Главное разделение
Отчёт об инциденте содержит минимум четыре разных слоя: наблюдаемое событие, сообщение участника, рабочую гипотезу и подтверждённый вывод. Нейросеть легко превращает их в связный рассказ и стирает границы. Поэтому задача первого прохода — не объяснить причину, а построить хронологию с источником у каждой строки.
Синхронизируйте время
Приведите логи, мониторинг и чат к одному часовому поясу, сохранив исходную метку. Отметьте задержку поступления события: сообщение в чате могло появиться через десять минут после наблюдения. Если время неточное, используйте диапазон. Нельзя ставить события в строгий порядок только потому, что модель уверенно выбрала минуту.
Соберите карточки фактов
Карточка содержит время, действие или наблюдение, систему, ссылку и уровень уверенности. Цитата участника не равна факту о системе; изменение метрики не доказывает причину. Дубли объединяют только после ручной проверки. Персональные оценки и обвинения из рабочего чата в отчёт не переносят.
Гипотезы держите отдельно
Для каждой версии причины запишите подтверждающие и опровергающие наблюдения, а также тест, который отличит её от других. «После релиза» не означает «из-за релиза». В нашем примере нужно отдельно проверить откат, нагрузку и внешний сертификат. Если доказательств недостаточно, итогом остаётся открытый вопрос, а не выдуманная ясность.
Решения и владельцы
Действия во время инцидента связываются с человеком или системой, временем и ожидаемым эффектом. Модель не назначает владельца по ближайшему имени в чате. Каждый участник подтверждает свои решения. Автоматические изменения конфигурации должны иметь отдельный журнал и идентификатор запуска.
Как оценить пользу
Сравните черновик ИИ с ручной хронологией на закрытом инциденте. Считайте пропущенные события, строки без источника, неверный порядок и смысловые исправления. Ускорение имеет ценность только до согласованного документа. Если проверка занимает больше ручной сборки, ограничьте систему нормализацией времени и поиском ссылок.
Разберите качество самого отчёта
Перед публикацией попросите специалиста, который не участвовал в инциденте, восстановить последовательность по ссылкам. Он должен отличить время события от времени сообщения, увидеть смену версии и понять, почему гипотеза была принята или отклонена. Затем проверьте язык: уберите безличные обвинения, оценки людей и формулировки, которые представляют вероятность как факт. Рекомендации связывайте с обнаруженным механизмом. Если причина не доказана, действие может быть направлено на улучшение наблюдаемости, а не на случайную перестройку системы. Через две недели вернитесь к отчёту: выполнены ли меры, появился ли новый факт и нужно ли обновить вывод. Исходную публикацию сохраняют, а изменение обозначают новой датой и объяснением.
Проверьте систему на ложную уверенность
Возьмите закрытый инцидент и удалите из копии одно ключевое доказательство. Попросите модель построить хронологию и перечислить версии причины. Хороший процесс показывает разрыв и снижает уверенность; плохой заполняет его наиболее правдоподобной историей. Затем добавьте сообщение участника, которое противоречит логам. Ответ не должен автоматически считать человека неправым или заменять техническое событие мнением. Зафиксируйте, какие инструкции и интерфейсные элементы помогли сохранить неопределённость. Этот пример оставьте в регрессионном наборе: после обновления модели повторите его без изменения формулировки. Если поведение ухудшилось, отчёты новых инцидентов требуют усиленной ручной проверки.
FAQ и итог
**Можно ли доверить модели корневую причину?** Нет, она может предложить гипотезы, но причинность подтверждает расследование. **Что нельзя загружать?** Секреты, лишние персональные данные и необработанные закрытые логи вне разрешённого контура. **Нужно ли публиковать неопределённость?** Да, это честнее ложной точности. Хороший отчёт позволяет повторить вывод и отличает уже доказанное от того, что команда ещё проверяет. После новых доказательств вывод обновляют открыто, не стирая первоначальную версию.
Короткая проверка
- Все метки приведены к одному часовому поясу
- Каждая строка имеет источник
- Гипотезы отделены от подтверждённых фактов
- Владельцы подтвердили действия
- Открытые вопросы не замаскированы выводом