incident-triage

事件分诊

概述

使用此技能对新收到的事件进行分类、验证优先级、选择指派组，并记录分诊决定。

前提条件

• 具有事件记录的读取和更新权限
• 具有指派组的读取权限
• 了解组织的影响、紧急程度和升级规则

流程

步骤 1：识别需要分诊的事件

查询未指派或处于“New”状态的活动事件。

Tool: SN-Query-Table
Parameters:
  table_name: incident
  query: active=true^priorityIN1,2^assigned_toISEMPTY
  fields: number,short_description,description,impact,urgency,category,priority
  limit: 20

步骤 2：分析每个事件

对于每个事件，确定：

1. 类别 — 将关键词匹配到类别：

   • 网络：“network”、“connectivity”、“VPN”、“wifi”、“firewall”
   • 硬件：“laptop”、“monitor”、“keyboard”、“printer”、“device”
   • 软件：“application”、“crash”、“error”、“update”
   • 电子邮件：“email”、“outlook”、“mailbox”、“calendar”
   • 安全：“password”、“access”、“locked”、“breach”、“phishing”
   • SAP/ERP：“SAP”、“ERP”、“finance system”、“procurement”

2. 优先级 — 使用影响/紧急程度矩阵：

   影响 ↓ / 紧急程度 →	高（1）	中（2）	低（3）
   高（1）	P1	P2	P3
   中（2）	P2	P3	P4
   低（3）	P3	P4	P5

3. 升级触发条件 — 出现以下任一情况时提升至 P1：

   • 提及高管或影响收入
   • 确认发生安全漏洞或网络钓鱼
   • 影响多名用户的服务中断
   • SLA 有违约风险

步骤 3：确定指派组

将类别映射到指派组：

类别	指派组
网络	Network Operations
硬件	Desktop Support
软件	Application Support
电子邮件	Messaging Team
安全	Security Operations
SAP/ERP	ERP Support
未知	Service Desk L2

查找组的 sys_id：

Tool: SN-Query-Table
Parameters:
  table_name: sys_user_group
  query: name=Network Operations
  fields: sys_id,name
  limit: 1

验证检查点： 确认查询恰好返回一条结果，且包含有效的 sys_id。如果未找到指派组，则回退到“Service Desk L2”，并在工作备注中记录不匹配情况。

步骤 4：指派事件

Tool: SN-Assign-Incident
Parameters:
  sys_id: [incident_sys_id]
  assignment_group: Network Operations
  work_notes: "Triage: Assigned to Network Operations based on keyword analysis (VPN connectivity issue). Priority validated as P2 per impact/urgency matrix."

验证检查点： 指派后，查询事件以确认 assignment_group 和 state 已更新。如果更新失败（权限不足、状态为只读），则在工作备注中记录错误，并标记为需人工审核。

步骤 5：记录分诊决定

Tool: SN-Add-Work-Notes
Parameters:
  sys_id: [incident_sys_id]
  work_notes: "TRIAGE: Category=Network (VPN, connectivity). Impact=2 Urgency=1 → P2. Assigned Network Operations. Next: investigate VPN tunnel status."

故障排查

问题	原因	解决方法
未找到事件	查询条件过于严格	放宽查询条件；检查其他状态
未找到指派组	名称不匹配	使用 LIKE 运算符：nameLIKENetwork
权限不足	缺少 itil 角色，或事件为只读	验证角色；检查事件状态

示例

网络问题分诊

事件 INC0012345 —“无法在家连接 VPN”

• 关键词：“VPN”、“connect” → 网络
• 影响：中（单个用户）/ 紧急程度：高（无法工作）→ P2
• 指派：Network Operations

Tool: SN-Assign-Incident
Parameters:
  sys_id: abc123
  assignment_group: Network Operations
  work_notes: "Triage: VPN connectivity issue assigned to Network Ops. P2 priority."

安全升级

事件 INC0012346 —“点击了带附件的可疑电子邮件”

• 关键词：“suspicious”、“email”、“clicked” → 安全 → 升级至 P1
• 指派：Security Operations — 通知安全经理

Tool: SN-Update-Record
Parameters:
  sys_id: def456
  table_name: incident
  fields: { priority: 1, assignment_group: Security Operations, work_notes: "Triage: Escalated to P1. Phishing indicator. Security Ops notified." }

最佳实践

• 在接受计算得出的优先级之前，分别验证影响和紧急程度。
• 更新事件之前，确认指派组存在。
• 记录每项分诊决定的依据和理由。