特開 2022-90362 メモリシステム、コントローラおよび制御方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022090362

(43)【公開日】2022-06-17

(54)【発明の名称】メモリシステム、コントローラおよび制御方法

(51)【国際特許分類】

   H04L 9/10 20060101AFI20220610BHJP

【ＦＩ】

H04L9/00 621Z

【審査請求】未請求

【請求項の数】12

【出願形態】ＯＬ

(21)【出願番号】P 2020202723

(22)【出願日】2020-12-07

(71)【出願人】

【識別番号】318010018

【氏名又は名称】キオクシア株式会社

(74)【代理人】

【識別番号】110001737

【氏名又は名称】特許業務法人スズエ国際特許事務所

(72)【発明者】

【氏名】鈴木 健聡

(57)【要約】

【課題】補助データ量の増大を防止しつつ、経時変化による誤り訂正能力の低下を防止することができるメモリシステムを提供する。
【解決手段】実施形態によれば、メモリシステムは、不揮発性メモリと、コントローラと、を具備する。コントローラは、不揮発性メモリへのデータの書き込みまたは不揮発性メモリからのデータの読み出しを制御する。コントローラは、コントローラ内の回路素子の特性を利用して取得される識別情報を用いて、不揮発性メモリに書き込まれるデータの暗号化に係わる暗号鍵を作成する。コントローラは、暗号鍵の再作成時において取得される識別情報に含まれ得るエラーを訂正するための補助データを作成する。コントローラは、回路素子の特性の経時変化による識別情報の経時変化傾向に関する経時変化情報を取得して補助データに付加する。
【選択図】図４

【特許請求の範囲】

【請求項1】

不揮発性メモリと、
前記不揮発性メモリへのデータの書き込みまたは前記不揮発性メモリからのデータの読み出しを制御するコントローラと、
を具備し、
前記コントローラは、
前記コントローラ内の回路素子の特性を利用して取得される識別情報を用いて、前記不揮発性メモリに書き込まれるデータの暗号化に係わる暗号鍵を作成し、
前記暗号鍵の再作成時において取得される前記識別情報に含まれ得るエラーを訂正するための補助データを作成し、
前記回路素子の特性の経時変化による前記識別情報の経時変化傾向に関する経時変化情報を取得して前記補助データに付加する、
メモリシステム。

【請求項2】

前記コントローラは、
前記暗号鍵の再作成時において取得される前記識別情報に対して、前記経時変化情報を用いた経時変化補正を実行し、
前記経時変化補正後の前記識別情報に対して、前記補助データを用いたエラー訂正を実行する、
請求項１に記載のメモリシステム。

【請求項3】

前記経時変化情報は、前記識別情報として取得されるビット列中の経時変化による反転の可能性が高いビットの位置情報を含む請求項１または２に記載のメモリシステム。

【請求項4】

前記コントローラは、
前記位置情報に基づき、前記識別情報として取得されるビット列を、経時変化による反転の可能性が高いビットからなる第１ビット列と、残りの経時変化による反転の可能性が低いビットからなる第２ビット列とに分割し、
前記識別情報として取得されるビット列の経時変化補正を含むエラー訂正において、前記第１ビット列に対しては第１強度のエラー訂正能力を設定し、前記第２ビット列に対しては前記第１強度よりも強度の低い第２強度のエラー訂正能力を設定する、
請求項３に記載のメモリシステム。

【請求項5】

前記コントローラは、対応する経過時間が異なる複数の前記経時変化情報を取得して前記補助データに付加する請求項１～４のいずれか１項に記載のメモリシステム。

【請求項6】

前記暗号鍵は、前記不揮発性メモリに書き込まれるデータを暗号化するための第１暗号鍵または前記第１暗号鍵を暗号化するための第２暗号鍵である請求項１～５のいずれか１項に記載のメモリシステム。

【請求項7】

デバイスを制御するコントローラであって、
前記コントローラ内の回路素子の特性を利用して識別情報を取得し、前記識別情報を用いて、前記デバイスによって扱われるデータの暗号化に係わる暗号鍵を作成し、
前記暗号鍵の再作成時において取得される前記識別情報に含まれ得るエラーを訂正するための補助データを作成し、
前記回路素子の特性の経時変化による前記識別情報の経時変化傾向に関する経時変化情報を取得して前記補助データに付加する、
コントローラ。

【請求項8】

前記コントローラは、
前記暗号鍵の再作成時において取得される前記識別情報に対して、前記経時変化情報を用いた経時変化補正を実行し、
前記経時変化補正後の前記識別情報に対して、前記補助データを用いたエラー訂正を実行する、
請求項７に記載のコントローラ。

【請求項9】

前記経時変化情報は、前記識別情報として取得されるビット列中の経時変化による反転の可能性が高いビットの位置情報を含む請求項７または８に記載のコントローラ。

【請求項10】

対応する経過時間が異なる複数の前記経時変化情報を取得して前記補助データに付加する請求項７～９のいずれか１項に記載のコントローラ。

【請求項11】

不揮発性メモリへのデータの書き込みまたは前記不揮発性メモリからのデータの読み出しを制御するコントローラの制御方法であって、
前記コントローラ内の回路素子の特性を利用して取得される識別情報を用いて、前記不揮発性メモリに書き込まれるデータの暗号化に係わる暗号鍵を作成し、
前記暗号鍵の再作成時において取得される前記識別情報に含まれ得るエラーを訂正するための補助データを作成し、
前記回路素子の特性の経時変化による前記識別情報の経時変化傾向に関する経時変化情報を取得して前記補助データに付加する、
制御方法。

【請求項12】

前記暗号鍵の再作成時において取得される前記識別情報に対して、前記補助データに付加されている前記経時変化情報を用いた経時変化補正を実行し、
前記経時変化補正後の前記識別情報に対して、前記補助データを用いたエラー訂正を実行する、
請求項１１に記載の制御方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、メモリシステム、コントローラおよび制御方法に関する。

