14/8/2017 An Investigation of Therac-25 Accidents - I

Una Investigación de los Accidentes Therac-25

Nancy Leveson, Universidad de Washington
Clark S. Turner, Universidad de California, Irvine

Reimpreso con permiso, IEEE Computer , Vol. 26, Nº 7, julio de 1993, págs. 18-41.

Las computadoras son cada vez más introducidas en sistemas críticos para la seguridad y, como consecuencia,
han estado involucradas en accidentes. Algunos de los accidentes relacionados con el software más citados en
los sistemas críticos de seguridad involucraban una máquina de radioterapia computarizada llamada Therac-25.
Entre junio de 1985 y enero de 1987, seis accidentes conocidos implicaron sobredosis masivas por el Therac-25
- con muertes resultantes y lesiones graves. Se han descrito como la peor serie de accidentes de radiación en los
35 años de historia de los aceleradores médicos. [1]

Con la información de este artículo tomada de documentos disponibles públicamente, presentamos una detallada
investigación de accidentes de los factores involucrados en las sobredosis y los intentos de los usuarios,
fabricantes y los gobiernos de Estados Unidos y Canadá de tratarlos. Nuestro objetivo es ayudar a otros a
aprender de esta experiencia, no criticar al fabricante del equipo ni a nadie más. Los errores que se hicieron no
son únicos para este fabricante, pero son, desgraciadamente, bastante comunes en otros sistemas críticos para la
seguridad. Como Frank Houston de la Administración de Alimentos y Medicamentos de los Estados Unidos
(FDA) dijo: "Una cantidad significativa de software para sistemas vitales proviene de pequeñas empresas,
especialmente en la industria de dispositivos médicos, empresas que se ajustan al perfil de aquellos resistentes o
no informados de Los principios de la seguridad del sistema o la ingeniería de software. "[2]

Además, estos problemas no se limitan a la industria médica. Todavía es una creencia común que cualquier buen
ingeniero puede construir el software, independientemente de si él o ella está entrenado en el estado de la técnica
de ingeniería de software de procedimientos. Muchas compañías que crean software crítico para la seguridad no
están usando procedimientos apropiados desde una perspectiva de ingeniería de software y seguridad.

La mayoría de los accidentes son accidentes del sistema; Es decir, provienen de interacciones complejas entre
varios componentes y actividades. Atribuir una sola causa a un accidente suele ser un grave error. En este
artículo esperamos demostrar la naturaleza compleja de los accidentes y la necesidad de investigar todos los
aspectos del desarrollo y operación del sistema para entender lo que ha ocurrido y prevenir futuros accidentes.

A pesar de lo que se puede aprender de tales investigaciones, los temores de responsabilidad potencial o la
pérdida de los negocios hacen que sea difícil averiguar los detalles detrás de graves errores de ingeniería.
Cuando el equipo está regulado por agencias gubernamentales, puede haber alguna información disponible.
Ocasionalmente, los accidentes graves llaman la atención del Congreso o del Presidente de Estados Unidos y
dan como resultado investigaciones formales de accidentes (por ejemplo, la investigación de la comisión Rogers
del accidente de Challenger y la investigación de la comisión Kemeny sobre el incidente de Three Mile Island).

Los accidentes del Therac-25 son los accidentes informáticos más graves hasta la fecha (al menos no militares y
admitidos) e incluso han llamado la atención de la prensa popular. (Historias sobre el Therac-25 han aparecido
en revistas especializadas, periódicos, People Magazine y en la televisión 20/20 y McNeil / Lehrer News Hour).
Desafortunadamente, las cuentas anteriores de los problemas del Therac-25 han sido simplificadas, con
omisiones engañosas .

