IAEA International Atomic Energy Agency Moдуль 2.3: Проблемы с программным обеспечением ускорителя (США и Канада) Учебный курс МАГАТЭ

IAEA Предотвращение ошибок в лучевой терапии2 Фотография от William Van de Riet Bведение В середине 1970 ых - AECL разработал новую концепцию двойного прохода для ускорителя электронов Требовалось меньше места для получения аналогичных энергий Линейный ускоритель с двойным режимом Более компактный и удобный, чем предшественник Therac-20 Therac 25 использовал преимущества компьютера для контроля и слежения за механическими действиями

IAEA Предотвращение ошибок в лучевой терапии3 От Aldrich 1985 (верхняя) и OBrien 1985 (нижняя) Bведение

IAEA Предотвращение ошибок в лучевой терапии4 Фотонная и электронная головки аппарата От OBrien 1985 Cканирующий магнит Мониторная камера Защита Диафрагма Триммеры Диафрагма Защита Мониторная камера Мишень Первичный коллиматор Сглаживающий фильтр

IAEA Предотвращение ошибок в лучевой терапии5 Карусель с фильтрами Сканирующий магнит электронного пучка Зеркало светового поля Сглаживающий фильтр Мишень Выключатель Активация выключателя Позиционирующий стержень

IAEA Предотвращение ошибок в лучевой терапии6 От OBrien 1985 Сканирующий электронный пучок Электронный импульс Путь сканирования Высокие энергии электронов Низкие энергии электронов

IAEA Предотвращение ошибок в лучевой терапии7 Что произошло?

IAEA Предотвращение ошибок в лучевой терапии8 1 1 событие – Mариетта

IAEA Предотвращение ошибок в лучевой терапии9 Иллюстрация лечения грудной клетки пучком электронов (Nucletron) 1 - Мариетта, июнь 1985 г. Прошло 6 месяцев с момента начала использования нового аппарата Пациентка с раком молочной железы облучалась пучком электронов с энергией 10МэВ. После окончания фракции пациентка закричала «Вы зажарили меня!» Рентгенлаборант, потрогав облучаемую область, обнаружил, что та была тёплой на ощупь

IAEA Предотвращение ошибок в лучевой терапии10 Проинформировали физика Он связался с AECL и запросил о возможности аппарата выдавать электронный пучок без сканирования 3 днями позже пришёл ответ AECL – невозможно! Рапорта несоответствия не было составлено (тогда не требовался) 1 - Мариетта, июнь 1985 г.

IAEA Предотвращение ошибок в лучевой терапии11 Плечо пациентки покраснело и распухло Онколог посчитал это за: Осложнения, связанные с прогрессированием болезни, или Нормальные побочные реакции во время лучевой терапии Две недели спустя физик заметил: Покраснения на выходе пучка Кожа стала слезать Плечо не двигалось У пациентки появились сильные боли 1 - Мариетта, июнь 1985 г.

IAEA Предотвращение ошибок в лучевой терапии12 Ни сотрудники ни AECL не верили в то, что виной случившегося может быть ускоритель Эта авария была не распознана или не рапортирована Производитель: Не задокументировал проблему Не рассказал о случившемся другим пользователям или FDA Не принял мер Функция распечатки была отключена и поэтому записи лечения нет в наличии 1 - Мариетта, июнь 1985 г.

IAEA Предотвращение ошибок в лучевой терапии13 2 случай - Гамильтон

IAEA Предотвращение ошибок в лучевой терапии Гамильтон, июль 1985 г. Спустя 6 месяцев с начала использования нового аппарата Лечение пациентки с раком шейки матки На 24 ой фракции появляется сообщение H-Tilt error и лечение прерывается Показание дозиметрической системы Дозы нет Лечение остановлено Оператор нажимает кнопку P чтобы продолжить процесс Программное обеспечение позволяло сделать это пять раз Оператор уже видел сообщения об ошибках, которые не причиняли вреда пациентам Сбой аппарата показывал лишь код, без какого-либо описания его в руководстве

IAEA Предотвращение ошибок в лучевой терапии15 Позвали инженера Он не нашёл никаких неисправностей у ускорителя После лечения пациентка пожаловалась: Жжение в бедре Почувствовала боль «как будто удар электрическим током» Тремя днями позже: по-прежнему жжёт, боль в бедре и сильный отёк 2 - Гамильтон, июль 1985 г.

