Capítulo 7 — Probabilidad y estadística | Ingeniería Seguridad de infraestructuras críticas y sectores

Aprendizaje gratuito y abierto para quienes desean proteger a las personas y la tecnología. No se necesita una cuenta para estudiar ni consultar las respuestas.

Mapa de la lección

Lección 07 publicada. Mapa, ejemplo, EX013.

flowchart TD
  N0["Resultados de aprendizaje y conexión"]
  N1["7.1 La probabilidad como modelo de la incertidumbre"]
  N2["7.2 La regla de Bayes y el problema de la tasa base"]
  N3["7.3 Redundancia y causa común"]
  N4["7.4 Eventos raros: el modelo de Poisson"]
  N5["7.5 Describir los datos con honestidad"]
  N6["7.7 Actividad práctica: Lab 4"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Ejemplo resuelto"]
  EX --> Q["Ejercicio EX013"]

Dibujo lógico

flowchart LR
  N0["Resultados de aprendizaje y conexión"]
  N1["7.1 La probabilidad como modelo de la incertidumbre"]
  N2["7.2 La regla de Bayes y el problema de la tasa base"]
  N3["7.3 Redundancia y causa común"]
  N4["7.4 Eventos raros: el modelo de Poisson"]
  N5["7.5 Describir los datos con honestidad"]
  N6["7.7 Actividad práctica: Lab 4"]
  N7["Síntesis del capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX013"]

[Resultados de aprendizaje y conexión]
    |
    v
[7.1 La probabilidad como modelo de la incertidumbre]
    |
    v
[7.2 La regla de Bayes y el problema de la tasa base]
    |
    v
[7.3 Redundancia y causa común]
    |
    v
[7.4 Eventos raros: el modelo de Poisson]
    |
    v
[7.5 Describir los datos con honestidad]
    |
    v
[7.7 Actividad práctica: Lab 4]
    |
    v
[Síntesis del capítulo]
    |
    v
[Ejemplo resuelto] --> [Ejercicio EX013]

Resultados de aprendizaje y conexión

Al terminar este capítulo, usted podrá (1) aplicar la regla de Bayes a las alarmas y explicar el problema de la tasa base; (2) calcular la disponibilidad de caminos redundantes con y sin falla de causa común; (3) modelar eventos raros con la distribución de Poisson; y (4) resumir datos con una incertidumbre honesta, incluido cuándo desconfiar de una muestra pequeña. Se apoya en los capítulos 1–6 y prepara los capítulos 23 (análisis de fallas), 29 (medición) y 32 (confiabilidad).

7.1 La probabilidad como modelo de la incertidumbre

Una probabilidad es un número entre 0 y 1 asociado a un evento bajo un modelo. Los ingenieros usan tres lecturas: frecuencia a largo plazo (fallas de bombas por año en una flota), grado de creencia (la estimación de un experto sobre la capacidad de un adversario) y margen de diseño (una meta como una disponibilidad del 99,9 %). Sea explícito sobre cuál quiere decir; mezclarlas es la forma en que los registros de riesgos se vuelven ficción. Las reglas básicas: $P(A \cup B) = P(A) + P(B) - P(A\cap B)$; $P(A \cap B) = P(A)P(B\mid A)$; la independencia significa $P(B\mid A) = P(B)$.

7.2 La regla de Bayes y el problema de la tasa base

$P(H\mid E) = P(E\mid H)P(H)/P(E)$. Aplíquela a una alarma de intrusión: suponga que los ataques ocurren en el 0,1 % de las ventanas horarias, que el detector se activa en el 95 % de los ataques (tasa de verdaderos positivos) y en el 1 % de las ventanas benignas (tasa de falsos positivos). La probabilidad de que una alarma signifique un ataque es solo de alrededor del 8,7 %. La mayoría de las alarmas son falsas incluso con un detector «99 % preciso», porque las ventanas benignas superan con mucho a los ataques. Por eso los operadores aprenden a ignorar las alarmas, y por eso el diseño de alarmas debe informar la tasa de alarmas esperada y el valor predictivo positivo, no solo la exactitud. Sommer y Paxson (2010) analizan este y otros obstáculos relacionados para la detección de anomalías en redes operativas.

