Podręcznik użytkownika

Dowody

Dronetrake nie prowadzi zwykłego rejestru: prowadzi dowody. Różnica jest konkretna. Rejestr może poprawić każdy, kto ma dostęp do bazy danych, i nikt tego nie zauważy. Dowód jest zbudowany tak, aby manipulacja była widoczna, a datę zdarzenia gwarantował ktoś, kto nie jest nami. Ten rozdział wyjaśnia, co stanowi dowód, jak to działa, ile kosztuje i co zapisuje łańcuch.

Co to znaczy, w jednym zdaniu

Zdarzenie jest dowodem, gdy spełnione są jednocześnie trzy warunki:

1. jest zapisane we wpisie, którego nie da się przepisać (albo który, jeśli zostanie usunięty, zostawia ślad);
2. wpis nosi odcisk (SHA-256) obliczony z jego treści plus odcisku poprzedniego wpisu: to jest łańcuch;
3. czoło łańcucha otrzymuje w regularnych odstępach znacznik czasu od niezależnego dostawcy.

Od tej chwili każdy, nawet nie ufając nam, może przeliczyć łańcuch i ustalić, że to zdarzenie istniało, w takiej postaci, przed tą godziną. Pytanie „kto co zrobił i kiedy?” ma odpowiedź dokumentalną, a nie z pamięci.

Łańcuchy

Każda organizacja ma pięć łańcuchów, po jednym na rodzinę zdarzeń:

• Loty: książka lotów. Dron, pilot, start i lądowanie, miejsca, VLOS/BVLOS, anomalie (zob. rozdział Loty).
• Nagrania: zaszyfrowane nagrania transmisji na żywo, z odciskiem pliku i godziną rozpoczęcia.
• Pliki misji: materiały końcowe, dokumenty, NOTAM-y. Do łańcucha trafiają bajty (odcisk, rozmiar, typ) i godzina przesłania; nazwa pliku, rodzaj materiału i przypisana misja to etykiety, które możesz poprawić, niczego nie psując.
• Protokoły list kontrolnych: każda podpisana lista kontrolna tworzy w chwili podpisu protokół z odhaczonymi punktami, kto podpisał i kiedy. Protokół jest wpisem w łańcuchu i przeżywa misję.
• Zaświadczenia szkoleniowe: dla szkół, akta oddanego zadania (zob. Zespół i przewodnik dla szkół).

Jest też szósty łańcuch, platformowy: rejestr działań — udane i nieudane logowania, zmiany ról, wejścia do organizacji i wyjścia z nich, zmiany planu, zawieszenia, odwołane linki i klucze, działania zespołu. To jeden łańcuch, nasz, pieczętowany co noc, który przedstawiamy na żądanie, gdy trzeba odtworzyć, kto co zrobił.

Do odcisku wchodzą fakty; poprawialne etykiety zostają poza nim. Poprawienie etykiety niczego nie psuje; dotknięcie faktu tak, w sposób widoczny.

Dwa poziomy

Poziom 1 — łańcuch i nocna pieczęć. Łańcuch jest zawsze i dla wszystkich, bez kosztów i bez wyboru: od planu bezpłatnego wzwyż każdy wpis rodzi się ze swoim ogniwem. Nocną pieczęć włącza się w profilu organizacji przełącznikiem „Nocna pieczęć ze znacznikiem czasu”: jest bezpłatna, i od tej chwili co noc czoło każdego łańcucha otrzymuje znacznik czasu niezależnego dostawcy. To znacznik niekwalifikowany: dowodzi, że o tej godzinie łańcuch był właśnie taki. Przy włączonym przełączniku w panelu pojawia się strona Dowody.

Poziom 2 — kwalifikowany znacznik czasu eIDAS. Datę nadaje kwalifikowany dostawca usług zaufania zgodnie z europejskim rozporządzeniem eIDAS, niezależny od nas; jego nazwa pojawia się na stronie Dowody, gdy tylko wydany zostanie pierwszy znacznik kwalifikowany. Działa przy włączonej nocnej pieczęci, jest wyborem, z liczonymi znacznikami, wyrażanym na trzy sposoby:

• „Oznacz jako dowód” przy locie, w dzienniku lotów: gdy ten lot będzie musiał obronić się przed kimś. Potwierdzenie mówi, że zużywa znacznik i ile ich zostało;
• „Oznacz jako dowód” przy nagraniu, na liście nagrań;
• przełącznik misji „Musi obronić się przed osobami trzecimi”: od tej chwili loty misji, nagrania z jej kanału w oknie operacji (do dwóch godzin po zakończeniu), protokoły list kontrolnych i pliki rodzą się już oznaczone. Jeśli włączysz go po fakcie, to, co już istnieje, zostaje wyrównane.

