itsm-suggested-steps

建议的解决步骤

概述

此技能通过分析事件的类别、症状和描述，并与历史相似工单、知识库文章以及相关变更或问题进行交叉比对，为事件生成可执行的解决步骤。它为 Agent 提供结构化的故障排查计划。

• 分析事件描述和症状，以识别问题领域
• 在知识库中搜索包含已验证解决方案的相关文章
• 查找历史相似事件，并提取成功的解决路径
• 检查可能导致问题的相关变更或已知问题
• 生成按优先级排序、包含置信度级别的分步解决计划
• 如果没有找到可靠的解决方案，则提供后备升级指引

使用时机： 当 Agent 接手事件并需要解决指引时，尤其是遇到不熟悉的问题类型或标准运行手册不适用时。

前提条件

• 角色： itil 或 incident_manager
• 插件： com.snc.incident（事件管理）、com.glide.knowledge（知识管理）
• 访问权限： 对 incident、kb_knowledge、sn_si_incident、change_request、problem 具有读取权限
• 知识： 基本了解事件类别和所在组织的技术栈
• 数据： 历史已解决事件和已发布的知识库文章

操作步骤

步骤 1：分析目标事件

检索事件并提取关键诊断信息。

使用 MCP（Claude Code/Desktop）：

Tool: SN-Query-Table
Parameters:
  table_name: incident
  query: number=[incident_number]
  fields: sys_id,number,short_description,description,category,subcategory,priority,impact,urgency,cmdb_ci,assignment_group,caller_id,contact_type,state
  limit: 1

使用 REST API：

GET /api/now/table/incident?sysparm_query=number=[incident_number]&sysparm_fields=sys_id,number,short_description,description,category,subcategory,priority,impact,urgency,cmdb_ci,assignment_group,caller_id,contact_type,state&sysparm_limit=1

从事件中提取：

• 主要症状：哪些功能损坏或无法正常工作
• 错误消息：提及的具体错误代码或消息
• 受影响的系统：受影响的 CI、应用程序或服务
• 用户环境：操作系统、浏览器、位置、连接类型
• 触发事件：问题开始前发生了什么变化或事件

步骤 2：在知识库中搜索解决方案

查询与事件症状和类别匹配的已发布知识库文章。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: kb_knowledge
  query: workflow_state=published^active=true^short_descriptionLIKE[keyword1]^ORshort_descriptionLIKE[keyword2]^ORtextLIKE[keyword1]
  fields: sys_id,number,short_description,text,kb_category,rating,sys_view_count,workflow_state
  limit: 10

使用 REST API：

GET /api/now/table/kb_knowledge?sysparm_query=workflow_state=published^active=true^short_descriptionLIKE[keyword1]^ORshort_descriptionLIKE[keyword2]^ORtextLIKE[keyword1]&sysparm_fields=sys_id,number,short_description,text,kb_category,rating,sys_view_count&sysparm_limit=10

按相关性排列知识库文章：

排名	文章	相关性	评分	浏览量
1	KB0012345	92% - 症状完全匹配	4.5/5	1,240
2	KB0012350	78% - 类别相关	4.2/5	890
3	KB0012367	65% - 关键词部分匹配	3.8/5	450

步骤 3：查找历史相似事件

查询描述相似的已解决事件，寻找经验证的解决路径。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: incident
  query: state=6^category=[category]^short_descriptionLIKE[primary_keyword]^resolved_atONLast 180 days@javascript:gs.daysAgoStart(180)@javascript:gs.daysAgoEnd(0)
  fields: sys_id,number,short_description,close_notes,close_code,resolution_code,resolved_by,category,subcategory,assignment_group
  limit: 15

使用 REST API：

GET /api/now/table/incident?sysparm_query=state=6^category=[category]^short_descriptionLIKE[primary_keyword]^resolved_atONLast 180 days@javascript:gs.daysAgoStart(180)@javascript:gs.daysAgoEnd(0)&sysparm_fields=sys_id,number,short_description,close_notes,close_code,resolution_code,resolved_by,category,subcategory,assignment_group&sysparm_limit=15

分析相似事件的 close_notes，提取常见解决步骤。

步骤 4：检查相关变更和问题

确定近期变更或已知问题是否导致或关联此事件。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: change_request
  query: cmdb_ci=[incident_cmdb_ci]^stateINimplemented,review^end_dateONLast 7 days@javascript:gs.daysAgoStart(7)@javascript:gs.daysAgoEnd(0)
  fields: sys_id,number,short_description,state,end_date,type,risk
  limit: 5

