本申请要求于2015年12月22日提交的美国临时专利申请第62/270,658号以及于2016年10月3日提交的美国专利申请第15/283,993号的优先权，其中的每一个通过引用整体并入本文。
背景技术：
身份提供者发布身份以用于各种目的个人身份识别。例如，国家机构发放驾驶证或护照给个人，以用于由执法人员识别这些个人、访问国家提供的服务和系统、行使权利等。
不同的身份提供者使用不同的方法来提供身份。国家机构通常基于验证公民身份为特定司法管辖区的公民提供身份。雇主通常提供身份给雇员，以基于雇员信息提供对设施、福利等的选择性访问。消费者服务公司可以基于消费者信息提供身份给消费者，以提供对这些服务的选择性使用权。
身份可以有各种形式，从传统的物理表现形式(比如卡片或其他文件)到数字形式(比如用户名、密码等)。例如，国家机构通常提供卡片、文件或其他有形物品，然后个人将其物理上呈现以获得对服务或系统的访问。计算服务公司可以提供用户名、密码等，个人经由通信接口呈现该用户名、密码等以访问服务。
各种第三方也依赖身份提供者提供的身份来选择性地授权访问他们的服务和系统。例如，酒店、汽车租赁公司等通常要求个人在租赁发生之前提供有效的国家发放的身份。这种第三方实施各种不同的过程来验证身份的有效性和资格，比如从仅验证物理身份的存在到更详细的视觉检查，比如包括检查预期的元素等。
但是，提供和使用身份存在许多问题。由于开发技术证明伪造这样的身份越来越有效，因此一些现有的身份和授权程序的传统性质存在欺诈的危险。例如，传统的身份证、文件等，即使它们包含防伪措施(比如并入的标志、全息图等)，也越来越多地被现代技术成功复制。即使是数字身份也容易受到相应的数字技术的攻击。
各种各样的身份、身份提供者和第三方系统也导致了高度差异化的身份环境。个人通常需要与大量身份提供者交互以创建相应数量的身份，然后个人必须以不同的方式维护并提供该相应数量的身份给多个不同的第三方。同样地，许多第三方认为有必要接受各种不同的身份，进而为各种不同的身份提供相应的验证机制。这种零散的身份环境造成了个人和第三方在生产和使用身份方面效率低下。
因此，需要具有增强的安全性和效率的创建、验证和维护身份的装置、系统和方法。
附图说明
为了能够理解本发明的特征，下面描述了许多附图。然而，附图仅示出了本发明的特定实施例，因此不应被认为是对本发明范围的限制，因为本发明可以包括其他等效实施例。
图1是描绘提供身份服务的系统的实施例的示意图。
图2是描绘集中式身份系统的实施例的示意图。
图3是描绘分布式身份元素库的实施例的示意图。
图4是描绘分布式智能合约系统节点的实施例的示意图。
图5是描绘提供身份服务的方法的实施例的流程图。
图6是描绘发布身份服务合约给分布式身份元素库的区块链的方法的实施例的流程图。
图7是描绘身份服务合约的实施例的示意图。
图8是描绘了在将发布身份服务合约的交易并入到区块链之后，分布式身份元素库的区块链的实施例的示意图。
图9是描绘集中式身份系统内创建身份的方法的实施例的流程图。
图10a-10c描绘了集中式身份系统的身份提供者接口模块的用户界面的实施例。
图11是描绘在将创建身份的交易并入到区块链之后，分布式身份元素库的区块链的实施例的示意图。
图12是描绘添加与集中式身份系统内的身份相关联的元数据的方法的实施例的流程图。
图13是描绘身份服务合约的架构的实施例的示意图。
图14是描绘身份服务合约的架构的另一个实施例的示意图。
图15是描绘身份服务合约的架构的另一个实施例的示意图。
图16是描绘身份服务合约的架构的另一个实施例的示意图。
图17是描绘验证个人的身份的方法的实施例的流程图。
图18是描绘在政府身份检查的情境下用于提供身份服务的系统的实施例的示意图。
图19是描绘验证个人身份的方法的另一个实施例的流程图。
图20是描绘在将验证身份的交易并入到区块链中之后，分布式身份元素库的区块链的实施例的示意图。
图21a-21c描绘了集中式身份系统的受限访问系统接口模块的用户界面的实施例。
图22是描绘验证个人身份的方法的另一个实施例的流程图。
图23是描绘在酒店的情境下用于提供身份服务的系统的实施例的示意图。
图24是描绘读取与集中式身份系统中的身份相关联的元数据的方法的实施例的流程图。
图25是描绘在金融交易环境的情境下用于提供身份服务的系统的实施例的示意图。
图26是描绘提供金融交易身份服务的实施例的流程图。
具体实施方式
集中式身份系统的实施例可以创建、验证和管理系统的身份元素库内的身份以提高安全性。集中式身份系统还可以提供身份联合方法，其中，可以跨多个不同身份提供者和受限访问系统来使用身份和身份服务，从而提高效率。
可以在集中式身份系统内创建与由身份提供者发放的身份对应的身份。在集中式身份系统内创建身份的方法的实施例可以包括从身份提供者接收身份数据，并且生成一个或更多个交易以将表示身份数据的标识符存储在身份元素库中。存储在库中的标识符可以包括身份数据的至少一部分的加密编码表示。在实施例中，身份元素库可以包括分布式系统，比如分布式区块链分类账或分布式智能合约系统，并且交易可以被传输给分布式系统的至少一个节点以将标识符存储在分布式系统的区块链上或调用存储在区块链中的身份服务合约的身份数据创建函数来存储标识符。
在集中式身份系统内创建身份还可以包括生成与身份相对应的身份令牌，以分发给个人用于调用对受限访问系统的访问。身份令牌可以包括被配置为触发集中式身份系统或受限访问系统的身份验证过程的一个或更多个组件。个人可以使用身份用户系统(比如移动设备)来存储身份令牌并将其提交给受限访问系统。
还可以将元数据与身份相关联地存储在集中式身份系统内。元数据可以与例如个人或身份提供者为个人提供的身份有关。元数据可以用于提供与身份相关联的验证函数、数据存储函数等。在集中式身份系统内添加与身份相关联的元数据的方法的实施例可以包括接收元数据和身份的标识符，并且生成一个或更多个交易以将元数据与标识符相关联地存储在身份元素库中。在实施例中，交易可以传输给分布式系统的至少一个节点以将元数据与标识符相关联地存储在系统的区块链上或调用身份服务合约的元数据函数以将元数据存储在区块链上。
可以以改进的方式验证集中式身份系统内的身份，以增强安全性并预防身份欺诈。验证身份的方法的实施例可以包括接收个人提供的身份令牌，从身份令牌提取标识符，并且生成交易以确定标识符是否存存储在身份元素库中。在实施例中，交易可以传输给分布式系统的至少一个节点以确定标识符是否存在于系统的区块链上，或者可以通过调用存储在区块链上的身份服务合约的身份验证函数来确定。提供访问受限访问系统的对应方法可以包括根据验证的结果，授权或拒绝对受限访问系统的访问。
还可以提供多因素身份验证过程以进一步增强身份验证的安全性和有效性。多因素身份验证的实施例可以包括验证集中式身份系统中的身份以及物理验证提供身份令牌的个人。方法可以包括从个人接收身份令牌，验证集中式身份系统内的对应身份，确定个人的身体特性，并对照个人验证身体特性。在实施例中，确定个人的身体特性可以包括从身份令牌提取与个人相关的数据。提供访问受限访问系统的对应方法可以包括根据这些验证的结果，授权或拒绝对受限访问系统的访问。
