適用於合成 AI 編寫 SVA 的 Tape-out 簽核治理

在固定的合成看板上，經過審計後 8/8 PROVEN 轉變為 5/8 TRUSTWORTHY。

Proof Firewall 在合成的 PROVEN SystemVerilog 斷言進入簽核檔案之前，重新審計其空泛性、斷言強度與影響錐。在固定的看板上，它將 8/8 的裸流程證明轉換為五個經認證的 TRUSTWORTHY 結果，並附帶具體原因將其餘結果轉由人工審查。代理人建言，程式碼決策。

8/8 轉為 5/8

PROVEN 轉為 TRUSTWORTHY

防火牆審計後的固定合成八屬性看板

0/6

PIPE3 突變擊殺

精選合成弱管線案例

18/18

標註合成基準測試一致性

本地示範基準測試，非開放環境準確度聲明

這是一個使用夾具編寫的合成轉移系統設計與屬性、可運行且可重現的示範。它在預設路徑上不使用客戶 RTL、雲端求解器或即時 LLM 調用。

簽核失敗隱藏在綠色結果之中

在 Wilson Research Group 與 Siemens EDA 於 2024 年的研究中，首次矽晶成功率僅有 14%。當斷言可能是由 AI 編寫時，形式化結果值得更嚴格的審查：一個蘊涵式可能僅僅因為其前件從未發生，或者因為其後件未約束任何有用內容，而被判定為 PROVEN。

Proof Firewall 是針對該決策的確定性證明後治理關卡。它並非宣告形式化引擎出錯，而是詢問該證明是否具備足夠的答辯力以歸檔供人工 Tape-out 簽核，並為其認證或扣留的每個結果留下具體原因。

治理關卡如何運作

其核心在於證明品質。每項確定性檢查都會測試綠色證明是否具備足夠的實質內容以供歸檔。

認可之前先驗證可達性

顯式狀態模型檢驗器會測試蘊涵式的前件是否可能在合成轉移系統 IR 中發生。不可達的前件會被歸類為 VACUOUS，而非作為證據歸檔。

用於檢驗強度的突變擊殺測試

相關的單點設計突變會測試該斷言是否會拒絕損壞的變體。在這些突變中存活下來的屬性會被歸類為 WEAK，而非允許其借用綠色求解器結果的置信度。

影響錐與策略路由

該關卡計算影響錐並指派 TRUSTWORTHY、BOUNDED-PROVEN、VACUOUS、WEAK、DEAD 或 VIOLATED。只有 TRUSTWORTHY 會獲得已簽署的示範憑證。

本示範的純 Python 顯式狀態檢驗器會在有限模型中尋找可達性與反例軌跡。有界深度回退會被標記為有界，而非被重塑為無條件的證明。

合成看板上的實作證明審查

每張圖片皆為運行中合成示範的螢幕截圖。看板最初顯示八個 PROVEN 裸流程結果，隨後審計使被扣留的證據顯現出來。

審計推翻了三個綠色結果

Tape-Out 簽核看板在其裸流程視圖中最初顯示 8/8 PROVEN。在防火牆審計之後，5/8 被認證為 TRUSTWORTHY；其餘三個為一個 VACUOUS 和兩個 WEAK 屬性。這是一個固定的合成夾具，而非客戶設計或商業引擎結果。

Proof Firewall Tape-Out 簽核看板顯示八個合成屬性中有五個標記為 TRUSTWORTHY，其中一個 VACUOUS 和兩個 WEAK 結果被扣留以待審查。 — 經審計的合成看板：防火牆將 8/8 PROVEN 視圖轉換為五個 TRUSTWORTHY 憑證與三個附帶說明的扣留。

ARB3 未證明任何實質內容，因為其觸發條件從未發生

合成的 ARB3 斷言， assert (g0 && g1) |-> (turn == 0)，為 VACUOUS，因為其前件在合成仲裁器中不可達。該結果展示了為何已證明的蘊涵式仍可能無法證明任何實質內容。

來自合成仲裁器的波形顯示 ARB3，其 g0 與 g1 前件不可達，因此被歸類為 VACUOUS。 — ARB3：不可達的前件將綠色蘊涵式轉變為 VACUOUS 結果。

PIPE3 在本應捕獲的突變中存活

合成的 PIPE3 斷言， assert v2 |-> (s2 == s2)，為 WEAK。其恆真後件在相關的注入突變中存活下來，精選管線案例記錄了 0/6 的突變擊殺。

來自合成管線的波形顯示 PIPE3，這是一個在記錄了六個突變擊殺中零個（0/6）後被歸類為 WEAK 的恆真屬性。 — PIPE3：恆真後件在 0/6 突變擊殺測試後獲得 WEAK 結果。

更強的 CDC 屬性能展現其自身的反例

合成的弱 CDC2 屬性為 WEAK。將其強化為 assert (req && !ack) |-> ##1 req 會使其在合成 CDC 夾具上變為 VIOLATED，並產生具體的反例波形。它說明了一種遺失事務的 CDC 故障類別，而非對真實晶片的聲明。

夾具上被歸類為 VIOLATED 的強化合成 CDC 屬性之具體反例波形。 — 強化的合成 CDC 屬性為 VIOLATED，並帶有審查人員可檢查的反例。

審查留下一份結構化的憑據

已簽署的示範憑證記錄了每個屬性的判定、可達性、突變結果、影響錐以及適用的反例記錄，外加一個 SHA-256 欄位。它使審計具備可審查性，無需審查人員推斷狀態改變的原因。

