インシデントレスポンスは「なぜ、そうするのか」ーレジリエンス工学から読み解くSREの思想

はじめに

「SRE Kaigi」というSREに関するカンファレンスを主催しております、しょっさんと申します。今回は「インシデントレスポンスに関する連載企画」ということで、SRE Kaigiに縁のある方たちで連載していきます。

第1回目の今回は、インシデントレスポンスをレジリエンス工学から読み解いていきたいと思います。

皆さんは、「インシデントレスポンス」と聞いた時に何を思い浮かべますか。非難なき文化、インシデントコマンダーなどの役割、ポストモーテム(= Post-Incident Review)など、様々な"How"は思い浮かぶかもしれません。

しかしながら、"Why"に関してはどうでしょうか。なぜそのHowが成り立ったのか、もともとの発端を調べてみた方は少ないかも知れません。この記事では、多くのSRE文献から引用されているレジリエンス工学の分野から調査していきます。

「レジリエンス工学」とは

その話をする前に、レジリエンス工学について簡単に説明します。

レジリエンス工学とは、その名前の通り「レジリエンス」(回復力、弾性力)について、主に「予測できない状況においても、仕組みやシステムが機能し続けられるようにする」といったことを研究している学問です。

起こりとしては1973年に生態学者のCrawford Stanley Holling氏が「Resilience and Stability of Ecological Systems」という論文を発表したところから始まります。

この中で、自然では森林火災や特定の生物の大量発生など、多くの障害に見舞われながらも「なぜ平衡状態にあるのか」といった疑問から、生態系が完全に崩れ得ないように戻る力を指して「レジリエンス」と呼びました。

この考え方が、後年様々な分野へと飛び火し、最終的にレジリエンス工学の勃興へと至ったのです。

レジリエンス工学が広く知られるきっかけとなった書籍「Resilience Engineering: Concepts and Precepts」は、O'Reilly Online Learningでも読むことができるため、登録されている方はぜひ読んでみてください。

レジリエンス工学とSRE

ここまで読んで、「そんなレジリエンス工学とSREはどういった関係性があるのか」と不思議に思われた方もいらっしゃるかも知れません。

実はSREはレジリエンス工学に多大な影響を受けています。その証拠に「SRE サイトリライアビリティエンジニアリング ―Googleの信頼性を支えるエンジニアリングチーム」(以下、SRE本)では、参考文献として多くのレジリエンス工学の文献が挙げられていますし、「SREをはじめよう」や「SREの探求」においても言及されています。

このように、SREも無から生まれたわけではなく、様々な学問のエッセンスを経たうえで構築されたプラクティスなのです。この背景を知ると、少しはレジリエンス工学に興味が湧いてきたのではないでしょうか。

そんな源流の1つとも言えるレジリエンス工学を調べていくと、SRE関連書籍ではなかなか浮き出てこない"Why"を知ることができます。

それでは、インシデントレスポンスという文脈から深掘りしていきましょう。

非難のないポストモーテム

SRE本において「非難のないポストモーテム」という概念が提唱されています。これはポストモーテムというインシデントの事後検証の場で「誰かの責任として非難するのではなく、建設的に状況を振り返り、今後のアクションを考えていきましょう」といった、1つの考え方です。

これについてもレジリエンス工学の考え方が息づいています。まず1つ掘ってみると、John Allspaw氏の「Blameless PostMortems and a Just Culture」という記事に辿り着きます。この記事はSRE本の参考書籍一覧にも載っており、この考え方が非難のないポストモーテムの元になっていることが分かります。

この記事では、非難のないポストモーテムで挙げられているような話が展開されていきます。例えば、非難というペナルティがないことにより、安心してシステム上の問題点について意識を向けることができるという点だったりですね。ただし、それだけではなく、さらなる深堀りの種もいくつか見つけることができます。

ここでは、Sidney Dekker氏の「The Bad Apple Theory」と、David Woods氏の「Behind Human Error」を取り上げてみたいと思います。

両者ともにレジリエンス工学における大家です。前者は「The Field Guide to Understanding Human Error」という本の中で、「問題を起こした当事者(バッドアップル)を見つけ出し、排除することが安全につながる」という古い考え方を「The Bad Apple Theory」と呼んで指摘しました。

後者は「ヒューマンエラーという言葉を便利に使うことで、システムの欠陥を見過ごしていないか」という視点から、ヒューマンエラーの裏側を探っていく書籍を著しています。

John Allspaw氏は、「The Bad Apple Theory」からはヒューマンエラーを罰するのではなくシステムを追求するという考え方を、「Behind Human Error」からはヒューマンエラーというファーストストーリーを「なぜそれは起きたのか」と掘り下げる「セカンドストーリー」という概念を取り込み、非難のないポストモーテムとして仕立て上げています。

"Why"の話に戻ると、「なぜ非難をしてはいけないか」については、人を非難し排除することは何の解決にもつながらないという考え方が「The Field Guide to Understanding Human Error」から、人ではなくシステムに注目することの大切さが「Behind Human Error」のセカンドストーリーという概念から来ていることが分かりました。

そして、それらに共通する「非難をしてはいけない大きな理由」は、インシデントという最高の学習機会から最大限の情報を得るためです。人を責め始めると、人は自らを守るために情報を隠したり、判断の背景を語らなくなります。すると、本当に知りたかった「なぜ、対応したその当時の判断が合理的に見えたのか」という情報が失われてしまいます。だから非難しない、というわけです。

さらなる深堀りをするには、説明が長くなってしまうため割愛しますが、「The Field Guide to Understanding Human Error」もO'Reilly Online Learningで読むことができるので、興味のある方はぜひ読んでみてください。

SREだけに閉じない

ここまで、レジリエンス工学という観点から、インシデントレスポンスの一要素であるポストモーテムというHowをWhyに至るまでを深堀りしてみました。

何かを起点として掘り下げることには、個人的に非常に学びの種が多いと感じており好きなのですが、今回はその種をSRE本の参考文献から拾い上げてみました。本というのは何かを学ぶためというのが第一義ではありますが、それ以外にも知を広げる増幅器として使うことができます。

また、SRE本は様々な素晴らしいプラクティスを教えてくれます。しかし、それらは時代の変遷とともに変化し、移り変わっていくものだと考えています。一方で、背景にある「なぜそうするのか(Why)」という考え方は簡単には変わりません。

今後、新しいツールが登場したり、AIが進化したとしても、そのプラクティスをどう変化させていくべきかを判断するには、HowではなくWhyを理解していることが重要です。

もし興味が湧いた方は、他のプラクティスについても掘り下げてみてください。そこから面白い発想が閃いて研究・実践された方がいれば、ぜひSRE KaigiのCfP(Call for Proposals)にてプロポーザルを提出してみてください。あなたの素敵なプロポーザルをいつでもお待ちしています。

おわりに

最後に「SRE Kaigi」について少し宣伝させてください。SRE Kaigiは、SREを中心とした知見の共有と参加者同士の交流を楽しむ技術カンファレンスです。次回は2027年2月20日に中野セントラルパーク カンファレンスにて開催予定です。

参加するだけでも楽しめる企画が盛りだくさんで、毎回魅力的なセッションも展開されています。これを機に知っていただけた方は、ぜひご参加を検討してみてください。

今後の詳細な情報についてはX、またはブログをチェックしてください。

それでは、この後も連載企画をお楽しみください！