概念地圖・事故分級與升級矩陣
作者 山姆（謝冠生）・喵喵書評創辦人
發布
分類：管理
這一頁不只是把一個概念解釋一遍——一張自己畫的結構圖，加上拿台灣情境從頭走一次的實例演練、這個框架什麼時候會騙你，以及它接回 P.A.I.N. 之後長什麼樣。一頁必須交付的三層 →
事故分級與升級矩陣：幾分鐘內該叫醒誰
凌晨兩點十七分，值班手機響到第三聲被接起來，第一句話是「這個算幾級」。電話兩頭沉默了十秒，然後兩個人開始各自打電話問別人。系統還在倒，那十分鐘全花在確認職級。事故分級與升級矩陣要收拾的就是這十秒——縱向把嚴重度切成幾個互斥的級數，橫向排出通報對象，交叉格填上「幾分鐘內要接起來」和「接起來之後動哪一隻手」。它看起來在管流程，管的卻是一件更硬的事：今晚誰不能睡。
四級嚴重度，四條不同的時效線
把格子攤成文字，一級一級對照，界線會比看圖時更刺眼。
| 分級與判準 | 值班工程師 | 技術主管 | 高階主管 | 對外公告 |
|---|---|---|---|---|
| S1 多科同時停擺，沒有繞道 | 立刻接手止血 | 5 分鐘內上線指揮 | 15 分鐘內決定停不停 | 30 分鐘內先發第一則 |
| S2 單一系統停擺，有紙本可繞 | 5 分鐘內接手處理 | 30 分鐘內評估要不要升 | 60 分鐘內書面知會 | 不對外，只在院內公告 |
| S3 功能降級或變慢，切換不太痛 | 15 分鐘內排進處理序 | 上班後晨會過目 | 不叫醒 | 不發 |
| S4 單點異常，一兩位使用者遇到 | 當班內記錄即可 | 週報彙整看趨勢 | 不叫醒 | 不發 |
橫著讀，每一列的時效都往右變鬆：離現場愈遠的人，被允許晚一點知道。直著讀，沒有一欄的時效往下變緊：愈輕的事故，能睡完整覺的人愈多，最輕的兩級只剩值班的人還醒著。兩個方向同時成立，這張表才算畫對。要先講清楚的是，格子裡的分鐘數是團隊自己訂的內部服務約定，各家依人力與值班編制自行決定，並非法定通報義務。真正該被討論的是另一件事：五分鐘到了，接起來的那個人手上有沒有權限動那台機器。
寫分級定義時，四個字要先講死
那四個字是「可否繞道」。這四個字沒講死，整張表就只是一份好看的組織圖。
一、繞道要指得出一條具體的路。分級定義裡最常見的寫法是「嚴重影響業務」，這六個字在凌晨兩點沒有任何判定力。換成可否繞道，判定就變成一個是非題：有沒有一條不靠這個系統、也能把今天的事做完的路。這條路要叫得出名字——紙本單、備援機、隔壁那套舊系統，或者先記帳明天補建檔。叫不出名字的，一律當作沒有。自問：我現在能不能在十秒內說出繞道那條路叫什麼？
二、繞道要能算出「切過去要多久、切完剩幾成」。有繞道跟繞得動是兩件事。紙本流程存在，可是表單鎖在三樓、只有兩個人會填——那條路的切換成本就是一小時，實質等於沒有。把繞道拆成兩個數字：切換要幾分鐘、切換後的處理量剩原本幾成。低於門檻，這一級就往上升一格。自問：這條繞道上一次真的被走過，是什麼時候？
三、影響面用數得出來的東西寫。「多數單位受影響」還是形容詞。換成螢幕上數得出來的：同時卡住幾個作業點、幾個櫃檯排不動、幾條線停掉。凌晨兩點判級的人不需要理解全局，他只需要數數——數得出來的定義，才禁得起那個時間的腦子。自問：我的分級定義裡，有幾個詞是數得出來的？
四、損失寫相對量級，別寫死金額。「損失超過某個金額算 S1」的表，兩年後一定失準——量體會變、單價會變、組織規模也會變。改成佔比：影響當日作業量的幾成、佔當班處理筆數的幾成。相對量級跟著組織一起長大，不必每年開會改一次門檻。自問：這個門檻去年適用嗎？明年還適用嗎？
五、時效欄標的是「接起來」那一刻。表上的分鐘數只承諾一件事：那個人在這段時間內會知道、會有回應。修復要花多久不放進這張表，因為修復時間取決於故障內容，寫進去只會讓時效變成謊言。對象欄也一樣，填的是找得到人的職務加上輪值表——部門名稱不會接電話。自問：這一格寫的職務，今晚幾點到幾點是誰？
一間區域醫院資訊室的凌晨，四級各叫醒誰
- 02:17 批價系統整個不回應：值班工程師只問一個是非題——櫃檯有沒有另一條路可以完成收費結帳。答案是沒有，紙本單接不住尖峰的批價量。級數十秒內定案。沒有繞道
- 02:22 技術主管上線指揮：他不動手，只切工作：一人看資料庫連線、一人看網路、一人守著對外訊息。三條線並行，彼此不重疊。分工不撞車
- 02:31 高階主管被叫醒：叫他起來只為了一個決定——要不要宣布全院改紙本收費、白天再補建檔。這個決定值班工程師簽不下去，所以時效欄裡有他這一格。只問一個決定
- 02:47 院內公告發出：一句話講事實：批價暫停、改走紙本、恢復時間待更新。不猜原因，不承諾時間。先講事實
- 隔週三 檢驗報告查詢變慢：同一支系統，這次只是慢。可以到檢驗科調紙本補單，繞道成立而且不痛，判 S3；值班十五分鐘內排進處理序，那一夜沒有人被叫醒。沒人被叫醒
