Capítulo 8 — Defesa e plano de publicação

Capítulo 8 — Defesa e plano de publicação

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX034.

flowchart TD
  N0["8.1 A auditoria das alegações"]
  N1["8.2 Preparando a defesa"]
  N2["8.3 Plano de publicação"]
  N3["8.4 Divulgação coordenada e coordenação setorial"]
  N4["8.5 Traduzindo para a política e a prática"]
  N5["8.6 O programa de pós-doutorado"]
  N6["Síntese do capítulo"]
  N7["Capítulo 1: EX001–EX007"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX034"]

Desenho lógico

flowchart LR
  N0["8.1 A auditoria das alegações"]
  N1["8.2 Preparando a defesa"]
  N2["8.3 Plano de publicação"]
  N3["8.4 Divulgação coordenada e coordenação setorial"]
  N4["8.5 Traduzindo para a política e a prática"]
  N5["8.6 O programa de pós-doutorado"]
  N6["Síntese do capítulo"]
  N7["Capítulo 1: EX001–EX007"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX034"]

[8.1 A auditoria das alegações]
    |
    v
[8.2 Preparando a defesa]
    |
    v
[8.3 Plano de publicação]
    |
    v
[8.4 Divulgação coordenada e coordenação setorial]
    |
    v
[8.5 Traduzindo para a política e a prática]
    |
    v
[8.6 O programa de pós-doutorado]
    |
    v
[Síntese do capítulo]
    |
    v
[Capítulo 1: EX001–EX007]
    |
    v
[Exemplo resolvido] --> [Exercício EX034]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo, o estudante será capaz de:

1. Auditar o registro de alegações de uma tese em busca de alegações sem apoio, sem escopo e generalizadas em excesso antes da defesa.
2. Preparar-se para uma defesa antecipando as perguntas mais fortes dos examinadores e respondendo com evidências, escopo e limites.
3. Planejar uma sequência de publicações em diferentes comunidades que preserve a integridade do argumento geral.
4. Integrar a divulgação coordenada e a coordenação setorial ao cronograma de publicação quando as constatações tocarem em vulnerabilidades ou superfícies de ataque.
5. Traduzir uma alegação de pesquisa estreitada em recomendações de política e de prática sem inflá-la.
6. Transformar as limitações da tese num programa de pesquisa de pós-doutorado crível.

O Capítulo 7 montou a tese e seu arquivo. Este capítulo prepara o candidato para defendê-la e liberá-la de forma responsável — o passo final do livro e da trilha de estudos de 207 cursos.

8.1 A auditoria das alegações

Antes da defesa, toda alegação da tese — no resumo, na introdução, nas conclusões dos capítulos e na conclusão geral — entra num registro de alegações com suas evidências, seu escopo e suas limitações. Os resumos e as conclusões são onde o exagero se acumula, porque são escritos por último, com pressa, em busca de impacto.

8.1.1 Atividade prática: uma primeira passada automatizada

# Lab 8 - audit a thesis claim register before the defense (offline)
claims = [
    {"id": "K1", "text": "Dependency-aware restoration reduced weighted critical-service loss in the Riverbend model",
     "evidence": ["Ch5-MC"], "scope": "synthetic model, single crew, 4 feeders", "limits": ["model-policy circularity"], "status": "supported"},
    {"id": "K2", "text": "The benefit persists when generator fuel buffers double",
     "evidence": ["Ch6-boundary"], "scope": "gen_scale 2-4", "limits": [], "status": "supported"},
    {"id": "K3", "text": "Operators would adopt the dependency-aware ordering",
     "evidence": [], "scope": "", "limits": [], "status": "supported"},
    {"id": "K4", "text": "Dependency-aware restoration improves resilience of US utilities",
     "evidence": ["Ch5-MC", "Ch6-PortHalvard"], "scope": "two synthetic regions", "limits": ["no field data"], "status": "supported"},
]
OVERREACH = ("US utilities", "all utilities", "proves", "always")
for c in claims:
    problems = []
    if c["status"] == "supported" and not c["evidence"]:
        problems.append("no evidence for a supported claim")
    if not c["scope"]:
        problems.append("scope missing")
    if not c["limits"]:
        problems.append("no stated limitation")
    if any(w in c["text"] for w in OVERREACH) and "synthetic" in c["scope"]:
        problems.append("text generalizes beyond its synthetic scope")
    print(c["id"], "OK" if not problems else "; ".join(problems))

Saída esperada:

K1 OK
K2 no stated limitation
K3 no evidence for a supported claim; scope missing; no stated limitation
K4 text generalizes beyond its synthetic scope

O script detecta três falhas clássicas. K2 está sustentada, mas não declara nenhuma limitação — e, no entanto, o Capítulo 6 mostrou que o benefício sobre SILO encolhe fortemente à medida que as reservas crescem, então "persiste quando as reservas dobram" precisa do qualificador de que o benefício cai cerca de 85% com o dobro das reservas. K3 está marcada como sustentada sem nenhuma evidência: o exercício de mesa mostrou que uma exibição pode deslocar escolhas num exercício de mesa, o que não é adoção. K4 generaliza de duas regiões sintéticas para "US utilities". Um filtro por palavras-chave é tosco — ele deixaria passar "nationwide" ou "the grid" —, então o script é uma primeira passada; a auditoria decisiva é uma pessoa lendo cada alegação contra o registro.

8.1.2 Alegações corrigidas

8.2 Preparando a defesa

8.2.1 O que os examinadores testam

Os examinadores testam se o candidato é um pesquisador independente: se ele entende os limites da sua contribuição melhor do que ninguém, se consegue defender as escolhas de desenho contra as alternativas e se conhece a literatura bem o bastante para situar o trabalho. Espere perguntas de seis famílias:

8.2.2 Defesas simuladas

Faça pelo menos duas defesas simuladas: uma com especialistas amigáveis do domínio e uma com um metodologista hostil de fora dele. Registre as perguntas que você não conseguiu responder bem; cada uma é uma lacuna na tese (corrija-a), uma lacuna na sua preparação (estude-a) ou uma pergunta genuinamente em aberto (diga isso na defesa — "não sei, e é assim que eu descobriria" é uma resposta forte).

8.2.3 Respondendo

Responda à pergunta feita, depois apresente as evidências, depois declare o limite. Evite três hábitos: defender uma alegação mais forte do que a tese faz; conceder, por nervosismo, um ponto que a tese de fato trata; e preencher o silêncio com especulação. Quando um examinador propuser uma explicação alternativa que você não testou, a melhor resposta descreve o teste que a distinguiria e o que cada desfecho significaria.

8.3 Plano de publicação

8.3.1 Sequenciando os artigos

O Cascade Study se divide naturalmente em artigos para comunidades diferentes:

1. Artigo de métodos/PO. A ordenação da restauração sob serviços críticos limitados por reservas: o enquadramento pela programação, o limite oráculo, a heurística e seus modos de falha, a análise de 200 regiões. Público: veículos de confiabilidade, risco e pesquisa operacional.
2. Artigo de segurança de infraestrutura. A integridade do mapa de dependências como pré-condição da restauração ciente da criticidade, com os resultados de descompasso e a recomendação defensiva revisada quanto ao duplo uso. Público: veículos de proteção de infraestrutura crítica e workshops de segurança de CPS.
3. Artigo de fatores humanos. O estudo de exercício de mesa: exibição, escolhas, justificativas e variáveis omitidas. Público: fatores humanos e gestão de emergências.
4. Nota de replicação. A reprodução do GridWater-Sim após a correção de uma ambiguidade na ordem dos parâmetros, com os testes de verificação. Público: a comunidade do benchmark; também valiosa como artigo de dados ou de software.

Publique os componentes T0 do arquivo com identificadores persistentes junto com o primeiro artigo, para que os artigos seguintes citem os mesmos artefatos versionados. Cada artigo precisa declarar o escopo da alegação geral e não deve citar outro artigo da tese como evidência mais forte do que ele é.

