Слайд 1Moдуль 2.3: Проблемы с программным обеспечением ускорителя (США и Канада)
Учебный
курс МАГАТЭ
Слайд 2Предотвращение ошибок в лучевой терапии
Фотография от
William Van de Riet
Bведение
В
середине 1970ых - AECL разработал новую концепцию двойного прохода для
ускорителя электронов
Требовалось меньше места для получения аналогичных энергий
Линейный ускоритель с двойным режимом
Более компактный и удобный, чем предшественник Therac-20
Therac 25 использовал преимущества компьютера для контроля и слежения за механическими действиями
Слайд 3Предотвращение ошибок в лучевой терапии
От Aldrich 1985 (верхняя) и O’Brien
1985 (нижняя)
Bведение
Слайд 4Предотвращение ошибок в лучевой терапии
Фотонная и электронная головки аппарата
От O’Brien
1985
Слайд 5Предотвращение ошибок в лучевой терапии
Карусель с фильтрами
Слайд 6Предотвращение ошибок в лучевой терапии
От O’Brien 1985
Сканирующий электронный пучок
Слайд 7Предотвращение ошибок в лучевой терапии
Что произошло?
Слайд 8Предотвращение ошибок в лучевой терапии
1
1 событие – Mариетта
Слайд 9Предотвращение ошибок в лучевой терапии
Иллюстрация лечения грудной клетки пучком электронов
(Nucletron)
1 - Мариетта, июнь 1985 г.
Прошло 6 месяцев с момента
начала использования нового аппарата
Пациентка с раком молочной железы облучалась пучком электронов с энергией 10МэВ. После окончания фракции пациентка закричала «Вы зажарили меня!»
Рентгенлаборант, потрогав облучаемую область, обнаружил, что та была тёплой на ощупь
Слайд 10Предотвращение ошибок в лучевой терапии
Проинформировали физика
Он связался с AECL и
запросил о возможности аппарата выдавать электронный пучок без сканирования
3 днями
позже пришёл ответ AECL – невозможно!
Рапорта несоответствия не было составлено (тогда не требовался)
1 - Мариетта, июнь 1985 г.
Слайд 11Предотвращение ошибок в лучевой терапии
Плечо пациентки покраснело и распухло
Онколог посчитал
это за:
Осложнения, связанные с прогрессированием болезни, или
Нормальные побочные реакции во
время лучевой терапии
Две недели спустя физик заметил:
Покраснения на выходе пучка
Кожа стала слезать
Плечо не двигалось
У пациентки появились сильные боли
1 - Мариетта, июнь 1985 г.
Слайд 12Предотвращение ошибок в лучевой терапии
Ни сотрудники ни AECL не верили
в то, что виной случившегося может быть ускоритель
Эта авария была
не распознана или не рапортирована
Производитель:
Не задокументировал проблему
Не рассказал о случившемся другим пользователям или FDA
Не принял мер
Функция распечатки была отключена и поэтому записи лечения нет в наличии
1 - Мариетта, июнь 1985 г.
Слайд 13Предотвращение ошибок в лучевой терапии
2 случай - Гамильтон
Слайд 14Предотвращение ошибок в лучевой терапии
2 - Гамильтон, июль 1985 г.
Спустя
6 месяцев с начала использования нового аппарата
Лечение пациентки с раком
шейки матки
На 24ой фракции появляется сообщение H-Tilt error и лечение прерывается
Показание дозиметрической системы
Дозы нет
Лечение остановлено
Оператор нажимает кнопку “P” чтобы продолжить процесс
Программное обеспечение позволяло сделать это пять раз
Оператор уже видел сообщения об ошибках, которые не причиняли вреда пациентам
Сбой аппарата показывал лишь код, без какого-либо описания его в руководстве
Слайд 15Предотвращение ошибок в лучевой терапии
Позвали инженера
Он не нашёл никаких неисправностей
у ускорителя
После лечения пациентка пожаловалась:
Жжение в бедре
Почувствовала боль «как
будто удар электрическим током»
Тремя днями позже: по-прежнему жжёт, боль в бедре и сильный отёк
2 - Гамильтон, июль 1985 г.
Слайд 16Предотвращение ошибок в лучевой терапии
Ускоритель изьяли из клинической эксплуатации
подозрение
на переоблучение
Проинформировали AECL, которая послала своего инженера
Оповестили местные власти
2 -
Гамильтон, июль 1985 г.
