线，测了一遍供电电压。十二伏稳定，五伏稳定，三点三伏稳定。
“上电。”秦峥说。
老周按下了电源开关。
主板上的指示灯亮了。先是红色的待机灯，然后是绿色的内核电源灯，最后是蓝色的系统心跳灯——一闪一闪，频率稳定，说明天程芯片已经成功上电，内部的电源管理单元和时钟电路工作正常。
数据采集站的屏幕上开始滚动串口日志。秦峥走过去，一行一行地看。
“bootro激活……pll锁定……ddr初始化……pcie链路训练……gpu内核唤醒……npu引擎加载……全部通过。”
老周长出了一口气，靠在样车的车门上。
“芯片活了。”
秦峥没有笑。芯片活了只是第一步，真正的考验在后面——作业系统能不能跑起来？功能安全框架能不能初始化？和整车的通信总线能不能握手？自动驾驶模型的推理延迟能不能满足要求？
“刷系统。”他说。
老周把一块装着天枢os车机版的固态硬盘插到主板上，按下复位键。屏幕上开始滚动更密集的日志——内核加载、驱动初始化、服务激活、安全模块自检。
三分钟后，天行者的中控屏幕亮了。
不是完整的界面，只是最底层的激活画面——天枢os的logo下面有一行小字：“功能安全模式·验证中”。画面不是很流畅，帧率明显偏低，但能亮，能响应触摸，能和仪表盘通信。
秦峥伸手在中控屏幕上划了一下，调出天程芯片的运行状态页。cpu温度五十二度，gpu温度四十八度，npu温度四十五度，内核电压正常，功耗二十三瓦。所有数字都在预期范围内。
“第一步完成。”他说，语气里没有喜悦，只有一种冷静的确认。“接下来跑功能安全诊断。”
功能安全诊断是天程车规芯片样车集成的内核关卡。天权5车规版在设计时就按照iso 26262 asil-d的最高功能安全等级要求来做的，但实验室里的仿真验证和真实整车环境中的诊断复盖度是两回事。
老周调出功能安全诊断套件，开始跑第一组用例——电源管理单元的故障注入测试。套件会仿真各种电源异常，看芯片的安全机制能不能在规定时间内检测到并进入安全状态。
第一组：内核电压过压。仿真电压从一点二伏缓慢升高到一点五伏。天程芯片的电压监控电路在一点三二伏时触发了预警，在一点三八伏时触发了故障响应，系统在零点八毫秒内完成了上下文保存并进入安全状态。通过。
第二组：内核电压欠压。仿真电压从一点二伏缓慢降到零点九伏。监控电路在一点零八伏时触发预警，在零点九八伏时触发故障响应，系统在一点二毫秒内完成安全关断。通过。
第三组：时钟丢失。仿真外部晶振信号中断。天程芯片的内部时钟监控电路在二百微秒内检测到异常，自动切换到备用rc振荡器，系统继续运行，性能下降但功能完整。通过。
前三组都通过了，但秦峥的表情没有放松。他知道真正难的不是这些常规故障，而是那些在实验室里很难仿真、但在真实车辆上可能会出现的复合故障。
果然，跑到第四组的时候，问题出现了。
第四组是通信总线的故障注入——仿真can总线的消息丢失和校验错误。天程芯片通过can总线与整车的车身控制器、刹车系统、转向系统通信。测试套件会在总在线随机注入错误帧，看芯片的错误处理机制能不能正确识别并隔离故障。
前五分钟，一切正常。芯片的错误检测逻辑捕获了每一个注入的错误帧，记录到日志中，但没有触发安全响应——因为这些错误不影响内核功能。
第六分钟，老周注入了一个更复杂的故障模式——连续五个有效帧中插入一个错误帧，重