Evidence y correlación

Modelo Evidence

Qué es Evidence

Evidence es una prueba estructurada sobre cuya base el sistema crea, actualiza o verifica un Issue.

Evidence puede ser:

• calculada automáticamente;
• recibida de un dispositivo;
• importada de un sistema externo;
• añadida por un usuario;
• generada por un informe especializado;
• adjuntada en forma de documento, fotografía o comentario.

Estructura de Evidence

evidence_id: EVD-830129
issue_id: OHM-2026-001842
type: detector_finding
source:
  provider: analyze_station
  detector_id: archive.tail_gap.v3
  detector_version: '3.2.1'
observed_at: '2026-07-23T04:00:00Z'
created_at: '2026-07-23T04:03:12Z'

payload:
  missing_hours: 73
  coverage_valid: 0.91
  last_valid_hour: '2026-07-20T03:00:00Z'

quality:
  completeness: 1.0
  freshness: 0.98
  consistency: 0.96
  confidence: 0.98

links:
  report: '/reports/analyze-station/5690'

Tipos de Evidence

Calidad de Evidence

Para cada Evidence se calcula su calidad:

donde:

• $C$ — completitud;
• $F$ — actualidad;
• $S$ — coherencia;
• $T$ — confianza en la fuente;
• $w_c + w_f + w_s + w_t = 1$.

Pesos base recomendados:

El resultado se normaliza al rango de 0 a 1.

Inmutabilidad de Evidence

La Evidence original nunca se edita retroactivamente. Una corrección crea una nueva versión o una Evidence correctiva independiente.

Esto garantiza:

• la auditabilidad;
• la reproducibilidad;
• la protección del historial;
• el análisis correcto de los casos controvertidos;
• la posibilidad de recalcular.

Correlación de eventos y Root Cause

Objetivo de la correlación

La correlación evita que se creen numerosos Issues independientes para una misma causa técnica.

El sistema analiza:

• la coincidencia del activo (Asset);
• la proximidad temporal;
• la dependencia topológica;
• el firmware compartido;
• el gateway compartido;
• el operador de comunicaciones compartido;
• la región compartida;
• la cola de servidor compartida;
• la secuencia de síntomas;
• los vínculos históricos;
• las Root Cause confirmadas de casos anteriores.

Niveles de correlación

Dentro de un mismo activo

Varios síntomas se consolidan en torno a un canon principal.

flowchart TD
  A["stale_communication"] --> C{"Correlación dentro del activo"}
  B["no_hourly_archive"] --> C
  D["battery_unknown"] --> C
  C --> R["Issue principal stale_communication"]
  C --> S1["Señal secundaria no_hourly_archive"]
  C --> S2["Señal secundaria battery_unknown"]

Entre activos

Los problemas similares se agrupan en un incidente masivo.

flowchart TD
  A["38 dispositivos"] --> G{"Agrupación"}
  B["Una versión de firmware"] --> G
  C["Un intervalo de tiempo"] --> G
  D["Un tipo de fallo"] --> G
  G --> M["Massive Incident firmware_regression"]

Por dependencia

Los problemas de los dispositivos dependientes se vinculan al fallo de un componente compartido.

flowchart TD
  A["Gateway-17 no disponible"] --> B["12 correctores sin comunicación"]
  B --> C["12 archivos no entregados"]
  C --> D["Un incidente de dependencia"]

Puntuación del vínculo (Correlation Score)

Para evaluar la fuerza de un vínculo se emplea un modelo explicable:

donde:

• $A$ — coincidencia de activo o dependencia;
• $T$ — proximidad temporal;
• $P$ — coincidencia de patrón;
• $C$ — contexto compartido;
• $H$ — confirmación histórica del vínculo.

Ejemplo de pesos:

El umbral de fusión se define por clase de problema. Para las señales críticas de seguridad se admite un umbral más conservador.

Clases de Root Cause

OHM utiliza un catálogo gestionado de causas raíz:

Estados de Root Cause

Confianza en la Root Cause

La confianza en una hipótesis se calcula a partir del conjunto de pruebas:

donde:

• $r_i$ — fiabilidad del detector o de la fuente;
• $q_i$ — calidad de la Evidence;
• $a_i$ — coherencia de la Evidence con la hipótesis;
• $K_{independence}$ — coeficiente de independencia de las fuentes.

Si varias Evidence proceden del mismo conjunto de datos de origen, no se consideran plenamente independientes.

Confianza operativa (Operational Confidence)

Operational Confidence indica hasta qué punto el sistema está seguro de que un Issue es un problema real y correctamente clasificado.

donde:

• $D$ — fiabilidad de los detectores;
• $E$ — calidad de la Evidence;
• $R$ — coherencia de la correlación;
• $H$ — tasa de confirmación histórica;
• $X$ — penalización por contradicciones y falta de datos.

Interpretación: