Allgemeine Zugangskontrollen von
Personen zu sicherheitskritischen Bereichen können im Rahmen eines organisatorischen
und logischen Sicherheitskonzeptes als technische Maßnahme verstanden
werden, durch die der physikalische Zugriff einer Person bspw. auf
ein konkretes Gut reguliert wird. Dabei läßt sich der Vorgang der Zugangskontrolle
in die folgenden Schritte untergliedern:
Zunächst erfolgt
eine Identifikation der jeweiligen Person, durch die die Identität bzw. Pseudonymität der Person
festgestellt wird. Dabei handelt es sich rein verfahrenstechnisch
um eine Verknüpfung
von Informationen über
die jeweilige Person mit Informationen über eine Vielzahl von Personen
(1:n-Verknüpfung).
Als nächster Schritt gilt es den
einen Nachweis über
eine korrekt durch die Identifizierung hergestellte Verknüpfung zwischen
der jeweiligen Person und ihrer tatsächlich vorgegebenen Identität nachzuweisen.
Dies erfolgt im Rahmen einer Authentisierung (1:1-Verknüpfung).
Schließlich
gilt es die durchgeführten
Maßnahmen
zu erfassen und zu protokollieren und gegebenenfalls sicherheitsrelevante Ereignissen
zu analysieren.
Die Authentisierung als wesentlicher
Schritt der Zugangskontrolle prüft,
ob die vorgegebene Identität
eindeutig zu einer Person gehört.
Diese Überprüfung kann
dabei durch verschiedene Authentisierungsmechanismen verifiziert
werden. Im einfachsten Fall durch Abfrage einer nur der Person bekannten,
wissensbasierten Information, wie etwa eine Persönliche Identifikationsnummer
(PIN) oder ein Passwort. Eine derartige wissensbasierte Authentisierung
ist einfach zu realisieren und garantiert einen zügigen Verfahrensablauf.
Allerdings weist das Verfahren erhebliche Nachteile auf, so kann
das Wissen vergessen werden, beziehungsweise im gegebenen Anwendungskontext
unter Androhung von Gewalt weitergeben werden.
Alternativ zur wissensbasierten Authentisierung
ist es möglich
die Authentisierung auch durch Besitz zu erzielt, indem die Person
einen für
sie personalisierten Ausweis mit sich führt, bspw. in Form eines Tokens,
wie etwa eine Magnet- oder Chipkarte. Oft werden die beiden Verfahren
kombiniert, indem neben dem Besitz des Tokens auch ein spezielles Wissen
der Person geprüft
wird.
Als dritte Alternative besteht die
Möglichkeit zu
korrekten Herstellung einer Verknüpfung zwischen einer Person
und einer von ihr vorgegebenen Identität in der Verwendung die Person
auszeichnender physiologischer oder verhaltenstypischer Charakteristika,
die durch ein biometrisches Verfahren erfaßt und kontrolliert werden.
Die dabei zu erfassenden Eigenschaften können als biometrisches Merkmal
statischer Natur sein (Gesicht, Iris etc.) oder auch ein dynamisches
Attribut beschreiben wie zum Beispiel die Stimme, der Schreibrythmus
oder der Herzschlag der Person. Viele der vorab genannten Nachteile
der ersten beiden Alternativen Authentisierungsverfahren (Verlust,
Weitergabe...) treffen auf eine biometrische Authenfizierung jedoch
nicht zu.
Bislang bekannte Zugangskontrollsysteme, die
auf der Technik biometrischer Authentisierung basieren, bestehen
aus einer Reihe von Komponenten, die im Folgenden kurz erläutert werden:
Als
wesentliches Element dient ein Sensor als Schnittstelle zwischen
der zu verifizierenden Person und dem Zugangskontrollsystem. Der
Sensor erfaßt ein
oder mehrere biometrische Merkmal der Person, z.B. mittels eines
Gesichtsscans und propagiert die aufgezeichneten biometrischen Daten
an eine rechnergestütze
Verarbeitungseinheit, die in aller Regel eine Merkmalsextraktion
durchführt,
um die erfassten biometrischen Daten kürzer und trennschärfer zu
beschreiben. Ferner wird von der Verarbeitungseinheit ein Abgleich
zwischen den aus den erfassten biometrischen Daten extrahierten
Merkmale mit einem oder mehreren Referenzprofilen bzw. Referenzdaten durchgeführt.
