Problemas con Software del Acelerador (página 3)

Más informacion El personal de AECL testificó más tarde que: Se había presentado con anterioridad un problema con el cursor (Marietta) en 1985 Había ocurrido otro problema con el cursor en un sitio no mencionado, en el verano de 1985 (¿Hamilton?) Estos problemas debieron haberse resuelto ¡No había relación entre estos errores y el incidente en Tyler! Revisión del software en un sitio con Therac 20 por un usuario: Los errores de tecleado (cuando los estudiantes usaban el acelerador) ¡provocan que se fundan varios fusibles! Existe el mismo problema al editar X/E pero el candado de seguridad de hardware prohíbe iniciar el haz

¿Porqué la dosis alta al paciente? Corriente del haz alta para fotones ~ 100-1000 x Sin rastreo del haz ? filtro de aplanado Fluencia de electrones extremadamente alta Las mediciones del físico en Tyler reportaron inicialmente dosis de sólo ~8 Gy La saturación en la cámara de ionizaciónintrodujo un error significativo. Al volver aevaluar la dosis se encontró que era ~40Gy recombinación de iones / descargas / El fabricante determinó que la dosis era de 250 Gy La dosis varía de un sitio a otro debido a la afinación del acelerador (número de pulsos de radiación en los primeros 3 segundos)

Respuesta de las autoridades y el vendedor Respuesta de la FDA – posterior al reporte del Departamento de Salud de Texas (Tyler) El acelerador Therac-25 es defectuoso Se le ordenó a la compañía informar a todos los compradores, investigar el problema y presentar un plan correctivo (a aprobar por la FDA) AECL informó a los usuarios de un arreglo temporal para permitir la continuación de los tratamientos La tecla de flecha hacia arriba no debía utilizarse más Debía retirarse del teclado para evitar su uso y poner cinta adhesiva en los contactores. ¡No mencionaron cuál era el peligro! La FDA no aprobó esta modificación AECL presentó un Plan de Acción Correctiva (PAC) que fue aprobado por FDA

6 – Yakima, Enero 1987 Se iba a tomar una placa de verificación a un paciente con 4 y 3 UM, más un tratamiento de 79 UM Campo abierto 35 × 35 cm2 para orientación, con 3 UM Campo de tratamiento 18 × 22 cm2 con 4 + 79 UM

6 – Yakima, Enero 1987 Primero se dieron las 4 UM al campo de tratamiento El colimador abrió automáticamente y se dio la segunda exposición con 3 UM El operador entró al cuarto a verificar la posición del paciente Verificó la posición del haz con respecto a las marcas en la piel prendiendo la luz de campo (el carrousel rotó)

6 – Yakima, Enero 1987 El operador dio “reset” a la máquina para dar el tratamiento Salió del cuarto y Accidentalmente olvidó la película debajo del paciente Inició el haz presionando la tecla “B” La pantalla no mostró dosis ni tasa de dosis Luego de 5-6 s la unidad se apagó con un mensaje que desapareció rápidamente La máquina se puso en pausa, y el operador presionó “P” para continuar

6 – Yakima, Enero 1987 La máquina inició nuevamente, pero la exposición terminó con un mensaje de aplanado El operador pudo oír al paciente decir algo y entró al recinto de irradiación El paciente había tenido una sensación de quemadura en el pecho

6 – Yakima, Enero 1987 La consola mostró 7 UM (las dos exposiciones a la película) Más tarde el mismo día el paciente desarrolló una quemadura en la piel en el área del tratamiento Cuatro días después la lesión tenía rayas (semejantes a las del problema previo en Yakima)

6 – Yakima, Enero 1987 Respuesta de AECL Todas las pruebas indicaron un funcionamiento perfecto Todos los usuarios fueron informados de que debían chequear visualmente la posición del carrusel Se sospechó que la fuente de luz estaba en posición en vez del filtro de fotones Se comparó la película del paciente con las pruebas, lo que confirmó la posición errónea

