DE102021131749A1

DE102021131749A1 - Verfahren und System zum Erzeugen und manipulationssicheren Verwalten von Flug-Logdateien

Info

Publication number: DE102021131749A1
Application number: DE102021131749.5A
Authority: DE
Inventors: Markus Ortlieb
Original assignee: Volocopter GmbH
Current assignee: Volocopter GmbH
Priority date: 2021-12-02
Filing date: 2021-12-02
Publication date: 2023-06-07

Abstract

Vorgeschlagen werden ein Verfahren und ein System (1) zum manipulationssicheren Verwalten von Flug-Logdateien (L, L`), die von Fluggeräten (2, 2`) erzeugt werden, welche Fluggeräte (2, 2`) sich in einem Netz aus Landeorten (3, 3`) bewegen, beinhaltend:a) Erzeugen einer Flug-Logdatei (L, L`) durch ein Fluggerät (2, 2`) während dessen Flugs, vorzugsweise an Bord des Fluggeräts (2, 2`);b) nach Landung des Fluggeräts (2) an einem vorbestimmten Landeort (3) Speichern der Flug-Logdatei (L, L`) an dem Landeort (3, 3`), insbesondere nach vorheriger Übertragung der Flug-Logdatei (L, L`) von dem Fluggerät (2, 2`) auf eine geeignete Infrastruktur an dem Landeort (3, 3`);c) Anwenden einer mathematischen Abbildung in Form einer Streuwert- oder Hashfunktion auf die Flug-Logdatei (L, L`) zum Erzeugen eines zughörigen Streu- oder Hashwerts (#) und Speichern des Streuwerts (#) zusammen mit der Flug-Logdatei (L, L`) an dem Landeort (3, 3`);d) Erzeugen eines Hash-Baums aus den Streuwerten (#) der innerhalb eines Zeitintervalls bei dem Landeort (3, 3`) eingetroffenen Flug-Logdateien (L, L`) und Speichern des Hash-Baums an dem Landeort (3, 3`).

Description

Die Erfindung betrifft ein Verfahren zum manipulationssicheren Verwalten von Flug-Logdateien, die von Fluggeräten erzeugt werden, welche Fluggeräte sich in einem Netz aus Landeorten bewegen, gemäß Anspruch 1.
Außerdem betrifft die Erfindung ein Flugdaten-Erzeugungs- und Verwaltungssystem gemäß Anspruch 10.
Für die Sicherung und Dokumentation von Flug- und Flottendaten werden insbesondere in der Luftfahrt meist Datenbanken mit beschränktem Schreibzugriff und/oder stark gesicherte Datenbank-Infrastrukturen verwendet. Mit zunehmender Verbreitung von Cloudspeichern kann mittelfristig mit einer zunehmenden Verlegung solcher Datenbanken in cloud-basierte Infrastrukturen gerechnet werden.
Die konventionelle Speicherung sensibler Daten ist insbesondere dann kritisch, wenn für die verwaltende Instanz oder für Dritte mit Schreibzugriff (z.B. eine Kontrollinstanz) unter bestimmen Umständen Anreize entstehen könnten, Änderungen an historischen Datensätzen vorzunehmen. Ein solcher Anreiz kann z.B. durch eine Änderung der Rahmenbedingungen des Betriebs (Gesetzesänderungen, Wettbewerber, ...), im Zuge der Vertuschung eines Vorfalls oder einer Straftat oder zur Vortäuschung wirtschaftlicher Stärke gegeben sein.
Der Erfindung liegt die Aufgabe zugrunde, die vorstehend genannte Problematik zu lösen bzw. zu vermeiden, indem sensible Daten so abgelegt werden, dass sie nicht mehr ohne Weiteres veränderbar sind. Eine Institution, welche gegenüber Dritten nachweislich keine Datenmanipulation vornehmen kann, ist potenziell mit einem Vertrauensvorschuss gegenüber Wettbewerbern ausgestattet, welche Wettbewerber konventionelle Methoden zur Datenspeicherung verwenden.
Die Aufgabe wird erfindungsgemäß gelöst durch ein Verfahren mit den Merkmalen des Patentanspruchs 1 sowie durch ein System mit den Merkmalen des Patentanspruchs 10.
Vorteilhafte Weiterbildungen des erfindungsgemäßen Verfahrens bzw. des erfindungsgemäßen Systems sind in den jeweiligen Unteransprüchen definiert.
Ein erfindungsgemäßes Verfahren zum manipulationssicheren Verwalten von Flug-Logdateien, die von Fluggeräten erzeugt werden, welche Fluggeräte sich in einem Netz aus Landeorten bewegen, beinhaltet die Schritte:

a) Erzeugen einer Flug-Logdatei durch ein Fluggerät während dessen Flugs, vorzugsweise an Bord des Fluggeräts;
b) nach Landung des Fluggeräts an einem vorbestimmten Landeort Speichern der Flug-Logdatei an dem Landeort, insbesondere dezentral und/oder nach vorheriger Übertragung der Flug-Logdatei von dem Fluggerät auf eine geeignete Infrastruktur an dem Landeort;
c) Anwenden einer mathematischen Abbildung in Form einer Streuwert- oder Hashfunktion auf die Flug-Logdatei zum Erzeugen eines zugehörigen Streu- oder Hashwerts und Speichern des Streuwerts zusammen mit der Flug-Logdatei an dem Landeort;
d) Erzeugen eines Hash-Baums aus den Streuwerten der innerhalb eines Zeitintervalls bei dem Landeort eingetroffenen Flug-Logdateien und Speichern des Hash-Baums an dem Landeort.

Ein erfindungsgemäßes Flugdaten-Erzeugungs- und Verwaltungssystem, welches System sich insbesondere zur Durchführung eines erfindungsgemäßen Verfahrens eignet, umfasst:

eine erste Anzahl an Fluggeräten, die zum Erzeugen einer Flug-Logdatei durch ein jeweiliges Fluggerät während dessen Flugs, vorzugsweise an Bord des Fluggeräts ausgebildet sind;
eine zweite Anzahl an Landeorten für die Fluggeräte, welche Landeorte ein Netz darstellen, in dem sich die Fluggeräte bewegen;
an vorzugsweise jedem Landeort eine Empfangseinrichtung für die Flug-Logdatei eines gelandeten Fluggeräts;
an vorzugsweise jedem Landeort eine Rechnereinrichtung mit einem Algorithmus zur Anwendung auf die Flug-Logdatei zum Erzeugen eines zugehörigen Streu- oder Hashwerts;
an vorzugsweise jedem Landeort eine Speichereinrichtung zum Speichern des Streuwerts zusammen mit der Flug-Logdatei;
welche Rechnereinrichtung und Speichereinrichtung weiterhin ausgebildet sind zum Erzeugen eines Hash-Baums aus den Streuwerten der innerhalb eines Zeitintervalls bei einem Landeort eingetroffenen Flug-Logdateien und zum Speichern des Hash-Baums für den Landeort.

