Раздел 1. Предмет и объект экспертизы видео: разграничение улучшения изображения и криминалистической идентификации

В современной судебной экспертизе видео сложилась парадоксальная ситуация: заказчики часто формулируют задачу как «улучшить запись», полагая, что именно в этом состоит работа эксперта. Однако улучшение изображения — будь то повышение резкости, подавление шумов или интерполяция — не является экспертизой в процессуальном смысле. Это техническая операция, результат которой субъективен, невоспроизводим и, что критично, может необратимо изменить исходные данные. Подлинная экспертиза видео начинается там, где заканчивается манипуляция с пикселями и начинается исследование происхождения файла, его внутренней структуры и следов вмешательства.

Предметом рассматриваемого вида исследования является установление фактов, имеющих доказательственное значение, на основе анализа цифровых видеофайлов и сопутствующих им данных. Объектом выступает не столько визуальный ряд, сколько файл как целостная информационная система, включающая контейнер, потоки данных, метаданные, логи и артефакты устройства. Такой подход позволяет ответить на вопросы, которые принципиально невозможно решить простым просмотром: когда, где и на какое устройство была сделана запись, подвергалась ли она редактированию, соответствует ли заявленным обстоятельствам.

Приоритетное внимание в рамках настоящей работы уделяется экспертизе видеозаписей с места дорожно-транспортного происшествия. Это обусловлено двумя факторами. Во-первых, именно в делах о ДТП видеозапись часто оказывается единственным объективным носителем информации, способным разрешить противоречия между участниками. Во-вторых, записи с видеорегистраторов и камер наружного наблюдения обладают богатейшим набором скрытых метаданных, которые при некорректном обращении безвозвратно утрачиваются. Союз «Федерация судебных экспертов» располагает методиками и инструментарием для извлечения этих данных до того, как они будут уничтожены перекодировкой или «улучшением» .

Ключевой принцип, которым руководствуется эксперт: исходный файл неприкосновенен. Все операции выполняются с побитовой копией (образом), а оригинал сохраняется в неизменном виде для возможной повторной проверки. Это отличает экспертизу видео от любительской обработки, где сохранение исходника считается излишним.

Раздел 2. Идентификация записи: установление источника происхождения и целостности файла

Первая задача, которая решается при поступлении видеофайла на исследование, — это его идентификация как объекта, обладающего устойчивыми признаками происхождения. Речь идет не о визуальном узнавании сюжета, а о технической идентификации: установлении того, что файл представляет собой именно ту запись, которая была изъята, и что его внутренняя структура соответствует заявленному способу получения.

Идентификация начинается с вычисления хеш-сумм (контрольных сумм) файла. Хеш-сумма выступает цифровым отпечатком, изменение которого с вероятностью, близкой к единице, свидетельствует о любом изменении содержимого файла — даже на один бит. Наличие хеш-суммы, зафиксированной при изъятии, и ее совпадение с суммой, вычисленной в процессе экспертизы видео, является базовым доказательством целостности. Однако отсутствие зафиксированной суммы не означает невозможности идентификации: эксперт может выявить внутренние противоречия, которые с большей или меньшей степенью достоверности укажут на изменения.

Второй уровень идентификации — анализ контейнерной структуры. Видеофайл формата MP4 или AVI представляет собой иерархически организованную систему чанков (атомов), каждый из которых выполняет определенную функцию. Порядок следования чанков, их размеры и содержимое формируют устойчивый паттерн, характерный для конкретной модели записывающего устройства или семейства устройств. Исследования показывают, что даже модели, поддерживающие одинаковый кодек, могут различаться последовательностью создания чанков, а комбинация нескольких метаданных (последовательность чанков, водяные знаки, параметры кодирования) позволяет однозначно идентифицировать источник среди как минимум четырнадцати протестированных моделей видеорегистраторов .

Третий уровень — проверка соответствия заявленным обстоятельствам. Если запись представлена как снятая на конкретное устройство в конкретное время, эксперт сопоставляет технические параметры файла (разрешение, битрейт, кодек, наличие или отсутствие GPS-потока) с характеристиками этого устройства. Несоответствие, например, заявленной модели регистратора и реальной структуры контейнера является самостоятельным идентификационным признаком, указывающим либо на подмену устройства, либо на перекодировку, либо на намеренное изменение атрибутов.

Идентификация записи в рамках экспертизы видео не сводится к формальной проверке. Это восстановление биографии файла — от момента создания до момента поступления в распоряжение эксперта, с фиксацией всех этапов, на которых могли быть внесены изменения.

Раздел 3. Метаданные видеофайла: извлечение, интерпретация и выявление аномалий

Метаданные представляют собой наиболее информативный и одновременно наиболее уязвимый слой видеофайла. Именно в метаданных сохраняются сведения о времени создания, модели устройства, параметрах съемки, а в ряде случаев — и о географических координатах. Однако метаданные же являются и первой мишенью при фальсификации: их проще всего изменить, не затрагивая видеоряд, и именно на них реже всего обращают внимание при поверхностном осмотре.

