JP2023524972A - 信頼されるデジタル製造のためのエンドポイントおよびプロトコル - Google Patents

Abstract

信頼された加工のためのエンドポイントであって、広域ネットワークへの接続のために構成される少なくとも１つのセキュアなコントローラと、ローカル通信のために構成される少なくとも１つの信頼されないコントローラとを含み、エンドポイントは、加工機への接続のために構成され、製造のために少なくとも１つのアイテムを規定するデジタル署名されたデータを受信し、デジタル署名されたデータを照合し、デジタル署名されたデータを照合後、加工機に、少なくとも１つのアイテムを製造するように指示するようにさらに構成される。信頼されるオンデマンド製造のための方法であって、エンドポイントにおいて、製造のために少なくとも１つのアイテムを説明するデジタル署名されたデータを受信することと、エンドポイントにおいて、デジタル署名されたデータを照合することと、デジタル署名されたデータを使用して、少なくとも１つのアイテムを製造することとを含む。

Description

（関連出願の相互参照）
本願は、全体として本明細書に述べられる場合と同様に、参照することによって開示全体が、本明細書によって組み込まれる、２０２０年５月５日に出願され、米国仮出願第６３／０２０，１９１号の利点および優先権を主張するものである。

本明細書に説明される実施形態は、信頼されるオンデマンド製造のための方法およびシステムに関し、より詳細には、排他的ではないが、アイテムを製造する前に、加工機において、デジタル署名されたデータを照合するための方法およびシステムに関する。

付加製造（ＡＭ）およびコンピュータ数値制御（ＣＮＣ）機械加工等の現代の加工方法のためのサプライチェーンは、物理的な未加工材料およびデジタルデータ要素の両方を含む。デジタルデータ要素は、個別の機械類のための構成および低レベル製造命令を含み、全体またはかなりの部分において、生産されるアイテムの寸法的、機械的、かつ時として、材料的特性を制御する。デジタル製造（ＤＭ）は、これらの高データ駆動型製造および加工プロセスを含む。ＤＭのよく知られている実施例は、３Ｄ印刷であり、アイテムのコンピュータ（デジタル）モデルが、３Ｄプリンタ上で、直接、加工される、または「印刷される」。特定のアイテムを生産するために、製造業者は、そのアイテムおよび互換性があるＤＭ機械のためのデータ要素を必要とし、同様に、データ要素への任意の変更は、生産されるアイテムに対する変更を結果としてもたらすであろうし、そのような変更は、ユーザにとって不明確であり得る。

セキュリティの観点から、ＤＭは、大規模で、従来的な製造よりも大きな攻撃対象領域を有する。ＤＭ内の新しい攻撃対象ベクタは、データファイル（例えば、ＣＡＤモデル、ＡＭアーチファクト、Ｇコード、機械パラメータ等）の開示または修正を含む。データ要素に対する任意の修正はまた、例えば、所与の部品の材料的、機械的、および機能的性質が、実質的に同じであり、それが製造されるとき、場所、またはその製造者に対して、不変であることを確実にするためのプロセス制御を強化することを困難にし得る。

トレーサビリティ（または、本格的なデジタルツイン）は、（例えば、航空機製造における）いくつかの部品にとって重要であり、これは、部品の所与の事例に対して、製造業者が、それが加工されたとき、場所、およびその製造者、使用された設計ファイル、適用された検査基準等を判定可能である必要があることを意味する。本タイプの情報の捕捉および読出は、従来的に製造された部品に対して、十分に確立されたプロセスであるが、デジタル的にかつ付加的に製造された部品の設計の時間的かつ空間的非干渉化、加工、および作動は、トレーサビリティをより困難にし得る。

現在のところ、ＤＭ機械自体は、サイバセキュリティの観点から、解決困難であり、すなわち、それらは、典型的には、独立型または産業／商業ネットワーク展開型のために設計される、洗練されたコンピュータシステムを含有するが、防衛、医療、航空宇宙、および他の安全重要環境におけるネットワーク展開のために、典型的に要求される、厳密なサイバセキュリティ証明を満たすように設計されていない（または、必ずしも意図されない）、ならびに／もしくはより一般的には、信頼されない。コンピュータシステム自体が、内部ネットワークに接続されている場合、脅威ベクタであり得る。

結果として、多くの機密環境において、ＤＭ機械は、機密ネットワークから「エアギャップされ」、ＤＭアーチファクト（データ）は、読取専用媒体（ＣＤ ＲＯＭ等）を介して運搬される。より一般的には、あまり厳しくないサイバセキュリティ規制事情においてさえ、ＤＭアーチファクトの制御されていない複製品は、産業スパイ活動、妨害行為、企業秘密の漏洩等に対するベクタであり、品質制御プロセス、方針／規制制御等の回避につながり得る。具体的には、ＤＭデータおよび隔離されたＤＭ機械の制御されていない複製品によって導入される脆弱性は、プライバシ、真正性、制御、準備性、機敏性、および利便性を含む。物理的にセキュアではない、または破壊されていない場合、悪意のある行為者は、媒体上のデータへのアクセスを獲得し得るであろう。例えば、ユーザのコンピュータ上のセキュリティ違反は、攻撃者が、ＤＭ／ＡＭアーチファクトを改変し、例えば、使用中の部品欠陥につなげることを可能にし得る。善意を有するユーザは、ＤＭアーチファクトを、「微調整」または修正し、それによって、プロセス制御を危険に曝し得る。現在のところ、トレーサビリティ、知的財産（ＩＰ）保護、品質分析等のために、（例えば、加工と生産プロセス全体との間の）フィードバックループをデジタル的に閉鎖するためのセキュアな方法は存在しない。本プロセス自体は、例えば、ユーザが、ネットワーク接続されたプリンタを用いて行い得ることと同様に、ウェブポータル内で「印刷する」をクリックし、世界中で認可された任意の機械上の部品を印刷することと比較すると、ユーザにとって煩雑かつ不便である。

商業的な観点から、ＤＭは、新しい市場を可能にし、ユーザは、既製アイテムを購入するのではなく、ユーザ自身の機械類上でアイテムを加工するための許諾権を購入することができるであろう。しかしながら、販売者は、物理的アイテムを配達する代わりに、（許諾されたソフトウェアと類似する）データを配布することになる。そのような市場の商業化の実現可能性は、デジタルエコシステムにおける、数量の限界またはＤＭデータの再配布等の契約条項の強化に依存するであろうし、そのような強化は、データ配布、加工、およびデータ除去（許諾権の期間満了時に、許諾されたコンテンツの解除）のプロセスにおいて、強固な信頼関係およびある他の確実性を要求する。しかしながら、先に議論されるように、ＤＭ／ＡＭ機械自体は、概して、信頼されないため、したがって、ＤＭデータソースから、ＤＭ機器およびそのユーザにおける最小限の信頼を要求するＤＭ機器まで、信頼を拡張することを機構に要求することになる。したがって、ＤＭ機器を改良し、アイテムを加工するための指示を照合するための方法およびシステムに対する必要性が存在する。

本概要は、詳細な説明の節において、下記にさらに説明される、概念の一部を、簡略化された形態で、紹介するために提供される。本概要は、請求される主題の重要な特徴または不可欠な特徴を特定または除外することは意図されず、請求される主題の範囲を判定する際の支援として使用されることもまた意図されない。

一側面による、実施形態は、信頼された加工のためのエンドポイントに関する。いくつかの実施形態では、エンドポイントは、広域ネットワークへの接続のために構成される、少なくとも１つのセキュアなコントローラと、ローカル通信のために構成される、少なくとも１つの信頼されないコントローラとを備え、エンドポイントは、加工機への接続のために構成され、製造のために少なくとも１つのアイテムを規定する、デジタル署名されたデータを受信し、デジタル署名されたデータを照合し、デジタル署名されたデータを照合後、加工機に、少なくとも１つのアイテムを製造するように指示するようにさらに構成される。

いくつかの実施形態では、セキュアなコントローラは、ユーザによって修正不可能であるように構成される。

いくつかの実施形態では、エンドポイントは、少なくとも１つのアイテムの製造の完了に応じて、受領書を生成するようにさらに構成される。

いくつかの実施形態では、加工機は、３Ｄプリンタである。

いくつかの実施形態では、信頼されないコントローラは、ユーザによって修正可能であるように構成される。

いくつかの実施形態では、エンドポイントは、ネットワーク接続されている。

いくつかの実施形態では、デジタル署名されたデータはまた、暗号化される。いくつかの実施形態では、デジタル署名されたデータは、エンドポイントと関連付けられるキーを使用して、暗号化される。

いくつかの実施形態では、少なくとも１つのセキュアなコントローラおよび少なくとも１つの信頼されないコントローラは、相互から、電気的に隔離される。

いくつかの実施形態では、エンドポイントおよび加工機は、併置される。

別の側面では、実施形態は、信頼されるオンデマンド製造のための方法に関する。いくつかの実施形態では、本方法は、加工機に接続されるエンドポイントにおいて、製造のために少なくとも１つのアイテムを説明する、デジタル署名されたデータを受信するステップと、エンドポイントにおいて、デジタル署名されたデータを照合するステップと、デジタル署名されたデータを照合後、デジタル署名されたデータを使用して、少なくとも１つのアイテムを製造するステップとを含み、エンドポイントは、少なくとも１つのセキュアなコントローラと、少なくとも１つの信頼されないコントローラとを備える。

いくつかの実施形態では、デジタル署名されたデータは、エンドポイントと関連付けられる公開キーを用いて、暗号化される。

いくつかの実施形態では、本方法は、デジタル署名されたデータ内で規定される、少なくとも１つのパラメータの順守のために、製造されたアイテムを点検するステップをさらに含む。

いくつかの実施形態では、セキュアなコントローラは、ユーザによって修正不可能であるように構成される。

いくつかの実施形態では、信頼されないコントローラは、ユーザによって修正可能であるように構成される。

いくつかの実施形態では、エンドポイントは、ネットワーク接続される。

いくつかの実施形態では、デジタル署名されたデータはまた、暗号化される。 いくつかの実施形態では、デジタル署名されたデータは、エンドポイントと関連付けられるキーを使用して、暗号化される。