IAEA Предотвращение ошибок в лучевой терапии16 Ускоритель изьяли из клинической эксплуатации подозрение на переоблучение Проинформировали AECL, которая послала своего инженера Оповестили местные власти 2 - Гамильтон, июль 1985 г.

IAEA Предотвращение ошибок в лучевой терапии17 Действия AECL Сбой невозможно повторить Подозрение пало на выключатели, указывающие положение карусели Это подтвердили, временно деактивировав выключатели. Программное обеспечение могло интерпретировать неправильные положения карусели таким образом Было выпущено обновлённое программное обеспечение В заключительном рапорте, …не можем выявить точную причину аварии, можем только заподозрить… Было заявлено, что безопасность улучшена на 5 порядков! 2 - Гамильтон, июль 1985 г.

IAEA Предотвращение ошибок в лучевой терапии18 Фирма послала сообщение для пользователей Проверьте положение карусели Не продолжайте лечение, если появится сообщение об ошибке H-tilt и неверной дозе Однако не было упоминаний о пострадавшей пациентке Предложение на съезде пользователей добавить механический интерлок было проигнорировано фирмой Пациентка умерла вследствии своей болезни в ноябре 1985 г. Вскрытие показало: Серьёзное лучевое повреждение Необходимость замены тазобедренного сустава 2 - Гамильтон, июль 1985 г.

IAEA Предотвращение ошибок в лучевой терапии19 3 случай - Якима

IAEA Предотвращение ошибок в лучевой терапии20 3 – Якима, декабрь 1985 г. Согласно заявлениям производителя ускоритель был обновлён в сентябре 1985 г. После лечения тормозным излучением у пациентки возникло покраснение кожи Параллельные красные полосы на бедре Реакцию приняли за нормальную при дистанционном облучении После завершения лечения в январе/феврале кожную реакцию посчитали ненормальной и начали расследование

IAEA Предотвращение ошибок в лучевой терапии21 Иллюстрация держателя для блоков Источник полосатого рисунка? Прорези в держателе для блоков Прорези и рисунок на коже не совпадали Реакция химиотерапии была исключена У полей с других углов отсутствовал рисунок Пациентка спала с грелкой После рентгенографии: положение нагревательных проводов в грелке не соответствовало рисунку на коже 3 – Якима, декабрь 1985 г.

IAEA Предотвращение ошибок в лучевой терапии22 AECL ответило на это: …по нашему мнению это повреждение не могло быть вызвано сбоем Therac-25 или ошибкой оператора. На следующих двух страницах: …нам не известны случаи подобного повреждения у других пацинтов. Кожные реакции были классифицированы какПричина неизвестна 3 – Якима, декабрь 1985 г.

IAEA Предотвращение ошибок в лучевой терапии23 Сотрудники не знали, что это был третий случай Производитель заявил, что никаких происшествий не было Фирма должна была знать о трёх подозрительных происшествиях 3 – Якима, декабрь 1985 г.

IAEA Предотвращение ошибок в лучевой терапии24 4 случай - Тайлер

IAEA Предотвращение ошибок в лучевой терапии25 4 – Тайлер, март 1986 г. Ускоритель находится в эксплуатации два года, пролечено >500 пациентов Пациент получал 9 ую фракцию по 1.8 Гр на спину 22 MэВ электроны

IAEA Предотвращение ошибок в лучевой терапии26 Оператор хорошо знала пульт управления и поэтому набирала быстро и точно Она заметила, что выбрала X для тормозного излучения вместо E для электронного Она подняла курсор, чтобы исправить ошибку Она нажала несколько раз кнопку «возврат», чтобы пройти остальные заполненные поля и нажала B для включения пучка Через мгновение появилась надпись «Ошибка 54» и лечение прекратилось 4 – Тайлер, март 1986 г.

IAEA Предотвращение ошибок в лучевой терапии27 Экран Therac-25 Тип излучения Команда Р (продолжить) или В (включить пучок)

IAEA Предотвращение ошибок в лучевой терапии28 Согласно документации, это была ошибка «ввода дозы 2» Только 6 мониторных единиц из 202 было доставлено и оператор нажала P, чтобы продолжить лечение Ускоритель выключился снова 4 – Тайлер, март 1986 г.

IAEA Предотвращение ошибок в лучевой терапии29 В этот день система аудио и видео связи с больным была выключена в связи со сбоем Оператор не знала, что происходит в процедурной Пациентвстал со стола и стучал в дверь, чтобы его выпустили Оператор быстро открыла дверь 4 – Тайлер, март 1986 г.

