상호운용·OT보안·단계적 전환

데이터가 도착하는데도 서로 다른 공장을 보고 있다면

한빛포장의 장치 A는 온도 250을 보낸다. 문서에는 0.1℃ 단위라고 적혀 있다. 장치 B는 같은 환경을 화씨 77로 보낸다. 중앙 화면이 숫자를 그대로 사용해 평균을 내면 163.5를 표시하지만, 두 관측은 모두 섭씨 25도다. 연결과 수신에 성공했어도 의미를 잘못 해석하면 결과는 틀리다.

더 위험한 경우는 계획 시스템의 ‘작업 시작’을 현장 장치가 즉시 실행하라는 명령으로 해석하는 것이다. 제품판본·재료·현장 상태·승인 조건이 확인되지 않았는데 통신이 된다는 이유로 작동하면 업무 통합이 안전 경계를 무너뜨린다.

이 절은 기능·시간·책임의 구조와 분석·개선의 판단을 안전한 정보 교환과 전환에 연결한다. 사례는 가상 포장공정의 관찰·실적 대사다. 실제 OT에 접속·스캔·설정 변경을 수행하거나 현장 안전을 승인하지 않는다.

1. 상호운용은 네 가지 질문을 함께 푼다

기술적 연결은 메시지를 주고받을 수 있는가, 형식 일치는 같은 필드를 같은 자료형으로 읽는가, 의미 일치는 같은 대상·단위·상태를 말하는가, 업무 일치는 어느 역할이 언제 무엇을 승인·수행·완료하는가의 질문이다. 한 가지 질문이 해결됐다고 다음 질문까지 해결되는 것은 아니다.

공통 모델은 이름을 맞추는 사전에서 끝나지 않는다. 값의 출처와 갱신 조건, 상태 전이, 오류 처리와 담당까지 합의해야 한다. 새로운 시스템이 기존 태그명에 맞추어 숫자만 읽는 것보다, 실제 역할에 필요한 최소 정보의 의미를 명시하는 편이 오래 유지할 수 있다.

앞의 250은 250×0.1=25℃다. 화씨 77은 (77−32)×5/9=25℃다. 두 값의 원래 표현과 변환 규칙을 남겨야 한다. 변환 후 원래 단위까지 섭씨였다고 기록하면 추적이 어려워진다. 허용 범위 밖 수치는 변환 오류인지 실제 이상인지 따로 확인한다.

2. 값·상태·시간을 하나의 자료 계약으로 묶는다

자료 계약은 생산자와 소비자가 같은 값과 상태를 해석하도록 합의한 필드·의미·갱신·품질·오류·변경 조건이다. 아래 SF-I1은 포장 실적 관찰을 위한 자체 계약이며 어떤 표준의 전체 필드 목록을 복제한 것이 아니다.

OPC UA의 DataValue는 값과 함께 StatusCode, sourceTimestamp, serverTimestamp 등을 구별한다. sourceTimestamp는 자료원에서 값·상태에 붙인 시각이고, serverTimestamp는 서버가 수신하거나 값이 정확하다고 알게 된 시각과 연결된다. 특히 변화 때만 보고하는 자료에서는 값이 오래 바뀌지 않아도 연결·상태를 통해 최신성을 확인할 수 있으므로 sourceTimestamp가 오래됐다는 이유만으로 모든 자료가 오래된 측정이라고 판정하지 않는다.¹

실제 계약에서 ‘매초의 새 표본’인지 ‘값·상태의 변화 통보’인지부터 정한다. 앞 IoT의 고정 표본 예제에 쓰던 신선도 규칙을 모든 OPC 변수에 그대로 복사하면 안 된다. 시계가 맞는지, 자료가 계속 확인되는지, 상태가 Bad 또는 Uncertain인지 함께 본다.

정보모델은 값과 대상의 관계도 표현한다. 온도라는 태그가 어느 설비의 어느 부품인지, 무엇을 측정한 값인지가 연결돼야 한다. OPC UA를 사용했다는 사실만으로 공급자끼리 같은 업무 의미에 합의했다는 뜻은 아니다. 선택한 모델·프로파일·버전·기능을 대조한다.

3. 요청을 받아들인 것과 작업을 수행한 것은 다르다

작업 ID J42의 요청에는 제품판본 4와 재료 로트 L7이 들어간다고 하자. 현장에는 제품판본 5만 승인돼 있거나 L7이 품질보류 중일 수 있다. 요청 문서가 올바르게 수신됐더라도 현장이 바로 시작해도 된다는 결론은 나오지 않는다.

작업 요청을 받았어도 현장 수락 조건을 따로 확인한다 · 상태 따라가기

J42는 제품 판본 4와 재료 L7을 지정했다. 모든 단계에서 작업 J42·현장 수락 조건의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

J42의 요청은 제품판본 4·재료 L7을 지정한다. 현장에 판본 5만 승인돼 있거나 L7이 품질보류라면 형식상 수신 성공이어도 실행으로 보내지 않는다. 형식·대상·조건·승인을 모두 대조한 뒤 수락 또는 거부·보완을 이유와 함께 기록한다. 수락은 실행 대기 상태이며 다음 그림의 실제 실행·완료·품질 판정과 다르다.

