Терак-25

Therac -25 с компьютерным управлением — это аппарат для лучевой терапии , произведенный компанией Atomic Energy of Canada Limited (AECL) в 1982 году после аппаратов Therac-6 и Therac-20 (более ранние аппараты производились в сотрудничестве с Compagnie générale de Radiologie (CGR) ) Франции).

Therac-25 участвовал как минимум в шести авариях в период с 1985 по 1987 год, в которых пациенты получили огромную передозировку радиации . Из-за одновременных ошибок программирования (также известных как «состояния гонки») он иногда давал своим пациентам дозы радиации, в сотни раз превышающие нормальные, что приводило к смерти или серьезным травмам. Эти несчастные случаи подчеркнули опасность программного управления критически важными для безопасности системами и стали стандартным примером в области медицинской информатики , разработки программного обеспечения и компьютерной этики . Плюс самоуверенность инженеров. и отсутствие должной должной осмотрительности для устранения обнаруженных ошибок в программном обеспечении рассматриваются как крайний случай, когда чрезмерная уверенность инженеров в своей первоначальной работе и неспособность поверить заявлениям конечных пользователей привели к серьезным последствиям.

История

Линейный ускоритель.

Анимация работы линейного ускорителя медицинского назначения.

Французская компания CGR изготовила линейные ускорители «Нептун» и «Сагиттер» .

В начале 1970-х годов CGR и канадская публичная компания Atomic Energy of Canada Limited (AECL) сотрудничали в создании линейных ускорителей, управляемых миникомпьютером DEC PDP-11 : Therac-6, который производил рентгеновские лучи с энергией до 6 МэВ. и Therac-20, который может производить рентгеновские лучи или электроны с энергией до 20 МэВ. Компьютер добавил удобства в использовании, поскольку ускоритель мог работать и без него. Компания CGR разработала программное обеспечение для Therac-6 и повторно использовала некоторые подпрограммы для Therac-20.

В 1981 году две компании расторгли соглашение о сотрудничестве. AECL разработала новую концепцию двойного прохода для ускорения электронов в более ограниченном пространстве, изменив источник энергии с клистрона на магнетрон . В некоторых методах образующиеся электроны используются напрямую, а в других их заставляют сталкиваться с вольфрамовым анодом для создания рентгеновских лучей. Эта концепция двойного ускорителя была применена к Therac-20 и Therac-25, причем последний оказался гораздо более компактным, универсальным и простым в использовании. Для больницы также было более экономично иметь двойной аппарат, который мог бы применять лечение электронами и рентгеновскими лучами, вместо двух аппаратов.

Therac-25 был спроектирован как машина, управляемая компьютером, а некоторые механизмы безопасности были переключены с аппаратного обеспечения на программное обеспечение. AECL решила не дублировать некоторые механизмы безопасности. AECL повторно использовала модули и программы кода Therac-20 для Therac-25.

Первый прототип Therac-25 был построен в 1976 году. На рынок он начал поступать в конце 1982 года.

Программное обеспечение для Therac-25 разрабатывалось одним человеком в течение нескольких лет с использованием языка ассемблера PDP-11. Это была эволюция программного обеспечения Therac-6. В 1986 году программист покинул AECL. В ходе иска юристы не смогли идентифицировать программиста или узнать о его квалификации и опыте.

Пять машин были установлены в США и шесть в Канаде.

После несчастных случаев в 1988 году AECL распустила медицинское отделение AECL, и компания Theratronics International Ltd взяла на себя обслуживание установленных аппаратов Therac-25.

Дизайн

Машина имела три режима работы: поворотный стол перемещал какое-то устройство в положение для каждого из этих режимов: либо свет, несколько сканирующих магнитов , либо вольфрамовую мишень и выравниватель .

• Режим «полевого света», который позволял пациента и коллиматор, освещая зону лечения видимым светом. правильно расположить
• Прямая электронно-лучевая терапия , при которой узкий слаботочный пучок электронов высокой энергии (от 5 до 25 МэВ (от 0,80 до 4,01 пДж )) сканируется по области лечения с помощью магнитов;
• Мегавольтная рентгеновская (или фотонная) терапия, при которой создается пучок рентгеновских фотонов с энергией 25 МэВ. Рентгеновские фотоны образуются при столкновении сильноточного узкого пучка электронов с вольфрамовой мишенью. Затем рентгеновские лучи проходят через выравнивающий фильтр, а затем измеряются с помощью рентгеновской ионной камеры . Сглаживающий фильтр напоминает перевернутый рожок мороженого, он придает форму и ослабляет рентгеновские лучи. Ток электронного луча, необходимый для получения рентгеновских лучей, примерно в 100 раз превышает ток, используемый для электронной терапии.

