s. auch ALERT am 13.02.2023

Art des Zwischenfalls

Es wurden mehrfach Statusprobleme in Fremdleitstellen, insbesondere bei Sprechwünschen, nach Gruppenwechsel im Digitalfunk gemeldet.
Mit der Einführung einer Software zum Behandlungskapazitätsnachweis nutzen einige ILS verschiedene Tetra-Gruppen als „Bettenkanal“. Somit sollen Einsatzmittel, welche sich in dem ILS Bereich befinden und ein Klinikbett benötigen, auf diesen „Bettenkanal“ melden. Dies funktioniert aber teilweise nur unregelmäßig, weil das Sprechgruppen-Tracking (Affiliation Tracking) nur teilweise stimmt. Somit wird der Sprechwunsch teilweise in der falschen Gruppe angezeigt und das Einsatzmittel durch ILS nicht oder nur stark verzögert angesprochen.

Ursache

Es wurde in Bayern durch die AS BY die Firmware 10.24-003 als Endgeräteprogrammierung zur Verfügung gestellt. In dieser Firmware ist auch das Leistungsmerkmal Schattengruppen mit beinhaltet.
Aufgrund verschiedener Endgeräte, die sich bei den Durchführenden im Betrieb finden, gibt es derzeitig drei verschiedene Ausführungen (Bundgeräte, Sepura, Motorola). Dadurch gibt es drei verschiedene Varianten zum Leistungsmerkmal Schattengruppen.
Zusätzlich zur Thematik der Endgeräte hat sich herausgestellt, dass das Einsatzleitsystem ELDIS III ebenfalls technische Schwierigkeiten hat, diese Daten zu verarbeiten.

Fehlerbegünstigende Faktoren (nach London-Protokoll):

• organisations‐ und managementabhängig:
  • Einsatz verschiedener Endgeräte, welche keine identischen Geräteprogrammierung, technisch, zulassen.
  • Das Einsatzleitsystem ELDIS III ist ebenfalls nicht in der Lage, technisch die Daten zu verarbeiten.
  • Das Leistungsmerkmal Statusweiterleitung ist in Bayern aktiv, was den Bereich Schattengruppen noch komplexer macht.
• aufgaben‐ und prozessabhängig:
  • Der Prozess Affiliation Tracking im Tetra-DF ist ebenfalls fehleranfällig.

Vom AAT vorgeschlagene Interventionsmaßnahmen

• Bei einem Gruppenwechsel sollte vor dem Senden eines Status, erst die PTT-Taste gedrückt werden, bis ein Verbindungsaufbau stattgefunden hat.
• Nach Fehlversuchen im Tetra-DF sollte das Einsatzmittel per Telefon aktiv werden.

Ergänzende Anmerkung:
Sämtliche Beteiligte (StMI Sachgebiet D5, VK ILS, AS Bayern, Firma Eurofunk Kappacher) stehen bereits im engen Austausch und arbeiten an einer Lösung des Problems.

Diese Meldung wird inhaltlich verantwortet von H. Mielke, F. Dax, T. Drevermann und M. Harrer.

Hinweis

Bitte beachten Sie, dass nicht jede durch ein AAT vorgeschlagene Interventionsmaßnahme auch durch die Steuerungsgruppe unmittelbar beschlossen werden kann. Nach erfolgter Beratung über die vorgeschlagenen Maßnahmen bzw. deren Umsetzung und unter Berücksichtigung finanzieller oder rechtlicher Aspekte werden nötigenfalls Änderungen innerhalb der beteiligten Organisationen und Institutionen getroffen. Die Steuerungsgruppe ist in einem solchen Fall immer bemüht, durch Abwandlung der Interventionsmaßnahme eine Umsetzbarkeit herzustellen. Leider ist dies jedoch nicht in jedem Fall möglich.
Bitte beachten Sie auch, dass die Lösungsvorschläge nicht immer bzw. nicht immer zeitnah und in gleicher Form für ganz Bayern umgesetzt werden können.
Aus Gründen der besseren Nachvollziehbarkeit sind die von der Steuerungsgruppe beschlossenen Maßnahmen nicht einzeln bei der jeweiligen Meldung aufgeführt, sondern als Übersicht unter Interventionsmaßnahmen.

