Therac-25

Therac-25 là một máy xạ trị được công ty Năng lượng nguyên tử của Canada Limited (AECL) sản xuất vào năm 1982 sau các sản phẩm Therac-6 và Therac-20 (các sản phẩm trước đó đã được sản xuất trong quan hệ đối tác với CGR của Pháp).
Máy xạ trị này có liên quan đến ít nhất sáu vụ tai nạn từ năm 1985 đến 1987, trong đó các bệnh nhân được nhận quá liều bức xạ. Các lỗi lập trình đã khiến nhiều bệnh nhân bị nhiễm phóng xạ liều lượng cao gấp hàng trăm lần cho phép, dẫn đến tử vong hoặc thương tích nghiêm trọng. Những tai nạn này nhấn mạnh sự nguy hiểm có thể gây ra do thiếu kiểm soát trong những máy móc yêu cầu độ an toàn cao và trở thành đề tài nghiên cứu cho các lĩnh vực tin học y tế, công nghệ phần mềm và đạo đức nghề nghiệp. Ngoài ra sự quá tự tin của các kỹ sư và thiếu khả năng giải quyết các lỗi phần mềm được nhấn mạnh như một trường hợp cực đoan mà các kỹ sư quá tự tin với sản phẩm và không tin các khiếu nại của người dùng để gây ra hậu quả nghiêm trọng.
Mô tả vấn đề.
Sáu tai nạn được ghi nhận xảy ra khi chùm electron năng lượng cao được tạo ra trong chế độ chụp X quang được bắn trực tiếp cho bệnh nhân. Hai lỗi phần mềm xảy ra. Lỗi thứ nhất, khi người vận hành chọn chế độ X quang không chính xác trước khi nhanh chóng chuyển sang chế độ electron, cho phép chùm electron được đặt cho chế độ chụp X quang mà không có mục tiêu X quang. Lỗi thứ hai cho phép chùm electron kích hoạt trong chế độ ánh sáng trường khi không có máy quét chùm tia nào hoạt động hoặc mục tiêu được đặt đúng vị trí.
Các mẫu máy trước có chế độ khóa phần cứng để ngăn chặn lỗi như vậy, nhưng Therac-25 đã loại bỏ chúng, tin hoàn toàn vào kiểm tra phần mềm cho an toàn.
Chùm electron năng lượng cao được bắn vào bệnh nhân với liều lượng gấp 100 lần lượng ban đầu và gây nhiễm phóng xạ hạt beta vượt ngưỡng an toàn. Các bệnh nhận được mô tả như "bị bỏng nặng bên trong máy" hoặc "một cú giật điện mạnh". Vài ngày sau, bệnh nhân có dấu hiệu bị nhiễm độc phóng xạ với nhiều vết bỏng. Đa số các bệnh nhân đều tử vong do nhiễm phóng xạ quá liều.
Lịch sử.
Vào những năm 1970, AECL và CGR hợp tác để sản xuất máy xạ trị dùng trong y tế. Các công ty cho ra đời hai mẫu máy là Therac-6 và Therac-20, được phát triển dựa trên mẫu máy có sẵn là Neptune và Sagittaire của CGR và được nâng cấp bằng hệ thống DEC VT-100, xử lí bằng ngôn ngữ Assembly PDP-11. Mẫu Therac-6 chỉ có thể tạo ra chùm X quang năng lượng 6 triệu vôn electron (MeV), và mẫu Therac-20 có thể tạo ra chùm X quang và electron 20 MeV. Phần mềm ở hai mẫu này vẫn còn nhiều hạn chế, chủ yếu được sử dụng để tăng sự tiện nghi khi vận hành máy, hoàn toàn có thể hoạt động độc lập chỉ với phần cứng. Những tính năng và khoá an toàn trong máy vẫn được giữ nguyên.
Sau khi phát hành Therac-20, quan hệ giữa AECL và CGR trở nên kém bền vững, và hai bên chấm dứt hợp đồng vào năm 1981. Từ đó, AECL độc lập sản xuất máy Therac-25, được mô tả như một máy xạ trị nhỏ gọn, linh hoạt và dễ sử dụng hơn so với Therac-6, có thể tạo ra chùm năng lượng đến 25 MeV.
Therac-25 được phát triển với nhiều điểm khác biệt nổi bật như:
Năm 1976, AECL sản xuất mẫu Therac-25 đầu tiên và mở bán trên thị trường năm 1982. Có 11 máy Therac-25 được lắp đặt tại các bệnh viện, với 5 máy tại Hoa Kỳ và 6 máy tại Canada.
