Как разбирать инцидент, чтобы это привело к изменениям, а не к поиску виноватого?

Разбор строят вокруг системы, а не вокруг человека. Основа документа — точная хронология: когда началось, когда заметили, когда смягчили, когда восстановили; из неё сразу видно, что чинить — обнаружение, диагностику или само восстановление. Дальше перечисляют факторы, которые сложились вместе: одной причины у распределённого отказа почти не бывает. Формулировка «человеческая ошибка» — не вывод, а начало разговора: почему система позволила сделать такое действие и почему последствия не были заметны сразу. Заканчивается разбор конкретными действиями, у каждого владелец и срок; их немного, и они разделены на «предотвратить повтор» и «заметить и смягчить быстрее». Документ, который никто не прочитал и по которому ничего не изменилось, — потраченное время.