Veröffentlichung des Falls am 27.07.2021

Art des Zwischenfalls

Festzustellen war, dass ELDIS immer langsamer wurde und plötzlich keine Alarmierungen mehr über das System gingen. Kurz darauf hat GEO nicht mehr funktioniert. Hier war die erste Maßnahme an einem Einsatzleitplatz (ELP), dass ELDIS neu gestartet wird. Ohne Erfolg, da der Kollege sich nicht mehr an der ELDIS Datenbank anmelden konnte und nun auch alle anderen ELP nicht mehr funktionierten. Hier wurde sofort die IT und die freien im Haus befindlichen Mitarbeiter in den Einsatzleitraum (ELR) beordert und der Betrieb sofort auf Rückfallebene mit den unten beschriebenen Maßnahmen umgestellt. Die ILS war ca. 30 Minuten offline und im Notbetrieb.

In der Woche davor gab es ein Datenbankupdate durch Eurofunk Kappacher und dies zeigte sich auch als Grund des Vorfalls:
Vor dem Update wurde richtiger Weise ein Backup gemacht und dieses gesichert. Die Festplatten sind aber immer am Limit. Nach dem erfolgreichen Update der Datenbank wurde das Backup nicht gelöscht. An dem Tag des Zwischenfalls hat das System ein routinemäßiges Backup durchgeführt. Da jedoch die Festplattenkapazität erschöpft war, hat sich die Datenbank aufgehangen und es war kein Arbeiten mehr möglich. Normalerweise wird im ersten Step für Rückfallebenen das Schulsystem genutzt. Dies war wegen einer Wartung nicht möglich und so musste auf die Rückfallebene "Papier" umgestiegen werden.

Es erfolgte Aufbau Rückfallebene 2 (Notausdruck --> war nicht mehr möglich; Papierlisten, Vorhaltelisten, Vorbereitung händische Alarmierung, Einsatzmittelkettenordner etc.); sofortige Alarmierung der EDV und durch diese Eurofunk Kappacher; sofortige Information der Nachbarleitstellen, dass ab sofort Notbetrieb ohne ELDIS herrscht; Nachbesetzung durch Mitarbeiter der Verwaltung / Leitung.
Rückfallebene 1 (ELDIS Schulungssystem und Schnittstellenschwenk) konnte nicht erfolgen, da Eurofunk Kappacher am Schulungssystem eine Wartung durchführte und dieses daher nicht verfügbar war. Allerdings war dies auch Zeitvorteil, da Eurofunk Kappacher bereits per Fernwartung aufgeschaltet war und so sofort reagieren konnte.
Betrieb auf Rückfallebene 2 für ca. 40 Minuten bis der Fehler behoben werden konnte und das System wieder stabil lief. Zur Sicherheit  erfolgte 10 Minuten parallel Betrieb (ELDIS / Rückfallebene).

Der Melder schlägt vor, dass der Vorfall mit Eurofunk Kappacher aufgearbeitet werden sollte mit der Anforderung, dass Checklisten für Update / Wartungsarbeiten zu erstellen sind analog wie in der Luftfahrt und diese konsequent abgearbeitet werden müssen.

Ursache

Kernproblem des Falls:
Bei einem Update wurde das Backup der Datenbank nicht gelöscht. Dies führte dazu, dass die Festplattenkapazität erschöpft war und sich dadurch die Datenbank "aufhängte". Ein Arbeiten war nicht mehr möglich.
Der geschilderte Fall ist auf jeden Fall durch Löschen des Backups vermeidbar (-> Checkliste des SWC bei Updates), die Gefahr einer Wiederholung des Vorfalls ist immer wieder möglich.

