AECL machte mit Therac-25 softwareabhängige Verriegelungen zu einer Bewährungsprobe für die Sicherheitsverantwortung bei Medizinprodukten

Zusammenfassung

• Zwischen Juni 1985 und Januar 1987 ereigneten sich sechs bekannte Therac-25-Unfälle mit massiven Strahlenüberdosierungen. Die erhaltenen Unterlagen dokumentieren schwere Verletzungen und Todesfälle, rechtfertigen es jedoch weder, jeden späteren Tod ausschließlich der Überdosis zuzuschreiben, noch jedem Patienten eine einzige exakte Dosis zuzuordnen.
• Zwei unterschiedliche Softwarepfade sind gut belegt. Bei den Unfällen in Tyler konnte die schnelle Bearbeitung von Behandlungsmodus und Energie dazu führen, dass die angezeigten Verordnungsdaten nicht mit der Gerätekonfiguration übereinstimmten. Beim zweiten Unfall in Yakima konnte ein 8-Bit-Zähler auf null überlaufen und eine Prüfung der Kollimatorposition umgehen. Der genaue Softwarepfad der ersten drei Unfälle ist weiterhin unbekannt.
• Das tiefer liegende Kontrollversagen war architektonischer Art. Frühere Therac-Geräte behielten unabhängige Schutzschaltungen und mechanische Verriegelungen bei. Therac-25 übertrug der Software mehr Sicherheitsverantwortung und bildete nicht alle diese Schutzvorkehrungen doppelt ab, sodass ein Softwarefehler und der zugehörige Systemzustand zu einem Pfad für eine katastrophale Bestrahlung werden konnten.
• Die Erkennung versagte auf mehreren Ebenen. Kryptische Meldungen stuften gefährliche Zustände als Behandlungspausen ein, Dosismonitore konnten in Sättigung geraten und eine scheinbare Unterdosis anzeigen, häufige ungefährliche Unterbrechungen konditionierten die Bediener zum Fortsetzen, die Prüfprotokolle der Behandlungen waren unvollständig, und Meldungen verschiedener Krankenhäuser wurden nicht rechtzeitig zu einem gemeinsamen Lagebild zusammengeführt.
• AECL kontrollierte den Entwurf, die Wiederverwendung von Code, die Softwaredokumentation, die Gefahrenanalyse, Kundenwarnungen und den Korrekturmaßnahmenplan. Die Krankenhäuser kontrollierten den lokalen Betrieb, die Beobachtung der Patienten, die Außerbetriebnahme der Geräte und die Eskalation. Die Aufsichtsbehörden kontrollierten die Feststellung von Mängeln, die Einstufung des Rückrufs und die Genehmigung von Korrekturmaßnahmen; das damalige Meldesystem der Vereinigten Staaten war jedoch stark von den Herstellern abhängig und auferlegte den nutzenden Einrichtungen noch nicht die später eingeführten Pflichten.
• Die Belege für die Reparatur sind erheblich, aber begrenzt. Der abschließende Korrekturmaßnahmenplan ergänzte computerunabhängige Abschalt- und Drehtischverriegelungen, wandelte fortsetzbare Pausen in nicht fortsetzbare Sperrzustände um, verbesserte Meldungen, schränkte die Bearbeitung ein, behob bekannte Fehler und verlangte weitere Tests und Sicherheitsanalysen. Die öffentlichen Unterlagen enthalten weder ein vollständiges modernes Validierungspaket noch die Quellcodehistorie, sämtliche Testergebnisse oder einen langfristigen Datensatz zur Leistung im Feldeinsatz.
• Die bleibende Lehre lautet nicht, dass Medizinprodukte Software vermeiden müssen. Sie lautet, dass Software nicht zulassen darf, dass ein katastrophaler Zustand über einen einzigen unkontrollierten Pfad erreichbar wird. Unabhängige Barrieren, von Gefahren ausgehende Anforderungen, realistische Interaktionstests, handlungsorientierte Alarme, Prüfpfade, schnelle standortübergreifende Meldungen und unabhängig überprüfbare Nachweise über Korrekturmaßnahmen gehören sämtlich zum Sicherheitsnachweis.

Die berühmten Fehler sind Belege, nicht die vollständige Erklärung

Therac-25 ist im Gedächtnis geblieben, weil sich Code und Patientenschäden ungewöhnlich klar miteinander verbinden lassen. Diese Klarheit ist nützlich, kann die Verantwortungszuordnung jedoch verzerren, wenn die Untersuchung mit einer Race Condition oder einer überlaufenden Variablen beginnt und endet. Ein Defekt erklärt, wie sich ein bestimmter Ausführungspfad verhielt.

Für sich allein erklärt er nicht, warum ein einzelner Pfad einen Hochenergiestrahl in eine unsichere Konfiguration bringen konnte, warum dem physischen System eine unabhängige Abschaltung fehlte, warum eine Konsole nach einer massiven Bestrahlung eine geringe oder gar keine Dosis melden konnte, warum ein geschulter Bediener zum Fortfahren aufgefordert wurde oder warum Warnungen aus mehreren Einrichtungen nicht rasch zusammengeführt wurden.

Die 1993 in IEEE Computer veröffentlichte ursprüngliche Untersuchung von Nancy Leveson und Clark Turner, die auf Unterlagen der FDA, kanadischen Aufsichtsakten, Briefen und Aussagen aus Gerichtsverfahren beruhte, legt ihre Beweisgrenzen ungewöhnlich ausdrücklich dar. Die Autoren konnten sechs bekannte Unfälle, zwei Softwaremechanismen und eine lange Folge von Korrekturmaßnahmen dokumentieren. Sie konnten keine vollständigen Informationen über das Entwicklungsmanagement, die Qualitätskontrollen von AECL oder jeden einzelnen Vorfall erhalten. Ihr Bericht stützt daher eine Feststellung auf Systemebene, ohne jede Behauptung zu stützen, die sich im Laufe der Zeit um den Fall angesammelt hat.

Die offizielle Rückrufakte bietet einen wichtigen unabhängigen Bezugspunkt. Die Untersuchung ausgewählter Produktrückrufe des U.S. General Accounting Office führt Therac-25 als Rückruf der Klasse I auf, der fünf US-amerikanische Beschleuniger betraf, auf den 3. Juni 1987 datiert war und zwei Softwarefehler benannte, die massive Strahlenüberdosierungen verursachen konnten. Diese Akte ist enger gefasst als die vollständige Unfallgeschichte. Leveson und Turner berichteten von elf installierten Geräten, fünf in den Vereinigten Staaten und sechs in Kanada. Die GAO-Zahl ist daher als Population des US-Rückrufs in dessen Datensatz zu verstehen, nicht als weltweite Anzahl der Therac-25-Geräte.

Diese Unterscheidung führt zur zentralen Frage der Verantwortung. Ein Hersteller kann nicht versprechen, dass sicherheitskritische Software keinerlei Fehler enthält. Er kann jedoch entscheiden, ob ein einziger Fehler ausreicht, um katastrophale Energie freizusetzen, ob ein gesonderter physischer Mechanismus den Gerätezustand prüft, ob die Schnittstelle die Gefahr vermittelt, ob Belege aus dem Feldeinsatz aufbewahrt und zusammengeführt werden und ob eine Korrekturmaßnahme die Gefahrenklasse statt nur die zuletzt reproduzierte Eingabefolge adressiert. Das waren kontrollierbare Entscheidungen über Entwurf und Governance.

Die Architektur verlagerte eine physische Sicherheitsfunktion in die Software

Therac-25 war ein medizinischer Linearbeschleuniger mit zwei Betriebsarten. Er konnte beschleunigte Elektronen für oberflächlichere Behandlungen einsetzen oder Röntgenstrahlen für tiefer liegende Behandlungen erzeugen. Im Photonenmodus benötigte das Gerät ein Target und Vorrichtungen zur Strahlabflachung im Strahlengang. Im Elektronenmodus brauchte es Scan- und andere Vorrichtungen, um den Strahl zu verteilen und zu kontrollieren. Ein drehbarer Drehtisch brachte die jeweils benötigten Komponenten in Position.

Die physische Gefahr war trotz der komplexen Umsetzung leicht zu beschreiben: Hohe Strahlleistung in Verbindung mit einem falschen Zustand des Drehtischs oder Kollimators konnte Energie konzentrieren, die hätte geformt, gemessen oder blockiert werden müssen.

Die vom MIT bewahrte Beschreibung des Drehtischs zeigt, warum eine Verriegelung eine Sicherheitsbarriere und keine Komfortfunktion war. Drei Mikroschalter meldeten dem Computer die Position. Der Computer positionierte und prüfte den Drehtisch. In der Feldlichtposition befand sich ein zur Patientenausrichtung verwendeter Spiegel im Strahlengang, und es wurde keine Ionisationskammer erwartet, weil kein Behandlungsstrahl vorhanden sein sollte. Herkömmliche elektromechanische Verriegelungen hatten den Betrieb in einem unvereinbaren Zustand verhindert. Bei Therac-25 ersetzten Softwareprüfungen viele von ihnen.

Diese Ersetzung war eine wesentliche Veränderung gegenüber der Produktlinie, auf die AECL vertraute. Therac-6 und Therac-20 ergänzten Maschinen, die unabhängig arbeiten konnten, um eine Computersteuerung und behielten branchenübliche Hardware-Schutzvorkehrungen bei. Therac-25 wurde um die Computersteuerung herum entworfen. Seine Software trug mehr Verantwortung für die Überwachung des sicheren Betriebs, während nicht alle früheren Schutzschaltungen doppelt ausgeführt wurden.

Der ältere Therac-20 lieferte später zufällig einen Vergleich: Ein verwandter Bearbeitungsfehler konnte Sicherungen oder Schutzschalter auslösen, doch unabhängige Schutzschaltungen verhinderten die Aktivierung des Strahls, und es kam zu keiner vergleichbaren Bestrahlung eines Patienten.

Die Wiederverwendung von Code war nicht an sich der Fehler. AECL verwendete Strukturen und Routinen früherer Geräte erneut, und Wiederverwendung kann getestetes Verhalten bewahren. Das Problem bestand darin, dass Annahmen aus einem System mit unabhängigem Hardware-Schutz in ein System übernommen wurden, in dem Software Teil der primären Sicherheitsgrenze geworden war. Der erhaltene Bericht über die Softwareentwicklung besagt, dass das Programm aus dem Code von Therac-6 weiterentwickelt, in PDP-11-Assemblersprache geschrieben und mit einem eigens entwickelten Echtzeitsystem mit nebenläufigen Tasks und Interrupt-Handlern betrieben wurde. Er dokumentiert außerdem eine spärliche Dokumentation und die Sorge eines FDA-Prüfers, dass Spezifikationen und ein Softwaretestplan fehlten.

