CN111655553A - 乘客和车辆相互认证技术领域 - Google Patents

Abstract

本申请公开了用于请求运输服务的乘客与用于提供所请求的运输服务的调度车辆之间相互认证的技术。与乘客相关联的用户设备使用由运输服务平台生成的车辆访问令牌来验证调度车辆，并将密钥发送到调度车辆。调度车辆使用密钥通过运输服务平台从用户设备接收的乘客隐私中恢复乘客的生物识别信息，现场捕获乘客的生物识别信息，并比较恢复的乘客生物识别信息和现场收集的乘客生物识别信息以验证乘客。

Description

乘客和车辆相互认证技术领域

相关申请的交叉引用

本申请要求于2018年11月15日提交的美国专利申请No.16/192,567的优先权，该申请的全部内容通过引用整体结合于此。

背景技术

自动驾驶车辆(也被称为自主车辆或无人驾驶汽车)是一种能够感测其环境并在无需太多人工输入的情况下进行导航的车辆。可以使用自动驾驶汽车来提供按需运输服务，例如充当无人出租车。自动驾驶技术可以提供许多好处，例如降低运输成本、减少停车位需求、减少所需的车辆数量、减少交通拥堵等。但是，与自主车辆相关的挑战和风险仍然很多，例如安全性、安全和隐私问题。

发明内容

本文公开的技术涉及自主车辆。更具体地且非限制性地，本文公开了用于改善自主车辆和乘坐自主车辆的乘客的安全性和安全的技术。本文公开的技术可以帮助解决由例如用户设备被盗、车辆被黑客入侵、车辆由恶意人员拥有或操作等引起的安全性和安全问题。根据一些实施例，相互认证技术不仅用于认证请求了自主车辆的乘客，而且还验证该特定车辆是该乘客请求的车辆。本文描述了各种发明性实施例，包括设备、系统、方法、非暂时性计算机可读存储介质、其存储程序、代码或可由一个或以上处理器执行的指令等。

根据一些实施例，可以使用利用乘客生物识别信息的相互认证技术，而不是仅仅依靠机器生成的安全代码、密码或令牌，来认证自主车辆和乘客。在一个实施例中，一种方法可以包括：基于乘客的生物识别信息和密钥，由与该乘客相关联的用户设备生成密钥和乘客隐私；以及由该用户设备向运输服务平台发送运输服务请求和乘客隐私。该方法还可以包括：响应于运输服务请求，通过运输服务平台确定自主车辆和用于自主车辆的车辆访问令牌(VAT)，并通过运输服务平台将车辆访问令牌的第一副本发送到用户设备，并将通过运输服务平台将车辆访问令牌的第二副本发送到自主车辆。该方法可以进一步包括：通过用户设备从自主车辆读取车辆访问令牌的第二副本，用户设备基于从自主车辆读取的车辆访问令牌的第二副本与从运输服务平台发送给用户设备的车辆访问令牌的第一副本匹配的判定，通过用户设备将密钥发送到自主车辆。该方法还可以包括：通过自主车辆使用密钥从乘客隐私中恢复乘客的生物识别信息，并通过自主车辆捕获用户设备的用户的生物识别信息；并基于所恢复的乘客的生物识别信息与所捕获的用户的生物识别信息之间的匹配来解锁自主车辆。

在一些实施例中，运输服务平台可以包括操作服务器和安全服务器。确定自主车辆和车辆访问令牌可包括通过操作服务器从至少两个自主车辆中选择自主车辆，由操作服务器向安全服务器发送包括自主车辆的标识和乘客隐私的调度请求，并通过安全服务器确定自主车辆的车辆访问令牌。

在一些实施例中，该方法可以进一步包括：通过运输服务平台确定车辆访问令牌的有效期，以及通过运输服务平台向用户设备车辆访问令牌的有效期。在一些实施例中，由用户设备从自主车辆读取车辆访问令牌的第二副本可以包括仅在有效期到期之前从自主车辆读取车辆访问令牌的第二副本。

根据一些实施例，一种方法可以包括通过运输服务平台接收乘客隐私和对运输服务的请求，其中，乘客隐私可以包括使用由用户设备生成的密钥加密的乘客生物识别信息。该方法还可以包括：基于请求，通过运输服务平台选择用于提供所请求的运输服务的车辆，确定所选择的车辆的车辆访问令牌(VAT)，将车辆访问令牌的第一副本发送到用户设备，并将乘客隐私和车辆访问令牌的第二副本发送到所选车辆。车辆访问令牌的第一副本和车辆访问令牌的第二副本之间的匹配可以表示具有车辆访问令牌的第二副本的车辆是所选车辆。在解锁提供所请求的运输服务的选定车辆的门之前，可以使用乘客隐私基于用户的生物识别信息对用户设备的用户进行身份验证。在一些实施例中，该方法还可包括确定车辆访问令牌的有效期，并将车辆访问令牌的有效期发送到用户设备，其中有效期到期后，车辆访问令牌的第一副本与车辆访问令牌的第二副本之间的匹配可以无效。

在一些实施例中，运输服务平台可能包括操作服务器和安全服务器，其中选择车辆并确定车辆访问令牌包括：通过操作服务器从至少两个车辆中选择所选车辆，由操作服务器将包括所选车辆的标识和乘客隐私的调度请求发送到安全服务器，并且通过安全服务器确定所选车辆的车辆访问令牌。在一些实施例中，将车辆访问令牌的第一副本发送到用户设备可以包括：通过安全服务器将车辆访问令牌的第一副本发送到操作服务器，并通过操作服务器将车辆访问令牌的第一副本发送到用户设备。

在一些实施例中，乘客生物识别信息可以包括指纹、虹膜图案、语音频谱或面部特征中的至少一种。在一些实施例中，该方法还可以包括通过运输服务平台存储乘客隐私，其中乘客隐私可以具有有效期，在此之后该乘客隐私无效。在一些实施例中，该方法可以包括在有效期到期后将车辆访问令牌设置为无效车辆访问令牌。

根据一些实施例，一种方法可以包括：通过用户设备上的传感器捕获与用户设备相关的乘客的乘客生物识别信息，通过用户设备生成密钥，通过使用密钥对乘客的生物识别信息进行加密来生成乘客隐私，向运输服务平台发送运输服务请求和乘客隐私，从运输服务平台接收第一车辆访问令牌(VAT)，从车辆读取第二车辆访问令牌，然后比较第一车辆访问令牌和第二车辆访问令牌，所述第一车辆访问令牌与所述第二车辆访问令牌匹配的判定，所述用户设备向所述车辆发送用于解密所述乘客隐私的密钥并基于所述乘客生物识别信息对所述乘客进行认证。

在一些实施例中，该方法可以进一步包括从运输服务平台接收第一车辆访问令牌的有效期，其中比较第一车辆访问令牌和第二车辆访问令牌可以仅包括：在有效期到期之前，比较第一车辆访问令牌和第二车辆访问令牌。在一些实施例中，该方法可以进一步包括确定有效期已到期，以及发送更新第一车辆访问令牌的请求或新车辆访问令牌的请求。在一些实施例中，密钥或乘客隐私可以具有各自的有效期。在一些实施例中，乘客生物识别信息包括指纹、虹膜图案、语音频谱或面部特征中的至少一种。在一些实施例中，从车辆读取第二车辆访问令牌可能包括使用近场通信接收器、蓝牙接收器、WiFi接收器、WiMax接收器或ZigBee接收器读取第二车辆访问令牌。

根据一些实施例，一种方法可以包括：通过车辆接收乘客隐私和车辆访问令牌，其中所述乘客隐私可以包括乘客的乘客生物识别信息，并且可以使用由与乘客相关联的用户设备生成的密钥对乘客隐私中的生物识别信息进行加密。该方法还可包括：通过车辆向用户设备提供车辆访问令牌；在用户设备使用车辆访问令牌验证车辆后，通过车辆从用户设备接收密钥；通过车辆使用密钥从乘客隐私中恢复乘客生物识别信息，通过车辆捕获用户设备的用户的现场生物识别信息，并基于所恢复的乘客生物识别信息与捕获的用户的现场生物识别信息之间的匹配，通过车辆解锁车门。

在一些实施例中，乘客生物识别信息可以包括指纹、虹膜图案、语音频谱或面部特征中的至少一种。在一些实施例中，该车辆可以是自主车辆。在一些实施例中，向用户设备提供密钥可以包括使用近场通信接收器、蓝牙接收器、WiFi接收器、WiMax接收器或ZigBee接收器向用户设备提供密钥。在一些实施例中，车辆访问令牌、乘客隐私或密钥中的至少一个可以具有有效期。

本文公开的技术相对于现有技术可以提供各种改进和优点。例如，车辆可能会从不同的来源(例如，分别使用安全服务器和用户设备)获得乘客的隐私和密码，并且如果乘客个人和密钥中的任何一个不正确，则可能无法对乘客进行身份验证。因此，如果冒名顶替者在乘客隐私和密钥任何一个到期之前未能获得正确的乘客隐私和密钥，则该冒名顶替者将不会被认证。此外，通过使用乘客的生物识别信息，而不是仅仅依靠可能具有正确乘客隐私和密钥的用户设备(例如，智能手机，该智能手机可能被用户设备所有者以外的其他人窃取、发现和/或入侵)，来验证请求自主车辆的乘客，乘客和乘客使用的用户设备都可以进行身份验证，以更好地保护车辆免受冒名顶替者的侵害。另外，用户还可以验证车辆确实是所请求的车辆或来自期望的服务提供者的车辆，而不是可能已经被盗、被黑客入侵、被劫持或以其他方式被破坏(例如被修改)的车辆。因此，该技术还可以减少由例如车辆受到攻击或车辆由恶意人员拥有或操作等所引起的安全性和安全问题，从而改善乘客的安全性和体验。

已经采用的术语和表达用作描述性术语，而不是限制性的，并且不打算使用这些术语和表达排除所示出和描述的特征或其部分的任何等同形式。然而，已经认识到，在所要求保护的系统和方法的范围内可以进行各种修改。因此，应该理解，尽管已经通过实施例和可选特征具体公开了本系统和方法，但是本领域普通技术人员应该认识到本文所公开概念的修改和变化，并且这种修改和变型被认为在所附权利要求所限定的系统和方法的范围内。

本概述既不旨在标识所要求保护的主题的关键或必要特征，也不旨在单独用于确定所要求保护的主题的范围。应当通过参考本申请的整个说明书，任何或所有附图以及每个权利要求的适当部分来理解本主题。