7.3 Redundancia y causa común

Si un camino de comunicaciones está disponible con probabilidad $a$ y los caminos fallan de forma independiente, $n$ caminos dan $1-(1-a)^n$. La independencia es el supuesto que falla en la práctica: los caminos que comparten un alimentador eléctrico, un proveedor, una configuración o una vulnerabilidad explotable fallan juntos. El modelo del factor beta asigna una fracción $\beta$ de la indisponibilidad de cada unidad a causas comunes que inutilizan todas las unidades a la vez. Con $a = 0.98$ y $\beta = 0.05$, dos caminos tienen una indisponibilidad ≈ 0,00136 en lugar de 0,0004: la causa común domina. En seguridad, una vulnerabilidad de software idéntica en ambos caminos es una causa común con $\beta$ cercano a 1 frente a un adversario que la conoce.

7.4 Eventos raros: el modelo de Poisson

Si los eventos llegan de forma independiente a una tasa media $\lambda$ por año, su número en un año sigue una distribución de Poisson: $P(N=k) = e^{-\lambda}\lambda^k/k!$. Con $\lambda = 0.5$ cortes largos de la red eléctrica por año, $P(N \ge 1) \approx 0.39$. Poisson supone una tasa constante e independencia; las tormentas, las campañas de ataques y el envejecimiento violan ambas cosas, así que trátelo como una primera aproximación. Para LRWA, un corte largo de la red eléctrica de más de cuatro horas es el evento que pone a prueba a la vez R5 y la reserva del hospital. Si los cortes se agrupan en tormentas, la cifra de Poisson subestima la probabilidad de dos cortes en pocos días, así que el equipo del TMRP la contrasta con los registros de cortes de la distribuidora antes de usarla en el árbol de fallas.

7.5 Describir los datos con honestidad

Informe un valor central con su dispersión (mediana y rango intercuartílico para datos asimétricos, como la duración de los cortes), el tamaño de la muestra y cómo se recogieron los datos. Un intervalo de confianza describe la incertidumbre de muestreo bajo un modelo; no dice nada del sesgo en lo que se registró. Las muestras pequeñas de eventos raros son especialmente traicioneras: cero fallas en 3 años de operación no significa riesgo cero. La «regla del tres» da una cota superior aproximada al 95 % de $3/n$ para una tasa cuando se observan 0 eventos en $n$ ensayos o unidades de tiempo.

7.6 Ejemplo resuelto: ¿debe LRWA avisar al ingeniero de guardia? (sintético)

El TMRP propone un detector de anomalías de red en el centro de control con las tasas de §7.2. Evaluado sobre ventanas horarias, avisaría unas 0,26 veces al día (aproximadamente una vez cada cuatro días) y alrededor del 91 % de los avisos serían falsos. El equipo decide: avisar solo cuando la alarma de red coincida con una anomalía del proceso (cambio de consigna inesperado o desequilibrio de caudales) y enviar las alarmas de red aisladas a una cola de revisión para el siguiente día hábil. La decisión se justifica por la tasa base, y su costo (una respuesta más lenta ante un ataque sigiloso que solo afecte a la red) queda anotado en el registro de riesgos.

