Die Erfindung betrifft Verfahren, eine Chipkarte, ein System und ein Comp- terprogrammprodukt zum Verifizieren eines Fingerabdrucks einer Person.

Das Überprüfen der Identität oder einer Zugangsberechtigung einer Person wird heutzutage vielfach anhand von schwer zu fälschenden biometrischen Merkmalen der Person durchgeführt. Hierzu wird zumindest ein geeignetes biometrisches Merkmal der Person, z. B. ein Fingerabdruck, ein Irismuster, etc., zunächst in einem Registrierungsschritt als Referenz ermittelt und zum späteren Vergleich mit entsprechenden Vergleichsdaten der Person gespei- chert.

Aus Sicherheits- und Praktikabilitätsgründen ist es hierbei zweckmäßig, die Referenzdaten auf einem von der Person mitzuführenden portablen Datenträger, zum Beispiel einer Chipkarte oder einer Smart-Card zu speichern. Zur Verifikation ihrer Identität tritt die Person mit dem portablen Datenträger an eine Verifikationsvorrichtung, die die entsprechenden biometrischen Vergleichsdaten zum Vergleich mit den auf dem Datenträger gespeicherten Referenzdaten ermittelt. Der eigentliche Vergleich kann dann sowohl von der Vorrichtung als auch, falls der Datenträger über Rechenleistung verfügt, von dem Datenträger selbst durchgeführt werden. Beim Einsatz einer Chipkarte mit Prozessor besitzt der letztere Fall, das so genannte On-Card- Matching, sicherheitstechnische Vorteile, da bei einem Vergleich auf der Chipkarte die sensiblen Referenzdaten in einem besonders gesicherten Speicher der Chipkarte verbleiben.

Da gegenwärtige Systeme zum On-Card-Matching meist proprietäre Datenformate verwenden, werden zur besseren InterOperabilität zunehmend stan-

dardisierte Datenformate definiert und eingesetzt. Gegenüber den technisch und algorithmisch optimierten proprietären Datenformaten haben standardisierte Datenformate jedoch meist den Nachteil, dass der Vergleich von biometrischen Merkmalen einer Person auf der Chipkarte nur mit teilweise wesentlich längerer Ausführungszeit möglich ist. Hierbei kommt insbesondere zum Tragen, dass herkömmliche Vergleichsverfahren zumeist iterativ und insofern besonders zeitaufwendig vorgehen.

Ein besonders geeignetes biometrisches Merkmal zur Identitätsüberprüfung ist der Fingerabdruck einer Person. Da diese komplexe Information jedoch nicht als solches zum Vergleich herangezogen werden kann, werden zunächst bestimmte charakteristische Merkmale des Fingerabdrucks - so genannte „Minutien" - extrahiert, die die charakteristischen Linienverläufe der Rillenstruktur eines Fingerabdrucks beschreiben, wie z.B. Linienenden oder Aufspaltungen (Bifukationen).

Zur Verifikation der Identität einer Person wird ein Vergleichsfingerabdruck der Person mit einem Referenzfingerabdruck verglichen, indem aus dem Vergleichsfingerabdruck Vergleichsminutien extrahiert werden, um diese mit zuvor aus einem Referenzfingerabdruck extrahierten und auf der Chipkarte vorliegenden Referenzminutien zu vergleichen. Dabei werden möglichst viele Minutienpaare, bestehend aus einander entsprechenden Referenz- und Vergleichsminutien, anhand von örtlich-geometrischen Kriterien ermittelt und bewertet. Das Ermitteln von Minutienpaaren lässt sich prinzi- piell in zwei Stufen einteilen: dem Ermitteln eines aus zwei Minutienpaaren bestehenden Baselinepaars und, ausgehend von dem Baselinepaar, dem Ermitteln von möglichst vielen weiteren Minutienpaaren. Das Baselinepaar wird dabei anhand von absoluten Kriterien ermittelt (z.B. übereinstimmende Lage, Position oder lokale Eigenschaften der Minutien in den jeweiligen Fin-

gerabdrücken), während die weiteren Minutienpaare abhängig von dem bereits ermittelten Baselinepaar bzw. relativ zu diesem ermittelt werden.

Dieses Vorgehen erfordert jedoch zumeist ineinander geschachtelte (iterative oder rekursive) Berechnungsvorgänge, um möglichst viele Minutienpaare zu finden und eine hohe Zuverlässigkeit des Ergebnisses garantieren zu können. Bei derartigen Optimierungsverfahren sind zumeist auch besonders aufwendige Korrekturoperationen notwendig, da sich bereits gefundene Minutienpaare oftmals als lokale Optima erweisen und verworfen werden müs- sen, um durch eine revidierte Neuberechnung eine bessere Lösung und eine höhere Zuverlässigkeit zu erreichen.

Demzufolge liegt der vorliegenden Erfindung die Aufgabe zugrunde, eine schnelle aber dennoch zuverlässige und sichere Verifikation von Fingerab- drücken bereitzustellen.

Diese Aufgabe wird erfindungsgemäß durch Verfahren, eine Chipkarte, ein System und ein Computerprogrammprodukt mit den Merkmalen der unabhängigen Ansprüche gelöst. In davon abhängigen Ansprüchen sind vorteil- hafte Ausgestaltungen und Weiterbildungen der Erfindung angegeben.

Beim Vergleichen von Vergleichs- und Referenzminutien wird erfindungsgemäß aus allen bereits ermittelten Minutienpaaren einschließlich der beiden Minutienpaare des Baselinepaars eine Kette definiert, die eine im weiteren Verlauf des Verfahrens unveränderliche Reihenfolge der Minutienpaare festlegt und die um jedes weitere ermittelte Minutienpaar verlängert wird. Jedes Minutienpaar wird dann anhand von geometrischen Beziehungen bzw. Relationen der betrachteten Minutien zu den Minutien von zumindest drei

bereits ermittelten, durch ihre Position innerhalb der Kette bestimmten Be- zugsminutienpaaren bestimmt.

