Cuando la Red Electrica Falla: Un Plan de Continuidad de Comunicaciones

Por que un evento de falla de red rompe casi todo a la vez

La mayoria de las interrupciones de comunicaciones son puntuales. Una repetidora falla y usted cambia a una de respaldo. Una torre pierde una linea de alimentacion y la cobertura cae en un solo distrito. Un operador movil tiene una tarde mala y los celulares fallan por unas horas. Esto es molesto, pero son puntos unicos de falla con soluciones evidentes, y tienden a resolverse solos o a repararse rapido.

Una falla larga y de gran alcance en la energia o la infraestructura es diferente en su naturaleza, no solo en su magnitud. No elimina un solo enlace. Elimina la base compartida sobre la que descansan, en silencio, docenas de sistemas que parecen independientes. El centro de despacho, las torres del operador movil, la ruta de internet por la que corre su sistema de despacho asistido por computadora, el enlace de microondas y fibra que conecta sus sitios de radio, y los telefonos de oficina que usaria para coordinar todo lo anterior, todos dependen del mismo pozo. Cuando ese pozo se seca en toda una region, las fallas no ocurren una por una de una manera que usted pueda perseguir. Ocurren juntas, en la primera hora, mientras el volumen de llamadas va en aumento.

Esa es la parte que vale la pena considerar con calma. El escenario que deja fuera de servicio a la mayor parte de sus comunicaciones al mismo tiempo es tambien el escenario que genera la mayor necesidad de comunicaciones. Personas atrapadas por el clima, lineas caidas y calefaccion o refrigeracion sin funcionar. Verificaciones de bienestar. Llamadas medicas que no logran comunicarse con un despachador. Compañeros de ayuda mutua tratando de encontrarse entre si. La curva de demanda y la curva de capacidad se cruzan en la peor direccion posible, y lo hacen justo cuando usted tiene menos margen para improvisar.

La cadena de dependencias que casi nadie mapea

Pidale a la mayoria de los departamentos que nombren sus sistemas de comunicaciones y obtendra una lista clara: el sistema de radio, los celulares, el centro de despacho, los telefonos de la estacion, tal vez un sistema de localizadores. Pidales que dibujen de que depende cada uno de esos sistemas para seguir funcionando, y el ejercicio suele estancarse a los cinco minutos, porque las dependencias son invisibles hasta que desaparecen.

Esta es la cadena que un evento de falla de red pone al descubierto, mas o menos en el orden en que suele fallar:

• El servicio celular depende de sitios de torre que tienen sus propias baterias y generadores. Estos resisten un tiempo, y luego dejan de hacerlo. La cobertura no desaparece de golpe. Se va reduciendo a medida que cada sitio agota su energia de respaldo, y los mas cercanos a las zonas mas afectadas suelen ser los primeros en caer.
• El internet y los datos dependen de equipos energizados en cada salto entre usted y el lugar donde vive su informacion. Una fuente de respaldo en su edificio no sirve de nada si un nodo a cinco kilometros de distancia esta apagado.
• Las operaciones de despacho dependen de que el centro mismo tenga energia, de que las lineas telefonicas y de datos lleguen hasta alli, y de las consolas, grabadoras de registro y herramientas de mapeo de las que dependen los despachadores para hacer su trabajo.
• Los sitios de repetidoras y torres dependen de la energia para la repetidora, del enlace de transporte que conecta el sitio con el resto del sistema, y de la infraestructura del sitio, como la refrigeracion. Un sitio puede tener una bateria completamente cargada y aun asi ser inutil si el enlace de microondas que lo alimenta perdio energia en algun punto intermedio.
• Las herramientas de coordinacion a las que usted recurriria para gestionar todo lo anterior, incluyendo el correo electronico, las plataformas de mensajeria, los documentos compartidos y los sistemas de notificacion al personal, dependen en su mayoria de las mismas capas de internet y celular que ya estan fallando.

La conclusion incomoda esta al final de esa lista. Las herramientas que usted usaria para dirigir la respuesta a menudo dependen de las mismas cosas que el evento esta eliminando. Si su plan para una falla de comunicaciones vive solo en un documento en linea o en una aplicacion de notificaciones, su plan tiene el mismo punto unico de falla que el problema que pretende resolver.

