CN100557716C

CN100557716C - 半导体存储卡及其控制方法

Info

Publication number: CN100557716C
Application number: CNB2006101063499A
Authority: CN
Inventors: 广田照人; 馆林诚; 汤川泰平; 南贤尚; 小塚雅之
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 1999-04-27
Filing date: 2000-04-10
Publication date: 2009-11-04
Anticipated expiration: 2020-04-10
Also published as: CN1905073A

Abstract

一种半导体存储器卡包括控制IC(302)，闪存(303)，和ROM(304)。ROM(304)保存如对每个半导体存储器卡是唯一的介质ID的信息。闪存(303)包括一个验证存储器(332)和一个非验证存储器(331)。验证存储器只能由已被确认验证的外部设备访问。非验证存储器331能够由被确认或未被确认的外部设备访问。控制IC(302)包括控制单元(325)和(326)，验证单元(321)等。控制单元(325)和(326)分别控制对验证存储器(332)和非验证存储器(331)的访问。验证单元(321)与外部设备执行相互验证。

Description

半导体存储卡及其控制方法

本发明申请是本发明申请人于2000年4月10日提交的、申请号为00801208.3、发明名称为“半导体存储卡和数据读取装置”的发明申请的分案申请。

技术领域

本发明涉及存储数字内容的半导体存储卡，以及从半导体存储卡读取数字内容的数据读取装置。更具体地说，本发明涉及半导体存储卡以及适用于数字内容版权保护的数字读取装置。

背景技术

多媒体网络技术已经发展到通过通信网络如因特网传播数字内容，比如音乐内容。这使得坐在家中访问来自世界各地提供的各种音乐成为可能。比如说，音乐内容可以下载到个人计算机(下文中称作PC)，再存储到装在PC内的半导体存储卡上。半导体存储卡也可以从PC取出，装到便携式音乐播放器上。这样，人们就可以一边走路一边听音乐了。半导体存储卡的体积小，重量轻，其内含有一块非易失性的大容量半导体存储器(如闪存储器)。

在这样的音乐传播中，存储在半导体存储卡内的数字内容需要事先使用密钥等进行加密，以防止数字内容的非授权拷贝。也需要一种装置，使多数商用PC机上标准设备的文件管理软件程序不能将数字内容拷贝到其它存储媒体上。

一种防止非授权拷贝的可能的方法中，只有专用软件程序才能访问半导体存储卡。比如，当PC与半导体存储卡之间的验证处理已经肯定地完成了，PC就获准访问半导体存储卡；如果由于缺少专用软件程序，PC与半导体存储卡之间的验证处理未肯定地完成，就不准PC访问半导体存储卡。

但是，上述方法中，PC机总需要专用软件程序访问半导体存储卡，用户不能通过半导体存储卡自由地进行数据交换。这样，上述方法就失去了半导体存储卡的方便性，也就是，失去了一个优点：商用PC机上标准设备的文件管理软件程序可以用访问半导体存储卡。

只能被专用软件程序访问半导体存储卡作为存储数字内容的存储媒体是很好的，因为这种半导体存储卡具有数字内容的版权保护功能。但是，存在这样一个问题：半导体存储卡不能用作普通用途计算机***中的辅助存储装置。

发明内容

因此，本发明的一个目的是提供一种半导体存储卡，它既可以用作存储数字内容的存储媒体，又可以用作存储普通用途计算机数据(非版权保护目的)的存储媒体，以及提供从存储媒体中读取数据的装置。

上述目的的实现是由可以在电子设备中使用和从电子设备中移除的半导体存储卡来完成的，它包括：可重写非易失性存储器；控制电路，由电子设备控制访问可重写非易失性存储器内的验证区域和非验证区域，其中的控制电路包括：非验证区域控制访问单元，由电子设备控制访问控制非验证区域；验证单元，它执行验证处理，检查电子设备是否合适，以及当电子设备合适时肯定地验证电子设备；和验证区域访问控制单元，它只有在验证单元肯定地验证了电子设备后才允许电子设备访问验证区域。

使用上述结构，需要版权保护的数据可以存储在验证区域，其它数据可以存储在非验证区域，这样就使得这种半导体存储卡可能存储需要版权保护的数字内容和其它数据两者。

在上述的半导体存储卡中，验证单元可以生成反映验证处理结果的密钥，以及验证区域访问控制单元解密使用密钥加密了的指令，密钥是由验证单元产生的，按照解密后的指令控制电子设备访问验证区域，加密的指令从电子装置送出。

使用上述结构，即使半导体存储卡与电子设备之间的通信被非法截取了，访问验证区域的指令也已经加密，反映事先验证的结果。因此，这种半导体存储卡具有可靠的功能以保护验证区域使之免于非法访问。

在上述的半导体存储卡中，验证单元可以对电子设备执行质询-应答式相互验证，以及从质询数据和应答数据生成密钥，质询数据被送至电子设备去检查电子设备是否合适；生成的应答数据表明验证单元是适当的。

使用上述结构，只有当二装置都相互肯定地验证了，密钥才能为半导体存储卡和电子设备所共享。而且，每一次验证密钥都是变化的。由于不使用密钥就无法访问验证区域，这样，验证区域的安全性得以提高。

在上述的半导体存储卡中，从电子设备送来的加密的指令可以包括标记字段和地址字段，标记字段没有加密，规定访问的验证区域的类型；地址字段被加密，规定将要访问的区域的地址，其中验证区域访问控制单元使用密钥解密地址字段，并控制电子设备访问验证区域，这样，在标记字段规定的类型的访问就在加密的地址字段中的地址所表示的区域内进行。

使用上述的结构，只有指令的地址字段才被加密。这有利于接收指令的半导体存储卡进行指令的解密和解码。

上述的半导体存储卡还可以包括：预存识别数据的识别数据存储电路，预存的识别数据对半导体存储卡是唯一的，能够将该半导体存储卡与其它半导体存储卡区分开来，其中验证单元与电子设备使用存储在识别数据存储电路中的识别数据执行相互验证，并从识别数据中生成密钥。

使用上述结构，在相互的验证处理中，对每个半导体存储卡而言唯一的数据被交换了。这种结构对相互验证的非法解码保持了高水平的安全性。

上述的半导体存储卡还可以包括：调整验证区域和非验证区域大小的区域大小调整电路。

使用上述结构，半导体存储卡可以被动态的使用。也就是说，半导体存储卡可以主要用作数字内容的记录媒体和用作计算机***中的辅助存储装置。

在上述的半导体存储卡中，可以通过将可重写非易失性存储器连续的区域按预定大小划分为两部分而得到验证区域和非验证区域；区域大小调整电路通过改变验证区域和非验证区域之间的边界地址来调整验证区域和非验证区域的大小。

使用上述结构，调整验证区域和非验证区域的大小只需通过移动边界来改变。这减小了电路规模。

在上述的半导体存储卡中，区域大小调整电路可以包括：验证区域转换表，它表明验证区域内逻辑地址与物理地址之间的相互对应关系；非验证区域转换表，它表明非验证区域内逻辑地址与物理地址之间的相互对应关系；以及转换表改变单元，它按照来自电子设备的指令改变验证区域转换表和非验证区域转换表的内容，其中验证区域访问控制单元通过引用验证区域转换表控制电子设备访问验证区域，和非验证区域访问控制单元通过引用非验证区域转换表控制电子设备访问非验证区域。

使用上述结构，可以按照区域大小以及逻辑地址与物理地址之间的关系，来分别管理验证区域和非验证区域，因为这些区域的转换表是独立运行的。

在上述的半导体存储卡中，高物理地址区域和低物理地址的区域二者共同构成预定大小的区域，这两个区域被分别分配给验证区域和非验证区域，非验证区域转换表表明按升序排列的逻辑地址与按升序排列的物理地址之间的相互对应关系，验证区域转换表表明按升序排列的逻辑地址与按降序排列的物理地址之间的相互对应关系。

使用上述结构，能够使逻辑地址按升序使用，区域大小可以很容易地改变，这是由于使用验证区域和非验证区域边界附近区域的可能性变小了。这也减少了移动边界所要求转移和存储的数据的可能性，使得区域大小改变变得简化了。

上述的半导体存储卡还可以包括：预存数据的只读存储器电路。

使用上述结构，通过把半导体存储卡的识别数据存储到专用存储器以及根据识别数据的识别结果来存储数字内容，版权保护功能得以加强。

在上述的半导体存储卡中，每个验证区域和非验证区域可以包括：电子设备能够读出或写入数据的读/写存储区域；和电子设备只能读出数据不能写入数据的只读存储区域，控制电路还包括：随机数发生器，电子设备每次将数据写入可重写非易失性存储器，随机数发生器就产生一个随机数，每个验证区域访问控制单元和非验证区域访问控制单元使用随机数加密数据，并将加密了的数据写入读/写存储区域，将随机数写入只读存储区域。

