一種用于智能汽車的硬件友好對抗樣本在線防御方法

范仁昊，龐猛，王明羽，李明釗，張悠慧，李兆麟

（1.清華大學計算機科學與技術系，北京 100084；2.中山大學微電子科學與技術學院，廣州 510275；3.無錫太昊慧芯微電子有限公司，江蘇，無錫 214063）

近年來，隨著計算機算力的快速增長和數據集規模的擴大，DNN已在人臉識別、自動駕駛等智能任務中取得壓倒性優勢。但是現有工作表明，DNN具有高維稀疏性質和不可解釋性，導致DNN很容易受到對抗樣本攻擊，即通過添加人眼不可見的微小擾動，輸入圖片就會被錯誤分類，這給DNN的廣泛使用帶來了巨大的安全風險。特別對于自動駕駛等涉及人身安全的應用領域，微小的錯誤都有可能導致嚴重的后果，因此，研究針對深度神經網絡攻擊的防御方法至關重要。

許多研究工作已經提出了針對神經網絡對抗樣本攻擊的防御方法，它們可以分為兩類：模型防御方法和樣本檢測方法。模型防御方法通過增強推理網絡模型的魯棒性來增加構建對抗樣本的難度，而在線檢測方法利用樣本和推理網絡隱藏層數據的信息來分辨輸入樣本是否屬于對抗樣本。由于增強推理網絡的魯棒性通常會導致推理網絡的精度下降，樣本檢測方法是更好的解決方案。現有的樣本檢測方法已經取得了很高的檢測精度，例如MagNet、NIC和Feature Squeezing。但是，這些方法僅在算法層面解決了對抗樣本的在線檢測問題，當考慮到DNN模型的實際運行環境時，已有的樣本檢測方法將會面臨兩個新的挑戰。

首先，為了提高實際運行場景中的能效和吞吐量，DNN通常運行在專用的神經網絡加速器上，如Eyeriss和Tangram。這些神經網絡加速器使用特別設計的計算陣列來加速DNN中常用的算子，如矩陣乘法、卷積和激活函數。然而，現有的基于支持向量機和空間平滑降噪的在線防御算法包含大量不規則的計算操作，因而很難在神經網絡加速器中得到良好的支持。其次，現有工作更注重優先提高檢測精度，而忽略了對運行時開銷的評估。一些樣本檢測方法的計算量甚至達到推理網絡的數倍，這在實際應用中是無法接受的。因此，如何選擇或設計防御算法以很好地適應神經網絡加速器的硬件計算能力（簡稱為硬件友好）是實現檢測精度和運行時開銷權衡的關鍵。

針對上述問題，本文提出了一種硬件友好的對抗樣本在線防御方法，該方法由基于自編碼器（Auto Encoder）的廣譜檢測算法、適用于瓷片架構神經網絡加速器的層調度方法和相應的軟硬件協同設計方法。硬件友好的解決方案可以使神經網絡加速器統一地支持推理網絡和檢測網絡，而不需要引入異構的功能模塊，從而使加速器設計更加實用、可靠和簡單。

具體來說，本方法包括以下貢獻：

（1）基于自編碼器的在線檢測算法。自編碼器是一種簡單的神經網絡，可以從推理網絡的隱藏層激活值（Activations）中提取自然樣本激活值的流形分布。自編碼器不僅可以在不引入對抗樣本的條件下擬合自然樣本的流形分布，而且能夠高效地映射到神經網絡加速器，從而使其成為一種廣譜和硬件友好的算法。

（2）一種適用于瓷片架構神經網絡加速器的高效層調度方案，能夠減少數據訪問開銷。本文使用可擴展瓷片架構的神經網絡加速器設計方案Tangram作為基準，提出了一種新的層調度方法來減少推斷-檢測聯合網絡的數據訪問開銷。

（3）能夠最小化運行時開銷的軟硬件協同設計方案。本文對一組檢測器集合使用剪枝-搜索的融合方法，以優化檢測網絡配置，在不損失檢測精度的前提下最小化推斷-檢測聯合網絡的運行時開銷。

1 背景

1.1 對抗樣本攻擊

對抗樣本可以通過在自然樣本上添加大小有限的特定擾動來生成。形式上，DNN分類器可以描述為函數：→，其中表示輸入空間，表示類別集合。對于標簽為∈的自然樣本∈和閾值，對抗樣本滿足()≠()∧Δ(，)＜，其中Δ(，)是和之間的距離函數。在現有工作中，距離函數通常定義為兩個輸入樣本的0-范數、2-范數或∞-范數。