Als Bezugsminutienpaare werden die Minutienpaare an bestimmten Positio- nen innerhalb der Kette der bereits ermittelten Minutienpaare vorgegeben, so dass ein neues Minutienpaar im Verhältnis zu diesen drei bereits ermittelten Minutienpaaren verifiziert wird. Dazu werden bestimmte Relationen einer ausgewählten Referenzminutie eines potentiellen weiteren Minutien- paars zu den Referenzminutien der drei Bezugsminutienpaare berechnet und mit den Werten der gleichen Relationen einer ausgewählten, potentiell mit der ausgewählten Referenzminutie korrespondierenden Vergleichsminutie zu den Vergleichsminutien der drei Bezugsminutienpaare verglichen. Falls alle ermittelten Werte der ausgewählten Vergleichsminutie innerhalb von bestimmten Toleranzbereichen der entsprechenden Werte der ausgewählten Referenzminutie liegen, wird angenommen, dass die ausgewählte

Vergleichsminutie und die ausgewählte Referenzminutie einander entsprechen und ein Minutienpaar bilden, welches an die Kette als gegenwärtig letztes Glied angehängt wird.

Eine Person gilt beispielsweise dann als authentifiziert, wenn die Kette eine vorgegebene Mindestlänge erreicht, dass heißt, die Anzahl der ermittelten Minutienpaare einen vorgegebenen Schwellenwert überschreitet.

Im einfachsten Fall wird hierbei so vorgegangen, dass beim Ermitteln weite- rer Minutienpaare zunächst eine Referenzminutie ausgewählt wird, die innerhalb einer bestimmten lokalen Umgebung in der Nähe der Referenzminutie des zuletzt ermittelten Minutienpaars liegt, und dass zur Überprüfung der Relationen Vergleichsminutien ausgewählt werden, die in dem gleichen örtlichen Bereich des Vergleichsfingerabdrucks liegen (also ähnliche

Ortskoordinaten haben), wie die Referenzminutie im Referenzfingerabdruck. Dabei können zu einer Referenzminutie zunächst sämtliche Relationen berechnet werden, um in der Menge der Vergleichsminutien zu überprüfen, ob es zumindest eine Vergleichsminutie gibt, deren Relationswerte innerhalb der Toleranzbereiche der Relationswerte der Referenzminutie liegt. Falls es mehrere derartige Vergleichsminutien gibt, kann diejenige ausgewählt werden, deren Relationen zu denjenigen der ausgewählten Bezugsminutie die geringste Differenz besitzen.

Durch das Bilden der Kette aus allen bisher ermittelten Minutienpaaren und Bestimmen von drei Bezugsminutienpaaren innerhalb dieser Kette wird die Anzahl der notwendigen Vergleiche zwischen Vergleichs- und Referenzmi- nutien im Hinblick auf herkömmliche Verfahren drastisch reduziert, was zu einer wesentlichen Beschleunigung des Verfahrens führt, da nur Vergleiche mit den drei Bezugsminutienpaaren durchgeführt werden müssen. Dabei wird die erforderliche Zuverlässigkeit und Exaktheit der Ergebnisse dadurch sichergestellt, dass neben solchen Werten, die lediglich lokale Eigenschaften einer Minutie darstellen (z.B. ihre Position im Fingerabdruck oder ihr Minu- tienwinkel), auch Relationen beurteilt werden, die eine insbesondere geo- metrische Beziehung einer ausgewählten Minutie zu den Minutien bereits ermittelter Minutienpaare herstellen.

Das beschriebene Verfahren kann durch eine erfindungsgemäß eingerichtete Chipkarte durchgeführt werden, die einen Prozessor und eine Speicheran- Ordnung mit insbesondere einem nichtflüchtigen EEPROM-Speicher umfasst. Vorzugsweise realisiert ein als Softwareprogramm ausgestaltetes und auf der Chipkarte (entweder im EEPROM- oder ROM-Speicher) vorliegendes Biometriemodul das erfindungsgemäße Verfahren. Alternativ ist auch eine Hardwarelösung, z.B. in Form eines biometrischen Co-Prozessors denkbar.

Die Chipkarte umfasst desweiteren einen bestimmten Speicherbereich bzw. einen separaten Speicher zum Speichern der Referenzminutien, wobei dieser Speicher vorzugsweise besonderen Sicherheitsanforderungen genügt, um die Sicherheit der sensiblen biometrischen Daten sicherzustellen.

Beim Einsatz der Chipkarte bringt eine Person die Chipkarte mit einer Verifikationsvorrichtung (Terminal) in Kontakt und gibt dort über einen dafür vorgesehenen biometrischen Sensor einen Vergleichsfingerabdruck ab. Dieser wird über entsprechende Datenkommunikationsschnittstellen an die Chipkarte übertragen, wo der Fingerabdruck in einem dafür vorgesehenen Speicherbereich abgelegt wird und die Vergleichsminutien extrahiert werden.

Bei einer bevorzugten Ausführungsform werden als Bezugsminutienpaare die an erster, an vorletzter und an letzter Position der Kette befindliche Mi- nutienpaare bestimmt. Das erste Minutienpaar der Kette ist dabei eines der beiden Minutienpaare des Baselinepaars, während das vorletzte und das letzte Minutienpaar der Kette die beiden zuletzt ermittelten Minutienpaare repräsentieren. Selbstverständlich könne auch andere oder mehr Bezugsmi- nutienpaare anhand ihrer Position in der Kette bestimmt werden, z.B. alle Minutienpaare an geraden oder ungeraden Positionen der Kette.

