JP6055047B1 - 不揮発性記憶装置の消去システム、不揮発性記憶装置、外部消去装置および方法 - Google Patents

Abstract

【課題】故障した電子機器が搭載する不揮発性記憶装置のデータを消去する。【解決手段】不揮発性半導体メモリ３０１は、動作モード切換部４００と、コントロール・ブロック３０３とフラッシュ・メモリ３０５を含む。不揮発性記憶装置には、電源切換回路３０７とコネクタ３０９が接続されている。ホスト・システム１１およびシステム電源１３ａが停止したときに、コネクタに接続された外部消去装置５００が不揮発性記憶装置に対して電力の供給と消去コマンドの転送をする。消去コマンドを受け取った動作モード切換部は、コントロール・ブロックに消去コマンドを送って消去モードで動作させる。消去モードで動作した不揮発性記憶装置はフラッシュ・メモリが記録するデータを消去する。電子機器１００が故障してホスト・システムが動作しないときにもデータを消去できる。【選択図】図２

Description

本発明は、不揮発性記憶装置が記録しているデータに対して再生不能化処理をする技術に関し、さらには、オンボード実装の不揮発性記憶装置を搭載する電子機器が故障したときに再生不能化処理を可能にする技術に関する。

電気的な書き換えが可能なフラッシュ・メモリを実装したソリッド・ステート・ドライブ（ＳＳＤ）が、従来のハードディスク・ドライブ（ＨＤＤ）に代わってコンピュータやタブレット端末などに採用されてきている。ＳＳＤは、フラッシュ・メモリやコントローラを実装したカードをマザー・ボードのコネクタに差し込む着脱タイプと、フラッシュ・メモリやメモリ・コントローラを組み込んだパッケージを半田でマザー・ボードに実装するいわゆるオンボード・タイプのものがある。

また、ＳＳＤと似た記憶装置にｅＭＭＣ（embedded Multi-Media Card）がある。ｅＭＭＣは、フラッシュ・メモリやコントローラを含むパッケージをＢＧＡ（Ball Grid Array）でマザー・ボードに実装する。通常ＳＳＤはＳＡＴＡ(Serial ATA)のインターフェースを採用し、ｅＭＭＣはＭＭＣのインターフェースを採用している。特許文献１は、データの漏洩を防止するためにＮＡＮＤ型フラッシュ・メモリのデータを消去する発明を開示する。同文献には、ホスト装置からＮＡＮＤ型フラッシュ・メモリに消去対象となるパーティション番号を指定した消去コマンドを発行して全データを消去することを記載する。

特許文献２は、ＳＳＤの廃棄や再利用の際の機密情報の消去に関する発明を開示する。同文献には、ＳＳＤを廃棄や再利用するときにホスト装置からコマンドを送ってパーティションに記憶するデータを暗号化した暗号キーを消去することで機密情報を保護することを記載する。

特開２０１０−１７６３９８号公報 特開２０１０−２８８１２３号公報

Revision 1 Department of Defense Overprint to the NATIONAL INDUSTRIAL SECURITY PROGRAM OPERATING MANUAL SUPPLEMENT、［online］、1 April 2004、National Industrial Security Program、インターネット〈URL: http://www.cdse.edu/documents/cdse/DoD5220-22M_DoD_Overprint.pdf〉

オンボード・タイプのＳＳＤやｅＭＭＣ（これらを総称して以後、オンボード・ストレージという。）は、近年、小型のコンピュータ、タブレット端末、スマートフォンなどの電子機器に実装されるようになったことに伴い、機密情報を記録することが多くなってきた。オンボード・ストレージを搭載する電子機器が故障して修理を依頼したり廃棄したりする場合は、ユーザの手から離れる前に機密情報を消去する必要がある。

電子機器が正常に動作する場合は、ホスト・システムから消去コマンドを送ってデータを消去できる場合もあるが、故障した場合はホスト・システムの動作が停止するため、特許文献１、２に記載するような方法で消去することはできない。廃棄する場合は、オンボード・ストレージを物理的に破壊することも可能であるが専門的な知識と経験が要求され手間もかかる。さらに、修理する場合は、再利用の可能性が高いオンボード・ストレージを事前に破壊することは望ましいことではない。

結果的に、機密情報を記録したオンボード・ストレージを搭載する電子機器が修理者である第３者の手に委ねられたり、そのまま破棄されたりすることがありユーザは機密漏洩の不安に陥る。これを解決するために、オンボード・ストレージに、パスワードを設定する方法がある。しかし、オンボード・ストレージを手中に収めた第３者は、さまざまな方法でパスワードをクリアする可能性がある。またパスワードを設定しても、記録媒体が平文のデータを記録していれば、第３者が直接記録媒体にアクセスしてデータを取り出すことが可能になる。

オンボード・ストレージがＯＳを格納したブート・ドライブの場合は、故障原因の特定や動作確認のために当該ＯＳの動作が必要な場合があり、パスワードの開示を要求される場合もある。非特許文献１に記載のＮＩＳＰＯＭ（National Industrial Security Program Operating Manual）では、情報処理装置のメーカに対して、廃棄や修理などのために磁気抵抗メモリやＥＥＰＲＯＭについて磁気的な処理や紫外線処理で機密情報を消去するサニタイゼーション・マニュアルを要求するが、フラッシュ・メモリなどの他の不揮発性メモリについても同様に対応できることが望ましい。

そこで本発明の目的は、不揮発性記憶装置が記録するデータに対して再生不能化処理をする消去システムを提供することにある。さらに本発明の目的は、電子機器が故障したときにも実行が可能な消去システムを提供することにある。さらに本発明の目的は、専門的な知識や設備を必要としない消去システムを提供することにある。さらに本発明の目的は、誤ってデータを消去したり悪意をもってデータを消去したりすることが困難な消去システムを提供することにある。さらに本発明の目的は、そのような消去システムを搭載した電子機器、消去システムを構成する不揮発性記憶装置、外部消去装置および再生不能化処理の方法を提供することにある。

