DE102019119052A1

DE102019119052A1 - Verfahren und Vorrichtung zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs, Fahrzeug und System

Info

Publication number: DE102019119052A1
Application number: DE102019119052.5A
Authority: DE
Inventors: Sherif Zaidan; Mathias Ordung; Christoph Schäfer; Regina Goldbrunner; Isabell Bodendorfer; Hatice Karadag; Mary Delgado; Mohamed Zahra; Björn Westphal; Philipp-Peter Altmann
Original assignee: Bayerische Motoren Werke AG
Current assignee: Bayerische Motoren Werke AG
Priority date: 2019-07-15
Filing date: 2019-07-15
Publication date: 2021-01-21

Abstract

Es werden ein Verfahren sowie eine korrespondierende Vorrichtung zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs, ein Fahrzeug sowie ein System angegeben. Dem Fahrzeug (10) ist eine Mehrzahl an Einrichtungen (12-17''') zur Identifikation eines Passagiers zugeordnet. Bei dem Verfahren werden (A) ein für einen durch die jeweilige Einrichtung identifizierten Passagier repräsentatives Identifizierungssignal bereitgestellt; (B) abhängig von sämtlichen verfügbaren Identifizierungssignalen ein Fahrer sowie ein für eine Wahrscheinlichkeit repräsentativer Vertrauenskennwert ermittelt, dass es sich um den tatsächlichen Fahrer handelt; und (C) abhängig von dem Vertrauenskennwert Fahrzeugfunktionen freigegeben und Zugriff auf dem Fahrer zugeordnete Daten gewährt.

Description

Die Erfindung betrifft ein Verfahren sowie eine korrespondierende Vorrichtung zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs. Des Weiteren betrifft die Erfindung ein Fahrzeug mit vorgenannter Vorrichtung sowie ein System.
Heutige Kraftfahrzeuge verfügen über eine Vielzahl an Fahrzeugfunktionen, die sich individuell auf den Fahrer und dessen Vorlieben einrichten lassen. Dies betrifft neben grundlegenden Einstellungen wie Sitzposition oder Position der Spiegel auch Komfortfunktionen wie etwa Radiosender oder Klimatisierung, Assistenz- bzw. fahrdynamische Einstellungen sowie sicherheitskritische Funktionen, die etwa die automatisierte Durchführung von Buchungen aus dem Fahrzeug erlauben. Neben der Autorisierung zum Betrieb des Fahrzeugs gewinnt damit auch die Authentifizierung des Benutzers an Bedeutung.
Die Aufgabe, die der Erfindung zugrunde liegt, ist es, ein benutzerfreundliches und zugleich sicheres Verfahren sowie eine korrespondierende Vorrichtung zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs zu schaffen.
Die Aufgabe wird gelöst durch die unabhängigen Patentansprüche. Vorteilhafte Ausgestaltungen sind in den Unteransprüchen gekennzeichnet.
Gemäß einem ersten Aspekt betrifft die Erfindung ein Verfahren zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs. Dem Fahrzeug ist eine Mehrzahl an Einrichtungen zur Identifikation eines Passagiers zugeordnet. Bei dem Verfahren wird durch wenigstens eine der Einrichtungen ein Identifizierungssignal bereitgestellt. Das Identifizierungssignal umfasst einen Identifizierungskennwert, der repräsentativ ist für einen durch die jeweilige Einrichtung identifizierten Passagier. Abhängig von sämtlichen verfügbaren Identifizierungssignalen werden ein Fahrer des Fahrzeugs aus den identifizierten Passagieren sowie ein Vertrauenskennwert ermittelt. Der Vertrauenskennwert ist repräsentativ für eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Fahrer um den tatsächlichen Fahrer des Fahrzeugs handelt. Abhängig von dem Vertrauenskennwert werden Fahrzeugfunktionen für den ermittelten Fahrer freigegeben. Den freigegebenen Fahrzeugfunktionen wird Zugriff auf Daten gewährt, die dem ermittelten Fahrer zugeordnet sind.
In vorteilhafter Weise ermöglicht dies die Freigabe einzelner Fahrzeugfunktionen unabhängig von der Gesamtzahl an im Fahrzeug verbauten und/oder aktiven und/oder funktionstüchtigen Einrichtungen zur Identifikation. Insbesondere im Falle, dass einzelne Sensoren ausfallen, bedingt durch eine entsprechende Fahrzeugausstattung fehlen oder nach dem Fahrzeugstart noch nicht betriebsbereit sind, kann dennoch ein sicherer Umgang mit den dem Fahrer zugeordneten Daten gewährleistet werden. Dadurch, dass ein Vertrauenskennwert ermittelt wird, kann der Zuverlässigkeit einzelner Sensoren zur Identifikation Rechnung getragen werden.
