Líneas base por horario

Una línea base es la medición de lo normal con una regla: se decide qué se mide, en qué ventana y sobre qué grupo comparable. Para los flujos de salida, la unidad útil suele ser megabytes subidos por equipo y por hora, separados entre días laborables y fines de semana. Un total diario sirve para detectar cambios grandes; un perfil por hora detecta cambios pequeños que caen en horas en que no debería haber nada.

La razón es aritmética. Un puesto de oficina sube unos sesenta megabytes en un día. Si hoy sube sesenta y cuatro porque durante la madrugada subió siete, el total del día está dentro de lo normal y la franja de la madrugada está muy por encima de lo habitual. Ejecuta perfil_hora y mira cómo cae la subida entre la 01:00 y las 05:00.

El perfil por hora tiene dos columnas útiles. El promedio dice qué sube un equipo de media en esa hora. El p95 es el valor por debajo del cual quedó el 95 % de las observaciones: sirve de techo de lo habitual, sin el efecto de los pocos extremos que desplazan el promedio.

Un buen perfil tiene forma: una madrugada casi vacía, una subida a la entrada de la oficina, un pico a media mañana, un descanso a la hora de comer y una bajada al final. Conocer esa forma es lo que permite decir «a esta hora no toca». Ejecuta perfil_hora | sort by mb_subidos_medio desc | take 3.

La línea base se calcula sobre un grupo comparable: los puestos de oficina entre sí, los servidores entre sí. Mezclarlos produce una media que no describe a nadie. Tiene ventajas prácticas: un equipo nuevo, sin historia propia, se compara con su grupo desde el primer día; y un equipo que cambia de comportamiento no se compara con su propio pasado reciente, que podría ya estar contaminado.

También se separa el calendario: un sábado no se compara con un martes. Ejecuta perfil_nocturno y fíjate en las dos filas: la franja de madrugada del fin de semana es aún más silenciosa que la de un día laborable. Después, ejecuta ultima_noche | where mb_01_05 > 1.

Una desviación se expresa mejor en veces el p95 del grupo que en megabytes: «siete megabytes» no dice nada hasta que se compara con lo que sube el grupo en esa franja. Con el p95 de la madrugada como referencia se obtiene un factor que se puede comparar entre grupos y entre franjas, y sobre el que se pueden fijar umbrales sin rehacerlos para cada equipo.

El día completo del mismo puesto se ve normal: mira dia_grupo y compara con la columna mb_dia de ultima_noche. Hace falta la franja para verlo. Divide los megabytes que subió el puesto entre las 01:00 y las 05:00 por el p95 nocturno de un día laborable en perfil_nocturno.

Una línea base puede mentir. Si el grupo ya tenía un equipo comprometido durante las semanas que se usaron para calcularla, lo anormal quedó dentro de lo normal. Si cambió el negocio —una nueva sede, un horario de verano, un proceso nocturno— la base vieja alerta de más o de menos hasta que se recalcula. Y si el exportador cambió su configuración (muestreo, tiempos), las cifras de antes y de después no son comparables.

Por eso la línea base se revisa con una frecuencia fijada y se compara con los cambios aprobados. Una alerta contra una base desfasada hace ruido; una base contaminada, silencio.