指静脉系统生物识别统一身份系统解决方案v10.docx

1、指静脉系统生物识别统一身份系统解决方案v10指静脉系统生物识别统一身份系统解决方案1 前言XX指静脉系统生物识别统一身份系统旨在建立一个统一、高效、便捷的生物识别统一身份认证系统，向业务系统提供稳定的、可快速接入的生物识别身份认证服务；平台以指静脉生物特征识别技术和人脸生物特征识别技术为核心，可根据快速整合多种生物识别认证技术及各厂家的生物识别算法和终端设备。2 认证技术选型2.1 人社行业社会保险技术选型统筹考虑人社行业业务需求，对生物特征识别技术的需求主要体现在以下几个方面：安全防伪性：资格认证涉及资金安全，必须确保活体和安全，特征不可复制造假。人员适用性：资格认证人员群体广、年龄跨度大、

2、特殊情况多。特征稳定性：资格认证对时间要求高，不能因为特征不稳定影响业务办理，也不能因为特征变化而不断需要采集更新特征信息。识别准确性：技术的拒真率或误识率高，将影响认证业务的质量和效率，使参保人员容易产生抵触心理，同时也加大经办业务的工作量。方式与速度：识别方式的配合度要求高或采集认证速度慢，都容易使参保人员产生抵触，降低工作质量和效率。特征值大小与更新：特征值能够保存在社保卡，方便经办人员对参保人员的资格认证，也便于生物识别技术在养老保险、医疗保险和就业培训等业务中的推广应用。应用成本：包括产品和技术成本、采集认证所需要的组织和实施成本，系统运行所需的日常维护、升级成本，不能从单一角度去评

3、估投入成本的合理性。当前，适用于社会保险资格认证的技术主要有指纹识别技术、人脸识别技术、指静脉识别技术等。人脸、指静脉、指纹三种技术根据其技术特点，在社会保险领域的适用性如下：指静脉：指静脉生物特征识别技术是面对面身份认证的首选技术手段，适用于对安全防伪、群体适应性、特征稳定性、认证准确性和方便性等要求较高的场合，包括面对面生存认证、实名就医身份认证、实名考试身份认证、信息安全实名认证以及查询类、培训类、投诉类、业务经办类实名认证。同时也可以作为智慧城市整体认证体系的一部分，为各类经办部委和民生服务提供认证服务。人脸：在基于互联网和移动互联网的认证方面具有极大的优势。随着异地退休群体的扩大及新

4、退休人员计算机水平的提高，将有非常广泛的使用场景。尽管人脸识别精度相较于指静脉认证精度较低，但由于人脸异地认证的基数小，借助经办人员的人性化人工认证可以有效解决待遇领取人员人脸认证通不过时带来的情绪困扰。待遇人员可以自行采集认证，节约成本，特殊情况人工干预；参保人员通过互联网远程建模和认证，减低认证成本，节约时间，几次认证通过也能认可。指纹：指纹在社保行业使用最大的问题是伪造成本太低、群体适应性较差、特性不够稳定，可以应用于有人监管的领域，如信息安全认证、经办机构面对面身份认证，或在局部应用内容使用。社会保险记录一生、服务一生、保障一生，认证一生。参保人员年龄跨度大，持续时间长，社会保险资格认

5、证很多情况面对的是老年人和病人这个特殊群体、需要为待遇领取人员提供人性化和便捷的服务，同时简化社保经办服务部门的工作，保障社会保险基金的安全，技术手段的选择是非常重要的，在可靠性、安全性、稳定性、易用性方面有非常高的要求。资格认证既要实现本居住地待遇领取人员的资格认证，同时还要满足部分异地居住人员的远程认证需求，因此，XX采用了本地指静脉认证为主、异地（不便人员）人脸认证为辅的方式。2.2 指静脉识别技术静脉生物特征识别技术利用近红外线穿透手指后所得的静脉纹路影像来进行个人身份识别，是具有高精度、高速度的世界上最尖端的生物识别技术之一。指静脉识别技术是靠体内流动的血液对红外光线的反应取得静脉纹

