具体实施方式

为使本申请的目的、技术方案和优点更加清楚明白，以下结合具体实施例，并参照附图，对本申请进一步详细说明。

需要说明的是，除非另外定义，本申请使用的技术术语或者科学术语应当为本申请所属领域内具有一般技能的人士所理解的通常意义。本申请中使用的“第一”、“第二”以及类似的词语并不表示任何顺序、数量或者重要性，而只是用来区分不同的组成部分。“包括”或者“包含”等类似的词语意指出现该词前面的元件或者物件涵盖出现在该词后面列举的元件或者物件及其等同，而不排除其他元件或者物件。“连接”或者“相连”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电性的连接，不管是直接的还是间接的。

图1示出了本实施例所提供的一种电子设备100的结构示意图。电子设备100例如可以是计算机主机。该电子设备100可以包括：处理器102、存储器104、网络接口106、外围接口108和总线110。其中处理器102、存储器104、网络接口106和外围接口108通过总线110实现彼此之间在设备内部的通信连接。

处理器102可以是中央处理器(Central Processing Unit，CPU)、图像处理器、神经网络处理器(NPU)、微控制器(MCU)、可编程逻辑器件、数字信号处理器(DSP)、应用专用集成电路(Application Specific Integrated Circuit，ASIC)、或者一个或多个集成电路。处理器102可以用于执行与本申请描述的技术相关的功能。在一些实施例中，处理器102还可以包括集成为单一逻辑组件的多个处理器。如图1所示，处理器102可以包括多个处理器102a、102b和102c。

存储器104可以配置为存储数据(例如，指令集、计算机代码、中间数据等)。例如，如图1所示，存储的数据可以包括程序指令(例如，用于实现本申请的技术方案的程序指令)以及要处理的数据(例如，存储器104可以存储在编译过程产生的临时代码)。处理器102也可以访问存储的程序指令和数据，并且执行程序指令以对要处理的数据进行操作。存储器104可以包括易失性存储装置或非易失性存储装置。在一些实施例中，存储器104可以包括随机访问存储器(RAM)、只读存储器(ROM)、光盘、磁盘、硬盘、固态硬盘(SSD)、闪存、存储棒等。

网络接口106可以配置为经由网络向电子设备100提供与其他外部设备的通信。该网络可以是能够传输和接收数据的任何有线或无线的网络。例如，该网络可以是有线网络、本地无线网络(例如，蓝牙、Wi-Fi、近场通信(NFC)等)、蜂窝网络、因特网、或上述的组合。可以理解的是，网络的类型不限于上述具体示例。在一些实施例中，网络接口106可以包括任意数量的网络接口控制器(NIC)、射频模块、接收发器、调制解调器、路由器、网关、适配器、蜂窝网络芯片等的任意组合。

外围接口108可以配置为将电子设备100与一个或多个外围装置连接，以实现信息输入及输出。例如，外围装置可以包括键盘、鼠标、触摸板、触摸屏、麦克风、各类传感器等输入设备以及显示器、扬声器、振动器、指示灯等输出设备。

总线110可以被配置为在电子设备100的各个组件(例如处理器102、存储器104、网络接口106和外围接口108)之间传输信息，诸如内部总线(例如，处理器-存储器总线)、外部总线(USB端口、PCI-E总线)等。

需要说明的是，尽管上述设备仅示出了处理器102、存储器104、网络接口106、外围接口108和总线110，但是在具体实施过程中，该设备还可以包括实现正常运行所必需的其他组件。此外，本领域的技术人员可以理解的是，上述设备中也可以仅包含实现本申请实施例方案所必需的组件，而不必包含图中所示的全部组件。

图2A示出了根据本申请实施例的示例性形式验证工具200的示意图。在芯片设计领域，形式验证工具200可以是芯华章科技股份有限公司出品的GalaxFV形式验证工具。形式验证工具200可以是运行在电子设备100上的计算机程序。在一些实施例中，形式验证工具200可以包括仿真器等组件。

