Dynamic Rowhammer Threshold Management:Temperature-Aware Threshold Degradation for In-DRAM Defenses

Resumen Técnico: Gestión Dinámica del Umbral de Rowhammer

Planteamiento del Problema
La vulnerabilidad Rowhammer, caracterizada por el Umbral de Rowhammer ($T_{RHD}$)—el número mínimo de activaciones de fila requeridas para inducir un giro de bit (bit flip)—se ha intensificado con cada generación de DRAM, descendiendo de ~139K en 2014 a menos de 4.8K en DDR4 moderna y apuntando a valores inferiores a 1K para DDR5. Las defensas actuales dentro del DRAM (Target Row Refresh [TRR], Per-Row Activation Counting [PRAC] y SALT-C) mitigan esto rastreando las activaciones y refrescando las filas víctimas cuando se supera un umbral fijo.

Sin embargo, estas defensas están parametrizadas en el momento de la fabricación utilizando un valor $T_{RHD}$ estático. Esto crea una vulnerabilidad crítica de "obsolescencia del umbral" porque el verdadero $T_{RHD}$ varía significamente con las condiciones operativas en tiempo de ejecución, particularmente con la temperatura. Los datos agregados de SpyHammer [6] indican una dependencia casi lineal de la Tasa de Error de Bits (BER) respecto a la temperatura (50–95°C), resultando en un rango de hasta 3.3× en el BER dentro del módulo. Además, VRD [7] demuestra que los umbrales fluctúan estocásticamente a lo largo del tiempo. En consecuencia, una defensa calibrada para un entorno nominal de 65°C puede mitigar silenciosamente de forma insuficiente cuando el sistema opera a temperaturas más altas (por ejemplo, 85°C), creando una ventana explotable donde el umbral configurado es demasiado permisivo para las condiciones físicas reales.

Metodología
Los autores proponen la Gestión Dinámica del Umbral de Rowhammer, una capa de tiempo de ejecución agnóstica a la defensa que actualiza las defensas basadas en contadores existentes. En lugar de un nuevo mecanismo de defensa, esta capa re-asigna dinámicamente el parámetro del umbral para cada defensa una vez por época (por defecto 10 ms) basándose en la temperatura observada.

La metodología consta de tres componentes:

1. Modelo de $T_{RHD}$ Dinámico: El umbral efectivo ($T_{RHDeff}$) se calcula como:
   $$T_{RHDeff}(t) = T_{RHDinit} \cdot f_{temp}(T) \cdot g$$
   • Factor de Temperatura ($f_{temp}$): Derivado de una regresión lineal de los datos de SpyHammer [6], modelando la degradación de $T_{RHD}$ a medida que aumenta la temperatura. El modelo gestiona las variaciones específicas de los fabricantes (por ejemplo, la firma invertida de Samsung) mediante una tabla de búsqueda basada en el ID del Fabricante (MID).
   • Margen de Seguridad o Guardband ($g$): Un factor de reducción multiplicativo (establecido empíricamente en 0.9) para dar cuenta de las variaciones temporales estocásticas (VRD [7]) y la dispersión por fila no capturada por el modelo de media poblacional de temperatura.
2. Procedimiento de Actualización por Época: El controlador muestppea la temperatura de los sensores del lado del SPD (DDR4) o de los sensores del SPD-Hub (DDR5), calcula el $T_{RHDeff}$ y proyecta este valor sobre la variable de umbral específica de la defensa activa.
3. Proyección del Umbral: La capa mapea el $T_{RHDeff}$ calculado al contrato de seguridad específico de cada defensa:
   • SALT-C: Recalcula el parámetro de Activaciones por Minuto (APM) para asegurar que las activaciones máximas ($MaxACT$) permanezcan por debajo del umbral físico degradado.
   • PRAC: Ajusta el umbral de alerta por fila ($ATH_{PRAC}$) restando el presupuesto de gracia de ABO de $T_{RHDeff}$.
   • TRR: Ajusta el umbral del rastreador de profundidad fija a $T_{RHDeff}/2$.

Crucialmente, la capa solo llega a endurecer el umbral (nunca a relajarlo), preservando los argumentos de corrección de las defensas subyacentes.