Вращение поворотной платформы.

Больного укладывают на фиксированные носилки. Над ними находится поворотный стол, на котором закреплены компоненты, модифицирующие электронный луч. Поворотный стол имеет положение для рентгеновского режима (фотоны), другое положение для электронного режима и третье положение для регулировки с использованием видимого света. В этом положении электронный луч не ожидается, а свет, отраженный в зеркале из нержавеющей стали, имитирует луч. В этом положении нет ионной камеры, действующей как дозиметр радиации, поскольку не предполагается, что пучок излучения будет функционировать.

На проигрывателе есть несколько микропереключателей , которые указывают положение компьютеру. Когда пластина находится в одном из трех разрешенных фиксированных положений, плунжер блокирует ее путем блокировки. В аппаратах этого типа традиционно использовались электромеханические замки, обеспечивающие правильное положение поворотного стола перед началом лечения. В Therac-25 они были заменены программными проверками.

Описание проблемы

Имитированный пользовательский интерфейс Therac-25

Шесть задокументированных несчастных случаев произошли, когда сильноточный электронный луч, генерируемый в рентгеновском режиме, доставлялся непосредственно пациентам. Виноваты были две программные ошибки. Один из них произошел, когда оператор неправильно выбрал рентгеновский режим, прежде чем быстро переключиться на электронный режим, что позволило настроить электронный луч на рентгеновский режим без установки рентгеновской мишени. Вторая неисправность позволила электронному лучу активироваться в режиме полевого света, во время которого ни один сканер луча не был активен или мишень не была на месте.

Предыдущие модели имели аппаратные блокировки для предотвращения таких неисправностей, но в Therac-25 они были удалены, вместо этого в зависимости от программных проверок безопасности.

Сильноточный электронный луч поразил пациентов дозой радиации, примерно в 100 раз превышающей запланированную, и на более узкой площади, доставив потенциально смертельную дозу бета-излучения . Пациент Рэй Кокс описал это чувство как «сильный удар электрическим током», заставивший его закричать и выбежать из процедурного кабинета. Через несколько дней появились лучевые ожоги , у больных появились симптомы радиационного отравления ; в трех случаях пострадавшие пациенты позже умерли в результате передозировки.

радиации

Региональный онкологический центр Кеннестона

Аппарат Therac-25 находился в эксплуатации в течение шести месяцев в Мариетте, штат Джорджия, проводилось лучевое лечение после лампэктомии в Региональном онкологическом центре Кеннестона, когда 3 июня 1985 года 61-летней женщине Кэти Ярбро . Она должна была получить дозу электронной терапии в 10 МэВ на ключицу . Когда началась терапия, она заявила, что испытала «огромную силу тепла… это ощущение раскаленного докрасна». В комнату вошел техник, которому Кэти заявила: «Вы меня сожгли». Техник заверил ее, что это невозможно. Она вернулась домой, где в последующие дни у нее появилось покраснение области лечения. Вскоре после этого ее плечо зафиксировалось, и у нее начались судороги. В течение двух недель вышеупомянутое покраснение распространилось от ее груди к спине, что указывает на то, что источник ожога прошел через нее, как это бывает при лучевых ожогах. Персонал лечебного центра не верил, что Терак-25 мог вызвать такую ​​травму, и рассматривал это как симптом ее болезни. рак . Позже физик больницы проконсультировался с AECL по поводу инцидента. Он подсчитал, что примененная доза составляла от 15 000 до 20 000 рад (поглощенная доза радиации), тогда как ей следовало получить дозу 200 рад. Доза в 1000 рад может оказаться смертельной. В октябре 1985 года Кэти подала в суд на больницу и производителя аппарата. В ноябре 1985 года AECL была уведомлена об иске. Лишь в марте 1986 года, после очередного инцидента с Therac-25, AECL проинформировала FDA о получении жалобы от пациента.

Из-за передозировки радиации ей пришлось удалить грудь хирургическим путем, руку и плечо обездвижить, и она страдала от постоянной боли. Функция распечатки лечения не была активирована во время лечения, и данные о примененном излучении не записывались. Для урегулирования иска было достигнуто внесудебное соглашение.

Фонд рака Онтарио

Терминал ДЭК VT-100.