本発明の第1の態様は、電子機器に搭載する不揮発性記憶装置の消去システムを提供する。消去システムは、記録媒体と、記録媒体が記録する消去対象データに対して再生不能化処理を実行する消去モードまたはホスト・システムからのアクセスに応答して動作する通常モードで動作することが可能なコントロール・ブロックと、コントロール・ブロックに消去モードで動作させるための消去コマンドを送る動作モード切換部と、動作モード切換部に再生不能化処理の指示をするユーザ・インターフェースとを有する。

コントロール・ブロックは、動作モード切換部から消去コマンドを受け取って消去モードで動作することができるため、故障でホスト・システムが動作できない場合でも再生不能化処理ができる。よって、電子機器が故障して修理に出す場合に機密情報を保護することができる。再生不能化処理は、消去対象データを暗号化する暗号キーの消去とすることができる。記録媒体の消去対象データが暗号化されている場合は、消去対象データよりも暗号キーを消去した方が短時間で再生不能化処理を完了できる。

不揮発性記憶装置はマザー・ボードにオンボードで実装することができる。オンボードの不揮発性記憶装置は電子機器が故障した場合に再生不能化処理が困難なため、本発明にかかる消去システムは特に有用である。ユーザ・インターフェースは、消去コマンドを出力する外部消去装置の接続が可能でマザー・ボードに実装された端子構造を含んでもよい。端子構造がマザー・ボードに実装されていると、外部消去装置の接続のために電子機器の筐体を開放する必要があるため、誤った操作または悪意のある操作を防ぐことができる。

外部消去装置が不揮発性記憶装置を消去モードで動作させるための電源を含むことができる。この場合、ホスト・システムおよび不揮発性記憶装置に電力を供給するシステム電源と端子構造に接続され、システム電源または外部消去装置のいずれかから不揮発性記憶装置に電力を供給することが可能な電源切換部を設けてもよい。外部消去装置が電源の供給と消去コマンドの出力が可能であるため、ユーザは電子機器が故障したときであっても外部消去装置を端子構造に接続するだけで再生不能化処理を実行できる。コントロール・ブロックは端子構造を通じて再生不能化処理を検証した結果を外部消去装置に出力することができる。

本発明の第２の態様にかかる消去システムは、記録媒体と、記録媒体が記録する消去対象データに対して再生不能化処理を実行する消去モードまたはホスト・システムからのアクセスに応答して動作する通常モードで動作することが可能なコントロール・ブロックと、コントロール・ブロックに消去モードで動作させるための消去信号を送るユーザ・インターフェースとを有する。コントロール・ブロックは、消去信号を受け取ると消去モードで動作することができるため、消去コマンドを受け取る機構が不要になる。

ユーザ・インターフェースは、マザー・ボードに実装された短絡ジャンパー・ピンとすることができる。短絡ジャンパー・ピンは、簡単な機構で実現できる。短絡ジャンパー・ピンの装着は特別な操作であり、かつ、マザー・ボードの開放を必要とするため、ユーザが誤って再生不能化処理をすることを防ぐことができる。ユーザ・インターフェースはまた、マザー・ボードに実装したコントロール・ブロックが再生不能化処理を検証した結果を表示する表示部を備えるようにしてもよい。

ＡＣ／ＤＣアダプタから受け取った電力をホスト・システムおよび不揮発性記憶装置に供給するシステム電源をバイパスしてＡＣ／ＤＣアダプタから受け取った電力を不揮発性記憶装置に供給する予備電源を備えていてもよい。電子機器が搭載するシステム電源が故障したり、電池ユニットが放電したりした場合でも、ＡＣ／ＤＣアダプタの電源で再生不能化処理をすることができる。

本発明の第３の態様は、ホスト・システムのバスとホスト・システムのバスとは異なるサイド・バンドのいずれかに切り換える動作モード切換部からコマンドを受け取ることができる不揮発性記憶装置にデータの再生不能化処理を実行させる外部消去装置を提供する。外部消去装置は、マザー・ボードに設けたサイド・バンドの端子構造に接続が可能な接続部と、動作モード切換部をサイド・バンドに切り換え、不揮発性記憶装置に再生不能化処理を実行させるための消去コマンドを出力する消去コントローラとを有する。外部消去装置は、不揮発性記憶装置に電力を供給する電源または不揮発性記憶装置から受け取った消去処理の完了を示すデータを表示する表示部を有していてもよい。

本発明の第４の態様は、故障した電子機器のマザー・ボードにオンボード実装された不揮発性記憶装置が記憶するデータに対して不揮発性記憶装置が再生不能化処理をする方法を提供する。不揮発性記憶装置がホスト・システムに電力を供給するシステム電源とは異なる予備電源から電力の供給を受け、マザー・ボードに形成されたホスト・システムのバスとは異なるサイド・バンドで再生不能化処理の指示を受け、指示に応じて不揮発性記憶装置が再生不能化処理をする。電子機器が故障した場合でも、不揮発性記憶装置を電子機器に搭載したままで予備電源を確保しながら、サイド・バンドを使って再生不能化処理をさせることができる。

本発明により、不揮発性記憶装置が記録するデータに対して再生不能化処理をする消去システムを提供することができた。さらに本発明により、電子機器が故障したときにも実行が可能な消去システムを提供することができた。さらに本発明により、専門的な知識や設備を必要としない消去システムを提供することができた。さらに本発明により、誤ってデータを消去したり悪意をもってデータを消去したりすることが困難な消去システムを提供することができた。さらに本発明により、そのような消去システムを搭載した電子機器、消去システムを構成する不揮発性記憶装置、外部消去装置および再生不能化処理の方法を提供することができた。

