> 継続的なプロセス改善 > インシデント管理 > ServiceNowの問題管理 > データテンプレート

インシデント管理データテンプレート

ServiceNowの問題管理

インシデント管理の属性(19) インシデント管理のアクティビティ(13) データ抽出ガイド(2)

インシデント管理データテンプレート

このテンプレートでは、インシデント管理プロセスの分析と最適化に必要なデータの収集方法を詳しく説明します。収集する属性や追跡する主要なアクティビティに加え、ソースシステムからデータを抽出する方法も紹介します。この資料を参考にイベントログを作成し、プロセスを詳しく分析して改善に役立ててください。

収集を推奨する属性
追跡する主要なアクティビティ
ServiceNow問題管理のデータ抽出ガイド

イベントログを初めて作成する方はこちら：プロセスマイニング用イベントログの作成方法.

テンプレートをダウンロード

インシデント管理の属性

インシデント管理プロセスを詳しく分析するため、イベントログに含めることを推奨するデータ項目です。

5 必須 4 推奨 10 任意

	名前	説明
	アクティビティ名 ActivityName	インシデントのライフサイクルにおいて、特定の時点で発生したイベントまたはタスクの名前です。
説明アクティビティ名は、「インシデントの作成」「担当者への割り当て」「インシデントのクローズ」など、インシデント管理プロセスの具体的な手順や状態の変化を表します。通常、「State」や「Assignment Group」などの主要なインシデントフィールドの変更、または特定のログエントリから取得します。この属性は、プロセスマップの作成に欠かせません。プロセスグラフのノードを定義することで、分析担当者はインシデントの流れを可視化し、よくある経路を特定し、アクティビティ間のボトルネックを見つけ、プロセスのバリアントを分析できます。アクティビティ名の粒度と正確さは、プロセス分析の品質に直接影響します。重要な理由プロセスマップの各手順を定義します。あらゆるプロセスマイニング分析と可視化の基礎となります。入手先派生属性です。通常、「sys_audit」テーブルまたは「incident」テーブルの「state」「assignment_group」「assigned_to」などのフィールドの変更に基づき、データ変換ロジックで生成します。例インシデントの作成割り当てグループの変更解決策の提示インシデントのクローズ
	イベント時刻 EventTime	アクティビティが発生した正確な日時を示すタイムスタンプです。
説明イベント時刻はタイムスタンプとも呼ばれ、アクティビティが完了した日時や状態が変わった日時を記録します。ServiceNowでは通常、監査ログに記録された各変更の「sys_updated_on」フィールドに保存されます。この属性は、イベントを正しい順序に並べ、時間に基づく分析を行ううえで欠かせません。サイクルタイムや待ち時間、アクティビティ間の所要時間の算出に使われ、ボトルネックの特定、SLAに対するパフォーマンスの測定、プロセス効率の把握に役立ちます。所要時間に基づく指標の信頼性を保つには、タイムスタンプの正確さが重要です。重要な理由すべてのアクティビティを時系列に並べ、サイクルタイムやボトルネックなど、所要時間に基づく指標を算出できます。入手先 ServiceNowのsys_auditテーブルのsys_created_onフィールド、または最後の状態についてはincidentテーブルのsys_updated_onフィールド。例 2023-04-15T10:05:21Z2023-04-15T11:22:00Z2023-04-16T09:00:30Z
	インシデントID IncidentId	各インシデントレコードを一意に識別するIDです。ライフサイクル全体を追跡するための主キーとして使います。
説明インシデントIDは、ServiceNowで報告された各インシデントに割り当てられる一意の参照番号です。ケースを識別する基本情報として、インシデントの作成からクローズまで、関連するすべてのアクティビティ、更新、連絡を結び付けます。プロセスマイニング分析では、このIDが欠かせません。各ケースのイベントの流れをつなぎ合わせ、プロセスマップの作成、バリアントの分析、開始から終了までの所要時間の算出に利用します。ケースごとに一意のインシデントIDがなければ、解決プロセスにおけるインシデントの経過を追跡できません。重要な理由インシデントのライフサイクルにおけるすべてのイベントを結び付ける、必須のケースIDです。プロセス全体を分析するために使います。入手先 ServiceNowのインシデントテーブルのnumberフィールド。例 INC0010001INC0010045INC0010239
	ソースシステム SourceSystem	このデータの抽出元となるシステムです。
説明この属性はインシデントデータの取得元を示します。この場合はServiceNowの問題管理です。通常、データの抽出と変換の際に固定値として追加します。複数のシステムのデータを組み合わせて分析する環境では、このフィールドがデータの来歴の追跡やデータの区分に欠かせません。適切なコンテキストで指標やプロセスを分析できるようにし、異なるソースシステム間のプロセス比較にも役立ちます。重要な理由データの取得元を示す重要なコンテキスト情報です。データの来歴を追跡し、複数システムの環境でも適切に解釈できます。入手先通常、データの抽出時に固定値として追加します。例 ServiceNowの問題管理ServiceNow
	最終データ更新日時 LastDataUpdate	ソースシステムからこのレコードのデータが最後に更新された日時を示すタイムスタンプです。
説明この属性には、ServiceNowからデータを最後に抽出または更新した日時が記録されます。プロセス内のイベントではなく、分析対象データの鮮度を示すメタデータフィールドです。分析結果がどの程度最新のデータに基づいているかを把握するうえで重要な情報です。データの最新性は、業務用ダッシュボードや最近のイベントに基づく意思決定に関わります。データの関連性や新しさについて、利用者の期待値を調整する際にも役立ちます。重要な理由データの鮮度を利用者に伝え、分析の関連性と正確さを保つうえで役立ちます。入手先データの読み込み時に、データ抽出ツールまたはプロセスがこのタイムスタンプを生成して入力します。例 2023-10-27T02:00:00Z2023-10-28T02:00:00Z
	インシデントの状態 IncidentState	ライフサイクルにおけるインシデントの現在の状態です。
説明インシデントの状態は、「New」「In Progress」「On Hold」「Resolved」など、インシデントの現在の段階を示します。状態の変更は、プロセスマイニングのイベントログにアクティビティを生成する主な情報源となることがよくあります。各状態にかかった時間を分析すると、ボトルネックを特定できます。たとえば、「On Hold」の状態が長く続く場合、外部要因やユーザーへの依存が考えられます。状態の変化の順序はプロセスマップの基礎にもなり、インシデントがどのように解決へ進むかを示します。重要な理由インシデントの進捗を追跡し、各段階にかかった時間の分析やプロセスのボトルネックの特定に役立ちます。入手先 ServiceNowのインシデントテーブルのincident_stateフィールドまたはstateフィールド。例新規対応中ユーザー情報の待機解決済みクローズ
	優先度 Priority	インシデントの優先度です。必要な対応の緊急度を決定します。
説明優先度は、インシデントへの対応順序と速度を決めるServiceNowの主要なフィールドです。通常、インシデントの影響度と緊急度から算出され、SLAの目標に直接影響します。この属性は、分類やパフォーマンス分析の基礎となります。「SLAコンプライアンスの概要」ダッシュボードでは、優先度を使って、優先度の高いインシデントが目標時間内に解決されているかを評価します。優先度別にサイクルタイムを分析すると、重大なインシデントが優先度の低いインシデントより速く処理されているかを確認できます。ほぼすべての重要業績評価指標（KPI）やダッシュボードで重要な分析軸となります。重要な理由業務上の重要度に応じてインシデントを分類できます。SLAコンプライアンスの監視やリソースの割り当てに欠かせません。入手先 ServiceNowのインシデントテーブルのpriorityフィールド。例 1 - 重大2 - 高3 - 中4 - 低
	割り当てグループ AssignmentGroup	インシデント対応を担当するサポートチームまたはグループです。
説明割り当てグループは、インシデントの解決を担当するチームを表します。たとえば、レベル1のヘルプデスクから、ネットワークを専門とするレベル2のチームへインシデントが振り分けられることがあります。この属性は、チーム間の引き継ぎを分析し、組織全体のボトルネックを特定するうえで欠かせません。「引き継ぎと再割り当て率」ダッシュボードでは、このデータを使って、どのチームが頻繁に引き継ぎに関わっているかを示します。また、サポートグループ間のパフォーマンスを比較し、組織内のどこに解決の専門知識があるかを把握するのにも役立ちます。重要な理由担当チームを追跡し、チームのパフォーマンスや業務負荷、グループ間の引き継ぎを分析できます。入手先 ServiceNowのインシデントテーブルのassignment_groupフィールド。例サービスデスクネットワークサポートデータベース管理者
	担当者 AssignedTo	現在インシデントの対応を担当しているユーザーまたは担当者です。
説明この属性は、各時点でインシデントを担当するサポート担当者を特定します。業務負荷の配分、担当者のパフォーマンス、担当者間の引き継ぎを把握するうえで重要な情報です。分析では、「担当者」属性を使ってリソースの割り当てを可視化し、負荷が集中している担当者を特定できます。また、「引き継ぎと再割り当て」ダッシュボードでは、インシデントの担当者が何回変わったかを追跡します。これは、非効率や知識不足を示す場合があります。担当者別に解決時間を分析すると、優れた成果を上げている担当者や追加のトレーニングが必要な担当者も把握できます。重要な理由担当者の業務負荷やパフォーマンス、個人間の引き継ぎを分析できます。リソースの効率を把握するうえで重要です。入手先 ServiceNowのインシデントテーブルのassigned_toフィールド。例 Beth AnglinDavid LooHoward Johnson
