Capítulo 1 — Raciocínio matemático
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX002.
flowchart TD
N0["1.1 Por que a segurança precisa de números — e por q"]
N1["1.3 Ordens de grandeza e limitação"]
N2["1.4 Caso resolvido: duas propostas no condado de Cal"]
N3["1.5 Atividade prática: Laboratório 1"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX002"]
Desenho lógico
flowchart LR
N0["1.1 Por que a segurança precisa de números — e por q"]
N1["1.3 Ordens de grandeza e limitação"]
N2["1.4 Caso resolvido: duas propostas no condado de Cal"]
N3["1.5 Atividade prática: Laboratório 1"]
N4["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX002"]
[1.1 Por que a segurança precisa de números — e por q]
|
v
[1.3 Ordens de grandeza e limitação]
|
v
[1.4 Caso resolvido: duas propostas no condado de Cal]
|
v
[1.5 Atividade prática: Laboratório 1]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX002]
Objetivos de aprendizagem e conexão
Depois deste capítulo, você consegue (1) transformar uma preocupação vaga ("e se a central de despacho perder o seu link de internet?") numa grandeza com unidades; (2) calcular uma perda anual esperada e explicar por que ela não é o mesmo que o pior evento crível; (3) estimar ordens de grandeza e conferir um cálculo por limitação; e (4) declarar as premissas por trás de um número, para que outra pessoa possa discordar delas com precisão. O capítulo apresenta o condado sintético de Calder, usado ao longo do livro, e prepara o Capítulo 6 (estruturas discretas) e o Capítulo 12 (probabilidade e estatística).
1.1 Por que a segurança precisa de números — e por que os números não bastam
A segurança dos setores críticos está cheia de comparações. O Calder Valley Hospital deve gastar dinheiro num segundo link de rede ou em testar os seus geradores? A Calder Power Networks deve aplicar o patch num controlador de alimentador agora, durante uma interrupção planejada no mês que vem, ou nunca? Essas são decisões sob incerteza, e a única forma honesta de compará-las é tornar a incerteza explícita. Raciocínio matemático, aqui, não significa matemática avançada. Significa quatro hábitos: dar uma unidade a cada grandeza; anotar de onde veio cada número; conferir um resultado estimando-o de outra forma; e dizer o que mudaria a resposta.
Uma grandeza é um número com uma unidade: 4 horas, £2.000 por hora, 0,3 evento por ano. A maioria dos erros na aritmética de risco são erros de unidade: multiplicar uma probabilidade por ano por um custo por hora, ou somar um percentual a uma contagem. Escrever as unidades ao lado de cada termo — e cancelá-las à medida que avança — apanha esses erros antes que outra pessoa os apanhe.
1.2 Valor esperado e os seus limites
Num modelo anual de um único evento, se um evento tem probabilidade $p$ e custa $C$ quando acontece, a sua perda anual esperada (EAL) é $p \times C$. As perdas esperadas de componentes de custo distintos se somam mesmo quando os eventos são dependentes: essa é a linearidade da esperança. O analista ainda precisa evitar contar a mesma consequência duas vezes quando os cenários se sobrepõem. A independência é necessária para alguns cálculos de probabilidade, como multiplicar as probabilidades de duas falhas, mas não para somar custos esperados. O valor esperado ajuda a comparar o custo anual de um controle com a perda que ele poderia evitar. Ele também pode esconder diferenças importantes: uma catástrofe de 1 em 100 e um incômodo quase certo podem ter o mesmo produto. Para um hospital, uma perda de energia de 72 horas não é "o mesmo" que setenta e duas perdas de uma hora: os pacientes que precisam de ventilação, diálise ou cirurgia são prejudicados pela duração, e não por uma média. Por isso, toda tabela de valor esperado deste livro vem acompanhada de um pior evento crível — o resultado mais grave que você acredita que poderia realisticamente ocorrer, declarado com a sua duração.
