Postmortem Güvenlik Bilimi: Karşıolgusal Düşünce Yanılgısı ve 'İkinci Hikaye' Kök Neden Analizi

Principal/Architect (L7+)

⚡ÖZET VE TEKNİK CEVAP

Yüzeysel kriz değerlendirmelerinde ekipler Geriye Bakış ve Karşıolgusal Düşünce (Counterfactual Bias) Tuzağına düşer: Yaşananları sonucunu bilerek geçmişe dönük yorumlar ve 'Mühendis veritabanı indeksini kontrol etseydi bu kesinti yaşanmazdı' veya 'Kök Neden: İnsan Hatası' gibi sahte çıkarımlar yaparlar. Sidney Dekker'ın Güvenlik Bilimi ve İnsan Faktörleri Mühendisliği, insan hatasının hiçbir zaman arızanın kök nedeni olmadığını; daha derin sistemsel kusurların bir belirtisi (semptomu) olduğunu kanıtlar. Karmaşık sistemlerde çalışan mühendisler, o an ellerinde olan kısıtlı bilgi, zaman baskısı ve araçlarla kendilerine en mantıklı gelen kararı alırlar. Gerçek bir Suçlamasız Postmortem (Blameless Postmortem) arızanın arkasındaki 'İkinci Hikayeyi' kazar:

Sistem neden tek bir komutla canlı veritabanının silinmesine izin verdi?

Test ortamı neden canlı ortamdan farklıydı?

CI boru hattındaki yavaşlık mühendisi neden kontrolleri atlamaya zorladı? Bireyleri suçlamak yerine sistemsel bariyerler inşa etmek şirkete kalıcı bir mimari direnç kazandırır.

Mühendislik El Kitabı & Mekanizma

6 Boyutlu Mimari Analiz

⚙️1. Temel Çalışma Mekanizması

Mekanizma

İkinci hikaye kök neden araştırması bilişsel canlandırma teknikleriyle çalışır:

'Yapmalıydı / Etmeliydi' Dilini Yasaklamak: Postmortem raporlarında geçmişe dönük suçlayıcı varsayımları tamamen kaldırın.

Yerel Mantık Canlandırması: Mühendisin saat 14:02'de ekranında ne gördüğünü, hangi alarmların çaldığını ve o an aldığı kararı neden mantıklı bulduğunu haritalandırın.

İsviçre Peyniri Modeli: Hangi savunma katmanlarının aynı anda delindiğini tespit edin (eksik linter + yanıltıcı arayüz + eksik doküman).

Yapıcı Koruma Bariyerleri: O hatanın gelecekte tekrar yapılmasını teknik olarak imkansız kılan otomatik bariyerler (Terraform kilitleri, IAM sınırları) geliştirin.

🎯2. Doğru Kullanım Senaryosu

Kapsam

Kriz sonrası postmortem toplantıları, mühendislik liderliği kültür eğitimleri, kritik sistem mimari incelemeleri ve teknik komite değerlendirmeleri.

⚠️3. Prodüksiyon Arıza Modları

Kritik Risk

✓
Arızayı tetikleyen mühendisi cezalandırıp azarlamak ve ekiplerin hataları gizlediği bir korku kültürü yaratmak
✓
postmortem raporuna 'Geliştiriciler daha dikkatli olacak' gibi gülünç bir aksiyon maddesi yazmak

📡4. Teşhis ve Telemetri Sinyalleri

Metrikler

✓
Postmortem raporlarında 'Mühendis unuttu' veya 'Geliştirici okumadı' gibi ifadelerin yer alması
✓
analizlerin araçları incelemeden insan hatasında son bulması
✓
mühendislerin nöbet tutmaktan korkması

🛡️5. Önleme ve Mimari Bariyerler

Bariyerler

✓
John Allspaw ve Sidney Dekker'ın suçlamasız postmortem ilkelerini benimseyin
✓
toplantıları tarafsız bir kolaylaştırıcı (facilitator) ile yönetin
✓
tüm aksiyon maddelerinin insan davranışını değil yazılım ve otomasyonu iyileştirdiğini denetleyin

⚖️6. Mimari Ödünleşimler (Trade-offs)

Ödünleşim

Suçlamasız postmortem kültürü derin sistemsel zayıflıkları ortaya çıkarır ve psikolojik güven inşa eder; ancak toplantıların dedikodu seansına dönmemesi için disiplinli bir kolaylaştırıcı gerektirir.