いくつかの実施形態では、少なくとも１つのセキュアなコントローラおよび少なくとも１つの信頼されないコントローラは、相互から、電気的に隔離される。

いくつかの実施形態では、エンドポイントおよび加工機は、併置される。

本開示の非限定的かつ非網羅的な実施形態が、以下の図を参照して説明され、別様に規定されない限り、種々の視点を通して、同様の参照数字は、同様の部品を指す。

図１は、一実施形態による、デジタル製造の信頼されるエンドポイントのブロック図を描写する。

図２は、一実施形態による、信頼されるオンデマンド製造のための方法のフローチャートを描写する。

図３は、一実施形態による、エアギャップトラバースを有する、デジタル製造の信頼されるエンドポイントを描写する。

図４は、一実施形態による、デジタル製造トランザクションのための方法のフローチャートを描写する。

図５は、一実施形態による、デジタル製造の信頼されるエンドポイントにおける、ネットワーク接続された加工のブロック図を描写する。

種々の実施形態が、本明細書の一部を形成する、付随の図面を参照して、下記により完全に説明され、これは、具体的な例示的実施形態を示す。しかしながら、本開示の概念は、多くの異なる形態で実施され得、本明細書に述べられる実施形態に限定されるものとして、解釈されるべきではなく、むしろ、これらの実施形態は、当業者に、本開示の概念、技法、および実装の範囲を完全に伝達するために、徹底的かつ完全な開示の一部として提供される。実施形態は、方法、システム、またはデバイスとして実践されてもよい。故に、実施形態は、ハードウェア実装、完全なるソフトウェア実装、またはソフトウェアおよびハードウェアの側面を組み合わせた実装の形態をとり得る。したがって、以下の詳細な説明は、限定的な意味で捉えられるべきではない。

明細書における「一実施形態（ｏｎｅ ｅｍｂｏｄｉｍｅｎｔ）」または「ある実施形態（ａｎ ｅｍｂｏｄｉｍｅｎｔ）」の言及は、実施形態に関連して説明される、特定の特徴、構造、または特性が、本開示による、少なくとも１つの例示的な実装または技法において含まれることを意味する。明細書内の種々の場所における、語句「一実施形態では（ｉｎ ｏｎｅ ｅｍｂｏｄｉｍｅｎｔ）」の表出は、必ずしも、同一の実施形態を全て参照するとは限らない。

さらに、明細書内で使用される用語は、主に、可読性および指導的目的のために選択されており、開示された主題を正確に説明する、または境界線を引くために選択されたものではあり得ない。故に、本開示は、本明細書に議論される概念の範囲に関して、例示的かつ非限定的であることが意図される。

本明細書内の実施形態は、セキュアなおよび／またはトランザクション上のデジタル製造、デジタル製造データ要素の取扱、および信頼性が低い、または信頼されない機器上で実施され、ユーザが機器を動作させる際に、最小限の信頼を要求する、製造および動作に、強固な信頼、方針、制御、およびトレーサビリティを拡張させることに関連する、デバイス、ハードウェア、システム、方法、プロトコル、および他の発明を対象とする。セキュリティ用語では、実施形態は、データファイルのデータプライバシ（ＩＮＦＯＳＥＣ）ならびに真正性および完全性を確実にするための手段を実装する。いくつかの実施形態は、信頼されるオンデマンド製造のための方法およびデバイスを対象とする。

図１は、一実施形態による、デジタル製造の信頼されるエンドポイント１００のブロック図を描写する。いくつかの実施形態では、エンドポイント１００は、信頼されるエンドポイントであってもよい。いくつかの実施形態では、エンドポイント１００は、ＤＭエンドポイントであってもよい。

いくつかの実施形態では、ある方法は、ＤＭデータソース（ＤＭＤＳ）１１０から、ＤＭ機器まで信頼を拡張させる。いくつかの実施形態では、機器は、エンドポイント１００を構成してもよく、本明細書では、デジタル製造の信頼されるエンドポイント（ＤＭＴＥ）１０５と称される。いくつかの実施形態では、ＤＭＴＥ１０５は、ＤＭＤＳ１１０とＤＭＴＥ１０５との間のセキュアな、双方向性の、トランザクションの通信を含む、ＤＭ加工トランザクションを可能にする。ＤＭＴＥ１０５は、ＤＭ加工トランザクションのための２つの方法、すなわち、ネットワーク接続される方法（すなわち、ＤＭＤＳ１１０とＤＭＴＥ１０５との間に、ネットワーク接続性が存在する）、およびエアギャップされる方法（すなわち、ネットワーク接続されていない）を促進する。いくつかの実施形態では、ＤＭＤＳ１１０からＤＭＴＥ１０５へ、および逆も同様に、データを運搬する本方法は、（図３および５により詳細に示される）これらの方法の間の唯一の本質的差異である。

いくつかの実施形態では、用語「ＤＭＤＳ１１０」は、記憶、管理、集約、販売、または別様にＤＭデータを提供するように構成される、システムまたはサービスを指し得る。いくつかの実施形態では、ＤＭＴＥ１０５は、例えば、組織内の単一のＤＭＤＳ１１０と関連付けられてもよい。いくつかの実施形態では、ＤＭＴＥ１０５は、複数のＤＭＤＳ１１０と関連付けられてもよい。

いくつかの実施形態では、ＤＭＤＳ１１０（または、そのコンポーネントおよび／または補助的なサービス）は、ユーザが、とりわけ、ＤＭＴＥ１０５を介して、ＤＭ機械１２０において、アイテムの加工を要求することを可能にする、ウェブポータルおよびタッチスクリーン等のユーザインターフェース（図示せず）を備えてもよい。いくつかの実施形態では、ＤＭＤＳ１１０は、ＤＭ加工トランザクションに関与する、デジタル製造のトランザクション管理機（ＤＭＴＭ）を備え、いくつかの実施形態では、ネットワーク接続されたＤＭＴＥ１０５と通信するコンポーネントである、コントローラ１２５を含有する、またはそれと通信する。いくつかの実施形態では、ＤＭＤＳ１１０はまた、例えば、加工のためのサードパーティデータ要素を取得するために、外部（非ローカル）ＤＭデータソースにインターフェースで接続する、またはそれと通信してもよい。いくつかの実施形態では、コントローラ１２５は、ＤＭＴＥ１０５の外部に存在し、ＤＭＤＳ１１０から分離されてもよい。いくつかの実施形態では、コントローラ１２５は、ＤＭＤＳ１１０の部品である。

いくつかの実施形態は、ＤＭＤＳ１１０とＤＭＴＥ１０５との間の信頼を確立および照合するための一次機構として、強固な暗号技術を使用する。本明細書における開示目的のために、公開キー暗号技術および公開キー基盤（ＰＫＩ）用語が、論理的暗号化動作を説明するために使用されるであろう。当業者によって理解されるであろうように、実施形態は、任意の特定の暗号システムまたはその実施形態に依存しないため、同等またはより強固な保証を提供する、任意の暗号システムが、使用されてもよい。いくつかの実施形態では、ＰＫＩにおける、信頼の究極のソース（信頼チェーンの起点）は、ルート証明局のセットである。いくつかの実施形態では、一般性の喪失を伴うことなく、少なくとも所与の管理ドメイン内で、ＤＭＤＳ１１０およびＤＭＴＥ１０５が、証明証、および相互のルート証明局（または同等物）によって署名または発行された他の資料を信頼するように構成されると仮定され得る。

（ネットワーク接続される、およびエアギャップされる）両方の方法は、以下の事象の非規範的論理的シーケンスを含み、そのうちのいくつかは、随意であってもよく、そのうちのいくつかは、いくつかの実施形態による実行順序に依存する場合とそうではない場合がある。

いくつかの実施形態では、ＤＭＴＥ１０５は、接続されたＤＭ機械１２０から、隔離障壁１３５と電気的に隔離されているか、またはガルバニック隔離されているかのうちの少なくとも１つである、信頼されるコンピュータプラットフォーム１３０を備えてもよい。当業者によって理解されるであろうように、いくつかの実施形態では、電気的またはガルバニック隔離障壁が、例えば、光遮断器、誘導結合、結合変成器、または他の方法もしくはコンポーネントを使用して、実装されてもよい。いくつかの実施形態では、ＤＭＴＥ１０５は、「信頼される側」１３０と、「信頼されない側」１４０とを備えてもよい。いくつかの実施形態では、信頼される側１３０は、隔離障壁を用いて、信頼されない側１４０から隔離される。いくつかの実施形態では、信頼される側１３０上の少なくとも１つのコントローラ１２７は、信頼されない側１４０上の少なくとも１つのコントローラ１５０から、隔離障壁を用いて、電気的に隔離される。いくつかの実施形態では、信頼される側１３０上のセキュアなコントローラ１２７は、ユーザによって修正不可能であるように構成される。いくつかの実施形態では、信頼されない側１４０上の非セキュアなコントローラ１５０は、ユーザによって修正可能であるように構成される。

信頼される側１３０上のコンピュータ要素は、マイクロプロセッサまたはフィールドプログラマブルゲートアレイ（ＦＰＧＡ）等、セキュアなコントローラ１２７と信頼されないコントローラ１５０との間の通信を介して、ＤＭ機械１２０と通信する１４５。いくつかの実施形態では、本配列は、データと、例えば、ＤＭ機械１２０が、信頼されない側１４０を「突破」しないように阻止する、制御経路との隔離を提供する。

いくつかの実施形態では、ＤＭＴＥ１０５は、独立型内蔵埋設システムまたは埋設デバイスであってもよい。ＤＭＴＥ１０５は、少なくとも２つの部品、すなわち、信頼される側１３０と、信頼されない側１４０とを備えてもよい。いくつかの実施形態では、信頼される側１３０は、セキュアなコントローラ１２７、暗号キー記憶装置１７３、および永続性ローカル記憶装置１５２等、ＤＭパッケージと、ユーザインターフェース１８９と、信頼されるコンピュータリソースとを搭載するための少なくとも１つのインターフェース１８３を備えてもよい。

