01 无责复盘：从时间线到系统防线

TL;DR：无责复盘（Blameless Postmortem）是 Google SRE 推广的事后分析方法，核心原则是归因到系统条件而非个人。复盘回答“当时什么系统条件让这个行为合理且危险”，而非“谁做错了”。有效流程：时间线（事实与解释分离）→ 促成条件分析 → 系统防线缺口 → 可验证行动项。产出不是“加强培训”，而是改变信息流、工具和默认路径。

概念解释

无责复盘的由来与定义

无责复盘（Blameless Postmortem）由 Google SRE 团队在《SRE Book》中系统阐述。它的核心主张：把事故归因于系统条件（流程、工具、信息缺失）而非个人，从而让参与者愿意如实陈述，让组织能从结构层面改进。无责不等于不追究——它追究的是“什么系统条件使这个错误成为合理且危险的选择”，而非“谁该负责”。

为什么“归罪个人”会失效

关键：“人为错误”是调查的起点，不是终点。操作者为什么在当下做出这个选择？界面提供了什么反馈？信息是否不完整？目标和约束是否冲突？这些系统条件才是可改进的杠杆。

无责与责任承担

无责不等于无责任。行动项必须有负责人、期限和复查日期。无责指的是复盘过程中的归因方向——不把个人当作根因，而是当作系统弱点的探测器。行动项的执行责任与复盘的归因方向是两回事。

目录

无责复盘的流程

1. 召集与定界：所有相关方参与，宣布无责原则，明确复盘的目标是改进系统而非追究个人。
2. 时间线重建：按时间记录可观察事件，事实与解释严格分离。
3. 促成条件分析：对每个关键决策点，问“当时掌握什么信息、界面提供什么反馈、目标和约束是什么、为什么这个动作在当时显得合理”。
4. 系统防线分析：检查预防、检测、缓解、恢复四类防线为何缺失、失效或被绕过。
5. 行动项与复查：每条行动项写明改变哪条因果路径、谁负责、怎么验证、复查日期。优先级：系统层 > 规则层 > 动作层。

核心纪律：第 2 步是所有后续分析的基础。如果时间线掺入解释和立场，整个复盘会退化为各方各执一词的争论。

事实与解释分离

这是无责复盘最关键的纪律：

规则：复盘时间线只允许事实。任何解释和归因必须标注为“假设”，并提供支持证据。如果无法提供证据，标注为“待验证”。这与 根因分析：从时间线到因果证据闭环 的证据标准一致。

系统防线分析

事故通常不是单一原因，而是多道防线同时缺失：

原则：一次事故复盘至少识别每类防线的状态。如果只有预防层失效而其余正常，说明系统有一定韧性；如果多类防线同时失效，说明系统整体脆弱。

软件工程示例

某服务配置发布后缓存雪崩。朴素复盘：“工程师配置错误，已培训”。无责复盘：

关键：最后一条行动项“回滚权限下放”是系统层更新——不是让工程师更小心，而是让回退在当前值班权限范围内可执行。这才是“改系统而非提醒人”。

适用边界与误用

• 不适合事故进行中：先恢复服务，复盘在稳定后进行。
• 不适合有明确标准答案的故障：简单 bug 直接修，不必套用完整复盘仪式。
• 不能沦为“都很好，下次注意”：如果复盘后没有系统层更新，要么是事故确实只是单纯执行失误，要么是复盘深度不够。
• 无责不等于无后果：恶意违规、屡次忽视安全约束与无心失误不同，组织有责任区分。
• 复盘结论仍需实验验证：复盘提取的因果假设，关键关系仍需 实验设计：AB 测试、灰度与消融实验 验证。

关联笔记

• 复盘与学习总览：从行动结果到能力更新（复盘的三层更新与四要素）
• 因果分析与根因分析（系统思维专栏的 RCA 基础，本篇是其复盘视角深化）
• 可逆性与双向门：降低决策的不可逆成本（回退路径就绪降低事故恢复成本）
• Premortem 与预承诺：在行动前发现失败路径（Premortem 是前置版无责复盘）

参考资料

• Postmortem Culture: Learning from Failure — Google SRE
• Postmortem Culture — Google SRE Workbook
• Incident Management Guide — Google SRE
• The Field Guide to Understanding 'Human Error' — Sidney Dekker