Governança de sign-off de tape-out para SVA sintéticas geradas por IA

Em um quadro sintético fixo, 8/8 PROVEN torna-se 5/8 TRUSTWORTHY após auditoria.

O Proof Firewall reaudita asserções SystemVerilog sintéticas com status PROVEN quanto a vacuidade, força da asserção e cone de influência antes que entrem em um arquivo de sign-off. No quadro fixo, ele transforma 8/8 provas de fluxo básico em cinco resultados certificados como TRUSTWORTHY e encaminha o restante para revisão humana com uma justificativa. Agentes aconselham, o código decide.

8/8 para 5/8

PROVEN para TRUSTWORTHY

Quadro sintético fixo de oito propriedades após auditoria do firewall

0/6

Eliminações de mutação em PIPE3

Caso sintético em destaque de pipeline fraco

18/18

Concordância no benchmark sintético rotulado

Benchmark de demonstração local, não uma alegação de acurácia em mundo aberto

Esta é uma demonstração executável e reproduzível que utiliza designs e propriedades sintéticos de sistemas de transição criados em fixtures. Não utiliza RTL de clientes, solver em nuvem ou chamada ativa a LLM no fluxo padrão.

A falha de sign-off está oculta dentro de um resultado verde

O sucesso no primeiro silício foi reportado em 14% no estudo do Wilson Research Group e da Siemens EDA de 2024. Um resultado formal merece mais escrutínio quando a asserção pode ter sido gerada por IA: uma implicação pode ser classificada como PROVEN porque seu antecedente nunca ocorre ou porque seu consequente não restringe nada útil.

O Proof Firewall é um portão de governança pós-prova determinístico para essa decisão. Ele não declara que um motor formal está errado. Ele avalia se a prova é defensável o suficiente para ser arquivada para o sign-off humano de tape-out e registra um motivo concreto para cada resultado que certifica ou retém.

Como funciona o portão de governança

A âncora é a qualidade da prova. Cada checagem determinística testa se uma prova verde tem substância suficiente para ser arquivada.

Atingibilidade antes do crédito

O verificador de modelos de estados explícitos testa se o antecedente de uma implicação pode ocorrer na IR de sistema de transição sintética. Um antecedente inatingível é encaminhado como VACUOUS em vez de ser arquivado como evidência.

Teste de eliminação por mutação para aferir força

Mutações pontuais relevantes no design testam se a asserção rejeita variantes com falhas. Uma propriedade que sobrevive a essas mutações é encaminhada como WEAK em vez de receber confiança emprestada de um resultado verde do solver.

COI e roteamento por políticas

O portão calcula o cone de influência e atribui TRUSTWORTHY, BOUNDED-PROVEN, VACUOUS, WEAK, DEAD ou VIOLATED. Apenas TRUSTWORTHY recebe um certificado de demonstração assinado.

O verificador de estados explícitos em puro Python da demonstração encontra rastros de atingibilidade e contraexemplos no modelo finito. Um fallback de profundidade limitada é rotulado como limitado, não reformulado como uma prova irrestrita.

Revisão detalhada de provas no quadro sintético

Cada imagem é uma captura de tela da demonstração sintética em execução. O quadro começa com oito resultados PROVEN no fluxo básico, e a auditoria torna visíveis as evidências retidas.

A auditoria reverte três resultados verdes

O Tape-Out Sign-Off Board exibe inicialmente 8/8 PROVEN em sua visualização de fluxo básico. Após a auditoria do firewall, 5/8 são certificados como TRUSTWORTHY; os três restantes são uma propriedade VACUOUS e duas propriedades WEAK. Trata-se de uma fixture sintética fixa, não de um design de cliente ou resultado de motor comercial.

Tape-Out Sign-Off Board do Proof Firewall mostrando cinco de oito propriedades sintéticas marcadas como TRUSTWORTHY, com um resultado VACUOUS e dois WEAK retidos para revisão. — O quadro sintético auditado: o firewall converte uma visualização de 8/8 PROVEN em cinco certificados TRUSTWORTHY e três retenções justificadas.