接下來，簡要描述一些對抗樣本攻擊作為本文所提算法的檢測目標。它們的范數和生成函數在表1中展示。在表1中，，，和表示原始樣本、對抗樣本、擾動和真實類別。(·)表示推理網絡，(·，·)表 示 損 失 函 數。快 速 梯 度 符 號 方 法（Fast Gradient Sign Method，FGSM）將的每個像素向損失函數的梯度方向移動一小段固定距離來增加損失函數的值，是一種無窮范數攻擊方法，而快速梯度方法（Fast Gradient Method，FGM）是FGSM的二范數版本。基本迭代方法（Basic Iteration Method，BIM）是FGSM或FGM的迭代版本，通過多步移動在原始樣本的-鄰域中找到更好的對抗樣本。C&W攻擊將對抗樣本攻擊公式轉化為優化問題，并定義正則化函數(·)進行擾動大小和效果的權衡。

表1 一些對抗樣本攻擊算法

1.2 現有對抗樣本檢測算法與架構

已有工作從兩個維度嘗試解決對抗樣本的在線檢測問題。其一是設計能夠識別對抗樣本的算法，其二是設計能夠同時支持神經網絡算法和在線檢測算法運行的神經網絡加速器架構。

現有的樣本檢測算法從作用原理上可以分為兩類方法：檢測器方法和預測不一致方法。

檢測器方法構造各種檢測器，從輸入樣本或推理網絡隱藏層激活值中提取攻擊特征，從而區分自然樣本和對抗樣本。檢測器通常基于統計模型或機器學習方法構建。例如，Deepfense通過微調推理網絡的參數，使某個隱藏層的激活值服從混合高斯分布模型，如果樣本離對應類別的分布中心太遠，就會被認為是對抗樣本。NIC使用單分類支持向量機在推理網絡每個隱藏層處進行異常值檢測，并認為離群值（Outlier）是對抗樣本。Deep Neural Rejection在推理網絡靠后的某個隱藏層使用多類別支持向量機進行分類，得到每個類別的置信度，如果所有類別置信度都小于給定閾值，則該樣本被判定為對抗樣本。

預測不一致方法利用降噪器去除對抗樣本擾動，然后測量降噪前后推理網絡分類結果之間的差異。Feature Squeezing對樣本進行顏色深度量化和空間平滑降噪，而MagNet將輸入樣本通過自編碼器實現降噪。事實上，所有模型增強方法都可以進一步轉換為預測不一致方法。利用原始模型獲得較為準確的分類結果，并運行增強后的模型進行不一致檢查，就可以實現樣本檢測。然而，預測不一致的方法需要運行多個模型或運行多次模型，從而導致成倍的運行時開銷。

由于對抗樣本檢測算法大多使用SVM、隨機森林等傳統機器學習方法，而這些方法很難在專為神經網絡加速而設計的加速器架構上直接運行，所以支持對抗樣本檢測的神經網絡加速器架構的設計重點在于如何支持這些復雜的檢測算法。

DNNGuard是一種異構的DNN加速器架構，該架構將DNN加速器與CPU內核緊耦合到一個芯片中，用DNN加速器運行推理網絡，而用CPU內核運行NIC、Feature Squeezing等檢測算法，并設計了專用的數據通路和緩存來實現高效的數據傳輸，可以實現DNN和檢測算法的協同執行。然而，試驗結果表明，運行在CPU上的檢測算法速度慢于部分推理網絡（如GoogLeNet和AlexNet），從而會影響推理網絡的運行速度。這種異構的設計方案也顯著增大了神經網絡加速器的設計復雜性和系統開銷。

因此，本文的設計思路是設計一種基于自編碼器的檢測算法。由于自編碼器是一種特殊的神經網絡，可以在現有的神經網絡加速器上運行，而無需額外的硬件支持。同時，由推理網絡和多個檢測網絡耦合在一起形成的多分支復雜神經網絡，其在加速器架構上的映射和調度，也有很大的軟硬件協同設計空間。可以通過優化映射和調度方案，實現一個硬件友好的對抗樣本在線檢測方案。

