Миграция с Rockwell на IntraSCADA: 15000 тегов, завод без остановки и MES-функционал за 9 месяцев
Тридцать минут простоя — и завод теряет миллионы. Для непрерывного производства остановка недопустима. А когда западный вендор SCADA уходит, риски взлетают до небес: нет обновлений, нет поддержки, растет уязвимость критической инфраструктуры.
В начале 2025 года именно в такой ситуации оказалось ООО «ААТЗ». Старая Rockwell Automation больше не отвечала требованиям безопасности, а уход поставщика сделал ее эксплуатацию откровенно опасной. Прямая связь корпсети с техсегментом, отсутствие демилитаризированной зоны, риск несанкционированного доступа к критической информационной инфраструктуре — аудит информационной безопасности выдал неутешительную картину. И такая картина знакома многим российским заводам.
На поиск решения вышел «Красцветмет. ИТ» — разработчик решений на базе MES, APS, Digital twin, Computer vision и АСУ ТП для непрерывных производств химии, металлургии и нефтегаза. Задача — мигрировать 15 000 тегов с Rockwell на российскую IntraSCADA и сделать это без остановки завода. Срок — 9 месяцев.
В этом материале эксперты «Красцветмет. ИТ» рассказывают о том, как восстанавливали схемы из фрагментов информации, переносили функционал и запустили новую SCADA, пока завод работал 24×7.
Исходная ситуация: когда «работает» — еще не значит «безопасно»
Объект автоматизации — весь завод: от цеховых контроллеров, управляющих производственными линиями, до сводной аналитики для топ-менеджмента. На момент нашего прихода система обслуживала порядка 15 000 технологических сигналов (тегов) и включала несколько десятков мнемосхем. Все работало — по крайней мере, так казалось.
Инициация проекта была вызвана одновременным срабатыванием четырех факторов, каждый из которых по отдельности уже требовал вмешательства, а вместе они не оставляли пространства для маневра: уход западного вендора, аудит информационной безопасности, жесткая архитектура старой SCADA, отсутствие гибкой аналитики.
Выбор платформы: почему IntraSCADA
Замена SCADA на предприятии такого масштаба — решение на десятилетие, ошибка в выборе платформы заложит ограничения на годы вперед, поэтому мы сформулировали жесткие критерии к новой системе: технологический суверенитет (российская разработка из реестра ПО, без зарубежных компонентов), веб-архитектура (доступ через браузер без установки), неограниченная масштабируемость (без лицензионных ограничений по тегам, устройствам и пользователям), кросс-платформенность (сервер на Linux), поддержка современных протоколов (OPC UA, MQTT, Modbus, SNMP и др.), встроенная информационная безопасность (ролевая модель, шифрование, журналирование), открытая архитектура (самостоятельное развитие и сопровождение без подрядчика).
Проанализировав рынок российских SCADA-систем, мы остановились на платформе IntraSCADA (ООО «ИНТРА»). Это новое поколение программного обеспечения, в котором проверенные возможности HMI/SCADA сочетаются с новыми расширенными функциями, а сама система разработана на основе современных веб-технологий.
Архитектурное решение: три контура безопасности
Учитывая результаты аудита ИБ и современные требования к защите КИИ, мы спроектировали трехконтурную структуру сети.
Контур 1. Корпоративный сегмент. Пользователи системы: технологи, начальники цехов, руководство предприятия. Здесь же расположены бизнес-системы (ERP, документооборот). Контур 2. Демилитаризованная зона (ДМЗ). Промежуточный, изолированный сегмент, в котором развернуты серверы IntraSCADA и сопутствующие технологические сервисы. ДМЗ выполняет роль буфера: никто из корпоративной сети не может напрямую обратиться к контроллерам — все запросы проходят только через серверы SCADA в ДМЗ. Контур 3. Технологический сегмент. Контроллеры, устройства ввода/вывода, полевое оборудование. Самый критичный сегмент с точки зрения непрерывности производства — прямой доступ сюда закрыт для любых внешних систем.
