インフラ編#07丨SPOFとは何か——重要インフラを止める単一障害点と人間依存の罠

<p>SPOF、つまり単一障害点とは、壊れやすい機械部品だけを指す言葉ではありません。</p><p><br></p><p>本エピソードでは、重要インフラに潜むSPOFを、設備・人・権限・認証・通信・ベンダー対応・組織設計の観点から解説します。</p><p><br></p><p>取り上げる主なテーマ</p><p><br></p><p>- SPOFとは何か</p><p>- 単一障害点</p><p>- 重要インフラの停止リスク</p><p>- 物理的故障だけではないFailure</p><p>- 侵害されたまま稼働するフェイルアンセーフ</p><p>- 人間系SPOF</p><p>- エース担当者依存</p><p>- ソフトSPOF</p><p>- 待ち行列理論と過負荷</p><p>- 見せかけの冗長化</p><p>- 共通原因障害</p><p>- ヒースロー空港の電力障害</p><p>- 英国鉄道の復旧遅延</p><p>- 水処理施設の仮想シナリオ</p><p>- 権限・技能・情報・認証・通信・独立性</p><p>- 職務代行と自動権限移行</p><p>- 代行者単独完遂率</p><p>- 権限委譲時間</p><p>- AI時代の不可視のSPOF</p><p><br></p><p>SPOFは、単に「1台しかないサーバー」や「1本しかない回線」の問題ではありません。</p><p><br></p><p>車が壊れることより、車の鍵が1つしかないこと。</p><p>予備設備があることより、切り替え方法を知っている人が1人しかいないこと。</p><p>担当者がいることより、その人しか判断できず、その人しか認証トークンを持っていないこと。</p><p><br></p><p>こうした依存関係の集中こそが、重要インフラを止める本当の単一障害点になります。</p><p><br></p><p>さらに厄介なのは、人が倒れなくても組織が止まることです。</p><p><br></p><p>緊急時に問い合わせが集中し、判断が1人に詰まり、待ち時間が許容時間を超えた瞬間、担当者が生きていても、元気に働いていても、組織は機能停止します。</p><p><br></p><p>冗長化も、単に数を増やせばよいわけではありません。</p><p><br></p><p>Teamsとメールがあっても、同じ認証基盤に依存していれば同時に死にます。</p><p>データセンターが2つあっても、同じ変電所に依存していれば同時に落ちます。</p><p>正担当と副担当がいても、同じ権限・同じ鍵・同じ通信経路に依存していれば、代替にはなりません。</p><p><br></p><p>本当に必要なのは、同じ原因で同時に失われない設計です。</p><p><br></p><p>代行者には、名前だけでなく、権限、技能、情報、認証、通信、時間的・地理的独立性が必要です。</p><p>そのうち1つでも欠ければ、代替態勢は機能しません。</p><p><br></p><p>強い組織とは、エースが倒れない組織ではありません。</p><p><br></p><p>エースが倒れても、権限・情報・認証・技能の連鎖が切れず、別の人が迷わず安全に引き継げる組織です。</p><p><br></p><p>重要インフラを止めるのは、壊れた機械だけではありません。</p><p><br></p><p>誰が判断するのか。</p><p>誰が止めるのか。</p><p>誰が鍵を持っているのか。</p><p>誰がベンダーに連絡できるのか。</p><p>主担当が応答しないとき、何分で権限が移るのか。</p><p><br></p><p>SPOFを、機械ではなく組織設計の問題として考えます。</p>