الملخص
- ستة حوادث معروفة لـ Therac-25 تنطوي على جرعات زائدة هائلة حدثت بين يونيو 1985 ويناير 1987. السجلات الباقية توثق إصابات خطيرة ووفيات، لكنها لا تدعم اعتبار كل وفاة لاحقة ناتجة فقط عن الجرعة الزائدة أو تخصيص جرعة دقيقة لكل مريض.
- تم إثبات مسارين برمجيين متميزين. التحرير السريع لوضع العلاج والطاقة يمكن أن يترك بيانات الوصفة المعروضة غير متسقة مع إعداد الجهاز في حوادث تايلر. في حادثة ياكيما الثانية، يمكن للعداد ذي 8 بت أن يتجاوز إلى الصفر ويتجاوز فحص موضع الموازي. المسار البرمجي الدقيق للحوادث الثلاث الأولى لا يزال غير معروف.
- الفشل الأعم في التحكم كان معماريًا. احتفظت أجهزة Therac السابقة بدوائر حماية مستقلة ومفاتيح اعتراض ميكانيكية. أعطى Therac-25 للبرمجيات مسؤولية سلامة أكبر ولم يكرر كل هذه الحمايات، مما سمح للخطأ البرمجي والحالة النظامية المرتبطة به بأن يصبحا مسارًا للتعرض الكارثي.
- فشل الكشف في عدة طبقات. الرسائل الغامضة صنفت الظروف الخطرة كإيقافات علاج، أجهزة مراقبة الجرعة يمكن أن تشبع وتعرض جرعة ظاهرية منخفضة، الانقطاعات المتكررة غير الخطرة دربت المشغلين على الاستئناف، سجلات العلاج كانت غير مكتملة، وتقارير من مستشفيات مختلفة لم تشكل صورة حوادث مشتركة في الوقت المناسب.
- سيطرت AECL على التصميم، إعادة استخدام الكود، توثيق البرمجيات، تحليل المخاطر، تحذيرات العملاء وخطة العمل التصحيحي. المستشفيات سيطرت على التشغيل المحلي، مراقبة المريض، سحب المعدات والتصعيد. المنظمون سيطروا على نتائج العيوب، تصنيف الاستدعاء والموافقة على الإجراء التصحيحي، لكن نظام الإبلاغ الأمريكي آنذاك اعتمد بشكل كبير على المصنعين ولم يفرض واجبات مرافق المستخدم اللاحقة.
- أدلة الإصلاح كبيرة لكنها محدودة. خطة العمل التصحيحية النهائية أضافت إيقافًا مستقلاً عن الكمبيوتر ومفاتيح اعتراض للطاولة الدوارة، وغيرت الإيقافات المؤقتة إلى تعليقات، حسنت الرسائل، قيدت التحرير، أصلحت العيوب المعروفة وطلبت مزيدًا من الاختبارات وتحليل السلامة. السجل العام لا يحتوي على حزمة تحقق حديثة كاملة، تاريخ المصدر، جميع نتائج الاختبارات أو بيانات الأداء الميداني الطويل الأمد.
- الدرس الدائم ليس أن الأجهزة الطبية يجب أن تتجنب البرمجيات. بل هو أن البرمجيات لا يجب أن يُسمح لها بجعل حالة كارثية قابلة للوصول من خلال مسار واحد غير مسيطر عليه. الحواجز المستقلة، المتطلبات القائمة على المخاطر، اختبار التفاعل الواقعي، الإنذارات القابلة للتنفيذ، سجلات التدقيق، الإبلاغ السريع عبر المواقع، وأدلة الإجراء التصحيحي القابلة للمراجعة المستقلة كلها جزء من حالة السلامة.
الأخطاء الشهيرة هي أدلة، وليست التفسير الكامل
يُذكر Therac-25 لأنه يمكن ربط الكود وضرر المريض بوضوح غير عادي. هذا الوضوح مفيد، لكنه يمكن أن يشوه المساءلة إذا بدأ التحقيق وانتهى بشرط سباق أو متغير فائض. العيب يشرح كيف تصرف مسار تنفيذ معين. لا يشرح بمفرده لماذا يمكن لمسار واحد وضع شعاع عالي الطاقة في تكوين غير آمن، لماذا افتقر النظام الفيزيائي إلى إيقاف مستقل، لماذا يمكن لوحدة التحكم الإبلاغ عن جرعة قليلة أو معدومة بعد تعرض هائل، لماذا تمت دعوة مشغل مدرب للمتابعة، أو لماذا لم تتقارب التحذيرات من عدة مرافق على الفور.
تحقيق نانسي ليفيسون وكلارك تورنر الأصلي، المنشور في IEEE Computer عام 1993 والمبني على مواد FDA، سجلات تنظيمية كندية، رسائل وإفادات دعوى، كان صريحًا بشكل غير عادي حول حدوده البيانية. تمكن المؤلفون من توثيق ستة حوادث معروفة، آليتين برمجيتين وتسلسل طويل من الإجراءات التصحيحية. لم يتمكنوا من الحصول على معلومات كاملة حول إدارة تطوير AECL وضوابط الجودة وكل حدث. لذلك فإن سردهم يدعم استنتاجًا على مستوى النظام دون دعم كل ادعاء تراكم حول القضية.
سجل الاستدعاء الرسمي يوفر مرساة مهمة مستقلة. فحص مكتب المحاسبة العام الأمريكي لاستدعاءات الأجهزة المختارة يدرج Therac-25 كاستدعاء من الفئة الأولى يشمل خمسة مسرعات أمريكية، بتاريخ 3 يونيو 1987، ويحدد عيبين برمجيين قادرين على التسبب بجرعات زائدة هائلة من الإشعاع. هذا السجل أضيق من تاريخ الحوادث الكامل. ذكر ليفيسون وتورنر إحدى عشرة آلة مثبتة، خمس في الولايات المتحدة وست في كندا. لذلك يجب فهم كمية GAO على أنها مجتمع الاستدعاء الأمريكي في مجموعة بياناتها، وليس عدد وحدات Therac-25 عالميًا.
هذا التمييز يشير إلى سؤال المساءلة المركزي. لا يمكن للشركة المصنعة أن تعد بأن البرمجيات الحساسة للسلامة لن تحتوي على عيوب. يمكنها أن تقرر ما إذا كان عيب واحد كافٍ لإنتاج طاقة كارثية، وما إذا كانت آلية فيزيائية منفصلة تتحقق من حالة الآلة، وما إذا كانت الواجهة تنقل الخطر، وما إذا كانت الأدلة الميدانية محفوظة ومجمعة، وما إذا كان الإجراء التصحيحي يعالج فئة الخطر بدلاً من تسلسل الإدخال المستنسخ مؤخرًا فقط. كانت تلك خيارات تصميم وحوكمة قابلة للتحكم.
الهندسة المعمارية نقلت وظيفة سلامة فيزيائية إلى البرمجيات
كان Therac-25 مسرعًا خطيًا طبيًا ثنائي الوضع. يمكنه استخدام إلكترونات مسرعة للعلاج السطحي أو إنتاج أشعة سينية للعلاج العميق. في وضع الفوتون، احتاجت الآلة إلى هدف ومعدات تسوية الشعاع في مسار الشعاع. في وضع الإلكترون، احتاجت إلى مسح ومعدات أخرى لنشر الشعاع والتحكم فيه. طاولة دوارة متحركة تنقل المعدات ذات الصلة إلى الموضع. كان الخطر الفيزيائي واضحًا حتى لو كان التنفيذ معقدًا: قوة شعاع عالية مع حالة طاولة دوارة أو موازٍ خاطئة يمكن أن تركز طاقة كان يجب تشكيلها أو قياسها أو حظرها.
يصف وصف الطاولة الدوارة المحفوظ من معهد ماساتشوستس للتكنولوجيا سبب كون المفتاح الاعتراضي حاجز سلامة وليس مجرد ميزة راحة. ثلاثة مفاتيح صغيرة تبلغ عن الموضع للكمبيوتر. وضع الكمبيوتر الطاولة الدوارة وفحصها. في وضع ضوء المجال، توجد مرآة تستخدم لمحاذاة المريض في مسار الشعاع ولا يُتوقع وجود حجرة أيونية لأنه لا ينبغي وجود شعاع علاج. استخدمت مفاتيح اعتراض كهروميكانيكية تقليدية لمنع التشغيل في حالة غير متوافقة. في Therac-25، حلت فحوصات البرمجيات محل العديد منها.
مثل هذا الاستبدال تغييرًا جوهريًا عن النسب الذي اعتمدت عليه AECL. أضاف Therac-6 و Therac-20 تحكمًا بالكمبيوتر إلى آلات يمكن أن تعمل بشكل مستقل واحتفظت بحمايات الأجهزة القياسية في الصناعة. تم تصميم Therac-25 حول التحكم بالكمبيوتر. كان لبرمجياته مسؤولية أكبر في مراقبة التشغيل الآمن، بينما لم يتم تكرار جميع دوائر الحماية السابقة. قدم Therac-20 الأكبر لاحقًا مقارنة غير مقصودة: عيب تحرير مشابه يمكن أن يتسبب في فصل الصمامات أو القواطع، لكن دوائر الحماية المستقلة منعت تنشيط الشعاع ولم ينتج عنه تعرض مماثل للمريض.
لم تكن إعادة استخدام الكود هي الخطأ بحد ذاتها. أعادت AECL استخدام الهيكل والإجراءات من الآلات السابقة، وإعادة الاستخدام يمكن أن تحافظ على السلوك المختبر. كانت المشكلة أن الافتراضات من نظام بحماية أجهزة مستقلة انتقلت إلى نظام أصبحت فيه البرمجيات جزءًا من حدود السلامة الأولية. يقول حساب تطوير البرمجيات الباقي إن البرنامج تطور من كود Therac-6، وكُتب بلغة تجميع PDP-11، واستخدم منفذًا زمنيًا حقيقيًا مخصصًا مع مهام متزامنة ومعالجات مقاطعة. كما يسجل توثيقًا ضئيلًا وقلق مراجع FDA من أن المواصفات وخطة اختبار البرمجيات كانت مفقودة.
