Selhání dispečerského systému ochromilo v roce 1992 londýnskou záchrannou službu

Pondělí 26. října 1992, sedm ráno. Londýnská záchranka spouští plně automatizovaný dispečink, a během hodin přestává zvládat vlastní provoz.

Foto: Kacir - licence CC BY 2.0

Linka 999 toho rána vyzváněla v průměru kolem deseti minut, než ji někdo zvedne. Na obrazovkách dispečerů přibývaly stovky chybových hlášek, systém posílal dvě sanitky na jedno místo a na jiné žádnou. Operátoři se snažili ručně opravovat návrhy počítače, ale neměli k dispozici papírové zálohy – ty jim management den předtím odebral. Londýnská záchranná služba, největší civilní záchranný systém na světě, se poté stala učebnicovým příkladem toho, jak nedokončená automatizace dokáže ochromit kritickou službu.

Co se vlastně rozbilo

Nový počítačový dispečerský systém (Computer Aided Dispatch, zkráceně CAD) měl nahradit starý manuální provoz postavený na papírových formulářích, nástěnných mapách a hlasové komunikaci přes rádio. Sliboval rychlejší identifikaci místa nehody, průběžné sledování polohy sanitek a v jednoduchých případech mobilizaci posádky do jedné minuty. Management London Ambulance Service (LAS) byl pod tlakem: tehdejší standard ORCON vyžadoval příjezd do 14 minut v 95 % případů, LAS v létě 1992 plnila sotva 54 %.

Jenže CAD nefungoval tak, jak měl. Automatická lokalizace vozidel byla nespolehlivá, mobilní terminály v sanitkách hlásily chybné stavy, software běžel zčásti ve Visual Basicu na Windows 3.0 s pomalými odezvami. Systém generoval špatné alokace a hromadil frontu výjimek označených jako „awaiting attention“. Čím víc výjimek, tím pomalejší odezva. Čím pomalejší odezva, tím víc lidí volalo znovu. Opakovaná volání dál zahlcovala linky. Vznikla tak zpětnovazební smyčka, kterou nikdo nedokázal přerušit.

Po dvou dnech chaosu LAS přešla na polomanuální režim; dispečeři opravovali návrhy systému ručně. Fungoval křehce, ale fungoval. Pak přišla noc ze 3. na 4. listopadu. Krátce po druhé hodině ranní se CAD úplně zamkl. Příčinou byla drobná programátorská chyba způsobující únik paměti. Záložní přepnutí na druhý server? Nikdy nebylo otestováno. Tiskárny přestaly chrlit přijaté výzvy. LAS se vrátila k plně papírovému provozu.

Varování, která nikdo neposlouchal

Zpráva nezávislé vyšetřovací komise Dona Page, zveřejněná v únoru 1993, je v tomto ohledu nemilosrdná. Systém šel do ostrého provozu s 81 neuzavřenými hlášeními o chybách. Dvě z nich nesly kategorii 2, podle vlastní klasifikace LAS to znamenalo „systém nebude v provozním prostředí fungovat“. Dalších 44 spadalo do kategorie 3.

Dodavatelé upozorňovali, že harmonogram je příliš těsný. Poradenská firma Arthur Andersen doporučovala pro řešení typu „hotový balík“ přibližně 19 měsíců vývoje. Management LAS místo toho chtěl přeskočit z manuálu rovnou do téměř plné automatizace v jedné fázi. Představenstvo nedostávalo dost informací, aby mohlo rizika reálně posoudit. A papírová záloha, která do té doby sloužila jako pojistka, byla odstraněna těsně před spuštěním.

Komise výslovně odmítla i argument, že 26. a 27. říjen byly mimořádně rušné dny. Pro takové vysvětlení nenašla důkazy. Problém nebyl v objemu hovorů. Problém byl v systému, který na běžný provoz nestačil.

Kolik to stálo životů, a co víme jistě

Odbory NUPE a část britských médií po kolapsu hovořily o tom, že selhání mohlo přispět až k přibližně dvaceti úmrtím. Je to číslo, které se od té doby opakuje v každém druhém článku o londýnském incidentu. Jenže oficiální vyšetřování pracovalo s jinými daty: z 26 případů projednaných koronerskými soudy od listopadu 1991 žádný neuzavřel odpovědnost LAS za smrt pacienta.

To neznamená, že kolaps byl neškodný. Prodloužené dojezdové časy, ztracené výzvy a zmatené alokace nepochybně zvýšily riziko pro stovky pacientů. Ale přesný počet obětí přímo způsobených selháním systému zůstává nedoložený. Nejviditelnějším bezprostředním důsledkem byla rezignace šéfa LAS Johna Wilbyho, kterou regionální zdravotní autorita přijala 28. října 1992. Na jaře 1993 se změnila struktura dohledu: LAS přešla pod přímější kontrolu South West Thames RHA. Ještě v dubnu 1993 zaznělo v britském parlamentu, že podíl výjezdů splňujících čtrnáctiminutový limit sice stoupl na 65 %, ale ke standardu 95 % měl stále daleko.

Co z toho plyne pro české záchranky

České záchranné služby dnes fungují na počítačově podporovaných operačních střediscích. Pražská ZZS například převedla celý dispečink na počítačově řízený systém už v roce 1999 a v roce 2011 prošla komplexním technologickým upgradem; sama uvádí, že předchozí systém běžel 12 let bez vážných výpadků. Konkrétní řešení se mohou kraj od kraje lišit, ale zákonný rámec je společný.

Zákon o zdravotnické záchranné službě definuje zdravotnické operační středisko jako centrální nepřetržité pracoviště linky 155, ukládá provozní řád i komunikační řád a počítá s možností pomocného operačního střediska. Dokumentace zahrnuje zvukové záznamy s časovými údaji. A od listopadu 2025 spadají poskytovatelé ZZS jako regulovaná služba do režimu vyšších kyberbezpečnostních povinností: registrace služby, bezpečnostní opatření, hlášení významných incidentů do 72 hodin a přístup k podpoře GovCERT při NÚKIB včetně penetračního testování.