AECL Therac-25: test responsabilité pour verrouillages logiciels

Résumé

Six accidents connus du Therac-25 impliquant des surdoses massives de radiation se sont produits entre juin 1985 et janvier 1987. Les archives conservées documentent des blessures graves et des décès, mais elles ne permettent pas de considérer chaque décès ultérieur comme uniquement causé par la surdose ni d'attribuer une dose exacte à chaque patient.
Deux chemins logiciels distincts sont bien établis. L'édition rapide du mode et de l'énergie de traitement pouvait laisser les données de prescription affichées incohérentes avec la configuration de la machine dans les accidents de Tyler. Dans le deuxième accident de Yakima, un compteur 8 bits pouvait passer à zéro et contourner une vérification de position du collimateur. Le chemin logiciel exact des trois premiers accidents reste inconnu.
La défaillance de contrôle plus profonde était architecturale. Les machines Therac antérieures conservaient des circuits de protection indépendants et des verrouillages mécaniques. Le Therac-25 a confié une plus grande responsabilité de sécurité au logiciel et n'a pas dupliqué toutes ces protections, permettant à une erreur logicielle et à l'état système associé de devenir une voie d'exposition catastrophique.
La détection a échoué à plusieurs niveaux. Des messages cryptiques classaient les conditions dangereuses comme des pauses de traitement, les moniteurs de dose pouvaient saturer et afficher une sous-dose apparente, des interruptions fréquentes non dangereuses entraînaient les opérateurs à reprendre, les enregistrements de traitement étaient incomplets, et les rapports de différents hôpitaux ne constituaient pas un tableau d'incidents partagé en temps utile.
AECL contrôlait la conception, le code réutilisé, la documentation logicielle, l'analyse de sécurité, les avertissements aux clients et le plan d'action corrective. Les hôpitaux contrôlaient l'exploitation locale, l'observation des patients, le retrait de l'équipement et l'escalade. Les régulateurs contrôlaient les constats de défauts, la classification des rappels et l'approbation des actions correctives, mais le régime de déclaration américain dépendait alors fortement des fabricants et n'imposait pas les obligations ultérieures des établissements utilisateurs.
Les preuves de réparation sont substantielles mais limitées. Le plan d'action corrective final a ajouté un arrêt indépendant de l'ordinateur et des verrouillages du plateau tournant, transformé les pauses en suspensions, amélioré les messages, restreint l'édition, corrigé les défauts connus et exigé des tests supplémentaires et une analyse de sécurité. Les archives publiques ne contiennent pas de package de validation moderne complet, d'historique des sources, de tous les résultats de test ou d'ensemble de données de performance sur le terrain à long terme.
La leçon durable n'est pas que les dispositifs médicaux doivent éviter le logiciel. C'est que le logiciel ne doit pas être autorisé à rendre une condition catastrophique accessible par un chemin non contrôlé. Des barrières indépendantes, des exigences fondées sur les dangers, des tests d'interaction réalistes, des alarmes exploitables, des pistes d'audit, un signalement rapide entre sites et des preuves d'action corrective vérifiables de manière indépendante font tous partie du dossier de sécurité.

Les bugs célèbres sont des preuves, pas l'explication complète

Le Therac-25 est mémorisé parce que le code et les préjudices aux patients peuvent être liés de manière exceptionnellement claire. Cette clarté est utile, mais elle peut fausser la responsabilité si l'enquête commence et se termine par un race condition ou une variable qui déborde. Un défaut explique comment un chemin d'exécution particulier s'est comporté.

Il n'explique pas en soi pourquoi un chemin a pu placer un faisceau à haute énergie dans une configuration dangereuse, pourquoi le système physique manquait d'un arrêt indépendant, pourquoi une console pouvait signaler peu ou pas de dose après une exposition massive, pourquoi un opérateur formé était invité à continuer, ou pourquoi les avertissements de plusieurs installations n'ont pas convergé rapidement.

L' enquête originale de Nancy Leveson et Clark Turner, publiée dans IEEE Computer en 1993 et construite à partir de documents de la FDA, de registres réglementaires canadiens, de lettres et de dépositions de procès, est exceptionnellement explicite sur ses limites probatoires. Les auteurs ont pu documenter six accidents connus, deux mécanismes logiciels et une longue séquence d'actions correctives. Ils n'ont pas pu obtenir d'informations complètes sur la gestion du développement d'AECL, les contrôles qualité ou chaque événement.

Leur récit soutient donc une conclusion au niveau du système sans soutenir toutes les allégations qui se sont accumulées autour de l'affaire.

Le dossier officiel de rappel fournit une ancre indépendante importante. L' examen des rappels de dispositifs sélectionnés du U.S. General Accounting Office (GAO) liste le Therac-25 comme un rappel de classe I impliquant cinq accélérateurs américains, daté du 3 juin 1987, et identifie deux défauts logiciels capables de provoquer des surdoses massives de radiation. Ce dossier est plus étroit que l'historique complet des accidents. Leveson et Turner ont fait état de onze machines installées, cinq aux États-Unis et six au Canada.

La quantité du GAO doit donc être comprise comme la population de rappel américaine dans son ensemble de données, et non comme le nombre d'unités Therac-25 dans le monde.

Cette distinction renvoie à la question centrale de la responsabilité. Un fabricant ne peut pas promettre que le logiciel critique pour la sécurité ne contiendra aucun défaut. Il peut décider si un seul défaut suffit à produire une énergie catastrophique, si un mécanisme physique séparé vérifie l'état de la machine, si l'interface transmet le danger, si les preuves de terrain sont conservées et combinées, et si une action corrective traite la classe de danger plutôt que seulement la séquence d'entrée la plus récemment reproduite. Ce sont des choix de conception et de gouvernance contrôlables.

L'architecture a transféré une fonction de sécurité physique dans le logiciel

Le Therac-25 était un accélérateur linéaire médical à double mode. Il pouvait utiliser des électrons accélérés pour un traitement moins profond ou produire des rayons X pour un traitement plus profond. En mode photon, la machine avait besoin d'une cible et d'un équipement d'aplatissement du faisceau dans le trajet du faisceau. En mode électron, elle avait besoin d'un scanner et d'autres équipements pour étaler et contrôler le faisceau. Un plateau tournant rotatif déplaçait l'équipement pertinent en position.

Le danger physique était simple même si l'implémentation était complexe: une puissance de faisceau élevée combinée à un mauvais état du plateau tournant ou du collimateur pouvait concentrer une énergie qui aurait dû être façonnée, mesurée ou bloquée.

La description du plateau tournant conservée par le MIT montre pourquoi un verrouillage était une barrière de sécurité plutôt qu'une fonction de commodité. Trois micro-interrupteurs rapportaient la position à l'ordinateur. L'ordinateur positionnait et vérifiait le plateau tournant. En position de lumière de champ, un miroir utilisé pour l'alignement du patient se trouvait dans le trajet du faisceau et aucune chambre d'ionisation n'était attendue car aucun faisceau de traitement ne devait être présent. Les verrouillages électromécaniques traditionnels avaient été utilisés pour empêcher le fonctionnement dans un état incompatible.

Dans le Therac-25, les vérifications logicielles se sont substituées à un grand nombre d'entre eux.

Cette substitution représentait un changement matériel par rapport à la lignée sur laquelle AECL s'appuyait. Therac-6 et Therac-20 ajoutaient un contrôle informatique à des machines qui pouvaient fonctionner de manière indépendante et conservaient des protections matérielles standard de l'industrie. Le Therac-25 a été conçu autour du contrôle informatique. Son logiciel avait une plus grande responsabilité dans la surveillance du fonctionnement sûr, tandis que tous les circuits de protection antérieurs n'étaient pas dupliqués.

Le plus ancien Therac-20 a ensuite fourni une comparaison fortuite: un défaut d'édition apparenté pouvait déclencher des fusibles ou des disjoncteurs, mais des circuits de protection indépendants empêchaient l'activation du faisceau et aucune exposition comparable du patient n'en résultait.

La réutilisation du code n'était pas intrinsèquement l'erreur. AECL a réutilisé la structure et les routines des machines antérieures, et la réutilisation peut préserver un comportement testé. Le problème était que des hypothèses d'un système avec protection matérielle indépendante ont été transférées dans un système où le logiciel était devenu partie intégrante de la frontière de sécurité primaire.

Le compte rendu du développement logiciel qui subsiste indique que le programme a évolué à partir du code du Therac-6, a été écrit en langage assembleur PDP-11 et utilisait un système d'exploitation temps réel personnalisé avec des tâches concurrentes et des gestionnaires d'interruptions. Il fait également état d'une documentation éparse et de la préoccupation d'un examinateur de la FDA concernant l'absence de spécifications et de plan de test logiciel.

