JP7475989B2 - メモリシステムおよび制御方法 - Google Patents

Description

本発明の実施形態は、不揮発性メモリを制御する技術に関する。

近年、不揮発性メモリを備えるメモリシステムが広く普及している。このようなメモリシステムの一つとして、ＮＡＮＤ型フラッシュメモリを備えるソリッドステートドライブ（ＳＳＤ）が知られている。

ＳＳＤに格納されたデータを安全且つ確実に消去するセキュアイレーズ方法として、オーバーライト、ブロックイレーズ、クリプトグラフィックイレーズが知られている。セキュアイレーズ方法は、記憶されているデータを物理的に且つ不可逆的に読み出し不能にするイレーズ方法である物理的セキュアイレーズ方法と、記憶されているデータを論理的に読み出し不能にするイレーズ方法である論理的セキュアイレーズ方法とに分類される。オーバーライトおよびブロックイレーズの各々は、物理的セキュアイレーズ方法の例である。クリプトグラフィックイレーズは、論理的セキュアイレーズ方法の例である。

クリプトグラフィックイレーズでは、ＳＳＤに格納されたデータが暗号化される時に使用された暗号鍵は物理的セキュアイレーズ方法により消去される。これにより、そのデータは復号できなくなり、論理的に消去されることになる。

最近では、物理的セキュアイレーズ方法により、ＳＳＤのようなメモリシステムに格納されたデータのうちの特定のデータのセキュアイレーズを行いたいという要望がある。

米国特許第１０，４０３，３６９号明細書 米国特許第１０，３５３，６１２号明細書 米国特許出願公開第２０１６／０２７４８００号明細書

本発明が解決しようとする課題は、物理的セキュアイレーズ方法で、特定のデータのセキュアイレーズを行うことが可能なメモリシステムおよび制御方法を提供することである。

実施形態によれば、メモリシステムは、各々がデータ消去動作の単位である複数のブロックを含む不揮発性メモリと、前記不揮発性メモリに電気的に接続されたコントローラとを具備する。前記コントローラは、第１の論理領域識別子によって識別される第１の論理領域に格納されているセキュアイレーズ対象データのセキュアイレーズを要求する第１のコマンドをホストから受信したことに応じて、前記セキュアイレーズ対象データが格納されている一つ以上の第１のブロックに格納されている有効データのうち、前記セキュアイレーズ対象データを除く有効データを、一つ以上のコピー先ブロックにコピーする処理と、前記コピーによって有効データが格納されていないフリーブロックになった前記一つ以上の第１のブロックのうちの一つである第２のブロックを、前記一つ以上のコピー先ブロックの一つとして選択する処理と、前記第２のブロックに対してデータ消去動作を実行する処理と、前記一つ以上の第１のブロックのうちの前記第２のブロックとは別の第３のブロックから前記第２のブロックに、前記セキュアイレーズ対象データを除く前記有効データをコピーして、前記第３のブロックに格納されている、前記セキュアイレーズ対象データを除く前記有効データを、前記第２のブロックにオーバーライトする処理と、を含むコピー動作を実行する。前記コントローラは、前記コピー動作の実行後、前記第２のブロックを除く前記一つ以上の第１のブロックに対して少なくともデータ消去動作を実行する。

第１実施形態に係るメモリシステムを含む情報処理システムの構成例を示すブロック図。 第１実施形態に係るメモリシステムにおいて用いられる論理物理アドレス変換テーブル（Ｌ２Ｐテーブル）の構成例を示す図。 第１実施形態に係るメモリシステムにおいて管理される複数のネームスペースの一例を示す図。 第１実施形態に係るメモリシステムにおいて実行される、ライト動作と物理的セキュアイレーズ動作の概要を示す図。 第１実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャート。 各ブロックに書き込まれるデータ構造の例を示す図。 第１の特定コマンドが受信される前に受信され且つ未完了のＩ／Ｏコマンドに対する処理の手順を示すフローチャート。 第１の特定コマンドの実行中に受信されたＩ／Ｏコマンドに対する処理の手順を示すフローチャート。 物理的セキュアイレーズ動作の開始前における各アクティブブロックの内容の一例を示す図。 物理的セキュアイレーズ動作の開始前における各フリーブロックの内容の一例を示す図。 アンマップ動作が実行された後における各アクティブブロックの内容の一例を示す図。 ガベージコレクション動作が実行された後における各アクティブブロックの内容の一例を示す図。 ガベージコレクション動作が実行された後における各フリーブロックの内容の一例を示す図。 第２実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャート。 第３実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャート。 図１３Ａの物理的セキュアイレーズ動作において実行される、アンマップ動作およびガベージコレクション動作の手順を示すフローチャート。 図１３Ａの物理的セキュアイレーズ動作において実行される、アンマップ動作およびガベージコレクション動作の他の手順を示すフローチャート。 第４実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャート。 図１４Ａの物理的セキュアイレーズ動作において実行されるアンマップ動作およびガベージコレクション動作の手順を示すフローチャート。 図１４Ａの物理的セキュアイレーズ動作において実行されるアンマップ動作およびガベージコレクション動作の他の手順を示すフローチャート。 第５実施形態の物理的セキュアイレーズ動作の手順を示すフローチャート。 第６実施形態の物理的セキュアイレーズ動作の手順を示すフローチャート。

以下、図面を参照して、実施形態を説明する。
（第１実施形態）
第１実施形態に係るメモリシステムを含む情報処理システムの構成について説明する。図１は、第１実施形態に係るメモリシステムを含む情報処理システム１の構成例を示すブロック図である。メモリシステムは、不揮発性メモリにデータを書き込み、不揮発性メモリからデータを読み出すように構成された半導体ストレージデバイスである。メモリシステムは、例えば、ＮＡＮＤ型フラッシュメモリを含むＳＳＤ３として実現されている。

情報処理システム１は、ホスト（ホストデバイス）２と、ＳＳＤ３とを含む。ホスト２は、ＳＳＤ３を制御するように構成された情報処理装置である。ホスト２の例には、パーソナルコンピュータ、サーバコンピュータ、携帯端末、車載機器、が含まれる。

ＳＳＤ３は、ホスト２にケーブルまたはネットワークを介して接続されてもよい。あるいは、ＳＳＤ３は、ホスト２に内蔵されてもよい。

ホスト２とＳＳＤ３とを接続するためのインタフェースとしては、これに限定されないが、ＳＡＴＡ（Ｓｅｒｉａｌ ＡＴＡ）、ＳＡＳ（Ｓｅｒｉａｌ Ａｔｔａｃｈｅｄ ＳＣＳＩ）、ＵＦＳ（Ｕｎｉｖｅｒｓａｌ Ｆｌａｓｈ Ｓｔｏｒａｇｅ）、ＰＣＩ Ｅｘｐｒｅｓｓ（ＰＣＩｅ）（登録商標）、Ｅｔｈｅｒｎｅｔ（登録商標）を使用し得る。

ＳＳＤ３は、コントローラ４と、不揮発性メモリ（例えば、ＮＡＮＤ型フラッシュメモリ５）とを備える。ＳＳＤ３は、ランダムアクセスメモリ、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）６も備えていてもよい。

ＮＡＮＤ型フラッシュメモリ５は、マトリクス状に配置された複数のメモリセルを有するメモリセルアレイを含む。ＮＡＮＤ型フラッシュメモリ５は、２次元構造のフラッシュメモリであってもよいし、３次元構造のフラッシュメモリであってもよい。

ＮＡＮＤ型フラッシュメモリ５のメモリセルアレイは、複数のブロックＢＬＫ０～ＢＬＫｘ－１を含む。ブロックＢＬＫ０～ＢＬＫｘ－１の各々は、複数のページ（ここではページＰ０～Ｐｙ－１）を含む。各ページは、同一ワード線に接続された複数のメモリセルを含む。ブロックＢＬＫ０～ＢＬＫｘ－１の各々は、ＮＡＮＤ型フラッシュメモリ５からデータを消去するデータ消去動作（以下、ブロックイレーズとも称される）の単位である。ブロックは、「消去ブロック」、「物理ブロック」、または「物理消去ブロック」と称されることもある。ページＰ０～Ｐｙ－１は、データ書き込み動作およびデータ読み出し動作の単位である。

コントローラ４は、Ｓｙｓｔｅｍ－ｏｎ－ａ－ｃｈｉｐ（ＳｏＣ）のような回路によって実現されてもよい。コントローラ４は、これに限定されないが、Ｔｏｇｇｌｅ ＮＡＮＤフラッシュインタフェース、オープンＮＡＮＤフラッシュインタフェース（ＯＮＦＩ）に準拠するＮＡＮＤインタフェース１３を介して、ＮＡＮＤ型フラッシュメモリ５に電気的に接続されている。コントローラ４は、ＮＡＮＤ型フラッシュメモリ５を制御するように構成されたメモリコントローラとして動作する。

コントローラ４は、ＮＡＮＤ型フラッシュメモリ５のデータ管理及びブロック管理を実行するように構成されたフラッシュトランスレーション層（ＦＴＬ）として機能し得る。

ＦＴＬによって実行されるデータ管理は、（１）論理領域識別子それぞれとＮＡＮＤ型フラッシュメモリ５の物理アドレスそれぞれとの間の対応関係を示すマッピング情報の管理、（２）ＮＡＮＤ型フラッシュメモリ５の制約（例えば、ページ単位のリード／ライト動作とブロック単位の消去動作）を隠蔽するための処理、を含む。

論理領域識別子は、ネームスペース識別子であってもよいし、論理アドレスであってもよいし、ネームスペース識別子と論理アドレスとの組み合わせであってもよい。

論理アドレスは、ＳＳＤ３の論理アドレス空間内の論理アドレスをアドレス指定するためにホスト２によって使用されるアドレスである。論理アドレスとしては、ＬＢＡ（ｌｏｇｉｃａｌ ｂｌｏｃｋ ａｄｄｒｅｓｓ（ａｄｄｒｅｓｓｉｎｇ））やキー・バリューストアのキーが使用され得る。

コントローラ４は、複数のネームスペースを作成および管理するように構成されている。複数のネームスペースは、互いに独立した論理アドレス範囲である。複数のネームスペースは、一つのストレージデバイスをあたかも複数のストレージデバイスであるかのように動作させるために使用される。複数のネームスペースは、ＳＳＤ３をアクセスするためにホスト２によって使用される。ネームスペース識別子は、ネームスペースを指定するためにホスト２によって使用される識別子である。

ＳＳＤ３をアクセスするためにホスト２によって使用される論理領域識別子それぞれとＮＡＮＤ型フラッシュメモリ５の物理アドレスＰＢＡ（ｐｈｙｓｉｃａｌ ｂｌｏｃｋ ａｄｄｒｅｓｓ）それぞれとの間のマッピングの管理は、アドレス変換テーブル（論理物理アドレス変換テーブル：Ｌ２Ｐテーブル）３７を用いて実行される。Ｌ２Ｐテーブルにおける論理領域識別子は論理アドレスを含む。コントローラ４は、Ｌ２Ｐテーブル３７を使用して、論理領域識別子それぞれと物理アドレスそれぞれとの間のマッピングを管理する。ある論理領域識別子に対応する物理アドレスは、この論理領域識別子に対応するデータが書き込まれたＮＡＮＤ型フラッシュメモリ５内の最新の物理的な記憶位置を示す。Ｌ２Ｐテーブル３７は、ＳＳＤ３の電源オン時にＮＡＮＤ型フラッシュメモリ５からＤＲＡＭ６にロードされてもよい。

論理領域識別子としてＬＢＡが使用される場合には、Ｌ２Ｐテーブル３７は、ＬＢＡそれぞれと物理アドレスＰＢＡそれぞれとの間のマッピングをクラスタと称される所定の管理サイズで管理する。ＬＢＡによって指定されるセクタのサイズがクラスタのサイズよりも小さい場合には、各クラスタに含まれる各セクタのデータが有効データであるか無効データであるかを示すビットマップデータもＬ２Ｐテーブル３７に格納されてもよい。

論理領域識別子としてキー・バリューストアのキーが使用される場合には、Ｌ２Ｐテーブル３７は、これに限定されないが、例えば、各キーのハッシュ値と、各キーへのポインタと、各キーに対応するユニーク番号と、各キーに対応するバリューのサイズと、各キーに対応するバリューが格納されている一つ以上の物理アドレスを含む物理アドレスリストとの対応関係を管理してもよい。

図２は、Ｌ２Ｐテーブル３７の構成例を示す図である。ここでは、ＬＢＡのような論理アドレスが論理領域識別子として使用される場合のＬ２Ｐテーブル３７の構成例について説明する。Ｌ２Ｐテーブル３７は、ＳＳＤ３の論理アドレス空間内の論理アドレスそれぞれとＮＡＮＤ型フラッシュメモリ５の物理アドレス空間内の物理アドレスそれぞれとの間のマッピングを、クラスタと称される所定の管理サイズ単位で管理する。一つのクラスタは、論理アドレスによって指定されるセクタ（論理アドレスがＬＢＡである場合には論理ブロックとも称される）のサイズの整数倍のサイズを有する。セクタのサイズの例は５１２Ｂまたは４ＫｉＢであり、クラスタのサイズの例は４ＫｉＢである。大容量ＳＳＤにおいては、クラスタのサイズは４ＫｉＢよも大きい場合もある。一つのページに複数のクラスタに対応するデータが記憶されてもよい。一つのページのサイズの例は１６ＫｉＢである。

Ｌ２Ｐテーブル３７において、ある論理アドレスに対応する物理アドレスは、この論理アドレスに対応するデータが書き込まれたＮＡＮＤ型フラッシュメモリ５内の最新の物理記憶位置を示す。

Ｌ２Ｐテーブル３７は、複数の論理アドレスそれぞれに対応する複数のエントリを含む。ある論理アドレスに対応するエントリには、この論理アドレスに関連付けられた物理アドレスが格納される。例えば、コントローラ４がある論理アドレスに対応するデータをＮＡＮＤ型フラッシュメモリ５内のある物理的な記憶位置に書き込んだ場合、コントローラ４は、Ｌ２Ｐテーブル３７を更新して、この記憶位置を示す物理アドレスＰＢＡをこの論理アドレスに関連付ける。

図２には、論理アドレス０ｘ０００、０ｘ００１，０ｘ００２、０ｘ００５、０ｘ００６、０ｘ００７に、物理アドレスＰＢＡ０、ＰＢＡ２、ＰＢＡ１、ＰＢＡ４、ＰＢＡ５、ＰＢＡ６がそれぞれ関連付けられている場合が例示されている。ある論理アドレスに対応するデータがＮＡＮＤ型フラッシュメモリ５に書き込まれていない場合は、この論理アドレスに対応するエントリには、あらかじめ定められた定数（ＮＵＬＬ）が格納されてもよい。

図１の説明に戻る。ＮＡＮＤ型フラッシュメモリ５においては、ページへのデータ書き込みはそのページが含まれるブロックの１消去サイクル（プログラム／イレーズサイクル）当たり１回のみ可能である。つまり、データが既に書き込まれているブロック内の領域に新たなデータを直接上書きすることができない。このため、既に書き込まれているデータを更新する場合には、コントローラ４はそのブロック（または別のブロック）内の未書き込み領域に新たなデータを書き込み、そして以前のデータを無効データとして扱う。換言すれば、コントローラ４は、ある論理領域識別子に対応する更新データを、この論理領域識別子に対応する以前のデータが格納されている物理記憶位置ではなく、別の物理記憶位置に書き込む。そして、コントローラ４は、Ｌ２Ｐテーブル３７を更新してこの別の物理記憶位置を示す物理アドレスをこの論理領域識別子に関連付けると共に、以前のデータを無効化する。

ＦＴＬによって実行されるブロック管理は、バッドブロック（不良ブロック）の管理と、ウェアレベリングと、ガベージコレクションを含む。

ウェアレベリングは、ブロックそれぞれの書き換え回数（プログラム／イレーズサイクルの数）を均一化するための動作である。

ガベージコレクションは、有効データと無効データとが混在するブロックの個数を減らし且つフリーブロックの個数を増やすための動作である。フリーブロックとは、有効データを含まないブロックを意味する。

