用于处理匿名生物特征和/或行为数据的系统和方法与流程

1.本发明总体上涉及生物特征系统，并且更具体地涉及用于处理和/或生成匿名生物特征和/或行为数据的系统和方法，以及对应的计算机程序产品，以及用于收集总体上描述受试者群体的汇总统计数据的方法。


背景技术：

2.公众舆论以及隐私法和视频监控法的制定都强调了需要在不侵犯主体隐私权的情况下收集顾客数据。引入了新的立法，禁止未经书面同意对个体进行生物特征跟踪。通常禁止存储生物特征和/或其他可识别数据。
3.匿名视频监控已经变得很普遍。匿名视频监控允许使用摄像头和人脸识别技术来收集大致的人口统计数据，比如人数、人的性别和人的年龄。一些系统还检测面部方向、面部表情并识别视野内可见的活动。这些系统捕获瞬时视图，但是无法研究长时间内的行为，并且也无法研究在较长时间范围内影响人类行为的因素。
4.生物特征系统检测并保存个体的特定生物特征数据。这种保存的数据可用于跟踪这些个体在较长时间段内的轨迹，并且从而跟踪他们对先前暴露于状态和事件的反应。基于摄像头的生物特征系统能够以越来越高的准确性来识别个体，但是它们的使用主要限于在尊重隐私方面限制较少的国家行为者。
5.对于其他行为者而言，关键问题是如何在不侵犯受试者的隐私权的情况下，在很长的一段时间内跟踪和研究人类行为模式，从而可能合并来自多个生物特征传感器的数据。
6.现有技术可以由参考文献[1
‑
12]表示。


技术实现要素：

[0007]
总的目的是在保留这些受试者的实际、合法和/或感知的匿名性的同时获得行为数据。
[0008]
具体目的是在保留匿名性的同时提供有关时间相关的个体轨迹的汇总数据。
[0009]
另一目的是在保留匿名性的同时提供有关由施加于这些受试者的刺激引起的行为改变的汇总数据。
[0010]
具体目的是提供一种用于处理和/或生成匿名生物特征和/或行为数据的方法和对应的系统。
[0011]
又一目的是提供一种对应的计算机程序产品。
[0012]
又另一目的是提供一种用于收集总体上描述受试者群体的汇总统计数据的方法。
[0013]
这些和其他目的通过本文所定义的实施例得以满足。
[0014]
根据第一方面，提供了一种用于处理和/或生成匿名生物特征和/或行为数据的系统。该系统包括处理系统，并且该处理系统被配置为：接收源自受试者的生物特征数据，并且基于该生物特征数据、使用用于提供匿名性的单向局部敏感哈希来确定生物特征密钥；
或者接收该生物特征密钥。该处理系统被配置为创建将描述该受试者的用户行为的匿名行为数据与该生物特征密钥相联系的生物特征轨迹数据。该处理系统进一步被配置为将与该生物特征密钥相关联的生物特征轨迹数据存储到数据库中的对应生物特征轨迹中，在该数据库中，可以预期存在源自该受试者的先前生物特征轨迹数据。该处理系统还被配置为：使来自每个密钥的多个个体或受试者的生物特征数据匿名，其中，每个生物特征密钥映射到几个受试者的生物特征数据，并且产生相同生物特征密钥的这样的一组受试者被称为哈希组；并为每个哈希组产生生物特征轨迹。
[0015]
根据第二方面，提供了一种用于处理匿名行为数据的方法。该方法包括以下步骤：使用单向局部敏感哈希函数将源自受试者的生物特征数据映射到生物特征密钥中，或者接收该生物特征密钥。该方法还包括将绑定到此密钥的附加匿名行为数据存储到数据库中的现有生物特征轨迹中，其中，该行为数据描述了该受试者的用户行为。执行该方法以使来自每个密钥的多个个体或受试者的生物特征数据匿名，其中，每个生物特征密钥映射到几个受试者的生物特征数据，并且产生相同生物特征密钥的这样的一组受试者被称为哈希组，并且为每个哈希组产生生物特征轨迹。
[0016]
根据第三方面，提供了一种计算机程序产品，该计算机程序产品包括存储计算机程序的非暂态计算机可读介质。该计算机程序包括指令，这些指令在由处理器执行时使该处理器进行以下操作：
[0017]
‑
接收源自受试者的生物特征数据；并且
[0018]
‑
基于该生物特征数据、使用用于提供匿名性的单向局部敏感哈希来确定生物特征密钥，或者接收该生物特征密钥；
[0019]
‑
创建将描述该受试者的用户行为的匿名行为数据与该生物特征密钥相联系的生物特征轨迹数据；并且
[0020]
‑
将与该生物特征密钥相关联的生物特征轨迹数据存储到数据库中的对应生物特征轨迹中，在该数据库中，可以预期存在源自该受试者的先前生物特征轨迹数据；并且
[0021]
‑
使来自每个密钥的多个个体或受试者的生物特征数据匿名，其中，每个生物特征密钥映射到几个受试者的生物特征数据，并且产生相同生物特征密钥的这样的一组受试者被称为哈希组；并为每个哈希组产生生物特征轨迹。
[0022]