还可以提供多阶段身份验证过程。多阶段验证过程的实施例可以包括初始相对更严格的验证阶段以及随后相对不太严格的验证阶段。初始验证可以包括验证集中式身份系统内的身份或执行多因素验证等中的一个或更多个的实施例。根据该初始验证，可以授权或拒绝对受限访问系统的初始访问。对于随后的验证，可以执行简化的验证，例如只有单因素验证，比如对照个人的身体特性的验证。根据结果，随后可以授权或拒绝对受限访问系统的访问。
在实施例中，身份服务合约可以存储在分布式身份元素库的区块链中以实施一个或更多个身份和元数据创建、验证和检索函数等。在分布式身份库模块内发布身份服务合约的方法的实施例可以包括生成编译的身份服务合约，生成一个或更多个交易以将身份服务合约发布到分布式身份元素库的区块链，并将生成的交易分发给分布式身份元素库的至少一个节点。
检索与集中式身份系统中的身份相关联的元数据的方法的实施例可以包括调用身份服务合约的元数据读取函数。
非暂时性机器可读存储介质的实施例可以包括程序指令，该程序指令在由处理器运行时执行在此讨论的提供身份服务的方法的实施例。
集中式身份系统的实施例可以包括处理器和具有程序指令的非暂时性机器可读存储介质，该程序指令在由处理器运行时执行在此讨论的提供身份服务的方法的实施例。
图1描绘了用于以改进的方式提供身份服务的系统20的实施例。系统可以包括集中式身份系统24、一个或更多个身份提供者系统28、一个或更多个身份用户系统32以及一个或更多个受限访问系统36。
集中式身份系统24可以提供身份服务给身份提供者系统28、受限访问系统36或身份用户系统32中的一个或更多个。为了提供诸如身份创建、身份管理等服务，集中式身份系统24可以从身份提供者系统28接收身份数据，并且生成和存储对应的身份。为了提供诸如身份验证、数据检索等服务，集中式身份系统24可以从受限访问系统36接收服务请求，并提供对应的数据给受限访问系统36。为了提供诸如身份访问、身份管理等服务，集中式身份系统24可以为身份用户系统32存储和提供身份数据。
身份提供者系统、受限访问系统和身份用户系统可以与集中式身份系统连接以请求、接收或以其他方式参与身份服务等。例如，身份提供者系统28可以为个人生成身份，并且将表示所生成身份的身份数据提供给集中式身份系统24。受限访问系统36可以接收来自请求访问受限访问系统36的个人的身份令牌的表示，并且向集中式身份系统24提交请求以验证对应的身份。身份用户系统32可以接收表示生成的身份的身份令牌，并将身份令牌提交给受限访问系统36以请求访问系统36。
集中式身份系统24、身份提供者系统28、受限访问系统36和身份用户系统32可以各自由不同实体拥有、操作和/或定位。例如，集中式身份系统24可以由第一实体(比如向身份提供者、个人或第三方中的一个或更多个提供联合身份服务等的公司)拥有、操作和/或定位。身份提供者系统28可以由第二实体(比如向个人提供身份的政府主体、公司或其他实体)拥有、操作和/或定位。受限访问系统36可以由第三实体(比如根据个人身份的验证为个人提供服务、产品等的公司或其他实体)拥有、操作和/或定位。从身份提供者接收身份并试图使用身份的个人可以拥有、操作和/或定位身份用户系统32。
图2描绘了集中式身份系统24的实施例。集中式身份系统24可以包括身份提供者接口模块40、身份用户接口模块44、受限访问系统接口模块48、身份创建和修改模块52、身份访问和管理模块56、身份验证和访问模块60以及身份元素库模块66。
身份提供者接口模块、身份用户接口模块和受限访问系统接口模块40、44、48可以为集中式身份系统24提供接口，以从身份提供者系统、身份用户系统和受限访问系统28、32、36接收信息，并且向身份提供者系统、身份用户系统和受限访问系统28、32、36提供信息。
身份创建和修改模块52可以通过相应的接口模块40，从身份提供者系统28接收与创建或修改身份数据和身份令牌有关的请求，并且运行或控制运行对应的身份数据创建和修改函数。身份访问和管理模块56可以通过相应的接口模块44，从身份用户系统32接收与访问或管理身份数据有关的请求，并且运行或控制运行对应的身份访问和管理函数。身份验证和访问模块60可以通过相应的接口模块48，从远程访问系统36接收与验证身份有关的请求，并且运行或控制运行对应的身份验证函数。
身份元素库模块66可以提供数据结构以存储身份数据，该数据结构可以提供对身份数据的安全和可靠的验证和访问。
在实施例中，身份元素库模块66可以包括分布式数据库，比如分布式区块链交易分类账。在实施例中，分布式区块链交易分类账还可以进一步配置为执行包含程序代码的交易，例如配置为分布式智能合约系统。可替选地，身份库模块66可以包括其他类型的数据库，比如除了分布式区块链交易分类账或分布式智能合约系统以外的分布式数据库或非分布式数据库。
图3描绘了使用分布式系统(比如分布式区块链交易分类账或分布式智能合约系统)实现的身份元素库模块66的实施例。分布式身份元素库模块66可以包括多个分布式系统节点68。分布式系统节点68可以被组织为对等网络，其中，每个节点68都可以使用对等通信协议连接到一个或更多个其他节点68。分布式系统节点68中的至少一个还可以连接到身份创建、访问和验证模块52、56、60等从而提供分布式身份元素库66与这些模块52、56、60之间的通信，以运行身份数据创建、修改、管理、验证和访问函数等。作为对等网络，各个分布式系统节点68之间的连接的配置可以根据对等协议的操作随时间改变。
图4描绘了分布式系统节点68的实施例。分布式系统节点68可以包括控制通信模块72、分布式系统通信模块76和一个或更多个分布式系统模块。控制通信模块72可以连接到身份创建、访问和验证模块52、56、60，从身份创建、访问和验证模块52、56、60接收控制命令，并将相应的数据返回给身份创建、访问和验证模块52、56、60。分布式系统通信模块76可以连接到至少一个其他分布式系统节点68以提供节点68之间的对等通信。分布式系统模块可以包括块存储模块80、块创建模块92、编译器模块84或虚拟机模块88中的一个或更多个。块存储模块80可以存储区块链交易分类账的块。块创建模块92可以比如通过执行选定难度的加密计算来执行算法，以将交易并入到区块链交易分类账的区块中，也称为挖掘区块链的块，但是也可以利用其他算法达成新块身份一致性。编译器模块84可以编译程序、脚本(比如智能合约)等的程序指令，以将交易并入到区块链交易分类账中。虚拟机模块88可以执行这种编译程序、脚本、智能合约等。
