在企业IT运维场景中，故障排查和报修流程往往是割裂的——监控系统告警、日志平台查询、工单系统报修，三套体系各自为政。但借助扣子（Coze）这类低代码工作流平台，完全可以将Zabbix、ELK、ITSM三套数据源打通，构建一条从故障发现到自动报修的智能链路。整个流程的核心在于：先打通数据通路，再通过多层意图识别分类故障，自动执行API排查并生成结构化报告，按策略创建工单并通知责任人，最后还可以为终端设备提供自助排查引导。

准备扣子工作台与接入企业IT数据源

企业通常已经部署了监控系统（如Zabbix、Prometheus）、日志平台（如ELK）、ITSM工单系统（如Jira Service Management或自研报修平台）。要在此基础上构建智能排查流程，第一步就是打通数据通路。打开扣子正式控制台，新建Bot，选择「空白工作流」，然后进入「数据连接」页签。

这里需要添加三个关键数据源。第一，配置Zabbix API连接，填入企业Zabbix地址和API Token，勾选「读取主机状态、触发器告警、问题事件」权限。第二，接入ELK集群的Read-Only账号，指定索引模式为logstash-*和filebeat-*。第三，在「外部服务」中新增ITSM接口，上传Swagger JSON文件，或者手动填写POST /api/v1/incidents的请求模板，包含title、description、priority、assignee_group、impact_level等字段。

必须验证Zabbix连接成功后再进行下一步，否则后续所有告警识别将失效。

设计多层故障意图识别与自动分类逻辑

用户可能输入“打印机连不上”“数据库慢得打不开”“ERP登录提示502”等自然语言。扣子需要准确识别设备类型、故障层级与紧急程度。在Bot的「逻辑编排」中新建「意图识别节点」，启用内置NLU模型，再叠加三条规则：

规则一：若用户消息含“宕机、死机、无法启动、ping不通、端口拒绝”等词，直接归类为【硬件/基础设施层故障】，优先级自动标为P1。

规则二：若消息含“慢、卡、超时、响应延迟、加载中…”且上下文出现“数据库、SQL、查询、报表”，触发【数据库性能瓶颈】子流程，调用ELK检索最近10分钟的slow_query_log关键词。

规则三：若消息含“报错、500、502、503、白屏、空白页、token过期”且来源为Web系统，跳转至【应用服务异常】分支，同步拉取对应服务的Nginx error_log与Tomcat catalina.out最新50行。

执行自动化排查动作并生成结构化诊断报告

当识别为P1级硬件故障时，扣子自动执行三步链式操作。

第一步：调用Zabbix API，查询告警主机的lastEvent（最近一条触发器），提取hostid与triggerid。

第二步：并发发起两个请求——① GET /api/jsonrpc，参数为hostid + item.key=system.cpu.util，获取实时CPU负载；② GET /api/jsonrpc，参数为hostid + item.key=system.swap.size[,pused]，获取交换分区使用率。

第三步：若CPU＞95%且swap＞90%，则判定为资源耗尽型宕机，自动生成诊断结论：“服务器{hostname}因CPU与Swap双高导致服务不可用，建议立即重启或扩容”，并附Zabbix截图链接与命令建议：systemctl restart nginx。

这一步不依赖人工判断，所有条件判断与API调用均在扣子工作流内闭环完成。

按策略自动创建工单并通知责任人

诊断报告生成后，扣子根据预设策略分发任务。

方法一：P1级故障，自动POST到ITSM接口，priority字段填“紧急”，assignee_group填“基础设施组”，description字段插入完整诊断结论、原始告警截图URL、推荐操作命令。

方法二：数据库类故障，POST时assignee_group改为“DBA组”，同时在description末尾追加：“已从ELK提取近5分钟慢查询TOP3：① SELECT * FROM orders WHERE status=‘pending’；② …”。

方法三：应用层HTTP错误，不仅创建工单，还额外调用企业微信机器人Webhook，向「开发值班群」发送卡片消息：“⚠️ ERP系统出现502错误｜影响范围：全公司｜定位结果：Nginx upstream timeout｜工单号：INC-20260608-7732”。

对接终端设备自助排查引导（可选增强）

当用户输入涉及打印机、投影仪、门禁读卡器等终端设备时，扣子不直接报修，而是启动交互式自助排查。

发送按钮菜单：“请选择排查步骤：① 检查电源指示灯 ② 查看网线是否插紧 ③ 重启设备 ④ 联系IT现场支持”。

用户点击①后，返回一张带红圈标注的电源灯位置示意图，并提示：“若灯不亮，请确认插座有电；若灯常亮但设备无响应，请长按电源键10秒强制关机，再开机”。

用户连续选择①→②→③仍失败，则自动跳转至报修流程，工单标题生成为：“【自助排查已执行】打印机HP-MFP-2080无法打印｜步骤①②③均已完成”。