【背景技術】

【0002】

近年、不揮発性メモリを備えるメモリシステムが広く普及している。ＮＡＮＤ型フラッシュメモリを備えるＳＳＤ（solid state drive）などのメモリシステムは、サーバやＰＣ（personal computer）といった情報処理装置のストレージとして使用されている。

【0003】

また、近年、データのセキュリティに対する関心が高まっている。これに伴い、データを暗号化して不揮発性メモリに格納する暗号化機能を有するメモリシステムの需要が増加している。

【0004】

データの暗号化に適用し得るセキュリティ技術の一つとして、回路素子の特性のばらつきを指紋（識別情報）として利用するＰＵＦ（physical unclonable function）が知られている。ＰＵＦには、回路素子の特性の経時変化という問題が存在する。

【先行技術文献】

【特許文献】

【0005】

【特許文献1】米国特許出願公開第２０１９／０１３８７５３号明細書

【特許文献2】米国特許出願公開第２０１７／００６３５５９号明細書

【特許文献3】特開２０２０－１０２８２７号公報

【発明の概要】

【発明が解決しようとする課題】

【0006】

本発明の一実施形態は、補助データ量の増大を防止しつつ、経時変化による誤り訂正能力の低下を防止することができるメモリシステム、コントローラおよび制御方法を提供する。

【課題を解決するための手段】

【0007】

実施形態によれば、メモリシステムは、不揮発性メモリと、コントローラと、を具備する。コントローラは、不揮発性メモリへのデータの書き込みまたは不揮発性メモリからのデータの読み出しを制御する。コントローラは、コントローラ内の回路素子の特性を利用して取得される識別情報を用いて、不揮発性メモリに書き込まれるデータの暗号化に係わる暗号鍵を作成する。コントローラは、暗号鍵の再作成時において取得される識別情報に含まれ得るエラーを訂正するための補助データを作成する。コントローラは、回路素子の特性の経時変化による識別情報の経時変化傾向に関する経時変化情報を取得して補助データに付加する。

【図面の簡単な説明】

【0008】

【図1】ホストに接続された実施形態のメモリシステムの一構成例を示す図

【図2】ＰＵＦの出力分布シフトとエラー訂正範囲との関係を示す図

【図3】実施形態のメモリシステムにおける補助データの構成の概要を示す図

【図4】実施形態のメモリシステムのＫＥＫ作成部の一構成例を示す図

【図5】実施形態のメモリシステムにおけるＰＵＦによって取得される指紋とセキュアスケッチによって作成される補助データとの関係を示す図

【図6】実施形態のメモリシステムにおける経時変化情報の一作成例を示す図

【図7】従来のメモリシステムのエラー訂正能力或いは初期エントロピーと、本実施形態のメモリシステム１のエラー訂正能力或いは初期エントロピーとを比較する図

【図8】実施形態のメモリシステムのエラー訂正能力と符号語長と、比較例のエラー訂正能力と符号語長とを比較する図

【図9】実施形態のメモリシステムにおける経時変化情報ΔＳを用いた経時変化補正の一例を示す図

【図10】図９で示した経時変化のエラービット情報を基にエラー訂正をする場合のより具体的な実施例を示す第１図

【図11】図９で示した経時変化のエラービット情報を基にエラー訂正をする場合のより具体的な実施例を示す第２図

【図12】実施形態のメモリシステムのエンロールメント時（ＫＥＫ登録時）の動作手順を示すフローチャート

【図13】実施形態のメモリシステムの認証時（ＫＥＫ再作成時）の動作手順を示すフローチャート

【図14】実施形態のメモリシステム１の経時変化傾向が織り込まれた補助データの作成の第１例の動作手順を示すフローチャート

【図15】実施形態のメモリシステム１の経時変化傾向が織り込まれた補助データの作成の第２例の動作手順を示すフローチャート

【発明を実施するための形態】

【0009】

以下、実施の形態について、図面を参照して説明する。

【0010】

図１は、本実施形態のメモリシステム１の一構成例を示す図である。図１には、メモリシステム１と、メモリシステム１に接続されるホスト２とを含む、情報処理システムの一構成が併せて示されている。ホスト２は、サーバやＰＣといった情報処理装置である。

【0011】

メモリシステム１は、コントローラ１１と、ＤＲＡＭ（dynamic RAM[random access memory]）１２と、ＮＡＮＤ型フラッシュメモリ（ＮＡＮＤメモリ）１３とを有する。コントローラ１１は、たとえばＳｏＣ（System on a chip）として構成される。ここでは、メモリシステム１が、ＮＡＮＤメモリ１３を備えるＳＳＤとして実現されている場合について例示するが、これに限らず、メモリシステム１は、ＨＤＤ（hard disk drive）などとして実現されてもよい。ＤＲＡＭ１２は、コントローラ１１に内蔵されてもよい。

【0012】

コントローラ１１は、ホスト２からコマンドを受け付け、ＤＲＡＭ１２をバッファとして利用しながら、ホスト２から転送されてくるデータのＮＡＮＤメモリ１３への書き込み処理や、ホスト２から要求されたデータのＮＡＮＤメモリ１３からの読み出し処理などを実行する。

【0013】

コントローラ１１は、制御回路１１０と、ホストインターフェース回路１２０と、ＤＲＡＭインターフェース回路１３０と、ＮＡＮＤインターフェース回路１４０とを有する。

【0014】

制御回路１１０は、メモリシステム１全体の動作を総合的に制御する。制御回路１１０は、ライト制御部１１１と、リード制御部１１２と、ＤＥＫ（data encryption key）作成部１１３と、ＫＥＫ（key encryption key）作成部１１４と、ＤＥＫ暗号化／復号部１１５と、データ暗号化／復号部１１６とを有する。これらの各部（１１１～１１６）は、ハードウェア（電気回路）によって実現されてもよい。あるいは、コントローラ１１内のプロセッサ２１０がプログラムを実行することによって実現されてもよい。図１には、コントローラ１１内のプロセッサ２１０がプログラムを実行することによって各部（１１１～１１６）が実現される例が示されている。プログラムは、たとえば、ＮＡＮＤメモリ１３に格納され、メモリシステム１の電源オン時やリセット時にコントローラ１１内のメモリ（図示せず）やＤＲＡＭ１２にロードされる。コントローラ１１内のメモリは、揮発性のメモリである。

