> 継続的なプロセス改善 > インシデント管理 > ServiceNow Problem Management > データテンプレート

インシデント管理データテンプレート

ServiceNow Problem Management

インシデント管理の属性 (19) インシデント管理のアクティビティ (13) 抽出ガイド (2)

インシデント管理データテンプレート

このテンプレートでは、インシデント管理プロセスの分析と改善に必要なデータを収集するための詳細なガイドを提供します。収集すべき主要なデータ属性、追跡すべき重要なアクティビティ、ソースシステムから情報を抽出する方法を説明しています。このリソースを使って、詳細なプロセス分析と改善に役立つイベントログを作成してください。

収集を推奨する属性
追跡すべき主要なアクティビティ
ServiceNowの問題管理からデータを抽出する方法

イベントログを初めて扱いますか。学ぶプロセスマイニングのイベントログを作成する方法.

テンプレートをダウンロード

インシデント管理の属性

インシデント管理プロセスを詳細に分析するため、イベントログに含めることを推奨するデータ項目です。

5 必須 4 推奨 10 任意

	名前	説明
	アクティビティ名 ActivityName	インシデントのライフサイクルにおいて、ある時点で発生した特定のイベントまたはタスクの名称です。
説明アクティビティ名は、「インシデント作成」、「エージェント割り当て」、「インシデントクローズ」など、インシデント管理プロセスにおける特定のステップや状態変更を表します。通常、「State」や「Assignment Group」などの主要なインシデント項目の変更、または特定のログエントリから生成します。このデータ項目は、プロセスマップの作成に欠かせません。プロセスグラフのノードを定義し、インシデントの流れの可視化、一般的な経路の特定、アクティビティ間のボトルネックの発見、プロセスバリアントの分析を可能にします。アクティビティ名の粒度と正確性は、プロセス分析の品質に直接影響します。重要な理由プロセスマップ上のステップを定義し、すべてのプロセスマイニング分析と可視化の基盤となります。入手先派生属性です。通常、sys_auditまたはincidentテーブルのstate、assignment_group、assigned_toなどの項目の変更に基づき、データ変換ロジックで生成します。例インシデント作成割り当てグループの変更解決策の提示インシデントクローズ
	イベント時刻 EventTime	アクティビティが発生した正確な時刻を示すタイムスタンプです。
説明イベント時刻は、タイムスタンプとも呼ばれ、アクティビティが完了した時刻や状態が変更された正確な日時を記録します。ServiceNowでは通常、監査履歴に記録された各変更の「sys_updated_on」項目に保存されます。このデータ項目は、イベントを正しい順序に並べ、時間に基づく分析を行うために欠かせません。サイクルタイム、キュー待ち時間、アクティビティ間の所要時間の計算に使われ、ボトルネックの特定、SLAに対するパフォーマンスの測定、プロセス効率の把握を支えます。タイムスタンプの正確性は、所要時間に基づく指標の妥当性に直結します。重要な理由このタイムスタンプにより、すべてのアクティビティを時系列に並べ、サイクルタイムやボトルネックなど、所要時間に基づく指標を計算できます。入手先 ServiceNowのsys_auditテーブルのsys_created_on項目、または最後の状態についてはincidentテーブルのsys_updated_on項目です。例 2023-04-15T10:05:21Z2023-04-15T11:22:00Z2023-04-16T09:00:30Z
	インシデントID IncidentId	各インシデントレコードを一意に識別するIDであり、ライフサイクル全体を追跡するための主キーです。
説明インシデントIDは、ServiceNowで報告されたすべてのインシデントに割り当てられる一意の参照番号です。インシデントの作成からクローズまで、関連するアクティビティ、更新、コミュニケーションを結び付ける中核的なケース識別子として機能します。プロセスマイニング分析では、このIDが基本となります。個々のケースのイベント順序をつなぎ合わせ、プロセスマップの発見、バリアント分析、エンドツーエンドの所要時間計算の基盤を作ります。ケースごとに一意のインシデントIDがなければ、インシデントが解決プロセスをどのように進んだかを追跡できません。重要な理由インシデントのライフサイクルにおけるすべてのイベントを結び付け、エンドツーエンドのプロセス分析を可能にする基本的なケースIDです。入手先 ServiceNowのインシデントテーブルのフィールド番号です。例 INC0010001INC0010045INC0010239
	ソースシステム SourceSystem	このデータを抽出したシステムです。
説明この属性は、インシデントデータの取得元を示します。この場合はServiceNowのProblem Managementです。通常、データの抽出および変換時に固定値として追加します。複数のシステムのデータを組み合わせて分析する環境では、この項目がデータの系譜と分離に欠かせません。指標とプロセスを正しいコンテキストで分析できるようにし、異なるソースシステム間でプロセスを比較する際にも役立ちます。重要な理由データの取得元に関する重要なコンテキストを提供し、データの系譜を明確にするとともに、複数システム環境での正しい解釈を可能にします。入手先通常、データ抽出時に固定値として追加します。例 ServiceNow Problem ManagementServiceNow
	最終データ更新 LastDataUpdate	このレコードのデータがソースシステムから最後に更新された時刻を示すタイムスタンプです。
説明この属性は、ServiceNowからデータを最後に抽出または更新した日時を記録します。プロセス上のイベントではなく、分析対象データの鮮度を示すメタデータ項目です。分析の適時性を把握するうえで重要な情報です。データがどの時点まで最新であるかを示すため、運用ダッシュボードや直近のイベントに基づく意思決定に役立ちます。データの関連性と新しさについて、利用者の期待値を適切に管理できます。重要な理由データの鮮度を示し、分析の関連性と正確性を保つうえで重要な情報を提供します。入手先通常、データのロード時にデータ抽出ツールまたは抽出プロセスがこのタイムスタンプを生成して入力します。例 2023-10-27T02:00:00Z2023-10-28T02:00:00Z
	インシデントの状態 IncidentState	ライフサイクルにおけるインシデントの現在の状態です。
説明インシデントの状態は、「New」、「In Progress」、「On Hold」、「Resolved」など、インシデントの現在の段階を示します。状態の変更は、プロセスマイニングのイベントログでアクティビティを生成する主な情報源となることが多いです。各状態に滞在した時間を分析すると、ボトルネックを効果的に特定できます。たとえば、「On Hold」状態が長い場合、外部要因やユーザーへの依存が考えられます。状態変更の順序はプロセスマップの基盤にもなり、インシデントが解決に向けてどのように進んだかを示します。重要な理由インシデントの進捗を追跡し、各段階の滞在時間を分析してプロセスのボトルネックを特定するうえで重要です。入手先 ServiceNowのインシデントテーブルのincident_stateまたはstate項目です。例新規対応中ユーザー情報待ち解決済みクローズ済み
	優先度 Priority	必要な対応の緊急度を決める、インシデントの優先度です。
説明優先度はServiceNowの主要項目であり、インシデントに対応する順序と速度を決定します。通常、インシデントの影響度と緊急度から算出され、SLAの目標に直接影響します。この属性は、分類とパフォーマンス分析の基盤となります。「SLAコンプライアンス概要」ダッシュボードでは、優先度を使って、高優先度のインシデントが目標時間内に解決されているかを評価します。優先度別にサイクルタイムを分析すると、重大インシデントが重要度の低いインシデントよりも速く処理されているかを確認できます。ほぼすべてのKPIとダッシュボードに関係する重要な分析軸です。重要な理由業務上の重要度に応じてインシデントを分類でき、SLAコンプライアンスの監視とリソース配分に欠かせません。入手先 ServiceNowのインシデントテーブルのpriority項目です。例 1 - 重大2 - 高3 - 中程度4 - 低
	割り当てグループ AssignmentGroup	インシデント対応を担当するサポートチームまたはグループです。
説明割り当てグループは、インシデントの解決を担当するエージェントチームを表します。インシデントは、レベル1のヘルプデスクから専門的なレベル2のネットワークチームへ移管されるなど、複数のグループ間でルーティングされることがあります。この属性は、チーム間の引き継ぎを分析し、組織全体のボトルネックを特定するうえで欠かせません。「引き継ぎと再割り当て率」ダッシュボードでは、このデータを使って移管が頻繁に発生するチームを示します。サポートグループ間のパフォーマンス比較や、組織内のどこに解決の専門知識があるかを把握する際にも役立ちます。重要な理由担当チームを追跡し、チームのパフォーマンス、業務負荷、グループ間の引き継ぎを分析できます。入手先 ServiceNowのインシデントテーブルのassignment_group項目です。例サービスデスクネットワークサポートデータベース管理者
	担当者 AssignedTo	現在インシデントの対応を担当している個人ユーザーまたはエージェントです。
説明この属性は、特定の時点でインシデントを担当するサポートエージェントを示します。業務負荷の分布、エージェントのパフォーマンス、個人間の引き継ぎを把握するうえで重要です。分析では、「担当者」によりリソース配分を可視化し、負荷が集中しているエージェントを特定できます。また、「引き継ぎと再割り当て」ダッシュボードで、インシデントの担当者が何回変更されたかを追跡するためにも使われます。これは、非効率や知識不足の兆候となる場合があります。エージェント別に解決時間を分析すると、高い成果を上げている担当者や、追加のトレーニングが必要な担当者も把握できます。重要な理由エージェントの業務負荷、パフォーマンス、個人間の引き継ぎを分析でき、リソース効率の把握に役立ちます。入手先 ServiceNowのインシデントテーブルのassigned_to項目です。例 Beth AnglinDavid LooHoward Johnson
