一份能落地的故障复盘模板

复盘写得有没有用，取决于格式。四个段落固定下来：时间线、影响面、根因、行动项，顺序别乱，也别省。 第一段：时间线 从第一条告警或第一个用户反馈算起，到业务完全恢复为止，每个节点精确到分钟：什么时间发现、什么时间开始响应、哪一步定位到原因、什么时间执行恢复、什么时间确认恢复。写时间线要照着聊天记录、告警记录和日志时间戳还原，不凭记忆补。时间线还能暴露流程问题——从告警到有人响应隔了多久，本身就是行动项的素材。 第二段：影响面 哪些业务受影响、持续多久、量级多大。登录不可用 20 分钟，比内部报表慢一小时严重得多。影响面决定复盘的规格，也决定行动项的优先级；对外有服务承诺的业务，还要写清楚是否触达了通知或赔付条款。量化不追求精确统计，订单量、错误日志条数都是可用的代理指标。 第三段：根因 根因至少写两层：直接原因和深层原因。直接原因是"磁盘被日志写满"，深层原因可能是"日志轮转从未配置、磁盘告警阈值形同虚设且无人响应"。多问几个为什么，问到流程和配置层面为止，停在"某同事操作失误"就浅了——再往下问一层，往往是"没有审批和双人复核机制"。 第四段：行动项 每条写四样：做什么、谁负责、什么时间完成、怎么验证。分两类，一类是修复本身，比如补上 logrotate 配置，验证方式是"下周检查切割文件已生成"；一类是防复发，比如把磁盘告警阈值从 90% 调到 80%，再加一条每周巡检。写完贴到群里，下次故障前逐条核销。 模板本身不复杂，难的是每次都写。复盘对事不对人，行动项可验收，这份文档才不只是留档，而是真的在给系统打补丁。