TWI621347B

TWI621347B - 偽造指令自動過濾系統、協同運作系統、與相關的指令核實電路

Info

Publication number: TWI621347B
Application number: TW105124843A
Authority: TW
Inventors: 陳嘉宏
Original assignee: 捷而思股份有限公司
Priority date: 2016-08-04
Filing date: 2016-08-04
Publication date: 2018-04-11
Also published as: TW201806352A

Abstract

本發明提出一種偽造指令自動過濾系統，其包含：可信任指令產生裝置，用於對選定指令進行簽章以產生指令請求；指令發送裝置，用於接收及發送指令請求；目標裝置；以及指令核實電路。指令核實電路包含：通信介面，用於與指令發送裝置或目標裝置進行通信；安全微控制器，用於儲存可信任指令產生裝置的簽章驗證金鑰；控制電路，用於搭配安全微控制器利用簽章驗證金鑰對指令請求進行核實；以及儲存電路，用於暫存控制電路運作所需的資料。指令請求必須通過安全微控制器及控制電路的核實，控制電路才進一步指示目標裝置執行與指令請求相應的目標指令。

Description

偽造指令自動過濾系統、協同運作系統、與相關的指令核實電路

本發明有關網路傳輸安全控管技術，尤指一種偽造指令自動過濾系統、協同運作系統、與相關的指令核實電路。

網際網路的相關技術及各種應用的發展速度愈來愈快、也愈來愈多樣化，各式各樣供商業應用或消費者使用類型的服務裝置也大量產生，但伴隨而來的各種資訊安全威脅也與日俱增。例如，在即將到來的物聯網(Internet of things，IoT)時代，連網裝置的數量更將大幅增加，而且這些連網裝置彼此間的通信及互動，很多都是在無人介入的情況下自動進行。另外，隨著工業4.0(Industry 4.0)智慧製造概念的推廣，將會有越來越多的設備需要在無人操作的情況下自動進行彼此間的協同運作，以完成特定的任務。

然而，潛伏於網際網路與其他具備連網能力的環境中的惡意程式與惡意入侵者，也很可能經由各種連網裝置間的互動過程侵入系統中，以偽造的指令惡意操控這些環境中的裝置進行各種行為，造成難以想像的損害及不良後果。

有鑑於此，如何減輕或消除上述相關環境中的資訊安全威脅，實為業界迫切有待解決的問題。

本說明書提供一種偽造指令自動過濾系統的實施例，其包含：一可信任指令產生裝置，用於對一選定指令進行簽章以產生一指令請求；一指令發送裝置，用於接收及發送該指令請求；一目標裝置；以及一指令核實電路。該指令核實電路包含：一通信介面，用於與該指令發送裝置或該目標裝置進行通信，並用於接收該指令請求；一安全微控制器，用於儲存該可信任指令產生裝置的一簽章驗證金鑰；一控制電路，耦接於該通信介面與該安全微控制器，用於透過該通信介面與該指令發送裝置或該目標裝置進行通信，並用於搭配該安全微控制器利用該簽章驗證金鑰對該指令請求進行核實；以及一儲存電路，耦接於該控制電路，用於暫存該控制電路運作所需的資料；其中，該指令請求必須通過該安全微控制器及該控制電路的核實，該控制電路才進一步指示該目標裝置執行與該指令請求相應的一目標指令。

本說明書另提供一種協同運作系統的實施例，其包含：一可信任指令產生裝置，用於對一第一站指令進行簽章以產生一第一站指令請求、用於對一第二站指令進行簽章以產生一第二站指令請求、以及用於對一第三站指令進行簽章以產生一第三站指令請求；一第一裝置群組；一第二裝置群組；以及一第三裝置群組。該第一裝置群組包含有：一第一指令發送裝置，用於接收及發送該第一站指令請求；一第一目標裝置；以及一第一指令核實電路，該第一指令核實電路包含：一第一通信介面，用於與該第一指令發送裝置或該第一目標裝置進行通信，並用於接收該第一站指令請求；一第一安全微控制器，用於儲存該可信任指令產生裝置的一簽章驗證金鑰；一第一控制電路，耦接於該第一通信介面與該第一安全微控制器，用於透過該第一通信介面與該第一指令發送裝置或該第一目標裝置進行通信，並用於搭配該第一安全微控制器利用該簽章驗證金鑰對該第一站指令請求進行核實；以及一第一儲存電路，耦接於該第一控制電路，用於暫存該第一控制電路運作所需的資料；其中，該第一站指令請求必須通過該第一安全微控制器及該第一控制電路的核實，該第一控制電路才進一步指示該第一目標裝置執行與該第一站指令請求相應的一第一目標指令。該第二裝置群組包含有：一第二指令發送裝置，用於接收及發送該第二站指令請求；一第二目標裝置；以及一第二指令核實電路，該第二指令核實電路包含：一第二通信介面，用於與該第二指令發送裝置或該第二目標裝置進行通信，並用於接收該第二站指令請求；一第二安全微控制器，用於儲存該可信任指令產生裝置的該簽章驗證金鑰；一第二控制電路，耦接於該第二通信介面與該第二安全微控制器，用於透過該第二通信介面與該第二指令發送裝置或該第二目標裝置進行通信，並用於搭配該第二安全微控制器利用該簽章驗證金鑰對該第二站指令請求進行核實；以及一第二儲存電路，耦接於該第二控制電路，用於暫存該第二控制電路運作所需的資料；其中，該第二站指令請求必須通過該第二安全微控制器及該第二控制電路的核實，該第二控制電路才進一步指示該第二目標裝置執行與該第二站指令請求相應的一第二目標指令。該第三裝置群組包含有：一第三指令發送裝置，用於接收及發送該第三站指令請求；一第三目標裝置；以及一第三指令核實電路，該第三指令核實電路包含：一第三通信介面，用於與該第三指令發送裝置或該第三目標裝置進行通信，並用於接收該第三站指令請求；一第三安全微控制器，用於儲存該可信任指令產生裝置的該簽章驗證金鑰；一第三控制電路，耦接於該第三通信介面與該第三安全微控制器，用於透過該第三通信介面與該第三指令發送裝置或該第三目標裝置進行通信，並用於搭配該第三安全微控制器利用該簽章驗證金鑰對該第三站指令請求進行核實；以及一第三儲存電路，耦接於該第三控制電路，用於暫存該第三控制電路運作所需的資料；其中，該第三站指令請求必須通過該第三安全微控制器及該第三控制電路的核實，該第三控制電路才進一步指示該第三目標裝置執行與該第三站指令請求相應的一第三目標指令。

本說明書另提供一種用於一偽造指令自動過濾系統中的指令核實電路的實施例，其中，該偽造指令自動過濾系統包含一可信任指令產生裝置、一指令發送裝置、該指令核實電路、以及一目標裝置，該可信任指令產生裝置用於對一選定指令進行簽章以產生一指令請求，該指令發送裝置用於接收及發送該指令請求。該指令核實電路包含：一通信介面，用於與該指令發送裝置或該目標裝置進行通信，並用於接收該指令請求；一安全微控制器，用於儲存該可信任指令產生裝置的一簽章驗證金鑰；一控制電路，耦接於該通信介面與該安全微控制器，用於透過該通信介面與該指令發送裝置或該目標裝置進行通信，並用於搭配該安全微控制器利用該簽章驗證金鑰對該指令請求進行核實；以及一儲存電路，耦接於該控制電路，用於暫存該控制電路運作所需的資料；其中，該指令請求必須通過該安全微控制器及該控制電路的核實，該控制電路才進一步指示該目標裝置執行與該指令請求相應的一目標指令。

上述實施例的優點之一，是可信任指令產生裝置的簽章驗證金鑰是儲存在指令核實電路的安全微控制器中，能夠確保簽章驗證金鑰不會被竄改，提高資訊安全驗證的嚴密性。

上述實施例的另一優點，是指令核實電路中的控制電路會搭配安全微控制器對接收到的指令請求進行核實，以判斷指令請求所對應的指令的真實性，所以能夠有效避免目標裝置錯誤執行偽造指令的情況發生。

上述實施例的另一優點，是指令核實電路在運作時會自動進行指令請求的核實動作，無須人力介入操作，具有非常高的操作便利性。

上述實施例的另一優點，是可信任指令產生裝置可同時與多個指令核實電路共同搭配運作，所以前述指令核實電路的架構能夠應用在各種物聯網或工業4.0的智慧製造環境中。

本發明的其他優點將搭配以下的說明和圖式進行更詳細的解說。

100‧‧‧偽造指令自動過濾系統(forged command filtering system)

110‧‧‧可信任指令產生裝置(secure command generating device)

120‧‧‧指令發送裝置(command transmitting device)

130‧‧‧指令核實電路(command authentication circuit)

131‧‧‧通信介面(communication interface)

133‧‧‧安全微控制器(secure micro-controller)

135‧‧‧控制電路(control circuit)

137‧‧‧儲存電路(storage circuit)

140‧‧‧目標裝置(target device)

700‧‧‧協同運作系統(collaborative operating system)

710‧‧‧第一裝置群組(first device group)

720‧‧‧第二裝置群組(second device group)

730‧‧‧第三裝置群組(third device group)

120a‧‧‧第一指令發送裝置

120b‧‧‧第二指令發送裝置

120c‧‧‧第三指令發送裝置

130a‧‧‧第一指令核實電路

130b‧‧‧第二指令核實電路

130c‧‧‧第三指令核實電路

131a‧‧‧第一通信介面

131b‧‧‧第二通信介面

131c‧‧‧第三通信介面

133a‧‧‧第一安全微控制器

133b‧‧‧第二安全微控制器

133c‧‧‧第三安全微控制器

135a‧‧‧第一控制電路

135b‧‧‧第二控制電路

135c‧‧‧第三控制電路

137a‧‧‧第一儲存電路

137b‧‧‧第二儲存電路

137c‧‧‧第三儲存電路

140a‧‧‧第一目標裝置

140b‧‧‧第二目標裝置

140c‧‧‧第三目標裝置

圖1為本發明一實施例的偽造指令自動過濾系統簡化後的功能方塊圖。

圖2至圖3為本發明一實施例的偽造指令自動過濾方法簡化後的流程圖。

圖4為本發明一實施例的產生指令請求的方法簡化後的流程圖。

圖5為本發明一實施例的核實指令請求的方法簡化後的流程圖。

圖6為本發明另一實施例的偽造指令自動過濾方法簡化後的部分流程圖。

圖7為本發明一實施例的協同運作系統簡化後的功能方塊圖。

圖8至圖10為本發明一實施例的協同運作方法簡化後的流程圖。

圖11為本發明一實施例的產生參數信息的方法簡化後的流程圖。

圖12為本發明一實施例的核實參數信息的方法簡化後的流程圖。

以下將配合相關圖式來說明本發明的實施例。在圖式中，相同的標號表示相同或類似的元件或方法流程。

圖1為本發明一實施例的偽造指令自動過濾系統100簡化後的功能方塊圖。偽造指令自動過濾系統100包含可信任指令產生裝置110、指令發送裝置120、指令核實電路130、以及待控制的目標裝置140。

在部分實施例中，可信任指令產生裝置110與指令發送裝置120之間可透過網際網路進行資料傳輸。在其他實施例中，可信任指令產生裝置110與指令發送裝置120也可透過其他各種有線傳輸方式或無線通信方式進行資料傳輸，甚至兩者可以整合在同一硬體裝置(例如：手機、電腦)中。

在部分實施例中，指令發送裝置120與指令核實電路130之間可透過網際網路進行資料傳輸。在其他實施例中，指令發送裝置120與指令核實電路130也可透過其他各種有線傳輸方式或無線通信方式進行資料傳輸，甚至彼此耦接在一起。

在部分實施例中，指令發送裝置120與目標裝置140可以是彼此分離的兩個獨立裝置。在其他實施例中，指令發送裝置120與目標裝置140也可以是設置在同一裝置中的不同功能電路。

