Die Erfindung betrifft die digitale Verarbeitung von Bildern insbesondere für sicherheitsrelevante Anwendungen, wie etwa für die Überwachung zu schützender Bereiche oder die Ansteuerung von Fahrzeugen.

Stand der Technik

Bei der Überwachung zu schützender Bereiche sind mit einer oder mehreren Kameras aufgenommene Bilder die wichtigste Informationsquelle und gegebenenfalls auch das wichtigste Beweismittel. In der Ära der analogen Bildaufnahmen war es vergleichsweise schwierig und zeitaufwändig, die Aufnahmen unerkannt zu verfälschen. Der Fortschritt in der digitalen Bildverarbeitung hat das für solche Fälschungen nötige Niveau an Aufwand und Fähigkeiten deutlich verringert. So ist bereits Software am Markt, die es auch Ungeübten ermöglicht, störende Objekte innerhalb weniger Sekunden aus einem Bild herauszuretuschieren.

Auch in anderen Anwendungen, wie etwa in der Wissenschaft, wird die Frage dringender, wie es sich erschweren lässt, dass zur betrügerischen Erschleichung von Meriten angebliche Erfolge mit manipulierten oder frei erfundenen Bildern „untermauert“ werden.

Aus der DE 102018 126 533 Al ist ein Beglaubigungsmodul für Sensordaten bekannt, mit dem eine nachträgliche Manipulation von Sensordaten erschwert werden kann. Aufgabe und Lösung

Es ist die Aufgabe der Erfindung, die Verarbeitung von Bildern nachvollziehbar zu machen, so dass unerlaubte Manipulationen, wie etwa das Einschleusen oder Unterdrücken von Informationen, erschwert werden.

Diese Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren zur Verarbeitung eines oder mehrere Bilder gemäß Hauptanspruch sowie durch ein Verfahren zur Prüfung der Integrität eines Bildes gemäß Nebenanspruch. Weitere vorteilhafte Ausgestaltungen ergeben sich jeweils aus den darauf rückbezogenen Unteransprüchen.

Offenbarung der Erfindung

Im Rahmen der Erfindung wurde ein Verfahren zur Verarbeitung eines oder mehrerer Quell-Bilder zu mindestens einem Ziel-Bild entwickelt.

Dieses Ziel-Bild wird durch Anwenden einer vorgegebenen Bearbeitungsfunktion auf das bzw. die Quell-Bilder erzeugt. Durch Anwenden einer vorgegebenen Hashfunktion wird ein Hashwert eines jeden Quell-Bildes gebildet, das zu dem Ziel- Bild beigetragen hat.

Als Hashfunktion kann jede Funktion verwendet werden, die ein Quell-Bild auf einen Hashwert abbildet, der in der Regel um ein Vielfaches weniger Information enthält als das Quell-Bild selbst. Typische Hashwerte haben eine Länge der Größenordnung 64 Bytes, während die Quell-Bilder viele Megabyte groß sein können. Besonders vorteilhaft werden kryptographisch sichere Hashfunktionen verwendet. Diese Hashfunktionen zeichnen sich dadurch aus, dass es nur mit sehr hohem Aufwand möglich ist, zu einem vorgegebenen Quell-Bild ein abgewandeltes Bild zu finden, das von der Hashfunktion auf den gleichen Hashwert abgebildet wird.

Aus dem Hashwert, bzw. den Hashwerten, des oder des oder der Quell-Bilder sowie einer Identifikation der Bearbeitungsfunktion werden Validierungsinformationen für die Herkunft des Ziel-Bildes ermittelt. Diese Validierungsinformationen werden in Assoziation mit dem Ziel-Bild hinterlegt.

Auf diese Weise lässt sich ein vorgegebenes Bild anhand der Validierungsinformationen daraufhin überprüfen, ob es aus einem oder mehreren behaupteten Quell-Bildern, und/oder unter Anwendung einer oder mehrerer behaupteter Bearbeitungsfunktionen, erzeugt wurde. So können etwa Hashwerte der behaupteten Quell-Bilder mit Hashwerten in den Validierungsinformationen verglichen werden. Diese Quell-Bilder können dann etwa mit den behaupteten Bearbeitungsfunktionen verarbeitet werden, und es kann geprüft werden, ob das Ergebnis in Einklang mit dem vorgegebenen Bild ist.