Als bei der Entwicklung weiterer Minutienpaare zu beurteilende Relationen ist es insbesondere vorteilhaft, die Distanz der ausgewählten Referenz- bzw. Vergleichsminutie zu den jeweiligen Referenz- bzw. Vergleichsminutien der Bezugsminutienpaare zu ermitteln. Als weitere zu vergleichende Relationswerte können die Winkel ermittelt werden, die ein gedachter Linienzug von der ausgewählten Referenz- bzw. Vergleichsminutie zu der Referenz- bzw. Vergleichsminutie des letzten Minutienpaars und weiter zu der Referenz-

bzw. Vergleichsminutie des vorletzten Minutienpaars einschließt. Selbstverständlich können zusätzlich oder alternativ auch andere derart mittels der Bezugsminutienpaare gebildete Winkel beurteilt werden.

Darüber hinaus kann als lokale Eigenschaft einer Minutie der Minutienwin- kel einer ausgewählten Referenz- bzw. Vergleichminutie beurteit werden, der die Orientierung der von der Minutie in dem entsprechenden Fingerabdruck ausgehenden Rille in einen Bezugskoordinatensystem beschreibt.

Um die Ausführungsgeschwindigkeit des Verfahrens zu optimieren, ist es bei einer bevorzugten Ausführungsform möglich, als Vorauswahl zunächst die Minutienwinkel der ausgewählten Referenz- und Vergleichsminutien zu vergleichen, da dies die geringste Rechenzeit beansprucht. Nur falls die Minutienwinkel in dem vorgegebenen Toleranzbereich liegen, werden weitere Relationen berechnet, da die ausgewählten Minutien ansonsten ohnehin nicht miteinander korrespondieren.

Falls die Minutienwinkel im vorgegebenen Toleranzbereich liegen, können aufgrund einer Rechenzeitabschätzung als nächstes die Distanzen der aus- gewählten Minutien zu den entsprechenden Minutien der Bezugsminutienpaare berechnet werden und erst als letztes, falls auch die Distanzen in den entsprechenden Toleranzbereichen liegen, die Winkel, die von den ausgewählten Minutien und den entsprechenden Minutien der Bezugsminutienpaare eingeschlossen werden, da dies die aufwendigste Berechnung erfor- dert.

Falls eine ausgewählte Vergleichsminutie mit einer ausgewählten Referenz- minutie nicht korrespondiert, d.h. sie in den entsprechenden Referenz- und Vergleichsfingerabdrücken nicht übereinstimmen, wird die Ermittlung eines

Minutienpaars mit der gleichen ausgewählten Referenzminutie, aber einer anderen Vergleichsminutie wiederholt _/ so lange bis es nach vorgegebenen Kriterien (z.B. eine maximale Anzahl von Versuchen) unwahrscheinlich erscheint, dass zu der ausgewählten Referenzminutie eine entsprechende Vergleichsminutie gefunden werden kann.

Im Hinblick auf einen möglichst effizienten Vergleich von Referenz- und Vergleichsminutien ist es sinnvoll, die Vergleichsminutien beim oder unmittelbar nach dem Extrahieren aus einem Vergleichsfingerabdruck anhand ih- rer Minutienwinkel vorzusortieren bzw. in einem dafür vorgesehenen Speicherbereich der Chipkarte vorsortiert abzulegen, um möglichst schnell eine zu einer ausgewählten Referenzminutie passende Vergleichsminutie anhand ihres Minutienwinkels auswählen zu können. Zusätzlich kann es zweckmäßig sein, die Winkel, Distanzen, bzw. weiteren Relationen der Referenzminu- tien erst dann zu berechnen, wenn diese für die Ermittlung einer zugehörigen Vergleichsminutie benötigt werden. Solche bereits berechneten Winkel und Distanzen können dann für etwaige weitere Vergleiche mit anderen ausgewählten Vergleichsminutien in einer geeigneten Datenstruktur zusammen mit den zugehörigen Vergleichminutien in einem nichtflüchtigen (EEPROM) Speicher der Chipkarte gespeichert werden.

Bei einer besonders bevorzugten Ausführungsform wird die Reihenfolge, in der Ref erenzminutien beim Ermitteln von Minutienpaaren berücksichtigt werden bereits vor dem Vergleichen von Fingerabdrücken durch eine vorge- gebenen Ref erenzminutien-Folge festgelegt. Dies kann bereits bei der Aufzeichnung des Referenzfingerabdrucks und der Extraktion der Referenzmi- nutien erfolgen. In diesem Fall wird eine Referenzminutie bei dem eigentlichen Vergleich von Referenz- und Vergleichminutien nicht individuell abhängig von vorgegebenen Auswahlkriterien oder den vorher ermittelten Mi-

nutienpaaren ausgewählt, sondern es wird ein bestimmter Pfad der Refe- renzminutien durch den Referenzfingerabdruck festgelegt, der auch den gleichen" Pfad der Vergleichsminutien durch den Vergleichsfingerabdruck bestimmt, so dass durch Einschränkung der Kombinationsmöglichkeiten ei- ne weitere Beschleunigung des Verfahrens erreicht werden kann.

Hierbei ist es insbesondere möglich, dass falls zu einer bestimmten Refe- renzminutie keine passende Vergleichsminutie gefunden werden kann, das Ermitteln eines weiteren Minutienpaars mit der nächsten durch die Re- fernzminutien-Folge festgelegten Referenzminutie fortgesetzt wird. Da hierbei das Ermitteln weiterer Minutienpaare nicht mehr durch eine einzelne „schlechte" Vergleichsminutie blockiert wird, führt dies zu zuverlässigeren Vergleichsergebnissen, ohne dass die Geschwindigkeit des Verfahrens darunter leiden würde. Eine weitere Beschleunigung des Verfahrens bei keiner- lei nachweisbaren Einbußen an Zuverlässigkeit kann erreicht werden, wenn nur Baselinepaare zugelassen werden, die in der vorgegebenen Ref erenzmi- nutien-Folge unmittelbar aufeinander folgen.