En un esfuerzo por remediar esto, hemos obtenido información de una amplia variedad de fuentes, incluyendo
demandas judiciales y los organismos gubernamentales estadounidenses y canadienses encargados de regular
dichos equipos. Hemos tratado de tener mucho cuidado de presentar sólo lo que podríamos documentar de
fuentes originales, pero no hay garantía de que la documentación en sí es correcta. Cuando fue posible,
buscamos múltiples fuentes de confirmación para los hechos más importantes.

http://courses.cs.vt.edu/professionalism/Therac_25/Therac_1.html 1/7
14/8/2017 An Investigation of Therac-25 Accidents - I

Hemos tratado de no sesgar nuestra descripción de los accidentes, pero es difícil no filtrar involuntariamente lo
que se describe. Además, no pudimos investigar de primera mano o obtener información sobre algunos aspectos
de los accidentes que pueden ser muy relevantes. Por ejemplo, no se disponía de información detallada sobre el
desarrollo, la gestión y el control de calidad del fabricante. Tuvimos que inferir la mayoría de la información
sobre éstos de declaraciones en correspondencia u otras fuentes.

Como resultado, nuestro análisis de los accidentes puede omitir algunos factores. Sin embargo, los hechos
disponibles apoyan hipótesis anteriores sobre el desarrollo y uso adecuados de software para controlar procesos
peligrosos y sugieren hipótesis que necesitan una evaluación más profunda. Siguiendo nuestra descripción de los
accidentes y las respuestas del fabricante, las agencias gubernamentales y los usuarios, presentamos lo que
creemos son las lecciones más convincentes que se aprenden en el contexto de la ingeniería de software, la
ingeniería de seguridad y las normas y supervisión del gobierno y los usuarios.

Génesis del Therac-25

Los aceleradores lineales médicos (linacs) aceleran los electrones para crear haces de alta energía que pueden
destruir tumores con un impacto mínimo en el tejido sano circundante. Tejido sano relativamente bajo. El tejido
relativamente poco profundo se trata con los electrones acelerados; Para llegar a un tejido más profundo, el haz
de electrones se convierte en fotones de rayos X.

Atomic Energy Commission Limited (EACL) y una empresa francesa llamada CGR colaboraron en la
construcción de aceleradores lineales. AECL Medical, una división de EACL, se encuentra en proceso de
privatización y ahora se denomina Theratronics Los productos de la cooperación de EACL y CGR fueron (1) el
Therac-6, un acelerador de 6 millones de electrones voltios (MeV) capaz de producir sólo rayos X y , Más
adelante, (2) el Therac-20, un acelerador de modo dual de 20 MeV (rayos X o electrones). Ambos eran versiones
de máquinas CGR más antiguas, el Neptuno y Sagittaire, respectivamente,

La funcionalidad del software estaba limitada en ambas máquinas: La computadora simplemente agregaba
comodidad al hardware existente, que era capaz de permanecer solo. Se mantuvieron las características de
seguridad de hardware estándar de la industria y los enclavamientos en las máquinas subyacentes. Sabemos que
algunas viejas rutinas de software Therac-6 se usaron en el Therac-20 y que CGR desarrolló el software inicial.

La relación comercial entre EACL y CGR vaciló después del esfuerzo Therac-20. Citando las presiones
competitivas, las dos compañías no renovaron su acuerdo de cooperación cuando se programó en 1981. A
mediados de los años setenta, EACL desarrolló un nuevo concepto radical de "doble paso" para la aceleración de
electrones. Un acelerador de doble paso necesita mucho menos espacio para desarrollar niveles de energía
comparables porque dobla el mecanismo físico largo requerido para acelerar los electrones, y es más económico
producir (ya que utiliza un magnetrón en lugar de un klystron como fuente de energía).

Usando este concepto de doble paso, AECL diseñó el Therac-25, un acelerador lineal dual-mode que puede
entregar fotones a 25 MeV o electrones a varios niveles de energía (ver Figura 1. Instalación típica Therac-25 ).
En comparación con el Therac-20, el Therac-25 es notablemente más compacto, más versátil y, posiblemente,
más fácil de usar. La energía más alta aprovecha el fenómeno de la "dosis en profundidad": a medida que la
energía aumenta, la profundidad en el cuerpo a la que se produce la acumulación máxima de dosis también
aumenta, ahorrando el tejido por encima del área objetivo. Las ventajas económicas también entran en juego
para el cliente, ya que sólo se requiere una máquina para ambas modalidades de tratamiento (electrones y
fotones).