有効データとは、ある論理領域識別子に関連付けられている論理領域に格納されている最新のデータを意味する。例えば、Ｌ２Ｐテーブル３７から参照されている物理的な記憶位置に記憶されているデータ（すなわち最新のデータとして論理領域識別子に関連付けられているデータ）は有効データである。有効データは、後にホスト２からリードされる可能性があるデータである。

無効データとは、Ｌ２Ｐテーブル３７から参照されていない物理的な記憶位置に記憶されているデータを意味する。例えば、Ｌ２Ｐテーブル３７から参照されていない物理的な記憶位置に記憶されているデータ（すなわち最新のデータとして論理領域識別子に関連付けられていないデータ）は無効データである。無効データは、もはやホスト２からリードされる可能性が無いデータである。ある論理領域識別子に関連付けられている論理領域に更新データが格納されると、それまでその論理領域に格納されていた有効データは無効データとなり、更新データが新たな有効データとなる。また、ある論理領域識別子に関連付けられている論理領域に対して、後述するアンマップ動作が行われた場合にも、それまでその論理領域に格納されていた有効データは無効データとなる。

ガベージコレクションにおいて、コントローラ４は、有効データと無効データとが混在する幾つかのブロック内の有効データを別のブロック（例えばフリーブロック）にコピーする。コントローラ４は、Ｌ２Ｐテーブル３７を更新して、コピーされた有効データの論理領域識別子それぞれにコピー先物理アドレスをマッピングする。有効データが別のブロックにコピーされることによって無効データのみを含むことになったブロックはフリーブロックとして解放される。これによって、このブロックはデータ消去動作後にデータの書き込みに再利用することが可能となる。

コントローラ４は、上述したＮＡＮＤインタフェース（Ｉ／Ｆ）１３以外に、ホストインタフェース（Ｉ／Ｆ）１１、ＣＰＵ１２、ＤＲＡＭインタフェース（Ｉ／Ｆ）１４、直接メモリアクセスコントローラ（ＤＭＡＣ）１５、スタティックＲＡＭ（ＳＲＡＭ）１６、ＥＣＣエンコード／デコード部１７を含む。これらホストＩ／Ｆ１１、ＣＰＵ１２、ＮＡＮＤ Ｉ／Ｆ１３、ＤＲＡＭ Ｉ／Ｆ１４、ＤＭＡＣ１５、ＳＲＡＭ１６、ＥＣＣエンコード／デコード部１７は、バス１０を介して相互接続される。

ホストＩ／Ｆ１１は、ホスト２との通信を実行するように構成されたホストインタフェース回路である。ホストＩ／Ｆ１１は、例えば、ＳＡＴＡインタフェースコントローラ、ＳＡＳインタフェースコントローラ、ＰＣＩｅコントローラ、または、Ｅｔｈｅｒｎｅｔコントローラであってもよい。

ホストＩ／Ｆ１１は、ホスト２から様々なコマンドを受信する。ＳＡＴＡインタフェースではＡＴＡ規格で定義されたＡＴＡコマンドが使用され、ＳＡＳインタフェースではＳＣＳＩ規格で定義されたＳＣＳＩコマンドが使用され、ＰＣＩｅインタフェースおよびＥｔｈｅｒｎｅｔインタフェースではＮＶＭ Ｅｘｐｒｅｓｓ（ＮＶＭｅ）（登録商標）規格で規定されたＮＶＭｅコマンドが使用される。これらコマンドは、ライトコマンド、リードコマンド、アンマップコマンド、を含む。

ライトコマンドは、ＳＳＤ３に対し、ユーザデータ（ライトデータ）を論理領域識別子で示された領域にマッピングされたＮＡＮＤ型フラッシュメモリ５の領域に書き込むことを要求するコマンド（ライト要求）である。論理領域識別子として論理アドレス（特にＬＢＡ）とネームスペース識別子の組み合わせが使用される場合のライトコマンドは、例えば、あるネームスペースを識別するネームスペース識別子、このネームスペース内の論理アドレス（開始ＬＢＡ）、ライトデータのサイズ（セクタの個数）、このライトデータが格納されているホスト２のメモリ内の位置を示すデータポインタ（バッファアドレス）、を含み得る。開始ＬＢＡは、ライトデータが書き込まれるべき論理領域に含まれる一つ以上のセクタのうちの、最初のセクタのＬＢＡを示す。

リードコマンドは、ＳＳＤ３に対し、このリードコマンドによって指定された論理領域識別子で示される領域にマッピングされたＮＡＮＤ型フラッシュメモリ５の領域からデータを読み出すように要求するコマンド（リード要求）である。論理領域識別子として論理アドレス（特にＬＢＡ）とネームスペース識別子の組み合わせが使用される場合のリードコマンドは、あるネームスペースを識別するネームスペース識別子、このネームスペース内の論理アドレス（開始ＬＢＡ）、リードすべきデータのサイズ（セクタの個数）、このデータが転送されるべきホスト２のメモリ内の位置を示すデータポインタ（バッファアドレス）、を含み得る。開始ＬＢＡは、リードすべきデータが格納されている論理領域に含まれる一つ以上のセクタのうちの、最初のセクタのＬＢＡを示す。

アンマップコマンドは、ＳＳＤ３に対し、アンマップ対象の論理領域を論理領域識別子で通知する。アンマップコマンドは、Ｌ２Ｐテーブル３７からその論理領域に対応するＮＡＮＤ型フラッシュメモリ５の物理領域を示す情報を削除し、その物理領域に記録されているデータを無効化するコマンドである。論理領域識別子として論理アドレス（特にＬＢＡ）とネームスペース識別子の組み合わせが使用される場合、コントローラ４は、アンマップコマンドによって指定された全ての論理アドレス範囲（ＬＢＡ範囲）に対応するＬ２Ｐテーブル３７のエントリにＮＵＬＬ値を格納する、またはこれらエントリそれぞれから物理アドレスを削除する。このアンマップ動作により、このＬＢＡ範囲に含まれる各ＬＢＡに関連付けられているデータは無効化される。

ホスト２から受信するコマンドには、ＳＳＤ３に対し、特定の論理領域に格納されているセキュアイレーズ対象データのセキュアイレーズを要求するコマンド（以下、特定コマンドと称する）も含まれる。特定の論理領域は、ホスト２によって指定される論理領域識別子によって論理的に識別される領域である。

セキュアイレーズ対象データは、特定の論理領域に格納されているデータと特定の論理領域に格納されていたデータの双方を含む。特定の論理領域に格納されているデータは、特定の論理領域に現在格納されている有効データを意味する。特定の論理領域に格納されていたデータは、特定の論理領域への更新データの書き込み等によって無効化された無効データを意味する。ＳＳＤ３においては、旧データが格納されている物理記憶位置とは異なる物理記憶位置に更新データが書き込まれるので、旧データが旧物理記憶位置に無効データとして残されたままデータの更新が行われる。セキュアイレーズ対象データは、このような無効データも含む。

以下の説明では、特定の論理領域をセキュアイレーズ対象論理領域と称し、セキュアイレーズ対象論理領域に格納されているデータ及び／又は格納されていたデータをセキュアイレーズ対象データと称する。セキュアイレーズ対象論理領域は論理領域識別子により論理的に識別される。

特定コマンドは、例えば、セキュアイレーズ対象論理領域を識別する論理領域識別子を指定し、且つセキュアイレーズ対象データのセキュアイレーズを要求するコマンドである。

あるいは、特定コマンドは、セキュアイレーズ対象論理領域を識別する論理領域識別子を指定せずにセキュアイレーズ対象データのセキュアイレーズを要求するコマンドであってもよい。この場合には、ホスト２は、まず、セキュアイレーズ対象論理領域を識別する論理領域識別子を指定する一つ以上のコマンドをＳＳＤ３に送信する。次いで、ホスト２は、セキュアイレーズ対象データのセキュアイレーズを要求する特定コマンドをＳＳＤ３に送信する。

セキュアイレーズ対象論理領域を識別する論理領域識別子がネームスペース識別子の場合、セキュアイレーズ対象論理領域はネームスペース識別子によって識別されるネームスペースである。この場合、セキュアイレーズ対象データはネームスペース識別子によって識別されるネームスペースに格納されているデータ及び／又は格納されていたデータである。

つまり、コントローラ４が複数のネームスペース識別子によってそれぞれ識別される複数のネームスペースを管理するように構成されているケースにおいては、ネームスペース識別子がセキュアイレーズ対象ネームスペースを識別する論理領域識別子として使用可能である。

セキュアイレーズ対象論理領域を識別する論理領域識別子がＬＢＡのような論理アドレスである場合、セキュアイレーズ対象論理領域は論理アドレスによって識別されるセクタであり、セキュアイレーズ対象データはこの論理アドレスによって識別されるセクタに格納されているデータ及び／又は格納されていたデータである。なお、複数ネームスペースが存在する場合は、ネームスペース識別子と論理アドレスの組み合わせがセキュアイレーズ対象論理領域を識別する論理領域識別子として用いられてもよい。

特定コマンドは、一つ以上のセキュアイレーズ対象セクタを識別する一つ以上の論理アドレスを指定することができる。この場合、特定コマンドは、論理アドレス範囲（例えば論理領域の先頭を示す論理アドレスとそこからのセクタ数で指定されるＬＢＡ範囲）を指定してもよい。複数の論理アドレス範囲をセキュアイレーズ対象としたい場合には、ホスト２は、まず、各々がセキュアイレーズ対象論理アドレス範囲を指定する複数のコマンドをＳＳＤ３に送信してもよく、次いで、セキュアイレーズ対象データのセキュアイレーズを要求する特定コマンドをＳＳＤ３に送信してもよい。もちろん、特定コマンドが、複数の論理アドレス範囲を指定する複数のパラメータを含んでいてもよい。この場合も複数ネームスペースが存在する場合は、ネームスペース識別子と論理アドレス範囲の組み合わせが、セキュアイレーズ対象論理領域を識別する一つの論理領域識別子となってもよい。

コントローラ４がキー・バリューストアをサポートしている場合、セキュアイレーズ対象論理領域を識別する論理領域識別子としてキー・バリューストアのキーを用いることができる。この場合、セキュアイレーズ対象論理領域はキーによって識別されるバリューが格納されている論理領域であり、セキュアイレーズ対象データはこのキーによって識別される論理領域に格納されているデータ及び／又は格納されていたデータである。特定コマンドは、一つ以上のセキュアイレーズ対象バリューを識別する一つ以上のキーを指定することができる。

第１実施形態では、ライトコマンド、リードコマンドのようなＩ／Ｏコマンドによって指定される論理領域識別子として、ネームスペース識別子と論理アドレス（ＬＢＡ）との組み合わせが用いられる。Ｉ／Ｏコマンドによって指定される、ネームスペース識別子と論理アドレス（ＬＢＡ）との組み合わせは、アクセス対象の論理領域を示す。なお、コントローラ４がキー・バリューストアをサポートしている場合、キー・バリューストアのキー、またはネームスペース識別子とキーとの組み合わせが、アクセス対象の論理領域を示す。

図３は、ＳＳＤ３において管理される複数のネームスペースを説明するための図である。

図３においては、コントローラ４がネームスペースＮＳ＃１（ＮＳ＃１）、ネームスペースＮＳ＃２（ＮＳ＃２）、ネームスペースＮＳ＃３（ＮＳ＃３）を管理している場合が例示されている。各ネームスペースは、ネームスペース識別子（ＮＳＩＤ）によって識別される。各ネームスペースは連続する複数の論理アドレス（ＬＢＡ）の集合を含む。各ネームスペースに対応する論理アドレス範囲は、ＬＢＡ０から始まる。各ネームスペースは任意のサイズに設定可能である。各ネームスペースのサイズは、各ネームスペースに含まれるＬＢＡの個数に対応する。

図３においては、ネームスペースＮＳ＃１がＬＢＡ０からＬＢＡ（ｉ－１）までの連続する複数のＬＢＡを含み、ネームスペースＮＳ＃２がＬＢＡ０からＬＢＡ（ｊ－１）までの連続する複数のＬＢＡを含み、ネームスペースＮＳ＃３がＬＢＡ０からＬＢＡ（ｋ－１）までの連続する複数のＬＢＡを含む場合が例示されている。

ネームスペースＮＳ＃１、ネームスペースＮＳ＃２、ネームスペースＮＳ＃３がコントローラ４によって管理されている場合、一つのＬ２Ｐテーブル３７を用いて、ＳＳＤ３の一つの内部用論理アドレス空間にネームスペースＮＳ＃１、ネームスペースＮＳ＃２、ネームスペースＮＳ＃３がマッピングされるように、ネームスペース毎にベースアドレスが定義されてもよい。あるいは、Ｌ２Ｐテーブル３７がネームスペース毎に作成されてもよい。

図１の説明に戻る。ＣＰＵ１２は、ホストＩ／Ｆ１１、ＮＡＮＤ Ｉ／Ｆ１３、ＤＲＡＭ Ｉ／Ｆ１４、ＤＭＡＣ１５、ＳＲＡＭ１６、ＥＣＣエンコード／デコード部１７を制御するように構成されたプロセッサである。ＣＰＵ１２は、ＳＳＤ３の電源オンに応答してＮＡＮＤ型フラッシュメモリ５または図示しないＲＯＭから制御プログラム（ファームウェア）をＳＲＡＭ１６にロードし、そしてこのファームウェアを実行することによって様々な処理を行う。なお、ファームウェアはＤＲＡＭ６上にロードされてもよい。ＣＰＵ１２は、ホスト２からの様々なコマンドを処理するためのコマンド処理等を実行することができる。ＣＰＵ１２の動作は、上述のファームウェアによって制御される。なお、コマンド処理の一部または全部は、コントローラ４内の専用ハードウェアによって実行されてもよい。

このファームウェアは、ＣＰＵ１２を、ネームスペース管理部２１、ライト制御部２２、リード制御部２３及びイレーズ制御部２４として機能させる。

ネームスペース管理部２１は、ホスト２から受信されるネームスペース管理コマンドに基づき、ネームスペースの作成、管理、削除等を行う。

ライト制御部２２は、ホストＩ／Ｆ１１を介してホスト２から受信されるライトコマンドを処理する。ライトコマンドは、ネームスペース識別子（ＮＳＩＤ）、開始ＬＢＡ、ライトデータのサイズ等を指定する。ライト制御部２２は、ホストＩ／Ｆ１１を介してホスト２から受信されたライトコマンドに関連付けられたライトデータを、ＮＡＮＤ Ｉ／Ｆ１３を介してＮＡＮＤ型フラッシュメモリ５に書き込む。そして、ライト制御部２２は、ライトデータに対応する各ＬＢＡと、このライトデータが書き込まれた物理アドレスとが関連付けられるように、Ｌ２Ｐテーブル３７を更新する。

リード制御部２３は、ホストＩ／Ｆ１１を介してホスト２から受信されるリードコマンドを処理する。リードコマンドは、ネームスペース識別子（ＮＳＩＤ）、開始ＬＢＡ、リード対象データのサイズ等を指定する。リード制御部２３は、Ｌ２Ｐテーブル３７を参照することによって、リード対象データが格納されている物理アドレスを取得する。そしてリード制御部２３は、リード対象データをＮＡＮＤ Ｉ／Ｆ１３を介してＮＡＮＤ型フラッシュメモリ５から読み出す。

イレーズ制御部２４は、ホストＩ／Ｆ１１を介してホスト２から受信される特定コマンドに応じて、論理領域識別子によって識別されるセキュアイレーズ対象論理領域に格納されているセキュアイレーズ対象データのセキュアイレーズを、物理的セキュアイレーズ方法によって行う。イレーズ制御部２４は、アンマップ部２４ａと、ガベージコレクション（ＧＣ）部２４ｂと、セキュアイレーズ部２４ｃとを含んでもよい。

アンマップ部２４ａは、セキュアイレーズ対象データを無効化するアンマップ動作を行う。例えば、アンマップ部２４ａは、セキュアイレーズ対象論理領域に含まれている全ての論理領域を識別する論理領域識別子をアンマップする。

