Capítulo 30 — Laboratório II

Capítulo 30 — Laboratório II

Mapa da aula

Aula 30 publicada. Mapa, exemplo, EX059.

flowchart TD
  N0["30.1 Cenário sintético"]
  N1["30.2 Parte A — exercício de mesa 90 minutos"]
  N2["30.3 Parte B — análise de evidências offline"]
  N3["30.5 Relatório pós-ação"]
  N4["30.6 Rubrica de avaliação"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX059"]

Desenho lógico

flowchart LR
  N0["30.1 Cenário sintético"]
  N1["30.2 Parte A — exercício de mesa 90 minutos"]
  N2["30.3 Parte B — análise de evidências offline"]
  N3["30.5 Relatório pós-ação"]
  N4["30.6 Rubrica de avaliação"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX059"]

[30.1 Cenário sintético]
    |
    v
[30.2 Parte A — exercício de mesa 90 minutos]
    |
    v
[30.3 Parte B — análise de evidências offline]
    |
    v
[30.5 Relatório pós-ação]
    |
    v
[30.6 Rubrica de avaliação]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX059]

Objetivos de aprendizagem e conexão

Depois deste laboratório, você consegue (1) conduzir um exercício contido em duas partes — um exercício de mesa facilitado e uma análise de evidências offline — para um cenário entre setores; (2) reconstruir uma linha do tempo a partir de logs sintéticos e verificar a integridade dos logs; (3) avaliar as decisões contra os planos e as medidas; e (4) escrever um relatório pós-ação com um plano de melhorias. O laboratório integra os Capítulos 17, 21, 22, 26, 27 e 29 e é o segundo ponto de controle de projeto.

30.1 Cenário (sintético)

Este cenário é sintético. Às 02:10 de uma noite de inverno, a sala de controle da Calder Water informa que o setpoint de nível da estação de bombeamento PS2 mudou de 4,1 m para 2,0 m às 01:52. Ninguém assume a mudança. Às 02:30, a CPN informa uma falta na Substation North que levará 6 horas para ser reparada. O gerente de plantão do CEDC pergunta se o abastecimento de água do hospital está em risco. Equipes de quatro pessoas fazem os papéis de operações da CW, segurança da CW, controle da CPN e manutenção predial do CVH; um facilitador entrega as injeções.

A Calder Water poderia investigar a mudança do setpoint da PS2, e a CPN poderia reparar a Substation North em 6 horas; juntas, elas levantam a pergunta que nenhuma consegue responder sozinha: se a água do hospital se mantém enquanto as duas coisas não estão resolvidas.

30.2 Parte A — exercício de mesa (90 minutos)

Objetivos: (1) decidir em até 20 minutos se a PS2 passa ao controle local; (2) produzir até as 03:00 um quadro de situação consolidado entre operadores para o CEDC; (3) decidir quais evidências preservar. Injeções: 02:40 — a segurança da CW descobre que uma sessão remota de fornecedor esteve ativa das 01:45 às 01:58; 02:55 — a manutenção predial do CVH informa 72 h de combustível para o gerador, mas pergunta sobre a água; 03:20 — um jornalista local liga para a CW. Os observadores registram os horários das decisões, quem decidiu e com base em qual evidência.

Os observadores devem anotar o minuto em que cada decisão foi tomada, por quem e com base em qual evidência, para que o relatório pós-ação possa comparar os tempos com os objetivos. O objetivo de 20 minutos para a PS2 começa às 02:10.

30.3 Parte B — análise de evidências (offline)

Usando a função de cadeia de hashes do Laboratório 8, as equipes recebem três arquivos: o livro do operador, a cabeça ancorada vinda do servidor de âncora separado e o registro da sessão do fornecedor. Elas recalculam a cadeia, encontram qual entrada (se alguma) foi alterada e a alinham com os horários da sessão. Usando o modelo de autonomia do Laboratório 9 (Capítulo 22) com a interrupção de 6 horas, elas declaram quais serviços se perdem e quando, e se a água do hospital depende da PS2. Todo resultado precisa ser reprodutível: hash do script, versão do Python, saída.