Varias características del Therac-25 son importantes en la comprensión de los accidentes. Primero, como el
Therac-6 y el Therac-20, el Therac-25 es controlado por un PDP 11. Sin embargo, AECL diseñó el Therac-25
para aprovechar el control de la computadora desde el principio; EACL no construyó en una máquina
independiente. El Therac-6 y Therac-20 habían sido diseñados alrededor de máquinas que ya tenían historias de
uso clínico sin control por computadora.

http://courses.cs.vt.edu/professionalism/Therac_25/Therac_1.html 2/7
14/8/2017 An Investigation of Therac-25 Accidents - I

Además, el software Therac-25 tiene más responsabilidad para mantener la seguridad que el software de las
máquinas anteriores. El Therac-20 cuenta con circuitos de protección independientes para el monitoreo de
barrido de haz de electrones, además de enclavamientos mecánicos para vigilar la máquina y asegurar un
funcionamiento seguro. El Therac-25 se basa más en el software para estas funciones. EACL aprovechó las
habilidades de la computadora para controlar y monitorear el hardware y decidió no duplicar todos los
mecanismos existentes de seguridad de hardware y enclavamientos. Este enfoque se está volviendo más común a
medida que las empresas deciden que los enclavamientos de hardware y las copias de seguridad no valen la pena
el gasto, o ponen más fe (quizás extraviada) en el software que en la fiabilidad del hardware.

Finalmente, un cierto software para las máquinas fue interrelacionado o reutilizado. En una carta dirigida a un
usuario de Therac-25, el gerente de aseguramiento de calidad de EACL dijo: "El software Therac-25 utilizó el
mismo paquete de Therac-6 cuando iniciaron el software Therac-25. Los programas Therac-20 y Therac-25 Se
hicieron independientemente, partiendo de una base común ". La reutilización de las características o módulos
de diseño de Therac-6 puede explicar algunos de los aspectos problemáticos del software Therac-25 (ver la barra
lateral "Desarrollo y diseño de software Therac-25"). Al parecer, el gerente de aseguramiento de la calidad
desconocía que algunas rutinas del Therac-20 también se usaban en el Therac-25; Esto fue descubierto después
de que un error relacionado con uno de los accidentes de Therac-25 se encontró en el software Therac-20.

EACL produjo el primer prototipo cableado del Therac-25 en 1976, y la versión comercial totalmente
informatizada estaba disponible a finales de 1982. Side-Bar: Therac -25 Desarrollo y Diseño de Software )

En marzo de 1983, EACL realizó un análisis de seguridad en el Therac-25. Este análisis fue en forma de un
árbol de fallas y aparentemente excluyó el software. Según el informe final, el análisis hizo varias suposiciones:

(1) Los errores de programación se han reducido mediante extensas pruebas en un simulador de hardware y bajo
condiciones de campo en unidades de teleterapia. Los errores residuales de software no se incluyen en el
análisis.

(2) El software del programa no se degrada debido al desgaste, fatiga o proceso de reproducción.

(3) Los errores de ejecución del equipo son causados por componentes de hardware defectuosos y por errores
"suaves" (aleatorios) inducidos por partículas alfa y ruido electromagnético.

El árbol de fallas resultante de este análisis parece incluir el fallo de la computadora, aunque aparentemente, a
juzgar por estas suposiciones, sólo considera fallas de hardware. Por ejemplo, en una puerta OR que conduce al
evento de obtener la energía equivocada, una caja contiene "La computadora selecciona la energía errónea" y se
asigna una probabilidad de 10 ^ 11 a este evento. Para "La computadora selecciona el modo incorrecto," se da
una probabilidad de 4 x 10 ^ 9. El informe no justifica ninguno de los dos números.

Side-Bar: Línea de tiempo del evento principal

Historia de accidentes
Se instalaron once Therac-25: cinco en Estados Unidos y seis en Canadá. Se produjeron seis accidentes con
sobredosis masiva entre los pacientes entre 1985 y 1987. La máquina fue retirada en 1987 para cambios de
diseño extensos, incluyendo salvaguardas de hardware contra errores de software.

Se encontraron problemas relacionados con el software Therac-20. Estos no fueron reconocidos hasta después de
los accidentes de Therac-25 porque el Therac-20 incluyó enclavamientos de seguridad de hardware y por lo
tanto no resultaron heridos.