Beispielsweise kann so festgestellt werden, dass ein vorgegebenes Bild nur unter Verwendung solcher Bearbeitungsfunktionen erzeugt wurde, die lediglich die Qualität und/oder Erkennbarkeit des Bildes verbessern, ohne jedoch den semantischen Bildinhalt zu verändern. Zu diesen Bearbeitungsfunktionen zählen beispielsweise eine Anpassung von Helligkeit und Kontrast, eine anderweitige Farbkorrektur, eine Beseitigung von durch Defokussierung oder Bewegung entstandener Unschärfe oder auch ein Entrauschen des Bildes. Eine Veränderung des semantischen Bildinhalts liegt hingegen insbesondere vor, wenn ein oder mehrere im Bild sichtbare Objekte entfernt, unkenntlich gemacht, gegen andere Objekte ausgetauscht und/oder so abgewandelt werden, dass sie den Anschein eines anderen Objekts vortäuschen. Es kann auch beispielsweise festgestellt werden, dass beim Zusammensetzen mehrerer Quell-Bilder zu einem Ziel-Bild einerseits keine vorgesehenen Quell-Bilder unterdrückt wurden und andererseits keine zusätzlichen Quell-Bilder eingeschleust wurden. Wenn beispielsweise Quell-Bilder über ein Netzwerk übertragen werden, um zu einem Ziel-Bild zusammengesetzt zu werden, könnte versucht werden, die Übertragung eines der Quell-Bilder zu stören oder zu verändern, und/oder ein Quell- Bild vollständig gegen ein anderes Bild auszutauschen.

Das Hinterlegen der Validierungsinformationen in Assoziation mit dem Ziel-Bild kann in jeder beliebigen Weise erfolgen, die es einem Angreifer erschwert, das Ziel- Bild in einer unerwünschten Weise zu verändern und die Validierungsinformationen mit dieser unerwünschten Veränderung in Einklang zu bringen.

Beispielsweise können die Validierungsinformationen mit dem Ziel-Bild fusioniert werden. Dies hat den Vorteil, dass die Validierungsinformationen gleich mit dem Ziel-Bild vorliegen und nicht noch aus einer externen Quelle beschafft werden müssen. Hierbei können die Validierungsinformationen in beliebiger Weise gegen Manipulation abgesichert sein. Beispielsweise können die Validierungsinformationen unter Verwendung eines privaten Schlüssels eines Public-Key-Kryptosystems kryptographisch signiert sein.

Es kann auch beispielsweise eine Keyed Hash-Funktion verwendet werden, deren Berechnung zusätzlich auf einem geheimen Schlüssel basiert. Alternativ oder auch in Kombination hierzu können beispielsweise die Validierungsinformationen und das Ziel-Bild durch Anwenden einer steganographi sehen Funktion auf ein neues Ziel- Bild abgebildet werden. Eine steganographi sehe Funktion kodiert die Validierungsinformationen so in das neue Ziel-Bild hinein, dass die Veränderung gegenüber dem ursprünglichen Ziel-Bild zumindest aus Sicht eines menschlichen Betrachters unauffällig ist. Auf diese Weise wird ein möglicher Angreifer gar nicht erst daraufhingewiesen, dass das Ziel-Bild mit Validierungsinformationen abgesichert ist.

Die Validierungsinformationen können aber auch beispielsweise getrennt vom Ziel- Bild an einer beliebigen Stelle hinterlegt werden, so dass es für einen Angreifer erschwert wird, sowohl das Ziel-Bild zu manipulieren als auch die Validierungsinformationen mit dieser Manipulation in Einklang zu bringen. Beispielsweise können die Validierungsinformationen

• auf einem Datenträger hinterlegt werden, dessen physikalischer Schreibprozess irreversibel ist; und/oder

• auf einem externen Server oder in einer Cloud hinterlegt werden; und/oder

• in einer Blockchain hinterlegt werden.

Als Speichermedien, deren physikalischer Schreibprozess irreversibel ist, können beispielsweise optische Speichermedien verwendet werden, in denen Bits durch eine lokale thermische Degradation oder Zerstörung eine Materials im Speichermedium geschrieben werden. Ebenso können beispielsweise Speicherbausteine verwendet werden, in denen durch lokalen erhöhten Stromfluss eine lokale thermische Degradation oder Zerstörung einer elektrisch leitenden oder halbleitenden Verbindung bewirkt und so Bits geschrieben werden können.

Das Hinterlegen der Validierungsinformationen auf einem externen Server oder in einer Cloud schafft für einen Angreifer die zusätzliche Hürde, nicht nur das Ziel-Bild verändern zu müssen, sondern auch die Sicherheitsbarrieren des externen Servers bzw. der Cloud überwinden zu müssen, um eine Gelegenheit zur Veränderung der Validierungsinformationen zu erhalten.

Einmal in einer Blockchain hinterlegte Validierungsinformationen sind im Nachhinein faktisch unveränderlich, da der Angreifer den Konsensmechanismus der verwendeten Blockchain mit einer Mehrheitsattacke bezwingen müsste. Im Vergleich zu irreversibel beschreibbaren Speichermedien hat eine Blockchain den Vorteil, dass die Speicherkapazität nicht von vornherein durch ein physikalisches Medium als endliche Ressource begrenzt ist. Wenn die Validierungsinformationen separat vom Ziel-Bild hinterlegt werden, können sie beispielsweise noch sicherer an das konkrete Ziel-Bild gebunden werden, indem sie in Assoziation mit einem Hashwert des Ziel-Bildes hinterlegt werden. Insbesondere bei Nutzung eines irreversibel beschreibbaren Speichermediums oder einer Blockchain ist dies erheblich preiswerter, als neben den Validierungsinformationen auch das komplette Ziel-Bild zu hinterlegen.

