主機側覆寫走不到全部物理塊
盤上存在主機看不見的區域：超額預留空間、已退役的壞塊，以及回收遷移之後遺留的舊版本頁。主機通過 LBA 覆寫只能觸達當前映射到的物理位置，上面這些一個也碰不到。NVMe Sanitize 是盤內操作，作用域是全部物理塊而不是可見 LBA 空間，這是它與“格式化”或“全盤寫零”的本質區別。退役流程如果停在主機側指令碼上，殘留資料量既無法估計，也無法向任何人證明。
選模式先看前置條件，再看代價
Crypto Erase、Block Erase 與 Overwrite 不是三個可以隨手互換的選項。Crypto Erase 有硬性前置條件——盤必須從第一次寫入起就處於自加密狀態，中途才開啟的盤不滿足條件，這一點要在部署階段確認並記錄，等到退役時再查已經來不及。Block Erase 對所有物理塊下發擦除，代價隨容量線性增長，產品線單盤容量上限規劃到 122.88TB，這一檔只能按整機維護窗口來安排，而不是按分鐘。Overwrite 面向對物理擦除仍不放心的合規要求，代價是消耗真實的擦寫壽命——如果盤之後還要轉做他用，這一筆必須計入剩餘壽命評估。
窗口編排：下發之後它不再是一塊正常的盤
擦除進行期間，盤對外只暴露受限的命令集，讀命令一律拒絕，因此下發時機必須與業務下線、陣列摘盤的順序對齊，不能反過來。掉電是必須處理的情形：規範要求操作在下次上電後繼續，並且在完成之前不允許出現部分可讀的中間態；韌體把進度記錄在掉電可保持的區域，上電檢測到未完成狀態即自動恢復。Sanitize Status 日誌頁向主機報告進度與最終結果，運維指令碼據此判斷能否放行下一步，而不是靠等待一個固定時長。
歸檔什麼才算證據
命令返回成功不等於資料真的沒了，返回碼只說明韌體認為自己做完了。驗證環節要繞過正常讀路徑，用工程工具直讀物理頁，確認擦除後的頁確實處於擦除態。每一輪驗證的原始資料、工具版本，以及被測盤的 PN 與韌體 Revision 必須一併歸檔，才構成可以交出去的材料——缺少版本資訊的記錄，換一批盤之後就失去意義。該能力與 TCG OPAL、Secure Boot 同屬企業級功能基線，目前隨主控與韌體方案在工程平臺上按型號逐項驗證，流程本身也在同一階段定稿。