知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024135033
(43)【公開日】2024-10-04
(54)【発明の名称】メモリシステム及びデータ書き込み方法
(51)【国際特許分類】
G06F 21/60 20130101AFI20240927BHJP
G06F 12/00 20060101ALI20240927BHJP
【ＦＩ】
G06F21/60 320
G06F12/00 597U
G06F12/00 550Z
【審査請求】未請求
【請求項の数】14
【出願形態】ＯＬ
(21)【出願番号】P 2023045524
(22)【出願日】2023-03-22
(71)【出願人】
【識別番号】318010018
【氏名又は名称】キオクシア株式会社
(74)【代理人】
【識別番号】110001737
【氏名又は名称】弁理士法人スズエ国際特許事務所
(72)【発明者】
【氏名】長原 禎
【テーマコード（参考）】
5B160
【Ｆターム（参考）】
5B160AA12
5B160NA02
(57)【要約】
【課題】第３者により復号されることが困難な暗号化データを記憶するメモリシステムを提供すること。
【解決手段】実施形態に係るメモリシステムは、不揮発性メモリと、コントローラと、を具備する。コントローラは、時間データと前記不揮発性メモリのヘルスデータに基づいて鍵を生成し、前記鍵を使用してデータを暗号化データに変換し、前記暗号化データを前記不揮発性メモリに書き込む。
【選択図】図２
【解決手段】実施形態に係るメモリシステムは、不揮発性メモリと、コントローラと、を具備する。コントローラは、時間データと前記不揮発性メモリのヘルスデータに基づいて鍵を生成し、前記鍵を使用してデータを暗号化データに変換し、前記暗号化データを前記不揮発性メモリに書き込む。
【選択図】図２
【特許請求の範囲】
【請求項1】
不揮発性メモリと、
時間データと前記不揮発性メモリの劣化状態を表すヘルスデータとに基づいて鍵を生成し、前記鍵を使用してデータを暗号化し、前記暗号化されたデータを前記不揮発性メモリに書き込むコントローラと、
を具備するメモリシステム。
時間データと前記不揮発性メモリの劣化状態を表すヘルスデータとに基づいて鍵を生成し、前記鍵を使用してデータを暗号化し、前記暗号化されたデータを前記不揮発性メモリに書き込むコントローラと、
を具備するメモリシステム。
【請求項2】
前記時間データは、リアルタイムクロックから出力される絶対時間又はリアルタイムクロックから出力される或る基準時間からの相対時間を表す、請求項１記載のメモリシステム。
【請求項3】
前記ヘルスデータは、前記不揮発性メモリのトータルライトサイズ又はトータルリードサイズを表す、請求項１記載のメモリシステム。
【請求項4】
前記ヘルスデータは、前記不揮発性メモリの消去回数を表す、請求項１記載のメモリシステム。
【請求項5】
前記不揮発性メモリは、複数のブロックを含むメモリセルアレイを含み、
前記ヘルスデータは、前記複数のブロック毎の消去回数の最小値、最大値、及び平均値を表す、請求項４記載のメモリシステム。
前記ヘルスデータは、前記複数のブロック毎の消去回数の最小値、最大値、及び平均値を表す、請求項４記載のメモリシステム。
【請求項6】
前記不揮発性メモリは、複数のアドレス範囲に分割された記憶領域を含み、
前記コントローラは、各々が前記複数のアドレス範囲の各々に対応する複数の鍵を生成する、請求項１記載のメモリシステム。
前記コントローラは、各々が前記複数のアドレス範囲の各々に対応する複数の鍵を生成する、請求項１記載のメモリシステム。
【請求項7】
前記コントローラは、
前記複数のアドレス範囲毎に所定数の鍵を生成し、
前記複数のアドレス範囲毎の前記所定数の鍵を前記不揮発性メモリに書き込み、
前記所定数の鍵が生成されているアドレス範囲について、第１鍵を生成した場合、前記不揮発性メモリに記憶されている前記生成されている前記所定数の鍵のうちの第２鍵を前記第１鍵に更新する、請求項６記載のメモリシステム。
前記複数のアドレス範囲毎に所定数の鍵を生成し、
前記複数のアドレス範囲毎の前記所定数の鍵を前記不揮発性メモリに書き込み、
前記所定数の鍵が生成されているアドレス範囲について、第１鍵を生成した場合、前記不揮発性メモリに記憶されている前記生成されている前記所定数の鍵のうちの第２鍵を前記第１鍵に更新する、請求項６記載のメモリシステム。
【請求項8】
前記コントローラは、前記第１鍵を生成した場合、前記第２鍵で暗号化された暗号化データを前記第２鍵で復号し、前記第２鍵で前記復号されたデータを前記第１鍵で暗号化し、前記第１鍵で暗号化されたデータを前記不揮発性メモリに書き込む、請求項７記載のメモリシステム。
【請求項9】
前記所定数の鍵のうちの前記第２鍵以外の鍵に対応するデータのサイズよりも前記第２鍵に対応するデータのサイズが小さい、請求項７記載のメモリシステム。
【請求項10】
前記所定数の鍵のうちの前記第２鍵以外の鍵に対応するデータのサイズと前記第２鍵に対応するデータのサイズが同じ場合に、前記所定数の鍵のうちの前記第２鍵以外の前記鍵の生成時期よりも前記第２鍵の生成時期が古い、請求項９記載のメモリシステム。
【請求項11】
前記コントローラは、複数のライト要求を連続して受信した場合、前記複数のライト要求の各々のライト要求で指定された少なくとも１つのデータを暗号化する少なくとも１つの鍵を新たに生成する、請求項１記載のメモリシステム。
【請求項12】
前記コントローラは、
第３鍵を使用して暗号化された第１データを前記不揮発性メモリから読み出し、前記読み出した第１データに含まれる誤りを訂正した場合、
前記第３鍵を使用して暗号化された第２データを前記不揮発性メモリから読み出して復号し、第４鍵を生成し、前記第４鍵を使用して前記誤り訂正された第１データを暗号化し、前記第４鍵を使用して前記第２データを暗号化し、前記第４鍵を使用して暗号化された前記第１データと前記第４鍵を使用して暗号化された前記第２データとを前記不揮発性メモリに書き込む、請求項１記載のメモリシステム。
第３鍵を使用して暗号化された第１データを前記不揮発性メモリから読み出し、前記読み出した第１データに含まれる誤りを訂正した場合、
前記第３鍵を使用して暗号化された第２データを前記不揮発性メモリから読み出して復号し、第４鍵を生成し、前記第４鍵を使用して前記誤り訂正された第１データを暗号化し、前記第４鍵を使用して前記第２データを暗号化し、前記第４鍵を使用して暗号化された前記第１データと前記第４鍵を使用して暗号化された前記第２データとを前記不揮発性メモリに書き込む、請求項１記載のメモリシステム。
【請求項13】
ホストと接続可能であり、
前記コントローラは、前記ホストからのリード要求に応じて前記第３鍵を使用して暗号化された第１データを前記不揮発性メモリから読み出す、請求項１２記載のメモリシステム。
前記コントローラは、前記ホストからのリード要求に応じて前記第３鍵を使用して暗号化された第１データを前記不揮発性メモリから読み出す、請求項１２記載のメモリシステム。
【請求項14】
不揮発性メモリを制御する方法であって、
前記不揮発性メモリの劣化状態を表すヘルスデータを読み出し、
時間データと前記読み出したヘルスデータとに基づいて鍵を生成し、
前記生成された鍵を使用してデータを暗号化し、
前記暗号化されたデータに基づくデータを前記不揮発性メモリへ書き込む、方法。
前記不揮発性メモリの劣化状態を表すヘルスデータを読み出し、
時間データと前記読み出したヘルスデータとに基づいて鍵を生成し、
前記生成された鍵を使用してデータを暗号化し、
前記暗号化されたデータに基づくデータを前記不揮発性メモリへ書き込む、方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明の実施形態は、メモリシステム及びデータ書き込み方法に関する。
【背景技術】
【0002】
データを暗号化し、暗号化データを記憶するメモリシステムがある。メモリシステムは、乱数生成器を備え、乱数に基づいて鍵を生成し、鍵を使用してデータを暗号化する。乱数生成器は、なんらかの規則に従って乱数を生成する。そのため、第３者が鍵に含まれる数字列の規則性を検出し、この規則性から鍵を推定し、暗号化データを復号する可能性がある。
【先行技術文献】
【特許文献】
【0003】
【特許文献1】特開２０１３－６２６１６号公報
【特許文献2】特開２０１２－３４２６８号公報
【特許文献3】米国特許第９６５９１９１号明細書
【発明の概要】
【発明が解決しようとする課題】
【0004】
本発明の目的は、暗号化データが第３者により復号されることが困難であるメモリシステム及びデータ書き込み方法を提供することである。
【課題を解決するための手段】
【0005】
実施形態に係るメモリシステムは、不揮発性メモリと、時間データと前記不揮発性メモリのヘルスデータに基づいて鍵を生成し、前記鍵を使用してデータを暗号化データに変換し、前記暗号化データに基づくデータを前記不揮発性メモリに書き込むコントローラと、を具備する。
【図面の簡単な説明】
【0006】
【図1】第１実施形態に係るメモリシステムを含む情報処理システムの一例を説明するためのブロック図。
【図2】第１実施形態に係るメモリシステムの暗号化の第１例の概略を説明するためのフローチャート。
【図3】第１実施形態に係るパスワードテーブルの一例を説明するための図。
【図4】第１実施形態に係る鍵テーブルの一例を説明するための図。
【図5】第１実施形態に係るメモリシステムの復号の第１例の概略を説明するためのフローチャート。
【図6】第１実施形態に係るメモリシステムの暗号化の第２例の概略を説明するためのフローチャート。
【図7】第１実施形態に係るメモリシステムの復号の第２例の概略を説明するためのフローチャート。
【図8】第１実施形態に係るヘルスデータの一例を説明するための図。
【図9】第１実施形態に係る鍵生成に使用されるヘルスデータの一例を説明するための図。
【図10】第１実施形態に係るＲＴＣデータの一例を説明するための図。
【図11】第１実施形態に係るＲＴＣの動作の一例を説明するための図。
【図12】第１実施形態に係る暗号化／復号回路の詳細な一例を説明するためのブロック図。
【図13】第１実施形態に係る暗号化／復号回路の暗号化の詳細な一例の前半を説明するためのフローチャート。
【図14】第１実施形態に係る暗号化／復号回路の暗号化の詳細な一例の後半を説明するためのフローチャート。
【図15】第１実施形態に係るメモリシステムの鍵割り当ての第１例を説明するための図。
【図16】第１実施形態に係るメモリシステムの鍵割り当ての第２例を説明するための図。
【図17】第１実施形態に係るメモリシステムの鍵割り当ての第３例を説明するための図。
