Вопрос должен называть кластер и узлы, базу данных и таблицу, движок, раздел, период и часовой пояс, а для запроса — query_id и ожидаемый охват сегментов. Можно спросить о составе частей данных, событиях в журналах запросов и частей, завершённости мутации, расхождениях реплик, восстановимости резервной копии, причине ошибки или полноте миграции.
Вместо «кто удалил данные?» корректнее спросить: «Какие записи system.query_log и system.part_log, сведения о мутациях и события хранилища отражают исчезновение раздела X; с какими именами пользователей, адресами и query_id они связаны?» Эксперт не устанавливает умысел и виновность. До назначения проверяют срок хранения и наличие журналов на всех относящихся к задаче узлах, иначе требование полной исторической картины может быть невыполнимо.