Estados de transição e compromissos de mudança

1. Definir um estado que possa ser observado

Num serviço fictício de instruções de fundos, o sponsor pretende retirar uma plataforma antiga mantendo receção, consulta e tratamento de exceções. A frase instalar o novo serviço não descreve todas essas capacidades. Representa o estado por elementos observáveis: onde cada grupo envia instruções, quem conserva o registo autoritativo, que formatos são aceites, como se consulta o histórico e quem responde fora do horário normal.

Liga esses elementos ao resultado desejado. Uma equipa pode terminar a instalação e ainda depender do legado para uma consulta obrigatória. Também pode ter todas as funções no catálogo e ninguém preparado para usar uma delas.

O estado futuro precisa de condições de funcionamento, de utilização e de responsabilidade. Um desenho técnico é uma parte da explicação; não substitui a descrição de como o serviço será prestado.

2. Verificar os estados intermédios

Considera dois formatos, V1 e V2. O emissor antigo só produz V1; o novo só produz V2. O recetor antigo aceita apenas V1; uma versão de transição aceita ambos; o recetor final aceita apenas V2.

O destino novo com novo é compatível, mas isso não demonstra que qualquer ordem de instalação funcione. Migrar primeiro o emissor cria novo com antigo e falha a regra de aceitação. Um caminho permitido é antigo/antigo, antigo/transição, novo/transição e novo/final.

Escreve a matriz antes de discutir se a mudança deve ser faseada. Acrescenta grupos reais de consumidores e condições de cada ligação. Neste exemplo, trocar o recetor para uma versão que aceita ambos não muda automaticamente o formato produzido pelos emissores.

A compatibilidade tem direção: produzir, aceitar e transformar são capacidades diferentes.

3. Dar uma condição de saída às capacidades temporárias

A versão de transição resolve a coexistência, mas tem custo e trabalho próprios. Define quem a mantém, como é monitorizada, quais restrições preserva e que evidência permite retirá-la. Se dez consumidores foram inventariados e nove migraram, uma taxa de 90% não demonstra que o décimo possa perder serviço.

Pode existir um consumidor com baixo volume que só comunica no fecho mensal. A ausência de pedidos durante uma semana não equivale, por si só, a desativação confirmada. No exercício, a saída exige que todos os consumidores do inventário validado estejam migrados ou formalmente retirados, que o histórico seja consultável pela via acordada e que o responsável operacional aceite a nova cobertura.

São regras explícitas deste caso. Um projeto real deve identificar as suas condições, em vez de herdar estes números ou pressupostos. Confirma também a unidade de faturação.

Noutro contrato fictício, 900 unidades por cada bloco iniciado de quatro semanas, sem proporcionalidade, significam 1 800 para cinco semanas: a quinta inicia um segundo bloco. O resultado difere do contrato proporcional do exercício final porque a regra contratual é diferente.

4. Definir a autoridade durante a coexistência

O desenho mantém a plataforma antiga e a nova ligadas durante a transição. Isso não responde à pergunta sobre quem pode confirmar uma instrução. O contrato fictício exige um único responsável por confirmar cada efeito externo.

Uma comparação em sombra pode analisar cópias e diferenças, mas não deve confirmar movimentos em paralelo só para verificar se os resultados coincidem. Se ambas as plataformas puderem produzir o efeito, existe uma decisão adicional sobre identidade, coordenação e recuperação.

A analista precisa de tornar essa lacuna visível antes de recomendar a coexistência. Descreve a transferência de autoridade: parar novas admissões na origem, esclarecer trabalho em curso, confirmar o estado de transferência e só então permitir o destino, conforme o procedimento acordado.

Esta sequência é um exemplo sob essas condições; não é um algoritmo universal de migração sem interrupção.

5. Localizar o ponto em que voltar atrás muda de significado

Antes de o destino aceitar trabalho novo, regressar ao serviço antigo pode consistir em restaurar encaminhamento e verificar o estado preservado. Depois de aceitar novas instruções, repor uma cópia anterior pode apagar informação ou deixar efeitos externos sem correspondência.

A existência de um backup não prova que a reversão conserva o trabalho posterior. Separa reversão técnica, reconciliação de dados e compensação de ações de negócio. Para cada ponto de decisão, identifica o trabalho que pode existir, a fonte que o confirma e quem pode autorizar a ação seguinte.

