המאמת הפורמלי אמר "מוכח". השבב עדיין היה שבור.
בפעם הראשונה שאחד מהכלים שלנו שיקר לי, הוא עשה זאת בנימוס. המנוע הפורמלי החזיר סימן וי ירוק. כל תכונה שביקשנו ממנו להוכיח חזרה מוכחת. ספריית ה-assertions נראתה שלמה. על הנייר, התכנון היה מאומת.
לקח לנו יומיים להבין שהתעודה חסרת ערך — ושכל מה שהנחתי לגבי אימות AI למוליכים למחצה הגן עלינו מפני הכשל הלא נכון.
התכונות נוצרו על ידי מודל שפה גדול שעטפנו סביב המנוע הפורמלי — בדיוק סוג ההדגמה האג'נטית המבריקה לתכנון שבבים שכולם בנו. והמנוע הוכיח אותן במילי-שניות, מה שהיה צריך להיות הרמז. הן הוכחו משום שהתנאים שהיו אמורים לבחון אותן מעולם לא הופעלו. תכונה האומרת "כל בקשה מקבלת בסופו של דבר אישור" נכונה באופן טריוויאלי אם הבקשה לעולם אינה יכולה להתרחש. הפותר לא טעה. הוא ענה על השאלה ששאלנו בטעות, והשאלה הייתה ריקה. זה הרגע שבו הבנתי מפני מה צינורות אימות ה-AI האלה באמת צריכים להתגונן — ומדוע כמעט אף אחד מהמוכרים אותם לא התגונן מפני הדבר הנכון.
אני רוצה לספר לכם מה מצאנו, מפני שמחלקות הבאגים שהורגות שבבים מודרניים אינן אלה שהתעשייה מפרסמת שהיא יכולה לתפוס. אנחנו בונים צינורות אימות מותאמים אישית לצוותי שבבים fabless — מודלים open-weight מכווננים היטב שעטופים סביב המנוע הפורמלי שצוות כבר מחזיק בו, הפועלים כולם על החומרה שלהם — וכל הגישה נולדה מתוך כישלון בזה תחילה. אפשר לראות את צורתה ב-veriprajna.com/solutions/semiconductor-ai-verification. אבל הגישה הופכת הגיונית רק לאחר שראיתם תכנון "עובר" נכשל.
מספר שאמור להפחיד כל סמנכ"ל כספים של חברת fabless
סטטיסטיקה אחת ממסגרת את כל הבעיה. מחקר האימות הפונקציונלי של Wilson Research Group / Siemens EDA לשנת 2024 — מדד ההשוואה הוותיק ביותר בתעשייה — העמיד את הצלחת הסיליקון הראשון על 14%. הנמוך ביותר שהיה בעשרים שנות מעקב. בשנת 2020 המספר הזה עמד על כ-32%. הוא צנח ביותר ממחצית בארבע שנים.
זה אינו סיפור על מהנדסים שנעשו עצלנים. זהו סיפור על מורכבות שעוקפת את הכלים, ועל מפרט שמשתנה מהר יותר מסביבת הבדיקה שרודפת אחריו. אותו מחקר מצא שכ-70% מה-respins נגרמים משגיאות הקשורות לשינויים במפרט — לא באגים לוגיים טהורים.
הצלחת הסיליקון הראשון לא ירדה מפני שצוותי השבבים נעשו גרועים יותר. היא ירדה מפני שהמפרט נע כעת מהר יותר מכפי שהאימות יכול לסגור אותו.
ישבתי עם מספר ה-70% הזה זמן רב, מפני שהוא מרשיע בשקט הרבה מצגות מכירה של "AI לתכנון שבבים". אם רוב ה-respins נובעים מסחף במפרט, אז כלי שתופס רק באגים לוגיים מטפל בפרוסה מהבעיה וקורא לה העוגה כולה.
