CN1605175A - 文档和持有人验证系统 - Google Patents

Abstract

本发明公开了用于验证申请文档(12)的申请人的身份、发出的文档(13)、及文档(12)持有人的身份的装置和方法，其通过从申请人、文档和/或其持有人获取信息、确定多个安全、远程数据库中的哪一个包含验证所获得的信息所需要的信息、比较所获得的信息与保存在所确定的数据库中的信息，从而在不公开数据库信息给任何人的情况下验证所获得的信息，并提供所获得的信息与来自所确定的数据库的信息是否匹配的指示。

Description

文档和持有人验证系统

相关申请的交叉参考

本申请涉及2001年11月26日申请的、题为“确认及验证装置和方法”的美国专利申请09/994,399，在此将其合并进来以供参考。

技术领域

本发明涉及用于确认文档的持有人的身份、用于将文档上的信息与数据库中的信息进行比较以确定是否有大家知道的其他关于文档或其持有人的令人关切的信息(concern)的装置和方法。

背景技术

在现有技术中，终端已被用于读和验证不同类型的文档，包括身份和/或旅行文档。在过去一些年中，这样的文档的变造和伪造已逐渐增加，相对地，大量特征已被合成在文档中以使文档的变造或伪造更加困难。

为防止对身份、旅行及类似文档、及有价文档的伪造和变造，许多创新已被提议或提出。一种解决方案是用于制造这些文档的新材料的开发和实施，其已使得伪造和变造更加困难，并使得伪造和变造的文档的检查更加容易和快捷。这样的新材料包括在层压材料中使用全息图和回射(retro-reflective)层，不可见信息只有在其被某些波长的不可见光或其他能量照射时才会出现，且不同类型的墨水在正常环境光照下被看见为一种颜色，而在由某些波长的不可见光或其他能量照射时被看见为不同的颜色(化学标记物(chemical taggants))。此外，肉眼看不见的磁性及无线电频率(RF)标记物被添加到基础材料和层压材料中，但其可用特别的设备检查出来。另外，微型智能芯片及存储芯片可被嵌入在这些文档中，正因为他们是智能卡，因而可用于识别、读并确认他们嵌入于其中的文档，并用于识别和确认这些文档的持有人。

用于护照的反伪造的安全层压材料的一个实例是在美国专利5,658,411中描述的3M的Confirm安全层压材料。用于护照的反伪造的3M安全层压材料的另一实例在美国专利5,631,064中描述，其使用回射玻璃微球体。

使用智能卡技术的身份证的一个例子最近已在马来西亚提出，其嵌入的计算机芯片和存储器允许该卡可同时用作身份证、驾驶证、现金卡、国家健康服务卡、及护照。

随着用于制造文档的、更难于伪造或变造的新材料和新技术的增加，对新设备和系统的需求也已在不断增加，这些新设备和系统用于：自动识别和确认文档、确认文档的持有人的身份、验证持有人有权参与由文档代表的活动、及将文档上的信息与信息数据库进行比较以确定是否有已知的关于文档或其持有人的所关切的信息。这种需求已经出现，因为对于个人自己来分析和确认使用那些新材料和其他技术的文档实质上已变得不可能。

因而，大量特征已被添加到用于读文档的终端中以确认和验证文档及其持有人，如在上面引用的相关申请中所描述的那样。

然而，在成为罪犯或被确定为恐怖分子之前，罪犯和恐怖分子可能已被发给了有效的身份和/或旅行文档，或者那样的文档已由某些国家中的腐败官员为了酬金而不正当地发给罪犯和恐怖分子，且它们通常以错误的姓名和其他信息发出。当调查进行2001年911行动的恐怖分子时，发现他们中的部分人具有多个伪造但有效的护照，具有不同的姓名并来自不同的国家。

此外，某些个体窃取其他个体的身份，其通过首先获取复制的出生证明及其他文档和记录，然后将其用于欺诈性地获取“有效”文档，如护照和身份证包括国家身份证。因而，设计来检查变造和伪造身份和/或旅行文档的确认和验证终端将不能检查该不正当发给并由罪犯和恐怖分子使用的“有效”文档。

发明内容

在2001年911恐怖活动的后果中，更多的注意已在损害方便和个人隐私的情况下专注于日益增加的安全措施的公众核准上。政府和私有企业已花了大量的钱并将继续花下去，以尽可能提供逐渐增加的安全性。

一个已受到大量关注的可能解决方案包括一具有集中数据库的国家ID系统的实施。与其非常昂贵的花销相比，其对积极身份验证仅提供了很小的改进，除非其辅之以全新的身份验证基础设施以克服我们当前系统的不足，不足包括非法移民的复杂问题、身份欺诈、欺诈性地获得“有效”文档、及被通缉的或在监视列表上的个体携带有效文档。这样的集中国家ID系统可能需要很大年来完成，假设“隐私”诉讼一点也不延迟和阻碍该系统的开发和实施的话。