根据又一方面，提供了一种用于处理和/或生成匿名生物特征和/或行为数据的系统。该系统包括处理系统，其中，该处理系统被配置为：接收源自受试者的生物特征数据，并且基于该生物特征数据、使用单向破坏性局部敏感哈希来确定生物特征密钥，该哈希在不同受试者数据之间具有足够高的碰撞概率来提供匿名性；或者接收所述生物特征密钥。该处理系统进一步被配置为创建将收集的匿名行为数据与该生物特征密钥相联系的生物特征轨迹数据，并且被配置为将与该生物特征密钥相关联的生物特征轨迹数据存储到数据库中的对应生物特征轨迹中，在该数据库中，可以预期存在具有相同生物特征密钥的先前生物特征轨迹数据，并且这种数据既可以源自该受试者又可以源自多个其他受试者，使得无法识别属于该受试者的特定先前数据。
[0023]
举例来说，以此方式，就可以在不侵犯受试者的隐私权的情况下，在很长的一段时间内跟踪和研究人类行为模式，从而可能合并来自多个生物特征传感器的数据。
[0024]
根据另一方面，提供了一种用于收集总体上描述受试者群体的汇总统计数据的方
法。该方法包括以下步骤：使用单向局部敏感哈希函数将源自受试者的生物特征数据映射到生物特征密钥中或者接收所述生物特征密钥；以及将绑定到此密钥的匿名行为数据存储到数据库中的现有生物特征轨迹中，其中，该行为数据描述了该受试者的用户行为。针对该受试者群体中的几个受试者重复上述步骤，以将这些受试者分配到哈希组中，每个密钥具有多个受试者，并为每个哈希组产生生物特征轨迹。
[0025]
当阅读本发明的实施例的以下描述时，将理解本发明提供的其他优点。
附图说明
[0026]
通过参考以下结合附图的描述，可以最好地理解本发明及其进一步的目的和优点，在附图中：
[0027]
图1是展示了在该系统的实施例中涉及的密钥概念的示意图。提供了一种处理系统，该处理系统被编程为接收生物特征数据。处理系统被编程为将破坏性局部敏感哈希函数应用于生物特征数据并计算生物特征密钥。该密钥在数据库接口中链接到一些可选的附加数据并存储到数据库中。
[0028]
图2是展示了另一实施例中涉及的附加密钥概念的示意图。在该实施例中，还通过包括能够检测和/或发送生物特征数据的一个或多个传感器扩展了图1的系统。可选的附加数据是从一个或多个传感器和/或数据库接口发送的。
[0029]
图3是展示了所涉及的附加密钥概念的示意图。在这个实施例中，通过还包括能够提供刺激的系统扩展了图2的系统。有关施加哪种刺激的信息可以可选地基于生物特征密钥。关于刺激的信息在数据库与刺激系统之间同步，使得数据库包含关于已经施加了哪种刺激的信息。
[0030]
图4a是展示了根据实施例的用于处理匿名行为数据的方法的示例的示意图。
[0031]
图4b是展示了该方法中涉及的密钥概念的示例的示意图。
[0032]
图5是展示了本发明的另一实施例中的附加可选概念的示例的示意图。
[0033]
图6是展示了本发明的另一实施例中的附加可选概念的示例的示意图。
[0034]
图7是展示了如何可以在零售环境中应用本发明的示例的示意图。
[0035]
图8是展示了根据实施例的计算机实施方式的示例的示意图。
[0036]
图9是展示了如何可以将受试者群体匿名地划分为哈希组的示例的示意图。
具体实施方式
[0037]
为了更好地理解所提出的技术，从简要的系统概述和/或技术问题的分析开始可能是有用的。
[0038]
根据一个方面，提供了一种能够接收受试者的生物特征数据的系统。该数据被发送到处理系统，该处理系统被编程为应用破坏性局部敏感(locality
‑
sensitive)哈希(也称为位置敏感(location
‑
sensitive)哈希)以产生匿名生物特征密钥。可选地，该处理系统还包含能够向受试者提供刺激的子系统。匿名生物特征密钥与从受试者收集并存储在数据库或其他介质中的其他数据链接。然后可以使用统计方法处理一组这样的匿名数据，以检索有关受试者所走轨迹的各种统计数据。
[0039]
根据另一方面，提供了一种用于从受试者收集行为数据的方法。关于所选择的刺
激的数据与非唯一的生物特征密钥一起存储，并且匿名地跟踪组的后续轨迹。
[0040]
现在将描述所提出的技术的其他类似、互补和/或替代方面。
[0041]
匿名性是指难以识别某些存储数据所涉及的受试者。在此，假设可以单独根据存储的数据执行此识别，也可以通过与其他数据源交叉引用数据来执行此识别。即使理论上的识别可能性仍然存在，使识别过程更加繁重的方法和在实践中降低正确识别可能性的方法都被认为是提供匿名性。
[0042]
感知匿名性是指足以影响人的行为模式的任何级别的匿名性。特别地，这可以指匿名性级别是否能够合理地诱使购买匿名产品或诱使受试者同意记录他/她的数据。
[0043]
合法匿名性是影响数据收集、数据存储、数据记录或监控系统的合法状态的匿名性级别。特别地，这可以是指法律上认为是伪匿名或完全匿名的数据之间的差异。
[0044]