Biometrische Systeme können als
Verifikationssysteme, im Sinne einer Authentisierung, oder als Identifikationssystem
ausgeprägt
sein. Bei einem Verifikationssystem gibt die zu verifizierende Person eine
Identität
an, zu der ein Referenzbild als sogenanntes Template vorliegt oder
bereitgestellt wird.
Sofern biometrische Systeme mit besitz-basierten
Systemen kombiniert werden, kann beispielsweise das Template auf
einer Chip-Karte abgelegt sein. Zum Zeitpunkt der Verifikation wird
dann ein Vergleich des erfaßten
Bildes mit dem Template durchgeführt
(1:1 Vergleich). In Abhängigkeit
vom Ergebnis dieses Vergleichs wird dann auf Zugang des Nutzers
oder Zurückweisung
entschieden.
Grundsätzlich ist vor Nutzung eines
biometrischen Zugangskontollsystems ein Einlernvorgang notwendig,
um von dem zu registierenden Nutzer eines oder mehrere Template/s
zu erfassen, die mit seiner Identität verknüpft werden und als Referenzprofil
dienen. Diese Templates werden in der Referenzdatenbank bzw. auf
der Chip-Karte abgelegt.
Ferner sind physikalische Zugangskontrollsysteme
bekannt, die meist auf Bild- oder Videostromauswertung basierende
Verfahren beruhen. Neben dem von einer Person aufgezeichneten Bild des
Gesichtes, werden in hybriden Systemen zusätzlich die Bewegung der Lippen
sowie das Stimmsignal aufgezeichnet und analysiert. Durch die Auswertung eines
Passwortes in einem zusätzlichen
Audio-Informationskanal ist die Möglichkeit gegeben, schärfere Regeln
für die
Akzeptanz und damit niedrigere Falsch-Akzeptanz-Raten (FAR) zu erreichen.
Schließlich ist ein weiteres alternatives
System, nämlich
die Klasse der Iris-Scanner bekannt, die durch Analyse einer hochauflösenden Aufnahme
der Iris den Nutzer zu authentisieren vermögen. Dabei wird die Struktur
des die Pupille umgebenden Gewebes zur Gewinnung von Merkmalen verwendet. Durch
den randotypischen Charakter der Struktur lassen sich sowohl Zwillinge
als auch linkes und rechtes Auge einer Person unterscheiden. Weiterhin ist
die Tatsache erwähnenswert,
daß die
randotypischen Merkmale der Iris vom frühen Lebensalter an bis zum
Tode stabil bleiben. Im Gegensatz zu anderen Verfahren ist somit
ein Alterungs-Problem, d.h. ein erneutes Einlernen des Merkmals
nach einem gewissen Zeitraum, nicht gegeben.
Der Erfindung liegt die Aufgabe
zugrunde ein Verfahren sowie eine Vorrichtung zur Verifikation autorisierter
Personen zur Steuerung eines Verkehrsmittels anzugeben, das bzw.
die als praktikable Lösung
im der Bereich eines Steuerstandes eines Verkehrsmittels, insbesondere
im Cockpit eines Flugzeuges, anwendbar sowie integrierbar ist, ohne
die Betriebssicherheit sowie den technischen Bedienkomfort der Steuerung
des Verkehrsmittels nachhaltig zu beeinträchtigen. Es soll eine Lösung gefunden werden,
durch die die jeweilige Person während
ihrer Steuertätigkeit
des Verkehrsmittels weder abgelenkt noch über Gebühr belastet werden soll. Hierbei
gilt es im einzelnen Maßnahmen
anzugeben, die eine Steuerung eines Verkehrsmittels durch eine unbefugte Person
unmöglich
machen, so daß gewährleistet werden
kann, dass Vorfälle,
wie sie mehrfach am 11. September 2001 in New York sowie Washington
vorkamen, sicher ausgeschlossen werden können.
Die Lösung der der Erfindung zugrundeliegenden
Aufgabe ist im Anspruch 1 angegeben. Gegenstand des Anspruches 16
betrifft eine erfindungsgemäße Vorrichtung.
Den Erfindungsgedanken vorteilhaft weiterbildenden Merkmale sind
in den Unteransprüchen
sowie der gesamten Beschreibung unter Bezugnahme auf die Ausführungsbeispiele
zu entnehmen.
