Los documentos que recibes, no solo el software.

Dos sistemas guardan registros que deberían coincidir. Se comparan a mano, con una cadencia que depende de que alguien se acuerde, y una discrepancia suele notarla la persona a la que perjudica en lugar del proceso que la produjo. El trabajo lo sustituye por un servicio que compara ambos lados con un calendario fijo, cierra las diferencias para las que tiene una regla e informa de las demás.

Esta sección se devuelve a quien compra con sus propias palabras, y el alcance no se acuerda hasta que reconoce en ella su problema. Un alcance construido sobre un enunciado que el cliente habría formulado de otra manera ya es erróneo, y la mayoría de los desacuerdos que surgen después se remontan a este párrafo.

• Ejecución de conciliación: Una comparación programada de ambos registros, que produce un conjunto que coincide, un conjunto de diferencias que una regla puede cerrar y un conjunto que necesita a una persona.
• Reglas de resolución: Las reglas que cierran una diferencia sin intervención humana, escritas y versionadas con el servicio en lugar de vivir solo en el código que las aplica.
• Cola de excepciones: El lugar adonde va a revisarse una diferencia que ninguna regla cierra, con los dos registros de origen adjuntos para poder actuar sin una segunda investigación.
• Superficie operativa: Lo que necesitan los operadores para ejecutar, pausar e inspeccionar una conciliación sin pedírselo a un ingeniero.
• Entrega: El runbook, la devolución de los accesos y una sesión de trabajo con las personas que operarán después el servicio.

• Modificar cualquiera de los dos sistemas de registro. Ambos se leen tal como están, y el servicio no opina sobre cuál tiene razón más allá de las reglas acordadas aquí.
• La corrección automática de una diferencia que ninguna regla cubre. El servicio la comunica. Una persona decide.
• La carga retroactiva del histórico más allá de la ventana indicada en los supuestos de abajo.
• Cualquier cosa que se encuentre después de acordado este documento, salvo que llegue por el cauce de cambios con el que termina.

La lista de lo que queda fuera es la mitad de un documento de alcance que hace el trabajo. Lo que está dentro es lo que ambas partes ya acuerdan. Lo que está fuera es lo que cada una supuso de manera distinta sin haberse dado cuenta todavía.

• Primera etapa, leer ambos lados: Se acepta cuando una ejecución lee ambos registros de punta a punta desde un arranque en frío y produce un conjunto de diferencias reproducible: las mismas entradas dan la misma salida, y la ejecución puede repetirse sin efectos secundarios.
• Segunda etapa, cerrar lo que tiene regla: Se acepta cuando cada regla del conjunto acordado se ejercita con una prueba que nombra el caso que cubre, y cuando cambiar una regla es un cambio revisado del conjunto de reglas y no del servicio.
• Tercera etapa, pasar el resto a una persona: Se acepta cuando una diferencia sin regla correspondiente llega a la cola de excepciones con los dos registros de origen adjuntos, y alguien que no participó en el desarrollo puede resolverla.
• Cuarta etapa, operarlo: Se acepta cuando los operadores ejecutan por sí mismos un ciclo completo, a partir del runbook, mientras el equipo de desarrollo observa sin conducir.

Un criterio de aceptación es una frase a la que se puede exigir cumplimiento. Si una línea no puede comprobarla alguien ajeno al proyecto, es una esperanza y no un criterio, y no tiene sitio en esta sección.

Cada línea siguiente se da por cierta para ordenar y presupuestar el trabajo. Si una resulta falsa, el alcance cambia, y el cambio se ve en lugar de quedar absorbido.

• Ambos registros son legibles sin cambiar los sistemas que los guardan, y puede concederse acceso de lectura durante todo el encargo.
• Las reglas que cierran una diferencia se pueden escribir. Cuando una regla resulta ser un juicio que alguien emite caso por caso, sigue siendo un juicio y la diferencia va a la cola.
• Una persona del lado del cliente puede decidir qué cuenta como coincidencia. Un trabajo de conciliación se atasca antes por una definición sin responder que por una línea de código sin escribir.
• Los volúmenes y los tiempos se mantienen dentro del rango registrado al arrancar, que es el único lugar de este documento donde aparece una cifra.