Аппарат Therac-25 работал в клинике шесть месяцев, когда 26 июля 1985 года 40-летняя пациентка проходила 24-й курс лечения рака шейки матки . Оператор активировал обработку, но через пять секунд машина остановилась с сообщением об ошибке «H-наклон», индикацией паузы обработки и дозиметром, показывающим, что облучение не применялось. Оператор нажал кнопку P ключ (Продолжить: продолжить). Машина снова остановилась. Оператор повторил процесс пять раз, пока машина не остановила обработку. Вызвали мастера, проблем не обнаружили. В тот же день машина оказала помощь еще шести пациентам.

Пациентка пожаловалась на жжение и отек в этой области и 30 июля была госпитализирована. Ее заподозрили в передозировке радиации, и машину вывели из эксплуатации. 3 ноября 1985 года пациентка умерла от рака, хотя при вскрытии было отмечено, что, если бы она не умерла тогда, ей пришлось бы перенести замену тазобедренного сустава из-за повреждений, вызванных передозировкой радиации. По оценкам технического специалиста, она получила от 13 000 до 17 000 рад.

Об инциденте было сообщено в FDA и Канадское бюро радиационной защиты.

В AECL заподозрили, что могла возникнуть ошибка с тремя микропереключателями, сообщающими положение проигрывателя. AECL не смогла воспроизвести неисправность микропереключателей, и тестирование микропереключателей не дало результатов. Затем они изменили метод, чтобы он допускал один сбой, и модифицировали программное обеспечение, чтобы проверять, движется ли поворотный стол или находится в положении лечения.

Впоследствии AECL заявила, что эти модификации привели к увеличению безопасности на пять порядков.

Мемориальный госпиталь Якима Вэлли

В декабре 1985 года у женщины появилась эритема после лечения аппаратом Therac-25 в форме параллельных полос. 31 января 1986 года сотрудники больницы направили в AECL письмо об инциденте. AECL ответил на двух страницах, подробно описав причины, по которым передозировка радиации на Therac-25 невозможна, заявив, что ни отказ машины, ни ошибка оператора невозможны.

Через шесть месяцев у пациента развились хронические язвы под кожей вследствие некроза тканей. Ей сделали операцию и пересадили кожу. Пациент продолжал жить с незначительными последствиями.

Онкологический центр Восточного Техаса, Тайлер,

За два года в этой больнице с помощью Therac-25 прошли лечение более 500 пациентов без каких-либо происшествий. 21 марта 1986 года пациент обратился на девятый сеанс лечения по поводу опухоли на спине. Лечение было назначено электронами с энергией 22 МэВ и дозой 180 рад на площади 10x17 см, с накопленной радиацией за 6 недель 6000 рад.

Опытный оператор ввела данные сеанса и поняла, что вместо типа лечения она написала Х вместо Е. Курсором она поднялась вверх и заменила X на E, а так как остальные параметры были правильными, она нажала ↵ Enter пока она не спустилась в командный пост. Все параметры были отмечены как «Проверено» и появилось сообщение «Лучи готовы». Она ударила B клавиша («Луч включен»). Машина остановилась и выдала сообщение «Неисправность 54» (ошибка 54). Он также показал «Паузу в лечении». В инструкции сказано, что сообщение «Неисправность 54» было ошибкой «Ввод дозы 2». Позже техник показал, что «вводимая доза 2» означала, что доставленная радиация была либо слишком высокой, либо слишком низкой.

Радиационный монитор (дозиметр) отметил поставленные 6 единиц, когда требовалось 202 единицы. Оператор нажал. P (Продолжить: продолжить). Машина снова остановилась с сообщением «Неисправность 54» (ошибка 54) и дозиметр показал, что она выдала меньше единиц, чем требовалось. Камера наблюдения в радиационной комнате не работала, а домофон в тот день был сломан.

При первой дозе пациент почувствовал удар электрическим током и услышал треск из аппарата. Поскольку это был его девятый сеанс, он понял, что это ненормально. Он начал вставать из-за стола, чтобы попросить о помощи. В этот момент оператор нажал P продолжать лечение. Больной почувствовал электрический разряд через руку, как будто ему оторвали руку. Он дошёл до двери и начал стучать в неё, пока оператор не открыл её. На место немедленно был вызван врач, который заметил сильную эритему в этом месте и заподозрил, что это был простой удар электрическим током. Он отправил пациента домой. Физик больницы проверил машину, и, поскольку она была откалибрована в соответствии с правильными характеристиками, она продолжала лечить пациентов в течение дня. Техники не знали, что пациент получил огромную дозу радиации от 16 500 до 25 000 рад менее чем за секунду на площади в один см. ² . Треск машины был вызван насыщением ионизационных камер, что привело к тому, что они показали, что приложенная доза радиации была очень низкой.

