Новое качество микросхем

В последние несколько лет усилия российских специалистов по техническим наукам направлены на создание так называемой доверенной электроники. Проще говоря, это электроника, которой потребитель может доверять выполнение критических функций гражданской инфраструктуры, так как есть подтверждение, что она не откажет в самый неподходящий момент вне зависимости от причин (природных явлений, физических механизмов воздействия или умышленных действий).

О том, какие проблемы приходится решать ученым и инженерам, «Ъ-Наука» беседует с членом оргкомитета форума «Микроэлектроника», доцентом кафедры «Стратегии и технологии кибербезопасности» НИЯУ МИФИ, к. т. н. Леонидом Кессаринским.

— Учусь, а затем работаю в МИФИ с 2000 года. До 2018 года занимался вопросами оценки, прогнозирования и исследования стойкости микроэлектроники к экстремальным внешним воздействиям, особенно радиационных факторов атомных энергетических установок, космического пространства и др. Требовалось одновременно иметь экспертизу в атомной физике, физике твердого тела и полупроводников, электроники в целом, автоматизации физического эксперимента, разработке измерительных систем, выявлении контрафакта — много всего. Оказалось, что эти знания востребованы в информационной безопасности для электронной аппаратуры критической информационной инфраструктуры. Так, в 2018 году занялся защитой информации на аппаратном уровне, а затем более комплексной областью — доверенной электроникой.

В 2020 году в МИФИ был создан консорциум «Доверенные экстремальные электронные системы», который является объединяющим центром нескольких направлений исследований, связанных с экстремальной электроникой, обеспечением информационной безопасности и испытательными лабораториями, и центрами. Традиционно компетенции МИФИ связаны с промышленной, специальной и космической электроникой, а сейчас они оказались востребованы в проблематике доверенной электроники.

— В 2022 году вследствие понятных событий на государственном уровне произошел пересмотр подходов к тем электронным системам, от которых зависит наша жизнь и которые сейчас называются критической информационной инфраструктурой (КИИ). Это энергетика, металлургия, транспорт, здравоохранение и т. д. До 2022 года жизненно важные системы КИИ почти полностью и «под ключ» комплектовались программно-аппаратными решениями иностранных брендов, и никто сильно не задавался вопросом, из каких компонентов они состоят. Даже больше — по условиям контрактов это было запрещено делать, потому что по условиям гарантийного обслуживания и технической поддержки все оборудование было опломбировано, непрерывно подключено к интернету. Если что-то ломалось, то представители бренда, например Siemens или Schneider, узнавали об этом и направляли ремонтные бригады для восстановления даже раньше главного инженера объекта. Когда большие иностранные бренды ушли с нашего рынка, исчезли техническая поддержка и возможность легально получить какую-то достоверную документацию, то стал понятен масштаб проблемы.

В марте 2022 года вышел знаменитый указ президента России №166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации», который впервые обозначил понятие доверенной электроники (доверенных программно-аппаратных комплексов). Дальше в развитие этого указа вышло несколько постановлений правительства РФ, но не вызывало сомнений, что тематика требует проработки с точки зрения техники. Основная трудность была на инженерном уровне: мало кто погружался и представлял себе, из каких программно-аппаратных комплексов состоят те или иные системы объектов КИИ, ну и точно почти никто не имел достоверных сведений, из каких электронных компонентов состоят сами комплексы.

Для проработки технической политики в области доверенной электроники осенью 2022 года во исполнение указа №166 было создано научно-производственное объединение «Критические информационные системы» (НПО «КИС») как дочерняя структура госкорпорации «Росатом», а для политики в области стандартизации — Технический комитет по стандартизации №167 «Программно-аппаратные комплексы для КИИ и программное обеспечение для них». Эти три организации, включая ГК «Росатом», сейчас лидируют в области доверенной электроники.

— Я бы сказал как отдельная категория качества для комплектования объектов КИИ. Первые технические документы, стандарты к ней, в том числе по терминам, классификации, заданию требований, методам проверки, технического аудита предприятий вышли в Техническом комитете №167 (ТК-167). С первых дней существования ТК-167 сформировалась рабочая группа «Доверенные интегральные схемы», потом преобразованная в постоянный подкомитет «Доверенная электронная компонентная база» на базе НИЯУ МИФИ, который я имею честь возглавлять.