前述以及其他特征和实施例将在下面的说明书、权利要求书和附图中更详细地描述。

附图说明

通过参考附图描述实施例，各种实施例的方面和特征将变得更加显而易见，其中在整个附图中，相同的附图标记指代相同的组件或部件。

图1A示出了用于提供运输服务的环境的示例。

图1B示出了用于使用自主车辆提供运输服务的环境的示例。

图2示出了根据一些实施例的用于自主车辆的风险减轻系统的示例。

图3示出了根据一些实施例的用于操作自主车辆的安全和安全性平台的示例。

图4是根据一些实施例所示的用于实施本文公开的一些技术的车辆电子系统的示例的简化框图。

图5是根据一些实施例所示的用于认证自主车辆和乘客的系统和方法的示例的简化图。

图6是根据一些实施例所示的用于对自主车辆和乘客进行相互认证的方法的示例的简化流程图。

图7是根据一些实施例所示的使用自主车辆来提供安全和有保障的运输服务的系统的示例中的各种功能设备和组件的简化框图。

图8是根据一些实施例所示的用于对自主车辆和乘客进行相互认证的方法的示例的简化流程图。

图9是根据一些实施例的用于实现本文公开的一些技术的用户设备的示例的简化框图。

图10是根据一些实施例的用于实现本文公开的一些技术的计算机系统的示例的简化框图。

具体实施方式

本文公开的技术通常涉及自主车辆，并且更具体地，涉及用于改善自主车辆和乘坐自主车辆的乘客的安全性和安全的技术。在由自主车辆提供的运输服务中，通常没有驾驶员来验证乘坐该车辆的乘客是否确实是请求该服务的乘客。因此，为了保护车辆免于未经授权的人员进入，需要使用另一种技术来在准予进入之前对乘客进行身份验证。另外，为了乘客安全和/或隐私，可能还需要对自主车辆进行身份验证，以确保该车辆是真正被请求和调度的车辆，并确保该车辆的完整性。

根据一些实施例，一种利用乘客生物识别信息和与乘客相关联的移动设备的组合(而不仅仅是依靠移动设备生成、发送或接收的安全代码、密码或令牌)的相互认证技术被用于认证自主车辆和乘客。在一个实施例中，乘客的生物识别信息(例如指纹、视网膜和虹膜图案或语音波谱)可以由与该乘客相关联的用户设备生成的密钥来捕获和编码(或加密)，以生成乘客隐私。用户设备可以向运输服务平台的操作服务器发送乘客隐私和运输服务请求。操作服务器可以基于请求，例如基于乘客的位置和目的地地址，选择用于提供服务的自主车辆。然后，操作服务器可以将所选车辆的标识、有关所请求服务的信息(例如，源位置、目的地位置、服务时间等)、乘客隐私以及调度请求中的其他信息发送到运输服务平台的安全服务器。响应于调度请求安全服务器可以生成车辆访问令牌(VAT)和车辆访问令牌的有效期，并将车辆访问令牌和有效期发送回操作服务器。操作服务器可以将车辆访问令牌和有效期发送到用户设备，作为对运输服务请求的响应。安全服务器还可以基于所选车辆的标识向车辆提供乘客隐私、请求的服务(例如，源位置、目的地位置、服务时间等)、车辆访问令牌以及有效期。

所选车辆可以在一定时间段内(例如，在车辆访问令牌的有效期内)到达源位置。用户设备可以使用NFC或其他通信技术从自主车辆读取车辆访问令牌。然后，用户设备可以比较从自主车辆读取的车辆访问令牌和从操作服务器接收的车辆访问令牌。如果两个车辆访问令牌匹配，则用户设备可以确定自主车辆是由操作服务器或安全服务器调度的车辆。在对自主车辆进行认证之后，用户设备可以发送其生成的用于加密乘客生物识别信息的密钥。然后，自主车辆可以在现场收集乘客的生物识别信息，使用乘客密钥解密乘客隐私以生成预期的乘客生物识别信息，并将收集的乘客生物识别信息与预期乘客生物识别信息进行比较，以确定请求上车的人是否是请求运输服务的乘客。如果乘客通过了认证，则自主车辆可以解锁车门，并为乘客提供进入车辆内部的通道。

在一些实施例中，可以将乘客隐私保存在用户设备和/或安全服务器上。由于乘客隐私是加密的结果，而乘客密钥位于用户设备中，即使乘客隐私被泄露，冒名顶替者不可以使用它来访问车辆，因为密钥位于用户设备中(因此其他设备不可能有正确的密钥)，并且现场收集了乘客生物识别信息以验证乘客(因此，即使用户设备丢失或被盗或密钥泄漏，冒名顶替者的生物识别信息也不能与实际请求者的解密的乘客生物识别信息匹配)。

在一些实施例中，密钥、乘客隐私和车辆访问令牌中的任何一个都可以具有有效期，并且在有效期到期之后可以变得无效。在一些实施例中，如果交易完成时间过长(例如，通勤时间长于预计时间)，则可以更新或重新生成车辆访问令牌和乘客隐私(或密钥)。在一些实施例中，相互认证完成后，密钥、乘客隐私、车辆访问令牌和乘客的生物识别信息中的任何一项都可以立即失效，或者可以从用户设备、自主车辆、操作服务器或安全服务器中删除。

因此，本文公开的技术可以使用多种安全措施来认证自主车辆，用户设备以及请求访问自主车辆内部的乘客，从而提高自动驾驶车辆和乘客的安全性和安全。例如，车辆可以从不同的来源(例如分别从安全服务器和用户设备)获得乘客隐私和密钥，并且如果乘客个人和密钥中的任何一个不正确，则可能无法对乘客进行认证。因此，如果冒名顶替者在乘客隐私和对应密钥其中任何一个到期之前都不能获得正确的乘客隐私和对应密钥，则该冒名顶替者将不会被认证。另外，通过使用乘客的生物识别信息，而不仅依靠具有正确的乘客隐私和密钥的用户设备(例如，智能手机，该智能手机可能被用户设备所有者以外的其他人窃取或找到)来认证请求自主车辆的乘客，可以更好地保护车辆免受冒名顶替者的侵害。换句话说，乘客认证可以包括对乘客使用的用户设备和乘客两者进行认证。此外，用户还可以验证车辆确实是所请求的车辆或来自期望的服务提供者的车辆，而不是可能已经被盗、被黑客入侵、被劫持或以其他方式受到破坏(例如，被修改)的车辆。因此，该技术还可以减少由于例如车辆受到攻击或车辆由恶意人员拥有或操作等所引起的安全性和安全问题，从而提高了乘客的安全性和体验度。

在一些实施例中，本文公开的技术可以用于认证除自主车辆以外的车辆和/或用于认证可以不是自主车辆的车辆的乘客。例如，当用户正在例如没有服务人员在场的情况下从汽车租赁服务提供者处选择无人看管的车辆(或对象)时，该技术可用于验证用户和/或车辆(或其他对象，例如包裹)。

在下面的描述中，出于解释的目的，设置了特定细节，以便提供对本申请的实施例的透彻理解。显而易见的是，可以在没有这些具体细节的情况下实践各种实施例。随后的描述仅提供实施例，并且无意于限制本申请的范围、适用性或配置。相反，随后的实施例描述将向本领域普通技术人员提供用于实现实施例的可行描述。应当理解，在不脱离所附权利要求书中所提出的本申请的精神和范围的情况下，可以对元件的功能和布置进行各种改变。附图和描述并不具有限制性。电路、系统、网络、过程和其他组件可以以框图形式示出为组件，以免在不必要的细节上模糊实施例。在其他情况下，可以在没有不必要的细节的情况下示出公知的电路、过程、算法、结构和技术，以免混淆实施例。本文公开的教导还可以应用于各种类型的应用，例如移动应用、非移动应用、桌面应用、网络应用、企业应用等。此外，本申请的教导不限于特定的操作环境(例如，操作系统、设备、平台等)，而可以是多个不同的操作环境。

此外，实施例可以通过硬件、软件、固件、中间件、微代码、硬件描述语言或其任意组合来实现。当以软件，固件，中间件或微代码实现时，执行必要任务(例如，计算机程序产品)的程序或代码段可以存储在机器可读介质中。处理器可以执行必要的任务。

此外，应注意的是，各个实施例可以被描述为被描绘为流程图、流程图、数据流程图、结构图或框图的过程。尽管流程图可以将操作描述为顺序过程，但是许多操作可以并行或同时执行。另外，可以重新安排操作顺序。流程在其操作完成时终止，但是可能具有图中未包括的其他步骤。进程可能与方法、函数、过程、子例程、子程序等相对应。当进程与函数相对应时，其终止可能与函数返回至调用函数或主函数相对应。

在一些附图中描绘的系统可以以各种配置来提供。在一些实施例中，系统可以被配置为分布式系统，其中系统的一个或以上组件被分布在云计算系统中的一个或以上网络上。

如果将组件描述为“被配置为”执行某些操作，则可以完成此类配置，例如，通过设计电子电路或其他硬件来执行该操作，通过对电子电路(例如微处理器或其他合适的电子电路)进行编程或控制以执行该操作，或其任何组合。

词语“示例”或“示例性”在本文中用来表示“用作示例、实例或说明”。本文中被描述为“示例性”或“示例”的任何实施例或设计不必被解释为比其他实施例或设计更优选或有利。

人们可以需要运输服务在本地或世界各地旅行。运输服务或移动服务可以由共享经济中的运输服务提供者，例如组织(例如，出租车公司)或个人驾驶员提供。例如，乘客可以使用移动设备(例如，智能电话)上的应用来通过运输服务平台请求运输服务。然后可以基于例如乘客请求以及驾驶员的可用性和位置，调度与运输服务平台相关联的驾驶员以提供所请求的服务。

图1A示出了用于提供运输服务的环境的示例。如图所示，运输服务平台110可以通过诸如智能电话的移动通信设备来提供乘客和驾驶员之间的连接。乘客和驾驶员可以在运输服务平台注册为乘客、服务提供者(例如，驾驶员)或两者。乘客使用的用户设备120可以安装应用程序，或者可以使用浏览器通过运输服务平台110请求运输服务。可以调度在合理的时间内可用和/或在乘客附近的驾驶员，以提供所请求的服务。乘客可以收到有关车辆和/或驾驶员调度的确认信息。当车辆130到达时，乘客和驾驶员可以面对面彼此通信以确保乘客和驾驶员(或车辆)是正确的，然后乘客可以乘坐车辆。

可以在没有人类驾驶员的情况下自动操作和行驶的自主车辆已经开始开发。自主车辆的功能可能有助于降低运输成本(例如，因为没有使用人类驾驶员)，提高了运输安全性(例如，由于在酒精或毒品的影响下的驾驶员或鲁莽的驾驶员减少)，减少所需的汽车数量(例如，因为可能闲置的汽车更少)，减少拥堵(例如，减少道路事故和/或减少道路上的汽车)，并减少所需的停车位，因为自主车辆可以不需要停留在任何目的地。

