Therac-25

El Therac-25 era una máquina de radioterapia controlada por computadora producida por Atomic Energy of Canada Limited (AECL) en 1982 después de las unidades Therac-6 y Therac-20 (las unidades anteriores habían sido producido en asociación con Compagnie générale de radiologie (CGR) de Francia).

Estuvo involucrado en al menos seis accidentes entre 1985 y 1987, en los que los pacientes recibieron sobredosis masivas de radiación. Debido a errores de programación concurrentes (también conocidos como condiciones de carrera), a veces les daba a sus pacientes dosis de radiación que eran cientos de veces mayores de lo normal, lo que provocaba la muerte o lesiones graves. Estos accidentes destacaron los peligros del control de software de los sistemas críticos para la seguridad y se han convertido en un estudio de caso estándar en informática de la salud, ingeniería de software y ética informática. Además, el exceso de confianza de los ingenieros y la falta de diligencia debida adecuada para resolver los errores de software informados se destacan como un caso extremo en el que los ingenieros & # 39; exceso de confianza en su trabajo inicial y falta de confianza en los usuarios finales' Las reclamaciones causaron repercusiones drásticas.

Historia

La empresa francesa CGR fabricó los aceleradores lineales Neptune y Sagittaire.

A principios de la década de 1970, la CGR y la empresa pública canadiense Atomic Energy Commission Limited (AECL) colaboraron en la construcción de aceleradores lineales controlados por una minicomputadora DEC PDP-11: la Therac-6, que produjo rayos X de hasta 6 MeV, y el Therac-20, que podía producir rayos X o electrones de hasta 20 MeV. La computadora agregó cierta facilidad de uso porque el acelerador podría funcionar sin ella. CGR desarrolló el software para el Therac-6 y reutilizó algunas subrutinas para el Therac-20.

En 1981, las dos empresas terminaron su acuerdo de colaboración. AECL desarrolló un nuevo concepto de doble paso para la aceleración de electrones en un espacio más reducido, cambiando su fuente de energía de klystron a magnetrón. En ciertas técnicas, los electrones producidos se utilizan directamente, mientras que en otras se hacen chocar contra un ánodo de tungsteno para producir haces de rayos X. Este concepto de doble acelerador se aplicó a Therac-20 y Therac-25, siendo este último mucho más compacto, versátil y fácil de usar. También era más económico para un hospital tener una máquina dual que pudiera aplicar tratamientos de electrones y rayos X, en lugar de dos máquinas.

El Therac-25 fue diseñado como una máquina controlada por una computadora, y algunos mecanismos de seguridad cambiaron de hardware a software. AECL decidió no duplicar algunos mecanismos de seguridad. AECL reutilizó módulos y rutinas de código del Therac-20 para el Therac-25.

El primer prototipo del Therac-25 se construyó en 1976. Comenzó a comercializarse a finales de 1982.

El software para el Therac-25 fue desarrollado por una persona durante varios años utilizando el lenguaje ensamblador PDP-11. Fue una evolución del software Therac-6. En 1986, el programador dejó AECL. En una demanda, los abogados no pudieron identificar al programador ni conocer su calificación y experiencia.

Se instalaron cinco máquinas en Estados Unidos y seis en Canadá.

Tras los accidentes, en 1988 AECL disolvió la sección AECL Medical y la empresa Theratronics International Ltd se hizo cargo del mantenimiento de las máquinas Therac-25 instaladas.

Diseño

La máquina tenía tres modos de funcionamiento, con una plataforma giratoria que colocaba algunos aparatos en posición para cada uno de esos modos: una luz, algunos imanes de exploración o un objetivo de tungsteno y un aplanador.

• Un modo "luz de campo", que permitió que el paciente y el colimador estuvieran correctamente posicionados iluminando el área de tratamiento con luz visible.
• Terapia directa de electrones, en la que se escaneó un rayo estrecho y de baja corriente de alta energía (5 a 25 MeV (0,80 a 4,01 pJ) sobre el área de tratamiento por imanes;
• Terapia de rayos X Megavolt (o fotones), que entregó un haz de 25 fotones de rayos X MeV. Los fotones de rayos X se producen colliding un rayo estrecho de electrones de alta corriente con un objetivo de tungsteno. Los rayos X se pasan a través de un filtro de aplanamiento, y luego se miden usando una cámara de iones de rayos X. El filtro de aplanamiento se asemeja a un cono invertido de helado, y forma y atenua los rayos X. La corriente de haz de electrones necesaria para producir los rayos X es aproximadamente 100 veces mayor que la utilizada para la terapia de electrones.

