知財求人 - 知財ポータルサイト「IP Force」
▶ 株式会社東芝の特許一覧 ▶ 東芝デバイス＆ストレージ株式会社の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-01-04
(45)【発行日】2024-01-15
(54)【発明の名称】記憶装置
(51)【国際特許分類】
G06F 21/71 20130101AFI20240105BHJP
G06F 21/60 20130101ALI20240105BHJP
H01L 21/822 20060101ALI20240105BHJP
H01L 27/04 20060101ALI20240105BHJP
【ＦＩ】
G06F21/71
G06F21/60 320
H01L27/04 H
H01L27/04 V
【請求項の数】
8
(21)【出願番号】P 2021041646
(22)【出願日】2021-03-15
(65)【公開番号】P2022141379
(43)【公開日】2022-09-29
【審査請求日】2023-01-25
(73)【特許権者】
【識別番号】000003078
【氏名又は名称】株式会社東芝
(73)【特許権者】
【識別番号】317011920
【氏名又は名称】東芝デバイス＆ストレージ株式会社
(74)【代理人】
【識別番号】110002147
【氏名又は名称】弁理士法人酒井国際特許事務所
(72)【発明者】
【氏名】荒牧 康人
【審査官】吉田 歩
(56)【参考文献】
【文献】特開２０１５－０３６８４７（ＪＰ，Ａ）
【文献】特開２００１－１５６２５５（ＪＰ，Ａ）
【文献】特開２０１２－０６９５６５（ＪＰ，Ａ）
【文献】特開２０１７－１６３０３０（ＪＰ，Ａ）
【文献】米国特許出願公開第２００５／００６０５９５（ＵＳ，Ａ１）
【文献】国際公開第２０１２／０７０６３５（ＷＯ，Ａ１）
【文献】米国特許出願公開第２０１５／００６７３６８（ＵＳ，Ａ１）
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／７１
Ｇ０６Ｆ ２１／６０
Ｈ０１Ｌ ２１／８２２
(57)【特許請求の範囲】
【請求項1】
演算装置が実装されたＳｏＣと、前記ＳｏＣを介して制御される記憶媒体と、
出力装置が前記演算装置へクロック信号を出力するために前記出力装置と該演算装置とを接続し、かつ前記ＳｏＣ内に実装された信号線、または、前記演算装置へ電力を供給し、かつ前記ＳｏＣ内に実装された電源線に設置されており、前記演算装置への外部からの入力によりファームウェアによって切断されるフューズと、
前記ＳｏＣに対応する固有の固有値が書き換え不能に記憶され、該ＳｏＣに実装された第１記憶部と、
前記記憶媒体の駆動に必要な第１制御パラメータに対して前記固有値を用いた第１処理を行うことにより、再び該固有値を用いて使用できるような状態にして該第１制御パラメータを記憶する第２記憶部と、
を備えた記憶装置。
【請求項2】
前記記憶媒体は、ユーザデータを記憶する第１領域と、前記第１領域からの前記ユーザデータの読み出しに必要な第２制御パラメータに対して前記固有値を用いた第２処理を行うことにより、再び該固有値を用いて使用できるような状態にして該第２制御パラメータを記憶した第２領域と、を有する請求項１に記載の記憶装置。
【請求項3】
前記固有値を用いてデータを暗号化する暗号化部を、さらに備え、前記第２記憶部は、前記第１処理として前記暗号化部により前記固有値を用いて暗号化処理がされた前記第１制御パラメータを記憶し、
前記記憶媒体は、前記第２領域に、前記第２処理として前記暗号化部により前記固有値を用いて暗号化処理がされた前記第２制御パラメータを記憶した請求項２に記載の記憶装置。
【請求項4】
前記第２記憶部は、前記第１処理として前記暗号化部により前記固有値を用いて暗号化処理がされた、前記第１制御パラメータおよび該第１制御パラメータを検証するための第１検証値を記憶し、前記記憶媒体は、前記第２領域に、前記第２処理として前記暗号化部により前記固有値を用いて暗号化処理がされた、前記第２制御パラメータおよび該第２制御パラメータを検証するための第２検証値を記憶した請求項３に記載の記憶装置。
【請求項5】
前記記憶媒体は、前記第２領域に、前記暗号化部により前記固有値を用いて暗号化された、前記第１領域に記憶されたユーザデータを暗号化および復号するための暗号鍵を記憶した請求項３または４に記載の記憶装置。
【請求項6】
前記第２記憶部は、前記第１処理として、前記第１制御パラメータから前記固有値を用いて生成された第１検証値と共に前記第１制御パラメータを記憶し、前記記憶媒体は、前記第２領域に、前記第２処理として、前記第２制御パラメータから前記固有値を用いて生成された第２検証値と共に前記第２制御パラメータを記憶する請求項２に記載の記憶装置。
【請求項7】
前記演算装置は、前記第１検証値を用いた前記第１制御パラメータの検証に失敗した場合、または前記第２検証値を用いた前記第２制御パラメータの検証に失敗した場合、動作を停止する請求項４または６に記載の記憶装置。
【請求項8】
前記演算装置は、前記第１検証値を用いた前記第１制御パラメータの検証に失敗した場合、または前記第２検証値を用いた前記第２制御パラメータの検証に失敗した場合、前記フューズを切断する請求項４または６に記載の記憶装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明の実施形態は、記憶装置に関する。
【背景技術】
【0002】
ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）等の記憶装置を使用するユーザ（例えば、データセンター企業または行政サービス機関等）が不要になった記憶装置を廃棄する場合、多くは廃棄処理業者に廃棄を依頼する。その後、廃棄依頼された記憶装置は、廃棄処分されることが前提とされるが、一部不正な処理として廃棄の依頼主であるユーザに通知されることなく、またはユーザの許可を得ることなく、リユース品またはネットオークション品等として再度市場に流通することがある。これにより記憶装置に記憶された重要情報（例えば、顧客情報、個人情報、営業秘密等の秘密情報）が第三者へ流出する場合があり、重要情報が流出するだけでなく、リユース品等として再度市場に流通することを防止することが望まれる。
【先行技術文献】
【特許文献】
【0003】
【文献】特開２００６－１７２４５１号公報
【文献】特開２０１９－１２２０４６号公報
【文献】特開２００３－１０８２５７号公報
【発明の概要】
【発明が解決しようとする課題】
【0004】
一つの実施形態は、安全に廃棄することができる記憶装置を提供することを目的とする。
【課題を解決するための手段】
【0005】
一つの実施形態によれば、記憶装置は、ＳｏＣと、記憶媒体と、フューズと、第１記憶部と、第２記憶部と、を備える。ＳｏＣは、演算装置が実装される。記憶媒体は、ＳｏＣを介して制御される。フューズは、出力装置が演算装置へクロック信号を出力するために出力装置と演算装置とを接続し、かつＳｏＣ内に実装された信号線、または、演算装置へ電力を供給し、かつＳｏＣ内に実装された電源線に設置されており、演算装置への外部からの入力によりファームウェアによって切断される。第１記憶部は、ＳｏＣに対応する固有の固有値が書き換え不能に記憶され、ＳｏＣに実装される。第２記憶部は、記憶媒体の駆動に必要な第１制御パラメータに対して固有値を用いた第１処理を行うことにより、再び固有値を用いて使用できるような状態にして第１制御パラメータを記憶する。
【図面の簡単な説明】
【0006】
【発明を実施するための形態】
【0007】
以下に、実施形態に係る記憶装置を図面に基づいて詳細に説明する。なお、これらの実施形態における構成要素には、当業者が置換可能、かつ、容易なもの、または、実質的に同一のものが含まれ、以下の実施形態によりこの発明が限定されるものではない。また、実施形態に係る記憶装置として、以下、ＳｏＣ（Ｓｙｓｔｅｍ ｏｎ ａ Ｃｈｉｐ）を搭載したＨＤＤを例として説明するが、これに限定されるものではなく、ＳｏＣを搭載したＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）または半導体メモリ等の記憶装置でも適用可能である。
