It is a fact that software has bugs. These bugs can lead to failures. Especially dependability and security failures are a great threat to software users. This thesis introduces four novel approaches that can be used to automatically harden software at the user's site. Automatic hardening removes bugs from already deployed software. All four approaches are automated, i.e., they require little support from the end-user. However, some support from the software developer is needed for two of these approaches. The presented approaches can be grouped into error toleration and bug removal. The two error toleration approaches are focused primarily on fast detection of security errors. When an error is detected it can be tolerated with well-known existing approaches. The other two approaches are bug removal approaches. They remove dependability bugs from already deployed software. We tested all approaches with existing benchmarks and applications, like the Apache web-server.:1 Introduction 1 1.1 Terminology . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 2 1.2 Automatic Hardening . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3 1.3 Contributions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 1.4 Theses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5 2 Enforcing Dynamic Personalized System Call Models 9 2.1 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 2.2 SwitchBlade Architecture . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 2.3 System Call Model . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17 2.3.1 Personalization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 2.3.2 Randomization . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20 2.4 Model Learner . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22 2.4.1 Problem: False Positives . . . . . . . . . . . . . . . . . . . . . . . . 22 2.4.2 Data- ow-Based Learner . . . . . . . . . . . . . . . . . . . . . . . . 26 2.5 Taint Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 2.5.1 TaintCheck . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 2.5.2 Escaping Valgrind . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 2.5.3 Replay of Requests . . . . . . . . . . . . . . . . . . . . . . . . . . . 29 2.6 Model Enforcement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30 2.6.1 Loading the System Call Model . . . . . . . . . . . . . . . . . . . . 31 2.6.2 Checking System Calls . . . . . . . . . . . . . . . . . . . . . . . . . 31 2.7 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 2.7.1 Synthetic Exploits . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 2.7.2 Apache . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 2.7.3 Exploits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35 2.7.4 Micro Benchmarks . . . . . . . . . . . . . . . . . . . . . . . . . . . 36 2.7.5 Model Size . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38 2.7.6 Stateful Application . . . . . . . . . . . . . . . . . . . . . . . . . . 39 2.8 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40 3 Speculation for Parallelizing Runtime Checks 43 3.1 Approach . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46 3.1.1 Compiler Infrastructure . . . . . . . . . . . . . . . . . . . . . . . . 47 3.1.2 Runtime Support . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49 3.2 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50 3.3 Deterministic Replay and Speculation . . . . . . . . . . . . . . . . . . . . . 52 3.3.1 Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 3.3.2 Implementation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55 3.4 Switching Code Bases . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56 3.4.1 Example . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57 3.4.2 Integration with parexc chkpnt . . . . . . . . . . . . . . . . . . 58 3.4.3 Code Transformations . . . . . . . . . . . . . . . . . . . . . . . . . 59 3.4.4 Stack-local Variables . . . . . . . . . . . . . . . . . . . . . . . . . . 67 3.5 Speculative Variables . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67 3.5.1 Interface . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68 3.5.2 Deadlock Avoidance . . . . . . . . . . . . . . . . . . . . . . . . . . 69 3.5.3 Storage Back-ends . . . . . . . . . . . . . . . . . . . . . . . . . . . 69 3.6 Parallelized Checkers . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69 3.6.1 Out-of-Bounds Checks . . . . . . . . . . . . . . . . . . . . . . . . . 70 3.6.2 Data Flow Integrity Checks . . . . . . . . . . . . . . . . . . . . . . 71 3.6.3 FastAssert Checker . . . . . . . . . . . . . . . . . . . . . . . . . . . 71 3.6.4 Runtime Checking in STM-Based Applications . . . . . . . . . . . . 72 3.7 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 3.7.1 Performance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 3.7.2 Checking Already Parallelized Applications . . . . . . . . . . . . . . 