CN101673243B - 数据储存装置与方法 - Google Patents

Abstract

本发明提供一种数据储存装置与方法，其中，数据储存装置包括一存储器控制单元与三部分存储器。存储器控制单元包括一安全性模块以及一逻辑-物理地址配置模块，将在一写入操作下自一主机接收一逻辑地址以及一写入数据。安全性模块负责判断逻辑地址是否属于第三存储器中所储存的关键逻辑地址之一，如果是，则依据该逻辑地址查询第二存储器内的一逻辑-物理地址映射表以得到一关键物理地址。接着，逻辑-物理地址配置模块配置第一存储器内闲置的一物理地址给该逻辑地址以储存上述写入数据，并据以更新该第二存储器中所储存的上述逻辑-物理地址映射表。本发明有助于提高数据储存安全性。

Description

数据储存装置与方法

技术领域

本发明有关于一种数据储存装置以及所使用的数据储存方法。

背景技术

除了盘式硬盘、光盘等，现今已发展出其他数据储存技术。以固态式硬盘(Solid State Disc，SSD)为例，其中利用NANDFlash(NAND快闪存储器)作为数据储存单元，并搭配一存储器控制单元控制NAND快闪存储器的读写。固态式硬盘常被用来取代传统的盘式硬盘技术。

图1图解一以NAND快闪存储器作为数据储存单元的数据储存装置100。数据储存装置100包括NAND快闪存储器101和存储器控制单元102，其中NAND快闪存储器101具有多个区块(blocks，编号为block₁、block₂、...、block_n)。这些区块各自包括多个页(pages)，例如，区块block₁即包括多个页page(1)、page(2)、...、page(m)。

主机(host，未绘示)通过该存储器控制单元102对该NAND快闪存储器101进行读写。于读/写操作中，主机端程序所使用的地址信息称为“逻辑地址”，需先转换为“物理地址”才能对应至NAND快闪存储器101所提供的物理空间。数据储存装置100通常需要另行提供空间储存上述逻辑-物理地址映射。一般而言，所有的逻辑-物理地址映射关系构成一逻辑-物理地址映射表(称为mapping table)；该逻辑-物理地址映射表的内容通常由数据储存装置100的存储器控制单元102决定。

在以NAND快闪存储器为数据存储单元的数据储存装置的应用中，上述逻辑地址、物理地址通常以“页(page)”为单位运作。写入操作可令图1所示的NAND快闪存储器101的物理空间以“页”为单位被填写，例如，写入数据至图1所示的物理空间-页page(1)。然而，NAND快闪存储器有一特性：使用过的物理空间必须经过一擦除动作后才能再被写入数据。因此，若写入动作为覆写(overwrite)一逻辑地址，数据并非覆写至该逻辑地址原本对应的物理空间，存储器控制单元102必须重新配置一闲置的物理空间给该逻辑地址使用。因此，逻辑地址覆写操作需要修改关于该逻辑地址的逻辑-物理地址映射。至于该逻辑地址先前所对应的物理地址则视为无效物理地址，其上数据亦被视为无效(dirty)。

至于NAND快闪存储器储存空间的擦除则通常以“区块(block)”为单位，本技术领域通常称此以区块为单位进行擦除以释放出可写入区块(free block)的技术为垃圾收集(garbagecollection)。举例说明，垃圾收集会选定一区块(block)，例如block₁来释放；在释放该区块前，必须先将该区块内的有效数据拷贝至其他区块，例如block₂，再将该区块擦除，使其为可写入区块。

上述NAND快闪存储器101的写入规则在文件安全性管理上有极大的漏洞。例如，覆写动作所产生的无效物理地址的数据其实并未被擦除，而由于覆写后逻辑地址映射至新的物理地址，该无效物理地址上的无效数据则失去了与逻辑地址的映射关系，造成主机端无法追踪这些无效数据。经时间累积，这些无效数据可能散落在NAND快闪存储器101的多个不同的区块，这些无效数据极有可能被有心人士恢复，对于安全性要求较高的文件数据来说，这是较大的安全隐患。此外，垃圾收集时，可能发生释放的区块仍存在重要数据的状况。例如，普通垃圾收集释放区块时，对区块上的有效数据仅进行普通擦除，然而，普通擦除并不能保证其上已无效的重要数据不会被有心人士恢复。因此，本技术领域需要发展新的技术，以提高数据安全性。

