セラック-25

セラック25は、セラック6とセラック20ユニットの後継として1982年にカナダ原子力公社（AECL）によって製造されたコンピュータ制御の放射線治療装置である（それ以前のユニットはフランスのCompagnie générale de radiologie（CGR）との提携により製造されていた）。^[1]

Therac-25は1985年から1987年の間に少なくとも6回の事故に巻き込まれ、一部の患者に大量の放射線が過剰に投与されました。^{[2] : 425}同時プログラミングエラー（競合状態とも呼ばれる）のために、患者に通常の数百倍の放射線量が投与されることがあり、死亡または重傷につながりました。^{[3]これらの事故は、安全性が極めて重要なシステムのソフトウェア}制御の危険性を浮き彫りにしました。

Therac-25は、健康情報学、ソフトウェア工学、コンピュータ倫理の分野で標準的なケーススタディとなっており、エンドユーザーの報告を信じず、甚大な影響を及ぼした エンジニアの自信過剰の例として強調されています^{[2] : 428  。}

フランスのCGR社は、ネプチューン線形加速器とサジテール線形加速器を製造しました。

1970年代初頭、CGRとカナダの公的企業であるカナダ原子力公社（AECL）は、DEC PDP-11ミニコンピュータで制御される線形加速器の構築で協力しました。最大6MeVのX線を生成するTherac-6と、最大20MeVのX線または電子を生成するTherac-20です。加速器はコンピュータなしでも動作できるため、使いやすさが向上しました。CGRはTherac-6用のソフトウェアを開発し、いくつかのサブルーチンをTherac-20に再利用しました。^[4]

1981年、両社は協力契約を終了しました。AECLは、より限られたスペースで電子を加速するための新しいダブルパスコンセプトを開発し、エネルギー源をクライストロンからマグネトロンに変更しました。特定の技術では、生成された電子が直接使用され、他の技術では、タングステン陽極に衝突させてX線ビームを生成します。このデュアルアクセラレータコンセプトはTherac-20とTherac-25に適用され、後者ははるかにコンパクトで多用途で使いやすいものになりました。病院にとっても、電子とX線の治療を適用できるデュアルマシンを2台持つよりも1台持つ方が経済的でした。

Therac-25 はコンピューターで制御されるマシンとして設計され、その結果、一部の安全機構がハードウェアからソフトウェアに変更されました。AECL は一部の安全機構を重複させないことを決定し、Therac-20 のモジュールとコード ルーチンを Therac-25 に再利用しました。

Therac-25 の最初のプロトタイプは 1976 年に製造され、1982 年後半に市場に投入されました。

Therac-25 のソフトウェアは、PDP-11 アセンブリ言語を使用して 1 人の人物によって数年にわたって開発されました。これは Therac-6 ソフトウェアの進化形です。1986 年に、プログラマーは AECL を去りました。その後の訴訟で、弁護士はプログラマーを特定できず、その資格や経験についても知ることができませんでした。

アメリカには5台、カナダには6台が設置された。^[4]

事故後、1988年にAECLはAECL医療部門を解散し、 Theratronics International Ltd社が設置されたTherac-25マシンのメンテナンスを引き継ぎました。^[5]

この機械には3つの動作モードがあり、ターンテーブルが各モードに合わせて装置（ライト、スキャンマグネット、タングステンターゲットとフラットナー）を所定の位置に移動させます。^[6]

• 「フィールド ライト」モードでは、治療領域を可視光で照らすことで、患者とコリメータを正しく配置できます。
• 直接電子線治療では、高エネルギー（5～ 25MeV（0.80～4.01pJ  ） ）の電子の狭く低電流のビーム を磁石で治療部位に走査します。^[6]
• メガボルトX線（または光子）療法は、25MeVのX線光子のビームを照射します。X線光子は、高電流の細い電子ビームをタングステンターゲットに衝突させることで生成されます。その後、X線は平坦化フィルターを通過し、X線イオンチャンバーを使用して測定されます。平坦化フィルターは逆さまのアイスクリームコーンに似ており、X線を整形して減衰させます。X線を生成するために必要な電子ビーム電流は、電子療法に使用されるものの約100倍です。^[6]

