Hinweis: Dieser Artikel ist älter als 3 Jahre
Inhalte, Quelltexte oder Links können zwischenzeitlich überholt sein.

Auf der Suche nach einer griffigen Beschreibung komplexer Systeme reichte mir der karge Wikipedia-Artikel¹ nicht. Auch die komplexen adaptiven Systeme² wollten nicht passen. Ich fand Professor Emeritus Richard Cook. Sein Forschungsgebiet war das “Resilience Engineering” und er begann dort, wo James Reason 1990 mit seinem Buch “Human Error” aufhörte. Wem das Buch nichts sagt: Wenn Menschen mit 100%ig funktionierender Technik katastrophale Unfälle bauen, wird es als Standardwerk zitiert. Das Schweizer-Käse-Modell³ ist nichts als eine bildhafte Umschreibung seiner “Defence-in-Depth”. In den letzten fünf Jahren Thema in meinen Blogs zu Informationssicherheit⁴ und Flugunfällen⁵.

Es gibt ein Problem mit der sauberen, deterministischen Sichtweise von Reason. Nicht alles lässt sich am Reißbrett planen. Wer Fehlerketten unterbrechen will kann nur mit dem arbeiten, was bekannt ist. Das unbekannte Unwissen⁶, “the unknown Unknown” bleibt verborgen. Mit dem Buch “Behind Human Error”⁷ nahm sich Cook et al. im Jahr 2010 dieser Problematik an.

Im Netz gibt es zahlreiche Vorträge von Richard Cook⁸. Hier die Zusammenfassung, was komplexe Systeme sind und warum diese scheitern⁹:

• Umfangreiche Schutzmaßnahmen
  Dank Schutzmaßnahmen, technischer oder organisatorischer Natur schützt sich ein System vor dem Versagen. Standardisierte Prozeduren, Begrenzte Eingabe- und Steuerungsmöglichkeiten, regelmäßige Audits, Zertifizierungen, Backup-Systeme und Redundanzen sind Beispiele. Wenig überraschend: Diese tragen selbst zur Komplexität bei.

• Fehler sind allgegenwärtig
  Einzelne Fehler reichen nicht zur Überwindung einer Schutzmaßnahme. Sie werden als unbedeutend, manchmal auch als akzeptabel betrachtet. Eine Behebung gilt als unwirtschaftlich. Warum 100% aufwenden, wenn 80% reichen?

• Arbeiten im “degraded mode”
  Logische Folge des vorhergehenden Punktes: Komplexe Systeme sind in Wahrheit defekte Systeme voller latenter Fehler. Sie funktionieren nur, weil eingebaute Schutzmaßnahmen, Redundanzen und in erster Linie Menschen Schlimmeres verhindern und ein gemeinsames Interesse haben, das System zu erhalten.

• Änderungsdruck
  Schutzmaßnahmen aus dem ersten Punkt gewährleisten einen Normalbetrieb und gelten als bekannt. Die Punkte zwei und drei bleiben Entscheidungs- und Führungsebenen verborgen. Das verleitet zu “Optimierungen” in Gestalt von neuen Technologien oder Personalentscheidungen und setzt das System einem stetigen Änderungsdruck aus.

• Systemversagen
  Ein katastophales Systemversagen tritt ein, wenn eine Menge von Fehlern, Änderungsdruck oder eine Kombination aus beiden eingezogene Schutzmaßnahmen überwindet oder auf keine Schutzmaßnahmen treffen.

• Katastrophen sind vorprogrammiert
  Das Potential für katastrophales Systemversagen ist ein intrinsisches¹⁰ Merkmal komplexer Systeme. Es ist unmöglich dieses zu eliminieren.

Complex systems are intrinsically hazardous systems.

Das ist die Kernaussage von Richard Cook. Seine Beobachtungen sind allgemeingültig und treffen auf IT-Systeme und Organisationsstrukturen gleichermaßen zu. Erstaunlicherweise habe ich in der Vergangenheit instinktiv Komplexität als Endgegner auf meinen Folien dargestellt.

Es schüttelt mich, wenn IT-Verantwortliche mit statischen Instrumenten versuchen, ein stochastisch-dynamisches¹¹ System zu steuern. Oder wenn nach einem Vorfall nach der einen Ursache oder dem einen Schuldigen gesucht wird. Das sind Hinweise auf ein fundamental falsches Verständnis von Digitalisierung und einer miserablen Fehlerkultur.

Wir landen bei Fefe¹² und seinen Rants zur Komplexität¹³ in der heutigen IT-Landschaft voller “Komplexitätsverstärker”:¹⁴

(…) am Ende hast du ein Schönwettersystem.
Wenn das erste Mal der Wind dreht, (…) einen Scherbenhaufen.

in diesem Sinne,
bleibt gesund!

Tomas Jakobs