Contribuciones Clave

1. Una Capa de Tiempo de Ejecución Agnóstica a la Defensa: Un mecanismo que desacopla el parámetro del umbral de la constante estática de fabricación, permitiendo que se adapte a las condiciones térmicas de tiempo de ejecución sin modificar la lógica central de la defensa.
2. Marco de Evaluación Unificado: Una evaluación a través de tres arquitecturas de defensa distintas (SALT-C, PRAC, TRR) utilizando un "oráculo desacoplado". Este oráculo escala el $T_{RHD}$ físico por DIMM mediante un factor estocástico $\delta \sim N(1, \sigma)$ para romper la autocoherencia del modelo, asegurando que la evaluación pruebe la capacidad de la defensa para manejar la varianza del mundo real en lugar de solo los supuestos internos del modelo.
   3.Análisis de Viabilidad de Hardware: El artículo describe dos rutas de despliegue: una implementación en el host que requiere actualizaciones del estándar JEDEC (exponiendo registros de umbral por banco) y una implementación en el chip (on-die) utilizando sensores térmicos internos y tablas ROM existentes, evitando nuevos registros escribibles por el host.

Resultos
La evaluación se realizó utilizando DRAMSim3 con un rastro de Rowhammer de doble lado (600K activaciones) durante 7M de ciclos.

• PRAC: La configuración nominal-estática (calibrada a 65°C) sufrió 72 brechas a 85°C. La capa Dinámica redujo esto a 0 brechas con $\sigma=0$. Incluso con varianza estocástica ($\sigma=0.10$), la capa Dinámica con un margen de seguridad ($g=0.9$) redujo las brechas de 38.4 (con $g=1.0$) a 9.6.
• SALT-C: La configuración nominal-estática tuvo 10 brechas a 85°C. La capa Dinámica redujo esto a 2 brechas (atribuidas a transitorios de la primera época), las cuales se eliminaron a 0 usando una política de arranque (bootstrap) que siembra el umbral basado en la temperatura inicial. La operación dinámica incurrió en un costo de latencia del 5.1% a 85°C en comparación con la configuración estática nominal, pero fue un 3.6% más barata que una configuración estática de caso de peor escenario (calibrada para 85°C) a 65°C.
• TRR: La capa actuó principalmente como una herramienta de diagnóstico para TRR. Con una profundidad de rastreador pequeña ($K=4$), TRR sufrió de límites de capacidad (evicciones) en lugar de obsolescencia del umbral, resultando en altos conteos de brechas independientemente de la calibración. La capa solo fue efectiva cuando se aumentó la profundidad del rastreador ($K \ge 16$).
• Sobrecarga (Overhead): El costo computacional es insignificante (<1 ns para el cálculo). El costo dominante es el ancho de banda de memoria requerido para escribir los nuevos umbrales en los registros por banco, estimado en ~260 ns por cada época de 10 ms (0.003% del ancho de banda de DRAM).

Significancia y Reivindicaciones
El artículo afirma que la Gestión Dinámica del Umbral de Rowhammer cierra la brecha de "obsolescencia térmica" que vuelve vulnerables a las defensas estáticas en entornos operativos calientes. Demuestra que una delgada capa de tiempo de ejecución puede corregir retroactivamente la parametrización de las defensas existentes sin requerir un rediseño fundamental de la arquitectura de la DRAM o de los algoritmos de defensa mismos.

Los autores declaran explícitamente las limitaciones:

• Los resultados se basan en simulaciones; se requiere la caracterización en silicio de $HC_{first}$ (conteo de activación para el primer giro de bit) frente a la temperatura para el despliegue.
• El modelo de temperatura lineal se deriva de datos de DDR4 y puede no generalizarse a DDR5 sin un reajuste debido a los cambios de proceso.
• El enfoque asume que la temperatura observada refleja la temperatura real de la celda, dejando al sistema vulnerable al spoofing de sensores o ataques de manipulación térmica, aunque una implementación de sensor en el chip mitiga esto.
• La capa no aborda defensas no basadas en contadores (por ejemplo, row-swap) ni patrones de ataque específicos como Blacksmith o ZenHammer, aunque se espera que sea ortogonal a ellos.

En última instancia, el trabajo se posiciona no como una nueva defensa, sino como una capa de gestión de tiempo de ejecución necesaria que asegura que los parámetros de las defensas basadas en contadores sigan siendo válidos bajo condiciones térmicas dinámicas.