Para resolverlo, lo que propongo es:

Primero, determinar el primer cierre, con su fecha, para cada incidencia. Esto podemos hacerlo con la consulta siguiente:

```sql
select incidencia_id, min(fecha) FechaPrimerCierre
  from incidencia_status_logs
 where estado_incidencia_id = 2
 group by incidencia_id 
```

Armados con esta información, lo siguiente que tendríamos que hacer es tomar todas las incidencias abiertas y hacer [inner join][1] con el resultado anterior. Finalmente, sobre el conjunto resultante, contar los registros agrupando por el campo `created_by` de la creación de la incidencia y el día y mes de la fecha de cierre.

Para armar la solución final, mi sugerencia es usar un [CTE][2], si tu versión de mySQL lo soporta, pues la consulta es más elegante y fácil de entender:

```
with
cierre as (
select incidencia_id, min(fecha) FechaPrimerCierre
  from incidencia_status_logs
 where estado_incidencia_id = 2
 group by incidencia_id 
)
select   apertura.created_by
       , day(cierre.FechaPrimerCierre) dia
       , month(cierre.FechaPrimerCierre) mes
       , count(1) contador
  from incidencia_status_logs apertura
       inner join cierre on cierre.incidencia_id = apertura.incidencia_id
 where apertura.estado_incidencia_id = 1
```

Debes tener cuidado, pues si hay información de más de un año en la tabla, te va a contar los registros de todos los años para cada día y mes.

También, si hay alguna incidencia que pueda tener más de un registro con estado 1, haría falta definir que pasa en ese caso. Probablemente haya que encontrar la primera apertura, así como se hace con el cierre.

Si tu versión de mySQL no soporta CTE's, puedes escribir la consulta usando una tabla derivada:

```sql
select   apertura.created_by
       , day(cierre.FechaPrimerCierre) dia
       , month(cierre.FechaPrimerCierre) mes
       , count(1) contador
  from incidencia_status_logs apertura
       inner join (select incidencia_id, min(fecha) FechaPrimerCierre
                     from incidencia_status_logs
                    where estado_incidencia_id = 2
                    group by incidencia_id 
                  ) cierre on cierre.incidencia_id = apertura.incidencia_id
 where apertura.estado_incidencia_id = 1
```

Como puedes ver, la idea es la misma, pero considero que la consulta queda más difícil de leer, y por tanto, de mantener.


  [1]: https://es.stackoverflow.com/q/36/21
  [2]: https://dev.mysql.com/doc/refman/8.4/en/with.html