Dans une application bénigne, des hypothèses héritées peuvent produire des inconvénients. Dans un accélérateur médical, elles deviennent dangereuses lorsque le nouveau système supprime le composant indépendant qui les contenait auparavant. La question pertinente du cycle de vie n'est pas simplement de savoir si le code réutilisé a fonctionné pendant des années. C'est de savoir si chaque hypothèse de sécurité a été rétablie par rapport au nouveau matériel, à la nouvelle autorité de contrôle, au nouveau flux de travail de l'opérateur et à la nouvelle conséquence de défaillance.

Les archives publiques ne montrent pas qu'un tel examen intégré des hypothèses a eu lieu avant l'utilisation clinique.

L'analyse de sécurité pré-accident n'a pas testé la nouvelle source de contrôle

AECL a réalisé une analyse de sécurité par arbre de défaillances en mars 1983. Selon l'enquête, elle supposait que les erreurs de programmation avaient été réduites par des tests approfondis et excluait les défauts logiciels résiduels. Elle traitait les erreurs d'exécution informatique principalement comme des conséquences de pannes matérielles ou de perturbations aléatoires. Pourtant, le logiciel portait désormais des fonctions de sécurité que le matériel avait portées dans les machines antérieures. L'analyse a donc accordé peu d'attention utile au composant dont l'autorité avait le plus augmenté.

Ce n'était pas seulement un problème quantitatif. Attribuer une probabilité extrêmement faible à un événement informatique décrit de manière vague ne peut pas démontrer que des états dangereux ont été identifiés. Les défauts logiciels déterministes n'apparaissent pas de manière aléatoire comme un composant usé; ils se reproduisent chaque fois que l'état requis et le timing s'alignent.

Si l'analyse ne modélise pas l'édition rapide, les interactions de variables partagées, le débordement de compteur, la configuration obsolète de la machine, les moniteurs saturés ou les affichages contradictoires, un petit résultat numérique en dit peu sur ces chemins.

Le résumé de l'analyse de sécurité du Therac-25 ultérieur est la preuve d'un examen plus sérieux après les accidents. Il a utilisé l'analyse des modes de défaillance et de leurs effets, l'analyse par arbre de défaillances et l'examen du logiciel. Il a identifié des fonctions critiques pour la sécurité, notamment le balayage, la sélection d'énergie, l'arrêt du faisceau et l'étalonnage, et a conduit à des recommandations pour des verrouillages indépendants de l'ordinateur.

Même cette analyse ultérieure était franche sur ses limites: l'inspection du code ne pouvait pas fournir une confiance élevée dans les fonctions complexes de balayage et de sélection d'énergie. Cette incertitude a soutenu l'ajout de barrières plutôt que l'affirmation que l'inspection avait prouvé que le code était complet.

L'inférence étayée est que le dossier de sécurité original était structurellement inadapté à la conception. Les preuves publiques n'établissent pas qui a approuvé chaque hypothèse, quelles objections internes ont été soulevées, ou si le coût a été la raison décisive de ne pas dupliquer la protection matérielle. Elles établissent que l'analyse excluait les erreurs logicielles résiduelles alors que le logiciel était censé empêcher des configurations physiques dangereuses. C'est suffisant pour situer la question de la responsabilité au niveau de la conception du système sans inventer un motif privé.

Six accidents ne sont devenus un seul incident qu'après des préjudices répétés

La chronologie est importante car chaque événement a changé ce qui pouvait raisonnablement être connu. La chronologie consolidée des événements commence le 3 juin 1985 au Kennestone Regional Oncology Center à Marietta, en Géorgie. Un patient recevant un traitement par électrons a signalé une chaleur intense et a développé plus tard une grave blessure par radiation. L'impression du traitement était désactivée, ne laissant aucun enregistrement papier. Le physicien de l'hôpital a demandé à AECL si la machine pouvait fonctionner en mode électron sans balayage; AECL a répondu que non.

Les récits différaient sur le moment où AECL avait reçu un avis formel, mais la société avait un avis officiel de litige en novembre 1985. Aucune enquête en temps utile n'a établi le chemin de la machine.

Le 26 juillet 1985, un patient de la clinique de l'Ontario Cancer Foundation à Hamilton a connu des pauses de traitement répétées et un message H-tilt. L'affichage indiquait aucune dose, et l'opérateur a utilisé la commande de poursuite autorisée plusieurs fois. Le patient a subi une surdose locale majeure. AECL n'a pas pu reproduire l'événement et a suspecté un défaut de micro-interrupteur. Elle a repensé la logique de commutation et a revendiqué une très grande amélioration de la sécurité alors même que son propre récit ne pouvait pas être certain de la cause.

Les responsables canadiens et un consultant indépendant ont demandé des changements plus forts, notamment une vérification indépendante de la position du plateau tournant et une suspension du traitement pour les dysfonctionnements pertinents. AECL n'a pas installé le verrouillage indépendant demandé à ce stade.

En décembre 1985, un patient du Yakima Valley Memorial Hospital a développé une réaction cutanée striée après le traitement. Le personnel a enquêté sur d'autres explications et a écrit à AECL le 31 janvier 1986. AECL a répondu le 24 février que ni un dysfonctionnement de la machine ni une erreur de l'opérateur n'avaient pu produire la blessure et a invoqué l'absence d'incidents similaires. Le premier récit de Yakima montre pourquoi le contrôle de l'information importait: l'établissement ne connaissait pas l'historique complet des sites et s'appuyait sur la confiance technique du fabricant.

Ce n'est qu'après le deuxième accident de Yakima que la première blessure a été reconnue comme une probable surdose.

Le 21 mars 1986, le premier patient de Tyler a reçu un traitement par électrons après qu'un opérateur expérimenté a rapidement corrigé une entrée initiale de rayons X. La machine a affiché le dysfonctionnement 54, a classé la condition comme une pause de traitement et a montré une sous-dose apparente. L'opérateur a suivi le flux de travail normal et a continué. Les liaisons audio et vidéo vers la salle de traitement blindée ne fonctionnaient pas ce jour-là, retardant la reconnaissance de la détresse du patient. Les ingénieurs d'AECL n'ont d'abord pas pu reproduire le dysfonctionnement et ont de nouveau envisagé une explication électrique.

Après que les tests n'ont trouvé aucun problème de mise à la terre, la clinique a remis la machine en service le 7 avril.

Le 11 avril, un deuxième patient de Tyler a connu le même dysfonctionnement 54 après que le même opérateur a rapidement édité le mode. Cette fois, l'interphone fonctionnait et l'opérateur s'est arrêté. Le physicien de la clinique, Fritz Hager, a retiré la machine du service et a travaillé avec l'opérateur jusqu'à ce qu'il puisse reproduire la séquence. La vitesse était la condition manquante. Une fois qu'AECL a appris que l'édition devait être effectuée rapidement, elle a reproduit le dysfonctionnement et a mesuré une production massive. AECL a déposé un rapport d'accident auprès de la FDA le 15 avril.

La FDA a déclaré le dispositif défectueux le 2 mai et a exigé un plan d'action corrective.

Le 17 janvier 1987, un deuxième patient de Yakima a été exposé alors que le plateau tournant était associé à la configuration de lumière de champ. La console n'affichait aucune dose de traitement au-delà des expositions antérieures sur film, la machine s'est arrêtée et l'opérateur a pu continuer. Il s'agissait d'un chemin logiciel différent. La reconstruction préliminaire d'AECL estimait des milliers de rads par tentative, mais la dose exacte délivrée reste incertaine. L'événement a montré qu'une correction spécifique à Tyler n'était pas un dossier de sécurité complet.

La FDA et les autorités canadiennes ont agi en février pour recommander l'arrêt de l'utilisation de routine jusqu'à ce que des modifications permanentes soient achevées.

La chronologie ne soutient pas l'affirmation qu'une seule personne a ignoré six alarmes identiques. Les accidents se sont produits dans différents établissements, ont produit des messages différents et n'étaient pas tous compris techniquement à l'époque. Elle soutient une conclusion selon laquelle les informations sur les incidents sont restées fragmentées, les premières conclusions d'impossibilité étaient trop fortes et les actions correctives ont d'abord suivi les composants suspects plutôt que la classe de danger.

Chaque événement supplémentaire aurait dû réduire la confiance dans la prémisse selon laquelle le logiciel et les vérifications existantes rendaient la surdose impossible.

Tyler a exposé une incohérence sensible au temps entre l'écran et la machine

Le déclencheur de Tyler n'était pas simplement que l'opérateur tapait trop vite. L'opérateur entrait un mode de traitement, se déplaçait vers la ligne de commande, revenait en mode édition et changeait l'entrée de rayons X à électrons dans la période où la machine réglait les aimants de courbure. L'écran reflétait la correction. Les tâches logicielles concurrentes ne propageaient pas de manière fiable l'état édité à tous les paramètres de la machine.

