(57)【要約】【課題】ストレージ装置１０のデータの保全を図る。【解決手段】ストレージ装置１０は、取得部１０Ａと、第１生成部１０Ｂと、消去部１０Ｄと、を備える。取得部１０Ａは、消去許可通知を取得する。消去許可通知は、第１消去符号と、物理領域情報と、を含む。第１消去符号は、特定データを消去するための符号であって、特定データと、特定データを認証するための第１認証情報と、から生成された符号である。物理領域情報は、特定データの物理領域を示す。第１生成部１０Ｂは、物理領域情報に示される物理領域に記憶されている特定データと、第１認証情報と、を用いて第２消去符号を生成する。消去部１０Ｄは、第１消去符号と第２消去符号とが対応する場合、物理領域情報に示される物理領域に記憶されているデータを消去する。【選択図】図２
2019053416.tif 000002
【特許請求の範囲】
【請求項１】
特定データと前記特定データを認証するための第１認証情報とから生成され、前記特定データを消去するための第１消去符号と、前記特定データの物理領域を示す物理領域情報と、を含む消去許可通知を取得する取得部と、
前記物理領域情報に示される物理領域に記憶されている前記特定データと、前記第１認証情報と、を用いて第２消去符号を生成する第１生成部と、
前記第１消去符号と前記第２消去符号とが対応する場合、前記物理領域情報に示される物理領域に記憶されているデータを消去する消去部と、
を備える、ストレージ装置。
【請求項２】
前記取得部は、
前記物理領域情報と該物理領域情報と論理領域情報との対応関係を認証するための第２認証情報とから生成され、該対応関係における該物理領域情報の書換えを許可するか否かを示す書換可否情報を書換えるための第１書換符号と、前記論理領域情報と、を含む書換許可通知を取得し、
前記第１生成部は、
前記論理領域情報に対応する前記物理領域情報と、前記第２認証情報と、を用いて第２書換符号を生成し、
当該ストレージ装置は、
前記第１書換符号と前記第２書換符号とが対応する場合、前記対応関係における該物理領域情報の前記書換可否情報を、書換許可に変更する変更部と、
書込対象のデータの前記論理領域情報に対応する前記物理領域情報の前記書換可否情報が書換許可を示す場合、該データを物理領域に書込み、前記対応関係における該論理領域情報に対応する前記物理領域情報を、該データを書込んだ該物理領域の物理領域情報に書換える書込部と、
を備える、請求項１に記載のストレージ装置。
【請求項３】
前記第１認証情報は、
前記特定データのサーバ装置への送信回数、および当該ストレージ装置に予め付与された共有符号、の少なくとも一方を含む、
請求項１または請求項２に記載のストレージ装置。
【請求項４】
前記第２認証情報は、
前記対応関係のサーバ装置への送信回数、および当該ストレージ装置に予め付与された共有符号の少なくとも一方を含む、
請求項２に記載のストレージ装置。
【請求項５】
前記物理領域情報は、
物理ブロック番号、または、物理ページ番号である、
請求項１〜請求項４の何れか１項に記載のストレージ装置。
【請求項６】
前記論理領域情報は、
論理ブロック番号、または、論理ページ番号である、
請求項２に記載のストレージ装置。
【請求項７】
特定データと前記特定データを認証するための第１認証情報とから生成され、前記特定データを消去するための第１消去符号と、前記特定データの物理領域を示す物理領域情報と、を含む消去許可通知を取得するステップと、
前記物理領域情報に示される物理領域に記憶されている前記特定データと、前記第１認証情報と、を用いて第２消去符号を生成するステップと、
前記第１消去符号と前記第２消去符号とが対応する場合、前記物理領域情報に示される物理領域に記憶されているデータを消去するステップと、
を含む、ストレージ制御方法。
【請求項８】
特定データと前記特定データを認証するための第１認証情報とから生成され、前記特定データを消去するための第１消去符号と、前記特定データの物理領域を示す物理領域情報と、を含む消去許可通知を取得するステップと、
前記物理領域情報に示される物理領域に記憶されている前記特定データと、前記第１認証情報と、を用いて第２消去符号を生成するステップと、
前記第１消去符号と前記第２消去符号とが対応する場合、前記物理領域情報に示される物理領域に記憶されているデータを消去するステップと、
をコンピュータに実行させるための、ストレージ制御プログラム。
【請求項９】
ストレージ装置と、前記ストレージ装置と通信するサーバ装置と、を備えたストレージシステムであって、
前記ストレージ装置は、
特定データと前記特定データを認証するための第１認証情報とから生成され、前記特定データを消去するための第１消去符号と、前記特定データの物理領域を示す物理領域情報と、を含む消去許可通知を取得する取得部と、
前記物理領域情報に示される物理領域に記憶されている前記特定データと、前記第１認証情報と、を用いて第２消去符号を生成する第１生成部と、
前記第１消去符号と前記第２消去符号とが対応する場合、前記物理領域情報に示される物理領域に記憶されているデータを消去する消去部と、
を備え、
前記サーバ装置は、
前記特定データと前記第１認証情報とから前記第１消去符号を生成する第２生成部と、
前記第１消去符号と前記物理領域情報とを含む前記消去許可通知を、前記ストレージ装置へ送信する第２送信部と、を備える、
ストレージシステム。
【請求項１０】
前記サーバ装置の前記第２生成部は、
前記物理領域情報と、該物理領域情報と論理領域情報との対応関係を認証するための第２認証情報と、から、該対応関係における該物理領域情報の書換えを許可するか否かを示す書換可否情報を書換えるための第１書換符号を更に生成し、
前記サーバ装置の前記第２送信部は、
前記第１書換符号と前記論理領域情報とを含む書換許可通知を更に送信する、
請求項９に記載のストレージシステム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明の実施の形態は、ストレージ装置、ストレージ制御方法、ストレージ制御プログラム、およびストレージシステムに関する。
【背景技術】
【０００２】
データの保全に関する技術が知られている。例えば、データのダイジェストを取得し、端末内に保持しているデータと一致するか否かをチェックするシステムが知られている。また、ファイルに付与されたキーワードに一致する削除キーワードが入力された場合に、ファイルを記憶装置から削除するシステムが知られている。
【０００３】
しかし、従来では、ホストプロセッサ上で動作するプログラムの脆弱性などにより、データの誤削除や誤更新がなされる場合があった。このため、従来では、ストレージ装置のデータの保全が図られない場合があった。
【先行技術文献】
【特許文献】
【０００４】
【特許文献１】特開２００２−１７５２３６号公報
【特許文献２】特開平５−８１１１３号公報
【発明の概要】
【発明が解決しようとする課題】
【０００５】
本発明が解決しようとする課題は、ストレージ装置のデータの保全を図ることができる、ストレージ装置、ストレージ制御方法、ストレージ制御プログラム、およびストレージシステムを提供することである。
【課題を解決するための手段】
【０００６】
実施の形態のストレージ装置は、取得部と、第１生成部と、消去部と、を備える。取得部は、特定データと前記特定データを認証するための第１認証情報とから生成され、前記特定データを消去するための第１消去符号と、前記特定データの物理領域を示す物理領域情報と、を含む消去許可通知を取得する。第１生成部は、前記物理領域情報に示される物理領域に記憶されている前記特定データと、前記第１認証情報と、を用いて第２消去符号を生成する。消去部は、前記第１消去符号と前記第２消去符号とが対応する場合、前記物理領域情報に示される物理領域に記憶されているデータを消去する。
【図面の簡単な説明】
【０００７】
【図１】ストレージシステムの模式図。
【図２】ストレージシステムの機能的構成を示す模式図。
【図３】データ記憶部および管理情報記憶部のデータ構成の模式図。
【図４】書換管理および消去管理のデータ構成の模式図。
【図５】共有符号管理ＤＢ、第１送信管理ＤＢ、および第２送信管理ＤＢのデータ構成の模式図。
【図６】書込済管理ＤＢ、および対応関係管理ＤＢのデータ構成の模式図。
【図７】共有符号管理ＤＢ、第３送信管理ＤＢ、および第４送信管理ＤＢのデータ構成の模式図。
【図８】書込処理の手順のフローチャート。
【図９】送信処理の手順のフローチャート。
【図１０】読出処理の手順のフローチャート。
【図１１】受信処理の手順のフローチャート。
【図１２】消去処理の手順のフローチャート。
【図１３】情報処理の手順のフローチャート。
【図１４】ストレージ装置のハードウェア構成図。
【発明を実施するための形態】
【０００８】
以下に添付図面を参照して、ストレージ装置、ストレージ制御方法、ストレージ制御プログラム、およびストレージシステムを詳細に説明する。
【０００９】
図１は、本実施の形態のストレージシステム１の一例を示す模式図である。
【００１０】
ストレージシステム１は、サーバ装置２０と、ストレージ装置１０と、を備える。本実施の形態では、ストレージ装置１０は、車両２に搭載されている。このため、本実施の形態では、ストレージシステム１は、サーバ装置２０と、車両２と、を備える。
【００１１】
なお、ストレージ装置１０は、車両２に搭載された形態に限定されない。例えば、ストレージ装置１０は、車両２以外の移動体や、非移動体に搭載されていてもよい。
【００１２】
車両２とサーバ装置２０は、基地局３およびネットワーク４を介してサーバ装置２０と通信する。すなわち、ストレージ装置１０とサーバ装置２０とは、通信可能に接続されている。基地局３は、車両２とサーバ装置２０とを、ネットワーク４を介して中継する。
【００１３】
ネットワーク４は、公知の通信回線である。ネットワーク４は、有線通信網であっても無線通信網であってもよい。ネットワーク４は、例えば、ＬＡＮ（Ｌｏｃａｌ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）やインターネットである。本実施の形態では、ネットワーク４が無線通信のための通信網である場合を、一例として説明する。
【００１４】
車両２は、ストレージ装置１０を備える。本実施の形態では、車両２は、ストレージ装置１０と、電子制御装置（ＥＣＵ：Ｅｌｅｃｔｒｏｎｉｃ  Ｃｏｎｔｒｏｌ  Ｕｎｉｔ、以下、「ＥＣＵ」と略称する）１２と、ホストプロセッサ１４と、ネットワークインタフェースコントローラ１６と、メモリ１８と、を備える。
【００１５】
ストレージ装置１０、ネットワークインタフェースコントローラ１６、およびメモリ１８と、ホストプロセッサ１４と、は、バスを介して通信可能に接続されている。バスは、例えば、ＰＣＩ  Ｅｘｐｒｅｓｓ（登録商標）などである。
【００１６】
ＥＣＵ１２は、車両２に搭載され電子機器としての機能を実行し、車両２を制御する。ＥＣＵ１２とホストプロセッサ１４は、ＣＡＮ（Ｃｏｎｔｒｏｌｌｅｒ  Ａｒｅａ  Ｎｅｔｗｏｒｋ）や車載Ｅｔｈｅｒｎｅｔ（登録商標）などのネットワークを介して接続されている。図示しないが、接続にはＣＡＮコントローラや車載Ｅｔｈｅｒｎｅｔコントローラなどが用いられる。ＥＣＵ１２は、車両２の制御に用いたデータや制御結果を示すログなどのデータを、ホストプロセッサ１４へ出力する。
【００１７】
ホストプロセッサ１４は、ストレージ装置１０へのデータの書込、データの読出、および、サーバ装置２０との通信を制御する。例えば、ホストプロセッサ１４は、ＥＣＵ１２から出力されたデータの書込指示を、ストレージ装置１０へ出力する。
【００１８】
ネットワークインタフェースコントローラ１６は、ネットワーク４を介してサーバ装置２０と通信する。ネットワークインタフェースコントローラ１６の通信方式は限定されない。例えば、通信方式は、ＬＴＥ、５Ｇなどの無線通信方式である。また、車内ネットワークを介して、無線通信を行ってもよい。
【００１９】
ストレージ装置１０は、各種データを記憶する。本実施の形態では、ストレージ装置１０は、ＥＣＵ１２から出力されたデータを記憶する。なお、ストレージ装置１０が記憶するデータは、ＥＣＵ１２から出力されたデータに限定されない。
【００２０】
ストレージ装置１０は、例えば、ＮＡＮＤフラッシュメモリ等の記憶素子によって実現される。ストレージ装置１０は、例えば、ＳＳＤ（Ｓｏｌｉｄ  Ｓｔａｔｅ  Ｄｒｉｖｅ）、ｅＭＭＣ（ｅｍｂｅｄｄｅｄ  Ｍｕｌｔｉ  Ｍｅｄｉａ  Ｃａｒｄ）、ＳＤ（Ｓｅｃｕｒｅ  Ｄｉｇｉｔａｌ）カードである。
【００２１】
サーバ装置２０は、ストレージ装置１０に記憶されたデータを管理する。本実施の形態では、サーバ装置２０は、ストレージ装置２２と、ホストプロセッサ２４と、メモリ２８と、ネットワークインタフェースコントローラ２６と、を備える。
【００２２】
ストレージ装置２２、ネットワークインタフェースコントローラ２６、およびメモリ２８と、ホストプロセッサ２４とは、バスを介して通信可能に接続されている。
【００２３】
ホストプロセッサ２４は、ストレージ装置２２へのデータの書込、データの読出、および、車両２との通信を制御する。
【００２４】
ネットワークインタフェースコントローラ２６は、ネットワーク４を介して車両２と通信する。ネットワークインタフェースコントローラ２６の通信方式は限定されない。
