医保刷脸终端：生物识别与实名认证的技术实践

一、背景：医保结算为何走向“刷脸”

长期以来，参保人在定点医药机构结算时主要依赖实体卡、医保码扫码等介质。这些方式在实际运行中暴露出明显痛点：

1. 介质依赖强：实体卡可能忘带、丢失或消磁；医保码依赖智能手机，老年参保人操作门槛较高。
2. 核验链路长：窗口人员需人工核对“卡与人是否一致”，高峰期排队时间显著拉长。
3. 基金安全风险：冒名就医、借卡购药、盗刷个人账户等行为，持续威胁医保基金安全。

医保刷脸终端正是针对上述问题的系统性解法：把“人”本身作为凭证，通过面部生物特征直接关联医保身份与个人账户，实现“实人、实名、实账户”级别的核验强度，同时把核验动作压缩到秒级。

二、医保刷脸终端的定位与整体架构

医保刷脸支付以国家医疗保障局统一管理、统一认证的医保业务综合服务终端为载体。这段表述中有两个关键词值得展开：

• 统一管理：终端设备的接入、备案与验收均纳入全国统一医保信息平台的管理体系，医药机构不能自行接入未经认证的采集设备，从源头保证设备可信。
• 统一认证：终端完成的身份核验结果在全国范围内互认。参保人完成一次激活后，到任何一家接入统一平台的定点医药机构均可直接使用，不存在“换家医院就要重新办”的问题。

同时，刷脸并非一套独立的支付体系，而是以医保码为媒介：人脸核验通过后，系统映射到参保人的医保码凭证，结算链路与扫码一致，从而保证与既有医保结算体系完全兼容。

整体链路可抽象为四层：

参保人（人脸）
    │
终端层：医保业务综合服务终端（图像采集、活体检测、安全输入）
    │  加密传输通道
平台层：全国统一医保信息平台（实名核验、人脸—医保身份绑定、医保码映射）
    │
结算层：个人账户 / 统筹基金支付

三、核心核验机制：“生物识别 + 实名认证”

医保刷脸的安全性建立在两层机制的叠加之上，二者缺一不可。

3.1 生物识别层

终端在现场完成人脸图像采集，并进行活体检测，以抵御照片、屏幕视频、面具等呈现攻击。采集通过后，系统提取人脸特征值，与平台侧已登记的特征模板进行比对。比对与存储的对象是特征模板而非原始图像，既提升比对效率，也缩小了敏感数据的暴露面。

3.2 实名认证层

生物识别解决“是不是同一个人”，实名认证解决“这个人是谁、是否为参保人本人”。首次使用时，参保人需在终端上输入身份证号码，平台据此关联参保登记信息与实名认证数据，交叉核验通过后，才将人脸特征与医保身份、个人账户建立绑定关系。

只有生物识别，无法防止特征与账户之间的错误映射；只有实名数据，无法防止证件冒用。二者叠加，才构成完整的核验闭环。

四、业务流程详解

4.1 首次激活：一次绑定，长期有效

首次使用的参保患者需要在刷脸终端上输入身份证号码，现场完成“刷脸”认证激活，流程可拆解为四步：

1. 在终端引导界面输入本人身份证号码；
2. 面向摄像头，配合完成人脸采集与活体检测；
3. 平台完成实名比对与参保状态核验；
4. 通过后，人脸特征与医保身份绑定，激活完成。

4.2 日常使用：免激活，直接刷

后续到医药机构使用医保综合服务终端时，无需再次激活，直接刷脸即可完成身份核验并进入结算流程。药店购药时刷脸调出个人账户，医院就诊时刷脸完成挂号、缴费等环节的身份确认。

用伪代码抽象这段逻辑，便于开发者理解：

function 医保核验与结算(参保人):
    if not 参保人.已激活刷脸:
        证件号 = 终端.输入身份证号()
        人脸   = 终端.采集人脸(活体检测=True)
        结果   = 平台.实名绑定(证件号, 人脸)
        if 结果.失败:
            回退到实体卡或医保码结算; return
    else:
        人脸 = 终端.采集人脸(活体检测=True)
        身份 = 平台.人脸核验(人脸)
        if 身份.比对失败:
            回退到实体卡或医保码结算; return
    发起医保结算(身份.对应账户)

需要强调：刷脸失败不等于无法结算。卡、码、脸三种介质并存、互为兜底，是系统可用性设计中的冗余保障。

五、安全与隐私保护设计

人脸属于敏感个人信息，刷脸体系的安全设计需从五个维度审视：

1. 采集侧：活体检测防伪造；设备统一认证，杜绝非授权设备接入采集网络。
2. 传输侧：终端与平台间的核验请求经加密通道传输，防范链路窃听与重放攻击。
3. 存储与处理侧：以特征模板为核心处理对象，遵循最小必要原则，不扩展与医保业务无关的用途。
4. 授权侧：首次激活本质上是参保人的明示授权动作，采集与使用均须符合个人信息保护、数据安全等法律法规要求。
5. 控制侧：参保人可主动停用刷脸认证，卡、码渠道继续可用，保障个人对敏感信息的控制权。

从基金监管角度看，“人脸—账户”强绑定显著抬高了冒名就医的操作成本，并留下完整核验留痕，是医保基金安全防控体系的重要一环。

六、典型应用场景

• 医院门诊：挂号、缴费窗口与自助机刷脸调取医保身份，缩短排队时间；
• 定点药店：购药结算免带实体卡，秒级完成核验支付；
• 适老化服务：不依赖智能手机，老年参保人凭“脸”即可享受医保服务；
• 高频慢病场景：慢病续方、门诊统筹结算等高频操作中，体验改善最为显著。

七、落地实践建议

面向医药机构：

1. 部署前确认终端已通过医保部门统一认证并接入统一平台，切勿使用未经认证的采集设备；
2. 关注部署环境：均匀充足的光照、稳定的网络，能显著提升采集与比对成功率；
3. 安排引导人员协助首次激活，重点服务老年参保群体；
4. 保留人工窗口与卡/码通道，作为异常情况兜底。

面向参保人：

1. 首次使用前准备好本人身份证号码信息；
2. 遇到识别失败（光线不佳、面容变化较大等），可随时改用医保码或实体卡；
3. 定期通过官方渠道查看个人账户使用记录，发现异常及时联系医保部门并停用刷脸认证。

八、常见疑问速答

1. 换一家医院或药店，需要重新激活吗？ 不需要。统一认证体系下一次激活、通用（限接入统一平台的机构）。
2. 日常化妆、戴眼镜会影响识别吗？ 一般不影响；个别情况下可回退扫码或刷卡。
3. 会被拿照片盗刷吗？ 活体检测可抵御照片、视频等攻击方式，且结算体系存在多重校验。

九、总结

医保刷脸终端的本质，是“全国统一平台 + 医保码 + 生物识别与实名认证”三者的组合：平台提供统一可信的核验与结算底座，医保码保证与既有结算体系兼容，刷脸则在体验与安全两端同时发力——参保人免带卡、免掏手机，基金侧获得“实人实名”级别的防冒用能力。对开发者与机构信息化建设者而言，理解“一次激活、全国复用、多介质兜底”的设计思想，比记住任何一个单一功能更有价值。随着全国统一医保信息平台能力的持续深化，基于统一身份核验的服务还有望向更多业务场景延伸，“刷脸”正是这场无卡化变革的起点。