ADR-0034: Piso de escalonamento cego à negação, ratificado e com portão de recertificação

Documentação de referência: não é um dispositivo médico

Esta documentação descreve uma implementação de referência pública avaliada com dados 100% sintéticos. É uma referência de capacidades e prontidão, não uma certificação de conformidade nem aconselhamento jurídico, e não é um dispositivo médico. Não é clinicamente validada e não manipula PHI de produção.

• Status: Accepted
• Data: 2026-06-18
• Responsáveis pela decisão: Waldemar Szemat

Contexto e definição do problema

O piso de crise sempre ativo se torna incondicional. Uma varredura de escalonamento determinística, pura e sem LLM - já validada para recall em emergências agudas, e que roda dentro do grafo do agente após os portões de requisição - é elevada a uma cópia no topo mesmo dos endpoints de chat e de voz, para que um erro de limite de taxa, de tempo esgotado, de autorização ou de teto de turno nunca possa engolir uma emergência aguda. O pré-portão reutiliza o detector e os templates existentes de forma literal; não cria nenhuma lógica de detecção nova.

Esse movimento torna de sustentação no funil público uma propriedade de longa data do detector, e ela deve ser ratificada em vez de deixada implícita: o roteador determinístico de sinais de alarme é intencionalmente cego à negação. A decisão de barreiras (ADR-0005) fixou isto como uma escolha deliberada de alto recall - “não sou suicida” ou “eu NÃO tenho dor no peito” mesmo assim escala, porque um sinal de alarme agudo perdido custa muito mais que um sobre-disparado. Este é um falso positivo aceito, não um bug.

O risco que este registro aborda é um “conserto” futuro: um revisor bem-intencionado adiciona consciência da negação - “o usuário disse NÃO, então suprimir o escalonamento” - e, ao fazê-lo, abre um buraco de falso negativo, o modo de falha exato que a postura de recall acima de precisão existe para evitar. Como a varredura agora vai à frente de cada portão na superfície viva, tal regressão degradaria em silêncio o piso de segurança para o tráfego real. Como ratificamos o comportamento e gateamos qualquer mudança nele para que um caso agudo nunca possa ser descartado em silêncio?

Fatores de decisão

• Recall acima de precisão em emergências agudas (ADR-0005). Um sinal de alarme perdido custa muito mais que um sobre-disparado; a assimetria é toda a base do design.
• Uma propriedade de sustentação deve ser um contrato explícito. Uma vez que a varredura vai à frente de cada portão vivo, sua cegueira à negação não pode ficar como um detalhe implícito.
• Qualquer mudança deve ser recertificada mecanicamente. Uma mudança de escalonamento relevante para a segurança deve re-provar zero regressão de recall, de forma determinística e sem juiz, antes de ser enviada.
• Sem nova lógica de detecção. O movimento é uma mudança de posição, não uma mudança de semântica.

Resultado da decisão

• Ratificar a sobre-escalonamento cega à negação como comportamento de produto aceito. A cegueira à negação do roteador determinístico de escalonamento (ADR-0005) é comportamento aceito e travado para o piso de segurança sempre ativo. Uma sobre-escalonamento sobre texto de sinal de alarme negado ou hipotético - “eu NÃO tenho dor no peito” mesmo assim escala - é correta por design: recall acima de precisão em emergências agudas. Nenhum revisor pode “consertar” isto em uma supressão consciente da negação que crie um buraco de falso negativo.
• Travar qualquer mudança de lógica de escalonamento atrás de uma recertificação de recall. Qualquer mudança ao detector de escalonamento, sua normalização, seus templates ou o pré-portão deve re-rodar e passar ambos os portões de recall vigentes antes de ser enviada:
  • um portão de paridade de recall - para cada caso do corpus que o detector dentro do grafo captura, o pré-portão também deve disparar, entre en / es-419 / pt-BR; um único caso perdido é uma regressão de recall proibida e falha o build;
  • uma prova de piso sem juiz - o piso determinístico se sustenta sem chave, sem juiz no laço, com recall positivo de must-escalate e sem deriva de sobre-disparo nem de sobre-bloqueio. Uma mudança que descarta um caso falha o primeiro; uma mudança que quebra o piso sem chave falha o segundo. Ambos são determinísticos e rodam na suíte offline, então a recertificação é mecânica e não pode ser pulada.
• Sem nova lógica de detecção. O pré-portão compõe as funções validadas existentes de forma literal; o nó de barreira dentro do grafo permanece como a retaguarda de defesa em profundidade. Este registro ratifica e gateia comportamento existente; não introduz nova semântica de escalonamento.

Confirmação

• O pré-portão sempre ativo dispara o template de emergência à frente de cada portão de requisição nas superfícies de chat e de voz, reutilizando o detector e os templates dentro do grafo de forma literal.
• O portão de paridade de recall e a prova de piso sem juiz passam ambos e são portões offline vigentes; uma mudança à lógica de escalonamento que descarta um caso, ou que quebra o piso sem chave, falha o build.

Consequências

Positivas

• A postura cega à negação é agora um contrato explícito e citado no funil público, não um detalhe implícito do detector. Um revisor que propõe consciência da negação deve primeiro passar a recertificação de recall, que o portão de paridade de recall torna impossível de passar descartando um caso.
• Os dois portões vigentes tornam mecânica a recertificação: ambos são determinísticos, sem chave e já na suíte offline, então uma mudança de escalonamento relevante para a segurança não pode ser enviada sem re-provar zero regressão de recall.
• O turno de escalonamento não roda LLM e não é medido, então um sobre-disparo não acarreta impacto de portão de custo nem de faturamento.

Negativas

• O custo do falso positivo aceito - uma frase de sinal de alarme negada ou hipotética renderizando o template de emergência - é suportado deliberadamente. É a troca correta sob recall acima de precisão, mas é um sobre-disparo real sobre essas entradas.

Neutras

• O movimento é uma mudança de posição (de dentro do grafo a uma cópia de pré-portão sempre ativa), não uma mudança de semântica; o nó dentro do grafo permanece como defesa em profundidade.

Alternativas consideradas

• Tornar o detector consciente da negação (suprimir o escalonamento sobre texto de sinal de alarme negado) (rejeitada): contradiz diretamente o recall acima de precisão e abre um buraco de falso negativo em emergências agudas, o modo de falha de maior custo. Um sinal de alarme perdido custa muito mais que um sobre-disparado.
• Deixar o comportamento implícito, sem ratificação e sem portão de recertificação (rejeitada): uma vez que a varredura vai à frente de cada portão na superfície viva, um “conserto” sem portão poderia degradar em silêncio o piso para o tráfego real sem sinal em tempo de build.
• Apoiar-se só na prova de piso sem chave sem a prova de paridade de recall (rejeitada): isso prova que o piso dentro do grafo se sustenta sem chave mas não que a cópia de pré-portão perca zero casos frente ao detector dentro do grafo - que é a obrigação de prova específica para a cópia.

Mais informações

• ADR-0005: Barreiras e postura regulatória - a postura de escalonamento de recall acima de precisão, cega à negação, que este registro ratifica como comportamento de produto aceito e trava.
• ADR-0031: Calibração com portão de escalonamento e autolesão - a âncora de segurança bloqueadora do lançamento sobre as dimensões de escalonamento e autolesão.
• ADR-0032: Correção do construto da rubrica de autolesão - o construto de autolesão com portão de presença na mesma linhagem de segurança.
• ADR-0033: Portão da faixa de lançamento restrito às dimensões exigidas - a faixa de lançamento restrita às dimensões de segurança exigidas.
• MADR 4.0.0: https://adr.github.io/madr/