	SLA期限 SlaDueDate	SLAに基づき、インシデントの解決が求められる期限の日時です。
説明 SLA期限は、インシデントの解決期限を示す計算済みのタイムスタンプです。インシデントの優先度などの特性に応じて、関連付けられたサービスレベル契約（SLA）から決まります。この属性は、SLA遵守状況の概要を示すダッシュボードと、重大インシデントのSLA違反率を示す重要業績評価指標（KPI）に欠かせません。実際の解決時間を比較する基準となります。SLA期限が近いインシデントを分析することで、先回りしたエスカレーションや優先順位付けに役立ちます。重要な理由解決期限を定めるため、SLAの遵守状況を測定し、期限超過のおそれがあるインシデントを特定できます。入手先通常、インシデントテーブルに関連付けられたtask_slaテーブルにあります。該当するタイムスタンプはplanned_end_timeフィールドです。例 2023-05-20T17:00:00Z2023-06-01T09:00:00Z
	SLA違反の有無 IsSlaBreached	インシデントの解決がSLA期限を超過したかどうかを示すフラグです。
説明これは、インシデントがサービスレベル契約（SLA）に違反したかどうかを示す計算済みの真偽値属性です。実際の解決日時とSLA期限を比較して算出します。解決日時が期限を過ぎている場合、フラグはtrueになります。この属性は、SLA遵守状況の概要を示すダッシュボードと関連する重要業績評価指標（KPI）の基礎となります。複雑な時間の比較を単純な真偽値に置き換えるため、SLA違反のインシデントを簡単に絞り込み、カテゴリ、割り当てグループ、優先度などの共通点を分析できます。重要な理由 SLA遵守状況の分析を簡単にし、目標を達成できなかったインシデントを絞り込んで詳しく調べられます。入手先 Resolved AtのタイムスタンプとSlaDueDateのタイムスタンプを比較して算出します。（Resolved At > SlaDueDate）例 truefalse
	カテゴリ Category	ハードウェア、ソフトウェア、ネットワークなど、インシデントの大まかな分類です。
説明カテゴリは、インシデントの種類を大まかに分類します。多くの場合、サブカテゴリと組み合わせて適切なサポートチームへの振り分けに使うほか、レポートや傾向分析にも利用します。プロセスマイニングでは、「インシデント分類の正確さ」や「再発インシデント件数」のダッシュボードに欠かせない属性です。プロセスの途中でカテゴリが変更されたインシデントを分析すると、初期トリアージの問題を特定できます。カテゴリでプロセスマップを絞り込むと、インシデントの種類によって解決経路が異なるか、特有のボトルネックがあるかも確認できます。重要な理由インシデントの種類を分析し、分類の正確さを測定できます。振り分けや傾向分析にも欠かせません。入手先 ServiceNowのインシデントテーブルのcategoryフィールド。例ハードウェアソフトウェアネットワークデータベース
	再オープンの有無 IsReopened	解決後にインシデントが再オープンされたかどうかを示すフラグです。
説明インシデントが一度解決済みまたはクローズになった後、状態がアクティブな状態（例：「対応中」）に戻ると、この真偽値フラグがtrueになります。通常、イベントログで「インシデントの再オープン」アクティビティを確認して特定します。再オープンされたインシデントは、解決が不完全または効果的でなかったことを示す有力な兆候です。こうした事例を分析すると、早すぎるクローズや、初回に適切に解決できなかった再発問題を特定できます。再オープン率が高いと、ユーザー満足度やチームの生産性に悪影響を及ぼす可能性があるため、品質管理の重要な指標です。重要な理由解決済みと判断された後に追加対応が必要となったインシデントを特定し、解決プロセスの問題を明らかにします。入手先各インシデントのアクティビティの順序を確認し、解決済みの後にオープン状態が続いているかどうかから算出します。例 truefalse
	再割り当て回数 ReassignmentCount	インシデントが別のグループまたは担当者に再割り当てされた回数です。
説明この項目には、インシデントが異なる割り当てグループ間で転送された合計回数が記録されます。プロセス上の滞りを直接示す指標であり、重要業績評価指標としてよく使われます。この属性は、引き継ぎ・再割り当て率のダッシュボードと、インシデントあたりの平均引き継ぎ回数を示す重要業績評価指標（KPI）の主な基礎となります。再割り当て回数が多い場合、最初の振り分けが適切でない、サポート担当者に必要なスキルが不足している、プロセスの責任範囲が不明確である、といった問題が考えられます。この回数を減らすことは、プロセス改善の一般的な目標です。通常、解決までの時間短縮につながります。重要な理由プロセスの引き継ぎを直接測定できます。非効率な処理や誤った振り分けを把握し、改善の機会を見つけるための重要な指標です。入手先 ServiceNowのインシデントテーブルにあるreassignment_countフィールドです。例 0135
	問題ID ProblemId	インシデントがより大きな問題に関連付けられている場合、その問題レコードを識別するIDです。
説明問題IDを使うと、インシデントを問題管理モジュール内の対応するレコードに関連付けられます。複数のユーザーやサービスに影響する根本的な問題の兆候としてインシデントが特定された場合に、この関連付けを行います。この関連付けは、再発インシデント件数のダッシュボードと再発インシデント率の重要業績評価指標（KPI）に欠かせません。同じ根本原因に起因するインシデントをまとめ、問題の影響全体を測定し、問題解決の取り組みの効果を追跡できます。問題に関連付けられたインシデントが多い場合、サポートが事後対応に追われている可能性があります。重要な理由インシデントを根本原因に関連付けるため、再発する問題の分析や問題管理の影響測定に役立ちます。入手先 ServiceNowのインシデントテーブルにあるproblem_idフィールドです。例 PRB0040001PRB0040015PRB0040102
	報告者 CallerId	最初にインシデントを報告したユーザーです。
説明報告者は、インシデントの影響を受け、その内容を報告したエンドユーザーまたは顧客を示します。この情報から、サービスの中断が誰に影響しているかを把握できます。プロセスの流れを分析するうえで常に中心となる項目ではありませんが、報告者別にインシデントを分析すると、特定の個人や部門に問題が偏っていないかを確認できます。研修の必要性や、特定の環境に限られた問題が見つかる場合もあります。また、顧客満足度調査や連絡のために、顧客を直接特定できます。重要な理由影響を受けたユーザーを特定し、部門別・個人別の分析や、ユーザーとの連絡に必要な背景情報の把握に役立ちます。入手先 ServiceNowのインシデントテーブルにあるcaller_idフィールドです。例 Abel TuterCarolina PashDon Goodliffe
	構成アイテム ConfigurationItem	インシデントの影響を受けた特定のITコンポーネント、サービス、または資産です。
説明構成アイテム（CI）は、構成管理データベース（CMDB）に登録されている資産のうち、インシデントの影響を受けたものです。サーバー、アプリケーション、ノートパソコン、ネットワーク機器などが該当します。 CI別にインシデントを分析すると、信頼性に問題のある資産やサービスを特定できます。ITインフラのどの部分でインシデントが多く発生しているかを把握し、アップグレードや交換への投資判断に役立てられます。プロセスマイニングでCIを条件に絞り込むと、重要なアプリケーションに関するインシデントが、ほかのインシデントと異なる方法や効率で処理されているかを確認できます。重要な理由影響を受けた資産を特定し、ITインフラの問題箇所を把握して、改善の対象を絞り込めます。入手先 ServiceNowのインシデントテーブルにあるcmdb_ciフィールドです。例 SAP ERP本番環境Oracle DBサーバー05メールサービス
	解決コード ResolutionCode	インシデントの最終的な解決方法を示すコードです。
説明解決コードは、適用した解決策の内容を示します。たとえば、ユーザーによる解決、既知のエラーへの対処、回避策の提示などを区別できます。この項目は通常、担当者がインシデントをクローズする際に入力します。この属性は、解決方法別の有効性を確認するダッシュボードを支えます。恒久対応と一時的な回避策のどちらでクローズしたインシデントが多いかを分析でき、サービス品質や長期的な安定性を把握するうえで役立ちます。回避策の割合が高い場合、根本的な問題に十分対処できていない可能性があります。重要な理由解決方法を明確にし、恒久対応と一時的な回避策を比較できるため、根本原因の分析にも役立ちます。入手先 ServiceNowのインシデントテーブルにあるclose_codeフィールド、またはカスタムの解決コードフィールドです。例解決済み（回避策）解決済み（恒久対応）未解決（ユーザーによるキャンセル）既知のエラー
	重大度 Severity	インシデントによる業務への影響の大きさです。
説明重大度は、インシデントが業務に与える影響の大きさを示します。緊急度とともに、インシデントの優先度を自動計算する際によく使われます。分析では、重大度はSLA遵守状況の概要を示すダッシュボードの重要な切り口です。業務への影響が大きいインシデントについて、サービスレベルを満たしているかを把握できます。優先度による運用面の評価を補い、業務への影響に基づいてパフォーマンスを確認できます。重要な理由インシデントが業務に与える影響を測定し、対応の優先順位付けや重大な問題のパフォーマンス分析に役立つ切り口を提供します。入手先 ServiceNowのインシデントテーブルにあるseverityフィールドです。例 1：高2：中3：低

