NVMe Namespace Write Protection：狀態、控制與命令行為

從保存一份資料的情境開始

01.03.假設 namespace 7 放著一份已完成驗證的資料集，接下來只希望讀取，不希望後續命令改寫它。這時主機可以要求控制器把 namespace 7 切到 Write Protect。保護的是這份儲存空間，不是某個程式的檔案權限，也不是把整顆裝置拔掉；查詢狀態、讀取資料等操作仍各有允許規則。本文的 7 是說明用的有效識別值。

四個代碼先按用途理解

01.04.WPS=0 表示本機制未設寫入保護；1 表示已保護，但可用合法的 Set Features 要求解除；2 表示維持保護直到 power cycle；3 表示永久保護。這些代碼不代表程度從弱到強的連續量。尤其 3 不是把 1 與 2 兩種功能疊加，而是另外定義的一個狀態。

支援整個功能，不等於支援每一種狀態

01.05.裝置可以只提供 0 與 1，仍符合這項選用功能的最低要求。想用 2 或 3，必須先確認控制器宣告支援。原表的 M 是「有實作 Namespace Write Protection 時必備」，不能讀成每一台 NVMe 裝置都一定有這項功能。

NVMe

Non-Volatile Memory Express，主機與非揮發性記憶體子系統之間的介面規範家族。

從另一個控制器存取也受到限制

01.06.若控制器 A、B 都附接 namespace 7，由 A 設好的保護不能透過 B 繞過。規格要求附接該 namespace 的任何控制器都遵守它的保護狀態。反過來，namespace 8 是另一個設定對象；保護 7 不等於自動把 8 的 WPS 也改成 1。之後會再討論影響多個 namespace 的命令。

先追蹤可逆的那條路

02.03.建立 namespace 後是 0。成功 Set WPS=1 會進入一般寫入保護，之後成功 Set WPS=0 可以解除。這兩個方向都是命令造成的轉換。不要看到狀態名稱有「Write Protect」就以為一律不可解除；是否能解除，要看完整的狀態名稱與目前代碼。

Until Power Cycle 不是 Until Reset

02.04.從 0 或 1 可進入 2，但沒有用 Set Features 從 2 回到 0、1 或前進到 3 的箭頭。要求改變會被拒絕。2 回到 0 的特殊箭頭是 power cycle；若只是控制器層級重設而沒有 power cycle，仍然是 2。日常說的「重開」太含糊，必須辨認實際發生的是哪種事件。

Permanent 的圖上沒有解除箭頭

02.05.從 0 或 1 進入 3 後，Set Features 不能再改變此狀態，斷電與控制器重設也不解除它。這是理解狀態機的重要界線：不能因為 3 的數字比 2 大，就假設可以先進入 2 再往上調到 3。圖上的箭頭才定義了允許路徑，支援與控制條件還要同時成立。

把不可保存和跨重設保留分開

02.06.Set Features 的 Save 是一種儲存 feature 屬性值的通用機制；本功能不提供這種保存選項。WPS 的持續性則直接由本節規定。因此 WPS=1 即使是用 SV=0 設定，斷電後仍是 1；WPS=2 同樣用 SV=0，斷電後卻回到 0。不能用 SV 的值替代狀態規則。

SV

Save，Set Features中要求保存屬性值的位元。

出廠設定復原是另外一種事件

02.07.指定的 Revert to Subsystem Manufacturing Settings Personality 真正生效後，1、2 等非永久狀態回到 0；3 保留。它不是一般 Controller Level Reset 的別名，也不是本篇 state machine 裡的 Set WPS 解除命令。這裡只說它對 WPS 的結果，不把這項管理操作當作一般解除流程。

先問裝置會不會，再問目前允不允許

03.04.NWPC=07h 表示 0～3 都受支援，並不是目前 WPS=7。即使硬體具備永久保護能力，PWPC=0 仍會拒絕要求進入 3 的 Set Features。這就像一項操作確實存在，但另有控制位決定現在是否接受；兩者都不能用目前 namespace 是不是唯讀來替代。

WPC 位於另一份經認證存取的設定結構

03.05.WPC 不在 FID 84h 的 CDW11，也不屬於 namespace 的 WPS。它在 RPMB target 0 的 Device Configuration Block 內；RPMB 透過認證與防重播機制存取，不能把一般 namespace 的 Write 命令當作修改 WPC 的方法。本篇只需要理解這個控制欄位與 FID 84h 的關係，不需要先學完整訊息交換才能理解狀態機。

