用于大量注册人员的生物特征认证的方法和系统

技术领域

本公开涉及用于大量注册人员的生物特征认证的方法和系统。

背景技术

在各种应用中，如限制区域的访问控制、用于支付购买商品的支付控制等，都需要对人员进行用于验证本人身份的认证。人员认证可包括仅由其本人所知的东西(PIN：个人身份号码、密码等)、只有本人拥有的东西(钥匙、智能卡等)和/或本人的生物特征(指纹特征、面部特征等)。

第三方可能知道PIN、密码等。进一步的，第三方可以接管对钥匙、智能卡等的占有。因此，出于对人员进行强认证的目的，认证方案可以包括人的生物特征，例如指纹特征、面部特征等。

人员认证可以基于该人当前记录的特征与登记人员预先存储的生物特征的比较。随着人员数量的增加，认证变得愈发困难。例如，在智能手机上，可能只需要将当前记录的生物特征与单个注册人员的生物特征进行比较，如智能手机所有者的指纹特征、面部特征等。在又一例子中，在工厂的入口控制系统中，可能只需要将一个人的当前记录的生物特征与工厂的大几百或上千名注册员工的生物特征进行比较。然而，在商店的支付系统或者诸如公共交通站、体育馆、剧院等公共服务的入口控制系统中，可能需要将一个人当前记录的特征与预存储的几万、几十万甚至百万的注册人员的生物特征进行比较。

因此，随着注册人员数量的增加以及同时考虑系统成本、反应时间等，根据预定义的安全级别，基于人的生物特征对人进行可靠认证变得越来越困难。因此，在实践中，生物特征通常不用于初级认证，而是仅用于在验证了用户拥有的东西之后，这些例如密钥、芯片卡等东西唯一地识别了该人，并且使得当前记录的生物特征必须仅与该人预存储的生物特征进行比较，而不是与预先存储的数千或数百万注册人员的生物特征进行比较。最典型的就是国家颁发的身份证或护照，其中包括数字存储在芯片上的个人的指纹特征、面部特征等，其中只有国家当局可以访问存储在芯片中的数字存储的生物特征，以对个人进行身份验证。在2017年的另一种方法中，通过指纹传感器集成到芯片卡的方式取代了作为支付准许确认的PIN输入。然而，该技术尚未被普遍接受，因此可以认为，由于技术和/或用户体验原因导致接受度不够。

若是在例如超过99％的所有情况下，可以通过例如将手放在传感器上来实现基于生物特征的人的可靠认证，其中只有在特殊情况下才需要该人的进一步行动，并且其中进一步行动将尽可能方便的话，那么是可以达到高水平的用户接受度。

由于生物特征的记录从来不会受相同条件的支配(例如不同的传感器、不同的环境条件，如温度、湿度、照明等)，因此记录的生物特征每次都不同。最糟糕的情况是，第一个人的当前记录的生物特征可能被检测成为已登记的第二个人的预存的生物特征。因此，确定一个能够实现预定义安全级别并且不会拒绝太多认证尝试的阈值是具有挑战性的。错误接受率(FAR，即将错误的人认证为正确的人的可能性)和错误拒绝率(FRR，即错误地拒绝正确的人的可能性)是相互依赖的。通过降低FAR以达到最高安全级别将会增加FRR，导致便利性降低，反之，则会导致安全级别降低。

因此，为了将FAR和FRR最小化，任何基于生物特征的认证方案的一个重要目标都是记录尽可能多的可以最佳地相互区分的特征。例如，在IEEE系统汇刊(IEEETransactions on systems)发表的“Feature Extraction Methods for PalmprintRecognition:A Survey and Evaluation”(第40卷，第2期，2019年2月)中描述了实现这一点的不同方法。类似的方法可用于手掌静脉识别或手的3D特征。然而，增加特征性的生物特征的数量可能会降低便利性(例如，不仅需要手掌的几个姿势，还需要手背的几个姿势来记录生物特征的情况)，并且可能会增加系统成本和/或响应时间。

另一种降低错误接受人的概率的方法是增加用于匹配的所谓仿射区域的数量。例如，如果在包含生物特征的两张照片中捕捉到相同的身体(部位)并因此具有相同的来源，则将其识别为仿射。例如：右手拇指在系统A处做出的印记与右手拇指在系统B处做出的印记是仿射的，但这两个印记都不是左手拇指的印记的仿射。