Erfindungsgemäß werden bei dem Verfahren zur
Verifikation autorisierter Personen zur Steuerung eines Verkehrsmittels
von der zu verifizierenden Person vor einer Übernahme der Steuerung des
Verkehrsmittels und/oder während
der Steuerung des Verkehrsmittels biometrische Daten erfasst. Die
erfassten biometrischen Daten werden mit Referenzdaten verglichen
werden, wobei im Falle keiner Übereinstimmung
zwischen den erfassten biometrischen Daten und den Referenzdaten
eine die Steuerung des Verkehrsmittels übernehmende, autonom arbeitende
Steuereinheit aktiviert wird.
Grundsätzlich eignen sich für die Erfassung der
biometrischen Informationen alle Arten biometrischer Merkmale wie
bspw. Gesichtszüge,
Irisstruktur, Stimme, Herzschlag, organische Funktionen, Fingerabdruck
der jeweiligen Person, um nur einige zu nennen.
Aus Praktikabilitätsgründen, insbesondere in Hinblick
auf die konkrete Situation in einem Steuerstand eines Verkehrsmittels,
so bspw. im Cockpit eines Flugzeuges, haben sich jedoch die Gesichtszüge sowie
die Iris-Struktur als besonders bevorzugte Entscheidungskriterien
aus der Gruppe der biometrischen Informationen für den Autorisierungsnachweis der
jeweiligen Person herausgestellt. Nochmals sei jedoch ausdrücklich darauf
hingewiesen, dass das erfindungsgemäße Verfahren auch mit alternativen biometrische
Merkmalen oder in Kombination mit weiteren biometrische Merkmalen
durchaus erfolgreich anwendbar ist. Je nach den in den jeweiligen Steuerständen vorherrschenden
Rahmenbedingungen können
somit geeignete Überprüfungskriterien herangezogen
werden.
Die weiteren Ausführungen beziehen sich vornehmlich
auf den konkreten Anwendungsfall der Überprüfung eines Piloten in einem
Cockpit eines Flugzeuges. Jedoch ist die der im weiteren beschriebenen
Pilotenverifizierung zugrundeliegende technische Lehre auch auf
die Verifizierung von Zugführer, Lenker
von Kraftfahrzeugen aller Art sowie Kapitänen bzw. verantwortliches Personal
von Schiffen übertragbar
und anwendbar.
Das erfindungsgemäße Sicherheitssystem für Flugzeuge
basiert auf der Erkennung einer befugten Person über ein kombiniertes biometrisches
System. Unter befugten Personen ist in diesem Zusammenhang das zur
Flugzeugführung
autorisierte Cockpitpersonal gemeint, d.h. der Pilot sowie Co-Pilot.
Dieses biometrische System ist im Cockpit eines Flugzeuges installiert
und beinhaltet die Kombination einer Gesichtserkennung mit einem
Iris–Scan.
Die Kombination der biometrischen
Systeme ist derart gewählt,
um größtmögliche Erkennungssicherheit
zu gewährleisten.
So sieht das System wenigstens eine vorzugsweise hochauflösende Kamera auf,
die im Cockpit integriert ist und den Bereich zumindest des Pilotensitzes
erfasst, so dass eine Gesichtserfassung der auf dem Pilotensitz
befindlichen Person möglich
ist. Ein entsprechendes Systems ist ebenso für den Copilotensitz vorzusehen
oder eine einzige Kamera erfasst beide Sitzplätze. Neben der Aufgabe der
Kamera zur Gesichtserkennung sollte sie auch für einen Iris-Scan geeignet
sein. Sollte sich jedoch eine derartige Kombination als unsachgemäß herausstellen,
so ist an einem entsprechenden weiteren Platz eine zweite Kamera
zur Iriserfassung vorzusehen. Eine derartige Iris-Scankamera sollte
in einem Bereich innerhalb des Cockpits vorgesehen sein, so dass
die zu überprüfende Person
nicht zu sehr von ihren eigentlichen Cockpitaufgaben während des
Iris-Scans abgelenkt wird.
Zur Überprüfung der jeweiligen Person
ist es grundsätzlich
möglich
den Vorgang der Gesichts- und Iriserkennung sequentiell, also zeitlich
nacheinander oder durchzuführen
oder simultan, also zeitgleich.
Anhand des in 1 dargestellten Flußdiagramms soll zunächst der
Verfahrensablauf einer sequentiellen Gesicht- und Iriserkennung
erläutert
werden.
In einem ersten Schritt erfolgt die
Gesichtserkennung, die im Falle eines positiven Überprüfungsergebnisses unmittelbar
den zweiten Schritt, die Iriserkennung, folgen lässt. Fallen beide Überprüfungen positiv
aus, was der Normalfall sein sollte, so gilt die Person als erkannt
und somit als befugt das Flugzeug zu steuern.