在实施例中，分布式系统节点68可以被配置为仅包括图4中描绘的组件的选定的子集。例如，对于不直接连接到集中式身份系统的函数模块52、56、60的分布式系统节点68，可以省略从这些模块中接收控制命令的控制通信模块72。分布式系统节点68还可以配置为仅执行由分布式系统模块运行的函数的子集，比如仅存储块、创建新块、编译程序指令或执行编译的程序指令等中的选定的一个或更多个，并且在这种实施例中，节点可以仅包括块存储模块80、块创建模块92、编译器模块84或虚拟机模块88中的对应的一个或更多个。
集中式身份系统24、身份提供者系统28、受限访问系统36和身份用户系统32的组件可以实施为硬件、软件或硬件与软件的结合。集中式身份系统24、身份提供者系统28、受限访问系统36和身份用户系统32的组件也可以使用服务器端模块、客户端模块、本地模块、远程模块或这些模块的结合来实施。
例如，集中式身份系统24的组件，比如身份提供者接口模块40、身份用户接口模块44、受限访问系统接口模块48、身份创建和修改模块52、身份访问和管理模块56、身份验证和访问模块60以及身份元素库模块64中的任何单独的一个、子集或全部，可以使用处理器和非暂时性存储介质来实施，其中，非暂时性机器可读存储介质可以包括程序指令，当由处理器运行时，该程序指令可以执行在此讨论的这种组件的函数的实施例，比如在此讨论的创建、修改、访问、管理和验证身份等的方法的实施例。在一个实施例中，集中式身份系统24可以包括由计算架构支持的基于因特网或其他通信网络的应用层，其具有身份提供者接口模块、身份用户接口模块以及受限访问系统接口模块40、44、48中的一个或更多个为身份提供者、身份用户和第三方提供入口以访问集中式身份系统24。
身份提供者系统28、受限访问系统36和身份用户系统32的组件(比如这样的组件中的任何单独的一个、子集或全部)也可以使用处理器和非暂时性机器可读存储介质来实施，其中非暂时性存储介质可以包括程序指令，当处理器执行时，该程序指令可以运行在此讨论的这样的组件的函数的实施例，比如在此讨论的创建、修改、访问、管理和验证身份等的方法的实施例。在一个实施例中，身份提供者系统28、受限访问系统36和身份用户系统32可以包括计算系统(比如计算机终端、移动设备等)以访问由集中式身份系统提供的基于互联网或其他通信网络的入口。
图5描绘了提供集中式身份服务给身份提供者、个人或第三方受限访问系统中的一个或更多个的方法500的实施例，其具有提高的安全性和效率。在实施例中，该方法可以提供对身份元素库内的身份的创建、修改、验证等，通过大大增加伪造这样的身份的难度来实现提高的安全性。另外，在实施例中，该方法可以提供身份联合方法，其中，多个不同的身份提供者、第三方受限访问系统等都可以使用相同的身份和身份服务，通过减少这样的身份和服务的重复和不必要的差异来提高效率。
在实施例中，提供身份服务的方法可以由实体(比如公司)来执行，比如通过实施和/或操作集中式身份系统24的实施例来提供集中式身份服务给身份提供者、个人或第三方中的一个或更多个。
该方法可以于步骤502开始。在步骤504，可以准备身份元素库64。准备身份元素库可以包括初始化数据库以包含身份数据。例如，在身份元素库包括分布式系统(比如分布式智能合约系统)的实施例中，准备身份元素库可以包括发布身份服务合约给区块链，比如下面关于图6所讨论的。
在步骤506，可以确定是否接收到比如来自身份提供者的用于生成或修改集中式身份系统24内的身份的请求。如果接收到生成或修改身份的请求，则该方法可以继续执行步骤508，否则该方法可以继续执行步骤510。
在步骤508，可以调用一个或更多个身份创建、修改等函数以根据请求创建或修改身份、对应的身份令牌等。集中式身份系统24可以比如响应于来自第三方的请求，以提高的安全性生成、修改、管理、验证集中式身份系统内的与身份提供者为个人生成的身份相关联的身份。集中式身份系统24还可以生成、修改、管理与身份和身份数据相关联的身份令牌。身份令牌可以分发给个人以用于在受限访问系统36处调用身份和身份验证过程。创建或修改身份数据可以包括调用用于创建或修改表示身份元素库的数据库内的身份数据的标识符的函数。在身份元素库包括分布式系统(比如分布式区块链分类账或分布式智能合约系统)的实施例中，创建或修改身份元素库内的身份数据可以包括存储或修改表示区块链上的数据结构内的身份数据的标识符，比如通过生成交易以存储或修改区块链上的标识符，或者调用发布给区块链的身份服务合约的身份数据创建或修改函数来存储或修改区块链上的标识符，例如，如以下针对图9所讨论的。
在步骤510，可以确定是否接收到比如来自身份提供者的生成或修改与集中式身份系统24内的身份相关联的元数据的请求。如果已经接收到生成或修改元数据的请求，则该方法可以继续执行步骤512，否则该方法可以继续执行步骤514。
在步骤512，可以调用元数据创建或修改函数中的一个或更多个，以根据请求创建或修改与身份相关联的元数据。集中式身份系统24可以生成、修改、管理、访问等与身份相关联的元数据，其可以实现与身份相关联的功能或服务。创建或修改元数据可以包括调用用于创建或修改与身份元素库的数据库内的身份相关联的元数据的函数。在身份元素库包括分布式系统(比如分布式区块链分类账或分布式智能合约系统)的实施例中，创建或修改身份元素库内的元数据可以包括存储或修改区块链上与身份相关联的数据结构内的元数据，比如通过生成交易来存储或修改区块链上的这种数据结构，或者通过调用身份服务合约的元数据创建或修改函数来存储或修改区块链上的这种数据结构，例如，如以下针对图12所讨论的。
在步骤514，可以确定是否已经接收到比如来自受限访问系统的验证集中式身份系统内的身份的请求。如果已经接收到验证身份的请求，则该方法可以继续执行步骤516，否则该方法可以继续执行步骤518。
在步骤516，可以调用一个或更多个身份验证函数来根据请求验证身份。个人可以将身份令牌和个人本人中的一个或更多个提交给受限访问系统操作员以调用其身份。身份令牌可以包含触发身份验证过程的信息。验证身份可以包括调用用于验证表示身份元素库的数据库内的身份数据的标识符的函数。在身份元素库包括分布式系统(比如分布式区块链分类账或分布式智能合约系统)的实施例中，验证身份可以包括比如通过调用身份服务合约的身份数据验证函数等，来搜索或读取区块链上包含表示身份数据的标识符的数据结构，例如，如以下针对图17、19和22进一步讨论的。
除了验证身份元素库内的身份之外，验证身份还可以包括验证个人的身体特性，比如提供多因素身份验证。在实施例中，身体验证可以包括比如通过从身份令牌中提取数据来确定个人的身体特性，并且对照提交身份令牌的个人验证所确定的特性，比如下面针对图17和22进一步讨论的。
在步骤518，可以确定是否已经接收到访问与集中式身份系统24内的身份相关联的元数据的请求，比如来自个人、身份提供者或受限访问系统的请求。如果已经接收到访问元数据的请求，则该方法可以继续执行步骤520，否则该方法可以继续执行步骤522。
