Шаблон разбора инцидента — Post-Incident Review (PIR)

PIR-XXX: Краткое название инцидента

• Уровень серьёзности: P1 / P2 / P3
• Класс критичности системы: критическая для выручки / важная для бизнеса / операционная / вспомогательная
• Критерий серьёзности: какой пользовательский или бизнес-эффект делает это инцидентом
• Статус: зарегистрирован / в работе / восстановление подтверждено / разобран / закрыт
• Начало воздействия: YYYY-MM-DD HH:MM TZ
• Обнаружен: YYYY-MM-DD HH:MM TZ
• Сервис восстановлен: YYYY-MM-DD HH:MM TZ
• Разобран: YYYY-MM-DD HH:MM TZ
• Закрыт: YYYY-MM-DD HH:MM TZ
• Инцидент-менеджер:
• Дежурный / первичный приёмщик сигнала:
• Владелец разбора:
• Затронутые системы:
• Ссылка на рабочий тред:
• Ссылка на строку в журнале PIR:

Краткое описание

Что произошло и как это заметили. Отделяйте наблюдаемые факты от гипотез.

Первичные сведения

• Кто сообщил о проблеме и как с ним связаться:
• Что именно не работает в пользовательском сценарии:
• Когда симптом заметили впервые:
• Что уже проверено и какие есть ссылки на доказательства:
• Кто подтвердил, что инцидент взят в работу:

Влияние

• Кто или что было затронуто:
• Масштаб:
• Продолжительность:
• Финансовое или операционное влияние:

Хронология

Восстановление

• Что восстановило работу:
• Как подтверждено восстановление:
• Остались ли временные ограничения:

Варианты решения и принятое решение

Не смешивайте доказанную причину с выбором действия. Для существенного архитектурного, продуктового или рискованного решения заведите ADR и свяжите его с PIR.

Причина и RCA

Цепочка причин: 5 почему

Не останавливайтесь на правдоподобном ответе: для каждого шага укажите доказательство. Пять вопросов — ориентир, а не обязательная квота. Остановитесь, когда причина стала проверяемой и на неё можно воздействовать.

Итог RCA

• Подтверждённая основная причина:
• Способ проверки:
• Отвергнутые гипотезы:
• Ссылка на подробный RCA, если он вынесен отдельно:

Действия после инцидента

Закрытие

• Сервис восстановлен и это проверено
• Основная причина подтверждена доказательствами
• Предотвращающие действия заведены в трекере
• Для каждого действия указаны владелец, срок и способ проверки
• Команда разобрала PIR
• Все обязательные предотвращающие действия выполнены и проверены
• Статус и дата закрытия обновлены в журнале PIR