NVMe Command and Feature Lockdown：查詢、限制範圍與持續性

從管理需求開始

01.02.假設一台機器已完成儲存裝置設定，接下來希望限制某些管理操作。Lockdown 讓控制器在收到指定操作時拒絕執行；它不修改 namespace 的資料格式，也沒有替每個 LBA 建立讀寫權限表。先辨認要限制的是哪種命令，才能選對入口。

namespace

主機透過控制器存取的一份邏輯儲存空間；不是本篇 CSS 要選的控制器。

命令代碼與 Feature 編號分屬不同空間

01.03.Admin 命令用 opcode 選動作；Set Features 的命令內又用 FID 選設定項目。Lockdown 的 SCP=0 表示 OFI 是 Admin opcode，SCP=2 表示 OFI 是 Set Features 的 FID。相同的 06h 放在不同 SCP 底下，代表的操作可以完全不同。

opcode

操作代碼；先選要執行的命令，再由該命令的其他欄位提供參數。

OFI

Opcode or Feature Identifier；Lockdown 要禁止或允許的代碼，其種類由 SCP 選定。

SCP

Scope；指定代碼屬於 Admin opcode、Set Features FID 或管理介面命令集。

1. 先說清楚：要限制哪個操作、接收介面與控制器集合。
2. Identify 查 CFLS／CCFLS，再讀 LID14h 的可禁止清單。
3. Lockdown 填 SCP、OFI、IFC、CSEL／CSS、PRHBT，等完成。
4. 用相同範圍讀 LID14h 的目前禁止清單，確認設定結果。
5. 後續符合條件的命令被拒絕；解除與 power cycle 另依持續性規則判斷。

power cycle

整個指定裝置或 subsystem 的電源循環；本篇不能以一般 Controller Reset 代替。

CCFLS

Controller-scoped Command and Feature Lockdown Supported；可選控制器範圍的擴充支援位元。

PRHBT

Prohibit；1 要求禁止，0 要求允許，作用對象由其餘選擇欄位決定。

CFLS

Command and Feature Lockdown Supported；基本 Lockdown 支援位元。

CSEL

Controller Select；選全部、單一或某 primary 所屬 secondary 控制器集合。

CSS

Controller Select Specific；在本命令 CDW14 中依 CSEL 提供目標或 primary 控制器編號。

IFC

Interface；指定受限制操作從哪個介面收到時套用限制。

設定命令與被限制命令是兩次動作

01.04.先送 Lockdown，控制器成功完成後，對選定範圍建立限制。之後再有符合條件的命令進來，才會因限制而被拒絕。要分清「成功設定禁止」和「後來某個命令被禁止」的完成結果；前者成功，後者失敗，並不矛盾。

讀回時必須問對問題

01.05.可禁止清單是裝置提供的能力，不是目前的黑名單；目前禁止清單才表示限制狀態。兩者都在 LID 14h，透過不同 CNTTS 選擇。沒有先保留查詢的種類與介面，就算拿到一串 opcode，也無法判斷它代表能禁止還是已禁止。

CNTTS

Contents；選可禁止清單，或某種接收介面目前禁止的清單。

知道功能的邊界

01.06.哪些命令或 FID 可被禁止由廠商決定，甚至可包含 Lockdown 自己。因此不能看到功能支援位元就假設每個管理操作都能限制，也不能先把解除限制的入口禁止，再假設一定能從同一條路徑解除。

從 Identify 的能力位元往下讀

02.02.OACS 在 Identify Controller bytes 257:256，bit 10 是 CFLS、bit 13 是 CCFLS。這是 16-bit 欄位；從原始 bytes 讀到 00 24 時，以 little-endian 合成 2400h，再看各 bit，不能把第一個 byte 當成全部能力。

little-endian

低位 byte 先存，例如 00 24 組成 16-bit 數值 2400h。

基本能力已經包含哪些必要入口

02.03.CFLS=1 的控制器必須支援整個 NVM subsystem 範圍的 Lockdown，以及 Command and Feature Lockdown Log。它沒有直接承諾可以逐一挑控制器；因此第一層問題是功能存在，第二層才是控制器選擇。

