CN103839015A - 存储装置 - Google Patents

Abstract

一种在原本无法了解文件系统结构的存储装置上，提供以文件为单位将数据切实删除的存储装置。该存储装置是一种与运行文件系统（该文件系统将存储多个文件的内容的数据区与对上述多个文件进行管理的管理区存储在存储装置的存储区中）的计算机相连接的存储装置。该存储装置包括，存储区；检测文件系统删除文件行为的文件系统监控手段；检测到文件系统监控手段删除了文件时，对与存储区中被删除的文件所在的区进行删除或对其进行写入，并使其不能回复的控制手段。

Description

存储装置

技术领域

本发明涉及一种存储装置，特别是与运行文件系统（该文件系统将对多个文件的内容进行存储的数据区与对上述多个文件进行管理的管理区保存在存储装置的存储区中）的计算机相连接的存储装置。 

背景技术

文件系统是，对文件这一大小可变的数据（信息）模块进行管理和控制，将其存储到磁盘装置（辅助存储装置）等存储装置中，并能够对其进行读取的软件。多数情况下，文件系统是操作系统的构成要素。 

文件系统将文件名、大小、日期等属性信息、在磁盘的哪一个区域内保存什么等分配信息、数据主体进行存储的区分别进行定义并保存到存储装置的存储区中。并且，文件系统对这些属性信息、分配信息以及数据主体进行处理，将其分解成固定数据长度的数据的收受的形式，向磁盘装置发出命令。 

本明细书中，从文件系统以及利用文件系统的应用出发，把存储装置的举动称为LV1（等级1）。 

存储装置不干预数据的内容和意思。文件系统通过设备驱动程序这一控制软件接受以上固定数据长度的数据的收受命令，并执行。也就是，单纯地只进行指定地址区域的数据的写入／读取。存储装置不干预删除文件等文件系统的动作。 

本明细书中，把在存储装置内部的动作称为Lv2（等级2）。 

存储装置由闪速存储器等不挥发性半导体存储装置构成时，在存储装置内部，接口装置接收来自文件系统的命令，将其中所包含的逻辑地址转换为物理地址，在物理地址指定的指定数据区中写入数据。 读取数据时与此相同。也就是说，在LV1，根据逻辑地址进行写入／读取，在Lv2上，被转换为物理地址，对转换后的物理地址指定的区（模块）进行写入或读取。 

以往，主要是在使用NAND型闪速存储器的USB存储器等设备中对个人计算机等生成的文件进行保存。然而，USB存储器有丢失的可能，如果保存的文件是私人信息等敏感性内容，或需要进行严格保密管理的有关营业的内容时，存在造成重大损失的危险。因此，以往都是按照规定手动删除文件，或把在一定的时间删除文件的算法通过软件安装到个人计算机上。 

然而，在使用NAND型闪速存储器的USB存储器中存储文件时，存储区会被分为数据区和文件管理区，使用NAND型闪速存储器的USB存储器中的文件的删除，只是通过对文件管理区中数据的改写来将对应的文件进行“删除”。即使对USB存储器等媒质进行格式化，也只是管理区被消除，数据区中的文件开始地址无法特定，从而文件读取变得困难。因此，要将文件完全删除并且不能恢复，需要把ＦＦ和00等固定数据写入所有数据区中。并且，这样的软件已经存在。 

以前，提出过通过不挥发性半导体存储装置的设备驱动程序将存储秘密信息的数据无效化，来提高安全性的提案（以下专利文献1）。但是，在原本不能了解文件系统的结构的存储装置上，要提高安全性是非常困难的。 

【先行技术文献】 

【专利文献】 

【专利文献1】特开2010－108315号公报 

发明内容

【发明要解决的课题】 

本发明以提供在原本不能了解文件系统结构的存储装置上，以文件单位切实消除数据的存储装置作为课题。 

【解决课题的手段】 

为了解决以上课题，本发明的一个实施形态为，与运行文件系统（该文件系统将对多个文件内容进行存储的数据区与对多个文件进行管理的管理区保存到存储装置的存储区中）的计算机相连接的存储装置。该存储装置的特点是，具有存储区；检测文件系统消除文件动作的文件系统监控手段；文件系统监控手段检出了消除文件的动作时，将与存储区中被消除的文件对应的区消除或进行写入，并使其不能恢复的控制手段。 