La reconstruction logicielle détaillée de Tyler décrit des variables partagées utilisées par le gestionnaire de clavier, la routine de saisie des données et les tâches de contrôle du traitement. Un indicateur d'achèvement indiquait que le curseur avait atteint la ligne de commande, et non que l'édition était vraiment terminée. Un autre indicateur associé à la configuration de l'aimant était effacé trop tôt, de sorte que les modifications ultérieures pouvaient échapper à la reconnaissance. Les octets bas et haut d'une variable de mode et d'énergie pouvaient influencer différentes tâches.

Dans le timing requis, le positionnement du plateau tournant ou du collimateur pouvait suivre la valeur éditée tandis que d'autres paramètres de fonctionnement restaient dérivés de la sélection antérieure de rayons X.

Le déclencheur direct peut donc être énoncé de manière étroite: une édition rapide dans une fenêtre spécifique a permis à un état incohérent de passer dans le traitement. Le défaut n'était reproductible que lorsque le flux de travail était effectué à une vitesse d'expert réaliste. Un ingénieur lent suivant une séquence écrite aurait pu le manquer. C'est pourquoi la reconstruction du physicien de la clinique était importante. Il a traité l'expertise de l'opérateur comme une condition de test plutôt que comme une preuve de mauvaise utilisation.

Le résultat dangereux nécessitait plus que le race condition. Le logiciel n'effectuait pas de vérification finale indépendante de cohérence entre le traitement affiché, la configuration de la machine et les paramètres du faisceau. Le matériel ne bloquait pas indépendamment la configuration incompatible. Les chambres d'ionisation se saturaient sous l'impulsion intense et pouvaient signaler une valeur faible. La machine étiquetait l'événement comme une pause et rendait disponible un redémarrage par une touche. L'opérateur avait été conditionné par de nombreuses pauses inoffensives à utiliser cette commande.

Dans le premier événement de Tyler, les moniteurs de salle en panne ont supprimé un dernier canal de détection humaine.

Qualifier l'action de l'opérateur de cause inverserait la relation de contrôle. L'interface soutenait intentionnellement la saisie et l'édition rapides parce que les opérateurs avaient demandé de l'efficacité. La touche de poursuite était la réponse spécifiée à une pause. La vitesse et la familiarité de l'opérateur étaient des caractéristiques prévisibles de l'environnement d'utilisation prévu. Elles ont déclenché un défaut, mais AECL contrôlait si cette interaction pouvait créer un état de machine dangereux et si cet état serait arrêté indépendamment.

Yakima a exposé un chemin différent par débordement de compteur

Le deuxième mécanisme de Yakima est survenu plus tard dans la logique de contrôle. Une variable d'un octet utilisée dans des vérifications de configuration répétées était incrémentée à chaque passage. Parce qu'elle ne pouvait représenter que 256 états, elle passait à zéro tous les 256 passages. Zéro était également utilisé pour signifier qu'aucune incohérence du collimateur supérieur ne nécessitait de vérification.

Si l'opérateur émettait la commande set au moment du passage à zéro, la vérification de position pouvait être sautée et le traitement pouvait se poursuivre avec le plateau tournant toujours dans un état dangereux lié à la lumière de champ.

La reconstruction originale du défaut de Yakima distingue cela de Tyler. La tâche Housekeeper concurrente n'effectuait la vérification du collimateur que lorsque la variable partagée Class3 était non nulle. Set-Up Test incrémentait cette variable des centaines de fois en attendant la configuration de la machine. Au moment du passage à zéro, le logiciel contournait la vérification. La correction de code immédiate d'AECL était de définir la variable sur une valeur fixe non nulle au lieu de l'incrémenter.

Encore une fois, le changement de code a corrigé le déclencheur identifié mais n'a pas établi la sécurité par lui-même. Une valeur de statut critique pour la sécurité partagée entre des tâches concurrentes ne devrait pas combiner silencieusement un compteur et un état d'autorisation. Plus important encore, aucune barrière physique indépendante n'empêchait l'activation du faisceau alors que la configuration du plateau tournant était erronée. L'action corrective finale nécessitait donc à la fois une correction de code et un verrouillage du plateau tournant qui ne dépende pas du même chemin logiciel.

Les archives qui subsistent n'identifient pas le chemin de code exact pour Kennestone, Hamilton ou le premier événement de Yakima. Il y a eu des spéculations contemporaines selon lesquelles Hamilton aurait pu ressembler au deuxième mécanisme de Yakima, mais Leveson et Turner ont qualifié cela de spéculation. Il reste possible que des races inconnues ou d'autres défauts aient été impliqués. Un récit discipliné ne devrait pas rétrofit les deux mécanismes ultérieurs à chaque blessure antérieure simplement parce que le résultat physique semblait similaire.

Cette inconnue n'est pas disculpatoire et ne devrait pas être comblée avec certitude. Cela montre pourquoi l'architecture importait. Lorsque plusieurs chemins logiciels inconnus peuvent atteindre le même état catastrophique, prouver et corriger un défaut à la fois est une stratégie de contrôle inadéquate. Une barrière indépendante peut contenir à la fois les chemins connus et inconnus. C'est la valeur pratique de la défense en profondeur: elle réduit la dépendance du dossier de sécurité à une connaissance complète du comportement du logiciel.

L'interface a transformé des signaux de danger contradictoires en travail de routine

L' interface opérateur du Therac-25 faisait la distinction entre une suspension de traitement, qui nécessitait une réinitialisation, et une pause de traitement, qui permettait une commande de poursuite par une touche. Elle générait également des dysfonctionnements fréquents qui étaient ordinairement associés à un inconvénient ou à une sous-dose. Les opérateurs ont appris par expérience répétée que faire une pause et continuer était normal. La formation renforçait la confiance que de multiples mécanismes de sécurité rendaient la surdose virtuellement impossible.

Dans les accidents, ce modèle de fonctionnement a échoué de plusieurs manières. Les numéros de dysfonctionnement étaient cryptiques et n'étaient pas correctement expliqués dans les manuels disponibles. Une condition grave liée à la dose pouvait être présentée avec une priorité basse. Le matériel de surveillance saturé pouvait signaler une sous-dose apparente précisément lorsque la sortie était dangereusement élevée. La console pouvait afficher « vérifié » ou « faisceau prêt » même si la configuration physique et les paramètres internes étaient incohérents.

La machine permettait une exposition répétée sans imposer une nouvelle prescription ni une vérification indépendante.

Ce ne sont pas des défauts cosmétiques séparés. Une alarme n'est un contrôle que si elle aide l'opérateur à distinguer un état dangereux et à prendre la bonne action. Une pause de faible priorité qui permet une continuation immédiate est une autorisation. Un affichage qui sous-estime la dose délivrée modifie la décision de l'opérateur. Un message vérifié est une affirmation de sécurité. Lorsque ces signaux entrent en conflit avec le rapport d'un patient de brûlure ou avec un moniteur physique, le système doit diriger les utilisateurs vers l'interprétation la plus prudente.

Les legsons des expositions accidentelles en radiothérapie de l'AIEA formalisent ce principe sans porter de constat juridique rétroactif concernant AECL. Ils appellent à enquêter sur les signaux incohérents, à supposer l'indication la plus grave jusqu'à preuve du contraire, à concevoir et tester pour l'environnement clinique homme-machine, à former le personnel à interpréter les affichages anormaux et à utiliser plusieurs couches de protection. Le Therac-25 démontre pourquoi ces éléments appartiennent au système d'ingénierie plutôt que d'être laissés à la vigilance personnelle.

Le contrôle pratique était distribué, mais il n'était pas égal

AECL avait le contrôle préventif le plus large. Elle a sélectionné l'architecture matérielle et logicielle, choisi les verrouillages à conserver, contrôlé le code source et la documentation, défini la signification et la priorité des alarmes, conçu le comportement de redémarrage, effectué l'analyse de sécurité initiale, reçu les rapports de terrain, émis des avis aux clients et proposé des actions correctives. Elle contrôlait également si les utilisateurs et les régulateurs recevaient une image complète des sites. Ces pouvoirs faisaient du fabricant le principal propriétaire du risque de conception systémique et d'apprentissage des incidents.

Cela ne rend pas les hôpitaux passifs. Les établissements contrôlaient si l'audio et la vidéo de la salle fonctionnaient, si les impressions de traitement et les fonctions d'audit étaient activées, comment les défauts récurrents étaient enregistrés, quand l'équipement était retiré, la rapidité avec laquelle un physicien médical enquêtait et ce qui était signalé aux autorités étatiques ou fédérales. Le premier événement de Tyler montre un échec de détection locale: la liaison audiovisuelle était indisponible et le traitement s'est poursuivi.