In einer harmlosen Anwendung können übernommene Annahmen Unannehmlichkeiten verursachen. In einem medizinischen Beschleuniger werden sie gefährlich, wenn das neue System die unabhängige Komponente entfernt, die sie zuvor eingehegt hat. Die maßgebliche Frage zum Lebenszyklus lautet nicht einfach, ob wiederverwendeter Code jahrelang ausgeführt worden war. Sie lautet, ob jede Sicherheitsannahme anhand der neuen Hardware, der neuen Steuerungsbefugnis, des neuen Bedienablaufs und der neuen Folgen eines Versagens erneut bestätigt wurde.

Die öffentlichen Unterlagen zeigen nicht, dass eine solche integrierte Überprüfung der Annahmen vor dem klinischen Einsatz stattgefunden hat.

Die Sicherheitsanalyse vor den Unfällen prüfte die neue Quelle der Steuerung nicht

AECL führte im März 1983 eine Fehlerbaumanalyse zur Sicherheit durch. Der Untersuchung zufolge ging sie davon aus, dass Programmierfehler durch umfangreiche Tests reduziert worden seien, und schloss verbleibende Softwarefehler aus. Ausführungsfehler des Computers behandelte sie vor allem als Folgen von Hardwarefehlern oder zufälligen Störungen. Nun trug die Software jedoch Sicherheitsfunktionen, die in früheren Geräten von der Hardware übernommen worden waren. Die Analyse widmete damit gerade der Komponente wenig nützliche Aufmerksamkeit, deren Befugnis am stärksten gewachsen war.

Dies war nicht nur ein quantitatives Problem. Einem vage beschriebenen Computerereignis eine extrem geringe Wahrscheinlichkeit zuzuweisen, kann nicht belegen, dass unsichere Zustände identifiziert wurden. Deterministische Softwarefehler treten nicht zufällig wie ein verschlissenes Bauteil auf; sie wiederholen sich immer dann, wenn der erforderliche Zustand und das erforderliche Timing zusammentreffen.

Wenn die Analyse schnelle Bearbeitung, Wechselwirkungen gemeinsam genutzter Variablen, Zählerüberlauf, veraltete Gerätekonfigurationen, gesättigte Monitore oder widersprüchliche Anzeigen nicht modelliert, sagt ein kleines numerisches Ergebnis wenig über diese Pfade aus.

Die spätere Zusammenfassung der Therac-25-Sicherheitsanalyse belegt eine ernsthaftere Prüfung nach den Unfällen. Sie nutzte Fehlermöglichkeits- und Einflussanalyse, Fehlerbaumanalyse und Softwareuntersuchung. Sie identifizierte sicherheitskritische Funktionen wie Scannen, Energieauswahl, Strahlabschaltung und Kalibrierung und führte zu Empfehlungen für computerunabhängige Verriegelungen. Selbst diese spätere Analyse sprach offen über ihre Grenzen: Eine Codeprüfung konnte bei den komplexen Funktionen für Scannen und Energieauswahl kein hohes Vertrauen schaffen. Diese Unsicherheit sprach dafür, Barrieren hinzuzufügen, anstatt zu behaupten, die Prüfung habe die Vollständigkeit des Codes bewiesen.

Die gestützte Schlussfolgerung lautet, dass der ursprüngliche Sicherheitsnachweis strukturell nicht zum Entwurf passte. Die öffentlichen Belege zeigen nicht, wer die einzelnen Annahmen genehmigte, welche internen Einwände erhoben wurden oder ob Kosten der entscheidende Grund gegen die doppelte Ausführung des Hardware-Schutzes waren. Sie belegen jedoch, dass die Analyse verbleibende Softwarefehler ausschloss, während man darauf vertraute, dass die Software unsichere physische Konfigurationen verhinderte.

Das reicht aus, um die Verantwortungsfrage auf der Ebene des Systementwurfs zu verorten, ohne ein nicht öffentlich belegtes Motiv zu erfinden.

Sechs Unfälle wurden erst nach wiederholtem Schaden zu einem Vorfall

Die Chronologie ist wichtig, weil jedes Ereignis veränderte, was vernünftigerweise bekannt sein konnte. Die zusammengeführte Ereigniszeitleiste beginnt am 3. Juni 1985 im Kennestone Regional Oncology Center in Marietta, Georgia. Eine Patientin, die eine Elektronenbehandlung erhielt, berichtete von starker Hitze und entwickelte später eine schwere Strahlenverletzung. Der Ausdruck der Behandlungsdaten war deaktiviert, sodass keine gedruckte Behandlungsakte vorlag. Der Krankenhausphysiker fragte AECL, ob das Gerät im Elektronenmodus ohne Scannen arbeiten könne; AECL antwortete, dass dies nicht möglich sei. Die Darstellungen darüber, wann AECL formell benachrichtigt wurde, unterschieden sich, doch spätestens im November 1985 hatte das Unternehmen eine offizielle Mitteilung über ein Gerichtsverfahren erhalten. Keine rechtzeitige Untersuchung ermittelte den Gerätepfad.

Am 26. Juli 1985 kam es bei einer Patientin in der Klinik der Ontario Cancer Foundation in Hamilton zu wiederholten Behandlungspausen und einer H-tilt-Meldung. Die Anzeige wies keine Dosis aus, und die Bedienerin nutzte mehrmals den zulässigen Fortsetzungsbefehl. Die Patientin erlitt eine erhebliche lokale Überdosis. AECL konnte das Ereignis nicht reproduzieren und vermutete einen Fehler an einem Mikroschalter. Das Unternehmen gestaltete die Schalterlogik neu und behauptete eine sehr große Sicherheitsverbesserung, obwohl sein eigener Bericht keine sichere Aussage zur Ursache zuließ.

Kanadische Behörden und ein unabhängiger Berater verlangten stärkere Änderungen, darunter eine unabhängige Prüfung der Drehtischposition und einen nicht fortsetzbaren Sperrzustand der Behandlung bei relevanten Fehlfunktionen. AECL installierte die geforderte unabhängige Verriegelung zu diesem Zeitpunkt nicht.

Im Dezember 1985 entwickelte eine Patientin im Yakima Valley Memorial Hospital nach der Behandlung eine streifenförmige Hautreaktion. Die Mitarbeiter prüften andere Erklärungen und schrieben am 31. Januar 1986 an AECL. Am 24. Februar antwortete AECL, weder eine Fehlfunktion des Geräts noch ein Bedienfehler hätten die Verletzung verursachen können, und verwies darauf, dass keine ähnlichen Vorfälle bekannt seien. Der Bericht über den ersten Unfall in Yakima zeigt, warum die Kontrolle von Informationen wichtig war: Die Einrichtung kannte die vollständige standortübergreifende Vorgeschichte nicht und verließ sich auf die technische Gewissheit des Herstellers. Erst nach dem zweiten Unfall in Yakima wurde die erste Verletzung als wahrscheinliche Überdosis erkannt.

Am 21. März 1986 erhielt der erste Patient in Tyler eine Elektronenbehandlung, nachdem eine erfahrene Bedienerin eine anfängliche Röntgeneingabe rasch korrigiert hatte. Das Gerät zeigte Malfunction 54 an, stufte den Zustand als Behandlungspause ein und wies eine scheinbare Unterdosis aus. Die Bedienerin folgte dem normalen Arbeitsablauf und setzte die Behandlung fort. Die Audio- und Videoverbindungen zum abgeschirmten Behandlungsraum funktionierten an diesem Tag nicht, wodurch das Leiden des Patienten erst verzögert erkannt wurde.

Die Ingenieure von AECL konnten die Fehlfunktion zunächst nicht reproduzieren und zogen erneut eine elektrische Ursache in Betracht. Nachdem die Tests kein Erdungsproblem ergaben, nahm die Klinik das Gerät am 7. April wieder in Betrieb.

Am 11. April erlebte ein zweiter Patient in Tyler dieselbe Malfunction 54, nachdem dieselbe Bedienerin den Modus rasch bearbeitet hatte. Dieses Mal funktionierte die Gegensprechanlage, und die Bedienerin brach ab. Der Klinikphysiker Fritz Hager nahm das Gerät außer Betrieb und arbeitete mit der Bedienerin zusammen, bis er die Abfolge reproduzieren konnte. Die Geschwindigkeit war die fehlende Bedingung. Nachdem AECL mitgeteilt worden war, dass die Bearbeitung schnell erfolgen musste, reproduzierte das Unternehmen die Fehlfunktion und maß eine massive Ausgangsleistung. AECL reichte am 15. April einen Unfallbericht bei der FDA ein.

Die FDA erklärte das Gerät am 2. Mai für mangelhaft und verlangte einen Korrekturmaßnahmenplan.

Am 17. Januar 1987 wurde ein zweiter Patient in Yakima bestrahlt, während sich der Drehtisch in einer mit der Feldlichteinstellung verbundenen Position befand. Die Konsole zeigte abgesehen von früheren Filmaufnahmen keine Behandlungsdosis an, das Gerät pausierte, und die Bedienerin konnte fortfahren. Hier lag ein anderer Softwarepfad vor. Die vorläufige Rekonstruktion von AECL schätzte mehrere Tausend Rad pro Versuch, doch die exakte abgegebene Dosis bleibt ungewiss. Das Ereignis zeigte, dass eine Tyler-spezifische Korrektur keinen vollständigen Sicherheitsnachweis darstellte.

Im Februar empfahlen die FDA und die kanadischen Behörden, den Routinebetrieb einzustellen, bis die dauerhaften Änderungen abgeschlossen waren.

Die Chronologie stützt nicht die Behauptung, eine Person habe sechs identische Alarme ignoriert. Die Unfälle ereigneten sich in verschiedenen Einrichtungen, erzeugten unterschiedliche Meldungen und waren damals technisch nicht alle verstanden. Sie stützt jedoch die Feststellung, dass Informationen über die Vorfälle fragmentiert blieben, frühe Behauptungen der Unmöglichkeit zu stark waren und Korrekturmaßnahmen zunächst verdächtigen Komponenten statt der Gefahrenklasse folgten. Jedes weitere Ereignis hätte das Vertrauen in die Annahme verringern müssen, dass Software und vorhandene Prüfungen eine Überdosis unmöglich machten.

Tyler legte eine zeitabhängige Inkonsistenz zwischen Anzeige und Gerät offen

Der Auslöser in Tyler bestand nicht einfach darin, dass die Bedienerin zu schnell tippte. Sie gab einen Behandlungsmodus ein, wechselte zur Befehlszeile, kehrte in den Bearbeitungsmodus zurück und änderte den Eintrag von Röntgenstrahlung zu Elektronen, während das Gerät die Ablenkmagnete einstellte. Die Anzeige gab die Korrektur wieder. Nebenläufige Software-Tasks übertrugen den bearbeiteten Zustand nicht zuverlässig auf alle Geräteparameter.

