用途：针对单个运维事故或异常，确认影响范围与有依据的原因，并给出有界的恢复或补救选项。执行过程中不修改服务、配置、凭据、持久化数据或事故系统。
主要能力：建立事故边界（受影响服务、环境、用户、症状、时间窗与时区、严重度证据、调查授权）；从授权只读指标、日志、链路和部署/变更历史构建带来源与时间戳的时间线，区分事件时间与入库时间；在入口、依赖、状态与资源边界上追踪故障；排列候选原因并给出可被推翻的观察项；区分症状、促成条件、有支撑的原因与未决假设。
使用方式：以检查清单作为完成标准，逐项内部标记为 PENDING、PROVEN（有证据）、CLEARED（有证据表明条件不存在）或 UNPROVEN（存在缺口）；读取、委派、工具失败、退出码为零或自报成功均不算证据，只有观察到的结果才算。按用户语言输出五个字段：Result（先给结论标记）、Scope、Evidence、Verification、Completion，每项事实只陈述一次。
结论标记：DIAGNOSED（证据支持因果解释且有界行动选项，不代表事故已解决）、INCONCLUSIVE（调查缩小了范围但原因或影响未证实）、BLOCKED（缺少事故身份、授权证据或安全调查能力）。
适用场景：线上事故复盘、部署相关性排查、可观测性缺口梳理；需要只读、不触碰生产环境时。
限制：不得执行线上修复、生产探针或未授权负载；遥测查询须限定事故窗口与范围并脱敏；紧急性不构成恢复变更的授权；无证据时不得编造分母；关联部署不等于因果证明；没有可回答问题时应写明确切问题并按规则给出结论，不得等待或猜测。以上依据公开技能资料整理，其他收费、价格或平台支持信息暂未提供。