CDW

CDW（Command Dword）；命令中的 32-bit 欄位單位，例如 CDW10 的 10 是欄位 index，不是 byte offset。

觀察到的值	它回答的問題	不能推出的結論
NWPC=03h	支援0／1及2，不支援3	目前已永久保護
WPC=03h	允許處理進入2與3的要求	所有namespace已保護
WPS=3	這個namespace已永久保護	這是一份支援bitmap
MDS=1	多domain；禁止進入2	禁止所有寫入保護

控制位重設後，已保護的資料仍然受到保護

03.06.假設 PWPC 曾為 1，namespace 7 已成功進入永久保護。控制器重設後 PWPC 清為 0，意思是後續嘗試讓其他 namespace 進入永久保護時，必須重新滿足控制條件；namespace 7 本來的永久保護仍在。WPS=2 經沒有斷電的控制器重設也保留，雖然 WPUPCC 此時已清零。

多 domain 限制要看整個 subsystem

03.07.狀態 2 的解除需要 namespace 與它所附接的所有控制器同時經歷 power cycle。多 domain 配置不能以單一局部電源事件保證這件事，因此規格禁止在 MDS=1 時使用狀態 2；要求進入時回 Feature Not Changeable。這個條件針對狀態 2，不應自行擴大成多 domain 配置禁止所有寫入保護。

先讀目前值，才能選合法路徑

04.05.範例選已附接的 namespace 7，送 Get Features，FID=84h、SEL=0，CDW10=00000084h。成功完成後，CQE DW0 的低 3 bits 才是 WPS。若讀到 0，可以計畫進入 1；若讀到 2，就不能以相同流程要求改成 1。Get 不會把 namespace 改成查到的值，它只回報狀態。

CQE

Completion Queue Entry，CQ 中的一筆完成結果資料結構。

同一個 DW0，要先看當初問的是什麼

04.06.SSFS 支援非零 SEL 時，SEL=3 的 CDW10 是 00000384h，回覆改成能力格式。假設 DW0=6，表示 CHANG=1、NSSPEC=1、SVBL=0，不是 WPS=6。尤其即使已永久保護，CHANG 仍可表示這個 Feature 曾有可變更的值；它不是解除永久保護的許可。SEL=2 也不能拿來尋找「上次保護前的值」：不可保存時會轉問 default，而本功能沒有 default。

送出要求，不把參數當結果

04.07.在 WPS=0 的範例中，Set 的 NSID=7、CDW10=00000084h、CDW11=00000001h，表示要求一般 Write Protect；WPS 不放在資料 buffer 裡。SV=0 是正確用法。若錯用 SV=1，會遇到 Feature Identifier Not Saveable，不能因為送過命令就宣稱已經保護成功。

成功完成之前，控制器還要處理快取

04.08.進入保護不只是把一個狀態 bit 改掉。該 namespace 在揮發性寫入快取中的資料和 metadata 必須在轉換時寫到非揮發媒體。這樣成功切入保護後，受影響的既有快取內容不會留待後續寫回。規格沒有給這個步驟固定毫秒數；資料量與裝置行為會影響完成時間。

用清楚的命令邊界理解前後行為

04.09.教學流程先等待先前的寫入完成，再送 Set，等待成功 CQE，最後讀回 WPS。這符合通用的設定切換建議，也避免把已在處理中的命令硬套成一定使用新值。若多個主機共享同一 namespace，還要協調對這份設定的存取；本規格不定義主機之間的協調協定。

不要把特殊 NSID 當成方便的查詢捷徑

04.10.本文使用單一 目前可存取的 NSID，是為了明確選到目標。FFFFFFFFh 的 Set 和 Get 行為不對稱；Set 在單 domain 可涵蓋該控制器附接的全部 namespace，但每個目標仍受自己的狀態限制，不能據此推論多目標更新的原子性。Get 不用這個值回一張全體 WPS 清單。active 表示已附接於本控制器；inactive 與 invalid 的錯誤也不同，欄位教學會把兩者分開。

inactive

已配置但未附接於該控制器的namespace狀態，與無效識別值不同。

invalid

無效；此處指無效namespace識別值，而非僅未附接。

正常處理不等於保證成功

05.02.Read、Compare、Verify 仍可以處理，是指寫入保護本身不阻擋它們；若讀到媒體錯誤，仍可能因自己的命令規則失敗。Get Features、Identify 等查詢也是如此。這張表不是「只要在表內就永遠成功」的保證表，而是說明寫入保護如何與命令處理共存。

