对抗攻击样本范数：L0，L2，L∞

1） L0范数 ：
非0 元素的个数；
对抗样本 扰动的 非0元素的个数；

2） L2范数 ：
各元素的 平方和再开方；
对抗样本 扰动的 各元素的平方和再开方，针对图像数据，L2范数越小表示对抗样本人眼越难识别；

3） L∞范数 ：
各元素的 绝对值 的最大值；
对抗样本 扰动的 各元素的最大值；

4） 扰动 ：
Original + perturbation = Adversarial