ファイルを削除するとどうなる？保存装置と安全な消去を解説

パソコンやスマートフォンでファイルを「削除」すると、画面上からは瞬時に消え去ります。しかし、目に見えなくなったデータは、保存装置の中で本当に消滅しているのでしょうか。

日常的に行うファイル削除に対して、「跡形もなく消えている」と考える人もいれば、「一度書き込んだデータは二度と消せないのでは」と不安に思う人もいます。実際のストレージ（保存装置）内部では、そのどちらとも異なる合理的で精密な処理が行われています。

ファイル削除の挙動は、OSやファイルシステムの仕組みだけでなく、ハードディスク（HDD）やSSDといった物理メディアの記録方式、暗号化の有無、クラウド同期の設定によって大きく変化します。本稿では、ファイル削除の基本的な仕組みから、保存装置による挙動の違い、クラウドでの多段階消去、そして機器を手放す際にデータを復元不能にする「サニタイズ（機密抹消）」の基準までを分かりやすく解説します。

通常の「削除」で何が起きているのか？――管理情報と実データの関係

日常の操作でファイルを「ごみ箱」に入れたり削除したりするとき、機器の内部では何が起きているのでしょうか。多くの人が直感的に思い浮かべるイメージとは異なり、通常のファイル削除操作は、その場で実データを消去する処理ではありません。

目次を書き換えるだけの高速な処理

WindowsのNTFSをはじめとする一般的なファイルシステムにおいて、通常のファイル削除操作は、保存されている実データそのものをゼロなどで即座に上書き消去する処理ではありません。実際に行われているのは、ファイルの名前、サイズ、保存位置などを記録した「管理情報（メタデータ）」を更新し、該当する記録領域を「新しいデータを上書きしてよい空き領域」としてマークする処理です。

これは書籍に例えると分かりやすいでしょう。本から特定の章を消したいとき、本文のページを1枚ずつ消しゴムで消すのではなく、冒頭の「目次」からその章の項目だけを斜線で消してしまうような処理です。目次から項目が消えたため通常の読者はその章を見つけられなくなりますが、本文のページ自体には文字がそのまま残っています。

OSがこのような仕組みを採用している最大の理由は処理速度です。もしギガバイト単位の巨大な動画ファイルを削除するたびに、記録領域全体にゼロを書き込んで物理的に消去していたら、削除のたびに長い待ち時間が発生してしまいます。目次にあたる管理情報だけを数ミリ秒で書き換え、実データは「上書き許可」の状態にして放置するほうが、システム全体の動作として圧倒的に効率的だからです。

例外となるケース：ハードリンクとスナップショット

ただし、「管理情報を更新すれば該当領域が空き領域になる」という原則には重要な例外があります。代表的なものが「ハードリンク」や「スナップショット」が存在するケースです。

ハードリンクとは、1つの実データに対して複数の異なるファイル名を割り当てる機能です。この場合、1つのファイル名を削除しても、別のファイル名が同じ実データを参照し続けている限り管理情報は維持され、該当領域が空き領域として解放されることはありません。すべてのリンクが削除されて初めて解放対象となります。

また、近年のOSやバックアップシステムで多用されるスナップショット（過去の特定時点の状態を保持する機能）が有効な場合も同様です。現在の作業環境でファイルを削除しても、過去のスナップショット内にそのデータへの参照が保持されている間は、実データの領域は解放されずストレージ内にそのまま残ります。

ごみ箱の役割とデータ復元の原理

デスクトップにある「ごみ箱」機能についても正しく理解しておく必要があります。Windowsなどのローカルドライブでファイルを削除すると、まず「ごみ箱」フォルダへと移動します。これは管理情報上でファイルの所属場所がごみ箱フォルダに変更されただけであり、記録領域の解放すら行われていません。「元に戻す」を選べば瞬時に元の場所へ戻せるのはこのためです。なお、USBメモリなどの外付けドライブやネットワーク共有フォルダ上のファイルを削除した場合は、ローカルのごみ箱を経由せず、即座に管理情報の削除（空き領域化）が行われるのが一般的です。