患者は固定ストレッチャーの上に乗せられます。その上にはターンテーブルがあり、電子ビームを変更するコンポーネントが固定されています。ターンテーブルには、X 線モード (光子) 用の位置、電子モード用の位置、および可視光を使用して調整を行う 3 番目の位置があります。この位置では電子ビームは想定されておらず、ステンレス スチールの鏡に反射された光がビームをシミュレートします。この位置では放射線ビームが機能しないと考えられるため、放射線量計として機能するイオン チャンバーはありません。

ターンテーブルには、位置をコンピュータに知らせるマイクロスイッチがいくつか付いています。プレートが3つの固定位置のいずれかにある場合、プランジャーが連動してプレートをロックします。このタイプの機械では、治療を開始する前にターンテーブルが正しい位置にあることを確認するために、従来は電気機械式ロックが使用されていました。Therac-25では、これらはソフトウェアチェックに置き換えられました。^[6]

記録されている6件の事故は、X線モードで生成された高電流電子ビームが患者に直接照射されたときに発生しました。原因は2つのソフトウェア障害でした。^[6] 1つは、オペレータが誤ってX線モードを選択し、すぐに電子モードに変更したため、X線ターゲットが配置されていない状態で電子ビームがX線モードに設定されてしまったことです。2つ目の障害は、ビームスキャナがアクティブでなかったりターゲットが配置されていなかったりするフィールドライトモード中に電子ビームがアクティブになったことです。

以前のモデルには、このような障害を防ぐためのハードウェアインターロックがありましたが、Therac-25 ではそれが削除され、代わりに安全性をソフトウェアチェックに依存しています。

高電流電子ビームは、予定の放射線量の約100倍の放射線をより狭い範囲で患者に照射し、致死量のベータ線を照射した。患者のレイ・コックスは「強烈な電気ショック」と感じ、叫び声を上げて治療室から逃げ出したと述べている。^[7]数日後、放射線火傷が現れ、患者は放射線中毒の症状を示した。3人の患者は、後に過剰摂取が原因で死亡した。^[8]

1985 年 6 月 3 日、ジョージア州マリエッタのケネストーン地域腫瘍センターで、セラック 25 が 6 か月間稼働していたとき、 61 歳の女性ケイティ ヤーブローに乳房切除術後の放射線療法が行われていました。彼女は鎖骨に 10 MeV の電子線療法を受けることになっていたのです。治療が始まると、彼女は「ものすごい熱の力...真っ赤に熱くなる感覚」を経験したと述べています。技師が部屋に入ってきたケイティは「火傷しましたね」と言いました。技師はそんなことはないと彼女に保証しました。彼女は帰宅しましたが、その後数日で治療部位が赤くなりました。その後すぐに、肩が動かなくなり、けいれんを起こしました。2 週間以内に、前述の赤みが胸から背中に広がり、火傷の原因が彼女を通り抜けたことを示しました。これは放射線火傷の場合と同じです。治療センターのスタッフは、Therac-25 がそのような損傷を引き起こす可能性があるとは信じず、それは彼女の癌の症状として扱われました。後に、病院の物理学者がこの事件について AECL に相談しました。彼の計算によると、適用された線量は 15,000 から 20,000 ラド (放射線吸収線量) でしたが、彼女に投与されるべき量は 200 ラドでした。1000 ラドの線量は致命的になる可能性があります。1985 年 10 月、ケイティは病院と機械の製造元を訴えました。1985 年 11 月、AECL は訴訟について通知を受けました。1986 年 3 月、Therac-25 に関連する別の事件の後になって初めて、AECL は FDA に患者からの苦情を受けたことを通知しました。

放射線の過剰投与により、彼女は乳房を外科的に切除しなければならず、腕と肩は固定され、絶え間ない痛みに悩まされていた。治療時には治療のプリントアウト機能が作動しておらず、照射された放射線データの記録はなかった。訴訟は法廷外で和解し解決した。^[3]

1985 年 7 月 26 日、40 歳の患者が子宮頸がんの 24 回目の治療を受けていたとき、Therac-25 はクリニックで 6 か月間稼働していました。オペレーターは治療を開始しましたが、5 秒後に機械は停止し、「H 傾斜」というエラー メッセージ、治療一時停止の表示、放射線が照射されていないことを示す線量計が表示されました。オペレーターはPキー (続行: 継続) を押しました。機械は再び停止しました。オペレーターは機械が治療を停止するまでこのプロセスを 5 回繰り返しました。技術者が呼ばれましたが、問題は見つかりませんでした。この機械は、同じ日に他の 6 人の患者を治療するために使用されました。

