引擎串在数据通路的哪一级
自加密盘的变换动作有三个可选插入点：主机侧软件、主控内部数据通路，或更靠近介质的位置。企业级产品选第二种——AES-256 引擎串在主机 DMA 与介质编码之间，数据进出都在硬件流水线内完成。理由首先是带宽：整条产品线规划的最高顺序读为 14,500 MB/s，任何需要 CPU 介入的加解密在这个速率下都会成为瓶颈。其次是延迟的可预算性：流水线内的硬件引擎按线速工作，对读写路径贡献一个固定值，而不是随负载变化的抖动源。
密钥不出主控
介质加密密钥在主控内部生成并使用，不经主机接口暴露。用户凭证派生出的密钥只用来包裹介质密钥，包裹后的密文存放在主控安全区域，掉电不丢失，上电后需通过认证才能解开。这个层级设计有一个直接好处：更换口令只需重新包裹一次，不必把盘上数据重写一遍。
OPAL 的锁定区间与命名空间不是一回事
TCG OPAL 的锁定区间按 LBA 范围划分，各自持有独立的访问凭证与锁定状态；NVMe 多命名空间则是逻辑设备层面的切分。两者可以叠加，但边界必须在配置阶段对齐，否则会出现一个命名空间横跨两个锁定区间、上电后半边可读半边不可读的情况。配合 Secure Boot，固件镜像本身处在签名校验链内，避免加密能力被替换过的固件绕过。
与压缩、擦除的相互约束
顺序不能颠倒。透明压缩型号必须先压缩再加密——密文的熵接近随机，压缩率会归零。安全擦除则从另一个方向利用同一套密钥层级：介质密钥一旦失效，盘上密文就失去可解性，这正是密钥不出主控这一设计带来的连带收益。三项能力共用同一套密钥管理，其中任何一项的设计变更都要求另外两项重新验证。上述规格与能力目前都是规划目标，作为企业级功能基线的一部分，正在工程平台上随主控与固件方案逐项落地。