В течение следующих недель у пациента возник паралич левой руки, тошнота, рвота, и в итоге он был госпитализирован с радиационным миелитом спинного мозга. Его ноги, средняя диафрагма и голосовые связки были парализованы. У него также были рецидивирующие кожные инфекции простого герпеса. Он умер через пять месяцев после передозировки.

На следующий день после аварии технические специалисты AECL проверили машину и не смогли воспроизвести ошибку 54. Они проверили заземление машины, чтобы исключить поражение электрическим током как причину. Машина вернулась в строй 7 апреля 1986 года.

Онкологический центр Восточного Техаса, Тайлер,

11 апреля 1986 года пациенту предстояло пройти электронное лечение рака кожи лица. Задание составляло 10 МэВ на площадь 7х10 см. Оператор был тот же, что и во время мартовского инцидента тремя неделями ранее. После заполнения всех данных лечения он понял, что нужно изменить режим с X на E. Он сделал это и нажал ↵ Enter чтобы спуститься в командный блок. Когда на дисплее появилось сообщение «Луч готов», он нажал P (Продолжить: продолжить). Машина издала громкий шум, который был слышен через домофон. Вылезла ошибка 54. В комнату вошел оператор, и пациент описал жжение на лице. Больной умер 1 мая 1986 года. Вскрытие показало тяжелое лучевое поражение правой височной доли и ствола головного мозга.

Физик больницы остановил аппаратное лечение и уведомил AECL. После напряженной работы физик и оператор смогли воспроизвести сообщение об ошибке 54. Они определили, что скорость редактирования ввода данных была ключевым фактором возникновения ошибки 54. После долгих тренировок он смог воспроизвести ошибку 54 по своему желанию. В AECL заявили, что не смогли воспроизвести ошибку и получили ее только после выполнения инструкций физика, поэтому ввод данных был очень быстрым.

Мемориальный госпиталь Якима Вэлли

17 января 1987 г. пациент должен был пройти курс лечения с двумя пленочными экспозициями по 4 и 3 рад, а также фотонную обработку 79 рад с общей экспозицией 86 рад. Под пациента положили пленку и через отверстие размером 22 × 18 см ввели 4 рад. Аппарат остановили, отверстие открыли до размеров 35 см × 35 см и ввели дозу 3 рад. Машина остановилась. Оператор вошел в комнату, чтобы снять пленочные пластины и скорректировать положение пациента. Он воспользовался ручным управлением внутри комнаты, чтобы настроить проигрыватель. Он вышел из комнаты, забыв пластинки с пленкой. В диспетчерской, увидев сообщение «Луч готов», он нажал кнопку B ключ для запуска лучей. Через 5 секунд машина остановилась и отобразила сообщение, которое быстро исчезло. Поскольку машина была остановлена, оператор нажал P (Продолжить: продолжить). Машина остановилась, указав причину «Плоскостность». Оператор услышал пациента по внутренней связи, но не смог его понять и вошел в палату. Больной почувствовал сильное жжение в груди. На экране было видно, что ему дали всего 7 рад. Через несколько часов у пациента появились ожоги кожи в этом районе. Четыре дня спустя покраснение этой области имело полосатый рисунок, аналогичный тому, который произошел во время инцидента в прошлом году, и причину которого они не нашли. AECL начала расследование, но не смогла воспроизвести это событие.

Физик больницы провел испытания с пленочными пластинками, чтобы проверить, сможет ли он воссоздать инцидент. Два рентгеновских параметра с поворотным столом в положении поля зрения. Похоже, что пленка соответствовала пленке, которую по ошибке оставили под пациентом во время аварии. Выяснилось, что пациент подвергся воздействию дозы от 8000 до 10 000 рад вместо предписанных 86 рад. Пациент умер в апреле 1987 года от осложнений, вызванных передозировкой радиации. Родственники подали иск, который завершился внесудебным урегулированием.

Основные причины

Комиссия объяснила основной причиной общую плохую практику проектирования и разработки программного обеспечения, а не выявление конкретных ошибок кодирования. В частности, программное обеспечение было разработано таким образом, что было практически невозможно протестировать его строгим автоматизированным способом.

