ENSAYO

Lectura: The Therac-25

Por: APARI BACILIO, Edson Diego

INTRODUCCIN
Los accidentes mdicos de los cuales se tiene conocimiento tienen sus causas
en muchos factores, en el siguiente caso se da a conocer uno no muy conocido
hasta ese entonces: el software.
Los aceleradores lineales mdicos crean rayos con los que se pueden tratar
tumores. El Therac-25 es una mquina de radioterapia controlada por un
ordenador, que entre 1985 y 1987 gener 6 accidentes de sobredosis entre los
cuales 3 terminaron en muertes. Debido a que la mquina era producida por la
Atomic Energy of Canada Limited (AECL) se tuvo mucho inters en conocer las
causas del accidente para ello se recurri a los documentos de fabricacin as
como los controles de gestin y calidad que por alguna razn no estaban
disponibles. La Food and Drug Administration (FDA), es un organismo que regula
estos dispositivos, que finalmente brind materiales para la investigacin de este
caso.

DESARROLLO
La AECL y una empresa de Francia llamada CGR en 1970 producen los
aceleradores lineales: Therac-6 y Therac-20 que sirvieron de base para la
construccin del Therac-25 cuyas caractersticas ms resaltantes adems de
emitir 25 MeV de fotones son su baja economa para producirla, versatilidad y su
gran facilidad de ser usada. En cuanto a seguridad el Therac-20 posee circuitos
de proteccin ms familiarizados con el hardware en cambio el Therac-25 se
basa ms en el software para estas funciones, por ello al fabricar el Therac-25
se decidi no duplicar todos los mecanismos y dispositivos de seguridad de
hardware existentes.
Las partes del Therac-25 cumplen una funcin importante para el anlisis de los
accidentes, como el posicionamiento del plato giratorio, cuyo giro determina el
modo en la que se producir el haz, para el Therac-25 existen 2 modos: el modo
de fotones que requiere poca energa y el modo de electrones teraputicas
donde se necesitan 100 veces ms energa que la anterior. El peligro de este
modo dual radica en que si el plato giratorio no est en la posicin correcta el
acoplador de haz tampoco lo estar y por tanto podra producir una salida a un
lugar no previsto. El interfaz del operador permite el ingreso de la identificacin
del paciente, la prescripcin del tratamiento, el campo de tamao, etc. El sistema
compara los valores ingresados de forma manual con los consignados en la

consola, si coinciden se muestra un mensaje de verificacin y se procede con el

tratamiento sino no se permite el tratamiento hasta corregir los valores, adems
la interfaz mostraba mensajes cuando ocurra algn error en ese caso el sistema
poda cerrar de dos maneras: por un tratamiento de suspender que requera un
restablecimiento completo para reiniciar o una pausa de tratamiento donde se
reinicia la maquina con el pulso de una tecla. Estos mensajes de error eran
crpticos de manera que solo mostraban MALFUNCTION seguido de algn
nmero, inicialmente el manual de usuario no indicaba alguna explicacin acerca
de estos cdigos.