一个更实际的获得改善的安全性的途径包括当前现有的身份、旅行和其他文档的使用，及涉及他们或文档持有人的分布式数据库(知识库)的使用。该知识库包括，但不限于，所收集的信息，用于发给：州驾驶证、身份证、出生和死亡记录、护照及签证及社会保险卡。该知识库还包括，但不限于，在正常商业过程中收集和保留的信息，如：运输预约和签到、信用卡核算、雇用历史、银行业务、学校注册、及兵役。该知识库还包括大量各种法律的实施数据库，但不限于，信息如：由州和联邦法律实施及情报局保有的“被通缉”或“监视”列表、监狱/逮捕记录、罪犯轮廓、及由外国政府/组织保持的类似信息。利用自动化的“智能”成像装置，生物测定数据可在本地从文档和/或直接从文档的持有人获得，且隐私包含ID信息路由选择和查询系统集中于风险评估，该方法的大部分构件均可相当快地到位。这将对现在使用的手工方法提供立即的安全、速度及成本上的改善。因为信息“信任机构”在线上实时提供是/否/可能文档及持有人确认评价，ID验证将被呈指数级地增强。“监视”列表和隐私保护“智能”模式识别技术可提供跨数据库风险评估。由于围绕生物测定标识方法的公共问题得以解决，验证甚至可变得更加广泛。

ID验证还是正在进行的反欺诈战役中的主要组成部分，其中欺诈包括来自身份窃贼的欺诈。据估计，与所有这种欺诈相关的全球金融损失每年达到将近万亿美元。根据国际警察组织，欺诈已成为全球第二大犯罪问题。每年由于伪造品引起的损失估计高达2500亿美元，由于文档欺诈和伪造(支票、信用卡、流通货币，等)而引起的损失达4000亿美元。由于欺诈减少所自然增加的储蓄应多于安全性改善所需要的支出。我们越使过程自动化，则储蓄越多。

目前，在确认个体不是以假装的或窃取的身份操作时有几个实质的问题。我们有一个出生证明系统，其在州与州之间是不同的，有时在国与国之间也不同。在大多数情况下，很少对复制证书的发给或被发给证书的个人的验证进行控制。

即使某些文档和持有人确认和验证终端具有检查伪造和变造文档的能力，如身份文档和护照，及使用保存在该文档上的生物测定信息验证该文档的持有人的身份的能力，在某些外国政府，有效的身份和旅行文档被腐败官员不正当地发给罪犯和恐怖分子。另外，为了检查不正当地发给罪犯和恐怖分子的有效身份和旅行文档，还需要其他技术来识别这些个体，如，但不限于，被通缉个体、已知或嫌疑恐怖分子的监视列表的使用，确定个体是否在禁止入境的列表上，及确定是否有关于该文档或其呈递人的令人关切的信息。这样的信息不是在旅行、身份或其他文档上发现，该信息必须使用在此公开的新文档确认和验证系统依靠数据库来检查，该数据库已被集合和保存。

此外，某些个体窃取了其他个体的身份，其通过首先获得复制出生证明及其他文档和记录，继而将所获得的这些东西用于欺诈性地获得其他有效的较高质量的文档，如护照和身份证包括国家身份证。携带通过欺诈获得的文档的个体仅可通过检查现有的数据库来识别，这些数据库用于指示文档发给了出现在死亡记录中的人、或在携带文档的个人的外表年龄和出现在不同数据库中的年龄信息之间有差异、或者在数据库中没有文档上所列名的个体的出生、医疗或其他记录。所有这类差异提供了警告指示，即应对正被检查的个体进行特别详细的检查。

通过使用本发明新文档确认和验证系统，被不正当发出的、与身份窃贼关联的新的有效文档如护照和身份证的数量将得以最小化。根据本发明的教导，在新文档发出之前，依靠保存在前面提及的多个数据库中的信息，通过欺诈获得的“原始”文档、生物测定信息、及其他由个人提交的用于欺骗性地获得新文档的信息可被检查。在企图窃取他人身份的个人可能已通过欺诈获得他人的复制出生证明和驾驶证及获得他人的一些私人信息的同时，通常关于他人的其他信息不能被获得，而这些不能被获得的信息将在申请新文档时被要求提交。不能提供这样的其他信息的人将被立即严加关注。此外，在依赖于各种数据库验证信息时，错误信息的提交将被检查，且将对其他获得新文档的个人采取适当行动以确定他们是否是正想通过欺诈获得新文档。通过使用在此提出的新验证系统，仅用最少的或不用人工干涉，响应于信息验证比较而给出唯一的“匹配”/“不匹配”结果，隐私问题得以足够地处理。

目前，数据库由每一文档类型的发出部门创建和维护，及由其他将其作为它们的商业模式的一部分的具有控制权力或作业流程的组织创建和维护。被授权访问这样的数据库的新信任机构习惯于使用标准化隐私保护的ID数据路由选择及集中于风险评估的查询/响应系统来访问数据库。即，适合于数据库的信任机构服务器将比较信息，如从所提交的文档获得的出生日期及保存在其相关数据库中的出生日期，并返回一匹配或不匹配的响应给发起出生日期匹配查询的远程终端。另外，匹配可在用于验证终端的服务器进行。在这种情况下，隐私问题得以足够地处理，因为通常没有人员访问来自验证终端的数据库内容。

