CN1965350A - 用于用户验证的方法和对话系统 - Google Patents

Abstract

本发明涉及一种验证用户(N)的方法。在待要验证的用户(N)与对话系统(1；D)之间的对话中，由对话系统(1；D)进行多个安全询问。一个安全询问是从问题的多个预定类别的其中之一取得的，并且/或者对应于多个预定类型的问题的其中之一。用户(N)以语音形式向对话系统(1∶D)提供对安全询问的回答，并且用户(N)的回答被评估。根据评估的结果，用户(N)通过验证或者通不过验证。

Description

用于用户验证的方法和对话系统

本发明涉及一种用户验证的方法，以及一种对应的、特别是计算机支持的用于用户验证的对话系统。

过去几年中，数字电子学领域中的快速的技术发展，引起在生活中越来越多的方面对计算机支持的方法的越来越多的使用。计算机支持的过程例如在服务领域中已经变得不可或缺。当今，有可能从计算机支持的自动取款机取钱，在超市用EFT(电子资金转帐)终端付款购物，或者用自动取款机卡从自动售票机买票。类似地，已经建立了计算机支持的访问系统，其允许一个或多个用户对封闭的安全区的访问或者对受到特别保护的信息的访问。

这些方法都基于用户验证，即尤其是基于检查用户的身份或“真实性”。验证通常根据一种在要被验证的用户与一个对话系统之间的计算机支持的对话。在这种情形中，已知有多个对话过程。对话过程一般以用户识别询问开始。用户身份证明(identification)例如可以由登录名、银行账号、用户姓名或存储在芯片卡上的身份证明组成。这种身份证明常常是为较大范围的人所知晓的，它们向对话系统的输入常常是不隐瞒的。在第二个步骤中，对话系统通过一个安全询问向用户询问信息，这种信息对应于所输入的用户身份证明，并且只有该用户或者给定的授权范围的人才知道。这种信息常常由一个口令或秘密数字(PIN)构成，由用户以隐蔽的方式输入。

上述的在对话系统与待验证用户之间的对话过程，可以完全地或者部分地以声学或光学信息的输入或输出为基础。近来，已经建立了这样的对话系统，其具有一个显示器，用以邀请用户向对话系统输入其用户ID或插入其用户卡。通过键盘，用户输入其用户ID或者将其用户卡对话系统。在处理了所提供的用户ID或者从用户卡读取的身份证明之后，再次通过显示器邀请用户输入其PIN号码。在通过键盘输入PIN号之后，对话系统检查所输入的PIN号码是否与所提供的用户ID或者所读取的身份证明匹配。为此，在对话系统中为每个用户存储一个用户身份证明和PIN号码对。当所输入的PIN号码与所输入的用户ID或者所读取的身份证明匹配时，即当所输入的PIN号码与所输入的用户ID或者所读取的身份证明匹配时被作为一对而存储在对话系统中时，则该用户被认为通过验证，因此被授权访问给定信息，使用给定的服务，或者获得给定的产品或贵重物品。

已知验证方法的主要缺点是，对应的对话系统的操作不是特别用户友好的。其原因在于，通过键盘输入用户ID、或者向对话系统插入用户卡以及通过键盘输入PIN号码，都是耗费时间的，在商业领域尤其如此。例如在超市的结帐柜台用信用卡付款，相当程度地延误该过程。

为了以更舒适的方式实现验证方法，已经提出许多建议，将生物统计特征，诸如用户的声音、虹膜、脸型或指纹用于验证。迄今为止，生物统计验证方法尚未普及，这是因为，要实现这样的系统，需要很大的技术努力和财务成本，并且不能安全地保证避免错误的验证。

因此，本发明的一个目的是提供一种用于用户验证的方法和对话系统，以允许进行用户友好和安全的用户验证。

这个目的通过如权利要求1所定义的方法和如权利要求14所定义的对话系统实现。各从属权利要求中定义了本发明的有益的其它实施例。对应于方法权利要求的从属权利要求的系统权利要求的进一步的开发，也在本发明的范围之内。

按照本发明，该用户验证的方法因此基于在待要验证的用户与一个对话系统之间的对话。在对话中，由对话系统提供多个安全询问。一个安全询问是从多个预定类别的问题的其中之一取得的，并且/或者对应于多个预定类型的问题的其中之一。用户以语音形式给出的对安全询问的回答，被对话系统依据所涉及问题的相关问题类别和/或相关问题类型作出评估，根据评估的结果，用户被分类为“验证的用户”或“未经验证的用户”。