1.3 瓷片架構和數據流調度

為了實現高性能和高能效，許多新的神經網絡硬件加速器架構被提出，這些架構在內部數據流上有所不同。如今，規模越來越大的神經網絡具有更高的計算和內存要求，導致芯片上集成越來越多的計算和存儲資源，這也使瓷片架構的神經網絡加速器成為高度可擴展的解決方案。

由于瓷片架構加速器的參數探索空間很大，尋找與之相適應的數據流映射方案成為關鍵。這方面的一項最先進的工作是Tangram，它提出了對層內并行性和層間流水線的優化，能夠找到片上資源映射的最優策略。

在對抗樣本攻擊的在線防御場景中，推理網絡和檢測網絡的共存帶來了更多的數據依賴，使神經網絡各層組成的有向無環圖更加復雜。在本文提出的在線檢測算法（圖1）中，多個檢測器依賴于推理網絡中相應的隱藏層，而所有檢測器的輸出作為聯合分類器的輸入。這增加了上述資源映射方案搜索的難度。盡管Tangram已經為一般的神經網絡提出了一個最優的數據流方案，但對于這個應用場景來說它仍然有很大的改進空間。基于Tangram的工作，本文將提出并評估一種擁有新的層調度方法的瓷片架構加速器，用于在線防御對抗樣本攻擊。

2 系統設計與實現

2.1 基于自編碼器的檢測算法

2.1.1 動機

首先解釋對抗樣本的產生機制。現有工作表明，所有高維空間的自然樣本都位于低維流形中。設樣本空間的維數為，流形空間的維數為，那么有?。理想情況下，穩健的分類器應該生成垂直于樣本流形分布的分類邊界。然而，Dimpled Manifold Model表明DNN傾向于生成帶“酒窩”的分類邊界，這些邊界緊緊貼合于樣本所在流形的分布，只在樣本點附近產生微小的凸起或凹陷，以確保分類的正確性。因此，將自然樣本沿著垂直于流形的方向移動一小步以越過分類邊界，就能構建出對抗樣本。

相應地，這也為對抗樣本的檢測提供了一個新的方向。只要能夠擬合出維流形，就能利用樣本到流形的距離判斷樣本是否屬于對抗樣本。自編碼器是學習流形分布的一種較優選擇。自編碼器是由編碼器和解碼器組成的簡單神經網絡，它嘗試用少量隱層神經元提取壓縮特征，并在輸出端重現輸入樣本。對于編碼器函數：R→R和解碼器函數：R→R（?），自編碼器定義如下的損失函數（也稱為重建損失）：

在使用自然樣本進行訓練后，編碼器可以將維輸入向量減少為維向量()，然后解碼器能夠使用()中的個分量重新構建輸入向量。令v∈R(=1…)為第個分量為1且所有其他分量為0的向量，則自編碼器會將維輸入空間投影到由{()，()，…，(v)}為基向量組成的

維子空間，這個維子空間就對應于數據的流形分布。對分布在流形之外的樣本（即對抗樣本），經過訓練的自編碼器將輸出其在流形上的投影，因此重建損失恰好是樣本與流形之間的歐式距離，于是就可以使用重建損失的大小判斷樣本是否屬于對抗樣本。

2.1.2 算法設計

本文假設除了輸入樣本本身之外，輸入樣本在推理網絡某個隱層的激活值向量也分布在一個低維的流形上。用f()表示在推理網絡第層的激活值向量，那么，可以訓練一個自編碼器來擬合這一層激活向量對應的流形分布M={f()|∈}。對神經網絡的每個隱藏層，都可以構建相應的自編碼器，進而判斷樣本的屬性，這種類型的自編碼器稱為單層檢測器。

此外，當同時考慮多個隱藏層時，本文認為自然樣本在推理網絡多個隱藏層的激活向量的拼接向量也應該分布在高維向量空間的一個子空間中。也就是說，對于某個層編號集合{，，…，i}，拼接向量(f()，f()，...，f())位于高維聯合空間R×R×…×R的低維子空間中。然而，對抗樣本對應的拼接向量分布的區域位于該子空間之外。這是因為，對于自然樣本，所有隱層的激活值在它們自己的流形分布中屬于同一類別（即該樣本的真實類別）的區域；但對于對抗樣本，不同層的激活值對應的流行分布的類別不同。具體來說，它們在前幾層有較大概率屬于真實標簽，而在后幾層有很高概率屬于攻擊后的標簽。因此，自編碼器也可用于逼近自然樣本多個隱藏層的聯合子空間并據此檢測對抗樣本。為了方便起見，本文只采用兩個相鄰層的子空間構建跨層檢測器。

