TWI646474B - 用於身分核實系統中的造假生物特徵過濾裝置 - Google Patents

Abstract

本發明提出一種造假生物特徵過濾裝置，包含：生物特徵掃描電路，用於進行複數次生物特徵掃描運作；控制電路，用於獲取複數個受檢用戶生物特徵與產生相應的複數筆受檢用戶動作紀錄，並計算前後兩個受檢用戶生物特徵間的輸入時間間隔以產生相應的受檢用戶時距紀錄；以及安全電路，用於將該複數個受檢用戶生物特徵分別與複數個適格用戶生物特徵進行比對、將該複數筆受檢用戶動作紀錄分別與複數筆適格用戶動作紀錄進行比對、以及將該受檢用戶時距紀錄與適格用戶時距紀錄進行比對。

Description

用於身分核實系統中的造假生物特徵過濾裝置

本發明有關身分核實技術，尤指一種用於身分核實系統中的造假生物特徵過濾裝置。

為了防止身分盜用(identity theft)的情況發生，有許多身分核實系統會利用用戶的指紋或虹膜等生物特徵做為身分核實時的比對依據，以提升身分核實的正確性與不可否認性。

然而，越來越多案例顯示有心人士可以透過精巧的成像技術手段，從其他用戶的身邊竊取用戶的指紋或虹膜等生物特徵。因此，單純比對用戶生物特徵的傳統身分核實方式，已經難以有效驗證用戶身分的真實性。

有鑑於此，如何提升核實用戶身分真實性的準確度以有效降低用戶身分被盜用的可能性，實為有待解決的技術問題。

本說明書提供一種用於一身分核實系統中的造假生物特徵過濾裝置的實施例，其包含：一通信電路，設置成與身分核實系統中的一主控裝置進行資料通信；一生物特徵掃描電路，設置成進行複數次生物特徵掃描運作；一控制電路，耦接於該通信電路與該生物特徵掃描電路，設置成依據該生物特徵掃描電路的掃描結果獲取複數個受檢用戶生物特徵與產生相應的複數筆受檢用戶動作紀錄，並計算前後兩個受檢用戶生物特徵的輸入時間間隔以產生相應的一筆或一筆 以上的受檢用戶時距紀錄；以及一安全電路，耦接於該控制電路，且包含一安全記憶體，用於儲存一金鑰、複數個適格用戶生物特徵、複數筆適格用戶動作紀錄、以及一筆或一筆以上的適格用戶時距紀錄，該安全電路設置成將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對、將該複數筆受檢用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對、以及將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆以上的適格用戶時距紀錄進行比對。

本說明書另提供一種用於一身分核實系統中的造假生物特徵過濾裝置的實施例，其包含：一通信電路，設置成與身分核實系統中的一主控裝置進行資料通信；一生物特徵掃描電路，設置成進行複數次生物特徵掃描運作；以及一控制電路，耦接於該通信電路與該生物特徵掃描電路，設置成依據該生物特徵掃描電路的掃描結果獲取複數個受檢用戶生物特徵與產生相應的複數筆受檢用戶動作紀錄，並計算前後兩個受檢用戶生物特徵的輸入時間間隔以產生相應的一筆或一筆以上的受檢用戶時距紀錄，且該控制電路包含一非揮發性記憶體，用於儲存複數個適格用戶生物特徵、複數筆適格用戶動作紀錄、以及一筆或一筆以上的適格用戶時距紀錄；其中，該控制電路還設置成將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對、將該複數筆受檢用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對、以及將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆以上的適格用戶時距紀錄進行比對。

上述實施例的優點之一，是造假生物特徵過濾裝置不只會比對受檢用戶的生物特徵，還會比對受檢用戶在生物特徵掃描過程中的動作紀錄等相關行為特徵，所以能夠大幅提升核實用戶身分真實性的準確度。

上述實施例的另一優點，是可有效降低有心人士或惡意程式趁機盜 用他人身分的可能性，進而改善各種應用環境中的資訊安全。

上述實施例的另一優點，是能夠確保用戶在進行各種系統登入、資料存取、安全驗證、金融交易等操作時的身分不可否認性，有助於減少相關糾紛的產生。

本發明的其他優點將搭配以下的說明和圖式進行更詳細的解說。

100‧‧‧身分核實系統(identity authentication system)

102‧‧‧造假生物特徵過濾裝置(forged-physiological-characteristic filtering device)

104‧‧‧主控裝置(host device)

110‧‧‧通信電路(communication circuit)

120‧‧‧生物特徵掃描電路(physiological characteristic scanning circuit)

130‧‧‧提示電路(prompt circuit)

140‧‧‧控制電路(control circuit)

142‧‧‧非揮發性記憶體(nonvolatile memory)

150‧‧‧安全電路(secure circuit)

152‧‧‧安全記憶體(secured memory)

圖1為本發明一實施例的身分核實系統簡化後的功能方塊圖。

圖2為本發明一實施例的生物特徵錄製方法簡化後的流程圖。

圖3為本發明一實施例的身分核實方法簡化後的流程圖。

圖4為本發明另一實施例的身分核實系統簡化後的功能方塊圖。

圖5為本發明另一實施例的生物特徵錄製方法簡化後的流程圖。

圖6為本發明另一實施例的身分核實方法簡化後的流程圖。

以下將配合相關圖式來說明本發明的實施例。在圖式中，相同的標號表示相同或類似的元件或方法流程。

圖1為本發明第一實施例的身分核實系統100簡化後的功能方塊圖。身分核實系統100包含一造假生物特徵過濾裝置102與一主控裝置104。造假生物特徵過濾裝置102可因應主控裝置104之請求或運作需要，比對用戶的生物特徵(physiological characteristic)以及比對與用戶在生物特徵掃描過程中的動作相關的紀錄，來驗證用戶的身分真實性，避免身分盜用情況發生。

在圖1的實施例中，造假生物特徵過濾裝置102包含有一通信電路110、一生物特徵掃描電路120、一提示電路130、一控制電路140、以及一安全電路150。

在造假生物特徵過濾裝置102中，通信電路110用於與主控裝置104進行各種資料通信。通信電路110與主控裝置104之間的資料通信可用各種合適的有線傳輸或無線傳輸手段來實現。換句話說，造假生 物特徵過濾裝置102與主控裝置104兩者在運作時可位於同一地點，也可分別位在不同的地理區域。

生物特徵掃描電路120用於依據用戶的操作進行複數次生物特徵掃描運作。提示電路130設置成依據控制電路140的指示，提示用戶按照相關的順序和/或節奏，提供生物特徵掃描電路120進行複數次生物特徵掃描運作所需的一個或多個生物特徵。

控制電路140耦接於通信電路110、生物特徵掃描電路120、與提示電路130。控制電路140設置成依據生物特徵掃描電路120的掃描結果獲取複數個受檢用戶生物特徵(unverified-user physiological characteristic)，產生分別與該複數個受檢用戶生物特徵相應的複數筆受檢用戶動作紀錄(unverified-user motion record)，並計算前後兩個受檢用戶生物特徵的輸入時間間隔以產生相應的一筆或一筆以上的受檢用戶時距紀錄(unverified-user time interval record)。 控制電路140包含一非揮發性記憶體142，用於儲存控制造假生物特徵過濾裝置102運作所需的程式碼或其他重要資料。

安全電路150耦接於控制電路140，且包含一安全記憶體152，用於儲存適格用戶(valid user)的機敏性資料，並可確保這些機敏性資料不會被輕易竄改。例如，本實施例中的安全記憶體152用於儲存適格用戶的金鑰、複數個適格用戶生物特徵(valid-user physiological characteristic)、複數筆適格用戶動作紀錄(valid-user motion record)、以及一筆或一筆以上的適格用戶時距紀錄(valid-user time interval record)。安全電路150設置成將複數個受檢用戶生物特徵分別與前述的複數個適格用戶生物特徵進行比對、將複數筆受檢用戶動作紀錄分別與前述的複數筆適格用戶動作紀錄進行比對、以及將受檢用戶時距紀錄分別與前述的適格用戶時距紀錄進行比對，並依據比對的結果決定後續的運作方式。

在安全電路150與控制電路140之間可設置一專用的安全資料通道 (secured data channel)，以供彼此之間進行具機密性或敏感性的資料傳輸動作。

在說明書及申請專利範圍中所指稱的「生物特徵」一詞，指的是可供識別特定用戶身分的各種獨特生理特徵，例如，指紋(fingerprint)、掌紋(palm print)、手形(hand geometry)、虹膜(iris)、視網膜(retina)、顏面外觀(face)、耳形(ear shape)、或血管分佈(vein)等等。前述控制電路140產生的生物特徵或安全電路150中儲存的適格用戶生物特徵，都可用各種相應的電位差紀錄、熱熵紀錄、灰階影像、多色階影像、彩色影像、或肉眼不可見的特殊光譜影像等形式來呈現，也可用前述的電位差紀錄、熱熵紀錄、或各種影像資料經過各種已知的特徵演算法運算後所產生的數位資料的形式來呈現。

