Construímos pipelines de verificação personalizados que envolvem LLMs de pesos abertos ajustados em torno do seu mecanismo formal existente (JasperGold, VC Formal, Questa Formal ou SymbiYosys) e executam inteiramente no seu próprio hardware. Nenhum RTL sai da sua rede. Sem dependência de fornecedor. Opinativos sobre asserções SystemVerilog, honestos sobre o que a verificação formal pode e não pode provar, e fluentes em RISC-V, AXI4 e na economia de tape-out de 3nm.
14%
sucesso de primeiro silício
Wilson / Siemens 2024
US$ 10–40 mi
conjunto de máscaras, 5nm a 3nm
SemiAnalysis 2024
70%
respins causados por desvio de especificação
Wilson / Siemens 2024
O estudo de Verificação Funcional do Wilson Research Group / Siemens EDA de 2024 colocou o sucesso de primeiro silício em 14%, o número mais baixo em vinte anos de acompanhamento. Em 2020 era 32%. A causa não é engenharia preguiçosa. É a complexidade superando as ferramentas de verificação, uma especificação que muda mais rápido que o testbench e uma nova classe de falhas que LLMs generalistas introduzem no RTL. Vemos cinco modos de alucinação em código HDL que o setor ainda não nomeou de forma clara.
Código que não compila. Capturado pelo Verilator, Icarus ou pelo front-end de síntese em segundos. Esta é a classe que o setor já sabe como tratar.
LLMs treinados em Python e C escrevem Verilog como se as instruções fossem executadas sequencialmente. Eles usam atribuições bloqueantes (=) dentro de blocos always_ff sincronizados onde atribuições não bloqueantes (<=) são necessárias. O simulador pode agendar eventos em uma ordem que mascara a condição de corrida. A síntese produz uma lógica diferente. O silício trava em deadlock.
O código compila e passa em 90% dos testes direcionados. Então ele afirma WVALID antes de AWREADY, ou mantém VALID em alto enquanto altera os dados, ou viola uma subcláusula escondida na página 84 da especificação AMBA. O chip funciona no harness de teste interno e trava no momento em que é conectado a um controlador de memória de terceiros. Capturamos isso com bibliotecas SVA pré-verificadas para cada protocolo, não com mais ciclos de simulação.
O LLM gera uma propriedade SVA. O mecanismo formal a prova. Você entrega. A propriedade era trivialmente verdadeira porque o antecedente nunca dispara. Isso é pior do que nenhuma verificação, porque você tem um certificado que diz "provado" sobre um projeto com bugs. Qualquer fluxo formal que não execute verificações de vacuidade é teatro. A Siemens vem alertando sobre isso desde 2017 e o campo ainda entrega ferramentas sem isso.
LLMs veem nomes de sinais, não domínios de clock. Eles conectam um sinal do domínio de CPU de 2 GHz diretamente a um flop do domínio periférico de 400 MHz, pulam o sincronizador de duplo flip-flop, e a simulação não consegue capturá-lo porque a simulação de RTL não modela metaestabilidade. A Accellera abriu um padrão de interoperabilidade de CDC/RDC/Glitch em 2024 justamente porque a fragmentação entre SpyGlass, Questa CDC e Conformal CDC estava quebrando o sign-off.
Por que isso importa em dólares: 70% dos respins são causados por mudanças de especificação, não por bugs de lógica puros (dados Wilson / Siemens de 2024). Portanto, um fluxo de verificação que só captura bugs de lógica trata apenas um subconjunto. As Classes 2 a 5 acima são o subconjunto que ainda estoura tape-outs, porque elas contornam a simulação e só aparecem no silício. Um respin de 5nm custa US$ 10 mi em máscaras mais um atraso de cronograma de 3 a 6 meses. Em um ciclo de produto de 18 meses, um atraso de 6 meses pode apagar metade da receita ao longo da vida útil.
