Capítulo 32 — Segurança de TO, IoT e sistemas ciberfísicos: confiabilidade
Mapa da aula
Aula 32 publicada. Mapa, exemplo, EX094.
flowchart TD
N0["32.1 Metas"]
N1["32.2 Novas tentativas"]
N2["32.3 Degradação segura"]
N3["Nota prática"]
N4["32.1b Orçamentos de erro e verificações de saúde"]
N5["Nota de campo — contrapressão da fila"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX094"]
Desenho lógico
flowchart LR
N0["32.1 Metas"]
N1["32.2 Novas tentativas"]
N2["32.3 Degradação segura"]
N3["Nota prática"]
N4["32.1b Orçamentos de erro e verificações de saúde"]
N5["Nota de campo — contrapressão da fila"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX094"]
[32.1 Metas]
|
v
[32.2 Novas tentativas]
|
v
[32.3 Degradação segura]
|
v
[Nota prática]
|
v
[32.1b Orçamentos de erro e verificações de saúde]
|
v
[Nota de campo — contrapressão da fila]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX094]
Objetivos de aprendizagem
Você vai (1) definir metas de disponibilidade para as ferramentas de segurança de TO; (2) usar novas tentativas com orçamentos que respeitem o tempo de ciclo; (3) degradar com segurança quando uma dependência falha.
32.1 Metas
Caminho de permitir/negar durante as janelas: alta disponibilidade. Painéis de cobertura: melhor esforço. Declare a meta; não insinue cinco noves sem um orçamento.
Na ABP, o caminho de negação do monitor serial precisa funcionar durante toda janela, enquanto o painel de cobertura pode ficar indisponível por uma hora sem dano. Lena escreve as duas metas com o orçamento por trás de cada uma, para que ninguém presuma que o painel precisa do mesmo cuidado que a imposição, nem que a imposição tolera as indisponibilidades do painel. As metas são revistas todo ano.
32.2 Novas tentativas
As novas tentativas ajudam nos uploads instáveis de evidências, mas precisam de um prazo para que o orçamento do tronco continue valendo. Limite o total de tentativas.
O enviador de evidências de Lena na ABP tenta de novo com atrasos crescentes e desiste depois de um número fixo de tentativas ou de um prazo, o que vier primeiro. Os uploads que falham ficam enfileirados em disco e são relatados, então nada se perde. As novas tentativas nunca rodam no tronco até o PLC-A, onde poderiam tomar o lugar do tráfego de controle e quebrar o orçamento do ciclo. Os limites são escritos na permissão.
32.3 Degradação segura
Se o repositório de constatações cair, continue negando/permitindo localmente e enfileire os rascunhos em disco — nunca falhe aberto nas verificações de política.
Caso sintético — Ashford Batch Plant. Durante uma indisponibilidade do repositório de constatações, a fila do laptop de Lena guardou os rascunhos; o monitor serial continuou negando as escritas fora da faixa.
Lena testa esse modo degradado no Laboratório II, na bancada. Durante uma indisponibilidade real do repositório de constatações, os rascunhos ficaram enfileirados no laptop de Lena e o monitor serial continuou negando as escritas fora da faixa. Depois de cada indisponibilidade, Lena confirma que todo rascunho enfileirado chegou ao repositório, comparando as contagens com o log da fila.
32.4 Erros e limites
Novas tentativas contra um tronco com limite de taxa podem parecer inundações; coordene os orçamentos com a permissão de trabalho.
A permissão de trabalho de Lena na ABP declara a taxa máxima de pedidos para qualquer tráfego de avaliação em cada tronco, incluindo as novas tentativas. Se as novas tentativas fossem ultrapassá-la, a ferramenta espera. Ela coordena com a equipe de monitoramento do site antes de uma janela, para que uma rajada de novas tentativas não seja confundida com um ataque e não dispare uma resposta a incidentes desnecessária. As taxas são definidas com os engenheiros de controle. Elas são revistas anualmente.
Nota prática
Quando a fila de rascunhos de constatações do monitor passar de um limite, o líder da janela para de iniciar novos métodos de descoberta e é acionado. Varreduras não registradas enquanto as constatações não podem ser gravadas criam risco.
32.1b Orçamentos de erro e verificações de saúde
O caminho de negação do monitor tem o seu próprio orçamento de erro, separado do orçamento de melhor esforço do painel do CNHP. Verifique a saúde do armazenamento de políticas e do destino dos eventos no início da janela. Começar uma janela às cegas e descobrir um destino quebrado no meio de uma varredura é uma falha de operação que este capítulo pretende evitar. Uma verificação de saúde que falha atrasa o início da janela; as verificações nunca são encurtadas para ganhar tempo.
Experimentos de caos rodam apenas em ambientes sintéticos, nunca durante a janela assinada de um cliente. Registre os ids dos experimentos separadamente dos ids das janelas, para que as métricas não se misturem. Os dois orçamentos são publicados.
Nota de campo — contrapressão da fila
Quando a fila de rascunhos chegou a 50 durante uma indisponibilidade do repositório, a descoberta no estilo Track parou automaticamente e acionou Lena. A negação/permissão continuou. O limite de 50 foi escolhido para que a fila guarde uma noite inteira de rascunhos com folga.
32.5 Exemplo resolvido — degradando com segurança quando o coletor falha (ABP sintética)
O coletor de monitoramento do CNHP fica numa porta espelhada. Se ele falhar, nada no processo deve mudar: o projeto mantém o coletor fora de todo caminho de controle. As metas de confiabilidade de Lena dizem respeito às evidências, não à produção: 99,5 % de disponibilidade de captura por mês e alertas para perdas acima de 0,1 %. As novas tentativas até o repositório central usam recuo exponencial com um teto, para que uma indisponibilidade do repositório não inunde o enlace da DMZ compartilhado com a réplica do historiador. Quando a fila enche, o coletor descarta os pacotes brutos mais antigos, mas mantém os registros de resumo, e gera um alerta de "visibilidade degradada" para que os analistas saibam que a ausência de alertas significa menos.
Exercícios
- EX094 — Meta. Frase de disponibilidade para o caminho de negação. Rubrica: 3 = meta por janela + medida; 2 = "alta" vago; 1 = piada dos cinco noves; 0 = nada.
- EX095 — Degradar. O que nunca pode degradar para ALLOW? Rubrica: 3 = decisões de política/lista de permissões; 2 = parcial; 1 = interface; 0 = errado.
- EX096 — Fila. Regra de contrapressão quando a fila de rascunhos está longa. Rubrica: 3 = parar a nova descoberta + acionar; 2 = parcial; 1 = ignorar; 0 = nada.
Síntese
Negações confiáveis, novas tentativas com orçamento, degradação fechada.
Continue estudando — capítulo 32 de 50
← Capítulo 31 · Índice de capítulos do curso · Capítulo 33 →
Siga para a próxima lição escrita.