— До ковида мировая микроэлектроника существовала в тесной кооперации. Каждая микросхема в той или иной стадии готовности, перед тем как попасть внутрь вашего телефона, запросто могла побывать на всех континентах, за исключением Антарктиды. На одном континенте спроектировали, на другом — сделали кремниевый кристалл, на третьем — закорпусировали, на четвертом — протестировали, на пятом — смонтировали. Ковид, пандемийная изоляция, закрытые границы показали хрупкость международных логистических цепочек, обнажили скрытые проблемы, связанные со ставкой на узкую специализацию. После этого вопросами технологической безопасности и технологической независимости начали серьезно заниматься ведущие страны и в Америке (принят знаменитый закон о чипах), и в Европе (появилась целая программа развития), а также другие ведущие страны. Нормативные акты в области технологического суверенитета в целом и в микроэлектроники в частности развивались на наших глазах почти одновременно — удачные работающие решения негде подсмотреть.

— В конце 2023 года нашими усилиями был создан предварительный национальный стандарт, который так и называется: ПНСТ 911-2024 «КИИ. Доверенные интегральные микросхемы и электронные модули. Общие положения». 1 апреля 2024 года он был утвержден и введен в действие. В нем постарались сформулировать базовые постулаты: что такое доверенная электроника, для чего она нужна, как обеспечить доверенность, то есть качество и безопасность. Новизна этой области заставляет нас как бы балансировать между требованиями и обеспечением экономической эффективности новой категории качества микросхем доверенной электроники.

Основное направление нашей работы — собрать воедино техническую, стандартизационную и испытательную политику в области новой категории качества.

— Дело в том, что, как правило, и нормативно-правовые акты, и документы стандартизации, и различные технические документы рассматривают обеспечение устойчивости критической информационной инфраструктуры на уровне готовых систем. Очень редко, как показывает анализ и отечественных, и зарубежных документов, фокус внимания опускается на уровень программно-аппаратных комплексов, то есть тех «кирпичиков», из которых система складывается.

Практически никто не погружается на более глубокий уровень, до микросхем. В то же время все катастрофические отказы, необратимые сбои, которые в системах есть, так или иначе связаны с отказом микросхем. Если программное обеспечение засбоило, его можно обновить, а микросхему в большинстве случаев очень тяжело сначала найти, потом выпаять, потом заменить. Как правило, выбрасывается блок целиком. Вот этот фокус внимания на доверенных микросхемах предопределяет необходимость предъявления комплексных требований к ней: к подлинности, то есть отсутствию либо подозрительных, либо контрафактных, либо фальсифицированных компонентов; к функциональности (выполнение целевой функции и сохранение параметров в пределах норм); к надежности (сохранение функциональности в течение срока службы); к стойкости (сохранение функциональности не только в комнатных, но и при внешних условиях реальной эксплуатации); к защищенности от компьютерных атак и атак, связанных с применением специальных средств, а также, конечно, к технологической независимости, которая требует погружения в весь жизненный цикл производственно-сбытовой цепочки.

Хотите вы этого или нет, но для того, чтобы обеспечить технологическую независимость, то есть дать гарантии потребителю в том, что ему будут доступны изделия электроники в обозримом будущем, а также своевременная техническая поддержка, вы вынуждены знать, кто микросхему разработал, где ее произвели, какие производственные мощности и как парированы узкие места (отсутствуют экзотические материалы и услуги, санкционные лицензируемые блоки и ПО), где ее хранили перед поставкой, кто поставлял, кто проводил сертификационные испытания, кто и как ее эксплуатирует. Погружение системщика и регулятора отрасли в этот жизненный цикл является некоторой новизной, которая чуть раньше, в 2024 году, параллельно нашла свое отражение в вопросах, связанных с разработкой безопасного программного обеспечения (имеется в виду ГОСТ Р 56939-2024 РБПО.— «Ъ-Наука»). И мы, воспользовавшись передовым опытом коллег, пытаемся эту же идеологию контроля жизненного цикла применить и на уровне электронной компонентной базы доверенных микросхем.