【図18】第１実施形態に係るメモリシステムの鍵生成タイミングの一例を説明するための図。
【図19】第１実施形態に係るメモリシステムの鍵生成タイミングの詳細な例を説明するための図。
【図20】第１実施形態に係るメモリシステムの鍵更新テーブルの一例を説明するための図。
【図21】第１実施形態に係るメモリシステムの鍵更新の一例を説明するための図。
【図22】第１実施形態に係るメモリシステムの鍵更新の一例を説明するための図。
【図23】第１実施形態に係るメモリシステムのライト動作の一例の一部を説明するためのフローチャート。
【図24】第１実施形態に係るメモリシステムのライト動作の一例の残りの一部を説明するためのフローチャート。
【図25】第１実施形態に係るメモリシステムのリード動作の一例の一部を説明するためのフローチャート。
【図26】第１実施形態に係るメモリシステムのパトロールリード動作の一例の一部を説明するためのフローチャート。
【発明を実施するための形態】
【0007】
以下、図面を参照して、実施形態を説明する。以下の説明は、実施形態の技術的思想を具体化するための装置や方法を例示するものであって、実施形態の技術的思想は、以下に説明する構成要素の構造、形状、配置、材質等に限定されるものではない。当業者が容易に想到し得る変形は、当然に開示の範囲に含まれる。説明をより明確にするため、図面において、各要素のサイズ、厚み、平面寸法又は形状等を実際の実施態様に対して変更して模式的に表す場合もある。複数の図面において、互いの寸法の関係や比率が異なる要素が含まれることもある。複数の図面において、対応する要素には同じ参照数字を付して重複する説明を省略する場合もある。いくつかの要素に複数の呼称を付す場合があるが、これら呼称の例はあくまで例示であり、これらの要素に他の呼称を付すことを否定するものではない。また、複数の呼称が付されていない要素についても、他の呼称を付すことを否定するものではない。なお、以下の説明において、「接続」は直接接続のみならず、他の要素を介した接続も含む場合もある。
【0008】
以下、図面を参照しながら本実施の形態について詳細に説明する。
【0009】
図１は、第１実施形態に係るメモリシステム４を含む情報処理システムの一例を説明するためのブロック図である。情報処理システムは、メモリシステム４とホスト２とを含む。
【0010】
ホスト２は、メモリシステム４にアクセスする外部機器としての情報処理装置である。ホスト２は、大量且つ多様なデータをメモリシステム４に保存するサーバ（ストレージサーバ）であってもよい。ホスト２は、パーソナルコンピュータであってもよい。
【0011】
メモリシステム４は、ホスト２のメインストレージとして使用され得る。メモリシステム４は、データセンター等のサーバに組み込まれるビジネスユース向けのシステムであってもよい。メモリシステム４はパーソナルコンピュータに組み込まれるパーソナルユース向けのシステムであってもよい。
【0012】
メモリシステム４は、ホスト２に接続可能である。メモリシステム４とホスト２は、同じ筐体に設けられてもよい。メモリシステム４とホスト２は、別々の筐体にそれぞれ設けられてもよい。図１は、メモリシステム４とホスト２は、別々の筐体にそれぞれ設けられている実施形態を示す。この場合、メモリシステム４は、ホスト２にケーブルまたはネットワークを介して接続される。
【0013】
メモリシステム４は、不揮発性記憶媒体にデータを書き込む、又は不揮発性記憶媒体からデータを読み出すように構成されたストレージデバイスである。メモリシステム４の例としては、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、ｅＭＭＣ（ｅｍｂｅｄｄｅｄ Ｍｕｌｔｉ Ｍｅｄｉａ Ｃａｒｄ）、ＵＦＳ（Ｕｎｉｖｅｒｓａｌ Ｆｌａｓｈ Ｓｔｏｒａｇｅ）デバイス、メモリカードがある。図１は、メモリシステム４の例がＳＳＤである実施形態を示す。
【0014】
不揮発性記憶媒体の例としては、ＮＡＮＤ型フラッシュメモリ、ＮＯＲ型フラッシュメモリ、ＭＲＡＭ（Ｍａｇｎｅｔｏ－ｒｅｓｉｓｔｉｖｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＰＲＡＭ（Ｐｈａｓｅ ｃｈａｎｇｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲｅＲＡＭ（Ｒｅｓｉｓｔｉｖｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＦｅＲＡＭ（Ｆｅｒｒｏｅｌｅｃｔｒｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）がある。図１は、不揮発性記憶媒体の例がＮＡＮＤ型フラッシュメモリ（以降、ＮＡＮＤメモリと称される）１４である実施形態を示す。
【0015】
メモリシステム４は、コントローラ１２、ＮＡＮＤメモリ１４、及びＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１６を備える。ＳＳＤでは、コントローラ１２とＮＡＮＤメモリ１４は、別々の部品として形成される。ｅＭＭＣでは、コントローラ１２とＮＡＮＤメモリ１４は、同一の部品として形成される。
【0016】
コントローラ１２は、ホスト２から送信されるライト要求に従って、ＮＡＮＤメモリ１４にデータを書き込む。コントローラ１２は、ホスト２から送信されるリード要求に従って、ＮＡＮＤメモリ１４からデータを読み出す。
【0017】
コントローラ１２は、ＳｏＣ（Ｓｙｓｔｅｍ ｏｎ ａ Ｃｈｉｐ）のような回路によって構成され得る。
【0018】
ＤＲＡＭ１６は、揮発性メモリの一例である。ＤＲＡＭ１６は、例えばＤＤＲ３Ｌ（Ｄｏｕｂｌｅ Ｄａｔａ Ｒａｔｅ ３ Ｌｏｗ ｖｏｌｔａｇｅ）規格のＤＲＡＭである。ＤＲＡＭ１６は、ホスト２からメモリシステム４に供給され、ＮＡＮＤメモリ１４に書き込まれている途中あるいは未書き込みのデータや、ＮＡＮＤメモリ１４から読み出され、ホスト２に転送中あるいは未転送のデータを記憶するバッファメモリとして動作する。ＤＲＡＭ１６は、ホスト２が指定するアドレスに関する論理アドレスと、ＮＡＮＤメモリ１４の物理アドレスとの対応付けを定義するアドレス変換テーブルを記憶するエリアと、ホスト２から受信した要求を記憶するエリアと、ＮＡＮＤメモリ１４に書き込まれている途中、あるいは未書き込みのデータを記憶するエリア（ライトバッファと称される）と、ＮＡＮＤメモリ１４から読み出され、ホスト２に転送中のデータあるいは未転送のデータを記憶するエリア（リードバッファと称される）とを備える。
【0019】
揮発性メモリとしてのＤＲＡＭ１６は、コントローラ１２の外部に設けるのではなく、コントローラ１２の内部に設けてもよい。なお、揮発性メモリとしては、ＤＲＡＭ１６の代わりに、より高速アクセスが可能なＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を用いてもよい。
【0020】
ＮＡＮＤメモリ１４は、単一のチップからなってもよいし、複数のチップからなってもよい。チップは、マトリクス状に配置された複数のメモリセルを含むメモリセルアレイを含む。メモリセルアレイは、複数のメモリセルが平面状に配置された二次元構造のメモリセルアレイであってもよいし、複数のメモリセルが立体状に配置された三次元構造のメモリセルアレイであってもよい。 メモリセルアレイは、複数のブロックＢＬＫを含む。各ブロックＢＬＫは複数のページを含む。ブロックＢＬＫは、最小の消去単位として機能する。各ページは、同一ワード線に接続された複数のメモリセルを含む。ページは、データ書き込み動作およびデータ読み出し動作の単位である。
【0021】
ＮＡＮＤメモリ１４は、セキュリティデータ領域１４ａとユーザデータ領域１４ｂを備える。ホスト２は、ユーザデータ領域１４ｂにアクセスできるが、セキュリティデータ領域１４ａにはアクセスできない。コントローラ１２は、セキュリティデータ領域１４ａとユーザデータ領域１４ｂにアクセスできる。
【0022】
コントローラ１２は、ＣＰＵ２０、ホストインタフェース（ホストＩ／Ｆ）回路２２、ＮＡＮＤインターフェース（ＮＡＮＤ Ｉ／Ｆ）回路２４、ＤＲＡＭインターフェース（ＤＲＡＭ Ｉ／Ｆ）回路２６、暗号化／復号回路３４及びリアルタイムクロック（ＲＴＣ）２８を備える。ＣＰＵ２０、暗号化／復号回路３４、ホストＩ／Ｆ回路２２、ＮＡＮＤ Ｉ／Ｆ回路２４及びＤＲＡＭ Ｉ／Ｆ回路２６は、バスライン３０に接続される。
【0023】
ホストＩ／Ｆ回路２２は、ホスト２に電気的に接続され、ＮＡＮＤ Ｉ／Ｆ回路２４はＮＡＮＤメモリ１４に電気的に接続され、ＤＲＡＭ Ｉ／Ｆ回路２６はＤＲＡＭ１６に電気的に接続される。
【0024】
ホストＩ／Ｆ回路２２は、ＳＣＳＩ（Ｓｍａｌｌ Ｃｏｍｐｕｔｅｒ Ｓｙｓｔｅｍ Ｉｎｔｅｒｆａｃｅ）、ＳＡＳ（Ｓｅｒｉａｌ Ａｔｔａｃｈｅｄ ＳＣＳＩ）、ＡＴＡ（ＡＴ Ａｔｔａｃｈｍｅｎｔ）、ＳＡＴＡ（Ｓｅｒｉａｌ ＡＴＡ）、ＰＣＩｅ（ＰＣＩ Ｅｘｐｒｅｓｓ）ＴＭ、ＥｔｈｅｒｎｅｔＴＭ、Ｆｉｂｒｅ ｃｈａｎｎｅｌＴＭ、ＮＶＭｅ（ＮＶＭ Ｅｘｐｒｅｓｓ）ＴＭ、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ＴＭ、ＵＡＲＴ（Ｕｎｉｖｅｒｓａｌ Ａｓｙｎｃｈｒｏｎｏｕｓ Ｒｅｃｅｉｖｅｒ／Ｔｒａｎｓｍｉｔｔｅｒ）ＴＭ等の規格に準拠する。
【0025】
ＮＡＮＤ Ｉ／Ｆ回路２４は、Ｔｏｇｇｌｅ ＤＤＲ、ＯＮＦＩ（Ｏｐｅｎ ＮＡＮＤ Ｆｌａｓｈ Ｉｎｔｅｒｆａｃｅ）等の規格に準拠する。
【0026】
ＣＰＵ２０は、例えばＮＡＮＤメモリ１４に記憶されているファームウェアを実行することにより種々の機能を実現するモジュールを備える。種々の機能の例は、暗号化機能と復号機能である。ＣＰＵ２０は、暗号化／復号モジュール３４を備える。
【0027】
ホスト２はメモリシステム４に平文であるユーザデータを送信する。
【0028】
暗号化／復号回路３４は、ユーザデータを暗号化するとともに、暗号化されたデータを復号する。
【0029】
ＣＰＵ２０は、例えばホスト２からホストＩ／Ｆ回路２２を介してライト要求を受信する場合、ライト要求に関するユーザデータ暗号化を暗号化／復号回路３４へ入力する。暗号化／復号回路３４は、入力されたユーザデータを暗号化する。ＣＰＵ２０は、図示しない誤り訂正符号化（ＥＣＣ）回路に、暗号化／復号回路３４で暗号化されたデータに対してＥＣＣを実行させる。ＥＣＣ回路は、誤り訂正用のパリティ（ＥＣＣパリティ）を生成し、生成したＥＣＣパリティと暗号化されたデータとを有する符号語を生成する。そして、ＣＰＵ２０が、符号語をＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４に書き込むように構成される。つまり、ＣＰＵ２０は、ホスト２からのライト要求に対して、暗号化／復号回路３４で暗号化されたデータに基づくデータを、ＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４に書き込むように構成される。