图1B示出了用于使用自主车辆提供运输服务的环境的示例。类似于图1A中描述的用于提供运输服务的环境，运输服务平台或自主车队运营商150可以通过无线通信设备，例如智能电话或自主车辆中的通信子系统，提供乘客与自主车辆之间的连接。例如，乘客180使用的用户设备160可以安装应用程序，或者可以使用浏览器来通过运输服务平台或自主车队运营商150请求运输服务。在合理的时间内可用和/或在乘客附近的自主车辆可以被调度，以提供所请求的服务。乘客可以收到关于自主车辆的确认信息。当自主车辆170到达时，它可以从用户设备接收信息以验证该用户设备是请求中标识的设备还是用于请求的设备，然后可以解锁门以授予用户对自主车辆内部的访问权限。由于自主车辆上没有驾驶员，因此无法进行亲自交流以确保乘客和车辆是正确的。

使用自主车辆来进行自动驾驶和提供运输服务可能会面临许多挑战，例如，网络安全问题、车辆安全问题、乘客安全问题、无人看管的自主车辆受到攻击或损坏、在车辆以前可能没有经历过的情况下做出反应的能力，因此可能不知道如何使用基于机器学习的决策技术做出反应。这些挑战通常在现有技术中单独解决。

图2示出了根据一些实施例的用于自主车辆的风险缓解系统200的示例。风险缓解系统200可用于缓解自主车队210的各种风险因素或状况，例如，(1)网络安全威胁与安全威胁之间的相互作用可能导致属于乘客的敏感数据的暴露以及对旅客造成人身伤害，例如伤害或死亡；(2)引入可做出“黑匣子”决定的机器学习技术和人工智能还不完善，并可能导致致命后果；(3)自主车队的故障不仅可能严重损害车辆中的乘客和货物，还会损害车辆周围的财产。风险缓解系统200可用于预测、检测和缓解这些威胁条件，以确保共享的自主车队生态系统中人员、财产和环境的安全性和安全。风险缓解系统200可以允许在任何阶段结合不同的技术和解决方案。

如图所示，各种信息源，例如众包报告222、智能城市传感器结果224、自然事件226、公共事件228、威胁情报232和安全漏洞信息234等，可以提供给风险识别引擎220以识别各种风险状况。在许多情况下，自主车辆还可以配备有检测各种风险状况或需要远程协助的状况的机制，例如轮胎漏气或困在车辆未知的路标上。众包报告222可以包括现场有人看到的安全性和安全影响事件，包括自主车辆。智能城市传感器结果224可以包括通过地方当局从作为智能城市基础设施的一部分的固定或移动传感器和检测器获得的所有信息。自然事件226可以包括危险的天气情况，例如雪、冰雹、洪水等。公共事件228可以包括计划的公共事件(例如庆祝活动)或不可预测的公共事件(例如交通事故)，这可能会影响交通拥堵和安全。威胁情报232可以包括与犯罪、恐怖或其他敌对行动有关的任何情报数据，这些数据可能会影响自主车队的安全性和安全。安全漏洞信息234可以包括对服务器、个人设备或任何可能损害自动驾驶完整性并引起安全、隐私或安全问题的数据库的安全漏洞的报告。应当注意，可以存在其他信息源，并且可以使用各种传感器设备和技术来收集或测量各种信息源。这些传感器设备可以分布在不同的物理位置之间，并且可以是移动的或固定的。它们的测量结果可以通过网络共享。

基于这些信息源，风险识别引擎220可以检测、提取、识别或关联信息以确定风险状况。可以基于信息源来提取或确定关于风险的类型、严重性、物理位置和时间信息等的附加信息。风险识别引擎220收集和生成的信息可以发送到风险缓解策略引擎240。

风险缓解策略引擎240可以使用风险识别引擎220提供的数据来确定要采取的缓解措施以及可用于缓解风险的可用缓解资源260。例如，在某些情况下，风险缓解策略引擎240可以确定需要远程干预操作250来缓解所识别的风险。远程干预操作250然后可以实施由风险缓解策略引擎240确定的缓解措施来解决风险情况。可以使用自主车队210中的自主车辆中的多个远程资源或本地资源来执行远程干预操作250。

缓解评估系统230可以从自主车队210和环境中收集信息，以评估由远程干预操作250执行的缓解行动的有效性。缓解评估系统230可以确定是否仍然存在任何风险，并将相应的风险信息发送到风险识别引擎220和/或风险缓解策略引擎240，以确定是否可以采取任何其他措施来进一步缓解风险。例如，缓解评估系统230可以确定缓解效果、缓解风险状况的时间等。

可以基于要执行的特定操作，在不同的计算平台上，在不同的位置(例如，在数据中心或云中)执行上述功能和操作。例如，风险识别引擎220可以位于自主车辆中、集中式服务器中，也可以分布在自主车辆和/或远程服务器中。

在一些实施例中，风险状况可以由一组属性或向量(例如，特征向量)来表征或表示，以促进风险缓解和定量管理。风险缓解可以继续改善并且继续缓解自主车队210的风险状况。在一些实施例中，诸如缓解效果、缓解风险状况的平均时间、缓解率等统计信息可以由诸如缓解评估系统230和/或风险识别引擎220之类的风险缓解系统200来确定。

图3示出了根据一些实施例来操作自主车辆的安全和安全性平台300的示例。安全性和安全平台300可以是风险缓解系统200的至少某些操作的特定实现。安全性和安全平台300可以管理包括车队302在内的车队的安全性和安全。安全性和安全平台300可以收集车队302的各种操作数据，以及与车队所在的环境有关的其他来源的环境数据。安全性和安全平台300可以处理数据以检测和响应事件/异常，并确定相应的风险方案。然后，安全性和安全平台300可以根据风险情景确定一个或以上控制操作。安全性和安全平台300还可以考虑其他信息(例如管理策略、预配置的安全操作、访问控制规则等)来制定控制操作。然后安全性和安全平台300可以向车队302发送指令执行控制操作以缓解风险。车队302可以包括在不同操作环境中操作并提供不同服务的各种类型的车辆。例如，车队302可以包括提供私人交通、公共交通、乘车共享的车辆等。车队302可以包括自动驾驶(AD)车辆、手动驾驶车辆等。

安全性和安全平台300还可包括安全数据收集接口304，以从车队302收集各种操作数据。操作数据可以包括例如位置数据、速度数据、传感器数据(例如，来自车门传感器、引擎盖传感器、轮胎压力传感器等的传感器数据)，来自车辆的各种电子部件的状态数据等。为了保护隐私并避免操作数据被窃取，安全数据收集接口304可以与车队的每个车辆建立安全的无线通道，并通过安全的无线通道实时接收来自车辆的操作数据。安全性和安全平台300进一步包括信任度感知模块306，该模块可以提供凭据信息(例如，公钥证书等)以与车队302进行相互认证，以对安全性和安全平台300进行认证，并与安全数据收集接口304建立安全的无线通道。信任度感知模块306还可以对实时操作数据执行某些后处理操作，例如识别提供传感器数据的车辆和传感器，从实时操作数据中提取时间信息等，并将经过处理的实时操作数据提供给实时感知模块308。定位系统310还可以处理来自安全数据收集接口304的位置和速度数据，以生成和/或更新车队302的每个车辆的位置信息。如下所述，车辆的位置信息可以与车辆提供的实时操作数据的其他方面相关以检测安全和/或安全性风险。

除了来自车队302的实时操作数据(由信任度感知模块306提供)外，实时感知模块308还可以获得与车队在其中进行操作的环境有关的实时环境数据。如图3所示，实时环境数据可以从移动设备312和其他感知资源314中获得。实时环境数据可以包括例如由移动设备312提供的报告，该报告可以由车队302的乘客、其他道路用户、行人、维修服务人员等操作。该报告可以包括例如交通状况报告、道路状况报告(例如，道路是否封闭或不适合驾驶)等。移动设备312还可以发送访问请求以达到乘客、维修服务人员等对车队302的某些功能和资源的访问。另外，其他感知资源314可以包括固定和/或移动传感器，其被安装为城市基础设施的一部分，以提供环境感测数据，包括例如天气状况、交通状况等。实时感知模块308可以将实时环境数据(例如，来自移动设备312的报告、来自其他感知资源314的环境感测数据等)以及实时操作数据(从信任度感知模块306)提供给异常/事件检测与响应模块316，也可能被配置为从定位系统310接收车队302的位置信息。在一些实施例中，实时感知模块308可以被配置为接收实时数据、实时环境数据以及实时操作数据(包括位置信息)以检测安全性和/或安全风险。

除了实时环境数据和实时操作数据之外，异常/事件检测与响应模块316还可以从其他来源接收附加信息/数据以执行安全和/或安全性风险检测，并提供响应。例如，异常/事件检测与响应模块316可以在不同位置和时间从事件警报模块328接收有关某些公共事件(可以预先计划、或基于实时报告，例如危险天气情况、交通事故等)的警报/报告，并提供响应。异常/事件检测与响应模块316还可以监视网络活动并检测潜在的网络安全攻击。异常/事件检测与响应模块316还可以从威胁情报源320接收在不同位置和时间的潜在安全威胁的警告，例如潜在的犯罪、恐怖或其他敌对行动。另外，生态系统状况322还可以提供例如其他厂商运营的其他车队的环境和运营数据。异常/事件检测与响应模块316可以集成所有这些数据，以执行安全和/或安全风险检测。

异常/事件检测与响应模块316可以包含逻辑，以分析实时环境数据和实时操作数据(来自实时感知模块308)、车队302的位置信息(来自定位系统310)、公共事件警报/报告(来自事件警报模块328)、潜在安全威胁的警告(来自威胁情报源)和生态系统数据(来自生态系统状况322)，并确定潜在的安全和/或安全风险。该分析可以基于例如将操作数据与车队302的时间和位置信息相关联、检测操作模式等，同时考虑关于已知事件和威胁的警告和警报。异常/事件检测与响应模块316还可以生成风险评估，包括例如安全和/或安全性风险的标识、风险的时间和位置、风险的严重程度等，并将分析结果发送到控制操作调度模块318。

