事件管理是什么
事件管理（Incident Management）是 ITIL 4 的 34 项管理实践之一，属于服务管理实践。它的目标只有一个：用尽可能短的停机时间恢复服务的正常运转，把业务影响压到最小，而不是在现场把根因彻底查清。事件追的是恢复速度，问题追的是根因消除，两者目标不同、时间尺度也不同。落地形态通常是：监控告警触发、服务台受理、值班工程师处置，影响面达到阈值时另行启动重大事件机制。
基本信息
| 实践归属 | ITIL 4 服务管理实践（34 项实践之一） |
|---|---|
| 目标 | 尽快恢复服务、降低业务影响 |
| 输入 | 监控告警、用户报告、服务台工单 |
| 输出 | 已恢复的服务 + 事件记录 |
| 常用指标 | MTTA、MTTR、重大事件数、P95 恢复时长 |
| 不负责 | 根因消除与防止复发（归问题管理） |
典型使用场景
- 生产环境故障处置：接口报错、连接池耗尽、容量打满，先止血再定位
- 值班响应：告警进入值班队列后按优先级排序处置，夜间依赖升级机制找人
- 用户报障受理：服务台分类定级后转派，避免同一故障多人重复排查
- 重大事件：影响面达到预定义阈值时启动指挥机制与固定节奏对外通报
- 发布后异常：与变更记录比对，快速判断是否为最近一次发布引入并触发回滚
- 复盘输入：把完整时间线交给问题管理与无责复盘，形成带责任人的行动项
事件状态流转示例
事件状态流转示例
新建 → 分类定级 → 处理中（初步诊断 + 临时方案）
→ 升级（功能升级找专家 / 层级升级找管理资源）
→ 已解决 → 关闭
重大事件：单独时间线 + 固定节奏对外通报
记录要素：影响范围 / 起止时间 / 恢复动作 / 关联变更
反例：跳过“已解决”直接关闭，MTTR 与复盘数据都会失真关键指标逐项读法
| 指标 | 口径要点 | 正常表现 | 异常信号 |
|---|---|---|---|
| MTTA 平均响应确认 | 告警产生到有人认领 | 分钟级、在时限内认领 | 确认普遍超时，说明告警路由或排班失效 |
| MTTR 平均恢复时长 | 认领到服务恢复，口径须写死 | 稳定且 P95 与均值差距可控 | 均值好看但 P95 很差，长尾事件拖垮体验 |
| 重大事件数 | 按预定义触发条件统计 | 逐季下降或持平 | 同类型重大事件反复出现，问题管理缺位 |
| 重复事件占比 | 同一根因再次触发的事件比例 | 低且趋势下降 | 占比上升说明临时方案没被升级为永久修复 |
| 一次解决率 | 服务台首次处理即恢复的比例 | 按一线能力设定基线 | 骤降多为知识库未同步或新人培训不足 |
事件先恢复、问题再根治：现场若纠缠根因，恢复时间会被拉长；把根因线索写进事件记录，交问题管理继续追。
ITIL 4 未强制规定事件分几级，P1-P4 是行业常见约定；分级规则必须与业务方共同确认并写入值班手册，否则夜间升级会退化成人情判断。
与其他实践的接口：变更使能提供变更记录用于关联，问题管理接收重复事件与重大事件，可用性管理消费 MTTR 与停机时长数据，服务台负责入口与信息同步。