NVM subsystem

NVMe 中的儲存子系統，可以包含多個控制器；本篇的全體控制器以這個範圍計算。

NVM

Non-Volatile Memory，斷電後仍能保存資料的記憶體。

擴充能力如何接到查詢格式

02.04.CCFLS=1 必須同時支援基本能力，以及 CSEL=1 的單一控制器、CSEL=2 的某 primary controller 所屬 secondary controllers。對應的 ELPF=1 Log 能查指定控制器或彙整多個控制器。CCFLS=1、CFLS=0 不是合法的能力組合。

controller

控制器；接收並處理 NVMe 命令的介面實體，同一 subsystem 可有多個。

secondary

附屬控制器；本篇只需知道其與 primary 的所屬關係，不以名稱推論效能或優先級。

primary

主要控制器；本篇 CSEL=2 用它的 Identifier 選其所屬 secondary 控制器集合。

ELPF

Enhanced Log Page Format；選一般或增強版 LID14h 資料格式。

功能支援不等於操作全部開放

02.05.通過能力檢查後，以 CNTTS=0 查目標種類的可禁止清單。如果要限制 FID，查 SCP=2；要限制 Admin opcode，查 SCP=0。某個命令本來就受控制器支援，也不表示它允許被 Lockdown 禁止，兩個問題不能互相代替。

同一操作走不同入口，結果可以不同

03.02.主機通常經由 Admin Submission Queue 送管理命令；Management Endpoint 則是帶外管理入口。規格容許同一操作在 Queue 被禁止、在帶外入口仍允許，但必須有相應支援。這裡只使用 Base 定義的入口與回覆規則，不推導未提供的 NVMe-MI 封包格式。

NVMe

Non-Volatile Memory Express，主機與非揮發性記憶體子系統之間的介面規範家族。

先決定介面，再決定控制器集合

03.03.IFC 與 CSEL 一起決定適用範圍。CSEL=0 選 subsystem 全部控制器；1 選 CSS 指定的控制器；2 選 CSS 所指 primary controller 的全部 secondary controllers。最後一種不是把 primary 自己也列入目標。CSEL=Fh 是廠商定義，3h～Eh 保留。

固定條件	改變的欄位	限制涵蓋的對象
FID06h、Admin Queue	CSEL0	全部控制器
FID06h、Admin Queue	CSEL1、CSS7	控制器 7
FID06h、Admin Queue	CSEL2、CSS7	primary7 所屬 secondaries，非 primary7 本身
FID06h、controller7	IFC 由 0 改 2	從 Admin Queue 改為 Management Endpoint

CSS 依 CSEL 改變意義

03.04.CSS 在 CDW14 高 16 bits。CSEL=0 時 CSS 保留；1 時是目標 Controller Identifier；2 時是 primary 的 Identifier。若 CSEL=2 的 CSS 不對應 primary，回 Invalid Controller Identifier。不能把 namespace 編號填進 CSS，也不能把 CSEL=2 理解成「控制器 2」。

CDW

CDW（Command Dword）；命令中的 32-bit 欄位單位，例如 CDW10 的 10 是欄位 index，不是 byte offset。

介面不存在或組合不合理時會拒絕

03.05.裝置沒有 Management Endpoint 卻選 IFC=01b 或 10b，Lockdown 回 Invalid Field in Command。SCP=4 是 NVMe-MI 的 PCIe Command Set opcode 類別，只能走 Management Endpoint；它若配 IFC=00b 或 01b 也會被拒絕。這個 PCIe Command Set 不是 NVMe 的 NVM I/O 命令集。

I/O

Input/Output，對 namespace 執行資料輸入與輸出的操作類別。

控制器選擇也有能力條件

03.06.若 CCFLS=0，非零 CSEL 的 Lockdown 會以 Invalid Field in Command 拒絕。即使 CSS 看起來是有效的控制器編號，也不能跳過這項能力條件；編號有效與功能支援是不同層次。

