# 人的要因 (Human Factors) ## 定義 人的要因（Human Factors）は、人間の能力・限界・行動パターンと、それが関わるシステム・環境・組織との相互作用を研究する学問領域である。工学・心理学・認知科学・生理学・組織論を横断し、安全性・効率・快適性の向上を目指す。インシデント分析・ポストモーテム・システム設計に適用した場合、「なぜ人間はそのような判断をしたのか」を問う出発点となる。 Tanner Lund は SREcon19 APAC で「Human Factors に触発されたアプローチ、特にレジリエンスエンジニアリングの流儀による」と明記し、SRE のインシデント対応における人間の役割を再評価した([[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] p.27)。 ## 横断的知見 - **「ヒューマンエラー」は分析の行き止まりである**: Lund は「Human Error」という結論を「analytical dead end」と明示する。人間をエラーの原因として特定した瞬間に分析が止まり、「なぜその文脈でその判断が合理的に見えたか」という問いが省かれる。これは Sidney Dekker の New View（人間を機能不全でなくシステムの適応的要素と見る）と整合する([[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]])。また Will Gallego の「ローカル合理性」概念(「人は当時の情報において最善と信じる行動をとる」)とも対応する([[ポストモーテム]])。 - **規範的言語が後知恵バイアスを固定化する**: 「すべき/すべきでなかった」という規範的言語(Normative Language)はポストモーテム文書に後知恵バイアス(Hindsight Bias)と非難(Blame)を組み込む。Human Factors 視点では、事後から見れば「明らかな失敗」も当時の知識・プレッシャー・文脈では合理的選択だった可能性が高い([[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]])。 - **複雑システムでは人間の適応性が安全の源泉でもある**: 機械論的推論(Mechanistic Reasoning)——「人間を除けばエラーが減る」——への批判は、人間が単なるエラー源でなくシステムの頑健性を支える[[レジリエンスエンジニアリング|Resilience Engineering]]の中核テーゼと重なる。[[自動化の皮肉]]も同様に、自動化の拡大が人間の状況認識を低下させる逆説を指摘する([[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] p.9)。 - **Miller's Law が「ヒューマンエラー調査」の哲学的基盤を提供する**: Eckhardt（[[@2019__SREcon19 Asia__Retrospectives for Humans (a crash course)]]）は Miller's Law——「相手の言葉を理解するには、それが真だと仮定してどういう状況なら真になるかを想像しなければならない」——をポストモーテムでの会話の中核原則に据えた。この原則は Lund の「Human Factors に触発されたアプローチ」と Gallego の「ローカル合理性」の共通の認識論的根拠でもある。「自分の直接経験の外にある発言を理解するには、相手の当時の文脈を仮定的に再構築するしかない」という命題は、Human Factors がなぜ個人ではなく文脈に注目するかの根拠を言語哲学から提示する。(Source: [[@2019__SREcon19 Asia__Retrospectives for Humans (a crash course)]] p.18 / transcript) - **「ヒューマンエラー」は分析の行き止まりであることが実務家からも収束確認される**: Eckhardt は SREcon19 Asia/Pacific で「ヒューマンエラーは調査を終わらせる場所でなく、始める場所だ」とした（John Allspaw 経由、Sidney Dekker・David Woods 参照）。この主張は Lund（[[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]]）の「analytical dead end」、Gallego（[[@2018__SREcon18 Americas__Architecting a Technical Post Mortem]]）の「ローカル合理性」と並ぶ三者独立の収束であり、Human Factors 学術系と SRE 実務家系の両方からの合流が確認できる。具体的な次の問い: 「その人間はどうエラーを起こしたか」「エラーが起きやすかった条件は何か」「エラーがシステムを落とした経路は何か」「人間がエラーに気づくのにどれだけかかったか」（[[@2019__SREcon19 Asia__Retrospectives for Humans (a crash course)]] p.26）。 - **Lake Washington 浮橋沈没（1990）事例が示す「人的要因調査の不完全性」**: Eckhardt と Neva は SREcon19 Americas で、Lake Washington 橋沈没の公式調査が5つの物理的要因（水圧破砕工事・水蓄積・トラック荷重・橋脚亀裂・連鎖沈降）を列挙しつつ、「ポンプスケジュール管理ができなかった作業員の状況」を調査しなかったか文書化しなかった点を「ほぼ良い振り返りだが不完全」と評した（[[@2019__SREcon19Americas__Running Excellent Retrospectives - Talking for Humans]] p.25-30）。