题记与说明
- 标题：Postmortem Culture: Learning from Failure
- 作者：Google SRE 团队（《Site Reliability Engineering》第 15 章）
- 来源：<https://sre.google/sre-book/postmortem-culture/>
- 存档日期：2026-11-04
- 标签：SRE、故障复盘、blameless、事故管理、工程文化、团队协作
这篇讲什么
谷歌 SRE 圣经第 15 章，讲"复盘"如何从一次性行为变成组织制度。三块内容：一是何时必须复盘——用户可见的宕机、任何形式的数据丢失、人工干预（回滚/切流量）、处置超时、监控失效，这五类触发条件要在事故发生前定义好，任何人也可以主动申请复盘；二是怎么写——blameless（无指责）是铁律：默认每个当事人都拿着当时掌握的信息做了对的事，问题在系统而非人；三是评审与共享——草稿交资深工程师按清单评审，"未评审的复盘约等于不存在"，终稿入库、共享给最广的受益人群。
核心观点
复盘不是惩罚而是全公司的学习机会；目的不是追责，而是把"人的失误"转译成"系统的改进"——你改不了人，但可以改系统。无指责不等于和稀泥：文中把同一句牢骚改写成两个版本做示范，指责版宣泄情绪，无指责版把同样的诉求落成可执行的 action item。制度要靠活动养活：Postmortem of the month、复盘读书会、Wheel of Misfortune 角色扮演，让写复盘被看见、被奖励。
最值得记住的 3 句
- 章首题词："The cost of failure is education."（失败的代价就是学费）
- "You can't 'fix' people, but you can fix systems and processes."——复盘要从"谁搞砸了"转向"他当时为什么拿到的信息不完整"。
- 一个数据：2014 年 TGIF 全员大会上，一位 SRE 因果断回滚把事故压到 4 分钟，当场拿到两个 peer bonus，并收获包括两位创始人在内数千名观众的掌声——复盘与事故处理是被公开庆祝的行为。
对我的启发
- Agent 系统：Agent 自主执行同样会"出事故"。五类触发条件可直接移植为 Agent 运行复盘的触发器（执行失败、回滚、人工接管、超时、监控告警失灵）；归因时沿用 blameless——不追"谁的提示词的锅"，只问系统为什么让它在信息不全时行动，然后改工作流和护栏。
- 个人知识管理：Google 把复盘入库、做跨产品趋势分析、甚至计划用 ML 预测弱点。个人知识库同理：失败记录要入库、可检索、定期重读，学费才不白交。
- 写作：指责版 vs 无指责版的对照改写是最小单位的写作课——把情绪翻译成行动项，既是技术写作也是通用沟通技法。
适合谁读
要在团队里落地复盘制度的 TL 和平台负责人；给 Agent 或自动化系统兜底、想建立失败学习机制的个人开发者；想让"犯错"沉淀为组织资产的工程文化爱好者。