Константин Трушкин: «Эльбрус» не умирает, мы его бережем для важных задач»

Константин Трушкин: Спасибо, Илья. Действительно, сейчас ситуация, касающаяся и микроэлектроники, и вообще вычислительной техники в России, непростая, и есть развилки, их несколько, и они очень принципиальные. Наверное, правильнее всего выбрать одно ключевое слово, некую ключевую развилку под названием «технологический суверенитет». Это слово не так давно возникло в нашем лексиконе. Я бы сказал, что, наверное, в прошлом году впервые в официальных документах оно появилось, это распоряжение правительства № 1315 от 20 мая 2023 года, и это понятие отражает очень важный смысл в себе. Это означает, что мы хотим достичь состояния, когда мы можем абсолютно свободно и долгосрочно, так, как мы хотим, развивать нашу вычислительную технику и микроэлектронику. Можно сказать, что мы как компания занимались технологическим суверенитетом всегда. Наша предыстория — это работа специалистов в Институте имени Лебедева, Институт точной механики и вычислительной техники, это коллеги Всеволода Сергеевича Бурцева, которые делали суперЭВМ, мы сейчас это называем мейнфреймом, тогда это называлось многопроцессорный вычислительный комплекс «Эльбрус-1», «Эльбрус-2». «Эльбрус-2» был сдан в 1985 году, и дальше был еще МВК «Эльбрус-3», который разрабатывал главный конструктор Борис Бабаян. Его работа пришлась на очень тяжелое время — это время развала Советского Союза, Перестройка, и эта разработка, хотя она была революционной для того времени и должна была достичь уровня 1 млрд операций в секунду, к сожалению, не дошла до конца, и в 1994 году наполовину собранный образец был разобран, и работа была завершена. У нас осталось, в нашем музее, несколько плат оттуда, есть материальное свидетельство, но, к сожалению, больше ничего. А «Эльбрус-2» оказался долгожителем, до недавнего времени небо над Москвой охранял именно МВК «Эльбрус-2». Я хочу сказать несколько слов про это чудо инженерной техники. Советский Союз, особенно в последние годы, не был в первых строчках производителей именно микроэлектроники, то есть умели производить микроэлектронику, но это было уже на закате Советского Союза, падала надежность, технологичность, и поэтому собирать этот компьютер приходилось из компонентов с низкой надежностью по сравнению с западными аналогами. И разработчики, инженеры, которые разрабатывали МВК «Эльбрус-2», смогли добиться следующего удивительного эффекта: несмотря на то, что среднее время наработки на отказ этого компьютера составляло несколько суток, ну то есть, формально говоря, по статистике, каждые несколько суток какой-то блок выходил из строя, но операционная система и сама архитектура машины были сделаны так, что его работа не прерывалась, и максимальная задержка времени, на которое «засыпала» задача, составляла всего лишь 0,1 секунды. То есть через 0,1 секунды работа продолжалась с той контрольной точки, которая была сохранена, и все это работало в реальном времени, это была совершенно фантастическая машина. У нее было еще одно интересное свойство, в нее была внедрена на тот момент достаточно редкая технология, сейчас мы ее называем технология безопасных вычислений, тогда это просто называлось «теговая защита», но суть ее такая: машина сама контролировала, насколько вы соблюдаете логические правила программирования. Когда вы программируете, вы всегда как-то распределяете память для программы в общем адресном пространстве приложения, и очень частая ошибка, когда вы, распределив память, например, выделив 10 байт под слово какое-то, вы в это место запишете в каком-то месте программы больше, не 10 байт, а, скажем, 20 символов. Что при этом происходит? Вы разрушаете объекты, которые расположены рядом с этим местом в памяти компьютера. И обычный компьютер, как и сегодня Х86, ARM, они этого не замечают, то есть процессор это просто пропускает, он не знает про логику программы, и это приводит к тому, что либо сразу, либо потом возникает отложенная ошибка, то есть программа в какой-то момент падает или ведет себя неправильно просто потому, что ее внутренняя структура нарушена. И вот МВК «Эльбрус-2» и «Эльбрус-1» имели технологию, которая это ловила на аппаратном уровне, то есть скорость отладки, по свидетельству главного конструктора системы противоракетной обороны Москвы Анатолия Басистова, возросла в 25 раз по сравнению с аналогами. И можете себе представить, насколько это было важно для того, чтобы в принципе всю эту систему сдать в боевую эксплуатацию, это же тоже, может быть, миллион строк кода во всей этой системе.