CASOS
En total fueron 11 los Terac-25 que se instalaron, seis accidentes ocurrieron
entre 1985 y 1987.
Kennestone Centro Oncolgico Regional, junio 1985.- Este caso nunca fue
investigado, nunca se admiti que la lesin fue causada por el Therac-25. Una
mujer de 61 aos de edad sufri una quemadura durante una intervencin de
radiacin en la clavcula, aunque en ese momento no haba marcas en la zona
tratada se poda sentir el calor al contacto. La paciente inform sobre esto al
operador pero solo recibi la respuesta de que eso era imposible, al regresar a
su casa not que su hombro se congel. Ella fue admitida en otro hospital pero
sus onclogos continuaron envindola a Kennestone para sus tratamientos con
el Therac-25, dos semanas despus dado las reacciones en la zona afectada
era obvio que tena una quemadura por radiacin pero el hospital y los mdicos
no podan proporcionar alguna explicacin satisfactoria. Ms tarde se concluy
que la mujer recibi una dosis de radiacin entre 15.000 a 20.000 rad cuando
solo la dosis de 1.000 es fatal si se aplica a todo el cuerpo. En conclusin este
accidente no se inform a la FDA por lo que Contralora General de la Oficina de
Contabilidad del Gobierno (GAO) manifest su preocupacin estableciendo
como requisito que ante cualquier incidencia se informe al FDA.
Fundacin Ontario Cncer, julio 1985.- Despus de 7 semanas de ocurrido el
accidente en Kennestone ocurri otro en la Fundacin del Cncer en Ontario,
una paciente de 40 aos de edad, lleg a la clnica para su vigsimo cuarto
tratamiento contra el carcinoma del cuello uterino, el operador activa la mquina
pero el Therac se apaga mostrando un mensaje de error HTILT y una
TREATMENT PAUSE, puesto que la maquina no se apag y la pantalla muestra
que no se aplic ninguna dosis el operador presiona una tecla y procede con el
tratamiento, la maquina vuelve a pagarse y el operador realiza la misma accin
4 veces y en la quinta se suspende la mquina, se llama al tcnico pero este no
encuentra nada inusual. Despus del tratamiento la paciente se quejaba de
sensaciones de ardor, dolor y excesiva hinchazn en la regin del tratamiento.
Finalmente la paciente muri en Noviembre de 1985, de un cncer virulento, la
autopsia revel que la causa fue el cncer pero se indic que si no hubiera
muerto un reemplazo total de cadera habra sido necesario dado la excesiva
exposicin de radiacin (habra recibido entre 13.000 y 17.000 rad). De este caso
se sospecha que fue por un error transitorio en el microinterruptor utilizado para

determinar la posicin de la placa giratoria, se solicit a AECL la instalacin de

un sistema independiente (potencimetro) para verificar la posicin de la placa
giratoria sin embargo AECL no lo cumpli, finalmente la clnica decidi instalar
una ellos mismos en su mquina.
Memorial Hospital Valle de Yakima, diciembre 1985.- Como en anteriores
casos aqu tampoco se identific el problema hasta despus que se entendieron
los accidentes posteriores. Una mujer tratada con el Therac-25 desarrollo un
eritema en forma de rayas paralela en la cadera derecha. Se sospech que la
mquina es la causante de tal eritema as que se analizaron las bandejas de
bloqueo de la mquina pero al no coincidir con las lesiones estas fueron
descartadas, tambin se analizaron las almohadillas en las cuales se haba
acostado la mujer pero finalmente tambin fueron descartadas. Sobre este caso
se consult al soporte tcnico de AECL y ste manifest que el dao no poda
ser causado por el malfuncionamiento del Therac-25 o por cualquier error del
operador ya que se haban instalado dispositivos de hardware y software de
seguridad adicionales para el acelerador debido a los accidentes ya registrados
en meses anteriores. El personal del hospital investig y encontr ciertas
reacciones en la piel del paciente que despus fueron intervenidos
quirrgicamente, el paciente est vivo hoy con una discapacidad menor y
algunas cicatrices.
Centro de Cncer del Este de Texas, marzo 1986.- Ms de 500 pacientes
haban sido tratados con el Therac-25 en este lugar por 2 aos antes de que se
registre el primer accidente. Un paciente varn acudi para su noveno
tratamiento con el Therac-25 contra la extirpacin de un tumor en su espalda.
El paciente realiza las acciones normales para el tratamiento como colocarse
boca abajo sobre la mesa, etc. El operador quien ya dominaba la mquina por
su trabajo desde hace algn tiempo, podra ingresar los datos de prescripcin
rpidamente despus se dio cuenta que ingres mal un dato en vez de colocar
e (modo electrones) haba ingresado x (modo rayos x), los arregl solo con pulsar
una tecla, como todos los dems datos eran correctos procedi con el
tratamiento pero la consola mostr un mensaje MALFUNCTION 54 y la maquina
paus el tratamiento con TREATMENT PAUSE, indicando un problema de baja
prioridad. El operador aislado trat de advertir de esta situacin al paciente pero
el monitor y audio no estaban en funcionamiento en ese momento. Despus de
ello el paciente dijo que se senta como si hubiera recibido una descarga elctrica
o que alguien haba derramado caf caliente en su espalda. Fue examinado por
un mdico quien observ un intenso enrojecimiento de la zona tratada, fue
enviado a casa con instrucciones de regresar si sospechaba que sufri alguna
reaccin adicional. Durante las semanas siguientes al accidente, el paciente
sufri muchas complicaciones en el cuello y hombro, perdi la funcin del brazo,
se le paralizaron ambas piernas, perdi el habla. Muri de complicaciones de la
sobredosis cinco meses despus del accidente.
Centro de Cncer del Este de Texas, abril 1986.- Tres semanas despus, un
paciente fue programado para recibir un tratamiento de electrones para un
cncer de piel en el lado de su cara. El mismo operador del caso anterior que ya

