FR-158 SEMI E187 半導體設備資安查核框架

把數位發展部數位產業署 2026-03-10 公布的「以 SEMI E187 為基礎之半導體設備資安查核規範」v1.0 做成系統內建的合規框架，和 CMMC、CRA、ISO 27001 一樣可以建資源庫、起專案、逐條收證據、出結案報告。

跟 ISO 不同的是，這份走匯入解析器（parser）：顧問拿到新版 PDF 可以自己從「合規框架匯入」頁匯進來，不用等我們發版。出貨內建那份也是用同一支 parser 從 PDF 產出來的，再疊一層我們寫的摘要與建議證據。

為什麼匯 PDF 不匯 Excel：Excel 每條只剩一句摘要，沒有查核步驟（AO 本體）、沒有 Note；匯入頁與 route 現在只收 .pdf；規範改版公布的是 PDF，Excel 是衍生物。

PDF 排版實測（pdfplumber）：本文 DFKaiShu 14pt、Note 10pt、頁碼 TimesNewRoman 10pt，字級可乾淨切開；無疊字、無上標污染（比 CMMC 單純）。

3.1 群組（5）

依規範第 1 章末段點名的 E187 四大基礎要求，加一群型號一致性：

群組不是從 PDF 解析出來的（PDF 沒有這層），是 parser 內的固定對照表（控制項號 → 群組）。PDF 改版多了 5.13 這類新號，對照表查無就落到依條款號推斷的群組；推不出來落「其他」群，parser 不中止。

3.2 控制項（15）

合計 31 個 AO。PDF 裡 5.7／5.8、5.9／5.10、5.11／5.12 標題相同（都只寫條款名），parser 照 PDF 產標題，seed 用 Excel 短標題覆蓋；使用者自己匯時可在 Step 2 預覽改名。

3.3 AO（31）＝查核步驟

每條底下 5.x.1、5.x.2… 各成一個 AO，prose 用步驟原文（含「若是續查／若否不符合」判定句與 a./b./c. 子項）。最後一步「記錄以下內容之一」不是查核，不成 AO，收成控制項 props verdict_options（符合／不符合／不適用）。

AO part_id = <control_id>_obj.<N>（與 CRA／ISO 同），例 5.1_obj.1。props 帶 {"name":"step","value":"5.1.1"} 保留原步驟號。

3.4 Note 與文件清單去哪

5.1 既有可直接用

• parser 工廠 jedi_oscal_v2/infra/adapter/oscal_parser_factory.py：TYPE dict 加一列即接上匯入頁。
• BaseParserAdapter：_resolve_pages／clean_text／_assert_page_count 共用。
• 匯入頁 parse → Step 2 預覽（可改名、刪、改 description／guidance）→ confirm → CatalogService.add_catalog。
• 判定狀態：met／not_met／not_applicable 系統既有，E187 的三選一直接吃。
• framework_versions.reference_url（jedi-oscal-v2 019 加的欄位）。
• framework_library_defaults REGISTRY：加 semi_e187.py 一檔即接上建庫。

5.2 要補的缺口（匯入管線丟資料）

首腦核對（2026-10-22）：

• app/oscal/service/framework_parse_job_service.py:433 _tree_to_dict：assessments 只帶 name，description 永遠 None；controls 不帶 source_identifier／props。
• 同檔 :500 _persist_catalog：source_identifier=c.get("control_id") 寫死等於代號；AO 只寫 _obj.N 一層，沒有子 guidance；不寫 props。
• 套件 jedi_oscal_v2/app/service/catalog/catalog_service.py:110 add_catalog：parts 平走一層 self._part_repo.add(part)，不處理 parent_id（子 part 無從接線）。
• CRA／ISO 是 seed 直寫 DB 所以沒踩到；CMMC 沒有 AO 子層所以沒踩到。

E187 的 Note 要掛在 AO 底下、RQ 碼要留住，這三處都要補（見 §7 卡 B）。FE Step 2 預覽的 AO 段已有 FrameworkArticleAoGuidance.vue（讀 AO 的 guidance），資料接上即顯示；要確認 Step 2 用的是同一元件。

5.3 語言

匯入頁 Step 1 已有語言選擇（language_code），E187 選 zh_Hant_TW。主語繁中是新情況（CRA／ISO 主語 en）：卡 C 要驗 en 使用者看框架時 _trans 有英文就顯示英文、沒有就 fallback 主表繁中。

檔：jedi_oscal_v2/infra/adapter/semi_e187/semi_e187_parser_adapter.py，類 SemiE187Adapter(BaseParserAdapter)。ParserAdapterType.SEMI_E187 = "SEMI_E187"，factory TYPE 加一列。

6.1 pdf_parser → list[dict]

