Characterizing the Fault Response of the Intel Neural Compute Stick 2 Under Single-Pulse Electromagnetic Fault Injection

Declaração do Problema

Aceleradores comerciais de inferência de redes neurais, como Unidades de Processamento de Visão (VPUs), estão sendo cada vez mais implantados em aplicações de borda relevantes para segurança (por exemplo, inspeção industrial, robótica). No entanto, suas respostas a perturbações de hardware transitórias permanecem pouco caracterizadas na literatura aberta. Embora padrões como IEC 61508 e ISO 26262 exijam que modos de falha sejam caracterizados e taxas de falha residual quantificadas, os fornecedores frequentemente não publicam características de falha para silício proprietário. Trabalhos anteriores sobre o Intel Neural Compute Stick 2 (NCS2) limitaram-se a um único estudo de viabilidade que estabelecia que perturbações eletromagnéticas causam erros, mas falharam em caracterizar o espaço de falhas, a sensibilidade espacial ou a persistência das falhas.

Metodologia

Os autores conduziram uma campanha sistemática de Injeção de Falha Eletromagnética (EMFI) de pulso único no Intel NCS2 (com a VPU Movidius Myriad X) executando o runtime OpenVINO.

• Plataforma Alvo: O NCS2 foi desmontado para expor o pacote Myriad X. Foi resfriado ativamente para evitar o estrangulamento térmico, que foi observado modulando as taxas de falha.
• Configuração de Injeção: Um gerador de pulsos NewAE ChipSHOUTER acionou sondas magnéticas de campo próximo (bobinas de 1 mm CW, 1 mm CCW e 4 mm CCW) posicionadas por uma mesa XYZ baseada em impressora 3D.
• Cargas de Trabalho: Três Redes Neurais Convolucionais (CNNs) treinadas no ImageNet foram avaliadas: ResNet-18, ResNet-50 e VGG-11.
• Fases Experimentais:
  1. Varredura Exploratória: Utilizou-se um amostrador Estimador Parzen Estruturado em Árvore (TPE) para buscar um grande espaço de parâmetros (coordenadas laterais, distância de afastamento, tensão) para identificar "pontos quentes" onde as falhas ocorrem.
  2. Testes Pontuais: Ensaios de parâmetros fixos (256 ensaios por configuração) foram conduzidos nos pontos quentes identificados para gerar distribuições estatísticas estáveis de resultados.
• Temporização: Os pulsos foram entregues 1 segundo antes do início da inferência (estado ocioso com modelo carregado) ou 1 segundo após o início da inferência (durante a inferência).
• Taxonomia de Falhas: Os resultados foram classificados em quatro classes mutuamente exclusivas:
  • C0 (Inalterado): Nenhuma mudança mensurável na precisão.
  • C1 (SDC Menor): Degradação menor da precisão (queda entre 1% e 50% na precisão top-1), potencialmente transitória ou persistente, mas não catastrófica.
  • C2 (Degradação Persistente Majoritária): A precisão top-1 colapsa (queda >50%) e permanece colapsada em todas as inferências subsequentes até que o modelo seja explicitamente recarregado.
  • C3 (Falha do Dispositivo): Dispositivo trava, desconexão USB ou erros de runtime que exigem um ciclo de energia USB para recuperação.

Principais Resultados

1. Quatro Classes de Resultados Reprodutíveis
O estudo confirma que pulsos únicos de EMFI produzem quatro resultados distintos e reprodutíveis. Crucialmente, a Classe C2 (Degradação Persistente Majoritária) é uma descoberta significativa. Neste estado, o dispositivo retorna uma chamada de inferência bem-sucedida com um resultado gravemente incorreto (precisão top-1 < 5%), e este erro persiste em todas as inferências subsequentes até que o modelo seja recarregado. Este regime é indetectável por mecanismos padrão no nível da API de inferência.

2. Sensibilidade Espacial e Pontos Quentes
O mapeamento espacial revelou dois pontos quentes laterais reprodutíveis separados por aproximadamente 7 mm, onde as falhas das Classes C1 e C2 estão concentradas. Uma região central entre esses pontos quentes produz preferencialmente a Classe C3 (travamentos do dispositivo). Isso sugere um layout de die onde as regiões laterais contêm blocos de computação/armazenamento e a região central contém lógica de controle.

