Resumo

  • O draft-ietf-opsawg-collected-data-manifest-14 associa telemetria recebida ao contexto de plataforma e coleta, inclusive ao período efetivo quando a plataforma o ajusta. A revisão continua sendo um Internet-Draft ativo, não um RFC ou registro de implantação.
  • O limite decisivo está no próprio texto: como o manifesto também é dado, sua confiabilidade de coleta é a mesma da coleta de telemetria. O que sobrevive pode explicar um ponto; não prova que todos os pontos e todas as versões intermediárias chegaram.
  • Decisões de capacidade, incidente, segurança ou automação precisam de um recibo de continuidade separado: intenção da assinatura, período real, sequência e chegada, versões do manifesto, fronteiras de sessão, origem de reconstrução, lacunas, resolução, contestação e dono da decisão.

O erro não começou quando uma amostra sumiu. Começou quando o sistema transformou ausência de amostra em queda de utilização sem guardar a regra dessa transformação. Um painel repetiu o último valor; outro preencheu zero; um terceiro interrompeu a linha. Nenhum desses desenhos era a medição perdida.

O Data Manifest torna possível saber de qual plataforma vieram os pontos anteriores e posteriores, qual assinatura os selecionou e qual período o equipamento dizia usar. Isso melhora a leitura. Ainda falta responder se uma amostra era esperada, se foi emitida, se atravessou o transporte, se entrou no coletor e se permaneceu no armazenamento.

Uma lacuna atravessa todas essas fronteiras com a mesma aparência. O controle certo não inventa uma causa. Ele conserva as junções que permitem atribuí-la.

Começar pela decisão que depende da lacuna

Nem toda ausência merece o mesmo custo de prova. Um gráfico exploratório pode tolerar um minuto. Uma ordem automática de capacidade, uma declaração de indisponibilidade, um alarme de segurança ou uma cobrança por desempenho não deveriam usar o mesmo vazio sem evidência adicional.

Essa diferença ajuda a colocar o rascunho da OPSAWG no lugar correto. Ele não pretende ser um sistema universal de auditoria. Seu trabalho é contextualizar dados coletados para que continuem utilizáveis. O Platform Manifest normativo caracteriza a plataforma. O Data Collection Manifest caracteriza como e quando houve medição, mas aparece como exemplo não normativo porque a montagem de esquema em tempo de projeto necessária ainda não existe.

O rascunho exige que o manifesto acompanhe os dados até os sistemas de coleta e análise, siga junto quando houver mudança de armazenamento e seja atualizado quando plataforma ou assinatura mudarem. O manifesto também vira uma série temporal. Assim, o inventário atual não é usado automaticamente para explicar um contador antigo.

Essa disciplina é uma defesa contra interpretações sem contexto. Ela não é, por si, defesa contra registros que nunca entraram na série.

O período efetivo explica uma adaptação observada

O módulo ietf-yp-current-period acrescenta uma folha operacional de leitura. Ela mostra o intervalo efetivamente empregado, que pode ser maior que o configurado quando a plataforma reduz a carga de telemetria. A distinção é prática: cinquenta segundos sem ponto podem ser perda se o período segue em dez segundos, ou comportamento esperado se o período passou a sessenta.

A força da explicação depende da ordem das evidências. Se a mudança de current-period chega antes das amostras espaçadas, há uma transição delimitada. Se chega depois, o início exato fica aberto. Se a própria atualização se perde, o estado posterior não comprova que ele vigorou durante todo o vazio.

Uma folha de estado não é um arquivo independente. Seu histórico surge da coleta de mudanças. O rascunho recomenda tratar o manifesto como série e transmitir alterações com on-change quando possível. Ainda assim, duas versões guardadas não demonstram que nenhuma terceira existiu entre elas.

É por isso que a frase sobre confiabilidade importa: o manifesto tem a mesma confiabilidade de coleta que os dados, porque também é dado. A reutilização economiza implementação e aproxima contexto e valor. Também aproxima seus modos de falha.

O último manifesto anterior é uma resposta de consulta

Para associar um ponto ao contexto, a revisão 14 usa horário de envio, identificador da plataforma e identificador da assinatura. O sistema busca o Platform Manifest mais recente anterior ao horário e, depois, o Data Collection Manifest mais recente para aquela plataforma e assinatura.

Essa regra é determinística. Sua resposta só é tão completa quanto o arquivo consultado. Com M1 às 08:00 e M3 às 08:20, um ponto de 08:15 recebe M1. Se M2 alterou o filtro às 08:10 e se perdeu, a consulta continua funcionando e devolve a versão errada para a realidade que deixou de ser observável.

O próprio identificador tem limites. Um hostname pode nomear um papel, não uma peça física específica. O rascunho também registra que a obrigação de suportar ao menos uma das funções yang-catalog ou ietf-system não cabe no esquema YANG. Um módulo sem ambas ainda pode validar, embora ofereça pouco além do identificador.

Validação de esquema não certifica riqueza contextual. Uma consulta bem-sucedida não certifica continuidade. Esses resultados precisam de nomes distintos no relatório e na automação.

A fronteira de reinicialização precisa deixar vestígio

O Platform Manifest tende a permanecer estável numa sessão. Uma reinicialização pode ser indicada por subscription-terminated; depois que a assinatura volta, o coletor deve buscar uma possível atualização do manifesto. Quando término, restabelecimento e nova versão são recebidos, a mudança de época fica bem sustentada.

Quando sobra apenas uma reconexão, ainda há alternativas. A notificação de término pode ter se perdido. O transporte pode ter caído antes de entregá-la. O coletor pode ter reiniciado. A primeira amostra posterior confirma o estado posterior, não a sequência inteira.

No on-change, RFC 8641 oferece um indício útil. Se patch-id for usado como contador crescente, saltos e desordem podem revelar atualizações perdidas; uma ressincronização ou o limite do contador o reinicia. O condicional não pode desaparecer da governança. Nem toda implementação usa o contador, e ele não cobre toda coleta periódica. Detectar o salto também não identifica o responsável pelo salto.

Integridade responde “quem e o quê”, não “tudo”

Para origem e integridade, o Data Manifest aponta para o rascunho de proveniência YANG. Assinaturas COSE podem proteger o objeto e contrassinaturas podem registrar múltiplos participantes na custódia. Uma versão armazenada passa a ter autoria e alteração verificáveis.

Isso não muda a lógica da ausência. Uma M1 assinada prova características de M1; não prova que M2 nunca existiu. Uma amostra íntegra não prova que todas as amostras esperadas chegaram. A assinatura reduz a dúvida sobre um objeto presente, mas não preenche o espaço negativo ao redor dele.

A proveniência também deve alcançar manifestos montados pelo coletor. A revisão 14 permite essa alternativa quando o equipamento não oferece os módulos, usando informações espalhadas em modelos padronizados e específicos do fornecedor. O manifesto resultante pode ser correto. Deve declarar quem o montou, quais observações usou, quando, e quais campos ficaram incertos. “Produzido pela plataforma” e “montado pelo coletor” são origens diferentes, não notas de qualidade.

Conteúdo de um recibo proporcional

O recibo de continuidade não deve copiar interfaces, contadores ou toda notificação. Para cada janela que sustenta uma decisão relevante, basta preservar:

  • assinatura solicitada, filtro, periodicidade e evidência de aceitação, ajuste ou rejeição;
  • current-period observado e intervalo ao qual essa observação pode ser atribuída;
  • sequência, janela de chegada ou outro detector, com seu limite explícito;
  • identidade ou hash das versões de manifesto realmente recebidas;
  • origem direta da plataforma, montagem do coletor ou combinação;
  • término, reinicialização, ressincronização e restabelecimento de cada época;
  • tempos separados de emissão, recepção, ingestão e persistência;
  • lacuna, causas ainda possíveis, investigação, confiança e disposição final;
  • responsável, canal de contestação, correção e ação revertida por falta de prova.

O recibo precisa aceitar silêncio legítimo. Uma assinatura on-change pode não produzir nada porque nada mudou. Um período aumentado pode ser adaptação prevista. Depois do término, não existe obrigação de chegada. O primeiro passo é fixar a expectativa válida; só depois classificar a ausência.

Manter o recibo fora do mesmo caminho não significa deixá-lo aberto. Versões e capacidades de plataforma podem facilitar ataques; o rascunho pede controle de acesso. Identificadores pseudônimos, hashes e janelas temporais podem sustentar auditoria sem replicar detalhe operacional sensível.

A limitação de escopo protege o trabalho técnico

A linhagem das transformações analíticas posteriores está fora do escopo do rascunho. Faz sentido. Um único manifesto não deve assumir plataforma, assinatura, transporte, armazenamento, cálculos, modelo e autorização final.

A revisão 14 já separa configuração de período efetivo, trata manifestos no tempo, define três coordenadas, renova contexto após interrupção e encaminha integridade para assinaturas. Sua afirmação de confiabilidade compartilhada permite que o operador desenhe um controle adicional sem atribuí-lo falsamente à IETF.

No corte da pesquisa, a revisão 14 era um Internet-Draft ativo com intenção de Proposed Standard, em AD Evaluation com acompanhamento e sem teleconferência marcada. O histórico de revisões registra questões e ajustes. Não é prova de rejeição, aprovação ou uso por uma rede específica.

O manifesto devolve significado ao ponto que chegou. O recibo de continuidade impede que o ponto ausente vire uma certeza conveniente.

Fontes