知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2022124165
(43)【公開日】2022-08-25
(54)【発明の名称】メモリシステム
(51)【国際特許分類】
G06F 12/14 20060101AFI20220818BHJP
G06F 21/31 20130101ALI20220818BHJP
G06F 21/60 20130101ALI20220818BHJP
【ＦＩ】
G06F12/14 510D
G06F21/31
G06F21/60 320
【審査請求】未請求
【請求項の数】12
【出願形態】ＯＬ
(21)【出願番号】P 2021021773
(22)【出願日】2021-02-15
(71)【出願人】
【識別番号】318010018
【氏名又は名称】キオクシア株式会社
(74)【代理人】
【識別番号】110001737
【氏名又は名称】特許業務法人スズエ国際特許事務所
(72)【発明者】
【氏名】曵地 真理
【テーマコード（参考）】
5B017
【Ｆターム（参考）】
5B017AA03
5B017BA01
5B017BB05
5B017CA11
(57)【要約】
【課題】 ストレージへのアクセスに対するセキュリティを強化できるメモリシステムを実現する。
【解決手段】 実施形態によれば、メモリシステムは、不揮発性メモリと、コントローラとを具備する。コントローラは、第１ユーザ識別情報に対して付与される、不揮発性メモリの少なくとも一部の記憶領域である第１記憶領域への第１アクセス権を有効化し、第１アクセス権が無効になるまでの第１期限を設定する。コントローラは、現在の時刻が第１期限を過ぎたことに応じ、第１アクセス権を無効化する。
【選択図】図８
【解決手段】 実施形態によれば、メモリシステムは、不揮発性メモリと、コントローラとを具備する。コントローラは、第１ユーザ識別情報に対して付与される、不揮発性メモリの少なくとも一部の記憶領域である第１記憶領域への第１アクセス権を有効化し、第１アクセス権が無効になるまでの第１期限を設定する。コントローラは、現在の時刻が第１期限を過ぎたことに応じ、第１アクセス権を無効化する。
【選択図】図８
【特許請求の範囲】
【請求項1】
不揮発性メモリと、
第１ユーザ識別情報に対して付与される、前記不揮発性メモリの少なくとも一部の記憶領域である第１記憶領域への第１アクセス権を有効化し、前記第１アクセス権が無効になるまでの第１期限を設定し、
現在の時刻が前記第１期限を過ぎたことに応じ、前記第１アクセス権を無効化するように構成されるコントローラと、
を具備するメモリシステム。
第１ユーザ識別情報に対して付与される、前記不揮発性メモリの少なくとも一部の記憶領域である第１記憶領域への第１アクセス権を有効化し、前記第１アクセス権が無効になるまでの第１期限を設定し、
現在の時刻が前記第１期限を過ぎたことに応じ、前記第１アクセス権を無効化するように構成されるコントローラと、
を具備するメモリシステム。
【請求項2】
前記コントローラは、さらに、
前記第１記憶領域にアクセスするための要求であって、前記第１ユーザ識別情報が関連付けられたアクセス要求をホストから受け付け、
前記第１アクセス権が有効である場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行し、
前記第１アクセス権が無効である場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行することなく、前記ホストに対してエラーを通知するように構成される
請求項１記載のメモリシステム。
前記第１記憶領域にアクセスするための要求であって、前記第１ユーザ識別情報が関連付けられたアクセス要求をホストから受け付け、
前記第１アクセス権が有効である場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行し、
前記第１アクセス権が無効である場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行することなく、前記ホストに対してエラーを通知するように構成される
請求項１記載のメモリシステム。
【請求項3】
前記コントローラは、さらに、
前記現在の時刻が前記第１期限を過ぎたことに応じ、前記第１ユーザ識別情報に対応する認証情報を変更するように構成され、
前記ホストから、前記第１ユーザ識別情報が関連付けられた第１認証情報を含む第１認証要求を受け付け、
前記第１アクセス権が有効である場合、前記第１認証情報を用いた前記第１ユーザ識別情報の認証処理を実行し、
前記第１アクセス権が無効である場合、前記第１認証情報を用いた前記第１ユーザ識別情報の認証処理を実行することなく、前記ホストに対してエラーを通知するように構成される
請求項２記載のメモリシステム。
前記現在の時刻が前記第１期限を過ぎたことに応じ、前記第１ユーザ識別情報に対応する認証情報を変更するように構成され、
前記ホストから、前記第１ユーザ識別情報が関連付けられた第１認証情報を含む第１認証要求を受け付け、
前記第１アクセス権が有効である場合、前記第１認証情報を用いた前記第１ユーザ識別情報の認証処理を実行し、
前記第１アクセス権が無効である場合、前記第１認証情報を用いた前記第１ユーザ識別情報の認証処理を実行することなく、前記ホストに対してエラーを通知するように構成される
請求項２記載のメモリシステム。
【請求項4】
前記コントローラは、さらに、
前記第１アクセス権が有効であって、実行された前記認証処理が成功した場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行し、
前記第１アクセス権が有効であって、実行された前記認証処理が失敗した場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行することなく、前記ホストに対してエラーを通知するように構成される
請求項３記載のメモリシステム。
前記第１アクセス権が有効であって、実行された前記認証処理が成功した場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行し、
前記第１アクセス権が有効であって、実行された前記認証処理が失敗した場合、前記アクセス要求に応じた前記第１記憶領域へのアクセスに関する処理を実行することなく、前記ホストに対してエラーを通知するように構成される
請求項３記載のメモリシステム。
【請求項5】
前記コントローラは、さらに、
前記不揮発性メモリに書き込まれるデータを第１暗号鍵を用いて暗号化し、前記不揮発性メモリから読み出されたデータを前記第１暗号鍵を用いて復号するように構成され、
前記第１記憶領域からデータを読み出すための要求であって、前記第１ユーザ識別情報が関連付けられたリード要求をホストから受け付け、
前記第１アクセス権が有効である場合、前記第１記憶領域から前記リード要求に応じた第１データを読み出し、前記読み出された第１データを前記第１暗号鍵を用いて復号し、復号された前記第１データを前記ホストに送信し、
前記第１アクセス権が無効である場合、前記第１データを前記第１記憶領域から読み出すことなく、前記ホストに対してエラーを通知するように構成される
請求項１記載のメモリシステム。
前記不揮発性メモリに書き込まれるデータを第１暗号鍵を用いて暗号化し、前記不揮発性メモリから読み出されたデータを前記第１暗号鍵を用いて復号するように構成され、
前記第１記憶領域からデータを読み出すための要求であって、前記第１ユーザ識別情報が関連付けられたリード要求をホストから受け付け、
前記第１アクセス権が有効である場合、前記第１記憶領域から前記リード要求に応じた第１データを読み出し、前記読み出された第１データを前記第１暗号鍵を用いて復号し、復号された前記第１データを前記ホストに送信し、
前記第１アクセス権が無効である場合、前記第１データを前記第１記憶領域から読み出すことなく、前記ホストに対してエラーを通知するように構成される
請求項１記載のメモリシステム。
【請求項6】
前記コントローラは、さらに、
第２暗号鍵を用いて前記第１暗号鍵を暗号化することにより第３暗号鍵を取得し、前記第２暗号鍵は前記第１ユーザ識別情報に対応する第１認証情報に関連付けられており、
前記第１アクセス権が有効である場合、前記第１認証情報を用いて前記第２暗号鍵を取得し、前記取得された第２暗号鍵を用いて前記第３暗号鍵を復号することにより前記第１暗号鍵を取得し、前記読み出された第１データを前記第１暗号鍵を用いて復号する
ように構成される請求項５記載のメモリシステム。
第２暗号鍵を用いて前記第１暗号鍵を暗号化することにより第３暗号鍵を取得し、前記第２暗号鍵は前記第１ユーザ識別情報に対応する第１認証情報に関連付けられており、
前記第１アクセス権が有効である場合、前記第１認証情報を用いて前記第２暗号鍵を取得し、前記取得された第２暗号鍵を用いて前記第３暗号鍵を復号することにより前記第１暗号鍵を取得し、前記読み出された第１データを前記第１暗号鍵を用いて復号する
ように構成される請求項５記載のメモリシステム。
【請求項7】
前記コントローラは、さらに、
前記第１アクセス権が無効になったことに応じ、前記第１暗号鍵を破棄することなく、前記第３暗号鍵を破棄する
ように構成される請求項６記載のメモリシステム。
前記第１アクセス権が無効になったことに応じ、前記第１暗号鍵を破棄することなく、前記第３暗号鍵を破棄する
ように構成される請求項６記載のメモリシステム。
【請求項8】
前記コントローラは、さらに、
第４暗号鍵を用いて前記第１暗号鍵を暗号化することにより第５暗号鍵を取得し、前記第４暗号鍵は前記第１認証情報とは異なる第２認証情報に関連付けられており、
前記第２認証情報を用いて前記第４暗号鍵を取得し、前記取得された第４暗号鍵を用いて前記第５暗号鍵を復号することにより前記第１暗号鍵を取得し、前記読み出された第１データを前記第１暗号鍵を用いて復号する
ように構成される請求項７記載のメモリシステム。
第４暗号鍵を用いて前記第１暗号鍵を暗号化することにより第５暗号鍵を取得し、前記第４暗号鍵は前記第１認証情報とは異なる第２認証情報に関連付けられており、
前記第２認証情報を用いて前記第４暗号鍵を取得し、前記取得された第４暗号鍵を用いて前記第５暗号鍵を復号することにより前記第１暗号鍵を取得し、前記読み出された第１データを前記第１暗号鍵を用いて復号する
ように構成される請求項７記載のメモリシステム。
【請求項9】
前記コントローラは、さらに、
前記不揮発性メモリの記憶領域を論理的に分割した少なくとも１つの記憶領域を管理し、
前記第１記憶領域は、前記少なくとも１つの記憶領域の内の１つである
請求項１記載のメモリシステム。
前記不揮発性メモリの記憶領域を論理的に分割した少なくとも１つの記憶領域を管理し、
前記第１記憶領域は、前記少なくとも１つの記憶領域の内の１つである
請求項１記載のメモリシステム。
【請求項10】
リアルタイムクロックと、
前記リアルタイムクロックに電力を供給可能な蓄電装置とをさらに具備し、
前記コントローラは、前記リアルタイムクロックから前記現在の時刻を取得するように構成される
請求項１乃至請求項９のいずれか一項に記載のメモリシステム。
前記リアルタイムクロックに電力を供給可能な蓄電装置とをさらに具備し、
前記コントローラは、前記リアルタイムクロックから前記現在の時刻を取得するように構成される
請求項１乃至請求項９のいずれか一項に記載のメモリシステム。
【請求項11】
前記コントローラは、さらに、
ホストから設定要求を受信し、
前記設定要求に応じて、前記第１アクセス権を有効化し、前記第１期限を設定するように構成される
請求項１乃至請求項１０のいずれか一項に記載のメモリシステム。
ホストから設定要求を受信し、
前記設定要求に応じて、前記第１アクセス権を有効化し、前記第１期限を設定するように構成される
請求項１乃至請求項１０のいずれか一項に記載のメモリシステム。
【請求項12】
前記コントローラは、
前記ホストから、管理者の識別情報が関連付けられた第２認証要求を受け付け、
前記第２認証要求に含まれる第３認証情報を用いた前記管理者の認証処理を実行し、
実行された前記管理者の認証処理が成功した場合、前記設定要求に応じて、前記第１アクセス権を有効化し、前記第１期限を設定するように構成される
請求項１１記載のメモリシステム。
前記ホストから、管理者の識別情報が関連付けられた第２認証要求を受け付け、
前記第２認証要求に含まれる第３認証情報を用いた前記管理者の認証処理を実行し、
実行された前記管理者の認証処理が成功した場合、前記設定要求に応じて、前記第１アクセス権を有効化し、前記第１期限を設定するように構成される
請求項１１記載のメモリシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明の実施形態は、不揮発性メモリを備えるメモリシステムを制御する技術に関する。
【背景技術】
【0002】
近年、不揮発性メモリを備えるメモリシステムが広く普及している。このようなメモリシステムの１つとして、ＮＡＮＤ型フラッシュメモリを備えるソリッドステートドライブ（ＳＳＤ）が知られている。ＳＳＤは、様々なコンピューティングデバイスのメインストレージとして使用されている。
【0003】
データの漏洩を防止するために、メモリシステムは、書き込み時にデータを自動的に暗号化する自己暗号化機能を有していることがある。自己暗号化機能を有するメモリシステムは、自己暗号化ドライブ（ｓｅｌｆ ｅｎｃｒｙｐｔｉｎｇ ｄｒｉｖｅ：ＳＥＤ）とも称される。
【0004】