	SLA期限 SlaDueDate	SLAに基づき、インシデントを解決する予定の日時です。
説明 SLA期限は、インシデントの解決期限を示す計算済みのタイムスタンプです。この日時は、優先度など、インシデントの特性に関連付けられたサービスレベル合意（SLA）によって決まります。この属性は、「SLAコンプライアンス概要」ダッシュボードと「重大インシデントのSLA違反率」KPIに欠かせません。実際の解決時間を比較する基準として機能します。SLA期限が近いインシデントを分析すると、早期のエスカレーションや優先順位付けに役立ちます。重要な理由解決目標を定義し、SLAの遵守状況を測定するとともに、目標を超過するリスクのあるインシデントを特定できます。入手先通常、この値はインシデントテーブルに関連付けられたtask_slaテーブルにあります。該当するタイムスタンプはplanned_end_timeフィールドです。例 2023-05-20T17:00:00Z2023-06-01T09:00:00Z
	SLA違反の有無 IsSlaBreached	インシデントの解決がSLA期限を超過したかどうかを示すフラグです。
説明サービスレベル合意に違反したインシデントを示す、計算済みの真偽値属性です。実際の解決時刻と「SLA期限」を比較して判定します。解決時刻が期限を過ぎている場合、フラグはtrueになります。この属性は、「SLAコンプライアンス概要」ダッシュボードと関連KPIの基礎データです。複雑な時間比較を単純なtrue／falseの分析軸に変換するため、違反したインシデントを簡単にフィルタリングし、カテゴリ、割り当てグループ、優先度などの共通する特徴を分析できます。重要な理由 SLA遵守状況の分析を簡単にし、目標を達成できなかったすべてのインシデントを容易に抽出して詳しく分析できます。入手先「Resolved At」タイムスタンプと「SlaDueDate」タイムスタンプを比較して計算します（Resolved At > SlaDueDate）。例 truefalse
	カテゴリ Category	Hardware、Software、Networkなど、インシデントを大分類する項目です。
説明カテゴリは、インシデントの性質を大まかに分類します。通常、サブカテゴリと組み合わせて、適切なサポートチームへのルーティング、レポート作成、傾向分析に使います。プロセスマイニングでは、「インシデントカテゴリ設定の正確性」や「繰り返し発生するインシデント件数」ダッシュボードに欠かせない属性です。プロセスの途中でカテゴリが変更されたインシデントを分析すると、初期トリアージの問題を特定できます。カテゴリでプロセスマップを絞り込むことで、特定の種類のインシデントが異なる解決経路をたどるか、固有のボトルネックを経験しているかも確認できます。重要な理由インシデントの種類を分析し、カテゴリ設定の正確性を測定できます。ルーティングと傾向分析にも欠かせません。入手先 ServiceNowのインシデントテーブルのcategory項目です。例ハードウェアソフトウェアネットワークデータベース
	再オープンの有無 IsReopened	解決後にインシデントが再オープンされたかどうかを示すフラグです。
説明インシデントが「Resolved」または「Closed」になった後、状態が「In Progress」などのアクティブな状態に戻った場合にtrueになります。通常、イベントログ内の「Incident Reopened」アクティビティを確認して判定します。再オープンされたインシデントは、解決が不十分、または効果的でなかったことを示す有力な指標です。これらのケースを分析すると、早すぎるクローズや、初回対応で適切に修正されなかった再発問題を特定できます。再オープン率が高いと、ユーザー満足度やチームの生産性に悪影響を及ぼすため、品質管理における重要な指標です。重要な理由解決プロセスの不備を特定し、解決済みと判断された後に追加対応が必要になったインシデントを明らかにします。入手先各インシデントのアクティビティの順序を確認し、「resolved」状態の後に「open」状態が続いているかどうかを判定します。例 truefalse
	再割り当て回数 ReassignmentCount	インシデントが別のグループまたは担当者に再割り当てされた回数です。
説明このフィールドでは、インシデントが異なる割り当てグループ間で転送された合計回数を記録します。プロセス上の摩擦を直接測る指標であり、主要なKPIとして使われることも多い項目です。この属性は、「引き継ぎ・再割り当て率」ダッシュボードと「インシデントあたりの平均引き継ぎ回数」KPIの主要な基礎データです。再割り当て回数が多い場合、初期ルーティングの誤り、サポート層に必要なスキルの不足、プロセスの担当範囲が不明確であることなどが考えられます。この回数を減らすことは、プロセス改善の一般的な目標です。通常、解決時間の短縮につながるためです。重要な理由プロセスの引き継ぎを直接測定する指標であり、非効率、誤ったルーティング、改善の余地を示します。入手先 ServiceNowのインシデントテーブル、フィールドreassignment_countです。例 0135
	問題ID ProblemId	インシデントがより大きな問題に関連付けられている場合に、そのProblemレコードを識別するIDです。
説明 Problem IDは、インシデントをProblem Managementモジュールの対応レコードに結び付けます。複数のユーザーやサービスに影響する大きな根本問題の兆候としてインシデントが特定された場合に、この関連付けを行います。この関連付けは、「繰り返し発生するインシデント件数」ダッシュボードと「繰り返し発生するインシデント率」KPIに欠かせません。同じ根本原因に起因するインシデントをグループ化し、問題の影響全体を測定し、問題解決の効果を追跡できます。Problemに関連付けられたインシデントが多い場合、事後対応に偏ったサポート環境である可能性があります。重要な理由インシデントを根本原因に結び付け、再発する問題の分析とProblem Managementの効果測定を支えます。入手先 ServiceNowのインシデントテーブルのproblem_id項目です。例 PRB0040001PRB0040015PRB0040102
	構成アイテム ConfigurationItem	インシデントの影響を受けた特定のITコンポーネント、サービス、または資産です。
説明構成アイテム（CI）は、インシデントの影響を受けた構成管理データベース（CMDB）上の資産です。サーバー、アプリケーション、ノートパソコン、ネットワーク機器などが該当します。 CI別にインシデントを分析すると、信頼性に問題のある資産やサービスを特定しやすくなります。ITインフラのどの部分でインシデントが最も多く発生しているかを把握できるため、アップグレードや交換への投資判断にも役立ちます。プロセスマイニングでは、CIでフィルタリングすることで、重要なアプリケーションに関するインシデントが、他のインシデントと異なる方法、またはより効率的な方法で処理されているかを確認できます。重要な理由影響を受けた資産を特定し、ITインフラ内の問題のあるコンポーネントを絞り込むとともに、改善の取り組みに集中できます。入手先 ServiceNowのインシデントテーブル、フィールドcmdb_ciです。例 SAP ERP ProductionOracle DB Server 05メールサービス
	申告者 CallerId	最初にインシデントを報告したユーザーです。
説明申告者は、インシデントの影響を受け、報告したエンドユーザーまたは顧客を特定します。サービス停止の影響を受けている対象者を把握するための情報です。申告者は必ずしもプロセスフローの中心ではありませんが、申告者別にインシデントを分析すると、特定の個人や部門に問題の影響が偏っていないかを確認できます。研修の必要性や、特定の環境に起因する問題が見つかることもあります。また、顧客満足度調査や連絡のために、顧客と直接つながる情報でもあります。重要な理由影響を受けたユーザーを特定し、部門別または個人別の分析を可能にするとともに、ユーザーとの連絡に必要な背景情報を提供します。入手先 ServiceNowのインシデントテーブル、フィールドcaller_idです。例 Abel TuterCarolina PashDon Goodliffe
	解決コード ResolutionCode	インシデントが最終的にどのように解決されたかを示すコードです。
説明解決コードは、適用した解決策の種類を示します。たとえば、ユーザーによる解決、既知のエラーによる解決、回避策の提供などです。通常、インシデントをクローズする際にエージェントが入力します。この属性は、「解決タイプの有効性」ダッシュボードを直接支えます。恒久的な修正でクローズしたインシデントと、一時的な回避策でクローズしたインシデントの件数を分析できます。これはサービス品質と長期的な安定性を示す重要な指標です。回避策の割合が高い場合、根本的な問題に十分対応できていない可能性があります。重要な理由解決方法を明確にし、恒久的な修正と一時的な回避策を比較分析するとともに、根本原因分析を支援します。入手先 ServiceNowのインシデントテーブルのclose_code項目、またはカスタムの解決コード項目です。例解決済み（回避策）解決済み（恒久対応）未解決（ユーザーによるキャンセル）既知のエラー
	重大度 Severity	インシデントによって生じた業務への影響の大きさです。
説明重大度は、インシデントが業務にどの程度影響しているかを示します。緊急度と組み合わせて、インシデントの優先度を自動計算するために使われることが一般的です。分析では、重大度は「SLAコンプライアンス概要」ダッシュボードの主要な分析軸です。最も影響の大きいインシデントについて、組織がサービスレベルを満たしているかを把握できます。優先度が示す運用面の視点を補い、業務への影響を中心としたパフォーマンスの見方を提供します。重要な理由インシデントによる業務への影響を測定し、対応の優先順位付けや重要な問題のパフォーマンス分析に欠かせない分析軸を提供します。入手先 ServiceNowのインシデントテーブル、フィールドseverityです。例 1 - 高2 - 中3 - 低