基于待验证的系统设计和用于形式验证该系统设计的断言(Assertion)，形式验证工具200可以对该系统设计进行形式验证。形式验证工具200的输入可以包括系统设计208和断言210。

系统设计208可以是硬件的或软件的设计。例如，系统设计208可以由C、C++、Java等软件语言、由VHDL、Verilog、SystemVerilog等硬件描述语言、或寄存器传输级(RTL)代码等描述的设计。在本申请的描述中，以集成电路设计作为系统设计208的示例进行说明。

在一些实施例中，系统设计208可以是RTL设计。在集成电路设计中，RTL(register-transfer level)是用于描述同步数字电路操作的抽象级。在RTL级，芯片是由一组寄存器以及寄存器之间的逻辑操作构成。之所以如此，是因为绝大多数的电路可以被看成由寄存器来存储二进制数据、由寄存器之间的逻辑操作来完成数据的处理，数据处理的流程由时序状态机来控制，这些处理和控制可以用硬件描述语言来描述。

断言210则可以例如是由SystemVerilog描述的SystemVerilog Assertion(SVA)。断言210可以用于描述系统设计208的期望行为。通过证明或证伪断言210可以用来验证系统设计208是否正确。因此，断言210是与系统设计208的正确性关联的行为描述。

如图2A所示，形式验证工具200可以包括前端202、中端204和后端206。系统设计208和断言210在经由前端202、中端204和后端206的处理后，最终输出验证结果。

前端202可以包括语义分析单元2022和综合单元2024。

语义分析单元2022可以用于对系统设计208进行语义分析以将特定语言描述的系统设计208转换为适宜于进一步综合的表达形式。语义分析可以包括词法分析(lexicalanalysis)和语法分析(syntax analysis)。词法分析可以将字符序列转换为单词(Token)序列，而语法分析则可以对系统设计208的描述进行语法检查，构建由输入的单词组成的数据结构(一般是语法分析树、抽象语法树等层次化的数据结构)。

系统设计208(例如，RTL设计)在经由语义分析单元2022处理之后可以被转换为抽象语法树(abstract syntax tree，AST)。

图2B示出了一个由RTL设计208转换为抽象语法树212的示意图。如图2B所示，一个top模块的RTL设计208可以被转换为以always块为根节点的抽象语法树212。

回到图2A，综合单元2024可以基于抽象语法树(例如，图2B的语法树212)对系统设计208进行逻辑综合。例如，综合单元2024可以将模块实例化，识别真实电路的机构并转换为电路单元(例如，寄存器、加法器、比较器、多路选择器(MUX)等)。

综合单元2024还可以进一步将上述电路单元转换为门(例如，AND门，OR门，XOR门等)和触发器(例如，flip-flop)，优化电路逻辑，并最终生成电路网表(netlist)。电路网表通常是门级的，因此电路网表也通常被称为门级电路网表。

在一些实施例中，综合单元2024可以生成字级别(word-level)、全展开(full-view)并且具有层次结构的(hierarchical structure)的通用网表模型。这样的通用网表模型可以方便地使用遍历工具(例如，遍历函数)进行遍历操作。

中端204可以包括建模单元2042，用于根据断言210和电路网表生成形式验证数据模型。

在一些实施例中，建模单元2042可以将输入的断言210转换为验证目标(verification target)。如上所述，断言210描述了系统设计208所期望的行为，而这种行为通常可以对应于一种或多种形式验证属性。换而言之，断言210可以等价地转换为希望证明或证伪的形式验证属性，即，转换为验证目标。验证目标可以包括断言验证(assert)、空泛性验证(vacuity)、目击验证(witness)等。