Se coloca al paciente en una camilla fija. Sobre ellos hay un plato giratorio al que se fijan los componentes que modifican el haz de electrones. El plato giratorio tiene una posición para el modo de rayos X (fotones), otra posición para el modo de electrones y una tercera posición para realizar ajustes con luz visible. En esta posición no se espera un haz de electrones y una luz que se refleja en un espejo de acero inoxidable simula el haz. En esta posición no hay una cámara de iones que actúe como dosímetro de radiación porque no se espera que funcione el haz de radiación.

El tocadiscos tiene unos microinterruptores que indican la posición a la computadora. Cuando la placa está en una de las tres posiciones fijas permitidas, un émbolo la bloquea por enclavamiento. En este tipo de máquinas, tradicionalmente se utilizaban bloqueos electromecánicos para asegurar que el plato giratorio estuviera en la posición correcta antes de iniciar el tratamiento. En el Therac-25, estos fueron reemplazados por controles de software.

Descripción del problema

Los seis accidentes documentados ocurrieron cuando el haz de electrones de alta corriente generado en el modo de rayos X se entregó directamente a los pacientes. Dos fallas de software fueron las culpables. Uno, cuando el operador seleccionó incorrectamente el modo de rayos X antes de cambiar rápidamente al modo de electrones, lo que permitió configurar el haz de electrones para el modo de rayos X sin que el objetivo de rayos X estuviera en su lugar. Una segunda falla permitió que el haz de electrones se activara durante el modo de luz de campo, durante el cual ningún escáner de haz estaba activo o el objetivo estaba en su lugar.

Los modelos anteriores tenían interbloqueos de hardware para evitar tales fallas, pero el Therac-25 los eliminó, dependiendo en cambio de las verificaciones de seguridad del software.

El haz de electrones de alta corriente golpeó a los pacientes con una dosis de radiación aproximadamente 100 veces superior a la prevista y en un área más estrecha, liberando una dosis potencialmente letal de radiación beta. La sensación fue descrita por el paciente Ray Cox como 'una descarga eléctrica intensa', que lo hizo gritar y salir corriendo de la sala de tratamiento. Varios días después, aparecieron quemaduras por radiación y los pacientes mostraron síntomas de envenenamiento por radiación; en tres casos, los pacientes lesionados fallecieron más tarde como resultado de la sobredosis.

Incidentes de sobreexposición a la radiación

Centro Oncológico Regional Kennestone, 1985

Un Therac-25 había estado en funcionamiento durante seis meses en Marietta, Georgia, en el Centro Oncológico Regional de Kennestone cuando, el 3 de junio de 1985, se aplicó un tratamiento de radioterapia después de una lumpectomía en una mujer de 61 años.. La paciente estaba preparada para recibir una dosis de 10 MeV de terapia electrónica en la clavícula. Cuando comenzó la terapia, dijo que experimentó una "tremenda fuerza de calor... esta sensación al rojo vivo". El técnico entró a la habitación, a quien el paciente le dijo: "me quemaste". El técnico le aseguró que esto no era posible. La paciente volvió a casa donde en los días siguientes presentó enrojecimiento de la zona tratada. Poco después, su hombro quedó bloqueado en su lugar y experimentó espasmos. En dos semanas, el enrojecimiento antes mencionado se extendió desde el pecho hasta la espalda, lo que indica que la fuente de la quemadura la había atravesado, como es el caso de las quemaduras por radiación. El personal del centro de tratamiento no creía que fuera posible que el Therac-25 causara tal lesión y se trató como un síntoma de su cáncer. Posteriormente, el físico del hospital consultó a la AECL sobre el incidente. Calculó que la dosis aplicada estaba entre 15.000 y 20.000 rad (dosis de radiación absorbida) cuando debería haber sido dosificada con 200 rad. Una dosis de 1000 rad puede ser fatal. En octubre de 1985, el paciente demandó al hospital y al fabricante de la máquina. En noviembre de 1985 se notificó la demanda a la AECL. No fue hasta marzo de 1986, luego de otro incidente relacionado con el Therac-25, que la AECL informó a la FDA que había recibido una queja del paciente.

Debido a la sobredosis de radiación, le tuvieron que extirpar quirúrgicamente el seno, le inmovilizaron un brazo y un hombro, y sufría un dolor constante. La función de impresión del tratamiento no se activó en el momento del tratamiento y no hubo registro de los datos de radiación aplicada. Se llegó a un acuerdo extrajudicial para resolver la demanda.

