Blameless Postmortem 到底 blameless 到哪一层？只 blame 系统，还是连个人也要"担责"？

背景 做了 3 年 SRE，经历过十几次 P1 级故障复盘，也见过另外两家团队的做法，慢慢发现"blameless postmortem"这个词，每家落地姿势差异极大。有人把它当成"甩锅防火墙"，有人把它当成"真·无责复盘"，还有人把它当 KPI 反噬的遮羞布——同一个词，三种味道。

常见分歧（我观察到的三种主流姿势）

1. 完全 blameless：复盘只写"系统缺口 + 流程缺口"，个人零责任，报告里不出现具体人。优点：敢说真话；缺点：当事人可能觉得"这事跟我没关系，下次还会犯"。
2. 半 blameless：系统/流程为主，但要求相关人写"我的改进项"（不是"我的错误"）。这是我现在团队用的方式。
3. 传统 blame：重大事故走绩效，复盘文档要归档到 HR。优点：敬畏感强；缺点：下次故障大家先想的是"怎么少背锅"，而不是"怎么少出事"。

我的倾向与理由 我倾向"blameless 到决策层，但保留个人成长项"：

• 系统层面的决策（架构选型、容量规划、发布策略）一律 blameless，因为单点决策本身就是被环境塑造的；
• 个人层面保留"我下次怎么做不同"的成长项，但不进入绩效；
• 唯一例外：明知故犯（比如绕过 change freeze 强推上线）走纪律流程，这不属于复盘范畴。 理由：blameless 的价值在于"降低说真话的成本"，一旦和绩效挂钩，复盘第一句话就会变成"我当时的判断是对的，只是运气不好"。

想听大家在什么场景下怎么选

• 你们团队的 postmortem 模板里有没有"责任到人"这一栏？
• 完全 blameless 的团队，怎么防止它变成"复盘走形式、改进项没人跟"？
• 反过来，走 blame 的团队，怎么避免复盘文档变成"甩锅证据链"？
• 有没有把"个人成长项"和"绩效"彻底解耦、且跑通超过一年的实践？想抄作业。

（这不是要吵出对错，是想收集大家在不同规模 / 不同事故文化下的真实做法，我自己也在迭代这套机制。）