いくつかの実施形態では、少なくとも１つの外部ＤＭ機械１２０に接続されるように構成される、インターフェースを伴う、信頼されない側１４０は、信頼される側１３０で、ＦＰＧＡまたはマイクロコントローラ等のセキュアなコントローラ１２７と通信するように構成される、マイクロコントローラまたはＦＰＧＡ等、隔離障壁および信頼されないコントローラ１５０を通して、信頼される側１３０と通信１４５してもよい。いくつかの実施形態では、セキュアなコントローラ１２７は、広域ネットワーク（ＷＡＮ）またはローカルエリアネットワーク（ＬＡＮ）への接続のために構成されてもよい。いくつかの実施形態では、信頼されないコントローラ１５０は、ローカル通信のために構成されてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、最大で１つのＤＭ機械１２０に接続された状態をサポートしてもよい。いくつかの実施形態では、ＤＭＴＥ１０５とＤＭ機械１２０との間には、１対１の関連性がある。いくつかの実施形態では、ＤＭＴＥ１０５は、信頼されない側１４０にリンクされる、ＤＭＴＥの外部の信頼されない側のインターフェースのうちの１つのまたはそれを上回るものをサポートする、任意ＤＭ機械１２０に接続され、それを動作させるように構成されてもよい。いくつかの実施形態では、本接続は、ＤＭＴＥ１０５の物理的ハードウェア、またはＤＭＴＥ１０５の信頼される側１３０のファームウェア１３８もしくはソフトウェアに、任意の修正を要求する場合がある。いくつかの実施形態では、本接続は、ＤＭ機械１２０のハードウェア、ソフトウェア、および／または構成に、任意の修正を要求しない場合もある。

いくつかの実施形態では、信頼されるコンピュータプラットフォーム１３０は、信頼されないコンピュータプラットフォーム１４０からの隔離障壁１３５を用いて、電気的に隔離されているか、またはガルバニック隔離されているかのうちの少なくとも１つである。いくつかの実施形態では、信頼されないコンピュータプラットフォーム１４０上の接続が、アース参照型であり得るため、信頼されるコンピュータプラットフォーム１３０は、接地に対して浮動したままであり得る。いくつかの実施形態では、隔離障壁１３５の隔離耐電圧は、少なくとも５ｋＶであり得る。

いくつかの実施形態では、信頼されるコンピュータプラットフォーム１３０と信頼されないコンピュータプラットフォーム１４０との間の通信は、アプリケーションレベルのデータを交換することのみ可能である、低電圧作動信号（ＬＶＤＳ）等の低レベルシリアルまたはパラレルインターフェースを使用してもよい。本インターフェースは、隔離されたデータチャネル（ＩＤＣ）１６０であってもよく、デュプレックスおよび／またはハーフデュプレックス動作をサポートするように構成されてもよい。

いくつかの実施形態では、ＩＤＣは、信頼されないコンピュータプラットフォーム１４０が、信頼されるコンピュータプラットフォーム１３０上のメモリ、記憶、制御機能にアクセスすることを阻止する。いくつかの実施形態では、ＩＤＣは、信頼されないコンピュータプラットフォーム１４０へ、またはそれから、ネットワークトラフィックをブリッジまたは伝達するために使用されない。

いくつかの実施形態では、他の電気的またはガルバニック隔離論理レベル信号が、信頼される側１３０および信頼されない側１４０のコントローラ１２７と１５０との間で通過され得るが、隔離障壁１３５を横断して、外部ＤＭ機械または外部信頼されない側１４０のインターフェースからの信号を決して連結しない。

いくつかの実施形態は、信頼されない側１４０を囲繞する、無線周波数／電磁波干渉（ＲＦ／ＥＭＩ）遮蔽を使用してもよく、信頼される側１３０およびＤＭＴＥ１０５の外側に対して、放射妨害波に対する隔離を提供する。いくつかの実施形態では、そのような隔離は、少なくとも８０ｄＢｍである。いくつかの実施形態は、例えば、信頼される側１３０、電源等の周囲に、付加的なＲＦ／ＥＭＩ遮蔽を使用してもよい。いくつかの実施形態は、接地接続の存在を仮定しない。

いくつかの実施形態では、ＤＭＴＥは、最低限、全てのキー材料および揮発性メモリを保護する、耐タンパ性１７０のうちの少なくとも１つの形態を使用してもよい。いくつかの実施形態では、隔離障壁１３５は、（外部インターフェースを除く）ＤＭＴＥ１０５の信頼される側１３０および信頼されない側１４０の両方を含む、またはそれを包囲するように構成されてもよい。

いくつかの実施形態では、ＤＭＤＳ－ＤＭＴＥ通信、ＤＭＴＥ ＰＫＩおよびキー管理、ＤＭパッケージ、ならびにＤＭ加工受領書に対する、プロトコル、インターフェース、フォーマット、および意味論は、十分に定義および標準化される。

いくつかの実施形態では、ＤＭＴＥ１０５は、バッテリバックアップ付リアルタイムクロック（ＲＴＣ）または同等物（図示せず）を備えてもよい。いくつかの実施形態は、ＧＰＳ等のネットワークベースのクロック同期または他のクロック同期方法を使用してもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、例えば、プラグインカードまたはオプションモジュールとして、ＤＭ機械内に物理的に配設されてもよい。いくつかの実施形態では、そのような実施形態と「独立型」ＤＭＴＥとの間のいくつかの本質的差異は、ＤＭＴＥ自体、ならびにＤＭＴＥの信頼されない側の外部インターフェースのタイプおよびフォーマットの形成因子であり、ＤＭ機械は、依然として、信頼されないものとして処理され、下記に説明されるように、ユーザインターフェースを含む、ＤＭＴＥの信頼される側１３０のインターフェースは、ＤＭ機械１２０の外部にある。

いくつかの実施形態では、ＤＭＴＥは、少なくとも１つの信頼される側の外部インターフェースを備えてもよい。いくつかの実施形態では、信頼される側１３０に接続されている外部インターフェースは全て、そのようなものとして、明確に印を付けられ得、信頼されない側の外部インターフェース１８０から十分に離れて、位置されてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、信頼される側１３０に接続され、標準ＲＪ－４５ジャックを介してエクスポーズされる、少なくとも１つの１０／１００／１，０００ベースＴイーサネット（登録商標）インターフェース１８１を備えてもよい。いくつかの実施形態では、イーサネット（登録商標）インターフェース１８１は、自動デュプレックス、自動ＭＤＩ／ＭＤＸ、および自動ネゴシエーションをサポートし得る。

いくつかの実施形態では、ＤＭＴＥ１０５は、内蔵型の信頼される側のＤＶＤ／ＣＤ ＲＯＭドライブ、または他の光学もしくは磁気記憶リムーバブル媒体ドライブ等のリムーバブル媒体１８３を含んでもよい。いくつかの実施形態では、本ドライブは、特別な訓練を伴うことなく、現場交換可能であってもよく、ドライブの交換は、耐タンパ性機構を起動またはトリガしない。

いくつかの実施形態では、ＤＭＴＥ１０５は、非ＵＳＢである、フラッシュメモリリムーバブル媒体１８３（例えば、ＳＤカード、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）等）のうちの１つまたはそれを上回るタイプのための、信頼される側である、外部にアクセス可能な読取機（「フラッシュカード読取機」）を含んでもよい。フラッシュカード読取機を含む、いくつかの実施形態では、実施形態は、（例えば、書込有効性を永久的にデアサートすることによって）そのような媒体に書込がなされ得ないことを保証するための手段を講じてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、キーボードおよびマウスＨＩＤデバイスとともに使用するために、ハードウェア内で制限され、全ての他のデバイスプロファイル／タイプが（ハードウェア内で）永久的に無効にされている、信頼される側である、外部にアクセス可能なＵＳＢホストポート（図示せず）を含んでもよい。いくつかの実施形態では、外部キーボードおよび／またはマウスの使用は、いくつかの実施形態では、通常の動作に対して要求されない。

いくつかの実施形態では、ＤＭＴＥ１０５は、典型的には、１，０２４×７６８よりも優れた、またはそれと同等の分解能を伴い、幅および高さが６インチ以上である、ディスプレイを有してもよい。いくつかの実施形態では、本ディスプレイは、信頼される側のＶＧＡ、ＤＶＩ、ＨＤＭＩ（登録商標）、ＤｉｓｐｌａｙＰｏｒｔ、または他のディスプレイ出力インターフェース１８９をエクスポーズすることによって、実装される。いくつかの実施形態では、本ディスプレイは、埋設ディスプレイとして実装される。いくつかの実施形態では、本埋設ディスプレイは、ＩＰ６５定格（環境定格）、またはそれよりも高い。いくつかの実施形態では、本埋設ディスプレイは、特別な訓練を伴うことなく、現場交換可能であり、埋設ディスプレイの交換は、耐タンパ性機構を起動またはトリガしない。

いくつかの実施形態では、ＤＭＴＥ１０５は、ユーザインターフェース１８９において、埋設ディスプレイ（該当する場合）の外周上に位置する、タッチスクリーンおよび／またはソフトキーを備える、ユーザ入力機構を含んでもよい。いくつかの実施形態では、ソフトキーが実装される場合、最低４つのソフトキーが、ディスプレイの各縁（左、右、上、および下）に隣接して位置する。いくつかの実施形態では、埋設タッチスクリーンは、埋設ディスプレイに対する他の要件に準拠しなければならない。

いくつかの実施形態では、ＤＭＴＥ１０５は、必要に応じて、信頼される側に結合される、他のボタン、スイッチ、ライト、アナンシエータ、汎用入力／出力（ＧＰＩＯ）等を含んでもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、スマートカード等の物理的認証トークンのための読取機（図示せず）を備えてもよく、これらの実施形態では、ＤＭＴＥは、信頼される側の内蔵型読取機を含む、または専用の信頼される側のコネクタ／インターフェース（図示せず）を介して、ＤＭＴＥ１０５に直接接続される、外部読取機のための設備を含む。

セキュリティのために、ＤＭＴＥ１０５は、シリアル、ＪＴＡＧ、プログラミング、またはＤＭＴＥのハードウェア、ファームウェアの直接的な制御または修正の他の手段、および／またはタンパ検出境界の外側からのソフトウェアをエクスポーズしない（すなわち、そのようなインターフェースにアクセスすることは、タンパ検出をトリガするであろう）。いくつかの実施形態では、ＤＭＴＥ１０５は、該インターフェースの使用が、ＤＭＴＥの信頼されるプラットフォームモジュール（ＴＰＭ）１７３が、権限ソースであり得る、強固な認証を要求する場合、およびそのような場合に限り、同等のまたは類似する機能を実施するために、区別された専用の外部の信頼される側のインターフェース（図示せず）をエクスポーズするように構成されてもよい。

