Therac-25

Therac-25 war ein Linearbeschleuniger zur Anwendung in der Strahlentherapie. Er wurde von 1982 bis 1985 in elf Exemplaren von der kanadischen Regierungsfirma Atomic Energy of Canada Limited (AECL) gebaut und in Kliniken in den USA und in Kanada installiert. Durch Softwarefehler und mangelnde Qualitätssicherung war ein schwerer Funktionsfehler möglich, der von Juni 1985 bis 1987 drei Patienten das Leben kostete und drei weitere schwer verletzte, bevor geeignete Gegenmaßnahmen ergriffen wurden.

Dies ist einer der folgenschwersten Fehler in der Geschichte der Softwareentwicklung und ein oft studiertes Lehrbeispiel für Anforderungen an Software in sicherheitsrelevanten Bereichen.

Gerät

Therac-25 war ein Elektronen-Linearbeschleuniger. Als therapeutische Strahlung, vor allem für die Krebstherapie, konnte entweder der Elektronenstrahl direkt oder die durch ein zwischengeschaltetes Target aus Wolfram erzeugte Röntgenstrahlung der Energie 25 MeV verwendet werden. Im direkten Modus wurde eine wesentliche geringere Brillanz (Stärke des Elektronenstrahls) eingestellt als im Röntgenmodus.

Die Vorgänger, Therac-6 und Therac-20, mit 6 bzw. 20 MeV Photonenenergie, waren nicht computerisierte Konstruktionen, bei denen die Sicherheitsmaßnahmen durch mechanische Verriegelung und die Überwachung der Systemfunktion durch analoge Messgeräte realisiert waren. Ein Computer des Typs PDP-11 und ein VT-100 Terminal wurden später allein zur Erleichterung der Bedienung hinzugefügt.

Die Neukonstruktion Therac-25 ersetzte diese durch Sensoren, deren Messwerte vom Computer ausgewertet wurden und Aktoren, die unter Softwarekontrolle die verschiedenen Einstellungen ausführten. Ein Prototyp, noch ohne die Computersteuerung, wurde 1976 fertiggestellt, die erste Serienmaschine 1982. 1983 wurde eine Sicherheitsanalyse des Geräts durchgeführt, die das Vertrauen in die Überlegenheit der Softwarelösung ausdrückte, da Software keinem Verschleiß unterworfen sei.

Fallgeschichte

3. Juni 1985, Kennestone Regional Oncology Center

Das Bestrahlungsgerät war hier seit sechs Monaten im Einsatz. Bei einer Bestrahlung mit 10 MeV Elektronen beklagte die Patientin, sie sei verbrannt worden, aber an der Bestrahlungsstelle waren zu diesem Zeitpunkt keine Spuren zu sehen. Dieser Vorgang wurde nie offiziell untersucht. Die Patientin klagte später gegen den Hersteller, nachdem Arm und Schulter unbeweglich wurden und chronische Schmerzen verursachten. Die Klage wurde durch einen außergerichtlichen Vergleich beigelegt.

26. Juli 1985, Ontario Cancer Foundation

Auch hier war das Gerät bereits über sechs Monate im Einsatz. Oft meldete es eine Störung mit der zusätzlichen Anzeige, dass keine Strahlungsdosis appliziert wurde. In diesen Fällen wurde routinemäßig eine Taste zur Wiederholung gedrückt. Bei einer Bestrahlung der Hüfte einer Krebspatientin passierte dies am 26. Juli 1985 viermal, danach schaltete sich das Gerät mit einer anderen Fehlermeldung ab. Die Patientin gab an, ein unangenehmes Gefühl wie bei einem Stromfluss gespürt zu haben. In der Folge entwickelte sich eine massive Schwellung an der bestrahlten Stelle sowie ein brennender Schmerz. Nachdem die Patientin an ihrer Grunderkrankung gestorben war, ergab eine Autopsie eine Zerstörung des Hüftgelenks.