Fundación del Cáncer de Ontario, 1985

El Therac-25 había estado en funcionamiento en la clínica durante seis meses cuando, el 26 de julio de 1985, una paciente de 40 años estaba recibiendo su vigésimo cuarto tratamiento por cáncer de cuello uterino. El operador activó el tratamiento, pero a los cinco segundos la máquina se detuvo con el mensaje de error 'H-tilt', la indicación de pausa del tratamiento y el dosímetro indicando que no se había aplicado radiación. El operador presionó la tecla P (Continuar: continuar). La máquina se detuvo de nuevo. El operador repitió el proceso cinco veces hasta que la máquina detuvo el tratamiento. Se llamó a un técnico y no encontró ningún problema. La máquina trató a otros seis pacientes el mismo día.

La paciente se quejó de ardor e hinchazón en el área y fue hospitalizada el 30 de julio. Se sospechó que tenía una sobredosis de radiación y la máquina se puso fuera de servicio. El 3 de noviembre de 1985, la propia paciente murió de cáncer, aunque la autopsia menciona que si no hubiera muerto entonces, habría tenido que someterse a un reemplazo de cadera debido a los daños causados por la sobredosis de radiación. Un técnico estimó que recibió entre 13.000 y 17.000 rad.

El incidente se informó a la FDA ya la Oficina Canadiense de Protección Radiológica.

La AECL sospechó que podría haber un error con tres microinterruptores que informaban de la posición del tocadiscos. La AECL no pudo replicar una falla de los microinterruptores y la prueba de los microinterruptores no fue concluyente. Luego cambiaron el método para tolerar una falla y modificaron el software para verificar si la plataforma giratoria se estaba moviendo o en la posición de tratamiento.

Después, la AECL afirmó que las modificaciones representaban un aumento de seguridad de cinco órdenes de magnitud.

Hospital Conmemorativo del Valle de Yakima, 1985

En diciembre de 1985, una mujer desarrolló un eritema con un patrón de bandas paralelas después de recibir tratamiento con una unidad Therac-25. El personal del hospital envió una carta el 31 de enero de 1986 a la AECL sobre el incidente. La AECL respondió en dos páginas detallando las razones por las que la sobredosis de radiación era imposible en el Therac-25, afirmando que tanto la falla de la máquina como el error del operador no eran posibles.

Seis meses después, el paciente desarrolló úlceras crónicas debajo de la piel debido a la necrosis tisular. La operaron y le colocaron injertos de piel. El paciente siguió viviendo con secuelas menores.

Centro de Cáncer del Este de Texas, Tyler, marzo de 1986

Durante dos años, este hospital trató a más de 500 pacientes con Therac-25 sin ningún incidente. El 21 de marzo de 1986, un paciente se presentó para su novena sesión de tratamiento por un tumor en la espalda. El tratamiento se fijó en 22-MeV de electrones con una dosis de 180 rad en un área de 10x17 cm, con una radiación acumulada en 6 semanas de 6000 rad.

La operadora experimentada ingresó los datos de la sesión y se dio cuenta de que había escrito una X en lugar de una E como tipo de tratamiento. Con el cursor subió y cambió la X por una E y como el resto de los parámetros eran correctos presionó ↵ Enter hasta llegar al cuadro de comando. Todos los parámetros se marcaron como "Verificados" y se mostró el mensaje "Rayos listos". Presionó la tecla B ("Transmitir encendido"). La máquina se detuvo y mostró el mensaje "Malfunction 54" (error 54). También mostraba 'Pausa de tratamiento'. El manual decía que el "Malfuncionamiento 54" el mensaje era "ingreso de dosis 2" error. Más tarde, un técnico testificó que "ingreso de dosis 2" significaba que la radiación emitida era demasiado alta o demasiado baja.

El monitor de radiación (dosímetro) marcó 6 unidades suministradas cuando había demandado 202 unidades. El operador presionó P (Proceder: continuar). La máquina se detuvo nuevamente con el mensaje "Avería 54" (error 54) y el dosímetro indicó que había entregado menos unidades de las requeridas. La cámara de vigilancia en la sala de radiación estaba desconectada y el intercomunicador se había estropeado ese día.

