1. 量子对抗鲁棒性评估从理论下界到高效计算在量子机器学习QML领域模型的对抗鲁棒性评估正成为一个日益紧迫的议题。与经典模型类似量子模型在面对精心设计的微小扰动时其预测结果也可能被轻易颠覆。然而量子系统的独特性质——如量子态的叠加与纠缠——使得其对抗性分析更为复杂。我们无法直接套用经典的欧氏距离度量扰动大小而必须转向量子信息论中的核心工具迹距离Trace Distance和保真度Fidelity。这些度量定义了量子态之间的“远近”是量化量子对抗攻击强度的基石。基于这些量子距离度量一个核心的理论问题是对于一个给定的量子分类器在其干净数据非对抗样本上达到某一错误率时其在最坏情况下的对抗错误率的下限是多少这个“对抗风险下界”为评估任何量子模型的鲁棒性提供了一个绝对的理论基准。如果某个模型的对抗错误率接近这个下界说明它在现有数据分布和攻击强度下已经接近最优鲁棒反之如果远高于下界则表明模型存在巨大的鲁棒性提升空间。本文将深入探讨如何高效、准确地计算这个量子对抗风险下界。核心挑战在于下界的计算涉及对数据集中所有样本对之间量子态距离的大规模计算这在经典计算机上模拟高维量子系统时会带来难以承受的计算开销。为此我们引入了一套结合了理论适配与工程优化的方案首先利用Bures角等工具将经典的球形扩展理论优雅地适配到量子希尔伯特空间其次设计了一套高度并行化的算法利用GPU加速大规模成对迹距离的计算与搜索过程。这套方案不仅理论严谨而且具备实际可操作性我们将在MNIST和FashionMNIST数据集上的量子变分电路模型中验证其有效性。1.1 核心概念量子态、迹距离与Bures角要理解量子对抗风险首先需要明确我们如何度量量子态之间的差异。在量子力学中一个纯态可以用一个复向量 |ψ⟩ 表示其对应的密度矩阵为 ρ |ψ⟩⟨ψ|。对于两个纯态 |ψ₁⟩ 和 |ψ₂⟩它们之间的迹距离定义为D(ρ₁, ρ₂) (1/2) ||ρ₁ - ρ₂||₁其中 ||·||₁ 表示矩阵的迹范数即所有奇异值之和。对于纯态迹距离有一个更直观的几何解释。我们引入Bures角θ它定义为cos θ |⟨ψ₁|ψ₂⟩|这里|⟨ψ₁|ψ₂⟩| 就是两个量子态内积的模也称为保真度Fidelity的平方根。可以证明对于纯态迹距离与Bures角满足一个简洁的关系D sin θ这个关系至关重要。它将一个矩阵范数的计算转化为了一个角度三角函数的计算极大地简化了后续的理论推导和几何直观。Bures角 θ 的取值范围在 [0, π/2] 之间。当两个态完全相同保真度为1时θ0迹距离为0当两个态正交保真度为0时θπ/2迹距离为1。注意这里我们讨论的是纯态。对于混合态Bures角与迹距离的关系会更复杂涉及Bures距离。但在许多量子机器学习编码方案如振幅编码、相位编码中编码后的态通常是纯态因此上述简化关系是适用的。这是后续所有理论推导的基础假设。1.2 对抗风险下界量子空间的球形扩展理论对抗风险下界理论的核心思想可以形象地理解为在特征空间这里指量子态所在的希尔伯特空间中放置“保护球”。假设我们有一个分类器它在以某个样本 |c⟩代表某一类的“中心”态为中心、半径为 r用Bures角 θᵣ 表示即 r sin θᵣ的球形区域内能够做出正确分类。这个球内的区域可以看作是该分类器能够可靠分类的“安全区”。现在考虑一个攻击者它被允许对输入量子态施加扰动但扰动后的态与原始态之间的迹距离或等价地Bures角不能超过一个阈值 ϵ即 θ_ϵ。这定义了攻击者的能力范围。那么一个关键的问题是在攻击下原本的“安全球”会如何被侵蚀攻击者可以将球内的一个点 |y⟩ 扰动到球外的另一个点 |x⟩只要扰动幅度不超过 ϵ。