IAEA Предотвращение ошибок в лучевой терапии30 Пациента облучили второй раз, когда он пытался встать со стола Пациента облучили дважды и его ощущения были следующими: 1 ое облучение Удар электрическим током или как кто-то «вылил ему горячий кофе на спину» Слышал звенящий звук ускорителя (не нормально) 2 ое облучение Руку ударило электрическими током «Рука оторвалась от тела» 4 – Тайлер, март 1986 г.

IAEA Предотвращение ошибок в лучевой терапии31 Онколог, осматривающий пациента, заключил: Интенсивное покраснение кожи - результат удара электрическим током Расследование медицинского физика привело к заключению: Ничего необычного в работе ускорителя не найдено Калибровка в порядке Иллюстрация калибровки 4 – Тайлер, март 1986 г.

IAEA Предотвращение ошибок в лучевой терапии32 Никто не понял ошибки и лечение продолжилось Позвали обслуживающих инженеров производителя, которые приехали на следующий день Тестируя ускоритель весь день, они не нашли проблем Заявлено не было случая переоблучения этим оборудованием 4 – Тайлер, март 1986 г.

IAEA Предотвращение ошибок в лучевой терапии33 Ответ AECL Заключили, что это был электрический ток Однако фирма должна была знать о трёх подозрительных происшествиях Внешний консультант проверил заземление аппарата и оно было в порядке После проверки калибровки ускоритель снова запустили в эксплуатацию в апреле 4 – Тайлер, март 1986 г.

IAEA Предотвращение ошибок в лучевой терапии34 5 событие - Tайлер

IAEA Предотвращение ошибок в лучевой терапии35 5 – Тайлер, апрель 1986 г. Второй случай произошёл в той же больнице тремя неделями позже Пациенту облучали голову пучком электронов 10 МэВ Этот же оператор, эта же X-на- E замена на клавиатуре После включения пучка послышился громкий шум через переговорное устройство Иллюстрация лечения головы шеи

IAEA Предотвращение ошибок в лучевой терапии36 «Ошибка 54» появилась на экране и ускоритель выключился Оператор зашла в комнату, на столе стонал пациент 5 – Тайлер, апрель 1986 г. Иллюстрация лечения головы шеи

IAEA Предотвращение ошибок в лучевой терапии37 Пациент пожаловался на чувство жжения на его щеке Оператор незамедлительно позвала физика Пациент описал событие как «какой-то удар по лицу», вспышка света и звук «жарящихся яйц»… 5 – Тайлер, апрель 1986 г.

IAEA Предотвращение ошибок в лучевой терапии38 Тремя неделями позже пациент скончался в дезориентации, которая привела к коме, высокой температуре, неврологическим повреждениям, итд. Вскрытие показало обширное лучевое повреждение ствола мозга и височной доли 5 – Тайлер, апрель 1986 г.

IAEA Предотвращение ошибок в лучевой терапии39 Физик приостановил лечение на этом ускорителе Он связался с производителем и сообщил о второй проблеме Физик с оператором провели собственное расследование После нескольких попыток они смогли воспроизвести последовательность событий Они заключили, что скорость, с которой вводятся команды, является основным фактором Измерения, сделанные физиком, показали Камера ускорителя насыщалась Доза была более 40 Гр 5 – Тайлер, апрель 1986 г.

IAEA Предотвращение ошибок в лучевой терапии40 Производитель не мог воспроизвести проблему до тех пор пока физик не сказал, что переключать команды нужно быстро Двумя днями позже AECL выпустила рапорт Доза может достигать 250 Гр Звук «жарящихся яиц» есть не что иное как электрический разряд в ионизационной камере 5 – Тайлер, апрель 1986 г.

IAEA Предотвращение ошибок в лучевой терапии41 Расследование в Тайлере Ошибка случилась из-за дизайна программного обеспечения Подпрограмма следила за вводом данных, включая тип, энергию, параметры коллиматора, итд. Когда все параметры были введены и курсор возвращался в низ в командную строку, появлялся флажок

IAEA Предотвращение ошибок в лучевой терапии42 Если после установки флажка, означающего, что все параметры введены, изменить параметр и быстро вернуться на командную строку, то подпрограмма не заметит этого изменения Другая подпрограмма контролирует положение карусели взависимости от типа выбранного излучения Оператор корректировала тип излучения X на E, вызывая поворот карусели, но без надлежащей коррекции тока электронов или сканирующих магнитов Расследование в Тайлере