實作上，通信電路110可用各種有線傳輸電路、無線通信電路、或是同時整合前述兩種通信機制的混合電路來實現。生物特徵掃描電路120可用能夠偵測前述生物特徵並產生相應掃描結果的各種感測器來實現，例如，指紋掃描器、掌紋掃描器、手形辨識器、虹膜掃描器、視網膜掃描器、數位相機、靜脈識別儀等等。提示電路130可用能顯示文字、圖像、影像的各種顯示裝置來實現、可用能播放語音或音樂的各種音訊播放裝置、也可用同時整合影像及音訊播放功能的各種影音播放裝置來實現。控制電路140可用具有運算能力、指令解譯能力的各種可編程(programmable)處理器來實現。安全電路150可用具備密碼演算法運算能力、金鑰產生及運算能力、電子簽章演算法運算能力、以及可儲存具機密性或敏感性資料的各種處理器或控制器來實現。例如，安全電路150可用通過國際資料安全規範認證的各種安全微處理器(secure micro-controller)、安全晶片(secure chip)、智慧卡(smart card)、硬體安全模組(hardware secure module，HSM)等等來實現，以確保儲存在安全 記憶體152中的相關金鑰及機敏性資料不會被輕易竄改。

前述身分核實系統100中的不同功能方塊可分別用不同的電路來實現，也可整合在一單一電路或硬體裝置中。例如，可將造假生物特徵過濾裝置102中的通信電路110、生物特徵掃描電路120、提示電路130、控制電路140、與安全電路150整合在獨立於主控裝置104之外的同一硬體裝置中。或者，也可將造假生物特徵過濾裝置102與主控裝置104整合到同一硬體裝置中。

另外，前述造假生物特徵過濾裝置102與主控裝置104的實施方式，也可依據身分核實系統100的實際應用領域不同而做適應性變化。

例如，在身分核實系統100應用在需要連接網路進行各項網路交易操作、或是需要對檔案即時進行解密才能開啟檔案的環境中，主控裝置104可用桌上型電腦、筆記型電腦、平板電腦、手機、或是其他具備連接網路能力的裝置來實現，造假生物特徵過濾裝置102則可用能夠與前述裝置相容的外接式輸入裝置的形式來實現。

又例如，在身分核實系統100應用於智慧門鎖的環境中，造假生物特徵過濾裝置102可用安全鑰匙的形式實現，而主控裝置104則可用安裝於門板中且能夠跟前述安全鑰匙搭配運作的門鎖控制電路來實現。

又例如，在身分核實系統100應用於智慧保險箱的環境中，造假生物特徵過濾裝置102可用智慧保險箱的輸入裝置的形式實現，而主控裝置104則可用安裝於智慧保險箱內且能夠跟前述輸入裝置搭配運作的鎖具控制電路來實現。

又例如，在身分核實系統100應用於自動提款機(ATM)的環境中，造假生物特徵過濾裝置102可用自動提款機的控制面板的形式實現，而主控裝置104則可用自動提款機內部的控制電腦來實現。

在利用身分核實系統100進行身分核實運作之前，要先將適格用戶的生物特徵錄製到安全電路150中。

在本實施例中，提示電路130可在錄製適格用戶的生物特徵前、或是在錄製生物特徵的整個過程中的適當時間點，依據控制電路140的指示發出提示信息，引導適格用戶在生物特徵的錄製過程中進行相關的動作。

例如，提示電路130可顯示預定的文字、顯示預定的圖像、顯示預定的影像、播放預定的語音、或是播放預定的音樂，以提示適格用戶按照某種特定順序和/或節奏(cadence)，提供生物特徵掃描電路120進行複數次生物特徵掃描運作所需的一個或多個生物特徵。 另外，在錄製適格用戶的生物特徵前、或是在錄製生物特徵的整個過程中的適當時間點，提示電路130還可以發出相關的提示信息，提示適格用戶可選擇性地(optionally)在一次或多次掃描運作中，移動或轉動當時正在被掃描的特定生物特徵。

適格用戶可按照提示電路130的提示信息，將自己的某個特定生物特徵(以下稱之為適格用戶生物特徵)與生物特徵掃描電路120進行接觸或是對準生物特徵掃描電路120的掃描區域，以供生物特徵掃描電路120對該特定生物特進行掃描。

例如，在生物特徵掃描電路120是指紋掃描器的實施例中，適格用戶可將某個特定手指放在生物特徵掃描電路120的掃描區上。

又例如，在生物特徵掃描電路120是掌紋掃描器或手形辨識器的實施例中，適格用戶可將某個特定手掌放在生物特徵掃描電路120的掃描區上。

又例如，在生物特徵掃描電路120是虹膜掃描器或視網膜掃描器的實施例中，適格用戶可將某個特定眼睛對準生物特徵掃描電路120的影像感測元件。

又例如，在生物特徵掃描電路120是數位相機的實施例中，適格用戶可將臉部或某個特定耳朵對準生物特徵掃描電路120的光學感測元件。

在一實施例中，提示電路130可提示適格用戶按照提示電路130指定的順序、或是按照用戶自己決定的順序，依序提供多個不完全相同的生物特徵讓生物特徵掃描電路120進行掃描。

例如，提示電路130可提示適格用戶依序提供右手拇指、左手中指、與右手食指讓生物特徵掃描電路120進行三次指紋掃描。又例如，提示電路130可提示適格用戶依序提供左手食指、右手小指、左手食指、與右手中指讓生物特徵掃描電路120進行四次指紋掃描。又例如，提示電路130可提示適格用戶按照用戶自己決定的順序提供兩個以上的手指讓生物特徵掃描電路120進行兩次以上的指紋掃描。 又例如，提示電路130可提示適格用戶依序提供左眼、右眼、與左眼讓生物特徵掃描電路120進行三次虹膜掃描。又例如，提示電路130可提示適格用戶按照用戶自己決定的順序提供相關的眼睛讓生物特徵掃描電路120進行兩次以上的虹膜掃描。

在另一實施例中，提示電路130可提示適格用戶按照提示電路130指定的節奏、或是用戶自己決定的節奏，將提示電路130指定的同一個特定生物特徵或是用戶自己選擇的同一個特定生物特徵，在多個時間點重複提供給生物特徵掃描電路120進行掃描。

例如，提示電路130可提示適格用戶按照提示電路130指定的時間間隔(或是按照用戶自己決定的時間間隔)，將提示電路130指定的(或是用戶自己選擇的)某個特定手指(例如，右手無名指、左手食指、或右手拇指等等)，在多個對應時間點重複提供給生物特徵掃描電路120進行指紋掃描。又例如，提示電路130可播放提示電路130指定的音樂(或是按照用戶自己選擇的音樂)，並提示適格用戶將提示電路130指定的(或是用戶自己選擇的)某個特定手指，在音樂中的多個特定的節拍點(beat)重複提供給生物特徵掃描電路120進行指紋掃描。

在另一實施例中，提示電路130可提示適格用戶按照提示電路130指 定的節奏及順序、或是用戶自己決定的節奏及順序，分別在多個時間點提供多個生物特徵讓生物特徵掃描電路120進行掃描。前述的多個生物特徵可以是完全不同的多個生物特徵，也可以是由部分相同、部分不同的多個生物特徵形成的組合。

例如，提示電路130可提示適格用戶按照提示電路130指定的時間間隔(或是按照用戶自己決定的時間間隔)，將提示電路130指定的(或是用戶自己選擇的)多個手指，依序在多個對應時間點提供給生物特徵掃描電路120進行指紋掃描。又例如，提示電路130可播放提示電路130指定的音樂(或是按照用戶自己選擇的音樂)，並提示適格用戶將提示電路130指定的(或是用戶自己選擇的)多個手指，依序在音樂中的多個特定的節拍點提供給生物特徵掃描電路120進行指紋掃描。

如前所述，提示電路130還可以發出相關的提示信息，提示適格用戶可選擇性地(optionally)在一次或多次掃描運作中，移動或轉動當時正在被掃描的生物特徵。

例如，提示電路130可提示適格用戶在提示電路130指定的(或是用戶自己選擇的)某一次掃描運作中，按照提示電路130指定的(或是用戶自己選擇的)移動方向、移動速度、移動距離、和/或移動歷程，在保持生物特徵不會脫離生物特徵掃描電路120的感測範圍的情況下，移動當時正在被掃描的生物特徵。