发明内容

本发明提供一种数据储存装置，其中包括一存储器控制单元与一第一存储器、一第二存储器以及一第三存储器。第一存储器的储存空间由多个物理地址区分。第二存储器储存一逻辑-物理地址映射表。第三存储器储存至少一关键逻辑地址。存储器控制单元耦接于一主机与上述第一存储器、第二存储器和第三存储器之间，并于一写入操作下自该主机接收一逻辑地址与一写入数据。该存储器控制单元更包括：一安全性模块以及一逻辑-物理地址配置模块。安全性模块负责判断该逻辑地址是否属于上述关键逻辑地址之一，如果是，则依据该逻辑地址查询该第二存储器，以得到一关键物理地址。在该安全性模块查询到该关键物理地址后，逻辑-物理地址配置模块配置闲置的一物理地址给该逻辑地址以储存上述写入数据，并据以更新该第二存储器中所储存的上述逻辑-物理地址映射表。

基于第三存储器所记录的内容，存储器控制单元可掌握高重要性文件所相关的所有逻辑地址，有助于提高数据储存安全性。

此外，本发明亦提供一种数据储存方法，包括：在一写入操作下接收一逻辑地址以及一写入数据；判断该逻辑地址是否属于一第三存储器中所储存的至少一关键逻辑地址之一；如果该逻辑地址是其中一关键逻辑地址，则依据该逻辑地址查询一第二存储器中所储存的一逻辑-物理地址映射表，以得到一关键物理地址；以及在查询到该关键物理地址后，配置闲置的一物理地址给该逻辑地址以储存上述写入数据，并据以更新该第二存储器中所储存的上述逻辑-物理地址映射表。

同样地，基于该第三存储器所记录的内容，使用者可掌握高重要性文件所相关的所有逻辑地址，有助于提高数据储存安全性。

附图说明

图1图解NAND快闪存储器的物理空间；

图2以模块图图解本发明的一种实施方式；

图3图解本发明一实施方式的覆写操作流程图；

图4以NAND快闪存储器为例，举例说明本发明安全擦除动作的一种实施方式；

图5图解本发明另一实施方式的覆写操作流程图；以及

图6图解第五存储器226、第六存储器228之间的关系。

附图中符号的简单说明如下：

100：数据储存装置

101：NAND快闪存储器

102：存储器控制单元

202：数据储存装置

204：存储器控制单元

206、208、210：第一存储器、第二存储器、第三存储器

212：逻辑-物理地址配置模块

214：安全性模块

216：第四存储器

222：主机

224：控制单元

226、228：第五存储器、第六存储器

S300～S308：步骤

402：具有无效的高重要性数据的页

404、406：有效数据

408、410：无效的不重要数据

S500～S508：步骤

602：存有文件1所使用到的关键逻辑地址记录

604：存有文件2所使用到的关键逻辑地址记录

block₁...block_n、block_k、block₁：NAND快闪存储器的区块

page(1)...page(m)：区块block₁的多个页。

具体实施方式

图2以模块图图解本发明的一种实施方式，其中数据储存装置202至少包括：一存储器控制单元204、一第一存储器206、一第二存储器208以及一第三存储器210。存储器控制单元204具有一逻辑-物理地址配置模块212与一安全性模块214。上述逻辑-物理地址配置模块212与安全性模块214可以软件方式实现、或以硬件电路方式实现、或以软硬件共同设计完成。上述第一存储器206、第二存储器208以及第三存储器210可为同一存储器元件、亦或为不同的存储器元件的组合。例如，第一存储器206可为一NAND存储器，第二存储器与第三存储器可为一RAM或其他。