これは「物理的因果連鎖を完全に記述しても人的文脈を欠けば振り返りは不完全」という命題の具体例である。公式の工学的調査が人的要因を落とす構造的傾向と、それがなぜ再発防止に不十分かを示す好事例。 - **機械論的推論（Mechanistic Reasoning）はポストモーテムの根本的誤謬**: [[Tom Partington]] は [[ANZx]] の実践報告（[[@2022__SREcon22APAC__A Post Incident Review Review]] p.16）でこの用語を明示し、「システムを相互関係のない部品の集合と見なす信念」と定義した。機械論的推論のもとでは、ひとつの部品（人間・コード・設定）を修正すれば問題が解決すると仮定するが、Complex Adaptive Socio-technical Systems——創発的特性と帰還ループを持ち、人間と機械で構成されて仕事をする——という現実の複雑さを説明できない。これは Dekker の「原因は構築される」・Lund の「Human Error は分析の行き止まり」と同一の批判を、組織実践（PIR 設計）から記述した点で補完的である。 - **Dekker's Tunnel は「なぜその人が悪かったのか」から「どの文脈でその判断が合理的だったか」への問い転換を可視化する**: Partington は Dekker's Tunnel（[[@2022__SREcon22APAC__A Post Incident Review Review]] p.18）を PIR ファシリテーションの哲学的根拠として提示した。入口から分岐した経路が複数の出口（障害・成功）に至るトンネル構造は、「同じ人間が同じ状況に入っても出口は一つでない」ことを示し、ブレームの論理を崩す。[[ANZx]] が PIR でブレーム・アウェア（Blame-aware）デブリーフィングを採用する背景にはこの視覚的フレームがある。 - **インシデント対応中の人間のオブザーバビリティは技術的オブザーバビリティと並存する**: [[Matt Davis]] は [[@2023__SREcon23Americas__Human Observability of Incident Response]] において「人間のオブザーバビリティ」——参加者が互いの状態・意図・注意をどう把握し合うか——を技術的メトリクス・トレース・ログとは独立した観測対象として位置付けた。コンダクター質問（p.30）が疲労・食事・時刻・心理的安全を問うのはその実践形態。技術的オブザーバビリティが充実した組織でも人間のオブザーバビリティが欠如すると Common Grounding の崩壊リスクが上がるという命題は、他の Human Factors ソース（Lund・Eckhardt・Partington）の「文脈」重視と収束する。(Source: [[@2023__SREcon23Americas__Human Observability of Incident Response]]) - **インシデント対応の即興能力（Adaptive Capacity）は練習の外に存在しない**: Davis は Derek Bailey の「Improvisation has no existence outside of its practice」を引用し、インシデント対応の適応的能力は演習なしには育たないと主張した。これは Lund・Eckhardt らが「文脈の再構築」という認識論的提案にとどまったのに対し、Davis は**練習フレームワーク（Practice of Practice Gamelan）**として実践に落とした点で新しい。Human Factors の知見を「組織的な訓練設計」につなぐ橋渡しとして評価できる。(Source: [[@2023__SREcon23Americas__Human Observability of Incident Response]]) - **"Commanding the Chaos" は AI Ops 特有の Human Factors 実践フレームワーク**: [[Eddie Redick]] が SREcon26 Americas で提唱した "Commanding the Chaos" は、AI エージェントが自律的に動く環境下での SRE の人間側スキルセットを Psychological Composure（プレッシャー下での冷静）/ Systems Thinking（全体最適視点）/ Automation at Scale（スケールする自動化設計）の 3 軸で定義する。Lund・Eckhardt らが事故後の分析フレームワークとして Human Factors を語るのに対し、Redick は AI 主体の「リアルタイム運用」文脈での人間スキルとして展開する点が新しい。特に "You don't rise to the level of your architecture; you fall to the level of your systems thinking." という言及は、アーキテクチャの複雑性が増すほど人間の「システム全体を見渡す思考」の相対的価値が上がるという主張で、[[自動化の皮肉]](自動化が人間の状況認識を奪う)の処方箋として Systems Thinking トレーニングを位置づけている。この3軸の欠落を「個人の失敗」ではなく「訓練不足という組織的前提」として捉える視点は、Lund の「Human Error は分析の行き止まり」と同じ根拠から来ている。(Source: [[@2026__SREcon26Americas__Human Factors in the Age of AI Ops]]) - **Trust Triangle は AI 信頼の崩壊モードを特定する Human Factors ツールになる**: Redick は Frei & Morris の Trust Triangle（Logic / Empathy / Authenticity）を AI Ops 文脈に適用し、「いずれか 1 軸が崩壊すると信頼全体が失われる」と述べた。