Una sola porta aperta, cinquanta sedi e tutti i limiti per iscritto

La prima domanda di un reparto di rete non è mai che cosa rileva la telecamera: è quali porte bisogna aprire. IRIS ascolta su quattordici, ma una sola attraversa il firewall, la 443. Le altre tredici ascoltano solo dentro la macchina, e questo non è nascosto nel programma: è una politica che si vede e si modifica dal web. Per il cliente sono tredici eccezioni che nessuno deve chiedere, documentare, giustificare a un revisore o rivedere ogni anno, e tredici porte che nessuno lascerà aperte quando il componente che le chiedeva non esisterà più. In un impianto distribuito sono anche tredici trattative in meno con ogni sede, che di solito ha criteri propri; chi ha litigato almeno una volta con un reparto di rete sa esattamente quanto vale. E quando qualcosa non va, l’intera verifica di rete si riduce a una: se la 443 arriva, funziona.

Una sola installazione governa server distribuiti fra sedi, paesi e fusi orari, e si gestiscono come se fossero uno. Le organizzazioni si annidano senza limite di profondità — gruppo, paese, regione, cliente, sede — e l’accesso si delega di conseguenza: il responsabile di una sede tocca la sua, la centrale vede tutto. Ogni organizzazione, ogni server e ogni telecamera portano il proprio fuso orario, così confrontare l’ora di punta di quattro paesi non falsa nessuna serie. E soprattutto: questo non è un cervello centrale da cui dipenda la sorveglianza. Ogni sede acquisisce le proprie telecamere, rileva, applica le sue regole, registra e comanda i relè in locale, e verso la centrale salgono solo eventi e misure, mai fotogrammi. Se il collegamento cade, la sede continua a lavorare e pubblica l’accumulato appena torna.

Il prodotto dichiara più di centomila server e più di cinque milioni di telecamere, ma quel numero da solo non dimostra nulla: chiunque può scriverlo. A reggerlo è il fatto che gli otto limiti del prodotto sono pubblicati, ciascuno con la sua unità di ripartizione, e che tre si risolvono aggiungendo macchine mentre cinque sono muro e vanno rispettati. Un esempio di quelli ripartibili: entrano sessantaquattro telecamere per processo di acquisizione, quindi cinquemila telecamere sono settantanove processi distribuiti fra le macchine necessarie. Questa è una risposta ingegneristica, e pubblicare i propri muri è la migliore dimostrazione di fiducia nel prodotto che esista: scalabile lo scrive chiunque, i suoi otto limiti quasi nessuno. E il conto non si fa su un foglio a parte: dentro il prodotto c’è una calcolatrice che pone dodici domande, dice quali apparati servono, avvisa quale risorsa si esaurisce per prima e dichiara non praticabile — non rischioso — un dimensionamento che attraversi un limite non ripartibile. Ogni numero che restituisce porta scritto da dove viene, e dice per iscritto che cosa in quell’impianto non è ancora stato misurato.

Quello che il sistema misura si può portare fuori. Gli si chiede il catalogo dei dati e restituisce tutto ciò che sa calcolare e tutto ciò per cui si può raggruppare, con i nomi già tradotti: è lo stesso vocabolario delle schermate, quindi non esiste un’interfaccia di seconda scelta per chi sta fuori. I limiti sono detti in anticipo, ed è quello che apprezza chi ci programma contro: l’intervallo di date è obbligatorio, la risposta porta al massimo cinquantamila righe e una richiesta troppo ampia viene respinta con il motivo scritto invece di degradarsi in silenzio. Verso l’esterno, il sistema parla con telecamere di qualsiasi produttore tramite protocolli standard, comanda relè di barriera, tornello o sirena, avvisa per posta e messaggistica, chiama sistemi esterni ed esporta a foglio di calcolo. E tutto questo avviene con la stessa identità utente e sulla stessa porta: non c’è un elenco di utenti a parte per le integrazioni.

Gli otto limiti, uno per uno, perché è esattamente quello che un integratore chiederà in una dimostrazione. Tre si ripartiscono: 64 telecamere per processo di acquisizione, 8.192 connessioni vive nel punto di ingresso e le 1.000 che una singola istanza serve insieme; tutti e tre si risolvono aggiungendo processi o punti di ingresso. Sono muro gli altri cinque: 64 consumatori per telecamera —ogni registratore, ogni rilevatore e ogni visore ne occupa uno—, 16.384 porte temporanee del sistema operativo, che non è nemmeno un limite nostro ed è la ragione del precedente, 8 fotogrammi per lotto del motore di rilevamento, 600 fotogrammi trattenuti per consumatore, il moltiplicatore che fa esplodere la memoria appena sale la risoluzione, e una scheda grafica per processo, perché un modello non si spezza a metà fra due: o ci sta intero o servono due copie. Quei cinque non si risolvono comprando altre macchine, ed è proprio per questo che sono scritti invece che nascosti. Con questo elenco e con la calcolatrice, un integratore può dimensionare un impianto senza chiamarci.

L’analitica non è un modulo a parte che copia i dati: è la stessa fonte delle schermate, aggregata. Sette metriche, sedici dimensioni per raggruppare e filtrare, ventisette tipi di visualizzazione e cinque formati di esportazione generati nel browser stesso, senza connessione. E il dettaglio che smaschera chi ha fatto davvero questo mestiere: le metriche che non si possono riaggregare senza mentire —gli oggetti distinti, la permanenza e l’occupazione media ponderata nel tempo— sono marcate come tali e vengono servite dal dettaglio, perché una somma di somme non significa nulla. Dall’interfaccia di programmazione esce lo stesso e con le stesse regole: l’intervallo di date è obbligatorio, la paginazione non si degrada avanzando, e un errore di permessi, uno di vocabolario e uno di intervallo non si confondono mai fra loro. E l’ambito di ciò che si può vedere si risolve sul server a partire dai permessi di chi chiede: una richiesta può restringere quello che vede, mai allargarlo.