本実施の形態にかかる消去システム２００の概要を説明するための機能ブロック図である。 電子機器１００に適用した消去システム３００を説明するための概略的な機能ブロック図である。 消去システム３００を構成する不揮発性半導体メモリ３０１の一例を説明するための概略的な機能ブロック図である。 不揮発性半導体メモリ３０１を構成するコントロール・ブロック３０３の一例を説明するための概略的な機能ブロック図である。 消去システム３００を構成する外部消去装置５００の一例を説明するための概略的な機能ブロック図である。 外部消去装置５００を利用して不揮発性半導体メモリ３０１が再生不能化処理をする手順を説明するためのフローチャートである。 電子機器１００に適用した消去システム７００を説明するための概略的な機能ブロック図である。 コントロール・ブロック７０３の一例を説明するための概略的な機能ブロック図である。

［定義］
最初に、本明細書で使用する特別な用語の意味を説明する。不揮発性記憶装置（non-volatile storage）とは、電力の供給を停止しても記憶を保持できる記録媒体と記録媒体にアクセスするコントロール・ブロックを組み合わせた記憶装置をいう。記録媒体は、ＥＥＰＲＯＭ、ＮＡＮＤ型またはＮＯＲ型のフラッシュ・メモリ、抵抗変化型メモリ（ＲｅＲＡＭ）、および強誘電体メモリ（ＦｅＲＡＭ）などの不揮発性半導体メモリでもよいし、磁気ディスク、磁気コア・メモリ、磁気バブル・メモリ、および光ディスクのような半導体以外のメディアでもよい。

利用面での不揮発性記憶装置は、ＯＳを格納してブート・ドライブとして機能するＳＳＤやｅＭＭＣでもよいし、データを補助的に記録する不揮発性半導体メモリであってもよい。修理の際に動作状態の確認のためにロックしておくことができないブート・ドライブに本発明を適用することは効果的である。また、補助的な不揮発性半導体メモリとして、システム・ファームウェアだけがアクセスできるようにブート段階でプロセッサの制御をＯＳに渡す前にコントローラをロックする機構を備えたセキュアな記憶装置がある。

記録媒体は種類に応じて再生不能化処理の方法が異なるが、本発明では記録媒体ごとにコントロール・ブロックが実行できる周知の方法を採用できる。オンボードとは、半導体パッケージや電気的な素子が備えるリード線や電極パッドをマザー・ボードに半田で直接接続することをいう。オンボードは、マザー・ボードに実装されたソケットに半導体パッケージの端子を挿入する方法とは対照的な接続方法である。オンボード実装したデバイスは、専門的な知識や特殊な工具がないユーザが取り外すことは困難である。特にユーザが、修理にだす前にマザー・ボードを損傷しないようにしながら当該デバイスだけを取り外すことは不可能に近い。

ホスト・システムとは、電子機器を構成するＣＰＵ、システム・メモリ、チップ・セットおよび入出力デバイスなどのハードウェアと、デバイス・ドライバ、オペレーティング・システム、およびアプリケーション・プログラムなどのソフトウェアの協働で構成され、不揮発性記憶装置に対するアクセスが可能な装置をいう。なお、ホスト・システムは、キーボードやディスプレイなどのユーザ・インターフェースも含んでいる。

データの消去または再生不能化処理とは、記録媒体に記録したデータを再生できない状態にする処理をいう。本明細書においては、適宜データの消去または再生不能化処理という用語を使用するが不揮発性記憶装置が行うこれらの処理について両者は同義である。記録媒体のすべての物理ブロック・アドレス（ＰＢＡ）に０または１を書き込んだりランダムなデータを書き込んだりして元のデータを再生できないようにすることは再生不能化処理に含む。また、電気的処理、磁気的処理または紫外線照射処理などをして論理的な記憶状態を破壊することも再生不能化処理に含む。記録媒体が平文のデータを記録するときに、論理ブロック・アドレスと物理ブロック・アドレスをマッピングするアドレス管理テーブルだけを消去することは、記録媒体にデータが残るので本実施の形態における再生不能化処理に含めない。

不揮発性記憶装置が、記録媒体のデータを暗号化した暗号キーを保有する場合に、当該暗号キーを廃棄する行為は再生不能化処理に含む。不揮発性記憶装置に記録する前にホスト・システムのＯＳがデータを暗号化して当該暗号キーを保有する場合に、当該暗号キーを廃棄する行為も再生の不能化に相当するが、ホスト・システムが故障した場合は消去ができなくなるため、本実施の形態における再生不能化処理の範疇から外れる。

ユーザはホスト・システムを通じて不揮発性記憶装置に記録した不要なファイルを消去する場合がある。このとき、ＯＳのファイル・システムが、論理ブロック・アドレス（ＬＢＡ）のステータスを未使用または空きに設定する。このとき、ユーザからはデータが消去されたようにみえ、また、ＯＳは当該ＬＢＡに新しいデータを書き込むことができる。しかし、新しいデータが書き込まれるまで対応するＰＢＡには、元のデータが残っているためこのようなＯＳによるデータの消去は再生不能化処理に含まない。

消去対象データは、上記の「再生不能化処理」の定義にしたがって処理されるデータをいう。不揮発性記憶装置が記録または保有するデータには、不揮発性記憶装置だけが使用するシステム・データ、記録媒体のデータを不揮発性記憶装置が暗号化する際に使用する暗号キー、ホスト・システムが作成したユーザ・データおよびホスト・システムが実行するプログラムを含む。ユーザ・データは消去対象データに相当する。ユーザ・データは、消去対象データと非消去対象データに分けて記録することもできる。プログラムは、著作権に対するライセンス契約の面で第３者に渡る可能性を排除するために消去対象データに含めることができる。不揮発性記憶装置が保有する、記録媒体のデータを暗号化した暗号キーは消去対象データに相当する。暗号キーは記録媒体ではなく、コントローラのＲＯＭに記録されている場合もある。