必須推奨任意

インシデント管理のアクティビティ

正確なプロセス発見と最適化のため、イベントログに記録する主要なプロセス手順とマイルストーンです。

6 推奨 7 任意

	アクティビティ	説明
	インシデントクローズ	ライフサイクルの最後のアクティビティであり、インシデントが完全に解決され、確認が完了し、追加対応が不要になったことを示します。クローズ時刻を使って明示的に取得します。
重要な理由確定した終了イベントとして、インシデントのライフサイクル全体の期間や、解決後の処理にかかった時間を分析するために欠かせません。入手先「incident」テーブルの「closed_at」タイムスタンプを明示的なイベント時刻として使用します。通常、「state」項目が「Closed」に変わった時点で設定されます。取得インシデントレコードの「closed_at」タイムスタンプを使用します。イベントタイプ explicit
	インシデントのグループ割り当て	インシデントが対応担当の特定のサポートグループに割り当てられたときに発生します。ルーティングプロセスの重要なステップであり、割り当てグループ項目の変更を確認して取得します。
重要な理由割り当てを追跡することで、引き継ぎ、各グループの待ち時間、ルーティングの非効率やボトルネックを分析できます。入手先「incident」テーブルの「assignment_group」項目が入力または変更された時点を「sys_audit」テーブルから追跡して推定します。取得「assignment_group」項目の変更について、監査ログのタイムスタンプを使用します。イベントタイプ inferred
	インシデント作成	ServiceNowに新しいインシデントが正式に記録された時点で、インシデントのライフサイクルが始まります。このイベントは、インシデントレコードの作成時刻を使って明示的に取得します。
重要な理由これはプロセスの主な開始イベントです。このアクティビティから解決までの時間を分析することは、全体のサイクルタイムとSLAコンプライアンスを測定するうえで基本となります。入手先「incident」テーブルの「sys_created_on」タイムスタンプを、このアクティビティの明示的なイベント時刻として使用します。取得インシデントレコードの「sys_created_on」タイムスタンプを使用します。イベントタイプ explicit
	作業開始	エージェントがインシデントの調査または対応を実際に開始したことを示します。通常、インシデントの状態が「New」または「Assigned」から、「In Progress」などの対応中の状態に変わった時点から推定します。
重要な理由このマイルストーンは、初期のキュー待ち時間の終了と、解決に向けた実作業の開始を示します。作業開始までの時間を測定することは、ボトルネック分析に欠かせません。入手先「incident」テーブルの「state」項目が「In Progress」などの対応中を示す値に変わった時点を「sys_audit」テーブルから特定して推定します。取得「state」項目が「In Progress」または同等の値に変わった時刻を特定します。イベントタイプ inferred
	割り当てグループの変更	インシデントがあるサポートグループから別のグループへ移管されたことを表します。初回入力後に「assignment_group」項目が変更されたことを確認して取得します。
重要な理由再割り当てが頻繁に発生する場合、初期ルーティングの誤り、プロセスの複雑さ、知識不足などが考えられます。このアクティビティは、「インシデントあたりの平均引き継ぎ回数」KPIの測定に欠かせません。入手先初回割り当て後に「assignment_group」項目が変更されたことを「sys_audit」テーブルから追跡して推定します。取得監査ログで、「assignment_group」項目が変更された各時刻を特定します。イベントタイプ inferred
	解決策の提示	サポートエージェントが修正を実施し、インシデントを「Resolved」状態に変更した時点を示します。最終クローズ前の重要なマイルストーンです。
重要な理由このアクティビティは実作業の終了と確認フェーズの開始を示します。ここから「インシデントクローズ」までの時間を確認すると、ユーザー確認や検証の遅れを把握できます。入手先「incident」テーブルの「state」項目が「Resolved」に変わった時点を「sys_audit」テーブルから特定して推定します。この時点で「resolved_at」タイムスタンプが入力されることもよくあります。取得「state」項目が「Resolved」になった時刻、または「resolved_at」タイムスタンプを使用します。イベントタイプ inferred
	インシデントとProblemレコードの関連付け	インシデントがProblemレコードに正式に関連付けられ、より大きな根本問題の一部であることを示すときに発生します。インシデントレコードの「problem_id」項目に値が入力された時点から推定します。
重要な理由 Problemへの関連付けは、事後的なインシデント対応から、先回りした根本原因分析へ移行するための重要なステップです。「繰り返し発生するインシデント件数」ダッシュボードを支えます。入手先「incident」テーブルの「problem_id」参照項目に値が入力されたことを検出して推定します。取得「problem_id」項目が入力された時点の監査ログのタイムスタンプを特定します。イベントタイプ inferred
	インシデントのエージェント割り当て	サポートグループ内の特定のエージェントがインシデントの担当を引き受けた時点を表します。「assigned_to」項目の変更を監視して取得します。
重要な理由エージェントの業務負荷と初回対応での解決状況を詳細に把握できます。インシデントがグループに割り当てられてから、個人が作業を開始するまでの待ち時間も確認できます。入手先「incident」テーブルの「assigned_to」項目が入力または変更された時点を「sys_audit」テーブルから追跡して推定します。取得「assigned_to」項目の変更について、監査ログのタイムスタンプを使用します。イベントタイプ inferred
	インシデントのエスカレーション	インシデントの優先度または重大度が引き上げられ、より迅速な対応や別のリソースが必要になったときに発生します。「priority」項目の値が上がったことを検出して推定します。
重要な理由エスカレーションは、インシデントが当初の想定より深刻であることや、SLA違反に近づいていることを示す場合があります。これらのイベントを分析すると、例外的な対応が発生する状況を把握できます。入手先「priority」項目が、より緊急度の高い値に変更されたことを「sys_audit」テーブルから特定して推定します。取得「priority」項目の値が上がったことを検出します（例：「3 - Moderate」から「2 - High」）。イベントタイプ inferred