也可以是，存储区包括引导区，文件系统监控手段从引导区取得保存管理区的区的地址，通过检出管理区数据的变更，检出文件系统执行了消除文件的动作。 

也可以是，文件系统监控手段对管理区进行备份，通过与备份的比较检测管理区的数据是否发生了变更，判断检出的管理区的数据的变更是否相当于文件的消除。 

也可以是，带有电池和定时器，控制手段在检出到达了定时器规定的时间时，将与文件对应的区消除或写入，并使其不能恢复。 

也可以是，具有加密／解密装置，控制手段通过加密／解密装置将对来自文件系统的文件内容进行加密后，将加密的数据写入与文件对应的区，或把从文件对应区读取的数据通过加密／解密装置解密后提供给文件系统。 

为了解决以上课题，本发明的一个实施形态为，与运行文件系统（该文件系统将对多个文件内容进行存储的数据区与对多个文件进行管理的管理区保存到存储装置的存储区中）的计算机相连接的存储装置。该存储装置的特点是，具有存储区；存储文件系统指定文件的逻辑地址和指定存储区中的区的物理地址的转换信息的逻辑物理地址转换表；检测文件系统执行了文件消除动作的文件系统监控手段；检出文件系统监控手段执行了文件消除动作时，将逻辑物理地址转换表中文件数据的逻辑地址与存储区中消除的文件对应的区的物理地址的对应关系消除的控制手段。 

也可以是，在对应关系被消除后，控制手段立即将与存储区中消 除的文件对应的区消除或写入，并使其不能恢复。 

也可以是，在对应关系消除后，与消除文件的动作相互独立时，控制手段将与存储区中消除的文件对应的区消除或写入，并使其不能恢复。 

【发明的效果】 

本发明以以文件单位切实删除数据，提供可以防止文件泄露事故的存储装置作为课题。本发明的其他效果在以下相关内容中进行介绍。 

附图说明

【图1】展示与本发明实施例1相关的文件系统和存储装置的构成的方块图。 

【图2】展示与本发明实施例2相关的文件系统和存储装置的构成的方块图。 

【图3】控制器／文件系统部的构成图。 

【图4】展示对命令的各种处理的示意图。 

【图5】通过逻辑地址映射存储区的内存映射。 

【图6】MPU执行的程序的构成。 

【图7】展示FAT区的监视方法的流程图。 

【图8】展示与实施例3相关的存储装置的构成的方块图。 

【图9】展示与实施例4相关的存储装置的构成的方块图。 

【图10】逻辑物理地址转换表举例。 

【图11】展示与实施例5相关的FAT区的监视方法的流程图。 

【图12】展示与实施例6相关的FAT区的监视方法的流程图。 

具体实施方式

以下，对本发明的实施形态进行说明。另外，本发明不只限定于以下说明的实施形态。可以将以下说明的实施形态进行各种变形后，对本发明加以实施。 

【实施例1】 

图1是展示与本发明第1个实施形态相关的文件系统11以及存储装置13（相对于成为主机的系统，有时称作外部磁盘、辅助存储装置、数据存储记忆体等。）构成的方块图。 

图中未标出的计算机由CPU、主存储器、显示器以及显示器接口、键盘以及键盘接口等构成。主存储器上有操作系统（OS）和应用软件（AS）。OS对AS的执行进行管理，由控制显示器接口与键盘接口的核心部分与用户接口部分构成。OS和AS位于存储装置13的存储区15中，启动时，被加载到主存储器。具有这样构成的计算机叫做主机。 

作为OS的一部分，包括文件系统。如前所述，文件系统是对文件这一大小可变的数据（信息）模块进行管理和控制，将其存储到磁盘装置（辅助存储装置）等存储装置中，并能够对其进行读取的软件。 

文件系统将文件名、大小、日期等属性信息、在磁盘的哪一个区域内保存什么的分配信息、数据主体进行存储的区分别进行定义并保存到存储装置的存储区中。并且，文件系统对这些属性信息、分配信息以及数据主体进行处理，将其分解成固定数据长度的数据的收受的形式，向磁盘装置发出命令。文件系统例子有FAT、ext4等。 