في تطبيق حميد، قد تؤدي الافتراضات الموروثة إلى إزعاج. في مسرع طبي، تصبح خطرة عندما يزيل النظام الجديد المكون المستقل الذي كان يحتويها سابقًا. سؤال دورة الحياة ذو الصلة ليس فقط ما إذا كان الكود المعاد استخدامه قد عمل لسنوات. بل هو ما إذا تم إعادة تأسيس كل افتراض سلامة مقابل الأجهزة الجديدة، سلطة التحكم الجديدة، سير عمل المشغل الجديد وعواقب الفشل الجديدة. السجل العام لا يظهر أن مثل هذه المراجعة المتكاملة للافتراضات حدثت قبل الاستخدام السريري.
تحليل السلامة قبل الحوادث لم يختبر مصدر التحكم الجديد
أجرت AECL تحليل شجرة الأعطال للسلامة في مارس 1983. وفقًا للتحقيق، افترض أن أخطاء البرمجة قد تم تقليلها من خلال الاختبارات المكثفة واستبعد العيوب البرمجية المتبقية. عالج أخطاء تنفيذ الكمبيوتر بشكل رئيسي كنتائج لأعطال الأجهزة أو اضطرابات عشوائية. ومع ذلك، أصبحت البرمجيات الآن تحمل وظائف سلامة كانت الأجهزة تحملها في الآلات السابقة. لذلك أولى التحليل اهتمامًا ضئيلًا للمكون الذي زادت سلطته أكثر.
لم تكن هذه مجرد مشكلة كمية. تخصيص احتمال منخفض للغاية لحدث كمبيوتر موصوف بشكل غامض لا يمكن أن يظهر أنه تم تحديد الحالات غير الآمنة. لا تظهر العيوب البرمجية الحتمية بشكل عشوائي مثل مكون بالٍ؛ فهي تتكرر كلما توافقت الحالة والتوقيت المطلوبان. إذا كان التحليل لا يصمم التحرير السريع، تفاعلات المتغيرات المشتركة، تجاوز العداد، تكوين الآلة القديم، الشاشات المشبعة أو الشاشات المتناقضة، فإن نتيجة عددية صغيرة تقول القليل عن تلك المسارات.
ملخص تحليل سلامة Therac-25 اللاحق هو دليل على مراجعة أكثر جدية بعد الحوادث. استخدم تحليل أنماط الفشل وتأثيراته، تحليل شجرة الأعطال وفحص البرمجيات. حدد الوظائف الحساسة للسلامة بما في ذلك المسح، اختيار الطاقة، إيقاف الشعاع والمعايرة، وأدى إلى توصيات لمفاتيح اعتراض مستقلة عن الكمبيوتر. حتى ذلك التحليل اللاحق كان صريحًا بشأن حدوده: فحص الكود لا يمكن أن يوفر ثقة عالية في وظائف المسح واختيار الطاقة المعقدة. دعم هذا عدم اليقين إضافة حواجز بدلاً من الادعاء بأن الفحص أثبت كمال الكود.
الاستنتاج المدعوم هو أن حالة السلامة الأصلية كانت غير متطابقة هيكليًا مع التصميم. الأدلة العامة لا تثبت من وافق على كل افتراض، وما هي الاعتراضات الداخلية التي أثيرت، أو ما إذا كانت التكلفة هي السبب الحاسم لعدم تكرار حماية الأجهزة. لكنها تثبت أن التحليل استبعد أخطاء البرمجيات المتبقية بينما كانت البرمجيات موثوقًا بها لمنع التكوينات الفيزيائية غير الآمنة. هذا كافٍ لتحديد قضية المساءلة على مستوى تصميم النظام دون اختراع دافع خاص.
ستة حوادث أصبحت حادثة واحدة فقط بعد ضرر متكرر
التسلسل الزمني مهم لأن كل حدث غير ما يمكن معرفته بشكل معقول. يبدأ الجدول الزمني الموحد للأحداث في 3 يونيو 1985 في مركز Kennestone للأورام الإقليمي في Marietta، جورجيا. أبلغ مريض يتلقى علاجًا إلكترونيًا عن حرارة شديدة وأصيب لاحقًا بإصابة إشعاعية شديدة. كان سجل العلاج المطبوع معطلاً، مما لم يترك سجل علاج ورقي. سأل فيزيائي المستشفى AECL عما إذا كانت الآلة يمكن أن تعمل في وضع الإلكترون دون مسح؛ ردت AECL بأنها لا تستطيع. اختلفت الروايات حول وقت تلقي AECL للإشعار الرسمي، لكن الشركة كان لديها إشعار رسمي بالتقاضي بحلول نوفمبر 1985. لم يؤسس تحقيق في الوقت المناسب مسار الآلة.
في 26 يوليو 1985، تعرض مريض في عيادة مؤسسة أونتاريو للسرطان في هاميلتون لإيقافات علاج متكررة ورسالة H-tilt. أشارت الشاشة إلى عدم وجود جرعة، واستخدم المشغل أمر المتابعة المسموح به عدة مرات. عانى المريض من جرعة زائدة محلية كبيرة. لم تتمكن AECL من إعادة إنتاج الحدث واشتبهت في عطل مفتاح صغير. أعادت تصميم منطق المفتاح وادعت تحسنًا كبيرًا في السلامة على الرغم من أن حسابها الخاص لم يكن حازمًا بشأن السبب. دعا المسؤولون الكنديون ومستشار مستقل إلى تغييرات أقوى، بما في ذلك فحص موضع طاولة دوارة مستقل وتعليق العلاج للأعطال ذات الصلة. لم تقم AECL بتركيب المفتاح الاعتراضي المستقل المطلوب في تلك المرحلة.
في ديسمبر 1985، أصيب مريض في مستشفى Yakima Valley Memorial برد فعل جلدي مخطط بعد العلاج. حقق الموظفون في تفسيرات أخرى وكتبوا إلى AECL في 31 يناير 1986. ردت AECL في 24 فبراير بأنه لا عطل في الآلة ولا خطأ مشغل يمكن أن ينتج الإصابة وأشارت إلى عدم وجود حوادث مماثلة. يظهر حساب ياكيما الأول لماذا كانت السيطرة على المعلومات مهمة: لم تكن المنشأة تعرف تاريخ الحوادث عبر المواقع واعتمدت على الثقة الفنية للشركة المصنعة. فقط بعد حادثة ياكيما الثانية تم التعرف على الإصابة الأولى كجرعة زائدة محتملة.
في 21 مارس 1986، تلقى أول مريض في تايلر علاجًا إلكترونيًا بعد أن صحح مشغل متمرس بسرعة إدخال أشعة سينية أولي. عرضت الآلة العطل 54، وصنفت الحالة كإيقاف علاج وأظهرت جرعة ظاهرية منخفضة. اتبع المشغل سير العمل العادي وتابع. كانت روابط الصوت والفيديو إلى غرفة العلاج المحمية معطلة ذلك اليوم، مما أخر التعرف على ضائقة المريض. في البداية، لم يتمكن مهندسو AECL من إعادة إنتاج العطل واعتبروا مرة أخرى تفسيرًا كهربائيًا. بعد أن لم يجد الاختبار مشكلة تأريض، أعادت العيادة الآلة إلى الخدمة في 7 أبريل.
في 11 أبريل، تعرض مريض ثانٍ في تايلر لنفس العطل 54 بعد أن قام نفس المشغل بتحرير الوضع بسرعة. هذه المرة عمل الاتصال الداخلي وتوقف المشغل. أخرج فيزيائي العيادة، فريتز هيجر، الآلة من الخدمة وعمل مع المشغل حتى تمكن من إعادة إنتاج التسلسل. كانت السرعة هي الشرط المفقود. بمجرد إبلاغ AECL بأن التحرير يجب أن يتم بسرعة، أعادت إنتاج العطل وقياس ناتج هائل. قدمت AECL تقرير حادث إلى FDA في 15 أبريل. أعلنت FDA أن الجهاز معيب في 2 مايو وطلبت خطة عمل تصحيحية.
في 17 يناير 1987، تعرض مريض ياكيما الثاني للإشعاع بينما كانت الطاولة الدوارة مرتبطة بإعداد ضوء المجال. أظهرت وحدة التحكم عدم وجود جرعة علاج تتجاوز تعريضات الفيلم السابقة، توقفت الآلة، ويمكن للمشغل المتابعة. كان هذا مسارًا برمجيًا مختلفًا. قدر إعادة البناء الأولي لـ AECL آلاف الراد لكل محاولة، لكن الجرعة الدقيقة المسلمة لا تزال غير مؤكدة. أظهر الحدث أن تصحيحًا خاصًا بتايلر لم يكن حالة سلامة كاملة. تحركت FDA والسلطات الكندية في فبراير للتوصية بوقف الاستخدام الروتيني حتى اكتمال التعديلات الدائمة.
التسلسل الزمني لا يدعم ادعاء أن شخصًا واحدًا تجاهل ستة إنذارات متطابقة. حدثت الحوادث في مرافق مختلفة، أنتجت رسائل مختلفة ولم تكن جميعها مفهومة تقنيًا في ذلك الوقت. ولكنها تدعم استنتاج أن معلومات الحوادث بقيت مجزأة، والاستنتاجات المبكرة للاستحالة كانت قوية جدًا، والإجراء التصحيحي اتبع في البداية المكونات المشتبه بها بدلاً من فئة الخطر. كان يجب أن يقلل كل حدث إضافي من الثقة في فرضية أن البرمجيات والفحوصات الحالية جعلت الجرعة الزائدة مستحيلة.
تايلر كشفت عن عدم تناسق حساس للتوقيت بين الشاشة والآلة
لم يكن سبب تايلر مجرد أن المشغل كتب بسرعة كبيرة. أدخل المشغل وضع علاج، انتقل إلى سطر الأوامر، عاد إلى وضع التحرير وغير الإدخال من أشعة سينية إلى إلكترون خلال الفترة التي كانت فيها الآلة تضبط مغناطيسات الانحناء. عكست الشاشة التصحيح. مهام البرمجيات المتزامنة لم تنشر الحالة المحررة بشكل موثوق لجميع معلمات الآلة.