Diese Identifikation der Bearbeitungsfunktion kann insbesondere beispielsweise

• für den Aufruf der Bearbeitungsfunktion verwendbare Angaben, wie etwa eine Kennung der Bearbeitungsfunktion in einer Programmier Schnittstelle (Application Programming Interface, API) oder eine Einsprungadresse, unter der die Bearbeitungsfunktion in einer Programmbibliothek oder im Arbeitsspeicher erreichbar ist, und/oder

• einen Namen der Bearbeitungsfunktion, und/oder

• einen Hashwert von Programmcode der Bearbeitungsfunktion beinhalten.

Darüber hinaus kann die Identifikation beispielsweise auch Parameter beinhalten, mit denen die Bearbeitungsfunktion aufgerufen wurde. Dies bietet eine erhöhte Sicherheit dagegen, dass eine bei der Bildverarbeitung an sich erwünschte Bearbeitungsfunktion zum unerwünschten Verändern oder Unkenntlichmachen semantischer Information im Bild „missbraucht“ wird.

So können beispielsweise die erwähnten Funktionen zur Anpassung von Helligkeit, Kontrast und anderen Farbkorrekturen durch das Einstellen extremer Werte ihrer Parameter dazu veranlasst werden, das Quell-Bild zu einem Ziel-Bild zu verarbeiten, in dem praktisch die gesamte Bildinformation an einem oberen oder unteren Rand des verfügbaren Bereichs von Pixelwerten in die Sättigung gefahren wird. Im Ziel- Bild ist dann nur noch wenig bis nichts vom semantischen Gehalt des Quell-Bildes zu erkennen. In analoger Weise lässt sich beispielsweise auch unter Nutzung von Bearbeitungsfunktionen für das Entrauschen von Bildern die eigentlich interessierende Information aus den Bildern tilgen.

Auch eine Bearbeitungsfunktion, die einen bestimmten Ausschnitt des Quell-Bildes als Ziel-Bild ausgibt, könnte durch eine Änderung der Koordinaten dieses Ausschnitts verwendet werden, um ein semantisch anderes Ziel-Bild zu erzeugen. Beispielsweise kann an Stelle eines Ausschnitts, der ein erstes Objekt zeigt, ein Ausschnitt ausgewählt werden, der ein anderes Objekt oder gar nur einen Hintergrundbereich ohne Objekte zeigt. Das neue Ziel -Bild wäre dann aus dem gleichen Quell-Bild hervorgegangen und mit den gleichen Bearbeitungsfunktionen bearbeitet worden wie das vorherige Ziel -Bild, jedoch wäre es substanziell verändert.

Daher ist es vorteilhaft, die Koordinaten des ausgewählten Bildausschnitts in die Identifikation der Bearbeitungsfunktion mit einzubeziehen.

Das Auswählen von Bildausschnitten ist beispielsweise in einer vorteilhaften Ausgestaltung des Verfahrens relevant, die Kapazitäten für die Weiterverarbeitung von Ziel-Bildern optimal nutzt.

In dieser Ausgestaltung wird ein von einer Überwachungskamera aufgenommenes Bild eines beobachteten Bereiches als Quell-Bild gewählt. Es werden mehrere Ziel- Bilder erzeugt, die verschiedene Ausschnitte des Quell-Bildes beinhalten. Diese Ziel- Bilder werden über ein Netzwerk an eine oder mehrere Verarbeitungsstationen übertragen und durch die eine oder mehreren Verarbeitungsstationen jeweils zu Verarbeitungsergebnissen weiterverarbeitet. Beispielsweise können im Netzwerk mehrere Verarbeitungsstationen bereitgestellt werden, die verschiedene Ziel-Bilder parallel verarbeiten. So kann die kombinierte Kapazität dieser Verarbeitungsstationen ausgenutzt werden, um die Gesamtheit der aus dem Quell-Bild gewonnenen Arbeitsergebnisse möglichst schnell zu erhalten. Beispielsweise können Ausschnitte aus einem großen Quell-Bild effizienter in einem Mesh-Netzwerk, das Kameras und/oder andere Sensormodule enthält, verteilt und auf diesen Modulen verarbeitet werden. Die Kameras bzw. Sensormodule müssen dann nicht in der Lage sein, die geforderte Weiterverarbeitung für das gesamte große Quell-Bild bewältigen zu können. So hängt beispielsweise bei der semantischen Analyse von Bildern mit neuronalen Netzwerken und anderen Bildklassifikatoren der Bedarf an GPU-Speicher wesentlich von der Bildgröße ab. Gerade auf Sensormodulen und anderen IoT-Geräten wird die Hardwareausstattung häufig knapp dimensioniert, weil sich zum einen die Hardwarekosten mit der Anzahl der verwendeten Geräte multiplizieren und zum anderen diese Geräte häufig aus Batterien mit Energie versorgt werden.