ＧＣ部２４ｂは、セキュアイレーズ対象データとセキュアイレーズ対象データを除くデータのうちの有効データとを格納している各ブロックをＧＣ対象ブロック（コピー元ブロック）として選択する。セキュアイレーズ対象データは、セキュアイレーズ対象論理領域内の有効データ及び／又は無効データでよい。セキュアイレーズ対象データを除くデータのうちの有効データは、セキュアイレーズ対象論理領域以外の他の論理領域に格納されている有効データである。ＧＣ部２４ｂは、セキュアイレーズ対象データを除くデータのうちの有効データのみをコピー元ブロックからコピー先ブロックにコピーするコピー動作を実行する。アンマップ動作とコピー動作により、コピー元ブロックは、一切の有効データが格納されないブロックとなる。

セキュアイレーズ部２４ｃは、コピー動作の実行後、コピー元ブロックを含むセキュアイレーズ対象データを格納するブロックに対して少なくともデータ消去動作を行い、これによってセキュアイレーズ対象データのセキュアイレーズを物理的セキュアイレーズ方法によって行う。

コントローラ４内の他のコンポーネントについて説明する。

ＮＡＮＤ Ｉ／Ｆ１３は、ＣＰＵ１２の制御の下、ＮＡＮＤ型フラッシュメモリ５を制御するように構成されたＮＡＮＤコントローラである。

ＤＲＡＭ Ｉ／Ｆ１４は、ＣＰＵ１２の制御の下、ＤＲＡＭ６を制御するように構成されたＤＲＡＭコントローラである。

ＤＲＡＭ６の記憶領域の一部は、ライトバッファ３１、リードバッファ３２、コマンドバッファ３３として利用されてもよい。また、ＤＲＡＭ６の記憶領域の一部は、セキュアイレーズ対象ブロックリスト３４、フリーブロックリスト３５、アクティブブロックリスト３６、及びＬ２Ｐテーブル３７を記憶する領域として利用されてもよい。

ライトバッファ３１は、ＮＡＮＤ型フラッシュメモリ５にライトすべきデータを一時的に記憶する。

リードバッファ３２は、ＮＡＮＤ型フラッシュメモリ５からリードしたデータを一時的に記憶する。

コマンドバッファ３３は、ホスト２から受信したコマンドを、そのコマンドが実行されるまで一時的に記憶する。

セキュアイレーズ対象ブロックリスト３４は、セキュアイレーズ対象データが格納されているブロックそれぞれのブロック識別子を記憶する。

フリーブロックリスト３５は、フリーブロックそれぞれのブロック識別子を記憶する。フリーブロックは有効データが格納されていないブロックである。

アクティブブロックリスト３６は、アクティブブロックそれぞれのブロック識別子を記憶する。アクティブブロックは有効データが格納されているブロックである。

次に、物理的セキュアイレーズ方法によりデータを安全且つ確実に消去する動作（以下、物理的セキュアイレーズ動作と称する）を説明する。

図４は、ＳＳＤ３において実行されるライト動作と物理的セキュアイレーズ動作の概要を示す。物理的セキュアイレーズ動作の説明に先立ち、まず、ライト動作について説明する。

ライト制御部２２は、ライトデータをライトバッファ３１に書き込む。ライト制御部２２は、書き込み先ブロック５６が割り当てられていない場合、フリーブロックリスト３５によって管理されているフリーブロックの中の一つのフリーブロックを選択し、選択したフリーブロックに対するブロックイレーズを行い、ブロックイレーズが行われたフリーブロックを書き込み先ブロック５６として割り当てる。

ライト制御部２２は、ライトバッファ３１内のライトデータを書き込み先ブロック５６の書き込み可能なページに書き込む。ライト制御部２２は、Ｌ２Ｐテーブル３７を更新する。ライトデータが書き込み先ブロック５６に書き込まれると、書き込み先ブロック５６は部分的にデータが書き込まれたブロック（以下、書き込み途中のブロックとも称される）となる。書き込み途中のブロックも有効データを格納しているので、アクティブブロックとして管理される。

書き込み先ブロック５６がライトデータで満たされることによって書き込み先ブロック５６に書き込み可能なページが無くなった場合、ライト制御部２２は、新たなフリーブロックを書き込み先ブロックとして割り当て、ライトバッファ３１内のライトデータを新たに割り当てた書き込み先ブロックの書き込み可能なページに書き込む。

次に、物理的セキュアイレーズ動作において実行される、アンマップ動作とガベージコレクション動作について説明する。

論理領域識別子で指定された論理領域のデータのセキュアイレーズを指示する特定コマンドをホスト２から受信すると、アンマップ部２４ａは、特定コマンドで指定された全ての論理領域を識別する論理領域識別子をアンマップする。換言すれば、アンマップ部２４ａは、セキュアイレーズ対象データを無効化するアンマップ動作を実行する。これにより、全てのセキュアイレーズ対象データは無効データとなる。有効データが無くなったアクティブブロックはアクティブブロックリスト３６から取り除かれ、代わりに、フリーブロックリスト３５によって管理される。

そして、ＧＣ部２４ｂは、ガベージコレクション動作を実行する。このガベージコレクション動作において、ＧＣ部２４ｂは、セキュアイレーズ対象データを除くデータのうちの有効データのみを、セキュアイレーズ対象データが格納されている一つ以上の第１のブロックから、一つ以上のコピー先ブロックにコピーする。セキュアイレーズ対象データを除くデータは、セキュアイレーズ対象データに指定されなかったデータである。

これにより、アクティブブロック群は、セキュアイレーズ対象データとセキュアイレーズ対象データを除くデータのうちの有効データとが混在しているブロックを含まないようになる。一つ以上の第１のブロック（コピー元ブロック）はセキュアイレーズ対象データを除くデータのうちの有効データを含まなくなるので、一つ以上の第１のブロックの各々をフリーブロックとして扱うことが可能となる。よって、一つ以上の第１のブロックはアクティブブロックリスト３６から取り除かれ、代わりに、フリーブロックリスト３５によって管理される。

次に、ＧＣ部２４ｂによって実行されるガベージコレクション動作の詳細例を説明する。セキュアイレーズ対象データは、例えば、（ｉ）特定コマンドによってネームスペース識別子のみが指定された場合には、このネームスペース識別子によって識別される、セキュアイレーズ対象ネームスペースのデータ（ユーザデータ）、（ｉｉ）特定コマンドによってネームスペース識別子とＬＢＡ範囲との組み合わせが指定された場合は、このネームスペース識別子とＬＢＡ範囲とによって識別される論理領域のデータ、（ｉｉｉ）特定コマンドによってキー・バリューストアのキーが指定された場合には、このキーによって識別されるバリュー、のいずれかである。

ＧＣ部２４ｂは、セキュアイレーズ対象データを格納しているアクティブブロックをコピー元ブロック５２として選択する。

ＧＣ部２４ｂは、フリーブロックリスト３５によって管理されているフリーブロックのうちの一つのフリーブロックを選択する。ＧＣ部２４ｂは、選択したフリーブロックに対してブロックイレーズを行う。そしてＧＣ部２４ｂは、ブロックイレーズが行われたフリーブロックをコピー先ブロック５４として割り当てる。

ＧＣ部２４ｂは、セキュアイレーズ対象データを除いたデータのうちの有効データ、すなわちセキュアイレーズ非対象の有効データを、コピー元ブロック５２からコピー先ブロック５４にコピーする。ＧＣ部２４ｂは、Ｌ２Ｐテーブル３７を更新して、有効データがコピーされたコピー先物理記憶位置を示す物理アドレスを、このコピーされた有効データの論理領域識別子に関連付ける。コピー元ブロック５２内のセキュアイレーズ対象データは、アンマップ状態のまま維持される。有効データがコピーされたコピー先ブロック５４は、アクティブブロックとなり、アクティブブロックリスト３６によって管理される。

コピー元ブロック５２内の全ての有効データのコピーが完了すると、コピー元ブロック５２はフリーブロックとなり、フリーブロックリスト３５によって管理される。

ＧＣ部２４ｂは、セキュアイレーズ対象データを格納している別のアクティブブロックを新たなコピー元ブロック５２として選択する。ＧＣ部２４ｂは、セキュアイレーズ非対象の有効データを、新たなコピー元ブロック５２からコピー先ブロック５４にコピーする。ＧＣ部２４ｂは、Ｌ２Ｐテーブル３７を更新して、有効データがコピーされたコピー先物理記憶位置を示す物理アドレスと、このコピーされた有効データの論理領域識別子とを関連付ける。コピー元ブロック５２内のセキュアイレーズ対象データは、アンマップ状態のまま維持される。

コピー先ブロック５４がデータで満たされると、すなわちコピー先ブロック５４内の書き込み可能なページがなくなると、ＧＣ部２４ｂは、フリーブロックリスト３５によって管理されているフリーブロックのうちの一つのフリーブロックを選択する。ＧＣ部２４ｂは、選択したフリーブロックに対してブロックイレーズを行う。そしてＧＣ部２４ｂは、ブロックイレーズが行われたフリーブロックを新たなコピー先ブロック５４として割り当てる。

有効データのコピーが完了したコピー元ブロックは、フリーブロックリスト３５によってフリーブロックとして管理されているので、コピー先ブロック５４として再利用することができる。ＧＣ部２４ｂは、コピーによってフリーブロックになったコピー元ブロックをコピー先ブロックとして選択してもよい。この場合、ＧＣ部２４ｂは、この選択したブロックに対してブロックイレーズを行う。これにより、コピーによってフリーブロックになったコピー元ブロック内のセキュアイレーズ対象データは、消去される。ＧＣ部２４ｂは、ブロックイレーズが行われたブロックを新たなコピー先ブロック５４として割り当てる。そしてＧＣ部２４ｂは、セキュアイレーズ非対象の有効データを、コピー元ブロック５２からコピー先ブロック５４にコピーする。このように、フリーブロックになったコピー元ブロックがコピー先ブロック５４として再利用されることにより、このコピー元ブロック内のセキュアイレーズ対象データは、ブロックイレーズによって消去され、さらに、セキュアイレーズ非対象の有効データによってオーバーライトされる。

このようにして、ＧＣ部２４ｂは、コピーによって有効データが格納されていないフリーブロックになったコピー元ブロックに対して少なくともブロックイレーズを行う。

セキュアイレーズ対象データを格納している全てのアクティブブロックに対するガベージコレクション動作が完了すると、セキュアイレーズ対象データは、フリーブロック以外のどのブロックにも存在しなくなる。

次に、物理的セキュアイレーズ動作において実行される上述したブロックイレーズ動作の例を説明する。

セキュアイレーズ部２４ｃは、ガベージコレクション動作の実行後、フリーブロックリスト３５によって管理されているフリーブロックのうち、セキュアイレーズ対象データを格納している一つ以上の第１のフリーブロックに対して少なくともブロックイレーズを行う。

ここで、一つ以上の第１のフリーブロックは、（ｉ）コピーによって有効データが格納されていないフリーブロックになった一つ以上のコピー元ブロックのうち、コピー先ブロックとして使用されなかった一つ以上のブロックと、（ｉｉ）ガベージコレクション動作の開始前から存在するフリーブロックであって、セキュアイレーズ対象論理領域の無効データを格納しているフリーブロックのうち、コピー先ブロックとして使用されなかった一つ以上のフリーブロックと、を含む。（ｉｉ）におけるセキュアイレーズ対象論理領域の無効データは、セキュアイレーズ対象論理領域のデータのうち、物理的セキュアイレーズ動作の開始前に既に無効化されていたデータを含む。

セキュアイレーズ部２４ｃは、フリーブロックリスト３５によって管理されているフリーブロックから、（ｉ）に該当するフリーブロックと（ｉｉ）に該当するフリーブロックを見つけ出す処理を行い、見つけ出したフリーブロックの各々に対して少なくともブロックイレーズを行う。あるいは、セキュアイレーズ部２４ｃは、フリーブロックリスト３５によって管理されている全てのフリーブロックの各々に対して少なくともブロックイレーズを行ってもよい。

この結果、ガベージコレクション動作後にフリーブロックとして残っている各ブロックに格納されているセキュアイレーズ対象データは、少なくともブロックイレーズによってセキュアにイレーズされる。また、コピー先ブロックとして再利用された幾つかのブロックに格納されていたセキュアイレーズ対象データは、オーバーライト（つまり、ブロックイレーズ＋オーバーライト）によってセキュアにイレーズされる。

なお、セキュアイレーズ部２４ｃは、ガベージコレクション動作の実行後、セキュアイレーズ対象データを格納している各フリーブロックに対してブロックイレーズを行い、さらに、各フリーブロックに対してオール０またはオール１またはその組み合わせのような特定のデータパターンを書き込んでもよい。これによっても、セキュアイレーズ対象データの全てがブロックイレーズと特定のデータパターンによるオーバーライトによってセキュアにイレーズされる。

以下では、上述の特定のコマンドとして、特定のネームスペースのデータのセキュアイレーズを要求する第１の特定コマンド使用される場合を想定する。第１の特定のコマンドは、セキュアイレーズ対象の論理領域を示す論理領域識別子として、特定のネームスペースを識別するネームスペース識別子を使用する。

図５は、第１実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャートである。

コントローラ４がホスト２からコマンドを受信すると（ステップＳ１０２）、ＣＰＵ１２は、この受信したコマンドが第１の特定コマンドであるか否かを判定する（ステップＳ１０４）。

受信したコマンドが第１の特定コマンドではない場合（ステップＳ１０４のＮＯ）、ＣＰＵ１２は、受信したコマンドに応じた処理を実行する（ステップＳ１０６）。

受信したコマンドが第１の特定コマンドである場合（ステップＳ１０４のＹＥＳ）、アンマップ部２４ａは、セキュアイレーズ対象ネームスペースの全てのデータを無効化するアンマップ動作を実行する（ステップＳ１１２）。

ステップＳ１１２では、例えば、アンマップ部２４ａは、セキュアイレーズ対象ネームスペースの全てのＬＢＡに対応するＬ２Ｐテーブル３７のエントリそれぞれから物理アドレスを削除する。又は、アンマップ部２４ａは、これらエントリにＮＵＬＬ値を格納する。このアンマップ動作により、セキュアイレーズ対象ネームスペースに対応するＬ２Ｐテーブル３７内の全クラスタは、無効状態となる。すなわち、セキュアイレーズ対象ネームスペースに対応する全クラスタに関連付けられていたデータは破棄してよいデータであると、内部的に認識される状態となる。この結果、セキュアイレーズ対象ネームスペース内の全てのデータは無効データとなる。

或るアクティブブロックに格納されていた全てのデータがセキュアイレーズ対象データであった場合、アンマップ動作の終了時点で、このアクティブブロックは、無効データのみを格納するフリーブロックとなる。

或るアクティブブロックがセキュアイレーズ対象データとセキュアイレーズ非対象ネームスペースの有効データの双方を格納していた場合、アンマップ動作の終了時点で、このアクティブブロックは、セキュアイレーズ対象データのうちの無効データと、セキュアイレーズ非対象ネームスペースの有効データと、を格納している。

セキュアイレーズ対象データ（無効データ）と、セキュアイレーズ非対象ネームスペースの有効データとが混在しているブロックがアクティブブロック群から無くなるように、ＧＣ部２４ｂは、ガベージコレクション動作（ＧＣ動作）を実行する（ステップＳ１１４）。

ＧＣ部２４ｂは、少なくとも、セキュアイレーズ対象ネームスペースの無効データを格納しているアクティブブロックの全てをＧＣ対象ブロック（つまりコピー元ブロック）として選択する。あるいは、ガベージコレクション動作を簡単に実装する場合には、ＧＣ部２４ｂは、セキュアイレーズ対象ネームスペースの無効データであるか否かにに関わらず、少なくとも無効データを格納するアクティブブロックの全てをコピー元ブロックとして選択してもよい。