يصف إعادة البناء البرمجي التفصيلي لتايلر متغيرات مشتركة تستخدمها معالجة لوحة المفاتيح، روتين إدخال البيانات ومهام التحكم في العلاج. يشير علم الإكمال إلى أن المؤشر قد وصل إلى سطر الأوامر، وليس أن التحرير قد انتهى حقًا. تم مسح علم آخر مرتبط بإعداد المغناطيس في وقت مبكر جدًا، لذا يمكن للتحريرات اللاحقة أن تفلت من التعرف. يمكن للبايت المنخفض والمرتفع لمتغير الوضع والطاقة التأثير على مهام مختلفة. تحت التوقيت المطلوب، يمكن أن يتبع تحديد موضع الطاولة الدوارة أو الموازي القيمة المحررة بينما تظل معلمات التشغيل الأخرى مشتقة من اختيار الأشعة السينية السابق.
يمكن بالتالي ذكر السبب المباشر بشكل ضيق: تحرير سريع ضمن نافذة محددة سمح لحالة غير متسقة بالمرور إلى العلاج. كان العيب قابلاً لإعادة الإنتاج فقط عند تنفيذ سير العمل بسرعة خبير واقعية. مهندس بطيء يتبع تسلسلًا مكتوبًا يمكن أن يفوته. هذا هو السبب في أن إعادة بناء فيزيائي العيادة كانت مهمة. عامل خبرة المشغل كشرط اختبار بدلاً من دليل على سوء الاستخدام.
تطلب النتيجة غير الآمنة أكثر من السباق. لم تقم البرمجيات بإجراء فحص اتساق نهائي مستقل بين العلاج المعروض، تكوين الآلة ومعاملات الشعاع. لم تمنع الأجهزة بشكل مستقل التكوين غير المتوافق. تشبعت حجرات الأيونات تحت النبضة الشديدة ويمكن أن تبلغ بقيمة منخفضة. وصفت الآلة الحدث كإيقاف وجعلت إعادة التشغيل بمفتاح واحد متاحة. كان المشغل مشروطًا بالعديد من الإيقافات غير الضارة لاستخدام هذا الأمر. في حدث تايلر الأول، أزالت شاشات الغرفة المكسورة قناة كشف بشرية أخيرة.
تسمية فعل المشغل بالسبب سيعكس علاقة التحكم. دعمت الواجهة عمدًا الإدخال السريع والتحرير لأن المشغلين طلبوا الكفاءة. كان مفتاح المتابعة هو الرد المحدد للإيقاف. كانت سرعة المشغل وألفته خصائص متوقعة لبيئة الاستخدام المقصودة. لقد تسببا في عيب، لكن AECL كانت تتحكم في ما إذا كان هذا التفاعل يمكن أن يخلق حالة آلة خطرة وما إذا كانت الحالة ستُوقف بشكل مستقل.
ياكيما كشفت عن مسار مختلف عبر تجاوز العداد
حدثت آلية ياكيما الثانية لاحقًا في منطق التحكم. متغير ذو بايت واحد يستخدم في فحوصات الإعداد المتكررة كان يزداد في كل مرة. لأنه يمكن أن يمثل 256 حالة فقط، كان يتجاوز إلى الصفر في كل مرة 256. كان الصفر يستخدم أيضًا ليعني أنه لا يوجد تناقض في الموازي العلوي يتطلب الفحص. إذا أصدر المشغل أمر الضبط في لحظة التجاوز، يمكن تخطي فحص الموضع ويمكن أن يستمر العلاج مع بقاء الطاولة الدوارة في حالة ضوء المجال غير الآمنة.
يميز إعادة البناء الأصلي لخلل ياكيما هذا عن تايلر. كانت مهمة Housekeeper المتزامنة ستؤدي فحص الموازي فقط عندما يكون المتغير المشترك Class3 غير صفري. زاد اختبار الإعداد من ذلك المتغير مئات المرات أثناء انتظار إعداد الآلة. عند التجاوز، تجاوزت البرمجيات الفحص. كان التصحيح الفوري للكود من AECL هو ضبط المتغير على قيمة غير صفرية ثابتة بدلاً من زيادته.
مرة أخرى، أصلح تغيير الكود المشغل المحدد لكنه لم يؤسس السلامة بذاته. لا يجب أن يجمع متغير حالة حساس للسلامة مشترك بين مهام متزامنة بصمت بين عداد وحالة ترخيص. والأهم، لم يمنع أي حاجز فيزيائي مستقل تنشيط الشعاع بينما كان تكوين الطاولة الدوارة خاطئًا. لذلك احتاج الإجراء التصحيحي النهائي إلى كل من تصحيح الكود ومفتاح اعتراض للطاولة الدوارة لا يعتمد على نفس مسار البرمجيات.
السجل الباقي لا يحدد مسار الكود الدقيق لكنيستون وهاميلتون وأول حدث ياكيما. كانت هناك تكهنات معاصرة بأن هاميلتون ربما يشبه آلية ياكيما الثانية، لكن ليفيسون وتورنر وضعا علامة على ذلك كتخمين. يبقى من الممكن أن تكون سباقات غير معروفة أو عيوب أخرى متورطة. لا يجب لسرد منضبط أن يركب الآليتين اللاحقتين على كل إصابة سابقة فقط لأن النتيجة الفيزيائية بدت متشابهة.
ذلك المجهول ليس تبرئة ولا يجب ملؤه باليقين. يظهر لماذا كانت الهندسة المعمارية مهمة. عندما تصل عدة مسارات برمجية غير معروفة إلى نفس الحالة الكارثية، فإن إثبات وتصحيح عيب واحد في كل مرة هو استراتيجية تحكم غير كافية. يمكن للحاجز المستقل أن يحتوي على كل من المسارات المعروفة وغير المعروفة. هذه هي القيمة العملية للدفاع في العمق: إنه يقلل من اعتماد حالة السلامة على المعرفة الكاملة بسلوك البرمجيات.
الواجهة حولت إشارات الخطر المتناقضة إلى عمل روتيني
واجهة مشغل Therac-25 ميزت بين تعليق العلاج، الذي يتطلب إعادة تعيين، وإيقاف العلاج، الذي سمح بأمر متابعة بمفتاح واحد. كما أنتجت أعطالاً متكررة كانت مرتبطة عادةً بالإزعاج أو الجرعة المنخفضة. تعلم المشغلون من التجربة المتكررة أن الإيقاف والمتابعة كان طبيعيًا. عزز التدريب الثقة في أن آليات السلامة المتعددة جعلت الجرعة الزائدة مستحيلة تقريبًا.
في الحوادث، فشل نموذج التشغيل هذا بعدة طرق. كانت أرقام الأعطال غامضة ولم يتم شرحها بشكل كافٍ في الأدلة المتاحة. يمكن تقديم حالة شديدة مرتبطة بالجرعة بأولوية منخفضة. يمكن لأجهزة المراقبة المشبعة أن تبلغ عن جرعة ظاهرية منخفضة تمامًا عندما كان الناتج خطيرًا للغاية. يمكن لوحدة التحكم إظهار "تم التحقق" أو "الشعاع جاهز" على الرغم من التناقض في التكوين الفيزيائي والمعاملات الداخلية. سمحت الآلة بالتعرض المتكرر دون فرض وصفة جديدة أو فحص مستقل.
هذه ليست عيوب تجميلية منفصلة. الإنذار هو عنصر تحكم فقط إذا ساعد المشغل في تمييز حالة خطرة واتخاذ الإجراء الصحيح. الإيقاف ذو الأولوية المنخفضة الذي يسمح بالاستمرار الفوري هو تفويض. الشاشة التي تقلل الجرعة المسلمة تغير قرار المشغل. الرسالة "تم التحقق" هي ادعاء سلامة. عندما تتعارض هذه الإشارات مع تقرير المريض عن حرق أو مع شاشة فيزيائية، يجب على النظام توجيه المستخدمين نحو التفسير الأكثر تحفظًا.
دروس الوكالة الدولية للطاقة الذرية اللاحقة من التعرضات الإشعاعية العلاجية العرضية ترسم هذا المبدأ دون إصدار حكم قانوني بأثر رجعي ضد AECL. تدعو إلى التحقق من الإشارات غير المتسقة، افتراض المؤشر الأكثر خطورة حتى يتم دحضه، تصميم واختبار بيئة الإنسان-آلة السريرية، تدريب الموظفين على تفسير الشاشات غير الطبيعية، واستخدام طبقات حماية متعددة. يظهر Therac-25 لماذا تنتمي هذه العناصر إلى النظام الهندسي بدلاً من تركها كيقظة شخصية.
التحكم العملي كان موزعًا، لكنه لم يكن متساويًا
كان لدى AECL أوسع تحكم وقائي. اختارت هندسة الأجهزة والبرمجيات، وقررت أي مفاتيح اعتراضية تحتفظ بها، وسيطرت على الكود المصدري والتوثيق، وحددت معنى وأولوية الإنذارات، وصممت سلوك إعادة التشغيل، وأجرت تحليل المخاطر الأولي، واستلمت التقارير الميدانية، وأصدرت إشعارات العملاء واقترحت الإجراء التصحيحي. كما سيطرت على ما إذا كان المستخدمون والمنظمون يتلقون صورة كاملة عبر المواقع. جعلت هذه الصلاحيات الشركة المصنعة المالك الرئيسي لمخاطر التصميم النظامي وتعلم الحوادث.