Die Ziel-Bilder können auch beispielsweise in eine Cloud übertragen werden, wo die Kapazität für die Weiterverarbeitung automatisch skalieren kann. Beispielsweise können für die Erkennung von Objekten oder auch Gesichtern in Bildern Cloud- Dienste genutzt werden, die die Erkennung schlüsselfertig „as a Service“ liefern. Wenn einem derartigen Cloud-Dienst eine große Zahl von Ziel-Bildern auf einmal vorgelegt wird, übernimmt es dieser Cloud-Dienst, die Kapazität für diese gleichzeitigen Anfragen bereitzustellen. In gleicher Weise kann auch verfahren werden, wenn die Weiterverarbeitung eigenständig in einer Cloud implementiert wird.

Beispielsweise kann die Logik der Verarbeitungsstation in einem Software-Container implementiert sein. Eine zentrale Managementinstanz (wie etwa die bei Amazon AWS angebotene ereignisgesteuerte „Lambda-Funktion“) kann dann die Ziel -Bilder entgegennehmen, auf Instanzen der Software-Container verteilen sowie bei Bedarf die Anzahl dieser Instanzen hoch- oder herunterskalieren. Beispielsweise kann in einer virtualisierten Ausführungsumgebung für jedes einzelne Ziel -Bild eine neue Worker-Instanz des Software-Containers erzeugt werden, die nur dieses Ziel-Bild weiterverarbeitet und dann direkt wieder beendet wird. Es wird dann immer nur so viel Kapazität genutzt und bezahlt, wie tatsächlich benötigt wird. Somit kann beispielsweise optimal darauf reagiert werden, dass auch bei einer Überwachung des immer gleichen Bereichs der Bedarf an Weiterverarbeitung von Ziel-Bildern stark variieren kann. Wenn die Weiterverarbeitung beispielsweise darauf gerichtet ist, Personen in den Ziel-Bildern anhand ihrer Gesichter zu erkennen, dann hängt der Bedarf an Weiterverarbeitung von der Anzahl der Personen in dem Bereich ab. So ist beispielsweise die Passantenfrequenz auf einem überwachten Platz im öffentlichen Raum sehr stark variabel und zum Teil auch schwer vorhersehbar. Unerwartet schönes Wetter und höhere Temperaturen etwa können schlagartig viele Menschen auf einmal anlocken und einen großen Bedarf an Weiterverarbeitung hervorrufen, der dann bei Inkrafttreten der nächtlichen Ausgangssperre ebenso schlagartig wieder zusammenbricht. Auf Werksgel änden können beispielsweise Schichtwechsel oder die endgültige Fertigstellung einer größeren Maschine dafür sorgen, dass plötzlich wesentlich mehr Menschen unterwegs sind als zu anderen Zeiten. Somit können in einer besonders vorteilhaften Ausgestaltung die Ziel -Bilder jeweils mindestens ein Gesicht beinhalten, so dass die eine oder mehreren Verarbeitungsstationen jeweils eine Identifikation mindestens eines Gesichts (bzw. der zugehörigen Person) als Verarbeitungsergebnis liefern. Diese Weiterverarbeitung kann auch beispielsweise dahingehend Hand in Hand mit der vorherigen Verarbeitung eines Quell-Bildes zu mehreren Ziel-Bildern Zusammenarbeiten, dass immer Ausschnitte ausgewählt werden, die genau ein Gesicht enthalten. Dann kann sich die Weiterverarbeitung voll auf dieses eine Gesicht konzentrieren und muss nicht zunächst ermitteln, wie viele unterschiedliche Gesichter das Bild enthält. In einer weiteren vorteilhaften Ausgestaltung werden die Ziel-Bilder nach dem Verarbeiten durch die eine oder mehreren Verarbeitungsstationen als Quell-Bilder verwendet, um daraus ein neues Ziel-Bild zu aggregieren. Wenn auch für dieses Ziel- Bild Validierungsinformationen erstellt werden, kann in Form dieses Ziel-Bildes beispielsweise die Entscheidungsgrundlage für das Ermitteln der gesammelten Verarbeitungsergebnisse sicher dokumentiert werden.

