Vụ sập hệ thống điều xe cấp cứu London năm 1992 là một trong những ca thất bại phần mềm được nghiên cứu nhiều nhất: ngày 26/10/1992, Dịch vụ Cấp cứu London (LAS) bỏ hẳn giấy tờ để giao cả thành phố cho máy tính, và chỉ vài giờ sau thì hỗn loạn. Điều đáng chú ý là đoàn điều tra sau đó kết luận cỗ máy không hỏng theo nghĩa kỹ thuật. Nó làm đúng điều nó được thiết kế để làm, chỉ có điều bản thiết kế dựa trên những giả định sai.
Tóm tắt nhanh
Hệ thống điều xe mới của LAS sụp đổ vì thiết kế và cách triển khai chứ không phải vì một dòng mã hỏng duy nhất. Theo báo cáo điều tra công bố tháng 2/1993, bản đặc tả được viết với rất ít tiếng nói của kíp xe, chạy theo một hạn chót cứng, chọn nhà thầu theo giá thấp nhất, thử nghiệm trong điều kiện lý tưởng rồi bật toàn thành phố cùng lúc, không còn giấy dự phòng. Kênh Huyền Sử AI gom những điều ấy thành chín giả định ngầm, và London đã lần lượt thấy từng giả định vỡ.
Diễn biến chính
Căn phòng chạy bằng giấy (1930 đến đầu thập niên 1990)
LAS ra đời năm 1930 và đến đầu thập niên 1990 là dịch vụ cấp cứu lớn nhất thế giới: phục vụ khoảng 6,8 triệu dân, nhận 2.000 đến 2.500 cuộc gọi mỗi ngày. Quy trình khi ấy dùng phiếu in sẵn, băng chuyền chở phiếu, sổ bản đồ và dãy hộp thẻ xe. Chuẩn quốc gia ORCON đòi điều xe trong 3 phút và có mặt hiện trường trong 14 phút.
Cách làm giấy chậm và dễ sót, nhưng mọi người trong phòng nhìn thấy nhau và thấy cả những tờ phiếu còn nằm trên bàn. Theo một nguồn thứ cấp, năm 1992 chỉ khoảng 40% ca đạt mốc 14 phút.
Một tổ chức rạn vỡ và nỗi sợ thất bại (1989 đến 1991)
Sau cuộc tranh chấp lương 1989 đến 1990, quan hệ giữa lãnh đạo và kíp xe rất căng. Ban lãnh đạo mới năm 1990 chọn cải tổ nhanh và mạnh; năm 1991, 268 vị trí quản lý bị cắt còn 53. Trước đó, một dự án tin học hoá cũ tốn khoảng 7,5 triệu bảng đã bị bỏ năm 1990. Dưới áp lực của nghị sĩ, báo chí và cơ quan y tế vùng, nỗi sợ thất bại thêm một lần nữa len vào mọi cuộc họp.
Bản thiết kế viết kín (1990 đến 1991)
Kế hoạch là để máy làm gần hết: máy tự định vị sự vụ, biết xe nào rảnh nhờ hộp định vị, đề xuất xe gần nhất, và kíp xe bấm nút báo từng bước. Chưa dịch vụ cấp cứu nào ở Anh làm vậy. Bản đặc tả do một chuyên viên hợp đồng và trưởng phòng hệ thống chấp bút; người trưởng phòng không phải dân tin học và biết mình sắp bị thay. Kíp xe gần như không được hỏi.
Hạn chót và gói thầu rẻ nhất (1991)
Một hãng tư vấn khuyên rằng nếu mua được phần mềm làm sẵn thì cần khoảng 19 tháng và 1,5 triệu bảng, nhưng lời khuyên bị gạt đi. Hạn chót được chốt là 8/1/1992, không thương lượng; biên bản họp tháng 6/1991 ghi ngành thường cần khoảng 18 tháng cho dự án loại này, còn ở đây chỉ có chừng 6 tháng.
Gói thầu thắng của liên danh Apricot, Datatrak và Systems Options có giá 937.463 bảng, rẻ hơn khoảng 700 nghìn so với phương án khác; riêng phần mềm điều xe được báo giá 35.000 bảng. Một lá thư tham chiếu cảnh báo về năng lực của hãng phần mềm nhỏ này tới tay nhóm hệ thống bốn ngày trước cuộc họp thông qua. Hợp đồng được ký tháng 8/1991.
Chạy khi chưa kịp thử (1992)
Đến tháng 12/1991, ai cũng thấy không kịp. Một phần hệ thống chạy từ tháng 1/1992, và theo đoàn điều tra, trong chín tháng sau đó nó chưa bao giờ ổn định. Sửa nóng tại chỗ, kiểm tra chất lượng bán thời gian, đề nghị kiểm định độc lập không được hồi âm. Tháng 3/1992, một báo cáo cảnh báo về phần mềm radio hỏng gần như mỗi ngày không bao giờ tới hội đồng.
Chính bản thiết kế thừa nhận: nếu kíp xe không bấm đúng nút, hỗn loạn có thể xảy ra. Các giả định kèm theo gồm: kíp xe luôn bấm nút, xe nào được giao thì xe ấy đi, máy luôn biết vị trí xe (lỗi công thức khiến xe thứ 53 không được nhận ra, tới tháng 10/1992 mới sửa), sóng radio phủ khắp nơi, con người tin vào máy. Bộ thử nghiệm chưa từng mô phỏng thông tin không hoàn hảo; ngày khai trương còn 81 phiếu lỗi mở trên tổng 1.513 phiếu.
Hai ngày hỗn loạn và lần đứng im thứ hai (26/10 đến 4/11/1992)
Bảy giờ sáng 26/10/1992, tám thay đổi được áp dụng cùng lúc và giấy dự phòng bị bỏ. Buổi sáng tải nhẹ nên êm. Dần dần các cú bấm sót, vùng mất sóng và việc đổi xe ở trạm làm máy biết sai trạng thái xe: thông báo ngoại lệ dồn dập, cuộn nhanh quá mức, có lúc hàng đợi bị xoá để máy nhẹ đi và kéo theo sự vụ bị sót. Người dân gọi lại nhiều lần khiến đường dây càng nghẽn; chuông có lúc trung bình mười phút mới có người nhấc. Chiều 27/10, phòng điều xe quay lại cách bán thủ công.
Khoảng 2 giờ sáng 4/11, máy đứng im vì một đoạn mã bị bỏ quên ba tuần trước đó, cứ mỗi lệnh điều xe lại giữ thêm bộ nhớ mà không trả. Máy chủ dự phòng không tự bật vì cơ chế này chưa từng được làm hay thử cho chế độ đang chạy.
Báo cáo điều tra và lần làm lại (1993 đến 1996)
Ba người điều tra trong sáu tuần, và báo cáo tháng 2/1993 cho biết hôm 26/10 không đông bất thường: cuộc gọi chỉ nhỉnh hơn khoảng 6%. Báo cáo kết luận hệ thống không hỏng về kỹ thuật nhưng phần lớn thiết kế mang lỗi chí mạng, và ban lãnh đạo đã lầm lạc hoặc ngây thơ khi tin rằng riêng máy tính có thể đổi thói quen làm việc của con người. Không bên nào bị đổ lỗi riêng; theo báo cáo, với thời hạn và phạm vi ấy không hãng phần mềm nào giao được một giải pháp chạy được.
Về sau London làm lại trong nhà, từng bước, có người dùng tham gia thiết kế và giữ lại máy in. Theo một nghiên cứu thứ cấp, tỉ lệ cuộc gọi được điều xe trong ba phút tăng từ khoảng 38% lên 60% vào năm 1996.
Điều còn tranh cãi hoặc cần thận trọng
- Số người chết: con số 20, về sau có nơi kể thành 30, là cáo buộc trên báo mà chính người đưa ra cũng thừa nhận khó kiểm chứng. Báo cáo điều tra ghi chưa có toà điều tra tử vong nào kết luận xe tới muộn là nguyên nhân.