【００２５】
サーバ装置２０のストレージ装置２２は、各種データを記憶する。ストレージ装置２２は、例えば、ＮＡＮＤフラッシュメモリ等の記憶素子によって実現される。ストレージ装置２２は、例えば、ＳＳＤである。また、ＨＤＤ（Ｈａｒｄ  Ｄｉｓｋ  Ｄｒｉｖｅ）を用いてもよい。
【００２６】
次に、ストレージシステム１の機能的構成を説明する。図２は、ストレージシステム１の機能的構成の一例を示す、模式図である。
【００２７】
―車両２の機能的構成―
まず、車両２の機能的構成について説明する。
【００２８】
車両２は、ＥＣＵ１２と、ホストプロセッサ１４と、ネットワークインタフェースコントローラ１６と、ストレージ装置１０と、を有する。
【００２９】
ネットワークインタフェースコントローラ１６は、通信部１６Ａを備える。通信部１６Ａは、サーバ装置２０と通信する。
【００３０】
ＥＣＵ１２は、データ生成部１２Ａを有する。データ生成部１２Ａは、車両２の制御に用いたデータや制御結果を示すログ等のデータを生成する。データ生成部１２Ａは、生成したデータを、ホストプロセッサ１４へ出力する。これらのデータは、例えば、ストレージ装置１０の運行状況や事故原因の解析等に用いられる。
【００３１】
ホストプロセッサ１４は、書込指示部１４Ａと、読出指示部１４Ｂと、送信部１４Ｃと、受信部１４Ｄと、を備える。
【００３２】
書込指示部１４Ａは、データ生成部１２Ａからデータを受付けるごとに、受付けたデータの書込指示をストレージ装置１０へ出力する。書込指示は、例えば、ストレージ装置１０の書込先のアドレス、メモリ１８（図１参照）上に記憶されているＥＣＵ１２から受付けたデータの先頭アドレス、書込対象のデータのデータ長、などを含む。
【００３３】
読出指示部１４Ｂは、ストレージ装置１０の物理領域（詳細後述）に記憶されているデータの読出指示を、ストレージ装置１０へ出力する。読出指示は、例えば、ストレージ装置１０の読出元のアドレス、読出したデータを書込むメモリ１８上の先頭アドレス、読出し対象のデータのデータ長、などを含む。
【００３４】
送信部１４Ｃは、書込済情報および対応関係更新情報を、ストレージ装置１０から受け付ける。送信部１４Ｃは、受付けた書込済情報および対応関係更新情報を、通信部１６Ａを介してサーバ装置２０へ送信する。
【００３５】
書込済情報は、データ記憶部３０Ａの物理領域に新たに書込まれたデータを、サーバ装置２０へ通知するための情報である。対応関係更新情報は、対応関係管理ＤＢ３０Ｅの更新を、サーバ装置２０へ通知するための情報である。書込済情報および対応関係更新情報の詳細は、後述する。
【００３６】
受信部１４Ｄは、通信部１６Ａを介してサーバ装置２０から、消去許可通知または書換許可通知を受信する。受信部１４Ｄは、消去許可通知および書換許可通知を、ストレージ装置１０へ出力する。
【００３７】
消去許可通知は、データ記憶部３０Ａの特定の物理領域に記憶されているデータの消去の許可を通知するための情報である。書換許可通知、対応関係管理ＤＢ３０Ｅの、論理領域情報の書換えの許可を通知するための情報である。消去許可通知および書換許可通知の詳細は、後述する。
【００３８】
次に、ストレージ装置１０の機能的構成を説明する。ストレージ装置１０は、取得部１０Ａと、第１生成部１０Ｂと、変更部１０Ｃと、消去部１０Ｄと、読出部１０Ｅと、書込部１０Ｆと、対応関係出力部１０Ｇと、第１送信部１０Ｈと、記憶部３０と、を備える。記憶部３０は、データ記憶部３０Ａと、管理情報記憶部３０Ｂと、許可領域情報記憶部３０Ｃと、認証情報記憶部３０Ｄと、を含む。
【００３９】
取得部１０Ａ、第１生成部１０Ｂ、変更部１０Ｃ、消去部１０Ｄ、読出部１０Ｅ、書込部１０Ｆ、対応関係出力部１０Ｇ、第１送信部１０Ｈ、管理情報記憶部３０Ｂ、許可領域情報記憶部３０Ｃ、および認証情報記憶部３０Ｄの少なくとも１つは、例えば、１または複数のプロセッサにより実現される。例えば、上記各部は、ＣＰＵ（Ｃｅｎｔｒａｌ  Ｐｒｏｃｅｓｓｉｎｇ  Ｕｎｉｔ）などのプロセッサにプログラムを実行させること、すなわちソフトウェアにより実現してもよい。上記各部は、専用のＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ  Ｓｐｅｃｉｆｉｃ  Ｉｎｔｅｇｒａｔｅｄ  Ｃｉｒｃｕｉｔ）などのハードウェアにより実現してもよい。上記各部は、ソフトウェアおよびハードウェアを併用して実現してもよい。複数のプロセッサを用いる場合、各プロセッサは、各部のうち１つを実現してもよいし、各部のうち２以上を実現してもよい。
【００４０】
記憶部３０は、各種データを記憶する。上述したように、記憶部３０は、データ記憶部３０Ａと、管理情報記憶部３０Ｂと、許可領域情報記憶部３０Ｃと、認証情報記憶部３０Ｄと、を備える。
【００４１】
本実施の形態では、データ記憶部３０Ａは、フラッシュメモリ（不揮発性メモリ）である。データ記憶部３０Ａは、例えば、ＮＡＮＤ型フラッシュメモリである。本実施の形態では、データ記憶部３０Ａは、ＮＡＮＤ型フラッシュメモリである場合を、一例として説明する。
【００４２】
管理情報記憶部３０Ｂ、許可領域情報記憶部３０Ｃ、および認証情報記憶部３０Ｄは、揮発性メモリであってもよいし、不揮発性メモリであってもよい。揮発性メモリを用いる場合には、不揮発性メモリとのデータと同期を取りながらキャッシュとして動作させることができる。
【００４３】
なお、本実施の形態では、データ記憶部３０Ａ、管理情報記憶部３０Ｂ、許可領域情報記憶部３０Ｃ、および認証情報記憶部３０Ｄの各々を、別々の記憶部として構成した例を示した。しかし、データ記憶部３０Ａ、管理情報記憶部３０Ｂ、許可領域情報記憶部３０Ｃ、および認証情報記憶部３０Ｄの少なくとも２以上を、１つの記憶部として構成してもよい。
【００４４】
データ記憶部３０Ａは、データを記憶する。本実施の形態では、データ記憶部３０Ａは、ＥＣＵ１２から受付けたデータを記憶する。具体的には、管理情報記憶部３０Ｂは、対応関係管理ＤＢ３０Ｅおよび物理領域管理ＤＢ３０Ｆを記憶する。
【００４５】
図３は、データ記憶部３０Ａおよび管理情報記憶部３０Ｂのデータ構成の一例を示す模式図である。
【００４６】
図３（Ａ）は、データ記憶部３０Ａのデータ構成の一例を示す模式図である。上述したように、本実施の形態では、データ記憶部３０Ａは、ＮＡＮＤ型フラッシュメモリである。このため、データ記憶部３０Ａは、物理ページおよび物理ブロックごとに管理される。物理ページは、読出および書込の単位である。物理ブロックは、消去単位である。
【００４７】
図３（Ｂ）は、対応関係管理ＤＢ３０Ｅおよび物理領域管理ＤＢ３０Ｆのデータ構成の一例を示す模式図である。
【００４８】
対応関係管理ＤＢ３０Ｅは、物理領域情報と論理領域情報との対応関係を、示すデータベースである。対応関係とは、論理領域情報と、該論理領域情報に対応する物理領域情報と、の１対１の関係を示す。すなわち、対応関係管理ＤＢ３０Ｅは、物理領域情報と、論理領域情報と、の１対１の対応関係を、１または複数登録したデータベースである。なお、対応関係管理ＤＢ３０Ｅのデータ形式は、データベースに限定されない。
【００４９】
物理領域情報は、データ記憶部３０Ａにおける、データの記憶された物理領域を示す情報である。物理領域は、例えば、物理ブロックや、物理ページである。物理領域情報は、物理領域を識別するための情報であればよい。例えば、物理領域情報は、物理ブロック、または、物理ページの識別情報である。具体的には、物理領域情報は、物理ブロック番号、または、物理ページ番号である。なお、物理ブロック番号は、物理ブロックアドレスと称される場合もある。また、物理ページ番号は、物理ページアドレスと称される場合もある。
【００５０】
本実施の形態では、物理領域は物理ブロックを示し、物理領域情報は物理ブロック番号を示す場合を、一例として説明する。
【００５１】
論理領域情報は、データ記憶部３０Ａに対するアクセス単位ごとに割当てた通し番号である。論理領域情報は、例えば、論理ブロック番号や、論理ページ番号である。なお、論理ブロック番号は、論理ブロックアドレスと称される場合もある。また、論理ページ番号は、論理ページアドレスと称される場合もある。
【００５２】
本実施の形態では、論理領域情報は論理ブロック番号を示す場合を、一例として説明する。
【００５３】
ここで、ＮＡＮＤフラッシュメモリにデータを書込む際には、書込み済みの領域の上書きができないため、記憶済のデータをブロック単位で消去した後に、消去済の領域に新たにデータを書込む、と言った処理が必要である。このため、データ記憶部３０Ａは、ストレージ装置１０として記憶可能な容量より大容量のＮＡＮＤフラッシュメモリで構成されている。データを書込む際には、対応関係管理ＤＢ３０Ｅにおける、論理領域情報に対応する物理領域情報を、データを新たに書込んだ物理領域の物理領域情報に更新する必要がある。このため、対応関係管理ＤＢ３０Ｅは、ストレージ装置１０の後述する機能部によって、適宜更新される。
【００５４】
次に、物理領域管理ＤＢ３０Ｆについて説明する。物理領域管理ＤＢ３０Ｆは、物理領域の状態を管理するためのデータベースである。本実施の形態では、物理領域管理ＤＢ３０Ｆは、物理領域情報と、消去回数と、ステータスと、を対応づけたデータベースである。なお、物理領域管理ＤＢ３０Ｆのデータ形式は、データベースに限定されない。
【００５５】
消去回数は、対応する物理領域情報によって示される物理領域に記憶されていたデータの、消去回数である。消去回数は、ウェアレベリングなどに用いられる。
【００５６】
ステータスは、対応する物理領域情報によって示される物理領域の、ステータスを示す。ステータスは、“使用中”、“消去待”、“消去済”、“無効”、の何れかで表される。
【００５７】
ステータス“使用中”とは、対応する物理領域情報が、対応関係管理ＤＢ３０Ｅにおいて、論理領域情報に対応づけられている状態を示す。言い換えると、ステータス“使用中”とは、対応する物理領域情報が使用中であることを示す。
【００５８】
ステータス“消去待”とは、対応する物理領域情報によって示される物理領域のデータが、消去対象であることを示す。言い換えると、ステータス“消去待”とは、対応する物理領域情報に示される物理領域が、データの消去を待っている状態であることを示す。
【００５９】
ステータス“消去済”とは、対応する物理領域情報によって示される物理領域内のデータが消去済であることを示す。言い換えると、ステータス“消去済”とは、対応する物理領域情報によって示される物理領域が、新たなデータの書込可能な状態であることを示す。
【００６０】
ステータス“無効”とは、対応する物理領域情報によって示される物理領域が無効であることを示す。このため、ステータス“無効”に対応する物理領域情報によって示される物理領域は、新たなデータの書込の対象外となる。
【００６１】
物理領域管理ＤＢ３０Ｆは、ストレージ装置１０の後述する処理によって更新される。
【００６２】
図２に戻り説明を続ける。次に、許可領域情報記憶部３０Ｃについて説明する。許可領域情報記憶部３０Ｃは、物理領域に関する書換許可や消去許可を管理するための情報を、記憶する。本実施の形態では、許可領域情報記憶部３０Ｃは、書換管理ＤＢ３０Ｇおよび消去管理ＤＢ３０Ｈを記憶する。
【００６３】
図４は、書換管理ＤＢ３０Ｇおよび消去管理ＤＢ３０Ｈのデータ構成の一例を示す模式図である。
【００６４】
書換管理ＤＢ３０Ｇは、対応関係管理ＤＢ３０Ｅにおける（図３（Ｂ）参照）、論理領域情報に対応する物理領域情報の、書換えを許可するか否かを管理するためのデータベースである。なお、書換管理ＤＢ３０Ｇのデータ形式は、データベースに限定されない。
【００６５】
本実施の形態では、書換管理ＤＢ３０Ｇは、論理領域情報と、書換可否情報と、を対応づけたデータベースである。
【００６６】
書換可否情報は、対応関係管理ＤＢ３０Ｅに示される対応関係における、物理領域情報の書換を許可するか否かを示す情報である。言い換えると、書換可否情報は、対応する論理領域情報に対応する物理領域情報の、書換を許可するか否かを示す情報である。書換可否情報は、書換許可、または、書換禁止、を示す。
【００６７】
“書換許可”は、対応する論理領域情報に対応付けられた、物理領域情報の書換を許可することを示す。すなわち、書換管理ＤＢ３０Ｇにおける、書換可否情報“書換許可”に対応する論理領域情報に対応づけられた、対応関係管理ＤＢ３０Ｅにおける物理領域情報は、書換を許可された状態であることを示す。
【００６８】
“書換禁止”は、対応する論理領域情報に対応付けられた、物理領域情報の書換を禁止することを示す。すなわち、書換管理ＤＢ３０Ｇにおける、書換可否情報“書換許可”に対応する論理領域情報に対応づけられた、対応関係管理ＤＢ３０Ｅにおける物理領域情報は、書換を禁止された状態にあることを示す。
【００６９】
書換管理ＤＢ３０Ｇは、ストレージ装置１０の後述する処理によって更新される。
【００７０】
消去管理ＤＢ３０Ｈは、物理領域情報によって示される物理領域内のデータの消去を、許可するか否かを管理するためのデータベースである。なお、消去管理ＤＢ３０Ｈのデータ形式は、データベースに限定されない。
【００７１】
本実施の形態では、消去管理ＤＢ３０Ｈは、物理領域情報と、消去可否情報と、を対応づけたデータベースである。
