# レジリエンスエンジニアリング (Resilience Engineering) ## 定義 レジリエンスエンジニアリング（Resilience Engineering, RE）は、複雑社会技術システム（Complex Sociotechnical Systems）が不確実性・変動・混乱にどう適応し機能を維持するかを研究・設計する工学分野である。従来の安全工学が「何を排除するか（事故の防止）」に注目するのに対し、RE は「何がうまくいっているか（成功の条件）」を同等に重視する。Jens Rasmussen、David D. Woods、Sidney Dekker らが中核的研究者。 Tanner Lund は SREcon19 APAC で「Human Factors に触発されたアプローチ、特に Resilience Engineering の流儀で」ポストモーテムを再設計すると明記した([[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] p.27)。 「レジリエンスエンジニアリング」という語を安全工学の一分野として初めて体系化した編著書が [[wiki/entities/Resilience Engineering|Resilience Engineering: Concepts and Precepts]](Hollnagel, Woods & Leveson 編, Ashgate, 2006)である。そのプロローグは、レジリエンスエンジニアリングを既存の安全語彙への一語の追加でなく、安全について考えるための「まったく新しい語彙」を提案するクーン的パラダイムシフト(Kuhn, 1970)になぞらえ、事後対応型(reactive)の「エラー計数」パラダイムから、失敗の脅威に直面してもなお成功を生み出す「レジリエンスの源泉」を研究する先回り型(proactive)パラダイムへの転換として定義する(Source: [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]])。 続く第1章で Hollnagel は、この転換を分析方法論の水準で裏づける。事故モデル(→ [[事故モデル]])を単純線形モデル(ドミノモデル)・複雑線形モデル(スイスチーズモデル)・非線形/システミックモデルの3世代に整理し、システミックモデルに立ったときレジリエンスは「有害な影響を回避・抵抗するのでなく効率的に適応する組織の能力」として定義されるとし、レジリエンスそのものを「外乱後に動的に安定した状態を維持・回復する組織(システム)の内在的能力」と定式化する(Source: [[@2006__Ashgate__Resilience Engineering - Chapter 1 Resilience – the Challenge of the Unstable]])。 ## 中核概念 - **創発的振る舞い(Emergent Behavior)**: 複雑システムの挙動はコンポーネントでなく相互作用から生まれる。個々の部品を調べても全体の障害モードは予測できない([[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] p.23)。 - **もつれた因果性(Tangled Causality)**: 障害の原因は線形でもツリー構造でもなく、複数の要因が絡み合う網状構造をとる(同 p.24)。 - **帰納の問題(Problem of Induction)**: 「まだ起きていない」ことが「永遠に起きない」を保証しない。修復後も潜在リスクは残る(同 p.25)。 - **次元性の呪い(Curse of Dimensionality)**: 変数が増えるほど網羅すべき状態空間は指数関数的に増大し、完全な防護は不可能(同 p.26)。 - **システム耐性(System Endurance)**: 不確実性・変動性・不完全な知識・偶然・混沌・時間・未知・ランダム性・エラー・分散する結果など16種のストレス要因にシステムがどれだけ耐えられるかが問われる(同 p.35)。 ## 主要参考文献(スライドより) - Richard I. Cook「How Complex Systems Fail」(Cognitive Technologies Laboratory, University of Chicago) - Jens Rasmussen「Risk Management in a Dynamic Society: A Modelling Problem」 - B. Cook & J. Rasmussen「'Going solid': a model of system dynamics and consequences for patient safety」 - Lisanne Bainbridge「Ironies of Automation」→ [[自動化の皮肉]] - David D. Woods「Four concepts for resilience and the implications for the future of resilience engineering」 - Jean