Fehlerbegünstigende Faktoren (nach London-Protokoll):

• organisations‐ und managementabhängig:
  • Jede ILS in Bayern besitzt mit dem Systemlieferanten Eurofunk einen eigenen, individuellen Wartungsvertrag.
    Die Wartung, durch Eurofunk, kann mittels zwei Möglichkeiten stattfinden:
    • Vor Ort Termin, der Software Consultant (SWC), Techniker, befindet sich im Gebäude der ILS und führt in Anwesenheit die Wartung durch.
    • Remote Zugriff, der SWC, Techniker bekommt die Freigabe der ILS, sich per Fernwartung auf das System ELDIS/IDDS 512 oder ELDIS/IDDS UcIP aufzuschalten, die Wartung durch zu führen.
  • Je nach Zugang befindet sich der SWC im System des ILS. Sowohl persönlich anwesend, wie aber auch per Fernwartung, agiert der SWC alleine und unabhängig im System. Es ist der Systemadministration nur in Bruchstücken bekannt, was der SWC macht/ausführt. Viele Arbeiten ergeben sich teilweise auch durch die dementsprechenden Arbeiten und Konfigurationen, weil hier teilweise selbst oder durch Dritte festgestellt wird, dass die Konfiguration nicht stimmt.
  • Es wäre hier eine grundlegende Forderung, dass der Systemlieferant anzeigt, was am System gemacht wird, was für Auswirkungen das haben kann, welche Module betroffen sind. Dies ist im Vorhinein schriftlich dem Betreiber der ILS anzuzeigen. Nach dieser Anzeige erfolgt die Freigabe zur Durchführung der Arbeiten.

• teamabhängig::
  • Das ILS-Team hat sehr schnell bemerkt, dass sich das ELS auffällig verhält, es zu deutlichen Performance Problemen kommt. Hierbei kam der glückliche Umstand zu tragen, dass eine interne Fortbildung im Haus war, somit in kürzester Zeit die Notfallebene hochgefahren werden konnte.
  • Die Kommunikation innerhalb der ILS war allem Anschein nach sehr gut. Das umschwenken von Regelbetriebsebene auf Notfallebene wurde ohne Probleme vollzogen.
• individuell:
  • Die ILS hat durch bestehende Vorarbeiten, dementsprechende Schulungen schon dazu beigetragen, dass ein Umschwenken von Regelbetrieb auf Notfallbetrieb, für das Personal kein Stress verursacht hat.
  • Durch die im Haus bestehende Personalstärke, auch aufgrund der In-House Schulung, hielt sich die persönliche Belastung der einzelnen Mitarbeiter in Grenzen, da es zu keinem Mangelverhältnis gekommen ist.

Ergänzende Anmerkung:
In diesem speziellen Fall hat die ILS richtig, kompetent und zeitgerecht reagiert. Es kann aber bei zukünftigen Arbeiten am ELS durch den Systemlieferanten jederzeit wieder zu solch einem Zwischenfall kommen. Wenn man sich jetzt die Ursache, den Auslöser und die damit verbundene Konsequenz betrachtet, kann man eine Verkettung unglücklicher Umstände, ausgelöst durch individuelle Fehler, erkennen.
Es gibt aktuell kein dokumentiertes Verhalten, Anweisungen für die Software Consultants (SWC) der Firma Eurofunk. Jeder kann individuell für sich agieren wie er möchte. Beispielhaft konnte in einigen ILS eine falsche Konfiguration identifiziert werden, welche auf einen einzelnen SWC zurück zu führen war.

Vom AAT vorgeschlagene Interventionsmaßnahmen

• Von Seiten der Betreiber, welche individuelle Wartungsverträge mit dem Systemlieferanten Eurofunk haben, sollte gefordert werden, dass gewisse Verfahren standardisiert werden, evtl. auch per SOP, Checklisten dokumentiert werden.
• Auch sollte darüber nachgedacht werden, ob das Zwei-Augen-Prinzip, das hier durch den SWC/Techniker durchgeführt wird, ausreichend ist (der aktuelle Fall belegt eindeutig, dass es nicht ausreichend ist), oder ob man solche Fehler durch ein Vier-Augen-Prinzip (Einbindung des Systadmin der ILS?) verhindern kann.

Diese Meldung wird inhaltlich verantwortet von H. Mielke und der ILS-AAT-Leitung (M. Harrer, F. Dax und T. Drevermann).