【0008】
（第１の実施形態）
図１は、記憶装置の廃棄の流れの一例を説明する図である。図２は、暗号記憶装置の破棄の流れの一例を説明する図である。図３は、故障した記憶装置の廃棄の流れの一例を示す図である。図１～図３を参照しながら、従来の記憶装置の廃棄の流れについて説明する。
図１は、記憶装置の廃棄の流れの一例を説明する図である。図２は、暗号記憶装置の破棄の流れの一例を説明する図である。図３は、故障した記憶装置の廃棄の流れの一例を示す図である。図１～図３を参照しながら、従来の記憶装置の廃棄の流れについて説明する。
【0009】
まず、図１に示す例では、廃棄対象となるＨＤＤ５００をユーザ側で何ら処置をすることなく廃棄処理業者に廃棄依頼をした場合の流れを示している。通常、廃棄依頼を受けた廃棄処理業者は、廃棄対象となるＨＤＤ５００を分解または破壊等を行って廃棄を行う。しかし、一部不正を図る廃棄処理業者は、図１に示すように、不正な処理として廃棄の依頼主であるユーザに通知されることなく、またはユーザの許可を得ることなく、ＨＤＤ５００をリユース品またはネットオークション品等として再度市場に流通させる場合がある。これにより、当該ＨＤＤ５００の購入者である第三者は、ＨＤＤ５００に記憶された重要情報（例えば、顧客情報、個人情報、営業秘密等の秘密情報）が取得できることになり、情報漏洩のリスクが非常に高いことになる。
【0010】
また、顧客情報等の重要情報の流出を防ぐために、ユーザ側の責任において、廃棄処理業者に廃棄依頼する前に、顧客情報等の重要情報を消去することが考えられる。しかし、一般にＨＤＤ等の記憶装置では、大容量化に伴い上書き消去に時間がかかることになる。そのため、短時間で安全に消去するために暗号機能付きのＨＤＤ（以下、「暗号ＨＤＤ」と称する場合がある）を使用することが推奨される。この場合、図２に示す例のように、ユーザは、暗号ＨＤＤであるＨＤＤ５００を廃棄する場合には、予め暗号鍵ＥＫ１０のみを消去して廃棄処理業者に廃棄依頼することになる。しかし、重要情報自体は破損せずに保存された状態のままであり、かつＳｏＣ等の機能は正常のまま、ＨＤＤ５００が第三者にわたることになるので、好ましい状態とは言えない。
【0011】
また、暗号ＨＤＤを使用していても、暗号鍵ＥＫ１０を消去する前に記憶媒体であるディスクが回転しなくなる等の故障が発生した場合には、暗号鍵ＥＫ１０は、通常ディスク内に保存されていることが多いため、暗号鍵ＥＫ１０を消去することが不可能になる。図３に示す例では、ディスクが回転しなくなる等の故障が発生した暗号ＨＤＤであるＨＤＤ５００を廃棄処理業者に廃棄依頼した場合の流れを示している。故障した状態のＨＤＤ５００をそのまま廃棄処理業者に引き渡した場合、この故障の原因が、例えば同一モデルの暗号ＨＤＤより調達可能な電気部品の不良、または塵埃等による電気的接触障害等の軽微なものであれば、廃棄処理業者により暗号ＨＤＤの修理または修復が可能となってしまう。そして、廃棄処理業者による修理または修復が完了した後、リユース品またはネットオークション品等として再度市場に流通した場合は、顧客情報等の重要情報および暗号鍵ＥＫ１０がそのまま残った状態となるため、重要情報が流出するリスクが非常に高まることになる。
【0012】
以上の図１～図３に示した場合において、ＨＤＤ５００が再度市場に流通して重要情報が流出する事態を避けるためには、ユーザ自身でパンチャ等によりＨＤＤ５００のディスクまたは磁気読み取りヘッド等を確実に物理的に破壊する必要があるが、その労力およびコストの観点から不利益が大きい。
【0013】
図４は、第１の実施形態の記憶装置の廃棄の流れを示す図である。本実施形態のＨＤＤ１については、ユーザは、通常の構成である外部のＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等のホスト端末と接続して、当該ホスト端末から破壊コマンドをＨＤＤ１に対して送信することによって、ＨＤＤ１を起動できないように物理的に破壊することができる。これによって、図４に示すように、リユース品またはネットオークション品等として再度市場に流通させることをユーザ側で未然に防ぐことができる。また、上述のように、ＨＤＤ１に接続されたホスト端末から破壊コマンドを送信するだけで物理的に破壊できるので、特殊な破壊工具を不要とすることができる。以下、本実施形態のＨＤＤ１の構成および動作について、詳細に説明する。
【0014】
図５は、第１の実施形態の記憶装置の構成の一例を示す図である。図６は、第１の実施形態の記憶装置におけるＳｏＣのｅ－ｆｕｓｅの接続構成の一例を示す図である。図５および図６を参照しながら、本実施形態のＨＤＤ１の構成について説明する。
【0015】
図５に示すＨＤＤ１は、例えばＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）等の情報処理装置に搭載され、各種のユーザデータ（プログラム等を含む）を記憶させるための不揮発性の記憶装置である。図５に示すように、ＨＤＤ１は、ＳｏＣ１１と、Ｆｌａｓｈ－ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２（以下、ＦＲＯＭ１２と称する）（第２記憶部）と、ディスク１３（記憶媒体の一例）と、ＶＣＭ（Ｖｏｉｃｅ Ｃｏｉｌ Ｍｏｔｏｒ）１４と、ＳＶＣ（Ｓｅｒｖｏ Ｃｏｍｂｏ）１５と、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１６と、Ｉ／Ｆポート１７と、を備えている。
【0016】
ＳｏＣ１１は、演算機能およびデータ記憶機能等を集積してシステムとして機能するように１つのチップ上に構成された集積回路である。ＳｏＣ１１は、図５に示すように、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）１１１と、Ｍａｓｋ ＲＯＭ１１２と、ＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）１１３（暗号化部）と、ＳＲＡＭ（Ｓｔａｔｉｃ ＲＡＭ）１１４と、ＳＰＩ（Ｓｅｒｉａｌ Ｐｅｒｉｐｈｅｒａｌ Ｉｎｔｅｒｆａｃｅ）１１５と、ＳＶＬ（Ｓｅｒｖｏ Ｌｏｇｉｃ）１１６と、ＨＩＦ（Ｈｏｓｔ Ｉｎｔｅｒｆａｃｅ）１１７と、ＢＭ（Ｂｕｆｆｅｒ Ｍａｎａｇｅｒ）１１８と、ＤＭ（Ｄｉｓｋ Ｍａｎａｇｅｒ）１１９と、ＲＤＣ（Ｒｅａｄ Ｃｈａｎｎｅｌ）１２０と、バス１２１と、を含む。
【0017】
ＣＰＵ１１１は、ＳｏＣ１１の動作、ひいてはＨＤＤ１全体の動作を制御する演算装置である。
【0018】
Ｍａｓｋ ＲＯＭ１１２は、電源投入時の初期設定、およびＦＲＯＭ１２に記憶されたファームウェアを読み出すためのＩＰＬ（Ｉｎｉｔｉａｌ Ｐｒｏｇｒａｍ Ｌｏａｄｅｒ）であるファームウェアＦＷ０を記憶している不揮発性の記憶回路である。ＨＤＤ１の電源が投入されると、まず、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、後述するＦＲＯＭ１２に記憶されたファームウェアＦＷ１を起動する。
【0019】
ＡＥＳ１１３は、乱数値を用いてデータの暗号化処理を行う暗号回路である。また、ＡＥＳ１１３は、後述するように、ディスク１３に記憶されたユーザデータを、暗号鍵を用いて暗号化する処理も行う。
【0020】
ＳＲＡＭ１１４は、内部処理用のデータ等を記憶する半導体メモリである。ＳＰＩ１１５は、ＦＲＯＭ１２からデータの読み出すためのインターフェースである。
【0021】
ＳＶＬ１１６は、ＳＶＣ１５の制御を行う制御回路である。ＨＩＦ１１７は、外部のＰＣ等のホスト端末からＩ／Ｆポート１７を介して受信したコマンドを処理する回路である。
【0022】
