步態識別數據安全標準化研究

李強 劉麒赟 宋立峰 程少龍 林清 張婭

摘 要：步態識別是基于步態所包含的自然人生物學特性和行為特性對自然人進行辨識的技術，其物理基礎是人類個體不同的生理結構和行走習慣。目前，步態識別技術已在學術和商業化應用方面取得了巨大發展。步態識別數據作為一種重要的生物特征數據，目前存在著數據濫采濫用、未采用有效的安全防范措施等突出問題。本文通過分析解讀國內第一部步態識別數據國家標準，旨在讓步態識別數據相關方了解步態識別數據處理活動、安全風險和安全要求，進一步提高步態識別產品和服務的整體安全水平。

關鍵詞：步態識別，數據安全，數據處理活動，應用場景

DOI編碼：10.3969/j.issn.1674-5698.2023.04.010

1 引 言

步態識別是生物識別技術中無直接接觸的情況下長距離識別人的重要指標。當一個人行走時，可以觀察到約24個單獨的參數和運動[1]，這些參數和運動形成了步態的獨特性。隨著計算機視覺（CV）技術的發展，可以通過視頻中自然人的生物特征（人體骨骼，輪廓，行走時的變化）和抽象特征來識別，步態識別系統利用CV算法，識別人的形狀及其移動方式，檢測視頻中的人形輪廓并分析其運動。這些數據共同創建了步態行為模型。

步態識別相關研究始于2000年，美國國防部高級研究計劃局和中國科學院自動化研究所同時開始步態識別的研究，發展至今，我國的步態識別技術水平在世界范圍內已居首位。近年來，在國家和行業政策推動下，步態識別逐漸走向實際應用，例如：在公共安全領域，基于視頻監控，可以迅速發現特定人員，預防危險事件發生；在康養領域，可以用于療養院，以便在患者跌倒時提醒工作人員；在醫療領域，可以幫助診斷神經系統疾病并計劃康復治療；此外，在科教文體、智能家居等領域中，步態識別也有適合的應用場景。

國內對于生物特征數據安全已有相關法律規定。我國立法與司法在保護個人生物識別信息權利的基礎上，確立了以風險預防及利益平衡理念和原則為引導，對個人生物信息安全法實行多層次、等級化和體系化的法律保護，構建個人生物信息安全的法律法規體系[2]。《中華人民共和國網絡安全法》《中華人民共和國數據安全法》《中華人民共和國個人信息保護法》中規定了生物特征、敏感信息、個人數據的強制性要求，明確了個人信息保護原則是個人生物識別信息利用的最基本規則。在上位法律法規的指引下，國家陸續出臺了GB/ T 35273-2 0 2 0《信息安全技術 個人信息安全規范》、G B /T 37973-2019《信息安全技術 大數據安全管理指南》等標準，較寬泛地約束了數據安全管理要求。

在細分領域標準化方面，現有大部分生物特征識別標準涉及指紋識別、虹膜識別、人臉識別，內容包含生物特征數據交換格式、圖像數據質量、設備等。相較指紋識別、虹膜識別、人臉識別等生物特征識別技術，步態識別技術起步相對較晚，標準化程度也相對滯后，根據“全國標準信息公共服務平臺”，截至2020年，在信息化領域，沒有“步態識別”相關標準。

當前，步態識別數據存在濫采濫用、未采用有效的安全防范措施等突出問題，個人的合法權益和社會公共利益不時受到侵害。為了解決這一問題，2020年12月-2022年11月，銀河水滴科技（北京）有限公司聯合國內20余家單位聯合負責編制了國內第一部步態識別領域數據安全國家標準GB/T 41773-2022《信息安全技術 步態識別數據安全要求》，圍繞個人信息處理的最小必要原則，從規范個人信息控制者在收集、保存、使用、共享、轉讓、公開披露等信息處理環節中的相關行為出發，規定了步態識別數據收集、存儲、傳輸、使用、加工、提供、公開、刪除等數據全生命周期處理活動的安全要求，同時給出了身份識別、非身份識別、科學研究3種場景下的步態識別活動及其風險，為不同的步態識別數據處理者規范數據處理活動，監管部門、第三方評估機構對步態識別數據處理活動進行監督、管理、評估提供了標準依據。

本文以《信息安全技術 步態識別數據安全要求》為基礎，介紹步態識別的基本概念、步態數據處理活動和主要風險以及不同場景下的步態識別數據活動和安全要求。

2 概 述

與其他生物特征識別算法一樣，步態識別的基礎為步態數據，通常是使用多個源或采集設備（攝像機、運動傳感器等）來獲取數據。采集的數據經過多個識別步驟，一般的步態識別過程如圖1所示。利用步態識別算法處理接收到的數據，通過輪廓檢測、人形分割獲得單個人的特征，然后特征提取算法提取步態信息，并有效區分不同的步態。步態識別算法在處理視頻數據和傳感器數據時會有所不同。

