transcript
show notes
SPOF、つまり単一障害点とは、壊れやすい機械部品だけを指す言葉ではありません。
本エピソードでは、重要インフラに潜むSPOFを、設備・人・権限・認証・通信・ベンダー対応・組織設計の観点から解説します。
取り上げる主なテーマ
- SPOFとは何か
- 単一障害点
- 重要インフラの停止リスク
- 物理的故障だけではないFailure
- 侵害されたまま稼働するフェイルアンセーフ
- 人間系SPOF
- エース担当者依存
- ソフトSPOF
- 待ち行列理論と過負荷
- 見せかけの冗長化
- 共通原因障害
- ヒースロー空港の電力障害
- 英国鉄道の復旧遅延
- 水処理施設の仮想シナリオ
- 権限・技能・情報・認証・通信・独立性
- 職務代行と自動権限移行
- 代行者単独完遂率
- 権限委譲時間
- AI時代の不可視のSPOF
SPOFは、単に「1台しかないサーバー」や「1本しかない回線」の問題ではありません。
車が壊れることより、車の鍵が1つしかないこと。
予備設備があることより、切り替え方法を知っている人が1人しかいないこと。
担当者がいることより、その人しか判断できず、その人しか認証トークンを持っていないこと。
こうした依存関係の集中こそが、重要インフラを止める本当の単一障害点になります。
さらに厄介なのは、人が倒れなくても組織が止まることです。
緊急時に問い合わせが集中し、判断が1人に詰まり、待ち時間が許容時間を超えた瞬間、担当者が生きていても、元気に働いていても、組織は機能停止します。
冗長化も、単に数を増やせばよいわけではありません。
Teamsとメールがあっても、同じ認証基盤に依存していれば同時に死にます。
データセンターが2つあっても、同じ変電所に依存していれば同時に落ちます。
正担当と副担当がいても、同じ権限・同じ鍵・同じ通信経路に依存していれば、代替にはなりません。
本当に必要なのは、同じ原因で同時に失われない設計です。
代行者には、名前だけでなく、権限、技能、情報、認証、通信、時間的・地理的独立性が必要です。
そのうち1つでも欠ければ、代替態勢は機能しません。
強い組織とは、エースが倒れない組織ではありません。
エースが倒れても、権限・情報・認証・技能の連鎖が切れず、別の人が迷わず安全に引き継げる組織です。
重要インフラを止めるのは、壊れた機械だけではありません。
誰が判断するのか。
誰が止めるのか。
誰が鍵を持っているのか。
誰がベンダーに連絡できるのか。
主担当が応答しないとき、何分で権限が移るのか。
SPOFを、機械ではなく組織設計の問題として考えます。