— Да, и это очень важно — погружаться в процессы рождения микросхем на свет, потому что современные микросхемы — это очень сложные устройства. Они состоят из миллиардов транзисторов. Чтобы вы себе представляли: если бы один транзистор был размером 1 мм, то для того, чтобы иметь кристалл с тем же количеством транзисторов, что и в современном процессоре, вам нужно было бы иметь микросхему со стороной 10 км на 10 км, плотно набитую одномиллиметровыми транзисторами. Естественно, такое изделие невозможно проверить как «черный ящик» (имеется в виду концепция деления объектов испытаний на «черный ящик», «серый или полупрозрачный ящик», «белый или прозрачный ящик».— «Ъ-Наука»), то есть ничего не зная о его составе и истории. Если вы не знаете, как оно было разработано, какие библиотеки для этого использовались, то простым перебором его электрических состояний вы просто потратите огромное количество лет, даже не приблизившись к требуемой полноте вашей проверки.

В этой ситуации единственным выходом из такого, как говорят в математике, «комбинаторного ада» является погружение в контроль за процессами жизненного цикла. Достоверная информация в обмен на сокращение объема испытаний. Другого варианта просто нет. А если брать, выявление признаков фальсификата (брака и подделки), то, даже применяя все известные методы испытаний микросхемы, вы не можете обеспечить достоверность результата больше чем на 95% (имеется в виду оценка достоверности результатов испытаний по наиболее применяемому международному стандарту AS6171.— «Ъ-Наука»). Вы не можете на 100% гарантировать, что микросхема подлинная, если вы не знаете или не уверены, откуда она появилась на вашем столе. Поэтому здесь тоже единственный вариант обеспечить подлинность изделия — это контролировать его жизненный цикл.

— Хороший вопрос. Дилемма между «отечественностью» и «доверенностью» для микросхем существует столько, сколько обсуждается вопрос локализации электроники (то есть со времен первых санкций в 2014 году). На самом деле это похожие, пересекающиеся, но не тождественные термины. Одно только понятие «отечественные микросхемы» сейчас различается у разных регуляторов: в соответствии с действующими нормативно-правовыми актами одна и та же микросхема для одного министерства или организации может быть отечественной, а для других — иностранной. С другой стороны, отечественные микросхемы могут быть недоверенными (то есть некачественными или небезопасными), и доверенные микросхемы могут быть неотечественными.

Метод контролируемого жизненного цикла, понятное дело, для отечественных микросхем реализовать проще, потому что все участники жизненного цикла будут находиться в юрисдикции наших отечественных стандартов, подходов и т. д. Но при этом неизбежно в достаточно сложных или дорогих для локализации изделиях мы будем вынуждены применять международные мощности, кремниевые фабрики в «дружественных» странах и т. д. И здесь важно понимать, что жизненный цикл — это не монолитный процесс, он состоит из отдельных стадий и процессов, каждый из которых может быть реализован вне контролируемого жизненного цикла при условии, что будет обеспечен контроль на входе и на выходе этого процесса. То есть вам нужно испытывать не все изделие целиком, а ту часть полуфабриката, который обрабатывается вне контролируемого жизненного цикла.

— Допустим, вы сделали какой-то проект на 16 нм. Вы полностью контролируете процессы жизненного цикла до отправки проекта на кремниевую фабрику, которая находится за пределами Российской Федерации. У вас есть точка выхода за пределы контролируемого жизненного цикла (момент отправки проекта) и точка возврата (момент получения пластины с кремниевой фабрики). Вы проверили проект, он хороший, правильный, доверенный, качественный, безопасный. Дальше вы не знаете, что с ним происходит, но на выходе из кремниевой фабрики вы получаете неразрезанную пластину, состоящую из кристаллов, якобы выполненных по вашему проекту. Вот чтобы убрать это «якобы», вы должны провести верификационные испытания, обеспечить или проверить соответствие кристалла, который вы получили, тому проекту, который вы отправили.