Bei dieser besonders bevorzugten Ausführungsform der Erfindung ist es vorteilhaft, die Referenzminutien-Folge bereits beim Extrahieren der Refe- renzminutien aus einem Referenzfingerabdruck zu bilden. Dies kann anhand bestimmter vorgegebener Kriterien geschehen, die anhand einer Güte, Relevanz oder statistische Signifikanz oder anhand geometrischer Kriterien für die Referenzminutien festgelegt werden. Hierbei bietet es sich insbesondere an, die Referenzminutien nach ihren Minutienwinkeln, nach Abständen zu benachbarten Minutien, nach Lage der Minutie innerhalb des Fingerabdrucks (z.B. kann eine Minutie im Zentrum des Fingerabdrucks wichtiger sein als eine in der Peripherie) oder nach Konfidenzwerten zu gewichten, die

bei der bildanalytischen Extraktion der Vergleichsminutien aus dem Vergleichsfingerabdruck berechnet werden.

Weitere Merkmale und Vorteile der Erfindung ergeben sich aus der folgen- den Beschreibung verschiedener erfindungsgemäßer Ausführungsbeispiele und Ausführungsalternativen im Zusammenhang mit den begleitenden Zeichnungen. Darin zeigen:

Figur 1 Minutientypen in einem schematischen Fingerabdruckbild;

Figur 2 Kriterien zur Ermittlung eines Baselinepaars;

Figur 3 Kristerien zur Ermittlung weiterer Minutienpaare;

Figur 4 Überspringen einer Referenzminutie beim Ermitteln eines weiteren Minutienpaars;

Figur 5 ein Flussdiagram einer Ketten-Match- Verfahrens gemäß der vorliegenden Erfindung;

Figur 6 ein Beispiel für das Bilden einer Kette bei einer bevorzugten Ausführungsform der Erfindung; und

Figur 7 eine erfindungsgemäße Chipkarte.

Figur 1 zeigt zwei schematische Ausschnitte aus den Rillenverläufen eines Fingerabdruckbilds. Die Rillen bilden dabei Minutien als charakteristische Punkte aus. Die beiden wichtigsten Minutientypen sind endende Rillen (Ridge Ending; links) und sich in zwei neue Rillen aufspaltenden Rillen (Rid-

ge Bifucation; rechts). Obwohl bei zwei Abdrücken desselben Fingers bei derselben Minutie der Typ jeweils gleich sein sollte, bringt eine Überprüfung des Minutientyps im Allgemeinen keinen Vorteil und kann somit vernachlässigt werden.

Das erfindungsgemäße Verfahren ist im Prinzip ein Vergleichsalgorithmus (Matcher), der zunächst nach einem dem Referenz- und dem Vergleichstemplate gemeinsamen Startmerkmal sucht. (Ein Template ist der Datensatz der aus einem digitalisierten Fingerabdruckbild extrahierten Minutien.) Ausgehend von diesen Startminutien werden möglichst viele weitere einander entsprechenden Minutien gesucht. Es werden also grob zwei Schritte durchgeführt: eine Suche nach einem initialen Doppelpaar einander entsprechender Minutien (sog. Baselinepaar) und eine daran anschließende Suche nach dazu passenden Minutienpaaren. Sind genügend einander entspre- chende Minutien gefunden (abhängig von der gewünschten Sicherheit), so kann mit einer gewissen Wahrscheinlichkeit angenommen werden, dass die Fingerabdrücke von demselben Finger stammen.

Im Sinne dieser Erfindung besteht eine Baseline aus zwei Minutien innerhalb eines Templates, von denen aus weitere Minutien gesucht, bzw. verglichen werden können. Sie dient als Basis für weitere Schritte. Ein Baselinepaar wird dementsprechend jeweils aus Minutien im Referenz- und Vergleichstemplate gebildet, die nach Berechnung verschiedener Parameter als übereinstimmend gelten. Ein Baselinepaar ist also ein Paar aus einander entsprechenden Base- lines im Referenz- und im Vergleichstemplate.

Der Minutienvergleich wird mit einem Baselinepaar begonnen. Damit jeweils zwei Minutien aus dem Referenz- und Vergleichstemplate ein Baselinepaar ergeben können, müssen die in Figur 2 veranschaulichten Kriterien erfüllt

sein. Es sind jeweils zwei Punkte aus den beiden Templates zu sehen. Zu den Referenzminutien A und B passen die Vergleichsminutien A' und B'. Algorithmisch wird zuerst eine Minutie A im Referenztemplate ausgewählt, eine entsprechende Minutie A' im Vergleichstemplate bestimmt (a' = a + maxi- male Verdrehung der Abdrücke) und ein weiterer Punkt B gewählt. Um einen passenden Punkt B' zu finden, werden zunächst die Werte d, γ und ß- (α- α') vorberechnet. Nun werden alle möglichen Punkte im Vergleichstemplate herangezogen, die einem bestimmten Minutienwinkel besitzen (ß'= ß- (α- α') ± Minutienwinkel-Toleranz). Schließlich werden d' und γ' berechnet, die innerhalb der Abstandstoleranz, bzw. der Toleranz der Minutienwinkel-x- Achse liegen müssen. Ist dies der Fall, ist ein Baselinepaar gefunden.