在偽造指令自動過濾系統100中，可信任指令產生裝置110用於對要傳送給目標裝置140執行的選定指令進行簽章，以產生一相應的指令請求(command request)，並將指令請求透過指令發送裝置120或目標裝置140傳送給指令核實電路130。接著，指令核實電路130會核實指令請求的真實性，以確認要傳送給目標裝置140進行執行的指令的真實性，藉此避免目標裝置140誤執行偽造的指令(forged command)而造成不良的後果。因此，指令核實電路130通常可耦接於目標裝置140的控制端或信號控制路徑上。

如圖1所示，指令核實電路130包含通信介面131、安全微控制器133、控制電路135、以及儲存電路137。通信介面131用於與指令發送裝置120或目標裝置140進行通信。安全微控制器133用於儲存可信任指令產生裝置110的簽章驗證金鑰(signature verification key)，並進行與電子簽章演算法有關的運算。控制電路135耦接於通信介面131與安全微控制器133，用於透過通信介面131與指令發送裝置120或目標裝置140進行通信，並用於搭配安全微控制器133利用簽章驗證金鑰對接收到的指令請求進行核實。指令請求必須通過安全微控制器133及控制電路135的核實，控制電路135才進一步指示目標裝置140執行與指令請求相應的目標指令(target command)。儲存電路137則耦接於控制電路135，用於暫存控制電路135運作所需的資料。

在指令核實電路130中，安全微控制器133與控制電路135之間可設置一專用的安全資料通道(secured data channel)，以供彼此之間傳輸具機密性或敏感性的資料。

實作上，通信介面131可利用符合相關網路通信、有線通信、或是無線通信規範的各種信號介面電路來實現。例如，依據與指令發送裝置120和/或目標裝置140之間所需進行的通信方式而定，通信介面131可包含通用串列匯流排(Universal Serial Bus，USB)介面、通用非同步收發傳輸器(Universal Asynchronous Receiver/Transmitter，UART)介面、序列式先進技術附件(Serial Advanced Technology Attachment，SATA)介面、週邊組件互連(Peripheral Component Interconnect，PCI)介面、週邊組件互連快速(Peripheral Component Interconnect Express，PCI-E)介面、安全數位式輸出入(Secure digital input/output interface，SDIO)介面、串列週邊介面(Serial Peripheral Interface，SPI)介面、智慧卡(ISO7816)介面、網路卡(Network Interface Card，NIC)介面、Wi-Fi介面、藍牙(Bluetooth)介面、低耗電藍牙(Bluetooth Low Energy，BLE)介面、以及近場通信(Near Field Communication，NFC)介面等各種介面電路的其中之一或是其中多種的組合。

或者，在指令發送裝置120具備符合前述網路通信、有線通信、或是無線通信規範的各種信號介面電路的某些實施例中，指令核實電路130亦可利用指令發送裝置120的通信能力來與可信任指令產生裝置110和/或目標裝置140進行間接通信。在此情況下，通信介面131可用單純的資料傳輸電路、傳輸接腳、或傳輸排線來實現。

同樣地，在目標裝置140具備符合前述網路通信、有線通信、或是無線通信規範的各種信號介面電路的某些實施例中，指令核實電路130亦可利用目標裝置140的通信能力來與指令發送裝置120進行間接通信。在此情況下，通信介面131同樣可用單純的資料傳輸電路、傳輸接腳、或傳輸排線來實現。

另外，安全微控制器133可利用具備密碼演算法運算能力、金鑰產生及運算能力、電子簽章演算法運算能力、以及可儲存具機密性或敏感性資料的各種微控制器來實現。例如，安全微控制器133可用通過國際資料安全規範認證的各種微控制器來實現，以確保所儲存的相關金鑰及機敏性資料的安全性。控制電路135則可利用具有運算能力、指令解譯能力的各種適當的可編程(programmable)微處理器來實現。

以下將搭配圖2至圖3來進一步說明偽造指令自動過濾系統100的運作方式。圖2至圖3共同組成本發明一實施例的偽造指令自動過濾方法簡化後的流程圖。

在圖2至圖3的流程圖中，位於一特定裝置所屬欄位中的流程，即代表由特定裝置所進行的流程。例如，標記在「可信任指令產生裝置」欄位中的部分，是由可信任指令產生裝置110所進行的流程；標記在「指令發送裝置」欄位中的部分，是由指令發送裝置120所進行的流程；標記在「指令核實電路」欄位中的部分，是由指令核實電路130所進行的流程；標記在「目標裝置」欄位中的部分，則是由目標裝置140所進行的流程；以下依此類推。

為了使偽造指令自動過濾系統100在正常運作時能有效過濾偽造的指令，可信任指令產生裝置110與指令核實電路130會先進行圖2中的流程200，以建立兩者間的硬體配對關係。

例如，可信任指令產生裝置110可先進行流程201，提供可信任指令產生裝置110的簽章驗證金鑰給指令核實電路130。實作上，在流程201中，可信任指令產生裝置110與指令核實電路130之間可先透過加密傳輸方式建立安全連線，接著可信任指令產生裝置110再透過前述安全連線將簽章驗證金鑰傳送至指令核實電路130。

接著，指令核實電路130可進行流程203，接收並儲存可信任指令產生裝置110傳來的簽章驗證金鑰。在流程203中，指令核實電路130可利用通信介面131接收可信任指令產生裝置110傳來的簽章驗證金鑰。接著，指令核實電路130的控制電路135可將前述的簽章驗證金鑰，透過安全微控制器133與控制電路135之間的安全資料通道，傳送至安全微控制器133中進行儲存。

請注意，在前述的流程201與203中，可將指令核實電路130獨自連線或耦接至可信任指令產生裝置110以建立前述的安全連線。或者，也可將指令核實電路130耦接到安全性無虞、且能與可信任指令產生裝置110進行通信的裝置(例如，某台可信任的電腦)後，再透過該裝置與可信任指令產生裝置110建立前述的安全連線。

在流程205中，指令核實電路130的安全微控制器133會產生一金鑰對。安全微控制器133會將該金鑰對中的私鑰儲存在其內部的機敏性資料儲存空間中，並將該金鑰對中的公鑰透過安全微控制器133與控制電路135之間的安全資料通道，傳送給控制電路135。

在流程207中，控制電路135會將該金鑰對的公鑰透過通信介面131傳送至可信任指令產生裝置110。

在流程209中，可信任指令產生裝置110會接收並儲存指令核實電路130傳來的公鑰。

由前述說明可知，在可信任指令產生裝置110與指令核實電路130完成流程200中的硬體配對程序後，可信任指令產生裝置110中會儲存著指令核實電路130所產生的金鑰對中的公鑰，而指令核實電路130的安全微控制器133則會儲存著可信任指令產生裝置110的簽章驗證金鑰。

在某些實施例中，允許目標裝置140執行的指令會與指令發送裝置120的用戶身分有關。因此，偽造指令自動過濾系統100可於運作時要求用戶進行身分核實程序，以確認用戶的指令權限層級。

在此情況下，指令發送裝置120可於接收到用戶的身分識別資料後，進行流程210，以傳送身分核實請求至可信任指令產生裝置110。

當可信任指令產生裝置110接收到該身分核實請求後，會進行流程220，以核實用戶身分，藉此確認用戶的權限層級。

倘若用戶身分無法通過核實，可信任指令產生裝置110便會判定該用戶不是合法用戶，因此會拒絕按照用戶的要求來產生對應的指令，以阻擋非法用戶的操作行為。

當用戶身分通過核實後，可信任指令產生裝置110可進行流程230，以依照用戶的身分篩選出符合該用戶權限層級的適格指令(亦即，該用戶有權限使用的指令)，以形成一可用指令集合(available command set)。

接著，可信任指令產生裝置110可進行流程240，將可用指令集合傳送至指令發送裝置120，並要求指令發送裝置120將可用指令集合轉送給指令核實電路130。

在流程250中，指令發送裝置120會接收可信任指令產生裝置110傳來的可用指令集合。

在流程260中，指令發送裝置120會將接收到的可用指令集合轉送至指令核實電路130。

在流程270中，指令核實電路130可利用通信介面131接收指令發送裝置120轉送過來的可用指令集合，而控制電路135則會將接收到的可用指令集合儲存在儲存電路137中。

在本實施例中，當用戶希望目標裝置140執行特定指令時，可對指令發送裝置120的相關輸入介面(例如，螢幕、鍵盤、滑鼠、麥克風、攝影機等等)進行操作，以選擇所需的指令。此時，指令發送裝置120會依據用戶的操作，進行流程280以產生與選定指令相應的指令指示信息(command indication message)，並將指令指示信息傳送至可信任指令產生裝置110。

當可信任指令產生裝置110接收到指令發送裝置120傳來的指令指示信息時，會進行流程290。

在流程290中，可信任指令產生裝置110可用自身的簽章金鑰對選定指令進行簽章，以產生對應的指令請求。

接著，可信任指令產生裝置110可進行圖3中的流程300，以將產生的指令請求傳送至指令發送裝置120。

在流程310中，指令發送裝置120會接收可信任指令產生裝置110傳來的指令請求。

接著，指令發送裝置120可進行流程320，將接收到的指令請求發送至指令核實電路130。

在流程330中，指令核實電路130可利用通信介面131接收指令發送裝置120傳來的指令請求。

在流程340中，指令核實電路130的控制電路135會搭配安全微控制器133利用前述的簽章驗證金鑰來核實接收到的指令請求的真實性與正確性。

倘若指令請求沒有通過安全微控制器133或控制電路135的核實，則控制電路135會判定指令請求是經過偽造的指令請求。此時，控制電路135會進行流程350，將該指令請求捨棄。

反之，若指令請求通過了安全微控制器133及控制電路135兩者的核實，則控制電路135會進行流程360，將指令請求所對應的一目標指令(target command)認可為已核實指令(authenticated command)。

接著，控制電路135可進行流程370，將目標指令透過通信介面131傳送至目標裝置140。

在流程380中，目標裝置140會接收指令核實電路130傳來的目標指令。

接著，目標裝置140會進行流程390，執行接收到的目標指令。

換言之，指令請求必須通過安全微控制器133及控制電路135的核實，控制電路135才進一步指示目標裝置140執行與指令請求相應的目標指令。

在偽造指令自動過濾系統100中，只有可信任指令產生裝置110利用其簽章所產生的指令請求能通過安全微控制器133及控制電路135兩者的核實程序，其他不是由可信任指令產生裝置110簽章產生的指令請求都會被安全微控制器133或控制電路135判定為是偽造的指令請求。

請參考圖4，其所繪示為本發明一實施例的產生指令請求的方法簡化後的流程圖。可信任指令產生裝置110在前述的流程290中可採用圖4的方法來產生指令請求。

在流程410中，可信任指令產生裝置110可依據選定指令產生一相應的摘要值(以下稱之為指令摘要值，command digest value)。例如，可信任指令產生裝置110可直接對選定指令進行雜湊(Hash)運算以產生指令摘要值。或者，可信任指令產生裝置110也可先利用其他加密金鑰或是指令核實電路130的公鑰，對選定指令進行加密以產生一相應的加密指令(encrypted command)，然後再對加密指令進行雜湊運算以產生指令摘要值。換言之，指令摘要值可以是依據選定指令的明文來產生，也可以是依據選定指令的密文來產生。

在流程420中，可信任指令產生裝置110可將選定指令或加密指令設置為一指令字串(command string)。

接著，可信任指令產生裝置110可進行流程430，以產生包含指令摘要值和指令字串的一編碼資料(以下稱之為指令編碼資料，command coded message)，且同時將指令字串設置為指令編碼資料中的一填塞字串(padding string)。因此，指令編碼資料的填塞字串中會記錄有選定指令的明文或密文。實作上，可信任指令產生裝置110還可將雜湊運算的物件識別碼和/或其他相關資料填入指令編碼資料中。

在流程440中，可信任指令產生裝置110可利用自身的簽章金鑰對指令編碼資料進行一可復原簽章演算法(message recoverable signature algorithm)運算，以產生一相應的簽章值(以下稱之為指令簽章值，command signature)。

