SSD 的「格式化」與「安全抹除」差在哪：資料殘留的實際風險
二、SSD 為什麼不能「就地覆寫」？先搞懂 NAND 的物理限制
要理解格式化為什麼在 SSD 上效果有限，就必須先知道快閃記憶體是怎麼運作的。這段稍微硬核一點，但理解了之後，你對所有 SSD 資料安全的判斷都會變得清晰很多。
NAND 的最小單位：Page 與 Block
SSD 使用的 NAND 快閃記憶體，在物理結構上有兩個關鍵單位：
關鍵的限制就在這裡：NAND 不能「就地覆寫」。當你想把某個 Page 的內容改成新資料時，控制器不能直接蓋上去，因為那個 Page 所在的 Block 還沒被抹除，裡面還有其他有效資料。控制器必須做的，是找一個全新、乾淨的 Page 寫入新資料，然後把舊 Page 標記為「無效」。等到整個 Block 裡的 Page 大多變成無效，控制器才會執行「垃圾回收（Garbage Collection）」，把該 Block 裡剩下的有效資料搬到別處，然後把整個 Block 抹除。
這個機制帶來一個直接後果：你「覆寫」過的那個位置，舊資料其實還躺在原本的 Block 裡，直到垃圾回收真的把那塊清掉為止。而垃圾回收的時機，完全由控制器自己決定，使用者無從干預。
FTL 與磨損均衡：你看到的位址不是真實的位址
作業系統在讀寫 SSD 時，使用的是「邏輯區塊位址（LBA）」。但 SSD 控制器內部有一個稱為 FTL（Flash Translation Layer，快閃轉譯層）的機制，負責把 LBA 映射到實際的「物理頁位址（PPA）」。
這層映射表是動態的，而且會隨著寫入不斷變動。控制器為了延長 NAND 壽命，還會執行磨損均衡（Wear Leveling），刻意把資料平均分散到所有區塊上，避免某些區塊被過度寫入。
對資料安全的影響是什麼？你無法指定「把某個 LBA 對應的物理位置覆寫掉」，因為你根本不知道那個 LBA 現在指向哪裡，而且下一次寫入時它又會換位置。所有依賴「指定位址覆寫」的清除方法（例如硬碟時代的覆寫七次），在 SSD 上從原理層面就行不通。
TRIM 與垃圾回收：控制器自己決定的清理節奏
作業系統為了讓 SSD 知道「這些資料已經不要了」，會發出 TRIM 指令（NVMe 環境下稱為 Deallocate 或 Dataset Management）。收到 TRIM 後，控制器會把對應的 Page 標記為無效，讓垃圾回收可以早點處理。
但 TRIM 只是「通知」，不是「執行」。控制器收到通知後，可能馬上處理，也可能排到幾小時、幾天後的背景作業才做。而且就算做了垃圾回收，被抹除的也只是那些「剛好被回收到的 Block」，其他含有你舊資料的有效 Page，仍然完好地存在於 NAND 中。
預留空間（Over-Provisioning）與備用區塊
SSD 標示 1TB，實際上的 NAND 容量通常是 1.024TB 甚至更多，多出來的部分就是預留空間（OP, Over-Provisioning），用來支援磨損均衡、壞塊替換與效能維持。此外，出廠時就有一批備用區塊（Spare Blocks）隨時待命。
這些區域完全不在作業系統的可定址範圍內。也就是說，無論你怎麼格式化、怎麼寫入零，作業系統都碰不到這些區域。如果過去某些資料曾被搬移到備用區塊，或是在壞塊替換的過程中殘留在 OP 區域，那麼這些資料對使用者而言是「不可見但存在」的。
三、「格式化」在 SSD 上究竟做了什麼？
理解了 NAND 的物理限制之後，我們終於可以準確地回答這個問題：格式化在 SSD 上到底做了哪些事、又漏掉了哪些事。
快速格式化：只重寫檔案系統索引
Windows 的「快速格式化」、macOS 的「清除（快速）」、Linux 的 mkfs，本質上都是同一件事：在磁碟開頭寫入新的檔案系統結構，並在必要時對整個磁碟發送 TRIM 指令。