8.3.2 Preprints, embargos e resultados sensíveis

Os preprints aceleram o retorno e estabelecem a prioridade. Para resultados que tocam superfícies de ataque, decida antes do preprint se a coordenação é necessária (§8.4); um preprint é uma publicação. Financiadores e parceiros podem ter prazos de aviso em seus acordos (Capítulo 1, §1.5.3); respeite-os, e recuse qualquer pedido que equivalha a um veto sobre as constatações.

8.4 Divulgação coordenada e coordenação setorial

A pesquisa sobre infraestrutura pode produzir três tipos de constatação sensível, cada um com sua própria via:

Inclua o período de coordenação no cronograma. A CISA descreve seu processo como abrangendo o contato com o fornecedor, a análise, a coordenação da remediação e a publicação do alerta, e observa que pode divulgar após um período se o fornecedor não responder; leia a política atual em vez de confiar num resumo. A tese registra o que foi divulgado, a quem, quando e o que foi retido.

8.5 Traduzindo para a política e a prática

Os públicos de políticas precisam de recomendações que decorram das evidências e digam quão confiantes elas são. A partir da alegação estreitada do Cascade Study, as recomendações defensáveis são:

1. Explicitar a troca. Priorizar os serviços críticos na restauração custa aos clientes comuns tempo sem energia; o tamanho desse custo deve ser estimado e discutido nos planos de emergência e, quando apropriado, em consulta pública. (Evidência forte dentro do modelo; a direção é um resultado da teoria de programação.)
2. Auditar os mapas de dependências. A restauração ciente da criticidade só é tão boa quanto o mapa alimentador–instalação e os dados das reservas por trás dela; as concessionárias e seus parceiros devem verificá-los regularmente. (Evidência forte de fragilidade dentro do modelo.)
3. Proteger os dados de prioridade de restauração. Trate as listas de clientes críticos, os mapas de dependências e os estoques das reservas como sensíveis e críticos quanto à integridade. (Inferência a partir dos resultados de descompasso e dos relatos públicos de ameaças; confiança moderada.)
4. Medir a divergência antes de mudar a prática. Uma concessionária pode determinar se a ordenação pelo tempo até o impacto mudaria a ordem atual da sua lista crítica; se não mudar, ela nada ganha ao adotá-la. (Condicionada ao modelo; baixo custo de verificação.)

Essas recomendações se encaixam naturalmente em processos de gestão de riscos que já existem — a gestão de riscos setoriais sob o NSM-22 nos Estados Unidos, as avaliações de risco das entidades críticas sob a Diretiva CER na UE —, sem alegar que qualquer autoridade deva torná-las obrigatórias. Um policy brief tem duas páginas, declara sua base de evidências e seus limites e traz links para a tese e o arquivo.

8.6 O programa de pós-doutorado

A tabela de limitações do Capítulo 7 é uma agenda de pesquisa. Um programa crível de três estudos:

1. Levantamento da divergência em regiões reais (empírico, protegido): medir, sob proteção T3, com que frequência as ordens pelo tempo até o impacto e pela lista crítica divergem numa amostra de concessionárias. Isso responde à pergunta que os geradores sintéticos não conseguiram responder.
2. Modelagem das reservas humanas (modelo + validação): representar a extensão das reservas (entregas de combustível, água por caminhão) como condicionada ao acesso às telecomunicações e às estradas, validar contra os registros pós-ação e testar de novo as alegações sobre a restauração.
3. Ataques à integridade dos dados de planejamento (segurança + simulação): modelar a corrupção adversarial dos mapas de dependências e das listas de prioridade, avaliar estratégias de detecção e auditoria e estimar seu valor quanto à consequência — uma continuação direta da constatação de duplo uso, conduzida com parceiros setoriais.

Cada estudo tem uma alegação falseável, um desenho seguro e um modelo de parceria, e cada um mudaria uma decisão que alguém toma.

8.7 Exemplo resolvido: uma troca na defesa (sintética)

Examinador: "Sua região de Port Halvard foi desenhada para fazer seu método vencer. Por que eu deveria acreditar em qualquer coisa além de Riverbend, onde ele falhou?"

Candidato: "O senhor tem razão em que Port Halvard foi selecionada para que o mecanismo pudesse operar; os critérios de seleção foram pré-registrados antes da simulação, e outro modelador a construiu, mas ela é um teste do mecanismo, e não uma estimativa de com que frequência o método ajuda. É por isso que executei a análise de 200 regiões, em que o ganho sobre a ordenação por sinalização é exatamente zero sempre que as duas ordens coincidem e cresce com a divergência, e é por isso que a tese nada alega sobre com que frequência a divergência ocorre nas regiões reais. A falha em Riverbend faz parte da alegação: ela mostra que o método nada acrescenta onde as ordens coincidem ou onde os pesos e o espalhamento favorecem outra ordem. Se o senhor quiser uma estimativa para concessionárias reais, o estudo que eu executaria primeiro é o levantamento da divergência que descrevo na conclusão."

A resposta concede o que é verdadeiro, cita as evidências específicas, reafirma a alegação estreitada e nomeia o próximo estudo. Ela não defende a alegação original, mais ampla.

8.8 Erros comuns e limites

• Resumos e conclusões que alegam mais do que os capítulos.
• Tratar a defesa como uma apresentação em vez de um exame da independência.
• Publicar artigos cujas alegações se desviam para além do escopo da tese.
• Postar preprints antes de decidir se a coordenação é necessária.
• Recomendações de política sem níveis de confiança nem links para as evidências.

• Planos de pós-doutorado que repetem a tese em vez de tratar suas limitações.

• Manter um registro de alegações, mas auditá-lo apenas por palavras-chave, o que deixa passar exageros formulados como nationwide ou the grid.

• Responder à explicação alternativa de um examinador defendendo a alegação original em vez de descrever o teste que as distinguiria.
• Postar o artigo de segurança de infraestrutura antes que os parceiros e o órgão setorial de compartilhamento de informações tenham sido consultados sobre a constatação da integridade do mapa.
• Citar um artigo da tese, no artigo seguinte, como evidência mais forte do que ele é.
• Escrever recomendações de política que impliquem uma obrigatoriedade que as evidências não sustentam.

Exercícios — capítulo 8

EX045 — Auditoria das alegações. Objetivo: auditar um registro de alegações. Insumos: Laboratório 8. Restrições: off-line. Passos: (1) executar o laboratório e registrar a saída; (2) acrescentar uma alegação K5, "Our method makes the grid resilient to cyber attacks", com evidência ["Ch5-MC"], escopo "synthetic model" e limites ["no field data"]; (3) mostrar que o script não a detecta; (4) melhorar a verificação e reexecutar; (5) escrever o texto corrigido de K5. Evidência esperada: código, saídas, alegação corrigida. Rubrica: 3 = demonstra a falha de detecção, uma verificação melhorada sensata (por exemplo, termos como "the grid" ou "resilient to" combinados com o escopo sintético), alegação corrigida devidamente delimitada; 2 = verificação melhorada, mas a alegação continua inflada; 1 = não executado; 0 = nada.

EX046 — Banco de perguntas dos examinadores. Objetivo: preparar-se para a defesa. Insumos: sua tese ou o Cascade Study. Restrições: pelo menos duas perguntas em cada uma das seis famílias de §8.2.1; uma resposta-modelo de no máximo 120 palavras para as três mais difíceis. Passos: (1) escrever pelo menos duas perguntas em cada família; (2) marcar as três mais difíceis; (3) redigir uma resposta-modelo de no máximo 120 palavras para cada uma; (4) identificar qualquer pergunta que revele uma lacuna na tese, e não na sua preparação. Evidência esperada: banco de perguntas e respostas. Rubrica: 3 = perguntas afiadas e específicas, respostas que seguem o padrão pergunta–evidência–limite, pelo menos uma lacuna real identificada; 2 = respostas defensivas; 1 = perguntas genéricas; 0 = nada.