［消去システム］
図１は、電子機器１００が搭載する消去システム２００の概要を説明するための機能ブロック図である。電子機器１００は、ノートブック型パーソナル・コンピュータ、デスクトップ型パーソナル・コンピュータ、タブレット端末またはスマートフォンなどの不揮発性記憶装置の搭載が可能な装置である。電子機器１００は、既存システム１０と本実施の形態にかかる消去システム２００を搭載している。既存システム１０は、ホスト・システム１１とシステム電源１３を含んでいる。

消去システム２００は、予備電源２０１、ユーザ・インターフェース２０３、動作モード切換部２０５、および不揮発性記憶装置２０７を含んでいる。ホスト・システム１１は従来の不揮発性記憶装置も含んでいる。ホスト・システム１１は不揮発性記憶装置２０７にアクセスすることが可能であるため、電子機器１００に消去システム２００が搭載されたときにホスト・システム１１は不揮発性記憶装置を含む必要がない。

ＯＳまたはシステム・ファームウェアを実行するホスト・システム１１は、不揮発性記憶装置２０７にコマンドを送り、データの記録、読み取りおよび消去をする。ホスト・システム１１に応答する不揮発性記憶装置２０７の動作を通常モードという。なお、通常モードには、ウェアレベリングや断片化処理（デフラグメンテーション）などの不揮発性記憶装置２０７が独自のアルゴリズムで実行する動作も含む。不揮発性記憶装置２０７は、ユーザ・インターフェース２０３からの指示で消去対象データに対する再生不能化処理をする動作およびこれに関連する動作をする。このときの不揮発性記憶装置２０７の動作を消去モードという。

ある種のホスト・システム１１は、不揮発性記憶装置２０７のデータを消去するために消去コマンドを送ることができる。消去コマンドを受け取った不揮発性記憶装置２０７は消去対象データを消去する。一般的なホスト・システムでは、ＯＳは消去コマンドをサポートしていないが、ブート時に実行するシステム・ファームウェアが消去コマンドを利用できる。システム・ファームウェアは、ブート処理をＯＳに渡すときに不揮発性記憶装置にホスト・システムからの消去コマンドをブロックするように設定する。

不揮発性記憶装置２０７がホスト・システム１１からの消去コマンドでデータを消去する動作を本実施の形態にかかる再生不能化処理に利用できる。ただし、本実施の形態にかかる再生不能化処理の動作は、不揮発性記憶装置がホスト・システムからの消去コマンドに応答する動作とは異なるものであってもよい。故障によりホスト・システム１１またはシステム電源１３が動作しないときは、ホスト・システム１１が消去コマンドを送ることができないか、あるいは不揮発性記憶装置２０７が再生不能化処理を実行できない。

本実施の形態にかかる消去モードの動作は、ホスト・システム１１からの消去コマンドではなく、動作モード切換部２０５からの消去コマンドで開始するため、電子機器１００が故障した場合でも再生不能化処理を実行できる。本発明は、電子機器１００が故障した場合に、ユーザに再生不能化処理の手段がないか困難なオンボード実装の不揮発性記憶装置２０７に適用すると効果的である。ただし、本発明は、システム・ファームウェアのインターフェースに慣れていないユーザおよびホスト・システム１１が消去コマンドをサポートしていない場合においても有益である。したがって、本発明はオンボード実装に限定する必要はなく、さらに、電子機器１００が故障した場合に限定して適用する必要もない。

システム電源１３は、ＡＣ／ＤＣアダプタ、電池ユニット、充電器、およびＤＣ／ＤＣコンバータなどで構成しており、ホスト・システム１１および不揮発性記憶装置２０７に所定の電圧の電力を供給する。ホスト・システム１１が故障したときは、システム電源１３が不揮発性記憶装置２０７に対する電力供給を継続するできる場合と電力供給できない場合がある。予備電源２０１は、電子機器１００が故障してシステム電源１３が電力を供給できないときに、不揮発性記憶装置２０７に消去モードで動作させるために必要な電力を供給する。

ユーザ・インターフェース２０３は、不揮発性記憶装置２０７を消去モードで動作させるためのユーザの指示またはユーザの操作を処理して動作モード切換部２０５に通知する。ユーザ・インターフェース２０３は、不揮発性記憶装置２０７がデータの再生不能化処理を完了した結果を表示することができる。動作モード切換部２０５は、ユーザ・インターフェース２０３からの指示で不揮発性記憶装置２０７を消去モードで動作させるためのインターフェースを提供する。

図１は、消去システム２００の具体的な構成、配置および既存システム１０および不揮発性記憶装置２０７に対する接続のタイミングなどの要素を特定していない。消去システム２００を実現するこれらの要素にはさまざまな態様がある。たとえば、動作モード切換部２０５は、不揮発性記憶装置２０７の一部として組み込むこともできる。また、予備電源２０１は、システム電源１３の一部を利用することもできる。以下においては消去システム２００の、典型的な２つの実施態様を説明するが、本発明の範囲はこれらの実施態様に限定するものではなく、これらの実施態様から当業者が容易に想起し得る概念を包摂する。

［第１の実施態様］
図２は、電子機器１００に適用した消去システム３００を説明するための概略的な機能ブロック図である。図３は、消去システム３００を構成する不揮発性半導体メモリ３０１の一例を説明するための概略的な機能ブロック図である。図４は、不揮発性半導体メモリ３０１を構成するコントロール・ブロック３０３の一例を説明するための概略的な機能ブロック図である。図５は、消去システム３００を構成する外部消去装置５００の一例を説明するための概略的な機能ブロック図である。