ＢＭ１１８は、データのキャッシュとして機能するＤＲＡＭ１６を管理する回路である。ＤＭ１１９は、ディスク１３をコントロールし、データの読み書きを管理する回路である。
【0023】
ＲＤＣ１２０は、例えば１６進数等で表されたデータを、ディスク１３に書き込める２進数の状態に変換する回路である。バス１２１は、ＳｏＣ１１の各回路、素子を互いにデータ通信可能となるように接続する通信経路である。
【0024】
ＦＲＯＭ１２は、後述するディスク１３のシステム領域１３１からデータを読み出すためのファームウェアＦＷ１と、ファームウェアＦＷ１がディスク１３の回転およびヘッド１４ａを動作させるために使用する制御パラメータＣＰ１（第１制御パラメータ）と、を記憶している不揮発性の記憶回路である。制御パラメータＣＰ１は、ＨＤＤ１ごとにヘッド１４ａおよびディスク１３のモータ等の物理的特性の組み合わせに対応するように調整され数値化された各種のパラメータである。したがって、ＨＤＤ１が変われば、そのＨＤＤ１のＦＲＯＭ１２に記憶された制御パラメータＣＰ１は異なる数値となる。ファームウェアＦＷ１は、上述のようにファームウェアＦＷ０により起動されると、制御パラメータＣＰ１を使用して、ディスク１３を回転させ、ヘッド１４ａを動作させて、後述するディスク１３のシステム領域１３１に記憶されたファームウェアＦＷ２を起動する。
【0025】
ディスク１３は、ＨＤＤ１のユーザデータの記憶という主目的を実現する記憶媒体である。ディスク１３は、図５に示すように、システム領域１３１（第２領域）と、ユーザ領域１３２（第１領域）と、を有する。
【0026】
システム領域１３１は、ユーザ領域１３２からユーザデータを読み出すためのファームウェアＦＷ２と、ファームウェアＦＷ２がユーザ領域１３２にアクセスするために使用する制御パラメータＣＰ２（第２制御パラメータ）と、ユーザデータを暗号化および復号するための暗号鍵ＥＫと、を記憶する記憶領域である。制御パラメータＣＰ２は、ディスク１３の形状変形および記録密度等の特性の組み合わせに対応するように調整され数値化された各種のパラメータである。したがって、ＨＤＤ１が変われば、そのＨＤＤ１のシステム領域１３１に記憶された制御パラメータＣＰ２は異なる数値となる。ファームウェアＦＷ２は、上述のようにファームウェアＦＷ１により起動されると、制御パラメータＣＰ２を使用して、ユーザ領域１３２へのアクセスを行う。
【0027】
ユーザ領域１３２は、ユーザデータを記憶する記憶領域である。具体的には、ユーザ領域１３２は、システム領域１３１に記憶された暗号鍵ＥＫを用いて暗号化された状態のユーザデータを記憶している。
【0028】
ＶＣＭ１４は、ディスク１３に記憶されたデータを読み書きするためのヘッド１４ａを動作させるためのモータである。ＳＶＣ１５は、ＶＣＭ１４の回転動作を制御する駆動回路である。
【0029】
ＤＲＡＭ１６は、データのキャッシュとして機能する半導体メモリである。
【0030】
Ｉ／Ｆポート１７は、外部（例えばＨＤＤ１を搭載するＰＣ等）とデータ通信するためのインターフェースである。
【0031】
図６に示すように、ＨＤＤ１は、さらに、電源ポート１８と、外部端子１９と、ＯＳＣ（Ｏｓｃｉｌｌａｔｏｒ）２０（出力装置）と、を備えている。また、図６に示すように、ＳｏＣ１１は、さらに、バス１２１に接続されたＯＴＰ（Ｏｎｅ Ｔｉｍｅ Ｐｒｏｇｒａｍｍａｂｌｅ）１２２（第１記憶部）と、ｅ－ｆｕｓｅ１２３と、を含む。
【0032】
電源ポート１８は、ＨＤＤ１のＳｏＣ１１を含め、各素子に対して電源を供給するためのポートである。例えば、ＳｏＣ１１は、図６に示すように、電源ポート１８から電源線ＰＬを介して電源が供給される。
【0033】
外部端子１９は、ＳｏＣ１１に対して接地させるか否かを切り替えるための端子である。例えば、外部端子１９に短絡部材１９ａを取り付けることによって、外部端子１９の端子間が短絡（ショート）され、ＣＰＵ１１１は、外部端子１９を介して接地された状態であることを認識することができる。
【0034】
ＯＳＣ２０は、ＣＰＵ１１１の演算処理のためのクロック信号を発生させる装置である。ＯＳＣ２０は、クロック信号線ＣＬを介して、クロック信号をＣＰＵ１１１に対して出力する。
【0035】
ＯＴＰ１２２は、一度だけデータを書き込むことができ、以降は書き換え不能な記憶装置である。具体的には、ＯＴＰ１２２は、所定の乱数値が書き換え不能に記憶されている。例えば、ＯＴＰ１２２は、ＨＤＤ１のメーカ側が出荷前等に事前に所定の乱数値を書き込んでおくものとすればよい。
【0036】
なお、ＯＴＰ１２２に事前に乱数値を書き込んでおくことに限定されるものではなく、例えば、ＨＤＤ１が、内部で乱数値を生成して、自らその乱数値を書き込むものとしてもよい。この場合、ファームウェアＦＷ１またはファームウェアＦＷ２に、乱数値を生成してＯＴＰ１２２に当該乱数値を書き込む機能を含めるものとすればよい。また、ＯＴＰ１２２には、乱数値のほかＨＤＤ１について固有な固有値が記憶されているものとすればよい。
【0037】
ｅ－ｆｕｓｅ１２３は、ＣＰＵ１１１とＯＳＣ２０とを接続するクロック信号線ＣＬ（信号線）に設置された物理的なフューズ部材である。ｅ－ｆｕｓｅ１２３は、ＣＰＵ１１１からの切断指令によって、クロック信号線ＣＬを物理的に切断する。これを実現するためには、ファームウェアＦＷ０に、Ｉ／Ｆポート１７を介した外部のホスト端末等から破壊コマンド（破壊指令）を受信する機能、および当該破壊コマンドを受信した場合にｅ－ｆｕｓｅ１２３を切断するための切断指令を出力する機能を含めておく。これによって、外部のホスト端末等から破壊コマンドが受信されると、ファームウェアＦＷ０が起動し、ｅ－ｆｕｓｅ１２３を物理的に切断するための切断指令をｅ－ｆｕｓｅ１２３へ出力する。この結果、ｅ－ｆｕｓｅ１２３が切断され、すなわちクロック信号線ＣＬが切断され、ＣＰＵ１１１にクロック信号が供給されなくなるため、ＳｏＣ１１（ＣＰＵ１１１）の動作が不能となる。
【0038】
なお、ｅ－ｆｕｓｅ１２３は、ＳｏＣ１１（ＣＰＵ１１１）の動作を不能にさせるものとすればよく、上述のクロック信号線ＣＬに設置されること以外にも、例えば、ＣＰＵ１１１への電源線に設置されるものとしてもよい。また、ホスト端末等から送信される破壊コマンドは、既存のコマンドのサービスアクションコードを変更して流用するものとしてもよく、または特殊なコマンドをメーカ側で設定しておくものとしてもよい。
【0039】
また、破壊コマンドを不正に発行されること、または誤って発行されてしまうこと等による意図しないｅ－ｆｕｓｅ１２３の切断を防ぐために、上述したように、外部端子１９に短絡部材１９ａが取り付けられて端子間が短絡（ショート）されている場合には、ＣＰＵ１１１は、破壊コマンドを無効化するものとしてもよい。
【0040】
図７は、第１の実施形態の記憶装置における制御パラメータおよび暗号鍵の格納の態様の一例を示す図である。図７を参照しながら、本実施形態のＨＤＤ１における制御パラメータＣＰ１、ＣＰ２および暗号鍵ＥＫの格納の態様について説明する。なお、暗号化前の制御パラメータＣＰ１、ＣＰ２および暗号鍵ＥＫを、便宜上制御パラメータＣＰ１’、ＣＰ２’および暗号鍵ＥＫ’と称して説明する。
【0041】
ＨＤＤ１のメーカは、ＨＤＤ１の出荷前に、制御パラメータＣＰ１’に、当該制御パラメータＣＰ１’に基づくチェックサム、ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ Ｃｈｅｃｋ）またはハッシュ等の検証値（第１検証値）を付加した上で、ＯＴＰ１２２に記憶された乱数値を用いて暗号化（第１処理の一例）をした状態の制御パラメータＣＰ１として、ＦＲＯＭ１２に記憶させる。すなわち、上述の暗号化は、後に再び乱数値を用いて制御パラメータＣＰ１を使用できるような状態にしている、ということができる。また、ＨＤＤ１のメーカは、ＨＤＤ１の出荷前に、制御パラメータＣＰ２’に、当該制御パラメータＣＰ２’に基づくチェックサム、ＣＲＣまたはハッシュ等の検証値（第２検証値）を付加した上で、ＯＴＰ１２２に記憶された乱数値を用いて暗号化（第２処理の一例）をした状態の制御パラメータＣＰ２として、ディスク１３のシステム領域１３１に記憶させる。すなわち、上述の暗号化は、後に再び乱数値を用いて制御パラメータＣＰ２を使用できるような状態にしている、ということができる。さらに、ＨＤＤ１のメーカは、ＨＤＤ１の出荷前に、予めユーザデータ用の暗号鍵ＥＫ’を、ＯＴＰ１２２に記憶された乱数値を用いて暗号化した状態の暗号鍵ＥＫとして、ディスク１３のシステム領域１３１に記憶させる。なお、制御パラメータＣＰ１’、ＣＰ２’を暗号化する際に、必ずしも検証値を付加する必要はないが、以下では、検証値を付加するものとして説明する。