患者は、その部位の灼熱感と腫れを訴え、7 月 30 日に入院しました。放射線過剰摂取の疑いがあり、装置は使用停止となりました。1985 年 11 月 3 日、患者は癌で死亡しましたが、検死結果では、その時に死亡していなかったとしても、放射線過剰摂取による損傷のため、股関節置換手術を受けなければならなかったであろうと記されていました。技術者は、患者が浴びた放射線量は 13,000 から 17,000 ラドと推定しました。

この事件はFDAとカナダ放射線防護局に報告された。

AECL は、ターンテーブルの位置を報告する 3 つのマイクロスイッチにエラーがあるのではないかと疑いました。AECL はマイクロスイッチの故障を再現することができず、マイクロスイッチのテストでは決定的な結果は得られませんでした。そこで、1 つの故障を許容するように方法を変更し、ターンテーブルが動いているか、治療位置にあるかをチェックするようにソフトウェアを修正しました。

その後、AECLは、この改良により安全性が5桁向上したと主張した。^[3]

1985 年 12 月、ある女性がTherac-25 ユニットによる治療を受けた後、平行帯状の紅斑を発症しました。病院のスタッフは 1986 年 1 月 31 日にこの事件について AECL に手紙を送りました。AECL は 2 ページにわたって回答し、Therac-25 で放射線の過剰投与が起こり得ない理由を詳しく説明し、機械の故障とオペレーターのミスはどちらもあり得ないと述べました。

6ヵ月後、患者は組織壊死により皮膚の下に慢性潰瘍を発症した。彼女は手術を受け、皮膚移植を受けた。患者は軽度の後遺症を抱えながら生活を続けていた。^[3]

この病院は 2 年間にわたり、Therac-25 で 500 人以上の患者を治療しましたが、何の問題もありませんでした。1986 年 3 月 21 日、背中の腫瘍の 9 回目の治療のために患者が来院しました。治療は 22 MeV の電子を 10 x 17 cm の領域に 180 rad の線量を照射し、6 週間で 6000 rad の放射線を蓄積するように設定されました。

熟練したオペレータはセッション データを入力し、治療の種類として「電子ビーム」の「e」ではなく「X 線」の「x」と入力したことに気付きました。カーソルで上に移動して「x」を「e」に変更し、残りのパラメータは正しかったため、コマンド ボックスまで押し下げました。すべてのパラメータが「検証済み」とマークされ、「放射線準備完了」というメッセージが表示されました。彼女はキー (「ビームオン」) を押しました。マシンは停止し、「誤動作 54」(エラー 54) というメッセージが表示されました。また、「治療一時停止」も表示されました。マニュアルには、「誤動作 54」メッセージは「線量入力 2」エラーであると記載されていました。技術者は後に、「線量入力 2」は照射された放射線が高すぎるか低すぎることを意味すると証言しました。 ↵ EnterB

放射線モニター（線量計）は、202 単位を要求したにもかかわらず、6 単位の供給を示しました。オペレーターは（続行：続行）を押しました。機械は再び停止し、「故障 54」（エラー 54）というメッセージが表示され、線量計は必要な単位数よりも少ない単位を供給したことを示しました。その日は、放射線室の監視カメラはオフラインで、インターホンは壊れていました。 P

初回の照射で、患者は電気ショックを感じ、機械からパチパチという音が聞こえた。9回目の治療だったので、異常だと気づいた。助けを求めるためにテーブルから立ち上がろうとした。その時、技師が治療を続けるように圧力をかけた。患者は腕に電気ショックを感じ、まるで手がもぎ取られたかのようだった。患者はドアに手を伸ばし、技師がドアを開けるまでドアを叩き続けた。すぐに医師が現場に呼ばれ、その部位に激しい紅斑が見られたことから、単なる感電ではないかと疑い、患者を帰宅させた。病院の物理士が機械を点検したところ、正しい仕様に調整されていたため、その日は一日中治療を続けた。技師たちは、患者が¹平方センチメートルの面積に1秒未満で16,500～25,000ラドという大量の放射線を浴びたことに気付いていなかった。機械のパチパチという音は電離箱の飽和によって発生したもので、その結果、照射された放射線量が非常に低かったことが示されました。 P