En esta sección presentamos un relato cromológico de los accidentes y las respuestas del fabricante, agencias
reguladoras gubernamentales y usuarios.

http://courses.cs.vt.edu/professionalism/Therac_25/Therac_1.html 3/7
14/8/2017 An Investigation of Therac-25 Accidents - I

Kennestone Regional Oncology Centre, 1985. Los detalles de este accidente en Marietta, Georgia, son escasos
ya que nunca fue cuidadosamente investigado. No se admitió que la lesión fue causada por el Therac-25 hasta
mucho después de la ocurrencia, a pesar de las afirmaciones de la paciente de que había resultado herida durante
el tratamiento, las quemaduras por radiación obvias y severas que sufrió el paciente y las sospechas del físico de
radiación involucrado.

Después de someterse a una tumorectomía para extirpar un tumor maligno de mama, una mujer de 61 años
recibió tratamiento de radioterapia de seguimiento a ganglios linfáticos cercanos en un Therac-25 en la
instalación de Kennestone en Marietta. El Therac-25 había estado operando en Kennestone durante unos seis
meses; Otros Therac-25 habían estado operando, aparentemente sin incidentes, desde 1983.

El 3 de junio de 1985, el paciente fue establecido para un tratamiento con electrones de 10 MeV a la zona de la
clavícula. Cuando la máquina se encendió, sintió una "tremenda fuerza de calor ... esta sensación de calor".
Cuando el técnico entró, el paciente dijo: "Me quemaste". El técnico respondió que eso no era posible. Aunque
no había marcas en el paciente en ese momento, el área de tratamiento se sentía "cálido al tacto".

No está claro exactamente cuándo EACL se enteró de este incidente. Tim Still, el físico de Kennestone, dijo que
se puso en contacto con EACL para preguntar si el Therac-25 podría funcionar en modo electrónico sin escanear
para extender la viga. Tres días más tarde, los ingenieros de EACL llamaron al físico para explicar que no era
posible un escaneo inadecuado.

En una carta de 19 de agosto de 1986 de EACL a la FDA, el gerente de aseguramiento de calidad de EACL dijo:
"En marzo de 1986, EACL recibió una demanda del paciente involucrado ... Este incidente nunca fue reportado
a EACL antes de esta fecha, Aunque algunas cuestiones bastante extrañas habían sido planteadas por Tim Still,
el físico del hospital ". El físico de un hospital de Tyler, Texas, donde ocurrió un accidente más tarde, informó:
"Según Tim Still, la paciente presentó una demanda en octubre de 1985 en la que se enumeraba el hospital, el
fabricante y la organización de servicio responsable de la máquina. La demanda por el hospital, y EECL recibió
notificación oficial de una demanda en noviembre de 1985. "

Debido a la demanda (presentada el 13 de noviembre de 1985), algunos administradores de EACL deben haber
sabido sobre el accidente de Marietta - aunque ninguna investigación ocurrió en este momento. Otros
comentarios de los investigadores de la FDA señalan la falta de un mecanismo en EACL para el seguimiento de
los informes de sospecha de accidentes. La falta de seguimiento en este caso parece ser evidencia de tal
problema en la organización.

La paciente fue a casa, pero poco después desarrolló enrojecimiento e hinchazón en el centro del área de
tratamiento. Su dolor había aumentado hasta el punto de que su hombro "se congeló" y experimentó espasmos.
Fue admitida en el West Paces Ferry Hospital de Atlanta, pero sus oncólogos continuaron enviándola a
Kennestone para los tratamientos Therac-25. Se buscó explicación clínica para el enrojecimiento de la piel, que
al principio su oncólogo atribuyó a su enfermedad oa una reacción normal de tratamiento.

Alrededor de dos semanas más tarde, el físico de Kennestone notó que la paciente tenía un enrojecimiento en la
espalda como si una quemadura hubiera pasado por su cuerpo, y el área hinchada había empezado a
desprenderse de capas de piel. Su hombro estaba inmóvil, y aparentemente estaba en un gran dolor. Era obvio
que ella tenía una quemadura de la radiación, pero el hospital y sus doctores no podrían proporcionar ninguna
explicación satisfactoria. Poco después, ella inició una demanda contra el hospital y EACL con respecto a su
lesión.