【0015】

ライト制御部１１１は、ホスト２からのライトコマンドに応じて、当該ライトコマンドに付随するライトデータをＮＡＮＤメモリ１３へ書き込む。リード制御部１１２は、ホスト２からのリードコマンドに応じて、当該リードコマンドで指定されるリードデータをＮＡＮＤメモリ１３から読み出す。以下、ライトデータやリードデータを、ユーザデータとも称する。

【0016】

本実施形態のメモリシステム１は、ＮＡＮＤメモリ１３上のデータの秘匿性を高めるための暗号化機能を提供する。ＤＥＫ作成部１１３は、ＮＡＮＤメモリ１３へ書き込むユーザデータを暗号化し、または、暗号化された状態でＮＡＮＤメモリ１３から読み出されたユーザデータを復号するためのデータ暗号鍵（ＤＥＫ）を作成する。ＤＥＫ作成部１１３は、たとえばホスト２上でユーザが入力する任意の値を用いてＤＥＫを作成する。ＤＥＫ作成部１１３は、たとえば乱数を用いてＤＥＫを作成してもよい。ＤＥＫ作成部１１３によって作成されたＤＥＫは、暗号化された状態でＮＡＮＤメモリ１３に格納される。ＤＥＫは、たとえばメモリシステム１の電源オン時やリセット時、ＮＡＮＤメモリ１３から読み出されてＫＥＫにより復号され、コントローラ１１内のメモリに格納される。前述したように、コントローラ１１内のメモリは、揮発性のメモリである。

【0017】

ＫＥＫ作成部１１４は、ＤＥＫを暗号化し、または、暗号化された状態のＤＥＫを復号するための鍵暗号鍵（ＫＥＫ）を作成する。ＫＥＫ作成部１１４は、セキュリティ技術の一つであるＰＵＦで取得した指紋（識別情報）を用いてＫＥＫを作成する。ＰＵＦは、回路素子の特性を利用して指紋を取得する。回路素子は、たとえばＳＲＡＭ（static RAM）である。回路素子の特性とは、たとえば電源オン直後における回路素子の初期状態の個体差である。本実施形態のメモリシステム１における指紋取得対象の回路素子は、コントローラ１１内、より好ましくは、ＫＥＫ作成部１１４が存在する制御回路１１０内に設けられる（指紋取得対象素子２００）。ＫＥＫは、ＮＡＮＤメモリ１３には格納されず、ＤＥＫを復号するときにのみＫＥＫ作成部１１４内のレジスタに一時保存され、ＤＥＫ復号後は上書き消去される。前述したように、コントローラ１１内のメモリは、揮発性のメモリである。

【0018】

ＫＥＫ作成部１１４は、ＫＥＫの登録時、指紋と乱数からＫＥＫを作成する。また、ＫＥＫ作成部１１４は、たとえばメモリシステム１の電源オン時やリセット時、コントローラ１１内のメモリから消失しているＫＥＫを再作成する。ＫＥＫ作成部１１４は、ＫＥＫの登録時、ＫＥＫの再作成時に取得される指紋に含まれ得るエラー（ＫＥＫの登録時に取得された指紋との誤差）を訂正するための補助データを作成する。ＫＥＫ作成部１１４は、この補助データをＮＡＮＤメモリ１３に格納する。ＫＥＫ作成部１１４は、ＫＥＫの再作成時、補助データを用いて、当該ＫＥＫの再作成時に取得される指紋からＫＥＫの登録時に取得された指紋を復元する。補助データを作成し、かつ、補助データを用いて、雑音（エラー）を含む指紋から本来の指紋を抽出するモジュールは、ファジー抽出器などと称される。また、ファジー抽出器の一構成要素である、補助データを作成するモジュールは、セキュアスケッチなどと称される。つまり、ＫＥＫ作成部１１４は、セキュアスケッチを含むファジー抽出器の機能を備えている。補助データは、ヘルパデータとも称される。

【0019】

たとえば、メモリシステム１が不正者に持ち去られ、暗号鍵を探るために、解体が行われたと想定する（侵襲攻撃）。解体時、回路素子（指紋取得対象素子２００）の特性は変化する。そのため、略同一の指紋が取得される可能性は極めて低く、たとえ補助データを用いてもエラー訂正が不可能なため登録時のＫＥＫを再現することができない。ＤＥＫ鍵を復号することができないため、よって、ＮＡＮＤメモリ１３上のデータの秘匿性は保たれる。略同一の指紋とは、ＫＥＫの登録時に取得された指紋を補助データで復元することができるまでに近似する指紋である。

【0020】

あるいは、ＮＡＮＤメモリ１３が着脱自在に構成されており、抜脱された状態のＮＡＮＤメモリ１３が不正者に持ち去られたと想定する。このＮＡＮＤメモリ１３が、同一仕様の別のメモリシステム１に装着されたとしても、回路素子（指紋取得対象素子２００）が物理的に異なる当該別のメモリシステム１において略同一の指紋が取得される可能性は極めて低く、よって、ＮＡＮＤメモリ１３上のデータの秘匿性は保たれる。

【0021】

ＤＥＫ暗号化／復号部１１５は、ＫＥＫを用いて、ＤＥＫを暗号化し、または、暗号化された状態のＤＥＫを復号する。データ暗号化／復号部１１６は、ＤＥＫを用いて、ユーザデータを暗号化し、または、暗号化された状態のユーザデータを復号する。