算法概述如圖1所示。在圖中，左側列出了一個ResNet18網絡，每個基本塊由兩個64通道的3×3卷積層（Conv）組成。在每個基本塊的輸出端有單層檢測器和跨層檢測器。算法分為兩個階段：訓練階段和推理階段。在訓練階段，使用自然訓練樣本的激活值來訓練每個檢測器。而在推理階段，當新樣本通過推理網絡時，每個檢測器都會計算出重建損失，即樣本到流形的距離。之后，聯合分類器（同樣也由一個自編碼器組成）收集所有檢測器輸出的重建損失并做出聯合決策以獲得最終的判定結果。

圖1 檢測算法示意圖

2.2 瓷片架構的高效層調度方案

2.2.1 動機

檢測器與推理網絡耦合后，整個網絡的規模將會變大，隨著推理網絡模型規模的增大，這一點會越來越明顯。本文使用瓷片架構的神經網絡加速器作為基本架構，因為它具有良好的可擴展性。如圖2所示，瓷片架構加速器由一個二維的運算陣列（Array）組成，其中每個陣列包含一個小型的二維處理引擎（Processing Unit，PE）和一個局部SRAM緩沖區。所有的陣列都通過片上網絡（Network on Chip，NoC）連接。

圖2 瓷片架構示意圖

為了降低能耗和延遲，一項最新研究（Tangram）提出的層間/層內數據流映射方案用于獲得細粒度的數據并行。

為了支持層間流水線，大型神經網絡以層為單位劃分為段（Segment）。瓷片架構同一時間只運行一個段。圖3展示了映射和計算的過程：神經網絡各層被劃分為段序列，，，，然后依次映射到硬件上執行。在此過程中，DRAM用于存儲段之間的網絡權重和臨時數據。

當網絡拓撲變得復雜時，在滿足數據依賴的情況下尋找最優的網絡層調度和劃分方案將不再是一個簡單的遍歷搜索任務。高效的調度可以大大減少不同存儲層次之間的中間數據傳輸，從而有效降低能耗，提高性能。Tangram中提出的層調度方案只考慮了數據依賴關系，不能保證高效地減少段之間的數據傳輸。例如，在圖3中，和共享的輸出，卻分為了兩個段，導致數據傳輸了兩次。此外，在聯合網絡中，具有多個后繼的層非常常見。因此，本文針對這種情況提出了一種更好的層調度方法。

圖3 神經網絡的映射過程

2.2.2 層調度方案

由于神經網絡是以段為單位依次映射到硬件，段間的數據需要使用DRAM存儲，帶來巨大的性能損失和能耗。為了更有效地調度推理-檢測聯合網絡，本文的想法是找到一個最優的層調度拓撲排序，通過該拓撲序列可以進一步得到段的劃分，以最小化對DRAM的訪問。

算法1神經網絡的映射過程

本文提出了一種以中間數據傳輸量最小化為目標的拓撲排序貪心方法，可以保證神經網絡的各層按照某種拓撲順序有效地劃分為段，并最大限度地減少段之間的數據傳輸。基本思想是：（1）將盡可能多的具有共同數據依賴的層組合在一起（如圖3中的紅色框），從而減少公共數據的傳輸量；（2）將具有較少中間數據傳輸量的層組合在一起，以便在一個段中包含更多層，從而減少段之間的數據傳輸。網絡被建模為圖(，)，其中頂點集表示網絡中的層，邊集表示層之間的數據依賴關系。算法1展示了本文的優化方法，其中一個頂點的Totalsize表示該節點計算所需的所有數據量，一條邊的FmapSize表示要在層之間傳輸的特征圖的大小。

在獲得網絡中各層的拓撲序列后，通過動態規劃算法在拓撲序列上尋找最優的段劃分，使整個網絡以最短的執行時間或最低的能耗運行。

2.3 軟硬件協同設計

根據第3.1節中描述的算法，可以在推理網絡的每一層都引入單層檢測器、在每相鄰兩層都引入跨層檢測器。然而，引入過多的檢測器會帶來巨大的開銷，而且并不是所有的檢測器都具有良好的流形表示能力。因此，有必要選擇一個高效的檢測器集合來減少運行時開銷，同時保持檢測成功率，從而實現軟硬件協同設計。

