Que es realmente un punto único de falla

Quitando la jerga técnica, un punto único de falla (a menudo llamado SPOF, por sus siglas en inglés) es algo simple: es una cosa cuya falla hace que todo lo demás se caiga con ella. Si una cadena tiene un eslabón débil, la fortaleza del resto de la cadena no importa. La cadena falla donde ese eslabón falla.

Los sistemas de comunicaciones son cadenas de dependencias. Entra una llamada, viaja por una red, llega a una posición de despacho, se envía por un canal, llega a un radio en una unidad en movimiento y se confirma. Cada uno de esos pasos depende de que algo debajo funcione: energía, una ruta de señal, un equipo, una persona. Cuando cualquiera de esas cosas no tiene respaldo, es un punto único de falla. Su falla no degrada el sistema. Lo detiene por completo.

La razón por la que los SPOF son peligrosos no es que fallen seguido. Es que fallan pocas veces, así que nadie se prepara para el día en que sucede. Un repetidor funciona años sin problemas, y el departamento termina construyendo silenciosamente todo su ritmo operativo alrededor de la idea de que siempre estara ahí. Cuando finalmente falla, la falla es total y llega sin aviso.

Donde se esconden en las comunicaciones de seguridad pública

Los puntos unicos de falla en las comunicaciones de un departamento tienden a agruparse en un puñado de lugares predecibles. Repase esta lista contra su propia configuración y sea honesto con cada punto.

• Un solo repetidor o una sola torre. Si un único sitio lleva sus rutas de comunicación principales y se cae, la cobertura colapsa. Un rayo, una falla de equipo o un error de una cuadrilla de mantenimiento de torres puede provocarlo.
• Un solo enlace de transporte (backhaul). La conexión que lleva el tráfico entre su centro de despacho y un sitio de radio es fácil de olvidar porque es invisible. Si depende de un único enlace de microondas o de un único circuito arrendado, ese enlace es un SPOF aunque los radios en si tengan respaldo.
• Una sola fuente de energía. Los sitios de radio y los centros de despacho que dependen solo de la energía de la red electrica quedaran sin funcionamiento en un corte. Incluso los sitios con planta electrica pueden tener un punto único de falla si la planta no tiene un interruptor de transferencia automático, un plan de combustible o una batería que cubra el intervalo.
• Una sola posición de despachador o una sola consola. Un centro con una única posición en funcionamiento, o una sola consola que controla los radios, significa que una falla de hardware o un empleado enfermo puede dejarlo sin capacidad de despachar.
• Un solo canal que carga todo. Cuando el tráfico de despacho, táctico y de mando comparte un único canal, ese canal es al mismo tiempo un cuello de botella y un SPOF. Si lo pierde, pierde todas las funciones a la vez.
• Un solo circuito de internet. A medida que más herramientas dependen de la red (mapas, alertas, registros, líneas telefonicas entregadas por datos), una única conexión de internet se convierte silenciosamente en algo de lo que depende toda la operación.
• Una sola persona que conoce el sistema. Este es el SPOF que a los departamentos les cuesta admitir. Si exactamente una persona entiende como está programado el sistema de radio, donde están las contraseñas y a quien llamar cuando algo falla, esa persona es un punto único de falla que además es humano. Vacaciones, jubilaciones y malos días aplican por igual.

Note que no todo esto es tecnología. Las personas y el conocimiento también son dependencias, y fallan a su propia manera.

Cómo mapear sus dependencias

No puede eliminar un eslabón débil que nunca ha identificado. Lo más útil que puede hacer un departamento es sentarse a mapear sus dependencias de comunicaciones en papel. Esto no requiere software especial ni un consultor. Requiere un tablero y honestidad.