Als Einrichtungen zur Identifikation eines Passagiers bzw. Sensor wird hier und im Folgenden eine Vorrichtung oder System verstanden, die bzw. das Daten eines sich authentisierenden Passagiers erfasst und eine Zuordnung der erfassten Daten zu einem in einer Datenbank hinterlegten Passagier erlaubt und als Identifizierungskennwert ausgibt. Dies kann etwa ein Fahrzeugschlüssel sein, der dem Fahrer zugeordnet ist, und dessen Funksignal erfasst wird. Ebenso können ein dem Fahrer zugeordnetes Mobiltelefon, eine Stimme oder andere biometrische Eigenheiten des Fahrers wie Gesichtszüge oder Fingerabdruck, oder ein Fahrprofil, etwa anhand Lenk- oder Beschleunigungsabläufen im Betrieb des Fahrzeugs, erkannt werden.
In einer vorteilhaften Ausgestaltung gemäß dem ersten Aspekt wird abhängig von der jeweiligen das Identifizierungssignal bereitstellenden Einrichtung eine Gewichtung ermittelt. Der Fahrer und/oder der Vertrauenskennwert wird bzw. werden abhängig von der Gewichtung ermittelt.
In vorteilhafter Weise ermöglicht dies, eine Güte, wie zuverlässig die entsprechende Einrichtung den tatsächlichen Passagier als Passagier ermittelt, in die Ermittlung des Fahrers und/oder des Vertrauenskennwerts einfließen zu lassen, ohne das Verfahren weiter anpassen zu müssen. Insbesondere kann so sowohl ein Verhältnis der Güte der einzelnen im Fahrzeug verbauten Einrichtungen zueinander sowie zu nicht im Fahrzeug verbauten Einrichtungen, die etwa in Nachfolgemodellen oder anderen Ausstattungsreihen vorgesehen sind, berücksichtigt werden.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt umfasst das Identifizierungssignal einen Gewichtungskennwert. Der Gewichtungskennwert ist repräsentativ für eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Passagier um den tatsächlichen Passagier des Fahrzeugs handelt. Der Fahrer und/oder der Vertrauenskennwert wird bzw. werden abhängig von dem Gewichtungskennwert ermittelt.
Neben vorgenannter Gewichtung der Einrichtung als solcher ermöglicht dies, eine Güte des jeweiligen Prozesses der Identifizierung des Passagiers durch die entsprechende Einrichtung zu berücksichtigen. Dies kann etwa ein hoher Rauschpegel sein, der die Zuverlässigkeit beeinträchtigt.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt ist den Fahrzeugfunktionen jeweils eine Sicherheitsstufe zugeordnet. Abhängig von dem Vertrauenskennwert werden Fahrzeugfunktionen bis zu einer Sicherheitsstufe freigegeben, die zu dem Vertrauenskennwert korrespondieren. Fahrzeugfunktionen einer höheren Sicherheitsstufe, die zu einem Vertrauenskennwert korrespondieren, welcher repräsentativ ist für eine höhere Wahrscheinlichkeit, dass es sich bei dem ermittelten Fahrer um den tatsächlichen Fahrer des Fahrzeugs handelt, werden gesperrt. Den freigegebenen Fahrzeugfunktionen wird Zugriff auf Daten gewährt, die dem ermittelten Fahrer zugeordnet sind. Den gesperrten Fahrzeugfunktionen wird der Zugriff verwehrt.
In vorteilhafter Weise ermöglicht dies im Falle, dass einzelne Sensoren nach dem Fahrzeugstart noch nicht betriebsbereit sind oder anderweitig nicht verfügbar sind, die Freigabe sicherheitsunkritischer Fahrzeugfunktionen, so dass eine hohe Benutzerfreundlichkeit sichergestellt ist.
Zugleich wird zu einer hohen Sicherheit im Umgang mit den dem Fahrer zugeordneten Daten beigetragen, indem sicherheitskritische Fahrzeugfunktionen so lange gesperrt werden, bis eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Fahrer um den tatsächlichen Fahrer des Fahrzeugs handelt, einen vorgegebenen Schwellenwert überschreitet.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt wird abhängig von dem jeweiligen Identifizierungskennwert eine Position des durch die jeweilige Einrichtung identifizierten Passagiers im Fahrzeug ermittelt. Abhängig von der ermittelten Position wird ermittelt, ob es sich bei dem Passagier um den Fahrer oder einen Beifahrer des Fahrzeugs handelt.
In vorteilhafter Weise kann so ein weiterer Beitrag zur Sicherheit im Umgang mit den dem Fahrer zugeordneten Daten geleistet werden. Insbesondere können dabei Verwechslungen zwischen einzelnen Passagieren ausgeschlossen werden. Die Position des jeweiligen Passagiers im Fahrzeug kann beispielhaft durch in Fahrzeugsitzen verbaute Gewichtsensoren oder eine Innenraumkamera ermittelt werden.
