Characterizing the Fault Response of the Intel Neural Compute Stick 2 Under Single-Pulse Electromagnetic Fault Injection

Aquí se presenta un resumen técnico detallado del artículo "Caracterización de la respuesta a fallos del Intel Neural Compute Stick bajo inyección de fallos electromagnéticos de pulso único".

Enunciado del Problema

Los aceleradores comerciales de inferencia de redes neuronales, como las Unidades de Procesamiento de Visión (VPUs), se despliegan cada vez más en aplicaciones periféricas relevantes para la seguridad (por ejemplo, inspección industrial, robótica). Sin embargo, sus respuestas a perturbaciones transitorias de hardware permanecen poco caracterizadas en la literatura abierta. Aunque normas como la IEC 61508 e ISO 26262 requieren que se caractericen los modos de fallo y se cuantifiquen las tasas de fallo residuales, los proveedores a menudo no publican las características de fallo de sus silicios propietarios. El trabajo previo sobre el Intel Neural Compute Stick 2 (NCS2) se limitó a un único estudio de viabilidad que establecía que las perturbaciones electromagnéticas causan errores, pero sin caracterizar el espacio de fallos, la sensibilidad espacial o la persistencia de los fallos.

Metodología

Los autores realizaron una campaña sistemática de inyección de fallos electromagnéticos de pulso único (EMFI) en el Intel NCS2 (que incorpora la VPU Movidius Myriad X) ejecutando el entorno de ejecución OpenVINO.

• Plataforma Objetivo: El NCS2 fue desmontado para exponer el paquete Myriad X. Se enfrió activamente para evitar la limitación térmica, la cual se observó que modulaba las tasas de fallos.
• Configuración de Inyección: Un generador de pulsos NewAE ChipSHOUTER accionó sondas magnéticas de campo cercano (bobinas de 1 mm en sentido horario, 1 mm en sentido antihorario y 4 mm en sentido antihorario) posicionadas por una etapa XYZ basada en una impresora 3D.
• Cargas de Trabajo: Se evaluaron tres Redes Neuronales Convolucionales (CNN) entrenadas con ImageNet: ResNet-18, ResNet-50 y VGG-11.
• Fases Experimentales:
  1. Escaneo Exploratorio: Se utilizó un muestreador de Estimador Parzen Estructurado en Árbol (TPE) para buscar un gran espacio de parámetros (coordenadas laterales, distancia de separación, voltaje) e identificar "puntos calientes" donde ocurren fallos.
  2. Pruebas Puntuales: Se realizaron ensayos de parámetros fijos (256 ensayos por configuración) en los puntos calientes identificados para generar distribuciones estadísticas estables de resultados.
• Temporización: Los pulsos se entregaron ya sea 1 segundo antes del inicio de la inferencia (estado inactivo con el modelo cargado) o 1 segundo después del inicio de la inferencia (durante la inferencia).
• Taxonomía de Fallos: Los resultados se clasificaron en cuatro clases mutuamente excluyentes:
  • C0 (Sin cambios): Sin cambio medible en la precisión.
  • C1 (SDC menor): Degradación menor de la precisión (caída entre el 1% y el 50% en la precisión top-1), potencialmente transitoria o persistente pero no catastrófica.
  • C2 (Degradación Persistente Mayor): La precisión top-1 colapsa (>50% de caída) y permanece colapsada en todas las inferencias subsiguientes hasta que el modelo se vuelve a cargar explícitamente.
  • C3 (Fallo del Dispositivo): El dispositivo se cuelga, se desconecta por USB o produce errores de ejecución que requieren un ciclo de energía USB para recuperarse.

Resultados Clave

1. Cuatro Clases de Resultados Reproducibles
El estudio confirma que los pulsos únicos de EMFI producen cuatro resultados distintos y reproducibles. Crucialmente, la Clase C2 (Degradación Persistente Mayor) es un hallazgo significativo. En este estado, el dispositivo devuelve una llamada de inferencia exitosa con un resultado gravemente incorrecto (precisión top-1 < 5%), y este error persiste en todas las inferencias subsiguientes hasta que el modelo se vuelve a cargar. Este régimen es indetectable por los mecanismos estándar a nivel de API de inferencia.

2. Sensibilidad Espacial y Puntos Calientes
El mapeo espacial reveló dos puntos calientes laterales reproducibles separados por aproximadamente 7 mm, donde se concentran los fallos de clase C1 y C2. Una región central entre estos puntos calientes produce preferentemente fallos de clase C3 (cuelgues del dispositivo). Esto sugiere una disposición del diodo donde las regiones laterales contienen bloques de cómputo/almacenamiento y la región central contiene lógica de control.