使用上述结构，可以通过检查存储在只读存储区域内的随机数的兼容性，来检测非法企图，诸如对读/写存储区域的篡改。这就加强了写数据的安全性。

在上述的半导体存储卡中，控制电路还可以包括：一个转换表，它表明在每个验证区域和非验证区域内逻辑地址与物理地址之间的相互对应关系；和一个转换表改变电路，它按照来自电子设备的指令改变转换表的内容，和验证区域访问控制单元和非验证区域访问控制单元通过引用转换表控制电子设备访问验证区域和非验证区域。

使用上述结构，即使构成同一个文件的多个逻辑块是破碎的，这些逻辑块也能容易地变为逻辑上连续的。这提高了访问同一文件的速度。

在上述的半导体存储卡中，控制电路还包括：加密/解密单元，它加密写入验证区域和非验证区域的数据以及解密从验证区域和非验证区域读出的数据。

使用上述结构，可以防止验证区域和非验证区域受到非法攻击如损坏半导体存储卡和直接读取这些区域的内容。

在上述的半导体存储卡中，非易失性存储器可以是闪存储器，并且控制电路还包括：未删除列表读取单元，它按照来自电子设备的指令，识别在验证区域和非验证区域内的未删除区域，并将表示未删除区域的信息送给电子设备。

使用上述结构，电子设备能够识别未删除区域，并在闪存储器被重写前删除识别过的未删除区域。

在上述的半导体存储卡中，验证单元可以要求电子设备的用户在验证处理过程中输入用户密钥，密钥是用户的唯一信息，控制电路还包括：存储用户密钥的用户密钥存储单元；识别信息存储单元，它存储识别电子设备已经由验证单元确认验证过的识别信息；以及用户密钥请求阻止单元，它在验证单元开始验证处理后从目标电子设备获取识别信息，检查从目标电子设备获取的该识别信息是否已经存储在识别信息存储单元，当从目标电子设备获取的识别信息已经存储到识别信息存储单元内时，阻止验证单元请求电子设备的用户输入用户密钥。

使用上述结构，用户不必每次访问半导体存储卡都必须输入口令和个人数据。这可以防止个人数据被非法截取和使用的发生。

上述目标的实现是通过从上述半导体存储卡读取数字内容的数据读取装置来完成的，数字内容已经存储在半导体存储卡的非验证区域内，而表示数字内容允许被读取次数的信息预存在验证区域内，数据读取装置包括：判断装置，当需要从非验证区域读取数字内容时，从验证区域读取表示允许被读出的数字内容的次数的信息并根据该信息所表示的读取次数判断数字内容能否读出；再现装置，只有当判断装置判定数字内容可以读取时才从非验证区域读取数字内容，并减少数字内容可读取的次数，数字内容可读取的次数信息存储在验证区域内。

使用上述结构，可以限制数字内容从半导体存储卡被读取的次数。这使得本发明可应用于收费的、租借的音乐内容。

上述目的还可由一种数据读取装置实现，该数据读取装置从上述半导体存储卡读出数字内容，并将读出的数字内容再现为模拟信号，可以再现为模拟信号的数字内容存储在半导体存储卡的非验证区域，表示数字内容允许由电子设备数字输出次数的信息存储在验证区域，数据读取装置包括：再现装置，从非验证区域读取数字内容并将数字内容再现为模拟信号；判断装置，读出表示数字内容允许由电子设备数字输出次数的信息，并根据此次数判定数字内容是否可以数字化输出；数字输出装置，只有当判断装置判定数字内容能够数字化输出时才数字化输出数字内容，并减少数字内容可读取的次数，数字内容允许输出的次数信息存储在验证区域内。

如前所述，本发明是一种半导体存储卡，它具有灵活的功能：既可以作为存储数字内容的记录媒体，又可以当作计算机的辅助存储装置。本发明对于电子音乐数字内容的健康传播方式是特别安全的。它在实际应中是很有价值的。

根据本发明提供一种可以在电子设备中使用和从电子设备中移除的半导体存储卡，包括：

可重写非易失性存储器；和

控制电路，其控制电子设备对可重写非易失性存储器内的验证区域和非验证区域的访问，其中

控制电路包括：

非验证区域访问控制单元，其控制电子设备对非验证区域的访问；

验证单元，其执行验证处理以检查电子设备是否具有访问半导体存储卡的权限，当电子设备具有访问半导体存储卡的权限时确认验证电子设备；和

验证区域访问控制单元，只有当验证单元确认验证了电子设备时其才允许电子设备访问验证区域，其中

通过将可再写非易失性存储器中预定大小的连续区域分成两块，生成了验证区域和非验证区域，以及

半导体存储卡进一步包括：

用于保存关于验证区域与非验证区域之间的边界的信息的装置；和

区域大小改变电路，其改变验证区域和非验证区域的大小，其中

在删除可重写非易失性存储器中存储区域的所有内容之后，区域大小改变电路通过改变关于边界的信息来改变验证区域和非验证区域的大小，以及

验证区域访问控制单元和非验证区域访问控制单元通过引用关于边界的信息来控制电子设备对验证区域和非验证区域的访问。

根据本发明，还提供一种用于控制可以在电子设备中使用和从电子设备中移除的半导体存储卡的方法，该半导体存储卡包括：

可重写非易失性存储器；和

用于保存关于验证区域与非验证区域之间的边界的信息的装置，所述验证区域与非验证区域是通过将可再写非易失性存储器中预定大小的连续存储区域分成两块而生成的；和

控制电路，其控制电子设备对验证区域和非验证区域的访问，

该控制方法包括以下步骤：

非验证区域访问控制步骤：控制电子设备对非验证区域的访问；

验证区域访问控制步骤：只有在通过验证处理已经确定电子设备具有访问验证区域的权限时才允许电子设备访问验证区域；以及

区域大小重新定义步骤：在删除可重写非易失性存储器中连续存储区域的所有内容之后，通过改变关于边界的信息来改变验证区域和非验证区域的大小，其中

验证区域访问控制步骤和非验证区域访问控制步骤通过引用关于边界的信息来控制电子设备对验证区域和非验证区域的访问。

附图说明

图1示出了作为本发明实施方案的，涉及到电子音乐传播的PC的外形图，并示出了可装入PC也可从PC移除的半导体存储卡的外形图。

图2示出了将半导体存储卡用作记录媒体的便携式播放器的外形图。

图3，图示PC的硬件结构框图。

图4，图示播放器的硬件结构框图。

图5，图示半导体存储卡的外形和硬件结构。

图6，图示可以被PC和播放器识别出的半导体存储卡内的各种存储区域。

图7A，7B，和7C示出了PC或播放器访问半导体存储卡内的一个区域时限制和指令格式。图7A，图示访问每个区域要遵从的规则。图7B示出了改变每个区域大小要遵从的规则。图7C，是一个表示半导体存储卡内区域的略图。

图8，是一个流程图示出了PC(或播放器)将音乐内容等写入半导体存储卡的步骤。

图9，是一流程图示出了从半导体存储卡读出音乐内容等并通过播放器(或PC)播放的步骤。

图10，是一操作流程图示出了播放器(或PC)处理存储在半导体存储卡的验证区域内的读取次数的操作。

图11，是一操作流程图示出了播放器(或PC)处理存储在半导体存储卡的验证区域内的允许数字化输出次数的操作。

图12示出了半导体存储卡的验证区域和非验证区域共同的数据结构，同时示出了相应数据结构读/写处理的流程图。

图13A到13D示出了逻辑地址与物理地址之间关系的改变。图13A示出了改变前的关系。图13B示出了改变后的关系。图13C示出了对应图A的转换表。图13D示出了对应图B的转换表。

图14A到14D示出了涉及半导体存储卡中未删除块的功能。图14A，图示逻辑块和物理块的使用状态。图14B示出了对应图14A中示出的块的使用状态的未删除块列表。图14C是一流程图，示出了在使用未删除块列表指令和删除指令前PC或播放器删除块的步骤。图14D是一个逻辑块使用状态表。

图15示出了播放器和半导体存储卡之间在验证时的通信顺序，并示出了在验证时使用的主要部件。

图16示出了在本发明的存储卡和外部装置之间的各种验证的通信顺序。

图17示出了图16示出的相互验证的详细步骤的通信顺序。

图18A到图18C示出了半导体存储卡的验证区域和非验证区域之间的边界改变之前的状态。图18A是一个存储器示意图示出了闪存储器内物理地址结构。图18B示出了非验证区域专用的转换表。图18C示出了验证区域专用的转换表。

图19A到图19C示出了半导体存储卡的验证区域和非验证区域之间的边界改变之后的状态。图19A是一个存储器示意图示出了闪存储器内物理地址结构。图19B示出了非验证区域专用的转换表。图19C示出了验证区域专用的转换表。

具体实施方式

下面将接结合附图描述本发明的实施方案。

图1是一个示意略图示出了通过通信网络下载数字内容如音乐内容的PC，以及可以装入PC和可以从PC移除的半导体存储卡(下文中称为存储卡)。

一台PC 102包括显示器103、键盘104和扬声器106，并通过嵌入PC 102中的调制解调器而连接到通信线101。存储器卡写入器107已经***PC 102的卡槽(存储卡写入器插槽105)。存储卡写入器插槽105是基于PCMCIA(个人计算机存储卡国际协会)标准等。存储卡写入器107是电气连接PC 102和存储卡109的适配器。存储卡109***存储卡写入器107的存储卡插槽108。