从几何上看这意味着所有可能被攻击到的点构成了一个以原始安全球为基础、向外“扩展”了的区域。理论表明这个扩展后的区域恰好等价于一个以同一个中心 |c⟩ 为中心但半径更大的球其新半径 r‘ 满足r‘ sin(θᵣ θ_ϵ) r √(1-ϵ²) ϵ √(1-r²)这个公式是量子对抗风险下界理论的基石。它告诉我们在量子扰动攻击下分类器的有效“安全区”会从半径为 r 的球萎缩为半径为 r‘ 的球。球内体积在量子态空间中的减少直接对应着对抗风险的增加——即原本能被正确分类的样本现在可能因为被扰动到球外而被误分类。下界的计算过程就是在整个数据集中寻找一组这样的“保护球”使得它们尽可能多地覆盖干净样本即分类正确的样本同时计算在攻击下这些球萎缩后仍然能被覆盖的样本比例。这个比例就是对抗风险的理论下界。更准确地说1 减去这个比例就是模型对抗错误率不可能低于的值。1.3 算法效率瓶颈成对距离计算的挑战上述理论框架清晰但将其转化为实际可计算的算法面临一个巨大的效率瓶颈成对迹距离的计算。为了找到最优的“保护球”集合算法需要反复执行以下操作给定一个候选球心即某个数据样本对应的量子态需要快速知道数据集中有多少个其他样本落在以该球心为中心、给定Bures角为半径的“球”内。这本质上要求我们预先计算或能够快速查询任意两个量子态之间的距离Bures角。对于经典数据计算两个向量间的欧氏距离是 O(d) 操作d为维度。然而对于量子态问题变得复杂态的表达一个 n-量子比特的纯态由 2ⁿ 个复数振幅描述。即使对于中等规模的 n如102ⁿ1024存储和计算全态向量开销巨大。距离计算直接计算两个 2ⁿ 维复向量的保真度 |⟨ψ|φ⟩|需要做 2ⁿ 维的点积复杂度为 O(2ⁿ)。如果数据集有 N 个样本那么朴素地预计算所有成对距离需要 O(N² * 2ⁿ) 的计算量这对于稍具规模的数据集N 上千和量子比特数n10是完全不可行的。因此如何高效计算或逼近成对量子态距离成为实现量子对抗风险下界估计的关键。2. 核心优化针对特定编码的高效距离计算幸运的是在实际的量子机器学习中我们通常不会直接处理通用的、任意的量子态。数据是通过特定的编码方案Encoding Scheme从经典数据映射到量子态上的。这些编码方案的结构化特性为我们简化距离计算提供了可能。我们以两种最常用的编码为例展示如何将指数级的复杂度降为线性复杂度。2.1 振幅编码下的保真度计算振幅编码Amplitude Encoding是一种将经典向量直接映射为量子态振幅的方法。对于一个归一化的经典实向量u(维度为 d且通常要求 d ≤ 2ⁿ)其对应的量子态为|ψ⟩ Σ_{i0}^{d-1} u_i |i⟩其中|i⟩ 是计算基态。如果 d 不是 2 的幂次通常用零填充剩余的振幅。现在考虑两个经典数据点x⁽¹⁾ 和x⁽²⁾经过归一化后得到向量u⁽¹⁾ 和u⁽²⁾并编码为量子态 |ψ₁⟩ 和 |ψ₂⟩。它们之间的保真度为F(|ψ₁⟩, |ψ₂⟩) |⟨ψ₁|ψ₂⟩|² |Σ_i u_i⁽¹⁾* u_i⁽²⁾|² |u⁽¹⁾ ·u⁽²⁾|²由于u是x的归一化向量即ux/ ||x||₂代入上式可得F(|ψ₁⟩, |ψ₂⟩) [ (x⁽¹⁾ ·x⁽²⁾) / (||x⁽¹⁾||₂ ||x⁽²⁾||₂) ]²这个结果非常优美。两个振幅编码量子态之间的保真度完全由它们对应的原始经典向量的余弦相似度的平方决定。计算它只需要对原始的 d 维经典向量进行点积和范数计算复杂度为 O(d)与量子比特数 n 无关这意味着即使我们在模拟一个 20 量子比特对应约100万维振幅的系统只要原始数据维度 d 是固定的比如784维的MNIST图像计算保真度的开销与经典机器学习中计算余弦相似度无异。