ＳＥＤが準拠すべきセキュリティ規格の１つとして、トラステッド・コンピューティング・グループ（ＴＣＧ）の規格がある。ＴＣＧの規格では、例えばデータ暗号化、ストレージの部分領域毎のアクセス制御が規定されている。
【先行技術文献】
【特許文献】
【0005】
【特許文献1】米国特許出願公開第２０１２／００７２７３５号明細書
【特許文献2】米国特許出願公開第２００５／００３８７５７号明細書
【特許文献3】米国特許出願公開第２０１５／０１６３２０６号明細書
【特許文献4】特開２００２－２５１８１９号公報
【特許文献5】特開２００５－２６７７０１号公報
【発明の概要】
【発明が解決しようとする課題】
【0006】
実施形態の一つは、ストレージへのアクセスに対するセキュリティを強化できるメモリシステムを提供する。
【課題を解決するための手段】
【0007】
実施形態によれば、メモリシステムは、不揮発性メモリと、コントローラとを具備する。コントローラは、第１ユーザ識別情報に対して付与される、不揮発性メモリの少なくとも一部の記憶領域である第１記憶領域への第１アクセス権を有効化し、第１アクセス権が無効になるまでの第１期限を設定する。コントローラは、現在の時刻が第１期限を過ぎたことに応じ、第１アクセス権を無効化する。
【図面の簡単な説明】
【0008】
【図1】第１実施形態に係るメモリシステムを含む情報処理システムの構成例を示すブロック図。
【図2】第１実施形態のメモリシステムにおける、ユーザ識別情報（ユーザＩＤ）に対して付与されるアクセス権の有効化および無効化のための動作例を示す図。
【図3】第１実施形態のメモリシステムにおいて、アクセス権が制御される記憶領域の例を示す図。
【図4】第１実施形態のメモリシステムにおいて用いられるＴｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブルの構成例を示す図。
【図5】第１実施形態のメモリシステムにおいてデータの暗号化および復号に用いられるデータ暗号鍵（ｄａｔａ ｅｎｃｒｙｐｔｉｏｎ ｋｅｙ：ＤＥＫ）と認証情報との関係の例を示す図。
【図6】第１実施形態のメモリシステムにおける、ユーザＩＤに対応するアクセス権が有効であるか否かに応じたリード動作例を示す図。
【図7】第１実施形態のメモリシステムにおける、ユーザＩＤに対応するアクセス権が有効であるか否かに応じたライト動作例を示す図。
【図8】第１実施形態のメモリシステムにおいて、１つのユーザＩＤが複数のユーザによって使用される場合のアクセス制御の例を示す図。
【図9】第１実施形態のメモリシステムにおいて実行される権限設定処理の手順の例を示すフローチャート。
【図10】第１実施形態のメモリシステムにおいて実行される権限無効化処理の手順の例を示すフローチャート。
【図11】第１実施形態のメモリシステムにおいて実行されるユーザ認証処理の手順の例を示すフローチャート。
【図12】第１実施形態のメモリシステムにおいて実行されるリードコマンド処理の手順の例を示すフローチャート。
【図13】第１実施形態のメモリシステムにおいて実行されるライトコマンド処理の手順の例を示すフローチャート。
【図14】第２実施形態に係るメモリシステムを含む情報処理システムの構成例を示すブロック図。
【発明を実施するための形態】
【0009】
以下、実施の形態について図面を参照して説明する。
【0010】
（第１実施形態）
まず図１を参照して、第１実施形態に係る情報処理システム１の構成を説明する。情報処理システム１は、ホストデバイス２（以下、ホスト２と称する）と、メモリシステム３とを含む。
まず図１を参照して、第１実施形態に係る情報処理システム１の構成を説明する。情報処理システム１は、ホストデバイス２（以下、ホスト２と称する）と、メモリシステム３とを含む。
【0011】
ホスト２は情報処理装置である。ホスト２は、大量且つ多様なデータをメモリシステム３に保存するストレージサーバであってもよいし、パーソナルコンピュータであってもよい。
【0012】
メモリシステム３は、ＮＡＮＤ型フラッシュメモリのような不揮発性メモリ６にデータを書き込み、不揮発性メモリ６からデータを読み出すように構成された半導体ストレージデバイスであり、ストレージデバイスとも称される。メモリシステム３は、例えばＮＡＮＤ型フラッシュメモリを備えるソリッドステートドライブ（ＳＳＤ）として実現され得る。以下では、メモリシステム３がＳＳＤとして実現される場合について主に例示するが、メモリシステム３はハードディスクドライブ（ＨＤＤ）として実現されてもよい。
【0013】
メモリシステム３は、データの漏洩を防止するために、書き込み時にデータを自動的に暗号化する自己暗号化機能を有している。つまり、メモリシステム３は、自己暗号化機能を有する自己暗号化ドライブ（ｓｅｌｆ－ｅｎｃｒｙｐｔｉｎｇ ｄｒｉｖｅ：ＳＥＤ）である。メモリシステム３は、例えばトラステッド・コンピューティング・グループ（ＴＣＧ）の規格に準拠し、ＴＣＧの規格で定められた自己暗号化機能を有している。ＴＣＧの規格では、例えばデータ暗号化、ストレージの部分領域毎のアクセス制御が規定されている。
【0014】
メモリシステム３は、ホスト２のストレージとして使用され得る。メモリシステム３は、ホスト２に内蔵されてもよいし、ホスト２にケーブルまたはネットワークを介して接続されてもよい。
【0015】
ホスト２とメモリシステム３とを相互接続するためのインタフェースは、ＳＣＳＩ、Ｓｅｒｉａｌ Ａｔｔａｃｈｅｄ ＳＣＳＩ（ＳＡＳ）、ＡＴＡ、Ｓｅｒｉａｌ ＡＴＡ（ＳＡＴＡ）、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）、Ｆｉｂｒｅ ｃｈａｎｎｅｌ、ＮＶＭ Ｅｘｐｒｅｓｓ（ＮＶＭｅ）（登録商標）等の規格に準拠する。
【0016】
ホスト２は、例えば、ＣＰＵ２１、ランダムアクセスメモリ（ＲＡＭ）２２、リードオンリーメモリ（ＲＯＭ）２４、およびコントローラ２５を備える。ＲＡＭ２２は、例えばスタティックランダムアクセスメモリ（ＳＲＡＭ）である。ＲＯＭ２４は、例えばＮＯＲ型フラッシュメモリである。
【0017】
ＣＰＵ２１は、ホスト２内の様々なコンポーネントの動作を制御するプロセッサである。ＣＰＵ２１は、例えばＲＯＭ２４からＲＡＭ２２にロードされる様々なプログラムを実行する。これらプログラムには、基本入出力システム（ＢＩＯＳ）、オペレーティングシステム（ＯＳ）、および様々なアプリケーションプログラムが含まれている。ＢＩＯＳは、ハードウェア制御のためのプログラムである。
【0018】
コントローラ２５は、メモリシステム３との通信を制御する回路として機能する。また、コントローラ２５は電力供給部２５１を備える。電力供給部２５１は、例えば、図示しない外部電源からホスト２に供給される電力を用いて、メモリシステム３に供給される電力を制御する。具体的には、電力供給部２５１は、ホスト２が動作している間（すなわちホスト２が電源オン状態である間）、メモリシステム３に電力を供給する。電力供給部２５１は、ホスト２が動作していない間（すなわちホスト２が電源オフ状態である間）、メモリシステム３に電力を供給しない。
【0019】
メモリシステム３は、例えば、メモリコントローラ４、蓄電装置５、および不揮発性メモリ６を備える。メモリコントローラ４は、Ｓｙｓｔｅｍ－ｏｎ－ａ－ｃｈｉｐ（ＳｏＣ）のような回路によって実現され得る。
【0020】
蓄電装置５は、電力供給部２５１から供給される電力が遮断された場合の電源として機能する。蓄電装置５は、例えば、ボタン型電池または電気二重層コンデンサとして実現され得る。
【0021】
不揮発性メモリ６は複数のブロックを含む。複数のブロックのそれぞれは複数のページを含む。１つのブロックはデータ消去動作の最小単位として機能する。ブロックは、「消去ブロック」、または「物理ブロック」と称されることもある。複数のページのそれぞれは、単一のワード線に接続された複数のメモリセルを含む。１つのページは、データ書き込み動作およびデータ読み出し動作の単位として機能する。なお、１つのワード線がデータ書き込み動作およびデータ読み出し動作の単位として機能してもよい。
【0022】
各ブロックに対するプログラム／イレーズサイクル数（Ｐ／Ｅサイクル数）には上限があり、最大Ｐ／Ｅサイクル数と称される。あるブロックの１回のＰ／Ｅサイクルは、このブロック内のすべてのメモリセルを消去状態にするための消去動作と、このブロックのページそれぞれにデータを書き込む書き込み動作とを含む。
【0023】
メモリコントローラ４は、不揮発性メモリ６を制御するように構成されたコントローラとして機能する。
【0024】
メモリコントローラ４は、例えば、ホストインタフェース（ホストＩ／Ｆ）１１、バッファ１２、ＲＡＭ１３、ＲＯＭ１４、暗号回路１５、メモリＩ／Ｆ１６、リアルタイムクロック（ＲＴＣ）１７、およびＣＰＵ１８を備える。これらホストＩ／Ｆ１１、バッファ１２、ＲＡＭ１３、ＲＯＭ１４、暗号回路１５、メモリＩ／Ｆ１６、ＲＴＣ１７、およびＣＰＵ１８は、バス１０を介して接続されていてもよい。
【0025】
ＲＡＭ１３は、例えばＳＲＡＭである。ＲＯＭ１４は、例えばＮＯＲ型フラッシュメモリである。なお、メモリコントローラ４に内蔵されるＲＡＭ１３の代わりに、あるいはＲＡＭ１３に加えて、メモリコントローラ４の外部にＲＡＭ（例えばＤＲＡＭ）が設けられてもよい。その場合、メモリコントローラ４には、外部のＲＡＭへのアクセスを制御するように構成された制御回路が設けられる。
【0026】
メモリコントローラ４は、不揮発性メモリ６のデータ管理およびブロック管理を実行するように構成されたフラッシュトランスレーション層（ＦＴＬ）として機能してもよい。このＦＴＬによって実行されるデータ管理には、（１）論理アドレスそれぞれと不揮発性メモリ６の物理アドレスそれぞれとの間の対応関係を示すマッピング情報の管理、および（２）ページ単位のリード／ライト動作とブロック単位の消去（イレーズ）動作とを隠蔽するための処理が含まれる。ブロック管理には、不良ブロックの管理、ウェアレベリング、およびガベージコレクション（ＧＣ）が含まれる。なお、論理アドレスは、メモリシステム３をアドレス指定するためにホスト２によって使用されるアドレスである。論理アドレスは、例えば論理ブロックアドレス（ＬＢＡ）である。以下では、論理アドレスとしてＬＢＡが用いられる場合について主に例示する。
【0027】
ＬＢＡそれぞれと物理アドレスそれぞれとの間のマッピングの管理は、論理物理アドレス変換テーブル１３２を用いて実行される。メモリコントローラ４は、論理物理アドレス変換テーブル１３２を使用して、ＬＢＡそれぞれと物理アドレスそれぞれとの間のマッピングを特定の管理サイズ単位で管理する。あるＬＢＡに対応する物理アドレスは、このＬＢＡのデータが書き込まれた不揮発性メモリ６内の物理記憶位置を示す。論理物理アドレス変換テーブル１３２は、メモリシステム３の電源オン時に不揮発性メモリ６からＲＡＭ１３にロードされてもよい。
【0028】
１つのページへのデータ書き込みは、１回のＰ／Ｅサイクル当たり１回のみ可能である。このため、メモリコントローラ４は、あるＬＢＡに対応する更新データを、このＬＢＡに対応する以前のデータが格納されている物理記憶位置ではなく、別の物理記憶位置に書き込む。そして、メモリコントローラ４は、このＬＢＡをこの別の物理記憶位置に関連付けるように論理物理アドレス変換テーブル１３２を更新することにより、以前のデータを無効化する。論理物理アドレス変換テーブル１３２から参照されているデータ（すなわちＬＢＡと紐付けられているデータ）は有効データと称される。また、どのＬＢＡとも紐付けられていないデータは無効データと称される。有効データは、後にホスト２からリードされる可能性があるデータである。無効データは、もはやホスト２からリードされる可能性が無いデータである。
【0029】
メモリコントローラ４は、不揮発性メモリ６の記憶領域を論理的に分割した少なくとも１つの記憶領域を管理する。不揮発性メモリ６の記憶領域は、例えば、システム領域３１とユーザ領域３２として割り当てられる。
【0030】
システム領域３１には、例えば、認証情報３１１と鍵情報３１２が格納される。
【0031】
認証情報３１１は、ホスト２を使用する管理者やユーザの正当性を検証するための情報である。以下では、管理者権限に対応する識別情報を管理者ＩＤと表記し、ユーザ識別情報を、ユーザＩＤと表記する。認証情報３１１は、例えば、管理者ＩＤの認証情報と、ユーザＩＤ毎の認証情報とを含む。
【0032】
ユーザＩＤは、ホスト２を使用してメモリシステム３にアクセスするユーザを識別するための情報である。１つのユーザＩＤは、例えば１人のユーザによって使用される。あるいは、１つのユーザＩＤは複数のユーザによって使用されてもよい。例えば、１つのユーザＩＤは、ある期間において１人のユーザによって使用され、別の期間において別の１人のユーザによって使用されてもよい。
【0033】
管理者ＩＤの認証情報およびユーザＩＤの認証情報としては、例えば、Ｐｅｒｓｏｎａｌ Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ Ｎｕｍｂｅｒ（ＰＩＮ）やパスワードが用いられる。認証情報３１１には、ＰＩＮのハッシュ値やパスワードのハッシュ値も含まれ得る。
【0034】
鍵情報３１２は、データ暗号鍵（ｄａｔａ ｅｎｃｒｙｐｔｉｏｎ ｋｅｙ：ＤＥＫ）に関する情報を含む。ＤＥＫは、不揮発性メモリ６に書き込まれるデータの暗号化と、不揮発性メモリ６から読み出されたデータの復号に用いられる。鍵情報３１２には、ＤＥＫを暗号化した暗号化ＤＥＫも含まれ得る。暗号化ＤＥＫは、例えば、管理者ＩＤの認証情報やユーザＩＤ毎の認証情報を用いて生成された鍵暗号鍵（ｋｅｙ ｅｎｃｒｙｐｔｉｏｎ ｋｅｙ：ＫＥＫ）で、ＤＥＫを暗号化することにより得られる。
