卫越用了三天。
第四天早上，他发来一条消息：「我理清了，今天下午你有时间吗？」
下午两点，他把屏幕分享打开，左边是一份打开的证书PDF，右边是他做的字段拆解表——手工的，在笔记本上写了再拍，字有点斜，但一行一行列得很清楚。
「你先看格式，」他说，「IECEx证书的编号是这样的：IECEx加上颁证机构的缩写，再加年份和流水号。比如这份是IECEx TÜV 21.0047，就是TÜV Rheinland在2021年颁的第47号证书。」
「跟ISO不一样，」我说。
「对，ISO 9001那种证书编号每家机构自己定，没有统一格式。IECEx这套是IEC自己管的体系，编号格式是统一的，所以可以识别。」他把笔记本里的字段表推过来，「然后重要的字段，是这几个：Equipment Category，设备类别，分I和II，I是矿山，II是工厂和其他场所；Equipment Group，设备组别，IIA、IIB、IIC，IIC是要求最高的，覆盖氢气这类最危险的爆炸性气体；Temperature Class，温度等级，T1到T6，T6是最低表面温度最高限制；还有Type of Protection，防爆型式，比如Ex d是隔爆型，Ex ia是本质安全型，Ex e是增安型，不同场所选不同的型式。」
这些字段我在前几天自己查过一些，但卫越把它排在一起说，清晰了很多。
「所以这个体系，」我说，「字段比ISO复杂，但字段本身是标准化的。」
「对，」他说，「字段是标准化的，这是好事。坏事是产品描述那一栏——」他把证书往下拖，「你看这里，Scope of Certificate，产品适用范围。ISO 9001里这一栏通常写产品大类，比如「精密仪器制造」。IECEx这里是技术描述，写的是具体的设备型号加上使用环境参数，有时候一行，有时候五行。」
我看了一眼，那份证书的Scope里写的是一串型号加括号加参数，比「精密仪器制造」复杂不止一倍。
「你觉得能识别吗？」我问。
「能识别，」卫越说，「字段在那里，解析出来不难。难的是判断——这个Scope里写的型号和客户合同里写的设备型号能不能对上，我们需要做字符串比对，但它们可能用缩写，可能用型号前缀匹配，这部分需要钟磊告诉我他们的合同是怎么写的。」
「先记下来，这是问题之一，」我说，「你从八份样本里发现了什么？」
卫越把笔记本翻到下一页。
「两件事，」他说，「一个是真的发现，一个是结构性问题。」
「先说发现。」
「第三份，」他说，把屏幕切到另一份PDF，「证书的Equipment Group是IIB，然后你看这份合同。」他把窗口并排，「合同里写的是：Zone 0，gas group IIC。」
我看了一眼，IIB和IIC。
「IIB覆盖不了IIC，」我说。
「对，」卫越说，「IIC的要求比IIB更高，如果设备只有IIB认证，它不能用在IIC的爆炸性气体环境里——Zone 0加IIC是要求最高的使用场景，IIB的设备放进去，安全工程师应该会拦，但如果他漏了，就是合规缺口。」
这个发现的逻辑和工具一直在做的事是一样的：证书里说的是什么，合同里要求的是什么，两个对不上。
「这个我们能做，」我说，「只要钟磊的合同文件里有Zone或者gas group的描述，我们可以抽出来和证书的Equipment Group字段做比对。」
「可以，」卫越说，「但钟磊的合同不一定每份都写了——他需要确认一下。」
「好，记下来，」我说，「这是Finding A。第二件？」
「第二件是结构性的，」卫越说，「你看这份证书。」他切到第七份样本，「有效期那一栏——」
我看到了，那一栏不是一个具体日期，而是一行字：Certificate issued 2019-03-14. No fixed expiry. Valid subject to continued surveillance by TÜV Rheinland.