以 Windows 為例，快速格式化 NTFS 時會：
把開機磁區（Boot Sector）改寫成新的 NTFS 引導程式碼。
重建主檔案表（MFT）的初始結構。
對整個磁碟區發送 TRIM 指令，告訴 SSD「這些 LBA 都不需要了」。
看起來很徹底？但請注意第 3 點——TRIM 只是通知。SSD 收到通知後，會把對應的映射表項目標記為無效，但NAND 顆粒上的實際電荷並沒有被清除。這些資料在物理層面仍然存在，只是透過正常的讀取指令（受限於 FTL 映射）已經讀不到了。
問題是，如果攻擊者有能力繞過 FTL、直接讀取 NAND 顆粒（這需要專業的晶片讀取設備，通常用於實驗室或鑑識場合），這些「邏輯上已刪除」的資料仍然可能被還原。對一般使用者來說門檻很高，但對企業機密資料而言，這就是必須納入考量的風險。
完整格式化：寫入零，但只寫在「可定址」的區塊
「完整格式化」或所謂的「低階格式化」（嚴格來說低階格式化在現代硬碟上已經不存在，這個詞多為誤用），會在整個磁碟區寫入零或隨機資料。這聽起來很徹底，但實際上仍然有幾個致命盲點：
更諷刺的是：你寫入越多資料，控制器就越有機會把含舊資料的 Block 列入垃圾回收，反而可能加速舊資料的消失。但這個過程是不可控、不可驗證的，你無法確認「到底哪些舊資料被清掉了、哪些還在」。
格式化後，資料還救得回來嗎？
實務上，格式化後立刻使用檔案救援軟體，確實有一定機率可以救回檔案。尤其是：
格式化後沒有再寫入大量新資料的磁碟。
舊檔案所在的 Block尚未被垃圾回收的磁碟。
檔案系統結構（如 NTFS 的 MFT 鏡像）有殘留記錄的情況。
是的，很多人以為「格式化＝安全」，但實際上，只要 SSD 的控制器還沒把那些 Block 回收掉，專業的救援工具（如 R-Studio、EaseUS、Disk Drill 的深度掃描模式）就有機會透過掃描 NAND 中殘留的檔案特徵，把檔案拼湊回來。這也是二手 SSD 最大的資安破口。
四、「安全抹除」是什麼？ATA Secure Erase 與 NVMe Sanitize
安全抹除的核心概念是：繞過檔案系統，直接要求 SSD 控制器從硬體層面清除資料。由於控制器是唯一知道真實資料分佈的存在，只有它能真正做到「徹底清除」。
ATA Secure Erase：SATA 時代的標準
ATA Secure Erase 是由 T13 技術委員會制定的 ATA 指令集標準，主要分為兩種模式：
ATA Secure Erase 的執行需要透過特定的工具或指令發送，常見方式包括：
hdparm --security-erase 指令。需要注意的是，ATA Secure Erase 執行前必須先設定硬碟的「安全性密碼」，執行時會將該密碼連同資料一併清除。若執行失敗或斷電，硬碟可能會進入「安全凍結（Frozen）」或「鎖定（Locked）」狀態，需要透過特定程序解鎖，操作時務必接上不斷電系統。
NVMe Sanitize：新世代更強力的清除機制
NVMe 協定定義了獨立的 Sanitize 指令集，比 ATA Secure Erase 更靈活也更徹底。NVMe Sanitize 支援三種主要動作：
NVMe 規範中還有一個 Sanitize Status 機制，可以讓使用者查詢抹除進度，並確認抹除是否成功完成。另外，Sanitize 執行過程中若斷電，下次開機後會自動從中斷點繼續完成，這是相對 ATA Secure Erase 的一大優勢。
自加密硬碟（SED）與 Crypto Erase 的原理
現代絕大多數 SSD 都支援硬體加密（通常是 AES-256），即使你沒有啟用 BitLocker 或 FileVault，控制器在寫入 NAND 時本身就會加密——這稱為「自加密硬碟（SED, Self-Encrypting Drive）」。