Christophe Le Coze「Vive la diversité! HRO and RE」、「Reflecting on Jens Rasmussen's legacy」 - John Allspaw, Morgan Evans, Daniel Schauenberg「Debriefing Facilitation Guide」(Etsy) ## 横断的知見 - **RE は HRO (High Reliability Organisation) と密接に関連するが区別される**: Le Coze は HRO と RE を対比する論文を書いており、両者は類似した問いを立てながら方法論的に異なる([[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] p.37)。RE が「なぜ成功するか」を問うのに対し、HRO は「どのような組織特性が信頼性を生むか」を問う。 - **ソフトウェア SRE への RE 適用は実践段階にある**: Tanner Lund の発表は、航空・医療・原子力などの安全クリティカルドメインで育った RE の概念を SRE に適用する試みの一例。Cook の「How Complex Systems Fail」を始め、RE 文献が SRE コミュニティで広く引用されるようになった。 - **Safety I → Safety II は PIR 実践の次の進化を示す**: Partington は STELLA レポート（[[David D. Woods]] ほか）のフレームワークを引いて、PIR の目的を Safety I（問題が起きた場合だけ学ぶ「分布の左裾」注目）から Safety II（問題が起きた場合も起きなかった場合も学ぶ「分布全体」注目）へ移行させるべきと論じた（[[@2022__SREcon22APAC__A Post Incident Review Review]] p.49）。安全 II では「なぜうまくいったか」を問うことも障害学習と同等の価値を持つ。これは Hollnagel の Safety II 理論の直接応用であり、ANZx が「What went well?」を Lessons の5問に含める設計に表れている。 - **STELLA レポート / Woods' Theorem が「精度の低下」を複雑性の必然と位置づける**: Partington は Woods の定理「複雑性が増すほど、単一エージェントのモデルの精度は急速に低下する」を引用し（[[@2022__SREcon22APAC__A Post Incident Review Review]] p.29）、「誰もシステム全体を把握できない」という前提が複合的 PIR スタイルを正当化すると論じた。STELLA レポート（System-Theoretic Process Analysis）は航空・医療から来た分析手法であるが、この定理はソフトウェアシステムの分散チーム状況でも直接当てはまる。単一根本原因モデルが「モデル精度の低下」を無視していることへの批判と読める。 - **「カーディオを鍛えよ」——レジリエンスはインシデント後でなくインシデント前に構築する**: Ruppe は「二度と起こさない」のでなく「Work on your Cardio（カーディオを鍛えよ）」という比喩でレジリエンス構築を訴える([[@2022__SREcon22EMEA__The Repeat Incident Fallacy - What Jurassic Park Can Teach Us about Incidents]] p.19)。推奨する準備活動は: 過去インシデントのストーリーテリング / 誰に連絡すべきかの周知・心理的安全性の構築・チームビルディング・非難認識(blame awareness) / ゲームデイ・リージョン切替訓練・深刻度の単純化 / アラートが顧客影響にどう対応するかの理解。これは RE の中核思想「What went well を問う」・「系の適応能力を事前に育てる」の実践的具体化であり、Partington の Safety II（問題が起きなかったときも学ぶ）アプローチと同方向の知見である。 - **「進化する社会技術システム」としての SRE 実践環境**: Ruppe は SRE が扱うシステムを "evolving sociotechnical systems" と明示的に呼ぶ(p.6)。CI/CD による継続的変化が「同一システムへの同一インシデント再発」を不可能にするという主張は、RE が定義する「システムは静的でなく常に変化・適応する」という前提と直接対応する。Laura Maguire の命題「CI/CD = 継続的変化 = 同じ川に二度と入れない」(p.5)は、RE の Rasmussen 流の「移住するリスク境界」概念をソフトウェア文脈で直感的に再解釈したものと読める。(Source: [[@2022__SREcon22EMEA__The Repeat Incident Fallacy - What Jurassic Park Can Teach Us about Incidents]]) - **即興能力（Improvisation）== 適応的キャパシティ（Adaptive Capacity）という等式**: Davis は [[@2023__SREcon23Americas__Human Observability of Incident Response]]（p.22）において「即興演奏 == 適応的キャパシティ」と明示した。