Volumen y destino contra la línea de base

Un umbral fijo —«más de 500 MB por día»— salta con el servidor de respaldo todas las noches y no salta nunca con un puesto de oficina que normalmente sube 60 MB y hoy sube 400. La línea de base de cada máquina resuelve las dos cosas: se compara lo de hoy con la media de sus 14 días anteriores, medida en unidades de su desviación habitual.

Esa cifra se llama puntuación z: (hoy − media) / desviación. Una z de 1 es un día un poco alto; una z de 4, un día que esa máquina casi nunca tiene. Es un instrumento de priorización, no un veredicto: ordena a quién mirar primero.

Abre SELECT * FROM base_14d y SELECT * FROM hoy. Toma el puesto de diseño de estampados, tqh-pc08: su media y su desviación diarias vienen en la primera tabla, lo que subió hoy en la segunda.

Calcula la z con los MB de subida. No hace falta calculadora: las cifras salen redondas.

Un puesto que trabaja suele bajar más de lo que sube: abre páginas, recibe archivos, lee correo. Cuando la relación se invierte —sube mucho más de lo que baja—, el equipo está actuando como origen de datos y no como consumidor.

La relación subida/bajada es una segunda medida, independiente de la z: no usa ninguna línea de base. Dos señales que coinciden pesan más que una sola, porque cada una tiene sus propios falsos positivos.

El servidor de respaldo sube 3200 MB hoy, casi diez veces lo del puesto de diseño, y su z es moderada. Un respaldo nocturno hacia un destino aprobado, con su ticket, es lo que se espera de él. La columna destino_aprobado de hoy lo dice.

La regla es siempre la misma: el volumen ordena, el destino y la aprobación deciden. Un volumen enorme a un destino conocido y con ticket se documenta; un volumen mediano a un destino sin aprobar, nuevo y de un solo equipo, se investiga.

El puesto de diseño tiene una z alta y una relación de subida enorme. Falta saber a dónde. SELECT * FROM destinos_pc08 reparte lo subido por destino, con las veces que se conectó, cuánto hace que el destino apareció en la red y si está aprobado.

El destino que reúne casi todo el volumen, nuevo y sin aprobación, es el que se lleva al ticket de investigación. Los demás son parte del trabajo normal de un puesto de diseño.