🤖 AI

The Weight of a Bit: EMFI Sensitivity Analysis of Embedded Deep Learning Models

本文通过在嵌入式芯片上部署多种图像分类模型并利用低成本电磁故障注入平台，对比分析了浮点与整数等不同数值表示对模型抗电磁攻击能力的影响，发现整数表示（尤其是 8 位）相比浮点表示能显著减轻单次故障注入导致的精度下降。

原作者： Jakub Breier, Štefan Kučerák, Xiaolu Hou

发布于 2026-04-14

📖 1 分钟阅读☕ 轻松阅读

原作者： Jakub Breier, Štefan Kučerák, Xiaolu Hou

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

这篇论文就像是在给嵌入式人工智能（AI）模型做一场"抗压体检"。

想象一下，你正在把一位聪明的“大脑”（深度学习模型）装进一个小小的、廉价的“盒子”（嵌入式芯片，比如智能摄像头或物联网设备）里，让它能在没有云端大服务器支持的情况下独立工作。

但是，这个“盒子”很脆弱。如果有人在旁边用一种特殊的“电磁脉冲枪”（电磁故障注入，EMFI）对着它“滋”一下，会发生什么？是会让大脑彻底疯掉，还是只会让它稍微打个嗝？

这篇论文就是研究：当给大脑装不同“语言”时，它被电磁脉冲击中后的反应有何不同？

1. 核心实验：四种“语言”的较量

研究人员给四个著名的 AI 模型（ResNet 和 VGG 系列，你可以把它们想象成四个不同体型的“大脑”）穿上了四种不同的“衣服”（数据格式），然后用电磁脉冲去攻击它们：

FP32 (32 位浮点数)：这是豪华精装版。数据非常精确，能表达极大或极小的数字，就像用黄金来记账，每一分钱都算得清清楚楚。
FP16 (16 位浮点数)：这是精装版。为了省空间，把精度减半，就像用白银记账。
INT8 (8 位整数)：这是经济实用版。把小数都去掉，只保留整数，就像用硬币记账。
INT4 (4 位整数)：这是极简压缩版。极度压缩，就像用筹码记账，能记的数字非常少。

2. 攻击过程：电磁脉冲的“魔法”

研究人员用一种叫"NewAE ChipSHOUTER"的设备，向存储这些模型数据的芯片发射电磁脉冲。这就像是在芯片里制造了一场微型的“雷暴”。

结果非常惊人：

🌪️ 浮点数（黄金/白银）：一触即溃

当攻击打在FP32或FP16（浮点数）模型上时，结果简直是灾难性的。

比喻：想象一下，浮点数里的数字是由“指数”（决定大小）和“尾数”（决定精度）组成的。电磁脉冲就像是一个调皮的捣蛋鬼，它随机翻动了“指数”的那几位。
后果：一旦指数被改错，原本正常的数字（比如 0.5）瞬间就会变成天文数字（比如 $10^{38}$ ）或者乱码（NaN，即“非数字”）。
结局：这就像给大脑里灌了一剂强效兴奋剂，所有神经元瞬间“过载”并烧毁。模型完全疯了，准确率直接跌到和瞎猜差不多（接近 0%）。哪怕只打中一个点，整个系统就崩溃了。

🛡️ 整数（硬币/筹码）：皮实耐造

当攻击打在INT8或INT4（整数）模型上时，情况完全不同。

比喻：整数就像是有“天花板”和“地板”的。比如 8 位整数最大只能到 127，最小到 -128。
后果：即使电磁脉冲把某个数字改坏了，它最多也就变成 127 或 -128。它不会变成天文数字，也不会变成乱码。
结局：模型虽然会“头晕”（准确率下降），但不会“猝死”。特别是INT8（8 位整数）版本，在较大的模型（如 VGG-11）上，即使被攻击，依然能保持**70%的识别率（Top-1）和90%**的 Top-5 识别率。它就像穿了防弹衣，虽然被子弹打中了，但还能继续战斗。