هذا لا يعني أن المستشفيات كانت سلبية. سيطرت المرافق على ما إذا كان الصوت والفيديو في الغرفة يعملان، وما إذا كانت وظائف الطباعة والتدقيق ممكّنة، وكيف تم تسجيل الأعطال المتكررة، ومتى تم سحب المعدات، ومدى سرعة تحقيق فيزيائي طبي، وما تم الإبلاغ عنه للسلطات الولائية أو الفيدرالية. يظهر حدث تايلر الأول فشل كشف محلي: كان الرابط السمعي البصري غير متاح واستمر العلاج لاحقًا. يظهر حدث تايلر الثاني تحكمًا محليًا فعالاً: صعد المشغل، أوقف الفيزيائي الاستخدام وأعادت المنشأة بناء السبب. يظهر تحقيق ياكيما الأول حد الخبرة المحلية عندما أنكرت الشركة المصنعة أن الجهاز يمكن أن ينتج الضرر الملاحظ وكانت أدلة المواقع الأخرى غير متاحة.
سيطر المشغلون على إدخال البيانات، إعداد المريض والقرار الفوري بالمتابعة بعد الإيقاف، لكنهم لم يتحكموا في نموذج التزامن الخفي، تصنيف الإنذار، سلوك شاشة الجرعة المشبعة أو مفاتيح الاعتراض المستقلة المفقودة. يجب تقييم أفعالهم مقابل سير العمل المقصود والمعلومات المتاحة. المستخدم المدرب الذي يصحح بسرعة خطأ إدخال شائع ليس إدخالًا عدائيًا غير متوقع. الضغط على الأمر الذي توفره الواجهة لإيقاف العلاج ليس دليلاً على أن المستخدم قبل خطر جرعة زائدة غير معلن.
كان للفيزيائيين الطبيين قوة تشخيصية مهمة. قدم عمل هيجر في تايلر التسلسل القابل لإعادة الإنتاج الذي لم تجده خدمة الاختبار الروتينية ولا إعادة بناء هندسي أبطأ في البداية. شكل المستخدمون أيضًا مجموعة، تبادلوا المعلومات وضغطوا من أجل تغييرات في الأجهزة، رسائل أفضل، مراجعة برمجيات مستقلة وسجل تدقيق. ومع ذلك، لم يكن لديهم الوصول إلى المصدر ولم يتلقوا سجلاً كاملاً في وقت مبكر بما يكفي للعمل كشبكة سلامة منسقة.
سيطر المنظمون على النتائج القانونية وبوابة الإجراء التصحيحي. يمكن لـ FDA إعلان المنتج المشع معيبًا، طلب إخطار المشتري ومراجعة خطة AECL التصحيحية. يمكن للسلطات الإشعاعية الكندية طلب الامتثال والتوصية بوقف الاستخدام. لم يشغلوا غرف العلاج أو يكتبوا البرمجيات، ولم يتطلب نظام الإبلاغ الأمريكي بعد من مرافق المستخدم الإبلاغ كما سيفرض القانون لاحقًا. تتعلق مساءلتهم بما إذا تم جمع التحذيرات، واستخدمت السلطة على الفور، وتم الطعن في الإصلاحات المقترحة، واعتمد الإغلاق على الأدلة بدلاً من الادعاء.
كان لدى المرضى الدليل الأكثر مباشرة على الضرر وأقل تحكم في النظام. أبلغ العديد منهم فورًا عن حرارة أو حرق أو أحاسيس تشبه الصدمة تناقض شاشات الآلة. لم يتمكنوا من فحص حالة الآلة، أو الحصول على تاريخ الحوادث عبر المواقع، أو تعطيل ميزة تصميم. نظام سلامة يعامل شهادة المريض على أنها أقل مصداقية من شاشة معروفة بقدرتها على التشبع يضع القوة البيانية مع الإشارة الأقل موثوقية.
فشل الكشف قبل فشل الاستجابة
من المفيد فصل الكشف عن الاستجابة. حدث فشل الكشف عندما لم يحافظ النظام على أدلة أو يفسرها على أن حدثًا غير آمن قد وقع. بيانات العلاج المفقودة في Kennestone، حجرات الأيونات المشبعة، جرعة معروضة منخفضة أو صفرية، رموز الأعطال الغامضة، الأدلة غير المكتملة، مراقبة الغرفة المعطلة وعدم القدرة على إعادة إنتاج التسلسلات الحساسة للتوقيت كلها قللت من إمكانية الملاحظة. التجزئة عبر المواقع جعلت كل عيادة تظهر وكأنها تعاني من شذوذ معزول.
بدأ فشل الاستجابة عندما لم تؤد الأدلة المتاحة إلى احتياط واسع بما فيه الكفاية. بعد هاميلتون، عالجت AECL منطق المفتاح الصغير المشتبه به وقللت عدد المحاولات المسموح بها، لكنها لم تقم بتركيب مفتاح الاعتراض المستقل المطلوب أو تحويل جميع الإيقافات ذات الصلة إلى تعليقات. بعد تقرير ياكيما الأول، صرحت الشركة بأن عطل الآلة وخطأ المشغل لا يمكن أن يكونا قد تسببا في الإصابة. بعد حادث تايلر الأول، دعم الفشل في إعادة إنتاج العطل 54 فرضية كهربائية وأعيدت الآلة إلى الاستخدام. كانت تلك الإجراءات مفهومة فقط إذا كانت الثقة في نموذج السلامة الحالي أكبر من الأدلة السلبية.
يكشف التسلسل عن خطأ معرفي متكرر: عدم القدرة على إعادة الإنتاج تم التعامل معه كثيرًا كدليل على الاستحالة. يمكن للبرمجيات المتزامنة الحساسة للتوقيت أن تكون حتمية ومع ذلك تتهرب من اختبار لا يعيد إنشاء التوقيت وعبء العمل والتفاعل الخبير. نتيجة سلبية يجب أن تقلل أو تعيد توجيه فرضية، لا أن تغلق الخطر عندما تكون العواقب وخيمة والإصابة الفيزيائية متسقة مع التعرض المفرط.
كان التواصل في حد ذاته عنصر تحكم. مستخدم يعرف عن Kennestone وHamilton وYakima سيقيم العطل 54 بشكل مختلف عن مستخدم قيل له أنه لا توجد أحداث جرعة زائدة. منظم يتلقى تقارير في الوقت المناسب من الشركة المصنعة والمرافق يمكنه تحديد نمط في وقت أقرب. مهندس خدمة مع سجلات تدقيق دقيقة يمكنه تمييز عدم تطابق التكوين من عابر كهربائي. غياب تلك الأدلة المشتركة زاد الوقت الذي بقي خلاله التشغيل غير الآمن محتملاً.
الاستنتاج المدعوم هو أن التجميع المبكر والتصعيد المحافظ كان يمكن أن يقصر التعرض للخطر. السجل العام لا يمكنه تحديد ما إذا كان أي حادث لاحق معين كان سيمنع بالتأكيد، لأن الآليات المبكرة الدقيقة لا تزال غير معروفة واختلفت احتياجات العلاج. يمكن أن يظهر أن المؤسسات التي لديها معلومات وتحكم كانت لديها فرص لوقف الاستخدام الروتيني، إضافة حواجز مستقلة أو إصدار تحذيرات أقوى قبل يناير 1987.
نظام الإبلاغ كان حالة مساهمة، وليس عذرًا كاملاً
في وقت الحوادث الأولى، اعتمد الإبلاغ عن الأجهزة الطبية الأمريكية بشكل كبير على المصنعين والمستوردين. لم تكن المستشفيات والمهنيون الصحيون بعد خاضعين لواجب الإبلاغ الفيدرالي اللاحق لمرافق المستخدم. وصلت تقارير تايلر إلى FDA عبر وزارة الصحة في تكساس قبل تقرير الجهاز الطبي المفصل من AECL. جعل هذا الهيكل نظام الإنذار المبكر الفيدرالي عرضة للشك المحلي وتدفق معلومات الشركة المصنعة.
لم يكن الضعف نظريًا فقط. وجد مراجعة GAO المعاصرة لعام 1986 لنقص الإبلاغ عن الأجهزة الطبية ثغرات خطيرة في كيفية تواصل المستشفيات والمصنعين وFDA حول مشاكل الأجهزة وأوصى بعلاقات إبلاغ أقوى. وجد مراجعته اللاحقة لتنفيذ FDA للإبلاغ عن الأجهزة الطبية نقصًا في تقييم الامتثال ومعالجة البيانات وتوثيق كيف أدت التقارير إلى إجراء تصحيحي. خلصت شهادة GAO أمام الكونغرس عام 1989 إلى أن نظام الإبلاغ لم يوفر الإنذار المبكر المقصود وأن سلطة FDA القانونية على الاستدعاءات كانت محدودة.
غير الكونغرس الإطار بعد الحوادث. تطلب قانون الأجهزة الطبية الآمنة لعام 1990 من مرافق استخدام الأجهزة الإبلاغ عن المعلومات التي تشير بشكل معقول إلى أن جهازًا تسبب أو ساهم في وفاة مريض أو إصابة خطيرة، وحدد مواعيد إبلاغ، ووسع صلاحيات التصحيح والإزالة والاستدعاء. هذا القانون دليل على استجابة سياسية لاحقة لنقاط ضعف المراقبة الواسعة. لا يجب وصفه كنتيجة قضائية بأن حوادث Therac-25 تسببت في كل بند، ولا يجب تطبيق واجباته اللاحقة بأثر رجعي على المستشفيات في عام 1985.
عملت السلطة الكندية من خلال هيكل مختلف. حظر قانون الأجهزة الباعثة للإشعاع بيع أو استئجار أو استيراد الأجهزة التي فشلت في تلبية المعايير المطبقة أو خلقت مخاطر إشعاعية محددة وقدم صلاحيات التفتيش والإخطار والتنظيم. طلب مكتب حماية الإشعاع الكندي تغييرات في الأجهزة والبرمجيات بعد هاميلتون ونسق لاحقًا مع FDA بشأن وقف الاستخدام الروتيني. لا يزال السجل يظهر تأخيرًا بين أول مفتاح اعتراض مستقل مطلوب وتركيبه من خلال الإجراء التصحيحي النهائي.