必須推奨任意

インシデント管理のアクティビティ

プロセスを正確に把握して最適化するために、イベントログに記録する主要なステップとマイルストーンです。

6 推奨 7 任意

	アクティビティ	説明
	インシデントのクローズ	ライフサイクルの最後のアクティビティです。インシデントが完全に解決され、確認も済み、追加対応が不要になったことを示します。クローズ日時を使って明示的に記録します。
重要な理由最終的な終了イベントとして、このアクティビティはインシデントの全ライフサイクルにかかった時間の算出や、解決後の処理時間の分析に欠かせません。入手先「incident」テーブルの「closed_at」タイムスタンプを、明示的なイベント時刻として使用します。通常、「state」フィールドが「Closed」に変わったときに設定されます。記録インシデントレコードの「closed_at」タイムスタンプを使用します。イベントタイプ explicit
	インシデントの作成	ServiceNowに新しいインシデントが正式に記録された時点を示し、インシデントのライフサイクルの開始となります。このイベントは、インシデントレコードの作成日時を使って明示的に記録します。
重要な理由このイベントは、プロセスの主な開始イベントです。このアクティビティから解決までの時間を分析することは、全体のサイクルタイムやSLAコンプライアンスを測定するうえで基本となります。入手先「incident」テーブルの「sys_created_on」タイムスタンプを、このアクティビティの明示的なイベント時刻として使用します。記録インシデントレコードの「sys_created_on」タイムスタンプを使用します。イベントタイプ explicit
	インシデントをグループに割り当て	インシデントが対応を担当する特定のサポートグループに割り当てられたときに発生するアクティビティです。振り分けプロセスの重要な段階であり、割り当てグループのフィールドの変更を確認して記録します。
重要な理由割り当てを追跡すると、引き継ぎや各グループの待ち時間を分析し、振り分けの非効率な箇所やボトルネックを特定できます。入手先「sys_audit」テーブルで、「incident」テーブルの「assignment_group」フィールドに値が入力されたとき、または値が変更されたときを追跡して推定します。記録「assignment_group」フィールドの変更について、監査ログのタイムスタンプを使用します。イベントタイプ inferred
	作業開始	担当者がインシデントの調査または対応を実際に開始したことを示します。通常、インシデントの状態が「New」または「Assigned」から「In Progress」などの対応中の状態に変わったときに推定します。
重要な理由この節目は、初期の待ち時間が終わり、実際の解決作業が始まったことを示します。作業開始までの時間を測定することは、ボトルネック分析の要点です。入手先「sys_audit」テーブルで、「incident」テーブルの「state」フィールドが「In Progress」などの対応中を示す値に変わった時点を特定して推定します。記録「state」フィールドが「In Progress」または同様の値に変わった時刻を特定します。イベントタイプ inferred
	割り当てグループの変更	インシデントがあるサポートグループから別のグループへ引き継がれたことを示します。最初の割り当て後に「assignment_group」フィールドが再度変更されたことを確認して記録します。
重要な理由再割り当てが頻繁に発生する場合、最初の振り分けの誤り、プロセスの複雑さ、知識不足などが考えられます。このアクティビティは、「インシデントあたりの平均引き継ぎ回数」という重要業績評価指標（KPI）の測定に欠かせません。入手先「sys_audit」テーブルで、最初の割り当て後に「assignment_group」フィールドが変更されたかどうかを追跡して推定します。記録監査ログで「assignment_group」フィールドが変更された各時刻を特定します。イベントタイプ inferred
	解決策の提示	サポート担当者が修正を実施し、インシデントの状態を「Resolved」に変更した時点を示します。最終的なクローズに先立つ重要な節目です。
重要な理由このアクティビティは、実作業の終了と確認段階の開始を示します。この時点から「インシデントのクローズ」までの時間を調べると、ユーザーによる確認や検証の遅れを把握できます。入手先「sys_audit」テーブルで、「incident」テーブルの「state」フィールドが「Resolved」に変わったときに推定します。この時点で「resolved_at」タイムスタンプが入力されることもよくあります。記録「state」フィールドが「Resolved」になった時刻、または「resolved_at」タイムスタンプを使用します。イベントタイプ inferred
	インシデントのエスカレーション	インシデントの優先度または重大度が引き上げられ、より迅速な対応や別のリソースが必要になったときに発生します。「priority」フィールドの値が上がったことを検出して推定します。
重要な理由エスカレーションは、当初の想定よりインシデントが深刻だった場合や、SLA違反が迫っている場合に発生することがあります。こうしたイベントを分析すると、プロセス上の例外を把握できます。入手先「sys_audit」テーブルで、「priority」フィールドがより緊急度の高い値に変更されたことを特定して推定します。記録「priority」フィールドの値が上がったことを検出します（例：「3 - Moderate」から「2 - High」）。イベントタイプ inferred
	インシデントの再オープン	解決済みとされた後も問題が続いているとユーザーから報告されたときに発生します。インシデントの状態が「Resolved」から「In Progress」などの対応中の状態に戻ったことから推定します。
重要な理由インシデントの再オープンは、解決が不十分だったことを示し、手戻りにつながります。このアクティビティの追跡は、解決の品質や初回解決率を測定するうえで重要です。入手先「sys_audit」テーブルで、「state」フィールドが「Resolved」から「In Progress」や「Assigned」などの対応中の状態に戻ったことを検出して推定します。記録「state」が「Resolved」から対応中の値に変わった時刻を特定します。イベントタイプ inferred
	インシデントの分類	インシデントの初期分類を示します。「Category」「Subcategory」「Priority」などのフィールドが設定されます。通常、これらのフィールドが初めて入力されたとき、または作成直後に更新されたときの監査ログから、このイベントを推定します。