In einer weiteren vorteilhaften Ausgestaltung werden mehrere von verschiedenen, von einem Fahrzeug mitgeführten, Kameras aufgenommene Bilder als Quell-Bilder gewählt. Es wird ein aus diesen Quell-Bildern zusammengesetztes Ziel-Bild erzeugt. Aus dem Ziel-Bild wird ein Verarbeitungsergebnis ausgewertet. Das Verarbeitungsergebnis wird zu einem Ansteuersignal verarbeitet. Mit diesem Ansteuersignal wird das Fahrzeug angesteuert.

Auf diese Weise kann das Verarbeitungsergebnis beispielsweise ausgehend von einem einzigen Bild ermittelt werden, das Informationen aus dem gesamten Fahrzeugumfeld oder zumindest einem wesentlichen Teil hiervon enthält. So ist beispielsweise für die weitere Planung des Verhaltens des Fahrzeugs das komplette Verkehrsgeschehen wichtig, das sich im in Fahrtrichtung vor dem Fahrzeug befindet. Hingegen ist es weniger wichtig, von welcher der verschiedenen Kameras, die diesen Bereich beobachten, welcher Teil des Verkehrsgeschehens erfasst wurde.

In einer besonders vorteilhaften Ausgestaltung beinhaltet das Verarbeitungsergebnis eine Klassifikation eines oder mehrerer im Ziel-Bild enthaltener Objekte, und/oder eine semantische Segmentierung des Ziel-Bildes. Für diese Aufgaben ist es besonders sinnvoll, mit einem aus mehreren Quell-Bildern zusammengesetzten Ziel- Bild zu arbeiten. Insbesondere fallen dann beispielsweise Schwierigkeiten bei der Erkennung sowie Mehrfacherkennungen weg, die entstehen können, wenn • ein erster Teil des Objekts nur in einem ersten Quell-Bild und ein zweiter Teil des gleichen Objekts nur in einem zweiten Quell-Bild zu sehen ist; oder

• das Objekt sich dort befindet, wo sich die in zwei Quell-Bildern erfassten Bereiche des Fahrzeugumfelds überlappen, so dass es in beiden Quell-Bildern zu sehen ist.

Wie zuvor erläutert, ist der Mehrwert des erweiterten Verfahrens für die Verarbeitung von Quell-Bildern zu Ziel-Bildern, dass die Integrität dieser Ziel-Bilder zu einem späteren Zeitpunkt geprüft werden kann. Die Erfindung stellt daher auch ein Verfahren zur Prüfung der Integrität eines Ziel -Bildes bereit, das mit dem eingangs beschriebenen Verfahren erzeugt wurde.

Im Rahmen dieses Verfahrens werden die in Assoziation mit dem Ziel-Bild hinterlegten Validierungsinformationen beschafft. Weiterhin werden ein oder mehrere Kandidaten-Quell-Bilder beschafft. Das sind diejenigen Quell-Bilder, aus denen das Ziel-Bild vorgeblich erstellt wurde. Die Information, um welche Bilder es sich hier im Einzelnen handelt, kann in beliebiger Form, die auch nicht besonders manipulationsgeschützt sein muss, in Assoziation mit dem Ziel-Bild hinterlegt sein. Es können aber auch beispielsweise alle Kandidaten-Quell-Bilder aus einem vorgegebenen Pool verwendet werden, wie etwa alle Quell-Bilder, die in einem bestimmten interessierenden Zeitraum aufgenommen wurden.

Durch Anwenden einer vorgegebenen Hashfunktion wird ein Hashwert eines jeden Kandidaten-Quell-Bildes ermittelt. In Antwort darauf, dass alle diese Hashwerte mit hierzu korrespondierenden Hashwerten in den Validierungsinformationen übereinstimmen, wird festgestellt, dass das Ziel-Bild aus dem Kandidaten-Quell- Bild, bzw. aus den Kandidaten-Quell-Bildern, hervorgegangen ist. Hierbei kann insbesondere beispielsweise auch geprüft werden, ob es zu jedem Hashwert eines Bildes in den Validierungsinformationen auch ein Kandidaten-Quell-Bild mit hierzu passendem Hashwert gibt. Wenn dies der Fall ist, ist keines der Quell-Bilder, aus denen das Ziel-Bild ausweislich der Validierungsinformationen erzeugt wurde, unterdrückt worden.

In einer besonders vorteilhaften Ausgestaltung wird zusätzlich die gemäß der Identifikation in den Validierungsinformationen ermittelte Bearbeitungsfunktion auf das oder die Kandidaten-Quell-Bilder angewendet, so dass ein Prüf-Bild erhalten wird. In Antwort darauf, dass das Prüf-Bild in Einklang mit dem Ziel-Bild ist, wird festgestellt, dass das Ziel-Bild aus dem Kandidaten-Quell-Bild, bzw. aus den Kandidaten-Quell-Bildem, durch Anwendung der Bearbeitungsfunktion gemäß der Identifikation in den Validierungsinformationen hervorgegangen ist.

