sergio/takana

1#!/bin/sh
2# deadman.sh — el worker se BORRA SOLO cuando lleva demasiado tiempo sin trabajo.
3#
4# POR QUÉ EXISTE (2026-07-17): hworker-4 estuvo **5 días idle** (carga 0.00, sin crontab, sin
5# loops, 37G de artefactos KDE sin cosechar) quemando dinero. El usuario había pedido esto
6# explícitamente — "los vps se autoapagan cuando se detectan idle por un tiempo" — y de los tres
7# puntos de su diseño (volumen / auto-apagado / cosecha) se implementaron el 1 y el 3. Éste faltaba.
8#
9# EL FALLO ERA ESTRUCTURAL, no un olvido: `farm-down.sh` existe pero es MANUAL. El modelo "efímero"
10# dependía de que el agente se acordara de llamarlo — y si su contexto se corta, o la sesión muere,
11# o simplemente se va, el servidor queda vivo PARA SIEMPRE. Un invariante que depende de que alguien
12# recuerde no es un invariante. Por eso esto vive EN EL WORKER: para apagarse no necesita que el hub
13# exista, ni que yo esté vivo.
14#
15# POR QUÉ BORRA Y NO APAGA: en Hetzner un server **apagado sigue cobrando** (mantiene disco e IP).
16# `poweroff` daría sensación de ahorro y seguiría facturando. Sólo `hcloud server delete` para el
17# reloj. Ese es el precio: el token vive en el worker. Es un riesgo REAL y consciente — un worker
18# comprometido puede borrar servers del proyecto. Se acepta porque la alternativa medida fue peor:
19# 5 días de VPS idle. Mitigación: el worker es efímero y no guarda secretos propios.
20#
21# AUTOMUERTE TOTAL, y por qué NO hay guarda de "cosecha pendiente" (2026-07-17): la primera versión
22# abortaba el borrado si quedaba cosecha sin recoger. Eso es exactamente el bug de hworker-4 con
23# otra cara: el worker se queda VIVO esperando a que alguien lo rescate. Un switch que se desarma
24# solo cuando más falta hace no sirve.
25#
26# La salida correcta no es "no morir": es que **el store del worker VIVA EN EL VOLUMEN**
27# (/mnt/cosecha/store, symlinkeado desde el store local por farm-up). Así "guardar lo generado" no
28# es un paso que pueda fallar antes de morir — es la estructura misma. Cada artefacto ya está en el
29# volumen persistente en el instante en que se sella. Morir no pierde NADA, y por eso puede ser
30# incondicional. El volumen sobrevive al server; el hub cosecha cuando esté vivo (harkaq-vol.sh
31# collect) y clausura con `close`.
32#
33# Antes de morir sólo queda una cosa honesta: sync(1) + umount, para que el ext4 del volumen quede
34# consistente. No es "guardar" (ya está guardado), es cerrar la puerta al salir.
35#
36# QUÉ CUENTA COMO TRABAJO: un `hammer build` en vuelo, el loop del worker, o un heartbeat fresco
37# (`/run/hammer-heartbeat`, que un job largo puede tocar). Si nada de eso aparece durante
38# IDLE_MAX_TICKS ticks seguidos, se borra.
39#
40# LA CUENTA SE REINICIA con cualquier señal de trabajo: no borra por "lleva N horas encendido",
41# borra por "lleva N minutos sin hacer NADA".
42#
43# LECCIÓN APLICADA (el cron que nunca disparó): NO basta validar la lógica a mano. El PID 1 del
44# laptop es arje-zero y no tiene crond, así que un cron "validado" jamás corrió. Acá: systemd timer
45# (el worker SÍ tiene systemd) + `--verificar` imprime la evidencia de que el timer está armado y
46# cuándo disparó por última vez. Si no podés ver que dispara, no está puesto.
47set -eu
48
49IDLE_MAX_TICKS="${IDLE_MAX_TICKS:-6}"          # 6 ticks × 10 min = 1 h sin trabajo → borrar
50ESTADO="/var/lib/hammer-deadman.ticks"
51HEARTBEAT="/run/hammer-heartbeat"
52HEARTBEAT_MAX_AGE=1800                          # 30 min: más viejo que esto no cuenta como vivo
53LOG="/var/log/hammer-deadman.log"
54
55log() { echo "$(date -u +%FT%TZ) deadman: $*" >> "$LOG"; }
56
57if [ "${1:-}" = "--verificar" ]; then
58    echo "══ ¿el dead-man switch está REALMENTE armado?"
59    echo "── timer:"; systemctl is-active hammer-deadman.timer 2>/dev/null || echo "   INACTIVO ⚠"
60    systemctl list-timers hammer-deadman.timer --no-pager 2>/dev/null | head -3
61    echo "── ticks idle acumulados: $(cat "$ESTADO" 2>/dev/null || echo 0) / $IDLE_MAX_TICKS"
62    echo "── últimas líneas del log (evidencia de que DISPARA):"
63    tail -5 "$LOG" 2>/dev/null | sed 's/^/   /' || echo "   (sin log todavía ⇒ NUNCA disparó)"
64    exit 0
65fi
66
67hay_trabajo() {
68    pgrep -f 'hammer build' >/dev/null 2>&1 && { echo "hammer build en vuelo"; return 0; }
69    pgrep -f 'farm-worker-loop' >/dev/null 2>&1 && { echo "worker-loop vivo"; return 0; }
70    if [ -f "$HEARTBEAT" ]; then
71        edad=$(( $(date +%s) - $(stat -c %Y "$HEARTBEAT" 2>/dev/null || echo 0) ))
72        [ "$edad" -lt "$HEARTBEAT_MAX_AGE" ] && { echo "heartbeat fresco (${edad}s)"; return 0; }
73    fi
74    return 1
75}
76
77if razon=$(hay_trabajo); then
78    # Trabajo ⇒ la cuenta vuelve a cero. Borrar es por INACTIVIDAD CONTINUA, no por antigüedad.