Слайд 17Предотвращение ошибок в лучевой терапии
Действия AECL
Сбой невозможно повторить
Подозрение пало на
выключатели, указывающие положение карусели
Это подтвердили, временно деактивировав выключатели. Программное обеспечение
могло интерпретировать неправильные положения карусели таким образом
Было выпущено обновлённое программное обеспечение
В заключительном рапорте, ”…не можем выявить точную причину аварии, можем только заподозрить…”
Было заявлено, что безопасность улучшена на 5 порядков!
2 - Гамильтон, июль 1985 г.
Слайд 18Предотвращение ошибок в лучевой терапии
Фирма послала сообщение для пользователей
Проверьте положение
карусели
Не продолжайте лечение, если появится сообщение об ошибке H-tilt и
неверной дозе
Однако не было упоминаний о пострадавшей пациентке
Предложение на съезде пользователей добавить механический интерлок было проигнорировано фирмой
Пациентка умерла вследствии своей болезни в ноябре 1985 г.
Вскрытие показало:
Серьёзное лучевое повреждение
Необходимость замены тазобедренного сустава
2 - Гамильтон, июль 1985 г.
Слайд 19Предотвращение ошибок в лучевой терапии
3 случай - Якима
Слайд 20Предотвращение ошибок в лучевой терапии
3 – Якима, декабрь 1985 г.
Согласно
заявлениям производителя ускоритель был обновлён в сентябре 1985 г.
После лечения
тормозным излучением у пациентки возникло покраснение кожи
Параллельные красные полосы на бедре
Реакцию приняли за нормальную при дистанционном облучении
После завершения лечения в январе/феврале кожную реакцию посчитали ненормальной и начали расследование
Слайд 21Предотвращение ошибок в лучевой терапии
Иллюстрация держателя для блоков
Источник полосатого рисунка?
Прорези
в держателе для блоков
Прорези и рисунок на коже не совпадали
Реакция
химиотерапии была исключена
У полей с других углов отсутствовал рисунок
Пациентка спала с грелкой
После рентгенографии: положение нагревательных проводов в грелке не соответствовало рисунку на коже
3 – Якима, декабрь 1985 г.
Слайд 22Предотвращение ошибок в лучевой терапии
AECL ответило на это:
”…по нашему мнению
это повреждение не могло быть вызвано сбоем Therac-25 или ошибкой
оператора.”
На следующих двух страницах:
”…нам не известны случаи подобного повреждения у других пацинтов.”
Кожные реакции были классифицированы как
”Причина неизвестна”
3 – Якима, декабрь 1985 г.
Слайд 23Предотвращение ошибок в лучевой терапии
Сотрудники не знали, что это был
третий случай
Производитель заявил, что никаких происшествий не было
Фирма должна была
знать о трёх подозрительных происшествиях
3 – Якима, декабрь 1985 г.
Слайд 24Предотвращение ошибок в лучевой терапии
4 случай - Тайлер
Слайд 25Предотвращение ошибок в лучевой терапии
4 – Тайлер, март 1986 г.
Ускоритель
находится в эксплуатации два года, пролечено >500 пациентов
Пациент получал 9ую
фракцию по 1.8 Гр на спину
22 MэВ электроны
Слайд 26Предотвращение ошибок в лучевой терапии
Оператор хорошо знала пульт управления и
поэтому набирала быстро и точно
Она заметила, что выбрала “X” для
тормозного излучения вместо “E” для электронного
Она подняла курсор, чтобы исправить ошибку
Она нажала несколько раз кнопку «возврат», чтобы пройти остальные заполненные поля и нажала “B” для включения пучка
Через мгновение появилась надпись «Ошибка 54» и лечение прекратилось
4 – Тайлер, март 1986 г.
Слайд 27Предотвращение ошибок в лучевой терапии
Экран Therac-25
Тип излучения
Команда Р (продолжить) или
В (включить пучок)
Слайд 28Предотвращение ошибок в лучевой терапии
Согласно документации, это была ошибка «ввода
дозы 2»
Только 6 мониторных единиц из 202 было доставлено и
оператор нажала “P”, чтобы продолжить лечение
Ускоритель выключился снова
4 – Тайлер, март 1986 г.
Слайд 29Предотвращение ошибок в лучевой терапии
В этот день система аудио и
видео связи с больным была выключена в связи со сбоем
Оператор
не знала, что происходит в процедурной
Пациент
“встал со стола и стучал в дверь, чтобы его выпустили”
Оператор быстро открыла дверь
4 – Тайлер, март 1986 г.
Слайд 30Предотвращение ошибок в лучевой терапии
Пациента облучили второй раз, когда он
пытался встать со стола
Пациента облучили дважды и его ощущения
были следующими:
1ое облучение
Удар электрическим током или как кто-то «вылил ему горячий кофе на спину»
Слышал звенящий звук ускорителя (не нормально)
2ое облучение
Руку ударило электрическими током
«Рука оторвалась от тела»
4 – Тайлер, март 1986 г.
Слайд 31Предотвращение ошибок в лучевой терапии
Онколог, осматривающий пациента, заключил:
Интенсивное покраснение кожи
- результат удара электрическим током
Расследование медицинского физика привело к заключению:
Ничего
необычного в работе ускорителя не найдено
Калибровка в порядке
Иллюстрация калибровки
4 – Тайлер, март 1986 г.
Слайд 32Предотвращение ошибок в лучевой терапии
Никто не понял ошибки и лечение
продолжилось
Позвали обслуживающих инженеров производителя, которые приехали на следующий день
Тестируя ускоритель
весь день, они не нашли проблем
Заявлено “не было случая переоблучения этим оборудованием”
4 – Тайлер, март 1986 г.
Слайд 33Предотвращение ошибок в лучевой терапии
Ответ AECL
Заключили, что это был электрический
ток
Однако фирма должна была знать о трёх подозрительных происшествиях
Внешний консультант
проверил заземление аппарата и оно было в порядке
После проверки калибровки ускоритель снова запустили в эксплуатацию в апреле
4 – Тайлер, март 1986 г.
Слайд 34Предотвращение ошибок в лучевой терапии
5 событие - Tайлер
Слайд 35Предотвращение ошибок в лучевой терапии
5 – Тайлер, апрель 1986 г.
Второй
случай произошёл в той же больнице тремя неделями позже
Пациенту облучали
голову пучком электронов 10 МэВ
Этот же оператор, эта же X-на-E замена на клавиатуре
После включения пучка послышился громкий шум через переговорное устройство
Иллюстрация лечения головы шеи
Слайд 36Предотвращение ошибок в лучевой терапии
«Ошибка 54» появилась на экране и
ускоритель выключился
Оператор зашла в комнату, на столе стонал пациент
5 –
Тайлер, апрель 1986 г.
Иллюстрация лечения головы шеи
Слайд 37Предотвращение ошибок в лучевой терапии
Пациент пожаловался на чувство жжения на
его щеке
Оператор незамедлительно позвала физика
Пациент описал событие как «какой-то удар
по лицу», вспышка света и звук «жарящихся яйц»…
5 – Тайлер, апрель 1986 г.
Слайд 38Предотвращение ошибок в лучевой терапии
Тремя неделями позже пациент скончался в
дезориентации, которая привела к коме, высокой температуре, неврологическим повреждениям, итд.
Вскрытие
показало обширное лучевое повреждение ствола мозга и височной доли
5 – Тайлер, апрель 1986 г.
Слайд 39Предотвращение ошибок в лучевой терапии
Физик приостановил лечение на этом ускорителе
Он
связался с производителем и сообщил о второй проблеме
Физик с оператором
провели собственное расследование
После нескольких попыток они смогли воспроизвести последовательность событий
Они заключили, что скорость, с которой вводятся команды, является основным фактором
Измерения, сделанные физиком, показали
Камера ускорителя насыщалась
Доза была более 40 Гр
5 – Тайлер, апрель 1986 г.
Слайд 40Предотвращение ошибок в лучевой терапии
Производитель не мог воспроизвести проблему до
тех пор пока физик не сказал, что переключать команды нужно
быстро
Двумя днями позже AECL выпустила рапорт
Доза может достигать 250 Гр
Звук «жарящихся яиц» есть не что иное как электрический разряд в ионизационной камере
5 – Тайлер, апрель 1986 г.
Слайд 41Предотвращение ошибок в лучевой терапии
Расследование в Тайлере
Ошибка случилась из-за дизайна
программного обеспечения
Подпрограмма следила за вводом данных, включая тип, энергию, параметры
коллиматора, итд.
Когда все параметры были введены и курсор возвращался в низ в командную строку, появлялся флажок
Слайд 42Предотвращение ошибок в лучевой терапии
Если после установки флажка, означающего, что
все параметры введены, изменить параметр и быстро вернуться на командную
строку, то подпрограмма не заметит этого изменения
Другая подпрограмма контролирует положение карусели взависимости от типа выбранного излучения
Оператор корректировала тип излучения “X” на “E”, вызывая поворот карусели, но без надлежащей коррекции тока электронов или сканирующих магнитов
Расследование в Тайлере
Слайд 43Предотвращение ошибок в лучевой терапии
Дополнительная информация
Сотрудник AECL впоследствие заявил
Проблема с
курсором случалась ранее (Мариетта) в 1985 г.