	インシデントのカテゴリ設定	インシデントの初期分類を表します。Category、Subcategory、Priorityなどの項目が設定される段階です。通常、作成直後にこれらの項目が初めて入力または更新されたことを監査履歴から推定します。
重要な理由正確なカテゴリ設定は、適切なルーティングと優先順位付けに欠かせません。このアクティビティを追跡すると、再分類率と解決時間への影響を分析できます。入手先「sys_audit」テーブルで、対象インシデントの「category」、「subcategory」、「priority」などの項目に対する最初の変更を特定して推定します。取得監査ログで、分類項目が初めて更新された時刻を特定します。イベントタイプ inferred
	インシデントの再オープン	解決済みとされた後も問題が続いているとユーザーが報告したときに発生します。インシデントの状態が「Resolved」から「In Progress」などの対応中の状態に戻った時点から推定します。
重要な理由再オープンされたインシデントは、解決に失敗し、手戻りが発生したことを示します。このアクティビティの追跡は、解決品質と初回解決率を測定するうえで重要です。入手先「state」項目が「Resolved」から「In Progress」や「Assigned」などの対応中の状態に戻ったことを「sys_audit」テーブルから検出して推定します。取得「state」が「Resolved」から対応中の値に変わった時刻を特定します。イベントタイプ inferred
	サポートコメントの追加	サポートエージェントが作業メモやユーザーに表示されるコメントを追加します。インシデントのアクティビティストリームに明示的なイベントとして記録されます。
重要な理由サポートチームによるコミュニケーションと調査の状況を追跡します。コメントの頻度とタイミングを分析すると、調査プロセスを把握できます。入手先「incident」テーブルの「work_notes」および「comments」項目への記録を保存する「sys_journal_field」テーブルから取得します。取得 elementが「work_notes」または「comments」であるジャーナルエントリの作成時刻を使用します。イベントタイプ explicit
	ユーザー確認待ち	提示した解決策が成功したことをユーザーが確認するまで、インシデントが保留状態で待機しています。通常、解決後に「Awaiting User Info」などの特定の状態になった時点から推定します。
重要な理由ユーザーの応答が遅い場合、この状態が大きなボトルネックになることがあります。このアクティビティに費やした時間を測定すると、コミュニケーション上の不足やクローズ自動化の機会を特定できます。入手先解決後に特定の保留状態へ変更されたことを「sys_audit」テーブルから特定して推定します。状態名は「Awaiting Caller」など、環境に合わせて設定されている場合があります。取得「state」がユーザーからの入力待ちを示す値に変わった時刻を特定します。イベントタイプ inferred

推奨任意

抽出ガイド

ServiceNowの問題管理からデータを取得する方法

ステップ

ServiceNowへのアクセスを設定：ServiceNowのサービスアカウントの認証情報を取得します。このアカウントには、incidentテーブル、sys_auditテーブル、およびsys_id、number、sys_created_on、resolved_at、closed_at、assignment_group、assigned_to、priority、incident_state、state、category、subcategory、problem_id、comments、work_notesなど、必要なすべてのフィールドに対する読み取り権限（ACL）が必要です。
Node.js環境を設定：抽出スクリプトを実行するマシンにNode.jsがインストールされていることを確認します。ターミナルでnpm install axiosを実行し、HTTPリクエスト用のaxiosライブラリをインストールします。
抽出スクリプトを準備：提供されたJavaScriptコードをファイルにコピーします。たとえば、extract_incidents.jsという名前で保存します。スクリプト上部のServiceNowインスタンスURL、ユーザー名、パスワードのプレースホルダーを入力します。
抽出パラメーターを定義：スクリプトのstartDate変数とendDate変数を調整し、抽出するインシデントの期間を指定します。初回は、結果を検証しやすいよう、1週間など短い期間を使用することを推奨します。
スクリプトを実行：ターミナルでnode extract_incidents.jsコマンドを実行します。スクリプトがServiceNow APIからインシデントデータと対応する監査ログの取得を開始します。
スクリプトの進行状況を監視：処理済みのインシデント数がコンソールに表示されます。大規模なデータセットでは、必要なAPI呼び出し数が多いため、処理にかなり時間がかかる場合があります。
APIレスポンスを処理：スクリプトは各インシデントをプログラムで順番に処理します。各インシデントについてsys_auditテーブルを照会し、変更履歴全体を取得します。その後、履歴を処理して、必要な13個のアクティビティを特定し、時刻を付与します。
推定アクティビティを処理：スクリプトには、フィールド変更からアクティビティを推定するロジックが含まれています。たとえば、priorityフィールドの新しい値が古い値より小さい場合（優先度が高くなったことを示します）、「Incident Escalated」を作成します。「Work Started」は、stateが初めて「In Progress」に変更された時点で特定します。
イベントログを構成：アクティビティを特定したら、イベントログレコードに整形します。各レコードにはIncidentId、ActivityName、EventTimeなどの必須列が含まれます。
出力を保存：スクリプトが完了すると、生成したイベントログを同じディレクトリにservicenow_incident_event_log.jsonというJSONファイルとして保存します。このファイルには、抽出したすべてのイベントの配列が含まれます。
CSVに変換：ProcessMindにアップロードするには、最終的なJSON出力をCSVファイルに変換する必要があります。標準的なデータツールまたは簡単なスクリプトを使って、JSON配列を表形式のCSVに変換し、列ヘッダーが必要な属性と一致するようにしてください。

設定

APIエンドポイント：スクリプトは、ServiceNow Table APIの主要な2つのエンドポイントを対象にします：
- https://[Your ServiceNow Instance].service-now.com/api/now/table/incident
- https://[Your ServiceNow Instance].service-now.com/api/now/table/sys_audit
認証：提供されているスクリプトは、基本認証（ユーザー名とパスワード）を使用します。サービスアカウントの認証情報が正しく、アカウントがアクティブであることを確認します。
日付範囲による絞り込み：クエリはインシデントの作成日（sys_created_on）で絞り込みます。スクリプトのstartDate変数とendDate変数で設定します。意味のある分析を行うには3～6か月分のデータを抽出することをおすすめしますが、テストでは短い期間から始めます。
主なクエリパラメーター：
- sysparm_query：レコードの絞り込みに使用します。スクリプトは、作成日でインシデントを絞り込むエンコード済みのクエリ文字列を作成します。
- sysparm_fields：取得する列を指定し、APIのペイロードサイズを抑えてパフォーマンスを向上させます。
- sysparm_limit：1回のリクエストで返すレコード数を指定し、ページネーションを管理します。スクリプトでは、一般的に使われる1000件の上限を使用します。
- sysparm_offset：sysparm_limitと組み合わせて、後続ページのデータを取得します。
パフォーマンスに関する考慮事項：すべてのインシデントについてsys_auditテーブルを照会すると、リソースを大量に消費します。非常に大規模なServiceNowインスタンスでは、利用の少ない時間帯に抽出を実行することを検討してください。スクリプトはAPIに過度な負荷をかけないようインシデントを順番に処理しますが、全体の実行時間が長くなる可能性があります。
前提条件：スクリプトの実行にはNode.js環境が必要です。抽出を実行するユーザーまたはサービスアカウントには、incidentテーブルとsys_auditテーブルに対する必要な読み取り権限（ACL）が必要です。

a サンプルクエリ javascript

const axios = require('axios');
const fs = require('fs');

// --- Configuration ---
const INSTANCE_URL = 'https://[your-instance].service-now.com';
const USERNAME = '[your-username]';
const PASSWORD = '[your-password]';

// Define the date range for the extraction
const startDate = '2023-01-01 00:00:00';
const endDate = '2023-03-31 23:59:59';

const BATCH_SIZE = 1000; // Records per API call for incidents
const SOURCE_SYSTEM = 'ServiceNow';

// --- Main Extraction Logic ---
async function extractIncidentData() {
    const auth = { username: USERNAME, password: PASSWORD };
    const allEvents = [];
    let offset = 0;
    let hasMoreRecords = true;

    console.log(`Starting extraction for incidents created between ${startDate} and ${endDate}...`);

    while (hasMoreRecords) {
        try {
            // 1. Fetch a batch of incidents
            const incidentQuery = `sys_created_on>=${startDate}^sys_created_on<=${endDate}`;
            const incidentFields = [
                'sys_id', 'number', 'sys_created_on', 'resolved_at', 'closed_at',
                'assigned_to', 'assignment_group', 'priority', 'incident_state',
                'state', 'sys_updated_on'
            ].join(',');

            console.log(`Fetching incidents, offset: ${offset}...`);
            const incidentResponse = await axios.get(`${INSTANCE_URL}/api/now/table/incident`, {
                auth,
                params: {
                    sysparm_query: incidentQuery,
                    sysparm_fields: incidentFields,
                    sysparm_limit: BATCH_SIZE,
                    sysparm_offset: offset
                }
            });

            const incidents = incidentResponse.data.result;
            if (incidents.length === 0) {
                hasMoreRecords = false;
                continue;
            }

            // 2. For each incident, fetch its audit trail and generate events
            for (const incident of incidents) {
                const lastDataUpdate = new Date().toISOString();

                // --- Explicit Events from Incident Table ---
                allEvents.push(createEvent(incident, 'Incident Created', incident.sys_created_on, lastDataUpdate));
                if (incident.resolved_at) {
                    allEvents.push(createEvent(incident, 'Resolution Proposed', incident.resolved_at, lastDataUpdate));
                }
                if (incident.closed_at) {
                    allEvents.push(createEvent(incident, 'Incident Closed', incident.closed_at, lastDataUpdate));
                }

                // --- Inferred Events from Audit Table ---
                const auditQuery = `documentkey=${incident.sys_id}`;
                const auditFields = 'sys_created_on,fieldname,oldvalue,newvalue';
                const auditResponse = await axios.get(`${INSTANCE_URL}/api/now/table/sys_audit`, {
                    auth,
                    params: { sysparm_query: auditQuery, sysparm_fields: auditFields, sysparm_display_value: 'true' }
                });

                const auditRecords = auditResponse.data.result.sort((a, b) => new Date(a.sys_created_on) - new Date(b.sys_created_on));
                
                let isCategorized = false, isGroupAssigned = false, isAgentAssigned = false, isWorkStarted = false, isProblemLinked = false, isReopened = false;
                let lastPriority = null;
                
                for (const audit of auditRecords) {
                    const eventTime = audit.sys_created_on;
                    
                    if (!isCategorized && (audit.fieldname === 'category' || audit.fieldname === 'subcategory') && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Categorized', eventTime, lastDataUpdate));
                        isCategorized = true;
                    }
                    if (!isGroupAssigned && audit.fieldname === 'assignment_group' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Assigned To Group', eventTime, lastDataUpdate));
                        isGroupAssigned = true;
                    } else if (isGroupAssigned && audit.fieldname === 'assignment_group' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Assignment Group Changed', eventTime, lastDataUpdate));
                    }
                    if (!isAgentAssigned && audit.fieldname === 'assigned_to' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Assigned To Agent', eventTime, lastDataUpdate));
                        isAgentAssigned = true;
                    }
                    if (!isWorkStarted && (audit.fieldname === 'state' || audit.fieldname === 'incident_state') && audit.newvalue.toLowerCase().includes('progress')) {
                        allEvents.push(createEvent(incident, 'Work Started', eventTime, lastDataUpdate));
                        isWorkStarted = true;
                    }
                    if ((audit.fieldname === 'comments' || audit.fieldname === 'work_notes') && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Support Comment Added', eventTime, lastDataUpdate));
                    }
                    if (audit.fieldname === 'priority') {
                         const oldPriorityVal = parseInt(audit.oldvalue.match(/\d+/), 10);
                         const newPriorityVal = parseInt(audit.newvalue.match(/\d+/), 10);
                         if (lastPriority !== null && newPriorityVal < lastPriority) {
                             allEvents.push(createEvent(incident, 'Incident Escalated', eventTime, lastDataUpdate));
                         }
                         lastPriority = newPriorityVal;
                    }
                    if (!isProblemLinked && audit.fieldname === 'problem_id' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Linked To Problem', eventTime, lastDataUpdate));
                        isProblemLinked = true;
                    }
                    if ((audit.fieldname === 'state' || audit.fieldname === 'incident_state') && audit.newvalue.toLowerCase().includes('awaiting')) {
                         allEvents.push(createEvent(incident, 'Awaiting User Confirmation', eventTime, lastDataUpdate));
                    }
                    if (!isReopened && (audit.fieldname === 'state' || audit.fieldname === 'incident_state') && (audit.oldvalue.toLowerCase().includes('resolved') || audit.oldvalue.toLowerCase().includes('closed')) && audit.newvalue.toLowerCase().includes('progress')) {
                        allEvents.push(createEvent(incident, 'Incident Reopened', eventTime, lastDataUpdate));
                        isReopened = true; 
                    }
                }
            }

            offset += BATCH_SIZE;
            console.log(`Processed ${incidents.length} incidents. Total events so far: ${allEvents.length}`);

        } catch (error) {
            console.error('An error occurred:', error.response ? error.response.data : error.message);
            hasMoreRecords = false; // Stop on error
        }
    }

