Capítulo 25 — Taller de diseño I
Mapa de la lección
Lección 25 publicada. Mapa, ejemplo, EX073.
flowchart TD
N0["Resultados de aprendizaje"]
N1["25.1 Problema del taller"]
N2["25.2 Concesiones"]
N3["25.3 Registro de decisión"]
N4["Nota práctica"]
N5["25.1b Tarjetas de restricciones y galería"]
N6["Nota de campo: etiquetar antes de maquetar"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX073"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["25.1 Problema del taller"]
N2["25.2 Concesiones"]
N3["25.3 Registro de decisión"]
N4["Nota práctica"]
N5["25.1b Tarjetas de restricciones y galería"]
N6["Nota de campo: etiquetar antes de maquetar"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX073"]
[Resultados de aprendizaje]
|
v
[25.1 Problema del taller]
|
v
[25.2 Concesiones]
|
v
[25.3 Registro de decisión]
|
v
[Nota práctica]
|
v
[25.1b Tarjetas de restricciones y galería]
|
v
[Nota de campo: etiquetar antes de maquetar]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX073]
Resultados de aprendizaje
Usted podrá (1) esbozar la canalización de permitir/denegar del monitor serie de ABP; (2) justificar las concesiones en una breve revisión de diseño; (3) producir un registro de decisión de una página.
25.1 Problema del taller
Diseño: trama de entrada → decodificar → cargar ConduitSet/lista de permitidos → evaluar permit → emitir evento → reenviar o descartar. Opciones: política incrustada en el código frente a archivo de datos firmado; alertas síncronas frente a asíncronas ante las denegaciones. El equipo de taller de Lena en ABP esboza todo el camino en una página y marca dónde se deniega una trama si falta la política. Las dos elecciones debatidas fueron si la lista de permitidos vive en el código o en un archivo de datos firmado, y si las alertas sobre denegaciones se envían de forma síncrona o se encolan. Cada opción se pone por escrito con sus consecuencias antes de que nadie defienda una.
25.2 Concesiones
La política como datos firmados permite publicar actualizaciones sin volver a desplegar el firmware, pero necesita verificación de firma y fallo cerrado ante firmas incorrectas. Las alertas asíncronas escalan, pero pueden desordenarse; para las denegaciones en el camino del SIS, prefiera la alerta síncrona. El equipo de Lena acuerda que una firma incorrecta debe detener todo el tráfico no esencial, exactamente como exige el requisito S-1 cuando falta la política. Las alertas síncronas se reservan para las denegaciones de códigos de escritura y de caminos relacionados con el SIS, donde el retraso importa; las denegaciones rutinarias de lectura se encolan. El equipo registra también qué ocurre si se pierde la clave de firma: el monitor conserva la última lista válida y genera una alarma, y no se acepta ninguna actualización sin firmar.
25.3 Registro de decisión
Una página: contexto, opciones, decisión, consecuencias, fecha, responsables. Guárdelo junto al código.
Caso sintético — Ashford Batch Plant. El taller eligió listas de permitidos en JSON firmado, camino síncrono para las denegaciones que afectan a códigos de escritura y procesamiento masivo asíncrono para las lecturas rutinarias. El ADR-004 lo recoge.
El ADR-004 registra en este formato la decisión del taller sobre las listas de permitidos en JSON firmado, con Lena y el responsable de ingeniería de control como responsables. Está en el repositorio junto al código de la política, para que cualquiera que modifique el cargador pueda leer por qué funciona como funciona.
25.4 Errores y límites
Los talleres que se saltan los requisitos de seguridad funcional producen diagramas bonitos que fallan de forma abierta. El taller de Lena se niega a revisar un diseño hasta que muestre dónde deniega el tráfico el monitor cuando falta la lista de permitidos o falla su firma. Los diseños que no pueden responder se devuelven antes de cualquier discusión sobre disposición o herramientas. Las tarjetas de restricciones hacen visibles sobre la mesa los requisitos de seguridad funcional desde el primer minuto, para que no se olviden en el entusiasmo por una arquitectura ingeniosa. Los diseños rechazados también se registran.
Nota práctica
Los facilitadores detienen la sala con: «¿Dónde DENEGAMOS si falta la política?». Si nadie puede responder, la arquitectura no está lista.
25.1b Tarjetas de restricciones y galería
Entregue a cada equipo del taller tarjetas de restricciones: residencia de datos, operación con dos ingenieros, fallo cerrado, nada de puntuaciones vacías, independencia del SIS. Los diseños que violan una tarjeta se rechazan antes del debate estético. Los talleres terminan con una galería: los equipos exponen sus borradores de ADR y los demás intentan encontrar un camino de fallo abierto en cinco minutos. Un esbozo de taller debe nombrar por escrito los límites de confianza, los almacenes de datos y el camino de fallo cerrado. Diez minutos de etiquetado valen más que una hora de diseño estético. Los caminos de fallo abierto encontrados en la galería se escriben en el ADR antes de aceptarlo.
Nota de campo: etiquetar antes de maquetar
Los equipos de taller que dedicaron los primeros veinte minutos a nombrar los puntos de DENEGACIÓN y los límites de confianza produjeron ADR que superaron la revisión. Los equipos que empezaron por las paletas de colores redescubrieron caminos de fallo abierto durante la galería. El CNHP exige ahora un camino de fallo cerrado etiquetado en la fotografía de la pizarra adjunta a cada ADR.
Ejercicios — capítulo 25
- EX073 — Opciones. Dos opciones para entregar la política y un riesgo de cada una. Rúbrica: 3 = dos + riesgos; 2 = opciones; 1 = una; 0 = nada.
- EX074 — ADR. Línea de decisión para las alertas síncronas de denegación sobre códigos de escritura. Rúbrica: 3 = decisión clara + por qué; 2 = solo la decisión; 1 = vago; 0 = nada.
- EX075 — Revisión. Tres preguntas que debe hacer un revisor. Rúbrica: 3 = fallo cerrado, autenticación de la política, presupuesto de latencia; 2 = dos; 1 = una; 0 = nada.
Síntesis del capítulo
El trabajo de taller termina en una decisión registrada, no en una impresión.
Siga estudiando — capítulo 25 de 50
← Capítulo 24 (borrador) · Índice de capítulos del curso · Capítulo 26 (borrador) →