EX047 — Plano de publicação. Objetivo: sequenciar os artigos com integridade. Insumos: o Cascade Study ou a sua tese. Restrições: de três a cinco artigos; público, alegação e evidências de cada um; versionamento do arquivo; pontos de verificação de coordenação. Passos: (1) listar os artigos com seus públicos; (2) declarar a alegação de cada artigo e as evidências que ele usa; (3) mapear os artefatos compartilhados e suas versões; (4) marcar onde a coordenação ou a revisão de duplo uso precisa acontecer antes da liberação. Evidência esperada: plano com cronograma. Rubrica: 3 = artigos distintos e sem sobreposição de alegações, artefatos compartilhados versionados, coordenação posicionada antes de qualquer preprint que toque superfícies de ataque; 2 = sobreposições ou pontos de verificação ausentes; 1 = apenas uma lista de títulos; 0 = nada.

EX048 — Encaminhamento da divulgação. Objetivo: encaminhar constatações sensíveis. Insumos: quatro constatações sintéticas: (a) a concessionária parceira do simulador exporta sua lista de clientes críticos para uma página web interna sem autenticação; (b) um produto comercial de gestão de interrupções aceita importações de configuração não assinadas; (c) em três parceiros, os estoques das reservas no papel excedem os estoques físicos em 20–40%; (d) os procedimentos de rádio das equipes de restauração dependem de um único site repetidor. Restrições: vias de §8.4; declarar a temporização e o que é publicado. Passos: (1) classificar cada constatação por tipo; (2) escolher a via; (3) declarar quem é notificado e quando; (4) declarar o que acaba sendo publicado e em que nível. Evidência esperada: tabela. Rubrica: 3 = (a) relato privado ao parceiro, (b) CVD com o fornecedor ou um coordenador, (c) relatos privados mais a publicação geral da lacuna entre os estoques no papel e os físicos, (d) relato privado e uma constatação geral sobre pontos únicos de falha nas comunicações de restauração, com temporização sólida; 2 = um mal encaminhado; 1 = dois ou mais; 0 = nada.

EX049 — Policy brief. Objetivo: traduzir sem inflar. Insumos: a alegação estreitada de §6.5 e as recomendações de §8.5. Restrições: duas páginas; nível de confiança e link para as evidências em toda recomendação; um parágrafo sobre o que a pesquisa não mostra. Passos: (1) escrever o brief; (2) marcar cada frase como evidência, inferência ou recomendação; (3) remover qualquer frase que não possa ser rastreada até a tese. Evidência esperada: brief com as marcações. Rubrica: 3 = recomendações rastreáveis e qualificadas, não constatações explícitas, linguagem acessível; 2 = algumas frases não rastreáveis; 1 = advocacia sem evidências; 0 = nada.

EX050 — Programa de pesquisa de pós-doutorado. Objetivo: converter as limitações em pesquisa. Insumos: sua tabela de limitações do EX044 ou §7.7. Restrições: três estudos; cada um com uma alegação falseável, um desenho seguro, um modelo de parceria e a decisão que ele mudaria. Passos: (1) escolher três limitações; (2) desenhar um estudo para cada uma; (3) ordenar os estudos por dependência e valor; (4) declarar que resultado encerraria o programa. Evidência esperada: programa de duas páginas. Rubrica: 3 = os estudos tratam diretamente das limitações de maior consequência, são falseáveis e seguros e estão ordenados por dependência, com um resultado de parada honesto; 2 = um estudo fraco; 1 = repete a tese; 0 = nada.

Síntese do capítulo

A defesa examina a independência: o candidato precisa conhecer os limites da contribuição melhor do que ninguém. Um registro de alegações, auditado por script e por leitura, remove os exageros que se acumulam nos resumos e nas conclusões. As perguntas dos examinadores se enquadram em famílias previsíveis; responda com evidências e limites, e nomeie o estudo que resolveria o que você não sabe. Publique em sequência, em diferentes comunidades, com artefatos compartilhados versionados, e decida sobre a coordenação antes que qualquer preprint toque uma superfície de ataque. Encaminhe de formas diferentes as vulnerabilidades, as fraquezas específicas de organizações e as superfícies de ataque em nível setorial. Traduza as alegações estreitadas em recomendações com níveis de confiança. As limitações se tornam o próximo programa de pesquisa — o fim natural de um curso de doutorado e desta trilha de estudos.

Continue estudando — capítulo 08 de 08

← Capítulo 07 · Índice de capítulos do curso · Resoluções →

Siga para a próxima lição escrita.

Resoluções e notas de avaliação

Cada resolução mostra uma resposta defensável e explica o que a rubrica recompensa. Respostas alternativas podem receber a pontuação máxima quando atendem ao mesmo padrão de evidências, escopo e honestidade sobre os limites. Os resultados numéricos vêm dos laboratórios offline deste livro, executados com a biblioteca padrão do Python 3; se sua saída for diferente, confira primeiro a versão do Python, a semente e se você mudou a ordem dos sorteios aleatórios.

Capítulo 1: EX001–EX007

EX001 — Auditoria pela escada de alegações.

Reescrita: "Neste caso sintético, o DMS registrou às 01:52 (relógio do DMS) uma sessão cuja autorização ainda não foi estabelecida. Um alimentador que atende o hospital abriu em algum momento depois disso; não foi estabelecido se um comando causou a abertura, nem se o hospital perdeu energia em vez de transferir para seu gerador. Nenhuma conclusão sobre as cooperativas em geral decorre de um único caso." A pontuação máxima exige sinalizar a reserva do gerador (a razão mais provável para a alegação de consequência ser falsa) e a generalização.

EX002 — Definição e população. Uma resposta defensável cita: a definição legal usada pela política norte-americana (42 U.S.C. § 5195c(e)) e a estrutura setorial do NSM-22 pela página da CISA; as definições do artigo 2º da CER de "entidade crítica" e seu anexo de setores; o artigo 3º da NIS2, com os anexos I e II (entidades essenciais e importantes). Classificação típica: o hospital regional pertence ao setor norte-americano Healthcare and Public Health, é provavelmente uma entidade da NIS2 no setor da saúde, dependendo do porte e das regras nacionais, e só pode ser designado entidade crítica pela CER se o Estado-Membro o identificar; a pequena concessionária de água pertence ao setor norte-americano Water, pode ficar abaixo dos limiares de porte da NIS2, a menos que um Estado-Membro lhe aplique as regras, e pertence ao setor de água potável da CER se for designada; o processador de pagamentos pertence ao setor norte-americano Financial Services, está sujeito na UE às regras do setor financeiro (a NIS2 contém disposições de lex specialis em relação a atos setoriais como o DORA) e aos setores bancário ou de infraestruturas do mercado financeiro da CER, se designado. Consequência de desenho: uma comparação entre jurisdições precisa definir sua população por um critério funcional comum (por exemplo, população atendida e função), e não por categoria jurídica, e relatar a situação jurídica de cada unidade como covariável. A rubrica recompensa citações exatas e trata os casos que dependem de designação como condicionais, e não como certos.

EX003 — Tipificação das interdependências.

Não existe ciclo entre os serviços listados (nenhum serviço da lista depende de volta de HOSP, WATER ou TEL). Um modelo puro de fluxo de potência omitiria a dependência combustível–estrada, a dependência do faturamento e a dependência do SCADA da água em relação a TEL. A pontuação máxima observa que a ausência de ciclo é uma propriedade desta lista, e não da região: as telecomunicações muitas vezes precisam de água para refrigeração, e as concessionárias de energia precisam das telecomunicações para a restauração, o que criaria ciclos.

EX004 — Análise pelo Menlo. Partes interessadas: os despachantes entrevistados; os gestores de emergência no exercício de mesa; a REC, a RWA, o hospital e a operadora como organizações; a população atendida; os reguladores; o financiador; a equipe de pesquisa. Princípio por princípio: respeito às pessoas — consentimento individual separado da permissão do empregador, áudio opcional, retirada sem penalidade, nenhum dado para os gestores; beneficência — nenhum contato com sistemas em funcionamento, apenas simulação, teste de sensibilidade em todos os artefatos, revisão de segurança física desnecessária porque nada é energizado; justiça — não sobrecarregar apenas a menor concessionária; relatar a troca em clientes-hora para que a perda de nenhuma população fique escondida; lei e interesse público — acordos de uso de dados e de publicação, regimes de proteção da informação aplicáveis identificados, métodos transparentes. Autoridade de parada: um representante nomeado do parceiro e o pesquisador principal. Na retirada: os dados identificáveis das entrevistas são destruídos; as contribuições agregadas e desidentificadas são mantidas apenas se os termos de consentimento assim previam. A rubrica recompensa salvaguardas concretas, em especial a proteção da equipe contra o uso disciplinar e o tratamento da população atendida como parte interessada.

EX005 — Teste de sensibilidade.

EX006 — Inversão de métricas. Saída com a métrica acrescentada (amostras horárias com Q < 0,5): A 5 h, B 0 h, C 0 h. Com uma janela de 72 horas, a perda de C sobe de 7,40 para 13,40 unidades-hora, seu tempo até a recuperação passa a ser de 36 h e ele deixa de ser censurado; A e B não mudam. Para a água potável, uma métrica primária defensável são as horas abaixo de um limiar de pressão ou de qualidade associado a um aviso de fervura ou à perda da vazão para combate a incêndio, porque a consequência para a saúde é determinada por limiares; a perda de área e o tempo até a recuperação são secundários. A pontuação máxima nomeia a fonte do limiar (a regulamentação das concessionárias ou as orientações de saúde pública da jurisdição) em vez de inventar um valor e observa que o limiar de 0,5 do laboratório é ilustrativo.

EX007 — Esqueleto de protocolo. Um protocolo forte fixa a pergunta e o degrau da alegação (L5 condicional, dentro de uma classe de cenários); define a perda ponderada de serviços críticos e os clientes-hora, uma janela de 72 horas e a regra de censura; nomeia o modelo, a elicitação, o exercício de mesa e os registros históricos como fontes de evidência, com seus limites; especifica as quatro políticas e as duas regiões; pré-especifica os parâmetros, as sementes, as métricas, a margem de não inferioridade e a regra de decisão; contém a análise do Menlo, a regra "nunca teste em produção" e a aprovação para pesquisa com seres humanos para as entrevistas e o exercício de mesa; nomeia os regimes de proteção da informação e o armazenamento; anexa os acordos de uso de dados e de publicação; e lista condições de parada (pedido do parceiro; qualquer violação de dados; qualquer sofrimento de participante) distintas das condições de abandono (H2 falha nas duas regiões; o modelo falha na validação histórica por mais do que uma margem declarada com antecedência). O revisor hostil atacaria primeiro os pesos, a circularidade e a seleção dos contextos.

Capítulo 2: EX008–EX014

EX008 — Protocolo de busca. Um protocolo-modelo para "Incidentes de ransomware em hospitais afetam os desfechos dos pacientes em hospitais vizinhos?": blocos de conceitos (ransomware OR cyberattack OR "cyber incident") AND (hospital OR "health system") AND (diversion OR spillover OR "neighboring" OR "nearby") AND (outcome OR mortality OR "length of stay"); fontes: um índice biomédico, um índice acadêmico geral e relatórios governamentais e setoriais; encadeamento a partir de dois estudos-semente; elegibilidade: estudos com grupo de comparação ou série temporal; triagem por dois revisores numa amostra de 10%, com a concordância relatada antes da divisão; parar quando duas rodadas consecutivas de encadeamento não acrescentarem nada. A rubrica recompensa fontes entre disciplinas e concordância medida.

EX009 — Avaliação crítica de um artigo de modelagem. Estrutura: a cossimulação representa as reservas e a restauração? Parâmetros: com fonte ou presumidos? Verificação: nenhuma evidência de testes na descrição — desconhecida. Validação: um evento histórico, usando o modelo dos próprios autores; boa, mas única. Sensibilidade: desconhecida. Linha de base: se a comparação for apenas com a ordenação pelos clientes, é uma linha de base fraca (Capítulo 3). Disponibilidade: desconhecida. Alegação mais forte que pode ser apoiada: "Na cossimulação dos autores, calibrada para um evento histórico, a restauração ciente das dependências reduziu a perda de serviços críticos em comparação com [a linha de base deles]" — uma alegação sobre o modelo (L2–L3), e não sobre a infraestrutura em geral.

EX010 — Adequação da família de modelos. (a) Insumo-produto (IIM ou I–O econômico): estima a perda de produção em nível setorial; limite — linear, sem temporização, detalhe das instalações perdido na agregação. (b) Fluxo ou cossimulação, ou um modelo de temporização das reservas como o do Laboratório 3: limite — exige dados em nível de instalação e reservas validadas. (c) Estudo empírico qualitativo (entrevistas, registros pós-ação), possivelmente informando um modelo baseado em agentes: limite — autorrelato e amostras pequenas. (d) Percolação topológica: limite — abstrata; sem reservas nem fluxos; apenas entendimento estrutural.

EX011 — A norma como hipótese. Alegação implícita: atribuir e implementar o SL-T por zona reduz a probabilidade de que um adversário com a capacidade correspondente alcance um efeito com consequência. Hipótese: "Em zonas de testbed implementadas segundo os requisitos do SL 3, red teams de capacidade fixa alcançam um efeito predefinido no nível do processo com menos frequência, ou levam mais tempo, do que em zonas de resto idênticas implementadas segundo o SL 1." Desenho: testbed isolado, várias zonas equivalentes, red teams independentes sem conhecimento do SL, efeitos predefinidos simulados, e não físicos. Fatores de confusão: habilidade e cansaço dos red teams; qualidade da implementação independente do SL nominal; aprendizado entre as tentativas. A rubrica recompensa a segurança (apenas testbed) e a medição da segurança alcançada, e não da afirmada.

EX012 — Conserte o mapa da literatura. Acrescente um sexto campo e filtre por s[5] == "cyber". Saída para C3: single-source; needs replication; strong+independent=['P7']. A situação de C3 não muda porque P7 é ao mesmo tempo independente e cibernético, mas C1, C2 e C4 agora não têm apoio qualificado para alegações sobre quedas induzidas por ciberataques. Explicação: as evidências de quedas por todos os perigos só se transferem para quedas induzidas por ciberataques por argumentação — cenários cibernéticos podem ser simultâneos, ter o momento escolhido pelo adversário e corromper as ferramentas de restauração —, então uma alegação cibernética precisa de validação específica para o cibernético ou de um argumento explícito de transferência.

EX013 — Classifique a lacuna. (a) Conflitante: o próximo estudo discrimina os mecanismos — medir as duas reservas e seu esgotamento nas mesmas instalações. (b) Não transferida: o próximo estudo testa se as variáveis do planejamento da capacidade de pico predizem a ordem ótima de restauração. (c) Fraca: white papers de fornecedores com conflitos de interesse; o próximo estudo é uma comparação independente com uma linha de base forte. (d) Ausente: o próximo estudo é um primeiro desenho comparativo, mesmo que seja uma pequena comparação de mesa entre o CCE e a priorização orientada por vulnerabilidades.

EX014 — Declaração falseável e memorando de fronteira. Exemplo de declaração: "Em quedas regionais de energia de mais de oito horas, a aceitação de pagamentos com cartão em mercados e farmácias cai abaixo de 50% do normal nas primeiras quatro horas por causa da dependência do backhaul de telecomunicações e da energia dos pontos de venda, a menos que os estabelecimentos tenham capacidade de autorização off-line; isto é refutado se os registros de transações de duas regiões independentes mostrarem aceitação acima de 50% em quatro horas entre os estabelecimentos sem capacidade off-line." Notas dos testes: aberta (nenhum estudo regional encontrado na busca documentada, hipoteticamente), importante (acesso a alimentos e medicamentos durante as quedas), viável (dados agregados de transações por meio de um parceiro da rede de pagamentos), falseável (observação declarada). O memorando argumenta que o mapeamento das dependências dos estabelecimentos em relação ao backhaul precisa vir primeiro, porque sem ele a aceitação não pode ser atribuída às telecomunicações em vez de à energia. A rubrica recompensa um refutador viável e uma ordem fundamentada das perguntas.

Capítulo 3: EX015–EX020

EX015 — Tipificação da contribuição. (a) Artefato — precisa de documentação, testes de verificação e evidências de uso. (b) Medição — precisa de evidências de confiabilidade (teste–reteste, entre avaliadores) e de validade. (c) Constatação empírica — precisa de um estudo amostrado e documentado das concessionárias, com base amostral e taxas de resposta. (d) Método — precisa de comparação com a melhor prática atual em métricas declaradas, em mais de um contexto. (d) usa (a) como instrumento; (a) sozinha não pode sustentar (d), porque a existência do simulador nada diz sobre se o método supera a prática atual. (c) é uma pré-condição para saber se (d) é novo na prática.

EX016 — Verificação pela teoria de programação. Razões w/p: F1 9000/4 = 2250; F2 1200/3 = 400; F3 2500/5 = 500; F4 6000/4 = 1500. Ordem de Smith: F1, F4, F3, F2. Instantes de conclusão 4, 8, 13, 16 h → clientes-hora = 9000·4 + 6000·8 + 2500·13 + 1200·16 = 135.700 → 135,7 mil. Ordem F2, F3, F1, F4: conclusões 3, 8, 12, 16 → 1200·3 + 2500·8 + 9000·12 + 6000·16 = 227.600 → 227,6 mil. Aumento de 67,7%. (Nos laboratórios deste livro, os clientes-hora também são contados por alimentador até a restauração; o atraso de reinício se aplica apenas aos serviços críticos.)

EX017 — Extensão do tempo até o impacto. Com F2 → HOSP = 60 e TEL → HOSP = 30, o instante de falha do hospital pela energia é min(60, 8 + 30 = 38) = 38 h, mas pela água é 9 + 4 = 13 h, então HOSP ainda falha em 13 h. O resultado não muda porque o caminho determinante é o da água. Mais fundamentalmente, o arranjo "o gerador dura 60 h se as telecomunicações funcionarem para pedir combustível, senão 26 h" é uma reserva condicional — uma combinação E/OU que um grafo de caminho mínimo com pesos fixos nas arestas não consegue expressar. Modelá-la exige reservas dependentes do estado (como nos intervalos de dependência do Laboratório 5, estendidos) ou uma simulação em que as entregas de combustível são eventos que exigem TEL.

EX018 — Conjunto de hipóteses. Exemplo para a restauração de sites de telecomunicações após um incidente cibernético numa operadora: Benefício — "Restaurar as estações rádio-base na ordem do tempo até o impacto dos serviços dependentes reduz a perda ponderada da capacidade de chamadas de emergência e da conectividade dos hospitais em ≥ 20% em comparação com a restauração pelo número de assinantes atendidos." Melhor prática — "…em ≥ 10% em comparação com a lista de sites prioritários existente da operadora." Mecanismo — "O ganho é zero onde a ordem da lista e a ordem do tempo até o impacto coincidem e cresce com a divergência; ele some quando a autonomia das baterias dos sites excede o tempo total de restauração." Não inferioridade — "Os assinantes-hora perdidos aumentam em ≤ 15% em comparação com a lista de sites prioritários." Desfechos definidos operacionalmente (por exemplo, tentativas de chamadas de emergência que falham por hora, a partir dos contadores da rede numa simulação). Limiares justificados pelo custo de mudança declarado pela operadora e pelas expectativas de qualidade do serviço do regulador, com responsáveis e datas.

EX019 — Tabela de explicações rivais. Rivais: qualquer lista de prioridades explica o ganho (teste: linha de base da lista); pesos (teste: pesos alternativos); baterias curtas na rede escolhida (teste: escalonamento das baterias, segunda rede); circularidade (teste: modelo independente, erro do mapa); adoção (teste: exercício de mesa com engenheiros); equipe única ou deslocamento ignorado (teste: equipes e matriz de deslocamento); o redirecionamento do tráfego para sites vizinhos torna a ordem irrelevante (teste: modelo com cobertura dos vizinhos). A nota máxima inclui pelo menos circularidade, adequação da linha de base, pesos e adoção.

EX020 — Condições de falha e critérios do segundo contexto. Condições de falha: como em §3.8, adaptadas. Critérios do segundo contexto derivados do mecanismo: pelo menos três sites de serviços críticos; divergência entre a ordem da lista e a ordem do tempo até o impacto em pelo menos duas posições; faixa das reservas sobrepondo-se ao tempo total de restauração; um modelo de equipes diferente do primeiro contexto. Verificação pelos revisores: uma emenda ao pré-registro com carimbo de tempo (num registro público ou num commit do repositório com tag assinada) datada antes de qualquer simulação do segundo contexto, mais a declaração do modelador de que não teve acesso aos resultados do primeiro contexto.

Capítulo 4: EX021–EX026

EX021 — Registro de reprodução. Alvo: água 0,236 (artigo sintético, Tabela 2). Tolerância de ± 0,005 fixada antes da execução. Execução 1 (matriz transposta): [0.528, 0.028, 0.057] — a água difere em 0,208, fora da tolerância; a energia confere. Diagnóstico: o artigo define A*_ij como o efeito de j sobre i; o arquivo de entrada foi lido por colunas. Execução 2 (convenção correta): [0.528, 0.236, 0.163] — reproduzido. Ambiente: versão do Python, sistema operacional, data. Decisão: reproduzido após a correção de um erro de convenção no nosso tratamento da entrada. Observação: a energia coincidir nas duas execuções mostra por que verificar uma única saída é insuficiente.

EX022 — Análise de perturbações no IIM. Energia 0,5 sozinha: [0.528, 0.236, 0.163]. Telecomunicações 0,5 sozinhas: [0.057, 0.101, 0.519]. As duas: [0.585, 0.336, 0.682], que é igual à soma dos dois vetores separados (salvo arredondamento), porque o IIM é linear: q = (I − A*)⁻¹ c* e a inversa se distribui sobre a soma das perturbações. Alegação sustentada: "neste modelo linear de equilíbrio, uma perturbação combinada de energia e telecomunicações eleva a inoperabilidade da água a cerca de 0,34". Não sustentada: qualquer coisa sobre temporização, reservas, limiares ou ordem de restauração — e qualquer alegação de que uma inoperabilidade acima de 1 tem significado (modelos lineares podem exceder os limites físicos para perturbações grandes).

EX023 — A armadilha da ordem dos parâmetros. Chamada correta triangular(4, 12, 8): média (4 + 8 + 12) / 3 = 8,0. A chamada errada triangular(4, 8, 12) passa high = 8 e mode = 12; o CPython calcula c = (12 − 4)/(8 − 4) = 2 e retorna 4 + 4·√(2u), então os valores vão de 4 a cerca de 9,66 e a média é cerca de 7,77 (uma execução com semente de 100.000 sorteios deu mínimo 4,02, máximo 9,66, média 7,77). A saída não é uma distribuição triangular e excede o "high" documentado de 8, sem nunca chegar a 12. Uma verificação da média sozinha (7,77 contra 8,0) é facilmente descartada como ruído; uma verificação da faixa contra os limites documentados e um histograma revelam o erro imediatamente.

