CN1682478A - 密码上安全的个人标识 - Google Patents

Abstract

此处描述了便于认证个人标识文档的技术的实现。这里描述的一个实现是简单、廉价、且密码上安全的个人ID的体系结构。用此实现，可以创建并有效地认证安全的照片个人标识文档(ID)，它阻碍了篡改和假冒的企图。此ID采用了压缩的、用密码签署的条形码，它可由常规的扫描仪读取。此摘要本身不限制本专利的范围。本发明的范围在所附权利要求书中指出。

Description

密码上安全的个人标识

技术领域

本发明一般涉及便于认证个人标识文档的技术。

发明背景

这里，个人标识文档(ID)认证指的是对于给出的ID是可靠的、真实的、合法的、有效的、和/或纯粹的确认。这也能称为个人ID证书。那样的个人ID的例子包括移民文档，护照和驾驶执照。

相反，“个人验证”指的是对于在ID上的个人信息对应于给出ID的个人的确认。

存在许多传统的个人ID认证方法。高级的文档制作是最常用的方法。其它常用方法包括生物测定、智能卡和水印。

高级制作

历史上并经历许多文明，个人身份的测试是通过特有标识文档来验证的。那样的文档的真实性的测试已成为制作那样文档的难点。虽然不是标识文档，纸币是依赖于可靠性的接收器的主要例子，因为制作可流通的假币是困难的。

然而，在打印技术中的最近进展已经使高质量的打印设备变得相当廉价。高端打印机的存在已使伪造大多数个人标识文档(ID)成为相当简单的任务。这也大大地提高了由发行机构打印官方文档的成本。

作为响应，发行部门(如政府)已实现了越来越高级和昂贵的制作技术。例如，发行部门正使用全息照相、水印、微印刷、专门打印纸和/或化学涂层等。因为ID的制作更复杂，认证相应地变得更复杂、不可靠、并且最重要的是更昂贵。

生物测定方法

生物测定已被定义为使用有区别的特点自动识别个人的过程。已提出若干生物测定学方法，即通过面部、语音、指纹、手写和/或虹膜及视网膜识别。这些技术的综述由http：//www.biometrics.org.的“The Biometric Consortium(生物测定学国际协议)”提供。

通常，基于生物测定的个人标识系统包括检验人员，他确保标识系统不被愚弄。当对手向面部检测器示出被授权人的面部的真实大小的照片，或向语音检测器播放语音录音时会发生这样的事。

尽管某些类型的基于生物测定的个人标识(如视网膜扫描或指纹检测)是高度可靠，它们常是令人害怕的(如视网膜扫描)，且能恶意地用于牵累无辜的用户(如指纹扫描)。恶意的检测器能记录个人的指纹、创建其物理副本、且随后随意地牵累此人。这使指纹检测系统对大多数个人标识情况变得十分不合需要。

最终，某些生物测定系统常被抱怨侵犯隐私。例如，广泛散布的面部检测点能在任何时刻向获得对那样系统控制的一方揭露一个人的位置。

不管如何，几乎所有基于生物测定的个人标识系统具有三个主要缺点：

·不一致的可靠性(尤其对面部和语音识别)，当系统按比例增大时，常常使这些系统容易造成虚假报警和虚假的肯定；

·认证器需要连接到实际执行标识的中央可信的服务器；以及

·执行认证的装备是昂贵的。

对大多数应用，基于生物测定的方法是不方便的、昂贵的、最重要是不可靠的。

智能卡

智能卡代表对个人标识看上去有效的方法。智能卡经常吹捧的优点是它与认证器的全数字通信。

简单的情况是智能卡包含数字照片、个人的描述数据、和使用发行者的私钥签署的此信息的散列。通过散列该照片和个人描述数据执行认证，并随后使用发行者的公钥对照签名认证此散列。最后，认证器必须显示经证实的数字照片，使得人类能验证被标识的人在照片上。

个人的ID经常被丢失或损坏。替换智能卡除了要用合适的标识内容烧入此设备外还涉及购买另外的硬件设备。这是昂贵的。

由于它们相当大的存储容量，智能卡给出一印象，它们能用于存储附加信息，尤其是关于拥有者的私有信息(如在智能卡丢失时废除的私钥)。然而至今已证明，智能卡不能被认为是安全的存储，因为即使没有反向操纵智能卡，提取隐藏的信息也相当容易。

成功地标识加密密钥(对称密钥和私钥)的示例性攻击是基于通过差动功率分析或定时分析来分析智能卡的I/O行为。因此不能期望智能卡能存储比关于用户的公开信息(这在很多方面等价于照片ID)更多的任何信息。

水印

认证内容的另外技术是将不能感知的秘密信息—水印—隐藏到数字相片中。此类ID认证的一个严重的缺点是在大多数水印系统中，隐藏在照片中的秘密在认证器中必须存在。因此，单个被破坏的认证设备会使整个系统破坏。

然而令人吃惊的是，已开发了带着不同的目标应用的公钥水印系统。此外，此系统需要比单个相片长得多的主机信号，以便在统计上可靠地检测给定秘密的存在。此外，那样的系统要求用于标记照片的秘密在若干照片后被翻新。

最后，恶意的客户总能通过拍摄许多她自身的照片并将它们与ID上的照片比较来尝试估计该秘密。总之，使用公开ID认证的水印对于启用安全的ID认识而言是最不可靠的技术。

挑战

所有传统的方法(如高级制作、生物测定、智能卡、和水印)受到缺点的困扰。它们都具有下列缺点的一个或多个：

·实现、维护、和/或伸缩规模昂贵；

·实现、维护、和/或伸缩规模困难；

·人类认证者难以有效地认证；

·不可靠的结果(如不可接收的虚假肯定程度或丢失)；以及

·不可靠的安全性(如对手越来越容易妨碍或愚弄该系统)。

提供难以伪造、简单且廉价制造、且不需要智能卡、生物测定、或高级制造方法的用于安全的个人标识文档(ID)的体系结构是一个挑战。

发明概述

这里描述的是便于认证个人标识文档的技术。

这里描述的一种实现是简单、廉价、且密码上安全的个人ID体系结构。采用此实现，人们能有效地创建和认证安全照片个人标识文档ID，它阻碍窜改和伪造的企图。此ID采用可由普通扫描仪读出的压缩、用密码签署的条形码。

此概述本身不试图限制本专利的范围。此外，本专利的标题不试图限制本专利的范围。为更好地理解本发明，请结合附图阅读下面详述和所附权利要求书。本发明的范围在所附权利要求中指出。