Für die Entscheidung, ob α' innerhalb der maximalen Verdrehung liegt, ist nur eine Addition notwenig (neben dem eigentlichen Vergleich). Ist die Toleranz z.B. π/4, so fallen schon 75 % der möglichen Baselinepaare weg. Die Werte d, γ und ß- (α- α') werden vorberechnet, da sie bei der Suche nach B' immer wieder gebraucht werden. Weil die Minutien im Vergleichstemplate nach den Minutienwinkeln vorsortiert sind, werden nur wenige Minutien für B' betrachtet. Die Suche in der sortieren Liste startet bei der Minutie, deren ß' gerade groß genug ist, um innerhalb der Toleranz zu sein und endet bei der ersten Minutie, deren ß' zu groß ist. Zu diesem Zeitpunkt sind schon fast alle falschen Baselinepaar-Möglichkeiten herausgefallen, nun müssen nur noch d' und γ' berechnet und verglichen werden. Falls die Toleranz für ß' so klein ist, dass die Werte d' und γ' fast nie berechnet werden müssen, kann eine Variante benutzt werden, in der d, γ erst bei Bedarf berechnet werden. Der Mehraufwand für die Bedarfsprüfung muss dann geringer sein, als die Ersparnis durch das häufige Nichtberechnen von d, γ.

Dje Grundidee des erfindungsgemäßen Verfahrens ist das Ketten-Matching, also dem Suchen einer möglichst lange Kette von zueinander passenden Mi- nutienpäaren. Dabei muss das jeweils nächste Paar zum ersten, zum vorletzten und zum letzten der bereits gefundenen Minutienpaare der Kette passen, also zu drei bereits gefundenen Minutienpaaren. Da die neuen Minutienpaare immer geometrisch zu den zuletzt gefundenen Paaren passen müssen, entsteht eine Kette von Minutienpaaren.

Wie in Figur 3 illustriert wird, werden folgende Kriterien überprüft, damit ein weiteres, zur Kette passendes Minutienpaar gefunden wird:

- Der Abstand zwischen der neuen, potentiellen Minutie (im folgenden E genannt) zur ersten (A), vorletzten (C) und letzten Minutie (D),

- der Minutienwinkel von E, sowie

- der Winkel zwischen den Strecken C-D und D-E.

Hierbei gibt es einige Kriterien, deren Überprüfung eine gewisse Rechenzeit benötigt, nämlich die drei Distanzen und der Winkel α. Es existiert jedoch eine einfache Möglichkeit, einige der Berechnungen nicht durchführen zu müssen: Ein Vergleich wird sofort abgebrochen, wenn ein Kriterium außer- halb einer vorgegeben Toleranz liegt. Das bedeutet, dass das zweite Kriterium seltener überprüft wird als das erste, das dritte seltener als das zweite, und so weiter. Es kommt oft vor, dass das fünfte Kriterium überhaupt nicht benötigt wird, da alle möglichen Punkte im Vergleichstemplate an den vorherigen vier Kriterien scheitern. Diese Erkenntnis bringt zwei Optimie- rungsmöglichkeiten mit sich:

- Optimale Überprüfungsreihenfolge der Kriterien: Hier ist der Winkel ß am einfachsten zu überprüfen, da dieser Wert nicht berechnet werden muss und nur die Verdrehung der Abdrücke einbezogen werden muss. Es ist also nur eine Addition (wegen der Verdrehung) und ein Vergleich (mit

ß' im Vergleichstemplate) notwendig. Da die Vergleichsminutien nach den Winkeln ß vorsortiert sind, kommt dazu, dass ß überhaupt nur bei wenigen Minutien überprüft werden muss.

- Distanzberechnungen sind geringfügig schneller als die Berechnung des Winkels α, so dass zuerst die Distanzen und zuletzt α berechnet wird.

- Werteberechnung im Referenztemplate „on demand": Erst wenn eine Distanz (di, d _n und d _n -i) _/ bzw. der Winkel α überprüft werden muss, werden die Werte im Referenztemplate berechnet. Ist der Wert einmal berechnet, so wird dieser für die Suche nach einem Pendant zum aktuellen Punkt (Punkt E in Figur 3) wieder verwendet. Er wird daher jedes Mal ein zusätzlicher Vergleich benötigt, ob der Wert schon berechnet ist oder nicht. Allerdings ist dieser Zeitverlust geringer, als der Zeitgewinn durch das Nicht-Berechnen der nicht gebrauchten Werte.

Algorithmisch wird zuerst ein Baselinepaar gesucht und dazu eine möglichst lange Kette von Minutienpaaren gebildet. Kann kein weiteres Minutienpaar gefunden werden, wird nicht versucht, eine andere Kette zum aktuellen Baselinepaar zu finden. Der Zeitbedarf für einen Vergleich würde dadurch außerordentlich hoch (wenn man alle möglichen Ketten sucht) bei praktisch keiner Verbesserung der Fehlerraten.

Natürlich kann es sein, dass sich in die Kette ein falsches Minutienpaar gemogelt hat (vorausgesetzt man vergleicht zwei Abdrücke desselben Fingers). In diesem Fall gibt es zwei Möglichkeiten: 1. Die Kette wird fortgesetzt, weil die falsche Minutie im Vergleichstemplate der richtigen Minutie im Referenztemplate sehr nahe kommt. Dies ist der

Normalfall. 2. Die Kette kommt zum Stillstand, da die echten Minutienpaare nicht mehr zu der Kette passen.

In Figur 4 wird zunächst ein richtiges Baselinepaar berechnet (A-B/ A' -B'). Allerdings wird dann zur Minutie C nicht C, sondern fälschlicherweise D' gefunden. Dies hat zur Folge, dass die Kette statt einer Länge von fünf nur eine Länge von drei erreicht. Für das obige Beispiel wurde impliziert, dass das Minutienpaar C/ D' noch innerhalb der Suchtoleranzen liegt, und die weiteren Kombinationen D/ C, D/E', E/ C' und E/E' außerhalb dieser Toleranzen liegen (bei E/E' ist z.B. die Differenz von α und α' zu groß).

