线上事件诊断与复盘

---
name: production-incident-diagnosis-and-review
description: 先止血、后定位、再复盘。用于线上故障 / 严重告警的应急处理与事后复盘，产出可执行的防回归措施。产出 `事件与问题/事故复盘/` 与 `事件与问题/线上事件/`。
---

# 线上事件诊断与复盘

## 何时使用

- 收到 P0 / P1 告警或用户大面积报障。
- 服务不可用、数据异常、严重性能退化。
- 事件已止血，需要做**非追责的**事后复盘。

> 原则：**先恢复服务，再找原因。** 不要为了"查清楚"而延长故障时间。

## 前置

- 必读 `.agents/context/常见故障与排查.md`、`.agents/memory/常见排查路径.md`。
- 必读 `发布与运行/回滚手册/`、`监控与告警.md`。

## 输入

- 告警 / 用户反馈 / 监控面板 / 日志 / trace
- 最近一次发布记录（高度怀疑对象）

## 步骤

### 第一阶段：止血（最快恢复）

1. 建事件档 `INC-YYYYMMDD-<slug>`，记录**开始时间**。
2. 快速判断影响：影响面（用户 / 功能 / 数据）、严重度、是否还在扩散。
3. 选择最短恢复路径（按优先级）：
   - 回滚上一次发布 / 关闭 Feature Flag；
   - 扩容 / 限流 / 熔断降级；
   - 切流量 / 切主从 / 重启。
4. **若涉及数据损坏**：立即停止写入扩散，评估修复方案，**并提示用户确认**后再动数据。
5. 恢复后确认指标回到正常区间，记录**恢复时间**。

### 第二阶段：定位根因

6. 用时间线还原：什么时候开始、之前发生了什么变更 / 流量变化。
7. 区分**直接原因**（触发点）与**根本原因**（系统为何允许它造成这么大影响）。
8. 明确**检测与响应**的短板：多久发现？多久定位？告警有效吗？

### 第三阶段：复盘（非追责）

9. 按模板写复盘：时间线、影响、根因、为什么没被更早发现、处置得当与不当之处。
10. 产出**行动项**：每条必须有 **负责人 + 具体动作 + 验证方式**，禁止"加强监控"这类空话。
11. 将可复现的模式沉淀到 `事件与问题/问题模式与防回归.md` 与 `.agents/memory/经验与陷阱.md`。
12. 若根因涉及架构缺陷 → 写 ADR 或记入 `架构决策/技术债务.md`。

## 输出

- `事件与问题/线上事件/INC-YYYYMMDD-<slug>.md`
- `事件与问题/事故复盘/<同名>.md`（模板：`.agents/templates/事件复盘.md`）
- 更新 `事件与问题/问题模式与防回归.md`
- 更新 `发布与运行/监控与告警.md`（改进检测）

## 检查清单

- [ ] 记录了事件开始 / 恢复时间与影响面。
- [ ] 先止血后定位，未因排查延长故障。
- [ ] 区分了直接原因与根本原因。
- [ ] 复盘对事不对人。
- [ ] 每条行动项都有负责人 + 动作 + 验证方式。
- [ ] 检测 / 响应的短板被明确并安排改进。
- [ ] 经验已回写 `.agents/memory/`。

## 边界与禁止

- **禁止**在故障进行中做大规模代码修改（修复走 `缺陷定位与修复`）。
- **禁止**写出"某人操作失误"作为根因（根因应指向**流程 / 系统为何允许**）。
- **禁止**复盘只有结论没有行动项，或行动项无负责人。
- 涉及用户数据泄露 / 合规事件时，**立即**升级并提示用户按 `SECURITY.md` 流程处理。