一家领先的欧洲 Matter OEM 与 Snowball OBIS 合作，在三个国家的五家 ODM 工厂中实现每月超过一百万台设备的生产，并确保所有私钥均在 HSM 中安全生成和存储。
客户背景一家领先的欧洲 Matter OEM，在全球 50 多个市场拥有 400 多家零售门店。该公司既是 Matter 设备制造商，也是 VID 范围的产品认证机构（VID Scoped PAA），负责管理 Matter 设备认证信任链顶层的根 CA。
生产部署规模：
客户于 2025 年启动 Matter 商业化生产，并于 2026 年 1 月推出首批产品。2026 年期间，其月产量已突破一百万台设备，并仍在持续增长，同时还有更多产品正在开发中。
该 OEM 的安全团队提出了两个不可妥协的要求：
这些原则本身很明确，但要在大规模生产环境中真正落地实施，却并不容易。挑战不仅在于保护 OEM 的签名基础设施，更在于如何在一个分布式制造环境中，保障整个设备密钥注入与身份配置（provisioning）流程的安全性：
这种复杂的组合情况迫使团队不得不评估业界常见的三种标准方案，并最终全部予以否决。
团队评估了三种行业内常见的标准方案。这些方案在某些环境下能够发挥作用，但都无法满足该客户的实际需求。
每家芯片厂商都采用不同的密钥注入格式、流程以及交付周期。而客户的产品组合覆盖了四家芯片供应商、共 21 款产品，这使得整体运维流程难以实现标准化和规模化。
此外，这种模式的能力边界仅停留在芯片制造阶段。对于后续生产后的运维需求，例如：
都缺乏可行的实施路径。
基于云的设备安全配置依赖于制造过程中稳定、实时的网络连接。但在泰国、越南和中国的工厂之间，跨境网络连接稳定性并不一致。任何一次网络中断，都可能同时影响多个工厂正在进行的生产批次。此外，该方案默认 ODM 工厂团队能够自行集成并维护安全配置系统。但大多数团队并不具备内部密码学或 PKI 相关专业能力。
这一方案最终被证明在运营层面不可行。每增加一个新产品、新 SoC 平台，或新的安全配置流程，OEM 安全团队都需要亲自前往工厂现场，执行新的密钥注入仪式（key injection ceremony）。这也意味着，需要将敏感密钥基础设施的日常运维控制权，交给 ODM 运营的工厂团队。
问题不只是一次性的部署成本，而是会形成一个长期循环：
SNOWBALL 是通过一家 ODM 合作伙伴以及一家芯片供应商的独立推荐进入该项目的。SNOWBALL 提出的并不仅仅是一个更好的 PKI 服务，或更好的工厂 HSM。问题的核心并不在工具本身，而在于整个运营模式。
传统三种方案都基于同一个默认假设：决定某个加密操作是否被允许的系统，必须同时在同一个地方执行该操作。
而 OnBoard™ IoT Security (OBIS) 将这两项职责进行了分离。
该平台由以下部分组成：
OEM 负责授权操作，工厂只能执行已被授权的操作。
所有工厂操作——包括：
都必须获得 OEM 签发的授权。每个授权都会严格限定：
工厂无法超出这些边界进行操作。
每个工厂都部署了一台基于 EAL5+ 安全芯片构建的 EdgeHSM 设备。
EdgeHSM 会在允许任何配置操作之前验证授权。任何超出授权范围的请求都会被自动拒绝。
所有敏感加密材料始终处于硬件安全边界内部：
任何工厂操作员、ODM 合作方或生产系统，都不会接触到明文私钥。
当授权包被下发至 EdgeHSM 后，工厂可以在授权有效期内离线运行。制造过程不依赖持续的云连接。即使跨境网络出现故障：
OBIS 作为完整系统交付。ODM 团队只需要安装：
而不需要自行构建定制化的安全配置基础设施。这也是新工厂能够在数天内上线，而不是耗费数月的关键原因。
OEM 在 OBIS 中创建产品，配置所需的加密资产，并定义制造规则，例如：最大允许生产数量。随后，ODM 会被邀请加入该产品工作区。
ODM 上传经过 OEM 批准的 Secure Boot 密钥签名的固件，并配置：
生成的 Product Version 会成为一个可复现的生产快照。
OEM 审核并批准 Product Version，并将其锁定为授权生产基线。
ODM 创建与以下信息绑定的生产批次：
工厂可以随着时间创建多个批次，但累计产量永远不能超过 OEM 设定的总额度。
加密后的 Production Batch 会被下发至 EdgeHSM。烧录站在 EdgeHSM 的控制下执行设备身份配置（provisioning）：
生产与审计记录会在几分钟内同步回云端门户。OEM 安全团队可以通过统一仪表板监控所有工厂的生产状态。
当返修设备需要重新开启 Secure Debug 时，系统可以在 OEM 已批准的授权范围内直接完成操作。EdgeHSM 会在硬件内部完成相关加密操作，并始终将认证密钥保留在硬件安全边界内。整个过程无需人工处理密钥，也无需额外升级审批流程。
任何系统都不可能完全没有运营成本。该 OEM 也接受了若干现实层面的权衡与取舍：