Suas alternativas reais não são teóricas. São as três gigantes de EDA (a quem você quase certamente já paga), seis startups de IA agentic bem financiadas que estão te abordando na DVCon e na DAC, integradores de sistemas Big 4 e as consultorias especializadas em formal. Não temos nenhum produto para vender contra eles. Nós te ajudamos a escolher, integrar e operar a combinação certa.
| Opção | O que elas realmente fazem | Pontos fortes | Lacunas honestas |
|---|---|---|---|
| Cadence JasperGold, Cerebrus AI Studio, ChipStack Super Agent |
Mecanismo formal padrão-ouro. Implementação digital multi-bloco orientada por RL. Super agente de IA agentic anunciado em fev de 2026. | JasperGold é a ferramenta formal de referência. Integração profunda com foundries. ~30% do mercado de EDA. | O preço histórico de base do JasperGold (US$ 225 mil base + US$ 45 mil/assento) está fora do alcance da maioria das startups de RISC-V / aceleradores de IA em estágio inicial. Os recursos agentic cloud-first não atendem aos requisitos on-premise sensíveis a IP. |
| Synopsys VC Formal, DSO.ai, AgentEngineer |
Fluxo de trabalho agentic L4 (AgentEngineer, março de 2026), produtividade alegada de 2 a 5x. Exploração de espaço de projeto baseada em RL. A aquisição da Ansys por US$ 35 bi adiciona multifísica. | A base de clientes mais profunda. Toda grande fabless já tem um contrato VC Formal. O AgentEngineer é a pilha agentic de fornecedor mais credível hoje. | Fluxos personalizados e opinativos não são o negócio deles. Eles não vão te dizer para usar um modelo de pesos abertos ou o SymbiYosys. Pequenas operações recebem atenção padronizada. |
| Siemens EDA Questa Formal, Questa CDC, Catapult HLS |
Franquia forte de formal e CDC do Questa. Publica o estudo Wilson. O histórico mais profundo em ISO 26262 automotivo. | Expertise em qualificação automotiva. Boa narrativa de CDC / RDC. Pacotes de qualificação de ferramentas prontos. | A narrativa de IA agentic fica atrás da Cadence e da Synopsys. Menos foco no ecossistema RISC-V. |
| ChipAgents US$ 74 mi no total, fev de 2026 |
Projeto e verificação de RTL multiagente. Demo na DVCon 2026 de Análise de Causa Raiz multiagente sem humano no loop. | A narrativa agentic pure-play mais forte. Matter Ventures (apoiada pela TSMC), Bessemer, Micron, MediaTek, Ericsson na tabela de capitalização. | Plataforma em nuvem. O caminho de implantação on-premise / air-gapped não é claro para clientes sensíveis a IP. A integração em um fluxo de sign-off Jenkins/CI existente ainda é faça você mesmo. |
| Normal Computing US$ 85 mi+ no total, mar de 2026 |
Auto-formalização: o LLM traduz a intenção do engenheiro em propriedades formais e as prova. A Samsung Catalyst liderou a última rodada. Programa ARIA Scaling Compute. | O par mais próximo na tese de LLM + formal. Alega que metade das 10 maiores firmas de projeto de semicondutores está usando o Normal EDA. Entregou silício real (CN101). | Produto, não consultoria. Não serve se você precisa de ajuste fino personalizado no seu corpus de RTL proprietário ou de integração em um fluxo legado que você não vai descartar. |
| Axiomise Consultoria especializada em formal |
App formalISA implantado no Ibex, CVA6, cheriot-ibex, 0riscy, cv32e40p, WARP-V. Encontrou mais de 65 bugs no Ibex, incluindo seis bugs de desvio na unidade de debug. | O histórico mais credível de verificação formal de RISC-V do setor. Achados de bugs reais e publicáveis. Profunda expertise em ISA. | Equipe pequena. Apenas métodos formais; sem geração de SVA assistida por LLM, sem narrativa de LLM on-premise, sem integração com a onda da IA agentic. |
| Big 4 / grandes SIs Accenture, Deloitte, Wipro, HCL |
Grandes práticas de serviços de VLSI / verificação. Headcount disponível na prateleira. | Escala. Entrega offshore. MSA existente com sua área de compras. | Economia de body-shop. Arquitetura opinativa de verificação por IA não é o negócio deles. O sócio que te vendeu o contrato nunca escreveu uma propriedade SVA na vida. |
| Veriprajna Construção personalizada e neutra em relação a fornecedores |
Ajustar finamente um LLM coder de pesos abertos no seu corpus de RTL, envolvê-lo em torno de qualquer mecanismo formal que você já possua, conectá-lo ao seu Jenkins/CI, adicionar métricas de vacuidade e cobertura. Tudo no seu hardware. | Sem produto para empurrar. On-premise / air-gapped por padrão. RISC-V, AXI4, debug RISC-V e a economia de cobertura formal são nossa zona de conforto. Honestos sobre o que a verificação formal pode e não pode fazer. | Não substituímos seu mecanismo formal. Não entregamos uma ferramenta ISO 26262 qualificada própria. Desvio de especificação e mudança organizacional são problemas que a consultoria não pode resolver; só podemos projetar contornando-os. |
As informações de preços, financiamento e produtos refletem divulgações públicas até o início de 2026. Sempre verifique os termos atuais diretamente com cada fornecedor.