US8229178B2公开了个人识别，其包括在可见光和近红外光之间切换，在可见光或近红外光下获取人的掌纹图像和手掌静脉图像，基于感兴趣区域从掌纹图像或手掌静脉图像中提取子图像，从子图像中提取多个特征，以及将提取的多个特征与数据库中存储的信息进行匹配以认证该人。

WO2020207947公开了一种用于捕获人的身体部位的图像数据的生物特征成像设备，该设备包括可见光传感器和近红外光传感器中的至少一个。该生物特征成像设备包括配置为捕捉人体的三维图像数据的飞行时间照相机。该生物特征成像设备被配置为执行成像过程，该成像过程包括以下步骤：捕获当前身体部位姿势的三维图像数据；基于三维图像数据确定期望的身体部位姿势和当前身体部位姿势之间的差异；基于所确定的差异向所述人提供用户指导，使得所述人能够在所述期望姿势的方向上调整所述身体部位姿势；以及捕获可见光谱中的图像数据和红外光谱中的至少一个图像数据。

WO2020207945公开了一种生物特征认证设备，用于通过将人的身体部位的生物特征与预先存储的多个注册人的身体部位的生物特征进行比较来对人进行认证，该设备被配置为：捕获人的身体部位的图像数据；从所捕获的图像数据中确定出人的身体部位的至少一个特征性的几何身体部位特性和人的身体部位的生物特征；将所述人的身体部位的生物特征与所述多个注册人的身体部位的预先存储的生物特征进行限制比较，所述生物特征与该人的所述至少一个特征性的几何身体部位特性具有预定的相似性水平。

将FAR降低到所需的安全级别以下带来的影响是同时增加FRR，这可能导致不便，并因此降低用户接受度，特别是在参与者人数非常多的情况下。

发明内容

本发明的目的是提供一种用于实现对大量登记人员的生物特征认证的方法和系统，该方法和系统不具有现有技术的至少一些缺点。特别的，本发明的目的是提供一种方法和系统，用于在满足预定安全级别的同时实现大量注册人员的生物特征认证，并在人员被错误拒绝的情况下提供方便的解决方案。

本发明的至少一个目的通过所附独立权利要求中所定义的方法和系统来实现。从属权利要求陈述了本发明的进一步的实施方式。

本发明的至少一个目的是通过一种方法实现的，该方法包括：在生物特征传感器处，记录人的当前生物特征，在匹配服务器处，将人的当前记录的生物特征与已登记人的预先存储的生物特征进行比较，同时应用一个或多个识别接受容限，以及在匹配的情况下，在该人的用户设备处发出肯定认证的信号，在匹配服务器处没有肯定认证的情况下，在应用验证接受容限的同时，使在匹配服务器上所选的该人预存的生物特征能与当前记录的生物特征进行比较，以及在验证成功的情况下发出肯定认证的信号。识别接受容限可以设置为在满足所需的安全级别的同时考虑对大量注册人员进行比较的响应时间和系统复杂性。验证容限可以设置为满足所需的安全级别，而不必考虑响应时间和系统复杂性，因为上述比较只涉及预先存储的人的生物特征。

在一个实施例中，该方法还包括：在用户设备处，经由用户设备和相应生物特征传感器之间的通信链路向匹配服务器发送人的匿名标识符，用以选择该人预先存储的生物特征。在注册期间，将匿名标识符分配给每个人，并且将匿名标识符存储在匹配服务器、用户设备和/或应用服务器中，以便能够将匿名标识符从用户设备发送到相应的生物特征传感器，并选择该人预存的生物特征。

在一个实施例中，该方法还包括：在用户设备处，从应用服务器接收该人的匿名标识符，以便能够在匹配服务器处选择该人的预存储的生物特征。匿名标识符可以从应用服务器发送到用户设备，并在匹配服务器上使用(可能与应用服务器合作)，以便能够选择该人的预先存储的生物特征。

在一个实施例中，该方法还包括：在用户设备处，通过将用户设备处的视觉代码，特别是QR代码，显示在用户设备的显示器上的方式，以及通过在相应的生物传感器处读取视觉代码的方式，或者通过经由用户设备和相应生物特征传感器之间的NFC链路发送匿名标识符的方式，将人的匿名标识符从用户设备处发送给相应的生物特征传感器。在生物特征传感器包括用于捕获可见光谱中的图像的成像传感器(例如用于捕获手的掌纹)的情况下，以及在用户设备包括用于显示信息的显示器(例如智能手机的显示器)的情况下，视觉代码是特别实用的。