77 3.7.3 ParExC Overhead . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78 3.8 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 80 4 Automatically Finding and Patching Bad Error Handling 83 4.1 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 84 4.2 Overview . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86 4.3 Learning Library-Level Error Return Values from System Call Error Injection 89 4.3.1 Components . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 91 4.3.2 E cient Error Injection . . . . . . . . . . . . . . . . . . . . . . . . 91 4.3.3 Obtain OS Error Specification . . . . . . . . . . . . . . . . . . . . . 92 4.4 Finding Bad Error Handling . . . . . . . . . . . . . . . . . . . . . . . . . . 92 4.4.1 Argument Recording . . . . . . . . . . . . . . . . . . . . . . . . . . 93 4.4.2 Systematic Error Injection . . . . . . . . . . . . . . . . . . . . . . . 94 4.4.3 Static Analysis . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 96 4.5 Fast Error Injection using Virtual Machines . . . . . . . . . . . . . . . . . 99 4.5.1 The fork Approach . . . . . . . . . . . . . . . . . . . . . . . . . . 100 4.5.2 Virtual Machines for Fault Injection . . . . . . . . . . . . . . . . . . 101 4.6 Patching Bad Error Handling . . . . . . . . . . . . . . . . . . . . . . . . . 102 4.6.1 Error Value Mapping . . . . . . . . . . . . . . . . . . . . . . . . . . 103 4.6.2 Preallocation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 105 4.6.3 Patch Generation . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106 4.7 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108 4.7.1 Measurements . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 4.8 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 115 5 Robustness and Security Hardening of COTS Software Libraries 117 5.1 Related Work . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 118 5.2 Approach . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 5.3 Test Values . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 122 5.3.1 Ballista Type System . . . . . . . . . . . . . . . . . . . . . . . . . . 123 5.3.2 Meta Types . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 124 5.3.3 Feedback . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 125 5.3.4 Type Templates . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 126 5.3.5 Type Characteristics . . . . . . . . . . . . . . . . . . . . . . . . . . 128 5.3.6 Reducing the Number of Test Cases . . . . . . . . . . . . . . . . . . 128 5.3.7 Other Sources of Test Values . . . . . . . . . . . . . . . . . . . . . . 130 5.4 Checks . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130 5.4.1 Check Templates . . . . . . . . . . . . . . . . . . . . . . . . . . . . 131 5.4.2 Parameterized Check Templates . . . . . . . . . . . . . . . . . . . . 133 5.5 Protection Hypotheses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 134 5.5.1 Minimizing the Truth Table . . . . . . . . . . . . . . . . . . . . . . 134 5.5.2 Discussion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 135 5.6 Evaluation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 136 5.6.1 Coverage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 137 5.6.2 Autocannon as Dependability Benchmark . . . . . . . . . . . . . . 138 5.6.3 Protection Hypotheses . . . . . . . . . . . . . . . . . . . . . . . . . 139 5.7 Conclusion . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 6 Conclusion 143 6.1 Publications . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144 References 147 List of Figures 159 List of Tables 163 Listings 165

Im Rahmen der Arbeit wird der Begriff Sicherheit aus verschiedenen Blickwinkeln beleuchtet, Randbedingungen aus Theorie und Praxis zielorientiert strukturiert und ein Vorschlag für eine Integration betrieblicher Aspekte in Sicherheitsanalysen dargelegt. Dazu werden zunächst die normativ verankerten Lebenszyklusphasen des Bahnsystems und die darin festgelegten Verantwortlichkeiten vorgestellt. Darauf aufbauend erfolgt die beispielhafte Beschreibung einer neuen Analysemethode in Verfügbarkeits-Sicherheits-Diagrammen für betriebliche Szenarien des Bahnsystems. Die Arbeit endet mit der Vorstellung des Modells zur ganzheitlichen Sicherheitsbetrachtung des Bahnsystems, welches die zuvor gewonnenen Erkenntnisse integriert und die Grundlage für das Zulassungsverfahren von Bahnanlagen mit betrieblichem Sicherheitsnachweis legt. / This thesis deals with the detailed analysis of the term safety from different points of view. The main target of the document is the integration of operational aspects within technical solutions for railway systems. Operational use-cases have been analyzed using the availability-safety-diagram. The document concludes with the introduction of a model for holistic safety-related consideration of railway systems.

