💻 computer science

SPARX: Secure and Privacy-Aware Approximate CNN Acceleration with Edge RISC-V SoC

本文提出了 SPARX，这是一个集成到 RISC-V SoC 中的安全且具备隐私感知能力的近似 CNN 加速框架，该框架结合了自定义指令、对数乘法器和隐私机制，在保持高推理准确度的同时，实现了显著的能量与面积效率。

原作者： Sonu Kumar, Akash Sankhe, Mukul Lokhande, Santosh Kumar Vishvakarma

发布于 2026-06-18

📖 1 分钟阅读☕ 轻松阅读

原作者： Sonu Kumar, Akash Sankhe, Mukul Lokhande, Santosh Kumar Vishvakarma

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一下，你有一个非常聪明但非常饥饿的机器人助手（这个 CNN），它需要观察图片并告诉你里面有什么。这个机器人很棒，但它非常耗电，而且在你的口袋里（你的 边缘设备）占用的空间很大。如果你尝试在一个小型电池驱动设备上运行这个机器人，它可能会在几分钟内耗尽电池，或者变得非常烫手。

这篇论文介绍了一个名为 SPARX 的新方法，用于构建这样一个机器人，使其更快、更小、更节能，同时还能保护它的秘密不被窥视。

以下是 SPARX 的工作原理，分为几个简单的部分：

1. “足够好”的数学（近似计算）

通常，当机器人进行数学运算时，它试图做到 100% 精确。但对于观察图片来说，做到“接近完美”通常就足够了。

类比： 想象你正在画一幅日落图。你不需要将橙色的色调精确混合到微观层面；对于人类肉眼来说，“足够接近”的橙色看起来也一样好。
SPARX 的做法： 它将机器人的超精确数学工具替换为“近似”工具。这些工具更快且更节能，因为它们采取了捷径。论文测试了 11 种不同类型的这些捷径工具，发现其中一种叫做 ILM（迭代对数乘法器）的工具效果最好。它使机器人的大脑缩小了 51%，并减少了 81% 的功耗，而仅仅是让机器人在识别图片时的准确度略有下降（从 87.2% 降至 84.4%）。

2. “秘密握手”（安全与隐私）

由于这些机器人经常被用于敏感场所（如医院或监控场所），你不希望黑客窃取机器人的大脑或看到它正在观察的内容。

类比： 想象你正在发送一封秘密信件。为了保持安全，你不仅把信锁进盒子里，还给信息添加了一点“静态噪声”，这样如果有人拦截了它，他们就无法阅读内容。但你发送给对方的人拥有一个特殊的解码器，可以完美地去除这些噪声。
SPARX 的做法：
- 隐私： 在机器人的答案离开设备之前，它会添加一点随机的“噪声”。这可以隐藏数据，防止黑客试图窥探机器人的想法。
- 身份验证： 在机器人被允许开展任何工作之前，它必须执行一次“秘密握手”（挑战-响应）。如果机器人无法证明自己是真实的，它就会拒绝工作。这可以阻止未经授权的人劫持设备。

3. “定制遥控器”（RISC-V 集成）

机器人需要一个大脑来控制它。这篇论文使用了名为 RISC-V 的一种开源处理器类型。

类比： 把处理器想象成一个标准的电视遥控器。通常，你只能按下“音量增加”或“换台”。SPARX 为这个遥控器添加了一些自定义按钮。当你按下这些新按钮时，电视不仅仅是换台，而是能立即开始执行复杂的数学任务，而不需要调用一个单独的、缓慢的计算机来帮忙。
SPARX 的做法： 它将机器人的数学引擎直接构建在处理器的流水线中。这意味着机器人可以瞬间在“完美模式”、“快速模式”、“秘密模式”或“快速且秘密模式”之间切换，只需在软件中按下不同的按钮即可。

4. “计分卡”（评估框架）

作者们并不仅仅是猜测哪种数学工具最好，而是创建了一个新的评分系统来做出决定。

类比： 想象你正在买车。你关心速度、油耗和价格。但你也关心安全性。你需要一种方法将所有这些因素结合成一个分数，以看出哪辆车是整体上最好的交易。
SPARX 的做法： 他们创建了一个名为 AFOM（近似度量标准）和 HAE（硬件加速效率）的指标。这些分数权衡了你在节省多少能量和获得多少速度的同时，损失了多少准确度。通过使用这个计分卡，他们证明了他们选择的“快速模式”数学工具（ILM）是这项工作的最佳平衡点。

结果

当他们在真实的芯片（FPGA）上构建此系统，并在真实的制造工艺（28-nm CMOS）上进行模拟时：

速度： 它比标准的、精确的版本运行速度快了 2.13 倍。
效率： 它极其节能，每瓦特能量可完成 584 亿次运算。
准确度： 它在正确识别图像的能力方面仅损失了约 2.8%（针对 CIFAR-10 上的 ResNet-20），作者认为，相对于在速度和电池寿命方面获得的巨大收益，这是一个很小的代价。

简而言之： SPARX 是一个智能、安全且节能的机器人大脑，专为小型设备设计。它通过在数学上采取捷径来节省电力，通过添加噪声来隐藏秘密，并使用定制的控制系统来即时切换模式，同时证明了在电池供电运行时，“足够好”往往比“完美”更好。