Diseñar un sistema que se degrade de forma controlada

Usted no puede hacer imposible una falla de gran alcance. Puede hacerla sobrevivible diseñando sus comunicaciones de manera que, cuando una capa desaparezca, exista una siguiente capa claramente definida y todos ya sepan que esa caida se acerca. La meta es una degradacion controlada: no un sistema unico que nunca falla, sino una serie de respaldos que, cada uno, sigan permitiendo hacer el trabajo esencial de mover informacion entre personas.

Una serie viable, de la mas capaz a la mas basica, suele verse asi:

• Sistema principal. Su sistema de radio normal con infraestructura completa. Cobertura de gran alcance, integracion con el despacho, la forma en que trabaja todos los dias.
• Canales de respaldo en el mismo sistema. Grupos de conversacion o canales alternos, una repetidora de reserva, o un sitio alterno que lo mantenga sobre infraestructura aun cuando parte de ella este degradada.
• Simplex, o radio a radio directo. Cuando la infraestructura desaparece, las radios todavia pueden hablar directamente entre si sin ninguna repetidora de por medio. El alcance se reduce y se pierde la cobertura de gran area, pero dos unidades dentro de linea visual una de otra aun pueden coordinarse. Esta es la capa que la mayoria de los equipos usa menos porque rara vez la practica. Debe ser un respaldo con nombre y comprendido, no un rumor.
• Respaldo de radioaficionados y voluntarios. Los operadores de radio voluntarios capacitados pueden trasladar mensajes a distancias que su simplex no puede alcanzar, usando su propio equipo y su propia energia. Establezca esta relacion con anticipacion, por escrito, con puntos de encuentro y horarios de reporte acordados, porque no se puede reclutar y coordinar voluntarios en medio de la falla que los necesitaria.
• Mensajeros y metodos alambricos. La capa mas antigua sigue funcionando. Una persona que lleva un mensaje escrito entre dos puntos fijos. Una linea telefonica alambrica que no depende del internet local. Puntos de reunion fisicos acordados previamente donde un representante de cada estacion o departamento se presenta a horas fijas. Es lento y poco vistoso, y jamas ha fallado por falta de energia.

El valor de escribir esta serie en este orden es que convierte el panico en procedimiento. Nadie tiene que inventar el siguiente paso bajo presion. Cuando el sistema principal cae, el plan ya indica que intenta el equipo despues, en que canal, con que frecuencia, y que hacer si eso tambien falla.

La realidad de la energia de respaldo en la estacion y en el sitio

Cada capa por encima del mensajero depende de energia en algun punto, asi que la energia de respaldo es donde un plan de continuidad se sostiene o se derrumba en silencio. El trabajo honesto aqui es aritmetica y mantenimiento, no compras de equipo.

Piense en terminos de tiempo de funcionamiento en lugar de simple presencia. Un generador o un banco de baterias no es una capacidad de si o no. Es un numero de horas a una carga determinada, y ese numero es menor de lo que la gente supone. Las baterias cubren la brecha por minutos u horas, segun cuanto se les pida energizar. Los generadores duran mas, pero solo mientras tengan combustible y solo si realmente arrancan. Las preguntas que importan son conceptuales y usted puede responderlas sin un titulo de ingenieria:

• ¿Que tiene que seguir energizado, y que no? Mantener con vida las funciones esenciales de radio y despacho es una carga mucho menor que mantener comodo todo el edificio. Sepa cual es cual antes del evento, y sepa como reducir el resto.
• ¿Cuanto dura cada fuente de respaldo con esa carga esencial? El tiempo de funcionamiento de las baterias se reduce rapido a medida que crece la carga. El tiempo de funcionamiento del generador es una funcion del tamaño del tanque y la tasa de consumo. Haga el calculo aproximado con anticipacion y anote la respuesta en horas.
• ¿De donde viene el combustible cuando el tanque baja? Esta es la pregunta que separa un plan para una interrupcion corta de un plan para una duracion extendida. Las entregas de combustible dependen de la misma infraestructura que esta fallando, y la demanda de combustible se dispara en toda la region al mismo tiempo. La reserva en el sitio, un acuerdo de reabastecimiento y una expectativa realista de entrega deben estar por escrito.
• ¿La energia de respaldo arranca y sostiene la carga cuando se prueba? Un generador que no ha sido probado bajo carga es una esperanza, no un plan. Los arranques en frio fallan, los interruptores de transferencia se atascan y el combustible se echa a perder. La unica manera de confiar en el es hacerlo funcionar.