The Electrical Power Systems (EPS) are indispensable for a Nuclear Power Plant (NPP). The EPS are essential for plant start-up, normal operation, and emergency conditions. Electrical power systems are necessary not only for power generation, transmission, and distribution but also to supply reliable power for plant operation and control system during safe operation, Design Basis Conditions (DBC) and Design Extension Conditions (DEC). According to IAEA Specific Safety Guide SSG-34, EPS are essentially the support systems of many plant equipment. Electrical system, which supply power to plant systems important to nuclear safety, are essential to the safety of an NPP. In recent years, due to the digitization of Instrumentation and Control (I&C) systems, along with their enhanced accuracy, ease of implementing complex functions and flexibility, have been also exposed to sophisticated cyber threats. Despite physical separation and redundant electrical power supply sources, malicious cyber-attacks performed by insiders or outsiders might disrupt the power flow and result in an interruption in the normal operation of an NPP. Therefore, for the uninterrupted operation of a plant, it is crucial to contemplate cybersecurity in the EPS design and implementation. Considering multiple cyber threats, the main objectives of this research work are finding out security vulnerabilities in electrical power systems, simulating potential cyber-attacks and analyzing the impacts of these attacks on the electrical components to protect the electrical systems against these cyber-attacks. An EPS testbed at a small scale was set up, which included commercial I&C and electrical equipment significant for the cybersecurity analysis. The testbed equipment comprises of electrical protection relay (IEC 60255), controller, operating panel, engineering workstation computer, simulation model, etc. to monitor and control the power supply of one or more electrical equipment responsible for a regular operation in an NPP. Simulated cybersecurity attacks were performed using this testbed and the outcomes were examined in multiple iterations, after adding or changing security controls (cybersecurity countermeasures). Analyzing the cybersecurity and performing cyber-attacks on these systems are very advantageous for a real power plant to prepare and protect the plant equipment before any malicious attack happens. This research work conclusively presents cybersecurity analysis, including basic and sophisticated cyber-attack scenarios to understand and improve the cybersecurity posture of EPS in an NPP. The approach was completed by considering the process engineering systems (e.g. reactor core cooling systems) as attack targets and investigating the EPS specific security Defense-in-Depth (DiD) design together with the Nuclear Safety DiD concepts.:CHAPTER 1 INTRODUCTION 1.1 Motivation 1.2 Technical Background 1.3 Objectives of the Ph.D. Project 1.4 State of the Art in Science and Technology CHAPTER 2 FUNDAMENTALS OF CYBERSECURITY AND ELECTRICAL CONTROL AND PROTECTION CONCEPTS 2.1 Electrical Power System 2.2 Electrical Protection System 2.3 Cyber-Physical System 2.4 Industrial Control System 2.5 Safety I&C and Operational I&C Systems 2.6 Safety Objective Oriented Top-Down Approach 2.7 Cybersecurity Concept 2.8 Threat Identification and Characterization in NPP 2.8.1 Design Basis Threat 2.8.2 Attacker Profile 2.8.1 Reported Real-Life NPP Cyber-Attack Examples 2.9 Security Levels 2.10 Summary CHAPTER 3 CYBER-PHYSICAL PROCESS MODELING 3.1 Introduction 3.2 Single Line Diagrams