7.7 Actividad práctica: Lab 4

# Lab 4 - base rates, redundancy and rare events (synthetic numbers, offline)
import math
prior, tpr, fpr = 0.001, 0.95, 0.01
ppv = tpr * prior / (tpr * prior + fpr * (1 - prior))
print(f"P(attack | alarm) = {ppv:.3f}")
alarms_per_day = 24 * (tpr * prior + fpr * (1 - prior))
print(f"expected alarms per day (hourly windows) = {alarms_per_day:.3f}")
a = 0.98
for n in (1, 2, 3): print(f"{n} independent paths at {a}: availability {1 - (1 - a) ** n:.6f}")
beta = 0.05   # beta-factor common-cause share of unavailability
q = 1 - a
print(f"2 paths with beta={beta}: unavailability {(1 - beta) ** 2 * q ** 2 + beta * q:.6f}")
lam = 0.5
print(f"P(>=1 grid outage >4 h per year | lambda={lam}) = {1 - math.exp(-lam):.3f}")
print(f"P(>=2) = {1 - math.exp(-lam) * (1 + lam):.4f}")

Salida esperada:

P(attack | alarm) = 0.087
expected alarms per day (hourly windows) = 0.263
1 independent paths at 0.98: availability 0.980000
2 independent paths at 0.98: availability 0.999600
3 independent paths at 0.98: availability 0.999992
2 paths with beta=0.05: unavailability 0.001361
P(>=1 grid outage >4 h per year | lambda=0.5) = 0.393
P(>=2) = 0.0902

Las dos primeras líneas repiten el resultado de la tasa base del ejemplo resuelto: menos de una alarma de cada diez sería un ataque real, y el detector avisaría aproximadamente una vez cada cuatro días. Las líneas de redundancia muestran con qué rapidez los caminos independientes mejoran la disponibilidad, y la línea del factor beta muestra cómo una causa común del cinco por ciento anula la mayor parte de esa ganancia. Las líneas de Poisson dan la probabilidad de al menos uno, y de al menos dos, cortes largos de la red eléctrica en un año con la tasa supuesta por LRWA.

7.8 Errores comunes y límites

Informar la exactitud del detector sin la tasa base ni el valor predictivo.
Multiplicar disponibilidades como si fueran independientes cuando los caminos comparten causas.
Usar Poisson para eventos agrupados.
Tratar cero fallas observadas como probabilidad cero.
Estimaciones puntuales sin tamaño de muestra ni método de recogida.

Cada error tiene un ejemplo en LRWA. Avisar al ingeniero de guardia ante cada alarma de red ignora la tasa base. Tratar los dos caminos LTE como independientes ignora su alimentador compartido. Usar Poisson para los cortes por tormentas oculta la agrupación, y tres años tranquilos en PS4 no prueban que las bombas no puedan fallar juntas.

Ejercicios — capítulo 7

EX013 — Sensibilidad a la tasa base. Objetivo: ver cómo el valor predictivo depende de la prevalencia. Entradas: Lab 4. Pasos: calcule el VPP para probabilidades previas de 0,0001, 0,001 y 0,01 con el mismo detector, y para la previa de 0,001 con una TFP de 0,001. Evidencia esperada: cuatro valores y una recomendación sobre qué parámetro mejorar. Rúbrica: 3 = valores correctos y la idea de que reducir la TFP es lo que más importa con prevalencia baja; 2 = valores correctos; 1 = un valor; 0 = nada.

EX014 — Causa común en la telemetría. Objetivo: cuantificar la diversidad. Entradas: dos caminos LTE de operadores distintos ($a = 0.98$ cada uno). Pasos: calcule la indisponibilidad para $\beta$ = 0, 0,05 y 0,2; nombre dos causas comunes reales que estos caminos podrían seguir compartiendo. Evidencia esperada: tres números y dos causas. Rúbrica: 3 = números correctos y causas compartidas plausibles (energía del sitio, torre o red de retorno compartidas, mismo firmware del módem); 2 = causas genéricas; 1 = un número; 0 = nada.

Síntesis del capítulo

La probabilidad es un modelo; diga de qué tipo. La regla de Bayes hace que las tasas base sean decisivas para las alarmas; la redundancia solo funciona en la medida en que las fallas son independientes, y las causas comunes, incluidas las vulnerabilidades compartidas, suelen dominar. Poisson es un punto de partida para los eventos raros. Describa los datos con su dispersión, el tamaño de la muestra y el método de recogida, y nunca trate la ausencia de fallas observadas como prueba de seguridad.