Le deuxième événement de Tyler montre un contrôle local efficace: l'opérateur a escaladé, le physicien a arrêté l'utilisation et l'établissement a reconstruit le déclencheur. La première enquête de Yakima montre la limite de l'expertise locale lorsque le fabricant a nié que le dispositif pouvait produire le préjudice observé et que les preuves des autres sites étaient indisponibles.

Les opérateurs contrôlaient la saisie des données, la configuration du patient et la décision immédiate de poursuivre après une pause, mais ils ne contrôlaient pas le modèle de concurrence caché, la classification des alarmes, le comportement du moniteur de dose saturé ou les verrouillages indépendants manquants. Leurs actions doivent être évaluées par rapport au flux de travail prévu et aux informations disponibles. Un utilisateur formé corrigeant rapidement une erreur de saisie courante n'est pas une entrée antagoniste imprévisible.

Appuyer sur la commande que l'interface offre pour une pause de traitement n'est pas une preuve que l'utilisateur a accepté un risque de surdose non divulgué.

Les physiciens médicaux avaient un pouvoir diagnostique important. Le travail de Hager à Tyler a fourni la séquence reproductible que ni les tests de service de routine ni une reconstruction d'ingénierie initialement plus lente n'avaient trouvée. Les utilisateurs ont également formé un groupe, échangé des informations et insisté pour des changements matériels, de meilleurs messages, une revue indépendante du logiciel et une piste d'audit. Pourtant, ils n'avaient pas accès aux sources et n'ont pas reçu un dossier complet assez tôt pour agir comme un réseau de sécurité coordonné.

Les régulateurs contrôlaient les constats juridiques et la porte des actions correctives. La FDA pouvait déclarer le produit émettant des radiations défectueux, exiger la notification des acheteurs et examiner le plan d'action corrective d'AECL. Les autorités canadiennes de radioprotection pouvaient exiger la conformité et recommander l'arrêt de l'utilisation. Ils n'exploitaient pas les salles de traitement ni n'écrivaient le logiciel, et le système de déclaration américain n'exigeait pas encore que les établissements utilisateurs signalent comme le ferait la loi ultérieure.

Leur responsabilité concerne si les avertissements ont été collectés, si l'autorité a été utilisée rapidement, si les correctifs proposés ont été contestés et si la clôture dépendait de preuves plutôt que d'affirmations.

Les patients avaient les preuves les plus directes du préjudice et le moins de contrôle sur le système. Plusieurs ont immédiatement signalé des sensations de chaleur, de brûlure ou de choc qui contredisaient les affichages de la machine. Ils ne pouvaient pas inspecter l'état de la machine, obtenir un historique des incidents sur les sites ou désactiver une fonction de conception. Un système de sécurité qui traite le témoignage du patient comme moins crédible qu'un affichage connu pour être capable de saturation place le pouvoir probatoire avec le signal le moins fiable.

La détection a échoué avant que la réponse n'échoue

Il est utile de séparer la détection de la réponse. L'échec de détection s'est produit lorsque le système n'a pas conservé ou interprété la preuve qu'un événement dangereux s'était produit. L'absence de données papier de traitement à Kennestone, les chambres d'ionisation saturées, la dose affichée faible ou nulle, les codes de dysfonctionnement cryptiques, les manuels incomplets, la surveillance de salle désactivée et l'incapacité à reproduire les séquences sensibles au temps ont tous réduit l'observabilité. La fragmentation entre les sites signifiait que chaque clinique pouvait sembler vivre une anomalie isolée.

L'échec de réponse a commencé lorsque les preuves disponibles n'ont pas déclenché une précaution suffisamment large. Après Hamilton, AECL a traité la logique suspectée du micro-interrupteur et réduit le nombre de tentatives autorisées, mais n'a pas installé le verrouillage de position indépendant demandé ni converti toutes les pauses pertinentes en suspensions. Après le premier rapport de Yakima, la société a déclaré que le dysfonctionnement de la machine et l'erreur de l'opérateur n'avaient pas pu causer la blessure.

Après le premier accident de Tyler, l'incapacité à reproduire le dysfonctionnement 54 a soutenu une hypothèse électrique et la machine a été remise en service. Ces actions n'étaient compréhensibles que si le modèle de sécurité existant était plus fiable que les preuves défavorables.

La séquence révèle une erreur épistémique récurrente: l'incapacité à reproduire était trop souvent traitée comme une preuve d'impossibilité. Un logiciel concurrent sensible au temps peut être déterministe et pourtant échapper à un test qui ne recrée pas le timing, la charge de travail et l'interaction experte. Un résultat négatif devrait réduire ou rediriger une hypothèse, pas fermer le danger lorsque les conséquences sont graves et que la blessure physique est cohérente avec une exposition excessive.

La communication était elle-même un contrôle. Un utilisateur qui connaissait Kennestone, Hamilton et Yakima évaluerait le dysfonctionnement 54 différemment d'un utilisateur informé qu'il n'y avait pas d'événements de surdose. Un régulateur qui recevait des rapports en temps utile du fabricant et des établissements pourrait identifier un modèle plus tôt. Un ingénieur de service avec des journaux d'audit exacts pourrait distinguer une incohérence de configuration d'une perturbation électrique. L'absence de ces preuves partagées a augmenté le temps pendant lequel un fonctionnement dangereux restait plausible.

L'inférence étayée est qu'une agrégation plus précoce et une escalade prudente auraient pu raccourcir l'exposition au danger. Les archives publiques ne peuvent pas déterminer si un accident ultérieur spécifique aurait certainement été évité, car les mécanismes précoces exacts restent inconnus et les besoins de traitement différaient. Elles peuvent montrer que les institutions disposant d'informations et de contrôle avaient des opportunités d'arrêter l'utilisation de routine, d'ajouter des barrières indépendantes ou d'émettre des avertissements plus forts avant janvier 1987.

Le régime de déclaration était une condition contributive, pas une excuse complète

Au moment des premiers accidents, la déclaration des dispositifs médicaux aux États-Unis dépendait fortement des fabricants et des importateurs. Les hôpitaux et les professionnels de santé n'étaient pas encore soumis à l'obligation ultérieure de déclaration des établissements utilisateurs fédéraux. Les rapports de Tyler ont atteint la FDA par l'intermédiaire du département de la santé du Texas avant le rapport détaillé d'AECL sur le dispositif médical. Cette structure rendait le système d'alerte précoce fédéral vulnérable à l'incertitude locale et au flux d'informations du fabricant.

La faiblesse n'était pas seulement théorique. L' examen de 1986 par le GAO de la sous-déclaration des dispositifs médicaux a trouvé des lacunes sérieuses dans la manière dont les hôpitaux, les fabricants et la FDA communiquaient les problèmes de dispositifs et a recommandé des relations de déclaration plus fortes. Son examen ultérieur de la mise en œuvre de la déclaration des dispositifs médicaux par la FDA a trouvé des déficiences dans l'évaluation de la conformité, le traitement des données et la documentation de la manière dont les rapports ont conduit à des actions correctives.

Un témoignage du GAO au Congrès en 1989 a conclu que le système de déclaration ne fournissait pas l'alerte précoce prévue et que l'autorité légale de la FDA sur les rappels était limitée.

Le Congrès a modifié le cadre après les accidents. La Safe Medical Devices Act de 1990 exigeait que les établissements utilisateurs de dispositifs déclarent les informations suggérant raisonnablement qu'un dispositif avait causé ou contribué à un décès ou une blessure grave d'un patient, établissait des délais de déclaration et élargissait les autorités de correction, de retrait et de rappel. Cette loi est la preuve d'une réponse politique ultérieure à des faiblesses de surveillance généralisées.

Elle ne doit pas être décrite comme une constatation judiciaire selon laquelle les accidents du Therac-25 ont causé chaque disposition, ni ses obligations ultérieures appliquées rétroactivement aux hôpitaux en 1985.

L'autorité canadienne fonctionnait selon une structure différente. La Loi sur les dispositifs émettant des radiations interdisait la vente, la location ou l'importation de dispositifs qui ne répondaient pas aux normes applicables ou créaient des risques de radiation spécifiés et prévoyait des pouvoirs d'inspection, de notification et de réglementation. Le Bureau de la radioprotection du Canada a demandé des modifications matérielles et logicielles après Hamilton et a ensuite coordonné avec la FDA l'arrêt de l'utilisation de routine.