As probabilidades usadas nessas tabelas raramente são medidas. São estimativas tiradas de registros de incidentes, de relatórios do setor ou do julgamento de especialistas. Isso só é aceitável se você o disser. Um bom hábito é escrever a fonte entre colchetes — "(estimativa, gerente de operações da CEDC, 2026)" — e testar o cálculo com a metade e com o dobro da estimativa. Se a decisão não mudar, a estimativa é boa o bastante; se mudar, ela precisa de mais evidências. O Capítulo 15 volta a essa ideia como análise de sensibilidade.
1.3 Ordens de grandeza e limitação
Antes de calcular com precisão, estime. Um hospital com 420 leitos poderia perder algo da ordem de milhares de libras por hora de interrupção, em procedimentos cancelados e ambulâncias desviadas, e não dezenas nem milhões. Uma estimativa que cai três ordens de grandeza longe do cálculo cuidadoso é sinal de que uma unidade ou uma vírgula decimal escapou. A limitação é a habilidade relacionada: se você não consegue estimar uma grandeza, encontre números entre os quais ela precisa estar. Se um programa de testes de geradores custa no mínimo £8.000 (tempo da equipe) e no máximo £15.000 (tempo da equipe mais combustível e terceirizado), uma decisão que se sustenta nos dois extremos não precisa do valor exato.
1.4 Caso resolvido: duas propostas no condado de Calder (sintético)
Este caso é sintético. A County Resilience Partnership (CRP) do condado de Calder tem dinheiro para uma de duas propostas.
- A — segundo link de internet para a County Emergency Dispatch Centre (CEDC), custo de £18.000 por ano. Sem ele, a CRP estima uma chance anual de 0,30 de uma queda do link de 4 horas e uma chance de 0,02 de uma queda de 48 horas (um cabo cortado na rota única), cada uma custando £2.000 por hora em pessoal de contingência e atrasos.
- B — um programa de testes de geradores para o Calder Valley Hospital, custo de £12.000 por ano. Sem ele, a estimativa é uma chance de 0,10 de uma falha de partida de 12 horas durante uma queda da rede elétrica e uma chance de 0,01 de uma falha de 72 horas, cada uma custando £5.000 por hora.
Para A, EAL = 0,30 × 4 h × £2.000/h + 0,02 × 48 h × £2.000/h = £2.400 + £1.920 = £4.320 por ano. Para B, EAL = 0,10 × 12 × 5.000 + 0,01 × 72 × 5.000 = £6.000 + £3.600 = £9.600. Nenhuma das opções "se paga" em termos esperados (razões de 0,24 e 0,80), o que é comum nos gastos com resiliência: compramos proteção contra as caudas, não contra as médias. Os piores eventos críveis (£96.000 e £360.000) tornam B o caso mais forte — e o dano de B é aos pacientes, algo que nenhum valor em libras expressa por inteiro. A recomendação é B, com a premissa declarada de que as estimativas de probabilidade estão corretas dentro de um fator de dois.
1.5 Atividade prática: Laboratório 1
O laboratório reproduz a comparação. Mude uma probabilidade de cada vez por um fator de dois e veja se a classificação muda.
# Lab 1 - expected loss versus worst credible case for two options (synthetic Calder data, offline)
options = {
"A: second ISP link for dispatch centre": {"cost": 18_000, "scenarios": [(0.30, 4, 2_000), (0.02, 48, 2_000)]},
"B: backup generator test programme": {"cost": 12_000, "scenarios": [(0.10, 12, 5_000), (0.01, 72, 5_000)]},
}
# each scenario: (annual probability it occurs without the option, outage hours, loss per hour in GBP)
for name, o in options.items():
eal = sum(p * h * c for p, h, c in o["scenarios"])
worst = max(h * c for p, h, c in o["scenarios"])
print(f"{name}: expected annual loss avoided = {eal:,.0f}; worst single event = {worst:,.0f}; cost = {o['cost']:,}")
print(f" ratio avoided/cost = {eal / o['cost']:.2f}")
Saída esperada:
A: second ISP link for dispatch centre: expected annual loss avoided = 4,320; worst single event = 96,000; cost = 18,000
ratio avoided/cost = 0.24
B: backup generator test programme: expected annual loss avoided = 9,600; worst single event = 360,000; cost = 12,000
ratio avoided/cost = 0.80
O laboratório supõe que cada opção remove completamente os seus cenários. Os controles reais reduzem a probabilidade ou a duração apenas em parte; o Exercício EX002 pede que você modele isso.
