設計の背景/ Design Rationale

やり取りをメールと紙から Web へ移すと、操作そのものは 1 か所で起きるようになります。ただし記録は自動では残りません。残す仕組みを作らなければ、Web に移した分だけ「後から辿れない操作」が増えます。

実際に問い合わせとして起きるのは、次のような場面です。いずれも「その時点で誰かが書き留めていたか」だけが答えを決めます。

最後の 1 行は種類が違います。前の 4 つは「起きたことを残す」話ですが、これは「起きていないことに気づく」話です。サーバが落ちればクラウドの監視が拾いますが、サーバは正常に動いていて通知メールだけが出ていない、という故障は外からは見えません。判定にはアプリのデータベースの中を数える必要があります。この資料が扱う 2 つの柱は、この 2 種類にそれぞれ対応しています。

記録の置き場は 1 本のテーブルだけです。「Box のメンバーに見せる用の履歴テーブル」を別に持つ案は採りませんでした。

別に持つと、同じ出来事を 2 か所へ書くことになります。片方だけ書けた瞬間に食い違いが生まれ、しかもそれはあとから直せません（どちらが正しいかを判定する材料が無い）。書き込みの回数も増えます。読む側の都合で書く側を増やすのは、割に合わない取引でした。

そこで書き込み経路を 1 本に固定し、読む側を 3 つに分けました。分けるのは読み取り時なので、食い違いが起きる余地がありません。読み口ごとに「出す項目」と「見せる相手」が違うだけで、元にしている行は同一です。

業務データと同じ区切りで書く

記録は業務処理の中で、業務データと同じトランザクションで書きます。ファイルの行を作る処理と、その記録を残す処理が同じ区切りに入っているので、「ファイルはできているのに記録が無い」という状態が構造的に生じません。逆に記録に失敗すれば業務処理ごと巻き戻ります。

監査の記録は「都合の悪い行を後から消せない」ことに価値があります。松葉ではこれをアプリの実装で守っていません。データベースの権限設計で守っています。

データベースには行ごとのアクセス制御があり、「誰がどの行に対して参照・追加・更新・削除をしてよいか」を規則として書きます。記録のテーブルについては、更新と削除の規則をそもそも書いていません。書いていない操作は既定で拒否されるため、システム管理者のアカウントであっても更新も削除もできません。「権限を絞る」のではなく「規則が存在しない」形にしてあるので、権限の付け替えで緩むこともありません。

三重の防御

消せないことは、次の 3 つが重なって成り立っています。1 つ目は改変の防止、2 つ目は事故からの復旧、3 つ目は保持期間を超えたあとの保全です。

「参照できない」ことを書き込みの形の強制に使う

記録の追加は全員に許していますが、参照はシステム管理者だけです。この組み合わせには副作用があります。データベースには「行を追加して、追加した行をそのまま返す」書き方がありますが、返す動作は参照に当たるため、一般の利用者がその書き方をすると失敗します。そこで追加は「返さない一括追加」の形だけを使う規律にしています。規律を破ると本番で必ず落ちるので、レビューの見落としがあっても混入しません。

読み口ごとに「出す量」を変えています。量を変える基準は、その読み口が何のためにあるか、そして誰が同席するかです。

とくに 2 番目には気を配りました。Box は「案件や取引先ごとの共有単位」で、1 つの Box に社内の担当者と取引先の担当者が同時に入ります。ここで内部情報が出ると、取引先 A が取引先 B の担当者名やアドレスを知り得ます。この読み口では、出してよい項目を「対応表」として列挙し、表に無い項目は通り道そのものが無い形にしています（詳細はアクティビティの章で扱います）。

クラウド側の監視は稼働しています。それでもアプリ自身の検知を別に持っているのは、両者が見ているものが違うからです。

右の列の事象は、どれもアプリのテーブルを数えないと判定できません。「送信待ちのまま 30 分」は通知の宛先の状態を見る話で、サービスの応答時間には現れません。だからアプリ側に検知を置いています。

実際に起きた例

本番では、ファイルの検査完了を伝えるイベントが、発行の権限が足りないために送れず、再試行の上限に達して溜まりました。画面にはエラーが出ず、通知メールだけが出ないという形の故障です。クラウド側から見ればサービスは正常に応答しており、異常な指標も出ていません。

これは 5 分ごとに回る検知器が拾いました。アラートには内訳（どの種類のイベントが何件、いちばん古いものはいつ発生したか、直近のエラーは何か）が残り、システム管理者が画面から確認できる状態になりました。

以降の章で出てくる個々の判断は、すべて次の 4 つのどれかに紐づいています。