Capítulo 27 — Implantação e validação
Mapa da aula
Aula 27 publicada. Mapa, exemplo, EX079.
flowchart TD
N0["27.1 A mudança"]
N1["27.2 O plano"]
N2["27.3 Verificações de validação"]
N3["27.4 Registro"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX079"]
Desenho lógico
flowchart LR
N0["27.1 A mudança"]
N1["27.2 O plano"]
N2["27.3 Verificações de validação"]
N3["27.4 Registro"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX079"]
[27.1 A mudança]
|
v
[27.2 O plano]
|
v
[27.3 Verificações de validação]
|
v
[27.4 Registro]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX079]
Objetivos de aprendizagem
Você vai (1) planejar a implantação de uma mudança de segurança num local de TO; (2) definir verificações de validação e a reversão; (3) coordenar com a operação e as empresas contratadas; e (4) registrar a implantação como evidência.
27.1 A mudança
A NCS vai implantar o novo conjunto de regras de firewall da zona de controle, que substitui a regra 9 por fluxos explícitos. A mudança é pequena no texto, mas grande no efeito: se faltar um fluxo necessário, uma HMI pode perder os valores do seu CLP ou o historiador pode parar de registrar. A primeira implantação de Priya provou isso: faltava na matriz a consulta do historiador ao PLC-R2, e o HIST perdeu essas tags quatro minutos depois da mudança. O fluxo não tinha aparecido na janela de captura de 72 horas, e ninguém o tinha listado de memória. O plano de reversão, ensaiado de antemão, foi o que transformou essa lacuna numa interrupção de cinco minutos em vez de uma manhã perdida de registros de temperatura.
27.2 O plano
Pré-requisitos: matriz de fluxos aprovada (Capítulo 12); regras revisadas por uma segunda pessoa; testadas num firewall de bancada com tráfego reproduzido; janela de manutenção combinada para um período de baixa carga; empresa contratada de plantão. Passos: fazer backup do conjunto de regras atual; aplicar o conjunto novo; validar; monitorar por 24 horas. Reversão: restaurar o backup, o que leva dois minutos e é ensaiado. A implantação de Priya usou esse plano numa terça-feira às 06:00. Às 06:04, o HIST parou de receber as tags do PLC-R2; ela reverteu às 06:09 e os valores voltaram. O fluxo que faltava foi acrescentado com a confirmação do fornecedor do historiador, e a segunda implantação, na quinta-feira, passou nas quatro verificações de validação.
27.3 Verificações de validação
Definidas de antemão e observáveis: a HMI-C mostra valores ao vivo dos dois CLPs; o HIST registra novos pontos de dados para todos os grupos de tags; os envios do GW-LOG têm sucesso; o teste do OFFICE-7 para o PLC-R2:502 é recusado e registrado. Qualquer falha nas três primeiras dispara a reversão, a menos que seja corrigida em dez minutos. Na tentativa de terça-feira, a segunda verificação falhou: o HIST parou de registrar o grupo de tags do PLC-R2 às 06:04. Como a falha era compreendida mas não corrigível em dez minutos, Priya reverteu às 06:09 em vez de editar regras ao vivo. A quarta verificação é a de segurança; ela passou nas duas vezes, o que mostra que um conjunto de regras pode ser seguro e ainda assim quebrar a operação.
27.4 Registro
Registre os horários, quem fez o quê, o hash dos conjuntos de regras antigo e novo, os resultados da validação e quaisquer desvios. Esse registro é evidência para a avaliação do Capítulo 23 e para auditorias futuras. O registro de Priya das duas implantações mostra o valor disso: a entrada de terça-feira lista a falha das 06:04, a reversão das 06:09 e o fluxo HIST → PLC-R2 ausente como causa; a entrada de quinta-feira lista o hash do conjunto de regras corrigido e as quatro verificações aprovadas. A avaliação do Capítulo 23 cita as duas, e um auditor que a leia depois pode ver que a primeira tentativa falhou com segurança, o que é em si evidência de que a reversão funciona.
Exemplo resolvido (NCS sintética)
Implantação na terça-feira, às 06:00. Às 06:04, o HIST para de receber as tags do PLC-R2: a matriz listava só HIST → PLC-R1, porque a consulta do historiador ao PLC-R2 tinha escapado à janela de observação. Priya reverte às 06:09, os valores voltam, e o fluxo que faltava é acrescentado à matriz com a confirmação do fornecedor do historiador. A segunda implantação, na quinta-feira, passa nas quatro verificações.
Caso sintético — Northgate Cold Storage. A linha do tempo é inventada.
Erros e limites
Os testes de bancada não conseguem reproduzir todos os comportamentos dos dispositivos. A validação só cobre o que você pensou em verificar; continue monitorando depois da janela.
Exercícios
- EX079 — Ordenando os passos. Ponha em ordem: validar, aplicar as regras novas, fazer backup das regras atuais, monitorar por 24 h. Rubrica: 3 = backup, aplicar, validar, monitorar; 2 = uma troca; 1 = aleatório; 0 = nada.
- EX080 — Por que o fluxo do HIST escapou. Explique como o fluxo ausente passou pela matriz e como evitar isso da próxima vez. Rubrica: 3 = janela de observação/consulta do historiador não capturada; confirmar com os responsáveis e capturas mais longas; 2 = um; 1 = culpar alguém; 0 = nada.
- EX081 — Um critério de reversão. Escreva o critério de reversão para a verificação do GW-LOG. Rubrica: 3 = envios falhando por > 10 minutos depois da mudança → reverter; 2 = tempo vago; 1 = tentativa mínima; 0 = nada.
Síntese
A implantação em TO é planejada, validada contra verificações definidas de antemão, reversível em minutos e registrada como evidência — e a reversão é um sucesso, não um fracasso.
Continue estudando — capítulo 27 de 30
← Capítulo 26 · Índice de capítulos do curso · Capítulo 28 →
Siga para a próxima lição escrita.