Другая проблема с курсором
случилась летом 1985 г. в неназванном месте (Гамильтон?)
Это нужно было устранить
Нет никакой связи между этими ошибками и событиями в Тайлере!
Программное обеспечение Therac 20 было рассмотрено пользователем
После печатных ошибок (когда студенты использовали ускоритель) сгорало множество предохранителей!
Существовала такая же проблема X/E, но механический интерлок не давал возможности включить пучок
Слайд 44Предотвращение ошибок в лучевой терапии
Почему пациент получал высокую дозу?
Высокий ток
пучка для фотонов ~ 100-1000 x
Нет сканирования пучка → используется
выравнивающий фильтр
Очень высокий энергетический поток электронов
Измерения, сделанные физиком в Тайлере, изначально показали дозы ~8 Гр
Рекомбинация ионов/разряды/насыщение в ионизационной камере вносили большую ошибку, и новая оценка дозы показала ~40 Гр
Производитель определил дозу в
250 Гр
Доза колебалась от больницы к больнице в зависимости от настройки ускорителя (число радиационных импульсов в течение первых 3 сек.)
Слайд 45Предотвращение ошибок в лучевой терапии
Действия властей и производителя
Действие FDA после
рапорта из Техаского Отделения Здоровья (Tайлер)
Ускоритель Therac-25 дефектный
Компания должна
оповестить всех покупателей, расследовать проблему и предоставить план её исправления (FDA должно утвердить)
AECL проинформировало пользователей о временном решении проблемы
Нельзя использовать клавишу «вверх»
Она должна быть удалена с клавиатуры и контакты замотаны
Они не упоминали, в чём заключается риск!
FDA не утвердило этот план
AECL предоставило переделанный План Действий (CAP), который был утверждён FDA
Слайд 46Предотвращение ошибок в лучевой терапии
6 событие - Якима
Слайд 47Предотвращение ошибок в лучевой терапии
6 – Якима, январь 1987 г.
Пациенту
собирались сделать портальный фильм 4 и 3 MЕ плюс 79
MЕ для лечения
Открытое поле
35 x 35 cm2
Для ориентации
с 3 MЕ
Лечебное поле
18 x 22 cm2
с 4 + 79 MЕ
Слайд 48Предотвращение ошибок в лучевой терапии
Первые 4 MЕ были сделаны с
лечебным полем
Коллиматор открылся автоматически и было произведено второе облучение с
3 MЕ
Оператор зашёл в комнату, чтобы проверить положение пациента
Он проверил положение центра пучка по меткам на коже, включив световое поле (карусель повернулась)
6 – Якима, январь 1987 г.
Слайд 49Предотвращение ошибок в лучевой терапии
Оператор приготовил аппарат к началу лечения,
вышел
из процедурной и
по случайности забыл фильм под пациентом
Пучок был
включен нажатием клавиши “B”
На экране не появилось сообщение о дозе или мощности дозы
После 5-6 сек. ускоритель выключился и показал быстро исчезнувшее сообщение об ошибке
Оператор нажал “P” чтобы продолжить
6 – Якима, январь 1987 г.
Слайд 50Предотвращение ошибок в лучевой терапии
Аппарат запустился, но тут же остановился
с сообщением о проблеме плоскости поля
Оператор услышал как пациент говорит
что-то и зашёл в комнату
Пациент почувствовал жжение в груди
6 – Якима, январь 1987 г.
Слайд 51Предотвращение ошибок в лучевой терапии
На пульте управления было 7 MЕ
(два облучения для фильма)
Позже у пациента появились покраснения кожи в
поле лечения
Четыре дня спустя область стала полосатой (похожее на предыдущую проблему в Якиме)
6 – Якима, январь 1987 г.
Слайд 52Предотвращение ошибок в лучевой терапии
Ответ AECL
Все тесты показывают полное соответствие
Все пользователи были предупреждены о необходимости проверки карусели визуально
Заподозрили, что
вместо выравнивающего фильтра на оси пучка находилось зеркало
Фильм пациента подтвердил это
6 – Якима, январь 1987 г.