用三個條件描述回覆內容

04.02.先選 SCP：0 是 Admin opcode，2 是 Set Features FID，3 是 Management Interface Command Set opcode，4 是其 PCIe Command Set opcode；1 與 5～F 保留。接著選 CNTTS，再選格式。若只記錄 LID 14h，會遺失足以改變清單意義的條件。

可禁止與目前禁止用不同 CNTTS

04.03.CNTTS=0 回裝置允許禁止的項目；1、2 分別回兩種接收介面的目前禁止項目，3 保留。若 subsystem 沒有 Management Endpoint，卻查 CNTTS=2，命令會回 Invalid Field in Command；空清單和查詢本身失敗不能混為一談。

只有增強格式使用這個控制器選擇

04.04.ELPF 是 CDW10 bit 14；設 1 時需要 CCFLS 支援。CNTLID 放在 CDW11 的 LSI，也就是高 16 bits；FFFFh 代表所有控制器。ELPF=0 時這個 LSI.CNTLID 保留，填入 7 也不會把一般格式變成控制器 7 的專屬回覆。

把 byte 長度換成命令需要的 Dword 數

04.05.1 Dword 是 4 bytes，NUMD=(回傳 bytes/4)-1。512 bytes 是 128 Dwords，所以 NUMD=127，而不是 512。低 16 bits 放 NUMDL，高 16 bits 放 NUMDU。資料由 DPTR 指定的主機 buffer 接收，沒有放進完成佇列的 DW0。

buffer

資料緩衝區；本篇指主機預留給 Log 回覆資料的記憶體。

Dword

Dword（Double word）；32 bits，也就是 4 bytes。對比 word=16 bits；例如 zero-based dword count=3 代表 4 個 Dwords，也就是 16 bytes。

NUMDL

Number of Dwords Lower；Get Log 傳輸計數的低 16bits。

NUMDU

Number of Dwords Upper；Get Log 傳輸計數的高 16bits。

DPTR

Data Pointer；指定命令資料 buffer 的指標欄位。

NUMD

Number of Dwords；本篇 Get Log 傳輸長度採 Dword 數量減 1。

位移和清單索引不能互換

04.06.本篇範例 OT=0，以 byte offset 指向 Log 內的起點，LPOL／LPOU 合成 64-bit 值且需 4-byte 對齊。ELPF 是 Log 格式選擇，不是 offset 單位。若要用 OT=1 的 index-offset，必須有對應支援與項目定義，不能看到清單就自行把第 2 筆索引填成 byte offset 2。

index-offset

以清單項目索引表示起點；和按 byte 距離表示起點不同，必須由該 Log 明確支援。

byte offset

以 byte 計算、相對結構起點的距離；索引 2 不一定代表 offset2。

offset

offset；從指定起點算出的位移。它回答「離起點多遠」，不等於 index。

index

index；用來選取清單中的項目或格式。它回答「選哪一項」，不是「離起點多遠」。

LPOL

Log Page Offset Lower；Log 起讀位置的低 32bits。

LPOU

Log Page Offset Upper；同一 Log 起讀位置的高 32bits。

OT

Offset Type；0 以 byte 距離指定 Log 起點，1 是需另有支援的清單索引方式。

先解釋 header，再讀值

05.02.byte 0 的 CFILA[5:4] 是 CS、[3:0] 是 SS，分別回映查詢 CNTTS 與 SCP；[7:6] 保留。bytes 2:1 保留，byte 3 才是 LNGTH。這個清單沒有逐項附上「這是 opcode 還是 FID」，必須先由 header 判斷。

header

資料結構開頭的固定欄位區，用來說明後方內容的種類、長度或數量。

CS

Contents Selected；header 回報這份清單選的是可禁止或哪個入口已禁止。

SS

Scope Selected；header 回報清單內代碼所屬的種類。

長度直接計數，0 代表空清單

05.03.LNGTH=n 時，有 n 個各 1-byte 的代碼，位置是 bytes 4 到 n+3。LNGTH=0 沒有有效代碼；不是 1 個值為 0 的項目。LNGTH 與 Get Log 的 NUMD 不同，不能對 LNGTH 再加 1。

byte offset	範例值	如何解讀
0	12h	CS1：Admin 已禁止；SS2：FID
1～2	00 00	保留，不是清單內容
3	02h	LNGTH=2，直接計數
4～5	06 07	2 筆 FID：06h、07h
6～511	保留	不解析為其他 FID