В контейнерах MP4 ключевыми мета-чанками являются mvhd (movie header), tkhd (track header) и mdhd (media header). Они содержат временные метки создания и модификации в формате UNIX time. Как правило, для неизмененного файла, созданного устройством записи, эти метки совпадают или различаются незначительно. Существенное расхождение между временем создания контейнера и временем последней модификации при отсутствии признаков легитимного редактирования (например, штатного закрытия файла при выключении регистратора) является аномалией, требующей объяснения. В контейнерах AVI аналогичную роль играют чанки avih и strh, а также информационные чанки списка INFO, которые могут содержать модель устройства в виде ASCII-строки .

Особую ценность для экспертизы видео представляют метаданные, дублирующиеся внутри видеопотока. Многие видеорегистраторы встраивают в каждый кадр или в служебные NAL-юниты (SEI) информацию о времени, координатах и статусе устройства. Эти данные分布 по всему потоку и не могут быть удалены простым редактированием заголовка контейнера. Более того, временные метки, извлеченные из разных источников — имени файла, родительского каталога, мета-чанков, водяных знаков на кадрах, GPS-потока — образуют иерархическую систему, подчиняющуюся определенным соотношениям. Нарушение этих соотношений (например, время создания файла предшествует времени создания родительского каталога, или временная метка кадра не соответствует временной метке контейнера) является прямым указанием на манипуляцию .

Для записей с места ДТП критически важным является анализ GPS-метаданных. Если видеорегистратор оснащен модулем GPS, координаты могут сохраняться в нескольких местах: в отдельном потоке субтитров, в SEI-сообщениях, в чанках контейнера. Сопоставление этих данных с временными метками позволяет восстановить траекторию движения транспортного средства и проверить, соответствует ли она заявленным обстоятельствам происшествия. Отсутствие GPS-данных при наличии технической возможности их записи — само по себе диагностический признак, который может указывать на отключение функции, редактирование файла или на то, что запись произведена не тем устройством, которым она представлена.

Метаданные в экспертизе видео рассматриваются не изолированно, а как система взаимосвязанных значений, где каждый элемент подтверждает или опровергает другие.

Раздел 4. Логи и служебные записи: раскрытие скрытых следов работы устройства и программного обеспечения

Если метаданные можно назвать «декларацией» файла о самом себе, то логи и служебные записи — это следы, которые файл и устройство оставляют непроизвольно. Работа с этим слоем информации требует понимания архитектуры файловых систем, форматов хранения и поведения программных средств, участвовавших в создании или обработке записи.

На уровне файловой системы (FAT, exFAT, NTFS) видеофайл оставляет следы в виде записей каталогов, таблиц размещения файлов и служебных структур. Даже если сам файл был удален или перезаписан, фрагменты его метаданных могут сохраняться в нераспределенных областях носителя. Для экспертизы видео это означает принципиальную возможность восстановления утраченных записей и установления факта их существования. Временные метки, сохранившиеся в записях каталогов, могут не совпадать с метками внутри контейнера — и это расхождение имеет диагностическое значение.

На уровне операционной системы и прикладного программного обеспечения следы обработки видеофайла могут фиксироваться в системных журналах, кэшах, временных файлах и реестре. Хотя такие следы редко сохраняются в полном объеме и зависят от конкретной конфигурации системы, их наличие или отсутствие может подтвердить или опровергнуть версию о том, что файл подвергался редактированию. Например, если заявлено, что запись была скопирована с регистратора без изменений, но в метаданных файловой системы сохранились следы работы видеоредактора (характерные имена временных файлов, специфические атрибуты), это является основанием для более глубокого исследования.

Отдельный класс служебных записей — это логи самого записывающего устройства. Видеорегистраторы и камеры наблюдения ведутся с определенной периодичностью, и хотя доступ к этим логам не всегда возможен при исследовании только видеофайла, в тех случаях, когда предоставляется доступ к носителю или к системе, логи позволяют восстановить события, не отраженные в видео: включение и выключение питания, срабатывание датчиков, изменение настроек. Для экспертизы видео по ДТП такие данные могут иметь решающее значение, поскольку позволяют проверить, велась ли запись непрерывно или с перерывами, совпадает ли время на устройстве с реальным временем события.

Раскрытие и расшифровка логов и метатегов — трудоемкая часть исследования, которая не видна в готовом заключении, но без которой выводы о подлинности записи были бы неполными.

Раздел 5. Признаки монтажа и вмешательства: выявление следов редактирования в системе логов файла

Установление наличия или отсутствия признаков монтажа является одной из центральных задач экспертизы видео. При этом важно понимать, что «монтаж» в криминалистическом смысле не тождественен художественному монтажу. Речь идет о любом изменении исходной записи, которое искажает ее доказательственное значение: вырезание фрагментов, вставка фрагментов из других записей, изменение последовательности кадров, перекодировка с потерей или подменой данных, наложение или удаление звука, изменение визуальных элементов (например, номерных знаков).

Выявление признаков монтажа осуществляется на нескольких уровнях. Первый уровень — контейнерный. Как уже отмечалось, структура чанков и временные метки образуют систему, нарушение которой диагностируется достаточно надежно. Если файл был перекодирован, структура чанков неизбежно изменится, а временные метки создания контейнера будут отражать время перекодировки, а не съемки. Если фрагмент был вставлен из другого файла, последовательность чанков может содержать разрывы или аномалии, а параметры кодирования (например, размер GOP или частота ключевых кадров) — различаться на разных участках.

Второй уровень — потоковый. Даже при сохранении контейнерной структуры возможна подмена отдельных кадров или групп кадров. Анализ видеопотока позволяет выявить такие аномалии, как:
• несоответствие шумовых характеристик между соседними кадрами
• скачкообразное изменение освещенности или цветового баланса на границах фрагментов
• нарушение непрерывности движения объектов
• артефакты сжатия, характерные для повторного кодирования

Третий уровень — уровень водяных знаков и встроенных метаданных кадров. Многие устройства записи накладывают на каждый кадр служебную информацию: дату, время, идентификатор устройства. Если эта информация присутствует не на всех кадрах или изменяется скачкообразно, это указывает на вставку фрагментов из другого источника. Исследования показывают, что даже при перекодировке водяные знаки могут сохраняться в виде артефактов, различимых при увеличении .

Четвертый уровень — согласованность с внешними данными. Если имеются данные о времени события из независимых источников (протоколы, записи других камер, данные ГЛОНАСС), эксперт проверяет, согласуется ли с ними временная шкала записи. Расхождение является признаком либо неверной установки часов на устройстве (что само по себе важно для оценки доказательственной ценности), либо редактирования.

В рамках экспертизы видео по ДТП особое внимание уделяется признакам, которые могут свидетельствовать о намеренном искажении обстоятельств происшествия: например, изменение скорости движения на записи, удаление кадров, на которых виден нарушитель, подмена номерных знаков.

Раздел 6. Определение места съемки: от метаданных к геопривязке и проверке соответствия обстановке

Установление места съемки видеозаписи с места ДТП имеет первостепенное значение, поскольку позволяет привязать события, зафиксированные на записи, к конкретному участку дороги и проверить соответствие между заявленными обстоятельствами и реальной дорожной обстановкой.

Первичным источником информации о месте съемки являются GPS-метаданные, если они сохранились в файле. Однако, как уже отмечалось, GPS-данные могут отсутствовать, быть отключенными или измененными. Поэтому эксперт использует и косвенные методы. К ним относится анализ визуального ряда: характер дорожного покрытия, разметка, дорожные знаки, расположение зданий и сооружений, элементы инфраструктуры (освещение, ограждения, светофоры). Сопоставление этих элементов с данными общедоступных геопорталов и ГИС-систем позволяет с высокой степенью достоверности установить участок местности, на котором велась съемка .

Для экспертизы видео по ДТП применяется метод фотограмметрической привязки: по характерным точкам на кадрах (углы зданий, опоры освещения, дорожные знаки) определяется положение камеры относительно элементов дорожной инфраструктуры. Если камера была стационарной (например, камера наружного наблюдения), это позволяет точно восстановить сектор обзора и, следовательно, границы участка, на котором произошло событие. Если камера была подвижной (видеорегистратор), анализ последовательности кадров позволяет восстановить траекторию движения транспортного средства и привязать ее к конкретным участкам дороги.

Проверка соответствия видеоряда реальной обстановке включает также анализ времени: положение теней, освещенность, работа уличного освещения могут подтвердить или опровергнуть заявленное время съемки. Для экспертизы видео это особенно важно в случаях, когда временные метки файла вызывают сомнения: например, если запись представлена как сделанная днем, но характер теней указывает на вечернее время.

Определение места съемки не является самоцелью. Оно необходимо для того, чтобы оценить, могло ли зафиксированное на записи событие произойти в указанном месте и в указанное время, и, следовательно, является ли запись относимым и допустимым доказательством.

Раздел 7. Идентификация устройства съемки: установление модели и экземпляра по цифровым отпечаткам

Определение устройства, на которое была произведена видеозапись, решает две задачи: узкую (установление модели и, в идеале, конкретного экземпляра) и широкую (проверка соответствия заявленному источнику). Для экспертизы видео обе задачи имеют доказательственное значение.

На уровне модели идентификация опирается на совокупность признаков, извлекаемых из контейнера и потока: последовательность чанков, наличие или отсутствие специфических мета-чанков (например, INAM в AVI с названием модели), параметры кодирования (разрешение, битрейт, профиль кодека), структура GOP, наличие или отсутствие GPS-потока и его формат. Для многих моделей видеорегистраторов эти признаки образуют устойчивые комбинации, позволяющие отнести файл к определенному производителю и модельному ряду .

На уровне конкретного экземпляра устройства идентификация основывается на сенсорном шуме (PRNU — Photo Response Non-Uniformity). Каждая матрица имеет уникальный паттерн шума, который сохраняется во всех снимках и кадрах видео, сделанных этой матрицей. Для видео задача осложняется тем, что системы стабилизации изображения могут смещать кадры друг относительно друга, нарушая выравнивание шумового паттерна. Современные методы решают эту проблему путем блочного сопоставления: тестовый PRNU разбивается на блоки, каждый из которых сопоставляется с соответствующей частью эталонного PRNU, что снижает влияние смещения и повышает эффективность идентификации даже при ограниченном числе кадров .

Для экспертизы видео по ДТП идентификация устройства позволяет ответить на вопросы, которые иначе остались бы без ответа: действительно ли запись сделана на регистратор, изъятый у участника ДТП; не была ли запись сделана на другое устройство и затем выдана за оригинал; совпадает ли устройство, на которое указывают метаданные, с реальным источником. В случаях, когда запись получена с камеры наружного наблюдения, идентификация модели камеры позволяет оценить ее технические возможности (угол обзора, разрешение, частоту кадров) и, следовательно, достоверность тех или иных выводов, сделанных на основе визуального анализа.

Раздел 8. Экспертиза видео с места ДТП: синтез идентификационных, метаданных и ситуационных признаков

Экспертиза видеозаписей с места дорожно-транспортного происшествия представляет собой наиболее сложный и наиболее востребованный вид исследования в рассматриваемой области. Сложность обусловлена тем, что к общим задачам идентификации и проверки подлинности добавляются ситуационные задачи: восстановление механизма происшествия, определение скоростей и траекторий, установление момента возникновения опасности.

В рамках экспертизы видео по ДТП метаданные и логи играют двоякую роль. С одной стороны, они обеспечивают достоверность исходных данных для ситуационного анализа: если запись подверглась редактированию, любые расчеты, выполненные на ее основе, теряют доказательственную силу. С другой стороны, метаданные сами по себе могут содержать информацию, необходимую для расчетов: временные интервалы между кадрами, GPS-координаты, отметки о скорости (если регистратор записывает их в служебный поток). Так, синхронизация временных меток с данными GPS позволяет восстановить скорость движения транспортного средства с точностью, достаточной для большинства экспертных задач .

Особое значение имеет проверка на монтаж именно в контексте ДТП. Участники происшествия могут быть заинтересованы в удалении фрагментов, компрометирующих их версию событий. Эксперт должен не только констатировать наличие или отсутствие признаков монтажа, но и, при обнаружении признаков, указать, какие именно фрагменты могли быть изменены и как это влияет на возможность использования записи для ответов на поставленные вопросы. Если запись содержит неустранимые противоречия, эксперт обязан отразить это в выводах, даже если это означает невозможность решения задачи.

Ситуационный анализ видеозаписи ДТП включает:
• определение момента столкновения или наезда с точностью до кадра
• восстановление взаимного расположения транспортных средств и пешеходов на последовательных кадрах
• расчет скорости движения по смещению объектов между кадрами с учетом перспективных искажений
• проверку соответствия траекторий требованиям ПДД и дорожной обстановке
• определение наличия или отсутствия технической возможности предотвращения происшествия

Все эти выводы опираются на предварительно установленную подлинность записи и идентификацию устройства. Без этого они были бы лишь интерпретацией визуального материала, лишенной процессуального значения.

Раздел 9. Кейс 1. Установление факта перекодировки записи с видеорегистратора при рассмотрении спора о ДТП

Обстоятельства. В производство Союза «Федерация судебных экспертов» поступила видеозапись с видеорегистратора участника ДТП, представленная страховой компанией в обоснование отказа в выплате. Запись, по утверждению представителя страховщика, была скопирована с карты памяти регистратора без изменений и подтверждала виновность второго участника. Заказчик — второй участник — настаивал на том, что запись была отредактирована.

Исследование. Первичный анализ показал, что файл имеет расширение MP4 и воспроизводится без ошибок. Однако при извлечении метаданных было установлено расхождение: временная метка создания контейнера (mvhd) отличалась от временной метки, извлеченной из имени файла, на 47 минут. Для исходного файла регистратора такое расхождение маловероятно, поскольку имя файла формируется устройством на основе системного времени, а заголовок контейнера создается в момент закрытия файла. Далее анализ последовательности чанков выявил аномалию: типичная для заявленной модели регистратора последовательность была нарушена в средней части файла, где располагался чанк, характерный для программ перекодировки.

Дополнительные данные. Анализ видеопотока показал, что на протяжении первых 12 секунд частота ключевых кадров (GOP) составляла 1 ключевой кадр в 30 кадров, что соответствовало настройкам регистратора. Начиная с 13-й секунды частота ключевых кадров изменилась на 1 в 12 кадров, что характерно для повторного кодирования. Кроме того, шумовые характеристики первых 12 секунд и последующего фрагмента статистически значимо различались, что указывает на различное происхождение этих участков.

Вывод. Запись не является исходным файлом, созданным видеорегистратором. Она подвергалась перекодировке, в процессе которой, вероятно, был удален или заменен фрагмент продолжительностью около 10–15 секунд. Установить содержание удаленного фрагмента по представленному файлу невозможно. Заключение эксперта было использовано судом для назначения повторной экспертизы с истребованием оригинальной карты памяти, которая впоследствии была обнаружена и содержала полную запись, существенно изменившую картину происшествия. Экспертиза видео в данном случае позволила предотвратить вынесение решения на основе недостоверного доказательства.

Раздел 10. Кейс 2. Идентификация устройства съемки по PRNU при отрицании факта использования регистратора

Обстоятельства. В ходе расследования административного правонарушения водитель утверждал, что видеорегистратор, изъятый у него сотрудниками ГИБДД, не использовался им в момент события, а запись, представленная как сделанная этим устройством, была получена с другого источника. Запись содержала кадры, на которых транспортное средство заявителя пересекало сплошную линию разметки.

Исследование. По запросу экспертного учреждения была получена карта памяти из регистратора, а также несколько коротких видеофайлов, сделанных этим же регистратором в контролируемых условиях (для формирования эталонного PRNU). Задача состояла в сравнении шумового паттерна спорной записи и эталонных файлов.

Метод. Для каждого кадра спорной записи и эталонных файлов был вычислен остаточный шумовой сигнал. Поскольку запись велась с рук и содержала движение, система стабилизации регистратора вносила смещения между кадрами. Для компенсации смещений применялся алгоритм блочного сопоставления: тестовый шумовой паттерн разбивался на блоки 64×64 пикселя, каждый блок сопоставлялся с соответствующим фрагментом эталонного PRNU с учетом возможного сдвига. Результаты сопоставления по всем кадрам усреднялись для повышения отношения сигнал/шум .

Результаты. Коэффициент корреляции между шумовым паттерном спорной записи и эталонным PRNU составил 0,41, что значительно превышает пороговое значение для данной модели (0,12) и соответствует вероятности случайного совпадения менее 10⁻⁶. При этом сравнение с PRNU другого регистратора той же модели дало коэффициент 0,03, статистически неотличимый от фона.

Вывод. Спорная видеозапись была сделана именно тем экземпляром видеорегистратора, который был изъят у заявителя. Утверждение о другом источнике записи не соответствует действительности. В совокупности с метаданными, показавшими совпадение временных меток с периодом, когда заявитель, по его словам, находился в другом месте, это позволило опровергнуть его версию. Экспертиза видео с применением сенсорной идентификации обеспечила доказательство, которое не могло быть получено визуальным анализом.

Раздел 11. Кейс 3. Восстановление удаленного фрагмента записи с камеры наружного наблюдения на месте ДТП

Обстоятельства. На перекрестке произошло столкновение двух транспортных средств. Камера наружного наблюдения, установленная на здании, зафиксировала событие, однако запись, предоставленная оператором системы, содержала разрыв: за 8 секунд до столкновения и 4 секунды после него изображение отсутствовало. Оператор утверждал, что разрыв обусловлен техническим сбоем. Один из участников ДТП обратился в Союз «Федерация судебных экспертов» с целью установить, был ли фрагмент удален намеренно.

Исследование. Был получен доступ к жесткому диску видеосервера, с которого производилась запись. Файловая система содержала видеофайлы в формате, характерном для данной системы (проприетарный контейнер на основе MPEG-TS). Файл, содержащий запись инцидента, имел признаки повреждения: индексный файл, сопровождающий видео, содержал запись о количестве кадров, которое превышало фактическое количество кадров в видеофайле на 312 кадров (что при частоте 25 кадров в секунду соответствует примерно 12,5 секундам).

Метод. Был выполнен поиск в нераспределенных областях диска по сигнатурам, характерным для данного формата. Обнаружены фрагменты, содержащие служебные заголовки и видеоданные, предшествующие разрыву и следующие за ним. Путем сопоставления временных меток и последовательностей кадров удалось восстановить фрагмент продолжительностью около 11 секунд, который заполнял разрыв частично.

Результаты. Восстановленный фрагмент содержал кадры, на которых отчетливо видно, что одно из транспортных средств начало движение на запрещающий сигнал светофора. Этот фрагмент отсутствовал в предоставленной оператором записи. Анализ индексного файла показал, что он был изменен после создания: временная метка модификации индексного файла была позже временной метки последнего видеофайла в каталоге.

Вывод. Разрыв записи не является техническим сбоем. Фрагмент, содержащий существенную для дела информацию, был удален, а индексный файл отредактирован для сокрытия удаления. Восстановленный фрагмент, хотя и не в полном объеме, позволил установить фазу светофорного регулирования в момент начала движения. Экспертиза видео в данном случае включала элементы компьютерно-технической экспертизы носителя, что подчеркивает комплексный характер исследования.

Раздел 12. Кейс 4. Установление места съемки по геопривязке и опровержение версии о подмене места ДТП

Обстоятельства. Водитель, обвиняемый в совершении ДТП с пострадавшим, утверждал, что видеозапись, представленная потерпевшей стороной, была сделана в другом месте, а не на участке, указанном в протоколе. По его версии, запись была выполнена ранее и на другой дороге, а затем выдана за запись с места происшествия.

Исследование. Видеозапись продолжительностью 47 секунд была сделана с видеорегистратора, установленного в автомобиле потерпевшего. GPS-модуль регистратора в момент съемки, по словам владельца, был отключен, поэтому координаты в метаданных отсутствовали. Задача состояла в определении места съемки по визуальным признакам.

Метод. Экспертом были выделены характерные элементы дорожной обстановки, последовательно появляющиеся на кадрах: автобусная остановка с определенным типом павильона, рекламный щит с частично читаемым текстом, опора освещения с номерным знаком, здание с характерным архитектурным элементом. Эти элементы были сопоставлены с панорамными снимками общедоступных геопорталов, покрывающих предполагаемый район.

Результаты. Совпадение было установлено по трем независимым признакам: конфигурации перекрестка, расположению остановочного павильона относительно проезжей части и наличию опоры освещения с сохранившимся номером. Более того, анализ теней позволил определить азимут солнца и, следовательно, направление движения. Оно совпало с направлением, указанным в протоколе. Временная метка файла, хотя и не подтвержденная GPS, согласовывалась с положением теней для даты, указанной в протоколе.

Вывод. Видеозапись сделана на участке, указанном в протоколе, в направлении, соответствующем движению автомобиля потерпевшего. Версия о подмене места съемки не нашла подтверждения. Экспертиза видео с применением методов геопривязки позволила подтвердить относимость записи к рассматриваемому событию без использования GPS-данных, которые отсутствовали.

Раздел 13. Кейс 5. Выявление признаков вставки фрагмента из другого файла при анализе записи с камеры наблюдения

Обстоятельства. При рассмотрении гражданского дела о возмещении ущерба от ДТП истец представил запись с камеры наблюдения коммерческой организации, на которой, по его утверждению, было видно, как автомобиль ответчика совершил наезд на пешехода и скрылся. Ответчик отрицал факт наезда, утверждая, что запись смонтирована.

Исследование. Файл был предоставлен в формате AVI, размером около 180 МБ. Первичный анализ метаданных показал, что контейнер содержит чанк INAM с названием модели, не соответствующей ни одной из камер, установленных в организации (по документации, камеры были другой модели). Однако этот признак мог быть следствием использования конвертера при экспорте записи.

Углубленный анализ. Исследование структуры GOP выявило аномалию: на протяжении первых 3,2 секунды записи структура GOP соответствовала одному кодеку (H.264 с определенным профилем), а начиная с кадра 81 — другому (H.264 с иным профилем и другим размером GOP). Визуально переход был незаметен, поскольку он приходился на момент смены освещенности (тень от облака). Однако шумовые характеристики на границе перехода скачкообразно изменялись, а положение статических объектов (опора освещения, угол здания) сместилось на 2–3 пикселя, что не могло быть объяснено дрожанием камеры, поскольку камера была стационарной.

Дополнительная проверка. Анализ водяного знака на кадрах показал, что временная метка, впечатанная в кадр, на первых 80 кадрах совпадает с временной меткой, извлеченной из метаданных, а начиная с 81-го кадра — расходится на 4 секунды. Это указывает на то, что вставленный фрагмент происходит из файла, записанного в другое время.

Вывод. Запись содержит признак вставки фрагмента из другого источника. Участок записи с 81-го кадра не является продолжением исходной съемки. Визуальное содержание вставленного фрагмента (момент наезда) не может считаться зафиксированным данной камерой в указанное время. Экспертиза видео в данном случае потребовала сочетания контейнерного, потокового и визуального анализа, а также сопоставления нескольких независимых источников временных меток.

Раздел 14. Кейс 6. Определение модели устройства по структуре чанков и опровержение версии о съемке на заявленный телефон

Обстоятельства. В ходе бракоразводного процесса одна из сторон представила видеозапись, на которой, по ее утверждению, был зафиксирован факт недостойного поведения другой стороны. Запись была сделана, по словам представителя, на смартфон конкретной модели. Вторая сторона оспаривала подлинность, указывая, что запись могла быть сделана на другое устройство и затем переписана.

Исследование. Файл имел формат MP4 и разрешение, соответствующее заявленному смартфону. Однако при анализе последовательности чанков было установлено, что структура контейнера содержит чанк, характерный для видеорегистраторов определенного производителя (специфический порядок следования ftyp, moov, mdat и наличие проприетарного чанка, не встречающегося в файлах, созданных смартфонами). Кроме того, в мета-чанке INAM (присутствовавшем, несмотря на формат MP4) содержалась строка, соответствовавшая названию модели регистратора.

Проверка. Был проведен сравнительный анализ с файлами, созданными заявленным смартфоном в контролируемых условиях. Структура чанков этих файлов существенно отличалась от структуры спорного файла. Различались также параметры кодирования: уровень профиля H.264 и размер GOP.

