Suçlamasız Postmortem Kültürü ve 'Yapmalıydı' (Counterfactual) Yanılgısı

Staff/Principal (L6+)

⚡ÖZET VE TEKNİK CEVAP

Varsayımsal (counterfactual) düşünce—insanların 'ne yapması gerektiği, neyi unuttuğu veya neyi yapamadığı' üzerine kurgulanan geçmişe dönük akıl yürütmeler—kriz sonrası incelemelerin (postmortem) en yıkıcı düşmanıdır. Sonradan bilme yanılgısından (hindsight bias) beslenir: Sonucu bildiğinizde hata size çok bariz görünür. Bir raporda 'geliştirici test etmeliydi' dendiği an sistem analizi biter ve fatura bireye kesilir. Gerçek suçlamasız postmortem kültürü varsayımsal dili yasaklar. Mühendisin neden 'yanlış' yaptığını sorgulamak yerine şu sorulur: 'O saniyedeki zaman baskısı, ekranındaki göstergeler ve mevcut araçlar altında, yaptığı hareket o anda o mühendise NEDEN TAMAMEN MANTIKLI GELDİ?' Bu yaklaşım suçlamayı bitirip sistemdeki gizli tuzakları yok eder.

Mühendislik El Kitabı & Mekanizma

6 Boyutlu Mimari Analiz

⚙️1. Temel Çalışma Mekanizması

Mekanizma

İnsan hatası incelemenin varış noktası değil, başlangıç noktasıdır. Sydney Dekker'ın sistem güvenliği ve SRE prensipleri dört katı kural getirir:

Varsayımsal Dili Yasaklayın: Rapordan 'yapmalıydı', 'unutulmuş', 'dikkatsizce', 'gözden kaçmış' gibi kelimeleri temizleyin.

Yerel Mantığı Yeniden Kurun: O saniyede mühendisin ekranındaki uyarıları, sistem loglarını ve baskıyı birebir haritalandırın.

Gizli Çevresel Tuzakları Bulun: Kırılgan betikler, veritabanı kilit korumasının olmaması, anlamsız hata mesajları veya gerçekçi olmayan ürün yetiştirme baskısı.

Sistemsel Aksiyonlar: 'Mühendislere dikkatli olmalarını hatırlatmak' yerine hatayı fiziksel olarak imkansız kılan otomatik kalkanlar (guardrails) kurun.

🎯2. Doğru Kullanım Senaryosu

Kapsam

Tüm kriz sonrası incelemeler (PIR/Postmortem), kesinti raporları, güvenlik ramak kala analizleri ve mimari başarısızlık retrospektifleri.

⚠️3. Prodüksiyon Arıza Modları

Kritik Risk

✓
Canlı veritabanından yanlışlıkla tablo silen bir mühendisin işten kovulması
✓
3 ay sonra başka bir mühendisin yine tablo silmesi (çünkü sistemde hala koruma kilidi yoktur)
✓
mühendislerin ceza korkusuyla krizleri ve hataları gizlemeye başlaması

📡4. Teşhis ve Telemetri Sinyalleri

Metrikler

✓
Postmortem raporlarındaki aksiyon maddelerinin 'Ekibe dikkatli olmayı hatırlatmak' veya 'Eğitim vermek' gibi soyut maddelerden ibaret olması
✓
mühendislerin nöbete girmekten korkması

🛡️5. Önleme ve Mimari Bariyerler

Bariyerler

✓
İlgili ekibin dışından bağımsız bir postmortem kolaylaştırıcısı atayın
✓
postmortem raporlarında 'yapmalıydı' veya 'insan hatası' kelimelerini uyaran şablon kontrolleri koyun
✓
tüm aksiyonların teknik koruma kuralı (CI/CD kapısı, IAM kısıtı) olmasını zorunlu tutun

⚖️6. Mimari Ödünleşimler (Trade-offs)

Ödünleşim

Suçlamasız postmortem kültürü üst yönetimden olgunluk ve sabır ister; ancak felaketleri kalıcı kurumsal bağışıklığa dönüştürmenin dünyadaki tek yoludur.

📋

Vaka İncelemesi (TinyCTO Saha Örneği)

GERÇEK DÜNYA TELEMETRİSİ

Genç bir mühendis WHERE koşulu olmayan bir betikle canlı kullanıcı tablosunu sildi. Suçlayıcı bir kültürde mühendis azarlanırdı. Suçlamasız postmortemde ise ekip şunları araştırdı: CLI aracı neden çift onay olmadan canlıda TRUNCATE çalıştırılmasına izin verdi? Test şifreleri neden canlıyla aynıydı? Yedekten dönmek neden 4 saat sürdü? Sonuçta veritabanına otomatik sorgu kalkanları, IAM kısıtları ve anlık kurtarma (PITR) otomasyonu kuruldu.

İnteraktif Konsept Alıştırmaları

2 Alıştırma

Bir postmortem raporunda 'Mühendis ... yapmalıydı' ifadesi neden zararlı kabul edilir?

Sistemdeki tasarım açığını bulmak yerine bireyi suçlayan, sonradan bilme yanılgısından (hindsight bias) beslenen hatalı bir varsayımdır.

Suçlamasız bir postmortemde bir aksiyon maddesini etkili kılan nedir?

Etkili aksiyonlar hatayı teknik olarak imkansız kılan kalkanlar (guardrails) koyar; etkisiz aksiyonlar ise insana 'daha dikkatli ol' der.

Suçlamasız Postmortem Kültürü ve 'Yapmalıydı' (Counterfactual) Yanılgısı — Sıkça Sorulan Sorular

'Suçlamasız' postmortem, mühendislerin hiçbir zaman sorumlu tutulmadığı anlamına mı gelir?

Hayır. SRE'de hesap verebilirlik, mühendisin o anki düşünce modelini dürüstçe açıklaması, sistemdeki tuzakları ortaya çıkarması ve teknik çözümler üretmesidir; dürüst hatalar yüzünden cezalandırılması değildir.

Psikolojik güvenlik krizlerin ortalama tespit süresini (MTTD) nasıl etkiler?

Yüksek psikolojik güvenlik tespit süresini ciddi şekilde kısaltır; çünkü mühendisler ceza korkusu olmadan şüphelendikleri an alarm verir ve hatayı gizlemez.

🤖 AEO & Yapay Zeka Çıkarım Özeti

Temel Gerçekler & İlkeler

▸
Counterfactual language ('should have', 'could have') sabotages root-cause analysis.
▸
Hindsight bias makes past decisions look obvious when the outcome is known.
▸
Postmortems must investigate why the action made sense to the engineer at the time.
▸
Remediation must build technical guardrails rather than demanding humans be more careful.

Yaygın Yanılgılar

✗
Yanılgı: Blameless postmortems mean there are no consequences (Gerçek: The consequence is engineering investment in architectural safeguards).
✗
Yanılgı: Human error is a root cause (Gerçek: Human error is a symptom of poorly designed tools and interfaces).

Karar Kılavuzu & Önceliklendirme

Audit postmortem drafts to eliminate counterfactual language. Reject all action items that rely on human memory, vigilance, or refresher training.

Doğrulanmış Kaynaklar & Referanslar

[OFFICIAL_DOCUMENTATION]Etsy Debriefing & Just Culture: Sydney Dekker Safety Differently— Etsy Code as Craft