Пишем postmortem: timeline, root cause, action items, blameless
Тема дорожной карты · Английский для IT
🔊 Словарь терминов с произношением →
Postmortem (post-incident review, PIR, incident retrospective) — документ, который пишут после инцидента, чтобы команда и организация извлекли урок, и в культуре SRE у него есть обязательный принцип и обязательная структура. Принцип — blameless: постмортем не ищет виноватых, потому что люди, боящиеся наказания, скрывают информацию; вместо «инженер ошибся» пишут «система позволила выполнить миграцию в пиковое время без проверки». Структура (по Google SRE Book): Title и Date; Authors, Status (Draft / Reviewed / Final); Summary — два-три предложения: что случилось, как долго, какое влияние; Impact — кто и как пострадал, в цифрах (30 percent of checkouts failed for 38 minutes, about 1,200 orders); Root cause — первопричина, техническая и организационная; Trigger — что запустило (деплой, миграция, рост трафика); Contributing factors — что усугубило; Detection — как узнали (алерт, пользователи, случайно) и через сколько; Resolution / Recovery — как восстановили; Timeline — хронология с временными метками в UTC: 14:02 alert fired, 14:05 incident declared, 14:15 rollback started; What went well; What went wrong; Where we got lucky; Action items — конкретные задачи с владельцем, сроком и приоритетом (Add index check to migration pipeline — Anna — 2026-10-05 — P1); Lessons learned; Appendix — графики, логи, ссылки. Словарь: root cause — первопричина, proximate cause — непосредственная причина, underlying cause — глубинная, five whys — метод «пять почему», fishbone diagram, single root cause fallacy — заблуждение о единственной причине, contributing factor, latent condition — скрытое условие, near miss — почти инцидент, time to detect / mitigate / resolve, customer impact, revenue impact, SLO impact, error budget burned, action item с owner и due date, follow-up, tracked in, remediation, preventive — предупреждающее, detective — обнаруживающее (алерт), corrective — исправляющее, mitigating — снижающее влияние, hindsight bias — «задним умом», counterfactual — «если бы», которого следует избегать (should have, could have), blameless, psychological safety, just culture.
Как произносится
Postmortem /ˌpoʊstˈmɔːrtəm/ («поуст-мОртэм», латинское «после смерти»), post-incident review /ˌpoʊst ˈɪnsɪdənt rɪˈvjuː/, blameless /ˈbleɪmləs/, timeline /ˈtaɪmlaɪn/, root cause /ruːt kɔːz/, proximate /ˈprɒksɪmət/, underlying /ˌʌndərˈlaɪɪŋ/, trigger /ˈtrɪɡər/, contributing /kənˈtrɪbjuːtɪŋ/, detection /dɪˈtɛkʃən/, resolution /ˌrɛzəˈluːʃən/, impact как существительное /ˈɪmpækt/, action items /ˈækʃən ˈaɪtəmz/, owner /ˈoʊnər/, due /djuː/, lessons learned /ˈlɛsənz lɜːrnd/, hindsight /ˈhaɪndsaɪt/, counterfactual /ˌkaʊntərˈfæktʃuəl/, latent /ˈleɪtənt/ («лЕйтент»), near miss /nɪər mɪs/, fallacy /ˈfæləsi/, remediation /rɪˌmiːdiˈeɪʃən/, preventive /prɪˈvɛntɪv/, psychological /ˌsaɪkəˈlɒdʒɪkəl/ (p немая).
Как употребляется
Фрагмент постмортема:
Summary: On 2026-09-28 from 14:02 to 14:40 UTC, checkout latency exceeded 5 s for about 30 percent of requests. Roughly 1,200 orders failed. The trigger was the 13:50 deploy of migration 0042, which dropped and recreated an index on orders(user_id) during peak traffic.
Root cause: the migration pipeline does not check for index-affecting statements or enforce a maintenance window. Contributing factor: the on-call runbook did not mention checking recent migrations, which delayed the rollback decision by nine minutes.
Detection: automated alert on p99 latency, two minutes after the deploy. No customer reports before the alert.
What went well: rollback took six minutes end to end. Where we got lucky: the deploy happened before the evening peak.
Action items: (P1) Add an index-affecting-statement check to the migration pipeline — Anna — due 2026-10-05. (P2) Add "check recent deploys and migrations" to the checkout runbook — Nikita — due 2026-10-02.
Фразы на разборе: Let's keep this blameless: what allowed this to happen? — Без обвинений: что позволило этому случиться? That's a counterfactual; what did we actually know at 14:10? — Это «если бы»; что мы реально знали в 14:10? Who owns this action item and by when? — Кто владелец и срок?
Ловушки
Первая ловушка — обвинения, замаскированные под факты: Nikita deployed during peak называет человека; the pipeline allowed a deploy during peak называет систему. Вторая — единственная первопричина: у большинства инцидентов несколько причин и факторов. Третья — action items без владельца и срока: такие задачи не выполняются никогда. Четвёртая — только «что пошло не так»: разделы what went well и where we got lucky обязательны, второй особенно, потому что везение не повторится. Пятая — timeline по местному времени: только UTC, иначе распределённая команда не сможет сопоставить. Шестая — should have и could have: это hindsight bias; описывайте, что было известно в момент решения. Седьмая — постмортем без публикации: документ, который никто не прочитал, ничему не учит. Восьмая — postmortem переводить как «вскрытие»: в русской практике говорят «постмортем» или «разбор инцидента».