¿Cómo se sostiene el servicio de imágenes durante una tormenta o un apagón?

¿Qué diferencia hay entre un apagón total y el modo degradado?

El apagón total es binario. No hay energía, no hay red, y todo el mundo sabe que toca abrir la carpeta de contingencia. El modo degradado es el estado que viene después y dura mucho más: planta eléctrica por horas, un enlace que mueve una fracción de lo habitual, telefonía intermitente y un departamento que técnicamente está abierto.

Los planes de apagón total abundan porque son fáciles de escribir. Se va la luz, el documento dice que se suspenden las citas, que la planta sostiene la carga de emergencia, que se atiende solo lo que la sala de emergencias necesita y que se documenta en papel. Nadie discute eso. El modo degradado cuesta más, porque el departamento sigue trabajando y la presión por operar como si nada fuera cierto es real. Siguen entrando órdenes. Siguen llegando pacientes. La planta sostiene el equipo, pero el plan nunca dijo si sostiene a la vez el archivo, el motor de interfaces y el aire acondicionado del cuarto de servidores. Escriba la lista de carga. Si el ingeniero de facilidades la conoce y el gerente de imágenes no, eso no es un plan.

La segunda diferencia es la duración. El apagón total se mide en horas. La operación degradada puede extenderse por semanas después de que pasó el mal tiempo, porque el servicio eléctrico regresa por sectores y el enlace que mueve sus imágenes depende de infraestructura que otro repara en su propio orden. En Puerto Rico ese es el supuesto normal de planificación y no el peor escenario, porque las interrupciones de energía y de comunicación también ocurren fuera de las semanas de tormenta. Un plan pensado para horas tiene la forma equivocada para semanas. El combustible, el mantenimiento de la planta, el personal que no puede llegar porque una carretera está cortada, el tecnólogo que lleva mucho más turno del que nadie quiso: nada de eso aparece la primera noche.

Póngale nombre al estado para que alguien pueda declararlo. Un plan que describe la operación degradada sin darle nombre ni criterio de activación no se puede invocar; el supervisor de turno queda decidiendo a las cuatro de la mañana si la cosa está lo bastante mala como para hacer algo distinto, y distinto de qué exactamente. Nombre la condición, escriba qué la activa, diga quién la declara y quién la da por terminada, y cuélguela donde trabajan los tecnólogos, no en una carpeta de la oficina administrativa. La declaración también le importa al lado que lee, porque le avisa que la fila no se va a comportar como de costumbre.

¿Qué le hace el ancho de banda reducido al envío de imágenes?

Convierte una fila que se vaciaba sola en una fila que hay que administrar a mano. Los estudios grandes ocupan el enlace por períodos largos: una tomografía de cortes finos puede acaparar la línea mientras una placa de tórax urgente queda detrás. Alguien tiene que decidir el orden, y ese alguien debe estar nombrado de antemano.

Casi todo el enrutamiento está configurado para enviarlo todo apenas existe, en el orden en que terminó, porque en un enlace normal eso funciona y nadie tiene que pensarlo. Baje el enlace a una fracción de su capacidad y esa misma configuración se vuelve el problema. Los estudios quedan uno detrás del otro por accidente de la hora de adquisición. Los reintentos automáticos lo empeoran: una transferencia que falla a medio camino vuelve a empezar y consume la misma capacidad escasa por segunda y tercera vez, y un reintento mal calibrado puede ocupar el enlace casi de continuo sin entregar nada. La fila se ve activa. No está llegando nada.

La prioridad se decide antes, porque la decisión es clínica y las personas despiertas a las tres de la mañana no son las que deberían estar tomándola en frío. El orden que sigue es un punto de partida, no una regla; lo que importa es que su versión exista en papel y que quien pueda ejecutarla sepa dónde está. También tiene que ser ejecutable. Si la lista dice que primero se mueve lo de la sala de emergencias, pero la única forma de lograrlo es una consola del suplidor a la que nadie de la instalación tiene acceso, la lista es un deseo.

La parte incómoda es quién tiene los controles. En muchas instalaciones la fila, las reglas de enrutamiento y los parámetros de compresión los administra un suplidor bajo contrato de soporte, y el equipo local puede ver el atraso sin poder tocarlo. En semanas normales eso no molesta. En una semana en que la línea de soporte del suplidor contesta lenta y su enlace mueve un hilo de datos, es un punto único de falla con una relación comercial encima. Pregunte ahora, antes de la temporada, cuáles de esos parámetros puede cambiar una persona nombrada de la instalación, y pruebe ese acceso haciéndole cambiar algo inofensivo.

• Estudios de pacientes que siguen en el edificio, antes que cualquier estudio de un paciente que ya se fue a su casa.
• Trabajo de sala de emergencias y de hospitalización antes que el trabajo ambulatorio programado.
• Las series de las que depende la pregunta clínica, cuando la adquisición se puede enviar por partes.
• La entrega del informe de vuelta a la instalación, que pesa poco y suele quedarse atrapada detrás del tráfico de imágenes en una fila mal ordenada.
• Los estudios previos de último. Sirven mucho y pesan mucho.