複雑な文脈（インシデント）は計画不能であり即興が必要、即興はすなわち RE が重視する Adaptive Capacity そのものである、という論旨。これは Ruppe の「カーディオ」比喩・Partington の Safety II 実践と三者独立に「事前の適応能力醸成」を指向しており、RE の実践論として収束している。Ensieh Roud（Safety Science 2021）の「集合的即興は社会的・共同的に生じる」「即興の訓練がなければ複雑な文脈に対処できない」という知見もこれを支持する。(Source: [[@2023__SREcon23Americas__Human Observability of Incident Response]]) - **Todd（SREcon23 Americas）が引用する Adaptive Capacity の原著定義は、Davis の「即興==Adaptive Capacity」論を補強する**: Todd は Woods（2019; p.53）を引用し、「Adaptive Capacity とは、将来起こりうる出来事・機会・混乱の種類の変化に対応できるよう活動パターンを調整する潜在能力であり、変化や混乱が生じる以前から存在する」と定義する([[@2023__SREcon23Americas__Handover Communications in Software Operations - Findings from the Field]] p.16)。この「事前に存在する潜在能力」という定義は、Davis の「即興の訓練(Practice of Practice)がなければ複雑な文脈に対処できない」という主張——すなわち Adaptive Capacity はインシデント発生後でなく事前の訓練で育てるものだという含意——と直接整合する。Todd の研究は引き継ぎ(Handover)という別の局面でも Adaptive Capacity を分析枠組みの中核概念として採用しており、Adaptive Capacity がインシデント対応固有でなくソフトウェア運用の人的要因全般に適用される概念であることを示す。(Source: [[@2023__SREcon23Americas__Handover Communications in Software Operations - Findings from the Field]]) - **チャットログの process tracing 分析は RE 実証研究の具体的方法論を提供する**: [[Marisa R. Grayson]]（[[Mile Two]]・[[SNAFUcatchers Consortium]]）は ACM Queue(2019)で、IRC/Slack ポストモーテム記録に process tracing 手法(Woods 1993)を適用し、[[アノマリー応答]]の仮説探索空間を可視化する分析枠組みを示した。これは本ページが集約する STELLA レポート・Adaptive Capacity といった理論的概念を、実際のインシデント対応データから実証的に裏付ける具体的な方法論の一例である。(Source: [[@2019__ACMQueue__Cognitive Work of Hypothesis Exploration During Anomaly Response]]) - **「レジリエント」という語の誤用への警鐘は、本ページが集約する Adaptive Capacity の定義を裏側から補強する**: [[John Allspaw]] は講演で「レジリエンスとは、車が故障したときにスペアタイヤを積んであるということではなく、目的地までたどり着ける交通手段を理解し、使いこなして、車が故障してもなお目的地にたどり着くことだ」と述べた(Source: [[@2024__OReillyJapan__SREをはじめよう - Chapter 5 SREになるための準備]] §5.6.2)。これは Todd が引用する Woods(2019)の Adaptive Capacity 定義「将来起こりうる変化に対応できるよう活動パターンを調整する潜在能力」と同じ論点を、実務者向けの平易な比喩で言い換えたものである。業界が「レジリエント」を単にフォールトトレラント・冗長・堅牢の意味で使う誤用は、事前に備えた静的な防護(スペアタイヤ)と、変化に適応し続ける動的な能力(目的地への到達手段の理解)を混同している点で、本ページが最初から強調する「RE は成功の条件(何がうまくいっているか)を問う」という定義からの逸脱と直接対応する。 - **Woods の「レジリエンスとは何かの4つの意味」は、本ページが集約してきた Adaptive Capacity 定義を包含する上位分類として機能する**: 『SREをはじめよう』10章は、Woods の「Resilience Is a Verb」(2018)から「レジリエンスとは、システムが避けられない不測の事態に対応するために必要な能力である」という定義を引き、Cook と Long(2021)が要約した Woods のレジリエンシー4分類——①リバウンド(混乱やトラウマとなる出来事から立ち直り、以前の活動や通常の活動に戻る)、②堅牢性(増大する複雑性・ストレス要因・挑戦に対処できる)、③上品な拡張性(不意打ちのような出来事がその限界に挑戦するとき、パフォーマンスを向上させ適応能力を高める)、④持続的な適応性(状況が進化し続ける中で将来の驚きに適応できる)——を紹介する。著者は「ほとんどの SRE はリバウンドとおそらく堅牢性の間のどこかで仕事をしている」と評する。この4分類は、本ページが Todd の研究から引く Adaptive Capacity の定義(「将来起こりうる変化に対応できるよう活動パターンを調整する潜在能力であり、変化や混乱が生じる以前から存在する」)を、レジリエンスという語がとりうる複数の水準へ分解する上位分類として読める——Adaptive Capacity は④「持続的な適応性」にほぼ相当し、多くの SRE 組織はまだ①②の段階に留まっているという著者の評価は、本ページが繰り返し観察する「事前に適応能力を育てる」志向(Ruppe のカーディオ比喩・Davis の即興論)が組織として未成熟であることの独立した傍証となる。(Source: [[@2024__OReillyJapan__SREをはじめよう - Chapter 10 失敗から学習する]] §10.3) - **著者自身のRCAからレジリエンス工学への回心のエピソードは、本ページが集約するSafety-II実践知に一次的な動機づけの物語を加える**: 『SREをはじめよう』14章は、著者がRCA(根本原因分析、特になぜなぜ分析)への信仰をやめ、Erik HollnagelのSafety-IIとNancy LevesonのSafety-IIIを中心テーマとするレジリエンス工学に強い関心を持つようになった転機を、ある講演(記憶は曖昧だが恐らく[[John Allspaw]])で聞いた「障害の前日、すべてがうまくいっていたとき、その根本的な原因は何だったのか」という問いだったと回顧する。本ページが集約するPartingtonのSafety I→II移行論・Ruppeの「カーディオを鍛えよ」・Davisの即興論はいずれも実践者が講演やスライドで紹介する体系だが、14章のエピソードは「なぜ実践者個人がRCAからREへ転向するのか」という認知的な転換点を一人称の物語として提供する点で独自である。(Source: [[@2024__OReillyJapan__SREをはじめよう - Chapter 14 Dickersonの信頼性の階層構造（良い出発点）]] §14.1.3) - **「孤立システム対全体スタック」は、本ページが集約する「もつれた因果性(Tangled Causality)」を執筆実務のチェックリストへ具体化する**: [[wiki/entities/Anatomy of an Incident|Anatomy of an Incident]] 第 5 章は、システム分析の範囲を「壊れているように見える部分」に限定するアンチパターンを避けるため、(1) 関連・相関・派生した子イベントの議論、(2) 未知だった依存関係の発見、(3) エンドツーエンドのコミュニケーションの質、という 3 点を確認すべきだと説く。これは本ページが定義する「もつれた因果性——障害の原因は線形でもツリー構造でもなく複数の要因が絡み合う網状構造をとる」(p.24)という抽象的な中核概念に対し、ポストモーテム執筆時に具体的に何を確認すればよいかという運用可能な問いのセットを与える。抽象理論(RE の中核概念)と実務指針(Anatomy of an Incident の確認項目)が独立の系譜でありながら同じ現象——単一システムへの分析範囲の限定が見落としを生む——を指している点で収束する。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]]) - **「時点対軌跡」はメタ分析という語彙で、本ページが集約する複数の組織横断分析実践を個票レベルへ縮約する**: Anatomy of an Incident 第 5 章は、各ポストモーテムを「システムのある時点(point-in-time)での見え方を伝える研究論文」に見立て、複数のポストモーテムを研究のメタ分析のように束ねて経時的なパターンを見出すことを提案する。この発想は [[ポストモーテム]] が集約する Sue Lueder の GQM フィードバックモデルや Marc Brooker の週次 COE レビューが目指す「組織として何を変えるか」という問いと同方向だが、Anatomy of an Incident は専任チームや横断集計基盤を前提とせず、個々の執筆者が自分のポストモーテムを書く際に持つべき視点として提示する点で対象範囲が異なる。RE が強調する「システムを時間軸で捉える」全体論的思考(holistic systems thinking)を、特別な組織投資なしに実践できる最小単位に落とし込んだ事例と読める。