Pwnc 3.8 — Rheoli Gwasanaethau a Gweithrediadau Byw

Ym maes iechyd a gofal, mae'r rhan fwyaf o fywyd gwasanaeth, ei gost a'i risg glinigol yn dod ar ôl mynd yn fyw — felly mae'r ffordd y byddwch yn rhedeg, yn monitro ac yn cefnogi gwasanaeth byw yn benderfyniad diogelwch cleifion, nid ôl-ystyriaeth swyddfa gefn.

Pam mae hyn yn bwysig ym maes iechyd a gofal#

Dechrau yw'r lansiad, nid diwedd. Mae gwasanaeth digidol yn treulio ychydig fisoedd yn cael ei adeiladu ac, os yw'n llwyddo, flynyddoedd neu ddegawdau'n cael ei redeg — a'r rhedeg yw lle mae'r rhan fwyaf o'r arian yn mynd a lle mae'r niwed yn digwydd mewn gwirionedd. Dim ond tra bydd yn weithredol, yn gywir ac yn ymatebol y mae cofnod gofal a rennir, system e-ragnodi neu blatfform nodiadau mamolaeth yn cyflawni ei werth. Pan fydd yn dirywio neu'n methu, nid anghyfleustra yw'r canlyniadau ond oedi cyn triniaeth, alergeddau a gollwyd, clinigau wedi'u canslo, a chlinigwyr yn troi'n ôl at weithrediadau amgen papur anghyfarwydd dan bwysau.

Mae iechyd a gofal yn rhedeg 24 awr y dydd, saith diwrnod yr wythnos, ac ni all oedi. Pan fydd system til archfarchnad yn methu, mae cwsmeriaid yn aros; pan fydd system weinyddu cleifion ysbyty yn methu, gellir dargyfeirio ambiwlansys a gohirio rhestrau dewisol. Mae hyn yn rhoi pwysau neilltuol i weithrediadau byw: mae amser segur yn ddigwyddiad diogelwch clinigol, ac mae'r cynllun ar gyfer sut rydych yn canfod, uwchgyfeirio, cyfathrebu ac adfer ohono yn rhan o'ch dyletswydd gofal. Ymosodiad ransomware WannaCry yn 2017 — a orfododd ganslo miloedd o apwyntiadau a llawdriniaethau'r GIG — yw'r achos cyfeirio ar gyfer sut mae methiant gweithredol yn dod yn argyfwng diogelwch cleifion ac ymddiriedaeth y cyhoedd (gweler Pwnc 1.7 — Llywodraethiant Gwybodaeth, Diogelu Data a Seiberddiogelwch).

Mae angen i arweinwyr hefyd ariannu a staffio gweithrediadau byw yn onest. Y methiant parhaus mewn technoleg iechyd yw dathlu mynd yn fyw, chwalu'r tîm, a thrin y gwasanaeth sy'n rhedeg fel un "gorffenedig". Nid yw gwasanaeth byw heb dîm sefydlog, heb fonitro a heb ddarpariaeth ar alwad yn arbed arian — mae'n cronni risg glinigol yn dawel tan y diwrnod y bydd yn methu'n uchel. Rheoli gwasanaethau yw'r ddisgyblaeth sy'n cadw gwasanaeth byw yn ddiogel, ac mae'n haeddu'r un trylwyredd â'r adeiladu.

Cysyniadau craidd#

Rheoli gwasanaethau a'r cyfnod "Byw". Rheoli gwasanaethau TG (ITSM) yw'r set o arferion ar gyfer dylunio, rhedeg, cefnogi a gwella gwasanaethau TG drwy gydol eu hoes. Yn y model cyfnodau GOV.UK a'r GIG, Byw yw'r cyfnod lle mae gwasanaeth yn rhedeg mewn gweithrediad parhaus — yn dal i ailadrodd, yn dal i gael ei ariannu, yn dal i fod â pherchennog — nes iddo gael ei ymddeol (gweler Pwnc 3.5 — Cylchoedd Bywyd Darparu). Nid cyflwr gorffwys yw Byw; dyma ran hiraf a drutaf y cylch bywyd.

ITIL 4. ITIL yw'r fframwaith ITSM a ddefnyddir fwyaf eang. Mae ei argraffiad cyfredol, ITIL 4, yn ailfframio fersiynau hŷn a oedd yn drwm ar brosesau o amgylch "system gwerth gwasanaeth" ac arferion hyblyg, ac mae wedi'i ddylunio i eistedd ochr yn ochr ag Ystwyth, DevOps a Darbodus yn hytrach na chystadlu â hwy. Trinwch ITIL fel geirfa a rhestr wirio o arferion i'w mabwysiadu'n gymesur — nid biwrocratiaeth i'w mewnforio'n gyfan gwbl.

Rheoli digwyddiadau, problemau a newid. Mae rheoli digwyddiadau yn adfer gwasanaeth arferol cyn gynted â phosibl ar ôl tarfu annisgwyl — adfer yw'r flaenoriaeth, nid diagnosis. Mae rheoli problemau yn ymchwilio i wraidd un neu lawer o ddigwyddiadau i atal ailadrodd, ac yn cynnal cofnod o wallau hysbys a datrysiadau dros dro. Mae rheoli newid (yn ystyr ITSM) yn rheoli sut mae newidiadau i'r stad fyw yn cael eu hasesu, eu cymeradwyo a'u rhyddhau fel nad yw trwsio un peth yn torri peth arall. Y tri arfer hyn yw craidd gweithredol, ac maent yn cydgysylltu: gall digwyddiad godi problem, a chaiff ei hatgyweiriad ei ddarparu fel newid.

