Учебный курс МАГАТЭ Moдуль 2 3 Проблемы с

Учебный курс МАГАТЭ Moдуль 2. 3: Проблемы с программным обеспечением ускорителя (США и Канада) IAEA International Atomic Energy Agency

Bведение • В середине 1970 ых - AECL разработал новую концепцию двойного прохода для ускорителя электронов • Требовалось меньше места для получения аналогичных энергий • Линейный ускоритель с двойным режимом • Более компактный и удобный, чем предшественник Therac-20 • Therac 25 использовал преимущества компьютера для контроля и слежения за механическими действиями IAEA Фотография от William Van de Riet Предотвращение ошибок в лучевой терапии 2

Bведение IAEA От Aldrich 1985 (верхняя) и O’Brien 1985 (нижняя) Предотвращение ошибок в лучевой терапии 3

Фотонная и электронная головки аппарата Cканирующий магнит Мониторная камера Мишень Первичный коллиматор Сглаживающий фильтр Мониторная камера Защита Диафрагма Триммеры IAEA От O’Brien 1985 Предотвращение ошибок в лучевой терапии 4

Карусель с фильтрами Позиционирующий стержень Активация выключателя Выключатель Зеркало светового поля Мишень Сканирующий магнит электронного пучка IAEA Сглаживающий фильтр Предотвращение ошибок в лучевой терапии 5

Сканирующий электронный пучок Электронный импульс Высокие энергии электронов IAEA Путь сканирования Низкие энергии электронов От O’Brien 1985 Предотвращение ошибок в лучевой терапии 6

Что произошло? IAEA Предотвращение ошибок в лучевой терапии 7

1 событие – Mариетта 1 IAEA Предотвращение ошибок в лучевой терапии 8

1 - Мариетта, июнь 1985 г. • Прошло 6 месяцев с момента начала использования нового аппарата • Пациентка с раком молочной железы облучалась пучком электронов с энергией 10 Мэ. В. После окончания фракции пациентка закричала «Вы зажарили меня!» • Рентгенлаборант, потрогав облучаемую область, обнаружил, что та была тёплой на ощупь Иллюстрация лечения грудной клетки пучком электронов IAEA Предотвращение ошибок в лучевой терапии (Nucletron) 9

1 - Мариетта, июнь 1985 г. • Проинформировали физика • Он связался с AECL и запросил о возможности аппарата выдавать электронный пучок без сканирования • 3 днями позже пришёл ответ AECL – невозможно! • Рапорта несоответствия не было составлено (тогда не требовался) IAEA Предотвращение ошибок в лучевой терапии 10

1 - Мариетта, июнь 1985 г. • Плечо пациентки покраснело и распухло • Онколог посчитал это за: • Осложнения, связанные с прогрессированием болезни, или • Нормальные побочные реакции во время лучевой терапии • Две недели спустя физик заметил: • • Покраснения на выходе пучка Кожа стала слезать Плечо не двигалось У пациентки появились сильные боли IAEA Предотвращение ошибок в лучевой терапии 11

1 - Мариетта, июнь 1985 г. • Ни сотрудники ни AECL не верили в то, что виной случившегося может быть ускоритель • Эта авария была не распознана или не рапортирована • Производитель: • Не задокументировал проблему • Не рассказал о случившемся другим пользователям или FDA • Не принял мер • Функция распечатки была отключена и поэтому записи лечения нет в наличии IAEA Предотвращение ошибок в лучевой терапии 12

2 случай - Гамильтон IAEA Предотвращение ошибок в лучевой терапии 13

2 - Гамильтон, июль 1985 г. • Спустя 6 месяцев с начала использования нового аппарата • Лечение пациентки с раком шейки матки • На 24 ой фракции появляется сообщение HTilt error и лечение прерывается • Показание дозиметрической системы • Дозы нет • Лечение остановлено IAEA • Оператор нажимает кнопку “P” чтобы продолжить процесс • Программное обеспечение позволяло сделать это пять раз • Оператор уже видел сообщения об ошибках, которые не причиняли вреда пациентам • Сбой аппарата показывал лишь код, без какого-либо описания его в руководстве Предотвращение ошибок в лучевой терапии 14

