Beschreibung
Schutz von Privatsphäre in einem Videostrom mittels einer redundanten Slice
Die Erfindung bezieht sich auf das technische Gebiet des Schutzes der Privatsphäre in Videoströmen.
H.264 beschreibt einen ITU-T Standard zum Komprimieren von Videodaten und ist wortgleich in ISO/IEC 14496-10 (AVC) be¬ schrieben .
HEVC beschreibt einen weiteren Standard zum Komprimieren von Videodaten und ist in ISO/IEC 23008-2 beschrieben.
AVC ist der Name bei der ISO und steht für Advanced Video Coding. HEVC ist ebenfalls der Name bei der ISO und steht für High Efficiency Video Coding. Bekannt ist, dass ein Video-Strom eine Slice-Struktur umfassen kann, dies ist beispielsweise in AVC und HEVC der Fall. Eine Slice wird gewöhnlicherweise verwendet um die Daten des Video-Stroms zu strukturieren. Eine Slice ist typischerweise ein Ausschnitt eines Bildes.
Es gibt zahlreiche Situationen, in denen der Schutz von Privatsphäre in Videoströmen wünschenswert ist. Es kann bei der Überwachung eines Geländes oder Gebäudes mittels Videokamera angezeigt sein, Bildausschnitte, die öffentlichen Raum zei- gen, vor unbefugter Überwachung zu schützen. Ebenso gibt es
Situationen, bei denen Gesichter von Personen die sich in einem durch eine Videokamera überwachten Gebiet bewegen, unkenntlich gemacht werden sollen. Bekannt sind einerseits dekoderseitige Lösungen. Diese stel¬ len jedoch zumeist keinen ausreichenden Schutz dar, da zumindest am Eingang des Decoders der Inhalt des Videostromes un¬ geschützt vorliegt.
Im Rahmen dieser decoderseitigen Verfahren werden beispielsweise im Decoder Originalströme dekodiert und die zu schüt¬ zenden Bereiche überblendet, beispielsweise indem sie ge¬ schwärzt oder verzerrt werden, sodass sie bei der Anzeige auf einem Bildschirm keinen privatsphärenrelevanten Inhalt mehr zeigen. Die resultierenden Videoströme werden durch einen weiteren Encoder wiederum aufwändig encodiert und abgespei¬ chert. Auf diese Weise werden decoderseitig Massnahmen zum Schutz der Privatsphäre im Bildbereich eingefügt und die decoderseitig wiederum encodierten Ströme im Videomanagement¬ system der Überwachungsanlage abgelegt. Durch die Einschrän¬ kung von Zugriffsrechten wird nur bestimmten Benutzern die Darstellung der Videoströme ohne Schutz der Privatsphäre er¬ möglicht, während anderen Benutzern die Darstellung der Vi- deoströme mit angewendetem Schutz der Privatsphäre ermöglicht wird. Nachteilig an decoderseitigen Lösungen ist auch, dass mehrere, größtenteils identische Videoströme abgespeichert werden müssen, und dass die Videos ohne Anwendung der Mass¬ nahmen zum Schutz der Privatsphäre besonderer, dem schützens- werten Inhalt angemessener Handhabung bedürfen.
Weitere bekannte Massnahmen beruhen andererseits auf einer selektiven Verschlüsselung im Encoder. Diese Verfahren erfordern zumeist eine tiefe Integration in den Videoencoder. Da- bei ist eine Hauptanwendung die Reduzierung der Gesamtqualität des Videos um Bezahlinhalte zu schützen. Dabei ist der Nutzen für den Schutz einer Privatsphäre jedoch fraglich. Um Standardkonformität zu erhalten, bleiben zudem nur sehr wenige Syntaxelemente übrig auf die die Verschlüsselung angewen- det werden kann, was insbesondere dann problematisch ist, wenn context adaptive binary arithmetic coding (CABAC) ver¬ wendet wird. Auch müssen bei einer selektiven Verschlüsselung im Encoder Einschränkungen der genutzten Kodiermodi in Kauf genommen werden, oder es wird das Vorhandensein spezieller Features im Encoder wie beispielsweise flexible macroblock ordering (FMO) vorausgesetzt. Diese bekannten Verfahren haben jedoch den Nachteil, dass Massnahmen zum Schutz der
Privatspähre eine Anpassung des Encoders und Decoders bedin¬ gen .
Sowohl decoderseitige, als auch encoderseitige Verfahren ha- ben üblicherweise den Nachteil, dass Massnahmen zum Schutz der Privatsphäre auf den gesamten Inhalt des Videostroms an¬ gewendet werden, da bislang keine Signalisierung zur Begrenzung von standardisierten Massnahmen auf bestimmte Bildbereiche bekannt ist.
Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, die Implementierung eines Schutzes einer Privatsphäre in ei¬ nem Videostrom zu vereinfachen. Diese Aufgabe wird durch die in den unabhängigen Ansprüchen beschriebenen Lösungen gelöst. Vorteilhafte Ausführungsformen sind in den weiteren Ansprüchen beschrieben.
Gemäss einem Aspekt wird ein Verfahren zum Schützen einer Privatsphäre vorgeschlagen. Dabei wird ein Videostrom erzeugt. Der Videostrom umfasst eine Slice-Struktur . Eine Slice des Videostromes, welche zu schützenden Inhalt umfasst, wird identifiziert. Eine zu der identifizierten Slice zumindest teilweise redundante Slice wird erzeugt, sodass zwei zumin- dest teilweise redundante Slices vorliegen. Der zu schützen¬ den Inhalt in einer der zwei Slices wird verschlüsselt. In der anderen Slice wird mindestens eine Massnahme zur Sicher¬ stellung der Privatsphäre auf den zu schützenden Inhalt ange¬ wendet .
Gemäss einem weiteren Aspekt wird eine Vorrichtung zum Schutz einer Privatsphäre in einem Videostrom vorgestellt. Der Videostrom umfasst eine Slice-Struktur. Die Vorrichtung umfasst ein Identifizierungsmittel, ein Erzeugungsmittel, ein Ver- schlüsselungsmittel und ein Privatsphärenmittel . Das Identi¬ fizierungsmittel ist adaptiert, eine zu schützenden Inhalt umfassende Slice des Videostromes zu identifizieren. Das Er¬ zeugungsmittel ist adaptiert, eine zu der identifizierten
Slice zumindest teilweise redundante Slice zu erzeugen, so¬ dass zwei zumindest teilweise redundante Slices vorliegen. Das Verschlüsselungsmittel ist adaptiert, den zu schützenden Inhalt in einer der zwei Slices zu verschlüsseln. Das Privat- sphärenmittel ist adaptiert, mindestens eine Massnahme zur
Sicherstellung der Privatsphäre auf den zu schützenden Inhalt in der anderen der zwei Slices anzuwenden.
Die Erfindung wird nachfolgend anhand der Figuren beispiels- weise näher erläutert:
Figur 1 zeigt ein Blockdiagramm eines Systems, das eine
Vorrichtung zum Schutz einer Privatsphäre in einem Videostrom gemäss einem Ausführungsbeispiel der Er- findung umfasst;
Figur 2 zeigt ein Flussdiagramm eines Verfahrens gemäss ei¬ nem Ausführungsbeispiel der Erfindung; Figur 3 zeigt ein Schema eines beispielhaften Videostroms, der eine beispielhafte Slice-Struktur umfasst, die in bevorzugten Ausführungsbeispielen der Erfindung, beispielsweise in den anhand von Figur 1 und/oder Figur 2 beschriebenen Ausführungsbeispielen, imple- mentiert werden kann;
Figur 4 zeigt ein Schema von zwei Slices Slice-Struktur von
Figur 3 in einem Verfahrensschritt eines Verfahrens gemäss bevorzugten Ausführungsformen der Erfindung;
Figur 5 zeigt ein weiteres Schema der zwei Slices von Figur
4 in einem anderen Verfahrensschritt.
Figur 1 zeigt ein als Netzwerk ausgebildetes System 100 zur Übertragung und zum Schutz eines Videostroms 30. Das System 100 umfasst eine Videokamera 11, eine Vorrichtung 1 zum
Schutz der Privatsphäre und ein Anzeigemittel 20, beispiels¬ weise einen Personal Computer. Die Videokamera 11 umfasst ei-
nen Encoder 12. Das Anzeigemittel 20 umfasst einen Bildschirm 21 und einem Decoder 22. Der Encoder 12 und der Decoder 22 können auch als separate, also als nicht in die Videokamera 11, respektive nicht in das Anzeigemittel 20, integrierte Ge- rate ausgestaltet sein. Der Videostrom 30 fliesst von dem Encoder 12 via die Vorrichtung 1 zu dem Decoder 22, und ist auf dieser Strecke vorzugsweise komprimiert.
Die Vorrichtung 1 zum Schutz der Privatsphäre umfasst ein Identifizierungsmittel 2, ein Erzeugungsmittel 3, ein Ver¬ schlüsselungsmittel 4 und ein Privatsphärenmittel 5. Das Identifizierungsmittel 2 ist adaptiert, eine Slice 31 eines Videostromes 30, welche zu schützenden Inhalt 32 umfasst, zu identifizieren. Das Erzeugungsmittel 3 ist adaptiert, eine zu der identifizierten Slice 31 zumindest teilweise redundante Slice 41 zu erzeugen, sodass zwei zumindest teilweise redun¬ dante Slices 31, 41 vorliegen. Das Verschlüsselungsmittel 4 ist adaptiert, den zu schützenden Inhalt 32 in einer der zwei Slices 31, 41 zu verschlüsseln. Das Privatsphärenmittel 5 ist adaptiert, mindestens eine Massnahme zur Sicherstellung der Privatsphäre auf den zu schützenden Inhalt 32 in der anderen 41, 31 der zwei Slices 31, 41 anzuwenden.
Figur 2 zeigt ein Flussdiagramm eines Verfahrens 24 gemäss einem Ausführungsbeispiel der Erfindung. Das System 100 ist vorzugsweise adpaptiert, das Verfahren 24 durchzuführen. Das beispielhafte Verfahren 24 dient dem Schutz einer Privatsphä¬ re. Im Rahmen des Verfahrens wird im Verfahrensschritt 25 ein Videostrom 30 erzeugt. Der Videostrom 30 umfasst eine Slice- Struktur 37. Im Verfahrensschritt 26 wird eine Slice 31 des Videostromes 30, welche zu schützenden Inhalt 32 umfasst, identifiziert. Zu schützender Inhalt ist beispielsweise pri- vatsphärenrelevanter Inhalt. Im Verfahrensschritt 27 wird ei¬ ne zu der identifizierten Slice 31 zumindest teilweise redun- dante Slice 41 erzeugt, sodass zwei zumindest teilweise re¬ dundante Slices 31, 41 vorliegen. Im Verfahrensschritt 28 wird der zu schützende Inhalt 32 in einer der zwei Slices 31, 41 verschlüsselt. Im Verfahrensschritt 29 wird mindestens ei-
ne Massnahme zur Sicherstellung der Privatsphäre auf den zu schützenden Inhalt 32 in der anderen 41, 31 der beiden zwei Slices angewendet. Für die Erfindung spielt es keine Rolle, ob der Verfahrensschritt 28 vor, nach oder gleichzeitig mit dem Verfahrensschritt 29 durchgeführt wird. Auch spielt es keine Rolle, welche der zwei redundanten Slices 31, 41 ver¬ schlüsselt, und auf welche die Maßnahme zur Sicherstellung der Privatsphäre angewendet wird. Vorzugsweise wird das Verfahren für mehrere Slices, welche zu schützende Inhalte umfassen, durchgeführt. Beispielsweise wird gemäss einer bevorzugen Ausführungsform jede Slice des Videostromes 30, welche einen zu schützenden Inhalt umfasst, im Rahmen eines Verfahrensschrittes 26 identifiziert. Zu je- der dieser identifizierten Slices wird jeweils eine zumindest teilweise redundante Slice erzeugt, sodass Slice-Paare mit jeweils zwei zumindest teilweise redundanten Slices vorlie¬ gen. Für jedes der Slice-Paare werden jeweils Verfahrens¬ schritte 27-29 durchgeführt.
Vorzugsweise wird das Verfahren nur für Slices durchgeführt, welche zu schützende Inhalte umfassen, durchgeführt. In die¬ sem Fall gibt es in dem Video-Strom 30 also zumindest eine Slice, welche keinen zu schützenden Inhalt umfasst, und für welche keine redundante Slice erzeugt wird.
Figur 3 zeigt beispielhaft den in Figur 1 dargestellten, von der Videokamera 11 über die dazwischengeschaltete Vorrichtung 1 zu dem Anzeigegerät 20 laufenden, vorzugsweise komprimier- ten Videostrom 30 in erhöhtem Detaillierungsgrad. Der Video¬ strom 30 kann beispielsweise mehrere Bilder 39, 39a umfassen. Der Videostrom 30 umfasst eine Slice-Struktur 37, wie in Bild 39 ersichtlich ist. Die Slice-Struktur 37 umfasst mehrere Slices 31, 31a, 31b, 41. Die Slices 31 und 41 sind gemäss be- vorzugten Ausführungsbeispielen zumindest teilweise redundant und umfassen den zu schützenden Inhalt 32, sowie nicht zu schützenden Inhalt 34.
Figur 4 zeigt die zwei Slices 31, 41 der Slice-Struktur 37 von Figur 3 in erhöhtem Detaillierungsgrad unmittelbar nach dem Verfahrensschritt 27, aber noch bevor die Verfahrens¬ schritte 28 und/oder 29 durchgeführt wurden. Gemäss der An- hand von Figur 4 illustrierten bevorzugten Ausführungsform wird die zumindest teilweise redundante Slice 41 durch das Erzeugungsmittel 3 vollständig redundant zu der identifizier¬ ten Slice 31 erzeugt, sodass zwei vollständig redundante Sli¬ ces 31, 41 vorliegen.
Zusätzlich sind die zwei Slices 31,41 jeweils mittels einer Kennzeichnung 33, 43 in dem Videostrom 30 identifizierbar, wobei die Kennzeichnungen 33, 43 im späteren Verlauf vorzugs¬ weise nicht verschlüsselt werden, damit die zwei Slices 31, 41 auch nach der Verschlüsselung noch ohne erhöhten Aufwand identifizierbar sind. Die Kennzeichnungen 33, 43 ermöglichen darüber hinaus den direkten Zugriff auf die Slices was unter anderem für die Paketierung bei entsprechenden Übertragungsverfahren oder die Organisation des Speicherplatzes bei der Dekodierung vorteilhaft ist.
Figur 5 zeigt die beiden Slices 31, 41 nachdem die Verfahrensschritte 28 und 29 gemäss bevorzugten Ausführungsformen durchgeführt worden sind. In dem in Figur 5 dargestellten Ausführungsbeispiel wurde die Slice 31 durch das Verschlüsse¬ lungsmittel 4 vollständig verschlüsselt, wodurch die, mit Ausnahme der Kennzeichnung 33, vollständig verschlüsselte Slice 31z entsteht. Zudem wurde in dem anhand von Figur 5 il¬ lustrierten Ausführungsbeispiel in der Slice 41 der zu schüt- zende Inhalt 32 durch das Privatsphärenmittel 5 eingeschwärzt und somit unkenntlich gemacht. Dadurch entsteht die Slice 41z mit dem eingeschwärzten Inhalt 32z und dem unveränderten Inhalt 34. Das einschwärzen des zu schützenden Inhalts ist ein Beispiel einer Massnahme zur Sicherstellung der Privatsphäre auf den zu schützenden Inhalt 32. Weitere Beispiele sind ver¬ schiedene Arten der Verzerrung des Inhaltes mittels Filterung z.B. Tiefpassfilter oder Eintrüben.
Vorzugsweise wird die zumindest teilweise redundante Slice 41 in dem Videostrom 30 erzeugt, sodass zwei zumindest teilweise redundante Slices 31, 41 in dem Videostrom 30 vorliegen. Gemäss bevorzugten Ausführungsbeispielen wird die Encodierung des Videos mit einbezogen. Beispielsweise ist die Slice- Struktur gemäss einem Ausführungsbeispiel so ausgestaltet, dass der zu schützende Inhalt durch die identifizierte Slice umfasst ist. Mit anderen Worten: Die Strukturierung des In- haltes in Slices kann also so erfolgen, dass der zu schützenden Bereich (z.B. der sichtbare Teil der Strasse) in einer Slice zusammengefasst wird. Dadurch fällt der Schutz der Pri¬ vatsphäre leichter, weil nur eine Slice zu duplizieren ist.