得到保真度 F 后Bures角 θ arccos(√F)迹距离 D sin θ √(1 - F)。因此整个成对距离计算被完美简化。实操心得在实现时务必确保经典数据向量x在编码前进行了正确的归一化L2归一化这是上述公式成立的前提。一个常见的错误是在数据预处理时只做了像素值缩放如到[0,1]而忘了做整体的向量归一化这将导致计算出的“保真度”没有物理意义。2.2 相位编码下的保真度计算相位编码Phase Encoding或Angle Encoding是另一种常见方案它将每个经典特征值编码到单个量子比特的旋转相位上。对于第 i 个特征 x_i通常施加一个旋转门例如 R_x(φ_i) 或 R_z(φ_i)其中旋转角 φ_i 与 x_i 成比例比如 φ_i π/2 * x_i。那么整个编码过程可以看作是一个大的酉变换 U(x) ⨂_i R_x(π/2 * x_i)作用于初始态 |0⟩^⊗n。因此两个编码态为 |ψ₁⟩ U(x⁽¹⁾)|0⟩ 和 |ψ₂⟩ U(x⁽²⁾)|0⟩。它们的保真度计算如下F(|ψ₁⟩, |ψ₂⟩) |⟨0| U†(x⁽¹⁾) U(x⁽²⁾) |0⟩|²由于 U 是单量子比特门的张量积其逆和乘积可以简化 U†(x⁽¹⁾) U(x⁽²⁾) ⨂_i R_x(-π/2 * x_i⁽¹⁾) R_x(π/2 * x_i⁽²⁾) ⨂_i R_x(π/2 * (x_i⁽²⁾ - x_i⁽¹⁾))初始态 |0⟩ 也是可分离的|0⟩^⊗n。因此保真度可以分解为每个量子比特上贡献的乘积F(|ψ₁⟩, |ψ₂⟩) Π_{i1}^d |⟨0| R_x(π/2 * Δ_i) |0⟩|² 其中 Δ_i x_i⁽²⁾ - x_i⁽¹⁾对于 R_x(θ) exp(-iθX/2) 门有 ⟨0| R_x(θ) |0⟩ cos(θ/2)。代入上式F(|ψ₁⟩, |ψ₂⟩) Π_{i1}^d cos²( π/4 * Δ_i )计算复杂度再次降为 O(d)。我们只需要计算每一维特征差的余弦平方然后连乘。这比模拟整个量子电路要高效无数倍。注意事项相位编码的保真度是各维度贡献的乘积。这意味着如果数据维度 d 很高即使每一维的差异很小乘积也可能迅速衰减到接近零导致迹距离接近1。这反映了相位编码对扰动可能非常敏感的特性。在设定量子攻击强度 ϵ迹距离阈值时需要考虑到编码方式本身的这个性质。2.3 通用编码的应对策略对于不满足上述简化条件的通用量子编码或者参数化量子电路PQC中产生的复杂态直接计算保真度可能无法避免 O(2ⁿ) 的代价。此时可以考虑以下策略随机测量估计通过多次制备量子态并进行投影测量来估计 |⟨ψ|φ⟩|²。这需要大量的量子电路运行或经典模拟效率较低但可能是硬件部署时唯一的选择。经典近似模拟利用矩阵乘积态MPS或张量网络等经典近似方法来模拟中等规模的量子系统并计算重叠积分。这适用于具有特定结构的量子电路。寻找替代距离度量在无法精确计算迹距离时是否可以找到一种更容易计算的距离上界/下界例如基于局部可观测量的测量统计差异。但这需要新的理论工作来建立其与对抗鲁棒性的关系。在我们的工作中主要聚焦于振幅和相位编码因为它们既常见又能实现高效计算使得在大规模数据集上进行下界估计成为可能。3. 并行化算法设计与GPU加速实现解决了单次距离计算的问题后我们面对的是 N 个样本间成对距离的计算与搜索问题。这是一个典型的 O(N²) 问题。为了处理像MNIST数万样本这样的数据集我们必须借助并行计算。我们的算法设计核心是将计算密集的步骤映射到GPU上并精心设计数据结构和搜索流程以最大化并行吞吐量。