本願に添付する図面では、同一の要素または軽微な変更があるが発明の理解の上で同一とみなせる要素には同一の参照番号を付して説明を簡略化するかまたは省略する。図２において、レセプタクル１９は、電子機器１００の筐体に外部からプラグを接続できるように取り付けている。レセプタクル１９に接続するプラグ５１と商用電源のアウトレットに接続するプラグ５５を含むＡＣ／ＤＣアダプタ５３は、システム電源１３ａに直流電圧の電力を供給する。システム電源１３ａは、電池ユニット、充電器、およびＤＣ／ＤＣコンバータを含んでいる。

システム電源１３ａは、ホスト・システム１１および電源切換部３０７を経由して不揮発性半導体メモリ３０１に複数の電圧で電力を供給する。電源切換部３０７は、一例としてダイオードを並列に接続したワイヤードＯＲ回路で構成しており、入力をシステム電源１３ａとコネクタ３０９に接続し出力を不揮発性半導体メモリ３０１に接続している。電源切換部３０７は図１の予備電源２０１の一部に相当する。

コネクタ３０９は、マザー・ボード２０に実装されており、筐体を開放することで電力源を備える外部消去装置５００のコネクタ５０１を接続することができる。コネクタ３０９は、図１のユーザ・インターフェース２０３の一部に相当する。外部消去装置５００は、コネクタ３０９に接続するコネクタ５０１と商用電源のアウトレットに接続するプラグ５０３を含む。外部消去装置５００は、図１のユーザ・インターフェース２０３の一部および予備電源２０１の一部に相当する。

電源切換部３０７は、二つの電力源のうちいずれか電圧の高いほうからの電力を不揮発性半導体メモリ３０１に供給する。不揮発性半導体メモリ３０１は、図１の不揮発性記憶装置２０７に相当し、動作モード切換部４００、コントロール・ブロック３０３、およびフラッシュ・メモリ３０５を含む。コントロール・ブロック３０３の構成は一例を図４に示している。

不揮発性半導体メモリ３０１は、ホスト・システム１１からのアクセスに応じて動作する通常モードおよび外部消去装置５００からのアクセスに応じて動作する消去モードのいずれかで動作することができる。動作モード切換部４００は、コントロール・ブロック３０３を消去モードで動作させるために外部消去装置５００から受け取った消去コマンドをコントロール・ブロック３０３に送るための回路で、図１の動作モード切換部２０５に相当する。動作モード切換部４００の構成は一例を図３に示している。

動作モード切換部４００は、ホスト・バス１２でホスト・システム１２に接続し、サイド・バンド３０８でコネクタ３０９に接続している。ホスト・バス１２は、データ線、アドレス線、および制御線で構成しており、ホスト・システム１１と動作モード切換部４００の間でコマンドおよびデータを転送する。ホスト・バス１２は一例においてＳＡＴＡインターフェースの規格に従う。コントロール・ブロック３０３は、ホスト・バス１２を通じてデータの送受をするときは通常モードに対応する動作をする。

サイド・バンド３０８は、不揮発性半導体メモリ３０１に信号およびコマンドを送る信号線に相当する。サイド・バンド３０８は、ホスト・バス１２とは異なる信号線で、ホスト・バス１２が停止しても電源が確保された不揮発性半導体メモリ３０１と通信することができる。サイド・バンド３０８は、ホスト・バス１２よりも簡素な信号線であり、ここでは一例として、ＳＰＣまたはＩ２Ｃのような同期式のシリアル通信ラインとしている。サイド・バンド３０８は、動作モード切換部４００の構成によっては、１ワイヤ・プロトコルの通信ラインやＲＳ２３２−Ｃのような非同期式のシリアル通信ラインとすることもできる。

不揮発性半導体メモリ３０１は、サイド・バンド３０８からの指示がないときは通常モードで動作する。動作モード切換部４００は、通常モードのときに、ホスト・システム１１とコントロール・ブロック３０３を直接接続する。外部消去装置５００は、動作モード切換部４００を通じてコントロール・ブロック３０３に不揮発性半導体メモリ３０１を通常モードから消去モードに切り換える消去コマンドを送る。

動作モード切換部４００が外部記憶装置５００から受け取った消去コマンドをコントロール・ブロック３０３に送ると不揮発性半導体メモリ３０１は消去モードで動作する。動作モード切換部４００は、消去を終えたコントロール・ブロック３０３から受け取った再生不能化処理の検証結果を、外部消去装置５００に通知する。一例において、動作モード切換部４００、コントロール・ブロック３０３およびフラッシュ・メモリ３０５は、それぞれのチップを一つの半導体パッケージに収納してオンボードでマザー・ボード２０に実装することができる。このとき、電源切換部３０７も同じ半導体パッケージに組み込むことができる。他の例において、動作モード切換部４００は、不揮発性半導体メモリ３０１から分離した状態で、マザー・ボード２０に実装することができる。

動作モード切換部４００は、ハードウェア・ロジック回路またはプログラマブル・ロジック回路で構成することができる。動作モード切換部４００は、コントロール・ブロック３０３の外に設けているが、コントロール・ブロック３０３のチップの中に組み込んでもよい。ここでは図３に示すように、動作モード切換部４００をＩＥＥＥ １１４９．１（JTAG Boundary Scan Test Systems）が規定するＪＴＡＧ（Joint Test Action Group）という技術を利用して実現する例を説明する。

ＪＴＡＧは、シリアル通信でコアロジックの周辺に設けたＪＴＡＧ回路にアクセスして、半導体装置の外側の接続状態を試験したりコアロジックに信号を与えて内部の試験をしたりする技術である。図３において不揮発性半導体メモリ３０１は、ホスト・バス１２に接続する複数の入出力ピン３２０およびサイド・バンド３０８に接続する複数のＴＡＰ（Test Access Port）ピン４０９を含んでいる。入出力ピン３２０およびＴＡＰピン４０９は、ＢＧＡやリードワイヤ方式などでマザー・ボード２０に半田接続される。なお、図３に示した入出力ピン３２０およびＴＡＰピンの数は例示である。