【0042】
なお、制御パラメータＣＰ１’、ＣＰ２’および暗号鍵ＥＫ’の暗号化は、例えばＡＥＳ（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ）等の暗号化アルゴリズムを用いればよい。また、ＨＤＤ１が内部で乱数値を生成してＯＴＰ１２２へ書き込む場合、ファームウェアＦＷ２に、乱数のＯＴＰ１２２への書き込み時に、ＦＲＯＭ１２に記憶された制御パラメータＣＰ１’、およびシステム領域１３１に記憶されたＣＰ２’を、それぞれ当該乱数値を用いて暗号化して、ＦＲＯＭ１２およびシステム領域１３１にそれぞれ再格納する機能を含めるものとすればよい。
【0043】
図８は、第１の実施形態の記憶装置の取り扱いおよび処理の流れの一例を示すフローチャートである。図９は、第１の実施形態の記憶装置に対する同一のモデルの記憶装置からの部品交換の一例を示す図である。図８および図９を参照しながら、本実施形態のＨＤＤ１の取り扱いおよび処理の流れについて説明する。
【0044】
＜ステップＳ１１＞
ＨＤＤ１のユーザは、暗号ＨＤＤであるＨＤＤ１を廃棄する場合に、Ｉ／Ｆポート１７に接続したホスト端末に対する操作により、当該ホスト端末から破壊コマンドを発行させる。そして、ＣＰＵ１１１は、Ｉ／Ｆポート１７を介して破壊コマンドを受信する。そして、ステップＳ１２へ移行する。
ＨＤＤ１のユーザは、暗号ＨＤＤであるＨＤＤ１を廃棄する場合に、Ｉ／Ｆポート１７に接続したホスト端末に対する操作により、当該ホスト端末から破壊コマンドを発行させる。そして、ＣＰＵ１１１は、Ｉ／Ｆポート１７を介して破壊コマンドを受信する。そして、ステップＳ１２へ移行する。
【0045】
＜ステップＳ１２＞
ＣＰＵ１１１は、破壊コマンドを受信するとファームウェアＦＷ０を起動する。ファームウェアＦＷ０は、ＣＰＵ１１１による実行により、ｅ－ｆｕｓｅ１２３を切断するための切断指令を、ｅ－ｆｕｓｅ１２３に対して出力する。これによって、ｅ－ｆｕｓｅ１２３が切断される。そして、ステップＳ１３へ移行する。
ＣＰＵ１１１は、破壊コマンドを受信するとファームウェアＦＷ０を起動する。ファームウェアＦＷ０は、ＣＰＵ１１１による実行により、ｅ－ｆｕｓｅ１２３を切断するための切断指令を、ｅ－ｆｕｓｅ１２３に対して出力する。これによって、ｅ－ｆｕｓｅ１２３が切断される。そして、ステップＳ１３へ移行する。
【0046】
＜ステップＳ１３＞
ｅ－ｆｕｓｅ１２３が切断されると、クロック信号線ＣＬが切断され、ＣＰＵ１１１へクロック信号が供給されなくなるため、ＳｏＣ１１（ＣＰＵ１１１）の動作が不能となる。これによって、ファームウェアＦＷ０、ＦＷ１、ＦＷ２のすべてが実行できなくなり、ＨＤＤ１は起動不能となる。そして、ステップＳ１４へ移行する。
ｅ－ｆｕｓｅ１２３が切断されると、クロック信号線ＣＬが切断され、ＣＰＵ１１１へクロック信号が供給されなくなるため、ＳｏＣ１１（ＣＰＵ１１１）の動作が不能となる。これによって、ファームウェアＦＷ０、ＦＷ１、ＦＷ２のすべてが実行できなくなり、ＨＤＤ１は起動不能となる。そして、ステップＳ１４へ移行する。
【0047】
＜ステップＳ１４＞
ユーザは、ｅ－ｆｕｓｅ１２３の切断により物理的に破壊されたＨＤＤ１を、廃棄処理業者へ引き渡し、廃棄依頼する。そして、ステップＳ１５へ移行する。
ユーザは、ｅ－ｆｕｓｅ１２３の切断により物理的に破壊されたＨＤＤ１を、廃棄処理業者へ引き渡し、廃棄依頼する。そして、ステップＳ１５へ移行する。
【0048】
＜ステップＳ１５＞
ＨＤＤ１の廃棄依頼を受けた廃棄処理業者は、以下、不正な処理としてＨＤＤ１をリユース品またはネットオークション品等として再度市場に流通させるように図ろうとした場合について説明する。廃棄処理業者は、不正な処理として、図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１との交換を試みる場合（ステップＳ１５：ＳｏＣのみ）、ステップＳ１６へ移行する。一方、廃棄処理業者は、不正な処理として、図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換を試みる場合（ステップＳ１５：ＳｏＣ＋ＦＲＯＭ）、ステップＳ１９へ移行する。
ＨＤＤ１の廃棄依頼を受けた廃棄処理業者は、以下、不正な処理としてＨＤＤ１をリユース品またはネットオークション品等として再度市場に流通させるように図ろうとした場合について説明する。廃棄処理業者は、不正な処理として、図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１との交換を試みる場合（ステップＳ１５：ＳｏＣのみ）、ステップＳ１６へ移行する。一方、廃棄処理業者は、不正な処理として、図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換を試みる場合（ステップＳ１５：ＳｏＣ＋ＦＲＯＭ）、ステップＳ１９へ移行する。
【0049】
＜ステップＳ１６＞
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、ＦＲＯＭ１２に記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ１７へ移行する。
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、ＦＲＯＭ１２に記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ１７へ移行する。
【0050】
＜ステップＳ１７＞
この場合、ＦＲＯＭ１２内の制御パラメータＣＰ１は、ＡＥＳ１１３により、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて復号されるが、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、正しく復号できない。そして、ステップＳ１８へ移行する。
この場合、ＦＲＯＭ１２内の制御パラメータＣＰ１は、ＡＥＳ１１３により、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて復号されるが、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、正しく復号できない。そして、ステップＳ１８へ移行する。
【0051】
＜ステップＳ１８＞
したがって、ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、復号された制御パラメータＣＰ１を使用しても、ディスク１３のシステム領域１３１のデータを読み出すことができない。また、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、復号された制御パラメータＣＰ１の検証値を用いて、当該制御パラメータＣＰ１の検証を行った結果、検証ＮＧとなるので処理を停止する。以上のように、暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
