# 心理的安全性 ## 定義 心理的安全性(Psychological Safety)とは、[[Amy Edmondson]](Novartis Professor, Leadership and Management, Harvard Business School)の定義によれば「アイデア・質問・懸念・過ちを口にしても罰せられたり辱められたりしないという確信」である。[[wiki/entities/Anatomy of an Incident|Anatomy of an Incident]] 第 5 章はこの定義を起点に、心理的安全性を(1) インシデント管理プラクティスの導入という組織変革の局面、(2) インシデント対応そのものの局面、(3) 組織文化全体という 3 つの層に分けて論じる。いずれの層でも、心理的安全性はブレームレスネス(blamelessness、「責任を人からシステムとプロセスへ移す」発想)と対をなす概念として扱われる(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]])。 ## Anatomy of an Incident が示す枠組み - **Westrum の組織文化モデル**: 生成的(generative)組織は病理的(pathological)・官僚的(bureaucratic)組織よりトップパフォーマーになりやすく、心理的安全性がソフトウェア配信パフォーマンスを予測する(DevOps Culture: Westrum Organizational Culture)。 - **Google の Project Aristotle**: 心理的安全性の高いチームは営業目標を 17% 上回り(不安全なチームは 19% 未達)、経営層から効果的と評価される頻度が 2 倍になる。 - **4 つの層**: チームメイトから(「助けが要る」を称賛する)、パートナーチームから(高圧的という評判を口実に他チームとの関わりを避けない)、マネジメントから(チームの健全性を見守り緩衝材となる)、組織から(three strikes のような懲罰的ポリシーを避ける)。 - **エスカレーションの安価さ**: 心理的安全性の明確な効用のひとつはエスカレーション時間の短縮であり、エスカレーションは安価・迅速・無条件であるべきとされる。 (Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]]) ## 横断的知見 - **「人間は原因でなくシステムが原因を許した」という命題は、複数ソースが独立に到達する「ヒューマンエラーは分析の行き止まり」という結論と同型である**: Anatomy of an Incident 第 5 章の「人間がインシデントの原因になることは決してない。原因は、インシデントの発生を『許した』システムとプロセスである」という宣言は、[[人的要因]] が集約する Lund の「Human Error は分析の行き止まり(analytical dead end)」、Gallego の「ローカル合理性」、Eckhardt の「ヒューマンエラーは調査を終わらせる場所でなく始める場所」と同一の病理認識に立つ。書籍と複数の SREcon 講演が独立に同じ結論へ収束していることは、この命題が特定の登壇者の個人的見解でなく SRE コミュニティに広く共有された前提であることを示す。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]]) - **「ブレームレス」と「ブレーム・アウェア」の間の緊張**: Anatomy of an Incident は「ブレームレスネス」を無条件に推奨し、「個人は善意で行動し最善の情報にもとづいて判断している」と仮定すべきだと述べる。一方 [[ポストモーテム]] が集約する Gallego(Etsy)の立場は、「ブレームレス」という言葉が「責任の否定」と誤解され必要な情報の隠蔽を招くとして「ブレーム・アウェア(バイアスや非難感情の存在を認めつつ指差しの形で表出させない)」を提唱する。両者は「非難を目的にしない」という結論では一致するが、Anatomy of an Incident が理念としての無条件のブレームレスネスを説くのに対し、Gallego はより実務的に「バイアスは消えない」という前提から出発する点で強調点が異なる。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2018__SREcon18 Americas__Architecting a Technical Post Mortem]]) - **心理的安全性は「事前に構築するもの」という点で複数ソースが収束する**: [[レジリエンスエンジニアリング]] が集約する Ruppe の「カーディオを鍛えよ」比喩は、心理的安全性の構築をインシデント発生後でなく事前の準備活動として位置づける。Anatomy of an Incident 第 5 章もまた、心理的安全性を「インシデント管理プラクティス導入時」という組織変革の初期段階から要求される前提条件として描いており、両ソースは「心理的安全性は有事に急造できない」という認識で一致する。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2022__SREcon22EMEA__The Repeat Incident Fallacy - What Jurassic Park Can Teach Us about Incidents]]) - **心理的安全性の欠如は「エスカレーションの遅れ」という定量的に痛みを伴う形で現れる**: Anatomy of an Incident は「もっと早くエスカレーションしていれば損失を抑えられた」という反省が心理的に安全な組織でも繰り返し起きると指摘し、応答者が助けを求めることを「弱さのサイン」と感じる心理的障壁を挙げる。