实际匿名性是客观上实现的匿名性。取决于附加数据源和所使用的算法，实际匿名性可能不受提供合法和感知的匿名性的匿名化方法的影响。同样，被感知为匿名的且在法律上被视为匿名的系统可能在客观上对于某些识别尝试上来说未必更安全。
[0045]
生物特征数据是人的任何可测量的生理或行为特性，比如虹膜模式、身高、估计年龄、话音或步态。特别地，生物特征数据可以是经过训练以根据生物特征原始数据(比如图像)来识别人的神经网络的特征向量。
[0046]
行为数据是描述受试者的用户行为的数据。这种数据的示例是用户位置、用户动作、语音、面部表情、所表现的兴趣、注视方向、运动模式和选择偏好。
[0047]
‘
生物特征轨迹数据’是链接到生物特征密钥的任何数据。该链接可以是显式的(比如将数据和生物特征密钥一起存储在数据向量中)和/或隐式的(例如其中基于生物特征密钥将数据存储在哈希表中的系统)。
[0048]
‘
生物特征轨迹’是全部或部分基于其生物特征数据链接在一起的一组生物特征轨迹数据。对于后者的示例，本发明的一些实施例除了生物特征数据之外还利用一个或多个其他数据，比如位置、时间、衣服和/或产品偏好，以便产生更准确的识别。如果所有包含的生物特征轨迹数据均为匿名的，则生物特征轨迹为匿名的。
[0049]
根据具体的应用示例，本发明解决了如何在长时间内匿名收集关于受试者的数据的挑战，使得可以对受试者的长期行为产生有用的统计理解。这种分析将受益于统计地估计在长时间内影响各个受试者的行为的因素，而无需存储可识别的信息。
[0050]
举例来说，简而言之，可以通过使用匿名且非唯一的生物特征身份信息将在几个不同时间收集的数据点链接在一起来解决该问题。这种降级的识别数据仍可用于将数据点统计汇总为描述长时间内的行为的有意义的且复杂的配置文件。换句话说，可以设置持久性数据收集系统来累积与近似身份相关的数据，即哈希密钥，这些哈希密钥随后可以通过适当的统计分析转变为个体行为的通用模型。
[0051]
本发明允许持续捕获匿名数据，并且可以使来自每个哈希密钥的多个(通常是50个或更多)个体的生物特征数据瞬时匿名。该数据可以连续地添加到匿名生物特征轨迹，该匿名生物特征轨迹在延长的时间段内跟踪行为模式。
[0052]
图1是展示了在该系统的实施例中涉及的密钥概念的示意图。提供了一种处理系统，该处理系统被编程为接收生物特征数据。处理系统被编程为将破坏性局部敏感哈希函数应用于生物特征数据并计算生物特征密钥。该密钥在数据库接口中链接到一些可选的附
加数据并存储到数据库中。
[0053]
在该示例中，所提出的系统包括处理系统，该处理系统能够将生物特征数据转换为生物特征密钥。出于感知的、合法的和/或实际的匿名化的目的，该处理在足够短的时间延迟内进行，使得整个处理操作可以被认为是立即进行的。在典型的实施例中，生物特征数据通过加密的无线网络接收，并安全地存储在随机存取存储器中。处理系统应用破坏性局部敏感哈希lsh，并存储哈希密钥，之后原始生物特征数据将被覆盖以防止检索。
[0054]
可选地，所提出的系统可以包括能够记录生物特征数据的任何数量的传感器系统。这些传感器系统是大量可能的传感器系统，包括但不限于摄像头、麦克风、指纹传感器和微波/激光成像装置。传感器系统包括将原始传感器数据处理为生物特征数据所需的任何附加处理系统，例如人脸识别软件和/或3d空间重建系统。
[0055]
图2是展示了另一实施例中涉及的附加密钥概念的示意图。在该实施例中，还通过包括能够检测和/或发送生物特征数据的一个或多个传感器扩展了图1的系统。可选的附加数据是从一个或多个传感器和/或数据库接口发送的。
[0056]
在一些实施例中，可以根据生物特征数据和其他容易获得的数据(比如wi
‑
fi mac地址)的组合来计算生物特征密钥，以获得更稳健的哈希函数。
[0057]
‘
哈希函数’是可以应用于固定长度输入的任何函数；或可以应用于可变长度输入的任何函数。换句话说，哈希函数是可以用于将任意大小的数据映射到固定大小的数据的任何函数。
[0058]
‘
局部敏感哈希函数’(简称
‘
lsh’)是具有更高概率将输入空间中彼此接近的输入映射到相同输出的哈希函数。
[0059]
在一般意义上，本文中的
‘
破坏性哈希函数’或
‘
单向函数’被用作在所收集的生物特征值的空间中非单射的任何哈希函数。换句话说，该函数破坏了输入中的信息。换句话说，该函数是防止从输出中检索精确的输入值的单向函数。本发明的范围进一步将这样的破坏性哈希函数限制为能够提供实际的、感知的和/或合法的匿名性的破坏性哈希函数。此函数的输出被称为生物特征密钥。产生特定生物特征密钥的一组人脸被称为
‘
哈希组’。
[0060]
换句话说，破坏性/单向哈希函数是一种不可逆的真实匿名化，其与使用可以从函数输出中检索输入的可逆伪匿名标识符相反。伪匿名标识符可以被逆转，例如，通过根据已知的个体生物特征测量结果计算标识符来找到所识别的个体的标识符。伪匿名标识符因此保留了可以使用附加数据来识别数据集中的个体的信息，而破坏性哈希永久性地破坏了该信息。