6、路进行识别，所以伪造和篡改极为困难；认证速度快，登录简单、有良好的操作性。指静脉生物特征识别技术具有六大特点：第一高度准确：只需要手指轻轻一放，就能触发设备准确识别。指静脉认证的准确性很高，根据严格的医学证明和数学统计，FRR（拒真率）小于 0.01%，FAR（认假率）小于 0.0001%，FTE（登录失败）为 0.03%。第二高度防伪：因为静脉血管是隐藏在手指内部的，因此极难复制和盗取，与其他利用人体体外特征进行识别的技术相比较，这种方式的安全性更高。同时因其利用活体属性获取静脉图像，能够在识别的过程同时进行活体检测，无需担心伪造。第三特征稳定：指静脉信息不会随年龄、生活环境、工作性质、心理

7、因素的变化而变化。因为采样样本是在人体内部，不受外部污染、轻伤、湿度和温度的影响，所以匹配过程中受到外界的干扰非常小。医学研究证明，手指静脉的形状具有唯一性和稳定性，即每个人的手指静脉图像都不相同，同一个人不同手指的静脉图像也不相同，即使是长相非常相像的双胞胎的静脉图像也不会相同，而且这种差异将会在他们的一生中都不会消失；健康成年人的静脉形状不再发生变化，这就为指静脉提供了医学依据。即使在儿童成长过程中，静脉随时间在成长，但静脉的成长变化非常缓慢，为适应这种缓慢的变化，静脉识别系统有一种“动态模型更新”功能，在每次比对时，使用者的静脉图像数据会得到更新，“动态模型更新”功能使得静脉识别系统对身

8、份识别更准确。第四快速认证：指静脉原始静脉影像被捕获并数字化处理，每一手指的特征信息少，进行匹配时速度非常快，整个过程不到 1 秒。第五简单易用：采集和认证时只需手指轻轻一放即可，特征数据量少，便于保存和使用。由于手指的静脉血管相对稳定并且很容易拍摄下来，因此使用低分辨率的摄像头就可以达到取样要求，每一手指的特征信息仅 520 字节。第六易于接受：手指静脉识别技术是非接触式的，使用者心理抗拒性低，易接受。XX指静脉识别技术具有如下优势：第一：人社行业领先，具有最大的市场份额。XX在全国人社行业具有最大的市场份额，覆盖 14 个省的客户，应用于职工养老保险、城乡居民养老保险、医疗保险、工伤保险、

9、人事考试等专业领域，采集人数已经达到几百万人。第二：指静脉国家标准的起草单位，指静脉人社行业标准的起草单位。XX参与制定了指静脉两项国家标准信息技术 指静脉识别系统 指静脉采集设备通用规范和信息技术 指静脉识别系统 指静脉图像数据格式，目前处于送审阶段，预计 2016 年正式发布。XX易通也是人社部生物特征识别技术标准研究项目课题组成员，是指静脉数据采集规范、指静脉图像质量标准、指静脉数据交换格式标准和指静脉算法接口标准的主要起草单位。第三：技术先进、产品成熟，能够满足社保行业超大规模应用需求。XX易通指静脉技术具有以下优势：l可以实现采集到的指静脉图像分辨率在 100ppi 的情况下能保证高

10、标准的认证精度。低分辨率的图像可以有效减少拍摄到很细的静脉血管，提高认证精度，有效减小指静脉特征信息的数据量，提高处理速度。l拥有特有的根据手指轮廓扩大/缩小旋转修正技术，在手指没有正确放置时，或发生了畸变，也可以生成正确的指静脉特征信息。l在认证时和终端设备绑定，在没有设备和无手指采集时无法进行认证，确保了认证安全性。l采用先进的生产工艺，确保不同批次产品在全国各地的范围内都能够做采集、认证兼容。技术先进性、产品成熟性、认证准确性、设备一致性、信息安全性确保指静脉技术能够很好地应用于社会保险超大规模应用领域，XX易通投入研发了满足社保认证需求的指静脉软硬件产品，基于社保卡规范、提供人机比对、

