近年来，随着量子计算设备的不断发展与机器学习领域的不断探索，量子机器学习作为一个新兴的研究领域得到了广泛关注。一方面，依托于经典机器学习的强大能力，经典的机器学习算法已被应用于解决如量子纠缠判别^[1-3]、量子纠错^[4-6]与量子控制^[7-9]等量子力学中的典型问题。另一方面，学者也着重于研究如何利用量子计算设备设计实现基于量子计算范式的量子机器学习算法，相比经典机器学习算法具有指数加速^[10]。这些典型的量子机器学习算法包括量子主成分分析^[11]、量子支持向量机^[12]及量子玻尔兹曼机^[13]等。

随着量子计算硬件进入中等规模含噪量子计算时代^[14]，变分量子计算框架作为一种典型的经典−量子混合算法，利用经典计算机上运行的优化算法来对量子计算设备上线路的参数进行优化，从而可以解决特定的计算问题，如求解量子化学中的基态能量^[15-16]、求解组合优化问题^[17-18]等。特别地，学者提出了一系列基于变分量子计算框架的变分量子神经网络, 并从原理上验证了这种结构的量子神经网络与传统的神经网络在功能上是等价的^[19]，甚至在一些特定问题上，量子神经网络展示出了超越传统神经网络的量子优势^[20]。作为变分量子神经网络的一个重要应用，分类问题是机器学习领域，尤其是监督学习领域的一个重要分支。用于解决分类问题的变分量子神经网络也被称为量子分类器。这种典型的量子分类器包括量子卷积神经网络^[21]、量子线路学习模型^[22]、免复制量子神经网络^[19]及线路中心量子分类器^[23]。这些量子分类器既可以用于解决量子多体系统基态所处的物理相的预测^{[19, 21]}、量子态纠缠判别^[24]等典型的量子问题，也可以用于解决如鸢尾花分类^[23]、手写数字图像识别^{[19, 23]}及信用卡评级分类^[25]等真实世界数据集的分类任务。

尽管量子分类器在近几年得到了广泛的关注和研究，但其中一个关键的基础理论问题，即如何解决量子分类器在扰动攻击下的脆弱性，依旧是一个量子机器学习领域的重要挑战。量子分类器的脆弱性是指，随着量子系统规模增大，量子分类器更容易因为一些微小的扰动而分类错误的性质。具体而言，随着问题规模的增大(即实现量子分类器的量子比特数增加)，量子分类器的输入数据会不断靠近分类平面，从而一个微小的扰动就可以使得输入数据越过分类平面，进而使得量子分类器产生分类错误。已有研究表明，随着量子比特数量的增加，这种造成分类错误的扰动上界与量子系统对应的希尔伯特空间的维度成反比关系^[26]。这种扰动也被称为量子对抗攻击。类比于经典机器学习中对抗样本生成的方法，针对量子分类器，现有文献已提出了一些量子对抗攻击生成方法，如量子自适应快速梯度符号法(Q-FGSM)和量子自适应基本迭代法(Q-BIM)^[27]。但如何能够更高效地生成量子对抗攻击，使得在生成扰动尽可能小的情况下，仍能令量子分类器发生错误，是一个亟待解决的问题。

为此，本文提出了一种新的量子对抗攻击生成算法——量子混淆算法，即通过一个迭代的过程来生成量子对抗攻击。在每一步迭代中，先计算量子分类器关于输入样本的梯度信息，并将这些信息处理为一个弱扰动，进而修改原始的输入数据。通过不断将这些弱扰动累加到原始数据中，最终可以得到关于原始数据的一个扰动，使得训练好的量子分类器发生分类错误。基于经典机器学习中典型的鸢尾花数据集进行了数值模拟，结果显示，对于一个对鸢尾花二分类能达到$ 100\% $正确的量子分类器，通过利用量子混淆算法可以将分类准确率降为$ 0\% $。将量子混淆算法与之前的Q-FGSM算法和Q-BIM算法进行了对比，结果显示，量子混淆算法可以生成更小的扰动使得量子分类器失效。