ＧＣ部２４ｂは、コピー元ブロックとして選択した各アクティブブロックのブロック識別子を、セキュアイレーズ対象ブロックリスト３４に保存してもよい。

ＧＣ部２４ｂは、ブロックがどのネームスペースのデータを格納しているかを、例えば図６に示すような情報に基づいて調べることができる。

図６は、ブロックに書き込まれるデータ構造の例を示す。図６（ａ）の例では、ネームスペース識別子とＬＢＡのペアと、そのペアによって識別されるデータと、が各ページに書き込まれている。そのため、ＧＣ部２４ｂは、各ページのネームスペース識別子とＬＢＡのペアを読むことにより、当該ページを含むブロックがセキュアイレーズ対象ネームスペースのデータを格納するか否を判断することができる。

ブロックに書き込まれるデータ構造の他の例では、図６（ｂ）に示すように、図６（ａ）の情報に加えて、このブロック中のデータが含まれるネームスペースのネームスペース識別子のリストがいずれかのページ（例えば最後のページ）に書き込まれている。そのため、ＧＣ部２４ｂは、各ブロックの全てのページを読むことなく、各ブロックの最後のページに格納されているネームスペース識別子のリストだけを読むことにより、当該ブロックがセキュアイレーズ対象ネームスペースのデータを格納するか否かを判断することができる。

図５のステップＳ１１４の説明に戻る。ＧＣ部２４ｂは、フリーブロックの中から任意の１つのフリーブロックを選択する。ＧＣ部２４ｂは、選択したフリーブブロックに対してブロックイレーズを行う。ＧＣ部２４ｂは、ブロックイレーズが行われたフリーブロックをコピー先ブロック５４として割り当てる。

ＧＣ部２４ｂは、セキュアイレーズ対象データを除いたデータのうちの有効データ、すなわちセキュアイレーズ非対象ネームスペースの有効データを、コピー元ブロック５２からコピー先ブロック５４へコピーする。ＧＣ部２４ｂは、Ｌ２Ｐテーブル３７を更新して、セキュアイレーズ非対象ネームスペースの有効データのＬＢＡそれぞれと、コピー先の物理アドレスそれぞれとをマッピングする。

セキュアイレーズ非対象ネームスペースの有効データがコピーされると、コピー元ブロック５２中のセキュアイレーズ非対象ネームスペースの有効データは無効データとなる。コピーの前に、セキュアイレーズ対象ネームスペースの全てのＬＢＡがアンマップされているので、コピー元ブロック５２中のデータの全ては、コピー後は無効データである。従って、コピー元ブロック５２に格納されているセキュアイレーズ非対象ネームスペースの全ての有効データがコピー先ブロックにコピーされると、コピー元ブロック５２はフリーブロックとなる。よって、全てのコピー元ブロック内のセキュアイレーズ非対象ネームスペースの全ての有効データが幾つかのコピー先ブロックにコピーされると、セキュアイレーズ対象データはフリーブロック以外に存在しなくなる。言い換えると、セキュアイレーズ対象ネームスペースの無効データは幾つかのフリーブロックのみに存在するようになる。

ＧＣ部２４ｂは、ガベージコレクション動作の終了条件が満たされたか否かを判定する（ステップＳ１２２）。セキュアイレーズ対象ネームスペースのデータとセキュアイレーズ非対象ネームスペースの有効データとが混在するブロックからの、セキュアイレーズ非対象ネームスペースの有効データに対する全てのコピーが完了すると、セキュアイレーズ対象データ（セキュアイレーズ対象ネームスペースの無効データ）がアクティブブロックから無くなる。すなわち、セキュアイレーズ対象ネームスペースの無効データはフリーブロックのみに存在することになる。そのため、終了条件は、セキュアイレーズ対象ネームスペースの無効データを格納するブロックがアクティブブロック群から存在しなくなったこととしてよい。

セキュアイレーズ対象ネームスペースの無効データを格納するブロックがアクティブブロック群から存在しなくなるまで、ＧＣ部２４ｂは、ＧＣ動作を引き続き実行する（ステップＳ１２２のＮＯ、ステップＳ１１４）。

ガベージコレクション動作の終了条件が満たされると（ステップＳ１２２のＹＥＳ）、ＧＣ部２４ｂは、ＧＣ動作を終了する。この時点で、セキュアイレーズ対象ネームスペースの無効データがフリーブロック以外に存在する可能性はなくなっている。

セキュアイレーズ部２４ｃは、少なくともセキュアイレーズ対象ネームスペースの無効データが格納されている各フリーブロックに対してブロックイレーズ動作を行う（ステップＳ１２４）。コピー先ブロックとして再利用されたコピー元ブロックは、ステップＳ１１４のガベージコレクション動作によって既にブロックイレーズされている。したがって、ステップＳ１１４で行った各コピー元ブロックに対するブロックイレーズ動作とステップＳ１２４のブロックイレーズ動作とを合わせることにより、セキュアイレーズ対象ネームスペースのデータの全てがブロックイレーズによってセキュアにイレーズされる。

ステップＳ１２４では、セキュアイレーズ部２４ｃは、セキュアイレーズ対象ネームスペースの無効データが格納されている各フリーブロックに対してブロックイレーズを行い、さらに、これらフリーブロックの各々に特定のデータパターンを書き込んでもよい。この結果、各フリーブロックに格納されているセキュアイレーズ対象ネームスペースの無効データは、特定のデータパターンでオーバーライトされる。コピー先ブロックとして再利用されたコピー元ブロックに格納されていたセキュアイレーズ対象ネームスペースの無効データは、ステップＳ１１４のガベージコレクション動作によって、他のネームスペースの有効データで既にオーバーライトされている。したがって、ステップＳ１１４でのオーバーライトとステップＳ１２４のオーバーライトとを合わせることにより、セキュアイレーズ対象ネームスペースのデータの全てがオーバーライトによってセキュアにイレーズされる。

セキュアイレーズ部２４ｃは、フリーブロックの全てに対してブロックイレーズを行ってもよい。これにより、セキュアイレーズ対象ネームスペースの無効データが格納されている各フリーブロックに対して少なくともブロックイレーズを行うというステップＳ１２４の処理が簡単に実施され得る。

あるいは、ブロックイレーズが行われるブロックの個数を減らすために、セキュアイレーズ部２４ｃは、セキュアイレーズ対象ネームスペースの無効データが格納されている一つ以上のフリーブロックを特定する処理を実行し、特定された一つ以上のフリーブロックのみに対してブロックイレーズを行ってもよい。

前者および後者のいずれにおいても、少なくとも、セキュアイレーズ対象ネームスペースの無効データが格納されている一つ以上のフリーブロックが物理的セキュアイレーズ動作の対象となる。

後者の場合であって、且つ、ステップＳ１１４においてセキュアイレーズ対象ネームスペースの無効データを格納しているアクティブブロックのみをＧＣ対象ブロックとした場合、セキュアイレーズ部２４ｃは、ステップＳ１２４の開始時点で存在するフリーブロックを、ステップＳ１１４のＧＣ動作によって生成されたフリーブロックのグループＩと、それ以外のフリーブロックのグループＩＩとに分類してもよい。セキュアイレーズ部２４ｃは、グループＩに属する各フリーブロックの内容をチェックすることなく、セキュアイレーズ対象ネームスペースの無効データが格納されているフリーブロックとして容易に特定することができる。セキュアイレーズ部２４ｃは、グループＩＩに属する各フリーブロックの内容をチェックすることによって、これら各フリーブロックが、セキュアイレーズ対象ネームスペースの無効データが格納されているフリーブロックであるか否かを判定することができる。

ステップＳ１２４の処理が完了すると、イレーズ制御部２４は、第１の特定コマンドの完了を示すレスポンスをホスト２に送信することによって、第１の特定コマンドの完了をホスト２に通知する（ステップＳ１２６）。

次に、特定のネームスペースのデータのセキュアイレーズを要求する第１の特定コマンドを受信した時におけるＩ／Ｏコマンドの取り扱いについて説明する。Ｉ／Ｏコマンドの例は、ライトコマンド、リードコマンド、アンマップコマンド、を含む。

まず、第１の特定コマンドが受信される前に受信され且つ未完了のＩ／Ｏコマンドに対する取り扱いについて説明する。

第１の特定コマンドの処理によって、セキュアイレーズ対象ネームスペースのデータはセキュアにイレーズされることになる。このため、コントローラ４は、このセキュアイレーズ対象ネームスペースに対する未完了のライトコマンド、およびこのセキュアイレーズ対象ネームスペースに対する未完了のアンマップコマンドは原則としてアボートする。

あるいは、コントローラ４は、未完了のライトコマンドまたはアンマップコマンドの処理の完了を待ち、これらのコマンドの処理が完了した後に第１の特定コマンドの実行を開始してもよい。特に、コントローラ４は、これらのコマンドの処理が完了間際であれば、これらのコマンドをアボートせずに、これらのコマンドの処理が完了した後に第１の特定コマンドの実行を開始してもよい。

図７は、第１の特定コマンドが受信される前に受信され且つ未完了のＩ／Ｏコマンドに対する処理の手順を示すフローチャートである。

コントローラ４は、特定のネームスペースのデータのセキュアイレーズを要求する第１の特定コマンドをホスト２から受信する（ステップＳ７０２）。コントローラ４は、この特定のネームスペース（セキュアイレーズ対象ネームスペース）に対する実行中のＩ／Ｏコマンド、あるいはセキュアイレーズ対象ネームスペースに対する、受信済みで且つまだ実行が開始されていないＩ／Ｏコマンド（以下、これらのＩ／Ｏコマンドを未完了のコマンドとも称する）が存在するか否かを判定する（ステップＳ７０４）。

未完了のコマンドが存在する場合（ステップＳ７０４のＹＥＳ）、コントローラ４は、未完了のコマンドがライトコマンドまたはアンマップコマンドであるか否かを判定する（ステップＳ７０６）。

未完了のコマンドがライトコマンドまたはアンマップコマンドである場合（ステップＳ７０６のＹＥＳ）、コントローラ４は、未完了のライトコマンドまたはアンマップコマンドの処理が完了間際であるか否かを判定する（ステップＳ７０８）。

未完了のライトコマンドまたはアンマップコマンドの処理が完了間際ではない場合（ステップＳ７０８のＮＯ）、コントローラ４は、未完了のライトコマンドまたはアンマップコマンドをアボートする（ステップＳ７１２）。ステップＳ７１２で、ホスト２から受信したコマンドを任意の順序（Ｏｕｔ ｏｆ ｏｒｄｅｒ）で実行することが許されない場合は、コントローラ４は、例えばライトコマンドをアボートした場合には、このライトコマンドの受信後にホスト２から受信した後続の全てのＩ／Ｏコマンドをアボートする。

未完了のコマンドのアボート後、コントローラ４は、第１の特定コマンドの実行を開始する（ステップＳ７１４）。

未完了のライトコマンドまたはアンマップコマンドの処理が完了間際である場合（ステップＳ７０８のＹＥＳ）、コントローラ４は、未完了のライトコマンドまたはアンマップコマンドをアボートせず、未完了のライトコマンドまたはアンマップコマンドの処理の完了を待ってもよい（ステップＳ７１０）。そして、未完了のライトコマンドまたはアンマップコマンドの処理の完了に応じて（ステップＳ７１０のＹＥＳ）、コントローラ４は、第１の特定コマンドの実行を開始する（ステップＳ７１４）。

セキュアイレーズ対象ネームスペースに対する未完了のコマンドがライトコマンドまたはアンマップコマンドの何れでもない場合、すなわちセキュアイレーズ対象ネームスペースに対する未完了のリードコマンドが存在する場合には（ステップＳ７０６のＮＯ）、コントローラ４は、未完了のリードコマンドをアボートせず、未完了のリードコマンドの処理の完了を待つ（ステップＳ７１０）。そして、未完了のリードコマンドの処理の完了に応じて、コントローラ４は、第１の特定コマンドの実行を開始する（ステップＳ７１４）。

次に、第１の特定コマンドの実行中に受信されたＩ／Ｏコマンドに対する取り扱いについて、図８を参照して説明する。図８は、第１の特定コマンドの実行中に受信されるＩ／Ｏコマンドに対する処理の手順を示すフローチャートである。

コントローラ４は、特定のネームスペースのデータのセキュアイレーズを要求する第１の特定コマンドを受信し（ステップＳ８０２）、第１の特定コマンドの実行を開始する（ステップＳ８０４）。第１の特定コマンドの実行中にＩ／Ｏコマンドを受信した場合（ステップＳ８０６）、コントローラ４は、受信したＩ／Ｏコマンドがこの特定のネームスペース（セキュアイレーズ対象ネームスペース）に対するＩ／Ｏコマンドであるか否かを判定する（ステップＳ８０８）。

第１の特定コマンドの実行中に受信したＩ／Ｏコマンドがセキュアイレーズ対象ネームスペースに対するＩ／Ｏコマンドである場合（ステップＳ８０８のＹＥＳ）、コントローラ４は、受信したＩ／Ｏコマンドをアボートする（ステップＳ８１０）。あるいは、ステップＳ８１０で、コントローラ４は、受信したＩ／Ｏコマンドの実行を第１の特定コマンドの処理が完了するまで（つまり、第１の特定コマンドの完了がホスト２に通知されるまで）保留し、第１の特定コマンドの処理の完了後に、受信したＩ／Ｏコマンドを実行してもよい。

第１の特定コマンドの実行中に受信したＩ／Ｏコマンドがセキュアイレーズ対象ネームスペース以外の他のネームスペースに対するＩ／Ｏコマンドである場合（ステップＳ８０８のＮＯ）、コントローラ４は、以下の第１の方法または第２の方法を選択的に使用することができる。そのため、コントローラ４は、第１の方法または第２の方法の何れが予め選択されているかを判定する（ステップＳ８１２）。第１の方法が予め選択されている場合、コントローラ４は、ステップＳ８１４の処理を実行する。第２の方法が予め選択されている場合、コントローラ４は、ステップＳ８１６の処理を実行する。

第１の方法（ステップＳ８１４）： 他のネームスペースに対するＩ／Ｏコマンドがライトコマンドである場合、コントローラ４は、このライトコマンドの実行を、少なくともＧＣ動作が完了するまで保留し、ＧＣ動作の完了後にライトコマンドを実行する。

他のネームスペースに対するＩ／Ｏコマンドがリードコマンドである場合、コントローラ４は、このリードコマンドを通常通り実行する。ただし、ホスト２から受信したコマンドを任意の順序（Ｏｕｔ ｏｆ ｏｒｄｅｒ）で実行することが許されない場合は、コントローラ４は、他のネームスペースに対するリードコマンドを、これらリードコマンドが受信された順序と同じ順序で実行する。そして、他のネームスペースに対するリードコマンドに後続する、当該他のネームスペースに対するライトコマンドを受信した時点で、この受信したライトコマンドと、この受信したライトコマンドに後続する当該他のネームスペースに対する全てのＩ／Ｏコマンドの処理とを、少なくともＧＣ動作が完了するまで保留する。ＧＣ動作の完了後に、コントローラ４は、この受信したライトコマンドと、この受信したライトコマンドに後続する当該他のネームスペースに対する全てのＩ／Ｏコマンドとを、これらコマンドが受信された順序と同じ順序で実行する。

なお、第１の方法の説明において、コントローラ４は、アンマップコマンドをライトコマンドと同様に扱っても、そうでなくてもよい。コントローラ４は、アンマップコマンドをライトコマンドと同様に扱わない場合は、リードコマンドと同様にアンマップコマンドを通常通り実行する。

第２の方法（ステップＳ８１６）： 他のネームスペースに対するＩ／Ｏコマンドがライトコマンド、アンマップコマンド、またはリードコマンドである場合、コントローラ４は、このＩ／Ｏコマンドを通常通り実行する。この第２の方法では、他のネームスペースに対するＩ／Ｏコマンドの処理が大きく遅延することが無い効果があるが、このＩ／Ｏコマンドの処理の分だけ第１の特定コマンドの処理に要する時間が増える。さらに、他のネームスペースに対するライトコマンドに関連付けられたライトデータ（更新データ）の書き込みによって発生した無効データまでもがＧＣ動作の対象になってしまう可能性がある。この場合には、第１の特定コマンドの処理に要する時間がさらに増える。

