AI for Critical Infrastructure: NIS2, SCADA & ENISA

Comunicações para as quedas do alimentador

A telemetria permanece dentro da fábrica

Eletricidade, água, transportes, telecomunicações e renováveis. Uma razão para cada ação que chega até si.

Pergunta, e uma pessoa pode mostrar-lhe a razão em palavras simples, e repeti-la se quiser.

A eletricidade falha e dizem-lhe que o algoritmo decidiu. Nada por trás que possa ler.

Anos mais tarde, a mesma sequência pode ser reproduzida exatamente. Uma comissão de inquérito vê o que o operador viu, passo a passo.

A resposta nomeia o alimentador, o limite que ultrapassou e a medição que o ultrapassou. Em palavras simples, não uma pontuação nem um cartão de modelo.

As regras europeias dão aos operadores o dever de explicar decisões automáticas que afetam os serviços de que depende. Tem o direito de perguntar.

Um alimentador perto da sua rua dispara às duas e meia da manhã. A sua eletricidade falha. Hoje, o operador raramente lhe pode dizer qual parte da rede causou isso.

IA que continua a funcionar durante uma tempestade

Quando a ligação a uma subestação falha, a decisão prossegue.

A sua telemetria permanece na instalação

Uma plataforma, três posturas. Sem re-plataformização entre elas.

A evidência está no rastreio, não no diapositivo.

Três posturas de implementação como limites de segurança aninhados em torno da instalação

Decide a partir do último instantâneo de telemetria

Totalmente isolado. As atualizações chegam em suporte assinado. Sem verificação de licença, sem chamada para casa, sem interruptor de desligamento externo. Continua a decidir quando a ligação cai.

96% menos energia do que uma pilha generativa

A plataforma completa em CPUs padrão atrás da sua própria firewall. Sem obrigação de GPU. O mesmo rastreio, totalmente sob o seu controlo.

Os seus servidores, o seu centro de dados

Usa o barramento de eventos que já opera

Implementado dentro da OT-DMZ em hardware do operador. Nenhuma telemetria cruza um limite que não aprovou. Sem projeto de infraestrutura para iniciar.

Limiares inventados são eventos de segurança

Um modelo que confabula um limiar ou inventa uma sequência de controlo não é um problema de exatidão em OT. É um incidente de segurança.

Limiar plausível, possivelmente inventado

A IEC 62443 não perdoa uma resposta criativa

Sem rasto reproduzível, sem relatório NIS2

Quando um relatório de incidente NIS2 é apresentado, o regulador quer o rasto de evidências de como a decisão foi tomada. Uma pontuação vermelha não traz derivação.

Uma pontuação vermelha sem nada por trás

Um relatório NIS2 quer o rasto de evidências

As entidades essenciais da CER não podem depender de inferência em nuvem estrangeira. A Lei CLOUD alcança os dados OT da mesma forma que alcança os dados financeiros.

Inferência alojada fora da sua jurisdição

O acreditador quer que esteja onde o operador vive

Uma ferramenta de anomalias dependente da nuvem é inútil às 02:32 quando a ligação de comunicações para a subestação mais distante está em baixo. A decisão ainda tem de ser tomada.

Congelado no último fotograma, sem resposta

O isolamento de rede é a base, não uma funcionalidade

Quatro razões estruturais pelas quais um modelo generativo não sobrevive a uma mudança de tempestade. Mantido como o problema, não como o argumento de venda.

Não é um registo que falha silenciosamente ao reproduzir

O mesmo registo é reproduzido anos depois, verificável de forma independente

Se uma autoridade de proteção de dados ou um regulador nacional de resiliência perguntar mais tarde como foi tomada uma decisão, o operador mostra o mesmo raciocínio que veria, com os mesmos dados, contra a mesma versão da regra.

Sem endpoint alojado nos EUA, sem dependência de saída por predefinição

Alojado no operador ou em nuvem soberana da UE

As leituras de sensores, os estados de ativos e os dados operacionais são processados em hardware dentro da fábrica ou dentro do Espaço Económico Europeu. Sem transferência transatlântica. Nenhum tribunal estrangeiro pode desligá-lo ou exigir acesso.

Sem piloto automático em que a máquina age e você descobre depois

Uma pessoa no circuito em cada ação consequente

Cada recomendação inclui um caminho de um clique para uma pessoa. O operador vê o que o sistema viu, na ordem em que viu, e confirma ou anula. A anulação é registada da mesma forma que o alerta.

Não é uma pontuação de probabilidade sem nada por trás

Direito a uma resposta clara, por escrito

Quando o sistema dispara um alimentador, segura uma válvula ou sinaliza algo, pode perguntar porquê e obter uma resposta escrita. Nomeia o ativo, o limite e a medição que o ultrapassou. O raciocínio real, numa linguagem que um cidadão pode seguir.