例如，美国国务院维持了一其发出的护照的数据库及其发出的驾驶证和身份证的数据库。这样的数据库通常包括，或可能包括，文档编号、文档的发出部门的身份、传记信息、及生物测定信息包括照片、指纹、虹膜扫描、及其他这样的信息。只有在非常特殊的情况下，从数据库检索的信息如照片才不在相关信任机构服务器进行匹配，但代之以向确认和验证终端返回一与文档呈递人进行手工比较的请求。这在外表已经有实质性的变化及针对文档的比较是非决定性的情况可能发生。即使在这种情况下，最通常使用的方法是发送来自该呈递人的“现场”照片的生物测定数据给信任机构进行比较，而不是由低能力的终端操作员进行比较。

此外，确认和验证系统有不能准确确定文档是否有效的情况，如由于文档的表面上有划痕或污点。结果，可从文档如身份或旅行文档准确获得的信息被用于相对于保存在由发出文档的发出部门控制的信任机构数据库中的其他信息进行检查，信息匹配的评价经信任机构服务器返回给提出请求的验证终端，且信息接着被与来自其他源的信息一起进行评价以评估相关的风险及什么样的进一步行动是合适的。例如，如果在终端有操作员，持有人可被询问以与正被检查的文档上的信息进行比较，从而进一步确定文档是否有效并验证其持有人的身份。

例如，在特殊情况下，如在丢失或失窃ID的情况下，呈递人可批准从中央数据库找回照片和信息，从而代替实际文档与他们进行比较。

文档上的照片可以足够质量被抓取以发送给信任机构服务器，在信任机构服务器，其与保存的照片通过使用由服务员支持的面部匹配技术进行比较。然而，在大多数情况下并不要求这样，因为图像处理技术可被用于得到将照片表示为图形的“代码”，该图形可由信任机构与从用于创建文档的原始图像得到的类似代码进行比较。从而，对于大多数事务，不需要交换生物测定信息。保存在文档上的图片、签名、指纹、虹膜扫描或其他生物测定信息可与直接从文档持有人接收的生物测定信息进行比较，和/或在信任机构服务器与从他们的数据库检索到的生物测定信息进行比较。同样，从文档及文档的呈递人获得的信息可相对于保存在其他本地或分布式数据库中的信息进行检查，如“监视”列表、“被通缉”列表、禁止入境列表，并确定是否有任何其他关于文档或其呈递人的令人关切的信息。以这种方式，虚假身份及身份窃贼可被检查出来。从而，检查的确定性对那些犯罪和国际恐怖活动将产生很大的威慑。

附图说明

本发明将通过读下面的结合附图的详细描述而得以更好地理解，其中：

图1为结合信任机构的网络工作的多个文档验证和文档产生终端的总框图，其用于验证在申请文档时提交的信息、验证发出的文档及被发给文档的个体。

图2为利用信任机构的信息和文档验证系统的更详细的框图，其以安全、专用方式访问联邦、州、私用及外国数据库以验证在申请文档时提交的信息及验证发出的文档和被发给文档的个体。

图3为与信任机构服务器结合使用的验证系统服务器所执行的操作的框图，其验证在申请文档时提交的信息及验证发出的文档和文档持有人。及

图4为与验证系统服务器结合使用的信任机构服务器所执行的操作的框图，其验证在申请文档时提交的信息及验证发出的文档和文档持有人。

具体设施方式

用于验证所提交的信息及通过检查以确定发出的文档是否是伪造的或已被变造过来验证发出的文档的较好的设备在个体的积极识别方面将不会提供更多的改善，除非其辅之以一新身份验证基础设施以克服我们当前系统的不足，这些不足已使得身份窃贼变得非常普遍。身份窃贼太普通了，因为很容易通过欺诈获得驾驶证、州身份证、出生证明、及社会保险编号，并继而使用这些文档作为身份的证明以获得其他文档如护照或国家ID卡。

对于未成年人，接到社会保险编号的应用仅要求父母的证词。而驾驶证、州身份证、护照或工作许可证均与出生证明和/或社会保险编号联系。因此，没有实际的生物测定信息将存在与获得文档的个人联系起来。

死亡证明/通知甚至更少被控制。在出生记录上根本没有标记，除非已故的人一直在收受社会保险福利且社会保险机构已被通知其死亡的情况，没有个人的社会保险编号退役或阻止某些人采用死者的身份。

即使新的外国人居住卡也很少有真正的安全性，因为没有全面的过程来验证其是正当地发给持有人。此外，没有使雇员有义务鉴别文档或验证持有人正是文档所发给的人。该高安全性卡对“绿卡”伪造没有什么影响，因为初期的“绿卡”发放从来未被取消并因而对身份验证而言还是可接受的。因此，在旧卡的伪造进行得很好的情况下为什么要伪造更安全的卡呢？

直到2001年的911悲剧事件之前，美国人还不愿意因为任何原因接受个人隐私的损失。这种态度已经发生变化，如由当前的民意测验及授予法律实施部门更大的权力的新反恐怖主义法所反映的。个人隐私已暂时减少，但不知道其可被接受多久。