Константин Трушкин: Это дела давно минувших дней, поэтому про это сейчас уже вполне можно говорить. Так вот то, что удалось сделать машину с такими свойствами, это как раз признак того, что у нас была своя инженерная школа, была и есть, то есть изобретательность и какой-то особый, нестандартный подход позволили создать машину, которую методом копирования какой-то архитектуры или даже просто чужих подходов вряд ли удалось бы создать. Так вот, когда мы говорим про технологический суверенитет, мы понимаем, как устроены все уровни разработки IT в целом — это и аппаратный, и программный уровень, именно этим занималась школа Лебедева, создавали свою операционную систему, компиляторы, процессоры, и так и сейчас мы это делаем. Мы видим, что сейчас очень важно правильно настроить понятия, какую-то техническую, государственную политику, чтобы технологический суверенитет, о котором заявлено с высоких трибун, был реально на земле достигнут.

Константин Трушкин: Да, кстати, два слова об этих ребятах. Мы знаем про них, изучали их историю. Удивительно, но их путь во многом повторяет наш, то есть мы вышли из Института точной механики и вычислительной техники, они — из Института компьютерных технологий Китая. В свое время, в начале 2000-х годов, наш коллектив, наши сотрудники, в том числе Бабаян, ездили туда и читали им лекции. Китайцы очень внимательно все записывали, а потом мы узнаем, что они все, что записали, реализовали. Очень аккуратные ребята, тщательные.

Константин Трушкин: Да, это болевая точка, вы абсолютно правы здесь. Ну что делать, мы, действительно, сейчас в моменте должны сделать тактическое отступление, и какое-то время придется терпеть у себя в критической инфраструктуре процессоры зарубежного происхождения, причем неважно, китайские или американские. Мы же не знаем, как они работают, и нет никакой реальной возможности проверить их схему, убедиться, что нет каких-то ошибок или даже хуже того — закладок. Мы просто не можем этого проверить, не можем этого доказать. А если говорить про американцев, то мы косвенно знаем, что они там точно есть. Они там сидят и ждут своего часа. Сложность момента в том, что, если произойдет какой-то глобальный блэкаут в России, то эти риски будут реализованы, и это увидит весь мир. Но все равно есть какие-то способы, хотя бы паллиативные, пытаться выставить дополнительные системы защиты, они все равно не абсолютны, но это усложнит дальнейшую работу и опять-таки усилит центробежные тенденции в мире. Понятно, что риски очень велики, но что мы можем сделать сегодня. Первое, что мы должны сделать, мы не должны потерять нашу инженерную школу. Недавно было интервью с замминистра промышленности и торговли Василием Шпаком, где он подтвердил, что есть планы построить фабрику на 28 нанометров, он даже сказал, что, может, и 14 получится, если сильно повезет. Ну, мы держим кулаки, надеемся, что все получится, это, к счастью, не наша задача, это не нашего масштаба задача, она очень важна на уровне государства, надеемся, что нужные люди ее решают. А мы как дизайн-центр должны быть к этому готовы. И вот это — быть готовыми, продолжать разработку, если нужно, продолжать исследования — это и есть сейчас одна из наших важнейших задач, удержать коллектив, не дать ему оказаться демотивированным сложностями. Когда мы говорим про уровень 28 нанометров, это очень хороший уровень. Здесь, наверное, вообще было бы правильно делать несколько конкурирующих проектов по фабрикам, чтобы несколько команд пытались одновременно это сделать, но это не мое дело — советовать в таких сложных вопросах. Да, тема сложная, но мы будем надеяться и будем готовиться. Я просто хочу зафиксировать, что, во-первых, для 28 нанометров у нас есть и опыт, и хороший результат. Мы на 28 нанометрах сделали процессоры с архитектурой «Эльбрус», это «Эльбрус-8С», «Эльбрус-8СВ». И на них мы сделали довольно много всего, то есть на них работает система фиксации правонарушений автомобильных, ну не во всех регионах, но в большинстве регионов России штрафы водителям приходят после их генерации на «Эльбрусе».

