用途：把分散的事故证据快速整理成可核查的排序图景，供负责人决策。它只写一份事故笔记并提出建议，不执行操作；代码修复走正常流程。
输入：证据（告警、错误信息、日志、图表、截图、用户报告、时间戳，由用户提供；没有就先问首个告警及其时间）；环境（生产、预发或本地，生产仅基于粘贴的证据）；预发只读检查需本次会话明确批准及所用 SSH 访问；近期变更可用 gh pr list --state merged --base <branch> --search "merged:>=<start>" --json number,title,mergedAt,mergeCommit 和 gh run list --branch <branch> --json workflowName,conclusion,createdAt,headSha 读取 GitHub。
规则：绝不访问生产；预发只读且需批准，任何变更步骤只提议不执行；缓解措施须写明执行人、预期效果、风险和回滚方式；每个假设列出支持证据、反对证据和一条确认检查，按证据而非熟悉度排序；疑似入侵立即告知负责人启动安全流程，笔记中不含攻击细节，不测试漏洞；首轮证据内给出初步排序，随答案细化；事实与猜测分开；引用证据前用 <redacted> 替换令牌、密钥、Cookie、会话 ID、密码、邮箱和客户标识；笔记及输出零署名。
流程：确定窗口（首次异常时间、最后已知正常时间、影响范围）；合并证据、已合并 PR 和部署运行成一条有序时间线；列出 2–4 个假设，至少一个非近期变更（共享依赖、第三方、流量或数据形态、过期证书/令牌/配额），多服务同时故障时优先共享依赖；运行可执行的检查（读代码、gh、已批准的预发）；按侵入性从低到高提出缓解措施并指明修复路径；写入 <artifacts-root>/specs/incidents/<YYYY-MM-DD>-<slug>.md，同一事故只维护一份笔记，解决时追加 ## Resolution。
输出：笔记路径，最多 3 条要点（首要假设及确认检查、推荐的首个缓解措施及执行人、给负责人的一个问题），可选 1–3 个后续技能建议。
限制：不接触服务器、生产系统或预发写入，仅在批准范围内读取；严重级别由负责人确认；资料未提供具体收费、平台支持范围等信息。