JP7524075B2 - 信頼できるコンテキスチャルコンテンツ - Google Patents

Description

この開示は、信頼できるコンテキスチャルコンテンツの生成および転送に関する。

多くのデバイス（たとえば、ドローン、カメラ、車両、またはセキュリティシステム）は、ビデオ、モーションデータ、タイムスタンプ、全地球測位システム座標、またはライダポイントクラウドのようなデータまたはコンテンツを作り出す。暗号化は、通信および記憶中にデータをセキュアにするために使用され、セキュアなデータを用いて不正アクセスや改ざんを防ぐ。暗号化の前に、コンテンツが破損またはなりすましされている可能性がある。コンテンツは孤立して調べられるときに、誤った特徴付けの影響を特に受けやすくなり得る。

本明細書に開示されているものは、信頼できるコンテキスチャルコンテンツ（ｃｏｎｔｅｘｔｕａｌ ｃｏｎｔｅｎｔ）の生成および転送の実装である。

第１の態様では、本明細書で説明される主題は、１つ以上のセンサを含み、１つ以上のセンサからのセンサデータにアクセスし、署名鍵を使用してセンサデータに署名して、デジタル署名を含む信頼できるコンテキスチャルコンテンツを生成するように構成された、信頼できるコンテキスチャルコンテンツデバイスと；信頼できるコンテキスチャルコンテンツを受信し、信頼できるコンテキスチャルコンテンツを、デジタル署名に基づいて認証するように構成された認証デバイスと；信頼できるコンテキスチャルコンテンツを認証するための要求を、認証デバイスに送信し、認証デバイスから受信された認証メッセージに応答して、センサデータをユーザインターフェースにおいて提示するように構成されたコンテキスチャルコンテンツコンシューマデバイスとを含む、システムにおいて具体化され得る。

第２の態様では、本明細書で説明される主題は、１つ以上のセンサと、１つ以上のセンサからのセンサデータの第１のセットにアクセスし；第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツを受信し；第１の信頼できるコンテキスチャルコンテンツおよびセンサデータの第１のセットに基づくデータを含むデータ構造を生成し；署名鍵を使用してデータ構造に署名して、第２のデジタル署名を含む第２の信頼できるコンテキスチャルコンテンツを生成し；第２の信頼できるコンテキスチャルコンテンツを記憶または送信するように構成された処理装置とを含む、システムにおいて具体化され得る。

第３の態様では、本明細書で説明される主題は、１つ以上のセンサからのセンサデータの第１のセットにアクセスすることと；第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツを受信することと；第１の信頼できるコンテキスチャルコンテンツおよびセンサデータの第１のセットに基づくデータを含むデータ構造を生成することと；署名鍵を使用してデータ構造に署名して、第２のデジタル署名を含む第２の信頼できるコンテキスチャルコンテンツを生成することと；第２の信頼できるコンテキスチャルコンテンツを記憶または送信することとを含む、方法において具体化され得る。

本開示は、添付の図面と併せて読むと、以下の詳細な説明から最も良く理解される。一般的な慣行にしたがって、図面の様々な特徴は、原寸に比例していないことが強調される。それどころか、様々な特徴の寸法は、明確化のために任意に拡大または縮小される。

信頼できるコンテキスチャルコンテンツを管理するためのシステムの例のブロック図である。 ドローンによって生成された信頼できるコンテキスチャルコンテンツを管理するためのシステムの例のブロック図である。 信頼できるコンテキスチャルコンテンツのフォーマットの例を示すメモリマップである。 信頼できるコンテキスチャルコンテンツの例を示すメモリマップである。 信頼できるコンテキスチャルコンテンツデバイスの例のブロック図である。 信頼できる構成要素の例のブロック図である。 信頼できるセンサの例のブロック図である。 信頼できる画像センサの例のブロック図である。 ドローンに含まれる信頼できるコンテキスチャルコンテンツデバイスの例のブロック図である。 デバイスのハードウェア構成の例のブロック図である。 信頼できるコンテキスチャルコンテンツを生成するためのプロセスの例のフローチャートである。 多数のソースからのセンサデータを用いて、信頼できるコンテキスチャルコンテンツを生成するためのプロセスの例のフローチャートである。 信頼できるコンテキスチャルコンテンツを提示するためのプロセスの例のフローチャートである。 信頼できるコンテキスチャルコンテンツを増強するためのプロセスの例のフローチャートである。

本明細書で使用される場合、「コンテキスチャルコンテンツ」（ＣＣ）は、所与の状況、所、エリア、またはオブジェクトのいくつかの物理的特質を、時間フレーム内で理解または評価するために使用され得るように編成されたデータである。たとえば、家のデジタル写真ファイルは、所与の場所および時間における家の物理的特質を評価するために使用され得るコンテンツを含み得る。本明細書で使用される場合、「コンテキスチャルコンテンツデバイス」（ＣＣＤ）は、コンテキスチャルコンテンツを作り出すデバイスである。本明細書で使用される場合、「信頼できるコンテキスチャルコンテンツ」（ＴＣＣ）は、暗号で認証可能なコンテキスチャルコンテンツである。本明細書で使用される場合、「信頼できるコンテキスチャルコンテンツデバイス」（ＴＣＣＤ）は、信頼できるコンテキスチャルコンテンツを作り出し、暗号で認証可能なデバイスである。

コンテキスチャルコンテンツの生成のための従来システムは、多くの問題を提示し得る。たとえば、コンテキスチャルコンテンツを生成するこれらのデバイスを偽造して複製するのは容易であり得る。これらのデバイスによって作り出されたコンテンツを破損する、捏造する、改正する、選択的に削減する、除去する、および悪意を持って侵害することは容易であり得る。コンテンツは、誤って破損され、除去され、選択的に削減され、または侵害され得る。コンテンツの破損は、検出が困難である場合がある。コンテキスチャルコンテンツが除去される、通信される、またはデバイスからトランスポートされると、そのコンテキスチャルコンテンツが侵害されているか否かを区別する方法はない。コンテキストデバイスカスタマとして、コンテキスチャルコンテンツが真正であるか否か、どのデバイスから来たか、またはデバイスが真正であったか否かを確実に区別する方法がない場合がある。デバイスが真正である場合、ブートローダ、ファームウェア、およびソフトウェアの悪意のあるバージョンが、デバイスで実行されたり、一時的にデバイスで実行されて、コンテキスチャルコンテンツが侵害されているのかを検出または防止する方法がないことがよくある。認証スキームは通常、単一の機関、機関のグループ、またはコミュニティによって制御されるが、１つ以上の機関、およびコミュニティの組合せによっては制御されない。認証スキームは、デバイスまたはコンテンツが真正または真正ではないと見なされるように、通常はバイナリであり、デバイスおよびコンテンツの真正性または信頼性のレベルのメトリックおよびまたはスコアを提供しない。典型的なソリューションは、セキュリティおよび暗号化に重点を置く傾向があるが、コンテキスチャルコンテンツ自体の真正性を保証するものではない。つまり、ほとんどのシステムは、デバイスが存在し、そのオンボードセンサを使用してデータを収集し、コンテキスチャルコンテンツを生成した場所において、およびそのとき、コンテキスチャルコンテンツが、特定のデバイスからの意図されたコンテキスチャルコンテンツであり、意図されたコンテキスチャルコンテンツが、実際の環境と、発生したイベントとを確実に表していることの両方を確実に証明するのではなく、コンテキスチャルコンテンツへのアクセスを保護しようとする。他の製品やソリューションは、そのソースをトレースバックできる、暗号的に検証可能なコンテキスチャルコンテンツを作り出さない。

多くのアプリケーションは、コンテキスチャルコンテンツが真正であることを必要とする。信頼できるコンテキスチャルコンテンツのためのアーキテクチャは、デバイスからユーザに、真正のコンテキスチャルコンテンツを確実に配信し得る。悪意のある理由または他の良い理由に関わらず、コンテキスチャルコンテンツが、不正な形式である、改ざんされている、不完全である、捏造されている、または他の方法で変更または攻撃されているのであれば、根本的に問題である。たとえば、高すぎる温度で保管されていたために、他のデバイスの保証が無効であるという保証請求の証拠として、変造あるいは破損された温度計デバイスが、温度読取値を平均化し、タイムスタンプを付し、較正したのであれば、問題である。別の例は、カメラ、場所、および時間データが、ドローンによって収集され、特定の時間および場所で、犯罪の容疑者を確実に識別する場合である。法廷で提示された場合、データが正確で、変更されておらず、破損しておらず、正しいデバイスから収集されていることが重要である。それで、コンテキスチャルコンテンツがキャプチャされた時から、そのような決定を行うために使用される時まで、コンテキスチャルコンテンツが変造または破損されることは不可能または非常に困難であることが重要である。

さらに、コンテンツコンシューマが、意図された受信者ではない場合、コンテンツ製作者にとっても問題である。さらに、コンテンツ製作者が、意図された配信者ではない場合、コンテンツコンシューマにとって根本的に問題である。偽造されたまたは無許可のデバイス、およびまたはデバイスクローンを作り出すまたは利用することによって、データが捏造または変更され得る場合も問題である。また、コンテキスチャルコンテンツは、製作から消費まで秘密のままにすることが望ましい場合もある。さらに、一意のコンテキスチャルコンテンツの多くの製作者と、多くのコンシューマが存在する可能性がある。

多くの場合、真正性および信頼性のレベルを評価することがより重要である場合があるため、デバイスまたはコンテンツが真正であるかどうかの質問に対するバイナリ回答を有することは望ましくない。同様に、様々な状況、時間、および評価者が、真正性および信頼性を評価するための様々なメトリックを有し得る。信頼できるコンテキスチャルコンテンツを生成および管理するためのシステムおよび方法は、これらの問題に対処し得る。

本明細書で説明されるアーキテクチャは、信頼できるコンテキストデータを作り出す、信頼できるデバイスを実装するための、暗号的に検証可能な認証および暗号化スキームを提供し得る。このシステムは、追加の信頼できるデバイスを使用して、データをさらに確証するための柔軟なアーキテクチャを提供する。このアーキテクチャは、信頼できるデバイスと混合された、信頼できないデバイスを使用して、信頼できるコンテキスチャルコンテンツを依然として作り出すための方法を提供する。このアーキテクチャは、集中型認証機関、認証コミュニティ、または両方の組合せを可能にする柔軟な認証スキームを提供する。このアーキテクチャは、時間の経過とともに変わる、または状況や評価者に基づいて異なって評価され得る、認証および信頼性のメトリックおよびスコアを備えた柔軟な認証スキームを可能にする。

このアーキテクチャは、信頼できるコンテキスチャルコンテンツデバイス、信頼できる構成要素、および信頼できるセンサを含み得る。いくつかの実装では、信頼できるコンテキスチャルコンテンツデバイスは、ロボット工学、特にドローンのために使用される。いくつかの実装では、集中型とコミュニティベースとの混合された認証スキームおよび／または非バイナリ認証スキームが利用される。デバイスおよびデータの信頼性および真正性を評価するためのメトリックおよびスコアを計算するための方法およびアルゴリズムが実装され得る。いくつかの実装では、信頼できるコンテキスチャルコンテンツのストレージおよびトランスポートのためのデータ構造が使用され、これは、さらなるコンテキスチャルコンテンツおよび署名が付加されることを可能にし、認証者が、コンテキスチャルコンテンツおよび署名を作り出したデバイスだけでなく、データ構造によって表されるコンテキスチャルコンテンツをも、容易に検証およびまたは評価することを可能にする。

図１は、信頼できるコンテキスチャルコンテンツを管理するためのシステム１００の例のブロック図である。このアーキテクチャには、データを収集し、信頼できるコンテキスチャルコンテンツ（ＴＣＣ）を作り出す１つ以上の信頼できるコンテキスチャルコンテンツデバイス（ＴＣＣＤ）（１１０および１１２）がある。これらのデバイスは、ＴＣＣを、公開およびプライベートネットワーク（たとえば、ネットワーク１３０および／またはプライベートネットワーク１３４）を介して、信頼できるコンテキスチャルコンテンツサービスプロバイダデバイス１５０、および信頼できるコンテキスチャルコンテンツコンシューマデバイス１２０（たとえば、デスクトップコンピュータ）へ直接配信するだけでなく、他のＴＣＣＤ、信頼できないコンテキスチャルコンテンツデバイス、ソフトウェアサービス（１３２および１３６）へ配信することをも可能にする。ＴＣＣＤ（１１０および１１２）は、ワイヤドまたはワイヤレスデバイスとして、ネットワーク（たとえば、ネットワーク１３０）へ接続し得る。たとえば、ＴＣＣＤ１１０および１１２は、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、ＺｉｇＢｅｅ、プロプライエタリ（ｐｒｏｐｒｉｅｔａｒｙ）、または他のタイプのワイヤレス技術、プロトコル、および規格を使用し得るワイヤレス接続１１４を介して互いに接続し得る。たとえば、ＴＣＣＤ１１０および１１２は、Ｗｉ－Ｆｉ、３Ｇ、ＬＴＥ、プロプライエタリ、または他のタイプのワイヤレス技術、プロトコル、および規格を使用し得るそれぞれのワイヤレス接続１１６および１１８を介してネットワーク１３０に接続し得る。ＴＣＣＤは、ＴＣＣのコンシューマでもあり、パススルーを介した他のＴＣＣＤおよび信頼できないデバイス、公開およびプライベートネットワーク（１３０および１３４）を介したソフトウェアサービス（１３２および１３６）、ＴＣＣコンシューマデバイス１２０、およびＴＣＣサービスプロバイダデバイス１５０から、ＴＣＣを消費し得ることに注意することが重要である。