EX024 — Testes de invariantes. Exemplos de asserções usando o Laboratório 5: (1) com todas as reservas acima de 72 h, a perda de toda política é 0; (2) evaluate com ordens idênticas dá resultados idênticos; (3) ORACLE ≤ cada política em cada sorteio; (4) aumentar a reserva de um serviço em 1 h nunca aumenta a perda sobre sorteios fixos; (5) com durações iguais, os clientes-hora de SILO ≤ os de toda permutação. Remover o atraso de reinício de um serviço não é detectado por nenhuma dessas invariantes — isso reduz as perdas de todas as políticas de forma consistente. Ele é detectado por um teste unitário sobre um único serviço: alimentador restaurado em 5 h, reserva de 2 h → intervalo de interrupção esperado (2, 6). A nota máxima tira a lição: as invariantes testam a estrutura, os testes unitários testam a semântica; você precisa dos dois.

EX025 — Métrica de detecção relativa à latência. Definição: para cada segmento anômalo k com início s_k, primeiro alarme a_k (o primeiro índice sinalizado no segmento) e tempo até o impacto T_k, o segmento é "detectado antes do impacto" se a_k existir e (a_k − s_k) × Δt < T_k. Com Δt = 6 min e T = 2 h (20 passos): o primeiro alarme do segmento 1 está no deslocamento de 21 passos (2,1 h) → não; o do segmento 2 no deslocamento 0 → sim; o do segmento 3 no deslocamento de 29 passos (2,9 h) → não. Fração detectada antes do impacto = 1/3. Contraste: PA-F1 0,911, F1 por pontos 0,05, PA%K 0,05. A métrica de latência mostra que um detector sem nenhuma informação vence a reserva apenas por acaso — uma informação que o PA-F1 esconde por completo.

EX026 — Plano do piloto. Um plano forte lista as perguntas de viabilidade (taxa de recrutamento, compreensão dos materiais, duração das sessões, captura de dados, tempo de execução, testes de invariantes), define limiares como em §4.7.2, especifica as respostas de "não prosseguir" (revisar e repilotar; mudar a via de recrutamento; reduzir o escopo), exclui os participantes do piloto do estudo principal porque eles já viram os materiais e suas escolhas estariam contaminadas, e declara explicitamente que nenhum tamanho de efeito será estimado nem relatado como evidência.

Capítulo 5: EX027–EX032

EX027 — Execute e interprete o estudo principal. A saída exata está impressa em §5.2.1. Variação relativa de DEP em relação a CRITFLAG: Riverbend 4,32 / 3,97 − 1 = +8,8% (DEP um pouco pior); Port Halvard 9,61 / 31,63 − 1 = −69,6%. Parágrafo-modelo: "Em relação à ordenação pelos clientes, as duas ordenações cientes da criticidade reduziram a perda ponderada de serviços críticos em mais de 80% nas duas regiões sintéticas, ao mesmo tempo em que aumentaram os clientes-hora em 58–71%, o que excede a margem de 15% declarada com antecedência (H4a não atendida). Em relação à ordenação por sinalização crítica, a ordenação pelo tempo até o impacto não produziu redução em Riverbend (diferença média de +0,35, intervalo de Monte Carlo de 95% de −0,23 a 0,97; uma redução de 10% fica descartada) e produziu uma redução de 70% em Port Halvard, onde igualou o oráculo; os clientes-hora subiram 2,3% e 9,9%, respectivamente, dentro da margem (H4b atendida). Os intervalos refletem apenas o ruído da simulação."

EX028 — Pareado versus não pareado. Riverbend, 500 sorteios: DP das perdas de DEP ≈ 6,36, das de CRITFLAG ≈ 4,57, das diferenças por sorteio ≈ 6,79. Intervalo não pareado de 95% para a diferença de médias ≈ 0,35 ± 1,96 × √((6,36² + 4,57²)/500) ≈ −0,34 a 1,04; pareado ≈ −0,24 a 0,95. O pareamento ajudou apenas modestamente. As perdas das duas políticas são fraca e positivamente correlacionadas: em muitos sorteios, uma protege a água e a outra as telecomunicações, então suas perdas se movem em direções diferentes. A variância das diferenças, Var(A) + Var(B) − 2 Cov(A, B), pode, portanto, exceder a variância de qualquer das políticas e ainda ficar abaixo da soma não pareada. Os números aleatórios comuns continuam corretos; seu ganho de precisão é uma questão empírica.

EX029 — Taxonomia da incerteza. (a) Monte Carlo — mais sorteios. (b) Parâmetros — elicitação com incerteza, verificação dos estoques, análise de sensibilidade. (c) Estrutural — extensão do modelo (tempos de deslocamento), comparação de estruturas de modelo. (d) Valores — conjuntos alternativos de pesos, relato transparente dos vereditos por conjunto, deliberação com as partes interessadas. (e) Parâmetros (família de distribuições) ou estrutural (se a forma refletir um mecanismo como o esgotamento) — testar famílias alternativas e relatar a sensibilidade.

EX030 — Crítica do desenho do exercício de mesa.

EX031 — Matriz de evidências de validação. Uma resposta forte escolhe validade aparente, histórica, de condições extremas, de variabilidade dos parâmetros e operacional; é honesta quanto à impossibilidade da validação histórica de eventos cibernéticos raros e a substitui por eventos de todas as causas com um argumento de transferência; e identifica o teste mais danoso — para o Cascade Study, a validação histórica da temporização das reservas, porque, se as reservas estiverem sistematicamente erradas, todo resultado de ordenação muda — e o programa para antes do estudo principal.

EX032 — Memorando de transportabilidade. A concessionária tem três alimentadores críticos cuja ordem das reservas coincide com a ordem dos clientes, e uma equipe. Moderadores: divergência zero; uma equipe; reservas desconhecidas em relação ao tempo de restauração; acurácia do mapa desconhecida. Previsão: a ordenação pelo tempo até o impacto produzirá a mesma ordem que a lista crítica, então o ganho é zero. Ressalvas: se os pesos ou o espalhamento (um alimentador que protege vários serviços ponderados) diferirem, uma regra ciente dos pesos ainda poderia ajudar — isso está fora da alegação testada. Dados que mudariam a previsão: reservas corrigidas (que poderiam mudar a ordem), evidências de erros no mapa ou dependências que não estejam na lista.

Capítulo 6: EX033–EX038

EX033 — Relatório do red team. As objeções-modelo são as de §6.2, mais, por exemplo, "o horizonte de 72 horas censura as quedas longas" (teste: estender para 120 h e contar os serviços censurados) e "as distribuições triangulares subestimam as caudas" (teste: reservas lognormais com medianas iguais). Cada objeção declara sua previsão antes do teste; por exemplo, "se a circularidade determina o resultado, um mapa errado vai eliminar a vantagem de DEP sobre SILO" — o Capítulo 6 constatou que ele reduziu a vantagem de perda de DEP sobre SILO de cerca de 48 para cerca de 7 horas de serviço ponderadas, enquanto todas as políticas cientes da criticidade se degradaram.

EX034 — Sensibilidade aos pesos. Com todos os pesos definidos como 1,0 (500 sorteios, semente 7): Riverbend SILO 15,00, CRITFLAG 1,32, DEP 1,07, ORACLE 0,54; DEP − CRITFLAG −0,25 (intervalo de Monte Carlo de 95% de −0,41 a −0,08). Port Halvard SILO 14,95, CRITFLAG 8,61, DEP 2,49, ORACLE 2,49; DEP − CRITFLAG −6,12 (−6,24 a −6,00). Vereditos: H1 inalterada (sustentada); H2 em Riverbend muda de rejeitada para inconclusiva sob a regra pré-registrada — a estimativa pontual é uma redução de 19%, mas a extremidade superior do intervalo (−0,08) não fica inteiramente abaixo do limiar (−0,13); H2 em Port Halvard inalterada (sustentada); H4 não afetada (os clientes-hora não dependem dos pesos). Explicação: com os pesos declarados com antecedência, restaurar F3 primeiro protege dois serviços de peso alto (água 4 e o hospital via água 5), o que favorece a ordem de CRITFLAG; com pesos iguais, restaurar cedo as telecomunicações importa relativamente mais e a regra do menor tempo até o impacto de DEP ganha. Conclusão: o veredito de Riverbend depende dos valores; a tese precisa relatar os vereditos por conjunto de pesos.