Cada contrato é personalizado. Estes são os cinco formatos que a maioria dos clientes fabless acaba pedindo, e as escolhas opinativas que fazemos dentro de cada um.
Um modelo coder de pesos abertos ajustado (Qwen 2.5 Coder, DeepSeek Coder, Llama 3.3 ou Mistral Large) rodando no seu próprio cluster H100 ou H200, envolvido em torno de qualquer mecanismo formal que você já possua. Nenhum RTL jamais sai da sua rede.
O que utilizamos: vLLM para inferência, adaptadores LoRA por família de IP para que os pesos base permaneçam compartilhados, RAG local sobre seus documentos de especificação e histórico de bugs anteriores, uma camada fina de orquestração que chama JasperGold, VC Formal, Questa Formal ou SymbiYosys por meio de suas APIs Tcl/Python. O LLM nunca executa o solver. Ele escreve propriedades e interpreta contraexemplos.
Por que isto não é uma API hospedada: porque seu RTL é IP joia da coroa e seu CISO não vai assinar um acordo de processamento de dados com uma startup dos EUA ou da UE fundada no ano passado.
Bibliotecas de asserções SystemVerilog pré-construídas para conformidade com AXI4, AXI4-Lite, APB, AHB e TileLink, além de detecção de hazards no pipeline RISC-V, scoreboarding da Load-Store Unit, correção da unidade de debug e verificação de acesso a CSR, ajustadas à sua ISA de extensão personalizada.
O ponto de referência: A Axiomise encontrou mais de 65 bugs no core Ibex via formal, incluindo seis bugs de desvio na unidade de debug que a simulação deixou passar. A verificação formal funciona em RISC-V. O gargalo é a escassez de engenheiros que conseguem escrever as asserções. Nós construímos a biblioteca para que sua equipe não precise.
Ressalva honesta: uma biblioteca de asserções curada é mais confiável do que a geração via LLM do zero, mas ainda não pode provar a ausência de todas as classes de bugs. Nós a combinamos com análise de cobertura COI (cone de influência) e baseada em mutação.
Seu líder de DV está sendo abordado por ChipAgents, Normal Computing, MooresLabAI, Silimate, Bronco AI e pelos produtos agentic internos da Cadence e Synopsys. Seis produtos, seis alegações diferentes, zero benchmarks independentes no seu RTL real.
O que fazemos: executar um bake-off estruturado de quatro semanas na sua base de código sob NDA. Mesmo conjunto de testes, mesmo orçamento de bugs, mesmas metas de cobertura. Relatório honesto comparando taxa de descoberta de bugs, taxa de falsos positivos, esforço de configuração, dívida de integração e os termos de preço que cada fornecedor realmente te ofereceu.
Por que os compradores confiam isso a nós: não revendemos nenhum desses produtos. Se a resposta certa for "continue com o JasperGold e adicione um auxílio fino de LLM", nós vamos dizer.
Cada pull request que toca o RTL é revisado por um pipeline multiagente antes de um humano olhar para ele. Um agente faz lint e verifica o estilo. Um segundo executa um conjunto de propriedades formais derivado dos arquivos alterados. Um terceiro verifica os caminhos de CDC e RDC. Um quarto gera um resumo legível por humanos com traces de contraexemplos onde as propriedades falharam.
Escolha opinativa: executamos os agentes dentro do seu CI existente (Jenkins, GitLab, BuildKite, qualquer um). Não substituímos seu CI por uma nova plataforma. Os agentes são serviços que o pipeline chama. Quando você nos dispensar, você fica com o pipeline.
