원자력발전소 상용 소프트웨어를 위한 사이버 보안인증 절차 개발 = A COTS Software Dedication Process for Cyber Security in Nuclear Power Plants

국문 초록 (Abstract)

원자력 발전소는 아날로그로 운영되던 내부 설비가 노후화 등으로 성능 저하가 우려됨에 따라 노후 기기들은 디지털 제품으로 교체되고 있다. 때문에 원자력 발전소에서는 노후화된 PLC 기반의 디지털 계측 제어 시스템을 대신하기 위해 FPGA 기반 시스템이 연구 및 개발되고 있다.

FPGA 시스템 개발 단계에서는 합성도구와 같은 다양한 상용 도구들이 사용이 되기 때문에 안전을 최우선으로 하는 원자력 발전소에서 원자력품질 프로그램 하에 생산되지 않은 상용 도구들을 사용하기 위해서는 EPRI NP-5652/TR-106439와 같은 상용 제품 인증 지침으로 검증해야 한다.

하지만 이러한 인증 규정들에는 일반 산업 제어 시스템에서 필수적으로 언급하고 있는 사이버 보안에 대한 내용이 언급되고 있지 않다.

최근 원자력 발전소의 시설들은 자체적으로 외부와 분리되어 있고, 독립적이고 폐쇄적인 환경이어서 외부의 보안 위협으로부터 안전하다고 생각하였다. 하지만 최근 이란 원자력 발전소에서 발견된 스턱스넷 악성 코드로 인해 더 이상 원자력 발전소도 사이버 공격에 안전지대가 아니라는 것이 증명 되어서 사이버 보안이 필수적으로 요구되고 있다.

본 논문에서는 원자력 발전소 계측 제어 시스템 개발에 사용되는 상용 제품 인증에 보안 항목을 추가하여 상용 도구를 이용한 계측 제어 시스템 개발에 보안성을 향상 시킬 수 있는 보안인증 절차를 제시한다.

다국어 초록 (Multilingual Abstract)

Nuclear power plants are undergoing the replacement of obsolete components with digital products due to the concerns about decreased performance by aging internal analog products.

Therefore, FPGA-based systems are being researched and developed to replace the obsolete PLC-based digital Instrumentation and Controller in nuclear power plants.

Commercial tools such as Synthesis tool that used in FPGA system development stage are not produced under nuclear quality assurance in nuclear power plants where safety is the top priority. Therefore commercial grade item dedication process such as EPRI NP-5652/TR-106439 is required.

However, these certification rules do not mention cyber security, which is an essential part in the industry control system.

Recently, Nuclear power plant facilities are separated from the outside and are considered to be safe from external security threats because of its independent and closed environment.

However, due to Stuxnet malicious code detected recently from Iranian nuclear power plant, it has been proved that the nuclear power plants are no longer in the safety zone from cyber-attacks; therefore cyber security is necessarily required.

In this paper, Adding security criteria to COTS SW, which is used for the development of nuclear power plant instrumentation and controller system, the security certification process that can improve the security of developing instrumentation and controller system using commercial tools is suggested.

목차 (Table of Contents)

• ABSTRACT
• 제1장 서론 1
• 제1절 연구배경 및 목표 1
• 제2절 논문구성 5
• 제2장 관련 연구 6
• 제3장 상용 제품 인증 절차 분석 8
• 제1절 EPRI NP-5652/TR-106439 9
• 제2절 NUREG/CR-6421 12
• 제3절 EPRI NP-1025243 15
• 제4장 사이버보안 지침 분석 17
• 제1절 10CFR73.54 18
• 제2절 NRC RG 5.71 19
• 제3절 IAEA Security Series No. 17 20
• 제4절 NIST SP 800-53(Rev. 4) 22
• 제5장 상용 소프트웨어 보안 인증 절차 23
• 제6장 사례연구 31
• 제1절 기본 분석 절차 31
• 제2절 허용기준 식별 32
• 제3절 허용 방법 결정 33
• 제4절 검증 34
• 제7장 결론 36
• 참고문헌 38
• 국문초록 41