El físico de Kennestone estimó más tarde que recibió una o dos dosis de radiación en el rango de 15.000 a
20.000 rad (dosis absorbida por radiación). No cree que su lesión podría haber sido causada por menos de 8.000
rads. Las dosis terapéuticas individuales típicas se encuentran en el intervalo de 200 rad. Las dosis de 1.000 rads
pueden ser fatales si se administran a todo el cuerpo; De hecho, la cifra aceptada para la radiación de todo el
cuerpo que causará la muerte en el 50 por ciento de los casos es de 500 rads. Las consecuencias de una
sobredosis en una parte más pequeña del cuerpo dependen de la radiosensibilidad del tejido. El director de

http://courses.cs.vt.edu/professionalism/Therac_25/Therac_1.html 4/7
14/8/2017 An Investigation of Therac-25 Accidents - I

radiación oncológica en la instalación de Kennestone explicó su confusión sobre el accidente como debido al
hecho de que nunca habían visto un sobre-tratamiento de esa magnitud antes.

Finalmente, el pecho del paciente tuvo que ser removido debido a las quemaduras por radiación. Perdió
completamente el uso de su hombro y su brazo, y estaba en constante dolor. Había sufrido una grave quemadura
por radiación, pero el fabricante y los operadores de la máquina se negaron a creer que pudiera haber sido
causado por el Therac-25. La característica de impresión de prescripción de tratamiento se desactivó en el
momento del accidente, por lo que no había copia impresa de los datos de tratamiento. La demanda fue
finalmente resuelta fuera de la corte.

Por lo que podemos determinar, el accidente no fue reportado a la FDA hasta después de los accidentes de Tyler
más tarde en 1986 (descrito en secciones posteriores). Los reglamentos de información sobre incidentes de
dispositivos médicos en ese momento sólo se aplicaban a los fabricantes e importadores de equipos, no a los
usuarios. La reglamentación exigía que los fabricantes e importadores informaran muertes, lesiones graves o mal
funcionamiento que pudieran resultar en esas consecuencias. Los profesionales de la salud y las instituciones no
estaban obligados a denunciar los incidentes a los fabricantes. La Contraloría General de la Oficina de
Contabilidad del Gobierno de los Estados Unidos, en testimonio ante el Congreso el 6 de noviembre de 1989,
Expresó gran preocupación por la viabilidad de los reglamentos de notificación de incidentes para prevenir o
detectar problemas de dispositivos médicos. Según un estudio de la GAO, la FDA sabe de menos del 1 por
ciento de las muertes, lesiones graves o mal funcionamiento del equipo que se producen en los hospitales. [3]

En este punto, los otros usuarios del Therac-25 no estaban informados de que se había producido ningún
problema y no se enteraron de ningún problema con la máquina hasta después de los accidentes subsiguientes.
Incluso entonces, la mayor parte de su información provenía de la comunicación personal entre ellos.

Ontario Cancer Foundation, 1985. El segundo de esta serie de accidentes ocurrió en esta clínica de Hamilton,
Ontario, Canadá, aproximadamente siete semanas después de que el paciente de Kennestone recibió una
sobredosis. En ese momento, el Therac-25 en la clínica de Hamilton había estado en uso durante más de seis
meses. El 26 de julio de 1985, una paciente de 40 años de edad acudió a la clínica para su 24º tratamiento
Therac-25 para el carcinoma del cuello uterino. El operador activó la máquina, pero Therac apagó después de
cinco segundos con un mensaje de error "H-tilt". La visualización del sistema de dosimetría de Therac lee "sin
dosis" e indica una "pausa de tratamiento".

Dado que la máquina no se suspendió y la pantalla de control indicó que no se suministraba dosis al paciente, el
operador prosiguió con un segundo intento de tratamiento presionando la tecla "P" (el comando proceder),
esperando que la máquina suministrara la dosis apropiada esta vez. Este era el procedimiento de operación
estándar y, como se describe en la barra lateral La interfaz del operador , los operadores Therac-25 se habían
acostumbrado a malfunciones frecuentes que no tenían consecuencias adversas para el paciente. Una vez más, la
máquina se apaga de la misma manera. El operador repitió este proceso cuatro veces después del intento original
- la pantalla mostrando "ninguna dosis" entregada al paciente cada vez. Después de la quinta pausa, la máquina
entró en suspensión de tratamiento, y se llamó a un técnico de servicio hospitalario. El técnico no encontró nada
malo en la máquina. Esto también no era un escenario inusual, según un operador Therac-25.