Для физической реализации разделения был закуплен и сконфигурирован новый выделенный сервер с межсетевым экраном (МСЭ). Межсетевой экран настроен по принципу «белых списков»: разрешены только строго определенные типы трафика между сегментами, всё остальное блокируется. Реализована глубокая инспекция промышленных протоколов — МСЭ анализирует не просто заголовки пакетов, но и содержимое, отсеивая попытки маскировки атак под легитимный трафик.
Серверы IntraSCADA, развернутые в ДМЗ, собирают данные из технологического сегмента по разрешенным каналам (OPC UA с шифрованием) и публикуют веб-интерфейс в корпоративную сеть.
Таким образом, пользователь взаимодействует только с веб-сервером SCADA, но никогда — напрямую с контроллером.
Проверка подтвердила устранение ранее выявленной критической уязвимости. Трехконтурная архитектура обеспечивает отсутствие прямого сетевого взаимодействия между корпоративным и технологическим сегментами; шифрование трафика между серверами SCADA и контроллерами (OPC UA с SSL/TLS); ролевую модель доступа, в которой оператор видит только свои экраны, технолог — свои, а руководство — дашборд без возможности управления.
Разработка: от мнемосхем до MES -функционала
После утверждения архитектуры начался этап, который занял большую часть проекта, — разработка программного обеспечения на платформе IntraSCADA. Первое, с чем сталкивается оператор и технолог, — мнемосхемы. Нам предстояло разработать более 50 экранов, охватывающих все ключевые производственные узлы завода. Каждая мнемосхема включает:
детализированное визуальное отображение технологического процесса (агрегаты, трубопроводы, емкости, клапаны, насосы и т. д.); динамические элементы, меняющие цвет/состояние в зависимости от текущих значений параметров (уровни, температуры, давления, состояния агрегатов); аварийную индикацию с цветовой кодировкой и всплывающими подсказками; навигационные переходы на подчиненные схемы и связанные тренды.
Благодаря объектно-ориентированному подходу IntraSCADA типовые элементы (например, «насос с частотным регулированием» или «задвижка с концевыми датчиками») были созданы единожды в виде шаблонов и затем переиспользованы на всех схемах. Это не только ускорило разработку, но и кардинально упростило дальнейшее сопровождение: чтобы изменить поведение всех однотипных элементов на всех экранах, достаточно отредактировать один шаблон — система сама распространит изменение.
Интерфейс адаптирован под разные разрешения — от больших мониторов операторов на постах управления до планшетов, с которых руководители просматривают схемы во время обхода цехов.
Бонусом для заказчика было создание верхнеуровневого информационного пульта для топ-менеджмента. Задача — чтобы руководитель, открыв один экран, за 30 секунд мог оценить состояние всего производства.
Дашборд отображает в реальном времени общую производительность завода (факт/план); удельные расходы сырья и энергии; состояние критичных агрегатов (зеленый/желтый/красный); сводку по аварийным событиям за последние 24 часа; всплывающую легенду с информацией о параметре при наведении курсора; ключевые тренды с возможностью быстрого перехода к детализации.
Самонаборные графики: фича, которую полюбили технологи
Если дашборд — инструмент для «верхов», то самонаборные графики стали главным хитом среди технологического персонала и лаборатории.
Идея в следующем: любой пользователь системы может самостоятельно, без участия программиста или администратора, создать график с произвольным набором параметров. Выбираешь нужные теги из списка доступных (система показывает только те, к которым у пользователя есть права доступа), задаешь временной интервал — и график готов.
Помимо самонаборных графиков, мы разработали набор преднастроенных трендов, закрывающих типовые сценарии анализа. Эти графики настроены таким образом, что при необходимости любой из них может быть скопирован пользователем и модифицирован под свои нужды — опять же, без программирования.