Năm 1986, lập trình viên phụ trách Therac-25 rời khỏi AECL. Các luật sư trong những vụ kiện liên quan không thể xác định danh tính hay trình độ và kinh nghiệm của lập trình viên ấy. Sau các sự cố, AECL giải thể bộ phận AECL Medical (bộ phận y tế) năm 1988 và được đổi tên thành công ty Theratronics Internation Ltd., công ty này chịu trách nhiệm cho việc bảo trì và lắp đặt Therac-25.
Cấu tạo.
Therac-25 là máy xạ trị, hay máy gia tốc hạt tuyến tính dùng trong điều trị. Máy hoạt động bằng cách bắn chùm năng lượng phóng xạ vào một khu vực nhỏ nhất định để loại bỏ tế bào ung thư hay khối u bên trong cơ thể.
Liệu pháp xạ trị.
Therac-25 cung cấp hai chế độ xạ trị và một chế độ phụ:
Đĩa xoay.
Đĩa xoay của Therac-25 đóng vai trò quan trọng trong việc điều chỉnh loại chùm tia mong muốn để điều trị. Đĩa xoay có các vị trí cho chế độ electron, X quang và ánh sáng trường, được điều chỉnh bằng các bộ chuyển mạch vi mô lắp trên đĩa xoay và gửi thông tin về máy tính dưới dạng nhị phân 3 bit. Đĩa xoay là nơi lắp đặt những bộ phận cần thiết cho sự thay đổi chế độ của máy, bao gồm mục tiêu, bộ lọc khuếch tán, gương và nam châm dò electron. 
Ở chế độ X quang, để chùm tia X bắn lên bệnh nhân có năng lượng phù hợp, tia X cần phải đi qua bộ lọc khuếch tán và vì vậy, cần nguồn tia X năng lượng rất cao. Nếu đĩa xoay đặt sai vị trí trong chế độ X quang, nguồn tia X sẽ bị bắn thẳng vào bệnh nhân mà không đi qua các bộ phận để giảm năng lượng, gây nguy hiểm cho bệnh nhân do phóng xạ cao. Trong các mẫu máy trước, đĩa xoay sẽ bị khoá cố định nhờ pít tông cơ học khi đặt ở đúng vị trí trước khi điều trị, nhưng ở Therac-25, cơ chế này được thay bằng hệ thống an toàn trong phần mềm.
Phần mềm.
Therac-25 được điều khiển qua hệ thống DEC VT-100, xử lí bằng ngôn ngữ Assembly PDP-11. Giao diện chương trình của Therac-25 cho phép người vận hành điều chỉnh các thông tin phù hợp cho việc điều trị bằng máy, bao gồm điều chỉnh loại tia, năng lượng tia, liều lượng và tốc độ tia, thời gian điều trị, góc nghiêng bắn tia và kích thước của ống chuẩn trực. Theo quy trình, người vận hành cố định bệnh nhân trên giường điều trị, điều chỉnh vị trí bàn xoay, góc nghiêng và thiết bị phụ trợ bằng tay, sau đó rời khỏi phòng điều trị và nhập các thông tin cần thiết trên máy tính. Máy tính khi đó so sánh giá trị vừa nhập vào với giá trị thực tế, nếu chính xác thì máy tính thông báo "Xác nhận" và tiến hành điều trị, nếu không thì máy không cho phép điều trị cho đến khi lỗi được sửa lại. Do sự phức tạp của việc nhập dữ liệu, AECL sau này cho phép người vận hành chép lại thông tin đã nhập và sử dụng lại cho lần tiếp theo, hoặc in ra một bản thông tin phiên bản hay dữ liệu đã nhập vào máy.
Therac-25 có thể ngừng hoạt động bằng hai cách:
Lỗi xảy ra trong máy sẽ hiện thông báo và tuỳ vào độ nghiêm trọng sẽ treo hoặc tạm dừng máy. Những lỗi này gây khó hiểu và không được giải thích trong hướng dẫn sử dụng hay đề cập ở bất cứ đâu trong máy. Các lỗi bao gồm "H-tilt", "V-tilt", "No Dose" (không có liều), "Low Dose Rate" (tốc độ liều thấp) và "MALFUNCTION" kèm số 1–64.
Tai nạn.