重要な理由正確な分類は、適切な振り分けと優先順位付けに欠かせません。このアクティビティを追跡すると、再分類の割合や解決時間への影響を分析できます。入手先「sys_audit」テーブルから、対象のインシデントの「category」「subcategory」「priority」などのフィールドに対する最初の変更を特定して推定します。記録監査ログで分類フィールドが最初に更新された時刻を特定します。イベントタイプ inferred
	インシデントを問題レコードにリンク	インシデントが問題レコードに正式に関連付けられ、より大きな根本問題の一部として扱われるときに発生するアクティビティです。インシデントレコードの「problem_id」フィールドに値が入力されたことから推定します。
重要な理由問題レコードへのリンクは、事後対応的なインシデント修正から、根本原因の予防的な分析へ移るための重要な段階です。「再発インシデント件数」ダッシュボードにも利用されます。入手先「incident」テーブルの「problem_id」参照フィールドに値が入力されたことを検出して推定します。記録監査ログで「problem_id」フィールドに値が入力された時刻を特定します。イベントタイプ inferred
	インシデントを担当者に割り当て	サポートグループ内の特定の担当者がインシデントの対応を引き受けた時点を示します。「assigned_to」フィールドの変更を監視して記録します。
重要な理由担当者ごとの業務負荷や初回対応での解決状況を詳しく把握できます。また、グループへの割り当て後、個人が対応を始めるまでインシデントがどれだけ待機したかを確認できます。入手先「sys_audit」テーブルで、「incident」テーブルの「assigned_to」フィールドに値が入力されたとき、または値が変更されたときを追跡して推定します。記録「assigned_to」フィールドの変更について、監査ログのタイムスタンプを使用します。イベントタイプ inferred
	サポートコメントの追加	サポート担当者が作業メモ、またはユーザーに表示されるコメントを追加します。インシデントのアクティビティストリームに明示的に記録されるイベントです。
重要な理由サポートチームの連絡や調査の状況を追跡します。コメントの頻度やタイミングを分析すると、調査プロセスを把握できます。入手先「incident」テーブルの「work_notes」フィールドと「comments」フィールドへの入力を記録する「sys_journal_field」テーブルから取得します。記録「element」が「work_notes」または「comments」のジャーナルエントリについて、作成時刻を使用します。イベントタイプ explicit
	ユーザーの確認待ち	インシデントは保留状態にあり、提示された解決策で問題が解消したかユーザーの確認を待っています。通常、解決後に「Awaiting User Info」などの特定の状態になったことから推定します。
重要な理由ユーザーからの返答が遅い場合、この状態が大きなボトルネックになることがあります。このアクティビティにかかった時間を測定すると、連絡の行き違いやクローズを自動化できる箇所を特定できます。入手先「sys_audit」テーブルで、解決後に特定の保留状態へ変更されたことを特定して推定します。「Awaiting Caller」など、状態名がカスタマイズされている場合もあります。記録「state」がユーザーからの入力待ちを示す値に変わった時刻を特定します。イベントタイプ inferred

推奨任意

データ抽出ガイド

ServiceNow問題管理からデータを取得する方法

ステップ

ServiceNowへのアクセス設定：ServiceNowのサービスアカウントの認証情報を取得します。このアカウントには、incidentテーブル、sys_auditテーブル、およびsys_id、number、sys_created_on、resolved_at、closed_at、assignment_group、assigned_to、priority、incident_state、state、category、subcategory、problem_id、comments、work_notesなどの必要なフィールドに対する読み取り権限（ACL）が必要です。
Node.js環境の設定：抽出スクリプトを実行するマシンにNode.jsがインストールされていることを確認します。HTTPリクエストを送信するaxiosライブラリを、ターミナルでnpm install axiosを実行してインストールします。
抽出スクリプトの準備：提供されたJavaScriptコードをextract_incidents.jsなどのファイルにコピーします。スクリプトの先頭にあるServiceNowインスタンスのURL、ユーザー名、パスワードのプレースホルダーを実際の値に置き換えます。
抽出条件の設定：スクリプト内のstartDate変数とendDate変数を変更し、抽出するインシデントの期間を指定します。初回は、結果を確認しやすいよう、1週間など短い期間を設定することをおすすめします。
スクリプトの実行：ターミナルでnode extract_incidents.jsを実行します。スクリプトがServiceNow APIからインシデントデータと関連する監査ログの取得を開始します。
スクリプトの進行状況を確認：スクリプトは処理済みのインシデント件数をコンソールに表示します。大規模なデータセットではAPI呼び出しが多くなるため、処理にかなり時間がかかる場合があります。
API応答の処理：スクリプトは各インシデントを順に処理します。インシデントごとにsys_auditテーブルを照会し、変更履歴全体を取得します。その後、履歴を処理して必要な13種類のアクティビティを特定し、タイムスタンプを付与します。
推定アクティビティの処理：スクリプトには、フィールドの変更からアクティビティを推定するロジックが含まれています。たとえば、priorityフィールドの新しい値が古い値より小さい場合（優先度が高くなったことを示します）、「インシデントのエスカレーション」を作成します。「作業開始」は、最初に状態が「対応中」に変更された時点で特定します。
イベントログの構成：アクティビティを特定すると、イベントログのレコードに変換します。各レコードには、IncidentId、ActivityName、EventTimeなどの必要な列が含まれます。
出力の保存：スクリプトの実行が完了すると、生成されたイベントログがservicenow_incident_event_log.jsonという名前のJSONファイルとして同じディレクトリに保存されます。このファイルには、抽出したすべてのイベントが配列形式で格納されます。
CSVへの変換：ProcessMindにアップロードするには、最終的なJSON出力をCSVファイルに変換する必要がある場合があります。一般的なデータツールまたは簡単なスクリプトを使ってJSON配列を表形式のCSVに変換し、列ヘッダーが必要な属性と一致していることを確認してください。