Erfindungsgemäß ist somit vorgesehen, die Flug-Logdateien in einer Struktur abzulegen, welche Struktur es unmöglich macht, einzelne Datensätze nachträglich zu ändern, ohne die Gesamtdatenstruktur zu verfälschen.
Die nachfolgend beschriebene und in den Patentansprüchen definierte Erfindung kann vorteilhafter Weise in einem Netzwerk (oder Netz) aus Start- und Landeorten (nachfolgend verallgemeinernd nur als „Landeorte“ bezeichnet) Anwendung finden, welches Netzwerk für den Betrieb einer Fluggerät-Flotte aus vorzugsweise elektrisch angetriebenen, senkrecht startenden und landenden Fluggeräten bestimmt ist, wie sie von der Anmelderin hergestellt werden. Die genannten Landeorte werden nachfolgend synonym auch als „Vertiports“ bezeichnet. Die Erfindung ist jedoch keinesfalls auf derartige Fluggeräte und entsprechend ausgebildete Landeorte beschränkt.
Versteht man solche Vertiports innerhalb eines Netzwerks und deren Verbindung untereinander durch Flugrouten als ein p2p (peer-to-peer)-Netzwerk, so kann jede Flugbewegung zwischen zwei Vertiports als eine Art Transaktion betrachtet werden. Auf Basis des Logfiles der Flugbewegung, die im vorliegenden Dokument auch als Flug-Logdateien bezeichnet werden, wird ein sogenannter Streuwert (englisch „Hash“) berechnet, anhand welchem einerseits sowohl die Flugbewegung als solche als auch andererseits die Echtheit der damit verknüpften Logdaten (Flugdaten bzw. diese beinhaltende Flug-Logdateien) überprüft werden kann.
In einem Netzwerk aus Vertiports kann die Flottenbewegung inklusive Logdateienfiles (Flug-Logdateien) als Hash-Baum, insbesondere als sogenannter Merkle-Baum oder Merkle-Tree, dokumentiert werden. Für weitere Einzelheiten in diesem Zusammenhang kann beispielsweise auf „https://de.wikipe-dia.org/wiki/Hash-Baum“ oder vergleichbare Beschreibungen verwiesen werden. Die Wurzel eines Hash-Baums wird als Top-Hash, Root-Hash oder Master-Hash bezeichnet. Vor dem Bezug einer Datei in einem p2p-Netzwerk wird meist der Top-Hash von einer vertrauenswürdigen Quelle bezogen, beispielsweise einem Freund oder einer Website mit guter Bewertung. Liegt der Top-Hash vor, so kann der restliche Hash-Baum auch von einer nicht vertrauenswürdigen Quelle bezogen werden, also auch von jedem Peer eines p2p-Netzwerks. Er kann dann gegen den vertrauenswürdigen Top-Hash geprüft und gegebenenfalls abgelehnt werden. Der Top-Hash des Hash-Baumes dokumentiert im Kontext der vorliegenden Erfindung zu einem gegebenen Zeitpunkt alle innerhalb des Netzwerkes durchgeführten Flüge und erlaubt eine Validierung der Echtheit der Logdatenpakete. Die Logdaten gehen als Datenblöcke oder Blocks, auf deren Basis ein Hash berechnet wird, in den Hash-Baum ein. Ein Netzwerk kann z.B. von einem bestimmten Operationsstandort ausgehen (insbesondere Singapur, Paris oder Bruchsal), diesen umfassen und/oder ihn mit anderen Standorten verknüpfen. Der Operationsstandort muss nicht zwingend global vernetzt sein, sondern der Betrieb kann auch in unterschiedlichen, räumlich voneinander getrennten Vertiport-Netzwerken erfindungsgemäß absichert werden.
Die vorliegende Erfindung schlägt demnach in einer bevorzugten Ausgestaltung eine verteilte Sicherung von Flug-Logdaten bzw. Flug-Logdateien innerhalb eines Netzwerks aus Vertiports bzw. Landeorten vor. Ein solches p2p-Vertiport-Netzwerk kann eine zentrale, vertrauenswürdige Instanz umfassen. Ein solches Netzwerk beinhaltet mindestens zwei Vertiports, zwischen welchen Flugverbindungen mit einem oder mehreren (VTOL-) Fluggeräten bedient werden. Jeder Flug wird an Bord des betreffenden Fluggeräts mittels einer (Flug-) Logdatei dokumentiert. Nach der Landung wird diese Logdatei von dem Fluggerät auf den Vertiport bzw. eine dort vorhandene Speichereinrichtung übertragen, vorzugsweise drahtlos. Flug-Logdateien werden vorzugsweise dezentral an den jeweiligen (Ziel-) Vertiports gespeichert.
An jedem Vertiport werden vorzugsweise die in den Flug-Logdateien enthaltenen Logdaten eingehender Flüge dezentral abgelegt und mit einem Hash (Streuwert) versehen, welcher Streuwert z.B. mittels einer Funktion aus der Familie der Secure Hash Algorithmen (SHA-0 bis SHA-3) berechnet wird. Jedes Logfile (Flug-Logdatei) beinhaltet neben den eigentlichen Flugdaten (welche Flugdaten z.B. eine Onboard-Netzwerkkommunikation, Navigations- und Sensordaten, jeweils insbesondere als Roh- und/oder Fusionsdaten, Flugführungs- und -Regelungsdaten, jeweils insbesondere als Eingangs- und -Ausgangsdaten, Antriebsdaten, Systemanalysedaten, Batteriesystemdaten, Missionsparameter und Fluggerätekonfigurationsdaten beinhalten können) auch den Start- und Ziel-Vertiport.