用户使用以上***和按下面的步骤，从网络上内容提供商处获取音乐数据。

首先，用户通过通信线101将期望的音乐内容下载到PC 102的硬盘上。但是，由于音乐内容加了密，所以要求用户执行一定的步骤才能播放PC 102上获得的音乐内容。

为了播放获得的音乐内容，用户必须事先使用***等向内容提供商付费。用户付费时，用户从内容提供商处接收口令和权限信息。口令是用户用来解密加密过的音乐内容的密钥。权限信息表示用户被允许在PC上播放音乐内容的各种情况，如允许播放的次数，允许写入存储卡的次数，允许用户播放内容的截止日期。

得到口令和权限信息后，当用户试图在PC 102的扬声器上输出音乐时，就通过键盘104输入口令到PC 102，同时具有版权保护功能的专用应用程序(下文中称为应用程序)在PC 102上运行。之后，应用程序检查权限信息，使用口令解密加密过的音乐内容，播放解密后音乐内容，从扬声器106输出声音。

当权限信息表示允许内容写入存储卡时，应用程序可以将加密的音乐数据、口令和权限信息写入存储卡109。

图2是一个将存储卡109用作存储媒体的便携式拷贝/播放装置(下文中称为播放器)201的示意略图。

在播放器201的上表面，有液晶显示单元202和操作按钮203。在播放器201的前侧，有存储卡插槽206和通信口213，存储卡109***存储卡插槽206，通过USB(通用串行总线)等得到通信口213并连接到PC 102。在播放器201的一侧，有模拟输出端口204，数字输出端口205，和模拟输入端口223。

播放器201，在存储有音乐数据、口令和权限信息的存储卡109装入播放器201后，检查权限信息。当音乐被允许播放时，播放器201读出音乐数据，解密读出的音乐数据，将解密的音乐内容转换为模拟信号，并通过连接到模拟输出端口204的耳机208输出模拟信号声音。播放器201也可以选择输出数字音乐数据到数字输出端口205。

播放器201也可以将模拟声音信号转换为数字信号并将数字信号存储到存储卡109，模拟信号是通过经麦克等到模拟输入端口223输入到播放器201的。播放器也可以通过通信口213从PC 102下载音乐数据、口令、和权限信息，并将下载的信息记录到存储卡109。也就是说，在将音乐数据记录到存储卡109和播放记录在存储卡109上的音乐数据方面，播放器可以代替如图1所示的PC 102和存储卡写入器107。

图3示出了PC 102的硬件结构框图。

PC 102包括CPU 110，预存设备密钥111a和控制程序111b的ROM111，RAM 112，显示器103，含调制解调器口和USB的通信口113，调制解调器口用于连接通信线101，USB用于连接播放器201，键盘104，内部总线114，连接存储卡109和内部总线214的存储卡写入器107，解扰器117，用于解扰从存储卡109读出的加密的音乐数据，AAC解码器118，符合MPEG2-AAC(ISO13818-7)标准用于解码解扰过的音乐数据，D/A转换器119，用于将解码的数字音乐数据转换为模拟声音信号，扬声器106，和存储文件管理软件程序和应用程序的硬盘120。

PC 102可执行以下处理：

(1)通过执行存储在硬盘120内的文件管理软件程序，把存储卡109用作如同硬盘一样具有的独立文件***(如ISO9293)的辅助存储装置，

(2)通过执行存储在硬盘中的专用应用程序，经由通信端口113的调制解调器通信口，从通信线101下载音乐内容等，

(3)相互验证后，将音乐内容等存入存储卡109，和

(4)从存储卡109读出音乐数据并将读出的音乐数据输出到扬声器106。

存储在ROM 111的装置密钥111a是对PC 102唯一的秘密密钥，正如下面将要描述的，用于相互验证等。

图4示出了播放器201的硬件结构框图。

播放器201包括CPU210，预存装置密钥211a和控制程序211b的ROM211，RAM212，液晶显示器单元203，通过用于连接到PC 102的USB等而得到的通信口213，操作按钮202，内部总线214，连接存储卡109和内部总线214的卡I/F单元215，与存储卡109执行相互验证的验证电路216，解扰器217，用于从存储卡109读出的加密的音乐数据的解扰，AAC解码器218，符合MPEG2-AAC(ISO13818-7)标准用于解码已解扰的音乐数据，D/A转换器219，用于将解码的数字音乐数据转换为模拟声音信号，扬声器224，A/D转换器221，用于将从模拟输入端口223输入的模拟声音信号转换为数字音乐数据，AAC编码器220，符合MPEG2-AAC(ISO13818-7)标准用于对数字音乐数据进行编码，扰码器222，用于扰码已编码过的音乐数据，模拟输出端口204，数字输出端口205和模拟输入端口223。

播放器201从ROM211将控制程序211b装入RAM212允许CPU210执行控制程序211b。这样，播放器201就可以从存储卡109读出音乐内容，将读出的音乐内容输出到扬声器224，也可以将音乐内容通过模拟输入端口223和通信端口213输入到存储卡109。也就是说，用户不仅可以象使用普通播放器一样将播放器201用于个人拷贝和播放音乐，还可以拷贝和播放由电子音乐传播***传播的和通过PC 102下载的音乐内容(受版权保护的)。

图5示出了存储卡109的外形和硬件结构。

存储卡109包含可以重复写入数据的可重写非易失性存储器。可重写非易失性存储器的容量为64MB，由3.3V电源驱动并由外部电源提供时钟信号。存储卡109为一个2.1mm厚，24mm宽，32mm长的矩形平行六面体。存储卡109在其侧面有写保护开关，并通过在存储卡109端部的9针连接端子连接到外部装置。

存储卡109含三块IC(集成电路)芯片：控制IC302，闪存储器303，和ROM 304。

闪存储器303是一种高速可擦除、块删除型可重写非易失存储器，并包括逻辑存储区域：验证区域332和非验证区域331。验证区域332只能被已经通过验证的适当装置访问。非验证区域331可以被无论是否通过验证的任何装置访问。在本实施方案中，验证区域332用来存储涉及到版权保护的重要数据，而非验证区域用作普通计算机***中的辅助存储装置。请注意，闪存储器303内的某一地址是用作这两种存储区域的边界。

ROM304包括只读区域并被称作特殊区域的存储区域。特殊区域预存信息包括：作为存储卡109标识符的介质ID 341；存储卡109制造者名称342。注意：介质ID 341对存储卡109是唯一的，将存储卡109与其它半导体存储卡区分开；介质ID 341用于装置之间的相互验证并用于防止对验证区域332的非授权访问。

控制IC302是由有源元件(逻辑门电路等)组成的控制电路，并包括：验证单元321、指令判断控制单元322、主密钥存储控制单元323、特殊区域访问控制单元324、验证区域访问控制单元325、非验证区域访问控制单元326、和加密/解密电路327。

验证单元321是对远程装置试图访问存储卡109进行质询-应答式相互验证的电路。验证单元321包括随机数发生器和加密单元，当确认远程装置与本地装置有同样的加密单元时远程装置被验证通过为适当的装置。注意：在质询-应答式相互验证中，通信的两种装置都要执行如下步骤：本地装置首先将质询数据送给远程装置，远程装置为了证明该远程装置是适当的，通过处理接收到的质询数据产生应答数据，并将生成的应答数据送回本地装置，本地装置通过比较质询数据和应答数据来判断远程装置是否合适。

指令判断控制单元322是一个由解码电路和控制电路构成的控制器。解码电路通过指令引脚识别指令(到存储卡109的指令)输入并执行识别过的指令。指令判断控制单元322根据收到的指令控制部件321到327。

指令判断控制单元322接收的指令不仅包括从闪存储器303读出，写入和删除数据，还包括控制闪存储器303的指令(涉及到地址空间，未删除数据等)。

比如说，关于读/写数据，安全读(SecureRead)地址计数指令和安全写(SecureWrite)地址计数指令定义为访问验证区域332的指令，而读(Read)地址计数指令和写(Write)地址计数指令定义为访问非验证区域331的指令。在上述指令中，″地址″是一串扇区的第一扇区的序列号，由指令扇区读数据或写数据到扇区。″计数(Coun t)″是由指令将读出或写入数据的扇区的总数。″扇区(Sector)″是表示将数据从存储卡109读出或将数据写入存储卡109的数据量的一个单位。在本发明实施方案中，一个扇区是512字节。

主密钥存储单元323预存主密钥323a，主密钥323a由远程装置在相互验证期间使用，用于保护在闪存储器303中的数据。

特殊区域访问控制单元324是用于从特殊区域(ROM)304中读出信息(如介质ID 341)的电路。

验证区域访问控制单元325和非验证区域访问控制单元326是用于分别从验证区域332和非验证区域331读出或写入数据到验证区域332和非验证区域331的电路。单元325和326通过四个数据引脚将数据送到外部装置(PC 102，播放器201等)或从这些外部装置接收数据。