1.   变分量子分类器

首先来简单回顾一下变分量子分类器及它的工作原理。变分量子分类器是一种典型的经典−量子混合算法，它主要包括一个量子计算机及一个经典优化器(如图1所示)。对于一个输入数据$ {\boldsymbol{x}}^{(i)} $，首先需要将其编码成一个量子态，然后利用量子计算机中的含参量子线路对其进行演化，并通过量子测量得到量子计算机关于样本的一个预测$ {\boldsymbol{u}}^{(i)} $。根据一系列输入数据样本的预测值以及它们原始的标签$ {\boldsymbol{y}}^{(i)} $，可以计算得到损失函数$ \mathcal{L}({\boldsymbol{\theta}}) $和损失函数关于线路参数的梯度信息$ \nabla_{{\boldsymbol{\theta}}} \mathcal{L}({\boldsymbol{\theta}}) $。进而，可以利用一个经典的优化器，通过迭代的方法不断更新线路参数$ {\boldsymbol{\theta}} $ 以使得损失函数最小。使得损失函数最小的线路参数$ {\boldsymbol{\theta}}^* $ 可以被认为是一组最优的线路参数，而对应的含参量子线路$ {\boldsymbol{U}}({\boldsymbol{\theta}}^*) $ 也可被认为是一个训练好的变分量子分类器。

图  1  变分量子分类器示意图

下载: 全尺寸图片 幻灯片

具体来讲，对于一个给定的$ m $类分类任务数据集$ \mathcal{D}=\{({\boldsymbol{x}}^{(i)},\;{\boldsymbol{y}}^{(i)})\} $，其中，样本数据$ {\boldsymbol{x}}^{(i)}\in\mathbb{R}^N $ 是一个$ N $维向量，其对应的标签$ {\boldsymbol{y}}^{(i)}\in\mathbb{R}^m $是一个采用one-hot编码的$ m $维向量，即如果$ {\boldsymbol{x}}^{(i)} $属于第$ k $类($ k\in\{1, 2,\cdots,m\} $)，则$ {\boldsymbol{y}}^{(i)} $的第$ k $个位置为$ 1 $其余位置为$ 0 $。那么，变分量子分类器中的量子计算机可以看成是一个函数映射：

式中，$ u({\boldsymbol{x}}) $ 满足$ ||u({\boldsymbol{x}})||_1=1 $。

为了实现这种变换，对于一个给定的原始输入数据样本$ {\boldsymbol{x}}^{(i)} $，首先需要将它编码成一个对应的$ n $ 比特量子态$ |{\boldsymbol{x}}^{(i)}\rangle $。通常, 所需的量子比特数满足$ N\leq 2^n $。本文使用一种量子机器学习中常见的信息编码方式，即振幅编码方法^[28]，来将经典信息存储在量子系统中。具体来讲，对于一个$ N $维的经典数据$ {\boldsymbol{x}}^{(i)}=[x_1^{(i)},x_2^{(i)},\cdots,x_N^{(i)}]^{\rm{T}} $，可以将其存储为如下形式的$ n=\lceil \log_2 N \rceil $ 量子比特的量子态：

式中，$ \gamma $是一个归一化系数。在获得这样的量子态之后，通过量子计算机中的含参量子线路对其进行演化，这一过程可以被写成如下形式：

式中，$ {\boldsymbol{U}}({\boldsymbol{\theta}}) $是一个$ 2^n\times2^n $的幺正矩阵，$ {\boldsymbol{\theta}} \in \mathbb{R}^d $ 是一组含参量子线路的线路参数。在完成对量子态的演化之后，利用一组$ m $个完备的POVM测量算子$ \{\varPi_{j}\}_{j=1}^m $，对如式(3)所示的量子态进行量子测量。使用测量算子$ \varPi_j $得到的测量结果即为数据$ {\boldsymbol{x}}^{(i)} $被分为第$ j $类的概率, 即：