Rheoli digwyddiadau mawr a pharhad busnes. Mae digwyddiad mawr yn ddigwyddiad effaith uchel — system glinigol i lawr ar draws ymddiriedolaeth — sydd angen ymateb cydgysylltiedig, datganedig gyda rheolwr digwyddiad diffiniedig, cyfathrebu ac arweinyddiaeth glinigol. Cynllunio parhad busnes (BCP) yw'r gallu ehangach i barhau i ddarparu gofal ar lefelau derbyniol yn ystod tarfu, gan gynnwys gweithdrefnau amser segur clinigol wedi'u profi (y dewis papur diogel) ac adfer ar ôl trychineb. Ym maes iechyd a gofal nid yw'r rhain yn ddewisol: cadw cleifion yn ddiogel tra bo'r system i lawr yw'r holl bwynt.

Peirianneg dibynadwyedd safleoedd, SLIs, SLOs, SLAs, a chyllidebau gwallau. Mae peirianneg dibynadwyedd safleoedd (SRE), a darddodd yn Google, yn cymhwyso disgyblaeth peirianneg meddalwedd at weithrediadau. Mae'n mesur dibynadwyedd â dangosydd lefel gwasanaeth (SLI) — metrig fel argaeledd neu hwyrni — yn erbyn amcan lefel gwasanaeth (SLO), targed mewnol ar gyfer y metrig hwnnw. Cytundeb lefel gwasanaeth (SLA) yw'r addewid allanol, cytundebol yn aml, a osodir fel arfer yn llacach na'r SLO mewnol. Y bwlch rhwng 100% a'ch SLO yw'r gyllideb gwallau: faint o annibynadwyedd y gallwch ei wario cyn bod rhaid i chi roi'r gorau i ryddhau nodweddion a sefydlogi. Mewn systemau clinigol, rhaid gosod SLOs gyda chlinigwyr, oherwydd mae amser segur "derbyniol" yn farn diogelwch, nid un peirianneg yn unig.

Gallu i arsylwi a monitro. Gallu i arsylwi yw'r gallu i ddeall cyflwr mewnol system o'i hallbynnau allanol — logiau, metrigau ac olrhain — fel y gallwch ganfod a diagnosio problemau, yn ddelfrydol cyn i ddefnyddwyr wneud hynny. Mae monitro a rhybuddio yn troi'r data hwnnw'n arwyddion amserol i'r bobl sydd ar alwad. Ni allwch redeg yn ddiogel wasanaeth na allwch ei weld.

Ar alwad, rotâu, a'r ddesg gwasanaeth. Mae rotâu ar alwad yn sicrhau y gall person cymwys ymateb i rybuddion drwy'r dydd a'r nos; mewn lleoliad gofal 24/7 maent yn hanfodol, a rhaid iddynt fod yn drugarog ac yn gynaliadwy. Mae desg gwasanaeth (neu ddesg gymorth) yn bwynt cyswllt unigol i ddefnyddwyr terfynol — y clinigydd na all fewngofnodi, y derbynnydd y mae ei sgrin archebu wedi rhewi — gan ddarparu cymorth, logio digwyddiadau, a'u cyfeirio ymlaen.

DevOps, rheoli ffurfweddiad, a'r CMDB. Mae DevOps ac egwyddor SRE "rydych chi'n ei adeiladu, rydych chi'n ei redeg" yn rhoi'r tîm sy'n adeiladu gwasanaeth yng ngofal ei redeg, gan gau'r bwlch rhwng datblygu a gweithrediadau. Mae rheoli ffurfweddiad yn cadw cofnod cywir o'r cydrannau sy'n ffurfio gwasanaeth a'u perthnasoedd, yn aml mewn cronfa ddata rheoli ffurfweddiad (CMDB); hebddi, ni all neb ateb yn ddiogel "beth fydd y newid hwn yn effeithio arno?" yn ystod digwyddiad.

Rhedeg yn erbyn adeiladu a datgomisiynu. Mae sefydliadau'n gwahanu cyllid adeiladu (creu gallu newydd) oddi wrth gyllid rhedeg (gweithredu'r hyn sy'n bodoli). Tanariannu rhedeg yw gwraidd strwythurol y rhan fwyaf o fethiant gweithredol. Ac mae pob gwasanaeth yn cyrraedd datgomisiynu yn y pen draw — ymddeol diogel, â data wedi'i ymfudo neu ei archifo o dan y gyfraith cadw, a defnyddwyr wedi'u hailgyfeirio — sy'n ddisgyblaeth weithredol ynddi'i hun.

Arferion gorau#

1. Ariannwch a staffiwch "rhedeg" fel ymrwymiad o'r radd flaenaf, nid gweddill. Cyllidebwch ar gyfer oes weithredol y gwasanaeth — monitro, ar alwad, desg gwasanaeth, clytio diogelwch, ac ailadrodd parhaus — cyn mynd yn fyw, a'i amddiffyn rhag cael ei ysbeilio gan yr adeiladwaith sgleiniog nesaf. Mae rheol bawd y diwydiant bod rhedeg system yn costio llawer mwy dros ei hoes nag adeiladu yn wir ym maes iechyd hefyd. Mae gwasanaeth â chyllid adeiladu a dim cyllid rhedeg yn risg glinigol â dyddiad lansio.

2. Osgowch y gwrthbatrwm "taflwch ef dros y wal at weithrediadau". Peidiwch â gadael i dîm prosiect adeiladu gwasanaeth a'i drosglwyddo i dîm gweithrediadau ar wahân na welodd ei greu erioed. Cymhwyswch "rydych chi'n ei adeiladu, rydych chi'n ei redeg": cadwch y tîm sy'n deall y gwasanaeth yn atebol am ei ddibynadwyedd, neu o leiaf cynhaliwch drosglwyddo gwasanaeth bwriadol, dogfenedig gyda bod ar alwad a rennir a chyfnod gwarant. Y wal rhwng adeiladu a rhedeg yw lle mae gwybodaeth, perchnogaeth a diogelwch yn syrthio drwodd.