為了找到最佳的協同設計方案，應該評估每種檢測器配置方案的運行時開銷和檢測精度。在這一步，本文引入一些對抗樣本作為驗證集來評估檢測精度，使用多種對抗樣本攻擊方法生成對抗樣本，混合起來形成驗證集，以避免對特定攻擊方法的傾向性，保持算法的廣譜性。對于運行時開銷的評估，相比簡單地使用模型計算量或存儲量作為指標，更好的方法是衡量實際模型在實際的神經網絡加速器架構中的性能指標。本文使用第3.2節中設計的瓷片架構評估模型運行的能耗，但這給搜索最佳方案帶來了額外的困難。具體來說，由于神經網絡在瓷片架構加速器上的調度和劃分是一個復雜且離散的問題，添加或刪除某個檢測器可能會導致完全不同的調度劃分方案，因此，傳統的基于啟發式的局部搜索方法很難獲得良好的結果。

因此，本文對檢測器集合的所有子集進行窮盡搜索以找到最佳設計。為了避免子集數量隨檢測器數目的增加而指數增長，本文首先將對自然樣本和對抗樣本區分度不高的檢測器進行剪枝。之后，進行全局搜索并選擇具有高精度和低開銷的最佳配置。

3 試驗分析

3.1 參數設置

本文在3個神經網絡模型上進行試驗，包括一個4層的簡單卷積神經網絡（稱為simpleCNN）、ResNet18和ResNet50。它們分別使用MNIST、GTSRB和CIFAR10作為數據集進行訓練。本文選擇了4種攻擊方法來生成對抗樣本，即前面提到的FGSM、FGM、BIM和C&W攻擊。神經網絡模型的分類準確率和4種攻擊方法的攻擊成功率見表2。

表2 模型分類準確率和攻擊算法的攻擊成功率

關于防御的配置，simpleCNN中的每個卷積層和線性層、ResNet18和ResNet50中的每個基本塊的輸出向量都被用來訓練檢測器，因此3個推理網絡分別有7、19和33個檢測器。

本文還實現了NIC，這是一種最先進的對抗樣本檢測方法，并將其與本文的方法在檢測成功率和運行時開銷方面進行比較。實驗用服務器配置為Xeon E5-2680 2.40GHz 56核處理器、500 GB RAM和2個Tesla P100 GPU。

本文對包含16×16個陣列的瓷片架構進行建模。每個瓷片都是一個Eyeriss NN引擎，其中包含一個8×8 PE陣列和一個32 kB的私有SRAM緩沖區。假設采用28 nm技術，引擎以500 MHz運行。PE面積和功率從文獻中縮放產生，假設每個16位乘加運算單元的面積和單次操作能耗為0.004 mm和1 pJ。NoC功率估計為每跳0.61 pJ/bit。

Tangram中的搜索工具可以支持瓷片架構加速器的數據流方案。它以神經網絡拓撲和硬件配置作為輸入，并輸出運行時間和能耗。本文修改這個搜索工具來實現本文的設計方案，評估本文提出的層調度方法。

3.2 檢測算法評估

本文的檢測器只使用自然樣本進行訓練。這些檢測器估計重建損失，并將其發送到聯合分類器中進行最終決策。用戶需要指定一個閾值用來進行分類。當閾值從零移動到一個大數時，假陽性率（FPR，所有自然樣本中被錯誤分類為對抗樣本的比例）和真陽性率（TPR，所有對抗樣本被正確分類為對抗樣本的比率）將從0變為1。TPR與FPR折線圖的曲線下面積（Area Under Curve，AUC）可以用來衡量檢測成功率。具體來說，AUC是一個介于0和1之間的值，AUC越大意味著檢測準確率越高。表3中列出了不同攻擊方法和檢測算法的AUC分數。在該表中，“全模型”表示在每個卷積層（或基本塊）后插入檢測器的模型，“協同設計模型”表示剪枝和搜索后的協同設計模型。協同設計模型的細節將在后文進行描述。