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]]) - **『SREの探求』28章は、RE の中核研究者自身による「SRE の認知的作業」という章として、本ページの参考文献リストにある Cook・Rasmussen・Bainbridge・Woods を一堂に集めた統合的な適用例を提供する**: 本ページの「主要参考文献」節はスライドから拾った文献リストとして Cook「How Complex Systems Fail」・Rasmussen「Risk Management in a Dynamic Society」・Bainbridge「Ironies of Automation」・Woods「Four concepts for resilience」を個別に挙げてきたが、28章はこれらすべてを一つの章の理論的基盤として統合し、SRE の日常業務(表28-1)・複雑なシステムにおける人間の能力研究(表28-2)・キャリブレーション問題・表現線モデル・犠牲を伴う意思決定という一貫した枠組みへ組み上げる。RE の理論家自身(Cook)が実務者(Allspaw)と共著する形で書かれている点は、本ページが集約する「実務家による適用」(Lund・Partington・Ruppe・Davis)と「理論家自身による適用」という、異なる著者性を持つ2種類のソースが本ページに揃ったことを意味する。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]]) - **Woods の法則(Woods' Theorem)は、複数の独立したソースで同一の定式化のまま引用され続けている**: 本ページが既に集約する Partington(SREcon22APAC, p.29)の「複雑性が増すほど、単一エージェントのモデルの精度は急速に低下する」という STELLA レポート由来の定式化は、28章でもほぼ同一の文言(「システムの複雑さが増大すると、そのシステムに対して単一のエージェントが持つ独自のモデルの正確性は急速に低下します」)で「Woods の法則」として引用される。異なる媒体(講演スライドと書籍)・異なる文脈(PIR 設計論とキャリブレーション問題論)で定式化が全く揺らがないことは、この定理が SRE コミュニティの RE 理解において確立した共通言語であることを示す。→ [[表現線]](Source: [[@2022__SREcon22APAC__A Post Incident Review Review]] p.29, [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] §28.5) - **表現線(line of representation)モデルは、本ページが集約する Adaptive Capacity・即興論とは異なる角度からレジリエンスの理論的基盤を補う**: 本ページの既存知見は「事前に適応能力を育てる」(Ruppe のカーディオ比喩)、「即興==Adaptive Capacity」(Davis)という実践的・訓練論的な角度を集約してきたが、28章が提示する[[表現線]]モデル(人間は技術を直接認識できず表現を介してのみ働きかける)は、なぜメンタルモデルのキャリブレーションが根本的に不完全にならざるをえないかという、より基礎的な認識論的理由を与える。適応能力を「どう育てるか」(既存の知見)と、なぜ完全な理解が原理的に不可能か(表現線モデル)は、RE の理論を「実践」と「認識論」の両輪から補強する。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] §28.5.1) - **本ページが集約してきた「Safety I → Safety II」論・「犠牲を伴う意思決定」・「動的な非出来事としての安全」は、いずれも 2006年のこのプロローグに理論的起点をたどれるが、"Safety-II" という語自体はまだ登場しない**: 本ページは Partington(SREcon22APAC)の Safety I→II 移行論、『SREの探求』28章の犠牲を伴う意思決定(Woods, 2006)、Karl Weick 由来の「安全は動的な非出来事」という言い回しを、いずれも SRE 実務者による2次的な引用として集約してきた。プロローグ原文を確認すると、Weick の「安全は動的な非出来事(dynamic non-event)」という言葉は文字どおりプロローグ中に引用されており(p.6)、「犠牲的決定(sacrificing decisions)」という語も安全投資が短い時間軸で判断されがちだという文脈で登場する(p.1)。一方で "Safety-II" という術語そのものはこのプロローグには一度も現れず、事後対応型(reactive)の「エラー計数」パラダイムから先回り型(proactive)のレジリエンス・パラダイムへの転換としてのみ語られる。これは、SRE コミュニティが定着させた「Safety-II」という呼び名が、2006年の本書刊行時点ではまだ確立しておらず、後年(Hollnagel の 2014年の著作等)に用語として整理されたことを示唆する——本ページが集約する複数の SRE 講演・書籍は、この2006年の理論的到達点を「Safety-II」という後付けの術語で再パッケージ化して参照している可能性がある。