Die detaillierte Rekonstruktion der Tyler-Software beschreibt gemeinsam genutzte Variablen des Tastatur-Handlers, der Dateneingaberoutine und der Behandlungssteuerungs-Tasks. Ein Abschluss-Flag zeigte an, dass der Cursor die Befehlszeile erreicht hatte, nicht dass die Bearbeitung tatsächlich beendet war. Ein weiteres Flag für die Magneteinstellung wurde zu früh gelöscht, sodass spätere Änderungen unbemerkt bleiben konnten. Das niederwertige und das höherwertige Byte einer Modus-und-Energie-Variablen konnten unterschiedliche Tasks beeinflussen. Bei passendem Timing konnten die Positionierung des Drehtischs oder Kollimators dem bearbeiteten Wert folgen, während andere Betriebsparameter weiterhin aus der früheren Röntgenauswahl abgeleitet waren.

Der direkte Auslöser lässt sich daher eng fassen: Eine schnelle Bearbeitung innerhalb eines bestimmten Zeitfensters ließ einen inkonsistenten Zustand in die Behandlung gelangen. Der Fehler war nur reproduzierbar, wenn der Arbeitsablauf mit realistischer Geschwindigkeit eines erfahrenen Nutzers durchgeführt wurde. Ein langsam arbeitender Ingenieur, der einer schriftlichen Abfolge folgte, konnte ihn übersehen. Deshalb war die Rekonstruktion des Klinikphysikers wichtig. Er behandelte die Erfahrung der Bedienerin als Testbedingung und nicht als Beleg für eine Fehlbedienung.

Das unsichere Ergebnis erforderte mehr als die Race Condition. Die Software führte keine abschließende unabhängige Konsistenzprüfung zwischen angezeigter Behandlung, Gerätekonfiguration und Strahlparametern durch. Die Hardware blockierte die unvereinbare Konfiguration nicht unabhängig. Die Ionisationskammern gingen unter dem intensiven Impuls in Sättigung und konnten einen niedrigen Wert melden. Das Gerät bezeichnete das Ereignis als Pause und stellte einen Neustart per Tastendruck bereit. Viele harmlose Pausen hatten die Bedienerin darauf konditioniert, diesen Befehl zu verwenden.

Beim ersten Ereignis in Tyler fiel mit den defekten Raumüberwachungssystemen ein letzter menschlicher Erkennungskanal aus.

Die Bedienhandlung als Ursache zu bezeichnen, würde das Kontrollverhältnis umkehren. Die Schnittstelle unterstützte absichtlich schnelle Eingabe und Bearbeitung, weil die Bediener Effizienz gefordert hatten. Die Fortsetzungstaste war die vorgesehene Reaktion auf eine Pause. Geschwindigkeit und Vertrautheit der Bedienerin waren vorhersehbare Merkmale der vorgesehenen Nutzungsumgebung. Sie lösten einen Fehler aus, doch AECL kontrollierte, ob diese Interaktion einen gefährlichen Gerätezustand erzeugen konnte und ob dieser Zustand unabhängig gestoppt wurde.

Yakima legte einen anderen Pfad über einen Zählerüberlauf offen

Der zweite Mechanismus in Yakima trat später in der Steuerungslogik auf. Eine Ein-Byte-Variable, die bei wiederholten Einrichtungsprüfungen verwendet wurde, wurde bei jedem Durchlauf erhöht. Da sie nur 256 Zustände darstellen konnte, lief sie bei jedem 256. Durchlauf auf null über. Null wurde zugleich verwendet, um anzuzeigen, dass keine Inkonsistenz des oberen Kollimators geprüft werden müsse. Wenn die Bedienerin genau im Moment des Überlaufs den Einstellbefehl gab, konnte die Positionsprüfung übersprungen und die Behandlung fortgesetzt werden, obwohl sich der Drehtisch noch in einem unsicheren, mit dem Feldlicht verbundenen Zustand befand.

Die ursprüngliche Rekonstruktion des Yakima-Fehlers grenzt ihn von Tyler ab. Der nebenläufige Housekeeper-Task führte die Kollimatorprüfung nur aus, wenn die gemeinsam genutzte Variable Class3 ungleich null war. Set-Up Test erhöhte diese Variable Hunderte Male, während er auf die Einrichtung des Geräts wartete. Beim Überlauf umging die Software die Prüfung. Die unmittelbare Codekorrektur von AECL bestand darin, die Variable auf einen festen Wert ungleich null zu setzen, anstatt sie zu erhöhen.

Auch hier behob die Codeänderung den identifizierten Auslöser, begründete aber für sich allein noch keine Sicherheit. Ein sicherheitskritischer Statuswert, der von nebenläufigen Tasks gemeinsam genutzt wird, sollte nicht stillschweigend einen Zähler und einen Autorisierungszustand miteinander verbinden. Noch wichtiger war, dass keine unabhängige physische Barriere die Aktivierung des Strahls bei einer falschen Drehtischkonfiguration verhinderte. Die abschließende Korrekturmaßnahme musste daher sowohl eine Codekorrektur als auch eine Drehtischverriegelung umfassen, die nicht auf demselben Softwarepfad beruhte.

Die erhaltenen Unterlagen identifizieren den genauen Codepfad für Kennestone, Hamilton oder den ersten Vorfall in Yakima nicht. Damals wurde spekuliert, der Mechanismus von Hamilton könnte dem des zweiten Vorfalls in Yakima geähnelt haben, doch Leveson und Turner kennzeichneten dies als Spekulation. Es bleibt möglich, dass unbekannte Race Conditions oder andere Fehler beteiligt waren. Eine methodisch saubere Darstellung sollte die beiden späteren Mechanismen nicht rückwirkend jedem früheren Schaden zuordnen, nur weil das physische Ergebnis ähnlich aussah.

Dieses Unwissen entlastet niemanden und sollte nicht mit Gewissheit aufgefüllt werden. Es zeigt, warum die Architektur von Bedeutung war. Wenn mehrere unbekannte Softwarepfade denselben katastrophalen Zustand erreichen können, ist das schrittweise Beweisen und Beheben einzelner Fehler eine unzureichende Kontrollstrategie. Eine unabhängige Barriere kann sowohl bekannte als auch unbekannte Pfade eindämmen. Darin liegt der praktische Wert gestaffelter Schutzmaßnahmen: Sie verringern die Abhängigkeit des Sicherheitsnachweises von vollständigem Wissen über das Verhalten der Software.

Die Schnittstelle verwandelte widersprüchliche Gefahrensignale in Routinearbeit

Die Bedienoberfläche von Therac-25 unterschied zwischen einem Sperrzustand der Behandlung („suspend“), der ein Zurücksetzen erforderte, und einer Behandlungspause („pause“), nach der die Behandlung mit einem einzigen Befehl fortgesetzt werden konnte. Sie erzeugte außerdem häufige Fehlermeldungen, die gewöhnlich mit Unannehmlichkeiten oder einer Unterdosis verbunden waren. Aus wiederholter Erfahrung lernten die Bediener, dass Pausieren und Fortfahren normal war. Die Schulung stärkte das Vertrauen, mehrere Sicherheitsmechanismen machten eine Überdosis praktisch unmöglich.

Bei den Unfällen versagte dieses Betriebsmodell in mehrfacher Hinsicht. Die Fehlernummern waren kryptisch und wurden in den verfügbaren Handbüchern nicht angemessen erklärt. Ein schwerwiegender dosisbezogener Zustand konnte mit niedriger Priorität dargestellt werden. Gesättigte Überwachungshardware konnte gerade dann eine scheinbare Unterdosis melden, wenn die Ausgangsleistung gefährlich hoch war. Die Konsole konnte „verified“ oder „beam ready“ anzeigen, obwohl die physische Konfiguration und die internen Parameter nicht übereinstimmten.

Das Gerät erlaubte wiederholte Bestrahlungen, ohne eine neue Verordnung oder eine unabhängige Prüfung zu erzwingen.

Dies sind keine voneinander getrennten kosmetischen Mängel. Ein Alarm ist nur dann eine Kontrollmaßnahme, wenn er dem Bediener hilft, einen gefährlichen Zustand zu erkennen und richtig zu handeln. Eine Pause niedriger Priorität, die eine sofortige Fortsetzung zulässt, ist eine Autorisierung. Eine Anzeige, die die abgegebene Dosis zu niedrig ausweist, verändert die Entscheidung des Bedieners. Eine „verified“-Meldung ist eine Sicherheitsbehauptung. Wenn solche Signale dem Bericht eines Patienten über Brennen oder einem physischen Monitor widersprechen, muss das System die Nutzer zur konservativeren Auslegung anleiten.

Die späteren Lehren der IAEA aus unbeabsichtigten Bestrahlungen in der Strahlentherapie formalisieren dieses Prinzip, ohne rückwirkend eine rechtliche Feststellung zu AECL zu treffen. Sie verlangen, widersprüchliche Signale zu untersuchen, bis zum Gegenbeweis von der schwerwiegenderen Anzeige auszugehen, für die klinische Mensch-Maschine-Umgebung zu entwerfen und zu testen, das Personal in der Interpretation anomaler Anzeigen zu schulen und mehrere Schutzebenen zu verwenden. Therac-25 zeigt, warum diese Elemente zum technischen System gehören, statt der persönlichen Wachsamkeit überlassen zu werden.

Die praktische Kontrolle war verteilt, aber nicht gleich verteilt

AECL hatte die umfassendste Präventionskontrolle. Das Unternehmen wählte die Hardware- und Softwarearchitektur aus, entschied, welche Verriegelungen beibehalten wurden, kontrollierte Quellcode und Dokumentation, legte Bedeutung und Priorität von Alarmen fest, entwarf das Neustartverhalten, führte die ursprüngliche Gefahrenanalyse durch, erhielt Berichte aus dem Feldeinsatz, gab Kundenmitteilungen heraus und schlug Korrekturmaßnahmen vor. Es kontrollierte außerdem, ob Nutzer und Aufsichtsbehörden ein vollständiges standortübergreifendes Lagebild erhielten.

Diese Befugnisse machten den Hersteller zum wichtigsten Verantwortlichen für Risiken des Systementwurfs und des Lernens aus Vorfällen.

Das macht die Krankenhäuser nicht passiv. Die Einrichtungen kontrollierten, ob Audio und Video im Behandlungsraum funktionierten, ob Behandlungsausdrucke und Prüffunktionen aktiviert waren, wie wiederkehrende Fehler protokolliert wurden, wann Geräte außer Betrieb genommen wurden, wie schnell ein Medizinphysiker untersuchte und was den staatlichen oder bundesstaatlichen Behörden gemeldet wurde. Das erste Ereignis in Tyler zeigt ein lokales Erkennungsversagen: Die audiovisuelle Verbindung war nicht verfügbar, und die Behandlung wurde später fortgesetzt.

