Článek
Psal se 21. březen roku 1986, když se Voyne Ray Cox chystal na deváté sezení radioterapie ve specializovaném centru v americkém Texasu. Dobře věděl, jak tato sezení probíhají. Potom, co mu lékaři odstranili nádor v oblasti zad, se pro něj tento zákrok stal již určitou rutinou. Položil se jako obvykle na ozařovací stůl a čekal.
Operátorka, která měla ozařování na starosti, disponovala dlouholetými zkušenostmi. Přestože si nemocnice pořídila nový stroj s názvem Therac-25, dokázala rychle zadat všechna potřebná data a stisknout tlačítko pro zahájení zákroku. V tu chvíli se však něco pokazilo. Na ovládací konzoli se objevilo oznámení o chybě, které říkalo, že dávka záření byla příliš nízká. To, že se stroj zastavil v průběhu zákroku, se nestalo poprvé. Operátorka tedy postupovala jako obvykle a stiskla tlačítko pro pokračování. Protože v ten den nefungovaly kamery a mikrofon, které běžně pacienta kontrolovaly, nemohla vědět, co se ve vedlejší místnosti právě stalo.
Větší dávka než u jednotky z Černobylu
Cox si uvědomil, že něco není v pořádku, hned jak ozařování začalo. Z přístroje se ozval podivný praskot a pacient ucítil ránu jako po zasažení elektrickým proudem. Hned se začal zvedat a chtěl dojít pro pomoc. V tu chvíli však operátorka stiskla tlačítko pro pokračování. Cox později popsal, že měl pocit, jakoby mu elektrický šok oddělil ruku od těla. Běžel rychle ke dveřím a začal na ně bušit.
Lékaři pacienta vyšetřili, ale všimli si pouze začervenání, které opravdu naznačovalo zásah elektrickým proudem. Nechápali však, jak se to mohlo stát. Poslali tedy Coxe domů s tím, aby se ozval, kdyby se objevily nějaké problémy. Nikdo v tu dobu nevěděl, že místo původní dávky 1,8 Gy na plochu 170 cm2, pacient dostal fatální dávku 165 - 200 Gy na 1 cm2 za pouhou jednu sekundu. To představuje větší dávku radiace, než jaké byla vystavena jednotka likvidující následky černobylské havárie.
Následky tak neuvěřitelně vysoké dávky radiace na sebe nenechaly dlouho čekat. Cox byl brzy hospitalizovaný z důvodu bolesti krku a ramen a přetrvávajících návalů nevolnosti a zvracení. K problémům se následně přidal i zánět míchy, který pacientovi způsobil paralýzu levé ruky, obou nohou i hlasivek, kvůli čemuž nadále nebyl schopný mluvit. Vnitřní orgány mu začaly postupně kolabovat a trpěl také kožními infekcemi. Po pěti měsících od incidentu zemřel.
Revoluce v lékařství
Therac-25, vyvinutý kanadskou společností AECL v roce 1982, měl být revolucí v oblasti radioterapie. Protože dokázal generovat elektronové i rentgenové záření, bylo možné ho používat na povrchové i hluboké nádory. To dělalo z tohoto stroje ekonomicky výhodnou variantu, která byla navíc snadno ovladatelná. Přístroj, prezentovaný jako revoluční novinka, však měl několik zásadních problémů. Tou hlavní byly softwarové chyby. Ty měli sice i jeho předchůdci, disponovali však zároveň i hardwarovými bezpečnostními mechanismy, které byli u Theracu-25 odstraněny. Jednou z chyb bylo například to, že když operátor změnil rentgenové záření na elektronové do osmi sekund, přístroj podal pacientovi dávku, ale zobrazil zprávu, že dávka podána nebyla. Operátor tak mohl podat pacientovi několik dávek za sebou, zatímco se divil, proč stroj nefunguje. Dalším problémem bylo to, že stroj nebyl dostatečně otestován. Přesto bylo instalováno pět těchto přístrojů v USA a šest v Kanadě.
Therac-25
Nemocnice krátce po incidentu, který vyústil v pacientovu smrt, kontaktovala výrobce. Na místo byli posláni pracovníci společnosti AECL, kteří stroj otestovali, na žádný problém však podle svých slov nenarazili. Ujistili lékaře, že není možné, aby Therac-25 podal pacientovi nadměrnou dávku. Když se jeden z lékařů zeptal, zda k podobnému incidentu již někdy došlo, odpověděli mu, že o žádném neví. V tu dobu však společnost dostala již minimálně dvě hlášení z jiných nemocnic, ve kterých taktéž došlo k problémům s nadměrnou dávkou záření spojeným s Theracem-25.
Nešlo o ojedinělý incident
Jen o tři týdny později došlo ve stejné nemocnici k druhé nehodě. Pacienta na zákrok připravovala stejná operátorka, tentokrát se však jednalo o ozařování části obličeje. Když přístroj spustila, opět se zobrazilo oznámení o chybě. Běžela tedy do místnosti k pacientovi, který opakoval, že je něco špatně a že ho pálí obličej. Zemřel pouhé tři týdny po incidentu v důsledku poškození pravého spánkového laloku.
Úmrtí se však neobjevily pouze v této nemocnici. Therac-25 podal nadměrnou dávku radiace minimálně šesti lidem. V květnu roku 1986 byli stroje po sérii hlášení označeny za defektní. Přestože byl software upraven a stroj se začal znovu používat, došlo v nemocnici ve Washingtonu k dalšímu úmrtí v důsledku podání fatální dávky radiace a Therac-25 tak byl nakonec nadobro stažen z provozu.
Příběh Theracu-25 je dodnes označován za jedno z nejhorších softwarových selhání v historii. Několik řádků kódu, kterým nikdo nevěnoval dostatečnou pozornost, způsobilo poruchu, která stála lidské životy. Viníkem tak není samotný přístroj, ale lidé, kteří podcenili rizika a věřili svému softwaru natolik, že odstranili bezpečnostní prvky, které mohly tragédiím zabránit.
Zdroje:
Nancy G. Leveson, Clark S. Turner: An Investigation of the Therac-25 Accidents - cs.columbia.edu
Charles Huff: Therac-25 Case Narrative - onlineethics.org