Hinweis

Bitte beachten Sie, dass nicht jede durch ein AAT vorgeschlagene Interventionsmaßnahme auch durch die Steuerungsgruppe unmittelbar beschlossen werden kann. Nach erfolgter Beratung über die vorgeschlagenen Maßnahmen bzw. deren Umsetzung und unter Berücksichtigung finanzieller oder rechtlicher Aspekte werden nötigenfalls Änderungen innerhalb der beteiligten Organisationen und Institutionen getroffen. Die Steuerungsgruppe ist in einem solchen Fall immer bemüht, durch Abwandlung der Interventionsmaßnahme eine Umsetzbarkeit herzustellen. Leider ist dies jedoch nicht in jedem Fall möglich.
Bitte beachten Sie auch, dass die Lösungsvorschläge nicht immer bzw. nicht immer zeitnah und in gleicher Form für ganz Bayern umgesetzt werden können.
Aus Gründen der besseren Nachvollziehbarkeit sind die von der Steuerungsgruppe beschlossenen Maßnahmen nicht einzeln bei der jeweiligen Meldung aufgeführt, sondern als Übersicht unter Interventionsmaßnahmen.

Art des Zwischenfalls

Die NEF von zwei Notarztstandorten wurden aus bestimmten Gründen untereinander ausgetauscht. Die Funkrufnamen wurden dabei jedoch nicht ausgetauscht. Nachdem der Fahrzeugtausch nicht bei allen anderen Rettungsmitteln geläufig war, wurde ein NEF in Unkenntnis des neues Standortes und in Annahme einer deutlich verlängerten Anfahrt vom RTW abbestellt.

Ursache

Kernproblem des Falls:
Rettungsmittel (in diesem Fall zwei NEF) wurden untereinander getauscht, der Funkrufname aber jeweils - entgegen der derzeit gültigen Funkrufnamenrichtlinie - beibehalten. Dadurch kam es zu einer falschen örtlichen Zuordnung und zur Abbestellung des Notarztes. Dies erfolgte in der Annahme, dass ein "load & go" bei einer vermeintlich deutlich verlängerten Anfahrt des NEF die bessere Option für den Patienten sei.

Fehlerbegünstigende Faktoren (nach London-Protokoll):

• organisations‐ und managementabhängig:
  • Nachdem als zusätzliche Anmerkung des Melders "Beibehaltung Qualitätsmanagement" mitgeteilt wurde, liegt die Vermutung nahe, dass es früher einen entsprechenden Prozess gab und dieser jetzt nicht mehr gelebt wird. Somit wäre ein Defizit in der Sicherheitskultur erkennbar. 
• aufgaben‐ und prozessabhängig:
  • Mit Hinweis auf die Anmerkung des Melders scheint es, dass der Prozess "Fahrzeugtausch" entweder abgeschafft wurde, Mängel aufweist oder nicht existiert.
• arbeits‐ und umfeldabhängig:
  • Denkbar wäre, dass der Tausch der Funkrufnamen vergessen wurde und dies der Arbeitsbelastung oder des mangelnden Wissens des Disponenten geschuldet war. Warum die technische Möglichkeit des EM-Tausches oder des Umschreibens nicht genutzt wird bzw. wurde, ist nicht bekannt.
• teamabhängig:
  • Falls der Tausch der Funkrufnamen "vergessen" wurde, sind mehrere Leitsätze des CRM nicht beachtet worden, wie z. B. 
    • Kenne Deine Arbeitsumgebung
    • Verhindere und erkenne Fixierungsfehler
    • Beachte und verwende alle vorhandenen Informationen
    • Habe Zweifel und überprüfe genau
      (CRM-Leitsätze nach Rall und Gaba)
  • Warum eine RTW-Besatzung ein vermeintlich weit entferntes NEF abbestellt ohne nachzufragen wo es sich aktuell befindet, geht aus der Meldung leider nicht hervor.

Fehlerhafter Vorgang:
Zwei NEF wurden zwischen zwei Notarztstandorten getauscht ohne die Funkrufrufnamen an den jeweiligen neuen Standort anzupassen.

Erkennbar implementierte Barriere‐/Abwehrmechanismen

Prinzipiell bitet ELDIS III BY sowohl die Möglichkeit "EM-Tausch" als auch die Möglichkeit der Umschreibung von Einsatzmitteln.