No caso fictício, o retorno simples só está autorizado antes da primeira admissão no destino. Depois, a estratégia exige uma via de recuperação com reconciliação. Não se deve apresentar essa diferença apenas durante o incidente: ela afeta a escolha do caminho e a informação necessária na decisão de avançar.

6. Calcular até quando uma opção continua disponível

A janela termina às 02:00. O plano aceita como limites de duração 40 minutos para restaurar, 20 para validar e mais dez de reserva, executados por esta ordem sem sobreposição. O último instante para iniciar esse percurso é 00:50, pois são necessários 70 minutos até ao limite.

Decidir às 00:55 já não cabe no plano, mesmo que a instalação tenha terminado. Estes valores são pressupostos aceites do exercício, não resultados medidos em produção. Uma estimativa média de 40 minutos não demonstraria, por si só, um limite de recuperação de 40.

Regista a base de cada duração, dependências e momento em que a decisão tem de ser tomada. A opção existe apenas enquanto as suas pré-condições e o tempo necessário continuam disponíveis. Uma hora de reunião no plano não altera essa aritmética.

7. Procurar dependências comuns às alternativas

A equipa propõe o ambiente antigo como contingência do novo. Ambos precisam do mesmo serviço de identidade, que será alterado na janela. Um teste de recuperação do servidor novo não demonstra continuidade quando essa dependência comum falha.

Desenha as ligações das duas opções e identifica a condição que cada uma consegue tratar. Uma alternativa pode proteger de uma instalação incorreta e não proteger de perda do serviço de identidade. Isso não a torna inútil; delimita a sua contribuição.

A análise de risco deve distinguir esses acontecimentos e evitar tratar cópias em locais diferentes como independência demonstrada. Decide com os responsáveis se a estratégia deve separar a alteração comum, acrescentar uma contingência validada ou aceitar uma exposição dentro da autoridade definida.

O desenho do caso não fornece probabilidades, pelo que não permite calcular disponibilidade combinada.

8. Exercício: recomendar um caminho com condições

Prepara uma recomendação antes de ler a resolução. Há três grupos emissores: A e B podem mudar no sábado; C só muda no mês seguinte. Todos usam V1 hoje.

A versão de transição do recetor aceita V1 e V2; a final aceita apenas V2. O requisito mantém serviço para os três grupos. A ponte custa 300 unidades por semana, faturadas proporcionalmente; neste exercício ficará exatamente quatro semanas.

A opção proposta retira a ponte no sábado para poupar custo. Resolução: atualizar para o recetor de transição permite migrar A e B e manter C em V1; retirar a ponte antes de C migrar viola a compatibilidade. As quatro semanas acrescentam 1 200 unidades, que devem estar visíveis na comparação.

Um adiamento completo pode ser uma alternativa, mas exige comparar datas, riscos e benefícios que o caso ainda não quantifica. A recomendação deve indicar a condição de saída, o responsável e a evidência, sem inventar aprovação ou uma opção globalmente ótima.

Capacidade de adoção e unidade do piloto

A sequência de mudança inclui pessoas preparadas, capacidade de apoio e entrada efetiva no novo processo. Não basta contar dias de formação e declarar todas as equipas operacionais no dia seguinte. Se duas equipas ficam formadas juntas e só uma pode receber acompanhamento por dia, a segunda espera. Representa cada equipa por estados: não formada, formada, em acompanhamento e autónoma. Associa recursos e critérios às transições. Constrói o calendário até à última equipa antes de assumir um compromisso externo. Permitir sobreposição entre equipas não permite sobreposição impossível dentro da mesma equipa.

Um piloto deve preservar o mecanismo que pretende avaliar. Se a mudança redistribui trabalho entre equipas, proibir todas as transferências pode alterar a própria intervenção. Em contrapartida, permitir que o piloto envie pedidos difíceis ao controlo sem rastreio pode melhorar artificialmente o seu resultado. Considera uma unidade de comparação que contenha as transferências, como grupos de filas separados. Conserva pedidos atribuídos, movimentos, pendentes, esforço e resultados. Selecionar apenas casos fechados após a intervenção pode excluir precisamente o trabalho deslocado. O desenho deve tornar a aprendizagem possível e limitar efeitos adversos; não garante por si só que grupos reais sejam comparáveis.

