技术领域  本发明涉及生物特征识别技术领域，特别涉及在线手写 签名认证技术的基于可撤消的手写签名的身份认证方法。

背景技术  现代社会，因为计算机和网络的广泛应用，准确快速的 身份认证成为一种迫切的需要。常用的身份认证方法可分为三类：基于 知识的方法，如口令、密码等；基于信物的方法，如IC卡、身份证等； 基于生物特征的识别方法(简称为“生物特征识别方法”)。其中，生物 特征识别具有无需记忆与保存、不会丢失、不易仿冒等特点，被认为是 最自然、最值得信任的一种身份认证方法。

生物特征识别技术具有许多传统身份认证方法所无法比拟的优点， 但是它也有一个致命的弱点：一旦生物特征识别系统发生泄密，客户的 生物特征模板外泄，客户显然无法为自己更换一个新的生物特征。而且， 在不同的生物特征识别系统中，同一个客户注册的生物特征模板相同， 因此客户有理由担心自己的生物特征被滥用。也正因为这些问题，安全、 隐私、客户信心，再加上生物特征识别的准确性的原因，使得生物特征 识别技术在实际中的应用还不够理想。详见文献：Marcos Faúndez-Zanuy. Biometric Recognition：Why not Massively Adopted yet？IEEE Aerospace and Electronic Systems Magazine，20(8)：25-28，August， 2005(生物特征识别：“为什么没有大量应用？”，IEEE航空与电子系统 杂志，2005年8月)。

为了解决安全与隐私方面的问题，近几年“可撤消的生物特征”被 提出并逐渐得到重视。可撤消的生物特征，其基本思想就是用一种不能 恢复的方法对生物特征数据进行变形，然后将变形后的生物特征用于身 份认证。其特点是：一、对生物特征的变形是不可逆的。无法从变形后 的特征数据中恢复原始的生物特征，从而达到了隐藏生物特征的目的； 二、对生物特征的变形是可控的。不同的系统，对同一个客户的生物特 征可以采用不同的变形，因此避免了生物特征被滥用的危险。并且因为 同样的原因，客户可以拥有多个“生物特征”，即使生物特征识别系统出 现安全方面的问题，客户也可以重新注册一个生物特征。目前，“可撤消 的生物特征”已经被应用到指纹、人脸识别等场合。见文献：Russell Ang， Rei Safavi-Naini，and Luke McAven.Cancelable Key-Based Fingerprint Templates.ACISP2005，LNCS 3574：242-252，2005(“可 撤消的与密码有关的指纹模板”，澳大利亚信息安全与保密会议，2005)、 文献：N.K.Ratha，S.Chikkerur，J.H.Connell，and R.M.Bolle. Generating Cancelable Fingerprint Templates.IEEE Transactions on Pattern Analysis and Machine Intelligence，Vol.29，No.4，April 2007 (“可撤消的指纹模板的生成”，IEEE模式分析与机器智能学报，2007)。

生物特征包括指纹、虹膜、视网膜、DNA等生理特征和笔迹、手写签 名、声纹、步态等行为特征。在所有的生物特征识别方法中，手写签名 认证具有特别重要的意义，因为在长期的社会生活中，人们已经接受了 手写签名作为标识身份和表明自己意愿的一种方式。通常手写签名包括 在线手写签名与脱机手写签名两种，两者的区别主要在于手写签名信息 的采集手段和时机。脱机手写签名一般是用相机、扫描仪等设备，将写 在纸上的手写签名转变为静态图像，然后进行处理。在线手写签名一般 在书写的同时，用数字手写板、触摸屏等设备将笔(或手指)在书写平 面的运动轨迹记录下来。在线手写签名因为采集了书写过程的动态信 息，包含了丰富的个人特性，难以模仿，能有效标识签名者的身份，是 手写签名认证的主要研究方向。

在线手写签名的认证方法大体上可分为两大类：基于参数的方法和 点对点的方法。所谓基于参数的方法，手写签名由一系列的参数描述， 参数通过手写签名信息的全局或局部统计得来。基于参数的方法对手写 签名的比较很简单，例如可直接计算参数的欧式距离或Cosine距离， 然后通过距离大小判断手写签名与签名模板的相似性。而点对点的方 法，有的文献也称之为基于时间函数的方法，把在线手写签名的动态时 间序列视为对时间的函数，通过对齐、比较两个手写签名的时间序列判 断两个手写签名的相似性。在两个手写签名的动态时间序列之间存在非 线性时间弯曲现象，因而动态时间弯曲(Dynamic Time Warping，DTW)、 隐马尔可夫模型(Hidden Markov Model，HMM)、人工神经网络 (Artificial Neural Networks，ANN)等方法被用于动态手写签名序列 的比较认证。