IAEA Предотвращение ошибок в лучевой терапии43 Дополнительная информация Сотрудник AECL впоследствие заявил Проблема с курсором случалась ранее (Мариетта) в 1985 г. Другая проблема с курсором случилась летом 1985 г. в неназванном месте (Гамильтон?) Это нужно было устранить Нет никакой связи между этими ошибками и событиями в Тайлере! Программное обеспечение Therac 20 было рассмотрено пользователем После печатных ошибок (когда студенты использовали ускоритель) сгорало множество предохранителей! Существовала такая же проблема X/E, но механический интерлок не давал возможности включить пучок

IAEA Предотвращение ошибок в лучевой терапии44 Почему пациент получал высокую дозу? Высокий ток пучка для фотонов ~ x Нет сканирования пучка используется выравнивающий фильтр Очень высокий энергетический поток электронов Измерения, сделанные физиком в Тайлере, изначально показали дозы ~8 Гр Рекомбинация ионов/разряды/насыщение в ионизационной камере вносили большую ошибку, и новая оценка дозы показала ~40 Гр Производитель определил дозу в 250 Гр Доза колебалась от больницы к больнице в зависимости от настройки ускорителя (число радиационных импульсов в течение первых 3 сек.)

IAEA Предотвращение ошибок в лучевой терапии45 Действия властей и производителя Действие FDA после рапорта из Техаского Отделения Здоровья (Tайлер) Ускоритель Therac-25 дефектный Компания должна оповестить всех покупателей, расследовать проблему и предоставить план её исправления (FDA должно утвердить) AECL проинформировало пользователей о временном решении проблемы Нельзя использовать клавишу «вверх» Она должна быть удалена с клавиатуры и контакты замотаны Они не упоминали, в чём заключается риск! FDA не утвердило этот план AECL предоставило переделанный План Действий (CAP), который был утверждён FDA

IAEA Предотвращение ошибок в лучевой терапии46 6 событие - Якима

IAEA Предотвращение ошибок в лучевой терапии47 6 – Якима, январь 1987 г. Пациенту собирались сделать портальный фильм 4 и 3 MЕ плюс 79 MЕ для лечения Открытое поле 35 x 35 cm 2 Для ориентации с 3 MЕ Лечебное поле 18 x 22 cm 2 с MЕ

IAEA Предотвращение ошибок в лучевой терапии48 Первые 4 MЕ были сделаны с лечебным полем Коллиматор открылся автоматически и было произведено второе облучение с 3 MЕ Оператор зашёл в комнату, чтобы проверить положение пациента Он проверил положение центра пучка по меткам на коже, включив световое поле (карусель повернулась) 6 – Якима, январь 1987 г.

IAEA Предотвращение ошибок в лучевой терапии49 Оператор приготовил аппарат к началу лечения, вышел из процедурной и по случайности забыл фильм под пациентом Пучок был включен нажатием клавиши B На экране не появилось сообщение о дозе или мощности дозы После 5-6 сек. ускоритель выключился и показал быстро исчезнувшее сообщение об ошибке Оператор нажал P чтобы продолжить 6 – Якима, январь 1987 г.

IAEA Предотвращение ошибок в лучевой терапии50 Аппарат запустился, но тут же остановился с сообщением о проблеме плоскости поля Оператор услышал как пациент говорит что-то и зашёл в комнату Пациент почувствовал жжение в груди 6 – Якима, январь 1987 г.

IAEA Предотвращение ошибок в лучевой терапии51 На пульте управления было 7 MЕ (два облучения для фильма) Позже у пациента появились покраснения кожи в поле лечения Четыре дня спустя область стала полосатой (похожее на предыдущую проблему в Якиме) 6 – Якима, январь 1987 г.

IAEA Предотвращение ошибок в лучевой терапии52 Ответ AECL Все тесты показывают полное соответствие Все пользователи были предупреждены о необходимости проверки карусели визуально Заподозрили, что вместо выравнивающего фильтра на оси пучка находилось зеркало Фильм пациента подтвердил это 6 – Якима, январь 1987 г.

IAEA Предотвращение ошибок в лучевой терапии53 Было высчитано, что доза Гр могла быть подведена за одно облучение, т.е. до 100 Гр в случае конкретного пациента вместо 0.86 Гр (2 облучения для фильма + лечение) Согласно AECL коррекции, сделанные (но ещё не внедрённые) для предотвращения таких аварий, как в Тайлере, предотвратили бы и эту 6 – Якима, январь 1987 г.