Tool: SN-Query-Table
Parameters:
  table_name: problem
  query: active=true^cmdb_ci=[incident_cmdb_ci]^ORcategory=[incident_category]
  fields: sys_id,number,short_description,known_error,workaround,state
  limit: 5

使用 REST API：

GET /api/now/table/change_request?sysparm_query=cmdb_ci=[incident_cmdb_ci]^stateINimplemented,review^end_dateONLast 7 days@javascript:gs.daysAgoStart(7)@javascript:gs.daysAgoEnd(0)&sysparm_fields=sys_id,number,short_description,state,end_date,type,risk&sysparm_limit=5

GET /api/now/table/problem?sysparm_query=active=true^cmdb_ci=[incident_cmdb_ci]^ORcategory=[incident_category]&sysparm_fields=sys_id,number,short_description,known_error,workaround,state&sysparm_limit=5

步骤 5：检查事件情报数据

如果可用，从事件情报表中检索 AI 生成的见解。

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: sn_si_incident
  query: incident=[incident_sys_id]
  fields: sys_id,incident,similar_incidents,suggested_resolution,root_cause_analysis
  limit: 1

使用 REST API：

GET /api/now/table/sn_si_incident?sysparm_query=incident=[incident_sys_id]&sysparm_fields=sys_id,incident,similar_incidents,suggested_resolution,root_cause_analysis&sysparm_limit=1

步骤 6：生成解决步骤

将调查结果整理为结构化的解决计划：

=== SUGGESTED RESOLUTION STEPS ===
Incident: INC0067890
Issue: Outlook not syncing emails on Windows 11 laptop
Category: Software > Email

RELATED FINDINGS:
- KB Article: KB0012345 - "Outlook Sync Issues on Windows 11" (92% match)
- Similar Incidents: 14 resolved in last 90 days (avg resolution: 45 min)
- Recent Change: CHG0045678 - Exchange server patch applied 3 days ago
- Known Problem: None

RESOLUTION PLAN:

Step 1: Verify Connectivity (Confidence: HIGH)
  Action: Confirm user has network/internet access. Test by opening a browser.
  Source: Standard troubleshooting baseline
  Est. Time: 2 minutes

Step 2: Restart Outlook in Safe Mode (Confidence: HIGH)
  Action: Close Outlook. Run "outlook.exe /safe" from Run dialog.
  Check if syncing resumes in safe mode.
  Source: KB0012345 (Step 1)
  Est. Time: 3 minutes

Step 3: Clear Outlook Cache (Confidence: HIGH)
  Action: Close Outlook. Navigate to %localappdata%\Microsoft\Outlook\
  Delete .ost file. Reopen Outlook to rebuild cache.
  Source: KB0012345 (Step 3), INC0067001 close notes
  Est. Time: 10 minutes

Step 4: Check Exchange Connectivity (Confidence: MEDIUM)
  Action: Run "Test-OutlookConnectivity" in PowerShell or use
  Microsoft Remote Connectivity Analyzer. Verify autodiscover is working.
  Source: 8/14 similar incidents resolved at this step
  Est. Time: 5 minutes

Step 5: Review Recent Change Impact (Confidence: MEDIUM)
  Action: Check if CHG0045678 (Exchange patch) introduced compatibility
  issues. Contact Exchange team if Steps 1-4 do not resolve.
  Source: Change correlation
  Est. Time: 10 minutes

ESCALATION PATH:
If Steps 1-5 do not resolve: Escalate to Messaging Team (Exchange Support)
with diagnostic results from each step documented in work notes.

步骤 7：将解决步骤添加到事件

将建议步骤作为工作备注写入事件。

使用 MCP：

Tool: SN-Add-Work-Notes
Parameters:
  sys_id: [incident_sys_id]
  work_notes: "[generated resolution plan from Step 6]"

使用 REST API：

PATCH /api/now/table/incident/{sys_id}
Content-Type: application/json

{
  "work_notes": "[generated resolution plan from Step 6]"
}

步骤 8：跟踪解决效果

事件解决后，将实际解决方案与建议步骤进行比较：

使用 MCP：

Tool: SN-Query-Table
Parameters:
  table_name: incident
  query: sys_id=[incident_sys_id]^state=6
  fields: sys_id,number,close_notes,close_code,resolution_code
  limit: 1

跟踪指标：

• 步骤准确性：实际解决问题的是哪条建议步骤
• 步骤顺序：Agent 是否按建议顺序操作，还是跳过了某些步骤
• 节省时间：采用建议后的解决时间与基准时间相比如何
• 覆盖率：建议适用的事件所占比例