【００７２】
消去可否情報は、対応する物理領域情報によって示される物理領域内のデータの消去を、許可するか否かを示す情報である。消去可否情報は、消去許可、または、消去禁止を示す。
【００７３】
“消去許可”は、対応する物理領域情報によって示される物理領域内のデータの消去を、許可すること示す。“消去禁止”は、対応する物理領域情報によって示される物理領域内のデータの消去を、禁止することを示す。
【００７４】
消去管理ＤＢ３０Ｈは、ストレージ装置１０の後述する処理によって更新される。
【００７５】
図２に戻り説明を続ける。次に、認証情報記憶部３０Ｄについて説明する。認証情報記憶部３０Ｄは、第１認証情報と、第２認証情報と、を記憶する。
【００７６】
第１認証情報は、書込済情報のサーバ装置２０への送信回数、および当該ストレージ装置１０に予め付与された共有符号、の少なくとも一方を含む。第２認証情報は、書換済情報のサーバ装置２０への送信回数、およびストレージ装置１０に予め付与された共有符号の少なくとも一方を含む。これらの認証情報の詳細は、後述する。
【００７７】
具体的には、本実施の形態では、認証情報記憶部３０Ｄは、共有符号管理ＤＢ３０Ｉと、第１送信管理ＤＢ３０Ｊと、第２送信管理ＤＢ３０Ｋと、を記憶する。
【００７８】
図５は、共有符号管理ＤＢ３０Ｉ、第１送信管理ＤＢ３０Ｊ、および第２送信管理ＤＢ３０Ｋ、のデータ構成の一例を示す模式図である。
【００７９】
共有符号管理ＤＢ３０Ｉは、共有符号を管理するためのデータベースである。なお、共有符号管理ＤＢ３０Ｉのデータ形式は、データベースに限定されない。共有符号管理ＤＢ３０Ｉは、ストレージＩＤと、共有符号と、データ送信のＵＲＩ（Ｕｎｉｆｏｒｍ  Ｒｅｓｏｕｒｃｅ  Ｉｄｅｎｔｉｆｉｅｒ）と、を対応づけて管理する。
【００８０】
ストレージＩＤは、ストレージ装置１０の識別情報である。ストレージＩＤは、例えば、ベンダのＩＤと製造番号から構成される。
【００８１】
共有符号は、サーバ装置２０との間で認証処理を行うときに共有する符号である。共有符号は、例えば、共有鍵や、秘密鍵である。
【００８２】
データ送信のＵＲＩとは、ストレージ装置１０が書込済情報、対応関係更新情報などの各種データを送信する宛先を示す。本実施の形態では、データ送信のＵＲＩは、サーバ装置２０の宛先を示す。宛先は、例えば、メールアドレスであってもよい。
【００８３】
共有符号管理ＤＢ３０Ｉは、ストレージ装置１０の製造時などに、認証情報記憶部３０Ｄに予め記憶されている。
【００８４】
第１送信管理ＤＢ３０Ｊは、ストレージ装置１０からサーバ装置２０への、書込済情報の送信に関する情報を管理する。本実施の形態では、第１送信管理ＤＢ３０Ｊは、物理領域情報と、送信回数と、を対応づけたデータベースである。なお、第１送信管理ＤＢ３０Ｊのデータ形式は、データベースに限定されない。
【００８５】
第１送信管理ＤＢ３０Ｊにおける“送信回数”は、対応する物理領域情報を含む書込済情報の、サーバ装置２０への送信回数を示す。
【００８６】
第１送信管理ＤＢ３０Ｊは、ストレージ装置１０の後述する処理によって更新される。
【００８７】
第２送信管理ＤＢ３０Ｋは、ストレージ装置１０からサーバ装置２０への、対応関係情報の送信に関する情報を管理する。本実施の形態では、第２送信管理ＤＢ３０Ｋは、論理領域情報と、送信回数と、を対応づけたデータベースである。なお、第２送信管理ＤＢ３０Ｋのデータ形式は、データベースに限定されない。
【００８８】
第２送信管理ＤＢ３０Ｋにおける“送信回数”は、対応する論理領域情報を含む対応関係情報の、サーバ装置２０への送信回数を示す。
【００８９】
第２送信管理ＤＢ３０Ｋは、ストレージ装置１０の後述する処理によって更新される。
【００９０】
図２に戻り、説明を続ける。
【００９１】
書込部１０Ｆは、ホストプロセッサ１４の書込指示部１４Ａから、書込指示を受付ける。すると、書込部１０Ｆは、受付けた書込指示に基づいて、データ記憶部３０Ａへのデータの書込処理を実行する。
【００９２】
詳細には、書込部１０Ｆは、書込指示に示される書込対象のデータを、データ記憶部３０Ａへ書込む書込処理を実行する。上述したように、書込指示は、例えば、書込先のストレージ装置１０のアドレス、メモリ１８上のデータの先頭アドレス、書込対象のデータのデータ長、などを含む。このメモリ１８上のデータが、書込対象のデータである。
【００９３】
まず、書込部１０Ｆは、書込指示に含まれる、書込先のストレージ装置１０のアドレスに対応する、論理領域情報を算出する。そして、書込部１０Ｆは、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）における、算出した論理領域情報に対応する物理領域情報を、書換可能であるか否かを判断する。
【００９４】
詳細には、書込部１０Ｆは、書換管理ＤＢ３０Ｇにおける、算出した論理領域情報に対応する書換可否情報が、“書換許可”を示すか否かを判別する。この判別によって、書込部１０Ｆは、対応関係管理ＤＢ３０Ｅにおける、該論理領域情報に対応する物理領域情報が書換可能であるか否かを判断する。
【００９５】
そして、書換可能であると判断した場合、書込部１０Ｆは、“消去済”の物理領域が有るか否かを判断する。書込部１０Ｆは、ステータス“消去済”に対応づけられた物理領域情報が、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）に登録されているか否かを判別することで、この判断を行う。
【００９６】
ステータス“消去済”の物理領域が有ると判断した場合、書込部１０Ｆは、ステータス“消去済”に対応づけられた物理領域情報を、１つ、物理領域管理ＤＢ３０Ｆから選択する。そして、書込部１０Ｆは、データ記憶部３０Ａにおける、選択した物理領域情報によって示される物理領域に、書込対象のデータを書込む。
【００９７】
このように、書込対象のデータの、論理領域情報に対応する物理領域情報の書換可否情報が、書換許可を示す場合、書込部１０Ｆは、該データを該物理領域情報の物理領域に書込む。
【００９８】
このとき、書込が正常終了する場合と、異常終了する場合がある。例えば、書込部１０Ｆは、データを書込んだときに、書込んだデータを一度読み出して、書込前のデータと比較し、一致するか否かを判別する。そして、一致すると判別した場合、書込部１０Ｆは、書込が正常終了したと判断する。一方、不一致である状態が所定回数以上発生した場合、書込部１０Ｆは、書込が異常終了したと判別する。
【００９９】
書込が異常終了した場合、書込部１０Ｆは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、書込が異常終了した物理領域の物理領域情報に対応するステータスを、“無効”に設定すればよい。このため、書込が異常終了した物理領域は、以降の書込みの対象外となる。
【０１００】
書込が正常終了した場合、書込部１０Ｆは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、データを書込んだ物理領域の物理領域情報に対応するステータスを“使用中”に変更する。
【０１０１】
そして、書込部１０Ｆは、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）における、該データの書込みに用いた論理領域情報に対応する物理領域情報を、該データを書込んだ物理領域の物理領域情報に書換える。
【０１０２】
すなわち、書込部１０Ｆは、対応関係管理ＤＢ３０Ｅに登録されている論理領域情報と物理領域情報との対応関係における、該データの書込みに用いた該論理領域情報に対応する物理領域情報を、該データを書込んだ物理領域の物理領域情報に書換える。
【０１０３】
そして、書込部１０Ｆは、消去管理ＤＢ３０Ｈ（図４参照）における、該データを書込んだ物理領域の物理領域情報に対応する消去可否情報を、“消去禁止”に設定する。また、書込部１０Ｆは、書換管理ＤＢ３０Ｇにおける、該データの書込みに用いた論理領域情報に対応する書換可否情報を、“書換禁止”に設定する。
【０１０４】
そして、書込部１０Ｆは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、今回のデータの書込みに用いた論理領域情報に前回（今回の書込前に）対応づけられていた物理領域情報のステータスを、“消去待”に設定する。
【０１０５】
そして、書込部１０Ｆは、第１送信部１０Ｈに、書込済情報および対応関係更新情報の送信指示を通知する。送信指示は、例えば、データを書込んだ物理領域の物理領域情報、該物理領域情報に対応する論理領域情報、書込んだデータ、などを含む。
【０１０６】
また、書込部１０Ｆは、書込完了を、ホストプロセッサ１４の書込指示部１４Ａへ通知する。
【０１０７】
以上のようにして、書込部１０Ｆは、書込処理を実行する。この書込処理によって、書込対象のデータの論理領域情報に対応する物理領域情報の書換可否情報が、書換許可を示す場合、書込部１０Ｆは、該データを該物理領域情報の物理領域に書込む。また、書込部１０Ｆは、対応関係における該論理領域情報に対応する物理領域情報を、該データを書込んだ該物理領域の物理領域情報に書換える。
【０１０８】
第１送信部１０Ｈは、書込部１０Ｆから送信指示を受付けると、送信処理を実行する。送信処理は、書込済情報および対応関係更新情報を、サーバ装置２０へ送信する処理である。第１送信部１０Ｈは、送信部１４Ｃおよび通信部１６Ａを介して、書込済情報および対応関係更新情報を、サーバ装置２０へ送信する。
【０１０９】
書込済情報は、データ記憶部３０Ａの物理領域に新たに書込まれたデータを、サーバ装置２０へ通知するための情報である。書込済情報は、ストレージＩＤ、物理領域情報、書込済情報の送信回数、該物理領域情報に示される物理領域に書込まれたデータ、を含む。なお、第１送信部１０Ｈが、同一コネクションを利用してサーバ装置２０への送信を行う場合には、最初の書込済情報にストレージＩＤが含まれていれば、それ以降に送信する書込済情報には、ストレージＩＤを含まないものであってもよい。また、ＵＲＩによってストレージＩＤが特定できる場合にも、書込済情報にはストレージＩＤを含まなくてもよい。また、書込済情報は、書込時刻または送信時刻を更に含んでいてもよい。
【０１１０】
具体的には、第１送信部１０Ｈは、物理領域情報、および該物理領域情報に示される物理領域に書込まれたデータを、書込部１０Ｆから受付けた送信指示から読取る。
【０１１１】
なお、第１送信部１０Ｈは、送信指示に含まれる論理領域情報に対応する物理領域情報を、読出部１０Ｅを介して、対応関係管理ＤＢ３０Ｅから読取ってもよい。
【０１１２】
読出部１０Ｅは、データ記憶部３０Ａおよび管理情報記憶部３０Ｂから、各種の情報を読出す。例えば、読出部１０Ｅは、データ記憶部３０Ａの各物理領域に記憶されているデータの読出しや、管理情報記憶部３０Ｂに記憶されている対応関係（対応関係管理ＤＢ３０Ｅ）や物理領域管理ＤＢ３０Ｆの読出しなどを行う。
【０１１３】
例えば、第１送信部１０Ｈは、送信指示に含まれる論理領域情報を含む読出指示を、読出部１０Ｅへ出力する。読出部１０Ｅは、受付けた読出指示に含まれる論理領域情報に対応する物理領域情報を、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）から読出す。そして、読出部１０Ｅは、受付けた論理領域情報と読出した物理領域情報を、対応関係として、第１送信部１０Ｈへ出力する。第１送信部１０Ｈは、該対応関係に示される物理領域情報を読取ることで、書込済情報に含めるための物理領域情報を取得してもよい。
【０１１４】
また、第１送信部１０Ｈは、該物理領域に今回書込まれたデータを、読出部１０Ｅを介してデータ記憶部３０Ａから読取ってもよい。この場合、読出部１０Ｅは、上記と同様にして、受付けた読出指示に含まれる論理領域情報に対応する物理領域情報を、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）から読出す。そして、読出部１０Ｅは、読出した物理領域情報によって示される物理領域のデータを、データ記憶部３０Ａから読出し、第１送信部１０Ｈへ出力する。これによって、第１送信部１０Ｈは、該物理領域に書込まれたデータを読取ってもよい。
【０１１５】
また、第１送信部１０Ｈは、ストレージ装置１０のストレージＩＤおよび書込済情報の送信回数を、認証情報記憶部３０Ｄから読取る。詳細には、第１送信部１０Ｈは、今回データを書込まれた物理領域の物理領域情報に対応する送信回数を、認証情報記憶部３０Ｄの第１送信管理ＤＢ３０Ｊ（図５参照）から読取る。また、第１送信部１０Ｈは、認証情報記憶部３０Ｄの共有符号管理ＤＢ３０Ｉから、ストレージＩＤを読取る。
【０１１６】
そして、第１送信部１０Ｈは、ストレージＩＤ、物理領域情報、書込済情報の送信回数、該物理領域情報に示される物理領域に書込まれたデータ、を含む書込済情報を、送信部１４Ｃおよび通信部１６Ａを介して、サーバ装置２０へ送信する。
【０１１７】