이 예의 조건

• J42의 요청은 제품 판본 4·재료 L7을 지정한다. 현장에 판본 5만 승인돼 있거나 L7이 품질 보류라면 형식상 수신 성공이어도 실행으로 보내지 않는다. 형식·대상·조건·승인을 모두 대조한 뒤 수락 또는 거부·보완을 이유와 함께 기록한다. 수락은 실행 대기 상태이며 다음 그림의 실제 실행·완료·품질 판정과 다르다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

관계도의 보충 설명

원그림의 모든 대상과 설명

대상	원 설명
대상작업 요청 J42	원 설명제품 판본 4·재료 L7 / 요청 ID와 의도 유지
대상형식·대상 대조	원 설명현장 승인 제품 판본 / 재료·상태·계약 확인
대상수락 조건?	원 설명형식·대상·승인
대상수락·실행 대기	원 설명수락 근거·작업 상태 기록 / 실제 실행은 별도 확인
대상거부·보완과 이유	원 설명판본 불일치·품질 보류 등 / 같은 요청의 결과로 기록

원그림의 모든 관계와 조건

연결	원 라벨·방향
연결작업 요청 J42 → 형식·대상 대조	원 라벨·방향요청 확인 / 정방향 / 실선
연결형식·대상 대조 → 수락 조건?	원 라벨·방향조건 대조 / 정방향 / 실선
연결수락 조건? → 수락·실행 대기	원 라벨·방향충족 / 정방향 / 실선
연결수락 조건? → 거부·보완과 이유	원 라벨·방향미충족 / 정방향 / 실선

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
요청 수신 J42는 제품 판본 4와 재료 L7을 지정했다.	값·보충 정보 작업 J42: J42·판본 4·L7 현장 수락 조건: 형식·대상 확인	변화·이유 수신 성공이 현장 수락은 아니다.
승인·품질 대조 현장에 판본 5만 승인되거나 L7이 보류이면 조건이 맞지 않는다.	값·보충 정보 작업 J42: 같은 요청 유지 현장 수락 조건: 승인 판본·품질 확인	변화·이유 이 조건에서 실행으로 보내지 않는다.
수락·거부 기록 형식·대상·조건·승인이 맞으면 수락·대기, 아니면 거부·보완 이유를 남긴다.	값·보충 정보 작업 J42: 수락 또는 보완 현장 수락 조건: 충족 / 미충족	변화·이유 수락은 실제 실행·완료의 증거가 아니다.

작업 요청을 받았어도 현장 수락 조건을 따로 확인한다 · 상태 따라가기

J42는 제품 판본 4와 재료 L7을 지정했다. 모든 단계에서 작업 J42·현장 수락 조건의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

J42의 요청은 제품판본 4·재료 L7을 지정한다. 현장에 판본 5만 승인돼 있거나 L7이 품질보류라면 형식상 수신 성공이어도 실행으로 보내지 않는다. 형식·대상·조건·승인을 모두 대조한 뒤 수락 또는 거부·보완을 이유와 함께 기록한다. 수락은 실행 대기 상태이며 다음 그림의 실제 실행·완료·품질 판정과 다르다.

이 예의 조건

• J42의 요청은 제품 판본 4·재료 L7을 지정한다. 현장에 판본 5만 승인돼 있거나 L7이 품질 보류라면 형식상 수신 성공이어도 실행으로 보내지 않는다. 형식·대상·조건·승인을 모두 대조한 뒤 수락 또는 거부·보완을 이유와 함께 기록한다. 수락은 실행 대기 상태이며 다음 그림의 실제 실행·완료·품질 판정과 다르다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

관계도의 보충 설명

원그림의 모든 대상과 설명

대상	원 설명
대상작업 요청 J42	원 설명제품 판본 4·재료 L7 / 요청 ID와 의도 유지
대상형식·대상 대조	원 설명현장 승인 제품 판본 / 재료·상태·계약 확인
대상수락 조건?	원 설명형식·대상·승인
대상수락·실행 대기	원 설명수락 근거·작업 상태 기록 / 실제 실행은 별도 확인
대상거부·보완과 이유	원 설명판본 불일치·품질 보류 등 / 같은 요청의 결과로 기록

원그림의 모든 관계와 조건

연결	원 라벨·방향
연결작업 요청 J42 → 형식·대상 대조	원 라벨·방향요청 확인 / 정방향 / 실선
연결형식·대상 대조 → 수락 조건?	원 라벨·방향조건 대조 / 정방향 / 실선
연결수락 조건? → 수락·실행 대기	원 라벨·방향충족 / 정방향 / 실선
연결수락 조건? → 거부·보완과 이유	원 라벨·방향미충족 / 정방향 / 실선

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
요청 수신 J42는 제품 판본 4와 재료 L7을 지정했다.	값·보충 정보 작업 J42: J42·판본 4·L7 현장 수락 조건: 형식·대상 확인	변화·이유 수신 성공이 현장 수락은 아니다.
승인·품질 대조 현장에 판본 5만 승인되거나 L7이 보류이면 조건이 맞지 않는다.	값·보충 정보 작업 J42: 같은 요청 유지 현장 수락 조건: 승인 판본·품질 확인	변화·이유 이 조건에서 실행으로 보내지 않는다.
수락·거부 기록 형식·대상·조건·승인이 맞으면 수락·대기, 아니면 거부·보완 이유를 남긴다.	값·보충 정보 작업 J42: 수락 또는 보완 현장 수락 조건: 충족 / 미충족	변화·이유 수락은 실제 실행·완료의 증거가 아니다.

수락·실행·완료 관측과 출하 가능 판정을 구별한다 · 상태 따라가기

수락한 같은 요청이 실행 허용을 기다린다. 모든 단계에서 현장 작업 상태·품질·실적의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

앞 그림의 수락 뒤에도 대기·실행 중·완료 관측을 구별한다. 품질 판정과 필요한 증거가 충족돼야 출하 가능한 실적을 반영하며, 미충족·미확인은 보류한다. 출하 가능 실적은 실제 출하·고객 인수 완료와 다르다. 응답이 끊기면 요청 ID와 실제 상태를 먼저 조회하고 같은 물리 작업을 무조건 다시 실행하지 않는다.