11、人卡比对支持；2.3 人脸识别技术XX易通采用中科院计算所研制的中老年人人脸生物识别技术，辅助实现异地和本地不方便人群的认证方便性要求。参保人员通过互联网远程建模和认证，节约时间，减少成本，特殊情况人工干预。尽管人脸识别比指静脉识别精度较低，但由于认证人员基数小，借助经办人员的人性化工作可以有效解决待遇领取人员人脸认证通不过时带来的情绪困扰。XX易通人脸识别技术具有如下优势：第一：核心技术先进：和知名科研院所合作、算法先进、技术领先、应用广泛，发表多篇论文，获多项专利；（1）国际论文情况：近年来共发表(录用)国际刊物论文 37 篇，其中 IEEE T PAMI*论文 4篇，IEEE T IP*

12、 论文 7 篇，IJCV*论文 1 篇，IEEE T NN 论文 1 篇， IEEE T SMC-A/B 论文 5 篇；领域重要国际会议论文 36 篇，ICCV *论文 6 篇，CVPR*论文 21 篇，ECCV 论文 9 篇，引用情况，SCI 他引 900+次，Google 引用累计 5900+次（2）国际竞赛情况：2014 年，ACM I CMI 2014 （国际多模式人机交互大会）组织的 EmotiW人脸动态表情识别竞赛人脸动态表情识别竞赛第一名2014 年，PaSC 数据库视频人脸识别系统评测，取得已公开数据中最好结果2006 年，FVC2006 人脸识别国际竞赛第一名l2004 年，

13、BVC2004 人脸识别评测第一名(3)专利情况：l一种人脸图像光照预处理方法. ZL200910244271.0. 韩琥，山世光，陈熙霖l一种姿态鲁棒的人脸识别方法. ZL200910244272.5. 李安南，山世光，陈熙霖基于遗传算法的人脸样本生成方法. ZL200410029454.8. 陈杰，陈熙霖，高文.一种基于模板匹配的人脸识别方法. ZL200410098619.7. 高文，张文超，山世光，张洪明，陈熙霖.一种基于Gabor 相位模式的图像识别方法. ZL200510068027.5. 高文，张宝昌，山世光，陈熙霖.第二：针对社保行业人脸识别技术进行重点研究:2013 年XX易

14、通与中科院计算所签署战略合作协议，共同研究“社保人脸识别技术”，重点解决以下关键难题：l认证对象是企业离退休职工或城乡居民养老保险待遇领取人员；l认证环境的多样性、不确定性对人脸图像的影响；按照每年、或每半年认证一次，因时间或疾病等因素对身体的影响使人脸发生变化；l异地建模对认证精度的影响；l人脸图像获取中的防欺诈问题，包括照片仿冒和视频回放仿冒等。第三：根据对人社行业资格认证需求的了解，研发了满足社会保险资格认证的软件产品，简单易用。3 系统架构设计3.1 平台总体构架设计生物识别统一身份认证系统提供指静脉、人脸统一采集建模和身份认证功能，可以接入其他生物特征识别技术，支持人工认证，建模数据

15、和认证结果可以在不同应用之间共享。适用以社会保险参保人员为基础的市、县级社会保险参保人员全面资格认证管理，也可以拓展到整个社会管理领域，为其他部门提供认证服务。不但方便参保人员也大大降低认证成本。各级经办机构可以接入到生物识别统一身份认证系统进行指静脉、人脸综合采集认证服务。系统可以和金保系统进行采集认证界面集成及认证数据集成，支持集中采集认证设备和移动采集认证设备接入，支持待遇人员通过互联网进行异地建模和认证，第三方系统可以接入系统进行认证。3.2 平台逻辑架构设计生物识别统一身份认证系统基于 SOA 架构，它将应用程序的不同功能服务通过服务之间定义的接口和契约联系起来，平台相对独立、部署灵

16、活，对外提供指静脉生物特征识别和认证接口及管理接口，可为用户提供集中的指静脉生物特征识别和身份认证服务。生物识别统一身份认证系统的整体架构包括数据库、平台系统功能、平台接口三部分，关联系统通过系统接口连接到平台。支持 Windows 客户端基于浏览器方式和基于应用程序方式访问，支持安卓客户端进行访问。可以提供联机和脱机采集认证。（1）平台数据库支持多数据库模式，可根据生产环境的变更进行切换。（2）平台主要功能包括：系统管理、应用管理、信息采集、资格认证、统计分析和个人管理，用户通过 Web 界面实现对平台的管理操作。（3）平台接口分为三部分：客户端采集认证接口、平台采集认证接口和平台管理接口。