在一个实施例中，该方法还包括：在用户设备处，接收并发送加密形式的匿名标识符，以便能够在匹配服务器处选择该人预先存储的生物特征。

在一个实施例中，该方法还包括：限制用于记录人的一只或两只手的生物特征的生物特征传感器，特别是使用在470±25nm和850±25nm区域具有带通滤波器的图像传感器；在470±25nm和850±25nm区域具有独立可控的照明持续时间的LED照明单元；具有最小QVGA体素分辨率或更高分辨率的飞行时间传感器(QVGA：四分之一视频图形阵列)。体素定义三维空间中的元素，类似于二维平面中的像素。

在一个实施例中，该方法还包括：在生物特征传感器处，检测人的身体部位或人的用户设备是否正在靠近，并选择读取人的身体部分的生物特征，分别读取显示在用户设备的显示器上的视觉代码，或启用用户设备和生物特征传感器之间的NFC链路。例如，生物特征传感器可以包括用于检测和分类可见距离内的物体的三维成像设备。

在一个实施例中，该方法还包括：在生物特征传感器、匹配服务器和用户设备中的一个或多个处，启用数据通信的加密。

在一个实施例中，该方法还包括：启用生物特征传感器和用户设备之间的非接触式通信。因此，可以在不必与属于个人的设备接触的情况下对个人进行认证。

在一个实施例中，该方法还包括：在匹配服务器处，与相应的生物特征传感器和用户设备合作，以多阶段过程的形式，以可参数化的安全级别执行对个人的认证。例如，在注册人数较多的情况下，安全级别可以调整为较低级别，而在注册人数较少的情况下安全级别可以调整为较高级别。

在一个实施例中，该方法还包括：在匹配服务器处，应用与人的第一身体部位的生物特征相关的第一接受容限，以及应用与人第一身体部位和第二身体部位的生物学特征相关的第二接受容限。

在一个实施例中，该方法还包括：在人接近生物特征传感器时在生物特征传感器处启动当前生物特征的记录，或者在接收到相应信息时在应用服务器处启动当前生物特征的记录。

在一个实施例中，该方法还包括：将匹配服务器限制为认证的目的，以及将应用服务器限制为支付控制和访问控制中的一个或多个的目的。例如，根据《通用数据保护条例》(GDPR)。

本发明还涉及一种系统，该系统包括：一个或多个用于记录人的当前生物特征的生物特征传感器；匹配服务器，其用于将人的当前记录的生物特征与已登记人的预先存储的生物特征进行比较且应用一个或更多个识别接受容限，以及在匹配的情况下发送肯定认证的信号；个人的用户设备，其用于在没有肯定认证的情况下，在匹配服务器处选择个人预先存储的生物特征以与当前记录的生物特征进行比较且应用验证接受容限，以及在成功验证的情况下发送肯定认证的信号。

在一个实施例中，该系统还包括：应用服务器，其用于启用应用功能，特别是用于启用支付控制和访问控制中的一个或多个。

附图说明

下面参照附图中所示的实施例更详细地描述本发明。附图显示：

图1示意性地示出了生物特征的错误接受率(FAR)和错误拒绝率(FRR)的错误率作为接受容限的函数；

图2示意性地示出了FAR和FRR与改进的FAR’和改进的FRR’的比较；

图3示意性地示出了由应用服务器初始化的请求认证的示例，其中应用服务器具有支付服务器的形式；

图4示意性地示出了由个人触发的请求认证的示例，其中应用服务器具有访问管理服务器的形式；

图5示意性地示出了根据本发明的方法的可能步骤。

具体实施方式

为了确定当前记录的生物特征是否来自已知的人，将当前记录的生物特征与已登记的人的预先存储的生物特征进行比较。如果当前记录的生物特征与特定登记人员的预先存储的生物特征相匹配，则当前人员可以被接受为已被认证或已知，或者如果不存在这种匹配，则相应人员可以被拒绝为未被认证或未知。在一些实施例中，生物特征可以涉及人的手的生物特征，例如掌纹特征、静脉特征、手背的生物特征等，特别是左手和/或右手的生物特征。

图1示意性地示出了生物特征的错误接受率(FAR)和错误拒绝率(FRR)的错误率作为接受容限的函数。接受容限从左到右增加。接受容限涉及当前记录的生物特征和预存储的生物特征之间的距离测量的阈值，例如度量距离、汉明距离等。小的接受容限对应于生物特征之间的距离低于小阈值的情况，而大的低接受容限对应于生物特征间的距离低于大阈值的情况。