第一存储器206负责提供物理储存空间实现此数据储存装置202的数据储存功能，其中空间以“物理地址”区分。第二存储器208则负责储存逻辑-物理地址映射表(mapping table)，其内容由存储器控制单元204的逻辑-物理地址配置模块212决定。第三存储器210则用来记录具有高重要性的逻辑地址，其中内容由安全性模块214决定。

此段落举例说明上述第一存储器206、第二存储器208以及第三存储器210的运作，其中，一高重要性文件的数据为2KB，而第一存储器206中一个“物理地址”对应的储存空间的大小为512byte。逻辑-物理地址配置模块212会将该高重要性文件的数据划分至4个“逻辑地址”分别储存在该第一存储器206中对应的4个“物理地址”中。安全性模块214会将此4个“逻辑地址”视为“关键逻辑地址”(key Logic Page Address，key LPA)记录在第三存储器210中。第三存储器210中所记录的内容将有助于提升数据储存安全。高重要性文件是指其数据的安全级别较高，需要本发明所揭露的技术来保障的文件，而一文件是否为高重要性文件是由使用者决定并记录在主机222中，后面图6会详细说明。

由于第三存储器210记录有“关键逻辑地址”的信息，后续的写入操作可以以下方式实现。图3图解其流程图。写入操作发生时，主机222传送一逻辑地址以及一写入数据由存储器控制单元204接收(步骤S300)。安全性模块214必须进行步骤S301判断该逻辑地址是否已经由第三存储器210标示为关键逻辑地址。若该逻辑地址属于关键逻辑地址，则安全性模块214执行步骤S302，查询第二存储器208中所储存的逻辑-物理地址映射表，找到该逻辑地址对应的即将被标示为无效的物理地址，以下称之为关键物理地址(key Physical Page Address，key PPA)。接着，安全性模块214实行步骤S303，对该关键物理地址内的即将无效的数据进行安全擦除，以避免有心人士将其恢复利用。此外，在本次写入操作下的写入数据也有可能不属于高重要性文件，但若该逻辑地址仍作为关键逻辑地址残留在第三存储器210中不删除，则主机222下达指令指示完整删除该高重要性文件时，则会错误删除已不属于该高重要性文件的数据。因此，安全性模块214更可执行图3流程的步骤S304，确认该写入数据是否仍属于高重要性文件。若该写入数据已经不属于高重要性文件，安全性模块214执行步骤S305，将该逻辑地址对应的关键逻辑地址自该第三存储器210删除，以维持第三存储器210中数据的正确性。若确认该写入数据仍是一高重要性文件的一部分，则逻辑-物理地址配置模块212开始动作，配置一个闲置的物理地址给该逻辑地址，该写入数据将根据该物理地址写入该第一存储器206，且第二存储器208中所储存的逻辑-物理地址映射表也会随之更新。

另外，若步骤S301中，安全性模块214判断第三存储器210根本没有该逻辑地址的数据，则安全性模块214执行步骤S306，确认该写入数据是否属于一高重要性文件。此步骤是用来应付某些特定状况，例如，在高重要性文件对应的数据增加时，主机222会分配新的逻辑地址给新增加的写入数据，但该逻辑地址之前并未记录在第三存储器210中，因此需要在步骤S301后更设计步骤S306，以避免误判发生。若步骤S306也确定该写入数据不属于高重要性文件，则改由逻辑-物理地址配置模块212动作，执行步骤S308，配置一个闲置的物理地址给该逻辑地址，该写入数据将根据该物理地址写入该第一存储器206，且第二存储器208中所储存的逻辑-物理地址映射表也会随之更新。反之，若步骤S306判断出，该写入数据事实上属于一高重要性文件，则安全性模块214会将该逻辑地址增添至该第三存储器210，视之为关键逻辑地址(步骤S307)，而后则改由逻辑-物理地址配置模块212动作，执行步骤S308。

