13. oktober var den elektroniske patientjournal på hospitalerne og psykiatrien i det tidligere Århus Amt ude af drift i mere end 10 timer. Årsagen til det alvorlige nedbrud er nu analyseret, og det viser sig, at der er tale om en menneskelig fejl.


Den 13. oktober 2009 opstod et problem med Århus-EPJ, og EPJ-systemet var utilgængeligt for brugerne fra kl. 13:30 til kl. 23:50 – i ca. 10 timer. Nedbruddet ramte alle hospitaler og psykiatrien i tidligere Århus Amt, som anvender hele Århus-EPJ samt Hospitalsenheden Vest, som anvender Medicinmodulet i Århus-EPJ.

Ved genetablering af EPJ-systemet opstod desuden det følgeproblem, at data registreret i EPJ fra kl. 9:34 til kl. 13:30 meget beklageligt blev tabt. Det vedrører bl.a. medicinordinationer, bookede aftaler med patienter og rekvisitioner af blodprøver. Et andet meget uheldigt følgeproblem ved genetablering af EPJ-systemet var en forkert tilrettelagt indlæsning af nogle blodprøvesvar, som betød, at 231 blodprøvesvar blev tilknyttet en forkert patient.

EPJ-systemet var igen tilgængeligt for brugerne d. 13. oktober kl. 23:50. Om formiddagen d. 14. oktober var det dog nødvendigt at lukke i nogle timer for den del, som vedrører elektronisk rekvirering og svar af blodprøver. Oprydning af forkert placerede blodprøvesvar blev foretaget i løbet af d. 14.oktober, og hele EPJ-systemet var korrekt kørende igen om eftermiddagen d. 14. oktober.

Kerneårsagsanalyse

På baggrund af den alvorlige hændelse er der gennemført en kerneårsagsanalyse. Analysen viser, at kerneårsagen til hændelsen er en personfejl. En nyligt tilkommet medarbejder fik ved en fejl slettet nogle meget kritiske filer og dele af EPJ-systemet, hvilket forårsagede nedbruddet. Den pågældende medarbejder kan ikke bebrejdes, fordi hændelsen især skyldtes utilstrækkelig oplæring i håndtering af den komplekse driftsinstallation.

Kerneårsagsanalysen har identificeret en række konkrete aktiviteter som f.eks. ændring i oplæringen og skærpelse af sikkerheds-forholdene omkring driftsinstallationen, som skal medvirke til at sikre og forbedre driften af Århus-EPJ samt forebygge at noget tilsvarende kan ske en anden gang. Der iværksættes straks et arbejde med at realisere de konkrete aktiviteter. Der er allerede for nogen tid siden påbegyndt en generel oprustning af den tekniske driftsorganisation.

Den tekniske driftsinstallation generelt

Generelt er den tekniske driftsinstallation til drift af Århus-EPJ meget sikker. Der er dobbeltsikring på en lang række tekniske komponenter, så funktionsdygtige komponenter kan tage automatisk over, hvis der opstår en fejl. Der bliver også taget løbende backup af data. Men det har ikke kunnet holde for den omtalte personlige fejl, som er foregået.

Der tages backup af alle relevante EPJ-data løbende, og der er en kopi af samtlige EPJ-data både i ”eget hus” og på en ekstern adresse uden for regionen.

For nyligt er der ud over den tekniske driftsinstallation til Århus-EPJ også etableret en såkaldt Opslags-EPJ. Her kan EPJ-data læses af brugerne, men brugerne kan ikke registrere nye data i Opslags-EPJ. Opslags-EPJ anvendes ved planlagte systemtider, så brugerne på hospitalerne kan læse patientdata, f.eks. medicinordinationer, mens der laves systemtid på EPJ, som f.eks. en opgradering af funktionalitet i EPJ.

Opslags-EPJ får opdateret sine data løbende fra EPJ og indeholder hele tiden en tro kopi af Århus-EPJ. Når der alligevel skete et datatab i forbindelse med nedbruddet af Århus-EPJ, skyldes det, at præcis kl. 9:34 d. 13. oktober blev den løbende dataopdatering til Opslags-EPJ stoppet for at gøre klar til næste planlagte systemtid. Da den personlige fejl blev begået kl. 13:30 var der ikke sket den normale løbende opdatering af Opslags-EPJ i ca. 4 timer. Når den løbende backup via Opslags-EPJ er stoppet, må der naturligvis ikke foretages tekniske indgreb i EPJ-installationen. Det er netop én af flere ting, som kerneårsagsanalysen påpeger.

Den tekniske driftsinstallation i de kommende uger

For at opnå en hurtig genetablering af Århus-EPJ d. 13. oktober blev besluttet at ibrugtage dele af den tekniske driftsinstallation til Opslags-EPJ. Det er ikke optimalt rent driftsmæssigt men var nødvendigt i situationen. Det betyder f.eks., at lige i dag er der ikke en fungerende Opslags-EPJ. Det har også været nødvendigt at finde ud af, om nedbruddet d. 13. oktober skyldtes tekniske forhold i den normale driftsinstallation til Århus-EPJ. Det viser sig ikke at være tilfældet. Den normale tekniske driftsinstallation til Århus-EPJ er helt klar til at blive taget i brug igen.

Derfor udestår nu en opgave med at få skiftet til den normale tekniske driftsinstallation. Der er lagt en plan, så det kan ske d. 20. november. På det tidspunkt er der således igen etableret en sikker driftsinstallation til Århus-EPJ og en Opslags-EPJ, som dels skal bruges ved planlagte systemtider og dels kan fungere som en helt opdateret backup af EPJ-data.

En komplet, kørende kopi af Århus-EPJ

Fordi Århus-EPJ tages i brug af stadig flere brugere og dermed bliver tiltagende kritisk for hospitalsdriften og patientbehandlingen, er der ønske om at få etableret en fuldstændig kopi af Århus-EPJ systemet, som automatisk kan tage over, hvis der opstår et eller andet driftsproblem på den primære driftsinstallation. Allerede nu foretages de første investeringer. Det sker i første omgang for at få den normale driftsinstallation taget i brug igen hurtigst muligt som et Trin 1. Men det næste Trin 2, som skal give en komplet, kørende kopi af Århus-EPJ, påbegyndes umiddelbart efter, at Trin 1 er afsluttet. Det er ikke muligt på dette tidspunkt at give en præcis dato for, hvornår der kan være etableret en komplet, kørende kopi af Århus-EPJ. Der stiles efter, at det kan ske inden ibrugtagning af den næste større leverance af EPJ-funktionalitet fra de leverandørfirmaer, som der samarbejdes med, hvilket er planlagt til d. 1. marts 2009.

Flere oplysninger
Direktør Ole Thomsen, Århus Sygehus, othom@as.aaa.dk