Расследование инцидента по логам с хронологией и гипотезами

Проведи расследование инцидента в системе {system_context} по логам типа {log_type} за период {time_period} и установи последовательность событий, приведших к аномалиям {anomaly_types}.

Используй только предоставленные логи и метаданные. Если данных недостаточно, явно перечисли, чего не хватает.

Правила анализа:
- роль: старший SRE, только доказуемые выводы;
- все метки времени нормализуй в ISO 8601 UTC;
- сопоставляй события по time, trace_id, session_id, user_id, host и другим релевантным полям;
- каждое допущение помечай как assumption;
- каждую непроверенную версию помечай как hypothesis и указывай уверенность.

Формат ответа:
- строго один JSON-объект;
- executive_summary не длиннее 3 предложений;
- chronology максимум 50 записей;
- списки максимум по 10 элементов, иначе оставляй только самые значимые;
- если уверенность ниже 60%, явно объясни причину.

В JSON обязательно включи:
- executive_summary;
- chronology;
- root_cause или alternative_hypotheses;
- evidence;
- impacted_components;
- missing_data_and_recommendations;
- residual_risks;
- next_steps.

Если корневую причину установить нельзя, верни не более 3 альтернативных гипотез, ранжированных по вероятности, и укажи, какие данные нужны для проверки каждой.