Kiedy „działa, to nie ruszaj” przestaje być strategią, a zaczyna być ryzykiem?

Wiele zakładów produkcyjnych wykorzystuje sterowniki PLC wdrożone 10, 15, a nawet 20 lat temu. Póki system działa, większość z nas o migracji myśli, ale jej nie wykonuje. Jesteśmy świadomi, że używane przez nas systemy mają już swoje lata. Dopóki jednak działają, technologia produkcji się nie zmienia, producent zapewnia wsparcie, a części zamienne są dostępne (u producenta lub na rynku wtórnym), decyzja o migracji jest przez wielu decydentów odsuwana w czasie. Jak bowiem uzasadnić inwestycję dodatkowych środków i czasu w wymianę systemów, które de facto będą robiły dokładnie to samo co teraz?

Problem pojawia się jednak wtedy, gdy coś pójdzie nie tak. Może to być niespodziewana awaria i brak potrzebnej części, brak kompetencji wśród młodych inżynierów, nieznających starych systemów (a doświadczona kadra już na emeryturze) albo zmiana przepisów w zakresie bezpieczeństwa i wynikający z niej audyt cyberbezpieczeństwa. Okazuje się wtedy, że brak wcześniejszej decyzji o migracji może kosztować wielokrotnie więcej, niż sama wymiana sprzętu. Dlatego coraz więcej firm traktuje migrację systemu sterowania jako inwestycję w ciągłość produkcji, bezpieczeństwo i zgodność z przepisami, a nie wyłącznie jako koszt. Prędzej czy później system trzeba będzie wymienić, a znacznie lepiej podjąć tę decyzję świadomie i z odpowiednim wyprzedzeniem niż pod przymusem awarii czy audytu.

Skala cyberataków na przemysł rośnie w bardzo szybkim tempie – w latach 2023-2024 odnotowano około 1400 incydentów klasyfikowanych jako cyberatak wyłącznie w infrastrukturze krytycznej. Jednocześnie dyrektywa NIS2 i wdrażana za nią ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC) wprowadziły bezpośrednią odpowiedzialność zarządu za bezpieczeństwo systemów OT. Migracja w takich obiektach oznacza więc nie tylko modernizację techniczną, ale zbudowanie fundamentów zgodności regulacyjnej. Poza infrastrukturą krytyczną migracją coraz częściej interesują się również pozostałe branże – tu wystarczającym motywatorem bywa sama groźba utraty przychodów i wizerunku w oczach klientów.

Co się dzieje z systemem, który traci wsparcie producenta?

To pytanie dobrze znają użytkownicy, którzy mają takie systemy pod opieką. Polityka wsparcia dla produktów u dużych dostawców, takich jak Emerson, jest bardzo często opisana w dokumentach typu Life Cycle Bulletin. Samo wycofanie produktu z oferty powinno uruchomić u użytkownika proces planowania wymiany urządzenia na nowszy model. Co dzieje się w praktyce? Przede wszystkim – brak części zamiennych, szczególnie dotkliwy w momencie, gdy system się zatrzyma, a przedsiębiorstwo nie dysponuje zapasami umożliwiającymi szybkie wznowienie produkcji. Ratunkiem bywa zakup na rynku wtórnym, jednak nigdy nie ma gwarancji co do stanu technicznego kupowanego modułu, a jego cena może być bardzo wysoka. W takich przypadkach koszty przestoju wielokrotnie przewyższają wartość samego komponentu.

Drugi, równie poważny problem to brak bieżących aktualizacji systemu. Producenci bardzo często przestają wydawać poprawki i nowe wersje firmware dla wycofanych urządzeń, co oznacza, że lista znanych podatności stale się wydłuża i stanowi coraz poważniejsze ryzyko. Świadomość tego, jakie luki mają konkretne urządzenia, jest niestety skrzętnie wykorzystywana przez atakujących. Szczególnie w przypadku infrastruktury krytycznej konsekwencje takich ataków mogą być katastrofalne.

Kolejnym istotnym ograniczeniem jest niemożność spełnienia aktualnych norm i standardów bezpieczeństwa. Dyrektywa NIS2, wchodząca niebawem w życie regulacja CRA (Cyber Resilience Act) czy norma IEC 62443 wymagają mechanizmów ochronnych, które muszą być wbudowane bezpośrednio w urządzenia. W starych urządzeniach takich mechanizmów po prostu nie ma i nie można ich doimplementować. Ostatnim elementem jest ograniczona możliwość rozbudowy tych systemów. Ich integracja z nowoczesnymi rozwiązaniami staje się coraz bardziej problematyczna choćby z uwagi na brak obsługi współczesnych protokołów komunikacyjnych, bez których trudno mówić o cyfryzacji czy budowie spójnej architektury OT/IT.

Co zrobić z systemami Emerson serii VersaMax i 90–30?