【0035】
認証情報３１１および／または鍵情報３１２は、例えばメモリシステム３の起動時に、不揮発性メモリ６からＲＡＭ１３にロードされてもよい。
【0036】
ユーザ領域３２は、ユーザによるアクセスが認証情報３１１を用いて制御される領域である。
【0037】
ホストＩ／Ｆ１１は、ホスト２から様々なコマンド、例えば、Ｉ／Ｏコマンド、制御コマンド、ＴＣＧコマンドを受信する回路として機能する。Ｉ／Ｏコマンドには、ライトコマンドおよびリードコマンドが含まれ得る。制御コマンドには、アンマップコマンド（トリムコマンド）およびフォーマットコマンドが含まれ得る。フォーマットコマンドは、メモリシステム３全体をアンマップするためのコマンドである。また、ＴＣＧコマンドは、メモリシステム３に対して、認証、不揮発性メモリ６へのアクセスに関する設定変更等を要求するためのコマンドを含み得る。さらに、ホストＩ／Ｆ１１は、受信したコマンドに応じた応答やデータ、制御コマンド等をホスト２に送信する回路として機能する。
【0038】
バッファ１２は、例えばＤＲＡＭである。バッファ１２は、不揮発性メモリ６に書き込むべきデータと、不揮発性メモリ６から読み出されたデータを一時的に記憶する記憶領域である。バッファ１２の記憶領域は、例えば、リードバッファ、ライトバッファ、ガベージコレクション（ＧＣ）バッファとして利用される領域に割り当てられる。
【0039】
ＲＡＭ１３の記憶領域は、例えば、ファームウェア（ＦＷ）１３１の格納領域、論理物理アドレス変換テーブル１３２のキャッシュ領域、およびＴｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３の格納領域に割り当てられる。ＲＡＭ１３の記憶領域が、リードバッファ、ライトバッファ、ＧＣバッファとして利用されるバッファ領域に割り当てられてもよい。
【0040】
ＦＷ１３１は、メモリコントローラ４の動作を制御するためのプログラムである。ＦＷ１３１は、例えば、不揮発性メモリ６またはＲＯＭ１４からＲＡＭ１３にロードされる。
【0041】
論理物理アドレス変換テーブル１３２は、ＬＢＡそれぞれと不揮発性メモリ６の物理アドレスそれぞれとの間のマッピングを管理する。
【0042】
Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３は、ユーザＩＤに対して付与される、不揮発性メモリ６の少なくとも一部の記憶領域へのアクセス権の有効または無効と、アクセス権が無効になるまでの有効期限とを管理する。
【0043】
暗号回路１５はユーザデータの暗号化および復号を行う。暗号回路１５は、メモリＩ／Ｆ１６を介して不揮発性メモリ６に書き込まれるユーザデータを暗号化する。暗号回路１５は、メモリＩ／Ｆ１６を介して不揮発性メモリ６から読み出されたユーザデータを復号する。暗号回路１５は暗号化および復号に、例えばＣＰＵ１８によって設定されるＤＥＫを用いる。
【0044】
メモリＩ／Ｆ１６は、メモリコントローラ４と不揮発性メモリ６とを電気的に接続する。メモリＩ／Ｆ１６は、Ｔｏｇｇｌｅ ＤＤＲ、Ｏｐｅｎ ＮＡＮＤ Ｆｌａｓｈ Ｉｎｔｅｒｆａｃｅ（ＯＮＦＩ）等のインタフェース規格に対応する。
【0045】
メモリＩ／Ｆ１６は、不揮発性メモリ６を制御するように構成されたＮＡＮＤ制御回路として機能する。メモリＩ／Ｆ１６は、複数のチャネルを介して、不揮発性メモリ６内の複数のメモリチップにそれぞれ接続されていてもよい。複数のメモリチップが並列に駆動されることにより、不揮発性メモリ６全体に対するアクセスを広帯域化することができる。
【0046】
ＲＴＣ１７は、メモリシステム３に外部から電力が供給されているか否かに関わらず動作する時計である。ＲＴＣ１７は、メモリシステム３内の各部（例えばＣＰＵ１８）による要求に応じて、現在の時刻を提供する。ＲＴＣ１７は、ホスト２の電力供給部２５１からメモリシステム３に電力が供給されている間、供給された電力を用いて動作する。また、ＲＴＣ１７は、電力供給部２５１からメモリシステム３に電力が供給されていない場合、蓄電装置５から供給される電力を用いて動作する。つまり、蓄電装置５は、電力供給部２５１から供給される電力が遮断された場合に、ＲＴＣ１７に電力を供給する。
【0047】
ＣＰＵ１８は、メモリコントローラ４内の各部を制御するように構成されたプロセッサである。ＣＰＵ１８は不揮発性メモリ６からＲＡＭ１３にロードされたＦＷ１３１を実行することによって、様々な処理を行う。ＦＷ１３１は、ＣＰＵ１８に様々な処理を実行させるための命令群を含む制御プログラムである。ＣＰＵ１８は、ホスト２からの様々なコマンドを処理するためのコマンド処理等を実行することができる。ＣＰＵ１８の動作は、ＣＰＵ１８によって実行されるＦＷ１３１によって制御される。
【0048】
メモリコントローラ４内の各部の機能は、メモリコントローラ４内の専用ハードウェアによって実現されてもよいし、ＣＰＵ１８がＦＷ１３１を実行することによって実現されてもよいし、これらの組み合わせによって実現されてもよい。
【0049】
次いで、ユーザに対して付与される不揮発性メモリ６の少なくとも一部の記憶領域へのアクセス権を、有効化および無効化する方法について説明する。
【0050】
ＳＥＤでは、例えば、管理者権限で発行された第１設定コマンドに応じて、第１ユーザが不揮発性メモリ６内のユーザ領域３２の第１領域にアクセスするためのアクセス権を有効化する。また、ＳＥＤでは、管理者権限で発行された第２設定コマンドに応じて、第１ユーザが第１領域にアクセスするためのアクセス権を無効化する。第１設定コマンドおよび第２設定コマンドは、例えばＴＣＧ規格のＳｅｔコマンドである。
【0051】
管理者権限で発行された設定コマンドに応じて、アクセス権を有効化または無効化する方法では、例えばコマンド操作のミスにより、無効化すべきユーザが有効化されたままになる可能性がある。無効化すべきユーザが有効化されたままとなった場合、データの漏洩や改竄のリスクが生じる。
【0052】
例えば、プロジェクトに一時的に参加するメンバーに対して付与される、メモリシステム３へのアクセス権を、その参加期間内のみ有効化したいケースが考えられる。このケースでは、参加期間が終了したタイミングで、管理者（すなわち管理者権限を有するユーザ）が、アクセス権を無効化するための設定コマンドを発行することで、当該メンバーのアクセス権を適切に制御できる。
【0053】
しかし、発行するコマンドに誤りがあったり、設定コマンドの発行を忘れたりした場合、本来、アクセス権が無効になっているべきメンバーが、引き続き不揮発性メモリ６にアクセスできてしまう可能性がある。これにより、データの漏洩や改竄のリスクが生じる。
【0054】
そのため、本実施形態の情報処理システム１では、ユーザのアクセス権を有効化する際に、アクセス権が無効になるまでの有効期限も設定する。具体的には、例えば、アクセス権の有効化と、そのアクセス権が無効になるまでの有効期限の設定とを要求する設定コマンドを導入する。メモリシステム３は、現在の時刻が、設定した有効期限を過ぎた場合、アクセス権を自動的に無効化する。前述したように、現在の時刻は、メモリシステム３に電力が供給されない場合にも、蓄電装置５から供給される電力で動作可能なＲＴＣ１７から取得される。
【0055】
これにより、管理者は、ユーザのアクセス権を無効化すべきタイミングで、アクセス権を無効化するコマンドを発行するための操作を行う必要がない。そのため、コマンド操作のミスにより、無効化すべきアクセス権が有効である状態のままとなることを回避できる。したがって、意図しないユーザが不揮発性メモリ６にアクセスすることを防止できる。
【0056】
メモリシステム３は、アクセス権が有効であって、且つ正当な認証情報を有するユーザに対して、不揮発性メモリ６へのアクセスを許可する。これにより、データの漏洩や改竄が発生するリスクを低減して、不揮発性メモリ６へのアクセスに対するセキュリティを強化できる。
【0057】
ＣＰＵ１８は、前述のような動作を実現するために、例えば、アクセス制御部１８１、リード制御部１８２、およびライト制御部１８３として機能する。ＣＰＵ１８は、例えばＦＷ１３１を実行することにより、これら各部として機能する。
【0058】
アクセス制御部１８１は、不揮発性メモリ６の少なくとも一部の記憶領域へのアクセスを制御する。アクセス制御部１８１は、アクセスの制御に、例えばＴｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いる。アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いて、ユーザＩＤに対して設定される不揮発性メモリ６の少なくとも一部の記憶領域へのアクセス権の有効または無効と、そのアクセス権が無効になるまでの有効期限とを管理する。アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いて、例えば、第１ユーザＩＤに対して付与される不揮発性メモリ６の少なくとも一部の領域へのアクセス権（第１アクセス権）を有効化し、第１アクセス権が無効になるまでの第１期限を設定する。そして、アクセス制御部１８１は、現在の時刻が設定した有効期限を過ぎた場合、第１アクセス権を無効化する。
【0059】
アクセス制御部１８１は、ホスト２から、ユーザＩＤが関連付けられたコマンドを受け付ける。コマンドは、例えば、関連付けられたユーザＩＤ、または当該ユーザＩＤを特定可能な情報を含む。あるいは、アクセス制御部１８１は、コマンドと共に、コマンドに関連付けられたユーザＩＤを取得してもよい。
【0060】
アクセス制御部１８１は、関連付けられたユーザＩＤに対して付与されたアクセス権が有効であるか、それとも無効であるかを、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いて判定する。そして、アクセス制御部１８１は、判定結果に応じてコマンドの実行の可否を決定する。具体的には、アクセス制御部１８１は、ユーザＩＤに対して付与されたアクセス権が有効である場合、コマンドに応じた処理が実行されるように、メモリシステム３内の各部を制御する。また、アクセス制御部１８１は、ユーザＩＤに対して付与されたアクセス権が無効である場合、例えばホスト２にエラーを通知するように、メモリシステム３内の各部を制御する。
【0061】
ホスト２から受け付けたコマンドが、管理者またはユーザの認証を要求するコマンドである場合について説明する。なお、以下では、管理者またはユーザの認証を要求するコマンドを、認証要求コマンドとも称する。認証要求コマンドは、管理者を特定する情報（管理者ＩＤ）またはユーザを特定する情報（ユーザＩＤ）と、認証情報（例えばＰＩＮ）とを含んでいる。
【0062】
アクセス制御部１８１は、ユーザの認証要求コマンドを受け付けた場合、ユーザＩＤに対して付与されたアクセス権が有効であるならば、認証要求コマンドに応じた認証処理を実行する。アクセス制御部１８１は、ユーザＩＤに対して付与されたアクセス権が無効であるならば、例えばホスト２にエラーを通知する。認証処理は、認証要求コマンドに含まれる認証情報の正当性を検証するための処理である。
【0063】
次いで、ホスト２から受け付けたコマンドが、不揮発性メモリ６へのアクセスを要求するアクセスコマンドである場合について説明する。アクセスコマンドは、例えばリードコマンドおよびライトコマンドである。アクセスコマンドは、アンマップコマンド、フォーマットコマンド、ベリファイコマンド等の不揮発性メモリ６へのアクセスを要求する他のコマンドであってもよい。
【0064】
アクセス制御部１８１は、ユーザの認証が成功した後に、そのユーザのユーザＩＤに関連付けられたアクセスコマンドを受け付ける。なお、アクセス制御部１８１は、ユーザの認証が成功していない場合、そのユーザのユーザＩＤに関連付けられたアクセスコマンドに対して、エラーをホスト２に通知する。
【0065】
アクセス制御部１８１は、ユーザＩＤに関連付けられたアクセスコマンドを受け付け、ユーザＩＤに対して付与されたアクセス権が有効である場合、アクセスコマンドに応じた処理を実行する。例えば、アクセスコマンドがリードコマンドである場合、アクセス制御部１８１は、リード制御部１８２に、リードコマンドに応じた処理を実行させる。また例えば、アクセスコマンドがライトコマンドである場合、アクセス制御部１８１は、ライト制御部１８３に、ライトコマンドに応じた処理を実行させる。
【0066】
【0067】
図２は、ユーザＩＤに対して付与されるアクセス権の有効化および無効化のための動作例を示す。ユーザＩＤに対して付与されるアクセス権は、管理者の認証が成功した後に有効化される。そのため、ホスト２とメモリシステム３とは、最初に管理者の認証のための処理を行う。
【0068】
具体的には、まず、ホスト２は管理者の認証要求コマンドをメモリシステム３に送信する（図２中の（１））。管理者の認証要求コマンドは、例えば、管理者ＩＤと認証情報とを含む。
【0069】
メモリシステム３のアクセス制御部１８１は、認証要求コマンドを受け付ける。アクセス制御部１８１は、認証要求コマンドに含まれる認証情報のハッシュ値を算出する。ハッシュ値の算出には、予め規定されたハッシュ関数が用いられる。アクセス制御部１８１は、認証情報３１１から、管理者の認証情報のハッシュ値を取得する（図２中の（２））。アクセス制御部１８１は、算出したハッシュ値と、取得した管理者の認証情報のハッシュ値とが一致する場合、管理者の認証が成功したと判断する。そして、アクセス制御部１８１は、認証の成功をホスト２に通知する（図２中の（３））。