したがって、ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、復号された制御パラメータＣＰ１を使用しても、ディスク１３のシステム領域１３１のデータを読み出すことができない。また、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、復号された制御パラメータＣＰ１の検証値を用いて、当該制御パラメータＣＰ１の検証を行った結果、検証ＮＧとなるので処理を停止する。以上のように、暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
【0052】
なお、上述のように制御パラメータＣＰ１の検証に失敗した場合は、使用した乱数値が異なっていること、すなわちＳｏＣ１１がＳｏＣ１１＿Ｎｅｗに不正に交換されていることがわかるため、この時点で、ファームウェアＦＷ０またはファームウェアＦＷ１が、ＣＰＵ１１１による実行により、ＳｏＣ１１＿Ｎｅｗ内のｅ－ｆｕｓｅ１２３を切断するものとしてもよい。
【0053】
＜ステップＳ１９＞
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、交換されたＦＲＯＭ１２＿Ｎｅｗに記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ２０へ移行する。
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、交換されたＦＲＯＭ１２＿Ｎｅｗに記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ２０へ移行する。
【0054】
＜ステップＳ２０＞
この場合、ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、ＡＥＳ１１３により、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて復号される。ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、元々、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて暗号化されたものであるため、正しく復号されることになる。そして、ステップＳ２１へ移行する。
この場合、ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、ＡＥＳ１１３により、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて復号される。ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、元々、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて暗号化されたものであるため、正しく復号されることになる。そして、ステップＳ２１へ移行する。
【0055】
＜ステップＳ２１＞
しかし、ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、交換元であるＨＤＤ１＿Ｎｅｗ用のパラメータであるため、ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、当該制御パラメータＣＰ１を使用しても、ディスク１３のシステム領域１３１からデータを読み出すことができない。仮に、万が一、部品交換用に用意したＨＤＤ１＿Ｎｅｗの制御パラメータＣＰ１が、物理的に破壊されたＨＤＤ１の制御パラメータＣＰ１と似通っているために、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合（ステップＳ２１：可）、ステップＳ２３へ移行する。一方、通常の予測通り、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできない場合（ステップＳ２１：不可）、ステップＳ２２へ移行する。
しかし、ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、交換元であるＨＤＤ１＿Ｎｅｗ用のパラメータであるため、ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、当該制御パラメータＣＰ１を使用しても、ディスク１３のシステム領域１３１からデータを読み出すことができない。仮に、万が一、部品交換用に用意したＨＤＤ１＿Ｎｅｗの制御パラメータＣＰ１が、物理的に破壊されたＨＤＤ１の制御パラメータＣＰ１と似通っているために、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合（ステップＳ２１：可）、ステップＳ２３へ移行する。一方、通常の予測通り、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできない場合（ステップＳ２１：不可）、ステップＳ２２へ移行する。
【0056】
＜ステップＳ２２＞
ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用しても、システム領域１３１からデータを読み出すことができないため、ファームウェアＦＷ２を起動することができない。以上のように、ファームウェアＦＷ２を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用しても、システム領域１３１からデータを読み出すことができないため、ファームウェアＦＷ２を起動することができない。以上のように、ファームウェアＦＷ２を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
【0057】
＜ステップＳ２３＞
ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合、ファームウェアＦＷ２を起動することができる。そして、ステップＳ２４へ移行する。
ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合、ファームウェアＦＷ２を起動することができる。そして、ステップＳ２４へ移行する。
【0058】
＜ステップＳ２４＞
しかし、この場合、ディスク１３のシステム領域１３１内の制御パラメータＣＰ２および暗号鍵ＥＫは、ＡＥＳ１１３により、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて復号されるが、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、正しく復号できない。そして、ステップＳ２５へ移行する。
しかし、この場合、ディスク１３のシステム領域１３１内の制御パラメータＣＰ２および暗号鍵ＥＫは、ＡＥＳ１１３により、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いて復号されるが、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、正しく復号できない。そして、ステップＳ２５へ移行する。
【0059】
＜ステップＳ２５＞
したがって、ファームウェアＦＷ２は、ＣＰＵ１１１による実行により、復号された制御パラメータＣＰ２および暗号鍵ＥＫを使用しても、ディスク１３のユーザ領域１３２のユーザデータを読み出すことができない。また、ファームウェアＦＷ２は、ＣＰＵ１１１による実行より、復号された制御パラメータＣＰ２の検証値を用いて、当該制御パラメータＣＰ２の検証を行った結果、検証ＮＧとなるので処理を停止する。以上のように、暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
したがって、ファームウェアＦＷ２は、ＣＰＵ１１１による実行により、復号された制御パラメータＣＰ２および暗号鍵ＥＫを使用しても、ディスク１３のユーザ領域１３２のユーザデータを読み出すことができない。また、ファームウェアＦＷ２は、ＣＰＵ１１１による実行より、復号された制御パラメータＣＰ２の検証値を用いて、当該制御パラメータＣＰ２の検証を行った結果、検証ＮＧとなるので処理を停止する。以上のように、暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
