一种公安领域身份特征采集产品的制造方法及设备

本发明是一种公安领域具有二代居民身份证信息采集、居民身份证网络解码、人 脸特征采集、电子信息特征采集等功能的身份特征采集的产品制造方法及设备，内容包括 二代身份证远程解码的具体实现方法、人脸采集与特征提取方法、电子信息采集与特征提 取方法以及有助于破案的信息关联方法等多项技术，属于公安身份特征识别技术领域，本 发明可用于旅馆、门卫、加油站、危险物品买卖、二手交易市场、贵重物品交易市场、特殊场 所出入登记等多种场景，对提高公安机关治安管理能力和案件侦破能力具有较大的作用。

在旅馆旅客、单位访客、加油站加油、危险物品买卖、二手物品交易、贵重物品交 易、特殊场所出入等各种信息中，含有大量的与治安、犯罪相关的信息，有效采集和使用这 些信息为提高治安防控能力、提高案件侦破能力具有十分重要的意义，在相关人员从事这 些活动时，本发明可以方便采集二代居民身份证身份信息、人脸特征信息、电子特征信息等 内容，并使用一种有助于破案的新的信息关联方法将信息进行关联。

本发明是一种公安领域具有二代居民身份证信息采集、居民身份证网络解码、人 脸特征采集、电子信息特征采集等功能的身份特征采集的产品制造方法及设备，同时在本 产品中还提出了一套有助于破案的信息关联方法；所述设备由客户端和服务端组成，服务 端由SAM_A、带网络模块的单片机、网络交换机、双网卡解码服务器、电源模块组成，每一个 SAM_A模块与单独一个服务端单片机连接，每一个服务端单片机通过单片机网络模块与交 换机连接，服务端解码服务器通过网络接口与网络交换机连接，这样服务端通过网络交换 机将解码服务器、单片机、SAM_A模块组成了一个局域网；客户端由单片机、符合ISO-14443B 标准的射频读卡模块、摄像头、WIFI探针模块、电脑主机组成，客户端与服务端通过网络进 行连接，既可以是互联网，也可以是局域网，还可以是特定专网；带ISO-14443B读卡器模块 和WIFI模块的智能手机也是可以作为本发明客户端的；本发明产品网络结构图如附图1所 示；需要说明的是：SAM_A是《GA467-2013 居民身份证验证安全控制模块接口技术规范》指 定的专用居民身份证信息解码设备。

所述服务端单片机采用STM32 单片机，服务端单片机需要带网络模块，服务端每 一个STM32单片机模块连接单独一个SAM_A，每一个SAM_A连接一个单独的STM32单片机模 块，将STM32单片机模块的 PA9引脚与SAM_A的UART接口的RX引脚相连接，将STM32单片机模 块的 PA10引脚与SAM_A的UART接口的TX引脚相连接，在STM32单片机模块选择4个空闲的 GPIO引脚，命名为TX_FRAME、RX_FRAME、SCLK、SDATA分别于SAM_A的TX_FRAME、RX_FRAME、 SCLK、SDATA引脚相连接，在接通STM32和SAM_A电源的情况下，只需要6根数据线就能实现服 务端单片机与SAM_A的通信，大大降低了网络二代居民身份证读卡和解码装置的制造难度。

所述客户端单片机采用STM32 单片机，客户端单片机需要带USB模块，客户端二代 居民身份证射频读卡器模块采用带SPI接口的符合ISO14443B标准的射频读卡器模块，将客 户端主机与客户端STM32单片机使用USB接口相连，客户端STM32单片机与射频读卡模块采 用SPI接口相连，这种连接和通信方法既保证了较高的稳定性，也保证了较高的通信速率。

服务端SAM_A、服务端单片机、服务端解码服务器、服务端网络交换机启动后，每一 个服务端单片机首先通过服务端局域网向服务端解码服务器发送注册申请，注册内容包 括：本单片机连接的SAM_A的ID、本单片的ID、本单片的IP地址、本单片机的网络通信协议的 端口等信息，如果注册失败，停止一段时间后重新申请注册，直到解码服务器返回注册成功 的消息为止；服务端解码服务器收到服务端单片机注册申请后，登记并缓存该单片机的ID、 IP地址、网络通信协议的端口以及该单片机所连接的SAM_A的ID，并将SAM_A的状态设置为 空闲的状态，并向该单片机返回注册成功的信息，如果注册失败，则返回注册失败的消息和 注册失败的原因，服务端单片机如果收到了解码服务器注册失败的信息，停止一段时间后 重新申请注册。

本发明将SAM_A与射频模块进行分离，利用网络实现二代居民身份证加密信息的 远程解码，方法和过程如下[0008]-[0030]描述。

客户端主机不与服务端进行通信，直接利用单片机驱动射频模块依据ISO-14443B 协议，发送寻卡命令进行寻卡，寻射频场有效范围内是否存在二代居民身份证。

在寻卡成功的基础上，客户端主机不与服务端进行通信，直接利用单片机驱动射 频模块依据ISO-14443B协议，发送选卡命令进行选卡，选定射频场有效范围内的一个二代 居民身份证。

