# Blameless PostMortems and a Just Culture [[Etsy]] Code as Craft ブログに [[John Allspaw]] が 2012-05-22 に投稿した記事。前週に Owen Thomas が Business Insider に寄稿した Etsy の障害対応に関する好意的な記事を受けて、Etsy がなぜ・どのように「ブレームレスポストモーテム(blameless postmortem)」を実践しているかを解説する。SRE / インシデント管理コミュニティで広く参照される「ブレームレスポストモーテム」という語の**起源となる一次資料**であり、[[John Allspaw]] のエンティティページの著作リストにある "Blameless Postmortems" と題する講演群の原点にあたる。 ## 背景: 二つの人的エラー観 失敗はどんな複雑なシステムでも避けられない。問題は、個人の行動(あるいは不作為)に起因する失敗にどう向き合うかである。 伝統的な見方は、関与した個人の特性に焦点を当てる。「不注意な人間を解雇するか、危険な箇所に触れさせないようにするか、再教育すべきだ」という発想であり、[[Sidney Dekker]] がいう **Bad Apple Theory(悪いリンゴ理論)** ——「悪いリンゴを取り除けばヒューマンエラーはなくなる」という単純な発想——である。Etsy はこの伝統的な見方を採らず、ミス・エラー・スリップ・ラプスを *learning(学習)* の視点で捉える。ブレームレスポストモーテムはその実践の一つである。 ## ブレームレスポストモーテムとは何か 「ブレームレス」であることは「全員が免責される」ことを意味しない。**ジャストカルチャー(Just Culture)** を持つとは、安全性と説明責任のバランスを取る努力をすることである。失敗のメカニズムの状況的側面と、失敗に近接した個人の意思決定プロセスに焦点を当てて調査することで、組織は関与者を単純に処罰する場合よりも安全になれる。 ブレームレスなポストモーテムプロセスでは、事故に関与したエンジニアが以下を詳細に説明できる——**かつ、処罰や報復を恐れることなく説明できる**: - 何時にどんな行動を取ったか - どんな効果を観察したか - どんな期待を持っていたか - どんな前提を置いていたか - 出来事の時系列をどう理解していたか 処罰されると思っているエンジニアは、失敗のメカニズム・病理・機序を理解するために必要な詳細を語る動機を失う。この理解の欠如は、同じ失敗が(元のエンジニアでなくても、将来の別の誰かによって)繰り返されることをほぼ保証する。 ## 非難・恥・処罰の自己強化サイクル 記事は「非難(blame)」を優先すると何が起きるかを 7 段階のサイクルとして提示する。 1. エンジニアが行動を取り、障害・インシデントに寄与する 2. エンジニアが処罰・恥辱・非難・再教育を受ける 3. 現場(sharp end)と、スケープゴートを探す管理層(blunt end)との間の信頼が低下する 4. エンジニアは行動・状況・観察について沈黙するようになる(処罰への恐れからの「保身的エンジニアリング(Cover-Your-Ass engineering)」) 5. 管理層は日々の作業の実態への認識・情報が乏しくなり、エンジニアは(4)の沈黙により潜在的な障害要因への理解を深められなくなる 6. エラーが起きやすくなり、(5)により潜在的な条件を特定できなくなる 7. 1 に戻る この自己強化サイクルを避けるため、Etsy はエンジニアに「その行動がなぜ(明示的にせよ暗黙的にせよ)その時点で理にかなっていたか」を語らせる。行動は取られた時点でその人にとって意味を成していたはずであり(意味を成していなければそもそも取らなかったはずである)、これが失敗の病理を理解する鍵となる。 この考え方の基盤として、[[Erik Hollnagel]] の次の言葉が引用される。 > 事故は、人が賭けに出て負けたから起きるのではない。事故は、次のいずれかを本人が信じているために起きる——これから起きようとしていることは起こり得ない、あるいはこれから起きようとしていることは自分の行動と無関係だ、あるいは意図した結果を得られる可能性は取るに足るリスクに見合う。 ## 第二の物語(Second Story) 事故に至った状況・環境をより深く掘り下げる姿勢は「第二の物語(Second Story)」を探すことと呼ばれる。ポストモーテム会議では第二の物語を見つけることで何が起きたかを理解しようとする。出典は *Behind Human Error*(David Woods, Richard Cook ほか)。 | 第一の物語(First Stories) | 第二の物語(Second Stories) | | --- | --- | | ヒューマンエラーを失敗の原因とみなす | ヒューマンエラーを、組織のより深い層にある構造的脆弱性の結果(effect)とみなす | | 「人々はこうすべきだった」と語ることが失敗を説明する満足のいく方法になる | 「人々はこうすべきだった」と語っても、なぜそれが本人にとって理にかなっていたかは説明できない | | 「もっと注意しろ」と言えば問題が解消すると考える | 組織はその脆弱性を絶えず探し続けることによってのみ安全性を高められる | ## エンジニアに自分自身の物語を語らせる 安全だと感じながらミスの詳細を語れるとき、エンジニアは責任を負うことを厭わないだけでなく、同じ過ちを他の人が繰り返さないよう会社を助けることに積極的になる——彼らは自身のエラーについて最も詳しい専門家だからである。ブレームレスなポストモーテムプロセスでもエンジニアは「無罪放免」にはならない。むしろ Etsy をより安全でレジリエントにする責任を強く負う。 ## Etsy が「ジャストカルチャー」実践のためにしていること(要約) - ブレームレスなポストモーテムによる学習を奨励する - 目的は「なぜ」ではなく「どのように(how)」事故が起こり得たかを理解し、将来それを防ぐ備えをすること - 第二の物語を探し、複数の視点から失敗の詳細を集め、ミスを理由に人を処罰しない - エンジニアを処罰する代わりに、失敗への寄与について詳細な説明をする権限を与える - ミスをした人自身が、組織の他のメンバーに再発防止を教える専門家となることを推奨・促進する - 人間には行動する/しないの裁量の余地が常にあり、その判断の当否は後知恵でしか判断できないことを受け入れる - **後知恵バイアス(Hindsight Bias)** が過去の出来事の評価を歪め続けることを受け入れ、それを排除する努力を続ける - **根本的帰属の誤り(Fundamental Attribution Error)** も同様に避けがたいと認め、事故調査では人よりも環境・状況に焦点を当てる - 組織の blunt end(管理層)が sharp end(現場)での実際の仕事の進み方(Gantt チャートや手順書が想像する進み方ではなく)を理解するよう努める - 適切な行動と不適切な行動の境界線がどこにあるかは sharp end が組織に伝える役割を担う。これは blunt end が単独で作り出せるものではない ## 既存 wiki との接続 - [[ポストモーテム]] concept ページが集約する「ブレームレス文化」の柱は、本記事がその**用語と枠組みの起点**である。同 concept が既に集約している [[Will Gallego]] の 2016年・2018年講演(いずれも Etsy 発)は、本記事から 4〜6 年後に同社内の実践が理論的に体系化されたものと位置づけられる。特に Gallego の「ブレームレス」から「ブレーム・アウェア」への refinement は、本記事の「ブレームレスは免責を意味しない」という釈明を、より明確な代替語で解決しようとした試みと読める。 - [[Sidney Dekker]] の Bad Apple Theory への言及は、Dekker 自身の主著 *Just Culture*(2012年前後刊)とタイトルが一致する。本記事は Dekker の理論を SRE/Web オペレーションの実務に持ち込んだ初期の橋渡し事例の一つである。 - 「第一の物語 / 第二の物語」の対比は、[[@2019__SREcon19 Asia__A Tale of Two Postmortems - A Human Factors View]] で [[Tanner Lund]] が紹介する Dekker の「認識論的・予防的・道徳的・実存的」というポストモーテムの4目的論、および同記事が引用する「ヒューマンエラーは分析の行き止まり」という洞察と同じ問題意識——**表面的な原因帰属で満足しないこと**——を共有する。 - name/blame/shame の自己強化サイクルは、[[@2018__SREcon18 Americas__Architecting a Technical Post Mortem]] で [[Will Gallego]] が提唱する「ローカル合理性(Local Rationality)」——「人はその時点で持っていた情報に基づいて最善と信じた行動を取る」——の実務的先行例であり、6 年後の講演がこの記事の主張を理論用語で再定式化したものと見なせる。