Recuperar y volver a la normalidad

La copia de oro es la última versión aprobada del programa de cada controlador, guardada fuera de la planta y registrada con su fecha. Sirve para dos cosas: comparar lo que corre hoy contra lo que debería correr, y restaurar si hay diferencia sin autorización. Sin ella no hay forma de saber si el controlador quedó como estaba o si lleva una modificación que nadie vio.

Por eso la recuperación en OT empieza por comparar y después restaurar, siempre con operaciones y en una ventana acordada. Reinstalar «por si acaso» puede borrar la diferencia, que es evidencia, o dejar el controlador peor que antes si la copia que se usó no es la aprobada. Y reiniciar no demuestra nada: un equipo puede arrancar perfectamente con una lógica que no es la suya.

Que la revisión en servicio no coincida con la copia de oro no es siempre un incidente: a veces alguien hizo un cambio legítimo y se olvidó de guardar una copia nueva. La forma de distinguir es el registro de cambios autorizados. Una diferencia con un cambio aprobado que la explica es un hueco de proceso; una diferencia sin cambio que la explique es lo que hay que investigar.

Abre programas y cambios_autorizados. Hay dos controladores con diferencia. Cruza cada uno con los tickets de cambio: solo uno queda sin explicación.

Volver a automático es devolverle al controlador el gobierno del proceso. Es una decisión de operaciones y se firma. Antes de ese paso la lógica ya restaurada debe haberse comparado con la copia de oro, el producto debe estar estable y el operador debe confirmar la consigna. Hacer el paso sin firma deja al incidente cerrado sobre una suposición.

El plan de retorno ordena los pasos y lleva en cada uno la firma de quien responde de él. Abre plan_de_retorno y localiza el paso en que el túnel pasa de manual a automático.

Operaciones no puede dar la planta para trabajar sin saber cuánto va a durar. El plan de retorno trae los minutos previstos de cada paso, y como se hacen uno tras otro, la ventana que se pide es la suma. Pedirla bien evita tener que alargarla a medias, y ese alargue suele ser lo que obliga a decidir con prisa.

Suma los minutos de los cinco pasos de plan_de_retorno y escribe el total.

Que el túnel esté en automático y la temperatura esté en rango es necesario, pero no suficiente. Un incidente con acceso del atacante a la red deja dos dudas abiertas: si había otra vía que no se vio y si el controlador quedó realmente como la copia de oro. El último paso del plan, la observación reforzada, cubre la segunda duda con la primera: durante un tiempo se vigila que la línea base de conversaciones vuelva a ser la de siempre y que no aparezca tráfico nuevo.

Se dice «recuperado» cuando el proceso opera normal, la lógica coincide con la aprobada y esa observación pasó sin hallazgos. Hasta entonces el estado es «en retorno», y el informe lo cuenta así.