选卡成功后，客户端生成对称加密算法的随机秘钥和随机会话ID，用服务端解码 服务器公布的非对称加密算法的公钥，将对称加密算法的秘钥进行加密并使用哈希算法生 成哈希码，同时生成会话消息包，会话消息包的内容包括消息ID、会话ID、数据、数据类型、 状态、时间戳、数据哈希码等字段；需要说明的是，在下面的各步骤中，客户端与服务端整个 通信过程中，每一个会话消息包中都包含消息ID、会话ID、数据、数据类型、状态、时间戳、数 据哈希码等字段，消息包字段格式如附图2所示，会话的每个消息都要验证数据字段内容的 哈希码，下面各步骤中即使不描述验证哈希码的过程，但无论是服务端还是客户端在收到 消息包后都自动验证数据字段的哈希码，确保消息包的数据未经篡改；同时需要说明的是： 在密钥交换阶段，对称加密算法的密钥由非对称加密算法的公钥进行加密，由非对称加密 算法的私钥进行解密；在读卡和解码阶段，会话消息包的数据字段的内容使用对称加密算 法的密钥进行加密和解密，整个通信过程都是加密的，没有明码的通信过程；选卡成功后， 客户端将请求密钥交换的消息包发送给服务端的解码服务器，并在整个会话生命周期内缓 存会话ID和对称加密算法的秘钥，并将会话ID与对称加密算法的密钥进行绑定。

服务端的解码服务器用非对称加密算法的私钥解密对称加密算法的秘钥，并在整 个会话生命周期内缓存会话ID、对称加密算法的秘钥和客户端的IP地址、客户端网络协议 通信端口等信息，将会话ID与对称加密算法的密钥、客户端的IP地址、客户端网络协议通信 端口相绑定，需要说明的是：在之后步骤的读卡阶段，服务端解码服务器在每收到一个会话 消息包后，都首先读取出会话ID，根据会话ID到与之绑定的对称加密算法的密钥，用以解 密使用对称加密算法加密的数据；在之后步骤的读卡阶段，客户端主机每收到一个服务端 发来的消息包后，都首先读取出会话ID，与本机缓存的会话ID进行比对，如果发现是本客户 端缓存的会话ID，则使用与会话ID绑定的对称加密算法的密钥解密数据，否则抛弃该会话 包。

服务端的解码服务器向客户端返回对称加密算法密钥交换成功或失败的反馈消 息包。

客户端向服务端解码服务器发送用户名和密码，服务端解码服务器验证客户端的 用户名和密码，验证后返回登录成功或者失败的消息包。

客户端主机向服务端解码服务器发送二代居民身份证上位机读卡命令，命令码为 x30，参数为0x01，注意命令格式要符合《GA467-2013 居民身份证验证安全控制模块接口技 术规范》的传输格式要求，包括帧头、长度、校验码等规定。

服务端的解码服务器在已注册的SAM_A列表里查空闲的SAM_A模块，如果所有 SAM_A处于忙的状态，则反馈给客户端稍后请重新发送读卡命令，如果发现有空闲的SAM_A 模块，则绑定该SAM_A模块，并在SAM_A列表里将该SAM_A模块设置为忙的状态，缓存SAM_A模 块的ID以及该SAM_A模块连接的单片机的ID、IP地址、网络协议通信端口等信息，将会话ID 与该SAM_A的ID、单片机ID、IP地址、网络协议通信端口相绑定，并确保在该会话整个读卡和 解码生命周期内，都与该SAM_A模块进行通信，中途不更换SAM_A，需要说明的是：服务端解 码服务器每收到一个客户端消息包后，首先提取会话ID并解密数据字段的内容，通过数据 类型字段的内容判断是密钥交换命令还是上位机读卡命令或者是二代居民身份证读卡过 程中返回的消息，如果发现消息包数据字段的内容是二代居民身份证返回的消息，通过会 话ID查该会话ID绑定的SAM_A以及该SAM_A所连接的服务端单片机的IP地址和网络协议 通信端口，这样就知道将客户端发来的二代居民身份证读卡过程中返回的消息发给哪个 SAM_A。

服务端解码服务器成功锁定空闲的SAM_A模块后，通过网络交换机向与该SAM_A相 连的服务端单片机发送上位机读卡命令，服务端单片机通过UART串口将上位机读卡命令发 送给SAM_A。

SAM_A收到读卡命令后，会生成验证或读卡的命令，通过串行方式通过TX_FRAME、 SCLK、SDATA发送出来。

服务端单片机根据SAM_A的TX_FRAME引脚的状态，从SAM_A的SCLK、SDATA引脚接收 数据，需要注意的是，每接收一个8bit的数据，都要在第9个SCLK高电平期间发送SDATA低电 平ACK信号进行验证，表示接收成功，否则通信将强制终止，服务端单片机将SAM_A命令通过 网络交换机转发给服务端解码服务器。