3.1 算法流程概览我们的并行化下界估计算法流程如下它被设计为可以在GPU上高效执行步骤 0预计算成对距离矩阵 D输入数据集 S {x_i}, i1...N。操作根据所选编码方案如振幅编码计算所有样本对 (i, j) 之间的迹距离 D_ij D(ρ(x_i), ρ(x_j))。利用2.1或2.2节的公式这是一个高度可并行化的操作。输出一个 N×N 的对称矩阵 D对角线为0。这是整个算法中唯一 O(N²d) 复杂度的步骤但非常适合GPU的批量计算。步骤 1距离排序与索引构建操作对每个样本 i将其到所有其他样本 j 的距离 D_ij 进行排序得到一个排序后的距离列表 D_{i, (k)} 和一个对应的索引矩阵 I_{i, (k)}。其中 (k) 表示排序后的第k近的样本的原始索引。并行化对每个 i 的排序操作是独立的可以完全并行化。GPU上的基数排序或快速排序库可以高效处理。步骤 2-5并行化球体拟合与风险计算核心循环这是算法的核心目标是找到一组球体中心c半径r以最小化对抗风险。步骤 2并行枚举候选球心 c即每个样本 i和候选半径 r离散化为一组Bures角。在GPU上这可以组织为一个大网格每个线程负责一个 (i, r) 组合。步骤 3对于给定的 (i, r)计算非对抗风险区域的增量。即在以 i 为中心、半径为 r 的球内有多少个干净样本分类正确的样本。这可以通过查询排序列表 D_{i, (k)} 轻松完成找到最大的 k使得 D_{i, (k)} ≤ r。这个 k 就是球内样本数。该操作是 O(log N) 的二分查找每个线程独立进行。步骤 4计算对抗风险区域的增量。根据球形扩展理论攻击下的有效半径扩展为 r‘ sin(θ_r θ_ϵ)。我们需要计算在以 i 为中心、半径为 r‘ 的扩展球内总共有多少样本包括干净和错误样本。同样通过对 D_{i, (k)} 进行二分查找找到最大的 k‘ 使得 D_{i, (k‘)} ≤ r‘。那么扩展球内新增的样本数即可能被攻击误判的样本就是 k‘ - k。步骤 5在所有并行计算的 (i, r) 组合中寻找一个使得(k‘ - k) / N对抗风险增量最小的组合。这一步涉及一个并行的归约操作如 min-reductionGPU可以高效完成。步骤 6-7迭代修剪与全局优化步骤 6一旦选定了一个最优球体 (i*, r*)我们这个球体及其扩展球覆盖的所有样本从后续考虑中“修剪”掉。在实际操作中我们更新一个布尔掩码数组标记这些样本已被覆盖。然后我们需要更新距离排序列表对于剩余的每个样本 i将其到已覆盖样本的距离视为“无穷”或在排序列表中将其移到末尾这样在后续二分查找时它们就不会被计入。步骤 7重复步骤2-6共 T 次T是一个超参数如20每次选择当前最优的球体直到覆盖了足够多的样本以满足目标非对抗风险率 α或达到最大迭代次数。3.2 GPU加速的关键实现细节内存布局将距离矩阵 D 和索引矩阵 I 存储在连续的GPU显存中确保合并内存访问。对于大规模N完整的 N×N 矩阵可能放不下可以采用分批计算或使用稀疏表示但会增加查找复杂度。内核函数设计距离计算内核一个线程块处理一批样本对利用共享内存减少全局内存访问。排序内核调用优化过的GPU排序库如CUB库中的DeviceRadixSort。球体搜索内核每个线程处理一个 (i, r) 组合。线程首先读取 D_{i, :} 和 I_{i, :}可能需从全局内存加载到寄存器/共享内存然后执行两次二分查找分别针对 r 和 r‘。计算风险增量后写入一个临时数组。归约内核使用atomicMin操作或更高效的分层归约来找到全局最优的 (i, r) 及其风险值。