Falls kein weiteres Minutienpaar gefunden wird, kann nicht überprüft werden, ob sich ein „falsches" Minutienpaar in der Kette befindet, man hat keinen Anhaltspunkt darüber, ob es noch eine längere Kette gibt oder nicht. Verschiedene Ketten zu probieren ist aus Gründen der Zeiteffizienz keine Alternative. Da aber, wenn es genügend Minutienpaare gibt, die zueinander passen, es auch reichlich Baselinepaare gibt, die gefunden werden können, vergleicht der Algorithmus die Länge der aktuellen Kette mit dem bisherigen Maximum (das Anfangs auf Eins gesetzt wird) und aktualisiert ggf. das Maximum und macht mit dem nächsten Baselinepaar weiter. Gibt es genügend Minutienpaare, so ist die Wahrscheinlichkeit sehr hoch, dass zu mindestens einem Baselinepaar eine Kette gefunden wird, die lang genug ist, so dass der Vergleich positiv ausfällt.

Wichtig für den Score, also die Beurteilung, ob das zugehörige Vergleichstemplate als korrekt zu bewerten ist, ist die maximale Kettenlänge, die gefunden werden kann. In die Score-Berechnung fließt auch die Größe der Templates mit ein. Score- Werte mit dem geometrischen Mittel der Template-Größen sind hierbei am Besten:

„ _ Maximale _ Kettenlänge

■yJMinutien _ Vergleichstemplate ■ Minutien _ Re ferenzttemplate

Wenn das Baselinepaar in der Länge mit berücksichtigt wird und die Anzahl der Minutien im Referenz- und Vergleichstemplate gleich sind, so ist der maximale Score 1. Um die Wurzel zu umgehen, kann man Zähler und Nenner quadrieren.

Der gesamte Algorithmus ist in Figur 5 mit den Schleifen zur Baselinesuche und zur Suche nach weiteren Minutienpaaren dargestellt. Hierbei ist eine Kette ein Array, welches die aktuelle Kette mit einem Minutienpaar pro Index speichert. „maxKettenlänge" speichert die Anzahl der Minutienpaare in der längsten bis dahin gefundenen Kette und „thresLänge" ist die Länge, ab der der Vergleich positiv abgebrochen werden kann.

Bei der Suche nach weiteren Gliedern im Referenztemplate werden nur Minutien betrachtet, die einen höheren Index besitzen, als das zuletzt gefundene Glied. Diese Einschränkung hat den Vorteil, dass im Schnitt nur die Hälfte der für das jeweils nächste Glied in Frage kommenden Minutien betrachtet werden. Des Weiteren entfällt die Prüfung im Referenztemplate auf bereits in der Kette vorhandene Minutien, da diese alle einen kleineren Index als die zuletzt gefundene Minutie besitzen. Durch diese Optimierung beschleunigt man den Algorithmus je nach Datenbank um etwa 30 %. Die Fehlerraten bleiben fast konstant, denn Minutien mit einem kleineren Index als die zuletzt gefundene Minutie wurde schon mindestens einmal in Betracht gezogen und abgelehnt. Es ist sehr unwahrscheinlich, dass sie an anderer Stelle in die Kette einbezogen werden kann.

Bei der Speicherung der Ketten werden alle Indizes der Vergleichsminutien im EEPROM-Speicher einer Chipkarte abgespeichert werden, um sicherzustellen, dass nicht eine Minutie mehrfach in der Kette vorkommt. Die Speicherung aller Indizes der Ref erenzminutien ist nicht notwendig, denn dies kann algorithmisch abgefangen werden, indem die Indizes der Referenzmi- nutien in der Kette streng monoton steigen sind. Man benötigt auf diese Weise für die Weiterführung der Kette stets nur drei Indizes des Referenztemplates: die Indizes der ersten, vorletzten und letzten Minutie. Auf diese Weise muss man nur drei Byte für die Liste der Referenzminutien reservieren.

Die Indizes der Baselineminutien im Referenztemplate dürfen höchsten um einen fest definierten Wert (z.B. 4) verschieden sein. Die Idee hinter dieser Optimierung ist, dass nicht alle Baselinepaarmöglichkeiten durchprobiert werden müssen. Führen z.B. die Baselinepaare mit den Indizes 0-1, 0-2, 0-3 und 0-4 im Referenztemplate zu keinem Erfolg, so kann man davon ausgehen, dass die Minutie im Referenztemplate mit dem Index 0 kein Pendant im Vergleichstemplate besitzt. Algorithmisch bietet sich deshalb in jedem Fall eine Überprüfung (z.B. als Schleifenabbruchkriterium) an..

Im folgenden werden die wesentlichen Punkte des erfindungsgemäßen Ketten-Matchers nacheinander aufgelistet:

Verwendung der Arcus-Tangens- anstatt der herkömmlicherweise verwendeten Arcus-Cosinus-Funktion zum Bestimmen von Winkeln. Vorsortierung des Vergleichstemplates nach Minutienwinkeln. - Erstes Vergleichskriterium ist daher immer der Minutienwinkel.

Distanzen werden nicht vorberechnet, da durch vorherige Überprüfung von Minutienwinkeln nur vergleichsweise wenige Distanzen wirklich benötigt werden, so dass eine tabellarische Vorberechung sich sogar negativ auf den Zeitbedarf auswirken würde.

- . Daher kein Speicherplatzverbrauch für eine Distanztabelle.

Die Werte einiger Vergleichskriterien werden im Referenztemplate „on demand" berechnet.

Die Baselinepaarsuche ist hinreichend genau und prüft mit mehr Krite- rien. So werden weniger falsche Baselinepaare benutzt.

Nutzung eines Minutientypbits für den Minutienwinkel, d.h. es werden für Winkel immer acht Bit gebraucht. Auf diese Weise sind keine Umrechnungen nötig.

Strukturoptimierter Quellcode, um Laufzeit zu verbessern.

