锁定事故现场原始信息
打开你刚导出的《6月28日支付接口中断事件原始日志.txt》→Ctrl+A全选→复制整段内容（含时间戳、主机名、命令行、HTTP状态码、堆栈片段）→粘贴到Copilot输入框最开头，不加任何说明文字。
这一步是基础。Copilot只有看到带时区偏移（+08:00）、带INC编号、含sudo命令和VM名称的原始文本，才会真正把它们当作不可替换的锚点。如果只说“参考日志”，它大概率会自作主张进行归纳和概括。
【复制内容必须包含至少一个完整错误行，例如：‘[ERROR] 2026-06-28T14:23:17+08:00 pay-api-03 ja va.lang.NullPointerException: Cannot invoke “com.pay.dto.Order.getId()” because “order” is null’】
强制保留关键字段类型
有两种方法可以组合使用，效果更可靠。
方法一：在粘贴的日志下方，直接写指令——
“以下字段禁止改写、禁止补全、禁止转义：时间戳格式（含T和+08:00）、INC编号（如INC-2026-7891）、VM名称（如pay-api-03）、错误类名（如ja va.lang.NullPointerException）、HTTP状态码（如500）、命令行（如sudo reboot -f）。”
方法二：用
注意：
绑定复盘角色与交付场景
第一步：明确写出执行身份与汇报对象——
“你是一位SRE工程师，正在向CTO和运维总监提交本次事故的正式复盘材料，需用于后续审计归档。”
第二步：指定输出载体与格式约束——
“输出必须为Word可直接粘贴的纯文本，含‘事故时间’‘影响范围’‘根因定位’‘修复动作’‘验证方式’五栏表格，每栏内容须从原始日志中提取字段，不得新增解释性语句。”
第三步：嵌入真实卡点要求——
“‘修复动作’栏必须精确到人名+时间点+命令行，例如‘李工在2026-06-28T15:12:00前在pay-api-03上执行systemctl restart pay-api.service’；若原始日志未提人名，则留空，不准补‘相关同事’。”
这个流程走下来，Copilot输出的复盘报告才能原样保留时间戳、系统模块名、错误代码、责任人姓名、具体操作动作等不可替换的关键细节。而不是被抽象成“某服务异常”“相关人员处理”——比如“2026-06-28T14:23:17+08:00在Azure门户→订阅‘Prod-East-US’→资源组‘rg-pay-svc-01’→VM ‘pay-api-03’上执行了sudo reboot -f，触发监控告警INC-2026-7891”，不会被简化为“重启服务器导致告警”。