La salud de la plataforma — constatar el silencio

01El silencio es el modo de fallo más grave #sec_554cde20

Un proceso que falla escribe una línea. Un proceso que deja de funcionar no escribe nada. Toda la dificultad de la supervisión radica en esta diferencia: la avería más costosa es la que no deja rastro, y ninguna columna de ninguna pantalla puede mostrar lo que nunca se ha escrito.

REVIEWIT extrae de ello una regla de diseño: un estado de salud no se almacena, se calcula. Un estado almacenado debería ser actualizado por alguien, y en el caso que nos ocupa, ese alguien es precisamente el que se ha detenido. El veredicto se produce, por tanto, a la lectura, confrontando lo que se esperaba con lo que la tienda realmente contiene.

La misma exigencia vale para la diferencia entre verificar y no poder verificar. Una sonda que no ha podido mirar nunca devuelve «no sé»: no devuelve «en buen estado». Confundir ambos es el defecto más costoso de un dispositivo de vigilancia, porque solo se descubre en una auditoría, y nunca antes.

02El vigilante no comparte el destino del vigilado #sec_e4470335

Un proceso que vigila los procesos se detiene con el planificador que lo lleva. La respuesta no es renunciar a la vigilancia, sino elegir dónde se sitúa el observador, en círculos de resistencia creciente.

El primer círculo es la pantalla: el veredicto se calcula en otro proceso, dice la verdad incluso cuando el vigilado está muerto, pero solo cuando un ser humano mira. El segundo es la retransmisión: la región observada envía un resumen a un tercero de confianza, que mide la antigüedad de lo que recibe —un sistema no puede constatar su propia muerte, pero su silencio se constata en otra parte. El tercero es el latido saliente, cuya parada alerta a un tercero realmente ajeno.

El mismo razonamiento se aplica al propio canal de alerta. Una alerta que utilizara el servicio de mensajería del producto sería incapaz de anunciar el fallo de ese servicio: el canal que anuncia nunca comparte el destino de lo que anuncia.

Por último, un dispositivo de salud alerta, no pilota. Ningún reinicio automático, ninguna conmutación de estado, ninguna suspensión provocada por un silencio. La razón no es la prudencia sino la lógica: actuar sobre una ausencia de señal es tratar «no sé» como «sé que no». Un informe que no llega puede indicar un fallo del vigilado, del canal o del lector —tres causas, una sola apariencia.

03Lo que se espera se declara #sec_2e13ea82

Sin una declaración explícita de lo que debería existir, un componente retirado voluntariamente y un componente cuyo registro ha fallado en silencio son rigurosamente indistinguibles: ambos se presentan como una ausencia.

REVIEWIT mantiene, por tanto, un catálogo de lo que se espera. Cuesta una línea por elemento y hace que la ausencia no solo sea visible, sino cualificada: «esperado, ausente» se convierte en una alarma cuando nada lo justifica, y en una explicación cuando no se cumple una condición declarada —una funcionalidad desactivada, un servicio no configurado, una opción no suscrita.

Un catálogo puede derivar, y ese es su único verdadero riesgo. La solución es un control automático que lee el sistema real y compara ambas listas: un elemento nuevo hace fracasar el control antes de alcanzar un despliegue.

La gravedad, por su parte, no se confunde con la naturaleza del problema. «Ausente», «silencioso», «en fallo» describen lo que sucede, no lo que cuesta. Un proceso secundario ausente pesa menos que un proceso vital en fallo: la gravedad es un cálculo —naturaleza, criticidad declarada, antigüedad, repetición— y no una posición en una lista.

04Alertar sin agotar la atención #sec_35228c41

Un lector que constata un fallo cada cinco minutos enviaría cerca de trescientos mensajes al día por un solo incidente. La distinción que lo evita es simple: el veredicto no tiene estado, la notificación sí. Lo que se conserva no es la salud, sino el hecho de que ya se ha avisado a un ser humano —suprimir por completo este registro no cambiaría ningún veredicto.

De ahí se deduce el ciclo: un retraso antes de abrir un incidente, porque una constatación vista una sola vez puede ser un reinicio; un solo incidente por tema; un recordatorio con una cadencia declarada; y una recuperación anunciada una sola vez, y solo si se había abierto. No se tranquiliza a alguien a quien no se ha molestado.

Cuando una alarma conocida ya no debe despertar a nadie, existen dos vías: silenciar la constatación o declarar que se asume. La primera es una mentira diferida. REVIEWIT ofrece, por tanto, solo la segunda: una puesta en espera lleva un motivo, un autor y una fecha límite —los tres o ninguno. No cambia el veredicto, solo el envío. La constatación sigue siendo cierta, sigue mostrándose y reanuda su curso a la fecha límite. El sobreseimiento obedece a la misma lógica: «sé» detiene los recordatorios, nunca el hecho, y lo que empeora no ha sido sobreseído.

05Dos audiencias, una sola realidad #sec_5568dbff

El operador y el cliente miran la misma plataforma y no tienen la misma pregunta. El primero pregunta qué componente ha caído; el segundo pregunta si el servicio que se le debe funciona.

Retransmitir los nombres técnicos al segundo no es transparencia, es una transferencia de carga: se le deja una traducción que no puede hacer. Ocultar un retraso real sería el exceso inverso, y una mentira. REVIEWIT interpone, por tanto, una proyección explícita y versionada, que vive en el módulo y no en la pantalla, de lo contrario dos portales acabarían respondiendo de forma diferente a la misma pregunta.

Tres reglas la rigen: el peor estado se impone, lo que no está montado está fuera del perímetro y nunca se retrasa, y la fecha presentada es la del hecho, no la de la página. El cliente lee así promesas cumplidas o retrasadas —la recopilación de identidades, el relanzamiento de campañas, el envío de notificaciones— y no códigos de procesos.

06La dirección del flujo y la última prueba #sec_337c2c62

Cuando coexisten un plan de control central y regiones autónomas, el sentido de la circulación es una decisión de arquitectura y no un detalle de implementación. Abrir un canal descendente solo por la comodidad de una pantalla de supervisión bastaría para hacer insostenible la autonomía regional.

La consecuencia es más liberadora que restrictiva: como el centro no va a buscar, son las regiones las que envían su resumen, y su silencio se convierte en una señal de primer orden, gratuita, que ningún otro dispositivo habría proporcionado. Lo que debe observarse de cerca se sondea de cerca: una región sondea a sus propios vecinos e informa; el centro lee lo que le han dicho y la antigüedad de lo que le han dicho.

Queda por no destruir lo que permite fechar un silencio. Un registro sin purga se vuelve ilegible; una purga sin suelo borra el último rastro de un tema que ha enmudecido, que vuelve a ser indistinguible de un tema nuevo. La regla es, por tanto, estructural y no parametrizable: sea cual sea el período de retención elegido, el último rastro conocido de cada tema sobrevive, incluida, y sobre todo, la de los temas que ya no existen.

07En resumen #sec_cffea994

Un dispositivo de salud no tiene por objeto anunciar que todo va bien. Tiene por objeto hacer visible lo que, por naturaleza, no se ve: la parada silenciosa, la ausencia no declarada, el tratamiento que tiene éxito sin producir nada más. REVIEWIT calcula sus veredictos en lugar de almacenarlos, coloca al observador fuera del perímetro observado, declara lo que espera, nunca actúa sobre una ignorancia, traduce para el cliente sin transmitirle su tubería, y siempre conserva la última prueba que permite fechar un silencio.