作为说明性实施例，实时感知模块308可以从车队302的车辆接收传感器数据。传感器数据可以由容纳车辆的电子控制单元(ECU)的车厢处的传感器产生。异常/事件检测与响应模块316可以从实时感知模块308接收传感器数据，并确定是否有当前(或在某个预定时间)进入车厢的尝试。异常/事件检测与响应模块316可以确定这样的事件是否表示潜在的安全或安全风险。为了做出确定，异常/事件检测与响应模块316可以从其他来源(例如定位系统310、威胁情报来源320等)获取其他数据，以及尝试访问车队302的用户提供的登录数据和访问请求，并将其他数据与事件相关联。例如，异常/事件检测与响应模块316可以基于来自定位系统310的车辆的位置信息来确定车辆是否处于车门不期望打开的位置。如果位置信息表示在检测到访问车厢门的尝试时，车辆正在修理厂、车主处等，并且接收到了对车厢的临时进入请求，异常/事件检测与响应模块316可以确定尝试的进入不构成安全风险，并且可以准许进入车厢。又例如，如果威胁情报源320提供的信息与定位系统310的位置信息一起表示车辆位于盗窃猖獗的区域，并且检测到没有访问车厢权限的用户的访问尝试，异常/事件检测与响应模块316可以确定尝试的访问带来了更高的安全风险，并且可以提供适当的响应(例如，通过禁用对车厢的访问，通过向执法机构发出警报等)。

控制操作调度模块318可以从异常/事件检测与响应模块316接收车辆的风险评估(例如，所识别的风险、风险的严重性等)，并根据风险评估确定要在车辆上执行的操作以缓解安全性/安全风险。确定可以基于将一组规则应用于所识别的风险和风险的严重性，并且规则可以来自各种来源。例如，如图3所示，控制操作调度模块318可以接收在风险管理策略存储器326和运输资产管理策略存储器332中定义的规则，并应用该规则来确定动作。再次参考上面的车厢访问实施例，运输资产管理策略存储器332可以提供指定车辆的车厢存储关键电子组件的规则，并且在准许访问车厢之前需要授权。风险管理策略存储器326可以定义一组操作以确定是否授权访问车厢(例如，从请求者请求凭证信息)。例如，在访问车厢的请求者是车队302的注册用户(例如，驾驶员、乘客等)的情况下，控制操作调度模块318可以与身份管理和访问控制模块334一起操作以认证请求者的身份，并确定请求者相对于车厢的访问权。在异常/事件检测与响应模块316确定风险严重性高的情况下，控制操作调度模块318可以基于存储在安全操作存储器336中的定义来执行安全操作以缓解安全风险。例如，威胁情报源320可以表示整个车队302很有可能受到网络攻击。安全操作存储器336可以定义，当网络攻击的风险很高时，控制操作调度模块318应禁止车队中每辆车的乘客访问互联网(同时保持车辆与安全性和安全平台300之间的网络连接)。然后，控制操作调度模块318可以配置(或向其发送指令到)车队302以禁止乘客访问互联网。

图4是根据一些实施例所示的用于实现本文公开的一些技术的车辆电子系统400的示例的简化框图。车辆电子系统400可以是图3的安全性和安全平台300的一部分。车辆电子系统400也可以是自动驾驶(AD)车辆的一部分，并且可以包括各种电子组件包括例如AD控制器402、信息娱乐系统404、外部传感器406、内部传感器408、至少两个电子控制单元(ECU)410、至少两个致动器412和无线接口414。电子组件耦合到网络416。通过网络416，电子组件可以彼此通信。在一些实施例中，网络416可以包括CAN总线。在一些实施例中，某些组件也可以直接连接，而不是通过网络416连接。例如，外部传感器406、内部传感器408和致动器412可以直接连接到AD控制器402，使得即使在网络416不工作时，AD控制器402也可以检测和控制对车辆的未授权访问。

AD控制器402可以包括用于支持与自动驾驶有关的各种操作的组件，包括例如导航和控制、安全和保护等。在一些实施例中，AD控制器402的模块和子系统可以以在通用计算机上执行的软件指令的形式实现。在一些实施例中，AD控制器402的模块和子系统可以在诸如专用集成电路(ASIC)、现场可编程门阵列(FPGA)、片上系统(SoC)等集成电路(IC)上实现。在一些实施例中，AD控制器402可以包括AD导航子系统420和AD安全子系统422。AD导航子系统420可以从外部传感器406获得传感器数据，该外部传感器406可以包括例如LiDAR数据、RADAR数据、相机图像数据等，基于传感器数据执行导航操作，并控制车辆的速度和转向以将车辆带到目的地。如图4所示，AD导航子系统420可以包括感知模块432、定位模块434和规划模块436。感知模块432可以分析来自外部传感器406的传感器数据以生成关于车辆在操作时所处的环境的感知数据以确定车辆的位置。例如，感知模块432可以分析LiDAR和RADAR数据以确定例如障碍物(例如，地标、建筑物等)与车辆之间的距离。感知模块432还可以分析来自相机的图像数据以提取例如地标、建筑物等的图像。定位模块434可从感知模块432获得感知数据，并确定例如车辆的行驶方向、车辆的位置等。例如，本地化模块434可以存储场所内的地标的一组位置。定位模块434可以基于从图像数据识别出的界标以及基于LiDAR和/或RADAR数据到识别出的界标的距离，来确定车辆在场所内的当前位置。规划模块436可以基于车辆的当前位置和车辆的目的地来确定车辆的一个或以上控制决定(例如，车辆的行驶方向、车辆的速度等)。规划模块436可以基于控制决策经由网络416将控制信号传输至电子控制单元410以控制车辆的转向角、车辆的发动机的节气门(以控制其速度)等。规划模块436还可以将控制决策发送到信息娱乐系统404以进行输出。例如，信息娱乐系统404可以向乘客提供导航输出(例如，音频和/或视频反馈)，以使他们知道车辆的位置以及车辆的前进方向。

另外，AD安全子系统422可以通过调节对车辆的各种特征和功能的访问和通过执行使安全性和安全威胁最小化的操作来为车辆提供安全和保护。如图4所示，AD安全子系统422可以包括访问控制模块(ACM)442、监测模块444、威胁缓解模块446和空中(OTA)更新模块448。ACM442可以控制对车辆各种软件和硬件组件的访问。例如，ACM 442可以调节对客舱、车厢等的访问，以调节对车辆的物理访问。ACM 442还可以调节对车辆其他电子组件(包括信息娱乐系统404)提供的软件特征和功能的访问。例如，信息娱乐系统404可以提供对某些内容(例如，娱乐、新闻、导航信息等)的访问，并且对那些内容的访问可以被限制为某些特权用户/乘客。访问限制可以由ACM 442强制执行。如将在下面更详细地描述的，ACM 442可以与访问的请求者和/或与远程可信平台(例如，管理服务器)通信，以认证请求者并确定请求者的访问权限。

另外，监测模块444可以基于以下信息监测车辆的运行状况：例如，获得来自外部传感器406(例如，LiDAR、RADAR、相机等)传感器数据、来自内部传感器408(例如，引擎盖传感器、门传感器、速度传感器、光传感器等)的传感器数据、用户对车辆电子部件的输入(例如信息娱乐系统404、ACM 442)等。威胁缓解模块446可以从操作状况中检测安全性和/或安全风险，并执行一个或以上操作以减轻安全性和/或安全风险。例如，威胁缓解模块446可以基于速度传感器数据和LiDAR数据，确定车辆与当前轨迹上的障碍物发生碰撞的风险很高，并且可以控制ECU 410自动在车辆上施加刹车。又例如，威胁缓解模块446可以基于ACM 442和乘客舱门传感器数据来确定检测到打开舱门的尝试，并且试图打开舱门的人未被授权访问舱室。在这种情况下，威胁缓解模块446可以控制致动器412以例如锁定舱门。OTA更新模块448可以从远程服务器(例如，管理服务服务器)接收更新信息，以更新例如用于安全性/安全威胁检测的规则和模式。

另外，车辆电子系统400可以包括无线接口414，以执行远程和短距离通信以支持安全和/或安全性管理操作。例如，无线接口414可以包括远程通信接口，例如蜂窝调制解调器，以将操作数据(例如，由监测模块444收集)传输到远程管理服务器，并从远程管理服务器接收指令以启用或禁用对车辆各个组件的访问。又例如，无线接口414可以包括短距离通信接口，例如蓝牙、近场通信(NFC)等，以接收来自移动设备的访问请求，以访问车辆的软件和/或硬件组件(例如，车厢、信息娱乐系统404等)，并将访问请求和凭据信息转发给ACM442。

操作自主车队的主要挑战是人员、车辆和其他财产的安全性。例如，当没有驾驶员参与时，自主车辆可对乘客进行认证。在某些解决方案中，可以在制造过程中为每个自主车辆分配车辆证书，然后可以将其提供给所有者。在用户注册期间，可以为每个用户分配一个用户证书。然后，不同的实体可以使用证书相互验证。此方法可能要求安全存储车辆证书和用户证书。如果它们丢失、泄漏或被克隆，车辆可能被恶意用户访问。所有者、朋友、家庭成员等可能需要不同的访问方案，这可能会使整个过程更加复杂。另外，该方法可以在用户设备和车辆之间执行单向认证。换句话说，它只能认证用户设备。自主车辆或持有用户设备的人均未通过认证。这可能导致车辆和乘客的安全性和安全问题。例如，乘客可能会进入伪造的车辆，或者某个人可能使用被盗或丢失的用户设备来使用另一个人的身份访问车辆，并造成车辆损坏。

根据一种实施例，可以使用利用乘客生物识别信息的相互认证技术，而不是仅仅依靠机器生成的安全代码、密码或令牌，来认证自主车辆和乘客。相互认证技术可以帮助解决例如由用户设备被盗或丢失，车辆和用户设备被黑客入侵、车辆由恶意人员拥有或操作等引起的安全性和安全问题。

图5是根据一些实施例所示的用于认证自主车辆和乘客的系统和方法的示例的简化图500。自主车队所有者或服务提供者可以维护运输服务平台，例如上述控制操作调度模块318。运输服务平台可以包括操作服务器510和安全服务器520，其中操作服务器510和安全服务器520可以位于同一集成系统中的相同物理位置，或者在大多数情况下，可以是在同一位置或不同位置的单独系统，它们之间具有安全连接，例如通过各种防火墙和安全代理使用安全有线链接或总线。操作服务器510可以管理用户请求并选择(或提供选项以供用户选择)用于提供所请求的运输服务的车辆。安全服务器520可以与用户设备一起，确保系统的安全性和安全，如以下详细描述。

自主车辆530可以包括以上参考图4所述的车辆电子系统。自主车辆530可以通过安全链路与安全服务器520和/或操作服务器510无线通信。自主车辆530还可以包括各种传感器(例如，激光雷达和相机)以收集有关环境、用户设备和乘客的信息。用户设备540可以包括各种传感器，例如相机、触摸传感器、RF传感器等，以收集各种乘客生物识别信息。用户设备540还可以执行应用以请求运输服务并与自主车辆530执行相互认证，如下文详细描述。