通过由用户以语音的形式提供对安全询问的回答，对用户来说就有可能以舒适的方式执行验证方法。键盘的使用不再是输入回答所必需的或者至少必需的。当验证方法完全避免使用键盘时，对话系统的实现就能不用键盘并且因此成本降低。

要是将传统的用于验证的对话系统与一个语音识别装置结合，以便允许通过语音来输入对安全询问的回答，那么将只有一个安全询问，该安全问题当然也就决定了唯一的问题类别和唯一的问题类型。这个安全问题就是：“您的PIN号码是什么”。然而，这样一个验证方法是不安全的，因为未经授权的第三方于是可能在自动取款机轻易地截获用户的PIN号码，以后用其来进行未经授权的访问。

按照本发明所实现的，是能由用户以语音的形式输入对安全询问的回答，然而收听对话的未经授权的第三方却不能从这个对话中获得足够的信息以供以后未经授权的用户验证，就是说，回答是不“泄密的”。按照本发明的方法基于对多个安全询问的回答，安全询问可以以各种方式取自一个按照问题类别划分和按照问题类型分类的问题库(pool)。这就提供了当对安全询问的回答也是以语音方式给出的情况下以安全的方式执行验证方法的可能性。

与安全询问仅仅取自一个问题类别或仅仅取自一个问题类型的授权(authorization)方法相比，通过在一个授权过程内进行取自不同问题类别或不同问题类型的安全询问，安全性得到显著的改善。

安全询问最好是以光学的方式完成，尤其是通过显示器或监视器；或者以可听的方式完成，例如通过戴在头上的受话器或用户耳中的耳机。这样，未经授权的第三人就不可能把截获到的回答赋予对他来说不可识别的安全询问，并在以后以未被授权的方式输入对一个安全询问的正确回答。

安全询问的数目可以是固定的，或者由对话系统随机选择。所需的安全询问的数目的选择，最好依赖其它值，诸如环境噪声、所需的安全级别或安全程度、或者是额外的验证方法的可靠性，例如一个所存储的赋予用户的生物统计样本与一个确定的生物统计样本之间的一致程度。

例如，就k个独立的二元安全询问(只有两个可能的回答)的输出而言，未经授权的人对所有安全询问的偶然正确的回答的概率是0.5^k。如果一个安全询问可能有多于两个地回答，则未经授权的错误验证的风险就能得到相应的减少。

最好采用一个或多个以下的问题类别：

—一个问题类别是这样确定的，即通过这个类别中的一个问题询问关于用户的个人信息。个人信息的例子是用户的生日、用户亲戚的生日、用户的名字、用户亲戚的名字、用户家庭宠物明、用户喜欢的颜色等等。

—一个问题类别是这样确定的，即通过这个类别中的一个问题询问只有用户和对话系统才知道的信息。例子是个人识别号码或者口令等等。

—一个问题类别是这样确定的，即通过这个类别中的一个问题询问关于对话系统的使用的信息。例子是关于何时和/或为什么用户上次使用该对话系统。

最好采用一个多个以下的问题类型：

—一个问题类型是这样确定的，即期望对这个类别中的一个问题回答“是”。这个类型的问题因此在给出“是”作为回答时被认为是正确的。这类问题的例子是，“你喜欢的颜色是黄色，是吗？”，“您最近访问本对话系统的时间是昨天，是吗？”

—一个问题类型是这样确定的，即期望对这个类别中的一个问题回答“否”。这类问题的例子是，“您妈妈的名字也是Sunny，是吗？”(妈妈的名字也叫Sally)，“您最近访问本对话系统的时间是昨天，是吗？”(最近访问本对话系统的时间实际上是前天)，“您的生日在十月，是吗？”(生日实际上在六月)。

—一个问题类型是这样确定的，即期望对这个类别中的一个问题回答一个一位数字。这类问题的例子是，“您个人识别号码的第三位是什么？”“您的邮政编码的第二位是什么？

—一个问题类型是这样确定的，即问题要探查对话系统知不知道给定信息。这种问题的一个例子是，“对话系统知道您喜欢的问题吗？”

