故障结束后直接讨论“谁做错了什么”，很容易让复盘变成观点争论。先建立统一时间线，可以把观察到的事实与事后推测分开。

记录关键事件

时间线应包含第一次异常、告警触发、人工确认、缓解操作、服务恢复和验证完成。每个事件尽量关联日志、监控或变更记录。

区分触发因素与根因

一次发布可能触发故障，但真正的问题可能是缺少容量边界、回滚不可用或测试覆盖不足。修复触发因素并不代表系统性风险已经消失。

改进项必须可跟踪

每项改进应有负责人、范围和完成条件。模糊的“加强监控”无法验收，具体到指标、阈值和演练场景才有执行价值。