北京大学集成电路学院/集成电路高精尖创新中心杨玉超教授课题组在Nature Communications在线发表了题为“Physical Unclonable In-Memory Computing for Simultaneous Protecting Private Data and Deep Learning Models”的研究论文。该工作首次实现了片上集成的物理不可克隆存内计算，并提出针对边缘端存内计算神经网络加速计算的新型编码方案，能够在低硬件开销下实现对神经网络的输入、权重和结构信息的保护。

基于电阻式随机存取存储器（RRAM）的存内计算（CIM）已成为一种具有高度发展潜力的技术，可用于加速边缘设备上的神经网络。存内计算可以直接在存储器中执行乘法累加操作，从而显著减少频繁的数据传输并提高能效。然而，由于RRAM的非易失性特性，使用者可以在计算过程中从存内计算内核中提取存储的神经网络权重。物理不可克隆函数（PUF）是一种利用每个实体的固有随机性为每个实体提供唯一信息的器件。过去的工作曾提出，PUF能够用于保护神经网络的知识产权，但是其硬件开销仍然较高。目前仍缺乏有效实施PUF和存内计算核心集成的方法，以提供有保护且高效的人工智能推理。

为了应对这些重要问题，杨玉超团队提出了“RePACK”（重新打包）技术，这是一种基于RRAM的存内计算的三重数据保护方案，可保护神经网络的输入、权重和结构信息。RePACK采用新颖的二分排序编码方案，通过完全片上物理不可克隆功能重整数据。实验结果表明，RePACK在128列忆阻器存内计算内核的复原复杂性增加到5.77×1075的有效性，而不会增加额外的时钟周期。

图1 RePACK系统架构图，其中PUF阵列通过RePACK机制直接作用于存内计算阵列

研究团队基于实际流片的RRAM阵列实现了具有高稳定性和独特性的片上PUF，并演示了物理不可克隆存内计算。本研究中的1T1R PUF在108个读取周期后达到<6.7810-6位误码率 （BER）（144K位零误差），在压力测试中表现出高稳定性。生成的PUF响应成功通过NIST测试。全面的可靠性测试证明了PUF在不同VDD、重复读取、保持特性、可变温度和长时间烘烤下的稳定性。

图2 RRAM阵列构建物理不可克隆函数过程，编程方法采用了“两步编程”策略

研究团队进一步在40nm多核RRAM存内计算阵列上实现和评估了基于RePACK的计算系统。这项工作代表了为边缘计算和分布式学习开发稳健、高效且保护知识产权的神经网络加速器的重要一步。它可以作为在联邦学习或其他分布式学习系统中开发边缘设备的硬件基础设施。通过在保持计算效率的同时帮助保护知识产权，RePACK为重视隐私保护的实际应用程序提供了一种有潜力的解决方案。

图3 实际部署展示出良好效果

北京大学集成电路学院博士生岳文硕为第一作者，杨玉超、北京大学集成电路学院助理教授燕博南与河北大学教授闫小兵为通讯作者。研究工作得到了国家重点研发计划、国家杰出青年基金、后摩尔重大研究计划、北京市自然科学基金、111计划、集成电路高精尖创新中心等项目的资助。