【0022】

ホストインターフェース回路１２０は、ホスト２との通信を制御する。ＤＲＡＭインターフェース回路１３０は、ＤＲＡＭ１２との通信を制御する。ＮＡＮＤインターフェース回路１４０は、ＮＡＮＤメモリ１３との通信を制御する。

【0023】

ところで、ＫＥＫの再作成時に取得される指紋は、回路素子の特性の経時変化により、ＫＥＫの登録時から変化する。図２は、ＰＵＦの出力分布シフトとエラー訂正範囲との関係を示す図である。

【0024】

図２（Ａ）は、従来におけるＰＵＦの出力分布シフトとエラー訂正範囲との関係を示している。縦軸が確率密度、横軸がＰＵＦ出力値（取得指紋）である。補助データは、初期状態（ここでは、ＫＥＫの登録時）におけるピーク値である指紋Ｗに近似する指紋Ｗ´を指紋Ｗに訂正するためのデータとして作成される。そして、従来、補助データによる訂正可能範囲は、初期状態におけるピーク値である指紋Ｗを基準とする固定的な範囲となっていた。そのため、回路素子の特性の経時変化により、分布がずれると、訂正可能な範囲が減少する。つまり、誤り訂正能力が低下する。ΔＷnは、経時変化による分布のシフト量である。また、誤り訂正能力の低下を防止するために、分布のずれを補い得る補助データを作成するとした場合、補助データ量が増大する。

【0025】

そこで、本実施形態のメモリシステム１においては、ＫＥＫの登録時、回路素子の特性の経時変化による指紋の経時変化傾向に関する情報（経時変化情報）を取得し、当該ＫＥＫ登録時に作成する補助データに付加する。ＫＥＫの再作成時には、取得された指紋に対して、経時変化情報を用いた経時変化補正を実行し、経時変化補正後の指紋に対して、補助データを用いたエラー訂正を実行する。つまり、本実施形態のメモリシステム１においては、図２（Ｂ）に示すように、補助データによる訂正可能範囲（幅）を不変とすることができる。

【0026】

これにより、本実施形態のメモリシステム１は、補助データ量の増大を抑止しつつ、経時変化による誤り訂正能力の低下を防止する。

【0027】

図３は、本実施形態のメモリシステム１における補助データの構成の概要を示す図である。破線の左側のエンロールメントとは、準備段階であり、本実施形態のメモリシステム１においては、ＫＥＫの登録時に相当する。破線の右側の認証とは、使用段階であり、本実施形態のメモリシステム１においては、ＫＥＫの再作成時に相当する。

【0028】

回路素子（指紋取得対象素子２００）の特性を利用して取得する指紋Ｗの経時変化シフト量ΔＷには、回路素子に固有の傾向がある。そこで、本実施形態のメモリシステム１においては、指紋Ｗ´を指紋Ｗに訂正するための補助データＳを作成することに加えて、指紋Ｗ´＋ΔＷを指紋Ｗ´に訂正するための経時変化情報ΔＳを作成する。以下、補助データＳと経時変化情報ΔＳとを補助データＰと総称することがある（Ｐ＝Ｓ＋ΔＳ）。本実施形態のメモリシステム１は、経時変化シフト量ΔＷの傾向（ΔＳ）が織り込まれた補助データＰを作成する。

【0029】

補助データＳと経時変化情報ΔＳとからなる補助データＰを作成する本実施形態のメモリシステム１は、取得された指紋Ｗ´＋ΔＷに対して、経時変化情報ΔＳを用いて、指紋Ｗ´に訂正するための経時変化補正を実行する。本実施形態のメモリシステム１は、この経時変化補正後の指紋Ｗ´に対して、補助データＳを用いて、指紋Ｗに訂正するためのエラー訂正を実行する。

【0030】

図４は、ＫＥＫ作成部１１４の一構成例を示す図である。

【0031】

前述したように、ＫＥＫ作成部１１４は、セキュアスケッチを含むファジー抽出器の機能を備えている。図４中、破線３００で示されるブロックは、エンロールメント、つまりＫＥＫの登録時に稼働するブロックである。また、破線４００で示されるブロックは、認証、つまりＫＥＫの再作成時に稼働するブロックである。

【0032】

ＫＥＫの登録時に稼働するブロック３００は、ＰＵＦ部３１０と、乱数生成部（ＲＮＧ：random number generator）３２０と、セキュアスケッチ部３３０と、ハッシュ関数部３４０とを有する。また、セキュアスケッチ部３３０は、ＢＣＨ符号化部３３１と、論理演算部３３２と、経時補正部３３３とを有する。

【0033】

ＰＵＦ部３１０は、回路素子（指紋取得対象素子２００）の特性を利用して指紋Ｗを取得する。乱数生成部３２０は、たとえばシステム時刻を使って乱数ｒを生成する。

【0034】

セキュアスケッチ部３３０のＢＣＨ符号化部３３１は、乱数生成部３２０によって生成された乱数ｒを使って、ＫＥＫの再作成時に取得される指紋Ｗ´に含まれ得るエラーを訂正するためのＢＣＨ符号ｒ_encを作成する。論理演算部３３２は、ＢＣＨ符号化部３３１によって作成されたＢＣＨ符号ｒ_encと、ＰＵＦ部３１０によって取得された指紋Ｗとの排他的論理和を取って、補助データＳを作成する。経時補正部３３３は、一定時間経過後の状態を疑似的に構築する環境下の回路素子（指紋取得対象素子２００）からＰＵＦ部３１０によって取得される指紋Ｗ＋ΔＷを用いて、経時変化情報ΔＳnを取得する。一定時間経過後の状態は、温度、電圧、クロックジッタ等の変動を付加することで構築する。経時変化情報ΔＳnの取得については後述する。