of Different Operational Modes 3.3 Design 3.4 Block Diagram of Simulink Model 3.5 Implementation of Simulink Blocks 3.5.1 Power Generation 3.5.2 Grid Feed 3.5.3 House Load (Feed Water Pump) 3.6 OPC UA Communication 3.7 Summary CHAPTER 4 CYBER THREAT SCENARIOS FOR EPS 4.1 Introduction 4.2 Cyber-Physical System for EPS 4.3 Cyber Threats and Threat Sources 4.3.1 Cyber Threats 4.3.2 Threat Sources 4.4 Cybersecurity Vulnerabilities 4.4.1 Vulnerabilities in EPS 4.4.2 Vulnerabilities in ICS 4.5 Attacker Modeling 4.6 Basic Cyber Threat Scenarios for EPS 4.6.1 Scenario-1: Physical Access to Electrical Cabinets 4.6.2 Scenario-2: Modification of Digital Protection Devices 4.7 Potential Advanced Cyber Threat Scenarios for EPS 4.7.1 Scenario-1: Alteration of a Set-point of the Protection Relay 4.7.2 Scenario-2: Injection of Malicious Packets 4.7.3 Scenario-3: False Trip Command 4.7.4 Scenario-4: Availability Attack on Protection Relay or SCADA System 4.7.5 Scenario-5: Permanent Damage to Physical Component 4.7.6 Scenario-6: Protocol-wise Attack on Operator Panel 4.8 Threat Scenario for Simulink model 4.9 Summary CHAPTER 5 EPS TESTBED DESCRIPTION 5.1 Introduction 5.2 Basic Industrial Automation Architecture 5.3 Need for Testbeds 5.4 Proposed EPS Testbed 5.4.1 Testbed Architecture 5.4.2 Testbed Implementation 5.5 EPS Physical Testbed Applications 5.5.1 Modeling and Simulation of Power System Faults 5.5.2 Modeling of Cyber-Attacks 5.6 Summary CHAPTER 6 EXPERIMENTAL AND IMPACT ANALYSIS OF CYBER THREAT SCENARIOS 6.1 Outline 6.2 Normal Operation and Control 6.3 Possibilities to Cause Failure in the Primary or Secondary Cooling Systems 6.4 Implementation of Cybersecurity Threat Scenarios 6.4.1 Alteration of a Relay Set-Point during Plant Start-Up Phase 6.4.2 Alteration of a Controller Set-Point during Normal Operation Phase 6.4.3 Availability Attack on Control and Protection System 6.4.4 Severe Damage to a Physical Component due to Overcurrent 6.5 Experimentally Assessed Cyber-attacks 6.6 Summary CHAPTER 7 SUMMARY AND OUTLOOK REFERENCES SCIENTIFIC PUBLICATIONS GLOSSARY

No description available.

Outdoor play is one major source of physical activity (PA) in children. In particular, parents act as gatekeepers, because they can enable their children’s outdoor play. This systematic review aims to provide an overview of parental correlates of outdoor play. A systematic literature research of six electronic databases (ERIC, PsycARTICLES, PsycINFO, PubMed/Medline, SCOPUS, and Web of Science Core Collection) was conducted with previously defined search terms, focusing on children 0–12 years old. In total, 1719 potentially publications were screened based on eligibility criteria. Included studies were scored for overall study quality. Findings were summarized using a semi-quantitative method. Twenty-one peer-reviewed publications which examined the relationship of parental correlates and outdoor play were included. Overall, five parental correlates were associated with children’s amount of outdoor play: mothers’ ethnicity, mothers’ employment status, parents’ education level, the importance parents assign to outdoor play, and perceived social cohesion in the neighborhood. Merely four studies reported sex/gender-stratified results. In summary, only parents’ encouragement/support provided evidence for girls’ amount of outdoor play. The findings are considered to be of public health relevance for developing intervention programs to increase outdoor play and for improving child’s health. More research, especially considering sex/gender of the child, is required.