关于步骤S303中的“安全擦除动作”，有多种实施方式。图4以NAND快闪存储器为例，举例说明该“安全擦除动作”；其中，NAND快闪存储器的擦除动作需以“区块(block)”为单位。参阅图示，页402为图3步骤S302所取得的关键物理地址所在，由于其所对应的逻辑地址已有新的写入动作发生，故该关键物理地址的内容将成为无效的高重要性数据，需被安全擦除。在此说明例中，页402所属的区块block_k仍存有有效数据404、406，其余为无效的不重要数据如408、410。为了安全擦除页402内的无效但高重要性数据，本发明先把区块block_k内的有效数据404、406拷贝到另一个区块block₁，再对整个区块block_k进行安全擦除。安全擦除的程序可包括：将整个区块block_k写入数据‘1’；再将整个区块block_k写入数据‘0’。若欲提高安全等级，可反复进行上述擦除程序。

在某些实施方式中，第二存储器208与第三存储器210可能具有易失性(volatile)。为了避免第二存储器208与第三存储器210中所储存的数据因为掉电而流失，第二存储器208中所存储的逻辑-物理地址映射表(mapping table)和第三存储器210中所存储的关键逻辑地址可在数据储存装置202上电前与数据一起存储在第一存储器206中，而在数据储存装置202上电后，由存储器控制单元204载入第二存储器208和/或第三存储器210中。

本发明除了对第一存储器206(NAND快闪存储器)中数据的覆写进行安全性保护，更对其中“文件删除”、释放空间的“垃圾收集”提出安全性问题的解决方案。这些技术皆基于第三存储器210中所记录的内容。

参阅图2，若主机222指示完整删除一份高重要性文件，存储器控制单元204的安全性模块214将查询该第三存储器210，找出其中该高重要性文件对应的所有关键逻辑地址，并据以自该第二存储器208找出对应的所有关键物理地址。安全性模块214将对查询到的所有关键物理地址进行前述“安全擦除动作”。

本发明更揭露一种高安全性的垃圾收集技术(释放第一存储器206的物理空间)，以避免释放出的储存空间包含无效的高重要性数据。在第一存储器206为NAND快闪存储器的例子中，于释放该第一存储器206的空间时，可以安全性模块214确认所释放的区块不包含关键物理地址。如此一来，便不会发生将未安全擦除的重要数据释出的状况。然而，此方式会使可释放的区块数量受限制，影响系统效能。因而，本发明更揭露另一种实施方式，其中，于释放第一存储器206的空间前，安全性模块214会先判断所欲释放的区块是否包含关键物理地址。若包含关键物理地址，则存储器控制单元204在释放该区块时会进行前述“安全擦除动作”。

然而，前述“安全擦除动作”的频率过高，对系统效能有很大的影响。因此，本发明更揭露其他实施方式。参阅图2，其中第四存储器216即为这些实施方式所设置。该第四存储器216乃用来记录需要进行“安全擦除动作”的物理地址(本说明书称之为无效关键物理地址，dirty key PPA)。如此一来耗费资源的“安全擦除操作”无需时时执行，可在累积至一定量或一定时间后再一并执行。图5为此类实施方式的覆写操作(overwrite)的流程图。图5与图3不同之处仅在于步骤S503(取代步骤S303)：安全性模块214会将步骤S302所取得的关键物理地址标识为“无效关键物理地址”记录于第四存储器216中，而非立即对其进行安全擦除。安全性模块214可以时间为单位，每隔一定时间对第四存储器216中累积的无效关键物理地址进行前述“安全擦除动作”。或者，在另一种实施方式中，安全性模块214于第四存储器216中累积的无效关键物理地址达到一定数量后对其进行前述安全擦除动作。

对应图5的技术，讨论相关的一文件删除操作。当主机222(host)下达指令删除一高重要性文件时，此类实施方式不仅需要考虑第三存储器210内的数据(即所记录的关键逻辑地址)，更要考虑第四存储器216的内容(即所记录的无效关键物理地址)。安全性模块214所执行的动作包括：根据第三存储器210内关于该高重要性文件的所有关键逻辑地址自该第二存储器208找出对应的所有关键物理地址，并对其进行上述安全擦除动作；以及对该第四存储器216内关于该高重要性文件的所有无效关键物理地址进行上述安全擦除动作。