【0070】
算出したハッシュ値と、取得した管理者の認証情報のハッシュ値とが異なる場合、アクセス制御部１８１は、管理者の認証が失敗したと判断する。この場合、アクセス制御部１８１は、認証の失敗をホスト２に通知する（図２中の（３））。
【0071】
以下では、１つのユーザＩＤに対して付与される、不揮発性メモリ６の少なくとも一部の記憶領域へのアクセス権を制御する動作について説明する。アクセス権を制御する動作は、管理者の認証が成功した場合に実行される。アクセス権を制御する動作には、アクセス権を有効化する動作と、アクセス権を無効化する動作とが含まれる。アクセス権を制御する対象の記憶領域を、対象領域とも称する。
【0072】
図３は対象領域の例を示す。アクセス制御部１８１は、不揮発性メモリ６の記憶領域を論理的に分割した少なくとも１つの記憶領域へのアクセス権を制御する。より具体的には、アクセス制御部１８１は、例えば、不揮発性メモリ６内のユーザ領域３２を論理的に分割した少なくとも１つの領域へのアクセス権を制御する。ユーザ領域３２を論理的に分割した各領域は、レンジ（ｒａｎｇｅ）とも称される。１つのレンジは、１つのＬＢＡ範囲に対応する。アクセス制御部１８１は、管理者ＩＤおよびユーザＩＤに対して付与されるアクセス権を、例えばレンジ毎に制御する。
【0073】
図３に示す例では、ユーザ領域３２においてＲａｎｇｅ１が設定されている。Ｒａｎｇｅ１は、０ｘＦから０ｘＦＦまでのＬＢＡ範囲に対応する。また、管理者ＩＤ“Ａｄｍｉｎ”と、ユーザＩＤ“ＴｍｐＵｓｅｒ１”とに対して付与される、Ｒａｎｇｅ１へのアクセス権が有効化されている。
【0074】
この場合、アクセス制御部１８１は、正当な認証情報を有する管理者が、Ｒａｎｇｅ１にアクセス可能であるように制御する。アクセス制御部１８１は、ＴｍｐＵｓｅｒ１を使用し、且つ正当な認証情報を有するユーザが、Ｒａｎｇｅ１にアクセス可能であるように制御する。また、アクセス制御部１８１は、ＴｍｐＵｓｅｒ１以外のユーザＩＤを使用するユーザが、Ｒａｎｇｅ１にアクセスできないように制御する。
【0075】
アクセス制御部１８１は、アクセス権の制御に、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いる。
【0076】
図４は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３の構成例を示す。Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３は、複数のユーザＩＤにそれぞれ対応する複数のエントリを含み得る。各エントリは、例えば、ユーザＩＤフィールドと、ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄフィールドと、開始時刻フィールドと、有効期限フィールドとを含む。
【0077】
あるユーザＩＤに対応するエントリにおいて、ユーザＩＤフィールドは、そのユーザＩＤを示す。
【0078】
ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄフィールドは、対応するユーザＩＤに付与される、不揮発性メモリ６の少なくとも一部の記憶領域（例えば１つのレンジ）へのアクセス権が有効であるか、それとも無効であるかを示す。アクセス権が有効であるならば、ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄフィールドには、例えば、“ｔｒｕｅ”が設定される。アクセス権が無効であるならば、ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄフィールドには、例えば、“ｆａｌｓｅ”が設定される。
【0079】
開始時刻フィールドは、対応するユーザＩＤに付与されるアクセス権が有効化された時刻を示す。開始時刻フィールドに示される時刻は、日付であってもよいし、日時であってもよい。
【0080】
有効期限フィールドは、対応するユーザＩＤに付与されるアクセス権が無効となるまでの期限を示す。有効期限フィールドに示される期限は、例えば日付や日時で表される。また、有効期限フィールドに示される期限は、開始時刻フィールドに示される時刻を起点とする期間であってもよい。期間は、例えば、年、月、日のような任意の単位の時間の長さで表される。現在の時刻が、有効期限フィールドに示される期限を過ぎた場合、対応するユーザＩＤに付与されるアクセス権は無効化される。
【0081】
以下のＴｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３に関する説明では、ユーザＩＤフィールドに示される値を、単に、ユーザＩＤとも称する。他の各フィールドに示される値についても同様である。
【0082】
図４に示す例では、ユーザＩＤ“ＴｍｐＵｓｅｒ１”に対応するｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄは、“ｔｒｕｅ”である。ユーザＩＤ“ＴｍｐＵｓｅｒ１”に対応する開始時刻は、“２０２０／１０／１”である。ユーザＩＤ“ＴｍｐＵｓｅｒ１”に対応する有効期限が、“２０２０／１０／３１”である。したがって、ユーザＩＤ“ＴｍｐＵｓｅｒ１”を含むエントリは、ＴｍｐＵｓｅｒ１に付与されるアクセス権が、２０２０年１０月１日から２０２０年１０月３１日まで有効であることを示している。
【0083】
ユーザＩＤ“ＴｍｐＵｓｅｒ２”に対応するｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄは、“ｆａｌｓｅ”である。ユーザＩＤ“ＴｍｐＵｓｅｒ２”に対応する開始時刻および有効期限には、値が設定されていない（ｎｕｌｌ）。したがって、ユーザＩＤ“ＴｍｐＵｓｅｒ２”を含むエントリは、ＴｍｐＵｓｅｒ２に付与されるアクセス権が無効であることを示している。
【0084】
また、ユーザＩＤ“ＴｍｐＵｓｅｒ３”に対応するｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄは、“ｆａｌｓｅ”である。ユーザＩＤ“ＴｍｐＵｓｅｒ３”に対応する開始時刻および有効期限には、値が設定されていない。したがって、ユーザＩＤ“ＴｍｐＵｓｅｒ３”を含むエントリは、ＴｍｐＵｓｅｒ３に付与されるアクセス権が無効であることを示している。
【0085】
なお、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３の各エントリには、アクセス回数フィールドと、最大アクセス回数フィールドがさらに設けられてもよい。アクセス回数フィールドは、対応するユーザＩＤによる不揮発性メモリ６へのアクセス回数を示す。最大アクセス回数フィールドは、対応するユーザＩＤに対して、不揮発性メモリ６へのアクセスが許可される最大の回数を示す。この場合、アクセス制御部１８１は、例えば、現在の時刻が有効期限を過ぎたことと、アクセス回数が最大アクセス回数に達したことの少なくともいずれかを満たした場合に、対応するユーザＩＤに付与されるアクセス権を無効化する。
【0086】
あるいは、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３の各エントリには、開始時刻および有効期限のフィールドに代えて、アクセス回数および最大アクセス回数のフィールドが設けられてもよい。その場合、アクセス制御部１８１は、アクセス回数が最大アクセス回数に達した場合に、対応するユーザＩＤに付与されるアクセス権を無効化する。
【0087】
なお、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３の各エントリには、開始時刻および有効期限のフィールドや、アクセス回数および最大アクセス回数のフィールドに限らず、対応するユーザＩＤに付与されるアクセス権を無効化する条件に関する様々なフィールドが設けられ得る。
【0088】
図２に戻る。ホスト２は、管理者の認証の成功が通知された場合、管理者権限で設定コマンドをメモリシステム３に送信（発行）する（図２中の（４））。この設定コマンドは、ユーザＩＤに対して付与される不揮発性メモリ６の少なくとも一部の記憶領域へのアクセス権を有効化し、そのアクセス権が無効になるまでの有効期限を設定することを要求するコマンドである。設定コマンドはユーザＩＤ、対象領域、および有効期限を含む。対象領域は、例えば、レンジの識別情報、またはＬＢＡ範囲（例えば、開始ＬＢＡとサイズ）で示される。また、設定コマンドはユーザＩＤの認証情報をさらに含んでいてもよい。なお、設定コマンドがユーザＩＤの認証情報を含まない場合、ホスト２は、ユーザＩＤの認証情報を含む別のコマンドを、メモリシステム３に送信する。
【0089】
アクセス制御部１８１は設定コマンドを受け付ける。アクセス制御部１８１はＲＴＣ１７から現在の時刻を取得する（図２中の（５））。そして、アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を更新して、設定コマンドで指定されたユーザＩＤに対して付与される、対象領域へのアクセス権を有効化する（図２中の（６））。より具体的には、アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３において、設定コマンドで指定されたユーザＩＤを含むエントリを特定する。そして、アクセス制御部１８１は、特定したエントリにおいて、（１）ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄに“ｔｒｕｅ”を設定し、（２）開始時刻に、ＲＴＣ１７から取得した現在の時刻を設定し、（３）有効期限に、設定コマンドで指定された有効期限を設定する。これにより、ユーザＩＤに対して付与される、対象領域へのアクセス権が有効化される。
【0090】
アクセス制御部１８１は、設定コマンドに含まれるユーザ認証情報のハッシュ値を算出する。アクセス制御部１８１は、算出されたユーザ認証情報のハッシュ値を、認証情報３１１の一部として、不揮発性メモリ６に格納する（図２中の（７））。格納されたユーザ認証情報のハッシュ値は、ユーザＩＤに対応する正当なユーザ認証情報のハッシュ値として、以降のユーザの認証処理に用いられる。なお、そのユーザＩＤに対応するユーザ認証情報のハッシュ値が不揮発性メモリ６に既に格納されている場合には、アクセス制御部１８１は、格納されているハッシュ値を、算出されたハッシュ値に置き換える。この置き換えは、そのユーザＩＤに対応するユーザ認証情報の変更に相当する。
【0091】
また、アクセス制御部１８１は、設定コマンドに含まれるユーザ認証情報を利用して、対象領域へのアクセスに用いられるＤＥＫを暗号化することにより、暗号化ＤＥＫを取得する。アクセス制御部１８１は、取得された暗号化ＤＥＫを、鍵情報３１２の一部として不揮発性メモリ６に格納する（図２中の（８））。対象領域へのアクセスに用いられるＤＥＫは、対象領域に書き込まれるデータを暗号化し、対象領域から読み出された暗号化データを復号するために用いられる。
【0092】
ここで、ユーザ認証情報を利用してＤＥＫを暗号化する方法について説明する。まず、アクセス制御部１８１は、ユーザ認証情報を用いてＫＥＫを生成する。具体的には、アクセス制御部１８１は、例えば、秘密であるパラメータと秘密でないパラメータとを入力値として、鍵導出関数（ｋｅｙ ｄｅｒｉｖａｔｉｏｎ ｆｕｎｃｔｉｏｎ：ＫＤＦ）を用いて、ＫＥＫを生成する。秘密であるパラメータは、例えばユーザ認証情報である。秘密でないパラメータは、例えば乱数である。
【0093】
次いで、アクセス制御部１８１は、生成されたＫＥＫを用いて、対象領域へのアクセスに用いられるＤＥＫを暗号化する。そして、アクセス制御部１８１は、暗号化ＤＥＫを、鍵情報３１２の一部として不揮発性メモリ６に格納する。格納された暗号化ＤＥＫは、以降に、ユーザＩＤを使用するユーザが対象領域にアクセスしようとする場合に使用される。ユーザＩＤを使用するユーザが正当な認証情報を入力した場合、暗号化ＤＥＫは復号され、ＤＥＫを用いた対象領域へのアクセスが可能になる。
【0094】
図５はＤＥＫと認証情報との関係の例を示す。ここでは、管理者とＴｍｐＵｓｅｒ１とに対するＲａｎｇｅ１へのアクセス権が有効化され、管理者とＴｍｐＵｓｅｒ１を使用するユーザとがそれぞれ正当な認証情報５０１、５１１を入力した場合について例示する。また、ＤＥＫ５２は、Ｒａｎｇｅ１に対応するＤＥＫである。管理者によるアクセスとＴｍｐＵｓｅｒ１を使用するユーザによるアクセスのそれぞれについて、以下に説明する。
【0095】
（１）管理者によるアクセス
アクセス制御部１８１は、管理者の認証情報５０１を用いてＫＥＫ５０２を生成する。具体的には、アクセス制御部１８１は、例えば、管理者の認証情報５０１と乱数とを入力値としてＫＤＦを用いて、ＫＥＫ５０２を生成する。
アクセス制御部１８１は、管理者の認証情報５０１を用いてＫＥＫ５０２を生成する。具体的には、アクセス制御部１８１は、例えば、管理者の認証情報５０１と乱数とを入力値としてＫＤＦを用いて、ＫＥＫ５０２を生成する。
【0096】
次いで、アクセス制御部１８１は、生成したＫＥＫ５０２を用いて暗号化ＤＥＫ３１１－Ａを復号することにより、ＤＥＫ５２を得る。暗号化ＤＥＫ３１１－Ａは、ＫＥＫ５０２を用いてＤＥＫ５２が暗号化された暗号化ＤＥＫである。暗号化ＤＥＫ３１１－Ａは、例えば、管理者に対して付与されるＲａｎｇｅ１へのアクセス権が有効化される際に生成され、鍵情報３１２の一部として不揮発性メモリ６に格納されている。アクセス制御部１８１は、得られたＤＥＫ５２を暗号回路１５に設定する。