一提出的国家ID系统的核心是集中数据库，无疑其增加了公众的“老大哥”恐惧。当然，对信息的集中收集及潜在的个人选择的传播、生活方式选择、及可被用于犯罪、虐待、或主动提供的市场努力的目标人群的数据有合法的关注。然而，当我们考虑到大量我们个人的信息可在数据库中发现，而当前没有比政府更不可靠的手，这些关注有点失去理性。

事实是，当或许最好将我们的身份及其保护委托给我们的政府时，历史上的一个时期已经被达到。真实身份的隐藏是大多数非法活动成功的关键因素，缺乏确定身份的积极手段为其他人提供了采用我们身份的机会。对任何正以我们的姓名执行的事务或相互作用过程强迫进行积极的身份确认实际上保护了我们，同时也保护了社会。

如果正确进行，集中国家ID数据库可与朝向改善安全性方向走得很远，但该系统要求公众思想倾向的很大转变。其不仅需要很多年来实施(一些人估计需要10年)，而且隐私诉讼可很容易地延迟或阻止新系统。

获得逐步增加的安全性的更实际的办法涉及当前现有的全球身份验证文档及对应其的分布式数据库的使用，其中访问数据库由新信任机构控制，且通过更大地限制从这些数据库传播信息而使隐私关注得以足够地处理。例如，适合于数据库的信任机构服务器将比较从提交的文档得到的出生日期与保存在服务器的相关数据库中的出生日期，并返回“匹配”或“不匹配”响应给发起出生日期匹配查询的远程验证终端。

通过使用自动化的智能图像设备、本地生物测定数据、及隐私保护ID数据路由选择和集中于异常报告的查询系统，该方法的大部分可在几个月内到位，从而相对于现在使用的人工方法对安全性、速度及成本提供立即的自动化的改善。

标准化的通信协议可从适当的数据库信任机构在线实时提供是/否/可能型的文档查询结果。监视列表和隐私保护智能模式识别技术可提供跨数据库的异常报告以进一步改进安全性，及随着围绕生物测定身份验证方法的公共问题的解决，积极的验证甚至可变得更加广泛。

实施该系统有四个主要的环节：(1)在事务处理点有验证终端或与其关联的其他装置收集数据；(2)由验证终端进行本地数据分析；(3)由验证终端向分布式知识库进行实时文档查询；及(4)在信任机构服务器和/或验证终端服务器和/或多个验证终端进行“智能”代理风险评估。所引用的专利申请致力于环节1和2。本发明致力于环节3和4。

图1为结合信任机构的网络工作的在一验证系统中连接在一起的多个文档产生终端(1-n)13及文档验证终端(1-n)12的总框图，其用于验证在申请新文档时的个体及其提交的信息(“文档申请人”)，并随后验证发出的文档及被发给文档的个体。文档产生终端13及文档验证终端12均经验证系统通信总线11连接到验证系统服务器10，验证系统服务器10用于访问多个信任机构服务器A-F 28以验证信息、文档和个体。

所示出的连接到文档验证终端12的是指纹读取机14、虹膜扫描仪15、及照相机16。根据终端12的特殊应用，部分或所有这些附件可不被提供。此外，尽管在图1中未示出，文档产生终端13可具有指纹读取机14、虹膜扫描仪15、及照相机16之一连接到其以从申请新文档的申请人收集在验证申请人的身份时要使用的生物测定信息。

目前，前面提及的数据库由每一文档类型的发出部门创建和维护，及由其他将其作为它们的商业模式的一部分的具有控制权力或作业流程的组织创建和维护。被授权访问这样的数据库的新信任机构习惯于使用标准化隐私保护的ID数据路由选择及集中于风险评估的查询/响应系统来访问数据库。即，适合于数据库的信任机构服务器将比较信息，如由文档验证终端12从所提交的文档获得的出生日期及保存在其相关数据库中的出生日期，并返回一“匹配”或“不匹配”的响应给发起出生日期验证查询的远程终端12。又例如，信任机构服务器将比较其他信息，如所提交的文档申请人母亲的娘家姓与保存在出生记录数据库中的该种信息，并返回“匹配”或“不匹配”响应给发起该查询的远程文档产生终端13。另外，万一数据库可被访问但没有信任机构服务器与其关联，验证系统服务器10可用作信任机构、执行验证检查并返回相同的信息比较结果给请求终端12和13之一。以这种方式，隐私问题得以足够地处理，因为通常不访问数据库内容，且数据库中的实际信息并不被公开。在某些情况下，从数据库检索到的信息如照片将不在关联的信任机构服务器处进行匹配，而是被返回给发出请求的文档验证终端12，且做出该照片请求的操作员将执行从数据库检索到的照片与文档呈递人的人工比较。

如先前所述，根据文档验证终端12或文档产生终端13的有目的的使用，一些终端，如多个终端(1-n)12之一或多个终端(1-n)13之一具有与其关联的另外的设备。这些设备如指纹读取机14、虹膜扫描仪15、及照相机16。