이 예의 조건

• 앞 그림의 수락 뒤에도 대기·실행 중·완료 관측을 구별한다. 품질 판정과 필요한 증거가 충족돼야 출하 가능한 실적을 반영하며, 미충족·미확인은 보류한다. 출하 가능 실적은 실제 출하·고객 인수 완료와 다르다. 응답이 끊기면 요청 ID와 실제 상태를 먼저 조회하고 같은 물리 작업을 무조건 다시 실행하지 않는다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

관계도의 보충 설명

원그림의 모든 대상과 설명

대상	원 설명
대상수락 뒤 실행 대기	원 설명허용된 현장 조건 유지 / 요청 수신과 실제 동작 분리
대상실행 중	원 설명승인된 제어·작업 / 실제 상태·동작 확인
대상완료 관측	원 설명작업 ID·제품·실제 결과 / 기계 동작과 합격 구분
대상품질 충족?	원 설명판정·증거 확인
대상출하 가능 실적	원 설명확인된 품질·수량 반영 / 실제 출하 완료는 별도
대상보류	원 설명미충족 또는 근거 미확인 / 이유·담당·추가 확인

원그림의 모든 관계와 조건

연결	원 라벨·방향
연결수락 뒤 실행 대기 → 실행 중	원 라벨·방향허용 실행 / 정방향 / 실선
연결실행 중 → 완료 관측	원 라벨·방향결과 관측 / 정방향 / 실선
연결완료 관측 → 품질 충족?	원 라벨·방향품질 판정 / 정방향 / 실선
연결품질 충족? → 출하 가능 실적	원 라벨·방향충족 / 정방향 / 실선
연결품질 충족? → 보류	원 라벨·방향미충족·미확인 / 정방향 / 실선

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
수락 후 대기 수락한 같은 요청이 실행 허용을 기다린다.	값·보충 정보 현장 작업 상태: 실행 대기 품질·실적: 완료·품질 미확인	변화·이유 접수·수락을 물리 실행 완료로 세지 않는다.
실행·완료 관측 허용 실행 후 실제 완료를 관측한다.	값·보충 정보 현장 작업 상태: 실행 중→완료 관측 품질·실적: 품질 판정 전	변화·이유 명령 성공과 실제 결과 관측을 구별한다.
품질 충족 판정과 필요한 증거가 맞으면 출하 가능한 실적을 반영한다.	값·보충 정보 현장 작업 상태: 완료 관측 유지 품질·실적: 출하 가능 실적	변화·이유 출하 가능이 실제 출하·고객 인수 완료는 아니다.
별도 품질 미충족·미확인 대안 품질 판정점으로 되돌아가 미충족·미확인인 별도 대안에서는 실적을 보류하고 응답이 소실되면 같은 ID로 실제 상태를 조회한다.	값·보충 정보 현장 작업 상태: 완료 관측·현재 상태 조회 품질·실적: 품질 미충족·미확인·실적 보류	변화·이유 앞 품질 충족 실적 반영의 후속이 아니며 같은 물리 작업을 무조건 다시 실행하지 않는다.

수락·실행·완료 관측과 출하 가능 판정을 구별한다 · 상태 따라가기

수락한 같은 요청이 실행 허용을 기다린다. 모든 단계에서 현장 작업 상태·품질·실적의 위치를 유지하며 값과 허용 조건을 함께 확인합니다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

앞 그림의 수락 뒤에도 대기·실행 중·완료 관측을 구별한다. 품질 판정과 필요한 증거가 충족돼야 출하 가능한 실적을 반영하며, 미충족·미확인은 보류한다. 출하 가능 실적은 실제 출하·고객 인수 완료와 다르다. 응답이 끊기면 요청 ID와 실제 상태를 먼저 조회하고 같은 물리 작업을 무조건 다시 실행하지 않는다.

이 예의 조건

• 앞 그림의 수락 뒤에도 대기·실행 중·완료 관측을 구별한다. 품질 판정과 필요한 증거가 충족돼야 출하 가능한 실적을 반영하며, 미충족·미확인은 보류한다. 출하 가능 실적은 실제 출하·고객 인수 완료와 다르다. 응답이 끊기면 요청 ID와 실제 상태를 먼저 조회하고 같은 물리 작업을 무조건 다시 실행하지 않는다.
• 이 원문의 교육용 사례·조건 안에서 상태를 대조합니다. 실제 구축·실험 결과나 원문에 없는 성능 보장을 추가하지 않습니다.

관계도의 보충 설명

원그림의 모든 대상과 설명

대상	원 설명
대상수락 뒤 실행 대기	원 설명허용된 현장 조건 유지 / 요청 수신과 실제 동작 분리
대상실행 중	원 설명승인된 제어·작업 / 실제 상태·동작 확인
대상완료 관측	원 설명작업 ID·제품·실제 결과 / 기계 동작과 합격 구분
대상품질 충족?	원 설명판정·증거 확인
대상출하 가능 실적	원 설명확인된 품질·수량 반영 / 실제 출하 완료는 별도
대상보류	원 설명미충족 또는 근거 미확인 / 이유·담당·추가 확인

원그림의 모든 관계와 조건

연결	원 라벨·방향
연결수락 뒤 실행 대기 → 실행 중	원 라벨·방향허용 실행 / 정방향 / 실선
연결실행 중 → 완료 관측	원 라벨·방향결과 관측 / 정방향 / 실선
연결완료 관측 → 품질 충족?	원 라벨·방향품질 판정 / 정방향 / 실선
연결품질 충족? → 출하 가능 실적	원 라벨·방향충족 / 정방향 / 실선
연결품질 충족? → 보류	원 라벨·방향미충족·미확인 / 정방향 / 실선

예의 값과 변화

관찰·상황	값·보충 정보	변화·이유
수락 후 대기 수락한 같은 요청이 실행 허용을 기다린다.	값·보충 정보 현장 작업 상태: 실행 대기 품질·실적: 완료·품질 미확인	변화·이유 접수·수락을 물리 실행 완료로 세지 않는다.
실행·완료 관측 허용 실행 후 실제 완료를 관측한다.	값·보충 정보 현장 작업 상태: 실행 중→완료 관측 품질·실적: 품질 판정 전	변화·이유 명령 성공과 실제 결과 관측을 구별한다.
품질 충족 판정과 필요한 증거가 맞으면 출하 가능한 실적을 반영한다.	값·보충 정보 현장 작업 상태: 완료 관측 유지 품질·실적: 출하 가능 실적	변화·이유 출하 가능이 실제 출하·고객 인수 완료는 아니다.
별도 품질 미충족·미확인 대안 품질 판정점으로 되돌아가 미충족·미확인인 별도 대안에서는 실적을 보류하고 응답이 소실되면 같은 ID로 실제 상태를 조회한다.	값·보충 정보 현장 작업 상태: 완료 관측·현재 상태 조회 품질·실적: 품질 미충족·미확인·실적 보류	변화·이유 앞 품질 충족 실적 반영의 후속이 아니며 같은 물리 작업을 무조건 다시 실행하지 않는다.

요청별 식별자로 결과를 조회할 수 있게 하고, 응답이 끊겼을 때 같은 작업을 무조건 다시 실행하지 않는다. 읽기 전용 실적 수집에도 중복·시각·판본을 유지한다. 재작업 이력은 같은 제품에 연결하되 새로운 기계 동작이 있었다는 사실 자체는 보존한다.

모든 상태를 한 숫자로 줄이지 않는다. 코드 2가 한 시스템에서는 완료, 다른 시스템에서는 오류이면 형식은 같은 정수여도 의미는 반대다. 코드표·허용 전이·정정 주체를 문서와 시험에서 대조한다. 상위 계획 시스템은 작업 요청과 조회를 맡고 현장의 승인된 제어·안전 조건을 우회하지 않는다.

4. OT보안은 물리적 결과와 운영 조건을 함께 지킨다

OT는 물리 환경의 관측·제어와 연결되므로 정보 노출뿐 아니라 잘못된 동작·정지·안전·복구 영향을 함께 판단한다. NIST SP800-82 Rev.3의 공개 범위도 성능·신뢰성·안전 요구를 포함한다.² 모든 OT에서 언제나 가용성이 다른 목표보다 무조건 우선이라는 한 줄로 축약하지 않는다.

보안 구역(zone)은 비슷한 보호 요구와 신뢰 조건을 가진 자산을 묶은 경계이고, 통신 경로(conduit)는 구역 사이에 허용한 연결의 묶음으로 이해한다. 아래는 자체 설계의 설명용 구분이다. ISA-95 활동층을 그대로 네트워크 구역으로 옮기거나 유료 IEC 표준의 요구사항 전부를 충족했다고 주장하지 않는다.

상자 안의 대상과 화살표의 조건을 함께 읽으세요. 좁은 화면에서는 같은 관계를 세로로 재배치한 도식을 보여 줍니다.

SF-G3의 역할별 허용 경로를 단순화한 자체 그림이다. 업무 IT는 작업·실적을 중계하고, 제조 운영과 현장 사이에는 승인된 기능과 읽기 범위를 유지한다. 제조·현장 바깥 상자는 두 역할이 실제로 동일한 보안 구역이라는 뜻이 아니며 세부 구역·경로는 보호 요구로 따로 정한다. 자료·관리 접속 중계와 검사된 전송에는 목적별 접근 제한·기록이 필요하다. 기존 검증된 물리·안전 경계를 유지하며 자동 원격 속도·안전 설정 변경은 제외한다.

중간 구역(DMZ)은 서로 다른 신뢰 영역 사이에서 직접 접근을 제한하고 필요한 서비스를 중계하는 영역이다. 방화벽 한 대를 놓았다는 사실이 목적별 허용 규칙·관리 경로·감시·권한을 모두 확보한 상태는 아니다. 다리 역할을 하는 관리 노트북이나 무선·이동식 저장매체도 경계에 포함한다.

캐나다 사이버보안센터의 공개 지침은 인터넷 직접 노출 축소, 통제·관찰 가능한 IT/OT 경계, 원격 접근 보호, 운영 영향을 고려한 취약점 조치를 연결한다.³ 여기서는 그 관점을 한빛포장에 적용하며 해당 국가의 세부 주기·비밀번호 숫자를 국내 공장의 법정 기준으로 사용하지 않는다.

5. 원격지원·프로토콜 보안·운영보안의 경계를 나눈다

한빛포장 원격지원안은 공급자별 계정, 승인된 작업·대상·시간, 관리 접속 중계, 접근·실행 기록과 종료 후 권한 회수를 요구한다. 조회 계정에 설정 변경 권한을 같이 주지 않는다. 필요한 다중요소 인증을 경계에서 적용할 수 있는지 확인하고, 구형 장치 자체가 지원하지 않는 기능을 지원한다고 표시하지 않는다.