【0060】
なお、上述のように制御パラメータＣＰ２の検証に失敗した場合は、使用した乱数値が異なっていること、すなわちＳｏＣ１１がＳｏＣ１１＿Ｎｅｗに不正に交換されていることがわかるため、この時点で、ファームウェアＦＷ０またはファームウェアＦＷ２が、ＣＰＵ１１１による実行により、ＳｏＣ１１＿Ｎｅｗ内のｅ－ｆｕｓｅ１２３を切断するものとしてもよい。
【0061】
以上のステップＳ１１～Ｓ２５の流れに示すように、廃棄処理業者が不正に、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿Ｎｅｗから、ＳｏＣ１１＿Ｎｅｗのみ、またＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗへ交換を試みたとしてしても、いずれの場合においても、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができない。
【0062】
以上のように、本実施形態のＨＤＤ１では、ＣＰＵ１１１が実装されたＳｏＣ１１と、ＣＰＵ１１１の実行動作に必要な、ＳｏＣ１１に実装されたクロック信号線ＣＬまたは電源線ＰＬ等に設置されたｅ－ｆｕｓｅ１２３と、ＳｏＣ１１に対応する乱数値が書き換え不能に記憶され、ＳｏＣ１１に実装されたＯＴＰ１２２と、ディスク１３の駆動に必要な制御パラメータＣＰ１に対して乱数値を用いた暗号化を行うことにより、再び乱数値を用いて使用できるような状態にして制御パラメータＣＰ１を記憶するＦＲＯＭ１２と、ユーザデータを記憶するユーザ領域１３２と、ユーザ領域１３２からのユーザデータの読み出しに必要な制御パラメータＣＰ２に対して乱数値を用いた暗号化を行うことにより、再び乱数値を用いて使用できるような状態にして制御パラメータＣＰ２を記憶したシステム領域１３１と、を有するディスク１３と、を備え、ＣＰＵ１１１は、外部から破壊指令を受信した場合、ｅ－ｆｕｓｅ１２３を切断するものとしている。これによって、ＨＤＤ１が起動できないようにｅ－ｆｕｓｅ１２３の切断という破壊をしているため、リユース品またはネットオークション品等として再び市場に流出されることをユーザ側で防ぐことができるので、ＨＤＤ１を安全に廃棄することができる。また、特殊な破壊工具が不要で、ホスト端末等から破壊指令を送信するのみで、ＨＤＤ１を破壊することができ、素子の損傷または発火等の危険性が低く安全性が高い。また、ＳｏＣ１１に電源が入力されているだけの、極めて単純な回路構成でｅ－ｆｕｓｅ１２３の切断が可能なため、ＨＤＤ１の実装電気部品不良等によるディスク１３が回転できないような故障状態であっても、確実に修復不可能な破壊ができる。また、ＨＤＤ１毎に異なる制御パラメータＣＰ１、ＣＰ２をＳｏＣ１１内の乱数値（ＨＤＤ１ごとに異なる値）で暗号化しているため、ＳｏＣ１１を交換するとＨＤＤ１が起動できなくなるため、修復不可能な破壊を実現することができる。
【0063】
なお、上述の第１の実施形態のＨＤＤ１では、システム領域１３１の制御パラメータＣＰ２および暗号鍵ＥＫの双方について、乱数値を用いて暗号化する構成としたが、これに限定されるものではなく、少なくともいずれか一方を暗号化しておく構成としてもよい。例えば、暗号鍵ＥＫのみを暗号化した場合には、ＳｏＣ１１が交換されたとしても、暗号鍵ＥＫを正常に復号することができないため、ユーザ領域１３２からユーザデータの読み取りを防ぐことができる。ただし、上述の図２に示したように、暗号鍵ＥＫのみを消去して破棄処理業者に廃棄依頼をしたことと同様の状態となるため、好ましい状態とは言えない。一方、少なくとも制御パラメータＣＰ２を暗号化した場合には、ＳｏＣ１１交換されたとしても、ユーザ領域１３２へのアクセス処理自体を防ぐことができるため、少なくとも制御パラメータＣＰ２を暗号化することの方が望ましい。
【0064】
（第２の実施形態）
第２の実施形態のＨＤＤ１について、第１の実施形態のＨＤＤ１と相違する点を中心に説明する。第１の実施形態では、ＨＤＤ１が暗号ＨＤＤであるものとして、再度市場に流通することを防止し安全に廃棄することができる構成について説明した。本実施形態では、暗号機能を有さないＨＤＤ（以下、「非暗号ＨＤＤ」と称する場合がある）についての、再度市場に流通することを防止し安全に廃棄することができる構成について説明する。なお、本実施形態のＨＤＤ１は、暗号機能を有さないため、図５に示した構成のうち、ＡＥＳ１１３を備えていない。
第２の実施形態のＨＤＤ１について、第１の実施形態のＨＤＤ１と相違する点を中心に説明する。第１の実施形態では、ＨＤＤ１が暗号ＨＤＤであるものとして、再度市場に流通することを防止し安全に廃棄することができる構成について説明した。本実施形態では、暗号機能を有さないＨＤＤ（以下、「非暗号ＨＤＤ」と称する場合がある）についての、再度市場に流通することを防止し安全に廃棄することができる構成について説明する。なお、本実施形態のＨＤＤ１は、暗号機能を有さないため、図５に示した構成のうち、ＡＥＳ１１３を備えていない。
【0065】
図１０は、第２の実施形態の記憶装置における制御パラメータの格納の態様の一例を示す図である。図１０を参照しながら、本実施形態のＨＤＤ１における制御パラメータＣＰ１、ＣＰ２の格納の態様について説明する。なお、後述するＨＭＡＣ（Ｈａｓｈ－ｂａｓｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ Ｃｏｄｅ）を付加する前の制御パラメータＣＰ１、ＣＰ２を、便宜上制御パラメータＣＰ１’、ＣＰ２’と称して説明する。
【0066】
ＨＤＤ１のメーカは、ＨＤＤ１の出荷前に、制御パラメータＣＰ１’に、ＯＴＰ１２２に記憶された乱数値および当該制御パラメータＣＰ１’に基づいて算出されるＨＭＡＣ等の検証値（第１検証値）の付加（第１処理の一例）をした上で、制御パラメータＣＰ１（第１制御パラメータ）として、ＦＲＯＭ１２に記憶させる。すなわち、上述の検証値の付加は、後に再び乱数値を用いて制御パラメータＣＰ１を使用できるような状態にしている、ということができる。また、ＨＤＤ１のメーカは、ＨＤＤ１の出荷前に、制御パラメータＣＰ２’に、ＯＴＰ１２２に記憶された乱数値および当該制御パラメータＣＰ２’に基づいて算出されるＨＭＡＣ等の検証値（第２検証値）の付加（第２処理の一例）をした上で、制御パラメータＣＰ２（第２制御パラメータ）として、ディスク１３のシステム領域１３１に記憶させる。すなわち、上述の検証値の付加は、後に再び乱数値を用いて制御パラメータＣＰ２を使用できるような状態にしている、ということができる。
【0067】
なお、ＨＤＤ１が内部で乱数値を生成してＯＴＰ１２２へ書き込む場合、ファームウェアＦＷ２に、乱数のＯＴＰ１２２への書き込み時に、ＦＲＯＭ１２に記憶された制御パラメータＣＰ１’、およびシステム領域１３１に記憶されたＣＰ２’を、それぞれＨＭＡＣを付加した上で、ＦＲＯＭ１２およびシステム領域１３１にそれぞれ再格納する機能を含めるものとすればよい。
【0068】
また、制御パラメータＣＰ１、ＣＰ２に付加する検証値はＨＭＡＣではなく、例えばＲＳＡ等を使用したデジタル署名であってもよい。この場合、ＯＴＰ１２２に記憶された乱数値を公開鍵とし、秘密鍵はデジタル署名の付加後に直ちに消去するものとすればよい。
【0069】
【0070】
＜ステップＳ３１＞
ＨＤＤ１のユーザは、非暗号ＨＤＤであるＨＤＤ１を廃棄する場合に、Ｉ／Ｆポート１７に接続したホスト端末に対する操作により、当該ホスト端末から破壊コマンドを発行させる。そして、ＣＰＵ１１１は、Ｉ／Ｆポート１７を介して破壊コマンドを受信する。そして、ステップＳ３２へ移行する。
ＨＤＤ１のユーザは、非暗号ＨＤＤであるＨＤＤ１を廃棄する場合に、Ｉ／Ｆポート１７に接続したホスト端末に対する操作により、当該ホスト端末から破壊コマンドを発行させる。そして、ＣＰＵ１１１は、Ｉ／Ｆポート１７を介して破壊コマンドを受信する。そして、ステップＳ３２へ移行する。