在一些实施例中，建模单元2042可以基于验证目标和由前端202提供的电路网表来生成形式验证数据模型，然后后端206基于该形式验证数据模型进行形式验证。在一些实施例中，建模单元2042可以将验证目标或电路网表用表达式(例如，正则表达式、时序表达式等)来表示，因此，形式验证数据模型可以是基于表达式的数据模型。

在又一些实施例中，中端204还可以根据断言210和电路网表生成形式验证所需的状态数据(例如，要验证的功能模块的初始状态)。

后端206可以将形式验证数据模型分发给对应的验证引擎进行形式验证。

图2C示出了根据本申请实施例的后端206的结构示意图。如图2C所示，后端206可以包括任务分配器2062、至少一个适配器2064(例如，适配器2064(a)、2064(b)、2064(c)、…、2064(n))和至少一个求解器2066(例如，求解器2066(a)、2066(b)、2066(c)、…、2066(n))。求解器也可以被称为引擎。

任务分配器2062可以用于根据验证目标来确定与该验证目标对应的一组适配器和求解器。

适配器2064(例如，2064(a))可以基于形式验证数据模型来生成用于求解器2066的输入。例如，表达式(例如，正则表达式、时序表达式等)可以由适配器2064展开。例如，基于该表达式，适配器2064可以进一步构建相应的状态机。

求解器2066可以用于基于形式验证数据模型来证明或证伪验证目标。例如，基于断言对应的状态机来对系统设计208进行属性验证(例如，安全属性验证、活性属性验证等)。求解器2066可以包括满足性(satisfiability，SAT)求解器、二叉决策图(binarydecision diagram，BDB)求解器、量化布尔公式(Quantified Boolean Formulae，QBF)求解器等。

在形式验证中，有一些属性的证明是相对困难的。比如，活性属性(s_eventually(p))要求，某一状态p在所有的周期中至少出现一次，才判定为真。也就是在逻辑系统设计的运行中，最终一定能够出现状态p。

根据活性属性的定义，如果要验证活性属性，则需要持续地运行逻辑系统设计，直到出现状态p或最终没有状态p出现。可以知道，由于需要持续地运行逻辑系统设计，这样的证明是困难的。

在一些实施例中，将活性属性转换为较为容易证明的属性，能够便于对活性属性进行证明。

例如，可以将活性属性转换为安全属性(safety property)。安全属性是指坏的事件q不会出现。例如，一个重要的安全属性就是逻辑系统设计的最终状态是正确的，也就是没有出现坏的状态。又例如，一种安全属性可以是逻辑系统设计的每一个状态都是正确的。

相对而言，安全属性是比较容易证明的。例如，可以使用断言assert (q)来对事件q进行证明。如果事件q为真，则说明逻辑系统设计有问题，因为坏事件q出现；如果事件q为假，则说明逻辑系统设计是正确的。

图3示出了根据本申请实施例的一种示例性有限状态机300的示意图。

如图3所示，有限状态机(FSM)300的状态S可以包括状态S0、S1、S2、S3、S4。以状态S0-S2为例，每个状态的下一个状态都可以是其本身或其下一个状态(例如，状态S0的下一个状态可以是状态S0或状态S1)。类似地，状态S3的下一个状态可以是状态S4或者状态S1。可见，在有限状态机300中，可以存在至少四个循环，即循环L0-L3。

假定形式验证工具200需要证明一个活性属性p=s_eventually(S2)，也就是状态机300最终会达到状态S2。需要注意的是，状态S4不是电路内部信号(signal)，没有办法对形式验证工具200的内部状态施加断言。

系统设计208的每个状态(例如，状态S0-S4)可以是系统设计208的一个或多个信号(signal)的集合在某一时刻的映射。在某一时刻，一个状态出现时，可以认为在此时该状态为真(true)；反之，认为在此时该状态为假(false)。

