-
Die
Erfindung betrifft ein Benutzeridentifikationsverfahren, wobei in
einer ersten Identifikationsprozedur Identifikationsdaten eines
ersten Typs, die zu einer zu identifizierenden Zielperson gehören, ermittelt
werden und die ermittelten Identifikationsdaten des ersten Typs
mit vorher gespeicherten Benutzeridentifikationsdaten des ersten
Typs verglichen werden, die einem berechtigte Benutzer zugeordnet sind,
und wobei, wenn gegeben ist, dass eine Übereinstimmung der protokollierten
Identifikationsdaten mit den gespeicherten Benutzeridentifikationsdaten mindestens
in einem gewissen Ausmaß vorliegt,
die Identität
der Zielperson mit dem berechtigten Benutzer festgestellt wird.
Darüber
hinaus betrifft die Erfindung eine entsprechende Benutzeridentifikationseinrichtung
zum Durchführen
eines derartigen Verfahrens.
-
Bei
zahlreichen Geräten
und Einrichtungen, wie beispielsweise Geldautomaten oder anderen
Terminals, Zugangsüberwachungseinrichtungen,
Computern, Mobilfunkgeräten,
Organizern, Geräten
der Unterhaltungselektronik, wie z.B. Fernsehern, Videorecordern
oder DVD-Recordern, HiFi-Systemen usw., Haushaltsgeräten, Telefondiensten
oder Internetdiensten, Fahrzeugen usw. (unten recht allgemein kurz
als Dienstsysteme bezeichnet), ist es wünschenswert oder möglicherweise
sogar notwendig, dass das jeweilige Dienstsystem den Benutzer identifizieren
kann. Eine grundsätzliche
Notwendigkeit einer eindeutigen Benutzeridentifikation existiert
natürlich
bei sicherheitsrelevanten Anwendungen, beispielsweise im Fall von
Geldautomaten, im Fall von Zugangsüberwachungseinrichtungen für sicherheitsrelevante
Räume oder
im Fall von Computernutzung mit sicherheitsrelevanten Daten. In
anderen Fällen kann
sich das Dienstsystem mit der Hilfe der Benutzeridentifikation automatisch
auf den jeweiligen Benutzer einstellen, was den Bedienungskomfort
des Dienstsystems für
den Benutzer spürbar
steigern kann. Beispielsweise können
in einem Automobil die Sitze und der Spiegel, wenn er einsteigt,
sobald er identifiziert worden ist, sogar automatisch in die Stellung
bewegt werden, die dem jeweiligen Benutzer passt. Im Falle eines
Fernsehers kann der vom jeweiligen Benutzer bevorzugte Kanal und
auch die normalerweise gewünschte
Lautstärke
automatisch voreingestellt werden, und bei der Nutzung eines Internetbrowsers
auf einem PC können
die persönlichen Benutzereinstel lungen
des Browsers automatisch geladen werden, beispielsweise ein persönlicher
Verlauf, der es dem Benutzer möglich
macht, eine vorherige Sitzung fortzusetzen oder gewisse Seiten schnell
zu erreichen, die er persönlich
bevorzugt.
-
Häufig wird
ein Benutzer zu Beginn der Nutzung in einer speziellen Identifikationsprozedur
identifiziert, beispielsweise, wenn sich der Benutzer am Dienstsystem „anmeldet". Wie zu Anfang beschrieben,
werden während
der Identifikationsprozedur Identifikationsdaten ermittelt, die
zur Zielperson gehören.
-
Die
Identifikationsdaten können
beispielsweise ein Benutzername und ein Kennwort oder eine PIN usw.
sein. Allerdings können
sie auch biometrische Benutzerdaten sein. Nach allgemeinem Verständnis bedeuten
biometrische Daten die sehr verschiedenartigen körperlichen Attribute eines
Benutzers, wie beispielsweise ein Fingerabdruck, ein Handabdruck,
eine Sprechercharakteristik, eine Irisstruktur, die Gesichtsproportionen
oder andere biologische Merkmale aller Art, wie z.B. Körpertemperatur
usw. Im Kontext dieses Dokuments können jedoch Charakteristika
der Handschrift oder der Besitz eines gewissen personalisierten
Gegenstands, beispielsweise einer Chipkarte, eines Mobilfunkgeräts, eines
Taschencomputers oder sogar eines Autoschlüssels usw. als Identifikationsdaten
angesehen werden.
-
Abhängig vom
Typ der Identifikationsdaten werden letztere durch aktive Eingabe
der Einzelperson, beispielsweise durch Tasteneingabe der PIN oder
des Kennworts auf einer Tastatur oder durch Bewerten visuell, akustisch
und/oder auf andere Weise sensorisch detektierter Benutzerdaten
ermittelt. Beispiele hierfür
sind die automatische Bewertung eines Bildes des Benutzers als ganzes
oder von Körperteilen
des Benutzers, die Bewertung eines Fingerabdrucks oder die Bewertung
von Sprachsignalen. Die Signale können mit herkömmlichen
Einrichtungen wie z.B. einem Mikrofon oder einer Kamera detektiert werden.
Außerdem
sind jedoch verschiedene spezielle Sensoren, beispielsweise biometrische
Sensoren zum Detektieren von Fingerabdruckdaten usw. oder Kartenleseeinrichtungen
oder dergleichen verfügbar,
die per Kontakt oder ohne Kontakt arbeiten. Ein weiterer Weg, Identifikationsdaten
zu gewinnen, ist es, das Verhalten des Benutzers in gewissen Situationen
zu analysieren, beispielsweise die Registrierung einer gewissen
Art der Mausbenutzung, des Eingebens auf einem Berührbildschirm
oder des Doppelklickens oder eine gewisse Berührweise beim Benutzen einer
Tastatur. Insbesondere können
die individuellen Verhaltensmerkmale des Benutzers an einer gewissen
Eingabeeinrichtung in diesem Zusammenhang verwendet werden, um ein
benutzerspezifisches Verhaltensmuster zu bilden.