    // 3. Save results to a file
    fs.writeFileSync('servicenow_incident_event_log.json', JSON.stringify(allEvents, null, 2));
    console.log(`Extraction complete. ${allEvents.length} events saved to servicenow_incident_event_log.json`);
}

// --- Helper Function to create a standard event object ---
function createEvent(incident, activityName, eventTime, lastDataUpdate) {
    return {
        IncidentId: incident.number,
        ActivityName: activityName,
        EventTime: eventTime,
        SourceSystem: SOURCE_SYSTEM,
        LastDataUpdate: lastDataUpdate,
        AssignedTo: incident.assigned_to.display_value || '',
        AssignmentGroup: incident.assignment_group.display_value || '',
        Priority: incident.priority.display_value || '',
        IncidentState: incident.incident_state.display_value || incident.state.display_value || ''
    };
}

// --- Run the script ---
extractIncidentData();

ステップ

前提条件：システムにPython 3.6以降がインストールされていることを確認します。pipで必要なライブラリをインストールします：pip install requests pandas。
ServiceNowを設定：この抽出専用のサービスアカウントをServiceNowに作成します。必要なテーブル（incident、sys_audit、sys_journal_field）への読み取りアクセスを付与するため、このユーザーにitilロールとrest_api_explorerロールを付与します。
スクリプトを設定：提供されたPythonスクリプトを開きます。上部の設定セクションで、SNOW_INSTANCE、SNOW_USER、SNOW_PASSWORDのプレースホルダーをServiceNowインスタンスのURLとサービスアカウントの認証情報に置き換えます。START_DATEとEND_DATEを調整して、抽出期間を指定します。
スクリプトを実行：コマンドラインでpython your_script_name.pyを実行します。スクリプトがServiceNowでの認証とAPI呼び出しを開始します。
データを取得：まず、指定した期間内にincidentテーブルで作成されたすべてのインシデントの一覧を取得します。次に、そのインシデントIDの一覧を使って、sys_auditから関連する監査履歴をすべて取得し、sys_journal_fieldからコメントをすべて取得します。
イベントログを生成：スクリプトは生のデータをメモリ上で処理します。定義済みのアクティビティを順番に処理し、それぞれについて個別の行を生成します。たとえば、sys_created_onフィールドから「Incident Created」イベントを、closed_atフィールドから「Incident Closed」イベントを特定します。その他のイベントについては、監査ログを分析して状態遷移、フィールド変更、エスカレーションを特定します。
属性をマッピング：生成した各イベント行について、メインのインシデントレコードからAssignmentGroup、AssignedTo、Priority、イベント発生時点のIncidentStateなどの関連属性を参照して付加します。
データを統合：各アクティビティタイプに対応する個別のイベントDataFrameを、1つの詳細なイベントログDataFrameに統合します。
最終変換：統合したDataFrameをIncidentIdとEventTimeで並べ替え、各ケースのイベントが正しい時系列になるようにします。SourceSystem列とLastDataUpdate列には固定値を追加します。
CSVにエクスポート：最終的なイベントログを、スクリプトを実行したディレクトリにservicenow_incident_event_log.csvとして保存します。このファイルをプロセスマイニングソフトウェアにアップロードできます。

設定

ServiceNowインスタンス（SNOW_INSTANCE）：ServiceNowインスタンスの完全なURLです。例：https://yourcompany.service-now.com。
認証情報（SNOW_USER、SNOW_PASSWORD）：サービスアカウントの認証情報です。本番環境では、Basic AuthenticationではなくOAuthまたはトークンベース認証の利用を検討してください。
期間（START_DATE、END_DATE）：インシデントの作成日を基準に、抽出する期間を指定します。データ量と得られる情報のバランスを考慮し、初回の分析には3～6か月を推奨します。期間を長くすると、抽出時間が大幅に増加します。
APIクエリパラメーター（sysparm_query）：スクリプトではsysparm_queryを使って、作成日（sys_created_on）でインシデントをフィルタリングします。たとえば、active=false^company=[Your Company Sys ID]を追加すると、特定の会社のクローズ済みインシデントだけを抽出できます。
APIレート制限：ServiceNowのAPIレート制限に注意してください。スクリプトはページネーションに対応していますが、明示的なレート制限処理は含まれていません。非常に大規模なインスタンスでは、制限を超えないよう、リクエストの間にtime.sleep()を追加する必要があります。
必要な権限：指定したユーザーには、incident、sys_audit、sys_journal_fieldテーブルへの読み取りアクセス（ACL）が必要です。通常はitilロールで付与されますが、インスタンスによってはカスタムのアクセス制御が設定されている場合があります。

a サンプルクエリ python

import requests
import pandas as pd
from datetime import datetime
import getpass

class=class="hl-string">"hl-comment"># --- Configuration ---
class=class="hl-string">"hl-comment"># Replace with your ServiceNow instance URL, e.g., class="hl-string">'https://yourinstance.service-now.com'
SNOW_INSTANCE = class="hl-string">"[Your ServiceNow Instance URL]"
class=class="hl-string">"hl-comment"># Replace with your ServiceNow user. Consider using a dedicated service account.
SNOW_USER = class="hl-string">"[Your Username]"
class=class="hl-string">"hl-comment"># It's recommended to use a secure way to handle passwords, like environment variables or a secrets manager.
class=class="hl-string">"hl-comment"># getpass is used here for interactive entry to avoid hardcoding.
SNOW_PASSWORD = getpass.getpass(class="hl-string">"Enter ServiceNow Password: ")

class=class="hl-string">"hl-comment"># Define the date range for the extraction (YYYY-MM-DD format)
START_DATE = class="hl-string">"2023-01-01"
END_DATE = class="hl-string">"2023-06-30"

SOURCE_SYSTEM_NAME = class="hl-string">"ServiceNow"

class=class="hl-string">"hl-comment"># --- Helper Function for Paginated API Calls ---
def fetch_all_records(url, headers, params):
    class="hl-string">"""Fetches all records from a paginated ServiceNow API endpoint."""
    all_records = []
    offset = 0
    limit = 1000
    while True:
        params[class="hl-string">'sysparm_offset'] = offset
        params[class="hl-string">'sysparm_limit'] = limit
        response = requests.get(url, headers=headers, params=params)
        response.raise_for_status() class=class="hl-string">"hl-comment"># Raises an exception for bad status codes
        data = response.json().get(class="hl-string">'result', [])
        if not data:
            break
        all_records.extend(data)
        offset += len(data)
        print(fclass="hl-string">"Fetched {len(all_records)} records so far...")
    return all_records

class=class="hl-string">"hl-comment"># --- Main Script ---
if __name__ == class="hl-string">"__main__":
    auth = (SNOW_USER, SNOW_PASSWORD)
    headers = {class="hl-string">"Accept": class="hl-string">"application/json"}
    last_data_update = datetime.utcnow().isoformat() + class="hl-string">"Z"

    class=class="hl-string">"hl-comment"># 1. Fetch base Incident Data
    print(class="hl-string">"\n--- Fetching Incident Data ---")
    incident_url = fclass="hl-string">"{SNOW_INSTANCE}/api/now/table/incident"
    incident_query = fclass="hl-string">"sys_created_on>={START_DATE} 00:00:00^sys_created_on<={END_DATE} 23:59:59"
    incident_params = {
        class="hl-string">'sysparm_query': incident_query,
        class="hl-string">'sysparm_fields': class="hl-string">'sys_id,number,sys_created_on,closed_at,opened_at,priority,state,assignment_group,assigned_to,problem_id'
    }
    incidents_raw = fetch_all_records(incident_url, headers, auth, incident_params)
    incidents_df = pd.DataFrame(incidents_raw)
    
