Characterizing the Fault Response of the Intel Neural Compute Stick 2 Under Single-Pulse Electromagnetic Fault Injection

以下是论文《表征单脉冲电磁故障注入下英特尔神经计算棒（Intel Neural Compute Stick）的故障响应》的详细技术总结。

问题陈述

商业神经网络推理加速器（如视觉处理单元 VPU）正日益部署于安全相关的边缘应用中（例如工业检测、机器人技术）。然而，在公开文献中，它们对瞬态硬件干扰的故障响应仍缺乏充分表征。尽管 IEC 61508 和 ISO 26262 等标准要求对故障模式进行表征并量化剩余故障率，但厂商通常不发布专有硅片的故障特性。此前针对英特尔神经计算棒 2 代（NCS2）的工作仅限于一项可行性研究，该研究证实了电磁干扰会导致错误，但未能表征故障空间、空间敏感性或故障的持久性。

方法论

作者对运行 OpenVINO 运行时环境的英特尔 NCS2（搭载 Movidius Myriad X VPU）进行了系统的单脉冲电磁故障注入（EMFI）实验。

• 目标平台： NCS2 被拆除外壳以暴露 Myriad X 封装。它被主动冷却以防止热节流，因为观察到热节流会调制故障率。
• 注入设置： NewAE ChipSHOUTER 脉冲发生器驱动近场磁探针（1 毫米顺时针、1 毫米逆时针和 4 毫米逆时针线圈），这些探针由基于 3D 打印的 XYZ 平台定位。
• 工作负载： 评估了三个基于 ImageNet 训练的卷积神经网络（CNN）：ResNet-18、ResNet-50 和 VGG-11。
• 实验阶段：
  1. 探索性扫描： 使用树结构 Parzen 估计器（TPE）采样器搜索大范围参数空间（横向坐标、 standoff 距离、电压），以识别发生故障的“热点”。
  2. 定点测试： 在已识别的热点处进行固定参数试验（每种配置 256 次试验），以生成稳定的结果统计分布。
• 时序： 脉冲在推理开始前 1 秒（已加载模型的空闲状态）或推理开始后 1 秒（推理过程中）注入。
• 故障分类： 结果被归类为四个互斥类别：
  • C0（无变化）： 无可测量的精度变化。
  • C1（轻微静默数据错误 SDC）： 轻微精度下降（Top-1 精度下降 1% 至 50%），可能是瞬态或持久性的，但非灾难性的。
  • C2（重大持久性退化）： Top-1 精度崩溃（下降>50%）并在所有后续推理中保持崩溃状态，直到模型被显式重新加载。
  • C3（设备故障）： 设备挂起、USB 断开连接或需要 USB 电源循环才能恢复的运行时错误。

关键结果

1. 四种可复现的结果类别
该研究证实，单次 EMFI 脉冲会产生四种截然不同且可复现的结果。至关重要的是，C2 类（重大持久性退化） 是一项重要发现。在此状态下，设备返回成功的推理调用，但结果严重错误（Top-1 精度<5%），且此错误在模型重新加载之前会持续存在于所有后续推理中。这种状态无法通过标准的推理 API 级机制检测到。

2. 空间敏感性与热点
空间映射揭示了两个相距约 7 毫米的可复现横向热点，C1 类和 C2 类故障集中于此。这些热点之间的中心区域优先产生 C3 类故障（设备挂起）。这表明芯片布局中，横向区域包含计算/存储块，而中心区域包含控制逻辑。

3. 持久性与空闲状态脆弱性

• 持久性： C2 类故障在后续推理中持续存在。显式重新加载模型可恢复基准精度，表明损坏存在于加载的模型状态（权重、指令或配置）中，而非非易失性存储或不可逆的硅片损坏。
• 空闲状态脆弱性： 注入到空闲设备（模型已加载但推理尚未开始）的脉冲，其诱导 C2 类故障的比率与推理过程中注入的脉冲相当。这表明即使设备处于空闲状态，模型状态也容易受到故障影响，仅靠加载时的完整性检查是不够的。

4. 架构依赖的可靠性
不同的 CNN 架构在“持久故障率 vs. 设备故障率”平面上占据不同的区域：

• ResNet-18 和 ResNet-50： 表现出高持久率（18–31%），但设备故障率较低。它们呈现双峰分布，故障倾向于要么微不足道，要么灾难性（C2），中间结果（C1）很少。
• VGG-11： 与 ResNet 相比，在推理过程中表现出显著更高的轻微精度扰动率（C1）和更高的设备故障率（C3）。作者推测，这是由于 VGG-11 具有更大的全连接分类器头部，它可能在未发生完全崩溃的情况下吸收部分损坏，且其更大的内存占用增加了控制状态被破坏的风险。

5. 时序与探针效应

• 时序： 虽然 C2 类比率在“推理前”和“推理中”之间相当，但 C1 和 C3 的分布因架构和时序而异。
• 探针尺寸： 4 毫米探针在较大面积上耦合能量，倾向于在高电压下产生 C3 类故障（挂起），而 1 毫米探针则用于诱导局部数据损坏（C1/C2）。

意义与主张

该论文声称，通过将研究从可行性推进到系统的故障空间映射，填补了边缘 AI 硬件可靠性表征的关键空白。其主要贡献包括：

1. 分类法： 建立了一个四类故障分类法（无影响、轻微静默数据错误、重大持久性静默数据错误、设备故障），对应于辐射效应术语（SET、SEU、SEFI）。
2. 持久性发现： 识别出一种“重大持久性退化”状态，其中单次脉冲导致长期的、静默的错误分类，该错误在推理间持续存在，且若无外部检查，主机应用程序无法察觉。
3. 空闲状态风险： 证明即使设备处于空闲状态，加载的模型状态也易受攻击，挑战了仅靠加载时完整性检查的充分性。
4. 架构作为杠杆： 表明模型架构的选择会系统地改变设备的可靠性概况，为系统集成商提供了在部署时管理故障率的杠杆。
5. 缓解措施： 提出了应用层面的缓解策略（主机端看门狗、参考图像交叉检查、冗余推理），无需修改固件或运行时环境。

作者在提出主张时保持了谦逊，指出结果特定于 NCS2 和所测试的工作负载。他们承认了局限性，例如仅使用单个设备样本、缺乏公开的芯片布局图（限制了精确的空间到模块关联），以及软件触发的抖动阻碍了逐层故障定位。他们将这项工作定位为 EMFI 下的表征，而非所有现场条件下软错误率的定量预测，尽管他们认为定性的故障类别在不同瞬态干扰源中可能得以保留。