Исследователи, расследовавшие несчастные случаи, обнаружили несколько причин, способствовавших этому. К ним относятся следующие институциональные причины:

• AECL не проводила независимую проверку кода программного обеспечения и предпочла полагаться на собственный код, включая операционную систему.
• AECL не рассматривала дизайн программного обеспечения при оценке того, как машина может давать желаемые результаты и какие существуют режимы сбоя, сосредоточившись исключительно на аппаратном обеспечении и утверждая, что программное обеспечение не содержит ошибок.
• Персонал AECL заверил операторов станков, что передозировка невозможна, что заставило их отклонить Therac-25 как потенциальную причину многих инцидентов.
• Компания AECL никогда не тестировала Therac-25 в сочетании с программным и аппаратным обеспечением до тех пор, пока он не был собран в больнице.

Исследователи также обнаружили несколько инженерных проблем:

• В нескольких сообщениях об ошибках просто отображалось слово «НЕИСПРАВНОСТЬ», за которым следовал номер от 1 до 64. В руководстве пользователя не объяснялись и даже не упоминались коды ошибок, а также не содержалось никаких указаний на то, что эти ошибки могут представлять угрозу безопасности пациента.
• Система различала ошибки, которые останавливали работу машины и требовали перезапуска, и ошибки, которые просто приостанавливали работу машины (что позволяло операторам продолжать работу с теми же настройками с помощью нажатия клавиши). Однако некоторые ошибки, которые подвергали опасности пациента, просто приостанавливали работу машины, а частое возникновение незначительных ошибок приводило к тому, что операторы привыкли привычно снимать машину с паузы.
  • была введена определенная последовательность нажатий клавиш Один сбой произошел, когда на терминале VT-100 , который управлял компьютером PDP-11, : если оператор должен был нажать «X», чтобы (ошибочно) выбрать режим фотонов с энергией 25 МэВ, то использовать «курсор вверх». чтобы отредактировать ввод на «E», чтобы (правильно) выбрать режим электронов 25 МэВ, затем «Ввод», и все это в течение восьми секунд после первого нажатия клавиши и в пределах возможностей опытного пользователя машины, редактирование не будет обработано и возможна передозировка. Эти изменения не были замечены, поскольку запуск занял бы 8 секунд, поэтому все будет работать с настройками по умолчанию.
• В конструкции не было никаких аппаратных блокировок , предотвращающих работу электронного луча в высокоэнергетическом режиме без установленной мишени.
• Инженер повторно использовал программное обеспечение Therac-6 и Therac-20, в которых использовались аппаратные блокировки, маскирующие программные дефекты. Эти аппаратные средства безопасности не имели возможности сообщить о своем срабатывании, поэтому ранее существовавшие ошибки игнорировались.
• Аппаратное обеспечение не позволяло программному обеспечению проверить правильность работы датчиков. Система положения стола была первой причиной неудач Therac-25; производитель внес в него резервные переключатели, чтобы перепроверить их работу.
• Программное обеспечение устанавливает переменную-флаг , увеличивая ее, а не устанавливая для нее фиксированное ненулевое значение. Иногда происходило арифметическое переполнение , в результате чего флаг возвращался к нулю, и программное обеспечение обходило проверки безопасности.

Левесон отмечает, что из инцидента следует извлечь урок: не следует предполагать, что повторно используемое программное обеспечение безопасно: «Часто делается наивное предположение, что повторное использование программного обеспечения или использование готового коммерческого программного обеспечения повысит безопасность, поскольку программное обеспечение будет тщательно проверено. Повторное использование программных модулей не гарантирует безопасность в новой системе, в которую они передаются... " В ответ на инциденты, подобные тем, что были связаны с Therac-25, был создан стандарт IEC 62304 , который вводит стандарты жизненного цикла разработки программного обеспечения для медицинских устройств и конкретные рекомендации по использованию программного обеспечения неизвестного происхождения .

См. также

• Компьютерная этика
• Программное обеспечение высокой надежности
• МЭК 62304
• Ионизирующее излучение
• Список гражданских радиационных аварий
• Радиационная защита
• Радиоактивный металлолом
• Список инцидентов с бесхозными источниками
• Радиационная авария в Мехико, 1962 г.
• Авария в Гоянии
• Ядерные и радиационные аварии и инциденты
• Инцидент с загрязнением кобальтом-60 в Сьюдад-Хуаресе
• Радиационная авария в Самутпракане
• 1990 г. Клиника Сарагосы, авария при лучевой терапии.

Дальнейшее чтение

• Галлахер, Трой. THERAC-25: Компьютеризированная лучевая терапия . Архивировано из оригинала 12 декабря 2007 г. (краткое описание несчастного случая на Тераке-25)