附图简述

同样的标号在所有图中用于参照类似的元件和特征。

图1是能按这里描述的实现采用的示例个人标识的图示。

图2是按这里描述的实现发行个人标识的发行部门的粗略的图形表示。

图3是按这里描述的实现的个人标识的认证的粗略图形表示。

图4是示出这里描述的实现的功能流程图。

图5是能够(全部或部分地)实现这里描述的至少一个实施例的计算操作环境的例子。

较佳实施例的详细描述

在下面描述中，为解释的目的，列出特定的标号、材料和配置，以提供对本发明的透彻理解。然而本领域的技术人员明白，本发明可以不需特定的示例性细节来实施。在其它例子中，略去或简化众知的特征，以便阐明本发明的示例性实现的描述，从而更好地解释本发明。此外，为容易理解，某些方法步骤被描绘成单独的步骤；然而这些单独描绘的步骤不应看成依赖它们的完成的必要次序。

下列描述列出密码上安全的个人标识的一个或多个示例性实现方法，它们结合了所附权利要求书中引用的元素。这些实现用细节来描述，以满足规定的书写描述、可实现性和最佳模式的要求。然而描述本身不希望限制本专利的范围。

发明人旨在将这些示例的实施作为例子。发明人不企图用这些示例的实施来限制要求保护的本发明。相反，发明人考虑，所要求保护的本发明也应结合其它现在及将来的技术用其它方法实施或实现。

密码上安全的个人标识的实施例的一个例子可被称为示例性“面部证书”或简称为“示例性FACECERT”。

引言

这里描述的要求保护的本发明的一个或多个示例性实现能由FACECERT体系结构400和/或由如图5示出的计算环境(全部或部分地)实现。

示例性FACECERT是简单、廉价、且密码上安全的个人ID体系结构。采用示例性FACECERT，人们能有效地创建和认证能阻碍窜改和伪造企图的安全照片个人标识文档(ID)。

此ID采用能由常规扫描仪阅读的用密码签署的条形码。它提供有效、简单、廉价、和安全的机制，以使用难以伪造但制作简单且廉价的ID来认证个人的标识。

在典型的传统的情况下，个人ID的认证系统(即“认证器”)必须连接到远程数据库，并检索所存储的照片来与ID比较。

不同于传统的方法，示例性FACECERT不需要高级制品、智能卡、生物测定和/或大规模的远程数据库。尤其重要地，ID不需要由可信的或高端打印机打印(用传统的方法通常如此)。相反，ID能在任何地方、任何时间、可能由任何人打印。

用示例性FACECERT，所有必要的认证数据以用密码签署的条形码形式安全地存储在ID本身。它不依赖于面部识别技术。

由示例性FACECERT提供的安全的照片标识提供有效、安全、和廉价的数字控制成果，因为它们提供密码安全、低成本全数字基础结构的部署及维护，并对用户和ID发行者均能方便地使用。

示例性FACECERT ID

示例性FACECERT是简单、廉价、和密码上安全的个人ID体系结构。取代依赖于打印过程的复杂性来收到难伪造的效果，示例性FACECERT依赖于对可提供安全性的公钥密码，同时配备标准质量的低成本彩色打印过程。

如图1所示，个人FACECERT ID 100包括以“人类可读”表示方式及“计算机可读”表示方式的“个人辨别数据”。

这里，“人类可读”的规定不排除计算可读该表示方式的可能性。实际上，采用示例性FACECERT，计算设备确实能“读”该人类可读的表示方式。相反，此规定意味着它容易由人类读出。那样表示方式的例子包括照片、图像、符号、和人类语言(如英语)文本。

类似地，“计算机可读”的规定着眼于计算机能读此表示方式的容易性，而不是人们不能读它。

一般而言，“个人辨别数据”包括合理地将一个人与另一个人区分的信息。个人辨别数据的例子包括(但不限于)关于特定个人的下列信息：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身信息、该人的个人人文统计、该人的一个或多个辨别特点，以及个人的联系信息。

采用示例性FACECERT，人类可读表示方式包括个人肖像照片110和任何补充信息120(通常是个人信息)的人类可读的打印输出。计算机可读表示方式包括设备可读的2-D彩色条形码130，它包含用密码签署的信息。

该条形码消息130包括补充信息120和(肖像照片的)面部表示两者的压缩版本。该消息使用ID发行部门(即发行者)的私钥来签署(如使用RSA)。

FACECERT ID发行

如图2所示，ID发行者200的主要例子是政府部门。发行者200官方地发行ID 100。

通常，在FACECERT ID上证明的人类可读个人辨别数据是照片和文字。照片110是FACECERT ID拥有者的肖像。照片能具有任何合适的分辨率。由于在ID上的印出部分适合某个固定区域，此分辨率受限制。分辨率需大到足以由人类和机器有效地可辨别。

补充信息120是任何合适数据。它看来根据特定的应用而变化。如图1所示，它通常是个人统计信息，如：名字、年龄、体重、身高、眼睛颜色、其它个人数据等。此数据打印在ID 100上。

通常，在FACECERT ID上证明的计算机可读个人辨别数据是2D彩色条形码(如条形码130)。或者，它能是磁条或某些其它计算机可读介质。

采用示例性FACECERT，希望条形码读卡机用相对的精度读出FACECERT ID上的条形码130。由于读错的概率随着条形码中编码的位数而增加，通常在制作FACECERT ID时作出精度和数据存储之间的平衡。而且，包括在此平衡中的是ID的空间和复现的质量要求。

在某些情况下，有效压缩数字面部图像是有益的，因为：

·对给定尺寸的条形码，有效的面部数据的压缩相对于原始图像中的面部最大化了压缩的面部数据的表示精度—这降低了找到相似的或模仿给定面部的危险；以及

·对给定的面部表示精度，有效的压缩减少了需要用密码签署的消息长度，从而降低了认证密码签名的计算成本，若希望在仅一秒或几秒内认证ID，该计算成本会限制能签署的数据量。

因而，示例性FACECERT采用了平衡这些因素的约3Kb的条形码。当然，其它实现可采用编码更多或更少数据的条形码。

现代的扫描仪能可靠地读出直到最大约六种的分别的颜色。因此，对n_s比特的消息，示例性FACECERT在条形码中使用n_slog₆2的二进制。例如n_s＝3072比特，使用1189个贮存块(bin)，它导致120×10个贮存块的条形码。

希望每一贮存块的打印面积应该使扫描条形码导致小于某一希望的最小性能约束的误差。实际上假设，条形码的较长的尺寸达到1英寸。若每个贮存块用10×10的CCD矩阵扫描(1000dpi 48位CCD传感器阵列是标准的最低成本扫描仪的设备)，在条形码中的数据能以高可靠性被检测。

示例性FACECERT将面部图像112压缩到只有数千比特而保留主要面部特征的清晰度。示例性FACECERT采用基于面部固有特征(eignface-based)的压缩方法和主要的组成部分分析的改善的变型，那样的比特率即使在各组成部分在小的图像数据库中训练时仍容易达到。

如果对手几乎近于相似，ID的丢失会导致ID被对手的可能恶意冒用。为防止此未必可能的情况，ID能包含ID拥有者某些独特标记的描述信息。

ID认证

图3示出FACECERT ID认证的例子。它是由智能扫描设备(如FACECERT认证器300)实现的。如图3所示，认证器300扫描ID 100的照片、补充信息、及条形码。