- 但那天差點被報成 S2：因為上個月它出過 S1，有人主張「先當 S2 報上去比較安全」。從 S2 判回 S3 需要有人具名確認，會議室裡安靜了很久。沒人肯簽
這一夜真正被分級表接住的，是那十秒的沉默。02:17 那通電話能在十秒內收掉，靠的是一個是非題：櫃檯有沒有另一條路可以收費。答案是沒有，級數就定了，後面三通電話照著表打，沒有人需要再問一次「這個算幾級」。值得記住的接縫在最後那一段——同一支系統上個月出過 S1，於是這個月它只是變慢的時候，沒有人願意把它判回 S3。升級那句話誰都敢喊，降級那個簽名沒人想留下。表格本身沒有壞，壞的是簽名這件事在事後只剩一種用途。以上為說明結構用的示意情境，僅供理解框架之用。
這張分級表什麼時候會騙你
- 級數的界線靠形容詞撐著，第一個小時就會被拿去開會。定義寫「重大」「嚴重影響」「多數使用者」，那第一通電話一定變成辯論。實務上那一小時的流向很好認：前十分鐘互相確認，接著把人一個一個叫進來確認，等到共識形成，止血才開始。含糊的成本不會出現在表上，它出現在那條還在往下掉的曲線上。所以判準的唯一測試是速度——能不能在十秒內判完，判不完就是還沒寫好。
- 降級比升級難，所以級數只會往上黏。升級的動作成本接近零：任何人喊一聲「這個要升 S1」，事後沒有人會檢討他為什麼多叫醒一個主管。降級要有人具名寫下「我確認它沒那麼嚴重」，而那個簽名在事後只有一種用法——萬一後來真的很嚴重，它就是現成的證據。理性的人選擇不簽。半年之後你會看到一張很奇怪的表：八成的事故都掛在 S1 與 S2，分級失去區分力，值班表上的人一週被叫醒四次。要拆這個結，得把降級的權限跟追溯保護寫在同一條規則裡：依當下已知資訊判斷，事後才浮出來的資訊不回頭歸咎簽名的人。
- 時效一旦變成考績，「接起來」就會變成表演。五分鐘接通率可以做得很漂亮，接起來的那個人卻不一定有權限重啟那台機器。這張表衡量的是回應速度，而回應速度跟事故變短之間，中間還隔著權限、工具與資料。真的要量，就量「從電話接起來到第一個止血動作發生」那一段——那一段短不下來的時候，加再多通報對象也只是把更多人拖下床。
痛點視角：級數寫得完，代價寫不完
這張表在分配睡眠。
它看起來在分事故，分的其實是誰今晚不能睡、誰下個月還記得自己這個月被叫醒過四次。P.A.I.N. 的第一格問「誰在痛」，這張表把痛的人畫得異常清楚——只是它畫的全是內部的人。櫃檯前面那個等著結帳、被告知「系統壞了改紙本」的人，在這張表上沒有欄位。他的難受不會改變級數，可是他的難受才是這件事真正的代價。所以這張表畫得出誰在幾分鐘內要被叫醒，畫不出那個人被叫醒第幾次之後開始不接電話，也畫不出櫃檯那條隊伍第幾分鐘開始有人轉身走掉。把最近三次事故拉出來對號入座，一件一件填進級數欄，看看有沒有兩件明明差很多、卻都被寫成同一級——那兩件之間的落差，就是這張表現在還沒長出來的那條界線。
關於事故分級，常被問到的幾件事
事故一定要分成四級嗎？
級數多寡不是重點，重點是每一級的界線能不能在十秒內判出來。三級常見，五級也有人用。多一級就多一次猶豫，也多一次「這算哪一級」的電話。挑法很土：把去年的事故清單倒出來，一件一件對號入座，如果某兩級的處置動作完全一樣，那兩級就該合併。合併之後如果同一級裡混著兩種差很多的處置，才需要再切開。
S1 的通報時效該訂幾分鐘？
沒有通用數字，也沒有法定數字可抄（若你所在的產業另有主管機關規定，那要以該規定為準）。實務上的算法是倒推：從事故開始到使用者會察覺，大概有多久，把那段時間切成三份——第一份留給值班判定、第二份留給指揮到位、第三份留給對外說話。切出來的數字通常比一開始拍腦袋想的短很多，這正是這個算法的用處。
分級表跟責任分派表要不要合成一張？
建議分開。分級表回答的是「多嚴重、幾分鐘內叫誰」，責任分派表回答的是「這件事誰拍板、誰只需要被告知」。兩件事的時間尺度差太遠：一個以分鐘計，一個以週計。硬合成一張的結果通常是兩邊都寫不清楚。實務上的分工很好記：分級表決定今晚打給誰，責任分派表決定明天的檢討會誰主持。
當下判錯級數，事後要不要改？
要改，而且要把兩個級數都留著。把「當下判成幾級」跟「回頭看應該是幾級」並排記錄，那個差距才是分級定義該修的地方。只留修正後的級數，等於把判斷過程整段擦掉，下次同樣的猶豫會再發生一次。累積三到五次之後，哪一條界線寫得含糊會自己浮出來。
事故正在發生的那一小時，靠這張表決定叫醒誰；事故過去之後，該問的是它為什麼一路穿過了所有防線，那是瑞士起司模型在畫的東西。至於「誰拍板、誰只需要被告知」這一層，交給RACI 責任分派矩陣去分，別讓分級表兼差。
喜歡這篇文章嗎？
每週幫你拆二本好書，把判斷力、好書金句、好問題，直送你的信箱。
不適合你可隨時退訂 · 每週兩封，陪你把書讀進生活。
送出即表示同意我們依隱私權政策使用你的 email。