技术摘要：SPARX – 基于边缘 RISC-V SoC 的安全且具备隐私意识的近似 CNN 加速器

问题陈述

边缘 AI 系统在面对实时卷积神经网络（CNN）推理的需求时，面临着关于能量、性能、安全性和隐私性的严格约束。虽然近似计算已成为一种通过利用神经网络工作负载固有的误差容忍性来提高硬件效率的策略，但现有的近似 CNN 加速器在很大程度上忽略了安全和隐私意识部署的联合需求。处理敏感视觉和生物识别数据的边缘设备极易受到未经授权访问、模型误用、内存窥探和信息泄露的威胁。此外，近似计算算术、隐私保护执行、身份验证以及加速器级性能之间的相互作用仍未得到充分探索。目前的解决方案通常将安全和隐私视为次要问题，或者未能将其与高能效的近似硬件无缝集成。

方法论

本文提出了 SPARX，一个集成在异构 RV32IMC RISC-V 片上系统（SoC）中的安全且具备隐私意识的近似 CNN 加速框架。该方法包含四个主要部分：

系统架构： SPARX 通过自定义指令将紧耦合的 CNN 加速器直接集成到处理器流水线中，而非依赖于独立的协处理器。这降低了调用开销和延迟。该系统包括一个 RV32IMC RISC-V 处理器、近似 CNN 加速器、隐私与身份验证引擎以及片上存储层次结构，以最大限度地减少外部内存访问。
自定义指令扩展： 引入了一种带有三位控制字段（abc）的新指令格式，以实现运行时运行模式的选择：
- 位 a (隐私)： 启用差分噪声注入。
- 位 b (近似)： 在精确模式和近似对数 MAC 数据通路之间进行切换。
- 位 c (CNN 变体)： 在 MNIST 和 CIFAR-10 配置之间进行选择。
  这允许八种不同的模式，包括精确、近似、安全和安全-近似推理，而无需硬件重新配置。
近似 CNN 加速单元： 计算核心采用 8 位量化 MAC 阵列。近似数据通路使用对数乘法器（具体为迭代对数乘法器，ILM），通过在对数域内利用前导一检测器、优先级编码器和桶形移位器来实现近似乘法。这在保持可接受精度的同时，降低了面积和功耗。
安全与隐私引擎：
- 隐私： 轻量级引擎使用 4 位线性反馈移位寄存器（LFSR）生成伪随机噪声。该噪声与加速器输出进行异或运算（ $Y_{priv} = Y_{cnn} \oplus N_{lfsr}$ ），以掩盖中间计算状态并防止侧信道泄漏。
- 身份验证： 使用挑战-响应机制，在授予加速器访问权限前，通过密钥和签名验证执行请求。
评估框架： 作者引入了一个统一的近似感知评估框架，用于选择最优的算术引擎。该框架利用五个指标：
- 近似严重程度指数 (ASI)： NMED、MAE 和 MSE 的几何平均值，用于量化误差。
- 近似品质因数 (AFOM)： 评估单位硬件成本与误差下的性能。
- 硬件加速效率 (HAE)： 综合评估吞吐量增益、面积节省、功耗节省和近似质量。

核心贡献

SPARX 框架： 一个异构 RV32IMC RISC-V 平台，通过运行时可选的近似计算和自定义加速器集成，实现安全、隐私意识且高能效的 CNN 推理。
自定义指令集： 开发了自定义 RISC-V 指令及基于对数 MAC 的 CNN 加速器，支持精确、近似、安全和安全-近似模式。
轻量级安全集成： 将基于差分噪声的隐私保护和挑战-响应身份验证直接集成到加速器数据通路中，且硬件开销极小。
统一评估方法论： 引入评估框架（ASI、AFOM、HAE），系统地评估 11 种最先进的近似 MAC 架构之间的近似质量与硬件效率之间的权衡。

结果

研究针对 CIFAR-10 数据集上的 ResNet-20，将 11 种近似 MAC 架构与准确的 radix-4 Booth MAC 基准进行了对比评估。

算术选择： 迭代对数乘法器 (ILM) 被确定为最合适的设计。与准确基准相比，ILM 实现了：
- 51.7% 的面积缩减（254 $\mu m^2$ 对比 526 $\mu m^2$ ）。
- 81.5% 的功耗降低（10.78 mW 对比 58.43 mW）。
- 2.13 倍的吞吐量提升（312.5 MHz 对比 147 MHz）。
- 极小的精度损失，仅为 2.82 个百分点（84.41% 对比 87.23%）。
FPGA 实现： 在 Xilinx VC707 平台上实现的 SPARX 加速器达到了：
- 资源利用率为 38.3k LUTs 和 8.4k FFs。
- 工作频率为 250 MHz。
- 能效为 58.4 GOPS/W，较准确实现（10.3 GOPS/W）提升了 5.67 倍。
ASIC 可行性： 在 28 纳米 CMOS 工艺下的物理实现证实了该设计的实用性，完成了成功的后布局实现和 GDS 生成。

重要意义

论文声称 SPARX 有效弥合了边缘 AI 系统中硬件效率与安全性之间的鸿沟。通过证明可以在实现显著面积和能量节省的同时，以极低的硬件成本实现安全且具备隐私意识的推理，SPARX 为下一代边缘设备提供了可行的解决方案。这项工作验证了将隐私保护噪声注入和身份验证直接集成到加速器数据通路中，并不会以牺牲高性能、低功耗运行为代价。所提出的评估框架提供了一种系统化的方法，用于选择平衡精度、吞吐量和硬件约束的算术引擎，解决了高效边缘 AI 加速器设计中的关键需求。