Das zweite Ereignis in Tyler zeigt wirksame lokale Kontrolle: Die Bedienerin eskalierte, der Physiker stoppte den Betrieb, und die Einrichtung rekonstruierte den Auslöser. Die erste Untersuchung in Yakima zeigt die Grenzen lokaler Expertise, wenn der Hersteller bestritt, dass das Gerät den beobachteten Schaden verursachen könne, und die Belege anderer Standorte nicht verfügbar waren.

Die Bediener kontrollierten die Dateneingabe, die Positionierung der Patienten und die unmittelbare Entscheidung, nach einer Pause fortzufahren, nicht aber das verborgene Nebenläufigkeitsmodell, die Alarmklassifizierung, das Verhalten der gesättigten Dosismonitore oder die fehlenden unabhängigen Verriegelungen. Ihre Handlungen sind am vorgesehenen Arbeitsablauf und den verfügbaren Informationen zu messen. Wenn eine geschulte Nutzerin einen häufigen Eingabefehler schnell korrigiert, ist das keine unvorhersehbare feindliche Eingabe.

Den Befehl zu drücken, den die Schnittstelle für eine Behandlungspause anbietet, beweist nicht, dass die Nutzerin ein nicht offengelegtes Überdosisrisiko akzeptierte.

Medizinphysiker verfügten über wichtige diagnostische Möglichkeiten. Hagers Arbeit in Tyler lieferte die reproduzierbare Abfolge, die weder routinemäßige Servicetests noch eine anfangs langsamere technische Rekonstruktion gefunden hatten. Die Nutzer bildeten zudem eine Gruppe, tauschten Informationen aus und forderten Hardwareänderungen, bessere Meldungen, eine unabhängige Softwareprüfung und einen Prüfpfad. Sie hatten jedoch keinen Zugriff auf den Quellcode und erhielten eine vollständige Akte nicht früh genug, um als koordiniertes Sicherheitsnetz handeln zu können.

Die Aufsichtsbehörden kontrollierten rechtliche Feststellungen und das Genehmigungstor für Korrekturmaßnahmen. Die FDA konnte das strahlungsemittierende Produkt für mangelhaft erklären, eine Benachrichtigung der Käufer verlangen und den Korrekturmaßnahmenplan von AECL prüfen. Kanadische Strahlenschutzbehörden konnten die Einhaltung von Vorgaben verlangen und die Einstellung des Betriebs empfehlen. Sie betrieben weder die Behandlungsräume noch schrieben sie die Software, und das US-Meldesystem verpflichtete die nutzenden Einrichtungen damals noch nicht zu Meldungen, wie es spätere Gesetze vorsahen.

Ihre Verantwortung betrifft die Frage, ob Warnungen gesammelt, Befugnisse unverzüglich eingesetzt, vorgeschlagene Lösungen hinterfragt und der Abschluss von Belegen statt von Behauptungen abhängig gemacht wurden.

Die Patienten verfügten über die unmittelbarsten Belege für den Schaden und über die geringste Kontrolle über das System. Mehrere berichteten sofort von Hitze, Brennen oder stromschlagähnlichen Empfindungen, die den Geräteanzeigen widersprachen. Sie konnten weder den Gerätezustand prüfen noch eine standortübergreifende Vorgeschichte der Vorfälle erhalten oder eine Entwurfsfunktion deaktivieren. Ein Sicherheitssystem, das die Aussage des Patienten als weniger glaubwürdig behandelt als eine Anzeige, von der bekannt ist, dass sie in Sättigung geraten kann, legt die Beweismacht in das am wenigsten zuverlässige Signal.

Die Erkennung versagte, bevor die Reaktion versagte

Es ist sinnvoll, Erkennung und Reaktion zu trennen. Ein Erkennungsversagen lag vor, wenn das System Belege für ein unsicheres Ereignis nicht aufbewahrte oder nicht auswertete. Fehlende gedruckte Behandlungsdaten in Kennestone, gesättigte Ionisationskammern, eine niedrige oder mit null angezeigte Dosis, kryptische Fehlercodes, unvollständige Handbücher, deaktivierte Raumüberwachung und die Unfähigkeit, zeitabhängige Abfolgen zu reproduzieren, verringerten sämtlich die Beobachtbarkeit. Die Fragmentierung zwischen Standorten ließ jeden einzelnen Vorfall wie eine isolierte Anomalie erscheinen.

Das Reaktionsversagen begann, als verfügbare Belege keine hinreichend umfassende Vorsichtsmaßnahme auslösten. Nach Hamilton befasste sich AECL mit der vermuteten Mikroschalterlogik und reduzierte die Zahl zulässiger Wiederholungen, installierte jedoch weder die geforderte unabhängige Positionsverriegelung noch wandelte das Unternehmen alle relevanten Pausen in nicht fortsetzbare Sperrzustände um. Nach dem ersten Bericht aus Yakima erklärte das Unternehmen, weder eine Fehlfunktion des Geräts noch ein Bedienfehler könne die Verletzung verursacht haben.

Nach dem ersten Unfall in Tyler stützte die gescheiterte Reproduktion von Malfunction 54 die Hypothese einer elektrischen Ursache, und das Gerät wurde wieder eingesetzt. Diese Handlungen waren nur dann verständlich, wenn dem bestehenden Sicherheitsmodell mehr Vertrauen entgegengebracht wurde als den gegenteiligen Belegen.

Die Abfolge offenbart einen wiederkehrenden erkenntnistheoretischen Fehler: Die Unfähigkeit zur Reproduktion wurde zu stark als Beweis der Unmöglichkeit behandelt. Zeitabhängige nebenläufige Software kann deterministisch sein und dennoch einem Test entgehen, der Timing, Arbeitslast und fachkundige Interaktion nicht nachbildet. Ein negatives Ergebnis sollte eine Hypothese abschwächen oder umlenken, die Gefahr jedoch nicht für erledigt erklären, wenn die Folgen schwerwiegend sind und die körperliche Verletzung mit einer Überbestrahlung übereinstimmt.

Kommunikation war selbst eine Kontrollmaßnahme. Ein Nutzer, der Kennestone, Hamilton und Yakima kannte, hätte Malfunction 54 anders bewertet als ein Nutzer, dem gesagt wurde, es habe keine Überdosisereignisse gegeben. Eine Aufsichtsbehörde, die zeitnahe Meldungen von Herstellern und Einrichtungen erhielt, konnte ein Muster früher erkennen. Ein Servicetechniker mit exakten Prüfprotokollen konnte eine Konfigurationsabweichung von einem elektrischen Störereignis unterscheiden. Das Fehlen dieser gemeinsamen Belege verlängerte den Zeitraum, in dem ein unsicherer Betrieb plausibel blieb.

Die gestützte Schlussfolgerung lautet, dass eine frühere Zusammenführung und eine konservative Eskalation die Gefährdungsdauer hätten verkürzen können. Die öffentlichen Unterlagen können nicht bestimmen, ob ein bestimmter späterer Unfall sicher verhindert worden wäre, weil die genauen frühen Mechanismen unbekannt bleiben und sich die Behandlungsbedürfnisse unterschieden. Sie können zeigen, dass die Institutionen mit Informationen und Kontrolle Gelegenheiten hatten, den Routinebetrieb einzustellen, unabhängige Barrieren hinzuzufügen oder vor Januar 1987 stärkere Warnungen herauszugeben.

Das Meldesystem war eine mitwirkende Bedingung, aber keine vollständige Entschuldigung

Zur Zeit der ersten Unfälle hing die Meldung von Medizinproduktevorfällen in den Vereinigten Staaten stark von Herstellern und Importeuren ab. Krankenhäuser und Gesundheitsfachkräfte unterlagen noch nicht der später eingeführten bundesrechtlichen Meldepflicht für nutzende Einrichtungen. Die Berichte aus Tyler erreichten die FDA über die Gesundheitsbehörde von Texas, bevor der ausführliche Medizinproduktebericht von AECL einging. Diese Struktur machte das Frühwarnsystem des Bundes anfällig für lokale Unsicherheit und den Informationsfluss des Herstellers.

Die Schwäche war nicht nur theoretisch. Die zeitgenössische GAO-Untersuchung von 1986 zur unzureichenden Meldung von Medizinproduktevorfällen stellte schwerwiegende Lücken in der Kommunikation von Geräteproblemen zwischen Krankenhäusern, Herstellern und FDA fest und empfahl stärkere Meldebeziehungen. Seine spätere Überprüfung der Umsetzung des FDA-Meldesystems für Medizinprodukte stellte Mängel bei der Bewertung der Einhaltung, der Datenverarbeitung und der Dokumentation fest, wie Meldungen zu Korrekturmaßnahmen führten. Eine Aussage des GAO vor dem Kongress von 1989 kam zu dem Schluss, dass das Meldesystem nicht die beabsichtigte Frühwarnung lieferte und die gesetzlichen Befugnisse der FDA bei Rückrufen begrenzt waren.

Der Kongress änderte den Rahmen nach den Unfällen. Der Safe Medical Devices Act von 1990 verpflichtete nutzende Einrichtungen, Informationen zu melden, die vernünftigerweise darauf hindeuteten, dass ein Gerät zum Tod oder zu einer schweren Verletzung eines Patienten geführt oder beigetragen hatte, legte Meldefristen fest und erweiterte die Befugnisse für Korrekturen, Entfernung und Rückruf. Dieses Gesetz belegt eine spätere politische Reaktion auf umfassende Schwächen der Überwachung. Es sollte weder als gerichtliche Feststellung beschrieben werden, dass die Therac-25-Unfälle jede einzelne Bestimmung verursacht hätten, noch sollten seine später eingeführten Pflichten rückwirkend auf Krankenhäuser im Jahr 1985 angewendet werden.

Die kanadischen Behörden arbeiteten in einer anderen Struktur. Der Radiation Emitting Devices Act untersagte Verkauf, Vermietung oder Einfuhr von Geräten, die geltende Normen nicht erfüllten oder bestimmte Strahlenrisiken verursachten, und sah Inspektions-, Benachrichtigungs- und Regulierungsbefugnisse vor. Das Canadian Radiation Protection Bureau forderte nach Hamilton Änderungen an Hardware und Software und koordinierte sich später mit der FDA bei der Empfehlung, den Routinebetrieb einzustellen. Die Akten zeigen dennoch eine Verzögerung zwischen der ersten Forderung nach einer unabhängigen Verriegelung und ihrer Installation im Rahmen der abschließenden Korrekturmaßnahme.