장치나 공급자의 인증서가 있다는 사실과 그 인증서를 신뢰하도록 승인했는지는 다르다. 통신 상대 검증, 사용자 인증, 특정 작업의 인가도 별도로 둔다. OPC UA의 보안 모델은 인증·인가·기밀성·무결성 등을 나누며 현장 전체 보안과 프로토콜 보안의 역할을 구별한다.⁴

키·인증서 교체와 만료도 변경 절차에 넣는다. 만료를 피하려고 모든 인증서를 무조건 신뢰하거나 보호 모드를 끄면 안 된다. 대체 키·신뢰목록·통신 재연결을 허용된 시험에서 확인하고, 통신 보호 때문에 생기는 부하도 실제 요구와 비교한다.

공급자 접근은 편리한 영구 통로가 아니다. 요청과 실제 작업을 대응시키고 필요가 끝나면 종료한다. 운영을 방해하지 않는 감시도 확인이 필요하다. 읽기 요청을 매우 빠르게 반복하는 수집기가 장치 자원을 소모할 수 있으므로 ‘읽기 전용’은 ‘무조건 무해’와 다르다.

6. 패치·점검·격리를 안전하게 적용하는 순서

기존 자산·버전·연결은 승인된 문서·공급자 정보·운영 기록과 가능한 수동 확인부터 대조한다. 능동 스캔·부하 시험을 생산망에 즉시 적용하지 않는다. 실제로 장치를 불안정하게 할 가능성을 확인하고 공급자·현장 담당과 범위·시간·중단 조건을 정한다.³

패치는 중요하지만 설치 즉시 안전·호환이 확보되는 것은 아니다. 대상과 무결성, 시험환경의 대표성, 설정·프로그램·키·운영 자료의 백업, 설치 창과 검증된 복구 경로를 확인한다. 바로 적용할 수 없으면 접근 축소·분리·감시 등 보완통제와 담당·기한·잔여위험을 남긴다. 패치 불가를 영구 방치의 근거로 쓰지 않는다.

사고 때는 영향을 줄이되 무조건 전원을 끄거나 모든 통신을 끊는 것을 공통 정답으로 두지 않는다. 현장 상태와 필요한 안전·연속 동작을 자격 있는 담당자가 확인하고 승인된 안전 상태로 이동한다. 증거 보존·침해 범위·복구·정상 생산 확인을 함께 진행한다. 복원된 컴퓨터 화면과 올바른 제품·물리 상태는 다른 확인이다.

재가동은 설정·버전·접근·자료 정합성과 현장 결과를 확인한 뒤 권한 있는 책임자가 승인한다. 기존에 금지된 구판을 단순 복원하거나 품질보류 제품을 자동 출하시키지 않는다. 정비·보안·생산·품질의 서로 다른 완료 기준을 닫아야 한다.

7. 단계적 전환안 SF-G3: 동작하는 현장 위에 필요한 연결을 더한다

첫 단계는 한 포장라인의 실적을 읽어 기존 장부와 대사하는 것이다. 기존 제어를 바꾸지 않고 대상 ID·수량·시간·품질이 같은지 확인한다. 그다음 정지 원인·보전·품질 분석을 추가한다. 작업 요청 연결은 의미·상태·권한이 검증된 뒤 별도 승인한다.

검증되지 않은 새 프로그램으로 전체 현장을 한 번에 바꾸는 안은 기각한다. 동시에 두 시스템이 동일 실적을 각자 확정하는 이중 쓰기도 피한다. 전환 중에는 기준 원천과 승인권을 하나로 정하고 관찰용 비교 결과는 기준 원장을 덮어쓰지 않게 한다. 새 기준 원장의 쓰기를 개통하기 전에는 옛 경로의 동일 실적에 대한 독립 확정·쓰기 권한 회수를 확인한다. 개통 뒤 폐기 대상의 잔여 계정·연결은 보존·복구 조건을 충족한 뒤 정리하고 남은 의존성을 확인한다.

SF-I2의 대사 계산

관찰 구간에서 수신 레코드 100개 중 5개가 이미 받은 사건의 재전송이라고 하자. 고유 사건은 95개다. 그중 품질상 사용불가 3개, 과거 시각으로 들어와 현재 실적에서 제외할 2개가 있으며 두 집단은 겹치지 않는다고 정한다. 현재 판정에 사용할 수 있는 사건은 90개다.

고유 사건 기준 적합률은 90/95≈94.74%, 수신 레코드 기준 유효 사건 비율은 90/100=90%다. 그러나 실제 발생한 전체 사건 수는 주어지지 않았다. 따라서 누락이 0이거나 수집 재현율 100%라고 말할 수 없다. 제외한 자료도 이유·원시각을 남겨 필요한 이력·정정과 연결한다.

중복 5건을 제거한 것과 실제 수량을 맞춘 것은 다르다. PLC 카운터·작업 실적·검사·출하의 의미가 일치하는지 추가 대사한다. 전환 성공은 메시지 수신률이 아니라 합의한 업무 결과와 장애·복구 조건을 함께 충족하는 상태다.

8. 자체 10점 문제와 완성 답안

제조 상호운용의 수준과 OT보안의 관계를 설명하고 SF-I2의 대사 결과를 해석하시오.

수신 100·고유 95·현재 유효 90의 각 분모와 제외 이유를 쓰고, 실제 발생 총수가 없으면 누락률을 구할 수 없다는 결론을 적는다.

10점 자체 연습의 구성과 완성 답안

목차: 연결·형식·의미·업무 상호운용 → 자료 계약 → OT보안 경계 → 대사 결과

연결·형식·의미·업무의 기존 비교표는 네 가지 확인 질문이다. 연결 성공이 의미·업무 일치를 자동 보장하지 않는다. 이를 값·상태·시간의 자료 계약으로 명시하고, 구역·목적별 경로, 계정·승인·기간의 접근 통제, 수신·고유·유효 사건의 대사를 함께 적용한다.