2 - Гамильтон, июль 1985 г. • Позвали инженера • Он не нашёл никаких неисправностей у ускорителя • После лечения пациентка пожаловалась: • Жжение в бедре • Почувствовала боль «как будто удар электрическим током» • Тремя днями позже: по-прежнему жжёт, боль в бедре и сильный отёк IAEA Предотвращение ошибок в лучевой терапии 15

2 - Гамильтон, июль 1985 г. • Ускоритель изьяли из клинической эксплуатации подозрение на переоблучение • Проинформировали AECL, которая послала своего инженера • Оповестили местные власти IAEA Предотвращение ошибок в лучевой терапии 16

2 - Гамильтон, июль 1985 г. • Действия AECL • Сбой невозможно повторить • Подозрение пало на выключатели, указывающие • • положение карусели Это подтвердили, временно деактивировав выключатели. Программное обеспечение могло интерпретировать неправильные положения карусели таким образом Было выпущено обновлённое программное обеспечение В заключительном рапорте, ”…не можем выявить точную причину аварии, можем только заподозрить…” Было заявлено, что безопасность улучшена на 5 порядков! IAEA Предотвращение ошибок в лучевой терапии 17

2 - Гамильтон, июль 1985 г. • Фирма послала сообщение для пользователей • Проверьте положение карусели • Не продолжайте лечение, если появится сообщение об ошибке H-tilt и неверной дозе • Однако не было упоминаний о пострадавшей пациентке • Предложение на съезде пользователей добавить механический интерлок было проигнорировано фирмой • Пациентка умерла вследствии своей болезни в ноябре 1985 г. • Вскрытие показало: • Серьёзное лучевое повреждение • Необходимость замены тазобедренного сустава IAEA Предотвращение ошибок в лучевой терапии 18

3 случай - Якима IAEA Предотвращение ошибок в лучевой терапии 19

3 – Якима, декабрь 1985 г. • Согласно заявлениям производителя • • ускоритель был обновлён в сентябре 1985 г. После лечения тормозным излучением у пациентки возникло покраснение кожи Параллельные красные полосы на бедре Реакцию приняли за нормальную при дистанционном облучении После завершения лечения в январе/феврале кожную реакцию посчитали ненормальной и начали расследование IAEA Предотвращение ошибок в лучевой терапии 20

3 – Якима, декабрь 1985 г. • Источник полосатого рисунка? • Прорези в держателе для блоков • Прорези и рисунок на коже не совпадали • Реакция химиотерапии была исключена • У полей с других углов отсутствовал рисунок • Пациентка спала с грелкой • После рентгенографии: положение нагревательных проводов в грелке не соответствовало рисунку на коже IAEA Иллюстрация держателя для блоков Предотвращение ошибок в лучевой терапии 21

3 – Якима, декабрь 1985 г. • AECL ответило на это: ”…по нашему мнению это повреждение не могло быть вызвано сбоем Therac-25 или ошибкой оператора. ” • На следующих двух страницах: ”…нам не известны случаи подобного повреждения у других пацинтов. ” • Кожные реакции были классифицированы как ”Причина неизвестна” IAEA Предотвращение ошибок в лучевой терапии 22

3 – Якима, декабрь 1985 г. • Сотрудники не знали, что это был третий случай • Производитель заявил, что никаких происшествий не было • Фирма должна была знать о трёх подозрительных происшествиях IAEA Предотвращение ошибок в лучевой терапии 23