Les archives montrent encore un délai entre le premier verrouillage indépendant demandé et l'installation via l'action corrective finale.

La fragmentation réglementaire importe également aux États-Unis. La description actuelle de la compétence en matière de radiation par la NRC explique que les États réglementent les machines produisant des radiations telles que les appareils à rayons X et les accélérateurs de particules, tandis que les agences fédérales ont des rôles distincts. Le Therac-25 impliquait donc des hôpitaux, des autorités étatiques de radioprotection, la FDA et des organismes canadiens.

Une juridiction distribuée n'est pas nécessairement défectueuse, mais elle nécessite une voie explicite pour qu'une anomalie de traitement locale devienne un signal produit national et transfrontalier.

La cause racine, les conditions contributives et les déclencheurs doivent rester séparés

Le déclencheur direct de Tyler était une édition rapide dans une fenêtre de temps. Le déclencheur direct du deuxième Yakima était une action set au moment où une variable 8 bits passait à zéro. Ces événements ont sélectionné des chemins dangereux dans le logiciel. Ils ne sont pas la cause racine car aucun n'explique pourquoi le chemin avait l'autorité d'activer une énergie dangereuse sans un arrêt indépendant.

La proposition de cause racine centrale soutenue par les archives est architecturale et organisationnelle: la responsabilité de la sécurité est passée de verrouillages matériels indépendants au logiciel sans une analyse de sécurité, un cycle de vie logiciel, une validation intégrée, une conception d'interface et un système d'apprentissage des incidents à la hauteur du préjudice possible. La conception permettait à une chaîne contrôlée par logiciel de définir la configuration, de juger la cohérence, de présenter le statut et d'autoriser le traitement. La dépendance commune a vaincu l'apparence de multiples vérifications.

Les conditions d'ingénierie contributives comprenaient des routines réutilisées dont les hypothèses n'avaient pas été montrées comme ayant été revalidées dans la nouvelle architecture; des variables partagées et des tâches concurrentes avec une sémantique d'état dangereuse; l'absence d'une vérification finale de cohérence; des moniteurs pouvaient saturer; une gestion des dysfonctionnements permettant le redémarrage; des messages cryptiques; une documentation logicielle éparse; et des pratiques de test qui n'incluaient initialement pas d'édition à vitesse experte réaliste.

Le traitement du logiciel par l'arbre de défaillances original a réduit la probabilité que ces chemins soient examinés avant le déploiement.

Les conditions opérationnelles contributives comprenaient des pauses bénignes fréquentes, une formation des opérateurs qui soulignait l'abondance des mécanismes de sécurité, des canaux d'audit et de surveillance de salle manquants ou désactivés, et la capacité limitée des établissements à comparer les incidents. Une décision locale de reprendre le fonctionnement importait, mais elle se produisait dans un environnement d'information conçu et influencé par le fabricant.

Les conditions de gouvernance contributives comprenaient un suivi faible des incidents, des affirmations fortes d'impossibilité ou d'amélioration énorme de la sécurité sans cause racine reproduite, une propagation incomplète des informations défavorables, des soumissions d'actions correctives qui manquaient de détails logiciels et de plans de test demandés, et un retard dans la conversion des recommandations de protection matérielle indépendante en barrières installées. Le dossier de la FDA cité dans l'enquête montre des demandes répétées de documentation, d'analyse d'interaction, de messages significatifs et de tests d'installation.

L'échec de réponse devrait également être séparé de l'échec de rétablissement. La réponse a été lente lorsque les machines ont continué leur utilisation clinique de routine alors que le danger restait incertain. Le rétablissement est devenu un défi séparé lorsque plusieurs révisions du PAC ont été nécessaires et que les modifications ont identifié de nouveaux sous-systèmes découverts. Un correctif qui ne peut pas être installé, testé et vérifié de manière cohérente sur chaque unité n'est pas encore une flotte rétablie.

L'impact ne peut être réduit à une dose unique ou à un nombre de décès

L'impact confirmé est sévère. Six accidents connus ont impliqué des surdoses massives. Les patients ont subi des blessures par radiation, des invalidités, des douleurs prolongées et des décès en association temporelle et, dans certains cas, médicalement documentée avec les expositions. Deux patients de Tyler sont décédés de blessures liées à la surdose selon l'enquête. Le deuxième patient de Yakima avait un cancer terminal avant l'accident et est décédé après avoir souffert de complications de la surdose; les survivants ont allégué que l'exposition avait raccourci la vie et augmenté la souffrance, et la réclamation a été réglée.

Le patient de Hamilton est décédé d'un cancer agressif, tandis que le rapport d'autopsie a identifié des dommages graves par radiation qui auraient autrement nécessité un traitement majeur.

Les affirmations exactes sur la dose doivent rester qualifiées. Les chambres d'ionisation de la machine étaient saturées, différents établissements ont reproduit des sorties différentes, les taux d'impulsions variaient, et certaines séances manquaient de données papier. Les simulations post-événement ont produit des fourchettes plutôt que des mesures directes. L'article ne convertit donc pas chaque estimation en dose mesurée pour le patient ni ne compare l'exposition locale avec la létalité corps entier comme si les effets biologiques étaient équivalents.

L'impact opérationnel s'est étendu au-delà des six patients. Onze établissements dépendaient d'un dispositif dont l'état sûr ne pouvait pas être établi à partir de son propre affichage. Les cliniques ont dû suspendre ou contraindre le traitement, inspecter les machines, modifier les flux de travail, participer à des réunions d'utilisateurs et gérer des patients ayant besoin d'une thérapie continue. Les opérateurs et les physiciens ont porté le fardeau de reconstruire le comportement sans accès aux sources ni information complète sur l'incident.

Les régulateurs et les utilisateurs ont passé plus de deux ans à passer de la découverte de Tyler à l'analyse de sécurité finale.

L'impact juridique et financier est moins mesurable. L'enquête source mentionne plusieurs procès et règlements à l'amiable, mais le dossier public primaire examiné ici ne fournit pas de jugement sur le fond attribuant la responsabilité, de conditions de règlement complètes, de paiements d'assureurs ou de dommages-intérêts globaux. Un règlement confirme la résolution d'un différend, pas une négligence jugée ou un aveu. Il serait trompeur de transformer des résultats privés en un coût d'entreprise précis ou une décision juridique.

L'impact systémique plus large a été un changement dans les preuves exigées par la sécurité des dispositifs médicaux. La loi ultérieure a renforcé la déclaration des événements indésirables et l'autorité de rappel. La réglementation ultérieure a ajouté des contrôles de conception. Les directives modernes exigent une documentation logicielle fondée sur les risques, une validation et un travail sur les facteurs humains. Le Therac-25 est pertinent pour ces contrôles, mais la pertinence n'est pas la preuve qu'une seule série d'accidents a produit tout le régime moderne.

L'action corrective est passée d'une solution de contournement à une barrière indépendante

La première instruction post-Tyler d'AECL aux utilisateurs se concentrait sur la désactivation de la touche curseur haut, y compris en empêchant physiquement son utilisation, afin que les opérateurs ressaisissent l'ensemble de la prescription. La FDA a rejeté cet avis comme inadéquat car il n'expliquait pas le défaut ou le danger et son ton ne communiquait pas l'urgence. C'est une distinction de responsabilité entre une solution de contournement opérationnelle et une réparation de sécurité. Une solution de contournement peut réduire un déclencheur tout en laissant les utilisateurs incapables de juger le risque résiduel.

Le premier plan d'action corrective formel en juin 1986 allait plus loin. Il proposait de corriger le comportement de Tyler, de modifier la surveillance des impulsions, de transformer de nombreux dysfonctionnements de pauses en suspensions, d'ajouter un circuit pour inhiber le modulateur après une impulsion excessive, de limiter les touches d'édition et de réviser les manuels. La FDA était d'accord avec la direction mais a demandé à plusieurs reprises plus de documentation logicielle, une analyse d'interaction et un plan de test détaillé.

AECL a initialement répondu qu'aucun plan de test logiciel unique et rapport n'existait car le matériel et le logiciel avaient été exercés pendant des années.

Le dossier réglementaire et des réponses des utilisateurs montre pourquoi le PAC a nécessité cinq révisions. La FDA s'est opposée au maintien du comportement de pause pour les défauts de débit de dose et d'inclinaison du faisceau, a exigé des messages significatifs et souhaitait des tests rigoureux de chaque modification logicielle future. Après le deuxième accident de Yakima, l'agence a conclu que le logiciel seul ne pouvait pas assurer un fonctionnement sûr. Les autorités canadiennes ont adopté une position parallèle. L'utilisation de routine a été découragée pendant le développement de modifications permanentes.

