1. 嵌入式深度学习模型的EMFI脆弱性解析
在边缘计算和物联网设备中，深度学习模型的部署面临着独特的物理安全威胁。电磁故障注入（EMFI）作为一种非侵入式攻击手段，通过向目标设备发射高强度电磁脉冲，能够诱发内存比特翻转或指令执行错误。这种攻击对采用不同数值表示的神经网络模型会产生差异化的影响，这正是我们研究的核心问题。
关键发现：在相同EMFI攻击条件下，FP32模型的Top-1准确率可能从75%骤降至0.1%（相当于随机猜测），而INT8模型通常能保持60%以上的准确率。
1.1 数值表示的基础差异
现代深度学习模型主要采用四种数值表示格式：
- FP32：标准32位单精度浮点，8位指数+23位尾数
- FP16：16位半精度浮点，5位指数+10位尾数
- INT8：8位整数量化，采用均匀仿射量化
- INT4：4位整数量化，需要特殊打包存储
浮点与整数表示的关键区别在于错误传播机制：
- 浮点数的指数位翻转会导致数值范围爆炸（如从1.0变为1.0×10^38）
- 整数的比特翻转只会产生有限偏差（如INT8中-128到127之间的变化）
2. 实验设计与攻击方法
2.1 EMFI硬件平台搭建
实验采用NewAE ChipSHOUTER脉冲发生器构建攻击平台，关键配置参数如下表：
| 组件 | 规格 | 作用 |
|---|---|---|
| 脉冲发生器 | 300V/160ns | 产生高强度电磁脉冲 |
| 注入探头 | 4mm铁氧体芯 | 局部磁场聚焦 |
| 目标芯片 | AS6C3216A SRAM | 存储模型参数 |
| 定位平台 | Ender-3打印机改装 | 0.5mm步进精度 |
探头距离芯片表面1mm时，在(7,35)坐标区域测得15%的字节错误率，这是后续实验的基准攻击位点。
2.2 测试模型选择
选取四种典型CNN架构进行对比测试：
- ResNet系列：18/34/50层残差网络
- VGG-11：经典卷积堆叠结构
所有模型在ImageNet-1K上预训练后，使用Brevitas工具进行PTQ量化。INT4采用GPTQ优化以减小精度损失，关键量化参数为：
quant_format = 'int' weight_quant_type = 'sym' weight_quant_granularity = 'per_channel' gptq = True # 启用二阶优化3. 攻击效果对比分析
3.1 比特错误模式解析
通过内存dump比对发现EMFI诱发两种典型错误：
- 周期性字节覆写：整行数据被0xFE或0x00填充（如图1所示）
- 空间分布特性：前2MB区域错误密集（错误率7.5%），后2MB骤降至1.2%
注意：虽然INT8的比特错误率(7.51%)略高于FP32(5.97%)，但其准确度下降幅度反而更小，说明表示格式的容错性比错误数量更重要。
3.2 浮点表示的灾难性失效
FP32模型在攻击后表现出两个致命现象：
- NaN污染：1.27%权重变为NaN值
- 数值爆炸：权重范围扩大10^39倍
例如ResNet-50的某层权重从[-1.2, 0.8]变为[-3.4×10^38, 3.4×10^38]，导致后续计算全部失效。这种现象源于：
- 指数位被改写为全1（IEEE 754的NaN编码）
- 单个异常值就能使整个特征图饱和
3.3 整数表示的稳健性
INT8模型展现出显著优势：
| 指标 | FP32 | INT8 |
|---|---|---|
| Top-1准确率 | 0.1% | 68.1% |
| Top-5准确率 | 0.3% | 88.6% |
| 最大权重偏移 | 10^38 | ±127 |
特别是VGG-11的中间层在4MB区块攻击下仍保持68.14%准确率，这得益于：
- 数值边界约束：权重被严格限制在[-128,127]
- 参数冗余：全连接层的大参数量分散了局部错误影响
4. 防御建议与工程实践
4.1 模型部署选型策略
基于实验结果给出分级建议：
高安全需求场景：
- 首选INT8量化模型
- 避免使用FP16/FP32
- 模型规模应大于50MB
资源受限场景：
- 采用INT4+GPTQ优化
- 增加中间层归一化
- 避免量化第一/最后一层
4.2 硬件级防护措施
有效缓解EMFI的三种方案对比：
| 方法 | 开销 | 效果 | 适用场景 |
|---|---|---|---|
| 内存加密 | 15%面积 | 完全防护 | 高性能SoC |
| ECC校验 | 8%面积 | 纠正1bit错误 | 通用MCU |
| 权重哈希 | 5.6KB存储 | 检测篡改 | TinyML设备 |
4.3 软件容错设计
在推理框架中可实现的保护策略：
# 示例：带容错的INT8推理流程 def secure_infer(x, model): # 前向计算 y = model(x) # 异常检测 if y.max() > SAFE_THRESHOLD: # 启动恢复流程 y = backup_model(x) log_attack_alert() return y5. 故障注入的深层影响
5.1 比特敏感度差异
不同数值表示对位错误的敏感性排序：
- 浮点指数位：单比特错误导致数量级变化
- 整数最高有效位：值改变128（INT8）
- 浮点尾数位：微小精度损失
- 整数最低有效位：仅±1变化
5.2 架构级脆弱点
测试发现模型不同部位敏感性差异显著：
- 输入层卷积：错误影响最大（ResNet-18首层攻击使准确率降至0.07%）
- 中间特征提取层：相对稳健（VGG-11 conv3攻击下保持>65%准确率）
- 全连接分类层：取决于参数量（FC6因4096×25088大矩阵而抗性较强）
6. 前沿防护技术展望
6.1 量化感知训练优化
新型QAT方法可增强鲁棒性：
- 在训练中模拟比特错误
- 惩罚对权重扰动敏感的通道
- 自动学习误差弹性量化参数
6.2 动态数值格式
自适应位宽分配策略：
- 关键层（如首层）使用INT12
- 中间层采用INT6
- 末层回归INT8 通过混合精度平衡安全与效率
在实际部署VGG-11模型时，我们发现在SRAM芯片上使用导电凝胶屏蔽罩可使EMFI错误率降低40%。但更根本的解决方案还是采用整数量化结合定期哈希校验，这种组合在Xavier NX平台上实测仅增加3ms延迟，却能保证持续安全运行。