O que nos recusamos a construir: um agente que faça merge automático de RTL sem revisão humana. Silício não é um microsserviço. Você não pode entregar um hotfix para um chip.
Este é o único lugar em que achamos que aprendizado por reforço para posicionamento realmente vale a pena implantar. Os incumbentes (Cadence Cerebrus, Synopsys DSO.ai) estão otimizados para SoCs 2D monolíticos. A onda de chiplet / UCIe abriu uma nova classe de problema de floorplanning (comprimento de fio entre chiplets, empilhamento térmico, restrições de pitch de bump) onde o ferramental público é imaturo.
O que construímos: um floorplanner híbrido de simulated annealing + RL sobre o OpenROAD para a fase de particionamento de chiplets, com restrições térmicas como termo de recompensa de primeira classe. Avaliado contra resultados publicados de ISPD / ICCAD antes de tocarmos no seu projeto.
Reconhecemos a controvérsia do AlphaChip diretamente. A crítica de Igor Markov em 2023 mostrou o Google Circuit Training levando 32 horas onde um simulated annealing ajustado levava 12,5 horas e uma ferramenta comercial da Cadence levava 0,05 hora. Não apresentamos RL como substituto do SA ajustado em problemas bem compreendidos. Nós o usamos onde o espaço de projeto é genuinamente novo e a intuição humana não tem priors para se basear.
Cada contrato começa com uma fase de escopo de duas semanas sobre um pequeno bloco do seu RTL antes de tocarmos em qualquer coisa maior. Preferimos sair na segunda semana a queimar seu cronograma em um encaixe ruim. Cadência típica para uma construção completa.
Ler sua especificação, percorrer seu fluxo existente, escolher um bloco representativo (muitas vezes uma interface de barramento, um árbitro ou um único estágio de pipeline RISC-V) e executar nosso harness formal de base sobre ele. Resultado: um relatório escrito com as classes de bugs que vemos, as asserções que construiríamos e uma estimativa de custo para o contrato completo. Se a resposta for "você deveria continuar fazendo o que está fazendo", nós dizemos e cobramos apenas as duas semanas.
Pilha de LLM on-premise implantada no seu cluster. Modelo base ajustado finamente com adaptadores LoRA no seu corpus de RTL. RAG indexado sobre suas especificações e banco de bugs anteriores. Conexões com seu mecanismo formal, seu Jenkins/CI e seu rastreador de issues. Instrumentamos tudo com métricas de cobertura de prova, vacuidade e profundidade limitada desde o primeiro dia.
Portamos ou escrevemos a biblioteca SVA (conformidade de protocolo, pipeline, CDC) para seus 3 a 5 principais blocos de IP. Executamos a regressão formal. Triamos os achados com seu líder de DV. Sua equipe se apropria de cada asserção ao final da fase. Sem caixas-pretas.
Seus engenheiros executam o fluxo por dois sprints completos com a gente observando. Documentamos cada escolha opinativa que fizemos para que a próxima pessoa possa entender o porquê. Saímos. Retainer opcional para ajuste de regressão, se preferir.
Os prazos são faixas honestas, não números de vendas. Um bloco de pipeline de 2 estágios pode ser concluído em três semanas. Um core RISC-V completo com extensões personalizadas fica mais próximo de cinco meses. Dizemos isso de antemão e não comprimimos para bater uma data artificial.
Três entradas. Diz a você a exposição ao custo de máscara, o atraso de cronograma esperado e a receita em risco em um respin de silício no seu nó. Os números vêm do estudo do Wilson Research Group / Siemens de 2024, de dados recentes de custo de máscara da SemiAnalysis e de ciclos de produto típicos de 18 meses. Use-a na sua próxima revisão de prontidão para tape-out. O resultado recomenda ações específicas que você pode tomar sem nos contratar.
Exposição ao custo de máscara
por respin, um conjunto de camadas
Atraso de cronograma
faixa típica
Receita em risco
por janela de mercado perdida
Ações recomendadas (em ordem)
As faixas de custo do conjunto de máscaras vêm da SemiAnalysis e de divulgações públicas da TSMC / Samsung. A taxa base de sucesso de primeiro silício (14%) vem do Relatório de Tendências de Verificação Funcional do Wilson Research Group / Siemens de 2024. O impacto na receita pressupõe um ciclo de produto de 18 meses em que um atraso de 6 meses corrói aproximadamente 50% da receita ao longo da vida útil.