Eine besonders vorteilhafte Ausführungeform des oben beschriebenen Ketten-Matchers ist der „schnelle Ketten-Matcher". Die Grundidee des schnellen Ketten-Matchers ist, dass beim Enrollment, also beim Aufzeichnen des Referenzfingerabdrucks, eine einzige Kette im Referenztemplate festgelegt wird, die dann bei der Verifikation im Vergleichstemplate gesucht wird. Falls die vorher festgelegte Kette nicht gefunden werden kann, wird der Vergleich negativ abgebrochen.

Prinzipiell ist der schnelle Algorithmus der gleiche wie der des normalen Ketten-Matchers. Es gibt jedoch den Unterschied, dass nur bestimmte Baselinepaare zugelassen werden. Entscheidend für die Ergebnisse ist die Wahl dieser bestimmten Baselinepaare. Als Idee steckt dahinter, dass man beim Enrollment entscheidet, welchen Pfad die Kette durch das Referenztemplate nehmen darf. Andere Pfade sind nicht zugelassen. Es kommt darauf an, ei- nen Pfad zu finden, der optimale Ergebnisse liefert. Ein bestimmter Pfad bedeutet folgendes:

Das Referenztemplate muss beim Enrollment nach diesem Pfad sortiert werden.

Die Indizes der Referenzminutien in einem Baselinepaar müssen um genau eins verschieden sein.

Fehlt ein Glied in der vorgegebenen Kette (kann also zu einer Minutie im Referenztemplate keine Minutie im Vergleichstemplate gefunden wer- den), so ist dieses Glied auszulassen und mit dem nächsten fortzufahren.

Der erste Punkt in obiger Auflistung dient als Vereinfachung der anderen beiden Punkte. Prinzipiell kann dieser vorgegebenen Pfad auch auf der Chipkarte z.B. im EEPROM-Speicher abgelegt sein, wenn jedoch die Minu- tien des Referenztemplates nach diesem Pfad sortiert sind, muss kein weiterer Speicherplatz auf der Chipkarte beansprucht werden. Eine solche Sortierung impliziert dann den zweiten Punkt, dass die Indizes der Referenzminutien in einem Baselinepaar stets nebeneinander liegen. Da es natürlich sein kann, dass im Vergleichstemplate nicht alle Minutien des Referenztemplates vorliegen, muss eine Lücke in dem Pfad akzeptiert werden (dritter Punkt in obiger Liste), sonst würden nur sehr viele kleine Ketten anstatt einer großen Kette gefunden werden.

Figur 6 illustriert hierzu ein Beispiel. Zu den Minutien A, C, D und F im Re- ferenztemplate (links) gibt es Äquivalente im Vergleichstemplate (rechts), allerdings nicht zu der Minutien B, deren Index zwischen den Indizes der Minutien A und C liegt, und der Minutie E, deren Index zwischen den Indizes der Minutien D und F liegt. Der normale Ketten-Matcher würde folgende Ketten finden (natürlich immer mit entsprechendem Gegenstück im Vergleichstemplate):

Baseline A/ C, weitere Minutien D und F

Baseline A/ D, weitere Minutie F

Baseline A/ F, keine weiteren Minutien

Baseline C/ D, weitere Minutie F

Baseline C/ F, keine weiteren Minutien Baseline D/ F, keine weiteren Minutien

Die maximale Kettenlänge beträgt also 4. Da beim schnellen Ketten-Matcher die Indizes der Baseline im Referenztemplate nur um eins verschieden sein dürfen, findet sich bei diesem Algorithmus nur eine Kette: Baseline C/ D, weitere Minutie F.

Hier beträgt die maximale Kettenlänge nur 3. Aus diesem Beispiel geht klar hervor, welche Ergebnisse zu erwarten sind: die Geschwindigkeit nimmt stark zu, die Fehlerraten werden etwas schlechter. Betrachtet man das Beispiel, so bietet sich eine Alternative an, um die Fehlerraten wieder etwas zu verbessern: man schränkt die Suche nach weiteren Minutienpaaren nicht ein, indem man nur Referenzminutien zulässt, die einen größeren Index als die Indizes der Referenzminutien im Baselinepaar besitzen. Man sucht in der Kette also nicht nur vorwärts, sondern auch rückwärts. Im obigen Beispiel würde man dann (wieder genau) eine Kette finden: Baseline C/ D, weitere Minutien A und F.

Damit hat man auch hier eine Kettenlänge von 4. Diese Variante verspricht bessere Fehlerraten, die an den normalen Ketten-Matcher herankommen, allerdings auf Kosten der Zeit.

Das größte Problem beim schnellen Ketten-Matcher ist, den optimalen Weg beim Enrollment zu finden. Bei vielen Systemen ist es heute schon so, dass beim Enrollment mehrere Abdrücke genommen werden, um entweder den besten Abdruck auszuwählen, oder die Minutien aller Abdrücke zu einem neuen, optimalen Template zu verschmelzen (was i.d.R. nicht auf der Chipkarte, sondern außerhalb auf einem schnelleren Prozessor abläuft). Bei die-

sem Vorgang könnte man auch die Suche nach dem optimalen Weg implementieren. Dabei ist es sehr wichtig, dass sichere Minutien, die bei fast allen Abdrücken vorkommen, nacheinander kommen (wichtig für beide Varianten) und am Anfang liegen (für die erste Variante des schnellen Ketten- Matchers), denn so ist es sehr wahrscheinlich, dass mit Hilfe dieser Minutien Baselinepaare gefunden werden können. Eine weitere Idee für die Vorsortierung ist, dass man zusätzlich darauf achtet, dass die Entfernungen zwischen den (dem Index nach) benachbarten Referenzminutien groß genug sind, so dass die entsprechenden Baselinepaare von vornherein außerhalb des nume- risch ungünstigen Bereichs liegen. Des Weiteren muss man aber berücksichtigen, dass Fingerabdrücke sehr oft verzerrt sind, so dass zu lange Baselines oft kein ideales Ergebnis liefern.