tena experiencia y digitaba los comandos con gran rapidez prepar a este
paciente y como la vez pasada se dio cuenta del error de modo X en vez de e,
una vez ms cambi esto con un botn. Inmediatamente volvi a aparecer el
mensaje MALFUCTION 54, el operador precipitado por los gritos del paciente
procedi a retirarlo de la zona de tratamiento. Se dirigi al fsico del hospital e
informo que otro paciente haba sido quemado, cuando ste pregunt al paciente
por lo sucedido respondi que algo haba golpeado su cara, vio un destello de
luz y oy un sonido que le recordaba a frer huevos. Este paciente muri de una
sobredosis el 1 de mayo de 1986 tres semanas despus del accidente. Dado
que era el segundo accidente en ese hospital se hicieron investigaciones a la
maquina despus de quitarla de funcionamiento, se logr reproducir el mensaje
MALFUNCTION 54 y se concluy que la causa fue la velocidad de entrada de
datos, si los datos de prescripcin son editados de forma rpida se produce la
sobredosis (cuando se da este error la salida es de aproximadamente 25.000
rads). Podemos concluir que centrarnos en errores especficos del software no
es la manera de hacer un sistema seguro, el software complejo debe
comportarse de una manera inesperada en algunas condiciones.
Memorial Hospital Valle de Yakima, enero 1987.- El segundo paciente del da
fue al hospital para ser tratado de un carcinoma. El tratamiento se realizaba con
normalidad cuando la maquina se detuvo, el operador entr a la sala de
tratamiento para comprobar la posicin del paciente, aline la maquina con el
paciente de forma manual y sali de la habitacin, presion la tecla se ejecucin
pero en la consola no apareca ningn tipo de dosis, despus de un tiempo el
sistema se paus y el operador fue capaz de continuar con el tratamiento
pulsando una tecla. La mquina se detuvo de nuevo y el operador al escuchar al
paciente decir algo por el intercomunicador entr a la habitacin y este le inform
sobre sentir una sensacin de ardor en el pecho. Horas ms tarde el paciente
desarrollo una quemadura de la piel en toda la zona de tratamiento. AELC inici
una investigacin y despus de una semana de comprobar el hardware se lleg
a la conclusin de que el incorrecto funcionamiento de la maquina
probablemente no fue causado por el hardware por s solo. Finalmente el
paciente falleci en abril debido a complicaciones relacionadas con la
sobredosis.

FACTORES CAUSALES
Muchas lecciones se pueden aprender de estos accidentes: El exceso de
confianza en el software, parece que los profesionales estn convencidos de que
el software nunca puede fallar lo que conduce a la complacencia y la excesiva
dependencia de las funciones del ordenador. Tambin se suele confundir
confiabilidad con seguridad, en este caso el software fue altamente confiable
dado que funcion miles de veces antes de producir una sobredosis, las
conductas errneas eras pocas y distantes entre s.
El software no contena caractersticas de deteccin de errores, las reacciones
de los pacientes fueron las nicas indicaciones reales de la gravedad de los
problemas. El Therac-25 minti a los operadores ya que no era capaz de detectar

que haba ocurrido una sobredosis masiva. Pero tambin el error que contribuy
a que ocurran ms accidentes se da cuando se cree que la causa del accidente
est determinado por completo y sin pruebas para llegar a esta conclusin. Es
decir los accidentes son poco probable que ocurran exactamente de la misma
manera una y otra vez, si eliminamos solo los sntomas e ignoramos las causas
ms profundas es muy probable que ocurran ms accidentes.
Tambin hay errores por parte de los fabricantes que contribuyeron al desarrollo
de accidentes: como especificar y documentar el software a ltimo momento, el
control de calidad de software debe ser muy riguroso y respetando ciertas
normas, al momento de hacer el diseo se tiene que evitar la codificacin
peligrosa, la forma de detectar errores debe ser diseada en el software. Otro
error que se comete a menudo es creer que la reutilizacin del software
aumentar la seguridad, la seguridad es una cualidad del sistema en el que se
utiliza el software; no es una cualidad del propio software.