Hierbei bedeutet die Formulierung „in Einklang steht“, dass die Anwendung der Bearbeitungsfunktion nicht nur bei einer vollständigen bitweisen Übereinstimmung des Prüf-Bilds mit dem Ziel-Bild erfolgreich verifiziert werden kann. Vielmehr kann der Vergleich des Prüf-Bildes mit dem Ziel -Bild eine vorgegebene Toleranz an Abweichungen zulassen und/oder auf der Grundlage eines Bewertungskriteriums erfolgen, das in Bezug auf die semantische Übereinstimmung des Prüf-Bildes mit dem Ziel-Bild besonders aussagekräftig ist. Beispielsweise kann eine zweidimensionale Korrelationsfunktion für den Vergleich verwendet werden. Auf diese Weise wird der Vergleich unter anderem resistent gegen Rundungseffekte und andere Artefakte. Derartige Effekte können beispielsweise auftreten, wenn das Ziel- Bild in einer ersten Hardware- und Software-Umgebung erstellt wurde und das Prüf- Bild in einer zweiten, hiervon verschiedenen Hardware- und Software-Umgebung erstellt wurde. Es kann sich auch beispielsweise zwischen der Erstellung des Ziel- Bilds und der Erstellung des Prüf-Bilds im Rahmen einer allfälligen Aktualisierung die Programmbibliothek mit der Bearbeitungsfunktion leicht geändert haben, so dass nach einem Aufruf unter der gleichen Kennung bzw. Einsprungadresse ein leicht verändertes Ergebnis erhalten wird. Die Verfahren können ganz oder teilweise computerimplementiert und somit in einer Software verkörpert sein. Somit bezieht sich die Erfindung auch auf ein Computerprogramm mit maschinenlesbaren Anweisungen, die, wenn sie auf einem oder mehreren Computern ausgeführt werden, den oder die Computer dazu veranlassen, das Verfahren zum Erstellen einer individuellen Firmware auszuführen. In diesem Zusammenhang sind insbesondere auch Container, Compute-Instanzen und andere Ausführungsumgebungen auf einer virtualisierten Plattform, in denen maschinenlesbare Anweisungen ausgeführt werden können, als Computer anzusehen. Ebenso bezieht sich die Erfindung auch auf einen maschinenlesbaren Datenträger und/oder auf ein Downloadprodukt mit dem Computerprogramm. Ein Downloadprodukt ist ein über ein Datennetzwerk übertragbares, d.h. von einem Benutzer des Datennetzwerks downloadbares, digitales Produkt, das beispielsweise in einem Online-Shop zum sofortigen Download feilgeboten werden kann.

Weiterhin kann ein Computer mit dem Computerprogramm, mit dem maschinenlesbaren Datenträger bzw. mit dem Downloadprodukt ausgerüstet sein.

Spezieller Beschreibungsteil

Nachfolgend wird der Gegenstand der Erfindung anhand von Figuren erläutert, ohne dass der Gegenstand der Erfindung hierdurch beschränkt wird. Es ist gezeigt:

Figur 1: Ausführungsbeispiel des Verfahrens 100 zur Verarbeitung eines oder mehrerer Quell-Bilder 1 zu mindestens einem Ziel-Bild 3;

Figur 2: Beispielhafte Verarbeitung eines Quell-Bildes 1 zu mehreren Ziel-Bildern 3a-3c und zurück zu einem neuen Ziel -Bild 3' nach Gewinnung von Verarbeitungsergebnissen 7, 7a-7c;

Figur 3: Ausführungsbeispiel des Verfahrens 200 zur Prüfung der Integrität eines Ziel-Bildes 3. Figur 1 ist ein schematisches Ablaufdiagramm eines Ausführungsbeispiels des Verfahrens 100 zur Verarbeitung eines oder mehrerer Quell-Bilder 1 zu mindestens einem Ziel -Bild 3.

In Schritt 110 wird das mindestens eine Ziel -Bild 3 durch Anwenden einer vorgegebenen Bearbeitungsfunktion 2 auf das bzw. die Quell-Bilder 1 erzeugt. In Schritt 120 wird durch Anwenden einer vorgegebenen Hashfunktion 4 ein

Hashwert 1# eines jeden Quell-Bildes 1 gebildet, das zu dem Ziel-Bild 3 beigetragen hat.

In Schritt 130 werden aus dem Hashwert 1#, bzw. den Hashwerten, des oder der Quell-Bilder 1 sowie einer Identifikation 2a der Bearbeitungsfunktion 2

Validierungsinformationen 5 für die Herkunft des Ziel-Bildes 3 ermittelt. Die Identifikation 2a der Bearbeitungsfunktion 2 kann gemäß Block 131 insbesondere beispielsweise

• für den Aufruf der Bearbeitungsfunktion 2 verwendbare Angaben, und/oder · einen Namen der Bearbeitungsfunktion 2), und/oder

• einen Hashwert von Programmcode der Bearbeitungsfunktion 2 beinhalten.