认证器300获得ID发行部门的公钥。密钥能储存在认证器的线路板上，或在本地连接的数据存储中。另外，密钥能通过远程(如因特网)连接来检索。

认证器300扫描条形码、解码密码签名、并然后使用发行者200的公钥来执行签名认证(如已解码数据的公钥解密)。结果，认证器300获得用发行者私钥签署的消息。

该消息包括个人辨别数据。更具体说，消息包含补充信息120和在照片110中面部112的压缩表示。接着，认证器扫描ID 100的文字补充信息120、执行字符识别，并将识别的文本与提取的补充信息进行比较。

接着，认证器300扫描ID 100的照片。它检测照片中的面部，并执行与从条形码消息中提取的解压缩的面部的统计比较。通过使用ID上的打印的导引114，可以实现如旋转和缩放上的精确扫描对齐。

若两个面部在一定阈值范围之外(这可任意地、统计地、和/或经验地确定)匹配，认证器300断定该ID是可靠的。否则，该ID已被伪造或损坏，或在扫描ID时发生错误。这一指示可简单地为颜色灯(如红灯或绿灯)和/或可听音(如蜂鸣器或笛声)。

因而，篡改官方发行的ID上的照片或补充信息意味着它们将不匹配在用密码签署的条形码上编码的个人辨别数据。

人类验证

虽然认证器300执行特定FACECERT ID的认证，然而真实的人验证ID上的面部是否对应于给出此ID的人。这里，此人被称为验证官员305。对于示例性FACECERT，人的作用是验证在ID上的面部是否对应于给出该ID的人。这是起着验证人员在典型安全或个人标识设置中常常实现的相同的作用。

因此，在典型的个人标识设置中，示例性FACECERT的作用是认证ID。这是通过确认ID上的信息(包括照片)自从由ID发行者发行以来未被更改而实现的。取代认证ID，验证官员305的作用是验证ID上的脸部(以及ID上的其它个人辨别数据)对应于给出此ID的人。

有了示例性FACECERT的肯定确认，验证人员305能可靠地依赖于给出的ID上的个人辨别数据(包括照片)。相反，如果有示例性FACECERT的否定确认，则验证人员305可能引起怀疑，给出的ID上的信息是否已被修改。

虽然此认证和验证过程通常由人完成，也可通过web相机、闭路电视等在线地进行。

采用示例性FACECERT，检验人员305在需要时能让来自条形码的脸部在屏幕上显示并双重校验是否一切正常。此情况在边境路口特别实用，移民局官员已经坐在计算机面前，所以他们的扫描设备能发送所有信息到计算机用于显示。

密码背景

示例性FACECERT采用公钥基础结构(PKI)来用密码签署ID的条形码中的数据。更具体说，它采用RAS公钥密码。然而，示例性FACECERT的其它实现能采用其它密码安全机制，尤其是使用私钥—公钥结构的那些机制。

虽然RSA公钥密码基础结构是本领域技术人员众知的，然而许多其密钥方面仍在此讨论，以提供其对示例性FACECERT的使用进一步讨论的背景。

在RSA公钥签署系统中，假设每个通信方具有两个密钥：每人可得到并用于签名认证的公钥、和安全地由签名的发行者存储并能用于签署消息的私钥。以下述方式创建公钥—私钥对：

·生成两个大且不同的质数p和q。

·计算n＝pq和＝(p-1)(q-1)。

·选择随机数e∈Z*|1≤e≤φ，gcd(e，)＝1，

·寻找d∈Z*|1≤d≤，ed≡1(mod)。

创建的密钥对是：私钥是d，而公钥是两个数的集合(n，e)。通常，在使用RSA公钥密码系统的通信协议(如安全套接字协议层-SSL)中，e是固定的，通常为e＝2¹⁶+1，因而，将代表公钥的信息减少到n，并加速了签名的认证。消息m∈[o，n-1]通常用私钥d如下地签署：

s＝m^d(modn)                        (0.1)

认证过程示出，对给定消息m，通过使用d签署m获得签名s。然而，未使用私钥d，而通常使用对应的公钥n如下地完成同样的任务：

r＝s^e(modn)                        (0.2)

若r＝m，则s是m的有效签名，否则签名不对应于消息m。

示例性FACECERT不依赖于存储在单个受保护位置的单个秘密。相反，它对主秘密(如私钥)采用安全的存储技术。

例如，用一种技术，使用多个私钥—公钥对来链接(chain)签名(如一个RSA签署的输出作为对用不同私钥签署的另一RAS的输入发送)。每个私钥能存储在地理上不同的但却安全的地方。

对安全存储技术的另一例子，每个私钥的各部分存储在k个不同位置，使得仅当k中n个(n≤k)串通它们的信息来创建密钥时才能检索每个密钥。本领域的技术人员将此技术识别为“秘密共享”。用此技术，发行机构还分散难题的内容片断，对手想破坏该系统必须将它们组装。

在另一技术的例子中，秘密能存储在防篡改的硬件中。

当然，示例性FACECERT能采用其它合适的安全存储技术。

FACECERT的体系结构和方法

图4示出FACECERT体系结构400的功能组件和一个或多个方法实现。图4的顶部410示出FACECERT ID 100的发行，而下面部分420示出该ID的认证。这些一个或多个方法实现能以软件、硬件、或其组合实现。

如图4的发行部分410所示，FACECERT ID发行者200创建由RSA签署的消息m。

在210，示例性FACECERT压缩ID100的照片110中的面部。压缩的面部数据(如消息f)是照片110中特定面部的简洁，但相对完整的特定表示。

面部压缩的输出是消息f，它具有n_F＞n_T个比特。参数n_F是固定的，且等于n_F＝k*n_RSA，k∈Z*，其中n_RSA是RSA公钥的长度(我们采用n_RSA＝1024)而k通常设成k∈[2，5]。

给定固定的n_F，面部压缩的目的之一是增加任何两个不同面部结构之间的距离。此目的直接解释成在认证期间最小化错误否定及错误肯定的概率。

在220，使用合适的数据压缩技术压缩补充信息120(如文本数据)。例如，打印的消息能使用LZ77或语义上用最优编码压缩成纯文本(如，使用算术编码，地址被转换成编码的经/纬度)。文本压缩的输出被表示为有n_T个比特的消息t。

示例性FACECERT根据没有误差的假设从FACECERT ID读出数据。然后，在如在等式(1.3)中组合摘要之前，压缩数据或用密码做散列。因为输出总是固定长度，有时散列比压缩更合乎需要。示例性散列函数是SHA1和MD5。

消息f和t使用操作符230合并成长度为n_M＝n_F的消息m，操作符230鼓励m的每一比特至少依赖来自f和t的至少一比特，且在m中存在依赖于f或t的给定比特的至少一个比特。这帮助增加为创建某个消息m在照片中需要操纵的比特数。那样操作符的例子是：