文档申请人或文档呈递人的图像可用照相机16抓取并经验证系统通信总线11转发给验证系统服务器10，验证系统服务器10决定应转发给信任机构23-27中的哪一个以与保存在信任机构数据库中的图像进行自动比较。使用面部匹配技术在现有技术中是公知的，使用照相机16抓取的呈递人图像与保存在所选择的信任机构的数据库中并从该数据库检索到的呈递人的图像进行比较。比较由信任机构进行，匹配性质的指示返回给验证系统服务器10，并将经总线11返回给文档验证终端12或文档产生终端13。以这种方式，如先前所述，文档申请人和文档呈递人的隐私得以保护。

另外，如果面部匹配不能实际地进行或被以任何程度的确实的事情驳倒，从所选择的信任机构的数据库检索到的图像可被返回给文档验证终端12或文档产生终端13，在那里操作员将手工执行面部匹配功能。这在文档呈递人具有胡须或戴有眼镜且他们的图像已变化到自动面部匹配不能进行的程度的情况是必须的。从数据库检索到的文档申请人或文档呈递人的图像被转发给终端12或13，从而在那里的操作员能手工比较检索到的图像和文档申请人或文档呈递人。然而，在这种情况下，通常是取得申请人或呈递人的“现场”照片并将其返回给信任机构由常驻的身份验证专家进行手工匹配。

指纹读取机14用于抓取文档申请人或文档呈递人的指纹以用于验证他们的身份，或与保存在文档上的指纹进行比较。如果需要进一步验证文档申请人或呈递人，指纹可经验证系统通信总线11和验证系统服务器10转发给信任机构，并以与前面所描述的相同方式进行处理。将被使用的指纹数据库最可能是FBI数据库且由读取机14抓取的指纹将由总线11和服务器10转发给信任机构服务器22。服务器22确定FBI数据库将由于验证而被访问并在安全政府网络29上通过网关38g转发给FBI服务器35，在那里用于所确定的文档申请人或呈递人的指纹将被检索并返回给信任机构服务器22并在该服务器22与转发自文档验证终端12或文档产生终端13的指纹进行比较，然后“匹配”或“不匹配”指示被返回给服务器10及终端12或13。在终端12没有指纹读取机14的情况下，但指纹可从现有文档上获得，则描纹可以本段开头描述的方式被验证。

虹膜扫描仪15用于抓取文档呈递人的虹膜扫描以与保存在文档上的虹膜扫描进行比较。对于文档申请人或文档呈递人的身份验证，使用扫描仪15获得的虹膜扫描可经总线11转发给验证系统服务器10，并以与前面两段针对面部图像和指纹所描述的相同方式处理以与数据库中所保存和检索到的虹膜扫描进行比较，比较或在信任机构服务器执行或在验证系统服务器10执行。在终端如终端12没有虹膜扫描仪15、但虹膜扫描可从现有的文档获得的情况下，虹膜扫描可以本段开头描述的方式被验证。

在一些应用中，如前面所述，可能不要求对直接从文档呈递人获得的生物测定信息进行验证。则可使用没有指纹读取机14、虹膜扫描仪15、及照相机16的基本文档验证者12。如上所述，保存在所呈递的文档上的生物测定信息依然可依赖于保存在数据库中的生物测定信息来验证。

不同于前面几段所述的信息和生物测定验证，与信任机构关联的数据库仍然可能不得不被访问以确定大量的事情，包括文档申请人或文档呈递人是否因为犯罪而被通缉，和/或是否在包括拒绝入境的列表的监视列表上，和/或确定是否有已知的关于文档申请人、文档、或文档呈递人的令人关切的信息。在这样的情况下，由文档申请人提交的信息或从文档验证终端12验证的文档获得的信息经验证系统服务器10转发给适当的信任机构服务器进行处理，且一指示经服务器10返回给终端12或13，其指示文档申请人或文档呈递人是否因为犯罪而被通缉，和/或是否在包括拒绝入境的列表的监视列表上，和/或指示是否有已知的关于文档申请人、文档及其呈递人的令人关切的信息。

如图1中所示，有一个本国安全信任机构服务器22，用于通过使用保存在安全政府网络29上的数据库中的信息来验证申请新文档的申请人提交的信息、从发出的文档获得的信息、或直接从文档呈递人获得的信息，所述政府网络29可以是州或联邦网络。用于不同政府部门的服务器30-39的每一个均经网关38a-i连接到安全政府网络29，并在目前被使用于对保存在连接到网络29的服务器上的数据库中的数据的部门间访问。信任机构服务器22提供对服务器30-39上的数据库中的信息的安全、隐私控制的访问，以验证发出的文档或其呈递人，验证文档申请人的身份，及确定是否有已知的关于文档申请人、发出的文档或其呈递人的令人关切的信息。以这种方式，隐私关注得以足够地满足。

为增加系统的能行性，外国政府的数据库可经安全通信链路和外国信任机构服务器26、27访问以获得对信息和/或文档或其呈递人的真实性验证的安全、隐私控制的访问，并确定是否有外国政府关注的关于文档或其呈递人的已知信息。

