Characterizing the Fault Response of the Intel Neural Compute Stick 2 Under Single-Pulse Electromagnetic Fault Injection

Enunciato del Problema

Gli acceleratori commerciali per l'inferenza di reti neurali, come le Unità di Elaborazione Visiva (VPU), sono sempre più dispiegati in applicazioni periferiche critiche per la sicurezza (ad esempio, ispezione industriale, robotica). Tuttavia, le loro risposte ai disturbi hardware transitori rimangono scarsamente caratterizzate nella letteratura aperta. Sebbene standard come IEC 61508 e ISO 26262 richiedano la caratterizzazione delle modalità di guasto e la quantificazione dei tassi di guasto residui, i fornitori spesso non pubblicano le caratteristiche di guasto per il silicio proprietario. Il lavoro precedente sull'Intel Neural Compute Stick 2 (NCS2) si è limitato a un singolo studio di fattibilità che stabiliva che i disturbi elettromagnetici causano errori, ma non è riuscito a caratterizzare lo spazio dei guasti, la sensibilità spaziale o la persistenza dei guasti.

Metodologia

Gli autori hanno condotto una campagna sistematica di Iniezione di Guasti Elettromagnetici a singolo impulso (EMFI) sull'Intel NCS2 (dotato della VPU Movidius Myriad X) in esecuzione con il runtime OpenVINO.

• Piattaforma Target: L'NCS2 è stato sgusciato per esporre il pacchetto Myriad X. È stato raffreddato attivamente per prevenire il throttling termico, che è stato osservato modulare i tassi di guasto.
• Configurazione di Iniezione: Un generatore di impulsi NewAE ChipSHOUTER ha azionato sonde magnetiche near-field (bobine da 1 mm CW, 1 mm CCW e 4 mm CCW) posizionate da una stazione XYZ basata su stampante 3D.
• Carichi di Lavoro: Sono stati valutati tre Reti Neurali Convoluzionali (CNN) addestrate su ImageNet: ResNet-18, ResNet-50 e VGG-11.
• Fasi Sperimentali:
  1. Scansione Esplorativa: Utilizzo di un campionatore Tree-structured Parzen Estimator (TPE) per cercare un ampio spazio dei parametri (coordinate laterali, distanza di stacco, tensione) per identificare i "punti caldi" dove si verificano i guasti.
  2. Test Puntuali: Prove a parametri fissi (256 prove per configurazione) condotte sui punti caldi identificati per generare distribuzioni statistiche stabili degli esiti.
• Temporizzazione: Gli impulsi sono stati erogati sia 1 secondo prima dell'avvio dell'inferenza (stato inattivo con modello caricato) sia 1 secondo dopo l'avvio dell'inferenza (durante l'inferenza).
• Tassonomia dei Guasti: Gli esiti sono stati classificati in quattro classi mutualmente esclusive:
  • C0 (Invariato): Nessuna variazione misurabile dell'accuratezza.
  • C1 (SDC Minore): Degradazione minore dell'accuratezza (tra il 1% e il 50% di calo nell'accuratezza top-1), potenzialmente transitoria o persistente ma non catastrofica.
  • C2 (Degradazione Persistente Maggiore): Il crollo dell'accuratezza top-1 (>50% di calo) e rimane crollato su tutte le inferenze successive fino al ricaricamento esplicito del modello.
  • C3 (Guasto del Dispositivo): Blocco del dispositivo, disconnessione USB o errori di runtime che richiedono un riavvio dell'alimentazione USB per il recupero.

Risultati Chiave

1. Quattro Classi di Esito Riproducibili
Lo studio conferma che i singoli impulsi EMFI producono quattro esiti distinti e riproducibili. Crucialmente, la Classe C2 (Degradazione Persistente Maggiore) è una scoperta significativa. In questo stato, il dispositivo restituisce una chiamata di inferenza riuscita con un risultato gravemente errato (accuratezza top-1 < 5%), e questo errore persiste su tutte le inferenze successive fino al ricaricamento del modello. Questo regime è indetectabile dai meccanismi standard a livello di API di inferenza.

2. Sensibilità Spaziale e Punti Caldi
La mappatura spaziale ha rivelato due punti caldi laterali riproducibili separati da circa 7 mm, dove sono concentrati i guasti di Classe C1 e C2. Una regione centrale tra questi punti caldi produce preferenzialmente la Classe C3 (blocchi del dispositivo). Ciò suggerisce un layout del die in cui le regioni laterali contengono blocchi di calcolo/archiviazione e la regione centrale contiene la logica di controllo.

