Capítulo 22 — Infraestrutura crítica e segurança setorial: dados e dependências

Mapa da aula

Aula 22 publicada. Mapa, exemplo, EX024.

flowchart TD
  N0["22.1 O inventário é evidência, não uma lista"]
  N1["22.2 Tipos de dependência"]
  N2["22.4 Qualidade dos dados"]
  N3["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX024"]

Desenho lógico

flowchart LR
  N0["22.1 O inventário é evidência, não uma lista"]
  N1["22.2 Tipos de dependência"]
  N2["22.4 Qualidade dos dados"]
  N3["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> Q["EX024"]

[22.1 O inventário é evidência, não uma lista]
    |
    v
[22.2 Tipos de dependência]
    |
    v
[22.4 Qualidade dos dados]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX024]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você consegue (1) construir e manter um inventário de ativos e dependências a partir de várias fontes imperfeitas; (2) acrescentar o tempo a um modelo de dependências usando a autonomia da reserva; (3) calcular quais serviços se perdem em interrupções de durações diferentes e identificar os elos fracos; e (4) declarar os limites de qualidade de dados desses modelos. O capítulo se apoia nos Capítulos 6, 9 e 21 e prepara o Capítulo 23 (métodos de risco) e o Capítulo 28 (análise de falhas).

22.1 O inventário é evidência, não uma lista

Nenhuma organização sabe exatamente o que tem. Os dados de ativos vêm de registros de compras, de observações da rede, de bancos de dados de configuração, da documentação dos fornecedores e de percorrer o local; cada fonte deixa escapar algo. Trate o inventário como evidência com fontes e datas (Capítulo 15): para cada ativo, registre quem o confirmou e quando. A observação passiva da rede encontra os dispositivos que se comunicam; ela deixa escapar os dispositivos ociosos e seriais. A varredura ativa encontra mais, mas pode perturbar dispositivos frágeis de TO e só pode ser feita sob autorização e com o acordo da operação (Capítulo 10). As dependências são ainda mais difíceis: vivem na cabeça das pessoas, nos contratos e em hábitos não escritos.

22.2 Tipos de dependência

Rinaldi e colegas distinguem as interdependências físicas (energia para as bombas), cibernéticas (telemetria pelas telecomunicações), geográficas (cabos na mesma vala) e lógicas (laços financeiros ou regulatórios) (Rinaldi et al., 2001). Acrescente as pessoas (um engenheiro que conhece o sistema legado) e os fornecedores (um único fornecedor de CAD, uma região de nuvem). O grafo do Capítulo 6 mostrou o que pode ser afetado; o tempo o transforma em o que será perdido quando. Cada serviço tem uma autonomia: por quanto tempo ele continua com a sua própria reserva — baterias, geradores e combustível, água armazenada, processos em papel.

22.3 Exemplo resolvido e Laboratório 9 (sintético)

Este caso é sintético. A CRP coletou a autonomia de reserva dos principais serviços durante uma interrupção regional da rede elétrica. Os pagamentos com cartão dependem da central de telecomunicações A, que só tem baterias; a central B também tem um gerador.

# Lab 9 - which services survive a grid outage of a given length? (synthetic backup autonomy, offline)
AUTONOMY_H = {  # hours each service keeps running on its own backup
    "hospital (generator, fuel on site)": 72, "telecom exchange A (batteries)": 4,
    "telecom exchange B (batteries + generator)": 48, "water pumps (no generator)": 0,
    "water treated storage": 10, "dispatch centre (UPS + generator)": 24,
    "card payments (relies on telecom)": None, "rail signalling (UPS)": 2,
}
for outage in (1, 6, 30):
    down = []
    for s, h in AUTONOMY_H.items():
        if h is None:   # dependent service: fails when 4-h exchange A fails
            h = AUTONOMY_H["telecom exchange A (batteries)"]
        if h < outage: down.append(s.split(" (")[0])
    print(f"outage {outage:>2} h -> {len(down)} services lost: {', '.join(down) or 'none'}")

Saída esperada:

outage  1 h -> 1 services lost: water pumps
outage  6 h -> 4 services lost: telecom exchange A, water pumps, card payments, rail signalling
outage 30 h -> 6 services lost: telecom exchange A, water pumps, water treated storage, dispatch centre, card payments, rail signalling