信頼される側１３０は、ＴＰＭ１７３または同等物等のセキュリティシステムを備えてもよい。いくつかの実施形態では、ＴＰＭは、セキュアにキー材料を記憶すること、キー材料を生成すること等の「鍵束」機能に関与し、必要に応じて、あるシステム構成情報等の他の情報の記憶をセキュアにし得る。いくつかの実施形態では、機密構成、ファームウェアのアップグレード等のＤＭＴＥ１０５上の特権動作は、ＴＰＭ１７３または同等物に認証を要求する。いくつかの実施形態では、ＴＰＭ１７３は、信頼される側のプロセッサ１２７内に統合されてもよい。いくつかの実施形態では、ＴＰＭ１７３は、信頼される側のプロセッサ１２７とは明確に異なる、１つまたはそれを上回るコンポーネントを備えてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、それぞれ、グローバル一意識別子である、そのＤＭＴＥ ＩＤを割り当てられる。ＤＭＴＥ ＩＤは、個別のＤＭＴＥの対応する公開キー、証明証、または同等物を検索するために、外部システムによって使用されることができる。ＤＭＴＥ１０５は、それぞれ、ローカルで入手可能な情報のみを使用して、（すなわち、外部リソースを閲覧することなく）それに提示される、デジタル署名、証明証等を検証する能力を有する。いくつかの実施形態では、ＤＭＴＥファームウェアは、デジタル署名されるように構成される。ＤＭＴＥ１０５は、それらが、署名されていないファームウェア、無効な署名を伴うファームウェア、または信頼されるエンティティによって署名されていないファームウェアを実行またはインストールしないように設計されてもよい。

ＤＭＴＥ１０５の信頼される側は、永続性記憶装置として使用されることになる、高信頼性フラッシュ／ソリッドステートメモリ（または同等物）１５２を備えてもよい。いくつかの実施形態では、本永続性記憶装置の容量は、少なくとも３２ＧＢである。いくつかの実施形態では、本記憶装置のコンテンツは、装置設置時に暗号化される。いくつかの実施形態では、暗号化と関連付けられるキー材料は、ＴＰＭ１７３内に含有される、またはそれによって管理される。

いくつかの実施形態では、ファームウェア、プログラマブルハードウェア、ハードウェア、ソフトウェア、ソースコード等を含む、ＤＭＴＥ１０５の信頼されないおよび信頼される側１４０、１３０の全体が、ハードウェアおよびソフトウェアセキュリティのための１つまたはそれを上回る業界および／または政府規格によって、監査、吟味、および証明されてもよい。

いくつかの実施形態では、いくつかのＤＭＴＥ１０５の実施形態は、任意の接続されたＤＭ機器１２０が、信頼されず、敵である可能性があると仮定してもよい。ＤＭＴＥ１０５のハードウェアおよびソフトウェアは、電気的誤動作等の信頼されない側１４０の挙動が、ＤＭＴＥ１０５自体にサービスの喪失または拒否を引き起こし得る範囲を除いて、攻撃者または敵が、データの制御を獲得する、それにアクセスする、もしくはそれを修正する、または別様に信頼されない側１４０から、ＤＭＴＥ１０５の信頼される側を危険に曝すことができないように設計される。当業者によって理解されるであろうように、サイバセキュリティの文脈において、名詞「攻撃者」および「敵」は、人間、組織、機械、または他の自動装置を含むように広く解釈される。

いくつかの実施形態では、信頼される側１３０は、信頼されない側１４０のファームウェア（または再プログラマブル論理）を再起動、リセット、およびリフラッシュ／リロードする能力を有する。

いくつかの実施形態では、信頼されない側１４０は、信頼されない側１４０によって書込可能である、および／または信頼される側１３０によって、強制的にかつ確実に消去または上書きされることができない任意の非揮発性メモリまたは永続性記憶装置を含有しない。

いくつかの実施形態では、ＤＭＴＥ１０５および取り付けられたＤＭ機械１２０の信頼されない側１４０における、信頼の唯一のアサーションは、信頼されない側１４０に、信頼される側１３０によって送信される、ＤＭ命令、構成、およびコマンドが、ＤＭ機械１２０に忠実に伝達されることと、ＤＭ機械１２０が、該命令、構成、およびコマンドを忠実に適用し、正確に実行し、情報クエリ（例えば、ジョブの進捗、ファームウェアのバージョン、搭載される材料等）に応答して、真実の情報／フィードバックを提供するであろうということと、信頼されない側１４０が、信頼される側１３０に、該情報／フィードバックを忠実に伝達するであろうということとである。本アサーションを充足することができない任意のＤＭ機械１２０は、任意の形態の信頼可能な加工を要求または期待する、任意のアプリケーションに対して使用不可能であり得る。

加工される部品の検証等の方針の施行および制御のある側面は、ＤＭＴＥ１０５と相互作用する、認可されたユーザ（本明細書内では「操作者」とも称される）が、信頼でき、善意を持って行動していると仮定し得る。すなわち、その正確性または誠実性が、ユーザ入力に依拠する、方針または施行または制御の任意の側面は、暗示的に、ユーザが、信頼でき、善意を持って行動していることを前提条件としなければならない。いくつかの実施形態では、自動化された品質制御または検査が、操作者の信頼性への依拠を低減させるために、活用されてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、ＤＭ機械１２０が機能するために要求され、（ＤＭＤＳ１１０によってセキュアに提供された）ＤＭパッケージ内の方針／制御メタデータが、そのようなアップロードまたは複製を明示的に許可しない限り、決して、ＤＭデータソース１１０から、ＤＭ機械１２０上の永続性記憶装置へ、ＤＭデータをアップロードまたは複製しない。

いくつかの実施形態では、ＤＭＴＥ１０５は、信頼される側の永続性ローカル記憶装置１５２上に、暗号化されたＤＭパッケージ（またはその部品）を記憶する。いくつかの実施形態では、信頼される側の永続性ローカル記憶装置１５２上に記憶された任意のデータは、トランザクションのクローズに応じて、永久的に削除されてもよい。

いくつかの実施形態では、（具体的なメタデータ以外の）暗号化されていないＤＭパッケージコンテンツは、決して、永続性記憶装置１５２に書き込まれない。いくつかの実施形態では、そのようなコンテンツは、トランザクションの終了に応じて、永久的に消去または上書きされることが保証される条件の下、揮発性メモリ内に記憶されてもよい。

いくつかの実施形態では、ＤＭＴＥは、完了されたトランザクションのための受領書を生成してもよい。いくつかの実施形態では、受領書は、加工された部品（数量、品質制御データ等）、操作者（ユーザ）、および／または方針、制御、および／または契約保証を充足させるために要求されるような他の情報に関連する情報を含んでもよい。いくつかの実施形態では、受領書は、暗号化されたコンテンツを含んでもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、それぞれ、最小限の時間周期、典型的には、少なくとも１８０日にわたって、永続性記憶装置１５２内に、デジタル署名された受領書を記憶するように構成される。本時間の間、認可されたユーザは、発行された受領書を読み出し、閲覧し、必要に応じて、それらをＤＭＤＳ１１０または他の認可された送り先にアップロードすることができる。

いくつかの実施形態では、ＤＭＴＥ１０５は、トランシーバが、他のコンポーネント（例えば、システムオンチップ集積回路）内に不可避的に埋設され、全ての無線周波数（ＲＦ）入力および出力が、信号用接地に永久的に結着し、タンパ検出境界１７０内に完全に含有されていない限り、そのような統合型無線トランシーバ（例えば、８０２．１１またはＢｌｕｅｔｏｏｔｈ（登録商標））を含有しなくてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、ＤＭ機械１２０を接続するための信頼されない側の外部インターフェース１８０を含む。いくつかの実施形態では、信頼されない側１４０に接続される、外部インターフェース１８０は、そのようなものとして、明確に印を付けられ得、信頼されない側の外部インターフェース（例えば、１８９）から十分に離れて、位置されてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、信頼されない側である、２ワイヤまたは４ワイヤＲＳ２３２シリアルインターフェース１８２を有してもよく、本インターフェース１８２は、９ピンＤスタイルコネクタ（図示せず）を介してエクスポーズされ得る。いくつかの実施形態では、ＤＭＴＥ１０５は、信頼されない側である、４ワイヤＲＳ４８５シリアルインターフェース１８２を有してもよい。いくつかの実施形態では、実装される場合、ＲＳ４８５インターフェース１８２は、２ワイヤ（ハーフデュプレックス）および４ワイヤ（フルデュプレックス）モードにおける動作を行い得る。

ＤＭＴＥ１０５は、ＲＪ－４５ジャックを介してエクスポーズされる、信頼されない側である、１０／１００ベースＴイーサネット（登録商標）インターフェース１２９を有してもよい。いくつかの実施形態では、本インターフェース１２９は、速度、ＭＤＩ／ＭＤＸ、およびデュプレックスの自動ネゴシエーションをサポートするように構成される。いくつかの実施形態では、本インターフェース１２９は、信頼される側のイーサネット（登録商標）１８１または他の信頼される側のネットワークインターフェース内に、接続される、ブリッジされる、または別様に関連付けられない場合がある。いくつかの実施形態は、随意に、１，０００ベースＴイーサネット（登録商標）をサポートする。

いくつかの実施形態では、ＤＭＴＥ１０５は、タイプＡまたはタイプＣメス型ジャック（図示せず）を介して露出される、信頼されない側のＵＳＢ２．０（またはそれ以降の）ホストインターフェース１３１を有してもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、タイプＢまたはタイプＣメス型ジャック（図示せず）を介して露出される、信頼されない側のＵＳＢ２．０（またはそれ以降の）デバイスインターフェース１３１を含んでもよい。いくつかの実施形態では、ＵＳＢホストインターフェースの実装はまた、デバイスモード動作を可能にし得る、またはそのために再構成され得、その場合、ホストモードおよびデバイスモードの両方に対して、同一のインターフェースが、使用されてもよい。