Preço da flexibilidade e critérios de paragem

Uma reserva condicionada pode preservar escolha, mas não é sempre economicamente preferível. Compara três alternativas quando existirem: comprometer já, pagar pela opção de decidir depois e não reservar. Inclui preço da opção, pagamento se exercida e consequência de perder a oportunidade. Usa a mesma fronteira e o mesmo horizonte. Uma opção com preço de exercício baixo pode ter custo esperado superior se o pagamento inicial for alto ou se a probabilidade de usar a capacidade for pequena.

Ao financiar por etapas, escreve antecipadamente que evidência permite continuar e como parar preservando o serviço. Depois do piloto, atualiza as probabilidades e compara custos e benefícios ainda futuros. O investimento já irrecuperável pode explicar a história, mas não deve ser debitado apenas a uma alternativa. Parar também pode custar: devolver serviço, concluir compromissos e conservar suporte. Se continuar e parar tiverem o mesmo valor segundo a regra aprovada, reporta o empate. Uma preferência adicional, por exemplo menor exposição financeira, precisa de critério explícito.

Oficina: prepara uma tabela de três caminhos com compromisso inicial, informação disponível antes da próxima decisão, recursos temporários, obrigações futuras e saída possível. Introduz um atraso de formação e uma redução da adoção esperada. Revê calendário e decisão sem alterar silenciosamente o objetivo. Resumo: um caminho de mudança deve funcionar enquanto se aprende e enquanto se transita; a capacidade final não elimina responsabilidades intermédias. Liga esta análise aos estados de transição já modelados e ao plano de medição dos benefícios.

Pagar por informação antes de assumir um compromisso

O valor de informação depende da decisão que ainda pode mudar quando a informação chega. Desenhe a sequência: comprar ou dispensar a informação, receber um sinal, escolher um compromisso e observar o resultado. Uma análise que chega depois de uma reserva irrevogável não preserva a mesma escolha. Uma previsão também não substitui a aprovação exigida para executar.

Exemplo fictício: reservar capacidade custa 5 em qualquer estado; não reservar perde 20 quando há aceitação e zero quando não há. Em 100 estados equiprováveis, 40 têm aceitação. Sem informação, reservar custa 5 e não reservar tem custo esperado 8. Uma previsão chega antes do compromisso: o sinal positivo corresponde a 30 aceitações e 10 recusas; o negativo a 10 aceitações e 50 recusas. Após sinal positivo, a aceitação tem probabilidade 30/40 e reservar é preferível a perder em média 15. Após sinal negativo, a probabilidade é 10/60 e não reservar custa em média 10/3, menos do que 5.

A política adaptativa custa 0,40×5+0,10×20=4 antes de pagar informação. Se a previsão custa 0,5, o custo total é 4,5, inferior a 5. O máximo preço que deixa a compra sem desvantagem neste modelo é 1. A conclusão resulta das probabilidades fornecidas e do objetivo de custo esperado; não demonstra que a previsão esteja calibrada em uso real ou que a mesma política satisfaça uma restrição de perda máxima.

Ao apresentar a estratégia, conserve o custo do sinal, os ramos em que muda a decisão e as autorizações posteriores. Calcule a melhor escolha em cada ramo, não uma única escolha usando novamente a probabilidade inicial. Também compare com a melhor política sem informação, não apenas com uma alternativa desfavorável. Se o sinal chegar tarde, as probabilidades mudarem ou existir um custo omitido, refaça a comparação.

Oficina: acrescente uma opção de reserva com taxa inicial e pagamento só na aceitação. Determine a melhor escolha após cada sinal antes de somar os custos ponderados. Resolução comentada: não há uma resposta universal favorável à flexibilidade; a opção pode ganhar apenas num ramo. Resumo: informação só justifica o preço quando altera decisões disponíveis de forma suficientemente útil, dentro do critério e das condições autorizados.