Estas são perguntas reais de clientes fabless e RISC-V. Cada resposta acrescenta profundidade não coberta nas seções acima.
Não. Toda arquitetura de implantação que entregamos roda no seu hardware. Os pesos do modelo ajustado finamente ficam no seu cluster. Os adaptadores LoRA com seu ajuste específico de IP ficam atrás do seu firewall. A inferência vLLM roda nas suas GPUs. O RAG indexa seus documentos de especificação a partir do seu próprio repositório de documentos. Nossos engenheiros acessam o ambiente por meio da sua VPN e SSO padrão com registro de auditoria. Para clientes de defesa, aeroespacial e SCIF, entregamos toda a pilha em pacotes de atualização offline assinados e não exigimos nenhuma conexão de saída do ambiente. A única exceção é o download inicial do modelo base, que é feito em um sistema não classificado e depois transferido. Se você precisar de um air gap mais rigoroso do que isso, nós já fizemos.
A vacuidade é o modo de falha que mais nos preocupa, e é a razão pela qual todo fluxo formal que entregamos executa uma verificação de três camadas. Primeiro, a verificação de vacuidade nativa do mecanismo formal (JasperGold e VC Formal têm uma; o SymbiYosys precisa de um wrapper que fornecemos). Segundo, uma verificação de sanidade baseada em mutação onde injetamos um bug no projeto e confirmamos que a asserção dispara. Uma asserção que passa na vacuidade mas não captura bugs injetados não está te trazendo nada. Terceiro, um relatório de COI (cone de influência) mostrando exatamente quais sinais cada propriedade alcança. Se uma propriedade tem um COI vazio, ela é código morto e nós a deletamos. Estas são as mesmas métricas sobre as quais a Siemens vem publicando na Verification Horizons desde 2017 e nós as tratamos como requisito básico.
Não diretamente para sign-off, e não vamos fingir o contrário. A ISO 26262 exige qualificação de ferramenta (TCL2 ou TCL3 dependendo de como você usa a ferramenta) com um pacote de qualificação documentado. Synopsys, Cadence e Siemens todas entregam fluxos qualificados; uma ferramenta personalizada assistida por LLM não está nessa lista. O que construímos para clientes automotivos é uma camada de auxílio de IA que roda ao lado da ferramenta qualificada, não em seu lugar. A ferramenta qualificada ainda produz a evidência de sign-off. Nossa camada acelera a autoria de asserções, revisa propriedades em busca de vacuidade e sinaliza caminhos de CDC para inspeção humana. A cadeia de qualificação da sua ferramenta com sign-off permanece intocada. Clientes ASIL D também devem planejar uma revisão de independência documentada entre a camada de auxílio e a verificação qualificada, que nós te ajudamos a estruturar.
Você pode. Ambas são bem financiadas, tecnicamente credíveis e têm clientes reais. A razão pela qual as equipes vêm até nós depois de avaliá-las costuma ser uma de três coisas. Primeiro, o modelo de implantação em nuvem não passou na revisão de segurança delas (comum). Segundo, elas precisavam de ajuste fino numa ISA de extensão personalizada proprietária que a equipe de produto não conseguiu priorizar. Terceiro, elas queriam uma integração personalizada em um fluxo de Jenkins / regressão / sign-off existente que a equipe de produto não consegue suportar sem um contrato de serviços profissionais de seis dígitos. Se nada disso se aplica a você, o produto provavelmente é a resposta certa e nós vamos dizer. Se isso se aplica, construímos a camada personalizada e te deixamos com um sistema que seus próprios engenheiros podem manter. Em pilotos, recomendamos colocar todas as três opções no mesmo RTL por quatro semanas. O bake-off é barato comparado a uma aposta errada.