又例如，提示電路130可提示適格用戶在提示電路130指定的(或是用戶自己選擇的)某一次掃描運作中，按照提示電路130指定的(或是用戶自己選擇的)旋轉方向、旋轉速度、旋轉角度、和/或旋轉歷程，在保持生物特徵不會脫離生物特徵掃描電路120的感測範圍的情況下，轉動當時正在被掃描的生物特徵。

實作上，適格用戶可以選擇在生物特徵掃描電路120的每一次掃描運作中都移動或轉動當時正在被掃描的生物特徵，可以選擇只在生 物特徵掃描電路120的某幾次掃描運作中才移動或轉動當時正在被掃描的生物特徵，也可以選擇在生物特徵掃描電路120的每一次掃描運作中都不移動也不轉動當時正在被掃描的生物特徵。

以下將搭配圖2來說明將適格用戶的生物特徵錄製到安全電路150中的運作方式。圖2為本發明一實施例的生物特徵錄製方法簡化後的流程圖。

在圖2的流程圖中，位於一特定裝置所屬欄位中的流程，即代表由特定裝置所進行的流程。例如，標記在「生物特徵掃描電路」欄位中的部分，是由生物特徵掃描電路120所進行的流程；標記在「控制電路」欄位中的部分，是由控制電路140所進行的流程；標記在「安全電路」欄位中的部分，是由安全電路150所進行的流程。前述的邏輯也適用到後續的其他流程圖中。

在流程202中，生物特徵掃描電路120會掃描適格用戶當時提供的生物特徵(以下稱之為適格用戶生物特徵)，並將掃描結果以各種格式的感測信號、電位差資料、或熱熵資料等形式即時傳送給控制電路140。

在生物特徵掃描電路120的每次掃描運作(each scanning course)中，控制電路140會同時進行流程204，依據生物特徵掃描電路120傳來的掃描結果獲取適格用戶生物特徵。在運作時，控制電路140可採用各種已知的方式，從生物特徵掃描電路120傳來的掃描結果中辨識出適格用戶生物特徵，並將所獲取的適格用戶生物特徵透過前述的安全資料通道傳送給安全電路150。

請注意，在說明書及申請專利範圍中所指稱生物特徵掃描電路120的「每次掃描運作」所對應的時間區段，指的是從生物特徵掃描電路120偵測到某個生物特徵出現開始，一直到該生物特徵脫離生物特徵掃描電路120的感測範圍為止的這段時間。在生物特徵掃描電路120的每次掃描運作中，生物特徵掃描電路120可持續對該生物特 徵進行多次掃描，以監測該生物特徵是否仍位在感測範圍內。

例如，在生物特徵掃描電路120是以接觸式掃描器(例如，指紋掃描器、掌紋掃描器、或手形辨識器等等)實現的實施例中，生物特徵掃描電路120的每次掃描運作所對應的時間區段，指的是用戶將特定生物特徵(例如，指紋、掌紋等)保持按壓在生物特徵掃描電路120的掃描區上的這段時間。一旦用戶將該特定生物特徵從生物特徵掃描電路120的掃描區上移開，使得生物特徵掃描電路120無法偵測到該特定生物特徵，生物特徵掃描電路120的當次掃描運作便結束。

又例如，在生物特徵掃描電路120是以非接觸式掃描器(例如，虹膜掃描器、視網膜掃描器、或數位相機等等)實現的實施例中，生物特徵掃描電路120的每次掃描運作所對應的時間區段，指的是用戶將特定生物特徵(例如，虹膜、視網膜、人臉等)保持在生物特徵掃描電路120的影像擷取範圍內的這段時間。一旦用戶將該特定生物特徵移出生物特徵掃描電路120的影像擷取範圍，生物特徵掃描電路120的當次掃描運作便結束。

因此，假設生物特徵掃描電路120是在時間點Tb開始感測到某個生物特徵，且該生物特徵之後是在時間點Te脫離生物特徵掃描電路120的感測範圍，則生物特徵掃描電路120的當次掃描運作所對應的時間區段，指的是從時間點Tb到時間點Te這段時間。

在流程206中，安全電路150可將適格用戶生物特徵儲存在安全記憶體152中。

由前述說明可知，適格用戶有可能在生物特徵掃描電路120的掃描運作中移動或轉動適格用戶生物特徵。因此，在生物特徵掃描電路120的每次掃描運作中，控制電路140除了獲取適格用戶生物特徵之外，還會進行流程208與210。

在流程208中，控制電路140可依據生物特徵掃描電路120傳來的掃 描結果，判斷適格用戶生物特徵在生物特徵掃描電路120的當次掃描運作中是否有移動或轉動的情況。如果適格用戶生物特徵有移動或轉動的情況，則控制電路140還會依據生物特徵掃描電路120的掃描結果，偵測適格用戶生物特徵的動作態樣(motion pattern)。

在流程210中，控制電路140可依據前述的判斷和/或偵測的結果，產生與適格用戶生物特徵相應的動作紀錄(以下稱之為適格用戶動作紀錄)。前述的動作態樣包含(但不限定於)適格用戶生物特徵在當次掃描運作中是否有移動或轉動情況發生、適格用戶生物特徵的移動方向、移動速度、移動距離、移動歷程(moving course)、適格用戶生物特徵的旋轉方向、旋轉速度、旋轉角度、或是旋轉歷程等資訊。

在說明書及申請專利範圍中所指稱的「動作紀錄」一詞，指的是可用來指出某個生物特徵在當次掃描運作中的局部或全部動作態樣的資料，且可以用各種合適的資料格式來呈現。實作上，控制電路140可將前述動作態樣中的一項或多項內容，以適當的資料格式記錄成一相應的動作紀錄。

例如，控制電路140可單純將適格用戶生物特徵是否有移動或轉動情況發生的判斷結果，記錄成與適格用戶生物特徵相應的適格用戶動作紀錄。

又例如，控制電路140可在適格用戶生物特徵有移動的情況下，將適格用戶生物特徵的移動方向、移動速度、移動距離、和/或局部或全部的移動歷程等資訊，彙整成與適格用戶生物特徵相應的適格用戶動作紀錄。

又例如，控制電路140可在適格用戶生物特徵有轉動的情況下，將適格用戶生物特徵的旋轉方向、旋轉速度、旋轉角度、和/或局部或全部的旋轉歷程等資訊，彙整成與適格用戶生物特徵相應的適格用戶動作紀錄。

又例如，控制電路140也可不論適格用戶生物特徵是否有移動或轉動情況發生，都將適格用戶生物特徵的移動方向、移動速度、移動距離、局部或全部的移動歷程、適格用戶生物特徵的旋轉方向、旋轉速度、旋轉角度、以及局部或全部的旋轉歷程等資訊，一起彙整成與適格用戶生物特徵相應的適格用戶動作紀錄。

控制電路140記錄在適格用戶動作紀錄中的動作態樣項目越多，越能詳細表達適格用戶在當次掃描運作中移動或轉動適格用戶生物特徵的過程。

控制電路140可將與適格用戶生物特徵相應的適格用戶動作紀錄，透過前述的安全資料通道傳送給安全電路150。

在流程212中，安全電路150可將適格用戶動作紀錄儲存在安全記憶體152中，並可將該適格用戶動作紀錄與相關的適格用戶生物特徵之間的對映關係也儲存在安全記憶體152中。

如前所述，當生物特徵掃描電路120或控制電路140偵測到當前掃描的生物特徵脫離生物特徵掃描電路120的感測範圍時，生物特徵掃描電路120便會結束當次掃描運作，並等待下一個生物特徵的出現。

接下來，適格用戶可按照提示電路130的提示，陸續提供相關的生物特徵讓生物特徵掃描電路120進行後續的掃描運作(subsequent scanning course)。每一次生物特徵掃描電路120感測到適格用戶提供的適格用戶生物特徵時，生物特徵掃描電路120、控制電路140、以及安全電路150可對適格用戶當時提供的適格用戶生物特徵重複前述流程202至212的運作。

例如，假設控制電路140依據生物特徵掃描電路120的掃描結果，依序獲取了一第一適格用戶生物特徵、一第二適格用戶生物特徵、一第三適格用戶生物特徵、以及一第四適格用戶生物特徵。控制電路140還可依據生物特徵掃描電路120的掃描結果，並產生分別與前述的第一、第二、第三、與第四適格用戶生物特徵相應的一第一適格 用戶動作紀錄、一第二適格用戶動作紀錄、一第三適格用戶動作紀錄、以及一第四適格用戶動作紀錄。安全電路150可將前述的第一、第二、第三、與第四適格用戶生物特徵分別儲存在安全記憶體152中。另外，安全電路150可將前述的第一、第二、第三、與第四適格用戶動作紀錄分別儲存在安全記憶體152中，並可將個別的適格用戶動作紀錄與相對的適格用戶生物特徵之間的對映關係也儲存在安全記憶體152中。

