Capítulo 17 — Fundamentos de controle e realimentação

Mapa da aula

Aula 17 publicada. Mapa, exemplo, EX049.

flowchart TD
  N0["17.1 Laços de realimentação"]
  N1["17.2 Escolhendo os sinais"]
  N2["17.3 Estabilidade"]
  N3["17.4 Manipulação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX049"]

Desenho lógico

flowchart LR
  N0["17.1 Laços de realimentação"]
  N1["17.2 Escolhendo os sinais"]
  N2["17.3 Estabilidade"]
  N3["17.4 Manipulação"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX049"]

[17.1 Laços de realimentação]
    |
    v
[17.2 Escolhendo os sinais]
    |
    v
[17.3 Estabilidade]
    |
    v
[17.4 Manipulação]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX049]

Objetivos de aprendizagem

Você vai (1) modelar controles de privacidade como laços de realimentação; (2) escolher sinais mensuráveis; (3) evitar controles instáveis ou manipuláveis.

17.1 Laços de realimentação

A engenharia de controle usa a realimentação: medir uma saída, comparar com uma meta e ajustar. Zara modela assim o processo de retenção da Pellmore. A saída é o número de registros vencidos; a meta é zero; o controlador é a tarefa de eliminação. Se a contagem subir, a tarefa roda com mais frequência ou uma pessoa investiga. Sem medição não há realimentação, o que explica por que a política no papel da Pellmore falhou. Ela desenha o laço e rotula cada elemento, o que ajuda os gestores a ver que o monitoramento faz parte do controle, e não é um acréscimo.

17.2 Escolhendo os sinais

Um laço de realimentação precisa de um sinal que reflita o objetivo. Para o controle de acesso, Zara considera o número de visualizações de prontuários sem consulta agendada. Uma contagem em alta pode indicar bisbilhotice por parte da equipe. Para o consentimento, a parcela de pacientes cujo registro de consentimento está ausente. Ela escolhe sinais baratos de calcular, difíceis de falsificar e diretamente ligados ao dano. Ela aprende com o Capítulo 29 de seu plano, que lê adiantado, que o desenho de medições virá a ser um tema completo mais tarde, mas mesmo sinais simples mudam comportamentos.

17.3 Estabilidade

Laços mal ajustados oscilam. Se a tarefa de eliminação apagar agressivamente sempre que a contagem subir, poderá remover registros sob preservação legal ou sobrecarregar o banco de dados. Zara acrescenta limites: um teto de eliminações por execução, uma lista de exclusões e um alerta se a contagem subir de repente, o que costuma indicar uma falha, e não um crescimento normal. Ela explica que, na privacidade como no controle físico, a estabilidade importa mais do que a velocidade: um processo lento e previsível é melhor do que um rápido que, de vez em quando, destrói registros que deveria guardar.

17.4 Manipulação

Qualquer meta medida pode ser manipulada. Se os gestores forem avaliados pelo número de registros vencidos, alguém poderia mudar a categoria dos registros para uma com prazo mais longo. Zara acrescenta um segundo sinal, que acompanha as mudanças de categoria e exige aprovação para elas. O Prof. Holm lembra à turma o aviso geral de que, quando uma medida vira meta, pode deixar de ser uma boa medida. Combinar sinais e manter uma revisão humana das anomalias reduz, embora nunca elimine, o risco de manipulação.

Exemplo resolvido

Zara modela a retenção como um laço de realimentação, escolhe sinais para bisbilhotice e consentimento ausente, acrescenta limites para a estabilidade e um segundo sinal para detectar manipulação.

Caso sintético. Os sinais e os limiares são sintéticos.

Erros e limites

Os sinais podem gerar alarmes falsos; revise os limiares depois dos primeiros meses de dados.

Exercícios

• EX049 — Realimentação ausente. Por que, em termos de controle, a política de retenção no papel falhou?
  Mostrar critérios de avaliação

  Rubrica: 3 = não havia medição, então nenhuma realimentação ajustava o processo;; 2 = menciona monitoramento;; 1 = outra causa;; 0 = nenhuma.
• EX050 — Sinal de bisbilhotice. Que sinal pode revelar bisbilhotice por parte da equipe?
  Mostrar critérios de avaliação

  Rubrica: 3 = visualizações de prontuários sem consulta agendada;; 2 = menciona visualizações;; 1 = vago;; 0 = nenhuma.
• EX051 — Defesa contra manipulação. Como Zara se protege da manipulação das categorias?
  Mostrar critérios de avaliação

  Rubrica: 3 = acompanha as mudanças de categoria e exige aprovação;; 2 = menciona monitoramento;; 1 = vago;; 0 = nenhuma.

Síntese

O capítulo 17 enquadra a privacidade como controle. O capítulo 18 projeta a arquitetura.