El informe de una caza y el traspaso a detección

El informe de una caza lo leen personas distintas con preguntas distintas. La dirección quiere saber en dos líneas qué se buscó y qué significa el resultado. Otro cazador quiere el alcance y las consultas para repetir la caza o ampliarla. Ingeniería de detección quiere saber qué detección se propone. Y todos necesitan saber hasta dónde se pudo mirar, porque un resultado sin ese alcance no se puede interpretar.

Por eso el informe tiene una plantilla fija de secciones cortas. La plantilla no hace el informe más largo: hace que cada lector encuentre su parte sin leer la de los demás, y que nada importante dependa de la memoria de quien lo escribió.

Abre la consola. La tabla plantilla_informe lista las siete secciones del informe y quién las lee; borrador_hzg204 trae el informe de la caza HZG-204 que alguien dejó listo para enviar. Compara los dos. Un informe al que le falta una sección no es un informe corto: es un informe que el lector tendrá que completar con suposiciones.

Una de las siete secciones no está en el borrador, y la que falta es la que más tienta omitir, porque obliga a admitir lo que no se alcanzó a ver.

Un traspaso a ingeniería de detección es un paquete, no un aviso. Ingeniería recibe decenas de peticiones y no puede rehacer la caza para entenderla. Para aceptar un traspaso necesita tres cosas: el caso positivo, es decir la evidencia de la caza que la detección debe volver a ver; el volumen esperado, cuántas veces por semana se espera que dispare con tráfico normal; y la fuente con los campos que usa la condición.

Sin el caso positivo no se puede probar que la detección funciona; sin el volumen no se puede decidir si el ruido será manejable; sin la fuente no se sabe si el dato existe donde la regla vivirá.

La tabla traspasos trae los seis del trimestre, con una columna por cada cosa que ingeniería exige y el estado en que quedó. Tres fueron devueltos, y cada uno por un motivo distinto: a uno le faltaba un campo, a otro otro. Devolver con el motivo exacto es sano, pero cada devolución cuesta días, y esos días son los que una amenaza sigue sin vigilarse.

El tiempo que pasa entre que el cazador abre un traspaso y que ingeniería lo acepta es una medida del programa: si crece, algo falla en el paquete o en la cola. Sirve para comparar los traspasos que salieron completos con los que hubo que devolver. Para esta medida se toman solo los traspasos aceptados, con los días que estuvieron abiertos hasta su aceptación.