17、客户端采集认证接口支持在客户端实现采集认证功能，平台采集认证接口主要用于对外部系统提供采集认证服务，平台管理接口主要指本系统或外部系统用户使用管理功能，如对分组进行管理等等。关联系统包括核心业务系统以及第三方应用系统，各系统前端可接入指静脉生物识别和人脸识别厂商的设备。这些业务系统的用户通过指静脉生物识别和人脸识别设备采集指静脉生物特征信息，调用接口完成向认证平台进行指静脉生物特征信息注册及认证的处理过程。开放系统管理功能相应接口及文档，便于客户进行二次开发和业务扩展。3.3 平台技术架构设计生物识别统一身份认证系统支持主流的操作系统、数据库及 Web 中间件，并能实现灵活的部署方式。技术架构

18、如下图所示:认证平台软件部署说明：（1）服务器操作系统认证平台采用 JAVA 基础架构，具有跨平台特性，支持主流操作系统，包括：AIX、HP-UX11、Linux、Windows 等；（2）中间件支持主流中间件，包括：Websphere、Weblogic、Tomcat，Web 应用服务器使用集群技术部署，实现负载均衡；（3）技术架构采用 Java 与 C 相结合的技术，C 主要用于生物识别算法编写，java 用于后台接口及功能程序编写，采用 spring+struts2+hibernate 技术架构，结合先进的前台技术框架，使系统的实用性及界面友好性得到提升。（4）数据库支持主流的数据库，包括

19、：Oracle、MySQL、DB2、Sybase、SQL Server。数据库服务器采用集群部署，例如 Oracle 的 RAC。（5）其它软件产品Jdk1.7，IE8 及以上版本。3.4 平台部署架构设计生物识别统一身份认证系统的物理构架如图所示。架构说明：数据库服务器支持主流操作系统，支持主流数据库，采用主从集群模式，支持集群部署。应用服务器支持主流 Web 中间件，支持集群部署，实现负载均衡，提高并发处理能力。4 系统功能设计4.1 系统管理4.1.1 系统设置系统设置包括：菜单管理、字典管理、角色管理三个部分。菜单管理：可以查看系统的菜单列表，增加下级菜单、修改或删除菜单内容，也可根据

20、需求增加菜单。字典管理：可以查看系统的字典列表，对系统常见标签进行类型标识和增删改。角色管理：主要进行角色分配工作，将已经建好的角色分配给用户，使用户可以对此角色有权限进行操作的数据进行处理。分配角色只能分配给本应用的用户。4.1.2 系统监控系统监控包括：日志查询，连接池监视日志查询：操作菜单为用户在何种模块下进行下述操作的，操作用户为登录用户，URI 是用户具体操作的哪个页面。同时也可以查看到此次操作者的 IP和时间。连接池监视:监视和数据库的连接状况。4.2 应用管理应用管理包括：应用设置、分组管理、任务管理三个部分。4.2.1 应用设置包含：应用信息、机构管理、用户管理、设备管理、以及

21、区划管理 5 个部分。应用信息：一个应用对应的是一个统一进行规划管理的群体。此栏目可以创建新的应用，也可以对已有的应用进行修改或者删除。机构管理：在一个具体的应用下我们可以建立很多机构，机构就是一个应用下具体实施工作任务的部门。在机构管理里面我们可以添加新的机构也可以对已有的机构进行修改或者删除。用户管理：在用户管理里不仅可以查看用户列表，还可以增加、修改、删除用户，采集指静脉，进行用户角色的权限分配。设备管理：可以查看或添加应用设备信息列表，其中设备代码是插入设备后读取的指静脉设备的内部序列号，产品编号是设备背面设备信息标签上的产品编号。区划管理：可以查看区划列表，进行删除修改等等，并可在已