システム１００は、オプションで、１つ以上のＴＣＣサービスプロバイダデバイス１５０を含み、これらは、ＴＣＣ、ＴＣＣＤ、およびまたはＴＣＣコンシューマデバイス１２０へのサービスの形態で、値を消費する、記憶する、変更する、強化する、選択的に削減する、配信する、およびまたは他の方法で追加し得る。

このアーキテクチャには、ＴＣＣを消費してサービスを利用する１つ以上のＴＣＣコンシューマデバイス１１２０がある。

システム１００には、１つ以上の集中型認証機関デバイス１４０および／または分散型認証コミュニティデバイス１４４があり、これらは、次の２つの任意の組合せを相互に認証する責任がある：ＴＣＣＤ、ＴＣＣＤユーザ、ＴＣＣサービス、ＴＣＣサービスプロバイダ、およびまたはＴＣＣコンシューマ。相互認証は、通信をしている２つの当事者の識別が、相互に通信を試みている意図された当事者であることを検証することにより、プライバシを強化するのに役立つ。さらに、認証機関およびまたはコミュニティは、ＴＣＣを認証する責任がある。たとえば、ＴＣＣコンシューマは、特定のＴＣＣを生成したＴＣＣＤおよび／またはＴＣＣＤユーザが、本当にＴＣＣ内部データ構造によって示されるものであることを検証したいと考えている。同様に、ＴＣＣＤユーザは、意図されたＴＣＣ受信者の識別を検証することを望むであろう。たとえば、集中型認証機関デバイス１４０は、認証機関または認証機関のチェーンとして実装され得る。たとえば、（分散型認証コミュニティデバイス１４４を含む）分散型認証コミュニティは、信頼のウェブ（たとえば、ＰＧＰおよびＧＰＧプロトコルを利用するコミュニティ）、信頼のマジョリティ（たとえば、コミュニティにおける参加者の大多数が同意する必要がある公開データベースまたは台帳）、信頼のコンセンサス（たとえば、コミュニティにおけるすべての参加者が同意する必要がある公開データベースまたは台帳）、または、信頼の投票（たとえば、コミュニティの参加者のすべてが、投票する機会を有し、結果が記録され、すぐにまたは後に評価されて、真正性または信頼性を決定する公開データベースまたは台帳）として実装され得る。

システム１００は、非バイナリ認証をできるようにし得る。バイナリ認証は、デバイスの識別、およびコンテンツの真正性が、真または偽のいずれかであると見なすであろう。そのようなシステムでは、通常、識別が偽であると見なされると、デバイスとの通信が終了する。同様に、真正ではないと見なされるコンテンツを伝達する動機はないだろう。バイナリデバイス認証の典型的な例は、認証機関が、デバイス証明書が認証機関に登録されており、何らかの方法で認証機関に戻る起源をもつ適切な信頼のチェーンを有していることを確認することである。同様に、ＴＣＣの場合、ＴＣＣデータ構造内の１つ以上の署名を検証できる。そのとき、デバイス識別が検証され得る。非バイナリ認証を使用することが、デバイス識別だけでなくコンテンツへも、スコアまたはメトリックの割当のプロビジョンを可能にする。しきい値および評価メトリックが使用されて、システム要件に基づいて、デバイスとの通信が許可されるか、コンテンツが伝播されるべきかを決められる。また、そのようなスコアおよびメトリックがＴＣＣデータ構造に付加された場合も、それらを後で再評価することが可能になる。たとえば、認証機関は、デバイス識別を有効と見なす場合があるが、そのようなデバイスは、非常に大きなコストとリソースで偽造される可能性があるというさらなる情報を有し得る。その場合、これを示すメトリックを提供し得る。たとえば、ゼロ以上、１以下の実数を使用すること、ここで、ゼロは完全に偽を表し（デバイスまたはコンテンツは、まったく真正ではないと考えられる）、１は完全に真を表す（デバイスまたはコンテンツは、完全に真正であると考えられる）。メトリックがしきい値以上の場合、デバイスまたはコンテンツが真正であると評価されるように、この範囲内でしきい値を定義できる。上記の例では、デバイスは、認証機関から０．３のメトリックを受信し、０．２５のしきい値が、所与のアプリケーションおよび時間に使用され得、これが、メトリックは、しきい値以上であるので、デバイスまたはコンテンツが認証されるという結果になる。このメトリックを様々な機関で、様々な時間において確認すると、様々な結果になる可能性があることは注目に値する。たとえば、これらのデバイスの偽造を非常に簡単にするために何らかの技術が開発されたことが後で判明した場合、メトリックをより小さな値、たとえば０．００１に下げられ得る。この場合、しきい値が大幅に下げられない限り、デバイスはもはや認証され得なくなる。これらのメトリックは、ＴＣＣにさらなるコンテキストを追加する可能性があるため、コンテキスチャルコンテンツとして取り扱い、ＴＣＣに付加し、署名して新しいＴＣＣを作り出すことができる。

ハイブリッド認証スキームでは、これらの方法の２つ以上が使用され得る。様々な機能に対してどのような認証のタイプが許可されるかと、いかにそれらが評価されるかとに関するルールを定義するのは、システムの実装と要件次第である。たとえば、コミュニティを使用して、ＴＣＣ認証のために信頼できるウェブを確立し、（たとえば、分散型認証コミュニティデバイス１４４からのものを含む）コミュニティ評価に６０％の重み付けを行い、４０％の重み付けがなされた（たとえば、集中型認証機関デバイス１４０からの）認証機関評価を使用することが可能である。そのようなスキームでは、コミュニティは、０．８のメトリックでＴＣＣを評価でき、認証機関は、０．７として評価できる。重みを使用すると、これは以下：
（ｍｅｔｒｉｃ＿１＊ｗｅｉｇｈｔ＿１）＋（ｍｅｔｒｉｃ＿２＊ｗｅｉｇｈｔ＿２）＋・・・（ｍｅｔｒｉｃ＿ｎ＊ｗｅｉｇｈｔ＿ｎ）＝（０．８＊０．６）＋（０．７＊０．４）＝０．４８＋０．２８＝０．７６ ［式１］
のように全体的なメトリックに対して評価する。

システム１００は、ＴＣＣＤ（１１０および１１２）の通信トランスポートおよび相互接続に使用される１つ以上の公開ネットワーク１３０および／またはプライベートネットワーク１３４、ＴＣＣサービスプロバイダデバイス１５０、ＴＣＣコンシューマデバイス１２０、集中型認証機関デバイス１４０、分散型認証コミュニティデバイス１４４およびサービス１３２を含む。さらに、サービス１３６は、プライベートネットワーク１３４上でホストされ得る。

システム１００は、オプションで、１つ以上のＴＣＣサービスプロバイダデバイス１５０を含み、これらは、ＴＣＣ、ＴＣＣＤ１１０または１１２、およびあるいはＴＣＣコンシューマデバイス１２０への値を消費する、記憶する、変更する、強化する、選択的に削減する、配信する、作り出す、およびまたは他の方法で追加し得る。いくつかの実装では、ＴＣＣサービスプロバイダデバイス１５０は、ネットワーク１３０による通信を介してサービスおよびメンテナンスのための情報を転送する。いくつかの実装では、ＴＣＣサービスプロバイダデバイス１５０は、通信リンク１５２（たとえば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、ＺｉｇＢｅｅ、または他のワイヤレス通信リンク）上の通信を介して、ＴＣＣと、管理およびサービスのための情報とを、ＴＣＣＤ１１２に転送する。ＴＣＣサービスプロバイダデバイス１５０が、ＴＣＣを作り出す、および消費するの両方を行い得ることに注目すべきである。たとえば、サービスの１つの実施形態は、ビデオを含むＴＣＣ内の顔およびオブジェクトを検出できる。別の実施形態は、ビデオを含むＴＣＣ内のオブジェクト、または地理的場所への近接、またはグローバル基準に関する場所を含むＴＣＣ内の関心のあるポイントなどの特定の出来事またはイベントを求めてＴＣＣを探索することができる。

いくつかの実装（図１には示されていない）では、ＴＣＣサービスプロバイダデバイス１５０は、省略され得、ＴＣＣコンシューマデバイス１２０は、ネットワーク１３０を介して、またはダイレクトポイントツーポイント通信リンクまたはメモリ転送１２４を介して、ＴＣＣＤ１１２に直接接続する。

いくつかの実装（図１には示されていない）では、デバイス製造者、サービスプロバイダ、コンテンツコンシューマ、および認証機関／コミュニティが、すべて１つのエンティティであるように、単一の組織が、システム１００を閉じた様式で実装する。この例は、ファイアウォールの背後の、閉じたプライベートネットワークを有するエンティティであり、これは、それ自体のＴＣＣＤカメラを製造して、内部的に使用し、それ自体のプライベートネットワークで動いている内部開発されたソフトウェアサービスにＴＣＣを配信し、それ自体の内部コミュニティを介して相互認証を提供し、ソフトウェアサービスを介してＴＣＣを消費する内部組織または内部個人を有する。その場合、図１は、有効ではあるが、大幅に簡略化される。

図２は、ドローンによって生成された信頼できるコンテキスチャルコンテンツを管理するためのシステム２００の例のブロック図である。この実装では、ＴＣＣＤはドローン２１０であり、それは、様々なビデオ、オーディオ、時間、場所、機首方位、高度、温度、加速度、および速度センサからデータを収集し、データを処理してコンテンツを作り出し、さらにコンテンツを処理してコンテキスチャルコンテンツを作り出し、オプションで、コンテキスチャルコンテンツを暗号化して、暗号化されたコンテキスチャルコンテンツを作り出し、暗号化されたコンテキスチャルコンテンツに署名してＴＣＣを作り出す。システム内の他のプレーヤが、ＴＣＣＤとＴＣＣとの両方を認証できるという事実により、コンテキスチャルコンテンツは、信頼できると考えられ得る。ＴＣＣＤドローン２１０は、ワイヤレス通信リンク２１４（たとえば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、またはＺｉｇＢｅｅリンク）を介して、ＴＣＣをＴＣＣＤドローンコントローラ２１２に渡す。たとえば、ドローン２１０およびドローンコントローラ２１２は、それぞれのワイヤレス接続２１６および２１８を介してネットワーク２３０に接続することができ、これらは、Ｗｉ－Ｆｉ、３Ｇ、ＬＴＥ、プロプライエタリ、または他のタイプのワイヤレス技術、プロトコル、および規格を使用し得る。異なる実装では、ドローン２１０が、ＴＣＣを、ＴＣＣＤスマートデバイスに、信頼できないスマートデバイスに、信頼できないドローンコントローラに、公開ネットワーク２３０またはプライベートネットワーク２３４（たとえば、Ｗｉ－ＦｉまたはＬＴＥネットワーク）を介して直接サービス（たとえば、フリート管理サービス２６６）に、直接ＴＣＣサービスプロバイダデバイス２５０に、または直接ＴＣＣコンシューマデバイス２２０に渡すことも有効であることは注目に値する。いくつかの実装では、ＴＣＣコンシューマデバイス１２０は、ネットワーク２３０を介して、またはダイレクトポイントツーポイント通信リンクまたはメモリ転送２２４を介して、ドローンコントローラ２１２に接続する。たとえば、ＴＣＣコンシューマデバイス２２０は、裁判所、法律事務所、公安担当官、および／または法執行官によって利用され得る。

ドローン２１０はまた、ＴＣＣ、たとえば、セキュアな時間サービス２６８からの信頼できる時間ソースを消費することができる。ドローン２１０はまた、ＴＣＣ、たとえば、そのグローバルナビゲーション衛星システム（ＧＮＳＳ）センサシステムから時間基準を作り出す。さらに、ドローン２１０は、内部の改ざん防止時間ソースを有することができる。多数のソースが、同じ誤りを反映する必要がある場合、類似したコンテンツのこれらの独立した基準のすべてを相関付けることにより、ＴＣＣＤは、攻撃する、変造する、または誤って破損することがより困難になる。デバイスの信頼性を強化するために、相関付けられていないデータの独立した基準の多くのそのような組合せを有することが可能である。さらに、これらのソースがクロスチェックされて、デバイスの障害、改ざん、または攻撃を検出できる。障害、改ざん、および攻撃は、ＴＣＣ自体の内部で報告され得、デバイス（たとえば、ドローン２１０）は、これらのイベントが検出されたとき、またはデバイスユーザを変更したときに、ＴＣＣを作り出し送信することを停止できる。

ＴＣＣＤドローンコントローラ２１６は、公開ネットワーク２３０および／またはプライベートネットワーク２３４を介してＴＣＣサービス（たとえば、セキュアなストレージサービス２３６）に渡すだけでなく、ＴＣＣをＴＣＣサービスプロバイダデバイス２５０にも直接渡す。

ドローン２１０およびドローンコントローラ２１２は、コンテンツストレージ２６２、トラフィック管理２６４、フリート管理２６６、およびセキュアなストレージサービス２３６のためのＴＣＣの製作者だけでなく、トラフィック管理２６４、フリート管理２６６、およびセキュアな時間サービス２６８のコンシューマでもある。