Auch die regulatorische Fragmentierung in den Vereinigten Staaten ist von Bedeutung. Die aktuelle Beschreibung der Strahlungszuständigkeit der NRC erläutert, dass die Bundesstaaten strahlungserzeugende Geräte wie Röntgengeräte und Teilchenbeschleuniger regulieren, während Bundesbehörden unterschiedliche Aufgaben haben. An Therac-25 waren daher Krankenhäuser, staatliche Strahlenschutzbehörden, die FDA und kanadische Stellen beteiligt. Eine verteilte Zuständigkeit ist nicht notwendigerweise mangelhaft, erfordert jedoch einen ausdrücklich geregelten Weg, auf dem eine lokale Behandlungsanomalie zu einem nationalen und grenzüberschreitenden Produktsignal wird.

Grundursache, mitwirkende Bedingungen und Auslöser müssen getrennt bleiben

Der direkte Auslöser in Tyler war eine schnelle Bearbeitung innerhalb eines Zeitfensters. Der direkte Auslöser beim zweiten Unfall in Yakima war ein Einstellbefehl genau in dem Moment, in dem eine 8-Bit-Variable auf null überlief. Diese Ereignisse wählten unsichere Pfade in der Software aus. Sie sind nicht die Grundursache, weil keines von ihnen erklärt, warum der Pfad befugt war, gefährliche Energie ohne eine unabhängige Abschaltung zu aktivieren.

Die zentrale, durch die Akten gestützte Aussage zur Grundursache ist architektonisch und organisatorisch: Die Sicherheitsverantwortung wurde von unabhängigen Hardware-Verriegelungen hin zur Software verlagert, ohne dass Gefahrenanalyse, Softwarelebenszyklus, integrierte Validierung, Schnittstellengestaltung und ein System zum Lernen aus Vorfällen dem möglichen Schaden angemessen waren. Der Entwurf ließ eine einzige softwaregesteuerte Kette die Konfiguration einstellen, die Konsistenz beurteilen, den Status anzeigen und die Behandlung autorisieren. Gemeinsame Abhängigkeiten machten den Anschein mehrerer Prüfungen zunichte.

Zu den mitwirkenden technischen Bedingungen gehörten wiederverwendete Routinen, deren Annahmen in der neuen Architektur nachweislich nicht erneut validiert worden waren; gemeinsam genutzte Variablen und nebenläufige Tasks mit unsicherer Zustandssemantik; das Fehlen einer abschließenden Konsistenzprüfung; Monitore, die in Sättigung geraten konnten; eine Fehlerbehandlung, die den Neustart zuließ; kryptische Meldungen; spärliche Softwaredokumentation und Testpraktiken, die realistische Bearbeitungen mit der Geschwindigkeit erfahrener Nutzer zunächst nicht einschlossen.

Die Behandlung von Software im ursprünglichen Fehlerbaum verringerte die Wahrscheinlichkeit, dass diese Pfade vor der Bereitstellung untersucht wurden.

Zu den mitwirkenden betrieblichen Bedingungen gehörten häufige harmlose Pausen, eine Bedienerschulung, die die Vielzahl der Sicherheitsmechanismen hervorhob, fehlende oder deaktivierte Prüf- und Raumüberwachungskanäle und die begrenzte Fähigkeit der Einrichtungen, Vorfälle miteinander zu vergleichen. Eine lokale Entscheidung zur Wiederaufnahme des Betriebs war relevant, fiel jedoch in einem vom Hersteller gestalteten und beeinflussten Informationsumfeld.

Zu den mitwirkenden Governance-Bedingungen gehörten eine schwache Nachverfolgung von Vorfällen, starke Behauptungen der Unmöglichkeit oder enormer Sicherheitsverbesserungen ohne reproduzierte Grundursache, die unvollständige Weitergabe nachteiliger Informationen, Korrekturmaßnahmenanträge ohne die angeforderten Softwaredetails und Testpläne sowie Verzögerungen bei der Umsetzung von Empfehlungen für unabhängigen Hardware-Schutz in installierte Barrieren. Die in der Untersuchung zitierte FDA-Akte dokumentiert wiederholte Forderungen nach Dokumentation, Interaktionsanalyse, aussagekräftigen Meldungen und Installationstests.

Auch Reaktionsversagen und Wiederherstellungsversagen sollten voneinander getrennt werden. Die Reaktion war langsam, als Geräte weiter im klinischen Routinebetrieb eingesetzt wurden, obwohl die Gefahr ungeklärt blieb. Die Wiederherstellung wurde zu einer eigenen Herausforderung, als mehrere Überarbeitungen des Korrekturmaßnahmenplans erforderlich waren und Änderungen weitere, noch nicht abgedeckte Subsysteme offenlegten. Eine Lösung, die nicht an jedem Gerät einheitlich installiert, getestet und verifiziert werden kann, hat die Flotte noch nicht wieder in einen sicheren Zustand versetzt.

Die Auswirkungen lassen sich nicht auf eine Dosis oder eine Zahl von Todesfällen reduzieren

Die bestätigten Auswirkungen sind schwerwiegend. Sechs bekannte Unfälle waren mit massiven Überdosierungen verbunden. Patienten erlitten Strahlenverletzungen, Behinderungen und anhaltende Schmerzen; zudem kam es zu Todesfällen in zeitlichem und in manchen Fällen medizinisch dokumentiertem Zusammenhang mit den Bestrahlungen. Der Untersuchung zufolge starben zwei Patienten in Tyler an durch die Überdosis verursachten Verletzungen.

Der zweite Patient in Yakima war bereits vor dem Unfall an Krebs im Endstadium erkrankt und starb, nachdem er Komplikationen der Überdosis erlitten hatte; die Hinterbliebenen machten geltend, die Bestrahlung habe das Leben verkürzt und das Leiden vergrößert, und der Anspruch wurde durch Vergleich beigelegt. Die Patientin in Hamilton starb an einem aggressiven Krebs, während der Autopsiebericht schwere Strahlenschäden feststellte, die andernfalls eine umfangreiche Behandlung erfordert hätten.

Angaben zu exakten Dosen müssen qualifiziert bleiben. Die Ionisationskammern des Geräts gingen in Sättigung, verschiedene Einrichtungen reproduzierten unterschiedliche Ausgangsleistungen, die Impulsraten variierten, und bei manchen Sitzungen fehlten gedruckte Daten. Simulationen nach den Ereignissen ergaben Bandbreiten statt direkter Messungen. Der Artikel verwandelt daher nicht jede Schätzung in eine gemessene Patientendosis und vergleicht lokale Bestrahlungen nicht mit der Letalität einer Ganzkörperbestrahlung, als wären die biologischen Wirkungen gleichwertig.

Die betrieblichen Auswirkungen reichten über die sechs Patienten hinaus. Elf Einrichtungen waren von einem Gerät abhängig, dessen sicherer Zustand sich nicht aus seiner eigenen Anzeige bestimmen ließ. Kliniken mussten Behandlungen aussetzen oder einschränken, Geräte prüfen, Arbeitsabläufe ändern, an Nutzertreffen teilnehmen und Patienten betreuen, die auf eine fortlaufende Therapie angewiesen waren. Bediener und Physiker mussten das Verhalten ohne Zugriff auf den Quellcode oder vollständige Informationen zu den Vorfällen rekonstruieren.

Aufsichtsbehörden und Nutzer benötigten mehr als zwei Jahre, um von der Entdeckung in Tyler bis zur abschließenden Sicherheitsanalyse zu gelangen.

Die rechtlichen und finanziellen Auswirkungen sind weniger gut messbar. Die zugrunde liegende Untersuchung dokumentiert mehrere Klagen und außergerichtliche Vergleiche, doch die hier ausgewerteten öffentlichen Primärunterlagen enthalten weder ein Sachurteil zur Haftungsverteilung noch vollständige Vergleichsbedingungen, Versicherungszahlungen oder Gesamtschäden. Ein Vergleich bestätigt die Beilegung eines Streits, nicht gerichtlich festgestellte Fahrlässigkeit oder ein Eingeständnis. Es wäre irreführend, private Ergebnisse in präzise Unternehmenskosten oder eine rechtliche Feststellung umzudeuten.

Die umfassendere systemische Auswirkung bestand in einer Veränderung der Anforderungen an die Nachweise zur Sicherheit von Medizinprodukten. Spätere Gesetze stärkten die Meldung unerwünschter Ereignisse und die Rückrufbefugnisse. Spätere Regulierung führte Entwurfskontrollen ein. Moderne Leitlinien verlangen risikobasierte Softwaredokumentation, Validierung und Human-Factors-Arbeit. Therac-25 ist für diese Kontrollen relevant, doch Relevanz ist kein Beweis dafür, dass eine einzige Unfallserie das gesamte moderne Regelwerk hervorgebracht hat.

Die Korrekturmaßnahmen entwickelten sich von einer Tastenkappen-Behelfslösung zu unabhängigen Barrieren

Die erste Nutzeranweisung von AECL nach Tyler konzentrierte sich darauf, die Cursor-nach-oben-Taste zu deaktivieren und ihre Nutzung auch physisch zu verhindern, damit die Bediener die gesamte Verordnung erneut eingeben mussten. Die FDA wies diese Mitteilung als unzureichend zurück, weil sie weder den Fehler noch die Gefahr erklärte und ihr Tonfall keine Dringlichkeit vermittelte. Hier zeigt sich für die Verantwortung der Unterschied zwischen einer betrieblichen Behelfslösung und einer Sicherheitsreparatur. Eine Behelfslösung kann einen Auslöser abschwächen und zugleich die Nutzer daran hindern, das verbleibende Risiko zu beurteilen.

Der erste formelle Korrekturmaßnahmenplan vom Juni 1986 ging weiter. Er schlug vor, das Tyler-Verhalten zu beheben, die Impulsüberwachung zu ändern, viele Fehlfunktionen von Pausen in nicht fortsetzbare Sperrzustände umzuwandeln, eine Schaltung zur Sperrung des Modulators nach einem übermäßigen Impuls hinzuzufügen, Bearbeitungstasten einzuschränken und die Handbücher zu überarbeiten. Die FDA stimmte der Richtung zu, verlangte jedoch wiederholt mehr Softwaredokumentation, eine Interaktionsanalyse und einen detaillierten Testplan.

AECL antwortete zunächst, es gebe keinen einheitlichen Softwaretestplan und -bericht, weil Hardware und Software über Jahre hinweg betrieben worden seien.

Die Akten zu den Reaktionen von Aufsichtsbehörden und Nutzern zeigen, warum der CAP fünf Überarbeitungen erforderte. Die FDA beanstandete, dass bei Dosisleistungs- und Strahlneigungsfehlern das Pausenverhalten beibehalten werden sollte, verlangte aussagekräftige Meldungen und forderte strenge Tests jeder künftigen Softwareänderung. Nach dem zweiten Unfall in Yakima gelangte die Behörde zu dem Schluss, dass Software allein keinen sicheren Betrieb gewährleisten könne. Die kanadischen Behörden vertraten einen parallelen Standpunkt. Vom Routinebetrieb wurde abgeraten, während dauerhafte Änderungen entwickelt wurden.