【0097】
これにより、リード制御部１８２は、管理者に関連付けられたリードコマンドに応じて不揮発性メモリ６から暗号化データ５６を読み出した場合に、ＤＥＫ５２が設定された暗号回路１５で、暗号化データ５６を平文のデータ５５に復号できる。また、ライト制御部１８３は、管理者に関連付けられたライトコマンドを受け付けたことに伴って受信した平文のデータ５５（すなわち書き込み対象のユーザデータ）を、ＤＥＫ５２が設定された暗号回路１５で暗号化して、暗号化データ５６を得ることができる。
【0098】
（２）ＴｍｐＵｓｅｒ１を使用するユーザによるアクセス
アクセス制御部１８１は、ＴｍｐＵｓｅｒ１の認証情報５１１を用いてＫＥＫ５１２を生成する。具体的には、アクセス制御部１８１は、例えば、認証情報５１１と乱数とを入力値としてＫＤＦを用いて、ＫＥＫ５１２を生成する。
アクセス制御部１８１は、ＴｍｐＵｓｅｒ１の認証情報５１１を用いてＫＥＫ５１２を生成する。具体的には、アクセス制御部１８１は、例えば、認証情報５１１と乱数とを入力値としてＫＤＦを用いて、ＫＥＫ５１２を生成する。
【0099】
次いで、アクセス制御部１８１は、生成したＫＥＫ５１２を用いて暗号化ＤＥＫ３１１－１を復号することにより、ＤＥＫ５２を得る。暗号化ＤＥＫ３１１－１は、ＫＥＫ５１２を用いてＤＥＫ５２が暗号化された暗号化ＤＥＫである。暗号化ＤＥＫ３１１－１は、例えば、ＴｍｐＵｓｅｒ１に対して付与されるＲａｎｇｅ１へのアクセス権が有効化される際に生成され、鍵情報３１２の一部として不揮発性メモリ６に格納されている。アクセス制御部１８１は、得られたＤＥＫ５２を暗号回路１５に設定する。
【0100】
これにより、リード制御部１８２は、ＴｍｐＵｓｅｒ１に関連付けられたリードコマンドに応じて不揮発性メモリ６から暗号化データ５６を読み出した場合に、ＤＥＫ５２が設定された暗号回路１５で、暗号化データ５６を平文のデータ５５に復号できる。また、ライト制御部１８３は、ＴｍｐＵｓｅｒ１に関連付けられたライトコマンドを受け付けたことに伴って受信した平文のデータ５５（すなわち書き込み対象のユーザデータ）を、ＤＥＫ５２が設定された暗号回路１５で暗号化して、暗号化データ５６を得ることができる。
【0101】
図２に戻る。アクセス制御部１８１は、定期的に、または電力供給が開始されたことに応じてメモリシステム３が起動した時に、現在の時刻が、有効化されたアクセス権の有効期限を過ぎているか否かを判定する。具体的には、アクセス制御部１８１は、ＲＴＣ１７から現在の時刻を取得する（図２中の（９））。アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３から、有効化されたアクセス権の有効期限を取得する（図２中の（１０））。そして、アクセス制御部１８１は、現在の時刻が、有効化されたアクセス権の有効期限を過ぎているか否かを判定する。有効期限としてアクセス権が無効になる日付または日時が設定されている場合、アクセス制御部１８１は、現在の時刻と、日付または日時で表された有効期限とを比較して、現在の時刻が有効期限を過ぎているか否かを判定する。
【0102】
なお、有効期限として開始時刻を起点とする有効期間が設定されている場合、アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３から、有効化されたアクセス権の開始時刻と有効期間とを取得する。アクセス制御部１８１は、開始時刻と、有効期間とを用いて、アクセス権が無効になる終了時刻を決定する。終了時刻は、例えば日付または日時で表される。そして、アクセス制御部１８１は、現在の時刻と終了時刻とを比較して、現在の時刻が有効期限（すなわち終了時刻）を過ぎているか否かを判定する。
【0103】
現在の時刻が、有効化されたアクセス権の有効期限を過ぎている場合、アクセス制御部１８１はＴｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を更新して、そのアクセス権を無効化する（図２中の（１１））。例えば、アクセス制御部１８１は、対応するエントリ内のｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄに“ｆａｌｓｅ”を設定し、開始時刻および有効期限をｎｕｌｌにして、そのアクセス権を無効化する。これにより、アクセス制御部１８１は、有効期限を過ぎたアクセス権に対応するユーザＩＤで対象領域へのアクセスが行われないように制御できる。また、アクセス制御部１８１は、アクセス権が無効化されたユーザＩＤに対応する暗号化ＤＥＫを、不揮発性メモリ６の鍵情報３１２から破棄する。
【0104】
以上の動作により、アクセス制御部１８１は、管理者の認証が成功した後に、設定コマンドに応じて、ユーザＩＤに対して付与される対象領域へのアクセス権を有効化し、そのアクセス権が無効になるまでの有効期限を設定する。そして、アクセス制御部１８１は、現在の時刻が有効期限を過ぎた場合、アクセス権を自動的に無効化する。これにより、アクセス制御部１８１は、意図したユーザが、意図した期間に、不揮発性メモリ６にアクセス可能であるように制御できる。換言すると、意図しないユーザが不揮発性メモリ６にアクセスすること、およびユーザが意図しない期間に不揮発性メモリ６にアクセスすることを、防止できる。したがって、データの漏洩や改竄が発生するリスクを低減して、不揮発性メモリ６へのアクセスに対するセキュリティを強化できる。
【0105】
図６は、ユーザＩＤに対応するアクセス権の有効または無効に応じたリード動作の例を示す。ユーザＩＤを用いたメモリシステム３へのリードアクセスは、そのユーザＩＤを有するユーザの認証が成功した後に行われる。そのため、ホスト２とメモリシステム３とは、最初にユーザの認証のための処理を行う。
【0106】
具体的には、まず、ホスト２はユーザの認証要求コマンドをメモリシステム３に送信する（図６中の（１））。認証要求コマンドは、例えばユーザＩＤと認証情報とを含む。
【0107】
メモリシステム３のアクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いて、ユーザＩＤに対して付与されたアクセス権が有効であるか、それとも無効であるかを判定する（図６中の（２））。具体的には、アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３において、ユーザＩＤに対応するエントリを特定する。アクセス制御部１８１は、特定したエントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”である場合、ユーザＩＤに対して付与されたアクセス権が有効であると判断する。アクセス制御部１８１は、特定したエントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｆａｌｓｅ”である場合、ユーザＩＤに対して付与されたアクセス権が無効であると判断する。
【0108】
ユーザＩＤに対して付与されたアクセス権が無効である場合、アクセス制御部１８１はホスト２にエラーを通知する（図６中の（３））。
【0109】
ユーザＩＤに対して付与されたアクセス権が有効である場合、以下の動作が行われる。
まず、アクセス制御部１８１は、認証要求コマンドに含まれる認証情報のハッシュ値を算出する。アクセス制御部１８１は、認証情報３１１から、そのユーザＩＤの認証情報のハッシュ値を取得する（図６中の（４））。アクセス制御部１８１は、算出したハッシュ値と、取得したユーザＩＤの認証情報のハッシュ値とが一致する場合、ユーザの認証が成功したと判断する。
まず、アクセス制御部１８１は、認証要求コマンドに含まれる認証情報のハッシュ値を算出する。アクセス制御部１８１は、認証情報３１１から、そのユーザＩＤの認証情報のハッシュ値を取得する（図６中の（４））。アクセス制御部１８１は、算出したハッシュ値と、取得したユーザＩＤの認証情報のハッシュ値とが一致する場合、ユーザの認証が成功したと判断する。
【0110】
次いで、アクセス制御部１８１は、鍵情報３１２から、ユーザＩＤに対応する暗号化ＤＥＫを取得する（図６中の（５））。アクセス制御部１８１は、認証要求コマンドに含まれる認証情報を利用して、暗号化ＤＥＫを復号することにより、ＤＥＫを取得する。認証情報を利用した暗号化ＤＥＫの復号方法については、図５を参照して前述した通りである。アクセス制御部１８１は、復号により得られたＤＥＫを暗号回路１５に設定する（図６中の（６））。そして、アクセス制御部１８１は、認証の成功をホスト２に通知する（図６中の（７））。
【0111】
なお、算出したハッシュ値と、取得したユーザＩＤの認証情報のハッシュ値とが異なる場合、アクセス制御部１８１は、ユーザの認証が失敗したと判断する。この場合、アクセス制御部１８１は、認証の失敗をホスト２に通知する（図６中の（７））。
【0112】
以下では、アクセス制御部１８１がユーザの認証の成功をホスト２に通知した後の動作について説明する。
【0113】
ホスト２は、ユーザの認証の成功が通知された場合、そのユーザのユーザＩＤに関連付けられたリードコマンドをメモリシステム３に送信する（図６中の（８））。このリードコマンドは、ユーザＩＤに対して付与されたアクセス権の対象領域から、データを読み出すことを要求するコマンドである。
【0114】
アクセス制御部１８１は、ホスト２によって送信されたリードコマンドを受け付ける。アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いて、リードコマンドに関連付けられたユーザＩＤに対応するアクセス権が有効であるか、それとも無効であるかを判定する（図６中の（９））。リードコマンドに関連付けられたユーザＩＤに対応するアクセス権が無効である場合、アクセス制御部１８１はホスト２にエラーを通知する（図６中の（１０））。
【0115】
リードコマンドに関連付けられたユーザＩＤに対応するアクセス権が有効である場合、アクセス制御部１８１はリードコマンドをリード制御部１８２に送出する（図６中の（１１））。
【0116】
リード制御部１８２は論理物理アドレス変換テーブル１３２を用いて、リードコマンドで指定されたＬＢＡに対応する物理アドレスを特定する（図６中の（１２））。そして、リード制御部１８２は、特定された物理アドレスからのデータ読み出しを、メモリＩ／Ｆ１６を介して不揮発性メモリ６に指示する（図６中の（１３））。不揮発性メモリ６は、特定された物理アドレスから暗号化データを読み出し、暗号回路１５に送出する（図６中の（１４））。
【0117】
暗号回路１５は、設定されたＤＥＫを用いて暗号化データを復号して、ユーザデータを得る。暗号回路１５はユーザデータをリード制御部１８２に送出する（図６中の（１５））。なお、ユーザデータはバッファ１２に記憶されてもよい。リード制御部１８２はホストＩ／Ｆ１１を介してユーザデータをホスト２に送信する（図６中の（１６））。
【0118】
以上の動作により、ユーザが、アクセス権が有効であるユーザＩＤを使用し、ユーザＩＤに対応する認証情報を有する場合に、リード制御部１８２は、ホスト２によって送信されたリードコマンドに応じた暗号化データを、不揮発性メモリ６（より詳しくは対象領域）から読み出すことができる。そして、リード制御部１８２は、読み出した暗号化データを復号したユーザデータを、ホスト２に送信できる。
【0119】
これに対して、ユーザが、アクセス権が無効であるユーザＩＤを使用している場合、またはユーザＩＤに対応する認証情報を有していない場合、メモリシステム３は、ユーザＩＤに関連付けられたリードコマンドに応じた処理を実行しない。具体的には、アクセス制御部１８１は、そのユーザＩＤに関連付けられたリードコマンドに対して、エラーをホスト２に通知する。これにより、アクセス制御部１８１は、メモリシステム３において、リードコマンドに応じた処理が実行されないように制御できる。
【0120】
図７は、ユーザＩＤに対応するアクセス権の有効または無効に応じたライト動作の例を示す。ユーザＩＤを用いたメモリシステム３へのライトアクセスは、そのユーザＩＤを有するユーザの認証が成功した後に行われる。そのため、ホスト２とメモリシステム３とは、最初にユーザの認証のための処理を行う。ホスト２からメモリシステム３に認証要求コマンドが送信され、メモリシステム３からホスト２に認証結果が通知されるまでの動作は、図６を参照して前述した通りである。
【0121】
以下では、アクセス制御部１８１がユーザの認証の成功をホスト２に通知した後の動作について説明する。
【0122】
ホスト２は、ユーザの認証の成功が通知された場合、そのユーザのユーザＩＤに関連付けられたライトコマンドをメモリシステム３に送信する（図７中の（８））。ホスト２は、ライトコマンドがメモリシステム３に受け付けられたことに伴って、書き込み対象のユーザデータをメモリシステム３に送信する（図７中の（８））。このライトコマンドは、ユーザＩＤに対して付与されたアクセス権の対象領域に、ユーザデータを書き込むことを要求するコマンドである。
【0123】