从文件系统以及利用文件系统的AS出发，把存储装置的举动称为Lv1（等级1）。 

存储装置13不干预数据的内容和意思。文件系统通过设备驱动程序12这一控制软件接受以上固定数据长度的数据的收受命令，并执行。 

存储装置13包括接口14、存储区15、磁盘控制器17以及、本发明中追加的文件系统监视／完全消除控制部16。本明细书中将存储装置13的动作称作Lv2（等级2）。存储装置13的形状，可以是现有任意磁盘装置的形状，也可以是与现有磁盘装置不同的形状。 

存储区15可以由硬盘、RAM、相变存储器、CD－R、CD－RW、DVD－RAM等构成，但在本发明中，最好由闪速存储器等不挥发性半导体存储装置构成。 

接口14可以使用USB存储器用USB接口、SD卡用SD／MMC接口、 各种磁盘驱动器用ATA和SCSI。 

磁盘控制器17主要进行逻辑地址与物理地址的转换。存储区15为硬盘时，一旦取得逻辑地址，便将其转换为起始地址、柱面地址、扇区地址等各种物理地址，进行数据的读取和写入。存储区15为不挥发性半导体存储装置时，一旦取得逻辑地址，便将其转换为闪速存储器的物理地址。在不挥发性半导体存储装置中，因为存在写入次数较少的限制，因此，与特定逻辑地址相对应的页面数据的变更（更新）以重新写入与其他物理地址对应的页面的形式来进行。并且，对多个物理地址对应页面的的写入次数进行平准化处理。这叫做损耗均衡。进一步，将伴随页面数据的变更（更新）不被使用的物理地址对应的页面数据，设置为下次可以使用的状态。这叫做无用单元收集。 

文件系统监视／完全消除控制部16存在于存储装置13中，虽然属于LV2，但，对属于LV1的文件系统的举行进行解析和解释，检测文件的删除。也就是说，读取存储区15，通过对其进行解释，检测文件系统是如何构成的，特别是，管理多个文件的管理区存在于存储区15的那个区中。并且，通过对该管理区的监视，判定对象文件已经被删除。判定对象文件已经被删除时，在存储区15内对存储实际数据的数据区进行特定，对该特定的区进行消除或写入，并使其不能恢复。 

磁盘控制器17以及文件系统监视／完全消除控制部16由相同的半导体芯片构成，也可以作为在同一个CPU上运行的控制程序进行封装。 

存储区15由闪速存储器构成时，以块为单位进行消除，写入以小于块单位的页面单位进行。一旦存储文件实际数据的块被消除，文件便进入无法恢复的状态。写入时，通过在存储文件实际数据的页面上写入同一数据或随机数据，使其进入无法恢复的状态。存储区15由硬盘构成时，通过对存储文件对应的实际数据的扇区进行覆盖，使其进入无法恢复的状态。 

通过以上构成，在存储装置13上，可以搭载文件系统，也可以对文件数据的位置进行特定。并且，通过在适当的时间，将文件数据对 应的区消除或写入（完全消除）至无法恢复的状态，可以将文件完全删除，以避免文件的泄漏。 

关于文件完全删除的时间，可以在主机明确发出“完全删除命令”时进行，如本发明，可以在以存储装置13对文件属性信息和文件分配表的信息进行监视，在检出其变化时将其完全消除。 

【实施例2】 

下面，以图2～7展示本发明的实施例2。与实施例1相同的构成要素采用相同的参照符号，省略其说明。在该实施例2中，文件系统11是FAT，存储区15由不挥发性半导体存储装置构成。控制器／文件系统部18中安装有逻辑地址与物理地址的转换、损耗均衡、无用单元收集、文件系统的监视、完全消除等功能。 

存储区15由多个闪速存储器芯片19构成。闪速存储器由可以一次性整体消除的多个块组成，各消除块有同时写入单位多个页面构成。一个闪速存储器芯片19，例如，具有四个存储库，一个存储库有16个块，一个快有4096个页面，各页面为2ｋ比特，也就是说，由128个单词构成。 

控制器／文件系统部18如上所述，具有逻辑地址与物理地址的转换、损耗均衡、无用单元收集、文件系统监视、完全消去等功能。控制器／文件系统部18通过微控制器与外部存储器、ＦＰＧＡ或自定义逻辑等实现。 

