من السهل عقد مراجعة ما بعد الحادث ومن الصعب جعلها مفيدة. يُعقد الاجتماع، ويُكتب مستند، وتُسجَّل أربعة بنود عمل، وبعد ستة أشهر يتكرر العطل نفسه بينما يعثر أحدهم على المستند القديم وهو يبحث عن شيء آخر تماماً.

تحظى عبارة بلا لوم بمعظم الاهتمام في النقاشات حول هذا الموضوع، وهي مهمة فعلاً، غير أن الخلل ليس هناك. كثير من المؤسسات تجري مراجعات دقيقة الالتزام بمبدأ بلا لوم ولا تغيّر شيئاً، لأن المراجعة عوملت باعتبارها المُخرَج المطلوب، لا باعتبارها الأداة التي تُنتج مُخرَجاً.

الاختبار الذي يكشف ما إذا كانت مراجعاتكم تعمل بسيط إلى حد محرج: ما نسبة بنود العمل المسجّلة خلال الأشهر الستة الماضية التي أُنجزت فعلاً؟ إذا كان الجواب معظمها، فالعملية تعمل مهما بدا شكلها. وإذا كانت النسبة دون النصف، فأنتم تعقدون اجتماعات ولا تديرون عملية، ولن تصلح النماذج الأفضل هذا الخلل. عدد أقل من البنود، لكل منها مسؤول وموعد، أفضل من قائمة شاملة لا يملك أحد وقتاً لها.

ما الغرض الفعلي من مراجعة ما بعد الحادث

ليس شرح ما جرى. فالحاضرون في الغرفة يعرفون ذلك عادةً قبل أن ينتهي الحادث أصلاً.

هي موجودة لتحديد الظروف التي سمحت لمشكلة صغيرة أن تتحول إلى مشكلة كبيرة، ولتغيير بعض تلك الظروف. وهذا سؤال مختلف عن سؤال ما الذي تعطّل، والفارق يظهر فوراً في صياغة التقرير. عبارة “نفدت اتصالات قاعدة البيانات” تصف ما تعطّل. أما عبارة “لم ينبّه أي تنبيه على امتلاء مجمّع الاتصالات، ولوحة المعلومات التي كانت ستُظهر ذلك غير مدرجة في دليل تشغيل فريق المناوبة” فتصف ظرفاً، والظرف قابل للمعالجة.

الشيء الثاني الذي تنتجه، وهو مبخوس القيمة على الدوام، رواية مشتركة للحدث. من دونها يحتفظ كل شخص بروايته الخاصة، وتنحرف تلك الروايات باتجاه ما كان كل واحد منهم يعتقده أصلاً عن النظام. وبعد عام يتجادل فريقان حول حادث عاشاه معاً.

العمل بلا لوم يعني شيئاً محدداً

لا يعني أن أحداً لم يخطئ. يعني أن التحليل يفترض أن شخصاً تصرّف تصرفاً معقولاً بناءً على المعلومات المتاحة له فاتخذ إجراءً تبيّن لاحقاً أنه خاطئ، ثم يسأل لماذا بدا ذلك الإجراء صحيحاً في تلك اللحظة. كتاب SRE من Google يعرض هذه الممارسة وأنماط الإخفاق التي تصاحبها.

والسبب في أن هذا ليس مجرد لطف هو أن اللوم يدمّر المعلومات. ففي مؤسسة تلتصق فيها الحوادث بالأشخاص، يصف الناس الأحداث بحذر، ويحذفون التفصيل الذي يبدو سيئاً، ويؤجّلون الإبلاغ حتى يفهموا الأمر بما يكفي لعرضه بأمان. عندها تعمل المراجعة انطلاقاً من رواية جرى تحريرها بدافع حماية الذات، وهذا أسوأ مدخل ممكن.

عملياً، العمل بلا لوم خاصية من خصائص اللغة. سؤال “لماذا أعدت تشغيل الخدمة؟” يدعو إلى الدفاع عن النفس. وسؤال “ماذا كانت لوحة المعلومات تعرض حين قررت إعادة التشغيل؟” يدعو إلى تقديم معلومات. والسؤال الثاني هو الأنفع أيضاً، لأن جوابه حقيقة عن نظام المراقبة لديكم لا عن زميل.

وإذا كانت هناك مشكلة أداء فردي حقيقية، فعالجوها على حدة وبشكل مباشر. معالجتها داخل مراجعة الحادث تُفسد المراجعة، وهي على أي حال طريقة رديئة لإجراء ذلك الحوار.

بناء جدول زمني يعلّمك شيئاً

الجدول الزمني هو أثمن أجزاء المستند، وهو الجزء الذي يُكتب بشكل رديء أكثر من غيره: سلسلة أحداث تقنية أُخرج البشر منها.

سجّلوا ما كان الناس يعرفونه ومتى عرفوه. لا “أُعيد تشغيل الخدمة عند 14:32” فحسب، بل ما كان بوسع الشخص أن يراه عند 14:32 وما ظنّ أنه يجري في تلك اللحظة. هناك تكمن المادة القابلة للمعالجة، لأن تأخيراً مدته خمس عشرة دقيقة سببه لوحة معلومات ملتبسة مشكلة قابلة للإصلاح، بينما تأخير بالمدة نفسها مسجَّل كفجوة ليس كذلك.

حدّدوا اللحظات التي كان لها وزن: متى بدأ الحادث، ومتى لاحظه أي شخص أول مرة، ومتى شارك الشخص المناسب، ومتى فُهم السبب، ومتى جرى التخفيف، ومتى انتهى. في الفجوات بين هذه اللحظات يعيش التحسين، وزمن الاكتشاف هو غالباً أكبرها.