如图1所示，如果接受容限较大，则FAR较高，而如果接受容限较小，则FAR较低。换句话说，对于小的接受容限，错误接受的数量较低，其中对于大的接受容限，错误接受的数量较高。

如图1所示，如果接受容限较大，则FRR较低，而如果接受容限较小，则FRR较高。换句话说，对于小的接受容限，错误拒绝的数量较高，其中对于大的接受容限，错误拒绝的数量较低。

很明显，小的接受容限导致错误接受的数量较低(具有低FAR)，而大的接受容限导致错误接受的数量较高(具有高FAR)。此外，小的接受容限导致错误拒绝的数量较高(具有高FRR)，而大的接受容限导致错误拒绝的数量较低(具有低FRR)。因此，对于低FAR，FRR是高的，而对于低FRR，FAR是高的。因此，FAR和FRR是相互依存的。

如图1所示，为了比较当前记录的和预存储的生物特征，将接受容限设置为第一接受容限AT1会导致第一错误接受率ERA1和第一拒绝率ERR1。因此，将接受容限设置为特定值的结果是FAR和FRR同时具有特定值。

图2示意性地示出了FAR和FRR与改进的FAR’和改进的FRR’的比较。改进的FAR’和改进的FRR’是由于增加了特征性生物特征的数量和/或增加了仿射区域。改进的FAR’和改进的FRR’更平坦，并且降低了错误肯定和错误否定决策的概率。

无论改进如何，实际上都不可能将FAR降低到满足大量人员安全要求(几乎为零)的阈值以下。

根据本发明，一种用于生物特征认证的系统包括以下系统组件：

a.一个或多个生物特征传感器b1、b2、…、bn，每个生物特征传感器包括图像传感器，用于记录人P的生物特征(例如手的生物特征)的3D图像、视觉图像(VIS)和/或近红外图像(NIR)，请求认证，并用于从当前记录的人P的3D图像、视觉图像(VIS)和/或近红外图像(NIR)中确定当前记录的生物特征；

此外，生物特征传感器b1、b2、…、bn被配置为从诸如智能手机的人P的用户设备S接收数字信息，其中数字信息由生物特征传感器b1、b2、…、bn进行接收，例如通过捕捉显示在用户设备S的显示器上的诸如QR码的可视码的图像，经由NFC链路(NFC：近场通信)到用户设备S等。

b.匹配服务器MS，其具有存储的登记人员的预存储的生物特征，并且被配置为在应用接受容限AT的同时将记录的生物特征与预存储的生物特征进行比较；

c.应用服务器PS、AMS，用于管理特定于用例的要求，例如访问控制、支付等；

d.请求认证的人P的用户设备S，例如智能手机。

在一些实施例中，生物特征传感器包括可见光传感器和近红外光传感器中的至少一个，可见光传感器用于在可见光谱中捕获人的身体部位的图像数据，近红外光传感器用于在近红外光光谱中捕获身体部位的图像数据。在一些实施例中，生物测量成像设备包括飞行时间相机，该飞行时间相机配置为用于捕获人的身体部位的三维图像数据。在一些实施例中，根据在可见光谱中捕获的图像、根据在近红外光谱中捕获到的图像和/或根据三维图像来确定生物特征。在一些实施例中，生物特征传感器配置为用于从人的手捕获图像，特别是从掌纹、从静脉图案和/或从手的三维几何形状捕获图像。

生物特征认证系统的组件之间的通信是通过有线或无线通信链路实现的，例如电缆链路、WiFi、3G、4G、5G等。在一些实施例中，通信是加密和安全的。在一些实施例中，人P经由PIN、指纹、人脸识别等在用户设备S处对自己进行认证。在一些实施例中，用户设备S包括用于经由例如基于SIM卡的电信网络进行通信的通信接口(SIM：订户识别模块)。

在匹配服务器MS处，登记的人的预存储的生物特征基于人的登记，其中对于相应的预存储生物特征，在如下两个步骤中登记对应的人。

在第一步骤中，在应用服务器MS、AMS的合作中，用户设备S(例如由应用服务器MS和AMS提供并安装在人P的智能手机上的应用程序)控制用户设备S的界面(例如图形用户界面)并接收人P的个人数据(例如姓名、地址等)。应用服务器MS、AMS生成唯一标识符APPL_ID，并将唯一标识符APPL_ID分配给个人P的个人数据。在一些实施例中，用户设备S被配置为能够遵守通用数据保护条例(GDPR)，例如用于删除数据、重复注册、设置规则等。

