¿Qué es una migración (cutover) de SCADA?

Volver al glosario

Cutover big-bang frente a por fases

La decisión más consecuente en una migración es si cambiar todo de una vez o cruzar por etapas. Un cutover big-bang retira el sistema viejo y pone el nuevo en servicio en un solo evento planeado: al final de la ventana el sistema viejo está apagado y el nuevo lleva toda la instalación. Su atractivo es la simplicidad y una transición corta: hay una fecha, un evento, y ningún periodo largo de correr dos sistemas. Su riesgo es la concentración, porque todo depende de que esa única ventana salga bien, y si no, la presión por arreglar o revertir es intensa.

Un cutover por fases reparte la transición, moviendo un sitio, un área o un subsistema a la vez al sistema nuevo mientras el resto se queda en el viejo. Para un operador con muchos sitios remotos este suele ser el enfoque natural: los pozos o estaciones se migran en lotes, cada lote probado antes de que empiece el siguiente, así que un problema se contiene a una pequeña parte de la flota en lugar de a toda la operación. El costo es una transición más larga y un periodo durante el cual dos sistemas deben mantenerse funcionando, a veces leyendo los mismos datos en paralelo para poder comparar resultados antes de retirar la vista vieja.

La elección depende de cuánto riesgo puede absorber la operación en una sola ventana frente a cuánto tiempo puede tolerar correr dos sistemas. Una instalación pequeña y autocontenida podría razonablemente ir big-bang en una ventana de mantenimiento tranquila, mientras que una operación grande y distribuida casi siempre hace el movimiento por fases para mantener pequeña cualquier falla individual. Muchos proyectos reales son un híbrido: un despliegue por fases a través de los sitios, con cada sitio individual experimentando algo más cercano a un cambio big-bang de su propia telemetría.

La ventana de cutover, el congelamiento y mantener los sitios vigilados

Una migración se ejecuta dentro de una ventana de cutover planeada, un bloque de tiempo definido, por lo general elegido por baja actividad de proceso o mantenimiento programado, durante el cual se hace el cambio. La ventana tiene un inicio, una secuencia de pasos, puntos de control donde el equipo confirma el avance, y un plazo firme para el cual el sistema debe ser aceptado como en vivo o revertido. Construir la ventana en torno a un periodo de demanda operativa reducida limita cuánto está en juego si algo sale mal.

En torno a la ventana se ubica un congelamiento de cambios: un periodo antes y muchas veces justo después de la migración durante el cual no se permiten cambios no relacionados a ninguno de los dos sistemas. El congelamiento existe para que, si algo se rompe, el equipo sepa que la migración es lo único que cambió, en lugar de perseguir una modificación no relacionada hecha el mismo día. La configuración se bloquea, el sistema viejo se deja en un estado conocido y estable, y solo proceden las actividades de la migración.

La restricción más dura en una migración de proceso en vivo es que la instalación nunca puede perder la supervisión. Los operadores deben poder ver y, donde se requiera, controlar su proceso durante todo el proceso, así que el plan detalla exactamente cuál sistema es autoritativo en cada momento y cómo se mantiene la cobertura durante el traspaso. En la práctica esto suele significar que el sistema viejo sigue monitoreando hasta el punto en que el nuevo se confirma bueno, con los operadores vigilando ambos, de modo que nunca hay un instante en que nadie esté mirando el proceso. Una migración que deja ciega a una instalación en vivo, aun brevemente, no es un plan aceptable.

Manejar el riesgo de la migración en una instalación en vivo

Como una migración toca una operación en marcha, la gestión del riesgo no es un agregado sino el núcleo del plan. Todo plan de migración define disparadores de reversión, las condiciones específicas bajo las cuales el equipo abandonará el cambio y volverá al sistema viejo, y un punto de no retorno tras el cual revertir ya no es práctico, para que la decisión de proceder más allá de él se tome de forma deliberada y por una autoridad nombrada. Un ensayo o simulacro de los pasos de la migración, donde sea factible, expone huecos en la secuencia antes de la ventana real y no durante ella.

Para un campo productor o un ducto, lo que está en juego es físico: presión, flujo, y sistemas de seguridad están todos en juego, así que el plan se coordina con operaciones y, donde sea relevante, con personal de seguridad, y programa la migración para minimizar la exposición. La comunicación durante la ventana está guionizada, quién está en el puente, quién declara cada punto de control superado, y quién tiene la autoridad de ordenar una reversión, para que las decisiones no se improvisen bajo estrés.

Una plataforma SCADA de nube como Merobix hace el patrón de migración más seguro, correr los sistemas viejo y nuevo en paralelo, considerablemente más barato y fácil, lo que cambia lo que es práctico. Como el sistema nuevo es un servicio hospedado que puede leer los mismos datos de campo que el titular sin servidores nuevos en sitio, un operador puede apuntar la telemetría a ambos, ver las pantallas nuevas llenarse con datos en vivo junto a las viejas, y compararlas por el tiempo que quiera antes de retirar la vista heredada. Eso convierte un momento big-bang de nervios en un traspaso gradual respaldado por evidencia: cada sitio se confirma reportando correctamente en la nube, los operadores construyen confianza en la vista nueva mientras la vieja sigue corriendo, y el cambio real se vuelve una formalidad una vez que el periodo en paralelo ha probado que el sistema nuevo coincide con el viejo. El sistema viejo permanece disponible como respaldo durante todo el proceso, que es exactamente lo que una migración de proceso en vivo necesita.

Preguntas frecuentes