次に、図９Ａ、図９Ｂ、図１０、図１１Ａ、及び図１１Ｂを参照して、特定のネームスペースのデータに対するセキュアイレーズ動作の例を説明する。

図９Ａは、セキュアイレーズ動作の開始前における各アクティブブロックの内容の一例を示す図である。図９Ａでは、ブロックＢＬＫ０、ブロックＢＬＫ１、ブロックＢＬＫ２の三つのブロックが、有効データが格納されているアクテティブブロックである場合が例示されている。

ブロックＢＬＫ０は、書き込み先ブロックとして割り当てられている書き込み途中のアクティブブロックである。ブロックＢＬＫ０においては、空白で図示される未書き込みの記憶領域が残っている。ブロックＢＬＫ１およびブロックＢＬＫ２の各々は、ブロックの終端までデータが書き込まれている書き込み済みのアクティブブロックである。

ＳＳＤ３にネームスペースＡ、ネームスペースＢ、ネームスペースＣの三つのネームスペースが存在する場合、ネームスペースＡのデータ、ネームスペースＢのデータ、ネームスペースＣのデータがブロックＢＬＫ０、ブロックＢＬＫ１、ブロックＢＬＫ２の各々において混在している可能性がある。さらに、ブロックＢＬＫ０、ブロックＢＬＫ１、ブロックＢＬＫ２の各々においては、各ネームスペースの有効データと無効データも混在され得る。無効データは、例えば、この無効データのＬＢＡに関連付けられた新たなライトデータ（更新データ）の書き込みによって、あるいはホスト２からのアンマップコマンドによって無効化されたデータである。

図９Ｂは、セキュアイレーズ動作の開始前における各フリーブロックの内容の一例を示す図である。図９Ｂでは、ブロックＢＬＫ３、ブロックＢＬＫ４、ブロックＢＬＫ５、ブロックＢＬＫ６の四つのブロックが、有効データが格納されていないフリーブロックである場合が例示されている。

図９Ｂでは、フリーブロックＢＬＫ３においては、ネームスペースＡの無効データとネームスペースＣの無効データが格納されているが、ネームスペースＢの無効データは格納されていない。フリーブロックＢＬＫ４～ＢＬＫ６の各々においては、ネームスペースＡの無効データ、ネームスペースＢの無効データ、ネームスペースＣの無効データが格納されている。

図９Ａに示す三つのアクティブブロックと図９Ｂに示す四つのフリーブロックが存在する状態で、ネームスペースＢのデータのセキュアイレーズを要求する第１の特定コマンドをホスト２からＳＳＤ３が受信した場合を想定する。

まず、アンマップ部２４ａは、ネームスペースＢに属する全てのＬＢＡにそれぞれ対応するデータを無効化するアンマップ動作を実行する。

図１０は、アンマップ動作が実行された後における各アクティブブロックの内容の一例を示す図である。図１０では、太字は、このアンマップによって新たに無効データとなったネームスペースＢのデータを示している。

アンマップ動作が実行される前は、ブロックＢＬＫ０は、図９Ａに示されているようにネームペースＢの一つの無効データと、ネームペースＢの二つの有効データを格納していた。図１０に示すように、アンマップにより、ブロックＢＬＫ０中のネームペースＢの二つの有効データの全ては無効データとなる。

アンマップ動作が実行される前は、ブロックＢＬＫ１は、図９Ａに示されているようにネームペースＢの二つの無効データと、ネームペースＢの四つの有効データを格納していた。図１０に示すように、アンマップにより、ブロックＢＬＫ１中のネームペースＢの四つの有効データの全ては無効データとなる。

アンマップ動作が実行される前は、ブロックＢＬＫ２は、図９Ａに示されているようにネームペースＢの三つの無効データと、ネームペースＢの四つの有効データを格納していた。図１０に示すように、アンマップにより、ブロックＢＬＫ２中のネームペースＢの四つの有効データの全ては無効データとなる。

アンマップ動作の実行後、ＧＣ部２４ｂは、ネームスペースＢの無効データを格納しているアクティブブロックの全てをＧＣ対象ブロック、つまりコピー元ブロックとして選択し、ＧＣ動作を実行する。

図１０では、アクティブブロックであるブロックＢＬＫ０、ブロックＢＬＫ１、ブロックＢＬＫ２の各々が、ネームスペースＢの無効データを格納している。したがって、これらブロックＢＬＫ０、ブロックＢＬＫ１、ブロックＢＬＫ２の三つのアクティブブロックの全てがコピー元ブロックとして選択される。

図１１Ａは、ＧＣ動作が実行された後における各アクティブブロックの内容の一例を示す図である。図１１Ａにおいて、各物理記憶位置内の記号（Ａ）、（Ｂ）、（Ｃ）は、その物理記憶位置に以前に格納されていたデータに対応するネームスペースがそれぞれネームスペースＡ、ネームスペースＢ、ネームスペースＣであることを示す。

図１１Ａでは、ＧＣ動作前はフリーブロックであったブロックＢＬＫ６およびＢＬＫ５がＧＣ動作によりコピー先ブロックとして使用され、有効データのコピーによってアクティブブロックになった場合が例示されている。

ブロックＢＬＫ６は、ブロックＢＬＫ１およびブロックＢＬＫ２の各々からブロックＢＬＫ６への有効データのコピーによって、アクティブブロックになる。このコピーの結果、ブロックＢＬＫ１に格納されていたネームスペースＡおよびネームスペースＣそれぞれの有効データの全てと、ブロックＢＬＫ２に格納されていたネームスペースＡおよびネームスペースＣそれぞれの有効データの全てが、ブロックＢＬＫ６に格納される。

ブロックＢＬＫ５は、ブロックＢＬＫ０からブロックＢＬＫ５への有効データのコピーによって、アクティブブロックになる。このコピーにより、ブロックＢＬＫ０に格納されていたネームスペースＡおよびネームスペースＣそれぞれの有効データの全てがブロックＢＬＫ５に格納される。

以下、ブロックＢＬＫ６およびＢＬＫ５の各々の状態を、図９Ｂに示すフリーブロックから図１１Ａに示すアクティブブロックに遷移させるＧＣ動作について説明する。ＧＣ部２４ｂは、ブロックＢＬＫ６に対するブロックイレーズを行う。そしてＧＣ部２４ｂは、ネームスペースＢ以外の他のネームスペースの有効データをブロックＢＬＫ１からブロックＢＬＫ６にコピーする。この時ＧＣ部２４ｂは、ネームスペースＢ以外の他のネームスペースの有効データがブロックＢＬＫ６内の複数の物理記憶位置に連続して配置されるようにコピーする。

さらに、ＧＣ部２４ｂは、ネームスペースＢ以外の他のネームスペースの有効データをブロックＢＬＫ２からブロックＢＬＫ６にコピーする。この時ＧＣ部２４ｂは、ネームスペースＢ以外の他のネームスペースの有効データがブロックＢＬＫ６内の後続する複数の物理記憶位置に連続して配置されるようにコピーする。

これにより、ブロックＢＬＫ６は、ブロックＢＬＫ１に格納されているネームスペースＢ以外の他のネームスペースの有効データと、ブロックＢＬＫ２に格納されているネームスペースＢ以外の他のネームスペースの有効データと、で満たされる。この結果、ＧＣ動作前はフリーブロックであったブロックＢＬＫ６に格納されていたネームスペースＢの無効データは、ネームスペースＢ以外の他のネームスペースの有効データでオーバーライトされたことになる。

図１１Ａにおいて、太字は、ネームスペースＢのデータが消去された物理記憶位置を示している。太字に着目して図１１Ａを参照すると、例えば、ＧＣ動作前はフリーブロックであったブロックＢＬＫ６に格納されていたネームスペースＢの無効データが、ネームスペースＢ以外の他のネームスペースの有効データでオーバーライトされていることが理解されよう。

同様にして、ＧＣ部２４ｂは、ブロックＢＬＫ５に対するブロックイレーズを行う。そしてＧＣ部２４ｂは、ネームスペースＢ以外の他のネームスペースの有効データをブロックＢＬＫ０からブロックＢＬＫ５にコピーする。この時ＧＣ部２４ｂは、ネームスペースＢ以外の他のネームスペースの有効データがブロックＢＬＫ５内の複数の物理記憶位置に連続して配置されるようにコピーする。なお、この例ではブロックＢＬＫ５にはデータが最後まで書かれていないが、残りを例えばオールゼロなどのダミーデータで埋めても構わない。

太字に着目して再び図１１Ａを参照すると、ブロックＢＬＫ５に格納されていたネームスペースＢの無効データが、ネームスペースＢ以外の他のネームスペースの有効データでオーバーライトされているか、ブロックイレーズされた状態であることが理解されよう。

以上のＧＣ動作によって、ネームスペースＢのデータ（無効データ）を格納しているブロックＢＬＫ０～ＢＬＫ２はフリーブロックとなる。また、新たにアクティブブロックになったブロックＢＬＫ５およびブロックＢＬＫ６の二つのブロックはネームスペースＢ以外の他のネームスペースの有効データのみを格納しており、ネームスペースＢのデータを格納していない。したがって、セキュアイレーズ対象ネームスペースのデータと、セキュアイレーズ非対象ネームスペース内の有効データとが混在しているブロックは、アクティブブロック群に存在しなくなる。

図１１Ｂは、ＧＣ動作が実行された後における各フリーブロックの内容の一例を示す図である。ＧＣ動作が実行された後は、フリーブロックリスト３５によって管理されているフリーブロックには、ＧＣ動作によってフリーブロックになった三つのブロック（ＢＬＫ０、ＢＬＫ１、ＢＬＫ２）と、ＧＣ動作の開始前からフリーブロックである二つのブロック（ＢＬＫ３、ＢＬＫ４）が含まれる。

フリーブロックＢＬＫ０、フリーブロックＢＬＫ１、フリーブロックＢＬＫ２の各々は、ＧＣ動作によってフリーブロックになり、且つＧＣ動作のためのコピー先ブロックとして使用されなかったブロックである。フリーブロックＢＬＫ０、フリーブロックＢＬＫ１、フリーブロックＢＬＫ２は、セキュアイレーズ対象ネームスペースＢの無効データを格納しているが、セキュアイレーズ非対象ネームスペースＡ、Ｃの有効データを格納していない。そのため、フリーブロックＢＬＫ０、フリーブロックＢＬＫ１、フリーブロックＢＬＫ２の各々に対してブロックイレーズを行うことが可能となる。

フリーブロックＢＬＫ０、フリーブロックＢＬＫ１、フリーブロックＢＬＫ２の各々に対してブロックイレーズを行うことにより、セキュアイレーズ対象ネームスペースＢのデータをフリーブロックＢＬＫ０、フリーブロックＢＬＫ１、フリーブロックＢＬＫ２の各々からセキュアにイレーズすることができる。

なお、ＧＣ動作においては、フリーブロックＢＬＫ０、フリーブロックＢＬＫ１、フリーブロックＢＬＫ２の内の任意のブロックを、ＧＣ動作のためのコピー先ブロックとして再利用することができる。コピー先ブロックとして再利用されるブロックは、まず、ブロックイレーズされる。そしてコピー先ブロックとして再利用されるブロックに格納されていたセキュアイレーズ対象ネームスペースＢのデータは、コピー元ブロックからコピーされるセキュアイレーズ非対象ネームスペースの有効データでオーバーライトされる。このように、コピー先ブロックとして再利用されるブロックに格納されていたセキュアイレーズ対象ネームスペースＢのデータは、ＧＣ動作中に行われるオーバーライトによってセキュアにイレーズされる。

フリーブロックＢＬＫ３は、ＧＣ動作の開始前からフリーブロックであり、且つＧＣ動作のためのコピー先ブロックとして使用されなかったブロックである。

フリーブロックＢＬＫ３は、セキュアイレーズ対象ネームスペースＢのデータを格納していない。そのため、フリーブロックＢＬＫ３に対するブロックイレーズを行う必要は無い。

フリーブロックＢＬＫ４は、ＧＣ動作の開始前からフリーブロックであり、ＧＣ動作のためのコピー先ブロックとして使用されなかったブロックである。フリーブロックＢＬＫ４は、セキュアイレーズ対象ネームスペースＢの無効データを格納している。そのため、フリーブロックＢＬＫ４に対するブロックイレーズが行われる。これによってセキュアイレーズ対象ネームスペースＢのデータがフリーブロックＢＬＫ４からセキュアにイレーズされる。

以上説明したように、第１実施形態によれば、特定のネームスペースのデータのセキュアイレーズを要求する第１の特定コマンドをホスト２から受信したことに応じて、セキュアイレーズ対象ネームスペースのデータを無効化するアンマップ動作と、セキュアイレーズ対象ネームスペース以外の他のネームスペースのデータのうちの有効データを、セキュアイレーズ対象ネームスペースのデータが格納されている一つ以上のブロック（コピー元ブロック）から、一つ以上のコピー先ブロックにコピーするＧＣ動作とが実行される。

これにより、セキュアイレーズ対象ネームスペースのデータが格納されている一つ以上のブロックはフリーブロックとなるので、セキュアイレーズ対象ネームスペースのデータはフリーブロック以外には存在しなくなる。

コピー元ブロックがフリーブロックになると、このフリーブロックはコピー先ブロックとして再利用可能となる。この場合、このフリーブロックに格納されているセキュアイレーズ対象ネームスペースのデータは、ブロックイレーズによって消去され、さらに、セキュアイレーズ対象ネームスペース以外の他のネームスペースのデータのうちの有効データでオーバーライトされる。

このように、第１実施形態では、指定された特定のネームスペースのデータ（有効データおよび無効データ）の一部を、ＧＣ動作中にブロックイレーズおよびオーバーライトによってセキュアにイレーズできる。また、ＧＣ動作後に一つ以上のフリーブロックに格納されている特定のネームスペースのデータを少なくともブロックイレーズによってセキュアにイレーズできる。結果として、指定された特定のネームスペースのデータ（有効データおよび無効データ）の全てがセキュアにイレーズされる。

次に、幾つかの比較例と比較して、第１実施形態に係るセキュアイレーズ動作の利点について説明する。

まず、幾つかの比較例に係るＳＳＤの構成と第１実施形態に係るＳＳＤ３の構成との違いについて説明する。

＜比較例＃１＞
比較例＃１に係るＳＳＤでは、複数のネームスペースが互いに異なる複数のエンデュランスグループにそれぞれ属するように複数のエンデュランスグループが管理される。エンデュランスグループは、ＮＡＮＤ型フラッシュメモリの物理リソースを管理する単位である。ＮＡＮＤ型フラッシュメモリ内の各ブロックが一つのエンデュランスグループのみで利用されるように、ＮＡＮＤ型フラッシュメモリの全ての物理リソースは複数のエンデュランスグループに分けられる。特定のネームスペースのデータのセキュアイレーズを行う場合には、特定のネームスペースに対応するエンデュランスグループに含まれるブロックそれぞれがセキュアイレーズ対象となる。

＜比較例＃２＞
比較例＃２に係るＳＳＤでは、ＮＡＮＤ型フラッシュメモリの全ての物理リソースは一つのエンデュランスグループのみに属するが、異なるネームスペースのデータが異なるブロックに書き込まれるように複数のネームスペースと複数のブロックとの間の対応関係が一対一で管理される。特定のネームスペースのデータのセキュアイレーズを行う場合には、特定のネームスペースに一対一でマップされたブロックそれぞれがセキュアイレーズ対象となる。

＜第１実施形態＞
第１実施形態に係るＳＳＤ３では、複数のネームスペースが管理されるが、ＮＡＮＤ型フラッシュメモリの全ての物理リソースは一つのエンデュランスグループのみに属し、且つ複数のネームスペースのデータが同じブロックに混在することが許される。これは、第１実施形態のセキュアイレーズ動作は、複数のネームスペースのデータが同じブロックに混在している環境においても、ホスト２によって指定される特定のネームスペースのデータに対する物理的セキュアイレーズ動作を行うことができるためである。