W polskim przemyśle pracują setki instalacji opartych na sterownikach VersaMax i serii 90–30. Są to systemy, które przez lata sprawdzały się w zakładach produkcyjnych, energetyce, gospodarce wodnej, branży górniczej, hutniczej – i które nadal działają, często bez większych problemów. Jednak oba produkty już są (90–30) lub niedługo przejdą (VersaMax) w stan Discontinued. Ich naturalnymi następcami są odpowiednio PACSystems RSTi–EP (jako następca serii VersaMax) oraz PACSystems RX3i (jako następca serii 90–30). Nie są to produkty konkurencyjne – to kolejna generacja tych samych platform, zaprojektowana z myślą o użytkownikach, którzy przez lata budowali swoje systemy automatyki na rozwiązaniach GE Fanuc / GE Intelligent Platforms, a dziś Emerson.

Jedną z największych obaw towarzyszących decyzji o migracji jest ryzyko wejścia w zupełnie nowy, nieznany ekosystem – nowy producent, nowe oprogramowanie, nowa filozofia programowania, konieczność przekwalifikowania całego zespołu. W przypadku przejścia na PACSystems RSTi–EP czy na RX3i obawy te są w znacznej mierze nieuzasadnione. Obie migracje odbywają się w ramach tego samego ekosystemu, co oznacza spójność platformy i narzędzi inżynierskich oraz dokładnie taki sam model wsparcia technicznego. Dla decydentów i inżynierów to argument za tym, że migracja nie jest rewolucją, lecz ewolucją pracujących systemów.

Co zyskujemy technicznie dzięki migracji?

Przejście na nowe platformy to nie tylko wymiana starego sprzętu na nowy — to znacząca zmiana możliwości systemu sterowania, w zakresie architektury pracy, funkcjonalności, bezpieczeństwa i możliwości programistycznych. Zarówno PACSystems RSTi–EP, jak i RX3i oferują znacznie wyższą wydajność obliczeniową procesora oraz znacznie większe zasoby pozwalające na realizację złożonych algorytmów regulacji i obsługę nowoczesnych protokołów komunikacyjnych, takich jak PROFINET, czy OPC–UA. Warto też podkreślić kwestię bezpieczeństwa – nowe platformy posiadają wbudowane mechanizmy ochrony wymagane przez NIS2, CRA i normę IEC 62443, których w starych sterownikach po prostu nie można było już zaimplementować: wbudowany Firewall, integracja modułów TPM2.0, zintegrowany mechanizm Secure Boot czy rozbudowany mechanizm Enhanced Security, odpowiedzialny za wzrost bezpieczeństwa na poziomie aplikacyjnym. Uzupełnieniem jest możliwość pracy w architekturze wysokiej dostępności, gwarantująca wysoki poziom dostępności w przypadku ewentualnych awarii. Ma to olbrzymie znaczenie w systemach automatyki, które znajdują swoje zastosowanie w aplikacjach krytycznych. To tylko niektóre z zalet przejścia na platformę PACSystems. Główną zaletą migracji jest również spokój, jaki zyskują klienci, którzy zdecydowali się na przejście na nowoczesne platformy automatyzacji.

Kompatybilność kodu i narzędzi programistycznych  — co można przenieść?

To pytanie, które często pada jako jedno z pierwszych w rozmowie z każdym inżynierem automatykiem: czy muszę pisać program od zera? Odpowiedz jest prosta: nie. Środowisko PAC Machine Edition zapewnia wysoki poziom kompatybilności z projektami tworzonymi zarówno w aktualnych wersjach oprogramowania, jak i  poprzednich narzędziach: Proficy Machine Edition, VersaPro, czy nawet LM90. Znaczna część kodu, struktur, bloków funkcyjnych i  konfiguracja zmiennych może zostać przeniesiona bezpośrednio lub z minimalnymi modyfikacjami do nowej platformy. Również elementy, w przypadku których spodziewamy się, że będą wymagały znaczących modyfikacji (jak konfiguracja sprzętowa, mapowanie modułów I/O oraz obsługa protokołów komunikacyjnych), w przypadku migracji z 90–30 do PACSystems RX3i zostaną w większości przeniesione automatycznie przez środowisko narzędziowe. Nad migracją z VersaMax do PACSystems RSTi–EP trzeba będzie popracować nieco więcej, ale proces ten nie jest skomplikowany i osobie z doświadczeniem w PAC Machine Edition nie sprawi większych problemów.

Jak wygląda proces migracji krok po kroku?

