针对人与组织的混沌工程

混沌工程也适用于人类系统。人是组织系统的基本单元或参与者。真正困难的问题在于弄清楚这些参与者之间的互动关系。在软件问题和解决方案中，人都是核心。人是需求和解决方案的核心。

事件审查时考虑系统的社会部分: 上次制定意外事件响应升级流程是什么时候?是否包括二级值班人员休假时的情况?是否包括当某人正在处理某个问题时你却不知情的情况?是否包括如何确定某件事情是否是偶发事件的信息?在系统的人性层面，我们经常把错误想象成倦怠和失误，但是，在没有亲自目睹的情况下，一个精疲力尽的工程师或者一个经理的失误所造成的影响是很难推测的。

组织是系统中的系统。有些系统已经写下来了，比如假期政策。有些系统没有被记录下来，它们只是众所周知的圈内知识。比如某某某只看即时消息，不看邮件，最了解某个服务的是某某某。圈内知识系统往往比显式的同类系统更不可靠。组织中，每个角落都潜藏着许多潜在的故障。这对组织而言是危险的。人类扮演着故障的捍卫者和制造者的双重角色，在复杂系统中采取的每个行动都是一场赌博。

关于组织安全性，一种观点是把人看做一个需要控制(通过流程化、合规化、标准化和惩罚)的问题，另一种是把人看做一种可以驾驭看的解决方案，而不是一个需要控制的问题,把安全与积极能力关联。基于后者，才能建立一支高度可靠、稳定、有韧性的工程师团队。作为值班经理，应搜寻表明团队可能耗尽真能防决存害，同时寻找增加能分边算的势法。将系统从真正有影响的故障边缘推离，如重要工程师的退出，客户的大量流失或数据泄露。

发现弱信号。在正常的安全操作和重大故障之间保持一定的余量，寻找系统的弱信号。弱信号可能不会立即显示问题，但一旦超过了给定的边界，系统就会开始失效。绿灯时间不够长不能安全过马路就是一种弱信号。你需要成功监听并找到他们的稳定状态。比如，周一结束值班轮换要比周五结束更累，当下看起来不是一个问题，但总有一天会成为问题，因为如果一个工程师很累，她的工作效率就会降低，甚至可能犯重大的错误。另一种弱信号是: 我对某事一无所知，我需要找某某谈谈。信息没有，也不可能均匀地分布。需要找到系统接近边界的信号，找到需要采取行动的信号与继续监控信号之间的平衡才是真正困难的部分。

成功与失败并非可选，界限在于系统的工作点是否越过性能故障的临界点。曾经成功的事物可能突然陷入失败状态。如果我们有意地搜索组织系统的故障状态，那么将更加熟悉其边界。这将使边界更加明确，甚至更好，从而改善系统并将边界扩大。通过混沌工程远离，可以使边界更加明确，并将其推向更远。

探索人类系统中的混沌工程。人类系统的有趣之处在于，你在系统中的位置会极大影响你改变它的能力。人类混沌工程实验也基于三个原则: 首先，建立基于系统稳态的假设。然后，定义有意改变其变量的计划。这是故障注入部分。最后，监控结果。在系统显示中查找新的应急行为，并将其与系统的先前状态进行比较。

对人类系统，输入输出度量标准更难获得。这就是定性分析可以发挥作用的地方。人类是反馈机器，我们一直处于给与反馈的状态。反馈环是组织成功变革的核心。组织有哪些单点故障、沟通瓶颈、较长的任务队列?通过直觉，识别接近产能阈值的系统。

尝试突破界限。你对系统进行了更改，系统立即在更改的重压下崩溃。或者无法进行更改。或者没有显著影响。

最小化爆炸半径。了解系统是如何运行的，哪些地方的余量比你预期的少。应包括应急计划、回滚、应急拉索、逃生舱门。每个参与实验的人都有权力去拉取它。你需要在整个组织中得到支持，你做的事情要有明确的价值。你的个人偏见可能对实验、实验中的人、公司产生重大影响。需要自我质疑，寻找反馈，对改变甚至取消实验持开放态度。

沟通中存在组织的网络延迟。跟踪工作的系统，工单、聊天室、精益、Scrum、看板，都是基于沟通能够保持一致且迅速有效的假设。当沟通的频率下降时，系统开始变得没那么有效。僵化的沟通可能导致工作停滞，错过最后期限或无法达到期望。自治性和有效性建立在信任之上。沟通中的一个小问题可能以多种形式带来急剧恶化的后果。例如，生气的客户、收入损失、不良的公众声誉。这些级联故障非常普遍。

领导力是系统的涌现属性。领导力是在有限的上下文信息中制定决策。领导者要看到并理解系统的信号和反馈，根据信号采取行动。

安全地组织混沌工程。三型组织可以帮助了解系统状态: 病态型、官僚型、生机型。

无失败，非学习。期待犯错，做出调整，然后继续前进。拥有一个充满学习热情的团队，才能创造令人惊叹的变化。