4 случай - Тайлер IAEA Предотвращение ошибок в лучевой терапии 24

4 – Тайлер, март 1986 г. • Ускоритель находится в эксплуатации два года, пролечено >500 пациентов • Пациент получал 9 ую фракцию по 1. 8 Гр на спину • 22 Mэ. В электроны IAEA Предотвращение ошибок в лучевой терапии 25

4 – Тайлер, март 1986 г. • Оператор хорошо знала пульт управления и • • поэтому набирала быстро и точно Она заметила, что выбрала “X” для тормозного излучения вместо “E” для электронного Она подняла курсор, чтобы исправить ошибку Она нажала несколько раз кнопку «возврат» , чтобы пройти остальные заполненные поля и нажала “B” для включения пучка Через мгновение появилась надпись «Ошибка 54» и лечение прекратилось IAEA Предотвращение ошибок в лучевой терапии 26

Экран Therac-25 Тип излучения Команда Р (продолжить) или В (включить пучок) IAEA Предотвращение ошибок в лучевой терапии 27

4 – Тайлер, март 1986 г. • Согласно документации, это была ошибка «ввода дозы 2» • Только 6 мониторных единиц из 202 было доставлено и оператор нажала “P”, чтобы продолжить лечение • Ускоритель выключился снова IAEA Предотвращение ошибок в лучевой терапии 28

4 – Тайлер, март 1986 г. • В этот день система аудио и видео связи с больным была выключена в связи со сбоем • Оператор не знала, что происходит в процедурной • Пациент “встал со стола и стучал в дверь, чтобы его выпустили” • Оператор быстро открыла дверь IAEA Предотвращение ошибок в лучевой терапии 29

4 – Тайлер, март 1986 г. • Пациента облучили второй раз, когда он пытался встать со стола • Пациента облучили дважды и его ощущения были следующими: • 1 ое облучение • Удар электрическим током или как кто-то «вылил ему горячий кофе на спину» • Слышал звенящий звук ускорителя (не нормально) • 2 ое облучение • Руку ударило электрическими током • «Рука оторвалась от тела» IAEA Предотвращение ошибок в лучевой терапии 30

4 – Тайлер, март 1986 г. • Онколог, осматривающий пациента, заключил: • Интенсивное покраснение кожи - результат удара электрическим током • Расследование медицинского физика привело к заключению: • Ничего необычного в работе ускорителя не найдено • Калибровка в порядке IAEA Иллюстрация калибровки Предотвращение ошибок в лучевой терапии 31

4 – Тайлер, март 1986 г. • Никто не понял ошибки и лечение продолжилось • Позвали обслуживающих инженеров производителя, которые приехали на следующий день • Тестируя ускоритель весь день, они не нашли проблем • Заявлено “не было случая переоблучения этим оборудованием” IAEA Предотвращение ошибок в лучевой терапии 32

4 – Тайлер, март 1986 г. • Ответ AECL • Заключили, что это был электрический ток • Однако фирма должна была знать о трёх подозрительных происшествиях • Внешний консультант проверил заземление аппарата и оно было в порядке • После проверки калибровки ускоритель снова запустили в эксплуатацию в апреле IAEA Предотвращение ошибок в лучевой терапии 33

5 событие - Tайлер IAEA Предотвращение ошибок в лучевой терапии 34

5 – Тайлер, апрель 1986 г. • Второй случай произошёл в той же больнице тремя неделями позже • Пациенту облучали голову пучком электронов 10 Мэ. В • Этот же оператор, эта же X-на. E замена на клавиатуре • После включения пучка послышился громкий шум через переговорное устройство IAEA Иллюстрация лечения головы шеи Предотвращение ошибок в лучевой терапии 35

5 – Тайлер, апрель 1986 г. • «Ошибка 54» появилась на экране и ускоритель выключился • Оператор зашла в комнату, на столе стонал пациент IAEA Иллюстрация лечения головы шеи Предотвращение ошибок в лучевой терапии 36