无论国内外，有大量的研究者从事手写签名认证研究，在国际上一些 顶级的学术杂志、学术会议上不断发表论文，并且也涌现出了大量的专 利。如专利“手写式数字签名系统与方法”，周忠信，专利申请号 01115963.4，公开号CN1391198A，“手写签名鉴定程序、方法和设备”， 富士通株式会社，专利申请号02151381.3，公开号CN1445663A，等等。 这些研究者从手写签名信息获取、特征提取、手写签名比较与认证、系 统构成、签名模板数据库的更新等方面进行了大量的研究。但是，手写 签名认证系统面临的安全、隐私等方面的问题，还没有得到足够的重视。

发明内容  本发明的目的是：根据现有技术不足之处，手写签名认 证系统面临的安全、隐私等方面的问题还没有得到足够的重视，本发明 将“可撤消的生物特征”思想用于手写签名认证，提出一种基于可撤消 的手写签名的身份认证方法。

基于可撤消的手写签名的身份认证方法，将变形后的手写签名用于 身份认证。用正弦函数(或正弦函数的组合)对手写签名的x和y坐标 进行调制，从而达到手写签名变形的目的。正弦函数的参数由客户提供 的PIN(Personal Identity Number)码控制，在不同的应用中，客户可 以通过变更PIN码对手写签名进行不同的变形，因而每个客户可以拥有 多个手写签名。系统采用分布式结构，无论注册阶段还是认证阶段，对 手写签名的变形都在客户端完成，系统无需存贮原始的手写签名和PIN 码，以保证客户信息的安全和隐私。

本发明的技术方案是：基于可撤消的手写签名的身份认证方法，包 括：1)手写签名获取  利用数字式手写板获取手写签名的动态信息，包 括手写签名的二维坐标(x和y)、压力(p)随时间变化的动态序列；

2)手写签名预处理  本方法的预处理包括对手写签名进行位置归一 化、坐标大小归一化及压力归一化，手写签名预处理具体包括以下步骤：

2.1)计算手写签名在二维平面的重心；

2.2)将手写签名的重心作为新的坐标原点，对手写签名测试的坐标 序列进行坐标平移；

2.3)累积手写签名序列的二维坐标平方和R＝∑t(x(t)2+y(t)2)；

2.4)将R求平方根后用于手写签名序列坐标的大小归一化，归一化 的横竖标和纵竖标序列分别为x(t)＝K·x(t)/R0.5，y(t)＝K·y(t)/R0.5；

2.5)将压力序列除以其最大值从而完成归一化；

3)手写签名变形  利用正弦函数的组合f(t)＝∑iAi·sin(Bi+Ci·t/T) 对手写签名的两个坐标序列进行调制，从而得到扭曲变形的手写签名动 态序列：x(t)＝x(t)·f(t)，y(t)＝y(t)·f(t)，其中正弦函数的参数由客 户的PIN码生成；

4)特征提取  根据变形后手写签名坐标序列计算手写签名的线速度 v、手写签名轨迹切线角序列θ，与归一化后的二维坐标序列、归一化后 压力序列p一起作为手写签名的特征；

5)手写签名的比较与决策，包括以下步骤：

5.1)使用动态时间弯曲(Dynamic Time Warping，DTW)算法对齐手 写签名与签名模板的切线角序列，得到对切线角序列的时间调整函数；

5.2)根据对手写签名动态序列的时间调整函数对手写签名的x、y 坐标、线速度v、切线角θ和压力p五个动态序列进行时间规整；

5.3)计算每个动态序列的累积距离 $D_i=\underset{(t^R,t^T)\in P}{\Sigma }|O_i^R\left(t^R\right)-O_i^T\left(t^T\right)|.$ 其中Oi R和 Oi T(i∈{1，2，3，4，5})分别代表签名模板和手写签名的五个动态序列； (tR，tT)∈P代表手写签名与签名模板的对齐函数；

5.4)计算对手写签名的时间调整幅度 $D_0=\mathrm{Motion}=\underset{(t^R,t^T)\in P}{\Sigma }|t^R-t^T|;$

5.5)计算手写签名与签名模板之间相似性 $S=-\underset{i-0}{\overset{5}{\Sigma }}(D_i-{\mu }_i)/{\sigma }_i,$ 其中 μi和σi分别代表Di的均值和方差，它们可以用参考样本库中的估计值代 替。

5.6)决策，设定阈值进行判决

设定一个阈值T，当S＜T时，认为提交的手写签名是一个假手写签名； 否则判定提交的手写签名是一个真手写签名。

其中，在3)手写签名变形中对手写签名进行调制的正弦函数参数由 客户提供的PIN码生成：

设客户输入的PIN码为m1m2m3m4m5m6m7m8，则手写签名变形所用的正弦函 数的参数是：Bi＝0.2π·(1+m2i-1)，Ci＝1.5π+m2i·π，i＝{1，2，3，4}。PIN码的前 四位生成的参数用于x坐标的变形；后四位生成的参数用于y坐标的变 形。