Vorzugsweise ist der Videostrom 30 ein komprimierter Videostrom und/oder die zumindest teilweise redundante Slice 41 wird im komprimierten Videostrom 30 erzeugt. Mit andern Worten: Zuerst wird beispielsweise durch den Encoder 12 der Videokamera 11 ein komprimierter Videostrom erzeugt und zu ei¬ nem späteren Zeitpunkt wird durch das Verschlüsselungsmittel 4 der zu schützende Inhalt 32 in einer der zwei Slices 31, 41 verschlüsselt. Da verschlüsselte Daten in der Regel weniger stark komprimierbar sind, lässt sich dadurch die Kompressionsrate erhöhen.
Vorzugsweise ist der komprimierte Videostrom, in welche eine privacy protection durchgeführt wird, ein AVC-Videostrom.
Gemäss bevorzugten Ausführungsformen der Erfindung wird im komprimierten Video eine zumindest teilweise redundante slice 41 erzeugt für die slice 31 im Originalbild, in der die Ma߬ nahme auf die zu schützenden Inhalte angewendet werden soll. Die ursprünglichen Inhalte in der Slice 31 werden durch Verschlüsselung unlesbar gemacht. Dadurch wird der Dekoder 22 dazu gebracht, die redundante Slice 41 zu dekodieren. In der redundanten Slice 41 werden die zu schützenden Bereiche 32 geschwärzt bzw. unkenntlich gemacht.
Die Bereiche 32 die es zu schützen gilt werden in der redundant slice entsprechend dem gewählten Verfahren verändert. Die Originalslice 31 wird z.B. verschlüsselt. Dieses Verfah¬ ren funktioniert unabhängig vom Videoencoder 12 und -decoder 22.
Am Ende des Verfahrens 24 liegt ein encodiertes Video vor, in dem beide Anteile 32, 34 enthalten sind, wobei jeder verfüg¬ bare Dekoder 22 ausschließlich das Video anzeigen würde, in dem die Maßnahmen angewendet sind.
Durch die Verschlüsselung der Originalslice 31 ist keine wei¬ tere besondere Behandlung der zu schützenden Inhalte erforderlich. Sie kann nur bei Kenntnis des Schlüssels wieder dar- gestellt werden.
Durch das Verfahren nach den Ansprüchen dieser Erfindung werden lediglich die zu schützenden Bereiche doppelt, als Originalslice 31 und „redundant slice" 41, übertragen und abge- speichert.
Bevorzugte Ausführungsformen der Erfindung lösen die folgenden Probleme: · Privacy Protection in AVC Videoströmen;
• Privacy Protection ohne Mitwirkung des Encoders;
• Privacy Protection ohne Mitwirkung des
Dekoders /Anzeigegeräts ;
• Beibehalten des unverfälschten AVC Originalstromes zur Beweissicherung;
• Verwendung von handelsüblichen Dekodern um das Video inklusive privacy protection anzuschauen;
• Verwendung von handelsüblichen Dekodern um das Original- Video darzustellen;
· Verwendung von handelsüblichen Encodern für die Kompression des Videostroms.
Bevorzugte Ausführungsformen der Erfindung zeichnen sich durch die folgenden Vorteile aus:
• Ein AVC Dekoder 22 verwendet laut AVC Standard automa- tisch die unverschlüsselte Slice. Beispielsweise verwendet ein AVC Dekoder 22 die redundante Slice 41, wenn die original Slice 31 aufgrund von Verschlüsselung nicht dekodierbar ist. Die redundante Slice umfasst die Bereiche die mittels privacy protection geschützt sind.
• Ein AVC Dekoder 22 verwendet laut AVC Standard automa¬ tisch die originale Slice 31 wenn diese entschlüsselt vor¬ liegt, die redundante Slice wird in dem Fall ignoriert. · Bevorzugte Ausführungsformen des Verfahrens 24 und der Vorrichtung 1 arbeiten im „compressed domain" Bereich und können unabhängig von einem AVC Encoder angewandt werden.
• Das Verfahren kann unabhängig von einem AVC Dekoder an- gewendet werden.
• Nur Berechtigte mit Zugang zu den entsprechenden Schlüsseln sind in der Lage den zu schützenden Inhalt 32 anzuschau¬ en .
• Es werden keine zwei Versionen des Videostromes erzeugt, wodurch sich eine Speicherplatzreduktion ergibt.