题记与说明
- 标题：Blameless PostMortems and a Just Culture
- 作者：John Allspaw（时任 Etsy CTO；正文为第一人称署名文章，页面抓取正文未含署名行，作者与 2012 年写作时间参考收藏备注）
- 来源 URL：<https://www.etsy.com/codeascraft/blameless-postmortems>
- 存档日期：2026-11-04
- 标签：无指责复盘、Just Culture、故障复盘、工程文化、人因工程
这篇讲什么
2012 年 Allspaw 在 Business Insider 报道 Etsy 的错误处理方式后写下的奠基之作。核心主张：抛弃 Sidney Dekker 所说的"坏苹果理论"（把人开掉/再培训/禁止碰生产环境），改用学习的视角看待失误。"无指责复盘"不等于免责——当事人仍要详细交代做了什么、观察到什么、预期与假设是什么，只是这一切不必担心被惩罚。因为怕追责的人不会说出细节，没有细节就无法理解故障机理，事故注定重演，只是换个人而已。
核心观点
责备文化的死循环有七步：出事→惩罚→一线与管理层互不信任→工程师沉默、搞"自保工程"→管理层越来越失明、潜在隐患无人识别→错误更频繁→再出事。破局方法是找"第二故事"（Second Story）：人的失误不是故障的原因，而是组织深处系统性脆弱性的*结果*；说"他当时应该怎么做"解不了释"为什么那个动作在他当时的信息下是合理的"。Hollnagel 的论断是根基：事故不是有人赌博赌输了，而是当事人真心相信——那件事不可能发生、或与自己在做的事无关、或收益值得冒险。
最值得记住的 3 句
- "The action made sense to the person at the time they took it, because if it hadn't made sense to them at the time, they wouldn't have taken the action in the first place."——复盘的第一问不是"谁的错"，而是"他当时掌握了什么信息"。
- First/Second stories 对照表（《Behind Human Error》）：让员工"更小心"永远不会让问题消失，只有持续搜寻组织的脆弱性才能增强安全。
- Blameless 之后工程师反而"更 on the hook"：他们最懂自己的错误，理应主导改进项——免于惩罚换来的是对安全更大的责任。
对我的启发
- Agent 系统：Agent 出错时的归因是同构问题。别问"谁的提示词的锅"，问"Agent 当时拿到了什么上下文、为什么那个动作在它视野里合理"，然后改工作流和护栏而不是改"人"——这正是 Google SRE 复盘章（见本库 sre-postmortem-culture 篇）的思想源头。
- 个人知识管理：失败记录可以按 first story（发生了什么）→ second story（什么系统条件让它发生）双层写进知识库，学费才不白交。
- 写作：那张对照表本身是最小单位的认知重构写作模板——同一件事，换个叙述层次就从宣泄变成了可执行的行动项。
适合谁读
要建立 postmortem 制度的工程/运维负责人；团队里正被"追责-沉默"循环困扰的人；研究 Agent 可靠性与人机协作的人；以及任何想把"谁的错"变成"系统为什么这样设计"的写作者。