いくつかの実施形態では、ＤＭＴＥ１０５は、少なくとも４つの、信頼されない側である、シングルエンド汎用入力／出力（ＧＰＩＯ）１３７論理レベル接続部を備えてもよく、含まれる場合、本インターフェースは、典型的には、個別の論理レベル接地（０Ｖ）に接続される第５のピンを用いて、５端子Ｐｈｏｅｎｉｘスタイル端子台（または同等物）を介して露出される。

図２は、一実施形態による、信頼されるオンデマンド製造２００のための方法のフローチャートを描写する。

いくつかの実施形態では、ユーザは、ＤＭＴＥによって制御される、特定のＤＭ機械上で、具体的なアイテムの加工を要求する（ステップ２１０）。いくつかの実施形態では、本要求は、製造されるアイテムの材料、数量等のあるパラメータを規定してもよい。本要求が、ＤＭＴＥ内のパラメータセットに従って許可される場合、新しいＤＭトランザクションが、開始される。いくつかの実施形態では、本要求は、武器を製造する方法等、ＤＭＴＥ内のパラメータセットに従って許可されない場合もある。そのような場合では、ＤＭＴＥが、その要求を許容できない要求として認識する場合、ＤＭトランザクション要求は、終了させられるであろう。

いくつかの実施形態では、要求が許可された後、ＤＭＤＳは、ＤＭ機械上で、加工されることになる具体的なアイテムのためのＤＭパッケージを組み立てる（ステップ２２０）。いくつかの実施形態では、ＤＭパッケージは、Ｇコード等の加工命令、ならびに機械構成、最大数量等の制御／方針アサーションを含んでもよい。

いくつかの実施形態では、ＤＭＤＳは、その署名証明証（または同等物）を用いて、ＤＭパッケージにデジタル署名する（ステップ２３０）。いくつかの実施形態では、本署名は、ＤＭパッケージが、具体的なＤＭＤＳから生じているというアサーションである。

いくつかの実施形態では、ＤＭＤＳは、ＤＭパッケージを暗号化する（ステップ２４０）。いくつかの実施形態では、本暗号化は、ＤＭパッケージのコンテンツにわたって、データプライバシを確保するために使用されてもよい。いくつかの実施形態では、ＤＭＤＳは、ＤＭＴＥの公開キー（または同等物）を使用して、ＤＭパッケージのうちの少なくとも１つ、またはその中の署名されたコンテンツを暗号化してもよい。いくつかの実施形態では、ＤＭＤＳは、ＤＭパッケージを暗号化しない場合もある。

いくつかの実施形態では、ＤＭパッケージは、ＤＭＴＥに運搬され、随意に、ＤＭパッケージは、暗号を解読され、照合される（ステップ２５０）。いくつかの実施形態では、ＤＭＴＥは、ＤＭパッケージのデジタル署名、および任意の署名されたコンテンツのデジタル署名を照合してもよい。いくつかの実施形態では、暗号解読または署名照合のうちの少なくとも１つが、失敗した（ステップ２６５）場合、要求失敗を示す受領書が、生成され、ＤＭＤＳに運搬されて、戻される（ステップ２７０）。

いくつかの実施形態では、暗号解読および署名照合の成功（ステップ２５５）に応じて、ＤＭＴＥは、具体的なアイテムの加工を開始し（ステップ２６０）得る。いくつかの実施形態では、ＤＭＴＥは、操作者（ユーザ）と協働して、加工を開始してもよい。

いくつかの実施形態では、具体的なアイテムの加工された事例は、それぞれ、照合され、ＤＭＴＥは、照合が合格されたかどうかにかかわらず、記録する（ステップ２８０）。

ＤＭパッケージ内に規定された数量が、使い尽くされたとき（具体的なアイテムの照合かつ合格された事例）、またはＤＭパッケージの加工を終了するという操作者の要求に応じて、またはＤＭパッケージの他の終了に応じて、ＤＭＴＥは、ＤＭパッケージの加工のための受領書を生成し、本受領書は、ＤＭＤＳに運搬されて、戻される（ステップ２９０）。

ＤＭパッケージのための有効な受領書の受信に応じて、ＤＭＤＳは、トランザクションを完了およびクローズする（ステップ２９５）。

図３は、一実施形態３００による、エアギャップトラバース３１０を有する、ＤＭＴＥ３０５を描写する。いくつかの実施形態では、ＤＭＴＥ３０５およびＤＭ機械３２０等の加工機は、併置されてもよい。

いくつかの実施形態では、署名および暗号化されたＤＭパッケージは、インターフェース３３０において、ユーザ３２５によって、ダウンロードされ、ＣＤ／ＤＶＤ ＲＯＭ等のリムーバブル媒体３３５に書き込まれ、エアギャップ３１０を横断して、ＤＭＴＥ３０５に運搬されてもよい。いくつかの実施形態では、ＤＭパッケージは、物理的に運搬されてもよい。いくつかの実施形態では、ＤＭＴＥ３０５は、ＤＭ機械３２０において、要求されたアイテムを加工後、エアギャップ３１０を横断して、物理的に運搬される、受領書３４５を生成してもよい。いくつかの実施形態では、ＤＭ機械は、３Ｄプリンタであってもよい。いくつかの実施形態では、受領書３４５は、ＱＲコード（登録商標）であってもよい。

いくつかの実施形態では、ＤＭＤＳ３５０によって組み立てられるＤＭパッケージは、それぞれ、グローバル一意トランザクション識別子を備えてもよい。いくつかの実施形態では、本識別子は、タイプ４ＵＵＩＤ（ＲＦＣ４１１２）の形態であってもよい。いくつかの実施形態では、本識別子は、１秒の精度を伴う、ＵＴＣタイムスタンプを備えてもよい。

いくつかの実施形態では、受領書３４５は、ＤＭＴＥ３０５によって、デジタル署名されてもよい。いくつかの実施形態では、受領書３４５内の値は、例えば、ＤＭＤＳの公開キーの下、ＤＭＴＥ３０５によって暗号化されてもよく、この場合では、受領書３４５上に、第２のデジタル署名もまた、含まれてもよい。いくつかの実施形態では、少なくとも１つの受領書３４５が、部分的または完全に暗号化されてもよい。いくつかの実施形態では、受領書３４５は、対応する暗号化されていないＤＭパッケージのトランザクション識別子ＵＵＩＤを含んでもよい。

いくつかの実施形態では、受領書３４５は、ＤＭＴＥ３０５上の永続性記憶装置３６０内に保持されてもよい。

いくつかの実施形態では、ＤＭパッケージの方針／制御メタデータによって、明示的に許可されない場合、ＤＭＴＥ３０５は、それに対して、ＤＭＴＥ３０５が受領書を発行した、任意のＤＭパッケージと整合する、トランザクション識別子ＵＵＩＤを有する、ＤＭパッケージを承認しないであろうし、当業者は、これをリプレーアタックに対する防御の形態として認識するであろう。

大部分の実施形態では、記憶された受領書３４５は、ＤＭＴＥ３０５と関連付けられるディスプレイ３７０上で、視認可能であってもよい。いくつかの実施形態では、ディスプレイ３７０は、ＤＭＴＥ３０５上に併置されてもよい。いくつかの実施形態では、記憶された受領書３４５は、ＱＲコード（登録商標）、ＰＤＦ４１７ ２Ｄバーコード、または他の機械可読グラフィックフォーマットのうちの少なくとも１つとして、視認可能であってもよい。いくつかの実施形態では、操作者は、同一フォーマットで、ハードコピーの受領書を印刷可能であってもよい。

いくつかの実施形態では、エアギャップされたトランザクションに対して、ＤＭＴＥ３０５は、そのディスプレイ３７０上で、受領書３４５を提示し、後続のエアギャップされたトランザクションの承認に先立って、ユーザ確認（すなわち、受領書が捕捉されたという確認）を要求する。ネットワーク接続されたトランザクションでは、受領書のデジタルコンテンツが、ＤＭＤＳ３５０に、ネットワークを経由して伝送される。いくつかの実施形態では、デジタルコンテンツは、英数字またはバイナリ形式で伝送されてもよい。

いくつかの実施形態では、ＤＭＤＳ３５０は、画像の形態（例えば、２Ｄバーコードのデジタル写真）で、受領書を受信する、ＡＰＩをエクスポーズしてもよい。いくつかの実施形態では、ＤＭＤＳ３５０は、バイナリまたは文字列の形態、例えば、受領書のデコード済コンテンツで、受領書を受信する、ＡＰＩをエクスポーズしてもよい。

いくつかの実施形態では、クロスプラットフォームモバイルアプリケーションが、ユーザにとって入手可能にされてもよく、それによって、デジタルカメラを伴うモバイルデバイスを使用して、ユーザは、受領書を写真に撮る、またはスキャンし、それをＤＭＤＳ３５０または他の認可されたシステムにアップロードすることができる。

いくつかの実施形態では、エアギャップされるトランザクション３００のために使用される、受領書３４５、または他の非機械－機械相互作用は、２Ｄバーコードのもの、画像、または同等物以外の形態をとり得る。例えば、受領書３４５は、ユーザが、書き換え、ＤＭＤＳ３５０に伝達する、文字列として提示されてもよい。いくつかの実施形態では、受領書３４５内のデータは、一方向様式で、ＤＭＴＥ３０５とＤＭＤＳ３５０との間の直接的な接続性を伴わずに（すなわち、エアギャップ３１０を横断して）、ＤＭＴＥ３０５からＤＭＤＳ３５０へセキュアに伝達され得る。

いくつかの実施形態では、ＤＭＴＥ３０５はさらに、プリンタ３８５、または信頼される側に接続される、印刷デバイスを備えてもよく、いくつかの実施形態では、プリンタ３８５は、ＤＭＴＥ３０５内に統合され、いくつかの実施形態では、プリンタ３８５は、ＤＭＴＥ３０５の外部に存在し、信頼される側で提供されるインターフェースに接続される。プリンタ３８５を有する実施形態では、プリンタ３８５は、エアギャップ３１０を横断した伝達のために、（紙の物理的な）受領書３４５を印刷するために使用されてもよい。いくつかの実施形態では、プリンタ３８５はさらに、検査結果等の他の情報のハードコピーを印刷するために使用される。