在得到关于输入数据$ {\boldsymbol{x}}^{(i)} $ 的分类预测值$ {\boldsymbol{u}}^{(i)} $ 之后，可以结合它对应的样本标签$ {\boldsymbol{y}}^{(i)} $ 来计算得到损失函数$ \mathcal{L}({\boldsymbol{\theta}}) $。对于分类问题，一类常用的损失函数是交叉熵函数，对于二分类任务，交叉熵函数可以表示为：

式中，$ M $表示样本的个数；对于多分类任务，交叉熵函数可以表示为：

更进一步，可以得到损失函数$ \mathcal{L}({\boldsymbol{\theta}}) $ 关于变分量子线路中线路参数$ {\boldsymbol{\theta}} $ 的梯度信息$\nabla_{{\boldsymbol{\theta}}} \mathcal{L}(\boldsymbol{\theta})$，通过利用一个经典优化器，可以选择一种合适的优化算法对线路参数${\boldsymbol{ \theta}} $进行迭代训练，如随机梯度下降^[29]、Adam^[30]、BFGS^[31]及量子自然梯度下降^[32]等。经过充分多的迭代之后，可以得到最小化的损失函数以及对应的最优线路参数$ {\boldsymbol{\theta}}^* $。此时，量子计算机$ {\boldsymbol{U}}({\boldsymbol{\theta}}^*) $ 可以看作一个训练好的变分量子分类器。

2.   量子混淆算法

对于变分量子分类器，一个重要的基础理论问题是如何解决量子分类器在扰动攻击下的脆弱性。量子分类器的脆弱性是指，随着问题维度及系统规模的增大，量子数据在高维空间中更倾向于聚集在分类超平面的附近。已有研究表明，随着量子比特数的增加，量子数据与分类超平面的距离会指数减小^[26]。这种距离的减小会造成一种现象，即微小的扰动就可以使得样本点越过分类超平面，从而令训练好的分类器产生分类错误。这种微小扰动的生成方法，也被称为量子对抗攻击生成算法。

受到经典对抗攻击生成算法的启发^[33]，本文提出一种针对量子分类器的量子对抗攻击生成算法——量子混淆算法。量子混淆算法通过利用变分量子分类器关于编码原始数据量子态的梯度信息，来生成对抗攻击。具体来讲，一个训练好的变分量子分类器可被认为已经找到了关于分类数据的分类超平面。那么，可以通过迭代的方法，逐渐使得编码数据$ {\boldsymbol{x}}^{(i)} $ 的量子态$ |{\boldsymbol{x}}^{(i)}\rangle $ 向超平面移动，最终生成使得样本越过分类超平面的扰动。特别地，在第$ j $次迭代中，根据受扰动后的量子态$ |\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle $在分类超平面上的正交投影得到一个弱扰动$ r_j $，如下所示：

式中，$ u $表示一个训练好的量子变分分类器；$ \nabla_{{\boldsymbol{x}}}u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle) $ 表示量子分类器的输出关于$ |\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle $的梯度。更进一步，引入一个扰动系数$ \epsilon $ 来约束每次生成的扰动规模。这样，可以得到对于样本$ {\boldsymbol{x}}^{(i)} $ 生成对抗攻击$ {\boldsymbol{r}}^{(i)} $ 在第$ j $ 步的累积更新规则：

在获得第$ j $步迭代中生成的扰动$ {\boldsymbol{r}}^{(i)} $ 以后，将扰动施加在样本$ |\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle $ 上并检查施加扰动后的数据样本能否使得变分量子分类器发生分类错误。如果可以，则输出这样的扰动，如果不可以就进入下一次的迭代更新。将整个扰动的生成过程总结在算法1中。

算法1　量子混淆算法

输入：量子分类器$ u $，数据样本$ (|{\boldsymbol{x}}^{(i)}\rangle,{\boldsymbol{y}}^{(j)}) $，扰动系数$ \epsilon $，最大迭代次数 $ N_{\text{Iter}} $