[0061]
‘
破坏性/单向lsh’是既是破坏性/单向哈希函数又是局部敏感哈希函数的任何哈希函数。
[0062]
破坏性/单向lsh可以与添加到以下项的噪声相结合：输入数据；输出数据；和/或中间变量。噪声充当掩盖数据的附加方法。但是，以此方式使用噪声进行匿名化降低了将两个接近的输入数据点指派给同一生物特征密钥的可能性，并且往往违背了lsh的目的。
[0063]
合适的破坏性/单向lsh的简单示例是两步函数：
[0064]
在第一步中，可以将空间分成多个超矩形，并破坏有关输入位于哪个超矩形内的信息，同时保留有关超矩形内的位置的信息。这可以通过简单的除以某个除数并且然后沿输入空间的每个轴线丢弃商的整数部分来进行。在第二步中，可以将这些超矩形再次划分
为较小的超矩形。在其中找到输入的较小超矩形的标识符是生物特征密钥。第二步可以通过沿每个轴线除以某除数来执行，但是现在仅保留商的整数部分，并枚举所有可能的坐标。在这种情况下，坐标号成为标识符。
[0065]
这种类型的哈希具有几个优点。通过将该输入空间划分为较大的超矩形，删除了大型图案并在输入空间中对这些图案实施了粗略的抗碰撞性。划分为较小的超矩形创建了简单的局部敏感哈希，该局部敏感哈希提高了将来自同一受试者的任何两个有噪的生物特征测量结果指派给同一生物特征密钥的概率。
[0066]
得到的生物特征密钥表示其边界内的所有生物特征数据。该位置敏感性确保了来自单个受试者的生物特征测量结果的分布具有较高的概率接收到相同的生物特征密钥。给定1 350 000个受试者、三维生物特征向量和除数30，该匿名性将大致对应于k＝50的k匿名，并且因此在许多情况下都被认为是匿名的。
[0067]
上面的示例仅是说明性的，并且技术人员可以实现等效或替代的哈希方案。
[0068]
一般而言，使用破坏性哈希的目的是根据与我们的群体研究所感兴趣的实际属性无关或不显著相关的生物特征标准来生成个体组。我们对组本身之间的差异不感兴趣，而是使用可重新识别和可跟踪的组来总体上研究所划分群体的行为。目的是通过根据与实际研究的属性基本无关的标准细分为可重新识别的组来研究群体。
[0069]
哈希的局部敏感特性的目的是处理生物特征测量结果中的噪声。尽管密码哈希可以有效地打破组中的个体之间的任何相关性，这本身是期望的特性，但由于生物特征测量结果中的任何小噪声都会产生完全不同的哈希密钥，因此重新识别个体的机会也非常低。位置敏感度或局部敏感度增加了对来自同一受试者的两次有噪测量结果指派相同哈希密钥的机会，并且是使得本发明在当前特定情况下能够在长时间内跟踪行为的原因。
[0070]
在处理系统能够直接从生物特征数据源接收破坏性lsh的结果(比如直接在传感器中计算时)的情况下，可以跳过提取步骤。然后，在后续步骤中将接收到的破坏性lsh的结果用作生物特征密钥。
[0071]
如前所述，系统可以包括能够存储生物特征密钥的数据库。此信息可以显式和/或隐式地存储。各种形式的存储包括但不限于整数、浮点数和哈希表中的位置形式的存储。该数据库还能够存储链接到每个生物特征密钥的任何附加数据，比如时间、位置、天气、注视方向、直接环境的状态、其他生物特征密钥和/或面部表情。典型的实施例利用应用程序接口api将该信息存储到与信息的本地备份保持同步的云服务。
[0072]
理想地，每个生物特征密钥都映射到几个受试者的生物特征数据，在这种情况下，这可以有效地匿名化数据。然而，可能存在很小的概率会将单个受试者指派给单个哈希组。另外，其他数据可以与存储的数据相关联以识别受试者的数据。破坏匿名性的这两种潜在的对抗尝试都需要大量附加外部数据源，比如对破坏性lsh的了解、受试者的位置、照片以及给定区域中受试者的庞大的详尽照片数据库。这完全可以通过以下方式来避免：通过仔细地限制生物特征数据收集并仔细地设计生物特征和破坏性哈希函数，使其可靠地产生足够大的哈希组。
[0073]
哈希组通常可以被视为整个受试者集的随机子集，这些子集使得可以应用多种统计方法。特别地，如果子集选择是随机的，则可以根据组之间的变化来估计个体之间的变化。换句话说，本发明允许在保留感知的、合法的和/或实际的匿名性的同时在长时间内测
量和执行关于受试者的行为的统计。
[0074]
在本发明的一个方面中，该系统还包括一种能够提供被提供给受试者的随机刺激的系统，可以合理地预期该随机刺激能够改变受试者的行为，从而改变未来收集的生物特征轨迹数据。能够提供刺激的这种系统的示例包括：数字屏幕；电视屏幕；音频设备、照明和用于视觉刺激的其他系统、能够显示文本的系统：能够为工作人员提供关于受试者治疗的指导的系统；嗅觉系统，要发送到受试者的电子装置的消息；以及暖通空调系统。与向其他受试者提供这种刺激相比，缺乏刺激也可以被认为是针对受试者的子集的刺激。