では、ごみ箱を空にした後でも、なぜ市販のデータ復元ソフトでファイルを取り戻せる場合があるのでしょうか。それは、管理情報が消えても本文の記録領域には実データがそのまま残っているからです。

復元には主に2つの方法があります。1つは、消去マークがついただけの管理情報の残骸をたどり、ファイル名やフォルダ構造ごと復元する方法です。もう1つは、管理情報が完全に失われていても、空き領域をスキャンしてファイル形式特有の開始・終了サイン（ヘッダやフッタ）を探し出す「ファイルカービング」と呼ばれる手法です。

しかし、復元が成功するかどうかは時間と運に左右されます。空き領域として解放された場所には、OSのバックグラウンド処理や新しいファイルの保存によって容赦なく新しいデータが上書きされます。一度でも別のデータで上書きされてしまえば、元のデータを読み出すことは論理的に不可能です。また、データが連続した領域ではなく分散して保存されていた場合（ファイルの断片化）は、ファイルカービングを行っても正常な復元は極めて困難になります。

保存装置による挙動の違い――HDDの磁気残存とSSDのFTL・TRIM

「管理情報だけを消し、実データは上書きされるまで残る」というモデルは、ハードディスク（HDD）の挙動に基づいた分かりやすい説明です。しかし、現在のパソコンやスマートフォンで標準的なSSD（ソリッドステートドライブ）では、ハードウェアの内部構造が根本から異なるため、削除後の挙動も大きく変わります。

削除したファイルが画面から消えた後、端末内の記録や別のコピーがどう扱われるかを、次の模式図で見てみましょう。ごみ箱への移動は、この図の「通常の削除」とは別の操作です。

削除後に残るもの――図の読み方

PC版の図の上段は、ファイル一覧から項目が消えることと、管理情報の記録が無効になることを例示しています。画面の表示が変わっても、保存装置の中身が同時にすべて物理消去されたとは限りません。

ファイル名は実データそのものではなく、保存場所などを追跡する管理情報の一部です。PC版の図中の表はその関係を単純化した説明例で、すべてのファイルシステムが同じ表形式で記録するという意味ではありません。

図ではHDD、SSD、クラウド・バックアップを別々に示します。HDDでは削除後も記録が残る場合があります。SSDでは内部コントローラの管理やTRIM通知が関わりますが、TRIMはその瞬間の物理消去を保証する通知ではありません。クラウドやバックアップのコピーは端末内の削除とは別に管理されます。

この図は画面と装置のしくみを説明する模式表現です。削除後の残存や消去方法はOS、機器、設定、サービス、保持期間で異なります。ごみ箱に移すこと、通常の削除、復元できなくするための消去を同じ処理として扱わないでください。

HDD：磁気パターンとして物理的に残る仕組み

HDDは、磁性体を塗布した円盤（プラッタ）を高速回転させ、磁気ヘッドを使って磁気パターンを記録する装置です。

HDDにおいては、OSが認識する「論理アドレス（データの番地）」と、プラッタ上の「物理アドレス（実際の記録場所）」がほぼ固定的に対応しています。そのため、OSが管理情報からファイルの登録を消去した段階では、プラッタ上の磁気パターンには何の物理的変化も生じません。次にその場所へ新しいデータが上書きされる瞬間まで、過去のデータは物理的にそこに存在し続けます。

なお、現代の高密度化された大容量HDDにおいては、一度でもゼロやランダムな値で上書きされてしまえば、残留磁気から有意なデータを復旧することは技術的に極めて困難とされています。

SSDの制約：ページ書き込みとブロック消去

一方、SSDはNANDフラッシュメモリと呼ばれる半導体チップに電気信号（電荷）としてデータを記録します。このNANDフラッシュメモリには、HDDにはない独特の物理的制約があります。

