Technische Samenvatting: RRAM-DP: Device-Calibrated Differential Privacy voor In-Memory Edge Learning

1. Probleemstelling

Edge Artificial Intelligence of Things (AIoT)-systemen voeren steeds vaker in-situ sensing en leren uit, wat kritieke privacyzorgen oproept. Deep Neural Networks (DNN's) die getraind worden op lokale data zijn kwetsbaar voor privacy-aanvallen zoals Membership Inference Attacks (MIA's) en het extraheren van trainingsdata. Differential Privacy (DP) biedt een rigoureuze verdediging door gekalibreerde ruis te injecteren, maar bestaande DP-frameworks kampen met aanzienlijke hindernissen in edge AIoT:

• Digitale beperkingen: Het implementeren van DP op digitale hardware (CPU's/GPU's) lijdt onder fouten door eindige precisie bij afronding, de vatbaarheid voor floating-point aanvallen en hoge energiekosten door herhaalde datamobiliteit tussen processoren en geheugen.
• Efficiëntie versus privacy: Bestaande DP-SGD-implementaties veroorzaken aanzienlijke overhead in tijd en ruimte (2× tot 1000×) vergeleken met standaard training, wat prohibitief is voor hulpbronnenbeperkte edge-apparaten.
• Hardware-niet-idealieten: Resistive-switching Random-Access Memory (RRAM) is een veelbelovend substraat voor Compute-in-Memory (CiM) vanwege de multi-bit opslag en analoge multiply-accumulate (MAC) capaciteiten. Echter, de inherente stochastische schrijfgedrag van RRAM (cycle-to-cycle en device-to-device variaties) wordt traditioneel beschouwd als een betrouwbaarheidsprobleem dat de nauwkeurigheid verslechtert. Bovendien heeft eerder werk de memristor-ruis grotendeels theoretisch behandeld (uitgaande van geïdealiseerde i.i.d. Gaussische perturbaties) zonder te adresseren hoe de realistische, niet-identieke device-ruis gekalibreerd kan worden om formele DP-garanties te bieden.

2. Methodologie: RRAM-DP Co-Design

De auteurs stellen RRAM-DP voor, een hardware-algoritme co-design die de inherente stochastiek van RRAM transformeert naar een principieel bron van differential privacy.

2.1 Hardware Mechanisme: Relaxing Write-Verify

In plaats van de RRAM write-ruis als een defect te zien, gebruikt het systeem deze als een ware willekeurige getallengenerator.

• Relaxed Write-Verify: Het systeem versoepelt de standaard write-verify loop. In plaats van te itereren totdat een exacte doelgeleidbaarheid wordt bereikt, stopt het proces zodra de geleidbaarheid binnen een aanpasbare absolute foutmarge valt, aangeduid als $\tau$ (stopping threshold).
• Ruisinjectie: Deze versoepeling zorgt ervoor dat de inherente cycle-to-cycle variatie zich manifesteert als gecontroleerde ruisinjectie tijdens de schrijfoperatie.
• Multi-Device Representatie: Om device-to-device variaties en niet-identieke distributies aan te pakken, gebruikt het systeem een $k$-device configuratie (specifiek $k=3$ in experimenten). Door de output van $k$ devices die hetzelfde parameter opslaan te middelen, maakt het systeem gebruik van de Lindeberg-Central Limit Theorem (CLT) om te garanderen dat de geaggregeerde ruis convergeert naar een Gaussische distributie, wat voldoet aan de vereisten voor formele DP-analyse.

2.2 Algoritmisch Framework: RRAM-DP-SGD

Het paper formuleert RRAM-DP-SGD, een adaptatie van DP-SGD die direct in RRAM wordt uitgevoerd.

• Ruiskalibratie: Het systeem brengt de hardware stopping threshold $\tau$ in kaart met de statistische variantie van de geïnjecteerde ruis. Met behulp van empirische device statistieken wordt een lineair lower bound model opgezet om $\tau$ te relateren aan de ruis standaarddeviatie $\sigma'_{min}$.
• Formele Privacy Analyse: De auteurs maken gebruik van $\mu$-Gaussian Differential Privacy ($\mu$-GDP) als analytisch framework, wat nauwere bounds biedt voor mechanismen die in lijn zijn met Gaussische ruis. Ze bewijzen dat de compositie van $T$ iteratieve RRAM-DP mechanismen met uniforme subsampling voldoet aan $\mu_r$-GDP, wat kan worden omgezet naar standaard $(\epsilon, \delta)$-DP garanties.
• Pretraining Strategie: Om de nauwkeurigheidsafname door ruizige schrijfoperaties en de inherente beperkingen van DP-SGD te mitigeren, integreren de auteurs pretraining technieken. Modellen worden eerst gepretrained op grote publieke datasets (bijv. ImageNet32) en vervolgens gefinetuned op private data met behulp van RRAM-DP-SGD. Deze aanpak verbetert de utility en de tolerantie voor ruisaccumulatie.