如圖2所示，在控制電路140重複進行前述相關流程並獲取複數個適格用戶生物特徵、或是所需的全部適格用戶生物特徵之後，控制電路140可進行流程214，計算這些適格用戶生物特徵中的前後兩個適格用戶生物特徵的輸入時間間隔，以產生相應的時距紀錄(以下稱之為適格用戶時距紀錄)。

例如，在前述的範例中，控制電路140可計算第一與第二適格用戶生物特徵兩者的輸入時間間隔以獲得一第一預定時間長度，計算第二與第三適格用戶生物特徵兩者的輸入時間間隔以獲得一第二預定時間長度，並計算第三與第四適格用戶生物特徵兩者的輸入時間間隔以獲得一第三預定時間長度。

在說明書及申請專利範圍中所指稱的用語「前後兩個生物特徵的輸入時間間隔(input time interval)」，指的是前後出現的兩個生物特徵分別被生物特徵掃描電路120感測到的兩個時間點之間的差距。

在說明書及申請專利範圍中所指稱的「時距紀錄」一詞，指的是可用來表示前述兩個生物特徵的輸入時間間隔的資料，且可以用各種合適的資料格式來呈現。實作上，控制電路140可採用各種時距計算方式來計算前後兩個生物特徵的輸入時間間隔。

為了方便說明，在此假設生物特徵掃描電路120是在時間點T1開始感測到一第一生物特徵，且第一生物特徵是在時間點T2脫離生物特徵掃描電路120的感測範圍，而生物特徵掃描電路120是在時間點T3 開始感測到一第二生物特徵，且第二生物特徵是在時間點T4脫離生物特徵掃描電路120的感測範圍。

例如，控制電路140可計算時間點T1到時間點T3之間的時間長度，以做為第一生物特徵與第二生物特徵的輸入時間間隔。又例如，控制電路140可計算時間點T2到時間點T3之間的時間長度，以做為第一生物特徵與第二生物特徵的輸入時間間隔。又例如，控制電路140可計算時間點T2到時間點T4之間的時間長度，以做為第一生物特徵與第二生物特徵的輸入時間間隔。

在前述的範例中，控制電路140可產生對應於第一與第二適格用戶生物特徵的輸入時間間隔的一第一適格用戶時距紀錄、對應於第二與第三適格用戶生物特徵的輸入時間間隔的一第二適格用戶時距紀錄、以及對應於第三與第四適格用戶生物特徵的輸入時間間隔的一第三適格用戶時距紀錄。

控制電路140可將產生的所有適格用戶時距紀錄，透過前述的安全資料通道傳送給安全電路150。

在流程216中，安全電路150可將控制電路140所產生的適格用戶時距紀錄儲存在安全記憶體152。

在流程218中，安全電路150可將控制電路140獲取所有適格用戶生物特徵的順序，儲存在安全記憶體152中。實作上，安全電路150可依據控制電路140將這些適格用戶生物特徵傳送給安全電路150的先後順序，自行推導出這些適格用戶生物特徵的獲取順序。或者，控制電路140也可以將所有適格用戶生物特徵的獲取順序，以適合的形式通知安全電路150。

另外，安全電路150也可依據前述適格用戶生物特徵的獲取順序，建立相應的複數筆適格用戶動作紀錄之間的時序關係，並將適格用戶動作紀錄之間的時序關係儲存在安全記憶體152中。相仿地，安全電路150也可依據前述適格用戶生物特徵的獲取順序，建立相應 的複數筆適格用戶時距紀錄之間的時序關係，並將適格用戶時距紀錄之間的時序關係儲存在安全記憶體152中。

採用前述圖2的生物特徵錄製方法，造假生物特徵過濾裝置102便可將適格用戶的複數個適格用戶生物特徵逐一錄製並儲存在安全電路150中，以供後續進行用戶身分核實程序時使用。除此之外，造假生物特徵過濾裝置102也會將相應的複數筆適格用戶動作紀錄、一筆或一筆以上的適格用戶時距紀錄、以及適格用戶生物特徵獲取順序等等有關適格用戶的行為特徵的資料，儲存在安全電路150中。

請注意，前述圖2中的流程執行順序只是一示範性的實施例，並非侷限本發明的實際實施方式。例如，流程206可以調整到流程210或214之後進行，流程212可以調整到流程214之後進行。另外，流程206和212也可以和流程216一起進行、或是調整到流程216之後進行。

之後，當有人想要進行需要先通過身分核實程序才能執行的相關動作時(例如，使用主控裝置104、啟動主控裝置104、存取主控裝置104、與主控裝置104資料通信、執行主控裝置104傳來的特定指令、或對主控裝置104產生的資料進行加密、解密、或簽章運算等)，造假生物特徵過濾裝置102便可利用安全電路150在前述生物特徵錄製過程中所儲存的資料，來核實當前用戶(以下稱之為受檢用戶，unverified user)的身分真實性。

實作上，提示電路130可依據控制電路140的指示發出提示信息，提示受檢用戶按照自己記憶中的順序和/或節奏，提供生物特徵掃描電路120進行複數次生物特徵掃描運作所需的一個或多個生物特徵。

身分核實系統100也可採用挑戰回應機制來核實受檢用戶的身分真實性。例如，可利用提示電路130發出多次挑戰信息，並要求受檢用戶分別按照這些指示的內容，提供相關的生物特徵讓生物特徵掃描電路120進行掃描，以做為對前述挑戰信息的回應。然後造假生物特徵過濾裝置102便可比對受檢用戶所提供的生物特徵以及提供 生物特徵時的相關行為，是否與安全電路150在前述生物特徵錄製過程中所儲存的資料相符，藉此便可核實受檢用戶的身分真實性。

在運作時，造假生物特徵過濾裝置102可將受檢用戶所提供的複數個生物特徵分別與安全電路150中相應的適格用戶生物特徵進行比對，並可將受檢用戶在提供前述複數個生物特徵的過程中的操作行為特徵，與安全電路150中所儲存的相關紀錄進行比對，以核實受檢用戶的身分真實性。

以下將搭配圖3來進一步說明身分核實系統100核實用戶的身分真實性的運作方式。圖3為本發明一實施例的身分核實方法簡化後的流程圖。

在流程302中，生物特徵掃描電路120會掃描受檢用戶當時提供的生物特徵(以下稱之為受檢用戶生物特徵)，並將掃描結果以各種格式的感測信號、電位差資料、或熱熵資料等形式即時傳送給控制電路140。

在生物特徵掃描電路120的每次掃描運作中，控制電路140會同時進行流程304，依據生物特徵掃描電路120傳來的掃描結果獲取受檢用戶生物特徵。在運作時，控制電路140可採用各種已知的方式，從生物特徵掃描電路120傳來的掃描結果中辨識出受檢用戶生物特徵，並將所獲取的受檢用戶生物特徵透過前述的安全資料通道傳送給安全電路150。

在流程306中，安全電路150可將受檢用戶生物特徵與儲存在安全記憶體152中的對應適格用戶生物特徵進行比對。安全電路150可採用各種已知的生物特徵比對演算法，來判斷受檢用戶生物特徵與對應的適格用戶生物特徵是否相同或足夠近似。

另外，由於受檢用戶有可能在生物特徵掃描電路120的掃描運作中移動或轉動受檢用戶生物特徵，所以在生物特徵掃描電路120的每次掃描運作中，控制電路140除了獲取受檢用戶生物特徵之外，還 會進行流程308與310。

在流程308中，控制電路140可依據生物特徵掃描電路120傳來的掃描結果，判斷受檢用戶生物特徵在生物特徵掃描電路120的當次掃描運作中是否有移動或轉動的情況。如果受檢用戶生物特徵有移動或轉動的情況，則控制電路140還會依據生物特徵掃描電路120的掃描結果，偵測受檢用戶生物特徵的動作態樣。

在流程310中，控制電路140可依據前述的判斷和/或偵測的結果，產生與受檢用戶生物特徵相應的動作紀錄(以下稱之為受檢用戶動作紀錄)。前述的動作態樣包含(但不限定於)受檢用戶生物特徵在當次掃描運作中是否有移動或轉動情況發生、受檢用戶生物特徵的移動方向、移動速度、移動距離、移動歷程、受檢用戶生物特徵的旋轉方向、旋轉速度、旋轉角度、或是旋轉歷程等資訊。