التجزئة التنظيمية مهمة أيضًا في الولايات المتحدة. يوضح الوصف الحالي لـ NRC للاختصاص الإشعاعي أن الولايات تنظم آلات إنتاج الإشعاع مثل أجهزة الأشعة السينية ومسرعات الجسيمات، بينما للوكالات الفيدرالية أدوار متميزة. لذلك تضمن Therac-25 المستشفيات وسلطات الإشعاع الولائية وFDA وهيئات كندية. الاختصاص الموزع ليس بالضرورة معيبًا، لكنه يتطلب طريقًا واضحًا لشذوذ علاج محلي ليصبح إشارة منتج وطنية وعابرة للحدود.
السبب الجذري والظروف المساهمة والمحفزات يجب أن تبقى منفصلة
كان المحفز المباشر لتايلر هو التحرير السريع ضمن نافذة توقيت. كان المحفز المباشر لياكيما الثانية هو إجراء الضبط في لحظة تجاوز متغير ذي 8 بت إلى الصفر. هذه الأحداث اختارت مسارات غير آمنة في البرمجيات. إنها ليست السبب الجذري لأن أيا منها لا يشرح لماذا كان للمسار سلطة تنشيط طاقة خطرة دون إيقاف مستقل.
فرضية السبب الجذري المركزية المدعومة بالسجل هي معمارية وتنظيمية: انتقلت مسؤولية السلامة من مفاتيح اعتراض الأجهزة المستقلة نحو البرمجيات دون تحليل مخاطر، دورة حياة برمجيات، تحقق متكامل، تصميم واجهة ونظام تعلم حوادث يتناسب مع الضرر المحتمل. سمح التصميم لسلسلة واحدة مسيطر عليها بالبرمجيات بتعيين التكوين، الحكم على الاتساق، عرض الحالة وتفويض العلاج. الاعتماد المشترك هزم مظهر الفحوصات المتعددة.
شملت الظروف الهندسية المساهمة إجراءات معاد استخدامها لم يظهر إعادة التحقق من افتراضاتها في الهندسة المعمارية الجديدة؛ متغيرات مشتركة ومهام متزامنة بدلالات حالة غير آمنة؛ عدم وجود فحص اتساق نهائي؛ شاشات يمكن أن تشبع؛ معالجة أعطال سمحت بإعادة التشغيل؛ رسائل غامضة؛ توثيق برمجيات ضئيل؛ وممارسات اختبار فشلت في البداية في تضمين تحرير بسرعة خبير واقعية. معالجة شجرة الأعطال الأصلية للبرمجيات قللت من فرصة فحص هذه المسارات قبل النشر.
شملت الظروف التشغيلية المساهمة إيقافات مؤقتة حميدة متكررة، تدريب المشغلين الذي أكد على وفرة آليات السلامة، قنوات تدقيق ومراقبة غرفة مفقودة أو معطلة، وقدرة محدودة للمرافق على مقارنة الحوادث. قرار محلي باستئناف التشغيل كان مهمًا، لكنه حدث داخل بيئة معلومات صممها وأثرت عليها الشركة المصنعة.
شملت ظروف الحوكمة المساهمة متابعة ضعيفة للحوادث، ادعاءات قوية بالاستحالة أو تحسن كبير في السلامة دون سبب جذري معاد إنتاجه، نشر غير كامل للمعلومات السلبية، تقديمات تصحيحية تفتقر إلى تفاصيل البرمجيات المطلوبة وخطط الاختبار، وتأخير في تحويل توصيات حماية الأجهزة المستقلة إلى حواجز مثبتة. يُظهر سجل FDA المقتبس في التحقيق طلبات متكررة للتوثيق، تحليل التفاعل، رسائل ذات معنى واختبار التركيب.
يجب أيضًا فصل فشل الاستجابة عن فشل التعافي. كانت الاستجابة بطيئة عندما استمرت الآلات في الاستخدام السريري الروتيني بينما بقي الخطر غير مؤكد. أصبح التعافي تحديًا منفصلًا عندما تطلبت مراجعات متعددة لخطة العمل التصحيحية وحددت التعديلات أنظمة فرعية جديدة غير مغطاة. الإصلاح الذي لا يمكن تركيبه واختباره والتحقق منه بشكل متسق عبر كل وحدة ليس أسطولًا متعافيًا بعد.
لا يمكن اختصار التأثير إلى جرعة واحدة أو عدد وفيات واحد
التأثير المؤكد شديد. ستة حوادث معروفة تضمنت جرعات زائدة هائلة. عانى المرضى من إصابة إشعاعية، إعاقة، ألم طويل ووفيات بالارتباط الزمني وفي بعض الحالات الموثقة طبياً مع التعرضات. توفي مريضا تايلر من إصابة مرتبطة بالجرعة الزائدة وفقًا للتحقيق. كان مريض ياكيما الثاني مصابًا بسرطان نهائي قبل الحادث وتوفي بعد معاناة مضاعفات الجرعة الزائدة؛ زعم الناجون أن التعرض قصر الحياة وزاد المعاناة، وتمت تسوية الدعوى. توفي مريض هاميلتون من سرطان عدواني، بينما حدد سجل التشريح ضررًا إشعاعيًا خطيرًا كان سيتطلب علاجًا كبيرًا لولا ذلك.
يجب أن تبقى ادعاءات الجرعة الدقيقة مؤهلة. تشبعت حجرات الأيونات في الآلة، أنتجت مرافق مختلفة نواتج مختلفة، تفاوتت معدلات النبض، وبعض الجلسات كانت تفتقر إلى بيانات مطبوعة. أنتجت عمليات المحاكاة بعد الحوادث نطاقات بدلاً من قياسات مباشرة. لذلك لا تحول المقالة كل تقدير إلى جرعة مريض مقاسة أو تقارن التعرض الموضعي بالفتك الكامل للجسم كما لو كانت التأثيرات البيولوجية متكافئة.
التأثير التشغيلي امتد إلى ما بعد المرضى الستة. اعتمدت إحدى عشرة منشأة على جهاز لا يمكن تحديد حالته الآمنة من شاشته الخاصة. كان على العيادات تعليق أو تقييد العلاج، فحص الآلات، تغيير سير العمل، الانضمام إلى اجتماعات المستخدمين وإدارة المرضى الذين يحتاجون علاجًا مستمرًا. تحمل المشغلون والفيزيائيون عبء إعادة بناء السلوك دون الوصول إلى المصدر أو معلومات الحوادث الكاملة. أمضى المنظمون والمستخدمون أكثر من عامين في الانتقال من اكتشاف تايلر إلى تحليل السلامة النهائي.
التأثير القانوني والمالي أقل قابلية للقياس. يسجل التحقيق المصدر عدة دعاوى وتسويات خارج المحكمة، لكن السجل العام الأولي الذي تمت مراجعته هنا لا يوفر حكمًا على الأسس يقسم المسؤولية، شروط التسوية الكاملة، مدفوعات شركات التأمين أو إجمالي الأضرار. التسوية تؤكد حل النزاع، وليس الإهمال المحكوم به أو اعتراف. سيكون من المضلل تحويل النتائج الخاصة إلى تكلفة مؤسسية دقيقة أو حكم قانوني.
التأثير النظامي الأوسع كان تغييرًا في ما تتطلبه سلامة الأجهزة الطبية من أدلة. عزز القانون اللاحق الإبلاغ عن الأحداث السلبية وسلطة الاستدعاء. أضافت اللائحة اللاحقة ضوابط التصميم. يطالب التوجيه الحديث بوثائق برمجيات قائمة على المخاطر، تحقق وعمل عوامل بشرية. Therac-25 ذو صلة بتلك الضوابط، لكن الصلة ليست دليلاً على أن سلسلة حوادث واحدة أنتجت النظام الحديث بأكمله.
الإجراء التصحيحي انتقل من حل مؤقت للمفتاح إلى حواجز مستقلة
ركز تعليمات AECL الأولى بعد تايلر للمستخدم على تعطيل مفتاح السهم لأعلى، بما في ذلك منع استخدامه فيزيائيًا، بحيث يعيد المشغلون إدخال الوصفة بأكملها. رفضت FDA هذا الإشعار باعتباره غير كافٍ لأنه لم يشرح العيب أو الخطر ونبرته لم تنقل الإلحاح. هذا تمييز للمساءلة بين حل مؤقت تشغيلي وإصلاح سلامة. حل مؤقت يمكن أن يقلل من محفز واحد بينما يترك المستخدمين غير قادرين على تقييم المخاطر المتبقية.
ذهبت خطة العمل التصحيحية الرسمية الأولى في يونيو 1986 إلى أبعد من ذلك. اقترحت إصلاح سلوك تايلر، تغيير مراقبة النبض، تحويل العديد من الأعطال من إيقافات إلى تعليقات، إضافة دائرة لتثبيط المغير بعد نبضة مفرطة، تحديد مفاتيح التحرير ومراجعة الأدلة. وافقت FDA على الاتجاه لكنها طلبت مرارًا المزيد من توثيق البرمجيات، تحليل التفاعل وخطة اختبار مفصلة. ردت AECL في البداية بأنه لا توجد خطة اختبار برمجيات واحدة وتقرير لأن الأجهزة والبرمجيات قد تم اختبارها على مر السنين.
يظهر سجل الاستجابة التنظيمية والمستخدمة لماذا تطلبت خطة العمل التصحيحية خمس مراجعات. اعترضت FDA على الاحتفاظ بسلوك الإيقاف لأعطال معدل الجرعة وانحراف الشعاع، وطلبت رسائل ذات معنى وأرادت اختبارًا صارمًا لكل تعديل برمجي مستقبلي. بعد حادثة ياكيما الثانية، استنتجت الوكالة أن البرمجيات وحدها لا يمكن أن تضمن التشغيل الآمن. وصلت السلطات الكندية إلى موقف موازٍ. تم تثبيط الاستخدام الروتيني بينما تم تطوير التغييرات الدائمة.