Scheitert jedoch die Gesichtserkennung beim
ersten mal, so wird trotzdem der zweite Schritt, nämlich der
Iris-Scan durchgeführt.
Führt die Iris-Überprüfung zu
einem positiven Überprüfungsergebnis,
so gilt die Person ebenfalls als erkannt und befugt das Flugzeug
zu steuern. Da der Iris-Scan gegenüber der Gesichtserkennung die
weitaus höheren Anforderungen
an zu erfüllende
Identitätskriterien stellt,
werden dem Iris-Scan höhere
Entscheidungsrechte zugesprochen als der Gesichtserkennung.
Scheitern jedoch beide Überprüfungsschritte,
so werden beide Überprüfungsschritte
vorzugsweise mehrmals nacheinander durchlaufen, um mögliche Systemfehler
auf ein Minimum zu begrenzen. Bleiben die Überprüfungsergebnisse auch nach n-maligem Durchlauf
beider Überprüfungsschritte negativ,
so ist die Person als unbefugt erkannt worden.
Je nach Einsatzbedingungen kann die
n-malige Repetition der Überprüfungsschritte
nach jeweils festgestellter nicht Übereinstimmung der zu vergleichenden
Muster, also Gesichts- oder Irismuster, auch nur auf eine Wiederholung
der Überprüfung der
Iriserkennung beschränkt
bleiben.
In ähnlicher Weise erfolgt alternativ
zur vorstehend erläuterten
sequentiellen Überprüfungsmethode
die gemäß 2 dargestellte parallele
oder zeitgleiche Überprüfung der
Gesicht- und Iriserkennung.
Von einer einzigen oder zwei getrennten
Kameras werden das Gesicht sowie die Iris der zu überprüfenden,
auf dem Piloten- oder Copilotensitz befindlichen Person aufgenommen
und überprüft. Führen beide Überprüfungen zu
einem positiven Ergebnis, so ist die Person erkannt und als befugt
befunden. Treten jedoch entweder bei der Gesicht- oder bei der Iriserkennung
eine Fehlübereinstimmung
auf, so werden die jeweiligen Überprüfungen mehrmals wiederholt.
Bleiben beide Prüfungsergebnisse
negativ so ist die Person als unbefugt erkannt. Bleibt jedoch nur
das Überprüfungsergebnis
bei der Gesichtserkennung negativ und wird hingegen die Iris erkannt,
so überwiegt
die Iriserkennung und die Person gilt als positiv erkannt.
Wie bereits in beiden vorstehenden
alternativen Überprüfungsverfahren
aufgezeigt soll der Iris-Scan bei unterschiedlichen Erkennungsergebnissen
den Ausschlag geben, da er das sicherere Erkennungsmedium ist, d.h.
eine niedrigere Falsch-Rückweisungsrate
angenommen werden kann. Die Gesichtserkennung soll trotzdem angewandt
werden, da sie im Flugbetrieb für
die zu überprüfende Person,
also dem Piloten komfortabler, d.h. unmerklicher und damit weniger
störend,
eingesetzt werden kann.
Zur Durchführung der Gesichts- und Iriserkennung
sind neben der erwähnten
wenigstens einen Kamera als Schnittstelle zwischen der zu überprüfenden Person
und einer die tatsächliche Überprüfung ausführenden
rechnergestützten
Verarbeitungseinheit ein Referenzdatensatz erforderlich, der zumindest
genaue Informationen hinsichtlich biometrischer Kenndaten über die
berechtigte Person enthält.
Vorzugsweise sind die biometrischen Referenzdaten der jeweiligen
Person bzw. Personen in einer Datenbank gespeichert, die redundant
ausgelegt sein sollte und beispielsweise in der Zentrale der Fluglinie
angesiedelt sein.
Das Erfassen und Einlernen der biometrischen
Daten der befugten Personen in die Datenbank sollte von den jeweiligen
Fluglinien durchgeführt
werden. Bei der Durchführung
der Datenerfassung sowie Abspeicherung in die Datenbank ist die Organisationsstruktur
der Fluglinie ausschlaggebend. So kann die Datenerfassung über eine
zentrale Personalabteilung oder über
dezentrale Personalabteilungen erfolgen. In jedem Fall sollten für den Ort und
die Abteilungen, die das Eintragen der Daten in die Datenbank durchführen, hohe
Sicherheitsvorkehrungen getroffen werden, so dass es einem Unbefugten
nicht möglich
ist seine Daten auf der Datenbank zu hinterlegen.