Важно понимать, что для верификации в разумные сроки сам проект должен быть приспособлен для этого, в него должны быть интегрированы упрощающие задачу подсистемы (например, самодиагностики, проверки подлинности и целостности встроенного ПО и др.), процедуры (разделение сред исполнения программ на доверенную и недоверенную, применение специальной DFT-логики и др.). Как только вы это проделали, дальше уже вы можете эту пластину обратно возвращать в контролируемый жизненный цикл и, собственно говоря, воспользоваться всеми преимуществами, которые он дает.

— Разумеется, испытательное и измерительное оборудование развивается параллельно с технологическим оборудованием. Вы не можете доверять результату после какой-то технологической операции, если до этого не провели испытания, не проконтролировали ее параметры. И конечно, развитие собственных компетенций в условиях санкционных ограничений позволяет, в том числе и внутри МИФИ, разрабатывать и специализированную контрольно-проверочную аппаратуру, и замещать некоторые виды технологического оборудования, и собирать сложные автоматизированные измерительные комплексы. В частности, в рамках одной из лабораторий консорциума «Доверенная экстремальная электроника» разрабатывается контрольно-проверочная аппаратура, предназначенная для проверки блоков малых космических аппаратов (КА) по «модной» идеологии, когда вы с помощью аппаратно-программных средств фактически имитируете все внешние системы по отношению к проверяемому прибору. Например, берем прибор, который управляет системой питания КА. Для того чтобы полностью и достоверно его проверить, вы подключаете его к этой HIL-системе (Hardware-in-the-Loop.— «Ъ-Наука»), и он не видит разницы между вашей системой и реальным спутником, куда он будет поставлен. А дальше вы в своей системе прогоняете сценарии — штатные и аварийные режимы работы — и таким образом имеете возможность полностью проверить его функционал и надежность. Для микросхем в другом подразделении консорциума разрабатываются промышленные тестеры. Доверенная интегральная микросхема — это микросхема с подтвержденным соответствием заданным требованиям по работоспособности, надежности, стойкости, функциональной, информационной и технологической безопасности. Каждый из этих аспектов нужно проверить.

Вообще, чем сложнее микросхемы или приборы, тем кратно сложнее оборудование для проверки, верификации, испытаний. Поэтому, как правило, средства измерения опережают по характеристикам и качеству проверяемое изделие.

— Да, тут нужен целый арсенал оборудования, персонала, методик, связанных с ускоренными испытаниями, с подтверждением характеристик компонент доверенности. В том числе вопросы, связанные со стойкостью к условиям эксплуатации, например с расширенным диапазоном температур. Обычная коммерческая электроника, как ваш телефон например, рассчитана на достаточно узкий диапазон температур (как правило, от 0 до 35 °С), и за пределами его производитель ничего не гарантирует. Промышленная электроника должна работать в диапазоне от 0 до 85 °C, и при этом ее параметры должны быть в норме. Если мы говорим про расширенный диапазон от –60 до +125 °C, то при каждой из них (как правило при крайних значениях) нужно как-то проверить работоспособность изделия. Методы проверки здесь соответствуют внешним условиям, которые создаются при эксплуатации.

— Если брать, скажем, экстремальную электронику, то есть электронику, которая должна работать в условиях, например, воздействия космических внешних факторов, вы неизбежно так или иначе должны будете погружаться в физику, так как почти невозможно достигнуть стойкости наудачу. Если рассматривать процессы проектирования и разработки микросхемы с точки зрения задачи обеспечения радиационной стойкости, то буквально на каждом надо делать свой осмысленный выбор: на этапе выбора базовой технологии (одни техпроцессы более стойкие к эффектам поглощенной дозы от гамма-излучения, а другие — к структурным повреждениям от нейтронов), на этапе выбора базовых транзисторов (в ущерб занимаемой площади и частоты переключения можно добиться большей стойкости), на этапе базовых элементов (8-транзисторная ячейка памяти больше, но обеспечивает лучшую сбоеустойчивость, чем традиционная 6-транзисторная), на этапе схемотехники (резервирование критичных блоков в ущерб площади), на этапе архитектуры (применение помехозащищенных кодов с ростом накладных расходов на прием-передачу), на этапе конструкции (троирование-мажорирование систем) и т. д. Каждый выбор в пользу обеспечения стойкости делается в ущерб чему-то другому.