【0035】

図５に、ＰＵＦ部３１０によって取得される指紋と、セキュアスケッチ部３３０によって作成される補助データとの関係を示す。Ｗは、ＫＥＫ登録時にＰＵＦ部３１０によって取得される指紋である。Ｓは、セキュアスケッチ部３３０によって作成される補助データである。ΔＷ₀は、ｔ₀時間経過後にＰＵＦ部４１０によって取得される指紋に含まれる経時変化シフト量である。ΔＳ₀は、セキュアスケッチ部３３０によって作成されるｔ₀時間経過後の経時変化シフト量ΔＷ₀の傾向を示す経時変化情報ΔＳ₀である。ΔＷ₁は、ｔ₁時間経過後にＰＵＦ部４１０によって取得される指紋に含まれる経時変化シフト量である。ΔＳ₁は、セキュアスケッチ部３３０によって作成されるｔ₁時間経過後の経時変化シフト量ΔＷ₁の傾向を示す経時変化情報である。ΔＷ₂は、ｔ₂時間経過後にＰＵＦ部４１０によって取得される指紋に含まれる経時変化シフト量である。ΔＳ₂は、セキュアスケッチ部３３０によって作成されるｔ₂時間経過後の経時変化シフト量ΔＷ₂の傾向を示す経時変化情報である。また、前述のΔＷは、ΔＷ₀、ΔＷ₁、ΔＷ₂、…の総称であり、前述のΔＳは、ΔＳ₀、ΔＳ₁、ΔＳ₂、…の総称である。

【0036】

図４に戻って、ＫＥＫ作成部１１４の一構成例の説明を続ける。

【0037】

ハッシュ関数部３４０は、ハッシュ関数を用いて、ＰＵＦ部３１０によって取得された指紋ＷからＫＥＫを作成する。前述したように、このＫＥＫは、ＮＡＮＤメモリ１３には格納されない。補助データＰだけが、ＮＡＮＤメモリ１３に格納される。

【0038】

一方、ＫＥＫの再作成時に稼働するブロック４００は、ＰＵＦ部４１０と、エラー補正部４２０と、ハッシュ関数部４３０とを有する。ＰＵＦ部４１０とハッシュ関数部４３０とは、ブロック３００のＰＵＦ部３１０とハッシュ関数部３４０とそれぞれ同じものである。エラー補正部４２０は、経時補正部４２１と、第１論理演算部４２２と、ＢＣＨ復号部４２３と、ＢＣＨ符号化部４２４と、第２論理演算部４２５とを有する。ＢＣＨ符号化部４２４は、セキュアスケッチ３３０のＢＣＨ符号化部３３１同じものであるが異なっていてもよい。

【0039】

ＰＵＦ部４１０は、回路素子（指紋取得対象素子２００）の特性を利用して指紋Ｗ´＋ΔＷ_nを取得する。エラー補正部４２０の経時補正部４２１は、補助データＳに付加された経時変化情報ΔＳ_nを用いて、ＰＵＦ部４１０によって取得された指紋Ｗ´＋ΔＷnに対して経時変化補正を行う。第１論理演算部４２２は、経時補正部４２１による経時補正後の指紋Ｗ´と、補助データＳとの排他的論理和を取って、ＢＣＨ符号ｒ_enc´を作成する。このＢＣＨ符号r_enc´は、セキュアスケッチ部３３０のＢＣＨ符号化部３３１によって作成されるＢＣＨ符号ｒ_encにエラーが含まれているものとみなすことができる。ＢＣＨ復号部４２３は、エラー訂正を行いつつ、このＢＣＨ符号ｒ_enc´を乱数ｒに復号する。

【0040】

ＢＣＨ符号化部４２４は、ＢＣＨ復号部４２３によって復元された乱数ｒを使って、ＢＣＨ符号ｒ_encを作成する。第２論理演算部４２５は、ＢＣＨ符号化部４２４によって作成されたＢＣＨ符号ｒ_encと、補助データＳとの論理和を取って、指紋Ｗを復元する。

【0041】

ハッシュ関数部４３０は、ハッシュ関数を用いて、第２論理演算部４２５によって復元された指紋ＷからＫＥＫを再作成する。

【0042】

エラー訂正能力を強化して、指紋Ｗ´+ΔＷ_nを指紋Ｗに訂正するための補助データＳを作成する場合、補助データＳの量が膨大となる、或いは初期エントロピーが減少する。これに対して、本実施形態のメモリシステム１は、指紋Ｗ´+ΔＷ_nを指紋Ｗ´に訂正するための経時変化情報ΔＳを作成して、指紋Ｗ´を指紋Ｗに訂正するための補助データＳに付加する。本実施形態のメモリシステム１は、まず、経時変化情報ΔＳを用いて、指紋Ｗ´+ΔＷ_nを指紋Ｗ´に訂正し、次に、補助データＳを用いて、指紋Ｗ´を指紋Ｗに訂正する。この手順を踏むことにより、本実施形態のメモリシステム１は、補助データＰ（Ｓ＋ΔＳ）のデータ量の増大を防止しながら、初期エントロピーの減少も防ぐ。

【0043】

図６は、本実施形態のメモリシステム１における経時変化情報ΔＳの一作成例を示す図である。

【0044】

ここでは、最長２５６ビットのデータまで経時変化補正を施すことができる経時変化情報ΔＳを作成する場合を想定する。ＫＥＫ作成部１１４、より具体的には、セキュアスケッチ部３３０の経時補正部３３３は、一定時間経過後の状態を疑似的に構築する環境下の回路素子（指紋取得対象素子２００）からＰＵＦ部３１０が取得する２５６ビットのデータを取得する。

【0045】

経時補正部３３３は、取得された複数の２５６ビットのデータを解析して、経時変化を起こしやすいビット位置を特定する。経時補正部３３３は、各ビットが経時変化補正対象のデータのビットと一対一で対応づけられる２５６ビットのデータであって、経時変化しないビットは０で埋め、経時変化するビットは１で埋めたデータを経時変化情報ΔＳとして作成する。図６の元のデータとは、本実施形態のメモリシステム１においては、指紋Ｗを用いて作成される、指紋Ｗ´を指紋Ｗに訂正するための補助データＳである。

