Capítulo 3 — Física para computação
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX007.
flowchart TD
N0["3.1 Sinais, ruído e amostragem"]
N1["3.2 Deslocamentos físicos versus ataques"]
N2["3.3 Energia, calor e canais laterais"]
N3["3.4 Especificando condições físicas de teste"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX007"]
Desenho lógico
flowchart LR
N0["3.1 Sinais, ruído e amostragem"]
N1["3.2 Deslocamentos físicos versus ataques"]
N2["3.3 Energia, calor e canais laterais"]
N3["3.4 Especificando condições físicas de teste"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX007"]
[3.1 Sinais, ruído e amostragem]
|
v
[3.2 Deslocamentos físicos versus ataques]
|
v
[3.3 Energia, calor e canais laterais]
|
v
[3.4 Especificando condições físicas de teste]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX007]
Objetivos de aprendizagem
Você vai (1) relacionar sinais, ruído e amostragem às entradas de sensores e câmeras; (2) explicar como condições físicas (luz, vibração, temperatura) deslocam as entradas de um modelo; (3) descrever, em nível conceitual, ataques adversariais no mundo físico e falsificação de sensores; e (4) especificar condições físicas de teste para um componente de IA.
3.1 Sinais, ruído e amostragem
Sensores convertem grandezas físicas em números. Toda medição contém ruído; a amostragem transforma sinais contínuos em discretos, e amostrar abaixo do dobro da maior frequência (a taxa de Nyquist) causa aliasing. Câmeras integram a luz ao longo do tempo de exposição; borrão de movimento, ofuscamento e pouca luz alteram os valores dos pixels. Um modelo de visão treinado com imagens diurnas nítidas pode encontrar entradas muito diferentes à noite ou na chuva. No TrackEye, a amostragem também se aplica ao tempo: uma câmera que captura quadros devagar demais para a velocidade do trem pode perder um defeito curto inteiro entre dois quadros. Engenheiros conferem se a taxa de quadros e o tempo de exposição servem para a maior velocidade de operação, não só para uma viagem média.
3.2 Deslocamentos físicos versus ataques
O deslocamento de distribuição natural vem da física: poeira nas lentes, deriva de temperatura em termistores, vibração. Ataques físicos adversariais criam deliberadamente objetos ou sinais: padrões impressos que causam classificação errada ou sinais injetados que falsificam sensores. Pesquisas mostraram que perturbações podem sobreviver à impressão e à captura por câmera sob condições de visão variadas quando otimizadas sobre muitas transformações. Os dois tipos de deslocamento precisam ser testados; a diferença de engenharia é que adversários buscam o pior caso, enquanto a natureza amostra casos típicos. O plano de testes os trata de forma diferente: deslocamentos naturais são medidos como desempenho médio nas condições esperadas, e os adversariais como o pior resultado que um atacante conseguiria encontrar dentro de limites declarados.
3.3 Energia, calor e canais laterais
A computação consome energia e emite calor e sinais eletromagnéticos que podem vazar informação (canais laterais). Em aceleradores de IA, medições de tempo e de consumo de energia foram estudadas como formas de inferir propriedades do modelo. O acesso físico, portanto, pertence ao modelo de ameaças de dispositivos de IA de borda, como o computador de um trem de inspeção. Esse computador percorre a rede e pode receber manutenção de terceirizados nos depósitos, então alguém poderia acoplar equipamento de medição sem muita dificuldade. Engenheiros normalmente não se defendem de todos os canais laterais, mas registram quais são plausíveis dado quem tem acesso físico e protegem os ativos mais valiosos, como os pesos do modelo e as chaves de assinatura, com invólucros que evidenciam violação e armazenamento cifrado.
3.4 Especificando condições físicas de teste
Uma especificação de engenharia lista condições: faixa de iluminação (lux), faixa de temperatura, espectro de vibração, níveis de contaminação da lente e velocidade do trem. Cada uma vira um eixo de teste. Para a segurança, acrescente condições adversariais dentro do modelo de ameaças — por exemplo, "um atacante pode colocar marcações nos dormentes, mas não pode acessar o trem". Cada eixo precisa de uma faixa declarada e de como ela será produzida nos testes: viagens gravadas, bancadas de iluminação controlada ou simulação. As faixas vêm de dados de operação, como a menor luminosidade medida nas viagens de madrugada e a maior velocidade da linha. Uma frase do modelo de ameaças que diz o que o atacante não pode fazer é tão importante quanto o que ele pode, porque define quando uma falha conta como achado de segurança e não como limitação.
3.5 Exemplo resolvido (caso sintético da NRS)
A taxa de falsos negativos do TrackEye subiu de 2% para 9% nas viagens de madrugada. Sam rastreou a causa até o sol baixo, que provoca ofuscamento a 60–80 km/h. A correção combinou um filtro polarizador, uma mudança de exposição e 4,000 imagens adicionais de madrugada. Sam também acrescentou um eixo de teste para marcações deliberadas perto dos trilhos, já que qualquer pessoa caminhando pela linha poderia colocá-las. A alta de 2% para 9% só apareceu quando os resultados foram separados por hora do dia; a média geral a escondia. A correção combina medidas físicas e de dados, e só um novo teste em viagens de madrugada recentes pode mostrar se ela funcionou.
3.6 Erros e limites
Três erros são comuns: testar apenas com a iluminação do laboratório; confundir deslocamento natural com ataque (ou ignorar qualquer um dos dois); e omitir o acesso físico dos modelos de ameaças de dispositivos de borda. A iluminação de laboratório é uniforme e estável, então um modelo aprovado ali ainda não encontrou ofuscamento, chuva ou lentes sujas. Tratar toda falha como ataque desperdiça esforço em caça a ameaças, enquanto tratar toda falha como natural pode esconder adulteração deliberada. Dispositivos de borda costumam estar ao alcance de pessoas com acesso legítimo ao depósito, então o acesso físico é um caminho realista, não exótico, e deixá-lo de fora faz o modelo de ameaças parecer mais seguro do que o sistema é.
Exercícios
- EX007 — Nyquist. Um sensor de vibração precisa captar componentes de até 400 Hz. Que taxa mínima de amostragem evita aliasing? Rubrica: 3 = > 800 Hz com justificativa; 2 = 800 sem justificativa; 1 = errado, mas fundamentado; 0 = nenhuma.
- EX008 — Deslocamento vs. ataque. Classifique: poeira na lente; padrão pintado num dormente; deriva do termistor. Rubrica: 3 = natural, adversarial, natural, com justificativas; 2 = só os rótulos; 1 = um certo; 0 = nenhuma.
- EX009 — Eixos de teste. Escreva cinco eixos físicos de teste para o TrackEye. Rubrica: 3 = cinco eixos mensuráveis com faixas; 2 = cinco sem faixas; 1 = dois ou três; 0 = nenhuma.
Síntese
A física determina quais entradas um componente de IA de fato recebe. Engenheiros especificam condições físicas, testam deslocamentos naturais e incluem adversários físicos no modelo de ameaças.
Continue estudando — capítulo 03 de 50
← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →