Postmortems sem atribuição de culpa: registrar a sequência dos fatos, as causas e as ações corretivas

Objetivo

Aprender com um incidente de modo que o sistema mude, e não apenas o cuidado das pessoas envolvidas, e tornar o aprendizado disponível além do próprio time.

Pré-requisitos

O capítulo «Postmortem Culture» do livro Google SRE cita gatilhos comuns: indisponibilidade ou degradação visível para o usuário acima de um limite, perda de dados de qualquer tipo, intervenção do plantão (rollback, redirecionamento de tráfego), tempo de resolução acima de um limite e falha do monitoramento. O livro descreve a ausência de culpa como princípio da cultura SRE: o documento identifica as causas contribuintes sem apontar comportamento inadequado de uma pessoa ou de um time. São necessários a linha do tempo reconstruída a partir de alertas, logs e histórico do chat, e uma autora que não seja apenas a pessoa que estava de plantão.

Passos

1. Verificar o limite: o incidente atende a algum dos gatilhos combinados? Se não, basta um ticket; postmortems para ninharias desvalorizam o formato.
2. Reconstruir a linha do tempo, com timestamps e formulada em observações («Alerta X às 02:14», «rollback iniciado às 02:31»), não em interpretações.
3. Descrever o impacto em termos de usuário e com números: qual funcionalidade, por quanto tempo, quantas requisições, registros ou clientes.
4. Reunir as causas contribuintes, geralmente várias. A pergunta orientadora é «O que tornou isso possível?», não «Quem fez isso?»; uma pessoa que conseguiu executar um comando que não deveria ter sido possível executar assim é uma constatação sobre o sistema.
5. Registrar o que deu certo, o que deu errado e onde a sorte teve papel: a quase-falha de hoje é a falha de amanhã.
6. Formular ações concretas, atribuídas a uma pessoa e com prazo: um alerta ausente, um teste ausente, uma seção do runbook, um bloqueio no deploy. Ações que eliminam o modo de falha têm prioridade sobre as que pedem mais cuidado.
7. Revisar o rascunho com o time, publicar e acompanhar as ações até a conclusão.

Resultado esperado

Um documento a partir do qual uma pessoa recém-chegada entende a falha e sua correção; ações concluídas; um clima em que as quase-falhas são reportadas.

Limites e base de verificação

Sem culpa não significa sem consequências: as ações têm responsáveis. Um postmortem cujas ações ficam paradas ensina ao time que reportar não adianta. A estrutura e os gatilhos seguem o capítulo citado; não se afirma aqui nenhuma medição sobre o efeito na disposição de reportar.