완성 답안

제조 상호운용은 연결·형식·의미·업무의 일치를 요구한다. 숫자를 받았어도 단위·판본·시간·상태·승인 의미가 다르면 잘못된 실적과 동작을 만들 수 있다. 섭씨 0.1도 단위의 250과 화씨 77은 모두 25℃이며 단순 숫자 평균은 무의미하다. OPC UA 값도 상태·자료원/서버 시각과 갱신 방식의 의미를 함께 확인한다.

SF-I2는 수신 100개에서 중복 5개를 빼면 고유 사건 95개이며, 사용불가 3개·현재 집계에서 제외할 2개를 빼면 유효 사건 90개다. 고유 기준 94.74%와 수신 기준 90%는 다르며 실제 발생 총수가 없어 누락률을 확정할 수 없다. 요청 수신·작업 완료·검사 합격도 별개다.

OT보안은 성능·신뢰·물리적 안전을 함께 고려한다. 구역과 목적별 통신·관리 경계를 정하고 원격 접근의 계정·승인·시간·기록을 제한한다. 프로토콜 보호를 현장 전체 안전 인증으로 쓰지 않으며, 읽기 전용 관찰부터 대사한 뒤 승인된 범위에서 단계적으로 확대한다.

9. 자체 25점 문제와 완성 설계 답안

한빛포장의 IT/OT 통합 전환안 SF-G3을 자료 계약·보안 경계·변경·복구·성과 관점에서 설계하시오.

목차: 범위·원천 → 의미·상태 → 허용 경로 → 단계적 확인 → 종료와 책임.

변화 통보와 매초 새 표본의 다른 갱신 계약부터 정한다. 원격지원의 승인·작업·시간과 현장 허용 상태를 연결하고 기준 원장과 관찰 비교의 이중 확정을 피한다.

25점 자체 연습의 설계 과정과 완성 답안

목차: 자료 계약 → 구역·경로·권한 → 변경·복구 → 단계적 전환 → 대사·성과

기존 OT의 실제 상태와 IT·MES·ERP가 교환할 정보는 목적별 중계·허용 경로로 연결한다. 통합 계층은 자료 계약과 실적 대사를 지키며, 단계적 변경·복구·성과 확인으로 확대를 결정한다. 기준 원장과 관찰 비교를 구별한다. 새 쓰기 개통 전에 옛 경로의 독립 확정·쓰기 권한 회수를 확인하고, 개통 뒤에는 보존·복구 조건 아래 폐기 대상의 잔여 계정·연결과 의존성을 정리한다.

완성 설계 답안

SF-G3의 초기 범위는 한 포장라인의 관찰·실적 대사이며 기존 승인된 제어와 안전 기능을 유지한다. 생산·품질·현장·정보·보안 담당은 각각 계획, 판정, 허용 운전, 자료 의미, 접근·변경 통제를 책임진다. 자동 원격 속도 조정과 안전 설정 변경은 제외한다.

자료 계약에는 작업·제품·설비·사건 식별자, 판본, 단위·배율, 발생·수신시각과 갱신 방식, 정상·불확실·사용불가, 중복·순서·정정 규칙을 둔다. 요청·조건 확인·수락·실행·완료·품질 판정을 나누고, 잘못된 제품판본이나 보류 재료의 요청은 이유와 함께 거부한다. 응답이 없으면 실제 상태를 먼저 조회해 중복 실행을 방지한다.

업무 IT와 제조운영·현장 사이에는 필요한 자료·관리 서비스를 중계하는 구역을 두고 목적별 경로만 허용한다. 네트워크 구역을 ISA-95 제품 분류와 동일시하지 않는다. 공급자 원격지원은 지정 계정·대상·작업·시간·승인·관찰 가능한 기록으로 제한하며 종료 뒤 권한을 회수한다. 인증서·사용자 인증·작업 인가를 따로 검증한다.

기존 자료원에서 승인된 범위로 읽어 SF-I2의 수신 100·고유 95·유효 90을 대사하고 실제 발생·검사·출하의 누락 여부를 추가 확인한다. 읽기 부하·지연·권한·단위·판본·중복·통신 단절을 시험한다. 그 위에 보전·품질 분석을 추가하고 근거가 확보된 뒤 업무 연계·확대를 승인한다. 비교용 관찰계와 기준 원장의 이중 확정을 허용하지 않는다.

패치·분리·격리는 공급자와 현장의 성능·안전 조건 안에서 시험·백업·복구·중단 절차를 갖춰 적용한다. 침해 때 무조건 전원을 끄는 대신 승인된 안전 상태·증거·서비스 지속과 영향을 함께 판단한다. 복구 후에는 컴퓨터뿐 아니라 설정·판본·실제 생산·품질·정합성을 확인한다. 새 기준 원장의 쓰기 개통 전에 옛 경로의 독립 확정·쓰기 권한 회수를 확인한다. 개통 뒤 폐기 대상의 잔여 계정·연결은 보존·복구 조건 아래 정리하고 지원·운영·정정 책임을 인계한다. 자료량이 아니라 정확한 업무 결과와 남은 위험으로 완료를 판단한다.

10. 자기교정

조건 변경과 해설

SF-I2의 현재 제외 2건이 나중에 유효하게 대사되면? 나머지가 그대로일 때 현재 사용 가능 92개, 고유 기준 92/95≈96.84%다. 당시 90개라는 기록을 조용히 지우지 말고 정정 이유·시점을 남긴다.