La participation des utilisateurs a considérablement amélioré le plan. Lors d'une réunion en mars 1987, les utilisateurs, AECL, la FDA, les régulateurs canadiens et les représentants techniques ont examiné les six accidents. Les utilisateurs ont demandé une évaluation indépendante du logiciel, l'accès aux sources, une piste d'audit papier et des modifications matérielles supplémentaires. Les archives indiquent que le code source n'a pas été fourni et que les contraintes de mémoire ont été citées contre une option d'audit.

Ces décisions ont laissé certaines lacunes de transparence, mais la réunion a créé un mécanisme direct pour tester la proposition d'AECL par rapport à l'expérience clinique.

Le PAC final en juillet 1987 a changé l'architecture et le fonctionnement. Les interruptions de dosimétrie sont devenues des suspensions plutôt que des pauses reprises. Les opérateurs devaient ressaisir les paramètres. Une protection d'arrêt à impulsion unique a été ajoutée, y compris une protection matérielle décrite plus tôt dans le processus. Des verrouillages de position du plateau tournant et d'aimant de courbure ont été ajoutés. L'activation du faisceau était bloquée lorsque le plateau tournant était en lumière de champ ou en position intermédiaire.

Les codes de dysfonctionnement cryptiques ont été remplacés par des messages significatifs, le comportement d'édition a été contraint, les défauts connus de Tyler et Yakima ont été corrigés, les manuels ont été révisés et de nombreux autres changements logiciels ont traité des défauts trouvés lors de la révision.

L'approbation de la FDA était conditionnée aux résultats finaux des tests, à une analyse de sécurité indépendante, à une documentation révisée et à l'achèvement de l'installation. L'analyse de sécurité ultérieure a identifié des sous-systèmes critiques supplémentaires non entièrement couverts par une révision antérieure du PAC, démontrant la valeur de l'examen du danger au-delà des bugs reproduits. Ses recommandations ont ajouté une protection indépendante de l'ordinateur pour le balayage et la sélection d'énergie et ont poursuivi la maintenance logicielle dans les versions ultérieures.

Le dossier de rappel du GAO classe l'action américaine comme Classe I, la catégorie réservée à une probabilité raisonnable de conséquences sanitaires graves ou de décès. Il date le rappel au 3 juin 1987, tandis que le récit montre un processus s'étendant avant et après cette date administrative. Une date de rappel, l'approbation du PAC, l'installation et le rapport final d'analyse de sécurité sont des jalons différents. Traiter l'un d'eux comme l'instant de la réparation obscurcirait le temps nécessaire à l'assemblage de l'assurance.

Les preuves de réparation sont réelles, mais un lecteur moderne ne peut pas reproduire le dossier de sécurité complet

La preuve de réparation la plus forte est le passage d'une dépendance logicielle commune à une protection physique indépendante. Un arrêt matériel après une impulsion excessive et des vérifications indépendantes de l'état du plateau tournant, du balayage et de la sélection d'énergie peuvent contenir des défauts logiciels non découverts. Les suspensions empêchent un opérateur d'autoriser à plusieurs reprises une condition de dosimétrie non résolue. De meilleurs messages améliorent la détection.

Les tests d'installation et les protocoles de modification future réduisent la probabilité qu'une conception correcte soit copiée ou configurée de manière incorrecte.

La contestation réglementaire est une autre forme de preuve. La FDA n'a pas accepté le premier avis aux utilisateurs ni le premier PAC comme suffisants. Elle a demandé des spécifications, des plans de test, une analyse d'interaction, des diagrammes plus clairs, des tests de modification future et une vérification de l'installation. Elle a identifié des données de test contradictoires et a exigé une analyse de sécurité indépendante. Les autorités canadiennes et les utilisateurs ont insisté pour des barrières matérielles. Ce dossier est plus fort qu'une annonce de fabricant isolée.

Les archives publiques ne constituent néanmoins pas un ensemble complet et reproductible d'assurance. Elles n'exposent pas l'arborescence complète des sources et l'historique des versions, toutes les exigences avant et après modification, chaque entrée de test et résultat attendu, la couverture des états de temps et de débordement, l'analyse d'indépendance pour chaque verrouillage, les enregistrements d'installation pour chaque unité, le journal des défauts non résolus, ou les données de terrain à long terme par version logicielle et matérielle.

Le résumé final de l'analyse lui-même indique que l'inspection ne pouvait pas fournir une confiance élevée pour certaines fonctions complexes.

L'absence d'une autre catastrophe du Therac-25 publiquement documentée après la rénovation est cohérente avec une réparation efficace, mais ce n'est pas un test contrôlé. La flotte était petite, l'utilisation a changé, les machines ont vieilli et les rapports publics étaient imparfaits. La conclusion défendable est que le PAC a matériellement renforcé le système et spécifiquement bloqué les chemins catastrophiques connus. L'affirmation plus forte selon laquelle chaque chemin logiciel dangereux a été trouvé et éliminé n'est ni nécessaire ni étayée.

La législation et les normes ultérieures montrent quelles preuves manquaient, pas ce qui était légalement requis en 1985

Les États-Unis ne disposaient pas du cadre ultérieur de contrôle de la conception lorsque le Therac-25 est entré en service. La loi de 1990 a élargi les mécanismes de déclaration et de rappel. La règle finale sur le système qualité de la FDA de 1996, effective en 1997, a ajouté des contrôles de conception en préproduction après que des études ont trouvé des déficiences de conception derrière une part substantielle des rappels et des défaillances liées aux logiciels. Ces règles ultérieures ne doivent pas être présentées comme des exigences qu'AECL a violées avant qu'elles n'existent.

Elles sont un point de référence pour identifier les catégories de contrôle qui manquaient dans le dossier historique.

Les Principes généraux de validation des logiciels de la FDA ont ensuite décrit la validation comme une preuve du cycle de vie plutôt qu'un événement de test final. Les orientations préalables à la mise sur le marché pour les fonctions logicielles des dispositifs actuelles de l'agence appellent à une documentation proportionnée au risque, comprenant l'architecture, les exigences, l'analyse de sécurité, la vérification et la validation, l'historique des révisions et les anomalies non résolues.

Le but de citer ces documents est comparatif: ils rendent visibles les artefacts qu'un examinateur actuel attendrait mais ne peut pas trouver dans les archives survivantes du Therac-25.

Les attentes modernes en matière de facteurs humains abordent également le chemin de l'interface. Les orientations sur les facteurs humains et l'utilisabilité de la FDA traitent les utilisateurs prévus, les environnements d'utilisation, les tâches critiques et les dangers liés à l'utilisation comme des entrées de conception. Dans cette approche, une correction rapide par un opérateur expérimenté, des pauses fréquentes, des messages ambigus et une commande de poursuite par une touche seraient testés comme faisant partie du problème de sécurité, et non rejetés comme un comportement hors du contrôle de l'ingénierie.

La FDA reconnaît la norme CEI 62304 comme norme de cycle de vie des logiciels de dispositifs médicaux. Son cadre de processus ne garantit pas un logiciel sûr et ne valide pas un dispositif final par lui-même. Il exige un processus de développement et de maintenance maintenu qui rend les exigences, les contrôles des risques, la configuration, la résolution des problèmes et l'impact des changements plus audibles. Cela est directement pertinent pour le code hérité à travers les générations de Therac et ensuite corrigé via plusieurs révisions du PAC.

À la date de publication de l'article, le Règlement sur le système de gestion de la qualité de la FDA est en vigueur depuis le 2 février 2026 et incorpore l'ISO 13485:2016 par référence. Il donne aux régulateurs actuels un cadre plus large de gestion de la qualité et d'inspection, comprenant la conception et le développement, l'enquête sur les plaintes et les enregistrements. Il est la preuve de la base de référence actuelle en matière de responsabilité, et non la preuve de ce qu'une inspection aurait trouvé chez AECL quatre décennies plus tôt.

Le cadre de déclaration est également maintenant plus explicite. L' historique du règlement MDR de la FDA retrace l'expansion après 1990 aux établissements utilisateurs, et son aperçu actuel de la déclaration distingue les obligations du fabricant, de l'importateur et de l'établissement. De meilleures règles améliorent la probabilité qu'une anomalie d'un hôpital devienne un signal produit. Elles dépendent encore de la reconnaissance par le personnel qu'un événement peut être lié au dispositif et de la conservation de suffisamment de preuves pour l'enquêter.

La responsabilité ne peut pas être déduite du seul contrôle technique

Le contrôle pratique est un moyen discipliné d'enquêter sur la responsabilité, mais il ne remplace pas l'application du droit par un tribunal. L'autorité de conception d'AECL, ses connaissances et son rôle dans les actions correctives soutiennent une forte responsabilité technique. Les pouvoirs d'exploitation et de déclaration des hôpitaux soutiennent l'examen des décisions locales. L'autorité des régulateurs soutient l'examen du moment et de la suffisance. Aucune de ces observations n'établit les éléments de négligence, de causalité, de défaut de produit, de violation légale ou de dommages dans une juridiction et un cas particuliers.