In bevorzugt regelmäßigen Zeitabständen T kann vorteilhafter Weise aus den seit Generierung des letzten Hash- bzw. Merkle-Baums neu hinzugekommenen Logdateien ein neuer Hash-/Merkle-Baum mit Top-Hash #_T generiert werden. Zwei solche (aufeinander folgende) Zeitabstände definieren ein Zeitintervall. Die Top-Hashes der Hash-Bäume der jeweiligen Vertiports in einem bestimmten Zeitintervall T werden bei einer vorteilhaften Ausgestaltung der Erfindung zwischen den Vertiports ausgetauscht. Jeder Vertiport ist dann in der Lage, auf Basis der Top-Hashes eines jeden anderen Vertiports über das zurückliegende Zeitintervall einen Merkle-Baum zu generieren, welcher das Gesamtnetzwerk über den zurückliegenden Zeitraum repräsentiert. Bevorzugt werden also innerhalb des p2p-Netzwerks die Top-Hashes der (Flug-) Logdateien innerhalb des Zeitintervalls T ausgetauscht, und der Zustand des Netzwerkes zum Zeitpunkt T wird zum Folge-Zeitpunkt T+1 bei jedem Vertiport in einem Merkle-Baum (redundant) dokumentiert. Im Nominalfall sollte dieser Merkle-Baum für alle Vertiports identisch sein.
Alternativ kann man sich auch auf die Zeitpunkte T und T-1 beziehen: Die Vertiports tauschen bei entsprechender Ausgestaltung am Ende eines Zeitintervalls T-1 die Hashes der über den zurückliegenden Zeitraum (T-1) am jeweiligen Vertiport entstandenen Bäume aus. Zu einem gegebenen aktuellen Zeitraum T liegt daher bevorzugt an jedem Vertiport ein vollständiges Lagebild des Gesamtnetzwerkes zum vorherigen Zeitschritt (T-1) vor. Dieser Baum sollte vorzugsweise an allen Vertiports identisch sein. Über den aktuellen Zeitraum T liegen regelmäßig nur die Daten des jeweiligen Vertiports vor.
Bei einer anderen Weiterbildung der Erfindung verwaltet bzw. verwalten eine (oder mehrere) zentrale Instanz(en), welche das Vertrauen aller Parteien genießt (genießen), einen kontinuierlich wachsenden Merkle-Baum, welcher das zeitliche Verhalten des Gesamtnetzwerkes anhand der redundant berechneten Top-Hashes einzelner Zeitintervalle abbildet. Zu diesem Zweck werden die bei den Landeorten redundant berechneten Top-Hashes #_T an die zentrale(n) Instanzen) geschickt, wo eine zeitliche Zustandsänderung des Vertiport-Netzwerks in einem zentralen Merkle-Baum dokumentiert werden kann. Das Vertiport-Netzwerk ändert sich bevorzugt nicht im physischen Sinne, aber in Bezug auf den Zustand des Gesamtsystems. Es kommen neue Flugverbindungen hinzu, zusätzliche Logdaten, die Verfügbarkeit einzelner Ports kann temporär eingeschränkt sein, etc.
Liegt eine Diskrepanz zwischen den Hashes unterschiedlicher Vertiports bezogen auf ein gleiches Zeitintervall vor, so kann dies ein Hinweis auf Unregelmä-ßigkeiten bei der Datenspeicherung bzw. -Verwaltung sein. Das Feststellen einer solchen Diskrepanz kann bevorzugt automatisiert erfolgen. Mögliche Instanzen sind der Netzwerkbetreiber oder die zuständige Flugsicherheitsbehörde. Vorzugsweise überprüft die zentrale Instanz die Konformität aller von Vertiports über den gleichen Zeitraum erhaltenen Hashes, bevor ein neuer Hash zum zentralen Baum hinzugefügt wird.
Außenlandungen abseits eines dedizierten Vertiports werden regelmäßig als katastrophales Ereignis klassifiziert und sind daher nur sehr selten zu erwarten. Eine jeweils zuständige Bergungsinstanz (z.B. eine Maintenance-Einheit), welche die Flug-Logdateien eines betreffenden Fluggeräts im Falle einer solchen Außenlandung birgt und archiviert, wird im Flottennetzwerk als einem Vertiport gleichwertig, d.h. wie ein eigener Landeort behandelt und generiert insbesondere ihrerseits eigene Hash- bzw. Merkle-Bäume, deren Top-Hashes bei entsprechender Ausgestaltung ebenfalls an die Zentralinstanz(en) übermittelt werden können.
Es wurde bereits darauf hingewiesen, dass die Erfindung nicht auf Ausgestaltungen mit wenigstens einer Zentralinstanz beschränkt ist. Eine mögliche Variante der Erfindung umfasst den Verzicht auf eine Zentralinstanz und beinhaltet stattdessen einen vollständigen Austausch von Hashes zwischen den Vertiports. In diesem Fall besteht die Möglichkeit, dass jeder Vertiport eine (im Nominalfall identische) Kopie des Hash-/Merkle-Baums unterhält, welcher Baum die zeitliche Entwicklung des Gesamtnetzwerks beschreibt.
Ein besonderer Vorteil der beschriebenen Vorgehensweise ergibt sich daraus, dass Teilmengen der Gesamtbaumstruktur an unterschiedlichen Speicherorten abgelegt sein können, wodurch diese Teilmengen auch bei Verlust der übergeordneten Struktur ihre Gültigkeit behalten. Manipulationsversuche oder Datenkorruption können so auf unterschiedlichen Ebenen erkannt und überprüft werden. Auch bei Verlust oder Zerstörung einer Datenbankeinheit bzw. einer Speichereinrichtung (z.B. an einem bestimmten Vertiport) bleibt die verbleibende Struktur intakt. Selbst in einem solchen Fall kann die Integrität der Datenbank bzw. der Flugdaten-Speicherung - ggf. mit Ausnahme der zerstörten Teilmenge - weiterhin geprüft werden.
Der vorstehend beschriebene Ansatz kann auch auf Flugbewegungen zwischen „normalen“ Flughäfen mit im Wesentlichen horizontalen Start- bzw. Landebewegungen erweitert werden, wobei in diesem Fall die jeweilig zuständige Sicherheitsbehörde (z.B. die Deutsche Flugsicherung - DFS) eine zentrale vertrauenswürdige Instanz in dem oben beschriebenen Sinne darstellt.
Folgende Ausgestaltungen des erfindungsgemäßen Verfahrens bzw. des erfindungsgemäßen Systems haben sich als besonders vorteilhaft erwiesen:

Eine Weiterbildung des erfindungsgemäßen Verfahrens kann weiter folgende Schritte beinhalten:
- e1) Austauschen von Top-Hashes in Form einer Wurzel eines jeweiligen Hash-Baums zwischen den Landeorten für das Zeitintervall;
- f1) Erzeugen eines weiteren Hash-Baums an jedem Landeort aus den Top-Hashes aller Landeorte für das Zeitintervall;
- g1) optional Weiterleiten der Top-Hashes für jeden Landeort und für jedes Zeitintervall an wenigstens eine zentrale Instanz, welche zentrale Instanz aus den redundant berechneten Top-Hashes einzelner Zeitintervalle einen kontinuierlich wachsenden Hash-Baum für das Netz erzeugt und abspeichert.

Auf die besonderen Vorteile einer solchen Ausgestaltung wurde weiter oben bereits hingewiesen.
Eine alternative Ausgestaltung des erfindungsgemäßen Verfahrens beinhaltet dagegen insbesondere noch folgende Schritte:

e2) Austauschen der in Schritt c) bei den Landeorten jeweils erzeugten Streuwerte zwischen allen Landeorten pro Zeitintervall;
f2) Erzeugen und Unterhalten bei jedem Landeort eines weiteren Hash-Baums aus den Streuwerten aller Landeorte, welcher weitere Hash-Baum einen kontinuierlich wachsenden Hash-Baum für das Netz darstellt.