-
In
der Regel ist die Identifikationsprozedur dem jeweiligen Benutzer
relativ lästig.
Im Falle sicherheitsrelevanter Dienstsysteme wird eine derartige
Identifikationsprozedur im Allgemeinen bereitwillig akzeptiert,
da dem Benutzer dadurch das Gefühl
gegeben wird, dass seine Interessen durch die Prozedur ebenfalls
in geeigneter Weise abgesichert werden. Ein solches Identifikationssystem
ist durch WO 01/91038 A1 vorgeschlagen, das dazu dient, Benutzerzugang
zu einem Bereich oder einem Gebäude
zu gestatten oder zu verweigern. Ein berechtigter Benutzer wird
im System registriert, beispielsweise durch Speichern von Fingerabdruckdaten
zu diesem Benutzer. Bei einem nachfolgenden Zugangsversuch werden
zu dem Benutzer neue Fingerabdruckdaten erfasst und mit den im Registrierschritt
gespeicherten Daten verglichen, um zu entscheiden, ob dieser Benutzer
berechtigt ist oder nicht. Jedoch wird, da der Benutzer jedes Mal
darauf warten muss, dass die biometrischen Daten gesammelt werden
und der Entscheidungsfindungsprozesses abgeschlossen wird, dieses
System durch den Benutzer als lästig
und zeitaufwendig wahrgenommen. Außerdem werden, sobald ein Benutzer
Zugang zum geschützten
Bereich erhalten hat, keine weiteren Identifikationsprüfungen vorgenommen.
Daher würde
ein Eindringling durch dieses System nicht entdeckt werden, sobald
es ihm, mit welchen Mitteln auch immer, gelingt, die Identifikationsstufe
zu überwinden.
-
Im
Falle von Dienstsystemen, in denen es hauptsächlich von Bedeutung ist, den
Bedienungskomfort für
den Benutzer als Folge davon zu steigern, dass beispielsweise das
Dienstsystem nach dem Erkennen des Benutzers geeignete Voreinstellungen für den Benutzer
vornimmt, würde
es der Benutzer in der Regel nicht mögen, diese Bedienungskomfort-Vorteile
durch zusätzliche
Identifikationsprozeduren zu erlangen, die ihm lästig sind. Dies gilt insbesondere
in jenen Fällen,
in denen das Dienstsystem durch den Benutzer über einen zusammenhängenden
längeren
Zeitraum verwendet wird, wie beispielsweise im Falle eines Computers,
eines Automobils oder eines Fernsehgeräts usw., und in denen es nicht unabhängig garantiert
werden kann, ob der Benutzer sich korrekt „abgemeldet" hat, als er sich
das jeweilige Dienstsystem nicht länger zunutze machen wollte, oder
ob möglicherweise
eine andere Einzelperson mittlerweile das Dienstsystem legitim oder
sogar illegitim statt des berechtigten Benutzers benutzt. Im Falle
derartiger Dienstsysteme ist es unvermeidbar, dass die Identifikationsprozedur
auch mindestens in gewissen Zeitintervallen während der Benutzung wiederholt
wird, wobei eine Identifikationsprozedur, die aktiv vom Benutzer
selbst durchzuführen
ist oder aktiv zu unterstützen
ist, besonders lästig
ist.
-
Um
dieses Problem zu lösen,
schlägt
US 6.193.153 für einen
Computer ein Benutzeridentifikationsverfahren des zu Anfang erwähnten Typs
vor, wobei eine periphere Computereinrichtung, beispielsweise eine
Maus, die der Benutzer verwendet, um Befehle in den Computer einzugeben,
mit einem biometrischen Sensor in einer derartigen Weise verbunden
ist, dass biometrische Daten des Benutzers automatisch permanent
oder in regelmäßigen Intervallen
detektiert werden können,
während
die periphere Computereinrichtung benutzt wird, und infolgedessen
eine ständige
Prüfung
der Identität
des Benutzers durch den Computer möglich ist, ohne dass der Benutzer
dadurch belästigt
wird. Jedoch funktioniert das Identifikationsverfahren nur, wenn
der Benutzer die jeweilige Peripherieeinrichtung verwendet, um den
Computer zu bedienen. Wenn das Dienstsystem benutzt wird, beschränkt dies
das Verfahren auf eine Benutzeridentifikation mittels der zweckentsprechenden
Peripherieeinrichtungen, also über
einen speziellen Dienstsystem-Eingabekanal.
Bei komplexeren Dienstsystemen, beispielsweise vernetzter Heimelektronik,
bei der der Benutzer verschiedene Möglichkeiten des Kommunizierens
mit dem Dienstsystem hat und dies auch tun muss, um das Dienstsystem
voll zu nutzen, ist dieses Verfahren ungeeignet.
-
Ein
anderer Ansatz ist von
US 5.229.764 vorgeschlagen,
das ein System zum Analysieren biometrischer Daten unterschiedlicher
Typen von einer Anzahl biometrischer Personenidentifikationseinrichtungen
wie z.B. einem Daumenabtaster, Fingerabdruckleser usw. vorschlägt. Wird
Zugang zum geschützten
System gewährt,
wird der Benutzer ständig durch
neu eingegebene biometrische Daten neu getestet, die während der
Benutzung des Systems erfasst werden. Jedoch basiert dieser Vorschlag
auf der Annahme, dass die Referenzdaten für alle unterschiedlichen Typen
biometrischer Daten vom selben Benutzer stammen und dass deshalb
der Authentifikationsprozess sehr sicher ist. Andererseits schließt dieses
Verfahren die Möglichkeit
einer fehlerhaften Identifikation nicht völlig aus, die beispielsweise durch
ungültige
biometrische Daten entsteht.