应该注意到，这里的访问控制单元325和326中都含有一个块(32个扇区，或16Kb)大小的缓存区，尽管当闪存储器303被重写时，它以块为单位输入/输出数据，但是从区域332或331输出数据或输入数据到这两个区域时是以扇区为单位的，以此来响应外部装置发出的指令。更具体地，当一个在闪存储器303内的扇区要重写时，访问控制单元325或326从闪存储器303包含的扇区的块中读出数据，立即删除在存储器303内的块，重写缓存器内的扇区，然后将包括重写扇区的数据块写入闪存储器303。

加密/解密电路327是在验证区域访问控制单元325和非验证区域访问控制单元326控制下用存储在主密钥存储单元323内的主密钥来执行加密和解密的电路。加密/解密电路327在数据写到闪存储器303之前先加密数据，在从闪存储器303读出数据之后再解密数据。实施加密和解密是为了防止非法行为如拆卸存储卡109、直接分析闪存储器303内的内容和从验证区域332盗取口令。

应该注意到，这里的控制IC302包括同步电路、易失存储区域、和非易失性存储区域以及主要部件321到327。同步电路产生与时钟引脚提供的时钟信号同步的内部时钟信号，并向每个部件提供所产生的内部时钟信号。

另外，为了保护存储在特殊区域(ROM)304内的信息免于被非授权人员篡改，特殊区域(ROM)可以嵌入控制IC。另外，信息可以存储在闪存储器303内。在这种情形下，特殊区域访问控制单元324可以对写入信息的数据施加限制，或加密/解密电路327可以在信息存入闪存储器303前对信息进行加密。

图6示出了可被PC 102和播放器201识别的存储卡内的各种存储区域。存储卡109中的存储区域划分为三个主要区域：特殊区域304；验证区域332；和非验证区域331。

特殊区域304是只读区域。使用专用指令从特殊区域304读取数据。只有当PC 102或播放器201与存储卡109之间的验证已经肯定时，才能从验证区域332读取数据或写数据到验证区域332。访问验证区域332需要使用加密的指令。非验证区域331可以由通用指令如符合ATA(AT附件)或SCSI(小型计算机***接口)标准的指令访问。也就是说，可以从非验证区域331读数据或将数据写到非验证区域331而无须验证处理。因此，作为PC 102上标准设备的文件软件程序可以用于从非验证区域331读取数据或写数据到非验证区域331，正如用高速ATA(Flash ATA)或闪存。

三个主要区域存储下面示出的各种信息，提供具有普通PC辅助存储装置功能的区域，和提供具有由电子音乐传播***传播的音乐数据版权保护功能的区域。

非验证区域331存储加密的内容426，用户数据427等。加密的内容426是作为版权保护对象的音乐数据并已经加密。用户数据427是与版权保护不相关的普通数据。验证区域332存储加密密钥425，加密密钥425是用于解密存储在非验证区域331内的加密内容426的秘密密钥。特殊区域304存储访问验证区域332所必须的介质ID 341。

PC 102或播放器201首先从装入的存储卡109中的特殊区域304读出介质ID 341，然后使用介质ID 341从验证区域332提取加密密钥425和权限信息。当从权限信息确认存储在非验证区域331内的加密的内容426被允许播放时，用加密密钥425解密后，加密的内容426可以被读出和播放。

在这里，假设用户用PC 102等只将非法获得的音乐数据写入存储卡109内的非验证区域331，然后试图播放来自装在播放器201的存储卡109的音乐数据。在这样的情况下，尽管在存储卡109内的非验证区域331存储了音乐数据，但没有对应音乐数据的加密密钥425和权限信息存储在验证区域332。所以，播放器不能播放音乐数据。使用这种结构，存储卡109内只拷贝了音乐内容而没有授权的加密密钥或权限信息，音乐内容是不能播放的，这样防止了数字内容的非授权拷贝。

图7A，7B，和7C示出了PC 102或播放器201访问存储卡109内的一个区域时的限制和指令格式。图7A，图示访问每个区域要遵从的规则。图7B示出了改变每个区域大小要遵从的规则。图7C是代表存储卡109内区域的略图。

特殊区域304是一个只读区域，能够被专用指令访问而无须验证处理。存储在特殊区域304的介质ID 341用来生成或解密用于访问验证区域332的加密指令。更具体地，PC 102或播放器201读出介质ID 341，加密用于访问验证区域332的指令，并将加密的指令送到存储卡109。一收到加密的指令，存储卡109就使用介质ID 341解密加密的指令，翻译并执行指令。

只有当试图访问存储卡109的装置(如PC 102或播放器201)与存储卡109之间的验证已经确认时，才可以访问验证区域332。验证区域332的大小等于(YYYY+1)个扇区的大小。也就是说，验证区域332在逻辑上由扇区0到扇区YYYY(第YYYY扇区)构成，实际上是由具有第XXXX扇区地址的扇区到具有第(XXXX+YYYY)扇区地址的扇区构成。注意扇区地址是唯一分配给构成闪存储器303的所有扇区的序列号。

非验证区域可以被符合ATA或SCS I标准的标准指令访问。非验证区域331的大小等于XXXX个扇区。也就是说，非验证区域331在逻辑上和实际上由扇区0到第(XXXX-1)扇区构成。

在这里应该注意到，在闪存储器303内，可以预先分配一块替代块区域501。替代块区501是一组可代替的块，可以用来代替验证区域332或非验证区域331内的有缺陷的块(具有不能从中正常读写数据的有缺陷区域的块)。

在本实施方案中，特殊区域304可以不用验证而被访问。但是，为了防止任何人的非法分析，特殊区域可以只被那些已经确认验证的装置访问，也可以加密用于访问特殊区域304的指令。

现在，将结合图7B和图7C来描述验证区域332和非验证区域331的大小的改变。

在闪存储器303内的验证区域332和非验证区域331的总存储容量等于(XXXX+YYYY+1)个扇区的容量，这是从闪存储器303内的所有存储区域减去替代块区域501及其它后得到的一个固定值。区域332和331的大小都是可变的，可以通过改变边界地址值XXXX来改变。

改变区域大小的第一步是执行验证。执行这一验证是为了防止用户使用一种在PC用户中通用的标准设备程序或软件程序试图非法访问来轻易地改变区域大小。验证结束后，使用改变区域大小的专用指令，将非验证区域331的大小(新扇区的数字，XXXX)送到存储卡109。

存储卡109，一收到上述改变区域大小的专用指令，就将值XXXX存储到存储卡109内的非易失性存储区域等，然后使用值XXXX作为新的边界地址控制随后对验证区域332和非验证区域331的访问。更具体地，存储卡109将闪存储器303内的物理扇区0到XXXX扇区分配给非验证区域331，第XXXX扇区到第(XXXX+YYYY)分配给验证区域332。访问控制单元325和326执行逻辑地址与物理地址之间的地址转换，并监视分配的区域外的不适当的访问的产生。这里应该注意到，逻辑地址由外部装置用来寻址存储卡109内的数据空间的，对应指令中指定的地址值，而物理地址是用于寻址存储卡109内的闪存储器303的数据地址空间的。

如果减小边界地址，来增加验证区域332大小，则将需要一个保持地址改变前后逻辑兼容性的措施。为此，所有存储在验证区域332的数据，都向着地址减小的方向移动(拷贝)，所移动(拷贝)的量为(例如)边界地址减小的量。使用这样的措施，物理地址对应于从新的边界地址开始的新的逻辑地址。使用这样的措施，验证区域332的数据空间扩大了，而验证区域332内的存储数据的逻辑地址保持不变。

改变区域大小的专用指令在使用前可以加密，以防止非法访问。

图8是一个流程图示出了PC 102(或播放器201)将音乐数据等写到存储卡109的步骤。在下面的描述中，假设PC 102将音乐数据写入存储卡109(S601)。

(1)PC 102使用装置密钥111a等与存储卡109的验证区域321执行质询-应答式验证，当验证已经确认时，从存储卡109提取主密钥323a(S 602)。

(2)然后，PC 102使用专用指令从存储卡109内的特殊区域304提取介质ID 341(S 603)。

(3)接下来，PC 102生成随机数，从提取的主密钥323a和介质ID 341中生成口令，以此来加密音乐数据(S604)。在上述步骤中，随机数是通过比如对在验证处理过程中送到存储卡109的质询数据(随机数)进行加密来生成的。

(4)生成的口令是用主密钥323a和介质ID 341来加密的，然后将生成的口令作为加密密钥425写入验证区域332(S605)。此时，在数据(加密密钥425)传送之前，将数据写入验证区域332的指令已经加密并被送到了存储卡109。

(5)使用该口令将音乐内容加密并存储到非验证区域(S606)内作为加密后的内容426。

图9是一个流程图示出了从存储卡109读出音乐内容等和用播放器201(或PC 102)播放的步骤。在下面的描述中，假设存储在存储卡109的音乐数据用播放器201播放(S701)。

(1)播放器201使用装置密钥211a等用存储卡109的验证单元321实施质询-应答式验证，并在验证已经确认时从存储卡109提取主密钥323a(S702)。

(2)然后，播放器201使用专用指令从存储卡109内的特殊区域304提取介质ID 341(S703)。

(3)接下来，播放器201从存储卡109内的验证区域332提取加密密钥425(S704)。此时，在数据(加密密钥425)读出之前，从验证区域332读出数据的指令已经加密并被送到存储卡109。