その後数週間、患者は左腕の麻痺、吐き気、嘔吐を経験し、放射線誘発性脊髄炎で入院することとなった。脚、横隔膜中部、声帯が麻痺した。また、単純ヘルペス皮膚感染症も再発した。過剰摂取から5か月後に死亡した。

事故の翌日からAECLの技術者が機械を点検したが、エラー54を再現することはできなかった。彼らは機械の接地をチェックし、感電が原因ではないことを確認した。機械は1986年4月7日に再び稼働した。^[3]

1986 年 4 月 11 日、ある患者が顔面の皮膚がんの電子治療を受けることになっていた。処方箋は 7 x 10 cm の領域に 10 MeV だった。オペレーターは 3 週間前の 3 月の事故のオペレーターと同じだった。治療データをすべて入力した後、彼女はモードを X から E に変更する必要があることに気づいた。彼女はそれを実行し、コマンド ボックスに移動するために を押した。「ビーム準備完了」と表示されたので、彼女は(続行 : 続行) を押した。機械が大きな音を発し、インターホンを通してそれが聞こえた。エラー 54 が表示されていた。オペレーターが部屋に入ると、患者は顔に焼けるような感覚があると述べた。患者は 3 週間弱後の 1986 年 5 月 1 日に死亡した。検死の結果、右側頭葉と脳幹に重度の放射線障害が見られた。 ↵ EnterP

病院の物理士は機械による治療を中止し、AECL に通報した。大変な作業の末、物理士とオペレーターはエラー 54 メッセージを再現することができた。彼らは、データ入力の編集速度がエラー 54 発生の重要な要因であると判断した。何度も練習を重ねた結果、彼はエラー 54 を自由に再現することができた。AECL は、エラーを再現することができず、物理士の指示に従ってデータ入力を非常に迅速に行った後にのみエラーが再現できたと述べた。^[3]

1987 年 1 月 17 日、患者は 4 ラドと 3 ラドの 2 回のフィルム検証照射と 79 ラドの光子照射による合計 86 ラドの照射を受ける予定でした。フィルムは患者の下に置き、22 cm × 18 cm の開口部から 4 ラドを照射しました。機械は停止し、開口部は 35 cm × 35 cm に開かれ、3 ラドの線量が投与されました。機械は停止しました。オペレーターはフィルム プレートを取り外し、患者の位置を調整するために部屋に入りました。彼は室内のハンド コントロールを使用してターンテーブルを調整しました。彼はフィルム プレートを忘れて部屋を出ました。制御室で、「ビーム準備完了」メッセージを確認した後、彼はビームを発射するキーを押していました。5 秒後、機械は停止し、すぐに消えたメッセージが表示されました。機械は一時停止していたため、オペレーターは(続行: 続行) を押しました。機械は停止し、理由として「平坦性」が表示されました。オペレーターはインターホンで患者の声が聞こえたが、理解できず、部屋に入った。患者は胸に激しい灼熱感を感じていた。画面には 7 ラドしか照射されていないことが示されていた。数時間後、患者の皮膚に火傷がみられた。4 日後、その部分の赤みには、前年の事故で生じたものと同様の縞模様が見られ、その原因は不明であった。AECL は調査を開始したが、この事象を再現することはできなかった。 BP

病院の物理学者は、フィルムプレートを使って、事故を再現できるかテストを行った。このテストでは、ターンテーブルをフィールドライト位置にして、2つのX線パラメータを測定した。このフィルムは、事故の際に誤って患者の下に置き忘れられたフィルムと一致しているようだった。患者は、規定の86ラドではなく、8,000～10,000ラドの放射線を浴びていたことが判明した。患者は1987年4月に放射線過剰摂取による合併症で死亡した。遺族は訴訟を起こしたが、法廷外で和解した。^[3]

委員会は、特定のコーディングエラーを指摘するのではなく、ソフトウェアの設計と開発の慣行全般が不十分だったことが主な原因であるとしました。特に、ソフトウェアは厳密な自動化された方法でテストすることが現実的に不可能なように設計されていました。^{: Safeware、[48]  [追加の引用が必要]}