Der Hersteller und die Food and Drug Administration wurden benachrichtigt, und AECL äußerte die Vermutung, ein ausgefallener Mikroschalter habe zu einer falschen Positionsbestimmung des Wolfram-Targets geführt. Die Positionsbestimmung wurde überarbeitet, so dass ein einzelner Schalterausfall durch die Redundanz des Gesamtsystems keine Folgen mehr haben würde. Im Abschlussbericht zu diesem Vorfall erklärte die AECL, dadurch die Fehlerrate um den Faktor 10.000 gesenkt zu haben.

Das FDA stufte den Vorfall als „class 2 recall“ ein, was bedeutet, dass es möglich, aber sehr selten sei, dass es zu einem ernsten Schaden für den Patienten kommt.

21. März 1986, East Texas Cancer Center

Der Patient Ray Cox empfand ein schmerzhaftes, elektroschockartiges Gefühl bei einer Bestrahlung des Rückens. Er stand auf, was unbemerkt blieb, da die Audio- und Videoüberwachung des Bestrahlungsraums nicht aktiv war. Das Gerät zeigte Unterdosis an, die Bestrahlung wurde wiederholt, während der Patient schon aufgestanden war, und traf ihn an der Hand. Der Patient litt nach der Bestrahlung an Symptomen der Strahlenkrankheit, Lähmung beider Beine und eines Arms und verstarb nach fünf Monaten an den Folgen der Überdosis an Strahlung.

11. April 1986, East Texas Cancer Center

Bei einer Gesichtsbestrahlung wegen Hautkrebs schrie der Patient auf und gab später an, einen hellen Blitz gesehen zu haben. Die Verbrennung durch die Strahleneinwirkung war so stark, dass sie geruchlich wahrnehmbar war. Der Patient verstarb nach nur drei Wochen und eine Autopsie ergab Läsionen des Stammhirns als Todesursache.

17. Januar 1987, Yakima Valley Memorial Hospital

Ein Patient verstarb nach drei Monaten an den Folgen einer Überdosis.

Ursachen

Strahlenquelle

Alle Vorfälle beruhten darauf, dass der Linearbeschleuniger mit der hohen Brillanz für den Röntgenmodus arbeitete, aber das Wolfram-Target nicht im Strahlengang war. Dies ist der gefährlichste mögliche Betriebszustand, der bei den Vorgängermodellen durch eine mechanische Verriegelung ausgeschlossen war. Die Strahlenbelastung in den sechs Fällen wurde nachträglich zu 40 bis 200 Gray abgeschätzt, eine normale Behandlung entspricht einer Dosis unter 2 Gray. Eine Strahlenbelastung des gesamten Körpers mit 10 Gray gilt als sicher tödlich, für lokalisierte Strahlenbelastungen liegen wenig Erfahrungswerte vor.

Programmfehler

Der Computer des Therac-25 war zugleich für die Messwerterfassung und Steuerung des Geräts, als auch für die Benutzerinteraktion zuständig, durch Multitasking wurden beide Aufgaben quasi-gleichzeitig erledigt. Das Kernproblem dabei war die korrekte Synchronisation der beiden Prozesse. Diese war völlig ungenügend und funktionierte nur dann, wenn der Benutzer seine Eingaben relativ langsam machte. Aber nach einer gewissen Einarbeitungszeit konnten die Benutzer die Eingaben schneller tätigen, als der Therac-25 zwischen den verschiedenen Modi umgeschaltet werden kann. Dies führte in den meisten Fällen zu den Fehlermeldungen, denen keine Bedeutung zugemessen wurde.

Softwareentwicklung

Die Software wurde von einem einzelnen Softwareentwickler geschrieben - unter Verwendung vorhandener Teile, deren Programmierer nicht mehr für die Firma arbeiteten. Der Entwickler war zugleich für Tests zuständig.

Qualitätssicherung

AECL hatte reiche Erfahrung mit Sicherheitsabschätzungen und die notwendigen Analysen wurden mit gegebener Sorgfalt durchgeführt. Sie ignorierten aber völlig, dass Software fehlerhaft sein kann. Als mögliche Fehlerbedingungen, die das Computersystem berührten, wurden lediglich Hardwareausfälle und die Verfälschung des Hauptspeichers durch Alphastrahlen berücksichtigt.