Carga, falha, cibernética, manutenção, renováveis, água, incidente, crise. Um registo por decisão.

Diagrama unifilar da subestação durante a cascata da tempestade

O supervisor da manhã pede o registo do incidente. Tudo o que tem é um screenshot das 02:32 e um email que escreveu às 03:15. Esta é a noite que tem de mudar.

O gestor de operações desliga o alimentador F-12 e coloca a restauração na fila. Trinta segundos, feitos por instinto, porque nada no ecrã se consegue explicar.

As comunicações para o alimentador mais distante caem. A ferramenta de anomalias na nuvem congela no último frame. Uma pontuação vermelha sem regra, sem limiar, sem ativo por trás.

Três subestações alarmam ao mesmo tempo. A corrente diferencial sobe no alimentador F-12. A parede enche-se de vermelho mais rápido do que alguém consegue ler.

Uma linha de trovoadas atravessa a região. O painel está verde. A equipa da noite são duas pessoas e uma máquina de café.

A telemetria permanece dentro da instalação

SHA3-256 encadeado, assinado com Ed25519

Quatro campos em cada decisão. Ativo, regra, ação, replay. Verificável offline.

OT-DMZ ou air-gap no hardware do operador, testemunha no barramento de eventos existente.

Uma testemunha é emitida, SHA3-256 encadeado, assinada com Ed25519, verificável offline.

A versão da política em vigor na data do evento é fixada, não a atual de hoje.

Especialistas de domínio OT orientam a decisão, as restrições que dispararam são registadas em linha.

O mesmo artefacto chega ao relatório NIS2 e ao historiador sem dupla escrita.

Verificação offline, legível pelo supervisor

As testemunhas são assinadas com Ed25519 e seladas com SHA3-256 na cadeia de prova. Um supervisor verifica offline, sem serviço criptográfico de fornecedor no caminho.

Armazenamento de incidentes + historiador

O mesmo artefacto de testemunha chega ao armazenamento de incidentes NIS2 e ao historiador operacional ao mesmo tempo, em regiões da UE, sem dupla escrita para manter em sincronia.

As decisões e testemunhas são publicadas no fluxo de eventos que o operador já mantém para eventos SCADA e de auditoria. Sem novo projeto de integração.

Num caso limpo, a testemunha está vazia e o caminho de fios permanece inalterado. Quando uma decisão é consequente, a fatia acumula ativo, regra, ação e repetição.

Casos de utilização, infraestruturas críticas

Uma linha de trovoadas atravessa a região às 02:30. Alarmes em cascata em três subestações, a ligação de comunicações ao alimentador mais distante cai e a ferramenta de anomalias na parede mostra uma pontuação vermelha sem motivo. O gestor de operações tem trinta segundos para decidir e nada para mostrar ao regulador na manhã seguinte. Esta é a noite que muda tudo.

A frente de tempestade atravessa a região

Comunicações para o alimentador F-12 caem

Escolha um fluxo de trabalho: previsão de carga, deteção de falhas, cibersegurança OT, manutenção preditiva, integração de energias renováveis, gestão de água e resíduos, resposta a incidentes ou ensaio de crise. Execute-o no hardware do operador atrás da sua DMZ OT e observe o registo do incidente a ser montado à medida que o turno avança. Totalmente isolado, se necessário, sem reestruturação entre posturas.

PORQUE É QUE A IA GENÉRICA FALHA NO TURNO

Inventa um limiar em vez de citar o que disparou.

Uma pontuação vermelha não é um registo de incidente que o regulador possa ler.

A inferência alojada no estrangeiro falha os requisitos do CER e da NIS2.

Deixa de funcionar quando a ligação de comunicações à subestação cai.

Cada alerta nomeia o ativo, o limiar e a regra. Sem pontuação vermelha sem nada por trás.

A capacidade de isolamento significa que a plataforma continua a decidir quando as comunicações com a subestação falham.

O operador dispara o disjuntor correto com um clique. A anulação é registada da mesma forma que o alerta original.

O pedido do regulador é uma recuperação, pronta às 09:00 em vez de reconstruída a partir de um screenshot.

Porque é que o alimentador F-12 foi desligado às 02:32 durante a cascata de tempestade?

Escolha o alarme, a falha, o alerta cibernético ou a marca de manutenção que o regulador nomeou.

Anexe o instantâneo de telemetria e a versão da política que a decisão usou.

Ativo, regra, ação e estado do operador são registados à medida que o turno avança.

A mesma decisão volta bit-idêntica, em menos de um minuto.

A resposta chega numa janela de chat sem versão de regra, sem referência de ativo e sem nada que o regulador possa reproduzir.