Jeden kwalifikowany znacznik obejmuje wszystko, co tego dnia oznaczono w danym łańcuchu: koszt liczy się na noc i na łańcuch, nie na wpis. Miesięczny limit zależy od planu: Solo i School brak znaczników kwalifikowanych, Pilot piętnaście miesięcznie, Crew i Ops bez limitu (granicą jest sam nocny przebieg). Gdy znaczniki się skończą, nic nie ginie: to, co już oznaczone, zachowuje łańcuch i nocną pieczęć, oznaczone loty i nagrania pozostają na stronie Dowody w stanie Czeka na znacznik, a obejmuje je pierwszy dostępny znacznik kwalifikowany. Do tego czasu nowe loty nie są oznaczane, ani ręcznie, ani przełącznikiem misji: przycisk mówi dlaczego.

Strona Dowody

Znajdziesz ją w klastrze Zgodność, gdy nocna pieczęć jest włączona. Od góry do dołu:

• Dossier przekazania, dla osób zarządzających organizacją: Przygotuj dossier przygotowuje je w tle i powiadamia cię, gdy jest gotowe; potem Pobierz dossier.
• Kto ręczy za datę: kwalifikowany dostawca, gdy wydano co najmniej jeden znacznik kwalifikowany; w przeciwnym razie zdanie wyjaśniające, jak go uzyskać. Pod spodem, ile znaczników kwalifikowanych zostało w tym miesiącu, albo że twój plan nie ma limitu.
• Loty oznaczone jako dowód: kto oznaczył każdy z nich i kiedy, oraz jego stan: Czeka na znacznik, dopóki nocny przebieg go nie obejmie, potem Ze znacznikiem, z datą i dostawcą.
• Nagrania oznaczone jako dowód: te same stany oraz Kopia poza serwerem: gotowa albo w toku.
• Zaświadczenia szkoleniowe (szkoły), Podpisane listy kontrolne i Pliki misji w łańcuchu: każde z pierwszą pieczęcią, która je obejmuje, z datą i dostawcą, albo Czeka na nocną pieczęć. Te sekcje pojawiają się tylko wtedy, gdy jest co pokazać; dla list i plików ostatnie dwadzieścia.
• Ile to trwa: okno między oznaczeniem a znacznikiem.

Jedna zasada dotyczy wszystkiego: znacznik obejmuje to, co istniało przed nim. To, co powstaje później, czeka na następny. Dlatego strona zawsze podaje okno: znacznik przychodzi z nocnym przebiegiem, nie natychmiast.

Nagrania oznaczone jako dowód

Nagranie oznaczone jako dowód zmienia naturę: retencja już go nie usuwa, otrzymuje kopię poza serwerem (Kopia poza serwerem na stronie Dowody: gotowa albo w toku) i nie da się go usunąć żadną drogą: z panelu, przez retencję ani z konsoli. Aby je usunąć, trzeba najpierw obniżyć je przyciskiem „Z powrotem na zwykłe”, a zostaje zapisane, kto to zrobił i kiedy. Automat chroni je przed przypadkiem, a model przed człowiekiem.

Podpisane listy kontrolne

Listę kontrolną wypełnia się, poprawia i podpisuje. Po podpisie nie jest modyfikowana i nie jest usuwana sama z siebie: żadną drogą, nawet z konsoli. Przy podpisie powstaje protokół — odhaczone punkty, podpisujący, godzina, misja — który wchodzi do łańcucha. Jeśli pewnego dnia misja zostanie usunięta, lista odchodzi razem z nią, zostawiając nagrobek, ale protokół zostaje, ze swoim odciskiem i pieczęcią, która go obejmuje.