アクセス制御部１８１は、ホスト２によって送信されたライトコマンドを受け付ける。アクセス制御部１８１は、ライトコマンドを受け付けたことに伴って、ホスト２から書き込み対象のユーザデータを受信する。受信したユーザデータは、バッファ１２に記憶されてもよい。アクセス制御部１８１は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を用いて、ライトコマンドに関連付けられたユーザＩＤに対応するアクセス権が有効であるか、それとも無効であるかを判定する（図７中の（９））。ライトコマンドに関連付けられたユーザＩＤに対応するアクセス権が無効である場合、アクセス制御部１８１はホスト２にエラーを通知する（図７中の（１０））。
【0124】
ライトコマンドに関連付けられたユーザＩＤに対応するアクセス権が有効である場合、アクセス制御部１８１はライトコマンドとユーザデータとをライト制御部１８３に送出する（図７中の（１１））。ライト制御部１８３はユーザデータを暗号回路１５に送出する（図７中の（１２））。
【0125】
暗号回路１５は、設定されたＤＥＫを用いてユーザデータを暗号化する。これにより、暗号化データが得られる。暗号回路１５は暗号化データをメモリＩ／Ｆ１６を介して不揮発性メモリ６へ送出する（図７中の（１３））。
【0126】
また、ライト制御部１８３は、暗号化データの書き込みをメモリＩ／Ｆ１６を介して不揮発性メモリ６に指示する（図７中の（１４））。これにより、暗号化データが不揮発性メモリ６（より詳しくはユーザＩＤに対応するアクセス権の対象領域）に書き込まれる。そして、ライト制御部１８３は、暗号化データが書き込まれた物理アドレスとＬＢＡの対応を示すように、論理物理アドレス変換テーブル１３２を更新する（図７中の（１５））。
【0127】
以上の動作により、ユーザが、アクセス権が有効であるユーザＩＤを使用し、ユーザＩＤに対応する認証情報を有する場合に、ライト制御部１８３は、ホスト２によってライトコマンドと共に送信された書き込み対象のユーザデータを、暗号化して、不揮発性メモリ６に書き込むことができる。
【0128】
これに対して、ユーザが、アクセス権が無効であるユーザＩＤを使用している場合、またはユーザＩＤに対応する認証情報を有していない場合、メモリシステム３は、ユーザＩＤに関連付けられたライトコマンドに応じた処理を実行しない。具体的には、アクセス制御部１８１は、そのユーザＩＤに関連付けられたライトコマンドに対して、エラーをホスト２に通知する。これにより、アクセス制御部１８１は、メモリシステム３において、ライトコマンドに応じた処理が実行されないように制御できる。
【0129】
なお、図６および図７に示した動作は、リードコマンドおよびライトコマンドに限らず、不揮発性メモリ６へのアクセスが生じ得る様々なアクセスコマンドに適用され得る。つまり、アクセス制御部１８１は、あるユーザＩＤに関連付けられたアクセスコマンドをホスト２から受け付けた場合、ユーザＩＤに対応するアクセス権が有効であるならば、アクセスコマンドに応じた処理が実行されるように制御する。一方、ユーザＩＤに対応するアクセス権が無効であるならば、アクセス制御部１８１は、アクセスコマンドに応じた処理が実行されないように制御する。
【0130】
ところで、１つのユーザＩＤは、複数のユーザによって使用される場合がある。
図８は、１つのユーザＩＤ“ＴｍｐＵｓｅｒ１”が、ユーザＡおよびユーザＢの２人のユーザによって使用される場合のアクセス制御の例を示す。ここでは、ＴｍｐＵｓｅｒ１が、第１期間Ｔ１にユーザＡに割り当てられ、第２期間Ｔ２にいずれのユーザにも割り当てられず、第３期間Ｔ３にユーザＢに割り当てられる場合について、例示する。第１期間Ｔ１は、２０２０年１０月１日から２０２０年１０月３１日までの期間である。第２期間Ｔ２は、２０２０年１１月１日から２０２０年１１月３０日までの期間である。第３期間Ｔ３は、２０２０年１２月１日から２０２０年１２月３１日までの期間である。また、ＴｍｐＵｓｅｒ１に対して付与されるアクセス権の対象領域は、不揮発性メモリ６内のＲａｎｇｅ１である。
図８は、１つのユーザＩＤ“ＴｍｐＵｓｅｒ１”が、ユーザＡおよびユーザＢの２人のユーザによって使用される場合のアクセス制御の例を示す。ここでは、ＴｍｐＵｓｅｒ１が、第１期間Ｔ１にユーザＡに割り当てられ、第２期間Ｔ２にいずれのユーザにも割り当てられず、第３期間Ｔ３にユーザＢに割り当てられる場合について、例示する。第１期間Ｔ１は、２０２０年１０月１日から２０２０年１０月３１日までの期間である。第２期間Ｔ２は、２０２０年１１月１日から２０２０年１１月３０日までの期間である。第３期間Ｔ３は、２０２０年１２月１日から２０２０年１２月３１日までの期間である。また、ＴｍｐＵｓｅｒ１に対して付与されるアクセス権の対象領域は、不揮発性メモリ６内のＲａｎｇｅ１である。
【0131】
まず、管理者は、第１期間Ｔ１においてＴｍｐＵｓｅｒ１をユーザＡに割り当てる場合、ＴｍｐＵｓｅｒ１の認証情報“ａｂｃｄ”を、ユーザＡに通知する。管理者は、ユーザＡがメモリシステム３にアクセス可能な第１期間Ｔ１を、ユーザＡに通知してもよい。
【0132】
ホスト２は、管理者による操作に応じて、第１設定コマンドをメモリシステム３に送信する。第１設定コマンドは、ＴｍｐＵｓｅｒ１に対して、Ｒａｎｇｅ１へのアクセス権を、２０２０年１０月１日から２０２０年１０月３１日まで有効にすることを設定するためのコマンドである。また、第１設定コマンドは、ＴｍｐＵｓｅｒ１の認証情報“ａｂｃｄ”を含んでいる。
【0133】
メモリシステム３のアクセス制御部１８１は、第１設定コマンドに応じて、ＴｍｐＵｓｅｒ１の認証情報を“ａｂｃｄ”に変更する。より詳しくは、アクセス制御部１８１は、新たな認証情報“ａｂｃｄ”のハッシュ値を算出する。アクセス制御部１８１は、認証情報３１１として格納されているＴｍｐＵｓｅｒ１の認証情報のハッシュ値を、算出した“ａｂｃｄ”のハッシュ値に置き換える。
【0134】
そして、アクセス制御部１８１は、ＴｍｐＵｓｅｒ１のＲａｎｇｅ１へのアクセス権を有効化する。
【0135】
これにより、第１期間Ｔ１において、ユーザＡは、管理者から通知されたＴｍｐＵｓｅｒ１の認証情報“ａｂｃｄ”を用いて、Ｒａｎｇｅ１にアクセスできる。なお、ユーザＢには、管理者からＴｍｐＵｓｅｒ１の認証情報“ａｂｃｄ”が通知されていない。そのため、第１期間Ｔ１において、ユーザＢはＲａｎｇｅ１にアクセスできない。
【0136】
アクセス制御部１８１は、２０２０年１０月３１日を過ぎた場合（例えば２０２０年１１月１日に）、ＴｍｐＵｓｅｒ１のＲａｎｇｅ１へのアクセス権の無効化と、ＴｍｐＵｓｅｒ１の認証情報“ａｂｃｄ”のデフォルトの認証情報“１２３４”への変更とを、自動的に実施する。
【0137】
これにより、第２期間Ｔ２において、ＴｍｐＵｓｅｒ１に付与されるアクセス権が無効になっているので、ユーザＡおよびユーザＢはＲａｎｇｅ１にアクセスできない。
【0138】
次いで、管理者は、第３期間Ｔ３においてＴｍｐＵｓｅｒ１をユーザＢに割り当てる場合、ＴｍｐＵｓｅｒ１の新たな認証情報“ｅｆｇｈ”を、ユーザＢに通知する。管理者は、ユーザＢがメモリシステム３にアクセス可能な第３期間Ｔ３を、ユーザＢに通知してもよい。
【0139】
ホスト２は、管理者による操作に応じて、第２設定コマンドをメモリシステム３に送信する。第２設定コマンドは、ＴｍｐＵｓｅｒ１に対して、Ｒａｎｇｅ１へのアクセス権を、２０２０年１２月１日から２０２０年１２月３１日まで付与することを設定するためのコマンドである。また、第２設定コマンドは、ＴｍｐＵｓｅｒ１の認証情報“ｅｆｇｈ”を含んでいる。
【0140】
アクセス制御部１８１は、第２設定コマンドに応じて、ＴｍｐＵｓｅｒ１の認証情報を“ｅｆｇｈ”に変更する。そして、アクセス制御部１８１は、ＴｍｐＵｓｅｒ１のＲａｎｇｅ１へのアクセス権を有効化する。
【0141】
これにより、第３期間Ｔ３において、ユーザＢは、管理者から通知されたＴｍｐＵｓｅｒ１の認証情報“ｅｆｇｈ”を用いて、Ｒａｎｇｅ１にアクセスできる。また、ＴｍｐＵｓｅｒ１の認証情報が“ａｂｃｄ”から“ｅｆｇｈ”に変更されたので、第３期間Ｔ３において、ユーザＡはＲａｎｇｅ１にアクセスできない。つまり、ユーザＡは、第１期間Ｔ１に使用していたＴｍｐＵｓｅｒ１のアクセス権が有効である場合にも、第３期間Ｔ３におけるＴｍｐＵｓｅｒ１の認証情報を知らないので、Ｒａｎｇｅ１にアクセスできない。これにより、意図しない第３期間Ｔ３にユーザＡがＲａｎｇｅ１にアクセスすることを、防止できる。
【0142】
さらに、アクセス制御部１８１は、２０２０年１２月３１日を過ぎた場合（例えば２０２１年１月１日に）、ＴｍｐＵｓｅｒ１のＲａｎｇｅ１へのアクセス権の無効化と、ＴｍｐＵｓｅｒ１の認証情報“ｅｆｇｈ”のデフォルトの認証情報“１２３４”への変更とを、自動的に実施する。
【0143】
このように、１つのユーザＩＤ“ＴｍｐＵｓｅｒ１”を複数のユーザが使用する場合にも、ＴｍｐＵｓｅｒ１に付与されるアクセス権の有効化および無効化と、ＴｍｐＵｓｅｒ１の認証情報の変更とによって、管理者が意図した期間に、意図したユーザのみが不揮発性メモリ６のＲａｎｇｅ１にアクセスできるように制御できる。したがって、データの漏洩や改竄が発生するリスクを低減して、不揮発性メモリ６へのアクセスに対するセキュリティを強化できる。
【0144】
比較例に係るメモリシステムでは、ユーザＩＤの有効期限を過ぎた場合、例えばＤＥＫを破棄することにより、不揮発性メモリに書き込まれたユーザデータを破棄する。つまり、ＤＥＫを破棄することにより、ＤＥＫを用いて暗号化され、不揮発性メモリに書き込まれた暗号化データを復号できなくなるので、実質的に暗号化データが破棄される。
【0145】
これに対して、本実施形態のメモリシステム３では、ユーザＩＤの有効期限が過ぎた場合に、ＤＥＫは破棄せずに、そのユーザＩＤに対応する暗号化ＤＥＫを破棄する。暗号化ＤＥＫが破棄された場合、暗号化ＤＥＫからＤＥＫが復号されなくなる。
【0146】
本実施形態のメモリシステム３では、ユーザＩＤの有効期限が過ぎた場合でも、ＤＥＫは破棄されない。そのため、新たにアクセス権を設定されたユーザが、以前に使用されていたユーザＩＤを用いて、以前に不揮発性メモリ６に格納されたユーザデータを利用できる。
【0147】
例えば、図８に示したケースについて説明する。
第１期間Ｔ１において、ＴｍｐＵｓｅｒ１のＲａｎｇｅ１へのアクセス権が、ユーザＡに割り当てられる。このとき、アクセス制御部１８１は、ＴｍｐＵｓｅｒ１の認証情報“ａｂｃｄ”を用いて（より詳しくは、認証情報“ａｂｃｄ”を用いて生成されたＫＥＫを用いて）Ｒａｎｇｅ１のＤＥＫを暗号化することにより暗号化ＤＥＫを生成する。アクセス制御部１８１は、生成した暗号化ＤＥＫを鍵情報３１２の一部として不揮発性メモリ６に格納する。ＴｍｐＵｓｅｒ１を使用するユーザＡによるライトアクセスに応じたユーザデータは、Ｒａｎｇｅ１のＤＥＫで暗号化される。このＤＥＫは、暗号化ＤＥＫを認証情報“ａｂｃｄ”を用いて（より詳しくは、認証情報“ａｂｃｄ”を用いて生成されたＫＥＫを用いて）復号したものである。暗号化データは、不揮発性メモリ６のＲａｎｇｅ１に書き込まれる。第１期間Ｔ１においては、暗号化ＤＥＫは、鍵情報３１２の一部として不揮発性メモリ６に格納されている。
第１期間Ｔ１において、ＴｍｐＵｓｅｒ１のＲａｎｇｅ１へのアクセス権が、ユーザＡに割り当てられる。このとき、アクセス制御部１８１は、ＴｍｐＵｓｅｒ１の認証情報“ａｂｃｄ”を用いて（より詳しくは、認証情報“ａｂｃｄ”を用いて生成されたＫＥＫを用いて）Ｒａｎｇｅ１のＤＥＫを暗号化することにより暗号化ＤＥＫを生成する。アクセス制御部１８１は、生成した暗号化ＤＥＫを鍵情報３１２の一部として不揮発性メモリ６に格納する。ＴｍｐＵｓｅｒ１を使用するユーザＡによるライトアクセスに応じたユーザデータは、Ｒａｎｇｅ１のＤＥＫで暗号化される。このＤＥＫは、暗号化ＤＥＫを認証情報“ａｂｃｄ”を用いて（より詳しくは、認証情報“ａｂｃｄ”を用いて生成されたＫＥＫを用いて）復号したものである。暗号化データは、不揮発性メモリ６のＲａｎｇｅ１に書き込まれる。第１期間Ｔ１においては、暗号化ＤＥＫは、鍵情報３１２の一部として不揮発性メモリ６に格納されている。
【0148】
ＴｍｐＵｓｅｒ１の有効期限が過ぎた場合、ＴｍｐＵｓｅｒ１に対応する暗号化ＤＥＫが破棄される。そのため、第２期間Ｔ２において、ＴｍｐＵｓｅｒ１に対応する暗号化ＤＥＫからＤＥＫを得ることはできなくなる。したがって、第２期間Ｔ２において、ＴｍｐＵｓｅｒ１を使用するユーザは、Ｒａｎｇｅ１から読み出した暗号化データを復号することはできない。
【0149】
次いで、第３期間Ｔ３において、ＴｍｐＵｓｅｒ１のＲａｎｇｅ１へのアクセス権が、ユーザＢに割り当てられる。このとき、アクセス制御部１８１は、ＴｍｐＵｓｅｒ１の認証情報“ｅｆｇｈ”を用いて（より詳しくは、認証情報“ｅｆｇｈ”を用いて生成されたＫＥＫを用いて）Ｒａｎｇｅ１のＤＥＫを暗号化することにより暗号化ＤＥＫを生成する。アクセス制御部１８１は、生成した暗号化ＤＥＫを鍵情報３１２の一部として不揮発性メモリ６に格納する。
【0150】
ＴｍｐＵｓｅｒ１を使用するユーザＢによるリードコマンドに応じて、Ｒａｎｇｅ１から暗号化データが読み出される。アクセス制御部１８１は、認証情報“ｅｆｇｈ”を用いて（より詳しくは、認証情報“ｅｆｇｈ”を用いて生成されたＫＥＫを用いて）暗号化ＤＥＫを復号し、Ｒａｎｇｅ１のＤＥＫを取得する。Ｒａｎｇｅ１から読み出された暗号化データは、Ｒａｎｇｅ１のＤＥＫで復号される。
【0151】
復号により得られたユーザデータは、ＴｍｐＵｓｅｒ１のアクセス権が以前に割り当てられていたユーザＡによるライトアクセスによりＲａｎｇｅ１のＤＥＫで暗号化され、不揮発性メモリ６に書き込まれたユーザデータであり得る。したがって、ＴｍｐＵｓｅｒ１のアクセス権を新たに割り当てられたユーザＢが、以前に別のユーザＡに割り当てられていたＴｍｐＵｓｅｒ１を用いて、そのユーザＡによって以前にＲａｎｇｅ１に書き込まれたユーザデータを利用し得る。
