一种轻量级硬件友好的CNN加速器安全强化方法

《Electronics》：A Lightweight Hardware-Friendly CNN Accelerator Security Reinforcement Method

　　

卷积神经网络（CNN）作为人工智能的重要分支，在安全关键场景中具有广泛应用，其硬件加速器也在不断发展。然而，硬件故障可能导致参数位翻转，精心设计的位翻转攻击（BFA）也会严重降低其分类准确率。本文提出一种硬件友好的安全强化框架，利用浮点数在存储单元上的表示特性，针对权重提出调制和解调强化方法。在计算单元上，提出数据阈值约束强化方法，并引入有界ReLU，通过对激活函数施加上限来缓解BFA的影响。实验结果表明，当误码率（BER）达到10^-2时，LeNet-5、LeNet-3D和ResNet-18的准确率分别从13.17%、12.01%和10%提升至93.21%、59.12%和62.37%。

**论文解读：一种轻量级硬件友好的CNN加速器安全强化方法**

**研究背景与问题**
卷积神经网络（CNN）作为人工智能的重要分支，在医疗、自动驾驶等安全关键场景中发挥关键作用。然而，部署在硬件系统上的CNN加速器极易受到恶意攻击，尤其是位翻转攻击（BFA）。BFA可通过RowHammer、硬件木马等方式直接篡改存储器中的参数位，导致权重或激活值发生剧烈变化，严重降低模型分类准确率。现有防御方案包括硬件级错误检测、数据级纠错码（ECC）以及模型级量化与重训练，但这些方法往往引入高昂的硬件开销、计算成本或兼容性问题，难以在轻量级场景下部署。因此，研究人员旨在提出一种无需重训练、硬件开销低且兼容性强的安全强化方法，以提升CNN硬件加速器在BFA下的鲁棒性。该论文发表在《Electronics》。

**研究内容与结论**
研究人员提出了一种硬件友好的安全强化框架，包含两个核心方法：针对存储单元的权重调制/解调方法和针对计算单元的数据阈值约束方法（有界ReLU）。通过统计CNN权重和激活值的分布（服从正态分布），利用浮点数的表示特性，将所有权重的指数统一为已知基线值，在存储前进行调制、加载前进行解调，从而防御指数位翻转。同时，引入带上限阈值的有界ReLU，抑制由BFA引起的异常大值，并设计阈值搜索算法为每个输出通道确定最优阈值。在FPGA上实现LeNet-5、LeNet-3D和ResNet-18，验证了方法在BFA下的有效性。实验表明，在误码率（BER）为10^-2时，联合强化使LeNet-5准确率从13.17%提升至93.21%，LeNet-3D从12.01%提升至59.12%，ResNet-18从10%提升至62.37%。硬件开销极低，LUT（查找表）增加2.71%-4.41%，BRAM（块RAM）增加11.66%-12.12%，DSP（数字信号处理器）增加1.67%-3.01%，功率增加小于1%。该研究提供了一种轻量级、高效且硬件友好的安全解决方案，无需重训练，可兼容多种加速器架构。

**主要关键技术方法**（不超过250字）
（1）权重调制/解调方法：基于IEEE 754半精度浮点数表示，选取大于所有权重的最小2的幂次作为基线值（如16'h4000），将权重与基线值相加实现指数统一，从而消除指数位翻转的影响；在硬件中通过调制器和解调器实现，核心为半精度浮点加法器。（2）有界ReLU阈值约束方法：引入带上限阈值的修正ReLU，通过迭代二分搜索算法为每个输出通道确定最优阈值（略小于正常激活最大值），以抑制BFA引起的异常大值。（3）FPGA硬件实现：在FPGA上部署CNN加速器，包括调制/解调电路和阈值限制单元，利用查找表（LUT）和块RAM（BRAM）等资源。样本来源：使用MNIST数据集（LeNet-5）和CIFAR-10数据集（LeNet-3D和ResNet-18）。

**研究结果**
**5.1 实验设置**：研究人员在PyTorch框架（版本2.2.0）中训练了LeNet-5、LeNet-3D和ResNet-18，并在FPGA上实现硬件加速器，采用半精度浮点数，以误码率（BER）量化攻击强度，分类准确率为评估指标。
**5.2 权重调制/解调评估**：通过对比不同基线值（16'h4000至16'h5000）下的准确率，发现基线值越大，无攻击时准确率下降越多（如16'h5000时LeNet-5下降16.68%，LeNet-3D下降15.49%，ResNet-18下降20.41%），但受攻击时强化模型显著优于未保护模型。在BER=10^-2时，基线16'h4000下LeNet-5准确率达91.65%，LeNet-3D达56.31%，ResNet-18达53.01%。
**5.3 有界ReLU评估**：与ClipAct和Ranger方法对比，提出有界ReLU在BER=10^-2时准确率最高（LeNet-5:83.11%, LeNet-3D:46.14%, ResNet-18:58.01%），证明阈值约束有效缓解BFA影响。
**5.4 FPGA评估**：联合强化方法在FPGA上实现，与PyTorch仿真趋势一致，BER=10^-2时准确率提升至93.21%（LeNet-5）、59.12%（LeNet-3D）、62.37%（ResNet-18），恢复率分别为80.04、47.11、52.37个百分点。硬件开销低：LUT增加2.71%-4.41%，BRAM增加11.66%-12.12%，DSP增加1.67%-3.01%，FF（触发器）增加4.27%-9.56%，功率增加小于1%。

**讨论与结论**
讨论部分指出，权重调制/解调方法通过将指数统一为基线值，可有效对抗指数位翻转；有界ReLU通过裁剪异常大值缓解BFA影响，阈值搜索算法保证了最优性。实验证实了方法的鲁棒性和低硬件开销。论文结论翻译如下：本文提出了一种针对存储单元的权重调制/解调强化方法和一种针对计算单元的细粒度数据阈值约束方法，有效利用了CNN硬件加速器的结构特性。具体而言，通过统计CNN模型权重分布，表明浮点数据指数位的位翻转构成灾难性威胁；引入权重调制/解调方案，将所有权重指数统一为预定基线值，使硬件在执行时可重置指数位以消除攻击。数据阈值约束方面，分析异常数据流后提出有界ReLU，阈值略低于正常激活最大值，并通过迭代阈值搜索算法确定每个输出通道的最优阈值。大量实验验证了所提出安全强化技术的鲁棒性，硬件实现确认了其在FPGA平台上的低资源消耗。这些发现明确表明，该方法提供了一种轻量级、高效且硬件友好的安全解决方案。