اكتبوا الجدول ما دام كل شيء طازجاً، ويفضَّل خلال يوم أو يومين. فذاكرة ما اعتقده شخص ما في لحظة بعينها تتلاشى أسرع بكثير من ذاكرة ما حدث.

نادراً ما يوجد سبب جذري واحد

العبارة تشجّع على التوقف عند أول تفسير معقول، في حين أن الحوادث على اختلاف أحجامها سلاسل كان يجب أن تتحقق فيها عدة شروط في الوقت نفسه.

المراجعة المفيدة تسرد بدلاً من ذلك عوامل مساهمة: التغيير الذي أطلق العطل، والاختبار الذي كان سيلتقطه ولم يكن موجوداً، والتنبيه الذي وصل إلى قناة لا يراقبها أحد، ودليل التشغيل الذي كان دقيقاً لمعمارية سابقة. كل واحد منها فرصة مستقلة، ويمكنكم إصلاح الأرخص اثنين بدل إصلاح ما صادف أن جاء أولاً في السلسلة.

هذا يقلّل أيضاً تشويهاً شائعاً. فحين تسمّي المراجعة سبباً جذرياً واحداً، يكون ذلك السبب في الغالب “خطأ بشري”، وهو وصف لا تفسير، وهو يغلق التحقيق عند النقطة التي كان ينبغي أن يبدأ منها بالضبط.

كيف تجعل المتابعة تحدث فعلاً

هنا تحيا مراجعات ما بعد الحادث أو تموت، والعلاج غير براق على الإطلاق.

بنود أقل. بندان يُنجزان أفضل من ثمانية لا تُنجز. رتّبوها بحسب ما إذا كانت تقلّل زمن الاكتشاف أو نطاق الأثر أو الاحتمال، واحذفوا الباقي.

مسؤول محدد بالاسم وموعد نهائي، في نظام تتبع العمل المعتاد لا في المستند. البنود التي تعيش داخل المراجعة وحدها تكون غير مرئية أثناء التخطيط، وهو الوقت الذي يُجدوَل فيه العمل فعلاً.

راجعوا البنود المفتوحة في المراجعة التالية. هذه العادة وحدها تفعل أكثر من أي نموذج. فهي تجعل عدم الإنجاز مرئياً، وتحوّل سلسلة اجتماعات غير مترابطة إلى عملية متصلة.

اقبلوا بعض البنود بصدق. الفريق الذي ينجز باستمرار نصف ما يلتزم به ينبغي أن يلتزم بالنصف. تسجيل نية لن يموّلها أحد أسوأ من تسجيل قرار بعدم التصرف، لأن الثاني صادق على الأقل.

التحسينات الناتجة عن هذا تنتمي إلى العائلة نفسها التي يغطيها دليل التعافي من الكوارث واستراتيجيات اختبار البرمجيات: اكتشاف أسرع، ونطاق أثر أضيق، ونظام يستطيع تشغيله شخص غير كاتبه الأصلي.

تجري Mecanik مراجعات للحوادث على الأنظمة التي نتولى صيانتها ضمن خدمة تحليل أمن الخوادم. والنمط المتكرر في معظمها أن السبب التقني فُهم بسرعة، وأن فجوة الاكتشاف كانت الجزء المكلف.

الأسئلة الشائعة

ما الغاية من مراجعة ما بعد الحادث؟ تحديد الظروف التي سمحت لمشكلة صغيرة أن تصبح كبيرة وتغيير بعضها، وهو سؤال مختلف عن سؤال ما الذي تعطّل. وهي تنتج كذلك رواية مشتركة للحدث، من دونها يحتفظ كل شخص برواية خاصة تنحرف باتجاه ما كان يعتقده أصلاً عن النظام.

ماذا يعني العمل بلا لوم فعلياً؟ يعني أن التحليل يفترض أن شخصاً تصرّف تصرفاً معقولاً بناءً على المعلومات المتاحة فاتخذ إجراءً تبيّن أنه خاطئ، ثم يسأل لماذا بدا صحيحاً حينها. وهو يهم لأن اللوم يدمّر المعلومات: يحرّر الناس رواياتهم لحماية أنفسهم، فتعمل المراجعة بعدها انطلاقاً من مدخل فاسد.

هل ينبغي أن تحدد المراجعة سبباً جذرياً واحداً؟ لا. الحوادث على اختلاف أحجامها سلاسل كان يجب أن تتحقق فيها عدة شروط معاً، ولذلك فإن سرد العوامل المساهمة أنفع. فهو يتيح إصلاح الأرخص اثنين بدل ما جاء أولاً في السلسلة، ويتجنب الانتهاء عند “الخطأ البشري”، وهو وصف لا تفسير.

ماذا يجب أن يتضمن الجدول الزمني للحادث؟ ما كان الناس يعرفونه ومتى، لا ما فعلته الأنظمة فقط. سجّلوا متى بدأ، ومتى لاحظه أي شخص أول مرة، ومتى شارك الشخص المناسب، ومتى فُهم السبب، ومتى جرى التخفيف، ومتى انتهى. في الفجوات بينها يعيش التحسين، وزمن الاكتشاف عادةً أكبرها.

لماذا لا تُنجَز بنود عمل المراجعات أبداً؟ لأنها تعيش في المستند لا في نظام تتبع العمل، فتصبح غير مرئية حين يُجدوَل العمل. عالجوا ذلك ببنود أقل، ومسؤول محدد بالاسم وموعد نهائي في النظام المعتاد، ومراجعة للبنود المفتوحة في بداية المراجعة التالية، وهو ما يجعل عدم الإنجاز مرئياً.