【0152】
このように、本実施形態のメモリシステム３は、ＴｍｐＵｓｅｒ１の有効期限が過ぎた場合に、ＤＥＫは破棄せずに、ＴｍｐＵｓｅｒ１に対応する暗号化ＤＥＫを破棄する。これにより、ＴｍｐＵｓｅｒ１のアクセス権を新たに設定されたユーザは、以前に別のユーザがＴｍｐＵｓｅｒ１を用いて不揮発性メモリ６に格納したユーザデータを利用できる。
【0153】
図９は、ＣＰＵ１８によって実行される権限設定処理の手順の例を示すフローチャートである。権限設定処理は、ユーザＩＤに対して付与される、不揮発性メモリ６の少なくとも一部の記憶領域へのアクセス権を、有効化するための処理である。
【0154】
まず、ＣＰＵ１８は、ホスト２から、管理者の認証要求コマンドを受け付ける（ステップＳ１０１）。ＣＰＵ１８は、認証要求コマンドに含まれる認証情報のハッシュ値を算出する（ステップＳ１０２）。
【0155】
ＣＰＵ１８は、算出されたハッシュ値と、管理者の認証情報のハッシュ値とが等しいかどうかを判定する（ステップＳ１０３）。管理者の認証情報、または管理者の認証情報のハッシュ値は、例えば、不揮発性メモリ６に認証情報３１１として格納されている。
【0156】
算出されたハッシュ値と、管理者の認証情報のハッシュ値とが異なる場合（ステップＳ１０３でＮＯ）、ＣＰＵ１８は管理者の認証の失敗をホスト２に通知し（ステップＳ１０４）、ＣＰＵ１８の処理はステップＳ１０１に戻る。
【0157】
算出されたハッシュ値と、管理者の認証情報のハッシュ値とが等しい場合（ステップＳ１０３でＹＥＳ）、ＣＰＵ１８は管理者の認証の成功をホスト２に通知する（ステップＳ１０５）。ＣＰＵ１８は変数ｎｕｍ＿ｅｒｒに０を設定する（ステップＳ１０６）。ｎｕｍ＿ｅｒｒは、管理者の認証が成功した後に、設定コマンドに関するエラーが発生した回数を示す。そして、ＣＰＵ１８はホスト２から設定コマンドを受け付ける（ステップＳ１０７）。この設定コマンドは、ユーザＩＤ“ＴｍｐＵｓｅｒＸ”に対して、不揮発性メモリ６内のＲａｎｇｅＸへの特定の有効期限まで有効であるアクセス権を付与するためのコマンドである。
【0158】
ＣＰＵ１８はＲＴＣ１７から現在の時刻を取得する（ステップＳ１０８）。ＣＰＵ１８は、受け付けた設定コマンドに正しい有効期限が設定されているか否かを判定する（ステップＳ１０９）。ＣＰＵ１８は有効期限として、例えば（１）存在しない日付もしくは日時、（２）過去の日付もしくは日時、および（３）閾値を上回る期間のいずれかが設定されている場合に、設定コマンドに正しい有効期限が設定されていないと判断する。
【0159】
設定コマンドに正しい有効期限が設定されていない場合（ステップＳ１０９でＮＯ）、ＣＰＵ１８はｎｕｍ＿ｅｒｒに１を加算する（ステップＳ１１０）。そして、ＣＰＵ１８は、ｎｕｍ＿ｅｒｒがｎ以上であるか否かを判定する（ステップＳ１１１）。ｎは１以上の整数である。ｎｕｍ＿ｅｒｒがｎ未満である場合（ステップＳ１１１でＮＯ）、ＣＰＵ１８はホスト２にエラーを通知し（ステップＳ１１２）、ＣＰＵ１８の処理はステップＳ１０７に戻る。ｎｕｍ＿ｅｒｒがｎ以上である場合（ステップＳ１１１でＹＥＳ）、ＣＰＵ１８はホスト２にエラーおよび認証の無効化を通知し（ステップＳ１１３）、ＣＰＵ１８の処理はステップＳ１０１に戻る。
【0160】
設定コマンドに正しい有効期限が設定されている場合（ステップＳ１０９でＹＥＳ）、ＣＰＵ１８は、ＲＴＣ１７から取得した現在の時刻と、設定コマンドとに基づいて、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を更新する（ステップＳ１１４）。具体的には、ＣＰＵ１８は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３から、設定コマンドに示されるユーザＩＤを含むエントリを特定する。そして、ＣＰＵ１８は、特定したエントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄに、“ｔｒｕｅ”を設定する。ＣＰＵ１８は、特定したエントリの開始時刻に現在の時刻を設定する。また、ＣＰＵ１８は、特定したエントリの有効期限に、設定コマンドに示される有効期限を設定する。Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を更新することにより、ＴｍｐＵｓｅｒＸに対して付与されるＲａｎｇｅＸへのアクセス権が期限付きで有効化される。
【0161】
次いで、ＣＰＵ１８は、設定コマンドに含まれるＴｍｐＵｓｅｒＸの認証情報を用いて認証情報のハッシュ値を算出し、不揮発性メモリ６に格納する（ステップＳ１１５）。ＣＰＵ１８は、設定コマンドに含まれるＴｍｐＵｓｅｒＸの認証情報を用いてＫＥＫを算出する（ステップＳ１１６）。そして、ＣＰＵ１８はＫＥＫを用いてＲａｎｇｅＸのＤＥＫを暗号化して、不揮発性メモリ６に格納し（ステップＳ１１７）、権限設定処理を終了する。
【0162】
以上の権限設定処理により、ＣＰＵ１８は、管理者の認証が成功した後に、設定コマンドに応じて、ＴｍｐＵｓｅｒＸに対して付与されるＲａｎｇｅＸへのアクセス権を期限付きで有効化できる。
【0163】
図１０は、ＣＰＵ１８によって実行される権限無効化処理の手順の例を示すフローチャートである。権限無効化処理は、有効期限を過ぎたアクセス権を無効化するための処理である。ＣＰＵ１８は権限無効化処理を、例えばメモリシステム３への電力供給が開始されたことに応じて実行する。また、ＣＰＵ１８は権限無効化処理を、定期的に（例えば１日に１回、１ヶ月に１回）実行してもよい。
【0164】
ＣＰＵ１８はＲＴＣ１７から現在の時刻を取得する（ステップＳ２０１）。そして、ＣＰＵ１８は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３の先頭のエントリを、対象エントリに設定する（ステップＳ２０２）。
【0165】
次いで、ＣＰＵ１８は、対象エントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”であるか否かを判定する（ステップＳ２０３）。対象エントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｆａｌｓｅ”である場合（ステップＳ２０３でＮＯ）、対象エントリのユーザＩＤに対して付与されているアクセス権は無効であるので、ＣＰＵ１８の処理はステップＳ２０７に進む。
【0166】
対象エントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”である場合（ステップＳ２０３でＹＥＳ）、ＣＰＵ１８は、現在の時刻が、対象エントリに示される有効期限を過ぎているか否かを判定する（ステップＳ２０４）。現在の時刻が、対象エントリに示される有効期限を過ぎていない場合（ステップＳ２０４でＮＯ）、ＣＰＵ１８の処理はステップＳ２０７に進む。この場合、ＣＰＵ１８は対象エントリに対する変更を何も行わない。したがって、対象エントリのユーザＩＤに対して付与されたアクセス権は、有効である状態が維持される。
【0167】
これに対して、現在の時刻が、対象エントリに示される有効期限を過ぎている場合（ステップＳ２０４でＹＥＳ）、ＣＰＵ１８は、対象エントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄに“ｆａｌｓｅ”を設定し、開始時刻および有効期限をｎｕｌｌにするように、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３を更新する（ステップＳ２０５）。また、ＣＰＵ１８は、対象エントリのユーザＩＤに対応する暗号化ＤＥＫを不揮発性メモリ６から破棄する（ステップＳ２０６）。ＣＰＵ１８は、対象エントリのユーザＩＤに対応する認証情報３１１を、管理者によって予め設定された認証情報（すなわちデフォルトの認証情報）に変更し（ステップＳ２０７）、ＣＰＵ１８の処理はステップＳ２０８に進む。これにより、有効期限を過ぎたユーザＩＤのアクセス権を無効化できると共に、そのユーザＩＤの認証情報を変更できる。
【0168】
次いで、ＣＰＵ１８は、対象エントリがＴｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３の最後のエントリであるか否かを判定する（ステップＳ２０８）。対象エントリが最後のエントリではない場合（ステップＳ２０８でＮＯ）、ＣＰＵ１８は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３内の、対象エントリの次のエントリを、新たな対象エントリに設定し（ステップＳ２０９）、ＣＰＵ１８の処理はステップＳ２０３に進む。つまり、新たな対象エントリのユーザＩＤに関して、アクセス権の無効化の要否を判断し、必要であればアクセス権を無効化するための処理が行われる。
【0169】
対象エントリが最後のエントリである場合（ステップＳ２０８でＹＥＳ）、ＣＰＵ１８は権限無効化処理を終了する。
【0170】
以上の権限無効化処理により、ＣＰＵ１８は、現在の時刻が有効期限を過ぎている場合、ユーザＩＤに対して付与されたアクセス権を無効化できる。この場合、管理者は、ユーザＩＤに対して付与されたアクセス権を無効化すべきタイミングに、その無効化のための設定コマンドを発行する操作を行う必要がない。そのため、コマンド操作のミスにより、無効化すべきユーザＩＤのアクセス権が有効な状態であるままとなることを回避できる。したがって、データの漏洩や改竄が発生するリスクを低減して、不揮発性メモリ６へのアクセスに対するセキュリティを強化できる。
【0171】
図１１は、ＣＰＵ１８によって実行されるユーザ認証処理の手順の例を示すフローチャートである。ユーザ認証処理は、ユーザＩＤを用いてユーザの認証を行うための処理である。ＣＰＵ１８は、例えば、メモリシステム３への電力供給が開始され、図９のフローチャートを参照して前述した権限設定処理を実行した後に、ユーザ認証処理を実行するように構成される。つまり、権限設定処理の実行が完了する前に、ユーザ認証処理が実行されることは無い。
【0172】
まず、ＣＰＵ１８は、ホスト２から、ユーザＩＤ“ＴｍｐＵｓｅｒＸ”の認証要求コマンドを受け付ける（ステップＳ３０１）。ＣＰＵ１８はＴｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３において、認証要求コマンドで指定されたユーザＩＤ“ＴｍｐＵｓｅｒＸ”に対応するエントリを特定する（ステップＳ３０２）。
【0173】
ＣＰＵ１８は、特定したエントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”であるか否かを判定する（ステップＳ３０３）。ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｆａｌｓｅ”である場合（ステップＳ３０３でＮＯ）、ＣＰＵ１８は、ＴｍｐＵｓｅｒＸに付与されたアクセス権が無効であるので、ホスト２にエラーを通知し（ステップＳ３０４）、ユーザ認証処理を終了する。
【0174】
ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”である場合（ステップＳ３０３でＹＥＳ）、ＣＰＵ１８は、認証要求コマンドに含まれる認証情報のハッシュ値を算出する（ステップＳ３０５）。そして、ＣＰＵ１８は、算出されたハッシュ値と、ＴｍｐＵｓｅｒＸの認証情報のハッシュ値とが等しいかどうかを判定する（ステップＳ３０６）。ＴｍｐＵｓｅｒＸの認証情報、またはＴｍｐＵｓｅｒＸの認証情報のハッシュ値は、例えば不揮発性メモリ６に認証情報３１１として格納されている。
【0175】
算出されたハッシュ値と、ＴｍｐＵｓｅｒＸの認証情報のハッシュ値とが異なる場合（ステップＳ３０６でＮＯ）、ＣＰＵ１８はＴｍｐＵｓｅｒＸの認証の失敗をホスト２に通知し（ステップＳ３０７）、ユーザ認証処理を終了する。
【0176】
算出されたハッシュ値と、ＴｍｐＵｓｅｒＸの認証情報のハッシュ値とが等しい場合（ステップＳ３０６でＹＥＳ）、ＣＰＵ１８は認証情報を用いてＫＥＫを生成する（ステップＳ３０８）。ＣＰＵ１８は、生成されたＫＥＫを用いて暗号化ＤＥＫを復号する（ステップＳ３０９）。この暗号化ＤＥＫは、不揮発性メモリ６内のＲａｎｇｅＸにアクセスするためのＤＥＫを、ＫＥＫを用いて暗号化したデータである。また、ＲａｎｇｅＸは、ＴｍｐＵｓｅｒＸに付与されたアクセス権の対象領域である。
【0177】
ＣＰＵ１８は、復号により得られたＤＥＫを暗号回路１５に設定する（ステップＳ３１０）。そして、ＣＰＵ１８は、ＴｍｐＵｓｅｒＸの認証の成功をホスト２に通知し（ステップＳ３１１）、ユーザ認証処理を終了する。
【0178】
以上のユーザ認証処理により、ユーザＩＤ“ＴｍｐＵｓｅｒＸ”の認証が要求された場合に、ＴｍｐＵｓｅｒＸに付与されたアクセス権が無効であるならば（すなわちｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｆａｌｓｅ”であるならば）、ＣＰＵ１８は、認証要求に含まれる認証情報を用いたＴｍｐＵｓｅｒＸの認証処理を実行することなく、ホスト２にエラーを通知する。したがって、例えば、ＴｍｐＵｓｅｒＸを使用するユーザが、有効期限を過ぎた後に不揮発性メモリ６へのアクセスを要求した場合、ＣＰＵ１８はそのアクセスを拒絶できる。
【0179】