22、有区划的下级添加新的区划。4.2.2 分组管理分组管理包含：分组设置、分组人员两部分。分组设置：在一个应用下可以设置不同的机构，而具体的机构下我们也可以设置不同的分组，分组设置时要明确组别归属的机构、应用。在分组设置一栏也可以查看已有的一些分组列表。分组人员：已经分好组的人员会显示在人员列表当中，也可以进行新的人员分组。4.2.3 任务管理任务设置：在这个栏目我们可以查看已有的各项任务，并且对任务进行修改删除等，也可以在具体的应用下添加新的任务。4.3 采集认证采集认证：包括信息采集和资格认证两个模块，信息采集主要是指静脉信息的采集和人脸信息的采集。4.3.1 信息采集（1）身份证信息采集通过

23、信息采集页面可以通过读二代身份证、读社保卡、输入身份证信息完成身份证信息的采集工作。（2）社保信息添加若当前应用的应用类型中选择了社会保险应用，则进入社保信息添加页面。若“身份信息采集页”选择了分组，则此页的“社保经办机构”将自动填充分组所在的机构；若“身份信息采集页”没有选择分组，则此页的“社保经办机构”将自动填充当前人员所在的机构。（3）指静脉信息采集若当前应用启用了“是否启用指静脉”参数，则将跳转至“指静脉信息采集”页面。进行指静脉信息采集时每根手指采样三次，最后存储一个特征值。（4）人脸信息采集在界面上方点击“人脸信息建模”，这时摄像头自动打开可以进行人脸信息建模。采集列表：可以显示已

24、采集人员的相关信息如下图所示：4.3.2 资格认证资格认证包括：指静脉认证、人脸认证、查看认证历史。指静脉认证：输入已采集人员的身份证信息就可以进行指静脉认证工作，当认证成功后，界面会显示具体人员认证成功的字样。人脸认证：人脸状态显示“可正常视频认证”时，可以进行人脸认证。人脸认证时也需输入身份证信息，身份证信息读取完毕后摄像头打开，根据提示进行认证，认证通过后也会先是人脸认证成功。查看认证历史：如需要查看指静脉、人脸认证历史，点击“查看认证历史”即可。4.4 统计分析4.4.1 按分组统计按分组对已经采集的数据进行统计。选择左侧机构，可查看该机构下分组的总人数、指静脉已建模人数、未建模人数，

25、如图所示：4.5 个人管理个人管理包括：信息管理、个人信息、我的工作四个栏目。4.5.1 消息管理信息管理：我的消息、消息设置。系统管理人员在进入系统后，在我的消息一栏可以查看系统公布的各种消息，也可以在消息设置中查看消息列表，或者进行消息添加。4.5.2 个人信息个人信息：信息维护、修改密码信息维护：对当前用户个人信息的管理，可以修改邮箱、电话、手机和备注。可以查看归属应用，归属机构，登录 IP 及登录时间。修改密码：修改当前用户的密码，输入原密码，和新密码，并确认新密码可以重新设置登录密码。4.5.3 我的工作我的工作人脸审核：视频认证审核、异地建模审核、照片建模审核视频认证审核：当人脸认

26、证失败时，可以在视频认证审核列表中查找到认证失败的人员，根据认证时上传的视频文件以及该人员的认证历史照片进行人工认证审核。可以输入身份证号查询认证失败待审核人员的信息。审核时请将合适的人脸模板选中保存到数据库进行人脸修正建模，提高下次认证时的通过率。异地建模审核：异地待遇人员通过知能易通人脸识别客户端进行人脸自助建模成功后，管理人员在建模审核列表中查找到异地人脸建建模人员，根据建模时生成的异地人员人脸建模申请表和视频，对该人员进行异地建模审核。是否可以查看人脸建模申请表和人脸视频，与应用参数有关。审核时请将合适的人脸模板选中保存到数据库。照片建模审核：知能易通管理员为该应用进行后台照片批量建模

27、后，应用的管理员在照片建模审核列表中，根据生成的人脸图片是否为标准正面人脸头像，批量审核。两眼连线不水平或头像不完整，均应视为建模不成功，应审核失败。审核成功的人员，之后可以通过平台或人脸识别客户端进行人脸认证。4.6 下载中心在文件管理一栏超级系统管理员可以对文件进行修改、删除、增添等操作，而其他人员也可以下载超级系统管理员上传的各项文件。5 系统安全设计生物识别统一身份认证系统综合运用生物识别技术与计算机技术，利用生物识别技术确认业务系统用户的身份。系统中涉及到的生物特征数据、认证结果等重要信息在网络传输过程中的安全性和可靠性要由系统安全体系来保障。5.1 安全构架生物特征势必系统综合运用