验证方法不但基于回答安全询问，而且基于语音验证。为此，要确定用户的语音与在对话系统中存储的语音样本的一致程度。根据一致程度，将用户归类为验证的用户或者未经验证的用户。取决于按照一个任意预先确定的加权的本发明的实现，验证的结果可以依赖于对安全询问的回答以及依赖于该一致程度。验证结果的可靠性因此得到进一步提高。

环境噪声也可能影响验证结果。实际上，环境噪声越大，基于对安全询问的回答验证和基于用户的声音的验证就越不可靠。

对安全询问的回答，由一个语音识别方法来解释或评估。因此最好能把所确定的语音识别的程度(置信度)包括在验证结果中。事实上，语音识别的程度越低，基于对安全询问的回答验证就越不可靠。

系统最好期望用户对给定的安全询问给出错误的回答，其中，错误回答的询问遵循一个为用户所知晓的规则。由于只有授权用户才知道哪些问题是要故意地回答错误的，未经授权的第三人就更难以截获信息，以便以后以未经授权的方式去验证自身为用户。在预期对一个安全询问作错误回答的位置，对话系统最好执行一些能很容易被未经授权的第三人猜到的安全询问(即便他们听不到也看不见问题)，以便使未经授权的听者受到误导。

在一个特别优选的实施例中，以一个序列的形式输出多个安全询问，这些安全询问被相关的回答中断，预期对由它们在该序列内的位置定义的预定安全询问有一个错误回答。例如，可以将一个长度n的比特序列叠置在n个安全询问的一个序列上。该比特序列是只有对话系统和授权用户才知道的。该比特序列确定在哪些位置对话系统期望用户给出正确或错误回答。然后将这个知识包括在验证的结果中。例如，在进行三个安全询问时，这三个安全序列上叠置有比特序列1-0-1，用户知道对话系统期望对第二个安全询问的是一个错误回答，即当用户对第一个和第三个安全询问给出正确回答、对第二个安全询问给出错误回答时，认为该用户通过验证。与PIN号码类似，这样一个比特序列要保密，它可以分配给用户。然后，当对话系统期望正确回答是以及期望错误回答时，就不要求另外的规则。

或者，一个或多个预定的问题类别中的安全问题或者一个给定问题类型(只有用户和对话系统才知道)的安全询问，必须得到错误的回答，才能验证用户。

此外，为了额外的安全，可以使用简单的代码词代替“是/否”回答，这些代码词只有用户和系统才知道，例如用词“紫色”代替“是”，用词“红色”代替“否”。为此，最好选择对语音处理系统来说比词“是”和“否”能更容易和更确切理解的那些代码词。这些代码词可以时时变化，例如按规则的时间间隔或者在系统的每次使用之后变化。

从根本上讲，也可以使用不同规则或模式的任意组合。

本发明也涉及一种用于用户验证的对话系统，它包括：一个输出单元，用于输出多个安全询问，其中，从多个预定类别的问题的其中之一取得一个安全询问，并且/或者一个安全询问对应于多个预定类型的问题的其中之一；以及一个输入单元，用于输入用户的口头回答。一个语音识别单元解释所提供的回答。一个评估装置适于评估用户的回答，并且根据评估的结果，使用户通过验证或者通不过验证。

本发明的这些和其它方面，出现于以下描述的实施例并在这些实施例中得到阐释。

图1是一个对话系统的主要电路图；

图2是一个验证对话的流程图。

图1表示一个用于与用户进行验证对话的对话系统1。该对话系统可以集成在例如自动取款机(cashpoint)、个人电脑、移动电话、门/开门器(door opener)或超市现金柜台(cash register)中，也可以是连接到这些装置。

对话系统1有一个输出装置2，例如是显示器和/或耳机或扬声器，由其可以发出安全询问和操作指令。

响应输出装置2的输出，用户通过诸如麦克风的输入装置3，向对话系统1输入信息。

当用户要输入的信息是以语音形式输入的时，所输入的信息被安排在输入装置3之后的语音识别装置4进行解释。

被识别的词语连同语音识别程度一起，被传送到一个控制装置5。在本例中，控制装置5包含一个评估装置，用于评估由语音识别装置所识别的词语。例如，要检查所识别词语，看其是否与已经确定的用户身份证明相匹配。为此，控制装置5可访问一个存储装置6，在后者中存储着对话系统1所知道的所有用户的用户身份证明、赋予用户的秘密或个人信息(例如口令、PIN号码、喜欢的颜色或生日等等)、以及相关联的安全询问。