3. Gosodwch SLOs gyda chlinigwyr a rheolwch gyllideb gwallau. Diffiniwch beth mae "digon dibynadwy" yn ei olygu i bob gwasanaeth fel SLIs ac SLOs mesuradwy, a'u gosod ar y cyd â'r clinigwyr sy'n dwyn y canlyniadau — nid dewis technegol yn unig yw targedau argaeledd ar gyfer system adran achosion brys. Defnyddiwch y gyllideb gwallau i gymrodeddu'r tensiwn tragwyddol rhwng rhyddhau nodweddion a pharhau'n sefydlog: pan fydd dibynadwyedd wedi'i wario, stopiwch a sefydlogwch. Cadwch SLAs allanol yn llacach nag SLOs mewnol fel bod gennych le i weithredu cyn i chi dorri addewid.

4. Gwnewch y gwasanaeth yn arsylladwy cyn i chi ei wneud yn fwy. Offerynnwch logio, metrigau ac olrhain, ac adeiladwch ddangosfyrddau a rhybuddion sy'n adlewyrchu profiad y defnyddiwr a'r clinigydd, nid dim ond iechyd gweinyddion. Rhybuddiwch ar symptomau sy'n bwysig (ni ellir archebu cleifion) yn hytrach na phob chwyddiad sylfaenol, er mwyn osgoi blinder rhybuddion sy'n hyfforddi ymatebwyr i anwybyddu galwadau. Ni allwch gadw'n ddiogel wasanaeth y dysgwch am ei fethiannau gan glinigwyr blin.

5. Cynhaliwch reoli digwyddiadau, problemau a newid disgybledig — yn gymesur. Rhowch lefelau difrifoldeb clir i ddigwyddiadau, targedau ymateb, rheolwr digwyddiad ar gyfer rhai mawr, ac un ffynhonnell wirionedd yn ystod yr ymateb. Bwydwch ddigwyddiadau difrifol i adolygiadau ar ôl digwyddiad heb feio a phroses rheoli problemau sy'n trwsio gwreiddiau yn hytrach nag ailgychwyn y gweinydd dro ar ôl tro. Rheolwch newidiadau drwy broses o'r maint cywir — newidiadau ysgafn, safonol, wedi'u cymeradwyo ymlaen llaw ar gyfer gwaith arferol risg isel; adolygiad cynghori ar newid dim ond ar gyfer newidiadau gwirioneddol beryglus — fel bod llywodraethiant yn diogelu diogelwch heb ddod yn dagfa sy'n temtio pobl i'w osgoi.

6. Ymarferwch ddigwyddiadau mawr ac amser segur clinigol, peidiwch â'u dogfennu'n unig. Ysgrifennwch, profwch ac ymarferwch yn rheolaidd weithdrefnau parhad busnes ac amser segur clinigol: sut mae gofal yn parhau ar bapur, sut dywedir wrth staff fod y system i lawr, sut mae data'n cael ei gysoni wrth adfer, a phwy sy'n datgan ac yn arwain digwyddiad mawr. Mae cynlluniau heb eu profi yn methu ar y diwrnod. Cysylltwch hyn yn benodol â'ch rheoli risg glinigol a'ch cofnod peryglon (gweler Pwnc 1.6 — Diogelwch Clinigol a Rheoli Risg), oherwydd mae amser segur yn berygl clinigol â mesur lliniaru y gallwch ei ymarfer.

7. Trinwch ddysgu ar ôl digwyddiad fel dysgu heb feio a systemig. Ar ôl pob digwyddiad arwyddocaol, cynhaliwch adolygiad sy'n gofyn sut y caniataodd y system y methiant, nid pwy i'w feio — oherwydd mae beio yn gyrru adrodd o dan y ddaear ac yn ailadrodd y niwed. Cofnodwch gamau gweithredu, neilltuwch berchnogion, a'u tracio hyd at gau; bwydwch batrymau i reoli problemau a dylunio. Mae diwylliant dysgu yn rheolaeth diogelwch cleifion, sy'n adlewyrchu "diwylliant teg" adrodd digwyddiadau clinigol.

8. Cadwch gofnod ffurfweddiad cywir a rheolwch y stad gyfan. Cynhaliwch CMDB neu restr gyfatebol o'r hyn sy'n rhedeg, beth sy'n dibynnu ar beth, pa fersiynau a ddefnyddiwyd, a phwy sy'n berchen ar bob gwasanaeth, fel y gallwch ateb "beth mae hyn yn effeithio arno?" mewn munudau yn ystod digwyddiad. Mae hyn yn sail i newid diogel, clytio diogelwch a thrwyddedu, a dyma lle mae'r rhan fwyaf o stadau mawr y GIG gwannaf. Mae system anhysbys, heb ei chlytio yn doriad gwasanaeth a digwyddiad seiberddiogelwch yn aros i ddigwydd (gweler Pwnc 1.7).

9. Gwnewch fod ar alwad yn gynaliadwy a chymorth yn ddynol. Dyluniwch rotâu ar alwad sydd â staff digonol, sy'n cael eu digolledu'n deg ac yn drugarog, gydag uwchgyfeirio clir a disgwyliadau realistig — mae ymatebwyr sydd wedi llosgi allan yn gwneud penderfyniadau araf, tueddol i wallau ar yr union adegau sydd bwysicaf. Adnoddwch y ddesg gwasanaeth i alw gwirioneddol gweithlu clinigol 24/7, a rhowch lwybr cyflym, uchel ei barch i staff rheng flaen adrodd problemau. Ansawdd eich cymorth yw ansawdd y gofal y mae staff yn ei brofi o'ch gwasanaeth.