如图5所示，用户设备540可以收集乘客590的生物识别信息、例如指纹、虹膜图案、语音频谱、面部特征等。例如，用户设备540可以包括可以捕获乘客的指纹、眼睛或面部的高质量图像的相机。用户设备540还可以包括语音记录器，以记录乘客的话语，例如特定的句子。用户设备540还可以包括触摸传感器以捕获乘客的指纹。用户设备540可以收集乘客的这种生物识别信息的任何组合。

然后用户设备540可以生成密钥，并且使用密钥来加密乘客生物识别信息。加密的乘客生物识别信息可以被称为“乘客隐私”。用户设备540可以向操作服务器510发送乘客隐私和行程请求，该行程请求可以包括关于所请求的行程的信息，诸如源地址、目的地地址、期望时间帧等。在一些实施例中，用户设备540可以为密钥或乘客隐私设置有效期，并在乘坐请求中发送有效期。用户设备540可以使有效期到期之后的密钥或乘客隐私无效或删除。

操作服务器510可以基于乘坐请求，例如基于乘客的位置、目的地地址、自主车辆的可用性、自主车辆的当前位置等，来选择用于提供乘车的自主车辆。然后，操作服务器在调度请求中将所选车辆的标识、有关所请求服务的信息(例如，来源位置、目的地位置、服务时间等)、乘客隐私以及其他信息(例如乘客或密钥的终止时间)发送到安全服务器520。

安全服务器520可以生成车辆访问令牌(VAT)，在对调度请求的响应中确定车辆访问令牌的有效期，并将车辆访问令牌和有效期发回到操作服务器510。车辆访问令牌只能使用一次。安全服务器520还可基于所选车辆的标识将车辆访问令牌的乘客隐私、请求的服务(例如，来源位置、目的地位置、服务时间等)、车辆访问令牌和终止时间发送到自主车辆530。在一些实施例中，所选自主车辆530可以从安全商店下载此类信息。

操作服务器510可以将车辆访问令牌和车辆访问令牌的有效期发送到用户设备作为对乘坐请求的响应。该响应还可以包括对所选自主车辆的一些描述，例如所选自主车辆530的型号和品牌以及许可证编号。

所选择的自主车辆530可以在一定时间段内(例如，在车辆访问令牌和/或密钥或乘客隐私的有效期内)到达源位置。用户设备540可以使用例如NFC、RF读取器、WiFi、WiMax、蓝牙、ZigBee或其他通信技术从自主车辆530读取车辆访问令牌。然后用户设备540可以比较从自主车辆530读取的车辆访问令牌和从操作服务器510接收的车辆访问令牌。如果两个车辆访问令牌匹配，则用户设备540可以确定自主车辆530是由操作服务器510和/或安全服务器520调度的车辆。

在用户设备540认证了自主车辆530之后，用户设备540可以将其针对乘坐请求而生成的密钥发送给自主车辆530。然后，自主车辆530可以收集乘客的生物识别信息(例如，指纹、虹膜图案、语音频谱、面部特征等)，使用密钥解密乘客的隐私以生成预期的乘客生物识别信息，并将收集的乘客生物识别信息与预期乘客生物识别信息进行比较，以确定请求上车的人是否是请求运输服务的乘客。如果乘客通过了认证，自主车辆530可以打开车门并为乘客提供进入车辆内部的通道。

在一些实施例中，可以将乘客隐私保存在用户设备540和/或安全服务器520中。因为乘客密码是加密的结果，并且乘客密码是保存在每个用户设备中的。即使乘客隐私泄漏，由于密钥是在用户设备540中(因此其他设备不可能有密钥)，并且因为生物识别信息是在现场收集以验证乘客的，因此冒名顶替者不能使用它来访问车辆(因此，即使用户设备丢失或被盗或密钥泄漏，冒名顶替者的生物识别信息也不能与实际请求者的解密乘客生物识别信息匹配)。

在一些实施例中，密钥、乘客隐私和车辆访问令牌中的任何一个都可以具有有效期，并且在有效期到期之后会变得无效。在一些实施例中，相互认证完成后，乘客的密钥、乘客隐私、车辆访问令牌和生物识别信息中的任何一项都可以立即失效，或者可以从用户设备、自主车辆、操作服务器或安全服务器中删除。

在一些实施例中，如果交易花费太长时间来完成，例如当自主车辆530陷入交通拥堵时，则可以更新或重新生成车辆访问令牌和乘客隐私(或密钥)。例如，当自主车辆530在有效期到期之后到达时，用户设备540或自主车辆530可以发送更新或重新启动相互认证过程的请求，例如生成新密钥、新乘客隐私和/或新的车辆访问令牌，并将其发送到用户设备540或自主车辆530。

图6是根据一些实施例所示的用于对自主车辆和乘客进行相互认证的方法的示例的简化流程图600。如图所示，多个实体可以参与自主车辆和乘客的相互认证。实体可以包括例如乘客605、用户设备610、操作服务器620、安全服务器630和自主车辆640。

在操作602处，用户设备610可以从乘客605收集乘客生物识别信息。如上所述，乘客生物识别信息可以包括例如指纹、虹膜图案、语音频谱、面部特征等。用户设备610可以生成密钥并且使用密钥将乘客生物识别信息加密成乘客隐私。然后，用户设备610可以在操作612处将乘坐请求发送到操作服务器620。乘坐请求可以包括所请求的乘坐信息(例如，来源、目的地、乘坐时间等)和乘客隐私。操作服务器620可以选择车辆，并在操作622处向安全服务器630发送调度请求。该调度请求可以包括具有乘客隐私和乘坐信息的乘坐请求。安全服务器630可以生成具有诸如一小时有效期的车辆访问令牌，该有效期可以基于通勤时间来确定。在操作632处，安全服务器630可以在调度命令中将车辆访问令牌和有效期发送到自主车辆640，并且在操作634处，在调度响应中将车辆访问令牌和有效期发送到操作服务器620。在操作624处，操作服务器620可以在乘坐响应中将车辆访问令牌和有效期转发给用户设备610。在一些实施例中，乘坐响应还可能包括所选自主车辆的描述，例如所选自主车辆的型号和品牌、车牌、当前位置以及预计到达时间。在一些实施例中，当自主车辆640即将到达时或在自主车辆640到达源位置之后，可以将乘客隐私或车辆访问令牌提供给所选的自主车辆640和用户设备610，并且可以将乘客隐私或车辆访问令牌的有效期设置为较短的时间段，以使黑客可能没有足够的时间来截距和破译乘客隐私或车辆访问令牌。

当自主车辆640到达源位置时，在操作642处，用户设备610可以从自主车辆640读取车辆访问令牌，并将从自主车辆640读取的车辆访问令牌与从操作服务器620接收的车辆访问令牌进行比较。如果两个车辆访问令牌匹配并且车辆访问令牌尚未过期，则自主车辆640可以由用户设备610认证。然后，在操作614处，用户设备610可以将用于对乘客生物识别信息进行加密的密钥连同对乘客认证的请求一起发送到自主车辆640。在接收到认证请求之后，在操作604处，自主车辆640可以从乘客605收集乘客生物识别信息。例如，自主车辆640可以通过用户设备610向乘客605提供指令(例如，将手指、眼睛或面部放置在何处或要阅读哪个句子)以收集乘客生物识别信息。自主车辆640可以使用从用户设备610接收的密钥来解密乘客的隐私，并将从乘客隐私中恢复的乘客生物识别信息与现场收集的乘客生物识别信息进行比较。例如，自主车辆640可以执行图像比较、对象分类或特征向量(例如，音频频谱或空间频率)提取(例如，傅立叶变换)和比较。如果找到匹配，则乘客605可以由自主车辆640认证，并且在操作644处，自主车辆640可以解锁门以准许乘客605进入车辆。

图7是根据特定实施例所示的用于使用自主车辆提供安全和有保障的运输服务的系统的示例中的各种设备和组件的简化框图700。图7所示的系统可以包括操作服务器(OPS)710、安全服务器720、车辆730和用户设备740，可以通过以下方式进行通信连接：例如，有线或无线网络705、725和755以及更短距离的无线通信技术，例如NFC、RF阅读器、WiFi、WiMax、蓝牙、ZigBee、红外灯等。图7所示的设备和组件仅仅是可以用来执行本文所述的某些操作的功能块的一些示例。该系统可以包括其他功能块以执行在本申请中描述或未描述的其他功能。在一些实施例中，图7所示的某些功能块可以不用于认证。

操作服务器710可以包括用于存储针对注册用户的用户信息714的数据存储，诸如用户资料、支付方式、位置、联系信息等。操作服务器710还可包括用于存储用于自主车队的车辆信息716的数据存储。车辆信息716可以包括例如车辆标识号(VIN)、自主车辆的配置、自主车辆的当前状态和位置、与自主车辆的联系方式等。操作服务器710还可以包括与安全服务器720的接口715和与用户设备740的接口718。例如，与用户设备740的接口718可以是运输服务平台的接口。与安全服务器720的接口715可以是用于安全网络连接的接口。操作服务器710可以包括请求执行引擎712，该请求执行引擎712可以从界面718接收乘坐请求，检索用户信息714和车辆信息716以选择合适的车辆或选择多个车辆以供乘客选择，并将所选车辆的信息发送给乘客。如果请求执行引擎712选择了多辆车，则乘客可以选择一辆车。如上所述，请求执行引擎712可以基于乘坐请求以及车辆配置和状态(例如，可用性和当前位置)进行选择。

安全服务器720可以包括与操作服务器710的接口722，以及与车辆730的接口724。接口722和接口724都可以是安全网络接口。接口722可以用于从操作服务器710接收调度请求并且向调度服务器710发送调度响应。接口724可以用于向车辆730提供调度命令，该调度命令包括乘客隐私、所请求的乘车信息、车辆访问令牌和有效期。如上所述，在一些实施例中，车辆730可以从安全服务器720请求并下载调度命令。安全服务器720还可以包括可以生成车辆访问令牌的车辆访问令牌生成器726，其中每个车辆访问令牌只能使用一次，并且可以在有效期到期后过期。例如可以基于所选车辆到达乘客的估计通勤时间来确定有效期。安全服务器720可以包括令牌管理单元728，该令牌管理单元728可以存储并跟踪针对不同乘坐请求的有效车辆访问令牌，以确定由于过了相应有效期的车辆访问令牌是否已过期，或者使用车辆访问令牌的交易是否已完成，然后删除过期的车辆访问令牌或将过期的车辆访问令牌设为无效。安全服务器720可以进一步包括一个隐私管理单元729，可以为不同的乘坐请求存储并跟踪活动的乘客隐私，以确定由于过了相应有效期的乘客隐私是否已过期，或者使用乘客隐私的交易是否已完成，然后删除过期的乘客隐私或将过期的乘客隐私设置为无效。