ועלות הטעות אכזרית באופן שאנשי תוכנה מזלזלים בו. סט מסכות של 5nm עולה $10–20M. ב-3nm מתקרבים ל-$40M, עם יותר משבעים שכבות מסכה כולל יותר מעשרים שכבות EUV. tape-out מלא של 2nm עולה כעת בסדר גודל של $725M הכול כלול. כשמשהו חומק, respin הוא החלקה של 3 עד 6 חודשים בלוח הזמנים מעל חשבון המסכות. בחלון מוצר בן שמונה-עשר חודשים, החלקה של שישה חודשים יכולה למחוק מחצית מהכנסות חיי השבב. סמנכ"ל הכספים אינו רואה באימות מרכז עלות. הוא רואה בו ביטוח מפני טעות יחידה בת שמונה ספרות.
כיצד LLM למעשה הוזה בחומרה?
הצוות שלכם כבר משתמש ב-LLMs על Verilog. אני לא הולך להעמיד פנים אחרת, וגם אף אחד שמוכר לכם לא צריך. תחום המחקר אמיתי כעת — מאמרים על LLMs שכותבים Verilog עלו מאחד ב-2020 ל-שישים וארבעה ב-2025. בבעיות הקשות יותר במדד VerilogEval, מודלים ברמת GPT-4 מגיעים לכ-43% נכונות פונקציונלית. שימושי. לא אמין.
השאלה המעניינת אינה האם המודלים עוזרים. אלא כיצד הם נכשלים, מפני שאופני הכשל אינם נראים כמו הכשלים שמהנדסי תוכנה מאומנים לפחד מהם. לאחר מספיק לילות מאוחרים של בהייה בשאלה למה RTL ש"נראה נכון" השתבש, התחלתי למיין את הכשלים לחמש מחלקות.
הראשונה היא הבלתי מזיקה. תחבירית הזיה — קוד שפשוט לא יתקמפל. Verilator או קצה החזית של הסינתזה תופסים אותה בשניות. כולם כבר יודעים איך להתמודד עם זה, וזו המחלקה שאנשים מצביעים עליה כשהם רוצים לטעון שהבעיה נפתרה.
השנייה היא המקום שבו זה מתחיל לכאוב. סמנטית הזיה, והמקרה הקלאסי הוא השמה חוסמת מול השמה לא-חוסמת. מודל שאומן על Python ו-C קורא Verilog כאילו הפקודות רצות מלמעלה למטה. אז הוא כותב השמה חוסמת — פשוט = — בתוך בלוק מתוזמן מסוג always_ff שבו השפה דורשת את הפעולה הלא-חוסמת <=. המעצב רצה pipeline בן שני מחזורים. עם השמות חוסמות, השלב השני קורא את הערך החדש של הראשון, לא את הישן, והסיליקון משוגר עם עקיפה בת מחזור אחד במקום. חלק מהסימולטורים מתזמנים את האירועים בסדר שמסתיר את מרוץ המצב לחלוטין. זה עובר בסימולציה. זה מסתנתז למכונה הלא נכונה.
המחלקה השלישית היא זו שלימדה אותי לשמור את מפרט AMBA פתוח על צג שני. פרוטוקול הזיה. הקוד מתקמפל, עובר תשעים אחוז מהבדיקות המכוונות, ואז מפעיל אות write-data-valid לפני שה-slave מוכן לקבל את הכתובת — הפרה של לחיצת היד של AXI. או שהוא מחזיק אות valid גבוה בזמן שהוא מחליף את הנתונים שתחתיו. או שהוא מפעיל תת-סעיף קבור בעמוד 84 של מפרט האפיק שאף אדם לא שינן. השבב עובד מושלם על מתקן הבדיקה הפנימי שלכם ונתקע ברגע שהוא מחובר לבקר זיכרון של צד שלישי. אי אפשר להתגבר על זה בכוח באמצעות עוד מחזורי סימולציה. תופסים אותה עם ספריות assertions מאומתות-מראש שנכתבו כנגד כל פרוטוקול.