たとえば、トラフィック管理サービス２６４は、エリア内の他の航空機の更新、制限された飛行ゾーン、および一時的な飛行制限および高度制限を提供し得る。トラフィック管理サービス２６４はまた、ドローン２１０からのＴＣＣを使用して、その地理的場所、高度、機首方位、速度、風、および天気の推定を決定することができる。トラフィック管理サービス２６４は、ＴＣＣおよびＴＣＣＤを認証して、信頼性をアサートし、そのデータベースを更新して、他の航空機が、この情報を利用できるようにすることができる。これは、ＴＣＣサービスプロバイダが、潜在的に多くのＴＣＣＤからＴＣＣを取り、それが多くの認証済みデバイスの時間、地理的場所、高度、速度、および方位を検証できる場合、航空トラフィックの信頼できる表現を提示する能力を介してすべてのＴＣＣコンシューマに値を追加することの例である。

たとえば、フリート管理サービス２６４は、ＴＣＣＤおよびＴＣＣＤユーザのためのメンテナンスを追加する、削除する、プロビジョンする、割り当てる、割り振る、割り当て解除する、追跡する能力を提供することができる。

たとえば、セキュアな時間サービス２６８（たとえば、セキュアなＮＴＰ）は、ＴＣＣをシステム内の他のプレーヤだけでなく、ＴＣＣＤにも提供して、時間のための信頼できる基準を提供することができる。時間は、ほとんどすべてのコンテンツとコンテキスチャルコンテンツに共通の基準である。１つの実施形態は、ＴＣＣが作り出された直後に、デバイスＴＣＣのハッシュを、サービスまたは公開台帳に公開することができるだけでなく、デバイスのＴＣＣ内にセキュアな時間サービス２６８からの時間を含めることもできる。ＴＣＣコンシューマまたは検証者は、ＴＣＣに組み込まれた時間（下限）と、サービスまたは公開台帳が更新された時間（上限）との組合せを使用して、ＴＣＣが作り出されたとき、したがって、ＴＣＣが記述するイベントが生じたときの証明可能な時間範囲を確立できる。

たとえば、コンテンツストレージ２６２およびセキュアなコンテンツストレージ２３６サービスは、ＴＣＣＤだけでなく他のサービスとの両方によって生成されるＴＣＣの永続的なバックアップ、アップロード、およびダウンロードを提供することができる。

システム２００は、１つ以上の集中型認証機関デバイス２４０および／または分散型認証コミュニティデバイス２４４を含み、これらは、次の２つの任意の組合せを相互に認証する責任がある：ＴＣＣＤ、ＴＣＣＤユーザ、ＴＣＣサービス、ＴＣＣサービスプロバイダ、およびまたはＴＣＣコンシューマ。たとえば、集中型認証機関デバイス２４０は、ドローン製造者、ドローンシステムオンチップ製造者、規制機関、または民間機関によって利用され得る。たとえば、集中型認証機関デバイス２４０は、認証機関または認証機関のチェーンとして実装され得る。たとえば、（分散型認証コミュニティデバイス２４４を含む）分散型認証コミュニティは、信頼のウェブ（たとえば、ＰＧＰおよびＧＰＧプロトコルを利用するコミュニティ）、信頼のマジョリティ（たとえば、コミュニティの参加者の大多数が同意する必要がある公開データベースまたは台帳）、信頼のコンセンサス（たとえば、コミュニティのすべての参加者が同意する必要がある公開データベースまたは台帳）、または、信頼の投票（たとえば、コミュニティの参加者のすべてが、投票する機会を有し、結果が記録され、すぐにまたは後で評価されて、真正性または信頼性を決定する公開データベースまたは台帳）として実装され得る。たとえば、分散型認証コミュニティデバイス２４４は、市民、ウォッチドッグエンティティ、ドローンユーザ、またはＴＣＣコンシューマによって利用され得る。

たとえば、ＴＣＣサービスプロバイダデバイス２５０は、ドローン製造者、クラウドサービスプロバイダ、ドローン保険プロバイダ、またはドローン修理／交換プロバイダによって利用され得る。いくつかの実装では、ＴＣＣサービスプロバイダデバイス２５０は、ネットワーク２３０上の通信を介して、サービスおよびメンテナンスのための情報を転送する。いくつかの実装では、ＴＣＣサービスプロバイダデバイス２５０は、通信リンク２５２（たとえば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、ＺｉｇＢｅｅ、または他のワイヤレス通信リンク）上の通信を介して、管理およびサービスのためのＴＣＣおよび情報をドローンコントローラ２１２に転送する。

たとえば、ネットワーク２３０を介して利用可能な他のサービスは、地図サービス２６０、天気サービス２７０、ユーザ許可サービス２７２、およびＴＣＣウォッチドッグサービス２７４を含むことができる。

図３は、信頼できるコンテキスチャルコンテンツのフォーマットの例を示すメモリマップ３００である。コンテキスチャルコンテンツは、環境およびイベントが理解および評価され得るように処理および編成される固有データとオプションで組み合わされた、１つ以上のソースからのデータである。信頼できるコンテキスチャルコンテンツのアーキテクチャは、信頼できるコンテキスチャルコンテンツ（ＴＣＣ）のストレージおよびトランスポートのためのデータ構造を定義する。ＴＣＣは、暗号で検証および監査され得る。ＴＣＣは、デジタル署名を使用して、位置合わせ、認証、識別、および検証のために、知られている方法を利用する。図３は、有効なフォーマットされた信頼できるコンテキスチャルコンテンツの多くの例を示し、ここでは、「コンテキスチャルコンテンツ」が「ＣＣ」と短縮され、「署名」が「Ｓ」と短縮されている。ＴＣＣ３１０のデータ構造は、コンテキスチャルコンテンツ３１２と、署名３１４のような認証のための手段とを含み得る。たとえば、ＴＣＣ３１０の１つのフォーマットは、コンテキスチャルコンテンツ３１２と、それに続くデジタル署名３１４として定義され得る。データ構造は、自己記述式フォーマットで記憶されるコンテキスチャルコンテンツのフォーマットを定義することができ、これは、署名自体の記述を含むことができ、オプションで、コンテキスチャルコンテンツ自体内に署名を含めることができる。たとえば、ＸＭＬは、自己記述式フォーマットであり、バージョンおよびプロトコルに関する情報、ＴＣＣを生成したデバイスに関するコンテンツや、スカラ、単位、および時間データを含むコンテキスチャルコンテンツ自体だけでなく、それ自体のデータ構造の全長のタグ値のペアをも含み得る。たとえば、ＴＣＣ３２０は、関連するコンテキスチャルコンテンツの多数のブロックと、ＴＣＣＤ（たとえば、ドローン２１０）によって署名されたコンテキスチャルコンテンツの多数のブロックのデジタル署名とを含む。外部データを認証できる値だけでなく、外部ファイルまたはデータを指し得るタグ値のペアをも定義することが可能である。たとえば、ビデオファイルの署名を有する外部ビデオファイルを指すタグ値のペアである。ＴＣＣは、それ自体がコンテキスチャルコンテンツであるため、カプセル化されたＴＣＣだけでなく、予想されるデジタル署名が付加されている限り、コンテキスチャルコンテンツおよび／またはＴＣＣの後に、追加のコンテキスチャルコンテンツおよびまたはＴＣＣをも有することは有効である。たとえば、ＴＣＣ３３０は、ＴＣＣＤ（たとえば、ドローン２１０）によって適用される新しいデジタル署名３３４でカプセル化された（たとえば、信頼できるセンサ７１０のように、信頼できるセンサからの）ＴＣＣ３３２を含む。たとえば、ＴＣＣ３４０は、（たとえば、ＴＣＣＤ５１０からの）新しいデジタル署名を備えた多数のカプセル化されたＴＣＣを含む。たとえば、ＴＣＣ３５０は、多数のカプセル化されたＴＣＣと、（たとえば、ＴＣＣＤドローン９１０からの）新しいデジタル署名を備えたＣＣの多数の追加のブロックとを含む。

このフォーマットは、ＴＣＣコンシューマまたは認証者が、ＴＣＣおよびまたはそれを作り出したデバイスを認証するだけでなく、データ構造を簡単に調べて、ＴＣＣを理解することをも可能にする。このフォーマットは、データ構造が伝達されるときに、多数のデバイスおよびサービスが、追加のデータおよび署名を付加することを可能にする。データの付加することは、すべての以前の署名を伴うデータ構造全体を含み得る追加の署名を適用することを含む場合があり、これは、構造に含まれるデータを暗号的に変えることを困難にする。

図４は、信頼できるコンテキスチャルコンテンツの例を示すメモリマップ４００である。図４は、温度測定デバイスによって作り出され得るＴＣＣ４１０の例を示す。この例では、デバイス実装は、コンテキスチャルコンテンツとしていくつかの固有データを含めることを選択する：同様のメッセージが捏造される可能性がないように、グローバルに一意の番号４２０の１回の使用。ＴＣＣ４１０はまた、製造者名、デバイス名、デバイスモデル番号、製造者ロット番号、および一意のデバイスＩＤのような製造者情報４３０を含む。ＴＣＣ４１０は、環境を記述するいくつかの測定データ４４０を含み、所与の所および時間のイベントがより完全に理解される：摂氏温度；暦月、日、および年；ＧＭＴに対する時間；北緯および西経の角度での地球の地理的場所、ＷｉＦｉ ＳＳＩＤ、またはセルラタワー識別子。ＴＣＣ４１０は、デバイスの署名鍵を使用する一意のグローバルＩＤを有するデータ構造に特定のデジタル署名４５０を含む。このフォーマットは、認証者が、デバイスの公開データを使用してデータ構造を検証することを可能にし、ＴＣＣコンシューマが、ＴＣＣ４１０を作り出したＴＣＣＤと直接通信する必要なくＴＣＣ４１０を簡単に解釈することを可能にする。

デバイスの公開データ（たとえば、公開鍵やデバイス証明書）は、コンテキスチャルコンテンツと考えられ得、データ構造に直接組み込まれる場合があることに注意されたい。データプライバシのためにこのデータ構造を暗号化することはオプションであり、ＴＣＣＤおよびＴＣＣ認証には必要ないことに注意されたい。ＴＣＣＤは、直接評価するか、後にコンテキスチャルコンテンツを評価するために使用され得るデータを作り出し得ることに注意されたい。そのようなデータは、コンテキスチャルコンテンツ自体と考えられ得、データ構造に直接組み込まれる。たとえば、２つは期待通りに有効な読取値を作り出し、３つ目は所与の環境では統計的にありそうもないと思われる疑わしい無効な読取値を作り出す、３つの温度センサを備えたＴＣＣＤである。そのようなデバイスは、ＴＣＣに３つの読取値すべてを含めるか、誤りモデルおよびセンサからの障害データを考慮するフィルタに基づく単一の読取値および品質スコアのみを含めるか、または、ＴＣＣが後で評価または再評価され得るように、これら２つのアプローチの組合せを含めることができるようにする。このデータ構造を使用すると、追加のデバイスがＴＣＣを付加したり、カプセル化されたＴＣＣの評価を追加することが可能である。たとえば、第１のデバイスと同時に同じエリアにある第２のデバイスは、元のＴＣＣを確証するかまたは否定するのに役立つそれ自体のデータを付加できる。２次的な（ｓｅｃｏｎｄａｒｙ）デバイスは、付加されるデータに組み合わされたデータのそのような追加のメトリックおよびスコアを含めることができる。同様に、ＴＣＣサービスは、追加のＴＣＣを付加したり、多くのソースからのＴＣＣを組み合わせてそれら自体のＴＣＣを作り出し得る。さらに、ＴＣＣのサブセクションは、伝播するように選択的に選択され得る一方、他のサブセクションは省かれるが、これはＴＣＣ境界でのみ実行され得る。コンテキスチャルコンテンツは、ＴＣＣから選択的にサンプリングされて、派生ＴＣＣを作成できるが、この場合、元のＴＣＣは、元のＴＣＣ製作者からの署名を失い、そのデバイスへと戻る信頼のチェーンを失うことに注意されたい。対照的に、ＴＣＣ境界（コンテキスチャルコンテンツとその検証データ）においてＴＣＣを選択的にサンプリングすることは、元のＴＣＣを作り出すデバイスまたはサービスへと戻る信頼のチェーンを維持する。

図５は、信頼できるコンテキスチャルコンテンツデバイス５１０の例のブロック図である。信頼できるコンテキスチャルコンテンツデバイスは、データを収集し、データを、他のデータおよびデバイス固有データ（たとえば、時間、スケーリングパラメータ、および較正パラメータ）へ参照することを介して、データコンテキストを与え、データを処理してコンテキスチャルコンテンツを作成し、オプションで、コンテキスチャルコンテンツを暗号化し、コンテキスチャルコンテンツに署名してＴＣＣを作成し、オプションで、そのＴＣＣを記憶し、ワイヤレスまたはワイヤドインターフェースを介してＴＣＣを送信する。ワイヤドインターフェースは、ＵＳＢタイプ－Ｃコネクタ上のＵＳＢデータを含むことができ、ワイヤレスインターフェースは、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、３Ｇ、４Ｇ、ＬＴＥ、およびプロプライエタリを含むとができる。たとえば、信頼できるコンテキスチャルコンテンツデバイス５１０は、図１０のデバイス１０００を含み得る。