接著，可信任指令產生裝置110可進行流程450，依據指令簽章值產生前述的指令請求。例如，可信任指令產生裝置110可直接將指令簽章值設置為前述的指令請求。或者，可信任指令產生裝置110也可先利用其他加密金鑰或是指令核實電路130的公鑰，對指令簽章值進行加密以產生一相應的加密版本(以下稱之為加密指令簽章值，encrypted command signature)，然後再將加密指令簽章值設置為前述的指令請求。換言之，指令請求可以是依據指令簽章值的明文來產生，也可以是依據指令簽章值的密文來產生。

當前述的指令字串的資料長度超過單一指令編碼資料的填塞字串的長度時，可信任指令產生裝置110可將指令字串內容拆分到多個指令編碼資料中，並產生相應的多個指令請求。

由前述說明可知，可信任指令產生裝置110所產生的指令請求中已同時記錄有選定指令或其加密版本的內容。因此，適格的接收裝置接收到前述的指令請求時，只要採用相對應的可復原簽章演算法對指令請求進行運算，便可從指令請求中還原出選定指令。如此一來，可信任指令產生裝置110只需將指令請求傳送給相關的接收裝置，而無需另外傳送選定指令或其加密版本給接收裝置。

請參考圖5，其所繪示為本發明一實施例的核實指令請求的方法簡化後的流程圖。控制電路135和安全微控制器133在前述的流程340中可採用圖5的方法來核實指令請求的真實性與正確性。

在流程510中，控制電路135和/或安全微控制器133可依據接收到的指令請求產生一相應的簽章值(以下稱之為目標指令簽章值，target command signature)。

例如，在可信任指令產生裝置110將指令簽章值設置為前述指令請求的實施例中，控制電路135可直接從接收到的指令請求中獲取目標指令簽章值。

又例如，在可信任指令產生裝置110將加密指令簽章值設置為指令請求的實施例中，控制電路135可將接收到的指令請求透過安全資料通道傳送給安全微控制器133，並指示安全微控制器133對指令請求進行解密。安全微控制器133會依據控制電路135的指示，使用相應的解密金鑰或是指令核實電路130的私鑰對指令請求進行解密。

倘若安全微控制器133無法成功解密指令請求，則代表指令請求核實失敗，亦即表示指令請求無法通過安全微控制器133的核實。在此情況下，安全微控制器133可主動將指令請求核實失敗的結果通知控制電路135。或者，安全微控制器133也可以不將指令請求核實失敗的結果通知控制電路135，而由控制電路135在超過一預定時間仍沒有收到安全微控制器133的通知時，自行判定指令請求無法通過安全微控制器133的核實。

反之，倘若安全微控制器133能成功解密指令請求，則安全微控制器133會產生前述的目標指令簽章值，並將目標指令簽章值透過安全資料通道傳送至控制電路135。換言之，目標指令簽章值有可能是由控制電路135單獨產生，也可能是由控制電路135搭配安全微控制器133共同運作而產生。

在取得目標指令簽章值後，控制電路135可指示安全微控制器133對目標指令簽章值進行電子簽章演算法運算。此時，安全微控制器133會進行流程520。

在流程520中，安全微控制器133可依據控制電路135的指示，利用前述的簽章驗證金鑰對目標指令簽章值進行一可復原簽章演算法運算。安全微控制器133在流程520中所使用的可復原簽章演算法，與可信任指令產生裝置110在前述流程440中所使用的可復原簽章演算法是互相對應的。

倘若安全微控制器133無法成功獲得可復原簽章演算法的運算結果，則代表指令請求核實失敗，亦即表示指令請求無法通過安全微控制器153的核實。在此情況下，安全微控制器133可主動將指令請求核實失敗的結果通知控制電路135。或者，安全微控制器133也可以不將指令請求核實失敗的結果通知控制電路135，而由控制電路135在超過一預定時間仍沒有收到安全微控制器133的通知時，自行判定指令請求無法通過安全微控制器133的核實。

反之，倘若安全微控制器133能成功獲得可復原簽章演算法的運算結果，則安全微控制器133會產生與目標指令簽章值相應的一編碼資料(以下稱之為復原指令編碼資料，recovered command coded message)，且復原指令編碼資料中會包含有一摘要值(以下稱之為復原指令摘要值，recovered command digest value)以及一填塞字串(以下稱之為復原指令字串，recovered command string)。

理論上，倘若目標指令簽章值是正確、真實的簽章值，而沒有經過竄改或偽造，則安全微控制器133在流程520中所產生的復原指令編碼資料，應該會與可信任指令產生裝置110在前述流程430中所產生的指令編碼資料相同，且復原指令編碼資料中所包含的復原指令摘要值與復原指令字串，也應該會分別與前述指令編碼資料中所包含的指令摘要值與指令字串相同。

安全微控制器133可將獲得的復原指令編碼資料透過安全資料通道傳送至控制電路135。

在流程530中，控制電路135可從復原指令字串中擷取出前述的目標指令，或是目標指令的加密版本(以下稱之為加密目標指令，encrypted target command)。

倘若控制電路135從復原指令字串中擷取出的是加密目標指令，則控制電路135可將加密目標指令透過安全資料通道傳送給安全微控制器133，並指示安全微控制器133對加密目標指令進行解密。安全微控制器133會依據控制電路135的指示，使用相應的解密金鑰或是指令核實電路130的私鑰對加密目標指令進行解密。

倘若安全微控制器133無法成功解密加密目標指令，則代表指令請求核實失敗，亦即表示指令請求無法通過安全微控制器133的核實。在此情況下，安全微控制器133可主動將指令請求核實失敗的結果通知控制電路135。或者，安全微控制器133也可以不將指令請求核實失敗的結果通知控制電路135，而由控制電路135在超過一預定時間仍沒有收到安全微控制器133的通知時，自行判定指令請求無法通過安全微控制器133的核實。

反之，倘若安全微控制器133能成功解密加密目標指令，則安全微控制器133會產生目標指令，並將目標指令透過安全資料通道傳送至控制電路135。

換言之，目標指令有可能是由控制電路135單獨從復原指令字串中獲取，也可能是由控制電路135搭配安全微控制器133共同運作而產生。

在流程540中，控制電路135可依據目標指令或加密目標指令產生一相應的摘要值(以下稱之為目標指令摘要值，target command digest value)。

例如，在可信任指令產生裝置110是對加密指令進行雜湊運算以產生前述指令摘要值的實施例中，控制電路135可對加密目標指令進行雜湊運算以產生目標指令摘要值。

又例如，在可信任指令產生裝置110是對選定指令進行雜湊運算以產生前述指令摘要值的實施例中，控制電路135可對目標指令進行雜湊運算以產生目標指令摘要值。

換言之，目標指令摘要值可能是依據目標指令的明文來產生，也可能是依據目標指令的密文來產生。

接著，控制電路135可進行流程550，將目標指令摘要值與復原指令摘要值進行比對。理論上，倘若目標指令或加密目標指令是沒有經過竄改或偽造的資料，則控制電路135所產生的目標指令摘要值，應該會與安全微控制器133所產生的復原指令編碼資料中的復原指令摘要值相同。

倘若目標指令摘要值與復原指令摘要值不符，則代表指令請求核實失敗，亦即表示指令請求無法通過控制電路135的核實。

反之，倘若目標指令摘要值與復原指令摘要值相符，則代表指令請求核實成功，亦即表示指令請求通過安全微控制器133及控制電路135兩者的核實。在此情況下，控制電路135可繼續進行前述的流程360，將目標指令認可為已核實指令。

在某些實施例中，控制電路135還可檢核目標指令是否屬於前述的可用指令集所定義的其中一個適格指令，以判斷目標指令是否超出用戶的權限範圍。例如，倘若目標指令不屬於前述的可用指令集所定義的任何適格指令，控制電路135便可判定目標指令超出用戶的操作權限。在此情況下，控制電路135會捨棄目標指令，藉此避免目標裝置140執行超出用戶權限的指令。在此實施例中，指令請求必須能通過安全微控制器133及控制電路135兩者的核實、且目標指令也必須是屬於前述的可用指令集所定義的其中一個適格指令，控制電路135才會進行流程370，將目標指令透過通信介面131傳送至目標裝置140。

實作上，控制電路135檢核目標指令是否超出用戶權限範圍的運作，可以在前述的流程540或550之前進行，也可以在流程570之後進行。

請注意，在前述的說明中，指令發送裝置120會將接收到的指令請求直接傳送給指令核實電路130，但這只是一實施例，而非侷限本發明的實際實施方式。

例如，圖6為本發明另一實施例的偽造指令自動過濾方法簡化後的部分流程圖。在圖6的實施例中，當指令發送裝置120於流程310接收到可信任指令產生裝置110傳來的指令請求後，會進行流程620，將接收到的指令請求發送至目標裝置140，而非發送至指令核實電路130。

在流程622中，目標裝置140會接收指令發送裝置120傳來的指令請求。

接著，目標裝置140並不會直接執行指令發送裝置120傳來的指令請求中的指令，而是會進行流程624，將指令發送裝置120傳來的指令請求進一步轉送至指令核實電路130進行核實。

在流程630中，指令核實電路130可利用通信介面131接收目標裝置140傳來的指令請求。

圖6實施例中的後續流程340至390都與圖3實施例中的對應流程相同，為簡潔起見，在此不重複敘述。

換言之，在圖6的實施例中，指令發送裝置120是將指令請求透過目標裝置140間接傳送至指令核實電路130，而非直接發送至指令核實電路130。

在前述的流程440中，可信任指令產生裝置110產生指令簽章值時所使用的簽章演算法是可復原簽章演算法，但這只是一實施例，而非侷限本發明之實際實施方式。

實作上，可信任指令產生裝置110產生指令簽章值時所使用的簽章演算法，也可以是不屬於可復原簽章演算法類別的其他簽章演算法。在此情況下，選定指令或相應的加密指令指令並不會被記錄在指令編碼資料的填塞字串中。因此，可信任指令產生裝置110需要將選定指令或加密指令另外傳送至指令發送裝置120。與前述圖3或圖6的實施例類似，指令發送裝置120可將可信任指令產生裝置110傳來的選定指令或加密指令直接發送至指令核實電路130，或是透過目標裝置140轉送給指令核實電路130。指令核實電路130則可利用通信介面131接收指令發送裝置120或是目標裝置140傳來的指令(在此同樣稱之為目標指令)或該指令的加密版本(在此同樣稱之為加密目標指令)。

在核實指令請求時，控制電路135和/或安全微控制器133可進行前述流程510的運作，以產生與接收到的指令請求相應的一簽章值(在此同樣稱之為目標指令簽章值)。

如前所述，在可信任指令產生裝置110將加密指令簽章值設置為指令請求的實施例中，控制電路135可將接收到的指令請求透過安全資料通道傳送給安全微控制器133，並指示安全微控制器133對指令請求進行解密。安全微控制器133會依據控制電路135的指示，使用相應的解密金鑰或是指令核實電路130的私鑰對指令請求進行解密。

倘若安全微控制器133無法成功解密指令請求，則代表指令請求核實失敗，亦即表示指令請求無法通過安全微控制器133的核實。

在取得目標指令簽章值後，控制電路135可指示安全微控制器133對目標指令簽章值進行電子簽章演算法運算。

在此實施例中，安全微控制器133可依據控制電路135的指示，利用前述的簽章驗證金鑰對目標指令簽章值進行一簽章演算法運算，以產生一摘要值(在此同樣稱之為復原指令摘要值)。安全微控制器133此時所使用的簽章演算法，與可信任指令產生裝置110產生指令簽章值時所使用的簽章演算法是互相對應的。

倘若安全微控制器133無法成功產生復原指令摘要值，則代表指令請求核實失敗，亦即表示指令請求無法通過安全微控制器133的核實。

倘若通信介面131接收到的是加密目標指令，則控制電路135可將加密目標指令透過安全資料通道傳送給安全微控制器133，並指示安全微控制器133對加密目標指令進行解密。安全微控制器133會依據控制電路135的指示，使用相應的解密金鑰或是指令核實電路130的私鑰對加密目標指令進行解密。倘若安全微控制器133無法成功解密加密目標指令，則代表指令請求核實失敗，亦即表示指令請求無法通過安全微控制器133的核實。