המחלקה הרביעית היא זו ששיטתה בנו, והיא המסוכנת.
מדוע "מוכח" היא המילה המסוכנת ביותר בדוח אימות?
ריקנות הזיה. המודל מייצר assertion של SystemVerilog. המנוע הפורמלי מוכיח אותו. אתם משגרים. והתכונה הייתה נכונה באופן טריוויאלי מפני שהתנאי המקדים שלה — חלק ה-"if" — מעולם לא הפך לאמיתי מלכתחילה.
דמיינו תכונת arbiter: אם מועלית בקשה, חייב לבוא אישור בתוך מספר מחזורים מסוים. כעת נניח שאותו מודל, בניסיון להיות מועיל, כתב גם הנחה שמכריחה את אות הבקשה להיות נמוך. המנוע הפורמלי מוכיח בצייתנות את תכונת האישור במילי-שניות, מפני שאין בקשה שאי-פעם תפר אותה. ה-arbiter האמיתי שתחתיו עשוי להיות שבור לחלוטין. התעודה אומרת "מוכח". היא חסרת ערך.
הוכחה פורמלית שרצה במילי-שניות אינה מהירה. היא חשודה. ייתכן שהמנוע לא הוכיח דבר כלל.
זה אינו סיכון שולי. Siemens מפרסמת אזהרות על הוכחות ריקות מאז 2017, והתחום עדיין משגר תהליכים ללא בדיקת ריקנות אוטומטית. כשאני אומר לאנשים שתהליך אימות פורמלי ללא זיהוי ריקנות גרוע יותר מהיעדר אימות פורמלי, הם חושבים שאני דרמטי. אני לא. היעדר אימות משאיר אתכם מפוחדים במידה הראויה. "מוכח" ריק משאיר אתכם בטוחים בעצמכם וטועים, עם בלוק שאושר בדרכו ל-tape-out. זה הכשל שכמעט שוגר באב-הטיפוס המוקדם שלנו, והוא שינה לצמיתות את מה שאנחנו בונים.
המחלקה החמישית היא זו שהסימולציה מבנית אינה יכולה לראות. מעבר בין תחומי שעון נקודות עיוורון. LLM קורא שמות אותות; הוא אינו תופס תחומי שעון. אז הוא מחבר אות מתחום CPU של 2 GHz ישירות אל פליפ-פלופ בתחום היקפי של 400 MHz, ומדלג על מסנכרן הפליפ-פלופ הכפול שמונע מטא-יציבות. סימולציית RTL אינה מדגמנת מטא-יציבות — ולכן הרגרסיה עוברת, בכל פעם, והסיליקון נכנס לקיפאון בשטח. זו הסיבה שבאגי CDC אוכלים סטים של מסכות. זו גם הסיבה ש-Accellera פתחה תקן יכולת-פעולה הדדית של CDC/RDC ב-2024: הפיצול בין כלי ה-CDC המסחריים החמיר מספיק כדי לשבור את ה-sign-off.
מחלקות שתיים עד חמש חולקות תכונה מפחידה אחת: הן עוברות בסימולציה. הן צצות רק בסיליקון. זו תת-הקבוצה של הבאגים שעדיין מפוצצת tape-outs, וזו בדיוק תת-הקבוצה שמצגת "תופס באגים לוגיים" משאירה על השולחן.
קיר הספקים שצוות שבבים למעשה עומד מולו
כשיצאתי לחפש עזרה עצמאית באמת ל-tape-out, מצאתי פחות אפשרויות מכפי שהיו לי כמה שנים קודם לכן — וזו לא נוסטלגיה, זו מבנה השוק. שלושת ספקי ה-EDA שראש צוות אימות-תכנון יכול באמת לבחור מהם — Synopsys, Cadence, Siemens — עברו מפחות מ-75% מהשוק לפני עשור ליותר מ-85% היום. הוסיפו לכך את מהלך Synopsys — רכישת Ansys בשווי $35B — וארבעת המובילים שולטים בכ-90%. השדה שבו סטארט-אפ fabless עורך קניות הצטמצם, לא התרחב, בדיוק כשהבעיה נעשתה קשה יותר.