信頼できるコンテキスチャルコンテンツデバイス５１０は、コンテンツの第１のセットを出力する１つ以上のセンサ５１２と、コンテンツの第２のセットを出力する１つ以上のセンサ５１４とを含む。信頼できるコンテキスチャルコンテンツデバイス５１０は、コンテキスチャルコンテンツを生成するために、１つ以上のセンサ５１２、および、１つ以上のセンサ５１４からのコンテンツに、信号処理を適用する処理モジュール５２０を含む。コンテキスチャルコンテンツはまた、信頼できるコンテキスチャルコンテンツデバイス５１０のデバイス固有データ５２６を含み得る。コンテキスチャルコンテンツは、コンテキスチャルコンテンツをセキュアにするために、真の乱数発生器５３２および暗号化鍵５３４を使用する暗号化モジュール５３０で暗号化され得る。セキュアなコンテキスチャルコンテンツは、信頼できるコンテキスチャルコンテンツデバイス５１０に署名鍵５５２を適用する署名モジュール５５０で署名され得る。

ＴＣＣＤは、オプションで、ＴＣＣおよびまたは信頼できないコンテキスチャルコンテンツ、およびまたはデータを受信し得る。そのようなデータはまた、ＴＣＣを作り出すモジュールによって処理され得る。たとえば、ＴＣＣＤは、ＬＴＥインターフェースを介して、公開ネットワーク上のセキュアな時間サーバから、セキュアな時間ＴＣＣを受信し、このデータを使用して、デバイスの現地時間を参照し、確認し、および修正し得る。ＴＣＣＤの１つの実施形態は、その構成要素すべてのデバイス固有データをハッシュし、このハッシュをそのデバイス証明書に含めるか、後で作り出されるＴＣＣに含めるか、または後で監査され得るようにサービスまたは公開台帳に公開し得る。

ＴＣＣＤ５１０は、セキュアなブート５２２、（ブートローダ、ファームウェア、およびソフトウェアの）アンチロールバック５２４、暗号化システムに適したハードウェア真の乱数発生器（ＴＲＮＧ）５３２、およびルート鍵ペアを介した信頼のルート５４０を含む。これらの特徴は、デバイスのセキュリティおよび信頼性を向上させるソフトウェアを後でリリースしたり、システム実装において発見された欠陥を修繕できるソフトウェアパッチをリリースする能力を与える。さらに重要なことに、これらの特徴がないことは、ソフトウェアの更新に単に依存する能力を妨げ、これらのタイプの改善をロールアウトするために、ハードウェアの改訂を必要とする場合があることに注意されたい。これらの特徴は、デバイスが、ＴＣＣコンシューマによって信頼され得る方法でＴＣＣを作り出すこともできるようにする。

セキュアなブート５２２は、その後に実行されるデバイスブートローダによってロードされるファームウェアおよびソフトウェアが製造者が意図したファームウェアおよびソフトウェアであることを保証する、セキュアなブートローダの実装によってできるようにされる。悪意のある、または意図されていないソフトウェアおよびファームウェアは、ＴＣＣＤでは実行しない。アンチロールバック５２４は、ＴＣＣＤにロードされた新しいブートローダ、ファームウェア、およびソフトウェアが、現在のバージョンよりも新しいバージョンであることを保証する。これは、ＴＣＣＤバイナリが、知られている欠陥およびまたはエクスプロイトのあるバージョンに戻されないことを保証する。これは、デバイスの製造者、およびまたは、ブートローダ、ファームウェア、およびソフトウェアの開発者が、欠陥やエクスプロイトを修繕するアップデートをリリースし、修繕が適用され、削除または復帰されないことを、ＴＣＣＤユーザに保証することをできるようにする。それはまた、ＴＣＣコンテンツコンシューマが、それらのＴＣＣをクロスチェックして、ＴＣＣＤブートローダ、ファームウェア、およびソフトウェアの知られている欠陥やエクスプロイトがないバージョンによって作り出される可能性を低減し、信頼できない、または、欠陥やエクスプロイトが発見された後、信頼できなくなるＴＣＣを、無効化する、削除する、またはフラグ付けすることを可能にする。暗号化システムに適したハードウェア真の乱数発生器５３２は、統計的にランダムで予測不可能な数値を作り出せるデバイスである。ＴＲＮＧは、しばしば、意図的に観察および改ざんすることが難しい。ＴＲＮＧ５３２は、鍵の生成、暗号化、署名、および暗号化通信プロトコルに使用され得ることを考えると、強力で信頼できるシステムを作成するための重要な一部である。これらのプロトコル、アルゴリズム、およびプロセスにおけるＴＲＮＧ５３２の利用は、デバイスが、悪意のある攻撃に対してさらにレジリエントであり、ＴＣＣ、ＴＣＣＤ、および他のデバイスやインフラストラクチャとの通信の信頼性の維持に役立つことを保証する。信頼のルート５４０は、ＴＣＣＤのために確立され得る。暗号化システムの場合、これは通常、デバイスまたはＳｏＣの作成時と、デバイスのプロビジョニングとの間に実装され、暗号化システムの基礎として使用され、認証および暗号化の基本となるデータの作成または投入（ｉｎｊｅｃｔｉｏｎ）として実装される。ＴＣＣＤ５１０は、データの作成または投入のプロセスと同等にのみ信頼され得る。ＴＣＣＤの場合、これは、外部の信頼できる機器によって投入されるか、または、（ＩＣ作製時または作製後プロビジョニング時における）ＴＣＣＤ製造者の集積回路ベンダのうちの１つ、または（製造時または製造後プロビジョニング時における）ＴＣＣＤ製造者、または（デバイスのシステムへのプロビジョニング時における）ＴＣＣＤカスタマのうちのいずれかによって、ＴＣＣＤ５１０によって内部的に、ハードウェアセキュアな要素によって作り出される、ルート鍵ペアとして実装され得る。信頼できる機器の場合、そのような機器の信頼のレベルは、非常に重要であり、なぜなら、それは、同じ鍵材料を使用して、誤ってまたは悪意を持って異なるパーツを作り出す可能性があるためである。鍵ペアは、秘密鍵および公開鍵で構成される。これらの鍵は、たとえば、暗号化鍵および署名鍵のように、暗号化および認証サブシステム用の他の様々な鍵を生成するために使用される。さらに、デバイス証明書がプロビジョンされ、インストールされ、認証機関およびまたは認証コミュニティと公開して共有される。ＳｏＣ製造者、ＴＣＣＤ製造者、およびＴＣＣＤカスタマのおのおのが、互いに信頼を委任することにより、信頼のチェーンを確立することができる。たとえば、知られているｘ．５０９規格は、チェーンにおける最後のプレーヤが、中間証明書を使用して、デバイス証明書をプロビジョンするまで、各当事者が、連続する中間電子証明書に署名することで、信頼を委任することを可能にする証明書フォーマットを定義する。これは、認証者が、デバイスの識別情報およびＴＣＣが真正であることを確実に検証できることのみならず、知られている方法を使用して、信頼のルートを、ある起源までトレースバックすることを可能にする。たとえば、知られている信頼できる認証機関（ＣＡ）は、知られている信頼できる証明書を所有している。ＣＡは、それがＳｏＣ製造者に付与する中間証明書に署名し得る。その後、ＳｏＣ製造者は、ＳｏＣを製造して、ＴＣＣＤ製造者にそれらを販売し、別のカスケードされた中間証明書に署名して、それをＴＣＣＤ製造者に付与する。ＴＣＣＤ製造者は、ＳｏＣを構成要素として使用してＴＣＣＤを製造し、製造プロセス中にＳｏＣに信頼のルートを確立し、中間証明書を使用して、デバイスによって署名されたデバイス証明書をプロビジョンする。デバイスはＴＣＣＤカスタマに販売され、デバイス証明書のコピーが、認証機関およびコミュニティに公開される。後に、デバイスは、ネットワークにプロビジョンされ、サービスと通信し、ＴＣＣを作り出し得る。システム内の他の当事者が、デバイスまたはそのＴＣＣと相互作用するときに、認証機関およびまたはコミュニティに確認して、デバイスの識別およびＴＣＣの真正性を検証するのみならず、デバイスの証明書のチェーンが有効であることを二重に確認することもできる。これは、デバイス証明書が有効であるのみならず、ＴＣＣＤ製造者、ＳｏＣ製造者、およびＣＡの中間証明書も有効であることを意味する。この信頼のチェーン全体を検証することが可能であるため、意図されていない信頼のルートを捏造することは非常に困難になる。攻撃者または悪意のある当事者は、ＴＣＣＤ製造者のみならず、ＳｏＣ製造者、および認証機関をも破壊する必要がある。さらに、信頼のチェーンにおけるいずれかの当事者は、そのような試みを検出することができる。ＴＣＣＤは、オプションで、多数のユーザを有する機能を提供する。多数のユーザが、ユーザの追加および削除と、ユーザの認証と、ログインと、ログアウトと、権限のレベルの定義および調整と、特定の特徴へのアクセスの定義および調整と、データへのアクセスの定義および調整と、ユーザデータの分割と、データの共有と、データの読取、書込、および読取書込アクセスの定義および調整とを行うための方法を実装できるデバイス。たとえば、デバイスは、デバイス上のすべてのデータ、コンテンツ、および機能への最高レベルのアクセスを有する管理ユーザと、フィールドＴＣＣ収集に関連する機能へのアクセスを有するユーザと、ＴＣＣをデバイスから特定のＴＣＣサービスに転送するのみの制限されたアクセスを有するユーザとを有し得る。

セキュアなブート５２２は、ブートローダ、主要なオペレーティングシステムファイル、および無許可のオプションＲＯＭの改ざんを、それらのデジタル署名を検証することによって検出するプロセスを含み得る。検出は、それらがシステムを攻撃するまたは影響を与え得る前に、動くことがブロックされる。セキュアな認証済みのコンテキストデータシステムのコンテキストでは、セキュアなブート５２２は、システムによって実行されているバイナリが、デバイス製造者がデバイス上で実行することを意図した正しいバイナリであることを保証するので、システムは、攻撃者によって破壊されない。セキュアなブートシステムは、いずれかの改ざんが試みられると、システムが動かず、潜在的に他のシステムに通知またはアラートしたり、または、ユーザインターフェースを使用して、ユーザにそれを示す、ハードウェアとソフトウェアとの組合せであることが、典型的である。ハードウェアハッシュと、ブートローダが、実行のためにジャンプすることを意図するソフトウェアイメージの検証とが行われ得る。セキュアなブート５２２を実装するための多くの知られた方法があり、多くのセキュリティのレベルがある。デバイス上のソフトウェアおよびファームウェアのすべてのバージョンが、多数の構成要素から成るソフトウェアおよびファームウェアのイメージを有するシステムにおいて、互換性があることを検証することは優れた実践である。

アンチロールバック５２４は、ハードウェア、ソフトウェア、またはハードウェアとソフトウェアの混合プロセスまたは実装を含み得、システム上でソフトウェアの以前のバージョンを実行することを妨げ、したがって、ソフトウェアの現在のバージョンまたは将来のバージョンのみを実行し得る。そのような特徴は、実行中のソフトウェアのバージョンを確実に検出し、ソフトウェアには、それを表す信用できるスキームがある。これは、バージョンナンバリングスキーム、ハードウェアＯＴＰ、および最小デジタル署名システムバイナリを使用して実装され得る。

信頼のルート５４０は、暗号化システムの基盤を確立するために、データを生成またはデバイスに投入するハードウェア、ソフトウェア、またはハードウェアとソフトウェアの混合プロセスを含み得る。これは、しばしば、鍵のペア、一つは公開鍵、一つは秘密鍵、の生成または投入として実装され、秘密鍵のランダム性、予測不可能性、および機密性は、暗号化システムの動作の基本である。そのような公開鍵と秘密鍵との生成、投入、および取扱が、そのようなシステムを攻撃する時間および場所を提示することは注目に値する。このため、システムが、信頼できる当事者の管理を離れると、そのような動作を行うのは適切でない場合がある。製造者は、信頼できる当事者であり、検証可能な信頼のチェーンが、信頼できる機関およびまたはコミュニティに対して確立されることがしばしばある。これらの動作を行う機器へのアクセスを制限およびセキュアにするだけでなく、製造施設をもセキュアにするために注意が払われるのが一般的である。用途、製品、およびカスタマ要件に応じて、製造施設の地理的場所だけでなく、製造パートナをも選択する際には、多くの場合、注意が払われる。

信頼できるコンテキスチャルコンテンツデバイス５１０は、一意のデバイス識別５４２およびデバイス証明書５４４を含む。

信頼できるコンテキスチャルコンテンツデバイス５１０は、改ざん防止組込式不揮発性メモリ５６０を含む。たとえば、改ざん防止組込式不揮発性メモリ５６０が使用されて、信頼できるコンテキスチャルコンテンツデバイス５１０によって生成されたＴＣＣを、信頼できるコンテキスチャルコンテンツデバイス５１０上にローカルに記憶することができる。