(4)使用主密钥323a和介质ID 341对得到的加密密钥425进行解密以提取口令(S705)。解密步骤是图8中示出的加密步骤的逆过程。

(5)加密的内容426从非验证区域331读出并使用在步骤S 705提取的口令来解密，这时解密的内容如象音乐一样播放出来(S706)。

如前所述，存储在存储卡109内非验证区域的331的音乐内容，在加密密钥425没有存储在验证区域332时，是不能解密的。因此，即使只有音乐内容被非法地拷贝到了其它存储卡，拷贝的音乐数据也不能正常播放。使用这一结构，音乐数据的版权得到了安全地保护。

也如同前面所描述的，只有已经确认验证过的装置才获准访问存储卡内的验证区域。这种结构提供了版权保护，其中，只有满足一定条件的装置才被获准访问存储卡内的验证区域。这一功能是通过选择性地使用用于验证的设备密钥、加密算法等得到的。

在上述示例中，当加密的内容被写入存储卡109时，首先，使用主密钥和介质ID加密用于加密的口令；然后，将加密后的口令作为加密密钥存储在验证区域332(S605)。但是，主密钥和介质ID两者之一可以作为加密口令。这一结构简化了加密并提供了一个好处：尽管加密的强度可能减弱，但减小了存储卡109或播放器102的电路规模。

在上述示例中，只有当验证已经确认时，播放器201和PC 102才能从存储卡109提取主密钥323a。但是，主密钥323a可以事先嵌入播放器201和PC 102。可选择地，主密钥323a可以加密并作为加密的主密钥存储在特殊区域304内。

现在，将描述两个存储卡的验证区域的使用示例。在两个示例中，″读取的次数″和″允许数字输出的次数″分别地存储在验证区域。

图10是一个流程图，它示出了播放器201(或PC 102)处理存储在存储卡109内的验证区域内的读取次数812的操作。在本示例中，

播放器201可以播放存储在存储卡109内非验证区域331内的音乐数据，播放的次数是存储在存储卡109内的读取次数812所表示的次数(S801)。

(1)播放器201使用装置密钥211a等用存储卡109的验证单元321实施质询-应答式验证，并在验证已经确认时从存储卡109提取主密钥323a(S802)。

(2)然后，播放器201使用专用指令从存储卡109内的特殊区域304提取介质ID 341(S 803)。

(3)接下来，播放器201从存储卡109内的验证区域提取音乐数据的加密密钥425(S804)。此时，在数据(加密密钥425)读出之前，从验证区域332读出数据的指令已经加密并被送到了存储卡109。

(4)接下来，播放器201从存储卡109内的验证区域332提取读取次数812，并检查读取次数812(S804)。当读取次数表示为无限制时，播放器201按照图9(S806到S808)中示出的步骤(S704到S706)播放音乐。

(5)当读取次数812为0时，就判断为不再允许读取(S805)，播放终止(S809)。当读取次数812不是0也不是表示无限读取的一个数值时，播放器将次数减1，并将结果写入验证区域332(S805)，然后按照图9(S806到S808)中示出的步骤(S704到S706)播放音乐。

如上所述，通过预存表示音乐可以播放的次数的读取次数812，播放器201可以控制播放器播放音乐的次数。这使得本发明技术能够通过比如租借的CD或信息站终端(为音乐传播连接到通信网络的在线售货机)得到的音乐的模拟再现。

应该注意到，这里可以存储″读取时间″来代替读取次数812，以限制音乐内容播放的总的时间。另外，也可以选择存储读取次数和读取时间相结合的信息。比如，当一段时间后(如10秒)内容还在播放，那么读取次数812就可以减少。又比如，读取次数812可以加密后再存储，以免该信息被篡改。

图11是一个流程图，示出了播放器201(或PC 102)处理存储在存储卡109内的验证区域内的允许数字输出的次数的操作。在本示例中，播放器201能够从存储卡109内的非验证区域331读取音乐数据并输出读取的音乐数据，允许输出的次数即存储在存储卡109内由允许数字输出次数913表示的次数(S901)。

(1)播放器201，如同图9中所示的步骤S701到S705一样，于存储卡109实施验证，以提取主密钥323a(S902)，提取介质ID 341(S903)，提取加密密钥425(S904)，和提取口令(S905)。

(2)然后，播放器201从存储卡109内的验证区域332提取允许数字输出的次数913，并检查允许数字输出的次数913(S906)。当允许数字输出的次数无限制时，播放器从非验证区域331读出加密的内容426，并用在步骤S905提取的口令解密加密的内容426为数字数据，并象音乐数据一样从数字输出端口205输出解密的数字数据(S909)。

(3)当允许数字输出的次数913为0时，就判定为不再允许数字输出(S908)，数据只能模拟输出(S908)。更具体地，加密的内容426是从非验证区域331读出的，使用口令解密内容后播放音乐(S908)。

(4)当允许数字输出的次数913不是0也不是表示无限制数字输出的一个数值时，播放器将次数减1，并将结果写入验证区域332(S907)，然后从非验证区域331读出加密的内容426，使用在步骤S905中提取的口令解密加密的内容426为数字数据，并从数字输出端口205输出解密的数字数据(S909)。

应该注意到，这里可以存储″读出次数″，″允许数字输出的时间″来代替允许数字输出的次数913，以限制音乐内容能够输出的总的时间。另外，也可以选择存储允许数字输出的次数和时间相结合的信息。比如，当一段时间后(如10秒)内容还在输出，就减少允许数字输出的次数913。如其它示例，允许数字输出的次数可以加密后再存储，以免该信息被篡改。

现在说明存储卡109的物理数据结构(扇区和EEC块的结构)。

存储卡109采用这样一种结构：适合于防止涉及到存储在闪存储器303内的数据的备份和恢复的非法行为，以及防止涉及到数据篡改的非法行为。采用这样的数据结构是由于需要对付前述的各种非法操作，其中，″读取次数″或″允许数字输出的次数″被存储在验证区域332，且每一次执行处理，其值要减少。

更具体的，当记录在闪存储器303内的全部数据备份到外部辅助存储装置等以后，音乐就可以被重复地播放。这样做以后，当允许播放操作的次数变为0时，通过恢复备份的数据，又可以重复地播放音乐。同时，通过篡改读取次数，也可以非法地重复地播放音乐。所以，需要采取措施来防止这种非法行为。

图12示出了存储卡109的验证区域332和非验证区域331共同的数据结构，也示出了相应数据结构的读/写处理流程。

在本示例中，由控制IC 302内的验证单元321的随机数发生器103产生的计数器数值被用作时间变量密钥。

为每个闪存储器303内的512字节的扇区1004分配一个16字节的扩展区域1005。每个扇区存储已经使用计数器数值加密的数据。扩展区域1005由ECC数据1006和时间变量区域1007组成。ECC(纠错码)数据1006是8字节数据，作为存储在当前扇区的加密数据的ECC。时间变量区域1007是8字节的，并存储用于产生存储在当前扇区的加密数据的计数器值。

应该注意到，这里扇区1004只能被逻辑地访问(即使用公共指令等)，以及扩展区域1005只能被物理地访问(即由从存储卡读出数据或写数据到存储卡的装置控制)。

使用上述结构，通过比较扇区数据和时间变量区域1007的内容可以防止数据的非法篡改，即使扇区数据被使用指令等篡改了，时间变量区域1007的内容是不能更改的。

更具体的，在扇区1004的单元内，PC 102或播放器201从闪存储器109内的验证区域332或非验证区域331读数据/写数据到以上所述两区域需遵从下面示出的步骤。首先，描述PC 102将数据写到存储卡109的步骤(S1001)。

(1)PC 102请求存储卡109发布计数器数值。响应这一请求，存储卡109内的控制IC302用包含在控制IC302内的随机数发生器1003产生随机数(S1005)，并将生成的随机数作为计数器数值送到PC 102(S1002)。

(2)由已经获得的介质ID 341和主密钥323a和收到的计数器数值生成口令(S1003)。

(3)使用口令加密要写入一个扇区的数据并送到存储卡109(S1004)。和加密的数据一起，(i)规定加密的数据将要写入的扇区的位置的信息，和(ii)将用于加密的计数器数值送到存储卡109。

(4)存储卡109将加密的数据写到规定的扇区1004(S1006)。

(5)由加密的数据运算得到ECC，作为ECC数据的1006被写入扩展区域1005(S1007)。

(6)与加密的数据一起收到的计数器数值被写入时间变量区域1007(S1008)。

接下来，将描述PC 102从存储卡109读取数据的步骤。(S1011)。

(1)通过规定将要读取数据的扇区的位置，PC 102请求存储卡109读取数据。一收到请求，存储卡109首先从规定的扇区1004读出加密的数据，并将读出的数据输出到PC 102(S1016)。PC 102接收加密的数据(S1012)。

(2)然后，存储卡109从对应规定的扇区1004的扩展区域1005内的时间变量区域1007读出计数器数值，并把读出的计数器数值送到PC 102(S 1017)。PC 102接收计数器数值(S1013)。