$m=t\stackrel{\·}{\⊗}{f\≡m}_i=t_{i\mathrm{mod}{n}_T}\mathrm{XOR}{f}_i,i=0...n_F-1---\left(0.3\right)$

其中m_i、f_i和t_i分别代表消息m、f和t的第i个比特。

在240，用FACECERT ID的发行者的私钥242签署消息m。m的每个n_RSA比特被单独地签署。所得的签名s具有n_S＝n_M＝n_F个比特。所得的签名s作为2D彩色条形码130打印到FACECERT ID 100上。

如图4的认证部分420所示，在条形码中用密码签署数据的FACECERT认证器300符合补充数据120和FACECERT ID的照片110中面部112。

认证器300最初扫描ID的所有三个打印部分：照片110、补充文本信息120、和条形码130。那些由照片扫描310、OCR文本扫描320、和条形码扫描330表示。

在322，扫描的补充文本信息也被转换成文本串。此文本串使用与上面由组件220采用的同样的压缩技术(如基于等式(0.2))的技术来压缩。此结果是消息t_v。对此任务不需要普通的光学字符识别(OCR)，因为用于打印文本的字体对认证是已知的，并能对改善的OCR优化。

在332，认证器300接收扫描的条形码数据。将扫描的条形码转换成认证签名s_v。认证器获取发行者的公钥334。它使用发行者的公钥在s_v上完成RSA签名认证，并获得签署的消息m_v。

若ID尚未被篡改，则认证签名s_v和原始的打印签名s将匹配。然而，认证器不能直接访问原始打印的签名的可验证副本。相反，它必须认证给出的ID的认证签名s_v确实是原始打印的签名s。

因为给出的ID上的照片和补充信息假设被用于生成认证签名s_v，则在s_v中编码的数据应与从中提取的面部和补充数据相匹配。若ID保持原始未修改状态，它们将匹配。否则它们不匹配。

在340，从m_v和t_v计算f_v。

在350，认证器300应用解压缩技术从f_v中提取数字面部辨别数据。

在360，认证器将从f_v提取的面部辨别数据与给出的ID的扫描照片的数字面部特征数据进行比较。它量化在两个面部—解压缩的和扫描的面部之间的相似度水平(即相关性)。

在370，认证器300报告组成部分360的结果。若相关性的量化水平超过一阈值，则报告该ID是可靠的。否则报告它是无效的。

或者，认证器能报告该ID是有效的，但提供附加的指示(如兰灯闪亮并快速蜂鸣)，指示此人应被扣留。她能是当局通辑的要人、怀疑的人、逃跑的人、罪犯等。

再一次，面部认证任务不涉及在生物测定的典型设置中的面部识别，而是将两个等价的面部结构相关的更为直接的任务。

若认证器300表明该ID是可靠的，则验证官员305放心地完成他们认证该ID上的人类可读数据(包括照片)对应于给出ID个人的典型职责。若认证器300表明该ID无效，则它给验证官员305合理的疑点以作进一步调查。ID上的数据可以被伪造，因此给出该ID的人是假冒者。ID上的数据能被破坏或简单地读出不正确。

面部概要(compedium)

ID100上的照片110中面部112的面部特征的数字表示被存储在条形码130中。若条形码阅读精度和空间的平衡允许，则整个未删节的照片能编码在条形码中。因为关键的辨别信息是在个人的面部找到的，则诸因素的平衡可允许表示面部的照片的未删节部分被编码在条形码中。

因为平衡的现实倾向于比充分表示照片中的未删节的面部要少得多的条形码中的数据存储，面部的数字图像110用示例性FACECERT来压缩。虽然面部的图像能使用传统的图像压缩技术(如JPEG、GIF等)来压缩，也能采用其它技术进一步降低存储要求，而同时维持面部的较好的表示。

用示例性FACECERT，条形码中的数字面部特征应是照片中面部的简洁但又合理地完整的表示。不象生物测定面部识别方法，数字面部特征数据不需要表示从多个角度和条件观看的个人的面部。

相反，FACECERT ID上的数字面部特征数据只需表示该特定照片上的特定面部。这是因为示例性FACECERT认证的是ID上照片的面部与由条形码中数字面部特征数据表示的面部相匹配。

因为数字面部特征数据的确是该特定照片中面部的简洁但又合理的完整表示，它可被称为“面部概要”。此面部概要在概要包含重构该面部图像的足够数据的意义上是“合理地完整”的。此外，概要是足够“合理地完整”，使得其中编码了足够的面部特征数据，以可能将所表示的面部与其它类似面部相区分。

当然，其它实现能采用编码更多或更少数据的条形码，但这里描述的一个实现采用约3000比特的条形码。这看来是多种因素的合理折衷，包括(但不限于)条形码的条形码阅读精度和空间。

为改善此折衷，示例性FACECERT采用一种压缩技术，它标识其感兴趣的对象(如面部结构)并压缩其特征，而不是使用如JPEG那样的标准图像压缩技术来压缩整个图像。

面部检测和压缩

计算机视觉业界在过去若干年已研究了面部各种模型。示例性FACECERT不需要编码面部图像以便于识别不同的图像中的人，而只要在从中提取面部码的同一照片中编码面部图像。因此，示例性FACECERT不需面对在典型的生物测定面部识别应用中出现的训练过度的困难问题。

相反，示例性FACECERT采用有效的面部特征压缩技术。虽然能采用广义的DCT系数，然而面部图像能使用从大的面部数据库中学到的子空间模型来更好地压缩。

子空间学习的问题能借助描述子空间座标或因子y和图像g的联合生成的再生模型，通过线性组合所谓的因素加载矩阵∧中的图像的各部分，来顺利地确定：

p(g，y)＝N(g；μ+Λy，Φ)N(y；0，I)                      (0.4)

其中，Φ构成非均匀图像噪声(即不在子空间模型中捕捉的可变性)。∧是用于从k维子空间扩展到全n-维空间的n×k矩阵，其中n是图像g中像素的数目。

参数∧、Φ、和μ能通过最大化一组图像g_t的似然率而得到，

$\log p\left(g_t\right)=\log \underset{t}{\∑}\underset{y_t}{\text{\∫}}p(g_t,y_t)---\left(0.5\right)$

且图像的较佳低维表示趋向于E[y|g]。

上述称为因素分析(FA)的概率模型也允许设计因素y的最优编码策略。结果，面部图像能用代表100个面部因素y的约85字节来有效地编码。

子空间模型能被扩展，考虑面部图像的可能变换，如平移、旋转和缩放。在此称为变换部分分析(TCA)的模型中，另外的随机变换变量T被应用到从y扩展的图像中，并观察到新的图像h：

p(h，g，y)＝N(h；Tg，ψ)N(g；μ+Ay，Φ)N(y；0，I)    (0.6)

那样的模型在一图像组训练时趋于自动地对齐所有图像，以创建很紧凑的子空间表示。在存在训练数据的变换可变性时，正规的子空间模型将趋于创建模糊的模型，而TCA创建清晰的各部分。