6 – Yakima, Enero 1987 Se concluyó que pudo haberse dado una dosis de 40 a 50 Gy por irradiación, esto es, hasta 100 Gy a este paciente específico, en vez de 0.86 Gy (2 películas + tratamiento) Según AECL las correcciones – que aún no se implementaban – que resultaron de los accidentes en Tyler hubieran prevenido esto

Consecuencias de las sobredosis

Características de los accidentes Tres casos involucraron una rotación del carrusel antes del tratamiento (confirmado) El acelerador falló poco después del comando de activación del haz (“beam on”), reportando un código de error de funcionamiento en la consola Los códigos eran crípticos y el operador no reconocía que estaban indicando un error serio En varios casos el operador repitió la exposición una o más veces Después del tratamiento, los pacientes se quejaron de sensaciones de a veces acompañada de una descarga eléctrica En cada caso los pacientes recibieron dosis entre 40 y 250 Gy en una exposición muy breve (1-3 segundos)

Resumen de las causas de la exposición accidental El fabricante recicló su software El modelo anterior funcionaba algo diferente, por lo que el software no era adecuado del todo El modelo más nuevo se basaba completamente en el software en cuanto a seguridad, mientras que el modelo anterior tenía candados de seguridad mecánicos y eléctricos La seguridad del sistema nuevo no se había evaluado como una sola entidad, sólo se había evaluado el hardware porque el software había estado en uso por años… El fabricante no tenía un mecanismo para la investigación y reporte de accidentes Después del primer accidente el fabricante se rehusó a creer que se había tratado de una falla del equipo La FDA no fue notificada ni tampoco otros usuarios El fabricante mantuvo su opinión de que esta máquina era segura

Febrero, 1987 La FDA – solicita a AECL que notifique inmediatamente a todos los compradores y recomienda que se suspenda el uso del equipo en pacientes para tratamiento rutinario de radioterapia Gobierno canadiense – solicita a AECL que recomiende a todos los usuarios en Canada suspender la operación del Therac-25 AECL Julio – Informó a todos los usuarios que la FDA había aprobado su PAC más reciente (alrededor de 30 puntos diferentes)

Línea temporal de los eventos (Gp:) Junio 1985 (Gp:) Marietta (Gp:) Ene. 1987 (Gp:) Yakima (Gp:) Junio 1985 (Gp:) Hamilton (Gp:) Dic. 1985 (Gp:) Yakima (Gp:) Mar. 1986 (Gp:) Tyler (Gp:) Abr. 1986 (Gp:) Tyler (Gp:) Feb. 1987 (Gp:) Petición de FDA (Gp:) Jul 1987 (Gp:) Plan de acción de AECL

Deben ser tenidos en cuenta por el Departamento de Radioterapia Escuche, observe, reporte, y de seguimiento a las reacciones del paciente Investigue todos los reportes de operación anormal Incluya en el programa de garantía de calidad: La revisión de los procedimientos de reporte de eventos No acepte la respuesta del fabricante Siempre es una responsabilidad del propio sitio

Lecciones sugeridas por expertos en computación Guía de documentación desde el principio Utilice prácticas de ingeniería de software bien establecidas Mantenga el diseño simple Coloque recursos de rastreo que permitan auditoría y bitácora de errores de software Evaluación extensa del software y análisis formal a todos los niveles Revalida del software reciclado No confíe la seguridad sólo al software Incorpore redundancia Ponga especial atención al factor humano e involucre a los usuarios en todas las etapas

Conclusiones Las 11 máquinas fueron reinstaladoscon los dispositivos de seguridadque requirió la FDA y permanecieronen servicio. No se reportaron más accidentes enestas máquinas. Luego de las muertes por el Therac-25 la FDA hizo varios cambios a sus políticas en un intento por señalar las interrupciones en la comunicación y aprobación de productos En 1990, se instauró una ley que requiere que se reporten los incidentes tanto al fabricante como a la FDA en Estados Unidos (Gp:) Imagen proporcionada por Larry Watts