Capítulo 6 — Segurança quântica e pós-quântica: avaliação controlada
Mapa da aula
Aula 06 publicada. Mapa, exemplo, EX026.
flowchart TD
N0["6.1 Perguntas de avaliação"]
N1["6.2 Limiares antes dos dados"]
N2["6.3 Atividade prática — Laboratório K"]
N3["6.4 Matrizes de interoperabilidade"]
N4["6.5 Validade"]
N5["6.6 Caso resolvido"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX026"]
Desenho lógico
flowchart LR
N0["6.1 Perguntas de avaliação"]
N1["6.2 Limiares antes dos dados"]
N2["6.3 Atividade prática — Laboratório K"]
N3["6.4 Matrizes de interoperabilidade"]
N4["6.5 Validade"]
N5["6.6 Caso resolvido"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX026"]
[6.1 Perguntas de avaliação]
|
v
[6.2 Limiares antes dos dados]
|
v
[6.3 Atividade prática — Laboratório K]
|
v
[6.4 Matrizes de interoperabilidade]
|
v
[6.5 Validade]
|
v
[6.6 Caso resolvido]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX026]
Objetivos de aprendizagem
Você vai (1) projetar avaliações controladas das mudanças da migração; (2) definir os limiares de decisão antes de coletar os dados; (3) usar limites de confiança nas decisões de implantação em estágios; (4) avaliar a interoperabilidade num parque heterogêneo; e (5) relatar os resultados da avaliação com os seus limites de validade.
6.1 Perguntas de avaliação
A avaliação especializada responde a perguntas de decisão: ativar um grupo híbrido no gateway do PACS mantém as taxas de falha dentro do orçamento? O ML-DSA na PKI interna quebra alguma aplicação clínica? Quais versões de firmware de VPN negociam os métodos pretendidos? Cada pergunta precisa de uma população, uma medida, um limiar definido com antecedência e uma regra de decisão.
Na NRHT, a pergunta do gateway do PACS foi respondida com uma população de tipos reais de cliente, uma medida de taxa de falhas, um limiar de 0,09 % acordado com antecedência e uma regra para promover, segurar ou excluir. Escreva os mesmos quatro elementos para cada pergunta antes de coletar os dados, e arquive-os com o registro de mudança.
6.2 Limiares antes dos dados
Defina os orçamentos de falhas e os limiares de latência antes do experimento, acordados com os responsáveis pelos serviços. Os limiares definidos depois derivam para o que quer que os dados mostrem. Um orçamento típico: a taxa de falhas de handshake pode subir no máximo 0,04 ponto percentual acima da referência, julgada pelo limite superior de confiança de 95 %.
Acorde o orçamento por escrito com o responsável pelo serviço e registre-o antes do primeiro canário. Na NRHT, o orçamento de 0,04 ponto percentual sobre uma referência de 0,05 % produziu o limiar de 0,09 % usado no gateway do PACS. Se o orçamento precisar mudar, mude-o antes do próximo estágio, e não depois de olhar os resultados.
6.3 Atividade prática — Laboratório K
# Lab K (ch 6): canary gate for enabling a hybrid group - promote only if failures stay within budget.
import math
def upper95(k, n): # Wilson upper bound
z = 1.96; p = k / n; d = 1 + z*z/n
return ((p + z*z/(2*n)) + z*math.sqrt(p*(1-p)/n + z*z/(4*n*n))) / d
baseline, budget = 5e-4, 4e-4 # baseline failure rate, allowed increase
for stage, k, n in [("1% canary", 3, 5000), ("10% canary", 28, 50000), ("10% canary (proxy site)", 96, 50000)]:
ub = upper95(k, n); ok = ub <= baseline + budget
print(f"{stage:24s} {k}/{n} upper95={ub:.5f} {'PROMOTE' if ok else 'HOLD'}")
Saída esperada:
1% canary 3/5000 upper95=0.00176 HOLD
10% canary 28/50000 upper95=0.00081 PROMOTE
10% canary (proxy site) 96/50000 upper95=0.00234 HOLD
O primeiro estágio é segurado pela incerteza, e não por evidência de dano; o local com proxy é segurado por evidência de dano. São achados diferentes e merecem ações diferentes — prorrogar o primeiro estágio; investigar o segundo.
O portão usa o limite superior de Wilson porque contagens pequenas de falhas tornam os intervalos mais simples pouco confiáveis. O primeiro estágio é segurado apenas porque 5.000 tentativas são poucas demais para mostrar que a taxa está dentro do orçamento. O local com proxy é segurado porque o seu limite superior fica bem acima do orçamento. Registre as duas decisões com o tamanho do estágio e a data.
