首先来简单回顾一下变分量子分类器及它的工作原理。变分量子分类器是一种典型的经典−量子混合算法，它主要包括一个量子计算机及一个经典优化器(如图1所示)。对于一个输入数据$ {\boldsymbol{x}}^{(i)} $，首先需要将其编码成一个量子态，然后利用量子计算机中的含参量子线路对其进行演化，并通过量子测量得到量子计算机关于样本的一个预测$ {\boldsymbol{u}}^{(i)} $。根据一系列输入数据样本的预测值以及它们原始的标签$ {\boldsymbol{y}}^{(i)} $，可以计算得到损失函数$ \mathcal{L}({\boldsymbol{\theta}}) $和损失函数关于线路参数的梯度信息$ \nabla_{{\boldsymbol{\theta}}} \mathcal{L}({\boldsymbol{\theta}}) $。进而，可以利用一个经典的优化器，通过迭代的方法不断更新线路参数$ {\boldsymbol{\theta}} $ 以使得损失函数最小。使得损失函数最小的线路参数$ {\boldsymbol{\theta}}^* $ 可以被认为是一组最优的线路参数，而对应的含参量子线路$ {\boldsymbol{U}}({\boldsymbol{\theta}}^*) $ 也可被认为是一个训练好的变分量子分类器。

图  1  变分量子分类器示意图

具体来讲，对于一个给定的$ m $类分类任务数据集$ \mathcal{D}=\{({\boldsymbol{x}}^{(i)},\;{\boldsymbol{y}}^{(i)})\} $，其中，样本数据$ {\boldsymbol{x}}^{(i)}\in\mathbb{R}^N $ 是一个$ N $维向量，其对应的标签$ {\boldsymbol{y}}^{(i)}\in\mathbb{R}^m $是一个采用one-hot编码的$ m $维向量，即如果$ {\boldsymbol{x}}^{(i)} $属于第$ k $类($ k\in\{1, 2,\cdots,m\} $)，则$ {\boldsymbol{y}}^{(i)} $的第$ k $个位置为$ 1 $其余位置为$ 0 $。那么，变分量子分类器中的量子计算机可以看成是一个函数映射：

式中，$ u({\boldsymbol{x}}) $ 满足$ ||u({\boldsymbol{x}})||_1=1 $。

为了实现这种变换，对于一个给定的原始输入数据样本$ {\boldsymbol{x}}^{(i)} $，首先需要将它编码成一个对应的$ n $ 比特量子态$ |{\boldsymbol{x}}^{(i)}\rangle $。通常, 所需的量子比特数满足$ N\leq 2^n $。本文使用一种量子机器学习中常见的信息编码方式，即振幅编码方法^[28]，来将经典信息存储在量子系统中。具体来讲，对于一个$ N $维的经典数据$ {\boldsymbol{x}}^{(i)}=[x_1^{(i)},x_2^{(i)},\cdots,x_N^{(i)}]^{\rm{T}} $，可以将其存储为如下形式的$ n=\lceil \log_2 N \rceil $ 量子比特的量子态：

式中，$ \gamma $是一个归一化系数。在获得这样的量子态之后，通过量子计算机中的含参量子线路对其进行演化，这一过程可以被写成如下形式：

式中，$ {\boldsymbol{U}}({\boldsymbol{\theta}}) $是一个$ 2^n\times2^n $的幺正矩阵，$ {\boldsymbol{\theta}} \in \mathbb{R}^d $ 是一组含参量子线路的线路参数。在完成对量子态的演化之后，利用一组$ m $个完备的POVM测量算子$ \{\varPi_{j}\}_{j=1}^m $，对如式(3)所示的量子态进行量子测量。使用测量算子$ \varPi_j $得到的测量结果即为数据$ {\boldsymbol{x}}^{(i)} $被分为第$ j $类的概率, 即：