输出：样本的对抗扰动 $ {\boldsymbol{r}}^{(i)} $

$ j\gets 0 $, $ {\boldsymbol{r}}_j\gets 0 $, $ {\boldsymbol{r}}^{(i)}\gets 0 $, $ |\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle \gets |{\boldsymbol{x}}^{(i)}\rangle $

while: $ \arg\max(u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle))==\arg\max ({\boldsymbol{y}}^{(i)}) $

and $ j \leq N_{\text{Iter}} $ do

${\boldsymbol{r}}_j \gets -\dfrac{u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle)}{||\nabla_{{\boldsymbol{x}}}u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle) ||^2_2}\nabla_{{\boldsymbol{x}}}u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle)$

$ {\boldsymbol{r}}^{(i)} \gets {\boldsymbol{r}}^{(i)}+\epsilon r_j $

$|\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle \gets \dfrac{1}{||\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle+{\boldsymbol{r}}^{(i)}||_2}(|\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle+{\boldsymbol{r}}^{(i)})$

$ j \gets j+1 $

end

Return $ {\boldsymbol{r}}^{(i)} $

3.   应　用

通过数值仿真验证了量子混淆算法的有效性，进一步将量子混淆算法与之前提出的Q-FGSM算法和Q-BIM算法进行了比较。数值仿真是基于鸢尾花数据集的二分类任务进行的^[25]。具体来讲，使用了两种鸢尾花(Setosa、Versicolour)的数据作为实验样本。这些实验样本总共有100条数据，每一条数据包括了萼片长度、萼片宽度、花瓣长度和花瓣宽度4个维度的属性。对于每条样本对应的标签，使用one-hot编码，即如果样本属于Setosa类别，则对应的标签是$ [1,0]^{\rm{T}} $, 如果样本属于Vesicolour类别，其对应的标签是$ [0,1]^{\rm{T}} $。

为了训练量子分类器，使用了振幅编码的方案将这些经典数据转换成对应的量子态。对于样本$ {\boldsymbol{x}}^{(i)}=[x_1^{(i)},x_2^{(i)},x_3^{(i)},x_4^{(i)}] $，将其编码到一个两比特量子态$ |{\boldsymbol{x}}^{(i)}\rangle $，如下所示：

式中，$ \{|j\rangle\}_{j=1}^4 $ 表示由两个量子比特组成的希尔伯特空间中一组完备的计算基底。

为了得到一个能够分辨出样本数据类别的变分量子分类器，采用了一种如图2所示的变分量子分类器^[23]。这种量子分类器由3个量子比特组成。前两个比特用来存储输入的量子态，第三个比特用来存储量子分类器的预测标签。整个变分量子分类器由$ L $ 层变分量子线路组成。每层变分量子线路包含了若干含参单比特量子门和两比特量子门。在这里，使用的含参单比特量子门包括绕x轴旋转的单比特门$R_{{x}}(\theta)={\rm{e}}^{-i\frac{\theta}{2}\sigma_x}$ 以及绕z轴旋转的单比特量子门$R_{{z}}(\theta)={\rm{e}}^{-i\frac{\theta}{2}\sigma_z}$。其中，$ \sigma_{{x}} $和$ \sigma_{{z}} $分别表示泡利X矩阵与泡利Z矩阵。至于两比特量子门，采用的是CNOT门，其数学形式可以写成：

式中，$ \mathbb{I} $表示一个$ 2\times 2 $的单位矩阵。特别地，在实验中，使用了一个$ L=5 $的变分量子线路。

本文采用的变分量子分类器是一个基于三比特$ L $ 层的变分量子线路。其中每一层包含了9个单比特旋转门和两个CNOT门。在执行完所有的量子门之后，对第三个比特进行量子测量，测量其关于泡利Z矩阵的期望值。