Band zum 25. Jubiläum und Abschluss der Dresdener Studiengemeinschaft Sicherheitspolitik e.V.:Autorenbeiträge: - Wolfgang Scheler, Das Wirken der Studiengemeinschaft für einen Frieden in gemeinsamer Sicherheit. - Detlef Bald, Ost-West-Begegnungen nach der Einheit 1990 - Friedenshoffnung und Militärkritik. - Volker Bialas, Gedankenstürme über den globalen Frieden. - Endre Kiss, Persönlich über Nicht-Persönliches. - Rüdiger Wenzke, Brief an den Vorsitzenden der Dresdener Studiengemeinschaft Sicherheitspolitik e. V. - Heinrich Mund, Die Sächsische Friedensinitiative Dresden hätte ohne die Dresdener Studiengemeinschaft Sicherheitspolitik keinen Bestand gehabt. - Günter Glaser, Die Dresdener Studiengemeinschaft Sicherheitspolitik war auch für meine wissenschaftliche Arbeit von großer Bedeutung. - Rainer Böhme, Schlussakkord - meine Gedanken zur Dresdener Studiengemeinschaft Sicherheitspolitik. - Rolf Ziegenbein, Sieben Jahre als Grenzer in der Studiengemeinschaft. - Siegfried Schönherr, Friedenspolitisches Handeln erfordert militärökonomisches Denken. - Wilfried Schreiber, 25 Jahre Symbiose von Friedensforschung und Friedensbewegung. Anlagen (5): 1 Die Mitglieder der Dresdener Studiengemeinschaft Sicherheitspolitik e. V. 2 Chronik 3 Schriftenreihe der DSS-Arbeitspapiere. 4 Autoren der DSS-Arbeitspapiere. 5 Ständige Bezieher der DSS-Arbeitspapiere.

Shared microarchitectural state is a target for side-channel attacks that leverage timing measurements to leak information across security domains. These attacks are further enhanced by speculative execution, which transiently distorts the control and data flow of applications, and by untrusted environments, where the attacker may have complete control over the victim program. Under these conditions, microarchitectural attacks can bypass software isolation mechanisms, and hence they threaten the security of virtually any application running in a shared environment. Numerous approaches have been proposed to defend against microarchitectural attacks, but we lack the means to test them and ensure their effectiveness. The users cannot test them manually because the effects of the defences are not visible to software. Testing the defences by attempting attacks is also suboptimal because the attacks are inherently unstable, and a failed attack is not always an indicator of a successful defence. Moreover, some classes of defences can be disabled at runtime. Hence, we need automated tools that would check the effectiveness of defences, both at design time and at runtime. Yet, as it is common in security, the existing solutions lag behind the developments in attacks. In this thesis, we propose three techniques that check the effectiveness of defences against modern microarchitectural attacks. Revizor is an approach to automatically detect microarchitectural information leakage in commercial black-box CPUs. SpecFuzz is a technique for dynamic testing of applications to find instances of speculative vulnerabilities. Varys is an approach to runtime monitoring of system defences against microarchitectural attacks. We show that with these techniques, we can successfully detect microarchitectural vulnerabilities in hardware and flaws in defences against them; find unpatched instances of speculative vulnerabilities in software; and detect attempts to invalidate system defences.

Durch das I-FAS der TU Chemnitz wurde im Rahmen des AKTIV-Projektes eine Probandenstudie zur Akzeptanz von Systemausprägungen einer Aktiven Gefahrenbremsung (AGB) bei PKW durchgeführt. Unter Verwendung eines stehenden Hindernisses wurden sechs Systemausprägungen verglichen, die von den AGB-Partnern in zwei Versuchsträger implementiert wurden. Die sechs Systemausprägungen werden nahezu identisch bewertet, solange Probanden keine Vergleichsmöglichkeit zu anderen Systemausprägungen haben. Wenn es zu einem Fahrereingriff kommt, ist der Eingriffszeitpunkt des Fahrers unabhängig von der gefahrenen Systemausprägung.

