incident-learning

事件学习

将运营事件、未遂事件和演练发现转化为经过验证、明确负责人的改进，覆盖产品、工程、测试、评估和治理领域。本技能负责学习流程——一种结构化方法，将原始事件证据转化为有持久价值且附有结项证据的后续工作。本技能不负责事件响应、主持事后复盘或实施后续工作；它负责将证据转化为经过验证的变更。

适用场景

触发条件	涵盖内容
“将此事件转化为后续工作”	证据分类、因果台账、后续工作映射、负责人分配
“我们从此事件中学到了什么？”	学习记录，包含事实、假设、不确定性和问题逃逸来源映射
“跟踪此发现直至结项”	验证记录、结项证据、后续工作状态
“将此事件关联到缺失的需求”	问题逃逸缺口映射：需求、监控、权限、迁移、采用
“审查我们的事件后续工作结项率”	学习流程审计、未验证的结项、过期的后续工作
“处理此未遂事件”	未遂事件学习记录、促成条件、风险降低后续工作
“构建事件学习记录”	结构化记录，区分证据、推断与不确定性，并分析问题逃逸来源

不适用场景

• 归咎于某人或进行基于追责的审查。 本技能明确秉持无责原则。它会将证据转化为改进，而不是将过错转化为惩罚。它不包含责任归属流程，不设“该怪谁”字段，也不进行“应受责备”的分类。如果你需要一份能指出责任人的事后复盘，本技能无法满足这一目的。
• 仅将通用事后复盘模板作为输出。 本技能的主要交付物包括事件学习记录、因果／证据台账、后续工作映射以及验证与结项记录。事后复盘、时间线或五问分析可以为学习记录提供参考，但绝不会是最终输出。
• 实时事件指挥或事件响应。 如需事件指挥系统、值班运维和实时事件管理，请转到 site-reliability-engineering。
• 主持无责事后复盘会议。 如需了解事后复盘文化、时间线构建和主持方法，请转到 site-reliability-engineering。本技能会使用事后复盘的产出，但不会负责生成这些产出。
• 因为创建了工单就结束学习。 创建工单是一项行动，而不是结果。本技能要求验证预期变更是否已经发生，以及是否达到了预期效果。仅有工单不代表结项。
• 针对特定故障进行根因调试。 如需调查故障，请转到 systematic-debugging。本技能会将调试发现作为输入，用于学习流程。

核心原则

证据，而非推断，是根基。 每份事件学习记录都将内容分为三类：观察到的事实（发生了什么，有遥测数据、日志或直接观察为依据）、因果假设（对事件发生原因的推断，标注置信度和替代解释），以及尚未解决的不确定性（仍然未知的内容，包括未解答的问题和相互竞争的假设）。混淆这些类别会造成虚假的确定感。请参阅学习记录模板中的证据／推断／不确定性分类体系。

学习以验证收尾，而非以工单收尾。 创建工单、任务或故事只是一个流程步骤，并不能证明有所改进。完成闭环需要：(1) 已实施后续工作；(2) 已根据预期变更验证实施结果；(3) 已观察到预期效果（或已记录修订后的假设）。验证与闭环记录模板会强制执行这一标准。工单本身明确不足以证明闭环；闭环记录必须引用已实施变更的证据。

后续工作涵盖多个领域，而不仅是代码。 事件可能暴露六个领域中的任何一个方面的不足：产品（需求、设计、用户体验）、代码（实现、逻辑、依赖项）、测试（回归覆盖率、集成测试、断言）、评估（评估用例、评分器覆盖率、数据集缺口）、运维（监控、告警、运行手册、容量）和治理（权限边界、政策、合规性、访问控制）。后续工作映射采用这六个领域的分类体系；每项发现至少对应一个领域。

每起事件都有其逃逸来源。 “逃逸来源”分析会将根源缺口映射到以下一项或多项：未被满足的需求（缺失或不完整的必要需求）、监控或可观测性缺失（没有可用于检测该状况的信号）、权限或访问控制不安全（对可采取行动的对象缺乏足够的防护措施）、迁移缺口（引入该状况的过渡），或采用后果（有所助长的用户或运维人员行为）。这一映射会指导后续工作：监控缺口应产生可观测性方面的后续工作，而非代码补丁。

记录不确定性，而非将其隐藏。 相互竞争的因果假设、不完整的数据和未解答的问题，都是学习记录中的明确字段，而不是脚注。尚未解决的不确定性会推动调查类后续工作：需要添加哪些检测手段、需要收集哪些数据、需要测试哪个假设。没有尚未解决的不确定性的事件学习记录，要么针对的是微不足道的事件，要么记录得过早。

设计上不归咎于任何人。 学习记录中没有“谁造成了这一问题”“责任人”或“应受责备的行为”等字段。该方法将事件视为系统层面的结果——由相互作用的组件、流程、假设和条件共同造成，而非个人失误。这并非风格偏好，而是模板和记录格式的结构性约束。