Trong năm 1985–1987, có sáu vụ tai nạn xảy ra được ghi nhận liên quan đến Therac-25 tại bốn bệnh viện khác nhau, với đa số các nạn nhân tử vong do nhiễm độc phóng xạ.
Trung tâm Ung thư học Kennestone.
Ngày 3 tháng 6 năm 1985, Katherine (Katie) Yarborough, 61 tuổi, đến Trung tâm Ung thư học Kennestone ở Georgia, Hoa Kỳ để điều trị cắt bỏ khối u vú. Bệnh nhân được điều trị bằng phương pháp xạ trị bắn chùm electron 10-MeV trên máy Therac-25 (đã đi vào hoạt động được sáu tháng). Khi máy được bật lên, cô cảm thấy "bị đốt bởi một luồng nhiệt dữ dội". Nhân viên phụ trách khi đó cho rằng việc này là bất khả thi, và vùng được điều trị chỉ cảm thấy ấm.
Katie được trở về nhà, nhưng sau đó phải nhập viện trở lại do vùng điều trị bị sưng đỏ và làm co thắt cơ vai. Hai tuần sau, vùng da bị ảnh hưởng bắt đầu bong tróc và có dấu hiệu bỏng. Kết quả giám định cho thấy bệnh nhân bị nhiễm độc phóng xạ, nhưng nguyên nhân gây ra vẫn chưa được làm rõ.
Bệnh nhân lúc đầu chỉ cần nhận 200 rad phóng xạ để điều trị, nhưng các thí nghiệm cho thấy lượng phóng xạ ước tính mà Katie nhận được trong khoảng 15.000–20.000 rad, gấp 100 lần lượng phóng xạ phải được nhận. Một bên vú của Katie cần phải bị cắt bỏ, một bên vai và tay của bệnh nhân không thể sử dụng được vì nhiễm nặng phóng xạ.
Hiệp hội Ung thư Ontario.
Ngày 26 tháng 7 năm 1985, Frances Hill, 40 tuổi, đến bệnh viện ở Ontario, Canada để điều trị ung thư biểu mô ở cổ tử cung lần thứ 26. Khi đang được điều trị bằng Therac-25, màn hình máy tính xuất hiện lỗi "No Dose" (không có liều thuốc) mặc dù chùm tia vẫn được bắn, người vận hành nhấn nút "P" để tiếp tục năm lần, bắn tổng cộng 17.000 rad lên bệnh nhân. Bệnh nhân cảm thấy bị bỏng và bị giật điện ở vùng hông. Ba ngày sau, bệnh nhân quay trở lại với dấu hiệu bị bỏng, đau hông và vết sưng nặng ở vùng điều trị, và được đặt trong tình trạng cấp cứu ngày hôm sau.
Frances Hill tử vong vào ngày 3 tháng 11 năm 1985 do ung thư, nhưng khám nghiệm tử thi cho thấy nếu bệnh nhân không tử vong do ung thư, toàn bộ vùng hông của bệnh nhân sẽ cần phải bị thay thế do phóng xạ.
Khiếu nại và phản ứng.
Trong suốt quá trình xảy ra các tai nạn liên quan đến Therac-25, AECL có thái độ thiếu minh bạch trong việc kiểm chứng và xác minh các khiếu nại của người dùng.
Nguyên nhân.
Các vụ tai nạn xảy ra do một loạt những sai phạm trong quá trình thiết kế phần cứng lẫn phần mềm và quá trình thử nghiệm độ an toàn sơ sài và tự động. Ngoài ra, sự quá tự tin của các kĩ sư trong công ty đã khiến cho nhiều khiếu nại của người dùng bị bác bỏ một cách phi lý, dẫn đến nhiều tai nạn không đáng có xảy ra nhiều hơn.
Bài học.
Trong một thiết bị có độ chuẩn xác cao, tai nạn hầu như không bao giờ do một nhân tố duy nhất quyết định, mà là một tổ hợp các lỗi lầm khác nhau về yếu tố kỹ thuật, con người và tổ chức. Vì thế, tất cả các yếu tố cần phải được xem xét, thay vì đổ lỗi cho nhân tố con người. Ở sự cố Therac-25, những lỗi đó là:
Để đảm bảo an toàn cho người dùng từ các vụ tai nạn liên quan đến Therac-25, tiêu chuẩn IEC 62304 được tạo ra, quy định tiêu chuẩn về vòng đời của các phần mềm thiết bị y tế và hướng dẫn vận hành an toàn.