例如，控制電路140可單純將受檢用戶生物特徵是否有移動或轉動情況發生的判斷結果，記錄成為與受檢用戶生物特徵相應的受檢用戶動作紀錄。

又例如，控制電路140可在受檢用戶生物特徵有移動的情況下，將受檢用戶生物特徵的移動方向、移動速度、移動距離、和/或局部或全部的移動歷程等資訊，彙整成與受檢用戶生物特徵相應的受檢用戶動作紀錄。

又例如，控制電路140可在受檢用戶生物特徵有轉動的情況下，將受檢用戶生物特徵的旋轉方向、旋轉速度、旋轉角度、和/或局部或全部的旋轉歷程等資訊，彙整成與受檢用戶生物特徵相應的受檢用戶動作紀錄。

又例如，控制電路140也可不論受檢用戶生物特徵是否有移動或轉動情況發生，都將受檢用戶生物特徵的移動方向、移動速度、移動距離、局部或全部的移動歷程、受檢用戶生物特徵的旋轉方向、旋轉速度、旋轉角度、以及局部或全部的旋轉歷程等資訊，一起彙整 成與當前生物特徵相應的受檢用戶動作紀錄。

控制電路140記錄在受檢用戶動作紀錄中的動作態樣項目越多，越能詳細表達受檢用戶在當次掃描運作中移動或轉動受檢用戶生物特徵的過程。

控制電路140可將與受檢用戶生物特徵相應的受檢用戶動作紀錄，透過前述的安全資料通道傳送給安全電路150。

在流程312中，安全電路150可將受檢用戶動作紀錄與儲存在安全記憶體152中的對應適格用戶動作紀錄進行比對。在運作時，安全電路150可將受檢用戶動作紀錄中所記錄的動作態樣項目的內容，逐一與對應的適格用戶動作紀錄中所記錄的動作態樣項目的內容進行比對。

在一實施例中，只要在受檢用戶動作紀錄中有超過一預定數量的動作態樣項目的內容，與適格用戶動作紀錄的相應動作態樣項目的內容相同或近似到某種程度以內，安全電路150便會將受檢用戶動作紀錄判定為與對應的適格用戶動作紀錄相符。

例如，安全電路150可在受檢用戶動作紀錄中有超過一半的動作態樣項目的內容，與適格用戶動作紀錄的相應動作態樣項目的內容相同或近似到某種程度以內的情況下，將受檢用戶動作紀錄判定為與對應的適格用戶動作紀錄相符。

又例如，安全電路150可在受檢用戶動作紀錄中有超過三分之二的動作態樣項目的內容，與適格用戶動作紀錄的相應動作態樣項目的內容相同或近似到某種程度以內的情況下，將受檢用戶動作紀錄判定為與對應的適格用戶動作紀錄相符。

實作上，安全電路150亦可進一步拉高前述預定數量的門檻，以提升核實用戶身分真實性的精確度。例如，在另一實施例中，只有在將受檢用戶動作紀錄中的百分之九十以上的動作態樣項目(甚至是所有動作態樣項目)的內容，都與適格用戶動作紀錄中的相應動作 態樣項目的內容完全相同或近似到某種程度以內，安全電路150才會將受檢用戶動作紀錄判定為與對應的適格用戶動作紀錄相符。

如前所述，當生物特徵掃描電路120或控制電路140偵測到當前掃描的生物特徵脫離生物特徵掃描電路120的感測範圍時，生物特徵掃描電路120便會結束當次掃描運作，並等待下一個生物特徵的出現。

接下來，受檢用戶可陸續提供相關的生物特徵讓生物特徵掃描電路120進行後續的掃描運作。每一次生物特徵掃描電路120感測到受檢用戶提供的受檢用戶生物特徵時，生物特徵掃描電路120、控制電路140、以及安全電路150可對受檢用戶當時提供的受檢用戶生物特徵重複前述流程302至312的運作。

例如，假設控制電路140依據生物特徵掃描電路120的掃描結果，依序獲取了一第一受檢用戶生物特徵、一第二受檢用戶生物特徵、一第三受檢用戶生物特徵、以及一第四受檢用戶生物特徵。控制電路140還可依據生物特徵掃描電路120的掃描結果，並產生分別與前述的第一、第二、第三、與第四受檢用戶生物特徵相應的一第一受檢用戶動作紀錄、一第二受檢用戶動作紀錄、一第三受檢用戶動作紀錄、以及一第四受檢用戶動作紀錄。

在此情況下，安全電路150可將前述的第一、第二、第三、與第四受檢用戶生物特徵，分別與儲存在安全記憶體152中的第一、第二、第三、與第四適格用戶生物特徵進行比對。另外，安全電路150還可將前述的第一、第二、第三、與第四受檢用戶動作紀錄，分別與儲存在安全記憶體152中的第一、第二、第三、與第四適格用戶動作紀錄進行比對。

如圖3所示，在控制電路140重複進行前述相關流程並獲取複數個受檢用戶生物特徵、或是所需的全部受檢用戶生物特徵之後，控制電路140可進行流程314，計算這些受檢用戶生物特徵中的前後兩個受檢用戶生物特徵的輸入時間間隔，以產生相應的時距紀錄(以下稱 之為受檢用戶時距紀錄)。

例如，在前述的範例中，控制電路140可計算第一與第二受檢用戶生物特徵兩者的輸入時間間隔以獲得一第一時間長度，計算第二與第三受檢用戶生物特徵兩者的輸入時間間隔以獲得一第二時間長度並計算第三與第四受檢用戶生物特徵兩者的輸入時間間隔以獲得一第三時間長度。

與前述圖2的實施例類似，控制電路140可採用各種時距計算方式來計算前後兩個受檢用戶生物特徵的輸入時間間隔。為了簡潔起見，在此不重複描述控制電路140計算前後兩個生物特徵的輸入時間間隔的各種實施例變化。

在前述的範例中，控制電路140可產生對應於第一與第二受檢用戶生物特徵的輸入時間間隔的一第一受檢用戶時距紀錄、對應於第二與第三受檢用戶生物特徵的輸入時間間隔的一第二受檢用戶時距紀錄、以及對應於第三與第四受檢用戶生物特徵的輸入時間間隔的一第三受檢用戶時距紀錄。

控制電路140可將產生的所有受檢用戶時距紀錄，透過前述的安全資料通道傳送給安全電路150。

在流程316中，安全電路150可將控制電路140所產生的受檢用戶時距特徵，與儲存在安全記憶體152中的相應適格用戶時距紀錄進行比對。例如，安全電路150可將前述的第一、第二、與第三受檢用戶時距紀錄，分別與儲存在安全記憶體152中的第一、第二、與第三適格用戶時距紀錄進行比對。

當安全電路150將某個受檢用戶時距紀錄與儲存在安全記憶體152中的相應適格用戶時距紀錄進行比對時，安全電路150可將該受檢用戶時距紀錄所對應的一時間長度，與該適格用戶時距紀錄所對應的一時間長度進行比較。

例如，當安全電路150將前述的第一受檢用戶時距紀錄與前述的第 一適格用戶時距紀錄進行比對時，安全電路150可將第一受檢用戶時距紀錄所對應的第一時間長度，與第一適格用戶時距紀錄所對應的第一預定時間長度進行比較。在一實施例中，安全電路150只有在第一時間長度落於第一預定時間長度的正負百分之三十的範圍之內的情況下，才會判定第一時距紀錄與第一適格用戶時距紀錄相符。 倘若第一時間長度落於第一預定時間長度的正負百分之三十的範圍之外，安全電路150就會判定第一時距紀錄與第一適格用戶時距紀錄不符。

實作上，安全電路150亦可縮小比對前述時距紀錄時的容錯範圍，以提升核實用戶身分真實性的精確度。例如，在另一實施例中，安全電路150只有在第一時間長度落於第一預定時間長度的正負百分之十五的範圍之內的情況下，才會判定第一時距紀錄與第一適格用戶時距紀錄相符。倘若第一時間長度落於第一預定時間長度的正負百分之十五的範圍之外，安全電路150就會判定第一時距紀錄與第一適格用戶時距紀錄不符。

由前述說明可知，在身分核實過程中，控制電路140會依據生物特徵掃描電路120的掃描結果獲取複數個受檢用戶生物特徵與產生相應的複數筆受檢用戶動作紀錄，並計算前後兩個受檢用戶生物特徵的輸入時間間隔以產生相應的一筆或一筆以上的受檢用戶時距紀錄。 安全電路150則會將控制電路140所獲取的複數個受檢用戶生物特徵分別與安全記憶體152中所儲存的複數個適格用戶生物特徵進行比對，將控制電路140所產生的複數筆受檢用戶動作紀錄分別與安全記憶體152中所儲存的複數筆適格用戶動作紀錄進行比對，以及將控制電路140所產生的一筆或一筆以上的受檢用戶時距紀錄分別與安全記憶體152中所儲存的一筆或一筆以上的適格用戶時距紀錄進行比對。