79    [ -f "$ESTADO" ] && [ "$(cat "$ESTADO")" != "0" ] && log "trabajo ($razon) ⇒ ticks a 0"
80    echo 0 > "$ESTADO"
81    exit 0
82fi
83
84ticks=$(( $(cat "$ESTADO" 2>/dev/null || echo 0) + 1 ))
85echo "$ticks" > "$ESTADO"
86log "sin trabajo: tick $ticks/$IDLE_MAX_TICKS"
87
88[ "$ticks" -lt "$IDLE_MAX_TICKS" ] && exit 0
89
90# ── Punto de no retorno.
91self="$(hostname)"
92
93# ── BLINDAJE (2026-07-17, a petición explícita del usuario). gioser.net es un server FIJO, en el
94# MISMO proyecto hcloud, y NO TIENE BACKUP. Hetzner no da tokens por-recurso: el token que este
95# worker necesita para auto-borrarse puede borrar CUALQUIER server del proyecto. Dos capas, porque
96# una sola no basta cuando el fallo es irreversible:
97#
98#   1. LISTA NEGRA por nombre — explícita, legible, imposible de malinterpretar.
99#   2. LABEL role=hammer-worker — el switch sólo se borra si ÉL MISMO es un worker de la granja.
100#      gioser no tiene labels (map[]), así que jamás pasa este filtro ni por accidente.
101#
102# La capa 2 es la fuerte: no depende de acordarse de añadir nombres a una lista. Un server que no
103# nació de farm-up NO se borra, punto — que es exactamente la propiedad que quiero.
104case "$self" in
105    gioser|gioser.net|*gioser*)
106        log "ABORTA: '$self' está en la LISTA NEGRA (server fijo sin backup). NO me borro."
107        exit 0 ;;
108esac
109
110if [ -n "${HCLOUD_TOKEN:-}" ]; then
111    labels=$(curl -sS -H "Authorization: Bearer $HCLOUD_TOKEN" \
112             "https://api.hetzner.cloud/v1/servers?name=$self" 2>/dev/null | grep -o 'hammer-worker' | head -1)
113    if [ "$labels" != "hammer-worker" ]; then
114        log "ABORTA: '$self' NO tiene label role=hammer-worker ⇒ no nació de la granja."
115        log "        Un server que no es worker NO se borra, aunque esté idle. (gioser vive acá.)"
116        exit 0
117    fi
118fi
119
120log "IDLE $ticks ticks ⇒ borrando $self (worker verificado por label)"
121
122# CERRAR LA PUERTA AL SALIR. No es "guardar" — lo generado YA está en el volumen (el store vive
123# ahí). Es dejar el ext4 consistente para que el `collect` del hub lo monte limpio. Sin guarda de
124# "cosecha pendiente" A PROPÓSITO: esa guarda dejaba al worker vivo justo cuando había trabajo que
125# salvar, que es el bug original con otra cara. La automuerte es TOTAL.
126if mountpoint -q /mnt/cosecha 2>/dev/null; then
127    art=$(ls -d /mnt/cosecha/store/*/ 2>/dev/null | wc -l)
128    log "volumen: $art artefactos ya persistidos; sync+umount antes de morir"
129    sync
130    # -l (lazy): si algo aún tiene el FS abierto, no queremos bloquear la muerte. Los datos ya
131    # están en disco por el sync; el volumen se detacha solo al borrarse el server.
132    umount /mnt/cosecha 2>/dev/null || umount -l /mnt/cosecha 2>/dev/null || \
133        log "aviso: umount falló; el sync ya persistió los datos"
134else
135    log "AVISO: /mnt/cosecha NO montado ⇒ este worker no tenía volumen. Lo que haya en su store"
136    log "       LOCAL se pierde al borrarlo. Nació por un camino sin volumen (¿farm-up viejo?)."
137fi
138
139if [ -z "${HCLOUD_TOKEN:-}" ]; then
140    log "ERROR: sin HCLOUD_TOKEN ⇒ NO puedo borrarme. Un poweroff NO ahorra (Hetzner cobra igual)."
141    exit 1
142fi
143
144id=$(curl -sS -H "Authorization: Bearer $HCLOUD_TOKEN" \
145     "https://api.hetzner.cloud/v1/servers?name=$self" 2>/dev/null \
146     | grep -oE '"id":[0-9]+' | head -1 | cut -d: -f2)
147if [ -z "$id" ]; then
148    log "ERROR: no pude resolver mi propio id de server (¿nombre '$self' no está en el proyecto?)"
149    exit 1
150fi
151log "self id=$id ⇒ DELETE"
152curl -sS -X DELETE -H "Authorization: Bearer $HCLOUD_TOKEN" \
153     "https://api.hetzner.cloud/v1/servers/$id" >> "$LOG" 2>&1
154log "DELETE enviado; si seguís leyendo esto, falló"