データの読み書きは「ページ」と呼ばれる単位で行われますが、データの消去は複数のページをまとめた「ブロック」単位でしか行えません。さらに、NANDフラッシュは「消去済みのクリーンなページにしか書き込めない」という性質を持っています。そのため、既存のデータを上書きしたい場合でも、ページ単位で直接上書きすることはできず、一度ブロック全体を消去しなければなりません。

また、各記録素子に書き込みや消去を行える回数には物理的な上限（寿命）があり、同じ場所に書き込みが集中すると素子が早期に劣化してしまいます。

FTLの役割：out-of-place更新とウェアレベリング

この制約を解決するために、SSDの内部コントローラには「FTL（Flash Translation Layer：フラッシュ変換層）」と呼ばれる高度な制御システムが組み込まれています。

OSがある論理アドレスのデータを書き換えようとしたとき、FTLは元の物理セルをその場で消去して上書きするのではなく、別の消去済みブロックの空きページに新しいデータを書き込みます。そして、「この論理アドレスの最新データは、こちらの新しい物理セルにある」という対応関係（マッピングテーブル）を内部で更新します。これを「out-of-place更新」と呼びます。元の物理セルに残された古いデータは、この時点で「無効データ」として放置されます。

さらにFTLは、特定のブロックだけが早期に劣化しないよう、すべての物理ブロックへ均等に書き込みが分散されるよう配置を調整します。これを「ウェアレベリング」と呼びます。

従来の「上書き消去」がSSDに通用しない理由

FTLの働きによって、従来のデータ消去の常識は大きく変わりました。HDDの時代には、「データを完全に消すには、削除後に無意味なデータを上書きすればよい」と考えられていました。

しかし、SSDに対して特定のファイル領域を狙って上書きを試みても、FTLが介入するため、書き込まれたデータは別の新しい物理ブロックへ割り当てられてしまいます。元のデータが格納されていた古い物理セルがその瞬間に上書きされる保証はどこにもありません。

カリフォルニア大学サンディエゴ校のWeiらによる実験研究（FAST '11）では、SSDに対してファイル単位のソフトウェア上書きを行っても、大半のデータが物理セル内に残存してしまうことが実証されました。SSDにおけるファイル単位の上書きによる消去効果は極めて不確実であり、データが物理的にいつ消去されるかは、SSDの媒体設計や内部ファームウェアの処理に強く依存しています。

TRIM命令の役割：即時消去ではなく「ヒント通知」

SSDの動作において重要な役割を果たすのが「TRIM」コマンドです（SATA接続ではTRIM、NVMe接続ではDeallocateやUnmapと呼ばれます）。

TRIMとは、OSがファイルを削除して管理情報上の領域を解放した際、SSDに対して「この論理アドレスの領域はもう不要になった」と通知する仕組みです。

注意すべきなのは、TRIMは「SSDに物理消去を実行させる強制命令」ではなく、あくまで「将来のガベージコレクション（不要ブロックの回収・整理）の効率を高めるためのヒント通知」に過ぎないという点です。

OSからTRIM通知を受け取ったSSDコントローラは、管理テーブル上で該当の論理アドレスのマッピングを解除します。その後、どのタイミングで実際にブロック全体の消去（物理消去）を行うかは、SSDがアイドル状態になったときなどにコントローラが独自に判断します。

また、TRIM通知が行われた後にその論理アドレスを読み出そうとしたときの挙動も、製品規格やファームウェアによって異なります。常にゼロを返すタイプ（DZAT: Deterministic Read Zero after TRIM）もあれば、直前の値をそのまま返すものや、未定義の不定値を返すものも存在します。論理的に読み出せなくなったからといって、物理的な半導体セルから電荷が抜かれて物理サニタイズが完了したとは限らないという点は、セキュリティを考える上で極めて重要です。

クラウドストレージにおける削除の多段階パイプライン

Google Drive、OneDrive、iCloudなどのクラウド同期サービスを利用している場合、ファイルの削除は手元のパソコンの中だけで完結する問題ではなくなります。

