Ventanas y condiciones

La condición puede contar los eventos de una variable con #: #e >= 5 pide cinco o más eventos e en el grupo y la ventana. El operador importa: > exige estrictamente más, así que #e > 5 pide seis o más, mientras que #e >= 5 acepta exactamente cinco. En una regla de varios eventos también se puede exigir que existan dos variables a la vez con $a and $b.

Esta regla, como toda con match, agrupa por una clave: aquí la cuenta. La ventana se evalúa dentro de cada cuenta.

fallos_por_ventana ya trae los fallos contados por cuenta y por tramo de 10 minutos. Aplica la condición #e >= 5 a cada fila.

El borde de un umbral es donde las reglas se equivocan en silencio. Compara rafaga_estricta (con >) y rafaga_laxa (con >=) en variantes_de_la_regla. Hay una cuenta, en un solo tramo, que la primera deja pasar y la segunda atrapa, porque tiene exactamente el valor del umbral.

Cuatro variantes usan ventanas distintas. Una ventana corta ve ráfagas; una ventana larga ve cuentas con muchos fallos repartidos, pero también junta eventos que no tienen relación. Según la documentación consultada el 7 de octubre de 2026, la ventana de una regla admite desde un minuto hasta 48 horas, y la plataforma decide cómo se solapan y se alinean los tramos.

goteo_lento usa dos horas y veinte fallos: busca intentos espaciados para no llamar la atención. rafaga_laxa usa diez minutos y cinco. Ninguna es mejor en abstracto; cada una responde a una hipótesis distinta, y la ventana debe salir de esa hipótesis y de los datos, no de lo que cómodamente cabe.

Una regla busca un inicio de sesión bloqueado y, de la misma cuenta, un inicio de sesión permitido poco después. Las dos variables, $fallo y $acierto, tienen su propio tipo de evento y comparten la cuenta. Falta decidir qué condición expresa «ambos hechos ocurrieron».