在步骤520，可以调用一个或更多个元数据访问函数，以根据请求来访问与身份相关联的元数据。访问元数据可以包括调用用于访问身份元素库的数据库内存储的与身份相关联的元数据的函数。在身份元素库包括分布式系统(比如分布式区块链分类账或分布式智能合约系统)的实施例中，访问身份元素库内的元数据可以包括比如通过调用身份服务合约的元数据访问函数等，在区块链上搜索或读取与表示区块链上的身份数据的标识符相关联的数据结构，例如，如以下针对图24讨论的。
可以由集中式身份系统24执行步骤506、510、514和518中的判断，比如通过身份提供者接口模块、身份用户接口模块和受限访问系统接口模块40、44、48监视来自身份提供者系统28、身份用户系统32和受限访问系统36的通信。另外，尽管图5描绘了步骤506、510、514和518中的判断的一种可能的执行顺序，但在其他实施例中，步骤506、510、514和518中的判断可以通过身份提供者接口模块、身份用户接口模块和受限访问系统接口模块40、44、48，响应于来自身份提供者系统28、身份用户系统32和受限访问系统36的通信，以任何其他相对顺序、同时或根据需要来执行。
在步骤522，可以确定是否继续进行步骤506、510、514和518中的判断。如果确定继续，则该方法可以返回到步骤506、510、514和518中的任何一个，否则该方法可以执行步骤524，方法在步骤524结束。
图6描绘了将身份服务合约发布到分布式身份库模块中的方法600的实施例。在身份元素库包括分布式系统(比如分布式智能合约系统)的实施例中，方法600的实施例可以用于实现图5的方法500中的准备身份元素库的步骤504。
方法600可以于步骤602开始。在步骤604，可以接收定义智能合约的功能的参数。参数可以包括身份数据的标识、待由身份服务合约实施的函数的标识、在身份服务与其他智能合约之间待实施的身份服务函数的部分中的一个或更多个等。可以在集中式身份系统处从身份提供者或身份提供者系统接收参数。在不需要确定智能合约的功能(比如其已经被确定或与功能的标准集相一致)的实施例中，可以省略步骤604。
在步骤606，可以生成编译的身份服务合约。身份服务合约可以包括用于运行在此讨论的身份服务函数中的一个或更多个的程序指令。可以用分布式身份元素库(比如分布式身份元素库的分布式系统节点68的编译器模块84)支持的编程或脚本语言对身份服务合约进行编程。然后可以使用分布式身份元素库支持的编译器(比如分布式智能合约系统节点68的编译器模块84)来编译身份服务合约。
图7描绘了身份服务合约100的实施例。身份服务合约100可以包括用以实施在此描述的身份服务合约的功能的一个或更多个程序函数。例如，身份服务合约100可以包括用来创建或修改与身份关联的身份数据的一个或更多个程序函数104、用来创建或修改与身份关联的元数据的一个或更多个函数108、用来验证身份的状态的一个或更多个函数112、用来检索与身份关联的元数据的一个或更多个函数116等。身份服务合约100还可以定义用来存储数据的一个或更多个数据结构以实施身份服务合约的功能。例如，身份服务合约可以定义用来存储身份数据的一个或更多个数据结构120、用来存储元数据的一个或更多个数据结构124。
回到图6，在步骤608，可以生成一个或更多个交易，以将身份服务合约发布到分布式身份元素库的区块链。分布式身份元素库可以包含由区块链表示的分布式分类账中的交易的有序列表，并且在分布式身份元素库实施分布式智能合约系统的情况下，交易可以包括被发布用来由连续交易执行的智能合约。为了发布编译的身份服务合约，可以生成包含编译的身份服务合约的交易。交易可以由集中式身份服务系统24生成，比如通过集中式身份服务系统24的身份创建和修改模块52，或者通过直接连接到这种模块的(比如本地的)分布式智能合约系统节点68之一的控制通信模块或分布式系统通信模块72、76生成。
在步骤610，生成的包含编译的身份服务合约的交易可以被传输给分布式身份元素库66的分布式系统节点68中的至少一个。可以通过直接连接到集中式身份系统24的身份创建和修改模块52的(比如本地的)分布式系统节点68中的一个，将交易发送给至少一个节点。将交易发送给至少一个分布式系统节点68可以由分布式系统节点68中的一个或更多个触发过程中包含的交易，以将一组新交易并入到由分布式身份元素库的节点存储的区块链中的块中。该过程可以由至少一个分布式系统节点68的块创建模块92执行。在实施例中，该过程可以包括执行选定难度的加密运算。分布式身份元素库的几个节点68可以相互竞争以创建新块，成功地执行该过程的第一个节点赢得比赛并创建新块。然后，新块可以被传输给分布式身份元素库的其他节点68，该其他节点68可以在确认块的有效性后将其并入该其他节点68存储的区块链中。一旦并入到块中，交易就已经被执行，则将合约发布到区块链。
在步骤612，可以接收区块链上交易并入到的位置的地址。执行发布身份服务合约的交易可以生成指示身份服务合约驻留在区块链上的地址的回执。该地址可以由集中式身份系统来接收，比如由集中式身份系统24的身份创建和修改模块52或直接连接到集中式身份系统24的模块(比如本地)的至少一个分布式系统节点68来接收。该方法可以在步骤614结束。
图8描绘了在将身份服务合约发布到区块链之后的分布式身份元素库66的区块链的实施例。区块链可以包括多个有序的块。每个块可以包括块头和一组交易。块头或交易中的一个或更多个可以被加密编码。多个块中的第一块可以称为起源块。在图8中，后续块(比如第n个块)可以包含用于发布身份服务合约的交易，但是在其他实施例中，任何块都可以包含该交易。该交易可以包括编译的身份服务合约的副本。可以对交易或包含的编译的身份服务合约中的一个或更多个进行加密编码。
图9描绘了在集中式身份系统24内创建与身份提供者为个人生成的身份对应的身份的方法900的实施例。在身份元素库包括分布式系统(比如分布式区块链分类账或者分布式智能合约系统)的实施例中，方法900的实施例可以用于实施图5的方法500的步骤508的生成身份元素库内的身份。该方法可以开始于步骤902。
在步骤904，可以接收与身份提供者生成的身份相关联的身份数据。在身份提供者创建身份的过程中，身份数据可能已经被验证，以由身份提供者生成身份。身份数据可以包括标识个人的一个或更多个数据，比如以下中的至少一个：个人的名字，比如个人的实际名字、个人的用户名等；个人身份的标识号码，比如社会保险号码、驾驶证号码、护照号码等；个人的地址，比如实际地址、电子邮箱地址等；个人的基本生物信息，比如年龄、性别、身高、体重、眼睛颜色、头发颜色等；或个人的生物统计特性的表示，比如个人的图片、指纹的表示、面部图案的表示、虹膜图案的表示、视网膜图案的表示、声音的表示、脱氧核糖核酸(dna)图案的表示等。集中式身份系统可以经由身份提供者接口模块从身份提供者系统接收身份数据。