10. Cynlluniwch ddatgomisiynu fel gweithrediad rheoledig. Penderfynwch, tra bo'r gwasanaeth yn fyw, sut y caiff ei ymddeol yn y pen draw: ymfudo neu archifo data o dan y gyfraith cadw cofnodion, ailgyfeirio defnyddwyr, hysbysu clinigwyr, a chadw'r cofnod peryglon a'r llwybr archwilio. Mae ymddeol heb ei gynllunio yn gadael data a defnyddwyr ar eu pen eu hunain a gall dorri dyletswyddau cadw statudol. Mae un wedi'i gynllunio yn brosiect gweithredol archwiliadwy, nid ras wyllt pan fydd y dilynydd yn cyrraedd.

Cwestiynau i'w trafod gyda'ch tîm#

1. Pan fydd system glinigol hanfodol yn mynd i lawr am 3 y bore ar ŵyl y banc, pwy sy'n gwneud beth yn union — ac a ydym erioed wedi ei brofi? Mae'r cwestiwn hwn yn gorfodi'r gwahaniaeth rhwng cynllun dogfenedig a gallu go iawn. Ym maes iechyd a gofal, mae amser segur yn ddigwyddiad clinigol: y cwestiynau ymarferol yw pwy sy'n cael ei alw, pa mor gyflym y mae'n ymateb, pwy sydd â'r awdurdod i ddatgan digwyddiad mawr, sut y dywedir wrth staff clinigol i newid i weithdrefnau amser segur, sut mae cleifion yn aros yn ddiogel ar bapur, a sut mae data'n cael ei gysoni wrth adfer. Trafodwch a oes gan eich rota ar alwad ddarpariaeth gymwys mewn oriau anghymdeithasol a gwyliau mewn gwirionedd, neu a yw'n teneuo i un person blinedig pan fo'r risg ar ei huchaf. Ystyriwch a yw clinigwyr yn gwybod y weithdrefn amser segur ac wedi ei hymarfer erioed, neu a yw'n byw mewn rhwymwr nad oes neb wedi'i agor. Mae ateb da, gonest yn disgrifio ymateb wedi'i brofi — â rolau a enwir, ymarfer go iawn yn y flwyddyn ddiwethaf, a gwersi y gweithredwyd arnynt — nid dogfen bolisi nad yw erioed wedi cwrdd â thoriad. Lle mai'r ateb gonest yw "nid ydym yn gwybod mewn gwirionedd", dyna ynddo'i hun yw'r canfyddiad pwysicaf i'w godi gyda'r bwrdd.

2. A ydym yn ariannu ac yn staffio'r "rhedeg" yn wirioneddol, neu a wnaethom ddathlu mynd yn fyw a cherdded i ffwrdd yn dawel? Mae'r rhan fwyaf o gost a risg glinigol gwasanaeth yn byw ar ôl lansio, ac eto mae modelau ariannu yn gwobrwyo adeiladu pethau newydd ac yn llwgu rhedeg rhai hen. Y tensiwn i'w drafod yw tynfa strwythurol cyllid adeiladu yn erbyn y gwaith di-sglein, hanfodol o fonitro, clytio, cefnogi ac ailadrodd gwasanaeth byw am flynyddoedd. Edrychwch yn onest ar eich stad fyw: faint o wasanaethau sydd â pherchennog a enwir, tîm a ariennir, clytiau diogelwch cyfredol a monitro gweithredol — a faint sydd wedi'u hamddifadu, yn rhedeg ar feddalwedd heb gymorth, heb neb yn atebol? Ystyriwch y patrwm "taflwch ef dros y wal at weithrediadau" ac a yw'r bobl sy'n rhedeg pob gwasanaeth yn deall sut y cafodd ei adeiladu. Gall ateb da bwyntio at gyllidebau rhedeg gwarchodedig, perchnogion gwasanaeth a enwir ar gyfer yr oes weithredol, a throsglwyddo gwasanaeth bwriadol yn hytrach na gadael, a gall enwi'r gwasanaethau amddifad yn onest fel y gellir eu mabwysiadu, eu disodli neu eu hymddeol yn hytrach na'u gadael i fethu.

3. Sut rydym yn penderfynu beth yw ystyr "digon dibynadwy" — a phwy sy'n cael dweud eu dweud? Nid yw dibynadwyedd yn rhad ac am ddim, a gall mynd ar drywydd nawfed ychwanegol o argaeledd gostio mwy na'r niwed y mae'n ei atal; ond mewn systemau clinigol, mae amser segur "derbyniol" yn farn diogelwch na all peirianwyr ei gwneud ar eu pen eu hunain. Mae'r cwestiwn hwn yn gofyn a oes gennych SLIs ac SLOs penodol, a gafodd eu gosod gyda'r clinigwyr a'r arweinwyr gweithredol sy'n dwyn y canlyniadau, ac a ydych yn defnyddio rhywbeth tebyg i gyllideb gwallau i gydbwyso rhyddhau gwelliannau yn erbyn aros yn sefydlog. Trafodwch y gwahaniaeth rhwng y targed mewnol rydych yn ei reoli iddo a'r SLA allanol rydych yn ei addo, ac a yw eich monitro'n mesur yr hyn y mae clinigwyr yn ei brofi mewn gwirionedd neu ddim ond yr hyn y mae gweinyddion yn ei adrodd. Ystyriwch a oes unrhyw rym yn "rydym yn anelu at 99.9%" — mesur diffiniedig, canlyniad pan gaiff ei dorri, perchennog sy'n gweithredu. Mae ateb da yn cysylltu targed dibynadwyedd â rhesymeg diogelwch clinigol, yn dangos bod y metrig yn cael ei fesur a bod ganddo berchennog, ac yn disgrifio beth mae'r tîm yn ei wneud yn wahanol pan fydd y gyllideb wedi'i gwario, yn hytrach na rhif ar sleid nad oes neb yn ei reoli.