Comience por el resultado que le importa y trabaje hacia atras. Tome un escenario sencillo: una persona llama, contacta al despacho y una unidad es notificada y responde. Ahora liste cada cosa distinta que tiene que funcionar para que eso pase, en orden:

• La línea telefónica o ruta de llamada hacia el centro.
• El despachador y la posición en la que trabaja.
• La consola o punto de control que activa el radio.
• El enlace desde el centro hacia el sitio de radio.
• La energía en el centro y la energía en el sitio.
• El repetidor y la antena en el sitio.
• El canal por donde viaja el tráfico.
• Los radios portátiles y móviles en el campo.

Para cada elemento, anote que lo respalda. Si la casilla bajo “respaldo” queda en blanco, encontro un punto único de falla y lo marco en el mismo momento. Este es todo el ejercicio. El mapa no es la meta. Las casillas en blanco son la meta.

La prueba de “que pasa si esto se cae”

Una vez que tenga el mapa, aplique un ejercicio deliberadamente pesimista sobre el. Revise elemento por elemento y hagase la pregunta: ¿que pasa si esto se cae ahora mismo, en medio de una tarde de mucho trabajo? No lo suavice. No asuma que alguien lo notara rápido. Imagine el escenario completo.

Para cada dependencia, anote tres cosas:

• El efecto inmediato. ¿Que deja de funcionar en el instante en que esto falla? Sea específico. “Perdemos el despacho en la zona norte” es útil. “Las cosas se complican” no lo es.
• La alternativa, si existe. ¿Que hace realmente la gente en ese momento? Si la respuesta es “ya veriamos como resolverlo”, eso no es una alternativa. Eso es un vacío.
• El tiempo de recuperación. ¿Cuanto tiempo pasa hasta que el servicio normal vuelve? Minutos, horas o días cambia por completo cuanto respaldo merece ese enlace.

Este ejercicio cumple dos funciones a la vez. Muestra las fallas que más dañarian y las separa de las que se pueden tolerar. No todo SPOF merece que se gaste dinero para eliminarlo. Un eslabón débil que causa una molestia de dos minutos y un eslabón débil que deja a medio condado sin despacho por un día no son el mismo problema, y tratarlos igual desperdicia un presupuesto limitado.

Cómo agregar respaldo de la forma correcta

Eliminar un punto único de falla significa darle al sistema una segunda forma de funcionar cuando la primera falla. Eso es el respaldo. El truco está en agregarlo en los lugares correctos y en las cantidades correctas. Unos cuantos patrones cubren la mayoría de lo que necesita un departamento.

• Energía de respaldo. Baterias para cubrir cortes cortos, una planta electrica con interruptor de transferencia automático y un plan real de combustible para los cortes largos. La energía es la dependencia que esta debajo de todas las demás, por lo que merece respaldo primero.
• Rutas alternas. Una segunda ruta de transporte, un segundo sitio que pueda asumir la carga, o un segundo circuito de internet de un proveedor genuinamente distinto. La palabra “distinto” importa. Dos circuitos que comparten el mismo cable físico enterrado son un solo circuito con dos facturas.
• Respaldo directo y en modo simplex. Cuando la infraestructura desaparece, los radios que pueden comunicarse de unidad a unidad sin repetidor mantienen coordinada a la cuadrilla en la escena. El modo simplex tiene alcance corto y no ayuda con la cobertura, pero funciona cuando todo lo demás está caído. Asegúrese de que las cuadrillas conozcan los canales de respaldo y realmente los hayan usado.
• Un modo manual documentado. Algunas fallas se enfrentan mejor no con más equipo sino con un procedimiento escrito. Si el despacho se cae, ¿como se comunican las unidades directamente? Si se pierde un canal, ¿a cual se mueven? Un modo manual que solo vive en la cabeza de un veterano es en sí mismo un punto único de falla.
• Personal con formación cruzada. El SPOF humano se elimina de la misma manera que cualquier otro: con una segunda vía. Más de una persona debería saber como está construido el sistema, donde están las credenciales y a quien llamar. Documentelo y asegúrese de que un segundo par de manos realmente haya hecho el trabajo, no solo leido sobre el.

PACE: primario, alterno, de contingencia y de emergencia

Los planificadores de seguridad pública y militares usan un marco simple para la resiliencia de las comunicaciones llamado PACE. Significa primario, alterno, de contingencia y de emergencia, y obliga a planear no solo un respaldo sino una escalera descendente de respaldos.

• Primario es el método que usa todos los días cuando todo funciona.
• Alterno es un método distinto que cumple aproximadamente la misma función con poca perdida, usado cuando el primario no está disponible.
• De contingencia es un método menos práctico y posiblemente más lento, pero que aun así hace llegar el mensaje cuando los dos anteriores ya no funcionan.
• De emergencia es el último recurso, el método de capacidad mínima absoluta al que se recurre cuando todo lo demás ha fallado.

El poder de PACE está en que lo obliga a definir el respaldo del respaldo. No basta con decir “tenemos un respaldo”. PACE pregunta que pasa cuando el respaldo también falla, y luego otra vez después de eso. Aplicado a una ruta de comunicación, el método primario podría ser el canal troncalizado o repetido, el alterno un segundo canal o sitio, la contingencia el modo simplex de radio a radio, y la emergencia un método celular o telefónico como último piso. Escriba el plan PACE para cada función crítica, y asegúrese de que las cuadrillas sepan en que escalon están y como subir al siguiente.

Probar la conmutación y equilibrar el presupuesto

Un respaldo que nunca se ha probado es una esperanza, no un plan. La forma más común en que los respaldos fallan es que se instalaron, se marcaron como listos y nunca se pusieron a prueba. La planta electrica que no enciende. El circuito de respaldo mal configurado hace años. El canal simplex que nadie ha activado nunca. Estos problemas se detectan en una prueba programada o se detectan en una emergencia real, y solo una de esas opciones es sobrevivible.

Pruebe la conmutación de forma deliberada y con un calendario. Desconecte el método primario a propósito, en una ventana controlada, y confirme que el sistema pasa al alterno tal como dice el plan. Luego siga bajando por la escalera PACE. Cronometrelo. Anote que fallo. Arreglelo y pruebe de nuevo. Una conmutación que funciona en el papel pero que toma cuarenta y cinco minutos y tres llamadas telefonicas para activarse no es la conmutación que usted creia tener.

Todo esto choca con la restricción real: el presupuesto. El respaldo cuesta dinero, y un departamento no puede darse el lujo de duplicar todo. Por eso el mapeo y el ejercicio de “que pasa si esto se cae” van primero. Le indican que puntos unicos de falla causarian un daño real y cuales son solo una molestia, para que gaste los recursos limitados en los enlaces que más importan. La resiliencia no consiste en eliminar cada punto débil. Consiste en asegurarse de que las fallas que más daño causarian tengan una segunda vía, y en aceptar las pequeñas con los ojos abiertos.

Puntos clave

• Un punto único de falla es algo cuya falla hace que todo lo demás se caiga con ella. Encuentrelos preguntando, sobre cada parte, “si esto se cayera ahora mismo, ¿podriamos seguir comunicandonos?”
• Se agrupan en lugares predecibles: una torre, un enlace de transporte, una fuente de energía, una consola, un canal, un circuito de internet y una persona que conoce el sistema.
• Mapee sus dependencias en papel y marque cada casilla de respaldo que quede en blanco. Las casillas en blanco son sus SPOF.
• Aplique la prueba pesimista de “que pasa si esto se cae” para separar las fallas que dañarian de las que se pueden tolerar.
• Agregue respaldo donde realmente importa: energía de respaldo, rutas alternas verdaderamente independientes, modo simplex, un modo manual documentado y personal con formación cruzada.
• Use PACE (primario, alterno, de contingencia y de emergencia) para planear el respaldo del respaldo, y capacite a las cuadrillas hasta que sea un reflejo.
• Pruebe la conmutación antes de necesitarla, y gaste su presupuesto limitado en los eslabones débiles que causarian más daño, no en eliminar todos y cada uno.