    if incidents_df.empty:
        print(class="hl-string">"No incidents found for the given date range. Exiting.")
        exit()

    class=class="hl-string">"hl-comment"># Map sys_id to readable values for easier processing later
    for col in [class="hl-string">'assignment_group', class="hl-string">'assigned_to', class="hl-string">'problem_id']:
        if col in incidents_df.columns:
            incidents_df[col] = incidents_df[col].apply(lambda x: x[class="hl-string">'display_value'] if isinstance(x, dict) and x else None)
            
    incident_sys_ids = class="hl-string">','.join(incidents_df[class="hl-string">'sys_id'].unique())

    class=class="hl-string">"hl-comment"># 2. Fetch Audit (sys_audit) Data for these incidents
    print(class="hl-string">"\n--- Fetching Audit Data ---")
    audit_url = fclass="hl-string">"{SNOW_INSTANCE}/api/now/table/sys_audit"
    audit_query = fclass="hl-string">"documentkeyIN{incident_sys_ids}"
    audit_params = {
        class="hl-string">'sysparm_query': audit_query,
        class="hl-string">'sysparm_fields': class="hl-string">'documentkey,sys_created_on,fieldname,oldvalue,newvalue'
    }
    audit_raw = fetch_all_records(audit_url, headers, auth, audit_params)
    audit_df = pd.DataFrame(audit_raw)
    audit_df.rename(columns={class="hl-string">'documentkey': class="hl-string">'sys_id'}, inplace=True)

    class=class="hl-string">"hl-comment"># 3. Fetch Journal (comments) Data for these incidents
    print(class="hl-string">"\n--- Fetching Journal/Comment Data ---")
    journal_url = fclass="hl-string">"{SNOW_INSTANCE}/api/now/table/sys_journal_field"
    journal_query = fclass="hl-string">"element_idIN{incident_sys_ids}^element=work_notes,comments"
    journal_params = {
        class="hl-string">'sysparm_query': journal_query,
        class="hl-string">'sysparm_fields': class="hl-string">'element_id,sys_created_on'
    }
    journal_raw = fetch_all_records(journal_url, headers, auth, journal_params)
    journal_df = pd.DataFrame(journal_raw)
    journal_df.rename(columns={class="hl-string">'element_id': class="hl-string">'sys_id'}, inplace=True)

    print(class="hl-string">"\n--- Processing Data and Generating Event Log ---")
    event_log_frames = []

    class=class="hl-string">"hl-comment"># Merge incident details into audit and journal logs for context
    incidents_context_df = incidents_df[[class="hl-string">'sys_id', class="hl-string">'number', class="hl-string">'assignment_group', class="hl-string">'assigned_to', class="hl-string">'priority', class="hl-string">'state']].copy()
    incidents_context_df.rename(columns={class="hl-string">'number': class="hl-string">'IncidentId'}, inplace=True)

    if not audit_df.empty:
        audit_df = pd.merge(audit_df, incidents_context_df, on=class="hl-string">'sys_id', how=class="hl-string">'left')
    if not journal_df.empty:
        journal_df = pd.merge(journal_df, incidents_context_df, on=class="hl-string">'sys_id', how=class="hl-string">'left')

    class=class="hl-string">"hl-comment"># Activity: Incident Created
    created_df = incidents_df[[class="hl-string">'number', class="hl-string">'sys_created_on', class="hl-string">'assignment_group', class="hl-string">'assigned_to', class="hl-string">'priority', class="hl-string">'state']].copy()
    created_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Created'
    created_df.rename(columns={class="hl-string">'number': class="hl-string">'IncidentId', class="hl-string">'sys_created_on': class="hl-string">'EventTime', class="hl-string">'assignment_group': class="hl-string">'AssignmentGroup', class="hl-string">'assigned_to': class="hl-string">'AssignedTo', class="hl-string">'priority': class="hl-string">'Priority', class="hl-string">'state': class="hl-string">'IncidentState'}, inplace=True)
    event_log_frames.append(created_df)

    class=class="hl-string">"hl-comment"># Activity: Incident Closed
    closed_df = incidents_df[incidents_df[class="hl-string">'closed_at'].notna() & (incidents_df[class="hl-string">'closed_at'] != class="hl-string">'')].copy()
    closed_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Closed'
    closed_df.rename(columns={class="hl-string">'number': class="hl-string">'IncidentId', class="hl-string">'closed_at': class="hl-string">'EventTime', class="hl-string">'assignment_group': class="hl-string">'AssignmentGroup', class="hl-string">'assigned_to': class="hl-string">'AssignedTo', class="hl-string">'priority': class="hl-string">'Priority', class="hl-string">'state': class="hl-string">'IncidentState'}, inplace=True)
    event_log_frames.append(closed_df.drop(columns=[class="hl-string">'sys_created_on']))

    class=class="hl-string">"hl-comment"># Process audit data for remaining activities
    if not audit_df.empty:
        audit_df.sort_values(by=[class="hl-string">'sys_id', class="hl-string">'sys_created_on'], inplace=True)
        
        class=class="hl-string">"hl-comment"># Activity: Incident Categorized (first change to category, subcategory, or priority)
        categorized_fields = [class="hl-string">'category', class="hl-string">'subcategory', class="hl-string">'priority']
        categorized_df = audit_df[audit_df[class="hl-string">'fieldname'].isin(categorized_fields)].copy()
        categorized_df = categorized_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        categorized_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Categorized'
        event_log_frames.append(categorized_df)

        class=class="hl-string">"hl-comment"># Activity: Incident Assigned To Group
        assign_group_df = audit_df[(audit_df[class="hl-string">'fieldname'] == class="hl-string">'assignment_group') & (audit_df[class="hl-string">'newvalue'].notna())].copy()
        assign_group_first_df = assign_group_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        assign_group_first_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Assigned To Group'
        event_log_frames.append(assign_group_first_df)
        
        class=class="hl-string">"hl-comment"># Activity: Assignment Group Changed (subsequent changes)
        assign_group_changed_df = assign_group_df.loc[assign_group_df.index.difference(assign_group_first_df.index)]
        assign_group_changed_df[class="hl-string">'ActivityName'] = class="hl-string">'Assignment Group Changed'
        event_log_frames.append(assign_group_changed_df)

        class=class="hl-string">"hl-comment"># Activity: Incident Assigned To Agent
        assign_agent_df = audit_df[(audit_df[class="hl-string">'fieldname'] == class="hl-string">'assigned_to') & (audit_df[class="hl-string">'newvalue'].notna())].copy()
        assign_agent_df = assign_agent_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        assign_agent_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Assigned To Agent'
        event_log_frames.append(assign_agent_df)

        class=class="hl-string">"hl-comment"># Activity: Work Started (State changed to In Progress)
        work_started_df = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'state'].copy()
        class=class="hl-string">"hl-comment"># Note: The class="hl-string">'newvalue' for state is often a numeric ID. Common value for class="hl-string">'In Progress' is class="hl-string">'2'. Adjust if needed.
        work_started_df = work_started_df[work_started_df[class="hl-string">'newvalue'].isin([class="hl-string">'2', class="hl-string">'In Progress', class="hl-string">'Work in Progress'])]
        work_started_df = work_started_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        work_started_df[class="hl-string">'ActivityName'] = class="hl-string">'Work Started'
        event_log_frames.append(work_started_df)
        