事故を調査した研究者は、いくつかの原因を発見しました。その中には、次のような制度上の原因が含まれていました。

• AECL はソフトウェア コードを独自にレビューせず、オペレーティング システムを含む社内コードに依存することを選択しました。
• AECL は、マシンがどのようにして望ましい結果を生み出すか、どのような障害モードが存在するかを評価する際にソフトウェアの設計を考慮せず、純粋にハードウェアに焦点を当て、ソフトウェアにはバグがないと主張しました。
• 機械操作員はAECL職員から過剰摂取はあり得ないと安心させられたため、多くの事故の原因としてTherac-25を否定した。^{[2] : 428}
• AECL は、Therac-25 が病院で組み立てられるまで、ソフトウェアとハ​​ードウェアの組み合わせで Therac-25 をテストしたことがありませんでした。

研究者らは、いくつかの技術的な問題も発見しました。

• いくつかのエラー メッセージには、単に「MALFUNCTION」という単語と、それに続く 1 から 64 までの数字が表示されていました。ユーザー マニュアルには、エラー コードの説明や対処法すら記載されておらず、これらのエラーが患者の安全に脅威を与える可能性があることも示されていませんでした。
• システムは、機械を停止させて再起動を必要とするエラーと、機械を一時停止するだけのエラー（キーを押すことで同じ設定で操作を続行できる）を区別していました。しかし、患者を危険にさらすエラーの中には、機械を一時停止するだけのものもあり、軽微なエラーが頻繁に発生したため、操作者は習慣的に機械を一時停止解除することに慣れてしまいました。
  • 1 つの障害は、 PDP-11コンピューターを制御するVT100端末で特定のキー入力シーケンスが入力されたときに発生しました。オペレーターが「X」を押して (誤って) 25 MeV 光子モードを選択し、「カーソルアップ」を使用して入力を「E」に編集して (正しく) 25 MeV 電子モードを選択し、「Enter」を押すと、最初のキー入力から 8 秒以内に、このマシンの熟練したユーザーの能力の範囲内で、編集は処理されず、過剰投与が行われる可能性があります。これらの編集は起動に 8 秒かかるため気づかれず、デフォルトの設定で実行されます。^[6]
• この設計には、ターゲットが配置されていない状態で電子ビームが高エネルギーモードで動作することを防ぐためのハードウェアインターロックがありませんでした。
• エンジニアは、ソフトウェアの欠陥を隠すハードウェアインターロックを使用した Therac-6 および Therac-20 のソフトウェアを再利用していました。これらのハードウェア安全装置は、作動したことを報告する方法がなかったため、既存のエラーが見過ごされていました。
• ハードウェアでは、ソフトウェアがセンサーが正しく動作しているかどうかを確認する方法がありませんでした。テーブル位置システムが Therac-25 の故障に最初に関係していたため、メーカーは冗長スイッチを追加してシステムを改良し、動作を相互チェックしました。
• ソフトウェアは、フラグ変数を固定のゼロ以外の値に設定するのではなく、増分して設定しました。場合によっては算術オーバーフローが発生し、フラグがゼロに戻り、ソフトウェアが安全性チェックをバイパスすることがありました。

レベソン氏は、この事件から得られる教訓は、再利用されたソフトウェアが安全であると想定しないことだと指摘している。^[9]「ソフトウェアを再利用したり、市販の既製ソフトウェアを使用したりすると、ソフトウェアが広範囲に使用されているため安全性が向上するという単純な想定がしばしばなされる。ソフトウェアモジュールを再利用しても、それが移行される新しいシステムの安全性が保証されるわけではない...」^[6] Therac-25に関連するような事件に対応して、医療機器ソフトウェアの開発ライフサイクル標準と、起源が不明なソフトウェアの使用に関する具体的なガイダンスを導入するIEC 62304規格が作成された。^[10]

• 1962年メキシコシティ放射線事故
• 1990年サラゴサクリニックの放射線治療事故
• シウダー・フアレスのコバルト60汚染事件
• コンピュータ倫理
• ゴイアニアの事故
• 高い信頼性を誇るソフトウェア
• IEC62304 規格
• 電離放射線
• 民間放射線事故一覧
• 孤立ソースインシデントのリスト
• 原子力および放射線の事故および事件
• 放射線防護
• 放射性スクラップ金属
• サムットプラーカーン放射線事故
• ソフトウェアのバグ一覧

• Gallagher, Troy. THERAC-25: コンピュータ化された放射線治療。2007-12-12 にオリジナルからアーカイブ。(Therac-25 事故の簡単な概要)