排序用來掃描，不是清單位置就是代碼

05.04.範例清單 [06h,07h] 在 byte 4、5。第一筆的索引是 0、byte offset 是 4、內容才是 FID 06h；三者各自回答第幾筆、存在哪、代表什麼。清單後方到 byte 511 的保留區不參與排序，也不當成其他命令。

全體條件會隱藏只有部分控制器具備的項目

05.05.假設控制器 A 已禁止 FID 06h，但 B 未禁止。一般格式的 Admin Queue 目前禁止清單不能因為 A 禁止就當作「全體已禁止 06h」。需要知道部分控制器的差異時，改用增強格式的 FFFFh 彙整，再以特定 CNTLID 追查。

先讀長度，再決定要拿多少資料

06.02.VER=0，header 的 SZE 是整份 Log byte 數。NCFID 是描述器數，CFIDS 是每筆描述器 byte 數，兩者直接計數。先讀足 16-byte header，確認完整大小，再依控制器傳輸能力讀取需要的內容；不能永久假設增強 Log 也只有 512 bytes。

VER

Version；此 Log 資料格式的版本值。

依 CFIDS 算位置，不把 byte offset 當控制器編號

06.03.第 i 筆從 16+i×CFIDS 開始。若 NCFID=2、CFIDS=2，兩筆起點是 16、18，清單結束於 byte 19，SZE=20 的範例完全裝得下。若未來描述器尺寸不同，應依回報步距前進，不能把 2 bytes 寫死成所有版本通用規則。

Header 與描述器都有 CFIA，但不是同一個欄位

06.04.header byte 1 的 CFIA 包含 CS／SS，說明整份清單的種類；描述器 byte 1 的 CFIA 只有 bit 0 的 ACNTL 是本篇定義的有效屬性。把 header 的 12h 用來解讀 ACNTL，或把描述器的 01h 當 SCP，都會讀錯。

CFIA

Command and Feature Identifier Attributes；header 中的此欄說明清單種類，描述器中的同名欄說明 ACNTL，需看所在結構。

全體彙整保留部分控制器的資訊

06.05.CNTLID=FFFFh 時，只要至少一台控制器回報某 CFI，就可在清單看到它。ACNTL=1 表示所有控制器都回報，0 表示至少一台但非全部。它不列出是哪幾台，因此需要進一步以各 CNTLID 查詢，才能建立精確的控制器對照表。

描述器中的 0 與空清單也不同

06.06.NCFID=0 才是沒有描述器；ACNTL=0 是一筆已存在項目的屬性。以 A／B 的例子，06h 留在全體增強清單內，但不應出現在一般格式的全體共同禁止清單中。比較兩種格式時，先確認同一 SCP、CNTTS 和查詢期間。

列出意圖再填 bits

07.02.本例限制的是 FID，因此 SCP=2；FID 是 06h，因此 OFI=6；只針對 Admin Queue，因此 IFC=0；要禁止，因此 PRHBT=1；只針對控制器 7，因此 CSEL=1、CSS=7。每個值都來自一句具體需求，而不是從另一個命令整段複製。

演算 CDW10

07.03.CSEL 位於 bits 19:16，OFI 在 15:8，IFC 在 6:5，PRHBT 在 bit 4，SCP 在 3:0。因此 (1<<16)|(6<<8)|(0<<5)|(1<<4)|2 = 00010612h。bits 31:20 和 bit 7 保留。把 FID 06h 直接填 CDW10=6，會選錯 SCP，並未完成這項設定。

CDW14 提供目標，不傳資料清單

07.04.CSS 在 bits 31:16，填 7 得 00070000h；本例 UIDX=0，不選廠商 UUID。Lockdown 沒有用資料 buffer 傳一串 OFI，一次只有這一個 OFI；除 CDW10、CDW14 外，其他命令專用欄位保留。