Korrekturmaßnahmen

AECL, und teilweise das FDA, unterschätzten anfangs die Bedeutung der Vorfälle, und die Anwender wurden mangelhaft informiert. Die Verantwortlichen für die Untersuchung und Bewertung der Vorfälle hatten zu lange die Software als Fehlerquelle von vornherein ausgeschlossen. Die Korrekturmaßnahmen nach den ersten beiden Vorfällen wurden für wirksam gehalten, ohne einen kausalen Zusammenhang nachweisen zu können.

Literatur

  • P. O'Brien, H. B. Michaels, J. E. Aldrich, J. W. Andrew, Characteristics of electron beams from a new 25-MeV linear accelerator, Medical Physics, Volume 12, Issue 6 (Nov 1985), pp. 799-805
  • N. G. Leveson, C. S. Turner, An Investigation of the Therac-25 Accidents, IEEE Computer, Volume 26, Issue 7 (Jul 1993), pp. 18-41, ISSN 0018-9162
  • M. H. Thomas, The story of the Therac-25 in LOTOS, High Integrity Systems Journal, Volume 1, Issue 1 (Feb 1994), pp. 3–15
  • N. G. Leveson, Safeware, System Safety and Computers, Addison Wesley 1995, ISBN 0-201-11972-2

Weblinks

Diese Artikel könnten dir auch gefallen

Die letzten News aus den Naturwissenschaften

01.04.2021
Teilchenphysik
Myon g-2: Kleines Teilchen mit großer Wirkung
Das Myon g-2-Experiment des Fermilab in den USA steht vor einem Sensationsmoment, der die Geschichte der Teilchenphysik neu schreiben könnte.
01.04.2021
Planeten - Elektrodynamik - Strömungsmechanik
Zwei merkwürdige Planeten
Uranus und Neptun habe beide ein völlig schiefes Magnetfeld.
30.03.2021
Kometen_und_Asteroiden
Der erste interstellare Komet könnte der ursprünglichste sein, der je gefunden wurde
Neue Beobachtungen mit dem Very Large Telescope (VLT) der Europäischen Südsternwarte (ESO) deuten darauf hin, dass der abtrünnige Komet 2I/Borisov einer der ursprünglichsten ist, die je beobachtet wurden.
25.04.2021
Raumfahrt - Astrophysik - Teilchenphysik
Erstmals Atominterferometer im Weltraum demonstriert
Atominterferometer erlauben hochpräzise Messungen, indem sie den Wellencharakter von Atomen nutzen.
25.03.2021
Quantenoptik
Sendungsverfolgung für eine Quantenpost
Quantenkommunikation ist abhörsicher, aber bislang nicht besonders effizient.
24.03.2021
Schwarze_Löcher - Elektrodynamik
Astronomen bilden Magnetfelder am Rand des Schwarzen Lochs von M 87 ab
Ein neuer Blick auf das massereiche Objekt im Zentrum der Galaxie M 87 zeigt das Erscheinungsbild in polarisierter Radiostrahlung.
24.03.2021
Astrophysik
Die frühesten Strukturen des Universums
Das extrem junge Universum kann nicht direkt beobachtet werden, lässt sich aber mithilfe mathematischer Theorien rekonstruieren.
23.03.2021
Supernovae - Teilchenphysik
Können Sternhaufen Teilchen höher beschleunigen als Supernovae?
Ein internationales Forschungsteam hat zum ersten Mal gezeigt, dass hochenergetische kosmische Strahlung in der Umgebung massereicher Sterne erzeugt wird. Neue Hinweise gefunden, wie kosmische Strahlung entsteht.
23.03.2021
Teilchenphysik
Neue Resultate stellen physikalische Gesetze in Frage
Forschende der UZH und des CERN haben neue verblüffende Ergebnisse veröffentlicht.
19.03.2021
Festkörperphysik - Teilchenphysik
Elektronen eingegipst
Eine scheinbar einfache Wechselwirkung zwischen Elektronen kann in einem extremen Vielteilchenproblem zu verblüffenden Korrelationen führen.