In Schritt 140 werden die Validierungsinformationen 5 in Assoziation mit dem Ziel- Bild 3 hinterlegt. Hierbei können gemäß Block 141 die Validierungsinformationen 5 mit dem Ziel-Bild 3 fusioniert werden. Zu diesem Zweck können insbesondere beispielsweise gemäß Block 141a die Validierungsinformationen 5 und das Ziel-Bild 3 durch Anwenden einer steganographi sehen Funktion auf ein neues Ziel-Bild 3' abgebildet werden. Gemäß Block 105 kann insbesondere beispielsweise ein von einer Überwachungskamera aufgenommenes Bild eines beobachteten Bereiches als Quell- Bild 1 gewählt werden. Es können dann gemäß Block 111 mehrere Ziel-Bilder 3, 3 a- 3c erzeugt werden, die verschiedene Ausschnitte des Quell-Bildes 1 beinhalten. Diese Ziel-Bilder 3, 3a-3c können dann in Schritt 150 über ein Netzwerk an eine oder mehrere Verarbeitungsstationen 6, 6a-6c übertragen werden, wo sie in Schritt 160 jeweils zu Verarbeitungsergebnissen 7, 7a-7c weiterverarbeitet werden. Anschließend können die Ziel-Bilder 3a-3c in Schritt 170 wiederum als Quell-Bilder 1 verwendet werden, um analog zum zuvor beschriebenen Schritt 110 hieraus ein neues Ziel -Bild 3' zu aggregieren.

Gemäß Block 106 können mehrere von verschiedenen, von einem Fahrzeug 50 mitgeführten, Kameras 51-53 aufgenommene Bilder als Quell-Bilder 1 gewählt werden. Gemäß Block 112 kann dann ein aus diesen Quell-Bildern 1 zusammengesetztes Ziel -Bild 3 erzeugt werden. Aus diesem Ziel -Bild 3 kann dann gemäß Block 161 ein Verarbeitungsergebnis 7 ausgewertet werden. Dieses Verarbeitungsergebnis 7 kann dann in Schritt 180 zu einem Ansteuersignal 8 weiterverarbeitet werden, und in Schritt 190 kann schließlich das Fahrzeug 50 mit diesem Ansteuersignal 8 angesteuert werden.

Figur 2 veranschaulicht eine beispielhafte Verarbeitung eines Quell-Bildes 1. Aus dem Quell-Bild 1 werden drei Ausschnitte, die jeweils ein Gesicht enthalten, als Ziel-Bilder 3a-3c ausgewählt. Mit der gemäß dem Verfahren 100 gewonnenen Validierungsinformation 5 wird bescheinigt, dass ein jedes Ziel-Bild 3a-3c durch Ausschneiden aus dem ursprünglichen Quell-Bild 1 hervorgegangen ist. Dabei kann diese Validierungsinformation 5 optional auch noch die Koordinaten des jeweils aus dem Quell-Bild 1 ausgewählten Ausschnitts angeben.

Die Ziel-Bilder 3a-3c werden jeweils in Verarbeitungseinheiten 6, 6a-6c zu Verarbeitungsergebnissen 7, 7a-7c weiterverarbeitet, die in diesem Beispiel eine Identifikation des jeweiligen Gesichts beinhaltet. Anschließend werden die Ziel- Bilder 3a-3c als Quell-Bilder verwendet, um durch Aggregieren ein neues Ziel-Bild 3' zu bilden. Dieses neue Ziel-Bild 3' enthält nur die Gesichter, auf deren Basis die Verarbeitungsergebnisse 7, 7a-7c gebildet wurden. Wenn für dieses neue Ziel-Bild 3', wie zuvor beschrieben, wieder Validierungsinformationen 5 gebildet werden, kann hiermit bescheinigt werden, dass das Ziel -Bild 3' durch Aggregieren aus den vorherigen Ziel-Bildern 3a-3c hervorgegangen ist. Da diese vorherigen Ziel-Bilder 3a-3c wiederum mit Validierungsinformationen 5 an das ursprüngliche Quell-Bild 1 gebunden sind, ist letztendlich nachprüfbar, dass das neue Ziel-Bild 3' nur durch Ausschneiden und anschließendes Aggregieren aus dem ursprünglichen Quell-Bild 1 hervorgegangen ist.

Figur 3 ist ein schematisches Ablaufdiagramm eines Ausführungsbeispiels des Verfahrens 200 zur Prüfung der Integrität eines Ziel-Bildes 3, das mit dem zuvor beschriebenen Verfahren 100 erzeugt wurde.