與前述的流程540與550相同，控制電路135可依據目標指令或加密目標指令產生相應的目標指令摘要值，並與安全微控制器133產生的復原指令摘要值進行比對。倘若目標指令摘要值與復原指令摘要值不符，則代表指令請求核實失敗，亦即表示指令請求無法通過控制電路135的核實。

由前述可知，指令核實電路130接收到的指令請求必須能夠通過控制電路135和安全微控制器133兩者的核實，該指令請求所對應的目標指令才可能被控制電路135認可為已核實指令，亦即才可能被判定為安全指令。沒有經過可信任指令產生裝置110進行簽章的指令，或是無法被安全微控制器133成功解密的指令，都會被指令核實電路130過濾掉，而不會被目標裝置140執行。

另外，前述實施例中的控制電路135還可將目標指令與可用指令集合進行比對，以判斷用戶下達的指令是否超出用戶的權限範圍。任何超出用戶的權限範圍的指令，也會被指令核實電路130過濾掉，而不會被目標裝置140執行。

因此，即使惡意程式與惡意入侵者入侵了指令發送裝置120與指令核實電路130之間的通信過程，這些惡意程式與惡意入侵者所偽造的指令由於並未經過可信任指令產生裝置110簽章，所以都會被指令核實電路130成功過濾掉，而不會被目標裝置140執行。

如此一來，便能確保目標裝置140所執行的指令的真實性，有效避免目標裝置140錯誤執行偽造指令的情況發生。換言之，前述偽造指令自動過濾系統100的架構，能夠有效防止目標裝置140被偽造的指令操控。

另外，由於可信任指令產生裝置110的簽章驗證金鑰是儲存在指令核實電路130的安全微控制器133中，能確保該簽章驗證金鑰不會被竄改，因此能提高資訊安全驗證的嚴密性與正確性。

再者，前述的指令核實電路130在運作時會自動進行指令請求的核實動作，無須人力介入操作，因此具有非常高的操作便利性。

前述的目標裝置140可依據接收到的指令執行各式各樣的操作或運算，以實現不同的功能。此外，可信任指令產生裝置110及目標裝置140的具體實施方式，也會隨著偽造指令自動過濾系統100的實際應用方式而有所不同。

例如，當偽造指令自動過濾系統100應用在智慧門鎖(smart lock)系統中時，可信任指令產生裝置110可以用用戶的行動裝置(例如：手機、平板電腦等)來實現，而目標裝置140則可以是智慧門鎖內的鎖具控制電路。

又例如，當偽造指令自動過濾系統100應用在遠端監視系統中時，可信任指令產生裝置110可以用用戶的行動裝置(例如：手機、平板電腦等)來實現，而目標裝置140則可以是遠端網路攝影機的影音信號存取電路或控制電路。

又例如，當偽造指令自動過濾系統100應用在網路附加儲存(network attached storage，NAS)裝置存取系統中時，可信任指令產生裝置110可用控管資料存取權限的本地伺服器或遠端伺服器來實現，而目標裝置140則可以是網路附加儲存裝置的存取控制電路。

又例如，當偽造指令自動過濾系統100應用在物聯網系統中時，可信任指令產生裝置110可用某一特定物聯網應用服務提供業者的遠端伺服器來實現，而目標裝置140則可以是某一物聯網裝置的開關電路或控制電路。

又例如，當偽造指令自動過濾系統100應用在工業4.0的智慧製造系統中時，可信任指令產生裝置110可用智慧製造系統的中央控制伺服器來實現，而目標裝置140則可以是智慧製造系統內的某一個生產設備的開關電路或控制電路。

請注意，當偽造指令自動過濾系統100應用在某些無須用戶介入操作的環境中時，亦可將前述圖2中的流程210至280省略。另外，在某些實施例中，亦可將圖2中的流程205至209省略，以簡化硬體配對流程200的複雜度。

另外，在某些資訊安全顧慮較低的應用中，安全微控制器133與控制電路135亦可改用安全資料通道以外的其他一般資料通道來傳輸前述的指令請求、目標指令簽章值、復原指令編碼資料、加密目標指令、和/或目標指令。

請參考圖7，其所繪示為本發明一實施例的協同運作系統700簡化後的功能方塊圖。協同運作系統700是將前述偽造指令自動過濾系統100的架構應用在智慧製造系統或是物聯網中的實施例之一。

如圖7所示，協同運作系統700包含可信任指令產生裝置110以及多個裝置群組。在協同運作系統700中，每個裝置群組的架構及運作方式，都與前述的偽造指令自動過濾系統100中的指令發送裝置120、指令核實電路130、以及目標裝置140三者的組合相類似，但後級的裝置群組會依據前級的裝置群組的執行結果來執行後續動作，以共同完成特定的協同運作。

為簡化說明起見，圖7中只繪示了三個裝置群組為例，分別是第一裝置群組710、第二裝置群組720、以及第三裝置群組730。第一裝置群組710包含第一指令發送裝置120a、第一指令核實電路130a、以及第一目標裝置140a。第二裝置群組720包含第二指令發送裝置120b、第二指令核實電路130b、以及第二目標裝置140b。第三裝置群組730包含第三指令發送裝置120c、第三指令核實電路130c、以及第三目標裝置140c。

在協同運作系統700中，可信任指令產生裝置110會產生分別與裝置群組710至730相對應的多組協同運作指令，並指示後級的裝置群組依據前級的裝置群組的執行結果來執行後續動作，以共同完成特定的協同運作。

為了簡化說明，以下假設可信任指令產生裝置110會產生及利用第一站指令(first-station command)來操控第一裝置群組710的運作，會產生及利用第二站指令(second-station command)來操控第二裝置群組720的運作，並會產生及利用第三站指令(third-station command)來操控第三裝置群組730的運作。與前述的實施例類似，可信任指令產生裝置110可對第一站指令進行簽章以產生一第一站指令請求(first-station command request)，可對第二站指令進行簽章以產生一第二站指令請求(second-station command request)，並可對第三站指令進行簽章以產生一第三站指令請求(third-station command request)。

如圖7所示，第一指令核實電路130a包含第一通信介面131a、第一安全微控制器133a、第一控制電路135a、以及第一儲存電路137a。第一通信介面131a用於與第一指令發送裝置120a或第一目標裝置140a進行通信，並用於接收第一站指令請求。第一安全微控制器133a用於儲存可信任指令產生裝置110的一簽章驗證金鑰。第一控制電路135a耦接於第一通信介面131a與第一安全微控制器133a，用於透過第一通信介面131a與第一指令發送裝置120a或第一目標裝置140a進行通信，並用於搭配第一安全微控制器133a利用簽章驗證金鑰對第一站指令請求進行核實。第一儲存電路137a耦接於第一控制電路135a，用於暫存第一控制電路135a運作所需的資料。第一站指令請求必須通過第一安全微控制器133a及第一控制電路135a的核實，第一控制電路135a才進一步指示第一目標裝置140a執行與第一站指令請求相應的一第一目標指令(first target command)。

第二指令核實電路130b包含第二通信介面131b、第二安全微控制器133b、第二控制電路135b、以及第二儲存電路137b。第二通信介面 131b用於與第二指令發送裝置120b或第二目標裝置140b進行通信，並用於接收第二站指令請求。第二安全微控制器133b用於儲存可信任指令產生裝置110的簽章驗證金鑰。第二控制電路135b耦接於第二通信介面131b與第二安全微控制器133b，用於透過第二通信介面131b與第二指令發送裝置120b或第二目標裝置140b進行通信，並用於搭配第二安全微控制器133b利用簽章驗證金鑰對第二站指令請求進行核實。第二儲存電路137b耦接於第二控制電路135b，用於暫存第二控制電路135b運作所需的資料。第二站指令請求必須通過第二安全微控制器133b及第二控制電路135b的核實，第二控制電路135b才進一步指示第二目標裝置140b執行與第二站指令請求相應的一第二目標指令(second target command)。

第三指令核實電路130c包含第三通信介面131c、第三安全微控制器133c、第三控制電路135c、以及第三儲存電路137c。第三通信介面131c用於與第三指令發送裝置120c或第三目標裝置140c進行通信，並用於接收第三站指令請求。第三安全微控制器133c用於儲存可信任指令產生裝置110的簽章驗證金鑰。第三控制電路135c耦接於第三通信介面131c與第三安全微控制器133c，用於透過第三通信介面131c與第三指令發送裝置120c或第三目標裝置140c進行通信，並用於搭配第三安全微控制器133c利用簽章驗證金鑰對第三站指令請求進行核實。第三儲存電路137c耦接於第三控制電路135c，用於暫存第三控制電路135c運作所需的資料。第三站指令請求必須通過第三安全微控制器133c及第三控制電路135c的核實，第三控制電路135c才進一步指示第三目標裝置140c執行與第三站指令請求相應的一第三目標指令(third target command)。

請參考圖8至圖10，其所繪示為本發明一實施例的協同運作方法簡化後的流程圖。以下將搭配圖8至圖10來進一步說明協同運作系統700的運作方式。

在協同運作系統700中，可信任指令產生裝置110會先與第一指令核實電路130a、第二指令核實電路130b、以及第三指令核實電路130c分別進行前述的硬體配對程序。

如圖8所示，可信任指令產生裝置110與第一裝置群組710可進行流程810，使得第一指令核實電路130a取得可信任指令產生裝置110的簽章驗證金鑰，以建立可信任指令產生裝置110與第一指令核實電路130a之間的硬體配對關係。

例如，可信任指令產生裝置110與第一裝置群組710可進行流程811至819來實現前述的流程810。與前述圖2的實施例相同，第一指令核實電路130a的第一安全微控制器133a可產生一金鑰對(以下稱之為第一金鑰對)。第一安全微控制器133a可將第一金鑰對中的私鑰儲存在其內部的機敏性資料儲存空間中，並將第一金鑰對中的公鑰透過第一控制電路135a傳送至可信任指令產生裝置110。

可信任指令產生裝置110與第二裝置群組720可進行流程820，使得第二指令核實電路130b取得可信任指令產生裝置110的簽章驗證金鑰，以建立可信任指令產生裝置110與第二指令核實電路130b之間的硬體配對關係。

例如，可信任指令產生裝置110與第二裝置群組720可進行流程821至829來實現前述的流程820。與前述圖2的實施例相同，第二指令核實電路130b的第二安全微控制器133b可產生一金鑰對(以下稱之為第二金鑰對)。第二安全微控制器133b可將第二金鑰對中的私鑰儲存在其內部的機敏性資料儲存空間中，並將第二金鑰對中的公鑰透過第二控制電路135b傳送至可信任指令產生裝置110。

可信任指令產生裝置110與第三裝置群組730可進行流程830，使得第三指令核實電路130c取得可信任指令產生裝置110的簽章驗證金鑰，以建立可信任指令產生裝置110與第三指令核實電路130c之間的硬體配對關係。

例如，可信任指令產生裝置110與第三裝置群組730可進行流程831至839來實現前述的流程830。與前述圖2的實施例相同，第三指令核實電路130c的第三安全微控制器133c可產生一金鑰對(以下稱之為第三金鑰對)。第三安全微控制器133c可將第三金鑰對中的私鑰儲存在其內部的機敏性資料儲存空間中，並將第三金鑰對中的公鑰透過第三控制電路135c傳送至可信任指令產生裝置110。

流程811至819、流程821至829、以及流程831至839，都分別與前述圖2中流程201至209的運作概念相同，為簡潔起見，在此不重複敘述。

如圖9所示，可信任指令產生裝置110可進行流程910，使用自身的簽章金鑰對第一站指令進行簽章以產生第一站指令請求。

接著，可信任指令產生裝置110可進行流程920，傳送第一站指令請求至第一裝置群組710。

在流程930中，第一裝置群組710中的第一指令發送裝置120a會接收可信任指令產生裝置110傳來的第一站指令請求，並將第一站指令請求直接或間接傳送給第一指令核實電路130a。