【0030】
また、ＣＰＵ２０は、例えばホスト２からホストＩ／Ｆ回路２２を介してリード要求を受信する場合、当該リード要求に基づくデータをＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４から読み出す。ＣＰＵ２０は、ＥＣＣ回路に、リードデータに対する誤り訂正復号処理を実行させる。ＣＰＩＵ２０は、誤り訂正復号処理が実行されたリードデータを暗号化されたデータとして暗号化／復号回路３４へ入力する。暗号化／復号回路３４は、入力された暗号化データを復号する。つまり、ＣＰＵ２０は、ホスト２からのリード要求に対して、ＮＡＮＤメモリ１４から読み出したデータに基づくデータを復号して、復号したデータをホストＩ／Ｆ回路２２を介してホスト２へ送信するように構成される。
【0031】
ＲＴＣ２８は、年月日時刻を示す時間データ（以降、ＲＴＣデータと称される）を出力するＩＣであり、バッテリーでバックアップされている。ＲＴＣ２８は、シリアルバスを介してＣＰＵ２０に接続される。シリアルバスの例は、Ｉ２Ｃバス、ＳＰＩバスである。ＲＴＣ２８は、ＣＰＵ２０にＲＴＣデータを送信する。
【0032】
ＮＡＮＤメモリ１４等の不揮発性メモリは、書き込み又は消去毎に記憶能力が劣化する。書き込み回数又は消去回数が上限回数を超えると、不揮発性メモリはデータを記憶出来なくなる。メモリシステム４は、ＮＡＮＤメモリ１４の書き込み回数又は消去回数が条件回数を超える前に処置を施すことができるようにするために、ＮＡＮＤメモリ１４の劣化状態を確認するためのヘルスステータスコマンドが定義されている。ＮＡＮＤメモリ１４は、ヘルスステータスコマンドに応答して劣化状態を表すヘルスデータを出力する。ヘルスデータの一例は、ブロック毎の消去回数である。
【0033】
暗号化／復号回路３４は、少なくともＲＴＣデータとヘルスデータとに基づいて鍵を生成し、鍵を使用して暗号化処理と復号処理を行う。そのため、暗号化／復号回路３４は、鍵を生成する際、ＮＡＮＤメモリ１４から出力されたヘルスデータを受信するとともに、ＲＴＣ２８から出力されたＲＴＣデータを受信する。暗号化／復号回路３４は、ＲＴＣデータとヘルスデータに基づいて鍵を生成する。ＲＴＣデータとヘルスデータは短時間に変化するので、鍵が第３者に知られる可能性が低い。暗号化／復号回路３４は、ＲＴＣデータとヘルスデータに加えてユーザが設定するパスワードにも基づいて鍵を生成してもよい。
【0034】
図１は、暗号化／復号回路３４をハードウェアとして実装する例を示す。暗号化／復号回路３４は、ファームウェアで実装されてもよいし、ハードウェアとファームウェアの組み合わせで実装されてもよい。
【0035】
コントローラ１２は、暗号化／復号回路３４を備える代わりに暗号化回路を備えてもよい。この場合、ＣＰＵ２０は、ホスト２からのリード要求に対して、ＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４から読み出したデータに基づくデータを復号せずにそのままホストＩ／Ｆ回路２２を介してホスト２へ送信するように構成される。ホスト２がデータを復号する。
【0036】
次に、暗号化／復号処理の２つの例を説明する。第１例は、パスワードを必要とする例である。第２例は、パスワードを不要とし、復号処理はホスト２で行われる例である。
【0037】
図２は、第１実施形態に係るメモリシステム４書き込み処理の第１例の概略を説明するためのフローチャートである。
【0038】
ホスト２のユーザは、メモリシステム４に書き込むユーザデータに対してパスワードを決定し、パスワードをホスト２に入力する。
【0039】
ホスト２は、ライト要求とパスワードをメモリシステム４へ送信する（Ｓ１０２）。ライト要求は、ライト対象のユーザデータと開始アドレス（論理アドレス）を含む。開始アドレスは、ユーザデータが書き込み開始されるアドレスである。
【0040】
ＣＰＵ２０が、ライト要求とパスワードをホストＩ／Ｆ回路２２を介して受け取ると、ＣＰＵ２０は、ライト要求で指定されたユーザデータと開始アドレスとパスワードをＤＲＡＭ Ｉ／Ｆ回路２６を介してＤＲＡＭ１６に書き込む（Ｓ１０４）。
【0041】
ＣＰＵ２０は、開始アドレスとパスワードの関係を表すパスワードテーブルをＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４のセキュリティデータ領域１４ａに書き込む（Ｓ１０６）。図３は、第１実施形態に係るパスワードテーブルの一例を説明するための図である。パスワードテーブルは、開始アドレスがアドレスＡｄｄｒｅｓｓ－１であるデータにパスワードＰａｓｓｗｏｒｄ－１が設定され、開始アドレスがアドレスＡｄｄｒｅｓｓ－２であるデータにパスワードＰａｓｓｗｏｒｄ－２が設定されることを表す。
【0042】
ＣＰＵ２０は、ヘルスステータスコマンドをＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４へ送信する（Ｓ１１０）。ＮＡＮＤメモリ１４は、ヘルスステータスコマンドを受信すると、ヘルスデータをＮＡＮＤ Ｉ／Ｆ回路２４を介してＣＰＵ２０へ返送する。
【0043】
ＣＰＵ２０は、ヘルスデータを暗号化／復号回路３４へ送信する（Ｓ１１２）。
【0044】
ＣＰＵ２０は、ＲＴＣ２８が出力するＲＴＣデータを暗号化／復号回路３４へ送信する（Ｓ１１４）。
【0045】
ＣＰＵ２０は、ＲＴＣデータの送信（Ｓ１１４）をヘルスステータスコマンドの送信（Ｓ１１０）の前に実行してもよい。
【0046】
ＣＰＵ２０は、ＤＲＡＭ Ｉ／Ｆ回路２６を介してＤＲＡＭ１６からユーザデータを読み出し、ユーザデータを暗号化／復号回路３４へ送信し、暗号化／復号回路３４に暗号化処理を実行させる（Ｓ１１６）。
【0047】
暗号化／復号回路３４は、鍵生成アルゴリズムに従い、鍵を生成する。鍵生成アルゴリズムの一例は、ＲＳＡアルゴリズムである。暗号化／復号回路３４は、パスワード、ヘルスデータ及びＲＴＣデータに基づいて、シードを生成する（Ｓ１１８）。
【0048】
暗号化／復号回路３４は、シードに基づいて公開鍵と秘密鍵を生成する（Ｓ１２０）。公開鍵は、暗号化に用いられる。秘密鍵は、復号に用いられる。
【0049】
暗号化／復号回路３４は、公開鍵を使用してユーザデータを暗号化する（Ｓ１２２）。
【0050】
ＣＰＵ２０は、暗号化したデータに関する開始アドレスをＤＲＡＭ１６から読み出し、開始アドレスと公開鍵と秘密鍵との関係を表す鍵テーブルをＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４のセキュリティデータ領域１４ａに書き込む（Ｓ１２４）。図４は、第１実施形態に係る鍵テーブルの一例を説明するための図である。鍵テーブルは、開始アドレスがアドレスＡｄｄｒｅｓｓ－１であるデータに公開鍵ＰＫｅｙ－１と秘密鍵ＳＫｅｙ－１が割り当てられ、開始アドレスがアドレスＡｄｄｒｅｓｓ－２であるデータに公開鍵ＰＫｅｙ－２と秘密鍵ＳＫｅｙ－２が割り当てられることを表す。ホスト２は、セキュリティデータ領域１４ａにアクセスできないので、ホスト２は、秘密鍵を読み出すことができず、秘密鍵のセキュリティ性が高い。
【0051】
ＣＰＵ２０は、暗号化（Ｓ１２２）と鍵テーブルの書き込み（Ｓ１２４）を逆の順番で実行してもよい。
【0052】
ＣＰＵ２０は、ＥＣＣ回路（図示せず）に、暗号化／復号回路３４で暗号化されたデータに対してＥＣＣを実行させ、ＥＣＣパリティと暗号化されたデータとを有する符号語をＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４のユーザデータ領域１４ｂの開始アドレスから書き込む（Ｓ１２６）。
【0053】
ＣＰＵ２０は、鍵テーブルの書き込み（Ｓ１２４）と符号語の書き込み（Ｓ１２６）を逆の順番で実行してもよい。
【0054】
符号語の書き込み（Ｓ１２６）の後、書き込み処理は終了する。
【0055】
図５は、第１実施形態に係るメモリシステム４の読み出し処理の第１例の概略を説明するためのフローチャートである。
【0056】
ホスト２のユーザは、リード対象のユーザデータのパスワードをホスト２に入力する。
【0057】
ホスト２は、リード要求とパスワードをメモリシステム４へ送信する（Ｓ１３２）。リード要求は、開始アドレス（論理アドレス）とデータサイズを含む。開始アドレスは、符号語が読み出し開始されるアドレスである。
【0058】
ＣＰＵ２０が、リード要求とパスワードをホストＩ／Ｆ回路２２を介して受け取ると、ＣＰＵ２０は、セキュリティデータ領域１４ａに記憶されているパスワードテーブルから開始アドレスに応じたパスワードをＮＡＮＤ Ｉ／Ｆ回路２４を介して読み出す。ＣＰＵ２０は、ホスト２から送信されたパスワードと、セキュリティデータ領域１４ａから読み出したパスワードとを比較することにより、パスワード認証を行い、パスワード認証が成功したか否かを判定する（Ｓ１３４）。
【0059】
両パスワードが不一致の場合、すなわちパスワード認証が失敗した場合（Ｓ１３４のＮｏ）、ＣＰＵ２０は読み出し処理を終了する。
【0060】
両者が一致する場合、すなわちパスワード認証が成功した場合（Ｓ１３４のＹｅｓ）、ＣＰＵ２０は、セキュリティデータ領域１４ａに記憶されている鍵テーブルから開始アドレスに応じた秘密鍵をＮＡＮＤ Ｉ／Ｆ回路２４を介して読み出し、秘密鍵を暗号化／復号回路３４へ送信する（Ｓ１３６）。
【0061】
ＣＰＵ２０は、ユーザデータ領域１４ｂの開始アドレスから符号語をＮＡＮＤ Ｉ／Ｆ回路２４を介して読み出し、符号語に含まれる暗号化されたデータに対する誤り訂正復号処理をＥＣＣ回路に実行させる（Ｓ１３８）。ＣＰＵ２０は、ＥＣＣ回路により誤り訂正復号処理が実行されたデータを暗号化されたデータとして暗号化／復号回路３４へ送信し、暗号化／復号回路３４に復号処理を実行させる（Ｓ１３９）。
【0062】
暗号化／復号回路３４は、暗号化されたデータを秘密鍵を使用して復号し、復号により得られたユーザデータをＣＰＵ２０へ送信する（Ｓ１４０）。
【0063】
ＣＰＵ２０は、ユーザデータをホストＩ／Ｆ回路２２を介してホスト２へ送信する（Ｓ１４２）。
【0064】
ユーザデータの送信（Ｓ１４２）の後、読み出し処理は終了する。
【0065】
図６は、第１実施形態に係るメモリシステム４の書き込み処理の第２例の概略を説明するためのフローチャートである。
【0066】
