【摘要】
技术失误可以修，红线踩了修不了。在 Fab 里，五条红线对应五类不可逆后果：污染、隔离失效、数据外泄、停线、批量误处置。
这五条在培训里都会讲，但讲的是规定，不是实际边界在哪。这篇文章讲边界：规定和现实之间的那条缝，通常就是事故发生的地方。
【核心要点】
- 洁净区：不是"穿好无尘服就行"，是行为规范——走位、动作幅度、携带物、进出动线
- 网络：Fab 的网段隔离是物理+逻辑双层，任何"临时打通"都会留下永久审计记录
- 数据：良率数据、Recipe 参数、Bin 分布属于核心资产，导出即违规，除非有书面授权
- 停机：不是"能不能停"，是"谁批准、停多久、影响哪些批次、怎么恢复"
- Hold：最容易被滥用的权限，误 Hold 一次可能造成整批报废或交期违约
---
一、洁净区：真正的风险在行为，不在着装
无尘服穿错会被门口拦下，这是最容易被发现的问题，反而不危险。真正危险的是穿对了之后的行为：
| 行为 | 为什么危险 |
|---|---|
| 走位穿越黄线/红区 | 不同洁净等级区域有压差，穿越会破坏气流组织 |
| 动作幅度大、快速转身 | 人体是最大发尘源，剧烈动作会显著提升局部粒子数 |
| 携带纸质记录本进洁净区 | 纸张是发尘大户，多数 Fab 禁止或要求专用本 |
| 用手机拍照 | 多数厂严禁；即使允许，也要走审批并在指定区域 |
| 未经培训操作设备面板 | 一个误触可能改变机台状态，甚至触发安全联锁 |
FDE 进洁净区的正确姿势：
- 先要培训记录。没做过洁净室培训的，别进。这不是形式，出事后第一件事就是查培训记录。
- 只走指定动线，跟随陪同人员，不单独行动。
- 需要看设备屏幕时，站在指定观察位，不要绕到机台背面（那里常有维修区与风淋通道）。
- 一切拍照、录像提前报批。有些厂允许拍屏幕但不允许拍整机布局（涉及产线布局保密）。
二、网络隔离：临时打通是最贵的"方便"
Fab 的网络通常是三层隔离：设备网（机台/EAP）— 生产网（MES/SPC）— 办公网，中间有防火墙或网闸。有些厂还分"控制区"和"非控制区"（参考 IEC 62443 分区思路）。
FDE 常遇到的三个请求：
- "你从办公网直接连一下生产库，方便排查。" → 不做。正确做法是跳板机 + 堡垒机审计。
- "先开个临时端口，联调完就关。" → 要走正式变更，写清开通时段、源目 IP、协议端口、责任人。临时开通也必须留记录，因为审计会查。
- "把你的笔记本接到设备网抓个包。" → 多数 Fab 严禁非受控设备接入设备网。要用厂方提供的分析终端。
自保做法：每次涉及网络的请求，都在邮件里写清"申请开通 X 从 A 到 B，用途、时段、责任人"，让对方书面确认。半年后审计翻出来，这封邮件就是你的免责依据。
三、生产数据保密：三类数据，三种处理方式
| 数据类型 | 典型内容 | 处理原则 |
|---|---|---|
| 工艺核心数据 | Recipe 参数、工艺窗口、机台配置 | 不出厂、不落地、不进个人设备 |
| 生产运营数据 | 产量、良率、Bin 分布、Cycle Time | 脱敏后才能用于分析；出厂需审批 |
| 系统日志 | EAP 日志、接口报文 | 可导出排查，但要去除 Lot 号/产品型号等标识 |
三个常被忽略的细节：
- 截图也算导出。发到微信群、贴到 PPT、传到自己云盘，都属于数据外流。
- "脱敏"不等于改个名字。Lot 号、Wafer ID、时间戳组合起来就能反推产品和批次。真正的脱敏要做不可逆映射。
- 用于训练/测试的数据也要授权。很多 Fab 合同里明确写了数据用途，超出范围即违约。
四、停机风险：问清四个问题再动手
任何可能影响生产的操作，动手前必须回答：
- 谁批准？ 生产主管 + 客户项目负责人，两个都要，缺一个不干。
- 停多久？ 不是"大概十分钟"，是"计划 10 分钟，超时 20 分钟必须回滚"。
- 影响哪些批次？ 当前在机台上的 Lot、排队中的 Lot、已下发未执行的命令。
- 怎么恢复？ 恢复步骤、验证方法、谁确认恢复成功。
最容易出事的场景：不是计划内停机，是"顺手改一下"。改一个接口参数、重启一个服务、清一次缓存——这些在测试环境无所谓的操作，在生产环境可能让 200 个 Lot 卡住。
原则：生产环境没有"顺手"。任何写操作都当变更处理。
五、Hold 权限：最容易被滥用的权力
Hold 是 FDE 手上最有杀伤力的操作。它能让问题批次停下，也能让正常批次停摆。
三类 Hold 的边界完全不同：
| 类型 | 谁能下 | 谁能解 | FDE 该怎么做 |
|---|---|---|---|
| 工程 Hold | 工艺/设备工程师 | 发起人 + 主管 | 可建议，不自行下 |
| 品质 Hold | 品质部门 | 品质部门 | 不碰，只提供数据 |
| 客户 Hold | 客户 | 客户 | 不碰 |
FDE 常见的越界：发现数据异常，直接批量 Hold 一批 Lot"以防万一"。
后果是什么？生产计划被打乱、交期违约、如果最后证明是虚警，你要承担这次停摆的全部责任。正确做法是：提供证据 + 建议 Hold + 让有权限的人决策。
如果情况紧急到必须立即止损，那也要：先 Hold 最小范围（单个 Lot 而不是整批），立即通知生产主管，同步准备释放条件。
六、五条红线的共同逻辑
这五条表面上是五件事，底下的逻辑是同一条：在 Fab 里，任何不可逆的动作都必须有授权、有记录、有回滚。
- 洁净区行为不可逆（污染了就是污染了）→ 所以要求培训与陪同
- 网络策略不可逆（开过的口子会留在审计里）→ 所以要求正式变更
- 数据外流不可逆（发出去了收不回）→ 所以要求审批与脱敏
- 停线损失不可逆（时间过去了）→ 所以要求多方批准与回滚预案
- 误 Hold 的影响不可逆（批次可能报废）→ 所以要求最小范围与权限分离
记住这一条，比背五条清单有用。
下一篇讲技术：SECS/GEM 与 HSMS，FDE 在现场最常见的七个对接坑。