FACECERT认证

由示例性FACECERT完成的认证任务能看作模板匹配。在图像的视窗上的然性能用作替代模板差别的成本，即使直接相关技术也可起作用。

例如，为将似然性用作相似性测量，能取消息f，提取视窗大小和检测阈值thr，以及子空间参数y，对所有合适大小的视窗计算：

$\log (p\left(h\right|y)={\∫}_{T,g}p(h,g,T|y)---\left(0.7\right)$

若max_hlogp(h)＞thr，则ID照片包含编码在条形码中的面部。

若仅有的模型化的变换是移位，在变换T上积分是不必要的，因为搜索是在图中的所有视窗上完成的。此过程等价于在依赖于学到的噪声模型的Mahalanobis距离的意义上将μ+Ay与视窗h匹配。这些类型的计算如图像相关那样有效，并能使用快速傅立叶变换(FFT)很有效地完成。

在照片ID创建期间，在提供的照片中搜索面部，它有效地使用转换的部分分析器来修剪并压缩。面部编码以及压缩误差及视窗大小(或甚至位置)用私钥来签署。

然后创建FACECERT ID作为文本、照片和包含编码的面部的条形码的组合。在认证期间，解码条形码，使用公钥从条形码解码由因素y、似然性的阈值(或编码误差)和视窗大小组成的面部码，而条形码中的面部存储与FACECERT ID中实际照片之一进行比较。

扫描2D彩色条形码

当然，在读取2D彩色条形码时希望具有高的精度。现代的低成本扫描设备通常在RGB色彩谱中具有每像素48比特的精度。然而，在打印及随后扫描以后，难以精确地检索数字图像的彩色信息。

假设用低成本设备并打印材料，人们最多能希望，只有若干颜色通过此通信信道可靠地发送。假设n_B贮存块条形码β，不正确地扫描的似然性等于：

$\mathrm{Pr}[\mathrm{\β}\≠\mathrm{\γ}]=1-\underset{i=1}{\overset{n_B}{\mathrm{\Π}}}(1-\mathrm{Pr}[{\mathrm{\β}}_i\≠{\mathrm{\γ}}_i]\≤1-{(1-\mathrm{\ϵ})}^{n_B}---\left(0.8\right)$

其中，γ是扫描的n_B贮存块条形码，而ε是在不正确地扫描的条形码中使用的给定的颜色的最大似然性。这里描述的至少一个实现采用6种颜色的条形码

RGB：Γ＝[0，0，0]，[0，0，255]，[0，255，0]，[255，0，0]，[255，255，255]，[255，255，0]作为可靠的通信信道ε≤10^-8，它至少能满足Pr[β≠γ]≤10^-4的读误差概率。

通常，对给定的扫描仪类型(如CCD传感器矩阵品牌)，相对于Γ中的其它颜色，下列颜色[255，255，0]，[255，0，255]，[0，255，255]之一具有最高的读误差率。因此，对给定的CCD扫描设备类型，Γ谱是导致好的读误差率的那些颜色之一。

虽然通常好的性能可通过将Γ颜色打印在ID的已知位置，使扫描仪能精确调整来达到，但条形码阅读精度能通过误差检测(如奇偶校验)和误差校正码(如Reed-Solomon码)来改善。

示例性计算系统和环境

图5示出其中能实现这里描述的示例性FACECERT(全部或部分地)的合适的计算环境500的例子。计算环境500可用于这里描述的计算机和网络体系结构。

示例性计算环境500仅是计算环境的一个例子，不试图对于计算机和网络体系结构的使用范围或功能提出任何限制。不应把计算环境500解释成对于在示例计算环境500中示出的组件的任何一个或其组合具有任何依赖或需求。

示例性FaceCert可用许多其它通用计算系统环境或配置来实现。能适用的众知计算系统、环境、和/或配置的例子包括，但不限于，个人计算机、服务器计算机、瘦客户机(thin client)、厚客户机(thick client)、手持或膝上设备、多处理器系统、基于微处理器系统、机顶盒、可编程消费者电子设备、网络PC、小型机、大型机、包括上述系统或设备任一个分布式计算环境等。

示例性FaceCert能以诸如由计算机执行的程序模块那样的计算机可执行指令的一般上下文来描述。一般而言，程序模块包括例程、程序、对象、组件、数据结构等，它们完成特定任务或实现特定的抽象数据类型。示例性FaceCert也能在分布式计算环境中实现，在那里任务由通过通信网络连接的远程处理设备完成。在分布式计算环境中，程序模块能位于包括存储器设备的本地和远程计算机存储介质中。

计算环境500包括计算机502形式的通用计算设备。计算机502的组件能包括，但不限于，一个或多个处理器或处理单元504，系统存储器506，和将包括处理器504的各种系统组件耦合到系统存储器506的系统总线508。

系统总线508代表若干类型系统总线的任一种的一个或多个，包括存储器总线或存储控制器、外围总线、加速图形端口、以及使用各种总线体系结构的任一种的处理器或局部总线。作为例子，那样的体系结构能包括工业标准体系结构(ISA)总线、微通道体系结构(MCA)总线、增强的ISA(EISA)总线、视频电子标准技术协会(VESA)局部总线、以及也称为Mezzanine总线的外围部件互连(PCI)总线。

计算机502通常包括各种计算机可读介质。那样介质能是可由计算机502访问并包括易失和非易失、可移动和不可移动介质的任何可用介质。

系统存储器506包括以如随机存储器(RAM)那样的易失存储器、和/或如只读存储器(ROM)512那样非易失存储器形式的计算机可读介质。包含如在起动期间帮助计算机502诸元件之间传输信息的基本例程的基本输入/输出系统(BIOS)514存储在ROM512中。RAM510通常包含由处理单元504立即可访问和/或当前操作的数据和/或程序模块。

计算机502也能包括其它可移动/不可移动、易失/非易失计算机存储介质。例如，图5示出用于读写不可移动非易失的磁介质(未示出)的硬盘驱动器516、用于读写可移动非易失磁盘520(如“软盘”)的磁盘存储器518、用于读写如CD-ROM、DVD-ROM或其它光介质的可移动非易失光盘524的光盘驱动器522。硬盘驱动器516、磁盘驱动器518和光盘驱动器522每个都由一个或多个数据介质接口526连接到系统总线508。另外，硬盘驱动器516、磁盘驱动器518和光盘驱动器522通过一个或多个接口(未示出)连接到系统总线508。

盘驱动器和它们相关的计算机可读介质为计算机502提供计算机可读指令、数据结构、程序模块、和其它数据的非易失存储。虽然该例子示出硬盘516、可移动磁盘520和可移动光盘524，可以理解，也能利用可存储可由计算机访问的数据的其它类型计算机可读介质来实现示例性计算系统和环境，如磁带盒或其它磁存储设备、闪存卡、CD-ROM、数字多功能盘(DVD)或其它光存储器、随机存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)等。