In einer weiteren vorteilhaften Ausgestaltung gemäß dem ersten Aspekt wird das Identifizierungssignal innerhalb eines vorgegebenen Zeitintervalls wiederholt bereitgestellt. Der Fahrer des Fahrzeugs sowie der Vertrauenskennwert werden wiederholt ermittelt. Abhängig von dem wiederholt ermittelten Vertrauenskennwert werden Fahrzeugfunktionen freigegeben bzw. gesperrt.
In vorteilhafter Weise ermöglicht dies ein fortlaufend hohes Sicherheitsniveau. Insbesondere können dadurch auch Fahrerwechsel berücksichtigt werden.
Gemäß einem zweiten Aspekt betrifft die Erfindung eine Vorrichtung zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs. Die Vorrichtung ist signaltechnisch mit einer Mehrzahl an Einrichtungen zur Identifikation eines Passagiers gekoppelt. Die Vorrichtung ist eingerichtet, das Verfahren gemäß dem ersten Aspekt auszuführen.
In einer vorteilhaften ersten Ausgestaltung gemäß dem zweiten Aspekt umfasst die Mehrzahl an Einrichtungen zur Identifikation eines Passagiers eines oder mehrere aus:

- einer Innenraumkamera / einem Innenraumkamerasystem (Multi-Kamera),
- einer Fahrerkamera,
- einem Sprechererkennungssystem,
- einem Fahrprofilerkennungssystem, und
- einem Gewichtsensor / mehreren Gewichtsensoren,
- andere biometrische Sensoren (EKG, Iriserkennung usw.).

In einer vorteilhaften zweiten Ausgestaltung gemäß dem zweiten Aspekt umfasst die Mehrzahl an Einrichtungen zur Identifikation eines Passagiers einen dem Passagier zugeordneten Schlüssel.
Als Schlüssel kommt dabei ein mechanischer Fahrzeugschlüssel sowie insbesondere ein digitaler Schlüssel in Betracht, der auf einem phyischen (Funk-)Fahrzeugschlüssel oder einem mobilen Endgerät des Passagiers hinterlegt ist.
Gemäß einem dritten Aspekt betrifft die Erfindung ein Fahrzeug. Das Fahrzeug umfasst die Vorrichtung gemäß dem zweiten Aspekt sowie eine oder mehrere der Einrichtungen gemäß der ersten Ausgestaltung des zweiten Aspekts und/oder eine Schnittstelle zur Verifizierung des Schlüssels gemäß der zweiten Ausgestaltung des zweiten Aspekts.
Gemäß einem vierten Aspekt betrifft die Erfindung ein System. Das System umfasst eine Vielzahl an Fahrzeugen gemäß dem dritten Aspekt sowie einen Server mit einer Speichereinheit. Die Vielzahl an Fahrzeugen ist signaltechnisch mit dem Server gekoppelt. In der Speichereinheit sind einem jeweiligen Halter der Vielzahl an Fahrzeugen zugeordnete Daten bezüglich einer oder mehrerer Fahrzeugfunktionen des jeweiligen Fahrzeugs hinterlegt. Das System ist eingerichtet, freigegebenen Fahrzeugfunktionen Zugriff auf Daten zu gewähren, die dem ermittelten Fahrer zugeordnet sind.
Gemäß einem fünften Aspekt betrifft die Erfindung ein Computerprogramm zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs. Das Computerprogramm umfasst Befehle, die bei der Ausführung des Computerprogramms durch einen Computer diesen veranlassen, das Verfahren gemäß dem ersten Aspekt auszuführen.
Gemäß einem sechsten Aspekt betrifft die Erfindung ein Computerlesbares Speichermedium, auf dem das Computerprogramm gemäß dem fünften Aspekt gespeichert ist.
Ausführungsbeispiele der Erfindung sind im Folgenden anhand der schematischen Zeichnungen näher erläutert.
Es zeigen:

1 ein Fahrzeug mit einer Vorrichtung zur Freigabe von Fahrzeugfunktionen, und
2 Identifikationseinrichtungen zur Freigabe von Fahrzeugfunktionen in mehreren Ebenen,
3 Identifikationseinrichtungen zur fortlaufenden Freigabe von Fahrzeugfunktionen,
4 ein beispielhafter Ablauf eines Verfahrens zur Freigabe von Fahrzeugfunktionen des Fahrzeugs gemäß 1, und
5 ein Ablaufdiagramm eines Verfahrens zur Freigabe von Fahrzeugfunktionen des Fahrzeugs gemäß 1.

Elemente gleicher Konstruktion oder Funktion sind figurenübergreifend mit den gleichen Bezugszeichen versehen.