Después del tratamiento, la paciente se quejó de una sensación de ardor, descrita como un "choque eléctrico de
hormigueo" en el área de tratamiento en su cadera. Otros seis pacientes fueron tratados más tarde ese día sin
incidentes. El paciente regresó para tratamiento adicional el 29 de julio y se quejó de ardor, dolor de cadera y
hinchazón excesiva en la región de tratamiento. La máquina fue sacada de servicio, ya que se sospechó
sobreexposición de radiación. El paciente fue hospitalizado por la condición el 30 de julio. EACL fue informado
de la aparente lesión por radiación y envió un ingeniero de servicio para investigar. La FDA, la entonces Oficina
Canadiense de Protección contra las Radiaciones (CRPB), y los usuarios fueron informados de que había un
problema, aunque los usuarios afirman que nunca fueron informados de que se había producido una lesión del
paciente. (El 1 de abril de 1986,

El paciente murió el 3 de noviembre de 1985, de un cáncer extremadamente virulento. Una autopsia reveló la
causa de la muerte como el cáncer, pero se observó que si no hubiera muerto, habría sido necesario un reemplazo
http://courses.cs.vt.edu/professionalism/Therac_25/Therac_1.html 5/7
14/8/2017 An Investigation of Therac-25 Accidents - I

total de cadera como resultado de la sobreexposición de la radiación. Un técnico de EACL estimó más tarde que
el paciente había recibido entre 13.000 y 17.000 rads.

Respuesta del fabricante. EACL no pudo reproducir el mal funcionamiento que se había producido, pero
sospechaba un fallo transitorio en el microinterruptor utilizado para determinar la posición de la placa giratoria.
Durante la investigación del accidente, EACL cableó las condiciones de error que supusieron que eran
necesarias para el malfuncionamiento y, como resultado, encontró algunas debilidades de diseño y posibles
problemas mecánicos relacionados con el posicionamiento del plato giratorio.

El ordenador detecta y controla la posición del plato giratorio leyendo una señal de 3 bits sobre el estado de tres
microinterruptores en el conjunto del interruptor giratorio (vea la barra lateral Posición de la placa giratoria ).
Esencialmente, AECL determinó que un error de 1 bit en los códigos de microinterruptor (que podría ser
causado por un fallo de circuito abierto en las líneas de conmutación) podría producir un mensaje de posición
ambiguo para el ordenador. El problema fue exacerbado por el diseño del mecanismo que extiende un émbolo
para bloquear el plato giratorio cuando está en una de las tres posiciones cardinales: El émbolo podría extenderse
cuando el plato giratorio estaba fuera de posición, dando así una segunda indicación de falsa posición . EECL
ideó un método para indicar la posición de la plataforma giratoria que toleraba un error de 1 bit:

Además, EACL modificó el software para que la computadora compruebe el estado de "en tránsito" de los
interruptores para seguir la pista de la operación del interruptor y la posición del plato giratorio y para dar
seguridad adicional de que los interruptores estaban funcionando y el plato giraba.

Como resultado de estas mejoras, EACL afirmó en su informe y correspondencia con hospitales que "el análisis
de la tasa de riesgo de la nueva solución indica una mejora sobre el sistema antiguo en al menos cinco órdenes
de magnitud". Una afirmación de que la seguridad se había mejorado en cinco órdenes de magnitud parece
exagerada, especialmente teniendo en cuenta que en su informe final de incidentes a la FDA, EACL concluyó
que "no puede ser firme en la causa exacta del accidente, pero sólo puede sospechar ..." Esto pone de relieve la
incapacidad de la empresa para determinar la causa del accidente con certeza. El gerente de aseguramiento de
calidad de EACL declaró que EACL no podía reproducir el mal funcionamiento del conmutador y que la prueba
del microinterruptor era "inconclusa".