在第二步骤中，该步骤发生在受信任人员的监督以及应用服务器MS、AMS合作的情况下的受信任位置，受信任人员通过例如扫描显示在人员P的用户设备S的显示器上的相应视觉代码(例如QR代码)来验证唯一标识符APPL_ID，通过验证人的个人数据和通过验证人P的身份。例如，基于身份证、护照等来验证人P。受信任的人监督人P使用安装在受信任位置的生物传感器(如上所述)记录她的生物特征，其中将唯一匿名标识符PF_ID分配给所述唯一标识符APPL_ID。应用服务器MS、AMS存储并管理唯一标识符APPL_ID和唯一匿名标识符PF_ID之间的链接。

生物特征认证系统支持以下应用程序用例：

i.由所述应用服务器初始化对认证的请求；

ii.身份验证请求是由个人触发的事件。

图3示意性地示出了由应用程序服务器初始化的请求身份验证的示例，其中应用程序服务器具有支付服务器的形式。

如图3所示，收银台服务器CDS与安装在销售点(POS)的收银台c1、c2、…、cn相连。收银台服务器CDS进一步连接到支付服务器PS。

收银台服务器CDS从收银台c1、c2、…、cn中的一个接收用于支付个人P想要购买的商品的支付请求，并将该支付请求发送到支付服务器PS。

在每个收银台c1、c2、…、cn处，安装生物特征传感器b1、b2、…、bn，其中在支付服务器PS处，每个收银台中c1、c2、…、cn在逻辑上链接到相应的生物特征传感器b1、b2、…、bn上，其中相应的生物特征传感器b1、b2、…、bn的标识符RT_ID与相应的收银台c1、c2、…、cn的标识符链接。

支付服务器PS连接到匹配服务器MS。在接收到支付请求时，支付服务器PS向匹配服务器MS发送认证请求以及相应生物特征传感器b1、b2、…、bn的标识符RT_ID。

匹配服务器MS请求在相应的生物特征传感器b1、b2、…、bn处接收人P的当前记录的生物特征。在应用预定义的接受容限AT的同时，匹配服务器MS将当前记录的生物特征与预先存储的生物特征进行比较。

在肯定认证的情况下，匹配服务器MS将相应的人P的唯一匿名标识符PF_ID和相应的生物特征传感器b1、b2、…、bn的标识符RT_ID发送到支付服务器PS。

在否定认证的情况下，匹配服务器MS将相应生物特征传感器b1、b2、…、bn的标识符RT_ID连同拒绝消息一起发送到支付服务器PS。

在肯定认证的情况下，支付服务器PS完成支付，并向收银台服务器CDS发送支付确认，以进一步递送到相应的收银台c1、c2、…、cn。

在否定认证的情况下，请求认证的人P操作人P的用户设备S，以使得能够在匹配服务器MS处选择预先存储的人P的生物特征，用于与当前记录的生物特征进行比较，这将在下面更详细地描述。

图4示意性地示出了一个请求身份验证的示例，该示例是由一个人触发的事件，其中应用程序服务器具有访问管理服务器的形式。

如图4所示，访问管理服务器AMS与安装在各个门上的储物柜d1、d2、…、dn相连，用于控制对受限访问的访问。

在每个储物柜d1、d2、…、dn处，安装生物特征传感器b1、b2、…、bn，其中在访问管理服务器AMS处，每个储物柜d1，d2、……、dn逻辑地链接到各个生物特征传感器b1、b2、…、bn上，其中各个生物特征传感器b1、b2、…、bn的标识符RT_ID与相应储物柜d1、d2、…、dn的标识符链接。

请求访问受限区域的人在相应的生物特征传感器b1、b2、…、bn处开始记录她的生物特征，其中当前记录的生物特征被发送到匹配服务器MS。在应用预定的接受容限AT的同时，匹配服务器MS将当前记录的生物特征与预先存储的生物特征进行比较。

在肯定认证的情况下，匹配服务器MS将相应的人P的唯一匿名标识符PF_ID和相应的生物传感器b1、b2、…、bn的标识符RT_ID发送到支付服务器PS。

在否定认证的情况下，匹配服务器MS将相应生物传感器b1、b2、…、bn的标识符RT_ID连同拒绝消息一起发送到访问管理服务器AMS。

在肯定认证的情况下，访问管理服务器AMS控制相应的储物柜d1、d2、…、dn，以允许人员P访问，同时应用附加规则(如果适用的话)。

在否定认证的情况下，请求认证的人P操作人P的用户设备S，以使得能够在匹配服务器MS处选择人P的预先存储的生物特征，用于与当前记录的生物特征进行比较，这将在下面更详细地描述。