La misma matematica aplica en los sitios de radio remotos, y es facil olvidarla porque esos sitios estan fuera de la vista. Un sitio de repetidora con una bateria modesta y sin generador puede darle unas cuantas horas despues de que la red cae y luego apagarse por si solo, en silencio, mientras el generador de su estacion sigue funcionando. Por eso el mapa de dependencias mencionado antes importa tanto. Su cobertura de gran alcance puede fallar aun cuando su edificio tenga energia, porque un eslabon de la cadena que usted no posee ni visita se quedo sin tiempo de funcionamiento.

Planificar para dias, no para minutos

El defecto mas comun en la planificacion de continuidad de comunicaciones es dimensionar el plan para la duracion equivocada. Los planes se construyen alrededor de la interrupcion breve que todos han vivido: energia fuera por una hora, celulares fallando una tarde, y de vuelta a la normalidad para la hora de cenar. Un escenario real de falla de red puede durar dias, y cada suposicion que era razonable para una hora se vuelve peligrosa a lo largo de ese periodo.

Extienda la linea de tiempo y apareceran problemas nuevos que un plan de interrupcion corta nunca tuvo que considerar:

• Las baterias que sostuvieron las primeras horas se agotan, y la pregunta se convierte en si se recargan y como.
• Los generadores necesitan reabastecimiento programado, lo que significa que alguien debe monitorear la tasa de consumo, vigilar el tanque, y activar el reabastecimiento antes de que sea urgente y no despues.
• El personal necesita relevos. Un despachador, un operador de radio o un mensajero no puede trabajar indefinidamente. Una postura de comunicaciones de varios dias es tanto un plan de personal como uno tecnico, con turnos, descanso y comida incluidos.
• Los voluntarios y compañeros de ayuda mutua tienen sus propios limites. El radioaficionado que le ayuda tambien tiene una familia, un hogar sin energia, y una resistencia finita. Planifique tambien rotaciones alli.
• La informacion se degrada. Con el paso de los dias, la situacion cambia constantemente. Sin una disciplina para registrar y entregar lo que se sabe, cada turno empieza a ciegas.

Planificar para una duracion extendida no significa comprar mas de todo. Significa hacerse las preguntas del segundo y tercer dia durante el tiempo de calma, y escribir respuestas que reconozcan la escasez con honestidad. Un plan que asume que el combustible llega al solicitarlo, que asume que las personas pueden trabajar sin descanso, o que asume una cobertura que depende de un sitio que nadie ha revisado en un año, es un plan escrito para la interrupcion que ya sobrevivio, no para la que en realidad lo va a poner a prueba.

Practicar los modos degradados

Un plan de continuidad que nunca se ha ejecutado es un documento, no una capacidad. Las capas con mas probabilidad de salvarlo en un evento de falla de red son las que su personal usa menos en operaciones normales, lo que significa que tambien son en las que su personal tiene menos fluidez cuando cuenta. La operacion en simplex, la coordinacion con radioaficionados y las rutas de mensajeros se ven obvias sobre el papel y resultan llenas de friccion la primera vez que se usan de verdad.

Practique los respaldos, no solo el sistema principal, y practiquelos de la manera en que realmente se usarian:

• Ejecute un turno en simplex. Haga que los equipos operen radio a radio directo durante una ventana definida y descubran por si mismos donde muere el alcance, quien no puede escuchar a quien, y como debe cambiar la disciplina de trafico sin una repetidora que conecte a todos.
• Active el respaldo de voluntarios como simulacro. Confirme que el arbol telefonico, los puntos de encuentro y el horario de reporte funcionen cuando se practican y no solo se dan por sentado. Una relacion que solo existe en el papel tiende a quedarse en el papel.
• Recorra las rutas de mensajeros. Cronometrelas. Confirme que los puntos de reunion son accesibles, que los formularios de mensaje son utilizables, y que las personas que los llevarian saben a donde ir.
• Pruebe la energia de respaldo bajo carga, y pruebe el cambio de una capa de la serie a la siguiente, para que los puntos de activacion que usted escribio sean puestos a prueba por personas que no fueron quienes los redactaron.

