Capítulo 24 — Infraestrutura crítica e segurança setorial: métodos I

Mapa da aula

Aula 24 publicada. Mapa, exemplo, EX047.

flowchart TD
  N0["24.1 Associar o método à questão"]
  N1["24.2 Avaliação de riscos estruturada"]
  N2["24.3 Simulação com verificação e validação"]
  N3["24.4 Exercícios com pessoas"]
  N4["24.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX047"]

Desenho lógico

flowchart LR
  N0["24.1 Associar o método à questão"]
  N1["24.2 Avaliação de riscos estruturada"]
  N2["24.3 Simulação com verificação e validação"]
  N3["24.4 Exercícios com pessoas"]
  N4["24.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX047"]

[24.1 Associar o método à questão]
    |
    v
[24.2 Avaliação de riscos estruturada]
    |
    v
[24.3 Simulação com verificação e validação]
    |
    v
[24.4 Exercícios com pessoas]
    |
    v
[24.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX047]

Objetivos de aprendizagem e conexão

Ao fim deste capítulo você será capaz de (1) selecionar métodos de análise adequados a uma questão de projeto — avaliação de riscos, STPA, simulação, experimento em bancada de testes, exercício de mesa; (2) conduzir uma avaliação de riscos estruturada e documentá-la de forma reprodutível; (3) planejar um estudo de simulação com verificação e validação explícitas; e (4) escolher evidências proporcionais à decisão. Ele se apoia nos capítulos 15, 21 e 23 e prepara o ateliê de projeto (Capítulo 25).

24.1 Associar o método à questão

Tabela da aula; deslize para ver todas as colunas →

Os projetos de engenharia usam vários; um erro comum é usar um método para responder à questão de outro — por exemplo, um exercício de mesa "mostrando" que um tempo de restauração é alcançável.

24.2 Avaliação de riscos estruturada

Uma avaliação reprodutível documenta: escopo e suposições; versão do modelo de sistema; fontes de ameaça e suas capacidades supostas; cenários (evento de ameaça → vulnerabilidade → consequência); controles existentes; escalas de probabilidade e de consequência com definições; classificações com justificativa; e controles recomendados. As escalas precisam ser definidas nos termos da organização (pessoas-hora sem água, não "alto"). Classificações sem justificativa são opiniões; com justificativa, podem ser contestadas e melhoradas. As escalas do TMRP usam pessoas-hora sem água no hospital e nos demais clientes, então as classificações significam a mesma coisa para operadores e gestores.

24.3 Simulação com verificação e validação

A verificação pergunta se o modelo está implementado corretamente (o código faz o que o modelo diz?); a validação pergunta se o modelo representa a realidade bem o bastante para seu propósito. Sargent (2013) descreve técnicas: comparação com resultados analíticos (o Euler do Laboratório 1 versus a solução exata), testes em condições extremas, comparação com dados históricos, validade aparente junto aos operadores e análise de sensibilidade. Declare o uso pretendido do modelo; um modelo válido para estimar a autonomia pode ser inválido para a análise de transientes de pressão. No TMRP, o modelo de autonomia é validado contra uma interrupção planejada histórica antes de ser usado no cenário combinado de falta de energia da rede e perda de telemetria.

24.4 Exercícios com pessoas

Os exercícios de mesa conduzem uma equipe por um cenário para testar planos, papéis e decisões; os exercícios funcionais executam algumas ações de verdade. Projete-os com objetivos, injeções, observadores e um relatório pós-ação que registre as lacunas sem atribuir culpa. Eles mostram se as pessoas sabem o que fazer e onde os planos são ambíguos; não medem o desempenho dos equipamentos. O exercício funcional noturno do TMRP, do modo manual local na PS3 e na PS4, é o exemplo: ele usa a equipe noturna real, registra o tempo gasto para estabelecer a operação manual e relata as lacunas que encontra, mas não consegue mostrar se as bombas ou os gateways atendem aos seus próprios requisitos.

24.5 Exemplo resolvido: escolhendo os métodos para o TMRP (sintético)

O TMRP tem quatro questões em aberto: (1) quais cenários merecem financiamento — avaliação de riscos com escalas de consequência em pessoas-hora; (2) se os operadores conseguem passar a PS3/PS4 para manual local em até 1 h — um exercício funcional à noite, com a equipe real; (3) se o gateway rejeita quadros forjados e repetidos — testes T1–T2 em bancada; (4) se o reservatório dura o suficiente durante uma falta combinada de energia da rede e de telemetria — uma simulação no estilo do Laboratório 1, validada contra uma interrupção planejada histórica. O plano nomeia a evidência de cada método e seu limite, para que ninguém cite depois o exercício de mesa como prova de R6.

24.6 Atividade prática

Conduza com dois colegas um exercício de mesa de 45 minutos sobre o cenário "servidores SCADA cifrados às 02:00", usando o conjunto de requisitos do TMRP. Registre decisões, horários e lacunas num relatório pós-ação. Atribua os papéis antes de começar: o operador noturno, o gerente de plantão e um facilitador que faz as injeções. Use os requisitos do TMRP como régua, especialmente a operação manual local em até uma hora e a restauração da operação remota em até oito. Registre cada decisão com seu horário e quem a tomou. O relatório pós-ação deve listar o que o plano não cobriu, sem apontar ninguém como causa, e deve declarar que um exercício de mesa não consegue mostrar se a restauração em oito horas é alcançável.

24.7 Erros comuns e limites

• Um método esticado para responder a todas as questões.
• Escalas de probabilidade e de consequência não definidas.
• Simulação apresentada sem V&V ou sem uso pretendido.
• Relatórios de exercícios que culpam indivíduos ou registram apenas os sucessos.
• Evidência desproporcional à decisão (pouca demais para o que é crítico para a segurança, demais para o trivial).

O plano de métodos do TMRP se protege contra o primeiro erro ao nomear o limite de cada método, de modo que um exercício de mesa nunca seja citado como prova de que R6 foi atendido. Suas escalas de probabilidade e de consequência são definidas em pessoas-hora, e a simulação de autonomia declara seu uso pretendido.

Exercícios — capítulo 24

EX047 — Associação de métodos. Objetivo: selecionar métodos. Entradas: quatro questões: (a) setpoints forjados na PS4 causariam sobrepressão? (b) o detector de anomalias do fornecedor encontra inundações de escritas Modbus? (c) o gerente de plantão consegue autorizar o modo manual local à noite? (d) qual é a classificação anual de risco de oito cenários? Passos: escolha um método para cada uma, sua evidência e seu principal limite. Evidência esperada: tabela. Rubrica: 3 = (a) simulação/análise hidráulica mais STPA, (b) experimento em bancada, (c) exercício, (d) avaliação de riscos, com limites honestos; 2 = uma associação errada; 1 = um método para todas; 0 = nada.

EX048 — Valide um modelo. Objetivo: planejar a V&V. Entradas: o modelo do Laboratório 1. Passos: proponha três verificações e três validações, incluindo uma com dados históricos, e declare o uso pretendido do modelo e um uso para o qual ele é inválido. Evidência esperada: lista. Rubrica: 3 = verificação e validação distintas, comparação histórica especificada, uso inválido identificado (por exemplo, transientes de pressão, qualidade da água); 2 = V e V misturadas; 1 = vago; 0 = nada.

Síntese do capítulo

Associe cada questão a um método capaz de respondê-la e conheça o limite de cada método. Torne as avaliações de riscos reprodutíveis, com escalas definidas e justificativas; verifique e valide as simulações para um propósito declarado; use os exercícios para testar pessoas e planos, não equipamentos; e dimensione a evidência de acordo com a decisão que ela sustenta.