加密用的金鑰存在控制器內部的獨立區域，通常不會被一般讀寫操作碰觸。Crypto Erase 的原理，就是直接銷毀這把金鑰。金鑰一消失，NAND 上所有殘留的密文就變成無法解讀的隨機資料，等同於資料實質上不存在了。
這種方式的優點是速度快到不可思議（1TB 的 SSD 可能十幾秒就搞定），而且不受限於資料量；缺點是如果金鑰管理機制有漏洞（例如某些型號被發現金鑰可被側錄），理論上仍有風險。此外，若 SSD 曾被設定過「使用者密碼」但又忘記，可能會導致無法執行 Crypto Erase。
各家原廠工具與實作建議
實務上最簡單的做法，是使用原廠提供的管理軟體：
品牌
工具名稱
支援的抹除方式
Samsung
Magician
Secure Erase、PSID Revert、Crypto Erase
Western Digital / SanDisk
WD Dashboard
Secure Erase、Sanitize
Crucial
Storage Executive
Sanitize（PSID Revert）
Kingston
SSD Manager
Secure Erase
Intel / Solidigm
Memory and Storage Tool
Secure Erase、Sanitize
若沒有原廠工具，也可以使用開源的 hdparm（SATA）或 nvme-cli（NVMe）。Linux 環境下執行 nvme sanitize /dev/nvme0 搭配對應參數，就能觸發 Sanitize。不過這類操作涉及硬體特性差異，建議先確認型號是否支援，並備份重要資料。
五、資料殘留的實際風險有多大？五個真實情境
講完理論，我們來看看實際會發生什麼事。以下五個情境，是筆者在協助企業與個人處理資料安全時最常遇到的狀況。
情境一：二手轉賣與親友接手
這是最常見、也最容易出事的場景。你買了一台新筆電，舊筆電裡的 SSD 想說「格式化一下」就賣掉或送人。買家拿回家裝上系統，用 Recuva 或 Disk Drill 掃一掃，可能就跳出你三年前的信用卡帳單 PDF、身分證掃描圖、甚至是某些你以為早就刪掉的私人照片。
這種風險在 SSD 上尤其高，因為 SSD 的垃圾回收可能還沒把舊資料清掉，而你以為的「格式化」其實只重建了索引。對一般個人來說，這已經足夠造成隱私災難；如果你是自由工作者、SOHO 族，客戶資料外流還可能牽涉法律責任。
情境二：送修與 RMA 換貨
SSD 故障送修時，你會把整台機器（或整顆硬碟）交給維修人員。維修過程中，工程師為了檢測，可能會把硬碟接到他們的測試機上。如果你沒有事先做安全抹除，你的資料就有暴露風險。
更麻煩的是，故障的 SSD 有時根本無法執行安全抹除——因為控制器可能已經損壞，或是無法正常通電。這種情況下，唯一確保資料不外流的方法，是物理破壞（例如把 NAND 顆粒敲碎，或請專業廠商進行消磁/粉碎處理）。
情境三：企業資產汰換與個資法規
對企業而言，SSD 汰換的資安風險等級完全不同。台灣《個人資料保護法》要求企業對個人資料的銷毀必須達到「無法還原」的程度；歐盟 GDPR 也有類似要求。若公司出售、報廢或捐贈舊電腦時，僅做格式化而未執行安全抹除，一旦客戶資料外洩，可能面臨高額罰鍰與商譽損失。
實務上建議企業建立標準作業流程：
資產汰換前，由 IT 部門統一執行安全抹除。
記錄抹除日期、執行方式、執行人員與硬碟序號。
若硬碟已故障無法抹除，進入物理破壞流程並留存破壞照片。
建立「抹除證明」或「報廢證明」文件存檔備查。
情境四：SSD 故障時的特殊風險
當 SSD 進入「唯讀模式」或控制器異常時，安全抹除指令可能無法送達或無法完成。此時資料仍然留在 NAND 上，但使用者無法透過正常方式清除。