图  2  变分量子分类器线路结构示意图

下载: 全尺寸图片 幻灯片

对于这样的变分量子分类器，在线路末尾测量第三个比特关于泡利Z矩阵的期望值$ \langle \sigma_{\rm{z}} \rangle $，并将$ u=\dfrac{\langle \sigma_{\rm{z}} \rangle+1}{2} $ 作为量子分类器的输出值。由于$ 0\leq u\leq 1 $，可以将$ u $ 作为样本属于Setosa类的概率，将$ 1-u $ 作为Vesicolour类别的概率。因此，对于一个输入样本$ {\boldsymbol{x}}^{(i)} $，量子分类器的输出即为$ [u,1-u]^{\rm{T}} $。更进一步，将二分类交叉熵函数(见式(5))作为优化的目标函数$ \mathcal{L}({\boldsymbol{\theta}}) $, 并通过Adam算法对线路参数进行优化。通过训练，实现的变分量子分类器对数据的分类准确率可以达到$ 100\% $。

进一步利用量子混淆算法，Q-FGSM算法和Q-BIM算法生成关于数据集的对抗攻击，使得分类器产生分类错误。为了衡量3种量子对抗攻击算法的表现，将原始数据$ |{\boldsymbol{x}}^{(i)}\rangle $以及其添加扰动后对应的量子态$ |\tilde{{\boldsymbol{x}}}^{(i)}\rangle $之间的保真度作为对所生成扰动大小的度量，即保真度越高表示生成的扰动越小。对于样本$ |{\boldsymbol{x}}^{(i)}\rangle $的保真度，其定义为：

更进一步，可以定义在整个数据集$ \mathcal{D}= \{({\boldsymbol{x}}^{(i)}, {\boldsymbol{y}}^{(i)})\}_{i=1}^M $上的平均保真度$ F $为：

除此之外，在使得量子分类器失效(即分类正确率为$ 0\% $)时，定义了平均扰动比例$ R $来衡量每种量子对抗攻击生成算法所生成的扰动规模与原始数据大小的比例，其定义如下：

式中，$ M $ 表示数据集的样本数量。仿真结果如图3及表1所示，可以看到，在使得训练好的量子分类器失效的情况下，量子混淆算法生成的平均扰动比例为$ 0.192\;2 $， 远小于Q-FGSM的平均扰动比例$ 1.380\;0 $ 与Q-BIM的平均扰动比例$ 0.311\;0 $。与此同时，利用量子混淆算法生成的使得分类器完全失效的对抗样本$ \{|\tilde{{\boldsymbol{x}}}^{(i)}\rangle\} $ 与原始的数据样本$ \{|{\boldsymbol{x}}^{(i)}\rangle\} $ 之间的平均保真度为$ 0.962\;6 $，高于Q-FGSM的平均保真度$ 0.487\;5 $ 与Q-BIM的平均保真度$ 0.918\;2 $。实验结果表明，相比于Q-FGSM与Q-BIM算法，利用量子混淆算法可以生成更小的扰动使得量子分类器完全失效。由此可见，量子混淆算法是一种高效的量子对抗攻击生成算法。

图  3  变分量子分类器基于样本点的分类准确率与平均保真度的关系

下载: 全尺寸图片 幻灯片

表  1  量子对抗攻击生成算法在分类器失效时的平均扰动比例与对抗样本平均保证度

算法	平均扰动比例$ R $	平均保真度$ F $
量子混淆算法	0.1922	0.9626
Q-FGSM	1.3800	0.4875
Q-BIM	0.3110	0.9182

下载: 导出CSV 

| 显示表格

4.   结 束 语

本文提出了一种针对变分量子分类器的量子对抗攻击生成方法——量子混淆算法。该算法通过迭代的方法生成一种微小扰动。将这种扰动施加到编码了原始数据的量子态上可以生成原始数据对应的对抗样本，这些对抗样本在保持与原始样本较高保真度的情况下，可以使得训练好的分类器完全失效。通过仿真实验，证明了量子混淆算法可以通过利用量子分类器关于输入样本点的梯度信息来高效生成样本的扰动，与之前提出的两种量子对抗攻击生成方法(Q-FGSM算法和Q-BIM算法)相比，本文提出的量子混淆算法在同等效果的情况下，可以生成更小的扰动，进而生成与原始数据相比保真度更高的对抗样本。综上所述，量子混淆算法是一种高效的量子对抗攻击生成方法，为理解量子分类器的有效性和脆弱性提供了新思路。