Filtrar sin perder contexto

Una búsqueda por texto, la más natural, es también la que más contexto destruye. Si buscas el nombre de un programa, obtienes las filas que lo nombran; las filas que explican por qué ocurrió no lo nombran: el inicio de sesión que lo hizo posible, el archivo que se leyó justo antes, el que apareció después.

Por eso el flujo habitual no es buscar y leer, sino buscar y abrir el contexto: usar el acierto como ancla de hora y mirar los minutos de alrededor con todas las fuentes, sin filtro de texto. El acierto dice dónde mirar; el contexto dice qué pasó.

Los filtros se encadenan: cada uno trabaja sobre lo que dejó el anterior. Anotar cuántas filas quedan tras cada paso es una disciplina barata y útil: si un paso quita casi todo, vale la pena confirmar que quitó lo que debía; si no quita nada, sobra.

En la consola está la cadena de filtros que siguió un analista de Sierrabonita sobre la línea de sbn-fs02, con las filas que quedaban en cada paso.

El último paso de la cadena dejó una sola fila: un programa de compresión lanzado por una cuenta de servicio. Ahora toca abrir la zona de alrededor, sin filtro de texto y con todas las fuentes, y leer la secuencia completa.

La tabla alrededor_del_acierto contiene esa zona. Una fila anterior al acierto explica cómo llegó la cuenta hasta allí, y es justo la que el filtro por palabra no devolvió.

Un filtro que nadie anotó es un hallazgo que nadie puede repetir. En el informe y en el espacio de trabajo hay que dejar la ventana exacta en UTC, las fuentes incluidas y excluidas, la condición de texto y el número de filas que quedaban. Así otra persona llega a las mismas filas y puede comprobar que no se quedó fuera nada que contradijera la conclusión.

Esto también protege al propio analista: si la ventana se elegió bien, se puede defender; si se eligió mirando solo donde ya se sospechaba, quedará a la vista.