服务端单片机接收到SAM_A发来的命令后，通过网络交换机发送给服务端解码服 务器，服务端解码服务器收到服务端单片机的消息后，根据网络通信协议获取该消息上下 文指明的IP地址，无论是UDP协议还是TCP协议，都可以通过消息上下文获取发送方的IP地 址，通过该IP地址查与该IP绑定的会话ID，进而通过该会话ID查该会话ID绑定的客户 端的IP地址、客户端的网络通信协议端口，生成加密消息包发送给客户端主机，在本发明下 面步骤中，服务端向客户端发送消息时，也是根据这个查机制确定向哪台客户端主机发 送消息的。

客户端主机收到解码服务器发来的SAM_A命令后，解密后通过USB接口发送给客户 端单片机。

客户端单片机将SAM_A命令通过SPI接口发送给ISO14443B射频读卡模块。

ISO14443B射频读卡模块与二代居民身份证通信后将二代居民身份证返回的消息 发送给客户端单片机。

客户端单片机再通过USB接口将二代居民身份证返回的数据发送给客户端主机。

客户端主机加密后生成消息包发送给服务端解码服务器。

服务端解码服务器根据消息包中的会话ID查该会话ID绑定的服务端单片机，将 解密后的二代居民身份证返回的信息通过网络交换机发送给该会话ID绑定的服务端单片 机。

服务端单片机通过SAM_A的RX_FRAME、SCLK、SDATA引脚发送给SAM_A，需要注意的 是，每发送一个8bit的数据，都应在第9个SCLK高电平期间验证SDATA是否为低电平，如果是 低电平，表示SAM_A接收成功，否则表示SAM_A接收失败。

SAM_A验证成功后，SAM_A模块会发出下一条验证或者读卡命令给所连接的服务端 单片机，重复[0018]至[0027]的步骤，直到全部读卡、验证、解码过程完成为止。

SAM_A完成全部读卡、验证、解码过程后，会通过USB接口或者UART接口将解码后的 二代居民身份证信息发送出来，本发明的服务端单片机采用UART串口接收SAM_A返回的成 功解码的二代居民身份证数据或者解码失败的提示信息。

单片机通过UART接口接收到SAM_A成功解密后的数据或者解码失败的提示后，发 送给服务端解码服务器，服务端解码服务器将解码状态设置为成功或者失败，生成加密消 息包发送给客户端，然后向该会话ID绑定的服务端单片机发送复位命令，让该会话ID绑定 的服务端单片机和SAM_A进行复位，将该SAM_A的状态设置为空闲，解绑与会话ID绑定的对 称加密算法的密钥、SAM_A的ID、服务端单片机的ID、服务端单片机的IP地址、服务端单片机 的网络协议通信端口、客户端IP地址、客户端网络协议通信端口，清空与会话ID绑定的缓存 信息并清空会话ID，结束本次会话；需要注意的是，身份证照片是wlt格式的数据，需要使用 公安部提供的动态链接库进行转码，才能将wlt格式的数据转换为bmp图像格式的照片，这 个转码过程可以由服务端解码服务器来完成，也可以提交给专门的转码服务器来完成，还 可以不转码直接返回到客户端业务系统进行转码，为了不给服务端解码服务器造成运算负 担，本发明不提倡将wlt转码过程放在服务端的解码服务器，建议交给客户端转码或者专门 搭建转码服务器进行转码。

客户端接收到读卡解码成功或者失败的消息包后，驱动单片机向射频模块发送复 位命令，在客户端清空会话ID和该会话ID绑定的对称加密算法的密钥和缓存信息，结束本 次会话，并将数据返回给业务系统。

除了识别和采集二代居民身份证身份信息之外，客户端通过摄像头采集附近画 面，并使用Haar分类器方法，挖掘出画面中所有出现的人脸，按照人脸远近进行排序，将整 体图像、排序后的人脸图像、居民身份证照片、实时时间、地理坐标、居民身份证文字信息进 行绑定存储，建立关联关系，将确定的身份信息与一组不确定的人脸建立时空关系图谱，形 成一个曾在同一个时间和地点出现的时空关系网络，通过身份证刷卡人的身份信息能搜索 到画面中的任何一人的人脸，通过画面中的任何一张人脸，能搜索到身份证刷卡的人和画 面中同时出现的其他人脸，这样就扩大了线索来源，大幅度提高了案件侦破能力，在实际应 用中，结合交通卡口摄像机和治安摄像机的图侦手段，破案能力就进一步加强。

人脸图像首先要根据两眼的倾斜角度，把人脸旋转使得两眼平衡和头顶朝上，将 彩原图分别转化成灰图片和轮廓图片，然后利用Haar分类器方法，识别并挖掘出人脸 图像中的眼睛、鼻子、嘴巴的图片和位置，计算和存储以下内容：灰图片特征点数量、灰 图片特征点位置、轮廓椭圆参数特征、轮廓图片特征数量、轮廓图片特征位置、左眼左侧位 置与人脸总宽度比例、左眼右侧位置与人脸总宽度比例、右眼右侧位置与人脸总宽度比例、 右眼左侧位置与人脸总宽度比例、左眼宽度与人脸总宽度比例、右眼宽度与人脸总宽度比 例、两眼中心点距离与人脸总宽度比例、左眼高度与人脸总高度比例、右眼高度与人脸总高 度比例、两眼中心位置与人脸上侧顶点比例、两眼中心与鼻子中心距离除以人脸总高度的 比例、两眼中心与嘴中心距离除以人脸总高度比例、左眼中心与鼻子中心角度、右眼中心与 鼻子中心角度、左眼中心与嘴中心角度、右眼中心与嘴中心角度、左眼与左嘴角角度、左眼 与右嘴角角度、右眼与左嘴角角度、右眼与右嘴角角度、鼻子中心与嘴中心垂直距离除以人 脸总高度的比例、鼻子中心与左嘴角角度、鼻子中心与右嘴角角度、鼻子宽度与人脸总宽度 比例、鼻子高度与人脸总高度比例、嘴宽度与人脸总宽度比例、嘴唇弧线角度参数，这些特 征的组合将能确定一张人脸并能够为人脸检索提供数学模型支撑，这些人脸特征形成字段 存储到数据库。

除了采集人脸特征之外，本发明还通过WIFI探针技术采集附近手机WIFI的MAC地 址码，按照WIFI信号强弱进行排序，将这些MAC地址码列表、实时时间、地理坐标与身份证的 身份信息绑定存储，将确定的身份信息与一组不确定的MAC地址建立时空关系图谱，形成一 个曾在同一个时间和地点出现的关系网络，将人的身份信息、附近MAC信息、附近出现的人 脸信息进行关联，在案件侦破过程中，能通过这些关联信息到更多的线索，还能通过身份 信息、人脸信息、电子特征信息分析相关人的活动轨迹，为案件侦破提供有力的技术保障； 作为辅助和补充手段，如果客户端主机处在一个局域网内，还通过ARP技术采集客户端主机 所在局域网的其他在线主机的MAC地址码，作用是在旅馆等场所应用中，知道旅馆中哪些 MAC的主机处于在线状态。

读卡、解码、采集成功后的存储，并不是存储到客户端本地，而是根据用户的具体 要求，通过加密传输、网闸单向跳转等方法，根据公安机关的要求传输到配置文件指定的网 络、指定的服务器、指定的数据库进行存储；任何缓存的数据都不明码存储到存储设备。

本发明还设计了单片机程序防提取和转录功能，程序从一个单片机提取后转录到 另一个单片机是不能直接用的，机制如下：将STM32单片机MCU唯一ID的3个32位数拆成12个 8位数，将不同位置的8位数按照不同的位移方式进行位移，然后打乱顺序重新排布12个位 移后的8位数，生成激活码，在向该单片机传输命令之前，需要输入激活码进行激活码验证， 激活码验证成功，提供正常服务，激活码验证失败，不提供正常服务；作为改进，还可以在激 活码特定位置加入时间戳和随机码。

图1为产品网络结构图；

图2为消息包格式；

图3为服务端单片机网络模块原理图；

图4为服务端单片机电源输入模块原理图；

图5为THM3060读卡模块原理图；

图6为客户端单片机USB接口原理图；

图7为服务端解码服务器会话过程中会话ID绑定示意图；

图8为客户端会话过程中会话ID绑定示意图。

所述服务端解码服务器采用树莓派3B，树莓派3B使用了Broadcom BCM2837 1.2GHz四核A53 64位处理器，1GB DDR内存，可以安装linux操作系统，体积小，运行速度快， 是一款能力较强的嵌入式设备，而且成本较低；树莓派3B长宽约为85mm×56mm，厚度17mm左 右，集成有一个标准RJ45接口和两组双USB接口模块，在一个USB接口插卡插一个USB千兆网 卡，加上树莓派自带的一个RJ45接口，组成双网卡树莓派主机，其中一个网卡用于和服务端 的交换机、单片机组成一个服务端局域网，另一个网卡IP地址和子网掩码交用户设置，使得 客户端能够通过网络访问到服务端解码服务器，可以是互联网，也可以是局域网，还可以是 特定专网，网络结构图如附图1所示。

所述服务端网络交换机选择通用的千兆网络交换机即可，无特殊要求。

所述服务端单片机选用STM32F407ZGT6，外接8M晶振和32.768K晶振、网络模块、电 源输入模块，同时引出GPIO引脚，从电源输入模块引出5V输出、3.3V输出和GND引脚， STM32F407ZGT6是一款高性能的STM32芯片，支持168MHz主频，1024K Flash和192K内部 SRAM，支持串口、USB、SPI、IIC、CAN等多种通信协议，服务端单片机的网络模块由DP83848IV 芯片和RJ45网口组成，原理图如附图3所示，电源输入模块原理图如附图4所示；需要注意的 是：服务端单片机网络接口通信速率应该稳定在1MB以上。

所述SAM_A是《GA467-2013 居民身份证验证安全控制模块接口技术规范》指定的 专用居民身份证信息解码设备。

所述服务端电源模块为5V 3安培以上的供电模块，本发明实施例中采用的是明纬 T-150D三组多路输出电源，该电源模块输出能力较强，同时支持三组输出5V 8A、12V 3A， 24V 3A，具有EMI滤波、短路保护、过载保护和自恢复功能，能够满足供电需求，可以支持服 务端解码服务器、网络交换机、以及多组单片机和SAM_A的供电。

所述客户端主机采用树莓派3B，客户端射频模块采用带SPI接口和天线的THM3060 读卡模块，本发明射频模块使用SPI接口而不是UART串口进行通信，目的是为了提高通信速 率和解码稳定性，THM3060支持2.5MB每秒的SPI稳定通信速率，UART串口通信一般达不到这 个稳定速度，SAM_A向射频模块发出命令后必须在90毫秒内得到射频模块的返回数据，否则 就强制终止通信了，根据实际测试发现，很多SAM_A等待时间达不到90毫秒，所以通信过程 要尽可能节约时间，这样才能保证较高的读卡和解码的成功率；THM3060读卡模块原理图如 附图5所示；装有ISO14443B读卡模块和WIFI模块的智能手机，也是能够作为本发明客户端 的。

所述客户端单片机采用STM32F407VET6，外接8M晶振和32.768K晶振、USB接口，通 过USB接口供电，同时引出GPIO引脚，从USB接口引出5V输出、GND引脚，并且串接1.5K欧电阻 引出3.3V输出引脚，STM32F407VET6支持SPI和USB通信，也可以选用其他同时支持SPI和USB 通信的高速单片机，USB通信速率要尽可能的高，应保持在1MB每秒以上，最好能达到30MB每 秒，因为根据实际测试发现，很多SAM_A等待时间达不到90毫秒，通信速率如果过低，很容易 导致读卡和解码失败，如果要实现高速USB通信，需要增加PHY电路，可使用USB3300芯片； USB SLAVE接口原理图如附图6所示。

所述客户端摄像头采用带红外光源的广角USB高清摄像头，该摄像头要求能够外 接电源，以防USB接口供电不足，对此类摄像头无其他特殊要求，电子市场很方便买得到。

所述WIFI探针选择一款支持开发的和UART通信的WIFI AP模块就能够满足要求， 电子市场很方便买得到，通过开发设置为AP模式并且持续发送Beacon帧通知周围WIFI设 备，当周围WIFI设备扫描AP时，就能够收集周围这些WIFI设备的 MAC地址。

所述服务端解码服务器和客户端主机采用树莓派3B，并配置16GB Micro SD存储 卡安装Linux操作系统，本发明选用的树莓派Linux操作系统是Raspbian；装有ISO14443B读 卡模块和WIFI模块的智能手机，也是能够作为本发明客户端的。

服务端每一个STM32F407ZGT6单片机模块连接单独一个SAM_A，每一个SAM_A连接 一个单独的STM32F407ZGT6单片机模块，将STM32F407ZGT6单片机模块的 PA9引脚与SAM_A 的UART接口的RX引脚相连接，将STM32F407ZGT6单片机模块的 PA10引脚与SAM_A的UART接 口的TX引脚相连接，在STM32F407ZGT6单片机模块选择4个空闲的GPIO引脚，命名为TX_ FRAME、RX_FRAME、SCLK、SDATA，分别于SAM_A的TX_FRAME、RX_FRAME、SCLK、SDATA引脚相连 接，按照《GA467-2013 居民身份证验证安全控制模块接口技术规范》的规定进行通信，然后 将SAM_A的VCC引脚与STM32F407ZGT6单片机模块5V输出引脚相连，将SAM_A的GND引脚与 STM32F407ZGT6单片机模块的GND引脚相连。

在服务端解码服务器树莓派3B的一个USB接口插入一个USB千兆网卡，加上树莓派 自带的一个RJ45接口组成双网卡服务器，在解码服务器树莓派3B的两个网卡中，任选一个 命名为一号网卡，另一个命名为二号网卡，将每一个服务端STM32F407ZGT6单片机模块的 RJ45接口通过网线与网络交换机相连，分配局域网IP地址，推荐设置为192.168.10.2、 192.168.10.3、192.168.10.4、192.168.10.5等依次类推，并将网关设置为解码服务器树莓 派3B的一号网卡的IP地址，子网掩码要与解码服务器树莓派3B的一号网卡的子网掩码相 同。

将一号网卡通过网线与网络交换机相连，并设置为局域网IP地址，推荐设置为 192.168.10.1，该地址应与STM32F407ZGT6单片机模块设置的局域网网关地址相同，子网掩 码应与STM32F407ZGT6单片机模块设置的子网掩码相同，这样解码服务器树莓派3B就与 STM32F407ZGT6单片机模块组成了一个局域网。

将服务端STM32F407ZGT6单片机模块的电源输入接口与明纬T-150D的5V电源输出 接口相连，将树莓派的电源输入接口与明纬T-150D的5V电源输出接口相连，同时根据网络 交换机的电源特征要求将网络交换机的电源输入接口与相同电压的明纬T-150D的电源接 口相连，如果选用的网络交换机使用220V交流电源，则将网络交换机的电源输入接口接入 220V交流输出电源。

服务端解码服务器树莓派3B二号网卡的IP地址、子网掩码交给用户设置，以适应 用户的应用环境，使得客户端能够访问到服务端解码服务器，这个网络可以是局域网，也可 以是互联网，还可以是特定专网，比如公安网、教育网等，网络结构图如附图1所示。

客户端模块连接方法：在STM32F407VET6单片机模块选择6个空闲引脚，依次命名 为： MISO、MOSI、SCLK、SS_N、RSTN、STANDBY，分别与THM3060读卡模块的MISO、MOSI、SCLK、 SS_N、RSTN、STANDBY引脚相连接，使用SPI协议在1MB每秒至2.5MB每秒的速率进行通信，将 WIFI探针模块UART接口的TX引脚与STM32F407VET6单片机模块通过PA10引脚相连，将WIFI 探针模块UART接口的RX引脚与STM32F407VET6单片机模块的PA9引脚相连，使用UART协议进 行通信，将THM3060电源输入接口、WIFI探针电源输入接口与STM32F407VET6单片机模块的 相同电压的电源输出引脚相连，将STM32F407VET6单片机模块与客户端主机树莓派3B通过 USB接口相连；将摄像头插入客户端主机树莓派3B的USB接口，并外接电源为摄像头供电，以 防USB接口供电不足导致图像黑暗或者不清晰。

将客户端主机树莓派3B的RJ45接口接入能够访问服务端解码服务器的网络，并设 置IP地址和子网掩码，使得客户端主机能够通过网络访问服务端解码服务器。

读卡与解码具体过程和方法如下[0055]-[0079]。

客户端主机不与服务端进行通信，由客户端主机通过USB接口直接发送ISO14443B 寻卡命令给STM32F407VET6单片机模块，STM32F407VET6单片机模块通过SPI接口向THM3060 读卡模块发送寻卡命令，以寻射频场内是否存在二代居民身份证。

THM3060读卡模块返回寻卡成功或寻卡失败的消息。

寻卡成功后，客户端主机不与服务端进行通信，由客户端主机通过USB接口直接发 送ISO14443B选卡命令给STM32F407VET6单片机模块，STM32F407VET6单片机模块将选卡命 令通过SPI接口发送给THM3060读卡模块，以选定射频场内一个二代居民身份证。

THM3060读卡模块返回选卡成功或选卡失败的消息。

选卡成功后，客户端与服务器解码服务器进行秘钥交换，其中非对称加密算法用 于加密解密对称加密算法的秘钥，对称加密算法用于加密解密读卡和解码过程的命令和数 据；非对称加密算法采用RSA算法，对称加密算法采用AES算法，选用AES算法是因为该算法 运算速度快、安全度高、资源消耗低，在树莓派设备中运行无性能压力；哈希算法选用SHA-1 算法；客户端随机生成会话ID、对称加密算法的密钥，将会话ID与对称加密算法的密钥相绑 定，并缓存绑定的信息，用SHA-1算法计算对称加密算法的密钥的哈希码，使用服务端解码 服务器发放的RSA公钥将对称加密算法的密钥进行加密，生成消息包，客户端与服务端每一 次交互，消息包格式均如附图2所示。

客户端将附图2格式的消息包发送给服务端的解码服务器。

服务端解码服务器用RSA算法的私钥解密消息包的数据字段，获取对称加密算法 AES的密钥。

服务端解码服务器缓存会话ID、客户端IP地址、客户端网络协议通信端口、对称加 密算法的密钥，并将会话ID与对称加密算法的密钥、客户端IP地址、客户端网络协议通信端 口进行绑定。

服务端解码服务器利用对称加密算法AES生成加密消息包发送给客户端，告知客 户端已完成通信准备。

客户端收到服务端准备完毕的消息后，生成新的加密消息包发送上位机读卡命 令，上位机读卡命令为0xAA 0xAA 0xAA 0x96 0x69 0x00 0x03 0x30 0x01 0x32，该命令为 上位机要求SAM_A进行读卡的固定格式，是《GA467-2013 居民身份证验证安全控制模块接 口技术规范》规定的，不能改变，其中命令码为x30，参数为0x01，其他部分是帧头、长度、校 验等内容；作为改进，客户端也可以自定义一个上位机读卡命令，服务端解码服务器收到自 定义上位机读卡命令后，再转成《GA467-2013 居民身份证验证安全控制模块接口技术规 范》规定的0xAA 0xAA 0xAA 0x96 0x69 0x00 0x03 0x30 0x01 0x32读卡命令。

