Campos obligatorios, tipos y cardinalidad

Hay tres maneras de reaccionar cuando un evento no cumple el esquema. Rechazarlo, y entonces el evento no llega al índice. Aceptarlo con un aviso, y entonces llega marcado para su revisión. O aceptarlo sin más, y entonces la regla que lo necesite no lo verá y nadie sabrá por qué.

La tercera es la peor: un evento que desaparece sin avisar es una detección ciega. Si falta un campo obligatorio, el evento no puede alimentar ninguna regla que dependa de él, pero el rechazo debe dejar rastro: un contador, una cola de revisión, un aviso al responsable de la fuente. Sin rastro, el hueco parece una fuente tranquila.

Abre el laboratorio y consulta la tabla lote_vpn: diez documentos de la pasarela VPN, con lo que decidió la validación de cada uno. Las columnas estado y motivo dicen si entró y por qué no.

En ECS, la versión del esquema es uno de los dos campos que todo evento debe llevar. Sin ella, no se sabe contra qué definición se escribieron los demás campos, y un cambio de versión puede cambiar su significado sin que nadie lo note.

Un porcentaje de rechazo se mide sobre el total del lote: no basta con ver cuántos documentos fallaron, hay que ponerlos frente a los que entraron. El número vigila la salud de una fuente: si el rechazo sube de un día para otro, algo cambió en el origen o en el mapeo.

Para esta medida, un documento aceptado con aviso cuenta como aceptado: entró en el índice, aunque haya que revisarlo.

Algunos campos guardan un solo valor y otros guardan una lista. La cardinalidad es parte del esquema: un evento puede pertenecer a varias categorías a la vez, y una lista de etiquetas puede tener cualquier número de elementos. En ECS, por ejemplo, la categoría del evento y su tipo son listas.

Esto cambia cómo se escribe una regla. Una condición pensada para un valor único puede dejar fuera los eventos que traen una lista, y una agrupación por el campo completo agrupa por la lista entera, no por cada elemento.

No todo defecto de un valor lo detecta el tipo. Un campo de tipo texto acepta cualquier palabra: «fallo» es texto válido aunque el esquema solo admita una lista cerrada de valores para el resultado. Esa verificación, la de que el valor sea de los permitidos, es de la organización, y por eso aquí el canal acepta el documento pero deja un aviso.

Un aviso que nadie lee deja los datos igual de rotos. Una regla que pregunte por el valor correcto no verá los documentos con el valor casi correcto.