Priorizar anomalías

La tentación es ordenar por la desviación: la anomalía que más se aleja de su línea base va primero. Falla en los dos sentidos. Una desviación enorme puede tener la mejor de las explicaciones (una copia trimestral que se aprobó la semana pasada); una desviación pequeña en un activo crítico, hacia un destino que nunca se había visto, puede ser lo único que importe.

Por eso la priorización combina factores que se pueden leer en los flujos y alrededor de ellos: cuánto se desvía, si el destino es nuevo, qué criticidad tiene el activo, si hay ritmo regular y si hay un cambio aprobado que lo explique. Ejecuta anomalias y criterios y compara.

Un puntaje es una forma de que varios factores pesen a la vez, y de que dos analistas ordenen la cola igual. La tabla criterios da los puntos de este equipo: de 1 a 3 por desviación, 2 si el destino es nuevo, de 0 a 2 según la criticidad del activo, 1 si el ritmo es regular y −3 si un cambio aprobado explica la desviación. Son pesos de este equipo, no un estándar: se ajustan con los falsos positivos de cada organización.

Suma los puntos de cada anomalía de la tabla anomalias, una por una, y ordena de mayor a menor. La desviación es en veces el p95 del grupo; la tabla criterios dice a qué tramo corresponde cada una.

Hacer la suma en voz alta es parte del oficio: sirve para discutir un puntaje con otra persona y para detectar una tabla de pesos mal calibrada. Una anomalía de desviación moderada en un servidor crítico, con un destino nuevo y sin ritmo, tiene que quedar por encima de lo corriente aunque su desviación no sea la mayor. Si no queda, los pesos de la tabla están mal.

Calcula el puntaje del servidor de base de datos: suma los puntos de su tramo de desviación, de su destino, de su criticidad, de su ritmo y de su cambio.

Dos anomalías traen un cambio aprobado que las explica: el cambio resta puntos, pero la anomalía no desaparece. Ejecuta anomalias | where cambio != "ninguno" y cambios. Un cambio explica si cubre ese equipo, ese comportamiento y esa fecha: si el cambio dice «cuatro horas más de subida» y la anomalía muestra el doble, la parte que sobra no está explicada.

Lo que se hace es bajar la prioridad, anotar el cambio y volver a mirar el valor cuando termine la ventana autorizada. Así, si una explicación era solo parcial, aparece de nuevo y con evidencia.