在得到关于输入数据$ {\boldsymbol{x}}^{(i)} $ 的分类预测值$ {\boldsymbol{u}}^{(i)} $ 之后，可以结合它对应的样本标签$ {\boldsymbol{y}}^{(i)} $ 来计算得到损失函数$ \mathcal{L}({\boldsymbol{\theta}}) $。对于分类问题，一类常用的损失函数是交叉熵函数，对于二分类任务，交叉熵函数可以表示为：

式中，$ M $表示样本的个数；对于多分类任务，交叉熵函数可以表示为：

更进一步，可以得到损失函数$ \mathcal{L}({\boldsymbol{\theta}}) $ 关于变分量子线路中线路参数$ {\boldsymbol{\theta}} $ 的梯度信息$\nabla_{{\boldsymbol{\theta}}} \mathcal{L}(\boldsymbol{\theta})$，通过利用一个经典优化器，可以选择一种合适的优化算法对线路参数${\boldsymbol{ \theta}} $进行迭代训练，如随机梯度下降^[29]、Adam^[30]、BFGS^[31]及量子自然梯度下降^[32]等。经过充分多的迭代之后，可以得到最小化的损失函数以及对应的最优线路参数$ {\boldsymbol{\theta}}^* $。此时，量子计算机$ {\boldsymbol{U}}({\boldsymbol{\theta}}^*) $ 可以看作一个训练好的变分量子分类器。

对于变分量子分类器，一个重要的基础理论问题是如何解决量子分类器在扰动攻击下的脆弱性。量子分类器的脆弱性是指，随着问题维度及系统规模的增大，量子数据在高维空间中更倾向于聚集在分类超平面的附近。已有研究表明，随着量子比特数的增加，量子数据与分类超平面的距离会指数减小^[26]。这种距离的减小会造成一种现象，即微小的扰动就可以使得样本点越过分类超平面，从而令训练好的分类器产生分类错误。这种微小扰动的生成方法，也被称为量子对抗攻击生成算法。

受到经典对抗攻击生成算法的启发^[33]，本文提出一种针对量子分类器的量子对抗攻击生成算法——量子混淆算法。量子混淆算法通过利用变分量子分类器关于编码原始数据量子态的梯度信息，来生成对抗攻击。具体来讲，一个训练好的变分量子分类器可被认为已经找到了关于分类数据的分类超平面。那么，可以通过迭代的方法，逐渐使得编码数据$ {\boldsymbol{x}}^{(i)} $ 的量子态$ |{\boldsymbol{x}}^{(i)}\rangle $ 向超平面移动，最终生成使得样本越过分类超平面的扰动。特别地，在第$ j $次迭代中，根据受扰动后的量子态$ |\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle $在分类超平面上的正交投影得到一个弱扰动$ r_j $，如下所示：

式中，$ u $表示一个训练好的量子变分分类器；$ \nabla_{{\boldsymbol{x}}}u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle) $ 表示量子分类器的输出关于$ |\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle $的梯度。更进一步，引入一个扰动系数$ \epsilon $ 来约束每次生成的扰动规模。这样，可以得到对于样本$ {\boldsymbol{x}}^{(i)} $ 生成对抗攻击$ {\boldsymbol{r}}^{(i)} $ 在第$ j $ 步的累积更新规则：

在获得第$ j $步迭代中生成的扰动$ {\boldsymbol{r}}^{(i)} $ 以后，将扰动施加在样本$ |\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle $ 上并检查施加扰动后的数据样本能否使得变分量子分类器发生分类错误。如果可以，则输出这样的扰动，如果不可以就进入下一次的迭代更新。将整个扰动的生成过程总结在算法1中。

算法1　量子混淆算法

输入：量子分类器$ u $，数据样本$ (|{\boldsymbol{x}}^{(i)}\rangle,{\boldsymbol{y}}^{(j)}) $，扰动系数$ \epsilon $，最大迭代次数 $ N_{\text{Iter}} $