图3是控制器／文件系统部18的方块图。控制器／文件系统部18由，与接口14相连接的输入和输出锁存器21、与存储区15相连接的输入和输出锁存器22、内部总线26、ＭＰＵ23、存储在ＭＰＵ23执行的编码的程序存储器24以及对处理中的数据进行临时性存储的数据存储器25构成。数据存储器25中存储逻辑地址物理地址转换表。 

图4是对通过接口14接收到的命令的各种处理的图示。接收到读取命令（read）是，控制器／文件系统部18对该命令进行解释，进行逻辑地址与物理地址的转换处理（Ａ1）。并且，通过输入和输出锁存 器22，向闪速存储器19转换的物理地址的区发出执行read动作的指示。接收到写入命令（write）时，控制器／文件系统部18对该命令进行解释，进行逻辑地址与物理地址的转换处理。如果，对象物理地址正在使用，则将其重新分配到未使用区，对逻辑地址物理地址表进行更新，如果对象物理地址未正在使用，则原样使用（Ａ2）。并且，通过输入和输出锁存器22，向闪速存储器15转换的物理地址的区发出执行program动作的指示。接收到删除命令（delete）时，控制器／文件系统部18对该命令进行解释，不将其重新分配到未使用区，通过对以往数据区进行处理，使前数据不能恢复。并且，向与逻辑地址对应的物理地址的区发出执行erase动作或program动作的指示。在此，使program动作的所有位为同一数据或随机数据，无法恢复。 

图5为将存储区15通过逻辑地址映射的内存映射30。实施例2中的文件系统11使用FAT。在FAT中，对管理区31进行了定义，将其存储在任一存储区15中。并且，管理区31中存储文件名、大小、日期等属性信息、文件的分配信息（逻辑地址）。图5中的示例中，file1与file2的数据被分别存储到了数据区32、33中。并且，管理区31中存储了数据区32、33的起始地址（文件指针）。在FAT文件系统中对引导区预先进行了定义，该引导区对FAT区属于哪个区进行了定义。具体为，存储起始地址与FAT区的大小。 

图6展示了在ＭＰＵ23上执行的程序40的构成，存储在程序存储器24中。程序40由命令处理部41、逻辑地址·物理地址转换部42、read处理部43、program处理部44、erase处理部45、文件系统监视部46等构成。 

命令处理部41是对通过接口14与输入和输出锁存器21提供的读取、写入以及删除命令进行解释的程序群。 

逻辑地址·物理地址转换部42是利用数据存储器25中的逻辑地址·物理地址转换表，进行地址转换的程序群。损耗均衡和无用单元收集也使用该功能。 

read处理部43、program处理部44以及erase处理部45分别向 闪速存储器，关于与转换的物理地址对应的区，发出read、program以及erase命令，将从闪速存储器读取的数据存储到数据存储器25中。 

文件系统监视部46由FAT区检出部47、FAT监视部48以及无效化处理部49构成。FAT区检出部47是在启动时或在后台运行的程序，通过读取引导区中记录的数据，对FAT区进行特定。FAT监视部48对特定的FAT区的访问进行经常性监视，检测FAT区发生变化，并且，文件系统中的文件被删除时执行的处理的有无。无效化处理部49在FAT监视部48检测到文件删除时，对存储该文件实际数据的页面进行无效化处理。无效化处理具体是指，消除存储文件实际数据的块，使文件进入不能恢复的状态，或通过对存储文件实际数据的页面写入同一数据和随机数据，使其进入不能恢复的状态的处理。 

图7是FAT区监视方法的流程图。预先通过FAT区检出部47对FAT区进行特定，制作该区的备份51。该备份虽然也可以存储在存储区15中，但是，最好存储到数据存储器25中。命令处理部41对命令进行解释，检测到对FAT区内的访问时，FAT监视部48将该访问的对象数据与备份51相对应的部分进行比较（步骤52）。FAT区的值由非零变为零时（FAT16文件系统为发生了2比特归零时，FAT32为发生了4比特的归零时），解释为文件被删除（步骤53）。并且，如果解释为文件被删除，无效化处理部49对文件的实际存储区进行无效化处理（步骤54）。然后，对备份51的变更内容进行更新（步骤55）。重复以上步骤52～55。 

实施例2中的文件系统使用了FAT，但是，因为NTFS和ext4等的文件系统中也存在同样的管理区，因此，也可以使用。另外，也可以遵循ＩＳＯ9660等规定的写入步骤。 