Вывод. Спорная видеозапись не была создана на заявленном смартфоне. Структура контейнера указывает на устройство класса видеорегистратора. Утверждение о происхождении записи не соответствует техническим данным файла. Экспертиза видео на уровне контейнерного анализа позволила установить это без необходимости исследования визуального содержания, которое не имело значения для решения вопроса о допустимости доказательства.

Раздел 15. Кейс 7. Анализ временных меток и выявление несоответствия заявленному времени съемки при алиби

Обстоятельства. Гражданин обвинялся в совершении правонарушения, видеозапись которого была получена с камеры, установленной на многоквартирном доме. Запись имела временную метку, соответствовавшую 23:47, и это совпадало со временем, указанным в протоколе. Обвиняемый утверждал, что в это время находился в другом месте, и что часы камеры могли быть неверно установлены.

Исследование. Задача состояла в проверке соответствия внутреннего времени камеры реальному времени события. Для этого были проанализированы все доступные временные метки: в имени файла, в метаданных контейнера, в водяном знаке на кадрах, а также в системном журнале видеосервера (предоставленном администратором).

Результаты. Системный журнал содержал записи о синхронизации времени камеры с сервером NTP. Согласно журналу, последняя успешная синхронизация произошла за 6 дней до события, и с тех пор камера не синхронизировалась. Однако дрейф часов за 6 дней для данной модели камеры, согласно технической документации, не мог превысить 3 секунд. Временная метка в водяном знаке на кадрах совпадала с временной меткой контейнера с точностью до секунды. Более того, в кадре присутствовал отраженный источник света, который, согласно астрономическим данным для данной местности и даты, мог наблюдаться только в интервале 23:40–23:55. Таким образом, временная метка соответствовала реальному времени.

Дополнительная проверка. Был проанализирован видеоряд на предмет присутствия объектов, движение которых можно сопоставить с известными событиями (например, проезд общественного транспорта по расписанию). Совпадение также подтвердило временную метку.

Вывод. Временная метка записи соответствует реальному времени события. Утверждение о неверной установке часов камеры не подтверждается. Экспертиза видео с привлечением данных системного журнала и астрономических расчетов позволила опровергнуть версию алиби, основанную на гипотетическом сбое часов.

Раздел 16. Кейс 8. Восстановление метаданных GPS из потока субтитров при утрате основного файла

Обстоятельства. Видеорегистратор участника ДТП был поврежден в результате происшествия. Сотрудникам удалось извлечь карту памяти, но файл, содержавший запись момента ДТП, оказался поврежден: воспроизводилась только начальная часть, а последние 20 секунд, включая момент столкновения, не читались. Пострадавшая сторона обратилась с запросом на извлечение любой информации, которая могла бы подтвердить скорость и траекторию движения.

Исследование. Файл имел формат, характерный для регистраторов с GPS. Несмотря на повреждение контейнера, в нераспределенных областях карты памяти были обнаружены фрагменты потока субтитров, который регистратор использовал для хранения GPS-данных. Формат субтитров был проприетарным, но соответствовал структуре, описанной в технической документации на устройство.

Метод. Из фрагментов субтитров были извлечены записи, содержавшие временные метки и координаты. Хотя видеоряд восстановить не удалось, последовательность координат с частотой 1 Гц позволила восстановить траекторию движения автомобиля за период, включающий момент столкновения.

Результаты. Анализ траектории показал, что за 3 секунды до момента, соответствующего времени столкновения (по данным системы экстренного вызова), скорость автомобиля составляла approximately 62 км/ч, а за 1 секунду — 58 км/ч. Траектория не содержала признаков экстренного торможения. Полученные данные были сопоставлены с повреждениями транспортных средств и показаниями участников.

Вывод. Восстановленные GPS-данные позволили установить скорость и траекторию движения в период, предшествовавший столкновению, несмотря на невозможность восстановления видеоряда. Экспертиза видео в данном случае носила характер восстановления скрытой информации из служебных потоков, которые обычно остаются вне поля зрения при поверхностном анализе.

Раздел 17. Кейс 9. Идентификация модели камеры наружного наблюдения по артефактам сжатия и опровержение версии о записи с другой камеры

Обстоятельства. В судебном разбирательстве по факту повреждения имущества ответчик утверждал, что видеозапись, представленная истцом, была сделана не с камеры, установленной на здании истца, а с другой камеры, расположенной поблизости и имеющей иной угол обзора. По версии ответчика, это объясняло различия в видимости событий.

Исследование. Запись была предоставлена в виде файла, экспортированного из системы видеонаблюдения. Метаданные содержали только дату и время, без указания модели камеры. Задача состояла в определении того, соответствует ли запись камере, установленной на здании истца.