等完成，再讀同一範圍的狀態

07.05.成功完成後，用 ELPF=1、CNTLID=7、SCP=2、CNTTS=1 查回。若範例只有 FID 06h 一筆，header 加 2-byte 描述器共 18 bytes；Get Log 傳輸以 Dword 計，需容納至少 20 bytes，但 SZE 外的傳輸尾端不能當有效 Log 內容。

解除時保持其餘選擇一致

07.06.解除例子保留同一個 FID、介面與控制器，只清 PRHBT。先確認執行解除的 Lockdown 入口仍允許；如果先前也禁止了 Lockdown 自身，不能把 PRHBT=0 當成可繞過限制的特殊命令。重複送出原本已成立的禁止或允許，本身不算錯。

先看是哪個命令完成

08.03.CQE 的 Command Identifier 對回原本命令，Status 再解出 SCT 與 SC。只看到 23h 或 28h 這個數字還不夠；SCT 決定狀態碼類別，也要知道完成的是 Lockdown 還是被限制的後續命令。

CQE

Completion Queue Entry；完成佇列中回報某筆命令結果的項目。

SCT

Status Code Type；指定完成狀態碼所屬類別，需與 SC 一起解讀。

SC

Status Code；指定所選 SCT 類別中的完成結果。

項目不可禁止與入口不支援有不同要求強度

08.04.若 OFI 沒被標示為可禁止，Lockdown 必須回 Prohibition of Command Execution Not Supported。若它可禁止，但不支援 IFC 選到的其中一個介面，規格建議回同一狀態，也允許回 Invalid Field in Command；不能把建議誤寫成唯一合法結果。

欄位組合錯誤不是成功建立限制

08.05.缺 Management Endpoint 卻選它、SCP=4 卻包含 Admin Queue、CCFLS=0 卻用非零 CSEL，都會回 Invalid Field in Command。CSEL=2 指到非 primary 的控制器編號則回 Invalid Controller Identifier。應把錯誤放回它所檢查的選擇，而不是統稱為「裝置不支援」。

被限制的命令依接收入口得到回覆

08.06.已禁止的操作從 Admin Queue 進來，以 Command Prohibited by Command and Feature Lockdown 中止；Management Endpoint 則回 Access Denied Error Response。這是兩個入口的回覆形式，不能要求帶外回覆一定長得像 Admin CQE。

多個問題同時存在時，不推論唯一檢查順序

08.07.通用規則允許在多個失敗原因同時成立時由廠商選擇回報狀態，除非有另外規定。學習例子一次固定一個錯誤原因，才看得出哪個條件導向哪個結果；這不代表控制器內部必須依教材排列的順序檢查。

先問限制是用哪個 CSEL 建立

09.03.持續性取決於當初 Lockdown 的 CSEL。CSEL=0 搭配 LDPE=1，禁止會跨 power cycle 持續，直到後續 Lockdown 解除；LDPE=0 則可由 subsystem power cycle 結束。CSEL=1、2 依自己的規則，在 power cycle 或後續解除時結束。一般 Controller Reset 不等於整個 subsystem power cycle。

LDPE 和 LDPS 分別是設定與讀回

09.04.Lockdown Persistence 屬於 Configurable Device Personality 的 PERID=02h；FID=22h 是 Feature 編號，不能把 02h 當成同一層編號。設定的 CDW11 bit 0 是 LDPE；Get 回覆 CQE DW1 bit 0 是 LDPS。DW0 則回報該 personality 的屬性，兩個 Dword 要分開讀。

PERID

Personality Identifier；選 CDP 功能中的一組配置，02h 是 Lockdown Persistence。

LDPS

Lockdown Persistence State；讀回目前持續性是否啟用。

建立限制時的 CSEL	Lockdown Persistence	斷電循環後的規則
0：全部控制器	已啟用	保留，後續 Lockdown 可解除
0：全部控制器	已停用	原禁止不跨 power cycle 保留
1：單一控制器	任一狀態	不因 LDPE1 而跨 power cycle 保留
2：指定 primary 的 secondaries	任一狀態	同樣在 power cycle 或後續解除時結束

