确定性、故障注入与证据链：三个行业共用的一套"考试哲学"
芯片、AI Agent、汽车电子——三个看起来毫不相干的行业。但如果你走进它们各自的验证实验室，会看到惊人相似的一幕：工程师们都在回答同一个问题，而且用着同一套方法学。
一、同一个问题
三个行业的”考卷”各不相同，问题却是同一个：
- 芯片：流片一次几千万、周期半年。硅片回来之前，怎么知道几十亿晶体管的设计是对的？
- AI Agent：大模型同一个输入跑两次，回答可能都不一样。怎么证明一个自主干活的 Agent 是可靠的？
- 汽车电子：控制器装在两吨重的铁盒子里以 120km/h 飞驰。上车之前，怎么证明极端工况下它还能正确反应？
共性一目了然：被测对象复杂到无法穷举，失败代价高到不能试错。 面对这种处境，三个行业各自长出了——仔细看就会发现——几乎相同的答案。
二、三个考场速写
芯片的考场：设计以 RTL（寄存器传输级代码）形式存在，先在软件仿真器里跑，太慢了就上硬件仿真器（Emulator，装满专用芯片的机柜，把设计”烧”进去跑出近真实速度）。激励靠约束随机生成（constrained random），每个测试带一个随机种子；验证收敛的标志是覆盖率收口（coverage closure）签核。
AI Agent 的考场：公开基准（SWE-Bench、AgentBench、τ-bench 等）提供”题库”；判定分三派——执行判定（Agent 写的代码真的跑一遍，过测试才算分）、轨迹判定（不只看最终答案，逐步检查工具调用过程）、LLM 裁判（让另一个模型打分，再想办法修正它的偏差）。离线评估天天跑，上线后再用 A/B 盯真实指标。
汽车电子的考场：场景回放（把传感器数据喂给控制器软件）+ 故障注入（故意丢帧、延迟、篡改字段）+ 统计判定（不是跑几把看通过率，而是算置信区间）+ 证据链（每次判定的输入、过程、结论全部可复算）。验证沿 MiL→SiL→PiL→HiL 阶梯逐级逼近真实硬件。
三、四根共同的支柱
剥开行业术语的外衣，三套考场立在同样的四根支柱上。
支柱一：确定性——bug 必须能复现，否则等于没修
- 芯片：约束随机测试的种子复现——同一个 seed，激励序列一模一样，失败可以精确重演；
- AI：把模型的每次响应按输入哈希录制下来回放，随机的模型被装进确定性的考场；
- 汽车：虚拟时钟 + 确定性调度——同一场景重跑 N 次，判定结果与关键时序比特级一致。
三个行业都明白：没有可复现性，”修复”只是一个愿望。
支柱二：注入与对抗——好天气里的测试不算数
- 芯片：功能安全标准要求故障注入战役——在设计上注入固定故障（stuck-at）和瞬态软错误（SEU），验证安全机制的检出率，直接支撑 FMEDA 量化；
- AI：对抗性用例与混沌工程——工具超时、API 返回错误、恶意输入注入，专挑系统难受的地方打；
- 汽车：总线故障注入——丢帧、延迟、字段篡改，验证感知退化下功能是否守住安全底线。
目的相同：不是证明系统”能工作”，而是刻画系统”在哪里开始不工作“。
支柱三：统计判定——”跑 30 把过 27 把”不算验证通过
三个行业都吃过点估计的亏，也都收敛到同一个结论：判定要看置信区间，不是看表面通过率。
30 次试验成功 27 次，表面成功率 0.90，但 95% 置信区间下界只有 0.74——这点样本量根本没资格声称”成功率 ≥ 0.90”。要以下界过 0.99，需要 300 把全过这样的证据量级。样本不够时，序贯检验（SPRT）让系统边跑边问”证据够不够”，够了提前停，不够继续跑。
支柱四：证据与归因——报告不是结论，是可复算的链条
- 芯片：覆盖率数据、失败波形、签核记录；
- AI：完整轨迹录制、版本对比、失败归因；
- 汽车：场景哈希 + 日志摘要 + 失败快照——第三方可以拿着证据包重新算出同一个判定结论。
面对审核方（流片签核会、平台评审、监管机构），”我们测过了”不值钱，”你可以自己复算”才值钱。
四、同一条阶梯：保真度与速度的权衡
三个行业甚至共用同一种组织架构——验证阶梯：
| 层级原则 | 芯片 | AI Agent | 汽车 |
|---|---|---|---|
| 快而抽象 | 功能仿真（ISS） | 离线录制回放 | MiL / SiL |
| 中间层 | 周期近似仿真 | 影子模式 / 灰度 | PiL |
| 慢而真实 | FPGA 原型 → 真片 | 在线 A/B | HiL 台架 |
规律一模一样：越往下越真实、越慢、越贵；快层级当门禁天天跑，慢层级定期做签收。门禁放错层级，要么贵死，要么漏死。
五、不能照搬的部分
同构不等于相同。三个行业最大的差异在被测对象的确定性：
| 行业 | SUT 的确定性 | 判定权重 |
|---|---|---|
| 芯片 RTL | 完全确定（同输入同输出） | 可比特级比对为主 |
| 汽车软件 | 接近确定（需管住调度与浮点） | 比特级 + 统计并用 |
| LLM Agent | 本质随机 | 只能统计判定为主 |
故障模型也不同：芯片注物理故障，汽车注总线故障，AI 注语义故障。方法学可以迁移，工具必须本地化——把别人的考场原样搬过来，一定会失败在接口和故障模型上。
六、把这套方法学落在汽车软件层
Cyclone Core 是我们对这张”跨行业地图”的汽车作答：
- 虚拟时钟 + 1ms 确定性调度，同场景重跑比特级一致（已支持）；
- 总线故障注入：丢帧 / 延迟 / 字段篡改（已支持），CRC 损坏与节点冻结（规划中）；
- Wilson 置信区间 + SPRT 序贯判定的判定引擎，阈值经裕度分析标定（已支持）；
- 证据链：场景哈希 + 日志摘要 + 失败快照 + JUnit 输出，第三方可复算（已支持）。
三个行业用几十年各自验证过的考试哲学，值得在汽车软件层再认真实现一遍。
（文中汽车侧能力描述以 Cyclone Core 当前版本为准，”规划中”项不代表已交付能力；示例数值为演示数据。）
下一步：
下载场景包