4. A ydym yn gwybod mewn gwirionedd beth rydym yn ei redeg — ac a allem ateb "beth fydd y newid hwn yn effeithio arno?" ynghanol digwyddiad? Mae'r rhan fwyaf o stadau iechyd a gofal mawr gwannaf yn union lle mae'n brifo fwyaf: nid oes neb yn dal darlun cywir, cyfredol o'r hyn sy'n rhedeg, beth sy'n dibynnu ar beth, pa fersiynau a ddefnyddiwyd, a phwy sy'n berchen ar bob gwasanaeth. Mae'r cwestiwn hwn yn archwilio a ydych yn cynnal cofnod ffurfweddiad — CMDB neu gyfatebol — neu a yw'r wybodaeth honno'n byw ym mhennau llond llaw o bobl a degawd o integreiddiadau heb eu dogfennu. Trafodwch y canlyniadau go iawn: newid sy'n torri system i lawr yr afon yn dawel, clwt diogelwch na ellir ei gymhwyso am nad oes neb yn gwybod beth y bydd yn ei gyffwrdd, gweinydd heb gymorth a ddarganfyddir dim ond pan fydd yn methu neu'n cael ei gamfanteisio. Y tensiwn yw bod rheoli ffurfweddiad yn ddi-sglein, byth wedi'i orffen, ac yn hawdd ei ohirio, ac eto mae'n sail i newid diogel, clytio, trwyddedu a gwydnwch seiber fel ei gilydd — yr un man dall a drodd WannaCry yn argyfwng. Mae ateb gonest yn disgrifio rhestr a gynhelir â pherchnogion a dibyniaethau y mae pobl yn ymddiried ynddi ac yn ei defnyddio yn ystod digwyddiadau, ac yn enwi'r rhannau o'r stad sy'n dal yn dywyll, yn hytrach na honni cyflawnrwydd nad oes gan unrhyw sefydliad mawr mewn gwirionedd.

5. Pan fydd rhywbeth yn mynd o'i le, a ydym yn dysgu neu a ydym yn chwilio am rywun i'w feio? Diwylliant eich adolygiadau digwyddiadau sy'n penderfynu a fydd yr un niwed yn ailadrodd. Mae'r cwestiwn hwn yn gofyn a yw digwyddiadau difrifol yn sbarduno adolygiad systemig heb feio sy'n gofyn sut y caniataodd y system y methiant — neu a ydynt yn hela'n dawel am unigolyn i'w gyhuddo, sy'n gyrru adrodd o dan y ddaear ac yn gwarantu ailadrodd. Trafodwch a yw digwyddiadau a fu bron â digwydd a methiannau bach yn cael eu codi o gwbl, neu ddim ond y toriadau sy'n rhy fawr i'w cuddio; a yw camau gweithredu adolygiad yn cael perchnogion ac yn cael eu tracio hyd at gau, neu'n cael eu hysgrifennu i lawr a'u hanghofio; ac a yw patrymau'n bwydo'n ôl i reoli problemau a dylunio. Ystyriwch y cyfochredd ag adrodd digwyddiadau clinigol a "diwylliant teg": gall yr un sefydliad ddal safbwynt aeddfed, heb feio ar gyfer digwyddiadau diogelwch cleifion ond un cosbol ar gyfer methiannau TG, neu i'r gwrthwyneb. Mae ateb da yn dangos diwylliant dysgu â thystiolaeth — adolygiadau a newidiodd y system, camau gweithredu wedi'u cau, ailadrodd yn gostwng — a chydnabyddiaeth onest o ble mae ofn yn dal i atal adrodd, oherwydd mae diwylliant dysgu ei hun yn rheolaeth diogelwch cleifion, nid ychwanegyn meddal.

6. A ydym wedi penderfynu sut y caiff y gwasanaeth hwn ei ymddeol yn y pen draw — tra bo'n fyw o hyd i'w gynllunio? Mae pob gwasanaeth yn cael ei ddisodli neu ei ddiffodd yn y pen draw, ac eto mae datgomisiynu bron bob amser yn ôl-ystyriaeth, a gaiff ei sgrialu pan fydd y dilynydd yn cyrraedd a'r hen system eisoes yn rhwystr. Mae'r cwestiwn hwn yn gofyn a oes gennych, ar gyfer pob gwasanaeth byw, gynllun ar gyfer ymddeol diogel: data wedi'i ymfudo neu ei archifo o dan y gyfraith cadw cofnodion, defnyddwyr wedi'u hailgyfeirio, clinigwyr wedi'u hysbysu, a'r cofnod peryglon a'r llwybr archwilio wedi'u cadw. Trafodwch y risgiau penodol ym maes iechyd a gofal o'i gael yn anghywir — cofnodion amddifad sy'n torri dyletswyddau cadw statudol, data amddifad na all neb gael mynediad iddo, system etifeddol "dros dro" sy'n llusgo ymlaen am flynyddoedd heb ei chlytio am nad oes neb yn berchen ar ei diwedd. Ystyriwch y gall degawdau o gofnodion clinigol, mewn stadau cenedlaethol a menter, eistedd y tu mewn i system y mae'n rhaid ei datgomisiynu heb golli'r un cofnod sy'n ofynnol yn gyfreithiol. Mae ateb gonest yn trin ymddeol fel gweithrediad a enwir, a ariennir, archwiliadwy a gynlluniwyd o'r adeg mynd yn fyw, nid cost i'w darganfod yn nes ymlaen, a gall bwyntio at o leiaf un gwasanaeth y mae ei ddiwedd oes eisoes wedi'i benderfynu yn hytrach na'i ohirio.