Usuwanie, i co zostaje

Usuwać można, poza miejscami, gdzie dowód tego zabrania: wpisy książki lotów młodsze niż trzy lata, nagrania oznaczone jako dowód, protokoły, zaświadczenia. Ale nic nie znika po cichu: każde usunięcie zostawia nagrobek z informacją, czym to było, kiedy, według jakiej reguły (ręcznie, retencja, czyszczenie) i czyją ręką. Nagrobek zachowuje też ogniwo usuniętego wpisu: dlatego łańcuch trzyma się także bez niego, a weryfikacja nadal się zgadza.

Usunięcie dokonane po kryjomu, poza produktem, nie zostawia nagrobka: łańcuch pęka, a weryfikacja to mówi. Dokładnie to jest jej zadaniem.

Weryfikacja

Od wewnątrz: strona Dowody, a w karcie każdego lotu pełny odcisk, do skopiowania.

Z zewnątrz, bez konta: kod QR na raportach z misji otwiera publiczną stronę, która przy każdej wizycie przelicza ogniwo każdego lotu w łańcuchu i pokazuje odciski dostarczonych plików. Własną stronę publiczną mają też historia operacyjna drona, zaświadczenie pilota i zaświadczenie szkoleniowe ucznia: kto otrzymuje dokument, weryfikuje sam i widzi wynik, a nie twoje dane wewnętrzne.

Po naszej stronie: nasza kontrola przelicza każdy łańcuch aż do opieczętowanego czoła i weryfikuje podpis znacznika: dwie osobne odpowiedzi. Działa co noc, po pieczęci, na najnowszych pieczęciach, a w każdą niedzielę na wszystkich. Pieczęć, która się nie zgadza, pozostaje zapisana jako przerwana; można dołączyć do akt wyjaśnienie, ale nie zmienia jej na zieloną. A znaczniki są odnawiane, najpóźniej co osiemnaście miesięcy — drzewo odcisków ze wszystkich tokenów i jeden znacznik na korzeniu — bo ważność znacznika czasu nie jest wieczna.

Przy zamknięciu

Jeśli organizacja się zamyka, otrzymuje dossier przekazania: rejestr każdego łańcucha z odciskami i podpisaną treścią, nagrania oznaczone jako dowód, pliki misji, protokoły, zaświadczenia, zdarzenia z ich plikami, kopię certyfikatów pilotów (które zostają przy pilotach), zdjęcia, ustalenia ze zdjęciami i macierzami termicznymi, alerty AI, wgrane strefy geograficzne UAS, logo, nagrobki, pieczęcie z tokenami znaczników oraz plik CZYTAJ, który wyjaśnia, jak wszystko zweryfikować ponownie offline, standardowymi narzędziami, bez Dronetrake. Osoba zarządzająca organizacją może je też przygotować w każdej chwili na stronie Dowody. Przy zamknięciu otwiera się 90-dniowe okno na pobranie; po jego upływie dane są usuwane — przechowywanie rejestrów jest obowiązkiem operatora i od tej chwili leży w jego rękach. Po naszej stronie pozostają pieczęcie i nagrobki usuniętych wpisów: pokazują, że rejestr istniał, do którego czoła i kiedy został usunięty, nie zawierając twoich danych. Kto chce, może wybrać przechowanie: rejestry pozostają u nas, opieczętowane, tylko do odczytu i ze znacznikami czasu odnawianymi, dopóki przechowanie jest opłacone; gdy się kończy, otwiera się okno 90 dni i cykl toczy się dalej.

Co zapisuje łańcuch

• Zdarzenie tak, jak zostało wprowadzone, i przed którą godziną. Błędna wartość wprowadzona przez człowieka zostaje w łańcuchu, taka, jaka jest, i weryfikowalna; poprawia się ją sprostowaniem, nowym wpisem wskazującym na stary, a nie przepisaniem.
• Kto nadał godzinę. Każda pieczęć nosi nazwę dostawcy, który ją wydał: niezależnego dostawcy nocnej pieczęci albo kwalifikowanego dostawcy eIDAS.
• Dla tych, którzy oceniają. Zleceniodawca, ubezpieczyciel, urząd: pracują na faktach, które mogą sami przeliczyć, bez ufania nam.
• Wszystko, co dzieje się z archiwum. Usunięcie z nagrobkiem, zamknięcie, wygasła retencja: łańcuch zapisuje je tak, jak się wydarzyły. Właśnie dlatego jest coś wart.