Gobierno y respuesta de los usuarios. El accidente de Hamilton resultó en un retiro voluntario por parte de
EACL, y la FDA lo llamó un retiro Clase II. Clase II significa "una situación en la que el uso o la exposición a
un producto violatorio puede causar consecuencias adversas temporales o médicamente reversibles para la salud
o donde la probabilidad de consecuencias adversas graves para la salud es remota". Cuatro usuarios en los
EE.UU. fueron aconsejados por una carta de EACL el 1 de agosto de 1985, para comprobar visualmente la
cámara de ionización para asegurarse de que estaba en su posición correcta en la apertura del colimador antes de
cualquier tratamiento y para suspender el tratamiento si tienen una H- Inclinación con una dosis incorrecta
indicada. La carta no mencionaba que se trataba de una lesión del paciente. La FDA auditó las modificaciones
posteriores de EACL. Después de las modificaciones,

Como resultado del accidente de Hamilton, el jefe de sistemas avanzados de rayos X en el CRPB, Gordon
Symonds, escribió un informe que analizaba el diseño y las características de rendimiento del Therac-25 con
respecto a la seguridad de la radiación. Además de citar el microinterruptor defectuoso, el informe criticó tanto
el hardware como los componentes de software del diseño de Therac. Concluyó con una lista de cuatro
modificaciones al Therac-25 necesarias para el cumplimiento mínimo de la Ley de Dispositivos Emisores de
Radiación (RED) de Canadá. La ley RED, promulgada en 1971, otorga a los funcionarios gubernamentales el
poder de garantizar la seguridad de los dispositivos emisores de radiación.

Las modificaciones recomendadas en el informe de Symonds incluyeron rediseñar el microinterruptor y cambiar

la forma en que la computadora manejaba las condiciones de funcionamiento defectuoso. En particular, el
tratamiento debía finalizarse en el caso de un mal funcionamiento de la tasa de dosis, dando un tratamiento
"suspendido". Esto habría eliminado la opción de proceder simplemente pulsando la tecla "P". El informe
también hizo recomendaciones sobre los procedimientos de prueba de colimador y los formatos de mensajes y
comandos. Una carta del 8 de noviembre de 1985 firmada por el director del CRPB, Ernest Létourneau, pidió
http://courses.cs.vt.edu/professionalism/Therac_25/Therac_1.html 6/7
14/8/2017 An Investigation of Therac-25 Accidents - I

que EACL hiciera cambios en el Therac-25 basado en el informe Symonds "para estar en cumplimiento con la
Ley RED".

Aunque, como se mencionó anteriormente, EACL hizo los cambios de microinterruptor, no cumplió con la
directiva para cambiar el comportamiento de pausa por falla en el tratamiento suspende, en lugar de reducir el
número máximo de reintentos de cinco a tres. Según Symonds, las deficiencias esbozadas en la carta del CRPB
del 8 de noviembre todavía estaban pendientes cuando accidentes posteriores cinco meses más tarde cambiaron
las prioridades. Si estos accidentes posteriores no hubieran ocurrido, EACL habría sido obligada a cumplir con
los requisitos en la carta.

Inmediatamente después del accidente de Hamilton, la Ontario Cancer Foundation contrató a un consultor
independiente para investigar. Concluyó en un informe de septiembre de 1985 que se necesitaba un sistema
independiente (junto al ordenador) para verificar la posición de la placa giratoria y sugirió el uso de un
potenciómetro. El CRPB escribió una carta a EACL en noviembre de 1985 solicitando que EACL instalara un
bloqueador de posicionamiento de colimador superior independiente en el Therac-25. Además, en enero de
1986, EACL recibió una carta del abogado que representaba a la clínica de Hamilton. La carta decía que había
problemas continuos con la plataforma giratoria, incluyendo cuatro incidentes en Hamilton, y pidió la
instalación de un sistema independiente (potenciómetro) para verificar la posición de la plataforma giratoria.
EACL no cumplió: No se instaló ningún interbloqueo independiente en el Therac-25 en este momento.

siguiente

http://courses.cs.vt.edu/professionalism/Therac_25/Therac_1.html 7/7