Manual de utilização

Evidência

O Dronetrake não mantém um registo qualquer: mantém evidência. A diferença é concreta. Um registo pode ser corrigido por quem tem acesso à base de dados, e ninguém dá por isso. A evidência é construída para que uma adulteração se veja, e para que a data de um facto seja garantida por alguém que não somos nós. Este capítulo explica o que está em evidência, como funciona, quanto custa e o que a cadeia regista.

O que quer dizer, numa frase

Um facto está em evidência quando se verificam três coisas em conjunto:

1. está escrito numa entrada que não se reescreve (ou que, se for apagada, deixa rasto);
2. a entrada traz uma impressão (SHA-256) calculada sobre o seu conteúdo mais a impressão da entrada anterior: é a cadeia;
3. a cabeça da cadeia recebe, a intervalos regulares, um selo temporal de um prestador independente.

A partir desse momento qualquer pessoa, mesmo sem confiar em nós, pode recalcular a cadeia e estabelecer que esse facto existia, tal como está, antes dessa hora. A pergunta «quem fez o quê, e quando?» tem uma resposta documental, não de memória.

As cadeias

Cada organização tem cinco cadeias, uma por família de factos:

• Voos: o registo de voo. Drone, piloto, descolagem e aterragem, locais, VLOS/BVLOS, anomalias (ver o capítulo Voos).
• Gravações: as gravações cifradas dos diretos, com a impressão do ficheiro e a hora de início.
• Ficheiros de missão: entregas, documentos, NOTAM. Para a cadeia vão os bytes (impressão, tamanho, tipo) e a hora de carregamento; o nome do ficheiro, o tipo de entrega e a missão a que está ligado são etiquetas que podes corrigir sem quebrar nada.
• Autos das listas de verificação: cada lista assinada produz, no instante da assinatura, um auto com os pontos marcados, quem assinou e quando. O auto é a entrada em cadeia, e sobrevive à missão.
• Atestados de formação: para as escolas, o processo de uma tarefa entregue (ver Equipa e o guia para escolas).

Há ainda uma sexta cadeia, de plataforma: o registo dos atos — acessos bem-sucedidos e falhados, mudanças de papel, entradas e saídas de organizações, mudanças de plano, suspensões, revogações de ligações e chaves, atos da equipa. É uma cadeia única, nossa, selada todas as noites, e produzimo-la a pedido quando é preciso reconstituir quem fez o quê.

Na impressão entram os factos; as etiquetas corrigíveis ficam de fora. Corrigir uma etiqueta não quebra nada; tocar num facto sim, de forma evidente.

Os dois níveis

Nível 1 — a cadeia e o selo noturno. A cadeia existe sempre e para todos, sem custo e sem escolha: desde o plano gratuito, cada entrada nasce com o seu elo. O selo noturno ativa-se no perfil da organização, com o interruptor «Selo noturno com selo temporal»: é gratuito, e a partir daí todas as noites a cabeça de cada cadeia recebe o selo de um prestador independente. É um selo não qualificado: prova que àquela hora a cadeia era aquela. Com o interruptor ligado, aparece no painel a página Evidência.

Nível 2 — o selo temporal qualificado eIDAS. A data é aposta por um prestador qualificado de serviços de confiança nos termos do regulamento europeu eIDAS, independente de nós; o seu nome aparece na página Evidência assim que o primeiro selo qualificado é emitido. Funciona com o selo noturno ligado, é uma escolha, com selos contados, e exprime-se de três formas:

• «Marcar como prova» num voo, a partir do diário de voo: quando esse voo tiver de resistir perante alguém. A confirmação diz que gasta um selo e quantos restam;
• «Marcar como prova» numa gravação, na lista de gravações;
• o interruptor de missão «Deve resistir perante terceiros»: a partir daí os voos da missão, as gravações do seu canal dentro da janela da operação (até duas horas após o fim), os autos das listas de verificação e os ficheiros nascem já marcados. Se o ligares depois, o que já existe é posto em dia.

Um selo qualificado cobre tudo o que foi marcado nesse dia nessa cadeia: o custo é por noite e por cadeia, não por entrada. O teto mensal depende do plano: Solo e School nenhum selo qualificado, Pilot quinze por mês, Crew e Ops sem teto (o limite é o próprio ciclo noturno). Se os selos se esgotarem, não se perde nada: o que já está marcado mantém a cadeia e o selo noturno, os voos e gravações marcados ficam A aguardar carimbo na página Evidência, e cobre-os o primeiro selo qualificado disponível. Até lá os voos novos não são marcados, nem à mão nem pelo interruptor de missão: o botão diz porquê.

A página Evidência

Encontra-la no grupo Conformidade, quando o selo noturno está ligado. De cima para baixo:

• Dossier de entrega, para quem administra a organização: Preparar o dossier prepara-o em segundo plano e avisa-te quando está pronto; depois Descarregar o dossier.
• Quem garante a data: o prestador qualificado, quando foi emitido pelo menos um selo qualificado; caso contrário, a frase que explica como obtê-lo. Por baixo, quantos selos qualificados restam no mês, ou que o teu plano não tem limite.
• Voos marcados como evidência: quem marcou cada um e quando, e o seu estado: A aguardar carimbo até o ciclo noturno o cobrir, depois Carimbado, com data e prestador.
• Gravações marcadas como evidência: os mesmos estados, mais a Cópia fora do servidor: feita ou em curso.
• Atestados de formação (escolas), Listas de verificação assinadas e Ficheiros de missão na cadeia: cada um com o primeiro selo que o cobre, com data e prestador, ou A aguardar o selo noturno. Estas secções só aparecem quando há algo para mostrar; nas listas e ficheiros, os últimos vinte.
• Quanto demora: a janela entre a marcação e o selo.

