Capítulo 7 — Probabilidade e estatística
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX013.
flowchart TD
N0["7.1 Probabilidade como modelo de incerteza"]
N1["7.2 A regra de Bayes e o problema da taxa-base"]
N2["7.3 Redundância e causa comum"]
N3["7.4 Eventos raros: o modelo de Poisson"]
N4["7.5 Descrever dados com honestidade"]
N5["7.7 Atividade prática: Laboratório 4"]
N6["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX013"]
Desenho lógico
flowchart LR
N0["7.1 Probabilidade como modelo de incerteza"]
N1["7.2 A regra de Bayes e o problema da taxa-base"]
N2["7.3 Redundância e causa comum"]
N3["7.4 Eventos raros: o modelo de Poisson"]
N4["7.5 Descrever dados com honestidade"]
N5["7.7 Atividade prática: Laboratório 4"]
N6["Síntese do capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX013"]
[7.1 Probabilidade como modelo de incerteza]
|
v
[7.2 A regra de Bayes e o problema da taxa-base]
|
v
[7.3 Redundância e causa comum]
|
v
[7.4 Eventos raros: o modelo de Poisson]
|
v
[7.5 Descrever dados com honestidade]
|
v
[7.7 Atividade prática: Laboratório 4]
|
v
[Síntese do capítulo]
|
v
[Exemplo resolvido] --> [Exercício EX013]
Objetivos de aprendizagem e conexão
Ao fim deste capítulo você será capaz de (1) aplicar a regra de Bayes a alarmes e explicar o problema da taxa-base; (2) calcular a disponibilidade de caminhos redundantes com e sem falha de causa comum; (3) modelar eventos raros com a distribuição de Poisson; e (4) resumir dados com uma incerteza honesta, incluindo quando desconfiar de uma amostra pequena. Ele se apoia nos capítulos 1–6 e prepara os capítulos 23 (análise de falhas), 29 (medição) e 32 (confiabilidade).
7.1 Probabilidade como modelo de incerteza
Uma probabilidade é um número entre 0 e 1 associado a um evento sob um modelo. Os engenheiros usam três leituras: frequência de longo prazo (falhas de bombas por ano numa frota), grau de crença (a estimativa de um especialista sobre a capacidade de um adversário) e margem de projeto (uma meta como 99,9% de disponibilidade). Deixe explícito qual delas você quer dizer; misturá-las é o modo como os registros de riscos viram ficção. As regras centrais: $P(A \cup B) = P(A) + P(B) - P(A\cap B)$; $P(A \cap B) = P(A)P(B\mid A)$; independência significa $P(B\mid A) = P(B)$.
7.2 A regra de Bayes e o problema da taxa-base
$P(H\mid E) = P(E\mid H)P(H)/P(E)$. Aplique-a a um alarme de intrusão: suponha que ataques ocorram em 0,1% das janelas de uma hora, que o detector dispare em 95% dos ataques (taxa de verdadeiros positivos) e em 1% das janelas benignas (taxa de falsos positivos). A probabilidade de que um alarme signifique um ataque é de apenas cerca de 8,7%. A maioria dos alarmes é falsa mesmo para um detector "99% preciso", porque as janelas benignas superam de longe os ataques. É por isso que os operadores aprendem a ignorar alarmes — e por isso que o projeto de alarmes precisa informar a taxa esperada de alarmes e o valor preditivo positivo, e não apenas a acurácia. Sommer and Paxson (2010) discutem esse e outros obstáculos relacionados à detecção de anomalias em redes operacionais.
7.3 Redundância e causa comum
Se um caminho de comunicação está disponível com probabilidade $a$ e os caminhos falham de forma independente, $n$ caminhos dão $1-(1-a)^n$. A independência é a suposição que falha na prática: caminhos que compartilham um alimentador de energia, um fornecedor, uma configuração ou uma vulnerabilidade explorável falham juntos. O modelo do fator beta atribui uma fração $\beta$ da indisponibilidade de cada unidade a causas comuns que derrubam todas as unidades de uma vez. Com $a = 0.98$ e $\beta = 0.05$, dois caminhos têm indisponibilidade ≈ 0,00136 em vez de 0,0004: a causa comum domina. Em segurança, uma vulnerabilidade de software idêntica nos dois caminhos é uma causa comum com $\beta$ próximo de 1 diante de um adversário que a conhece.
7.4 Eventos raros: o modelo de Poisson
Se os eventos chegam de forma independente a uma taxa média $\lambda$ por ano, o número de eventos num ano segue uma Poisson: $P(N=k) = e^{-\lambda}\lambda^k/k!$. Com $\lambda = 0.5$ faltas longas de energia da rede por ano, $P(N \ge 1) \approx 0.39$. O modelo de Poisson supõe taxa constante e independência; tempestades, campanhas de ataques e envelhecimento violam ambas, então trate-o como uma primeira aproximação. Para a LRWA, uma falta longa de energia da rede, de mais de quatro horas, é o evento que testa R5 e a reserva do hospital ao mesmo tempo. Se as faltas se agrupam em tempestades, o valor de Poisson subestima a chance de duas faltas num intervalo de dias, então a equipe do TMRP o confere contra os registros de interrupções da distribuidora antes de usá-lo na árvore de falhas.
7.5 Descrever dados com honestidade
Informe um valor central com a dispersão (mediana e intervalo interquartil para dados assimétricos, como durações de interrupções), o tamanho da amostra e o modo como os dados foram coletados. Um intervalo de confiança descreve a incerteza amostral sob um modelo; ele não diz nada sobre viés naquilo que foi registrado. Amostras pequenas de eventos raros são especialmente traiçoeiras: zero falhas em 3 anos de operação não significa risco zero. A "regra de três" dá um limite superior aproximado de 95% de $3/n$ para uma taxa quando 0 eventos são observados em $n$ tentativas ou unidades de tempo.