(Source: [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]], [[@2022__SREcon22APAC__A Post Incident Review Review]] p.49, [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] §28.4.2) - **プロローグが安全を『動的な非出来事』という組織文化的観点から定義するのに対し、第1章は同じ問いを事故モデルの選択という分析的観点から定義し直す**: プロローグは安全を集計可能な商品でなく実践のあらゆる側面に浸透する慢性的な価値とし、Karl Weick の言葉を借りて「動的な非出来事(dynamic non-event)」と呼ぶ(Source: [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]] p.6-7)。第1章はこれと補完的に、「システムは安全か」という問いが依拠する事故モデル(ドミノ/スイスチーズ/システミック)によってレジリエンスの意味そのものが変わることを示す——単純線形モデルでは特定原因への不可侵性、複雑線形モデルでは有効な障壁の維持能力、システミックモデルでは有害な影響への効率的な適応能力として、同じ「安全」が分析枠組みごとに異なる操作的定義を持つ(Source: [[@2006__Ashgate__Resilience Engineering - Chapter 1 Resilience – the Challenge of the Unstable]] ch.1 p.13-14)。両者を並べると、プロローグが「安全とは何であるべきか」という規範的・組織的な問いに答えるのに対し、第1章は「安全をどう分析するか」によって答えが変わってしまうという分析的な相対性を指摘しており、レジリエンスエンジニアリングという一つのパラダイムが組織論と分析方法論の両輪で構成されていることを示す。(Source: [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]], [[@2006__Ashgate__Resilience Engineering - Chapter 1 Resilience – the Challenge of the Unstable]]) ## 未解決の問い - **"Safety-II" という術語が本書(2006年)のどこで、あるいは Hollnagel のどの後続文献で初めて明示的に用いられるようになったか**: プロローグには登場しないため、正確な初出を後続章・後続文献の ingest で確認する必要がある。(Source: [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]]) - **14章が言及する『Nancy LevesonのSafety-III』という呼称は、Levesonの主要な業績(STAMP/STPA/CAST)の一般的な呼び方とは異なる**: これは著者独自の要約なのか、それとも学術文献に「Safety-III」という呼称が実在するのか、原典(SRE Book 第III部)を確認する必要がある。(Source: [[@2024__OReillyJapan__SREをはじめよう - Chapter 14 Dickersonの信頼性の階層構造（良い出発点）]]) - RE の「成功の条件を調べる」アプローチ(Work-as-Imagined vs. Work-as-Done)を SRE のポストモーテムに体系的に導入した事例の定量的評価はあるか。 - 個別インタビュー→デブリーフィングという RE 由来の手法は、大規模組織・多チーム・国際分散チームにスケールするか。 - AI エージェントが SRE 作業を担うようになる中で、RE の「人間の適応的専門性を評価・活用する」というアプローチはどう変容するか。 ## 関連 - [[wiki/entities/Resilience Engineering|Resilience Engineering: Concepts and Precepts]] — 「レジリエンスエンジニアリング」を体系化した編著書そのもの - [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]] — 本書プロローグ。RE の定義と問題意識の起点 - [[@2006__Ashgate__Resilience Engineering - Chapter 1 Resilience – the Challenge of the Unstable]] — 本書第1章。