事件学习记录

事件学习记录是主要产物，包含以下结构化字段：

字段	内容	要求
事件标识符	唯一 ID、日期、持续时间、严重程度、受影响的系统	必填
观察到的事实	发生了什么——由遥测数据、日志、直接观察和时间线事件佐证	必填；不得包含推断
因果假设	对事件成因的推断，每项均标注置信度和其他可能的解释	必填；必须与事实分开
促成条件	使事件得以发生或加剧事件影响的系统状态、流程缺口、环境因素	必填
未解决的不确定性	未解答的问题、相互竞争的假设、缺失的数据、未知情况	必填；用于推动后续调查
源头缺口映射	源头缺口：未落实的需求、缺失的监控/可观测性、不安全的权限/访问、迁移缺口、采用所致后果	必填；至少包含一个类别
后续工作映射	将发现映射到各个领域（产品、代码、测试、评估、运营、治理），并明确负责人和验证方法	必填；每项重要发现至少对应一项后续工作
验证与关闭记录	每项后续工作：实施证据、验证证据、效果证据、关闭日期、关闭审批人	关闭时必填；仅有工单不足以作为依据

加载指南

文件	加载时机
references/discovery-brief.md	了解与相邻技能的职责边界以及路由决策
references/evidence-inference-taxonomy.md	在事件记录中区分观察到的事实、因果假设和未解决的不确定性
references/escaped-from-analysis.md	将事件映射到源头缺口：需求、监控、权限、迁移、采用
references/follow-up-domains.md	将发现映射到六个后续工作领域（产品、代码、测试、评估、运营、治理），并了解职责分配模式
references/verification-and-closure.md	明确经验证关闭的判定标准、拒绝仅凭工单关闭，并记录关闭证据

模板

模板	文件	用途
事件学习记录	templates/incident-learning-record.md	结构化记录，将事实/假设/不确定性分开，并映射源头缺口
因果/证据台账	templates/causal-evidence-ledger.md	逐项跟踪因果主张及其佐证、置信度和其他可能的解释
后续工作映射	templates/follow-up-work-map.md	六领域后续工作映射，包含负责人、验证方法和状态跟踪
验证与关闭记录	templates/verification-and-closure-record.md	每项后续工作的关闭记录，要求提供实施证据、验证证据和效果证据

路由与相关技能

此技能整合以下技能的能力，并将工作路由至这些技能：

• site-reliability-engineering — 事件指挥、值班运维、SLO/SLI 框架、无责复盘、监控与告警。SRE 负责实时事件响应和复盘引导；事件学习则使用复盘产出，并将其转化为经过验证的后续工作。
• qa-methodology — 测试策略、回归测试、质量门禁。揭示测试缺口（缺少回归覆盖、断言薄弱、未经测试的路径）的事件发现会形成后续工作，并路由至 QA methodology 进行测试设计与实现。
• verification-methodology — 根据明确标准评估通过或失败。事件学习的闭环标准要求提供验证证据；verification-methodology 提供针对预期变更生成该证据的流程。
• agent-evals-and-observability — Agent 评估设计、数据集管理、评分、轨迹审查。涉及 Agent 行为的事件会形成评估缺口后续工作（缺少评估案例、评分器覆盖不足、未观测到的故障模式），并路由至 agent-evals-and-observability。
• product-lifecycle-learning — 上线后结果审查、更新假设、停用功能。揭示产品假设失效的事件（功能的使用方式与预期不同、某项假设未能成立）会形成产品后续工作，并路由至 product-lifecycle-learning，以进行假设更新和功能健康度决策。
• implementation-planning — 交付规划、工作分解、依赖关系映射、发布策略。跨多个团队或代码库的跨领域后续工作会路由至 implementation-planning，以协调交付规划。
• resilience-and-recovery — 韧性设计、演练证据、故障演练日、恢复测试。演练和灾难恢复测试的发现会反馈至事件学习，用于跨事件模式分析和经验证的后续工作闭环。事件学习使用演练发现作为输入；resilience-and-recovery 负责演练设计。
• production-readiness — 发布证据包、是否继续发布的决策。揭示系统性生产缺口的事件学习发现会纳入 production-readiness 证据包，供未来发布决策使用。

此技能作为一项组件能力，接入 production-excellence 捆绑包（尚未落地）和 agent-production-operations 捆绑包（尚未落地）：事件学习记录、因果关系台账、后续工作映射和闭环记录会流入 production-excellence，用于跨事件模式分析；并流入 agent-production-operations，用于 Agent 专项运维学习。

incident-learning 不负责的事项

• 事件指挥和实时响应：由 site-reliability-engineering 负责。incident-learning 不管理实时事件，也不执行事件响应。
• 事后复盘引导：由 site-reliability-engineering 负责。incident-learning 使用事后复盘的输出，但不主持事后复盘会议。
• 根因调试：由 systematic-debugging 负责。incident-learning 将调试发现作为输入。
• 测试设计与实现：由 qa-methodology 负责。incident-learning 识别测试缺口；QA methodology 设计并实现测试。
• 评估框架实现：由 agent-evals-and-observability 负责。incident-learning 识别评估缺口；agent-evals-and-observability 设计评估。
• 后续工作的实施：由各领域相关的专业技能负责。incident-learning 负责学习记录、后续工作映射和闭环验证，而非实际实施工作。
• 发布决策：由 production-readiness 负责。incident-learning 向 production-readiness 提供证据，但不做上线或不上线的决策。