Lo normal y cómo se mide

«Lo normal» no es una sensación del equipo: es un número que sale de medir algo concreto, durante un tiempo concreto, sobre un grupo comparable. Esas son las tres decisiones. Qué se mide: megabytes que salen, conexiones por hora, procesos que corren. Cuánto tiempo se mira: una ventana, por ejemplo 30 días, que sea lo bastante larga para incluir un ciclo completo del negocio. Y sobre qué grupo: un servidor con su par, un día laborable con otros laborables, una hora con la misma hora de otros días.

Si cambia cualquiera de las tres, cambia el número. Por eso una línea base se escribe con su ficha: métrica, ventana, grupo y fecha de cálculo. Sin esa ficha, dos analistas miran «lo normal» y se contradicen sin que ninguno se equivoque.

El volumen se puede mirar con dos granularidades, y cada una cuenta algo distinto. El día entero muestra el nivel general; la hora muestra la forma del día: cuándo se trabaja, cuándo se duerme y cuándo corren los procesos programados. Una desviación que no se ve en el total diario puede verse con claridad en una hora: cien megabytes a las tres de la madrugada son poca cosa para el día, pero son muchísimo para esa hora.

Abre la consola del laboratorio. La tabla perfil_horario trae, para un día laborable de vdq-srv-web01, el promedio de cada hora en los 30 días y su p95: el valor que el 95 % de las observaciones de esa hora no supera. Ordena el perfil de mayor a menor con perfil_horario | sort by promedio_mb desc | take 3.

Ahora el volumen por día. Ejecuta salida_diaria | summarize promedio = avg(mb_salida), mediana = percentile(mb_salida, 50). Verás dos resúmenes del mismo mes. El promedio suma todo y divide por los días: cada día cuenta con su valor completo, así que un día enorme lo arrastra. La mediana es el valor del medio cuando se ordenan los días de menor a mayor: da igual cuánto valga el día más grande, solo importa que está al final de la fila.

Cuando promedio y mediana se separan, los datos están contando que no son simétricos: hay días muy bajos (los fines de semana), un día muy alto, o ambas cosas.

Una línea base con un solo número casi siempre se queda corta, pero si hay que elegir uno, hay que elegirlo sabiendo qué hace cada resumen. El promedio es sensible a los valores extremos: un día atípico, un incidente o un fin de semana de poca actividad lo desplazan. La mediana no se mueve por un extremo. Por eso, cuando los datos tienen extremos, la mediana de un grupo comparable (los laborables, por ejemplo) describe mejor el día corriente que el promedio de todo el mes.

Ninguno de los dos sustituye al otro: la mediana dice dónde está el día típico y el promedio dice cuánto pesa lo atípico. Lo que no se hace es publicar uno solo y callar el otro.

Los resúmenes no sustituyen a mirar los días uno a uno. Con salida_diaria | top 1 by mb_salida desc y con salida_diaria | sort by mb_salida desc | take 5 aparece el mayor valor del mes y el bloque de los siguientes. El mayor no está pegado a los otros: en los datos se ve un día que se separa por mucho del grupo. Que se separe no dice qué pasó ese día; dice que hay algo que explicar antes de usarlo como parte de «lo normal».