（１）Ｕｓｅｒ Ｄａｔａ Ｅｒａｓｅの速度
第１実施形態に係るＳＳＤ３では、ブロックスレーズの前にＧＣ動作を行うことが必要となる。このため、ユーザデータをセキュアイレーズする動作の速度は比較的遅い。ただし、特定のネームスペースのデータをセキュアイレーズするのは、例えばＰＣを他人に譲る場合にＯＳのバックアップデータが格納されたネームスペースのデータを維持し、ユーザデータが含まれるネームスペースのデータを消去したいというような場合であり、利用頻度は極めて少ないため、セキュアイレーズの速度が遅いのは許容できる。

比較例＃１、比較例＃２では、ユーザデータをセキュアイレーズする動作の速度はその実装に依存するが、比較的高速に行うことが可能である。

（２）書き込み途中のブロックの個数
ここでは、ホストからのユーザデータをＮＡＮＤ型フラッシュメモリのＳＬＣ記憶領域（ＳＬＣ：シングルレベルセル）に書き込み、ＳＳＤのアイドル時などに、ＳＬＣ記憶領域のユーザデータを、ＴＬＣ記憶領域（ＴＬＣ：トリプルレベルセル）またはＱＬＣ記憶領域（ＱＬＣ：クワドレベルセル）に書き込む、という構成が利用されるケースを想定する。

第１実施形態に係るＳＳＤ３では、必要な書き込み途中のブロックの個数は二つである。二つの書き込み途中のブロックのうちの一つは、ＳＬＣ記憶領域用の書き込み先ブロックとして使用されるＳＬＣブロックである。もう一つの書き込み途中のブロックは、ＴＬＣ／ＱＬＣ記憶領域用の書き込み先ブロックとして使用されるＴＬＣ／ＱＬＣブロックである。

比較例＃１、比較例＃２では、必要なＳＬＣブロックの個数はネームスペースの数である。必要なＴＬＣ／ＱＬＣブロックの個数はネームスペースの数である。

（３）オーバープロビジョニング
第１実施形態に係るＳＳＤ３、比較例＃２では、オーバープロビジョニング領域は複数のネームスペースによって共有することができる。

比較例＃１では、オーバープロビジョニング領域をネームスペース毎に個別に用意することが必要となる。

（４）ＳＬＣ記憶領域
第１実施形態に係るＳＳＤ３では、ＳＬＣ記憶領域はネームスペース間で共有されるため、あるネームスペースが一時的にＳＬＣ記憶領域の全ての容量を使うことが可能である。

比較例＃１、比較例＃２では、ネームスペース毎に独立したＳＬＣ記憶領域を用意することが必要となる。ネームスペースサイズに関係なく一つのＳＬＣ記憶領域に要求される容量が決まっている場合には、ＴＬＣ／ＱＬＣ記憶領域用に割り当て可能なブロックの数が減少される。このため、不揮発性メモリの記憶容量を効率よく使用することができなくなり、ＴＬＣ／ＱＬＣ記憶領域の記憶容量と全てのＳＬＣ記憶領域の記憶容量との和で表されるドライブ容量（Ｔｏｔａｌ Ｃａｐａｃｉｔｙ）は、ネームスペースの数に比例して減少する。

（５）ブロックサイズとネームスペースサイズとの間のアライメント
一般に、一つのブロックのサイズは数十ＭＢである。一方、各ネームスペースのサイズは、セクタの整数倍である。このため、ブロックサイズとネームスペースサイズとの間の不整合が生じる場合がある。

第１実施形態に係るＳＳＤ３では、複数のブロックが複数のネームスペースによって共有可能であるため、ブロックサイズとネームスペースサイズとの間の不整合が生じても、それによる影響を受けにくく、容量効率は低下しにくい。

比較例＃１、比較例＃２では、ブロックサイズとネームスペースサイズとの間の不整合が生じると、それによる影響を受け、容量効率が低下する。

（６）複数のネームスペースを作成することによるドライブ容量の低下
（２）～（５）の理由により、一つのＳＳＤ内に複数のネームスペースを作成した場合には、ドライブ容量が減少する場合がある。

第１実施形態に係るＳＳＤ３では、一つのエンデュランスグループしか存在しないため、複数のネームスペースを効率よく作成することが可能となる。よって、複数のネームスペースを作成することによるドライブ容量の減少はない。

比較例＃１では、ネームスペース毎に独立したエンデュランスグループが必要とされるため、複数のネームスペースを作成することによるドライブ容量の減少は大きい。

比較例＃２では、複数のネームスペースを作成することによるドライブ容量の減少に関する影響の程度は、第１実施形態と比較例＃２の中間である。

（第２実施形態）
次に、第２実施形態について説明する。第２実施形態に係るＳＳＤの構成は、図１に示した第１実施形態に係るＳＳＤ３の構成と同じである。第２実施形態は第１実施形態と同様に、特定のネームスペースのデータに対する物理的セキュアイレーズ動作を行うものであるが、アンマップ動作に関する処理が第１実施形態と異なる。第１実施形態では、コントローラ４は、ＧＣ動作の前にアンマップ動作を行うのに対し、第２実施形態では、コントローラ４は、ＧＣ動作の実行中にアンマップ動作を行う。

図１２は、第２実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャートである。図５を参照して説明した第１実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順と同じ手順については、その説明を省略する。

受信したコマンドが第１の特定コマンドである場合（ステップＳ１０４のＹＥＳ）、ＧＣ部２４ｂは、ＧＣ動作を実行し、アンマップ部２４ａは、ＧＣ動作の実行中にアンマップ動作を行う（ステップＳ１３２）。

ステップＳ１３２において、ＧＣ部２４ｂは、セキュアイレーズ対象ネームスペースのデータが有効データであるか無効データであるかに関わらず、少なくともセキュアイレーズ対象ネームスペースのデータ、すなわちセキュアイレーズ対象データを格納しているアクティブブロックをＧＣ対象ブロック（つまりコピー元ブロック）として選択する。あるいは、ＧＣ動作を簡単に実装する場合には、ＧＣ部２４ｂは、セキュアイレーズ対象ネームスペースのデータであるか否かに関わらず、無効データを格納するアクティブブロックの全てをコピー元ブロックとして選択してもよい。

コピー元ブロックに格納されている有効データがセキュアイレーズ対象データである場合、アンマップ部２４ａは、コピー元ブロックに格納されている有効データを無効化するアンマップ動作を行う。つまり、アンマップ部２４ａは、コピー元ブロックに格納されている有効データのうち、セキュアイレーズ対象データである有効データを無効化するアンマップ動作を行う。これにより、コピー元ブロックに格納されているセキュアイレーズ対象データの一部である有効データは無効化される。コピー元ブロックに格納されているセキュアイレーズ非対象ネームスペースの有効データがコピー先ブロックにコピーされるとともに、コピー元ブロックに格納されているセキュアイレーズ対象ネームスペースの有効データのアンマップ動作も行われると、コピー元ブロックはフリーブロックとなる。これにより、セキュアイレーズ対象データはフリーブロック以外に存在しなくなる。言い換えると、セキュアイレーズ対象ネームスペースのデータ（無効データ）は幾つかのフリーブロックのみに存在するようになる。

ＧＣ動作とアンマップ動作の実行（ステップＳ１３２）の後、第１実施形態と同様に、ＧＣ動作の終了条件の判定（ステップＳ１２２）、ブロックイレーズ動作の実行（ステップＳ１２４）、ホスト２へのコマンド完了の通知（ステップＳ１２６）が行われる。

特定のネームスペースのデータのセキュアイレーズを要求する第１の特定コマンドを実行した時におけるＩ／Ｏコマンドの取り扱いは、第１実施形態と同じであるので、説明は省略する。

第２実施形態においても、第１実施形態と同様の効果を得ることができる。

（第３実施形態）
次に、第３実施形態について説明する。第３実施形態に係るＳＳＤの構成は、図１に示した第１実施形態に係るＳＳＤ３の構成と同じである。第１、第２実施形態では、セキュアイレーズ対象の論理領域を示す論理領域識別子としてネームスペース識別子が用いられたが、第３実施形態では、セキュアイレーズ対象の論理領域を示す論理領域識別子として、セキュアイレーズ対象セクタを識別する論理アドレスとその論理アドレスからのセクタ数が使用される。論理アドレスとしては、例えば、ＬＢＡが使用される。メモリシステムが複数のネームスペースを持つ場合は、セキュアイレーズ対象の論理領域を示す論理領域識別子には、セキュアイレーズ対象のネームスペースを示すネームスペース識別子も含まれる。

第３実施形態では、セキュアイレーズ対象データは、特定の一つ以上のＬＢＡに対応するデータ、つまり特定の一つ以上のＬＢＡによって識別される一つ以上のセキュアイレーズ対象セクタに格納されているデータ又は格納されていたデータである。

第３実施形態で使用される第２の特定コマンドは、特定の一つ以上のＬＢＡによって識別されるデータ、詳しくは特定の一つ以上のＬＢＡによって識別される一つ以上のセキュアイレーズ対象セクタに格納されているデータのセキュアイレーズを行うことを要求する。第２の特定コマンドは特定の一つ以上のＬＢＡを指定するパラメータを含んでいてもよい。特定の一つ以上のＬＢＡは、ＬＢＡ範囲によって表されてもよい。

ホスト２が複数のＬＢＡ範囲をセキュアイレーズ対象とする場合には、ホスト２は、まず、各々がＬＢＡ範囲を指定する複数のコマンドをＳＳＤ３に送信し、次いで、特定の一つ以上のＬＢＡ範囲のセキュアイレーズを要求する第２の特定コマンドをＳＳＤ３に送信してもよい。もちろん、第２の特定コマンドが、複数のＬＢＡ範囲を指定する複数のパラメータを含んでいてもよい。このように、複数のＬＢＡ範囲を指定してセキュアイレーズを要求することで、後述のＧＣ動作が一回で済む。これにより、データのコピー量、ブロックのイレーズ回数を、ＬＢＡ範囲毎にセキュアイレーズを要求する場合より減らすことができ、メモリセルの摩耗を低減できる。

また、ホスト２が特定のネームスペースの特定の一つ以上のＬＢＡまたは特定の一つ以上のＬＢＡ範囲をセキュアイレーズ対象とする場合には、ホスト２は、特定のネームスペースを識別するネームスペース識別子と、特定の一つ以上のＬＢＡまたは特定の一つ以上のＬＢＡ範囲とを指定してもよい。

図１３Ａは、第３実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャートである。

コントローラ４がホスト２からコマンドを受信すると（ステップＳ２０２）、ＣＰＵ１２は、この受信したコマンドが第２の特定コマンドであるか否かを判定する（ステップＳ２０４）。第２の特定コマンドは、物理的セキュアイレーズ方法により、特定の一つ以上のＬＢＡのデータのセキュアイレーズを行うことを要求する。

受信したコマンドが第２の特定コマンドではない場合（ステップＳ２０４のＮＯ）、ＣＰＵ１２は、受信したコマンドに応じた処理を実行する（ステップＳ２０６）。

受信したコマンドが第２の特定コマンドである場合（ステップＳ２０４のＹＥＳ）、アンマップ部２４ａは、アンマップ動作を行う（ステップＳ２１２）。次に、ＧＣ部２４ｂは、ＧＣ動作を行う（ステップＳ２１４）。

アンマップ動作（ステップＳ２１２）およびＧＣ動作（ステップＳ２１４）の手順は、セクタサイズとクラスタサイズの関係によって異なる。図１３Ｂは、セクタサイズがクラスタサイズと等しい場合のアンマップ動作およびＧＣ動作の手順を示すフローチャートである。この場合、一つのセキュアイレーズ対象セクタが一つのクラスタに対応している。図１３Ｃは、セクタサイズがクラスタサイズより小さい場合におけるアンマップ動作およびＧＣ動作の手順を示すフローチャートである。この場合、有効データを格納している一つのクラスタの一部に少なくとも一つのセキュアイレーズ対象セクタが存在する。

図１３Ｂに示すように、セクタサイズがクラスタサイズと等しい場合においては、アンマップ部２４ａは、ホスト２によって指定された全てのセキュアイレーズ対象ＬＢＡにそれぞれ関連付けられたデータを無効化するアンマップ動作を行う（ステップＳ２１２Ａ）。アンマップ部２４ａは、第２の特定コマンドに含まれる全てのＬＢＡに対応するＬ２Ｐテーブル３７のエントリそれぞれから物理アドレスを削除する。又は、アンマップ部２４ａは、これらエントリにＮＵＬＬ値を格納する。このアンマップ動作により、セキュアイレーズ対象ＬＢＡに対応するＬ２Ｐテーブル３７の全クラスタは、無効状態となる。この結果、全てのセキュアイレーズ対象ＬＢＡに対応するデータは無効データとなる。

ＧＣ部２４ｂは、少なくとも、セキュアイレーズ対象ＬＢＡの無効データを格納するアクティブブロックの全てをＧＣ対象ブロック（つまりコピー元ブロック）として選択する。あるいは、ＧＣ動作を簡単に実装する場合には、ＧＣ部２４ｂは、セキュアイレーズ対象ＬＢＡの無効データであるか否かに関わらず、少なくとも無効データを格納するアクティブブロックの全てをコピー元ブロックとして選択してもよい。

ＧＣ部２４ｂは、コピー元ブロックとして選択した各アクティブブロックのブロック識別子を、セキュアイレーズ対象ブロックリスト３４に保存してもよい。

ＧＣ部２４ｂは、フリーブロックの中から任意の１つのフリーブロックを選択する。ＧＣ部２４ｂは、選択したフリーブロックに対してブロックイレーズを行う。ＧＣ部２４ｂは、ブロックイレーズが行われたフリーブロックをコピー先ブロックとして割り当てる。

ＧＣ部２４ｂは、セキュアイレーズ対象データを除いたデータのうちの有効データ、すなわちセキュアイレーズ非対象ＬＢＡの有効データを、コピー元ブロックからコピー先ブロックへコピーする（ステップＳ２１４Ａ）。

ＧＣ部２４ｂは、Ｌ２Ｐテーブル３７を更新して、コピーした有効データのＬＢＡそれぞれと、コピー先の物理アドレスそれぞれとをマッピングする。

図１３Ｃを参照して、セクタサイズがクラスタサイズより小さい場合におけるアンマップ動作およびＧＣ動作の手順を説明する。図１３Ｂを参照して説明したアンマップ動作およびＧＣ動作の手順と同じ手順については、その説明を省略する。

セクタサイズがクラスタサイズより小さい場合においては、クラスタ内の各セクタのデータが有効か無効かを示すビットマップデータは、上述のように、例えばＬ２Ｐテーブル３７の中に格納されている。

アンマップ部２４ａは、少なくとも一つのセキュアイレーズ対象セクタを含むクラスタを、アンマップ動作の対象として選択する。

クラスタ内の全てのセクタがセキュアイレーズ対象である、すなわちクラスタ内のデータ全体がセキュアイレーズ対象である場合（ステップＳ２１２Ｂ－１のＹＥＳ）、アンマップ部２４ａは、このクラスタのデータを無効化するアンマップ動作を実行する（ステップＳ２１２Ｂ－４）。

クラスタ内の全てのセクタがセキュアイレーズ対象ではない場合（ステップＳ２１２Ｂ－１のＮＯ）は、アンマップ部２４ａは、当該クラスタ内の全てのセキュアイレーズ対象セクタが無効化されるように、ビットマップデータを更新する（ステップＳ２１２Ｂ－２）。

アンマップ部２４ａは、この無効化により当該クラスタ内の全セクタが無効化されたかどうかを調べる（ステップＳ２１２Ｂ－３）。

当該クラスタに含まれている全てのセクタが無効セクタになった場合（ステップＳ２１２Ｂ－３のＹＥＳ）は、アンマップ部２４ａは、このクラスタのデータを無効化するアンマップ動作を実行する（ステップＳ２１２Ｂ－４）。

当該クラスタに含まれている全てのセクタが無効セクタになっていない場合（ステップＳ２１２Ｂ－３のＮＯ）は、アンマップ部２４ａによるこのクラスタに対する処理は終了する。