同期の伝播とクラウド側での保持経路

パソコン上の同期フォルダ内でファイルを削除すると、同期ソフトがその操作を検知し、クラウドサーバーに対して削除リクエストを送信します。これによりクラウド上のファイルも削除され、同じアカウントで接続されている他の端末上のファイルも連動して削除されます。これが「削除の伝播」です。

しかし、手元の端末で削除を実行したからといって、クラウドの設備からデータが即座に物理消去されるわけではありません。同期による削除とは別に、サービス側に独立したコピーや保持の仕組みがある場合があります。どこまで消えるかは、そのサービスの仕様と設定を確認する必要があります。

代表的なものが、クラウド側のごみ箱機能やバージョン履歴（版履歴）です。手元の端末で誤ってファイルを消してしまっても、クラウド上のWeb管理画面にログインすれば「ごみ箱」の中にファイルが残っており、簡単に元に戻せるケースが多くあります。また、定期的に取得されている独立バックアップの中にファイルが含まれていれば、同期削除の影響を受けることなくデータは安全に保管され続けます。

大規模分散基盤における段階的な削除プロセス

では、クラウド上のごみ箱からも完全に削除した場合、データセンターでは何が起きているのでしょうか。

数百万台規模のサーバーで構成される大規模な分散クラウドインフラ（Google Cloudの設計例など）において、データ削除は即時の物理破棄ではなく、綿密に設計された多段階のライフサイクルを経て慎重に処理されます。

1. 論理削除（アクセス遮断）：利用者が削除を実行すると、ストレージシステムは即座にそのデータへのアクセス権を遮断し、通常のAPIや管理画面からは一切見えない状態にします。
2. 猶予期間：万が一の誤操作や障害などから利用者を救済するため、一定期間（数日〜数十日程度、サービス規約による）は復元可能な状態のまま内部に保持されます。
3. 非同期消去パイプライン：猶予期間が過ぎると、データはバックグラウンドで動作する消去処理キューへと渡されます。分散クラウドでは1つのファイルが複数のデータセンターに複製（レプリケーション）されているため、パイプラインは世界各地のストレージノードに対して論理的な回収マークを付け、ガベージコレクションによって順次物理ブロックを回収・上書きしていきます。
4. 暗号鍵の破棄とバックアップの失効：クラウド基盤に保存されるデータは通常、保管時暗号化されています。データ自体の物理回収と並行して、復号に必要な暗号鍵が鍵管理システムから完全に破棄されます。さらに、災害対策として別拠点に保管されているオフラインのバックアップメディア（磁気テープ等）については、物理的な即時消去が困難であるため、あらかじめ定められた保管期限が満了してデータが無効化（失効）されるのを待つ設計となっています。

このように、大規模分散クラウドでは可用性と安全性を両立するため、即時物理消去ではなく段階的なパイプラインによってデータが確実に処理されます。なお、この仕組みはGoogle Cloudの大規模分散基盤を例としたものであり、一般消費者向けクラウドや他社クラウドの全仕様を一律に保証するものではありません。

確実に消去するための技術――サニタイズ基準と暗号消去

日常的なファイル削除やごみ箱を空にする操作は、ストレージの空き容量を増やすための論理的な整理に過ぎず、第三者によるデータ復元を完全に防ぐセキュリティ対策としては不十分です。

パソコンやスマートフォンを他人に譲渡したり、中古ショップに売却したり、企業で機器を廃棄したりする際には、日常のファイル削除とは異なる「サニタイズ（媒体の無害化・機密抹消）」の考え方が不可欠になります。

NIST SP 800-88 Rev. 2が定める3つのサニタイズ水準

データ消去の国際的なデファクトスタンダードとして参照されているのが、米国国立標準技術研究所（NIST）のガイドライン『NIST SP 800-88』です。2025年9月に発行された最新版『NIST SP 800-88 Rev. 2』では、セキュリティ要件や媒体の再利用目的に応じて、以下の3つのサニタイズ水準が定義されています。

