Resumen

  • La RFC 8084 exige definir el flujo o agregado, el tramo medido de entrada y salida, el umbral y varios intervalos de persistencia antes de disparar un disyuntor.
  • El disparo demuestra que se ejecutó la protección prevista sobre ese alcance. No demuestra qué enlace, equipo, ruta o actor causó el exceso ni que el servicio se haya recuperado.

Cuando un panel registra «circuit breaker activado», la organización suele comprimir cuatro preguntas en una sola: qué vio el medidor, por qué lo vio, dónde estaba el problema y si ya terminó. Sólo la primera pertenece al registro del disyuntor. Las otras requieren instrumentos, tiempos y propietarios de evidencia distintos.

La RFC 8084, publicada por el IETF como BCP 208 en marzo de 2017 y firmada por G. Fairhurst, sitúa el mecanismo como protección de último recurso. Un flujo de transporte o un agregado atraviesa una sección medida: entra por uno o varios puntos de ingreso y sale por uno o varios puntos de egreso. El dispositivo compara esa población definida con un umbral durante intervalos de medición. No debería disparar por un pico aislado: la condición excesiva debe persistir a través de varios intervalos. Cuando se cumple esa condición, la reacción retira tráfico de la sección, al terminarlo o reducir de manera sustancial su tasa.

Ésa es una prueba operativa concreta. El sistema puede declarar que su propia regla, aplicada al tráfico que incluyó, produjo su propia reacción. Si se conservan configuración, ventanas, contador y acción, otro operador puede auditar esa declaración. La declaración no incluye un diagnóstico oculto.

La propia RFC explica la cautela. Entre los posibles orígenes del exceso persistente menciona tráfico anómalo, capacidad destinada a otros fines, cambios de encaminamiento, servicios mal configurados, dispositivos de red, controladores de admisión y policers. Son hipótesis de clases distintas, no equivalencias. El documento advierte que muchas veces la causa no es evidente desde la fuente, y que una aplicación puede no saber que el disyuntor se disparó ni el punto de la red donde sucedió.

Por eso sería falso leer el disparo como localización. Tampoco acredita que todos los flujos de un camino compartieran el estado, que un usuario experimentara una degradación determinada, que el control de congestión normal haya fallado o que la capacidad disponible sea conocida. Menos aún convierte una reducción posterior de tráfico en recibo de recuperación: el mecanismo puede haber cortado la carga visible mientras la condición persiste en otro punto.

La disciplina de especificación mínima de Heng Lu ofrece una prueba sencilla de lenguaje: ¿puede el mecanismo verificar de forma determinista el hecho que se le atribuye? El contador puede verificar su alcance, condición y reacción. La telemetría de ruta debe verificar la ruta; el historial de configuración, los cambios; el servicio remoto, su resultado; y la observación de usuarios, el impacto. Publicar un rótulo más grande no fusiona esas capas.

La utilidad de un disyuntor aumenta cuando se respeta esa distribución. Su registro puede abrir una investigación que sea repetible: primero el perímetro medido, luego el umbral y la persistencia, después la reacción; sólo tras ello, la causa, el efecto y la recuperación que otras pruebas puedan sostener.

Fuentes