【实施例3】 

与本发明实施例3相关的存储装置的方块图如图8所示。与实施例1和2相同的构成要素采用相同的参照符号，省略说明。本发明实 施例3中的存储装置是在实施例2的存储装置上追加了电池61和定时器62。并且，检出到了定时器规定的时间时，控制器对与文件对应的区进行消除或写入，并使其不能恢复。 

通过该构成，可以有效防止忘记删除文件，能够在更高层次上防止机密文件的泄漏。 

【实施例4】 

与本发明实施例4相关的存储装置如图9所示。与实施例1和至2相同的构成要素采用相同的参照符号，省略说明。本发明实施例4中的存储装置，是在实施例2的存储装置上追加了加密／解密装置63。并且，将对来自文件系统的文件内容通过加密／解密装置63进行加密的数据写入与文件对应的区，将从文件对应的区读取的数据通过加密／解密装置63进行解密后提供给文件系统。 

通过该构成，对于利用闪速存储器逆向工程的文件的恢复，可以在更高层次上防止文件泄漏。 

另外，也可以讲实施例3的构成与实施例4的构成进行组合使用。 

【实施例5】 

如前所述，磁盘控制器17进行逻辑地址与物理地址的转换。进一步，有时进行损耗均衡与无用单元收集。另外，控制器／文件系统部18中带有上述逻辑地址与物理地址的转换、损耗均衡、无用单元收集、文件系统的监视、完全消除等功能。 

图10是存在于实施例1的磁盘控制器16与实施例2等的控制器／文件系统部18的逻辑物理地址转换表70的举例。 

该逻辑物理地址转换表70展示了文件系统的逻辑地址ＬＡ与物理地址ＰＡ的对应关系。也就是说，逻辑地址ＬＡ0～ｎ分别与物理地址ＰＡ0～ｎ相对应。例如，逻辑地址ＬＡ0当初与物理地址ＰＡ0相对应时，逻辑地址ＬＡ0的数据被改写为新数据（删除写入）时，新数据在被写入物理地址ＰＡ1的区的同时，与逻辑地址ＬＡ0对应的物 理地址被变更为ＰＡ0到ＰＡ1。 

实施例5中存储装置的构成，与实施例2的说明以及图2～6中展示的构成相同。存在于实施例5的控制器／文件系统部18中的逻辑物理地址转换表70展示了图10的构成。在这里，逻辑物理地址转换表70，不仅逻辑地址ＬＡ与物理地址ＰＡ的各个区，还有表示该逻辑地址与物理地址的对应是否已经解除的标志区。并且，该逻辑地址已经被消除时，设置标志。 

图11是实施例5中FAT区的监视方法的流程图。事先通过FAT区检出部47，对FAT区进行特定，制作该区的备份51。命令处理部41对命令进行解释，检出对FAT区内的访问时，FAT监视部48将该访问的对象数据与备份51的对应部分进行比较（步骤52）。FAT区的数值由非零变更为零时（FAT16文件系统为2比特的归零发生时，FAT32为4比特的归零发生时），解释为文件被删除（步骤53）。并且，如果解释为文件被删除，逻辑物理地址转换表修正部71解除逻辑物理地址转换。在这里，逻辑物理地址转换的解除是指，消除逻辑地址与物理地址的对应关系，在图10中，通过在标志区Ｆ设置标志来进行。也可以把物理地址区的物理地址置换为无效的物理地址（作为物理地址不存在的值）。然后，立即对文件的实际区进行无效化处理（步骤54）。然后，更新为备份51变更后的内容（步骤55）。重复以上步骤52～55。 

通过以上构成，可以得到以下效果。 

逻辑地址与物理地址的对应关系一旦被消除，便不能将其存储区指定逻辑地址进行读取，因此，在通常动作中，与消除的情况是等价的。当然，如果取出闪速存储器进行访问，因为可以读取旧数据，因此，可以说无法完全消除，但在一般使用范围之内，也就说，如果以不进行分解调查作为前提，这样就足够了。 

