寓話
同じビル、二つの異なる対応マニュアル
市中心部の複合商業施設で、運営チームには二つの緊急対応マニュアルがある。最初のマニュアルは対外通路を扱う。地下鉄駅へ通じる連絡通路で煙感知器が作動したら、直ちに連絡通路のシャッターを閉め、同時にその方向へ客流を誘導するのを止める。シャッターを下ろす基準は明確だ。煙センサーが三回連続で作動した場合、または一度の人的確認による火災警報。閉めた後は再試行せず、消防検査が完了するまで再び開けない。
第二の手引きは内部サービスを管理する。もし電力容量が突然40パーセント低下したら、すべての区域が停電するわけではない。まず景観照明、広告スクリーン、予備エレベーターを切り、レジシステム、冷蔵設備、避難通路の照明を優先的に確保する。どの機能を先に放棄し、どれを必ず守るかを、あらかじめ優先順位付けしておく。
ある時、空調システムの故障でフロアの温度が急上昇した。運用チームは同時に二つのアクションを起こした。フロアの消防監視データが異常になり始めたが、煙感知器のしきい値には達しておらず、ゲートは閉まらなかった。一方、空調コンプレッサーの過負荷が全体の電力供給の安定性に影響したため、運用チームは広告スクリーンの半分とすべての景観噴水を止め、負荷を下げた。二つのことは同じ日に起きたが、実行されたのは別々のマニュアルだった。
事後の振り返りで、新しく来た主管が疑問を投げかけました。空調故障の時、温度異常をすでに把握していたなら、なぜ関連フロアの入口ゲートも直接閉めなかったのか？老主管は説明しました。ゲートを閉めるかどうかは、通路のあちら側のセンサーを見るのであって、ビル側の温度計ではありません。地下鉄駅のあちらがすべて正常なら、ゲートを閉めると乗客が地上の交差点に押し寄せ、新たな渋滞を生むだけです。サーキットブレーカーが守るのは「あの依存先にまだ呼び出し続ける価値があるか」であり、「こちらが不快になったらまず切る」ではありません。
別の方向にも誤解があった。ある時、広告スクリーンのシステム自体が落ち、誰かがデグレードの起動を提案した——周辺システムを切ってリソースを節約するというものだ。しかし広告スクリーン自体が非中核機能であり、それが落ちてもレジやコールドチェーンには影響しないため、デグレードは不要だった。デグレードの判断根拠は中核リソースの供給能力であり、どのシステムに問題が起きても他のシステムを切るというわけではない。
後に彼らは壁にフロー図を描いた。外部依存に問題発生→サーキットブレーカーが判断→呼び出しを遮断し、連鎖雪崩を防ぐ。内部リソースが逼迫→デグラデーション戦略が判断→非中核機能を停止し、中核業務のスループットを守る。二つの線はそれぞれにトリガー条件と評価指標を持つが、同じ事故報告書に落とすときは、どちらが発動したかを明記しなければならない。
楼管長は四半期研修で率直にまとめた。サーキットブレーカーは外に対して一つの扉を閉めることで、向こうの火が燃え移るのを恐れている。デグレードは内に対して負荷を一批減らすことで、自分の電気が足りなくなるのを恐れている。どちらの動作も「保護」と呼べるが、保護しているのはまったく別のものである。