Con la primera dosis, el paciente sintió una descarga eléctrica y escuchó un crujido de la máquina. Como era su novena sesión, se dio cuenta de que no era normal. Empezó a levantarse de la mesa para pedir ayuda. En ese momento el operador presionó P para continuar con el tratamiento. El paciente sintió una descarga eléctrica a través de su brazo, como si le hubieran arrancado la mano. Llegó a la puerta y comenzó a golpearla hasta que el operador la abrió. Inmediatamente se llamó a un médico al lugar, donde observaron un intenso eritema en la zona, sospechando que se había tratado de una simple descarga eléctrica. Envió al paciente a casa. El físico del hospital revisó la máquina y, debido a que estaba calibrada con la especificación correcta, continuó tratando a los pacientes durante todo el día. Los técnicos desconocían que el paciente había recibido una dosis masiva de radiación de entre 16.500 y 25.000 rads en menos de un segundo sobre un área de un cm². El crepitar de la máquina se había producido por saturación de las cámaras de ionización, lo que tenía como consecuencia que indicaban que la dosis de radiación aplicada había sido muy baja.

Durante las siguientes semanas, el paciente experimentó parálisis del brazo izquierdo, náuseas, vómitos y terminó hospitalizado por mielitis de la médula espinal inducida por radiación. Sus piernas, diafragma medio y cuerdas vocales terminaron paralizados. También tenía infecciones cutáneas recurrentes por herpes simple. Murió cinco meses después de la sobredosis.

Desde el día siguiente al accidente, los técnicos de AECL revisaron la máquina y no pudieron replicar el error 54. Revisaron la puesta a tierra de la máquina para descartar descarga eléctrica como causa. La máquina volvió a estar en funcionamiento el 7 de abril de 1986.

Centro Oncológico del Este de Texas, Tyler, abril de 1986

El 11 de abril de 1986, un paciente iba a recibir tratamiento con electrones para un cáncer de piel en la cara. La prescripción fue de 10 MeV para un área de 7x10 cm. El operador era el mismo que el del incidente de marzo, tres semanas antes. Después de completar todos los datos del tratamiento, se dio cuenta de que tenía que cambiar el modo de X a E. Así lo hizo y presionó ↵ Enter para bajar al cuadro de comando.. Como "Beam ready" se mostró, presionó P (Continuar: continuar). La máquina produjo un fuerte ruido, que se escuchó a través del intercomunicador. Se mostró el error 54. El operador entró en la habitación y el paciente describió una sensación de ardor en la cara. El paciente murió el 1 de mayo de 1986. La autopsia mostró daño severo por radiación en el lóbulo temporal derecho y el tronco encefálico.

El físico del hospital detuvo los tratamientos de la máquina y avisó a la AECL. Después de un arduo trabajo, el físico y el operador pudieron reproducir el mensaje de error 54. Determinaron que la velocidad en la edición de la entrada de datos fue un factor clave para producir el error 54. Después de mucha práctica, pudo reproducir el error 54 a voluntad. La AECL manifestó que no podían reproducir el error y solo lo consiguieron siguiendo las instrucciones del físico para que la entrada de datos fuera muy rápida.

Hospital Conmemorativo del Valle de Yakima, 1987

El 17 de enero de 1987, un paciente iba a recibir un tratamiento con dos exposiciones de verificación de película de 4 y 3 rads, más un tratamiento con fotones de 79 rad para una exposición total de 86 rads. Se colocó película debajo del paciente y se administraron 4 rads a través de una abertura de 22x18 cm. Se paró la máquina, se abrió la abertura a 35x35 cm y se administró una dosis de 3 rad. La máquina se detuvo. El operador entró en la habitación para retirar las placas de película y ajustar la posición del paciente. Usó el control manual dentro de la habitación para ajustar el tocadiscos. Salió de la habitación, olvidando las placas de la película. En la sala de control, después de ver el "Beam ready" mensaje, presionó la tecla B para disparar los rayos. Después de 5 segundos, la máquina se detuvo y mostró un mensaje que desapareció rápidamente. Dado que la máquina estaba en pausa, el operador presionó P (Proceder: continuar). La máquina se detuvo y mostró "Planitud" como la razón. El operador escuchó al paciente por el intercomunicador, pero no pudo entenderlo y entró en la habitación. El paciente había sentido una fuerte sensación de ardor en el pecho. La pantalla mostraba que solo le habían dado 7 rad. A las pocas horas, el paciente presentaba quemaduras en la piel de la zona. Cuatro días después el enrojecimiento de la zona presentaba un patrón de bandas similar al producido en el incidente del año anterior, del que no habían encontrado la causa. La AECL inició una investigación, pero no pudo reproducir el hecho.