ساهمت مشاركة المستخدم في تحسين الخطة بشكل كبير. في اجتماع مارس 1987، استعرض المستخدمون وAECL وFDA والمنظمون الكنديون والممثلون التقنيون جميع الحوادث الستة. طلب المستخدمون تقييم برمجيات مستقل، الوصول إلى المصدر، سجل تدقيق مطبوع وتعديلات إضافية في الأجهزة. يقول السجل إن الكود المصدري لم يتم توفيره وذكرت قيود الذاكرة ضد خيار التدقيق. تركت تلك القرارات بعض فجوات الشفافية، لكن الاجتماع خلق آلية مباشرة لاختبار اقتراح AECL ضد الخبرة السريرية.
غيرت خطة العمل التصحيحية النهائية في يوليو 1987 الهندسة المعمارية والتشغيل. أصبحت انقطاعات قياس الجرعة تعليقات وليست إيقافات قابلة للاستئناف. كان على المشغلين إعادة إدخال المعلمات. تمت إضافة حماية إيقاف النبضة الواحدة، بما في ذلك حماية الأجهزة الموصوفة سابقًا في العملية. تمت إضافة مفاتيح اعتراض لموضع الطاولة الدوارة ومغناطيس الانحناء. تم حظر تنشيط الشعاع عندما كانت الطاولة الدوارة في ضوء المجال أو موضع وسيط. تم استبدال رموز الأعطال الغامضة برسائل ذات معنى، تم تقييد سلوك التحرير، تم إصلاح عيوب تايلر وياكيما المعروفة، تمت مراجعة الأدلة وعالجت العديد من التغييرات البرمجية الأخرى أعطالاً وجدت أثناء المراجعة.
كانت موافقة FDA مشروطة بنتائج الاختبار النهائية، تحليل سلامة مستقل، توثيق منقح وإكمال التركيب. حدد تحليل السلامة اللاحق أنظمة فرعية إضافية حساسة للسلامة لم يتم تغطيتها بالكامل بمراجعة سابقة لخطة العمل التصحيحية، مما يظهر قيمة مراجعة الخطر بما يتجاوز الأخطاء المستنسخة. أضافت توصياته حماية مستقلة عن الكمبيوتر للمسح واختيار الطاقة واستمرت صيانة البرمجيات في الإصدارات اللاحقة.
يصنف سجل استدعاء GAO الإجراء الأمريكي كفئة I، الفئة المخصصة لاحتمال معقول لعواقب صحية سلبية خطيرة أو وفاة. يؤرخ الاستدعاء إلى 3 يونيو 1987، بينما يظهر السرد عملية تمتد قبل وبعد ذلك التاريخ الإداري. تاريخ الاستدعاء، موافقة خطة العمل التصحيحية، التركيب وتقرير تحليل السلامة النهائي هي معالم مختلفة. معاملة أي منها كلحظة الإصلاح من شأنها أن تحجب كم من الوقت استغرق تجميع الضمان.
أدلة الإصلاح حقيقية، لكن القارئ الحديث لا يمكنه إعادة إنتاج حالة السلامة الكاملة
أقوى دليل إصلاح هو التغيير من الاعتماد المشترك على البرمجيات إلى الحماية الفيزيائية المستقلة. إيقاف الأجهزة بعد نبضة مفرطة واحدة وفحوصات مستقلة لحالة الطاولة الدوارة والمسح واختيار الطاقة يمكن أن تحتوي على عيوب برمجية لم يتم اكتشافها. التعليقات تمنع المشغل من تفويض حالة جرعة غير محلولة بشكل متكرر. رسائل أفضل تحسن الكشف. اختبار التركيب وبروتوكولات التعديل المستقبلية تقلل من فرصة نسخ تصميم صحيح أو تكوينه بشكل غير صحيح.
التحدي التنظيمي هو شكل آخر من الأدلة. لم تقبل FDA أول إشعار مستخدم أو أول خطة عمل تصحيحية كافية. طلبت مواصفات، خطط اختبار، تحليل تفاعل، رسومات أوضح، اختبار تعديل مستقبلي والتحقق من التركيب. حددت بيانات اختبار متضاربة وطلبت تحليل سلامة مستقل. ضغطت السلطات الكندية والمستخدمون من أجل حواجز الأجهزة. هذا السجل أقوى من إعلان الشركة المصنعة وحده.
يتوقف السجل العام مع ذلك دون حزمة ضمان كاملة قابلة لإعادة الإنتاج. لا يكشف عن شجرة المصدر الكاملة وتاريخ الإصدار، جميع متطلبات ما قبل وما بعد التعديل، كل إدخال اختبار ونتيجة متوقعة، تغطية حالات التوقيت والتجاوز، تحليل الاستقلال لكل مفتاح اعتراض، سجلات التركيب لكل وحدة، سجل العيوب غير المحلولة، أو البيانات الميدانية طويلة الأمد حسب إصدار البرمجيات والأجهزة. يقول ملخص التحليل النهائي نفسه إن الفحص لا يمكن أن يوفر ثقة عالية لبعض الوظائف المعقدة.
غياب كارثة Therac-25 موثقة علنياً بعد التعديل التحديثي يتسق مع الإصلاح الفعال، لكنه ليس اختبارًا مسيطرًا عليه. كان الأسطول صغيرًا، تغير الاستخدام، تقادمت الآلات وكان الإبلاغ العام غير كامل. الاستنتاج القابل للدفاع هو أن خطة العمل التصحيحية عززت النظام بشكل جوهري وسدت المسارات الكارثية المعروفة على وجه التحديد. الادعاء الأقوى بأن كل مسار برمجي خطير تم العثور عليه وإزالته ليس ضروريًا ولا مدعومًا.
القانون والمعايير اللاحقة يظهران ما هي الأدلة المفقودة، وليس ما كان مطلوبًا قانونيًا في 1985
لم يكن لدى الولايات المتحدة إطار ضوابط التصميم اللاحق عندما دخل Therac-25 الخدمة. وسع قانون 1990 آليات الإبلاغ والاستدعاء. أضافت قاعدة نظام الجودة النهائية لـ FDA لعام 1996، السارية في 1997، ضوابط تصميم ما قبل الإنتاج بعد أن وجدت الدراسات أن عيوب التصميم تقف وراء حصة كبيرة من الاستدعاءات والإخفاقات المتعلقة بالبرمجيات. لا يجب تقديم هذه القواعد اللاحقة كمطالبات انتهكتها AECL قبل وجودها. إنها معيار لتحديد فئات التحكم التي كان السجل التاريخي يفتقر إليها.
وصفت المبادئ العامة لـ FDA للتحقق من صحة البرمجيات لاحقًا التحقق كأدلة دورة حياة بدلاً من حدث اختبار نهائي. تدعو إرشادات ما قبل التسويق الحالية للوكالة لوظائف برمجيات الأجهزة إلى توثيق متناسب مع المخاطر، بما في ذلك الهندسة المعمارية، المتطلبات، تحليل المخاطر، التحقق والتصديق، تاريخ المراجعة والشذوذات غير المحلولة. الغرض من الاستشهاد بهذه الوثائق هو مقارن: تجعل القطع الأثرية التي يتوقعها المراجع الحالي لكن لا يمكن العثور عليها في سجل Therac-25 الباقي مرئية.
تعالج توقعات العوامل البشرية الحديثة أيضًا مسار الواجهة. تعامل إرشادات العوامل البشرية وقابلية الاستخدام لـ FDA المستخدمين المقصودين، بيئات الاستخدام، المهام الحرجة والمخاطر المتعلقة بالاستخدام كمدخلات تصميم. تحت هذا النهج، كان سيتم اختبار التصحيح السريع من قبل مشغل متمرس، الإيقافات المتكررة، الرسائل الغامضة وأمر المتابعة بمفتاح واحد كجزء من مشكلة السلامة، لا رفضها كسلوك خارج السيطرة الهندسية.
تعترف FDA بـ IEC 62304 كمعيار دورة حياة برمجيات الأجهزة الطبية. إطاره العملي لا يضمن برمجيات آمنة ولا يتحقق من الجهاز النهائي بمفرده. لكنه يتطلب عملية تطوير وصيانة محفوظة تجعل المتطلبات، ضوابط المخاطر، التكوين، حل المشكلات وتأثير التغيير أكثر قابلية للتدقيق. هذا ذو صلة مباشرة بالكود الموروث عبر أجيال Therac والذي تم تصحيحه لاحقًا من خلال عدة مراجعات لخطة العمل التصحيحية.
اعتبارًا من تاريخ نشر المقالة، أصبح لائحة نظام إدارة الجودة لـ FDA سارية المفعول منذ 2 فبراير 2026 وتدمج ISO 13485:2016 بالإشارة. تمنح المنظمين الحاليين إطارًا أوسع لإدارة الجودة والتفتيش، بما في ذلك التصميم والتطوير، التحقيق في الشكاوى والسجلات. إنها دليل على خط الأساس الحالي للمساءلة، وليس دليلاً على ما كان سيجده التفتيش في AECL قبل أربعة عقود.
إطار الإبلاغ أصبح الآن أكثر وضوحًا أيضًا. يتتبع تاريخ لائحة الإبلاغ عن الأجهزة الطبية التوسع بعد 1990 ليشمل مرافق المستخدم، ونظرة عامة على الإبلاغ الحالية تميز بين واجبات الشركة المصنعة والمستورد والمنشأة. القواعد الأفضل تحسن فرصة أن يصبح شذوذ مستشفى واحد إشارة منتج. ما زالت تعتمد على الموظفين في التعرف على أن حدثًا ما قد يكون متعلقًا بالجهاز والحفاظ على أدلة كافية للتحقيق فيه.
المسؤولية لا يمكن استنتاجها من التحكم التقني وحده
التحكم العملي هو طريقة منضبطة للتحقيق في المسؤولية، لكنه ليس بديلاً عن تطبيق المحكمة للقانون. سلطة AECL في التصميم والمعرفة ودورها التصحيحي تدعم مساءلة هندسية قوية. سلطات المستشفيات في التشغيل والإبلاغ تدعم فحص القرارات المحلية. سلطة المنظمين تدعم التدقيق في التوقيت والكفاية. لا يثبت أي من هذه الملاحظات عناصر الإهمال، السببية، عيب المنتج، الانتهاك القانوني أو الأضرار في اختصاص وقضية معينة.