Константин Трушкин: Да. Вторая вещь, наверное, более важная: в «Газпромбанке» мы недавно поставили сервера, небольшое количество из остатков наших процессоров, и там будет развернута система электронных платежей. Уже были проведены предварительные тесты, поэтому решение уже обосновано, и мы надеемся, что это в скором времени заработает в полную силу. То есть, в принципе, на этих процессорах даже суперЭВМ у нас небольшая есть, то есть это уровень хороший. И нам необходимо, учитывая критику и наш собственный опыт по архитектуре «Эльбруса», делать архитектуру нового поколения. Это то, что мы сейчас делаем. У нас сегодня архитектура есть шестого поколения в кремнии, мы разрабатываем сейчас архитектуру седьмого поколения, которая тоже широкое командное слово, но там добавлены практически все известные нам функции динамических процессоров, много всего интересного. А восьмое поколение должно быть действительно кардинально отличающимся, гораздо более эффективным для облачных вычислений, для универсальных вычислений. В общем, здесь у нас сейчас кипит очень интересная исследовательская работа.

Константин Трушкин: Здесь нельзя сказать, что мы совсем вровень. Все-таки бюджет Intel и бюджет разработки наш отличаются на два, если не на три порядка, но мы можем все-таки здесь иметь, скажем так, инженерную смекалку, интересные идеи. Первая наша идея, которая может нам позволить не то чтобы опередить их, но быть хотя бы на некотором конкурентном уровне, это использование возможности компилятора. Современные процессоры все — и Intel, и ARM, и RISC-V — построены по принципу RISC. Это означает, что процессор воспринимает набор инструкций во входном потоке как набор маленьких, простых, независимых, приходящих к нему в любом порядке. И он должен эти инструкции вычитывать целыми порциями. Насколько он широко сможет на лету за один такт разбирать между ними зависимости, упорядочивать их и ставить их в очереди, и дальше каждый такт запускать их на исполнение в соответствующем порядке. Эта работа по выявлению зависимостей по предсказанию переходов очень сложная. И сложно сделать процессор, который построен по принципам RISC и имеет очень высокую производительность. Это смогли единицы компаний в мире, вот Intel, AMD и ARM, которые имеют бюджет несколько миллиардов долларов только на разработку. Они не имеют своих фабрик, они не делают чипов, они только делают дизайн. Они разрабатывают архитектуру, а мы не только разрабатываем архитектуру, мы еще делаем чипы в этой архитектуре, в этом смысле мы ближе, условно, к AMD, AMD тоже так делает. И у нас есть некий запас, то есть мы можем сделать архитектуру по-другому, мы ее сделали по-другому, так, чтобы аппаратура процессора, ядра, была попроще, мы ей часть работы подготавливаем компилятором. Вот именно здесь мы видим наш определенный задел с точки зрения возможностей, это первая вещь. А вторая вещь такая: сейчас все начинают понимать, что производительность и безопасность — это две стороны одной медали. Вы, наверное, слышали про такие уязвимости, как spectre и meltdown? Так вот, причина этих уязвимостей — именно попытка производителей RISC-процессоров сделать максимально быстрый процессор.

Константин Трушкин: Что вы можете узнать о работе системы там, где вы не должны были узнать о ней, или повлиять на ее работу, там, где вы не должны были повлиять.

Константин Трушкин: Да, либо для утечки информации.

Константин Трушкин: Порядка 10 тысяч чипов. Вот сейчас, когда нам негде их напечатать, у нас начинает поднимать голову новая радиоэлектронная промышленность. Я повторяю: на импортных микропроцессорах, которые пока не вырубили, но в какой-то момент их можно вырубить, в этом никто не сомневается, дистанционно со стороны разработчика архитектуры. Что можно сделать? Вы уже сказали про фабрику, которую построят к 2030 году, будем надеяться, конечно. До 2030 года много времени пройдет, наш рынок уже будет занят новым поколением российских, собранных из параллельного импорта ключевых элементов. Давайте будем ценить это, это хорошо, то есть у нас появляется производство хотя бы по поверхностному монтажу печатных плат. То есть это то минимальное требование, которое сегодня есть для российских компьютеров, фактически никаких других требований нет. Вы должны смонтировать материнскую плату. Это значит монтажные линии должны работать, вы должны уметь закупать рассыпную комплектацию, вы должны уметь прошивать BIOS самостоятельно, а, наверное, еще и собирать этот BIOS самостоятельно. То есть это определенный набор компетенций. Хотя, наверное, по шкале от нуля до 100, я бы сказал, это условно 20% от всего, что надо. Но это важно, это должно быть, без этого следующего шага не будет. Теперь что можно сделать, если мы говорим про наши компетенции, чем мы можем помочь.