特に Authenticity の崩壊——AI が提示する推奨の根拠が不透明で独立した検証ができない——が、16% しか AI を完全信頼しないという現状の中心要因として示された。Human Factors が「人間はなぜその判断をしたか」を問うのに対し、Trust Triangle は「人間は AI のどの特性を評価してその判断を下すか」を問う枠組みであり、AI 時代の Human Factors の評価対象が「人間の認知」から「人間-機械界面の信頼構造」へと拡張することを示唆する。(Source: [[@2026__SREcon26Americas__Human Factors in the Age of AI Ops]]) - **ローカル合理性による疑いが歴史的規模の惨事を防いだ事例として、1979年 NORAD 誤警報がある**: [[@2023__SREcon23Americas__Epic Incidents of History - The 1979 NORAD Nuclear Near Miss]] では、核攻撃と誤認された誤警報に対し、現場のオペレーターが他データソース(レーダー)とのクロスチェックおよび表示時刻の不整合という「局所的文脈」への違和感を頼りに、与えられたデータをそのまま信じずに約6分で誤警報と判断した。これは Gallego のいう「人は当時の情報において最善と信じる行動をとる」というローカル合理性が、単に事後分析の解釈枠組みにとどまらず、危機の最中に「批判的に疑う」という能動的な適応行動として発揮された事例であり、[[複雑システム障害論]] の命題12（人間は複雑システムの適応的要素）を歴史的スケールで裏付ける。 - **生理学的ストレス管理は Human Factors の「身体的次元」として接続する**: [[Beth Adele Long]] は SREcon26 Americas で、オンコールの慢性・急性ストレスを ANS(自律神経系)の活性化として捉え、Body Scan・Breath・Movement・Boredom という身体的介入で ANS の自己修正を促す実践を提示した([[@2026__SREcon26Americas__The Critical Resource Is You - Practical Destressing for On-Call Engineers]])。Ordinary Mind(目標指向・合理的・言語的)による ANS の抑制というメカニズムは、Human Factors が強調する「合理的な事後分析だけでは人間のパフォーマンス問題を解決できない」という命題の生理学的対応物である。Davis の「インシデント対応中の人間のオブザーバビリティ」が認知・コミュニケーション面を扱うのに対し、Long の枠組みは身体・神経系面を扱う点で補完的。(Source: [[@2026__SREcon26Americas__The Critical Resource Is You - Practical Destressing for On-Call Engineers]]) ## 未解決の問い - ポストモーテムで Human Factors アプローチを採用する場合、「個別インタビュー→デブリーフィング」という手順はどのくらいの時間・コストを要するか。Google SRE Workbook や PagerDuty の推奨プロセスとトレードオフはどう評価されるか。 - Dekker の4目的(認識論的・予防的・道徳的・実存的)のうち、SRE 実践で最も軽視されているのはどれか。道徳的目的と実存的目的はソフトウェア障害に適用可能か。 - 「Human Factors の流儀」が自動化・AI 主体のシステム運用にどう変容するか。エージェント型 SRE が拡大する文脈で人間の役割が縮小した場合、Human Factors の適用対象はどう変わるか。Redick の Trust Triangle と "Commanding the Chaos" は AI Ops 向け Human Factors の出発点だが、AI エージェントが L3-L4 レベルに達した組織での評価軸（人間は本当に Psychological Composure や Systems Thinking を担うか、それとも AI 生成の推薦を承認するだけになるか）は未整理。 ## 関連 - [[ポストモーテム]] — Human Factors 視点から批判的検討を加えた主要文脈 - [[レジリエンスエンジニアリング]] — 密接に関連する姉妹領域 - [[自動化の皮肉]] — 人間の役割と自動化の逆説 - 一方向参照: [[structures/SRE - MOC]] (該当があれば) ## 出典 - [[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] - [[@2019__SREcon19Americas__Running Excellent Retrospectives - Talking for Humans]] - [[@2022__SREcon22APAC__A Post Incident Review Review]] (p.16: Mechanistic Reasoning; p.18: Dekker's Tunnel) - [[@2023__SREcon23Americas__Epic Incidents of History - The 1979 NORAD Nuclear Near Miss]] - [[@2026__SREcon26Americas__The Critical Resource Is You - Practical Destressing for On-Call Engineers]]