«Мы одними из первых прошли этот путь»

Курс на независимость: как в атомной отрасли прошел масштабный переход на отечественную операционную систему

К концу 2024 года «Росатом» завершил один из крупнейших в стране проектов импортозамещения операционных систем: свыше 150 тыс. рабочих мест на более чем 300 предприятиях атомной отрасли перешли с Microsoft Windows на российскую операционную систему (ОС) Astra Linux. За три года команда «Гринатома», ИТ-интегратора госкорпорации «Росатом», прошла путь от пилота до промышленной эксплуатации ОС. Об этом — разговор с руководителем ИТ-блока «Гринатома» Заяной Ачиновой.

Заяна Ачинова

Руководитель ИТ-блока «Гринатома»

Выбор системы

— Расскажите, как «Росатом» выбирал операционную систему. Рассматривались ли другие российские дистрибутивы и какие требования стали решающими?

— Мы рассматривали все, что было рынке. Но большую часть решений отсекало одно ключевое требование — максимальная защищенность на всех уровнях. Это сертификация по требованиям государственного регулятора в сфере информационной безопасности, сертификация ядра операционной системы, поддержка российского оборудования. Очень много сложных параметров. Как только ты «примеряешь» одно требование, отсекается определенное количество кандидатов.

Помимо безопасности, для нас критичны надежность, совместимость с импортозамещенным оборудованием и программным обеспечением, отказоустойчивость и способность работать под высокой нагрузкой. А также поддержка — база знаний, документация, обучение, наличие компетентных специалистов на рынке. По совокупности этих критериев Astra Linux Special Edition подошла лучше всего.

— Взяли коробочную версию или дорабатывали под себя?

—Коробочную, и это принципиальное решение. Регуляторы каждый месяц выпускают новые требования к безопасности, в том числе со стороны Минцифры, Минпромторга. Мы не можем себе позволить постоянно дорабатывать ядро системы собственными силами: это слишком дорого и рискованно. Именно поэтому мы берем вендорскую (вендор — компания, производитель или поставщик, которая продает товары или услуги под собственной торговой маркой. — Примеч. ред.) «коробку» и сохраняем возможность обновляться на новые версии ядра вместе с вендором.

ONNX (Open Neural Network Exchange) — это открытая экосистема и формат с открытым исходным кодом, предназначенный для представления моделей машинного обучения, включая глубокое обучение и традиционное машинное обучение. Его основная цель — обеспечить совместимость между различными фреймворками, инструментами и платформами, позволяя разработчикам переносить модели между ними и выбирать оптимальные инструменты для конкретных задач. Стандарт определяет общий набор операторов и формат файлов, что позволяет разработчикам использовать модели на различных платформах и в средах исполнения и применять различные компиляторы.

Был и такой случай: при расчете себестоимости на крупном предприятии система стабильно падала на четвертом часу работы. Работали вместе эксперты от нескольких вендоров — разработчики операционной системы, специалисты по СУБД, по прикладному ПО — и долго не могли найти причину. В итоге оказалось, что обновление конфигурации одного из сопутствующих компонентов давало конфликт с другими. Вот так это и работает: каждое обновление — потенциально новая вселенная.

Но именно через такие случаи мы накопили колоссальный опыт. Я считаю, «Росатом» внес реальный вклад в развитие всей экосистемы: вендоры, работая с нами, сами дорабатывали свои продукты, корректировали рекомендации, улучшали совместимость.

— Как обстоят дела с тяжелым инженерным и отраслевым ПО, которое исторически писалось только под Windows? Я слышал, что с SAP долго не могли расстаться.

— Скажу честно: SAP в каком-то виде у нас еще есть. Часть старых отраслевых систем, написанных под Windows, еще работает — они, что называется, доживают свой срок: где-то два-три месяца, где-то полгода. Но это уходящая история.

Мы решали эту проблему несколькими путями. Где-то писали собственный код, чтобы закрыть конкретную потребность. Где-то вместе с вендором вырабатывали требования к доработке платформы — и вендор поставлял нам уже обновленную версию. Сейчас многие вендоры подтвердили совместимость с Astra Linux: 1С уже давно работает в полном стеке импортозамещения, «Нанософт» со своей САПР-платформой тоже подтвердил совместимость.

Замена привычного

— Что получает пользователь на рабочем месте вместо привычных программ Windows?

— Здесь важно понимать специфику «Росатома». У нас есть собственные отраслевые решения: мессенджеры, системы электронного документооборота, RP-платформы — они разрабатывались внутри отрасли и изначально заточены под нашу инфраструктуру. Для офисных задач используются отдельные решения — например, продукты линейки «Мой офис».

Что касается бесшовности взаимодействия — она обеспечивается на уровне самой архитектуры Astra Linux. Операционная система за последние годы серьезно изменилась по сравнению с более ранними версиями. Если возникают проблемы с совместимостью между, скажем, офисным пакетом и мессенджером — это, как правило, временная история, решается в течение получаса-часа после выхода патча. Массовых многодневных простоев я не припомню.

Бывает, правда, что вендоры выпускают обновления несинхронизированно между собой. Тогда приходится ждать патча один-два дня. Это неприятно, но не критично.

— Как обстоят дела с драйверами для специфического оборудования на предприятиях (сканеры, плоттеры, промышленное оборудование)? Стала ли эта проблема менее острой за последние два года?

— Эта проблема была «головной болью» на старте перехода, особенно с учетом специфики предприятий, где помимо офисных принтеров есть промышленное оборудование. Но за последние два года ситуация кардинально изменилась в лучшую сторону. Вендоры ОС и производители оборудования начали активно сотрудничать. У Astra Linux, например, есть официальная программа Hardware Ready For Astra Linux. Там регулярно обновляется реестр оборудования (от принтеров HP до промышленных контроллеров), которое уже протестировано и гарантированно работает. Это огромный шаг вперед.