(3)由已经获得的介质ID 341和主密钥323a和收到的计数器数值生成口令(S1014)。

(4)使用口令解密加密的数据(S1015)。

这里，如果扇区1004内的数据由于篡改等已经改变，那么，将由于从时间变量区域读出的计数器值不匹配而导致解密失败。

如前所述，闪存储器303的时间变量区域1007是一个不能被用户看见(访问)的隐藏区域。数据使用口令加密并存储，口令是用存储在时间变量区域1007的计数器数值生成的。使用这一结构，可以防止数据被用户非法篡改。

在上述示例中，在扩展区域1005内提供了时间变量区域1007以存储ECC。然而，可以在闪存储器303的其它区域内提供时间变量区域1007，条件是存储在该区域的数据不能从存储卡外改变。

在上述示例中，随机数是用作计数器数值。然而，计数器数值也可以是表示时间随时改变的计时器数值，或可以是已经写入闪存储器303的数据的次数。

现在，将描述闪存储器内逻辑地址与物理地址之间希望的关系的示例。

图13A到13D示出了逻辑地址与物理地址之间的关系的改变。图13A图示的是改变前的关系。图13B图示的是改变后的关系。图13C示出了对应图A的转换表1101。图13D示出了对应图B的转换表1101。

转换表1101中，所有逻辑地址(在图13A到13D中，逻辑块的序列号)和对应的物理地址(在图13A到13D中，构成闪存储器303的物理块的序列号)存储在一起。转换表1101存储在控制IC302等的非易失性区域内，比如，当逻辑地址转换为物理地址时，被验证区域访问控制单元325或非验证区域访问控制单元326引用。

访问存储卡109的设备不能将数据写入存储卡109内实际存在的所有的数据存储空间(即构成闪存储器303的所有实际块)，只能将数据写到由逻辑地址规定的逻辑数据空间(即逻辑块)。

采取上述措施的一个原因是为了保护替代区域，该替代区域是用来代替由于存储卡303的局部缺陷不能读/写数据的区域。即使这种有缺陷的块已经由替代区域块所替代，也要改变转换表，以便反应逻辑块与物理块数之间的相应变化，使闪存储器303能够对外部设备假称为没有出现过缺陷。这是因为，在每个文件中，要保持对应多个连续的物理块的逻辑连续性。

但是，当由多个块构成的文件分别存储到存储卡109或从存储卡109中删除时，逻辑块的碎片要增加。这一特例如图13A所示，其中构成″文件1″的逻辑块的逻辑地址(0和2)是不连续的。

比如，当出现这种不连续的逻辑块时，音乐数据就不能写入存储卡109的连续的逻辑区域。这时必须对每个块发出写入指令″写地址计数″，这样会导致写入速度下降。同样的，必须对每个块发出读指令″读地址计数″，这样即使只读取一首歌曲的音乐数据，也会导致实时再现音乐数据出现困难。

为了解决上述状态，存储卡109的控制IC302具有根据外部设备发布的指令来重写转换表1101的功能。更具体地说，当对转换表1101进行重写的专用指令从命令引脚输入时，存储卡109的控制IC302翻译专用指令并用专用指令之后送来的参数重写转换表1101。

下面用图13A到图13D所示的示例细述上述操作。假设收到上述专用指令前存储器303在物理地址0和2表示的位置上构成文件″文件1″的数据，以及在物理地址1表示的位置构成文件″文件2″的数据。也就是说，在逻辑地址以及物理地址内，″文件2″的数据被″文件1″的数据夹在中间。

为了解决上述情况，外部装置发送上述专用指令和参数到闪存储器303，专用的指令命令保护″文件1″的连续性。指令判断存储卡109的控制单元322，按照收到的专用指令和参数，重写如图13D的转换表。图13B示出了上述操作完成后闪存储器303内的逻辑地址和物理地址之间的关系。

正如从图13B所理解到的，尽管物理块的排列还没有改变，但构成″文件1″的逻辑块已经重新定位成连续的了。采用这样一种排列，外部设备下一次和以后访问″文件1″的速度会比以前快。

转换表1101可以象前述的那样重写，不只是为解决逻辑块的碎片问题，还可以改变存储器303的每个验证区域332和非验证区域331的大小。在后面的情况下，由于转换表1101被重写而使得要变小的物理块与要变大的物理块一样被定位，可以进行高速区域重定位。

现在，将描述涉及到未删除块的存储卡109的功能。更具体地，将要描述当收到未删除块列表指令和删除指令时，存储卡109的操作。这里，未删除块是闪存储器303内的物理块，含有没有实际删除的数据。也就是说，在块被再次使用前(在其它数据写入未删除块前)，未删除块内的数据需要立即删除。

未删除块列表指令是指令判断控制单元322能够翻译和执行的指令的一种，用于获取闪存储器303内所有未删除块的列表。

存储在存储卡109的闪存储器303的现有数据必须在数据重新写入闪存储器303之前以块为单位删除。删除所要的时间大约是写入所用的总的时间的一半。所以，如果删除事先已经结束，写入所用的总时间将减少。因此，为了得到这样的结果，存储卡109为外部设备提供了未删除块列表指令和删除指令。

假设闪存储器303的逻辑块和物理块的当前使用状态如图14A中所示。如图14A所示，逻辑块0到2为当前使用的，物理块0到2，4，和5是未删除块。

在前述的情形下，未删除块列表1203被存储在指令判断控制单元322内。对应图14A所示的块的使用情况的未删除块列表1203的内容如图14B所示。这里，未删除块列表1203是由条目构成的一个存储表，条目对应构成闪存储器303的所有物理块并具有表示在指令判断控制单元322的控制下的相应物理块的数据删除状态的数值(已经删除了数据的块用″0″表示，还没有删除数据的块用″1″表示)。

图14C是一流程图示出了PC 102或播放器201使用未删除块列表指令和删除指令在前状态下预先删除块的步骤。这里假设闪存储器303里有如图14D所示表示逻辑块使用状态表格，比如FAT(文件分配表)。

外部装置如PC 102或播放器201，在存储卡109不被访问的等待时间里，向存储卡109发出未删除列表指令。一收到指令，存储卡109的指令判断控制单元322，就引用包含在指令判断控制单元322内的未删除块列表1203，检测被赋有状态值″1″的物理块0到2，4，和5，并把物理块序号送到外部装置。

然后，外部装置引用表示如图14D所示的闪存储器303内的逻辑块的使用状态表，以便识别块没有被逻辑地使用(S 1202)。

外部设备，根据在步骤S1201和S1202获取的信息，识别″可删除的″块没有逻辑地使用并未被实际地删除(本例中是物理块4和5)(S1203)。然后，外部设备向存储卡109发布删除物理块号4和5的指令(S1204)。一收到指令，存储卡109的指令判断控制单元322就向验证区域访问控制单元325和非验证区域访问控制单元326送出指令，删除物理块4和5。

上述操作结束后，数据就被高速写入物理块4和5，由于写数据已不再需要删除处理。

现在，将描述一项存储卡109的涉及到个人数据保护的功能。更具体地说，当存储卡109为验证而检查外部设备和需要外部设备用户的个人数据时，要使用个人数据保护功能。这里，个人数据对每个用户是唯一的，并用来识别用户。具有适当个人数据的用户可以被存储卡109识别为授权用户，允许访问存储卡109内的验证区域332。

这里，如果用户每次访问验证区域332都要求用户输入个人数据，或如果为每次这样的访问所输入的个人数据都存储在验证区域332，就可能出现这样一个问题：个人数据被人截取，或被具有访问验证区域332权限的其它用户非法读取。

解决这一问题的一个可能的办法是：采用与针对音乐数据一样的方法，由用户个人提供的口令来加密个人数据并存储该加密的个人数据。

但是，在前述的情形下，每次检查个人数据时，都要求用户输入口令。这一过程麻烦，还需要口令管理。因此，存储卡109提供了一种避免出现重复、多余输入个人数据的问题的功能。

图15示出了验证中，播放器201与存储卡109之间的通信顺序，也示出了验证中用到的主要部件。注意到如图15所示的过程主要由播放器201的验证电路216和存储卡109的验证单元321完成的。

如图15所示，播放器201的验证电路216具有加密和解密功能，同时预存主密钥1301，等于存储卡109所持的主密钥323a，以及设备ID1302是对播放器唯一的ID，如产品序列号(s/n)。

存储卡109的验证单元321具有加密，解密和比较功能，还有两个非易失性存储区域：设备ID组存储区域1310和用户密钥存储区域1311。设备ID组存储区域1310存储获准访问存储卡109的验证区域332的所有设备的设备ID。用户密钥存储区域1311存储从设备送来的作为个人数据的用户密钥。

下面，将详细描述验证步骤。注意：在传送和接收中，所有数据传送前被加密，在接收侧解密加密的数据。用于加密和解密的密钥，遵从下列步骤生成。

(1)存储卡109连接播放器201后，首先，播放器使用主密钥1301加密设备ID1302，并将加密设备ID1302送到存储卡109。

(2)存储卡109用主密钥323a解密收到的设备ID1302，并检查设备ID1302是否已经存储到了设备ID组存储区域1310。

(3)当存储卡判断设备ID1302已经存储，存储卡109就通知播放器201验证已经确认。当判断ID1302还没有存储，存储卡109就请求播放器201送来用户密钥。