1. Clear（クリア）：一般的なソフトウェアツールを用いて、ユーザーがアクセス可能なすべての記憶領域に対して論理的な上書きを行うか、工場出荷時リセットを実行する水準です。日常的なキーボード操作や市販の標準的なデータ復元ツールによるデータの読み出しを防ぐことを目的としています。同じ組織内でのPCの再配備などに適しています。
2. Purge（パージ）：専用の機器や高度な実験室レベルの技術を用いた復元試行に対抗できる状態にする、より厳格な水準です。ストレージ内部のコントローラに直接指示を出すセキュア消去コマンド（ATA Secure EraseやNVMe Format）の実行や、後述する暗号消去がこれに該当します。組織外への譲渡や売却、異なるセキュリティ区分の環境へ機器を移動させる場合に要求されます。
3. Destroy（破壊）：媒体を物理的に破壊し、いかなる技術を用いても二度とデータを記録・読み出すことができない状態にする最終手段です。シュレッダーによる破砕、溶解、焼却などが含まれ、媒体を再利用せず完全に廃棄する場合に適用されます。

暗号消去（Cryptographic Erase: CE）の原理と有効性

SSDのような半導体ストレージにおいて、Purge水準を効率的に達成する有力な手段としてNIST SP 800-88 Rev. 2で規定されているのが「暗号消去（Cryptographic Erase）」です。

大容量SSDに対して全体を上書き消去しようとすると、長い所要時間が発生し、SSDの寿命も消耗してしまいます。これに対し、暗号消去は一瞬で完了します。

暗号消去の原理は明快です。あらかじめストレージ全体を暗号化機能（WindowsのBitLockerやmacOSのFileVaultなど）で強力に暗号化しておき、消去の際にはデータを復号するために必要な「暗号鍵（メディア暗号化キー）」だけを完全に破棄・消滅させます。

鍵を失った暗号化データは、どれほど高度な機器を使って物理セルから電荷パターンを読み出しても、数学的に解読不能なランダムなノイズに過ぎません。鍵を消すことによって、実質的にすべてのデータを瞬時に無意味化できるのです。

暗号消去が成立するための厳格な条件

ただし、暗号消去は無条件に成立するわけではありません。NIST SP 800-88 Rev. 2においても強調されている通り、暗号消去が有効なPurge水準のサニタイズとして認められるためには、以下の前提条件をすべて満たしている必要があります。

• 最初からの完全な暗号化：データが媒体に書き込まれた当初から十分な強度の暗号方式で保護されており、暗号化前の平文データが媒体内のいかなる場所（一時領域や予備領域など）にも残存していないこと。
• すべての鍵コピーの確実な破棄：ストレージ内部に保存された鍵だけでなく、OS側、TPM（セキュリティチップ）、クラウドアカウント、バックアップシステム、エスクロー（第三者寄託）などに保管されているすべての鍵のコピーが完全に消去・利用不能にされていること。
• 鍵破棄と解読不能性の検証：暗号鍵が確実に破棄され、該当する領域からデータが復号できなくなったことをログや確認ツール等で客観的に検証できること。

もし「途中から暗号化を有効にしたため、過去の平文データがFTLの無効ブロック内に残っている」「回復キーがクラウド上に残ったままである」といった不備があれば、暗号消去の安全性は成立しません。適切な事前設定と確実な鍵管理があって初めて成り立つ手法であることを認識する必要があります。

端末を手放す際の実践手順と危険な自己流破壊の注意点

パソコンやスマートフォンを売却・譲渡・廃棄する際、具体的にどのような手順を踏むべきなのでしょうか。また、絶対に避けるべき誤った消去法とは何でしょうか。

実践手順：OS標準の初期化とメーカー推奨手順の確認

個人がパソコンやスマートフォンを手放す場合、最も現実的な第一歩は、OSが標準で提供している初期化機能を利用することです。

Windowsであれば「設定」から「このPCをリセット」を選択し、必ず「ドライブを完全にクリーンアップする」のオプションを有効にして初期化を実行します。macOSであれば「すべてのコンテンツと設定を消去」を実行します。近年のスマートフォン（iOSやAndroid）も端末の暗号化が標準で有効になっているため、「設定」から「すべてのコンテンツと設定を消去（工場出荷時リセット）」を実行することで、内部暗号鍵の破棄と領域の初期化が同時に行われます。

