Vibe Coding 故障恢复 Runbook：把诊断、止损与回退写成可演练路径

Runbook 不是把作者上次敲过的命令贴进 Wiki。真实事故里，值班者可能第一次接触该服务，监控只显示部分症状，生产权限需要临时申请，复制错一个环境名就会扩大损害。由 AI 根据代码“补全”一套看似完整的恢复步骤尤其危险：命令语法可能正确，资源身份、数据后果和停止条件却是猜的。

Google SRE 的事故响应材料把指挥、沟通和运营职责分开，说明恢复不只是技术排障。本文聚焦 Vibe Coding 项目中的操作路径：让一个未参与实现的人，在明确授权和安全边界内把用户影响从已知状态带回可验证状态。

从可观察症状进入，而不是从猜测根因进入

Runbook 标题写服务、环境、故障类别和适用版本。入口使用值班者真正能看到的信号，例如“写入成功率下降且队列年龄上升”“新版本后登录回调 5xx”，不要写“数据库连接池泄漏”这种未经诊断的根因。每个入口列出可能误报、依赖仪表板和首个确认探针。

首页还要给出 owner、值班与事故指挥联系方式、权限申请方式、数据敏感级别、预计风险和何时立即升级。链接必须指向稳定入口而不是个人书签。若依赖面板或命令只在某网络可用，提前说明访问前提；事故中才发现需要 VPN 或硬件令牌，Runbook 已经失败。

先冻结安全不变量：不删除唯一副本，不在未确认租户上执行写操作，不绕过审计，不把秘密贴进聊天，不在未知幂等语义下重放副作用。任何步骤需要破例时，由谁批准、证据保存在哪里、何时回收权限都要明确。Vibe Coding 的速度不能把这些条件压缩成一句“必要时谨慎执行”。

每一步包含目的、环境确认、精确命令或界面路径、所需权限、预期输出、异常分支和停止条件。先显示当前主体、账号、区域、命名空间和发布版本，再查询状态。不要把读取、修改和验证塞进一条管道，也不要用宽泛资源选择器求省事。

诊断按成本和侵入性递增：确认用户影响与时间窗，检查最近发布和配置，再看依赖、容量与错误类别，最后才进行昂贵查询或调高采样。方法可以借鉴调试假设日志，每个分支写清它区分哪两个假设。没有辨别力的“多看几张图”只会消耗事故时间。

日志命令固定安全字段和时间范围，默认不输出请求正文、token 或个人数据。需要保存命令证据时，沿用命令转录脱敏的采集前边界。若查询本身可能加重数据库或日志平台压力，给出行数、时间和并发上限。

止损目标是快速降低用户影响，例如暂停有害发布、限制入口、切换已验证降级、隔离故障 cohort。每个动作写明会牺牲什么能力、如何观察效果、最大持续时间和撤销命令。熔断全部流量可能保护依赖，却让所有用户失败；必须由预先批准的影响门槛触发。

恢复把系统带回受支持状态，可以回滚制品、恢复配置、重建可再生缓存、扩容或从已验证备份恢复。动作前检查兼容性和数据水位，动作后验证关键用户路径、积压趋势、错误类别与数据一致性。旧镜像不一定兼容新 schema，因此原型产品化退出门中的制品和回滚证据应在上线前准备，而不是事故时临时推断。

根治属于事故后变更。不要在高压现场让 Agent 顺手重构、升级依赖和修告警。只有最小、可回滚且经过快速验收的修复可以进入紧急发布；其余问题记录 owner、优先级和证据，事故稳定后走正常改动门。

分支需要明确决策点。例如回滚后错误下降但数据校验失败，应停止扩大流量并升级数据 owner；依赖恢复但本地队列仍增长，应保留限流并检查消费者；任何一步出现未记录状态，都回到安全姿态并请求第二名操作者，而不是让 AI 选择“最可能”的下一条命令。

服务进程 active、Pod ready 或首页 200 只是局部信号。恢复验收至少覆盖原症状消失、关键任务完成、错误与延迟回到批准区间、队列开始收敛、数据对账无新增差异、临时权限和开关有撤销计划。观察窗口与流量样本预先写定，不能看到一分钟绿色就宣布结束。

事故时间线记录触发信号、执行者、输入版本、动作、输出摘要、决定与撤销。Runbook 本身不是根因报告；恢复后再通过修复验收与根因闭环证明问题真正关闭。若只能缓解，则状态标为 mitigated，用户影响和剩余风险继续公开。

首次发布前，由未写 Runbook 的值班者在隔离但生产形态相近的环境演练。注入一个已知故障，只提供入口症状，观察他是否能拿到权限、确认环境、选择分支、停止危险动作并完成恢复。作者只能记录卡点，不能在旁边口头补步骤；每次口头提示都代表文档缺陷。

演练收据绑定 Runbook 摘要、服务版本、场景、操作者、权限路径、实际耗时、偏离步骤、恢复结果和清理状态。定期轮换故障与操作者；发布拓扑、权限、命令、仪表板或依赖变化时提前失效。无法在安全环境执行的破坏性步骤至少做桌面推演和只读探针验证，并明确未实测。

AI 可以检查断链、命令参数和版本差异，也能从事故记录提出候选更新，但每一条生产动作仍由服务 owner 与值班 owner 共同接受。最终版本经过编程 Agent 改动验证门，防止只更新说明却没有对应能力。

可靠 Runbook 的完成标准不是“内容详尽”，而是压力下仍能确定下一步、知道何时停止，并能证明系统和数据都恢复。把症状、权限、动作后果和演练收据连起来，Vibe Coding 才把运行知识变成可执行资产，而不是一段只能由作者解释的历史命令。