• Un supuesto falso: Se nombra el supuesto contradicho, y el cambio se presupuesta según la diferencia en lugar de reabrir todo el documento.
• Un requisito nuevo: Llega como una adenda con su propia etapa y su propio criterio de aceptación, o espera.
• Una etapa que no supera la aceptación dos veces: El segundo fallo dice algo del criterio y no solo del trabajo, así que se revisan ambos antes del tercer intento.
• Nada más: Un alcance que deriva sin una adenda escrita no es un alcance, y al final nadie puede decir qué se acordó.

El alcance lo acuerdan por escrito ambas partes, y la versión acordada es la versión a la que se ciñe el encargo.

Cada ejecución añade sus diferencias a un registro en lugar de actualizar una tabla de discrepancias abiertas en este momento. Una diferencia es una fila con una marca de primera vez, una marca de última vez y una resolución, y nunca se edita en el sitio: cerrarla añade una resolución, y volver a verla añade una observación.

El estado actual, que es lo que un operador mira de verdad, se deriva del registro en lugar de almacenarse a su lado.

• Una tabla mutable de diferencias abiertas: La forma obvia y la más barata de escribir. No elegida, porque solo responde a qué discrepa ahora mismo. La pregunta que este servicio existe para responder es cuándo empezaron a discrepar los dos lados y qué lo cerró, y una tabla sobrescrita en cada ejecución no puede responderla en absoluto.
• Un registro sin vista derivada: Conserva todo el histórico y cuesta casi nada de escribir, pero traslada la reconstrucción a cada lector, incluido el operador que resuelve una excepción con prisa. No elegido, porque aquí la superficie operativa es un entregable y no un efecto secundario.
• Conciliación dentro de uno de los dos sistemas: Elimina una pieza móvil y una integración. No elegida, porque convierte a un sistema en árbitro de una discrepancia de la que es parte, y porque el alcance excluye cambiar cualquiera de los dos.

Las alternativas descartadas son la parte de una memoria de arquitectura que suele perderse, y la más cara de reconstruir después. Una memoria que solo registra la decisión deja al siguiente ingeniero redescubrir las tres formas que no funcionan.

• El registro crece sin límite hasta que se acuerde una regla de conservación, y esa regla es una pregunta abierta más abajo y no una decisión tomada aquí.
• Cada lectura del estado actual cuesta una derivación. La vista derivada es una caché, y una caché es una segunda cosa que puede estar equivocada.
• Corregir un error significa añadir una corrección, lo cual es más lento de escribir y más difícil de explicar a quien espera una fila que pueda editar. El runbook lleva esa explicación precisamente por este motivo.

• Una regla de conservación que descarte el histórico más rápido de lo que el registro compensa. Si una diferencia cerrada puede olvidarse tras una ventana corta, la tabla mutable pasa a ser la opción honesta.
• Un requisito de editar una resolución en lugar de añadir una corrección, que venga de un auditor y no de la comodidad.
• Un coste de derivación que deje de caber en la cadencia de ejecución que acordó el alcance. Eso es una medición, y solo tiene sitio en esta sección cuando alguien la ha tomado.

• Conservación: Cuánto tiempo conviene guardar una diferencia cerrada no está decidido, y es una cuestión de negocio y no de ingeniería.
• Reconstruir o mantener: Si la vista derivada se reconstruye en cada ejecución o se mantiene de forma incremental. Ambas son viables, y la elección depende de los volúmenes del documento de alcance, que un ejemplo no rellena.
• Quién es dueño de un cambio de regla: Las reglas se versionan con el servicio, lo que convierte cambiar una en un evento de ingeniería, salvo que alguien del lado del cliente reciba la autoridad para cambiarla sin pasar por él.