動作モード切換部４００は、セルといわれるバウンダリ・スキャン・レジスタ（ＢＳＲ）４０１、インストラクション・レジスタ（ＩＲ）４０３、バイパス・レジスタ（ＢＰＲ）４０５、ＴＡＰ（Test Access Port）コントローラ４０７、およびＴＡＰピン４０９を含んでいる。ＴＡＰピン４０９は、外部消去装置５００から消去コマンドや診断コマンドを入力するＴＤＩピン、ＴＡＰコントローラ４０７の動作を同期させるクロック信号を入力するＴＣＫピン、ＴＡＰコントローラ４０７の状態遷移を制御するための信号を入力するＴＭＳピン、およびコントロール・ブロック３０３から受け取った消去完了データや診断レポートを出力するＴＤＯピンを含んでいる。

ＢＳＲ４０１、ＩＲ４０３、ＢＰＲ４０５はシフト・レジスタで、ＴＤＩピンから入力されたデータはＴＣＫピンのクロックに同期して順番にＴＤＯピンから出力されるように移動する。ＢＳＲ４０１の各セルは、対応する入出力ピン３２０とコントロール・ブロック３０３の入出力端子３０３ａの間に挿入され、さらに相互に直列に接続されている。入出力ピン３２０と入出力端子３０３ａの間で伝送されるすべての信号は、一旦、ＢＳＲ４０１のセルに取り込まれるが、不揮発性半導体メモリ３０１が通常モードのときはＢＳＲ４０１を通過する。

動作モード切換部４０１は、外部消去装置５００から消去コマンドを受け取ったときに、不揮発性半導体メモリ３０１に消去コマンドや診断コマンドを送る動作する。動作モード切換部４０１は、ＴＤＩピンを通じてＢＳＲ４０１に書き込まれたデータをコントロール・ブロック３０３の入出力端子３０３ａに入力する。また動作モード切換部４０１は、コントロール・ブロック３０３が入出力端子３０３ａに出力したデータをＢＳＲ４０１に取り込んで、シリアル転送でＴＤＯピンから出力する。

ＩＲ４０３は、ＴＡＰコントローラ４０７の動作を制御するためのインストラクションを保持する。ＩＲが保持するインストラクションは、ＴＤＩピンからシリアル通信で入力されたデータがＢＳＲ４０１とＢＰＲ４０５のいずれに取り込むかを決める。ＢＰＲ４０５は、ＢＳＲ４０１をバイパスして、ＴＤＩピンに対する入力を直接ＴＤＯピンから出力する。

ＴＡＰコントローラ４０７は、ＴＣＫピンのクロック信号に同期して取り込んだＴＭＳ信号で動作する・ＴＡＰコントローラ４０７は、ＢＳＲ４０１とＢＰＲ４０５の動作を制御するデータ系のパスと、ＩＲ４０３の動作を制御する制御系のパスを含むステート・マシーンである。ＴＡＰコントローラ４０７は、ＴＭＳ信号とＴＤＩピンのデータで、ＢＳＲ４０１、ＩＲ４０３、ＢＰＲ４０５の動作を制御する。

ＴＡＰコントローラ４０７は、ＴＤＩピンに入力された消去コマンドに応答して、動作モード切換部４００が消去モードに対応する動作をするように各レジスタの動作を制御する。ＴＡＰコントローラ４０７は、シリアル転送でＢＳＲ４０１の各セルに設定したビットをコントロール・ブロック３０３の入出力端子３０３ａに入力する動作を繰り返して消去コマンドや診断コマンドを入力する。ＴＡＰコントローラ４０７は、コントロール・ブロック３０３が入出力端子３０３ａに出力したデータをシリアル転送でＴＤＯピンに取り込む。

図４において、コントロール・ブロック３０３は、コントローラ３５１、ＲＡＭ３５３およびキャッシュ・メモリ３５５を含んでいる。コントローラ３５１は、ホスト・バス１２に接続するためのインターフェース３５１ａ、ＣＰＵ３５１ｃ、それぞれＲＯＭに格納したファームウェア３５１ｄ、暗号鍵３５１ｅおよびアドレス管理テーブル３５１ｆを含む。

暗号鍵３５１ｅは、一例において、ホスト・システム１１から受け取ったすべてのデータをｅＤｒｉｖｅという不揮発性記憶装置の内部で暗号化するハードウェアBitLocker（登録商標）で採用しているフルボリューム暗号化キー（ＦＶＥＫ）とすることができる。ＦＶＥＫはホスト・システム１１が保有するボリューム・マスター・キー（ＶＭＫ）で暗号化される。ハードウェアBitLocker（登録商標）は、ｅＤｒｉｖｅが記録する暗号化されたデータを読み取る際に、ＶＭＫをｅＤｒｉｖｅに転送してＦＶＥＫを復号する。ＦＶＥＫが消去されると、ＣＰＵ３５１ｃはフラッシュ・メモリ３０５のデータを正しく復号できないため、読み取りの際に意味のないデータをホスト・システム１１に送る。ＦＶＥＫを消去するとデータを再生することはほとんど不可能になる。

アドレス管理テーブル３５１ｆは、ホスト・システム１１が認識する所定のデータのＬＢＡとＣＰＵ３５１ｃが実際に書き込んだフラッシュ・メモリ３０５のＰＢＡをマッピングするデータ構造体である。ＣＰＵ３５１ｃは、ファームウェア３５１ｄを実行して、通常モードまたは消去モードで動作する。ＣＰＵ３５１ｃは電源が起動したときに通常モードで動作を開始するが、外部消去装置５００からＢＳＲ４０１を通じて消去コマンドを受け取ったときに消去モードで動作する。