設定

APIエンドポイント：スクリプトは、ServiceNow Table APIの次の2つの主要なエンドポイントを対象にします。
- https://[Your ServiceNow Instance].service-now.com/api/now/table/incident
- https://[Your ServiceNow Instance].service-now.com/api/now/table/sys_audit
認証：提供されたスクリプトでは、基本認証（ユーザー名とパスワード）を使用します。サービスアカウントの認証情報が正しく、アカウントが有効であることを確認してください。
期間の絞り込み：クエリでは、インシデントの作成日時（sys_created_on）で対象を絞り込みます。期間はスクリプト内のstartDate変数とendDate変数で設定します。有意義な分析のために3～6か月分のデータを抽出することをおすすめしますが、テストでは短い期間から始めてください。
主なクエリパラメーター：
- sysparm_query：レコードの絞り込みに使用します。スクリプトは、作成日時でインシデントを絞り込むエンコード済みクエリ文字列を作成します。
- sysparm_fields：取得する列を指定します。APIの応答サイズを抑え、パフォーマンスを向上できます。
- sysparm_limit：1回のリクエストで返すレコード数を指定し、ページネーションを制御します。スクリプトでは一般的な設定である1000件を指定します。
- sysparm_offset：sysparm_limitと組み合わせて使用し、後続ページのデータを取得します。
パフォーマンスに関する注意点：すべてのインシデントについてsys_auditテーブルを照会する処理は、リソースを多く消費します。大規模なServiceNowインスタンスでは、利用の少ない時間帯に抽出を実行してください。APIに過剰な負荷をかけないよう、スクリプトはインシデントを順番に処理しますが、その分、全体の実行時間が長くなる場合があります。
前提条件：スクリプトの実行にはNode.js環境が必要です。抽出を実行するユーザーまたはサービスアカウントには、incidentテーブルとsys_auditテーブルに対する必要な読み取り権限（ACL）が必要です。

クエリの例 javascript

const axios = require('axios');
const fs = require('fs');

// --- Configuration ---
const INSTANCE_URL = 'https://[your-instance].service-now.com';
const USERNAME = '[your-username]';
const PASSWORD = '[your-password]';

// Define the date range for the extraction
const startDate = '2023-01-01 00:00:00';
const endDate = '2023-03-31 23:59:59';

const BATCH_SIZE = 1000; // Records per API call for incidents
const SOURCE_SYSTEM = 'ServiceNow';

// --- Main Extraction Logic ---
async function extractIncidentData() {
    const auth = { username: USERNAME, password: PASSWORD };
    const allEvents = [];
    let offset = 0;
    let hasMoreRecords = true;

    console.log(`Starting extraction for incidents created between ${startDate} and ${endDate}...`);

    while (hasMoreRecords) {
        try {
            // 1. Fetch a batch of incidents
            const incidentQuery = `sys_created_on>=${startDate}^sys_created_on<=${endDate}`;
            const incidentFields = [
                'sys_id', 'number', 'sys_created_on', 'resolved_at', 'closed_at',
                'assigned_to', 'assignment_group', 'priority', 'incident_state',
                'state', 'sys_updated_on'
            ].join(',');

            console.log(`Fetching incidents, offset: ${offset}...`);
            const incidentResponse = await axios.get(`${INSTANCE_URL}/api/now/table/incident`, {
                auth,
                params: {
                    sysparm_query: incidentQuery,
                    sysparm_fields: incidentFields,
                    sysparm_limit: BATCH_SIZE,
                    sysparm_offset: offset
                }
            });

            const incidents = incidentResponse.data.result;
            if (incidents.length === 0) {
                hasMoreRecords = false;
                continue;
            }

            // 2. For each incident, fetch its audit trail and generate events
            for (const incident of incidents) {
                const lastDataUpdate = new Date().toISOString();

                // --- Explicit Events from Incident Table ---
                allEvents.push(createEvent(incident, 'Incident Created', incident.sys_created_on, lastDataUpdate));
                if (incident.resolved_at) {
                    allEvents.push(createEvent(incident, 'Resolution Proposed', incident.resolved_at, lastDataUpdate));
                }
                if (incident.closed_at) {
                    allEvents.push(createEvent(incident, 'Incident Closed', incident.closed_at, lastDataUpdate));
                }

                // --- Inferred Events from Audit Table ---
                const auditQuery = `documentkey=${incident.sys_id}`;
                const auditFields = 'sys_created_on,fieldname,oldvalue,newvalue';
                const auditResponse = await axios.get(`${INSTANCE_URL}/api/now/table/sys_audit`, {
                    auth,
                    params: { sysparm_query: auditQuery, sysparm_fields: auditFields, sysparm_display_value: 'true' }
                });

                const auditRecords = auditResponse.data.result.sort((a, b) => new Date(a.sys_created_on) - new Date(b.sys_created_on));
                
                let isCategorized = false, isGroupAssigned = false, isAgentAssigned = false, isWorkStarted = false, isProblemLinked = false, isReopened = false;
                let lastPriority = null;
                
                for (const audit of auditRecords) {
                    const eventTime = audit.sys_created_on;
                    
                    if (!isCategorized && (audit.fieldname === 'category' || audit.fieldname === 'subcategory') && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Categorized', eventTime, lastDataUpdate));
                        isCategorized = true;
                    }
                    if (!isGroupAssigned && audit.fieldname === 'assignment_group' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Assigned To Group', eventTime, lastDataUpdate));
                        isGroupAssigned = true;
                    } else if (isGroupAssigned && audit.fieldname === 'assignment_group' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Assignment Group Changed', eventTime, lastDataUpdate));
                    }
                    if (!isAgentAssigned && audit.fieldname === 'assigned_to' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Assigned To Agent', eventTime, lastDataUpdate));
                        isAgentAssigned = true;
                    }
                    if (!isWorkStarted && (audit.fieldname === 'state' || audit.fieldname === 'incident_state') && audit.newvalue.toLowerCase().includes('progress')) {
                        allEvents.push(createEvent(incident, 'Work Started', eventTime, lastDataUpdate));
                        isWorkStarted = true;
                    }
                    if ((audit.fieldname === 'comments' || audit.fieldname === 'work_notes') && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Support Comment Added', eventTime, lastDataUpdate));
                    }
                    if (audit.fieldname === 'priority') {
                         const oldPriorityVal = parseInt(audit.oldvalue.match(/\d+/), 10);
                         const newPriorityVal = parseInt(audit.newvalue.match(/\d+/), 10);
                         if (lastPriority !== null && newPriorityVal < lastPriority) {
                             allEvents.push(createEvent(incident, 'Incident Escalated', eventTime, lastDataUpdate));
                         }
                         lastPriority = newPriorityVal;
                    }
                    if (!isProblemLinked && audit.fieldname === 'problem_id' && audit.newvalue) {
                        allEvents.push(createEvent(incident, 'Incident Linked To Problem', eventTime, lastDataUpdate));
                        isProblemLinked = true;
                    }
                    if ((audit.fieldname === 'state' || audit.fieldname === 'incident_state') && audit.newvalue.toLowerCase().includes('awaiting')) {
                         allEvents.push(createEvent(incident, 'Awaiting User Confirmation', eventTime, lastDataUpdate));
                    }
                    if (!isReopened && (audit.fieldname === 'state' || audit.fieldname === 'incident_state') && (audit.oldvalue.toLowerCase().includes('resolved') || audit.oldvalue.toLowerCase().includes('closed')) && audit.newvalue.toLowerCase().includes('progress')) {
                        allEvents.push(createEvent(incident, 'Incident Reopened', eventTime, lastDataUpdate));
                        isReopened = true; 
                    }
                }
            }

            offset += BATCH_SIZE;
            console.log(`Processed ${incidents.length} incidents. Total events so far: ${allEvents.length}`);