ホスト２は、ライト要求をメモリシステム４へ送信する（Ｓ１５２）。
【0067】
ＣＰＵ２０は、ライト要求をホストＩ／Ｆ回路２２を介して受け取ると、ライト要求で指定されたユーザデータと開始アドレスをＤＲＡＭ Ｉ／Ｆ回路２６を介してＤＲＡＭ１６に書き込む（Ｓ１５４）。
【0068】
ＣＰＵ２０は、ヘルスステータスコマンドをＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４へ送信する（Ｓ１５６）。ＮＡＮＤメモリ１４は、ヘルスステータスコマンドを受信すると、ヘルスデータをＮＡＮＤ Ｉ／Ｆ回路２４を介してＣＰＵ２０へ返送する。
【0069】
ＣＰＵ２０は、ヘルスデータを暗号化／復号回路３４へ送信する（Ｓ１５８）。
【0070】
ＣＰＵ２０は、ＲＴＣ２８が出力するＲＴＣデータを暗号化／復号回路３４へ送信する（Ｓ１６０）。
【0071】
ＣＰＵ２０は、ＲＴＣデータの送信（Ｓ１６０）をヘルスステータスコマンドの送信（Ｓ１５６）の前に実行してもよい。
【0072】
ＣＰＵ２０は、ＤＲＡＭ Ｉ／Ｆ回路２６を介してＤＲＡＭ１６からユーザデータを読み出し、ユーザデータを暗号化／復号回路３４へ送信する（Ｓ１６２）。
【0073】
暗号化／復号回路３４は、ヘルスデータとＲＴＣデータに基づいてシードを生成する（Ｓ１６４）。
【0074】
暗号化／復号回路３４は、シードに基づいて鍵を生成する。鍵生成アルゴリズムがＲＳＡアルゴリズムである場合、暗号化／復号回路３４は、シードに基づいて公開鍵と秘密鍵を生成する（Ｓ１６６）。
【0075】
暗号化／復号回路３４は、秘密鍵又は公開鍵を使用してユーザデータを暗号化する（Ｓ１６８）。
【0076】
ＣＰＵ２０は、暗号化したデータに関する開始アドレスをＤＲＡＭ１６から読み出し、鍵テーブル（図４）をＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４のセキュリティデータ領域１４ａに書き込む（Ｓ１７０）。
【0077】
ＣＰＵ２０は、ユーザデータの送信（Ｓ１６２）の前に鍵テーブルの書き込み（Ｓ１７０）を実行してもよい。
【0078】
ＣＰＵ２０は、ＥＣＣ回路（図示せず）に、暗号化／復号回路３４で暗号化されたデータに対してＥＣＣを実行させ、ＥＣＣパリティと暗号化されたデータとを有する符号語をＮＡＮＤ Ｉ／Ｆ回路２４を介してＮＡＮＤメモリ１４のユーザデータ領域１４ｂの開始アドレスから書き込む（Ｓ１７２）。
【0079】
ＣＰＵ２０は、鍵テーブルの書き込み（Ｓ１７０）と符号語の書き込み（Ｓ１７２）を逆の順番で実行してもよい。
【0080】
符号語の書き込み（Ｓ１７２）の後、書き込み処理は終了する。
【0081】
図７は、第１実施形態に係るメモリシステム４の読み出し処理の第２例の概略を説明するためのフローチャートである。
【0082】
ホスト２は、リード要求をメモリシステム４へ送信する（Ｓ１８２）。
【0083】
ＣＰＵ２０は、リード要求をホストＩ／Ｆ回路２２を介して受け取ると、セキュリティデータ領域１４ａに記憶されている鍵テーブルから開始アドレスに応じた秘密鍵をＮＡＮＤ Ｉ／Ｆ回路２４を介して読み出す（Ｓ１８４）。
【0084】
ＣＰＵ２０は、ユーザデータ領域１４ｂの開始アドレスから符号語をＮＡＮＤ Ｉ／Ｆ回路２４を介して読み出す（Ｓ１８６）。
【0085】
ＣＰＵ２０は、秘密鍵の読み出し（Ｓ１８４）と符号語の読み出し（Ｓ１８６）を逆の順番で実行してもよい。
【0086】
ＣＰＵ２０は、符号語に含まれる暗号化されたデータに対する誤り訂正復号処理をＥＣＣ回路に実行させる（Ｓ１８８）。ＣＰＵ２０は、ＥＣＣ回路により誤り訂正復号処理が実行されたデータを暗号化されたデータとしてホストＩ／Ｆ回路２２を介してホスト２へ送信するとともに、秘密鍵もホストＩ／Ｆ回路２２を介してホスト２へ送信する（Ｓ１８９）。
【0087】
ホスト２は、暗号化されたデータを秘密鍵を使用して復号し、ユーザデータを得る（Ｓ１９０）。この後、読み出し処理は終了する。
【0088】
書き込み／読み出し処理の第１例では、メモリシステム４がデータを復号し、パスワード認証されたユーザが使うホスト２のみがデータを読み出すことができ、パスワードを知らない第３者がデータを読み出すことができない。メモリシステム４のデータ処理性能がホスト２のデータ処理性能より低い場合、読み出しのレイテンシーが後述の第２例の場合よりも高くなる場合がある。
【0089】
書き込み／読み出し処理の第２例では、ホスト２がデータを復号するので、読み出しのレイテンシーが第１例の場合よりも高くなることがない。しかし、ホスト２にアクセスする全てのユーザが秘密鍵を知ることができ、データの秘匿性が第１例に比べて悪い可能性がある。
【0090】
ヘルスデータを説明する。図８は、第１実施形態に係るヘルスデータの一例を説明するための図である。ＣＰＵ２０は、引数（ａｒｇｕｍｅｎｔ）を含むヘルスステータスコマンドをＮＡＮＤメモリ１４へ送信する。引数には、複数の値、例えば９１ｈと９３ｈの２つのいずれかが設定可能である。ＮＡＮＤメモリ１４は、引数が９１ｈのヘルスステータスコマンドに応じて、ヘルスデータ（９１ｈ）をＣＰＵ２０へ返送する。ヘルスデータ（９１ｈ）は、１０バイトのデータである。バイト位置００ｈの１バイトのデータは、ヘルスステータスコマンドの引数（９１ｈ）を表す。バイト位置０１ｈの１バイトのデータは、ステータスを表す。ステータスは、ヘルスステータスコマンドでの読み出しが成功したか失敗したかを示す。バイト位置１０ｈから４バイトのデータは、ＮＡＮＤメモリ１４に書き込まれたデータの総量（トータルライトサイズ）を表す。バイト位置１４ｈから４バイトのデータは、ＮＡＮＤメモリ１４から読み出されたデータの総量（トータルリードサイズ）を表す。
【0091】
ＮＡＮＤメモリ１４は、引数が９３ｈのヘルスステータスコマンドに応じてヘルスデータ（９３ｈ）をＣＰＵ２０へ返送する。ヘルスデータ（９３ｈ）は、２６バイトのデータである。バイト位置００ｈの１バイトのデータは、ヘルスステータスコマンドの引数（９３ｈ）を表す。バイト位置０１ｈの１バイトのデータは、ステータスを表す。バイト位置１０ｈから４バイトのデータは、第１種類のブロック毎の消去回数の最小値を表す。バイト位置１４ｈから４バイトのデータは、第１種類のブロック毎の消去回数の最大値を表す。バイト位置１８ｈから４バイトのデータは、第１種類のブロック毎の消去回数の平均値を表す。バイト位置２０ｈから４バイトのデータは、第２種類のブロック毎の消去回数の最小値を表す。バイト位置２４ｈから４バイトのデータは、第２種類のブロック毎の消去回数の最大値を表す。バイト位置２８ｈから４バイトのデータは、第２種類のブロック毎の消去回数の平均値を表す。
【0092】
メモリセルは、１セル当たり１ビットのデータを記憶するメモリセルと、１セル当たり複数ビットのデータを記憶するメモリセルを含む。ブロックは、１セル当たりに記憶するデータのビット数に応じた複数種類のブロックを含む。ブロックは、１セル当たり１ビットのデータを記憶するＳＬＣ（ｓｉｎｇｌｅ ｌｅｖｅｌ ｃｅｌｌ）ブロックと、１セル当たり複数ビットのデータを記憶することができるブロックを含む。１セル当たり複数ビットのデータを記憶することができるブロックは、１セル当たり２ビットのデータを記憶することができるＭＬＣ（ｍｕｌｔｉ ｌｅｖｅｌ ｃｅｌｌ）ブロック、１セル当たり３ビットのデータを記憶することができる複数のＴＬＣ（ｔｒｉｐｌｅ ｌｅｖｅｌ ｃｅｌｌ）ブロック、１セル当たり４ビットのデータを記憶することができるＱＬＣ（ｑｕａｄ ｌｅｖｅｌ ｃｅｌｌ）ブロック等を含む。図８のヘルスデータ（９３）の例は、ＮＡＮＤメモリ１４のブロックが、ＳＬＣブロックとＴＬＣブロックを含む場合の例である。第１種類のブロックの例は、ＴＬＣブロックであり、第２種類のブロックの例は、ＳＬＣブロックである。
【0093】
メモリシステム４がＳＳＤの場合、コントローラ１２はＮＡＮＤメモリ１４とは別のパッケージとして構成される。メモリシステム４がｅＭＭＣの場合、コントローラ１２はＮＡＮＤメモリ１４と同一のパッケージとして構成される。ＳＳＤやｅＭＭＣでは、ＴＬＣブロックの一部をＳＬＣブロックとして使うことができる。このＳＬＣブロックとして使用されるＴＬＣブロックの一部はｐＳＬＣブロックと称される。ｅＭＭＣの場合、ヘルスデータ（９３ｈ）は、ＳＬＣブロック毎の消去回数の最小値、最大値、平均値の代わりにｐＳＬＣブロック毎の消去回数の最小値、最大値、平均値を含む。
【0094】
ヘルスデータ（９１ｈ）とヘルスデータ（９３ｈ）の少なくとも一方が公開鍵と秘密鍵の生成に使われる。
【0095】
図９（ａ）、（ｂ）、（ｃ）、（ｄ）は、第１実施形態に係る鍵生成に使用されるヘルスデータの一例を説明するための図である。以下、鍵生成は、公開鍵と秘密鍵の生成を意味する。ＣＰＵ２０は、ヘルスデータ（９１ｈ）とヘルスデータ（９３ｈ）からなる３６バイト（０ｘ２４）のヘルスデータに基づいて鍵を生成する。ヘルスデータ（９１ｈ）のバイト位置００ｈ、０１ｈ、１０ｈ－１７ｈの１０バイトのデータが、鍵生成用の３６バイトのヘルスデータのバイト位置０－９の１０バイトのデータとされる。ヘルスデータ（９３ｈ）のバイト位置００ｈ、０１ｈ、１０ｈ－１Ｂｈ、２０ｈ－２Ｂｈの２６バイトのデータが、鍵生成用の３６バイトのヘルスデータのバイト位置Ａ－２３の２６バイトのデータとされる。図９のヘルスデータ９１－０ｘ００は、ヘルスデータ（９１ｈ）のバイト位置００ｈのデータを表す。図９のヘルスデータ９３－０ｘ００は、ヘルスデータ（９３ｈ）のバイト位置００ｈのデータを表す。
【0096】
ＲＴＣデータを説明する。図１０は、第１実施形態に係るＲＴＣデータの一例を説明するための図である。図１０（ａ）は、ＲＴＣデータのデータフォーマットの一例を示す。図１０に示すＲＴＣデータの一例は５１２バイトである。バイト位置０の１バイトのデータはバージョンを表す。バイト位置１の１バイトのデータはＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥを表す。バイト位置２‐９の８バイトのデータｒ７‐ｒ０はＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤ（経過秒数）を表す。バイト位置１０－５１１の５０２バイトのデータはＲｅｓｅｒｖｅｄされている。
【0097】
暗号化／復号回路３４は、鍵の生成にＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤを利用する。ＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤは複数のタイプのデータを取り得る。ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥは、ＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤのデータタイプを指定する。