Vom AAT vorgeschlagene Interventionsmaßnahmen

• Generell sollten alle Rettungsmittel (hier KTW, RTW, NEF) standortspezifische Funkrufnamen im Sinne von z.B. Rettung A-Dorf 71/1 oder Akkon B-Stadt 76/1 führen, um Verwechslungen und eine potentielle Patientengefährdung durch längere Anfahrten zu verhindern.
• Eine einheitliche Rufnamenregelung auf Wachen-Standort sollte bayernweit verpflichtend sein (s. Funkrufnamenrichtlinie).
• In Folge der verpflichtenden Umsetzung der Funkrufnamenrichtlinie sollte die Funktion "EM-Tausch" oder die Möglichkeit der Umschreibung von Einsatzmitteln genutzt werden.
• Die Beschriftung von Einsatzmitteln mit dem jeweiligen Funkrufnamen kann ggf. durch Wechselschilder sichergestellt werden und darf kein Hinderungsgrund sein.
• In den ILS sollte CRM/TRM etabliert und gelebt werden, z. B. Anwendung der Leitsätze nach Rall und Gaba, um derartige Fehler vermeiden zu können.

Diese Meldung wird inhaltlich verantwortet von C. Funk, F. Dax, T. Drevermann und M. Harrer.

Hinweis

Bitte beachten Sie, dass nicht jede durch ein AAT vorgeschlagene Interventionsmaßnahme auch durch die Steuerungsgruppe unmittelbar beschlossen werden kann. Nach erfolgter Beratung über die vorgeschlagenen Maßnahmen bzw. deren Umsetzung und unter Berücksichtigung finanzieller oder rechtlicher Aspekte werden nötigenfalls Änderungen innerhalb der beteiligten Organisationen und Institutionen getroffen. Die Steuerungsgruppe ist in einem solchen Fall immer bemüht, durch Abwandlung der Interventionsmaßnahme eine Umsetzbarkeit herzustellen. Leider ist dies jedoch nicht in jedem Fall möglich.
Bitte beachten Sie auch, dass die Lösungsvorschläge nicht immer bzw. nicht immer zeitnah und in gleicher Form für ganz Bayern umgesetzt werden können.
Aus Gründen der besseren Nachvollziehbarkeit sind die von der Steuerungsgruppe beschlossenen Maßnahmen nicht einzeln bei der jeweiligen Meldung aufgeführt, sondern als Übersicht unter Interventionsmaßnahmen.

Veröffentlichung des Falls am 23.07.2021

Ergänzung am 04.08.2022: Schreiben der VK-ILS:

• Anschreiben Betreiber
• Element Aktionen ELDIS III By

Art des Zwischenfalls

Es wurde anhand folgenden Beispiels gemeldet, dass die Signalisierungen für ESWL in ELDIS BY unzureichend sind und teils zu allgemein gehalten sind:
Die ILS 1 alarmiert einen Notfalleinsatz (RD1) auf und disponiert in einer Grenzregion zur ILS 2. Es wird der RTW Musterhausen 71/1disponiert. Der Einsatz wird alarmiert und ein entsprechner Untereinsatz per Anforderungs-Weiterleitung (ANWL) an die ILS 2 gesendet. Der RTW Musterhausen 71/1 übernimmt den Einsatz und begibt sich zur Einsatzstelle. Dort fordert der RTW bei der ILS 1 einen Notarzt nach. Diese Nachforderung wird entgegengenommen, das Schlagwort entsprechend geändert und ein NEF disponiert. Auch hier wird das NEF Musterhausen 76/1 disponiert. Die ILS 1 sendet über den Alarmvorgang erneut mittels ANWL den Einsatz an die ILS 2. In der ILS 2 jedoch erscheint nur eine Aktualisierungssignalisierung, wie bei vielen anderen Einsätzen, bei denen eine überregionale Unterstützung stattfindet. Diese Signalisierung erscheint auch bei den verschiedensten Aktualisierungen im Einsatz (Statusänderung, Erfassung einer Rückmeldung etc.).