2.3 Hardware Architectuur

De voorgestelde accelerator bestaat uit een globale controle-unit en 512 tiles, die elk 16×16 Processing Elements (PE's) bevatten. Elke PE maakt gebruik van drie 32×32 RRAM arrays (3-device configuratie) voor gewichtsopslag. Het systeem voert analoge vector-matrix vermenigvuldiging (MAC) in-memory uit, terwijl het digitale controle en gradient clipping afhandelt.

3. Belangrijkste Bijdragen

1. Eerste RRAM-gebaseerde randomisatie mechanisme: Het paper presenteert het eerste mechanisme dat RRAM write-operaties kalibreert voor in-situ echte ruis-toevoeging, waarbij formele $(\epsilon, \delta)$-DP garanties worden geboden voor zowel data-opslag als SGD-training.
2. Robuuste Ruis Sampling: Door write-verify sampling te combineren met een multi-device ($k=3$) representatie en CLT, genereert het systeem stabiele, Gaussisch-achtige ruis uit niet-ideale devices met slechts één enkele controleparameter ($\tau$).
3. Ruis-resiliente CiM-Training: De auteurs demonstreren dat pretraining technieken effectief de kloof kunnen overbruggen tussen ruizige analoge training en hoge utility, waarbij een nauwkeurigheidsverlies van $\leq \sim 7\%$ bij $\epsilon=5$ wordt bereikt vergeleken met ideale training.
4. State-of-the-Art Efficiëntie: De RRAM-DP-SGD accelerator bereikt significante verbeteringen in energie en snelheid vergeleken met digitale tegenhangers.

4. Experimentele Resultaten

De auteurs evalueerden het systeem op CIFAR-10/100, STS-B, en SST-2 datasets, naast hybride analoge-digitale training op MNIST.

• Nauwkeurigheid:
  • Op CIFAR-10/100, STS-B, en SST-2 veroorzaakte RRAM-DP-SGD een nauwkeurigheidsverlies van maximaal 3.8% bij $(\epsilon=2, \delta=O(1/n))$-DP ten opzichte van non-private SGD.
  • Bij $\epsilon=5$ bereikte het systeem nauwkeurigheden van 89.6% (CIFAR-10), 71.8% (CIFAR-100), 83.4% (STS-B), en 92.0% (SST-2), waarmee het state-of-the-art DP-SGD training vanaf scratch overtrof.
• Privacy Bescherming:
  • Tegen Likelihood Ratio Attacks (LiRA) bereikte RRAM-DP-SGD een Area Under the Curve (AUC) van 0.4975, vrijwel identiek aan de theoretische random baseline (0.5) en aanzienlijk beter dan non-private training (0.5348), wat een sterke weerstand tegen membership inference bevestigt.
• Efficiëntie (vs. A100 GPU en DiVa-GEMM):
  • Energiebesparing: Het systeem behaalde 54×–57× energiebesparingen vergeleken met een NVIDIA A100 GPU en 3×–3.2× besparingen vergeleken met de digitale DP-SGD accelerator DiVa-GEMM.
  • Versnelling: Het systeem demonstreerde een 2.5×–2.7× versnelling ten opzichte van de A100 en 1.7×–1.8× over DiVa-GEMM.
  • Device Drift: Experimenten toonden aan dat device drift over 12 dagen verwaarloosbare extra ruis introduceert (equivalent aan $\tau \approx 1.5\mu S$), wat de privacy budget of nauwkeurigheid in iteratieve training niet significant beïnvloedt.

5. Betekenis en Claims

Het paper claimt dat RRAM-DP een nieuw computatieparadigma vestigt voor efficiënte, privacy-preserverende in-memory training aan de edge. Door device-niveau statistieken rigoureus te verbinden aan privacy parameters, transformeert dit werk onvermijdelijke hardware-niet-idealieten (stochastiek) in gecontroleerde privacy-garanties zonder dat hiervoor architecturale wijzigingen aan de geheugenarray zelf nodig zijn.

De auteurs benadrukken dat hun aanpak verder gaat dan theoretische aannames van ideale ruis, door een praktische, hardware-gekalibreerde oplossing te bieden die hoogwaardige training op RRAM-gebaseerde edge-apparaten mogelijk maakt, terwijl er formele bescherming wordt geboden tegen database-niveau aanvallen. De integratie van pretraining technieken wordt benadrukt als een cruciale enabler om de utility-beperkingen te overwinnen die gewoonlijk geassocieerd worden met ruizige analoge training.