Плюс драйверы из «коробки». В новых версиях Astra Linux значительно расширена встроенная база драйверов. Обновлено ядро, что позволило поддерживать современное железо без «танцев с бубном». Появились инструкции и «резервные» варианты. Даже если для редкого устройства нет родного драйвера, сейчас есть четкие рекомендации: использовать универсальные драйверы или драйвер Raw Queue. Это не дает полной функциональности, но базовую печать, как правило, запустить позволяет. Производители тоже подтянулись и уже выкладывают готовые инструкции и драйверы для Astra Linux.

Реакция пользователей

— Как сотрудники восприняли переход? Наверное, было трудно привыкнуть?

— Небольшое недовольство было, особенно в первые месяцы, прежде всего у сотрудников «Росэнергоатома», которые были в пилотном проекте. Это ожидалось, ведь так уж устроен человеческий мозг: он не готов отказываться от привычного.

Мы прошли все стадии: сомнение, неприятие, отторжение и в итоге принятие. Я считаю, что принятие во многом произошло благодаря объяснениям наших руководителей. Руководство, включая главу «Росатома» Алексея Евгеньевича Лихачева и директора по информационным и цифровым технологиям госкорпорации Евгения Михайловича Абакумова, последовательно объясняло: мы делаем это не потому, что нам захотелось поменять кнопку «Пуск», это задача технологического суверенитета страны. Когда люди это поняли, началось принятие. А потом пришло и осознание, что на самом деле разница невелика. Это дело привычки.

Я сама начала работать в Astra Linux до того, как подписала приказ о переводе своего подразделения на эту ОС. Специально, чтобы понимать, с чем столкнутся коллеги. Ругалась ли я? Да, было. Но я айтишник и понимаю, зачем это нужно. У обычного пользователя, который просто привык к своему рабочему инструменту, реакция была острее. Это нормально.

Безопасность в приоритете

— Какие возможности Astra Linux по защите информации наиболее важны для «Росатома»?

— Ключевое — это сертифицированная операционная система. Сертификация сама по себе — огромная работа: документы, средства защиты информации, встроенные механизмы безопасности, каждый из которых тоже должен быть сертифицирован отдельно. Это может стоить дороже, чем разработка самого программного обеспечения.

Технически для нас особенно важна контейнеризация. Если говорить простым языком, это возможность изолированно запускать несколько приложений или сервисов внутри одной операционной системы так, чтобы они не мешали друг другу и не могли получить несанкционированный доступ к данным соседних процессов. Чтобы реализовать это в Astra Linux, вендору в свое время пришлось переписать ядро системы. Это была большая работа, но именно она позволяет нам выдерживать высокую нагрузку без потери безопасности.

— Насколько реальна угроза взлома, особенно с учетом развития ИИ-инструментов для поиска уязвимостей?

— Каждую ночь инфраструктуру нашей отрасли кто-то пытается взломать. Сканирование, зондирование — это ежесуточная реальность. Гипотетически взлом возможен, но с учетом закрытого контура и выстроенной архитектуры это крайне сложная задача.

Я замечаю, что отношения между ИТ-службами и службами информационной безопасности меняются. Раньше айтишники воспринимали новые требования служб ИБ как помеху: «Ну опять эти требования, когда они успокоятся?» После того что произошло с рядом крупных российских компаний в прошлом году (например, взлом систем «Аэрофлота». — Примеч. ред.), мы стали союзниками. Регуляторы ежемесячно выпускают обновления требований — и вендоры их выполняют, встраивая патчи в релизы. Это и есть система.

Живые знания

— Чему «Гринатом» научился за эти три года? И какой опыт оказался самым ценным?

— Главное: мы накопили колоссальную внутреннюю базу знаний. Наши специалисты теперь точно знают: при такой-то конфигурации оборудования, таком-то количестве одновременных пользователей, таких-то интеграционных потоках — нужны вот эти настройки. Это живые знания, добытые через реальные проекты. Второе: мы не просто отдали проект подрядчику. Мы обучали своих специалистов параллельно с внедрением, накапливали компетенции внутри. Сейчас часть работ по адаптации специфического ПО мы делаем самостоятельно.

Мы же одними из первых прошли этот путь в стране. До сих пор к нам приходят на референс-визиты крупные компании, которые только начинают импортозамещение. Мы с удовольствием делимся опытом — и хорошим, и тем, что давался с трудом.

— Что дальше? Каковы планы на ближайшее время?

— Фокус на повышении эффективности и производительности. Несколько конкретных направлений. Подробнее остановлюсь на одном: нам предстоит решить задачу стандарта образа рабочего места.

Сейчас ситуация следующая. Есть офисные стационарные компьютеры, подключенные к корпоративной сети передачи данных. А еще с 2020 года в атомной отрасли действует система «КУРС» — корпоративный удаленный рабочий стол. Она обеспечивает доступ к корпоративным системам с ноутбуков из любой точки России. Вне КУРС на этих ноутбуках тоже установлено корпоративное программное обеспечение.

Нюанс заключается в том, что за наполнение и обновление трех рабочих столов (офис, КУРС и вне КУРС) отвечают разные подразделения, поэтому вид и наполнение рабочего окружения немного отличаются. Наша цель — стандартизировать как внешний вид, так и состав преднастроенного для пользователя программного обеспечения. Получив единый, воспроизводимый и управляемый рабочий стол пользователя, мы сможем централизованно управлять всей экосистемой рабочих мест «Росатома».

Все это в итоге должно привести к тому, что рабочее место на Astra Linux станет для пользователя не чем-то, к чему пришлось привыкнуть, а комфортной, современной средой. К этому и идем.