¿Cuándo se recurre a la lectura local y quién lo decide?

Cuando las imágenes no logran llegar al ambiente de lectura dentro del tiempo que permite la pregunta clínica y el estudio no puede esperar. El cambio es una decisión clínica que toma en la instalación una función nombrada, no una decisión técnica de quien notó que la fila estaba trancada. Escriba esa función en el plan, con su respaldo.

Lectura local significa que un médico presente en la instalación revisa las imágenes en la consola del equipo o en una estación local y contesta la pregunta inmediata. Es un arreglo viejo y funciona, dentro de sus límites. La consola no es un monitor diagnóstico, los estudios previos casi nunca están disponibles y quien lee puede ser un médico de emergencias y no un radiólogo. Aun así puede bastar para lo que el equipo presente tiene que decidir esa noche, incluso si el paciente sube a sala de operaciones. Nada de eso elimina la necesidad de una interpretación formal cuando los sistemas regresen, y el expediente tiene que mostrar con claridad cuál documento es cuál.

Quién activa el cambio es la pregunta que los planes contestan bien. Quién lo da por terminado es la que dejan en blanco. Las instalaciones se quedan en lectura local más tiempo del necesario, a veces días después de que el enlace se recuperó, porque nadie quedó encargado de declarar el fin y nadie quiere ser quien lo declaró demasiado temprano. Ponga ambas funciones por escrito con respaldos nombrados, y déle a quien cierra el estado una lista corta de cotejo: la fila vaciándose, la entrega de informes confirmada en ambas direcciones, las rutas alternas de contacto probadas y la lista de reconciliación ya empezada. Cerrar el estado es también el momento en que se hace visible el trabajo de reconciliación, y por eso se demora.

Los privilegios y las licencias están debajo de todo esto, y ninguno de los dos se arregla en medio del evento. Si un médico en particular puede emitir una interpretación en una instalación en particular es asunto del proceso de cuerpo médico de esa instalación y de los requisitos de licencia aplicables, resuelto mucho antes de que haga falta. Lo mismo aplica a las credenciales de la estación de trabajo, a las cuentas de acceso remoto y a la tarjeta de acceso a las puertas. Toda instalación que haya pasado una interrupción larga tiene el cuento del médico que estaba autorizado en todo lo que importaba clínicamente y no pudo entrar al sistema.

¿Qué se anota realmente mientras los sistemas están caídos?

Menos de lo que el plan supone. Los formularios de contingencia se llenan a medias, los identificadores van escritos a mano y el registro de qué estudios se hicieron vive en una tablilla del mostrador. Ahí empieza la separación entre el archivo y lo que de verdad ocurrió, y casi nadie lo nota hasta la reconciliación.

Esto es lo que suele fallar, y falla casi en la misma secuencia siempre. El equipo de imágenes está en planta eléctrica. El archivo y el motor de interfaces están en otro circuito, o el enfriamiento del cuarto de servidores nunca estuvo en la planta, así que esos sistemas están caídos. Los estudios se adquieren y quedan guardados en el propio equipo. La lista de trabajo no está disponible, así que el tecnólogo escribe los datos del paciente a mano. Nada da error, porque un equipo acepta lo que se le escriba. Dos estudios del mismo paciente, adquiridos en dos máquinas por dos tecnólogos la misma noche, terminan con dos grafías distintas y dos números de expediente temporeros distintos.

El registro en papel es lo que hace posible la recuperación, y una hoja en blanco no lo produce. Imprima el registro de contingencia con los campos que la reconciliación va a necesitar, mantenga un grupo de hojas junto a los formularios y no en un armario de suministros, y diga en el plan quién se queda con las hojas completadas al cierre de cada relevo. El propio registro es lo próximo que falla. Se queda en una estación de trabajo, se moja o se va en el bulto de alguien. Designe un solo lugar donde van las hojas y, al cerrar el evento, verifique que la cantidad de hojas cuadre con la cantidad de turnos trabajados.

Si un médico leyó un estudio en la instalación, esa lectura tiene que existir como documento, con nombre y hora. Solo verbal es el mismo problema que el resto de la radiología resolvió hace décadas: no se puede auditar, no se puede comparar con el informe formal que vendrá después y el clínico que actuó no tiene a qué referirse. Una nota escrita a mano en el formulario de contingencia, firmada, basta. Acordarse no basta. Sea cual sea el formato, después tiene que poder identificarse como lectura de contingencia y no absorberse calladamente en el expediente como si fuera un informe final.

• El identificador local que el equipo le asignó al estudio.
• Exactamente lo que se escribió en los campos demográficos, carácter por carácter, incluido cualquier número de expediente temporero.
• Fecha y hora de adquisición, y el tecnólogo que realizó el estudio.
• La orden a la que corresponde, o la nota de que la orden se dio verbalmente y quién la dio.
• Si el estudio se leyó en la instalación, cuál médico lo leyó y dónde quedó escrita esa lectura.
• Si el estudio ya se transfirió al archivo, con un espacio para anotar la fecha en que se verificó la transferencia.