【0098】
図１０（ｂ）は、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥとＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤのデータタイプとの関係の一例を示す。
【0099】
ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥが０ｘ０１の場合、データタイプは絶対時間であり、ＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤは、西暦０年１月１日のような所定の時刻からＵＴＣ時間の現在時刻までの秒数を表す。
【0100】
ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥが０ｘ０２の場合、データタイプは相対時間の基準設定であり、ＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤは無視され、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥ（＝０ｘ０２）を伴うＳＥＴ＿ＴＩＭＥコマンドの送信時刻が相対時間の基準として設定される。
【0101】
ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥが０ｘ０３の場合、データタイプは相対時間であり、ＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤは、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥ（＝０ｘ０２）を伴う直近のＳＥＴ＿ＴＩＭＥコマンドの時刻からの経過秒数を表す。
【0102】
図１１は、第１実施形態に係るＲＴＣ２８の動作の一例を説明するための図である。ホスト２のユーザは、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥを指定する。ホスト２は、暗号化／復号する前に、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥをメモリシステム４へ送信する。ＣＰＵ２０は、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥを受信すると、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥをＲＴＣ２８へ送信する。ＲＴＣ２８は、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥで指定されたタイプのＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤをＣＰＵ２０に返信する。例えば、ＲＴＣ＿ＩＮＦＯ＿ＴＹＰＥが０ｘ０１の場合、ＲＴＣ２８は、絶対時間、例えば“００ ００ ００ ０Ｅ Ｄ７ ６０ Ｂ９ ２３”（１６進数）を表すＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤ（ｒ７‐ｒ０）を返信する。ここで、ｒ７＝００，ｒ６＝００，ｒ５＝００，ｒ４＝０Ｅ，ｒ３＝Ｄ７，ｒ２＝６０，ｒ１＝Ｂ９，ｒ０＝２３である。
【0103】
暗号化／復号回路３４による暗号化／復号の一例を説明する。
【0104】
図１２は、第１実施形態に係る暗号化／復号回路３４の詳細な一例を説明するためのブロック図である。暗号化／復号回路３４は、乱数生成部５０ａ、シード生成部５０ｂ、鍵生成部５０ｃ、暗号化部５０ｄ、復号部５０ｅ及びバッファメモリ５０ｆ、５０ｇを含む。シード生成部５０ｂと鍵生成部５０ｃは、或るアルゴリズム、ここではＲＳＡアルゴリズムに従って、公開鍵と秘密鍵を生成する。
【0105】
図１３は、第１実施形態に係る暗号化／復号回路３４の暗号化処理の詳細な一例の前半を説明するためのフローチャートである。図１４は、第１実施形態に係る暗号化／復号回路３４の暗号化処理の詳細な一例の後半を説明するためのフローチャートである。
【0106】
ＣＰＵ２０は、引数を９１ｈに設定したヘルスステータスコマンドをＮＡＮＤメモリ１４へ送信する（Ｓ３０６）。
【0107】
ＮＡＮＤメモリ１４は、ヘルスデータ（９１ｈ）をＣＰＵ２０へ返送する。
【0108】
ＣＰＵ２０は、ヘルスデータ（９１ｈ）を暗号化／復号回路３４へ送信する（Ｓ３０８）。
【0109】
暗号化／復号回路３４は、ヘルスデータ（９１ｈ）をバッファメモリ５０ｆのバイト位置０－９に書き込む（Ｓ３０９）。バッファメモリ５０ｆは、図９に示すような３６バイトのヘルスデータを記憶する。
【0110】
ＣＰＵ２０は、引数を９３ｈに設定したヘルスステータスコマンドをＮＡＮＤメモリ１４へ送信する（Ｓ３１０）。
【0111】
ＮＡＮＤメモリ１４は、ヘルスデータ（９３ｈ）をＣＰＵ２０へ返送する。
【0112】
ＣＰＵ２０は、ヘルスデータ（９３ｈ）を暗号化／復号回路３４へ送信する（Ｓ３１２）。
【0113】
暗号化／復号回路３４は、ヘルスデータ（９３ｈ）をバッファメモリ５０ｆのバイト位置Ａ－２３に書き込む（Ｓ３１３）。
【0114】
暗号化／復号回路３４は、バッファメモリ５０ｆから３６バイトのヘルスデータを読み出し、ヘルスデータをシード生成部５０ｂに入力する（Ｓ３１４）。
【0115】
ＲＴＣ回路２８は、常時ＲＴＣデータをＣＰＵ２０へ送信している。ＣＰＵ２０は、常時ＲＴＣデータを暗号化／復号回路３４へ送信している。
【0116】
暗号化／復号回路３４は、ＣＰＵ２０から送信されたＲＴＣデータを乱数生成部５０ａに入力する（Ｓ３１６）。
【0117】
乱数生成部５０ａは、ＲＴＣデータの中のＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤ（ｒ７‐ｒ０）に基づいて次のような乱数を生成し、乱数をシード生成部５０ｂに入力する（Ｓ３１８）。
【0118】
乱数＝ｒ７３＋ｒ６２＋ｒ５３＋ｒ４３＋ｒ３２＋ｒ２４＋ｒ１２＋ｒ０３ 式１
各バイトのデータのべき乗の数値２、３、４は、乱数の桁数が８桁になるように選ばれている。
各バイトのデータのべき乗の数値２、３、４は、乱数の桁数が８桁になるように選ばれている。
【0119】
ＳＥＣＯＮＤＳ＿ＰＡＳＳＥＤ（ｒ７‐ｒ０）が“００ ００ ００ ０Ｅ Ｄ７ ６０ Ｂ９ ２３”（１６進数）であるとすると、乱数は次のように表される。
【0120】
乱数
＝０ｘ００３＋０ｘ００２＋０ｘ００３＋０ｘ０Ｅ３＋０ｘＤ７２＋０ｘ６０４＋０ｘＢ９２＋０ｘ２３３
＝８５０６０７２５ 式２
式２の乱数は１０進数である。
＝０ｘ００３＋０ｘ００２＋０ｘ００３＋０ｘ０Ｅ３＋０ｘＤ７２＋０ｘ６０４＋０ｘＢ９２＋０ｘ２３３
＝８５０６０７２５ 式２
式２の乱数は１０進数である。
【0121】
ＣＰＵ２０は、ホスト２にパスワードの送信を要求し、ホスト２から送信されたパスワードを受信し、パスワードをシード生成部５０ｂに入力する（Ｓ３２０）。なお、図６と図７に示した書き込み／読み出し処理の第２例のように、暗号化処理にパスワードは必須ではない。
【0122】
シード生成部５０ｂは、３６バイトのヘルスデータ、乱数及びパスワードに基づいて鍵生成のための第１シードと第２シードを生成し、第１シードと第２シードを鍵生成部５０ｃに入力する（Ｓ３２２）。
【0123】
具体的には、シード生成部５０ｂは、ヘルスデータと乱数とパスワードを乗算し、３６０桁の積（１９５６３…８２４３６）を求める。シード生成部５０ｂは、３６０桁の積を奇数桁からなる１８０桁の積と偶数桁からなる１８０桁の積に分解する。説明の単純化のため、積は１０桁の数値１９５６３８４７１３（Ｄ９－Ｄ０）であるとすると、奇数桁からなる積（Ｄ９、Ｄ７、Ｄ５、Ｄ３、Ｄ１）は、１５３４１であり、偶数桁からなる積（Ｄ８、Ｄ６、Ｄ４、Ｄ２、Ｄ０）は、９６８７３である。
【0124】
シード生成部５０ｂは、入力を素数に変換する変換部を含む。シード生成部５０ｂは、奇数桁からなる１８０桁の積を変換部に入力し、１８０桁の第１素数ｐを生成させる。シード生成部５０ｂは、偶数桁からなる１８０桁の積を変換部に入力し、１８０桁の第２素数ｑを生成させる。第１素数ｐが第１シードであり、第２素数ｑが第２シードである。
【0125】
鍵生成部５０ｃは、第１シードｐと第２シードｑに基づいて公開鍵Ｐｋと秘密鍵Ｓｋを生成し、公開鍵Ｐｋを暗号化部５０ｄに入力する（Ｓ３２４）。公開鍵Ｐｋは、ｐ×ｑである。秘密鍵Ｓｋは、Ｓｋ×ｅを（ｐ－１）×（ｑ－１）で割った余りが１となる場合の自然数である。ここで、ｅは（ｐ－１）×（ｑ－１）と互いに素な自然数である。例えば、ｐ＝４７、ｑ＝７１の場合、公開鍵Ｐｋは３３７７である。そして、ｅを例えば７９とすると、秘密鍵Ｓｋは、１０１９となる。
【0126】
暗号化部５０ｄは、公開鍵Ｐｋを使用して、ホスト２から送信されたユーザデータｍを暗号化して、暗号化されたデータｃ＝ｍｅｍｏｄＰｋを出力する（Ｓ３２６）。暗号化されたデータは、図示しないＥＣＣ回路による誤り訂正符号化処理の後、ユーザデータ領域１４ｂに書き込まれる。
【0127】
ＣＰＵ２０は、公開鍵Ｐｋと秘密鍵ＳｋをＮＡＮＤメモリ１４のセキュリティデータ領域１４ａに書き込む（Ｓ３２８）。この後、暗号化処理は終了する。
次に、鍵割り当てについて説明する。
次に、鍵割り当てについて説明する。
【0128】
暗号化／復号回路３４が利用する鍵が増えると、データの秘匿性は高くなるが、公開鍵と秘密鍵を記憶するセキュリティデータ領域１４ａのサイズが大きくなる。ＮＡＮＤメモリ１４のサイズが一定であるとすると、鍵が増えると、ユーザデータ領域１４ｂのサイズが小さくなり、ＮＡＮＤメモリ１４が記憶するデータの１ビット当たりのコストが高くなる。
【0129】
ＣＰＵ２０は、ユーザデータを一定サイズのブロックデータ単位で処理する。ブロックデータのサイズの一例は、４ＫＢである。
【0130】
図１５は、第１実施形態に係るメモリシステム４の鍵割り当ての第１例を説明するための図である。図１５（ａ）は、４ＫＢのブロックデータ毎に割り当てられる公開鍵と秘密鍵の鍵対を示す鍵割り当てテーブルの一例を示す。鍵割り当ての第１例では、ＣＰＵ２０は、第１ブロックデータ（Ｄａｔａ－１）に第１鍵対（Ｋｅｙ－１）を割り当て、第２ブロックデータ（Ｄａｔａ－２）に第２鍵対（Ｋｅｙ－２）を割り当てる。以下同様に、ＣＰＵ２０は、第ｎブロックデータ（Ｄａｔａ－ｎ）に第ｎ鍵対（Ｋｅｙ－ｎ）を割り当てる。ｎは、２以上の正整数である。