(4)播放器201要求用户输入用户密钥，获得作为用户的个人数据的用户密钥后向存储卡109发送得到的用户密钥。

(5)存储卡109比较收到的用户密钥与预存在用户密钥存储区域1311的用户密钥。当判定两个用户密钥匹配或当用户密钥存储区域1311为空时，存储卡109就通知播放器201：验证已经确认，并把前述的步骤(3)得到的设备ID1302存入设备I D组存储区域1310。

使用上述措施，当用户的设备第一次连接到存储卡109时，要求用户输入个人数据(用户密钥)。但是，第二次及以后的连接中，不再要求用户输入个人数据，由于用设备ID验证已经自动地确认了。

现在，将结合图16，图17描述存储卡109和外部装置如PC 102或播放器201之间的各种验证协议。

图16示出了存储卡109和外部装置(本例中是播放器201)之间的各种验证内的通信顺序。

注意到如图16所示的过程主要通过播放器201的验证电路216，PC 102的控制程序111b，存储卡109的验证单元321实现。这里假设存储卡109的主密钥存储单元323存储加密的主密钥(加密的主密钥323)，以及特殊区域304存储安全介质ID343和介质ID 341，安全介质ID343是用加密的介质ID 341生成的。

首先，播放器201向存储卡109发布指令，以便从存储卡109获取主密钥323b，并使用设备密钥211a解密获得的主密钥323b。该解密中用到的解密算法对应于已经从存储卡109中读出的主密钥323b的加密中用到的加密算法。因此，如果播放器201具有的设备密钥211a是授权的，则解密的结果将恢复原来的主密钥。

之后，播放器201就向存储卡109发布指令，从存储卡109获取介质ID 341，并使用恢复的主密钥解密获取的介质ID341。该加密中用到的加密算法与存储在存储卡109内的安全介质ID343的加密中用到的加密算法一样。因此该加密提供了和包含在存储卡109内的安全介质ID一样的安全介质ID。

播放器201和存储卡109分别使用他们各自拥有的安全介质ID执行相互验证。通过这一相互验证，每个设备生成(OK/NG)信息和一个安全密钥，(OK/NG)信息表示远程设备是否已经验证，安全密钥是一个依赖于验证结果的时间变量密钥。只有当设备201和109都确认验证了其它设备时，两个设备所拥有的安全密钥才匹配，每执行一次相互验证，安全密钥要改变。

相互验证确认结束后，播放器201生成用于访问存储卡109内验证区域332的指令。更具体的，比如，当从验证区域332读出数据时，指令″安全读地址计数(SecureRead address count)″的参数(24位地址的地址值和8位计数的计数值)被用安全密钥加密，这个由加密的参数和指令的标志(表示指令类型″安全读″的6位编码)结合而成的加密指令被送给存储卡109。

一收到加密的指令，存储卡109就判定指令的类型。在本示例中，指令被判定为″安全读″，以从验证区域332读数据。

当指令被判定为访问验证区域332的指令时，使用在相互验证中得到的安全密钥来解密包含在指令中的参数。该解密中用到的解密算法对应于由播放器201用到的加密指令中的加密算法。因此，当相互验证确认完成时，也就是说，两个设备使用的安全密钥匹配时，由解密得到的参数应当等于由播放器201使用的原始参数。

然后，存储卡109从用经解密的参数所表示的验证区域332内的扇区中读出加密密钥425，用安全密钥加密读出的加密密钥，并把加密的加密密钥送到播放器201。

播放器201用通过相互验证得到的安全密钥解密接收到的数据。该解密中用到的解密算法对应于存储卡使用的加密密钥425的加密中用到的加密算法。因此，当相互验证确认完成时，也就是说，两个设备使用的安全密钥匹配时，通过解密得到的数据应当等于原始的加密密钥425。

存储卡109每次执行访问验证区域332指令后，丢弃(删除)指令执行中用到的安全密钥。使用这样的措施，试图访问存储卡109内的验证区域332的外部设备，每次发出指令时都需要事先执行相互验证，并在验证中确认。

图17示出了如图16所示的相互验证的详细步骤的通信顺序。在本示例中，存储卡109和播放器201执行质询-应答式相互验证。

存储卡109生成随机数并把随机数作为质询数据送到播放器201，去检查播放器201是否合适。播放器201加密质询数据并把加密的质询数据返回给存储卡109，作为应答数据以证明播放器201的合适。存储卡109加密作为质询数据发送的随机数，比较接收到的应答数据和加密的质询数据。当接收到的应答数据与加密的质询数据匹配时，存储卡109判断对播放器201的验证已经确认(OK)，并从播放器201接收访问验证区域332的指令。当接收到的应答数据与加密的质询数据不匹配时，存储卡109判断播放器201的验证没有得到确认(NG)，如果判断后播放器201发送指令访问验证区域332，存储卡109拒绝执行该指令。

播放器201执行相似的验证步骤检查存储卡109是否合适。也就是说，播放器201生成随机数并把随机数作为质询数据送到存储卡109，去检查存储卡109是否合适。存储卡109加密质询数据并把加密的质询数据返回给播放器201，作为应答数据以证明存储卡109的合适性。播放器201加密作为质询数据发送的随机数，比较接收到的应答数据和加密的质询数据。当接收到的应答数据与加密的质询数据匹配时，播放器201判断存储卡109的验证已经确认(OK)，并访问存储卡内的验证区域332。当接收的应答数据与加密的质询数据不匹配时，播放器201判断存储卡109的验证没有得到确认(NG)，就放弃访问验证区域332。

相互验证中所用到的加密算法就授权的存储卡109和播放器201而言应该是一样。存储卡109和播放器201通过使用验证和合适性证明而得到的经加密的质询数据和应答数据进行异或运算来获取安全密钥。用得到的安全密钥，或上述异或操作的结果，来访问存储卡109内的验证区域332。使用这样的措施，设备109和201可以共享时间变量安全密钥，只有当它们在验证中已经确认了，时间变量密钥才对他们是共同的。这为访问验证区域332提供了一个确认验证的必要条件。

该安全密钥可以是用加密的质询数据、应答数据和安全介质ID的异或运算的结果。

现在，将结合图18和图19描述存储卡109内验证区域332和非验证区域331之间边界改变时功能的变化。

图18A到18C示出了边界改变前闪存储器303的使用状态。图18A是一个存储器示意图，示出了闪存储器303内的物理块的结构。

图18B示出了一个转换表1103，它专用于非验证区域并存储在非验证区域访问控制单元326的非易失性存储区域。转换表1103示出了非验证区域331内的逻辑块和物理块之间的对应关系。非验证区域访问控制单元326引用转换表1103，把逻辑地址转换为物理地址或检查对分配的存储区域外不合适的访问。

图18C示出了一个转换表1102，它专用于验证区域并存储在验证区域访问控制单元325的非易失性存储区域。转换表1102示出了验证区域332内的逻辑块和物理块之间的关系。验证区域访问控制单元325引用转换表1102，把逻辑地址转换为物理地址或检查不合适的访问分配的存储区域外的访问。

如图18A所示，改变边界前，由物理块0000到FFFF，物理块F000到FFFF的闪存储器303的外部，分配给替代块区域501，物理块0000到DFFF，其地址小于边界，分配给非验证区域331，以及物理块E000到EFFF，其地址大于边界，分配给验证区域332。

正如从图18B所示的转换表1103所能理解到的那样，在非验证区域331内，逻辑块号匹配物理块号。相反的，也如从图18C所示的转换表中所理解到的，在验证区域332内的逻辑块号和物理块号之间的关系是倒转的。也就是说，逻辑块0000到0FFF分别地对应物理块EFFF到E000。之所以采取这样的措施是考虑到逻辑块是升序使用的，当边界移动时，被移动的物理块内的数据需要存储或移动。

图19A到19C示出了边界改变后闪存储器303的使用状态。图19A到19C分别对应图18A到18C。注意到边界移动是按从下面的步骤完成的：

(1)通过指令引脚将规定边界地址的专用指令输入到指令判断控制单元322；和

(2)指令判断控制单元322重写验证区域访问控制单元325内的转换表1102和非验证区域331内的转换表1103。

如图19A到19C所示，边界从物理块E 000与DFFF之间移动到物理块D000与CFFF之间。这意味着非验证区域331的大小减小了1000(16进制)个块，验证区域332的大小增加了1000(16进制)个块。

如图19B所示，随着前述的边界改变，非验证区域331的转换表1103减少了1000(16进制)个条目，验证区域的大小增加了1000(16进制)个块，所以转换表1103示出了逻辑块0000到CFFF对应物理块0000到CFFF。反之，如图19C所示，验证区域332的转换表1102增加了1000(16进制)个条目，验证区域332的大小增加了1000(16进制)个块，所以转换表1102示出了逻辑块0000到1FFF对应物理块EFFF到D000。