[0075]
刺激的随机选择可以通过多种方式来进行，包括但不限于：为每个受试者随机选择；为每个生物特征密钥随机选择一次；和/或通过作为生物特征密钥的函数的分布。刺激还可以根据作为以下一个或多个的函数的任何分布来选择：随机选择；受试者的生物特征数据；和/或任何外部因素集，例如天气、位置、先前示出的刺激和受试者的行为。
[0076]
对于本发明的明确包括能够提供刺激的系统的方面，具体地将本发明限于全部或部分基于生物特征密钥的刺激选择。
[0077]
图3是展示了所涉及的附加密钥概念的示意图。在这个实施例中，通过还包括能够提供刺激的系统扩展了图2的系统。有关施加哪种刺激的信息可以可选地基于生物特征密钥。关于刺激的信息在数据库与刺激系统之间同步，使得数据库包含关于已经施加了哪种刺激的信息。
[0078]
在该示例中，该系统还在处理系统上对生物特征轨迹进行统计分析。可以通过多种方式对生物特征轨迹进行统计分析。可以为一个或多个哈希组中的每一组指派特定的刺激，并且然后可以比较生物特征轨迹数据中的相应分布。替代性地，可以施加各种程度的一个或多个刺激，之后这些刺激的影响可以通过比如线性方程或神经网络等函数来逼近。
[0079]
可以根据每个刺激的选择随机生成的映射，将几个不同的刺激选择(比如营销信息选择和音乐选择)分别指派给一组哈希组，从而允许同时研究几个刺激选择的影响。在这种情况下，后续分析可以将刺激视为独立分布的变量。
[0080]
哈希组的统计分析也可以在没有刺激的情况下进行。在这种情况下，将各种生物特征轨迹数据的分布相互比较以识别相关性。例如，可以将具有较高程度的被估计为某个年龄组的受试者的哈希组与这些组对宠物商店的较高访问程度相关联。函数逼近可以应用于连续的生物特征轨迹数据，以识别趋势，比如，在10am之前进入某个位置的概率与在10pm之后进入的概率的函数。借助附加数学假设，也可以根据个体的哈希组统计数据来创建各种群体模型、顾客模型以及个体分布估计。这些类型的统计分析的许多变化对于本领域普通技术人员而言将是显而易见的。
[0081]
换句话说，所提出的技术可以由用于处理和/或生成匿名生物特征和/或行为数据的系统来表示。该系统包括处理系统，并且该处理系统可以被配置为：接收源自受试者的生物特征数据，并且基于该生物特征数据、使用用于提供匿名性的单向局部敏感哈希来确定生物特征密钥；或者接收该生物特征密钥。进一步，该处理系统可以被配置为创建将描述该受试者的用户行为的匿名行为数据与该生物特征密钥相联系的生物特征轨迹数据。该处理系统可以被配置为将与该生物特征密钥相关联的生物特征轨迹数据存储到数据库中的对应生物特征轨迹中，在该数据库中，可以预期存在源自该受试者的先前生物特征轨迹数据。该处理系统还被配置为：使来自每个密钥的多个个体或受试者的生物特征数据匿名，其中，
每个生物特征密钥映射到几个受试者的生物特征数据，并且产生相同生物特征密钥的这样的一组受试者被称为哈希组；并为每个哈希组产生生物特征轨迹。
[0082]
可选地，该系统进一步包括能够捕获来自该受试者的生物特征数据的传感器系统。
[0083]
举例来说，该系统可以进一步包括用于向该受试者提供一组刺激的系统，并且其中，所施加的刺激是根据该生物特征密钥选择的。
[0084]
例如，受试者可以是顾客，并且刺激可以是营销信息。
[0085]
可选地，该处理系统还可以被配置为对这些生物特征轨迹进行统计分析，以估计这些刺激的影响。
[0086]
举例来说，处理系统可以被配置为对哈希组进行统计分析。
[0087]
例如，该处理系统可以被配置为将生物特征轨迹数据的分布相互比较以识别相关性，和/或将函数逼近应用于生物特征轨迹数据以根据个体的哈希组统计数据来识别趋势和/或创建群体模型、顾客模型以及个体分布估计。
[0088]
图4a是展示了根据实施例的用于处理匿名行为数据的方法的示例的示意图。
[0089]
基本上，该方法包括以下步骤：
[0090]
‑
使用破坏性局部敏感哈希函数将源自受试者的生物特征数据映射(s1)到生物特征密钥中，或者接收该生物特征密钥；以及
[0091]
‑
将绑定到此密钥的匿名行为数据存储(s2)到数据库中的现有生物特征轨迹中，其中，该行为数据描述了该受试者的用户行为。
[0092]
执行该方法以使来自每个密钥的多个个体或受试者的生物特征数据匿名，其中，每个生物特征密钥映射到几个受试者的生物特征数据，并且产生相同生物特征密钥的这样的一组受试者被称为哈希组，并且为每个哈希组产生生物特征轨迹。
[0093]
在某种意义上，因此可以针对受试者群体重复步骤s1至s2(参见图4a中的虚线循环)，以将受试者分配到哈希组中，每个密钥具有多个受试者，并为每个哈希组产生生物特征轨迹。