アンマップ部２４ａは、アンマップ動作の対象の全てのクラスタに対するアンマップ動作が終了したかを判断する（ステップＳ２１２Ｂ－５）。

全てのクラスタに対するアンマップ動作が終了していない場合（ステップＳ２１２Ｂ－５のＮＯ）、アンマップ部２４ａは、次のクラスタに対してステップ２１２Ｂ－１の判断を行う。

全てのクラスタに対するアンマップ動作が終了した場合（ステップＳ２１２Ｂ－５のＹＥＳ）、ＧＣ部２４ｂは、アクティブブロック中の有効データ（すなわちセキュアイレーズ非対象のデータ）を含む全クラスタを、コピー元ブロックからコピー先ブロックへコピーする（ステップＳ２１４Ｂ－１）。

なお、ステップＳ２１４Ｂ－１では、ＧＣ部２４ｂは、当該クラスタ内に無効化されたセクタがある場合は、そのセクタのデータを適切な値に変更してからコピー先ブロックへコピーする。適切な値とは、例えば、オール０またはオール１、ランダムデータまたはその組み合わせである。

ＧＣ部２４ｂは、Ｌ２Ｐテーブル３７のエントリを更新して、コピーされたデータのＬＢＡを、コピーした先のクラスタの物理アドレスに関連づける。

図１３Ａの説明に戻る。ＧＣ動作の実行（ステップＳ２１４）の後、第１実施形態と同様に、ＧＣ部２４ｂは、ＧＣ動作の終了条件が満たされたか否かを判定する（ステップＳ２２２）。終了条件は、セキュアイレーズ対象ＬＢＡの無効データを格納するブロックがアクティブブロック群から存在しなくなったこととしてよい。

セキュアイレーズ対象ＬＢＡの無効データを格納するブロックがアクティブブロック群から存在しなくなるまで、ＧＣ部２４ｂは、ＧＣ動作を引き続き実行する（ステップＳ２２２のＮＯ、ステップＳ２１４）。

ガベージコレクション動作の終了条件が満たされると（ステップＳ２２２のＹＥＳ）、ＧＣ部２４ｂは、ＧＣ動作を終了する。この時点で、セキュアイレーズ対象ＬＢＡの無効データがフリーブロック以外に存在する可能性はなくなっている。

なお、セキュアイレーズ対象ＬＢＡの無効データであるか否かに関わらず、少なくとも無効データを格納するアクティブブロックの全てをＧＣ対象ブロックとして選択した場合には、セキュアイレーズ対象ＬＢＡの無効データであるか否かに関わらず、無効データを格納するブロックがアクティブブロック群から存在しなくなったことをＧＣ動作の終了条件としてもよい。しかし、こうすると、ＧＣ動作の効率が低下するので、この終了条件は、全アクティブブロックの各々において有効データに対する無効データの割合が多い場合に採用してもよい。

ＧＣ動作の終了条件の判定（ステップＳ２２２）の後、セキュアイレーズ部２４ｃは、セキュアイレーズ対象ＬＢＡの無効データが格納されている各フリーブロックに対して少なくともブロックイレーズ動作を行う（ステップＳ２２４）。これにより、セキュアイレーズ対象ＬＢＡの無効データの全てがブロックイレーズによってセキュアにイレーズされる。

ステップＳ２２４では、セキュアイレーズ部２４ｃは、セキュアイレーズ対象ＬＢＡの無効データが格納されている各フリーブロックに対してブロックイレーズを行い、さらに、これら各フリーブロックに第１実施形態と同様に特定のデータパターンを書き込んでもよい。これにより、セキュアイレーズ対象ＬＢＡの無効データの全てがオーバーライトによってセキュアにイレーズされる。

セキュアイレーズ部２４ｃは、セキュアイレーズ対象ＬＢＡの無効データを格納しているか否かにかかわらず、フリーブロックの全てに対してブロックイレーズを行ってもよい。これにより、セキュアイレーズ対象ＬＢＡの無効データが格納されている各フリーブロックに対して少なくともブロックイレーズを行う処理（ステップＳ２２４）が簡単に実施され得る。

あるいは、ブロックイレーズが行われるブロックの個数を減らすために、セキュアイレーズ部２４ｃは、セキュアイレーズ対象ＬＢＡの無効データが格納されている一つ以上のフリーブロックを特定する処理を実行し、特定された一つ以上のフリーブロックのみに対してブロックイレーズを行ってもよい。

前者および後者のいずれにおいても、少なくとも、セキュアイレーズ対象ＬＢＡの無効データが格納されている一つ以上のフリーブロックがセキュアイレーズ対象となる。

ステップＳ２２４の処理が完了すると、イレーズ制御部２４は、第２の特定コマンドの完了を示すレスポンスをホスト２に送信することによって、第２の特定コマンドの完了をホスト２に通知する（ステップＳ２２６）。

特定のＬＢＡのデータのセキュアイレーズを要求する第２の特定コマンドを受信した時におけるＩ／Ｏコマンドの取り扱いについては、第１実施形態と同様であるので、説明は省略する。

以上説明したように、第３実施形態によれば、物理的セキュアイレーズ方法により、特定の一つ以上のＬＢＡのデータをセキュアにイレーズすることができる。また、有効データを格納しており且つ一部にセキュアイレーズ対象セクタが存在するクラスタがコピー元ブロックに含まれる場合には、コントローラ４は、このクラスタのデータ全体をコピー先ブロックにコピーする際に、セキュアイレーズ対象セクタのデータをオール１またはオール０のようなデータパターンに変更する。したがって、セキュアイレーズ対象セクタと、セキュアイレーズ非対象の有効なセクタとが混在するクラスタが存在する場合でも、物理的セキュアイレーズ動作の安全性を確保しつつ、セキュアイレーズ非対象の有効なセクタのデータを正しくコピーすることが可能となる。

（第４実施形態）
次に、第４実施形態について説明する。第４実施形態に係るＳＳＤの構成は、図１に示した第１実施形態に係るＳＳＤ３の構成と同じである。第４実施形態は第３実施形態と同様に、特定のＬＢＡのデータのセキュアイレーズを行うものであるが、アンマップ動作に関する処理が第３実施形態と異なる。第３実施形態では、コントローラ４は、ＧＣ動作の前にアンマップ動作を行うのに対し、第４実施形態では、コントローラ４は、ＧＣ動作の実行中にアンマップ動作を行う。

図１４Ａは、第４実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャートである。図１３Ａを参照して説明した第３実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順と同じ手順については、その説明を省略する。

受信したコマンドが第２の特定コマンドである場合（ステップＳ２０４のＹＥＳ）、ＧＣ部２４ｂは、ＧＣ動作を実行し、アンマップ部２４ａは、ＧＣ動作の実行中にアンマップ動作を行う（ステップＳ２３２）。

第３実施形態と同様に、ＧＣ動作とアンマップ動作のステップＳ２３２の手順内容は、セクタサイズとクラスタサイズの関係によって異なる。

図１４Ｂは、セクタサイズがクラスタサイズと等しい場合におけるＧＣ動作とアンマップ動作の手順を示すフローチャートである。この場合、一つのセキュアイレーズ対象セクタが一つのクラスタに対応している。

ステップＳ２３２Ａにおいて、ＧＣ部２４ｂは、セキュアイレーズ対象ＬＢＡのデータが有効データであるか無効データであるかに関わらず、少なくともセキュアイレーズ対象ＬＢＡのデータと、セキュアイレーズ非対象ＬＢＡの有効データとを格納しているアクティブブロックをＧＣ対象ブロック（つまりコピー元ブロック）として選択する。あるいは、ＧＣ動作を簡単に実装する場合には、ＧＣ部２４ｂは、セキュアイレーズ対象ＬＢＡのデータであるか否かに関わらず、無効データを格納しているアクティブブロックの全てをコピー元ブロックとして選択してもよい。

ステップＳ２３２Ａにおいて、ＧＣ部２４ｂは、セキュアイレーズ非対象ＬＢＡの有効データを、コピー元ブロックからコピー先ブロックへコピーする。セキュアイレーズ対象ＬＢＡの有効データがコピー元ブロックに格納されている場合、アンマップ部２４ａは、コピー元ブロックに格納されている有効データを無効化するアンマップ動作を行う。これにより、コピー元ブロックに格納されているセキュアイレーズ対象ＬＢＡの有効データは無効化される。コピー元ブロックに格納されているセキュアイレーズ非対象ＬＢＡの有効データがコピー先ブロックにコピーされるとともに、コピー元ブロックに格納されているセキュアイレーズ対象ＬＢＡの有効データを無効化するアンマップ動作も行われると、コピー元ブロックはフリーブロックとなる。これにより、セキュアイレーズ対象ＬＢＡのデータはフリーブロック以外に存在しなくなる。言い換えると、セキュアイレーズ対象ＬＢＡのデータ（無効データ）は幾つかのフリーブロックのみに存在するようになる。

図１４Ｃは、セクタサイズがクラスタサイズより小さい場合におけるＧＣ動作とアンマップ動作の手順を示すフローチャートである。この場合、クラスタ内の各セクタのデータが有効か無効かを示すビットマップデータは、上述のように、例えばＬ２Ｐテーブル３７の中に格納されている。

アンマップ部２４ａおよびＧＣ部２４ｂは、有効データを格納しているセクタを少なくとも一つ含むクラスタを、アンマップ動作およびＧＣ動作の対象として選択する。

処理対象のクラスタが少なくとも一つのセキュアイレーズ対象セクタを含む場合（ステップＳ２３２Ｂ－１のＹＥＳ）、アンマップ部２４ａは、当該クラスタ内の全てのセキュアイレーズ対象セクタが無効化されるように、ビットマップデータを更新する（ステップＳ２３２Ｂ－２）。

アンマップ部２４ａは、この無効化により当該クラスタ内の全セクタが無効化されたかどうかを調べる（ステップＳ２３２Ｂ－３）。

当該クラスタ内の全セクタが無効化された場合（ステップＳ２３２Ｂ－３のＹＥＳ）、アンマップ部２４ａは、そのクラスタのデータを無効化するアンマップ動作を実行する（ステップＳ２３２Ｂ－４）。

ステップＳ２３２Ｂ－４の後、または当該クラスタ内の全セクタが無効化されなかった場合（すなわち当該クラスタがセキュアイレーズ非対象の有効データを格納している場合（ステップＳ２３２Ｂ－３のＮＯ））もしくは処理対象のクラスタがセキュアイレーズ対象セクタを含まない場合（ステップＳ２３２Ｂ－１のＮＯ）、ＧＣ部２４ｂは、当該クラスタ中の有効データ（すなわちセキュアイレーズ非対象のデータ）を、コピー元ブロックからコピー先ブロックへコピーする（ステップＳ２３２Ｂ－５）。この時ＧＣ部２４ｂは、第３実施形態と同様に、当該クラスタ中の無効化されたセクタのデータを適切な値に置き換えてよい。ステップＳ２３２Ｂ－５では、クラスタ内の全てのセクタが有効の場合は、ＧＣ部２４ｂは、全セクタのデータをコピー先ブロックへコピーし、Ｌ２Ｐテーブル３７を更新してコピー元のクラスタアドレスをコピーした先のクラスタアドレスに更新する。

ＧＣ部２４ｂは、有効データを格納しているセクタを含むクラスタの全てについてアンマップ動作およびＧＣ動作が終了したかを判断する（ステップＳ２３２Ｂ－６）。

全てのクラスタに対するアンマップ動作およびＧＣ動作が終了していない場合（ステップＳ２３２Ｂ－６のＮＯ）、ＧＣ部２４ｂは、次のクラスタに対してステップＳ２３２Ｂ－１の判断を行う。

全てのクラスタに対するアンマップ動作およびＧＣ動作が終了した場合（ステップＳ２３２Ｂ－６のＹＥＳ）、ＧＣ部２４ｂによる処理は、ステップＳ２２２へ進む。

最終的に、全有効データはコピー先ブロックにコピーされ、コピー元ブロックはフリーブロックとなる。これにより、セキュアイレーズ対象ＬＢＡのデータはフリーブロック以外に存在しなくなる。言い換えると、セキュアイレーズ対象ＬＢＡのデータ（無効データ）は幾つかのフリーブロックのみに存在するようになる。

図１４Ａの説明に戻る。ＧＣ動作の実行（ステップＳ２３２）の後、第３実施形態と同様に、ＧＣ動作の終了条件の判定（ステップＳ２２２）、ブロックイレーズ動作の実行（ステップＳ２２４）、およびホスト２へのコマンド完了の通知（ステップＳ２２６）が実行される。

第２の特定コマンドを実行した時におけるＩ／Ｏコマンドの取り扱いは、第３実施形態と同じであるので、説明は省略する。

第４実施形態においても、第３実施形態と同様の効果を得ることができる。

（第５実施形態）
次に、第５実施形態について説明する。第５実施形態に係るＳＳＤの構成は、図１に示した第１実施形態に係るＳＳＤ３の構成と同じである。第５実施形態の物理的セキュアレーズ動作は、ある論理領域識別子によって識別される論理領域へのデータの書き込みとこの論理領域識別子に関連付けられていた旧データのセキュアイレーズとを要求する特定のライトコマンドに応じて、旧データの物理的セキュアイレーズを行う。論理領域識別子としてはＬＢＡやキー・バリューストアのキーのような論理アドレスが使用されてもよい。つまり、第５実施形態の物理的セキュアレーズ動作は、キー・バリューストアにも適用し得る。キー・バリューストアの場合には、第５実施形態の物理的セキュアレーズ動作は、あるキーに対応するバリュー（データ）の書き込みとこのキー関連付けられていた旧バリュー（旧データ）のセキュアイレーズとを要求する特定のライトコマンドに応じて、旧バリューの物理的セキュアイレーズを行う。

以下では、論理領域識別子としてＬＢＡが使用される場合について説明する。

特定のライトコマンドは、通常のライトコマンドと同様に、例えば、ＬＢＡ（開始ＬＢＡ）、ライトデータのサイズ（セクタの個数）、対象のネームスペース識別子、このライトデータが格納されているホスト２のメモリ内の位置を示すデータポインタ（バッファアドレス）、を含み得る。

第５実施形態に係るＳＳＤのコントローラ４は、特定のライトコマンドに関連付けられたライトデータをＮＡＮＤ型フラッシュメモリ５に書き込み、Ｌ２Ｐテーブル３７を更新することによって、ライトデータが書き込まれた物理アドレスをこのライトデータのＬＢＡに関連付ける。そして、コントローラ４は、このＬＢＡに関連付けられていた旧データ（無効データ）に対する物理的セキュアイレーズ動作を自動的に実行する。

このＬＢＡに関連付けられていた旧データはＧＣ動作によって複数のブロックに残っている可能性がある。また、あるＬＢＡを指定する通常のライトコマンドを複数回受信した後に、このＬＢＡを指定する特定のライトコマンドを受信した場合にも、このＬＢＡに関連付けられていた旧データが複数のブロックに残っている可能性がある。

このため、コントローラ４は、このＬＢＡに関連付けられていた旧データを格納する全てのアクティブブロックをＧＣ対象ブロック（コピー元ブロック）として選択し、これらＧＣ対象ブロックに格納されている有効データを一つ以上のコピー先ブロックにコピーするＧＣ動作を実行する。これにより、旧データは、フリーブロック以外のどのブロックにも存在しなくなる。

コントローラ４は、ＧＣ動作の実行後、フリーブロックリスト３５によって管理されているフリーブロックのうち、旧データを格納している各フリーブロックに対して少なくともブロックイレーズを行う。これにより、旧データをセキュアにイレーズすることが可能となる。この場合、コントローラ４は、ＧＣ動作の実行後、フリーブロックリスト３５によって管理されているフリーブロックの全てに対してブロックイレーズを行ってもよい。あるいは、ブロックイレーズが行われるブロックの個数を減らすために、コントローラ４は、旧データが格納されている一つ以上のフリーブロックを特定する処理を実行し、特定された一つ以上のフリーブロックのみに対してブロックイレーズを行ってもよい。