-
Ein
anders System ist in
US 6.023.688 vorgeschlagen,
das zwei parallel verwendete Benutzeridentifikationsdaten einbezieht,
um die Identität
einer Zielperson mit einem berechtigten Benutzer festzustellen.
-
Es
ist eine Aufgabe der Erfindung, ein Benutzeridentifikationsverfahren
und auch eine Benutzeridentifikationseinrichtung zu schaffen, die
auf direkte Weise die Berechnung eines Grades der Gewissheit für nachfolgende
Identifikationsprozeduren basierend auf biometrischen Daten unterschiedlicher
Typen gestattet.
-
Diese
Aufgabe wird dadurch, dass im Falle der zu Anfang erwähnten Benutzeridentifikation
Identifikationsdaten eines zweiten Typs, die mit einer gewissen
Wahrscheinlichkeit zur selben Zielperson wie die Identifikationsdaten
des ersten Typs gehören,
zusätzlich
automatisch ermittelt werden, wobei ein Wahrscheinlichkeitswert
ermittelt wird, der ein Maß der
Wahrscheinlichkeit ist, mit der die Identifikationsdaten eines zweiten
Typs zur selben Zielperson wie die Identifikationsdaten des ersten
Typs gehören, und
dadurch gelöst,
dass nach erfolgreichem Feststellen der Identität der Zielperson mit dem berechtigten
Benutzer auf Basis der Identifikationsdaten des ersten Typs für den jeweiligen
berechtigten Benutzer Benutzeridentifikationsdaten des zweiten Typs
zur Verwendung in einer nachfolgenden Identifikationsprozedur gespeichert
werden, die optional auf Basis von Identifikationsdaten des ersten
Typs und/oder Identifikationsdaten des zweiten Typs stattfindet,
die während
der Identifikationsprozedur der Zielperson ermittelt werden. Die
Identifikationsdaten des zweiten Typs können in jenem Fall zu einem
beliebigen Zeitpunkt während
oder nach der ersten Identifikationsprozedur ermittelt werden, sobald
sich eine geeignete Gelegenheit zum Erfassen der Daten (oder geeigneter
Ausgabeinformationselemente zum Ermitteln der Daten) ergibt, beispielsweise,
wenn charakteristische Merkmale des Gesichts der Einzelperson als
Identifikationsdaten verwendet werden, sobald es möglich ist,
ein Bild der Zielperson anzufertigen.
-
Eine
entsprechende Benutzeridentifikationseinrichtung zum Durchführen eines
derartigen Verfahrens erfordert zuallererst erste Identifikationsdatendetektionsmittel
zum Ermitteln der Identifikationsdaten eines ersten Typs der zu
identifizierenden Zielperson und außerdem einen Speicher, der
die Benutzeridentifikationsdaten des ersten Typs enthält, die
einem berechtigte Benutzer zugeordnet sind, und eine Vergleichseinrichtung,
die die ermittelten Identifikationsdaten des ersten Typs mit den
gespeicherten Benutzeridentifikationsdaten vergleicht und die Identität der Zielperson
mit dem berechtigten Benutzer im Falle einer Übereinstimmung, die mindestens
in einem gewissen Ausmaß vorliegt,
der detektierten Identifikationsdaten mit den gespeicherten Benutzeridentifikationsdaten
feststellt. Nach der Bestätigung der
Identität
wird dann beispielsweise ein zweckentsprechendes Ausgangssignal
für das
Dienstsystem mithilfe der Benutzeridentifikationseinrichtung generiert.
Gemäß der Erfindung
muss die Benutzeridentifikationseinrichtung darüber hinaus zweite Identifikationsdatendetektionsmittel
zum zusätzlichen
automatischen Ermitteln von Identifikationsdaten eines zweiten Typs,
die zur selben Zielperson gehören,
und zum Ermitteln eines Maßes
der Wahrscheinlichkeit aufweisen, mit der die Identitikati onsdaten
eines zweiten Typs zur selben Zielperson wie die Identifikationsdaten
des ersten Typs gehören.
Darüber
hinaus werden Mittel zum Speichern zweckentsprechender Benutzeridentifikationsdaten
des zweiten Typs nach erfolgreicher Bestätigung der Identität der Zielperson mit
dem berechtigten Benutzer auf Basis der Identifikationsdaten des
ersten Typs für
den jeweiligen berechtigten Benutzer mithilfe der detektierten Identifikationsdaten
des zweiten Typs benötigt.
Dies kann beispielsweise im selben Speicher, in dem auch die Benutzeridentifikationsdaten
des ersten Typs gespeichert sind, oder alternativ in einem separaten
Speicher stattfinden.
-
Als
Ergebnis der Kombination der Identifikationsdaten, die über einen
Eingabekanal detektiert werden können,
mit den Identifikationsdaten, die über einen zweiten Eingabekanal
detektiert werden können,
ist das Dienstsystem fähig,
die Benutzeridentität
während
der nachfolgenden Kommunikation mit dem Benutzer auch dann zu bestätigen oder
zu prüfen,
wenn ein neuer Eingabekanal verwendet wird, ohne dass der Benutzer
belästigt
wird. Infolgedessen ist es daher unnötig, dass der Benutzer mit dem
System immer über
denselben Kanal kommuniziert, sondern es kann der Kommunikationsweg
wie gewünscht
geändert
werden, wobei das System seine Datenbank bezüglich des Benutzers oder bezüglich seiner
charakteristischen Merkmale, mit denen der Benutzer identifiziert
werden kann, automatisch erweitert.