如前所述，在闪存储器303内的验证区域与非验证区域之间设定了边界，并可以通过移动边界改变两个区域的大小。这使得存储卡109能够用作不同的目的。比如，存储卡109可以主要用作存储需要版权保护的数字内容，或者存储卡109主要用于其它用途，而非存储这种数字内容。

在验证区域和非验证区域内，通过将逻辑块与物理块的对应起来，可以减少使数据移动和对数据进行存储时随边界发生改变而进行的处理量，从而物理块是从最远的那一块开始按照从远至近的顺序来使用的。

当提供了专用于验证区域332的转换表1102和专用于非验证区域的转换表1103时，可以容易地完成前述的逻辑块和物理块之间的对应，当提供了专用于验证区域332的转换表1102和专用于非验证区域的转换表1103时。

在上述的示例中，在验证区域332内，以块为单位的的逻辑地址与物理地址之间的关系是倒转的。但是，也可以使用其它单位。比如，扇区或字节为单位的逻辑地址与物理地址之间的关系也可以是倒转的。

到此为止，结合其实施方案及其变化，已经描述了本发明的存储卡。但本发明并不局限于实施方案及其变化。

在上述实施方案中，每次发指令访问存储卡109的验证区域332，要求PC 102或播放器201用相同的步骤执行与存储卡的相互验证。但是，也可以根据指令的类型，使用简化的验证步骤访问验证区域332。

比如，当发出写指令″安全写(SecureWrite)″时，可以不从存储卡109获取加密的主密钥323b和介质ID 341，存储卡109也可以执行写指令″安全写″，即使只确认完成了单向验证(由存储卡109对设备的验证)。用这样的措施，与版权保护不相关的指令可以高速执行。

本发明的存储卡109内的闪存储器303可以由其它存储媒体替代(如非易失性媒体，诸如硬盘，光盘和磁光盘)。使用任何这样的媒体，可以得到和本发明存储卡一样的效果，便携式存储卡能够保护存储数据的版权。

工业适用性

正如从上述说明中所理解到的，本发明的半导体存储卡适合用作记录通过用网络如因特网传播的电子音乐的音乐内容的记录媒体。本发明的半导体存储卡也适合用作记录计算机程序或数据的记录媒体，特别适合用作便携式记录/再现装置的记录媒体。

Claims

1.一种可以在电子设备中使用和从电子设备中移除的半导体存储卡，包括：

可重写非易失性存储器；和

控制电路，其控制电子设备对可重写非易失性存储器内的两个存储区域即验证区域和非验证区域的访问，其中

控制电路包括：

验证单元，其执行验证处理以检查电子设备是否具有访问半导体存储卡的权限，当电子设备具有访问半导体存储卡的权限时确认验证该电子设备；和

通过将可重写非易失性存储器中预定大小的连续区域分成两块，来生成验证区域和非验证区域，并且

半导体存储卡还包括：

在删除了可重写非易失性存储器中存储区域的所有内容之后，所述区域大小改变电路通过改变关于边界的信息来改变验证区域和非验证区域的大小，以及

所述验证区域访问控制单元和所述非验证区域访问控制单元通过引用关于边界的信息来控制所述电子设备访问验证区域和非验证区域。

2.如权利要求1所述的半导体存储卡，其中

所述验证单元生成反映验证处理结果的密钥，以及

所述验证区域访问控制单元用所述验证单元生成的密钥来解密经加密的指令，并根据解密的指令来控制由所述电子设备对所述验证区域的访问，所述加密的指令是从所述电子设备发送的。

3.如权利要求2所述的半导体存储卡，其中

所述验证单元对所述电子设备执行质询-应答式相互验证，并根据质询数据和应答数据来生成密钥，所述质询数据被发送到所述电子设备以检查所述电子设备是否具有访问所述半导体存储卡的权限，并且生成的应答数据用以表明所述验证单元具有访问所述半导体存储卡的权限。

4.如权利要求3的半导体存储卡，其中

从所述电子设备发送的经加密的指令包括标志字段和地址字段，所述标志字段未被加密并规定访问所述验证区域的类型，所述地址字段被加密了并规定要被访问的区域的地址，其中

所述验证单元用密钥来解密所述地址字段，并控制由所述电子设备对所述验证区域的访问，从而对由解密地址字段中的地址所表示的区域进行在所述标志字段内规定的类型的访问。

5.如权利要求4所述的半导体存储卡，还包括：

识别数据存储电路，其预存对所述半导体存储卡来说是唯一的识别数据，并使所述半导体存储卡能够与其它半导体存储卡区分开，其中

所述验证单元用所述识别数据存储电路内存储的识别数据对电子设备执行相互验证，并根据识别数据生成密钥。

6.如权利要求1所述的半导体存储卡，其中

所述区域大小改变电路包括：

验证区域转换表，其表示验证区域内逻辑地址和物理地址之间的对应关系；

非验证区域转换表，其表示所述非验证区域内逻辑地址和物理地址之间的对应关系；和

转换表改变单元，其根据来自所述电子设备的指令来改变所述验证区域转换表和所述非验证区域转换表的内容，其中

所述验证区域访问控制单元通过引用所述验证区域转换表来控制所述电子设备对所述验证区域的访问，以及

所述非验证区域访问控制单元通过引用所述非验证区域转换表来控制所述电子设备对所述非验证区域的访问。

7.如权利要求6所述的半导体存储卡，其中

高物理地址区和低物理地址区共同构成具有预定大小的区，这两个区分别被分配给所述验证区域和所述非验证区域，

所述非验证区域转换表示出按升序排列的逻辑地址与按升序排列的物理地址之间的对应关系，而

所述验证区域转换表示出按升序排列的逻辑地址与按降序排列的物理地址之间的对应关系。

8.如权利要求1所述的半导体存储卡，进一步包括：

预存数据的只读存储器电路。

9.如权利要求1所述的半导体存储卡，其中

所述验证区域和所述非验证区域二者都包括：

能够由所述电子设备读/写数据的读/写存储区域；和

所述电子设备能够读数据但不能写数据的只读存储区域，

所述控制电路还包括：

随机数发生器，每当所述电子设备将数据写到所述可重写非易失性存储器中时，其就生成随机数，以及

所述验证区域访问控制单元和所述非验证区域访问控制单元中的每一个用所述随机数对数据进行加密，把经加密的数据写到所述读/写存储区域，并把所述随机数写到所述只读存储区域。

10.如权利要求1所述的半导体存储卡，其中

所述控制电路还包括：

转换表，其示出所述验证区域和所述非验证区域二者中每一个的内逻辑地址和物理地址之间的对应关系；和

转换表改变电路，其按照来自所述电子设备的指令来改变所述转换表的内容，以及

所述验证区域访问控制单元和所述非验证区域控制单元通过引用所述转换表来分别控制所述电子设备对所述验证区域和所述非验证区域的访问。

11.如权利要求1的半导体存储卡，其中

所述控制电路还包括：

加密/解密单元，其对将要写入到所述验证区域和所述非验证区域的数据进行加密，并解密从所述验证区域和所述非验证区域读出的数据。

12.如权利要求1所述的半导体存储卡，其中

所述非易失性存储器是闪存储器，并且

所述控制电路还包括：

未删除列表读取单元，其按照来自所述电子设备的指令，识别所述验证区域和所述非验证区域内的未删除区域，并把表示未删除区域的信息发送到所述电子设备。

13.如权利要求1所述的半导体存储卡，其中

所述验证单元请求所述电子设备的用户在所述验证处理期间输入用户密钥，该密钥对用户是唯一的信息，并且

所述控制电路还包括：

存储所述用户密钥的用户密钥存储单元；

识别信息存储单元，其存储标识已经由所述验证单元来确认验证的电子设备的识别信息；和

用户密钥请求禁止单元，在所述验证单元开始所述验证处理后，其从目标电子设备获取识别信息，检查从所述目标电子设备获取的所述识别信息是否已经存储在所述识别信息存储单元中，并且当从所述目标电子设备获取的所述识别信息已经存储在所述识别信息存储单元中时，禁止所述验证单元请求电子设备的用户输入用户密钥。

14.一种用于控制可以在电子设备中使用和从电子设备中移除的半导体存储卡的方法，该半导体存储卡包括：

可重写非易失性存储器；和

用于保存关于验证区域与非验证区域之间的边界的信息的装置，所述验证区域与所述非验证区域是通过将所述可重写非易失性存储器中预定大小的连续存储区域分成两块而生成的；和

控制电路，其控制所述电子设备对所述验证区域和所述非验证区域的访问，

该控制方法包括以下步骤：

非验证区域访问控制步骤：控制所述电子设备对所述非验证区域的访问；

验证区域访问控制步骤：只有在通过验证处理已经确定所述电子设备具有访问所述验证区域的权限时才允许所述电子设备访问所述验证区域；以及

区域大小重新定义步骤：在删除所述可重写非易失性存储器中连续存储区域的所有内容之后，通过改变所述边界的信息来改变所述验证区域和所述非验证区域的大小，其中

所述验证区域访问控制步骤和所述非验证区域访问控制步骤通过引用关于所述边界的信息来控制所述电子设备对所述验证区域和所述非验证区域的访问。