于是，对于这样一个活性属性p=s_eventually(S2)(即，S2最终一定会出现)，我们可以将其分解为如下3种情况。

第一种情况：当没有循环时，状态S2为真。此时，活性属性p为真。

第二种情况：存在循环，并且出现了状态S2。此时，活性属性p为真。

第三种情况：存在循环，并且从未有过状态S2。此时，活性属性p为假。

由此可见，对于活性属性p来讲，只有第三种情况这一种反例存在。因此，相比于证明第一种情况和第二种情况，找到唯一的反例，从而证伪第三种情况是更为简单的证明方式。

根据前述关于安全属性的描述可以知道，第三种情况中的“从未有过状态S2”是一个安全属性。

因此，我们可以把活性属性转换为安全属性。而对活性属性进行形式验证也相应地转换为验证循环的存在以及判断是否出现状态S2(例如，采用断言语句assert(S2)进行判断)。

由于安全属性的断言是形式验证工具200的基本功能，因此，判断是否出现状态S2是容易的，进而活性属性的验证主要需要解决如何验证循环的存在。

为了验证循环的存在，本申请实施例提供了一种用于对设计进行形式验证的装置，包括：输入模块，用于接收与所述设计对应的状态机在运行时的状态，存储模块，与所述输入模块耦接，用于根据使能信号存储由所述输入模块提供的基准状态，保存模块，与所述存储模块耦接，用于接收保存信号并基于所述保存信号生成所述使能信号，以及比较模块，与所述输入模块和所述存储模块分别耦接，用于比较由所述输入模块提供的当前状态和由所述存储模块存储的基准状态，其中，响应于所述当前状态和所述基础状态相同，所述比较模块生成用于指示存在循环的循环指示信号。

本申请实施例提供的用于对设计进行形式验证的装置，利用保存模块来基于保存信号生成使能信号，使得存储模块可以基于该使能信号存储基准状态，进而可以利用比较模块对当前状态和基准状态进行比较，并可以在当前状态和基础状态相同时生成用于指示存在循环的循环指示信号，从而完成了对循环的检测，进而能够比较容易地对活性属性进行验证。相比于直接对活性属性进行验证，对循环进行检测能够提高形式验证效率、节省算力。

图4A示出了本申请实施例所提供的用于对设计进行形式验证的示例性装置400的结构示意图。形式验证工具200可以运行与装置400对应的代码，从而在设备100中实现该装置400并对设计(例如，图2A的系统设计208)进行形式验证。

如图4A所示，装置400可以包括输入模块404、存储模块406、保存模块408、比较模块410和输出模块412。

输入模块404可以接收与设计(例如，图2A的系统设计208)对应的状态机402在运行时的状态414。如上所述，状态可以是系统设计208的一个或多个信号的集合在某一时刻的映射。因此，在一些实施例中，输入模块404可以通过读取设计208内部的寄存器的值来获取状态414。状态414可以被存储在一个存储模块406中，也可以被输入到一个比较模块410中。

存储模块406可以与输入模块404、保存模块408和比较模块410分别耦接，并可以接收输入模块404获取的状态414以及保存模块408发送的使能信号416。并且，存储模块406可以在使能信号416的作用下将输入模块404在某一时刻提供的状态414作为基准状态418进行存储，并可以将该基准状态418提供给比较模块410来与另一时刻的状态422进行比较。

在一些实施例中，存储模块406可以包括使能端4062。使能端4062可以用于接收使能信号416，以使存储模块406在使能信号416的作用下对基准状态418进行锁存，从而存储模块406可以在后续将该基准状态418提供给比较模块410来与另一时刻的状态422进行比较。

保存模块408可以接收保存信号(save signal)420并基于该保存信号420生成该使能信号416。在一些实施例中，保存信号420可以是一个随机的信号，例如，“1”或“0”。

