Programación y ventanas

Una regla programada tiene un intervalo (cada cuánto corre) y una ventana o periodo de búsqueda (cuánto tiempo hacia atrás mira cada vez). Ambos pueden ir de cinco minutos a catorce días. La ventana debe ser igual o mayor que el intervalo: si fuera menor, entre una ejecución y la siguiente quedarían tramos de tiempo que nadie mira. El asistente de reglas rechaza esa combinación al validar. En cambio, una ventana mayor que el intervalo solapa las ejecuciones, y eso es válido pero tiene consecuencias.

Abre reglas_programadas y validacion.

Los eventos no se ingieren al instante. Un evento puede haberse generado a las 10:00 y quedar disponible en el espacio de trabajo a las 10:11. Si una regla corre cada cinco minutos y mira cinco minutos hacia atrás, el evento tardío ya salió de la ventana cuando por fin se puede ver, y la regla jamás lo alerta. El enfoque documentado es ampliar la ventana en el retraso medido de la tabla. El criterio CC-01 de la casa lo resume con una suma.

Aplica el criterio a la regla de descargas masivas. Usa reglas_programadas y criterios_de_cobertura.

Ampliar la ventana tiene un costo: las ejecuciones se solapan, y un mismo evento cae en dos ventanas y dispara dos alertas. La solución es asociar cada evento a una sola ejecución usando la hora de ingesta en lugar de la hora de generación: la consulta mira hacia atrás por la hora en que el evento se generó (con el margen del retraso) pero solo acepta los que se ingirieron durante el último intervalo. Así la ventana amplia atrapa lo tardío y el filtro de ingesta evita contarlo dos veces.

Cuando la ventana es mayor que el intervalo, el solape entre ejecuciones consecutivas es la diferencia entre ambas. Ese tramo es el que se mira dos veces y donde un evento sin filtro de ingesta puede alertar por duplicado. A veces el solape es deliberado, como margen para el retraso; lo malo es que sea accidental y nadie lo sepa.

Calcula el solape de SEN-R-024 con reglas_programadas.

Cada ejecución consulta datos y consume recursos del espacio de trabajo. Reducir el intervalo da avisos más rápidos, pero multiplica el número de ejecuciones al día; con 300 reglas, la suma importa. Antes de acortar un intervalo conviene saber cuántas veces corre hoy la regla. Un día tiene 1440 minutos (figura en validacion).

Calcula las ejecuciones diarias de SEN-R-021.