这种微型芯片可以保护用户数据，同时在智能手机上实现高效计算

　　一种新的芯片可以有效地加速智能手机等边缘设备上的机器学习工作负载，同时保护敏感用户数据免受两种常见类型的攻击——侧信道攻击和总线探测攻击。

　　

只需使用智能手机，健康监测应用程序就可以帮助人们控制慢性病或保持健身目标。然而，这些应用程序速度缓慢且能效低下，因为驱动它们的庞大机器学习模型必须在智能手机和中央存储服务器之间来回传输。

工程师们经常使用硬件来加快速度，这样就减少了来回移动大量数据的需要。

他们的芯片可以保护用户的健康记录、财务信息或其他敏感数据的隐私，同时仍能使大型人工智能模型在设备上高效运行。

该团队开发了几项优化，使设备具有强大的安全性，同时只会略微减慢速度。此外，增加的安全性不会影响计算的准确性。

麻省理工学院电子工程和计算机科学研究生Maitreyi Ashok说，虽然实施这种芯片会使设备稍微贵一些，节能程度低一些，但有时为了安全而付出的代价是值得的。

“从一开始就考虑到安全性是很重要的。如果您试图在系统设计完成后添加哪怕是最少量的安全性，那么它的成本会高得令人望而却步。我们能够在设计阶段有效地平衡许多这些权衡，”Ashok说。

她的合著者包括EECS研究生Saurav Maji;麻省理工学院- ibm沃森人工智能实验室的张欣和约翰·科恩;资深作者Anantha Chandrakasan，麻省理工学院首席创新和战略官，工程学院院长，EECS Vannevar Bush教授。这项研究将在IEEE定制集成电路会议上发表。

边信道敏感性

数字IMC芯片在设备的内存中执行计算，机器学习模型的片段从中央服务器转移过来后存储在内存中。

整个模型太大了，无法存储在设备上，但通过将其分成多个部分，并尽可能地重复使用这些部分，IMC芯片减少了必须来回移动的数据量。

但IMC芯片容易受到黑客攻击。在侧信道攻击中，黑客监视芯片的功耗，并在芯片计算时使用统计技术对数据进行逆向工程。在总线探测攻击中，黑客可以通过探测加速器和片外存储器之间的通信来窃取模型和数据集的一些信息。

Ashok说，数字IMC通过一次执行数百万个操作来加快计算速度，但这种复杂性使得使用传统的安全措施很难防止攻击。

她和她的合作者采取了三管齐下的方法来阻止侧信道和总线探测攻击。

首先，他们采用了一种安全措施，将IMC中的数据随机分成几部分。例如，一个位0可能被分割成三个位，在逻辑运算之后仍然等于0。IMC从来不会在同一操作中计算所有部分，因此侧信道攻击永远无法重建真实信息。

但要使这种技术起作用，必须添加随机位来分割数据。由于数字IMC一次执行数百万个操作，生成如此多的随机比特将涉及太多的计算。对于他们的芯片，研究人员找到了一种简化计算的方法，使其更容易有效地分割数据，同时消除了对随机比特的需求。

其次，他们使用一种轻量级密码对存储在芯片外存储器中的模型进行加密，防止了总线探测攻击。这种轻量级密码只需要简单的计算。此外，他们只在必要时解密存储在芯片上的模型片段。

第三，为了提高安全性，他们直接在芯片上生成解密密码的密钥，而不是随着模型来回移动密钥。他们利用所谓的物理上不可克隆的功能，从芯片制造过程中引入的随机变异中生成了这个唯一的密钥。

“也许一根电线会比另一根电线粗一点。我们可以用这些变化从电路中得到0和1。对于每个芯片，我们都可以得到一个应该是一致的随机密钥，因为这些随机属性不应该随着时间的推移而发生显著变化，”Ashok解释说。

他们重复使用芯片上的记忆细胞，利用这些细胞的缺陷来生成密钥。与从头生成密钥相比，这需要更少的计算。

“由于安全已成为边缘设备设计中的一个关键问题，因此有必要开发一个专注于安全操作的完整系统堆栈。这项工作的重点是机器学习工作负载的安全性，并描述了一个使用横切优化的数字处理器。它结合了内存和处理器之间的加密数据访问，使用随机化防止侧信道攻击的方法，以及利用可变性生成唯一代码。这样的设计将在未来的移动设备中发挥关键作用。”

安全测试

为了测试他们的芯片，研究人员扮演了黑客的角色，试图利用侧信道和总线探测攻击窃取机密信息。

即使进行了数百万次尝试，他们也无法重建任何真实信息或提取模型或数据集的片段。密码也是无法破解的。相比之下，只需要大约5000个样本就可以从未受保护的芯片中窃取信息。

安全性的增加确实降低了加速器的能源效率，而且它还需要更大的芯片面积，这将使其制造成本更高。

该团队正计划探索未来可以降低能耗和芯片尺寸的方法，这将使其更容易大规模实施。

“由于成本太高，让人们相信安全至关重要变得越来越难。未来的工作可以探索这些权衡。也许我们可以让它不那么安全，但更容易实施，更便宜，”阿肖克说。

这项研究的部分资金来自麻省理工学院- ibm沃森人工智能实验室、美国国家科学基金会和Mathworks工程奖学金。