【0046】

図７は、従来のメモリシステム１のエラー訂正能力或いは初期エントロピーと、本実施形態のそれを比較する図である。ここでは、ＢＣＨ符号化部３３１が１２７ビット符号語を生成する場合を想定する。また、ＫＥＫの登録直後、つまりエンロールメント直後の初期状態においては初期エントロピーが３６ビット或いは２９ビットの場合を想定する。初期状態においては、ＫＥＫの再作成時、つまり認証時における経時変化シフト量ΔＷは０である。従来例１と従来例２ではでは通常のエラーと経時変化のエラーΔＷの合計１５ビットまで訂正が可能である。従来例１で経時変化が９ビット発生した場合には通常のエラーは６ビットまでしか訂正できない。従来例２では経時変化ΔＷが１５ビット発生した場合にはエラー訂正可能であるが、通常エラーは訂正できない。

【0047】

従来例３では経時変化ΔＷを１５ビット、通常エラーを６ビット、全体で２１ビットのエラー訂正能力をもたせた場合である。ただし、この場合にはメッセージ長r、即ち初期エントロピーが２９ビットに低下するのを免れない。つまりセキュリティ強度が大きく低下することになる。

【0048】

一方、本実施形態のメモリシステム１は初期エントロピーの低下なしに経時変化によるエラー１５ビットを訂正しながら、通常のエラー6ビットが訂正可能である。

【0049】

図８は、本実施形態のメモリシステム１のエラー訂正能力と符号語長と、比較例のエラー訂正能力と符号語長とを比較する図である。

【0050】

ここでは、乱数生成部３２０が１３０或いは１３１ビットのデータ長（メッセージ長）の乱数を生成する場合を想定する。また、ＫＥＫの登録直後、つまりエンロールメント直後の初期状態において１３１ビット中１８ビットのエラーを訂正可能なエラー訂正能力を備えることを想定する。

【0051】

初期状態においては、ＫＥＫの再作成時、つまり認証時における経時変化シフト量ΔＷは０である。従って、必要なエラー訂正能力は１８（１８＋０）ビットとなる。１８ビットをエラー訂正するためにＢＣＨ符号化部３３１が作成するＢＣＨ符号ｒ_encは２５５ビットとなる。そのため、論理演算部３３２によって作成される補助データＰ（Ｓ）は２５５ビットとなる。

【0052】

比較例１は、補助データＰ（Ｓのみ）にて、初期状態と同等のエラー訂正能力を、経時変化シフト量ΔＷが最大３７ビットまで維持する場合の例である。この場合、必要なエラー訂正能力は５５（１８＋３７）ビットである。５５ビットをエラー訂正するためのＢＣＨ符号ｒ_encは５１１ビットとなる。補助データＰ（Ｓ）は５１１ビットとなる。

【0053】

一方、本実施形態のメモリシステム１は、補助データＰ（Ｓ＋ΔＳ）にて、初期状態と同等のエラー訂正能力を、経時変化シフト量ΔＷが最大１３１ビットまで維持する。この場合、必要なエラー訂正能力は１４９（１８＋１３１）ビットである。１４９ビットをエラー訂正するためのＢＣＨ符号ｒ_encのデータ量は、通常ならば、比較例１の５１１ビットを超える膨大な量となる。これに対して、経時変化シフト量ΔＷの傾向を示す経時変化情報ΔＳ（１３１ビット）を作成して補助データＳに付加する本実施形態のメモリシステム１においては、補助データＰ（Ｓ＋ΔＳ）のデータ量は、比較例１の５１１ビットよりも少ない３８６（２５５＋１３１）ビットで済む。より具体的には、ｔ₀時間経過後の補助データＰ（Ｓ＋ΔＳ₀）、ｔ₁時間経過後の補助データＰ（Ｓ＋ΔＳ₁）、ｔ₂時間経過後の補助データＰ（Ｓ＋ΔＳ₂）のいずれも３８６ビットとなる。ΔＳを時系列的に何段階分作成するかは、仕様などによって任意に決定可能である。

【0054】

このように、本実施形態のメモリシステム１は、補助データ量の増大を防止しつつ、経時変化による誤り訂正能力の低下を防止することができる。

【0055】

図９は、本実施形態のメモリシステム１における経時変化情報ΔＳを用いた経時変化補正の一例を示す図である。

【0056】

経時変化情報ΔＳを参照することで、経時変化を起こしやすいビット位置を認識することができる。そこで、経時変化補正の対象データ中の経時変化を起こしやすいビットのみを抽出し、順番に並べる。また、同様に残りの経時変化を起こしにくいビットのデータも抽出して順番に並べる。つまり、経時変化を起こしやすいビットのデータの部分と、経時変化を起こしにくいビットのデータの部分とに分けるように、経時変化補正の対象データを並べ替える。ここでは、経時変化を起こしやすいビットのデータの部分、経時変化を起こしにくいビットのデータの部分、の順に並べる例を示すが、逆であってもよい。そして、並べ替え後の経時変化補正の対象データ中の経時変化を起こしやすいビットのデータの部分に対しては、エラー訂正能力を通常よりも強力（大）に設定し、一方、経時変化を起こしにくいビットのデータの部分に対しては、エラー訂正能力を通常に設定する（図９（Ａ））。

【0057】

つまり、本実施形態のメモリシステム１は、補助データ量の増大を防止しつつ、初期エントロピーと経時変化による誤り訂正能力の低下を防止することに加えて、経時変化を起こしやすいビットのデータの部分に対してのみ、エラー訂正能力を通常よりも強力（大）に設定するという効率化を図る。

【0058】

メモリシステム１は、経時変化を起こしやすいビットのデータの部分と、経時変化を起こしにくいビットのデータの部分とに対して、それぞれ、エラー訂正を行った後、元の順に並べ、経時変化補正が施されたデータを復元する（図９（Ｂ））。