任何数目的程序模块能存储在硬盘516、磁盘520、光盘524、ROM512和/或RAM510中，例如包括操作系统526、一个或多个应用程序528、其它程序模块530和程序数据532。

用户能经过如键盘534和定位设备536(如“鼠标”)那样的输入设备输入命令和信息到计算机502。其它输入设备538(未专门示出)能包括麦克风、操纵杆、游戏垫、圆盘式卫星天线、串行端口、扫描仪等。这些和其它输入设备经过耦合至系统总线508的输入/输出接口540连接到处理单元504，但能通过其它接口和总线结构连接，如并行端口、游戏端口或通用串行总线(USB)。

监视器542或其它类型的显示设备也能通过如视频适配器544那样的接口连接到系统总线508。除监视器542外，其它输出外围设备能包括如话筒(未示出)和打印机546等组件，它们可通过输入/输出接口540连接到计算机502。

计算机502能使用到如远程计算设备548那样的一台或多台远程计算机的逻辑连接，在网络环境中操作。例如，远程计算设备548能是个人计算机、便携计算机、服务器、路由器、网络计算机、对等设备或其它公共网络节点等。远程计算设备548示作包括这里相对于计算机502描述的许多或所有元件和特征的便携计算机。

在计算机502和远程计算机548之间的逻辑连接被描绘成局域网(LAN)550和普通广域网(WAN)552。那样的网络环境常见于办公室、企业范围计算机网络、内联网和因特网。

当在LAN网络环境中实现时，计算机502经过网络接口或适配器554连接到局域网550。当在WAN网络环境中实现时，计算机502通常包括调制解调器556或用于经广域网552建立通信的其它装置。内置或外接的调制解调器556可经过输入/输出接口540或其它合适机制连结到系统总线508。可以理解，示出的网络连接是示例性的，可采用在计算机502和548之间建立通信链路的其它装置。

在如用计算环境500示出的网络环境中，相对于计算机502画出的程序模块或其诸部分能存储在远程存储器设备中。例如，远程应用程序558驻留在远程计算机548的存储设备上。为说明起见，应用程序和诸如操作系统的其它可执行程序组件在这里示作离散的块，虽然认识到，那样的程序和组件在不同时刻驻留在计算设备502的不同的存储组件中，并由计算机的数据处理器执行。

计算机可执行指令

示例性FACECERT的实现能在诸如由一台或多台计算机或其它设备执行的程序模块那样的计算机可执行指令的一般上下文中描述。一般而言，程序模块包括例程、程序、对象、组件、数据结构等，它们完成特定任务或实现特定的抽象数据类型。通常，如在各种实施例中描述那样，程序模块的功能可以组合或分布。

示例性操作环境

图5示出其中能实现示例性FaceCert的合适的操作环境500的例子。具体说来，这里描述的示例性FaceCert能由图5示出的任何程序模块528-530和/或操作系统526或其一部分(全部或部分地)实现。

此操作环境仅是合适操作环境的例子，不试图对这里描述的示例性FaceCert的使用范围及功能提出任何限制。适合使用的其它众知的计算机系统、环境和/或配置包括，但不限于，个人计算机(PC)、服务器计算机、手持或膝上设备、多处理器系统、基于微处理器的系统、可编程消费者电子设备、无线电话和设备、通用和专用装置、专用集成电路(ASIC)、网络PC、小型机、大型机、包括上述系统或设备的任一种的分布式计算环境等。

计算机可读介质

示例性FaceCert的实现能存储在某种形式的计算机可读介质，或通过它发送。计算机可读介质能是计算机可访问的任何可用介质。例如，但不限于，计算机可读介质能包括“计算机存储介质”和“通信介质”。

“计算机存储介质”包括以任何方法或技术实现的易失和非易失、可移动和不可移动介质，用于存储如计算机可读指令、数据结构、程序模块、或其它数据等信息。计算机存储介质包括，但不限于，RAM、ROM、EEPROM、闪存或其它存储技术、CD-ROM、数字多功能盘(DVD)或其它光存储器、盒式磁带、磁带、磁盘存储器或其它磁存储设备、或任何其它能用于存储希望的信息并能由计算机访问的介质。

“通信介质”通常在如载波或其它传输机制的已调制数据信号中包容计算机可读指令、数据结构、程序模块、或其它数据。通信介质还包括任何信息传送介质。

术语“已调制数据信号”指的是以在信号中编码信息的方式设置或改变其一个或多个特征的信号。例如，但不限于，通信介质包括如有线网络或直线连接的有线介质，和如声音、RF、红外和其它无线介质的无线介质。上述的任何组合也包括在计算机可读介质的范围。

与现有方法的比较

示例性FACECERT不需要智能卡或昂贵的生物测定方法来认证个人的身份。它不依赖ID产品的复杂性，而通过减少假冒的似然性等来帮助认证个人的身份。

高级的制作

用容易得到并相对廉价的高质量高级制作设备，无耻的恶人能便宜且容易地制作令人佩服的假冒文档，包括个人ID。作为对策，发行部门(如政府)已使用越来越高级并预计是越来越昂贵的制作技术。

例如，发行部门正使用全息照相、水印、微印刷、专用打印纸和/或化学涂层等。因为ID的制作更复杂，认证相应地变得更复杂、更不可靠、且最重要的是变得更昂贵。

使用示例性FACECERT，这些发行部门能结束越来越昂贵和高级的制作技术和越来越复杂、不可靠和昂贵的认证技术的逐步升级的循环。与传统方法相反，示例性FACECERT不依赖于ID制作的复杂性来提高给出的ID不是假冒品的置信度水平。

FACECERT ID不需要由可信的或高端打印机打印。它不需要使用高级制作技术制作，来使得狡猾恶人更加困难和昂贵地制作假冒ID。

相反，FACECERT ID能在任何地方、任何时间、并可能由任何人使用基本、廉价的打印机来打印。这是因为示例性FACECERT依赖于条形码中用密码签署的数据，使得对手制作假冒的ID变得更困难和更昂贵；而不是依赖制作的复杂性。

例如，用了示例性FACECERT，摩托车辆管理部门能用电子邮件发驾驶执照ID(以数字格式)给客户，他能在自己的打印机上打印，想要多少就打印多少副本。不象传统的方法，丢失示例性FACECERT的ID对客户招致最小的代价。

生物测定方法

采用生物测定，计算机能使用人的辨别特点自动识别该人。已提出若干基于生物测定的个人标识方法。其中某些包括基于对人的面部、语言、指纹、手写体、和/或虹膜和视网膜等的辨别特点的自动识别的自动标识方法。

尽管某些类型的基于生物测定的个人标识(如视网膜扫描或指纹检测)是可靠的，但它们常常是令人生畏的(如视网膜扫描)，并能恶意地用于累及无辜的用户(如指纹扫描)。恶意的检测器能记录个人的指纹，创建其具体的副本，并随后随意地危害此人。这使得对大多数个人标识情况，指纹检测是极为不合需要的。