Verificar condições que expiram durante a janela

Uma evidência de recuperação deve identificar as condições de partida, além do resultado final. Uma sessão já autenticada, uma credencial em cache ou um acesso ainda válido podem esconder dependências necessárias para iniciar a mesma operação mais tarde. Dois ambientes em locais distintos continuam a partilhar os serviços que ambos exigem.

Exemplo fictício: uma credencial emitida no início permite abrir sessões administrativas durante trinta minutos. Depois, obter outra exige um serviço comum de identidade. A recuperação deve poder começar durante uma janela de noventa minutos. Um ensaio aos dez minutos passa, mas o cenário admitido inclui identidade indisponível até ao fim da janela. Um gatilho aos quarenta e cinco minutos encontra a credencial expirada e não permite renovar. O ensaio inicial não é falso; a sua condição de entrada não representa esse gatilho tardio.

Registe uma linha temporal com emissão, validade, início possível da falha, momento de decisão e operações que exigem novo acesso. Identifique se a via de recuperação usa a mesma dependência que pode falhar. Vários ensaios dentro dos primeiros trinta minutos continuam a observar a condição favorável. O número de repetições não substitui cobertura de um estado diferente.

A análise pode mostrar diretamente uma incompatibilidade entre a via e a janela prometida. Não é necessário repetir um ensaio incapaz de alterar essa conclusão. As opções podem envolver outra credencial autorizada, uma via com independência demonstrada, alteração de sequência ou mudança da janela. Cada opção precisa de condições e evidência próprias; presumir uma validade maior ou contornar a política não satisfaz o contrato atual.

Oficina: marque os instantes 10, 25, 45 e 80 na linha temporal e identifique quando a emissão de nova credencial é necessária. Resolução comentada: os dois primeiros cabem na validade inicial; os dois últimos dependem de uma capacidade que o cenário tornou indisponível. Resumo: preserve o que o ensaio demonstra e explicite o que a nova janela exige. A avaliação de risco deve ligar tempo, estado, dependências e opções de resposta, sem inferir independência a partir da topologia física.

Conservar tentativas ainda sem conclusão

Antes de calcular uma média, identifique quais tentativas entram no denominador e porquê. Selecionar apenas recuperações concluídas responde a uma pergunta condicionada: quanto demoraram as conclusões observadas? Essa resposta não descreve automaticamente todas as tentativas e não demonstra um prazo máximo.

Exemplo fictício: sete ensaios são obrigatórios e têm de terminar com validação funcional até trinta minutos. Cinco concluem em 12, 15, 18, 20 e 25 minutos; os tempos somam 90 e a média dessas conclusões é 18. Nos outros dois, a observação acaba aos trinta minutos com a recuperação ainda incompleta. Não se conhecem tempos finais. O registo deve conservar os sete ensaios e distinguir tempo de conclusão de tempo observado sem conclusão.

O limite inclusivo já foi violado nas duas tentativas ainda incompletas aos trinta minutos. Não é necessário saber quando, ou se, acabarão para avaliar esse critério. Por outro lado, substituir os tempos desconhecidos por trinta inventaria uma conclusão exatamente no prazo. Excluir as tentativas e chamar à média dos restantes “tempo de recuperação de todos os cenários” muda silenciosamente a população.

Uma tabela útil tem cenário, condições, início, última observação, conclusão e critério cumprido. Se o relógio, o critério de conclusão ou a observação tiverem incerteza relevante, declare-a e limite a conclusão. Não confunda terminar um processo com serviço recuperado e validado quando o contrato exige ambos. A evidência deve referir a mesma fronteira operacional que a decisão utiliza.

Oficina: escreva dois resumos do conjunto: um sobre as cinco conclusões observadas e outro sobre cumprimento do prazo nos sete ensaios. Resolução comentada: a média é 18 no primeiro âmbito; cinco cumprem e dois violam o prazo no segundo. A fração observada de violações não fixa, sem outras premissas, uma probabilidade futura exata. Resumo: estado de observação, denominador e critério de decisão devem permanecer visíveis. A incompletude pode limitar certas medidas e ainda permitir uma conclusão firme sobre outro critério.

Armadilhas comuns

Validar apenas o destino final; contar consumidores em vez de verificar dependências; executar efeitos durante comparação em sombra; tratar backup como reversão completa; usar uma média como limite; assumir independência entre ambientes que partilham serviços.