图4B示出了本申请实施例所提供的保存模块408的结构示意图。

如图4B所示，在一些实施例中，保存模块408可以进一步包括或门单元4082、寄存器单元4084、非门单元4086和与门单元4088。或门单元4082的第一输入端可以用于接收保存信号420，或门单元4082的第二输入端可以连接寄存器单元4084的输出端和非门单元4086的输入端，或门单元4082的输出端可以连接寄存器单元4084的输入端。非门单元4086的输出端可以连接与门单元4088的第一输入端。与门单元4088的第二输入端可以用于接收保存信号420，与门单元4088的输出端可以用于输出使能信号416。

比较模块410可以比较由输入模块404提供的当前状态422和由存储模块406存储的基准状态418，并且，当当前状态422和基础状态418相同时，比较模块410可以生成用于指示存在循环(例如，图3的循环L0-L3)的循环指示信号424。在一些实施例中，该循环可以是将对设计(例如，图2A的系统设计208)进行验证的活性属性断言转换安全属性断言后得到的循环，这样，通过验证循环的存在，在结合相应的安全属性断言的判断结果，就可以对活性属性进行验证。

输出模块412可以用于接收寄存器单元4084的输出信号426和比较模块410的输出信号。并且，当当前状态422和基础状态418相同时，输出模块412可以输出来自比较模块410的循环指示信号424。在一些实施例中，如图4B所示，输出模块412可以包括与门单元4122，与门单元4122的第一输入端连接寄存器单元4084的输出端，与门单元4122的第二输入端连接比较模块410的输出端。

如图2B和图4B所示，形式验证工具200可以将设计转换为状态机402，然后由输入模块404提取状态机402在运行时的状态414并分别发送给存储模块406和比较模块410。

与此同时，保存模块408可以接收保存信号420。保存信号420可以是一个随机的信号(例如，“1”或“0”)。在一些实施例中，保存信号420可以由一个随机信号发生器(未示出)产生。当保存信号420是“0”时，由于寄存器单元4084的输出端连接或门单元4082的第二输入端，因此寄存器单元4084会保存这个“0”。当保存信号420从“0”跳变为“1”时，由于寄存器单元4084前一时刻保存的是“0”，因此非门单元4086的输入为“0”、输出为“1”，非门单元4086将“1”输出到与门单元4088的第一输入端，同时，与门单元4088的第二输入端接收跳变为“1”的保存信号420，并输出“1”。存储模块406的使能端4062接收与门单元4088输出的“1”并被使能，进而锁定其当前从输入模块404接收的状态414作为基准状态418并保存。

此时，由于或门单元4082的第一输入端接收跳变为“1”的保存信号420，使得寄存器单元4084被置为“1”，而寄存器单元4084的输出同时是或门单元4082的第二输入端的输入，使得或门单元4082的其中一个输入端的输入保持为“1”。因此，即使保存信号420再由“1”跳变为“0”，由于寄存器单元4084的输出被锁定为“1”，或门单元4082的输出始终为“1”，非门单元4086的输出始终为“0”。进而，与门单元4088的输出始终是“0”，从而使得存储模块406的使能端4062无法再次被使能，进而在存储模块406中保持被锁定的状态，即基准状态418。同时，由于寄存器单元4084的输出始终为1，使得与门单元4122的输出信号的值由比较模块410的输出来决定，亦即，当比较模块410输出循环指示信号424时，输出模块412输出的也是循环指示信号424。

这样，通过保存信号420的一次跳变，可以在存储模块406中锁定一个状态414作为基准状态418。由于比较模块410与输入模块404和存储模块406分别耦接，因此可以持续采集输入模块404接收的状态414(或当前状态422)，此后，当状态414不断变化时，新输入的状态422就可以不断与存储模块406锁存的基准状态418进行比较。当新的状态422与锁定的状态418相同时，比较模块410输出“1”，指示新输入的状态422与锁定的状态418相同。也就是说，循环存在。这样就完成了对循环的检测，进而可以容易地对活性属性进行验证。

图4C示出了根据本申请实施例的示例性状态机402的示意图。

保存信号420同时还作为随机的状态激励信号，用于驱动状态机402的状态的改变。如图4C所示，状态机402在t0时刻存在两种状态，分别由保存信号420的值“0”和“1”激励产生。类似地，在t1时刻，状态机根据保存信号420的值，可以基于t0时刻的状态产生四个状态，进一步地，在t2时刻，状态机根据保存信号420的值，可以进一步基于t1时刻的四个状态产生八个状态。可以看到，这种复制过程导致状态数量呈指数级递增，会大量消耗算力。

由于循环检测的目的在于一个状态的后续状态是否会回到该状态。当在t0时刻的一个状态(例如，状态“0”)被锁定在存储模块406中之后，与该状态对应的另一状态(例如，图4C中的在t0时刻的状态“1”)对于运行结果就没有影响了。因此，在一些实施例中，可以通过施加约束以避免状态机402的进一步复制。

因此，在一些实施例中，状态414可以是对状态机402施加约束信号后产生的状态，其中，约束信号用于在寄存器单元4084的输出信号被锁定之后将基于保存信号420对状态机402进行复制而产生的衍生状态机进行剪枝，从而避免了状态机402的进一步复制。

因此，在一些实施例中，如图4C所示，状态机402包括第一分支4022和第二分支4024，其中，第一分支4022和第二分支4024具有同一父节点。假设第一分支以基础状态418(例如，该状态为“0”)为根节点，则对状态机402进行剪枝可以进一步包括：禁止状态机402生成第二分支4024，从而避免了状态机402不必要的复制过程。

在一些实施例中，可以通过增加假定语句assume(save|=>$stable(save))的方式来产生约束信号，进而对状态机进行剪枝。

本申请实施例提供的用于对设计进行形式验证的装置，利用保存模块来基于保存信号生成使能信号，使得存储模块可以基于该使能信号存储基准状态，进而可以利用比较模块对当前状态和基准状态进行比较，并可以在当前状态和基础状态相同时生成用于指示存在循环的循环指示信号，从而完成了对循环的检测，进而能够比较容易地对活性属性进行验证。相比于直接对活性属性进行验证，对循环进行检测能够提高形式验证效率、节省算力。可以理解的是，本申请实施例中的装置所包括的各个模块可以是由计算机实现的功能模块。

上述对本申请特定实施例进行了描述。其他实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。 在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

所属领域的普通技术人员应当理解：以上任何实施例的讨论仅为示例性的，并非旨在暗示本申请的范围(包括权利要求)被限于这些例子；在本申请的思路下，以上实施例或者不同实施例中的技术特征之间也可以进行组合，步骤可以以任意顺序实现，并存在如上所述的本申请的不同方面的许多其它变化，为了简明它们没有在细节中提供。

另外，为简化说明和讨论，并且为了不会使本申请难以理解，在所提供的附图中可以示出或可以不示出与集成电路(IC)芯片和其它部件的公知的电源/接地连接。此外，可以以框图的形式示出装置，以便避免使本申请难以理解，并且这也考虑了以下事实，即关于这些框图装置的实施方式的细节是高度取决于将要实施本申请的平台的(即，这些细节应当完全处于本领域技术人员的理解范围内)。在阐述了具体细节(例如，电路)以描述本申请的示例性实施例的情况下，对本领域技术人员来说显而易见的是，可以在没有这些具体细节的情况下或者这些具体细节有变化的情况下实施本申请。因此，这些描述应被认为是说明性的而不是限制性的。

尽管已经结合了本申请的具体实施例对本申请进行了描述，但是根据前面的描述，这些实施例的很多替换、修改和变型对本领域普通技术人员来说将是显而易见的。例如，其它存储器架构(例如，动态RAM(DRAM))可以使用所讨论的实施例。

本申请旨在涵盖落入所附权利要求的宽泛范围之内的所有这样的替换、修改和变型。因此，凡在本申请的精神和原则之内，所做的任何省略、修改、等同替换、改进等，均应包含在本申请的保护范围之内。