Auch auf die Vorteile einer derartigen Ausgestaltung wurde weiter oben schon hingewiesen.
Des Weiteren besteht wiederum alternativ auch die Möglichkeit, dass eine andere Weiterbildung des erfindungsgemäßen Verfahrens in Schritt b) den Austausch aller Flug-Logdateien zwischen den Landeorten; und in Schritt d) das Erzeugen redundanter Hash-Bäume aus den Streuwerten der innerhalb eines Zeitintervalls erzeugten Flug-Logdateien und Speichern des Hash-Baums an dem jeweiligen Landeort beinhaltet.
Um die Datensicherheit zu gewährleisten, hat es sich als besonders vorteilhaft erwiesen, wenn in Weiterbildung des erfindungsgemäßen Verfahrens die Streuwert- oder Hashfunktion eine kryptologische Hashfunktion ist, insbesondere aus der Familie der Secure Hash Algorithmen, SHA-0 bis SHA-3, Whirlpool oder Tiger.
Es wurde schon darauf hingewiesen, dass bei entsprechender Weiterbildung des erfindungsgemäßen Verfahrens im Falle einer Außenlandung eines Fluggeräts abseits eines dedizierten Landeortes durch eine jeweils zuständige Bergungsinstanz aus geborgenen Logdateien des Fluggeräts eine Flug-Logdatei erzeugt wird, die einer Flug-Logdatei gemäß Schritt a) und/oder b) entspricht, wobei die Bergungsinstanz einem Landeort entspricht. Somit können auch ungeplante Außenwandungen von Fluggeräten auf dieselbe Art und Weise Daten technisch behandelt werden, wie geplante Landungen an dezidierten Landeorten (Vertiports).
Im Zuge der praktischen Durchführbarkeit des erfindungsgemäßen Verfahrens hat es sich als besonders vorteilhaft erwiesen, wenn bei einer entsprechenden Weiterbildung der Hash-Baum, der weitere Hash-Baum und/oder der kontinuierlich wachsende Hash-Baum nach Art eines Merkle-Baums erzeugt wird.
Es wurde bereits darauf hingewiesen, dass bei einer vorteilhaften Weiterbildung des erfindungsgemäßen Verfahrens die Flug-Logdateien zumindest eines der folgenden Elemente umfassen können: eigentliche Flugdaten, z.B. Onboard-Netzwerkkommunikation, Navigations- und Sensordaten, jeweils insbesondere als Roh- und/oder Fusionsdaten, Flugführungs- und -Regelungsdaten, jeweils insbesondere als Eingangs- und -Ausgangsdaten, Antriebsdaten, Systemanalysedaten, Batteriesystemdaten, Missionsparameter, Fluggerätekonfigurationsdaten; Start-Landeort; und Ziel-Landeort.
Im Zuge einer wieder anderen Weiterbildung des erfindungsgemäßen Verfahrens kann vorgesehen sein, dass zur Ermittlung von Manipulationen Streuwerte unterschiedlicher Landeorte in einem gleichen Zeitintervall miteinander verglichen werden. Dies kann insbesondere bei der Zentralinstanz oder einer anderen übergeordneten Kontrollinstanz (Kontrollbehörde) geschehen, ohne dass die Erfindung diesbezüglich beschränkt wäre.
Eine Weiterbildung des erfindungsgemäßen Systems umfasst vorteilhafterweise: an vorzugsweise jedem Landeort eine Sendeeinrichtung zum Austauschen von Top-Hashes in Form einer Wurzel eines jeweiligen Hash-Baums zwischen den Landeorten für das Zeitintervall. Außerdem ist die Rechnereinrichtung ausgebildet zum Erzeugen eines weiteren Hash-Baums für jeden Landeort aus den Top-Hashes aller Landeorte für das Zeitintervall. Optional umfasst das System noch wenigstens eine zentrale Instanz, wobei dann die Sendeeinrichtung ausgebildet ist zum Weiterleiten der Top-Hashes für jeden Landeort und für jedes Zeitintervall an die wenigstens eine zentrale Instanz, welche zentrale Instanz dazu ausgebildet ist, aus den redundant berechneten Top-Hashes einzelner Zeitintervalle einen kontinuierlich wachsenden Hash-Baum für das Netz zu erzeugen und abzuspeichern.
Die Sendeeinrichtungen können zum drahtlosen und/oder zum kabelgebundenen Austauschen der genannten Daten ausgebildet sein.
Eine andere Weiterbildung des erfindungsgemäßen Systems sieht vor, dass die Sendeeinrichtung ausgebildet ist zum Austauschen der bei den Landeorten jeweils erzeugten Streuwerte zwischen allen Landeorten pro Zeitintervall; und dass die Rechnereinrichtung ausgebildet ist zum Erzeugen und Unterhalten eines weiteren Hash-Baums aus den Streuwerten aller Landeorte für jeden Landeort, welcher weitere Hash-Baum einen kontinuierlich wachsenden Hash-Baum für das Netz darstellt.
Auf entsprechende Eigenschaften und Vorteile einer solchen Ausgestaltung wurde weiter oben bereits hingewiesen.
Bei einer anderen Weiterbildung des erfindungsgemäßen Systems kann die Sendeeinrichtung ausgebildet sein für den Austausch aller Flug-Logdateien zwischen den Landeorten; und die Rechnereinrichtung kann ausgebildet sein zum Erzeugen redundanter Hash-Bäume aus den Streuwerten der innerhalb eines Zeitintervalls erzeugten Flug-Logdateien und zum Speichern des Hash-Baums für den jeweiligen Landeort.
Auch hier wurde auf entsprechende Eigenschaften und Vorteile einer solchen Ausgestaltung weiter oben bereits hingewiesen.
Als besonders vorteilhaft hat sich eine Weiterbildung des erfindungsgemäßen Systems erwiesen, bei dem eine Bergungsinstanz vorhanden ist, die im Falle einer Außenlandung eines Fluggeräts abseits eines dedizierten Landeortes zum Erzeugen einer Flug-Logdatei aus geborgenen Logdateien des Fluggeräts ausgebildet ist, welche Bergungsinstanz in dem System einem Landeort entspricht.
Somit lassen sich auch ungeplante Außenlandungen ohne Weiteres in das erfindungsgemäße System integrieren, worauf weiter oben schon eingegangen wurde.
Um die Datensicherheit und die Datenverwaltung zu gewährleisten bzw. sicherzustellen, sieht eine wieder andere Weiterbildung des erfindungsgemäßen Systems vor, dass die Rechnereinrichtung ausgebildet ist zum Erzeugen der Streuwerte mittels einer kryptologischen Hashfunktion, insbesondere aus der Familie der Secure Hash Algorithmen, SHA-0 bis SHA-3, Whirlpool oder Tiger; und/oder dass die Rechnereinrichtung ausgebildet ist zum Erzeugen der Hash-Bäume nach Art eines Merkle-Baums.
Es wurde bereits darauf hingewiesen, dass sich das erfindungsgemäße System bei entsprechender Ausgestaltung insbesondere für Anwendungen eignet, bei denen die Fluggeräte als senkrecht startende und landende VTOL-Fluggeräte, bevorzugt mit elektrisch betriebenen Antriebeinheiten, und die Landeorte als Landeplattformen (Vertiports) ausgebildet sind.
Alternativ oder zusätzlich sind jedoch auch Anwendungen möglich, bei denen die Fluggeräte als horizontal startende und landende Flugzeuge und die Landeorte als Landebahnen ausgebildet sind. Dies entspricht im Wesentlichen einem herkömmlichen Flughafenbetrieb, wobei insbesondere die Deutsche Flugsicherung (DFS) oder eine vergleichbare Instanz/Behörde als zentrale Instanz fungieren kann.
Es wurde schon darauf hingewiesen, dass eine Ausgestaltung der Erfindung auch die vollständig redundante Sicherung der Flugdaten mit eigenständigen Hash-Bäumen (Austausch aller Logdateien zwischen den Vertiports) umfassen kann. Auch die Verwendung sogenannter Blockchains zur Sicherstellung der Datenintegrität ist möglich; allerdings sind diese Ansätze in der Regel deutlich speicher- bzw. rechenaufwendiger.
Außerdem können zur Lösung der eingangsgestellten Aufgabe grundsätzlich auch Datenbankkonfigurationen verwendet werden, die es zwar erlauben, Daten hinzuzufügen, auf bestehende Daten aber nur einen Lesezugriff ermöglichen.
Weitere Eigenschaften und Vorteile der Erfindung ergeben sich aus der nachfolgenden Beschreibung von Ausführungsbeispielen anhand der Zeichnung.

