Cuándo la línea base miente

Una línea base es el resumen de una ventana de tiempo, y todo lo que ocurrió en esa ventana pasa a ser «lo normal», también lo que no debía haber ocurrido. Si durante los 30 días de cálculo hubo un incidente que nadie había detectado o que sí se detectó pero no se excluyó, la base lo incorpora. Resultado: el umbral sube, y la próxima vez que ocurra lo mismo ya no avisa porque «eso es normal».

El defecto es silencioso. No genera ningún error ni ninguna alerta, y por eso conviene revisar cada línea base contra el registro de incidentes y de cambios antes de usarla.

Abre el laboratorio. linea_base dice con qué días se calculó la base vigente y cuándo. incidentes lista los incidentes de los últimos meses sobre este servidor, con su tramo de fechas. Cruza las dos tablas: uno de los incidentes cae entero dentro de la ventana; el otro, anterior, no la toca. Es el que contamina la base.

Otra manera de mentir: datos que faltan y se cuentan como ceros. Si el sensor que recoge un dato se apaga tres días y la plataforma registra cero, el promedio de la ventana baja. Y un umbral construido sobre un promedio bajo alerta todos los días que el sensor sí funciona. O al revés: una caída real del tráfico, por una falla del servicio, queda escondida si «cero» ya se considera normal.

Ejecuta ventana_laborables | summarize promedio = avg(mb_salida) y ventana_laborables | where mb_salida > 0 | summarize promedio = avg(mb_salida). La primera cuenta los días sin dato; la segunda, no.

La tercera mentira es la más difícil de ver. Una línea base móvil se recalcula todos los días con las últimas semanas. Si el tráfico crece poco cada semana, la base crece con él y la desviación nunca pasa de lo permitido. Ejecuta semanas: las columnas base_movil_4s_mb y desvio_pct muestran que cada semana queda a una distancia modesta de la base móvil. Y semanas | where desvio_pct > 20 | count dice cuántas veces avisó la regla en doce semanas.

Contra una base fija, anterior al crecimiento, el cuadro es otro. Ejecuta semanas | where semana <= 4 | summarize promedio = avg(promedio_laborable_mb) y semanas | where semana == 12.

Las tres mentiras tienen defensas distintas, pero comparten una idea: la línea base es un documento versionado, no un cálculo que ocurre solo. Se calcula contra una ventana que se excluye de incidentes y de huecos de datos, se guarda con su fecha y su ficha, se compara además contra una base fija anterior para ver la deriva lenta, y se revisa con cada cambio grande aprobado, porque un cambio puede mover el nivel normal de golpe.

Lo que no sirve es bajar el umbral hasta que alerte, ni subirlo hasta que deje de molestar. Eso no corrige la base: la disfraza.