Метод. Эксперт проанализировал артефакты сжатия, характерные для кодеков, используемых в системах видеонаблюдения. Была выявлена характерная структура макроблоков, типичная для определенного чипсета (SoC), используемого в камерах конкретной серии. Кроме того, анализ дисторсии (геометрических искажений) позволил определить фокусное расстояние и тип объектива, которые соответствовали техническим характеристикам камеры, установленной на здании истца, и не соответствовали характеристикам камеры, на которую указывал ответчик.

Дополнительная проверка. Угол обзора, восстановленный по положению статических объектов, совпал с углом обзора камеры истца с точностью до 2 градусов. Положение «слепой зоны», характерное для данной установки, также соответствовало записи.

Вывод. Запись сделана камерой, установленной на здании истца. Версия о съемке с другой камеры не подтверждается. Экспертиза видео с применением анализа артефактов сжатия и геометрических характеристик позволила установить источник записи без прямых метаданных о модели устройства.

Раздел 18. Кейс 10. Комплексный анализ записи с места ДТП: сочетание идентификации устройства, метаданных и ситуационного моделирования

Обстоятельства. На нерегулируемом перекрестке произошло столкновение легкового автомобиля и мотоцикла. Водитель автомобиля утверждал, что мотоциклист двигался с превышением скорости и появился неожиданно. Мотоциклист, получивший тяжелые травмы, не мог дать показания. Единственной объективной записью был фрагмент с видеорегистратора автомобиля, предоставленный его водителем.

Исследование. Задача включала три компонента: подтверждение подлинности записи, извлечение всех доступных метаданных и восстановление параметров движения мотоцикла.

Идентификация и метаданные. Хеш-сумма файла совпала с зафиксированной при изъятии. Структура чанков соответствовала модели регистратора, заявленной водителем. Временные метки имени файла, контейнера и водяного знака совпадали. Признаков перекодировки или вставки фрагментов не обнаружено. Запись признана аутентичной.

Ситуационный анализ. Из потока субтитров были извлечены GPS-координаты автомобиля с частотой 1 Гц. Поскольку регистратор не был оборудован модулем GPS для мотоцикла, скорость мотоцикла определялась по смещению его изображения между кадрами с использованием перспективной модели, откалиброванной по статическим объектам (дорожная разметка, опоры). Калибровка выполнялась по характерным точкам, положение которых в пространстве было известно.

Результаты. Расчетная скорость мотоцикла в момент появления в кадре составила approximately 78 км/ч, за 0,5 секунды до столкновения — 74 км/ч. Водитель автомобиля начал движение через 1,2 секунды после появления мотоцикла в поле зрения камеры, что соответствовало времени, необходимому для обнаружения и реакции. Техническая возможность предотвращения столкновения водителем автомобиля при заданных параметрах движения мотоцикла была оценена как отсутствующая.

Вывод. Запись аутентична. Мотоцикл двигался со значительным превышением установленного ограничения (60 км/ч). Водитель автомобиля не располагал технической возможностью предотвратить столкновение после обнаружения мотоцикла. Экспертиза видео в данном случае объединила идентификационные, метаданные и ситуационные методы, обеспечив доказательственную базу для решения о виновности.

Раздел 19. Организационные и процессуальные аспекты обращения в Союз «Федерация судебных экспертов»

Выбор экспертного учреждения является фактором, который напрямую влияет на доказательственную силу заключения. Союз «Федерация судебных экспертов» специализируется на исследовании цифровых видеоданных и располагает методиками, позволяющими извлекать информацию, которая часто остается вне поля зрения экспертов общего профиля.

При обращении по вопросам экспертизы видео заказчик должен понимать, что сроки и стоимость исследования определяются сложностью задач. Простая проверка файла на предмет перекодировки может быть выполнена в сжатые сроки, тогда как комплексный анализ, включающий идентификацию устройства по PRNU, восстановление удаленных фрагментов и ситуационное моделирование, требует значительного времени. В любом случае исходный носитель должен быть предоставлен в неизменном виде; переснятая с экрана запись или файл, прошедший через мессенджер, как правило, непригодны для большинства видов анализа.

Процесс начинается с консультации, в ходе которой формулируются вопросы, подлежащие разрешению. Эксперт оценивает пригодность материала и определяет перечень необходимых документов. По результатам исследования составляется заключение, соответствующее требованиям процессуального законодательства и содержащее ответы на поставленные вопросы в пределах компетенции эксперта.

Для дел о ДТП рекомендуется сохранять не только сам видеофайл, но и носитель (карту памяти, жесткий диск), с которого он был скопирован, а также, по возможности, само записывающее устройство. Это расширяет возможности идентификации и восстановления данных. Если запись была получена с системы видеонаблюдения, ценную информацию могут содержать системные журналы, и их сохранение до передачи материалов эксперту является желательным.

Экспертиза видео в Москве и других регионах проводится с соблюдением единых методических подходов, однако именно специализация учреждения определяет глубину исследования. Союз «Федерация судебных экспертов» приглашает к сотрудничеству всех, кто столкнулся с необходимостью установления подлинности видеозаписи, идентификации устройства или восстановления скрытой информации, и гарантирует объективность и научную обоснованность выводов.