1 zeigt ein p2p-Vertiport-Netzwerk mit zentraler vertrauenswürdiger Instanz, bei dem Flug-Logdateien dezentral an den jeweiligen Ziel-Vertiports gespeichert werden;
2 zeigt schematisch, wie aus Flug-Logdateien L_n innerhalb eines Zeitintervalls T eintreffender Flugverbindungen ein Hash-/Merkle-Baum mit Top-Hash #_T,VPn erstellt wird;
3 zeigt den Austausch von Top-Hashes der Flug-Logdateien innerhalb des Zeitintervalls T innerhalb des p2p-Netzwerks, wobei ein Zustand des Netzwerkes in dem Zeitintervall T zum Zeitpunkt T+1 in einem Hash-/Merkle-Baum dokumentiert wird; und
4 zeigt redundant berechnete Top-Hashes #_T, die an die zentrale Instanz geschickt werden, wo die zeitliche Zustandsänderung des Vertiport-Netzwerks in einem zentralen Hash-/Merkle-Baum dokumentiert wird.

In 1 ist schematisch ein erfindungsgemäßes Flugdaten-Erzeugungs- und Verwaltungssystem (kurz „System“) dargestellt und mit Bezugszeichen 1 bezeichnet. Das System 1 umfasst eine erste Anzahl an Fluggeräten 2, 2`, die zum Erzeugen einer Flug-Logdatei L, L` durch ein jeweiliges Fluggerät 2, 2' während dessen Flugs, vorzugsweise an Bord des Fluggeräts, ausgebildet sind.
Jede Flug-Logdatei L, L` beinhaltet neben den eigentlichen Flugdaten (welche Flugdaten z.B. eine Onboard-Netzwerkkommunikation, Navigations- und Sensordaten, jeweils insbesondere als Roh- und/oder Fusionsdaten, Flugführungs- und -Regelungsdaten, jeweils insbesondere als Eingangs- und -Ausgangsdaten, Antriebsdaten, Systemanalysedaten, Batteriesystemdaten, Missionsparameter und Fluggerätekonfigurationsdaten beinhalten können) auch einen jeweiligen Start- und Ziel-Landeort des betreffenden Fluggeräts 2, 2`.
System 1 umfasst weiterhin eine zweite Anzahl an Landeorten 3, 3` für die Fluggeräte 2, 2`, welche Landeorte 3, 3` ein p2p-Netz (oder -Netzwerk) darstellen, in dem sich die Fluggeräte 2, 2' bewegen. Diese Bewegung ist in 1 durch gestrichelte bzw. strichpunktierte Pfeile dargestellt, welche Pfeile jeweils einen Start-Landeort mit einem Ziel-Landeort verbinden, je nach Pfeilrichtung. Bei dem Landeort 3` handelt es sich nicht um einen dezidierten, d.h. ursprünglich geplanten Landeort. Die dezidierten Landeorte 3 sind in 1 zusätzlich mit dem Bezugszeichen VP1 bis VP3 bezeichnet, wobei die Abkürzung „VP“ für „Vertiport“ steht. Beispielsweise bewegt sich das Fluggerät 2 unten links in 1 zwischen den Vertiports VP1 und VP2.
Gemäß 1 handelt es sich bei dem Fluggerät 2' um ein Fluggerät, welches außerhalb eines dezidierten Landeortes (Vertiport) gelandet ist - eine sogenannte Außenlandung. Hierauf wird an anderer Stelle noch genauer eingegangen. Bei allen Fluggeräten 2, 2' handelt es sich vorzugsweise um elektrisch angetriebene VTOL-Fluggeräte, ohne dass die Erfindung jedoch hierauf beschränkt wäre.
An vorzugsweise jedem dezidierten Landeort 3 befindet sich eine Empfangseinrichtung 4, vorzugsweise in Form einer drahtlos arbeitenden kombinierten Sende-/Empfangseinrichtung, zum Empfangen der Flug-Logdatei L eines bei dem Landeort 3 gelandeten Fluggeräts 2. Dies ist aus Gründen der Übersichtlichkeit in 1 nur für den Vertiport VP1 zeichnerisch dargestellt. Die Empfangseinrichtung 4 dient dazu, die von dem Fluggerät 2 während des Flugs erzeugte Flug-Logdatei L auszulesen bzw. zu empfangen. Dies kann grundsätzlich zumindest teilweise auch bereits geschehen, während sich das Fluggerät 2 noch auf dem Weg zum Landeort 3 (in der Luft) befindet, also beispielsweise auf dem Weg von dem Vertiport VP2 zu dem Vertiport VP1.
Außerdem befindet sich an vorzugsweise jedem Landeort 3 eine Rechnereinrichtung 5 mit einem auf der Rechnereinrichtung 5 ausgeführten oder ausführbaren Algorithmus 6 zur Anwendung auf die Flug-Logdatei L zum Erzeugen eines zugehörigen Streu- oder Hashwerts (auch kurz als „Hash“ bezeichnet), welcher in 1 in Anlehnung an die gängige Nomenklatur mit einem #-Zeichen (Raute) bezeichnet ist. Auch die Rechnereinrichtung 5 mit Algorithmus 6 ist aus Gründen der Übersichtlichkeit in 1 nur für den Vertiport VP1 zeichnerisch dargestellt.
Darüber hinaus ist an vorzugsweise jedem Landeort 3 außerdem noch eine Speichereinrichtung 7 zum Speichern des erzeugten Streuwerts (#) zusammen mit der Flug-Logdatei L vorhanden. Aus Gründen der Übersichtlichkeit ist auch die Speichereinrichtung 7 in 1 nur für den Vertiport VP1 explizit dargestellt.
Die Empfangseinrichtung 4 steht mit der Rechnereinrichtung 5 in signaltechnischer Wirkverbindung, um eine empfangene Flug-Logdatei L an die Rechnereinrichtung 5 zu übertragen. Die Rechnereinrichtung 5 steht in Wirkverbindung mit der Speichereinrichtung 7, um den berechneten Streuwert an die Speichereinrichtung 7 zu übertragen. Die Rechnereinrichtung 5 und die Speichereinrichtung 7 sind weiterhin ausgebildet zum Erzeugen eines Hash-Baums aus den berechneten Streuwerten # der innerhalb eines Zeitintervalls bei einem Landeort 3 eingetroffenen Flug-Logdateien L und zum Speichern des Hash-Baums für den Landeort 3 in der Speichereinrichtung 7.
Wie bereits angesprochen wurde, handelt es sich bei dem Fluggerät 2' um ein Fluggerät, welches außerhalb eines dezidierten Landeortes 3 gelandet ist, beispielsweise aufgrund eines Notfalls. Dieser außerplanmäßige Landeort ist mit dem Bezugszeichen 3` und zusätzlich noch mit der Bezeichnung VPx versehen. Auch das betreffende Fluggerät 2' erzeugt eine Flug-Logdatei, die in 1 mit dem Bezugszeichen L` versehen ist. Diese Flug-Logdatei L` wird im Falle einer Außenlandung eines Fluggeräts 2' abseits eines dedizierten Landeortes 3 durch eine jeweils zuständige Bergungsinstanz BI aus geborgenen Logdateien des Fluggeräts 2' erzeugt, und entspricht im Wesentlichen einer „normalen“ Flug-Logdatei L, wobei die Bergungsinstanz BI einem zusätzlichen, besonderen Landeort entspricht. Die Bergungsinstanz BI kann zu diesem Zweck analog zu den anderen Landeorten 3 über geeignete Sende-/Empfangseinrichtungen sowie Rechner- und Speichereinrichtungen verfügen, was in 1 nicht weiter dargestellt ist. Im Rahmen der vorliegenden Erfindung lassen sich Außenlandungen somit völlig analog zu geplanten Landungen bei den dezidierten Landeorten 3, d.h. den Vertiports VP1 bis VP3 behandeln. Auf solche Außenlandungen wird deshalb im Weiteren nicht mehr gesondert eingegangen.
Bezugszeichen ZI bezeichnet eine (vertrauenswürdige) zentrale Instanz oder Zentralinstanz, die einen Teil des Systems 1 darstellt und auf deren Funktion weiter unten noch genauer eingegangen wird. Sie empfängt (Daten-) Übertragungen von den Landeorten 3 gemäß den durchgezogenen Pfeilen in 1 (und gegebenenfalls auch von der Bergungsinstanz BI, nicht dargestellt). Die Zentralinstanz ZI kann als zentrale Datenbank ausgebildet sein, wie zeichnerisch dargestellt, oder eine solche zumindest umfassen.