6.4 Matrizes de interoperabilidade
Os hospitais têm caudas longas de clientes: navegadores antigos em estações clínicas, navegadores embutidos em dispositivos, sistemas de parceiros. Uma matriz de interoperabilidade lista os tipos de cliente × as configurações de servidor, com os resultados observados. Construa-a primeiro num laboratório com clientes representativos e depois confirme com a telemetria de produção. As lacunas da matriz são desconhecidos a resolver antes de uma implantação ampla.
Na NRHT, a matriz de laboratório com 14 tipos de cliente encontrou dois visualizadores embutidos que falhavam com o ClientHello maior antes de qualquer implantação em produção. Mantenha a matriz com datas e versões, e atualize-a à medida que os clientes são atualizados ou aposentados. Uma célula marcada como desconhecida bloqueia a implantação ampla até ser preenchida.
6.5 Validade
As avaliações de laboratório têm limites de validade externa: os proxies de inspeção reais, as condições de Wi-Fi e o firmware dos dispositivos diferem. Os canários de produção têm limites de validade interna: mudanças concorrentes e ciclos semanais. Relate os dois e prefira as conclusões sustentadas pelas evidências do laboratório e do canário juntas.
Declare em cada relatório de avaliação quais conclusões se apoiam em evidências de laboratório, quais em evidências de canário e quais em ambas. Na NRHT, o problema do proxy de inspeção apareceu num canário de produção, e não no laboratório, e é por isso que os dois tipos de evidência são necessários. Liste as mudanças concorrentes durante o período do canário.
6.6 Caso resolvido
A NRHT avalia a troca de chaves híbrida no gateway do PACS. Limiar pré-definido: limite superior ≤ 0,09 % de falhas. Matriz de laboratório: 14 tipos de cliente; dois visualizadores embutidos falham com o ClientHello maior. Canário de 1 %, prorrogado para duas semanas até o limite superior cair dentro do limiar: promover. Canário de 10 %: um hospital excede o limiar — o seu proxy de inspeção legado. Decisão: excluir esse hospital, atualizar o proxy, continuar nos demais; os dois visualizadores embutidos são encaminhados por um listener apenas clássico, com risco residual documentado e um chamado aberto com o fornecedor.
A decisão trata cada problema separadamente, o que os resultados agregados teriam escondido. Registre o hospital excluído e o listener apenas clássico no registro de exceções, cada um com um responsável e uma data de expiração.
6.7 Erros comuns e limites
- Definir os limiares depois de ver os dados.
- Agregar os locais, o que esconde um local com falhas.
- Conclusões apenas de laboratório para decisões de produção.
Cada erro tem uma salvaguarda na avaliação do PACS: um limiar acordado antes de qualquer dado, resultados relatados por local e decisões baseadas tanto na matriz de laboratório quanto nos canários de produção. Um resultado agregado que parece aceitável pode esconder um local como o hospital com o proxy legado. Escreva o limiar, a divisão por local e a fonte das evidências em toda decisão de implantação, para que um revisor possa conferir cada uma.
Exercícios
- EX026 — Regra de decisão. Escreva uma regra de decisão para promover um canário que inclua limiar, estatística e duração mínima. Rubrica: 3 = os três, justificados.
- EX027 — Interpretar as retenções. Explique as ações diferentes para a primeira e a terceira retenção do Laboratório K. Rubrica: 3 = ampliar a amostra vs. investigar a causa.
- EX028 — Projeto da matriz. Liste seis tipos de cliente que a NRHT precisa incluir na sua matriz de interoperabilidade. Rubrica: 3 = seis tipos realistas e distintos.
- EX029 — Agregação. Dê um exemplo numérico em que os resultados agregados passam, mas um local falha. Rubrica: 3 = aritmética correta mostrando o mascaramento.
- EX030 — Declaração de validade. Escreva um parágrafo de validade para a avaliação do PACS. Rubrica: 3 = limites internos e externos, com os efeitos.
Síntese
A avaliação controlada fixa os limiares com antecedência, usa limites de confiança, mapeia a interoperabilidade nas populações reais de clientes e relata os limites de validade, para que as decisões de implantação se apoiem em evidências, e não em esperança.
Continue estudando — capítulo 06 de 12
← Capítulo 05 · Índice de capítulos do curso · Capítulo 07 →
Siga para a próxima lição escrita.