ひどく失敗する

システムセキュリティやネットワークセキュリティ（および一般的なエンジニアリング）における「ひどく失敗する」と「うまく失敗する」は、システムが障害にどのように反応するかを説明する概念です。これらの用語は、暗号学者でありセキュリティコンサルタントでもあるブルース・シュナイアーによって広められました。^{[ 1 ] [ 2 ]}

深刻な障害が発生するシステムとは、障害が発生した際に壊滅的な結果をもたらすシステムのことです。したがって、単一の障害点がシステム全体を停止させる可能性があります。例としては、以下のようなものがあります。

• （クレジットカードデータベースなど）パスワードのみで保護されたデータベース。このセキュリティが侵害されると、すべてのデータにアクセス可能になる。
• 単一の柱やトラスに依存している建物や橋梁などの重要な構造物を破壊し、それらの柱やトラスを取り除くと、通常の荷重下で連鎖的な崩壊を引き起こす。
• 意図ではなく身元確認に重点を置いたセキュリティチェック（そのため、例えば自爆テロ犯が通過できてしまう）。
• 単一のサービスプロバイダによってアクセスが提供されるコンピュータネットワーク。プロバイダのネットワークに障害が発生すると、すべてのインターネット接続が失われる。
• 社会システムを含む、特定の個人に依存するシステムは、その個人が不在になったり、恒久的に利用できなくなったりすると、システム全体が停止してしまう。
• 「過剰に鉄筋されたコンクリート」のような脆性材料は、過負荷がかかると、何の予兆もなく突然、壊滅的な破壊を起こす。
• データの唯一のコピーを1か所に保管する。その場所が損傷すると、データは永久に失われる。例えば、1836年の米国特許庁火災、1973年の米国国立人事記録センター火災、アレクサンドリア図書館の焼失などが挙げられる。

うまく失敗するシステムとは、その失敗を区画化または封じ込めるシステムのことである。例としては以下のようなものがある。

• 船舶の船体は適切に設計され、区画分けされているため、いずれかの区画に損傷が生じても船全体が浸水することはない。
• 一度にすべてのデータをダウンロードできないようにすることで、漏洩するデータの量を制限するデータベース。
• 構造的に冗長な建物とは、通常の状況下で想定される荷重を超える荷重に耐えるように設計された建物、あるいは構造物が損傷した場合でも荷重に耐えられるように設計された建物のことである。
• 無効な操作が発生したときに再起動または停止状態に移行するコンピュータシステム。^{[ 3 ]}
• 電源が遮断されるとロックされるアクセス制御システム。^{[ 3 ]}
• コンクリート構造物は、荷重がかかって破壊されるずっと前から亀裂が生じるため、早期に危険を知らせることができる。
• 航空機のコックピットドアは、たとえハイジャック犯が空港の保安検査を突破できたとしても、機内に閉じ込めることができる。^{[ 1 ]}
• マルチホーミングと呼ばれる、複数のベンダーまたは個別の経路によって提供されるインターネット接続。
• スター型ネットワークまたはメッシュ型ネットワークは、ノードまたは接続に障害が発生しても動作を継続できます（ただし、スター型ネットワークの場合、中央ハブに障害が発生するとネットワーク全体が停止します）。
• 「鉄筋不足コンクリート」のような延性材料は、過負荷がかかると徐々に破壊される。つまり、降伏して伸びるため、最終的な破壊の前に何らかの警告を発する。
• 重要なデータはすべてバックアップコピーを作成し、別の場所に保存しておく。どちらかの場所に障害が発生した場合でも、バックアップされたデータから復旧できる。

「うまく失敗する」ようにシステムを設計することは、あらゆる潜在的なエラーや障害の原因を排除しようとする一般的な試みよりも、限られたセキュリティ資金のより良い使い方であるとも言われている。^{[ 4 ]}

• フェイルセーフ– 設計上の特徴または方法 
• 耐障害性– コンポーネントの故障やエラーに対するシステムの回復力 
• 致命的な失敗– 核軍事戦略における概念 
• 回復力（ネットワーク）– 障害発生時にもネットワークが機能し続ける能力 
• レジリエンス（工学および建設）– 完全な破壊に至らずに損傷を吸収できるインフラ設計