Pixar reparierte sein defektes Backup, statt der Person die Schuld zu geben, die Toy Story 2 gelöscht hatte

Während der Produktion von Toy Story 2 im Jahr 1998 verbreitete sich ein Unix-Löschbefehl, der aus dem falschen Verzeichnis ausgeführt wurde, über Pixars Netzwerk und löschte in wenigen Minuten etwa 90 % der Dateien des Films – Charaktermodelle, Sets, Animationen, zwei Jahre Arbeit. Als das Wiederherstellungsteam auf das studioeigene Backup-System zugriff, das genau für dieses Szenario entwickelt worden war, stellte es fest, dass es seit etwa einem Monat stillschweigend versagt hatte; das Sicherheitsnetz, das diesen Ausfall hätte auffangen sollen, war selbst unbemerkt ausgefallen.

Die instinktive organisatorische Reaktion auf eine derart teure Katastrophe besteht darin, herauszufinden, wer sie verursacht hat – wer auch immer den Befehl eingegeben hat, wird zu der Person, die ein Studio unter enormem finanziellem und terminlichem Druck zur Rechenschaft ziehen muss, sowohl um die Führungsebene darüber zufriedenzustellen als auch um das Gefühl zu haben, dass das Problem angegangen wurde. Pixar hatte denselben Druck und dasselbe leichte Ziel zur Verfügung.

Der Film war letztlich nur rettbar, weil die leitende technische Direktorin Galyn Susman, die nach der Geburt eines Babys teilweise von zu Hause aus arbeitete, eine eigene informelle, nicht genehmigte Kopie der Produktionsdateien auf ihrem Heimcomputer aufbewahrt hatte – Kollegen fuhren los, um den Rechner zu holen, und nutzten ihn, um die verlorene Arbeit wiederherzustellen.

Es schloss die Suche nach Schuldigen aus, damit sich die Menschen sicher fühlten, das nicht genehmigte Backup offenzulegen, das den Film rettete, und reparierte dann das defekte System, statt den Auslöser zu bestrafen.

Der Verzicht auf Schuldzuweisungen beseitigte den Anreiz, Informationen zu verbergen, sodass Galyn Susmans nicht genehmigtes Backup offengelegt und zur Wiederherstellung genutzt wurde.

Die Konzentration auf Systemreparaturen adressierte den eigentlichen Fehler – das stillschweigend defekte Backup – statt nur eine einzelne Person zu entfernen.

Eine Kultur ohne Schuldzuweisungen ermutigt Menschen, Workarounds und Beinahe-Vorfälle freiwillig zu melden, wodurch defekte Systeme aufgedeckt werden können, bevor sie Katastrophen verursachen.

Wenn ein kostspieliger Fehler passiert, widerstehen Sie dem Drang, einen Sündenbock zu suchen; behandeln Sie ihn stattdessen als systemisches Problem und beheben Sie die Ursache, was Menschen dazu ermutigt, Beinahe-Vorfälle zur Sprache zu bringen.

Toy Story 2 wurde vollständig wiederhergestellt und zum ursprünglichen Termin abgeliefert; das Studio baute seine Backup-Infrastruktur mit automatisierten Tests, verteilter Speicherung und Zugriffsbeschränkungen für destruktive Befehle neu auf, statt sie am Verhalten einer einzelnen Person auszurichten.