書込済情報のデータ形式は限定されない。書込済情報のデータ形式は、例えば、ＸＭＬ（Ｅｘｔｅｎｓｉｂｌｅ  Ｍａｒｋｕｐ  Ｌａｎｇｕａｇｅ）やＪＳＯＮ（ＪａｖａＳｃｒｉｐｔ  Ｏｂｊｅｃｔ  Ｎｏｔａｔｉｏｎ）（登録商標）などである。また、データ転送の方式には、例えば、ＨＴＴＰ（Ｈｙｐｅｒ−Ｔｅｘｔ  Ｔｒａｎｓｆｅｒ  Ｐｒｏｔｏｃｏｌ）を用いる。第１送信部１０Ｈは、認証情報記憶部３０Ｄに記憶されているデータ送信のＵＲＩによって示される宛先に、書込済情報を送信すればよい。この処理により、第１送信部１０Ｈは、サーバ装置２０へ書込済情報を送信する。なお、車両２とサーバ装置２０とは、通信の都度、ＨＴＴＰ接続を行っても良いし、ＨＴＴＰ接続を維持したままであってもよい。
【０１１８】
書込済情報を送信すると、第１送信部１０Ｈは、第１送信管理ＤＢ３０Ｊにおける、該書込済情報に含まれる物理領域情報に対応する送信回数を、“１”カウントアップする。
【０１１９】
次に、対応関係更新情報の送信について説明する。
【０１２０】
対応関係更新情報は、書込部１０Ｆによって書換えられた対応関係管理ＤＢ３０Ｅの更新を、サーバ装置２０へ通知するための情報である。対応関係更新情報は、ストレージＩＤ、論理領域情報、対応関係更新情報の送信回数、該論理領域情報に対応する物理領域情報、を含む。
【０１２１】
なお、第１送信部１０Ｈが、同一コネクションを利用してサーバ装置２０への送信を行う場合には、最初の書込済情報にストレージＩＤが含まれていれば、それ以降に送信する対応関係更新情報は、ストレージＩＤを含まないものであってもよい。また、ＵＲＩによってストレージＩＤが特定できる場合にも、書込済情報にはストレージＩＤを含まなくてもよい。また、対応関係更新情報は、書込時刻または送信時刻を更に含んでいてもよい。
【０１２２】
第１送信部１０Ｈは、論理領域情報を、書込部１０Ｆから受付けた送信指示から読取る。また、第１送信部１０Ｈは、対応関係更新情報の送信回数、およびストレージＩＤを、認証情報記憶部３０Ｄから読取る。詳細には、第１送信部１０Ｈは、送信指示に含まれる論理領域情報に対応する送信回数を、認証情報記憶部３０Ｄの第２送信管理ＤＢ３０Ｋから読取る。また、第１送信部１０Ｈは、認証情報記憶部３０Ｄの共有符号管理ＤＢ３０Ｉから、ストレージＩＤを読取る。
【０１２３】
そして、第１送信部１０Ｈは、ストレージＩＤ、論理領域情報、対応関係更新情報の送信回数、該論理領域情報に対応する物理領域情報、を含む対応関係更新情報を、送信部１４Ｃおよび通信部１６Ａを介して、サーバ装置２０へ送信する。
【０１２４】
対応関係更新情報のデータ形式は限定されない。例えば、対応関係更新情報のデータ形式は、例えば、ＸＭＬやＪＳＯＮなどである。また、データ転送の方式には、例えば、ＨＴＴＰを用いる。前述の書込済情報を送信したのと同じコネクションで通信してもよい。
【０１２５】
対応関係更新情報を送信すると、第１送信部１０Ｈは、第２送信管理ＤＢ３０Ｋにおける、該対応関係更新情報に含まれる論理領域情報に対応する送信回数を、“１”カウントアップする。
【０１２６】
このようにして、第１送信部１０Ｈは、送信処理を実行する。すなわち、第１送信部１０Ｈは、書込部１０Ｆによって新たなデータがデータ記憶部３０Ａの物理領域に書込まれ、対応関係管理ＤＢ３０Ｅの物理領域情報が書換えられる毎に、書込済情報および対応関係更新情報を、サーバ装置２０へ送信する。
【０１２７】
なお、第１送信部１０Ｈとホストプロセッサ１４との通信インタフェースは、独自のインタフェースを用いて実現してもよいし、ＮＶＭ  Ｅｘｐｒｅｓｓなどの標準的なインタフェースを改変して実現してもよい。
【０１２８】
なお、読出部１０Ｅは、読出指示部１４Ｂから受付けた読出指示信号に応じて、データ記憶部３０Ａからデータを読出す場合もある。例えば、読出指示信号は、読出対象のデータのアドレスを含む。読出部１０Ｅは、読出指示信号に含まれるアドレスから、論理領域情報を算出する。そして、読出部１０Ｅは、算出した論理領域情報に対応する物理領域情報を、対応関係管理ＤＢ３０Ｅから特定する。そして、読出部１０Ｅは、データ記憶部３０Ａにおける、特定した物理領域情報によって示される物理領域に含まれるデータを読出し、指示されたメモリに書込む。そして、読出部１０Ｅは、読出完了を示す信号を、読出指示部１４Ｂへ通知すればよい。
【０１２９】
次に、取得部１０Ａについて説明する。
【０１３０】
取得部１０Ａは、消去許可通知や、書換許可通知を、受信部１４Ｄおよび通信部１６Ａを介して、サーバ装置２０から取得する。この取得時の通信インタフェースは、例えば、標準的なＮＶＭ  Ｅｘｐｒｅｓｓ等のインタフェース、または、独自に作成したインタフェースである。
【０１３１】
消去許可通知は、データ記憶部３０Ａの特定の物理領域に記憶されているデータの消去の許可を通知するための情報である。消去許可通知は、ストレージＩＤと、特定データを消去するための第１消去符号と、特定データの物理領域を示す物理領域情報と、を含む。ストレージ毎にコネクションを維持して通信を行う場合など、ストレージＩＤを消去許可通知に含めなくてもよい。この場合には、コネクションからどのストレージＩＤに対応する消去許可通知かを特定できるためである。
【０１３２】
特定データは、データ記憶部３０Ａに記憶されている、消去対象のデータである。
【０１３３】
第１消去符号は、特定データの消去時に用いる符号である。第１消去符号は、例えば、該特定データの消去ごとに発行される、ワンタイムパスワードである。第１消去符号は、特定データと、第１認証情報と、から生成される。
【０１３４】
第１認証情報は、特定データを認証するための認証情報である。本実施の形態では、第１認証情報は、該特定データを含む書込済情報のサーバ装置２０への送信回数、および、ストレージ装置１０に予め付与された共有符号、の少なくとも一方を含む。
【０１３５】
なお、第１認証情報は、更に、他のパラメータを含んでいてもよい。例えば、第１認証情報は、サーバＩＤや、時刻情報、などを更に含んでいてもよい。時刻情報には、ストレージ装置１０とサーバ装置２０との間で同期された時刻を用いればよい。
【０１３６】
本実施の形態では、第１認証情報は、特定データを含む書込済情報の、サーバ装置２０への送信回数、および、ストレージ装置１０に予め付与された共有符号を含む場合を、一例として説明する。なお、共有符号は、当該ストレージ装置１０における認証情報記憶部３０Ｄの共有符号管理ＤＢ３０Ｉに登録されている共有符号である。
【０１３７】
本実施の形態では、第１消去符号は、サーバ装置２０によって、生成される。サーバ装置２０は、消去対象のデータである特定データと、第１認証情報と、を用いて、予め定めた特定のアルゴリズムで、第１消去符号を生成する。
【０１３８】
第１消去符号がワンタイムパスワードである場合、アルゴリズムには、例えば、ＲＦＣ４２２６に記載されているＨＭＡＣ−Ｂａｓｅｄ  Ｏｎｅ−Ｔｉｍｅ  Ｐａｓｓｗｏｒｄ  Ａｌｇｏｒｉｔｈｍを用いる。例えば、サーバ装置２０は、下記式（１）に示される算出式を用いて、第１消去符号を生成する。
【０１３９】
ＨＯＴＰ（Ｋ，Ｃ）＝Ｔｒｕｎｃａｔｅ（ＨＭＡＣ−ＳＨＡ−１（Ｋ，Ｃ））
・・・式（１）
【０１４０】
式（１）中、Ｋは、共有符号および特定データの少なくとも一方を用いて生成される値である。Ｃは、該特定データを含む書込済情報のサーバ装置２０への送信回数を示す。
【０１４１】
なお、ストレージ装置１０とサーバ装置２０とで時刻同期が出来る場合、Ｋには、更に、時刻情報を用いてもよい。
【０１４２】
書換許可通知は、対応関係管理ＤＢ３０Ｅの論理領域情報の書換えを指示するための情報である。書換許可通知は、ストレージＩＤと、第１書換符号と、書換対象の物理領域情報に対応する論理領域情報と、を含む。ストレージ毎にコネクションを維持して通信を行う場合など、ストレージＩＤを書換許可通知に含めなくてもよい。この場合には、コネクションからどのストレージＩＤに対応する書換許可通知かを特定できるためである。
【０１４３】
第１書換符号は、書換対象の物理領域情報と論理領域情報との対応関係における、物理領域情報の書換えを許可するか否かを示す書換可否情報を書換えるための、符号である。具体的には、第１書換符号は、書換管理ＤＢ３０Ｇ（図４参照）における、書換対象の物理領域に対応する論理領域情報の書換可否情報を、“書換許可”に書換える判断に用いる符号である。
【０１４４】
第１書換符号は、物理領域情報の書換ごとに発行される、ワンタイムパスワードである。第１書換符号は、対応関係管理ＤＢ３０Ｅにおける書換対象の物理領域情報と、第２認証情報と、から生成される。
【０１４５】
第２認証情報は、書換対象の物理領域情報と論理領域情報との対応関係を認証するための認証情報である。本実施の形態では、第２認証情報は、該対応関係（書換対象の物理領域情報と論理領域情報）を含む対応関係更新情報の、サーバ装置２０への送信回数と、当該ストレージ装置１０に予め付与された共有符号と、の少なくとも一方を含む。
【０１４６】
なお、第２認証情報は、更に、他のパラメータを含んでいてもよい。例えば、第２認証情報は、サーバＩＤや、時刻情報、などを更に含んでいてもよい。時刻情報には、ストレージ装置１０とサーバ装置２０との間で同期された時刻を用いればよい。
【０１４７】
本実施の形態では第２認証情報は、書換対象の物理領域情報と該物理領域情報に対応する論理領域情報とを含む対応関係更新情報の、サーバ装置２０への送信回数と、当該ストレージ装置１０に予め付与された共有符号と、を含む場合を、一例として説明する。なお、共有符号は、当該ストレージ装置１０における認証情報記憶部３０Ｄの共有符号管理ＤＢ３０Ｉに登録されている共有符号である。
【０１４８】
本実施の形態では、第１書換符号は、サーバ装置２０によって、生成される。詳細は後述するが、サーバ装置２０は、書換対象の物理領域情報と、第２認証情報と、を用いて、予め定めた特定のアルゴリズムで、第１書換符号を生成する。特定のアルゴリズムには、例えば、第１消去符号と同様のアルゴリズムを用いればよい。
【０１４９】
取得部１０Ａは、取得した消去許可通知および書換許可通知を、第１生成部１０Ｂへ出力する。
【０１５０】
第１生成部１０Ｂは、消去許可通知を受付けると、消去許可通知に含まれる物理領域情報に示される物理領域に記憶されている特定データと、第１認証情報と、を用いて、第２消去符号を生成する。
【０１５１】
第１生成部１０Ｂは、消去許可通知に含まれる物理領域情報に示される物理領域に記憶されているデータを、消去対象の特定データとして、データ記憶部３０Ａから読取る。本実施の形態では、第１生成部１０Ｂは、読出部１０Ｅを介して、データ記憶部３０Ａから特定データを読取る。
【０１５２】
また、第１生成部１０Ｂは、第１認証情報を、認証情報記憶部３０Ｄから読取る。本実施の形態では、第１生成部１０Ｂは、認証情報記憶部３０Ｄの共有符号管理ＤＢ３０Ｉから、共有符号を取得する。また、第１生成部１０Ｂは、認証情報記憶部３０Ｄの第１送信管理ＤＢ３０Ｊから、消去許可通知に含まれる物理領域情報に対応する送信回数を取得する。そして、第１生成部１０Ｂは、取得した共有符号および送信回数を、第１認証情報として用いる。
【０１５３】
なお、サーバ装置２０は、第１認証情報を更に含む消去許可通知を、ストレージ装置１０へ送信してもよい。この場合、第１生成部１０Ｂは、消去許可通知に含まれる第１認証情報を読取ればよい。
【０１５４】
そして、第１生成部１０Ｂは、特定データと、第１認証情報と、を用いて、第２消去符号を生成する。第１生成部１０Ｂは、サーバ装置２０が第１消去符号の生成時に用いたアルゴリズムで、第２消去符号を生成する。なお、ストレージ装置１０とサーバ装置２０には、消去符号（第１消去符号、第２消去符号）の生成に用いるアルゴリズムとして、同じアルゴリズムを予め定めておけばよい。
【０１５５】
そして、第１生成部１０Ｂは、サーバ装置２０から取得した消去許可通知に含まれる第１消去符号と、生成した第２消去符号と、が対応するか否かを判断する。
【０１５６】
第１消去符号と第２消去符号とが対応する、とは、これらの消去符号が予め定めた関係を示すことを意味する。
【０１５７】
例えば、第１消去符号と第２消去符号とが対応する、とは、第１消去符号と第２消去符号が同じ値を示すことを意味する。また、例えば、第１消去符号と第２消去符号とが対応する、とは、第１消去符号から特定のアルゴリズムで算出される値と、第２消去符号から該アルゴリズムで算出される値と、が一致することを意味する。また、第１消去符号と第２消去符号とが対応する、とは、第１消去符号と第２消去符号が、第１消去符号と第２消去符号との対応関係を予め記憶したデータベースに記載されている値と一致することを意味する。
【０１５８】
本実施の形態では、第１消去符号と第２消去符号とが対応する、とは、第１消去符号と第２消去符号が同じ値を示す場合を、一例として説明する。
【０１５９】
第１消去符号と第２消去符号とが対応する場合、変更部１０Ｃは、消去管理ＤＢ３０Ｈ（図４参照）における、消去許可通知に含まれる物理領域情報に対応する消去可否情報を“消去許可”に変更する。また、変更部１０Ｃは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、消去許可通知に含まれる物理領域情報に対応するステータスを、“消去待”に変更する。
【０１６０】
そして、第１生成部１０Ｂは、第１消去符号と第２消去符号とが対応する場合、消去可能通知を消去部１０Ｄへ出力する。
【０１６１】