いくつかの実施形態では、ユーザが、エアギャップされた３１０トランザクションのために、受領書をＤＭＤＳ３５０に送信するとき、本送信は、リムーバブル媒体３３５およびそのコンテンツの任意の複製が、セキュアに破壊または消去されたことを確認する。いくつかの実施形態では、リムーバブル媒体３３５上に記憶されたＤＭパッケージは、強固に暗号化されてもよい。

いくつかの実施形態では、受領書３４５の発行に応じて、ＤＭＴＥ３０５は、（読取専用である、リムーバブル媒体を除く）ＤＭＴＥ３０５上の全てのローカル記憶装置３６０から、ＤＭパッケージおよびその任意のコンテンツ（該ＤＭパッケージのための受領書内に含有され得るようなコンテンツを除く）を永久的に消去してもよい。

いくつかの実施形態では、ＤＭＴＥ３０５は、複数の並列のＤＭトランザクション要求およびＤＭパッケージを受信し、待ち行列に入れる能力を有する。いくつかの実施形態では、待ち行列に入れるステップが、サポートされる場合、操作者は、インターフェース３３０、またはＤＭＴＥ３０５と関連付けられるユーザインターフェースを介して、複数の待ち行列に入れられたパッケージの間で、加工および／または切替または改変するべきＤＭパッケージを選択可能であり得る。本特徴は、いくつかの部品、例えば、アセンブリのコンポーネントが、順次加工されること、またはＤＭ機械３２０のタイムシェアリングを可能にする。

いくつかの実施形態では、エアギャップされたＤＭＴＥ３０５（すなわち、ネットワークを経由して、ＤＭＤＳ３５０と決して通信しないＤＭＴＥ）は、それらが、複数のＤＭＤＳ３５０からのＤＭ要求およびパッケージを承認することができるように構成されることが可能である。

いくつかの実施形態では、ＤＭＴＥ３０５は、認可された操作者（ユーザ）が、（例えば、試作、検査のため、または酌量すべき事情下で）リムーバブル媒体３３５上で記憶および配布される、その場限りの、非公認および／または署名されていないＤＭパッケージの加工を要求することができるように構成される。いくつかの実施形態では、そのような加工の間、ＤＭＴＥ３０５は、常に、その場限りの加工が進行中であることを示す、ディスプレイ３７０上のメッセージを目立つ形で表示する。そのような加工のための「トランザクション」が存在しない間は、ＤＭＴＥ３０５は、そのような加工のための受領書３４５を生成および記録してもよい。いくつかの実施形態では、「その場限りの」加工は、初期設定によって無効にされており、生産または開発環境においては、有効にされない。

いくつかの実施形態では、ＤＭＴＥ３０５のハードウェアは、媒体３３５が、読取専用様式でアクセスされることを確実にする、すなわち、ＤＭＴＥのハードウェアは、データが、媒体３３５に書込不可能であることを確実にし得る。

いくつかの実施形態では、リムーバブル媒体３３５は、フラッシュまたはＳＤカード等の非揮発性メモリモジュールである。これらの実施形態では、ハードウェアの読取専用保証は、個別の信頼される側の外部コネクタ上の「書込許可」ピン／接続部を物理的に接続解除することによって実装されることができる。いくつかの実施形態では、書込許可ピンは、クリップ留めされる、またはコネクタから完全に除去される。いくつかの実施形態では、これは、媒体が、エアギャップ３１０のＤＭＴＥ３０５側で書込されないことを保証しながら、ＤＭパッケージをＤＭＴＥ３０５に伝達するために、修正されていない非揮発性メモリモジュールの便利な使用および再使用を可能にする。

いくつかの実施形態では、媒体３３５は、機械可読メタデータファイル、機械可読ＤＭ機械構成ファイル、ＤＭ加工ファイル、機械可読および機械実行可能な検査もしくは試験仕様書ファイル、人間可読ドキュメントもしくはファイル、機械可読ＤＭ機械インターフェース定義ファイル、またはデジタル署名のうちの少なくとも１つ等のファイルおよびドキュメントを記憶するように構成される、コンテナを備えてもよい。いくつかの実施形態では、媒体３３５のコンテナは、デジタル署名されてもよい。いくつかの実施形態では、署名は、別個に記憶される、またはコンテナ内に設置されてもよい。いくつかの実施形態では、メタデータファイルは、コンテナのコンテンツおよび対応するＤＭレシピを説明する。いくつかの実施形態では、メタデータファイルはさらに、ＤＭ加工に先立って、その間、および／またはそれに続いて、講じられることになる具体的なアクションを規定してもよい。いくつかの実施形態では、メタデータファイルは、機械可読申告書、および方針、制御、または関連付けられるＤＭトランザクションに施行または適用されることになる他のルールのパラメータ化を含有する。

いくつかの実施形態では、メタデータファイルは、正確なＤＭ機械３２０、またはそれとレシピが互換性がある、ＤＭ機械の同値類を定義する。いくつかの実施形態では、正確なＤＭ機械３２０を定義するステップは、ＤＭ機械３２０のモデル、製造業者、ファームウェアの改定等を含み得る。いくつかの実施形態では、ＤＭ機械３２０は、任意の存在しているファイルをインターフェースで接続するように構成されてもよい。いくつかの実施形態では、ＤＭ機械３２０は、エンドポイントが、規定されたＤＭ機械３２０と通信するべき方法を定義してもよく、限定ではないが、データエンコーディング、タイミング、電気的／信号伝達方法、物理層プロトコル、アプリケーション層プロトコル、およびエラー処理意味論を含む。

いくつかの実施形態では、メタデータ、ＤＭ機械構成、ＤＭ加工ファイル、および該当する場合、ＤＭインターフェースファイルの結合は、具体的な材料（例えば、特定の金属合金粉末）からの具体的なＤＭ機械３２０上の具体的なアイテムの加工を完全に定義および制約してもよい。

いくつかの実施形態では、リムーバブル媒体３３５上のコンテナは、ＺＩＰまたはＴＡＲ等のアーカイブファイルである。いくつかの実施形態では、コンテナは、データ圧縮をサポートする。

いくつかの実施形態では、ＤＭレシピはさらに、そのコンテンツのうちの１つのまたはそれを上回るものの上に、デジタル署名を含有してもよい。いくつかの実施形態では、これらのデジタル署名は、個別のコンテンツの権限ソースまたは出所をアサートする。

いくつかの実施形態では、コンテンツのうちの１つのまたはそれを上回るものが、暗号化されてもよい。いくつかの実施形態では、メタデータはさらに、所与のレシピに対するＤＭトランザクションのために生成される、ＤＭ受領書の具体的なコンテンツのための仕様書を備える。

いくつかの実施形態では、各レシピが、特定の材料から作り出される、特定のＤＭ機械３２０上での加工に特有である、所与のアイテムのためのＤＭレシピが多く存在するであろう。

いくつかの実施形態では、ＤＭレシピは、検査、試験等に合格することを含め、レシピに従って加工されるアイテムが、高い信頼を伴って、予測可能かつ十分に特徴付けられた機械的、寸法的、材料的、美的、および／または他の性質を有するであろうように、開発、検証、および証明される。いくつかの実施形態では、これらの性質は、アイテムが加工される場所および時間に対して不変であり得る。いくつかの実施形態では、これらの性質は、所与の材料のための複数の（タイプの）ＤＭ機械の中で、不変である。

いくつかの実施形態では、レシピを備えるファイルのうちの２つまたはそれを上回るものは、単一のファイルの中に組み込まれる、および／または１つの論理的ファイルは、複数の別個のファイルに分割され得る。

いくつかの実施形態は、ＤＭパッケージの方法、機構、プロトコル、およびシステムコンポーネントを備えてもよい。いくつかの実施形態では、ＤＭパッケージは、ＤＭトランザクション識別子（ＩＤ）、および１つのまたはそれを上回るデジタル署名を含む、コンテナ、ＤＭレシピ、少なくとも１つの機械可読メタデータファイル、ＤＭトランザクションメタデータを備えてもよい。いくつかの実施形態では、ＤＭレシピ、メタデータファイル、およびＤＭトランザクションメタデータは、コンテナ内に含有され、デジタル署名されてもよい。いくつかの実施形態では、署名は、別個に記憶される、またはコンテナ内に設置されてもよい。いくつかの実施形態では、メタデータファイルは、コンテナのコンテンツを完全に説明する。

いくつかの実施形態では、メタデータファイルおよびＤＭトランザクションメタデータ、またはその結合したものは、対応するＤＭトランザクションを実行するように意図される、エンドポイントまたは複数のエンドポイントを識別する。いくつかの実施形態では、ＤＭトランザクションメタデータは、機械可読申告書、およびトランザクションに施行または適用されることになる方針、制御、または他のルールのパラメータ化を含有する。いくつかの実施形態では、申告書およびパラメータ化は、ＤＭレシピ内で規定され得るものに追加されてもよい。

いくつかの実施形態では、コンテナは、ＺＩＰまたはＴＡＲ等のアーカイブファイルである。いくつかの実施形態では、コンテナは、データ圧縮をサポートする。いくつかの実施形態では、ＤＭパッケージはさらに、そのコンテンツのうちの１つのまたはそれを上回るものの上に、デジタル署名を含有してもよい。いくつかの実施形態では、これらのデジタル署名は、個別のコンテンツの権限ソースまたは出所をアサートする。いくつかの実施形態では、ＤＭパッケージ内の署名されたデータはまた、暗号化されてもよい。

いくつかの実施形態では、ＤＭパッケージは、ＣＤ／ＤＶＤ ＲＯＭまたはリムーバブル記憶デバイス等のリムーバブルデジタル媒体３３５を介して、加工環境に伝達される。いくつかの実施形態では、ＤＭパッケージは、コンピュータネットワークを介して、加工環境に伝達される。ＤＭパッケージがＤＭＴＥ３０５に伝達されることになる実施形態では、ＤＭパッケージは、特定のＤＭＴＥ３０５によって目的を果たされる、特定のＤＭ機械３２０上の特定のアイテムのためのＤＭトランザクション要求を満たすために必要なメタデータ、ＤＭレシピ、およびファイルのセットを備える。いくつかの実施形態では、他の外部情報は、トランザクション要求を満たすために、ＤＭＴＥ３０５によって要求されない。