类似地，50个州的数据库均可经安全通信链路和州政府部门信任机构服务器23、24访问，以获得对信息的安全、隐私控制的访问，并验证文档申请人的身份，验证发出的文档或其呈递人的真实性，并确定是否有州政府部门关注的关于文档申请人、发出的文档或其呈递人的其他已知信息。这在文档申请人或文档呈递人的身份可疑的情况下是必须的，他们将被问一些问题，他们给出的答案将与来自州数据库的信息进行比较，以试图验证文档申请人或文档呈递人是否是他们声称的人。在示出直接访问州政府部门信任机构服务器的同时，具有数据库的州政府部门服务器可被连接到一安全政府网络，其经一单一信任机构服务器访问，如美国政府安全网络通过使用信任机构服务器22而被访问。

同样，组织或企业的私有数据库如，但不限于，保健提供商及银行，可经安全通信链路和信任机构服务器25而被访问，以获得对可能需要验证他们身份的文档申请人或文档呈递人的信息进行安全、隐私控制的访问。这在文档申请人或文档呈递人的身份可疑的情况下是必须的，他们将被问一些个人问题，他们给出的答案将与来自私有数据库的信息进行比较，以试图验证文档申请人或文档呈递人是否是他们声称的人。

图2为验证系统的更详细的框图，其利用信任机构以安全的方式经信任机构服务器访问联邦、州、私用及外国数据库，从而在处理隐私关注的同时文档申请人、发出的文档和被发给文档的个体。在图2的中部是验证系统服务器10和验证系统通信总线11，其已在前面几段中参考图1进行了描述。如前所述，服务器10确定哪一信任机构服务器将以安全方式被访问，其在验证来自文档申请人、发出的文档及文档呈递人的源信息时作为文档验证终端12或文档产生终端13的操作的一部分。此外，在某些情况下，个人的数据库，如运输预约/登记系统服务器25，可以没有其自己的信任机构服务器，如果需要信任机构的话，验证系统服务器10可用作其信任机构。所有要求信任机构的数据库均可经他们各自的信任机构服务器23-28而被访问，且他们均连接到服务器10。在这些服务器之间的所有通信路径最好是安全通信通道，不可由外界访问，且在其上的所有通信均被加密。如前面所提及的，信息在服务器10和所有信任机构服务器28之间传递，且在服务器10或服务器28之一处做出的决定是以下述方式进行：保护文档产生终端13处的文档申请人的隐私或保护文档验证终端12处的文档呈递人的隐私。

在图2中示出的连接到验证系统服务器10的是四种类型的信任机构服务器。有州政府部门数据库，如经信任机构服务器28a访问的州法律实施部门服务器23和州驾驶证服务器，及经信任机构服务器28b访问的身份证信任机构服务器24。同样还有私有数据库如可由信任机构服务器28c访问的运输预约/登记服务器25。其他类型的可连接到验证系统服务器10的私有数据库服务器(未示出)为信用卡数据库服务器和医疗记录数据库服务器。

如图2所示，数据库服务器23-27和30-39中的每一个均可经信任机构服务器28a-28f访问，但如前所述，在特定服务器组内如用于特定州的所有数据库服务器可被连接到普通安全的州网络，且一单一信任机构服务器被用于访问安全的州网络以访问州数据库服务器，从而验证来自文档验证终端12的源信息。

美国政府使用一个或多个网络如安全政府网络29将其数据库服务器互相连接起来。如图2所示，有9个数据库服务器经网关连接到安全政府网络29。网关用于仅向经授权的个人、团体或机构提供对他们关联的数据库服务器的访问。所示出的是联邦经济情报局/海关数据库服务器30与网关38a关联，IRS数据库服务器31与网关38b关联，社会保险数据库服务器39与网关38c关联，CIA数据库服务器32与网关38d关联，IBIS数据库服务器33与网关38e关联，国务院数据库服务器34与网关38f关联，FBI数据库服务器35与网关38g关联，移民及入籍局(INS)数据库服务器36与网关38h关联，及DOT/FAA数据库服务器37与网关38i关联。

对于本发明的目的，本国安全信任机构服务器22被允许访问连接到安全政府网络29的所有数据库服务器30-39。如前所述，这样的对政府数据库服务器的访问通常仅用于下述目的：将保存在政府数据库中的信息与来自文档验证终端12处的文档或文档呈递人的信息进行比较并返回指示“匹配”或“不匹配”的比较指示。以这种方式，隐私关注得以足够地处理。

如前所述，有某些类型的信息，或在某些条件下某些类型的信息可能不在信任机构服务器22处进行比较，而是直接转发给验证系统服务器10，并继而给文档产生终端13或文档验证终端12而用于验证文档申请人、文档或其呈递人的唯一目的。在服务器10和数据库之间没有示出直接的连接。

图3为在验证系统服务器10中执行的程序操作的框图，其使得源信息从文档申请人获得，并使得发出的文档及文档呈递人由信任机构服务器验证。在程序的开始，在框40，程序等待来自经总线11连接到其的多个文档验证终端12和文档产生终端13之一的请求，其请求验证从文档申请人、发出的文档或文档呈递人获得的源信息。当该请求被接收到时，程序前进到框41。