図１５は、第５実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャートである。

コントローラ４がホスト２からコマンドを受信すると（ステップＳ３０２）、ＣＰＵ１２は、この受信したコマンドが特定のライトコマンドであるか否かを判定する（ステップＳ３０４）。

受信したコマンドが特定のライトコマンドでない場合（ステップＳ３０４のＮＯ）、ＣＰＵ１２は、受信したコマンドに応じた処理を実行する（ステップＳ３０６）。

受信したコマンドが特定のライトコマンドである場合（ステップＳ３０４のＹＥＳ）、ライト制御部２２は、特定のライトコマンドに関連付けられたライトデータ（更新データ）をＮＡＮＤ型フラッシュメモリ５に書き込み、Ｌ２Ｐテーブル３７を更新する。

ＧＣ部２４ｂは、ＧＣ動作を実行する（ステップＳ３１４）。ステップＳ３１４では、ＧＣ部２４ｂは、特定のライトコマンドによって指定されたＬＢＡに関連付けられていた旧データを格納する全てのアクティブブロックをＧＣ対象ブロック、すなわちコピー元ブロックとして選択してもよい。

ＧＣ部２４ｂは、フリーブロックの中から一つのフリーブロックを任意に選択する。ＧＣ部２４ｂは、選択したフリーブブロックに対してブロックイレーズを行う。ＧＣ部２４ｂは、ブロックイレーズが行われたフリーブロックをコピー先ブロックとして割り当てる。

ＧＣ部２４ｂは、コピー元ブロックから有効データをコピー先ブロックへコピーする。

ＧＣ動作の実行（ステップＳ３１４）の後、ＧＣ部２４ｂは、ＧＣ動作の終了条件が満たされたか否かを判定する（ステップＳ３２２）。終了条件は、特定のライトコマンドによって指定されたＬＢＡに関連付けられていた旧データを格納するブロックがアクティブブロック群から存在しなくなったこととしてよい。

旧データを格納するブロックがアクティブブロック群から存在しなくなるまで、ＧＣ部２４ｂは、ＧＣ動作を引き続き実行する（ステップＳ３２２のＮＯ、ステップＳ３１４）。

ガベージコレクション動作の終了条件が満たされると（ステップＳ３２２のＹＥＳ）、ＧＣ部２４ｂは、ＧＣ動作を終了する。この時点で、フリーブロック以外に旧データが存在する可能性はなくなっている。

この後、セキュアイレーズ部２４ｃは、少なくとも旧データが存在するフリーブロックに対して、少なくともブロックイレーズを行う（ステップＳ３２４）。これにより、旧データがブロックイレーズによってセキュアにイレーズされる。

ステップＳ３２４の処理が完了すると、イレーズ制御部２４は、特定のライトコマンドの完了を示すレスポンスをホスト２に送信することによって、特定のライトコマンドの完了をホスト２に通知する（ステップＳ３２６）。

特定のライトコマンドは実行に時間が掛かるので、イレーズ制御部２４は、特定のコマンドを受信した時点でホスト２へコマンド完了を通知してもよい。すなわち、イレーズ制御部２４は、ステップＳ３２６の処理をステップＳ３１２の直前に実行してもよい。特定のライトコマンドの処理が正常に完了しなかった場合は、コントローラ４は、コマンドインタフェース規格で定められているホストへの異常通知機構を使って、特定のコマンドの処理が正常に完了しなかったことをホスト２に通知したり、コマンドインタフェース規格で定められているログに異常発生を記録してもよい。
（変形例）
ある論理領域識別子によって識別される論理領域へのデータの書き込みを要求し、且つこの論理領域に書き込まれたデータが後でセキュアイレーズ対象データとなることを示す特定のライトコマンドが使用されてもよい。この場合、この特定のライトコマンドをホスト２から受信したことに応じて、コントローラ４は、この論理領域にライトデータを書き込む書き込み動作を実行すると共に、この論理領域をセキュアイレーズ対象領域として示すログ情報を例えばＤＲＡＭ６に格納する。この特定のライトコマンドをホスト２から受信する度、コントローラ４は、書き込み動作と、ログ情報を格納する動作とを実行する。セキュアイレーズを要求する特定のコマンドをホスト２から受信した場合、コントローラ４は、全てのログ情報を参照することによって複数のセキュアイレーズ対象領域を決定する。そしてコントローラ４は、これら複数のセキュアイレーズ対象領域に格納されているデータをセキュアにイレーズする物理的セキュアイレーズ動作を実行する。このように複数のセキュアイレーズ対象領域に対する物理的セキュアイレーズ動作を一括して実行することにより、ＧＣ動作の回数を減らすことができる。これにより、ＮＡＮＤ型フラッシュメモリ５の書き換え回数の増加によるＳＳＤ３の寿命への影響を減らし、特定のライトコマンドの処理時間を減らすことができる。

以上説明したように、第５実施形態によれば、物理的セキュアイレーズ方法により、新たなライトデータのＬＢＡに関連付けられていた旧データをセキュアにイレーズすることができる。

（第６実施形態）
次に、第６実施形態について説明する。第６実施形態に係るＳＳＤの構成は、図１に示した第１実施形態に係るＳＳＤ３の構成と同じである。第６実施形態の物理的セキュアレーズ動作は、第３実施形態の変形例である。第３実施形態では、特定のＬＢＡの有効データと無効データとがセキュアにイレーズされる。第６実施形態では、論理領域識別子によって識別される論理領域に格納されているデータのうちの無効データのみがセキュアにイレーズされ、論理領域識別子によって識別される論理領域に格納されている有効データは消去されない。

以下では、セキュアイレーズ対象の論理領域を示す論理領域識別子としてＬＢＡが使用される場合を例示して説明する。

第６実施形態では、第３実施形態の第２の特定コマンドが、特定の一つ以上のＬＢＡの有効データはセキュアイレーズ対象データとせずに、特定の一つ以上のＬＢＡの無効データのみをセキュアイレーズ対象データとする第３の特定コマンドに変更される。

第６実施形態は、リード動作で読めるデータ（有効データ）を消去せずに、指定された特定の一つ以上のＬＢＡに過去に書かれていたデータ（無効データ）のみをセキュアにイレーズしたい場合に有用である。

図１６は、第６実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順を示すフローチャートである。図１３Ａを参照して説明した第３実施形態に係るメモリシステムにおいて実行される物理的セキュアイレーズ動作の手順と同じ手順については、その説明を省略する。

コントローラ４がホスト２からコマンドを受信すると（ステップＳ４０２）、ＣＰＵ１２は、この受信したコマンドが第３の特定コマンドであるか否かを判定する（ステップＳ４０４）。

受信したコマンドが第３の特定コマンドではない場合（ステップＳ４０４のＮＯ）、ＣＰＵ１２は、受信したコマンドに応じた処理を実行する（ステップＳ４０６）。

受信したコマンドが第３の特定コマンドである場合（ステップＳ４０４のＹＥＳ）、ＧＣ部２４ｂは、ＧＣ動作を実行する（ステップＳ４１２）。

ＧＣ部２４ｂは、少なくとも、第３の特定コマンドによって指定される特定の一つ以上のＬＢＡに関連付けられていた無効データを格納しているアクティブブロックの全てをＧＣ対象ブロック（つまりコピー元ブロック）として選択する。

ＧＣ部２４ｂは、コピー元ブロックからコピー先ブロックへ有効データをコピーする。

ＧＣ動作の実行後、ＧＣ部２４ｂは、ＧＣ動作の終了条件が満たされたか否かを判定する（ステップＳ４２２）。終了条件は、指定された特定の一つ以上のＬＢＡに関連付けられていた無効データを格納するブロックがアクティブブロック群から存在しなくなったこととしてよい。

指定された特定の一つ以上のＬＢＡに関連付けられていた無効データを格納するブロックがアクティブブロック群から存在しなくなるまで、ＧＣ部２４ｂは、ＧＣ動作を引き続き実行する（ステップＳ４２２のＮＯ、ステップＳ４１２）。

ガベージコレクション動作の終了条件が満たされると（ステップＳ４２２のＹＥＳ）、ＧＣ部２４ｂは、ＧＣ動作を終了する。この時点で、指定された特定の一つ以上のＬＢＡに関連付けられていた無効データがフリーブロック以外に存在する可能性はなくなっている。

ＧＣ動作の終了条件の判定（ステップＳ４２２）の後、セキュアイレーズ部２４ｃは、指定された特定の一つ以上のＬＢＡに関連付けられていた無効データが格納されている一つ以上のフリーブロックに対して少なくともブロックイレーズを行う（ステップＳ４２４）。これにより、セキュアイレーズ対象セクタの無効データがブロックイレーズによってセキュアにイレーズされる。

なお、セキュアイレーズ部２４ｃは、ＧＣ動作の実行後、フリーブロックリスト３５によって管理されているフリーブロックの全てに対してブロックイレーズを行ってもよい。あるいは、ブロックイレーズが行われるブロックの個数を減らすために、セキュアイレーズ部２４ｃは、指定された特定の一つ以上のＬＢＡに関連付けられていた無効データが格納されている一つ以上のフリーブロックを特定する処理を実行し、特定された一つ以上のフリーブロックのみに対してブロックイレーズを行ってもよい。

ステップＳ４２４の処理が完了すると、イレーズ制御部２４は、第３の特定コマンドの完了を示すレスポンスをホスト２に送信することによって、第３の特定コマンドの完了をホスト２に通知する（ステップＳ４２６）。

以上説明したように、第６実施形態によれば、物理的セキュアイレーズ方法により、指定された特定の一つ以上のＬＢＡに関連付けられていた無効データをセキュアにイレーズすることができる。

なお、第６実施形態では、指定された特定の一つ以上のＬＢＡに関連付けられていた無効データをセキュアイレーズ対象としたが、第６実施形態のセキュアイレーズ動作は、指定された特定のネームスペースのデータのうちの無効データのみをセキュアイレーズ対象とすることもできる。

この場合、特定のネームスペースの無効データのみに対するセキュアイレーズを要求する第４の特定コマンドをホスト２から受信したことに応じて、コントローラ４は、指定された特定のネームスペースのデータのうちの無効データのみをセキュアイレーズする物理的セキュアイレーズ動作を実行する。

実施形態中では、故障した、あるいは規定の消去回数を超えたブロックの取り扱いについての説明を省略した。これらのブロックに含まれるデータは、無効データ化され、これらのブロックはバッドブロックであるという扱いにされることがある。これらのブロックに含まれるデータは無効データであるので、これらのブロックをフリーブロックの一つとして見なしセキュアイレーズ時のブロックイレーズ対象としてもよい。または、これらのブロックをバッドブロック化するときにブロックイレーズを実行しておいてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

２…ホスト、３…ＳＳＤ、４…コントローラ、５…ＮＡＮＤ型フラッシュメモリ、２１…ネームスペース管理部、２２…ライト制御部、２３…リード制御部、２４…イレーズ制御部。

Claims (11)

1. 各々がデータ消去動作の単位である複数のブロックを含む不揮発性メモリと、
   前記不揮発性メモリに電気的に接続されたコントローラと、を具備し、
   前記コントローラは、
   第１の論理領域識別子によって識別される第１の論理領域に格納されているセキュアイレーズ対象データのセキュアイレーズを要求する第１のコマンドをホストから受信したことに応じて、前記セキュアイレーズ対象データが格納されている一つ以上の第１のブロックに格納されている有効データのうち、前記セキュアイレーズ対象データを除く有効データを、一つ以上のコピー先ブロックにコピーする処理と、前記コピーによって有効データが格納されていないフリーブロックになった前記一つ以上の第１のブロックのうちの一つである第２のブロックを、前記一つ以上のコピー先ブロックの一つとして選択する処理と、前記第２のブロックに対してデータ消去動作を実行する処理と、前記一つ以上の第１のブロックのうちの前記第２のブロックとは別の第３のブロックから前記第２のブロックに、前記セキュアイレーズ対象データを除く前記有効データをコピーして、前記第３のブロックに格納されている、前記セキュアイレーズ対象データを除く前記有効データを、前記第２のブロックにオーバーライトする処理と、を含むコピー動作を実行し、
   前記コピー動作の実行後、前記第２のブロックを除く前記一つ以上の第１のブロックに対して少なくともデータ消去動作を実行するように構成されている、メモリシステム。
2. 前記コントローラは、前記セキュアイレーズ対象データを無効化するアンマップ動作を実行するようにさらに構成されている、請求項１に記載のメモリシステム。
3. 前記コントローラは、前記コピー動作の開始前から有効データを格納していないフリーブロックのうち、前記一つ以上のコピー先ブロックのいずれとしても使用されず且つ前記セキュアイレーズ対象データのうちの無効データを格納している一つ以上のフリーブロックに対して少なくともデータ消去動作を実行するようにさらに構成されている、請求項１に記載のメモリシステム。
4. 前記コントローラは、複数のネームスペース識別子によってそれぞれ識別される複数のネームスペースを管理するように構成され、
   前記第１の論理領域識別子は、セキュアイレーズ対象ネームスペースを識別するネームスペース識別子である、請求項１に記載のメモリシステム。
5. 前記第１の論理領域識別子は、一つ以上のセキュアイレーズ対象セクタを識別する一つ以上の論理アドレスを含む、請求項１に記載のメモリシステム。
6. 前記第１の論理領域識別子は、一つ以上のセキュアイレーズ対象バリューを識別する一つ以上のキーを含む、請求項１に記載のメモリシステム。
7. 前記コントローラは、前記アンマップ動作を実行してから、前記コピー動作を実行するように構成されている、請求項２に記載のメモリシステム。
8. 前記コントローラは、前記コピー動作の実行中に前記アンマップ動作を実行するように構成され、
   前記コントローラは、前記一つ以上の第１のブロックに含まれる有効データのうち、前記セキュアイレーズ対象データである有効データを無効化するように構成されている、請求項２に記載のメモリシステム。
9. 前記第１の論理領域識別子は一つ以上のセキュアイレーズ対象セクタを識別する一つ以上の論理アドレスを含み、
   前記コントローラは、
   論理物理アドレス変換テーブルを使用して、論理アドレスそれぞれと前記不揮発性メモリの物理アドレスそれぞれとの間のマッピングをクラスタの単位で管理し、
   有効データを格納しており且つ一部にセキュアイレーズ対象セクタが存在する第１のクラスタに格納されている前記セキュアイレーズ対象セクタのデータを第１のデータパターンに変更し、
   前記第１のクラスタを前記一つ以上の第１のブロックから前記一つ以上のコピー先ブロックにコピーするコピー動作を実行するようにさらに構成されている、請求項１に記載のメモリシステム。
10. 前記セキュアイレーズ対象データは無効データを含む請求項１に記載のメモリシステム。
11. 各々がデータ消去動作の単位である複数のブロックを含む不揮発性メモリを制御する制御方法であって、
    第１の論理領域識別子によって識別される第１の論理領域に格納されているセキュアイレーズ対象データのセキュアイレーズを要求する第１のコマンドをホストから受信したことに応じて、前記セキュアイレーズ対象データが格納されている一つ以上の第１のブロックに格納されている有効データのうち、前記セキュアイレーズ対象データを除く有効データを、一つ以上のコピー先ブロックにコピーする処理と、前記コピーによって有効データが格納されていないフリーブロックになった前記一つ以上の第１のブロックのうちの一つである第２のブロックを、前記一つ以上のコピー先ブロックの一つとして選択する処理と、前記第２のブロックに対してデータ消去動作を実行する処理と、前記一つ以上の第１のブロックのうちの前記第２のブロックとは別の第３のブロックから前記第２のブロックに、前記セキュアイレーズ対象データを除く前記有効データをコピーして、前記第３のブロックに格納されている、前記セキュアイレーズ対象データを除く前記有効データを、前記第２のブロックにオーバーライトする処理と、を含むコピー動作を実行することと、
    前記コピー動作の実行後、前記第２のブロックを除く前記一つ以上の第１のブロックに対して少なくともデータ消去動作を実行することと、を具備する制御方法。

Images