-
Damit
soll gesagt werden, dass, sobald die Zielperson einmal identifiziert
ist, gemäß der Erfindung
zusätzliche
Benutzeridentifikationsdaten für weitere
Identifikationsprozeduren generiert werden. Unter diesen Umständen wird
die Datenbank gespeicherter Benutzeridentifikationsdaten während der
eigentlichen Identifikationsprozedur oder während einer nachfolgenden Benutzung
des jeweiligen Dienstsystems automatisch um neue Benutzeridentifikationsdaten
eines weiteren Typs erweitert, also ohne eine Benutzeraktion, die
explizit für
diesen Zweck erforderlich ist. In diesem Zusammenhang können die neuen
Identifikationsdaten der Zielperson auf jede gewünschte Weise über irgendeinen
aktiven Eingabekanal der Benutzeridentifikationseinrichtung detektiert
werden. Vorzugsweise werden jedoch mindestens die Identifikationsdaten
des zweiten Typs über
einen Eingabekanal des Dienstsystems detektiert, den der Benutzer
oder die Zielperson auf jeden Fall benutzt, um beispielsweise Kontakt
mit dem Dienstsystem selbst herzustellen oder das System zu steuern.
Der Wahrscheinlichkeitswert, der gemäß der Erfindung ermittelt ist,
gibt einen Hinweis auf die Gewissheit des Verfahrens der Benutzeridentifikation in
den nachfolgenden Identifikationsprozessen basierend auf den Identifikationsdaten
des zweiten Typs und kann infolgedessen verwendet werden, um eine
beliebige zweckentsprechende Maßnahme
zu ermitteln, die dementsprechend ergriffen werden sollte, wie unten
ausführlicher
beschrieben wird.
-
Ein
typisches Beispiel hierfür
ist die Verwendung eines PCs, auf dem sich der Benutzer anfangs beim „Anmelden" identifizier, indem
er einen Finger auf einem Fingerabdrucksensor platziert. Wenn der PC
darüber
hinaus eine Kamera aufweist, beispielsweise eine standardmäßige „Webcam", kann gleichzeitig
das Gesicht des Benutzers mittels der Kamera detektiert werden,
während
der Fingerabdruck ermittelt wird. Infolgedessen kann die Benutzeridentifikationseinrichtung
mit einer gewissen Wahrscheinlichkeit annehmen, dass die Zielperson,
die zu dem Gesicht gehört,
das im Bild erkannt ist, der Zielperson entspricht, die zum selben
Zeitpunkt den Fingerabdruck abgibt. Das System kann daher anfangs
die Identität
der Zielperson mit einem berechtigten Benutzer auf Basis der Fingerabdruckdaten
bestätigen und
dann die Bilddaten unverzüglich
verwenden, um entsprechende Benutzeridentifikationsdaten zu speichern.
Auf Basis der neuen Benutzeridentitikationsdaten kann der Benutzer
dann nachfolgend jederzeit mittels der Kamera wieder erkannt werden,
ohne dass der Fingerabdruck benötigt
wird. Dieses Verfahren kann wie gewünscht fortgesetzt werden. So
kann beispielsweise der Benutzer nachfolgend anfangs mittels der
Bilderkennung seines Gesichts erkannt werden und unter diesen Umständen beispielsweise eine
automatische Stimmerkennungseinheit des Systems benutzen, um mit
dem System zu kommunizieren. Sobald der Benutzer spricht, kann beispielsweise über die
Kamera bestätigt
werden, ob der Sprecher der berechtigte Benutzer ist. Gleichzeitig kann
parallel eine Sprecheridentifikation zum Zwecke der Stimmerkennung
vorgenommen werden, es wird also eine gewisse Sprechercharakteristik
des Benutzers aufgezeichnet. Die Sprechercharakteristikdaten können dann
als Identifikationsdaten eines weiteren Typs zusätzlich zu den Benutzeridentifikationsdaten
des Typs gespeichert werden, der bereits vorliegt, sodass der Benutzer
dann optional auch allein auf Basis seiner Stimme identifiziert
werden kann.
-
Abhängig von
der spezifischen Ausführung des
Verfahrens ist es möglich,
in diesem Zusammenhang mit mehr oder weniger hoher Wahrscheinlichkeit
anzunehmen, dass die detektierten Identifikationsdaten des zweiten
Typs von derselben Zielperson wie die Identifikationsdaten des ersten
Typs stammen und deshalb den Wahrscheinlichkeitswert zu ermitteln,
dass die Identifikationsdaten des ersten und zweiten Typs von derselben
Zielperson stammen. So kann beispielsweise, wenn der Benutzer mittels
einer Kamera beobachtet wird, während
er einen Code eingibt, und der Ausschnitt des Bildes der Kamera
in derartiger Weise gewählt
ist, dass die Kamera direkt unter anderem detektiert, wie der derartiger
Weise gewählt
ist, dass die Kamera direkt unter anderem detektiert, wie der jeweilige
Benutzer selbst die Tastatur betätigt,
mit einem relativ hohen Level an Gewissheit angenommen werden, dass
die Identifikationsdaten des ersten Typs, d.h. die Codeeingabe,
und die Identifkationsdaten des zweiten Typs, beispielsweise die
charakteristischen Daten des Gesichts, von derselben Zielperson
stammen. Andererseits ist, wenn der Ausschnitt des Bildes der Kamera
in derartiger Weise gewählt
ist, dass nur das Gesicht aufgezeichnet wird, die Wahrscheinlichkeit
dementsprechend geringer. Die Gewissheit ist noch geringer, wenn
die Identifikationsdaten der ersten und zweiten Typen mit einem
Zeitintervall aufgezeichnet werden, beispielsweise, wenn sich der
Benutzer zuerst an einem Terminal mit einer PIN „anmeldet" und eine Kamera, die das Gesicht des
Benutzers detektiert und dann die charakteristischen Daten als Identifikationsdaten
des zweiten Typs detektiert, sich nur während des Betriebs einschaltet.