공급자 원격지원 시간이 끝났는데 작업이 남았으면? 필요한 연장·대상·위험을 새로 승인받는 절차를 거친다. 편의를 이유로 계정을 상시 열어 두거나 인증 검증을 끄지 않는다.

새 MES가 빠르지만 품질보류를 합격으로 읽으면? 연결·성능이 좋아도 의미·업무 조건을 위반한다. 확대를 중지하고 상태 대응과 시험을 고친다. 기준 원장은 변경하지 않으며 이미 반영된 잘못된 실적의 영향을 대사한다.

독립 확인: 새 관측 시각과 새 확인 시각이 다르다면

변수 A는 매초 새 표본을 보고하며 관측 10:09:40, 수신 10:10:00이고 허용 신선도 15초다. 변수 B는 변화 통보형으로 sourceTimestamp 10:00:00 이후 값·상태가 바뀌지 않았다. 연결과 자료원이 정상이고 서버가 매초 정확성을 확인해 serverTimestamp 10:10:00, Good 상태를 유지한다고 명시한다. 지금 10:10:00에서 두 자료를 같은 15초 신선도 규칙으로 판정해도 되는가? 별도 SF-I2에서 실제 발생이 고유 사건 110건이었다고 추가 확인하면 고유수집률과 현재유효사건 비율을 각각 구한다.

변경 조건의 완전한 풀이와 오답 교정

A는 관측 후 20초로 15초 한계를 넘으므로 현재 판정에는 오래된 표본이다. 수신을 지금 했다는 사실이 관측을 새로 만들지 않는다. B는 문제에 주어진 변화 보고·정상 연결·계속된 확인 조건을 읽어야 한다. sourceTimestamp의 오래된 시각은 마지막 값·상태 변화와 연결되고 serverTimestamp는 서버가 값을 정확하다고 확인한 시각이므로 A의 고정 표본 15초 규칙을 그대로 복사해 통신 장애라 확정할 수 없다. Good와 이 시각도 모든 센서 교정·현장 사실을 독립적으로 증명하는 것은 아니므로 해당 자료 계약의 사용 범위를 지킨다. 실제 발생 110건이 추가된 별도 대사에서는 고유 수집 95/110≈86.36%, 현재 유효 90/110≈81.82%다. 누락은 110−95=15사건이다. 90/95≈94.74%는 받은 고유 사건 중 현재 적합률로서 수집률이 아니다. 중복 5개의 전송 부담·품질상 사용불가 3개·현재 집계에서 제외할 2개와 누락 15개를 다른 상태로 남긴다.

답안을 닫고 원표현 250·77과 변환 후 25의 관계, 제품판본 4의 요청과 현장판본 5의 승인, 수락·실행·품질판정·출하의 다른 책임을 설명한다.

2026-10-05 OPC UA Part4 §7.11의 sourceTimestamp·serverTimestamp·상태를 직접 재대조했다. 페이지는 v1.05.07이며 기존 Part2의 v1.05.06 기록을 같이 갱신한 것은 아니다. 실제 장치 구현·전체 규격 적합·캐나다 지침의 국내법 적용은 확인 범위 밖이다.

근거·판본·한계

SF-I1/I2/G3과 표·계산·도식·답안은 자체 교육용이다. CISA의 별도 원문은 403으로 열리지 않아 그 전문을 확인한 것으로 인용하지 않았다. 유료 표준 전문·현장 안전검증·운영 설비 접근·보안감사를 수행하지 않았다.

회독의 핵심

연결보다 의미·상태·시간·책임을 먼저 맞춘다. OT의 물리적 결과를 고려해 접근·변경·복구 경계를 지키며, 현재 동작하는 구조 위에 검증 가능한 연결을 추가한다. 전환은 새 화면을 켜는 일이 아니라 실제 결과·옛 경로·운영 책임까지 닫는 일이다.

조건을 바꾸어 풀기: 값의 변환보다 사용 조건을 먼저 확인한다.

아래는 한빛포장의 별도 교육용 자료 계약 SF-X다. 상태·단위·사건 ID를 확인한 뒤 사용 가능한 자료만 집계한다. 관찰값을 계산한 결과는 설비 제어 명령이나 현장 안전 승인이 아니다.

1. SF-U. 세 관측의 필드는 A=3500, 배율 0.01℃, 상태 Good; B=95, 단위 ℉, 상태 Good; C=0, 단위 ℃, 상태 Bad다. 이 계약은 Good만 현재 평균에 사용하고, Bad·Uncertain은 이유를 남겨 제외한다. 사용 가능한 평균과 그 분모를 구하라. C를 0℃로 넣으면 어떤 평균이 나오는가? B가 나중에 Uncertain으로 정정되면 현재 평균과 이력은 어떻게 바뀌는가?
2. SF-D. 전송 레코드의 사건 ID는 E1·E2·E3·E4·E5·E6·E1이고 마지막 E1은 내용도 같은 재전송이다. 실제 발생은 같은 구간의 고유 사건 8건으로 별도 확인했다. 현재 사용불가 집합은 {E2}, 늦게 도착해 현재 집계에서 제외한 집합도 {E2}다. 고유 수집 수·현재 유효 수·누락 수와 두 수집 비율을 구하라. 이후 E2의 늦은 시각을 대사했지만 사용불가 상태는 그대로면 유효 수가 늘어나는가? 같은 E2의 승인된 품질 정정이 도착하면 재전송이라는 이유만으로 버려도 되는가?
3. SF-R. 요청 J43은 수락됐고 응답이 끊겼다. 작업 ID를 조회하니 실제 작업 완료는 확인되지만 품질 판정은 대기다. 같은 물리 작업을 새 요청으로 다시 실행하거나 출하 가능 실적으로 확정해도 되는가? 조회도 실패했다면 무엇이 달라지는가? 별도 전환 점검에서 새 MES와 옛 MES의 숫자는 같지만 옛 MES의 동일 사건 확정·쓰기 권한이 살아 있다. 새 원장 개통을 승인할 수 있는가?