Duas execuções mostram para que serve o laboratório. Reduzir à metade a probabilidade de 0,10 de B, para 0,05, baixa a sua perda esperada para £6.600, ainda acima dos £4.320 de A, então a classificação se mantém. Dobrar a chance de 0,02 de A de uma queda de 48 horas, para 0,04, eleva A para £6.240, ainda abaixo de B. Como nenhuma mudança isolada inverte a ordem, a recomendação do programa de geradores é robusta a um fator de dois em qualquer estimativa isolada, que é exatamente a afirmação que o caso resolvido fez.
1.6 Erros comuns e limites
- Multiplicar grandezas com unidades incompatíveis (por ano por por hora, sem converter).
- Apresentar uma probabilidade estimada como se fosse medida.
- Classificar as opções apenas pela perda esperada quando o dano às pessoas depende da duração.
- Esquecer que os controles raramente removem um risco por inteiro.
- Somar as probabilidades de eventos que não são mutuamente exclusivos (o Capítulo 12 mostra a regra correta).
Cada erro tem um exemplo em Calder. O colega do EX001 multiplicou uma probabilidade por ano por horas e chamou o resultado de libras por hora. Escrever "chance de 0,02" sem fonte faz o palpite da CEDC parecer uma taxa medida. Classificar A e B apenas pela perda esperada esconderia que a cauda de £360.000 de B são 72 horas sem energia confiável no hospital. E a própria premissa do laboratório, de que cada opção remove inteiramente os seus cenários, é o quarto erro, embutido de propósito num modelo didático.
Exercícios — capítulo 1
EX001 — Disciplina de unidades. Objetivo: encontrar e corrigir erros de unidade. Entradas: um colega escreve "EAL = 0,02 por ano × 48 horas × £2.000 = £1.920 por hora". Etapas: (1) cancele as unidades termo a termo; (2) declare a unidade correta do resultado; (3) explique numa frase por que o erro importa para a comparação com um custo anual de £18.000. Evidência esperada: expressão corrigida, com unidades. Rubrica: 3 = unidade correta (£ por ano) e um motivo claro; 2 = unidade correta, motivo fraco; 1 = percebe um erro, mas o descreve mal; 0 = nada.
EX002 — Eficácia parcial. Objetivo: modelar um controle que apenas reduz um risco. Entradas: Laboratório 1. Etapas: suponha que a opção B reduza à metade a probabilidade de cada cenário, em vez de removê-lo; modifique o laboratório para calcular a perda evitada; depois dobre as duas probabilidades de B e recalcule. Evidência esperada: dois números e uma recomendação de duas frases. Rubrica: 3 = valores corretos (£4.800 e £9.600) e uma recomendação que mencione os piores eventos críveis; 2 = números certos, argumento fraco; 1 = um número; 0 = nada.
Síntese do capítulo
As decisões de segurança são comparações sob incerteza. Dê unidades às grandezas, separe a perda esperada do pior dano crível, confira os resultados por estimativa e limitação, e diga quais premissas mudariam a decisão. Um número sem fonte ou sensibilidade declarada é uma opinião disfarçada.
Continue estudando — capítulo 01 de 40
← Página do curso · Índice de capítulos do curso · Capítulo 02 →
Siga para a próxima lição escrita.