In jenem Falle ist es beim Verfahren gemäß der Erfindung nur möglich, den Schluss
zu ziehen, dass die Identifikationsdaten des zweiten Typs vermutlich
vom berechtigten Benutzer stammen, der in der ersten Identifikationsprozedur identitiziert
wird.
-
Die
spezifische Ausführung
des Verfahrens, insbesondere die Bedingungen, unter denen eine Erweiterung
gemäß der Erfindung
der Benutzeridentifikationsdatenbank erfolgt und die Sicherheit
im Prozess erfordern, muss daher an den spezifischen Anwendungsfall
angepasst werden.
-
So
ist es beispielsweise bei vielen Anwendungen überhaupt nicht notwendig, dass
das Dienstsystem mit hoher Wahrscheinlichkeit annehmen kann, dass
die Identifikationsdaten der verschiedenen Typen auch tatsächlich zum
selben berechtigten Benutzer gehören.
Dies gilt beispielsweise für
all jene Fälle,
in denen die Benutzeridentifikation nur dafür vorgesehen ist, zum Steigern
des Komforts der Bedienung des Dienstsystems zu dienen. In diesen
Fällen
ist es kein wesentlicher Nachteil, wenn der Benutzer nachfolgend
wegen eines Fehlers in der Erweiterung der Benutzeridentifikationsdatenbank
falsch identifiziert wird. Dies hat schlimmstenfalls zur Folge, dass
der Benutzer keinen Vorteil als Ergebnis der Benutzererkennung erlangt,
da sich das Dienstsystem nicht automatisch in der gewünschten
Weise auf ihn, sondern auf eine andere Einzelperson einstellt. Andererseits
ist es bei sicherheitsrelevanten Anwendungen erforderlich, sicherzustellen,
dass beim Detektieren der Identifikationsdaten des zweiten Typs mit
einer sehr hohen Wahrscheinlichkeit angenommen werden kann, dass
die Identifikationsdaten zur selben Zielperson wie die Identifikationsdaten
des ersten Typs gehören.
-
In
einer bevorzugten Ausführungsform
des Verfahrens ist beim Auftreten einer falschen Benutzeridentifikation
eine Korrektur möglich,
indem im Speicher die betreffenden Benutzeridentifikationsdaten
wieder gelöscht
werden, die die falsche Identifikation zur Folge hatten, und indem
sie bei einer geeigneten Gelegenheit wieder aufgezeichnet werden oder
indem die Benutzeridentifikationsdaten unmittelbar zweckentsprechend überschrieben
werden, wenn das möglich
ist.
-
Um
die Gelegenheit zu prüfen
oder zu detektieren, bei der die falschen Identifikationsdaten vermutlich
ermittelt wurden, und um diese Kenntnis für eine mögliche Korrektur zu verwenden,
wird der Wahrscheinlichkeitswert verwendet, der gleichzeitig während der
Ermittlung der Identifikationsdaten des zweiten Typs gemäß der Erfindung
ermittelt wird.
-
In
diesem Zusammenhang können
verschiedene Wahrscheinlichkeitswerte als feste Werte für das System
beispielsweise für
gewisse Situationen spezifiziert werden. In diesem Zusammenhang
kann in dem bereits erwähnten
Fall des Überwachens
einer Tastatur mittels einer Kamera ein sehr hoher Wahrscheinlichkeitswert
von beispielsweise 99% angenommen werden, wohingegen beispielsweise
in einem Fall, in dem lediglich das Gesicht es Benutzers detektiert
wird, während
er eine Codezahl in die Tastatur eingibt, nur ein Wahrscheinlichkeitswert
von beispielsweise 50% angenommen wird. Beim Auftreten, dass die
Identifikationsdaten des ersten Typs und des zweiten Typs mit einem
Zeitintervall detektiert werden, kann der Wahrscheinlichkeitswert
auch beispielsweise als Funktion des Zeitintervalls gesetzt werden,
d.h., je schmaler das Zeitintervall ist, umso höher ist die Wahrscheinlichkeit,
dass die Zielperson identisch ist.
-
Die
Wahrscheinlichkeitswerte können
auch benutzerabhängig
sein, da man von verschiedenen Benutzern auch weiß, dass
sie unterschiedliche Zuverlässigkeiten
aufweisen. So kann es geschehen, dass einige Benutzer sich stets
korrekt „abmelden", wenn die das Dienstsystem
nicht mehr benutzen, wohingegen andere Benutzer unter diesen Umständen relativ
nachlässig
sind, was in einer Steigerung in der Fehlerrate resultieren kann.
-
Diese
voreingestellten Werte können
auch nachfolgend auf Basis von Erfahrung modifiziert werden, die
das System während
der Benutzung gewinnt. So können
sich beispielsweise die Wahrscheinlichkeitswerte für eine gewisse
Situation auf Basis der Anzahl an Fällen, in denen sich eine Identifikation
als korrekt erwiesen hat, und der Anzahl an Fällen ändern, in denen Identifikation
falsch war. Die Benutzeridentifikationseinrichtung ist infolgedessen in
diesem Ausmaß lernfähig.
-
Die
Identifikationsdaten können
prinzipiell beliebige Daten wie z.B. die bereits erwähnte PIN, ein
Codewort oder Chipkartendaten oder dergleichen sein. Vorzugsweise
sind die Identifikationsdaten eines der Typen mindestens biometrische
Daten der Zielperson, da die biometrischen Daten zwangsläufig stets
der Einzelperson zugeordnet sind und in vielen Fällen sogar ohne aktive Unterstützung von
der Einzelperson leicht ermittelt werden können.