图10a-10c描绘了身份提供者接口模块40提供给身份提供者系统28的用户界面130的实施例。图10a描绘了接收任何身份数据之前的用户界面130的实施例。用户界面130可以包括多个栏130和对应的标识符以接受不同类型的身份数据。在图10a中，用户界面可以包括用于接受名字、中间名、姓氏、出生日期、出生地、身份发行日期、身份有效日期、身份标识号码和个人照片的栏。图10b描绘了输入至少一些经验证的身份数据之后的用户界面130的实施例。
回到图9，在步骤906，可以生成一个或更多个交易，以将表示接收到的身份数据的标识符存储在区块链上。在身份元素库包括分布式智能合约系统的实施例中，交易可以调用身份服务合约的身份数据创建函数104。被发布到区块链中并且被设计用于运行的身份服务合约的函数，可以通过交易调用这样的函数的交易来执行。为了调用身份数据创建函数，可以生成包括请求调用该函数的交易。对身份数据创建函数的调用可以包括作为该函数的输入的表示身份数据的标识符。标识符可以包括接收到的身份数据的加密编码版本。例如，标识符可以包括接收到的使用一个或更多个加密散列函数加密编码的身份数据，加密散列函数比如为安全散列算法2(sha-2)的变型、安全散列算法3(sha-3)的变型等中的一个或更多个。函数的运行结果可以将表示身份数据的标识符存储在区块链上的数据结构中，比如存储在区块链上的身份服务合约的数据结构120中。
在步骤908，所生成的交易可以被传输给分布式身份元素库的分布式系统节点68中的至少一个。可以由直接连接到集中式身份系统24的身份创建和修改模块52的(比如本地的)分布式系统节点68中的一个，将交易发送给至少一个节点68。如同图6的方法600的步骤610，将交易发送给至少一个分布式系统节点68可以通过分布式系统节点68中的一个或更多个触发包括在过程中的交易，来将交易并入到由分布式身份元素库的节点66存储的区块链的块中。一旦并入到块中，交易已经被执行，则调用身份数据创建函数。
在步骤910，可以接收交易在区块链上的位置的地址。该地址可以由集中式身份系统24来接收，比如由集中式身份系统24的身份创建和修改模块52或者直接连接到集中式身份系统24的模块的(比如本地的)至少一个分布式系统节点68来接收。
在步骤912，可以在集中式身份系统24内生成对应于创建的身份的身份令牌。身份令牌可以分发给个人用于提供给受限访问系统36以调用他们的身份。身份令牌可以包括一个或更多个组件以触发一个或更多个身份验证函数。例如，身份令牌组件可以包括表示存储在区块链上的接收到的身份数据的标识符，可以在验证过程中使用该标识符来调用诸如身份服务合约的身份验证函数。身份令牌组件还可以可选地包括一个或更多个另外的组件，比如以下中的一个或更多个：所接收的身份数据、使用身份提供者的私钥创建的数字签名、身份提供者的身份的指示或者身份提供者的特定公钥的指示。可以在随后的验证过程中使用数字签名，以使用身份提供者的公钥来验证身份令牌的完整性。身份提供者的身份的指示可以用于定位身份提供者的公钥。身份提供者的特定公钥的指示可用于在身份提供者的多个公钥中定位该秘钥。
身份令牌可以采用各种形式。在实施例中，身份令牌可以采用编码成编码数据的身份令牌的一个或更多个组件的形式，比如条形码，例如一维条形码或二维条形码。该方法可以结束于步骤614。
回到图10a-10c，图10c描绘了在创建集中式身份系统24内的身份时由身份提供者接口模块40提供给身份提供者系统28的用户界面130的实施例。界面130可以显示存储在区块链中的经验证的身份数据138、经验证的身份数据142和所生成的身份令牌146的表示(如所示出的，其可以采用二维条形码的形式，其编码了存储在区块链中的经验证的身份数据、经验证的身份数据、身份提供者的数字签名和身份提供者的身份的表示)。
图11描绘了在将用于调用身份服务合约的身份数据创建函数的交易并入到区块链之后的分布式身份元素库的区块链的实施例。区块链可以包括图8中描绘的区块链的部分，其后是引出后续块(比如第n+x个块)的后续部分，第n+x个块可以包含调用身份服务合约的身份创建函数的交易，但是在其他实施例中任何后续块都可以包含该交易。交易可以包括经验证的身份数据的表示。
图12描绘了添加或修改与集中式身份系统内的身份相关联的元数据的方法1200的实施例。在身份元素库包括分布式系统(比如分布式区块链分类账或分布式智能合约系统)的实施例中，方法1200的实施例可以用于实施图5的方法500的步骤512的添加或修改与身份元素库内的身份相关联的元数据。该方法可以开始于步骤1202。
在步骤1204，可以接收集中式身份系统内的身份的元数据和标识符。元数据可以与例如个人或由身份提供者为个人提供的身份有关。与个人有关的元数据可以包括与个人有关的身份数据。与身份提供者为个人提供的身份有关的元数据可以包括身份的当前状态，比如身份是否已经被撤销、身份的有效日期等。在实施例中，元数据可以包括未包括在用于生成身份元素库中存储的标识符的身份数据中的数据。标识符可以标识集中式身份系统内的个人的身份。取决于并且根据元数据的使用场景，可以从身份提供者系统(比如经由身份提供者接口模块)、身份用户系统(比如经由身份用户系统接口模块)、或受限访问系统(比如经由受限访问系统接口模块)中的一个或更多个接收元数据和标识符。
在步骤1206，可以生成一个或更多个交易以将元数据存储在与对应的身份相关联的区块链中。在身份元素库包括分布式智能合约系统的实施例中，交易可以调用身份服务合约的元数据添加或修改函数。交易可以包括调用元数据函数108的请求。调用元数据函数的请求可以包括作为该函数的输入的元数据和身份的标识符。元数据可以被加密编码。函数的运行结果可以将区块链上的数据结构中的元数据的表示存储在与身份相关联的数据结构中，比如与区块链上的身份相关联的身份服务合约的数据结构124中。
在步骤1208，所生成的交易可以传输给分布式身份元素库的分布式系统节点68中的至少一个。可以通过直接连接到集中式身份系统的身份创建和修改模块52(比如本地)的分布式系统节点68中的一个，将交易发送给至少一个节点68。如同将交易发送给节点的其他步骤，发送交易可以由分布式系统节点68中的一个或更多个来触发包括在过程中的交易，以将交易并入到由分布式身份元素库的节点存储的区块链的块中。一旦并入到块中，交易就已经被执行，则调用元数据创建或修改函数。
在步骤1210，可以接收交易在区块链上的位置的地址。该地址可以由集中式身份系统来接收，比如由集中式身份系统24的身份创建和修改模块52或者直接连接到该模块的(比如本地的)至少一个分布式系统节点68来接收。该方法可以结束于步骤1212。
在实施例中，由集中式身份系统24提供的身份服务可以通过调用发布到分布式身份元素库的区块链的一个或更多个合约来执行。图13-16描绘了发布到区块链以实施集中式身份系统的身份服务的合约架构的实施例。