Ursache

Kernproblem des Falls:
Die Fülle von nicht relevanten Sicherheitswarnungen und Signalisierungen für den Disponenten in ELDIS manuell zu sichten kann dazu führen, dass wichtige Warnungen/Signalisierungen einfach wegstorniert werden. Der Versuch jede einzelne Sicherheitswarnung/Signalisierung genau zu prüfen, ist mit den vorhandenen Ressourcen nicht möglich.
Hierbei handelt es sich um den klassischen Fall der Alarmmüdigkeit. Die Häufigkeit von Alarmmeldungen ohne Relevanz führt dazu, dass die häufigen "Fehlalarme" von den Disponenten als beständiges Ärgernis erlebt und diese Meldungen nicht mehr gelesen werden.
Bei der Alarmmüdigkeit ("alarm fatigue") handelt es sich genau genommen nicht um eine Störung der Aufmerksamkeit, sondern um einen motivational bedingten Schutz der Aufmerksamkeit: was beständig zu Unrecht die eigene Aufmerksamkeit in Anspruch nimmt, verliert an Wertigkeit. (Zitat aus: Human Factors und Patientensicherheit in der Akutmedizin S. 157, M. St.Pierre, G. Hofinger, 3. Auflage 2014 Springer-Verlag). Alarmmüdigkeit ist auch in der Medizin ein bekanntes Problem, mögliche Lösungsansätze beinhalten v.a. technische Maßnahmen, Änderung organisationaler und organisatorischer Abläufe sowie Mitarbeiterschulungen“ („s. z. B. Patientensicherheit Schweiz - dort Broschüre „Mehr Patientensicherheit durch Design“).

Fehlerbegünstigende Faktoren (nach London-Protokoll):

• organisations‐ und managementabhängig:
  • Team Resource Management (TRM) ist vermutlich noch nicht in allen Integrierten Leitstellen gelebte Kultur.

• aufgaben‐ und prozessabhäng:
  • Zu viele Alarmmeldungen, auch solche, die für den Disponenten nicht relevant sind.
• teamabhängig::
  • Das Verständnis für die Wichtigkeit der "Situativen Aufmerksamkeit" in den Leitstellen ist wahrscheinlich noch nicht durchgehend vorhanden.

Vom AAT vorgeschlagene Interventionsmaßnahmen

• Von Seiten der Betreiber sollte festgelegt werden, welche Alarme für den Disponenten relevant sind. Die Einstellungen in ELDIS sollten dann so angepasst werden, dass der Disponent nur noch diese relevanten Alarme sieht.
• Im Sinne einer technischen Lösung sollten diejenigen Alarme, die einen weiteren Handlungsbedarf erfordern, klar ersichtlich angezeigt werden und auch eine zusätzliche Funktion für eine aktive Bestätigung eingeführt werden.
• In den ILS sollte TRM etabliert und gelebt werden, z. B. Anwendung der TRM Leitsätze nach Rall und Gaba, um derartige Fehler vermeiden zu können.
• Zudem sollte in den ILS auch die Wertigkeit einer Kultur der gemeinsamen Situationsaufmerksamkeit des Leitstellenteams bekannt sein und dies im Arbeitsalltag umgesetzt werden.

Diese Meldung wird inhaltlich verantwortet von M. Harrer, F. Dax und T. Drevermann.

Hinweis

Bitte beachten Sie, dass nicht jede durch ein AAT vorgeschlagene Interventionsmaßnahme auch durch die Steuerungsgruppe unmittelbar beschlossen werden kann. Nach erfolgter Beratung über die vorgeschlagenen Maßnahmen bzw. deren Umsetzung und unter Berücksichtigung finanzieller oder rechtlicher Aspekte werden nötigenfalls Änderungen innerhalb der beteiligten Organisationen und Institutionen getroffen. Die Steuerungsgruppe ist in einem solchen Fall immer bemüht, durch Abwandlung der Interventionsmaßnahme eine Umsetzbarkeit herzustellen. Leider ist dies jedoch nicht in jedem Fall möglich.
Bitte beachten Sie auch, dass die Lösungsvorschläge nicht immer bzw. nicht immer zeitnah und in gleicher Form für ganz Bayern umgesetzt werden können.
Aus Gründen der besseren Nachvollziehbarkeit sind die von der Steuerungsgruppe beschlossenen Maßnahmen nicht einzeln bei der jeweiligen Meldung aufgeführt, sondern als Übersicht unter Interventionsmaßnahmen.