-
Kommunikation
des Benutzers mit dem Dienstsystem mittels Sprachbefehlen ist im
Allgemeinen besonders bequem. In diesem Zusammenhang ist es auf
jeden Fall erforderlich, dass ein Stimmerkennungssystem gewisse
Sprechercharakteristika erkennt, um diese für die Erkennung von Sprachbefehlen,
also Wörtern
oder Sätzen,
zu verwenden. Vorzugsweise umfassen die Identifikationsdaten mindestens
eines der Typen relevante sprechercharakteristische Daten.
-
Die
Unteransprüche
4 bis 6 spezifizieren verschiedene Weisen des Erhöhens der
Wahrscheinlichkeit, dass die Identifikationsdaten des ersten Typs und
des zweiten Typs von derselben Zielperson stammen. Zusätzlich zur
in Anspruch 4 erwähnten Möglichkeit
des Durchführens
einer gleichzeitigen Messung der Identifikationsdaten mit unterschiedlichen
Messeinrichtungen, beispielsweise einer gleichzeitigen Detektion
des Gesichts mit einer Kamera und der Sprache mit einem Mikrofon,
stellt Anspruch 5 bereit, dass die Identifikationsdaten der ersten
und zweiten Typen in einer gegenseitig korrelierten Art und Weise
ermittelt werden, also in einer gegenseitig aufeinander bezogenen
Art und Weise. Ein typisches Beispiel einer korrelierten Datenermittlung ist
die bereits erwähnte Überwachung
der Zielperson, während
sie ein Codewort auf einer Tastatur eingibt, mittels einer Kamera,
die gleichzeitig die Gesichtscharakteristika der Zielperson detektiert.
-
Eine
besonders sichere Ausführung
eines korrelierten Verfahrens ist in Anspruch 6 erwähnt. Die Bestätigung dessen,
ob die Sprachsignale von der visuell detektierten Zielperson stammen,
ist auf Basis der gewonnenen optischen Daten und der Sprachsignale
möglich,
wenn auf die Synchronität
der Lippenbewegung der mit der Kamera detektierten Einzelperson
und der Sprachsignale während
der Bildbewertung und während
der Bewertung der Sprachsignale geachtet wird.
-
Die
Benutzeridentifikationseinrichtung gemäß der Erfindung ist in der
Regel in das Dienstsystem integriert und ist infolgedessen beispielsweise eine
Komponente eines Computers oder einer Einrichtung selbst oder beispielsweise
im Falle eines komplexeren Dienstsystems Teil einer zentralen Einheit,
die das Dienstsystem überwacht.
Vorzugsweise werden in jenem Fall Teile des Dienstsystems auch so
weit wie möglich
für die
Benutzeridentifikationseinrichtung verwendet oder umgekehrt. Damit soll
gesagt werden, dass die verschiedenen Identifikationsdatendetektionsmittel,
wie z.B. eine Kamera, eine Bildbewertungseinrichtung, ein Mikrofon
oder eine Stimmanalyseeinrichtung Komponenten sind, die auf jeden
Fall durch das Dienstsystem auch für andere Zwecke verwendet werden.
-
Das
Verfahren kann grundsätzlich
mit einem geeigneten Computerprogramm durchgeführt werden, das auf einem handelsüblichen
Computer implementiert ist. Für
den Computer ist es lediglich erforderlich, geeignete Peripherieeinrichtungen
zum Detektieren der Identifikationsdaten aufzuweisen, beispielsweise
eine Tastatur, ein Mikrofon, eine Kamera, ein Sensor für Fingerabdrücke usw.,
oder dass er in der Lage ist, auf die zweckentsprechenden Komponenten
des Dienstsystems zuzugreifen, mit dem der Computerverbunden ist.
Darüber
hinaus wird natürlich
ein Speicher oder ein Speicherbereich benötigt, in dem die Benutzeridentifikationsdaten
gespeichert werden können
und aus dem sie jederzeit abgerufen werden können.
-
Diese
und andere Aspekte der Erfindung sind offensichtlich durch und werden
erläutert
unter Bezug auf die hiernach beschriebenen Ausführungsformen.
-
Das
in der einzigen Figur gezeigte Ausführungsbeispiel ist ein relativ
einfaches Dienstsystem, nämlich
ein Computer 1, der durch den Benutzer zu bedienen ist.
Aus Gründen
der Anschaulichkeit sind in diesem Zusammenhang nur einige der Komponenten
gezeigt, die für
die Erfindung am wesentlichsten sind. Man muss nicht eigens erwähnen, dass
der Computer 1 die Komponenten aufweist, die ansonsten
normalerweise in Computern vorhanden sind, und auch beliebige andere
gewünschte
Komponenten aufweisen kann.
-
Innerhalb
des Computers 1 ist eine CPU 2 gezeigt, die alle
Computeroperationen durchführt. Die
CPU 2 ist mit mehreren Speichern 3a, 3b verbunden,
in welchem Falle diese auch Speicherbereiche eines Speichers sein
können.
-
Mit
dem Computer 1 ist einerseits ein Mikrofon 4 und
andererseits eine Kamera 6 verbunden. Zu diesem Zweck weist
der Computer 1 eine geeignete Mikrofonschnittstelle 5 auf
(beispielsweise eine standardmäßige Soundkarte),
die die Sprachsignale S, die durch das Mikrofon 4 detektiert
werden, in geeigneter digitaler Form zur CPU 2 transportiert.
Auf dieselbe Weise weist der Computer 1 eine Kameraschnittstelle 7 auf
(beispielsweise eine standardmäßige Videokarte),
die die optischen Signale O, die durch die Kamera 6 in
digitalisierter Form aufgezeichnet werden, gleicherweise zur CPU 2 transportiert.