Cada ejercicio produce una lista de cosas pequeñas y especificas que no funcionaron como estaba escrito. Esa lista es todo el sentido del ejercicio. Registrela, corrija el plan, y ejecutelo de nuevo. Un modo degradado que se ha ensayado varias veces se convierte en memoria muscular. Uno que solo vive en una carpeta se convierte en un caos en el peor momento posible.

Mantener el plan escrito y actualizado

Un plan de continuidad de comunicaciones tiene dos formas de fallar con el tiempo, y ambas son silenciosas. La primera es que viva solo en un formato que el propio evento destruye. Si su plan es un archivo que necesita energia e internet para abrirse, usted construyo una cerradura cuya llave esta dentro de la habitacion cerrada. Mantenga una copia impresa actualizada en cada estacion y en cada posicion de despacho, y guardela en un lugar al que una persona pueda llegar fisicamente en la oscuridad.

La segunda forma de fallar es el desfase. Los sistemas cambian. Los canales se renombran, un sitio de repetidora se muda, un numero telefonico de un compañero de ayuda mutua deja de funcionar, un coordinador voluntario se retira, un generador se reemplaza por uno con un tiempo de funcionamiento diferente. Cada uno de esos cambios invalida silenciosamente una linea del plan, y nadie lo nota hasta que el plan se esta usando en serio y un paso apunta a algo que ya no existe.

La defensa no es vistosa y funciona: un responsable con nombre, una revision en un calendario fijo, y una disciplina que asegure que cualquier cambio en un sistema de comunicaciones o en una relacion con un compañero active una actualizacion correspondiente en el plan. Vincule la revision a algo que usted ya hace, para que no dependa de que alguien se acuerde. Un plan que se revisa en un calendario y se actualiza cada vez que la realidad subyacente cambia se mantiene confiable. Un plan que se escribio una vez y se admiro es peor que no tener plan, porque da una falsa confianza en pasos que se echaron a perder en silencio.

Una lista de verificacion practica de continuidad

Use esto como un marco inicial. Adapte cada linea a sus propios sistemas, socios y geografia, y mantenga la version final lo bastante corta como para que un equipo realmente pueda seguirla bajo presion.

• Mapa de dependencias. Cada sistema de comunicaciones dibujado junto a las rutas de energia, transporte, operador movil e internet de las que depende, con los puntos de estrangulamiento compartidos marcados.
• La serie de respaldos, en orden. Sistema principal, canales de respaldo, simplex directo, respaldo de voluntarios y radioaficionados, mensajeros y metodos alambricos, cada uno con el disparador que lo activa y el canal o ruta que usa.
• Energia de respaldo por ubicacion. Para cada estacion y sitio remoto, que esta energizado, el tiempo de funcionamiento en horas a carga esencial, la reserva de combustible, y el plan de reabastecimiento.
• Disposiciones para duracion extendida. Horario y responsabilidad de reabastecimiento, rotaciones de personal para despacho y operadores de radio, relevo de voluntarios, y una disciplina de registro y entrega para eventos de varios dias.
• Contactos de socios. Contactos de ayuda mutua y de radioaficionados con puntos de encuentro y horarios de reporte, mantenidos actualizados y disponibles en papel.
• Registro de ejercicios. Cuando se practico por ultima vez cada modo degradado, que fallo, y si la correccion quedo reflejada en el plan.
• Disponibilidad fisica. Una copia impresa actualizada en cada estacion y posicion de despacho, ademas del responsable con nombre y la proxima fecha de revision programada.

Nada de esto requiere equipo nuevo para empezar. Requiere sentarse antes de que la red falle y responder, por escrito, las preguntas que una falla de gran alcance de todos modos le hara en la peor hora del peor dia. Los departamentos que salen de una interrupcion larga con sus comunicaciones intactas casi nunca son los que tienen mas equipo. Son los que mapearon las dependencias, escribieron los respaldos en orden, hicieron el calculo del tiempo de funcionamiento con honestidad, practicaron los modos degradados, y mantuvieron todo actualizado e impreso donde una persona pudiera alcanzarlo.