Yn ymarferol: enghraifft iechyd a gofal#

Mae system gofal integredig (ICS) yn rhedeg cofnod gofal a rennir a ddefnyddir gan glinigwyr ysbytai, meddygon teulu, timau cymunedol, a gwasanaethau y tu allan i oriau ar draws rhanbarth. Aeth yn fyw ddwy flynedd yn ôl; mae'r rhaglen adeiladu wedi cau ac mae tîm cynnyrch a gweithrediadau sefydlog bellach yn berchen arno. Dysgodd y tîm hwnnw reoli gwasanaethau y ffordd galed.

Ar y dechrau, dim ond amser gweithredol gweinyddion oedd y cofnod yn ei fonitro. Un noson yn y gaeaf, roedd y gweinyddion yn "wyrdd" tra bod integreiddiad a fethai yn atal diweddariadau meddyginiaeth meddygon teulu rhag llifo drwodd yn dawel — felly gwelodd clinigwyr ysbytai restrau meddyginiaeth hen am sawl awr cyn i fferyllydd sylwi a ffonio'r ddesg gwasanaeth. Roedd yr adolygiad ar ôl y digwyddiad yn ddi-feio ac yn systemig: canfu mai'r gwir broblem oedd diffyg SLI a oedd yn adlewyrchu profiad y clinigydd. Ychwanegodd y tîm allu i arsylwi o'r dechrau i'r diwedd, SLO ar gyfer ffresni data y cytunwyd arno ar y cyd â swyddog diogelwch clinigol, a rhybudd sy'n galw'r person ar alwad pan fydd diweddariadau'n llusgo y tu hwnt i'r trothwy diogelwch. Ychwanegwyd y perygl hwn at gofnod peryglon y risg glinigol (Pwnc 1.6).

Yna maent yn rhoi maint cywir i'w harferion. Daeth diweddariadau ffurfweddiad arferol, risg isel yn newidiadau safonol wedi'u cymeradwyo ymlaen llaw a ryddheir drwy biblinell awtomataidd gydag adfer cyflym; dim ond newidiadau gwirioneddol beryglus sy'n mynd i adolygiad newid wythnosol â chynrychiolaeth glinigol. Mae rota ar alwad drugarog yn cwmpasu nosweithiau a gwyliau, gyda desg gwasanaeth wedi'i hadnoddi i'r galw 24/7 go iawn. Yn hollbwysig, ysgrifennodd ac mae bellach yn ymarfer ddwywaith y flwyddyn weithdrefn amser segur glinigol: copi wedi'i storio dros dro, darllen yn unig o gofnodion allweddol, dewis papur, rhaeadr SMS i ddweud wrth glinigwyr fod y system wedi dirywio, a cham cysoni wrth adfer. Pan gymerodd nam pŵer yn y ganolfan ddata'r brif system oddi ar-lein am ddeugain munud y gwanwyn diwethaf, parhaodd gofal ar y dewis a brofwyd, rhedodd y rheolwr digwyddiad ymateb tawel, cydgysylltiedig, ac ni niweidiwyd unrhyw glaf. Gwelodd y bwrdd adroddiad dibynadwyedd wedi'i glymu wrth fesurau diogelwch clinigol, nid sicrwydd amwys — ac mae perchnogaeth y gwasanaeth hyd at ei ddatgomisiynu yn y pen draw wedi'i henwi a'i hariannu.

Golwg drwy wahanol sectorau#

Busnes newydd#

Yn aml nid oes gan gwmni technoleg iechyd bach swyddogaeth gweithrediadau ar wahân, felly "rydych chi'n ei adeiladu, rydych chi'n ei redeg" yw'r rhagosodiad yn hytrach na dyhead — mae'r un peirianwyr a ysgrifennodd y cod yn cario'r galwr. Y fantais yw adborth cyflym a dim wal i daflu gwaith drosti; y perygl yw rota ar alwad dau berson nad yw'n gynaliadwy nac yn ddiogel, a monitro sy'n stopio ar "a yw'r gweinydd i fyny?". Dylai busnesau newydd fabwysiadu SLOs, gallu sylfaenol i arsylwi, adolygiadau ar ôl digwyddiad heb feio, a gweithdrefn amser segur ysgrifenedig o'r cwsmer cyntaf yn y GIG, oherwydd gall toriad clinigol ddod â'r contract a'r cwmni i ben. Hyd yn oed heb seremoni ITIL, mae'r bwriad — gweld y gwasanaeth, ymateb yn gyflym, dysgu'n systemig, cadw cleifion yn ddiogel pan fydd yn methu — yn anhrafodadwy ym maes iechyd.

Busnes bach#

Mae darparwr bach sefydledig — practis meddyg teulu, fferyllfa gymunedol, cartref gofal, neu glinig un safle — yn rhedeg systemau clinigol byw bob dydd ond fel arfer nid oes ganddo swyddogaeth TG bwrpasol na neb y mae ei waith yn rheoli gwasanaethau. Yma mae "rhedeg" yn cael ei wasgu i ymylon gwaith clinigol a gweinyddol, mae bod ar alwad mewn gwirionedd yn "ffôn symudol rheolwr y practis", a monitro yw clinigydd yn sylwi bod y sgrin archebu wedi rhewi. Y blaenoriaethau pragmatig yw'r ychydig bethau sy'n cadw cleifion yn ddiogel: gweithdrefn amser segur ysgrifenedig, wedi'i hymarfer (sut mae'r practis yn ymgynghori ar bapur ac yn cysoni wedyn), llwybr hysbys i uwchgyfeirio at bob cyflenwr pan fydd system letyol yn methu, ac eglurder ynghylch pa SLAs y mae'r cyflenwyr hynny'n eu dyledus mewn gwirionedd. Mae cyflenwr technoleg iechyd annibynnol bach sydd wedi pasio'r cam busnes newydd yn wynebu'r gwrthwyneb — cwsmeriaid go iawn yn dibynnu arno ond darpariaeth weithredol denau — a rhaid iddo gynnig oriau cymorth ac ymateb i ddigwyddiadau credadwy er gwaethaf arian parod tynn. Mae'r ddyletswydd gofal yn union yr un fath â dyletswydd ymddiriedolaeth fawr; nid yw'r adnoddau, felly'r ddisgyblaeth yw blaenoriaethu didrugaredd ar yr hanfodion sy'n hanfodol i ddiogelwch yn hytrach na chyflawnrwydd ITIL.