Wie bereits angesprochen wurde, sind die Empfangseinrichtungen 4 vorzugsweise als kombinierte Sende-/Empfangseinrichtungen ausgebildet und somit in der Lage, bei den Landeorten 3 erzeugte Streuwerte (Hashes, insbesondere sogenannte Top-Hashes) zwischen den Landeorten 3 sowie zu der Zentralinstanz ZI zu übertragen, was in 1 mittels durchgezogenen (Doppel-) Pfeilen symbolisiert ist. Grundsätzlich können in dem System 1 auch die Flug-Logdateien L, L` zwischen den Landeorten 3, 3` übertragen werden. Im Falle des Landeortes 3` übernimmt dies die erwähnte Bergungsinstanz BI.
Die Bedeutung der Bezeichnungen an den durchgezogenen (Doppel-) Pfeilen in 1 (#_T, #_T,VPn) ergibt sich aus der nachfolgenden Beschreibung der weiteren 2 bis 4, auf die nun Bezug genommen werden soll.
In 2 ist schematisch dargestellt, wie durch den beschriebenen Algorithmus bei jedem Landeort bzw. Vertiport 3 (vergleiche 1) pro Zeiteinheit (Zeitintervall T) ein sogenannter Hash-Baum HB1, vorzugsweise in Form eines Merkle-Baums, generiert (durch die Rechnereinrichtung) und abgespeichert wird (in der Speichereinrichtung). VP_n mit n = 1, 2, ... bezeichnet die einzelnen Landeorte (Vertiports), was nach dem vorstehenden auch außerplanmäßige Landeorte umfassen kann. L_n mit n = 1, 2, ... bezeichnet für jeden Landeort die Flug-Logdateien eintreffender Fluggeräte. Aus jeder Flug-Logdatei Ln wird ein sogenannter Streuwert oder Hash erzeugt (durch die Rechnereinrichtung 5 mit Algorithmus 6 berechnet, vgl. 1), was in 2 mit #_3n, n = 1, 2, ... bezeichnet ist. Diese Hashes #_3n werden nach Art eines Baumes paarweise kombiniert, wie dargestellt, sodass sich aus zwei Hashes niedrigerer Ordnung ein Hash höherer Ordnung ergibt, was in 2 mit #_2n, n = 1, 2, ... bezeichnet ist. Schließlich resultiert als Wurzel des Hash-Baumes HB1 ein sogenannter Top-Hash, der in 2 mit #_T,VPn, n = 1, 2, ... bezeichnet ist.
Eine bevorzugte Dauer des genannten Zeitintervalls T ist in der Regel abhängig von der Anzahl der Flugverbindungen und den „Öffnungszeiten“ der Vertiports. Bevorzugt sind eine oder mehrere Datensicherungen pro Tag. Die genannte Dauer kann dabei zwischen einer Stunde und einem Tag liegen.. Die Erfindung ist jedoch nicht auf derartige Zeitintervalle beschränkt.
3 illustriert den Austausch von Top-Hashes #_T,VPn, n = 1, 2, ... (vergleiche 2), die aus den Flug-Logdateien L_n innerhalb des Zeitintervalls T erzeugt wurden, innerhalb des p2p-Netzwerks aus 1, wobei ein Zustand des Netzwerkes zum Zeitpunkt T in einem späteren bzw. nachfolgenden Zeitpunkt T+1 in einem weiteren Hash-/Merkle-Baum HB2 dokumentiert wird. Dieser Hash-Baum HB2 ist in 3 dargestellt und wird grundsätzlich bei jedem Landeort erzeugt (und gespeichert), zu welchem Zweck der in 1 bereits dargestellte Datenaustausch zwischen den Landeorten erfolgt (vergleiche die durchgezogenen Doppelpfeile).
In 3 ist das Aussehen eines solchen Hash-Baumes HB2 pro Zeiteinheit (Zeitintervall) und pro Landeort nach erfolgtem Austausch der Top-Hashes #_T,VPn, n = 1, 2, ... gezeigt: auf der untersten Ebene des Baumes finden sich die genannten Top-Hashes #_T,VPn, n = 1, 2, .... Jeweils zwei solcher Top-Hashes #_T,VPn werden auf der nächsthöheren Ebene zu einem neuen Hash kombiniert. Die Wurzel des Baumes HB2 bildet wiederum ein Top-Hash #_T, der den genannten Zustand des p2p-Netzwerks zu dem vorhergehenden Zeitpunkt repräsentiert (in 3 strichpunktiert umrandet). Dieser Zustand ist somit im Normalfall redundant bei allen Landeorten vorhanden (gespeichert).
Abschließend zeigt 4 - wiederum strichpunktiert umrandet - bei den Landeorten redundant berechnete Top-Hashes #_T, die an die zentrale Instanz ZI (vergleiche 1) geschickt werden/wurden, wo die zeitliche Zustandsänderung des Vertiport-Netzwerks in einem zentralen Hash-/Merkle-Baum HBZ dokumentiert wird. Die Zentralinstanz ist zu diesem Zweck geeignet rechentechnisch ausgebildet, insbesondere analog zu den Landeorten gemäß 1, was in den Figuren nicht weiter zeichnerisch dargestellt ist.
Der zentrale Hash-Baum HBZ ist in 4 gezeigt: die unterste Ebene umfasst die Top-Hashes #_T (strichpunktiert umrandet) gemäß 3, die bei jedem Landeort erzeugt und gespeichert und an die Zentralinstanz übertragen werden. Jeweils zwei solcher Hashes werden auf der nächsthöheren Ebene zu einem neuen Hash kombiniert. Die Wurzel des Baumes HBZ bildet wiederum ein Top-Hash #_T,N, der den genannten Zustand des p2p-Netzwerks (N) zu dem betreffenden Zeitpunkt bzw. für das betreffende Zeitintervall (T) in der Zentralinstanz repräsentiert. Der Baum der zentralen Instanz bildet den zeitlichen Zustandsverlauf des Gesamtnetzwerks ab. Vorzugsweise werden die Hashes über alle Zeitintervalle seit Initialisierung der Datenbank gesammelt und abgelegt.
Bei einer entsprechenden Ausgestaltung der Erfindung verwaltet die zentrale Instanz, welche das Vertrauen aller Parteien genießt, somit einen über die Zeit kontinuierlich wachsenden Merkle-Baum (vergleiche 4), welcher das zeitliche Verhalten des Gesamtnetzwerkes anhand der redundant berechneten Top-Hashes einzelner Zeitintervalle abbildet. Zu diesem Zweck werden die redundant berechneten Top-Hashes #_T an die zentrale Instanz geschickt, wo eine zeitliche Zustandsänderung des Vertiport-Netzwerks in dem zentralen Merkle-Baum HBZ dokumentiert wird.
Liegt eine Diskrepanz zwischen den Hashes unterschiedlicher Vertiports bezogen auf ein gleiches Zeitintervall vor, so kann dies ein Hinweis auf Unregelmä-ßigkeiten bei der Datenspeicherung bzw. -Verwaltung sein und durch entsprechenden Vergleich erkannt werden.
Die Überprüfung auf Diskrepanz kann (bzw. soll) automatisiert erfolgen. Mögliche Instanzen sind der Netzwerkbetreiber oder die zuständige Flugsicherheitsbehörde.
Vorzugsweise überprüft die zentrale Instanz die Konformität aller von Vertiports über den gleichen Zeitraum erhaltenen Hashes, bevor ein neuer Hash zum zentralen Baum hinzugefügt wird. Wenn also die von unterschiedlichen Vertiports zum gleichen Zeitraum generierten Hashes nicht übereinstimmen, liegt eine Unregelmäßigkeit vor, die erkannt und angezeigt bzw. nachverfolgt werden kann.
Wie im einleitenden Teil der Beschreibung dargelegt wurde, ist die Erfindung nicht auf Ausgestaltungen mit (wenigstens) einer zentralen Instanz beschränkt, sondern umfasst auch Ausgestaltungen, die ohne Zentralinstanz auskommen.
Darüber hinaus muss es sich bei den Fluggeräten nicht um senkrecht startende und landende (elektrisch angetriebene) Fluggeräte handeln. Auch hinsichtlich der Landeorte ist die Erfindung nicht auf die beispielhaft erwähnten Vertiports beschränkt. Vielmehr umfasst die Erfindung auch Ausgestaltungen, bei denen die Fluggeräte als herkömmliche Flugzeuge und die Landeorte entsprechend als Start-/Landebahnen ausgebildet sind.
Grundsätzlich kann insbesondere bei der letztgenannten Ausgestaltung eine herkömmliche Flugsicherung, wie die DFS, die Rolle der Zentralinstanz übernehmen.