3. Persistência e Vulnerabilidade no Estado Ocioso

• Persistência: As falhas da Classe C2 persistem através de inferências subsequentes. O recarregamento explícito do modelo restaura a precisão de base, indicando que a corrupção reside no estado do modelo carregado (pesos, instruções ou configuração) e não em armazenamento não volátil ou danos irreversíveis ao silício.
• Vulnerabilidade no Estado Ocioso: Pulsos entregues a um dispositivo ocioso (com o modelo já carregado, mas antes do início da inferência) induzem falhas da Classe C2 em taxas comparáveis às de pulsos durante a inferência. Isso demonstra que o estado do modelo é suscetível a falhas mesmo quando o dispositivo está ocioso, tornando verificações de integridade apenas no momento do carregamento insuficientes.

4. Confiabilidade Dependente da Arquitetura
Diferentes arquiteturas CNN ocupam regiões distintas no plano "taxa de falha persistente vs. taxa de falha do dispositivo":

• ResNet-18 & ResNet-50: Apresentam altas taxas de persistência (18–31%), mas taxas de falha do dispositivo mais baixas. Elas mostram uma distribuição bimodal onde as falhas tendem a ser negligenciáveis ou catastróficas (C2), com poucos resultados intermediários (C1).
• VGG-11: Apresenta uma taxa significativamente maior de perturbações menores de precisão (C1) e uma taxa de falha do dispositivo (C3) mais alta durante a inferência em comparação com as ResNets. Os autores hipotetizam que isso se deve ao cabeçalho classificador totalmente conectado maior do VGG-11, que pode absorver alguma corrupção sem colapso total, e à sua maior pegada de memória aumentando o risco de interrupção do estado de controle.

5. Efeitos de Temporização e Sonda

• Temporização: Embora as taxas de C2 sejam comparáveis entre "antes" e "durante" a inferência, a distribuição de C1 e C3 varia conforme a arquitetura e a temporização.
• Tamanho da Sonda: A sonda de 4 mm, que acopla energia sobre uma área maior, tende a produzir Classe C3 (travamentos) em altas tensões, enquanto as sondas de 1 mm são necessárias para induzir corrupção de dados localizada (C1/C2).

Significado e Alegações

O artigo afirma preencher uma lacuna crítica na caracterização de confiabilidade de hardware de IA de borda, avançando da viabilidade para o mapeamento sistemático do espaço de falhas. Suas principais contribuições são:

1. Taxonomia: Estabelecimento de uma taxonomia de falhas de quatro classes (Sem efeito, SDC Menor, SDC Persistente Majoritário, Falha do Dispositivo) que mapeia para terminologia de efeitos de radiação (SET, SEU, SEFI).
2. Descoberta de Persistência: Identificação de um regime de "Degradação Persistente Majoritária" onde um único pulso causa má classificação silenciosa de longo prazo que sobrevive através de inferências e é invisível para o aplicativo hospedeiro sem verificações externas.
3. Risco no Estado Ocioso: Demonstração de que o estado do modelo carregado é vulnerável mesmo quando o dispositivo está ocioso, desafiando a suficiência de verificações de integridade no momento do carregamento.
4. Arquitetura como Alavanca: Mostrar que a escolha da arquitetura do modelo desloca sistematicamente o perfil de confiabilidade do dispositivo, fornecendo aos integradores de sistema uma alavanca no momento da implantação para gerenciar taxas de falha.
5. Mitigação: Proposição de estratégias de mitigação no nível da aplicação (watchdogs no lado do hospedeiro, verificação cruzada de imagem de referência, inferência redundante) que não requerem modificações de firmware ou runtime.

Os autores mantêm modéstia em relação às suas alegações, observando que os resultados são específicos ao NCS2 e às cargas de trabalho testadas. Eles reconhecem limitações, como o uso de uma única amostra de dispositivo, a falta de um plano de piso de die público (limitando a correlação espacial precisa para blocos) e jitter acionado por software impedindo a localização de falhas por camada. Eles posicionam este trabalho como uma caracterização sob EMFI e não como uma previsão quantitativa de taxas de erro suave em todas as condições de campo, embora argumentem que as classes qualitativas de falhas provavelmente são preservadas através de diferentes fontes de perturbação transitória.