[0094]
换句话说，根据另一方面，提供了一种用于收集总体上描述受试者群体的汇总统计数据的方法。该方法包括以下步骤：使用单向局部敏感哈希函数将源自受试者的生物特征数据映射到生物特征密钥中或者接收所述生物特征密钥；以及将绑定到此密钥的匿名行为数据存储到数据库中的现有生物特征轨迹中，其中，该行为数据描述了该受试者的用户行为。针对该受试者群体中的几个受试者重复上述步骤，以将这些受试者分配到哈希组中，每个密钥具有多个受试者，并为每个哈希组产生生物特征轨迹。所提出的技术还提供了对应的系统。
[0095]
图9是展示了如何可以将受试者群体匿名地划分为哈希组的示例的示意图。
[0096]
例如，参考图9，可以看出，给定群体组中每个受试者的生物特征数据可以被映射到生物特征密钥，即哈希密钥。对于每个受试者，可以创建将描述用户行为的匿名行为数据与对应的生物特征密钥相联系的生物特征轨迹数据，并将与该生物特征密钥相关联的生物特征轨迹数据存储到数据库中的对应生物特征轨迹中。重要的是，可以将与同一密钥相关联的受试者视为一个哈希组(比如都链接到哈希组#1的圈起来的受试者)，从而为每个哈希组产生一个“公共”生物特征轨迹。
[0097]
另外，局部敏感哈希还提高了将来自同一受试者的任何两个有噪的生物特征测量结果指派给同一生物特征密钥的概率。
[0098]
所提出的技术允许持续捕获匿名数据，并且可以使来自每个哈希密钥的多个个体或受试者的生物特征数据匿名。该数据可以连续地添加到对应的匿名生物特征轨迹，该匿名生物特征轨迹在延长的时间段内跟踪行为模式。
[0099]
实际上，这意味着可以预期存在针对任何给定生物特征密钥的先前生物特征轨迹数据，并且这种数据既可以源自特定受试者又可以源自多个其他受试者，使得无法识别属于当前处理的受试者的特定数据。
[0100]
这种方法允许分析每个哈希组的生物特征轨迹并将其与其他组进行比较(例如出于统计目的)，而无需存储可追溯到任何个体用户的可识别信息。
[0101]
根据具体的应用示例，本发明解决了如何在长时间内匿名收集关于受试者的数据的挑战，使得能够对受试者的长期行为产生有用的统计理解。
[0102]
举例来说，简而言之，可以通过使用匿名且非唯一的生物特征身份信息将在几个不同时间收集的数据点链接起来来解决该问题。这种降级的识别仍可用于将数据点统计汇总为描述长时间内的行为的有意义的且复杂的配置文件。换句话说，可以设置持久性数据收集系统来累积与“近似身份”相关的数据，即哈希密钥，这些哈希密钥(如果需要的话)随后可以通过适当的统计分析转变为个体行为的通用模型。
[0103]
换句话说，本发明使得能够在保留感知的、合法的和/或实际的匿名性的同时对受试者长时间内的行为进行测量和统计。
[0104]
实际上，这意味着可以预期存在针对任何给定生物特征密钥的先前生物特征轨迹数据，并且这种数据既可以源自特定受试者又可以源自多个其他受试者，使得无法识别属于当前处理的受试者的特定数据。根据本发明的这种方法允许分析每个哈希组的生物特征轨迹并将其与其他组进行比较，而无需存储可追溯到任何个体用户的可识别信息。这实际上意味着生物特征密钥不是每个个体的唯一标识符，而是针对几个个体的整个组(即哈希组)，从而有效且真正地使任何个体数据匿名。
[0105]
图4b是展示了该方法中涉及的密钥概念的示例的示意图。在第一步中，接收(s41)生物特征输入，并使用局部敏感哈希函数将其处理(s42)为生物特征密钥。将生物特征密钥链接到附加数据(s44)并存储在数据库中(s43)。
[0106]
图5是展示了本发明的另一实施例中的附加可选概念的示例的示意图。在此特定实施例中，除以下步骤外，还包括图4b的所有关键步骤：检测用户(s52)或触发条件，以及测量和/或捕获(s53)受试者的生物特征数据和/或检测数据流中的生物特征数据。
[0107]
换句话说，该方法可以进一步包括以下步骤：
[0108]
‑
在连续数据流中检测受试者；以及
[0109]
‑
当检测到该受试者时测量该受试者的生物特征数据。
[0110]
可选地，该方法进一步包括：基于该生物特征密钥选择要向该受试者示出的刺激的步骤。
[0111]
图6是展示了本发明的另一实施例中的附加可选概念的示例的示意图。该实施例类似于图5所展示的实施例，但是增加了随机刺激。该实施例还可以向受试者提供随机选择的刺激(s65)。关于所提供的刺激的直接或间接信息与受试者的生物特征数据一起被记录
(s66)。在选择刺激时使用生物特征密钥是可选的。替代方案是随机选择刺激。这两种方法都允许稍后的统计分析匿名推断出各种刺激对受试者行为的影响。
[0112]
举例来说，受试者可以是顾客，并且刺激可以是营销信息。
[0113]
如先前讨论的，该方法可以进一步包括：多次重复先前步骤并对该轨迹数据进行统计分析的步骤。