図６は、信頼できる構成要素６１０の例のブロック図である。ＴＣＣＤ（たとえば、信頼できるコンテキスチャルコンテンツデバイス５１０）は、オプションで、１つ以上の信頼できる構成要素を有し得る。信頼できる構成要素は、それ自体が暗号で検証可能な、信頼のルートを有するデバイス内部品である。ＴＣＣＤの１つの実施形態では、デバイス内のすべての信頼できる構成要素の公開鍵を、そのデバイス証明書に含めることが可能である。これは、ＴＣＣＤに、特定の構成要素のセットが含まれているという信頼を提供するのに役立ち、デバイスが、リサイクルされた、または未承認の部品で作られるのを防ぐのに役立つ。それはまた、製造後に修正されたＴＣＣＤを検出することにも役立つ。

信頼できる構成要素６１０は、信頼のルート６４０、それ自体を識別するためのいくつかのデバイス固有データ６２６、信号処理および通信を行うための処理モジュール６２０、署名モジュール６５０、一意の署名鍵６５２、および通信のための外部インターフェースを有する。信頼できる構成要素６１０は、オプションで、データを収集するための１つ以上のセンサ６１２、１つ以上の追加の信頼できない外部インターフェース、ＴＲＮＧ６３２、一意のデバイス識別６４２、およびデバイス証明書６４４を有し得る。単純な信頼できる構成要素は、製造時にインストールされたグローバル署名鍵を有することができ、これは、外部インターフェース上で単純なメッセージに署名するために使用される。例は、製造者名、ねじのロット番号、ねじの材料、ねじの寸法、およびねじの質量を、固有データとして有する、信頼できる機械式ねじである。固有データが照会され得るワイヤレスインターフェースを有する可能性もある。それは、応答すると、知られているデジタル署名アルゴリズム（たとえば、ＥＣＤＳＡ）を使用して、その署名鍵６５２でメッセージに署名する。照会デバイスは、知られている方法を使用して、固有メッセージを検証し、固有データが正しいことを検証できる。より複雑なデバイスの実施形態は、攻撃者が１つのデバイスを、悪意を持って破壊した後に、任意のデバイスをでっち上げる能力を防ぐであろう一意の署名鍵を有することができる。信頼できる構成要素のさらに別の、より複雑でロバストな実施形態は、ＴＲＮＧ６５２、一意のデバイス識別６４２、およびデバイス証明書６４４を含み得る。信頼できる構成要素はさらに、オプションで、デバイスに記憶されるデータと、信頼できるインターフェース上で通信されるデータとを、暗号化し得る。

図７は、信頼できるセンサ７１０の例のブロック図である。ＴＣＣＤ（たとえば、信頼できるコンテキスチャルコンテンツデバイス５１０）は、オプションで、１つ以上の信頼できるセンサを含み得る。信頼できるセンサは、１つ以上のセンサを含み、暗号で認証可能なデータを作り出す信頼できる構成要素である。信頼できるセンサとインターフェースするシステムは、センサが、意図されたセンサであることを認証できる場合がある。たとえば、製造者ＡＡが、一意のＩＤであるＡＡ－ＢＢ－ＣＣを有するセンサモデルＡＡ－ＢＢを製造している場合、システムは、デバイスに暗号で照会し、センサが、実際にＡＡからのものであり、モデル番号ＡＡ－ＢＢを有し、一意のＩＤであるＡＡ－ＢＢ－ＣＣを有することを検証できる。信頼できるセンサは、オプションで、物理的な改ざんに対するガード、較正データが有効であるというアサーション、動作および保証条件が満たされているというアサーションを実装することもできる。このように、信頼できるセンサを利用するＴＣＣＤシステムアーキテクチャは、デバイス上で作り出されたＴＣＣが真正で有効であることをさらに保証できる。

信頼できるセンサ７１０は、１つ以上のセンサ７１２（たとえば、超音波変換器、無線受信機、フォトダイオード、フォトダイオードアレイ、マイクロボロメータ、画像センサ、サーミスタ、ＧＮＳＳ受信機、加速度計、ジャイロスコープ、磁気計、または圧力センサ）を含む。信頼できるセンサ７１０は、信頼のルート７４０、それ自体を識別するためのいくつかのデバイス固有データ７２６、コンテンツの信号処理および通信を行うための処理モジュール７２０、署名モジュール７５０、一意の署名鍵７５２、および通信のための外部インターフェースを有する。信頼できるセンサ７１０は、ＴＲＮＧ７３２、一意のデバイス識別７４２、およびデバイス証明書７４４を含む。単純な信頼できるセンサは、外部インターフェース上で単純なメッセージに署名するために使用される製造時にインストールされたグローバル署名鍵を有し得る。より複雑な信頼できるセンサの実施形態は、攻撃者が、１つのデバイスを、悪意を持って破壊した後に、任意のデバイスを偽造する能力を防ぐ、一意の署名鍵７５２を有することができる。信頼できるセンサのさらに別のより複雑でロバストな実施形態は、ＴＲＮＧ７５２、一意のデバイス識別７４２、およびデバイス証明書７４４を含み得る。信頼できるセンサはさらに、オプションで、デバイスに記憶されているデータと、信頼できるインターフェース上で通信されるデータとを暗号化することもできる。

信頼できるセンサの例は、信頼できる画像センサである。図８は、信頼できる画像センサ８１０の例のブロック図である。信頼できる画像センサ８１０は、可視スペクトルにおける光を感知する焦点面アレイ８１２を含む。信頼できる画像センサ８１０は、レンズが調整された、除去された、または他の方法で改ざんされたか否かを検出できる電気スイッチセンサからの電気信号に基づいて、レンズの改ざんを検出するように構成されたレンズ改ざん検出器８１４を含む。信頼できる画像センサ８１０は、慣性センサからの慣性信号に基づいて、レンズへの衝撃を検出するように構成されたレンズ衝撃検出器８１６を含み、これは、レンズを損傷するか、または、レンズからセンサ、レンズからデバイス、またはセンサからデバイスへの較正を無効にする、大きな衝撃があるか否かを検出できる。信頼できる画像センサ８１０は、信頼のルート８４０、それ自体を識別するためのいくつかのデバイス固有データ８２６、コンテンツの信号処理および通信を行うための処理モジュール８２０、署名モジュール８５０、一意の署名鍵７５２、および通信のための外部インターフェースを有する。デバイス固有データ８２６は、製造者、製造日、ロット番号、特定のモデル、一意のデバイス識別子８４２、センサ較正データ、レンズ較正データ、較正日、較正場所、測定データをピクセルデータに変換するためのスカラおよび行列、ならびにデバイス証明書８４４を含み得る。信頼できる画像センサ８１０は、ハードウェアＴＲＮＧ８３２、製造時にハードウェアセキュアなモジュールを使用して内部的に生成されたルート鍵ペアとしての信頼のルート８４０、製造された一意のデバイス識別８４２、デバイス証明書８４４、および製造時における署名鍵８５２を含む。信頼できる画像センサ８１０は、ＥＣＤＳＡ署名画像データを、他の構成要素に送信する、信頼できる外部ＭＩＰＩインターフェースを含み得、これは、知られている方法を使用して、インターフェース上のデータの真正性を暗号的に検証することができる。それはさらに、デバイスレジスタの読取および書込だけでなく、コマンドおよび制御メッセージのためにも、信頼できる外部ＳＰＩまたはＩ２Ｃインターフェースを有し得る。これらのインターフェース上のメッセージは署名されることもでき、これによって、外部デバイスも同様に、メッセージの真正性を検証し、データを登録できる。登録データは、較正データのようなデバイス固有データ８２６を含み得る。信頼できる画像センサ８１０は、センサのレンズが改ざんされた場合、またはセンサが落下したことを慣性的に検出した場合に、画像データにフラグを立てる処理機能を実装することができる。このような事例では、センサから画像データが送信されることを可能にせず、障害または誤りが発生したことを示すメッセージのみを可能にする処理機能を追加で実装する場合がある。多くの場合、デバイスは、センサデータを削減する。たとえば、多くの画像デバイスは、画像センサデータを圧縮するであろう。この場合、信頼できるセンサからのデータを、それが圧縮される前に検証することが重要である。信頼できる画像センサ８１０のデバイス証明書８４４を、そのＴＣＣに組み込まれることができる固有のＴＣＣＤデータとして含めることも有用であろう。これは、ＴＣＣコンシューマが、証明書の失効や、他の知られている動作を確認することだけでなく、信頼できるセンサを検証することをも可能にする。

１つ以上の信頼できる構成要素と、１つ以上の信頼できるセンサとを含むＴＣＣＤは、デバイスによって収集されたデータが有効であるという暗号的に検証可能な保証を提供できる場合がある。たとえば、信頼できる画像センサを含むＴＣＣＤは、光子が、信頼できる画像センサの焦点面アレイに到着した時点から、真正であることが保証されている、暗号で検証可能なＴＣＣ画像データを提供できる。対照的に、信頼できる画像センサのないＴＣＣＤは、デバイス内のメインアプリケーションプロセッサが、データに署名したときからのみ、ＴＣＣの真正性を保証できる。そのようなシステムでは、画像センサに障害または改ざんが、不注意に欠陥があるか、または悪意を持って捏造された画像センサデータを作り出す可能性がある。対照的に、典型的なデバイスは、そのコンテキスチャルコンテンツが信頼できるという保証を提供しない場合がある。

ＴＣＣＤは、１つ以上のセンサを使用して、将来のコンテキスチャルコンテンツ値を予測し、結果を評価し、結果をデバイスＴＣＣに含めることで、それらのデータの信頼性を向上させようと試み得る。これは、推定技法を使用して達成できる。たとえば、単一の温度センサを備えた温度ＴＣＣＤは、線形２乗推定技法を使用して、センサを経時的にサンプリングし、センサに関して知られている固有データ、たとえば、そのようなセンサの予想される誤差のモデルを使用して、次の値を予測できる。予測値と実際の値とが比較され使用されて、センサ読取値の品質メトリックを定義できる。推定技法を使用することは、依存するデータソースを有する多くのセンサが比較されて、１つ以上のセンサデータが無視されるか、より信頼できないかを決定できる。たとえば、多くの温度センサを備えたシステムは、すべての読取値を、所与の条件でシステムにわたる温度がどのように変化するのかを示すモデルなどの固有データと比較して、センサのデータの１つ以上が、無視されるか、より信頼できないかを決定するためのメトリックを作成することに役立つ。相関誤りのあるＮ個のセンサを考えると、以下のアルゴリズムが使用されて、多くのセンサの出力を組み合わせることができる：
Ｃｏｍｂｉｎｅｄ＿ｓｅｎｓｏｒ＿ｖａｌｕｅ＝（Ｓｅｎｓｏｒ＿１＿ｖａｌｕｅ＊ｓｅｎｓｏｒ＿１＿ｗｅｉｇｈｔ）＋（Ｓｅｎｓｏｒ＿２＿ｖａｌｕｅ＊ｓｅｎｓｏｒ＿２＿ｗｅｉｇｈｔ）＋・・・＋（Ｓｅｎｓｏｒ＿Ｎ＿ｖａｌｕｅ＊ｓｅｎｓｏｒ＿Ｎ＿ｗｅｉｇｈｔ） ［式２］

上記の式２では、センサ値は、組み合わされる前に、いくつかの固有データを使用してオプションで正規化され得る。たとえば、較正データ、オフセット、スカラ、およびモデルベースの補正を適用できる。いくつかの実装では、重みは、動的であることができ、合計して正確に１．０になるように正規化され得る。センサに、障害のある挙動、または誤り条件を検出する能力がある場合は、センサ値が、デバイスＴＣＣに影響を与えないように、重みを０．０に調整することができる。相関性のない誤りのあるＮ個のセンサを考慮すると、推定技法が使用されて、デバイスのローカル環境を記述する方法で、多くのセンサの出力を組み合わせることができる。たとえば、加速度計、ジャイロスコープ、磁気計、気圧計、ＧＮＳＳ、およびカメラを備えたデバイスは、推定技法を使用して、たとえば：地球に対するデバイスの絶対位置や、高度や、速度や、加速度や、回転速度や、回転加速度や、デバイス周辺の環境の視覚化や、環境、オブジェクト、存在、および環境内の物の分類や、環境、オブジェクト、存在、環境内の物の識別のように、環境に対するデバイスに関連するコンテキスチャルコンテンツを作り出せる。これらの推定技法は、同時ローカリゼーションおよびマッピング（ｓｉｍｕｌｔａｎｅｏｕｓ ｌｏｃａｌｉｚａｔｉｏｎ ａｎｄ ｍａｐｐｉｎｇ）（ＳＬＡＭ）、分類、および追跡を含み得る。これらの推定技法は、コンテンツの所与の部分が正確であるという品質または確率を記述するコンテンツを作り出し得る。たとえば、地球に対するデバイスの高度は、推定される、および推定値が真の値に対して正確である可能性を記述する品質メトリックを有する、の両方の場合もある。上記の例では、ＧＮＳＳシステムは、デバイスの高度に関する直接的な情報を与える。さらに、気圧計は、高度の変化に応じて読取値が異なることを考えると、間接的な情報を与え得る。さらに、時間に対する加速度計の第２の積分は、絶対位置を与える。さらに、カメラは、カメラの視野内の環境を追跡する画像処理を介して、絶対位置データを与えることができる。同様のデバイスは、非常に豊富なコンテキスチャルコンテンツに処理および組み合わされ得る、データの相関性のないソースが多数含む場合がある。さらに、障害を検出して、適切な較正を報告できる可能性のある多くの信頼できる構成要素を組み合わせることは、コンテキスチャルコンテンツをさらに強化する。２次的なデバイスまたはサービスは、同様の推定技法を使用して、追加のコンテキスチャルコンテンツを作り出すだけでなく、それら自体のコンテキスチャルコンテンツ、または他のデバイスからのコンテキスチャルコンテンツを付加する場合もある。