상태를 반영한 단위 변환·겹친 제외 집합·응답 단절의 풀이

1. SF-U — 숫자 0과 사용불가를 바꾸지 않는다. A는 3500×0.01=35℃, B는 (95−32)×5/9=35℃다. C는 Bad이므로 현재 평균의 분자와 분모 모두에 넣지 않는다. 평균은 (35+35)/2=35℃이고 분모는 사용 가능한 관측 2개다. C를 정상 0℃로 오해하면 70/3≈23.33℃가 되어 온도가 낮아졌다는 잘못된 판단을 만든다.

B가 Uncertain으로 정정되면 SF-X의 사용 규칙에 따라 현재 사용 가능한 것은 A 하나여서 35/1=35℃다. 평균 숫자가 같아도 근거 수는 2에서 1로 줄었다. B의 이전 Good 값과 정정의 시각·이유·판본을 연결해 남기고, 원 관측을 지우거나 Uncertain을 모든 업무에서 항상 0으로 바꾸지 않는다. 실제 사용 가능성은 업무별 자료 계약에 따라 판단한다.

2. SF-D — 제외 사유가 두 개여도 같은 사건은 한 번 제외한다. 고유 사건은 {E1,…,E6}의 6개다. 사용불가 집합과 늦은 집합의 합집합은 {E2}로 1개이므로 현재 유효는 6−1=5개다. 6−1−1=4라고 계산하면 겹친 E2를 두 번 뺀다. 누락은 8−6=2개, 고유 수집률 6/8=75%, 현재 유효 사건 비율 5/8=62.5%다. 받은 고유 사건 중 현재 적합률 5/6≈83.3%는 다른 분모의 지표다.

늦은 시각을 대사해도 E2는 여전히 사용불가이므로 유효는 5개다. 승인된 품질 정정으로 사용 가능해져야 다른 조건이 그대로일 때 6개가 된다. 내용도 같은 재전송 E1과 의미를 바꾸는 E2 정정은 다르다. 계약에 정한 정정 ID·대상 사건 ID·판본·권한을 확인해 E2의 현재 상태를 갱신하되 새 물리 생산 사건으로 더하지 않는다. 이전 제외 이유와 정정 이력도 보존한다. 고유 수집 수 6은 정정 후에도 변하지 않는다.

3. SF-R — 통신 응답과 실제 동작, 출하 판정을 분리한다. 완료가 확인된 J43을 응답이 없었다는 이유로 새 물리 작업으로 반복하면 중복 생산을 만들 수 있다. 기존 요청 ID와 실제 완료 결과를 연결하고 품질 대기를 보류로 남긴다. 품질 충족 근거가 없으므로 출하 가능 실적으로 확정하지 않는다. 실제 출하 완료는 그 다음의 별도 사실이다.

조회까지 실패하면 실제 실행 여부 자체가 미확인이다. 미확인을 ‘실행 안 됨’으로 바꾸지 않고, 허용된 조회·현장 확인·담당 판단을 거친다. 이 예제는 장치의 멱등 실행 기능을 가정하지 않으므로 같은 ID나 새 ID를 보내면 중복이 안전하게 막힌다고 보장할 수 없다.

두 원장의 숫자가 같아도 독립 확정·쓰기 권한이 둘이면 단일 기준 원천 조건을 충족하지 않는다. 옛 경로의 동일 사건 확정·쓰기 권한 회수를 실제 확인하기 전에는 새 원장 쓰기 개통을 승인하지 않는다. 허용된 관찰 비교는 계속할 수 있지만 기준 원장을 덮어쓰지 않는다. 권한 회수·복구·인계 조건이 닫힌 뒤에만 승인된 절차로 전환한다.

Footnotes

1. OPC Foundation, OPC10000-4 Part4, §7.11 DataValue의 value/statusCode/sourceTimestamp/serverTimestamp와 변화보고 의미. https://reference.opcfoundation.org/specs/OPC-10000-4/7.11 . 2026-09-20 해당 HTML을 읽었다. 원문 표는 복제하지 않았고 SF-I1은 별도 자료 계약이다. ↩

2. NIST, SP800-82 Rev.3, September2023, 공식 발행 페이지의 OT 범위·성능·신뢰·안전 설명. https://csrc.nist.gov/pubs/sp/800/82/r3/final . 개별 통제 전문의 전수 검토나 최신 개정 전체 승인으로 표시하지 않는다. ↩

3. Canadian Centre for Cyber Security, Cyber threat bulletin: Non-state activity targeting Canadian operational technology, Mitigations의 경계·접근·패치·스캔 영향·복구 관련 부분. https://www.cyber.gc.ca/en/guidance/cyber-threat-bulletin-non-state-activity-targeting-canadian-operational-technology . 페이지는 자료 기준 2026-01-23·수정 2026-07-30을 구별하며 2026-09-20 열람했다. 공격사례·비밀번호 길이·주기 등 원문 세부를 이 공장의 법적 요구로 사용하지 않았다. ↩ ↩²

4. OPC Foundation, OPC10000-2 Part2, §4의 보안 환경·목표와 현장 보안 관계. https://reference.opcfoundation.org/specs/OPC-10000-2/4.1 . 공개 v1.05.06 표시와 필요한 개념을 확인했다. 특정 구현의 보안 인증·전체 규격 적합성 검증은 하지 않았다. ↩