[0114]
举例来说，该方法因此可以可选地包括对哈希组进行统计分析。
[0115]
例如，可以进行统计分析以将生物特征轨迹数据的分布相互比较以识别相关性，和/或将函数逼近应用于生物特征轨迹数据以根据个体的哈希组统计数据来识别趋势和/或创建群体模型、顾客模型以及个体分布估计。
[0116]
根据又一方面，提供了一种用于处理和/或生成匿名生物特征和/或行为数据的系统。该系统包括处理系统，其中，该处理系统被配置为：接收源自受试者的生物特征数据，并且基于该生物特征数据、使用单向破坏性局部敏感哈希来确定生物特征密钥，该哈希在不同受试者数据之间具有足够高的碰撞概率来提供匿名性；或者接收所述生物特征密钥。该处理系统进一步被配置为创建将收集的匿名行为数据与该生物特征密钥相联系的生物特征轨迹数据，并且被配置为将与该生物特征密钥相关联的生物特征轨迹数据存储到数据库中的对应生物特征轨迹中，在该数据库中，可以预期存在具有相同生物特征密钥的先前生物特征轨迹数据，并且这种数据既可以源自该受试者又可以源自多个其他受试者，使得无法识别属于该受试者的特定先前数据。
[0117]
图7是展示了如何可以在零售环境中应用本发明的示例的示意图。受试者走过入口。摄像头检测到(多个)受试者，捕获(多个)受试者的生物特征数据并计算每个受试者的生物特征密钥。伪随机映射用于基于此密钥选择两个营销视频之一，以在屏幕上显示给(多个)受试者。之后，所有摄像头都会检测到(多个)受试者，识别(多个)受试者所看的产品，并将此数据与受试者的生物特征密钥一起存储。在从几个受试者收集数据后，可以检测到所显示的营销视频与由此产生的对各种产品的兴趣之间的相关性。
[0118]
在本发明的实施例的用例的第一说明性示例中，零售店希望匿名收集关于顾客如何对不同的营销信息做出反应的数据。商店摄像头捕获来访顾客的人脸并将人脸图像转换为生物特征密钥。生物特征密钥与访问时在商店中显示的日期、位置和营销信息一起存储。
[0119]
在同一位顾客的下一次访问商店期间，每次将人脸转换为相同的生物特征密钥。经过几次访问，将为每个哈希组产生一个轨迹，该轨迹可用于示出各种统计数据，比如访问次数和所访问的商店区域。
[0120]
随时间推移对访问商店的大量个体匿名地收集许多这样的轨迹。然后，可以通过比较哈希组来统计估计每个营销信息的影响。商店可以使用该数据直接估计某条信息平均导致多少次后续访问。
[0121]
在用例的第二说明性示例中，公司试图估计工作负荷与员工情绪变化之间如何关联。在工作环境中设置了摄像头，并记录了匿名生物特征人脸数据。摄像头还使用标准的人脸识别技术来估计员工的情绪。使用员工日历和照片将日历数据存储在对应的哈希组中。然后可以建立日历数据与随后的情绪变化之间的相关性，并在哈希组之间进行比较。为了进一步隔离因果关系，公司然后可以通过对每个生物特征密钥的工作日程进行随机更改来研究哈希组。
[0122]
应当理解，上述方法和装置可以以各种方式组合和重新安排，并且这些方法可以由一个或多个适当编程或配置的数字信号处理器和其他已知电子电路(例如，互连以执行特定功能的离散逻辑门，或专用集成电路)执行。
[0123]
根据可以由例如可编程计算机系统的元件执行的动作序列来描述本发明的许多方面。
[0124]
以上描述的步骤、功能、过程和/或框可以使用任何常规技术以硬件来实现，比如离散电路或集成电路技术，包括通用电子电路和专用电路两者。
[0125]
替代性地，上述步骤、功能、过程和/或框中的至少一些可以在软件中实施，以便由比如微处理器、数字信号处理器(dsp)等适当的计算机或处理装置和/或比如现场可编程门阵列(fpga)装置和可编程逻辑控制器(plc)装置等任何适当的可编程逻辑装置来执行。
[0126]
还应当理解，可以重新使用实现本发明的任何装置的一般处理能力。也可以重新使用现有的软件，例如通过对现有软件进行重新编程，或者通过添加新的软件部件。
[0127]
也可以提供基于硬件和软件的组合的解决方案。实际的硬件
‑
软件分区可以由系统设计者基于包括处理速度、实现成本和其他要求的许多因素来决定。
[0128]
术语
‘
随机’应当在一般意义上解释为使用一个集合中的任何选择，该选择被选择为在统计上等效于随机数。这包括伪随机数和外部自然噪声源，无论其本质上是确定性的还是随机的。
[0129]
图8是展示了根据实施例的计算机实施方式的示例的示意图。在该特定示例中，系统200包括处理器210和存储器220，该存储器包括可由处理器执行的指令，由此处理器可操作以执行本文描述的步骤和/或动作。这些指令通常被组织为计算机程序225；235，该计算机程序可以预先配置在存储器220中或从外部存储装置230下载。可选地，系统200包括输入/输出装置240，该输入/输出装置可以互连到(多个)处理器210和/或存储器220，以实现比如(多个)输入参数和/或得出的(多个)输出参数等相关数据的输入和/或输出。