ＴＣＣＤの例示的な実装は、ＴＣＣＤドローンである。ＴＣＣＤドローンは、データを収集するセンサ、固有デバイスデータ、データ処理、オプションの暗号化、コンテキスチャルコンテンツの暗号化署名、ワイヤレスおよびオプションのワイヤド外部インターフェースを有する。

図９は、ドローンに含まれる信頼できるコンテキスチャルコンテンツデバイス９１０の例のブロック図である。ＴＣＣＤドローン９１０は、画像センサ９１２と、１つ以上の追加のセンサ９１４とを含む、データをキャプチャするセンサを有する。センサの例は、超音波変換器、無線受信機、フォトダイオード、フォトダイオードアレイ、マイクロボロメータ、画像センサ、水晶発振素子、時間センサ、サーミスタ、ＧＮＳＳ受信機、加速度計、ジャイロスコープ、磁気計、圧力センサを含むことができる。データは、限定されないが、超音波、音波、電波、マイクロ波、赤外光、可視光、紫外光、電離放射線、時間、周囲温度、地理的場所、機首方位、速度、加速度、および気圧であり得、時間や、デバイス固有データ９２６や、較正データや、およびまたは、ＴＣＣＤドローン９１０によって受信された他のデータ、コンテンツ、およびコンテキスチャルコンテンツが参照された場合、コンテンツとなる。固有デバイスデータ６２６の例は、一意のデバイス識別子９４２、パラメータ、センサ較正データ、およびデバイスに記憶されている他のデバイスに一意のデータである。他の例は、デバイスモデル番号、センサデータをコンテンツに変換するためのスケーリングおよび変換パラメータ、様々なコンテンツのコンテキスチャルコンテンツへの処理を支援する変換パラメータ、配列、および行列である。そのようなデータは、デバイスに一意であり、オンボードセンサによって測定および記憶され、デバイス特定のソフトウェアに記憶され、デバイスモデル特定のソフトウェアに記憶され、工場またはユーザの較正セットの一部として記録され、およびまたは、工場で、プロビジョニング時に、またはユーザによってマニュアルで入力される。コンテキスチャルコンテンツは、処理モジュール９２０によって処理されてコンテキスチャルコンテンツを作成し、コンテキスチャルコンテンツは、オプションで、ＡＥＳ－ＧＣＭ暗号化モジュール９３０を使用して暗号化される。署名鍵９５２を使用して署名モジュール９５０で署名されたコンテキスチャルコンテンツ。署名されたデータは、オプションで、記憶され、ワイヤレスおよび／またはオプションのワイヤド外部インターフェースを介して送信される。ＴＣＣＤドローン９１０は、ハードウェアベースのセキュアなブート９２２と、アンチロールバック９２４とを実装する。ハードウェアベースのセキュアなブート９２２は、ハードウェア機能を使用して、デバイスソフトウェアのハッシュを計算および検証し得る。ＴＣＣＤドローン９１０は、そのメインアプリケーションプロセッサにハードウェアＴＲＮＧ９３２を有する。メインアプリケーションプロセッサは、メインアプリケーションプロセッサＩＣベンダによって、ルート鍵ペアでプロビジョンされ得る。製造者は、オプションで、信頼のルート９４０を確立することによって、製造時にデバイスをプロビジョンし、デバイスのハードウェアセキュリティモジュールを利用して、鍵ペアおよび派生鍵を生成し、製造者の中間証明書から導出されるデバイス証明書９４４を生成し、これは、信頼できる証明機関または信頼できる認証者のコミュニティに辿り戻ることができる信頼のチェーンを有し、デバイスに、デバイス証明書９４４に署名させ、署名された証明書をデバイスに記憶し、デバイス証明書９４４を、認証機関およびまたはコミュニティに登録する。ＴＣＣＤカスタマが、オプションで、デバイスをプロビジョンするためのワイヤレスおよびオプションでワイヤドＡＰＩが存在する。ＴＣＣおよび他のデバイスデータの暗号化は、オプションで実装される。例示的な実装は、ハードウェアＡＥＳ－ＧＣＭである。ＴＣＣの署名が実装される。例示的な実装は、ハードウェアベースのＥＣＤＳＡである。ＴＣＣＤドローン９１０は、オプションで、ＴＣＣを、組込式または取り外し可能な不揮発性メモリ９６０に記憶する。メモリ９６０は、セキュリティをさらに改善するために、さらに、改ざん防止され、物理的にセキュアにされ得る。外部ワイヤレスインターフェースは、８０２．１１プロトコルおよびまたはカスタムのプロプライエタリのプロトコルを備えたＷｉ－Ｆｉ無線、３Ｇ、４Ｇ、またはＬＴＥ無線として実装され得、ワイヤドインターフェースは、ＵＳＢプロトコル、他の標準的なワイヤレスプロトコルを備えたＵＳＢタイプ－Ｃコネクタ、およびまたはカスタムのプロプライエタリのプロトコルおよびコネクタとすることができる。

このアーキテクチャは、多くの様々なＴＣＣＤ、サービスプロバイダ、およびＴＣＣコンシューマに適用できる。たとえば、ＴＣＣＤは、取り付け可能なカメラや、ウェアラブルカメラや、ダッシュカメラや、温度計などの接続されたセンサや、地上ロボット、ヒューマノイド、多足ロボット、車輪付きロボット、自動運転車、自律型水上艦などのロボティックデバイスや、マルチロータ、ＶＴＯＬ、固定翼、およびヘリコプタのようなドローンであり得る。サービスプロバイダは、ローカリゼーションデータ、他のＴＣＣＤからのＴＣＣ、信頼できないデータ、コンテンツ、およびコンテキスチャルコンテンツを提供することだけでなく、ＴＣＣ分析、ＡＩ処理、画像処理、メディアトランスコーディング、ストレージ、バックアップ、圧縮、フォーマット変換、ルーティングをも含む。ＴＣＣコンシューマは、コンシューマ、ＴＣＣＤを所有およびまたは運用している組織、および、所有およびまたは運用していない他のＴＣＣＤからのＴＣＣデータに依存している組織であり得る。

図１０は、デバイス１０００のハードウェア構成の例のブロック図である。ハードウェア構成は、データ処理装置１０１０、データストレージデバイス１０２０、センサインターフェース１０３０、コントローラインターフェース１０４０、ユーザインターフェース１０４４、およびデータ処理装置１０１０が他の構成要素にアクセスし得る相互接続１０５０を含み得る。たとえば、デバイス１０００は、信頼できるコンテキスチャルコンテンツデバイス（たとえば、信頼できるコンテキストデバイス１１０、信頼できるコンテキストデバイス１１２、または信頼できるコンテキストデバイス５１０）であるか、その一部であり得る。たとえば、デバイス１０００は、信頼できるコンテキスチャルコンテンツコンシューマデバイス（たとえば、信頼できるコンテキスチャルコンテンツコンシューマデバイス１２０）であるか、またはその一部であり得る。たとえば、デバイス１０００は、信頼できるコンテキスチャルコンテンツサービスプロバイダデバイス（たとえば、信頼できるコンテキスチャルコンテンツサービスプロバイダデバイス１５０）であるか、またはその一部であり得る。デバイス１０００は、信頼できるコンテキスチャルコンテンツを生成する、増強する、および／または提示するように構成され得る。たとえば、デバイス１０００は、図１１のプロセス１１００、図１２のプロセス１２００、図１３のプロセス１３００、および／または、図１４のプロセス１４００を実装するように構成され得る。

データ処理装置１０１０は、データストレージデバイス１０２０に記憶された命令を実行するように動作可能である。いくつかの実装では、データ処理装置１０１０は、命令が実行されている間に、データストレージデバイス１０２０から読み取られた命令を一時的に記憶するためのランダムアクセスメモリを備えたプロセッサである。データ処理装置１０１０は、おのおのが単一または多数の処理コアを有する単一または多数のプロセッサを含み得る。あるいは、データ処理装置１０１０は、データを操作または処理することができる別のタイプのデバイス、または多数のデバイスを含み得る。たとえば、データストレージデバイス１０２０は、ハードドライブ、ソリッドステートドライブ、読取専用メモリ装置（ＲＯＭ）、光ディスク、磁気ディスク、または、非一時的なコンピュータ読取可能メモリなど他の任意の適切なタイプのストレージデバイスのような不揮発性情報ストレージデバイスであり得る。データストレージデバイス１０２０は、データ処理装置１０１０による検索または処理のためにデータを記憶することができる別のタイプのデバイスまたは多数のデバイスを含み得る。データ処理装置１０１０は、相互接続１０５０を介して、データストレージデバイス１０２０に記憶されたデータにアクセスし、操作し得る。たとえば、データストレージデバイス１０２０は、データ処理装置１０１０による実行時にデータ処理装置１０１０に動作（たとえば、図１１のプロセス１１００、図１２のプロセス１２００、図１３のプロセス１３００、および／または図１４のプロセス１４００を実装する動作）を行わせる、データ処理装置１０１０によって実行可能な命令を記憶し得る。

センサインターフェース１０３０は、１つ以上のセンサ（たとえば、１つ以上のセンサ５１２）からのデータ（たとえば、温度測定値、圧力測定値、ライダポイントクラウド、加速度測定値、角速度測定値、磁束測定値、および／または可視スペクトル画像）を制御および／または受信するように構成され得る。いくつかの実装では、センサインターフェース１０３０は、導体上での１つ以上のセンサデバイスとの通信のためのシリアルポートプロトコル（たとえば、Ｉ２ＣまたはＳＰＩ）を実装し得る。いくつかの実装では、センサインターフェース１０３０は、低電力の短距離通信を介して（たとえば、ボディエリアネットワークプロトコルまたは車両エリアネットワークプロトコルを使用して）１つ以上のセンサグループと通信するためのワイヤレスインターフェースを含み得る。

通信インターフェース１０４０は、他のデバイス、たとえば、別の信頼できるコンテキスチャルコンテンツデバイス（たとえば、ドローン２１０）との通信を容易にする。たとえば、通信インターフェース１０４０は、Ｗｉ－Ｆｉネットワーク、Ｂｌｕｅｔｏｏｔｈリンク、またはＺｉｇＢｅｅリンクを介した通信を容易にし得るワイヤレスインターフェースを含み得る。たとえば、通信インターフェース１０４０は、シリアルポート（たとえば、ＲＳ－２３２またはＵＳＢ）を介した通信を容易にし得るワイヤドインターフェースを含み得る。通信インターフェース１０４０は、ネットワーク（たとえば、ネットワーク２３０）を介した通信を容易にする。

ユーザインターフェース１０４４は、ユーザからの／への情報の入力および出力を可能にする。いくつかの実装では、ユーザインターフェース１０４４は、液晶ディスプレイ（ＬＣＤ）、カソードレイチューブ（ＣＲＴ）、発光ダイオード（ＬＥＤ）ディスプレイ（たとえば、ＯＬＥＤディスプレイ）、または他の適切なディスプレイであり得るディスプレイを含むことができる。たとえば、ユーザインターフェース１０４４は、タッチスクリーンを含み得る。たとえば、ユーザインターフェース１０４４は、ヘッドマウントディスプレイ（たとえば、仮想現実ゴーグルまたは拡張現実グラス）を含み得る。たとえば、ユーザインターフェース１０４４は、マウス、タッチパッド、タッチスクリーンなどのような位置入力デバイスと；キーボードと；または他の適切なヒューマンまたはマシンインターフェースデバイスとを含み得る。

たとえば、相互接続１０５０は、システムバス、またはワイヤドまたはワイヤレスネットワーク（たとえば、車両エリアネットワーク）であり得る。いくつかの実装（図１０には示されていない）では、センサインターフェース１０３０またはユーザインターフェース１０４４のような、デバイス１０００のいくつかの構成要素は省略され得る。

図１１は、信頼できるコンテキスチャルコンテンツを生成するためのプロセス１１００の例のフローチャートである。プロセス１１００は、１つ以上のセンサからのセンサデータにアクセスすること１１１０と；センサデータを暗号化すること１１２０と；署名鍵を使用してセンサデータに署名して、信頼できるコンテキスチャルコンテンツを生成すること１１３０と；信頼できるコンテキスチャルコンテンツを記憶または送信すること１１４０とを含む。たとえば、プロセス１１００は、図１の信頼できるコンテキスチャルコンテンツデバイス１１２、図５の信頼できるコンテキスチャルコンテンツデバイス５１０、または、図９の信頼できるコンテキスチャルコンテンツデバイスドローン９１０のような信頼できるコンテキスチャルコンテンツデバイスによって実装され得る。たとえば、プロセス１１００は、図６の信頼できる構成要素６１０のような信頼できる構成要素によって実装され得る。たとえば、プロセス１１００は、図７の信頼できるセンサ７１０のような信頼できるセンサによって実装され得る。たとえば、プロセス１１００は、図８の信頼できる画像センサ８１０のような信頼できる画像センサによって実装され得る。たとえば、プロセス１１００は、図１０のデバイス１０００によって実装され得る。