服务端解码服务器在SAM_A列表里查有无空闲SAM_A，如果没有空闲SAM，发送消 息包通知客户端，告知无空闲资源请稍后重试；如果有空闲的SAM_A模块，缓存该SAM_A模块 ID以及该 SAM_A模块连接的单片机的ID、IP地址、网络协议通信端口等信息，并将该SAM_A 模块ID、该 SAM_A模块连接的单片机的ID、IP地址、网络协议通信端口与会话ID相绑定，并 将该SAM_A模块的当前状态设置为忙的状态；服务端解码服务器会话ID绑定示意图如附图7 所示，客户端会话ID绑定示意图如附图8所示；需要说明的是：服务端解码服务器每收到一 个客户端消息包后，首先提取会话ID并解密数据字段的内容，在密钥交换阶段，通过非对称 加密算法的私钥进行解密，在其他阶段，使用与会话ID绑定的对称加密算法的密钥进行解 密，通过数据类型字段的内容判断是上位机读卡命令还是二代居民身份证读卡过程中返回 的消息，如果发现消息包数据字段的内容是二代居民身份证返回的消息，通过会话ID查 该会话ID绑定的SAM_A和该SAM_A所连接的服务端单片机的IP地址和网络协议通信端口，这 样就知道将客户端发来的二代居民身份证读卡过程中返回的消息发给哪个SAM_A。

服务端解码服务器将客户端发送来的读卡命令发送给该会话ID已经绑定的服务 端单片机。

服务端单片机收到上位机读卡命令后，用UART接口发送给该单片机所连接的SAM_ A。

SAM_A收到上位机读卡命令后，会产生射频命令，通过TX_FRAME、SCLK、SDATA等引 脚发出来。

服务端STM32F407ZGT6单片机模块通过TX_FRAME、SCLK、SDATA引脚接收SAM_A发送 的消息，需要注意的是，每接收一个8bit的数据，都要在第9个SCLK高电平期间发送SDATA低 电平ACK信号进行验证，表示接收成功，否则通信将强制终止，消息接收完成后，通过RJ45接 口通过网络交换机发送给解码服务器。

服务端解码服务器收到STM32F407ZGT6单片机模块的消息后，根据网络通信协议 获取该消息上下文指明的IP地址，无论是UDP协议还是TCP协议，都可以通过消息上下文获 取发送方的IP地址，通过该IP地址查与该IP绑定的会话ID，进而通过该会话ID查该会 话ID绑定的客户端的IP地址、客户端的网络通信协议端口，生成加密消息包发送给该会话 ID绑定的客户端主机。

客户端主机解密消息包，通过USB接口将读卡命令发送给客户端STM32F407VET6单 片机模块。

客户端STM32F407VET6单片机模块通过SPI接口将SAM_A命令发送给THM3060读卡 模块，THM3060读卡模块与二代居民身份证通信后，将二代居民身份证返回的消息通过SPI 接口发送给客户端STM32F407VET6单片机模块。

客户端STM32F407VET6单片机模块将二代居民身份证返回的消息通过USB接口发 送给客户端主机，客户端主机生成加密消息包再发给服务端解码服务器。

服务端解码服务器依据消息包的会话ID查该会话ID绑定的服务端单片机，将二 代居民身份证返回的消息解密后通过网络交换机发送给该会话ID已绑定的服务端 STM32F407ZGT6单片机模块。

服务端STM32F407ZGT6单片机模块收到客户端二代居民身份证反馈的消息后，用 RX_FRAME、SCLK、SDATA引脚将二代居民身份证返回的消息发送给SAM_A，需要注意的是，每 发送一个8bit的数据，都应在第9个SCLK高电平期间验证SDATA是否为低电平，如果是低电 平，表示SAM_A接收成功，否则表示SAM_A接收失败。

SAM_A收到二代居民身份证返回的消息后，会产生下一条射频命令，通过TX_ FRAME、SCLK、SDATA引脚发出来，重复第[0069]步至第[0076]步的过程，直到完成整个读卡、 验证、解码过程。

整个读卡、验证和解码过程完成后，SAM_A通过UART接口将解码后的二代居民身份 证信息返回给STM32F407ZGT6单片机模块，STM32F407ZGT6单片机模块通过网络交换机将内 容发送给解码服务器，其中二代居民身份证的照片是wlt格式的，需要调用公安部提供的动 态链接库才能转换成bmp图片格式，为了不给解码服务器造成负担，这个图片转码过程可以 提交给专门的wlt转码服务器来完成，还可以不转码直接返回到客户端业务系统进行转码， 为了不给服务端解码服务器造成运算负担，本发明不提倡将wlt图片转码过程放在服务端 解码服务器，建议专门搭建转码服务器进行wlt图片转码。