集中式身份系统24可以提供身份服务给多个不同的身份服务提供者或单个身份服务提供者内的不同的已授权角色。图13描绘了为多个不同的身份服务提供者或不同的授权角色ip1-ipn实施身份服务的身份服务合约架构的实施例。架构可以包括多个身份服务合约isca1-iscan，其中的每个只接受来自不同身份提供者或授权角色ip1-ipn的输入，并且仅为该身份提供者或授权角色提供身份服务is1-isn。
图14描绘了为多个不同的身份服务提供者或授权角色实施身份服务的身份服务合约架构的另一个实施例。架构可以包括单个身份服务合约iscb，该单个合约iscb从多个不同的身份提供者或授权角色ip1-ipn接受对身份服务的请求并为每个身份提供者或授权角色ip1-ipn提供身份服务is1-isn。合约可以包括一个或更多个授权或路由函数，一个或更多个授权或路由函数识别身份服务的请求者并且提供对该请求的授权或路由以创建、修改等仅与所识别的请求者相关联的身份、元数据结构等。为了进行授权或路由，寻址到身份服务合约iscb的交易可以包括对请求者的指示。
图15描绘了为多个不同的身份服务提供者或授权角色实施身份服务的身份服务合约架构的另一个实施例。架构可以包括身份服务合约iscc和单独的授权或路由合约arcc，身份服务合约iscc接受来自多个不同的身份提供者或授权角色ip1-ipn的对身份服务的请求，单独的授权或路由合约arcc识别身份服务的请求者，并提供对该请求的授权或路由以创建、修改等仅与所识别的请求者相关联的身份、元数据结构等。身份服务合约iscc可以生成寻址到授权或路由合约arcc的交易，以响应寻址到请求身份服务的身份服务合约的交易来请求授权或路由。
图16描绘了为多个不同的身份服务提供者或授权角色实施身份服务的身份服务合约架构的另一个实施例。该架构可以包括授权或路由合约arcd和一个或更多个身份服务合约iscd1-iscdn，授权或路由合约arcd接受来自多个不同的身份提供者或授权角色ip1-ipn对身份服务的请求，识别身份服务的请求者，并且提供对请求的授权或路由，以创建、修改等与相应的身份服务合约iscd1-iscdn的识别出的请求者相关联的身份、元数据结构等，每个身份服务合约iscd1-iscdn为不同的各自的身份提供者或授权角色执行身份服务。在进行授权或路由时，授权或路由合约arcd可以响应于请求身份服务的交易，生成寻址到对应的身份服务合约iscd1-iscdn的交易。
图16的架构的实施例也可以被配置为仅包括单个身份服务合约，以将授权功能与身份服务功能分离，即便对于仅单个身份提供者或授权角色也是如此操作。
集中式身份系统可以提供一个或更多个身份验证函数以改进的方式实现身份验证，从而实现增强的安全性并预防身份欺诈。在实施例中，可以执行多因素身份验证过程，其可以包括验证集中式身份系统中的身份并且执行呈现身份令牌的个人的身体验证。
图17描绘了执行个人的身份验证的方法1700的实施例。该方法可以执行多因素身份验证，多因素身份验证包括对在集中式身份系统中的身份元素库中存储的身份的验证以及呈现身份令牌的个人的身体验证。方法1700的实施例可以用于实施图5的方法500的身份验证步骤516。该方法可以开始于步骤1702。
注意，可以在许多不同的情境中执行在此讨论的身份服务方法的实施例。在一个示例中，可以在试图租房和/或访问酒店系统的酒店消费者的情境下执行身份验证。也可以在许多其他情境中执行身份验证。
在步骤1704，受限访问系统36可以从试图调用身份以访问受限访问系统36的个人接收身份令牌的表示。受限访问系统36可以以各种方式来接收身份令牌的表示，比如通过受限访问系统扫描个人用身份用户系统显示的身份令牌来接收。例如，酒店消费者可以使用显示条形码的移动设备以条形码的形式呈现身份令牌给酒店系统。
在步骤1706，可以验证集中式身份系统内的身份令牌和对应的身份。可以验证身份令牌以确保其完整性。验证身份令牌可以包括对照身份提供者的公钥验证身份令牌的数字签名组件，比如下面针对图19进一步讨论的。可以验证与身份令牌相关联的身份以提供多因素身份验证的第一因素。身份验证可以包括诸如通过在区块链中搜索标识符或者调用身份服务合约的身份数据验证函数，来确定与身份相关联的标识符是否存储在区块链上，例如，以下针对图19进一步讨论的。
在步骤1708，可以确定个人的身体特性。在实施例中，可以根据身份令牌确定与个人相关联的身体特性，比如个人的生物统计身份数据的表示。例如，身体特性可以确定为从身份令牌提取的数据。身体特性可以包括个人的照片、个人的指纹的表示、个人的面部图案的表示、个人的虹膜图案的表示、个人视网膜图案的表示、个人的声音的表示、个人的脱氧核糖核酸(dna)图案的表示等中的一个或更多个。在其他实施例中，身体特性可以根据来自身份令牌的数据或使用其他的系统来确定。
在步骤1710，可以对照呈现身份令牌的个人来验证所确定的身体特性以调用身份。可以对照呈现身份令牌的个人来验证身体特性以提供多因素身份验证的第二因素。可以使用多种方法来对照个人验证身体特性，多种方法包括通过操作受限访问系统的第三方人员的视觉比较、通过生物统计特征扫描和比较设备的自动比较等中的一个或更多个。例如，生物统计特征扫描和比较设备可以包括：扫描装置，用于扫描与身体特性对应的个人的生物统计特征；以及处理装置，用于比较扫描的特征与身体特性。
在步骤1712，根据所提取数据的验证和身份的验证的结果，可以授权或拒绝对受限访问系统的访问。如果两次验证的结果是肯定的，也就是说，如果身份验证的结果表明身份是有效的，并且身体验证的结果指示个人与身份对应，则可以授权访问。如果任一验证结果是否定的，也就是说，如果身份验证的结果表明身份是无效的，或者身体验证的结果指示个人与身份不对应，则可以拒绝访问。该方法可以结束于步骤1714。
如上所述，验证个人身份的方法的实施例可以在各种情境下进行。图18描绘了在政府边境通道或身份检查站的情境下的图1的系统的示例性实施例。该系统可以包括身份集中式系统24、作为身份提供者系统28的实施例的一个或更多个护照或政府身份提供者系统28a、作为身份用户系统32的实施例的旅行者或公民身份用户系统32a以及作为受限访问系统36的实施例的边界控制或身份检查系统36a。
在其他实施例中，可以仅使用图17的多因素身份验证的单个因素来执行身份验证。例如，执行身份验证的方法的实施例可以仅包括验证集中式身份系统内的身份(比如图17中描绘的步骤中的仅步骤1704、1706)以及与图17中所描绘步骤中的步骤1712类似的授权步骤，但是在该授权步骤中，如果单个验证因素的结果是肯定的，则可以授权访问，如果结果是否定的，则拒绝访问。
验证集中式身份系统内的身份可以包括调用函数来验证表示身份元素库内的身份的标识符。图19描绘了验证存储在集中式身份系统24中的身份元素库中的个人身份的方法1900的实施例。在身份元素库包括分布式系统(比如分布式区块链分类账或者分布式智能合约系统)的实施例中，方法1900的实施例可以用于实施图17的方法1700的步骤1704和1706的身份验证过程。该方法可以开始于步骤1902。