消去部１０Ｄは、消去管理ＤＢ３０Ｈ（図４参照）における、物理領域情報に対応する消去可否情報が“消去許可”になっている物理領域に記憶されているデータを、消去する。
【０１６２】
詳細には、消去部１０Ｄは、以下の消去処理を実行する。
【０１６３】
第１生成部１０Ｂから消去可能通知を受付けると、現在消去処理を行うかの判定を行って、条件を満たす場合には消去処理を行う。これらの条件はストレージ装置によって異なり、現在行われている読み出しや書き込み処理の性能を下げないようにタイミングを見計らって行なわれる。また、“消去許可”となっている物理領域情報が一定数以上になったタイミングで行ってもよい。消去処理を行うと判定すると、消去部１０Ｄは、ステータス“消去待”の物理領域情報を、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）から特定する。そして、消去部１０Ｄは、特定した、ステータス“消去待”の物理領域情報の内、消去管理ＤＢ３０Ｈ（図４参照）における対応する消去可否情報が“消去許可”を示す物理領域情報を特定する。
【０１６４】
そして、消去部１０Ｄは、特定した物理領域情報に示される物理領域に記憶されているデータを、該物理領域から消去する。
【０１６５】
消去部１０Ｄは、物理領域管理ＤＢ３０Ｆにおける、消去した物理領域を示す物理領域情報に対応する消去回数を、“１”カウントアップする。また、消去部１０Ｄは、物理領域管理ＤＢ３０Ｆにおける、消去した物理領域を示す物理領域情報に対応するステータスを“消去済”に変更する。
【０１６６】
このようにして、第１生成部１０Ｂから消去可能通知を受付けた場合、消去部１０Ｄは、消去処理を行う。
【０１６７】
一方、第１生成部１０Ｂは、取得部１０Ａから書換許可通知を受付けると、書換許可通知に含まれる論理領域情報に対応する物理領域情報と、第２認証情報と、を用いて、第２書換符号を生成する。
【０１６８】
第１生成部１０Ｂは、書換許可通知に含まれる論理領域情報に対応する物理領域情報を、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）から読取る。本実施の形態では、第１生成部１０Ｂは、読出部１０Ｅを介して、物理領域情報を読取る。
【０１６９】
また、第１生成部１０Ｂは、第２認証情報を、認証情報記憶部３０Ｄから読取る。本実施の形態では、第１生成部１０Ｂは、認証情報記憶部３０Ｄの共有符号管理ＤＢ３０Ｉから、共有符号を取得する。また、第１生成部１０Ｂは、認証情報記憶部３０Ｄの第２送信管理ＤＢ３０Ｋから、書換許可通知に含まれる論理領域情報に対応する送信回数を取得する。そして、第１生成部１０Ｂは、取得した共有符号および送信回数を、第２認証情報として用いる。
【０１７０】
なお、サーバ装置２０は、第２認証情報を更に含む書換許可通知を、ストレージ装置１０へ送信してもよい。この場合、第１生成部１０Ｂは、書換許可通知に含まれる第２認証情報を読取ればよい。
【０１７１】
そして、第１生成部１０Ｂは、読取った物理領域情報と、第２認証情報と、を用いて、第２書換符号を生成する。第１生成部１０Ｂは、サーバ装置２０が第１書換符号の生成時に用いたアルゴリズムで、第２書換符号を生成する。なお、ストレージ装置１０とサーバ装置２０には、書換符号（第１書換符号、第２書換符号）の生成に用いるアルゴリズムとして、同じアルゴリズムを予め定めておけばよい。
【０１７２】
そして、第１生成部１０Ｂは、サーバ装置２０から取得した書換許可通知に含まれる第１書換符号と、生成した第２書換符号と、が対応するか否かを判断する。
【０１７３】
第１書換符号と第２書換符号とが対応する、とは、これらの書換符号が予め定めた関係を示すことを意味する。
【０１７４】
例えば、第１書換符号と第２書換符号とが対応する、とは第１書換符号と第２書換符号が同じ値を示すことを意味する。また、例えば、第１書換符号と第２書換符号とが対応する、とは、第１書換符号から特定のアルゴリズムで算出される値と、第２書換符号から該アルゴリズムで算出される値と、が一致することを意味する。また、第１書換符号と第２書換符号とが対応する、とは、第１書換符号と第２書換符号が、第１書換符号と第２書換符号との対応関係を予め記憶したデータベースに記載されている値と一致することを意味する。
【０１７５】
本実施の形態では、第１書換符号と第２書換符号とが対応する、とは、第１書換符号と第２書換符号が同じ値を示す場合を、一例として説明する。
【０１７６】
第１書換符号と第２書換符号とが対応する場合、変更部１０Ｃは、対応関係における該物理領域情報の書換可否情報を、書換許可に変更する。この“対応関係”は、書換許可通知に含まれる論理領域情報と、該論理領域情報に対応する物理領域情報と、の対応関係を示す。すなわち、変更部１０Ｃは、書換管理ＤＢ３０Ｇ（図４参照）における、書換許可通知に含まれる論理領域情報に対応する書換可否情報を、“書換許可”に変更する。
【０１７７】
このため、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）における、書換可否情報を“書換許可”に変更された論理領域情報に対応する物理領域情報は、書換を許可された状態となる。
【０１７８】
―サーバ装置２０の機能的構成―
図２に戻り説明を続ける。次に、サーバ装置２０の機能的構成を説明する。
【０１７９】
サーバ装置２０は、ストレージ装置２２と、ホストプロセッサ２４と、ネットワークインタフェースコントローラ２６と、を有する。ストレージ装置２２およびネットワークインタフェースコントローラ２６と、ホストプロセッサ２４と、は通信可能に接続されている。
【０１８０】
ストレージ装置２２は、各種情報を記憶する。本実施の形態では、ストレージ装置２２は、データ記憶部４０Ａと、認証情報記憶部４０Ｂと、を記憶する。
【０１８１】
データ記憶部４０Ａおよび認証情報記憶部４０Ｂは、例えば、フラッシュメモリ（不揮発性メモリ）を内蔵したＳＳＤ、ＨＤＤ、または揮発性メモリである。本実施の形態では、データ記憶部４０Ａは、ＳＳＤである場合を、一例として説明する。一方、認証情報記憶部４０Ｂは、不揮発性メモリであっても揮発性メモリであってもよい。本実施の形態では、認証情報記憶部４０Ｂは、揮発性メモリである場合を、一例として説明する。
【０１８２】
データ記憶部４０Ａは、ストレージ装置１０から受信した書込済情報および対応関係更新情報を、これらの情報の送信元のストレージ装置１０のストレージＩＤに対応づけて記憶する。本実施の形態では、データ記憶部４０Ａは、書込済管理ＤＢ４０Ｃと対応関係管理ＤＢ４０Ｄを、ストレージ装置１０ごとに記憶する。
【０１８３】
図６は、書込済管理ＤＢ４０Ｃ、および対応関係管理ＤＢ４０Ｄのデータ構成の一例を示す模式図である。
【０１８４】
書込済管理ＤＢ４０Ｃは、ストレージ装置１０から受信した書込済情報を管理するためのデータベースである。なお、書込済管理ＤＢ４０Ｃのデータ構成は、データベースに限定されない。
【０１８５】
書込済管理ＤＢ４０Ｃは、時刻と、物理領域情報と、データと、を対応づけたものである。書込済管理ＤＢ４０Ｃにおける時刻は、他のデータとの受信の前後関係を特定可能な情報であればよい。書込済管理ＤＢ４０Ｃにおける時刻は、例えば、書込済情報の受信時刻である。なお、書込済情報に時刻情報が含まれる場合には、該時刻情報に示される時刻を、書込済管理ＤＢ４０Ｃにおける時刻として用いてもよい。
【０１８６】
書込済管理ＤＢ４０Ｃにおける物理領域情報およびデータは、対応する時刻に受信した書込済情報に含まれる、物理領域情報およびデータである。
【０１８７】
対応関係管理ＤＢ４０Ｄは、ストレージ装置１０から受信した対応関係更新情報を管理するためのデータベースである。なお、対応関係管理ＤＢ４０Ｄのデータ構成は、データベースに限定されない。
【０１８８】
対応関係管理ＤＢ４０Ｄは、時刻と、論理領域情報と、物理領域情報と、を対応づけたものである。対応関係管理ＤＢ４０Ｄにおける時刻は、他のデータとの受信の前後関係を特定可能な情報であればよい。例えば、対応関係管理ＤＢ４０Ｄにおける時刻は、対応関係更新情報の受信時刻である。なお、対応関係更新情報に時刻情報が含まれる場合には、該時刻情報に示される時刻を、対応関係管理ＤＢ４０Ｄにおける時刻として用いてもよい。
【０１８９】
対応関係管理ＤＢ４０Ｄにおける論理領域情報および物理領域情報は、対応する時刻に受信した対応関係更新情報に含まれる、論理領域情報および物理領域情報である。
【０１９０】
書込済管理ＤＢ４０Ｃおよび対応関係管理ＤＢ４０Ｄは、書込済情報および対応関係更新情報をストレージ装置１０から受信するごとに、ホストプロセッサ２４によって追記される。
【０１９１】
図２に戻り説明を続ける。次に、認証情報記憶部４０Ｂについて説明する。認証情報記憶部４０Ｂは、認証情報を記憶する。本実施の形態では、認証情報記憶部４０Ｂは、共有符号管理ＤＢ４０Ｅ、第３送信管理ＤＢ４０Ｆ、および第４送信管理ＤＢ４０Ｇを、ストレージ装置１０ごとに記憶する。
【０１９２】
図７は、共有符号管理ＤＢ４０Ｅ、第３送信管理ＤＢ４０Ｆ、および第４送信管理ＤＢ４０Ｇのデータ構成の一例を示す模式図である。図７に示すように、認証情報記憶部４０Ｂは、共有符号管理ＤＢ４０Ｅ、第３送信管理ＤＢ４０Ｆ、および第４送信管理ＤＢ４０Ｇを、ストレージ装置１０ごとに記憶する。
【０１９３】
共有符号管理ＤＢ４０Ｅは、対応するストレージ装置１０と共有する共有符号を管理するためのデータベースである。なお、共有符号管理ＤＢ４０Ｅのデータ形式は、データベースに限定されない。共有符号管理ＤＢ４０Ｅは、ストレージＩＤと、共有符号と、を示す。共有符号の定義は、上述したため、ここでは説明を省略する。
【０１９４】
第３送信管理ＤＢ４０Ｆは、ストレージ装置１０から受信した書込済情報に関する情報を管理する。本実施の形態では、第３送信管理ＤＢ４０Ｆは、物理領域情報と、送信回数と、を対応づけたデータベースである。なお、第３送信管理ＤＢ４０Ｆのデータ形式は、データベースに限定されない。
【０１９５】
第３送信管理ＤＢ４０Ｆにおける“送信回数”は、対応する物理領域情報を含む書込済情報の、ストレージ装置１０からの受信回数を示す。
【０１９６】
第４送信管理ＤＢ４０Ｇは、ストレージ装置１０から受信した対応関係更新情報に関する情報を管理する。本実施の形態では、第４送信管理ＤＢ４０Ｇは、論理領域情報と、送信回数と、を対応づけたデータベースである。なお、第４送信管理ＤＢ４０Ｇのデータ形式は、データベースに限定されない。
【０１９７】
第４送信管理ＤＢ４０Ｇにおける“送信回数”は、対応する論理領域情報を含む対応関係情報の、ストレージ装置１０からの受信回数を示す。
【０１９８】
共有符号管理ＤＢ４０Ｅは、予め記憶されているものとする。第３送信管理ＤＢ４０Ｆおよび第４送信管理ＤＢ４０Ｇは、ホストプロセッサ２４の処理によって更新される（詳細後述）。
【０１９９】
図２に戻り、次に、ネットワークインタフェースコントローラ２６について説明する。ネットワークインタフェースコントローラ２６は、通信部２６Ａを備える。通信部２６Ａは、ストレージ装置１０と通信する。本実施の形態では、通信部２６Ａは、車両２のネットワークインタフェースコントローラ１６およびホストプロセッサ１４を介して、ストレージ装置１０と通信する。
【０２００】
具体的には、通信部２６Ａは、ストレージ装置１０から書込済情報および対応関係更新情報を受信する。通信部２６Ａは、受信した書込済情報および対応関係更新情報を、ホストプロセッサ２４へ出力する。また、通信部２６Ａは、ホストプロセッサ２４から、消去許可通知および書換許可通知を受付ける。そして、通信部２６Ａは、受付けた消去許可通知および書換許可通知を、ストレージ装置１０へ送信する。
【０２０１】
ホストプロセッサ２４は、ストレージ装置２２に記憶されたデータの管理や、ストレージ装置１０への各種情報の送信制御などを行う。
【０２０２】
ホストプロセッサ２４は、受信部２４Ａと、第２生成部２４Ｂと、第２送信部２４Ｃと、を備える。
【０２０３】
受信部２４Ａは、通信部２６Ａを介してストレージ装置１０から、書込済情報および対応関係情報を受付ける。
【０２０４】
書込済情報を受信した場合、受信部２４Ａは、書込済情報に含まれる、書込済情報の送信回数が、ストレージ装置２２で管理されている対応する送信回数と一致するか否かを判断する。
【０２０５】
具体的には、受信部２４Ａは、受信した書込済情報に含まれるストレージＩＤに対応する第３送信管理ＤＢ４０Ｆ（図７参照）を特定する。そして、受信部２４Ａは、特定した第３送信管理ＤＢ４０Ｆにおける、受信した書込済情報に含まれる物理領域情報に対応する送信回数を読取る。受信部２４Ａは、読取った送信回数を、ストレージ装置２２で管理されている対応する送信回数として用いる。
【０２０６】
そして、受信部２４Ａは、書込済情報に含まれる、書込済情報の送信回数が、ストレージ装置２２で管理されている対応する送信回数と一致する場合、書込済情報を、ストレージ装置２２のデータ記憶部４０Ａへ記憶する。
【０２０７】
詳細には、受信部２４Ａは、データ記憶部４０Ａにおける、ストレージ装置１０から受信した書込済情報に含まれるストレージＩＤに対応付けられた、書込済管理ＤＢ４０Ｃを特定する。そして、受信部２４Ａは、特定した書込済管理ＤＢ４０Ｃに、該書込済情報を受信した時刻と、該書込済情報に含まれる物理領域情報およびデータと、を対応づけて登録する。なお、受信部２４Ａは、物理領域情報のサイズ、およびデータのサイズの少なくとも一方を、更に対応づけて書込済管理ＤＢ４０Ｃに登録してもよい。
【０２０８】
一方、対応関係更新情報を受信した場合、受信部２４Ａは、対応関係更新情報に含まれる、対応関係更新情報の送信回数が、ストレージ装置２２で管理されている対応する送信回数と一致するか否かを判断する。
【０２０９】
具体的には、受信部２４Ａは、受信した対応関係更新情報に含まれるストレージＩＤに対応する第４送信管理ＤＢ４０Ｇ（図７参照）を特定する。そして、受信部２４Ａは、特定した第４送信管理ＤＢ４０Ｇにおける、受信した対応関係更新情報に含まれる論理領域情報に対応する送信回数を読取る。受信部２４Ａは、読取った送信回数を、ストレージ装置２２で管理されている対応する送信回数として用いる。
【０２１０】
そして、受信部２４Ａは、対応関係更新情報に含まれる、対応関係更新情報の送信回数が、ストレージ装置２２で管理されている対応する送信回数と一致する場合、対応関係更新情報を、ストレージ装置２２のデータ記憶部４０Ａへ記憶する。
【０２１１】
詳細には、受信部２４Ａは、データ記憶部４０Ａにおける、ストレージ装置１０から受信した対応関係更新情報に含まれるストレージＩＤに対応付けられた、対応関係管理ＤＢ４０Ｄを特定する。そして、受信部２４Ａは、特定した対応関係管理ＤＢ４０Ｄに、該対応関係更新情報を受信した時刻と、該対応関係更新情報に含まれる論理領域情報および物理領域情報と、を対応づけて登録する。
【０２１２】
次に、第２生成部２４Ｂについて説明する。第２生成部２４Ｂは、第１消去符号、および、第１書換符号を生成する。すなわち、上述した、サーバ装置２０による第１消去符号および第１書換符号の生成は、サーバ装置２０の第２生成部２４Ｂによって行われる。
【０２１３】
まず、第１消去符号の生成について説明する。第２生成部２４Ｂは、消去対象のデータである特定データと、第１認証情報と、を用いて、予め定めた特定のアルゴリズムで、第１消去符号を生成する。第１消去符号および特定のアルゴリズムの定義は、上述したため、ここでは記載を省略する。
【０２１４】
例えば、第２生成部２４Ｂは、ストレージ装置１０から書込済情報を受信すると、第１消去符号を生成する。詳細には、第２生成部２４Ｂは、ストレージ装置１０から受信した書込済情報に含まれるデータを、消去対象のデータ（特定データ）として用いる。なお、第２生成部２４Ｂは、データ記憶部４０Ａから該データを読取り、特定データとして用いてもよい。なお、第２生成部２４Ｂは、他の任意のデータを、特定データとして用いてもよい。
【０２１５】
第２生成部２４Ｂは、第１認証情報を、認証情報記憶部４０Ｂから取得する。例えば、第２生成部２４Ｂは、消去対象のデータに対応するストレージＩＤを、データ記憶部４０Ａから特定する。そして、第２生成部２４Ｂは、特定したストレージＩＤに対応する、共有符号を、認証情報記憶部４０Ｂから特定する。
【０２１６】
また、第２生成部２４Ｂは、特定したストレージＩＤおよび消去対象のデータに対応する、物理領域情報を、データ記憶部４０Ａから特定する。なお、第２生成部２４Ｂは、ストレージ装置１０から受信した書込済情報に含まれる物理領域情報を読取ることで、物理領域情報を特定してもよい。そして、第２生成部２４Ｂは、認証情報記憶部４０Ｂの第３送信管理ＤＢ４０Ｆから、特定した物理領域情報に対応する送信回数を特定する。そして、第２生成部２４Ｂは、特定した共有符号および送信回数を、第１認証情報として用いる。
【０２１７】
そして、第２生成部２４Ｂは、特定した第１認証情報と、消去対象のデータである特定データと、を用いて、予め定めた特定のアルゴリズムで、第１消去符号を生成する。
【０２１８】
そして、第２生成部２４Ｂは、生成した第１消去符号と、物理領域情報と、を含む消去許可通知を生成する。消去許可通知に含まれる物理領域情報は、第１消去符号を用いて消去される対象の特定データの、ストレージ装置１０のデータ記憶部３０Ａにおける物理領域を示す情報である。本実施の形態では、第２生成部２４Ｂは、ストレージ装置１０から受信した書込済情報に含まれる物理領域情報を、消去許可通知に含まれる物理領域情報として用いればよい。
【０２１９】
第２生成部２４Ｂは、該消去許可通知のストレージ装置１０への送信指示を、第２送信部２４Ｃへ出力する。消去許可通知の送信先は、該消去許可通知の作成に用いた書込済情報に含まれる、ストレージＩＤによって識別されるストレージ装置１０である。
【０２２０】
第２生成部２４Ｂは、更に、認証情報記憶部４０Ｂにおける、該ストレージＩＤに対応する第３送信管理ＤＢ４０Ｆの、該消去許可通知に含まれる物理領域情報に対応する送信回数を、“１”カウントアップする。
【０２２１】
次に、第１書換符号の生成について説明する。
【０２２２】
第２生成部２４Ｂは、物理領域情報と、該物理領域情報と論理領域情報との対応関係を認証するための第２認証情報と、から、第１書換符号を更に生成する。第２生成部２４Ｂは、物理領域情報と第２認証情報を用いて、予め定めた特定のアルゴリズムで、第１書換符号を生成する。第１書換符号および特定のアルゴリズムの定義は、上述したため、ここでは記載を省略する。
【０２２３】
例えば、第２生成部２４Ｂは、ストレージ装置１０から対応関係更新情報を受信した場合に、第１書換符号を生成する。詳細には、第２生成部２４Ｂは、ストレージ装置１０から受信した対応関係更新情報に含まれる物理領域情報を、書換対象の物理領域情報として特定する。
【０２２４】
そして、第２生成部２４Ｂは、第１書換符号の生成に用いる第２認証情報を特定する。例えば、第２生成部２４Ｂは、第２認証情報を、認証情報記憶部４０Ｂから取得する。例えば、第２生成部２４Ｂは、ストレージ装置１０から受信した対応関係更新情報に含まれるストレージＩＤに対応する共有符号を、認証情報記憶部４０Ｂから特定する。
【０２２５】
また、第２生成部２４Ｂは、特定したストレージＩＤ、およびストレージ装置１０から受信した対応関係更新情報に含まれる論理領域情報に対応する送信回数を、第４送信管理ＤＢ４０Ｇから特定する（図７参照）。
【０２２６】
そして、第２生成部２４Ｂは、特定した、共有符号および送信回数を、第２認証情報として用いる。第２生成部２４Ｂは、特定した、物理領域情報と第２認証情報とを用いて、予め定めた特定のアルゴリズムで、第１書換符号を生成する。
【０２２７】
そして、第２生成部２４Ｂは、生成した第１書換符号と、書換対象の物理領域情報に対応する論理領域情報と、を含む、書換許可通知を生成する。第２生成部２４Ｂは、ストレージ装置１０から受信した対応関係更新情報に含まれる論理領域情報を、書込指示情報に含まれる論理領域情報として用いればよい。
【０２２８】
そして、第２生成部２４Ｂは、該書換許可通知のストレージ装置１０への送信指示を、第２送信部２４Ｃへ出力する。書換許可通知の送信先は、該書換許可通知の作成に用いた対応関係更新情報に含まれる、ストレージＩＤによって識別されるストレージ装置１０である。
【０２２９】
第２生成部２４Ｂは、更に、認証情報記憶部４０Ｂにおける、該ストレージＩＤに対応する第４送信管理ＤＢ４０Ｇの、該書込指示情報に含まれる論理領域情報に対応する送信回数を、“１”カウントアップする。
【０２３０】
第２送信部２４Ｃは、第１消去符号と物理領域情報とを含む消去許可通知を、ストレージ装置１０へ送信する。また、第２送信部２４Ｃは、第１書換符号と書換対象の物理領域情報に対応する論理領域情報とを含む、書換許可通知を、ストレージ装置１０へ送信する。
【０２３１】
詳細には、第２送信部２４Ｃは、第２生成部２４Ｂから受付けた消去許可通知を、送信指示によって示されるストレージ装置１０へ、通信部２６Ａを介して送信する。また、第２送信部２４Ｃは、第２生成部２４Ｂから受付けた書換許可通知を、送信指示によって示されるストレージ装置１０へ、通信部２６Ａを介して送信する。
【０２３２】
次に、本実施の形態のストレージ装置１０が実行するストレージ制御処理の手順の一例を説明する。
【０２３３】
本実施の形態では、ストレージ制御処理は、書込処理、送信処理、読出処理、消去・書換処理、消去処理を含む。
【０２３４】
まず、ストレージ装置１０が実行する書込処理を実行する。図８は、ストレージ装置１０が実行する書込処理の手順の一例を示す、フローチャートである。
【０２３５】
まず、書込部１０Ｆが、ホストプロセッサ１４の書込指示部１４Ａから、書込指示を受付けたか否かを判断する（ステップＳ１００）。ステップＳ１００で否定判断すると（ステップＳ１００：Ｎｏ）、本ルーチンを終了する。書込指示を受付けたと判断した場合（ステップＳ１００：Ｙｅｓ）、ステップＳ１０２へ進む。
【０２３６】
ステップＳ１０２では、書込部１０Ｆは、ステップＳ１００で受け付けた書込指示に基づいて、書込に用いる論理領域情報に対応する物理領域情報を書換可能であるか否かを判断する（ステップＳ１０２）。ステップＳ１０２では、書込部１０Ｆは、書換管理ＤＢ３０Ｇにおける、書込に用いる論理領域情報に対応する書換可否情報が、“書換許可”を示すか否かを判別する。この判別によって、書込部１０Ｆは、ステップＳ１０２の判断を行う。
【０２３７】
ステップＳ１０２で否定判断すると（ステップＳ１０２：Ｎｏ）、ステップＳ１２４へ進む。ステップＳ１２４では、書込部１０Ｆが、データの書込エラーをホストプロセッサ１４へ通知する（ステップＳ１２４）。そして、本ルーチンを終了する。
【０２３８】
ステップＳ１０２で肯定判断すると（ステップＳ１０２：Ｙｅｓ）、ステップＳ１０４へ進む。ステップＳ１０４では、書込部１０Ｆは、“消去済”の物理領域が有るか否かを判断する（ステップＳ１０４）。書込部１０Ｆは、ステータス“消去済”に対応づけられた物理領域情報が、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）に登録されているか否かを判別することで、この判断を行う。
【０２３９】
ステップＳ１０４で否定判断すると（ステップＳ１０４：Ｎｏ）、上記ステップＳ１２４へ進む。ステップＳ１０４で肯定判断すると（ステップＳ１０４：Ｙｅｓ）、ステップＳ１０６へ進む。
【０２４０】
ステップＳ１０６では、書込部１０Ｆは、ステータス“消去済”に対応づけられた物理領域情報を１つ、物理領域管理ＤＢ３０Ｆから選択する。そして、書込部１０Ｆは、選択した物理領域情報によって示される物理領域に、書込対象のデータを書込む（ステップＳ１０６）。
【０２４１】
次に、書込部１０Ｆは、ステップＳ１０６の書込みが正常終了したか否かを判断する（ステップＳ１０８）。異常終了したと判断すると（ステップＳ１０８：Ｎｏ）、ステップＳ１２６へ進む。ステップＳ１２６では、書込部１０Ｆは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、ステップＳ１０８で異常終了としたと判断した物理領域の物理領域情報に対応するステータスを、“無効”に変更する（ステップＳ１２６）。そして、上記ステップＳ１０４へ戻る。
【０２４２】
一方、ステップＳ１０８で書込が正常終了したと判断すると（ステップＳ１０８：Ｙｅｓ）、ステップＳ１１０へ進む。ステップＳ１１０では、書込部１０Ｆは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、ステップＳ１０６でデータを書込んだ物理領域の物理領域情報に対応するステータスを、“使用中”に変更する（ステップＳ１１０）。
【０２４３】
次に、書込部１０Ｆは、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）における、該データの書込みに用いた論理領域情報に対応する物理領域情報を、ステップＳ１０６でデータを書込んだ物理領域の物理領域情報に書換える（ステップＳ１１２）。
【０２４４】
次に、書込部１０Ｆは、消去管理ＤＢ３０Ｈ（図４参照）における、ステップＳ１０６でデータを書込んだ物理領域の物理領域情報に対応する消去可否情報を、“消去禁止”に設定する（ステップＳ１１４）。そして、書込部１０Ｆは、書換管理ＤＢ３０Ｇにおける、ステップＳ１０６でデータを書込んだ物理領域の物理領域情報に対応する、論理領域情報の書換可否情報を、“書換禁止”に設定する（ステップＳ１１６）。
【０２４５】
そして、書込部１０Ｆは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、ステップＳ１０６のデータの書込みに用いた論理領域情報に、前回（今回の書込前に）対応づけられていた物理領域情報のステータスを、“消去待”に設定する（ステップＳ１１８）。
【０２４６】
そして、書込部１０Ｆは、第１送信部１０Ｈに、書込済情報および対応関係更新情報の送信指示を通知する（ステップＳ１２０）。次に、書込部１０Ｆは、書込完了をホストプロセッサ１４へ通知し（ステップＳ１２２）、本ルーチンを終了する。
【０２４７】
次に、第１送信部１０Ｈが実行する送信処理の手順の一例を説明する。図９は、送信処理の手順の一例を示す、フローチャートである。
【０２４８】
第１送信部１０Ｈは、書込部１０Ｆから送信指示を受付たか否かを判断する（ステップＳ２００）。ステップＳ２００で否定判断すると（ステップＳ２００：Ｎｏ）、本ルーチンを終了する。ステップＳ２００で肯定判断すると（ステップＳ２００：Ｙｅｓ）、ステップＳ２０２へ進む。
【０２４９】
ステップＳ２０２では、第１送信部１０Ｈは、書込済情報を、サーバ装置２０へ送信する（ステップＳ２０２）。第１送信部１０Ｈは、当該ストレージ装置１０のストレージＩＤと、ステップＳ１０６（図８参照）で書込まれたデータと、該データを書込まれた物理領域の物理領域情報と、書込済情報の送信回数と、を含む書込済情報を、サーバ装置２０へ送信する。
【０２５０】
そして、第１送信部１０Ｈは、第１送信管理ＤＢ３０Ｊにおける、該書込済情報に含まれる物理領域情報に対応する送信回数を、“１”カウントアップする（ステップＳ２０４）。
【０２５１】
次に、第１送信部１０Ｈは、対応関係更新情報を、サーバ装置２０へ送信する（ステップＳ２０６）。第１送信部１０Ｈは、当該ストレージ装置１０のストレージＩＤと、ステップＳ１１２（図８参照）で書換えた物理領域情報と、対応関係管理ＤＢ３０Ｅにおける該物理領域情報に対応する論理領域情報と、対応関係更新情報の送信回数と、を含む対応関係更新情報を、サーバ装置２０へ送信する。
【０２５２】
次に、第１送信部１０Ｈは、第２送信管理ＤＢ３０Ｋにおける、該対応関係更新情報に含まれる論理領域情報に対応する送信回数を、“１”カウントアップする（ステップＳ２０８）。そして、本ルーチンを終了する。
【０２５３】
次に、ストレージ装置１０が実行する読出処理の手順の一例を説明する。図１０は、読出処理の手順の一例を示す、フローチャートである。
【０２５４】
まず、読出部１０Ｅは、ホストプロセッサ１４の読出指示部１４Ｂから、読出指示信号を受付けたか否かを判断する（ステップＳ３００）。ステップＳ３００で否定判断すると（ステップＳ３００：Ｎｏ）、本ルーチンを終了する。ステップＳ３００で肯定判断すると（ステップＳ３００：Ｙｅｓ）、ステップＳ３０２へ進む。
【０２５５】
ステップＳ３０２では、読出部１０Ｅは、読出指示信号に含まれるアドレスから、論理領域情報を算出する。そして、読出部１０Ｅは、算出した論理領域情報に対応する物理領域情報を、対応関係管理ＤＢ３０Ｅから特定する（ステップＳ３０２）。
【０２５６】
そして、読出部１０Ｅは、データ記憶部３０Ａにおける、ステップＳ３０２で特定した物理領域情報によって示される物理ブロックに含まれるデータを、読出す（ステップＳ３０４）。そして、読出部１０Ｅは、読出したデータを、読出指示によって指示されたメモリに書込む。そして、読出部１０Ｅは、読出完了を示す信号を、ホストプロセッサ１４へ通知する（ステップＳ３０６）。そして、本ルーチンを終了する。
【０２５７】
次に、ストレージ装置１０が実行する、受信処理を説明する。図１１は、受信処理の手順の一例を示す、フローチャートである。
【０２５８】
まず、取得部１０Ａは、消去許可通知を取得したか否かを判断する（ステップＳ５００）。取得部１０Ａは、ホストプロセッサ１４およびネットワークインタフェースコントローラ１６を介してサーバ装置２０から、消去許可通知を受信したか否かを判別することで、ステップＳ５００の判断を行う。
【０２５９】
ステップＳ５００で否定判断すると（ステップＳ５００：Ｎｏ）、後述するステップＳ５１６へ進む。一方、ステップＳ５００で肯定判断すると（ステップＳ５００：Ｙｅｓ）、ステップＳ５０２へ進む。ステップＳ５０２では、第１生成部１０Ｂが、データ記憶部３０Ａから特定データを読取る（ステップＳ５０２）。第１生成部１０Ｂは、ステップＳ５００で取得した消去許可通知に含まれる物理領域情報に示される、物理領域に記憶されているデータを、消去対象の特定データとして、データ記憶部３０Ａから読取る。
【０２６０】
次に、第１生成部１０Ｂは、第１認証情報を、認証情報記憶部３０Ｄから読取る（ステップＳ５０４）。例えば、第１生成部１０Ｂは、認証情報記憶部３０Ｄの共有符号管理ＤＢ３０Ｉから、共有符号を取得する。また、第１生成部１０Ｂは、認証情報記憶部３０Ｄの第１送信管理ＤＢ３０Ｊから、消去許可通知に含まれる物理領域情報に対応する送信回数を取得する。そして、第１生成部１０Ｂは、取得した共有符号および送信回数を、第１認証情報として用いる。
【０２６１】
次に、第１生成部１０Ｂは、ステップＳ５０２で読取った特定データと、ステップＳ５０４で読取った第１認証情報と、を用いて、第２消去符号を生成する（ステップＳ５０６）。
【０２６２】
次に、第１生成部１０Ｂは、ステップＳ５００で取得した消去許可通知に含まれる第１消去符号と、ステップＳ５０６で生成した第２消去符号と、が一致するか否かを判断する（ステップＳ５０８）。不一致と判断した場合（ステップＳ５０８：Ｎｏ）、後述するステップＳ５２８へ進む。
【０２６３】
一方、一致すると判断した場合（ステップＳ５０８：Ｙｅｓ）、ステップＳ５１０へ進む。ステップＳ５１０では、変更部１０Ｃが、消去管理ＤＢ３０Ｈ（図４参照）における、ステップＳ５００で取得した消去許可通知に含まれる物理領域情報に対応する、消去可否情報を、“消去許可”に変更する（ステップＳ５１０）。次に、変更部１０Ｃは、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）における、ステップＳ５００で取得した消去許可通知に含まれる、物理領域情報に対応するステータスを、“消去待”に変更する（ステップＳ５１２）。
【０２６４】
そして、第１生成部１０Ｂは、消去可能通知を消去部１０Ｄへ出力する（ステップＳ５１４）。
【０２６５】
次に、取得部１０Ａは、書換許可通知を取得したか否かを判断する（ステップＳ５１６）。取得部１０Ａは、ホストプロセッサ１４およびネットワークインタフェースコントローラ１６を介してサーバ装置２０から、書換許可通知を受信したか否かを判別することで、ステップＳ５１６の判断を行う。
【０２６６】
ステップＳ５１６で否定判断すると（ステップＳ５１６：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ５１６で肯定判断すると（ステップＳ５１６：Ｙｅｓ）、ステップＳ５１８へ進む。
【０２６７】
ステップＳ５１８では、第１生成部１０Ｂが、ステップＳ５１６で取得した書換許可通知に含まれる、論理領域情報に対応する物理領域情報を、対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）から読取る（ステップＳ５１８）。
【０２６８】
次に、第１生成部１０Ｂが、第２認証情報を、認証情報記憶部３０Ｄから読取る（ステップＳ５２０）。
【０２６９】
そして、第１生成部１０Ｂは、ステップＳ５１８で読取った物理領域情報と、ステップＳ５２０で読取った第２認証情報と、を用いて、第２書換符号を生成する（ステップＳ５２２）。
【０２７０】
次に、第１生成部１０Ｂは、ステップＳ５１６で取得した書換許可通知に含まれる第１書換符号と、ステップＳ５２２で生成した第２書換符号と、が一致するか否かを判断する（ステップＳ５２４）。
【０２７１】
ステップＳ５２４で肯定判断すると（ステップＳ５２４：Ｙｅｓ）、ステップＳ５２６へ進む。ステップＳ５２６では、変更部１０Ｃが、書換管理ＤＢ３０Ｇ（図４参照）における、ステップＳ５１６で取得した書換許可通知に含まれる論理領域情報に対応する書換可否情報を、“書換許可”に変更する（ステップＳ５２６）。そして、本ルーチンを終了する。
【０２７２】
一方、ステップＳ５２４で否定判断した場合（ステップＳ５２４：Ｎｏ）、ステップＳ５２８へ進む。ステップＳ５２８では、第１生成部１０Ｂは、改竄や攻撃等のエラーを示すエラー情報を、ホストプロセッサ１４及びネットワークインタフェースコントローラ１６を介してサーバ装置２０へ通知する（ステップＳ５２８）。そして、本ルーチンを終了する。
【０２７３】
次に、ストレージ装置１０が実行する消去処理の手順の一例を説明する。図１２は、消去処理の手順の一例を示す、フローチャートである。
【０２７４】
まず、消去部１０Ｄは、第１生成部１０Ｂから消去可能通知を受付けたか否かを判断する（ステップＳ６００）。ステップＳ６００で否定判断すると（ステップＳ６００：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ６００で肯定判断すると（ステップＳ６００：Ｙｅｓ）、ステップＳ６０２へ進む。
【０２７５】
ステップＳ６０２では、消去部１０Ｄは、消去処理を行うか否かを判断する（ステップＳ６０２）。例えば、消去部１０Ｄは、所定の条件を満たすか否かを判別することで、ステップＳ６０２の判断を行う。消去部１０Ｄは、現在行われている読出処理や書込処理の性能を下げないタイミングの場合、所定の条件を満たすと判別する。所定の条件は、例えば、“消去許可”となっている物理領域情報が一定数以上、などである。なお、本フローチャートにおいて、ストレージ装置１０は、ステップＳ６００の処理を省略し、ステップＳ６０２〜ステップＳ６１２の処理を、繰返し実行してもよい。
【０２７６】
ステップＳ６０２で肯定判断すると（ステップＳ６０２：Ｙｅｓ）、ステップＳ６０４へ進む。ステップＳ６０２で否定判断すると（ステップＳ６０２：Ｎｏ）、本ルーチンを終了する。
【０２７７】
ステップＳ６０４では、消去部１０Ｄは、ステータス“消去待”の物理領域情報が有るか否かを判断する（ステップＳ６０４）。消去部１０Ｄは、ステータス“消去待”の物理領域情報が、物理領域管理ＤＢ３０Ｆ（図３（Ｂ）参照）にあるか否かを判別することで、ステップＳ６０４の判断を行う。
【０２７８】
ステップＳ６０４で否定判断すると（ステップＳ６０４：Ｎｏ）、本ルーチンを終了する。一方、ステップＳ６０４で肯定判断すると（ステップＳ６０４：Ｙｅｓ）、消去部１０Ｄは、ステータス“消去待”の物理領域ごとに、ステップＳ６０４〜ステップＳ６１２の処理を繰返す。
【０２７９】
まず、消去部１０Ｄは、ステータス“消去待”の物理領域情報について、消去管理ＤＢ３０Ｈ（図４参照）における対応する消去可否情報が“消去許可”を示すか否かを判断する（ステップＳ６０６）。ステップＳ６０６で否定判断すると（ステップＳ６０６：Ｎｏ）、当該繰返処理を終了する。一方、ステップＳ６０６で肯定判断すると（ステップＳ６０６：Ｙｅｓ）、ステップＳ６０８へ進む。
【０２８０】
ステップＳ６０８では、消去部１０Ｄは、データ記憶部３０Ａにおける、該物理領域情報に示される物理領域に記憶されているデータを消去する（ステップＳ６０８）。
【０２８１】
次に、消去部１０Ｄは、物理領域管理ＤＢ３０Ｆにおける、消去した物理領域を示す物理領域情報に対応する消去回数を、“１”カウントアップする（ステップＳ６１０）。次に、消去部１０Ｄは、物理領域管理ＤＢ３０Ｆにおける、消去した物理領域を示す物理領域情報に対応するステータスを“消去済”に変更する（ステップＳ６１２）。
【０２８２】
そして、消去部１０Ｄは、ステータス“消去待”の物理領域の各々について、ステップＳ６０４〜ステップＳ６１２の処理を繰返した後に、本ルーチンを終了する。
【０２８３】
次に、サーバ装置２０が実行する情報処理の手順を説明する。図１３は、サーバ装置２０が実行する情報処理の手順の一例を示す、フローチャートである。
【０２８４】
まず、サーバ装置２０の受信部２４Ａが、ストレージ装置１０から書込済情報を受信したか否かを判断する（ステップＳ４００）。ステップＳ４００で否定判断すると（ステップＳ４００：Ｎｏ）、後述するステップＳ４１４へ進む。ステップＳ４００で肯定判断すると（ステップＳ４００：Ｙｅｓ）、ステップＳ４０２へ進む。
【０２８５】
ステップＳ４０２では、受信部２４Ａは、ステップＳ４００で受信した書込済情報に含まれる、書込済情報の送信回数が、ストレージ装置２２で管理されている対応する送信回数と一致するか否かを判断する（ステップＳ４０２）。
【０２８６】
ステップＳ４０２で否定判断すると（ステップＳ４０２：Ｎｏ）、ステップＳ４２８へ進む。ステップＳ４２８では、第２送信部２４Ｃが、攻撃や改竄の可能性を示すエラー情報を、ネットワークインタフェースコントローラ２６を介して、外部装置、出力装置、ストレージ装置１０などへ出力する（ステップＳ４２８）。出力装置は、例えば、表示装置、スピーカである。外部装置は、例えば、管理者の操作する装置である。そして、本ルーチンを終了する。
【０２８７】
一方、ステップＳ４０２で肯定判断すると（ステップＳ４０２：Ｙｅｓ）、ステップＳ４０４へ進む。
【０２８８】
ステップＳ４０４では、受信部２４Ａは、ステップＳ４００で受信した書込済情報を、ストレージ装置２２のデータ記憶部４０Ａへ記憶する（ステップＳ４０４）。すなわち、受信部２４Ａは、該書込済情報の送信元のストレージ装置１０のストレージＩＤに対応する書込済管理ＤＢ４０Ｃに、該書込済情報を受信した時刻と、該書込済情報に含まれる物理領域情報およびデータと、を対応づけて登録する。
【０２８９】
次に、第２生成部２４Ｂが、ステップＳ４００で受信した書込済情報の送信元のストレージ装置１０のストレージＩＤに対応する共有符号を、共有符号管理ＤＢ４０Ｅ（図７参照）から読取る（ステップＳ４０６）。
【０２９０】
次に、第２生成部２４Ｂは、ステップＳ４００で受信した書込済情報に含まれるデータ（特定データ）と、ステップＳ４０６で読取った共有符号と送信回数を含む第１認証情報と、を用いて、予め定めた特定のアルゴリズムで、第１消去符号を生成する（ステップＳ４０８）。