【0131】
ＣＰＵ２０は、鍵割り当てテーブルをバッファメモリ５０ｇに書き込む。ＣＰＵ２０は、メモリシステム４の電源が遮断される際、鍵割り当てテーブルをセキュリティデータ領域１４ａに書き込み、不揮発化する。ＣＰＵ２０は、セキュリティデータ領域１４ａに記憶されている鍵割り当てテーブルを、メモリシステム４の電源が投入される際、バッファメモリ５０ｇに書き込む。
【0132】
鍵割り当ての第１例では、ブロックデータ毎に専用の鍵対が割り当てられるので、データの秘匿性が高い。
【0133】
同じ鍵対が長時間使用されると、秘密鍵が推定される可能性が高くなるので、ＣＰＵ２０は、或るタイミングで鍵対を更新する。以下、鍵更新は、公開鍵の更新と秘密鍵の更新を意味する。鍵更新の前に、ＣＰＵ２０は、更新前の公開鍵で暗号化されたデータをユーザデータ領域１４ｂから読み出し、暗号化されたデータを秘密鍵を使用して暗号化／復号回路３４により復号する。ＣＰＵ２０は、この復号により得られたユーザデータを更新後の公開鍵を使用して暗号化／復号回路３４により再暗号化する。ＣＰＵ２０は、ユーザデータ領域１４ｂに記憶されている更新前の公開鍵で暗号化されたデータを再暗号化されたデータに更新する。鍵割り当ての第１例では、１つの鍵更新は、１つのブロックデータの更新だけで済む。そのため、鍵が簡単に高速で更新される。
【0134】
ライト対象のデータのトータルサイズは１００ＭＢであり、ブロックサイズは４ＫＢであり、１つの鍵対のサイズは公開鍵と秘密鍵それぞれが４ＫＢであるとする。１００ＭＢのデータに１０２４（＝１００ＭＢ／４ＫＢ）の鍵対が割り当てられる。
【0135】
図１５（ｂ）は、ＮＡＮＤメモリ１４内のユーザデータ領域１４ｂと鍵対を記憶するセキュリティデータ領域１４ａのサイズ比を説明するための図である。鍵割り当ての第１例では、鍵対とブロックデータのサイズが同じであり、ブロックデータ毎に１つの鍵対が割り当てられるので、ＮＡＮＤメモリ１４におけるセキュリティデータ領域１４ａの比は５０％である。そのため、ＮＡＮＤメモリ１４におけるデータを記憶するユーザデータ領域１４ｂの比は５０％である。
【0136】
図１６は、第１実施形態に係るメモリシステム４の鍵割り当ての第２例を説明するための図である。図１６（ａ）は、ユーザデータ領域１４ｂのアドレス範囲（Ａｄｄｒｅｓｓ Ｒａｎｇｅ）毎に割り当てられる鍵対を示す鍵割り当てテーブルの一例を示す。所定サイズのデータ、すなわち複数の符号語に対応する複数のデータが１つのアドレス範囲に記憶される。例えば、１６ＭＢのデータを記憶するアドレス範囲にｎ個の４ＫＢのブロックデータが記憶され、ｎ個のブロックデータに１つの４ＫＢの鍵対が割り当てられる。
【0137】
鍵割り当ての第２例では、ＣＰＵ２０は、第１アドレス範囲に記憶されているｎ個の第１ブロックデータ、第２ブロックデータ、…、第ｎブロックデータに第１鍵対を割り当てる。ＣＰＵ２０は、第２アドレス範囲に記憶されているｎ個の第（ｎ＋１）ブロックデータ、第（ｎ＋２）ブロックデータ、…、第２ｎブロックデータに第２鍵対を割り当てる。以下、同様に、ＣＰＵ２０は、第Ｎアドレス範囲に記憶されているｎ個の第（（Ｎ－１）×ｎ＋１）ブロックデータ、第（（Ｎ－１）×ｎ＋２）ブロックデータ、…、第（Ｎ×ｎ）ブロックデータに第Ｎ鍵対を割り当てられる。Ｎは、２以上の正整数である。
【0138】
図１６（ｂ）は、ＮＡＮＤメモリ１４内のデータを記憶するユーザデータ領域１４ｂと鍵対を記憶するセキュリティデータ領域１４ａのサイズ比を説明するための図である。鍵対サイズが４ＫＢであり、ＮＡＮＤメモリ１４の記憶容量が６４ＧＢであるとすると、データの記憶領域１４ｂは６１ＧＢであり、鍵対の記憶領域１４ａは３ＧＢである。
【0139】
鍵割り当ての第２例によれば、ＮＡＮＤメモリ１４における鍵対の記憶領域１４ａの比は鍵割り当ての第１例に比べて小さく、ＮＡＮＤメモリ１４におけるデータの記憶領域１４ａの比は鍵割り当ての第１例に比べて大きい。そのため、鍵割り当ての第２例におけるＮＡＮＤメモリ１４が記憶するデータの１ビット当たりのコストは、鍵割り当ての第１例に比べて低くなる。しかし、１つの鍵の更新は、データの更新も必要とする。データの更新は、１つのアドレス範囲に記憶されている全てのデータの復号と、復号により得られたデータの再暗号化と、データの消去と、再暗号化されたデータの再書き込みを必要とする。そのため、鍵割り当ての第２例では、鍵割り当ての第１例に比べて鍵更新が複雑であり、時間がかかる。
【0140】
図１７は、第１実施形態に係るメモリシステム４の鍵割り当ての第３例を説明するための図である。図１７（ａ）は、ユーザデータ領域１４ｂのアドレス範囲毎に割り当てられる複数の鍵対を示す鍵割り当てテーブルの一例を示す。１つのアドレス範囲に割り当てられる鍵対の上限数は定められている。上限数は、例えば３である。
【0141】
鍵割り当ての第３例では、ＣＰＵ２０は、第１アドレス範囲に記憶されている各ブロックデータに第１ブロックデータ乃至第３ブロックデータの何れかを割り当てる。例えば、ＣＰＵ２０は、第１ブロックデータ、第２ブロックデータ、第３ブロックデータに第１鍵対を割り当て、第４ブロックデータに第２鍵対を割り当て、第５ブロックデータ、第６ブロックデータに第３鍵対を割り当て、第ｎブロックデータに第１鍵対を割り当てる。
【0142】
ＣＰＵ２０は、第２アドレス範囲に記憶されている第（ｎ＋１）ブロックデータ、第（ｎ＋２）ブロックデータに第５鍵対を割り当て、第（ｎ＋３）ブロックデータに第６鍵対を割り当て、第２ｎブロックデータに第７鍵対を割り当てる。
【0143】
ＣＰＵ２０は、第３アドレス範囲に記憶されている第（２ｎ＋１）ブロックデータに第８鍵対を割り当てる。
【0144】
図１７（ｂ）は、ＮＡＮＤメモリ１４内のユーザデータ領域１４ｂと鍵対を記憶するセキュリティデータ領域１４ａのサイズ比を説明するための図である。鍵対サイズが４ＫＢであり、ＮＡＮＤメモリ１４の記憶容量が６４ＧＢであるとすると、ユーザデータ記憶領域１４ｂは５４．４ＧＢであり、鍵対の記憶領域１４ａは９.６ＧＢである。
【0145】
鍵割り当ての第３例によれば、ＮＡＮＤメモリ１４におけるデータの記憶領域は鍵割り当ての第２例に比べて多少小さい。しかし、１つの鍵の更新は、１つのアドレス範囲に記憶されるデータの数より少ない数のデータの更新だけで済む。そのため、鍵割り当ての第３例における鍵の更新は、１つのアドレス範囲に記憶されている全てのデータの更新を必要とする鍵割り当ての第２例に比べて簡単であり、短時間で済む。データの更新のための書き込みによっても、ＮＡＮＤメモリ１４は劣化するので、鍵割り当ての第３例は、鍵割り当ての第２例に比べてＮＡＮＤメモリ１４が劣化しにくい。
【0146】
鍵生成タイミングを説明する。以下、鍵生成は新規生成と、生成後にデータの更新を必要とする更新を含む。新規生成は、データの更新を必要としない。
【0147】
図１８は、第１実施形態に係るメモリシステム４の鍵生成タイミングの３つの例を説明するための図である。図１８の説明では、鍵割り当てに関しては鍵割り当ての第３例が使われる場合を想定している。しかし、鍵割り当ての第３例の代わりに第１例と第２例が使われてもよい。
【0148】
図１８（ａ）は、鍵生成タイミングの第１例を説明するための図である。鍵生成タイミングｔｇの第１例は、ホスト２が複数のライト要求Ｗｒ－１、Ｗｒ－２、Ｗｒ－３、Ｗｒ－４、Ｗｒ－５、…を連続して送信する場合、各ライト要求の受信後である。
【0149】
ライト要求の受信後、ＣＰＵ２０は、ライト要求に含まれるユーザデータを構成するブロックデータ毎に公開鍵と秘密鍵の鍵対を生成する。ライト要求に含まれるユーザデータを記憶するアドレス範囲に上限数以下の鍵対しか割り当てられていない場合、ＣＰＵ２０は、ライト要求に含まれるブロックデータに生成した新しい鍵対を割り当てる（新規生成）。ライト要求に含まれるユーザデータを記憶するアドレス範囲に上限数の鍵が既に割り当てられている場合、ＣＰＵ２０は、当該アドレス範囲に既に割り当てられている鍵のいずれかを生成した新しい鍵に更新する。更新対象の鍵の決定は後述する。
【0150】
図１８（ｂ）は、鍵生成タイミングの第２例を説明するための図である。鍵生成タイミングｔｇの第２例は、ホストリード時のエラー検出タイミングである。ホスト２は、複数のリード要求Ｒｄ－１、Ｒｄ－２、…を繰り返し送信するとする。
【0151】
ＣＰＵ２０は、リード要求を受信すると、開始アドレスからデータサイズで指定されたサイズのユーザデータを読み出し、読み出したデータのＥＣＣを調べ、読み出したデータに訂正可能なエラーが含まれているか否かを判定する。ＣＰＵ２０は、読み出したデータに訂正可能なエラーが含まれている場合（Ｒｄ－Ｅｒｒ）、エラーを訂正し、訂正後のデータを暗号化／復号回路３４へ送信する。ＣＰＵ２０は、鍵対を生成し、鍵対を暗号化／復号回路３４へ送信する。暗号化／復号回路３４は、訂正後のデータを復号する。ＣＰＵ２０は、復号により得られたユーザデータをホスト２へ送信する。ＣＰＵ２０は、読み出したデータに割り当てられていた鍵対を生成した新しい鍵対に更新する。
【0152】
図１８（ｃ）は、鍵生成タイミングの第３例を説明するための図である。鍵生成タイミングｔｇの第３例は、パトロールリード時のエラー検出タイミングである。パトロールリードとは、エラーの増加したブロックを検出するために、ホスト２からのリード要求によらず、コントローラ１２がリード要求を生成して、生成したリード要求をＮＡＮＤメモリ１４へ送信し、ＮＡＮＤメモリ１４の所定のアドレスからデータを読み出して、読み出したデータにどの程度誤りが存在するかを確認することである。コントローラ１２は、ホスト２からのライト要求又はリード要求を受信しないアイドル期間にパトロールリードを行う。Ｉｄ－１０、Ｉｄ－２０は、それぞれ１０分間、２０分間のパトロールリード期間（パトロールリードによりエラーが検出されない期間）を表す。
【0153】
ホストからのリード要求を受信した時と同様にパトロールリード時、ＣＰＵ２０は、ユーザデータ領域１４ｂからデータを読み出し、読み出したデータに対して誤り訂正処理を実行し、誤り訂正可能か否かを判定する。ＣＰＵ２０は、誤り訂正可能な場合（Ｉｄ－Ｅｒｒ）、誤り訂正後のデータを得る。
【0154】
ＣＰＩＵ２０は、誤り訂正後のデータを暗号化されたデータとして暗号化／復号回路３４へ入力する。暗号化／復号回路３４は、入力された暗号化データを復号する。つまり、ＣＰＵ２０は、パトロールリード時、ＮＡＮＤメモリ１４から読み出したデータに基づくデータを復号する。
【0155】
ＣＰＵ２０は、鍵対を生成し、鍵対を暗号化／復号回路３４へ送信する。暗号化／復号回路３４は、復号したデータを暗号化する。ＣＰＵ２０は、ユーザデータ領域１４ｂに記憶されている誤り訂正前のデータを暗号化された誤り訂正後のデータに更新する。更新のための書き込みは、リフレッシュ書き込みと称される。