匹配服务器MS被配置为在将当前记录的生物特征与预先存储的生物特征进行比较时应用可调整的接受容限。

例如，如果生物特征的比较涉及人P的一只手的当前记录的生物特征和所有登记的人的各自预存储的生物特征，从而识别人P是否是登记的人之一，则可以将接受容限调整为识别接受容限AT_ident_one。

例如，如果生物特征的比较涉及人P的两只手的当前记录的生物特征和所有登记的人的各自预先存储的生物特征，从而识别人P是否是登记的人之一，则可以将接受容限调整为识别接受容限AT_ident_two。

例如，如果生物特征的比较涉及当前记录的生物特征是否与单个人的预先存储的生物特征的特定集合匹配的验证，则可以将接受容限调整为验证接受容限AT_ver，从而验证该人是否是登记的人中的特定人。

接受容限AT_ident_one可以与人P的一只手的生物特征相关，而接受容限AT_ident_two可以与人P的两只不同手的生物特性相关。涉及人的两只不同的手的接受容限AT_ident_two可能远大于仅涉及人的一只手相关的接受容度AT_ident_one，因为比较同一个人的两只手涉及两个独立的事件，因此通过乘以个人概率，正确认证的总体概率显著增加。

如前所述，接受容限AT_ident_one、AT_ident_two、AT_ver与距离测量有关，例如度量距离、汉明距离等。

可以根据注册人数和所需的安全级别来调整接受容限AT_ident_one、AT_ident_two、AT_ver。在计算上，小的接受容限比大的接受容限要求更高。因此，如果注册人员的数量很大，则为了改善响应时间、降低系统成本等目的，可以增加接受容忍度，同时降低安全级别。

在肯定认证的情况下，即在生物特征的比较在所选择的接受容限AT_ident_one、AT_ident_two、AT_ver内的情况中，匹配服务器MS被配置为将个人的相应匿名标识符PF_ID和相应生物特征传感器b1、b2、…、bn的标识符RT_ID发送到应用服务器PS、AMS。

匹配服务器MS配置为在否定认证的情况下将接受容限调整为AT_ident_one，并且在仍然否定认证的情形下将接受容忍调整为AT_ident_two。

根据预先定义的规则，例如在支付超过预先定义的限制的情况下，匹配服务器MS被配置为调整接受容限AT_ver，而不预先调整接受容限度AT_ident_one、AT_ident_two。

接受容限AT_ver独立于注册人数，并且与当前记录的生物特征是否与预先存储的生物特征的特定集合匹配的验证有关。

结合调整到接受容限AT_ver，用户设备S配置为，个人可以请求从应用服务器PS、AMS接收包含其匿名标识符PF_ID的加密代码，并且从用户设备S向相应的生物特征传感器b1、b2、…、bn以进一步传输到匹配服务器MS，用于验证属于匿名标识符PF_ID的生物特征。

图5示意性地示出了根据本发明的方法的可能步骤。在步骤S1中，在生物特征传感器b1、b2、…、bn处，记录人P的当前生物特征，例如人P的一只手的生物特征。在步骤S2中，将人的当前记录的生物特征与登记人的生物特征进行比较，同时应用一个或多个识别接受容限AT_ident_one、AT_ident_two。如图5所示，该方法可以返回步骤S1，以记录进一步的生物特征，例如人P的另一只手的生物特征。如图5中所示，在步骤S2中匹配的情况下，发出肯定认证的信号。在没有肯定认证的情况下，在步骤S3中，将生物特征与人P的预先存储的生物特征进行比较，同时应用验证接受容限AT_ver，其中例如使得用户设备S能够选择人P的预存储的生物特性。

附图标记

b1、b2、…、bn 生物特征传感器

RT_ID 各个生物特征传感器的标识符

MS 匹配服务器

AT 接受容限

AT_ident_one、AT_ident_two识别接受容限

AT_ver验证接受容限

PS 支付服务器

c1、c2、…、cn 收银台

CDS 收银台服务器

AMS 访问管理服务器

d1、d2、…、dn 储物柜

P 人

S 人的用户设备

APPL_ID人的个人数据的唯一标识符

PF_ID人的匿名标识符