プロセス１１００は、１つ以上のセンサ（たとえば、１つ以上のセンサ５１２、または１つ以上のセンサ６１２）からのセンサデータにアクセスすること１１１０を含む。たとえば、センサデータは、温度測定値、圧力測定値、ライダポイントクラウド、加速度測定値、角速度測定値、磁束測定値、赤外線画像、および／または可視スペクトル画像を含み得る。センサデータは、１つ以上のセンサを含む信頼できるコンテキスチャルコンテンツデバイスの近くの環境の状態に関する情報を提供し得る。いくつかの実装では、１つ以上のセンサは、車両（たとえば、自動運転車）の構成要素であり得る。いくつかの実装では、１つ以上のセンサは、ドローン（たとえば、ドローン２１０）の構成要素であり得る。いくつかの実装では、１つ以上のセンサは、信頼できる構成要素（たとえば、信頼できるセンサ７１０）の一部である。センサデータは、様々な方法でアクセスされ得る１１１０。たとえば、センサデータは、センサインターフェース（たとえば、センサインターフェース１０３０）を介してセンサから直接、または相互接続（たとえば、相互接続１０５０）を介してメモリ（たとえば、ストレージデバイス１０２０）から読み取ることによってアクセスされ得る１１１０。

プロセス１１００は、センサデータに署名する前にセンサデータを暗号化することを含む。たとえば、センサデータは、暗号化鍵（たとえば、暗号化鍵５３４）を使って、暗号化モジュール（たとえば、暗号化モジュール５３０）を使用して暗号化され得る。たとえば、センサデータは、Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ（ＡＥＳ）暗号化を使用して暗号化され得る１１２０。

プロセス１１００は、署名鍵を使用して、センサデータに署名して、デジタル署名を含む、信頼できるコンテキスチャルコンテンツを生成すること１１３０を含む。たとえば、センサデータは、楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ）のようなデジタル署名アルゴリズムを使用して署名され得る１１３０。たとえば、署名鍵（たとえば、署名鍵５５２または署名鍵７５２）は、信頼できるコンテキスチャルコンテンツデバイスに、または信頼できるコンテキスチャルコンテンツデバイス内の信頼できるセンサに関連付けられ得る。いくつかの実装では、信頼できるセンサによってキャプチャされたセンサデータは、信頼できるセンサの署名鍵で署名されて、信頼できるセンサに関連付けられたデジタル署名を含む、信頼できるコンテキスチャルコンテンツを生成する１１３０。

プロセス１１００は、信頼できるコンテキスチャルコンテンツを記憶または送信すること１１４０を含む。たとえば、信頼できるコンテキスチャルコンテンツは、処理装置１０１０またはストレージデバイス１０２０のメモリに記憶され得る１１４０。たとえば、信頼できるコンテキスチャルコンテンツは、通信インターフェース１０４０を使用して送信され得る１１４０。たとえば、信頼できるコンテキスチャルコンテンツは、ネットワーク１３０を介して、またはワイヤレス通信リンク１１４を介して送信され得る１１４０。

いくつかの実装（図１１には示されていない）では、プロセス１１００は、上で説明されたステップを追加、並べ替え、または省略するように修正され得る。たとえば、データは、センサデータを暗号化する１１２０ことなく署名され得る１１３０か、または、センサデータは署名され１１３０、その後、デジタル署名とともに暗号化され得る。

図１２は、多数のソースからのセンサデータを用いて、信頼できるコンテキスチャルコンテンツを生成するためのプロセス１２００の例のフローチャートである。多数のソースからのセンサデータを、信頼できるコンテキスチャルコンテンツに組み込むことは、環境の状態に関するより完全で、および／または、信用できる情報を提供し得る。プロセス１２００は、１つ以上のセンサからのセンサデータの第１のセットにアクセスすること１２１０と；第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツを受信すること１２２０と；第１の信頼できるコンテキスチャルコンテンツからのセンサデータを、センサデータの第１のセットからのセンサデータと比較することによって、確証スコアを決定すること１２３０と；第１の信頼できるコンテキスチャルコンテンツおよびセンサデータの第１のセットに基づくデータを含むデータ構造を生成すること１２４０と；署名鍵を使用してデータ構造に署名して、第２のデジタル署名を含む第２の信頼できるコンテキスチャルコンテンツを生成すること１２５０と；第２の信頼できるコンテキスチャルコンテンツを記憶または送信すること１２６０とを含む。たとえば、プロセス１２００は、図１の信頼できるコンテキスチャルコンテンツデバイス１１２、図２のドローンコントローラ２１２、図５の信頼できるコンテキスチャルコンテンツデバイス５１０、または、図９の信頼できるコンテキスチャルコンテンツデバイスドローン９１０のような信頼できるコンテキスチャルコンテンツデバイスによって実装され得る。たとえば、プロセス１２００は、図１０のデバイス１０００によって実装され得る。

プロセス１２００は、１つ以上のセンサ（たとえば、１つ以上のセンサ５１２、または画像センサ９１２）からのセンサデータの第１のセットにアクセスすること１２１０を含む。たとえば、センサデータは、温度測定値、圧力測定値、ライダポイントクラウド、加速度測定値、角速度測定値、磁束測定値、赤外線画像、および／または可視スペクトル画像を含み得る。センサデータは、１つ以上のセンサを含む信頼できるコンテキスチャルコンテンツデバイスの近くの環境の状態に関する情報を提供し得る。いくつかの実装では、１つ以上のセンサは、車両（たとえば、自動運転車）の構成要素であり得る。いくつかの実装では、１つ以上のセンサは、ドローン（たとえば、ドローン２１０）の構成要素であり得る。たとえば、１つ以上のセンサは、画像センサ（たとえば、画像センサ９１２）を含み得、センサデータの第１のセットは、画像データを含み得る。いくつかの実装では、１つ以上のセンサは、信頼できるセンサ（たとえば、信頼できるセンサ７１０）を含み、センサデータの第１のセットは、信頼できるセンサのデジタル署名を含む信頼できるセンサからの、信頼できるコンテキスチャルコンテンツを含む。センサデータは、様々な方法でアクセスされ得る１２１０。たとえば、センサデータは、センサインターフェース（たとえば、センサインターフェース１０３０）を介してセンサから直接、または相互接続（たとえば、相互接続１０５０）を介してメモリ（たとえば、ストレージデバイス１０２０）から読み取ることによってアクセスされ得る１２１０。

プロセス１２００は、第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツを受信すること１２２０を含む。第１の信頼できるコンテキスチャルコンテンツは、別の信頼できるコンテキスチャルコンテンツデバイスから受信され得る１２２０。たとえば、第１の信頼できるコンテキスチャルコンテンツは、ドローン（たとえば、ドローン２１０）から受信され得る１２２０。たとえば、第１の信頼できるコンテキスチャルコンテンツは、ドローンコントローラ（たとえば、ドローンコントローラ２１２）によって受信され得る１２２０。たとえば、プロセス１２００を実装する１つ以上のセンサおよび処理装置は、ドローンのためのリモートコントローラ（たとえば、ドローンコントローラ２１２）の構成要素であり得る。いくつかの実装では、第１の信頼できるコンテキスチャルコンテンツは、別のドローンからドローンによって受信される１２２０。たとえば、第１の信頼できるコンテキスチャルコンテンツは、通信インターフェース１０４０を使用して受信され得る１２２０。

第１の信頼できるコンテキスチャルコンテンツは、受信する１２２０デバイスの１つ以上のセンサからのセンサデータの第１のセットに反映される条件を有する領域に近いかまたは重複する領域のセンサデータを含み得る。センサデータの第１のセットと、第１の信頼できるコンテキスチャルコンテンツからのセンサデータは、領域の状態に関するより多くの情報を提供する領域に関する多様なセンサデータを共同で提供することができ、センサデータのこれら２つのセットはまた、確証に使用され得る領域に関する冗長な情報をも提供し得る。センサデータのこれら２つのセットの値の間には、予想される関係が存在する可能性がある。たとえば、互いに近くを飛行する２つのドローンは、同様の温度および圧力を測定し、同じ場所に同時に現れる共有視野内のオブジェクトを示す画像をキャプチャすることが期待され得る。たとえば、知られている高度で飛行するドローン（たとえば、ドローン２１０）は、近くの地面に位置する関連するドローンコントローラ（たとえば、ドローンコントローラ２１２）によって測定された温度および圧力に関連する温度および圧力を測定することが期待され得る。

プロセス１２００は、第１の信頼できるコンテキスチャルコンテンツからのセンサデータを、センサデータの第１のセットからのセンサデータと比較することによって、確証スコアを決定すること１２３０を含む。たとえば、確証スコアは、２つのソースからの同じタイプのセンサ測定値間の差または二乗差に基づいて決定され得る１２３０。たとえば、確証スコアは、第１の信頼できるコンテキスチャルコンテンツからのセンサ測定値と、センサデータの第１のセットに基づいて決定される期待値との間の差または二乗差に基づいて決定され得る１２３０。

プロセス１２００は、第１の信頼できるコンテキスチャルコンテンツおよびセンサデータの第１のセットに基づくデータを含むデータ構造を生成すること１２４０を含む。たとえば、センサデータの第１のセットに基づくデータは、生のセンサデータのコピーを含み得る。いくつかの実装では、信号処理が、センサの第１のセットに適用されて、データ構造に含まれるデータの第１のセットに基づいてデータを決定する。たとえば、センサデータの第１のセットに基づくデータは、確証スコアを含み得る。たとえば、データ構造が生成されて、確証スコアを含めることができる１２４０。データ構造は、図３および図４のメモリマップに関連して説明されたデータ構造に類似し得る。データ構造は、センサデータの第１のセットに基づくデータを、別のデバイスからの第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツに付加し得る。

プロセス１２００は、署名鍵を使用してデータ構造に署名して、第２のデジタル署名（たとえば、プロセス１２００を実装するデバイスのデジタル署名）を含む第２の信頼できるコンテキスチャルコンテンツを生成すること１２５０を含む。たとえば、データ構造は、楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ）のようなデジタル署名アルゴリズムを使用して署名され得る１２５０。たとえば、署名鍵（たとえば、署名鍵５５２または署名鍵９５２）は、信頼できるコンテキスチャルコンテンツデバイス（たとえば、ドローンコントローラ２１２）に関連付けられ得る。

プロセス１２００は、第２の信頼できるコンテキスチャルコンテンツを記憶または送信すること１２６０を含む。たとえば、第２の信頼できるコンテキスチャルコンテンツは、処理装置１０１０またはストレージデバイス１０２０のメモリに記憶され得る１２６０。たとえば、第２の信頼できるコンテキスチャルコンテンツは、通信インターフェース１０４０を使用して送信され得る１２６０。たとえば、第２の信頼できるコンテキスチャルコンテンツは、ネットワーク１３０を介して、または通信リンク１３４を介して送信され得る１２６０。

いくつかの実装（図１２には示されていない）では、プロセス１２００は、上で説明されたステップを追加、並べ替え、または省略するように修正され得る。たとえば、センサデータの第１のセットに基づくデータは、署名された１２５０データ構造に含められる前に暗号化され得る。たとえば、確証スコアを決定すること１２３０は省略され得る。

図１３は、信頼できるコンテキスチャルコンテンツを提示するためのプロセス１３００の例のフローチャートである。プロセス１３００は、信頼できるコンテキスチャルコンテンツへアクセスすること１３１０と；信頼できるコンテキスチャルコンテンツを認証するための１つ以上の要求を、１つ以上の認証デバイスに送信すること１３２０と；１つ以上の認証デバイスから、１つ以上の認証メッセージを受信すること１３３０と；１つ以上の認証メッセージに応答して、ユーザインターフェースにおいてセンサデータを提示すること１３４０とを含む。たとえば、プロセス１３００は、図１の信頼できるコンテキスチャルコンテンツコンシューマデバイス１２０のように、信頼できるコンテキスチャルコンテンツコンシューマデバイスによって実装され得る。たとえば、プロセス１３００は、図１０のデバイス１０００によって実装され得る。

プロセス１３００は、信頼できるコンテキスチャルコンテンツへアクセスすること１３１０を含む。信頼できるコンテキスチャルコンテンツは、様々な方法でアクセスされ得る１３１０。たとえば、信頼できるコンテキスチャルコンテンツは、信頼できるコンテキスチャルコンテンツデバイスから直接（たとえば、通信リンク１２４を介して、信頼できるコンテキスチャルコンテンツデバイス１１２から）、信頼できるコンテキスチャルコンテンツを受信することによってアクセスされ得る１３１０。たとえば、信頼できるコンテキスチャルコンテンツは、ネットワーク（たとえば、ネットワーク１３０）を介して、信頼できるコンテキスチャルコンテンツを受信することによってアクセスされ得る１３１０。たとえば、たとえば、信頼できるコンテキスチャルコンテンツは、ネットワークを介して利用可能なサービス（たとえば、１つ以上のサービス１３２、または１つ以上のサービス１３６）によって記憶され得る、信頼できるコンテキスチャルコンテンツを受信することによってアクセスされ得る１３１０。いくつかの実装では、信頼できるコンテキスチャルコンテンツは、ローカルに記憶される。たとえば、信頼できるコンテキスチャルコンテンツは、相互接続（たとえば、相互接続１０５０）を介してメモリ（たとえば、ストレージデバイス１０２０）から、信頼できるコンテキスチャルコンテンツを読み取ることによってアクセスされ得る１３１０。