اعتمد التحقيق الأصلي على إفادات وأفاد بأن عدة دعاوى سُويت خارج المحكمة. التسوية قد تعكس تكلفة التقاضي، عدم اليقين، التأمين، السرية، التعاطف أو توزيع المخاطر. بدون شروط عامة ونتائج محكومة، لا يمكن أن تثبت اعترافًا أو خسارة إجمالية. لا يظهر حكم أسس علني يمكن الوصول إليه في حل ادعاءات إصابة Therac-25 الرئيسية في السجل الأولي المستخدم هنا.
الهوية المؤسسية تتطلب أيضًا عناية. كانت AECL شركة تاج كندية، وغيرت أعمالها الطبية لاحقًا أسماء وملكية. الموضوع الظاهر هو Atomic Energy of Canada Limited لأن AECL سيطرت على المنتج خلال فترة الحوادث وخطة العمل التصحيحية. لا يجب أن ترث الكيانات اللاحقة تلقائيًا المعرفة الوقائعية أو المسؤولية القانونية دون سجلات المعاملات والمؤسسية التي تثبت ذلك الارتباط.
المساءلة تبقى ممكنة دون المبالغة في ادعاء المسؤولية. يمكن للمقالة تحديد من يمكنه منع وكشف وتحديد وإصلاح الخطر؛ مقارنة تلك القوى بالأفعال الفعلية؛ والحفاظ على عدم اليقين حول النتائج القانونية. هذا ينتج نتيجة أكثر فائدة من إعلان الذنب من عيب برمجي أو معاملة التسويات السرية كتبرئة.
السيناريوهات المضادة المبكرة أكثر فائدة من خيال الكود المثالي
أضعف سيناريو مضاد هو أن مبرمجين أفضل كانوا سيكتبون كودًا خاليًا من العيوب. إنه غير قابل للاختبار ويضع المعيار الخاطئ. يمكن للبرمجيات المتزامنة في الزمن الحقيقي أن تحتوي على عيوب على الرغم من العمل الكفء. حالة السلامة يجب أن تفترض أن بعض العيوب تبقى وتمنع عيبًا واحدًا من الوصول إلى طاقة كارثية.
أقوى سيناريو مضاد يبدأ في الهندسة المعمارية. إذا احتفظ Therac-25 بمفاتيح اعتراض مستقلة للمسح والطاولة الدوارة مماثلة لحمايات Therac-20، كان عيب التحرير المشترك قد تسبب في إيقاف بدلاً من تعرض. هذا مدعوم بالاكتشاف اللاحق لنفس فئة العيب على Therac-20 دون إصابة مريض وبالحواجز المستقلة المختارة في خطة العمل التصحيحية النهائية. لا يثبت أن كل واحدة من الحوادث الست كانت ستمنع، لأن المسارات الدقيقة للحوادث الثلاث الأولى غير معروفة.
سيناريو مضاد ثانٍ يبدأ بعد Kennestone. إذا كان سؤال الفيزيائي وإصابة المريض وإشعار الدعوى قد دخلت سجل مخاطر رسمي مشترك مع جميع المستخدمين والمنظمين، لكان لدى المرافق اللاحقة سبب لعدم الثقة في جرعة ظاهرية منخفضة وادعاءات الاستحالة. كان يمكن تقييد الآلة بينما يتم اختبار سلوك المسح والمفتاح الاعتراضي في أسوأ الحالات. السجل لا يمكنه إثبات أن الأدلة المتاحة في يونيو 1985 كانت كافية لاستدعاء قاطع، لكنها كانت كافية لتحقيق متحفظ وموثق.
ثالث يبدأ بعد هاميلتون. أوصى المسؤولون الكنديون ومستشار مستقل بمفتاح اعتراض موضع مستقل ومعالجة غير قابلة للاستئناف لأعطال معدل الجرعة. تركيب تلك التغييرات عبر الأسطول قبل استئناف الاستخدام الروتيني كان سيعالج فئة التكوين غير الآمن على نطاق أوسع من تعديل منطق المفتاح الصغير. تبنت خطة العمل التصحيحية اللاحقة ضوابط مرتبطة ارتباطًا وثيقًا. لذلك من المعقول استنتاج أن التنفيذ المبكر كان يمكن أن يقلل المخاطر، مع تجنب الادعاء بأنه كان سيمنع بالتأكيد آلية Kennestone أو ياكيما الأولى غير المعروفة.
رابع يبدأ عند كشف تايلر الأول. قاعدة أن أي تناقض خطير في الجرعة يتطلب تعليق العلاج، تقييم المريض، الحفاظ على حالة الآلة وتصعيد البائع والمنظم كان سيمنع الاستمرار الفوري بمفتاح واحد. الصوت والفيديو العاملان كانا سيحسنان الكشف البشري. لا يصلح أي من التحكمين البرمجيات، لكن كلاهما يحد من التعرض المتكرر ويحسن الأدلة. بعد الحدث الأول، الاحتفاظ بالآلة خارج الخدمة السريرية حتى إعادة إنتاج العطل 54 كان سيمنع على الأرجح تعرض تايلر الثاني على تلك الوحدة.
خامس يتعلق بالاختبار. إعادة تشغيل التحرير بسرعة خبير، عشوائية توقيت المهام، إجبار تجاوز البايت، حقن حالة مشتركة قديمة ومتناقضة، تشبع مدخلات القياس والتحقق من التكوين الفيزيائي النهائي مقابل الوصفة كان سيكون له فرصة أفضل لكشف المسارات المعروفة من الاستخدام المتكرر العادي. الاستنتاج مدعوم بكيفية إعادة إنتاج فيزيائي تايلر للعيب وكيف تم شرح ياكيما في النهاية. الأدلة العامة لا يمكن أن تظهر أي تقنية كانت ستجد أي عيب قبل الإصدار.
حقائق مؤكدة، استنتاج مدعوم ومجهولات عامة
تشمل الحقائق المؤكدة الحوادث الستة المعروفة؛ دور السلامة الأكبر الممنوح لبرمجيات Therac-25؛ غياب بعض الحمايات المستقلة المحفوظة في الآلات السابقة؛ استبعاد تحليل 1983 للأخطاء البرمجية المتبقية؛ مسار التحرير المعتمد على التوقيت في تايلر؛ مسار تجاوز العداد في ياكيما؛ سلوك الواجهة المضلل أو الغامض؛ تجزئة اتصالات الحوادث؛ نتيجة FDA للعيب والاعتراضات المتكررة على خطة العمل التصحيحية؛ المطالب الكندية بالتغيير؛ استدعاء الفئة I الأمريكي؛ والإجراء التصحيحي النهائي الذي أضاف حماية أجهزة مستقلة وتغييرات برمجية وسلوك تعليق أقوى وتوثيق منقح.
من المؤكد أيضًا أن سجل FDA لم يقبل عدة تأكيدات من AECL بقيمتها الاسمية. رفضت الوكالة إشعار مستخدم أولي غير كافٍ، طلبت المزيد من التفاصيل والاختبارات، شككت في البيانات التي لا تدعم الإصلاح المدعى، تطلبت تغييرات تتجاوز عيب تايلر وعلقت موافقة خطة العمل التصحيحية على النتائج النهائية والتحليل المستقل. ساهم المستخدمون والمسؤولون الكنديون في مجموعة التحكم النهائية. لذلك تم التفاوض على الإصلاح واختباره عبر عدة مؤسسات، وليس تسليمه كتصحيح واحد غير متنازع عليه.
يبدأ الاستنتاج المدعوم حيث تتفاعل تلك الحقائق. الحواجز المستقلة المبكرة كانت ستمنع على الأرجح بعض التعرضات الكارثية على الأقل لأن نفس النوع من عدم تناسق البرمجيات تم احتواؤه بواسطة الأجهزة على Therac-20 ولأن خطة العمل التصحيحية النهائية اختارت تلك الحواجز. سجل مخاطر مشترك وتحذير سريع عبر المواقع كان من المحتمل أن يسرع التعرف لأن اعتقاد كل منشأة بالاستحالة اعتمد جزئيًا على معلومات الحوادث المفقودة. اختبار متكامل أكثر واقعية كان يمكن أن يكشف ظروف التوقيت والتجاوز. هذه الاستنتاجات هي تأثيرات تحكم محتملة، وليس تاريخًا بديلاً معاد بناؤه.
عدة حقائق متنازع عليها أو غير مؤكدة. اختلف توقيت واكتمال المعرفة المبكرة لـ AECL عبر حسابات الشركة والمستشفى والدعوى. لم يتم إعادة إنتاج آلية هاميلتون بقوة. لا يمكن إسناد الحوادث الثلاث الأولى إلى عيب برمجي معين من الأدلة العامة. جرعات المرضى الدقيقة تختلف حسب إعادة البناء وظروف الآلة. بالنسبة لبعض المرضى، أثر كل من السرطان والإصابة الإشعاعية على النتائج، لذا لا يمكن لعدد وفيات بسيط التعبير عن السببية الطبية. الأسباب الخاصة وراء خيارات التصميم وتوزيع السلطة المؤسسية بين أفراد محددين ليست عامة.
المجهولات القانونية والمالية كبيرة. مبالغ التسوية وشروطها غير متاحة في السجل الأولي الأساسي. لا يوجد قرار أسس علني يوزع المسؤولية عبر AECL أو المستشفيات أو الأطباء أو منظمات الخدمة. التغطية التأمينية والتعويضات والنفقات القانونية وإجمالي التعويضات غير متاحة. غياب تلك السجلات لا يعني عدم وجود تكلفة أو مسؤولية؛ إنه يمنع الادعاءات الدقيقة.