Уникальные формы отчетности: объединение данных из разных систем
Одним из наиболее сложных, но и наиболее ценных результатов стала разработка сводных отчетов, объединяющих информацию из нескольких источников: данные реального времени и архивы IntraSCADA; данные из LIMS; данные узлов учета потребления ресурсов. Теперь отчет формируется автоматически по расписанию или по запросу и может рассылаться на email заинтересованным лицам. Это позволило предприятию оперативно получать технико-экономический анализ производства — то есть сопоставлять физические параметры процесса (расход сырья, энергопотребление, время работы оборудования) с экономическими показателями (себестоимость, выработка на единицу сырья).
Обучение и передача системы заказчику
Отдельным принципиальным требованием к проекту была полная независимость заказчика от подрядчика после завершения работ. Мы реализовали это по двум направлениям: обучение персонала и передача открытой архитектуры.
Были разработаны и проведены две параллельные программы обучения для разных групп сотрудников.
Программа 1 — для технологического персонала (операторы, технологи, начальники цехов): работа с мнемосхемами, навигация между экранами; построение самонаборных графиков под свои задачи; анализ архивных данных; использование дашборда; работа с отчетами (формирование, просмотр, экспорт).
Программа 2 — для сервисного персонала (инженеры АСУ ТП): установка и конфигурирование серверной части IntraSCADA; подключение новых устройств и контроллеров; разработка и редактирование мнемосхем (включая создание новых экранов); настройка опросов, архивов, триггеров событий; резервное копирование и восстановление системы; администрирование пользователей и прав доступа.
Ключевой принцип, которому мы следовали, — заказчик получает не черный ящик, а полностью открытую, сопровождаемую своими силами систему. Это означает, что все разработки (мнемосхемы, скрипты, конфигурации, шаблоны отчетов) передаются в исходном виде — инженеры заказчика самостоятельно расширяют систему без ограничений по тегам, устройствам и клиентам. Открытый код IntraSCADA на GitHub обеспечивает прозрачность и возможность независимого аудита.
Результаты: что получил заказчик
Отказ от Rockwell Automation. Переход на IntraSCADA — российскую платформу. Риски отключения, блокировки, отказа в обслуживании со стороны западного вендора устранены полностью. Построение трехконтурного защищенного периметра с демилитаризованной зоной (ДМЗ), межсетевым экраном и инспекцией промышленных протоколов. Веб-архитектура IntraSCADA на базе клиент-серверной модели обеспечивает доступ неограниченного количества пользователей через стандартный браузер. Нет привязки к конкретным АРМ — работать можно из любой точки корпоративной сети. Количество тегов, устройств и клиентов не ограничено лицензиями — система готова к подключению новых производственных участков без дополнительных затрат на лицензирование. Время на подготовку технико-экономических отчетов сокращено. Дашборд руководства позволяет оценить состояние завода за 30 секунд. Самонаборные графики закрывают потребность в программировании для типовых задач анализа. Обученный технологический и сервисный персонал способен самостоятельно эксплуатировать и развивать систему. Открытая архитектура и переданные исходные конфигурации делают внесение изменений и расширение системы задачей самой команды АСУ ТП предприятия. Сроки: 9 месяцев от старта до передачи в промышленную эксплуатацию. Для объекта с 15 000 тегов, требующего полной замены SCADA-системы с параллельной переработкой архитектуры сетевой безопасности, это отличный результат.
Итоги
Проект стал для нас своего рода верификацией гипотезы: можно ли в сжатые сроки перевести крупное промышленное предприятие (15 000 тегов, полный производственный цикл, высокие требования к непрерывности) с западной SCADA на российскую платформу, попутно решив вопросы информационной безопасности и заложив фундамент для дальнейшего развития?
Ответ: да, можно. За 9 месяцев.
Более того, отработанная на этом проекте методология тиражируема. Трехконтурная архитектура безопасности, веб-доступ, неограниченное масштабирование, объектно-ориентированная разработка, параллельное обучение, передача открытой системы — все эти компоненты не привязаны к конкретному заказчику или отрасли. Они применимы в химии, металлургии, энергетике, пищевой промышленности — везде, где требуется надежная, безопасная и масштабируемая SCADA-система.