在步骤1904，受限访问系统36可以接收来自试图调用身份以访问受限访问系统36的个人的身份令牌。
在步骤1906，可以提取身份令牌的一个或更多个组件。所提取的组件可以包括身份的标识符、身份提供者的数字签名、身份提供者的身份的指示等中的一个或更多个。在身份令牌包括编码的数据的实施例中，可以通过解码身份令牌中的信息的任何编码来提取信息。例如，如果身份令牌将所包含的信息编码成二维条形码，则可以通过解码条形码来提取信息。
在步骤1908，可以验证包含在身份令牌中的数字签名。数字签名可以是使用私钥(比如身份提供者的私钥)的身份令牌的加密散列。验证数字签名可以验证身份令牌的完整性。可以使用公钥(比如身份提供者的公钥)来验证数字签名。在实施例中，身份提供者的身份和/或身份提供者的公钥可以根据身份令牌的一个或更多个提取的组件来确定。
在步骤1910，例如通过搜索区块链的数据结构、调用身份服务合约的身份验证函数112，或者生成一个或更多个交易以调用身份服务合约的身份验证函数的交易，可以确定身份元素库的区块链是否包含具有该身份标识符的数据结构。在实施例中，身份验证函数可以是身份服务合约的公有函数，其可以在不生成交易给区块链的情况下被访问和执行。在这样的实施例中，可以直接调用身份验证函数。可替选地，在实施例中，调用身份验证函数可以对区块链请求交易。在这种实施例中，为了调用身份数据验证函数，可以生成包括请求调用该函数的交易。对身份验证函数的请求可以包括作为该函数的输入的存储在区块链上的身份的经验证的身份数据的表示，比如使用一个或更多个散列函数加密编码的经验证的身份数据。
在生成交易的实施例中，在步骤1912，可以将生成的交易传输给分布式身份元素库的分布式系统节点68中的至少一个。可以通过直接连接到集中式身份系统24的身份验证模块60(比如本地)的分布式系统节点68中的一个，将交易发送给至少一个节点68。如同将交易发送给至少一个分布式系统节点66的其他步骤，发送交易可以通过分布式系统节点66中的一个或更多个来触发包括在过程中的交易，以将交易并入到由分布式身份元素库的节点66存储的区块链的块中。一旦并入到块中，交易就已经被执行，比如导致调用身份验证函数。在不需要生成交易(比如可以直接调用身份验证函数的交易)的实施例中，可以省略步骤1912。
在步骤1914，可以接收分布式身份元素库中的身份的验证和/或状态。步骤1910的结果可以包括表示输入到函数调用的身份数据的标识符是否存在于区块链上。如果表示身份数据的标识符未存在于区块链上，则函数可以输出身份无效。如果标识符确实存在于区块链上，则函数可以输出身份有效的指示。比如通过访问与身份相关联的区块链上的元数据，也可以检索身份的当前状态。该方法可以结束于步骤1916。
图20描绘了在将调用身份服务合约的身份数据验证函数的交易并入到区块链之后的分布式身份元素库的区块链的实施例。该区块链可以包括图11中描绘的区块链的部分，随后是引导块(比如第n+y个块)的后续部分，其可以包含调用身份验证函数的交易，但是在其他实施例中任何后续块都可以包含该交易。
图21a-22c描绘了通过受限访问系统接口模块48提供给受限访问系统36的用户界面150的实施例。图21a描绘了接收到任何身份令牌之前的用户界面150的实施例。用户界面150可以包括多个栏154和对应的标识符以接受不同类型的数据。在图21a中，用户界面150可以包括用于接受从身份令牌提取的信息的栏。图21b描绘了填写了从身份令牌提取的信息之后的用户界面150的实施例。图21c描绘了在运行身份验证函数之后的用户界面150的实施例。用户界面150可以显示经验证的身份数据158、身份的有效性161、身份的状态162以及身份提供者的标识166。
还可以提供多阶段身份验证过程。多阶段验证过程的实施例可以包括初始的相对更严格的验证阶段以及随后的相对不太严格的验证阶段。图22描绘了验证试图访问受限访问系统36的个人的身份的方法2200的实施例。方法2200可以提供多阶段验证，其包括初始的相对更严格的阶段(比如包括诸如上面讨论的多因素验证的实施例)以及已经提供了响应于初始的验证的授权的随后的第二相对不太严格的验证(比如限于单个因素验证)。方法2200的实施例可以用于实施图5的方法500的身份验证步骤516。方法2200可以开始于步骤2202。
在步骤2204，受限访问系统36可以接收来自试图调用身份以访问受限访问系统36的个人的身份令牌的表示。可以类似于如上面针对图17和19的方法1700和1900的步骤1704和1904所讨论地执行步骤2204。
在步骤2206，可以验证集中式身份系统内的身份令牌和对应的身份。如上所讨论的，验证身份令牌可以确保其完整性，并且验证集中式身份系统内的身份可以提供多因素身份验证的第一因素。可以类似于如上面针对图17的方法1700的步骤1706以及图19的方法1900所讨论地执行步骤2206。
在步骤2208，可以确定个人的身体特性，比如从身份令牌提取的或以其他方式确定的个人的生物统计特性的表示。可以类似于如上面针对图17的方法1700的步骤1708所讨论地执行步骤2208。
在步骤2210，可以对照呈现身份令牌而调用身份的个人来验证身体特性。如上所讨论的，可以对照呈现身份令牌的个人验证身体特性以提供多因素身份验证的第二因素。可以类似于如上面针对图17的方法1700的步骤1710所讨论地执行步骤2210。
在步骤2212，根据所提取的生物统计特性的表示的验证和身份的验证结果，可以授权或拒绝对受限访问系统的初始访问。如果两次验证的结果都是肯定的，则可以授权访问，如果任一验证的结果是否定的，则可以拒绝访问。可以类似于如上面针对图17的方法1700的步骤1712所讨论地执行步骤2212。
可以执行图22的方法2200的实施例以在多种情境下提供多阶段验证。例如，在比如酒店、会议中心、商业场所、服务提供者场所、就业场所等设施的操作者可能需要或期望在与个人的第一次交互中进行初始的更严格的验证，但之后可能会愿意或期望在随后的交互中为了方便使用不太严格验证的情况下，可以使用该方法的实施例。
图23描绘了被配置用于酒店的情境的图1的系统的实施例。该系统可以包括身份集中式系统24、一个或更多个身份提供者系统28、作为身份用户系统32的实施例的酒店消费者或酒店消费者系统32b以及作为受限访问系统36的实施例的酒店系统36b。图22的方法2200的实施例可以在包括诸如在图23中的酒店设施受限访问系统的系统的情境下提供多阶段验证。在这种情境下，可以在酒店消费者与酒店系统的初始交互中，比如酒店消费者在酒店登记过程期间，执行初始的更严格的验证过程。
回到图22，在步骤2214，可以确定是否对个人提供多阶段验证过程。如果确定提供多阶段验证过程(在此也被称为增强验证过程)，则该方法可以执行步骤2216，否则方法可以执行步骤2224，在步骤2224可以结束该方法。可以由受限访问系统操作者或受限访问系统36的组件来确定。可以基于一个或更多个因素来确定，比如根据以下中的一个或更多个来确定：受限访问系统与个人之间的预先确定的配置(例如，常用的用户程序等)，该配置将预先确定的个人的类别分配给增强的验证或非增强的验证(例如，将某些司法管辖区的个人分配给进行增强的或非增强的验证等)；在初始验证阶段期间是否出现任何问题；与个人相关联的信任感知水平等。
