ピクサーは『トイ・ストーリー2』を消した人を責めず、壊れたバックアップを直した

1998年の『トイ・ストーリー2』制作中、誤ったディレクトリから実行されたUnixの削除コマンドがピクサーのネットワーク全体に伝播し、数分で映画のファイルのおよそ90%——キャラクターモデル、セット、アニメーション、2年分の作業——を消去した。復旧チームが、まさにこの事態を防ぐために作られたスタジオ独自のバックアップシステムに手を伸ばすと、それは約1か月にわたって静かに失敗し続けていたことが判明した。この障害を受け止めるはずの安全網自体が、誰にも気づかれないまま機能していなかったのだ。

これほど高くつく災害に対する組織の本能的な反応は、誰がそれを引き起こしたかを突き止めることだ。コマンドを打った者が、巨額の財務的・スケジュール的圧力の下にあるスタジオが説明責任を負わせるべき人物となり、上層部を満足させると同時に、問題に対処したという実感を得る手段となる。ピクサーにも同じ圧力があり、同じ格好の標的が存在していた。

最終的に映画を復旧できたのはひとえに、出産後に一部在宅で働いていたテクニカルディレクター統括のガリン・サスマンが、制作ファイルの私的な非公認コピーを自宅のコンピュータに保管していたからだった。同僚たちがそのマシンを回収に車を走らせ、失われた作業の再構築に使用した。

責任追及を排除したことで人々は安心して、映画を救った非公認バックアップの存在を明かすことができ、その後、引き金を罰するのではなく壊れたシステムを修正した。

責任追及をしなかったことで情報を隠す動機が取り除かれ、ガリン・サスマンの非公認バックアップが明らかになり、復旧に使われた。

システムの修正に集中したことで、単に個人を排除するのではなく、実際の障害——静かに壊れていたバックアップ——に対処した。

責任を問わない文化は、人々が回避策やニアミスを進んで申告することを促し、それが災害を引き起こす前に壊れたシステムを明るみに出せる。

高くつく障害が起きたときは、スケープゴートを探したい衝動に抗い、代わりにそれをシステム上の問題として扱い、根本原因を修正する。それが人々にニアミスの表面化を促す。

『トイ・ストーリー2』は完全に復旧され、当初のスケジュール通りに納品された。スタジオはバックアップ基盤を、特定の個人の行動を中心に据えるのではなく、自動テスト、分散ストレージ、破壊的コマンドへのアクセス制限を備えて再構築した。