Cubic OS
Не настольная система с включённым режимом киоска, а собранная под показ: 800 МБ на всё, картинка через четыре секунды после включения, обновление с откатом. Ставится на мини-ПК x86-64 — от безвентиляторного устройства до машины на Core i7.
Экраны на улице, в холле и в зале работают на одной системе
Почему так вышло
Специальные системы давно пришли туда, где техника работает без человека: в автомобили, кассовые терминалы, банкоматы. Экраны эта волна обошла — поставщик digital signage почти всегда вынужден ставить на плеер настольную систему, потому что другой под рукой нет. Дальше он либо чинит её сам, либо оставляет это клиенту, и в обоих случаях за неё платят.
Windows и Android решают сами, когда обновиться, когда уйти в спящий режим и когда показать уведомление. На витрине это выглядит как чужое окно поверх акции, и видит его покупатель, а не администратор.
За обновлениями чужой системы следит либо клиент — своим временем и выездами, либо поставщик, который вместо редактора и плеера занимается чужой операционной системой. В смете этой строки обычно нет, но платят её всегда.
Самой распространённой системе нужен раздел от 32 ГБ и запас по памяти, поэтому под экран берут полноценный компьютер с вентилятором. Безвентиляторные мини-ПК, на которых держится интернет вещей, отрасли фактически недоступны.
Программа показа приходит от одного поставщика, обновления системы — от другого, и совпадают они не всегда. Отсюда знакомая история: после ночного обновления половина парка показывает пустой экран.
Что мы сделали
Cubic OS — лёгкая защищённая система для любой сети экранов на оборудовании x86-64. Она превращает проверенный мини-ПК в устройство, которое умеет только показывать, и ведёт её та же команда, что пишет плеер и Studio.
Вся система — 800 МБ. Столько нужно безвентиляторному мини-ПК начального уровня, чтобы стать устройством digital signage. Когда картинка тяжелеет — 8K, несколько панелей с одного устройства, светодиодная стена, — та же система без переделки работает на Core i3, i5 и i7.
Страницы показываются так же, как в браузере: обычный HTML5, без наборов разработки и закрытых компонентов, без отдельного дополнения под каждую задачу — свою страницу, панель показателей или виджет можно вывести как есть. Программный интерфейс устройства открыт прямо на нём, поэтому забрать состояние или переключить программу можно без чужого облака.
Установка
Плеер приходит с уже установленной системой: подключили HDMI и питание, устройство показало код, код ввели в Studio. Если систему ставят на объекте или на ваше оборудование, загрузочная флешка пишет образ на внутренний диск сама — на экране виден прогресс, вводить ничего не нужно.
В работе
Систему и программу показа делает и обновляет одна команда. Поэтому обновление безопасности не ломает воспроизведение, а версии системы и плеера не расходятся.
В одно обновление входит и сама система, и программа показа. Не бывает так, что система обновилась, а плеер под неё не собран: их проверяют вместе и устанавливают одним образом.
Это не приставка с урезанным декодером: 60 кадров держатся и на видео, и на анимации, и на веб-странице. Старшая модель выдаёт до 8K при 30 Гц, цвет — 12 бит на канал.
Декодирование H.264, HEVC и VP9 берёт на себя видеоядро, до 100 Мбит/с без пережатия исходника. Недорогое устройство показывает то, ради чего обычно берут машину вдвое дороже.
Сенсорная панель и киоск работают штатно: касание ведёт посетителя по программе, а выйти из показа нельзя — под ним ничего нет.
Экран для системы — канал показа, и системным сообщениям в нём места нет: ни ошибки, ни диалога обновления, ни курсора, ни строк загрузчика. Пока плеер поднимается, на панели фирменная заставка.
От включения до картинки проходит около четырёх секунд, свет вернулся — плеер поднялся сам. Программа и файлы лежат на устройстве, поэтому обрыв связи показ не останавливает.
Управление
Каждый плеер держит у себя техническую панель — обычную веб-страницу, которая открывается в браузере по адресу устройства внутри вашей сети. Ставить на ноутбук ничего не нужно, Studio и интернет для этого тоже не нужны: достаточно быть в одной сети с плеером и знать пароль администратора. Это рабочее место инженера — железо, сеть, экран, звук, обновление системы, журналы и питание, — а не витрина показа: контент и программу готовят в Studio.
Панель устройства
Панель собрана по порядку работ: сначала состояние, потом настройка, потом обслуживание. Ниже — то, ради чего в неё заходят чаще всего.
Загрузка процессора, память, температура, свободное место, время работы, версия системы и плеера, адрес в сети и разрешение — на одном экране и в реальном времени. Рядом снимок того, что сейчас на панели: он обновляется сам, поэтому проверить зал можно, не заходя в него.
Ethernet и Wi-Fi с поиском сетей, адрес по DHCP или вручную, DNS, прокси с проверкой связи. Новые настройки нужно подтвердить со страницы: если после переключения она не открылась, устройство примерно через минуту само вернёт прежние — связь с плеером не теряется.
