Cuándo correlacionar solo suma ruido

Correlacionar ayuda cuando la combinación es rara aunque cada pieza sea común: muchos fallos y después un éxito, de la misma cuenta, es mucho menos frecuente que cualquiera de los dos por separado. Y solo suma ruido cuando se combinan señales comunes con «o», cuando la ventana es tan amplia que cualquier cosa coincide, o cuando la regla combinada alerta casi tanto como la simple.

La medida es la misma de todo el catálogo: precisión (verdaderos entre disparos), minutos de revisión por verdadero y, para que no se premie callar, cuántos incidentes de la regla simple se pierden.

Abre las tablas reglas_simples y reglas_correlacion. Calcula la precisión de cada regla de correlación: verdaderos entre disparos. Una de ellas combina señales con «o», es decir, alerta si ocurre cualquiera de ellas: eso no es correlacionar, es sumar las alertas de tres reglas en una.

COR-A1 es la secuencia «fallos y después éxito». Alerta poco, pero cada alerta cuesta más minutos de revisión, porque trae más contexto que revisar. Lo que importa es el costo por incidente encontrado: disparos por minutos por alerta, entre verdaderos.

COR-A1 parte de R-01, que sí alertaba todos los incidentes de este tipo, con mucho ruido. La correlación mejora la precisión pero exige la secuencia dentro de una ventana: un incidente cuyo éxito llega fuera de ella, o desde otro origen, ya no cumple la regla. Hay que contar cuántos se pierden respecto a la regla simple.

Una correlación mejora mucho la precisión y pierde algunos incidentes, otra mejora poco y otra empeora el cuadro. Hay que decidir con esas cifras, no con la elegancia de la lógica.