Interpretação: as autonomias mais curtas definem o início da história — as bombas param de imediato (os consumidores ainda recebem água armazenada por cerca de 10 horas), a sinalização ferroviária para depois de 2 horas, e os pagamentos com cartão falham depois de 4 horas porque a central A não tem gerador. Em 30 horas, o abastecimento de água e o despacho estão perdidos. As 72 horas do hospital parecem tranquilizadoras, mas a sua água chega de um armazenamento que dura 10 horas: um prédio pode ter energia e mesmo assim estar inutilizável. O modelo é rudimentar — ignora as dependências das próprias reservas (quem reabastece o gerador do despacho depois de 24 horas, e por quais estradas?) —, mas já identifica três perguntas baratas: a central A pode receber um gerador; as bombas de água podem receber um ponto de conexão para gerador móvel; e quais acordos de entrega de combustível existem entre os operadores?

22.4 Qualidade dos dados

Cada número acima é uma afirmação de um operador. A autonomia de um gerador depende do combustível que de fato está no tanque, da confiabilidade da partida (Capítulo 12, EX024) e da carga. A autonomia das baterias se degrada com a idade. Registre a evidência por trás de cada autonomia — um teste, um valor de projeto, uma estimativa — e rode o modelo com valores pessimistas. Um modelo de dependências só é tão bom quanto o seu número menos conferido.

No Laboratório 9, reduzir à metade todas as autonomias (EX043) leva o armazenamento de água tratada para a lista de perdas de 6 horas.

Para o gerador do CEDC, a evidência seria a data do último teste de carga e o nível de combustível no dia do levantamento.

22.5 Erros comuns e limites

• Tratar uma única fonte de inventário como completa.
• Registrar as dependências sem o tempo.
• Tirar os números de autonomia de documentos de projeto sem testes.
• Esquecer as dependências de segunda ordem das reservas (combustível, pessoal, estradas).
• Varredura ativa da TO sem autorização e sem acordo operacional.

O Laboratório 9 ilustra os três primeiros: uma autonomia de projeto de 72 horas para o hospital supõe um tanque cheio, e as 4 horas da central A supõem baterias saudáveis. O quarto é a pergunta do reabastecimento por trás das 24 horas da central de despacho. O quinto é o motivo de o inventário da CRP ter se apoiado na observação passiva e nas declarações dos operadores, em vez de varreduras.

Exercícios — capítulo 22

EX043 — Corrija o elo fraco. Objetivo: testar uma intervenção. Entradas: Laboratório 9. Etapas: dê aos pagamentos com cartão a autonomia da central B (48 h) e rode de novo. Depois reduza à metade todas as autonomias (caso pessimista) e rode de novo para 6 h. Reporte as duas e recomende. Evidência esperada: duas saídas e uma recomendação. Rubrica: 3 = os pagamentos com cartão sobrevivem até 48 h na primeira rodada; a rodada pessimista de 6 h perde a central de telecomunicações A, as bombas de água, o armazenamento de água tratada, os pagamentos com cartão e a sinalização ferroviária (5 serviços); a recomendação trata da evidência para os números de autonomia; 2 = rodadas sem recomendação; 1 = uma rodada; 0 = nada.

EX044 — Dependências de segunda ordem. Objetivo: olhar por trás das reservas. Entradas: o gerador de 24 horas da central de despacho. Etapas: liste quatro dependências dessa própria reserva e uma forma de evidenciar cada uma. Evidência esperada: lista. Rubrica: 3 = contrato de fornecimento de combustível e rota de entrega, pessoal para operar/reabastecer, confiabilidade da partida do gerador (registros de teste), resfriamento/ventilação ou quadro de manobra; cada um com evidência; 2 = três; 1 = uma ou duas; 0 = nada.

Síntese do capítulo

Os inventários e os mapas de dependências são evidências com fontes, datas e lacunas. Acrescentar o tempo — a autonomia da reserva — transforma a exposição numa linha do tempo de perdas, expõe elos fracos como uma central só com baterias e revela que um prédio com energia ainda pode estar inutilizável. Teste as afirmações de autonomia e olhe por trás de cada reserva para as suas próprias dependências.