【0156】
図１９は、第１実施形態に係るメモリシステム４が鍵生成タイミングの第１例、第２例及び第３例に従って鍵を生成する処理の一例を説明するための図である。図１９の説明では、鍵割り当てに関しては鍵割り当ての第３例が使われる場合を想定している。しかし、鍵割り当ての第３例の代わりに第１例と第２例が使われてもよい。図１９（ａ）は或る時間帯の処理を示し、図１９（ｂ）は図１９（ａ）に後続する時間帯の処理を示し、図１９（ｃ）は図１９（ｂ）に後続する時間帯の処理を示し、図１９（ｄ）は図１９（ｃ）に後続する時間帯の処理を示す。
【0157】
ＣＰＵ２０は、ホスト２からアドレス範囲１に対するライト要求Ｗｒ－１を受信する（タイミングｔ１）と、新たな鍵対を生成する。タイミングｔ１では、アドレス範囲１に上限数以下の鍵対しか割り当てられていないとする。そのため、ＣＰＵ２０は、生成した新しい鍵対をライト要求に含まれるブロックデータに割り当てる。ＣＰＵ２０は、ライト要求に含まれるブロックデータを生成した公開鍵を使用して暗号化／復号回路３４に暗号化させる。
【0158】
ＣＰＵ２０は、ホスト２からアドレス範囲２に対するライト要求Ｗｒ－２を受信する（タイミングｔ２）と、新たな鍵対を生成する。タイミングｔ２でも、アドレス範囲２に上限数以下の鍵対しか割り当てられていないとする。そのため、ＣＰＵ２０は、生成した新しい鍵対をライト要求に含まれるブロックデータに割り当てる。ＣＰＵ２０は、ライト要求に含まれるユーザデータを生成した公開鍵を使用して暗号化／復号回路３４に暗号化させる。
【0159】
ＣＰＵ２０は、２つのリード要求Ｒｄ－１、Ｒｄ－２の受信後、新たなライト要求Ｗｒ－１を受信する（タイミングｔ３）と、新たな鍵対を生成、またはセキュリティデータ領域１４ａに記憶されている鍵対を更新する。
【0160】
ＣＰＵ２０は、或るアドレス範囲に上限数の鍵対が既に割り当てられた状態で或るアドレス範囲に対するライト要求Ｗｒ－２を受信する（タイミングｔ４）と、或るアドレス範囲に割り当てられている上限数の鍵対の中の何れかの鍵対を更新する。
【0161】
ＣＰＵ２０は、ホスト２からの複数のリード要求Ｒｄ－１、Ｒｄ－２、…を受信後、読み出しデータのエラーＲｄ－Ｅｒｒを検出する（タイミングｔ５）と、鍵対を更新する。
【0162】
ＣＰＵ２０は、読み出しデータのエラーを検出（Ｒｄ－Ｅｒｒ）後に新たなライト要求Ｗｒ－１を受信する（タイミングｔ６）と、鍵対を生成、または鍵対を更新する。
【0163】
ＣＰＵ２０は、１０分間のパトロール期間Ｉｄ－１０、２０分間のパトロール期間Ｉｄ－２０の後、２つのリード要求Ｒｄ－１、Ｒｄ－２とライト要求Ｗｒ－１を受信する（タイミングｔ７）と、鍵対を生成、または鍵対を更新する。
【0164】
ＣＰＵ２０は、リード要求Ｒｄ－１、１０分間のパトロール期間Ｉｄ－１、２０分間のパトロール期間Ｉｄ－２０の後、パトロールリードによりエラーＩｄ－Ｅｒｒを検出する（タイミングｔ８）と、鍵対を更新する。
【0165】
ＣＰＵ２０は、２つのリード要求Ｒｄ－１、Ｒｄ―２を受信した後にライト要求Ｗｒ－１を受信する（タイミングｔ９）と、鍵対を生成、または鍵対を更新する。
【0166】
コントローラ１２は、１０分間のパトロールリード期間Ｉｄ－１０と２０分間のパトロールリード期間Ｉｄ－２０の後、リード要求Ｒｄ－１とライト要求Ｗｒ－１を受信する（タイミングｔ１０）と、鍵対を生成、または鍵対を更新する。
【0167】
ＣＰＵ２０は、或るアドレス範囲に上限数の鍵対が既に割り当てられた状態で或るアドレス範囲に関するライト要求Ｗｒ－２を受信する（タイミングｔ１１）と、或るアドレス範囲に割り当てられている上限数の鍵対の中の何れかの鍵対を更新する。
【0168】
ＣＰＵ２０は、１０分間のパトロールリード期間Ｉｄ－１０と２０分間のパトロールリード期間Ｉｄ－２０の後、パトロールリードによりエラーＩｄ－Ｅｒｒを検出する（タイミングｔ１２）と、鍵対を更新する。
【0169】
鍵更新の際の更新対象の鍵対の決定を説明する。
【0170】
図２０は、第１実施形態に係るメモリシステム４の鍵割り当ての第３例で更新対象の鍵を決定するために使用される鍵更新テーブルの一例を説明するための図である。鍵更新テーブルは、バッファメモリ５０ｇに記憶される。ＣＰＵ２０は、メモリシステム４の電源が遮断される際、鍵更新テーブルをセキュリティデータ領域１４ａに書き込み、不揮発化する。ＣＰＵ２０は、メモリシステム４の電源が投入される際、セキュリティデータ領域１４ａに記憶されている鍵更新テーブルをバッファメモリ５０ｇに書き込む。
【0171】
ＣＰＵ２０は、鍵更新テーブルを参照して、更新対象の鍵対を決定する。鍵更新テーブルは、アドレス範囲、鍵対、割り当てデータ、生成順、及び暗号化回数を含む。アドレス範囲毎に割り当て可能な鍵対の数の上限は、例えば３である。割り当てデータは、鍵対が割り当てられるブロックデータを表す。生成順は鍵の生成時期の順番を示し、“１”は鍵の生成時期が最も古い又は生成されてからの経過時間が最も長いことを意味し、“３”は鍵の生成時期が現在に最も新しい又は生成されてからの経過時間が最も短いことを意味する。暗号化回数は、鍵が割り当てられたブロックデータの数、すなわちサイズを表す。
【0172】
図１７に示したように、第１アドレス範囲には、第１鍵対、第２鍵対、及び第３鍵対が割り当てられる。３つの鍵対は、第１鍵対、第２鍵対、第３鍵対の順番に生成された。
【0173】
第１鍵対は、生成時期が最も古く、生成順は“１”であり、第１ブロックデータ、第２ブロックデータ、及び第３ブロックデータに割り当てられるので、暗号化回数は“３”である。第２鍵対は、生成時期が２番目に古く、生成順は“２”であり、第４ブロックデータに割り当てられるので、暗号化回数は“１”である。第３鍵対は、生成時期が最も新しいので、生成順は“３”であり、第５ブロックデータ、第６ブロックデータに割り当てられるので、暗号化回数は“２”である。
【0174】
図１７に示したように、第２アドレス範囲には、第５鍵対、第６鍵対、第７鍵対が割り当てられる。３つの鍵は、第５鍵対、第６鍵対、第７鍵対の順番に生成された。
【0175】
第５鍵対は、生成時期が最も古いので、生成順は“１”であり、第（ｎ＋１）ブロックデータ、第（ｎ＋２）ブロックデータに割り当てられるので、暗号化回数は“２”である。
【0176】
第２鍵対は、生成時期が２番目に古いので、生成順は“２”であり、第（ｎ＋３）ブロックデータ、第（ｎ＋４）ブロックデータ、第（ｎ＋５）ブロックデータに割り当てられるので、暗号化回数は“３”である。
【0177】
第７鍵対は、生成時期が最も新しいので、生成順は“３”であり、第（ｎ＋６）ブロックデータ、第（ｎ＋７）ブロックデータに割り当てられるので、暗号化回数は“２”である。
【0178】
ＣＰＵ２０は、上限数の鍵対が既に割り当てられたアドレス範囲のブロックデータについて新たな鍵対を生成する場合、暗号化回数が最も少ない鍵対を更新対象とする。この理由は、鍵の更新は、データの更新を伴うので、更新するデータのサイズを小さくしたいからである。暗号化回数が最も少ない鍵対が割り当てられているデータのサイズは、他の鍵対が割り当てられているデータのサイズより小さい。これにより、更新に伴うデータの書き込み量が最も少なくなり、鍵の更新がＮＡＮＤメモリ１４の寿命に与える影響を最も小さくすることができる。
【0179】
もし、暗号化回数が最も少ない複数の鍵対が存在する場合、ＣＰＵ２０は、生成順の数値が最も小さい鍵対を更新対象とする。この理由は、生成順の数値が最も小さい鍵対は、生成時期が最も古いので、一番長く使用されており、推定される可能性が高いと考えられるからである。しかし、暗号化回数が最も少ない複数の鍵対が存在する場合、ＣＰＵ２０は、生成時期の最も新しい鍵対、又は任意の鍵対を更新対象としてもよい。
【0180】
図２１と図２２は、鍵の新規生成による鍵の更新の一例を説明するための図である。図２１（ａ）は、図１７に示した鍵割り当てテーブルの第１アドレス範囲の部分である。図２２（ａ）は、図２０に示した鍵更新テーブルの第１アドレス範囲の部分である。
【0181】
ＣＰＵ２０は、ホスト２から第１アドレス範囲内の或るアドレスに第７ブロックデータを書き込むライト要求を受信すると、第４鍵対を生成する。ＣＰＵ２０は、第４鍵対を生成すると、第４鍵対を第７ブロックデータに割り当てる（図２１（ｂ））。
【0182】
ＣＰＵ２０は、図２２（ａ）に示す鍵更新テーブルの暗号化回数が最も少ない第２鍵対を更新対象とする。ＣＰＵ２０は、第２鍵対を第４鍵対に更新する前に、第２鍵対が割り当てられている第４ブロックデータを第２鍵対の秘密鍵で復号し、復号により得られた平文を第４鍵対の公開鍵で再暗号化する。ＣＰＵ２０は、第７ブロックデータを第４鍵対の公開鍵で暗号化する。ＣＰＵ２０は、第４ブロックデータ（再暗号化データ）と第７ブロックデータ（暗号化データ）をユーザデータ領域１４ｂの第１アドレス範囲に書き込む。この後、ＣＰＵ２０は、第２鍵対を第４鍵対に更新する（図２２（ｂ））。第４鍵対の生成順は“４”となる。第４鍵対は、第４ブロックデータと第７ブロックデータに割り当てられる。第４鍵対の暗号化回数は“２”となる。
【0183】
コントローラ１２は、ホスト２から第１アドレス範囲内の或るアドレスに第８ブロックデータを書き込むライト要求を受信すると、ＣＰＵ２０に第５鍵対を生成させる。ＣＰＵ２０は、第５鍵対を生成すると、第５鍵対を第８ブロックデータに割り当てる（図２１（ｃ））。
【0184】
ＣＰＵ２０は、図２２（ｂ）に示す鍵更新テーブルの暗号化回数が最も少ない第４鍵対と第３鍵対を更新対象候補とする。ＣＰＵ２０は、第４鍵対と第３鍵対のうち、生成順の数値が小さい、すなわち生成時期が古い第３鍵対を更新対象とする。ＣＰＵ２０は、第３鍵対を第５鍵対に更新する前に、第３鍵対が割り当てられている第５ブロックデータと第６ブロックデータを第３鍵対の秘密鍵で復号し、平文を第５鍵対の公開鍵で再暗号化する。ＣＰＵ２０は、第８ブロックデータを第５鍵対の公開鍵で暗号化する。ＣＰＵ２０は、第５ブロックデータ（暗号化データ）、第６ブロックデータ（暗号化データ）、及び第８ブロックデータ（暗号化データ）をユーザデータ領域１４ｂの第１アドレス範囲に書き込む。この後、ＣＰＵ２０は、第３鍵対を第５鍵対に更新する（図２２（ｃ））。第５鍵対の生成順は“５”となる。第５鍵対は、第５ブロックデータ、第６ブロックデータ、及び第７ブロックデータに割り当てられる。第５鍵対の暗号化回数は“３”となる。
【0185】
【0186】
