lakernote Incident RCA
- 先确认事故时间范围、受影响用户或服务、当前是否仍在发生以及已有缓解措施；调查默认只读，不能把诊断授权扩大成生产变更授权。
- 用 requestId、traceId、会话 ID、版本、主机或时间戳关联日志、指标、Trace、部署和代码变更，统一时区并保留原始证据位置。
- 建立按时间排序的关键事件和少量可证伪假设；每个结论都写出支持证据、反证和仍缺少的信息。
- 区分触发事件、直接技术原因、系统性根因和放大因素；最后修改人、代码所有者与根因责任不是同一概念。
- 将临时缓解、永久修复、监控补强和流程改进分开。行动项必须可验证，并说明优先级、建议负责人角色和完成条件。
- 最终输出影响、时间线、根因、证据、处置、恢复验证、行动项和置信度；证据不足时明确保留候选结论。