控制装置5例如可以完全地或者部分地由一个程序—技术上合适的处理器实现。控制装置5不但用于评估所识别的用户输入，而且用于控制对话系统1的基本单元，因此也控制对话进程，尤其也控制安全询问输出。

对话系统1当然也包括在这种计算机支持的对话系统中传统上包含的所有其他部件，诸如机壳、电源、电缆和数据线，等等。

图2举例表示在用户N(左边)和如上文所述的对话系统D(右边)之间用于验证用户N的对话过程。

用户N与对话系统D之间的接口由上文所述的输入装置和输出装置构成。在本例中，对话系统D要通过显示器以光学方式输出安全询问和操作指令，用户要通过麦克风以语音形式输入其用户输入。然而，本发明显然并不限于这些通信方式。例如，对话系统的输出也可以替代或者补充地由合成语音形式的声学方式的输出来实现。用户输入也可以额外地通过键盘来实现。也有可能例如通过一个带PIN号码的用户卡来启动对话，此时用户N将用户卡插入对话系统1的一个适当的读卡装置中。

一旦一个运动传感器向对话系统D发出有用户N在附近的信号时，图2所示的方法就自动开始。对话系统D于是在该方法的步骤11中通过显示器发出操作指令“请报出您的用户名”。

用户N随后在步骤12报出用户名“用户”。在步骤13，所提供的语音序列通过语音识别方法进行解释，并且对应于已经确定的一个语音识别程度的名字“用户”也被识别。该名字“用户”被作为用户身份证明传送到控制装置。此外，所确定的语音识别程度也被传送到控制装置。

作为语音识别的副产品，语音识别装置在步骤14中确定该语音序列的声音样本，并且也将其传送到控制装置。

在步骤15，将该语音识别程度与一个预定的语音识别阈值比较。当该语音识别程度低于语音识别阈值，该方法终止，并在步骤11重新开始。用户未能得到充分可靠的确定。

在步骤16，检查在存储装置中存储的并且赋予所确定的用户身份证明的声音样本与所确定的声音样本究竟一致到什么程度。如果一致程度低于一个预定的一致阈值，该过程终止，并在步骤11重新开始。语音序列输入的声音与通过用户名字而确定的用户的声音的差异太大了。

根据一致程度，确定要由用户回答的安全询问的数目。一致程度越高，安全询问的数目越低。

在本例中，一致程度已经很高，从而对于一个充分安全的验证，只需要三个安全询问的输出。

在步骤17，进行第一个安全询问。该安全询问是偶然地或者按照预定的样本从以下三个类别的其中之一获取的：

—通过询问关于用户N的个人信息的问题；

—通过询问只有用户N和对话系统D才知道的信息的问题；

—通过询问关于对话系统D的使用的信息的问题。

此外，该问题对应于以下三种类型的其中之一：

—预期的回答为一位数字的问题；

—预期的回答为“是”的问题；

—预期的回答为“否”的问题。

本例中，通过第一个安全询问所要询问的是关于用户N的个人问题，预期的回答为“是”。第一个安全询问所问的问题是“您喜欢的颜色是黄色，是吗？”

在步骤18，用户回答“是”。

在步骤19，进行第二个安全询问。该安全询问是偶然地或者按照预定的样本从上述三个类别的其中之一获取的并对应于上述三个类型的其中之一。在本例中，第二个安全询问要询问只有用户N和对话系统D才知道的信息，并且预期的回答为一个一位数字。第二个安全询问所问的问题是“您的PIN号码的第三位是什么？”

在步骤20，用户回答“7”。

在步骤21，进行第三个安全询问。该安全询问是起源于上述三个类别的其中之一并对应于上述三个问题类型的其中之一。例如，通过第三个安全询问要再次询问关于用户N的个人信息，并且预期的回答为“否”。第三个安全询问所问的问题是“您妈妈的名字叫Inge，是吗？”

在步骤22，用户回答“否”，因为他妈妈的名字时Andrea。

被语音识别装置解释的每个回答都被赋予一个表征识别的可靠性的语音识别程度，并被传送到控制装置。在本发明的一个优选变体中，被语音识别装置解释的每个回答被替代或补充地赋予一个语音识别程度的一致程度，它描述所输入的语音序列的声音样本与所存储的赋予该用户身份证明的声音样本之间一致的程度。