3. Persistencia y Vulnerabilidad en Estado Inactivo

• Persistencia: Los fallos de clase C2 persisten a través de inferencias subsiguientes. La recarga explícita del modelo restaura la precisión de referencia, lo que indica que la corrupción reside en el estado cargado del modelo (pesos, instrucciones o configuración) y no en el almacenamiento no volátil ni en daños irreversibles del silicio.
• Vulnerabilidad en Estado Inactivo: Los pulsos entregados a un dispositivo inactivo (con el modelo ya cargado pero antes de que comience la inferencia) inducen fallos de clase C2 a tasas comparables a las de los pulsos durante la inferencia. Esto demuestra que el estado del modelo es susceptible a fallos incluso cuando el dispositivo está inactivo, haciendo insuficientes las verificaciones de integridad solo en tiempo de carga.

4. Fiabilidad Dependiente de la Arquitectura
Diferentes arquitecturas CNN ocupan regiones distintas en el plano "tasa de fallos persistentes vs. tasa de fallos del dispositivo":

• ResNet-18 y ResNet-50: Exhiben altas tasas de persistencia (18–31%) pero menores tasas de fallo del dispositivo. Muestran una distribución bimodal donde los fallos tienden a ser o bien insignificantes o bien catastróficos (C2), con pocos resultados intermedios (C1).
• VGG-11: Exhibe una tasa significativamente mayor de perturbaciones menores de precisión (C1) y una mayor tasa de fallo del dispositivo (C3) durante la inferencia en comparación con las ResNets. Los autores hipotetizan que esto se debe a la mayor cabeza clasificadora totalmente conectada de VGG-11, que puede absorber cierta corrupción sin un colapso total, y a su mayor huella de memoria que aumenta el riesgo de interrupción del estado de control.

5. Efectos de Temporización y Sonda

• Temporización: Si bien las tasas de C2 son comparables entre "antes" y "durante" la inferencia, la distribución de C1 y C3 varía según la arquitectura y la temporización.
• Tamaño de la Sonda: La sonda de 4 mm, que acopla energía sobre un área mayor, tiende a producir fallos de clase C3 (cuelgues) a altos voltajes, mientras que las sondas de 1 mm son necesarias para inducir corrupción de datos localizada (C1/C2).

Significado y Afirmaciones

El artículo afirma llenar una brecha crítica en la caracterización de la fiabilidad del hardware de IA periférica al avanzar más allá de la viabilidad hacia el mapeo sistemático del espacio de fallos. Sus contribuciones principales son:

1. Taxonomía: Establecer una taxonomía de fallos de cuatro clases (Sin efecto, SDC menor, SDC Persistente Mayor, Fallo del Dispositivo) que se mapea a la terminología de efectos de radiación (SET, SEU, SEFI).
2. Descubrimiento de Persistencia: Identificar un régimen de "Degradación Persistente Mayor" donde un solo pulso causa una mala clasificación silenciosa a largo plazo que sobrevive a través de inferencias y es invisible para la aplicación anfitriona sin verificaciones externas.
3. Riesgo en Estado Inactivo: Demostrar que el estado cargado del modelo es vulnerable incluso cuando el dispositivo está inactivo, cuestionando la suficiencia de las verificaciones de integridad en tiempo de carga.
4. Arquitectura como Palanca: Mostrar que la elección de la arquitectura del modelo desplaza sistemáticamente el perfil de fiabilidad del dispositivo, proporcionando a los integradores de sistemas una palanca en tiempo de despliegue para gestionar las tasas de fallos.
5. Mitigación: Proponer estrategias de mitigación a nivel de aplicación (watchdogs del lado del host, verificación cruzada de imágenes de referencia, inferencia redundante) que no requieren modificaciones de firmware ni del entorno de ejecución.

Los autores mantienen modestia respecto a sus afirmaciones, señalando que los resultados son específicos del NCS2 y las cargas de trabajo probadas. Reconocen limitaciones como el uso de una sola muestra de dispositivo, la falta de un plano de piso del diodo público (lo que limita la correlación espacial precisa con bloques) y la variación de software activada que impide la localización de fallos por capa. Posicionan este trabajo como una caracterización bajo EMFI en lugar de una predicción cuantitativa de tasas de errores suaves en todas las condiciones de campo, aunque argumentan que las clases de fallos cualitativas probablemente se preserven a través de diferentes fuentes de perturbaciones transitorias.