事故响应手册

角色与节奏

事故需要一名指挥官负责协调、一名沟通负责人更新干系人，以及多名响应者调查。指挥官不负责调试，而是保持响应有序并决定何时升级。

[发现] -> [声明] -> [缓解] -> [沟通] -> [验证] -> [复盘]
            |          |
        分配角色    回滚/开关

步骤

1. 确认并声明：确认告警、评估用户影响，声明事故与严重级别，指定指挥官与沟通负责人。
2. 先稳定再诊断：通过回滚、特性开关、流量切换或依赖故障转移止血，记录时间与动作。
3. 按节奏沟通：以固定间隔发布影响、当前缓解措施与下次更新时间，避免猜测。
4. 基于证据诊断：对照最近部署、配置变更、依赖健康与容量指标，保留日志与仪表盘。
5. 恢复并观察：确认 SLO 恢复正常，维持一段加强监控后再关闭事故。
6. 无责复盘：重建时间线，识别系统性贡献因素，分配有负责人和截止日期的行动项。

验证

• 错误率与延迟 SLO 回到目标。
• 状态页与事故频道反映已恢复。
• 时间线记录发现、缓解与恢复时间，并能解释发生了什么。
• 每个行动项都有负责人、截止日期和验证方式。

决策点

最近变更且回滚安全时优先回滚；回滚更慢或风险更高时才向前修复。只要用户影响可能存在就应尽早声明事故，协调与沟通的成本低于迟到的响应。

限制

角色名称与严重级别因组织而异；流程序列通用，但落地需要按团队工具与职责调整。