在用户的最后一个回答之后，控制装置，尤其是评估装置，在步骤23确定该用户究竟是验证的A还是没有验证的AN。依正确回答的数目而定，评估的结果可以取决于所输入的语音序列的声音样本与所存储的赋予该用户身份证明的声音样本之间一致的程度，以及/或者语音识别的程度。这样，大的正确回答的数目、高的一致程度和高的语音识别程度，与小的正确回答的数目、低的一致程度和低的语音识别程度相比，将会更导致肯定性验证结果。例如，低的一致程度或低的语音识别程度，当然要由一个大的正确回答的数目来补偿。

在否定性验证结果的情况下，即如果用户通不过验证，则过程终止，然后可能重新开始例如三次。

按照本发明的一个优选变体，在对话过程中，可以选择改变安全询问的数目，以适应评估的结果。例如，有可能将安全询问一直进行到验证的结果为肯定性的为止，最多达20个安全询问。

最后要指出的是，各附图和对所述系统和方法的说明，仅仅涉及实施例，所属技术领域的熟练人员在不偏离本发明范围的情况下可以改变这些实施例。例如，在上述实施例中，用户与对话系统之间的接口是由本地显示器和本地麦克风实现的。然而，这个接口也可以基于远程的数据连接，例如因特网连接，其中用户通过其工作场所的计算机上的显示器和麦克风与对话系统通信，而对话系统是远离用户的，例如是通信网络的一个中央单元。

为了完整，要指出的是，数词“一个”的使用，并不排除多个元素或步骤。

Claims (14)

1.一种验证用户(N)的方法，其中

在待要验证的用户(N)与对话系统(1；D)之间进行对话；

由对话系统(1；D)执行多个安全询问，其中，从多个预定类别的问题的其中之一取得一个安全询问，并且/或者一个安全询问对应于多个预定类型的问题的其中之一；

用户(N)以语音形式向对话系统(1：D)提供对安全询问的回答；

用户(N)的回答被评估；和

根据评估的结果，用户(N)通过验证或者通不过验证。

2.如权利要求1所要求的方法，其中，确定问题的一个类别，通过所述类别中的一个问题来询问关于用户(N)的个人信息。

3.如前述权利要求的任何之一所要求的方法，其中，确定问题的一个类别，通过所述类别中的一个问题来询问只有用户(N)和对话系统(1；D)知道的信息。

4.如前述权利要求的任何之一所要求的方法，其中，确定问题的一个类别，通过所述类别中的一个问题来询问关于对话系统(1；D)的使用的信息。

5.如前述权利要求的任何之一所要求的方法，其中，确定问题的一个类型，预期对所述类型的问题的回答为“是”。

6.如前述权利要求的任何之一所要求的方法，其中，确定问题的一个类型，预期对所述类型的问题的回答为“否”。

7.如前述权利要求的任何之一所要求的方法，其中，确定问题的一个类型，预期对所述类型的问题的回答为一个一位数。

8.如前述权利要求的任何之一所要求的方法，其中，确定用户(N)的声音与在对话系统(1；D)中存储的声音样本的一致程度，并且根据所述一致程度，用户(N)通过验证或者通不过验证。

9.如权利要求8所要求的方法，其中，根据所述一致程度，自动确定安全询问输出的数目。

10.如前述权利要求的任何之一所要求的方法，其中，根据确定的环境噪声，用户(N)通过验证或者通不过验证。

11.如前述权利要求的任何之一所要求的方法，其中，通过一种语音识别方法来解释对安全询问的回答，并且根据由所述方法确定的语音识别的程度，用户(N)通过验证或者通不过验证。

12.如前述权利要求的任何之一所要求的方法，其中，预期用户对给定的安全询问给出错误回答。

13.如权利要求12所要求的方法，其中，由对话系统(1：D)输出一系列的安全询问，并且预期对由它们在该系列内的位置所规定的预定安全询问给出错误的回答。

14.一种用于验证用户(N)的对话系统(1；D)，包含：

-输出单元(2)，用于输出多个安全询问，其中，从多个预定类别的问题的其中之一取得一个安全询问，并且/或者一个安全询问对应于问题的多个预定类型的其中之一；

-输入单元(3)，用于输入用户的口头回答；

-语音识别单元(4)，用于解释所提供的回答；和

-评估装置(4)，其适于

-评估用户(N)所解释的回答，并且

-根据评估的结果，使用户(N)通过验证或者通不过验证。

Images