工具使用

工具	用途	使用时机
SN-Natural-Language-Search	以自然语言搜索知识库文章和事件	根据症状进行发现
SN-Query-Table	对事件、知识库、变更和问题进行结构化查询	收集核心数据
SN-Update-Record	使用解决步骤更新事件	应用建议
SN-Add-Work-Notes	将解决方案计划作为工作备注发布	为 Agent 提供指导
SN-Get-Table-Schema	探索表字段和关系	设置和发现

最佳实践

1. 按置信度排列步骤 -- 将最可能有效的修复方法放在最前面，以缩短解决时间
2. 引用来源 -- 引用知识库文章编号和类似事件编号，以增强可信度
3. 注明预计耗时 -- Agent 需要了解每个步骤所需的时间，以便规划 SLA
4. 提供升级途径 -- 建议步骤无法解决问题时，务必提供备用方案
5. 检查近期变更 -- 许多事件由近期变更引起；务必进行关联分析
6. 将步骤限制在 5-7 步 -- 超过 7 步会让 Agent 不知所措；应将复杂问题拆分为多个阶段
7. 使用通俗语言 -- 根据 Agent 的技能水平编写步骤，而不是面向专家
8. 发现缺漏时更新知识库 -- 如果没有知识库文章涵盖该问题，请标记以便创建知识
9. 使用 close_notes 进行验证 -- 将建议步骤与实际解决方案进行比较，以持续改进

故障排查

###“未找到类似事件”

原因： 问题是新出现的，或者搜索关键词过于具体 解决方案： 仅使用类别、不加关键词来扩大搜索范围，或按 CI 搜索。也可考虑搜索问题记录以查找已知错误。

###“知识库文章已过时”

原因： 文章引用了旧软件版本或已弃用的流程 解决方案： 标记文章并交由知识经理审核。优先采用近期类似事件中的步骤，而不是旧知识库文章中的步骤。

###“建议步骤与实际问题不符”

原因： 事件描述含糊或具有误导性 解决方案： 建议 Agent 在继续操作前向来电者收集更多信息。在解决方案计划中添加“步骤 0：与来电者核实症状”。

###“类似事件太多，难以确定最佳解决方案”

原因： 常见的问题类型存在多种有效的解决途径 解决方案： 按 close_code 和 resolution_code 对类似事件分组。根据出现频率排列解决途径（最常见的置信度最高）。

示例

示例 1：VPN 连接失败

事件： INC0067891 -“无法连接到 VPN，错误 812”

建议步骤：

1. 确认 VPN 客户端版本为 4.10+（KB0034567，置信度高）
2. 检查用户在 Active Directory 中的凭据是否已过期（INC0065432 模式，置信度高）
3. 测试备用 VPN 网关终端节点（KB0034570，置信度中）
4. 清除 VPN 客户端缓存并重新进行身份验证（12 起类似事件中有 5 起，置信度中）
5. 将问题升级至 Network Operations，并附上错误 812 的诊断日志（备用方案）

示例 2：SAP 登录问题

事件： INC0067892 -“SAP GUI 显示‘无法登录’错误”

建议步骤：

1. 在监控仪表板上检查 SAP 系统状态（标准检查，置信度高）
2. 确认用户未在 SU01 事务中被锁定（KB0089012，置信度高）
3. 检查近期变更 CHG0055123（SAP 内核更新）是否影响登录参数（变更关联分析，置信度中）
4. 重置 SAP 用户密码并解锁账户（9 起类似事件中有 7 起，置信度高）
5. 将问题升级至 SAP Basis 团队，并附上 SU53 授权跟踪（备用方案）

示例 3：知识库中没有相关内容的新问题

事件： INC0067893 - “最新更新后，新采购工具显示空白屏幕”

建议步骤：

1. 清除浏览器缓存，并尝试无痕模式（常规 Web 故障排查，中等置信度）
2. 使用其他浏览器（Chrome/Edge/Firefox）进行测试（常规方法，中等置信度）
3. 未找到知识库文章——标记为知识缺口（知识/差距分析）
4. 检查近期部署：CHG0055200 “Procurement v3.2 release”（变更关联，高置信度）
5. 向应用支持团队升级处理，并附上浏览器控制台错误（备用方案）

注意： 由于没有相关知识库内容，也没有类似历史事件，建议的解决方案置信度较低。建议在问题解决后创建一篇知识库文章。

相关技能

• itsm/case-auto-resolve - 建议步骤置信度极高时自动解决
• itsm/predict-assignment - 生成步骤前，将问题路由到正确的组
• itsm/incident-triage - 解决问题前进行分诊和优先级排序
• knowledge/article-generation - 根据成功的解决方案创建知识库文章
• knowledge/content-recommendation - 查找相关知识库内容的替代方法
• itsm/incident-sentiment - 检查情绪倾向，优先为需要先获取建议的事件提供建议