ギャルの法則は俺のお気に入りの一つで、ソフトウェア開発で何十年も経験してきたけど、これは本当にその通りだと思う。> 「機能する複雑なシステムは、必ず機能する単純なシステムから進化している。ゼロから設計された複雑なシステムは決して機能せず、動作させるためにパッチを当てても無理。動作する単純なシステムからやり直さなければならない。」 — ジョン・ギャル, Systemantics (1975)

これを自分の作業しているシステムに適用するのはいつも苦労してる。システムが失敗すると、誰かが死ぬ可能性があるけど、実際には入院以上のことは起きたことがない。それを避けるために、失敗モデリングやテストに膨大な努力を費やしているけど、未知の未知を排除することはできない。そのギャップが何度かトップニュースになったことがある。

それよりもずっと普遍的で複雑な問題なんだよね。学校や教育全般が苦しんでいる大きな問題の一つは、環境があまりにも安全すぎること。子供たちが失敗から学ぶ方法が少なすぎるんだ。問題を解決しようとする試みは、「さあ、みんなで安全に倒れよう、そしてそこから学ぼう！」みたいに見えるけど、全然うまくいかない。リアルな失敗は予期しないもので、自分の決断に関連していて、本当に痛い思いをしないと学べないんだよね。追記：ちなみに、これが若者のメンタルヘルス危機の主な原因だと確信してる。

失敗を防ぐためのレシピは存在しないってのが、ポイントの一部だと思う。失敗は、事前に明らかではない形で多くの出来事が重なって起こるカスケードだから。そういうふうに[サイト？記事？]を読んだ。

「この文書がどれほど重要か、私は何度も言ってるけど、実際に複雑なシステムが失敗するのを長い間経験しないと、その重要性は理解しづらいよね。もしそのワインに合うチーズが欲しいなら、この記事は『グラグ脳の開発者』と一緒に読むといいよ。」

根本原因分析って、組織の儀式みたいなもので、みんなが何かをしている気分にさせるだけ。エンジニアリングよりも政治的な側面が強いんだよね。プロセス自体が役に立たないことが多くて、正しい根本原因すら特定できてないことがほとんど。要するに、設計が悪いシステムはどこかで失敗するってこと。氷山の一角として考えるか、雷は同じ場所に二度落ちないっていう別の比喩でもいい。頑丈でよく設計されたシステムは、もろくて設計が悪いシステムとは全然違う。もろいシステムはランダムな失敗を示すし、それを追いかけるのは逆効果だよね。確かに、かなり複雑で信頼性の高いシステムもある。内燃機関や車、飛行機（まあ、ちゃんと設計されたやつね）なんかがその例。そこからさらに大きなシステム、例えば都市の交通システムを構築すると、物事が「失敗」するスケールに達するんだ。どこかのバスや電車が正しい時間に駅に着かないのは、バスが故障したり、渋滞があったりするから。でも、やっぱりよく設計されたシステムはそういうことに強い。システムを構成するパーツはよく理解されているから、その結果としての信頼性も理解できる。ソフトウェアに関しては、あまりうまく設計・構築されていないことが多い。適当に組み合わせているだけで、失敗した時に驚くんだ。そして「複雑なシステムだから」と言い訳をする。多くの場合、他の分野に比べて私たちの規律やスキルが不足しているだけで、システムがそれほど複雑だというわけではない。追記：機械システム、例えばエンジンはソフトウェアよりも基本的にシンプルだと言う人もいるけど、ベアリングを見てみて。たった一つのベアリングでも、信じられないくらい複雑なシステムなんだ。ベアリングの故障は統計的な出来事で、早く故障するものもあれば、遅く故障するものもある。エンジンに使われるベアリングには何世代ものノウハウが詰まってる。機械エンジニアは一般的に、よく理解された部品や設計を使って、設計しているエンジンの要件を満たすために余裕を持たせている。ソフトウェアでは、よく「ベアリング」を再発明したり、新しい未検証の設計を選んだりして、性能や故障モードを十分に理解しないまま作ってしまう。そして、どう使うべきか、いつ使うべきかのパターンも知らないまま。だから、「車」が変な方法で故障する時に驚くんだ。新しい設計に対して、機械エンジニアが使う基準でテストすることもない。彼らは、デザインが大きなシステムの一部として受け入れられる前に、何百万回もサイクルをこなすウィジェットがいっぱいの部屋を持っている。私たちは「YOLO」でやっちゃうんだよね。

「根本原因分析」、特に複雑なシステムに関しては、愚かな試みだよ。正しく理解されている場合は別だけど、実際にはそうでないことが多い。根本原因分析の正しい目的は、この失敗がこのシステムについて何かを変える必要があるかどうかを答えることなんだ。もし答えが「はい」なら、変える必要があるものがその失敗の「根本原因」と呼ばれる。もちろん、厳密に言えばそれは誤称だけど、実際の質問に対して間違った答えを出したわけではない。