не всегда имеют нужные компетенции по разработке операционной системы, поэтому не могут гарантировать ее стабильность в экстремальных условиях. Во-вторых, производителю контроллеров сложно на протяжении десятилетий поддерживать долгий жизненный цикл своей локальной ОС, правильно обеспечивая сбор и передачу компетенций в группе ее разработчиков. В-третьих, за основу ОС зачастую берутся дистрибутивы крупных международных проектов Linux (Debian, Ubuntu и др.), что порождает зависимость российского проекта. В-четвертых, при обнаружении уязвимости встроенной ОС потребитель нередко вынужден целиком заменять ПАК с вполне работоспособным «железом». Причина в том, что в ряде промышленного оборудования, имеющего непрерывный производственный цикл, зачастую вообще не предусмотрена возможность обновления отдельных компонентов.
Для минимизации этих проблем разработчикам специализированных ОС имеет смысл наладить сотрудничество с производителями российского системного софта, которые развивают российский репозиторий свободного ПО. Они могут помочь с разработкой необходимых версий ядра Linux, разместить их в репозитории, обеспечить возможность сборки операционных систем под различные аппаратные архитектуры (Intel, ARM, MIPS, российские процессоры «Эльбрус», "Байкал«и пр.).А наличие в открытом российском репозитории заранее сконфигурированных версий ядра создаст почву для их стандартизации.
Надо? Делаем!
Справедливости ради надо отметить, что разработчики российских операционных систем, не дожидаясь появления нормативной базы, инициативно отреагировали на проблему. Например, разработчики семейства операционных систем «Альт», включающего ОС для серверов и рабочих станций, сетевую ОС и другие, работают над вариантом компактной встроенной операционной системы. Она будет применяться на промышленных логических контроллерах и исполнительных механизмах, встраиваемых в оборудование объектов ТЭК (SCADA-системы, системы коммерческого учета и т.п.), в источники бесперебойного питания и другие устройства. ОС «Альт» создаются на основе российского репозитория «Сизиф» в тесном сотрудничестве с международными проектами разработки свободного ПО, поэтому они развиваются в мейнстриме мирового прогресса отрасли ИТи в то же время технологически независимы. Операционная система гарантированно лишена программных и аппаратных «закладок», что обеспечивает безопасность персонала, критически важной инфраструктуры и потребителей.
Фактически, семейство «Альт» поддерживает весь стек технических устройств, используемых в энергетике: от серверов и рабочих станций в контуре ИСУП до датчиков и контроллеров в контуре SCADA. Управление стеком может осуществляться в рамках
В планах разработчиков ОС «Альт» — в кооперации с производителями аппаратного обеспечения формовать законченные программно-аппаратные комплексы для критической инфраструктуры объектов энергетики. Такие ПАКи могут применяться, например, в системах управления РЭС.
[i]CommonInformationModel (общая информационная модель, CIM) — открытый стандарт, определяющий представление управляемых элементов IT среды в виде совокупности объектов и их отношений, предназначенный обеспечить унифицированный способ управления такими объектами, вне зависимости от их поставщика или производителя.