這種情況下，若資料敏感度極高，必須考慮物理銷毀。專業的資料銷毀廠商會使用工業級粉碎機，把 SSD 碎成無法辨識的碎片，並提供銷毀證明。雖然聽起來誇張，但對金融、醫療、政府機關來說，這是標準流程。
情境五：虛擬機、快照與雲端副本
還有一個經常被忽略的風險：你的資料可能存在於多個地方。本機 SSD 安全抹除了，但 VM 快照、Time Machine 備份、OneDrive/iCloud 同步檔案、甚至 NAS 上的備份，都還留有完整副本。資料安全是一個整體流程，抹除本機只是其中一環，必須同步檢查備份與雲端來源。
六、實務決策表：什麼情況該用哪一種做法
以下表格整理常見情境與建議做法，方便你快速對照：
情境
建議做法
備註
自己要繼續使用，只是重灌系統
快速格式化即可
資料不需銷毀，TRIM 會自然清理
個人二手轉賣、送給親友
原廠工具執行 Secure Erase / Sanitize
耗時短、效果可靠
企業資產報廢、捐贈
NVMe Sanitize（Block Erase 或 Crypto Erase）＋紀錄
需留存抹除證明
含極機密或個資的硬碟
安全抹除＋物理銷毀
雙重保險，避免控制器層級漏洞
SSD 已故障無法通電
物理破壞（粉碎）
無法抹除時的唯一選擇
SSD 正常但無原廠工具可用
Linux + nvme-cli / hdparm
需確認型號支援的指令集
七、操作前的五個提醒與常見誤區
安全抹除雖然有效，但操作門檻比格式化高，以下幾點務必留意。
誤區一：「格式化七次就安全」
這個說法源自 HDD 時代，靠的是覆寫磁區來消除殘磁訊號。但在 SSD 上，覆寫七次不但沒有效果（因為 FTL 會把寫入導向其他區塊），還會大幅消耗寫入壽命。請改用安全抹除指令。
誤區二：「TRIM 開著就等於自動安全抹除」
TRIM 只是通知控制器「這些資料不要了」，控制器不一定會立刻處理，也不代表 NAND 上的資料已經被清除。TRIM 有助於效能與壽命，但不等於安全抹除。
誤區三：「加密之後就可以隨便賣」
如果你啟用了 BitLocker 或 FileVault，確實多了一層保護，但加密金鑰可能仍存在 TPM 或系統磁區中。正確做法是先執行安全抹除，再解除加密；或是執行 Crypto Erase 直接銷毀金鑰，效果等同於抹除。
誤區四：「安全抹除一定能成功」
安全抹除會受到硬體狀態、韌體支援度、傳輸介面（SATA/USB 轉接可能不支援）等因素影響。部分外接盒甚至會阻擋指令傳遞。建議使用主機板內建的 SATA/NVMe 埠直接執行，並在過程中接上不斷電系統（UPS），避免中途斷電導致硬碟進入鎖定狀態。
誤區五：「抹除完成後就萬無一失」
抹除完成後，建議使用 nvme sanitize-log 或原廠工具查詢狀態，確認結果為「成功」。少數案例中，抹除指令回報成功，但實際狀態仍有問題，因此雙重驗證是必要的。
八、結語：把安全抹除當成汰換流程的標準動作
SSD 的普及改變了資料儲存的方式，也改變了資料銷毀的方式。格式化在 SSD 上，本質上只是一次「重建索引」的動作；真正能從硬體層面清除資料的，是 ATA Secure Erase 與 NVMe Sanitize 這類安全抹除機制。
對一般使用者來說，下次要賣掉或送人電腦之前，請記得三個步驟：備份資料、執行原廠工具的安全抹除、確認抹除狀態。這三步驟花不了你多少時間，卻能避免日後難以挽回的隱私外洩。對企業而言，更應該把安全抹除納入資產汰換的標準作業流程，並保留紀錄以符合法規要求。
資料安全從來不是「有沒有做」的問題，而是「做得夠不夠徹底」的問題。格式化給你的是心理上的安全感，安全抹除給你的才是技術上的保障。搞懂兩者的差異，你就能在下一次汰換硬碟時，做出真正安全的選擇。
```
💬 想說點什麼？
歡迎到留言板分享你的想法、心得或疑問。
💬 前往留言板 →