【0071】
＜ステップＳ３２＞
ＣＰＵ１１１は、破壊コマンドを受信するとファームウェアＦＷ０を起動する。ファームウェアＦＷ０は、ＣＰＵ１１１による実行により、ｅ－ｆｕｓｅ１２３を切断するための切断指令を、ｅ－ｆｕｓｅ１２３に対して出力する。これによって、ｅ－ｆｕｓｅ１２３が切断される。そして、ステップＳ３３へ移行する。
ＣＰＵ１１１は、破壊コマンドを受信するとファームウェアＦＷ０を起動する。ファームウェアＦＷ０は、ＣＰＵ１１１による実行により、ｅ－ｆｕｓｅ１２３を切断するための切断指令を、ｅ－ｆｕｓｅ１２３に対して出力する。これによって、ｅ－ｆｕｓｅ１２３が切断される。そして、ステップＳ３３へ移行する。
【0072】
＜ステップＳ３３＞
ｅ－ｆｕｓｅ１２３が切断されると、クロック信号線ＣＬが切断され、ＣＰＵ１１１へクロック信号が供給されなくなるため、ＳｏＣ１１（ＣＰＵ１１１）の動作が不能となる。これによって、ファームウェアＦＷ０、ＦＷ１、ＦＷ２のすべてが実行できなくなり、ＨＤＤ１は起動不能となる。そして、ステップＳ３４へ移行する。
ｅ－ｆｕｓｅ１２３が切断されると、クロック信号線ＣＬが切断され、ＣＰＵ１１１へクロック信号が供給されなくなるため、ＳｏＣ１１（ＣＰＵ１１１）の動作が不能となる。これによって、ファームウェアＦＷ０、ＦＷ１、ＦＷ２のすべてが実行できなくなり、ＨＤＤ１は起動不能となる。そして、ステップＳ３４へ移行する。
【0073】
＜ステップＳ３４＞
ユーザは、ｅ－ｆｕｓｅ１２３の切断により物理的に破壊されたＨＤＤ１を、廃棄処理業者へ引き渡し、廃棄依頼する。そして、ステップＳ３５へ移行する。
ユーザは、ｅ－ｆｕｓｅ１２３の切断により物理的に破壊されたＨＤＤ１を、廃棄処理業者へ引き渡し、廃棄依頼する。そして、ステップＳ３５へ移行する。
【0074】
＜ステップＳ３５＞
ＨＤＤ１の廃棄依頼を受けた廃棄処理業者は、以下、不正な処理としてＨＤＤ１をリユース品またはネットオークション品等として再度市場に流通させるように図ろうとした場合について説明する。廃棄処理業者は、不正な処理として、上述の図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１との交換を試みる場合（ステップＳ３５：ＳｏＣのみ）、ステップＳ３６へ移行する。一方、廃棄処理業者は、不正な処理として、上述の図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換を試みる場合（ステップＳ３５：ＳｏＣ＋ＦＲＯＭ）、ステップＳ３９へ移行する。
ＨＤＤ１の廃棄依頼を受けた廃棄処理業者は、以下、不正な処理としてＨＤＤ１をリユース品またはネットオークション品等として再度市場に流通させるように図ろうとした場合について説明する。廃棄処理業者は、不正な処理として、上述の図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１との交換を試みる場合（ステップＳ３５：ＳｏＣのみ）、ステップＳ３６へ移行する。一方、廃棄処理業者は、不正な処理として、上述の図９に示すように、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗを取り出して、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換を試みる場合（ステップＳ３５：ＳｏＣ＋ＦＲＯＭ）、ステップＳ３９へ移行する。
【0075】
＜ステップＳ３６＞
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、ＦＲＯＭ１２に記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ３７へ移行する。
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、ＦＲＯＭ１２に記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ３７へ移行する。
【0076】
＜ステップＳ３７＞
この場合、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、ＯＴＰ１２２に記憶された乱数値および制御パラメータＣＰ１のＨＭＡＣを用いて、当該制御パラメータＣＰ１の検証を行う。そして、ステップＳ３８へ移行する。
この場合、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、ＯＴＰ１２２に記憶された乱数値および制御パラメータＣＰ１のＨＭＡＣを用いて、当該制御パラメータＣＰ１の検証を行う。そして、ステップＳ３８へ移行する。
【0077】
＜ステップＳ３８＞
制御パラメータＣＰ１の検証に用いられた乱数値は、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、検証ＮＧとなる。したがって、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、処理を停止する。以上のように、非暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
制御パラメータＣＰ１の検証に用いられた乱数値は、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、検証ＮＧとなる。したがって、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、処理を停止する。以上のように、非暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
【0078】
なお、上述のように制御パラメータＣＰ１の検証に失敗した場合は、使用した乱数値が異なっていること、すなわちＳｏＣ１１がＳｏＣ１１＿Ｎｅｗに不正に交換されていることがわかるため、この時点で、ファームウェアＦＷ０またはファームウェアＦＷ１が、ＣＰＵ１１１による実行により、ＳｏＣ１１＿Ｎｅｗ内のｅ－ｆｕｓｅ１２３を切断するものとしてもよい。
【0079】
＜ステップＳ３９＞
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、交換されたＦＲＯＭ１２＿Ｎｅｗに記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ４０へ移行する。
廃棄処理業者により、不正な処理として、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿ＮｅｗからＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗが取り出され、当該ＨＤＤ１のＳｏＣ１１およびＦＲＯＭ１２との交換が試みられた場合を考える。ＨＤＤ１において交換されたＳｏＣ１１＿Ｎｅｗのｅ－ｆｕｓｅ１２３は切断されていないため、ＨＤＤ１の電源が投入されると、Ｍａｓｋ ＲＯＭ１１２に記憶されたファームウェアＦＷ０がＣＰＵ１１１により実行（起動）され、交換されたＦＲＯＭ１２＿Ｎｅｗに記憶されたファームウェアＦＷ１も起動される。そして、ステップＳ４０へ移行する。
【0080】
＜ステップＳ４０＞
この場合、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、ＯＴＰ１２２に記憶された乱数値および制御パラメータＣＰ１のＨＭＡＣを用いて、当該制御パラメータＣＰ１の検証を行う。ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、元々、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いたＨＭＡＣが付加されたものであるため、検証が成功する（検証値が一致する）ことになる。