Das Einlernen der Daten kann üblicherweise über einen
PC und eine geeignete Kamera durchgeführt werden, wobei die Anzahl
der Aufnahmen oder Einstellungen von der Art des angewandten biometrischen
Systems abhängt.
Die Beleuchtungsverhältnisse
beim Erfassen und Einlernen sollten auf die in einem Flugzeugcockpit
zu erwartenden Verhältnisse abgestimmt.
Da die erfassten Daten nicht automatisch
in jedem Flugzeug präsent
sind, sondern vorzugsweise zentral vorliegen, dient ein elektronischer
Dienstausweis der befugten Person als Trägermedium für die personenspezifischen
Referenzdaten.
Übernimmt
ein Pilot ein Flugzeug für
einen durchzuführenden
Flug so bedarf es beim Betreten des Cockpits und vor Inbetriebnahme
des Flugzeuges einer Initialautorisierung. Hierzu gilt es zwei Kriterien
zu erfüllen:
- – Besitz,
d.h. Präsenz
des elektronischen Dienstausweises. Hierzu muss der Pilot seinen
elektronischen Dienstausweis in einen Kartenleser an Bord des Flugzeuges
stecken, um das bordeigene Überprüfungssystem
mit seinen personenspezifischen Informationen zu versorgen.
- – Gesichts-
und Iriserkennung. Eine Kamera erfasst Gesicht und Iris des Piloten
und vergleicht die aufgenommenen Merkmale mit den biometrischen
Referenzdaten auf elektronischem Dienstausweis.
Sind beide Kriterien erfüllt, so
handelt es sich um eine befugte Person.
So dient der elektronische Dienstausweis
als mobiler Datenträger,
auf dem die jeweiligen biometrischen Merkmalsdaten der befugten
Person abgespeichert sind, zur Verifikation der Person bei Flugbeginn.
Der Dienstausweis kann entweder durch eine kontaktbehaftete Schnittstelle
oder eine Luftschnittstelle mit dem an Bord befindlichen Sicherheitssystem
kommunizieren. Als multifunktional ausgerichtete Karte können darüber hinaus
auch noch weitere Informationen und Daten auf dem Dienstausweis
gespeichert werden. Neben biometrischen Merkmalen sind dies vor
allem individuelle Flugaufträge,
d.h. Kenndaten über
den aktuell durchzuführenden
Flug (Start, Ziel, Datum etc.).
Sowohl die Richtigkeit der auf der
Karte gespeicherten Informationen wie die Authentizität und Integrität der biometrischen
Referenzdaten sowie auch weitere Informationen wie Flugauftrag,
als auch der unberechtigte Zugriff durch einen dritte Person auf
den Dienstausweis kann durch wenigstens eine elektronische Signatur
gewährleistet
werden. Die Daten sind auf diese Weise kryptografisch gesichert.
Eine weitere Sicherungsmöglichkeit
könnte darin
bestehen, dass der Flugauftrag zusätzlich durch eine zweite Signatur,
die beispielsweise durch die lokale Flugaufsicht erstellt wird,
gesichert wird, die kurz vor Flugantritt zu bestätigen ist. Derartige Massnahmen
gilt es mit den Gepflogenheiten der jeweiligen Fluglinien im einzelnen
hinsichtlich Praktikabilität
zu klären.
Auch ist es grundsätzlich denkbar
alle auf dem mobilen Datenträger
abgespeicherten Informationen neben kryptographische Vorkehrungen
auch mittels biometrischer Informationen gegen einen unberechtigten
Zugriff von Seiten Dritter zu sichern, bspw., indem die befugte
Person per Fingerabdrucküberprüfung den
Inhalt des mobilen Datenträgers
frei gibt.
Zur Durchführung des vorstehend beschriebenen
Verfahrens bedarf es einer erfindungsgemäßen Vorrichtung zur Verifikation
autorisierter Personen zur Steuerung eines Verkehrsmittels, insbesondere
eines Flugzeuges, mit wenigstens einer von der Person, die sich
an einem Steuerplatz innerhalb des Verkehrsmittels befindet, biometrische
Daten erfassenden Sensoreinheit, einer rechnergestützten Verarbeitungseinheit,
die die erfassten biometrischen Daten aufbereitet und mit abgespeicherten
personenspezifischen Referenzdaten abgleicht, sowie einer autonom
arbeitenden Steuereinheit, die aktivierbar ist und die automatische
Steuerung des Verkehrsmittel übernimmt.