输出：样本的对抗扰动 $ {\boldsymbol{r}}^{(i)} $

$ j\gets 0 $, $ {\boldsymbol{r}}_j\gets 0 $, $ {\boldsymbol{r}}^{(i)}\gets 0 $, $ |\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle \gets |{\boldsymbol{x}}^{(i)}\rangle $

while: $ \arg\max(u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle))==\arg\max ({\boldsymbol{y}}^{(i)}) $

and $ j \leq N_{\text{Iter}} $ do

　 ${\boldsymbol{r}}_j \gets -\dfrac{u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle)}{||\nabla_{{\boldsymbol{x}}}u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle) ||^2_2}\nabla_{{\boldsymbol{x}}}u(|\tilde{{\boldsymbol{x}}}_j^{(i)}\rangle)$

　$ {\boldsymbol{r}}^{(i)} \gets {\boldsymbol{r}}^{(i)}+\epsilon r_j $

　 $|\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle \gets \dfrac{1}{||\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle+{\boldsymbol{r}}^{(i)}||_2}(|\tilde{{\boldsymbol{x}}}^{(i)}_j\rangle+{\boldsymbol{r}}^{(i)})$

　$ j \gets j+1 $

end

Return $ {\boldsymbol{r}}^{(i)} $

通过数值仿真验证了量子混淆算法的有效性，进一步将量子混淆算法与之前提出的Q-FGSM算法和Q-BIM算法进行了比较。数值仿真是基于鸢尾花数据集的二分类任务进行的^[25]。具体来讲，使用了两种鸢尾花(Setosa、Versicolour)的数据作为实验样本。这些实验样本总共有100条数据，每一条数据包括了萼片长度、萼片宽度、花瓣长度和花瓣宽度4个维度的属性。对于每条样本对应的标签，使用one-hot编码，即如果样本属于Setosa类别，则对应的标签是$ [1,0]^{\rm{T}} $, 如果样本属于Vesicolour类别，其对应的标签是$ [0,1]^{\rm{T}} $。

为了训练量子分类器，使用了振幅编码的方案将这些经典数据转换成对应的量子态。对于样本$ {\boldsymbol{x}}^{(i)}=[x_1^{(i)},x_2^{(i)},x_3^{(i)},x_4^{(i)}] $，将其编码到一个两比特量子态$ |{\boldsymbol{x}}^{(i)}\rangle $，如下所示：

式中，$ \{|j\rangle\}_{j=1}^4 $ 表示由两个量子比特组成的希尔伯特空间中一组完备的计算基底。

为了得到一个能够分辨出样本数据类别的变分量子分类器，采用了一种如图2所示的变分量子分类器^[23]。这种量子分类器由3个量子比特组成。前两个比特用来存储输入的量子态，第三个比特用来存储量子分类器的预测标签。整个变分量子分类器由$ L $ 层变分量子线路组成。每层变分量子线路包含了若干含参单比特量子门和两比特量子门。在这里，使用的含参单比特量子门包括绕x轴旋转的单比特门$R_{{x}}(\theta)={\rm{e}}^{-i\frac{\theta}{2}\sigma_x}$ 以及绕z轴旋转的单比特量子门$R_{{z}}(\theta)={\rm{e}}^{-i\frac{\theta}{2}\sigma_z}$。其中，$ \sigma_{{x}} $和$ \sigma_{{z}} $分别表示泡利X矩阵与泡利Z矩阵。至于两比特量子门，采用的是CNOT门，其数学形式可以写成：

式中，$ \mathbb{I} $表示一个$ 2\times 2 $的单位矩阵。特别地，在实验中，使用了一个$ L=5 $的变分量子线路。

本文采用的变分量子分类器是一个基于三比特$ L $ 层的变分量子线路。其中每一层包含了9个单比特旋转门和两个CNOT门。在执行完所有的量子门之后，对第三个比特进行量子测量，测量其关于泡利Z矩阵的期望值。