ただし、PCのSSDに関しては注意が必要です。マザーボードやSSDの個別製品、ファームウェアの実装によっては、OSのリセット機能が単なる論理フォーマット（Clear水準）にとどまり、物理的なPurge水準のセキュア消去まで行われない場合があります。

より高い安全性を求める場合や機密データを扱っていた機器では、SSDメーカーが公式に提供している専用ユーティリティを使い、メーカー公式手順に従って「ATA Secure Erase」や「NVMe Format（Sanitizeコマンド）」を実行することが推奨されます。特定のOS機能を過信せず、ハードウェアメーカーの公式サポート情報を確認することが確実な消去につながります。

危険な自己流破壊（DIYの罠）

PCの廃棄時に「自分で物理的に壊せば安全だろう」と考え、自己流の破壊を試みるのは極めて危険であり、十分な消去効果も期待できません。

• 磁石を近づける（消磁の無意味さ）：かつてHDDのデータ消去には強力な磁気消去装置が使われました。しかし、SSDは磁気ではなく半導体素子の電荷で記録しているため、強力な永久磁石をどれだけ密着させてもデータは一切消去されません。
• ドリルで穴を開ける・ハンマーで叩く（重大な安全リスク）：ノートPCやタブレットにはリチウムイオンバッテリーが内蔵されています。バッテリーをドリルで貫通したりハンマーで衝撃を与えたりすると、発熱・発火・破裂を引き起こし、有毒ガスが噴出する大事故につながります。また、SSDの基板上には小さなNANDフラッシュメモリチップが複数散らばって配置されており、素人が適当に穴を開けた程度では重要なチップが無傷のまま残り、基板から剥がしてデータを読み出されるリスクが残ります。

自力での破壊は怪我や火災の危険が極めて高いため、物理破壊を行いたい場合は、専用の物理破砕機を備え、消去証明書を発行してくれる専門のデータ消去事業者に依頼するのが鉄則です。

ファイル削除に関するよくある疑問（FAQ）

ファイルの削除に関して多くの人が抱きがちな疑問について、要点を整理して回答します。

Q1. ごみ箱を空にした直後なら、市販の復元ソフトで必ず元に戻せますか？

A. 必ず元に戻せるとは限りません。 HDDであっても、ごみ箱を空にした瞬間からその領域は「空き領域」とみなされるため、OSのバックグラウンド処理やログ書き込みによって即座に一部が上書きされる可能性があります。また、ファイルが断片化して保存されていた場合は完全な復旧が難しくなります。さらにSSDの場合は、OSからTRIMヒントが通知されると、コントローラが論理マッピングを切断するため、削除の直後であっても復元ソフトからデータが一切検出できなくなるケースが珍しくありません。

Q2. SSDに対して、昔ながらの「複数回の上書きツール」を使うのは効果がありますか？

A. 効果が期待できないばかりか、SSDの寿命を無駄に縮めるため推奨されません。 SSDにはFTLによるウェアレベリングとout-of-place更新が備わっているため、ソフトウェアから同じ領域を指定してデータを何度も書き込んでも、コントローラによって異なる空きセルへと書き込みが分散されてしまいます。元のデータが格納されていた古い物理セルが上書きされる保証はありません。SSDの消去には、ドライブの内蔵コマンド（Secure EraseやSanitize）や暗号消去を利用してください。

Q3. スマートフォンで写真を削除したのに、空き容量がすぐに増えないのはなぜですか？

A. 「最近削除した項目」アルバムに一時保管されているためです。 iOSや多くのAndroid端末の写真アプリでは、削除した写真は即座に完全消去されず、「最近削除した項目」という専用アルバムに移動し、通常30日間程度保持されます。この期間中はいつでも写真を復元できますが、実データが保持されているためストレージの空き容量は増えません。今すぐ空き容量を確保したい場合は、そのアルバムを開いて「すべて削除」を手動で実行する必要があります。