Uma regra vale para tudo: um selo cobre o que existia antes dele. O que nasce depois espera pelo seguinte. Por isso a página diz sempre qual é a janela: o selo chega com o ciclo noturno, não no instante.

As gravações marcadas como evidência

Uma gravação marcada como evidência muda de natureza: a retenção já não a apaga, recebe uma cópia fora do servidor (Cópia fora do servidor na página Evidência: feita ou em curso) e não se apaga por nenhum caminho: painel, retenção ou consola. Para a apagar é preciso primeiro despromovê-la com «Voltar a comum», e fica escrito quem o fez e quando. O automatismo protege-a do acaso, e o modelo protege-a da pessoa.

As listas de verificação assinadas

Uma lista preenche-se, corrige-se e assina-se. Depois da assinatura não se modifica nem se apaga por si só: por nenhum caminho, nem sequer a partir da consola. Na assinatura nasce o auto — os pontos marcados, o assinante, a hora, a missão — que entra em cadeia. Se um dia a missão for apagada, a lista vai com ela deixando uma lápide, mas o auto fica, com a sua impressão e o selo que o cobre.

Apagar, e o que fica

Apagar é possível, exceto onde a evidência o proíbe: as entradas de registo com menos de três anos, as gravações marcadas como evidência, os autos, os atestados. Mas nada desaparece em silêncio: cada eliminação deixa uma lápide com o que era, quando, por que regra (à mão, retenção, expurgo) e pela mão de quem. A lápide conserva também o elo da entrada apagada: por isso a cadeia aguenta mesmo sem ela, e a verificação continua a bater certo.

Uma eliminação feita às escondidas, fora do produto, não deixa lápide: a cadeia quebra, e a verificação di-lo. É exatamente o trabalho que ela tem de fazer.

Verificar

Por dentro: a página Evidência, e na ficha de cada voo a impressão completa, copiável.

Por fora, sem conta: o QR dos relatórios de missão abre uma página pública que a cada visita recalcula o elo de cada voo na cadeia e mostra as impressões dos ficheiros entregues. O histórico operacional de um drone, o atestado de um piloto e o atestado de formação de um aluno também têm a sua página pública: quem recebe o documento verifica por si, e vê o resultado, não os teus dados internos.

Da nossa parte: o nosso controlo recalcula cada cadeia até à cabeça selada e verifica a assinatura do selo: duas respostas separadas. Corre todas as noites, depois do selo, sobre os selos mais recentes, e todos os domingos sobre todos. Um selo que não bate certo fica registado como quebrado; pode juntar-se uma explicação ao processo, mas não o põe a verde. E os selos são renovados, o mais tardar de dezoito em dezoito meses — uma árvore de impressões sobre todos os tokens, e um só selo na raiz — porque a validade de um selo temporal não é eterna.

No encerramento

Se a organização encerrar, recebe o dossier de entrega: o registo de cada cadeia com impressões e conteúdos assinados, as gravações marcadas como evidência, os ficheiros de missão, os autos, os atestados, os incidentes com os seus ficheiros, uma cópia dos certificados dos pilotos (que continuam a ser deles), as capturas, as constatações com fotos e matrizes térmicas, os alertas IA, as zonas geográficas UAS carregadas, o logótipo, as lápides, os selos com os tokens, e um LEIA-ME que explica como voltar a verificar tudo offline, com ferramentas normais, sem o Dronetrake. Quem administra a organização também o pode preparar a qualquer momento na página Evidência. No encerramento abre-se uma janela de 90 dias para o descarregar; expirada a janela, os dados são apagados — a conservação dos registos é uma obrigação do operador, e a partir desse momento está nas suas mãos. Do nosso lado ficam os selos e as lápides das entradas apagadas: mostram que o registo existiu, até que cabeça e quando foi apagado, sem conter os teus dados. Quem quiser pode escolher a custódia: os registos ficam connosco, selados, só de leitura e com os selos temporais renovados, enquanto a custódia estiver paga; quando termina, abre-se a janela de 90 dias e o ciclo retoma daí.

O que a cadeia regista

• Um facto tal como foi introduzido, e antes de que hora. Um dado errado introduzido por uma pessoa fica na cadeia, tal como está e verificável; corrige-se com uma retificação, uma entrada nova que aponta para a antiga, não reescrevendo-o.
• Quem pôs a hora. Cada selo traz o nome do prestador que o emitiu: o independente do selo noturno ou o qualificado eIDAS.
• Para quem julga. Cliente, seguradora, autoridade: trabalham sobre factos que podem recalcular por si, sem confiar em nós.
• Tudo o que acontece ao arquivo. Uma eliminação com lápide, um encerramento, uma retenção expirada: a cadeia regista-os como aconteceram. É a razão pela qual vale alguma coisa.