Zur Nutzung von Fahrzeugfunktionen wie Fahrerassistenz- oder Fahrkomfortfunktionen können eine Identifikation des Fahrers und ein Freischalten eines persönlichen Accounts erforderlich sein. Fahrzeuge können eine Vielzahl an Sensoren und Schnittstellen aufweisen, die zur Identifikation des Fahrers herangezogen werden können (im Folgenden als Identifikationseinrichtungen bezeichnet). Diese Identifikationseinrichtungen können sich jedoch je nach Ausstattungsvariante, Produktionszeitpunkt und Fahrzeugklasse stark unterscheiden.
Anhand der 1 ist ein Fahrzeug 10 dargestellt, das eine Innenraumkamera 12, etwa zur Emotionserkennung der Passagiere, eine Fahrerkamera 13, etwa zur Müdigkeitserkennung des Fahrers, ein Sprechererkennungssystem 14, ein Fahrprofilerkennungssystem 15, etwa zur Erkennung des Fahrers anhand von Lenk- und/oder Beschleunigungsmustern, einen Gewichtsensor 16, und eine Schnittstelle 17 zur Verifizierung eines Schlüssels 17' als Identifikationseinrichtungen 12-17' umfasst. Der Schlüssel 17' ist beispielhaft mittels eines Nahfeldkommunikationsprotokolls mit der Schnittstelle 17 gekoppelt. Die Identifikationseinrichtungen 12-17' sind mit einer Steuervorrichtung 11 signaltechnisch gekoppelt. Darüber hinaus ist die Steuervorrichtung 11 beispielhaft über eine Internetverbindung mit einem Server 20 gekoppelt, der eine Speichereinheit 21 umfasst.
Zur Identifikation des Fahrers können mehrere Größen betrachtet werden und die Identifikation kann in mehreren zeitlich versetzten Ebenen E1, E2 erfolgen, wie anhand 2 dargestellt. Neben dem physischen Fahrzeugschlüssel, auf dem etwa ein digitaler Schlüssel 17' hinterlegt ist, kann auch eine Geräte-ID eines dem Fahrer zugeordneten Mobiltelefons als digitaler Schlüssel 17'' dienen. Alternativ oder zusätzlich ist auch ein dem Fahrer zugeordneter digitaler Schlüssel 17''' in einer App auf dem Mobiltelefon denkbar. Darüber hinaus stellt die Eingabe eines Passworts 18 eine weitere Möglichkeit der Identifikation des Passagiers dar. In der initialen Ebene E1 kann beispielhaft eine erste Authentifizierung V1 vorgenommen werden, während in der zweiten Ebene E2 zeitlich verzögert eine zweite Authentifizierung V2 vorgenommen wird.
Der Account des Fahrers ist ein individueller Datensatz, in dem sämtliche Einstellungen des Fahrzeugs 10 hinterlegt sind.
So können neben Fahrzeugeinstellungen wie etwa einer Sitzposition oder Position der Spiegel auch Komforteinstellungen wie etwa Radiosender oder Klimatisierung gespeichert sein. Zusätzlich ist auch eine Anbindung an das Internet und Zugang zu Internetseiten und/oder -diensten mittels des Accounts möglich. Insbesondere können hiermit auch Buchungen durchgeführt werden, beispielsweise falls dem Account sensible Daten wie etwa die Kontonummer zugeordnet sind. Die Identifikation des Fahrers und das Freischalten des Accounts sollten daher hohen Sicherheitsansprüchen genügen. Insbesondere sollte sichergestellt sein, dass der tatsächliche Fahrer sicher und zuverlässig identifiziert wird. Vor allem darf kein Unbefugter fälschlicherweise identifiziert werden. Dazu können verschiedenen Maßnahmen ergriffen werden.
In einem ersten Beispiel wird jedem möglichen Fahrer des Fahrzeugs 10 ein digitaler Schlüssel 17' zugeordnet. Benutzen zum Beispiel mehrere Personen dasselbe Fahrzeug 10 und besitzen diese jeweils einen physischen Fahrzeugschlüssel zu dem Fahrzeug 10, auf dem der digitale Schlüssel 17' gespeichert ist, kann diesem digitalen Schlüssel 17' eine Person fest zugeordnet werden. Diese Zuordnung ist aber nur gering vertrauenswürdig, da der physische Fahrzeugschlüssel leicht gestohlen oder verliehen werden kann.
In einem zweiten Beispiel mit gegenüber dem ersten Beispiel erhöhter Sicherheit wird der digitale Schlüssel 17'' von einem mobilen Endgerät bereitgestellt, beispielsweise einem Smartphone. Hierbei kann es sich etwa um eine dem Fahrer zugeordnete Geräteidentifikationsnummer des Endgeräts handeln. Beispielhaft geht das Fahrzeug 10 bei Erkennen des Endgeräts davon aus, dass es sich bei dem Fahrer um den dem Endgerät zugeordneten Fahrer handelt. Bevor Zugriff auf den Account dieses Fahrers gewährt wird, fordert das Fahrzeug 10 den Fahrer zur Authentisierung auf, etwa durch Eingabe eines Passworts oder einen Abgleich biometrischer Daten.