可信任指令產生裝置110可進行流程940，使用自身的簽章金鑰對第二站指令進行簽章以產生第二站指令請求。

接著，可信任指令產生裝置110可進行流程950，傳送第二站指令請求至第二裝置群組720。

在流程960中，第二裝置群組720中的第二指令發送裝置120b會接收可信任指令產生裝置110傳來的第二站指令請求，並將第二站指令請求直接或間接傳送給第二指令核實電路130b。

可信任指令產生裝置110可進行流程970，使用自身的簽章金鑰對第三站指令進行簽章以產生第三站指令請求。

接著，可信任指令產生裝置110可進行流程980，傳送第三站指令請求至第三裝置群組730。

在流程990中，第三裝置群組730中的第三指令發送裝置120c會接收可信任指令產生裝置110傳來的第三站指令請求，並將第三站指令請求直接或間接傳送給第三指令核實電路130c。

前述流程910至930的概念，與前述的流程290至330或是流程290至630相同。此外，前述流程940至960的概念，也與前述的流程290至330或是流程290至630相同。同樣地，前述流程970至990的概念，也與前述的流程290至330或是流程290至630相同。換言之，可信任指令產生裝置110在流程910、940、和970中，都可採用前述圖4的方法來產生相關的指令請求。為簡潔起見，在此不重複敘述相關流程的細節。

如圖10所示，當第一指令核實電路130a接收到第一站指令請求後，會進行流程1010。

在流程1010中，第一控制電路135a可搭配第一安全微控制器133a利用前述的簽章驗證金鑰來核實接收到的第一站指令請求的真實性與正確性。第一控制電路135a與第一安全微控制器133a在流程1010中可採用前述圖5的方法或相關的變化方法來核實第一站指令請求的真實性與正確性。為簡潔起見，在此不重複敘述相關流程的細節。

倘若第一站指令請求沒有通過第一安全微控制器133a或第一控制電路135a的核實，則第一控制電路135a會判定第一站指令請求是經過偽造的指令請求。此時，第一控制電路135a會進行流程1011，將第一站指令請求捨棄。

反之，若第一站指令請求通過了第一安全微控制器133a及第一控制電路135a兩者的核實，則第一控制電路135a會進行流程1013，將第一站指令請求所對應的一第一目標指令認可為已核實指令。

在流程1015中，第一控制電路135a會將第一目標指令傳送至第一目標裝置140a，以指示第一目標裝置140a執行第一目標指令。第一目標裝置140a執行第一目標指令所獲得的相關執行結果(例如，相關運算值、參數、資料、或是指示信息等等)，以下統稱為第一站參數(first-station parameter)。流程1015與前述圖3實施例中的流程370至390的運作概念相同。為簡潔起見，在此不重複敘述相關流程的細節。

在流程1017中，第一控制電路135a可搭配第一安全微控制器133a使用前述第一金鑰對中的私鑰對第一站參數進行簽章，以產生一相應的第一站參數信息(first-station parameter message)，並將第一站參數信息透過第一指令發送裝置120a傳送給第二裝置群組720。

請參考圖11，其所繪示為本發明一實施例的產生參數信息的方法簡化後的流程圖。第一控制電路135a和第一安全微控制器133a在流程1017中可採用圖11的方法來產生第一站參數信息。

在流程1110中，第一控制電路135a可依據第一站參數產生一相應的摘要值(以下稱之為參數摘要值，parameter digest value)。例如，第一控制電路135a可直接對第一站參數進行雜湊運算以產生參數摘要值。或者，第一控制電路135a也可先指示第一安全微控制器133a利用其他加密金鑰或是第二指令核實電路130b的公鑰(亦即，前述第二金鑰對中的公鑰)，對第一站參數進行加密以產生一相應的加密參數(encrypted parameter)。然後第一控制電路135a再對加密參數進行雜湊運算以產生參數摘要值。換言之，參數摘要值可以是依據第一站參數的明文來產生，也可以是依據第一站參數的密文來產生。

在流程1120中，第一控制電路135a可將第一站參數或加密參數設置為一參數字串(parameter string)。

接著，第一控制電路135a可進行流程1130，以產生包含參數摘要值和參數字串的一編碼資料(以下稱之為參數編碼資料，parameter coded rmessage)，且同時將參數字串設置為參數編碼資料中的一填塞字串。因此，參數編碼資料的填塞字串中會記錄有第一站參數的明文或密文。實作上，第一控制電路135a還可將雜湊運算的物件識別碼和/或其他相關資料填入參數編碼資料中。

在流程1140中，第一安全微控制器133a可利用自身的私鑰(亦即，前述第一金鑰對中的私鑰)對參數編碼資料進行一可復原簽章演算法運算，以產生一相應的簽章值(以下稱之為參數簽章值，parameter signature)。

接著，第一控制電路135a可進行流程1150，依據參數簽章值產生前述的第一站參數信息。例如，第一控制電路135a可直接將參數簽章值設置為前述的第一站參數信息。或者，第一控制電路135a也可先指示第一安全微控制器133a利用其他加密金鑰或是第二指令核實電路130b的公鑰(亦即，前述第二金鑰對中的公鑰)，對參數簽章值進行加密以產生一相應的加密版本(以下稱之為加密參數簽章值，encrypted parameter signature)。然後第一控制電路135a再將加密參數簽章值設置為前述的第一站參數信息。換言之，第一站參數信息可以是依據參數簽章值的明文來產生，也可以是依據參數簽章值的密文來產生。

當前述的參數字串的資料長度超過單一參數編碼資料的填塞字串的長度時，第一控制電路135a可將參數字串內容拆分到多個參數編碼資料中，並產生相應的多個第一站參數信息。

由前述說明可知，第一控制電路135a搭配第一安全微控制器133a所產生的第一站參數信息中已同時記錄有第一站參數或其加密版本的內容。因此，第二指令核實電路130b接收到前述的第一站參數信息時，只要採用相對應的可復原簽章演算法對第一站參數信息進行運算，便可從第一站參數信息中還原出第一站參數。如此一來，第一控制電路135a只需將第一站參數信息傳送給第二裝置群組720，而無需另外傳送第一站參數或其加密版本給第二裝置群組720。

如圖10所示，當第二指令核實電路130b接收到第二站指令請求後，會進行流程1020。

在流程1020中，第二控制電路135b可搭配第二安全微控制器133b利用前述的簽章驗證金鑰來核實接收到的第二站指令請求的真實性與正確性。第二控制電路135b與第二安全微控制器133b在流程1020中可採用前述圖5的方法或相關的變化方法來核實第二站指令請求的真實性與正確性。為簡潔起見，在此不重複敘述相關流程的細節。

倘若第二站指令請求沒有通過第二安全微控制器133b或第二控制電路135b的核實，則第二控制電路135b會判定第二站指令請求是經過偽造的指令請求。此時，第二控制電路135b會進行流程1021，將第二站指令請求捨棄。

反之，若第二站指令請求通過了第二安全微控制器133b及第二控制電路135b兩者的核實，則第二控制電路135b會進行流程1023，將第二站指令請求所對應的一第二目標指令認可為已核實指令。

當第二裝置群組720接收到第一裝置群組710傳來的第一站參數信息時，第二指令核實電路130b會進行流程1025。

在流程1025中，第二控制電路135b會搭配第二安全微控制器133b利用第一指令核實電路130a的公鑰(亦即，前述第一金鑰對中的公鑰)，來核實第一裝置群組710傳來的第一站參數信息的真實性與正確性，以取得一相應的第一目標參數(first target parameter)。

倘若第一站參數信息沒有通過第二控制電路135b或第二安全微控制器133b的核實，則第二控制電路135b會判定第一站參數信息是經過偽造的參數信息，並將第一站參數信息捨棄。

反之，若第一站參數信息通過了第二控制電路135b及第二安全微控制器133b兩者的核實，則第二控制電路135b會將第一目標參數認可為已核實參數(authenticated parameter)。

在流程1027中，第二控制電路135b會將第二目標指令及第一目標參數傳送至第二目標裝置140b，以指示第二目標裝置140b配合第一目標參數執行第二目標指令。第二目標裝置140b執行第二目標指令所獲得的相關執行結果(例如，相關運算值、參數、資料、或是指示信息等等)，以下統稱為第二站參數(second-station parameter)。流程1027與前述圖3實施例中的流程370至390的運作概念類似。為簡潔起見，在此不重複敘述相關流程的細節。

在流程1029中，第二控制電路135b可搭配第二安全微控制器133b使用前述第二金鑰對中的私鑰對第二站參數進行簽章，以產生一相應的第二站參數信息(second-station parameter message)，並將第二站參數信息透過第二指令發送裝置120b傳送給第三裝置群組730。流程1029與前述流程1017的運作概念相同，為簡潔起見，在此不重複敘述相關細節。

請參考圖12，其所繪示為本發明一實施例的核實參數信息的方法簡化後的流程圖。第二控制電路135b和第二安全微控制器133b在前述的流程1025中可採用圖12的方法來核實第一站參數信息的真實性與正確性。

在流程1210中，第二控制電路135b和/或第二安全微控制器133b可依據接收到的第一站參數信息產生一相應的簽章值(以下稱之為目標參數簽章值，target parameter signature)。

例如，在第一控制電路135a將參數簽章值設置為前述第一站參數信息的實施例中，第二控制電路135b可直接從接收到的第一站參數信息中獲取目標參數簽章值。

又例如，在第一控制電路135a將加密參數簽章值設置為第一站參數信息的實施例中，第二控制電路135b可將接收到的第一站參數信息透過安全資料通道傳送給第二安全微控制器133b，並指示第二安全微控制器133b對第一站參數信息進行解密。第二安全微控制器133b會依據第二控制電路135b的指示，使用相應的解密金鑰或是第二指令核實電路130b的私鑰(亦即，前述第二金鑰對中的私鑰)對第一站參數信息進行解密。

倘若第二安全微控制器133b無法成功解密第一站參數信息，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二安全微控制器133b的核實。在此情況下，第二安全微控制器133b可主動將第一站參數信息核實失敗的結果通知第二控制電路135b。或者，第二安全微控制器133b也可以不將第一站參數信息核實失敗的結果通知第二控制電路135b，而由第二控制電路135b在超過一預定時間仍沒有收到第二安全微控制器133b的通知時，自行判定第一站參數信息無法通過第二安全微控制器133b的核實。

反之，倘若第二安全微控制器133b能成功解密第一站參數信息，則第二安全微控制器133b會產生前述的目標參數簽章值，並將目標參數簽章值透過安全資料通道傳送至第二控制電路135b。換言之，目標參數簽章值有可能是由第二控制電路135b單獨產生，也可能是由第二控制電路135b搭配第二安全微控制器133b共同運作而產生。

在取得目標參數簽章值後，第二控制電路135b可指示第二安全微控制器133b對目標參數簽章值進行電子簽章演算法運算。此時，第二安全微控制器133b會進行流程1220。

在流程1220中，第二安全微控制器133b可依據第二控制電路135b的指示，利用第一安全微控制器133a的公鑰(亦即，前述第一金鑰對中的公鑰)對目標參數簽章值進行一可復原簽章演算法運算。第二安全微控制器133b在流程1220中所使用的可復原簽章演算法，與第一安全微控制器133a在前述流程1140中所使用的可復原簽章演算法是互相對應的。

倘若第二安全微控制器133b無法成功獲得可復原簽章演算法的運算結果，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二安全微控制器133b的核實。在此情況下，第二安全微控制器133b可主動將第一站參數信息核實失敗的結果通知第二控制電路135b。或者，第二安全微控制器133b也可以不將第一站參數信息核實失敗的結果通知第二控制電路135b，而由第二控制電路135b在超過一預定時間仍沒有收到第二安全微控制器133b的通知時，自行判定第一站參數信息無法通過第二安全微控制器133b的核實。