¿Cómo regresa al archivo, con los identificadores correctos, un estudio adquirido en contingencia?

Alguien lo exporta del equipo o de la estación local, corrige los identificadores para que cuadren con el expediente permanente, lo envía al archivo y después verifica que llegó y quedó adherido al paciente correcto y a la orden correcta. Cada uno de esos pasos es distinto y cada uno tiene su forma propia de fallar en silencio.

Los identificadores son el trabajo completo. Un estudio DICOM lleva el nombre del paciente, el identificador del paciente y el número de accesión como atributos fijados en el momento de la adquisición, lo que en contingencia significa fijados con lo que se escribió a mano. Corregirlos es una operación deliberada, hecha con una herramienta que registre el cambio y por alguien facultado para hacerlo. Editar los campos a mano en el equipo antes de exportar, sin registro, es la manera de terminar con un estudio bien rotulado y a la vez imposible de rastrear. Si el estudio exportado ya no cuadra con ninguna línea del registro en papel, se perdió la capacidad de demostrar cuál adquisición era.

La reconciliación se le entrega a informática y se pauta para cuando las cosas se calmen. Ese es el error, y es casi universal. Las personas capaces de cotejar una línea escrita a mano con un estudio exportado son los tecnólogos que estuvieron ahí, y su memoria de esa noche es un activo perecedero. Asigne el trabajo a alguien que trabajó la contingencia, júntelo con quien tenga los permisos del archivo y fije la fecha límite en el plan en vez de dejarla como una buena intención. Los estudios que se quedan fuera de la primera pasada rara vez reciben una segunda. Aparecen meses después, cuando alguien pide una comparación y no encuentra nada bajo el expediente del paciente.

Después verifique, estudio por estudio, contra el registro. Transferido no es lo mismo que adherido al expediente correcto, y un estudio puede llegar al archivo bajo un identificador temporero y quedarse ahí indefinidamente sin generar una sola alerta. Marque cada línea del registro cuando el estudio esté confirmado bajo el expediente permanente y enlazado a su orden. Vigile la lectura duplicada: un estudio ya interpretado en la instalación, transferido más tarde y luego recogido por una lista de trabajo normal como si fuera nuevo. Dos interpretaciones de una misma adquisición en el mismo expediente, escritas con días de diferencia y con información distinta a la mano, es una conversación que nadie disfruta.

¿Qué debe quedar en el acuerdo antes de la temporada y no durante ella?

Lo que requiere firma: quién declara la operación degradada y cómo se le avisa a la otra parte, cuál es la prioridad de envío, qué pasa con los estudios que ya estaban en la fila y qué le toca a cada parte en la reconciliación. Nada de eso se resuelve por correo durante un evento. Son puntos para discutir con su propio asesor legal, no lenguaje para copiar.

Un plan que nunca se ha ensayado es un documento, no una capacidad. Probarlo no exige un ejercicio elaborado. Escoja un día de semana tranquilo, avise a todo el mundo, desconecte la ruta principal por una ventana definida y observe qué hace la gente de verdad. La parte útil nunca es el enlace alterno. Es si el tecnólogo de turno encuentra los formularios de contingencia y si el número de contacto alterno llega a una persona o a un buzón que configuró alguien que ya no trabaja ahí. Pruebe también la cuenta de la estación local, que tiene que servir después de meses sin que nadie entre. Las rutas de contacto se caen juntas, así que ensáyelas también. Un directorio que vive en el correo electrónico no es un directorio durante una pérdida de comunicación. Una cadena telefónica que depende de una sola compañía depende de una sola compañía.

El acuerdo es donde se resuelven las discusiones por adelantado, y tiene fecha. La temporada de huracanes en el Atlántico va del 1 de junio al 30 de noviembre todos los años, así que planificar antes de la temporada tiene una fecha real detrás. Incluya cómo le avisa cada parte a la otra que se declaró la operación degradada y cómo se confirma ese aviso, cuál es la prioridad de envío y quién puede cambiarla, qué ocurre con los estudios que ya estaban en la fila cuando empieza el estado, cuáles rutas de contacto alternas mantendrá cada lado, qué le toca a cada uno en la reconciliación y para cuándo, y qué se espera que la instalación resuelva por su cuenta. Redáctelo con buen tiempo y con todo el mundo razonable. La versión que se negocia durante un evento sale peor, y la negocia gente cansada.

Fuentes y alcance

• DICOM Standards Committee, estándar Digital Imaging and Communications in Medicine
• IHE International, perfiles de flujo de trabajo de imágenes y reconciliación de información del paciente
• American College of Radiology, orientación profesional sobre telerradiología y sobre comunicación de hallazgos en imágenes diagnósticas
• HL7 International, estándares de mensajería de órdenes y resultados entre sistemas clínicos
• The Joint Commission, estándares sobre manejo de emergencias y sobre continuidad de los procesos de manejo de información