通常モードのときにＣＰＵ３５１ｃは、ホスト・システム１１からコマンドを受け取ってデータの書き込み、読み出しおよび消去などの処理をする。また、ＣＰＵ３５１ｃは、独自のアルゴリズムとタイミングでウェアレベリングや断片化処理もする。消去モードのときにＣＰＵ３５１ｃは、フラッシュ・メモリ３０５が記録する消去対象データをブロック単位ごとに消去する。このときＣＰＵ３５１ｃは、消去対象データを記録していたセクタを示すアドレス管理テーブル３５１ｆのデータも同時に消去する。

ＣＰＵ３５１ｃは、消去対象データを消去した後は、すべてのＰＢＡを読み取ってすべてのセクタが、フローティング・ゲートに注入された電荷が存在しないことに対応する論理的な１になっていることを確認する検証処理を行う。フラッシュ・メモリ３０５のすべてのセクタからデータを読み取るためには長い時間がかかるため、コントロール・ブロック３０３は、アドレス管理テーブル３５１ｆが消去されたことでデータ消去の検証をするようにしてもよい。

ＣＰＵ３５１ｃが消去対象データを暗号化しているときは、ＣＰＵ３５１ｃは暗号鍵３５１ｅだけを消去してもよい。ＣＰＵ３５１ｃは、検証が完了したときに動作モード切換部４００を通じて外部消去装置５００に検証結果を送る。ＣＰＵ３５１ｃは検証結果を、消去の成功または失敗を示すデータで送ることができる。不揮発性半導体メモリ３０１は、電源が投入されたときに自動的に自己診断をしてコントロール・ブロック３０３やフラッシュ・メモリ３０５の状態を検査する。外部消去装置５００は、消去の失敗を示すデータを受け取ったときに、さらに、コントロール・ブロック３０３にこのような診断をさせる診断コマンドを送ることができる。ＣＰＵ３５１ｃは、診断の結果を外部消去装置５００に送る。診断の結果、ユーザはセクタが破損していることで消去が失敗したことを知る。

図５は、外部消去装置５００の構成の一例を説明するための概略の機能ブロック図である。外部消去装置５００は、交流電圧を直流電圧に変換するＡＣ／ＤＣ変換部５１１、ＡＣ／ＤＣ変換部５１１から電力の供給を受けるＤＣ／ＤＣコンバータ５１３を含む。ＤＣ／ＤＣコンバータ５１３は、不揮発性半導体メモリ３０１が消去モードで動作するために必要な電圧を生成してコネクタ５０１に出力する。消去コントローラ５１５は、一例としてファームウェアを実行するマイクロ・コンピュータで構成することができる。

消去コントローラ５１５には、スイッチ５１９、ディスプレイ５１７およびコネクタ５０１が接続されている。消去コントローラ５１５は、ユーザによるスイッチ５１９の操作で動作する。消去コントローラ５１５は、不揮発性半導体メモリ３０１のデータを消去するための消去コマンド、必要に応じて診断を要求するための診断コマンドをＴＡＰピン４０９のＴＤＩピンに出力する。消去コントローラ５１５は、ＴＣＫ信号、およびＴＭＳ信号をＴＡＰピン４０９に出力する。消去コントローラ５１５は、不揮発性半導体メモリ３０１から受け取った消去の検証結果や診断結果を示すデータをディスプレイ５１７に表示する。ディスプレイ５１７に変えてＬＥＤを採用することもできる。

図６は、外部消去装置５００を利用して不揮発性半導体メモリ３０１が再生不能化処理をする手順を説明するためのフローチャートである。ブロック６０１で電子機器１００が故障して修理にだすか、または廃棄する必要性が発生する。システム電源１３ａが電力を供給できるか否かは故障状態によって異なるがいずれであってもよい。ブロック６０３でユーザがネジで固定された筐体の蓋を取り外してマザー・ボード２０を露出させる。

ブロック６０５でユーザが外部消去装置５００のプラグ５０３をアウトレットに接続し、コネクタ５０１をコネクタ３０９に接続する。この手順は筐体の蓋を開放する操作であり、ユーザが誤って外部記憶装置５００を接続する可能性は小さい。システム電源１３ａが故障していても、電源切換部３０７が外部消去装置５００の電力を不揮発性半導体メモリ３０１に供給する。

ブロック６０７でユーザは、スイッチ５１９を操作して消去の指示をする。ブロック６０９で、消去コントローラ５１５がＴＡＰピン４０９を通じてコントロール・ブロック３０３に消去コマンドを入力する。ブロック６１１では消去モードで動作したＣＰＵ３５１ｃが不揮発性半導体メモリ３０１に対して消去対象データの再生不能化処理をし、さらにその結果を検証する。

ブロック６１３でＣＰＵ３５１ｃが外部消去装置５００の消去コントローラ５１５に検証結果を送ると、ディスプレイ５１７がそれを表示する。ブロック６１５でユーザが、再生不能化処理が成功したと判断したときに、ブロック６５１で作業は終了する。再生不能化処理が失敗したと判断したときは、ユーザはその原因を知るために、ブロック６１７でスイッチ５１９を通じて診断の指示をする。ブロック６１９で、消去コントローラ５１５がＴＡＰピン４０９を通じてコントロール・ブロック３０３に診断コマンドを入力する。ブロック６２１でＣＰＵ３５１ｃが不揮発性半導体メモリ３０１の診断を実行する。ブロック６２３でＣＰＵ３５１ｃが外部消去装置５００の消去コントローラ５１５に送った診断結果がディスプレイ４１７に表示される。

［第２の実施態様］
図７は、電子機器１００に適用した消去システム７００を説明するための概略的な機能ブロック図である。消去システム７００は、図１の消去システム２００をすべてマザー・ボード２０に形成している。消去システム７００は、不揮発性半導体メモリ７０１、短絡ジャンパー・ピン７０７、ＬＥＤ７０９、電源切換部３０７、およびＤＣ／ＤＣコンバータ７１１で構成している。ＤＣ／ＤＣコンバータ７１１および電源切換部３０７は、図１の予備電源２０１に相当する。短絡ジャンパー・ピン７０７、消去端子７０４およびＬＥＤ７０９は、図１のユーザ・インターフェース２０３に相当する。図１の動作モード切換部２０５は、図８に示すファームウェア７２３ｄに組み込んでいる。