Com 10 horas de armazenamento de água tratada contra uma interrupção de 6 horas, a água do hospital deveria se manter pelos números do Laboratório 9; a pergunta em aberto para as equipes é se esse número de armazenamento ainda vale com o setpoint da PS2 em 2,0 m, em vez dos 4,1 m normais.

30.4 Exemplo resolvido: a linha do tempo e os seus limites (sintético)

Interpretação: a mudança de setpoint coincide com a sessão do fornecedor, e a entrada do log que a registra foi alterada — o que é compatível com uma mudança maliciosa ou descuidada escondida depois, mas não prova quem a fez. Entre setores: com uma interrupção de 6 horas na rede elétrica, as bombas da CW param de imediato e o armazenamento de água tratada (10 h) sustenta o abastecimento (Laboratório 9); um setpoint rebaixado significa menos água armazenada do que o planejado, o que encurta essa autonomia — a interação perigosa é entre dois eventos que, isoladamente, são gerenciáveis. Decisões: passar a PS2 ao controle local e restaurar o setpoint (operações), suspender o acesso remoto de fornecedores (segurança, com o diretor da CW), preservar o registro da sessão do fornecedor, a imagem do servidor de logs e a âncora (segurança), informar o CEDC e o CVH com uma faixa estimada de autonomia da água (operações, até as 03:00) e encaminhar a imprensa ao porta-voz acordado.

30.5 Relatório pós-ação

Estrutura: os objetivos e se foram cumpridos (com os horários); o que deu certo; o que não deu; as causas raiz (sistêmicas, sem culpabilização — Capítulo 28); as ações de melhoria com donos e datas; o apêndice de evidências. Distinga os artefatos do exercício (coisas que só aconteceram porque era um exercício) das constatações reais.

Neste cenário, a ligação do jornalista às 03:20 testa um procedimento real; uma injeção atrasada do facilitador é um artefato do exercício. As ações de melhoria decorrem das causas raiz, como o acesso remoto de fornecedores não gerenciado, e não de erros individuais.

Para a ação sobre o acesso de fornecedores, a verificação seria conferir que a conta do fornecedor está desativada fora dos tíquetes aprovados e que o registro da sessão das 01:52 pode ser recuperado.

30.6 Rubrica de avaliação

Uma equipe que restaura o setpoint rapidamente, mas não consegue dizer quem decidiu, recebe 2 em decisões. Uma linha do tempo cuja linha das 01:52 está marcada com confiança alta apesar da entrada de log alterada recebe 1. O raciocínio entre setores só recebe 3 se a autonomia de água encurtada for estimada, e não apenas mencionada.

Exercícios — capítulo 30

EX059 — Graduação da confiança. Objetivo: justificar os pesos das evidências. Entradas: a linha do tempo resolvida deste laboratório. Etapas: explique a confiança de cada linha e qual evidência adicional elevaria a linha das 01:52 para alta. Evidência esperada: explicações. Rubrica: 3 = registros do sistema, alta; entrada de log alterada, média, porque a hora e o valor da entrada original são desconhecidos; elevá-la exige logs de eventos do PLC/controlador, a tendência do setpoint no historiador, a gravação da sessão do lado do fornecedor; 2 = parcial; 1 = asserções; 0 = nada.

EX060 — Plano de melhorias. Objetivo: transformar constatações em ações. Entradas: o cenário. Etapas: escreva cinco ações de melhoria com dono, data e como a conclusão será verificada. Evidência esperada: tabela. Rubrica: 3 = por exemplo, aprovação e gravação por sessão para fornecedores, alarmes de mudança de setpoint com limites, âncora no sistema de outra equipe, modelo de quadro de situação entre operadores, exercício conjunto com a CPN; cada uma verificável; 2 = ações sem verificação; 1 = vago; 0 = nada.

Síntese do capítulo

O Laboratório II combina pessoas e evidências: decidir sob pressão de tempo, reconstruir linhas do tempo a partir de fontes com confiança graduada, verificar a integridade e raciocinar entre setores. As situações mais perigosas muitas vezes surgem da interação de dois eventos que, isoladamente, são gerenciáveis.

Continue estudando — capítulo 30 de 40

← Capítulo 29 · Índice de capítulos do curso · Capítulo 31 →

Siga para a próxima lição escrita.