In einem dritten Beispiel mit gegenüber dem zweiten Beispiel erhöhter Sicherheit wird der digitale Schlüssel 17''' von einer „App“ auf vorgenanntem Endgerät bereitgestellt, die für diesen Vorgang zunächst eine Authentifizierung des Benutzers durch Eingabe eines Passworts oder einen Abgleich biometrischer Daten erfordert.
In dem zweiten und dritten Beispiel ist es jedoch erforderlich, dass sich der Fahrer zu jeder Fahrt neu authentifiziert. Zudem kann es sein, dass einzelne Einrichtungen 12, 13, 14, 15, 16, 17 zur Identifikation eines Passagiers nicht im entsprechenden Fahrzeug 10 vorhanden sind. Beispielhaft stellt das Sprechererkennungssystem 14 keine Standardausrüstung dar und kann folglich nicht zur Authentifizierung in allen Fahrzeugen eingesetzt werden.
Im Folgenden wird ein Verfahren zur Freigabe von Fahrzeugfunktionen des Fahrzeugs 10 beschrieben, das zu einer selbstständigen und zuverlässigen Identifikation des Fahrers ohne dessen Zutun beiträgt.
Der Erfindung liegt dabei die Idee zugrunde, alle vorhandenen Informationen heranzuziehen (V1, vgl. 3) und aus deren Stimmigkeit mit einem hinterlegten Modell die Wahrscheinlichkeit zu ermitteln, um welche Person es sich handelt (nachfolgend als Vertrauenskennwert oder engl. „Confidence Score“ bezeichnet, V2 in 3). Mit Vorteil kann so ein fließender Ablauf der Identifikation des Fahrers erzielt werden, ohne dass dieser einwirkt. Überdies können Rollen der Passagiere und deren Zugriffsberechtigungen ermittelt werden (V3 in 3). Insbesondere können die Schritte V1-V3 im Gegensatz zu dem Ablauf der 2 kontinuierlich ausgeführt bzw. wiederholt werden.
Hierbei wird ein anderer Aufbau des Accounts zugrunde gelegt. Jeder Nutzer, der sich im Fahrzeug 10 zum ersten Mal anmeldet bekommt gewisse Rollen und Rechte zugewiesen (V3). Jedes dieser Rechte wird erst ab einem gewissen Vertrauenskennwert (V2) zugewiesen, dass es sich bei dem Nutzer um die Person handelt, für die sich der Nutzer ausgibt. Mit zunehmender Empfindlichkeit der Werte steigt der geforderte Vertrauenskennwert. So reichen relativ geringe Vertrauenskennwerte für das Übernehmen der Sitzposition und des Radiosenders während für die Zugangsberechtigung zu Apps oder Internetseiten hohe Vertrauenskennwerte gefordert werden.
Der Vertrauenskennwert wird aus allen verfügbaren Daten ermittelt (V1), wie digitalem Schlüssel 17' („Smartkey“), 17'' „(Connected App“), 17''' („Smart Access App“) oder einem durch das Fahrprofilerkennungssystem 15 erkannten Steuerprofil sowie allen verfügbaren biometrischen Sensordaten aus dem Fahrzeug 10, wie Fahrergewicht, Stimmerkennung (Sprechererkennungssystem 14), Gesichtserkennung über die Innenbordkamera (Innenraumkamera 12 oder Fahrerkamera 13) und andere biometrische Sensoren. Dabei werden zu jedem Zeitpunkt nur Wahrscheinlichkeitswerte der vorhandenen Informationen verrechnet, so dass wenn eine technische Einrichtung, wie etwa die Innenraumkamera 12 fehlen sollte, immer ein Vertrauenskennwert von 100% erreicht werden kann. Dies hat den großen Vorteil, dass beim Start des Fahrzeuges 10, wenn noch nicht alle Geräte voll funktionsfähig sind, oder wenn ein Gerät defekt oder übersteuert wird, dem Fahrer trotzdem recht schnell grundlegende Fahrzeugfunktionen zur Verfügung stehen. Dabei muss der Fahrer in keinem Schritt aktiv eingreifen.
Der Vertrauenskennwert wird beispielhaft jede Minute neu errechnet und die Zugriffsrechte werden entsprechend gewährt bzw. eingeschränkt.
Sollte eine Person nicht richtig identifiziert werden können und ihr nicht automatisch die richtige Rolle mit den entsprechenden Zugriffsrechten zugeteilt werden, kann der Fahrer immer noch sein Passwort eingegeben (18).
