Khi kỹ sư chọn im lặng: Nguyên nhân thực sự đằng sau các thảm họa công nghệ

Hầu hết các thảm họa về kiến trúc không phải là vấn đề thiếu kiến thức. Các kỹ sư biết rõ điều gì sẽ xảy ra. Chỉ là việc lên tiếng không đáng giá.

Có ai đó trình bày một quyết định kiến trúc và không ai trong phòng thực sự đồng ý — họ chỉ giả vờ như vậy, vì nói ra suy nghĩ thật là tốn kém về mặt xã hội. Cuộc họp kết thúc, quyết định được đưa ra. Sáu tháng sau, hệ thống sập đổ và mọi người nói "chúng tôi biết chuyện này sẽ xảy ra".

Đúng vậy. Các bạn đã biết.

Đa số các công ty không sụp đổ vì ai đó đưa ra quyết định sai lầm. Họ sụp đổ vì những người nhìn thấy trước nguy cơ đã giữ miệng im bặt. Và lý do họ im lặng không liên quan gì đến sự thiếu hiểu biết về kỹ thuật — mà là cái giá phải trả khi lên tiếng cao hơn nhiều so với việc giữ im lặng.

Mô hình lặp lại

Mọi thảm họa kiến trúc lớn đều có cùng một cấu trúc bên dưới: tồn tại một vấn đề kỹ thuật hữu hình, ai đó — thường là nhiều người — nhìn thấy nó, nhưng việc phản đối lại phải trả giá, nên quyết định vẫn được thông qua dưới danh nghĩa "sự đồng thuận" (alignment) và cuối cùng hệ thống bị hỏng.

Hãy chú ý đến từ đó — "sự đồng thuận". Ở hầu hết các công ty, sự đồng thuận chỉ là tên gọi doanh nghiệp của việc bịt miệng những ý kiến trái chiều. Nó không có nghĩa là mọi người đều đồng ý. Nó có nghĩa là không ai nói to lên là họ không đồng ý. Hai điều đó hoàn toàn khác nhau.

Nokia, TSB, Boeing, Microsoft

Các kỹ sư của Nokia biết rằng Symbian là một con tàu đắm. Không được xây dựng cho màn hình cảm ứng, kiến trúc sai lầm về cơ bản cho việc xây dựng hệ sinh thái ứng dụng. Khi iPhone ra mắt, những đánh giá sắc bén nhất về ý nghĩa của nó đến từ bên trong Nokia. Các nhà nghiên cứu của INSEAD đã phỏng vấn lại 76 giám đốc và kỹ sư của Nokia sau sự sụp đổ; những gì họ tìm thấy là mọi người đều biết, họ chỉ không nói ra — vì tại Nokia, trở thành người mang tin xấu đi lên là rủi ro đối với sự nghiệp, không phải là bước tiến. Thông tin đã tồn tại. Nó chỉ không được truyền đi. Nokia bán bộ phận điện thoại vào năm 2013 với giá 7,2 tỷ USD.

Ngân hàng TSB đã di chuyển cơ sở hạ tầng CNTT cũ vào năm 2018 với phương pháp chuyển đổi "Big Bang" — một cú cắt đứt sạch sẽ. Báo cáo điều tra độc lập dài 262 trang, và có một câu nổi bật: các ý kiến phản đối về kỹ thuật đã được đưa ra, nhưng "không được xem xét". Lịch trình triển khai đã thắng. Hệ thống sụp đổ, 1,9 triệu khách hàng không thể truy cập tài khoản, cơ quan quản lý phạt 48,6 triệu bảng Anh. Khi sự phản đối không được xem xét, có ai đã phản đối lần thứ hai không? Lần thứ ba? Không ai ghi lại phần đó.

