用途：该技能为 ServiceNow ITOM 告警提供结构化的深度调查方法，基于 LEAP 框架：Locate（定位告警、来源与受影响 CI）、Examine（追踪 CI 关系、检查近期变更与历史模式）、Analyze（关联相关告警、指标数据与业务影响）、Propose（依据知识库文章与历史处置给出修复建议）。适用于单个告警或告警簇需要超出基础分诊的根因调查，比 alert-analysis 更聚焦单个告警取证。
主要能力：按 sys_id 或告警编号检索 em_alert 记录；获取 cmdb_ci 详情及 svc_ci_assoc 服务关联；通过 task_ci 与 change_request 查找近期变更；查询同 CI、同节点或同时间窗的其他告警，以及 em_alert_metric_correlation 指标关联和 em_impact 业务影响；检索 kb_knowledge 已发布文章；最后用 work_notes 记录调查结论并确认告警。
使用方式：需激活插件 com.snc.event_management 与 com.snc.cmdb，具备 evt_mgmt_admin、evt_mgmt_user 或 itil 角色，并对 em_alert、em_event、em_impact、cmdb_ci、cmdb_ci_service、change_request、kb_knowledge 有读权限。可通过 MCP 工具（SN-Get-Record、SN-Query-Table、SN-Update-Record、SN-Natural-Language-Search、SN-Execute-Background-Script）或 REST API（如 GET /api/now/table/em_alert）操作。
限制与注意：需按 LEAP 顺序执行，避免过早跳到修复；关联时使用较紧时间窗（告警前 1-2 小时）以减少误报；根因确认并验证修复前不要关闭告警。若告警无 CI 映射、无近期变更、KB 无相关文章或关联告警根因不同，资料给出了相应排查方向。具体环境配置与权限细节以实际部署为准。