Migracja systemu sterowania, jeśli jest odpowiednio zaplanowana, przebiega przewidywalnie i bez zakłócenia ciągłości produkcji. Standardowo składa się z kilku kluczowych, następujących po sobie etapów. W pierwszej kolejności konieczne jest zinwentaryzowanie istniejącego systemu, w szczególności zebranie dokumentacji, spisanie wszystkich modułów sterownika, połączeń komunikacyjnych oraz wersji oprogramowania, a także zebranie kodów i backupów aplikacji. To także etap, w którym mapujemy wszystkie połączenia naszego sterownika z wszelkimi innymi systemami i urządzeniami. To daje nam podstawy, aby wiedzieć, z czym się mierzymy – i pozwala oszacować czas i niezbędne zasoby.

Drugi konieczny etap to ocena ryzyka, określenie okna serwisowego, przygotowanie planu awaryjnego oraz decyzja o tym, czy migracja odbędzie się jednorazowo, czy etapami. Analiza ryzyka ma na celu uświadomić nam, które z elementów migracji mają kluczowe znaczenie dla procesu i pozwolić zastanowić się nad możliwymi scenariuszami. Następnie przychodzi czas na konwersję kodu i konfiguracji w środowisku PAC Machine Edition oraz testy. Sama konwersja kodu nie jest najmniejszym problemem – wbudowane w PAC Machine Edition mechanizmy automatycznie walidują kod pod kątem zmieniającej się rodziny urządzenia docelowego i zawracają w postaci raportu konkretne miejsca, które wymagają interwencji inżyniera odpowiedzialnego za kod.

Kolejny krok to testy – zdecydowaną większość  z nich można wykonywać, zanim zainstalujemy nowy sprzęt na obiekcie. Reszta procedur, których „na biurku” się wykonać nie da, musi być już testem obiektowym. Ostatnim etapem jest uruchomienie, najlepiej ze wsparciem  doświadczonego integratora lub inżyniera wsparcia technicznego od dystrybutora sprzętu, który zna specyfikę obu platform. Taka struktura migracji daje dużą kontrolę nad przebiegiem procesu i minimalizuje ryzyka.

Migracja etapowa czy jednorazowa wymiana?

Nie każdy zakład może pozwolić sobie na zatrzymanie produkcji na kilka dni. W takich przypadkach migracja etapowa jest nie tylko możliwa, ale często rekomendowana. Polega ona na stopniowej wymianie komponentów i modułów przy zachowaniu ciągłości pracy pozostałej części systemu. Nowe platformy PACSystems zostały zaprojektowane z myślą o takiej właśnie elastyczności: PACSystems RX3i i RSTi–EP mogą współpracować ze starszymi modułami VersaMax i 90–30 w środowiskach mieszanych, co znacznie ułatwia płynne przejście do nowego systemu. Migracja rozłożona w czasie pozwala też rozłożyć koszty inwestycji na kilka budżetów rocznych, co dla wielu firm jest dodatkowym argumentem przemawiającym za takim podejściem.

TCO i zwrot z inwestycji

Rozmowa o migracji to w gruncie rzeczy rozmowa o pieniądzach i dobrze, żeby tę rozmowę prowadzić w oparciu o konkretne liczby. Koszt nieplanowanego przestoju spowodowanego awarią starego sterownika to nie tylko wartość utraconej produkcji, ale też koszty ekspresowej naprawy, zakupu modułu na rynku wtórnym (często po zawyżonej cenie), nadgodzin dla zespołu utrzymania ruchu i potencjalnych kar umownych wobec odbiorców. Do tego dochodzi rosnące ryzyko regulacyjne w postaci braku zgodności z NIS2 lub CRA, które może skutkować wysokimi sankcjami finansowymi i bezpośrednią odpowiedzialnością zarządu. Planowana migracja pozwala z góry określić jej koszt, rozłożyć go w czasie i potraktować jako inwestycję z policzalnym zwrotem w postaci ograniczenia ryzyka operacyjnego, niższych kosztów utrzymania i gotowości na przyszłe wymagania regulacyjne.

Kiedy najlepiej zacząć?

Najlepsza odpowiedź brzmi: zanim zajdzie taka konieczność. Pierwszym krokiem nie musi być od razu decyzja o wymianie sprzętu – wystarczy przeprowadzenie audytu istniejącego systemu sterowania. Taki audyt pozwala ocenić stan techniczny urządzeń, zidentyfikować komponenty zbliżające się do końca cyklu życia, oszacować ryzyko i zaplanować harmonogram kolejnych działań. Zarówno ASTOR, jak i Emerson oferują programy wsparcia migracyjnego, a doświadczeni integratorzy systemów są w stanie przeprowadzić taki audyt i przygotować konkretną mapę i plan migracji bez zobowiązania do natychmiastowej inwestycji. Migracja to projekt, który można zaplanować spokojnie, dlatego warto zacząć tę rozmowę dziś, żeby nie musieć jej prowadzić jej w trybie awaryjnym jutro. Bo strategia „działa, to nie ruszaj” to najdroższa strategia w przemyśle w obecnych czasach.