修剪操作的优化步骤6的修剪是串行依赖的因为每次迭代后样本掩码会改变。一种实现方式是在每次迭代的搜索内核中传入当前的样本掩码。每个线程在二分查找时遇到已被覆盖的样本通过掩码判断就跳过。虽然这会增加分支判断但避免了每次迭代后重排序的巨大开销。3.3 复杂度分析预计算步骤0O(N²d)但高度并行GPU加速效果显著。排序步骤1O(N² log N)但同样是高度并行的排序操作。主循环单次迭代步骤2-4假设并行枚举了 M 个 (i, r) 组合M ≈ N * #候选半径。每个组合进行两次 O(log N) 的二分查找。因此单次迭代的理论复杂度为 O(M log N)。在GPU上M 个任务被数千个线程并行执行实际耗时远低于CPU上的串行执行。总循环步骤7重复 T 次总复杂度 O(T * M log N)。通常 T 远小于 N。相比于原始的、基于Ball Tree在CPU上串行搜索的算法我们的并行化版本将最耗时的搜索过程分布到了GPU的数千个核心上实现了可能达到两个数量级以上的速度提升使得在数万量级的数据集上进行下界估计从“理论可行”变为“实际可操作”。实操心得在实现GPU二分查找时直接为每个线程编写二分查找循环是低效的。应优先使用GPU库函数如PyTorch的torch.searchsorted或CuPy的cupy.searchsorted。这些函数是高度优化的能够利用GPU的SIMT架构并行处理大量搜索请求。将排序后的距离矩阵和半径数组以张量形式传入一次调用即可得到所有结果远比手写循环内核高效。4. 回归校准与超参数选择通过并行算法我们可以为给定的训练集快速计算出一个对抗风险下界。然而这里存在一个偏差我们是在训练集上寻找最优球体组合来最小化风险但最终要评估的是模型在测试集上的性能。由于训练集和测试集来自同一分布但具体样本不同直接在训练集上得到的最优球体在测试集上计算出的非对抗风险率和对抗风险率可能与算法输入的目标值 α 不符。4.1 回归校准流程为了解决这个问题我们引入一个回归校准步骤其核心思想是通过多次实验拟合出测试集上对抗风险与非对抗风险之间的关系曲线然后在这条曲线上插值得到目标 α 对应的下界。流程如下设定目标风险列表选择一组围绕目标 α 的非对抗风险值 {α_ν}例如 α_ν ∈ [0.9α, 1.1α]均匀采样 m 个点如 m10。数据划分与多次实验对于每个 α_ν执行以下操作多次例如5次以平均随机性将完整数据集随机划分为训练集 S_train 和测试集 S_test。以 α_ν 作为目标在 S_train 上运行我们的并行下界估计算法得到一组最优球体。将这组球体应用到 S_test 上计算两个实际值Risk_ν在 S_test 上被这些球体覆盖的样本比例即估计的非对抗风险。AdvRisk_ν在 S_test 上被这些球体的扩展球覆盖的样本比例即估计的对抗风险下界。线性回归收集所有实验得到的 (Risk_ν, AdvRisk_ν) 数据点。由于在 α 附近的小范围内对抗风险与非对抗风险通常呈近似线性的关系我们用一条直线 y β₀ β₁ * x 去拟合这些点。插值得到最终下界将我们真正关心的模型非对抗错误率 α_model在独立测试集上测得代入回归方程Bound β₀ β₁ * α_model。这个Bound就是我们最终报告的、针对该模型和攻击强度的对抗风险下界估计值。4.2 超参数选择与影响算法的性能和准确性受到几个关键超参数的影响迭代次数 T即算法寻找的球体数量。T 越大对数据分布的拟合可能越精细得到的下界可能越紧更高。但计算成本也线性增加。通常T 需要足够大以捕捉数据集的复杂结构但也不宜过大以免过拟合训练集。在实践中可以观察随着 T 增加下界值是否趋于稳定来选择合适的 T。