設定持續性與凍結設定是不同動作

09.05.Personality 是裝置的一組配置，frozen 表示不允許再任意改變該配置。CDW13 的 CHPS 控制是否改設定，PERFS 控制凍結請求，PERID 選配置。設定接受後是否還待特定 reset，需看 MRSTT 與 PPSC；教材不能把送出 LDPE=1 直接當成所有情況都已生效。

frozen

已凍結；表示這組 personality 設定不能任意改成其他值，不表示控制器停止所有 I/O。

MRSTT

Minimum Required Reset Type；使 personality 變更生效所需的最低 reset 類型。

PERFS

Personality Freeze State；在 Set 是凍結請求，在 Get 是凍結或待凍結的回報。

CHPS

Change Personality Settings；指定 Set 是否要改變 personality 設定。

PPSC

Pending Personality Settings Change；表示存在尚待生效的 personality 設定變更。

避免把必要的解凍入口一起封死

09.06.當 Lockdown Persistence 已啟用，而此 personality 未凍結或不支援認證解凍，要求禁止整個 Set Features 或 FID 22h 的 Lockdown 必須回 Prohibition of Command Execution Not Supported。這是特定條件下的規則，不表示任何 FID 永遠都能被禁止。

認證命令有明確限定的例外

09.07.若持續性已啟用，且任一 personality 支援認證解凍，控制器與 Management Endpoint 必須允許指定 CDP Authentication、SPSP=0002h 的 Security Send／Receive，即使先前限制了這兩個 opcode。例外只涵蓋這種認證用途，不能擴張成所有 Security 命令都無條件允許。

SPSP

Security Protocol Specific；Security 命令的協定專用選擇，本篇 0002h 限定 CDP Authentication 用途。

解凍與目前禁止清單仍應分開觀察

09.08.成功的 Security Send 認證解凍若解凍的是 Lockdown Persistence Personality，持續性會停用。這不等於該命令本身直接移除每個目前禁止項目；後續狀態與是否跨 power cycle 保留應分別查證。本篇教到影響 Lockdown 的條件，不展開金鑰、驗證訊息與其他 personality 的操作。

先確認什麼情況需要 UUID

10.03.標準定義的主要流程通常不用選廠商 UUID。只有涉及同一個廠商 FID 的不同定義，且相關能力支援時，才需用 UUID 區分內容。SCP=2 是必要條件；對 Admin opcode 等其他 SCP，UIDX 會被忽略，不會改變操作種類。

Lockdown 與查詢應對到同一份定義

10.04.Lockdown 需要本命令及 Set Features 對該廠商 FID 支援 UUID 選擇，才以 CDW14 提供 UIDX。LID 14h 查詢 SCP=2 且指定 UUID 時，控制器應依該 UUID 回報廠商 FID 的限制資訊。沒有把這層定義對齊，清單上的 C0h 可能不是原本要限制的設定。

索引、項目位置與 UUID 本體有三種長度

10.05.UIDX 是 7 bits；UUID List 每項 32 bytes，項目中的 UUID 本體是 16 bytes。清單前 32 bytes 保留，第一項索引 1 位於 byte 32，第二項位於 byte 64；第 2 項的 UUID 本體從 byte 80 開始。命令填的是 2，不是 64 或 80。

0 不表示第一個 UUID

10.06.UIDX=0 表示不指定 UUID；有效非零索引必須對應受支援且有效的 UUID。指到全 0、NVMe Invalid UUID，或不支援於該資訊的 UUID，依通用 UUID 規則回 Invalid Field in Command。NVMe Invalid UUID 是 FFFFFFFF_FFFFFFFF_7FFFFFFF_FFFFFFFFh，用來保留已失效項目的索引位置；它和全 0 的清單終止值不同。清單末尾第 127 項必須為 0，不能把最大 7-bit 數當成一定可用的索引。