- Chi tiết giai thoại: chuyện xe muộn tới ba giờ, người chờ máy nửa tiếng, câu mỉa của cảnh sát chỉ đến từ tin báo và truyền hình được kể lại, không có hồ sơ gốc. Giờ quay lại giấy ngày 27/10 cũng mỗi nguồn ghi một khác.
- Lỗi mã hay lỗi tổ chức: nhiều bài giảng đổ cho Visual Basic và đoạn mã rò bộ nhớ, nhưng đoạn mã đó làm sập máy ngày 4/11, không phải hai ngày hỗn loạn đầu. Giới nghiên cứu vẫn chia hai cách nhìn: nhìn vào mã, hoặc nhìn vào tổ chức.
Vì sao câu chuyện này đáng nhớ?
Cỗ máy ở Waterloo không ngu; nó trung thành với một bản đặc tả viết trong phòng kín, dưới một hạn chót không ai dám cãi. Mỗi giả định trong đó là một lời hứa thay cho con người: họ sẽ bấm, sẽ tin, sẽ lái đúng xe được giao. Phần mềm không thể bắt một tổ chức đang rạn nứt giữ những lời hứa chưa từng được đưa ra.
Hôm nay nhiều tổ chức đưa trí tuệ nhân tạo vào công việc rất nhanh, và mỗi hệ thống cũng mang theo một danh sách giả định ngầm. Bài học của London không phải là bỏ công nghệ, mà là viết các giả định ra, hỏi những người sẽ dùng nó trước, và giữ một đường lui.
Câu hỏi thường gặp
Hệ thống điều xe cấp cứu London sụp đổ khi nào?
Hệ thống chạy toàn phần lúc 7 giờ sáng 26/10/1992 và hỗn loạn ngay trong ngày. Chiều 27/10 phòng điều xe quay lại cách bán thủ công, và khoảng 2 giờ sáng 4/11 máy đứng im thêm một lần.
Phần mềm có bị lỗi không?
Theo báo cáo điều tra, hệ thống không hỏng theo nghĩa kỹ thuật vào hai ngày 26 và 27/10 và nhìn chung làm đúng điều nó được thiết kế để làm. Lỗi chí mạng nằm ở phần lớn bản thiết kế. Riêng lần đứng im ngày 4/11 do một đoạn mã rò bộ nhớ.
Có bao nhiêu người chết vì sự cố?
Không có con số được xác nhận. Con số 20 là cáo buộc trên báo, khó kiểm chứng, và báo cáo ghi chưa toà điều tra tử vong nào kết luận xe tới muộn là nguyên nhân.
Vì sao dự án chọn nhà thầu rẻ như vậy?
Quy chế mua sắm công yêu cầu chọn giá thấp nhất trừ khi có lý do chính đáng và đầy đủ, và không ai đưa ra lý do nào để chọn khác. Phần mềm điều xe được báo giá chỉ 35.000 bảng.
London có làm lại thành công không?
Theo một nghiên cứu thứ cấp, lần làm lại trong nhà, từng bước và có người dùng tham gia đã nâng tỉ lệ cuộc gọi được điều xe trong ba phút từ khoảng 38% lên 60% vào năm 1996.
Nguồn tham khảo
- South West Thames RHA, Report of the Inquiry Into The London Ambulance Service (2/1993)
- RISKS Digest 13.88 (29/10/1992), trích The Independent
- RISKS Digest 14.48 (1993), tóm tắt báo cáo điều tra
- S. Cunio, tóm tắt seminar của P. Williams (1994)
- D. Greenwood, A. Khajeh-Hosseini, I. Sommerville, Lessons from the Failure and Subsequent Success of a Complex Healthcare Sector IT Project (2010)
- Toàn văn báo cáo điều tra (bản điện tử)
Bài viết tóm tắt từ video của kênh; nội dung mang tính giới thiệu.