והשחקנים הוותיקים אינם עומדים במקום בכל הנוגע ל-AI. Synopsys שיגרה את AgentEngineer במרץ 2026, זרימת עבודה אג'נטית לאימות הטוענת לפי-שניים-עד-חמישה בפרודוקטיביות, והיא יושבת על גבי VC Formal — מחסנית ה-agentic האמינה ביותר של ספק שהערכתי. Cadence הכריזה על ChipStack AI Super Agent בפברואר 2026 ומריצה את Cerebrus AI Studio ליישום מונחה למידת-חיזוק, כאשר JasperGold נשאר המנוע הפורמלי סטנדרט-הזהב שכל השאר נמדדים מולו. אני אומר זאת ללא גמגום: JasperGold ו-VC Formal מצוינים באמת. כל מי שפותח מצגת בהשמצתם סיפר לכם שהם מעולם לא סגרו tape-out אמיתי.
המלכוד הוא התמחור והעמדה. קו הבסיס ההיסטורי של JasperGold עמד על כ-$225K בתוספת $45K למושב — סביר לחברת fabless גדולה, מחוץ להישג יד לסטארט-אפים של RISC-V ומאיצי-AI בשלב מוקדם שעושים את העבודה המעניינת ביותר. ותכונות ה-AI החדשות ביותר של הוותיקים הן cloud-first, מה שמתנגש חזיתית בדרישה האחת שהלקוחות האלה לא יתפשרו עליה. עוד על כך בעוד רגע.
ואז יש את גל הסטארט-אפים, והוא רועש. ב-DAC וב-DVCon האחרונים, ראש צוות DV שאני עובד איתו קיבל מצגות משמונה חברות "agentic AI לתכנון שבבים" שונות ברבעון אחד. ChipAgents גייסה $74M נכון לתחילת 2026 וטוענת לפרודוקטיביות תכנון-ואימות פי-עשרה. Normal Computing גייסה $50M בהובלת Catalyst Fund של Samsung, ובונה אוטו-פורמליזציה — LLMs שמתרגמים את כוונת המהנדס ישירות לתכונות פורמליות ומוכיחים אותן — ואומרת שמחצית מעשר חברות תכנון המוליכים למחצה המובילות בעולם משתמשות בה. יש עוד: MooresLabAI שמייצרת סביבות בדיקה מלאות, Bronco בניתוח רגרסיה, Silimate בחיזוי הספק-ביצועים-שטח.
חלקן אמיתיות. אף אחת מהן אינה פותרת את הבעיה האמיתית של הלקוח, שהיא שהם קנו כעת שלושה מכלי-הנקודה האלה ואין להם מושג איך לגרום להם לעבוד יחד בתוך תהליך ה-sign-off שהם כבר סומכים עליו.
סיפור המיקום בלמידת-חיזוק שאף אחד לא רוצה לומר בקול
יש פיתוי מקביל בתכנון שבבים מעבר לאימות: שימוש בלמידת-חיזוק לביצוע תכנון-הרצפה הפיזי — הכרעה היכן הבלוקים הגדולים יושבים על הדיי. זה מפתה, והתוצאה המצוטטת ביותר שנויה במחלוקת באופן שרוב המצגות מדלגות עליו בנוחות.