Năm 2020, các tin nhắn nội bộ của Boeing đã được đưa đến Quốc hội Mỹ. Các kỹ sư đã viết cho nhau: "Chiếc máy bay này được thiết kế bởi những chú hề, những người này lại được giám sát bởi những con khỉ". Không ai hỏi họ đã viết gì cho ban quản lý — chúng ta đã biết câu trả lời. Hệ thống MCAS lấy dữ liệu từ một cảm biến duy nhất, và báo cáo của Quốc hội ghi nhận rằng rủi ro kỹ thuật đã được biết đến — và rằng áp lực về lịch trình sản xuất và chi phí đã chôn vùi nó. Câu chuyện đầy đủ bao gồm động thái chứng nhận của FAA, mối quan hệ với nhà cung cấp và nhiều thập kỷ cắt giảm chi phí; nó không thể quy gán cho một nguyên nhân duy nhất. Nhưng mô hình vẫn đúng: những người gần vấn đề nhất biết rõ, và kiến thức đó không được truyền đi lên trên. 346 người đã chết.

Microsoft đã xây dựng Windows Phone trên nhân Windows CE, sau đó thay đổi hoàn toàn kiến trúc, sau đó các thiết bị hiện có không thể nhận cập nhật, sau đó hệ sinh thái sụp đổ. Các kỹ sư phía di động có thể thấy nó đang đi về đâu; sau khi mua lại Nokia, một giải pháp thay thế dựa trên Android thậm chí đã được tạo mẫu nội bộ — dự án Nokia X. Ban quản lý gọi đó là "sự bất trung với tầm nhìn Windows" và giết chết nó. Câu chuyện cũ lặp lại: giáo điều kiến trúc, sự phản đối bị đàn áp, cái chết của nền tảng. 7,6 tỷ USD được xóa sổ.

Bốn công ty, bốn ngành công nghiệp, cùng một cơ chế. Vấn đề không phải là kỹ thuật — mà là không ai có thể nói chuyện tự do.

Tại sao không ai lên tiếng?

"Tại sao không ai lên tiếng?" là một câu hỏi dễ chịu. Nó đổ lỗi cho cá nhân và tha thứ cho hệ thống. Câu hỏi khó hơn là: người cuối cùng làm vậy đã gặp chuyện gì?

Trong các công ty, việc phản đối đi kèm với một cái nhãn. "Không phải là người chơi đồng đội". "Luôn có ý kiến phản đối". "Năng lượng tiêu cực". Một kỹ sư trải qua điều này một lần sẽ không bao giờ đặt mình vào vị trí đó nữa; một kỹ sư chứng kiến điều đó thì không bao giờ dám làm cả. Và hầu hết các kỹ sư hiểu rất rõ điều này — họ chỉ gọi việc giữ im lặng là "sự chuyên nghiệp". Phần thứ hai này quan trọng, bởi vì theo thời gian sự im lặng này ngừng trở thành một sự cần thiết và trở thành một thói quen. Hệ thống ép buộc, và mọi người uốn cong — sau đó họ bắt đầu tự nói với mình rằng họ đã chọn uốn cong: "đông việc của tôi", "họ hiểu rõ hơn", "dù sao cũng chẳng ai nghe".

Sau đó còn có HiPPO — Ý kiến của người được trả lương cao nhất (Highest Paid Person's Opinion). Người cấp cao nhất mở miệng và cả phòng khuất phục, bất kể những gì họ nói có lý hay không. Mọi người gật đầu. Họ gọi đó là sự đồng thuận. Đó là sự đầu hàng với thương hiệu tốt hơn.

Sau đó là các chỉ số đo lường (metrics). Kiểm thử A/B cho thấy "cửa sổ bật lên nhận được nhiều nhấp chuột hơn", tỷ lệ chuyển đổi tăng, bảng điều khiển màu xanh lá — cuộc thảo luận kết thúc. Các chỉ số đo lường ở hầu hết các công ty không đo lường thực tế. Chúng chấm dứt các tranh luận.

Đúng trong một công ty và an toàn không phải là một chuyện. Nếu hai thứ đó đã drifted xa nhau như vậy, các quyết định được đưa ra không còn được thúc đẩy bởi thực tế kỹ thuật — chúng được thúc đẩy bởi các động lực xã hội trong căn phòng đó.

