Fail-safes y resiliencia
Tres fail-safes, y ninguno nos necesita.
Un consultorio no debería perder una tarde porque algo fuera del edificio se cayó. Los expedientes quedan protegidos mientras se escriben, el programa sigue funcionando cuando todo lo demás falla, y un espacio de trabajo completo se puede reconstruir desde una copia que es suya.
- Uno — al escribirse. El cifrado y las comprobaciones de integridad ocurren al guardar, no después.
- Dos — nada en medio. Ningún servidor se interpone entre un clínico y un expediente, así que no hay a qué conmutar.
- Tres — de vuelta en pie. Una copia cifrada diaria, treinta días de historial, restaurada desde su propia cuenta.
Fail-safe uno
Protección mientras se escribe el expediente.
La falla más barata de sobrevivir es la que nunca ocurre. Esta capa se trata del momento de guardar, antes de que haya que conmutar o restaurar nada.
Cifrado al momento.
Todo el almacén local de expedientes está cifrado con AES-256-GCM, y la llave vive en el almacén seguro del propio sistema operativo, no en un archivo que alguien tenga que cuidar.
Un archivo alterado no abre.
El cifrado es autenticado: un expediente modificado falla en lugar de devolver datos alterados. La corrupción silenciosa es la falla que hace daño de verdad, porque nadie la ve.
Dos personas no se sobrescriben.
Cada expediente lleva una revisión. Si cambió mientras usted escribía, el guardado se detiene y lo dice, en vez de ganar en silencio.
El trabajo a medias sobrevive.
Una factura, un paciente, una tarea o un mensaje a medio escribir se guarda mientras usted teclea y sigue ahí tras un bloqueo, un cierre de sesión o una caída.
Fail-safe dos
Nada en el camino de la atención.
La mayoría del software responde a una caída con un segundo servidor. Nosotros respondemos no poniendo un servidor en medio. El espacio de trabajo corre en las computadoras que el consultorio ya tiene, así que lo que normalmente deja a un consultorio fuera de línea no lo alcanza.
Nuestra caída no es la suya.
Si este sitio se cae, si nuestros servicios se caen, si esta empresa deja de existir: el consultorio abre LogBlues y atiende pacientes. Los expedientes ya están en las máquinas del edificio.
La verificación de licencia falla a favor.
Si no se puede alcanzar el servicio de licencias, se toma como válida, nunca como vencida. Un problema nuestro jamás puede dejar a un consultorio fuera de sus propios expedientes.
El internet es opcional.
Historias, agenda, notas y facturas funcionan sin conexión. Así funciona normalmente, no es un modo reducido al que cae.
Una sola persona nunca es el punto único.
Un segundo administrador y un beneficiario designado hacen que un teléfono o un correo perdido no deje varado al consultorio. Nadie de aquí tiene que intervenir.
Fail-safe tres
Reconstruir desde una copia que es suya.
El edificio se incendia, el disco muere, o un ransomware se lleva la máquina. Esta es la capa que regresa a un consultorio, y funciona sin pedirnos nada.
Una copia al día, sola.
Una copia cifrada sube cada día, en todos los planes. Se cifra en la propia computadora del consultorio antes de salir, así que lo que guardamos nos resulta ilegible.
Treinta días a los que volver.
Se conservan las treinta copias más recientes, así que la recuperación no es solo de anoche: es del día en que los expedientes todavía estaban bien.
Su cuenta es la llave.
Instale en cualquier máquina con Windows, entre a la cuenta del propietario, restaure. No hay archivo de clave que se haya podido perder en el mismo incendio que la computadora.
Probado en cada compilación.
Respaldar, perder todo, restaurar, verificar: se ejecuta automáticamente cada vez que se compila el programa, junto con el caso que más importa: una copia corrupta se niega en lugar de restaurar a medias.
Por qué tres
Cada uno atrapa lo que el anterior no puede.
El cifrado al escribir no hace nada por una portátil robada. Funcionar sin servidor no hace nada por un disco que muere. Una copia de anoche no hace nada por un expediente que se corrompió en silencio hace un mes. En capas, cada uno cubre el hueco que deja el anterior.
Si usted compara estas cosas en una hoja de datos, las mismas tres capas con sus nombres habituales:
| En LogBlues | Nombre habitual | Qué cubre |
|---|---|---|
| Protección al escribir | Protección continua de datos | Pérdida y corrupción, antes de necesitar recuperar |
| Nada en el camino | Disponibilidad local-first | Caídas, conectividad y nosotros |
| Reconstruir desde su copia | Recuperación ante desastres | Pérdida de hardware, robo, incendio, ransomware |
Algo que no afirmamos: conmutación automática entre regiones. Está en el plan y no está construida, y una página de fail-safes es el último lugar para describir algo que todavía no existe.