此外，对应图5的技术，讨论相关的一垃圾收集技术，其中需根据第三存储器210记录的所有关键逻辑地址查询第二存储器208中所储存的逻辑-物理地址映射表以得到这些关键逻辑地址所映射的关键物理地址，并查询第四存储器216中累积记录的所有的无效关键物理地址。在第一存储器206为NAND快闪存储器的例子中，进行垃圾收集释放该第一存储器206的空间时，安全性模块214将作用，以避免释放包含关键物理地址和无效关键物理地址的区块(block)。另有一种实施方式，其中，进行垃圾收集释放第一存储器206的空间时，安全性模块214会先判断所欲释放的区块是否包含关键物理地址或无效关键物理地址，若包含，则在释放该区块时会进行前述安全擦除动作。

本发明更揭露主机端的实施方式。参阅图2，主机222包括一控制单元224、一第五存储器226以及一第六存储器228。使用者可根据自身需要将高重要性文件标示于该第五存储器226，控制单元224将上述高重要性文件所使用的关键逻辑地址(keyLPA)记录于第六存储器228。图6图解第五存储器226、第六存储器228之间的关系。第五存储器226记载的高重要性文件包括：文件1与文件2，使用者可以根据需要增加或删除第五存储器226的记载。文件1所使用到的关键逻辑地址记录于第六存储器228的区域602中。文件2所使用到的关键逻辑地址记录于第六存储器228的区域604中。参阅图2，控制单元224与存储器控制单元204沟通，使第三存储器210与第六存储器228同步。此外，控制单元224与存储器控制单元204之间的沟通令存储器控制单元204的安全性模块214可在前述图3的步骤S304及S306中根据第五存储器226的记载就可以判断写入数据是否属于一高重要性文件。

参阅图2，存储器控制单元204对第三存储器210的前述内容控制，亦可改由主机222端控制单元224对第六存储器228实行，再通过控制单元224与存储器控制单元204的通讯令第三存储器210同步于第六存储器228。控制单元224对第五存储器226和第六存储器228的操作以及与存储器控制单元204进行通讯可通过在主机222端增加一应用程序的方式实现，也可以以硬件的方式实现。

本发明提供了数据储存装置，尤其是以快闪存储器为数据储存单元的储存装置。由于快闪存储器每次写入新数据都会映射至新的物理地址，则无效物理地址上的无效数据会失去与逻辑地址的映射关系而造成主机端无法追踪这些无效数据的问题。本发明通过记录高重要性文件所相关的所有逻辑地址，并在写入数据、完整删除和垃圾收集时采取相应的安全策略，例如对无效物理地址做即时的安全擦除或者将该无效物理地址记录下来等安全策略，使得这些无效数据不会被有心人士恢复，有助于提高数据储存安全性。

以上所述仅为本发明较佳实施例，然其并非用以限定本发明的范围，任何熟悉本项技术的人员，在不脱离本发明的精神和范围内，可在此基础上做进一步的改进和变化，因此本发明的保护范围当以本申请的权利要求书所界定的范围为准。

Claims (9)

1.一种数据储存装置，其特征在于，包括：

一第一存储器，该第一存储器的储存空间由多个物理地址区分；

一第二存储器，储存一逻辑-物理地址映射表；

一第三存储器，储存至少一关键逻辑地址；以及

一存储器控制单元，耦接于一主机与该第一存储器、该第二存储器和该第三存储器之间，并于一写入操作下自该主机接收一逻辑地址与一写入数据，其中，该存储器控制单元包括：

一安全性模块，判断该逻辑地址是否属于上述关键逻辑地址之一，如果是，则依据该逻辑地址查询该第二存储器，以得到一关键物理地址，并对该关键物理地址进行一安全擦除动作；以及

一逻辑-物理地址配置模块，在该安全性模块查询到该关键物理地址后，配置闲置的一物理地址给该逻辑地址以储存该写入数据，并据以更新该第二存储器中所储存的该逻辑-物理地址映射表。

2.根据权利要求1所述的数据储存装置，其特征在于，该安全性模块在对该关键物理地址进行上述安全擦除动作后，还判断该写入数据是否属于一高重要性文件，如果不属于，则将该逻辑地址对应的关键逻辑地址自该第三存储器中删除。