ＣＰＵ２０は、ライト要求を受信する（Ｓ４０２）と、バッファメモリ５０ｇに記憶されている鍵割り当てテーブル（図１７）を参照して、ライト要求により指定されるアドレスが含まれるライト対象のアドレス範囲に上限数の鍵対が割り当てられているか否か判定する（Ｓ４０４）。
【0187】
ライト対象のアドレス範囲に上限数の鍵対が割り当てられている場合（Ｓ４０４ Ｙｅｓ）、ＣＰＵ２０は、ライト要求により指定されるライト対象のユーザデータに含まれるブロックデータ毎に新しい鍵対を生成する（Ｓ４０６）。
【0188】
ＣＰＵ２０は、バッファメモリ５０ｇに記憶されている鍵更新テーブル（図２０）を参照して、更新対象の鍵対を決定する（Ｓ４０８）。
【0189】
ＣＰＵ２０は、セキュリティデータ領域１４ａから更新対象の鍵対を読み出す（Ｓ４１０）。
【0190】
ＣＰＵ２０は、更新対象の鍵対で暗号化されたデータを含む符号語をユーザデータ領域１４ｂから読み出し、暗号化されたデータに対して更新対象の鍵対を使用する復号処理を暗号化／復号回路３４に実行させ、ユーザデータを得る（Ｓ４１２）。
【0191】
ＣＰＵ２０は、暗号化／復号回路３４に、Ｓ４１２で得られたユーザデータと、書き込み対象のユーザデータを新しい鍵対を使用して暗号化させ、暗号化されたデータを得る（Ｓ４１４）。
【0192】
【0193】
ＣＰＵ２０は、暗号化されたデータを含む符号語をユーザデータ領域１４ｂに書き込む（Ｓ４１８）。ＣＰＵ２０は、テーブルの更新（Ｓ４１６）と符号語の書き込み（Ｓ４１８）を、この逆に実行してもよい。
【0194】
この後、ＣＰＵ２０は、ホスト２にライト完了を報告し（Ｓ４２０）、ライト動作を終了する。
【0195】
ライト対象のアドレス範囲に割り当てられている鍵対の数が上限数以下の場合（Ｓ４０４ Ｎｏ）、ＣＰＵ２０は、ライト対象のアドレス範囲に少なくとも１つの鍵対が割り当てられているか否かを判定する（Ｓ４２４）。
【0196】
ライト対象のアドレス範囲に１つの鍵対も割り当てられていない場合（Ｓ４２４ Ｎｏ）、ＣＰＵ２０は、ライト対象データに含まれるブロックデータ毎に新しい鍵対を生成する（Ｓ４２６）。
【0197】
ＣＰＵ２０は、暗号化／復号回路３４に、書き込み対象のユーザデータを新しい鍵対を使用して暗号化させ、暗号化されたデータを得る（Ｓ４２８）。
【0198】
【0199】
ＣＰＵ２０は、暗号化されたデータを含む符号語をユーザデータ領域１４ｂに書き込む（Ｓ４１８）。テーブルの更新（Ｓ４３０）と符号語の書き込み（Ｓ４１８）は、この逆に実行されてもよい。
【0200】
この後、コントローラ１２は、ホスト２にライト完了を報告し（Ｓ４２０）、ライト動作を終了する。
【0201】
ライト対象のアドレス範囲に少なくとも１つの鍵対が割り当てられている場合（Ｓ４２４ Ｙｅｓ）、ＣＰＵ２０は、鍵更新テーブル（図２０）からライト対象のアドレス範囲で最新に使用された鍵対を読み出す（Ｓ４３４）。
【0202】
ＣＰＵ２０は、ライト要求で指定された書き込み対象のユーザデータを最新に使用された鍵対を使用して暗号化／復号回路３４に暗号化させ、暗号化データを得る（Ｓ４３６）。
【0203】
ＣＰＵ２０は、鍵更新テーブル（図２０）を更新する（Ｓ４３８）。
【0204】
ＣＰＵ２０は、暗号化されたデータを含む符号語をユーザデータ領域１４ｂに書き込む（Ｓ４１８）。ＣＰＵ２０は、テーブルの書き換え（Ｓ４３８）と符号語の書き込み（Ｓ４１８）を、この逆に実行してもよい。
【0205】
この後、ＣＰＵ２０は、ホスト２にライト完了を報告し（Ｓ４２０）、ライト動作を終了する。
【0206】
図２５は、第１実施形態に係るメモリシステム４のリード動作の一例の説明するためのフローチャートである。
【0207】
ＣＰＵ２０は、リード要求を受信する（Ｓ５０２）と、バッファメモリ５０ｇに記憶されている鍵割り当てテーブル（図１７）を参照して、リード要求により指定されるアドレスが含まれるリード対象のアドレス範囲に割り当てられている鍵対を読み出す（Ｓ５０４）。
【0208】
ＣＰＵ２０は、リード要求により指定されるリード対象のデータ（暗号化されたデータ）を含む符号語をユーザデータ領域１４ｂから読み出す（Ｓ５０６）。
【0209】
ＣＰＵ２０は、読み出した符号語のＥＣＣを調べ、暗号化されたデータが訂正可能なエラーを含む場合、エラーを訂正する（Ｓ５０８）。
【0210】
ＣＰＵ２０は、エラーを訂正した場合、リフレッシュ書き込みを行なう。ＣＰＵ２０は、エラーを訂正したか、すなわちＮＡＮＤメモリ１４のリフレッシュ書き込みが必要であるか否かを判定する（Ｓ５１２）。
【0211】
リフレッシュ書き込みが必要である場合（Ｓ５１２ Ｙｅｓ）、ＣＰＵ２０は、リード対象のアドレス範囲と同じサイズのアドレス範囲を見つける（Ｓ５１４）。
【0212】
ＣＰＵ２０は、エラー訂正後の暗号化されたデータに対してＳ５０４で読み出した鍵対を使用する復号処理を暗号化／復号回路３４に実行させ、ユーザデータを得る（Ｓ５１６）。
【0213】
ＣＰＵ２０は、新しい鍵対を生成する（Ｓ５１８）。
【0214】
ＣＰＵ２０は、暗号化／復号回路３４にＳ５１６で得られたユーザデータを新しい鍵対を使用して暗号化させ、再暗号化データを得る（Ｓ５２０）。
【0215】
【0216】
ＣＰＵ２０は、再暗号化データを含む符号語をユーザデータ領域１４ｂに書き込み、暗号化されたデータを再暗号化データに更新する（Ｓ５２４）。
【0217】
この後、ＣＰＵ２０は、Ｓ５１６で得られたユーザデータをホスト２へ送信し（Ｓ５２６）、リード動作を終了する。
【0218】
リフレッシュ書き込みが不要である場合（Ｓ５１２ Ｎｏ）、ＣＰＵ２０は、エラー訂正後の暗号化されたデータに対してＳ５０４で読み出した鍵対を使用する復号処理を暗号化／復号回路３４に実行させ、ユーザデータを得る（Ｓ５３２）。
【0219】
この後、ＣＰＵ２０は、Ｓ５３２で得られたユーザデータをホスト２へ送信し（Ｓ５３４）、リード動作を終了する。
【0220】
図２６は、第１実施形態に係るメモリシステム４のパトロールリード動作の一例の説明するためのフローチャートである。
【0221】
ＣＰＵ２０は、ホスト２からライト要求又はリード要求を受信しないアイドル期間が一定期間に達したか否かを判定する（Ｓ６０２）。
【0222】
アイドル期間が一定期間に達した場合（Ｓ６０２ Ｙｅｓ）、ＣＰＵ２０は、ユーザデータ領域１４ｂから或るアドレスに記憶されている暗号化されたデータを含む符号語を読み出す（Ｓ６０４）。
【0223】
ＣＰＵ２０は、読み出した符号語のＥＣＣを調べ、暗号化されたデータが訂正可能なエラーを含む場合、エラーを訂正する（Ｓ６０６）。
【0224】
ＣＰＵ２０は、エラーを訂正したか、すなわちＮＡＮＤメモリ１４のリフレッシュ書き込みが必要であるか否かを判定する（Ｓ６０８）。
【0225】
リフレッシュ書き込みが必要である場合（Ｓ６０８ Ｙｅｓ）、ＣＰＵ２０は、エラー訂正後の暗号化されたデータに対して読み出したデータに割り当てられている鍵対を使用する復号処理を暗号化／復号回路３４に実行させ、ユーザデータを得る（Ｓ６１２）。
【0226】
ＣＰＵ２０は、新しい鍵対を生成する（Ｓ６１４）。
【0227】
ＣＰＵ２０は、暗号化／復号回路３４に、Ｓ６１２で得られたユーザデータを新しい鍵対を使用して暗号化させ、再暗号化データを得る（Ｓ６１６）。
【0228】
【0229】
ＣＰＵ２０は、再暗号化データを含む符号語をユーザデータ領域１４ｂに書き込み、暗号化されたデータを再暗号化データに更新する（Ｓ６２０）。この後、ＣＰＵ２０は、アイドル期間が一定期間に達したか否かを判定する（Ｓ６０２）。
【0230】
リフレッシュ書き込みが不要である場合（Ｓ６０８ Ｎｏ）、ＣＰＩ２０は、アイドル期間が一定期間に達したか否かを判定する（Ｓ６０２）。
【0231】
実施形態に係るメモリシステム４は、ＮＡＮＤメモリ１４に書き込まれるデータをホスト２から受信すると、鍵を生成する。メモリシステム４は、ＲＴＣ２８が出力するＲＴＣデータとＮＡＮＤメモリ１４の劣化状態を表すヘルスデータとに基づいて鍵を生成する。メモリシステム４は、鍵を使用してデータを暗号化／復号回路３４により暗号化させ、暗号化されたデータを含む符号語と鍵をＮＡＮＤメモリ１４に書き込む。ＮＡＮＤメモリ１４は、セキュリティデータ領域１４ａとユーザデータ領域１４ｂを備える。ホスト２は、ユーザデータ領域１４ｂをアクセスすることができるが、セキュリティデータ領域１４ａをアクセスすることができない。メモリシステム４は、暗号化データをユーザデータ領域１４ｂに書き込み、鍵をセキュリティデータ領域１４ａに書き込む。
【0232】
鍵の生成の基となる時間データとヘルスデータは時間とともに変化しているので、第３者が鍵を推定することが困難である。そのため、第３者は、暗号化データを復号できない。
【0233】
ＮＡＮＤメモリ１４の記憶領域は、複数のアドレス範囲に分割されている。複数のデータブロックに対応する符号語が、各アドレス範囲に記憶される。鍵は、各データブロックに割り当てられる。メモリシステム４は、鍵の記憶容量を少なくするために、各アドレス範囲に所定数の鍵しか割り当てず、同じ鍵を複数のデータブロックに割り当てる。
【0234】
メモリシステム４は、リード時にエラーを検出する。メモリシステム４は、訂正可能なエラーを検出した場合、エラーを訂正し、リフレッシュ書き込みを行う。メモリシステム４は、リフレッシュ書き込みを行う場合も、鍵を生成する。
【0235】
メモリシステム４は、或るアドレス範囲に所定数の鍵が既に割り当てられている状態で鍵を生成する場合、所定数の鍵のいずれかを消去し、代わりに新たに生成した鍵を或るアドレス範囲に割り当てる。メモリシステム４は、既に割り当てられている鍵を消去する前に、消去予定の鍵で暗号化されているデータを復号し平文を得て、平文を新たに生成された鍵で再暗号化する。メモリシステム４は、暗号化データを消去し、暗号化データが記憶されていたアドレスに再暗号化データを書き込むことにより、暗号化データを再暗号化データに更新する。
【0236】
鍵の更新は、或るアドレス範囲内の符号語の更新のみを必要とし、ＮＡＮＤメモリ１４が記憶している全符号語の更新を必要としないので、鍵の更新は短時間で完了するとともに、ＮＡＮＤメモリ１４の劣化が少ない。
【0237】
さらに、更新する鍵は、再暗号化するデータの量が最小になるように選ばれているので、鍵の更新時間が短く、ＮＡＮＤメモリ１４の劣化程度も小さい。
【0238】
本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【0239】
２…ホスト、４…メモリシステム、１２…コントローラ、１４…ＮＡＮＤメモリ、２８…ＲＴＣ、３４…暗号化／復号回路
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】
【図23】
【図24】
【図25】
【図26】