YD/T 3656-2020 标准解读

一、标准适用范围与执行边界

• 适用主体：面向电信运营商、互联网平台、金融支付机构、政务服务平台等提供实人认证服务的系统建设方、运营方及第三方认证服务提供商；
• 适用场景：基于互联网渠道开展的身份核验业务，包括但不限于开户实名、远程签约、高风险交易验证、电子合同签署、政务事项办理等需确认“真人+本人+实时”三重一致性的环节；
• 排除条件：不适用于离线本地化生物特征比对（如门禁终端单机比对）、非联网环境下的身份核验、仅依赖证件OCR或短信验证码的弱验证方式，以及未接入国家网络身份认证公共服务基础设施（NIID）的封闭式自建系统。

二、核心实操技术要求

1. 活体检测强制项：须采用多模态融合活体检测，至少包含动作指令（眨眼/张嘴/摇头）与纹理分析（LBP、CNN反欺诈特征）双路验证；单次检测响应时间≤1.5s，攻击成功率（PAI）≤0.1%（ISO/IEC 30107-3 Level 2测试通过）；
2. 人脸比对精度基准：1:N比对（N≤10000）误拒率（FRR）≤1%，误认率（FAR）≤0.0001%；须在光照变化（50–1000 lux）、姿态偏转（±30°俯仰/±45°偏航）、常见遮挡（口罩/眼镜/刘海）下保持FAR≤0.001%；
3. 数据安全硬约束：原始人脸图像、视频流、生物特征模板禁止落盘存储；特征向量须经国密SM4加密后传输，密钥由HSM硬件模块管理；所有日志留存≥180天且不可篡改；
4. 系统可用性指标：月度服务可用率≥99.99%，API平均响应延迟≤800ms（P95），并发能力≥5000 TPS；故障恢复时间（MTTR）≤5分钟；
5. 合规接口要求：必须对接公安部公民网络身份识别系统（eID）或国家网络身份认证公共服务平台（NIID），完成双向身份核验闭环；不得绕过权威源直接调用第三方数据库进行身份真实性断言。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：老年用户活体通过率低

  实测60岁以上用户动作指令完成率不足65%

  → 解决方案：启用“静默活体”模式（基于单帧纹理+血流微动分析），须通过YD/T 3656附录B静默活体专项测试，且同步提供语音引导替代动作指令；
• 难点2：跨境用户证件类型兼容性差

  港澳居民来往内地通行证、台胞证OCR识别错误率达12.7%

  → 解决方案：接入公安部出入境管理局标准证件识别API，禁用自研OCR模型；证件信息提取后必须调用NIID“证件有效性核验”子接口进行签发状态与有效期双重校验；
• 难点3：高并发下活体检测超时

  秒级峰值超3000请求时，15%请求活体检测耗时＞2s

  → 解决方案：实施分级限流策略——QPS＞2000时自动启用轻量级LBP+HSV色彩空间活体模型（满足PAI≤0.3%）；同时启动异步重试队列，超时请求转入二次精检通道（限流阈值设为500 QPS）；
• 难点4：政务系统无法对接NIID

  部分地市政务云未开放NIID白名单IP

  → 解决方案：采用“前置代理网关”模式，由省级政务云统一申请NIID接入资质，下级单位通过HTTPS代理调用，代理层须完成国密SM2双向证书认证与请求签名验签。