3.根据权利要求1所述的数据储存装置，其特征在于，删除一高重要性文件时，该安全性模块根据该第三存储器内关于该高重要性文件的所有关键逻辑地址自该第二存储器中找出对应的所有关键物理地址，以对所述对应的所有关键物理地址进行上述安全擦除动作。

4.根据权利要求1所述的数据储存装置，其特征在于，释放该第一存储器的空间时，该安全性模块根据该第三存储器内所有关键逻辑地址自该第二存储器中找出对应的所有关键物理地址，于释放时避免释放包含所述对应的所有关键物理地址的空间，或是于释放时对包含所述对应的所有关键物理地址的空间进行上述安全擦除动作。

5.根据权利要求1所述的数据储存装置，其特征在于，该安全性模块在该逻辑地址不属于上述关键逻辑地址之一时，还判断该写入数据是否属于一高重要性文件，如果是，则将该逻辑地址标识为一关键逻辑地址并记录于该第三存储器中。

6.根据权利要求1所述的数据储存装置，其特征在于，该主机包括：

一控制单元，将高重要性文件标示于一第五存储器，且将该高重要性文件所使用的关键逻辑地址记录于一第六存储器，且令该存储器控制单元使该第三存储器同步于该第六存储器；

该第五存储器；以及

该第六存储器。

7.一种数据储存装置，其特征在于，包括：

一第一存储器，该第一存储器的储存空间由多个物理地址区分；

一第二存储器，储存一逻辑-物理地址映射表；

一第三存储器，储存至少一关键逻辑地址；

一第四存储器；以及

一存储器控制单元，耦接于一主机与该第一存储器、该第二存储器、该第三存储器和该第四存储器之间，并于一写入操作下自该主机接收一逻辑地址与一写入数据，其中，该存储器控制单元包括：

一安全性模块，判断该逻辑地址是否属于上述关键逻辑地址之一，如果是，则依据该逻辑地址查询该第二存储器，以得到一关键物理地址，将该关键物理地址标识为一无效关键物理地址并记录于该第四存储器中，每隔一特定时间或该第四存储器中所累计的无效关键物理地址达到一特定数量时，该安全性模块对该第四存储器中所累计的无效关键物理地址进行一安全擦除动作；以及

一逻辑-物理地址配置模块，在该安全性模块查询到该关键物理地址后，配置闲置的一物理地址给该逻辑地址以储存该写入数据，并据以更新该第二存储器中所储存的该逻辑-物理地址映射表。

8.一种数据储存方法，其特征在于，包括：

在一写入操作下接收一逻辑地址以及一写入数据；

判断该逻辑地址是否属于一第三存储器中所储存的至少一关键逻辑地址之一；

如果该逻辑地址是一关键逻辑地址，则依据该逻辑地址查询一第二存储器中所储存的一逻辑-物理地址映射表，以得到一关键物理地址；

对该关键物理地址进行一安全擦除动作；以及

在查询到该关键物理地址后，配置闲置的一物理地址给该逻辑地址以储存该写入数据，并据以更新该第二存储器中所储存的该逻辑-物理地址映射表。

9.一种数据储存方法，其特征在于，包括：

在一写入操作下接收一逻辑地址以及一写入数据；

判断该逻辑地址是否属于一第三存储器中所储存的至少一关键逻辑地址之一；

如果该逻辑地址是一关键逻辑地址，则依据该逻辑地址查询一第二存储器中所储存的一逻辑-物理地址映射表，以得到一关键物理地址；

将该关键物理地址标识为一无效关键物理地址并记录于一第四存储器中；

每隔一特定时间或该第四存储器中所累计的无效关键物理地址达到一特定数量时，对该第四存储器中所累计的无效关键物理地址进行一安全擦除动作；以及

在查询到该关键物理地址后，配置闲置的一物理地址给该逻辑地址以储存该写入数据，并据以更新该第二存储器中所储存的该逻辑-物理地址映射表。

Images