この観察は [[インシデント後の人的回復]] が集約する Woo の調査(インシデント後に「同僚が様子を聞いてくれた」頻度が 80% で 2 段階以下)と対応関係にある——エスカレーション時の心理的障壁とインシデント後のピアサポート欠如は、同じ「助けを求める/受け取ることへの組織的な弱さ」という根を共有する時間軸違いの現象として読める。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2018__SREcon18Americas__Your System Has Recovered from an Incident, but Have Your Developers]]) - **Westrum の引用は SRE コミュニティ内で少なくとも 2 つの異なる文脈で使われている**: [[SRE文化]] は Westrum の「文化とは組織が遭遇する問題・機会への組織の対応パターンである」という定義を SRE 文化論の出発点として引用する。Anatomy of an Incident 第 5 章は同じ Westrum の生成的/病理的/官僚的の組織類型論を、心理的安全性とソフトウェア配信パフォーマンスの予測関係という異なる論点で引用する。同一の研究者が SRE コミュニティの文化論と心理的安全性論の双方で参照される事実は、Westrum のモデルが SRE 領域で汎用的な理論的足場として機能していることを示す。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2024__OReillyJapan__SREをはじめよう - Chapter 3 SREの文化]]) - **技術的オブザーバビリティと心理的安全性は別レイヤーの観測対象として扱われる**: [[人的要因]] が集約する Matt Davis の「人間のオブザーバビリティ」実践(コンダクター質問が疲労・食事・時刻・心理的安全を問う)は、心理的安全性をインシデント対応中にリアルタイムで観測すべき変数として扱う。Anatomy of an Incident は心理的安全性を主に組織設計・文化醸成の対象として論じており、両者を合わせると「心理的安全性は設計対象であると同時に運用時の観測対象でもある」という 2 層構造が見える。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2023__SREcon23Americas__Human Observability of Incident Response]]) - **同一系譜の Google 内部研究が、インシデント対応の局所的実践と SRE 組織全体の文化的基盤という異なるスケールで引用される**: Anatomy of an Incident 第 5 章が引用する Google の Project Aristotle(心理的安全性の高いチームは営業目標を 17% 上回る)と、『SREエンタープライズロードマップ』第 5 章が引用する Google 社内調査(rework.withgoogle.com のチーム効果性ガイドを脚注に持つ)は、いずれも Google のチーム効果性研究を出典とする。ただし前者は心理的安全性という単一変数を切り出しインシデント対応のエスカレーション論の文脈で使うのに対し、後者は心理的安全性を頼りがい・構造と明瞭さ・仕事の意味・仕事の影響と並ぶ5つの力学の1つとして提示し、SRE 全体を機能させる文化的基盤という組織論の文脈で使う。同じ一次研究が、書籍の目的に応じて「局所的なインシデント対応実践」と「組織全体の文化的前提」という異なるスケールで参照されていることが、2ソースを並べると見えてくる。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2022__OReillyJapan__SREエンタープライズロードマップ - Chapter 5 積極的な成功体験の育成]]「文化は戦略を糧に成長する」) - **心理的安全性は「本質的に無料である」という主張が、事前構築論に経済的な正当化を加える**: 既出の知見は、心理的安全性が「事前に構築すべきもの」であるという点で Anatomy of an Incident とレジリエンスエンジニアリングが一致することを示した。『SREエンタープライズロードマップ』第 5 章はこれに、心理的安全性を含む5つのチーム力学が「本質的に無料」でありコストや業界事情を理由に後回しにすべきでないという経済的な論拠を加える。事前構築という時間軸の主張(いつ)に、コストという別の軸(なぜ後回しにしない方がよいか)が加わることで、心理的安全性への投資判断がより具体的になる。(Source: [[@2022__SREcon22EMEA__The Repeat Incident Fallacy - What Jurassic Park Can Teach Us about Incidents]], [[@2022__OReillyJapan__SREエンタープライズロードマップ - Chapter 5 積極的な成功体験の育成]]「文化は戦略を糧に成長する」) - **Project Aristotle への言及は、書籍間で「二次引用の統計」と「一次関与者の当事者記述」という異なる粒度で現れる**: Anatomy of an Incident 第5章は Project Aristotle の結論(心理的安全性の高いチームは営業目標を17%上回る等)を統計として引用するのに対し、『SREの探求』27章の著者 [[John Looney]] は Google 在職時に「チーム開発」グループの一員としてこのリサーチに基づく研修コース開発そのものに関わった当事者として、リサーチの結論(在職期間・年功序列・給与水準でなく心理的安全性が成功チームの最重要指標)を直接記述する。