L'enquête originale s'est appuyée sur des dépositions et a rapporté que plusieurs réclamations ont été réglées à l'amiable. Un règlement peut refléter les coûts de litige, l'incertitude, l'assurance, la confidentialité, la compassion ou l'allocation des risques. Sans conditions publiques et constats jugés, il ne peut établir un aveu ou une perte globale. Aucun jugement sur le fond accessible au public résolvant les principales réclamations pour blessures liées au Therac-25 n'apparaît dans le dossier primaire utilisé ici.

L'identité de l'entreprise nécessite également de la prudence. AECL était une société d'État canadienne, et son activité médicale a ensuite changé de nom et de propriétaire. Le sujet manifeste est Atomic Energy of Canada Limited car AECL contrôlait le produit pendant la période des accidents et du PAC. Les entités ultérieures ne devraient pas automatiquement hériter de la connaissance factuelle ou de la responsabilité juridique sans transactions et registres d'entreprise établissant ce lien.

La responsabilité reste possible sans surestimer la responsabilité. L'article peut identifier qui pouvait prévenir, détecter, limiter et réparer un danger; comparer ces pouvoirs avec les actions réelles; et préserver l'incertitude sur les résultats juridiques. Cela produit un résultat plus utile que de déclarer la culpabilité à partir d'un défaut logiciel ou de traiter des règlements confidentiels comme une exonération.

Les contrefactuels antérieurs sont plus utiles qu'un fantasme de code parfait

Le contrefactuel le plus faible est que de meilleurs programmeurs auraient écrit un code sans faille. Il n'est pas testable et fixe une norme erronée. Les logiciels concurrents en temps réel peuvent contenir des défauts malgré un travail compétent. Un dossier de sécurité doit supposer que certains défauts survivent et empêcher qu'un seul n'atteigne une énergie catastrophique.

Le contrefactuel le plus fort commence dans l'architecture. Si le Therac-25 avait conservé des verrouillages de balayage et de plateau tournant indépendants comparables aux protections du Therac-20, le défaut d'édition partagé aurait pu provoquer un arrêt plutôt qu'une exposition. Cela est étayé par la découverte ultérieure de la même classe de défaut sur le Therac-20 sans blessure de patient et par les barrières indépendantes sélectionnées dans le PAC final. Cela ne prouve pas que chacun des six accidents aurait été évité, car les trois premiers chemins exacts sont inconnus.

Un deuxième contrefactuel commence après Kennestone. Si la question du physicien, la blessure du patient et l'avis de procès étaient entrés dans un registre des dangers formel partagé avec tous les utilisateurs et régulateurs, les établissements ultérieurs auraient eu une raison de se méfier d'une sous-dose apparente et des affirmations d'impossibilité. La machine aurait pu être restreinte pendant que le balayage et le comportement des verrouillages étaient testés dans des états de pire cas.

Les archives ne peuvent pas prouver que les preuves disponibles en juin 1985 étaient suffisantes pour un rappel définitif, mais elles étaient suffisantes pour une enquête conservatrice et documentée.

Un troisième commence après Hamilton. Des responsables canadiens et un consultant indépendant ont recommandé un verrouillage de position indépendant et un traitement non reprenable des défauts de débit de dose. Installer ces changements sur toute la flotte avant la reprise de l'utilisation de routine aurait traité la classe de configuration dangereuse plus largement que la modification de la logique du micro-interrupteur. Le PAC ultérieur a adopté des contrôles étroitement liés.

Il est donc raisonnable de déduire qu'une mise en œuvre antérieure aurait pu réduire le risque, tout en évitant l'affirmation qu'elle aurait certainement bloqué un mécanisme inconnu de Kennestone ou du premier Yakima.

Un quatrième commence à la première détection de Tyler. Une règle selon laquelle toute contradiction sérieuse de dose nécessite une suspension du traitement, une évaluation du patient, un état de machine préservé et une escalade vers le vendeur et le régulateur aurait empêché la continuation immédiate par une touche. Un audio et une vidéo fonctionnels auraient amélioré la détection humaine. Aucun des deux contrôles ne corrige le logiciel, mais les deux limitent l'exposition répétée et améliorent les preuves.

Après le premier événement, maintenir la machine hors service clinique jusqu'à ce que le dysfonctionnement 54 soit reproduit aurait probablement évité la deuxième exposition de Tyler sur cette unité.

Un cinquième concerne les tests. Rejouer l'édition à vitesse experte, randomiser le timing des tâches, forcer le débordement d'octet, injecter un état partagé obsolète et contradictoire, saturer les entrées de mesure et vérifier la configuration physique finale par rapport à la prescription aurait eu une meilleure chance d'exposer les chemins connus qu'une utilisation répétée ordinaire. L'inférence est étayée par la manière dont le physicien de Tyler a reproduit le défaut et dont Yakima a finalement été expliqué. Les preuves publiques ne peuvent pas montrer quelle technique aurait trouvé quel défaut avant la publication.

Faits confirmés, inférence étayée et inconnues publiques

Les faits confirmés incluent les six accidents connus; le rôle de sécurité plus important assigné au logiciel du Therac-25; l'absence de certaines protections indépendantes conservées dans les machines antérieures; l'exclusion des erreurs logicielles résiduelles dans l'analyse de 1983; le chemin d'édition dépendant du temps de Tyler; le chemin de débordement de compteur de Yakima; un comportement d'interface trompeur ou cryptique; une communication fragmentée des incidents; la constatation de défaut par la FDA et les objections répétées au PAC; les demandes de changement des autorités canadiennes; le rappel de classe I aux États-Unis;

et l'action corrective finale ajoutant une protection matérielle indépendante, des modifications logicielles, un comportement de suspension plus fort et une documentation révisée.

Il est également confirmé que le dossier de la FDA n'a pas pris plusieurs assurances d'AECL au pied de la lettre. L'agence a rejeté un avis initial inadéquat aux utilisateurs, demandé plus de détails et de tests, mis en doute des données qui ne soutenaient pas le correctif revendiqué, exigé des changements au-delà du défaut de Tyler et conditionné l'approbation du PAC aux résultats finaux et à une analyse indépendante. Les utilisateurs et les responsables canadiens ont contribué à l'ensemble final de contrôles. La réparation a donc été négociée et testée à travers plusieurs institutions, et non livrée comme un correctif incontesté.

L'inférence étayée commence là où ces faits interagissent. Des barrières indépendantes antérieures auraient probablement empêché au moins certaines expositions catastrophiques car le même type d'incohérence logicielle a été contenu par le matériel sur le Therac-20 et parce que le PAC final a sélectionné ces barrières. Un registre des dangers partagé et un avertissement rapide entre sites auraient probablement accéléré la reconnaissance car la croyance de chaque établissement en l'impossibilité dépendait en partie d'informations manquantes sur les incidents.

Des tests intégrés plus réalistes auraient pu exposer les conditions de timing et de débordement. Ces conclusions sont des effets de contrôle probables, pas une histoire alternative reconstruite.

Plusieurs faits sont contestés ou incertains. Le moment et l'exhaustivité des connaissances précoces d'AECL différaient selon les récits de l'entreprise, des hôpitaux et des litiges. Le mécanisme de Hamilton n'a jamais été fermement reproduit. Les trois premiers accidents ne peuvent être attribués à un défaut logiciel particulier à partir de preuves publiques. Les doses exactes des patients varient selon la reconstruction et les conditions de la machine. Pour certains patients, le cancer et la blessure par radiation ont tous deux affectés les résultats, donc un simple nombre de décès ne peut exprimer la causalité médicale.

Le raisonnement privé derrière les choix de conception et la répartition de l'autorité d'entreprise entre des individus nommés ne sont pas publics.

Les inconnues juridiques et financières sont substantielles. Les montants et conditions des règlements ne sont pas disponibles dans le dossier primaire central. Il n'y a pas de décision sur le fond publique attribuant la responsabilité entre AECL, les hôpitaux, les cliniciens ou les organisations de service. Les couvertures d'assurance, les indemnités, les frais juridiques et les totaux de compensation ne sont pas disponibles. L'absence de ces documents ne signifie pas qu'il n'y avait pas de coût ou de responsabilité; elle empêche des affirmations précises.