В этом примере понимание физики взаимодействия излучений с веществом, с твердым телом, с кремнием или с каким-то другим материалом помогает пройти последовательность выборов более эффективно. Это достаточно серьезная научная работа, она ведется в МИФИ несколько десятилетий. И вот, чтобы вы понимали сложность работы, воплощенную в стоимости: если обычный микроконтроллер стоит сейчас около 100 руб., то этот же микроконтроллер, но в исполнении, пригодном для комплектации космической аппаратуры, вам обойдется примерно в 500 тыс. руб. за штуку. Эта дополнительная премия как раз и обеспечивает (компенсирует) издержки выбора в пользу стойкости и в ущерб технологичности, функциональности.

— Первый, предварительный национальный стандарт в области доверенных микросхем, как я уже говорил, вступил в действие 1 апреля 2024 года. Он был первым, непривычным, революционным. Дальше первый ГОСТ Технического комитета, тоже про доверенные микросхемы,— ГОСТ Р «КИИ. Доверенные интегральные микросхемы. Общие требования к производству» вступил в действие1 июля 2026 года. Сейчас в высокой степени готовности три достаточно серьезных стандарта в статусе ГОСТ Р: «КИИ. Доверенные интегральные микросхемы. Общие положение», «КИИ. Доверенное интегральные микросхемы. Общие технические условия» и «КИИ. Доверенное интегральные микросхемы. Общие требования к жизненному циклу». Вот последний из них как раз воплощает новый подход к обеспечению качества и безопасности микросхем контролем жизненного цикла. Кроме того, в разработке сейчас три стандарта: требования к разработке, требования к поставке и модель угроз для интегральных микросхем. Мы планируем, что в 2027 году первые редакции будут завершены и вынесены на общественное обсуждение.

— Этот вопрос сейчас выходит на первый план. Дело в том, что, злоумышленник всегда идет по самой легкой дорожке, то есть он, метафорично, «подходя к яблоне, срывает самое низкорастущее яблоко». Между тем, средства защиты информации на уровне программных средств стали настолько серьезными, что достаточно часто злоумышленнику дешевле и проще атаковать то или иное устройство через какие-то аппаратные уязвимости, которые, с одной стороны, сейчас доступны для исследования, с другой стороны, их устранить стоит гораздо дороже, чем выпустить обновление для программного обеспечения. Цикл обновления программного обеспечения, как только появляется какая-то уязвимость, может составить несколько недель, не более месяца. В принципе программное обеспечение никогда не заканчивает свой цикл, оно никогда не имеет финальную версию, всегда обновляется. А для микросхем любое обновление, изменение кристалла — это минимум полгода. Поэтому уязвимость, найденная в микросхеме, с большой гарантией в этом типе кристаллов останется практически на весь срок эксплуатации. С этим надо что-то делать. Поэтому вопросы, связанные с защитой информации от атак на аппаратную часть, становятся достаточно актуальными. Для микросхем особенно важно сразу делать хорошо, чем торопиться выпускать на рынок небезопасный кристалл в надежде потом оперативно залатать дыру.

— Этот момент связан в первую очередь с анализом так называемого расширенного списка компонентов, используемых при процессах жизненного цикла. То есть это не только микросхемы и детали, но и применяемые инструменты, как программные, так и аппаратные, и вопросы, связанные с кадровыми компетенциями, и вопросы, связанные с инфраструктурой. Вот характерный пример уязвимости для технологической безопасности, связанной с кадровым ограничением. На предприятии есть всего один человек, который разбирается в критичной части проекта микросхемы. Он может один обеспечивать техническую поддержку, и при его увольнении или выходе на пенсию продукт утрачивает свою техническую поддержку. Это происходит не из-за того, что какие-то санкции наложили, не из-за того, что прекратилась поддержка САПР, а просто из-за того, что человек больше не работает. Вот все эти вопросы так или иначе входят в лист угроз, проверяемых при контроле жизненного цикла.