如圖3所示，只有在前述的複數個受檢用戶生物特徵分別與安全電 路150中儲存的複數個適格用戶生物特徵相符、前述的複數筆受檢用戶動作紀錄分別與安全電路150中儲存的複數筆適格用戶動作紀錄相符、且前述的受檢用戶時距紀錄分別與安全電路150中儲存的相應適格用戶時距紀錄相符的情況下，安全電路150才會進行流程318。

相反地，只要有任何一個受檢用戶生物特徵與相應的適格用戶生物特徵不符、任何一筆受檢用戶動作紀錄與相應的適格用戶動作紀錄不符、或是任何一筆受檢用戶時距紀錄與相應的適格用戶時距紀錄不符，安全電路150就會進行流程320。

在流程318中，安全電路150會進入一允許存取簽章狀態(signature-accessible status)，並傳送比對成功通知給控制電路140。

在流程320中，安全電路150會進入一拒絕存取簽章狀態(signature-inaccessible status)，並傳送比對失敗通知給控制電路140。

在流程322中，控制電路140會接收安全電路150傳來的比對成功通知，並可回報給主控裝置104。

在流程324中，控制電路140會接收安全電路150傳來的比對失敗通知，並可回報給主控裝置104。在此情況下，主控裝置104可拒絕受檢用戶的後續操作請求。

請注意，在身分核實系統100中，安全電路150必須處於允許存取簽章狀態，才會允許控制電路140向主控裝置104發出某些敏感性用戶指令，才會處理控制電路140或主控裝置104傳來的身分認證請求，或是才會利用金鑰對主控裝置104傳來的資料進行加密、解密、或簽章運作。

在某些實施例中，在安全電路150只有處於允許存取簽章狀態的期間，才會進一步處理控制電路140或主控裝置104傳來的身分認證請求。例如，安全電路150可因應控制電路140的請求而利用儲存在安全記憶體152內的金鑰進行簽章運算，並將產生的簽章值透過控制 電路140傳送給主控裝置104。簽章值通過主控裝置104的驗證之後，主控裝置104便可確認受檢用戶的身分真實性，並按照受檢用戶下達的指令進行相關的後續操作，例如，使用主控裝置104、啟動主控裝置104、存取主控裝置104、與主控裝置104資料通信、執行主控裝置104傳來的特定指令、或對主控裝置104產生的資料進行加密、解密、或簽章運算等。

又例如，在某些實施例中，當安全電路150處於允許存取簽章狀態時，才會允許控制電路140按照用戶的操作向主控裝置104發出使用主控裝置104、啟動主控裝置104、存取主控裝置104的相關指令、或向主控裝置104發出要求進行特定資料通信的要求。

反之，當安全電路150處於拒絕存取簽章狀態時，安全電路150會禁止控制電路140向主控裝置104發出某些敏感性用戶指令，拒絕處理控制電路140或主控裝置104傳來的身分認證請求，或是拒絕利用金鑰對主控裝置104傳來的資料進行加密、解密、或簽章運作。例如，在這段期間內，倘若主控裝置104透過控制電路140請求安全電路150對特定資料進行簽章運算，則安全電路150會拒絕或忽視該項簽章請求。在此情況下，主控裝置104便無法執行某些需要再次驗證用戶身分才能執行的指令。

又例如，在某些實施例中，當安全電路150處於拒絕存取簽章狀態時，便會禁止控制電路140按照用戶的操作向主控裝置104發出使用主控裝置104、啟動主控裝置104、存取主控裝置104的相關指令、或向主控裝置104發出要求進行特定資料通信的要求。

由前述說明可知，倘若受檢用戶所提供的複數個生物特徵中有一個是偽造的，或是受檢用戶輸入前述生物特徵的順序和/或節奏不正確，或是受檢用戶對某個生物特徵的移動或轉動方式不正確，則造假生物特徵過濾裝置102便可將受檢用戶判定為非法用戶，而拒絕認可受檢用戶的身分真實性。

請注意，前述圖3中的流程執行順序只是一示範性的實施例，並非侷限本發明的實際實施方式。例如，流程306可以調整到流程310或314之後進行，流程312可以調整到流程314之後進行。另外，流程306和312也可以和流程316一起進行、或是調整到流程316之後進行。

另外，前述的流程306、312、與316也不是在每一次驗證受檢用戶身分真實性的過程中都一定會進行。

例如，安全電路150也可以先進行流程306，並且只在複數個受檢用戶生物特徵都分別與相應的適格用戶生物特徵相符的情況下，才將複數筆受檢用戶動作紀錄分別與複數筆適格用戶動作紀錄進行比對(流程312)，或將一筆或一筆以上的受檢用戶時距紀錄分別與一筆或一筆以上的適格用戶時距紀錄進行比對(流程316)。倘若安全電路150比對後發現有任一個受檢用戶生物特徵與相應的適格用戶生物特徵不符，便可跳過流程312與316，直接進行流程320。

又例如，安全電路150也可以先進行流程312，並且只有在複數筆受檢用戶動作紀錄都分別與相應的適格用戶動作紀錄相符的情況下，才將複數個受檢用戶生物特徵分別與複數個適格用戶生物特徵進行比對(流程306)，或將一筆或一筆以上的受檢用戶時距紀錄分別與一筆或一筆以上的適格用戶時距紀錄進行比對(流程316)。倘若安全電路150比對後判定任一筆受檢用戶動作紀錄與相應的適格用戶動作紀錄不符，便可跳過流程306與316，直接進行流程320。

又例如，安全電路150也可以先進行流程316，並且只有在一筆或一筆以上的受檢用戶時距紀錄都分別與相應的適格用戶時距紀錄相符的情況下，才將複數個受檢用戶生物特徵分別與複數個適格用戶生物特徵進行比對(流程306)，或將複數筆受檢用戶動作紀錄分別與複數筆適格用戶動作紀錄進行比對(流程312)。倘若安全電路150比對後判定任一筆受檢用戶時距紀錄與相應的適格用戶時距紀錄不符，便可跳過流程306與312，直接進行流程320。

另外，如前所述，身分核實系統100可採用挑戰回應機制來核實受檢用戶的身分真實性。在生物特徵掃描電路120是以電容式感測器實現的某些實施例中，控制電路140可利用提示電路130提示受檢用戶在至少一次掃描運作前提示受檢用戶先改變即將被掃描的一特定生物特徵的表面溼度，然後才將特定生物特徵提供給生物特徵掃描電路120進行掃描。

例如，提示電路130可要求受檢用戶在某次掃描運作前，先用嘴巴對即將被掃描的某個特定生物特徵(例如，提示電路130指定的某個特定手指)進行呼氣，以改變該特定手指的表面溼度，然後再將該特定手指提供給生物特徵掃描電路120進行掃描。在此情況下，安全電路150可以在進行前述流程306時，將與控制電路140獲取的受檢用戶生物特徵相應的適格用戶生物特徵進行適當的模擬演算法運算，以產生可模擬表面濕度有所改變的調整後的生物特徵。接著，安全電路150可將受檢用戶特徵與調整後的生物特徵進行比對。

倘若受檢用戶特徵與調整後的生物特徵相符，安全電路150便可判定受檢用戶生物特徵與相應的適格用戶生物特徵相符。反之，倘若受檢用戶特徵與調整後的生物特徵不符，安全電路150便可判定受檢用戶生物特徵與相應的適格用戶生物特徵不符。

根據實驗結果發現，多數偽造的生物特徵的表面濕度變化模式，往往與真正的適格用戶生物特徵的表面濕度變化模式有很大差異。因此，前述利用挑戰回應機制要求受檢用戶臨時改變某個生物特徵的表面濕度的作法，可以有效避免有心人士所偽造的生物特徵通過安全電路150的比對程序。

由前述說明可知，安全電路150不只會比對受檢用戶的複數個生物特徵，還會額外比對與受檢用戶在生物特徵掃描過程中的行為態樣有關的動作紀錄與時距紀錄等項目，所以能夠大幅提升核實用戶身分真實性的準確度。

在真實世界中，即使有心人士或惡意程式有可能竊取到適格用戶的某個生物特徵，但要竊取適格用戶的複數個生物特徵的困難度就會增加許多。

另一方面，有心人士或惡意程式更是難以取得適格用戶在生物特徵掃描過程中的前述行為態樣的細節(例如，提供生物特徵的順序、提供生物特徵的節奏、和/或在掃描過程中移動或轉動生物特徵的態樣等等)。因此，前述造假生物特徵過濾裝置102的架構與運作方式，可有效降低有心人士或惡意程式趁機盜用他人身分的可能性，進而改善各種應用環境中的資訊安全。