Des inconnues sur la réparation subsistent également. Les sources publiques ne fournissent pas chaque résultat de test du PAC, les documents de travail complets de la revue indépendante, tous les enregistrements d'installation d'unités, l'historique de contrôle des sources ou le taux d'incidents longitudinal. Elles ne prouvent pas comment chaque machine modifiée s'est comportée jusqu'à la retraite. Le cadre réglementaire et normatif ultérieur démontre ce qu'un ensemble de preuves actuel contiendrait, mais il ne peut pas fabriquer rétroactivement des artefacts manquants.

Les preuves qui pourraient modifier la conclusion incluent un registre complet des dangers d'AECL, l'historique des sources et des modifications, les exigences originales et les analyses de sécurité, les enregistrements de révision interne, tous les journaux de service des installations, la correspondance des régulateurs non reproduite dans l'enquête, les données complètes des tests du PAC, les résultats d'acceptation d'installation et les règlements ou documents judiciaires déclassifiés. Un tel matériel pourrait préciser qui savait quoi et quand.

Il ne changerait pas le fait physique de base selon lequel les barrières indépendantes étaient absentes avant les accidents et ajoutées pendant la réparation, mais il pourrait modifier considérablement l'allocation et le moment de la responsabilité organisationnelle.

Un test de responsabilité durable pour la sécurité médicale dépendante du logiciel

Le premier test est la propriété du danger. Pour chaque état d'énergie dangereux, existe-t-il un propriétaire organisationnel nommé ayant autorité sur les exigences, l'architecture, la validation, la surveillance sur le terrain et les actions correctives? Ce propriétaire maintient-il le danger à travers les générations de produits et les composants réutilisés? Un danger divisé entre les équipes matérielles, logicielles et cliniques sans un point d'intégration responsable risque de tomber entre elles.

Le deuxième test est l'indépendance des barrières. Un seul défaut logiciel, une variable partagée obsolète, une configuration corrompue ou une commande erronée peuvent-ils vaincre à la fois l'action de contrôle et sa vérification? Une deuxième routine logicielle sur le même processeur, lisant le même état et utilisant les mêmes hypothèses, peut être redondante en code mais pas indépendante en sécurité. L'énergie catastrophique nécessite une barrière dont la défaillance n'est pas causée par le même chemin: détection de position physique, coupure matérielle, surveillance indépendante ou un autre mécanisme démontrablement séparé.

Le troisième test est le contrôle des hypothèses lors de la réutilisation. Chaque routine réutilisée porte-t-elle des hypothèses documentées sur les verrouillages matériels, le timing, la plage numérique, le comportement de l'ordonnanceur, la validité des capteurs et le flux de travail de l'opérateur? Ces hypothèses sont-elles revalidées lorsque le logiciel passe dans un nouveau produit? Un long historique de fonctionnement dans un prédécesseur protégé n'est pas une preuve de terrain pour un successeur qui supprime la protection.

Le quatrième test est la preuve logicielle fondée sur les dangers. Les exigences commencent-elles par les états physiques dangereux et les contraintes requises, ou par les fonctionnalités et le comportement attendu? Les examinateurs peuvent-ils retracer chaque danger jusqu'aux exigences, à l'architecture, au code, aux tests, au risque résiduel et à la surveillance sur le terrain? Les anomalies non résolues sont-elles évaluées pour la pire conséquence crédible plutôt que seulement la fréquence? Le passage des traitements ordinaires n'exerce pas de combinaisons d'états rares.

Le cinquième test est le test d'interaction réaliste. Les utilisateurs experts sont-ils observés en train d'effectuer des corrections courantes à pleine vitesse? Le timing des interruptions, les éditions rapides, les pauses répétées, les limites de débordement, la préemption de tâches et les valeurs de capteur contradictoires sont-ils injectés délibérément? Les tests incluent-ils l'opérateur le plus rapide et le plus expérimenté, pas seulement une séquence scriptée lente? L'efficacité prévue doit être traitée comme faisant partie de l'environnement d'exploitation.

Le sixième test est l'autorité homme-machine prudente. L'affichage communique-t-il le danger dans un langage que l'opérateur peut comprendre? Une contradiction sérieuse se résout-elle par défaut en suspension? Le redémarrage est-il bloqué jusqu'à ce que l'état soit rétabli et vérifié indépendamment? Les alarmes nuisibles fréquentes sont-elles mesurées et réduites avant qu'elles ne normalisent une continuation dangereuse? Un système d'alarme qui apprend aux utilisateurs à l'ignorer a consommé sa propre marge de sécurité.

Le septième test est la mesure véridique. Les moniteurs peuvent-ils représenter la pire sortie crédible sans saturation ou repli trompeur? Lorsque des indications indépendantes sont en conflit, le système préserve-t-il les deux et suppose-t-il l'état le plus dangereux? Les lectures brutes, les limites de plage et la validité des capteurs sont-elles conservées? Un zéro affiché est dangereux lorsqu'il signifie que l'instrument a dépassé sa capacité plutôt que rien ne s'est produit.

Le huitième test est un enregistrement d'incident vérifiable. Chaque traitement conserve-t-il la prescription, les éditions, les versions logicielles et de configuration, les états des verrouillages physiques, les commandes de faisceau, les lectures des moniteurs, les alarmes, les redémarrages et la synchronisation de l'horloge? Un physicien peut-il reconstruire la séquence sans recourir à la mémoire? L'enregistrement est-il protégé contre une désactivation de routine et dimensionné pour la durée de vie du produit? L'enquête devient spéculation lorsque le système jette l'état qui importe.

Le neuvième test est l'escalade entre sites. Tout établissement peut-il signaler un événement grave suspecté sans d'abord prouver que le dispositif en est la cause? Les rapports sont-ils agrégés par produit et par danger à travers les pays, les organisations de service et les départements d'entreprise? Les utilisateurs reçoivent-ils des avertissements factuels rapides qui distinguent les mécanismes confirmés du risque non résolu? Un fabricant ne devrait pas attendre des blessures identiques lorsque le résultat commun est catastrophique.

Le dixième test est l'étendue de l'action corrective. La réponse corrige-t-elle seulement le déclencheur reproduit, ou identifie-t-elle tous les chemins vers l'état dangereux? Les solutions de contournement provisoires sont-elles étiquetées comme telles, avec un risque résiduel et une date d'expiration? La réparation finale inclut-elle une analyse d'impact des changements, des tests de régression, une revue indépendante, une vérification de l'installation et une surveillance post-commercialisation? Une restriction de touche peut faire gagner du temps; elle ne peut pas clore un dossier de sécurité.

Le onzième test est la prête pour les régulateurs. Le fabricant peut-il fournir les exigences, spécifications, plans de test, résultats, enregistrements d'anomalies et données d'installation lorsqu'on les lui demande, ou doit-il les reconstruire après une blessure? Les régulateurs ont-ils l'autorité et un réseau de déclaration qui leur permet d'agir avant que le fabricant n'ait une certitude parfaite? L'approbation spécifie-t-elle des conditions et une preuve d'achèvement? L'assurance de sécurité s'affaiblit lorsque la documentation suit la réparation plutôt que de la régir.

Le douzième test est la vérification durable. Les barrières indépendantes sont-elles périodiquement mises à l'épreuve dans des conditions de défaut réalistes? Les modifications logicielles sont-elles évaluées par rapport aux dangers originaux, même après un changement de personnel et de propriétaire? Les alarmes nuisibles, les anomalies de terrain et les quasi-accidents sont-ils suivis de tendances? L'organisation publie-t-elle suffisamment de preuves agrégées pour que les hôpitaux et les régulateurs sachent que le contrôle reste intégré? L'absence de catastrophe signalée n'est pas équivalente à une preuve de performance.

Le Therac-25 ne doit donc pas être réduit à une histoire édifiante sur un codage négligent ou des opérateurs inattentifs. C'était un système de contrôle dans lequel l'autorité du logiciel s'est développée tandis que la protection indépendante, l'observabilité et l'apprentissage institutionnel ne se sont pas développés avec elle. Les défauts connus ont rendu ce déséquilibre visible. Les mécanismes antérieurs non prouvés et les dossiers incomplets montrent pourquoi la responsabilité ne peut pas dépendre de la découverte de chaque bug après le préjudice.

La réparation est allée dans la bonne direction car elle a changé qui et quoi pouvait arrêter le faisceau. Des verrouillages indépendants, un arrêt à impulsion unique, des défauts de sécurité non reprenables, des messages plus clairs, une analyse plus large et une action corrective testée par les régulateurs ont rendu le système moins dépendant d'un code parfait et d'une interprétation parfaite.

La leçon qui reste est probatoire: un fabricant critique pour la sécurité doit être capable de montrer, avant le déploiement et après chaque signal sérieux, qu'aucun chemin caché unique ne peut convertir un travail clinique ordinaire en exposition catastrophique.