Page 184 - 《软件学报》2021年第8期

2466 Journal of Software 软件学报 Vol.32, No.8, August 2021

(a) 木马神经元在第 1 层 FC 层

(b) 木马神经在第 2 层 FC 层

Fig.7 Prediction accuracy of models with left shifting different number of
bits of the activation of the triggered Trojan neuron
图 7 激活的木马神经元的激活值向左移不同比特数时,模型的预测准确率

4.3 所提出方法的硬件开销
根据第 3.3 节,我们评估了所提出的在 RRAM 计算系统中嵌入的木马所需要的硬件资源开销,结果见表 4.

Table 4 Hardware overhead of the embedded Trojan compared to that of
the RRAM crossbars of the RRAM computing system
表 4 RRAM 计算系统中嵌入的木马的硬件开销相比于系统中的 RRAM 交叉开关阵列的硬件开销
木马的硬件开销
网络模型
木马神经元在第 1 层 FC(%) 木马神经元在第 2 层 FC(%)
LeNet 0.001 8 0.001 8
AlexNet 3.18 4.38
VGG16 1.86 3.07
我们可以看到,对于 AlexNet 和 VGG16 来说,无论是将木马插入在模型的第 1 层 FC 层还是第 2 层 FC 层,
木马所需的硬件开销相比于将网络模型映射到 RRAM 计算系统中所需的 RRAM 交叉开关阵列的硬件开销均
低于 4.5%.请注意,RRAM交叉开关阵列的面积以 RRAM交叉开关阵列中 RRAM设备的数量来估计.对于 LeNet
来说,因为其参数矩阵比较小,因此可以利用空闲的 RRAM单元作为 Trigger RRAM单元和 Payload RRAM单元,
从而无需额外的 RRAM 交叉开关阵列资源.LeNet 中的木马硬件开销主要来自 SA 模块和 RA 模块,但是这两个
模块的面积仅占单个 RRAM 交叉开关阵列的面积的不到 1/10000;并且在 RRAM 计算系统中,所有 RRAM 交叉
开关阵列的面积仅占整个系统的面积的不到 2% [24] .综上所述,木马的硬件开销占 RRAM 计算系统的面积不到