3. 为什么会有这种差异？

这就好比**“杠杆”和“弹簧”**的区别：

浮点数是“长杠杆”：只要轻轻拨动杠杆的一端（指数位），另一端（数值大小）就会发生巨大的、不可控的位移。电磁脉冲正好拨动了这个杠杆，导致系统失控。
整数是“弹簧”：它有固定的行程范围。无论你怎么推，它最多只能推到极限位置（比如 127），然后就被卡住了。这种“被限制住”的特性，反而在遭受攻击时成了一种保护机制。

4. 论文的其他发现

攻击是“有规律”的：研究人员发现，电磁脉冲并不是随机乱打，它会在内存的特定位置（比如前 2MB 区域）造成更密集的破坏，就像雷暴总是集中在某个区域一样。
大模型更抗揍：模型越大（参数越多），冗余度越高，越容易“扛住”攻击。就像大船比小船更不容易被一个小浪打翻。
最佳选择：对于嵌入式设备，INT8（8 位整数）是最佳选择。它既省空间、速度快，又比浮点数更能抵抗这种物理攻击。

总结：给普通人的启示

这篇论文告诉我们一个反直觉的道理：在安全性面前，有时候“不精确”反而是一种优势。

如果你要把 AI 模型放在容易受到物理干扰的户外设备上（比如智能门锁、自动驾驶传感器），不要为了追求极致的数学精度而使用浮点数。使用整数量化（INT8）不仅能让设备跑得更快、更省电，还能让它像一块“硬骨头”，在面对电磁干扰时更加顽强，不会轻易“发疯”。

一句话总结：
给 AI 模型穿上“整数紧身衣”（INT8），比穿“浮点数豪华服”（FP32）更能防住电磁脉冲的“偷袭”，让它在恶劣环境中也能保持清醒。

这是一份关于论文《The Weight of a Bit: EMFI Sensitivity Analysis of Embedded Deep Learning Models》（位的重量：嵌入式深度学习模型的电磁故障注入敏感性分析）的详细技术总结。

1. 研究背景与问题 (Problem)

随着 TinyML 和边缘计算的发展，深度学习模型被广泛部署在资源受限的微控制器（MCU）上。为了适应这些设备的内存和功耗限制，模型通常采用量化（Quantization）技术，将权重从高精度浮点数（如 FP32）转换为低精度格式（如 FP16, INT8, INT4）。

然而，这种部署方式引入了新的安全威胁：电磁故障注入攻击（EMFI）。攻击者通过发射电磁脉冲，在芯片内存中引发瞬态故障（如比特翻转），导致模型输出错误。

核心问题：
目前缺乏一项综合研究来评估不同的数值表示格式（浮点数 vs. 整数，不同位宽）在面对 EMFI 攻击时的鲁棒性差异。现有的研究通常只关注单一格式或仅通过模拟进行，缺乏在统一实验设置下对多种格式（FP32, FP16, INT8, INT4）和多种模型架构的直接对比。

2. 方法论 (Methodology)

作者设计并执行了一项广泛的实证研究，具体步骤如下：

实验对象：
- 模型架构：四种常见的图像分类 CNN 模型：ResNet-18, ResNet-34, ResNet-50, 和 VGG-11。
- 数值格式：四种权重表示格式：
  - 浮点数：FP32 (32-bit), FP16 (16-bit)
  - 整数：INT8 (8-bit), INT4 (4-bit)
- 数据集：ImageNet-1K 验证集（子采样至 4096 张图像）。
硬件设置：
- 目标设备：一块载有 4MB SRAM 芯片（AS6C3216A）的 Ballistic Gel 板，作为设备受测体（DUT）。
- 攻击设备：NewAE ChipSHOUTER 电磁故障注入平台，配合高精度微探针。
- 攻击参数：300V 脉冲，宽度 160ns。
- 攻击模式：在模型权重加载到 SRAM 期间注入单次电磁脉冲，模拟存储中的故障注入威胁模型。
评估指标：
- 准确性：测量 Top-1 和 Top-5 准确率在攻击后的下降程度。
- 故障特征分析：
  - **比特错误率 **(BER)：计算被翻转的比特比例。
  - 空间分布：分析损坏字节在内存中的分布。
  - 特定模式：统计出现 0xFE/0xFF 字节值的比例（这对浮点数格式尤为关键）。
  - 数值影响：分析故障后权重的分布变化（如是否产生 NaN 或数值爆炸）。

