事件时间线重建工作流

目标

复盘应建立在事实之上，需要从证据重建事件时间线。本工作流汇集告警时间、部署事件与事件聊天记录，统一到同一时区并关联相关事件，标注检测、升级、缓解与解决节点及其证据，再由响应者校验修正后用于复盘。提醒要把事实与假设分开。

步骤要点

1. 汇集告警、部署与聊天等证据来源。
2. 统一时区并关联相关事件。
3. 标注检测、升级、缓解与解决节点。
4. 由响应者校验修正后用于复盘。

jq -r '.events[] | "\(.time) \(.source) \(.what)"' incident.json | sort

验证

按顺序执行上述步骤后，逐项确认每个步骤的预期状态均已满足；只有全部预期状态成立，才认为本流程完成。若某一步未达到预期状态，应先按排错提示排查，不要跳过继续，以免掩盖问题。

排错提示

• 依赖记忆会产生偏差。
• 时区混用会造成虚假因果。
• 过度细碎会淹没关键时刻。

适用边界

• 需要历史告警与部署记录。
• 事实与假设需分开。