此外，利用安全電路150的安全記憶體152來儲存適格用戶的金鑰，也能大幅降低適格用戶的金鑰被竊取的風險，進而降低身分被盜用的可能性。

從另一角度而言，前述造假生物特徵過濾裝置102的架構與運作方式，能夠確保用戶在進行各種系統登入、資料存取、安全驗證、金融交易等操作時的身分不可否認性，有助於減少相關糾紛的產生。

請注意，前述身分核實系統100的架構只是一示範性的實施例，並非侷限本發明的實際實施方式。例如，圖4為身分核實系統100的另一實施例簡化後的功能方塊圖。圖4的實施例與前述圖1的實施例很類似，但在圖4的實施例中，提示電路130是改設置於造假生物特徵過濾裝置102之外，並耦接於主控裝置104。

在圖4的實施例中，提示電路130的運作可由控制電路140透過主控裝置104來間接控制，也可改由控制裝置104來控制。

前述有關圖1中的其他元件的連接關係、實施方式、運作方式、以及相關優點等說明，亦適用於圖4的實施例。為簡潔起見，在此不重複敘述。

另外，在前述的實施例中，造假生物特徵過濾裝置102包含有安全電路150，可用來進行相關的生物特徵及行為特徵的比對運作，並 可確保儲存在安全電路150內的機敏性資料不會被輕易竄改。但只是一示範性的實施例，並非侷限本發明的實際實施方式。

在某些沒有使用金鑰機制、或是對於機敏性資料的安全顧慮較低的應用中，也可以將安全電路150省略，改由控制電路140來進行前述安全電路150的所有運作，以降低整體的電路成本與控制複雜度。

以下將搭配圖5與圖6來說明造假生物特徵過濾裝置102將安全電路150省略後的運作方式。

請參考圖5，其所繪示為本發明另一實施例的生物特徵錄製方法簡化後的流程圖。如圖5所示，原先在圖2中由安全電路150進行的流程206、212、216、與218，都可改由控制電路140來進行。在圖5的實施例中，控制電路140可利用非揮發性記憶體142來扮演前述安全記憶體152的角色，以儲存相關的資料。

請參考圖6，其所繪示為本發明另一實施例的身分核實方法簡化後的流程圖。如圖6所示，原先在圖3中由安全電路150進行的流程306、312、與316，都可改由控制電路140來進行。同樣地，控制電路140在圖6的實施例中可利用非揮發性記憶體142來扮演前述安全記憶體152的角色。

由於省略了安全電路150，所以原先在圖3中的流程318與320，在圖6的實施例中分別由流程618與620取代。

在流程618中，控制電路140會進入一允許存取狀態(accessible status)。

在流程620中，控制電路140會進入一拒絕存取狀態(inaccessible status)。

請注意，在本實施例中，控制電路140必須處於允許存取狀態，才會向主控裝置104發出某些敏感性用戶指令、才會執行主控裝置104傳來的某些敏感性用戶指令、或是才會處理主控裝置104傳來的身分認證請求。例如，在某些實施例中，當控制電路140處於允許存 取狀態時，便可按照用戶的操作向主控裝置104發出使用主控裝置104、啟動主控裝置104、存取主控裝置104的相關指令、或向主控裝置104發出要求進行特定資料通信的要求。在此情況下，主控裝置104便可執行某些需要再次驗證用戶身分才能執行的操作。

反之，當控制電路140處於拒絕存取狀態時，控制電路140會拒絕向主控裝置104發出某些敏感性用戶指令、拒絕執行主控裝置104傳來的敏感性用戶指令、或是拒絕處理主控裝置104傳來的身分認證請求。例如，在某些實施例中，當控制電路140處於拒絕存取狀態時，便不會按照用戶的操作向主控裝置104發出使用主控裝置104、啟動主控裝置104、存取主控裝置104的相關指令、或向主控裝置104發出要求進行特定資料通信的要求。在此情況下，主控裝置104便無法執行某些需要再次驗證用戶身分才能執行的操作。

由前述說明可知，控制電路140不只會比對受檢用戶的複數個生物特徵，還會額外比對與受檢用戶在生物特徵掃描過程中的行為態樣有關的動作紀錄與時距紀錄等項目，所以能夠大幅提升核實用戶身分真實性的準確度。

在真實世界中，即使有心人士或惡意程式有可能竊取到適格用戶的某個生物特徵，但要竊取適格用戶的複數個生物特徵的困難度就會增加許多。

另一方面，有心人士或惡意程式更是難以取得適格用戶在生物特徵掃描過程中的前述行為態樣的細節(例如，提供生物特徵的順序、提供生物特徵的節奏、和/或在掃描過程中移動或轉動生物特徵的態樣等等)。因此，前述造假生物特徵過濾裝置102的架構與運作方式，可有效降低有心人士或惡意程式趁機盜用他人身分的可能性，進而改善各種應用環境中的資訊安全。

從另一角度而言，前述造假生物特徵過濾裝置102的架構與運作方式，能夠確保用戶在進行各種系統登入、資料存取、安全驗證、金 融交易等操作時的身分不可否認性，有助於減少相關糾紛的產生。

在說明書及申請專利範圍中使用了某些詞彙來指稱特定的元件，而本領域內的技術人員可能會用不同的名詞來稱呼同樣的元件。本說明書及申請專利範圍並不以名稱的差異來作為區分元件的方式，而是以元件在功能上的差異來作為區分的基準。在說明書及申請專利範圍中所提及的「包含」為開放式的用語，應解釋成「包含但不限定於」。另外，「耦接」一詞在此包含任何直接及間接的連接手段。 因此，若文中描述第一元件耦接於第二元件，則代表第一元件可通過電性連接或無線傳輸、光學傳輸等信號連接方式而直接地連接於第二元件，或通過其它元件或連接手段間接地電性或信號連接至第二元件。

在說明書中所使用的「和/或」的描述方式，包含所列舉的其中一個項目或多個項目的任意組合。另外，除非說明書中特別指明，否則任何單數格的用語都同時包含複數格的含義。

以上僅為本發明的較佳實施例，凡依本發明請求項所做的等效變化與修改，皆應屬本發明的涵蓋範圍。

Claims (18)