Cái giá của sự im lặng

Khi quyết định sai lầm đầu tiên được thông qua mà không bị phản đối, quyết định tiếp theo sẽ dễ dàng hơn — không phải vì mọi người ngừng quan tâm, mà vì tiền lệ đã được thiết lập. Bạn học được cách công ty này xử lý các ý kiến phản đối như thế nào. "Đó là cách chúng ta làm việc ở đây" không phải là một chính sách. Đó là mô sẹo. Kỹ sư mới thấy cùng một động thái, làm điều tương tự, không đặt câu hỏi — đặt câu hỏi là kỳ lạ vì không ai đặt câu hỏi về bất cứ thứ gì. Gọi đây là nợ kỹ thuật là sai lầm; nợ kỹ thuật là vấn đề tiền bạc. Đây là sự bất lực đã học được. Sự im lặng cuối cùng trở thành một thuộc tính kỹ thuật của hệ thống, được xây dựng vào đó, không thể tái cấu trúc để loại bỏ.

Kỹ sư của Boeing đã viết "được thiết kế bởi những chú hề" cho đồng nghiệp, không phải cho ban quản lý, vì viết cho ban quản lý dường như không thể. Kiến thức đó chưa bao giờ rời khỏi công ty — nó lưu thông nội bộ, tích lũy, và cuối cùng bị rò rỉ.

Phản đối thực sự là gì?

Nó không phải là nói "điều này sai" — điều đó không có tác dụng. Phản đối thực sự là làm cho vấn đề trở nên hữu hình: đặt ra cái giá cho quyết định, nêu tên những gì có thể sai sót, làm cho sự đánh đổi trở nên cụ thể.

"Quyết định này tốn kém bao nhiêu tiền trong 18 tháng tới?" "Chúng ta xử lý rủi ro này trong thử nghiệm như thế nào?" "Kế hoạch dự phòng là gì nếu mọi chuyện đi sai hướng?"

Không câu nào trong số đó nghe giống như một cuộc tấn công. Nhưng chúng buộc quyết định phải tự biện minh và cung cấp sự bảo vệ cho mọi người khác trong phòng đang nghĩ giống như vậy.

Những gì các công ty cần không phải là những kỹ sư giỏi hơn hay kiến trúc tốt hơn. Đó là một môi trường mà ở đó ai đó có thể nói "điều này sẽ diễn ra tồi tệ" mà không bị trừng phạt. Môi trường đó không tự xây dựng được — và nó không xuất hiện chỉ bằng cách yêu cầu các cá nhân dũng cảm hơn. Nó được xây dựng thông qua các quyết định rõ ràng: tách biệt quyết định khỏi người đưa ra ý kiến phản đối, thực hiện các cuộc họp rút kinh nghiệm (postmortems) không đổ lỗi theo mặc định, coi việc "tôi đã sai" là tín hiệu của phán đoán tốt chứ không phải là sự yếu đuối. Nguyên tắc "không đồng ý nhưng cam kết" (disagree and commit) của Amazon thường được trích dẫn ở đây — và nó không hoàn hảo, phần "cam kết" đôi khi chỉ lấn át phần "không đồng ý" — nhưng ý tưởng cơ bản là âm thanh: bạn có thể ghi lại sự phản đối của mình, được lắng nghe, và vẫn tiến lên mà không phải giả vờ đồng ý. Đó là một vấn đề cấu trúc, không phải tính cách.

Có ai đó đã triển khai 10 cửa sổ bật lên mà bạn phải đóng mỗi khi mở ứng dụng. Có ai đó đã di chuyển nút đó đến sai chỗ. Có ai đó đã đẩy hệ thống của TSB lên hoạt động theo mốc thời gian đó. Trong mỗi căn phòng đó, đều có ai đó biết quyết định là sai — có lẽ là nhiều hơn một người.

Không phải là không ai biết. Mọi người đều biết. Chỉ là việc lên tiếng không phải là một lựa chọn hợp lý.