EX035 — Experimento de erro do mapa. Telecomunicações verdadeiramente em F4, planejadores acreditam em F2 (300 sorteios, semente 7, sem oráculo): SILO 29,01, CRITFLAG 26,82, DEP 31,11. Com um mapa correto, CRITFLAG e DEP escolhem ambas F4, F3, F2, F1 e chegam a 4,90. Em comparação com o descompasso da água (§6.3.1), o erro das telecomunicações prejudica DEP ainda mais: DEP se torna a pior das três políticas, porque restaura F2 primeiro, com confiança, por uma central de telecomunicações que não está lá. Procedimento de auditoria: para toda instalação crítica listada, verificação de campo por amostragem do alimentador que a abastece, todo ano e após qualquer reconfiguração da rede; meta de acurácia ≥ 98% numa amostra aleatória de pelo menos 50 pares instalação–alimentador (ou todos, se forem menos); aprovação do responsável; discrepâncias corrigidas em 30 dias; resultados da auditoria armazenados em nível controlado.

EX036 — Crítica do gerador. Implementando "alimentadores maiores abrigam serviços de reserva mais longa" (atribuir os níveis de reserva ordenados aos alimentadores críticos ordenados por clientes, a menor reserva ao menor alimentador; 200 regiões, semente 2026): as regiões sem divergência caem de 69 para 9; divergência em duas posições, 77 regiões, ganho médio −24,85; divergência em três posições, 114 regiões, ganho médio −19,02. A correlação oposta (a menor reserva no maior alimentador) dá 162 regiões sem divergência, 35 com duas posições (ganho médio −8,65) e 3 com três (−17,24). Interpretação: o pressuposto de correlação do gerador, e não o método, controla com que frequência DEP ajuda. A alegação precisa continuar condicionada à divergência medida, e a frequência nas regiões reais precisa ser medida, e não simulada.

EX037 — Decisão de duplo uso. (a) Restringir e notificar: específica, acionável, de ganho alto — divulgação coordenada por meio do fornecedor e de um coordenador; notificar as concessionárias afetadas pelos canais adequados; publicar apenas constatações agregadas após a remediação. (b) Publicar: padrão geral amplamente discutido em alertas públicos; valor defensivo alto. (c) Publicar com cuidado: o método ajuda os planejadores; evitar liberar pipelines prontos que ingiram dados públicos de instalações de lugares nomeados. (d) Reter ou restringir: as estimativas para hospitais nomeados são dados de alvos com pouco valor defensivo além desses hospitais; compartilhar com eles em privado, se forem acuradas.

EX038 — Carta de resposta. Respostas-modelo: (1) circularidade — parcialmente aceita; testes de descompasso acrescentados, alegação condicionada à acurácia do mapa, auditoria do mapa recomendada. (2) Reservas curtas — aceita como condição de contorno; escalonamento das reservas acrescentado, alegação limitada a reservas menores do que cerca de duas vezes o tempo de restauração. (3) Seleção do contexto — parcialmente aceita; análise de 200 regiões acrescentada, alegação limitada à divergência medida, frequência nas regiões reais listada como desconhecida. (4) Fraqueza da heurística — aceita; regra ciente dos pesos apresentada como trabalho futuro exploratório, e não como resultado. (5) Duplo uso — aceita; revisão de duplo uso acrescentada; recomendação sobre os dados de prioridade de restauração publicada em nível geral após coordenação. Cada resposta cita a seção alterada.

Capítulo 7: EX039–EX044

EX039 — Mapa do argumento. Alegação, dados, garantia, respaldo, qualificador e refutações como em §7.1, com os capítulos: dados (Capítulos 5–6), garantia (verificação do Capítulo 4 e validação do Capítulo 5), respaldo (reproduções e testes do Capítulo 4), qualificador (escopo do Capítulo 3 mais as condições do Capítulo 6), refutações (Capítulo 6 e Limitações). Garantia mais fraca: a de que o modelo classifica as ordenações de forma adequada para regiões reais, já que a validação histórica cobre um único evento de todas as causas e omite as reservas humanas. Fortalecimento: validação da temporização das reservas contra vários registros pós-ação, com as reservas humanas modeladas explicitamente.

EX040 — Atribuição de níveis. Código do simulador T0; testes de verificação T0; configuração de Riverbend T0 (inventada); formulários de elicitação com os nomes dos parceiros T3 (ou T2, se os parceiros consentirem com o acesso controlado) — transformar retirando as identidades e agregando para T1; faixas de elicitação agregadas T1 (T0 se os parceiros concordarem e não restar nenhuma estrutura única); áudio do exercício de mesa T2 — destruir após a transcrição, se o consentimento assim disser; justificativas codificadas T2, ou T1 após a desidentificação e a remoção das combinações de função mais concessionária; formulários de consentimento T2 (administrativos, nunca liberados); procedimento de restauração do parceiro T3 — descrever apenas sua existência e seu papel; figuras finais T0.

EX041 — Manifesto que falha fechado. Com a ordem original das regras, data/synthetic_partner_feeders.csv corresponde primeiro a partner_ e é classificado como T3 (correto). Mover a regra synthetic_ para o início o classifica como T0-public (errado) — um risco de ordenação. Uma verificação de conteúdo: antes de atribuir T0, ler os bytes e recusar T0 se b"SUB-" (ou qualquer padrão de uma lista de formatos de identificadores de ativos) ocorrer, retornando "UNCLASSIFIED: stop and review". Lição: coloque primeiro as regras mais restritivas, falhe fechado quando não houver correspondência e verifique o conteúdo além dos nomes.

EX042 — Avaliação da divulgação residual. Risco: a configuração (um hospital, duas estações de água, cinco alimentadores, hospital num alimentador específico) é uma impressão digital estrutural quase única do condado; alguém com conhecimento local poderia associá-la. Uma associação revelaria qual alimentador atende o hospital e as reservas obtidas — informação de alvos. Transformações: misturar estruturas de vários condados; generalizar para faixas; abandonar a ligação alimentador–hospital e substituí-la por uma atribuição aleatória que preserve apenas a estatística de interesse (por exemplo, a distribuição da divergência). Custo: ligação mais fraca com o caso real; a tese precisa declarar quais resultados dependem da estrutura preservada.

EX043 — Documentação do modelo. Propósito: classificar as ordenações de restauração pela perda ponderada de serviços críticos e pelos clientes-hora em quedas na distribuição que exigem restauração manual sequencial. Entidades: alimentadores (clientes, duração da restauração), serviços (alimentador, reserva, peso, dependência opcional com reserva local), equipes. Processos e escalonamento: as equipes pegam os alimentadores na ordem da política assim que ficam livres; os intervalos de interrupção dos serviços são calculados exatamente, do esgotamento da reserva até a restauração mais um atraso de reinício de uma hora; os intervalos de dependência começam no início da interrupção do fornecedor mais a reserva local e terminam com a restauração do fornecedor; intervalos limitados a 72 h; as dependências têm semântica de OU. Insumos: distribuições triangulares da elicitação; pesos do painel de gestão de emergências. Verificação: as invariantes e os testes unitários do EX024. Limitações: sem tempo de deslocamento; sem extensão das reservas humanas; apenas semântica de OU; reservas fixas (sem dinâmica de esgotamento); uma única classe de cenários.

EX044 — Seção de limitações. Uma resposta forte se parece com §7.7, com cinco ou mais limitações, cada uma com efeito, direção e estudo que a resolva, e as classifica: (1) reservas humanas omitidas (poderiam reduzir todos os benefícios da reordenação), (2) regiões sintéticas (frequência da divergência desconhecida), (3) pesos (os vereditos mudam), (4) tempo de deslocamento (reduz o benefício de DEP onde os alimentadores críticos estão dispersos), (5) escala do exercício de mesa (adoção não comprovada).