-
Innerhalb
der CPU 2 sind in Form von Blöcken in unterbrochenen Linien
und Pfeilen verschiedene Softwaremodule, d.h. gewisse Programmroutinen,
und auch deren Kombination gezeigt, die für diese Ausführungsform
der Erfindung notwendig sind.
-
Man
muss jedoch nicht eigens erwähnen, dass
andere Programme, insbesondere natürlich das Betriebssystem und
auch gegebenenfalls beliebige weitere gewünschte Anwendungsprogramme
darüber
hinaus in dem Computer 1 installiert sind.
-
Die
optischen Daten O, die durch die Kamera 6 aufgezeichnet
und über
die Kameraschnittstelle 7 zur CPU 2 transportiert
werden, werden einem Bildanalysemodul 9 zugeführt. In
einer Vorverarbeitungsstufe 9a des Bildanalysemoduls 9 wird
das durch die Kamera 6 aufgezeichnete Bild des Benutzers
auf gewisse charakteristische Gesichtsmerkmale des Benutzers analysiert.
Diese charakteristischen Gesichtsdaten ID1 werden
dann zu einer Klassifizierungsstufe 9b des Bildanalysemoduls 9 transportiert.
-
Die
Klassifizierungsstufe 9b hat Zugriff auf einen Speicher 3a,
der dem Bildanalysemodul 9 zugewiesen ist und in dem Benutzeridentifikationsdaten ND1 für
verschiedene berechtigte Benutzer des Computers 1 in Form
von charakteristischen Gesichtsdaten gespeichert sind. In diesem
Zusammenhang übernimmt
die Klassifizierungsstufe 9b die Aufgabe einer Vergleichseinrichtung,
die die charakteristischen Gesichtsdaten ID1 der
Zielperson, die von der Vorverarbeitungsstufe 9a des Bildanalysemnduls 9 ankommen,
mit den charakteristischen Gesichtsdaten der verschiedenen berechtigten
Benutzer vergleicht, die im Speicher 3a gespeichert sind.
-
Sobald
eine gewisse Übereinstimmung
zwischen den aktuell detektierten charakteristischen Gesichtsdaten
ID1 der Vorverarbeitungsstufe 9a des
Bildanalysemoduls 9 und einem gewissen Satz Benutzeridentifikationsdaten
ND1 vorhanden ist, wird angenommen, dass
die durch Kamera 6 detektierte Zielperson der bestimmte
berechtigte Benutzer ist und die Zielperson infolgedessen identifiziert
worden ist. Zu diesem Zweck ist eine Übereinstimmung der charakteristischen
Gesichtsdaten ID1, die für den bestimmten Benutzer gespeichert
sind, mit den charakteristischen Gesichtsdaten ID1 der
Zielperson, die aktuell aus den optischen Daten der Vorverarbeitungsstufe 9a des
Bildanalysemoduls 9 extrahiert sind, in gewissen Punkten
oder in einem gewissen Ausmaß ausreichend.
Damit soll gesagt werden, dass eine Übereinstimmung von 100% aller
Daten nicht absolut notwendig ist. In der Regel ist solch eine Übereinstimmung
von 100% gar nicht erreichbar, da sich das Gesicht des Benutzers
mit der Zeit auch ändern
und sogar als Ergebnis unterschiedlicher Aufzeichnungsbedingungen
wie z.B. Beleuchtung, Betrachtungswinkel der Kamera usw. in unterschiedlichen
Bildern resultieren kann. Zweckentsprechende Vergleichsverfahren
zum Prüfen
oder Identifizieren/Autorisieren von Benutzern auf Basis biometrischer
Daten sind dem Fachmann jedoch hinlänglich bekannt und werden daher
hier nicht weiter erläutert.
-
Die
vom Mikrofon 4 kommenden Sprachdaten S werden in einem
Stimmerkennungsmodul 8 analysiert, das die gesprochenen
Befehle detektiert. Das Stimmerkennungsmodul 8 weist auch
eine Vorverarbeitungsstufe 8a auf, in der die ankommenden Sprachsignale
S auf gewisse sprechercharakteristische Daten untersucht werden,
um auf diese Weise Identifikationsdaten ID2 eines
zweiten Typs zu extrahieren. Genau wie im Bildanalysemodul 9 werden
die charakteristischen Gesichtsdaten ID2 zu
einer Klassifizierungsstufe 8b des Stimmerkennungsmoduls 8 transportiert.
-
Die
Klassifizierungsstufe 8b hat wiederum Zugriff auf einen
Speicher 3b, der dem Stimmerkennungsmodul 8 zugewiesen
ist und in dem Benutzeridentifikationsdaten ND2 für verschiedene
berechtigte Benutzer des Computers 1 in Form benutzercharakteristischer
Daten gespeichert sind oder gespeichert werden können. Wenn die Zielperson mit
sprechercharakteristischen Daten auf Basis bereits gespeicherter
Benutzerdaten ND2 zu identifizieren ist, übernimmt
in diesem Falle die Klassifizierungsstufe 8b die Aufgabe
einer Vergleichseinrichtung, die die sprechercharakteristischen
Daten LD2 der Zielperson, die von der Vorverarbeitungsstufe 8a des
Bildanalysemoduls 9 kommen, mit den sprechercharakteristischen
Daten ND2 der verschiedenen berechtigten Benutzer
vergleicht, die im Speicher 3b gespeichert sind.
-
In
der dargestellten Ausführungsform
sind das Stimmerkennungsmodul 8 und das Bildanalysemodul 9 oder
deren Klassifizierungsstufen 8b, 9b gemäß der Erfindung über ein Übergabemodul 10 miteinander
verbunden.