通常，基于生物测定的个人标识系统包括检验员，他确保标识系统不被愚弄。当对手向面部检测员示出被授权的人的面部的真实大小的照片，或向语音检测员播放语音记录时会发生被愚弄的情况。

最后，某些生物测定系统常常受到关于侵犯隐私的抱怨。例如，广泛散布的面部检测点能在任何时刻向对那样的系统获得控制的部门揭示一个人的位置。

对大多数应用，基于生物测定的方法通常被认为是不方便、昂贵、且最重要是不可靠的。

智能卡

采用基于智能卡的系统，必须显示个人的面部的数字存储的图像，使得检验员能确认存储在卡上的图像的面部对应于给出智能卡的人的面部。常用的显示器是LCD或其它平板显示器。

然而，示例性FACECERT不需要显示任何图像。相反，它采用光学扫描仪(如电荷耦合器件(CCD))来扫描照片、补充信息和条形码。检验员确认打印图像的面部对应于FACECERT ID提出者的面部。

中等质量的显示(如LCD)远比CCD扫描仪昂贵(直到5倍)。在一个估计中，批量生产的示例性FACECERT的认证器的扫描仪应不贵于15美元，这与智能卡认证器相反，后者仅对LCD显示器就包括至少50美元。因而，示例性FACECERT的认证基础结构的成本大大低于基于智能卡的方法的成本。

此外，个人ID经常丢失或损坏。替换FACECERT ID只涉及简单的重打印。然而，替换智能卡除了用合适的标识内容烧入此设备以外，还包括购买另外的硬件设备。

而且，存储在智能卡上的数据是不安全的。使用各种技术，能提取智能卡内的数据。更重要的是，它能用新数据替换。这降低了在智能卡的安全性方面的整体置信度水平。

由于它们相当丰富的存储能力，智能卡给出一印象，它们能用于存储附加信息，尤其是关于拥有者的私有信息(如若智能卡丢失被废除的私钥)。

结论

虽然本发明以针对结构特征和/或方法步骤的语言描述，可以理解，在所附权利要求书中确定的本发明不需要限于所描述的具体特征或步骤。相反，作为实现要求保护的发明的较佳形式来描述具体特征和步骤。

Claims (68)

1.一种方便密码上安全的个人标识的体系结构，其特征在于，所述体系结构包括：

一标识发行者，其被配置成对个人制作一个或多个个人标识文档(ID)，所述ID包括合理地辨别个人的个人辨别数据的第一和第二表示，所述第一表示是人类可读的，而所述第二表示是计算机可读且加密的；

一标识认证器，其被配置成判断ID的个人辨别数据的第一表示是否对应于同一ID的个人辨别数据的所解密的第二表示。

2.如权利要求1所述的体系结构，其特征在于，所述第一表示包括选自以下组的个人辨别数据：个人面部的一个或多个图像、个人名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

3.如权利要求1所述的体系结构，其特征在于，所述第二表示包括选自以下组的个人辨别数据：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点以及个人的联系信息。

4.如权利要求1所述的体系结构，其特征在于，所述第一表示的格式选自以下组：书写的人类语言文本、颜色编码、照片、书写的人类语言记号和映象。

5.如权利要求1所述的体系结构，其特征在于，所述第二表示的格式选自以下组：条形码、磁条和存储器存储设备。

6.如权利要求1所述的体系结构，其特征在于：

所述第一组个人辨别数据包括个人的图像，其中所述图像包括该个人的面部；

所述第二组个人辨别数据包括所述图像中的面部的面部概要。

7.一种具有计算机可执行指令的计算机可读介质，所述计算机可执行指令在由计算机执行时实现一方法，包括：

对一特定个人获取该个人的个人辨别数据，它合理将该个人区别于其他个人；

加密所述个人辨别数据；

制作包括个人数据的人类可读表示和加密的个人辨别数据的计算机可读表示的一个或多个个人标识文档(ID)。

8.如权利要求7所述的介质，其特征在于，制作包括在打印介质上打印。

9.如权利要求7所述的介质，其特征在于，所述方法还包括压缩所述个人辨别数据。

10.如权利要求7所述的介质，其特征在于，所述个人辨别数据包括该个人的面部的面部概要。

11.如权利要求7所述的介质，其特征在于，所述个人辨别数据包括从该个人的面部的图像导出的面部概要。

12.如权利要求7所述的介质，其特征在于，所述个人辨别数据包括关于该个人的信息，所述数据选自以下组：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

13.如权利要求7所述的介质，其特征在于，所述计算机可读和加密的表示选自以下组：一个或多个条形码、一个或多个磁条、以及一个或多个存储器存储设备。

14.一种个人标识文档(ID)发行系统，其特征在于，包括：

一被配置成制作个人ID的制作设备；

如权利要求7所述的介质。

15.一种用如权利要求7所述的介质的方法制作的个人ID，所述个人ID具有存储在其中的计算机可读数据结构，包括加密的个人辨别数据的计算机可读表示。

16.一种用于发行个人标识文档(ID)的方法，其特征在于，所述方法包括：

对特定个人生成合理地辨别个人的个人辨别数据的人类可读表示；

生成同一个人辨别数据的加密且计算机可读的表示；

制作包括所述同一个人辨别数据的人类可读表示和加密且计算可读表示的一个或多个个人ID。

17.如权利要求16所述的方法，其特征在于，制作包括在打印介质上打印。

18.如权利要求16所述的方法，其特征在于，生成所述加密且计算机可读的表示还包括压缩所述个人辨别数据。

19.如权利要求16所述的方法，其特征在于，所述个人辨别数据包括该个人面部的面部概要。

20.如权利要求16所述的方法，其特征在于，所述个人辨别数据包括从该个人面部的图像导出的面部概要。

21.如权利要求16所述的方法，其特征在于，所述个人辨别数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

22.如权利要求16所述的方法，其特征在于，所述计算机可读且加密的表示选自以下组：一个或多个条形码、一个或多个磁条、以及一个或多个存储器存储设备。

23.如权利要求16所述的方法，其特征在于：

所述人类可读表示包括该同一人的照片，其中，所述照片包括该同一人的面部；

所述计算机可读表示包括在所述照片中的面部的面部概要。

24.一种具有计算机可执行指令的计算机可读介质，所述计算机可读指令在由计算机执行时实现如权利要求16所述的方法。

25.一种包括一个或多个计算机可读介质的计算机，所述计算机可读介质具有计算机可执行指令，它们在由所述计算机执行时实现如权利要求16所述的方法。

26.一种由如权利要求16所述的方法制作的个人ID，所述个人ID具有存储在其上的计算机可读数据结构，包括加密的个人辨别数据的计算机可读表示。

27.一种个人标识文档(ID)发行系统，包括：

一图像获取设备，它被配置成获取个人面部图像；

一数据生成器，它被配置成对该个人生成合理地辨别个人的个人辨别数据；

一数据加密器，它被配置成加密所述个人辨别数据；

一ID制作器，它被配置成制作一个或多个个人标识文档(ID)，包括该个人的面部的图像的人类可读表示及加密的个人辨别数据的计算机可读表示。

28.如权利要求27所述的系统，其特征在于，所述ID制作器包括被配置成在打印介质上打印的打印机。

29.如权利要求27所述的系统，其特征在于，所述数据生成器还配置成压缩所述个人辨别数据。

30.如权利要求27所述的系统，其特征在于，所述个人辨别数据包括该个人面部的面部概要。

31.如权利要求27所述的系统，其特征在于，所述个人辨别数据包括从该个人面部的图像导出的面部概要。

32.如权利要求27所述的系统，其特征在于，所述个人辨别数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

