Um eine hohe Fehleraufdeckung zu gewährleisten, müssen die folgenden Ausfallarten berücksichtigt werden:

• Informationsverfälschung (corruption of information)

• Informationsverlust (loss of information) • fehlerhafte Informationsabfolge (incorrect sequence of information) • Informationswiederholung (repetition of information)

• Hinzufügen von Information (insertion of information) Im Falle eines Rückfahrkamera-(Rear View Camera) Systems werden die aus den eigentlichen Pixeldaten und zugehörigen Metadaten bestehenden Videodaten (I) bspw. durch eine Rückfahrkamera erzeugt und von dieser über einen ungesicherten (sog. grauen) Kanal digital an den Empfänger (I'') bspw. ein Monitor in der Mittelkonsole übertragen (Fig. 1). Die Übertragung T: I→I'' kann dabei drahtgebunden als auch drahtlos erfolgen.

Eine zusätzliche Herausforderung ergibt sich dadurch, dass sich optional innerhalb des ungesicherten Übertragungskanals weitere Elektronikkomponenten, genannt Modifier (M) befinden können, die die zu übertragenden Videodaten auf bestimmte Art und Weise verändern können (I*).

In dem in Fig. 1 dargestellten Rear View Camera System könnte eine zwischengeschaltete Head Unit bspw. die Bildhelligkeit oder den Kontrast optimieren, ein Kamerabild skalieren, es in ein größeres Gesamtbild einbetten oder augmentieren. Zulässige Bildtransformationen sollen dabei durch die Sicherheitsmechanismen toleriert werden. Unzulässige Bildtransformationen, die bspw. dazu führen, dass der Nutzer die relevanten Bildinformationen nicht mehr erkennen kann, sollen dagegen erkannt werden.

Voraussetzung für die Entwicklung und vor allem die Bewertung von Mechanismen für die Absicherung der Videodatenübertragung ist die Aufstellung eines geeigneten Fehlermodells für eine Videodatenübertragung.

Prinzipiell können zunächst einmal die gleichen Ausfallarten wie bei der klassischen Datenübertragung auftreten, d.h. das Fehlermodell für die Videodatenübertragung muss daher mindestens die o.g. Ausfallarten berücksichtigen:

Für Videoübertragungen können prinzipiell verschiedene physikalische Übertragungsverfahren und Übertragungsmedien verwendet werden. Heutige Verfahren für die Videoübertragung im Fahrzeug verwenden vornehmlich elektrische drahtgebundene Verfahren, daher soll sich an dieser Stelle auf die elektrischen drahtgebundenen Verfahren fokussiert werden. Heutige Mechanismen zur Absicherung der physikalischen Übertragungsschicht haben das Ziel, die Qualität der Videoübertagung sicherzustellen, d.h. Ausfälle und Störungen zu erkennen und / oder zu vermeiden.

Dazu zählt die Erkennung von Fehlern der physikalischen Verbindung (Line Fault Detection) mit den Möglichkeiten: Eine probate Methode, die Datenintegrität einer Bildübertragung mit Bildverarbeitung (vgl. Fig. 1) zu gewährleisten, ist es, mit einer Hash-Funktion h ein beschreibendes Label des Bildes I, das am Anfang der Übertragungsstrecke steht, zu erzeugen.

Der Output der Hash-Funktion E enthält die beschreibenden Eigenschaften des Bildes. E benötigt nur einen Bruchteil der Datenmenge von I und kann entweder in den Austastlücken der Pixeldaten oder als Bestandteil der Metadaten geleitet werden. Am Ende der Übertragungsstrecke ist das Bild I'', das aufgrund der möglichen Bildbearbeitung pixelweise stark vom Originalbild I abweichen kann. Das bearbeitete Bild I'' hat dann den Hash-Wert von E''.

Die Herausforderung ist es nun, ein Verfahren zu entwickeln, das die Unterscheidung zwischen gewünschten und fehlerhaft veränderten Bildern (inhaltlich anders) ermöglicht. Der Kern der Technologie liegt im Entwurf einer speziellen Hashfunktion und einer Matching-Funktion, die eine hohe und robuste Diskriminanz aufweisen.

Wichtig ist es zudem, dass E ohne nennenswerte Latenz erzeugt wird, damit das Verfahren für sicherheitsrelevante Anwendungen eingesetzt werden kann. Das gleiche gilt auch für E'': Dieses muss unmittelbar nach dem Empfang des Bildes I'' erzeugt werden. Auch die Matching-Funktion von E und E'' soll schnell ein Ergebnis liefern, ob die Videodaten ungewünscht verändert oder fehlerhaft übertragen worden sind. Die Algorithmen sollen nach Möglichkeit am Anfang und am Ende der Übertragungsstrecke eingesetzt werden, so dass eine hohe Integrität der Videodaten erreicht werden kann.

Neben den bereits betrachteten, primär einer Komponente des Übertragungsmodells für Videodaten zuordenbaren Fehlererkennungs-und Fehlerbehandlungsmechanismen können weitere, systemübergreifende Mechanismen erforderlich sein. Die identifizierten Sicherheitsmechanismen SM sollen im weiteren Projektverlauf systematisch auf die identifizierten Ausfallarten FM abgebildet werden, um einen Baukasten für die Absicherung der verschiedenen Videodatenübertragungen im Fahrzeug bereit zu stellen (Fig. 5). Hierzu gehört auch eine Abschätzung der Diagnosegüte (Diagnostic Coverage, DC) der einzelnen Mechanismen. Für Ausfallarten, für die der Baukasten bisher nur wenige oder keine Sicherheitsmechanismen enthält, sollen gezielt weitere Mechanismen entwickelt werden.

Im Rahmen der Anwendung auf ein konkretes System werden dann zunächst a) die relevanten Fehlermodi identifiziert und b) für diese eine geeignete Kombination von Sicherheitsmechanismen aus dem Baukasten ausgewählt. Danach ist c) die generische Sicherheitsarchitektur geeignet zu instantiieren und d) die Sicherheitsmechanismen sind den einzelnen Komponenten der instantiierten Sicherheitsarchitektur zuzuordnen und dort zu implementieren.