【0059】

図１０および図１１は、図９で示した経時変化のエラービット情報を基にエラー訂正をする場合のより具体的な実施例である。まず、エンロールメント時には乱数部３２０からの出力であるメッセージr（Ｕ１）をｒ１、ｒ２（Ｕ２）に分割する（ｒ＝ｒ１＋ｒ２）。ここでｒ１のビット長とｒ２のビット長の比率は将来に経時変化が発生すると予測されるＰＵＦ部（３１０）からのｗ１と、残りのビットｗ２の比と同じになる。即ちｒ１／ｒ２＝ｗ１／ｗ２となるようにｒ１、ｒ２を設定する。メッセージｒ１はエラー訂正能力の高い巡回符号器（Ｕ３）に入力し、符号語（ｒ１と誤り検出符号ｃ1）を生成する。同様にメッセージｒ２はエラー訂正能力の低い巡回符号器（Ｕ４）に入力し、符号語（ｒ２と誤り検出符号ｃ２）を生成する。

【0060】

一方、ＰＵＦ部（３０１）からの出力ｗ（Ｕ７）は将来に経時変化が発生するビット（＊で表現するＵ６）を含む。ｗはｗ１とｗ２に分割する（ｗ＝ｗ１＋ｗ２）（Ｕ８）。ここでｗ１は将来に経時変化が発生すると予測されるｗ中の各ビットから抽出したビット列の集合である。ｗ２は残りの経時変化が発生しにくいビットの集合である。これら並べ替えたｗ１＋ｗ２（Ｕ８）と上述した符号語（Ｕ５）をそれぞれＸＯＲ回路（Ｕ９）に入力し、出力としてヘルパデータＳ（Ｕ１０）を得る。

【0061】

次に認証ではＰＵＦ部（３１０）からの出力ｗ´（Ｕ１２）には経時変化のビットエラー（＊）と通常のビットエラー（★で示すＵ１１）の2種類が含まれる。ｗ´をエンロールメントでの手順と同様にｗ１´とｗ２´に分割する（ｗ´＝ｗ１´＋ｗ２´）（Ｕ１３）。ここでｗ１´は経時変化が発生すると予測されたｗ´中の各ビットから抽出したビット列の集合である。ｗ２´は残りの経時変化が発生しにくいビットの集合である。

【0062】

並べ替えたｗ１´＋ｗ２´（Ｕ１３）はヘルパデータＳ（Ｕ１４）と共にＸＯＲ回路（Ｕ１５）に入力する。すると出力に経時変化によるエラービットと通常エラーを含んだ符号語（ｒ１´＋ｃ２´）と、通常のエラービットを含んだ符号語（ｒ２´＋ｃ２´）がそれぞれ得られる。経時変化によるエラービットと通常エラーを含んだ符号語（ｒ１´＋ｃ２´）はエンロールメント時に予想できていたために、強力なエラー訂正能力をもつ巡回符号検出器（Ｕ１７）に入力する。出力としてエラー訂正されたｒ１を得る（Ｕ１９）。同様に通常のエラービットのみを含んだ符号語（ｒ２´＋ｃ２´）はエラー訂正能力の低い巡回符号検出器（Ｕ１８）に入力し、エラー訂正された出力ｒ２を得る（Ｕ１９）。ｒ１とｒ２は元の経時変化位置情報ビット（図９（Ａ））を参照し元のメッセージｒを復元する。

【0063】

なお、ｒ１＋ｃ１、ｒ２＋ｃ２の組み合わせは、エラー訂正能力や初期エントロピーに応じて生成可能な符号語長の長さの範囲で任意に選択可能である。例えば、（６３ビット、６３ビット）、（１２７ビット、６３ビット）、（２５５ビット、１２７ビット）である。

【0064】

図１２は、本実施形態のメモリシステム１のエンロールメント時（ＫＥＫ登録時）の動作手順を示すフローチャートである。

【0065】

―メモリシステム１（ＫＥＫ作成部１１４）は、回路素子（指紋取得対象素子２００）の特性を利用して指紋を取得する（Ｓ１０１）。メモリシステム１は、取得した指紋を用いて、暗号鍵（ＫＥＫ）を作成する（Ｓ１０２）。

【0066】

メモリシステム１は、暗号鍵の再作成時に取得される指紋に含まれ得るエラーを訂正するための補助データを作成する（Ｓ１０３）。また、メモリシステム１は、回路素子の特性の経時変化傾向に関する経時変化情報を取得する（Ｓ１０４）。経時変化情報の取得については、図１３、図１４を参照して詳述する。

【0067】

メモリシステム１は、経時変化情報を付加した補助データを不揮発性メモリ（ＮＡＮＤメモリ１３）に格納する（Ｓ１０５）。Ｓ１０２で作成した暗号鍵は、揮発性メモリに格納されることはあっても、不揮発性メモリに格納されることはない。

【0068】

図１３は、本実施形態のメモリシステム１の認証時（ＫＥＫ再作成時）の動作手順を示すフローチャートである。

【0069】

メモリシステム１（ＫＥＫ作成部１１４）は、回路素子（指紋取得対象素子２００）の特性を利用して指紋を取得する（Ｓ２０１）。メモリシステム１は、まず、補助データに付加されている経時変化情報を用いて、取得した指紋に対して経時補正を実行する（Ｓ２０２）。次に、メモリシステム１は、補助データを用いて、経時補正後の指紋に対してエラー補正を実行する（Ｓ２０３）。

【0070】

メモリシステム１は、エラー補正後の指紋を用いて、エンロールメント時の暗号鍵を再作成する（Ｓ２０４）。この暗号鍵も、揮発性メモリに格納されるのみであり、不揮発性メモリに格納されることはない。

