SEMI E187 與 E188：台積公司對內建電腦之機台的要求，以及小型設備製造商今天能提出什麼

亞利桑那的設備製造商為什麼該讀這篇

如果您賣給台積公司的是內含 Windows 或 Linux 電腦的機台、載入埠、自動化單元或測試站，台積公司會在機台進廠前依 SEMI E187 進行查核。台積公司在 2023 年 9 月公開表示：E187 於該年成為其採購合約要求之一，並設置驗證機制，確保供應商「於新機台引進前」即符合標準。這一點對於在 Falcon Field 以嵌入式 PC 為核心進行製作的工廠，與對新竹的設備廠商同樣適用。

E187 是什麼：SEMI 的說法

SEMI E187 的英文名稱是 Specification for Cybersecurity of Fab Equipment，台積公司的繁體中文文章稱之為「晶圓設備資安標準」，於 2022 年發布，編號 E187-0122。SEMI 將其描述為定義「整體性且基礎的資安要求，作為以設計方式保護半導體晶圓廠設備、並支援運作與維護期間安全防護的基準」。它適用於執行 Microsoft Windows 或 Linux 的晶圓廠設備運算裝置，SEMI 並說明它不涵蓋 PLC、SCADA 系統或與之連接的感測器與致動器網路。此標準由 SEMI 台灣資訊與控制技術委員會之下的「晶圓廠與設備資訊安全工作小組」撰寫。

SEMI 將要求分為四個面向，台積公司以自己的用語使用同樣的四個面向。

SEMI 的概覽頁面將這四個面向註解為：舊版作業系統、網路組態、惡意程式與弱點管理，以及日誌管理。條文層級的要求載於標準本身，由 SEMI 販售，我們在下方提供連結。

台積公司如何使用 E187

台積公司 2023 年 9 月的文章指出，E187 於 2023 年被納入其採購合約要求，並「列為採購規格並設置驗證機制」，透過涵蓋四大面向的驗證清單（Verification Checklist），確保供應商於新機台引進前即符合標準。同一篇文章表示，SEMI 於 2022 年彙編了 E187 參考實務（Reference Practice），與數位發展部數位產業署合作協助設備業者採用驗證清單，而均豪精密工業與東捷科技這兩家台灣供應商成為全球首批經第三方驗證符合該標準的供應商。

文章沒有說的部分同樣重要：它沒有說每家供應商都必須採用第三方驗證機構，沒有描述台積公司亞利桑那廠如何執行查核，也沒有提到 E188。請向您的台積公司採購或設備工程窗口詢問目前的流程，不要從我們這裡推論。

E188 增加了什麼：SEMI 的說法

SEMI E188 是「設備無惡意程式整合規範」（Specification for Malware Free Equipment Integration，此中文名稱為本站譯名，SEMI 台灣的正式中文名稱未能於查核日查得），編號 E188-0222。SEMI 將其描述為「一個關於如何在資本設備交付與支援活動期間，降低惡意程式擴散至製造場所的架構」。其範圍涵蓋透過網路與可移除媒體對設備的存取控制、安裝程序、升級與支援作業，以及硬碟更換與元件更新等復原作業。它適用於設備供應商、使用者與元件供應商，並排除 MES 與主機系統等工廠端系統。

以下是我們的解讀，不是 SEMI 的原文：E187 關乎機台如何建置與設定；E188 關乎機台如何在不夾帶惡意程式的情況下到廠與接受維護，實務上即出貨前掃描、乾淨的安裝媒體，以及受控的維護存取。就我們讀過的台積公司公開資料而言，沒有任何一份說明台積公司亞利桑那廠是否要求 E188 的證據。請直接詢問。

小型設備製造商今天能提出的證據

您不需要先有證書才能開始，而以下文件是任何驗證機構最先要求的。針對每一個機台型號：一份資產清單，列出控制器硬體、作業系統與版本，以及廠商的支援終止日期；一份書面的修補程式政策，說明由誰套用更新、頻率為何、如何通知客戶；一份網路架構圖，標示每一個開放的連接埠、服務與通訊協定，以及已停用的項目；端點防護的設定，亦即執行何種防惡意程式或白名單機制、如何更新；日誌設定，亦即記錄什麼、存放何處、保存多久；近期的弱點或惡意程式掃描報告；以及一份由公司主管簽署的聲明書，將上述各項對應到四個面向。台積公司對您這類機台是接受自我聲明還是要求第三方驗證，並未公開；無論哪一種，要準備的檔案都是一樣的。

FabReady 持有什麼，以及沒有什麼

FabReady 有五列 E187 要求，沒有 E188 要求。TSMC-E187-001 列記載採購要求與四大面向；其依據為台積公司的文章與 SEMI 的頁面，並已於 2026 年 9 月 7 日對照兩者查核。TSMC-E187-002 至 005 列涵蓋受支援的作業系統與修補程式更新、停用 Telnet 與 FTP 並記錄連接埠與服務、在密碼政策下移除預設帳號與共用帳號，以及保存安全日誌；這些是實務項目，其文字目前的出處是一家資安廠商的檢查清單（TeamT5，2026 年 8 月），而非 SEMI 的條文。它們標記為草稿，FabReady 顯示其出處，並將維持此狀態，直到我們引用標準本身的條文為止。E188 聲明只有在設備製造商提出需求時，才會納入我們的規劃。

為了不讓任何人把我們的話誤認為標準的內容：SEMI 的陳述是標準名稱、摘要、範圍、排除項目與四大面向。台積公司的陳述是 2023 年的採購要求、新機台引進前的驗證、驗證清單、以台積公司用語表述的四大面向、與數位發展部的合作，以及兩家通過驗證的供應商。我們的陳述是四列細項要求、證據清單、對 E187 與 E188 分工的解讀，以及建議直接詢問台積公司。

免責聲明

FabReady 是一項準備度與資料整理工具。本頁內容均非法律、法遵或認證建議，FabReady 所保存的任何內容均不代表「已查證」或「已合規」。要求會隨時間改變；請對照下列來源以及標準本身查證。

資料來源

1. 台積公司，「TSMC Strengthens 'Specification for Cybersecurity of Semiconductor Equipment', Realizing Mutual Industry Benefits」，頁面所示日期 2023/09/13: https://esg.tsmc.com/en-US/articles/280
2. 台積公司，「台積公司深化『晶圓設備資安標準』，實踐產業共好」，頁面所示日期 2023/09/13（同一篇文章的繁體中文版）: https://esg.tsmc.com/zh-Hant/articles/280
3. SEMI，SEMI E187 Specification for Cybersecurity of Fab Equipment（E187-0122），含摘要與範圍的商店頁面: https://store-us.semi.org/products/e18700-semi-e187-specification-for-cybersecurity-of-fab-equipment
4. SEMI，SEMI E188 Specification for Malware Free Equipment Integration（E188-0222），含摘要與範圍的商店頁面: https://store-us.semi.org/products/e18800-semi-e188-specification-for-malware-free-equipment-integration
5. SEMI，晶圓廠設備資安標準概覽（工作小組、四大面向）: https://www.semi.org/en/products-services/standards/cybersecurity
6. TeamT5，「How to prepare for SEMI E187 validation: an essential checklist for equipment suppliers」，2026 年 8 月（廠商檢查清單；FabReady TSMC-E187-002 至 005 列目前的出處）: https://teamt5.org/en/posts/how-to-prepare-for-semi-e187-validation-an-essential-checklist-for-equipment-suppliers/

本站相關內容

• 要求資料庫中的 TSMC-E187-001
• 開始準備度評估
• 指南：TSCA 第 8(a)(7) 條 PFAS 一次性申報