Чем переезд АСУ ТП отличается от переезда учетной системы
Автоматизированные системы управления технологическими процессами (АСУ ТП) входят в перечень типовых объектов КИИ для энергетики, добычи, металлургии, химии и транспорта, и требование доверенных ПАК к 2030 году касается их прямо. При этом три свойства делают их переезд особым.
Первое: физика. Учетную систему можно поднять рядом со старой и сверять, а линия, печь или насосная станция одна. Параллельная эксплуатация в привычном смысле невозможна, ее заменяет резерв: старая система остается подключенной и готовой к возврату.
Второе: оборудование. Российское ПО должно заработать с контроллерами, датчиками и приводами, которые ставились под иностранную систему. Именно здесь, по оценке рынка, самые слабые места: промышленные контроллеры, системы виртуализации, отдельные протоколы. Заключение об отсутствии аналога чаще всего оформляется именно на этот слой.
Третье: люди на смене. Отказ учетной системы дает очередь на складе, отказ системы управления дает аварийную ситуацию. Поэтому готовность персонала действовать при отказе это не обучающая программа при внедрении, а часть плана перехода, и ее проверяют до окна.
Оконный переезд по участкам
Рабочий порядок для линии из нескольких участков или для нескольких однотипных объектов:
- Стенд с реальным оборудованием. Новая система собирается на копии контроллеров и панелей участка, отрабатываются сценарии пуска, останова, аварийного останова. Стенд дороже, чем кажется, и дешевле любого отката на живой линии.
- Первый участок в плановую остановку. Выбирается участок с наименьшими последствиями простоя и наименьшим числом типов оборудования. Переезд ложится в уже запланированную остановку, а не создает новую. Старая система остается подключенной.
- Наблюдение полный цикл. Несколько смен, включая ночную и выходную, при штатной нагрузке. Фиксируются все отклонения, даже те, что «сами прошли».
- Разбор и следующий участок. Уроки первого участка входят в план второго. Если на первом участке потребовался откат, второй не назначается до устранения причины.
- Вся линия. Последним переезжает участок с самыми тяжелыми последствиями простоя, когда система доказала себя на остальных.
Календарь плановых остановок здесь важнее календаря регулятора: если остановок две в год, переезд линии из четырех участков занимает два года, и стартовать нужно сейчас, чтобы успеть к 2030-му. Как считать окна от крайней даты: календарь сроков.
Контроллеры и оборудование: где ломается
Опыт переездов на объектах добычи и металлургии показывает одни и те же места: протоколы обмена между новой системой и старыми контроллерами, точность времени и синхронизация, обработка аварийных сигналов, интерфейсы операторских панелей, которые персонал знал наизусть. Каждое из этих мест закрывается одной мерой: проверкой на стенде с реальным оборудованием до окна, а не «посмотрим на пуске».
Если для части контроллеров доверенного аналога нет, они остаются с заключением об отсутствии аналога и изолируются на сетевом уровне с компенсирующими мерами; план на их замену пишется на дату появления аналога. Такой участок остается в реестре рисков перехода как отдельная строка: реестр рисков перехода.
Порядок действий при отказе конкретной системы задает инструкция предприятия, ее пишут вместе с планом перехода. А привычка в первую минуту остановиться, сообщить и не пробовать «перезагрузить еще раз» ставится отдельно, и она одна для отказа АСУ ТП, пожара и аварии. Программа SAFE ставит именно ее персоналу площадки: два часа с телефона, сертификат каждому.
Программа SAFE: культура безопасности и первый час после происшествия →
Персонал смены: первый час после отказа
Отказ новой системы управления в первую смену после переезда это ожидаемое событие, а не чрезвычайное. Значит, у смены должна быть короткая инструкция, которую она знает до окна: как распознать отказ, кто и как останавливает или переводит на ручное управление, кому сообщают, кто принимает решение о возврате на старую систему, где лежат бумажные схемы и журналы.
Инструкция проверяется тренировкой со сменой до окна, а не после. Первые смены на новой системе на площадке дежурят и инженер внедрения, и представитель старой системы. Как провести такую тренировку за один день: учения перед переездом.
Это не только про технику. Человек, который видел учения и знает свой первый шаг, не будет пробовать «перезагрузить еще раз» вместо остановки. На промышленном объекте разница между этими двумя действиями измеряется не деньгами.
Частые вопросы
На срок, согласованный через уполномоченный орган и Правительственную комиссию, с обоснованием отсутствия аналога, изоляцией на сетевом уровне и компенсирующими мерами. Это отсрочка, а не освобождение: план перехода на дату появления аналога должен быть, и его будут проверять.
По одной на участок плюс одна резервная. Если остановок в году две, а участков четыре, переезд занимает два года. Сжать можно, объединив участки с одинаковым оборудованием, но не за счет наблюдения между ними.
Производство. ИТ отвечает за систему, а за действия людей при ее отказе отвечает руководитель производства, как и при любой аварии. Инструкция первого часа пишется вместе, проверяется на тренировке со сменой, утверждается производством.