【0071】

図１４は、本実施形態のメモリシステム１の経時変化傾向が織り込まれた補助データの作成の第１例の動作手順を示すフローチャートである。

【0072】

メモリシステム１（ＫＥＫ作成部１１４）は、回路素子（指紋取得対象素子２００）の特性を調べるためのチャレンジ入力を行う（Ｓ３０１）。チャレンジ入力は、回路素子から何らかのレスポンスを得られるものであれば、どのようなものであってもよい。メモリシステム１は、このチャレンジ入力を、温度、電圧、クロックジッタ等の変動を付加しながら、規定回数以上繰り返す。温度、電圧、クロックジッタ等の変動の付加は、一定時間経過後の状態を疑似的に構築することを意図するものである。メモリシステム１は、チャレンジ入力に対して回路素子から得られるレスポンス（ＰＵＦレスポンス）の分布を測定する（Ｓ３０２）。ＰＵＦレスポンスは、図２のＰＵＦ出力値と同義である。

【0073】

規定回数以上繰り返される、チャレンジ入力およびレスポンスの分布の測定には、補助データＳの作成を意図するもの、経時変化情報ΔＳ₀の作成を意図するもの、経時変化情報ΔＳ₁の作成を意図するもの、経時変化情報ΔＳ₂の作成を意図するもの、などが含まれ得る。

【0074】

メモリシステム１は、チャレンジ入力およびレスポンスの分布の測定を規定回数以上行うと（Ｓ３０３：Ｙｅｓ）、当該規定回数以上の測定結果に基づき、指紋として取得されるビット列中の経時変化可能性の高いビット位置を特定する（Ｓ３０４）。特定不能であった場合（Ｓ３０５：Ｙｅｓ）、メモリシステム１は、Ｓ３０１～Ｓ３０４の処理を再実行する。

【0075】

経時変化可能性の高いビット位置が特定された場合（Ｓ３０５：Ｎｏ）、メモリシステム１は、レスポンスの分布中央値を特定する（Ｓ３０６）。メモリシステム１は、Ｓ３０４の特定結果と、Ｓ３０６の特定結果とに基づき、経時変化情報が織り込まれた補助データを作成する（Ｓ３０７）。

【0076】

図１５は、本実施形態のメモリシステム１の経時変化傾向が織り込まれた補助データの作成の第２例の動作手順を示すフローチャートである。この第２例は、経時変化可能性が極めて高いビットを最初から除去する点と、経時変化可能性が通常より高いビットについてはエラー訂正能力が強力（大）な補助データを作成する点とが要点である。

【0077】

Ｓ４０１～Ｓ４０５までは、図１４のＳ３０１～Ｓ３０５までと同じである。経時変化可能性の高いビット位置が特定されると（Ｓ４０５：Ｎｏ）、メモリシステム１（ＫＥＫ作成部１１４）は、当該特定されたビット位置の各ビットについて、特定の閾値以上に不安定か否かを判定する（Ｓ４０６）。特定の閾値以上に不安定である場合（Ｓ４０６：Ｙｅｓ）、メモリシステム１は、そのビットを除去する（Ｓ４０７）。

【0078】

続いて、メモリシステム１は、特定されたビット位置の各ビットについて、特定の閾値以下で不安定か否かを判定する（Ｓ４０８）。メモリシステム１は、特定の閾値以下で不安定なビット群（Ｓ４０８：Ｙｅｓ）と、それ以外のビット群（Ｓ４０８：Ｎｏ）とに分け、前者についてはＳ４０９～Ｓ４１０の処理を実行し、後者についてはＳ４１１の処理を実行する。

【0079】

具体的には、特定の閾値以下で不安定なビット群について、メモリシステム１は、不安定なビット位置を特定し（Ｓ４０９）、エラー訂正能力が強力（大）な補助データを計算する（Ｓ４１０）。一方、それ以外のビット群について、メモリシステム１は、エラー訂正能力が通常（小）の補助データを計算する（Ｓ４１１）。

【0080】

メモリシステム１は、Ｓ４０９で特定された不安定なビット位置と、Ｓ４１０で計算されエラー訂正能力が強力（大）な補助データと、Ｓ４１１で計算されたエラー訂正能力が通常（小）の補助データとを組み合わせて、経時変化情報が織り込まれた補助データを作成する（Ｓ３０７）。

【0081】

以上のように、本実施形態のメモリシステム１は、エンロールメント時、回路素子（指紋取得対象素子２００）の特性を利用して取得される指紋の経年変化傾向を補助データに織り込むことにより、補助データ量の増大を防止しつつ、経時変化による誤り訂正能力の低下を防止することができる
なお、ここでは、ＰＵＦの出力である指紋を、ＤＥＫを暗号化するためのＫＥＫを作成するために使用する例について説明したが、その用途は、これに限らない。たとえば、ＫＥＫによるＤＥＫの暗号化が行われない場合において、ＤＥＫを作成するために使用してもよい。さらには、指紋の用途は、暗号鍵の作成に限られない。本実施形態において説明した指紋の経年変化傾向を補助データに織り込む方法は、メモリシステムに限らず、ＰＵＦでセキュリティ強化を図る様々なシステムに適用することができる。

【0082】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0083】

１…メモリシステム、２…ホスト、１１…コントローラ、１２…ＤＲＡＭ、１３…ＮＡＮＤメモリ、１１０…制御回路、１１１…ライト制御部、１１２…リード制御部、１１３…ＤＥＫ作成部、１１４…ＫＥＫ作成部、１１５…ＤＥＫ暗号化／復号部、１１６…データ暗号化／復号部、１２０…ホストインターフェース回路、１３０…ＤＲＡＭインターフェース回路、１４０…ＮＡＮＤインターフェース、２００…指紋取得対象素子、３１０…ＰＵＦ部、３２０…乱数生成部、３３０…セキュアスケッチ部、３３１…ＢＣＨ符号化部、３３２…論理演算部、３３３…経時補正部、３４０…ハッシュ関数部、４１０…ＰＵＦ部、４２０…エラー補正部、４２１…経時補正部、４２２…第１論理演算部、４２３…ＢＣＨ復号部、４２４…ＢＣＨ符号化部、４２５…第２論理演算部、４３０…ハッシュ関数部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】