El físico del hospital realizó pruebas con placas de película para ver si podía recrear el incidente. Dos parámetros de rayos X con el plato giratorio en la posición de luz de campo. La película parecía coincidir con la película que se dejó por error debajo del paciente durante el accidente. Se descubrió que el paciente estuvo expuesto a entre 8.000 y 10.000 rad en lugar de los 86 rad prescritos. El paciente falleció en abril de 1987 por complicaciones debidas a una sobredosis de radiación. Los familiares interpusieron una demanda que terminó con un arreglo extrajudicial.

Causas raíz

Una comisión atribuyó la causa principal a las malas prácticas generales de diseño y desarrollo de software en lugar de errores de codificación específicos. En particular, el software fue diseñado de manera que era realmente imposible probarlo de manera rigurosa y automatizada.

Los investigadores que investigaron los accidentes encontraron varias causas contribuyentes. Estos incluyeron las siguientes causas institucionales:

• AECL no ha revisado el código de software de forma independiente y optado por confiar en el código interno, incluido el sistema operativo.
• AECL no consideró el diseño del software durante su evaluación de cómo la máquina podría producir los resultados deseados y qué modos de fallo existían, centrándose exclusivamente en el hardware y afirmando que el software estaba libre de errores.
• Los operadores de máquinas fueron reasegurados por el personal de AECL que las sobredosis eran imposibles, lo que los llevó a desestimar el Therac-25 como la causa potencial de muchos incidentes.
• AECL nunca había probado el Therac-25 con la combinación de software y hardware hasta que fue montado en el hospital.

Los investigadores también encontraron varios problemas de ingeniería:

• Varios mensajes de error simplemente muestran la palabra "MALFUNCTION" seguido de un número de 1 a 64. El manual del usuario no explica ni siquiera aborda los códigos de error, ni da ninguna indicación de que estos errores podrían plantear una amenaza a la seguridad del paciente.
• El sistema distinguió entre errores que detuvieron la máquina, requiriendo un reinicio, y errores que simplemente detuvieron la máquina (que permitió a los operadores continuar con la misma configuración utilizando una pulsación clave). Sin embargo, algunos errores que ponían en peligro al paciente simplemente detuvo la máquina, y la frecuente ocurrencia de errores menores hizo que los operadores se acostumbraran a despachar habitualmente la máquina.
  • Un fallo ocurrió cuando una secuencia particular de pulsaciones se introdujeron en el terminal VT-100 que controlaba el ordenador PDP-11: si el operador presionaba "X" a (erróneamente) seleccionar 25 modos de fotones MeV, entonces utilice "cursor arriba" para editar la entrada a "E" para (correctamente) seleccionar 25 modos de electrones MeV, luego "Enter", todos dentro de ocho segundos de la primera pulsación de la máquina. Estas ediciones no fueron notadas ya que tomaría 8 segundos para la puesta en marcha, por lo que iría con la configuración predeterminada.
• El diseño no tenía ningún interbloqueo de hardware para evitar que el electron-beam funcionara en su modo de alta energía sin el objetivo en su lugar.
• El ingeniero había reutilizado el software de Therac-6 y Therac-20, que utilizaba interlocks de hardware que enmascaraban sus defectos de software. Esas seguridades de hardware no tenían forma de informar de que habían sido activadas, por lo que se pasaban por alto errores preexistentes.
• El hardware no proporcionó ninguna manera para que el software verificara que los sensores estaban funcionando correctamente. El sistema de mesa-posición fue el primero implicado en los fallos de Therac-25; el fabricante lo revisó con interruptores redundantes para revisar su operación.
• El software estableció una variable de bandera al aumentarla, en lugar de fijarla a un valor fijo no cero. Ocasionalmente se produjo un desbordamiento aritmético, causando que la bandera regrese a cero y el software para evitar controles de seguridad.

Leveson señala que una lección que se puede extraer del incidente es no asumir que el software reutilizado es seguro: "A menudo se hace una suposición ingenua de que la reutilización del software o el uso de software estándar comercial aumentará la seguridad porque el software se habrá ejercitado extensamente. La reutilización de módulos de software no garantiza la seguridad en el nuevo sistema al que se transfieren..." En respuesta a incidentes como los asociados con Therac-25, se creó el estándar IEC 62304, que introduce estándares de ciclo de vida de desarrollo para software de dispositivos médicos y orientación específica sobre el uso de software de pedigrí desconocido.