车辆730可以包括例如控制器732、一个或以上传感器736、一个或以上收发器738、内存系统734、时钟739和锁定致动器735。控制器732可以用于控制其他组件的操作以执行本文所述的乘客和车辆认证。例如，控制器732可以控制传感器736以收集乘客生物识别信息，例如指纹、虹膜图案、语音频谱、面部特征等，其中传感器736可以包括一个或以上相机、触摸传感器、麦克风等。收发器738可包括用于与安全服务器720和用户设备740进行通信的任何无线通信收发器，例如NFC、RF读取器、WiFi、WiMax、蓝牙、ZigBee、3G、4G或5G无线通信收发器。时钟739可用于确定时间(例如，有效期)并同步车辆730上的电子组件。内存系统734可以包括处于不同层次级别的内存设备，例如高速缓存、ROM、DRAM、闪存、固态驱动器、硬盘驱动器、光盘驱动器或其他易失性或非易失性内存设备，它们可以存储数据、软件、固件等。例如，内存系统734可以存储安全应用760，其可以被实现为软件或固件模块并且可以由控制器732执行。安全应用760可以包括，例如，隐私解码器762被配置为使用密钥将预期乘客隐私解密，和生物特征比较器764被配置为以比较一个或以上传感器736在现场收集的乘客生物识别信息和预期解密的乘客生物识别信息。例如，如上所述，生物特征比较器764可执行图像比较、对象分类或特征向量(例如，音频频谱或空间频率)提取(例如，傅立叶变换)和比较。

用户设备740可以包括例如处理器742、内存系统744、一个或以上传感器736和一个或以上收发器748。处理器742可以控制用户设备740上的各种组件的操作。例如，处理器742可以请求传感器746收集乘客的生物识别信息，例如指纹、虹膜图案、语音频谱、面部特征等，其中传感器746可包括一个或以上的相机、触摸传感器、麦克风等。收发器748可以包括用于与操作服务器710和车辆730进行通信的任何无线通信收发器，例如NFC、RF读取器、WiFi、WiMax、蓝牙、ZigBee、3G、4G或5G无线通信收发器。时钟745可用于确定时间(例如，有效期)并同步用户设备740上的电子组件。内存系统744可以包括处于不同层次级别的内存设备，例如高速缓存、ROM、DRAM、闪存、固态驱动器或可以存储数据、软件、固件等的其他易失性或非易失性内存设备。例如，内存系统744可以存储一个或以上应用780，其可以被实现为软件或固件模块并且可以由处理器742执行。一个或以上应用780可以包括例如密钥生成器782、隐私生成器784、车辆验证器786和用户接口788。密钥生成器782可以包括例如一些随机数生成器和一些编码块，用于生成用于加密乘客生物识别信息的密钥(例如，多项式或矩阵)。隐私生成器784可以被配置为使用密钥加密乘客生物识别信息以生成乘客隐私。车辆验证器786可以比较从操作服务器710和车辆730接收到的车辆访问令牌，以确定车辆访问令牌是否匹配。用户接口788可以用于为乘客提供图形用户接口，以提供和接收交易信息，例如乘坐请求、关于所选车辆的信息以及用于收集生物识别信息的指令等。

图8是根据一些实施例所示的用于对自主车辆和乘客进行相互认证的方法的示例的简化流程图800。图8中描绘的处理可以在由相应系统的一个或以上处理单元(例如，处理器、内核)执行的软件(例如，代码、指令、程序)、硬件或其组合中实现。该软件可以存储在非临时性存储介质上(例如，在存储设备上)。图8中呈现并在下面描述的处理旨在是说明性而非限制性的。尽管图8描绘了以特定顺序或次序发生的各种处理步骤，但这并不意图是限制性的。在某些替代实施例中，这些步骤可以以不同的顺序执行，或者一些步骤也可以并行执行。在一些实施例中，图8中描述的处理可以由如上所述的运输服务平台(包括操作服务器和安全服务器)、自主车辆和用户设备执行。

在块805处，诸如智能电话之类的用户设备可以捕获该用户设备的用户的乘客生物识别信息。例如，用户设备可以执行用户应用，该用户应用可以通过用户设备的用户接口向用户提供用于捕获乘客生物识别信息的指令。乘客生物识别信息可以包括例如用户的指纹、虹膜图案、语音频谱和面部特征的任何组合。例如，用户设备可以包括可以捕获乘客的指纹、眼睛或面部的高质量图像的相机。用户设备还可以包括语音记录器，该语音记录器可以记录乘客的话语，例如特定的句子。附加地或可替代地，用户设备可以包括可以捕获乘客的指纹的触摸传感器。

在块810处，用户设备可以执行用户应用以生成密钥。在块815处，用户设备可以基于乘客生物识别信息和密钥来执行用户应用以生成乘客隐私。例如，用户设备可以使用密钥对乘客生物识别信息进行加密。在一些实施例中，密钥和/或乘客隐私可以各自具有各自的有效期，在此之后，密钥或乘客隐私不再有效并且将不用于验证用户。在块820处，用户设备可以向运输服务平台(例如，运输服务平台的运营中心)发送运输服务请求(例如，乘坐请求)和乘客隐私。如上所述，运输服务请求可以包括关于所请求的行程的信息，例如源地址、目的地地址、期望时间帧、乘客人数、期望的车辆类型等。

在块825处，操作服务器可以如上文针对图5和图6所述响应于运输服务请求来选择车辆，并将包括所选车辆的乘客隐私和标识(ID)的调度请求发送至运输服务平台的安全服务器。在块830处，安全服务器可以确定所选车辆的车辆访问令牌(VAT)。在一些实施例中，车辆访问令牌只能使用一次。在一些实施例中，安全服务器可以确定车辆访问令牌的有效期。在有效期到期之后，车辆访问令牌可能无效，并且在有效期到期之后将不会用于验证车辆。

在块835处，安全服务器可以将车辆访问令牌和有效期发送到操作服务器。在块840处，操作服务器可以将车辆访问令牌和有效期转发到用户设备。在块845处，安全服务器可以将乘客隐私、车辆访问令牌以及车辆访问令牌的有效期发送给与车辆ID相关联的所选车辆。

在块850处，用户设备可以在车辆到达后从车辆读取车辆访问令牌。如上所述，用户设备可以使用例如NFC、RF读取器、WiFi、WiMax、蓝牙、ZigBee或其他通信技术从车辆中读取车辆访问令牌。在一些实施例中，如果车辆访问令牌尚未过期，则用户设备只能从车辆读取车辆访问令牌。在一些实施例中，如果车辆访问令牌已过期，则用户设备可以向运输服务平台发送请求，以请求更新车辆访问令牌或新的车辆访问令牌。

在块855处，用户设备可以通过将用户设备从车辆读取的车辆访问令牌与从操作中心发送给用户设备的车辆访问令牌进行比较，来验证从车辆读取的车辆访问令牌。如果从车辆读取的车辆访问令牌与操作中心发送给用户设备的车辆访问令牌相匹配，则用户设备可以确定该车辆是运输服务平台选择的用于提供所请求服务的车辆，并且然后可以将密钥发送到车辆。可以使用例如NFC、RF阅读器、WiFi、WiMax、蓝牙、ZigBee或其他通信技术将密钥发送到车辆。

在块860处，车辆可以使用密钥从乘客隐私中恢复(例如，解密)乘客生物识别信息。在块865处，车辆可以从用户设备的用户那里捕获现场乘客生物识别信息。例如，车辆可以通过用户设备的用户接口向用户提供指令，以收集用户的现场生物识别信息。在块870处，如果恢复的乘客生物识别信息与用户的捕获的现场乘客生物识别信息匹配，则车辆可以被解锁。

注意，即使图8将操作描述为顺序过程，但是某些操作可以并行或同时执行。一个操作可能具有图中未包括的其他步骤。一些操作可以是可选的，因此在各种实施例中可以省略。一个方框中描述的一些操作可以与另一方框中描述的操作一起执行。某些操作可能以不同的顺序执行。

图9是用于实现根据一些实施例的本文公开的一些技术的诸如无线移动设备(例如，智能电话、智能手表、触摸板等)的移动设备900的示例的简化框图。例如，如上所述，移动设备900可以用作用户设备或车辆中的设备。应当注意，图9仅旨在提供各种组件的概括说明，可以适当地利用其中的任何一个或全部。例如，在一些实施例中，移动设备900可以是蜂窝电话或其他移动电子设备。因此，如前所述，组件可能会因实施例而异。

移动设备900被示出包括了可以经由总线905电耦合的硬件元件(或者适当时可以以其他方式通信)。硬件元件可以包括一个或以上处理单元910，其可以包括但不限于一个或以上通用处理器、一个或以上专用处理器(例如数字信号处理(DSP)芯片、图形加速处理器、专用集成电路(ASIC)和/或类似物)和/或其他处理结构或方式，可以被配置为执行本文所述方法的一个或以上。如图9所示，根据所需的功能，一些实施例可以具有单独的DSP920。移动设备900还可以包括一个或以上输入设备970，其可以包括但不限于触摸屏、触摸板、麦克风、按钮、拨号盘、开关等。一个或以上输出设备915，其可以包括但不限于显示器、发光二极管(LED)、扬声器等。

移动设备900还可以包括无线通信子系统930，其可以包括但不限于调制解调器、网卡、红外通信设备、无线通信设备、近场通信(NFC)设备，和/或芯片组(例如蓝牙设备、国际电气和电子工程师(IEEE)802.11设备(例如，使用此处描述的802.11标准的一个或以上设备)、IEEE 802.15.4设备、WiFi设备、WiMax设备、蜂窝通信设施等)等。无线通信子系统930可以允许与网络、无线接入点、其他计算机系统和/或本文描述的任何其他电子设备交换数据。可以经由发送和/或接收无线信号934的一个或以上无线通信天线932来执行通信。

取决于期望的功能，无线通信子系统930可以包括单独的收发器，以与如上所述的基站收发器以及其他无线设备和接入点的天线进行通信，其可以包括与不同数据网络和/或网络类型进行通信，例如无线广域网(WWAN)、无线局部区域网络(WLAN)或无线个人区域网(WPAN)。WWAN可以是使用任何空中接口技术的网络，例如CDMA网络、时分多址(TDMA)网络、频分多址(FDMA)网络、正交频分多址(OFDMA)网络、单载波频分多址(SC-FDMA)网络、WiMax(IEEE 802.16)等。CDMA网络可以实现一个或以上无线电接入技术(RAT)，例如cdma2000、W-CDMA等。Cdma2000包含IS-95、IS-2000和/或IS-856标准。TDMA网络可以实现GSM、数字高级移动电话系统(D-AMPS)或其他一些RAT。OFDMA网络可以采用LTE、LTEAdvanced等。LTE、LTE Advanced、GSM和W-CDMA在3GPP的文档中进行了描述。在名为“第三代合作伙伴计划2”(3GPP2)的财团的文档中描述了Cdma2000。3GPP和3GPP2文档可公开获得。WLAN可以是IEEE 802.11x网络。WPAN可以是蓝牙网络、IEEE802.15x或其他类型的网络。本文描述的技术还可以用于WWAN、WLAN和/或WPAN的任何组合。