3. Persistenza e Vulnerabilità nello Stato Inattivo

• Persistenza: I guasti di Classe C2 persistono sulle inferenze successive. Il ricaricamento esplicito del modello ripristina l'accuratezza di base, indicando che la corruzione risiede nello stato del modello caricato (pesi, istruzioni o configurazione) piuttosto che nell'archiviazione non volatile o in danni irreversibili al silicio.
• Vulnerabilità nello Stato Inattivo: Gli impulsi erogati a un dispositivo inattivo (con il modello già caricato ma prima dell'avvio dell'inferenza) inducono guasti di Classe C2 a tassi comparabili a quelli degli impulsi durante l'inferenza. Ciò dimostra che lo stato del modello è suscettibile ai guasti anche quando il dispositivo è inattivo, rendendo insufficienti i soli controlli di integrità al momento del caricamento.

4. Affidabilità Dipendente dall'Architettura
Diverse architetture CNN occupano regioni distinte nel piano "tasso di guasto persistente vs tasso di guasto del dispositivo":

• ResNet-18 & ResNet-50: Mostrano alti tassi di persistenza (18–31%) ma tassi di guasto del dispositivo più bassi. Mostrano una distribuzione bimodale dove i guasti tendono ad essere o trascurabili o catastrofici (C2), con pochi esiti intermedi (C1).
• VGG-11: Mostra un tasso significativamente più alto di perturbazioni minori dell'accuratezza (C1) e un tasso di guasto del dispositivo più alto (C3) durante l'inferenza rispetto alle ResNet. Gli autori ipotizzano che ciò sia dovuto al più grande capo classificatore completamente connesso di VGG-11, che potrebbe assorbire alcune corruzioni senza un crollo totale, e al suo maggiore footprint di memoria che aumenta il rischio di interruzione dello stato di controllo.

5. Effetti di Temporizzazione e Sonda

• Temporizzazione: Sebbene i tassi C2 siano comparabili tra "prima" e "durante" l'inferenza, la distribuzione di C1 e C3 varia in base all'architettura e alla temporizzazione.
• Dimensione della Sonda: La sonda da 4 mm, che accoppia energia su un'area più ampia, tende a produrre la Classe C3 (blocchi) ad alte tensioni, mentre le sonde da 1 mm sono necessarie per indurre corruzione dati localizzata (C1/C2).

Significato e Affermazioni

Il documento afferma di colmare una lacuna critica nella caratterizzazione dell'affidabilità dell'hardware AI periferico passando dalla fattibilità alla mappatura sistematica dello spazio dei guasti. I suoi contributi principali sono:

1. Tassonomia: Stabilire una tassonomia dei guasti a quattro classi (Nessun effetto, SDC Minore, SDC Persistente Maggiore, Guasto del Dispositivo) che mappano sulla terminologia degli effetti delle radiazioni (SET, SEU, SEFI).
2. Scoperta della Persistenza: Identificare un regime di "Degradazione Persistente Maggiore" in cui un singolo impulso causa una misclassificazione silenziosa a lungo termine che sopravvive attraverso le inferenze ed è invisibile all'applicazione host senza controlli esterni.
3. Rischio nello Stato Inattivo: Dimostrare che lo stato del modello caricato è vulnerabile anche quando il dispositivo è inattivo, mettendo in discussione la sufficienza dei controlli di integrità al momento del caricamento.
4. Architettura come Leva: Mostrare che la scelta dell'architettura del modello sposta sistematicamente il profilo di affidabilità del dispositivo, fornendo agli integratori di sistema una leva al momento del deployment per gestire i tassi di guasto.
5. Mitigazione: Proporre strategie di mitigazione a livello applicativo (watchdog lato host, incrocio di immagini di riferimento, inferenza ridondante) che non richiedono modifiche al firmware o al runtime.

Gli autori mantengono modestia riguardo alle loro affermazioni, notando che i risultati sono specifici per l'NCS2 e i carichi di lavoro testati. Riconoscono limitazioni come l'uso di un singolo campione di dispositivo, la mancanza di un piano di pavimento del die pubblico (che limita la correlazione spaziale precisa ai blocchi) e il jitter attivato dal software che impedisce la localizzazione dei guasti per livello. Posizionano questo lavoro come una caratterizzazione sotto EMFI piuttosto che una previsione quantitativa dei tassi di errore soft in tutte le condizioni di campo, sebbene sostengano che le classi di guasto qualitative siano probabilmente preservate attraverso diverse fonti di disturbi transitori.