1. 一種用於一身分核實系統(100)中的造假生物特徵過濾裝置(102)，包含：一通信電路(110)，設置成與身分核實系統(100)中的一主控裝置(104)進行資料通信；一生物特徵掃描電路(120)，設置成進行複數次生物特徵掃描運作；一控制電路(140)，耦接於該通信電路(110)與該生物特徵掃描電路(120)，設置成依據該生物特徵掃描電路(120)的掃描結果獲取複數個受檢用戶生物特徵與產生相應的複數筆受檢用戶動作紀錄，並計算前後兩個受檢用戶生物特徵的輸入時間間隔以產生相應的一筆或一筆以上的受檢用戶時距紀錄，其中，該複數個受檢用戶生物特徵中還包含一第一受檢用戶生物特徵與一第二受檢用戶生物特徵，且該第二受檢用戶生物特徵是在該第一受檢用戶生物特徵脫離該生物特徵掃描電路(120)的感測範圍之後，該生物特徵掃描電路(120)所感測到的第一個生物特徵；以及一安全電路(150)，耦接於該控制電路(140)，且包含一安全記憶體(152)，用於儲存一金鑰、複數個適格用戶生物特徵、複數筆適格用戶動作紀錄、以及一筆或一筆以上的適格用戶時距紀錄，其中，該一筆或一筆以上的適格用戶時距紀錄中包含一第一適格用戶時距紀錄；其中，該安全電路(150)設置成將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對、將該複數筆受檢用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對、以及將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆 以上的適格用戶時距紀錄進行比對；其中，該控制電路(140)還設置成計算該第一受檢用戶生物特徵與該第二受檢用戶生物特徵兩者間的一輸入時間間隔，以產生相應的一第一受檢用戶時距紀錄，該安全電路(150)還設置成將該第一受檢用戶時距紀錄與該第一適格用戶時距紀錄進行比對，且倘若該第一受檢用戶時距紀錄所對應的一第一時間長度落於該第一適格用戶時距紀錄所對應的一第一預定時間長度的正負百分之三十的範圍之外，則該安全電路(150)判定該第一受檢用戶時距紀錄與該第一適格用戶時距紀錄不符。
2. 如請求項1所述的造假生物特徵過濾裝置(102)，其中，只有在該複數個受檢用戶生物特徵分別與相應的適格用戶生物特徵相符、該複數筆受檢用戶動作紀錄分別與相應的適格用戶動作紀錄相符、且該一筆或一筆以上的受檢用戶時距紀錄分別與相應的適格用戶時距紀錄相符的情況下，該安全電路(150)才能進入一允許存取簽章狀態(signature-accessible status)，而該安全電路(150)必須處於該允許存取簽章狀態，才會利用該金鑰對該主控裝置(104)傳來的資料進行加密、解密、或簽章運作。
3. 如請求項2所述的造假生物特徵過濾裝置(102)，其中，只要有任何一個受檢用戶生物特徵與相應的適格用戶生物特徵不符、任何一筆受檢用戶動作紀錄與相應的適格用戶動作紀錄不符、或是任何一筆受檢用戶時距紀錄與相應的適格用戶時距紀錄不符，該安全電路(150)就會進入一拒絕存取簽章狀態(signature-inaccessible status)，而當該安全電路(150)處於該拒絕存取簽章狀態時，該安全電路(150)會拒絕利用該金鑰對該主控裝置(104)傳來的資料進行加密、解密、或簽章運作。
4. 如請求項2所述的造假生物特徵過濾裝置(102)，其中，該控制電路(140)還設置成判斷該第一受檢用戶生物特徵在該生物特徵掃 描電路(120)的掃描運作中是否有移動或轉動的情況，並產生與該第一受檢用戶生物特徵相應的一第一受檢用戶動作紀錄；其中，該第一受檢用戶動作紀錄包含有該第一受檢用戶生物特徵的移動方向、移動速度、移動距離、局部或全部移動歷程、旋轉方向、旋轉速度、旋轉角度、與局部或全部旋轉歷程的至少其中之一。
5. 如請求項1所述的造假生物特徵過濾裝置(102)，其中，倘若該第一時間長度落於該第一預定時間長度的正負百分之十五的範圍之外，該安全電路(150)便判定該第一受檢用戶時距紀錄與該第一適格用戶時距紀錄不符。
6. 如請求項2所述的造假生物特徵過濾裝置(102)，只有在該複數個受檢用戶生物特徵都分別與相應的適格用戶生物特徵相符的情況下，該安全電路(150)才會將該複數筆受檢用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對，或將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆以上的適格用戶時距紀錄進行比對。
7. 如請求項2所述的造假生物特徵過濾裝置(102)，只有在該複數筆受檢用戶動作紀錄都分別與相應的適格用戶動作紀錄相符的情況下，該安全電路(150)才會將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對，或將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆以上的適格用戶時距紀錄進行比對。
8. 如請求項2所述的造假生物特徵過濾裝置(102)，只有在該一筆或一筆以上的受檢用戶時距紀錄都分別與相應的適格用戶時距紀錄相符的情況下，該安全電路(150)才會將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對，或將該複數筆受檢用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對。
9. 如請求項1至8中任一項所述的造假生物特徵過濾裝置(102)，另包含： 一提示電路(130)，耦接於該控制電路(140)，設置成提示一受檢用戶在至少一次掃描運作中移動或轉動當時正在被掃描的一特定生物特徵，或是在至少一次掃描運作前提示該受檢用戶先改變即將被掃描的一特定生物特徵的表面溼度，然後才將該特定生物特徵提供給該生物特徵掃描電路(120)進行掃描。
10. 一種用於一身分核實系統(100)中的造假生物特徵過濾裝置(102)，包含：一通信電路(110)，設置成與身分核實系統(100)中的一主控裝置(104)進行資料通信；一生物特徵掃描電路(120)，設置成進行複數次生物特徵掃描運作；以及一控制電路(140)，耦接於該通信電路(110)與該生物特徵掃描電路(120)，設置成依據該生物特徵掃描電路(120)的掃描結果獲取複數個受檢用戶生物特徵與產生相應的複數筆受檢用戶動作紀錄，並計算前後兩個受檢用戶生物特徵的輸入時間間隔以產生相應的一筆或一筆以上的受檢用戶時距紀錄，且該控制電路(140)包含一非揮發性記憶體(142)，用於儲存複數個適格用戶生物特徵、複數筆適格用戶動作紀錄、以及一筆或一筆以上的適格用戶時距紀錄，其中，該一筆或一筆以上的適格用戶時距紀錄中包含一第一適格用戶時距紀錄，而該複數個受檢用戶生物特徵中還包含一第一受檢用戶生物特徵與一第二受檢用戶生物特徵，且該第二受檢用戶生物特徵是在該第一受檢用戶生物特徵脫離該生物特徵掃描電路(120)的感測範圍之後，該生物特徵掃描電路(120)所感測到的第一個生物特徵；其中，該控制電路(140)還設置成將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對、將該複數筆受檢 用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對、以及將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆以上的適格用戶時距紀錄進行比對；該控制電路(140)還設置成計算該第一受檢用戶生物特徵與該第二受檢用戶生物特徵兩者間的一輸入時間間隔，以產生相應的一第一受檢用戶時距紀錄，並將該第一受檢用戶時距紀錄與該第一適格用戶時距紀錄進行比對，且倘若該第一受檢用戶時距紀錄所對應的一第一時間長度落於該第一適格用戶時距紀錄所對應的一第一預定時間長度的正負百分之三十的範圍之外，則該控制電路(140)判定該第一受檢用戶時距紀錄與該第一適格用戶時距紀錄不符。
11. 如請求項10所述的造假生物特徵過濾裝置(102)，其中，只有在該複數個受檢用戶生物特徵分別與相應的適格用戶生物特徵相符、該複數筆受檢用戶動作紀錄分別與相應的適格用戶動作紀錄相符、且該一筆或一筆以上的受檢用戶時距紀錄分別與相應的適格用戶時距紀錄相符的情況下，該控制電路(140)才能進入一允許存取狀態(accessible status)，而該控制電路(140)必須處於該允許存取狀態，才會向該主控裝置(104)發送特定用戶指令。
12. 如請求項11所述的造假生物特徵過濾裝置(102)，其中，只要有任何一個受檢用戶生物特徵與相應的適格用戶生物特徵不符、任何一筆受檢用戶動作紀錄與相應的適格用戶動作紀錄不符、或是任何一筆受檢用戶時距紀錄與相應的適格用戶時距紀錄不符，該控制電路(140)就會進入一拒絕存取狀態(inaccessible status)，而當該控制電路(140)處於該拒絕存取狀態時，該控制電路(140)會拒絕向該主控裝置(104)發送特定用戶指令。
13. 如請求項11所述的造假生物特徵過濾裝置(102)，其中，該控制電路(140)還設置成判斷該第一受檢用戶生物特徵在該生物特徵 掃描電路(120)的掃描運作中是否有移動或轉動的情況，並產生與該第一受檢用戶生物特徵相應的一第一受檢用戶動作紀錄；其中，該第一受檢用戶動作紀錄包含有該第一受檢用戶生物特徵的移動方向、移動速度、移動距離、局部或全部移動歷程、旋轉方向、旋轉速度、旋轉角度、與局部或全部旋轉歷程的至少其中之一。
14. 如請求項10所述的造假生物特徵過濾裝置(102)，其中，倘若該第一時間長度落於該第一預定時間長度的正負百分之十五的範圍之外，該控制電路(140)便判定該第一受檢用戶時距紀錄與該第一適格用戶時距紀錄不符。
15. 如請求項11所述的造假生物特徵過濾裝置(102)，只有在該複數個受檢用戶生物特徵都分別與相應的適格用戶生物特徵相符的情況下，該控制電路(140)才會將該複數筆受檢用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對，或將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆以上的適格用戶時距紀錄進行比對。
16. 如請求項11所述的造假生物特徵過濾裝置(102)，只有在該複數筆受檢用戶動作紀錄都分別與相應的適格用戶動作紀錄相符的情況下，該控制電路(140)才會將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對，或將該一筆或一筆以上的受檢用戶時距紀錄分別與該一筆或一筆以上的適格用戶時距紀錄進行比對。
17. 如請求項11所述的造假生物特徵過濾裝置(102)，只有在該一筆或一筆以上的受檢用戶時距紀錄都分別與相應的適格用戶時距紀錄相符的情況下，該控制電路(140)才會將該複數個受檢用戶生物特徵分別與該複數個適格用戶生物特徵進行比對，或將該複數筆受檢用戶動作紀錄分別與該複數筆適格用戶動作紀錄進行比對。
18. 如請求項10至17中任一項所述的造假生物特徵過濾裝置(102)，另包含：一提示電路(130)，耦接於該控制電路(140)，設置成提示一受檢用戶在至少一次掃描運作中移動或轉動當時正在被掃描的一特定生物特徵，或是在至少一次掃描運作前提示該受檢用戶先改變即將被掃描的一特定生物特徵的表面溼度，然後才將該特定生物特徵提供給該生物特徵掃描電路(120)進行掃描。