同一の Google 内部研究が、外部書籍による統計の二次引用と、リサーチ関与者本人による起源の一次記述という異なる証拠の層で言及されており、これらを並べることで Project Aristotle が SRE コミュニティに流通する経路を一部たどれる。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]] §27.1) - **架空の新入社員カレンの物語は、「非難文化」という抽象概念に具体的な因果の時系列を与える**: Anatomy of an Incident は「責任を人からシステムとプロセスへ移す」というブレームレスネスの理念を抽象的に述べるが、27章のカレンの物語は、無許可のデータベース最適化がロールバックされた後の週次ポストモーテムでディレクターに公の場で「無責任」と非難されたカレンが、以後「明示的な許可がない限り二度とイノベーションを試みない」ようになり、最終的に離職に至るまでの因果連鎖を段階的に描く。抽象的な理念(ブレームレスネスを欠くと何が起きるか)が、具体的なナラティブ(誰が・いつ・何を言われて・どう行動が変わったか)によって初めて追跡可能になる関係が、2 ソースを並べると見えてくる。(Source: [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]], [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]] §27.1) - **運用チーム・SRE が心理的に安全でないと感じやすい理由について、27章は他ソースにない構造的な因果分析を与える**: 本ページに集約された既存ソースは、心理的安全性の欠如がエスカレーション遅延・ピアサポート欠如としてどう現れるかを論じるが、「なぜ運用チームで心理的安全性が特に損なわれやすいのか」という原因分析は薄い。27章は、中断への耐性を要求される業務特性・不確実性管理という職務からくる情報過多・オンコールの人手不足とストレス・自分たちより大きな開発チームをサポートする認知的過負荷・SLA の曖昧さによる想像上の期待・自身のストレス状態を過小評価しがちな傾向、という6つの構造的要因を挙げる。これは既存ソースが記述する「エスカレーション時の心理的障壁」(エスカレーション後のピアサポート欠如との対応関係を参照)の**手前**にある、なぜ運用チームがそもそも安全と感じにくいかという上流の原因を補う。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]] §27.1.1.6) - **「心理的安全性を単独最適化しない」という警告が、2つの異なる誤測定リスクを指摘する**: 『SREエンタープライズロードマップ』第5章は心理的安全性を「本質的に無料」なコストのかからない投資として位置づけ後回しにすべきでないと論じるのに対し、27章は逆方向のリスクとして「安全でないと感じる誰かがチームから抜ければ心理的安全性の指標としては向上するが、これは成功を示すわけではない」と warns する。前者が「投資を怠るコスト」を、後者が「指標を額面通り信じるリスク(離職によるサバイバーシップバイアス)」を指摘しており、2 ソースを合わせると心理的安全性を主要ビジネス指標として扱う際に注意すべき両側面(過小評価と誤った楽観の両方)が揃う。(Source: [[@2022__OReillyJapan__SREエンタープライズロードマップ - Chapter 5 積極的な成功体験の育成]]「文化は戦略を糧に成長する」, [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]] §27.1.1.5) - **『SREの探求』23章のBissetは、「人間は原因でなくシステムが原因を許した」という命題を、Anatomy of an Incident(2022)より早く(原書2018年)、寄与要因(contributing factors)という語彙で独立に定式化していた**: 既出の知見は、Anatomy of an Incident 第5章の宣言が[[人的要因]]の集約する複数のSREcon講演と同一の病理認識に立つことを示していた。23章のアンチパターン4「根本原因＝ヒューマンエラー」は、これと同じ問題意識をさらに早い時期に独立して展開する。Bissetは「善意の人間でも『壊す』ことができるのなら、それはすでに壊れていたのです」という警句を掲げ、「純粋に」機械的な障害も遡れば人間のエラーに行き着き、逆も成り立つため、原因をハードウェアか人間かに二分する説明は誤りだと述べる。そのうえで「根本原因でも、さらには原因でもなく、私は寄与要因を考えたい。つまり、そのどの1つを取っても観測された動作の原因として十分ではないかもしれませんが、すべての要因が障害のパターンに寄与することで最終的にシステムのユーザーが気付くことになる」と述べ、ポストモーテムの目標を「独立した決定的な証拠を突き止めることではなく、障害のあらゆる側面を徹底的に理解すること」に置く。