进一步，在消除地址转换后立即进行实施例2中所述的无效化处理（步骤54）。因此，能够得到以文件为单位将数据切实消除的，与实施例1～4相同的效果。 

【实施例6】 

实施例6是实施例5的变形事例。在实施例5中，虽然在地址转换解除后立即进行了无效化处理，但是，在实施例6中，不是在地址转换被消除时，而是在后台进行了无效化处理。 

图12是实施例6中FAT区监视方法的流程图。事先通过FAT区检出部47对FAT区进行特定，制作该区的备份51。命令处理部41对命令进行解释，检出对FAT区内的访问时，FAT监视部48将该访问的对象数据与备份51的对应部分进行比较（步骤52）。FAT区的数值由非零变为零时（FAT16文件系统为2比特的归零发生时，FAT32为4比特的归零发生时），解释为文件被删除（步骤53）。并且，如果解释为文件被删除，逻辑物理地址转换表修正部71将逻辑物理地址转换消除。然后，更新为备份51变更后的内容（步骤55）。重复以上步骤52～55。 

进一步，以上述步骤的重复不同，消除完毕的物理地址在后台进行实施例2中所述的无效化处理。 

通过以上构成，除了可以以文件为单位将数据切实消除之外，还可以得到以下效果。 

在以往的文件系统中，删除文件时，只对文件管理信息进行变更。因此，从用户看来反应速度非常快，用户已经习惯了该高速反应。在实施例6中，通过消除逻辑物理地址转换，将特定的块删除，因此，在用户看来反应速度特别快。也就是说，在实施例6中，在文件删除的响应速度得到了提高的同时，后台处理也被高速化（被无效化的区无需对数据进行数据转移，因此可以节省该数据的移动时间。）。 

【符号说明】 

11…文件系统、12…设备驱动程序、13…存储装置、14…接口、15…存储区、16…文件系统监视、17…控制器 

Claims (8)

1.一种存储装置，该存储装置与运行文件系统的计算机相连接，该文件系统将存储多个文件的内容的数据区与对上述多个文件进行管理的管理区存储在存储装置的存储区中，该存储装置包括以下几个部分：

存储区；

对上述文件系统删除文件的行为进行检测的文件系统监控手段；

该文件系统监控手段检测到文件被删除时，将上述存储区中该被删除的文件所对应的区删除或对其进行写入，并使其不能恢复的控制手段。

2.如权利要求1所述的存储装置，其特征在于：上述存储区中含有引导区；上述文件系统监控手段从引导区获得上述管理区所在区的地址，通过检测上述管理区中数据的变更来检测上述文件系统是否删除了文件。

3.一种如权利要求1所述的存储装置，其特征在于：上述文件系统监控手段对上述管理区进行备份，通过与上述备份进行比较，检测上述管理区的数据是否被变更，从而判断被检测到的管理区数据的变更是否相当于文件被删除。

4.如权利要求1或3所述的存储装置，其特征在于：该存储装置具有电池和定时器，上述控制手段在检测到已经到了定时器规定的时间时，将上述文件所在的区删除或对其进行写入，并使其不能恢复。

5.如权利要求1或4所述的存储装置，其特征在于：该存储装置具有加密／解密装置，上述控制手段把来自文件系统的文件的内容通过上述加密／解密装置进行加密后的数据写入文件所在的区，并将从文件所在的区中读取的数据通过上述加密／解密装置进行解密，提供给文件系统。

6.一种存储装置，该存储装置与运行文件系统的计算机相连接，该文件系统将存储多个文件的内容的数据区与对上述多个文件进行管理的管理区存储在存储装置的存储区中，该存储装置包括以下几个部分：

存储区；

（存储有上述文件系统指定文件）逻辑地址与（上述存储区中相应区的）物理地址的（转换信息逻辑物理地址）转换表；

检测上述文件系统删除文件行为的文件系统监控手段；

上述文件系统监控手段检测到文件被删除时，将（逻辑物理地址转换表中的文件数据的）逻辑地址与（存储区中被删除文件所在区的）物理地址的对应关系进行解除的控制手段。

7.如权利要求6所述的存储装置，其特征在于：上述控制手段在上述对应关系被解除之后，立即将上述存储区中被删除的上述文件所在的区进行删除或对其进行写入，并使其不能恢复。

8.如权利要求6所述的存储装置，其特征在于：上述控制手段在上述对应关系被解除后，在不影响文件删除时，将上述存储区中被删除的上述文件所在的区删除或对其进行写入，并使其不能恢复。

Images