Ещё вчера RISC-V был синонимом «дешёвого контроллера для умной колонки и чайника». Теперь открытая архитектура, за которую никто не платит роялти, стучится туда, где ошибка измеряется жизнями: тормоза, рулевое управление, системы помощи водителю. Вопрос в другом: что «автомобильный сертификат» вообще значит для открытого стандарта — и почему автопрому это выгоднее, чем очередная лицензия ARM.
В машине десятки электронных блоков и десятки миллионов строк кода. Но код коду рознь: прошивка, двигающая зеркало, и прошивка, давящая на тормоз, живут по разным правилам. Стандарт ISO 26262 раскладывает эти правила по ступеням ASIL — от A до D. Высшая, ASIL-D, — рулевое управление, торможение и подушки безопасности. Всё, что при отказе убивает, а не просто раздражает.
«Да оно же работает» — не аргумент. Сертифицируется не только само ядро, но и весь процесс разработки: документация по отказам, разбор сценариев сбоев, аппаратная избыточность. Например, два ядра в режиме lockstep: второй процессор непрерывно пересчитывает всё за первым и сверяет результат. Плюс ECC-память, исправляющая случайные битовые ошибки. Такое safety-исполнение медленнее и заметно дороже обычного, зато автопроизводитель получает юридическую опору — ответственность за отказ размазана по цепочке поставщиков, а не висит одной гирей на сборщике машин. Поэтому «просто быстрый процессор» в контур управления не поставишь: сначала сертификат, потом конвейер. И вот тут интересно: судя по всему, RISC-V к этому рубежу уже подбирается — разработчики ядер на открытой спецификации готовят safety-конфигурации и пакеты документации для автопрома.
Началась история в калифорнийском Беркли около 2010 года — с обычного учебного проекта. Из аудитории архитектура выросла в открытый стандарт под крылом швейцарского фонда RISC-V International: спецификация свободна, роялти — ноль. Первым массовым рубежом стала встраиваемая электроника: контроллеры накопителей Western Digital на ядре SweRV, микроконтроллеры внутри видеокарт NVIDIA, умные колонки, миллиарды IoT-устройств. Скромно, зато массово.
Автопром как следующая цель напрашивался. Qualcomm, по имеющимся данным, прикидывает перевод автомобильных платформ — цифрового кокпита и систем помощи водителю — на собственные RISC-V-ядра. Ожидается, что к разработке автомобильных RISC-V-ядер подключится и NXP, один из крупнейших поставщиков автоконтроллеров. Присматриваются, судя по всему, и поставщики первого уровня вроде Bosch, а специализированные SiFive и Andes, по имеющимся данным, уже развивают готовые safety-ядра и сертификационные пакеты. Полтора десятилетия — и студенческий код стоит на пороге систем, где сбой недопустим в принципе.
Теперь считаем. Лицензия на архитектуру плюс роялти с каждого ядра — при выпуске миллионов автомобилей это уже заметная статья расходов. А зависимость от одного вендора — не расход даже, а стратегический риск: модель живёт на конвейере и дорогах лет полтора десятка, и вдруг оказывается, что дорожную карту собственных процессоров ты не контролируешь.
Открытая ISA закрывает обе проблемы разом. Её можно расширять: нужны векторные инструкции под обработку сигналов радаров — добавили. Хочется ускорить нейросетевые вычисления — ускорили, ни с кем не согласовывая. Единый набор инструкций к тому же прокладывает дорогу зонной электронике: вместо десятка разнородных контроллеров в машине остаются несколько мощных «зонных» компьютеров и толпа простых исполнительных узлов — все на совместимой архитектуре.
Без ложки дёгтя не обошлось. Экосистема моложе: инструментов для функциональной безопасности меньше. Фрагментация реализаций — хроническая болезнь открытых стандартов. И главное: свобода спецификации ответственности не отменяет — сертификацию каждой своей реализации вендор тянет сам, без «поддержки родительской компании».
Для российской микроэлектроники RISC-V — едва ли не главный легальный путь к современным процессорам. Лицензии ARM оказались недоступны, зато открытая спецификация не зависит от решений зарубежных вендоров. Ядра петербургской Syntacore работают в отечественных микроконтроллерах и чипах для умных устройств, НИИЭТ из Воронежа выпускает RISC-V-микроконтроллеры, казанская «РИКОР», по имеющимся данным, тоже трудится на этой архитектуре. Ожидается, что экосистема RISC-V найдёт место и в государственных дорожных картах микроэлектроники — ставка, похоже, осознанная.
Слабое звено — автомобильный уровень. Критичные блоки управления в российских машинах исторически были импортными, и после ухода зарубежных поставщиков их замена превратилась в узкое место отрасли. Открытая ISA позволяет проектировать собственные контроллеры без риска отзыва лицензии — но производство это не чинит: доступный отечественный техпроцесс — порядка 90 нм, до продвинутых узлов не дотянуться. Не хватает и собственной практики сертификации по ISO 26262, и отлаженной линейки автомобильных компонентов. Итог честный: фундамент есть, разработчики есть, а до критичных систем в серийных машинах — ещё годы. Через доступные техпроцессы, свою элементную базу и накопление компетенций.
Переход RISC-V на автомобильный уровень — водораздел для всей открытой аппаратуры: архитектура, начинавшаяся в учебной лаборатории, целится в системы, отвечающие за торможение на трассе. Для автопрома это прежде всего про контроль над собственной судьбой — деньги, кастомизация, независимость от чужой дорожной карты. Для России — про возможность строить процессоры без чужого разрешения, хотя путь до сертифицированных критичных систем здесь только начинается. Урок из этой истории ровно один: открытая спецификация — условие необходимое, но недостаточное. Побеждает не тот, у кого бесплатная ISA, а тот, у кого есть фабы, инструменты и культура сертификации. Гонка только началась.