いくつかの実施形態では、ＤＭレシピは、全てのデータファイル、メタデータ、機械構成、ユーザ命令、アクション可能な検査もしくは承認要件、材料仕様書、および／または特定のＤＭ機械３２０上で、特定の材料から作り出される、所与のアイテムを加工するために要求される他の情報を含有する。いくつかの実施形態では、ＤＭレシピは、シリアルドライブ、ＵＳＢ、Ｐ２Ｐネットワーク、または当業者によって認識される、他の同等物のうちの少なくとも１つを用いて、ＤＭＴＥ３０５からＤＭ機械３２０へ伝送されてもよい３９５。

いくつかの実施形態では、施行される方針、制御、および／またはルールは、パッケージから加工され得る部品の数、その後パッケージが無効にされる（または加工され得ない）日時、加工された部品の配布情報、または検査を実施するユーザのための要件に関する限定を含む、

大部分の実施形態では、装置設置時および（通信回線上で）輸送中のＤＭパッケージファイルは、典型的には、ＤＭＴＥまたは受領者の公開キー（または同等物）の下で暗号化されてもよい。暗号を解読されたファイルは、個別のＤＭＤＳ３５０（データソースまたは権限ソース）によって、デジタル署名されてもよく、そのコンテンツは、その個別の権限ソースによって、（個々にまたは別々に）デジタル署名されてもよい。

ＤＭＴＥの信頼されない側が、ＦＰＧＡまたはマイクロコントローラ等のプログラマブル論理デバイスを備える、いくつかの実施形態では、レシピはさらに、信頼されない側をプログラミングするために使用されることになる、１つのまたはそれを上回るファームウェア／ビットストリームファイルを備えてもよく、これは、本システムが、ＤＭＴＥ自体を修正することなく、データ駆動様式で、新しいＤＭ機械のためのサポートを追加することを可能にし、それはまた、レシピから加工されるアイテムが、それぞれ、同一のインターフェース論理／ファームウェアを使用して加工される、レシピも強化する。

図４は、一実施形態による、デジタル製造トランザクション４００のための方法のフローチャートを描写する。いくつかの実施形態では、ＤＭ加工トランザクションは、ＤＭトランザクション管理機（ＤＭＴＭ）によって実装される。いくつかの実施形態では、ＤＭＴＭは、ＤＭＤＳまたは包囲するシステムのコンポーネントである。

いくつかの実施形態では、ユーザ要求が、ＤＭ加工トランザクション（「トランザクション」）を起動する（ステップ４１０）。いくつかの実施形態では、ユーザは、ユーザインターフェースまたはＡＰＩを通して要求を送信する。いくつかの実施形態では、トランザクション要求は、要求しているユーザの身元、加工されることになる具体的なアイテムの識別子、具体的なＤＭ機械の識別子、および該当する場合、ユーザによって規定される具体的なＤＭレシピを備えてもよい。いくつかの実施形態では、要求はさらに、具体的な材料、またはそれからアイテムが加工されるべきである材料を含んでもよい。いくつかの実施形態では、ＤＭレシピは、ＤＭＴＭ、ＤＭＤＳ、または別のコンポーネントによって、自動的に選定される。

いくつかの実施形態では、ＤＭトランザクション要求の受領書に応じて、ＤＭＴＭは、要求を照合する（ステップ４２０）。いくつかの実施形態では、本照合は、要求側ユーザが、所与のアイテムにアクセスし加工するために認可されていることの照合、要求側ユーザが、選択されたＤＭ機械上で加工を要求するために認可されていることの照合、規定されている場合は、選択されたＤＭレシピが、選択されたＤＭ機械と互換性があることの照合、ＤＭレシピが選択されない場合は、選択されたＤＭ機械と互換性があるＤＭレシピが存在することの照合、選択されたＤＭ機械が位置する施設が、要求される品質制御または検査を実施することが可能であることの照合、選択されたアイテムが、選択されたＤＭ機械の場所において加工されるために（例えば、国際武器取引規則（ＩＴＡＲ）要件または他の契約上の義務に準拠するために）認可されていることの照合、または要求された製造されるアイテムが、デジタル署名されたデータ内で規定される少なくとも１つのパラメータを順守していることの照合のうちの少なくとも１つを備えてもよい。

いくつかの実施形態では、照合が失敗した（ステップ４２５）場合、ＤＭトランザクション要求は、拒否される（ステップ４３０）。いくつかの実施形態では、ＤＭＴＭは、要求側ユーザに、要求が拒否されたことを知らせるためのアクションを講じる。例えば、いくつかの実施形態では、ユーザは、ＤＭトランザクションが拒否されたという、インターフェースにおけるアラートを受信してもよい。いくつかの実施形態では、ＤＭＴＭは、ビープ音を鳴らす、またはユーザに、要求が拒否されたことを示すための警告ライトを含んでもよい。

いくつかの実施形態では、ＤＭＴＭは、拒否されたトランザクション要求のためのログエントリを作成してもよい（ステップ４４０）。いくつかの実施形態では、そのようなエントリは、トランザクションが、全くオープン／開始されなかった場合、トランザクション識別子と関連付けられない場合がある。

いくつかの実施形態では、照合が合格した（ステップ４３５）場合、ＤＭＴＭは、要求のための新しいＤＭトランザクションをオープンする（ステップ４５０）。

いくつかの実施形態では、ＤＭトランザクションは、それぞれ、一意トランザクション識別子を割り当てられる（ステップ４６０）。いくつかの実施形態では、識別子は、タイプ４ＵＵＩＤ［ＲＦＣ４１２２］の形態であってもよい。いくつかの実施形態では、ステップ４６０以降、本トランザクションに関連する、全ての状態変更または更新が、永続的に記憶される。

いくつかの実施形態では、ＤＭＴＭは、トランザクションのためのＤＭパッケージを組み立てる（ステップ４７０）。いくつかの実施形態では、ＤＭＴＭは、加工のために要求される、任意の非ローカルデータ要素を分解および取得する。ＤＭ加工は、外部リソースが、入手不可能である、または該要求が拒否される場合、本時点において失敗し得る。本事象では、ＤＭＴＭは、失敗ステータスを伴って、トランザクションをクローズする。

全ての要素が、正常に分解された場合、ＤＭパッケージは、ＤＭ機械のＤＭＴＥ、またはアイテムが加工される同等の場所に伝達されてもよい（ステップ４８０）。いくつかの実施形態では、受領書は、ＤＭＴＭに伝達されてもよい（ステップ４８１）。

いくつかの実施形態では、ＤＭＴＭは、ＤＭＴＥまたは同等物によって発行された受領書を照合する（ステップ４８２）。いくつかの実施形態は、無効な受領書を取り扱うための十分に定義された意味論および手順を有する。

いくつかの実施形態では、受領書の照合後、ＤＭＴＭは、その所有権を有し得る、外部データ要素の任意の複製品を削除してもよい（ステップ４９０）。いくつかの実施形態では、ＤＭＴＭは、受領書を外部データ要素の第三者所有者または他の認可された代理人に転送し、第三者許諾権がそのトランザクションに関与する場合、個別の許諾権が、使用許諾者との通信する際に譲渡される。

いくつかの実施形態では、ＤＭＴＭは、トランザクションをクローズする（ステップ４９５）。いくつかの実施形態では、トランザクションをクローズするステップ４９５は、該当する場合、ＤＭＴＭが、他のシステム、代理人、ユーザ等に、通知書を発行するステップを含んでもよい。

いくつかの実施形態では、ＤＭＴＭは、定期的に調査する。オープントランザクション、および必要に応じて、ネットワーク接続されたＤＭＴＥ（または同等物）からの要求ステータスを調査する。いくつかの実施形態では、ＤＭＴＭは、オンデマンドで、オープントランザクション、および必要に応じて、ネットワーク接続されたＤＭＴＥ（または同等物）からの要求ステータスを調査する。関連付けられる許諾権／リース権を有する、オープントランザクションに対して、ＤＭＴＭは、要求しているユーザ、監督者、または個別の許諾／リースされたコンテンツが譲渡されていない、他の指定された人物に知らせるための機構を有する、および／または方針内に規定される、またはいくつかの実施形態では、実装によって提供されるような他のアクションを講じる。

いくつかの実施形態では、認可されたユーザは、加工施設が破壊される、または機器の故障に起因する場合、受領書を待機している、オープントランザクションを終了してもよい。本タイプのトランザクション終了は、トランザクション終了を要求したユーザの身元を含む、トランザクションログ内の一義的な記録を結果としてもたらす。トランザクションが、許諾権／リース権と関連付けられる場合、ＤＭＴＭは、区別された形態の受領書をリース者／使用許諾者に伝送し、すなわち、トランザクションが、正常に終了しなったことを一義的にしてもよく、ＤＭＴＭは、それが、定期的なステータス点検中にＤＭＴＥによって報告される、ＤＭ加工数等の、ＤＭトランザクションに関して有し得る、任意の隙間情報をリース者／使用許諾者に提供してもよい。

いくつかの実施形態では、オープン、クローズ、受領書の記録、異常終了、リース権取得、およびリース権譲渡のためのトランザクションログエントリは、ＤＭＴＭによって、デジタル署名される。いくつかの実施形態では、ＤＭＴＭは、必要に応じて、任意のトランザクションログエントリに署名してもよい。

いくつかの実施形態では、ＤＭＴＭは、トランザクション上かつ自動的に、複合アイテム（いくつかの他のアイテムのアセンブリであるアイテム）の加工を管理する能力をサポートする。いくつかの実施形態では、ＤＭＴＭは、（例えば、アイテムの複数のインスタンスが必要とされるとき）複数のＤＭＴＥを横断して、ＤＭ加工要求を満たす能力をサポートする。

いくつかの実施形態では、ＤＭＴＭは、認可されたユーザが、特定のＤＭＴＥ（または同等物）またはその群のための保留（オープン）トランザクションを視認し、認可されたユーザが、機械毎に待ち行列に入っている保留ジョブの優先順位を設定するための能力をサポートする。

図５は、一実施形態による、デジタル製造の信頼されるエンドポイント５０５における、ネットワーク接続された加工のブロック図５００を描写する。いくつかの実施形態では、署名および暗号化されたＤＭパッケージは、ＤＭＤＳ５１０から、ネットワーク５１５を経由して、ＤＭＴＥ５０５に伝送される。受領書も同様に、ＤＭ機械５２０における加工の完了後、ＤＭＤＳ５１０に返送される。