有些列必須連註腳一起讀

05.03.例如 Dataset Management 列在允許表中，但其指定動作若試圖修改受保護 namespace 的非揮發媒體，控制器必須使命令失敗。Directive Send、Security Send／Receive、Set Features 與兩類 Vendor Specific 命令也有這個註腳。因此僅用命令名稱判斷不夠，必須再看該次請求的具體動作。

命令或情境	是否被寫入保護阻擋	原因
Read／Compare／Verify	正常處理；仍可能有其他錯誤	保護不封鎖這些操作
Dataset Management修改受保護媒體	必須失敗	表內命令仍受註腳1約束
受保護NSID的Flush	成功且無作用	進入保護時已提交快取
Format指向8但也修改受保護的7	Namespace is Write Protected	實際影響包含受保護namespace
Sanitize會修改受保護namespace	Namespace is Write Protected	沒有指定NSID也須遵守保護

Flush 的特例來自前面的轉換保證

05.04.受保護 NSID 的 Flush 必須成功且不產生作用。原因是進入保護時，該 namespace 的所有揮發性快取資料與 metadata 已被寫入非揮發媒體。這裡沒有授權 Flush 在保護後偷偷修改資料，也沒有說所有情況下的 Flush 都不需要做事；這是針對已受保護 namespace 的規則。

Directive Receive 要辨認是不是配置資源

05.05.這個命令名稱看起來像只接收資料，但其配置 Streams 資源的操作另有規則：對受保護 namespace 執行時，必須以 Namespace is Write Protected 中止。這個例子提醒讀者：資料傳送方向不能單獨代表操作是否改變狀態。

真正影響的 namespace 比命令上寫哪個 NSID 更重要

05.06.未列在 Figure 737 的命令，若直接指定受保護 namespace，會受到拒絕規則約束。另一種情況是命令指定未受保護的 namespace 8，實際操作卻會修改受保護的 7；規格以 Format NVM 為例，仍須拒絕。再例如 Sanitize 沒有指定某個 NSID，只要執行會修改受保護 namespace，仍須拒絕。不能靠改填目標或省略 NSID 繞過保護。

NVM

Non-Volatile Memory，斷電後仍能保存資料的記憶體。

查詢設定與查看健康警告，目的不同

06.03.WPS=1 是主機要求的 namespace 保護狀態；SMART 的 AMRO 是全體媒體唯讀警告。若所有 namespace 都因 FID 84h 設成保護，也不能僅因此把 AMRO 設為 1。想知道 namespace 7 的設定，直接查它的 WPS，不要從整體健康 bit 猜測。

WPS=0 只排除這個機制的保護

06.04.解除本功能不代表下一筆 Write 在任何條件下都會成功。其他錯誤、媒體狀況或外部保護仍可能影響操作；本節沒有把它們都收編成 WPS 的狀態。若外部寫入保護機制也存在，本規格不定義兩者組合的所有結果，不能自行編造優先順序。

想回答的問題	查看哪裡	代表性判讀
namespace7目前是哪種保護？	Get FID84h、SEL0的WPS	1是一般Write Protect
裝置是否支援永久保護？	Identify的NWPC bit2	1是支援，不是已進入
為何要求改變狀態失敗？	完成狀態＋原狀態／控制條件	WPS2要求0：Feature Not Changeable
是否回報全體媒體唯讀警告？	SMART的AMRO	不能只因WPS變化而設1

從主機原本想做的動作解讀失敗

06.05.如果主機本來想寫受保護的 namespace，Namespace is Write Protected 說的是資料命令受到限制。若主機想把 WPS=2 改成 0，Feature Not Changeable 說的是此狀態不允許 Set 解除。若主機錯把 SV=1 加到 FID 84h，Feature Identifier Not Saveable 說的是保存要求不成立；這三種情境不能都寫成模糊的「功能不支援」。

完成一個可以向別人說清楚的判斷

06.06.最後應能把 namespace、能力、控制位、目前狀態、所要求的動作與完成結果串成一句有因果的描述。例如：namespace 7 已是 2，所以 Set WPS=0 被拒絕；控制器重設未造成 power cycle，因此目前仍是 2。這比只記一個錯誤名稱更能解釋裝置行為。