ARB3 não prova nada porque seu gatilho nunca ocorre

A asserção sintética ARB3, assert (g0 && g1) |-> (turn == 0), é VACUOUS porque seu antecedente é inatingível no árbitro sintético. O resultado demonstra por que uma implicação provada ainda pode não certificar nada.

Forma de onda do árbitro sintético mostrando ARB3, cujo antecedente g0 e g1 é inatingível e, portanto, classificado como VACUOUS. — ARB3: um antecedente inatingível transforma uma implicação verde em um resultado VACUOUS.

PIPE3 sobrevive às mutações que deveria capturar

A asserção sintética PIPE3, assert v2 |-> (s2 == s2), é WEAK. Seu consequente tautológico sobrevive às mutações injetadas relevantes, e o caso em destaque de pipeline registra 0/6 eliminações de mutação.

Forma de onda do pipeline sintético mostrando PIPE3, uma propriedade tautológica classificada como WEAK após registrar zero de seis eliminações de mutação. — PIPE3: um consequente tautológico recebe o resultado WEAK após um teste de eliminação de mutação de 0/6.

Uma propriedade de CDC mais forte pode exibir seu próprio contraexemplo

A propriedade sintética fraca CDC2 é WEAK. Fortalecê-la para assert (req && !ack) |-> ##1 req a torna VIOLATED na fixture sintética de CDC e produz uma forma de onda concreta de contraexemplo. Isso ilustra uma classe de falha de CDC com perda de transação, não uma alegação sobre um chip real.

Forma de onda concreta de contraexemplo para uma propriedade sintética de CDC fortalecida classificada como VIOLATED na fixture. — A propriedade sintética de CDC fortalecida é VIOLATED, com um contraexemplo que o revisor pode inspecionar.

A revisão gera um comprovante estruturado

O certificado de demonstração assinado registra o veredito de cada propriedade, atingibilidade, resultados de mutação, COI e registros de contraexemplo onde aplicável, além de um campo SHA-256. Isso torna a auditoria revisável sem exigir que o revisor deduza por que um status mudou.

Certificado de demonstração assinado do Proof Firewall mostrando vereditos por propriedade, atingibilidade, resultados de mutação, cone de influência, registros de contraexemplo e um campo SHA-256. — O certificado de demonstração assinado preserva as evidências por trás da certificação ou da revisão humana.

Uma direção de produção agnóstica de motor, não um solver substituto

O Proof Firewall demonstra um portão em torno das evidências de prova. O escopo abaixo separa o que a demonstração faz daquilo que está adiado.

Pergunta	Demonstração do Proof Firewall	Direção de produção
Entrada de prova	IR e SVA sintéticas de sistema de transição criadas em fixtures	Um portão em torno do fluxo formal existente do cliente
Checagens demonstradas	Vacuidade, teste de eliminação por mutação, COI, roteamento por políticas, exportação de certificado	As mesmas perguntas de governança aplicadas às evidências de prova fornecidas
Motores formais	Sem adaptador para motor real	Direção agnóstica de motor, não uma alegação de integração
Tratamento de resultados	Certificados TRUSTWORTHY e retenções explicadas	Revisão humana de sign-off com registro estruturado de evidências

O que esta demonstração não faz

✓ Não faz parsing de RTL em Verilog ou SystemVerilog, não opera sobre RTL de clientes, GDSII ou design de chip real. A V1 utiliza fixtures sintéticas de IR de sistemas de transição.
✓ Não substitui JasperGold, VC Formal, Questa Formal, SymbiYosys ou outro motor formal. Adaptadores para motores reais estão adiados.
✓ Não utiliza LLM ativa por padrão. As propriedades são SVA de autoria de LLM geradas em fixtures, e o fluxo de gravação padrão é determinístico.
✓ Não alega prontidão para tape-out, certificação de segurança, zero respins, resultados de clientes, implantações, ROI ou qualificação regulatória.
✓ Não apresenta 5/8, 18/18, 0/6 ou 7/7 como desempenho em produção ou em toda a indústria. Estes são resultados de fixtures e testes sintéticos locais fixos.