借助大數據和機器學習技術，可以根據獲得的數據和模型改進識別系統。通過大量的步態數據學習和建模，能夠提升步態識別模型的識別精度和泛化能力，因此，當處理相似的步態時，經過訓練的模型和算法可以分離細微的細節并將其輸入數據庫，可以獲得更好的識別結果。

由于步態識別技術的易用性，僅利用常規的監控攝像頭即可進行數據獲取和身份識別，越來越多的組織可以低成本大量收集和使用步態數據信息，并利步態識別算法和技術對不特定人員進行身份識別和軌跡跟蹤。步態識別技術給生活、工作及社會公共安全帶來技術便利和保障的同時，也面臨著非法收集、濫用、泄露個體生物特征信息等問題，因此步態識別中的數據安全保護成為了步態識別領域中的重要問題。

3 步態數據處理活動和主要風險

步態識別數據活動涉及的數據處理角色包括數據主體（步態識別數據所標識或者關聯的自然人）、數據處理者、公共安全管理機構、第三方服務平臺等，數據處理過程包括：數據收集->數據的存儲和傳輸->數據的使用->數據的加工、提供、公開->數據的刪除，涉及數據的全生命周期。

步態識別數據的收集：

（1）需求提出：組織或個人對數據主體提出步態識別數據及關聯信息使用需求的活動；

（2）知情同意書簽訂：數據主體了解步態識別數據的使用目的、方式、范圍及步態識別數據處理者名稱和聯系方式等信息后，雙方共同完成的簽訂知情同意書活動；

（3）步態樣本收集：收集自然人行走視頻，并從中提取步態樣本的活動。步態樣本包括步態視頻、圖像序列等信息。此活動中會產生相應的關聯信息，如：收集時間、收集地點、收集對象、收集者、收集方式、樣本類型、規格、單位、樣本保存期限等。

步態識別數據的存儲和傳輸：在數據主體知情同意情況下，對步態識別數據及關聯信息進行存儲和傳輸的活動。

步態識別數據的使用：識別、檢測、統計所獲取的步態識別數據及關聯信息。此活動中會產生數據主體的關聯數據，如：步態特征、舞蹈姿態特征、體育競技特征、行為康復特征等，此活動會產生統計分析數據，如：比對日志、舞蹈評分合格統計、體育競技違規統計等。

步態識別數據的加工、提供、公開：在數據主體同意的前提下，將步態識別數據及關聯信息進行加工、提供和公開的活動。

步態識別數據的刪除：在賬戶注銷、授權撤回、授權到期、申請刪除等情況下不可逆地刪除步態識別數據及關聯信息的活動。

步態識別數據活動中常見安全風險主要包括：未經數據主體單獨同意收集步態識別數據、緊耦合存儲步態識別數據和關聯信息、超授權范圍使用步態識別數據、篡改步態識別數據、混淆識別對象或改變識別結果、數據傳輸或提供環節產生泄漏、未刪除授權過期的步態識別數據等風險。常見安全風險見表1。

4 不同場景步態識別數據活動和安全要求

步態識別數據活動典型應用場景包括身份識別應用場景、非身份識別應用場景和科學實驗場景。

身份識別應用場景是指步態識別數據用于識別數據主體身份的場景。典型應用場景包括遠程身份監控、步態門禁等。數據活動如圖2所示。

非身份識別應用場景是指步態識別數據用于統計、檢測或行為特征分析等活動的場景，不進行數據主體身份識別或驗證。典型應用場景包括教育培訓領域的舞蹈姿態分析，醫療領域的早期病癥診斷、步態康復分析，社會治理領域的涉毒人員行為分析等。數據活動如圖3所示。

科學實驗場景是指步態識別數據用于開展與步態有關的科學實驗活動的場景。典型應用場景包括高校或科研機構進行步態識別或步態分析算法研究、開展算法競賽或評比等。數據活動如圖4所示。

不同場景下步態識別安全要求見表2。

5 總 結

步態識別以其特有的技術和應用領域，已經成為國內外科研院所和企業看好的朝陽產業方向，未來將得到更大規模的研究和產業化發展，同時也亟需標準化規范引領行業發展。《信息安全技術 步態識別數據安全要求》以步態識別數據的安全保護為目標，規定了步態識別數據活動范圍和主要風險，明確了步態識別數據的最小安全基線要求，為開展步態識別數據大規模安全應用提供了標準支撐，填補了行業空白。以步態識別數據安全標準為起點，未來將進一步推動步態識別領域基礎、技術、軟硬件、測評、應用體系標準化建設，提高步態識別技術產品和應用服務水平。

參考文獻

WAN Changsheng， WANG Li， Phoha Vir V. A Survey on GaitRecognition[J]. ACM Computing Surveys， 2018，51（5）： 1-35.

張勇.個人生物信息安全的法律保護——以人臉識別為例[J]. 江西社會科學，2021，（5）：157-168.