回归参数 m, α_l, α_um采样点数量用于回归的数据点越多回归直线越稳定。但每个点都需要运行一次完整的下界估计算法计算成本高。需要在精度和效率间权衡。[α_l, α_u]风险范围范围应包含目标 α_model并有一定余量。范围太窄可能因采样点不足而回归不准范围太宽在远离 α_model 的区域风险关系可能不再是线性的导致回归直线失真。通常选择 α_model ± 10% 是一个合理的起点。候选半径的离散化粒度在步骤2中我们需要将连续的半径 rBures角离散化为一组候选值。粒度越细搜索越精确但候选组合 M 越大计算量增加。一个实用的策略是根据距离排序列表 D_{i, (k)}直接取第 k 个距离作为候选半径其中 k 从1递增到某个上限。这样候选半径就是实际能引起覆盖样本数变化的“跳变点”既保证了有效性又控制了数量。注意事项回归校准步骤假设了局部线性关系。这个假设在大多数情况下是合理的尤其是在模型错误率不是极端高或低的情况下。然而为了验证其有效性可以在完成回归后检查数据点与拟合直线的残差。如果残差呈现明显的非线性模式如二次型则可能需要考虑使用更高阶的多项式回归或者缩小 [α_l, α_u] 的范围。最终报告下界时也可以同时给出其置信区间通过多次随机划分数据集的回归结果计算标准差以体现估计的不确定性。5. 实验验证在量子变分电路上的应用为了验证我们提出的下界估计方法的有效性和实用性我们在经典的图像分类数据集MNIST和FashionMNIST上对量子变分电路QVC模型进行了实验。5.1 实验设置详解模型架构我们采用包含10个量子比特的量子变分电路。编码层使用振幅编码将图像数据如28x28784维填充零至1024维以匹配2^10映射为量子态。变分层采用PennyLane库提供的StrongEntanglingLayers作为ansatz以CZ门作为两量子比特纠缠门。我们使用了多达200层这样的纠缠层以增加模型的表达能力。最后测量每个量子比特的Pauli-Z算符期望值 ⟨σ_z^(i)⟩得到一个10维的经典向量对应10个类别后续接一个Softmax层进行分类。对抗攻击我们评估两种攻击场景经典 l₂ 攻击在经典数据空间即图像像素空间施加扰动使用经典的投影梯度下降PGD方法生成对抗样本然后将其编码为量子态输入模型。量子迹距离TD攻击这是我们为量子场景设计的攻击。扰动直接在量子态层面进行约束条件是扰动态与原始态之间的迹距离 ≤ ϵ。我们适配了PGD方法称为TD-PGD在每次迭代中梯度更新后在量子态空间进行投影确保扰动不超过迹距离阈值。对于振幅编码迹距离约束等价于对归一化后的经典向量施加一个余弦相似度约束。下界估计参数我们设置下界估计算法的迭代次数 T20回归采样点数量 m10风险范围设为 [α, 1.1α]其中 α 是待评估模型在测试集上的实际非对抗错误率。5.2 结果分析与讨论我们在MNIST和FashionMNIST上各训练了3个QVC模型实例M1-M3 F1-F3主要区别在于训练时Softmax函数的温度参数 t 不同t1, 1/10, 1/20。温度 t 影响Softmax输出的“尖锐”程度t 越低输出越接近one-hot向量通常伴随着更低的训练错误率但也可能影响梯度的流动和模型的鲁棒性。主要发现下界的有效性如表1所示在所有6个模型实例、两种攻击方式下实验测得的对抗错误率Adv. error均高于我们估计的理论下界Estimated Bound。这严格验证了下界作为理论基准的有效性——任何模型的对抗错误率都不可能低于这个值。下界的紧致性下界的“质量”体现在它与实际错误率的接近程度。