无责复盘工作流

无责不等于无行动

无责复盘假设人们在当时的信息与工具下做出了合理行为，分析重点放在系统条件：缺失的防护、含糊的 runbook、不安全的默认值和检测缺口。

时间线:  14:02 告警 -> 14:05 声明 -> 14:11 回滚 -> 14:20 恢复
影响:    18 分钟内 3.2% 结账请求失败
贡献因素: 发布缺少金丝雀门禁；回滚步骤未文档化
行动项:  增加金丝雀门禁（负责人/日期）；文档化回滚（负责人/日期）

步骤

1. 收集时间戳、告警、部署记录、配置变更和客户影响，保存链接以防保留期过期。
2. 区分触发因素与底层贡献因素，分析技术、流程和组织条件。
3. 撰写报告：影响、时间线、检测、响应、贡献因素和做得好的地方，语言具体且基于证据。
4. 为每个行动项指定负责人、截止日期和验证方式，优先能防止复发或缩短检测与恢复的变更。
5. 在计划评审中回访，验证行动完成且有效，并记录剩余风险。

验证

• 时间线有来源与时间戳。
• 每个行动项有负责人、截止日期与验证方式。
• 完成的行动经过复核和测试。
• 重复出现的主题进入可靠性待办。
• 报告与事故记录关联。

决策点

默认内部共享；在不暴露安全细节且有助客户时对外发布。优先少量高影响、可验证的行动项，而不是一长串无人负责的清单。

常见失败

创建“改进监控”这类没有负责人的模糊行动。应选择少量具体、可验证的变更，并安排评审确认它们确实发生。