Perguntas que líderes de verificação fazem

Já executamos verificação formal. Por que colocaríamos outro portão após um resultado PROVEN?

Um resultado PROVEN ainda pode se apoiar em um antecedente inatingível ou em uma propriedade que não falha quando o comportamento relevante do design é quebrado. O Proof Firewall demonstra um portão pós-prova determinístico para essas questões: atingibilidade, testes de eliminação por mutação, cone de influência e roteamento por políticas. Ele não substitui um motor formal; sua direção de produção é um portão agnóstico de motor em torno de um fluxo formal existente.

O Proof Firewall se conecta ao JasperGold, VC Formal, Questa Formal ou SymbiYosys hoje?

Não. Adaptadores para motores reais estão adiados nesta demonstração, portanto ela não deve ser interpretada como uma substituição para JasperGold, VC Formal, Questa Formal, SymbiYosys ou outro motor formal. A direção de produção demonstrada é um portão de governança agnóstico de motor em torno do fluxo formal existente de um cliente.

Estes resultados são provenientes de RTL de clientes ou de um gerador de asserções de IA em tempo real?

Não. O quadro, as asserções SystemVerilog, os designs, o benchmark e os contraexemplos são sintéticos. O fluxo de gravação padrão utiliza propriedades SVA de autoria de LLM criadas em fixtures e uma IR sintética de sistema de transição, não RTL de clientes ou chamada ativa a LLM.

O que o resultado de 8/8 para 5/8 realmente mediu?

É um quadro sintético fixo de oito propriedades. Sua linha de base de fluxo básico exibe 8/8 PROVEN; após a auditoria do firewall, cinco são certificados como TRUSTWORTHY, enquanto um é VACUOUS e dois são WEAK. Não é uma taxa de RTL de produção, um resultado de cliente ou um resultado geral para asserções sintéticas geradas por IA.

Como a demonstração decide que uma asserção é vácua ou fraca?

O portão de governança verifica se o antecedente é atingível, executa mutações pontuais relevantes no design e calcula o cone de influência de cada propriedade. ARB3 é VACUOUS porque seu antecedente é inatingível no árbitro sintético. PIPE3 é WEAK porque seu consequente tautológico sobrevive às mutações injetadas relevantes, com resultado de eliminação de mutação de 0/6 no caso em destaque de pipeline.

Quais evidências um revisor pode extrair desta demonstração?

A interface exporta signoff_certificate.json com vereditos por propriedade, atingibilidade, resultados de mutação, cone de influência, registros de contraexemplo onde aplicável e um campo SHA-256. Apenas TRUSTWORTHY recebe um certificado de demonstração assinado; resultados BOUNDED-PROVEN, VACUOUS, WEAK, DEAD e VIOLATED são retidos para revisão humana com uma justificativa.

Pesquisa Técnica

A pesquisa por trás desta demonstração — a arquitetura, o design de verificação e o blueprint empresarial.

Solução completa

Explore a solução Verificação de IA para Semicondutores & Correção do Silício →

Traga a governança de qualidade de provas para a discussão de sign-off

Convidamos líderes de verificação a debater caminhos determinísticos de evidências para fluxos de engenharia de alto risco assistidos por IA.

A próxima conversa útil é sobre os artefatos de prova que sua equipe precisa inspecionar, a fronteira de políticas que um revisor pode defender e o que uma direção de produção agnóstica de motor exigiria.

Avaliação de Governança de Provas

✓ Mapear o fluxo atual de revisão de provas
✓ Identificar evidências de vacuidade e força
✓ Definir estados de políticas de sign-off
✓ Especificar registros de certificados revisáveis

Design do Caminho de Governança

✓ Projetar portões de evidências agnósticos de motor
✓ Construir roteamento determinístico por políticas
✓ Modelar fluxos de trabalho de auditoria e exceção
✓ Planejar repasses para sign-off humano

Conectar via WhatsApp Envie um e-mail para nossa equipe