この場合、ファームウェアＦＷ１は、ＣＰＵ１１１による実行より、ＯＴＰ１２２に記憶された乱数値および制御パラメータＣＰ１のＨＭＡＣを用いて、当該制御パラメータＣＰ１の検証を行う。ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、元々、交換されたＳｏＣ１１＿Ｎｅｗ内のＯＴＰ１２２に記憶された乱数値を用いたＨＭＡＣが付加されたものであるため、検証が成功する（検証値が一致する）ことになる。
【0081】
＜ステップＳ４１＞
しかし、ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、交換元であるＨＤＤ１＿Ｎｅｗ用のパラメータであるため、ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、当該制御パラメータＣＰ１を使用しても、ディスク１３のシステム領域１３１からデータを読み出すことができない。仮に、万が一、部品交換用に用意したＨＤＤ１＿Ｎｅｗの制御パラメータＣＰ１が、物理的に破壊されたＨＤＤ１の制御パラメータＣＰ１と似通っているために、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合（ステップＳ４１：可）、ステップＳ４３へ移行する。一方、通常の予測通り、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできない場合（ステップＳ４１：不可）、ステップＳ４２へ移行する。
しかし、ＦＲＯＭ１２＿Ｎｅｗ内の制御パラメータＣＰ１は、交換元であるＨＤＤ１＿Ｎｅｗ用のパラメータであるため、ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、当該制御パラメータＣＰ１を使用しても、ディスク１３のシステム領域１３１からデータを読み出すことができない。仮に、万が一、部品交換用に用意したＨＤＤ１＿Ｎｅｗの制御パラメータＣＰ１が、物理的に破壊されたＨＤＤ１の制御パラメータＣＰ１と似通っているために、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合（ステップＳ４１：可）、ステップＳ４３へ移行する。一方、通常の予測通り、ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできない場合（ステップＳ４１：不可）、ステップＳ４２へ移行する。
【0082】
＜ステップＳ４２＞
ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用しても、システム領域１３１からデータを読み出すことができないため、ファームウェアＦＷ２を起動することができない。以上のように、ファームウェアＦＷ２を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
ファームウェアＦＷ１は、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用しても、システム領域１３１からデータを読み出すことができないため、ファームウェアＦＷ２を起動することができない。以上のように、ファームウェアＦＷ２を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
【0083】
＜ステップＳ４３＞
ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合、ファームウェアＦＷ２を起動することができる。そして、ステップＳ４４へ移行する。
ファームウェアＦＷ１が、ＣＰＵ１１１による実行により、制御パラメータＣＰ１を使用して、システム領域１３１からデータを読み出すことできた場合、ファームウェアＦＷ２を起動することができる。そして、ステップＳ４４へ移行する。
【0084】
＜ステップＳ４４＞
この場合、ファームウェアＦＷ２は、ＣＰＵ１１１による実行より、ＯＴＰ１２２に記憶された乱数値および制御パラメータＣＰ２のＨＭＡＣを用いて、当該制御パラメータＣＰ２の検証を行う。そして、ステップＳ４５へ移行する。
この場合、ファームウェアＦＷ２は、ＣＰＵ１１１による実行より、ＯＴＰ１２２に記憶された乱数値および制御パラメータＣＰ２のＨＭＡＣを用いて、当該制御パラメータＣＰ２の検証を行う。そして、ステップＳ４５へ移行する。
【0085】
＜ステップＳ４５＞
制御パラメータＣＰ２の検証に用いられた乱数値は、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、検証ＮＧとなる。したがって、ファームウェアＦＷ２は、ＣＰＵ１１１による実行より、処理を停止する。以上のように、非暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
制御パラメータＣＰ２の検証に用いられた乱数値は、交換前のＳｏＣ１１のＯＴＰ１２２に記憶された乱数値とは異なる値であるため、検証ＮＧとなる。したがって、ファームウェアＦＷ２は、ＣＰＵ１１１による実行より、処理を停止する。以上のように、非暗号ＨＤＤであるＨＤＤ１を起動することができないため、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができなくなる。
【0086】
なお、上述のように制御パラメータＣＰ２の検証に失敗した場合は、使用した乱数値が異なっていること、すなわちＳｏＣ１１がＳｏＣ１１＿Ｎｅｗに不正に交換されていることがわかるため、この時点で、ファームウェアＦＷ０またはファームウェアＦＷ２が、ＣＰＵ１１１による実行により、ＳｏＣ１１＿Ｎｅｗ内のｅ－ｆｕｓｅ１２３を切断するものとしてもよい。
【0087】
以上のステップＳ３１～Ｓ４５の流れに示すように、廃棄処理業者が不正に、物理的に破壊されたＨＤＤ１と同じモデルのＨＤＤ１＿Ｎｅｗから、ＳｏＣ１１＿Ｎｅｗのみ、またＳｏＣ１１＿ＮｅｗおよびＦＲＯＭ１２＿Ｎｅｗへ交換を試みたとしてしても、いずれの場合においても、ＨＤＤ１内のユーザ領域１３２のユーザデータを読み出すことができない。
【0088】
以上のような本実施形態のＨＤＤ１においても、ＨＤＤ１が起動できないようにｅ－ｆｕｓｅ１２３の切断という破壊をしているため、リユース品またはネットオークション品等として再び市場に流出されることをユーザ側で防ぐことができるので、ＨＤＤ１を安全に廃棄することができる。また、暗号機能がない非暗号ＨＤＤにおいては、ユーザ側が情報流出を避けるためには、時間をかけてユーザデータを上書き消去するか、特別な工具による物理的な破壊しか手段がなかったが、本実施形態のＨＤＤ１は、一瞬で破壊することができ、ＨＤＤ１廃却後のユーザデータの流出を防ぐことができる。
【0089】
なお、上述の各実施形態は、例示したものであり、発明の範囲を限定することは意図していない。上述の各実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更および組み合わせを行うことができる。また、上述の各実施形態は、発明の範囲および要旨に含まれると共に、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【0090】
１、１＿Ｎｅｗ ＨＤＤ、１１、１１＿Ｎｅｗ ＳｏＣ、１２、１２＿Ｎｅｗ ＦＲＯＭ、１３ ディスク、１４ ＶＣＭ、１４ａ ヘッド、１５ ＳＶＣ、１６ ＤＲＡＭ、１７ Ｉ／Ｆポート、１８ 電源ポート、１９ 外部端子、１９ａ 短絡部材、２０ ＯＳＣ、１１１ ＣＰＵ、１１２ Ｍａｓｋ ＲＯＭ、１１３ ＡＥＳ、１１４ ＳＲＡＭ、１１５ ＳＰＩ、１１６ ＳＶＬ、１１７ ＨＩＦ、１１８ ＢＭ、１１９ ＤＭ、１２０ ＲＤＣ、１２１ バス、１２２ ＯＴＰ、１２３ ｅ－ｆｕｓｅ、１３１ システム領域、１３２ ユーザ領域、５００ ＨＤＤ、ＣＬ クロック信号線、ＣＰ１、ＣＰ１’、ＣＰ２、ＣＰ２’ 制御パラメータ、ＥＫ、ＥＫ’、ＥＫ１０ 暗号鍵、ＦＷ０、ＦＷ１、ＦＷ２ ファームウェア。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】