「监视审核模型，」我说。
「对，」卫越说，「IECEx证书有两种：一种是固定有效期，五年或者三年，到期了续；另一种是这种，没有固定到期日，靠定期的现场监视审核来维持有效性。八份里面有两份是这种。」
「这两份我们怎么处理？」
「有效期字段识别不到日期，」卫越说，「我能做的是：检测到「no fixed expiry」这个表述，然后标注「监视审核型证书——未包含到期日，须确认审核状态」，但我没有办法告诉他监视审核有没有过期，因为那个信息在认证机构的数据库里，不在证书文件里。」
「就是说，」我说，「这六家用监视审核型证书的供应商，工具能告诉钟磊：这里有一份没有到期日的证书，你需要另外确认——但不能告诉他审核有没有续上。」
「对，」卫越说，「只能到这一步。」
当天下午我给钟磊打了电话，把两个发现都报告了一遍。
「IIB和IIC那个，」我说，「我们在样本文件里发现一处。你有二十二家供应商，合同里如果有Zone和gas group描述的，我们可以全部扫一遍。」
钟磊没有立刻说话，停了两三秒，「这就是我需要的，」他说，「安全工程师每次复核都要把设备证书和安装环境对一遍，很费时间。如果你们能先筛出可能的不匹配，他只要重点看标出来的那几个，能省半天。」
「好，」我说，「但前提是合同里写了Zone和gas group——」
「我去查，」他说，「大部分合同我自己拟的，会写。有几家老供应商的合同是早年签的，不一定写全，我确认一下。」
「然后是监视审核那个，」我说，「八份样本里两份是这种，你的二十二家里有多少？」
「大概六家，」他说，声音里有一点不意外，「我在清单上就单独打了星号——这几家我每年要主动跟认证机构要一份审核状态证明，不是自动的。」
「那这六家我们会标出来，告诉你「监视审核型，须另行确认状态」，不会误判成正常的有固定到期日的证书。」
「够用，」他说，「比什么都不知道要好。」
电话挂了，我跟卫越说了钟磊的反应。
「他说够用，」我说，「两周时间够，你按Finding A的逻辑先做Equipment Group比对，这个价值最直接。监视审核标注那个简单，顺手加进去。」
「好，」卫越说，「那我们新开一个类别？」
「开，」我说，「叫「防爆认证结构提示」，放在「涉外认证—待人工核实」之后，平行的，但专门针对IECEx证书。能做的：颁证机构、证书编号格式识别、Equipment Category/Group/Class字段提取、到期日提取（或标注监视审核型）、Scope文字摘录；合同有gas group描述时做Equipment Group比对。不能做的：验证防爆型式是否适合应用场景，这个需要专业工程师。」
「我把这个写进说明，」卫越说。
「写，」我说，「说明比功能更重要——告诉钟磊工具在这里能做什么、做到哪里停，他才知道他自己要做什么。」
这件事本来到这里就差不多了。
但电话结束后二十分钟，钟磊又发来一条消息：「还有一件事——我有几家供应商的同一台设备，同时持有IECEx证书和ATEX证书，两本证书都在档案里，你们那边这种情况怎么处理？」
我把这条消息转给卫越，加了一句：「ATEX是EU的防爆指令，欧洲本土市场用的，和IECEx平行，认证体系类似但证书格式不同。」
卫越回复：「我看一下样本，你有没有ATEX的文件？」
我问钟磊要了一份，钟磊下午发来两份ATEX证书。卫越沉默了一会儿，然后说：「编号格式不一样，颁证机构缩写不同，但字段逻辑基本相通。」
然后他说了一句：「这是第二套，等我看完再说。」
晚上，我在本子里写了几行：
IECEx这三天，发现了两件事：一是Equipment Group能比对，前提是合同文件写了Zone和gas group；二是监视审核型证书只能标注，不能验证状态。这两件都和钟磊说了，他的反应是「够用」。
「够用」这个词，是这几个月里客户说过最多的词之一——不是「很好」，不是「完美」，是「够用」。工具给到「够用」这里，剩下的他们自己接。
ATEX是新的一套，卫越说「等我看完再说」。两套并存在同一台设备上，是正常的业务场景，不是异常——IECEx面向全球市场，ATEX面向欧洲市场，出口欧洲的设备两本都有，合理。
下一步是看两套证书能不能用同一个逻辑处理，还是需要单独的识别规则。