第七十七章 验证

中车时代电气的孙总走后，何晓天把高铁芯片的需求文档复印了三份，一份贴在白板上，一份压在键盘底下，一份折好放进包里随身带着。他说SIL4认证是他职业生涯里遇到的最复杂的技术挑战，比当年改进位控制器到第十四版还复杂一个数量级——进位控制器只是时序和毛刺的问题，SIL4涉及到芯片架构的每一个环节，从寄存器级的双模冗余到系统级的故障注入验证，没有任何现成的方案可以参考。

“双模冗余意味着Atlas-500工控版的处理器内核要把所有关键逻辑路径全部复制一份。不是简单的镜像——两套逻辑要独立运行，结果在每一个时钟周期内实时比对，任何不一致都要在单个时钟周期内触发安全状态。这需要重新设计整个处理器内核的微架构，把关键寄存器全部换成双模冗余寄存器，同时在比对逻辑上加入自检机制，确保比对逻辑本身不会成为单点故障。”

阿米特在旁边快速估算双模冗余对芯片面积和功耗的影响。处理器内核的面积大概会增加百分之八十到九十，功耗增加百分之七十左右。对于手机芯片来说这种代价是不可接受的，但对于高铁芯片来说，面积和功耗不是第一位的，安全才是。一颗牵引系统芯片的价格是手机芯片的几十倍甚至上百倍，客户愿意为安全冗余买单。

丽莎介绍的形式化验证专家在几天后发来了第一版合作方案。她叫薇薇安，麻省理工博士，之前在飞利浦医疗做过CT机的功能安全验证，对IEC 61508标准非常熟悉。她在邮件里说，SIL4认证最关键的一步不是设计冗余本身，而是用形式化方法证明冗余机制在所有可能的故障模式下都能在规定时间内检测并响应。这不是靠仿真跑几万组测试向量就能做到的——故障模式的空间太大，穷举仿真根本跑不完。形式化验证用数学证明的方式，把所有可能的故障模式抽象成逻辑公式，然后用定理证明器推导出冗余机制是否覆盖了所有故障。

“形式化验证的输入是芯片的RTL代码和故障模式定义，输出是一份数学证明——证明在给定的故障模式集合内，冗余机制能够在规定的故障容错时间间隔内检测并响应任何单一故障。这份证明是SIL4认证的核心交付件，认证机构会逐行审查证明的逻辑完备性。薇薇安说Atlas-500的处理器内核规模不算太大——跟她在飞利浦做过的CT机主控芯片比起来——形式化验证大概需要六到八周，前提是RTL代码的注释和文档足够清晰。”

何晓天把自己关在工位上花了整整一周把Atlas-500处理器内核的RTL代码从头到尾重新注释了一遍，每一行关键逻辑都标注了设计意图和可能的故障模式。他说这不是为了形式化验证工具能读懂代码——工具不需要注释——而是为了让薇薇安的团队能快速理解架构设计的逻辑，减少沟通成本。当年改进位控制器时因为注释不够详细，阿米特在验证时反复问他某个信号的含义，浪费了很多时间，这次不能再犯同样的错误。

薇薇安的团队在一周后正式接入项目。她们把Atlas-500处理器内核的RTL代码导入形式化验证工具，开始逐模块编写故障模式定义和验证属性。何晓天每天早晚各开一次视频会议跟薇薇安的团队同步进度，阿米特负责把形式化验证的结果跟实际故障注入测试做交叉验证——形式化证明说某个故障能被检测，他就在FPGA原型上故意注入那个故障，看冗余机制是不是真的能检测出来。形式化验证和物理验证两条线同时推进，互相校准。

“第一条故障模式的交叉验证——时钟信号卡死在低电平——形式化证明说冗余机制能在两个时钟周期内检测到并触发安全状态。我在FPGA上实际注入这个故障，检测时间在一点八个时钟周期，跟形式化证明的结论一致。”阿米特把交叉验证结果记录进测试日志。

德赛西威的卢总在一个周五下午来到前海，观摩Atlas-500 AI加速单元的车载语音降噪现场演示。何晓天把Atlas-500的FPGA原型接上德赛西威提供的车内噪声样本和麦克风阵列模拟器，在会议室的音响系统上播放比亚迪F3在时速八十公里时的真实车内噪声，同时用一个八通道麦克风阵列采集模拟的语音指令。演示内容包括三项——单通道降噪后的语音识别率、多音区分离后的各通道独立识别准确率、以及噪声突变时的自适应滤波响应速度。

第一项演示开始。车内噪声通过音响系统在会议室里轰鸣，低频的发动机振动声让会议桌都在微微颤抖。林远舟对着麦克风阵列说出语音指令，Atlas-500的AI加速单元在背景噪声中提取语音信号，降噪、识别、输出结果——整个过程几乎没有可感知的延迟。屏幕上跳出的识别准确率在百分之九十六点五以上。

第二项演示是多音区分离。阿米特在阵列前方分左中右三个位置轮流播放语音指令，三个音区的语音同时进入麦克风阵列，Atlas-500的波束成形模块在几十毫秒内把三个方向的声源分离，每个通道独立降噪和识别。三个音区的识别准确率全部在百分之九十五以上，互不干扰。

第三项演示是噪声突变测试——模拟高速公路上突然驶入隧道时车内噪声频谱的剧烈变化。阿米特在音响系统上突然从风噪切换到隧道内的低频混响噪声，Atlas-500的自适应滤波器在几十毫秒内跟踪到新的噪声频谱并调整滤波参数，语音识别没有出现任何中断或错误。

卢总从头看到尾，没有打断，只是在每次演示结束后在笔记本上记几个数字。全部演示结束后他合上笔记本，说德赛西威下一代车载信息娱乐平台的语音芯片选型技术评估正式通过，推荐Atlas-500作为首选方案。他说他最看重的是多音区分离的实时性——车内语音交互的场景里，主驾、副驾和后排乘客可能同时发出不同的语音指令，系统必须能同时处理多个音区。Atlas是到目前为止唯一在原型阶段就做到这一点并保持高准确率的芯片方案。

赵磊在客户花名册上德赛西威那一栏加了一行备注：车载语音芯片技术评估通过，下一代平台首选方案。初步用量预计在百万颗级别，覆盖从经济型轿车到豪华SUV全系车型。

德赛西威的人走后，何晓天把演示设备逐一关机，回头对林远舟说了一句：车载语音这块算是拿下了。高铁SIL4的形式化验证还在推进，比亚迪的电机控制芯片联合实验室下周挂牌。Atlas-500的量产版预计明年上半年完成设计交付。从手机到汽车到高铁，三条线正在同时往前走。林远舟点头，说中车那边孙总下周会再带一个负责牵引系统变流器硬件设计的工程师过来，准备讨论Atlas-500工控版在变流器控制单元上的具体接口需求。高铁的认证周期是最长的，但每一步都踩在技术门槛最高的地方。

本书首发来自17K小说网，第一时间看正版内容！