Si disegna una volta cosa deve succedere e succede sempre, anche alle quattro

Una regola è una frase: se un camion entra nella banchina fuori orario, avvisa il capoturno, segna la registrazione e apri una segnalazione. Fino a ieri quella frase andava scritta in codice. Qui si disegna: un blocco per ogni pezzo della frase, uniti da cavi. Ci sono 74 blocchi e 508 connettori, e ogni connettore sa cosa può ricevere, così unire due cose che non combaciano è impossibile e l'editor dice quali sono le due. Un blocco si può silenziare, scavalcare, raggruppare o impacchettare intero per riusarlo in un altro flusso. E se un valore è impossibile, non lascia salvare: lo indica e dice quale.

Non tutti vogliono una tela, quindi ci sono tre porte d'ingresso. La prima è la galleria di 23 ricette: intrusione in zona, conteggio per linea con verso, affollamento per fascia oraria, lettura targa, persona senza dispositivi di protezione, anonimizzazione di volti e targhe. Se ne sceglie una, si compilano da due a sette campi disegnando sul video dal vivo, ed è già attiva dal primo giorno, senza aver costruito nulla. La seconda sono sei domande — cosa, dove, quando, quanto, come e allora — con una frase in alto che si scrive da sola con quello che hai risposto. La terza è la tela intera, senza limiti, per chi monta l'impianto. E quello che conta: è lo stesso automatismo, e sale e scende di livello senza perdere il lavoro. Non tutte le ricette sono disponibili su ogni server; quando una non c'è, la galleria dice perché.

L'orario è dove si capisce se questa roba l'ha fatta gente che è stata su un impianto. Si dichiara una volta, con il suo nome e il suo colore, e si riusa su tutte le telecamere e tutti i flussi. Accetta fasce, giorni della settimana, mesi, giorni del mese e il primo o l'ultimo lunedì di ogni mese, che è esattamente come si segnano i giorni di manutenzione. E accetta ancoraggi solari: una regola che parte trenta minuti prima del tramonto e finisce all'alba lavora a gennaio e a luglio senza che nessuno la ritocchi. Lo stesso orario notturno messo su telecamere di tre Paesi apre e chiude all'ora locale di ciascuna, senza duplicare modelli. Le date di eccezione coprono festivi, ferie e fermi impianto. E c'è un criterio di sicurezza che vale la pena dire ad alta voce: se l'orario non si può valutare, non scatta. Mai per scrupolo.

Chi automatizza qualcosa teme sempre la stessa cosa: che scatti da solo alle tre di notte e svegli mezza azienda. Per questo si prova prima. Il simulatore esegue il flusso sull'ultimo evento reale della telecamera e risponde senza giri di parole — martedì alle 14:32 sarebbe scattato davvero, e queste sono le azioni che sarebbero partite — ma non invia neanche un avviso. Nell'editor c'è inoltre un occhio su ogni cavo: lo si preme e si vede cosa esce davvero da lì, con l'immagine e la tabella di ciò che passa il filtro e ciò che no. Poi si può pubblicare in modo silenziato, con il flusso che gira e calcola senza eseguire alcuna azione, per validarlo senza disturbare nessuno; oppure metterlo in pausa un'ora, quattro, un giorno o fino alla data che vuoi. Alla pubblicazione, la conferma dice su quante telecamere si attiverà e su quali. E se un flusso fallisce più volte di fila, si spegne da solo e lascia scritto il motivo.

Tutto ciò che gira resta scritto, e non solo quando fallisce. Di ogni esecuzione si conserva quando è scattata, quando è partita, quando è finita, quanto ha atteso in coda, su quale telecamera ha girato, se la condizione si è verificata, quante azioni sono partite e, quando qualcosa si è rotto, in quale fase precisa: la telecamera, il modello, la condizione o l'azione. È qui la differenza rispetto a un sistema che dice solo riuscito o fallito: gli esiti possibili sono undici, e cinque sono modi diversi di non aver fatto nulla — l'orario era chiuso, c'era già un'altra esecuzione in corso, il flusso era fermo, l'antirimbalzo l'ha scartata oppure un controllo preliminare è fallito — più un sesto per quando il tetto al minuto l'ha frenata. Il pannello di attività mostra le ultime ventiquattro ore con la quota di saltate e l'elenco dei flussi che stanno perdendo scatti, che è esattamente il guasto che nessuno vede. E quando lo storico cresce e va ripulito, la purga obbliga a un'anteprima: dice quante esecuzioni, quante segnalazioni e quante misure spariscono e quanto spazio si libera, e se quello che c'è in quel momento non coincide con quanto mostrato, si rifiuta di cancellare.

Un automatismo pubblicato è un pezzo dell'esercizio, quindi si governa come tale. I permessi di lettura e di scrittura sono separati: chi non ha quello di scrittura apre l'editor in sola lettura, vede il flusso intero e non può cambiare nulla. Un amministratore decide inoltre quali blocchi può usare ciascun ruolo, e qui c'è un dettaglio che si apprezza in un impianto grande: un blocco bloccato continua a comparire in grigio, così si sa che esiste e lo si può chiedere, e gli automatismi già pubblicati che lo usano non si rompono. Ogni versione pubblicata resta salvata, si rinomina, si ripristina come bozza e si confronta con un'altra: il confronto mostra sul disegno stesso cosa è stato aggiunto, cosa tolto e cosa modificato, cavi compresi. E non ci sono file di configurazione che qualcuno debba modificare entrando nel server: tutto si cambia dal browser, a caldo.