現場故障證據紀錄與交接手冊

目標

• 在無法上傳資料的環境中，仍能帶回足夠的 log、照片與狀態資訊。
• 讓下一線工程師或客戶可以重現現場狀況，避免口頭轉述造成資訊落差。

前置準備基準

1. 授權邊界確認：進場前確認可操作設備、可執行命令範圍與可帶出資料類型。
2. 工具版本固定：離線工具包中的腳本與工具版本需固定，避免同類問題不同結果。
3. 事件編號規則：每次現場排障先建立事件編號，所有照片、log、筆記都沿用同一編號。
4. 資料保護規則：可攜式儲存裝置需加密；若為特殊管控場域，現場先寫入核准受控暫存媒體，並在內部受控環境完成複製留存。

攜帶工具

• USB 隨身碟或可攜式儲存媒體（內含常用指令腳本與便攜版工具）；特殊管控場域則使用核准受控暫存媒體，離場後直接帶回內部受控環境複製。
• 序列線、RJ45 測試器、筆記型電腦。
• 私有行動網路或可攜式路由器，除非客戶限制，通常可自備網路與設備。

紀錄流程

1. 進場前：確認需求、授權與可操作範圍。
2. 現場紀錄：依紀錄表填寫設備型號、狀態燈號、錯誤訊息；必要時拍照或錄影。
3. 指令 / log 擷取：使用自備筆電與腳本快速收集系統資訊，依場域規範寫入 USB 或指定暫存媒體；若為管控場域，使用核准受控暫存媒體並於返回內部後直接複製到受控環境。
4. 動作與結果：每做一步（更換線材、重啟設備）都記錄時間與結果，可直接輸入工單或共享文件。
5. 交接：返回辦公室後整理成 PDF，附上照片與 log 清單，並在工單或內部系統註記。

常見問題與排除順序

1. 現場可見故障但 log 不足：先用最小侵入方式收集核心命令輸出，再決定是否做高風險操作。
2. 多人同時操作導致紀錄混亂：統一由單一紀錄者管理時間軸與步驟編號。
3. 現場無網路無法回傳：先以加密儲存媒體離線保存，返回受控環境再上傳。
4. 重啟後狀態改變無法還原：進行重啟前務必拍照與匯出當前狀態，保留還原判讀依據。

技術檢核清單

1. 進場前已確認授權範圍與資料帶出規則。
2. 所有證據（log/照片/影片）可對應同一事件編號。
3. 每一步操作均有時間戳與結果紀錄。
4. 離線資料已加密並在受控環境完成封存。
5. 後續工程師可依文件完整重現現場狀態。

參考資料

• NIST SP 800-86 (Digital Evidence)
  https://csrc.nist.gov/publications/detail/sp/800-86/final
• SRE Incident Response Practices
  https://sre.google/sre-book/managing-incidents/