        } catch (error) {
            console.error('An error occurred:', error.response ? error.response.data : error.message);
            hasMoreRecords = false; // Stop on error
        }
    }

    // 3. Save results to a file
    fs.writeFileSync('servicenow_incident_event_log.json', JSON.stringify(allEvents, null, 2));
    console.log(`Extraction complete. ${allEvents.length} events saved to servicenow_incident_event_log.json`);
}

// --- Helper Function to create a standard event object ---
function createEvent(incident, activityName, eventTime, lastDataUpdate) {
    return {
        IncidentId: incident.number,
        ActivityName: activityName,
        EventTime: eventTime,
        SourceSystem: SOURCE_SYSTEM,
        LastDataUpdate: lastDataUpdate,
        AssignedTo: incident.assigned_to.display_value || '',
        AssignmentGroup: incident.assignment_group.display_value || '',
        Priority: incident.priority.display_value || '',
        IncidentState: incident.incident_state.display_value || incident.state.display_value || ''
    };
}

// --- Run the script ---
extractIncidentData();

ステップ

前提条件：システムにPython 3.6以降がインストールされていることを確認します。pipで必要なライブラリをインストールします：pip install requests pandas。
ServiceNowの設定：この抽出専用のサービスアカウントをServiceNowに作成します。必要なテーブル（incident、sys_audit、sys_journal_field）への読み取りアクセスを付与するため、このユーザーにitilロールとrest_api_explorerロールを割り当てます。
スクリプトの設定：提供されたPythonスクリプトを開きます。先頭の設定セクションで、SNOW_INSTANCE、SNOW_USER、SNOW_PASSWORDのプレースホルダーをServiceNowインスタンスのURLとサービスアカウントの認証情報に置き換えます。START_DATEとEND_DATEを変更し、抽出する期間を指定します。
スクリプトの実行：コマンドラインでpython your_script_name.pyを実行します。スクリプトがServiceNowの認証を行い、API呼び出しを開始します。
データの取得：まず、指定期間内に作成されたすべてのインシデントをincidentテーブルから取得します。次に、取得したインシデントIDを使って、sys_auditから関連する監査履歴をすべて、sys_journal_fieldからコメントをすべて取得します。
イベントログの作成：スクリプトは生のデータをメモリ上で処理します。事前に定義されたアクティビティを順に確認し、それぞれの種類に応じた行を作成します。たとえば、sys_created_onフィールドから「インシデントの作成」イベントを、closed_atフィールドから「インシデントのクローズ」イベントを特定します。そのほかのイベントについては、監査ログを分析し、状態の遷移、フィールドの変更、エスカレーションを特定します。
属性のマッピング：イベント行を作成するたびに、メインのインシデントレコードを参照して、イベント発生時点のAssignmentGroup、AssignedTo、Priority、IncidentStateなどの属性を追加します。
データの統合：アクティビティの種類ごとに作成した個別のイベントDataFrameを1つにまとめ、イベントログDataFrameを作成します。
最終変換：統合したDataFrameをIncidentIdとEventTimeで並べ替え、各ケースのイベントが正しい時系列順になるようにします。SourceSystem列とLastDataUpdate列には固定値を追加します。
CSVへのエクスポート：最終的なイベントログは、スクリプトを実行したディレクトリにservicenow_incident_event_log.csvとして保存されます。このファイルをプロセスマイニングソフトウェアにアップロードできます。

設定

ServiceNowインスタンス（SNOW_INSTANCE）：ServiceNowインスタンスの完全なURLです。例：https://yourcompany.service-now.com。
認証情報（SNOW_USER、SNOW_PASSWORD）：サービスアカウントの認証情報です。本番環境では、基本認証の代わりにOAuthまたはトークンベースの認証を検討してください。
期間（START_DATE、END_DATE）：インシデントの作成日時に基づいて、抽出する期間を指定します。データ量と分析結果のバランスを考慮し、初回の分析では3～6か月分をおすすめします。期間を長くすると、抽出時間も大幅に増加します。
APIクエリパラメーター（sysparm_query）：スクリプトではsysparm_queryを使い、作成日時（sys_created_on）でインシデントを絞り込みます。条件を追加して対象をさらに絞ることもできます。たとえば、active=false^company=[Your Company Sys ID]を指定すると、特定の会社のクローズ済みインシデントのみを抽出できます。
APIのレート制限：ServiceNowのAPIレート制限にご注意ください。スクリプトはページネーションに対応していますが、レート制限を明示的に処理する機能はありません。非常に大規模なインスタンスでは、制限を超えないよう、リクエストの間にtime.sleep()を追加する必要がある場合があります。
必要な権限：指定したユーザーには、incident、sys_audit、sys_journal_fieldテーブルへの読み取りアクセス（ACL）が必要です。通常はitilロールで付与されますが、インスタンスによっては独自のアクセス制御が設定されている場合があります。

クエリの例 python

import requests
import pandas as pd
from datetime import datetime
import getpass

class=class="hl-string">"hl-comment"># --- Configuration ---
class=class="hl-string">"hl-comment"># Replace with your ServiceNow instance URL, e.g., class="hl-string">'https://yourinstance.service-now.com'
SNOW_INSTANCE = class="hl-string">"[Your ServiceNow Instance URL]"
class=class="hl-string">"hl-comment"># Replace with your ServiceNow user. Consider using a dedicated service account.
SNOW_USER = class="hl-string">"[Your Username]"
class=class="hl-string">"hl-comment"># It's recommended to use a secure way to handle passwords, like environment variables or a secrets manager.
class=class="hl-string">"hl-comment"># getpass is used here for interactive entry to avoid hardcoding.
SNOW_PASSWORD = getpass.getpass(class="hl-string">"Enter ServiceNow Password: ")

class=class="hl-string">"hl-comment"># Define the date range for the extraction (YYYY-MM-DD format)
START_DATE = class="hl-string">"2023-01-01"
END_DATE = class="hl-string">"2023-06-30"

SOURCE_SYSTEM_NAME = class="hl-string">"ServiceNow"

class=class="hl-string">"hl-comment"># --- Helper Function for Paginated API Calls ---
def fetch_all_records(url, headers, params):
    class="hl-string">"""Fetches all records from a paginated ServiceNow API endpoint."""
    all_records = []
    offset = 0
    limit = 1000
    while True:
        params[class="hl-string">'sysparm_offset'] = offset
        params[class="hl-string">'sysparm_limit'] = limit
        response = requests.get(url, headers=headers, params=params)
        response.raise_for_status() class=class="hl-string">"hl-comment"># Raises an exception for bad status codes
        data = response.json().get(class="hl-string">'result', [])
        if not data:
            break
        all_records.extend(data)
        offset += len(data)
        print(fclass="hl-string">"Fetched {len(all_records)} records so far...")
    return all_records

class=class="hl-string">"hl-comment"># --- Main Script ---
if __name__ == class="hl-string">"__main__":
    auth = (SNOW_USER, SNOW_PASSWORD)
    headers = {class="hl-string">"Accept": class="hl-string">"application/json"}
    last_data_update = datetime.utcnow().isoformat() + class="hl-string">"Z"

    class=class="hl-string">"hl-comment"># 1. Fetch base Incident Data
    print(class="hl-string">"\n--- Fetching Incident Data ---")
    incident_url = fclass="hl-string">"{SNOW_INSTANCE}/api/now/table/incident"
    incident_query = fclass="hl-string">"sys_created_on>={START_DATE} 00:00:00^sys_created_on<={END_DATE} 23:59:59"
    incident_params = {
        class="hl-string">'sysparm_query': incident_query,
        class="hl-string">'sysparm_fields': class="hl-string">'sys_id,number,sys_created_on,closed_at,opened_at,priority,state,assignment_group,assigned_to,problem_id'
    }
    incidents_raw = fetch_all_records(incident_url, headers, auth, incident_params)
    incidents_df = pd.DataFrame(incidents_raw)
    
