嵌入式深度学习的EMFI脆弱性与整数量化防御

1. 嵌入式深度学习模型的EMFI脆弱性解析

在边缘计算和物联网设备中，深度学习模型的部署面临着独特的物理安全威胁。电磁故障注入（EMFI）作为一种非侵入式攻击手段，通过向目标设备发射高强度电磁脉冲，能够诱发内存比特翻转或指令执行错误。这种攻击对采用不同数值表示的神经网络模型会产生差异化的影响，这正是我们研究的核心问题。

关键发现：在相同EMFI攻击条件下，FP32模型的Top-1准确率可能从75%骤降至0.1%（相当于随机猜测），而INT8模型通常能保持60%以上的准确率。

1.1 数值表示的基础差异

现代深度学习模型主要采用四种数值表示格式：

• FP32：标准32位单精度浮点，8位指数+23位尾数
• FP16：16位半精度浮点，5位指数+10位尾数
• INT8：8位整数量化，采用均匀仿射量化
• INT4：4位整数量化，需要特殊打包存储

浮点与整数表示的关键区别在于错误传播机制：

• 浮点数的指数位翻转会导致数值范围爆炸（如从1.0变为1.0×10^38）
• 整数的比特翻转只会产生有限偏差（如INT8中-128到127之间的变化）

2. 实验设计与攻击方法

2.1 EMFI硬件平台搭建

实验采用NewAE ChipSHOUTER脉冲发生器构建攻击平台，关键配置参数如下表：

探头距离芯片表面1mm时，在(7,35)坐标区域测得15%的字节错误率，这是后续实验的基准攻击位点。

2.2 测试模型选择

选取四种典型CNN架构进行对比测试：

1. ResNet系列：18/34/50层残差网络
2. VGG-11：经典卷积堆叠结构

所有模型在ImageNet-1K上预训练后，使用Brevitas工具进行PTQ量化。INT4采用GPTQ优化以减小精度损失，关键量化参数为：

quant_format = 'int' weight_quant_type = 'sym' weight_quant_granularity = 'per_channel' gptq = True # 启用二阶优化

3. 攻击效果对比分析

3.1 比特错误模式解析

通过内存dump比对发现EMFI诱发两种典型错误：

1. 周期性字节覆写：整行数据被0xFE或0x00填充（如图1所示）
2. 空间分布特性：前2MB区域错误密集（错误率7.5%），后2MB骤降至1.2%

注意：虽然INT8的比特错误率(7.51%)略高于FP32(5.97%)，但其准确度下降幅度反而更小，说明表示格式的容错性比错误数量更重要。

3.2 浮点表示的灾难性失效

FP32模型在攻击后表现出两个致命现象：

1. NaN污染：1.27%权重变为NaN值
2. 数值爆炸：权重范围扩大10^39倍

例如ResNet-50的某层权重从[-1.2, 0.8]变为[-3.4×10^38, 3.4×10^38]，导致后续计算全部失效。这种现象源于：

• 指数位被改写为全1（IEEE 754的NaN编码）
• 单个异常值就能使整个特征图饱和

3.3 整数表示的稳健性

INT8模型展现出显著优势：

特别是VGG-11的中间层在4MB区块攻击下仍保持68.14%准确率，这得益于：

1. 数值边界约束：权重被严格限制在[-128,127]
2. 参数冗余：全连接层的大参数量分散了局部错误影响

4. 防御建议与工程实践

4.1 模型部署选型策略

基于实验结果给出分级建议：

1. 高安全需求场景：

   • 首选INT8量化模型
   • 避免使用FP16/FP32
   • 模型规模应大于50MB

2. 资源受限场景：

   • 采用INT4+GPTQ优化
   • 增加中间层归一化
   • 避免量化第一/最后一层

4.2 硬件级防护措施

有效缓解EMFI的三种方案对比：

4.3 软件容错设计

在推理框架中可实现的保护策略：

# 示例：带容错的INT8推理流程 def secure_infer(x, model): # 前向计算 y = model(x) # 异常检测 if y.max() > SAFE_THRESHOLD: # 启动恢复流程 y = backup_model(x) log_attack_alert() return y

5. 故障注入的深层影响

5.1 比特敏感度差异

不同数值表示对位错误的敏感性排序：

1. 浮点指数位：单比特错误导致数量级变化
2. 整数最高有效位：值改变128（INT8）
3. 浮点尾数位：微小精度损失
4. 整数最低有效位：仅±1变化

5.2 架构级脆弱点

测试发现模型不同部位敏感性差异显著：

1. 输入层卷积：错误影响最大（ResNet-18首层攻击使准确率降至0.07%）
2. 中间特征提取层：相对稳健（VGG-11 conv3攻击下保持>65%准确率）
3. 全连接分类层：取决于参数量（FC6因4096×25088大矩阵而抗性较强）

6. 前沿防护技术展望

6.1 量化感知训练优化

新型QAT方法可增强鲁棒性：

• 在训练中模拟比特错误
• 惩罚对权重扰动敏感的通道
• 自动学习误差弹性量化参数

6.2 动态数值格式

自适应位宽分配策略：

1. 关键层（如首层）使用INT12
2. 中间层采用INT6
3. 末层回归INT8 通过混合精度平衡安全与效率

在实际部署VGG-11模型时，我们发现在SRAM芯片上使用导电凝胶屏蔽罩可使EMFI错误率降低40%。但更根本的解决方案还是采用整数量化结合定期哈希校验，这种组合在Xavier NX平台上实测仅增加3ms延迟，却能保证持续安全运行。