在框41，服务器10分析源信息验证请求以确定将被验证的信息类型。使用该确定，程序前进到框42，服务器10选择图2中示出的许多信任机构服务器中的哪一个将被访问以验证从终端12或13接收的源信息。使用信任机构确定的结果，验证系统服务器10将源信息转发给所选择的信任机构服务器。例如，如果指纹信息已从终端12或13处的文档申请人、发出的文档或文档呈递人获得，验证系统服务器10确定验证请求应被转发给本国安全信任机构服务器22，而FBI指纹数据库服务器38g正与该服务器22关联。

在框44，程序等待接收来自源信息转发给其的所选择的信任机构服务器的匹配结果。使用在前一段中的指纹例子，当信任机构服务器28f已完成指纹比较时，比较结果被返回给验证系统服务器10。在接收指纹比较结果的基础上，程序在“是”分支跳出框44并前进到框45，在该框指纹比较结果被返回给最初请求指纹验证的终端12或13。在终端12或13，指纹比较信息被用于验证最初从其获得指纹信息的文档申请人、发出的文档或文档呈递人。程序接着返回框40以等待来自终端12的另一信息验证请求。

图4为在信任机构服务器中执行的程序操作的框图，其从与信任机构服务器关联的数据库获得信息从而验证转发自验证系统服务器10的源信息。在程序开始，在框48，信任机构服务器程序等待自验证系统服务器10接收验证请求和源信息，以验证源信息。当接收该验证请求后，程序前进到框49。

在框49，所选择的信任机构服务器程序从其关联的数据库获得使得的信息。在框50，程序比较从数据库获得的信息及源信息。在框51，程序确定信息比较是否已导致“匹配”或“不匹配”的决定。在框52，在框51进行的信息比较的结果被返回给验证系统服务器10，在那里信息比较的结果被返回给最初请求源信息验证的终端12。程序接着返回到框48，以等待来自验证系统服务器10的另一源信息验证请求。

使用上面给出的指纹比较例子，本国安全信任机构服务器28f必须在安全政府网络29上发出一用于文档呈递人的指纹的请求给网关38g。服务器28f比较所检索到的指纹与源指纹并返回该比较结果给验证系统服务器10，验证系统服务器10将结果转发给最初产生指纹源信息验证请求的终端12或13。

在上文中已描述了本发明的优选实施例的同时，对于本领域的技术人员，在不脱离本发明的实质和范围的情况下做出大量变化将是显而易见的。例如，一信任机构服务器已被描述为与每一数据库服务器关联，但应理解的是，单个信任机构服务器可被关联并比较从文档或个人获得的信息与保存在多个数据库服务器中的信息。

Claims (26)

1、一种用于验证从个人和/或文档获得的生物测定和/或其他信息的方法，其在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，所述方法包括步骤：

确定包含有验证所获得的信息所需要的信息的数据库；

比较来自所确定的数据库的信息与所获得的信息，以在不公开数据库信息给任何人的情况下验证所获得的信息；及

提供所获得的信息与来自所确定的数据库的信息是否匹配的指示。

2、根据权利要求1所述的方法，其中所获得的信息是从源获得并还包括转发信息匹配指示给源的步骤。

3、根据权利要求2所述的方法，还包括转发所获得的信息给远程位置的步骤，在该远程位置发生信息比较步骤。

4、根据权利要求2所述的方法，其中，为了获得文档，个人提供所获得的信息，且所获得的信息在比较步骤期间被验证以在最后提及的文档发给最后提及的个人之前验证该人的身份。

5、根据权利要求1所述的方法，其中，为了获得文档，个人提供所获得的信息，且所获得的信息在信息比较步骤期间被验证以在最后提及的文档发给最后提及的个人之前验证该人的身份。

6、根据权利要求1所述的方法，其中个人提供所发给的文档，且将被验证的所获得的信息是从该人及其提供的所发给的文档获得。

7、根据权利要求2所述的方法，其中个人提供所发给的文档，且将被验证的所获得的信息是从该人及其提供的所发给的文档获得。

8、用于验证从个人和/或文档获得的生物测定和/或其他信息的装置，其在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，所述装置包括：

用于确定包含有验证所获得的信息所需要的信息的数据库的装置；

用于比较来自所确定的数据库的信息与所获得的信息的装置，以在不公开数据库信息给任何人的情况下验证所获得的信息；及

用于提供所获得的信息与来自所确定的数据库的信息是否匹配的指示的装置。

9、根据权利要求8所述的装置，还包括用于从个人和文档获得信息的装置，且其中由所述指示提供装置提供的信息匹配指示被转发给数据库确定装置，数据库确定装置依次将信息匹配指示转发给提供所获得的信息的信息获取装置。

