CrowdStrike（乌合之众）恶意软件攻击事件疑似导致核电站停堆

TLDR：

2024年7月19日，罗马尼亚切尔纳沃德核电站1号机组因厂区常规部分故障而自动与国家电网断开。有人推测这可能与同期发生的Crowdstrike（乌合之众）恶意软件攻击有关。

切尔纳沃德核电站采用加拿大CANDU 6反应堆设计，共有两台机组。两台机组虽有一定差异，但都采用了冗余和多样性设计以防范共因失效。此次事故似乎只影响了1号机组。

据报道，反应堆是在下午5点35分自动停堆的，这表明:

1. 这不是人工停堆，而是由于常规部分的故障触发了反应堆保护系统，导致受控停堆。

2. 停堆时间相对于"乌合之众"事件的高峰期似乎有些滞后。

基于现有信息，作者认为此次核电站事故可能与"乌合之众"攻击无关，但还需要更多细节来完全排除这种可能性。总的来说，在没有更多技术细节的情况下，很难下定论。但考虑到核电站对网络攻击的防范设计，二者应属巧合的可能性更大。

全文：

恶意软件研究界的传奇人物康斯丁·拉伊乌在他的X账号上发布了这条消息，所以它立刻引起了我的注意。

关于此次事件的技术细节很少。基本上，所有文章都在提供基于罗马尼亚国有核能公司Nuclearelectrica发布的新闻稿的相同信息。有趣的是，显然核电站常规部分的故障自动导致了反应堆停堆:

"7月19日晚，由于核电站常规部分出现故障，切尔纳沃德核电站1号机组自动与国家电网断开。"

那么，什么是常规部分呢?基本上，除了"核岛"(即核蒸汽供应系统，包括反应堆堆芯、稳压器、蒸汽发生器等)之外，核电站与其他发电厂相似。一旦蒸汽流向汽轮机，我们就可以说是任何其他发电厂了。所以，如果我们要定义"核部分"和"常规部分"之间的界限，可以说是位于蒸汽发生器回路中的主蒸汽隔离阀(MSIV)。

我画了下面这个简图来可视化这个概念。

切尔纳沃德核电站基于CANDU 6设计，是欧洲唯一采用此设计的核电站。事发时，1号和2号机组都在满功率运行，但2号机组并未受到影响。这说明了什么吗?我认为这不能说明问题。

1号机组比2号机组老，尽管它们采用相同的参考设计(1997年)，但2号机组吸收了CANDU技术在1号机组建成后的所有改进。因此，两个机组在设计、安全性和可靠性方面存在一定差异。

我们还需要记住，核电站的设计是为了防范"乌合之众"式的事件，即最坏情况下的"共因失效"(Common Mode Failure)，这会使电站的不同部分因单点故障而无法使用。因此，核电站采用了冗余和多样性作为纵深防御策略的一部分。我们也可以在其他安全关键系统(如航空电子设备)中看到类似的方法。

报道提到，1号机组在17:35(GMT+3)时"自动"断开并停堆。这有几个原因值得关注:

1. 这说明这不是人工停堆。这看起来显而易见，但实际上相当重要。这意味着不知何故，核电站的"常规部分"出现故障，成功地向反应堆发出了跳闸信号，并由反应堆保护系统(RPS)妥善处理，导致受控停堆。导致这种情况的原因可能有很多，在没有进一步信息的情况下，我无法真正缩小瞬变事件的范围，但它肯定是严重的(例如，由于汽轮机问题可能导致的负荷脱扣情况)。因此，我们应该假设停堆不是操作员根据当时的情况(例如，计算机崩溃)做出的决定。例如，2007年在美国的布朗费里(Browns Ferry)核电站就发生了这种情况，当时一个有故障的设备产生了大量以太网流量，最终导致操作员决定启动人工可控停堆。

2. 根据"乌合之众"攻击事件的发展过程，反应堆跳闸的时间似乎比其他干扰晚了一点。

基于目前掌握的信息，我认为"乌合之众"恶意软件攻击可能不是此次核事故的背后原因，但我们需要等待进一步的细节才能完全排除它作为根本原因的可能性。

备注:

- Crowdstrike:"乌合之众"，一家网络安全技术公司，此处指代该公司同名的一起恶意软件攻击事件。

- Cernavodă:切尔纳沃德，罗马尼亚东南部城市，著名的切尔纳沃德核电站坐落于此。

- Nuclearelectrica:罗马尼亚国有核能公司。

- CANDU:加拿大重水铀(CANada Deuterium Uranium)反应堆，加拿大开发的一种核反应堆。

- Browns Ferry:布朗费里核电站，位于美国阿拉巴马州。