Den einzelnen Fahrzeugfunktionen ist jeweils eine Sicherheitsstufe zugeordnet, die repräsentativ dafür ist, wie sensibel die Daten des Fahrers sind, die zur Durchführung der Fahrzeugfunktion herangezogen werden.
Anhand 4 ist ein beispielhafter Ablauf des Verfahrens zur Freigabe von Fahrzeugfunktionen des Fahrzeugs 10 gemäß 1 dargestellt. Zunächst ist kein Passagier identifiziert, der Vertrauenskennwert CS beträgt 0% (Sicherheitsstufe L0).
Daraufhin wird einem Passagier ein Vertrauenskennwert CS von 60% (Sicherheitsstufe L1) zugeordnet, wenn dieser den physischen Fahrzeugschlüssel mit entsprechendem digitalen Schlüssel 17' mit sich führt. Sicherheitsstufe L1 ermöglicht den Zugang zur Musikanlage, zu Playlisten und einfachen Log-In Daten. Der Prozess zur Verifizierung des digitalen Schlüssels 17' ist hier beispielhaft als Zeitstrahl dargestellt, wobei der schraffierte Teil ein positives Verifizierungsergebnis repräsentiert. Die Zeitspanne t0 deutet die Dauer bis zum Erreichen eines Vertrauenskennwert CS an, der der maximalen Sicherheitsstufe L3 genügt.
Ein Vertrauenskennwert CS von 70% (Sicherheitsstufe L2) wird erreicht, wenn sich der Passagier anschließend zusätzlich durch den digitalen Schlüssel 17'' ausweist. Sicherheitsstufe L2 erlaubt dem Passagier zum Beispiel Musik-Playlisten zu bearbeiten oder Emails zu lesen sowie persönliche Zugangsberechtigungen zu ändern.
Mittels anschließender Gesichtserkennung durch die Fahrerkamera 13 wird dem Passagier beispielhaft ein Vertrauenskennwert CS von 90% (Sicherheitsstufe L3) zugewiesen. Die Zeitspanne t1 deutet die Verarbeitungsdauer zur Gesichtserkennung an. Ab dem Vertrauenskennwert CS von 90% (Sicherheitsstufe L3) wird dem Passagier volle Kontrolle über das Fahrzeug 10 samt Bearbeitungsmöglichkeit der Zugangsberechtigung anderer Nutzer gewährt.
Mittels zusätzlicher Stimmerkennung durch das Sprechererkennungssystem 14 wird z.B. ein Vertrauenskennwert CS von 100% erreicht. Die Zeitspanne t2 deutet die Verarbeitungsdauer zur Stimmerkennung an.
Sollte im weiteren Verlauf etwa bei der Gesichtserkennung ein negatives Verifizierungsergebnis eintreten (schwarzer Teil des Zeitstrahls), so sinkt der Vertrauenskennwert CS wieder.
Im Anwendungsfall steigt der Fahrer in das Fahrzeug 10 ein. Das Fahrzeug 10 hat zu diesem Zeitpunkt noch nicht alle Systeme zur Bereitstellung der Fahrzeugfunktionen hochgefahren, kann aber schon eine erste Vermutung erstellen, um welchen Nutzer es sich bei dem Fahrer handelt und gibt die diesem Fahrer zugeordnete Sitzposition, Radio und Klimatisierung frei. In den nächsten fünf bis zehn Minuten sind die anderen Systeme auch hochgefahren und weitere Fahrzeugfunktionen werden abhängig von dem ermittelten Vertrauenskennwert freigeschaltet.
Der Steuervorrichtung 11 ist insbesondere ein Daten- und Programmspeicher zugeordnet, in dem ein Programm gespeichert ist, das anhand des Ablaufdiagramms der 5 näher erläutert wird.
Das Programm wird in einem Schritt A gestartet, in dem zunächst (Schritt A0) durch wenigstens eine der Identifikationseinrichtungen 12-17''' ein Identifizierungssignal bereitgestellt wird. Das Identifizierungssignal umfasst einen Identifizierungskennwert, der repräsentativ ist für einen durch die jeweilige Einrichtung 12-17 identifizierten Passagier des Fahrzeugs 10 sowie einen Gewichtungskennwert, der repräsentativ ist für eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Passagier um den tatsächlichen Passagier des Fahrzeugs 10 handelt.
Das Programm wird daraufhin in einem Schritt A1 fortgesetzt, in dem abhängig von dem Identifizierungskennwert eine Sitzposition des durch die jeweilige Einrichtung 12-17 identifizierten Passagiers ermittelt wird.
Anschließend wird in einem Schritt A2 abhängig von der ermittelten Sitzposition ermittelt, ob es sich bei dem Passagier um den Fahrer oder einen Beifahrer des Fahrzeugs 10 handelt. Das Programm wird daraufhin in einem Schritt B fortgesetzt.
