Capítulo 5 — Proposta e piloto

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX027.

flowchart TD
  N0["5.1 Esqueleto da proposta"]
  N1["5.2 Propósito do piloto"]
  N2["5.4 Checklist da proposta antes da revisão do orient"]
  N3["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX027"]

Desenho lógico

flowchart LR
  N0["5.1 Esqueleto da proposta"]
  N1["5.2 Propósito do piloto"]
  N2["5.4 Checklist da proposta antes da revisão do orient"]
  N3["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> Q["EX027"]

[5.1 Esqueleto da proposta]
    |
    v
[5.2 Propósito do piloto]
    |
    v
[5.4 Checklist da proposta antes da revisão do orient]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX027]

Objetivos de aprendizagem e conexão

Depois deste capítulo, você consegue (1) escrever uma proposta com hipóteses e condições de abandono, (2) definir critérios de prosseguir/parar para o piloto numa bancada e (3) manter os dados do piloto fora dos testes de hipóteses.

5.1 Esqueleto da proposta

Pergunta; lacuna; hipóteses H1–H4 (incluindo a de falha); classes de atacante A/B do modelo de atacante; sistemas (simulador, bancada R2); métricas; plano de análise; ética e segurança; cronograma; condições de abandono (a bancada não pode ser tornada segura; o simulador falha na verificação).

Os orientadores leem as propostas em busca de decidibilidade: um leitor consegue dizer que evidência sustentaria H1 e que evidência a refutaria? "O CUSUM é melhor" não é decidível; "revocação por evento ≥95% com atraso médio ≤60 passos e execuções com alarme falso ≤ as do alarme de faixa" é. Coloque a hipótese de falha H4 na mesma tabela que H1–H3, para que ela não possa ser descartada discretamente depois.

Declare também o que você não vai fazer: nenhum sistema de produção, nenhum desenvolvimento de exploit específico de produto, nenhuma alegação sobre setores fora das malhas de armazenamento de água. As exclusões de escopo são tão importantes quanto as inclusões.

5.2 Propósito do piloto

Apenas viabilidade: a R2 consegue executar o replay com segurança? O historiador registra a 1 Hz? A válvula boia funciona? Critérios de prosseguir declarados de antemão: três execuções consecutivas sem acionamento da válvula boia, perda de registros <1%, parada de emergência testada. Os dados do piloto não testam H1–H4.

Um piloto que "parece promissor" tenta você a espiar. Resista escrevendo a folha de prosseguir/parar antes da primeira execução do piloto e guardando os traços do piloto num diretório que o código de análise se recusa a ler. Se o piloto falhar, você aprendeu que a bancada precisa de trabalho — que é justamente o objetivo —, não que o detector é ruim. Documente quem detém a autoridade de parada e teste a parada de emergência em toda sessão, antes de os scripts de ataque rodarem.

5.3 Erros comuns e limites

Usar execuções do piloto para ajustar limiares que depois "validam" as mesmas execuções; não ter condição de abandono.

Mantenha os traços do piloto num diretório separado que o código de análise se recusa a ler e registre na proposta que os limiares são congelados apenas a partir das sementes de ajuste do simulador. Escreva as condições de abandono em termos mensuráveis: por exemplo, a bancada é abandonada se não for possível mostrar que a válvula boia aciona antes que a bandeja coletora encha. Sem essas condições, um estudo que está falhando simplesmente vai à deriva. Revise essas condições com o orientador antes da primeira execução do piloto.

5.4 Checklist da proposta antes da revisão do orientador

Antes de enviar a proposta, confirme: (1) H1–H4 têm números, e H4 é uma condição de falha que você está disposto a confirmar; (2) o modelo de atacante distingue a classe A da classe B; (3) as métricas incluem revocação por evento, atraso, execuções com alarme falso e transbordamento no alarme — não apenas F1 com ajuste por pontos; (4) os limites de segurança nomeiam uma camada independente e uma autoridade de parada; (5) existem condições de abandono; (6) o piloto não pode vazar para a validação, porque os caminhos estão separados. Um orientador que devolve a proposta com "escopo mais claro" está dando um presente; um orientador que aceita uma proposta vaga está preparando um ano doloroso.

Exercícios — capítulo 5

• EX027 — H1–H4 com limiares pela margem até o trip. Escreva H1–H4 com limiares numéricos justificados por uma margem até o trip declarada.
  Mostrar critérios de avaliação

  Rubrica: 3 = H1–H4 numéricas com justificativa pela margem até o trip; 2 = hipóteses sem justificativa; 1 = só H1; 0 = nenhum.
• EX028 — Prosseguir/parar com regras de segurança e de dados. Escreva critérios de prosseguir/parar que incluam uma regra de segurança e uma de qualidade dos dados.
  Mostrar critérios de avaliação

  Rubrica: 3 = prosseguir/parar com segurança + qualidade dos dados (válvula boia, perda de registros); 2 = um tipo de regra; 1 = "prosseguir" vago; 0 = nenhum.
• EX029 — Três condições de abandono. Liste três condições de abandono e o que você passaria a estudar em caso de abandono.
  Mostrar critérios de avaliação

  Rubrica: 3 = três condições de abandono + estudo alternativo; 2 = condições sem alternativa; 1 = uma; 0 = nenhum.
• EX030 — Tabela do modelo de atacante do Harbor Loop. Redija a tabela do modelo de atacante (capacidades, conhecimento, objetivo, fora do escopo).
  Mostrar critérios de avaliação

  Rubrica: 3 = tabela de capacidades/conhecimento/objetivo/fora do escopo para o Harbor Loop; 2 = falta uma coluna; 1 = só prosa; 0 = nenhum.
• EX031 — Por que os pilotos ficam fora da validação. Explique por que os traços do piloto não podem entrar no conjunto de validação.
  Mostrar critérios de avaliação

  Rubrica: 3 = o vazamento do piloto para a validação invalida o congelamento; 2 = "contaminação" sem ligação com o congelamento; 1 = vago; 0 = nenhum.
• EX032 — Avaliação de riscos para entrevistas com operadores. Escreva uma avaliação de riscos de um parágrafo para entrevistar os operadores Q01–Q08.
  Mostrar critérios de avaliação

  Rubrica: 3 = riscos para Q01–Q08 com mitigações (consentimento, anonimização, interrupção); 2 = riscos sem mitigações; 1 = um risco; 0 = nenhum.

Síntese do capítulo

Uma proposta que declara como pode falhar e um piloto que só pergunta se o estudo pode rodar com segurança protegem a dissertação contra modos de falha silenciosos.