    if incidents_df.empty:
        print(class="hl-string">"No incidents found for the given date range. Exiting.")
        exit()

    class=class="hl-string">"hl-comment"># Map sys_id to readable values for easier processing later
    for col in [class="hl-string">'assignment_group', class="hl-string">'assigned_to', class="hl-string">'problem_id']:
        if col in incidents_df.columns:
            incidents_df[col] = incidents_df[col].apply(lambda x: x[class="hl-string">'display_value'] if isinstance(x, dict) and x else None)
            
    incident_sys_ids = class="hl-string">','.join(incidents_df[class="hl-string">'sys_id'].unique())

    class=class="hl-string">"hl-comment"># 2. Fetch Audit (sys_audit) Data for these incidents
    print(class="hl-string">"\n--- Fetching Audit Data ---")
    audit_url = fclass="hl-string">"{SNOW_INSTANCE}/api/now/table/sys_audit"
    audit_query = fclass="hl-string">"documentkeyIN{incident_sys_ids}"
    audit_params = {
        class="hl-string">'sysparm_query': audit_query,
        class="hl-string">'sysparm_fields': class="hl-string">'documentkey,sys_created_on,fieldname,oldvalue,newvalue'
    }
    audit_raw = fetch_all_records(audit_url, headers, auth, audit_params)
    audit_df = pd.DataFrame(audit_raw)
    audit_df.rename(columns={class="hl-string">'documentkey': class="hl-string">'sys_id'}, inplace=True)

    class=class="hl-string">"hl-comment"># 3. Fetch Journal (comments) Data for these incidents
    print(class="hl-string">"\n--- Fetching Journal/Comment Data ---")
    journal_url = fclass="hl-string">"{SNOW_INSTANCE}/api/now/table/sys_journal_field"
    journal_query = fclass="hl-string">"element_idIN{incident_sys_ids}^element=work_notes,comments"
    journal_params = {
        class="hl-string">'sysparm_query': journal_query,
        class="hl-string">'sysparm_fields': class="hl-string">'element_id,sys_created_on'
    }
    journal_raw = fetch_all_records(journal_url, headers, auth, journal_params)
    journal_df = pd.DataFrame(journal_raw)
    journal_df.rename(columns={class="hl-string">'element_id': class="hl-string">'sys_id'}, inplace=True)

    print(class="hl-string">"\n--- Processing Data and Generating Event Log ---")
    event_log_frames = []

    class=class="hl-string">"hl-comment"># Merge incident details into audit and journal logs for context
    incidents_context_df = incidents_df[[class="hl-string">'sys_id', class="hl-string">'number', class="hl-string">'assignment_group', class="hl-string">'assigned_to', class="hl-string">'priority', class="hl-string">'state']].copy()
    incidents_context_df.rename(columns={class="hl-string">'number': class="hl-string">'IncidentId'}, inplace=True)

    if not audit_df.empty:
        audit_df = pd.merge(audit_df, incidents_context_df, on=class="hl-string">'sys_id', how=class="hl-string">'left')
    if not journal_df.empty:
        journal_df = pd.merge(journal_df, incidents_context_df, on=class="hl-string">'sys_id', how=class="hl-string">'left')

    class=class="hl-string">"hl-comment"># Activity: Incident Created
    created_df = incidents_df[[class="hl-string">'number', class="hl-string">'sys_created_on', class="hl-string">'assignment_group', class="hl-string">'assigned_to', class="hl-string">'priority', class="hl-string">'state']].copy()
    created_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Created'
    created_df.rename(columns={class="hl-string">'number': class="hl-string">'IncidentId', class="hl-string">'sys_created_on': class="hl-string">'EventTime', class="hl-string">'assignment_group': class="hl-string">'AssignmentGroup', class="hl-string">'assigned_to': class="hl-string">'AssignedTo', class="hl-string">'priority': class="hl-string">'Priority', class="hl-string">'state': class="hl-string">'IncidentState'}, inplace=True)
    event_log_frames.append(created_df)

    class=class="hl-string">"hl-comment"># Activity: Incident Closed
    closed_df = incidents_df[incidents_df[class="hl-string">'closed_at'].notna() & (incidents_df[class="hl-string">'closed_at'] != class="hl-string">'')].copy()
    closed_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Closed'
    closed_df.rename(columns={class="hl-string">'number': class="hl-string">'IncidentId', class="hl-string">'closed_at': class="hl-string">'EventTime', class="hl-string">'assignment_group': class="hl-string">'AssignmentGroup', class="hl-string">'assigned_to': class="hl-string">'AssignedTo', class="hl-string">'priority': class="hl-string">'Priority', class="hl-string">'state': class="hl-string">'IncidentState'}, inplace=True)
    event_log_frames.append(closed_df.drop(columns=[class="hl-string">'sys_created_on']))

    class=class="hl-string">"hl-comment"># Process audit data for remaining activities
    if not audit_df.empty:
        audit_df.sort_values(by=[class="hl-string">'sys_id', class="hl-string">'sys_created_on'], inplace=True)
        
        class=class="hl-string">"hl-comment"># Activity: Incident Categorized (first change to category, subcategory, or priority)
        categorized_fields = [class="hl-string">'category', class="hl-string">'subcategory', class="hl-string">'priority']
        categorized_df = audit_df[audit_df[class="hl-string">'fieldname'].isin(categorized_fields)].copy()
        categorized_df = categorized_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        categorized_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Categorized'
        event_log_frames.append(categorized_df)

        class=class="hl-string">"hl-comment"># Activity: Incident Assigned To Group
        assign_group_df = audit_df[(audit_df[class="hl-string">'fieldname'] == class="hl-string">'assignment_group') & (audit_df[class="hl-string">'newvalue'].notna())].copy()
        assign_group_first_df = assign_group_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        assign_group_first_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Assigned To Group'
        event_log_frames.append(assign_group_first_df)
        
        class=class="hl-string">"hl-comment"># Activity: Assignment Group Changed (subsequent changes)
        assign_group_changed_df = assign_group_df.loc[assign_group_df.index.difference(assign_group_first_df.index)]
        assign_group_changed_df[class="hl-string">'ActivityName'] = class="hl-string">'Assignment Group Changed'
        event_log_frames.append(assign_group_changed_df)

        class=class="hl-string">"hl-comment"># Activity: Incident Assigned To Agent
        assign_agent_df = audit_df[(audit_df[class="hl-string">'fieldname'] == class="hl-string">'assigned_to') & (audit_df[class="hl-string">'newvalue'].notna())].copy()
        assign_agent_df = assign_agent_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        assign_agent_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Assigned To Agent'
        event_log_frames.append(assign_agent_df)

        class=class="hl-string">"hl-comment"># Activity: Work Started (State changed to In Progress)
        work_started_df = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'state'].copy()
        class=class="hl-string">"hl-comment"># Note: The class="hl-string">'newvalue' for state is often a numeric ID. Common value for class="hl-string">'In Progress' is class="hl-string">'2'. Adjust if needed.
        work_started_df = work_started_df[work_started_df[class="hl-string">'newvalue'].isin([class="hl-string">'2', class="hl-string">'In Progress', class="hl-string">'Work in Progress'])]
        work_started_df = work_started_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        work_started_df[class="hl-string">'ActivityName'] = class="hl-string">'Work Started'
        event_log_frames.append(work_started_df)
        