【０２９１】
次に、第２送信部２４Ｃは、ステップＳ４０８で生成した第１消去符号と、ステップＳ４００で受信した書込済情報に含まれる物理領域情報と、を含む消去許可通知を、該書込済情報の送信元のストレージ装置１０へ送信する（ステップＳ４１０）。
【０２９２】
次に、第２送信部２４Ｃは、認証情報記憶部４０Ｂにおける、ステップＳ４１０で消去許可通知を送信したストレージ装置１０のストレージＩＤに対応する第３送信管理ＤＢ４０Ｆの、該消去許可通知に含まれる物理領域情報に対応する送信回数を、“１”カウントアップする（ステップＳ４１２）。そして、ステップＳ４１４へ進む。
【０２９３】
ステップＳ４１４では、受信部２４Ａが、対応関係更新情報をストレージ装置１０から受信したか否かを判断する（ステップＳ４１４）。ステップＳ４１４で否定判断すると（ステップＳ４１４：Ｎｏ）、本ルーチンを終了する。ステップＳ４１４で肯定判断すると（ステップＳ４１４：Ｙｅｓ）、ステップＳ４１６へ進む。
【０２９４】
ステップＳ４１６では、受信部２４Ａが、ステップＳ４１４で受信した対応関係更新情報に含まれる、対応関係更新情報の送信回数が、ストレージ装置２２で管理されている対応する送信回数と一致するか否かを判断する（ステップＳ４１６）。ステップＳ４１６で否定判断すると（ステップＳ４１６：Ｎｏ）、上記ステップＳ４２８へ進む。一方、ステップＳ４１６で肯定判断すると（ステップＳ４１６：Ｙｅｓ）、ステップＳ４１８へ進む。
【０２９５】
ステップＳ４１８では、受信部２４Ａは、ステップＳ４１４で受信した対応関係更新情報を、ストレージ装置２２のデータ記憶部４０Ａへ記憶する（ステップＳ４１８）。受信部２４Ａは、ステップＳ４１４で受信した対応関係更新情報の送信元のストレージ装置１０のストレージＩＤに対応する対応関係管理ＤＢ４０Ｄに、該対応関係更新情報を受信した時刻と、該対応関係更新情報に含まれる論理領域情報および物理領域情報と、を対応づけて登録する。
【０２９６】
次に、第２生成部２４Ｂは、ステップＳ４１４で受信した対応関係更新情報の送信元のストレージ装置１０のストレージＩＤに対応する共有符号を、共有符号管理ＤＢ４０Ｅ（図７参照）から読取る（ステップＳ４２０）。
【０２９７】
次に、第２生成部２４Ｂは、ステップＳ４１４で受信した対応関係更新情報に含まれる物理領域情報と、ステップＳ４２０で読取った共有符号と送信回数を含む第２認証情報と、から、第１書換符号を生成する（ステップＳ４２２）。
【０２９８】
次に、第２送信部２４Ｃが、ステップＳ４２２で生成された第１書換符号と、ステップＳ４１４で受信した対応関係更新情報に含まれる論理領域情報と、を含む書換許可通知を、該対応関係更新情報の送信元のストレージ装置１０へ送信する（ステップＳ４２４）。
【０２９９】
次に、第２生成部２４Ｂは、第４送信管理ＤＢ４０Ｇの、該書込指示情報に含まれる論理領域情報に対応する送信回数を、“１”カウントアップする（ステップＳ４２６）。この第４送信管理ＤＢ４０Ｇは、認証情報記憶部４０Ｂにおける、ステップＳ４２４の書換許可通知の送信先のストレージ装置１０のストレージＩＤに対応する第４送信管理ＤＢ４０Ｇである。そして、本ルーチンを終了する。
【０３００】
以上説明したように、本実施の形態のストレージ装置１０は、取得部１０Ａと、第１生成部１０Ｂと、消去部１０Ｄと、を備える。取得部１０Ａは、消去許可通知を取得する。消去許可通知は、第１消去符号と、物理領域情報と、を含む。第１消去符号は、特定データを消去するための符号であって、特定データと、特定データを認証するための第１認証情報と、から生成された符号である。物理領域情報は、特定データの物理領域を示す。第１生成部１０Ｂは、物理領域情報に示される物理領域に記憶されている特定データと、第１認証情報と、を用いて第２消去符号を生成する。消去部１０Ｄは、第１消去符号と第２消去符号とが対応する場合、物理領域情報に示される物理領域に記憶されているデータを消去する。
【０３０１】
このように、本実施の形態のストレージ装置１０は、ストレージ装置１０の消去対象の物理領域に記憶されている特定データと第１認証情報とから生成した第２消去符号と、サーバ装置２０から取得した第１消去符号と、が対応する場合、該物理領域に記憶されているデータを消去する。すなわち、ストレージ装置１０は、データ消去に、外部から取得した消去許可通知を必要とする。そして、ストレージ装置１０は、消去許可通知に含まれる第１消去符号と、ストレージ装置１０側で生成した第２消去符号と、が対応する場合に、消去許可通知に示される特定データをストレージ装置１０から消去する。
【０３０２】
このため、本実施の形態のストレージ装置１０は、車両２のホストプロセッサ１４で実行されるプログラムの脆弱性等によって、ストレージ装置１０に記憶されているデータの誤更新や誤消去がなされることを抑制することができる。
【０３０３】
従って、本実施の形態のストレージ装置１０は、ストレージ装置１０のデータの保全を図ることができる。
【０３０４】
また、サーバ装置２０は、ストレージ装置１０から受付けた書込済情報や対応関係更新情報を記憶する。そして、サーバ装置２０は、記憶した書込済情報および対応関係更新情報に応じて、消去許可通知や書換許可通知をストレージ装置１０へ送信する。
【０３０５】
このように、ストレージ装置１０のデータは、サーバ装置２０にアップロードされ、データの保全を図ることができる。
【０３０６】
（変形例）
なお、車両２（ストレージ装置１０）とサーバ装置２０との通信路は、ＴＬＳ（Ｔｒａｎｓｐｏｒｔ  Ｌａｙｅｒ  Ｓｅｃｕｒｉｔｙ）によって暗号化されていてもよい。また、サーバの認証を行う場合、予め認証機関にてサーバ証明書を認証しておく。そして、サーバ装置２０の認証情報記憶部４０Ｂは、更に、サーバ証明書とサーバ秘密鍵を記憶する。ストレージ装置１０の認証情報記憶部３０Ｄは、更に、ルート証明書を予め記憶すればよい。また、更に、同様にしてクライアント証明書を用いることで、クライアントの認証を行ってもよい。
【０３０７】
なお、上記実施の形態では、物理領域は、物理ブロックを示し、物理領域情報は物理ブロック番号を示す場合を、一例として説明した。また、上記実施の形態では、論理領域情報は論理ブロック番号を示す場合を、一例として説明した。
【０３０８】
このため、上記実施の形態では、ＮＡＮＤフラッシュメモリの消去単位であるブロック単位で、ブロックの消去および対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）の書換えを許可する例を示した。
【０３０９】
しかし、上述したように、物理領域は、物理ページを示し、物理領域情報は、物理ページ番号を示してもよい。この場合、ＮＡＮＤフラッシュメモリの書込・読出単位であるページ単位で、消去および対応関係管理ＤＢ３０Ｅ（図３（Ｂ）参照）の書換えを管理することができる。なお、ページ単位で管理する場合には、ブロック単位での消去を行うために、“消去許可”に設定されたページが集まるようにデータを移動させ、ブロックの消去を行うようにしてもよい。このデータの移動の情報も、対応関係更新情報として送信するようにしてもよい。
【０３１０】
また、上記実施の形態では、対応関係管理ＤＢ３０Ｅを、ストレージ装置１０内で管理する形態を示した。しかし、対応関係管理ＤＢ３０Ｅは、Ｏｐｅｎ  Ｃｈａｎｎｅｌ  ＳＳＤのように、ホストプロセッサ１４側で管理してもよい。
【０３１１】
また、上記実施の形態では、１台の車両２に１台のストレージ装置１０を備えた形態を示した。しかし、１台の車両２に、複数台のストレージ装置１０を備えた形態であってもよい。この場合、ストレージシステム１では、ストレージ装置１０のストレージＩＤごとに、各情報を管理すればよい。
【０３１２】
また、上記実施の形態では、ストレージ装置１０全体に対して、消去および書換の制御を行った。しかし、ストレージ装置１０の一部に対して、消去および書換の制御を行ってもよい。
【０３１３】
また、上記実施の形態では、ストレージ装置１０は、書込済情報および対応関係更新情報の双方を、サーバ装置２０へ送信する形態を説明した。しかし、ストレージ装置１０は、書込済情報および対応関係更新情報の一方を、サーバ装置２０へ送信してもよい。
【０３１４】
例えば、ストレージ装置１０において、データの書込が、シーケンシャルにしか発生しない場合がある。例えば、ログデータの書込みの場合には、データの書込みは、シーケンシャルにしか発生しない。このような場合、論理ブロック番号などの論理領域情報は、単純増加するだけである。よって、この場合、ストレージ装置１０は、書込済情報のみを、サーバ装置２０へ送信してもよい。
【０３１５】
また、上記実施の形態では、第１生成部１０Ｂは、消去許可通知や書換許可通知を受信した際に、特定データと、第１認証情報と、を用いて、第２消去符号や第２書換符号を生成したが、書込済情報や対応関係更新情報を生成する際に、予め第２消去符号や第２書換符号を生成して記憶しておき、消去許可通知や書換許可通知を受信した際に、これを用いて符号の対応を判断してもよい。
【０３１６】
（ハードウェア構成）
次に、上記実施の形態のストレージ装置１０のハードウェア構成の一例を説明する。図１４は、上記実施の形態のストレージ装置１０のハードウェア構成図の一例である。
【０３１７】
上記実施の形態のストレージ装置１０は、ＣＰＵ８６などの制御装置と、ＲＯＭ（Ｒｅａｄ  Ｏｎｌｙ  Ｍｅｍｏｒｙ）８８やＲＡＭ（Ｒａｎｄｏｍ  Ａｃｃｅｓｓ  Ｍｅｍｏｒｙ）９０やＮＡＮＤフラッシュメモリ９２と、ホストプロセッサ１４とストレージ装置１０とのインタフェースであるＩ／Ｆ部８２と、各部を接続するバス９６とを備えたハードウェア構成となっている。例えば、Ｉ／Ｆ部はホストプロセッサ１４に対してＮＶＭ  Ｅｘｐｒｅｓｓなどのインタフェースを提供する。また、ＮＡＮＤフラッシュメモリ９２は、Ｔｏｇｇｌｅ  ＤＤＲ等のインタフェースで接続される。
【０３１８】
上記実施の形態のストレージ装置１０では、ＣＰＵ８６が、ＲＯＭ８８からプログラムをＲＡＭ９０上に読み出して実行することにより、上記各部がストレージ装置１０上で実現される。ＮＡＮＤフラッシュメモリ９２を除く部分は、ストレージコントローラ、特にＳＳＤの場合はＳＳＤコントローラとも呼ばれる。
【０３１９】
なお、上記実施の形態のストレージ装置１０で実行される上記各処理を実行するためのプログラム（ファームウェア）は、ＮＡＮＤフラッシュメモリ９２に記憶されていてもよい。また、上記実施の形態のストレージ装置１０で実行される上記各処理を実行するためのプログラム（ファームウェア）は、ＲＯＭ８８に予め組み込まれて提供されていてもよい。
【０３２０】
また、上記実施の形態の車両２、ストレージ装置１０およびサーバ装置２０で実行される上記処理を実行するためのプログラムは、インストール可能な形式または実行可能な形式のファイルでＣＤ−ＲＯＭ、ＣＤ−Ｒ、メモリカード、ＤＶＤ（Ｄｉｇｉｔａｌ  Ｖｅｒｓａｔｉｌｅ  Ｄｉｓｋ）、フレキシブルディスク（ＦＤ）等のコンピュータで読み取り可能な記憶媒体に記憶されてコンピュータプログラムプロダクトとして提供されるようにしてもよい。また、上記実施の形態の車両２、ストレージ装置１０およびサーバ装置２０で実行される上記処理を実行するためのプログラムを、インターネットなどのネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するようにしてもよい。また、上記実施の形態の車両２、ストレージ装置１０およびサーバ装置２０で実行される上記処理を実行するためのプログラムを、インターネットなどのネットワーク経由で提供または配布するようにしてもよい。
【０３２１】
なお、上記には、本発明の実施の形態および変形例を説明したが、上記実施の形態および変形例は、例として提示したものであり、発明の範囲を限定することは意図していない。この新規な実施の形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。この実施の形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【０３２２】
１  ストレージシステム
１０  ストレージ装置
１０Ａ  取得部
１０Ｂ  第１生成部
１０Ｃ  変更部
１０Ｄ  消去部
１０Ｆ  書込部
２０  サーバ装置
２４Ｂ  第２生成部
２４Ｃ  第２送信部
【図１】
2019053416.tif 000003
【図２】
2019053416.tif 000004
【図３】
2019053416.tif 000005
【図４】
2019053416.tif 000006
【図５】
2019053416.tif 000007
【図６】
2019053416.tif 000008
【図７】
2019053416.tif 000009
【図８】
2019053416.tif 000010
【図９】
2019053416.tif 000011
【図１０】
2019053416.tif 000012
【図１１】
2019053416.tif 000013
【図１２】
2019053416.tif 000014
【図１３】
2019053416.tif 000015
【図１４】
2019053416.tif 000016