# Safety-II Navigation: [[index]] | [[_index|concepts]] ## 定義 Erik Hollnagel が提唱した安全科学の枠組み。従来の Safety-I が「悪い結果が起きないようにする」ことに焦点を当てるのに対し、Safety-II は「物事がうまくいく頻度を高める」ことに焦点を当てる。悪い結果（事故・障害）だけでなく、成功事例を含む**結果の全分布**を研究・改善の対象とする。 Safety-I の本質的な限界として「悪い結果の非発生は研究できない（何も起きていないものを観察できない）」という問題がある（Hollnagel, 2014）。代わりに、組織が成功し続けている理由を理解することで、同じ条件下での失敗を自然に減らせるとする。 ## 確率論的モデルとの対応（Benninghoff 解釈） [[John Benninghoff]] はセキュリティへの Safety-II 適用を正規分布モデルで整理する: - **従来のアプローチ（Safety-I 的）**：ポリシー・制御・手続きで行動を制約し、分布の分散を狭める。副作用として良い結果も減らす。 - **Safety-II 的アプローチ**：組織パフォーマンスを改善し、分布全体を右シフトさせる。悪い結果を減らしつつ良い結果も増やす。 このモデルはセキュリティにおいて「防御コストとして扱う」から「パフォーマンス投資として扱う」への視点転換を支持する。 ## 横断的知見 - SRE の文脈でも近接した考え方が現れる: 「失敗から学ぶ」だけでなく「成功から学ぶ」ポストモーテム文化、ゲームデーやカオスエンジニアリングによる成功条件の探索。Safety-II が提供する語彙はSRE実践と親和性が高い。（Source: [[@2025__SREcon25Americas__Is the S in SRE for Security]]） - セキュリティとSREでパフォーマンスが連動する（DORA等）という実証的観察は、Safety-IIが言う「成功条件は汎用的な組織能力に依存する」という主張と整合する。（Source: [[@2025__SREcon25Americas__Is the S in SRE for Security]]） - Safety-II の「なぜうまくいったか」を問う姿勢は、Benninghoff がセキュリティ実践の指標設計に応用する一方、Blank-Edelman はこれを SRE の**提唱ストーリーの語り方**に応用している。「何が悪化を防いだのか、何が起こらなかったのか」を問うことで、障害が起きなかったことの価値を説得力のある形で語る「吠えなかった犬」の物語化を可能にする、という応用例が見える。両ソースは独立に、Safety-II を測定指標設計とコミュニケーション技法という異なる層で活用している。(Source: [[@2025__SREcon25Americas__Is the S in SRE for Security]], [[@2024__OReillyJapan__SREをはじめよう - Chapter 4 SREについて語る（SREの提唱）]]) - **Safety-III(Nancy Leveson)への言及は、Safety-II が単一の到達点でなく発展系列の一段階であることを示す**: 『SREをはじめよう』10章は、インシデント後のレビューの罠5「うまくいった点を無視する」への対処として、Erik Hollnagel の Safety-II と Nancy Leveson の Safety-III の研究を並べて紹介し、「障害が起きている短い時間ではなく、期待通りに進んでいる残りの時間に焦点を当てることに大きなメリットがある」と要約する。本ページはこれまで Hollnagel の Safety-II のみを扱ってきたが、[[Nancy G. Leveson]] が別途 SREcon26 Americas の発表(→ [[CAST]])で言及される安全工学の権威であることと合わせると、Safety-I/II/III という系譜そのものが SRE コミュニティに複数の独立した経路(セキュリティ適用の Benninghoff、ストーリーテリング適用の Blank-Edelman)で流入していることが確認できる。Safety-III の内容自体は本章では詳述されておらず、[[Nancy G. Leveson]] の主著(CAST/STPA)との関係も未整理である。(Source: [[@2024__OReillyJapan__SREをはじめよう - Chapter 10 失敗から学習する]] §10.2.3 コラム「Safety-II と Safety-III」) ## 未解決の問い - Safety-III(Leveson)の定義は Safety-II(Hollnagel)とどう異なるか。CAST/STPA との理論的関係は何か。本ページは Safety-III を未調査のまま Safety-II の関連概念として並記している状態にとどまる。 - Safety-II の考え方は具体的なセキュリティ実践（脆弱性スキャン・パッチ管理）にどう落とし込まれるか？ - 「成功率の向上」を測定する指標（Security Level Objectives）は Safety-II のフィードバックループとして十分に機能するか？ - SRE における「エラーバジェット」消費モデル（失敗許容）と Safety-II の「成功増加」志向は本質的に矛盾するか、相補的か？ ## 関連 - [[John Benninghoff]] — SRE・セキュリティへの Safety-II 適用の論者 - [[Security Level Objectives]] — Safety-II の「成功増加」を測定する指標候補 - [[インシデント管理]] — SRE のインシデント対応と Safety-II の実践の接点 - [[SREの提唱]] — Safety-II の視点をストーリーテリング技法として応用する概念 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 4 SREについて語る（SREの提唱）]] — 「何が悪化を防いだか」を問う視点を提唱ストーリーへ応用する書籍章 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 10 失敗から学習する]] — Safety-II と Safety-III(Leveson)を並べて紹介する書籍章 - [[Nancy G. Leveson]] — Safety-III の提唱者(本章での言及元) - 参考: Hollnagel, E. (2014). Is safety a subject for science? *Safety Science*, *67*, 21-24. ## 出典 - [[@2025__SREcon25Americas__Is the S in SRE for Security]] — Benninghoff による Safety-II のセキュリティ・SRE 適用 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 4 SREについて語る（SREの提唱）]] — David N. Blank-Edelman(山口能迪 訳), 『SREをはじめよう』, オライリー・ジャパン, 2024, 4章 - [[@2024__OReillyJapan__SREをはじめよう - Chapter 10 失敗から学習する]] — 同書 10章(§10.2.3 コラム「Safety-II と Safety-III」)