מאמר Nature של Google מ-2020 טען ש-RL מנצח simulated annealing במיקום מאקרו, והוא שימש בסיליקון אמיתי — דורות של TPU שוגרו איתו. אך ב-2023, Nature הוסיפה הערת מערכת לאחר שהועלו חששות מתודולוגיים. Igor Markov, כיום ב-Synopsys, פרסם ביקורת שורה-אחר-שורה שהשוואת הכותרת שלה קשה למחוק מהזיכרון: גישת ה-RL ארכה 32.31 שעות, קו בסיס מכוונן של simulated annealing ארך 12.5 שעות, וכלי Cadence מסחרי סיים את אותה עבודה ב-0.05 שעות. DeepMind השיבה במאמר בשם "That Chip Has Sailed". שנים לאחר מכן, שום שכפול חיצוני עצמאי לא אישר את הטענות המקוריות, וגם הביקורת וגם התגובה עדיין פעילות.
אני מעלה את זה בגלל מה שקורה כשיועץ מציג מיקום RL לצוות פורמלי אמיתי ומעמיד פנים שהמחלוקת לא קיימת. הם מריחים את זה בתוך עשר דקות, ואיבדתם את החדר. העמדה הכנה היא שיש נישות אמיתיות — תכנון-רצפה מודע-חום של chiplet ו-3D-IC, פריסת אנלוג, אופטימיזציית IP של RISC-V על כלים פתוחים — שבהן גישה היברידית מצדיקה את קיומה. מתקפה חזיתית על מנועי המיקום של הוותיקים אינה מצדיקה. לדעת את ההבדל, ולומר אותו בקול, זו כל העבודה.
מה השתנה אחרי שהכלי שלנו שיטה בנו
אז לכאן הובילה אותנו קטסטרופת ההוכחה הריקה. הפסקנו לנסות לבנות AI טוב יותר שכותב Verilog, מפני שזה מרוץ צפוף עם שמונה מתמודדים ממומנים, והתחלנו לבנות את הדבר שאף אחד מהם לא מוכר: שכבת אינטגרציה ניטרלית-לספק שהופכת את הכלים הקיימים של צוות לאמינים.
באופן מוחשי, זה אומר כמה החלטות, כל אחת נכפתה בידי כשל שראינו. אנחנו מכווננים מודל open-weight — Qwen Coder, Llama, מה שמתאים — על אלה של הלקוח עצמו — מאגר ה-RTL שלו, המפרטים שלו, היסטוריית הבאגים הקודמת שלו, מפני שמודל שלא ראה את סגנון הבית שלכם יהזה כנגדו. אנחנו עוטפים אותו סביב כל מנוע פורמלי שהצוות כבר מחזיק: JasperGold, VC Formal, Questa Formal, או SymbiYosys בקוד פתוח. אנחנו לעולם לא מבקשים מהם לעקור את כלי סטנדרט-הזהב שהם כבר סומכים עליו. וכל תכונה שהמודל מציע עוברת דרך בדיקות ריקנות וכיסוי לפני שמישהו מורשה לקרוא את המילה "מוכח" — מפני שלמדנו בדרך היקרה שהוכחה לא-שמורה היא תיאטרון.
ספריות ה-assertions המאומתות-מראש חשובות בדיוק כמו המודל. עבור ליבת RISC-V, מתקן האימות הפורמלי מגיע עם בדיקות התאימות של AXI4, AHB ו-TileLink, אסרשנים למפגעי-pipeline, scoreboarding של load-store, תכונות נכונות של יחידת ה-debug — הדברים שתופסים הזיית פרוטוקול והזיה סמנטית לפני שהסיליקון עושה זאת. זה אינו ספקולטיבי. חברת הייעוץ הפורמלי Axiomise מצאה 65+ באגים ב-Ibex, ליבת ה-RISC-V הפתוחה בתוך OpenTitan של Google, כולל באגי פקודות-הסתעפות ביחידת ה-debug שרק אימות פורמלי יכול היה לתפוס. אימות פורמלי עובד על RISC-V. הדבר הנדיר אינו השיטה; אלא צוות שיודע כיצד להשתמש בה.
ההזדמנות האמיתית כאן מעולם לא הייתה מודל Verilog חכם יותר. היא הייתה מתקן כן שעטוף סביב הכלים היקרים שצוות כבר סומך עליהם.
למה שלא פשוט תריצו את זה בענן?