5 – Тайлер, апрель 1986 г. • Пациент пожаловался на чувство жжения на его щеке • Оператор незамедлительно позвала физика • Пациент описал событие как «какой-то удар по лицу» , вспышка света и звук «жарящихся яйц» … IAEA Предотвращение ошибок в лучевой терапии 37

5 – Тайлер, апрель 1986 г. • Тремя неделями позже пациент скончался в дезориентации, которая привела к коме, высокой температуре, неврологическим повреждениям, итд. • Вскрытие показало обширное лучевое повреждение ствола мозга и височной доли IAEA Предотвращение ошибок в лучевой терапии 38

5 – Тайлер, апрель 1986 г. • Физик приостановил лечение на этом ускорителе • Он связался с производителем и сообщил о второй проблеме • Физик с оператором провели собственное расследование • После нескольких попыток они смогли воспроизвести последовательность событий • Они заключили, что скорость, с которой вводятся команды, является основным фактором • Измерения, сделанные физиком, показали • Камера ускорителя насыщалась • Доза была более 40 Гр IAEA Предотвращение ошибок в лучевой терапии 39

5 – Тайлер, апрель 1986 г. • Производитель не мог воспроизвести проблему до тех пор пока физик не сказал, что переключать команды нужно быстро • Двумя днями позже AECL выпустила рапорт • Доза может достигать 250 Гр • Звук «жарящихся яиц» есть не что иное как электрический разряд в ионизационной камере IAEA Предотвращение ошибок в лучевой терапии 40

Расследование в Тайлере • Ошибка случилась из-за дизайна программного обеспечения • Подпрограмма следила за вводом данных, включая тип, энергию, параметры коллиматора, итд. • Когда все параметры были введены и курсор возвращался в низ в командную строку, появлялся флажок IAEA Предотвращение ошибок в лучевой терапии 41

Расследование в Тайлере • Если после установки флажка, означающего, что все параметры введены, изменить параметр и быстро вернуться на командную строку, то подпрограмма не заметит этого изменения • Другая подпрограмма контролирует положение карусели взависимости от типа выбранного излучения • Оператор корректировала тип излучения “X” на “E”, вызывая поворот карусели, но без надлежащей коррекции тока электронов или сканирующих магнитов IAEA Предотвращение ошибок в лучевой терапии 42

Дополнительная информация • Сотрудник AECL впоследствие заявил • Проблема с курсором случалась ранее (Мариетта) в 1985 г. • Другая проблема с курсором случилась летом 1985 г. в неназванном месте (Гамильтон? ) • Это нужно было устранить • Нет никакой связи между этими ошибками и событиями в Тайлере! • Программное обеспечение Therac 20 было рассмотрено пользователем • После печатных ошибок (когда студенты использовали ускоритель) сгорало множество предохранителей! • Существовала такая же проблема X/E, но механический интерлок не давал возможности включить пучок IAEA Предотвращение ошибок в лучевой терапии 43

Почему пациент получал высокую дозу? • Высокий ток пучка для фотонов ~ 100 -1000 x • Нет сканирования пучка → используется выравнивающий фильтр • Очень высокий энергетический поток электронов • Измерения, сделанные физиком в Тайлере, изначально показали дозы ~8 Гр • Рекомбинация ионов/разряды/насыщение в ионизационной камере вносили большую ошибку, и новая оценка дозы показала ~40 Гр • Производитель определил дозу в 250 Гр • Доза колебалась от больницы к больнице в зависимости от настройки ускорителя (число радиационных импульсов в течение первых 3 сек. ) IAEA Предотвращение ошибок в лучевой терапии 44

Действия властей и производителя • Действие FDA после рапорта из Техаского Отделения Здоровья (Tайлер) • Ускоритель Therac-25 дефектный • Компания должна оповестить всех покупателей, расследовать проблему и предоставить план её исправления (FDA должно утвердить) • AECL проинформировало пользователей о временном решении проблемы • Нельзя использовать клавишу «вверх» • Она должна быть удалена с клавиатуры и контакты замотаны • Они не упоминали, в чём заключается риск! • FDA не утвердило этот план • AECL предоставило переделанный План Действий (CAP), который был утверждён FDA IAEA Предотвращение ошибок в лучевой терапии 45

