主机侧覆写走不到全部物理块
盘上存在主机看不见的区域：超额预留空间、已退役的坏块，以及回收迁移之后遗留的旧版本页。主机通过 LBA 覆写只能触达当前映射到的物理位置，上面这些一个也碰不到。NVMe Sanitize 是盘内操作，作用域是全部物理块而不是可见 LBA 空间，这是它与“格式化”或“全盘写零”的本质区别。退役流程如果停在主机侧脚本上，残留数据量既无法估计，也无法向任何人证明。
选模式先看前置条件，再看代价
Crypto Erase、Block Erase 与 Overwrite 不是三个可以随手互换的选项。Crypto Erase 有硬性前置条件——盘必须从第一次写入起就处于自加密状态，中途才开启的盘不满足条件，这一点要在部署阶段确认并记录，等到退役时再查已经来不及。Block Erase 对所有物理块下发擦除，代价随容量线性增长，产品线单盘容量上限规划到 122.88TB，这一档只能按整机维护窗口来安排，而不是按分钟。Overwrite 面向对物理擦除仍不放心的合规要求，代价是消耗真实的擦写寿命——如果盘之后还要转做他用，这一笔必须计入剩余寿命评估。
窗口编排：下发之后它不再是一块正常的盘
擦除进行期间，盘对外只暴露受限的命令集，读命令一律拒绝，因此下发时机必须与业务下线、阵列摘盘的顺序对齐，不能反过来。掉电是必须处理的情形：规范要求操作在下次上电后继续，并且在完成之前不允许出现部分可读的中间态；固件把进度记录在掉电可保持的区域，上电检测到未完成状态即自动恢复。Sanitize Status 日志页向主机报告进度与最终结果，运维脚本据此判断能否放行下一步，而不是靠等待一个固定时长。
归档什么才算证据
命令返回成功不等于数据真的没了，返回码只说明固件认为自己做完了。验证环节要绕过正常读路径，用工程工具直读物理页，确认擦除后的页确实处于擦除态。每一轮验证的原始数据、工具版本，以及被测盘的 PN 与固件 Revision 必须一并归档，才构成可以交出去的材料——缺少版本信息的记录，换一批盘之后就失去意义。该能力与 TCG OPAL、Secure Boot 同属企业级功能基线，目前随主控与固件方案在工程平台上按型号逐项验证，流程本身也在同一阶段定稿。