反之，倘若第二安全微控制器133b能成功獲得可復原簽章演算法的運算結果，則第二安全微控制器133b會產生與目標參數簽章值相應的一編碼資料(以下稱之為復原參數編碼資料，recovered parameter coded message)，且復原參數編碼資料中會包含有一摘要值(以下稱之為復原參數摘要值，recovered parameter digest value)以及一填塞字串(以下稱之為復原參數字串，recovered parameter string)。

理論上，倘若目標參數簽章值是正確、真實的簽章值，而沒有經過竄改或偽造，則第二安全微控制器133b在流程1220中所產生的復原參數編碼資料，應該會與第一控制電路135a在前述流程1130中所產生的參數編碼資料相同，且復原參數編碼資料中所包含的復原參數摘要值與復原參數字串，也應該會分別與前述參數編碼資料中所包含的參數摘要值與參數字串相同。

第二安全微控制器133b可將獲得的復原參數編碼資料透過安全資料通道傳送至第二控制電路135b。

在流程1230中，第二控制電路135b可從復原參數字串中擷取出前述的第一目標參數，或是第一目標參數的加密版本(以下稱之為加密目標參數，encrypted target parameter)。

倘若第二控制電路135b從復原參數字串中擷取出的是加密目標參數，則第二控制電路135b可將加密目標參數透過安全資料通道傳送給第二安全微控制器133b，並指示第二安全微控制器133b對加密目標參數進行解密。第二安全微控制器133b會依據第二控制電路135b的指示，使用相應的解密金鑰或是第二指令核實電路130b的私鑰(亦即，前述第二金鑰對中的私鑰)對加密目標參數進行解密。

倘若第二安全微控制器133b無法成功解密加密目標參數，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二安全微控制器133b的核實。在此情況下，第二安全微控制器133b可主動將第一站參數信息核實失敗的結果通知第二控制電路135b。或者，第二安全微控制器133b也可以不將第一站參數信息核實失敗的結果通知第二控制電路135b，而由第二控制電路135b在超過一預定時間仍沒有收到第二安全微控制器133b的通知時，自行判定第一站參數信息無法通過第二安全微控制器133b的核實。

反之，倘若第二安全微控制器133b能成功解密加密目標參數，則第二安全微控制器133b會產生第一目標參數，並將第一目標參數透過安全資料通道傳送至第二控制電路135b。

換言之，第一目標參數有可能是由第二控制電路135b單獨從復原參數字串中獲取，也可能是由第二控制電路135b搭配第二安全微控制器133b共同運作而產生。

在流程1240中，第二控制電路135b可依據第一目標參數或加密目標參數產生一相應的摘要值(以下稱之為目標參數摘要值，target parameter digest value)。

例如，在第一控制電路135a是對加密參數進行雜湊運算以產生前述參數摘要值的實施例中，第二控制電路135b可對加密目標參數進行雜湊運算以產生目標參數摘要值。

又例如，在第一控制電路135a是對第一站參數進行雜湊運算以產生前述參數摘要值的實施例中，第二控制電路135b可對第一目標參數進行雜湊運算以產生目標參數摘要值。

換言之，目標參數摘要值可能是依據第一目標參數的明文來產生，也可能是依據第一目標參數的密文來產生。

接著，第二控制電路135b可進行流程1250，將目標參數摘要值與復原參數摘要值進行比對。理論上，倘若第一目標參數或加密目標參數是沒有經過竄改或偽造的資料，則第二控制電路135b所產生的目標參數摘要值，應該會與第二安全微控制器133b所產生的復原參數編碼資料中的復原參數摘要值相同。

倘若目標參數摘要值與復原參數摘要值不符，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二控制電路135b的核實。

反之，倘若目標參數摘要值與復原參數摘要值相符，則代表第一站參數信息核實成功，亦即表示第一站參數信息通過第二安全微控制器133b及第二控制電路135b兩者的核實。在此情況下，第二控制電路135b便可將第一目標參數認可為已核實參數。

在前述的流程1140中，第一指令核實電路130a產生參數簽章值時所使用的簽章演算法是可復原簽章演算法，但這只是一實施例，而非侷限本發明之實際實施方式。

實作上，第一指令核實電路130a產生參數簽章值時所使用的簽章演算法，也可以是不屬於可復原簽章演算法類別的其他簽章演算法。在此情況下，第一站參數或相應的加密參數指令並不會被記錄在參數編碼資料的填塞字串中。因此，第一指令核實電路130a需要將第一站參數或加密參數另外透過第一指令發送裝置120a傳送給第二裝置群組720。

在核實第一站參數信息時，第二控制電路135b和/或第二安全微控制器133b可進行前述流程1210的運作，以產生與接收到的第一站參數信息相應的一簽章值(在此同樣稱之為目標參數簽章值)。

如前所述，在第一指令核實電路130a將加密參數簽章值設置為第一站參數信息的實施例中，第二控制電路135b可將接收到的第一站參數信息透過安全資料通道傳送給第二安全微控制器133b，並指示第二安全微控制器133b對第一站參數信息進行解密。第二安全微控制器133b會依據第二控制電路135b的指示，使用相應的解密金鑰或是第二指令核實電路130b的私鑰(亦即，前述第二金鑰對中的私鑰)對第一站參數信息進行解密。

倘若第二安全微控制器133b無法成功解密第一站參數信息，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二安全微控制器133b的核實。

在取得目標參數簽章值後，第二控制電路135b可指示第二安全微控制器133b對目標參數簽章值進行電子簽章演算法運算。

在此實施例中，第二安全微控制器133b可依據第二控制電路135b的指示，利用第一安全微控制器133a的公鑰(亦即，前述第一金鑰對中的公鑰)對目標參數簽章值進行一簽章演算法運算，以產生一摘要值(在此同樣稱之為復原參數摘要值)。第二安全微控制器133b此時所使用的簽章演算法，與第一指令核實電路130a產生參數簽章值時所使用的簽章演算法是互相對應的。

倘若第二安全微控制器133b無法成功產生復原參數摘要值，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二安全微控制器133b的核實。

倘若通信介面131接收到的是加密目標參數，則第二控制電路135b可將加密目標參數透過安全資料通道傳送給第二安全微控制器133b，並指示第二安全微控制器133b對加密目標參數進行解密。第二安全微控制器133b會依據第二控制電路135b的指示，使用相應的解密金鑰或是第二指令核實電路130b的私鑰(亦即，前述第二金鑰對中的私鑰)對加密目標參數進行解密。倘若第二安全微控制器133b無法成功解密加密目標參數，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二安全微控制器133b的核實。

與前述的流程1240與1250相同，第二控制電路135b可依據目標參數或加密目標參數產生相應的目標參數摘要值，並與第二安全微控制器133b產生的復原參數摘要值進行比對。倘若目標參數摘要值與復原參數摘要值不符，則代表第一站參數信息核實失敗，亦即表示第一站參數信息無法通過第二控制電路135b的核實。

如圖10所示，當第三指令核實電路130c接收到第三站指令請求後，會進行流程1030。

在流程1030中，第三控制電路135c可搭配第三安全微控制器133c利用前述的簽章驗證金鑰來核實接收到的第三站指令請求的真實性與正確性。第三控制電路135c與第三安全微控制器133c在流程1030中可採用前述圖5的方法或相關的變化方法來核實第三站指令請求的真實性與正確性。為簡潔起見，在此不重複敘述相關流程的細節。

倘若第三站指令請求沒有通過第三安全微控制器133c或第三控制電路135c的核實，則第三控制電路135c會判定第三站指令請求是經過偽造的指令請求。此時，第三控制電路135c會進行流程1031，將第三站指令請求捨棄。

反之，若第三站指令請求通過了第三安全微控制器133c及第三控制電路135c兩者的核實，則第三控制電路135c會進行流程1033，將第三站指令請求所對應的一第三目標指令認可為已核實指令。

當第三裝置群組730接收到第二裝置群組720傳來的第二站參數信息時，第三指令核實電路130c會進行流程1035。

在流程1035中，第三控制電路135c會搭配第三安全微控制器133c利用第二指令核實電路130b的公鑰(亦即，前述第二金鑰對中的公鑰)，來核實第二裝置群組720傳來的第二站參數信息的真實性與正確性，以取得一相應的第二目標參數(second target parameter)。流程1035與前述流程1025的運作概念相同，為簡潔起見，在此不重複敘述相關細節。

倘若第二站參數信息沒有通過第三控制電路135c或第三安全微控制器133c的核實，則第三控制電路135c會判定第二站參數信息是經過偽造的參數信息，並將第二站參數信息捨棄。

反之，若第二站參數信息通過了第三控制電路135c及第三安全微控制器133c兩者的核實，則第三控制電路135c會將第二目標參數認可為已核實參數。

在流程1037中，第三控制電路135c會將第三目標指令及第二目標參數傳送至第三目標裝置140c，以指示第三目標裝置140c配合第二目標參數執行第三目標指令。流程1037與前述圖3實施例中的流程370至390的運作概念類似。為簡潔起見，在此不重複敘述相關流程的細節。

第三目標裝置140c執行第三目標指令後，第三控制電路135c可進行流程1039，控制第三裝置群組730進行後續的相關動作。例如，第三控制電路135c可透過第三指令發送裝置120c將前述第三目標指令的執行結果(例如，相關運算值、參數、資料、或是指示信息等等)傳送給可信任指令產生裝置110或是下一個裝置群組。

由前述說明可知，協同運作系統700中的後級裝置群組會依據前級裝置群組的指令執行結果來執行後續動作，以共同完成可信任指令產生裝置110指派或規劃的協同運作任務。

在協同運作系統700中，任一裝置群組接收到的指令請求必須能夠通過該裝置群組中的指令核實電路(例如，前述的130a、130b、130c)的核實，該指令請求所對應的目標指令才會被指令核實電路中的控制電路認可為已核實指令，亦即才可能被判定為安全指令。沒有經過可信任指令產生裝置110進行簽章的指令，或是無法被指令核實電路中的安全微控制器成功解密的指令，都會被指令核實電路過濾掉，而不會被目標裝置(例如，前述的140a、140b、140c)執行。

因此，即使惡意程式與惡意入侵者入侵了指令發送裝置與指令核實電路之間的通信過程，這些惡意程式與惡意入侵者所偽造的指令由於並未經過可信任指令產生裝置110簽章，所以都會被指令核實電路成功過濾掉，而不會被裝置群組中的目標裝置執行。

另外，任一裝置群組接收到的參數信息必須能夠通過該裝置群組中的指令核實電路(例如，前述的130a、130b、130c)的核實，該參數信息所對應的目標參數才會被指令核實電路中的控制電路認可為已核實參數，亦即才可能被判定為安全參數。沒有經過前一級裝置群組中的指令核實電路進行簽章的參數，都會被後一級裝置群組中的指令核實電路過濾掉，而不會被後一級裝置群組中的目標裝置(例如，前述的140b、140c)用來作為運作的依據。

因此，即使惡意程式與惡意入侵者入侵了不同裝置群組彼此之間的通信過程，這些惡意程式與惡意入侵者所偽造的參數信息由於並未經過前一級的安全微控制器簽章，所以都會被後一級的指令核實電路成功過濾掉，而不會被後一級裝置群組中的目標裝置錯誤採用。

再者，前述各裝置群組中的指令核實電路(例如，前述的130a、130b、130c)在運作時會自動進行指令請求及參數信息的核實動作，無須人力介入操作。因此，協同運作系統700的架構具有非常高的操作便利性及應用彈性，且能夠確保各種物聯網或工業4.0的智慧製造系統中的指令與相關運作參數的真實性與正確性。

請注意，前述圖8至圖10中的流程執行順序只是一示範性的實施例，並非侷限本發明的實際實施方式。例如，圖8中的流程810、820、以及830的順序可以任意調整。圖9中的三組流程910-930、940-960、以及970-990彼此間的順序也可以任意調整。同樣地，圖10中的流程1010、1020、1030、以及相關的部分後續流程的順序，也可以加以調整。