在5)中签名模板在注册阶段客户提供的参考手写签名中选择：为每 位客户保留三个签名模板，签名模板的选择依据是参考手写签名的特殊 点数量；在客户提供的参考手写签名中，选择包含最多、最少和平均数 量特殊点的三个参考手写签名作为签名模板；在比较时，用最近邻法选 择合适的签名模板，手写签名分别与这三个签名模板进行比较，选择其 中D0最小的一组距离作为该手写签名与签名模板的相似性度量。

本发明的有益效果是：

相对于现有技术不足之处，手写签名认证系统面临的安全、隐私等 方面的问题，还没有得到足够的重视，本发明将“可撤消的生物特征” 思想用于手写签名认证，提出一种基于可撤消的手写签名的身份认证方 法。

基于可撤消的手写签名的身份认证方法，包括手写签名获取和手写 签名预处理，以及手写签名变形、变形函数的选择与控制、特征提取、 变形后手写签名的比较与决策。先用数字式手写板采集手写签名的动态 信息，然后对手写签名的二维坐标进行大小和位置的归一化。用正弦函 数的组合对手写签名的二维坐标序列进行调制，从而达到手写签名变形 的目的。在注册阶段，客户提供若干参考手写签名和一个PIN码，客户 机先对手写签名进行大小、位置归一化，然后根据PIN码生成变形函数， 对参考手写签名进行变形，最后将变形后手写签名提交到服务器。服务 器对变形后手写签名进行特征提取，生成签名模板，将签名模板存储于 签名模板库。在认证阶段，客户提交一个手写签名和一个PIN码，客户 机先对手写签名进行大小、位置归一化，然后根据PIN码生成变形函数， 对手写签名进行变形，最后将变形后手写签名提交到服务器。服务器对 变形后的手写签名进行特征提取，然后将得到的特征序列与客户的签名 模板进行手写签名比较和决策。

由此可知，本发明的有益效果是：

其一、设计了一种可撤消的手写签名。对手写签名的原始动态信息 进行变形，将变形后的手写签名用于身份认证。变形所用的参数由客户 控制，因此客户在不同的系统中可以注册不同的手写签名。并且，一旦 发生安全方面的问题，客户还可以更换其手写签名。

其二、通过正弦函数对手写签名的动态序列进行调制完成手写签名 的变形。正弦函数的参数可调，并且参数集中包含了足够数量的元素， 使客户拥有很多可能的手写签名。因此，对一个企图攻击系统的犯罪分 子而言，要使用暴力方式获取变形的参数将是十分困难的任务，从而保 证了系统的安全性。

其三、客户须提供手写签名与PIN码用于身份认证，因此这相当于 一种双因素认证。不同于普通的双因素认证，本发明将两种用于身份认 证的因素有机地结合到了一起，并且在系统中不存储任何一种原始的身 份认证信息。对一个企图攻击系统的犯罪分子而言，要获取客户的真实 手写签名和正确的PIN码十分的困难，因此有效地提高了手写签名认证 的可靠性和精度。

其四：基于可撤消的手写签名的身份认证方法的实施例中，采用本发 明的方法，用在本实验室中采集的手写签名数据进行了实验。其中将第 三步、第四步的实验结果与第一步即原始手写签名的认证的结果相比较， 可以看到基于可撤消的手写签名的认证方法要大大好于对原始手写签名 的认证结果。同样的比较和认证方法，对原始手写签名的认证可得到5％ 的等错率，对变形后的手写签名，如果用攻击III测试系统时可得到小 于2％的等错率。当然，该方法对攻击I和攻击II的识别效果不能达到如 此理想的程度，例如，当调制函数的参数为A＝1，B＝0.2π，C＝6π、测试用 攻击I时，EER等于0.065。但是，在应用中攻击I和攻击II出现的概 率非常小。对于前面所提出的参数设置原则来说，如果一个攻击者仅凭 猜测提供一个PIN的话，那么根据这个PIN对伪造手写签名进行变形后 得到的有99.97％的可能是第三类攻击，成为第二类攻击的概率微乎其微 (≤0.03％)。而对于第三类假手写签名，我们在实验中可以看到其认证 结果要大大优于原始手写签名的认证。因此本发明的方法的认证结果要 比基于原始手写签名的认证结果好得多。

附图说明

图1是变形前后的手写签名比较示例图。

图2是手写签名的二维坐标在变形前后的FFT系数比较示例图。

图3是变形前后的真假手写签名匹配距离示意图。

图4是频率参数差距变大时，对攻击I的识别效果图。

图5是相位参数差距变大时，对攻击I的识别效果图。

图6是幅度参数差距变大时，对攻击I的识别效果图。

图7是频率参数变化时对真手写签名和攻击I的FAR和FRR曲线图。

图8是频率参数变化时对真手写签名和攻击II的FAR和FRR曲线图。

图9是频率参数变化时对真手写签名和攻击III的FAR和FRR曲线图。

图10是相位参数变化时对真手写签名和三种攻击的FAR和FRR曲线 图。

图11是本发明的流程示意图。

具体实施方式