Ориентация, разрешение и частота, свой режим для нестандартной панели, раскладка на несколько выходов. Применение идёт как проба с обратным отсчётом: не подтвердили — вернулась последняя рабочая картинка. Кнопка «Определить» подписывает панели крупными цифрами, чтобы связать схему на экране с железом в зале.
Выбор аудиовыхода и громкость. Оттуда же экран устройства раздаётся по сети в H.264 — посмотреть в VLC, открыть в браузере или отправить в RTMP. Удобно, когда экран висит на высоте или в другом здании.
RS-232 для внешнего оборудования — с настройкой порта, отправкой команд и просмотром ответов, — USB-кликер для презентаций и программный интерфейс управления показом со своим токеном. Каждую из этих возможностей можно выключить, если она на объекте не нужна.
Версия системы и ядра, канал обновлений, проверка обновлений вручную, установка во вторую копию системы с перезагрузкой. Если что-то пошло не так — журналы служб прямо на странице и диагностика одним файлом, который отправляют в поддержку.
Перезагрузка, выключение, перезапуск показа без перезагрузки и сброс к заводским настройкам. Выезд ради «попробуйте выключить и включить» отпадает.
Настройки выгружаются в файл и загружаются в новый плеер, пароли внутри файла закрыты парольной фразой. Замена вышедшего из строя устройства перестаёт быть настройкой с нуля, а второй плеер на подмену готовится заранее.
Пароль администратора задаётся при первой настройке и хранится только на устройстве; подбор ограничен — после нескольких неудачных попыток вход блокируется. Если в организации свой центр сертификации, в панель загружается ваш сертификат, и она открывается по имени устройства без предупреждения браузера.
Обновления
Неудачное обновление на устройстве в другом городе — это выезд инженера и чёрный экран до его приезда. Поэтому система обновляется не поверх себя, а во вторую копию, и умеет вернуться назад без человека.
На устройстве два раздела с системой. Новая версия пишется во второй, пока показ идёт с первого, и включается при перезагрузке. Перезагрузку можно назначить на ночь, чтобы зал этого не заметил.
Если после обновления система не поднялась или плеер не вышел на показ, устройство само загрузится с предыдущей копии и продолжит работать. Неудачная версия не выводит плеер из строя.
Обновление приходит подписанным, и устройство сверяет подпись перед тем, как записать образ. Пакет с чужой подписью плеер отвергает, поэтому подменить прошивку по сети не получится.
Плеер обращается к своему каналу обновлений и забирает ту версию, которая в нём опубликована. Так новая версия сначала уходит на несколько устройств, а на остальной парк — после того, как отработала неделю.
Безопасность
Экраны стоят в той же сети, что остальная техника объекта, поэтому вопросы к плееру задают такие же, как к рабочей станции. Ответы короткие.
UEFI Secure Boot: устройство запускает только подписанную нами систему. Подменить загрузчик или ядро, добравшись до накопителя, не получится — плеер такую систему просто не запустит.
Ключ хранится в микросхеме на плате и за пределы устройства не выходит, а разделы системы подписаны криптографически. Плеер сняли со стены и унесли — прочитать с него контент, настройки и доступы нельзя.
Пользовательской установки программ в системе нет: ни магазина приложений, ни браузера, в который можно что-то скачать. Вредоносному файлу на устройстве негде запуститься.
Удалённого входа с паролем в системе нет, постоянного канала наружу — тоже. Инженер поддержки попадает на плеер по ключу и только тогда, когда доступ открыли с вашей стороны и на время работ.
Файлы лежат на устройстве и приходят из вашей сети, наружу плеер ходит сам и только за тем, что ему разрешили. Открывать порты снаружи не требуется, а ролик с ценами и внутренние показатели не уезжают в чужое облако.
Систему пишет и поддерживает команда в России, она входит в реестр российского программного обеспечения. Вопрос по нестандартной задаче решается напрямую с теми, кто пишет код.
Такие требования приходят из банков, с транспорта и с режимных объектов — оттуда, где экран должен работать без присмотра, а служба безопасности считает плеер таким же узлом сети, как сервер.
Коротко
Список для тех, кто согласует оборудование: на чём система собрана, на каких устройствах работает, как обновляется и что открыто наружу.
Удалённого входа с паролем в системе нет, наружу устройство ничего не публикует: за программой и обновлением плеер ходит сам. После отключения питания он поднимается без человека и возвращается к той же программе.
Что это даёт
Специальная задача требует специальной системы. Пока экранами занимается система общего назначения, поставщик digital signage вместо своего продукта догоняет чужие обновления и закрывает чужие уязвимости. Cubic OS снимает этот слой работы целиком.
Вопросы
Созвонимся и покажем плеер вживую: как он поднимается после отключения питания, как выглядит портал устройства и как ставится обновление.