This doctoral thesis focuses on the modification of ACC to include actual driver workload in the context of automatic headway change. ACC is a driver assistance system that automatically maintains a preliminary defined speed and permits a driver to perform manual headway changes. As drivers show worse (brake) reaction times under high workload situations, the system increases headway accordingly. Driver workload is estimated based on physiological data. Here, we investigate the possibilities of such a system, assuming that physiological sensors can be implemented in future vehicles. The thesis consists of three parts: In the first part, the theoretical background is described and a suitable theoretical model is developed; in the second part, experiments are described, and in the last part, results are discussed. Altogether four experiments support this thesis: 1. The first experiment investigates the foundational relationships between physiology, brake reaction time and workload level. The study employs a simulator setting and results show that physiological data, such as heart rate and skin conductance, permit the identification of different workload levels. These findings validate the results of other studies showing that workload leads to an increase in reaction time. These results could only be validated between the extremes “no-workload” and “high workload” situations. 2. The second experiment simulates an ideal workload-adaptive cruise control (WACC) system. In a simulator setting, system acceptance and awareness are studied, with a view toward future implementation in a real car. The results show better acceptance of WACC in comparison with ACC when subjects receive additional information about the new system. This is because subjects do not perceive changes in distance under high workload conditions. 3. The third experiment focuses on acceptance of the simulated system in on-road conditions. In this study, WACC is integrated in the car and is operated using a MATLAB model. The experiment shows that more subjects notice changes in distance in the on-road condition. In general WACC is preferred over ACC; it is especially these subjects who do not notice changes in distance, who value WACC more than ACC. With the aim of implementing an operational WACC that is capable of adjusting distance according to changes in physiological data, a workload algorithm is developed. 4. The fourth experiment validates the workload algorithm. Results of the algorithm are compared with recordings of the activated workload task and detection rate is calculated. The detection of workload periods was feasible in nearly every case and detection rate was favorable, especially if one considers lags due to design-related latency periods. The experiments presented here indicate that workload is detectable in physiological data and that it influences brake reaction time. Further, we provide evidence pointing to the technical possibility of implementing WACC as well as positive acceptance. The results have been published as an article and are part of this thesis. Also, some parts of the thesis are published as a book chapter (see footnotes). Another publication is in preparation, coauthored by diploma thesis students, who are supervised by the author (consult footnotes). This dissertation is composed, in part, of these publications. References to page numbers of the diploma theses are given to ensure correspondence. The author escorted the topic WACC from the beginning to the end. Sometimes students were involved and intensively supervised, from a thematic as well as a personnel guidance perspective. The author planned the whole project and executed studies and calculations. His psychology insights were not only limited to the discipline of psychology but were furthermore, with the help of students, interdisciplinarily expanded to the subject of informatics. Every study and every result which is presented within this work, was conducted or achieved by the author or (if students supported him) was discussed with the author in weekly discussions (and often several times a day). In these discussions the author provided new ideas and corrections if necessary. Apart from that, the author looked after the fulfillment of the central theme, implemented his psychological knowledge on a daily basis and provided his expertise to complement interdisciplinary point of views. He discussed the central theme as well as details with