28、生物识别技术与计算机技术，利用生物识别技术 确认业务系统用户的身份。系统中涉及到的生物特征数据、认证结果等重要信息在网络传输过程中的安全性和可靠性要由系统安全体系来保障。对于认证平台的安全体系主要由物理安全、应用安全、数据安全、系统安全和网络安全等五个部分组成。结合安全策略、安全管理和安全评估，通过技术、服务和管理手段认证平台的安全体系如下图所示：5.2 物理安全物理安全是系统安全体系的基础和前提。物理安全是指在物理介质层次上对存贮和传输的信息安全保护。具体措施参照执行现有的“电子计算机场地通用规范”（GB/2887）和“电子计算机机房设计规范”（GB/50174）等国家标准。按照国家有关标准

29、设计机房，严格控制环境温度、相对湿度，设计冗余的供配电系统、接地系统，防止断电，火、雷、水等意外灾害对设备造成破坏；严格控制有权进入关键设备机房的人员。使用钥匙卡或键盘系统、日志簿或人员安全系统来限制XX的访问；充分利用现有的出入口管理系统和监视系统。根据涉密的密级要求选取合适的设备，加强对关键设备的保护；对现有的监视系统进行改造和加强，对进入机房的主要通道和机房内的关键设备进行监视；采用电磁泄漏防护设备，防止信息系统运行中的信息通过硬件设备和介质以电磁辐射的方式泄漏出去；5.3 网络安全网络安全防护着重加强网络之间访问控制，防止外部网络用户以非法手段通过外部网络进入内部网络，非法访问内部网络

30、资源，保护内部操作环境和信息安全。在远程前置机和防火墙之间安装VPN设备，识别对被允许的远程客户并且透明地连接到内部网络并保证数据传输的机密性和完整性，满足系统远程数据访问的需求；在不同网络之间架设防火墙，控制各级网络用户之间的相互访问，规划网络的信息流向，同时隔离不同的网络，一旦某一个网络子系统发生安全事故，及时断开访问避免波及到其它网络子系统。在服务器区域的交换机上和保护网段的局域网交换机上布设IDS系统。IDS收集所有流经核心交换机的数据包，以及时发现对于非法的入侵连接，及时通知防火墙系统，立即切断此次通讯，并将非法连接地址列入黑名单，并将相关信息写入日志，以便后期的分析。5.4 系统安

31、全系统安全关系着系统能否正常使用。重点解决服务器（如Web服务器、数据库服务器等）系统级安全问题，以建立一个安全的系统运行平台。加强操作系统的安全管理，要从管理员日常管理、用户登录、文件系统安全和打印机安装、注册表保护、远程访问服务（RAS）控制、各应用系统安全保护等方面制定强化安全设置，定期进行漏洞扫描，审计跟踪，及时升级和维护系统，堵住安全漏洞。定期的进行系统备份，实现灾难条件下系统的快速恢复。建立完善的网络防病毒系统。引入一套完整先进的防病毒产品，建立起覆盖从网络管理中心到下面各个节点的整个系统全网的、立体的、集中控制的防病毒网络体系。并以监控中心为核心组成自上而下的分级网络：监控中心统管所有功能不同的防病毒系统，执行全网防病毒监控管理、引擎升级、病毒代码更新、策略配置、告警报告、任务调度等职能。各防病毒安全域，通过网络系统支撑平台与监控中心互联互通。操作系统的具体安全策略配置，可以包括以下基本配置原则：1、关闭不必要的服务，留意服务器上开启的所有服务并每天检查。2、将服务器安装在防火墙的后面，关闭不必要的端口。3、指定密码策略，保证用户安全登录为用户设置密码，防止其它用户恶意登录，对重要文件进行加密。4、规范用户管理为特定用户分配对应的权限，防止一个用户多人使用的情况。尽量不使用管理员用户。5、备份敏感文件把一些重要的用户数据（文件，数据表和项目文件