So gilt es alle erforderlichen Komponenten
in das Hardwareumfeld des jeweiligen Steuerstandes einzubetten.
Die Hardwarekomponenten umfassen dabei hauptsächlich den Kartenleser, den
Rechner sowie die Kamera, wobei alle Komponenten möglichst
klein ausgebildet sein müssen,
um dem geringen Platzangebot bspw. in einem Cockpit Rechnung zu
tragen.
Im weiteren sei die Funktionsweise
des erfindungsgemäßen Überwachungssystem
kurz beschrieben:
Verhält
sich eine unbefugte Person in einem Cockpit so, dass eine Entführung des
Flugzeuges an einen anderen Zielort befohlen wird, so kann die befugte Person,
d.h. der Pilot seinen Anweisungen Folge leisten, um das Leben der
Personen im Flugzeug nicht zu gefährden. Diese Form der Flugzeugentführung ist
eine bekannte und in der Vergangenheit angewandte Form des Terrorismus.
Verhält sich die unbefugte Person
jedoch derart, dass sie die Steuerung des Flugzeuges selbst übernimmt
und die befugten Personen im Cockpit ausschaltet, so wird dies vom Überwachungssystem erkannt
und eine Steuereinheit, die den Autopilot des Flugzeuges umfasst,
aktiviert. Nach Aktivierung der Steuereinheit, die vollständig autonom
arbeitet, d.h. ohne die Möglichkeit
bspw. den Autopilot von einer nicht autorisierten Person zu manipulieren,
wird das Flugzeug kontrolliert auf einen nächstliegenden, geeigneten Flugplatz
gelandet. Dieser Vorgang ist irreversibel.
Hiervon ist jedoch die Aktivierung
des Autopiloten durch eine Fehlfunktion oder durch eine vom Piloten
durchzuführende
Routinefunktion im Cockpit zu unterscheiden. In diesem Fall kann
bspw. die befugte Person durch eine erneute Authentisierung einen
fehlerhaften Vorgang stoppen, d.h. dieser Vorgang ist reversibel.
Die Überprüfung der Cockpitbesatzung während eines
Fluges kann in kurzen Zeitintervallen, z.B. alle 5 Minuten, wiederholt
werden, wobei eine sequentielle Durchführung der Gesichts- und Iriserkennung
sinnvoll ist. Es kann auch lediglich die Gesichtserkennung zur Authentisierung
herangezogen werden, die für
die befugten Personen unmerklich im Hintergrund erfolgt. Sollte
die Erkennung nicht positiv verlaufen kann man für diesen Fall den Iris-Scan
hinzunehmen.
Eine Authentisierung kann auch jeweils
nach einer Änderung
der Flugroute notwendig werden oder bei Rückkehr der befugten Person
auf seinen Platz.
Hat die befugte Person kurzzeitig
ihren Platz verlassen und sich aus dem Gesichtsfeld der Kamera entfernt,
so muss sie bei der Rückkehr
auf den Platz als befugte Person wiedererkannt werden.
Das System kann aber auch derart
ausgestaltet sein, dass nach der erfolgreichen Authentisierung nach
Flugbeginn das Sicherheitssystem in einen „stand by Modus" versetzt wird und
lediglich im Gefahrenfall über
einen „panic
button" aktiviert
wird und damit dann im vollen Umfang zur Verfügung steht.
Im Falle einer von dem System als
unbefugt erkannten Person wird die Steuerung des Flugzeuges vorzugsweise
nicht plötzlich
dem Autopiloten übergeben.
Vielmehr wird die Aktivierung in Schritten angekündigt, wobei in gewissen Zeitspannen
bestimmte Authentisierungprozesse vorzunehmen sind. Fehlfunktionen
können
hierdurch vermieden werden.
Der Vorteil des vorstehend beschriebenen Sicherheitssystems
VAP I (Verification of Authorized Persons) liegt in der Sicherung
von Menschen, seien es Personen, die sich im Flugzeug befinden,
seien es Personen, die sich auf dem Boden in Gebäuden befinden. Diese bessere
Absicherung erfolgt unter Verwendung der neuesten Entwicklungen
von Software (Biometrie, Flugzeugnavigation) und Hardware. Die Zuverlässigkeits-
sowie Sicherheitskriterien, die für den Flugverkehr Anwendung
finden, werden von diesem System nicht beeinflusst und überdies
eingehalten.