また、ユーザＩＤ“ＴｍｐＵｓｅｒＸ”の認証が要求された場合に、ＴｍｐＵｓｅｒＸに付与されたアクセス権が有効であるならば（すなわちｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”であるならば）、ＣＰＵ１８は、認証要求に含まれる認証情報を用いたＴｍｐＵｓｅｒＸの認証処理を実行する。認証が成功した場合、ＣＰＵ１８は、ＴｍｐＵｓｅｒＸに付与されたアクセス権の対象となるＲａｎｇｅＸのＤＥＫを、暗号回路１５に設定できる。ＣＰＵ１８は、ＤＥＫが設定された暗号回路１５を用いることで、ＴｍｐＵｓｅｒＸに関連付けられたアクセスコマンドに応じて、ＲａｎｇｅＸにアクセスできる。つまり、ＣＰＵ１８は暗号回路１５を用いて、ＲａｎｇｅＸに書き込まれるデータを暗号化し、ＲａｎｇｅＸから読み出されたデータを復号できる。
【0180】
一方、認証が失敗した場合、ＣＰＵ１８は認証の失敗をホスト２に通知する。これにより、ＴｍｐＵｓｅｒＸを使用するユーザが変更され、ＴｍｐＵｓｅｒＸの認証情報が変更された後に、ＣＰＵ１８は、以前のユーザによるＲａｎｇｅＸへのアクセスを拒絶できる。
【0181】
【0182】
ＣＰＵ１８はホスト２からリードコマンドを受け付ける（ステップＳ４０１）。ここでは、リードコマンドを発行したユーザが使用するユーザＩＤが“ＴｍｐＵｓｅｒＸ”である場合を例示する。すなわち、リードコマンドはＴｍｐＵｓｅｒＸに関連付けられている。また、ＴｍｐＵｓｅｒＸに付与されるアクセス権の対象領域は、ＲａｎｇｅＸである。
【0183】
ＣＰＵ１８は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３において、ＴｍｐＵｓｅｒＸに対応するエントリを特定する（ステップＳ４０２）。そして、ＣＰＵ１８は、特定したエントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”であるか否かを判定する（ステップＳ４０３）。
【0184】
ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｆａｌｓｅ”である場合（ステップＳ４０３でＮＯ）、ＣＰＵ１８はホスト２にエラーを通知し（ステップＳ４０４）、リードコマンド処理を終了する。つまり、ＣＰＵ１８は、リードコマンドに応じて不揮発性メモリ６からデータを読み出すための処理を実行することなく、リードコマンド処理を終了する。
【0185】
ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”である場合（ステップＳ４０３でＹＥＳ）、ＣＰＵ１８は不揮発性メモリ６から、リードコマンドに応じたデータを読み出す（ステップＳ４０５）。より具体的には、ＣＰＵ１８は論理物理アドレス変換テーブル１３２を用いて、リードコマンドで指定されたＬＢＡに対応する物理アドレスを特定する。そして、ＣＰＵ１８は、不揮発性メモリ６内の特定した物理アドレスからデータを読み出す。
【0186】
ＣＰＵ１８は、読み出されたデータを、ＤＥＫが設定された暗号回路１５で復号する（ステップＳ４０６）。このＤＥＫは、図１１を参照して説明したユーザ認証処理のステップＳ３１０において設定されたＤＥＫである。つまり、ＤＥＫは、ＴｍｐＵｓｅｒＸに付与されたアクセス権の対象となるＲａｎｇｅＸのＤＥＫである。ＣＰＵ１８は、復号されたデータをホスト２に送信し（ステップＳ４０７）、リードコマンド処理を終了する。
【0187】
以上のリードコマンド処理により、ＴｍｐＵｓｅｒＸに関連付けられたリードコマンドを受け付けた場合に、ＴｍｐＵｓｅｒＸに付与されたアクセス権が無効であるならば（すなわちｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｆａｌｓｅ”であるならば）、ＣＰＵ１８は、リードコマンドに応じたリード処理を実行することなく、ホスト２にエラーを通知できる。したがって、例えば、ＴｍｐＵｓｅｒＸを使用するユーザが、有効期限を過ぎた後に不揮発性メモリ６に対するリードアクセスを要求した場合、ＣＰＵ１８はそのリードアクセスを拒絶できる。
【0188】
また、ＴｍｐＵｓｅｒＸに関連付けられたリードコマンドを受け付けた場合に、ＴｍｐＵｓｅｒＸに付与されたアクセス権が有効であるならば（すなわちｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”であるならば）、ＣＰＵ１８は、リードコマンドに応じたデータを不揮発性メモリ６から読み出し、読み出されたデータを復号できる。
【0189】
【0190】
ＣＰＵ１８はホスト２からライトコマンドを受け付ける（ステップＳ５０１）。ここでは、ライトコマンドを発行したユーザを示すユーザＩＤが“ＴｍｐＵｓｅｒＸ”である場合を例示する。すなわち、ライトコマンドはＴｍｐＵｓｅｒＸに関連付けられている。また、ＴｍｐＵｓｅｒＸに付与されるアクセス権の対象領域は、ＲａｎｇｅＸである。ＣＰＵ１８は、受け付けたライトコマンドと共に送信される書き込み対象のユーザデータを、ホスト２から受信する（ステップＳ５０２）。
【0191】
ＣＰＵ１８は、Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル１３３において、ＴｍｐＵｓｅｒＸに対応するエントリを特定する（ステップＳ５０３）。そして、ＣＰＵ１８は、特定したエントリのｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”であるか否かを判定する（ステップＳ５０４）。
【0192】
ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｆａｌｓｅ”である場合（ステップＳ５０４でＮＯ）、ＣＰＵ１８はホスト２にエラーを通知し（ステップＳ５０５）、ライトコマンド処理を終了する。つまり、ＣＰＵ１８は、ライトコマンドに応じて不揮発性メモリ６にデータを書き込むための処理を実行することなく、ライトコマンド処理を終了する。
【0193】
ｔｅｍｐｏｒａｒｙ ａｕｔｈｏｒｉｔｙ ｅｎａｂｌｅｄが“ｔｒｕｅ”である場合（ステップＳ５０４でＹＥＳ）、ＣＰＵ１８はＤＥＫが設定された暗号回路１５で、書き込み対象のユーザデータを暗号化する（ステップＳ５０６）。ＤＥＫは、例えば、図１１を参照して説明したユーザ認証処理のステップＳ３１０において設定されたＤＥＫである。つまり、ＤＥＫは、ＴｍｐＵｓｅｒＸに付与されたアクセス権の対象となるＲａｎｇｅＸのＤＥＫである。ＣＰＵ１８は、暗号化されたユーザデータを不揮発性メモリ６に書き込む（ステップＳ５０７）。そして、ＣＰＵ１８は、暗号化されたユーザデータが書き込まれた物理アドレスと論理アドレスの対応を示すように、論理物理アドレス変換テーブル１３２を更新し（ステップＳ５０８）、ライトコマンド処理を終了する。
【0194】
以上のライトコマンド処理により、ＴｍｐＵｓｅｒＸに関連付けられたライトコマンドを受け付けた場合に、ＴｍｐＵｓｅｒＸに付与されたアクセス権が無効であるならば、ＣＰＵ１８は、ライトコマンドに応じたライト処理を実行することなく、ホスト２にエラーを通知できる。したがって、例えば、ＴｍｐＵｓｅｒＸを使用するユーザが、有効期限を過ぎた後に不揮発性メモリ６に対するライトアクセスを要求した場合、ＣＰＵ１８はそのライトアクセスを拒絶できる。
【0195】
また、ＴｍｐＵｓｅｒＸに関連付けられたライトコマンドを受け付けた場合に、ＴｍｐＵｓｅｒＸに付与されたアクセス権が有効であるならば、ＣＰＵ１８は、ライトコマンドに応じた書き込み対象のユーザデータを暗号化して、不揮発性メモリ６に書き込むことができる。
【0196】
（第２実施形態）
第１実施形態では、メモリシステム３にＲＴＣ１７と蓄電装置５とが設けられている。これに対して、第２実施形態では、ホスト２にＲＴＣと蓄電装置とが設けられる。
第１実施形態では、メモリシステム３にＲＴＣ１７と蓄電装置５とが設けられている。これに対して、第２実施形態では、ホスト２にＲＴＣと蓄電装置とが設けられる。
【0197】
第２実施形態におけるメモリシステム３およびホスト２の構成は第１実施形態のメモリシステム３およびホスト２と同様であり、第２実施形態と第１実施形態とでは、ＲＴＣおよび蓄電装置がホスト２に設けられる構成のみが異なる。以下、第１実施形態と異なる点を主に説明する。
【0198】
図１４は、第２実施形態に係るメモリシステム３を含む情報処理システム１の構成例を示す。第２実施形態のメモリシステム３は、第１実施形態のメモリシステム３と比較して、ＲＴＣ１７と蓄電装置５を備えていない。第２実施形態のホスト２は、第１実施形態のホスト２の構成に加えて、ＲＴＣ２６と蓄電装置２７を備えている。
【0199】
ＲＴＣ２６は、ホスト２に外部から電力が供給されているか否かに関わらず動作する時計である。ＲＴＣ２６は、ホスト２内の各部（例えば、ＣＰＵ２１、コントローラ２５）による要求に応じて、現在の時刻を提供する。ＲＴＣ２６は、外部電源からホスト２内の各部に電力が供給されている場合、供給された電力を用いて動作する。また、ＲＴＣ２６は、外部電源からホスト２内の各部に電力が供給されていない場合、蓄電装置２７から供給される電力を用いて動作する。
【0200】
蓄電装置２７は、外部電源からホスト２に供給される電力が遮断された場合の電源として機能する。具体的には、蓄電装置２７は、外部電源から供給される電力が遮断された場合に、ＲＴＣ２６に電力を供給可能である。蓄電装置２７は、ボタン型電池または電気二重層コンデンサとして実現される。
【0201】
メモリコントローラ４のＣＰＵ１８（より詳しくはアクセス制御部１８１）は、現在の時刻を取得する必要がある場合、現在の時刻の送信を要求するコマンド（以下、時刻要求コマンドと称する）を、ホストＩ／Ｆ１１を介してホスト２に送信する。ホスト２のコントローラ２５（あるいはＣＰＵ２１）は、メモリシステム３から時刻要求コマンドを受信したことに応じて、ＲＴＣ２６から現在の時刻を取得する。コントローラ２５は、取得した現在の時刻をメモリシステム３に送信する。これにより、メモリシステム３のＣＰＵ１８は、現在の時刻を取得できる。
【0202】
なお、第２実施形態のメモリシステム３は、第１実施形態のメモリシステム３と同様に、ＲＴＣ１７と蓄電装置５とを備えていてもよい。つまり、メモリシステム３にＲＴＣ１７と蓄電装置５とが設けられ、ホスト２にＲＴＣ２６と蓄電装置２７とが設けられてもよい。
【0203】
ＣＰＵ１８は、内部のＲＴＣ１７が正確な現在の時刻を提供できる間、ＲＴＣ１７から現在の時刻を取得する。また、例えば蓄電装置５から供給される電力を使い切ったことで、ＲＴＣ１７が正確な現在の時刻を提供できなくなった場合、ＣＰＵ１８は、時刻要求コマンドをホスト２に送信して、ホスト２内のＲＴＣ２６によって提供される現在の時刻を取得する。これにより、ＣＰＵ１８は、メモリシステム３内のＲＴＣ１７と、ホスト２内のＲＴＣ２６とのいずれかから、現在の時刻を取得できる。
【0204】
以上説明したように、第１および第２実施形態によれば、ストレージへのアクセスに対するセキュリティを強化できる。
【0205】
メモリシステム３のメモリコントローラ４（より詳しくはアクセス制御部１８１）は、第１ユーザ識別情報に対して付与される、不揮発性メモリ６の少なくとも一部の記憶領域への第１アクセス権を有効化し、第１アクセス権が無効になるまでの第１期限を設定する。メモリコントローラ４は、現在の時刻が第１期限を過ぎた場合、第１アクセス権を無効化する。
【0206】
これにより、現在の時刻が第１期限を過ぎた場合に、第１アクセス権が無効化されるので、管理者は、第１アクセス権を無効化するコマンドを発行するための操作を、第１アクセス権を無効化すべきタイミングで行う必要がない。そのため、コマンド操作のミスにより、無効化すべきアクセス権が有効である状態のままとなることを回避できる。したがって、データの漏洩や改竄が発生するリスクを低減して、不揮発性メモリ６へのアクセスに対するセキュリティを強化できる。
【0207】
第１および第２実施形態に記載された様々な機能の各々は、回路（処理回路）によって実現されてもよい。処理回路の例には、中央処理装置（ＣＰＵ）のような、プログラムされたプロセッサが含まれる。このプロセッサは、メモリに格納されたコンピュータプログラム（命令群）を実行することによって、記載された機能それぞれを実行する。このプロセッサは、電気回路を含むマイクロプロセッサであってもよい。処理回路の例には、デジタル信号プロセッサ（ＤＳＰ）、特定用途向け集積回路（ＡＳＩＣ）、マイクロコントローラ、コントローラ、他の電気回路部品も含まれる。これら実施形態に記載されたＣＰＵ以外の他のコンポーネントの各々もまた処理回路によって実現されてもよい。
【0208】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【0209】
１…情報処理システム、２…ホスト、３…メモリシステム、４…メモリコントローラ、５…蓄電装置、６…不揮発性メモリ、１１…ホストＩ／Ｆ、１２…バッファ、１３…ＲＡＭ、１４…ＲＯＭ、１５…暗号回路、１６…メモリＩ／Ｆ、１７…ＲＴＣ、１８…ＣＰＵ、１３１…ＦＷ、１３２…論理物理アドレス変換テーブル、１３３…Ｔｅｍｐｏｒａｒｙ Ａｕｔｈｏｒｉｔｙテーブル、１８１…アクセス制御部、１８２…リード制御部、１８３…ライト制御部、２１…ＣＰＵ、２２…ＲＡＭ、２４…ＲＯＭ、２５…コントローラ、２６…ＲＴＣ、２７…蓄電装置、２５１…電力供給部、３１…システム領域、３２…ユーザ領域、３１１…認証情報、３１２…鍵情報。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】