解码服务器将读卡状态设置为成功或者失败，生成加密消息包发送给客户端，向 该会话ID绑定的STM32F407ZGT6单片机模块发送复位命令，让STM32F407ZGT6单片机模块和 SAM_A进行复位，将该SAM_A的状态设置为空闲，清空会话ID和该会话ID绑定的SAM_A模块 ID、服务端单片机ID、服务端单片机IP地址、服务端单片机网络协议通信端口、对称加密算 法的密钥、客户端IP、客户端网络协议通信端口等信息，结束本次会话。

客户端接收到读卡成功或者失败的消息包后，向射频模块发送复位命令，清空会 话ID和该会话ID绑定的对称加密算法的密钥，结束本次会话，并将数据返回给业务系统。

客户端主机使用OPENCV或者JAVACV调用摄像头功能拍摄附近的画面，并使用Haar 分类器方法，挖掘出所有出现的人脸，按照人脸远近进行排序。

将拍摄的整体图像、排序后的人脸图像、居民身份证照片、居民身份证文字信息进 行绑定存储，用身份证号作为联结纽带，人脸图像存储时，要存储远近排序序号，将确定的 身份信息与不确定的一组人脸建立时空关系图谱，形成一个曾在同一个时间和地点出现的 关系网络。

计算每个人脸图像的两眼倾斜角度，把人脸旋转使得两眼平衡和头顶朝上，将彩 原图分别转化成灰图片和轮廓图片，灰图片为了消除干扰，轮廓图片为了发现人脸 的轮廓特征，主要是椭圆参数，用以确定长脸、方脸、圆脸等脸型特征。

使用Haar分类器方法，识别并挖掘出人脸中的眼睛、鼻子、嘴巴的图片和位置，计 算、存储每个人脸以下特征：灰图片特征点数量、灰图片特征点位置、轮廓椭圆参数特 征、轮廓图片特征数量、轮廓图片特征位置、左眼左侧位置与人脸总宽度比例、左眼右侧位 置与人脸总宽度比例、右眼右侧位置与人脸总宽度比例、右眼左侧位置与人脸总宽度比例、 左眼宽度与人脸总宽度比例、右眼宽度与人脸总宽度比例、两眼中心点距离与人脸总宽度 比例、左眼高度与人脸总高度比例、右眼高度与人脸总高度比例、两眼中心位置与人脸上侧 顶点比例、两眼中心与鼻子中心距离除以人脸总高度的比例、两眼中心与嘴中心距离除以 人脸总高度比例、左眼中心与鼻子中心角度、右眼中心与鼻子中心角度、左眼中心与嘴中心 角度、右眼中心与嘴中心角度、左眼与左嘴角角度、左眼与右嘴角角度、右眼与左嘴角角度、 右眼与右嘴角角度、鼻子中心与嘴中心垂直距离除以人脸总高度的比例、鼻子中心与左嘴 角角度、鼻子中心与右嘴角角度、鼻子宽度与人脸总宽度比例、鼻子高度与人脸总高度比 例、嘴宽度与人脸总宽度比例、嘴唇弧线角度参数，这些特征的组合能够较为方便地确定一 张人脸并支持快速检索，这些人脸特征要形成字段存储到数据库。

将WIFI探针模块设置为AP模式，并持续向外Beacon帧通知周围WIFI设备，当周围 WIFI扫描AP时，收集周围这些WIFI设备的 MAC地址。

收集到周围MAC地址后，按照信号强弱进行排序，这样可以确定距离远近，将这些 MAC地址码列表与身份证的身份信息绑定存储，以身份证号关联纽带，将确定的身份与一组 不确定的MAC建立时空关系图谱，形成一个曾在同一个时间和地点出现的关系网络；作为辅 助和补充，如果客户端主机处在一个局域网内，通过ARP技术，收集客户端所在局域网的其 他主机的MAC地址一并存储，同样将确定的身份信息与不确定的一组主机MAC建立了同一时 间、同一地点出现的关系网络。

除了存储身份信息、身份证照片、周围人脸、周围MAC地址外，还应存储当前地点地 理坐标、当前时间等辅助信息。

数据在客户端本地不进行明码存储，临时缓存的数据要在加密后再进行缓存，在 数据采集完成后，通过加密传输、网闸单向跳转等技术手段，将数据传输到配置文件指定的 网络、指定服务器、指定数据库进行存储，为防止隐私泄露和侵犯隐私，对于身份证号、家庭 住址、MAC地址等敏感内容，在存入数据库之前，进行加密后再存储；作为改进，人脸图像也 可以加密后再存储。

本发明还设计了单片机程序防提取和转录功能，程序从一个单片机提取后转录到 另一个单片机是不能用的，机制如下：将STM32单片机MCU唯一ID的3个32位数拆成12个8位 数，将不同位置的8位数按照不同的位移方式进行位移，然后打乱顺序重新排布12个位移后 的8位数，生成激活码，在向该单片机传输命令之前，需要输入激活码进行激活码验证，激活 码验证成功，提供正常服务，激活码验证失败，不提供正常服务；作为改进，还可以在激活码 特定位置加入时间戳和随机码。