Die Beteiligung der Nutzer verbesserte den Plan wesentlich. Bei einem Treffen im März 1987 prüften Nutzer, AECL, FDA, kanadische Aufsichtsbehörden und technische Vertreter alle sechs Unfälle. Die Nutzer forderten eine unabhängige Softwarebewertung, Zugriff auf den Quellcode, einen gedruckten Prüfpfad und zusätzliche Hardwareänderungen. Der Akte zufolge wurde der Quellcode nicht bereitgestellt, und gegen eine Prüfoption wurden Speicherbeschränkungen angeführt. Diese Entscheidungen hinterließen einige Transparenzlücken, doch das Treffen schuf einen direkten Mechanismus, um den Vorschlag von AECL anhand klinischer Erfahrungen zu prüfen.

Der abschließende CAP vom Juli 1987 änderte die Architektur und den Betrieb. Dosimetrische Unterbrechungen führten zu Sperrzuständen statt zu fortsetzbaren Pausen. Die Bediener mussten die Parameter erneut eingeben. Ein Schutz zur Abschaltung nach einem einzelnen Impuls wurde ergänzt, einschließlich eines zuvor im Verfahren beschriebenen Hardware-Schutzes. Verriegelungen für Drehtischposition und Ablenkmagnete wurden hinzugefügt. Die Aktivierung des Strahls wurde blockiert, wenn sich der Drehtisch in der Feldlichtposition oder einer Zwischenposition befand.

Kryptische Fehlercodes wurden durch aussagekräftige Meldungen ersetzt, das Bearbeitungsverhalten eingeschränkt, bekannte Fehler aus Tyler und Yakima behoben, Handbücher überarbeitet und zahlreiche weitere Softwareänderungen adressierten bei der Prüfung gefundene Fehler.

Die Genehmigung der FDA war an abschließende Testergebnisse, eine unabhängige Sicherheitsanalyse, überarbeitete Dokumentation und den Abschluss der Installation geknüpft. Die spätere Sicherheitsanalyse identifizierte weitere sicherheitskritische Subsysteme, die in einer früheren CAP-Fassung nicht vollständig abgedeckt waren, und demonstrierte damit den Wert einer Prüfung der Gefahr über die reproduzierten Fehler hinaus. Ihre Empfehlungen ergänzten computerunabhängigen Schutz für Scannen und Energieauswahl und führten die Softwarewartung in späteren Versionen fort.

Die GAO-Rückrufakte stuft die US-Maßnahme als Klasse I ein, die Kategorie für eine angemessene Wahrscheinlichkeit schwerwiegender gesundheitlicher Folgen oder des Todes. Sie datiert den Rückruf auf den 3. Juni 1987, während die Darstellung einen Prozess zeigt, der sich vor und nach diesem administrativen Datum erstreckte. Rückrufdatum, CAP-Genehmigung, Installation und abschließender Bericht zur Sicherheitsanalyse sind unterschiedliche Meilensteine. Einen davon als den Augenblick der Reparatur zu behandeln, würde verschleiern, wie lange die Erarbeitung des Sicherheitsnachweises dauerte.

Die Belege für die Reparatur sind real, doch ein heutiger Leser kann den vollständigen Sicherheitsnachweis nicht reproduzieren

Der stärkste Reparaturnachweis ist der Wechsel von einer gemeinsamen Softwareabhängigkeit zu unabhängigem physischen Schutz. Eine Hardwareabschaltung nach einem einzigen übermäßigen Impuls und unabhängige Prüfungen des Zustands von Drehtisch, Scannen und Energieauswahl können noch nicht entdeckte Softwarefehler eindämmen. Sperrzustände verhindern, dass ein Bediener einen ungeklärten dosimetrischen Zustand wiederholt autorisiert. Bessere Meldungen verbessern die Erkennung. Installationstests und Protokolle für künftige Änderungen verringern das Risiko, dass ein korrekter Entwurf fehlerhaft kopiert oder konfiguriert wird.

Die regulatorische Überprüfung ist eine weitere Form von Beleg. Die FDA akzeptierte weder die erste Nutzermitteilung noch den ersten CAP als ausreichend. Sie verlangte Spezifikationen, Testpläne, Interaktionsanalysen, klarere Diagramme, Tests künftiger Änderungen und Installationsprüfungen. Sie identifizierte widersprüchliche Testdaten und verlangte eine unabhängige Sicherheitsanalyse. Kanadische Behörden und Nutzer drängten auf Hardware-Barrieren. Diese Aktenlage ist stärker als eine bloße Ankündigung des Herstellers.

Die öffentlichen Unterlagen bleiben dennoch hinter einem vollständigen reproduzierbaren Nachweispaket zurück. Sie legen nicht den vollständigen Quellcodebaum und die Versionshistorie, sämtliche Anforderungen vor und nach der Änderung, jede Testeingabe und das erwartete Ergebnis, die Abdeckung von Timing- und Überlaufzuständen, die Unabhängigkeitsanalyse jeder Verriegelung, Installationsunterlagen für jedes Gerät, das Protokoll ungelöster Fehler oder langfristige Felddaten nach Software- und Hardwareversion offen.

Die Zusammenfassung der abschließenden Analyse erklärt selbst, dass die Prüfung für einige komplexe Funktionen kein hohes Vertrauen schaffen konnte.

Dass nach der Nachrüstung keine weitere Therac-25-Katastrophe öffentlich dokumentiert wurde, ist mit einer wirksamen Reparatur vereinbar, stellt aber keinen kontrollierten Test dar. Die Flotte war klein, die Nutzung änderte sich, die Geräte wurden aus Altersgründen ausgemustert, und die öffentliche Meldung war unvollkommen. Die vertretbare Schlussfolgerung lautet, dass der CAP das System wesentlich stärkte und insbesondere die bekannten katastrophalen Pfade blockierte. Die weitergehende Behauptung, jeder gefährliche Softwarepfad sei gefunden und beseitigt worden, ist weder notwendig noch gestützt.

Spätere Gesetze und Normen zeigen, welche Belege fehlten, nicht was 1985 rechtlich vorgeschrieben war

Als Therac-25 in Betrieb ging, verfügten die Vereinigten Staaten noch nicht über den späteren Rahmen für Entwurfskontrollen. Das Gesetz von 1990 erweiterte die Melde- und Rückrufmechanismen. Die 1997 wirksam gewordene Quality System Final Rule der FDA von 1996 führte Entwurfskontrollen vor der Produktion ein, nachdem Studien ergeben hatten, dass Entwurfsmängel hinter einem erheblichen Anteil der Rückrufe und softwarebezogenen Fehler standen. Diese späteren Vorschriften sollten nicht als Anforderungen dargestellt werden, gegen die AECL vor ihrem Inkrafttreten verstoßen habe. Sie sind ein Maßstab, um die Kategorien von Kontrollen zu identifizieren, die in den historischen Unterlagen fehlten.

Die späteren General Principles of Software Validation der FDA beschrieben Validierung als Belege über den gesamten Lebenszyklus und nicht als abschließendes Testereignis. Die aktuelle Premarket-Leitlinie der Behörde für Softwarefunktionen von Medizinprodukten verlangt eine dem Risiko angemessene Dokumentation, darunter Architektur, Anforderungen, Gefahrenanalyse, Verifizierung und Validierung, Revisionshistorie und ungelöste Anomalien. Diese Dokumente werden zum Vergleich herangezogen: Sie machen sichtbar, welche Artefakte ein heutiger Prüfer erwarten würde, in den erhaltenen Therac-25-Unterlagen aber nicht finden kann.

Moderne Erwartungen an Human Factors betreffen ebenfalls den Schnittstellenpfad. Die Leitlinie der FDA zu Human Factors und Gebrauchstauglichkeit behandelt vorgesehene Nutzer, Nutzungsumgebungen, kritische Aufgaben und nutzungsbezogene Gefahren als Entwurfsvorgaben. Bei diesem Ansatz würden die schnelle Korrektur durch eine erfahrene Bedienerin, häufige Pausen, mehrdeutige Meldungen und ein Fortsetzungsbefehl mit einem Tastendruck als Teil des Sicherheitsproblems getestet und nicht als Verhalten außerhalb der technischen Kontrolle abgetan.

Die FDA erkennt IEC 62304 als Lebenszyklusnorm für Medizinproduktesoftware an. Ihr Prozessrahmen garantiert keine sichere Software und validiert für sich allein kein fertiges Gerät. Er verlangt jedoch einen gepflegten Entwicklungs- und Wartungsprozess, der Anforderungen, Risikokontrollen, Konfiguration, Problemlösung und Änderungsauswirkungen besser prüfbar macht. Das ist unmittelbar relevant für Code, der über mehrere Therac-Generationen übernommen und später durch mehrere CAP-Fassungen hindurch korrigiert wurde.

Zum Veröffentlichungsdatum des Artikels ist die Quality Management System Regulation der FDA seit dem 2. Februar 2026 wirksam und bezieht ISO 13485:2016 durch Verweis ein. Sie bietet heutigen Aufsichtsbehörden einen umfassenderen Rahmen für Qualitätsmanagement und Inspektion, einschließlich Entwurf und Entwicklung, Untersuchung von Beschwerden und Aufzeichnungen. Sie belegt den heutigen Maßstab für Verantwortlichkeit, nicht aber, was eine Inspektion bei AECL vier Jahrzehnte zuvor ergeben hätte.

Auch der Melderahmen ist heute ausdrücklicher geregelt. Die Geschichte der MDR-Regulierung der FDA zeichnet die Ausweitung auf nutzende Einrichtungen nach 1990 nach, und ihr aktueller Überblick über die Meldepflichten unterscheidet zwischen den Pflichten von Herstellern, Importeuren und Einrichtungen. Bessere Vorschriften erhöhen die Chance, dass die Anomalie eines Krankenhauses zum Produktsignal wird. Sie hängen weiterhin davon ab, dass Mitarbeiter erkennen, dass ein Ereignis mit dem Gerät zusammenhängen könnte, und genügend Belege für eine Untersuchung aufbewahren.

Haftung lässt sich nicht allein aus technischer Kontrolle ableiten

Praktische Kontrolle ist eine methodische Art, Verantwortung zu untersuchen, ersetzt jedoch nicht die Rechtsanwendung eines Gerichts. Die Entwurfsbefugnis, das Wissen und die Rolle von AECL bei den Korrekturmaßnahmen begründen eine starke technische Verantwortlichkeit. Die Betriebs- und Meldebefugnisse der Krankenhäuser rechtfertigen die Prüfung lokaler Entscheidungen. Die Befugnisse der Aufsichtsbehörden rechtfertigen die Prüfung von Zeitpunkt und Angemessenheit.