        class=class="hl-string">"hl-comment"># Activity: Incident Escalated (Priority increases)
        priority_map = {class="hl-string">'1 - Critical': 1, class="hl-string">'2 - High': 2, class="hl-string">'3 - Moderate': 3, class="hl-string">'4 - Low': 4, class="hl-string">'5 - Planning': 5}
        escalated_df = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'priority'].copy()
        escalated_df[class="hl-string">'old_priority_val'] = escalated_df[class="hl-string">'oldvalue'].map(priority_map)
        escalated_df[class="hl-string">'new_priority_val'] = escalated_df[class="hl-string">'newvalue'].map(priority_map)
        escalated_df.dropna(subset=[class="hl-string">'old_priority_val', class="hl-string">'new_priority_val'], inplace=True)
        escalated_df = escalated_df[escalated_df[class="hl-string">'new_priority_val'] < escalated_df[class="hl-string">'old_priority_val']]
        escalated_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Escalated'
        event_log_frames.append(escalated_df)
        
        class=class="hl-string">"hl-comment"># Activity: Incident Linked To Problem
        linked_problem_df = audit_df[(audit_df[class="hl-string">'fieldname'] == class="hl-string">'problem_id') & (audit_df[class="hl-string">'newvalue'].notna())].copy()
        linked_problem_df = linked_problem_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        linked_problem_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Linked To Problem'
        event_log_frames.append(linked_problem_df)
        
        class=class="hl-string">"hl-comment"># Activity: Resolution Proposed (State changed to Resolved)
        resolved_df = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'state'].copy()
        class=class="hl-string">"hl-comment"># Note: Common value for class="hl-string">'Resolved' is class="hl-string">'6'. Adjust if needed.
        resolved_df = resolved_df[resolved_df[class="hl-string">'newvalue'].isin([class="hl-string">'6', class="hl-string">'Resolved'])]
        resolved_df[class="hl-string">'ActivityName'] = class="hl-string">'Resolution Proposed'
        event_log_frames.append(resolved_df)
        
        class=class="hl-string">"hl-comment"># Activity: Awaiting User Confirmation (State changed to Awaiting User Info, after resolved)
        class=class="hl-string">"hl-comment"># This logic is complex and dependent on workflow. A simplified version is shown.
        state_changes = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'state'].copy()
        state_changes[class="hl-string">'prev_state'] = state_changes.groupby(class="hl-string">'sys_id')[class="hl-string">'oldvalue'].shift(-1)
        awaiting_df = state_changes[
            (state_changes[class="hl-string">'newvalue'].isin([class="hl-string">'Awaiting User Info', class="hl-string">'3'])) & 
            (state_changes[class="hl-string">'oldvalue'].isin([class="hl-string">'Resolved', class="hl-string">'6']))
        ].copy()
        awaiting_df[class="hl-string">'ActivityName'] = class="hl-string">'Awaiting User Confirmation'
        event_log_frames.append(awaiting_df)

        class=class="hl-string">"hl-comment"># Activity: Incident Reopened
        reopened_df = audit_df[
            (audit_df[class="hl-string">'fieldname'] == class="hl-string">'state') & 
            (audit_df[class="hl-string">'oldvalue'].isin([class="hl-string">'6', class="hl-string">'7', class="hl-string">'Resolved', class="hl-string">'Closed']))
        ].copy()
        reopened_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Reopened'
        event_log_frames.append(reopened_df)
        
    class=class="hl-string">"hl-comment"># Activity: Support Comment Added
    if not journal_df.empty:
        comment_df = journal_df.copy()
        comment_df[class="hl-string">'ActivityName'] = class="hl-string">'Support Comment Added'
        event_log_frames.append(comment_df)

    class=class="hl-string">"hl-comment"># 4. Consolidate all event dataframes
    print(class="hl-string">"\n--- Consolidating Final Event Log ---")
    final_log = pd.DataFrame()
    for df in event_log_frames:
        if class="hl-string">'sys_created_on' in df.columns:
             df.rename(columns={class="hl-string">'sys_created_on': class="hl-string">'EventTime'}, inplace=True)
        if class="hl-string">'IncidentId' not in df.columns:
            continue class=class="hl-string">"hl-comment"># Skip frames that couldn't be processed
        
        common_cols = {
            class="hl-string">'IncidentId': None,
            class="hl-string">'ActivityName': None,
            class="hl-string">'EventTime': None,
            class="hl-string">'AssignedTo': None,
            class="hl-string">'AssignmentGroup': None,
            class="hl-string">'Priority': None,
            class="hl-string">'IncidentState': None
        }
        
        class=class="hl-string">"hl-comment"># Select and reorder columns, filling missing ones with None
        current_cols = {col: None for col in common_cols.keys()}
        df_subset = df[list(set(df.columns) & set(common_cols.keys()))].copy()
        final_log = pd.concat([final_log, df_subset], ignore_index=True)

    class=class="hl-string">"hl-comment"># 5. Final Cleaning and Formatting
    final_log.dropna(subset=[class="hl-string">'IncidentId', class="hl-string">'ActivityName', class="hl-string">'EventTime'], inplace=True)
    final_log[class="hl-string">'EventTime'] = pd.to_datetime(final_log[class="hl-string">'EventTime'])
    final_log.sort_values(by=[class="hl-string">'IncidentId', class="hl-string">'EventTime'], inplace=True)
    
    final_log[class="hl-string">'SourceSystem'] = SOURCE_SYSTEM_NAME
    final_log[class="hl-string">'LastDataUpdate'] = last_data_update
    
    class=class="hl-string">"hl-comment"># Reorder columns to the desired format
    final_log = final_log[[
        class="hl-string">'IncidentId', class="hl-string">'ActivityName', class="hl-string">'EventTime', class="hl-string">'SourceSystem', class="hl-string">'LastDataUpdate', 
        class="hl-string">'AssignedTo', class="hl-string">'AssignmentGroup', class="hl-string">'Priority', class="hl-string">'IncidentState'
    ]]

    class=class="hl-string">"hl-comment"># 6. Save to CSV
    output_filename = class="hl-string">'servicenow_incident_event_log.csv'
    final_log.to_csv(output_filename, index=False, date_format=class="hl-string">'%Y-%m-%dT%H:%M:%S.%f')
    print(fclass="hl-string">"\nSuccessfully extracted {len(final_log)} events for {final_log['IncidentId'].nunique()} incidents.")
    print(fclass="hl-string">"Event log saved to {output_filename}")

始める準備はできていますか？

このテンプレートには、インシデント管理のプロセスマイニングを始めるために必要な情報がそろっています。今すぐインシデント解決の改善を始めてください。

改善ガイドに戻るテンプレートをダウンロード

インシデントをより迅速に解決：今すぐServiceNowの効率を高める

ServiceNowのMTTRを35％短縮。問題を特定し、満足度を高めます。

無料トライアルを開始

クレジットカードは必要ありません。数分で最適化を始められます。

インシデント管理データテンプレート

インシデント管理データテンプレート

インシデント管理の属性

インシデント管理のアクティビティ

抽出ガイド

ServiceNow Table REST APIによる直接抽出

ステップ

設定

a サンプルクエリ javascript

ServiceNow REST APIを使ったPythonスクリプトによる抽出

ステップ

設定

a サンプルクエリ python

始める準備はできていますか？

インシデントをより迅速に解決：今すぐServiceNowの効率を高める

インシデント管理データテンプレート

インシデント管理データテンプレート

インシデント管理の属性

インシデント管理のアクティビティ

抽出ガイド

ServiceNow Table REST APIによる直接抽出

ステップ

設定

a サンプルクエリ javascript

ServiceNow REST APIを使ったPythonスクリプトによる抽出

ステップ

設定

a サンプルクエリ python

始める準備はできていますか？

インシデントをより迅速に解決：今すぐServiceNowの効率を高める

プライバシーを大切にしています