いくつかの実施形態では、ユーザは、インターフェース５３０において、直接または間接的に、ＤＭＤＳ５１０と相互作用してもよい。いくつかの実施形態では、ユーザは、ＤＭＤＳ５１０および／またはＤＭＴＥ５０５に対して、距離的に遠くてもよい。いくつかの実施形態では、ＤＭＴＥ５０５およびＤＭ機械５２０は、併置される。

いくつかの実施形態では、所与のネットワーク接続されたＤＭ加工トランザクションを要求したユーザ、および他の認可されたユーザは、ＤＭＤＳ５１０または別の認可されたシステムとの相互作用を介して、対応するＤＭパッケージが、対応するＤＭＴＥ５０５に配布されたことを照合し、受領書が受信されたかどうかを点検し、該受領書を視認し、他の関連トランザクション情報を参照する能力を有する。

いくつかの実施形態では、認可されたユーザは、ＤＭＤＳ５１０または別の認可されたシステムを介して、個別のＤＭＴＥ５０５への個別のＤＭパッケージの配布に先立って、ネットワーク接続されたＤＭ加工トランザクションを中断する能力を有する。本場合では、受領書は生成されず、トランザクションはクローズされる。

いくつかの実施形態では、認可されたユーザは、ＤＭＤＳ５１０または別の認可されたシステムを介して、それに対して加工がまだ開始されていない、ＤＭ加工トランザクションを中断してもよい。本場合では、ＤＭＴＥ５０５は、加工が開始されなかったことを示す、受領書を発行および伝送し、トランザクションは、正常にクローズされる。

いくつかの実施形態では、ネットワーク接続されたＤＭ加工要求および関連付けられるＤＭパッケージの受領書に応じて、ＤＭＴＥ５０５は、そのディスプレイおよび／または他のアナンシエータを介して、新しい「ジョブ」が到着したことを操作者に警告してもよい。

いくつかの実施形態では、例えば、入力材料または他の準備手順の読込を確認するために、操作者とＤＭＴＥ５０５との間のさらなる相互作用が、要求されてもよい。

いくつかの実施形態では、操作者は、ネットワーク接続されたＤＭ加工要求を拒否する能力を有する。そのような場合では、ＤＭＴＥ５０５は、加工が開始されなかったことを示す、受領書を発行および伝送し、トランザクションは、正常にクローズされる。

いくつかの実施形態では、有効なＤＭパッケージの受領書に応じて、ＤＭＴＥ５０５は、該パッケージを受信したこと、およびそのパッケージが有効であることを個別のＤＭＤＳ５１０に通知するであろう。

いくつかの実施形態では、ＤＭＤＳ５１０は、対応する受領書（発行済みの場合）をフェッチすることを含め、（トランザクション識別子ＵＵＩＤによって識別される）任意のＤＭ加工要求のステータスに関して、ネットワーク接続されたＤＭＴＥ５０５にセキュアにクエリすることができる。

いくつかの実施形態では、ＤＭＤＳ５１０とＤＭＴＥ５０５との間のネットワーク接続５１５は、（運搬層セキュリティ等の）セキュアな暗号化されたプロトコルを介している。いくつかの実施形態では、該接続の確立は、例えば、クライアントおよびサーバ証明証を介した、相互認証を含むであろう。いくつかの実施形態は、他のプロトコル層において、付加的なセキュリティ機構を実装する。

いくつかの実施形態では、ネットワーク接続されたトランザクションの完了に応じて、ＤＭＤＳ５１０が、ＤＭＴＥ５０５に、受領書が正常に配布されたことを知らせると、ＤＭＴＥ５０５は、対応する受領書を要求側ＤＭＤＳ５１０インスタンスに伝送することを試行する。いくつかの実施形態では、ＤＭＴＥ５０５が受領書を配布できない場合、それは、ランダムに選定された回数で、典型的には、少なくとも３０分毎に区切られて、配布を再試行してもよく、受領書の再配布は、典型的には、７２時間を超過することなく、ある時間間隔後に終了するであろう。

上記に議論される、方法、システム、およびデバイスは、実施例である。種々の構成は、必要に応じて、種々の手順またはコンポーネントを省略、代用、または追加してもよい。例えば、代替構成では、本方法は、説明されたものと異なる順序で実施されてもよく、その種々のステップは、追加、省略、または組み合わせられてもよい。また、ある構成に対して説明される特徴は、種々の他の構成において組み合わせられてもよい。構成の異なる側面および要素は、類似する様式において組み合わせられてもよい。また、技術は進化し、したがって、要素の多くは、実施例であり、本開示または請求項の範囲を限定しない。

例えば、本開示の実施形態は、本開示の実施形態による、方法、システム、およびコンピュータプログラム製品のブロック図および／または動作的例証を参照して、上記に説明される。ブロックに言及される機能／行為は、任意のフローチャートに示される順序外で、生じてもよい。例えば、連続して示される２つのブロックは、実際、実質的に並行して実行されてもよい、またはブロックは、時として、伴われる機能性／行為に応じて、逆の順序で実行されてもよい。加えて、または代替として、任意のフローチャートに示されるブロックの全てが、実施および／または実行される必要があるとは限らない。例えば、所与のフローチャートが、機能／行為を含有する、５つのブロックを有する場合、それは、５つのブロックのうちの３つのみが、実施および／または実行される場合であってもよい。本実施例では、５つのブロックのうちの３つのいずれかが、実施および／または実行されてもよい。

ある値が、第１の閾値を超過する（またはそれを上回る）という記述は、その値が、第１の閾値よりも若干大きい、第２の閾値を満たす、または超過するという記述と同等であり、例えば、第２の閾値は、関連システムの分解能内の第１の閾値よりも高い、１つの値である。ある値が、第１の閾値未満である（またはそれ以内である）という記述は、その値が、第１の閾値よりも若干低い、第２の閾値未満である、またはそれと等しいという記述と同等であり、例えば、第２の閾値は、関連システムの分解能内の第１の閾値よりも低い、１つの値である。

具体的な詳細が、例示的構成（実装を含む）の完全な理解を提供するために、説明において与えられる。しかしながら、構成は、これらの具体的な詳細を伴わずに実践されてもよい。例えば、周知の回路、プロセス、アルゴリズム、構造、および技法は、構成を曖昧にすることを回避するために、不必要な詳細を伴わずに示された。本説明は、例示的構成のみを提供し、請求項の範囲、適用性、または構成を限定しない。むしろ、構成に関する前述の記述は、当業者に、説明される技法を実装するための許可説明を提供するであろう。種々の変更が、本開示の精神または範囲から逸脱することなく、要素の機能および配置において行われてもよい。

Claims (20)

1. 信頼された加工のためのエンドポイントであって、前記エンドポイントは、
   広域ネットワークへの接続のために構成される少なくとも１つのセキュアなコントローラと、
   ローカル通信のために構成される少なくとも１つの信頼されないコントローラと
   を備え、
   前記エンドポイントは、加工機への接続のために構成され、
   製造のために少なくとも１つのアイテムを規定するデジタル署名されたデータを受信することと、
   前記デジタル署名されたデータを照合することと、
   前記デジタル署名されたデータを照合後、前記加工機に、前記少なくとも１つのアイテムを製造するように指示することと
   を行うようにさらに構成される、エンドポイント。
2. 前記セキュアなコントローラは、ユーザによって修正不可能であるように構成される、請求項１に記載のエンドポイント。
3. 前記エンドポイントは、前記少なくとも１つのアイテムの前記製造の完了に応じて、受領書を生成するようにさらに構成される、請求項１に記載のエンドポイント。
4. 前記加工機は、３Ｄプリンタである、請求項１に記載のエンドポイント。
5. 前記信頼されないコントローラは、ユーザによって修正可能であるように構成される、請求項１に記載のエンドポイント。
6. 前記エンドポイントは、ネットワーク接続されている、請求項１に記載のエンドポイント。
7. 前記デジタル署名されたデータはまた、暗号化される、請求項１に記載のエンドポイント。
8. 前記デジタル署名されたデータは、前記エンドポイントと関連付けられるキーを使用して暗号化される、請求項７に記載のエンドポイント。
9. 前記少なくとも１つのセキュアなコントローラおよび前記少なくとも１つの信頼されないコントローラは、相互から、電気的に隔離される、請求項１に記載のエンドポイント。
10. 前記エンドポイントおよび前記加工機は、併置される、請求項１に記載のエンドポイント。
11. 信頼されるオンデマンド製造のための方法であって、前記方法は、
    加工機に接続されるエンドポイントにおいて、製造のために少なくとも１つのアイテムを説明するデジタル署名されたデータを受信することと、
    前記エンドポイントにおいて、前記デジタル署名されたデータを照合することと、
    前記デジタル署名されたデータを照合後、前記デジタル署名されたデータを使用して、前記少なくとも１つのアイテムを製造することと
    を含み、
    前記エンドポイントは、少なくとも１つのセキュアなコントローラと、少なくとも１つの信頼されないコントローラとを備える、方法。
12. 前記デジタル署名されたデータは、前記エンドポイントと関連付けられる公開キーを用いて暗号化される、請求項１１に記載の方法。
13. 前記デジタル署名されたデータ内で規定される少なくとも１つのパラメータの順守のために、前記製造されたアイテムを点検することをさらに含む、請求項１１に記載の方法。
14. 前記セキュアなコントローラは、ユーザによって修正不可能であるように構成される、請求項１１に記載の方法。
15. 前記信頼されないコントローラは、ユーザによって修正可能であるように構成される、請求項１１に記載の方法。
16. 前記エンドポイントは、ネットワーク接続される、請求項１１に記載の方法。
17. 前記デジタル署名されたデータはまた、暗号化される、請求項１１に記載の方法。
18. 前記デジタル署名されたデータは、前記エンドポイントと関連付けられるキーを使用して暗号化される、請求項１７に記載の方法。
19. 前記少なくとも１つのセキュアなコントローラおよび前記少なくとも１つの信頼されないコントローラは、相互から、電気的に隔離される、請求項１１に記載の方法。
20. 前記エンドポイントおよび前記加工機は、併置される、請求項１１に記載の方法。

Images