[0130]
术语
‘
处理系统’应当在一般意义上解释为能够执行程序代码或计算机程序指令以便执行特定处理、确定或计算任务的任何系统或装置。处理系统还包括无需计算机程序即可执行等效计算的分布式计算装置以及模拟计算装置。
[0131]
根据又一方面，提供了一种计算机程序产品，该计算机程序产品包括存储计算机程序的非暂态计算机可读介质。该计算机程序包括指令，这些指令在由处理器执行时使该处理器进行以下操作：
[0132]
‑
接收源自受试者的生物特征数据；并且
[0133]
‑
基于该生物特征数据、使用用于提供匿名性的单向局部敏感哈希来确定生物特征密钥，或者接收该生物特征密钥；
[0134]
‑
创建将描述该受试者的用户行为的匿名行为数据与该生物特征密钥相联系的生物特征轨迹数据；并且
[0135]
‑
将与该生物特征密钥相关联的生物特征轨迹数据存储到数据库中的对应生物特征轨迹中，在该数据库中，可以预期存在源自该受试者的先前生物特征轨迹数据；并且
[0136]
‑
使来自每个密钥的多个个体或受试者的生物特征数据匿名，其中，每个生物特征密钥映射到几个受试者的生物特征数据，并且产生相同生物特征密钥的这样的一组受试者被称为哈希组；并为每个哈希组产生生物特征轨迹。
[0137]
处理器或等效处理系统不必专用于仅执行上述步骤、功能、过程和/或框，而是还可以执行其他任务。
[0138]
此外，可以另外认为本发明完全体现在任何形式的计算机可读存储介质中，该计算机可读存储介质中存储有适当的指令集，以供指令执行系统、设备或装置(比如基于计算机的系统、包含处理器的系统或者可以从介质中获取指令并执行指令的其他系统)使用或与其结合使用。
[0139]
该软件可以被实现为计算机程序产品，其通常承载在例如cd、dvd、usb存储器、硬盘驱动器或者任何其他常规存储装置的非暂态计算机可读介质上。可以因此将软件加载到计算机或等效处理系统的操作存储器中，以便由处理器执行。计算机/处理器不必专用于仅执行上述步骤、功能、过程和/或框，而是还可以执行其他软件任务。
[0140]
当由处理系统执行时，本文提出的(一个或多个)流程图可以被视为(一个或多个)计算机流程图。对应的设备可以被定义为一组功能模块，其中由处理系统执行的每个步骤对应于功能模块。在这种情况下，功能模块被实施为在处理系统上运行的一个或多个计算机程序。
[0141]
可以因此将驻留在存储器中的计算机程序组织为适当的功能模块，这些适当的功能模块被配置为在由处理系统执行时执行本文所述的步骤和/或任务的至少一部分。
[0142]
替代性地，可以主要通过硬件模块或者替代性地通过硬件在相关模块之间进行适当的互连来实现(多个)模块。具体实例包括一个或多个适当配置的数字信号处理器和互连以执行特定功能的其他已知的电子电路(例如离散逻辑门)和/或如前所述的专用集成电路(asic)。可用硬件的其他实例包括输入/输出(i/o)电路和/或用于接收和/或发送信号的电路。软件与硬件的范围纯粹是实现选择。
[0143]
提供计算服务(硬件和/或软件)变得越来越普遍，其中资源作为服务通过网络传递到远程位置。举例来说，这意味着可以将本文所述的功能分布或重新定位到一个或多个单独的物理节点或服务器。该功能性可以被重新定位或分布到可以定位在单独的一个或多个物理节点(即，所谓的云)中的一个或多个联合作用的物理和/或虚拟机。有时也将其称为云计算，这是用于使得普遍存在的按需网络能够访问比如网络、服务器、存储装置、应用程序以及常规或定制服务的可配置的计算资源池的模型。该功能也可以是本地处理器系统，其功能的一部分被替换为远程计算服务上的等效功能的接口。
[0144]
上述实施例应被理解为本发明的一些说明性实例。本领域技术人员将理解，在不脱离本发明的范围的情况下，可以对实施例进行各种修改、组合和改变。具体地，在技术上可能的情况下，可以将不同实施例中的不同部分解决方案在其他配置中组合。
[0145]
参考文献
[0146]
[1]us 9,031,858 b2
[0147]
[2]us 9,031,857 b2
[0148]
[3]us 9,020,208 b2
[0149]
[4]us 9,092,808 b2
[0150]
[5]us 9,361,623 b2
[0151]
[6]us 9,894,063 b2
[0152]
[7]us 2013/0195316 a1
[0153]
[8]us 2014/0122248 a1
[0154]
[9]us 2015/0006243 a1
[0155]
[10]us 2016/0371547 a1
[0156]
[11]us 2014/0063237 a1
[0157]
[12]ep 2,725,538。