事故モデルの系譜からレジリエンスを定式化 - [[事故モデル]] — 事故モデルの選択がレジリエンスの理解を規定するという第1章の主張の集約先 - [[人的要因]] — 密接に関連する姉妹領域 - [[ポストモーテム]] — RE の視点を導入した批判的実践 - [[自動化の皮肉]] — Bainbridge: 自動化拡大が人間の状況認識を低下させる逆説 - [[データセンター信頼性]] — 信頼性エンジニアリングの現代的文脈 - [[Handover Communications]] — Adaptive Capacity を分析枠組みの中核概念として採用する引き継ぎ伝達研究 - [[David D. Woods]] — Adaptive Capacity 定義(2019)・STELLA レポートの中心人物 - [[アノマリー応答]] — 仮説探索空間の process tracing 実証研究 - [[John Allspaw]] — 「レジリエント」の誤用に対する講演での警鐘 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 5 SREになるための準備]] — SRE になる前提知識としてレジリエンス工学を紹介する書籍章 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 10 失敗から学習する]] — Woods のレジリエンス定義とレジリエンシー4分類を紹介する書籍章 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 14 Dickersonの信頼性の階層構造（良い出発点）]] — 著者がRCAからレジリエンス工学へ関心を移した回心のエピソードを紹介する書籍章 - [[Richard I. Cook]] / [[表現線]] / [[Adaptive Capacity Labs]] - [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] — Cook・Woods・Bainbridge・Rasmussen の理論を統合的に適用する章 ## 出典 - [[@2006__Ashgate__Resilience Engineering - Prologue Resilience Engineering Concepts]] — Hollnagel, E., Woods, D. D., & Leveson, N. (Eds.), *Resilience Engineering: Concepts and Precepts*, Ashgate, 2006, Prologue. - [[@2006__Ashgate__Resilience Engineering - Chapter 1 Resilience – the Challenge of the Unstable]] — Hollnagel, E., 同書, Ashgate, 2006, Chapter 1. - [[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] - [[@2022__SREcon22APAC__A Post Incident Review Review]] (p.29: STELLA/Woods' Theorem; p.49: Safety I→II) - [[@2023__SREcon23Americas__Handover Communications in Software Operations - Findings from the Field]](p.16: Adaptive Capacity の定義、Woods, 2019; p.53 への帰属) - [[@2019__ACMQueue__Cognitive Work of Hypothesis Exploration During Anomaly Response]](process tracing による仮説探索空間の実証分析) - [[@2024__OReillyJapan__SREをはじめよう - Chapter 5 SREになるための準備]] — David N. Blank-Edelman(山口能迪 訳), 『SREをはじめよう』, オライリー・ジャパン, 2024, 5章(§5.6.2: John Allspaw の講演引用) - [[@2024__OReillyJapan__SREをはじめよう - Chapter 10 失敗から学習する]] — 同書 10章(§10.3: Woods「Resilience Is a Verb」の定義、Cook & Long 2021 が要約するレジリエンシー4分類) - [[@2024__OReillyJapan__SREをはじめよう - Chapter 14 Dickersonの信頼性の階層構造（良い出発点）]] — 同書 14章(§14.1.3: RCAからレジリエンス工学(Safety-II/Safety-III)への回心のエピソード) - [[@2021__OReillyJapan__SREの探求 - Chapter 28 SREの認知的作業]] — John Allspaw、Richard Cook, 「SRE の認知的作業」, David N. Blank-Edelman(編)『SREの探求』, オライリー・ジャパン, 2021, 28章(§28.5: Woods の法則、表現線モデル)