        class=class="hl-string">"hl-comment"># Activity: Incident Escalated (Priority increases)
        priority_map = {class="hl-string">'1 - Critical': 1, class="hl-string">'2 - High': 2, class="hl-string">'3 - Moderate': 3, class="hl-string">'4 - Low': 4, class="hl-string">'5 - Planning': 5}
        escalated_df = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'priority'].copy()
        escalated_df[class="hl-string">'old_priority_val'] = escalated_df[class="hl-string">'oldvalue'].map(priority_map)
        escalated_df[class="hl-string">'new_priority_val'] = escalated_df[class="hl-string">'newvalue'].map(priority_map)
        escalated_df.dropna(subset=[class="hl-string">'old_priority_val', class="hl-string">'new_priority_val'], inplace=True)
        escalated_df = escalated_df[escalated_df[class="hl-string">'new_priority_val'] < escalated_df[class="hl-string">'old_priority_val']]
        escalated_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Escalated'
        event_log_frames.append(escalated_df)
        
        class=class="hl-string">"hl-comment"># Activity: Incident Linked To Problem
        linked_problem_df = audit_df[(audit_df[class="hl-string">'fieldname'] == class="hl-string">'problem_id') & (audit_df[class="hl-string">'newvalue'].notna())].copy()
        linked_problem_df = linked_problem_df.drop_duplicates(subset=[class="hl-string">'sys_id'], keep=class="hl-string">'first')
        linked_problem_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Linked To Problem'
        event_log_frames.append(linked_problem_df)
        
        class=class="hl-string">"hl-comment"># Activity: Resolution Proposed (State changed to Resolved)
        resolved_df = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'state'].copy()
        class=class="hl-string">"hl-comment"># Note: Common value for class="hl-string">'Resolved' is class="hl-string">'6'. Adjust if needed.
        resolved_df = resolved_df[resolved_df[class="hl-string">'newvalue'].isin([class="hl-string">'6', class="hl-string">'Resolved'])]
        resolved_df[class="hl-string">'ActivityName'] = class="hl-string">'Resolution Proposed'
        event_log_frames.append(resolved_df)
        
        class=class="hl-string">"hl-comment"># Activity: Awaiting User Confirmation (State changed to Awaiting User Info, after resolved)
        class=class="hl-string">"hl-comment"># This logic is complex and dependent on workflow. A simplified version is shown.
        state_changes = audit_df[audit_df[class="hl-string">'fieldname'] == class="hl-string">'state'].copy()
        state_changes[class="hl-string">'prev_state'] = state_changes.groupby(class="hl-string">'sys_id')[class="hl-string">'oldvalue'].shift(-1)
        awaiting_df = state_changes[
            (state_changes[class="hl-string">'newvalue'].isin([class="hl-string">'Awaiting User Info', class="hl-string">'3'])) & 
            (state_changes[class="hl-string">'oldvalue'].isin([class="hl-string">'Resolved', class="hl-string">'6']))
        ].copy()
        awaiting_df[class="hl-string">'ActivityName'] = class="hl-string">'Awaiting User Confirmation'
        event_log_frames.append(awaiting_df)

        class=class="hl-string">"hl-comment"># Activity: Incident Reopened
        reopened_df = audit_df[
            (audit_df[class="hl-string">'fieldname'] == class="hl-string">'state') & 
            (audit_df[class="hl-string">'oldvalue'].isin([class="hl-string">'6', class="hl-string">'7', class="hl-string">'Resolved', class="hl-string">'Closed']))
        ].copy()
        reopened_df[class="hl-string">'ActivityName'] = class="hl-string">'Incident Reopened'
        event_log_frames.append(reopened_df)
        
    class=class="hl-string">"hl-comment"># Activity: Support Comment Added
    if not journal_df.empty:
        comment_df = journal_df.copy()
        comment_df[class="hl-string">'ActivityName'] = class="hl-string">'Support Comment Added'
        event_log_frames.append(comment_df)

    class=class="hl-string">"hl-comment"># 4. Consolidate all event dataframes
    print(class="hl-string">"\n--- Consolidating Final Event Log ---")
    final_log = pd.DataFrame()
    for df in event_log_frames:
        if class="hl-string">'sys_created_on' in df.columns:
             df.rename(columns={class="hl-string">'sys_created_on': class="hl-string">'EventTime'}, inplace=True)
        if class="hl-string">'IncidentId' not in df.columns:
            continue class=class="hl-string">"hl-comment"># Skip frames that couldn't be processed
        
        common_cols = {
            class="hl-string">'IncidentId': None,
            class="hl-string">'ActivityName': None,
            class="hl-string">'EventTime': None,
            class="hl-string">'AssignedTo': None,
            class="hl-string">'AssignmentGroup': None,
            class="hl-string">'Priority': None,
            class="hl-string">'IncidentState': None
        }
        
        class=class="hl-string">"hl-comment"># Select and reorder columns, filling missing ones with None
        current_cols = {col: None for col in common_cols.keys()}
        df_subset = df[list(set(df.columns) & set(common_cols.keys()))].copy()
        final_log = pd.concat([final_log, df_subset], ignore_index=True)

    class=class="hl-string">"hl-comment"># 5. Final Cleaning and Formatting
    final_log.dropna(subset=[class="hl-string">'IncidentId', class="hl-string">'ActivityName', class="hl-string">'EventTime'], inplace=True)
    final_log[class="hl-string">'EventTime'] = pd.to_datetime(final_log[class="hl-string">'EventTime'])
    final_log.sort_values(by=[class="hl-string">'IncidentId', class="hl-string">'EventTime'], inplace=True)
    
    final_log[class="hl-string">'SourceSystem'] = SOURCE_SYSTEM_NAME
    final_log[class="hl-string">'LastDataUpdate'] = last_data_update
    
    class=class="hl-string">"hl-comment"># Reorder columns to the desired format
    final_log = final_log[[
        class="hl-string">'IncidentId', class="hl-string">'ActivityName', class="hl-string">'EventTime', class="hl-string">'SourceSystem', class="hl-string">'LastDataUpdate', 
        class="hl-string">'AssignedTo', class="hl-string">'AssignmentGroup', class="hl-string">'Priority', class="hl-string">'IncidentState'
    ]]

    class=class="hl-string">"hl-comment"># 6. Save to CSV
    output_filename = class="hl-string">'servicenow_incident_event_log.csv'
    final_log.to_csv(output_filename, index=False, date_format=class="hl-string">'%Y-%m-%dT%H:%M:%S.%f')
    print(fclass="hl-string">"\nSuccessfully extracted {len(final_log)} events for {final_log['IncidentId'].nunique()} incidents.")
    print(fclass="hl-string">"Event log saved to {output_filename}")

始める準備はできていますか？

このテンプレートを使えば、インシデント管理のプロセスマイニングを始めるために必要な情報がそろいます。インシデント解決の改善に取り組みましょう。

改善ガイドに戻る

テンプレートをダウンロード

インシデントをより迅速に解決：ServiceNowの効率を今すぐ向上

ServiceNowで平均修復時間（MTTR）を35％短縮。問題を特定し、満足度を高めます。

無料トライアルを開始

クレジットカードは不要です。数分で最適化を始められます。

インシデント管理データテンプレート

インシデント管理データテンプレート

インシデント管理の属性

インシデント管理のアクティビティ

データ抽出ガイド

ServiceNow Table REST APIを使った直接抽出

ステップ

設定

クエリの例 javascript

ServiceNow REST APIを使ったPythonスクリプトによるデータ抽出

ステップ

設定

クエリの例 python

始める準備はできていますか？

インシデントをより迅速に解決：ServiceNowの効率を今すぐ向上