10、根据权利要求9所述的装置，其中比较装置与数据库确定装置相距很远。

11、根据权利要求8所述的装置，其中，为了获得文档，个人提供所获得的信息，且所获得的信息由比较装置验证以在最后提及的文档发给最后提及的个人之前验证该人的身份。

12、根据权利要求2所述的发明，其中个人提供所发给的文档，且将被验证的所获得的信息是从该人及其提供的所发给的文档获得。

13、根据权利要求11所述的装置，还包括用于从个人和文档获得信息的装置，且其中由所述指示提供装置提供的信息匹配指示被转发给数据库确定装置，数据库确定装置依次将信息匹配指示转发给提供所获得的信息的信息获取装置。

14、根据权利要求12所述的发明，还包括用于从个人和文档获得信息的装置，且其中由所述指示提供装置提供的信息匹配指示被转发给数据库确定装置，数据库确定装置依次将信息匹配指示转发给提供所获得的信息的信息获取装置。

15、一种用于验证从个人和/或文档获得的生物测定和/或其他信息的方法，其在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，所述方法包括步骤：

在至少一终端从个人和/或文档获得信息；

确定包含有验证所获得的信息所需要的信息的数据库；

将所获得的信息转发给一个或多个有权使用所确定的数据库中的信息的服务器；

在服务器中比较来自所确定的数据库的信息与所获得的信息，以在不公开数据库信息给任何人的情况下验证所获得的信息；

提供所获得的信息与来自所确定的数据库的信息是否匹配的指示；及

返回匹配指示给最初发送与数据库信息进行比较的所获得的信息的终端。

16、根据权利要求15所述的方法，其中在一终端的个人为了获得一新文档提供所获得的信息，且所获得的信息在信息比较步骤期间被验证以在新文档发给最后提及的个人之前验证该人的身份。

17、根据权利要求16所述的方法，其中数据库的位置远离于终端。

18、根据权利要求15所述的方法，其中在一终端的个人提供所发给的文档，且将被验证的所获得的信息是从该个人及其提供的文档获得。

19、根据权利要求18所述的方法，其中数据库的位置远离于终端。

20、用于验证从个人和/或文档获得的生物测定和/或其他信息的装置，其在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，所述装置包括：

至少一在其处信息被从个人和/或文档获得的终端；

用于确定包含有验证在终端之一处获得的信息所需要的信息的数据库的信息验证服务器；

至少一与至少一数据库关联的信任机构服务器，及所获得的信息经信息验证服务器转发给与所确定的数据库关联的信任机构服务器，及信任机构服务器比较转发给其的所获得的信息以在不公开数据库信息给任何人的情况下验证所获得的信息；及

其中，信任机构服务器提供所获得的信息与来自所确定的数据库的信息是否匹配的指示，且信息匹配指示经信息验证服务器返回给最初发送用于验证的所获得的信息的终端。

21、根据权利要求20所述的装置，其中在一终端的个人为了获得新文档而提供所获得的信息，且所获得的信息在新文档发给该人之前由信任机构服务器验证。

22、根据权利要求20所述的装置，其中在一终端的个人提供所发给的文档，且将被验证的所获得的信息是从该个人及其提供的文档获得。

23、一种用于验证从个人和/或文档获得的生物测定和/或其他信息的方法，其在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，所述方法包括步骤：

确定包含有验证所获得的信息所需要的信息的数据库；

转发所获得的信息给一个或多个有权使用所确定的数据库中的信息的服务器以在不公开数据库信息给任何人的情况下验证所获得的信息；及

从一个或多个服务器接收指示所获得的信息与数据库中的信息是否匹配的指示。

24、一种用于验证从个人和/或文档获得的生物测定和/或其他信息的方法，其在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，所述方法包括步骤：

在一个或多个有权使用所需的数据库之一中的信息的服务器接收请求，其在不公开数据库信息给任何人的情况下验证从个人和/或文档获得的信息；

比较所获得的信息与在一个或多个服务器处最后提及的数据库之一中的信息，以验证所获得的信息；及

转发来自一个或多个服务器的指示所获得的信息与数据库中的信息是否匹配的指示。

25、一种包含计算机可执行指令的计算机可读介质，其用于验证从个人和/或文档获得的生物测定和/或其他信息，以在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，可执行程序指令包括用于下述内容的程序指令：

确定包含有验证所获得的信息所需要的信息的数据库；

比较来自所确定的数据库的信息与所获得的信息，以在不公开数据库信息给任何人的情况下验证所获得的信息；及

提供所获得的信息与来自所确定的数据库的信息是否匹配的指示。

26、一种包含计算机可执行指令的计算机可读介质，其用于验证从个人和/或文档获得的生物测定和/或其他信息，以在保护个人的隐私的同时验证个人的身份和/或文档的有效性，其中有具有关于个人和文档的信息的数据库，可执行程序指令包括用于下述内容的程序指令：

在至少一终端从个人和/或文档获得信息；

确定包含有验证所获得的信息所需要的信息的数据库；

将所获得的信息转发给一个或多个有权使用所确定的数据库中的信息的服务器；

在服务器中比较来自所确定的数据库的信息与所获得的信息，以在不公开数据库信息给任何人的情况下验证所获得的信息；

提供所获得的信息与来自所确定的数据库的信息是否匹配的指示；及

返回匹配指示给最初发送与数据库信息进行比较的所获得的信息的终端。