external partners like the MIT AgeLab as well as professors of the European Union from the adaption project (a project aimed at educating future researchers which includes involvement of highly important commercial and educational partners) and beyond. In this time he also visited conferences and accumulated knowledge which led to the successful achievements of the main objective and he was relevant in reaching the common goals of the adaption project. Furthermore he presented the results of the scientific work on a conference, workshops and in written publications. Within BMW Group Research and Technology, he identified important department- and project- partners and combined the knowledge to a result which benefits science and economy.:1 Introduction 2 Goal And Research Questions 3 Theoretical And Empirical Background 3.1 Theoretical Model 3.2 Workload Measurement over Physiology 3.3 Secondary Task: The N-Back Task 4 Forward Collision Warning Experiment 4.1 Introduction and Objectives 4.2 Method 4.3 Procedure 4.4 Results 4.5 Discussion and Conclusion 5 Workload-adaptive cruise control - A new generation of advanced driver assistance systems 5.1 Introduction 5.2 Material 5.3 Measurements 5.4 The Secondary Task: N-Back Task 5.5 WACC system 5.6 Procedure 5.7 Results 5.8 Discussion and conclusion 6 On-Road Study Of The Simulated WACC 6.1 Introduction and Objectives 6.2 Method 6.3 Results 6.4 Discussion and conclusion 7 Online detection of workload in an on-road setting 7.1 Introduction and objectives 7.2 Method 7.3 Results 7.4 Discussion and conclusion 8 General discussion 8.1 Background and chosen approach 8.2 Summary of findings 8.3 Discussion and conclusion 9 References / In dieser Dissertation wird eine Abwandlung des Active Cruise Control (ACC) untersucht, das zusätzlich die Belastung (Workload) des Fahrers als Parameter betrachtet, um den Abstand zum Vordermann automatisiert zu verändern. Bei diesem ACC handelt es sich um ein Fahrerassistenzsystem, das automatisiert die eingestellte Geschwindigkeit hält und eine manuelle (durch den Nutzer ausgelöste) Abstandsveränderung zum Vordermann ermöglicht. Da sich die Bremsreaktionszeit von Fahrern in hohen Belastungssituationen verschlechtert, soll das entwickelte Workload-adaptive Cruise Control (WACC) in Situationen hoher Belastung den Abstand zum Vordermann automatisiert erhöhen. Die Belastung des Fahrers soll durch physiologische Daten ermittelt werden. Die vorliegende Arbeit untersucht die Möglichkeit eines solchen Systems unter der Annahme, dass in Zukunft geeignete physiologische Sensoren ins Auto eingebaut werden können. Die Arbeit besteht aus drei Teilen: • Im ersten Teil wird der theoretische Hintergrund beschrieben und ein passendes theoretisches Modell entwickelt. • Im zweiten Teil werden die durchgeführten Experimente beschrieben. • Im dritten Teil werden die Ergebnisse diskutiert. Insgesamt wurden im Rahmen dieser Arbeit vier Experimente durchgeführt: Das erste Experiment beschäftigte sich mit den grundlegenden Zusammenhängen zwischen Physiologie, Bremsreaktionszeit und Belastungslevel. Wie die Ergebnisse der im Simulator durchgeführten Studie zeigen, können mit physiologischen Daten wie Herzrate, Herzratenvariabilität und Hautleitfähigkeit unterschiedliche Workloadlevel identifiziert werden. Darüber hinaus wurden die Ergebnisse anderer Studien bestätigt, die belegen, dass Workload die Bremsreaktionszeit erhöht, wobei dies nur im Kontrast zwischen den Extrembereichen „kein Workload“ und „hoher Workload“ nachweisbar ist. Das zweite Experiment diente der Simulierung eines perfekten WACC. Im Simulator wurden Akzeptanz und Systemwahrnehmung getestet, um vor der Implementierung in ein Realfahrzeug weitere Erkenntnisse zu gewinnen. Im Vergleich zum ACC wurde das WACC von den Probanden besser akzeptiert, nachdem sie zusätzliche Informationen zum neuen System erhalten hatten. Der wesentliche Grund dafür ist, dass die Probanden ohne Informationen die Abstandsveränderung bei hohem Workload nicht realisieren. Das dritte Experiment fokussierte auf die Akzeptanz des simulierten Systems unter Realbedingungen. Das WACC wurde in das Auto integriert und durch ein MATLAB Modell gesteuert. Als Ergebnis zeigte sich, dass unter Realbedingungen mehr Probanden die Abstandsveränderung realisieren als im Simulator. Generell wird das WACC präferiert – vor allem jene Probanden, die die Abstandsveränderung nicht realisieren, bewerten das WACC besser als das