これは、既出のGallego(Etsy)の「ブレーム・アウェア」論やAnatomy of an Incidentの「システムとプロセスへ責任を移す」という理念と同じ結論に、「根本原因という単数形の探求そのものを放棄し複数の寄与要因の集合として障害を理解する」という、より踏み込んだ分析方法論の提案から到達している点で独自である。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 23 SREのアンチパターン]] §23.4, [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]]) - **精神障害の開示を妨げるスティグマは、27章の安全性診断5項目が指す「率直に話しづらい」を、より深刻な形で裏付ける**: 27章の安全性診断は「微妙な問題について率直に話しづらい」チームを不安全と判定するが、対象は主にインシデントやスキルに関する率直さである。29章はこれをさらに深刻な領域——精神障害の開示——に拡張する。29章によれば、精神障害のある人のほとんどは差別を恐れて自分の状態を友人や家族にすら相談できないと感じており、いじめに遭うかもしれない職場でカミングアウトすることを選ぶ人はさらに少ない。エンジニアリングマネージャーの大半が部下の精神障害に気付いていないという29章の観察は、心理的安全性の欠如が「見えない」形で存在しうることを示し、27章のカレンの物語(非難によって声を上げなくなる)と同型の「安全に開示できない」という力学が、より恒常的で不可視な形で作用していることを示す。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]] §27.1, [[@2021__OReillyJapan__SREの探求 - Chapter 29 燃え尽きを超えて]] §29.2, §29.3) - **32章は心理的安全性を、社会運動の組織化原則(セントポール原則)とSREのインシデント管理原則を対応づける架け橋として、27章から直接に借用する**: 32章は「私たちも同様に、心理的安全性(27章を参照)の確保、チーム間における信頼関係の確立、混沌とした状況をコントロールする方法の一貫した計画を確実に行う必要があります」と述べ、セントポール原則の第3項(論争・批判を運動内部にとどめる)・第4項(州によるあらゆる抑圧への反対)を、インシデントの渦中・事後に非難を伴わないやり取りにアプローチするSREの姿勢と類似する原則として位置づける。27章は運用チーム固有の6つの構造的要因(中断への耐性・不確実性管理・オンコールストレス等)から心理的安全性の欠如を説明するのに対し、32章は活動家の対人関係の葛藤管理という全く異なる領域から出発しながら、「適切な準備によって役割が明確になれば各当事者が自身の責任に集中でき混沌の悪化を避けられる」という同型の結論に到達する。心理的安全性を支える「役割の明確化による混沌時の集中」という機制が、運用チームという特定の職能に固有の現象ではなく、危機対応を伴う協働一般に現れるパターンであることが、この2ソースを並べると見える。(Source: [[@2021__OReillyJapan__SREの探求 - Chapter 32 運用と社会運動が交わるところ]] §32.1.2.2, [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]]) ## 未解決の問い - 32章が示すセントポール原則とSREのインシデント管理原則の対応づけは、27章の6つの構造的要因のうちどれと最も強く対応するか、32章自身は個別の対応関係を示していない。 - 27章の安全性診断5項目(失敗への非難・新人の疎外・支援の遅さ・スキル軽視・率直な対話の忌避)は、29章が扱う精神障害の開示という、より恒常的で不可視な不安全のシグナルを検知できるか。診断項目自体の拡張が必要かは未検証。 - 第5章が引用する Google のチーム効果性調査(rework.withgoogle.com)と、Anatomy of an Incident が引用する Project Aristotle は同一の調査か、別の調査か。原典を突き合わせて確認する必要がある。 - three strikes ポリシーのような懲罰的施策が実際にどの程度の組織で運用され、心理的安全性の欠如とインシデント対応品質の悪化を定量的に結びつけた実証研究はあるか。 - 「ブレームレス」と「ブレーム・アウェア」のどちらの理念的立場を取るかは、実務上のポストモーテムファシリテーションの手法(たとえば[[レトロスペクティブファシリテーション]]の言語選択)にどう影響するか。 - Westrum の生成的組織モデルとソフトウェア配信パフォーマンスの相関(DevOps Culture study)は、心理的安全性を独立変数として測定しているか、それとも他の交絡要因(組織規模・成熟度)を含むか。 - エスカレーション時の心理的障壁とインシデント後のピアサポート欠如が同根の現象だとすれば、両方に同時に効く単一の組織的介入は存在するか、それとも時間軸ごとに別の施策が要るか。 - 27章が挙げる運用チーム特有の6つの構造的要因(中断耐性・不確実性管理・オンコールストレス・認知的過負荷・想像上の期待・自己診断の困難)のうち、どれが心理的安全性の欠如に最も強く寄与するか。定量的な検証は本章では行われていない。 ## 関連 - [[ポストモーテム]] — ブレームレス/ブレーム・アウェアの実践的文脈 - [[人的要因]] — 「ヒューマンエラーは分析の行き止まり」という収束した認識の源流 - [[レジリエンスエンジニアリング]] — 心理的安全性を事前に構築すべき適応能力の一部として位置づける姉妹領域 - [[インシデント後の人的回復]] — エスカレーション後の心理的障壁と対をなすインシデント後のピアサポート - [[SRE文化]] — Westrum の文化定義を異なる文脈で引用する隣接概念 - 関連章: [[@2022__OReillyJapan__SREエンタープライズロードマップ - Chapter 5 積極的な成功体験の育成]] — 心理的安全性を5つのチーム力学の1つとして SRE 全体の文化的基盤に位置づけるソース - 関連章: [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]] — Project Aristotle への一次関与者による記述、カレンの物語、運用チーム特有の6つの構造的要因 - [[John Looney]] — Google の Project Aristotle 関連研修コース開発に関わった当事者 - 関連章: [[@2021__OReillyJapan__SREの探求 - Chapter 23 SREのアンチパターン]] — 「寄与要因」という語彙で「人間は原因でなくシステムが原因を許した」を独立に定式化(原書2018年) - 関連章: [[@2021__OReillyJapan__SREの探求 - Chapter 29 燃え尽きを超えて]] — 精神障害の開示を妨げるスティグマという、より恒常的で不可視な不安全のシグナル - 関連章: [[@2021__OReillyJapan__SREの探求 - Chapter 32 運用と社会運動が交わるところ]] — セントポール原則第3・第4項をSREの心理的安全性・非難のない振り返りに対応づける - [[SREと社会運動]] — 32章を起点とする、SREのスキルを社会運動へ転用する視点との接続 - [[メンタルヘルスとインクルーシビティ]] — 精神障害の開示・インクルージョンに焦点を当てた隣接概念 - [[Blake Bisset]] / [[Dropbox]] - 関連 MOC: [[SRE - MOC]] ## 出典 - [[@2022__OReilly__Anatomy of an Incident - Chapter 5 Postmortems and Beyond]] — Ayelet Sachto and Adrienne Walcer, *Anatomy of an Incident*, O'Reilly Media, 2022, Chapter 5(Amy Edmondson の定義、Westrum モデル、Project Aristotle、4 層構造、エスカレーション論) - [[@2018__SREcon18 Americas__Architecting a Technical Post Mortem]] — ブレーム・アウェアの対比 - [[@2022__SREcon22EMEA__The Repeat Incident Fallacy - What Jurassic Park Can Teach Us about Incidents]] — 「カーディオを鍛えよ」の事前構築論 - [[@2018__SREcon18Americas__Your System Has Recovered from an Incident, but Have Your Developers]] — インシデント後のピアサポート欠如の実証データ - [[@2023__SREcon23Americas__Human Observability of Incident Response]] — 心理的安全のリアルタイム観測実践 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 3 SREの文化]] — Westrum の文化定義の別文脈での引用 - [[@2022__OReillyJapan__SREエンタープライズロードマップ - Chapter 5 積極的な成功体験の育成]] — James Brookbank, Steve McGhee 著, 山口 能迪 訳, 『SREエンタープライズロードマップ』, Google Japan G.K., 2022, 第5章(5つのチーム力学の1つとしての心理的安全性、コスト論) - [[@2021__OReillyJapan__SREの探求 - Chapter 27 SREにおける心理的安全性]] — John Looney, David N. Blank-Edelman(編)『SREの探求』, オライリー・ジャパン, 2021, 27章(Project Aristotle の一次関与者記述、カレンの物語、運用チーム特有の構造的要因) - [[@2021__OReillyJapan__SREの探求 - Chapter 23 SREのアンチパターン]] — Blake Bisset, David N. Blank-Edelman(編)『SREの探求』, オライリー・ジャパン, 2021, 23章(アンチパターン4「根本原因＝ヒューマンエラー」、寄与要因という語彙) - [[@2021__OReillyJapan__SREの探求 - Chapter 29 燃え尽きを超えて]] — James Meickle, 同書, 2021, 29章(精神障害の開示を妨げるスティグマ) - [[@2021__OReillyJapan__SREの探求 - Chapter 32 運用と社会運動が交わるところ]] — Emily Gorcenski、Liz Fong-Jones, 同書, 2021, 32章(§32.1.2.2: セントポール原則との対応づけ)