Manuale d'uso

Evidenza

Dronetrake non tiene un registro qualsiasi: tiene evidenza. La differenza è concreta. Un registro lo può correggere chi ha accesso al database, e nessuno se ne accorge. L'evidenza è costruita perché una manomissione si veda, e perché la data di un fatto la garantisca qualcuno che non siamo noi. Questo capitolo spiega cosa è in evidenza, come funziona, cosa costa e che cosa registra la catena.

Che cosa vuol dire, in una frase

Un fatto è in evidenza quando valgono tre cose insieme:

1. è scritto in una voce che non si riscrive (o che, se si cancella, lascia traccia);
2. la voce porta un'impronta (SHA-256) calcolata sul suo contenuto più l'impronta della voce precedente: è la catena;
3. la testa della catena riceve, a intervalli regolari, una marca temporale da un prestatore indipendente.

Da quel momento chiunque, anche senza fidarsi di noi, può ricalcolare la catena e stabilire che quel fatto esisteva, così com'è, prima di quell'ora. La domanda «chi ha fatto cosa, e quando?» ha una risposta documentale, non a memoria.

Le catene

Ogni organizzazione ha cinque catene, una per ogni famiglia di fatti:

• Voli: il logbook. Drone, pilota, decollo e atterraggio, luoghi, VLOS/BVLOS, anomalie (vedi il capitolo Voli).
• Riprese: le registrazioni cifrate delle dirette, con l'impronta del file e l'ora di inizio.
• File di missione: consegne, documenti, NOTAM. In catena vanno i byte (impronta, peso, tipo) e l'ora di caricamento; il nome del file, il tipo di consegna e la missione a cui è agganciato sono etichette che puoi correggere senza spezzare nulla.
• Verbali delle check-list: ogni check-list firmata produce, nell'istante della firma, un verbale con le voci spuntate, chi ha firmato e quando. Il verbale è la voce in catena, e sopravvive alla missione.
• Attestati di addestramento: per le scuole, il fascicolo di un compito consegnato (vedi Squadra e la guida per le scuole).

C'è poi una sesta catena, di piattaforma: il registro degli atti — accessi riusciti e falliti, cambi di ruolo, ingressi e uscite dalle organizzazioni, cambi di piano, sospensioni, revoche di link e chiavi, atti dello staff. È una catena sola, nostra, sigillata ogni notte, e la produciamo su richiesta quando serve ricostruire chi ha fatto cosa.

Nell'impronta entrano i fatti; le etichette correggibili ne restano fuori. Correggere un'etichetta non spezza niente; toccare un fatto sì, in modo evidente.

I due livelli

Livello 1 — la catena e il sigillo notturno. La catena c'è sempre e per tutti, senza costo e senza scelta: dal piano gratuito in su, ogni voce nasce con il suo anello. Il sigillo notturno si accende dal profilo dell'organizzazione, con l'interruttore «Sigillo notturno con marca temporale»: è gratuito, e da quel momento ogni notte la testa di ogni catena riceve la marca di un prestatore indipendente. È una marca non qualificata: dimostra che a quell'ora la catena era quella. Con l'interruttore acceso, nel pannello compare la pagina Evidenza.

Livello 2 — la marca qualificata eIDAS. La data la mette un prestatore qualificato secondo il regolamento europeo eIDAS, indipendente da noi; il suo nome compare nella pagina Evidenza appena è emessa la prima marca qualificata. Funziona con il sigillo notturno acceso, è una scelta, a marche contate, e si esprime in tre modi:

• «Evidenzia» su un volo, dal registro dei voli: quando quel volo dovrà reggere davanti a qualcuno. La conferma dice che consuma una marca e quante ne restano;
• «Segna come prova» su una ripresa, dall'elenco delle registrazioni;
• l'interruttore di missione «Deve reggere davanti a terzi»: da quel momento i voli della missione, le riprese del suo canale nella finestra dell'operazione (fino a due ore dopo la fine), i verbali delle check-list e i file nascono già evidenziati. Se lo accendi a cose fatte, ciò che esiste si mette in pari.

Una marca qualificata copre tutto ciò che è stato evidenziato in giornata su quella catena: il costo è per notte e per catena, non per voce. Il tetto mensile dipende dal piano: Solo e School nessuna marca qualificata, Pilot quindici al mese, Crew e Ops senza tetto (il limite è il giro notturno stesso). Se le marche sono finite, non si perde niente: ciò che è già evidenziato tiene la catena e il sigillo notturno, voli e riprese restano In attesa di marca nella pagina Evidenza, e li copre la prima marca qualificata disponibile. Fino ad allora i voli nuovi non si evidenziano, né a mano né con l'interruttore di missione: il pulsante dice perché.

La pagina Evidenza

La trovi nel cluster Conformità, quando il sigillo notturno è acceso. Dall'alto in basso:

• Dossier di consegna, per chi amministra l'organizzazione: Prepara il dossier lo prepara in background e ti avvisa quando è pronto; poi Scarica il dossier.
• Chi mette la data: il prestatore qualificato, quando è stata emessa almeno una marca qualificata; altrimenti la frase che spiega come ottenerla. Sotto, quante marche qualificate restano nel mese, o che il tuo piano non ha un tetto.
• Voli evidenziati: chi ha evidenziato ciascuno e quando, e il suo stato: In attesa di marca finché il giro notturno non lo copre, poi Marcato, con data e prestatore.
• Riprese evidenziate: gli stessi stati, più la Copia fuori dal server: fatta o in corso.
• Attestati di addestramento (scuole), Check-list firmate e File di missione in catena: ognuno con il primo sigillo che lo copre, con data e prestatore, oppure In attesa del sigillo notturno. Queste sezioni compaiono solo quando c'è qualcosa da mostrare; per check-list e file, gli ultimi venti.
• Quanto ci mette: la finestra fra l'evidenza e la marca.

Una regola vale per tutto: una marca copre ciò che esisteva prima di lei. Quello che nasce dopo aspetta la marca successiva. Per questo la pagina dice sempre qual è la finestra: la marca arriva col giro notturno, non all'istante.

Le riprese marcate come evidenza

Una ripresa marcata evidenza cambia natura: la retention non la pota più, riceve una copia fuori dal server (Copia fuori dal server nella pagina Evidenza: fatta o in corso), e non si cancella da nessuna strada: pannello, retention o console. Per cancellarla va prima declassata con «Riporta a ordinaria», e resta scritto chi lo ha fatto e quando. L'automatismo la protegge dal caso, e il modello la protegge dalla persona.

Le check-list firmate

Una check-list si compila, si corregge e si firma. Dopo la firma non si modifica e non si cancella da sola: da nessuna strada, nemmeno dalla console. Alla firma nasce il verbale — le voci spuntate, il firmatario, l'ora, la missione — che entra in catena. Se un giorno la missione viene cancellata, la check-list se ne va con lei lasciando una lapide, ma il verbale resta, con la sua impronta e il sigillo che lo copre.

Cancellare, e cosa resta

Cancellare si può, tranne dove l'evidenza lo vieta: le voci di logbook sotto i tre anni, le riprese marcate evidenza, i verbali, gli attestati. Ma niente sparisce in silenzio: ogni cancellazione lascia una lapide con che cosa era, quando, per quale regola (a mano, retention, purga) e per mano di chi. La lapide conserva anche l'anello della voce cancellata: per questo la catena regge anche senza di lei, e la verifica continua a tornare.

Una cancellazione fatta di nascosto, fuori dal prodotto, non lascia lapide: la catena si spezza, e la verifica lo dice. È esattamente il lavoro che deve fare.

Verificare

Dall'interno: la pagina Evidenza, e nella scheda di ogni volo l'impronta intera, copiabile.

Dall'esterno, senza account: il QR dei report di missione apre una pagina pubblica che a ogni visita ricalcola l'anello di ogni volo nella catena e mostra le impronte dei file consegnati. Hanno la loro pagina pubblica anche la storia operativa di un drone, l'attestato di un pilota e l'attestato di addestramento di un allievo: chi riceve il documento verifica da sé, e vede l'esito, non i tuoi dati interni.

Da parte nostra: il nostro controllo ricalcola ogni catena sigillata fino alla testa marcata e verifica la firma della marca: due risposte separate. Gira ogni notte, dopo il sigillo, sui sigilli più recenti, e ogni domenica su tutti. Un sigillo che non torna resta scritto rotto; una spiegazione si può aggiungere agli atti, ma non lo fa diventare verde. E le marche vengono rinnovate, al più tardi ogni diciotto mesi — un albero di impronte su tutti i token, e una marca sola sulla radice — perché la validità di una marca temporale non è eterna.

Alla chiusura

Se l'organizzazione chiude, riceve il dossier di consegna: il registro di ogni catena con impronte e contenuti firmati, le riprese marcate evidenza, i file di missione, i verbali, gli attestati, gli incidenti coi loro file, una copia degli attestati dei piloti (che restano ai piloti), gli scatti, i rilievi con foto e matrici termiche, le allerte AI, le zone geografiche UAS caricate, il logo, le lapidi, i sigilli con i token delle marche, e un LEGGIMI che spiega come riverificare tutto offline, con strumenti standard, senza Dronetrake. Chi amministra l'organizzazione può anche prepararlo in qualsiasi momento dalla pagina Evidenza. Alla chiusura si apre una finestra di 90 giorni per scaricarlo; scaduta la finestra, i dati si cancellano — la conservazione dei registri è un obbligo dell'operatore, e da quel momento è nelle sue mani. Restano da parte nostra i sigilli e le lapidi delle voci cancellate: mostrano che il registro è esistito, fino a quale testa e quando è stato cancellato, senza contenere i tuoi dati. Chi vuole può scegliere la custodia: i registri restano da noi, sigillati, in sola lettura e con le marche rinnovate, finché la custodia è pagata; quando smette, si apre la finestra di 90 giorni e il ciclo riparte da lì.

Che cosa registra la catena

• Un fatto come è stato inserito, e prima di quale ora. Un dato sbagliato inserito da una persona resta in catena, così com'è e verificabile; si corregge con una rettifica, una voce nuova che punta alla vecchia, non riscrivendolo.
• Chi ha messo l'ora. Ogni sigillo porta il nome del prestatore che l'ha emesso: quello indipendente del sigillo notturno o quello qualificato eIDAS.
• Per chi giudica. Committente, assicurazione, autorità: lavorano su fatti che possono ricalcolare da sé, senza fidarsi di noi.
• Tutto ciò che succede all'archivio. Una cancellazione con lapide, una chiusura, una retention scaduta: la catena li registra come sono andati. È la ragione per cui vale qualcosa.