故障复盘：把每一次事故变成组织资产
导语：故障本身不可怕，可怕的是同样的错重复犯。故障复盘（Postmortem）是用一次代价换长期免疫的关键机制，本质是对事不对人的改进会。
一、为什么要关注
许多单位"事故过后一切照旧"，根因未消除、流程未改、同类故障再发。等保2.0强调"持续改进"，密评GB/T 39786也关注重要事件的可追溯与整改。复盘能把碎片信息还原为完整时间线，定位流程缺口而非归罪个人，从而产出可落地的改进行动，避免"用事故交学费却没学到东西"。
二、核心原理
有效复盘遵循几条原则：一是对事不对人，聚焦系统而非个人失误；二是基于证据，用日志、工单、时间戳还原事实，不靠记忆；三是追到根因，不止于"重启解决"；四是产出行动项（Action Item）并跟踪闭环。常用时间线法（Timeline）与"5个为什么"辅助深挖。
复盘之所以难做，是因为它触及"谁的责任"。一旦变成追责会，当事人就会选择性陈述，时间线失真，根因被掩盖。有效复盘把问题归因为"系统缺陷"而非"个人失误"——例如不是"某人配错"，而是"缺少强制校验的变更流程"。这种对事不对人的基调，才能换出真实信息，把一次事故转化为可执行的防御改进，而非又一场形式化总结。
三、落地做法/步骤
- 及时启动：重大事件恢复后48小时内开复盘会。
- 还原时间线：汇总监控、日志、工单、访谈时间点。
- 分层归因：区分触发、放大、根因与防御缺口。
- 写复盘报告：含影响、时间线、根因、行动项与责任人。
- 跟踪闭环：行动项纳入任务系统，限期验收。
- 知识沉淀：摘要入知识库供全员学习。
复盘报告的价值不止于"存档"，更在于被查阅。把复盘摘要纳入知识库（见68）并关联对应系统的CMDB（见75），下次同类事件发生时能一键调取历史教训，避免重复踩坑。复盘的闭环，最终要落到"组织记忆"的形成，而非一份写完即沉睡的文档——事故的价值，正在于它让组织更聪明。
四、与群晖NAS/信创云盘的对应能力
复盘报告、时间线证据需长期留存且不可篡改。群晖DS1525+、DS1825+可作为复盘材料与原始日志的集中备份；信创云盘（软件化部署、支持信创）可作为复盘报告的共享空间，按角色授权查阅、全程审计，满足等保2.0对事件整改记录与密评GB/T 39786对重要操作留痕的合规要求。
五、常见误区
- 变成"批斗会"，导致隐瞒信息、下次更难复盘。
- 只写结论不附证据，根因存疑。
- 行动项无跟踪，写完即结束。
六、小结与行动建议
建立"恢复即复盘"的文化，报告可备份、可审计、可检索。让每一次事故都转化为组织免疫力。