Capítulo 45 — Revisión independiente del diseño
Mapa de la lección
Lección 45 publicada. Mapa, ejemplo, EX133.
flowchart TD
N0["Resultados de aprendizaje"]
N1["45.1 Derechos de revisión"]
N2["45.2 Lista de comprobación"]
N3["45.3 Discrepancia"]
N4["Nota práctica"]
N5["45.1b Revisores externos y SLO"]
N6["Nota de campo: prohibición de fusiones en viernes"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Ejemplo resuelto"]
EX --> Q["Ejercicio EX133"]
Dibujo lógico
flowchart LR
N0["Resultados de aprendizaje"]
N1["45.1 Derechos de revisión"]
N2["45.2 Lista de comprobación"]
N3["45.3 Discrepancia"]
N4["Nota práctica"]
N5["45.1b Revisores externos y SLO"]
N6["Nota de campo: prohibición de fusiones en viernes"]
N7["Síntesis del capítulo"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX133"]
[Resultados de aprendizaje]
|
v
[45.1 Derechos de revisión]
|
v
[45.2 Lista de comprobación]
|
v
[45.3 Discrepancia]
|
v
[Nota práctica]
|
v
[45.1b Revisores externos y SLO]
|
v
[Nota de campo: prohibición de fusiones en viernes]
|
v
[Síntesis del capítulo]
|
v
[Ejemplo resuelto] --> [Ejercicio EX133]
Resultados de aprendizaje
Usted podrá (1) realizar una revisión capaz de rechazar; (2) usar una lista de comprobación vinculada a los requisitos de seguridad; (3) registrar las opiniones discrepantes.
45.1 Derechos de revisión
Los revisores pueden bloquear una fusión por rutas que fallan de forma abierta, pruebas ausentes, regresiones de alcanzabilidad del SIS o puntuaciones vacías en la interfaz. Un LGTM sin la lista de comprobación no es válido. En ABP, los revisores de CNHP tienen autoridad escrita para bloquear una fusión por cualquiera de estos motivos, y el director de planta ha aceptado no anular un bloqueo para cumplir un plazo. Un revisor que aprueba sin completar la lista de comprobación no ha revisado el cambio, y la fusión se revierte hasta que se haga una revisión adecuada. Lena lleva un registro de los bloqueos y sus motivos, que mostró que la mayoría se debían a pruebas ausentes y no a diseños inseguros.
45.2 Lista de comprobación
Fallo cerrado; autenticación de la política; el esquema prohíbe cargas útiles; la cobertura tiene denominador; ocultación de secretos; ruta de reversión documentada; prueba de alcanzabilidad del SIS en verde. La lista de comprobación de Lena en ABP tiene una línea por elemento, y cada línea enlaza con el requisito que hace cumplir, como S-1 para el comportamiento de fallo cerrado y R-12 para la alcanzabilidad de SIS-B. El revisor marca una línea solo después de ver la evidencia, como la prueba que falla cuando falta la política. La reversión se comprueba nombrando la versión anterior y el comando para restaurarla, y la prueba de alcanzabilidad debe haberse ejecutado sobre el commit exacto que se fusiona.
45.3 Discrepancia
Si un revisor discrepa de un diseño de conducto o de lista de permitidos, la discrepancia se registra en el ADR aunque se le desautorice: una futura revisión de incidentes en la planta necesita ese rastro.
Caso sintético — Ashford Batch Plant. Un PR de insignia de cobertura se bloqueó dos veces con esta lista de comprobación; la tercera revisión entregó la interfaz honesta (capítulo 35).
En ABP, la discrepancia de la revisora externa sobre el envío de alertas del colector a la HMI se registró textualmente y, en ese caso, cambió el diseño. Lena guarda en el mismo lugar las discrepancias desautorizadas, porque un incidente posterior puede darles la razón.
45.4 Errores y límites
Las revisiones posteriores a la fusión son arqueología, no control. En ABP, un pequeño cambio en el formato de las alertas se fusionó una vez antes de la revisión porque el plazo estaba cerca, y la revisión posterior descubrió que había eliminado el código de motivo del que dependían los operadores. La corrección exigió una segunda publicación durante una ventana. Desde entonces, la cola de fusión de CNHP rechaza cualquier cambio sin una lista de comprobación completada, y una revisión solicitada después de fusionar se registra como fallo de proceso en la retrospectiva en lugar de contarse como revisión.
Nota práctica
Los revisores ejecutan las pruebas críticas del monitor sobre los datos de prueba sintéticos de la planta antes de la reunión; no se limitan a leer el diff.
45.1b Revisores externos y SLO
Una vez por periodo, un ingeniero de control ajeno al equipo del CNHP revisa un PR crítico para la seguridad. Las revisiones se completan en un número acordado de días hábiles o el cambio caduca en la cola de fusión (no se fusiona automáticamente). Prohíba las fusiones del viernes por la tarde antes de las ventanas, salvo una corrección urgente de seguridad con evidencia del Laboratorio I. Los comentarios de bloqueo deben citar un identificador de requisito o un número de elemento de la lista de comprobación. Las omisiones repetidas de la lista por un mismo revisor desencadenan una conversación de orientación. El calendario forma parte del diseño de los controles.
La revisora externa de ABP procedía de una empresa de abastecimiento de agua.
Nota de campo: prohibición de fusiones en viernes
Se revirtió una fusión de interfaz, que no era una corrección urgente, hecha un viernes por la tarde antes de una ventana del sábado. La regla del calendario existe porque los revisores cansados pasan por alto las rutas que fallan de forma abierta. Las heroicas fusiones de última hora son una mala señal.
Los hallazgos de la revisora externa se archivan como cualquier otra revisión, con identificadores de requisito.
Una revisión que incumple su SLO se comunica en la retrospectiva con el motivo del retraso.
45.5 Ejemplo resuelto: una discrepancia que cambió el diseño (ABP sintética)
En la revisión independiente del diseño, una revisora externa de una empresa de abastecimiento de agua cuestionó el plan de permitir que el colector de monitorización enviara alertas directamente a la HMI. Su argumento: una avalancha de alertas podría distraer a los operadores durante una perturbación, y un colector comprometido obtendría una ruta hacia L2. El elemento de la lista «¿añade algún componente de seguridad un conducto hacia una zona de control?» se había marcado incorrectamente. La discrepancia se registra textualmente, el diseño cambia para que las alertas vayan al SOC y al teléfono del jefe de turno, y se cumple el SLO de revisión (comentarios respondidos en cinco días laborables).
Ejercicios — capítulo 45
- EX133 — Bloqueo. Comentario de bloqueo para un reintento que falla de forma abierta. Rúbrica: 3 = cita el requisito de seguridad + pide la corrección; 2 = bloqueo vago; 1 = detalle menor; 0 = aprueba.
- EX134 — Lista de comprobación. Añada un elemento para derivadores serie. Rúbrica: 3 = específico; 2 = vago; 1 = intento mínimo; 0 = nada.
- EX135 — Discrepancia. Una frase de discrepancia registrada. Rúbrica: 3 = clara; 2 = con evasivas; 1 = vago; 0 = nada.
Síntesis del capítulo
Revisiones que pueden decir que no, con una lista de comprobación y memoria.
Siga estudiando — capítulo 45 de 50
← Capítulo 44 (borrador) · Índice de capítulos del curso · Capítulo 46 (borrador) →