investigate-incident

インシデント調査スキル

Port のサービスカタログデータを使用して、体系的な根本原因分析を実施します。

使用するタイミング

• インシデントのトリアージが完了し、調査が必要な場合
• 本番環境の問題の根本原因を特定する場合
• デプロイとインシデントの関連性を調べる場合

調査プロセス

ステップ 1：タイムラインの作成

Port にクエリを実行してタイムラインを作成します。

1. 最近のデプロイ（過去 24 時間）：

   list_entities(blueprint="deployment", query={
     service: "affected-service",
     deployed_at: ">24h ago"
   })
   

2. 最近マージされた PR：

   list_entities(blueprint="pull_request", query={
     service: "affected-service",
     merged_at: ">24h ago"
   })
   

3. 設定の変更（追跡されている場合）：

   list_entities(blueprint="config_change", query={
     service: "affected-service"
   })
   

ステップ 2：相関分析

インシデントの発生時刻と次の事象に相関があるか確認します。

• デプロイ時刻（最もよくある原因）
• トラフィックの急増
• 依存関係の障害
• 設定の変更

ステップ 3：依存関係の確認

サービスの依存関係にクエリを実行します。

get_entity(blueprint="service", identifier="affected-service", include=["depends_on"])

依存関係ごとに、次の項目を確認します。

• ヘルスステータス
• 最近のインシデント
• エラー率

ステップ 4：過去のパターンとの照合

過去の類似インシデントを検索します。

list_entities(blueprint="incident", query={
  primary_service: "affected-service",
  created_at: "<30d"
})

次の点を確認します。

• 同じエラーパターン
• 同じ時刻
• 同じトリガー条件

ステップ 5：根本原因の特定

次の内容を記録します。

1. 何が変わったか：問題の原因となった具体的な変更
2. なぜ失敗したか：障害が発生した仕組み
3. なぜ検出できなかったか：テスト／レビューの不足箇所

ステップ 6：インシデントの更新

次の項目を指定して update_incident_investigation を呼び出します。

• root_cause_summary
• related_deployment（該当する場合）
• related_pr（該当する場合）
• timeline_markdown
• investigation_notes

出力形式

# Root Cause Analysis: [Incident ID]

## Summary
[One paragraph explanation]

## Timeline
| Time | Event |
|------|-------|
| 14:15 | PR #123 merged |
| 14:20 | Deployment v2.3.4 completed |
| 14:23 | First error alerts |

## Root Cause
[Detailed technical explanation]

## Related Changes
- PR: #123 - "Add currency field"
- Deployment: v2.3.4

## Recommendations
1. [Specific actionable item]
2. [Specific actionable item]

品質チェックリスト

• 完全なタイムラインを作成した
• 最近のデプロイをすべて確認した
• 依存関係を分析した
• 相関する変更を特定した
• 根本原因を明確に記録した