Capítulo 17 — Fundamentos de controle e realimentação

Mapa da aula

Aula 17 publicada. Mapa, exemplo, EX033.

flowchart TD
  N0["17.1 Programas como laços"]
  N1["17.2 Indicadores"]
  N2["17.3 Estabilidade"]
  N3["17.4 Portões de implantação como controladores"]
  N4["Nota de engenharia"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX033"]

Desenho lógico

flowchart LR
  N0["17.1 Programas como laços"]
  N1["17.2 Indicadores"]
  N2["17.3 Estabilidade"]
  N3["17.4 Portões de implantação como controladores"]
  N4["Nota de engenharia"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX033"]

[17.1 Programas como laços]
    |
    v
[17.2 Indicadores]
    |
    v
[17.3 Estabilidade]
    |
    v
[17.4 Portões de implantação como controladores]
    |
    v
[Nota de engenharia]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX033]

Objetivos de aprendizagem

Você vai (1) modelar um programa de migração como um laço de realimentação; (2) escolher indicadores antecedentes e consequentes; (3) reconhecer a instabilidade causada por correção excessiva; e (4) aplicar ideias de controle aos portões de implantação. O capítulo prepara as operações (Capítulo 37) e a otimização (Capítulo 41).

17.1 Programas como laços

Um laço de realimentação mede a saída, compara-a com um valor de referência e ajusta a entrada. Na migração, a "saída" é a parcela protegida do tráfego e dos ativos; o valor de referência é a trajetória-alvo; a entrada é o esforço de engenharia e o ritmo de implantação. Sem medição não há controle — só esperança.

O valor de referência da BPA é uma trajetória, por exemplo 50% das trocas de chaves externas híbridas no fim do primeiro ano e 90% no fim do segundo. A comparação mensal entre a parcela medida e a planejada orienta a alocação de esforço do mês seguinte.

17.2 Indicadores

Indicadores consequentes mostram resultados: porcentagem de trocas de chaves negociadas com grupos híbridos, parcela de certificados com assinaturas pós-quânticas, parcela de ativos desconhecidos. Indicadores antecedentes preveem resultados: fornecedores com roteiros de PQC assumidos, cobertura do CBOM, prontidão do ambiente de testes. Um painel precisa de ambos.

Os indicadores consequentes confirmam o progresso, mas chegam tarde demais para mudar o rumo; os antecedentes avisam cedo. Se a cobertura do CBOM estacionar em 71%, o número da parcela protegida vai parecer bom enquanto os ativos desconhecidos continuam sem medição. Associar cada indicador consequente ao antecedente que o move permite aos gestores agir antes de o resultado aparecer. Cada indicador tem uma definição e uma fonte de dados registradas, para que duas equipes não possam relatá-lo de formas diferentes.

17.3 Estabilidade

A correção excessiva causa oscilação: ativar grupos híbridos em toda parte depois de uma boa semana, reverter em toda parte depois de um dia ruim. A teoria de controle sugere amortecimento — passos menores, esperas para a medição e histerese (limiares diferentes para promover e para reverter).

Na prática, a BPA promove um passo de implantação somente após uma semana de dados limpos e reverte somente se o limite de falhas exceder o dobro do orçamento. A distância entre esses limiares é a histerese: um único dia ruim dentro da faixa provoca uma investigação, não uma reversão. As falhas também são delimitadas, então um problema num caminho é tratado apenas naquele caminho.

17.4 Portões de implantação como controladores

Um portão de canário é um controlador simples: aumente a exposição quando o limite superior de confiança da taxa de falhas estiver abaixo do orçamento, mantenha caso contrário e reverta só quando um limiar mais alto for ultrapassado. O Capítulo 37 implementa um.

Os limiares vêm do orçamento de falhas. Com um orçamento de 10^-5 e a regra de três, um passo precisa de cerca de 300.000 conexões limpas antes da promoção. Um limiar de reversão mais alto que o de promoção impede que o portão alterne para lá e para cá quando a taxa medida oscila perto do orçamento. Registrar cada decisão com os seus dados permite aos revisores conferir que o controlador se comportou como projetado.

17.5 Exemplo resolvido

O painel da BPA mostra negociação híbrida em 62% do tráfego do portal (consequente) e cobertura do CBOM em 71% dos ativos (antecedente). Os ativos desconhecidos somam 18%. A ação de controle: aumentar o esforço de inventário sobre os ativos desconhecidos em vez de empurrar mais o tráfego do portal, porque o risco maior está onde nada é medido.

Os 18% de ativos desconhecidos podem conter sistemas com dados de 25 anos que nenhuma implantação alcança, então encontrá-los reduz mais risco do que levar o tráfego do portal de 62% para 80%. O plano do mês seguinte designa dois engenheiros para o inventário e fixa a meta de reduzir à metade a parcela desconhecida.

17.6 Erros comuns e limites

• Painéis só com indicadores consequentes.
• Reverter globalmente por causa de falhas locais (correção excessiva).
• Medir os algoritmos configurados em vez dos negociados.

Um painel só com porcentagens de negociação não consegue avisar que o inventário estacionou. As reversões globais descartam o progresso feito em todos os caminhos saudáveis. Medir os algoritmos configurados conta servidores onde o híbrido está ativado, mas nunca é negociado, por exemplo porque os clientes não o oferecem; a BPA lê o grupo negociado nos logs de sessão, que é o único número que reflete a proteção real do tráfego, e o compara todo mês com a parcela configurada.

Nota de engenharia

O atraso de medição importa neste laço. A telemetria passiva pode ficar um dia atrás das mudanças de configuração; as mudanças do lado dos parceiros podem atrasar semanas. Um controlador que reage mais depressa do que os seus sensores oscila, então o ritmo de implantação precisa ser mais lento do que a medição relevante mais lenta. Na prática, a BPA define decisões semanais de promoção para os serviços internos e revisões mensais para as interfaces com parceiros, e registra o atraso de medição ao lado de cada indicador, para que ninguém confunda o retrato de ontem com o estado de hoje.

Exercícios

• EX033 — Indicadores. Proponha três indicadores antecedentes e três consequentes para a BPA. Rubrica: 3 = mensuráveis, com responsável nomeado.
• EX034 — Histerese. Projete limiares de promover/manter/reverter para a implantação de um grupo híbrido. Rubrica: 3 = limiares distintos, com justificativa.

Síntese

Uma migração é um processo controlado: meça os resultados negociados, combine indicadores antecedentes e consequentes, amorteça as correções e use portões com histerese.