プロセス１３００は、信頼できるコンテキスチャルコンテンツを認証するための要求を、認証デバイスに送信すること１３２０を含む。いくつかの実装では、認証デバイスは、集中型認証機関の一部（たとえば、集中型認証機関デバイス１４０のデバイス）である。いくつかの実装では、認証デバイスは、分散型認証コミュニティの一部（たとえば、分散型認証コミュニティ１４４のデバイス）である。たとえば、この要求は、ネットワーク１３０を介して、通信インターフェース１０４０を使用して送信され得る。いくつかの実装では、この要求は、信頼できるコンテキスチャルコンテンツのコピー、または信頼できるコンテキスチャルコンテンツの部分を含む。いくつかの実装では、この要求は、信頼できるコンテキスチャルコンテンツへのリンクまたは他のポインタを含む。いくつかの実装では、認証のための多数の要求が、多数の認証デバイスに送信される１３２０。たとえば、信頼できるコンテキスチャルコンテンツを認証するための１つ以上の追加の要求は、１つ以上の追加の認証デバイス（たとえば、分散型認証コミュニティ１４４の一部である１つ以上の追加の認証デバイス）へ送信され得る１３２０。

プロセス１３００は、認証デバイスから認証メッセージを受信すること１３３０を含む。たとえば、認証メッセージは、ネットワーク１３０を介して通信インターフェース１０４０を使用して受信され得る１３３０。いくつかの実装では、認証メッセージは、信頼できるコンテキスチャルコンテンツが信用できるか否かを示すバイナリインジケーションを含む。いくつかの実装では、認証メッセージは、信頼できるコンテキスチャルコンテンツが信用できると推定される程度を示す認証メトリックを含む。いくつかの実装では、多数の認証メッセージが、多数の認証デバイスから受信される１３３０。たとえば、認証メッセージ、および１つ以上の追加の認証デバイスからの１つ以上の追加の認証メッセージは、それぞれの認証メトリックを含み得る。たとえば、プロセス１３００は、それぞれの認証メトリックの加重平均を決定することを含み得る。

プロセス１３００は、認証デバイスから受信された認証メッセージに応答して、ユーザインターフェース（たとえば、ユーザインターフェース１０４４）に、信頼できるコンテキスチャルコンテンツのセンサデータを提示すること１３４０を含む。多数の認証要求が送信される１３２０いくつかの実装では、プロセス１３００は、１つ以上の追加の認証デバイスから受信された１つ以上の追加の認証メッセージに応答して、ユーザインターフェースにおいてセンサデータを提示すること１３４０を含む。たとえば、認証デバイスからのそれぞれの認証メトリックの加重平均が決定され、センサデータの評価を容易にするために、ユーザインターフェースにおいてセンサデータとともに提示され得る１３４０。たとえば、認証デバイスからのそれぞれの認証メトリックの加重平均が決定され、しきい値と比較され得る。いくつかの実装では、認証メトリックの加重平均が、しきい値を超えた場合にのみ、センサデータが提示される１３４０。

たとえば、信頼できるコンテキスチャルコンテンツは、多数のデバイスによってキャプチャされたセンサデータと、確証スコアまたは（たとえば、図１４のプロセス１４００を使用して生成された）他のメタデータと、センサデータの保護のチェーンにあるデバイスからの多数のデジタル署名とを含み得る。いくつかの実装では、認証メトリックは、センサデータの保護のチェーンにあるデバイスからの多数のデジタル署名に基づく。いくつかの実装では、多数の認証メトリックが、信頼できるコンテキスチャルコンテンツに含まれるそれぞれの信頼できるコンテキスチャルコンテンツデバイスからのセンサデータに対して決定される。

図１４は、信頼できるコンテキスチャルコンテンツを増強するためのプロセス１４００の例のフローチャートである。プロセス１４００は、第１の信頼できるコンテキスチャルコンテンツを受信すること１４１０と；信頼できるコンテキスチャルコンテンツのセンサデータに基づいてメタデータを生成すること１４２０と；メタデータおよび信頼できるコンテキスチャルコンテンツを含むデータ構造を生成すること１４３０と；署名鍵を使用してデータ構造に署名して、第２のデジタル署名を含む第２の信頼できるコンテキスチャルコンテンツを生成すること１４４０とを含む。たとえば、プロセス１４００は、図１の信頼できるコンテキスチャルコンテンツサービスプロバイダデバイス１５０のように、信頼できるコンテキスチャルコンテンツサービスプロバイダデバイスによって実装され得る。たとえば、プロセス１４００は、図１０のデバイス１０００によって実装され得る。

プロセス１４００は、第１の信頼できるコンテキスチャルコンテンツを受信することを含む。第１の信頼できるコンテキスチャルコンテンツは、第１のデジタル署名を含む。たとえば、第１の信頼できるコンテキスチャルコンテンツは、信頼できるコンテキスチャルコンテンツデバイス（たとえば、信頼できるコンテキスチャルコンテンツデバイス１１２、ドローン２１０、またはドローンコントローラ２１２）から受信され得る。

プロセス１４００は、第１の信頼できるコンテキスチャルコンテンツのセンサデータに基づいて、メタデータを生成すること１４２０を含む。たとえば、センサデータは、画像データを含み得、メタデータは、画像データを（たとえば、畳み込みニューラルネットワークを含む）画像分類器に入力することによって生成された１４２０、オブジェクト検出および／または分類データを含み得る。いくつかの実装では、多数の信頼できるコンテキスチャルコンテンツからのセンサデータが組み合わされて、メタデータを生成し得る１４２０。たとえば、多数のドローンからの信頼できるコンテキスチャルコンテンツは、それらのそれぞれのセンサデータにおける位置および方位データに基づいて相関付けされ得、ドローンからの画像データは、データにおける不整合を識別し、および／または、多数のソースからのデータを確証するために分析され得る。たとえば、別の信頼できるコンテキスチャルコンテンツデバイスによって署名された、第３の信頼できるコンテキスチャルコンテンツが受信され得（１３１０）、メタデータは、第３の信頼できるコンテキスチャルコンテンツのセンサデータに基づいて生成され得１３２０、ここで、メタデータは、第１の信頼できるコンテキスチャルコンテンツのセンサデータの、第３の信頼できるコンテキスチャルコンテンツのセンサデータとの比較に基づいて決定される確証スコアを含む。

プロセス１４００は、メタデータおよび第１の信頼できるコンテキスチャルコンテンツを含むデータ構造を生成すること１４３０を含む。データ構造は、図３および図４のメモリマップに関連して説明されたデータ構造に類似し得る。データ構造は、別のデバイスからの第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツにメタデータを付加し得る。

プロセス１４００は、第２の署名鍵を使用してデータ構造に署名して、第２のデジタル署名（たとえば、信頼できるコンテキスチャルコンテンツサービスプロバイダデバイスのデジタル署名）を含む第２の信頼できるコンテキスチャルコンテンツを生成すること１４４０を含む。たとえば、データ構造は、楕円曲線デジタル署名アルゴリズム（ＥＣＤＳＡ）のような、デジタル署名アルゴリズムを使用して署名され得る１４４０。たとえば、署名鍵は、信頼できるコンテキスチャルコンテンツサービスプロバイダデバイス（たとえば、信頼できるコンテキスチャルコンテンツサービスプロバイダデバイス１５０）に関連付けられ得る。

本開示は特定の実施形態に関連して説明されたが、本開示は、開示された実施形態に限定されるものではなく、それどころか、法の下で許可されているすべてのそのような変更および均等の構成を包含するように、その範囲が最も広い解釈を与えられるべきである添付の特許請求の範囲内に含まれる様々な変更および均等の構成をカバーすることが意図される。

Claims (15)

1. １つ以上のセンサを含み、１つ以上のセンサからのセンサデータにアクセスし、署名鍵を使用してセンサデータに署名して、デジタル署名を含む信頼できるコンテキスチャルコンテンツを生成するように構成された信頼できるコンテキスチャルコンテンツデバイスと、
   集中型認証機関の一部であり、信頼できるコンテキスチャルコンテンツを受信し、信頼できるコンテキスチャルコンテンツを、デジタル署名に基づいて認証するように構成された認証デバイスと、
   分散型認証コミュニティの一部である１つ以上の追加の認証デバイスと、
   信頼できるコンテキスチャルコンテンツを認証するための要求を、認証デバイスに、および信頼できるコンテキスチャルコンテンツを認証するための１つ以上の追加の要求を、１つ以上の追加の認証デバイスに送信し、認証デバイスから受信された認証メッセージに、および１つ以上の追加の認証デバイスから受信された１つ以上の追加の認証メッセージに応答して、センサデータをユーザインターフェースにおいて提示するように構成されたコンテキスチャルコンテンツコンシューマデバイスと
   を備える、システム。
2. 認証メッセージ、および１つ以上の追加の認証メッセージが、それぞれの認証メトリックを含み、
   コンテキスチャルコンテンツコンシューマデバイスが、それぞれの認証メトリックの加重平均を決定するように構成される、請求項１に記載のシステム。
3. 信頼できるコンテキスチャルコンテンツを受信し、
   信頼できるコンテキスチャルコンテンツのセンサデータに基づいてメタデータを生成し、
   メタデータおよび信頼できるコンテキスチャルコンテンツを含むデータ構造を生成し、
   第２の署名鍵を使用してデータ構造に署名して、第２のデジタル署名を含む第２の信頼できるコンテキスチャルコンテンツを生成する
   ように構成されたサービスプロバイダデバイスを備える、請求項１に記載のシステム。
4. サービスプロバイダデバイスが、
   別の信頼できるコンテキスチャルコンテンツデバイスによって署名された第３の信頼できるコンテキスチャルコンテンツを受信し、
   第３の信頼できるコンテキスチャルコンテンツのセンサデータに基づいてメタデータを生成するように構成され、
   メタデータが、信頼できるコンテキスチャルコンテンツのセンサデータの、第３の信頼できるコンテキスチャルコンテンツのセンサデータとの比較に基づいて決定される確証スコアを含む、請求項３に記載のシステム。
5. 信頼できるコンテキスチャルコンテンツデバイスが、センサデータに署名する前にセンサデータを暗号化するように構成される、請求項１に記載のシステム。
6. １つ以上のセンサが、画像センサを含み、センサデータが、画像データを含む、請求項１に記載のシステム。
7. 信頼できるコンテキスチャルコンテンツデバイスが、ドローンである、請求項１に記載のシステム。
8. １つ以上のセンサであって、
   信頼できるセンサによってキャプチャされたセンサデータを、信頼できるセンサの署名鍵で署名して、第３のデジタル署名を含む第３の信頼できるコンテキスチャルコンテンツを生成するように構成された信頼できるセンサを含み、センサデータの第１のセットが、第３の信頼できるコンテキスチャルコンテンツを含む、１つ以上のセンサ、
   処理装置であって、
   １つ以上のセンサからのセンサデータの第１のセットにアクセスし、
   第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツを受信し、
   第１の信頼できるコンテキスチャルコンテンツおよびセンサデータの第１のセットに基づくデータを含むデータ構造を生成し、
   署名鍵を使用してデータ構造に署名して、第２のデジタル署名を含む第２の信頼できるコンテキスチャルコンテンツを生成し、
   第２の信頼できるコンテキスチャルコンテンツを記憶または送信する
   ように構成された処理装置
   を備える、システム。
9. 処理装置が、
   第１の信頼できるコンテキスチャルコンテンツからのセンサデータを、センサデータの第１のセットからのセンサデータと比較することによって、確証スコアを決定し、
   データ構造を生成して確証スコアを含めるように構成される、請求項８に記載のシステム。
10. 第１の信頼できるコンテキスチャルコンテンツが、ドローンから受信される、請求項８に記載のシステム。
11. １つ以上のセンサ、および処理装置が、ドローンのためのリモートコントローラの構成要素である、請求項１０に記載のシステム。
12. １つ以上のセンサ、および処理装置が、ドローンの構成要素である、請求項８に記載のシステム。
13. １つ以上のセンサが、画像センサを含み、センサデータの第１のセットが、画像データを含む、請求項８に記載のシステム。
14. １つ以上のセンサからのセンサデータの第１のセットにアクセスすることと、
    第１のデジタル署名を含む第１の信頼できるコンテキスチャルコンテンツを受信することと、
    第１の信頼できるコンテキスチャルコンテンツおよびセンサデータの第１のセットに基づくデータを含むデータ構造を生成することと、
    署名鍵を使用してデータ構造に署名して、第２のデジタル署名を含む第２の信頼できるコンテキスチャルコンテンツを生成することと、
    第２の信頼できるコンテキスチャルコンテンツを記憶または送信することとを含む、方法であって、
    １つ以上のセンサが、信頼できるセンサを含み、
    信頼できるセンサによってキャプチャされたセンサデータを、信頼できるセンサの署名鍵で署名して、第３のデジタル署名を含む第３の信頼できるコンテキスチャルコンテンツを生成することをさらに含み、センサデータの第１のセットが、第３の信頼できるコンテキスチャルコンテンツを含む、方法。
15. 第１の信頼できるコンテキスチャルコンテンツからのセンサデータを、センサデータの第１のセットからのセンサデータと比較することによって、確証スコアを決定することと、
    データ構造を生成して確証スコアを含めることとを含む、請求項１４に記載の方法。

Images