移动设备900可以包括总线905上的时钟945，该时钟945可以生成信号以使总线905上的各个组件同步。时钟945可以包括电感器-电容器(LC)振荡器、晶体振荡器、环形振荡器、数字时钟发生器，例如时钟分频器或时钟多路复用器、锁相环或其他时钟发生器。时钟945可以与其他无线设备上的相应时钟同步(或基本同步)。时钟945可以由无线通信子系统930驱动，该子系统可以用于将移动设备900的时钟945同步到一个或以上其他设备。时钟945可用于时序测量。

移动设备900可以进一步包括传感器940。这样的传感器可以包括但不限于一个或以上加速度计、陀螺仪、照相机、磁力计、高度计、麦克风、接近传感器、光线传感器、触摸传感器、RF传感器、音频传感器等。

实施例的移动设备900还可包括SPS接收器980，该SPS接收器980能够使用SPS天线982从一个或以上的SPS卫星接收信号984。信号984可以用于确定移动设备900的位置，例如，用于导航自主车辆。SPS接收器980可使用传统技术从SPS系统的SPS卫星飞行器(SV)提取移动设备900的位置，例如全球导航卫星系统(GNSS)(例如、全球定位系统(GPS))、伽利略、Glonass、指南针、日本的准天顶卫星系统(QZSS)、印度的印度区域导航卫星系统(IRNSS)、中国的北斗等。此外，SPS接收机980可以使用各种增强系统(例如，基于卫星的增强系统(SBAS))，其可以与一个或以上全球和/或区域导航卫星系统相关联或以其他方式使其能够与之一起使用。作为示例而非限制，SBAS可以包括提供完整性信息、差异校正等的增强系统，例如，广域增强系统(WAAS)、欧洲对地静止导航覆盖服务(EGNOS)、多功能卫星增强系统(MSAS)、GPS辅助地理增强导航或GPS和地理增强导航系统(GAGAN)等。因此，如本文所使用的，SPS系统可以包括一个或以上全球和/或区域导航卫星系统和/或增强系统的任意组合，并且SPS信号可包括SPS、类似SPS的和/或与一个或以上此类SPS系统相关联的其他信号。

移动设备900可以进一步包括和/或与内存960通信。内存960可以包括任何非临时性存储设备，并且可以包括但不限于本地和/或网络可访问的存储器、磁盘驱动器、驱动器阵列、光学存储设备、固态存储设备(例如随机存取内存(RAM))和/或只读内存(ROM)，可以是可编程的、闪存可更新的，等。这样的存储设备可以被配置为实现任何适当的数据存储，包括但不限于各种文件系统、数据库结构等。

移动设备900的内存960还可以包括软件元素(未示出)，包括操作系统、设备驱动程序、可执行库和/或其他代码，例如一个或以上应用程序，其可以包括由各种实施例提供的计算机程序，和/或可以被设计为实现由其他实施例提供的方法和/或配置系统，如本文所述。仅作为示例，一个或以上针对上述功能描述的过程，例如图5、6和8中所示的方法，可以将其实现为可以存储或加载在内存960中并由移动设备900，移动设备900中的处理单元和/或无线系统的另一个设备执行的代码和/或指令。一方面，这样的代码和/或指令可以配置和/或适配通用计算机(或其他设备)以根据所描述的方法执行一个或以上操作。

图10示出了用于实现本文所公开的一些实施例的示例计算机系统1000。例如，计算机系统1000可以用于实现上述操作服务器、安全服务器、车辆电子系统以及用户设备中的任何一个。计算机系统1000可以具有分布式架构，其中某些组件(例如，内存和处理器)是终端用户设备的一部分，而其他一些类似组件(例如，内存和处理器)是计算机服务器的一部分。计算机系统1000至少包括处理器1002、内存1004、存储设备1006、输入/输出(I/O)外围设备1008、通信外围设备1010和接口总线1012。接口总线1012被配置为在计算机系统1000的各个组件之间通信、传输和传输数据、控制和命令。内存1004和存储设备1006包括计算机可读存储介质，例如RAM、ROM、电可擦除可编程只读内存(EEPROM)、硬盘驱动器、CD-ROM、光学存储设备、磁存储设备、非易失性电子计算机存储，例如

内存和其他有形存储介质。任何这样的计算机可读存储介质都可以被配置为存储指令或体现本申请各方面的程序代码。内存1004和存储设备1006还包括计算机可读信号介质。一种计算机可读信号介质，包括传播的数据信号，其中包含计算机可读程序代码。这样的传播信号采取多种形式中的任何一种，包括但不限于电磁、光学或其任何组合。计算机可读信号介质包括不是计算机可读存储介质并且可以通信、传播或传输供与计算机系统1000结合使用的程序的任何计算机可读介质。

此外，内存1004包括操作系统、程序和应用程序。处理器1002被配置为执行所存储的指令，并且包括例如逻辑处理单元、微处理器、数字信号处理器和其他处理器。内存1004和/或处理器1002可以被虚拟化并且可以被托管在例如云网络或数据中心的另一计算系统内。I/O外围设备1008包括用户接口，例如密钥、屏幕(例如，触摸屏)、麦克风、扬声器、其他输入/输出设备以及计算组件，例如图形处理单元、串行端口、并行端口、通用串行总线和其他输入/输出外围设备。I/O外围设备1008通过耦合到接口总线1012的任何端口连接到处理器1002。通信外围设备1010被配置为便于通过通信网络在计算机系统1000和其他计算设备之间进行通信，并且包括例如网络接口控制器、调制解调器、无线和有线接口卡、天线以及其他通信外围设备。

应当理解，计算机系统1000是说明性的，并且不旨在限制本申请的实施例。具有比计算机系统1000更多或更少的组件的许多其他配置是可能的。各种实施例还可以在各种各样的操作环境中实现，在某些情况下，这些操作环境可以包括一个或以上用户计算机、计算设备或处理设备，它们可以用于许多应用程序中的任何一个。用户或客户端设备可以包括许多通用个人计算机中的任何一个，例如运行标准或非标准操作系统的台式或便携式计算机，以及运行移动软件并能够支持多种联网和消息传递协议的蜂窝、无线和手持设备。这样的系统还可以包括多个工作站，这些工作站运行各种市售操作系统和其他已知应用程序中的任何一种，以用于诸如开发和数据库管理之类的目的。这些设备还可以包括其他电子设备，例如虚拟终端、瘦客户机、游戏系统和其他能够通过网络进行通信的设备。

大多数实施例利用至少一个本领域普通技术人员熟悉的网络来支持使用各种市售协议中的任何一种进行通信，例如TCP/IP、UDP、OSI、FTP、UPnP、NFS、CIFS等。该网络可以是，例如，局部区域网络、广域网、虚拟专用网、互联网、内联网、外联网、公用电话交换网、红外网络、无线网络以及其任何组合。

在利用网络服务器作为操作服务器或安全服务器的实施例中，网络服务器可以运行各种服务器或中间层应用程序中的任何一种，包括HTTP服务器、FTP服务器、CGI服务器、数据服务器、Java服务器和业务应用程序服务器。服务器还可能能够执行程序或脚本，以响应来自用户设备的请求，例如通过执行一个或以上应用程序，这些应用程序可以实现为以任何编程语言编写的脚本或程序，包括但不限于

C、C#或C++或任何脚本语言(例如Perl、Python或TCL及其组合)。服务器还可以包括数据库服务器，包括但不限于可从

和

商业获得的那些服务器。

这样的设备还可以包括计算机可读存储介质读取器、通信设备(例如，调制解调器、网卡(无线或有线)、红外通信设备等)以及如上所述的工作内存。计算机可读存储介质读取器可以与非暂时性计算机可读存储介质连接或被配置为接收，该存储介质代表远程、本地、固定和/或可移动存储设备，以及用于临时和/或更永久地包含、存储、传输，和检索计算机可读信息。该系统和各种设备通常还将包括位于至少一个工作内存设备内的多个软件应用程序、模块、服务或其他元素，包括操作系统和应用程序，例如客户端应用程序或浏览器。应当理解，替代实施例可以具有与上述不同的许多变型。例如，也可以使用定制的硬件和/或可以在硬件、软件(包括便携式软件，例如小应用程序)或两者中实现特定的元素。此外，可以采用与其他计算设备(例如网络输入/输出设备)的连接。

在此设置许多具体细节以提供对所要求保护的主题的透彻理解。但是，本领域普通技术人员将理解，没有这些具体细节也可以实践所要求保护的主题。在其他情况下，没有详细描述本领域普通技术人员已知的方法、设备或系统，以免模糊所要求保护的主题。所说明和描述的各种实施例仅作为示例提供，以示出权利要求的各种特征。然而，关于任何给定实施例示出和描述的特征不必限于相关联的实施例，并且可以与示出和描述的其他实施例一起使用或组合。此外，权利要求书不旨在被任何一个示例实施例所限制。

尽管已经针对其特定实施例详细描述了本主题，但是应当理解，本领域普通技术人员一旦对前述内容有所了解，就可以很容易地对这种实施例进行变更、变型和等同。因此，应理解，提出本申请只是为了举例而不是限制，并不排除对本领域的普通技术人员来说显而易见的对本主题的修改、变型和/或添加。实际上，本文描述的方法和系统可以以多种其他形式体现。此外，在不脱离本申请的精神的情况下，可以对本文所述的方法和系统的形式进行各种省略、替代和改变。所附权利要求书及其等效物旨在覆盖落入本申请的范围和精神内的这些形式或修改。

尽管本申请提供了某些示例实施例和应用，但是对于本领域普通技术人员而言显而易见的其他实施例，包括未提供本文所设定的所有特征和优点的实施例，也在本申请的范围内。因此，本申请的范围旨在仅通过参考所附权利要求来限定。

除非另有特别说明，应当理解，在整个说明书中，利用诸如“处理”、“计算”、“核算”、“确定”和“识别”等术语的讨论是指计算设备的动作或过程，例如一个或以上计算机或类似的电子计算设备或设备，它们在计算平台的内存、寄存器或其他信息存储设备，传输设备或显示设备中操纵或转换表示为物理电子或磁性量的数据。