图  2  变分量子分类器线路结构示意图

对于这样的变分量子分类器，在线路末尾测量第三个比特关于泡利Z矩阵的期望值$ \langle \sigma_{\rm{z}} \rangle $，并将$ u=\dfrac{\langle \sigma_{\rm{z}} \rangle+1}{2} $ 作为量子分类器的输出值。由于$ 0\leq u\leq 1 $，可以将$ u $ 作为样本属于Setosa类的概率，将$ 1-u $ 作为Vesicolour类别的概率。因此，对于一个输入样本$ {\boldsymbol{x}}^{(i)} $，量子分类器的输出即为$ [u,1-u]^{\rm{T}} $。更进一步，将二分类交叉熵函数(见式(5))作为优化的目标函数$ \mathcal{L}({\boldsymbol{\theta}}) $, 并通过Adam算法对线路参数进行优化。通过训练，实现的变分量子分类器对数据的分类准确率可以达到$ 100\% $。

进一步利用量子混淆算法，Q-FGSM算法和Q-BIM算法生成关于数据集的对抗攻击，使得分类器产生分类错误。为了衡量3种量子对抗攻击算法的表现，将原始数据$ |{\boldsymbol{x}}^{(i)}\rangle $以及其添加扰动后对应的量子态$ |\tilde{{\boldsymbol{x}}}^{(i)}\rangle $之间的保真度作为对所生成扰动大小的度量，即保真度越高表示生成的扰动越小。对于样本$ |{\boldsymbol{x}}^{(i)}\rangle $的保真度，其定义为：

更进一步，可以定义在整个数据集$ \mathcal{D}= \{({\boldsymbol{x}}^{(i)}, {\boldsymbol{y}}^{(i)})\}_{i=1}^M $上的平均保真度$ F $为：

除此之外，在使得量子分类器失效(即分类正确率为$ 0\% $)时，定义了平均扰动比例$ R $来衡量每种量子对抗攻击生成算法所生成的扰动规模与原始数据大小的比例，其定义如下：

式中，$ M $ 表示数据集的样本数量。仿真结果如图3及表1所示，可以看到，在使得训练好的量子分类器失效的情况下，量子混淆算法生成的平均扰动比例为$ 0.192\;2 $， 远小于Q-FGSM的平均扰动比例$ 1.380\;0 $ 与Q-BIM的平均扰动比例$ 0.311\;0 $。与此同时，利用量子混淆算法生成的使得分类器完全失效的对抗样本$ \{|\tilde{{\boldsymbol{x}}}^{(i)}\rangle\} $ 与原始的数据样本$ \{|{\boldsymbol{x}}^{(i)}\rangle\} $ 之间的平均保真度为$ 0.962\;6 $，高于Q-FGSM的平均保真度$ 0.487\;5 $ 与Q-BIM的平均保真度$ 0.918\;2 $。实验结果表明，相比于Q-FGSM与Q-BIM算法，利用量子混淆算法可以生成更小的扰动使得量子分类器完全失效。由此可见，量子混淆算法是一种高效的量子对抗攻击生成算法。

图  3  变分量子分类器基于样本点的分类准确率与平均保真度的关系

本文提出了一种针对变分量子分类器的量子对抗攻击生成方法——量子混淆算法。该算法通过迭代的方法生成一种微小扰动。将这种扰动施加到编码了原始数据的量子态上可以生成原始数据对应的对抗样本，这些对抗样本在保持与原始样本较高保真度的情况下，可以使得训练好的分类器完全失效。通过仿真实验，证明了量子混淆算法可以通过利用量子分类器关于输入样本点的梯度信息来高效生成样本的扰动，与之前提出的两种量子对抗攻击生成方法(Q-FGSM算法和Q-BIM算法)相比，本文提出的量子混淆算法在同等效果的情况下，可以生成更小的扰动，进而生成与原始数据相比保真度更高的对抗样本。综上所述，量子混淆算法是一种高效的量子对抗攻击生成方法，为理解量子分类器的有效性和脆弱性提供了新思路。