Capítulo 8: EX045–EX050

EX045 — Auditoria das alegações. A saída original sinaliza K2, K3 e K4 (ver §8.1.1). K5 é relatada como "OK" porque nenhuma das palavras-chave aparece. Verificação melhorada: estender OVERREACH com expressões como "the grid", "resilient to", "makes", "secure" ou, melhor, exigir uma expressão de escopo explícita ("in the synthetic…") no texto de qualquer alegação cujo campo de escopo contenha "synthetic". K5 corrigida: "Em duas regiões sintéticas, a ordenação da restauração pelo tempo até o impacto reduziu a perda modelada de serviços críticos após quedas na distribuição, sob condições declaradas; ela não previne ataques cibernéticos, e seu efeito em redes reais não foi testado."

EX046 — Banco de perguntas dos examinadores. As três mais difíceis para o Cascade Study, com respostas-modelo: (1) "O resultado não é circular?" — responder com as evidências do descompasso e do modelador independente e admitir o que continua circular (ORACLE e DEP ainda compartilham o modelo). (2) "Por que alguém deveria aceitar os seus pesos?" — não deveria sem escrutínio; descrever a elicitação e a tabela de vereditos por conjunto de pesos; os pesos são um insumo de política que o método torna explícito. (3) "Sem um estudo de campo, o que você sabe sobre as concessionárias reais?" — que as condições para o benefício são mensuráveis; que o levantamento da divergência é o próximo estudo; que nenhuma alegação de campo é feita. Uma lacuna real revelada: a tese não tem evidências sobre se as equipes conseguem seguir um plano reordenado, dados os tempos de deslocamento — uma lacuna no trabalho, a ser declarada como limitação.

EX047 — Plano de publicação. Como em §8.3.1, com: o arquivo T0 v1.0 liberado com o artigo 1; os artigos 2–4 citando versões do arquivo; a revisão de duplo uso e a coordenação setorial concluídas antes de qualquer preprint do artigo 2; os prazos de aviso dos parceiros respeitados nos artigos que usam as faixas de elicitação; e uma declaração, em cada artigo, de seu escopo em relação à alegação geral da tese.

EX048 — Encaminhamento da divulgação.

EX049 — Policy brief. Um brief forte começa pelo problema (a ordem de restauração determina quais serviços críticos falham), declara quatro recomendações com níveis de confiança e links para as evidências (§8.5), inclui um parágrafo "O que esta pesquisa não mostra" (efeitos em concessionárias reais, frequência da divergência, adoção sob estresse, qualquer efeito de prevenção cibernética), usa linguagem simples e traz links para a tese e o arquivo T0. Toda frase é marcada; as frases que não podem ser rastreadas até a tese são removidas.

EX050 — Programa de pesquisa de pós-doutorado. Como em §8.6: (1) levantamento da divergência — alegação "a divergência ocorre em pelo menos um quarto das concessionárias pesquisadas", desenho sob proteção T3, modelo de parceria por meio das associações setoriais, decisão mudada: se promover ou não a ordenação pelo tempo até o impacto; (2) modelagem das reservas humanas — alegação "incluir as entregas de combustível e de água reduz o benefício modelado da reordenação em menos da metade", validada contra os registros pós-ação; (3) ataques à integridade dos dados de planejamento — alegação "auditorias do mapa com 98% de acurácia limitam a amplificação da consequência por dados de prioridade corrompidos a um limite declarado". Ordem: (1) primeiro, porque, se a divergência for rara, (2) e (3) importam mais do que mais trabalho de método. Resultado de parada: se o levantamento encontrar divergência em pouquíssimas concessionárias e os erros de mapa forem raros, o programa deve se voltar dos métodos de ordenação para a verificação das reservas.

Glossário

• Reserva (buffer) — Capacidade armazenada (combustível, baterias, armazenamento de água, estoques, procedimentos manuais) que permite a um dependente continuar operando depois de perder um fornecedor, por uma duração que depende da carga.
• Censura — Observação incompleta de uma duração porque a janela de observação se fechou antes de o evento (por exemplo, a recuperação) ocorrer.
• Números aleatórios comuns — Avaliar todas as políticas comparadas sobre os mesmos sorteios simulados, para que as comparações sejam pareadas.
• Consequência — O efeito de uma perturbação sobre as pessoas e as funções de que elas dependem, medido em unidades de serviço ao longo de uma janela de tempo.
• Ordenação por sinalização crítica (CRITFLAG) — Neste livro, restaurar primeiro os alimentadores que abrigam instalações críticas listadas, ordenando-os entre si pelos clientes atendidos.
• Função crítica — Uma função do governo ou do setor privado cuja perturbação teria um efeito debilitante sobre a segurança, a economia, a saúde pública ou a segurança pública; o conjunto de National Critical Functions da CISA lista 55.
• Serviço crítico — Um serviço cuja interrupção além de uma duração declarada prejudica a saúde, a segurança, a proteção ou atividades econômicas essenciais de uma população declarada.
• Ordenação pelos clientes (SILO) — Neste livro, restaurar os alimentadores em ordem decrescente de clientes atendidos; ótima para clientes-hora quando as durações são iguais (regra de Smith).
• Dependência / interdependência — Uma relação unidirecional / bidirecional em que o estado de um serviço depende do estado de outro (Rinaldi, Peerenboom and Kelly, 2001).
• Divergência — O número de posições em que duas ordens de restauração diferem entre os alimentadores críticos; neste livro, o moderador da vantagem da DEP sobre a CRITFLAG.
• Revisão de duplo uso — Avaliação da vantagem que um resultado de pesquisa dá aos adversários, de seu valor defensivo e das possíveis mitigações antes da publicação.
• Ordenação ciente das dependências (DEP) — Neste livro, restaurar os alimentadores em ordem crescente do menor tempo esperado até o impacto dos serviços críticos que eles sustentam.
• Modelo de insumo-produto de inoperabilidade (IIM) — Um modelo linear baseado em Leontief da propagação da inoperabilidade de equilíbrio entre setores (Haimes and Jiang, 2001).
• Circularidade modelo–política — Avaliar uma política no mesmo modelo do qual ela foi derivada, de modo que os erros do modelo não possam aparecer como falhas da política.
• Margem de não inferioridade — A maior piora de uma métrica secundária ou de segurança aceita em troca de um benefício na métrica primária, fixada com antecedência.
• Ordenação oráculo — A melhor ordenação para um dado sorteio, encontrada por enumeração exaustiva; um limite superior para o que qualquer regra poderia alcançar.
• Curva de desempenho — A fração do serviço normal entregue ao longo do tempo, antes, durante e depois de uma perturbação.
• Ajuste de pontos (PA) — Um protocolo de avaliação que conta todo um segmento anômalo como detectado se qualquer ponto dele for sinalizado; sabidamente infla as pontuações (Kim et al., 2022).
• Nível de liberação — O nível de acesso (público, registrado, controlado, retido) em que um artefato do arquivo é disponibilizado.
• Reprodução / replicação — Obter resultados consistentes com os mesmos dados e métodos / com novos dados que tratam da mesma pergunta (National Academies, 2019).
• Perda de resiliência — A área entre o serviço pleno e a curva de desempenho ao longo de uma janela.
• Menor efeito de interesse — O menor efeito que mudaria uma decisão real, justificado pela consequência prática e fixado antes da análise.
• Nível de segurança-alvo (SL-T) — Na IEC 62443-3-2, o nível de segurança desejado para uma zona ou um conduto, determinado por meio da avaliação de riscos.
• Tempo até o impacto — O tempo, depois de uma falha inicial, em que um serviço dependente falha, calculado sobre todos os caminhos de dependência.
• Verificação / validação — Mostrar que um modelo está implementado corretamente / que ele é adequado ao propósito pretendido (Sargent, 2013).
• Zonas e condutos — Na IEC 62443, agrupamentos de ativos com requisitos de segurança comuns e dos canais de comunicação entre eles.