Claims

Verfahren zum manipulationssicheren Verwalten von Flug-Logdateien (L, L`), die von Fluggeräten (2, 2`) erzeugt werden, welche Fluggeräte (2, 2`) sich in einem Netz aus Landeorten (3, 3`) bewegen, beinhaltend: a) Erzeugen einer Flug-Logdatei (L, L`) durch ein Fluggerät (2, 2`) während dessen Flugs, vorzugsweise an Bord des Fluggeräts (2, 2`); b) nach Landung des Fluggeräts (2) an einem vorbestimmten Landeort (3) Speichern der Flug-Logdatei (L, L`) an dem Landeort (3, 3`), insbesondere nach vorheriger Übertragung der Flug-Logdatei (L, L`) von dem Fluggerät (2, 2`) auf eine geeignete Infrastruktur an dem Landeort (3, 3`); c) Anwenden einer mathematischen Abbildung in Form einer Streuwert- oder Hashfunktion auf die Flug-Logdatei (L, L`) zum Erzeugen eines zugehörigen Streu- oder Hashwerts (#) und Speichern des Streuwerts (#) zusammen mit der Flug-Logdatei (L, L`) an dem Landeort (3, 3`); d) Erzeugen eines Hash-Baums (HB1) aus den Streuwerten (#) der innerhalb eines Zeitintervalls (T) bei dem Landeort (3, 3`) eingetroffenen Flug-Logdateien (L, L`) und Speichern des Hash-Baums (HB1) an dem Landeort (3, 3`).
Verfahren nach Anspruch 1, weiter beinhaltend: e1) Austauschen von Top-Hashes (#_T,VPn) in Form einer Wurzel eines jeweiligen Hash-Baums (HB1) zwischen den Landeorten (3, 3`) für das Zeitintervall (T); f1) Erzeugen eines weiteren Hash-Baums (HB2) an jedem Landeort (3, 3`) aus den Top-Hashes (#_T,VPn) aller Landeorte (3, 3`) für das Zeitintervall (T); g1) optional Weiterleiten der Top-Hashes (#_T,VPn) für jeden Landeort (3, 3`) und für jedes Zeitintervall (T) an wenigstens eine zentrale Instanz (ZI), welche zentrale Instanz (ZI) aus den redundant berechneten Top-Hashes (#_T,VPn) einzelner Zeitintervalle (T) einen kontinuierlich wachsenden Hash-Baum (HBZ) für das Netz erzeugt und abspeichert.
Verfahren nach Anspruch 1, weiter beinhaltend: e2) Austauschen der in Schritt c) bei den Landeorten (3, 3`) jeweils erzeugten Streuwerte (#) zwischen allen Landeorten (3, 3`) pro Zeitintervall (T); f2) Erzeugen und Unterhalten bei jedem Landeort (3, 3`) eines weiteren Hash-Baums aus den Streuwerten (#) aller Landeorte (3, 3`), welcher weitere Hash-Baum einen kontinuierlich wachsenden Hash-Baum für das Netz darstellt.
Verfahren nach Anspruch 1, weiter beinhaltend: in Schritt b) den Austausch aller Flug-Logdateien (L, L`) zwischen den Landeorten (3, 3'); und in Schritt d) Erzeugen redundanter Hash-Bäume aus den Streuwerten (#) der innerhalb eines Zeitintervalls (T) erzeugten Flug-Logdateien (L, L`) und Speichern des Hash-Baums an dem jeweiligen Landeort (3, 3`).
Verfahren nach einem der Ansprüche 1 bis 4, bei dem die Streuwert- oder Hashfunktion eine kryptologische Hashfunktion ist, insbesondere aus der Familie der Secure Hash Algorithmen, SHA-0 bis SHA-3, Whirlpool oder Tiger.
Verfahren nach einem der Ansprüche 1 bis 5, bei dem im Falle einer Außenlandung eines Fluggeräts (2`) abseits eines dedizierten Landeortes (3) durch eine jeweils zuständige Bergungsinstanz (BI) aus geborgenen Logdateien des Fluggeräts (2`) eine Flug-Logdatei (L`) erzeugt wird, die einer Flug-Logdatei (L) gemäß Schritt a) und/oder b) entspricht, wobei die Bergungsinstanz (BI) einem Landeort (3`) entspricht.
Verfahren nach einem der Ansprüche 1 bis 6, bei dem der Hash-Baum (HB1), der weitere Hash-Baum (HB2) und/oder der kontinuierlich wachsende Hash-Baum (HBZ) nach Art eines Merkle-Baums erzeugt wird.
Verfahren nach einem der Ansprüche 1 bis 7, bei dem die Flug-Logdateien (L, L`) zumindest eines der folgenden Elemente umfassen: eigentliche Flugdaten, z.B. Onboard-Netzwerkkommunikation, Navigations- und Sensordaten, jeweils insbesondere als Roh- und/oder Fusionsdaten, Flugführungs- und -Regelungsdaten, jeweils insbesondere als Eingangs- und -Ausgangsdaten, Antriebsdaten, Systemanalysedaten, Batteriesystemdaten, Missionsparameter, Fluggerätekonfigurationsdaten; Start-Landeort (3, 3'); Ziel-Landeort (3, 3`).
Verfahren nach einem der Ansprüche 1 bis 8, bei dem zur Ermittlung von Manipulationen Streuwerte (#) unterschiedlicher Landeorte (3, 3`) in einem gleichen Zeitintervall (T) miteinander verglichen werden.
Flugdaten-Erzeugungs- und Verwaltungssystem (1), umfassend: eine erste Anzahl an Fluggeräten (2, 2'), die zum Erzeugen einer Flug-Logdatei (L, L') durch ein jeweiliges Fluggerät (2, 2`) während dessen Flugs, vorzugsweise an Bord des Fluggeräts (2, 2`), ausgebildet sind; eine zweite Anzahl an Landeorten (3) für die Fluggeräte (2, 2`), welche Landeorte (3) ein Netz darstellen, in dem sich die Fluggeräte (2, 2`) bewegen; an vorzugsweise jedem Landeort (3) eine Empfangseinrichtung (4) für die Flug-Logdatei (L) eines gelandeten Fluggeräts (2); an vorzugsweise jedem Landeort (3) eine Rechnereinrichtung (5) mit einem Algorithmus (6) zur Anwendung auf die Flug-Logdatei (L) zum Erzeugen eines zugehörigen Streu- oder Hashwerts (#); an vorzugsweise jedem Landeort (3) eine Speichereinrichtung (7) zum Speichern des Streuwerts (#) zusammen mit der Flug-Logdatei (L); welche Rechnereinrichtung (5) und Speichereinrichtung (7) weiterhin ausgebildet sind zum Erzeugen eines Hash-Baums (HB1) aus den Streuwerten (#) der innerhalb eines Zeitintervalls (T) bei einem Landeort (3) eingetroffenen Flug-Logdateien (L) und zum Speichern des Hash-Baums (HB1) für den Landeort (3).
System (1) nach Anspruch 10, weiter umfassend: an vorzugsweise jedem Landeort (3) eine Sendeeinrichtung (4) zum Austauschen von Top-Hashes (#_T,VPn) in Form einer Wurzel eines jeweiligen Hash-Baums (HB1) zwischen den Landeorten (3) für das Zeitintervall (T); bei dem die Rechnereinrichtung (5) ausgebildet ist zum Erzeugen eines weiteren Hash-Baums (HB2) für jeden Landeort (3) aus den Top-Hashes (#_T,VPn) aller Landeorte (3) für das Zeitintervall (T); und optional mit wenigstens einer zentralen Instanz (ZI), wobei die Sendeeinrichtung (4) ausgebildet ist zum Weiterleiten der Top-Hashes (#_T,VPn) für jeden Landeort (3) und für jedes Zeitintervall (T) an die wenigstens eine zentrale Instanz (ZI), welche zentrale Instanz (ZI) dazu ausgebildet ist, aus den redundant berechneten Top-Hashes (#_T,VPn) einzelner Zeitintervalle (T) einen kontinuierlich wachsenden Hash-Baum (HBZ) für das Netz zu erzeugen und abzuspeichern.
System (1) nach Anspruch 10, bei dem die Sendeeinrichtung (4) ausgebildet ist zum Austauschen der bei den Landeorten (3) jeweils erzeugten Streuwerte (#) zwischen allen Landeorten (3) pro Zeitintervall (T); und die Rechnereinrichtung (5) ausgebildet ist zum Erzeugen und Unterhalten eines weiteren Hash-Baums aus den Streuwerten (#) aller Landeorte (3) für jeden Landeort (3), welcher weitere Hash-Baum einen kontinuierlich wachsenden Hash-Baum für das Netz darstellt.
System (1) nach Anspruch 10, bei dem die Sendeeinrichtung (4) ausgebildet ist für den Austausch aller Flug-Logdateien (L, L`) zwischen den Landeorten (3, 3`); und die Rechnereinrichtung (5) ausgebildet ist zum Erzeugen redundanter Hash-Bäume aus den Streuwerten (#) der innerhalb eines Zeitintervalls (T) erzeugten Flug-Logdateien (L, L`) und Speichern des Hash-Baums für den jeweiligen Landeort.
System (1) nach einem der Ansprüche 10 bis 13, bei dem eine Bergungsinstanz (BI) vorhanden ist, die im Falle einer Außenlandung eines Fluggeräts (2`) abseits eines dedizierten Landeortes (3) zum Erzeugen einer Flug-Logdatei (L`) aus geborgenen Logdateien des Fluggeräts (2`) ausgebildet ist, welche Bergungsinstanz (BI) in dem System (1) einem Landeort (3`) entspricht.
System (1) nach einem der Ansprüche 10 bis 14, bei dem die Rechnereinrichtung (5) ausgebildet ist zum Erzeugen der Streuwerte mittels einer kryptologischen Hashfunktion, insbesondere aus der Familie der Secure Hash Algorithmen, SHA-0 bis SHA-3, Whirlpool oder Tiger; und/oder die Rechnereinrichtung ausgebildet ist zum Erzeugen der Hash-Bäume (HB1, HB2, HBZ) nach Art eines Merkle-Baums.
System (1) nach einem der Ansprüche 10 bis 15, bei dem die Fluggeräte (2, 2`) als senkrecht startende und landende VTOL-Fluggeräte, bevorzugt mit elektrisch betriebenen Antriebeinheiten, und die Landeorte (3) als Landeplattformen ausgebildet sind.
System (1) nach einem der Ansprüche 10 bis 15, bei dem die Fluggeräte (2, 2`) als horizontal startende und landende Flugzeuge und die Landeorte (3, 3`) als Landebahnen ausgebildet sind.