Um die Möglichkeiten eine Suche nach dem optimalen Pfad auszunutzen, können folgende Sortierungen (die Index-Reihenfolge soll den optimalen Pfad darstellen) im Referenztemplate vorgenommen werden: Keine,

Sortierung nach Minutienwinkeln (wie im Vergleichstemplate), Zufall (je zwei Ergebnisse werden aufgelistet), - Abstände zwischen zwei benachbarten Punkten wenn möglich größer als dxMax/4 und kleiner als dxMax/2. Dabei stellt dxMax die maximale Differenz zwischen den x-Koordianten zweier Minutien im Referenztemplate dar.

Diese Sortierungen haben den Vorteil, dass sie sehr schnell sind und so auf der Chipkarte während eines Vergleichs stattfinden können. Es sei erinnert, dass als Referenztemplate immer jenes Template ausgewählt wird, welches weniger Minutien besitzt. Würde man die Suche nach dem optimalen Pfad

b.eim Enrollment durchführen, so ist ein Tausch der Templates nicht mehr (ohne weiteres) möglich.

Figur 7 zeigt schematisch eine Chipkarte 10, die über miteinander korres- pondierende Schnittstellen 15, 22 an eine Verifikationsvorrichtung 20 angeschlossen ist, z.B. an ein Authentisierungsterminal für einen sicheren Gebäudebereich, einen Geldautomat oder eine sonstige Sicherheitsvorrichtung. Die Chipkarte 10 umfasst einen Prozessor 14 und eine Speicherhierarchie, bestehend aus einem permanenten ROM-Speicher 11, einem nichtflüchtigen und wiederbeschreibbaren EEPROM-Speicher 12 und einem flüchtigen RAM- Arbeitsspeicher 13. Im ROM-Speicher 11 residiert ein Betriebssystem 16 (z.B. JavaCard), das die grundsätzlichen Funktionen der Chipkarte wie Ein- und Ausgabe oder Speicherorganisation sowie Chipkarten-spezifische Funktionalitäten wie Kryptographie und Authentisierung bereitstellt. Unter ande- rem ist ein Biometriemodul 17 in das Betriebsystem integriert, das eines der obigen Minutien-Match- Verfahren zum Vergleich von Fingerabdrücken realisiert. Ebenso gut könnte das erfindungsgemäße Vergleichsverfahren auch als separate Softwarekomponente im EEPROM-Speicher 12 vorliegen (z.B. als Java- Applet) oder auch als Hardwarelösung in Form eines biometrischen Co-Prozessors realisiert sein.

Im EEPROM-Speicher 12 ist ein Speicherbereich 18 eingerichtet, in dem ein Datensatz der Referenzminutien 19 beim Enrollment und Einrichten der Chipkarte 10 abgelegt wurde. Die Referenzminutien 19 werden in der Regel in einem separaten Schritt aus einem aufgenommenen Referenzfingerabdruck extrahiert und in dem Speicherbereich 18 der Chipkarte 10 gespeichert. Obwohl dies das übliche Verfahren ist, ist es prinzipiell auch möglich, den vollständigen Referenzfingerabdruck im Speicherbereich 18 zu speichern und die Referenzminutien 19 erst auf der Chipkarte 10 zu extrahieren.

Für eine besonders bevorzugte Ausführungsform der vorliegenden Erfindung können die Referenzminutien 19 im Speicherbereich 18 als vorsortierte Folge abgelegt sein, um in der dadurch vorgegebenen Reihenfolge den Refe- renzminutien 19 entsprechende Vergleichsminuten zur Bildung von Minu- tienpaaren zu ermitteln.

Selbstverständlich kann der Speicherbereich 18 für die Referenzminutien 19 auch im ROM-Speicher 11 liegen. In diesem Fall müssen die Refernzminutien 19 jedoch bereits bei der Herstellung der Chipkarte 10 bzw. dem Einspielen des Betriebssystems 16 in dem ROM-Speicher 11 extrahiert und aufgespielt werden. In jedem Falle ist es zweckmäßig, den Speicherbereich 18 als besonders gesicherten Speicherbereich auszubilden, um die Referenzminutien 19 als biometrische Referenzinformation ausreichend zu schützen.

Wenn ein Benutzer der Chipkarte 10 an eine Verifikations Vorrichtung 20 herantritt, um mittels einer biometrischen Authentisierung seine Zugrangsberechtigung nachzuweisen, wird von einem Sensors 21 zunächst sein Vergleichsfingerabdruck 23 aufgezeichnet und digitalisiert. Der Sensor 21 kann z.B. ein optischer Sensors sein, beispielsweise eine CCD-Kamera, die direkt ein digitales Bild erzeugt, oder ein Ultraschallsensor. Sodann wird der Vergleichsfingerabdruck 23 (im Klartext, komprimiert oder verschlüsselt) an die Chipkarte 10 übertragen, wo er im EEPROM-Speicher 12 zur Weiterverarbeitung abgelegt wird.

Der eigentliche Vergleich bzw. das Matching wird dann von dem Biometriemodul 17 durchgeführt, indem aus dem Vergleichsfingerabdruck 23 die Vergleichsminutien extrahiert werden, um ihre Übereinstimmung mit den Referenzminutien 19 nach einem der oben beschriebenen Verfahren zu

prüfen. Aus einer hinreichenden, nach vorgegebenen Kriterien beurteilten Übereinstimmung der Vergleichs- und Referenzminutien 19 kann auf eine Übereinstimmung des Vergleichsfingerabdrucks 23 mit dem Referenzfingerabdruck und schließlich die Berechtigung der Person rückgeschlossen wer- den.