3. 主要贡献 (Key Contributions)

首个统一对比研究：在相同的实验设置下，首次系统性地比较了 FP32, FP16, INT8, 和 INT4 四种格式在 EMFI 攻击下的鲁棒性。
揭示故障机制：不仅评估了准确率，还深入分析了故障模式。发现虽然不同格式的比特错误率（BER），但故障对数值的影响机制截然不同。
量化浮点数的脆弱性：详细解释了 IEEE 754 浮点格式中指数位（Exponent）翻转导致数值爆炸（Range Explosion）和 NaN（非数字）生成的机制，这是浮点模型崩溃的根本原因。
证明整数的鲁棒性：揭示了整数量化格式通过“数值截断”（Numerical Clipping）天然抵抗高幅度比特翻转的机制。

4. 关键结果 (Key Results)

浮点数格式（FP32/FP16）：
- 灾难性崩溃：单次故障注入后，浮点模型的 Top-1 和 Top-5 准确率几乎完全丧失（降至随机猜测水平，约 0.1%）。
- 原因：EMFI 导致的比特翻转经常改变浮点数的指数位。
  - 在 FP32 中，约 1.27% 的权重变为 NaN（非数字）。
  - 权重范围发生灾难性膨胀（FP32 膨胀约 $10^{39}$ 倍），导致后续激活函数饱和，整个推理路径被“毒化”。
- FP16 虽然比 FP32 稍好（NaN 比例较低，约 0.1%），但依然无法抵抗攻击。
整数格式（INT8/INT4）：
- 显著鲁棒性：整数模型表现出更强的抵抗力。
- 最佳平衡点：INT8 提供了最佳的权衡。例如，在较大的网络（VGG-11）上，INT8 模型在遭受攻击后仍能保持约 70% 的 Top-1 准确率和 90% 的 Top-5 准确率。
- 机制：整数格式的范围是固定的（如 INT8 为 [-128, 127]）。即使发生比特翻转，权重也被限制在最大可表示值内，不会像浮点数那样产生指数级的数值爆炸。这种“数值截断”起到了天然的保护作用。
- INT4 虽然压缩率更高，但由于表示值更少（仅 16 个），单个比特翻转带来的相对变化更大，因此鲁棒性略低于 INT8。
空间敏感性：
- 前端敏感：对于大多数模型，攻击网络前端（初始卷积层）的权重会导致最严重的准确率下降。
- VGG-11 的特殊性：VGG-11 的 INT8 模型表现出双峰敏感性。攻击中间层（主要是巨大的全连接层 FC6）时，由于该层参数冗余度高且故障窗口仅覆盖其一小部分，准确率几乎不受影响；但攻击首尾层则会导致显著下降。
故障模式特征：
- 尽管整数模型接收到的 0xFE/0xFF（最大值）字节比例更高，但由于其数值边界限制，这些故障并未导致灾难性后果；而在浮点模型中，少量的此类字节即可导致 NaN。

5. 意义与结论 (Significance & Conclusion)

安全启示：在边缘 AI 部署中，数值表示格式的选择是安全性的关键因素。仅仅为了节省内存而使用浮点数可能使模型在面对物理攻击时极其脆弱。
推荐方案：对于资源受限且需要高安全性的边缘设备，INT8 量化是最佳选择。它不仅减少了内存占用，还通过整数算术的固有特性提供了对 EMFI 攻击的被动防御（Passive Protection）。
未来方向：
- 研究针对故障注入的训练阶段优化（如量化感知训练），专门降低关键权重比特的敏感性。
- 将分析扩展到在微控制器上进行的原位推理（In-situ inference），以验证在完整系统栈（包括指令缓存、ECC 等）下的表现。
- 探索结合硬件检测电路或校验和（Checksum）等主动防御机制。

总结：该论文通过严谨的实验证明，浮点格式在 EMFI 攻击下极其脆弱，而整数格式（特别是 INT8）。这一发现为嵌入式深度学习系统的安全设计提供了重要的理论依据和工程指导。