Proof Firewall 已簽署的示範憑證顯示各屬性的判定、可達性、突變結果、影響錐、反例記錄及 SHA-256 欄位。 — 已簽署的示範憑證保留了認證或人工審查背後的證據。

與引擎無關的生產方向，而非替代求解器

Proof Firewall 展示了圍繞證明證據的關卡。下列範圍區分了本示範所做的工作與延後進行的工作。

問題	Proof Firewall 示範	生產方向
證明輸入	夾具編寫的合成轉移系統 IR 與 SVA	圍繞客戶現有形式化流程的關卡
展示的檢查	空泛性、突變擊殺測試、影響錐、策略路由、憑證匯出	應用於所提供證明證據的相同治理問題
形式化引擎	無真實引擎配接器	與引擎無關的方向，非整合聲明
結果處理	TRUSTWORTHY 憑證與附說明的扣留	具備結構化證據記錄的人工簽核審查

本示範未涵蓋之處

✓ 它不解析 Verilog 或 SystemVerilog RTL，不在客戶 RTL、GDSII 或真實晶片設計上運行。V1 使用合成轉移系統 IR 夾具。
✓ 它不替代 JasperGold、VC Formal、Questa Formal、SymbiYosys 或其他形式化引擎。真實引擎配接器已延後。
✓ 預設情況下它不使用即時 LLM。這些屬性為夾具編寫、LLM 編寫的 SVA，且預設記錄路徑為確定性的。
✓ 它不聲稱 Tape-out 就緒、安全認證、零次重新流片、客戶成效、部署、ROI 或法規資格。
✓ 它不將 5/8、18/18、0/6 或 7/7 呈現為生產環境或全行業的效能。這些是來自固定本地合成夾具與測試的結果。

驗證負責人常問的問題

我們已經在運行形式化驗證。為什麼要在 PROVEN 結果之後再設置一道關卡？

PROVEN 結果仍可能建立在不可達的前件上，或者建立在當相關設計行為損壞時不會失敗的屬性上。Proof Firewall 展示了針對這些問題的確定性證明後關卡：可達性、突變擊殺測試、影響錐與策略路由。它不會取代形式化引擎；其生產方向是圍繞現有形式化流程的、與引擎無關的關卡。

Proof Firewall 目前是否連接至 JasperGold、VC Formal、Questa Formal 或 SymbiYosys？

否。在本示範中真實引擎配接器已延後，因此絕不能將其視為 JasperGold、VC Formal、Questa Formal、SymbiYosys 或其他形式化引擎的替代品。所展示的生產方向是圍繞客戶現有形式化工作流程的、與引擎無關的治理關卡。

這些結果是否來自客戶 RTL 或即時 AI 斷言生成器？

否。看板、SystemVerilog 斷言、設計、基準測試與反例皆為合成的。預設記錄路徑使用夾具編寫、LLM 編寫的 SVA 屬性與合成轉移系統 IR，而非客戶 RTL 或即時 LLM 調用。

8/8 轉為 5/8 的結果究竟衡量了什麼？

這是一個固定的合成八屬性看板。其裸流程基準顯示 8/8 PROVEN；在防火牆審計之後，五個被認證為 TRUSTWORTHY，而一個為 VACUOUS，兩個為 WEAK。這不是生產 RTL 比率、客戶結果，也不是合成 AI 編寫斷言的普遍結果。

本示範如何判定斷言為空泛（vacuous）或脆弱（weak）？

治理關卡會檢查前件是否可達、運行相關的單點設計突變，並計算每個屬性的影響錐。ARB3 為 VACUOUS，因為其前件在合成仲裁器中不可達。PIPE3 為 WEAK，因為其恆真後件在相關的注入突變中存活下來，在精選管線案例中記錄了 0/6 的突變擊殺結果。

審查人員可以從本示範中取得哪些證據？

使用者介面會匯出 signoff_certificate.json，其中包含各屬性的判定、可達性、突變結果、影響錐、適用的反例記錄以及 SHA-256 欄位。只有 TRUSTWORTHY 會收到已簽署的示範憑證；BOUNDED-PROVEN、VACUOUS、WEAK、DEAD 與 VIOLATED 結果則會附帶原因被扣留以供人工審查。

技術研究

本示範背後的研究——架構、驗證設計與企業藍圖。

完整解決方案

探索半導體 AI 驗證與晶片正確性解決方案 →

將證明品質治理引入簽核對話

我們誠摯邀請驗證領導者共同探討適用於高風險 AI 輔助工程工作流程的確定性證據路徑。

下一步有價值的對話在於：貴團隊需要檢查的證明產物、審查人員能夠捍衛的策略邊界，以及與引擎無關的生產方向所需之條件。

證明治理評估

✓ 梳理當前的證明審查路徑
✓ 識別空泛性與強度證據
✓ 定義簽核策略狀態
✓ 指定可審查的憑證記錄

治理路徑設計

✓ 設計與引擎無關的證據關卡
✓ 構建確定性策略路由
✓ 建立審計與例外工作流程模型
✓ 規劃人工簽核交接

透過 WhatsApp 聯繫寄電子郵件給我們的團隊