↑ 需求首頁 ⌂ 需求中心

收尾總結

查核規範做成內建框架、PDF 解析器可匯新版、建庫帶設備型號預設；套件 2.8.0 待發版。

FR-158 收尾總結（2026-10-22）

§1

做了什麼、為什麼

數位產業署公布「以 SEMI E187 為基礎之半導體設備資安查核規範」v1.0，設備商與查核顧問需要一份可在系統裡逐項查核的框架。做成與 CMMC、CRA、ISO 27001 同形的內建框架，並提供 PDF 解析器讓顧問日後自行匯新版。

層 內容 數量
群組 型號一致性、作業系統支援、網路安全、端點保護、安全監控 5
控制項 4.1～5.12，官方 RQ 碼在 source_identifier 15
AO 每個查核步驟一個，Note 掛 AO 子段 31
§2

Commits

Repo Commit 內容
BE b58bde16b、a47870b06 設計定案、reference_url 定為 SEMI 官方頁
BE b502c152b B：匯入管線保留 AO 建議證據與控制項來源代號／props（CM-3017）
BE 8a85b3b5d A：domain-capabilities 登記解析器位置（CM-3016）
BE bcd686a4b C：補充內容、seed 產生器、PDF_PARSER 下拉（CM-3018）
BE 194e8106f D：建庫預設（設備型號表單、申請者參與方、系統強化說明範本）（CM-3019）
BE 本次收尾 commit SPEC 三頁、README、SUMMARY（CM-3020）
jedi-python-package a15f98e6 A：SEMI_E187 解析器
jedi-python-package a54c1628 B：add_catalog 遞迴寫入 part.children
jedi-python-package 54628935 C：seed 020 框架目錄
FE — 本 FR 沒有 FE 改動（下拉由 system_menus 驅動）

全部 repo 未 push。jedi-oscal-v2 2.8.0 尚未發版，BE pyproject.toml 仍 pin 2.7.1（正式環境載不到 SEMI_E187 解析器與 seed 020）。

§3

關鍵決定

  • 走 PDF 解析器＋出貨 seed：與 ISO（只有 seed）不同，顧問要能匯新版；seed 由同一支解析器產出再疊補充層，兩者結構一致。
  • 補充層只隨 seed、匯入頁不帶：短標題、摘要、建議證據、英文譯文是我們寫的，不是 PDF 原文；補充層缺 key 時產生器直接中止，避免規範改版後靜默漏譯。
  • 主語繁中、英文進 _trans：與 CRA／ISO 相反，因為來源是繁中公布文件。
  • PDF 不隨包：散布權待確認，版本頁 reference_url 指 SEMI 官方頁。
  • PDF_PARSER 下拉停用 ISO／NIST 死選項：用 upsert，避免全新安裝時後跑的選單 seed 把停用項插回 enable=1。
  • 建庫預設 sections.risk_assessment=False：該旗標是 CRA 專案判準，設 True 會讓 SEMI 庫冒出 CRA 匯出入口。
§4

驗證

  • 套件 jedi-oscal-v2 測試 298 passed（--import-mode=importlib）。
  • DEV：seed 020 套兩次計數不變（群 5／條 15／AO 31／AO 子 guidance 31）；選單 migration 套兩次結果一致；seed 產生器重跑雜湊不變。
  • 各卡的守衛測試（test_module_boundaries）通過。
  • 未做：2.8.0 正式 pin 下的整流程手測（要等發版）；STG／POC 未套。
§5

待辦

  1. 發版（等決策者放行）：套件 pyproject.toml 2.7.1 → 2.8.0 → commit → poetry publish -r nexus（不可逆）→ BE pyproject.toml 第 85 行 pin jedi-oscal-v2==2.8.0、第 139 行 path 註解維持註解 → poetry update jedi-oscal-v2 → 驗 venv 不再指向本地源碼 → 重啟 BE 手測匯入頁 SEMI E187 與建資源庫。
  2. 本 FR 沒有 phase=active 的主線 migration（主線那支是 phase=seed，manifest 註明不進 stamp／基線 02；套件 020 走 flatten 攤平），出貨基線不必重產。
  3. PDF 散布權確認後，開新 seed 補參考 PDF。
  4. 補充內容（短標題、摘要、建議證據、英譯）待顧問審——對照表 control-list.md。
  5. 檢測實驗室視角：DEV ssp_party_role 沒有 assessor 值，目前只建申請者參與方，待決策者決定是否新增角色。