本文讨论的一个或以上系统不限于任何特定的硬件体系结构或配置。计算设备可以包括提供以一个或以上输入为条件的结果的组件的任何适当布置。合适的计算设备包括基于多用途微处理器的计算机系统，其访问存储的软件，该软件对从通用计算设备到实现本主题的一种或多种实施例的专用计算设备进行编程或配置。任何合适的编程，脚本或其他类型的语言或语言的组合可以用于在用于编程或配置计算设备的软件中实现本文所包含的教导。

本文公开的方法的实施例可以在这种计算设备的操作中执行。上面示例中呈现的块的顺序可以更改-例如，可以对块进行重新排序、组合和/或分解为子块。某些框或过程可以并行执行。

本文使用的条件语言，例如“可以”、“可能”、“例如”等，除非另外特别说明，或者在所使用的上下文中另外理解，否则通常意在传达某些实施例包括，而其他实施例不包括某些特征、要素和/或步骤。因此，这种条件语言通常不旨在暗示某个或多个实施例以任何方式要求特征、元素和/或步骤，或者一个或以上实施例必然包括用于在有或没有作者输入或提示的情况下确定这些特征、元素和/或步骤是否包含或将在任何特定实施例中执行的逻辑。

术语“包括”、“包含”、“具有”等是同义词，以开放式方式包含在内，并且不排除其他要素、功能、作用、操作等。同样，术语“或”以其包含的含义使用(而不是排他性的含义)，因此，例如在用于连接元素列表时，术语“或”表示列表中的一个、一些或所有元素。在本文中，“适应于”或“被配置为”的使用是开放性且包容性的语言，其不排除适应或被配置为执行附加任务或步骤的设备。另外，“基于”的使用应是开放性和包容性的，因为在实践中，“基于”一个或以上引用条件或值的过程、步骤、计算或其他操作可能基于所列举条件之外的其他条件或值。类似地，“至少部分基于”的使用是开放且包容的，因为过程、步骤、计算或其他行动“至少部分基于”一个或以上陈述的条件或值，实际上可能基于所列举的条件或值之外的其他条件或值。此处包含的标题、列表和编号仅是为了便于说明，并不意味着限制。

上述各种特征和过程可以彼此独立地使用，或者可以以各种方式组合。所有可能的组合和子组合均旨在落入本申请的范围内。另外，在一些实施例中可以省略某些方法或处理框。本文描述的方法和过程也不限于任何特定执行顺序，相关的块或状态可以以其他合适顺序执行。例如，所描述的块或状态可以以不同于具体披露的顺序执行，或者多个块或状态可以组合为单个块或状态。示例性框或状态可以串行、并行或以其他方式执行。块或状态可以被添加到所公开的示例或从所公开的示例中移除。类似地，本文描述的示例系统和组件可以被配置为与所描述的不同。例如，与所公开的示例相比，可以将元素添加、删除或重新布置。

Claims (21)

1.一种方法，包括：

基于乘客的生物识别信息和密钥，由与所述乘客相关的用户设备生成所述密钥和乘客隐私；

由所述用户设备向运输服务平台发送运输服务请求和所述乘客隐私；

响应于所述运输服务请求，通过所述运输服务平台确定自主车辆和用于所述自主车辆的车辆访问令牌(VAT)；

所述运输服务平台将所述车辆访问令牌的第一副本发送到所述用户设备；

所述运输服务平台将所述乘客隐私和所述车辆访问令牌的第二副本发送到所述自主车辆；

通过所述用户设备从所述自主车辆读取所述车辆访问令牌的第二副本；

所述用户设备基于从自主车辆读取的所述车辆访问令牌的第二副本与从运输服务平台发送给所述用户设备的车辆访问令牌的所述第一副本匹配的判定，所述用户设备将所述密钥发送给所述自主车辆；

所述自主车辆使用所述密钥从所述乘客隐私中恢复所述乘客的所述生物识别信息；

所述自主车辆，捕获所述用户设备的用户的生物识别信息；以及；

基于所述恢复的乘客的生物识别信息与所述捕获的所述用户的生物识别信息之间的匹配来解锁所述自主车辆。

2.根据权利要求1所述的方法，其特征在于：

所述运输服务平台包括操作服务器和安全服务器；以及；

确定所述自主车辆和所述车辆访问令牌包括：

所述操作服务器从至少两个自主车辆中选择所述自主车辆；

由所述操作服务器向所述安全服务器发送包括所述自主车辆的标识和所述乘客隐私的调度请求；以及；

所述安全服务器确定所述自主车辆的所述车辆访问令牌。

3.根据权利要求1所述的方法，还包括：

所述运输服务平台确定所述车辆访问令牌的有效期；以及；

所述运输服务平台向所述用户设备发送所述车辆访问令牌的有效期，

其中，由所述用户设备从所述自主车辆读取所述车辆访问令牌的所述第二副本包括：仅在所述有效期到期之前从所述自主车辆读取所述车辆访问令牌的所述第二副本。

4.一种方法，包括：

运输服务平台接收乘客隐私和对运输服务的请求，所述乘客隐私包括使用由用户设备生成的密钥加密的乘客生物识别信息；

基于所述请求所述运输服务平台选择用于提供所请求的运输服务的车辆；

所述运输服务平台确定所述所选车辆的车辆访问令牌(VAT)；

所述运输服务平台将所述车辆访问令牌的第一副本发送到所述用户设备；以及；

所述运输服务平台将所述乘客隐私和所述车辆访问令牌的第二副本发送到所选车辆，

其中所述车辆访问令牌的第一副本与所述车辆访问令牌的第二副本之间的匹配表示具有所述车辆访问令牌的第二副本的车辆是所述所选车辆；以及；

其中，在解锁提供所请求的运输服务的选定车辆的门之前，所述乘客隐私用于基于所述用户的生物识别信息对所述用户设备的用户进行身份验证。

5.根据权利要求4所述的方法，还包括：

所述运输服务平台确定所述车辆访问令牌的有效期；以及；

所述运输服务平台向所述用户设备发送所述车辆访问令牌的有效期，

其中，在所述有效期到期后，所述车辆访问令牌的第一副本和所述车辆访问令牌的第二副本之间的匹配无效。

6.根据权利要求4所述的方法，其特征在于：

所述运输服务平台包括操作服务器和安全服务器；

选择所述车辆并确定所述车辆访问令牌包括：

所述操作服务器从至少两个车辆中选择所述所选车辆；

由所述操作服务器向所述安全服务器发送包括所述所选车辆的标识和所述乘客隐私的调度请求；以及；

通过所述安全服务器确定所述所选车辆的所述车辆访问令牌。

7.根据权利要求6所述的方法，其特征在于，将所述车辆访问令牌的所述第一副本发送至所述用户设备包括：

由所述安全服务器将所述车辆访问令牌的第一副本发送到所述操作服务器；以及；

由所述操作服务器将所述车辆访问令牌的第一副本发送到所述用户设备。

8.根据权利要求4所述的方法，其特征在于，所述乘客生物识别信息包括指纹、虹膜图案、语音频谱或面部特征中的至少一种。

9.根据权利要求4所述的方法，还包括：

所述运输服务平台存储所述乘客隐私，

其中所述乘客隐私具有有效期，在此之后所述乘客隐私无效。

10.根据权利要求4所述的方法，进一步包括在有效期到期后将所述车辆访问令牌设置为无效车辆访问令牌。

11.一种方法，包括：

用户设备上的传感器捕获与所述用户设备相关的乘客的乘客生物识别信息；

由所述用户设备生成密钥；

所述用户设备使用所述密钥对所述乘客生物识别信息进行加密来生成乘客隐私；

由所述用户设备向运输服务平台发送运输服务请求和所述乘客隐私；

所述用户设备从所述运输服务平台接收第一车辆访问令牌(VAT)；

所述用户设备从车辆读取第二车辆访问令牌；

所述用户设备将所述第一车辆访问令牌和所述第二车辆访问令牌进行比较；以及；

所述第一车辆访问令牌与所述第二车辆访问令牌匹配的判定，由所述用户设备发送所述密钥到所述车辆以解密所述乘客隐私并基于所述乘客生物识别信息对所述乘客进行认证。

12.根据权利要求11所述的方法，还包括：

所述用户设备从所述运输服务平台接收所述第一车辆访问令牌的有效期，

其中比较所述第一车辆访问令牌和所述第二车辆访问令牌仅包括：在所述有效期到期之前，比较所述第一车辆访问令牌和所述第二车辆访问令牌。

13.根据权利要求12所述的方法，还包括：

所述用户设备确定所述有效期已到期；以及；

所述用户设备向所述运输服务平台发送更新所述第一车辆访问令牌的请求或新车辆访问令牌的请求。

14.根据权利要求11所述的方法，其特征在于，所述密钥或所述乘客隐私具有各自的有效期。

15.根据权利要求11所述的方法，其特征在于，所述乘客生物识别信息包括指纹、虹膜图案、语音频谱或面部特征中的至少一种。

16.根据权利要求11所述的方法，其特征在于，从所述车辆读取所述第二车辆访问令牌包括使用近场通信接收器、蓝牙接收器、WiFi接收器、WiMax接收器或ZigBee接收器读取所述第二车辆访问令牌。

17.一种方法，包括：

车辆接收乘客隐私和车辆访问令牌(VAT)，其中所述乘客隐私包括乘客的乘客生物识别信息，所述乘客生物识别信息使用由与所述乘客相关联的用户设备生成的密钥加密；

由所述车辆向所述用户设备提供车辆访问令牌；

在所述用户设备使用所述车辆访问令牌验证车辆后，通过所述车辆从所述用户设备接收密钥；

所述车辆使用所述密钥，从所述乘客隐私恢复乘客生物识别信息；

所述车辆捕获所述用户设备的用户的现场生物识别信息；以及；

基于所述恢复的乘客生物识别信息与所述捕获的所述用户的现场生物识别信息之间的匹配，通过所述车辆解锁所述车门。

18.根据权利要求17所述的方法，其特征在于，所述乘客生物识别信息包括指纹、虹膜图案、语音频谱或面部特征中的至少一种。

19.根据权利要求17所述的方法，其特征在于，所述车辆是自主车辆。

20.根据权利要求17所述的方法，其特征在于，向所述用户设备提供所述密钥包括使用近场通信接收器、蓝牙接收器、WiFi接收器、WiMax接收器或ZigBee接收器向所述用户设备提供所述密钥。

21.根据权利要求17所述的方法，其特征在于，所述车辆访问令牌、所述乘客隐私或所述密钥中的至少一个具有有效期。

Images