ＡＣ／ＤＣアダプタ５３を接続するレセプタクル１９またはシステム電源１３ａの一次側には、ＤＣ／ＤＣコンバータ７１１を接続している。ＤＣ／ＤＣコンバータ７１１は、不揮発性半導体メモリ７０１が再生不能化処理に必要な電圧で電力を供給する。ＤＣ／ＤＣコンバータ７１１は、システム電源１３ａをバイパスして不揮発性半導体メモリ７０１に接続している。ＤＣ／ＤＣコンバータ７１１は、システム電源１３ａが故障してもＡＣ／ＤＣアダプタ５３から不揮発性半導体メモリ７０１に電力を供給することができる。ＤＣ／ＤＣコンバータ７１１は、不揮発性半導体メモリ７０１に組み込んでもよい。

ＤＣ／ＤＣコンバータ７１１は、システム電源１３ａを構成する電池ユニットの一次側端子の直後に接続してもよい。サイド・バンド７０６は、コントロール・ブロック７０３の消去端子７０４に接続している。コントロール・ブロック７０３とグランドの間のサイド・バンド７０６に挿入される短絡ジャンパー・ピン７０７は、マザー・ボード２０に接続されたソケットを短絡することで、消去端子７０４をプルダウンする。ＬＥＤ７０９は、コントロール・ブロック７０３が消去を完了し、かつ、検証が成功したときに点灯する。

図８は、コントロール・ブロック７０３の一例を説明するための概略的な機能ブロック図である。コントロール・ブロック７０３は、コントローラ７２３、ＲＡＭ７２５およびキャッシュ・メモリ７２７を含んでいる。コントローラ７２３は、ホスト・バス１２と通信するためのインターフェース７２３ａ、短絡ジャンパー・ピン７０７とＬＥＤ７０９に接続されたインターフェース７２３ｂを含んでいる。ＣＰＵ７２３ｃは、ファームウェア７２３ｄを実行して、不揮発性半導体メモリ７０１を通常モードまたは消去モードで動作させる。

インターフェース７２３ｂは、サイド・バンド７０６の電位を検出してＣＰＵ７２３ｃを消去モードで動作させる。ＣＰＵ７２３ｃは、サイド・バンド７０６の電位がハイのときに通常モードで動作し、短絡ジャンパー・ピン７０７を装着して電位がローに遷移したときに消去モードで動作することができる。たとえばインターフェース７２３ｂは、短絡ジャンパー・ピン７０７がセットされたときにＣＰＵ７２３ｃをリセットし、さらにリセット後にＣＰＵ７２３ｃが最初にアクセスするアドレスに消去モードに移行するデータを書き込むことで消去モードに移行させる。あるいは、短絡ジャンパー・ピン７０７をセットしてＣＰＵ７２３ｃの電源を起動したときに、不揮発性半導体メモリ７０１は同様にして消去モードで動作することができる。

ＣＰＵ７２３ｃは、消去モードに移行したときにフラッシュ・メモリ７０５が記録する消去対象データまたは暗号鍵７２３ｅを消去する。ＣＰＵ７２３ｃは、消去対象データを消去して検証が成功したときにＬＥＤ７０９を点灯させ、検証が失敗したときにＬＥＤ７０９を点滅させることができる。消去システム７００は、さらにＣＰＵ７２３ｃに診断をさせるための短絡ジャンパー・ピンを設けてもよい。

これまで本発明について図面に示した特定の実施の形態をもって説明してきたが、本発明は図面に示した実施の形態に限定されるものではなく、本発明の効果を奏する限り、これまで知られたいかなる構成であっても採用することができることはいうまでもないことである。

１０ 既存システム
１２ ホスト・バス
１５ 不揮発性記憶装置
２０ マザー・ボード
１００ 電子機器
２００、３００、７００ 消去システム
３０１、７０１ 不揮発性半導体メモリ
３０３、７０３ 不揮発性半導体メモリのコントロール・ブロック
３０５、７０５ フラッシュ・メモリ
３０７ 電源切換部
３０８、７０６ サイド・バンド
３２０ 入出力ピン
３５１、７２３ コントローラ
４００ フロント・エンド（ＪＴＡＧ回路）
５００ 外部消去装置
７０４ 消去端子
７０７ 短絡ジャンパー・ピン
７０９ ＬＥＤ

Claims (4)

1. 電子機器に搭載する不揮発性記憶装置の消去システムであって、
   消去対象データを記録する記録媒体と、
   前記消去対象データに対して再生不能化処理を実行する消去モードまたはホスト・システムからのコマンドに応答して前記記録媒体にアクセスする通常モードで動作することが可能なコントロール・ブロックと、
   前記コントロール・ブロックに前記消去モードで動作させるための消去信号を送るユーザ・インターフェースと、
   ＡＣ／ＤＣアダプタから受け取った電力を前記ホスト・システムおよび前記不揮発性記憶装置に供給するシステム電源をバイパスして前記ＡＣ／ＤＣアダプタから受け取った電力を前記不揮発性記憶装置に供給する予備電源と
   を有する消去システム。
2. 前記ユーザ・インターフェースが、マザー・ボードに実装した短絡ジャンパー・ピンを含む請求項１に記載の消去システム。
3. 前記ユーザ・インターフェースが、マザー・ボードに実装した前記コントロール・ブロックが前記再生不能化処理を検証した結果を表示する表示部を含む請求項１に記載の消去システム。
4. 請求項１から請求項３のいずれかに記載の消去システムを搭載した電子機器。

Images