33.如权利要求27所述的系统，其特征在于，所述计算机可读且加密的表示选自以下组：一个或多个条形码、一个或多个磁条、以及一个或多个存储器存储设备。

34.如权利要求27所述的系统，其特征在于：

所述人类可读表示包括该同一人的照片，其中，所述照片包括该同一人的面部；

所述计算机可读表示包括所述照片中的面部的面部概要。

35.一种由如权利要求27所述的系统制作的个人ID，所述个人ID具有存储在其上的计算机可读数据结构，包括加密的个人辨别数据的计算机可读表示。

36.一种个人ID，其特征在于，包括：

同样人类可读的第一计算机可读数据结构，所述第一数据结构包括：

·包含个人面部图像的第一数据字段；

·包含与该个人相关联的个人信息的第二数据字段；

第二计算机可读数据结构，包括：

·包含所述图像的面部的面部概要的第一数据字段；

·包含与该个人相关联的同一个人信息的第二数据字段；

·用于定界所述第二数据结构的末端的第三数据字段。

37.如权利要求36所述的个人ID，其特征在于，所述个人信息包括关于该个人的信息，该数据选自以下组：个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

38.如权利要求36所述的个人ID，其特征在于，所述第二数据结构是条形码。

39.一种具有计算机可执行指令的计算机可读介质，所述计算机可执行指令在由计算机执行时实现一方法，所述方法包括：

从个人标识文档(ID)的人类可读表示中获得第一组个人辨别数据；

从同一个人ID的计算机可读表示中获得第二组个人辨别数据；

比较所述第一和第二组个人辨别数据。

40.如权利要求39所述的介质，其特征在于，所述方法还包括基于所述比较指示结果。

41.如权利要求39所述的介质，其特征在于，所述第二组被加密，且所述方法还包括解密所述第二组。

42.如权利要求39所述的介质，其特征在于，所述第二组个人辨别数据包括该个人面部的面部概要。

43.如权利要求39所述的介质，其特征在于，所述第二组个人辨别数据包括从该个人的面部的图像导出的面部概要。

44.如权利要求39所述的介质，其特征在于，所述第一组个人辨别数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

45.如权利要求39所述的介质，其特征在于，所述第二组个人特征数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

46.如权利要求39所述的介质，其特征在于，所述计算机可读表示选自以下组：一个或多个条形码、一个或多个磁条、以及一个或多个存储器存储设备。

47.如权利要求39所述的介质，其特征在于：

所述第一组个人辨别数据包括同一个人的照片，其中，所述照片包括同一个人的面部；

所述第二组个人辨别数据包括所述照片中的面部的面部概要。

48.一种个人ID认证设备，包括：

一音频和/或视频输出单元；

如权利要求39所述的介质。

49.一种用于认证个人标识文档(ID)的方法，其特征在于，所述方法包括：

从个人标识文档(ID)的人类可读表示中获得第一组个人辨别数据；

从同一个人ID的计算机可读表示中获得第二组个人辨别数据；

比较所述第一和第二组个人辨别数据。

50.如权利要求49所述的方法，其特征在于，还包括基于所述比较指示结果。

51.如权利要求49所述的方法，其特征在于，获取所述第一组信息包括光学扫描。

52.如权利要求49所述的方法，其特征在于，获取所述第二组信息包括光学扫描。

53.如权利要求49所述的方法，其特征在于，所述第二组信息是加密的，且所述方法还包括解密所述第二组。

54.如权利要求49所述的方法，其特征在于，所述第二组个人辨别数据包括该个人面部的面部概要。

55.如权利要求49所述的方法，其特征在于，所述第二组个人辨别数据包括从该个人面部的图像导出的面部概要。

56.如权利要求49所述的方法，其特征在于，所述第一组个人辨别数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

57.如权利要求49所述的方法，其特征在于，所述第二组个人辨别数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

58.如权利要求49所述的方法，其特征在于，所述计算机可读表示选自以下组：一个或多个条形码、一个或多个磁条、以及一个或多个存储器存储设备。

59.如权利要求49所述的方法，其特征在于：

所述第一组个人辨别数据包括同一个人的照片，其中，所述照片包括同一个人的面部；

所述第二组个人辨别数据包括所述照片中的面部的面部概要。

60.一种包括一个或多个计算机可读介质的计算机，所述计算机可读介质具有计算机可执行指令，它们在由所述计算机执行时实现如权利要求49所述的方法。

61.一种个人标识文档(ID)认证系统，其特征在于，包括：

一光学扫描仪，它被配置成从个人标识文档(ID)的人类可读表示中获取第一组个人辨别数据，并从同一个人ID的计算机可读表示中获取第二组个人辨别数据；

一比较单元，它被配置成比较所述第一和第二组个人辨别数据；

一报告单元，它被配置成基于所述比较单元的比较指示结果。

62.如权利要求61所述的系统，其特征在于，所述第二组数据是加密的，所述系统还包括解密器，它被配置成解密所述第二组。

63.如权利要求61所述的系统，其特征在于，所述第二组个人辨别数据包括该个人面部的面部概要。

64.如权利要求61所述的系统，其特征在于，所述第二组个人辨别数据包括从该个人面部的图像导出的面部概要。

65.如权利要求61所述的系统，其特征在于，所述第一组个人辨别数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

66.如权利要求61所述的系统，其特征在于，所述第二组个人辨别数据包括关于该个人的信息，该数据选自以下组：个人面部的一个或多个图像、个人的视网膜扫描、个人的虹膜扫描、个人的名字、个人的社会保障号、个人的账号、个人的体重、个人的身高、个人的头发颜色、个人的眼睛颜色、个人的一个或多个指纹、关于个人的胎记的信息、关于个人的纹身的信息、个人的个人人文统计、该个人的一个或多个辨别特点、以及个人的联系信息。

67.如权利要求61所述的系统，其特征在于，所述计算机可读表示选自以下组：一个或多个条形码、一个或多个磁条、以及一个或多个存储器存储设备。

68.如权利要求61所述的系统，其特征在于：

所述第一组个人辨别数据包括同一个人的照片，其中，所述照片包括同一个人的面部；

所述第二组个人辨别数据包括所述照片中的面部的面部概要。

Images