Menter fawr#

Mae ymddiriedolaeth y GIG neu gyflenwr mawr yn rhedeg rheoli gwasanaethau yn ei ffurf lawnaf: desg gwasanaeth ffurfiol, arferion digwyddiadau/problemau/newid sy'n cyd-fynd ag ITIL, byrddau cynghori ar newid, cynlluniau digwyddiadau mawr a pharhad busnes, ac yn aml canolfan weithrediadau 24/7. Yr her nodweddiadol yw stad etifeddol eang â chofnodion ffurfweddiad gwan, systemau heb eu clytio a pherchnogaeth aneglur — yr amodau a drodd WannaCry yn argyfwng. Y methiannau clasurol yw prosesau newid mor drwm nes bod staff yn eu hosgoi, a "rhedeg" yn cael ei lwgu'n barhaus i ariannu'r adeiladwaith nesaf. Mae gan y fenter yr adnoddau i wneud gallu i arsylwi, bod ar alwad cynaliadwy a pharhad wedi'i brofi yn iawn, felly'r dasg yw cadw'r arferion yn gymesur ac yn wirioneddol dan berchnogaeth glinigol yn hytrach na defod gwaith papur sy'n rhoi sicrwydd ffug.

Llywodraeth#

Mae corff cenedlaethol yn gweithredu gwasanaethau a all gyffwrdd â miliynau, felly mae toriad yn ddigwyddiad cenedlaethol â chanlyniadau seneddol ac i ymddiriedaeth y cyhoedd, ac mae targedau dibynadwyedd yn faterion o atebolrwydd cyhoeddus. Mae darparu'r llywodraeth yn cyplysu ITSM â disgwyliad Llawlyfr Gwasanaeth GOV.UK bod gwasanaethau byw yn cael eu gweithredu'n iawn, eu monitro a'u hailadrodd — nid eu rhewi wrth lansio — a gyda dyletswyddau statudol ynghylch cadw cofnodion a seiberddiogelwch (NCSC, DSPT). Mae rheolaethau gwariant a setliadau ariannu aml-flwyddyn yn llunio sut olwg sydd ar gyllid "rhedeg", ac mae'r raddfa'n codi'r polion ar barhad busnes, ymateb cydgysylltiedig i ddigwyddiadau mawr, a datgomisiynu diogel systemau cenedlaethol etifeddol â degawdau o gofnodion. Y cyfnewidiad yw sicrwydd a gwydnwch yn erbyn cyflymder a chost, wedi'i ddatrys yn yr agored o dan graffu.

Ffyrdd cyffredin o fethu#

• Taflwch ef dros y wal at weithrediadau. Mae tîm adeiladu yn trosglwyddo gwasanaeth i dîm gweithrediadau na welodd ei greu erioed; mae gwybodaeth, perchnogaeth a diogelwch yn syrthio drwy'r bwlch. Gwrthwenwyn: "rydych chi'n ei adeiladu, rydych chi'n ei redeg", neu drosglwyddo bwriadol â chyfnod gwarant a bod ar alwad a rennir.
• Y gwasanaeth byw amddifad. Mae'r prosiect yn cau, mae'r tîm yn chwalu, mae cyllid rhedeg yn anweddu; mae'r gwasanaeth yn pydru, yn mynd heb ei glytio, ac yn cronni risg glinigol a seiber yn dawel. Gwrthwenwyn: perchennog gwasanaeth a enwir a chyllideb rhedeg warchodedig ar gyfer yr oes weithredol.
• Monitro'r gweinyddion, nid y gwasanaeth. Mae popeth yn "wyrdd" tra bod clinigwyr yn gweld data hen neu goll. Gwrthwenwyn: SLIs sy'n adlewyrchu profiad y defnyddiwr a'r clinigydd, gyda rhybuddio ar symptomau sy'n bwysig.
• Cynlluniau parhad heb eu profi. Mae gweithdrefn amser segur glinigol yn bodoli ar bapur ond ni chafodd ei hymarfer erioed, felly mae'n methu ar y diwrnod. Gwrthwenwyn: ymarfer cynlluniau digwyddiad mawr ac amser segur yn rheolaidd a thrwsio'r hyn sy'n torri.
• Adolygiadau digwyddiadau a yrrir gan feio. Mae chwilio am fai yn gyrru adrodd o dan y ddaear ac yn ailadrodd y niwed. Gwrthwenwyn: dysgu ar ôl digwyddiad heb feio, systemig, â chamau gweithredu wedi'u tracio.
• Theatr proses newid. Bwrdd newid mor drwm nes bod timau'n mynd o'i amgylch, neu mor ysgafn nes bod newidiadau peryglus yn cael eu rhyddhau heb eu gwirio. Gwrthwenwyn: rhoi maint cywir — cymeradwyo newidiadau safonol ymlaen llaw, neilltuo adolygiad ar gyfer rhai gwirioneddol beryglus.
• Dim cofnod ffurfweddiad. Ni all neb ateb "beth fydd y newid hwn yn effeithio arno?" yn ystod digwyddiad. Gwrthwenwyn: cynnal CMDB neu gyfatebol â pherchnogaeth a dibyniaethau.

Model aeddfedrwydd#

Rhestr wirio#

• Mae gan bob gwasanaeth byw berchennog a enwir a chyllideb rhedeg warchodedig ar gyfer ei oes weithredol.
• Mae'r tîm sy'n rhedeg pob gwasanaeth yn deall sut y cafodd ei adeiladu (neu mae trosglwyddo dogfenedig â gwarant a bod ar alwad a rennir yn bodoli).
• Mae SLIs ac SLOs wedi'u diffinio, a gosodwyd targedau systemau clinigol gyda chlinigwyr; mae SLAs allanol yn llacach nag SLOs mewnol.
• Mae gallu i arsylwi (logiau, metrigau, olrhain) a rhybuddio yn seiliedig ar symptomau yn adlewyrchu profiad y clinigydd a'r defnyddiwr, nid dim ond iechyd gweinyddion.
• Mae gan reoli digwyddiadau lefelau difrifoldeb, targedau ymateb, rôl rheolwr digwyddiad, ac un ffynhonnell wirionedd yn ystod yr ymateb.
• Mae rheoli problemau yn trwsio gwreiddiau; mae adolygiadau ar ôl digwyddiad yn ddi-feio ac mae eu camau gweithredu'n cael eu tracio hyd at gau.
• Mae rheoli newid o'r maint cywir: newidiadau safonol wedi'u cymeradwyo ymlaen llaw ac yn awtomataidd; dim ond newidiadau peryglus yn cael eu hadolygu, â mewnbwn clinigol.
• Mae gweithdrefnau parhad busnes ac amser segur clinigol wedi'u hysgrifennu, wedi'u cysylltu â'r cofnod peryglon, ac yn cael eu hymarfer o leiaf unwaith y flwyddyn.
• Mae rotâu ar alwad â staff digonol, yn drugarog ac yn cael eu digolledu'n deg; mae'r ddesg gwasanaeth wedi'i hadnoddi i'r galw 24/7 go iawn.
• Mae cofnod ffurfweddiad (CMDB neu gyfatebol) yn rhestru cydrannau, dibyniaethau, fersiynau a pherchnogion, ac yn cefnogi clytio diogelwch.
• Mae cynllun datgomisiynu yn cwmpasu ymfudo/archifo data o dan y gyfraith cadw, ailgyfeirio defnyddwyr, a chadw cofnodion diogelwch ac archwilio.

Prif ffynonellau#

• ITIL 4 — the service value system and management practices (incident, problem, change, service desk, service level management) — PeopleCert / AXELOS.
• Google — Site Reliability Engineering and The Site Reliability Workbook (SLIs, SLOs, error budgets, on-call, blameless post-mortems).
• GOV.UK Service Manual — operating and iterating a live service; monitoring the status of a service; maintaining a service after launch.
• NHS England — clinical risk management standards DCB0129/DCB0160 and the treatment of system downtime as a clinical hazard (see Pwnc 1.6).
• NHS England / NCSC — cyber-security operations, the Data Security and Protection Toolkit (DSPT), and lessons from the 2017 WannaCry incident (see Pwnc 1.7).
• ISO/IEC 20000 (IT service management) and ISO 22301 (business continuity management systems).
• DevOps Research and Assessment (DORA) — capabilities linking delivery and operational performance (monitoring, change, reliability).
• OKRs and KPIs for operational and reliability reporting to leadership (see Pwnc 10.0 — Objectives & Key Results (OKRs)).

Cyfeiriadau#

1. IT service management — Wikipedia — https://en.wikipedia.org/wiki/IT_service_management
2. ITIL — Wikipedia — https://en.wikipedia.org/wiki/ITIL
3. Incident management — Wikipedia — https://en.wikipedia.org/wiki/Incident_management
4. Change management (ITSM) — Wikipedia — https://en.wikipedia.org/wiki/Change_management_(ITSM)
5. Business continuity planning — Wikipedia — https://en.wikipedia.org/wiki/Business_continuity_planning
6. Site reliability engineering — Wikipedia — https://en.wikipedia.org/wiki/Site_reliability_engineering
7. Service-level agreement — Wikipedia — https://en.wikipedia.org/wiki/Service-level_agreement
8. Service-level objective — Wikipedia — https://en.wikipedia.org/wiki/Service-level_objective
9. Service level indicator — Wikipedia — https://en.wikipedia.org/wiki/Service_level_indicator
10. Observability (software) — Wikipedia — https://en.wikipedia.org/wiki/Observability_(software)
11. DevOps — Wikipedia — https://en.wikipedia.org/wiki/DevOps
12. Configuration management database — Wikipedia — https://en.wikipedia.org/wiki/Configuration_management_database
13. Help desk — Wikipedia — https://en.wikipedia.org/wiki/Help_desk
14. Site Reliability Engineering (SRE book) — Betsy Beyer, Chris Jones, Jennifer Petoff, Niall Richard Murphy (eds.), Google — https://sre.google/books/
15. ITIL 4 Foundation and service management practices — PeopleCert / AXELOS — https://www.peoplecert.org/browse-certifications/it-governance-and-service-management/ITIL-1/itil-4-foundation-2565
16. Service Manual: operating a service and monitoring its status — Government Digital Service, GOV.UK — https://www.gov.uk/service-manual/technology/monitoring-the-status-of-your-service
17. Clinical risk management standards DCB0129 and DCB0160 — NHS England (Clinical Safety) — https://digital.nhs.uk/services/clinical-safety
18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
19. ISO/IEC 20000-1 — IT service management systems — International Organization for Standardization — https://www.iso.org/standard/70636.html
20. ISO 22301 — Security and resilience: business continuity management systems — International Organization for Standardization — https://www.iso.org/standard/75106.html
21. DevOps Research and Assessment (DORA) capabilities — Google Cloud / DORA — https://dora.dev/