6 событие - Якима IAEA Предотвращение ошибок в лучевой терапии 46

6 – Якима, январь 1987 г. • Пациенту собирались сделать портальный фильм 4 и 3 MЕ плюс 79 MЕ для лечения Лечебное поле 18 x 22 cm 2 с 4 + 79 MЕ IAEA Открытое поле 35 x 35 cm 2 Для ориентации с 3 MЕ Предотвращение ошибок в лучевой терапии 47

6 – Якима, январь 1987 г. • Первые 4 MЕ были сделаны с лечебным полем • Коллиматор открылся автоматически и было произведено второе облучение с 3 MЕ • Оператор зашёл в комнату, чтобы проверить положение пациента • Он проверил положение центра пучка по меткам на коже, включив световое поле (карусель повернулась) IAEA Предотвращение ошибок в лучевой терапии 48

6 – Якима, январь 1987 г. • Оператор приготовил аппарат к началу • • лечения, • вышел из процедурной и • по случайности забыл фильм под пациентом Пучок был включен нажатием клавиши “B” На экране не появилось сообщение о дозе или мощности дозы После 5 -6 сек. ускоритель выключился и показал быстро исчезнувшее сообщение об ошибке Оператор нажал “P” чтобы продолжить IAEA Предотвращение ошибок в лучевой терапии 49

6 – Якима, январь 1987 г. • Аппарат запустился, но тут же остановился с сообщением о проблеме плоскости поля • Оператор услышал как пациент говорит что-то и зашёл в комнату • Пациент почувствовал жжение в груди IAEA Предотвращение ошибок в лучевой терапии 50

6 – Якима, январь 1987 г. • На пульте управления было 7 MЕ (два облучения для фильма) • Позже у пациента появились покраснения кожи в поле лечения • Четыре дня спустя область стала полосатой (похожее на предыдущую проблему в Якиме) IAEA Предотвращение ошибок в лучевой терапии 51

6 – Якима, январь 1987 г. • Ответ AECL • Все тесты показывают полное соответствие • Все пользователи были предупреждены о необходимости проверки карусели визуально • Заподозрили, что вместо выравнивающего фильтра на оси пучка находилось зеркало • Фильм пациента подтвердил это IAEA Предотвращение ошибок в лучевой терапии 52

6 – Якима, январь 1987 г. • Было высчитано, что доза 40 - 50 Гр могла быть подведена за одно облучение, т. е. до 100 Гр в случае конкретного пациента вместо 0. 86 Гр (2 облучения для фильма + лечение) • Согласно AECL коррекции, сделанные (но ещё не внедрённые) для предотвращения таких аварий, как в Тайлере, предотвратили бы и эту IAEA Предотвращение ошибок в лучевой терапии 53

Последствия переоблучения 1 Молочная железа была удалена, полная обездвижимость плеча и руки, постоянная боль 2 Пациента сильно обожгло, умер в ноябре 1985 г. 3 Некроз ткани, хронические язвы и боль в области облучения, несколько пересадок кожи. Пациент по-прежнему жив (на 1995 г. ) 4 Боль в шее и плечах, переодически тошнота и рвота, лучевой миелит шейного отдела спинного мозга, парализована левая рука и обе ноги, левая голосовая связка и левая диафрагма. Умер спустя пять месяцев от осложненний 5 Пациент умер спустя месяц 6 Пациент умер в течении нескольких недель от рака, но переоблучение возможно сократило его жизнь IAEA Предотвращение ошибок в лучевой терапии 54