另外，前述協同運作系統700中的裝置群組個數也可以依實際應用需要而增加或減少。

在說明書及申請專利範圍中使用了某些詞彙來指稱特定的元件，而本領域內的技術人員可能會用不同的名詞來稱呼同樣的元件。本說明書及申請專利範圍並不以名稱的差異來作為區分元件的方式，而是以元件在功能上的差異來作為區分的基準。在說明書及申請專利範圍中所提及的「包含」為開放式的用語，應解釋成「包含但不限定於」。另外，「耦接」一詞在此包含任何直接及間接的連接手段。因此，若文中描述第一元件耦接於第二元件，則代表第一元件可通過電性連接或無線傳輸、光學傳輸等信號連接方式而直接地連接於第二元件，或通過其它元件或連接手段間接地電性或信號連接至第二元件。

在說明書中所使用的「和/或」的描述方式，包含所列舉的其中一個項目或多個項目的任意組合。另外，除非說明書中特別指明，否則任何單數格的用語都同時包含複數格的含義。

以上僅為本發明的較佳實施例，凡依本發明請求項所做的等效變化與修改，皆應屬本發明的涵蓋範圍。

Claims

一種偽造指令自動過濾系統(100)，包含：一可信任指令產生裝置(110)，用於對一選定指令進行簽章以產生一指令請求；一指令發送裝置(120)，用於接收及發送該指令請求；一目標裝置(140)；以及一指令核實電路(130)，該指令核實電路(130)包含：一通信介面(131)，用於與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於接收該指令請求；一安全微控制器(133)，用於儲存該可信任指令產生裝置(110)的一簽章驗證金鑰；一控制電路(135)，耦接於該通信介面(131)與該安全微控制器(133)，用於透過該通信介面(131)與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於搭配該安全微控制器(133)利用該簽章驗證金鑰對該指令請求進行核實；以及一儲存電路(137)，耦接於該控制電路(135)，用於暫存該控制電路(135)運作所需的資料；其中，該安全微控制器(133)還用於使用該簽章驗證金鑰對與該指令請求相應的一目標指令簽章值進行一可復原簽章演算法運算，以產生包含一復原指令摘要值與一復原指令字串的一復原指令編碼資料，而該控制電路(135)還用於從該復原指令字串中擷取出該目標指令或一相對應的加密目標指令，接著依據該目標指令或該加密目標指令產生一目標指令摘要值，並與該復原指令摘要值進行比對；其中，該安全微控制器(133)必須能成功產生該復原指令編碼資料、且該目標指令摘要值必須與該復原指令摘要值相符，該指令請求才能通過該安全微控制器(133)及該控制電路(135)的核實，而該指令請求必須通過該安全微控制器(133)及該控制電路(135)的核實，該控制電路(135)才進一步指示該目標裝置(140)執行與該指令請求相應的一目標指令。
如請求項1所述的偽造指令自動過濾系統(100)，其中，若該指令請求沒有通過該安全微控制器(133)或該控制電路(135)的核實，則該控制電路(135)會捨棄該指令請求。
如請求項2所述的偽造指令自動過濾系統(100)，其中，該可信任指令產生裝置(110)產生該指令請求的流程包含有：依據該選定指令或一相應的加密指令產生一指令摘要值，其中，該加密指令是由該可信任指令產生裝置(110)對該選定指令進行加密所產生；將該選定指令或該加密指令設置為一指令字串；產生包含該指令摘要值與該指令字串的一指令編碼資料，且將該指令字串設置為該指令編碼資料中的一填塞字串；利用該可信任指令產生裝置(110)的一簽章金鑰對該指令編碼資料進行一可復原簽章演算法運算，以產生一相應的指令簽章值；以及將該指令簽章值或一相應的加密指令簽章值設置為該指令請求，其中，該加密指令簽章值是由該可信任指令產生裝置(110)對該指令簽章值進行加密所產生。
如請求項2所述的偽造指令自動過濾系統(100)，其中，該可信任指令產生裝置(110)還用於依據該指令發送裝置(120)的用戶身分篩選出多個適格指令，以形成一可用指令集合，並透過該指令發送裝置(120)將該可用指令集合傳送至該指令核實電路(130)，且該控制電路(135)將該可用指令集合儲存於該儲存電路(137)中；其中，該控制電路(135)還用於檢核該目標指令是否屬於該可用指令集所定義的其中一個適格指令，且只有在該目標指令屬於該可用指令集所定義的其中一個適格指令的情況下，該控制電路(135)才指示該目標裝置(140)執行該目標指令。
如請求項1所述的偽造指令自動過濾系統(100)，其中，該指令發送裝置(120)將該指令請求傳送至該目標裝置(140)，再由該目標裝置(140)將該指令請求轉送至該指令核實電路(130)的該通信介面(131)。
如請求項1所述的偽造指令自動過濾系統(100)，其中，該安全微控制器(133)還用於對該指令請求進行解密以產生該目標指令簽章值；其中，若該安全微控制器(133)無法成功解密該指令請求，則該指令請求無法通過該安全微控制器(133)的核實。
如請求項1所述的偽造指令自動過濾系統(100)，其中，該安全微控制器(133)還用於對該加密目標指令進行解密以產生該目標指令；其中，若該安全微控制器(133)無法成功解密該加密目標指令，則該指令請求無法通過該安全微控制器(133)的核實。
一種偽造指令自動過濾系統(100)，包含：一可信任指令產生裝置(110)，用於對一選定指令進行簽章以產生一指令請求；一指令發送裝置(120)，用於接收及發送該指令請求；一目標裝置(140)；以及一指令核實電路(130)，該指令核實電路(130)包含：一通信介面(131)，用於與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於接收該指令請求；一安全微控制器(133)，用於儲存該可信任指令產生裝置(110)的一簽章驗證金鑰；一控制電路(135)，耦接於該通信介面(131)與該安全微控制器(133)，用於透過該通信介面(131)與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於搭配該安全微控制器 (133)利用該簽章驗證金鑰對該指令請求進行核實；以及一儲存電路(137)，耦接於該控制電路(135)，用於暫存該控制電路(135)運作所需的資料；其中，該安全微控制器(133)還用於使用該簽章驗證金鑰對與該指令請求相應的一目標指令簽章值進行一簽章演算法運算，以產生一復原指令摘要值，而該控制電路(135)還用於依據該指令發送裝置(120)或該目標裝置(140)傳來的該目標指令或一相對應的加密目標指令產生一目標指令摘要值，並與該復原指令摘要值進行比對；其中，該安全微控制器(133)必須能成功產生該復原指令摘要值、且該目標指令摘要值必須與該復原指令摘要值相符，該指令請求才能通過該安全微控制器(133)及該控制電路(135)的核實，而該指令請求必須通過該安全微控制器(133)及該控制電路(135)的核實，該控制電路(135)才進一步指示該目標裝置(140)執行與該指令請求相應的一目標指令。
如請求項8所述的偽造指令自動過濾系統(100)，其中，該安全微控制器(133)還用於對該加密目標指令進行解密以產生該目標指令；其中，若該安全微控制器(133)無法成功解密該加密目標指令，則該指令請求無法通過該安全微控制器(133)的核實。
如請求項8所述的偽造指令自動過濾系統(100)，其中，該指令發送裝置(120)將該指令請求傳送至該目標裝置(140)，再由該目標裝置(140)將該指令請求轉送至該指令核實電路(130)的該通信介面(131)。
一種協同運作系統(700)，包含：一可信任指令產生裝置(110)，用於對一第一站指令進行簽章以產生一第一站指令請求、用於對一第二站指令進行簽章以產生一第二站指令請求、以及用於對一第三站指令進行簽章以產生一第三站指令請求；一第一裝置群組(710)；一第二裝置群組(720)；以及一第三裝置群組(730)；其中，該第一裝置群組(710)包含有：一第一指令發送裝置(120a)，用於接收及發送該第一站指令請求；一第一目標裝置(140a)；以及一第一指令核實電路(130a)，該第一指令核實電路(130a)包含：一第一通信介面(131a)，用於與該第一指令發送裝置(120a)或該第一目標裝置(140a)進行通信，並用於接收該第一站指令請求；一第一安全微控制器(133a)，用於儲存該可信任指令產生裝置(110)的一簽章驗證金鑰；一第一控制電路(135a)，耦接於該第一通信介面(131a)與該第一安全微控制器(133a)，用於透過該第一通信介面(131a)與該第一指令發送裝置(120a)或該第一目標裝置(140a)進行通信，並用於搭配該第一安全微控制器(133a)利用該簽章驗證金鑰對該第一站指令請求進行核實；以及一第一儲存電路(137a)，耦接於該第一控制電路(135a)，用於暫存該第一控制電路(135a)運作所需的資料；其中，該第一站指令請求必須通過該第一安全微控制器(133a)及該第一控制電路(135a)的核實，該第一控制電路(135a)才進一步指示該第一目標裝置(140a)執行與該第一站指令請求相應的一第一目標指令；該第二裝置群組(720)包含有：一第二指令發送裝置(120b)，用於接收及發送該第二站指令請求；一第二目標裝置(140b)；以及一第二指令核實電路(130b)，該第二指令核實電路(130b)包含：一第二通信介面(131b)，用於與該第二指令發送裝置(120b)或該第二目標裝置(140b)進行通信，並用於接收該第二站指令請求；一第二安全微控制器(133b)，用於儲存該可信任指令產生裝置(110)的該簽章驗證金鑰；一第二控制電路(135b)，耦接於該第二通信介面(131b)與該第二安全微控制器(133b)，用於透過該第二通信介面(131b)與該第二指令發送裝置(120b)或該第二目標裝置(140b)進行通信，並用於搭配該第二安全微控制器(133b)利用該簽章驗證金鑰對該第二站指令請求進行核實；以及一第二儲存電路(137b)，耦接於該第二控制電路(135b)，用於暫存該第二控制電路(135b)運作所需的資料；其中，該第二站指令請求必須通過該第二安全微控制器(133b)及該第二控制電路(135b)的核實，該第二控制電路(135b)才進一步指示該第二目標裝置(140b)執行與該第二站指令請求相應的一第二目標指令；該第三裝置群組(730)包含有：一第三指令發送裝置(120c)，用於接收及發送該第三站指令請求；一第三目標裝置(140c)；以及一第三指令核實電路(130c)，該第三指令核實電路(130c)包含：一第三通信介面(131c)，用於與該第三指令發送裝置(120c)或該第三目標裝置(140c)進行通信，並用於接收該第三站指令請求；一第三安全微控制器(133c)，用於儲存該可信任指令產生裝置(110)的該簽章驗證金鑰；一第三控制電路(135c)，耦接於該第三通信介面(131c)與該第三安全微控制器(133c)，用於透過該第三通信介面(131c)與該第三指令發送裝置(120c)或該第三目標裝置(140c)進行通信，並用於搭配該第三安全微控制器(133c)利用該簽章驗證金鑰對該第三站指令請求進行核實；以及一第三儲存電路(137c)，耦接於該第三控制電路(135c)，用於暫存該第三控制電路(135c)運作所需的資料；其中，該第三站指令請求必須通過該第三安全微控制器(133c)及該第三控制電路(135c)的核實，該第三控制電路(135c)才進一步指示該第三目標裝置(140c)執行與該第三站指令請求相應的一第三目標指令；其中，該第一控制電路(135a)還用於搭配該第一安全微控制器(133a)進行運算，以依據該第一目標裝置(140a)執行該第一目標指令後獲得的一第一站參數產生一相應的第一站參數信息，而該第二控制電路(135b)還用於搭配該第二安全微控制器(133b)利用該第一指令核實電路(130a)的一公鑰，對該第一站參數信息進行核實，且該可信任指令產生裝置(110)還設置成指示該第一至該第三裝置群組(710、720、730)中位於後級的裝置群組依據前級的裝置群組的執行結果來執行後續動作，以共同完成一特定的協同運作。