我们计算了Adv. error / Bound的比值见表2。比值越接近1说明下界越紧模型越接近该攻击强度下的理论最优鲁棒性。结果显示这个比值通常在1.1到6.7之间对于 l₂ 攻击相对更紧~1.1-1.7对于量子TD攻击则相对宽松~1.3-6.7。这表明对于量子特定的扰动现有模型还有很大的鲁棒性提升空间。训练轨迹的监控图6展示了模型在训练过程中其非对抗错误对抗错误点构成的轨迹。我们可以看到所有轨迹都始终位于对应攻击强度下的下界曲线上方并且随着训练进行错误率下降轨迹逐渐向右下方移动。这动态地证明了在整个模型优化过程中其对抗鲁棒性始终被我们的下界所约束。Softmax温度的影响一个有趣的趋势是较低的Softmax温度 t对应更尖锐的输出往往导致更低的非对抗错误率但同时Adv. error / Bound的比值有增大的趋势F2在l₂攻击下除外。这意味着在获得更高准确率的同时模型相对于理论最优鲁棒性的“差距”可能变得更大了。这暗示了准确率与鲁棒性之间存在的复杂权衡而我们的下界为量化这种权衡提供了一个客观标尺。5.3 常见问题与排查技巧在实际实现和应用这套框架时可能会遇到以下典型问题GPU内存溢出当数据集样本数 N 很大时成对距离矩阵 DN×N可能无法放入GPU显存。解决方案采用分批计算。例如将样本分成多个批次每次计算一个批次到所有样本的距离。或者使用精度更低的浮点数如float16存储距离矩阵。对于极度大规模的数据可以考虑基于采样的近似方法而不是计算全部成对距离。下界估计值过高或为1有时算出的下界接近甚至等于1失去了指导意义。排查首先检查攻击强度 ϵ 是否设置得过大。过大的 ϵ 会导致扩展球覆盖几乎所有样本从而使对抗风险下界接近1。其次检查数据编码和距离计算是否正确。例如在振幅编码下确保输入向量进行了严格的L2归一化。最后检查数据集本身是否线性不可分程度很高在给定的攻击强度下理论最优的鲁棒性本身就很差。回归校准结果不稳定不同随机划分得到的下界估计值波动很大。排查增加回归采样点数量 m以及每个 α_ν 对应的多次实验重复次数。确保 [α_l, α_u] 范围覆盖了模型错误率并且范围内的数据点足够多。检查 (Risk_ν, AdvRisk_ν) 的散点图确认是否存在线性关系。如果方差主要来自数据划分的随机性那么报告下界时附带标准差或置信区间是更严谨的做法。量子攻击实现中的梯度问题在实现TD-PGD攻击时需要计算损失函数关于输入量子态或对应的经典编码参数的梯度。技巧在模拟环境中可以直接利用自动微分框架如PennyLane的grad计算梯度。在真实量子硬件上或处理不可微操作时需要使用参数移位规则parameter-shift rule等量子梯度估计方法。此外投影到迹距离约束球的操作需要小心处理。对于振幅编码投影等价于将扰动后的向量重新归一化并旋转到与原始向量夹角为 θ_ϵ 的方向上这个操作在反向传播中可能需要自定义梯度。算法运行时间过长尽管使用了GPU当 N 超过10000时算法运行时间可能仍然可观。优化分析性能瓶颈。使用性能分析工具如PyTorch的profiler确定是距离计算、排序还是搜索循环耗时最多。对于搜索循环可以尝试减少候选半径的数量或者使用更激进的修剪策略。考虑在精度允许的情况下使用近似最近邻搜索算法来加速“球内样本数”的查询但这会引入近似误差需要评估对下界结果的影响。通过这套结合了量子信息理论、高效算法设计和现代并行计算的技术方案我们为量子机器学习模型的对抗鲁棒性评估提供了一个坚实、可计算的基准。它不仅告诉我们模型“有多不安全”更重要的是它揭示了模型“最多能有多安全”从而为设计和训练真正鲁棒的量子模型指明了方向。