In Schritt 210 werden die in Assoziation mit dem Ziel-Bild 3 hinterlegten Validierungsinformationen 5 beschafft. Diese Validierungsinformationen 5 enthalten einen oder mehrere Hashwerte 1# von Quell-Bildern 1 sowie eine Identifikation 2a einer Bearbeitungsfunktion 2, mit der das Ziel-Bild 3 aus einem oder mehreren Quell-Bildern 1 erzeugt wurde.

In Schritt 220 werden eine oder mehrere Kandidaten-Quell-Bilder 1 beschafft. In Schritt 230 wird durch Anwenden einer vorgegebenen Hashfunktion 4 ein Hashwert 1* eines jeden Kandidaten-Quell-Bildes 1 ermittelt.

In Schritt 240 wird geprüft, ob alle Hashwerte 1 * mit hierzu korrespondierenden Hashwerten 1# in den Validierungsinformationen 5 übereinstimmen. Ist dies der Fall (Wahrheitswert 1), wird in Schritt 250 festgestellt, dass das Ziel-Bild 3 aus dem bzw. den Kandidaten-Quell-Bildern 1 hervorgegangen ist.

In Schritt 260 kann zusätzlich die gemäß der Identifikation 2a in den Validierungsinformationen 5 ermittelte Bearbeitungsfunktion 2 auf das oder die

Kandidaten-Quell-Bilder 1 angewendet werden, so dass ein Prüf-Bild (9) entsteht. In Schritt 270 kann dann geprüft werden, ob das Prüf-Bild 9 in Einklang mit dem Ziel- Bild 3 ist. Ist dies der Fall (Wahrheitswert 1), wird in Schritt 280 festgestellt, dass das Ziel -Bild 3 aus dem Kandidaten-Quell-Bild 1, bzw. aus den Kandidaten-Quell- Bildern 1, durch Anwendung der Bearbeitungsfunktion 2 gemäß der Identifikation 2a in den Validierungsinformationen 5 hervorgegangen ist.

Bezugszeichenliste

Quell-Bild, Kandidaten-Quell-Bild # Hashwert des Quell-Bildes 1 * Hashwert eines Kandidaten-Quell-Bildes 1

Bearbeitungsfunktion, führt von Quell-Bild 1 zu Ziel -Bild 3, 3a-3c a Identifikation der Bearbeitungsfunktion 2

Ziel-Bilder neues Ziel-Bild

Hashfunktion

Validierungsinformationen zu Ziel-Bild 3, 3a-3c

Verarbeitungsstationen, erzeugen Verarbeitungsergebnisse 7, 7a-7c

Verarbeitungsergebnisse, erhalten aus Ziel-Bildern 3, 3a-3c Ansteuersignal

Prüf-Bild 0 Fahrzeug

Kameras, mit Fahrzeug 50 mitgeführt Verfahren zur Verarbeitung von Quell-Bildern 1 Wahl eines Überwachungsbildes als Quell-Bild 1 06 Wahl von Quell-Bildern 1 aus mehreren Kameras 51-53 10 Erzeugen des Ziel-Bilds 3 11 Erzeugen mehrerer Ziel-Bilder 3a-3c mit unterschiedlichen Ausschnitten 12 Zusammensetzen von Quell-Bildern 1 zu Ziel-Bild 3 20 Bilden des Hashwerts 1# für jedes Quell-Bild 1 30 Ermitteln von Validierungsinformationen 5 31 Wahl bestimmter Angaben für die Identifikation 2a 40 Hinterlegen der Validierungsinformationen 5 41 Hinterlegen durch Fusionieren mit dem Ziel-Bild 3 41a Fusionieren mit steganographi scher Funktion Übertragen der Ziel -Bilder 3, 3a-3c an Stationen 6, 6a-6c

Weiterverarbeiten der Ziel-Bilder 3, 3a-3c zu Ergebnissen 7, 7a-7c

Weiterverarbeiten eines zusammengesetzten Ziel-Bildes 3

Aggregieren der Ziel -Bilder 3 zu neuem Ziel-Bild 3'

Weiterverarbeiten des Ergebnisses 7 zu Ansteuersignal 8

Ansteuem des Fahrzeugs 50 mit dem Ansteuersignal 8

Verfahren zur Prüfung der Integrität des Ziel-Bildes 3

Beschaffen der Validierungsinformationen 5

Beschaffen von Kandidaten-Quell-Bildem 1

Ermitteln eines Hashwerts 1* je Kandidaten-Quell-Bild 1

Prüfen, ob Hashwerte 1* und 1# übereinstimmen

Feststellen, dass Ziel -Bild 3 aus Kandidaten-Quell-Bildem 1 kommt

Erzeugen des Prüf-Bildes 9 mit Bearbeitungsfunktion 2

Prüfen, ob Prüf-Bild 9 in Einklang mit Ziel-Bild 3

Feststellen, dass Ziel -Bild 3 mit Bearbeitungsfunktion 2 erstellt