如請求項11所述的協同運作系統(700)，其中，若該第一站指令請求沒有通過該第一安全微控制器(133a)或該第一控制電路(135a)的核實，則該第一控制電路(135a)會捨棄該第一站指令請求。
如請求項12所述的協同運作系統(700)，其中，該第一站參數信息必須通過該第二控制電路(135b)與該第二安全微控制器(133b)的核實，該第二控制電路(135b)才進一步指示該第二目標裝置(140b)配合與該第一站參數信息相應的一第一目標參數，執行該第二目標指令。
如請求項13所述的協同運作系統(700)，其中，該可信任指令產生裝置(110)產生該第一站指令請求的流程包含有：依據該第一站指令或一相應的加密指令產生一指令摘要值，其中，該加密指令是由該可信任指令產生裝置(110)對該第一站指令進行加密所產生；將該第一站指令或該加密指令設置為一指令字串；產生包含該指令摘要值與該指令字串的一指令編碼資料，且將該指令字串設置為該指令編碼資料中的一填塞字串；利用該可信任指令產生裝置(110)的一簽章金鑰對該指令編碼資料進行一可復原簽章演算法運算，以產生一相應的指令簽章值；以及將該指令簽章值或一相應的加密指令簽章值設置為該第一站指令請求，其中，該加密指令簽章值是由該可信任指令產生裝置(110)對該指令簽章值進行加密所產生。
如請求項13所述的協同運作系統(700)，其中，該第一安全微控制器(133a)還用於使用該簽章驗證金鑰對與該第一站指令請求相應的一目標指令簽章值進行一可復原簽章演算法運算，以產生包含一復原指令摘要值與一復原指令字串的一復原指令編碼資料，而該第一控制電路(135a)還用於從該復原指令字串中擷取出該第一目標指令或一相對應的加密目標指令，接著依據該第一目標指令或該加密目標指令產生一目標指令摘要值，並與該復原指令摘要值進行比對；其中，該第一安全微控制器(133a)必須能成功產生該復原指令編碼資料、且該目標指令摘要值必須與該復原指令摘要值相符，該第一站指令請求才能通過該第一安全微控制器(133a)及該第一控制電路(135a)的核實。
如請求項15所述的協同運作系統(700)，其中，該第一安全微控制器(133a)還用於對該第一站指令請求進行解密以產生該目標指令簽章值；其中，若該第一安全微控制器(133a)無法成功解密該第一站指令請求，則該第一站指令請求無法通過該第一安全微控制器(133a)的核實。
如請求項15所述的協同運作系統(700)，其中，該第一安全微控制器(133a)還用於對該加密目標指令進行解密以產生該第一目標指令；其中，若該第一安全微控制器(133a)無法成功解密該加密目標指令，則該第一站指令請求無法通過該第一安全微控制器(133a)的核實。
如請求項13所述的協同運作系統(700)，其中，產生該第一站參數信息的流程包含有：該第一控制電路(135a)依據該第一站參數或一相應的加密參數產生一參數摘要值，其中，該加密參數是由該第一安全微控制器(133a)對該第一站參數進行加密所產生；該第一控制電路(135a)將該第一站參數或該加密參數設置為一參數字串；該第一控制電路(135a)產生包含該參數摘要值與該參數字串的一參數編碼資料，且將該參數字串設置為該參數編碼資料中的一填塞字串；該第一安全微控制器(133a)利用該第一安全微控制器(133a)的一私鑰對該參數編碼資料進行一可復原簽章演算法運算，以產生一相應的參數簽章值；以及該第一控制電路(135a)將該參數簽章值或一相應的加密參數簽章值設置為該第一站參數信息，其中，該加密參數簽章值是由該第一安全微控制器(133a)對該參數簽章值進行加密所產生。
如請求項13所述的協同運作系統(700)，其中，該第二安全微控制器(133b)還用於使用該第一安全微控制器(133a)的一金鑰對與該第一站參數信息相應的一目標參數簽章值進行一可復原簽章演算法運算，以產生包含一復原參數摘要值與一復原參數字串的一復原參數編碼資料，而該第二控制電路(135b)還用於從該復原參數字串中擷取出該第一目標參數或一相對應的加密目標參數，接著依據該第一目標參數或該加密目標參數產生一目標參數摘要值，並與該復原參數摘要值進行比對；其中，該第二安全微控制器(133b)必須能成功產生該復原參數編碼資料、且該目標參數摘要值必須與該復原參數摘要值相符，該第一站參數信息才能通過該第二安全微控制器(133b)及該第二控制電路(135b)的核實。
如請求項19所述的協同運作系統(700)，其中，該第二安全微控制器(133b)還用於對該第一站參數信息進行解密以產生該目標參數簽章值；其中，若該第二安全微控制器(133b)無法成功解密該第一站參數信息，則該第一站參數信息無法通過該第二安全微控制器(133b)的核實。
如請求項19所述的協同運作系統(700)，其中，該第二安全微控制器(133b)還用於對該加密目標參數進行解密以產生該第一目標參數；其中，若該第二安全微控制器(133b)無法成功解密該加密目標參數，則該第一站參數信息無法通過該第二安全微控制器(133b)的核實。
一種用於一偽造指令自動過濾系統(100)中的指令核實電路(130)，其中，該偽造指令自動過濾系統(100)包含一可信任指令產生裝置 (110)、一指令發送裝置(120)、該指令核實電路(130)、以及一目標裝置(140)，該可信任指令產生裝置(110)用於對一選定指令進行簽章以產生一指令請求，該指令發送裝置(120)用於接收及發送該指令請求，該指令核實電路(130)包含：一通信介面(131)，用於與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於接收該指令請求；一安全微控制器(133)，用於儲存該可信任指令產生裝置(110)的一簽章驗證金鑰；一控制電路(135)，耦接於該通信介面(131)與該安全微控制器(133)，用於透過該通信介面(131)與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於搭配該安全微控制器(133)利用該簽章驗證金鑰對該指令請求進行核實；以及一儲存電路(137)，耦接於該控制電路(135)，用於暫存該控制電路(135)運作所需的資料；其中，該安全微控制器(133)還用於使用該簽章驗證金鑰對與該指令請求相應的一目標指令簽章值進行一可復原簽章演算法運算，以產生包含一復原指令摘要值與一復原指令字串的一復原指令編碼資料，而該控制電路(135)還用於從該復原指令字串中擷取出該目標指令或一相對應的加密目標指令，接著依據該目標指令或該加密目標指令產生一目標指令摘要值，並與該復原指令摘要值進行比對；其中，該安全微控制器(133)必須能成功產生該復原指令編碼資料、且該目標指令摘要值必須與該復原指令摘要值相符，該指令請求才能通過該安全微控制器(133)及該控制電路(135)的核實，而該指令請求必須通過該安全微控制器(133)及該控制電路(135)的核實，該控制電路(135)才進一步指示該目標裝置(140)執行與該指令請求相應的一目標指令。
如請求項22所述的指令核實電路(130)，其中，若該指令請求沒有通過該安全微控制器(133)或該控制電路(135)的核實，則該控制電路(135)會捨棄該指令請求。
如請求項23所述的指令核實電路(130)，其中，該可信任指令產生裝置(110)產生該指令請求的流程包含有：依據該選定指令或一相應的加密指令產生一指令摘要值，其中，該加密指令是由該可信任指令產生裝置(110)對該選定指令進行加密所產生；將該選定指令或該加密指令設置為一指令字串；產生包含該指令摘要值與該指令字串的一指令編碼資料，且將該指令字串設置為該指令編碼資料中的一填塞字串；利用該可信任指令產生裝置(110)的一簽章金鑰對該指令編碼資料進行一可復原簽章演算法運算，以產生一相應的指令簽章值；以及將該指令簽章值或一相應的加密指令簽章值設置為該指令請求，其中，該加密指令簽章值是由該可信任指令產生裝置(110)對該指令簽章值進行加密所產生。
如請求項24所述的指令核實電路(130)，其中，該可信任指令產生裝置(110)還用於依據該指令發送裝置(120)的用戶身分篩選出多個適格指令，以形成一可用指令集合，並透過該指令發送裝置(120)將該可用指令集合傳送至該指令核實電路(130)，且該控制電路(135)將該可用指令集合儲存於該儲存電路(137)中；其中，該選定指令是選自於該可用指令集合。
如請求項22所述的指令核實電路(130)，其中，該指令發送裝置(120)將該指令請求傳送至該目標裝置(140)，再由該目標裝置(140)將該指令請求轉送至該指令核實電路(130)的該通信介面(131)。
如請求項22所述的指令核實電路(130)，其中，該安全微控制器(133) 還用於對該指令請求進行解密以產生該目標指令簽章值；其中，若該安全微控制器(133)無法成功解密該指令請求，則該指令請求無法通過該安全微控制器(133)的核實。
如請求項22所述的指令核實電路(130)，其中，該安全微控制器(133)還用於對該加密目標指令進行解密以產生該目標指令；其中，若該安全微控制器(133)無法成功解密該加密目標指令，則該指令請求無法通過該安全微控制器(133)的核實。
一種用於一偽造指令自動過濾系統(100)中的指令核實電路(130)，其中，該偽造指令自動過濾系統(100)包含一可信任指令產生裝置(110)、一指令發送裝置(120)、該指令核實電路(130)、以及一目標裝置(140)，該可信任指令產生裝置(110)用於對一選定指令進行簽章以產生一指令請求，該指令發送裝置(120)用於接收及發送該指令請求，該指令核實電路(130)包含：一通信介面(131)，用於與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於接收該指令請求；一安全微控制器(133)，用於儲存該可信任指令產生裝置(110)的一簽章驗證金鑰；一控制電路(135)，耦接於該通信介面(131)與該安全微控制器(133)，用於透過該通信介面(131)與該指令發送裝置(120)或該目標裝置(140)進行通信，並用於搭配該安全微控制器(133)利用該簽章驗證金鑰對該指令請求進行核實；以及一儲存電路(137)，耦接於該控制電路(135)，用於暫存該控制電路(135)運作所需的資料；其中，該安全微控制器(133)還用於使用該簽章驗證金鑰對與該指令請求相應的一目標指令簽章值進行一簽章演算法運算，以產生一復原指令摘要值，而該控制電路(135)還用於依據該指令發送裝置(120)或該目標裝置(140)傳來的該目標指令或一相對應的加密目標指令產生一目標指令摘要值，並與該復原指令摘要值進行比對；其中，該安全微控制器(133)必須能成功產生該復原指令摘要值、且該目標指令摘要值必須與該復原指令摘要值相符，該指令請求才能通過該安全微控制器(133)及該控制電路(135)的核實，而該指令請求必須通過該安全微控制器(133)及該控制電路(135)的核實，該控制電路(135)才進一步指示該目標裝置(140)執行與該指令請求相應的一目標指令。
如請求項29所述的指令核實電路(130)，其中，該安全微控制器(133)還用於對該加密目標指令進行解密以產生該目標指令；其中，若該安全微控制器(133)無法成功解密該加密目標指令，則該指令請求無法通過該安全微控制器(133)的核實。
如請求項29所述的指令核實電路(130)，其中，該指令發送裝置(120)將該指令請求傳送至該目標裝置(140)，再由該目標裝置(140)將該指令請求轉送至該指令核實電路(130)的該通信介面(131)。
如請求項29所述的指令核實電路(130)，其中，該控制電路(135)還用於依據一第一站參數或一相應的加密參數產生一參數摘要值、將該第一站參數或該加密參數設置為一參數字串、並產生包含該參數摘要值與該參數字串的一參數編碼資料、且將該參數字串設置為該參數編碼資料中的一填塞字串；該安全微控制器(133)還用於利用該安全微控制器(133)的一私鑰對該參數編碼資料進行一可復原簽章演算法運算，以產生一相應的參數簽章值；其中，該控制電路(135)還用於將該參數簽章值或一相應的加密參數簽章值設置為一第一站參數信息，其中，該加密參數是由該安全微控制器(133)對該第一站參數進行加密所產生，且該加密參數簽章值是由該安全微控制器(133)對該參數簽章值進行加密所產生。