אנשים שואלים אותי את זה כל הזמן, והתשובה היא אותה סיבה שכל סטארט-אפ EDA-AI שהוא cloud-first מת עם הגעתו אצל הלקוחות שאכפת לי מהם: ה-RTL הוא תכשיטי הכתר, והוא אינו יוצא מהבניין.
קוד רמת-העברת-האוגרים (register-transfer-level) של חברת fabless הוא החברה. לקוחות ביטחון ותעופה-וחלל זקוקים לו מבודד-אוויר (air-gapped), לעיתים במתקן מאובטח. צוותי fabless מסחריים רוצים on-prem, virtual-private-cloud כמינימום מוחלט. אז אנחנו מריצים הכול על החומרה של הלקוח עצמו — vLLM או הסקה דומה על אשכול ה-H100 או H200 הקיים שלהם, אחזור מקומי על הקורפוס שלהם, ללא RTL שחוצה את גבול הרשת, לעולם. תכונות ה-agentic החדשות ביותר של הוותיקים הן cloud-first; זו תכונה עבורם ואי-התחלה עבור צוות שבבים רגיש-IP. ההזדמנות הגדולה ביותר שאני רואה אינה בעיית אלגוריתמים כלל. זו בעיית פריסה-ואינטגרציה שהאנשים עם האלגוריתמים הטובים ביותר החליטו לא לפתור.
השאלה האחרת מגיעה מצוותי הרכב, והיא זו שמכריעה עבורם הכול. שגרו שבב לתוך מכונית ברמת ASIL C או D — רמות שלמות הבטיחות שבהן ISO 26262 מפסיק רק להציע אימות פורמלי ומתחיל לחייב אותו — והכלי עצמו חייב לשאת חבילת הסמכה TCL2 או TCL3. למנועי הליבה של הוותיקים יש את ההסמכה של צד שלישי; לכלי AI חדש לגמרי אין. ראיתי כלי טוב יותר באמת מורחק לספסל בתוכנית רכב בדיוק מהסיבה הזו: אין חבילת הסמכה, אין מקום בתהליך ה-sign-off, סוף השיחה. אז אנחנו לא מנסים להיות הכלי המוסמך. אנחנו עוזרים לצוותים להריץ סיוע AI לצד מנועי הוותיקים המוסמכים מבלי לשבור את שרשרת ההסמכה — מפני שברכב, כלי עדיף טכנית שאינו יכול לשרוד ביקורת אינו שווה דבר.
התעודה אינה השבב
אני שב וחוזר לאותם יומיים שבהם בטחנו בסימן וי ירוק שלא היה לו שום משמעות. הלקח לא היה "LLMs גרועים ב-Verilog". הם משתפרים בכל רבעון. הלקח היה שבחומרה, הפער בין נראה מאומת לבין מאומת נמדד בסטים של מסכות בני שמונה ספרות ובהחלקות של שישה חודשים — והכלים הממהרים לתחום הזה בעיקר מתחרים על להפוך את החלק של "נראה מאומת" למהיר יותר.
על סט מסכות של $10M, "מוכח" שאינכם יכולים לעקוב אחריו עד הוכחה לא-ריקה, שרץ על חומרה שאתם שולטים בה, כנגד assertions שנכתבו בידי מישהו שקרא את עמוד 84 של המפרט — זה אינו אימות. זו תקווה עם ערכי הפקה טובים. אם אתם רוצים לראות איך אנחנו מבחינים בהבדל, הכול מפורט ב-veriprajna.com/solutions/semiconductor-ai-verification.
לשבב לא אכפת מה אומר הדוח. הוא עושה רק את מה שהסיליקון באמת נבנה לעשות. אימות הוא הדיסציפלינה של הפיכת שני הדברים האלה לזהים — וברגע ש-AI אומר לכם שהם זהים במילי-שניות, זה בדיוק הרגע שבו כדאי לכם לפנות אל המפרט.