Константин Трушкин: Да, мы на это надеемся. И вот как мы можем к этому моменту подготовиться? На самом деле вы правы, что даже подготовка к этому факту — это очень небыстрый путь. Сейчас на первое место выходит информационная безопасность, потому что количество кибератак возрастает, и стоимость ущерба или потенциального ущерба, который может от них быть, растет по экспоненте, и с этим надо что-то делать. В основном кибератаки происходят через что? Через уязвимости в ПО, то есть это ошибки программиста, которые злоумышленник использует и с помощью использования этих ошибок проникает в систему и устанавливает над ней контроль. То есть, если мы сможем сделать ПО безопасным, то мы как минимум эту поверхность атаки отсечем. Да, у нас останутся уже совсем секретные средства для атаки через аппаратуру, с этим мы ничего пока не сделаем, но давайте мы хотя бы вместо того, чтобы оставить злоумышленнику ворота открытые, давайте оставим ему форточку открытую, уже будет лучше. Так вот, как это сделать? Здесь есть такой интересный факт. В 2023 году американцы, прямо целая группа агентств под эгидой Агентства инфраструктурной безопасности, опубликовали документ, где описывали способы, как можно побороть вот эти уязвимости в софте. Они пришли к двум выводам: вы должны изменить языки программирования, на которых вы пишете, и использовать только безопасные языки, либо вы можете использовать и небезопасные языки, если вы будете исполнять их на специальной аппаратуре, которая эти небезопасности компенсирует за счет аппаратных проверок. Для этого в Кембридже уже, наверное, с 2010 года ведется разработка проекта, который называется CHERI (Capability Hardware Enhanced RISC Instructions). Это проект аппаратно усиленной безопасности, которая внедряется прямо в архитектуру процессора, особые проверки, специальные механизмы, теги. Так вот, этот механизм в архитектуре «Эльбруса» есть, можно сказать, с самого начала линии. То есть даже в МВК «Эльбрус-1» этот механизм уже был, и он уже внедрен с самого начала в процессор «Эльбрус».

Константин Трушкин: Не совсем так. Не в деталях, но в целом вы поняли, да. Идея такая: у нас есть запас процессоров, который мы успели сделать до наложения санкций. Он не очень большой, но он есть.

Константин Трушкин: «Эльбрус» не умирает, у нас есть определенный запас, просто мы его не стараемся распродать моментально, мы его бережем для важных задач. И вот это одна из очень важных задач — сделать софт безопасным. То есть мы можем найти достаточное количество процессоров для разработчиков софта, чтобы они, во-первых, перенесли софт на архитектуру «Эльбруса», чтобы сделать его более кросс-платформенным, а, во-вторых, перенесли его в режим безопасных вычислений, который в «Эльбрусе» есть с самого начала, и с его помощью можно найти как можно большее число ошибок. Когда разработчики софта находят ошибку, они исправляют ее в исходном коде. И эта ошибка больше не проявляется ни в какой архитектуре, включая Х86. И, таким образом, «Эльбрус» выступит как фильтр. Ну и наконец, для самых важных применений, например, КИИ (Критической информационной инфраструктуры), можно делать так: какие-то из этих процессоров можно пустить на резервные контуры или какие-то шлюзы. То есть там, где нужна жесткая безопасность, мы найдем процессоры, чтобы выставить резервный контур, который не полную нагрузку держит, но какую-то минимальную, необходимую, ну и шлюзует входные и выходные потоки.

Константин Трушкин: Знаете, будут появляться, мы надеемся на это, возможно, просто не в России. Здесь я могу чуть-чуть раскрыть тезис: мы видим, что сейчас во многих зарубежных странах внимание к кибербезопасности тоже растет. Все же видят, как в США это в открытую происходит. Все понимают, что США обезопашивают свою инфраструктуру для чего? Чтобы они могли произвести киберудар, но сами под удар не попасть. И все начинают беспокоиться. И в этом отношении, пожалуйста, мы готовы идти на экспорт технологий. То есть мы готовы помогать дружественным странам создавать свои процессоры с принципами, похожими на процессор «Эльбрус». И это для нас как для компании может быть серьезным бизнесом, который нас продержит на плаву до момента, когда появится фабрика и поможет России в целом как государству расширить свою сферу технологического влияния, а это очень важно.