Guía defensiva
¿Cómo distinguir eventos repetidos de duplicados de ingestión en logs?
Eventos repetidos pueden describir varias acciones reales. Ejemplo resuelto: sólo si la fuente documenta origen más ID único por ocurrencia, el mismo par en dos lotes es posible reenvío; sin ese contrato son observaciones con hipótesis abiertas. El texto y el segundo no bastan.
Describe cada observación
Conserva fuente, identificador de evento si existe, hora original, hora de recepción y referencia del lote. Un mismo mensaje puede pasar por originador, relay y colector.
Una coincidencia de texto en la misma ventana puede representar intentos independientes. Busca entidad, operación, instancia o identificador de solicitud antes de agrupar.
Formula hipótesis separadas
Los eventos repetidos requieren evidencia de operaciones distintas, como transiciones observadas o actividad relacionada. La duplicación de ingestión requiere reenvío o relectura confirmados; origen más ID sólo apoya esa hipótesis si la fuente documenta su unicidad por ocurrencia.
Si los campos no bastan, conserva ambas hipótesis y etiqueta el conteo como provisional. No reduzcas líneas sólo para producir una cifra cómoda.
Resume sin borrar
Una vista analítica puede agrupar posibles copias si mantiene enlaces a originales y criterio usado. Reporta observaciones agrupadas, ambiguas y la fuente que podría resolverlas.
No elimines un evento por compartir texto y segundo con otro. Precisión de reloj, relays y formato limitan esa comparación.
Conecta con la práctica
La lección gratuita de logs enseña a leer campos y procedencia como evidencia. Ayuda a reunir datos para comparar repeticiones; no evalúa una duplicación concreta.
Practica con registros ficticios y redacta observación, hipótesis y duda. No atribuyas una causa ni incidente por líneas semejantes.