Характеристики аварий • Три случая связаны с вращением карусели перед лечением (подтверждены) • Ускоритель выключался вскоре после включения пучка и выдавал код ошибки на консоле • Шифрованные коды не указывали на серьёзность ошибки и не были поняты операторами • В нескольких случаях оператор повторил облучение один или несколько раз • После лечения пациенты жаловались на жжение, иногда с ощущением удара током • В каждом случае пациенты получили дозы от 40 до 250 Гр за очень короткое время (1 -3 секунды) IAEA Предотвращение ошибок в лучевой терапии 55

Перечень причин аварийного облучения • Программное обеспечение производителя • Ранние модели работали по другому и ПО не совсем подходило • В новой модели безопасность полностью полагалась на ПО, в • • • то время как у старой модели были механические и электрические интерлоки Безопасность новой системы не была оценена как единая система: поскольку ПО существовало уже годы, то была протестирована только механика У производителя не было механизмов по расследованию аварий и информированию пользователей После первой аварии производитель отказался поверить в то, что причиной этому послужило оборудование FDA не было оповещено, так же как и другие пользователи Производитель утверждал, что эта машина безопасна IAEA Предотвращение ошибок в лучевой терапии 56

Февраль 1987 г. • FDA • …попросила компанию AECL немедленно оповестить и порекомендовать не использовать аппарат для лечения пациентов… • Канадское правительство • …AECL порекомендовать всем пользователем в Канаде не использовать аппарат Therac-25 … • AECL в июле • Оповестило всех пользователей, что FDA подтвердило их последний исправительный протокол CAP (около 30 различных изменений) IAEA Предотвращение ошибок в лучевой терапии 57

IAEA Тайлер Якима Дек. 1985 г. Якима Посьба FDA AECL план действий Maр. 1986 г. Aпр. 1986 г. Maриетта Гамильтон Июнь 1985 г. События во времени Предотвращение ошибок в лучевой терапии 58 Янв. 1987 г. Фев. 1987 г. Июль 1987 г.

Уроки: Отделение лучевой терапии • Слушай, наблюдай, информируй и переодически просматривай реакции пациентов • Расследуй все отчёты о ненормальной работе • Включи в программу Обеспечения Качества: • Процедуры рапортирования необычных событий • Не принимай на веру заявления производителя • Ответственность всегда лежит на больнице IAEA Предотвращение ошибок в лучевой терапии 59

Уроки: Советы консультантов по компьютерам • Документация с начала • Используй установленную практику создания программного обеспечения • Простой дизайн • Встроенное ПО для сбора ошибок и аудита • Тщательное тестирование ПО и формальный анализ на всех уровнях • Перепроверяйте использующееся ПО! • В вопросах безопасности не полагайтесь только на ПО • Используйте повторные проверки • Обращайте тщательное внимание на человеческий фактор • Вовлекайте пользователей всех уровнях IAEA Предотвращение ошибок в лучевой терапии 60

Продолжение • 11 аппаратов были оснащены оборудованием безопасности, требуемой FDA, и остались в эксплуатации. • Больше не было зарегистрированных аварий с использованием этих машин • После снятия с производства Therac-25, FDA приняло ряд поправок, связанных с распространением информации и с утверждением оборудования. • С 1990 г. , по закону больницы обязаны докладывать о происшествиях как производителю, так и FDA. IAEA Снимок Larry Watts Предотвращение ошибок в лучевой терапии 61

Ссылки • O’Brien et al. Radiation protection aspects of a new high-energy linear accelerator. Med Phys 101 -107 (1985) • Aldrich et al. Characteristics of the photon beam from a new 25 MV linear accelerator. Med Phys 619 -624 (1985) • O’Brien et al. Characteristics of electron beams from a new 25 Me. V linear accelerator. Med Phys 799 -805 (1985) • Leveson N G, Turner C S. An investigation of the Therac-25 accidents. IEEE Computer 26: 18 -41 (1993) IAEA Предотвращение ошибок в лучевой терапии 62