表3 本文方法與NIC方法的AUC分數比較

表3的結果表明，盡管NIC在BIM攻擊中的表現略好一些，但在12個樣例中有9個樣例本文方法的表現優于NIC，這表明本文方法具有和NIC相當的檢測精度。本文的方法通常在較大的網絡中具有更好的檢測精度，這是因為可以集成更多的檢測器進行聯合判斷。此外，除了受到BIM攻擊的ResNet50網絡外，協同設計模型的AUC分數都高于或幾乎等于全模型，表明協同設計不會導致準確率的下降。

3.3 瓷片架構層調度方案的評估

在相同的硬件資源條件下，本文比較了兩種調度方式。本文評估了運行一批（32個）樣本的能耗和運行時間。圖4顯示了兩種調度方法下對DRAM和SRAM的數據訪問量。本文提出的算法將DRAM訪問量減少了43%以上，而作為代價，SRAM訪問有所增加。這是因為本文的算法將更多的數據依賴劃分在同一個段內，這意味著段之間的數據傳輸被轉移到了段內，與此對應的，DRAM上的數據移動就被轉化成了SRAM上的數據移動。評估還發現70%的系統能耗是由內存訪問引起的，因此，通過降低DRAM訪問可以進一步減小能耗。

圖4 兩種調度方式的內存訪問量

表4顯示了3個推理網絡與所有檢測器聯合網絡的能耗和性能。與Tangram中的方法相比，本文提出的方法在運行所有3個模型時都可以節省超過28%的能耗并減少超過41%的運行時間。能耗和運行時間的節省主要來自于本文所提調度方法對DRAM訪問量的優化。

表4 兩種調度方式的運行開銷

3.4 軟硬件協同設計的評估

本文以ResNet18為例來說明協同設計過程。首先，使用一個驗證集來評估每個檢測器的檢測成功率，保留成功率最高的8個檢測器，而舍棄其他檢測器。然后遍歷這些檢測器的所有組合（總共255個方案）并評估準確率和開銷。圖5是一個散點圖，其中每一個點表明每個檢測器組合的AUC分數和能耗。左上區域的點具有高AUC分數和低能耗，是較優的選擇。因此，本文選擇圖中的紅點作為協同設計方案。它包含一個單層檢測器和兩個跨層檢測器。同樣，可以通過分別部署1個和3個檢測器來找到simpleCNN和ResNet50的協同設計模型。

圖5 ResNet18模型不同檢測器組合的AUC分數-能耗散點圖

表5展示了推理網絡在無檢測模型、使用全模型和協同設計模型的情況下的運行時開銷。結果表明，相比原始的推理網絡，全模型在每個卷積層（或基本塊）引入一個檢測器，造成的能耗和運行時間的開銷是非常大的。這是由于推理網絡和檢測網絡的網絡結構差異引起的。執行圖像分類任務的深度神經網絡中需要很多卷積層來實現局部特征的提取，卷積層的參數數目相對較少，而計算量偏大；執行在線檢測任務的自編碼器網絡主要由全連接層組成，參數數目很多，而計算量偏小。對于神經網絡加速器而言，主要的能耗和時間開銷在訪存而非計算，因此，引入檢測器會顯著增大整個模型的能耗和時間開銷。這正是本文提出軟硬件協同設計的剪枝方案的初衷。

表5 不同檢測配置下聯合網絡的運行開銷

比較協同設計模型和全模型，可以發現，軟硬件協同設計的作用是明顯的，由于對檢測器的數目和位置進行了篩選，去除了檢測能力較差的檢測器，所以獲得了較大的性能提升。協同設計模型與全模型相比，能耗降低了58%以上，執行時間減少了54%以上。

4 結論

深度神經網絡已廣泛用于自動駕駛等，本文針對深度神經網絡攻擊的防御，提出了一種新型的硬件友好的在線防御方案。本文的設計方案采用多個自編碼器來檢測推理網絡的每一層，然后使用本文提出的新型層調度方法在瓷片架構加速器中運行推理-檢測聯合網絡。最后，本文設計了一種軟硬件協同設計方法，以在檢測成功率和運行時開銷之間取得平衡。

試驗表明，本文提出的防御方案不僅達到了相當的檢測成功率，而且通過最小化DRAM訪問量，使能耗降低了28%，運行時間降低了41%。軟硬件協同設計在不降低檢測成功率的前提下，進一步減少了58%和54%的能耗和時間。