In dem Schritt B werden abhängig von sämtlichen verfügbaren Identifizierungssignalen ein Fahrer des Fahrzeugs 10 sowie ein Vertrauenskennwert. In diesem Zusammenhang wird zunächst (Schritt B0) abhängig von der jeweiligen das Identifizierungssignal bereitstellenden Einrichtung 12-17''' eine Gewichtung ermittelt, die repräsentativ ist für eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Passagier um den tatsächlichen Passagier des Fahrzeugs handelt.
Im darauffolgenden Schritt B1, B2 wird abhängig von sämtlichen verfügbaren Identifizierungskennwerten, der ermittelten Gewichtung und dem Gewichtungskennwert ein Fahrer des Fahrzeugs 10 aus den identifizierten Passagieren sowie ein Vertrauenskennwert ermittelt, der repräsentativ ist für eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Fahrer um den tatsächlichen Fahrer des Fahrzeugs 10 handelt. Das Programm wird daraufhin in einem Schritt C fortgesetzt.
In dem Schritt C werden abhängig von dem Vertrauenskennwert Fahrzeugfunktionen für den ermittelten Fahrer freigegeben, wobei den freigegebenen Fahrzeugfunktionen Zugriff auf Daten gewährt wird, die dem ermittelten Fahrer zugeordnet sind.
In diesem Zusammenhang werden abhängig von dem Vertrauenskennwert Fahrzeugfunktionen bis zu einer Sicherheitsstufe freigegeben, die zu dem Vertrauenskennwert korrespondieren (Schritt C0), und Fahrzeugfunktionen einer höheren Sicherheitsstufe gesperrt (Schritt C1), die zu einem Vertrauenskennwert korrespondieren, welcher repräsentativ ist für eine höhere Wahrscheinlichkeit, dass es sich bei dem ermittelten Fahrer um den tatsächlichen Fahrer des Fahrzeugs 10 handelt. Den freigegebenen Fahrzeugfunktionen wird daraufhin (Schritt C2) Zugriff auf Daten gewährt, die dem ermittelten Fahrer zugeordnet sind, und den gesperrten Fahrzeugfunktionen der Zugriff verwehrt.
Das Programm wird anschließend, beispielhaft nach Ablauf einer vorgegebenen Zeitspanne wie einer Minute, von vorne gestartet, und zwar unter Berücksichtigung der zuvor ermittelten Daten. Dies ist exemplarisch durch die in diesem Zusammenhang dargestellten Schritte D, E und F gekennzeichnet, die im Wesentlichen den Schritten A, B und C entsprechen.
In Vorteilhafter Weise ermöglicht das Verfahren eine Freigabe von Fahrzeugfunktionen, ohne dass ein Eingriff des Fahrers nötig wäre. Hierbei kann ein Schaden durch fehlerhafte Identifikation so gering wie möglich gehalten werden. Insbesondere trägt das Verfahren zu einer Freigabe unabhängig von der Gesamtzahl an Sensoren bzw. Fahrzeugausstattung bei, ohne dass fehlende oder ausfallende Sensoren das Verfahren maßgeblich beeinträchtigen.
Bezugszeichenliste

1: System
10: Fahrzeug
11: Steuervorrichtung
12: Innenraumkamera
13: Fahrerkamera
14: Sprechererkennungssystem
15: Fahrprofilerkennungssystem
16: Gewichtsensor
17: Schnittstelle
17: Schlüssel
20: Server
21: Speichereinheit
A-F: Programmschritte

Claims

Verfahren zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs, wobei dem Fahrzeug (10) eine Mehrzahl an Einrichtungen (12, 13, 14, 15, 16, 17, 17', 17'', 17''') zur Identifikation eines Passagiers zugeordnet ist, und bei dem Verfahren: (A) durch wenigstens eine der Einrichtungen ein Identifizierungssignal bereitgestellt wird, umfassend einen Identifizierungskennwert, der repräsentativ ist für einen durch die jeweilige Einrichtung identifizierten Passagier; (B) abhängig von sämtlichen verfügbaren Identifizierungssignalen ein Fahrer des Fahrzeugs (10) aus den identifizierten Passagieren sowie ein Vertrauenskennwert ermittelt werden, der repräsentativ ist für eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Fahrer um den tatsächlichen Fahrer des Fahrzeugs (10) handelt; und (C) abhängig von dem Vertrauenskennwert Fahrzeugfunktionen für den ermittelten Fahrer freigegeben werden, wobei den freigegebenen Fahrzeugfunktionen Zugriff auf Daten gewährt wird, die dem ermittelten Fahrer zugeordnet sind.
Verfahren nach Anspruch 1, wobei (B0) abhängig von der jeweiligen das Identifizierungssignal bereitstellenden Einrichtung eine Gewichtung ermittelt wird, und (B1) der Fahrer und/oder der Vertrauenskennwert abhängig von der Gewichtung ermittelt wird.