Слайд 53Предотвращение ошибок в лучевой терапии
Было высчитано, что доза 40 -
50 Гр могла быть подведена за одно облучение, т.е. до
100 Гр в случае конкретного пациента вместо 0.86 Гр (2 облучения для фильма + лечение)
Согласно AECL коррекции, сделанные (но ещё не внедрённые) для предотвращения таких аварий, как в Тайлере, предотвратили бы и эту
6 – Якима, январь 1987 г.
Слайд 54Предотвращение ошибок в лучевой терапии
Последствия переоблучения
Слайд 55Предотвращение ошибок в лучевой терапии
Характеристики аварий
Три случая связаны с вращением
карусели перед лечением (подтверждены)
Ускоритель выключался вскоре после включения пучка и
выдавал код ошибки на консоле
Шифрованные коды не указывали на серьёзность ошибки и не были поняты операторами
В нескольких случаях оператор повторил облучение один или несколько раз
После лечения пациенты жаловались на жжение, иногда с ощущением удара током
В каждом случае пациенты получили дозы от 40 до 250 Гр за очень короткое время (1-3 секунды)
Слайд 56Предотвращение ошибок в лучевой терапии
Перечень причин аварийного облучения
Программное обеспечение производителя
Ранние
модели работали по другому и ПО не совсем подходило
В новой
модели безопасность полностью полагалась на ПО, в то время как у старой модели были механические и электрические интерлоки
Безопасность новой системы не была оценена как единая система: поскольку ПО существовало уже годы, то была протестирована только механика
У производителя не было механизмов по расследованию аварий и информированию пользователей
После первой аварии производитель отказался поверить в то, что причиной этому послужило оборудование
FDA не было оповещено, так же как и другие пользователи
Производитель утверждал, что эта машина безопасна
Слайд 57Предотвращение ошибок в лучевой терапии
Февраль 1987 г.
FDA
…попросила компанию AECL немедленно
оповестить и порекомендовать не использовать аппарат для лечения пациентов…
Канадское правительство
…AECL
порекомендовать всем пользователем в Канаде не использовать аппарат Therac-25 …
AECL в июле
Оповестило всех пользователей, что FDA подтвердило их последний исправительный протокол CAP (около 30 различных изменений)
Слайд 58Предотвращение ошибок в лучевой терапии
События во времени
Июнь 1985 г.
Maриетта
Янв. 1987
г.
Гамильтон
Дек. 1985 г.
Якима
Maр. 1986 г.
Тайлер
Aпр. 1986 г.
Фев. 1987 г.
Посьба
FDA
Июль 1987 г.
AECL план действий
Июнь 1985 г.
Тайлер
Якима
Слайд 59Предотвращение ошибок в лучевой терапии
Слушай, наблюдай, информируй и переодически просматривай
реакции пациентов
Расследуй все отчёты о ненормальной работе
Включи в программу Обеспечения
Качества:
Процедуры рапортирования необычных событий
Не принимай на веру заявления производителя
Ответственность всегда лежит на больнице
Уроки: Отделение лучевой терапии
Слайд 60Предотвращение ошибок в лучевой терапии
Уроки: Советы консультантов по компьютерам
Документация с
начала
Используй установленную практику создания программного обеспечения
Простой дизайн
Встроенное ПО для сбора
ошибок и аудита
Тщательное тестирование ПО и формальный анализ на всех уровнях
Перепроверяйте использующееся ПО!
В вопросах безопасности не полагайтесь только на ПО
Используйте повторные проверки
Обращайте тщательное внимание на человеческий фактор
Вовлекайте пользователей всех уровнях
Слайд 61Предотвращение ошибок в лучевой терапии
Снимок Larry Watts
Продолжение
11 аппаратов были оснащены
оборудованием безопасности, требуемой FDA, и остались в эксплуатации.
Больше не было
зарегистрированных аварий с использованием этих машин
После снятия с производства Therac-25, FDA приняло ряд поправок, связанных с распространением информации и с утверждением оборудования.
С 1990 г., по закону больницы обязаны докладывать о происшествиях как производителю, так и FDA.
Слайд 62Предотвращение ошибок в лучевой терапии
Ссылки
O’Brien et al. Radiation protection
aspects of a new high-energy linear accelerator. Med Phys 101-107
(1985)
Aldrich et al. Characteristics of the photon beam from a new 25 MV linear accelerator. Med Phys 619-624 (1985)
O’Brien et al. Characteristics of electron beams from a new 25 MeV linear accelerator. Med Phys 799-805 (1985)
Leveson N G, Turner C S. An investigation of the Therac-25 accidents. IEEE Computer 26: 18-41 (1993)