Aislar sin apagar, el menú de contención

Contener no es una palanca única, es una escalera. Los peldaños de abajo son finos: cerrar una sesión, deshabilitar una cuenta, bloquear un destino concreto en el cortafuegos. No tocan el proceso y se deshacen en minutos. Los de arriba son gruesos: desconectar un cable entero, reiniciar un equipo de salto, apagar un controlador. Cuestan trazabilidad, evidencia o control del proceso, y se deshacen en horas.

La regla de elección es subir solo lo necesario. Se empieza por la medida más fina que corte la vía por la que llegó la orden, se mide si basta y solo entonces se considera la siguiente. En OT, además, algunas medidas gruesas no son tuyas: pasan a la lista de decisiones de operaciones.

Para elegir la medida hay que saber por dónde pasó la orden, no por dónde sospechas que pasó. La copia pasiva del tráfico tiene cada paquete con su origen y destino, y el plano de zonas de la planta da nombre a cada cruce entre zonas: eso es un conducto. Cada conducto, además, trae anotado si el proceso lo necesita para funcionar.

Abre observado y localiza la fila de la escritura del registro de consigna. Después mira conductos para confirmar que el proceso no depende de ese conducto: si no depende, cortarlo es una medida de contención limpia.

Con el conducto identificado, queda elegir la opción. Mira la tabla opciones_de_contencion con tres preguntas: ¿qué conducto corta?, ¿qué efecto tiene en el proceso? y ¿cuánto tarda en deshacerse? La mejor opción no corta de más: corta justo el conducto de la escritura. Una que corta ese y otro más puede ser aceptable, pero cuesta algo que quizá no hacía falta pagar.

Cuidado con las opciones que parecen inofensivas porque «el proceso sigue». Reiniciar un equipo de salto no toca el proceso, pero borra la memoria del equipo, que es evidencia. La columna de efecto lo dice entre líneas: léela entera.

Una contención sin comprobación es otra apuesta. Después de cualquier medida hay que mirar dos cosas con la evidencia pasiva: que lo que debía cortarse dejó de pasar, y que lo que debía seguir funcionando sigue. En esta planta, el mando desde la pantalla de sala por el conducto indispensable y el envío al historiador tienen una huella de tráfico reconocible: si siguen apareciendo, el proceso no notó la medida.

La comprobación es de lectura: se mira la copia del tráfico y la pantalla de sala, no se «prueba» nada contra los controladores. Si la comprobación falla, se deshace la medida, que para eso se eligió reversible.