Una pregunta abierta se queda en la memoria, con un nombre al lado, hasta que se responde. Borrarla porque incomoda es como un sistema adquiere una decisión que nadie recuerda haber tomado.

Una memoria de arquitectura se enmienda, nunca se reescribe. Una decisión sustituida conserva su sección y gana una nota que dice qué la reemplazó y por qué, porque el razonamiento que resultó equivocado suele ser lo más útil del archivo.

• Iniciar una ejecución: Las ejecuciones están programadas, e iniciar una a mano es una acción admitida. Se puede repetir sin riesgo: una ejecución es idempotente por diseño, así que una segunda ejecución sobre la misma ventana produce el mismo conjunto de diferencias.
• Pausar el calendario: Pausar detiene las nuevas ejecuciones y deja terminar la que está en curso. Es el primer movimiento correcto siempre que uno de los sistemas de origen esté en mantenimiento.
• Cerrar una excepción: Ábrela, lee los dos registros de origen adjuntos y luego aplica una regla existente o registra la resolución como caso puntual con un motivo. Un caso puntual que se repite es una regla que falta, y se plantea como tal.
• Añadir una regla de resolución: Las reglas se versionan con el servicio, y añadir una es un cambio revisado. La revisión existe porque una regla equivocada cierra diferencias en silencio, que es peor que no cerrarlas.

• Un sistema de origen no responde: La ejecución falla entera en lugar de parcialmente, no se escribe nada y el calendario sigue intentándolo. No hace falta actuar salvo que la caída supere el retraso aceptable registrado más abajo. No fuerces una ejecución parcial: un conjunto de diferencias construido desde un solo lado no es un conjunto de diferencias.
• Una ejecución termina con un número inverosímil de diferencias: Supón que un origen cambió de forma antes de suponer que los dos lados divergieron. Pausa primero el calendario, porque una ejecución contra un origen mal leído llena la cola de excepciones de ruido que luego hay que limpiar a mano.
• La vista derivada discrepa del registro: El registro es la fuente de verdad. Reconstruye la vista a partir de él. La reconstrucción es segura en cualquier momento y no exige pausar el calendario.
• Una excepción que nadie disponible puede resolver: Déjala abierta. Una diferencia sin resolver es una incógnita conocida, y conservarlas es justo para lo que sirve este servicio. Una resolución adivinada es un registro erróneo que luego parece correcto para siempre.

Un runbook que dice que se revisen los logs todavía no está escrito. Las direcciones de abajo pertenecen al documento real, que se rellena en la entrega y se mantiene al día cuando cambian.

Algunas cosas no se automatizan a propósito. Un runbook que no dice cuáles deja al siguiente ingeniero automatizarlas y averiguar el motivo después.

• Cerrar una diferencia que ninguna regla cubre. Decide una persona, porque la alternativa es un servicio que inventa acuerdo.
• Añadir una regla. Con revisión y no de autoservicio, por el motivo dado en las operaciones rutinarias.
• Restaurar desde una copia de seguridad. Ensayado y documentado, pero iniciado por una persona, porque una restauración automática disparada por una falsa alarma es un incidente en sí misma.

• El servicio comunica la discrepancia. No decide qué lado tiene razón, salvo donde una regla lo dice.
• El histórico crece hasta que se acuerde una regla de conservación. La memoria de arquitectura lo recoge como pregunta abierta, y se repite aquí porque el operador es quien lo nota primero.
• Un cambio de regla se aplica a las ejecuciones posteriores y no a las diferencias ya cerradas. Reabrir una diferencia cerrada es una acción deliberada con su propio procedimiento, nunca un efecto secundario de editar una regla.

Una sección de limitaciones vacía significa que no se escribió. Todo sistema tiene un comportamiento que sorprenderá a alguien, y nombrarlo aquí sale más barato que descubrirlo durante un incidente.

La entrega no está completa mientras el equipo de desarrollo pueda seguir llegando al sistema. Cada credencial emitida durante el encargo se revoca o se rota, y la devolución se registra en la lista de verificación de accesos que la emitió.