IAEA Предотвращение ошибок в лучевой терапии54 Последствия переоблучения 1Молочная железа была удалена, полная обездвижимость плеча и руки, постоянная боль 2Пациента сильно обожгло, умер в ноябре 1985 г. 3Некроз ткани, хронические язвы и боль в области облучения, несколько пересадок кожи. Пациент по-прежнему жив (на 1995 г.) 4Боль в шее и плечах, переодически тошнота и рвота, лучевой миелит шейного отдела спинного мозга, парализована левая рука и обе ноги, левая голосовая связка и левая диафрагма. Умер спустя пять месяцев от осложненний 5Пациент умер спустя месяц 6Пациент умер в течении нескольких недель от рака, но переоблучение возможно сократило его жизнь

IAEA Предотвращение ошибок в лучевой терапии55 Характеристики аварий Три случая связаны с вращением карусели перед лечением (подтверждены) Ускоритель выключался вскоре после включения пучка и выдавал код ошибки на консоле Шифрованные коды не указывали на серьёзность ошибки и не были поняты операторами В нескольких случаях оператор повторил облучение один или несколько раз После лечения пациенты жаловались на жжение, иногда с ощущением удара током В каждом случае пациенты получили дозы от 40 до 250 Гр за очень короткое время (1-3 секунды)

IAEA Предотвращение ошибок в лучевой терапии56 Перечень причин аварийного облучения Программное обеспечение производителя Ранние модели работали по другому и ПО не совсем подходило В новой модели безопасность полностью полагалась на ПО, в то время как у старой модели были механические и электрические интерлоки Безопасность новой системы не была оценена как единая система: поскольку ПО существовало уже годы, то была протестирована только механика У производителя не было механизмов по расследованию аварий и информированию пользователей После первой аварии производитель отказался поверить в то, что причиной этому послужило оборудование FDA не было оповещено, так же как и другие пользователи Производитель утверждал, что эта машина безопасна

IAEA Предотвращение ошибок в лучевой терапии57 Февраль 1987 г. FDA …попросила компанию AECL немедленно оповестить и порекомендовать не использовать аппарат для лечения пациентов… Канадское правительство …AECL порекомендовать всем пользователем в Канаде не использовать аппарат Therac-25 … AECL в июле Оповестило всех пользователей, что FDA подтвердило их последний исправительный протокол CAP (около 30 различных изменений)

IAEA Предотвращение ошибок в лучевой терапии58 События во времени Июнь 1985 г. Maриетта Янв г. Гамильтон Дек г. Якима Maр г. Тайлер Aпр г.Фев г. Посьба FDA Июль 1987 г. AECL план действий Июнь 1985 г. Тайлер Якима

IAEA Предотвращение ошибок в лучевой терапии59 Слушай, наблюдай, информируй и переодически просматривай реакции пациентов Расследуй все отчёты о ненормальной работе Включи в программу Обеспечения Качества: Процедуры рапортирования необычных событий Не принимай на веру заявления производителя Ответственность всегда лежит на больнице Уроки: Отделение лучевой терапии

IAEA Предотвращение ошибок в лучевой терапии60 Уроки: Советы консультантов по компьютерам Документация с начала Используй установленную практику создания программного обеспечения Простой дизайн Встроенное ПО для сбора ошибок и аудита Тщательное тестирование ПО и формальный анализ на всех уровнях Перепроверяйте использующееся ПО! В вопросах безопасности не полагайтесь только на ПО Используйте повторные проверки Обращайте тщательное внимание на человеческий фактор Вовлекайте пользователей всех уровнях

IAEA Предотвращение ошибок в лучевой терапии61 Снимок Larry Watts Продолжение 11 аппаратов были оснащены оборудованием безопасности, требуемой FDA, и остались в эксплуатации. Больше не было зарегистрированных аварий с использованием этих машин После снятия с производства Therac-25, FDA приняло ряд поправок, связанных с распространением информации и с утверждением оборудования. С 1990 г., по закону больницы обязаны докладывать о происшествиях как производителю, так и FDA.

IAEA Предотвращение ошибок в лучевой терапии62 Ссылки OBrien et al. Radiation protection aspects of a new high-energy linear accelerator. Med Phys (1985) Aldrich et al. Characteristics of the photon beam from a new 25 MV linear accelerator. Med Phys (1985) OBrien et al. Characteristics of electron beams from a new 25 MeV linear accelerator. Med Phys (1985) Leveson N G, Turner C S. An investigation of the Therac-25 accidents. IEEE Computer 26: (1993)