Continuidad con degradación controlada

Un sistema puede fallar de dos maneras: cae por completo o pierde algunas funciones y sigue con las esenciales. La segunda es la que se diseña. Para una planta eléctrica significa, por ejemplo, que el control local de la turbina siga funcionando sin la nube y que se suspendan solo los informes o los análisis que dependen de ella.

La degradación es controlada cuando está decidida de antemano: qué funciones se mantienen, cuáles se suspenden y cómo se sabe que se está en ese modo. Si nadie la escribió, el modo degradado lo decide el azar de la falla.

Abre funciones.csv. La regla 2 del plan pide un modo degradado para toda función crítica. Una función crítica que además necesita la nube para operar y no tiene ninguno es la combinación más grave: la nube cae y la función se detiene sin alternativa.

La regla 3 dice que un modo degradado que no se probó no cuenta. Hay una función crítica con un modo declarado en el papel que, según la tabla, nadie ha probado. No es una falta de plan, sino de evidencia de que funciona.

Durante un corte de enlace, el historiador de la planta guarda localmente lo que no puede enviar, pero su memoria es finita. Si el corte dura más de lo que cabe en ella, los datos más antiguos se pierden. La cifra se calcula con la duración del corte (del corte-de-enlace.log) y la memoria local (memoria-local.txt), todo en minutos.

La planta siguió operando, y eso es lo importante. El hueco de datos es un hecho que hay que decir, con su cifra, en el informe: afecta a los análisis posteriores y puede importar a quien audite. No es una falla del control, sino de la conservación de datos, y se resuelve con más memoria local o un envío por lotes al volver el enlace.