← 概念辨析に戻る

Concept Contrast Fable

サービスレベル目標とエラーバジェット

先に結論:SLO はあなたが約束するサービス品質の下限です——たとえば「99.9% のリクエストが 200 ミリ秒以内に返る」。エラーバジェットは未達が許される余地です——「残りの 0.1% の時間は遅くてもよい」。エラーバジェットのない SLO は暴君であり、チームは 100% 達成を守るためにすべてのリリースを止めます。エラーバジェットは、チームが安定性とリリース速度の間で計算可能なトレードオフを行うツールです。

SLO はあなたが約束するサービス品質の下限です——たとえば「99.9% のリクエストが 200 ミリ秒以内に返る」。エラーバジェットは未達が許される余地です——「残りの 0.1% の時間は遅くてもよい」。エラーバジェットのない SLO は暴君であり、チームは 100% 達成を守るためにすべてのリリースを止めます。エラーバジェットは、チームが安定性とリリース速度の間で計算可能なトレードオフを行うツールです。

寓話

魚塘の門番と放水ゲート

ダム管理所は水位警戒線を設けた。水位が六メートルを超えたらゲートを開けて放水し、四メートルを下回ったらゲートを閉めて貯水する。最初の二年間は非常に杓子定規に執行された。管理者の小鄒は指令を受けた——六メートルを超えたら放水、理由は問わず、天気予報も見ず、相談もしない。

ある年、上流で連続して暴雨が降り、水位は五メートル八から六メートル二へ急上昇した。小鄒はすぐに水門を開けて放水した。一日中放水し、水位は五メートル五まで下がった。ちょうどその日の午後、市がドラゴンボートレースを開催し、下流の河道は放流された水で波が大きくなり、競技は中止になった。市の指導者から電話で叱られた。小鄒は不服だった。規程は六メートルで開門だ、規程を執行して何が悪いのか。

老エンジニアの老段は管理を引き継ぐと、一本の線を一つの区間に変えた。区間内は安全水位:四メートルから六メートル。四メートル以下は必ず貯水し、六メートル以上は必ず放水する。中間のこの「許容可能な窓」では、放水か貯水かは天気、下流の活動、発電需要を見て、管理者が判断できる。

小鄒が老段に尋ねた。では正確な数字は意味がないのですか。老段は言った。いや、正確な数字はあなたに底線がどこかを教える。六メートルを超えて放水しなければ決壊する——これは絶対に突破できない。しかし五メートル五のときは下流の状況に応じて緩衝できる。この緩衝能力があなたの操作空間だ。この空間がなければ、基準超過のたびに一つの動作しかなく、上流か下流のどちらかが必ず損をする。

管理処は後に新しい規則を定めた。水位が四メートルから六メートルの間にあるとき、管理者は実際の状況に応じて調整できるが、各調整は理由を記録し、月末に振り返る。一か月に水位が六メートルを超えた回数が二回を超えれば、以前の調整が保守的すぎたことを示し、翌月はより早く予備放流を始める。四メートルを下回った回数が三回を超えれば、以前が過激すぎたことを示し、翌月は保守的にする。

新しい規則が一年運用された後、ドラゴンボートレースはもう流されることはなく、下流の農地も干ばつに遭わなかった。小鄒は総括した。以前は一本の線を見て、圧力の感覚は「絶対に触るな、触れたら賠償だ」だった。今は一つの区間を見て、圧力の感覚は「あとどれだけ空間があり、今回の配分でどれだけ使い、どれだけ残すか」である。一本の線は人を緊張させるが、一つの区間は人に判断を可能にする。

隣のダムの人が見学に来て、老段に尋ねた。あなたたちの6メートル警戒線と私たちの6メートル警戒線は同じではないか。老段は彼を操作台に連れて行った。画面には2本の線がある——1本は6メートルの赤線、その横にもう1本5メートル5の橙線。老段は橙線を指して言った。橙線以上で私たちは動き始める。赤線まで待って慌てない。橙線と赤線の間の空間が、私たちに余裕を与える。

見学者は戻った後、操作盤を変更し、中間区間も追加した。彼は社内研修でこう言った:高い水位は恐ろしくない。恐ろしいのは、あなたの操作に選択肢が一つ、時点が一つ、機会が一度しかないことだ。レッドラインの外側の空間をうまく管理してこそ、レッドラインは守れる。

サービスレベル目標

サービス提供者が約束する品質指標の下限。例えば可用性パーセント、遅延上限、エラー率閾値。それは「正常の境界」を定義し、境界を超えれば未達と見なされる。

エラーバジェット

SLO の範囲内で許容される未達の枠。例えば SLO が可用性 99.9% の場合、エラーバジェットは 0.1% の不可用時間である。チームはエラーバジェットを使ってリリースのペースとリスクの取り方を決められる。

物語の対応

  • 六メートル警戒線:SLO——絶対に突破してはならない品質の最低ライン。
  • 四メートルから六メートルの許容可能な窓:エラーバジェット——逸脱が許される余地。
  • 基準超過時は必ず緩和、シーンを問わない:エラーバジェットがない場合、SLOは硬直的な制約となり、柔軟性に欠ける。
  • ウィンドウ内で判断、記録、振り返りができる:エラーバジェットがチームに意思決定の余地とフィードバック機構を与える。
  • 今月の超過回数が多ければ来月はより保守的に:エラー予算のローリング管理により、負のフィードバック調整を確立する。

プロジェクトに落とし込む

SLOを設定する際は、エラーバジェットの消費ルールも同時に定義する。例えば、エラーバジェットの残りが50%を超えていれば通常通りリリース可能、10%から50%の間は慎重に評価、10%を下回ったらバジェットが回復するまでリリースを凍結する。このルールにより「リリースできるかどうか」が主観的な議論から客観的な計算へと変わる。また、エラーバジェットは残額だけでなく消費の傾向を見る必要がある——3日で半分を焼き尽くすのは、1か月かけてゆっくり消費するよりはるかに危険だ。

京ICP备2026014272号