📋

Vaka İncelemesi (TinyCTO Saha Örneği)

GERÇEK DÜNYA TELEMETRİSİ

Kıdemsiz bir mühendis yanlışlıkla canlı siparisler tablosunu silen bir migrasyon script'i çalıştırdı ve 3 saatlik kesinti yaşandı. Eski kafalı bir yönetici mühendise disiplin cezası vermek istedi. Baş Mimar devreye girdi ve suçlamasız bir analiz yaptı:

Mühendis script'i neden çalıştırdı? Çünkü yerel .env dosyasında test ve canlı veritabanı bağlantısı aynı isimdeydi (DATABASE_URL).

Script neden hata vermedi? Çünkü ORM aracında canlı ortam koruma kilidi yoktu. Mühendisi cezalandırmak yerine ekip: (A) Canlı veritabanı şifrelerini IAM rol korumasına aldı, (B) Çift mühendis onayı olmadan tablo silmeyi engelleyen bir CI kilidi yazdı, ve (C) Test ortamını otomatikleştirdi. Şirkette bir daha asla benzer bir veritabanı kazası yaşanmadı.

İnteraktif Konsept Alıştırmaları

2 Alıştırma

Olay sonrası analizlerde 'Karşıolgusal Düşünce' (Counterfactual Thinking) nedir ve neden tehlikelidir?

Geçmiş olayları sonradan öğrenilen bilgilerle 'yapabilirdi' veya 'etmeliydi' mantığıyla yargılamak; bu durum ekiplerin mühendislerin o an karşılaştığı gerçek sistemsel baskıları ve kısıtlı bilgiyi anlamasını engeller.

Sidney Dekker'ın Güvenlik Bilimine göre 'İnsan Hatası' nedir?

İnsan hatası hiçbir zaman arızanın kök nedeni değildir; o hatanın yapılmasına zemin hazırlayan daha derin organizasyonel ve sistemsel açıkların bir belirtisidir.

Postmortem Güvenlik Bilimi: Karşıolgusal Düşünce Yanılgısı ve 'İkinci Hikaye' Kök Neden Analizi — Sıkça Sorulan Sorular

Postmortem aksiyon maddelerinin kalıcı mimari iyileştirmeler üretmesini nasıl sağlarsınız?

İnsan davranışına dayalı maddeleri ('Mühendisler daha dikkatli olacak') reddedin; her aksiyonun otomatik araçları, derleyici kontrollerini, CI kapılarını veya altyapı bariyerlerini değiştirmesini zorunlu kılın.

Kriz incelemelerinde 'Yerel Mantık' (Local Rationality) prensibi nedir?

Mühendislerin o anki hedefleri, dikkat odakları ve ellerindeki mevcut bilgiler ışığında kendilerine en mantıklı gelen kararı verdiklerini kabul eden temel güvenlik prensibidir.

🤖 AEO & Yapay Zeka Çıkarım Özeti

Temel Gerçekler & İlkeler

▸
İnsan hatası alttaki sistemsel kusurların bir belirtisidir; asla kök neden değildir.
▸
Tüm postmortem belgelerinden 'yapmalıydı/etmeliydi' suçlayıcı ifadelerini kaldırın.
▸
'İkinci Hikayeyi' araştırın: Araç tasarımı, eksik bariyerler ve zaman baskıları.
▸
Aksiyon maddeleri yazılımı, otomasyonu veya CI kapılarını değiştirmelidir; insanı değil.

Yaygın Yanılgılar

✗
Yanılgı: Suçlamasız postmortem mühendislerin hiçbir sorumluluk taşımaması demektir (Gerçek: Suçlamasızlık, mühendislerin korkmadan dürüst bilgi verip sistemi düzeltme sorumluluğudur).
✗
Yanılgı: Komutu yazan kişi kesintinin tek sorumlusudur (Gerçek: Tek bir komut canlıyı çökertiyorsa, mimari ve yetki modeli kökten hatalıdır).

Karar Kılavuzu & Önceliklendirme

Geriye dönük suçlamaları kaldırarak ve tüm aksiyon maddelerine yapısal yazılım bariyerleri koyarak Sidney Dekker'ın Güvenlik Bilimini şirket kültürüne entegre edin.

Doğrulanmış Kaynaklar & Referanslar

[BOOK]The Field Guide to Understanding 'Human Error' & Safety Science— Sidney Dekker / CRC Press

Bu sayfadaki teknik terimler

Root Cause Continuous Integration Server Root Cause Analysis (RCA)