Achamos que a crítica de Igor Markov estava tecnicamente correta nos números específicos. O Google Circuit Training em 32 horas versus simulated annealing ajustado em 12,5 horas e uma ferramenta comercial da Cadence em 0,05 hora não é uma história de RL vencendo o posicionamento para SoCs convencionais. Isso não significa que RL é inútil para silício. Significa que o enquadramento de 2020 estava errado. Os lugares onde achamos que o posicionamento por RL justifica sua computação hoje são o floorplanning de chiplet e 3D-IC, onde o espaço de projeto é genuinamente novo, o layout analógico ciente de térmica, onde as ferramentas existentes são fracas, e o aprendizado por transferência entre famílias de IP RISC-V intimamente relacionadas, onde um agente treinado na sua geração anterior te dá um warm-start. Não apresentamos posicionamento por RL contra o DSO.ai ou o Cerebrus em um SoC digital monolítico de 5nm. Essa é uma luta que perderíamos e você pagaria por isso.
Honestamente, este é o problema mais difícil em verificação e nenhuma ferramenta de IA o resolve de forma limpa. O que fazemos é tratar a especificação como uma entrada de primeira classe para o fluxo de verificação. O LLM observa o repositório de especificação (Confluence, Google Docs, Git, qualquer um que você use) e sinaliza propriedades cuja premissa subjacente mudou. Quando um revisor marca uma seção da especificação como revisada, as propriedades dependentes são reexecutadas automaticamente e o relatório de delta vai para o líder de DV antes de a próxima regressão fechar. Isso não elimina o desvio de especificação. Nada elimina. Torna o desvio visível em horas em vez de no silício. A maior vitória que vemos nisso é capturar "a especificação mudou dois sprints atrás e ninguém reexecutou as propriedades formais afetadas" antes que se propague pela hierarquia.
Não. O JasperGold é o melhor mecanismo formal comercial e nós o usamos quando o cliente já o possui. O que adicionamos é a camada de auxílio de LLM por cima dele (geração de asserções, interpretação de contraexemplos, verificações de sanidade de vacuidade) e uma integração de CI que a maioria das equipes não teve tempo de construir de forma limpa. O retorno do seu investimento existente em JasperGold sobe, não desce. Se você não possui o JasperGold e não consegue justificar o preço de base + por assento, normalmente recomendamos um híbrido de Questa Formal (mais barato por assento) para regressão em massa e SymbiYosys (open-source) para debug automatizado de propriedades. Já entregamos esta pilha para startups de IP RISC-V onde a compra do JasperGold não era uma opção.
Já construímos fluxos úteis para uma startup de IP RISC-V de 6 pessoas e já construímos para uma empresa de aceleradores de IA de 400 pessoas. O limite inferior é a presença de pelo menos um engenheiro que se sinta confortável lendo SVA e interpretando um trace de contraexemplo formal. Se ninguém na equipe consegue ler uma propriedade SVA, nenhum fluxo assistido por LLM vai fechar essa lacuna, e você deveria contratar ou terceirizar essa habilidade antes de se engajar com a gente ou com qualquer outro. Além dessa linha de base, o contrato escala conforme a quantidade de RTL em escopo. Um único bloco de interface de barramento é um trabalho de seis semanas. Um core RISC-V completo com extensões personalizadas e um fabric de interconexão é de quatro a seis meses.
Os whitepapers interativos que embasam esta página. Cada um é o tratamento técnico mais aprofundado de uma única tese, escrito para o líder de DV que quer ver a matemática, as referências e as escolhas opinativas que fizemos.
A arquitetura "Formal Sandwich", SVA gerado por LLM com prova baseada em SMT, refinamento guiado por contraexemplos, e por que o neuro-symbolic supera os copilots-wrapper para hardware. Nosso artigo âncora sobre LLM + verificação formal para projeto de semicondutores fabless.
A versão honesta da história de RL para posicionamento. Onde o aprendizado por reforço justifica sua computação (chiplets, 3D-IC, analógico, aprendizado por transferência) e onde o simulated annealing e as ferramentas comerciais ainda vencem. Inclui nossa leitura direta da controvérsia AlphaChip / Markov.
Integração de LLM on-premise + mecanismo formal, bibliotecas de asserções RISC-V e seleção de ferramentas neutra em relação a fornecedores para equipes fabless de 7nm a 2nm.
Escopo pago de duas semanas em um bloco do seu RTL antes de qualquer compromisso maior. Se não enxergarmos valor, nós dizemos e cobramos apenas a fase de escopo.