Разбор инцидента

Разбор инцидента — это письменный документ, который делают после сбоя: что произошло, в каком порядке, что было затронуто, почему система это допустила и что в результате изменится. Он намеренно отделён от самого инцидента, потому что во время простоя цель — вернуть сервис, а после — понять его, и эти две цели требуют разного состояния ума. Дисциплина, ради которой разбор стоит потраченных часов, — это отказ останавливаться на человеке. Почти любой инцидент описывается фразой кто-то выполнил не ту команду, и описание это одновременно верное и бесполезное, потому что не объясняет, почему выполнить её было возможно, почему ничто её не поймало, почему эффект оказался таким широким и почему восстановление заняло столько времени. Разбор, называющий человека, производит одного притихшего инженера и ноль изменений в системе. Разбор, называющий условия, производит список того, что надо починить. Документ, которым пользуются, отличают от документа, который подшивают, три привычки. Пишите хронологию по свидетельствам, а не по памяти, включая пробелы: те двенадцать минут, когда никто не смотрел, обычно самая содержательная часть. Отделяйте то, что вы сделали бы снова, от того, что измените, потому что разбор, рекомендующий только больше внимательности, — это разбор без действий. И дайте каждому действию владельца и дату, а на следующем разборе проверьте список: самая частая неудача практики не в плохих разборах, а в хороших, чьи действия никто не выполнил. Наконец, держите их читаемыми и там, куда люди заглядывают: вторая и большая их ценность — быть записью для того, кто унаследует систему, когда все присутствовавшие уже уйдут. Короткое замечание об охвате. Полный документ нужен не каждому инциденту, и настаивать на обратном — верный способ похоронить практику под бумагами. Договоритесь заранее, какие инциденты его получают: обычно те, что дошли до клиентов, длились дольше некоторого срока или удивили тех, кто их разбирал, — а остальным хватит абзаца в канале.