在步骤2216，可以为受限访问系统36实现对个人的增强的验证。可以通过例如在受限访问系统36中的个人配置文件中设置指示来启动增强的验证。
在步骤2218，继初始验证阶段之后，受限访问系统可以接收与个人相关的数据，比如个人的生物统计特征的表示。可以由受限访问系统通过对生物统计特征的行扫描来接收生物统计特征。生物统计特征扫描设备可以包括扫描装置，用于扫描与确定的身体特性对应的个人的生物统计特征。在一个示例中，拇指指纹扫描仪可以扫描个人的拇指指纹。
在步骤2220，可以对照所接收的生物统计数据来验证所确定的身体特性。可以对照接收到的生物统计数据来验证身体特性，以提供增强的验证过程中随后的相对不太严格的验证。可以类似于如上面针对图17的方法1700的对应组成步骤1710所讨论地执行步骤2220。在一个示例中，可以将确定的拇指指纹数据与扫描的拇指指纹进行比较。
在步骤2212，根据对照接收到的生物统计数据对身体特性的验证结果，可以授权或拒绝对受限访问系统36的后续访问。如果验证结果是肯定的，即如果验证结果指示个人与提取的特性对应，则可以授权访问。如果验证结果是否定的，即验证结果指示个人与提取的特性不对应，则可以拒绝访问。该方法可以结束于步骤1714。
回到图23，在酒店受限访问系统的情境下执行方法2200的实施例中，可以在酒店消费者与酒店系统的后续交互中，比如当酒店消费者进入其在酒店的房间时，执行随后的不太严格的验证阶段。
在图22的方法2200的实施例中，随后的验证阶段可以不是确定身体特性的验证，而是基于其他数据的验证，或者除了确定身体特性的验证之外还有其他数据验证，比如对一段身份数据的验证等。
可以检索存储在身份元素库中的与身份相关联的元数据。例如，在身份验证过程的实施例中，在验证身份的有效性的同时，可以检索存储在元数据中的身份的当前状态，比如身份是否已经被撤销、是否针对个人下发过逮捕请求等。
图24描绘了检索与集中式身份系统中的身份相关联的元数据的方法2400的实施例。在身份元素库包括分布式系统的实施例中，方法2400的实施例可以用于实施图5的方法500的步骤520的检索与身份元素库内的身份相关联的元数据。该方法可以开始于步骤2402。
在步骤2404，受限访问系统可以接收来自试图调用身份以访问受限访问系统的个人的身份令牌的表示。可以类似于如上面针对图19的方法1900的步骤1904所讨论地执行步骤2404。
在步骤2406，可以从身份令牌提取一个或更多个身份令牌组件。所提取的信息可以包括表示存储在区块链上的身份的经验证的身份数据的标识符。可以类似于如上面针对图19的方法1900的步骤1906所讨论地执行步骤2406。
在步骤2408，可以验证身份令牌的数字签名。可以类似于如上面针对图19的方法1900的步骤1908所讨论地执行步骤2408。
在步骤2410，比如通过搜索区块链的数据结构、调用身份服务合约的元数据读取函数116或者生成一个或更多个交易以调用身份服务合约的元数据读取函数，可以确定区块链是否包含与标识符相关联的元数据结构。元数据读取函数可以是身份服务合约的公有函数，可以在不生成交易给区块链的情况下访问和执行该函数。在这样的实施例中，可以直接调用元数据读取函数。可替选地，调用元数据读取函数可以对区块链请求交易。在这样的实施例中，为了调用元数据读取函数，可以生成包括请求调用该函数的交易。对元数据读取函数的请求可以包括作为该函数的输入的存储在区块链上的身份的经验证的身份数据的表示。
在生成交易的实施例中，在步骤2412，可以将生成的交易传输给分布式身份元素库的分布式系统节点66中的至少一个。可以通过直接连接到集中式身份系统24的模块(比如本地)的分布式系统节点中的一个，将交易发送给至少一个节点66。如同将交易发送给至少一个分布式系统节点66的其他步骤，发送交易可以通过分布式系统节点66中的一个或更多个来触发包括在过程中的交易，以将交易并入到由分布式身份元素库的节点66存储的区块链的块中。一旦并入到块中，交易就已经被执行，比如通过调用元数据读取函数来执行。在不需要生成交易(比如可以直接调用元数据读取函数)的实施例中，可以省略步骤2412。
在步骤2414，可以接收与分布式身份元素库中的身份相关联的元数据。
集中式身份系统24可以在很多其他情境下提供身份服务。例如，集中式身份系统24可以提供身份服务以实现金融交易监管和跟踪过程。图25描绘了被配置用于金融交易环境的情境的图1的系统的实施例。该系统可以包括身份集中式系统24、一个或更多个身份提供者系统28(比如金融监管身份提供者系统28c)、作为身份用户系统32的实施例的金融交易执行者系统32c以及作为受限访问系统36的实施例的金融交易系统36c。
图26描绘了跟踪金融交易的方法2600的实施例。该方法的实施例可以在金融交易环境的实施例(比如图25的系统的实施例)的情境中执行。该方法可以开始于步骤2602。
在步骤2604，可以进行金融交易。金融交易可以包括金融贸易(比如股票、债券或其他交易)、债务交易(比如贷款交易)、资产转移交易等中的一种或更多种。金融事务交易可以由金融交易执行者使用金融交易系统来执行金融交易。
在步骤2606，可以从金融交易或其他数据集的记录中提取金融交易和金融交易执行者标识符。例如，可以从响应于交易所生成的回执或日志中提取标识符。
在步骤2608，可以生成交易以调用身份服务合约的数据或元数据创建或修改函数。可以类似于如上面针对其他区块链交易生成步骤所讨论地生成交易。该交易可以将包括金融交易标识符的元数据添加到与由金融交易执行者标识符所标识的身份相关联的身份元素库。金融交易执行者标识符可以包括对于金融交易执行者的经验证的标识数据的表示。
在步骤2610，可以将调用身份服务合约的数据或元数据创建或修改函数的交易发送给分布式身份元素库的至少一个分布式智能合约系统节点。类似于上面针对其他区块链交易发送步骤所讨论的，该交易可以被发送给至少一个节点，并且可以类似地将交易并入到区块链中。
在步骤2612，接收交易被合并到的区块链上的位置的地址。将交易并入区块链上可以提供由金融交易执行者执行的金融交易的相对不能篡改的记录，比如可以满足一个或更多个金融法规。
在此讨论的身份系统、集中式身份系统和提供身份服务的方法可以有其他实施例。例如，在此描述的身份系统、集中式身份系统以及提供身份服务的方法的任何实施例的任何特征可以用于身份系统、集中式身份系统以及提供身份服务的方法的任何其他实施例中。而且，身份系统、集中式身份系统和提供身份服务的方法的实施例可以仅包括在此讨论的身份系统、集中式身份系统或提供身份服务的方法的组件或特征的任何子集。