1. pdfplumber 逐頁 extract_words(extra_attrs=["fontname","size"])，按 top 組行；size < 12 的字歸 Note 流（本文 14、Note 10；門檻用實測值，寫成有註解的常數），頁碼行（^\d+/\d+$）丟掉。
2. 只處理第 4、5 章：從第一個 ^4\s+設備型號一致性 標題起，到 ^6\s+參考資料 止。第 3.2.3 文件清單表另用 page.extract_tables() 抓（實測第 6～7 頁可抓到 4 欄：項目／文件名稱／必要性／相關查核條款）。
3. 控制項標題：^(\d\.\d{1,2})\s*(?:\[(E187\.\d{2}-RQ-\d{5}-\d{2})\])?\s*(?:\((條款\s*[\d.]+)\s*([^)]*)\))?\s*(.*)$。4.x 沒有中括號與小括號，標題在尾段；5.x 標題取小括號內條款名。
4. 步驟：^(\d\.\d{1,2}\.\d)\s*(.*)。步驟內文含子項 ^[a-z]\.\s、判定句「若是…若否…」，全部併進 prose，換行保留為空格。遇「記錄以下內容之一」→ 收 a. 符合 等成 verdict_options，該步不成 AO。
5. Note：Note 流中 ^Note\s*(\d+)\s*[：:]\s*(.*) 起一條，續行併入；歸屬「最近一個步驟」。表格型 Note（5.8 Note1 強化領域表）照行文字收，不求還原表格。
6. 群組：固定對照 {4.x: G1, 5.1/5.2: G2, 5.3/5.4: G3, 5.5～5.10: G4, 5.11/5.12: G5}；查無則依條款號首位（7→G2、8→G3、9→G4、10→G5），再查無落 E187-G9 其他。

raw record：

{
  "group_code": "E187-G2", "group_name": "作業系統支援",
  "control_id": "5.1", "rq_code": "E187.00-RQ-00001-00",
  "clause": "7.2", "title": "對作業系統的支持",
  "steps": [{"step_id": "5.1.1", "text": "詢問申請者或檢視設備規格文件，…若否，則依 2.1.5 原則…", "notes": ["Note1：…"]}, ...],
  "verdict_options": ["符合", "不符合", "不適用"],
  "documents": [{"name": "設備規格文件", "required": True}, {"name": "…LTS 證明文件", "required": False}],
}

6.2 convert_to_oscal_catalog_entity

• group：group_id=group_code、title=group_name、class_="semi-e187"。
• control：control_id、title、source_identifier=rq_code or control_id、class_="semi-e187"、props=[{"name":"rq-code",...},{"name":"e187-clause",...},{"name":"verdict-options","value":"符合|不符合|不適用"}]。
• parts：statement 不產（parser 無摘要可寫）；每步一個 assessment-objective part（part_id=<cid>_obj.<N>、props=[{"name":"step","value":"5.1.1"}]），其 Note 合成一個子 guidance part 掛 part.children（transient，parent_id 由 persistence 接）；文件清單非空時產控制項層 guidance part（part_id=<cid>_gdn）。

6.3 excel_parser／gen_excel_file

沿用 CMMC 的 practices_raw 平表形狀（item_type 加 note／document），round-trip 測試即可，不另設計。

6.4 測試（套件 tests/catalog/）

fixture 用 docs/reference/SEMI-E187/…CN.pdf 複製進套件 tests/fixtures/。斷言：15 條、31 AO、5 群、代號與 RQ 碼逐條對 §3.2 表、5.1 有 4 步且 5.1.4 prose 含「LTS」、5.5 的 Note 共 9 條、文件清單 13 筆且 5.5 掛到「設備弱點掃描報告」與「弱點管理機制說明文件」、verdict_options 4.1 為 2 項 5.1 為 3 項。突變：把字級門檻拿掉要紅（Note 混進 AO prose）。

第 1 批 A／B 同在 jedi-oscal-v2 但不同檔（A 在 infra/adapter/，B 在 app/service/catalog/），可平行。第 2 批 C／D 不同檔可平行；D 的手測在 C 未完成前，用匯入頁匯 PDF 建一個 SEMI_E187 框架頂替（第 1 批已完成即可）。

• 套件 tests 全綠；BE 守衛測試全綠。
• DEV 匯入頁選 SEMI_E187＋PDF＋繁中 → Step 2 預覽 5 群／15 條／31 AO，AO 下看得到 Note；confirm 後 DB catalog_control_parts 有 parent_id 非空的 guidance 列、controls 的 source_identifier 是 RQ 碼。
• seed 020 套兩次計數不變；en 使用者看框架顯示英文、缺的 fallback 繁中。
• 建 SEMI_E187 資源庫：表單設定、兩個參與方空殼、強化說明範本到位。
• PDF_PARSER 下拉只剩 CMMC 2.0、SEMI E187 兩項。

• 查核報告格式（規範 1.1.2 說查核申請、計畫、報告由實驗室自建）。
• SEMI E187 標準本體（SEMI 付費文件）與 Reference Practice／Check List 內容。
• 匯入頁帶補充層（D7）。
• ISO 補 parser（決策者裁不補）。