Keine dieser Beobachtungen belegt in einer bestimmten Rechtsordnung und einem bestimmten Fall die Voraussetzungen von Fahrlässigkeit, Kausalität, Produktfehler, Gesetzesverstoß oder Schaden.

Die ursprüngliche Untersuchung stützte sich auf Aussagen in Gerichtsverfahren und berichtete, dass mehrere Ansprüche außergerichtlich beigelegt wurden. Ein Vergleich kann Prozesskosten, Unsicherheit, Versicherung, Vertraulichkeit, Mitgefühl oder Risikoverteilung widerspiegeln. Ohne öffentliche Bedingungen und gerichtliche Feststellungen kann er weder ein Eingeständnis noch einen Gesamtschaden belegen. In den hier verwendeten Primärunterlagen erscheint kein öffentlich zugängliches Sachurteil, das die wichtigsten Therac-25-Schadensersatzansprüche entschieden hätte.

Auch die Unternehmensidentität erfordert Sorgfalt. AECL war eine kanadische Crown Corporation, und ihre Medizintechniksparte änderte später Namen und Eigentümer. Der ausdrücklich behandelte Gegenstand ist Atomic Energy of Canada Limited, weil AECL das Produkt während der Unfall- und CAP-Phase kontrollierte. Spätere Unternehmen sollten Faktenkenntnis oder rechtliche Verantwortung nicht automatisch erben, wenn nicht Transaktions- und Unternehmensunterlagen diese Verbindung belegen.

Verantwortung kann bestimmt werden, ohne Haftung zu überzeichnen. Der Artikel kann identifizieren, wer eine Gefahr verhindern, erkennen, begrenzen und beheben konnte, diese Befugnisse mit den tatsächlichen Handlungen vergleichen und die Ungewissheit über rechtliche Ergebnisse bewahren. Das führt zu einem nützlicheren Ergebnis, als aus einem Softwarefehler Schuld abzuleiten oder vertrauliche Vergleiche als Entlastung zu behandeln.

Frühere kontrafaktische Szenarien sind nützlicher als die Fantasie fehlerfreien Codes

Das schwächste kontrafaktische Szenario ist, bessere Programmierer hätten fehlerfreien Code geschrieben. Es ist nicht prüfbar und setzt den falschen Maßstab. Nebenläufige Echtzeitsoftware kann trotz kompetenter Arbeit Fehler enthalten. Ein Sicherheitsnachweis sollte davon ausgehen, dass einige Fehler verbleiben, und verhindern, dass ein einzelner von ihnen katastrophale Energie freisetzt.

Das stärkste kontrafaktische Szenario beginnt bei der Architektur. Hätte Therac-25 unabhängige Scan- und Drehtischverriegelungen beibehalten, die mit den Schutzvorkehrungen des Therac-20 vergleichbar waren, hätte der gemeinsame Bearbeitungsfehler möglicherweise eine Abschaltung statt einer Bestrahlung ausgelöst. Dafür sprechen die spätere Entdeckung derselben Fehlerklasse beim Therac-20 ohne Patientenschaden und die im abschließenden CAP ausgewählten unabhängigen Barrieren. Es beweist nicht, dass jeder der sechs Unfälle verhindert worden wäre, weil die genauen Pfade der ersten drei unbekannt sind.

Ein zweites kontrafaktisches Szenario beginnt nach Kennestone. Wären die Frage des Physikers, die Verletzung der Patientin und die Mitteilung über das Gerichtsverfahren in ein formelles Gefahrenprotokoll eingegangen, das mit allen Nutzern und Aufsichtsbehörden geteilt wurde, hätten spätere Einrichtungen einen Grund gehabt, einer scheinbaren Unterdosis und Behauptungen der Unmöglichkeit zu misstrauen. Der Betrieb des Geräts hätte eingeschränkt werden können, während das Scan- und Verriegelungsverhalten unter Worst-Case-Zuständen getestet wurde.

Die Akte kann nicht beweisen, dass die im Juni 1985 verfügbaren Belege für einen endgültigen Rückruf ausreichten, wohl aber, dass sie für eine konservative, dokumentierte Untersuchung ausreichten.

Ein drittes beginnt nach Hamilton. Kanadische Behörden und ein unabhängiger Berater empfahlen eine unabhängige Positionsverriegelung und eine nicht fortsetzbare Behandlung von Dosisleistungsfehlern. Die Installation dieser Änderungen in der gesamten Flotte vor der Wiederaufnahme des Routinebetriebs hätte die Klasse unsicherer Konfigurationen umfassender adressiert als eine Änderung der Mikroschalterlogik. Der spätere CAP übernahm eng verwandte Kontrollen.

Daher kann vernünftigerweise gefolgert werden, dass eine frühere Umsetzung das Risiko hätte verringern können, ohne zu behaupten, sie hätte einen unbekannten Mechanismus in Kennestone oder beim ersten Unfall in Yakima mit Sicherheit blockiert.

Ein viertes beginnt mit der ersten Erkennung in Tyler. Eine Regel, nach der jeder schwerwiegende Widerspruch bei der Dosis einen Sperrzustand der Behandlung, die Beurteilung des Patienten, die Bewahrung des Gerätezustands und eine Eskalation an Hersteller und Aufsichtsbehörde verlangt, hätte die sofortige Fortsetzung per Tastendruck verhindert. Funktionierende Audio- und Videosysteme hätten die menschliche Erkennung verbessert. Keine der beiden Kontrollen behebt die Software, doch beide begrenzen wiederholte Bestrahlungen und verbessern die Beweislage.

Wäre das Gerät nach dem ersten Ereignis bis zur Reproduktion von Malfunction 54 nicht wieder klinisch eingesetzt worden, hätte dies die zweite Bestrahlung in Tyler an diesem Gerät wahrscheinlich verhindert.

Ein fünftes betrifft die Tests. Die Wiederholung von Bearbeitungen mit der Geschwindigkeit erfahrener Nutzer, eine zufällige Variation des Task-Timings, das Erzwingen von Byte-Überläufen, die Einspeisung veralteter und widersprüchlicher gemeinsam genutzter Zustände, die Sättigung von Messeingängen und die Überprüfung der endgültigen physischen Konfiguration anhand der Verordnung hätten die bekannten Pfade mit größerer Wahrscheinlichkeit offengelegt als die gewöhnliche wiederholte Nutzung. Diese Schlussfolgerung wird dadurch gestützt, wie der Physiker in Tyler den Fehler reproduzierte und wie Yakima schließlich erklärt wurde.

Die öffentlichen Belege können nicht zeigen, welche Technik welchen Fehler vor der Freigabe gefunden hätte.

Bestätigte Fakten, gestützte Schlussfolgerungen und öffentliche Unbekannte

Zu den bestätigten Fakten gehören die sechs bekannten Unfälle, die größere Sicherheitsrolle der Therac-25-Software, das Fehlen einiger unabhängiger Schutzvorkehrungen, die in früheren Geräten beibehalten worden waren, der Ausschluss verbleibender Softwarefehler aus der Analyse von 1983, der zeitabhängige Bearbeitungspfad von Tyler, der Zählerüberlaufpfad von Yakima, irreführendes oder kryptisches Schnittstellenverhalten, fragmentierte Kommunikation über Vorfälle, die Feststellung des Mangels durch die FDA und ihre wiederholten Einwände gegen den CAP, kanadische Forderungen nach Änderungen, der US-Rückruf der Klasse I und die abschließende

Korrekturmaßnahme mit unabhängigem Hardware-Schutz, Softwareänderungen, einem strengeren Sperrverhalten und überarbeiteter Dokumentation.

Ebenso ist bestätigt, dass die FDA-Akten mehrere Zusicherungen von AECL nicht ungeprüft akzeptierten. Die Behörde wies eine unzureichende erste Nutzermitteilung zurück, verlangte mehr Details und Tests, stellte Daten infrage, die die behauptete Lösung nicht stützten, forderte Änderungen über den Tyler-Fehler hinaus und knüpfte die CAP-Genehmigung an abschließende Ergebnisse und eine unabhängige Analyse. Nutzer und kanadische Behörden trugen zum endgültigen Satz von Kontrollen bei. Die Reparatur wurde daher zwischen mehreren Institutionen ausgehandelt und getestet und nicht als einzelner unangefochtener Patch geliefert.

Gestützte Schlussfolgerungen beginnen dort, wo diese Fakten zusammenwirken. Frühere unabhängige Barrieren hätten wahrscheinlich zumindest einige katastrophale Bestrahlungen verhindert, weil dieselbe Art von Softwareinkonsistenz beim Therac-20 durch Hardware eingehegt wurde und weil der abschließende CAP diese Barrieren auswählte. Ein gemeinsames Gefahrenprotokoll und eine unverzügliche standortübergreifende Warnung hätten die Erkennung wahrscheinlich beschleunigt, weil der Glaube der einzelnen Einrichtungen an die Unmöglichkeit teilweise von fehlenden Informationen zu Vorfällen abhing.

Realistischere integrierte Tests hätten Timing- und Überlaufbedingungen aufdecken können. Diese Schlussfolgerungen sind wahrscheinliche Wirkungen von Kontrollmaßnahmen, keine rekonstruierte alternative Geschichte.

Mehrere Fakten sind umstritten oder ungewiss. Zeitpunkt und Vollständigkeit der frühen Kenntnis von AECL unterschieden sich in den Darstellungen des Unternehmens, der Krankenhäuser und der Gerichtsverfahren. Der Mechanismus in Hamilton wurde nie eindeutig reproduziert. Die ersten drei Unfälle können anhand öffentlicher Belege keinem bestimmten Softwarefehler zugeordnet werden. Exakte Patientendosen unterscheiden sich je nach Rekonstruktion und Gerätebedingungen. Bei manchen Patienten beeinflussten sowohl Krebs als auch Strahlenverletzungen den Verlauf, sodass eine einfache Zahl der Todesfälle die medizinische Kausalität nicht ausdrücken kann.

Die internen Gründe für Entwurfsentscheidungen und die Verteilung der Unternehmensbefugnisse unter namentlich bekannten Personen sind nicht öffentlich.

Die rechtlichen und finanziellen Unbekannten sind erheblich. Vergleichsbeträge und -bedingungen sind in den zentralen Primärunterlagen nicht verfügbar. Es gibt kein öffentliches Sachurteil, das die Haftung zwischen AECL, Krankenhäusern, Klinikpersonal oder Serviceorganisationen verteilt. Versicherungsschutz, Freistellungen, Rechtskosten und Gesamtentschädigungen sind nicht verfügbar. Das Fehlen dieser Unterlagen bedeutet nicht, dass keine Kosten oder Verantwortung bestanden; es verhindert präzise Behauptungen.