مجهولات الإصلاح تبقى أيضًا. المصادر العامة لا توفر كل نتيجة اختبار لخطة العمل التصحيحية، جميع أوراق عمل المراجعة المستقلة، كل سجلات تركيب الوحدة، تاريخ التحكم في المصدر أو معدل الحوادث الطولي. لا تثبت كيف تصرفت كل آلة معدلة حتى التقاعد. يظهر الإطار التنظيمي والمعايير اللاحق ما كانت حزمة الأدلة الحالية ستحتويه، لكنه لا يمكنه تصنيع القطع الأثرية المفقودة بأثر رجعي.
الأدلة التي يمكن أن تغير الاستنتاج تشمل سجل مخاطر AECL الكامل، تاريخ المصدر والتغيير، المتطلبات الأصلية وتحليلات السلامة، سجلات المراجعة الداخلية، جميع سجلات خدمة المنشأة، مراسلات المنظمين غير المستنسخة في التحقيق، بيانات اختبار خطة العمل التصحيحية الكاملة، نتائج قبول التركيب وسجلات المحكمة أو التسوية المرفوعة عنها السرية. مثل هذه المواد يمكن أن تصقل من عرف ماذا ومتى. لن تغير الحقيقة الفيزيائية الأساسية أن الحواجز المستقلة كانت غائبة قبل الحوادث وأضيفت أثناء الإصلاح، لكنها يمكن أن تغير بشكل جوهري توزيع وتوقيت المسؤولية التنظيمية.
اختبار مساءلة دائم لسلامة الأجهزة الطبية المعتمدة على البرمجيات
الاختبار الأول هو ملكية الخطر. لكل حالة طاقة خطرة، هل هناك مالك تنظيمي واحد مسمى له سلطة على المتطلبات والهندسة المعمارية والتحقق والمراقبة الميدانية والإجراء التصحيحي؟ هل يحافظ ذلك المالك على الخطر عبر أجيال المنتج والمكونات المعاد استخدامها؟ الخطر المقسم بين فرق الأجهزة والبرمجيات والسريرية دون نقطة تكامل مسؤولة واحدة يحتمل أن يقع بينهم.
الاختبار الثاني هو استقلال الحاجز. هل يمكن لعيب برمجي واحد، متغير مشترك قديم، تكوين فاسد أو أمر خاطئ أن يهزم كلاً من إجراء التحكم وفحصه؟ روتين برمجي ثانٍ على نفس المعالج، يقرأ نفس الحالة ويستخدم نفس الافتراضات، قد يكون مكررًا في الكود لكنه ليس مستقلاً في السلامة. الطاقة الكارثية تتطلب حاجزًا لا ينتج فشله عن نفس المسار: استشعار موضع فيزيائي، قطع سلكي، مراقبة مستقلة أو آلية أخرى منفصلة بشكل واضح.
الاختبار الثالث هو التحكم في الافتراضات عبر إعادة الاستخدام. هل كل روتين معاد استخدامه يحمل افتراضات موثقة حول مفاتيح اعتراض الأجهزة، التوقيت، النطاق العددي، سلوك المجدول، صلاحية المستشعر وسير عمل المشغل؟ هل يتم إعادة التحقق من تلك الافتراضات عندما تنتقل البرمجيات إلى منتج جديد؟ تاريخ تشغيل طويل في سلف محمي ليس دليلاً ميدانيًا لخلف يزيل الحماية.
الاختبار الرابع هو أدلة البرمجيات القائمة على الخطر. هل تبدأ المتطلبات بالحالات الفيزيائية غير الآمنة والقيود المطلوبة، أم بالميزات والسلوك المتوقع؟ هل يمكن للمراجعين تتبع كل خطر إلى المتطلبات والهندسة المعمارية والكود والاختبارات والمخاطر المتبقية والمراقبة الميدانية؟ هل يتم تقييم الشذوذات غير المحلولة لأسوأ نتيجة معقولة بدلاً من التكرار وحده؟ اجتياز العلاجات العادية لا يمارس مجموعات الحالة النادرة.
الاختبار الخامس هو اختبار التفاعل الواقعي. هل يتم ملاحظة المستخدمين الخبراء وهم يقومون بتصحيحات شائعة بالسرعة الكاملة؟ هل يتم حقن توقيت المقاطعة، التحريرات السريعة، الإيقافات المتكررة، حدود التجاوز، استباق المهام وقيم المستشعرات المتناقضة عمدًا؟ هل يتضمن الاختبار أسرع مشغل وأكثر خبرة، وليس فقط تسلسلًا بطيئًا مكتوبًا؟ يجب معاملة الكفاءة المقصودة كجزء من بيئة التشغيل.
الاختبار السادس هو سلطة الإنسان-آلة المتحفظة. هل تنقل الشاشة الخطر بلغة يمكن للمشغل التصرف بناءً عليها؟ هل التناقض الخطير يؤدي افتراضيًا إلى تعليق؟ هل يتم منع إعادة التشغيل حتى إعادة تأسيس الحالة وفحصها بشكل مستقل؟ هل يتم قياس الإنذارات المزعجة المتكررة وتقليلها قبل أن تجعل الاستمرار غير الآمن أمرًا طبيعيًا؟ نظام إنذار يعلم المستخدمين تجاهله استهلك هامش سلامته الخاص.
الاختبار السابع هو القياس الصادق. هل يمكن للشاشات تمثيل أسوأ ناتج معقول دون تشبع أو تراجع مضلل؟ عندما تتعارض المؤشرات المستقلة، هل يحافظ النظام على كلاهما ويفترض الحالة الأكثر خطورة؟ هل يتم الاحتفاظ بالقراءات الخام وحدود النطاق وصلاحية المستشعر؟ الصفر المعروض خطير عندما يعني أن الأداة تجاوزت سعتها وليس أن شيئًا لم يحدث.
الاختبار الثامن هو سجل حوادث قابل للتدقيق. هل يحتفظ كل علاج بالوصفة والتحريرات وإصدارات البرمجيات والتكوين وحالات المفاتيح الاعتراضية الفيزيائية وأوامر الشعاع وقراءات الشاشة والإنذارات وإعادة التشغيل ومزامنة الساعة؟ هل يمكن للفيزيائي إعادة بناء التسلسل دون الاعتماد على الذاكرة؟ هل السجل محمي من التعطيل الروتيني ومقاس لعمر المنتج؟ يصبح التحقيق تخمينًا عندما يتجاهل النظام الحالة المهمة.
الاختبار التاسع هو التصعيد عبر المواقع. هل يمكن لأي منشأة الإبلاغ عن حدث خطير مشتبه به دون إثبات أن الجهاز تسبب به أولاً؟ هل يتم تجميع التقارير حسب المنتج والخطر عبر البلدان ومنظمات الخدمة والإدارات المؤسسية؟ هل يتلقى المستخدمون تحذيرات واقعية سريعة تميز الآليات المؤكدة عن المخاطر غير المحلولة؟ لا يجب على الشركة المصنعة انتظار إصابات متطابقة عندما تكون النتيجة الشائعة كارثية.
الاختبار العاشر هو اتساع الإجراء التصحيحي. هل يعالج الرد فقط المحفز المستنسخ، أم يحدد جميع المسارات إلى الحالة الخطرة؟ هل يتم وصف الحلول المؤقتة على هذا النحو، مع المخاطر المتبقية وتاريخ انتهاء الصلاحية؟ هل يشمل الإصلاح النهائي تحليل تأثير التغيير واختبارات الانحدار والمراجعة المستقلة والتحقق من التركيب والمراقبة بعد التسويق؟ تقييد مفتاح يمكن أن يشتري وقتًا؛ لا يمكنه إغلاق حالة سلامة.
الاختبار الحادي عشر هو أدلة جاهزة للمنظم. هل يمكن للشركة المصنعة تقديم المتطلبات والمواصفات وخطط الاختبار والنتائج وسجلات الشذوذ وبيانات التركيب عند الطلب، أم يجب عليها إعادة بنائها بعد الإصابة؟ هل لدى المنظمين سلطة وشبكة إبلاغ تسمح لهم بالتصرف قبل أن تكون لدى الشركة المصنعة يقين تام؟ هل تحدد الموافقة شروطًا ودليل إكمال؟ يضعف ضمان السلامة عندما يتبع التوثيق الإصلاح بدلاً من حوكمته.
الاختبار الثاني عشر هو التحقق الدائم. هل يتم تحدي الحواجز المستقلة بشكل دوري في ظل ظروف عطل واقعية؟ هل يتم تقييم تغييرات البرمجيات مقابل المخاطر الأصلية، حتى بعد تغيير الموظفين والملكية؟ هل يتم تتبع الإنذارات المزعجة والشذوذات الميدانية والحوادث الوشيكة؟ هل تنشر المؤسسة أدلة مجمعة كافية للمستشفيات والمنظمين لمعرفة أن التحكم لا يزال قائمًا؟ غياب الكارثة المبلغ عنها ليس مكافئًا لدليل الأداء.
لذلك لا يجب اختصار Therac-25 إلى قصة أخلاقية عن برمجة مهملة أو مشغلين غافلين. كان نظام تحكم توسعت فيه سلطة البرمجيات بينما لم تتوسع معها الحماية المستقلة وإمكانية الملاحظة والتعلم المؤسسي. العيوب المعروفة جعلت هذا الخلل مرئيًا. الآليات المبكرة غير المثبتة والسجلات غير المكتملة تظهر لماذا لا يمكن للمساءلة أن تعتمد على إيجاد كل خطأ بعد الضرر.
انتقل الإصلاح في الاتجاه الصحيح لأنه غير من يمكنه إيقاف الشعاع وماذا. مفاتيح اعتراض مستقلة، إيقاف نبضة واحدة، أعطال سلامة غير قابلة للاستئناف، رسائل أوضح، تحليل أوسع وإجراء تصحيحي مختبر من قبل المنظم جعل النظام أقل اعتمادًا على كود مثالي وتفسير مثالي. الدرس المتبقي هو إثباتي: يجب على الشركة المصنعة الحساسة للسلامة أن تكون قادرة على إظهار، قبل النشر وبعد كل إشارة خطيرة، أنه لا يمكن لمسار خفي واحد تحويل العمل السريري العادي إلى تعرض كارثي.