-
Das Übergabemodul 10 empfängt vom
Bildanalysemodul 9 Informationselemente darüber, welcher
Benutzer erkannt worden ist. Diese können beispielsweise eine Benutzernummer,
ein Name oder dergleichen sein. Das Übergabemodul 10 kann
daneben vom Stimmerkennungsmodul 8 Informationselemente
darüber
empfangen, ob darin sprechercharakteristische Daten ID2 vorhanden
sind, die aus dem Sprachsignal S extrahiert worden sind. Darüber hinaus
kann das Übergabemodul 10 nach
den Bedingungen, unter denen die jeweiligen Daten gewonnen wurden,
bestätigen,
dass die Zielperson, von der die sprechercharakteristischen Daten
ID2 stammen, die durch das Stimmerkennungsmodul 8 ermittelt
sind, mit dem Benutzer übereinstimmt,
der durch das Bildanalysemodul 9 erkannt ist. Darüber hinaus
kann ein Wahrscheinlichkeitswert für die Richtigkeit der Übereinstimmung
mit dem Benutzer spezifiziert werden, die für die Zielperson bestätigt ist.
Abschließend sorgt
das Übergabemodul 10 dafür, dass
das Stimmerkennungsmodul 9 die sprechercharakteristischen Daten
ID2 für
den erkannten Benutzer als Benutzeridentifikationsdaten ND2 speichert, d.h. ein zweckentsprechendes
neues Benutzerprofil erstellt.
-
Das
Stimmerkennungsmodul 9 speichert dementsprechend die sprechercharakteristischen Daten
ID2 für
den Benutzer, der vorher durch das Bilderkennungsmodul 9 identiftziert
wurde, als Benutzeridentifikationsdaten ND2 des
zweiten Typs möglicherweise
zusammen mit dem Wahrscheinlichkeitswert und/oder genauerer weiterer
Informationselemente über
die Bedingungen der Ermittlung der Daten im Speicher 3b.
Mit den gespeicherten Benutzeridentifikationsdaten ND2 des
zweiten Typs ist es dann möglich,
während
weiterer Benutzung des Computers durch den Benutzer oder sogar beim Start
einer nachfolgenden neuen Sitzung ihn jederzeit wie oben beschrieben
einzig an der Sprache des Benutzers auch dann wieder zu erkennen,
wenn die Kamera 6 ausgeschaltet ist.
-
In
einer besonders bevorzugten Ausführungsform
empfängt
das Übergabemodul 10 einerseits
Daten über
das Zeitverhalten des detektierten Sprachsignals S von Stimmerkennungsmodul 8 und andererseits
Daten über
die Lippenbewegung der Zielperson, die mit der Kamera 6 detektiert
wird, vom Bildanalysemodul 9. In einer speziellen Programmroutine
des Übergabemoduls 10 werden
die jeweiligen Daten auf Synchronität verglichen. Stellt sich in diesem
Prozess heraus, dass die Sprachsignale S zu der detektierten Lippenbewegung
der Zielperson passen, kann mit besonders hoher Gewissheit angenommen
werden, dass die detektierten Daten von derselben Zielperson stammen.
Dementsprechend kann der Wahrscheinlichkeitswert für die Übereinstimmung
der Zielperson, wobei der Wahrscheinlichkeitswert vom Übergabemodul 10 zum
Stimmerkennungsmodul 8 transportiert wird, sehr hoch gewählt werden.
-
An
dieser Stelle wird noch einmal betont, dass der in der Figur gezeigte
Computer nur ein einfaches Ausführungsbeispiel
ist und dass das Dienstsystem von zusehends komplizierterem Aufbau
sein kann. Außerdem
ist es natürlich
möglich,
das gezeigte Ausführungsbeispiel
zu variieren und beispielsweise die verschiedenen Softwaremodule 8, 8a, 8b, 9, 9a, 9b, 10 in
einem sehr komplexen Hauptprogramm zu kombinieren.
-
Insbesondere
ist es dem Computer 1 auch möglich, beispielsweise als erste
Identifikation während
des „Anmeldens" die Eingabe eines
Kennworts über
eine Tastatur zu verlangen. In diesem Falle würde der Computer dann ein spezielles
Identifikationsmodul enthalten, das als Identifikationsdaten des
ersten Typs den Benutzernamen und das Kennwort verwendet und mit
den Daten den Benutzer durch Vergleich mit Kennwörtern und Benutzername identifiziert
und authentifiziert, die in einem weiteren Speicher gespeichert
sind. Die Informationselemente über
den erkannten Benutzer können
dann wieder dem Übergabemodul 10 übergeben
werden. Gleichzeitig könnte
der Benutzer dann über
die Kamera 6 beobachtet werden, und analog zum oben beschriebenen
Verfahren könnten
die Gesichtscharakteristika des Benutzers als Benutzeridentifikationsdaten
eines zweiten Typs auf Anforderung des Übergabemoduls 10 gespeichert
werden. Der Benutzer wird dann während
der aktuellen Sitzung zuerst einzig mit der Kamera 6 identifiziert.
Sobald der Benutzer zum ersten Mal ein Programm abruft, das mittels
Sprachbefehlen gesteuert werden kann, werden die sprechercharakteristischen
Daten des Benutzers detektiert und als Identifikationsdaten eines
dritten Typs gemäß dem oben
beschriebenen Verfahren gespeichert, sodass in Zukunft die Identifikation
des Benutzers auch einzig mittels Analysieren der Sprachsignale
möglich
ist.
-
Infolgedessen
muss der Benutzer eines derartigen Systems nicht mehr unnötig oft
seine Person nachweisen, sondern das System ist insofern lernfähig, als
es allmählich
immer mehr charakteristische Merkmale des Benutzers über unterschiedliche
Eingabekanäle
kennen lernt und sie für
weitere Identifikationsprozeduren verwendet.
-
1
- S
- S
- O
- O
- ID
- ID
- ND
- ND