Auch bei der Reparatur bestehen Unbekannte fort. Öffentliche Quellen stellen nicht jedes CAP-Testergebnis, die vollständigen Arbeitspapiere der unabhängigen Prüfung, sämtliche Installationsunterlagen der Geräte, die Quellcodeverwaltungshistorie oder langfristige Vorfallraten bereit. Sie beweisen nicht, wie sich jedes modifizierte Gerät bis zu seiner Ausmusterung verhielt. Der spätere regulatorische und normative Rahmen zeigt, was ein heutiges Nachweispaket enthalten würde, kann aber fehlende Artefakte nicht rückwirkend erzeugen.

Zu den Belegen, die die Schlussfolgerung verändern könnten, gehören ein vollständiges Gefahrenprotokoll von AECL, die Quellcode- und Änderungshistorie, ursprüngliche Anforderungen und Sicherheitsanalysen, interne Prüfunterlagen, sämtliche Serviceprotokolle der Einrichtungen, nicht in der Untersuchung wiedergegebene Korrespondenz mit den Aufsichtsbehörden, vollständige CAP-Testdaten, Ergebnisse der Installationsabnahme sowie freigegebene Vergleichs- oder Gerichtsunterlagen. Solches Material könnte genauer zeigen, wer was wann wusste.

Es würde die grundlegende physische Tatsache nicht ändern, dass unabhängige Barrieren vor den Unfällen fehlten und im Zuge der Reparatur hinzugefügt wurden, könnte aber die Verteilung und den Zeitpunkt der organisatorischen Verantwortung wesentlich verändern.

Eine dauerhafte Bewährungsprobe für die Verantwortung bei softwareabhängiger medizinischer Sicherheit

Der erste Test betrifft die Verantwortung für Gefahren. Gibt es für jeden gefährlichen Energiezustand einen namentlich benannten organisatorischen Verantwortlichen mit Befugnis über Anforderungen, Architektur, Validierung, Feldüberwachung und Korrekturmaßnahmen? Verfolgt dieser Verantwortliche die Gefahr über Produktgenerationen und wiederverwendete Komponenten hinweg? Eine Gefahr, die ohne einen verantwortlichen Integrationspunkt auf Hardware-, Software- und klinische Teams verteilt ist, wird wahrscheinlich zwischen diesen Zuständigkeiten verloren gehen.

Der zweite Test betrifft die Unabhängigkeit der Barrieren. Kann ein einzelner Softwarefehler, eine veraltete gemeinsam genutzte Variable, eine beschädigte Konfiguration oder ein irrtümlicher Befehl sowohl die Steuerungsaktion als auch deren Prüfung ausschalten? Eine zweite Softwareroutine auf demselben Prozessor, die denselben Zustand liest und dieselben Annahmen verwendet, kann im Code redundant, bei der Sicherheit aber nicht unabhängig sein.

Katastrophale Energie erfordert eine Barriere, deren Versagen nicht durch denselben Pfad verursacht wird: physische Positionserfassung, fest verdrahtete Abschaltung, unabhängige Überwachung oder einen anderen nachweislich getrennten Mechanismus.

Der dritte Test betrifft die Kontrolle von Annahmen bei Wiederverwendung. Führt jede wiederverwendete Routine dokumentierte Annahmen über Hardware-Verriegelungen, Timing, Zahlenbereiche, Scheduler-Verhalten, Sensorgültigkeit und Bedienabläufe mit sich? Werden diese Annahmen erneut validiert, wenn Software in ein neues Produkt übernommen wird? Eine lange Betriebshistorie in einem geschützten Vorgängermodell ist kein Nachweis aus dem Feldeinsatz für einen Nachfolger, der den Schutz entfernt.

Der vierte Test betrifft von Gefahren ausgehende Softwarenachweise. Beginnen die Anforderungen bei unsicheren physischen Zuständen und erforderlichen Einschränkungen oder bei Funktionen und erwartetem Verhalten? Können Prüfer jede Gefahr bis zu Anforderungen, Architektur, Code, Tests, Restrisiko und Feldüberwachung verfolgen? Werden ungelöste Anomalien anhand der schlimmsten glaubhaften Folgen und nicht allein anhand ihrer Häufigkeit bewertet? Gewöhnliche erfolgreich ausgeführte Behandlungen erproben seltene Zustandskombinationen nicht.

Der fünfte Test betrifft realistische Interaktionstests. Werden erfahrene Nutzer dabei beobachtet, wie sie häufige Korrekturen mit voller Geschwindigkeit durchführen? Werden der Zeitpunkt von Unterbrechungen, schnelle Bearbeitungen, wiederholte Pausen, Überlaufgrenzen, Task-Unterbrechungen und widersprüchliche Sensorwerte gezielt eingespeist? Umfassen die Tests den schnellsten und erfahrensten Bediener und nicht nur eine langsame vorgegebene Abfolge? Die vorgesehene Effizienz muss als Teil der Betriebsumgebung behandelt werden.

Der sechste Test betrifft konservative Mensch-Maschine-Autorität. Vermittelt die Anzeige die Gefahr in einer Sprache, auf die der Bediener reagieren kann? Führt ein schwerwiegender Widerspruch standardmäßig zu einem Sperrzustand? Wird der Neustart blockiert, bis der Zustand erneut hergestellt und unabhängig geprüft wurde? Werden häufige Fehlalarme gemessen und reduziert, bevor sie eine unsichere Fortsetzung normalisieren? Ein Alarmsystem, das Nutzer lehrt, es zu ignorieren, hat seine eigene Sicherheitsmarge verbraucht.

Der siebte Test betrifft wahrheitsgetreue Messungen. Können Monitore die schlimmste glaubhafte Ausgangsleistung ohne Sättigung oder irreführenden Ersatzwert darstellen? Bewahrt das System bei widersprüchlichen unabhängigen Anzeigen beide auf und nimmt den gefährlicheren Zustand an? Werden Rohmesswerte, Bereichsgrenzen und Sensorgültigkeit gespeichert? Eine angezeigte Null ist gefährlich, wenn sie bedeutet, dass das Messgerät seine Kapazität überschritten hat, statt dass nichts geschehen ist.

Der achte Test betrifft eine prüfbare Vorfallsakte. Werden für jede Behandlung Verordnung, Bearbeitungen, Software- und Konfigurationsversionen, Zustände physischer Verriegelungen, Strahlbefehle, Monitorwerte, Alarme, Neustarts und Zeitsynchronisierung gespeichert? Kann ein Physiker die Abfolge rekonstruieren, ohne sich auf Erinnerungen zu verlassen? Ist die Akte vor routinemäßiger Deaktivierung geschützt und für die Lebensdauer des Produkts dimensioniert? Untersuchungen werden zu Spekulationen, wenn das System den entscheidenden Zustand verwirft.

Der neunte Test betrifft die standortübergreifende Eskalation. Kann jede Einrichtung ein vermutetes schwerwiegendes Ereignis melden, ohne zunächst beweisen zu müssen, dass das Gerät es verursacht hat? Werden Berichte über Länder, Serviceorganisationen und Unternehmensabteilungen hinweg nach Produkt und Gefahr zusammengeführt? Erhalten Nutzer unverzüglich sachliche Warnungen, die bestätigte Mechanismen von ungeklärten Risiken unterscheiden? Ein Hersteller sollte nicht auf identische Verletzungen warten, wenn das gemeinsame mögliche Ergebnis katastrophal ist.

Der zehnte Test betrifft die Breite von Korrekturmaßnahmen. Behebt die Reaktion nur den reproduzierten Auslöser, oder identifiziert sie sämtliche Pfade zum gefährlichen Zustand? Werden vorläufige Behelfslösungen als solche gekennzeichnet, einschließlich Restrisiko und Ablaufdatum? Umfasst die endgültige Reparatur eine Analyse der Änderungsauswirkungen, Regressionstests, unabhängige Prüfung, Installationsverifizierung und Überwachung nach dem Inverkehrbringen? Eine Beschränkung der Tastenkappe kann Zeit gewinnen; einen Sicherheitsnachweis kann sie nicht abschließen.

Der elfte Test betrifft für Aufsichtsbehörden geeignete Belege. Kann der Hersteller auf Anforderung Anforderungen, Spezifikationen, Testpläne, Ergebnisse, Anomalieprotokolle und Installationsdaten vorlegen, oder muss er sie nach einer Verletzung rekonstruieren? Verfügen die Aufsichtsbehörden über die Befugnis und ein Meldesystem, die ihnen ein Handeln ermöglichen, bevor der Hersteller vollkommene Gewissheit besitzt? Legt die Genehmigung Bedingungen und einen Nachweis des Abschlusses fest? Der Sicherheitsnachweis wird schwächer, wenn die Dokumentation der Reparatur folgt, anstatt sie zu steuern.

Der zwölfte Test betrifft dauerhafte Verifizierung. Werden unabhängige Barrieren regelmäßig unter realistischen Fehlerbedingungen geprüft? Werden Softwareänderungen anhand der ursprünglichen Gefahren beurteilt, selbst nachdem Personal und Eigentümer gewechselt haben? Werden Fehlalarme, Anomalien im Feldeinsatz und Beinaheunfälle als Trends ausgewertet? Veröffentlicht die Organisation ausreichend aggregierte Belege, damit Krankenhäuser und Aufsichtsbehörden erkennen können, dass die Kontrolle weiterhin verankert ist? Das Ausbleiben einer gemeldeten Katastrophe ist kein Leistungsnachweis.

Therac-25 sollte daher nicht auf eine Moralgeschichte über nachlässige Programmierung oder unaufmerksame Bediener reduziert werden. Es war ein Steuerungssystem, in dem die Befugnis der Software wuchs, während unabhängiger Schutz, Beobachtbarkeit und institutionelles Lernen nicht im gleichen Maß zunahmen. Die bekannten Fehler machten dieses Ungleichgewicht sichtbar. Die früheren unbewiesenen Mechanismen und unvollständigen Unterlagen zeigen, warum Verantwortung nicht davon abhängen kann, jeden Fehler erst nach einem Schaden zu finden.

Die Reparatur bewegte sich in die richtige Richtung, weil sie veränderte, wer und was den Strahl stoppen konnte. Unabhängige Verriegelungen, Abschaltung nach einem Impuls, nicht fortsetzbare Sicherheitsfehler, klarere Meldungen, eine breitere Analyse und von Aufsichtsbehörden geprüfte Korrekturmaßnahmen machten das System weniger abhängig von fehlerfreiem Code und fehlerfreier Interpretation.

Die verbleibende Lehre betrifft die Belege: Ein Hersteller sicherheitskritischer Systeme muss vor der Bereitstellung und nach jedem schwerwiegenden Signal zeigen können, dass kein einzelner verborgener Pfad gewöhnliche klinische Arbeit in eine katastrophale Bestrahlung verwandeln kann.