7.6 Exemplo resolvido: a LRWA deve acionar o engenheiro de sobreaviso? (sintético)
O TMRP propõe um detector de anomalias de rede no centro de controle com as taxas da §7.2. Avaliado em janelas de uma hora, ele acionaria o sobreaviso cerca de 0,26 vez por dia — aproximadamente uma vez a cada quatro dias — e cerca de 91% dos acionamentos seriam falsos. A equipe decide: acionar apenas quando o alarme de rede coincidir com uma anomalia de processo (mudança inesperada de setpoint ou desequilíbrio de vazão) e encaminhar os alarmes de rede isolados para uma fila de revisão no dia útil seguinte. A decisão é justificada pela taxa-base, e seu custo — resposta mais lenta a um ataque furtivo apenas de rede — é registrado no registro de riscos.
7.7 Atividade prática: Laboratório 4
# Lab 4 - base rates, redundancy and rare events (synthetic numbers, offline)
import math
prior, tpr, fpr = 0.001, 0.95, 0.01
ppv = tpr * prior / (tpr * prior + fpr * (1 - prior))
print(f"P(attack | alarm) = {ppv:.3f}")
alarms_per_day = 24 * (tpr * prior + fpr * (1 - prior))
print(f"expected alarms per day (hourly windows) = {alarms_per_day:.3f}")
a = 0.98
for n in (1, 2, 3): print(f"{n} independent paths at {a}: availability {1 - (1 - a) ** n:.6f}")
beta = 0.05 # beta-factor common-cause share of unavailability
q = 1 - a
print(f"2 paths with beta={beta}: unavailability {(1 - beta) ** 2 * q ** 2 + beta * q:.6f}")
lam = 0.5
print(f"P(>=1 grid outage >4 h per year | lambda={lam}) = {1 - math.exp(-lam):.3f}")
print(f"P(>=2) = {1 - math.exp(-lam) * (1 + lam):.4f}")
Saída esperada:
P(attack | alarm) = 0.087
expected alarms per day (hourly windows) = 0.263
1 independent paths at 0.98: availability 0.980000
2 independent paths at 0.98: availability 0.999600
3 independent paths at 0.98: availability 0.999992
2 paths with beta=0.05: unavailability 0.001361
P(>=1 grid outage >4 h per year | lambda=0.5) = 0.393
P(>=2) = 0.0902
As duas primeiras linhas repetem o resultado da taxa-base do exemplo resolvido: menos de um alarme em dez seria um ataque real, e o detector acionaria o sobreaviso cerca de uma vez a cada quatro dias. As linhas de redundância mostram com que rapidez caminhos independentes melhoram a disponibilidade, e a linha do fator beta mostra como uma causa comum de cinco por cento elimina a maior parte desse ganho. As linhas de Poisson dão a chance de pelo menos uma, e de pelo menos duas, faltas longas de energia da rede num ano, à taxa suposta pela LRWA.
7.8 Erros comuns e limites
- Informar a acurácia de um detector sem a taxa-base e o valor preditivo.
- Multiplicar disponibilidades como se fossem independentes quando os caminhos compartilham causas.
- Usar Poisson para eventos agrupados.
- Tratar zero falhas observadas como probabilidade zero.
- Estimativas pontuais sem tamanho de amostra e método de coleta.
Cada erro tem um exemplo na LRWA. Acionar o engenheiro de sobreaviso a cada alarme de rede ignora a taxa-base. Tratar os dois caminhos LTE como independentes ignora seu alimentador compartilhado. Usar Poisson para as faltas causadas por tempestades esconde o agrupamento, e três anos tranquilos na PS4 não provam que as bombas não podem falhar juntas.
Exercícios — capítulo 7
EX013 — Sensibilidade à taxa-base. Objetivo: ver como o valor preditivo depende da prevalência. Entradas: Laboratório 4. Passos: calcule o VPP para as probabilidades a priori 0,0001, 0,001 e 0,01 com o mesmo detector, e para a priori 0,001 com FPR 0,001. Evidência esperada: quatro valores e uma recomendação sobre qual parâmetro melhorar. Rubrica: 3 = valores corretos e a percepção de que reduzir a FPR importa mais em baixa prevalência; 2 = valores certos; 1 = um valor; 0 = nada.
EX014 — Causa comum na telemetria. Objetivo: quantificar a diversidade. Entradas: dois caminhos LTE de operadoras diferentes ($a = 0.98$ cada). Passos: calcule a indisponibilidade para $\beta$ = 0, 0,05 e 0,2; nomeie duas causas comuns reais que esses caminhos ainda poderiam compartilhar. Evidência esperada: três números e duas causas. Rubrica: 3 = números corretos e causas compartilhadas plausíveis (energia da instalação, torre ou backhaul compartilhados, mesmo firmware de modem); 2 = causas genéricas; 1 = um número; 0 = nada.
Síntese do capítulo
Probabilidade é um modelo; diga de que tipo. A regra de Bayes torna as taxas-base decisivas para os alarmes; a redundância só funciona na medida em que as falhas são independentes, e as causas comuns — incluindo vulnerabilidades compartilhadas — geralmente dominam. O modelo de Poisson é um ponto de partida para eventos raros. Descreva os dados com dispersão, tamanho da amostra e método de coleta, e nunca trate a ausência de falhas observadas como prova de segurança.
Continue estudando — capítulo 07 de 50
← Capítulo 06 · Índice de capítulos do curso · Capítulo 08 →
Siga para a próxima lição escrita.