Journal Archive

영상기록 시스템(Drive video record system)은 제조사¹⁴⁾에 따르면 AVN 시스템과 연동되어 컨트롤 및 영상 재생이 가능하다. 입력 장치로는 전방/후방 카메라, CAN 통신 포트 등이 있으며 출력 장치로는 AVN 장치와 연결된 화면 출력 단자, 영상을 다운로드 받을 수 있는 USB 단자 등이 Fig. 3과 같이 존재한다.¹⁴⁾ 또한 보조 배터리 장착 시 배터리 전원과는 별개의 전원 장치로 동작이 가능하다.

Fig. 3 
DVRS system diagram¹⁴⁾

영상기록 시스템(Drive video record system)은 AVN 시스템 및 카메라 모듈들과 연결되어 증거물이 되는 영상을 삭제 및 덮어쓰기 될 가능성이 있기 때문에 장착되어 있는 연결 포트를 모두 제거 한다. 이때 USB 포트에 WiFi 연결 동글이 장착되어 있다면 함께 제거 한 후 데이터 획득을 진행하여야 한다.

영상기록 시스템(Drive video record system)의 저장 매체를 확인하기 위해 분해하여 내부 회로를 확인한 결과 Fig. 4와 같이 eMMC(embedded Multimedia Card) 메모리가 온보드된 형태로 발견 되었다. 메모리 외관에 표기된 라벨 정보를 확인한 결과, 해당 메모리는 삼성전자에서 제작한 eMMC 메모리이며, 모델명은 “KLMCG8GESD-B04Q”으로 세부적인 규격은 Table 1과 같이 확인되었다. 해당 eMMC 메모리카드의 데이터를 추출하기 위한 방법은 세 가지 방식이 있다.

Fig. 4 
eMMC memory on DVRS system

• 1) 첫 번째로는 정상적으로 시동이 켜지는 경우, 영상기록 시스템과 연동된 AVN 시스템의 화면으로 원하는 영상을 선택하여 USB 단자를 이용하여 영상 데이터를 추출하는 방법이 있지만, 자동차가 손상되어 정상적으로 전원을 연결할 수 없거나 AVN 시스템을 정상적으로 연결할 수 없는 경우 사용할 수 없다.
• 2) 두 번째 정상적으로 전원을 연결할 수 없거나 AVN 시스템에 연결되지 않았을 경우, 제조사에서 제공하는 영상 비상다운로드 방식¹⁴⁾으로 데이터를 획득하는 방법이다. 영상 기록 시스템의 메인 커넥트는 배터리 전원 및 접지, 앞/뒤 카메라 모듈 전원 공급 및 접지, CAN 통신, ACC 및 IGN 입력 등의 역할을 하고 있다. 하지만 Fig. 5와 같이 메인 커넥터에 특정 시간동안 특정 핀에 전원을 입력 하면 영상 비상 다운로드 모드로 동작 시킬 수 있으며, 연결된 USB 포트로 영상 데이터를 추출할 수 있다.

Fig. 5 
Emergency download method on DVRS

• 3) 마지막 방법은 온보드 되어 있는 메모리를 분리 하는 방법(Chip-off)이다. 이 방법은 회로 손상 및 USB 단자 손상 등으로 비상다운로드 방법을 사용 할 수 없는 경우 Fig. 6과 같이 물리적으로 eMMC 메모리를 분리 하는 방법이다. 이 방법을 이용하면 메모리 전체영역의 데이터를 획득할 수 있다는 장점이 있지만, 메모리 분리 과정에서 손상될 수 있다는 단점을 가지고 있다.

Fig. 6 
Chip-off on DVRS system

제조사에서 제공한 비상 다운로드 방식으로 USB 포트로 연결된 메모리로 추출된 데이터는 제조사 매뉴얼에 따라 상위 디렉토리에 하나의 로그 텍스트 파일과 하나의 폴더가 생성된 것이 확인되었다. 제조사 매뉴얼¹⁴⁾ 따르면 로그 텍스트 파일은 네 가지 형태로 기록되는 것이 확인되었다. 첫 번째, USB단자에 저장매체가 완료 전 제거되었을 때, 두 번째, 저장매체에 파일을 정상적으로 생성하지 못했을 때, 세 번째, USB 저장매체의 용량이 다운로드 받을 데이터의 용량보다 작을 때, 마지막으로 정상적으로 다운이 완료되었을 때 로그 기록을 남긴다. 본 논문에서 진행된 방식은 다운로드가 정상적으로 완료되어 밀리 초 단위로 기록된 시간정보와 “Download completed”로그가 기록된 것이 확인되었다. 최상위 폴더에 기록된 폴더명은 차명이 기록되며 그 하위 폴더에는 다운로드 시작 시점의 시간 정보가 초 단위로 기록되어 있었다. 한편, 영상 기록시스템이 분리 되어도 회로에 장착된 배터리로 시간 정보가 현재 시간을 기록할 수 있을 것으로 추정된다.

초 단위로 기록된 폴더의 하위 폴더에는 Table 2와 같이 세 개의 폴더에 영상 데이터가 각각 저장되어 있으며, 각 폴더는 일반 주행 시, 주행 시 충격 이벤트 발생시, 저장 버튼을 눌렀을 때의 상황에 따라 각기 다른 영상을 저장하고 있다. 전체 동영상 파일 중 가장 마지막에 기록된 영상 파일은 “1.Drive_Normal”폴더에 저장되어 있는 것으로 보아 영상 파일은 해당 영상 기록 시스템은 일반적으로 “1.Drive_Normal”폴더에 영상을 기록하고 난후, 보드에 장착된 G-Sensor 값이 일정 수준 이상으로 기록될 시점의 앞 뒤 10초가량의 영상데이터를 “2.Drive_Crash_Event” 폴더에 기록하는 것으로 추정된다.

또한, 비상다운로드 모드로 추출된 데이터양이 약 16.7 GB이며, 제조사에서 제시한 파일 최대 용량 28 GB인 것을 고려할 때, 녹화된 활성 데이터만을 추출할 수 있는 것으로 추정된다.

영상기록 시스템의 온보드 되어있는 메모리에서 분리하여 추출된 eMMC 메모리에서 추출된 데이터의 전체 용량은 약 64.3 GB로 메모리 사양에서 확인되는 용량(64 GB)¹⁶⁾과 유사한 용량의 데이터가 추출되었다. 추출된 데이터는 57개의 파티션 정보로 분류되며, 각 파티션 정보는 다양한 역할(백업, 복구, 캐시, 시스템, 유저 데이터, 부트, 비디오, 업데이트 등)을 하는 공간으로 분리 되어 있었다. 그 중에서 “ALLPART”영역은 약 32 GB로 가장 큰 데이터 영역을 차지하고 있었고, 해당 영역을 파일시스템 단위로 분석 한 결과, 메모리 분리로 추출된 파티션 57개의 영역 중 자신의 파티션 정보를 제외한 56 파티션정보가 기록되어 있었다. 더욱이 메모리 분리된 56개의 파티션 정보와 “ALLPART”영역에서 파일시스템으로 분석된 56개의 파티션 정보의 각 볼륨별 해시값을 비교 하였을 때 모두 같은 것으로 보아 데이터 안전성 및 보안성을 높이기 위해 eMMC 메모리에서 미러링된 데이터로 추정된다.

비상 다운로드 모드로 추출된 영상 파일은 총 446개이며, 영상 파일은 Table 3과 같이 확장자 MP4파일로 전방/후방채널이 분리되어 저장되며 파일 이름에 시간정보가 기록되어 있었다.

추출된 확장자 “MP4”동영상 파일을 분석한 결과, 전방 채널 영상 파일은 해상도 1920×1080, 프레임 레이트 30 fps이며, 음성 채널 정보는 포함되어있지 않고, 후방 채널 영상 파일은 해상도 1280×720, 프레임 레이트 30 fps이며, 음성 채널 정보는 포함되어 있지 않았다.

추출된 MP4 파일은 Fig. 7A와 같이 FTYP(File Type Box)구조¹⁷⁾로 영상이 기록되어 있었다. 또한 Fig. 7B와 같이 tkhd(Track header box)에 시간정보가 기록되어 있었다. FTYP 구조 안에 기록된 메타 정보의 시간 정보는 파일 이름에 기록된 시간정보와 9시간 차이가 나는 것으로 보아 메타 정보에 기록된 시간 정보가 UTC(Coordinated Universal Time) 기준으로 기록된 것으로 추정된다.

Fig. 7 
Front channel video file by emergency download

또한 추출된 동영상 파일은 Fig. 8과 같이 파일 구조 정보에 “hvcc”가 기록되어 있어, 추출된 동영상 파일은 H.265코덱¹⁸⁾으로 인코딩되어 있음을 확인할 수 있다. 또한 Fig. 8과 같이 H.265코덱의 인코딩 정보인 SPS(Sequence Parameter Set), PPS(Picture Parameter Set), VPS(Video Parameter Set)정보가 기록되어 있다.

Fig. 8 
Information of H.265 encoding parameter

메모리 분리 방식으로 추출된 56개의 파티션을 분석한 결과, 다양한 파일시스템(FAT16, EXT4, TrueFFS)으로 구성되어 있었다. 파티션에서 데이터를 추출하기 위해 Signature Carving¹⁹⁾ 방식으로 데이터를 추출한 결과, JPEG, MP4, DB 형태의 파일들이 발견되었다. JPEG 구조로 추출된 사진 파일은 해상도 640×480 사이즈이고, EXIF(Exchangeable Image File Format)메타 데이터는 발견되지 않았으며, Fig. 9와 같이 전방/후방 채널 영상의 썸네일 사진 파일로 추정된다.

Fig. 9 
Example of JPEG files by signature carving

DB 형식으로 추출된 파일은 Fig. 10과 같이 SQLlite 포맷²⁰⁾의 형태로 데이터를 기록하고 있으며, 추출된 데이터베이스 일부에서는 Fig. 11과 같이 파일명, 저장경로, 썸네일 사진의 유무, 삭제 유무에 대한 기록이 저장되어 있는 것으로 추정된다.

Fig. 10 
Example of DB files by signature carving

Fig. 11 
Example of DB files by signature carving

FTYP 구조로 추출된 동영상 파일은 512개로 확인되나, 그중 파일 파편화 되어 있지 않으며 정상적으로 재생되는 파일은 230개로 확인 되었다. 비상 다운로드 방식으로 추출된 파일 446개와 메모리 분리 후 Signature carving 방식으로 추출된 재생 가능한 동영상 파일 230개의 총 재생 시간은 Table 4와 같이 비상다운로드 방식이 약 3시간 20분 더 많이 재생되는 차이가 발생하였다. 그 이유로는 Signature carving 방식으로 추출된 동영상 파일 중 절반 이상이 파편화되어 있기 때문에 정상적으로 재생되지 않은 것으로 확인된다.

동영상 파일을 프레임 단위로 복원 가능한 기법²¹⁾으로 동영상 파일이 기록되어 있는 파티션을 대상으로 복원을 진행하였다. 전체 영역에서 H.265코덱으로 인코딩된 프레임은 인터 프레임과 인트라 프레임을 합쳐 843,810개의 영상 프레임으로 확인되었다. 비상다운로드 방식으로 추출된 동영상의 FPS(Frame Per Sec)값인 30 fps로 계산 한 결과 전체 영역의 재생 시간은 7시간 48분 47초인 것으로 확인되었다. 그 이유는 메모리에 삭제된 영상 파일이 메모리에 남아 있을 경우와 메모리 캐시 영역 및 파일 슬랙 영역에 영상 파일이 남아 있기 때문이다. 따라서 프레임 단위로 추출된 영상 프레임의 총 재생 시간이 비상다운로드 방식 및 Signature carving한 방법보다 재생 시간이 긴 것으로 확인된다.