ACC. Mit den in diesem Teilexperiment erhobenen Daten wurde ein Algorithmus zur Workloaderkennung entwickelt. Auf dieser Basis konnte im letzten Experiment ein Realsystem implementiert werden, das aufgrund physiologischer Daten den Abstand verändert. Das vierte Experiment beschäftigte sich mit der Validierung des Algorithmus zur Workloaderkennung. Die Ergebnisse des Algorithmus wurden mit der aufgezeichneten Aktivierung des Workloadtasks verglichen und eine Detektionsrate ermittelt. Die Detektion der Workloadperioden gelingt in fast allen Fällen und die Detektionsrate ist vielversprechend, gerade wenn man Verzögerungen berücksichtigt, die wegen der Latenzzeit körperlicher Reaktionen nicht verbesserungsfähig sind. In den vorliegenden Experimenten konnte gezeigt werden, dass Workload über die Physiologie messbar ist und sich auf die Bremsreaktionszeit auswirkt. Darüber hinaus wurde gezeigt, dass ein WACC technisch machbar ist und die Ergebnisse lassen außerdem auf eine hohe Akzeptanz schließen. Die Forschungsergebnisse wurden in einem Artikel publiziert, der auch in dieser Dissertation zu finden ist. Teile der vorliegenden Arbeit wurden außerdem als Buchkapitel veröffentlicht (siehe Fußnoten), eine weitere Publikation mit den vom Autor umfassend betreuten Diplomanden ist in Ausarbeitung. Um die Nachvollziehbarkeit zu gewährleisten, wurde auf die Seitenzahlen der entsprechenden Diplomarbeiten verwiesen. Als Autor dieser Dissertation habe ich das Thema WACC von Anfang bis Ende selbst erarbeitet bzw. wurden Studenten eingesetzt und angeleitet, wo es sinnvoll erschien. Neben der fachlichen wie personellen Führung der Studenten umfassten meine Aufgaben die Planung des Gesamtprojekts, das Durchführen der Studien und die Berechnung von Kennzahlen – sowohl in meinem eigenen psychologischen Fachgebiet als auch interdisziplinär mit Hilfe von Experten aus der Informatik. Jedes Ergebnis, das in dieser Arbeit präsentiert wird, wurde entweder von mir selbst erzielt oder – sofern ich dabei von Studenten unterstützt wurde – mit mir in wöchentlichen (oft auch mehrmals täglich stattfindenden Meetings) besprochen. Wichtig war mir als Autor, einen durchgängigen Weg zur Entwicklung eines WACC zu wahren, mein psychologisches Fachwissen täglich anzuwenden und in interdisziplinären Aufgaben und Diskussionen meine Perspektive einzubringen. Besonders wichtig war dabei die Diskussion des Gesamtprojekts und der Details mit externen Partnern wie dem MIT AgeLab oder Professoren aus der Europäischen Union im Rahmen des Adaptation Projekts (ein von der EU gefördertes Projekt zur Ausbildung von Forschern, unter Einbindung wirtschaftlich und wissenschaftlich hochrangiger Partner). Durch die Präsentation der Ergebnisse auf Konferenzen, in Workshops und Publikationen konnte ich einen Beitrag dazu leisten, um die Adaptation-Ziele zu erreichen. Innerhalb der BMW Group Forschung und Technik habe ich darauf geachtet, relevante Schnittstellen- und Projektpartner zu identifizieren und das erlangte Wissen zu einem Ergebnis zu verbinden, das Wissenschaft und Wirtschaft gleichermaßen nützt.:1 Introduction 2 Goal And Research Questions 3 Theoretical And Empirical Background 3.1 Theoretical Model 3.2 Workload Measurement over Physiology 3.3 Secondary Task: The N-Back Task 4 Forward Collision Warning Experiment 4.1 Introduction and Objectives 4.2 Method 4.3 Procedure 4.4 Results 4.5 Discussion and Conclusion 5 Workload-adaptive cruise control - A new generation of advanced driver assistance systems 5.1 Introduction 5.2 Material 5.3 Measurements 5.4 The Secondary Task: N-Back Task 5.5 WACC system 5.6 Procedure 5.7 Results 5.8 Discussion and conclusion 6 On-Road Study Of The Simulated WACC 6.1 Introduction and Objectives 6.2 Method 6.3 Results 6.4 Discussion and conclusion 7 Online detection of workload in an on-road setting 7.1 Introduction and objectives 7.2 Method 7.3 Results 7.4 Discussion and conclusion 8 General discussion 8.1 Background and chosen approach 8.2 Summary of findings 8.3 Discussion and conclusion 9 References

„Die Amtszeit Erich Honeckers als Generalsekretär des ZK der SED, also die Phase von Ulbrichts Sturz 1971 bis zu Honeckers Ablösung 1989, wird häufig als eine Zeit der Normalisierung wahrgenommen. Das Bemühen um internationale Anerkennung hatte mit dem Grundlagenvertrag, der Aufnahme in die UNO 1973 und der Unterzeichnung der KSZE-Schlußakte von Helsinki 1975 zumindest teilweise Erfolg...” [... aus der Einleitung (S.7)]