Verfahren nach einem der Ansprüche 1 oder 2, wobei das Identifizierungssignal einen Gewichtungskennwert umfasst, der repräsentativ ist für eine Wahrscheinlichkeit, dass es sich bei dem ermittelten Passagier um den tatsächlichen Passagier des Fahrzeugs (10) handelt, und (B2) der Fahrer und/oder der Vertrauenskennwert abhängig von dem Gewichtungskennwert ermittelt wird.
Verfahren nach einem der vorstehenden Ansprüche, wobei den Fahrzeugfunktionen jeweils eine Sicherheitsstufe zugeordnet ist, und (C1) abhängig von dem Vertrauenskennwert Fahrzeugfunktionen bis zu einer Sicherheitsstufe freigegeben werden, die zu dem Vertrauenskennwert korrespondieren, und Fahrzeugfunktionen einer höheren Sicherheitsstufe gesperrt werden, die zu einem Vertrauenskennwert korrespondieren, welcher repräsentativ ist für eine höhere Wahrscheinlichkeit, dass es sich bei dem ermittelten Fahrer um den tatsächlichen Fahrer des Fahrzeugs (10) handelt, wobei den freigegebenen Fahrzeugfunktionen Zugriff auf Daten gewährt wird, die dem ermittelten Fahrer zugeordnet sind, und den gesperrten Fahrzeugfunktionen der Zugriff verwehrt wird.
Verfahren nach einem der vorstehenden Ansprüche, wobei (A1) abhängig von dem jeweiligen Identifizierungskennwert eine Position des durch die jeweilige Einrichtung identifizierten Passagiers im Fahrzeug ermittelt wird, und (A2) abhängig von der ermittelten Position ermittelt wird, ob es sich bei dem Passagier um den Fahrer oder einen Beifahrer des Fahrzeugs (10) handelt.
Verfahren nach einem der vorstehenden Ansprüche, wobei (D) das Identifizierungssignal innerhalb eines vorgegebenen Zeitintervalls wiederholt bereitgestellt wird; (E) der Fahrer des Fahrzeugs (10) sowie der Vertrauenskennwert wiederholt ermittelt werden; und (F) abhängig von dem wiederholt ermittelten Vertrauenskennwert Fahrzeugfunktionen freigegeben bzw. gesperrt werden.
Vorrichtung (11) zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs (10), wobei die Vorrichtung (11) signaltechnisch mit einer Mehrzahl an Einrichtungen (12, 13, 14, 15, 16, 17, 17', 17'', 17''') zur Identifikation eines Passagiers gekoppelt ist und eingerichtet ist, das Verfahren nach einem der Ansprüche 1 bis 6 auszuführen.
Vorrichtung (11) nach Anspruch 7, wobei die Mehrzahl an Einrichtungen (12, 13, 14, 15, 16) zur Identifikation eines Passagiers eines oder mehrere umfasst aus: - einer Innenraumkamera (12), - einer Fahrerkamera (13), - einem Sprechererkennungssystem (14), - einem Fahrprofilerkennungssystem (15), und - einem Gewichtsensor (16).
Vorrichtung nach Anspruch 7 oder 8, wobei die Mehrzahl an Einrichtungen (17', 17'', 17''') zur Identifikation eines Passagiers (1', 2') einen dem Passagier (1', 2') zugeordneten Schlüssel (17', 17'', 17''') umfasst.
Fahrzeug (10), umfassend die Vorrichtung (11) nach Anspruch 7 sowie eine oder mehrere der Einrichtungen (12, 13, 14, 15, 16) nach Anspruch 8 und/oder eine Schnittstelle (17) zur Verifizierung des Schlüssels (17', 17'', 17''') nach Anspruch 9.
System (1), umfassend eine Vielzahl an Fahrzeugen (10) nach Anspruch 10 sowie einen Server (20) mit einer Speichereinheit (21), wobei - die Vielzahl an Fahrzeugen (10) signaltechnisch mit dem Server (20) gekoppelt ist, - in der Speichereinheit (21) einem jeweiligen Halter der Vielzahl an Fahrzeugen (10) zugeordnete Daten bezüglich einer oder mehrerer Fahrzeugfunktionen des jeweiligen Fahrzeugs (10) hinterlegt sind, und - das System (1) eingerichtet ist, freigegebenen Fahrzeugfunktionen Zugriff auf Daten zu gewähren, die dem ermittelten Fahrer zugeordnet sind.
Computerprogramm zur Freigabe von Fahrzeugfunktionen eines Fahrzeugs (10), umfassend Befehle, die bei der Ausführung des Computerprogramms durch einen Computer diesen veranlassen, das Verfahren nach einem der Ansprüche 1 bis 6 auszuführen.
Computerlesbares Speichermedium, auf dem das Computerprogramm nach Anspruch 12 gespeichert ist.