IAEA International Atomic Energy Agency OIEA Material de Entrenamiento Módulo 2.3 Problemas con Software del Acelerador (USA y Canadá) PREVENCIÓN DE EXPOSICIONES

IAEAInternational Atomic Energy Agency

OIEA Material de Entrenamiento

Módulo 2.3

Problemas con Software del Acelerador (USA y Canadá)

PREVENCIÓN DE EXPOSICIONES ACCIDENTALESEN RADIOTERAPIA

IAEAParte 2.03 Problemas con software del acelerador (USA y Canadá) 2

Imagen proporcionada porWilliam Van de Riet

Antecedentes

• A mediados de los años 70, AECL desarrolló un concepto nuevo de doble-paso para acelerar electrones

– Requiere menos espacio para desarrollar niveles similares de energía

– Acelerador dual– Más compacto y versátil que su

antecesor, el Therac-20

• El Therac 25 aprovechaba las ventajas del control y monitoreo del hardware por medio de computador


Tomado de Aldrich 1985 (superior) y

O’Brien 1985 (inferior)

Antecedentes


Cabeza de tratamiento de electrones vs fotones

O’Brien 1985

Colimadores tipo “trimmers” para electrones

diafragma

blindaje

Cámara monitor

Imán de rastreoblanco

Colimador preliminar

Filtro de aplanado

cámara monitor

blindaje

FILTRO DE ELECTRO-NES

diafragma


Carrousel de filtros

blanco

filtro de aplanado

Imán de recorrido (escaneo) del haz de electrones

Espejo del campo de luz

Émbolo de posicionamiento

Interruptores Cubierta de interruptores


O’Brien 1985

Rastreo del haz de electrones

Pulso de electrones

Patrones de rastreo

Energía Alta Energía Baja


¿Qué ocurrió?


11

Evento 1 - Marietta


1 - Marietta, Junio 1985

• Experiencia de aproximadamente 6 meses con la máquina nueva

• Una paciente con CA de mama que se trató con electrones de 10 MeV comentó: ¡Me quemaste!después de su sesión de tratamiento

• El técnico revisó y sintió caliente el área tratada. Ilustración de un tratamiento de tórax

con electrones (Nucletron)



• Se le informó al físico• El físico contactó a AECL y preguntó si

la máquina podía emitir electrones sin movimiento de rastreo del haz

• 3 días después, AECL respondió ¡imposible!

• No se hizo reporte de administración errónea (no se requería en esos días)



• El hombro de la paciente se enrojeció e inflamó• El oncólogo determinó que esto era:

– Una complicación relacionada con la enfermedad, o

– Una complicación normal de la radioterapia

• Dos semanas después el físico notó:– Un área roja en el área de salida del campo tratado

– La piel comenzó a despellejarse

– El hombro perdió movilidad

– La paciente tenía dolor agudo



• Ni los operadores ni AECL podían creer que fuera el acelerador

• Este accidente no se reconoció ni se documentó• El fabricante:

– No documentó este problema– No describió el evento a otros usuarios o a la FDA– No tomó ninguna medida posterior

• Cuando se revisó el caso hacia atrás – La función de impresión estaba deshabilitada y no existía un registro permanente del tratamiento


Evento 2 - Hamilton


2 - Hamilton, Julio 1985

• El acelerador se había usado unos 6 meses

• Se trató a una paciente de cérvix

• Durante la 24a fracción apareció el mensaje “H-Tilt error” y se detuvo el tratamiento

• El sistema de dosimetría indicaba- Sin dosis- Pausa en el tratamiento

• El operador simplemente continuó presionando “P” (para proceder)- El software permitió que esto

ocurriera 5 veces• Los operadores estaban

familiarizados con errores que inhibían el tratamiento sin consecuencias para los pacientes

• Los errores de funcionamiento se reportaban simplemente con un código numérico, sin explicación ni documentación, etc.



• Se le llamó a un técnico de servicio– No encontró nada anormal en el acelerador

• Después del tratamiento la paciente se quejó – Sensación de ardor en la cadera– Sentía una especie de shock eléctrico– Tres días después: seguía el ardor, dolor de

cadera e inflamación excesiva



• El acelerador fue retirado del uso clínico: se sospechó de una sobredosis

• Se le informó a AECL y enviaron un ingeniero al sitio

• Se le informó a las autoridades locales



Acciones de AECL– No se pudo reproducir el error de funcionamiento– Se asumió que la causa del error estaba en los

interruptores que indicaban la posición del carrousel– Esto se confirmó cuando se deshabilitaron los

interruptores intencionamente y se demostró que el software podía interpretar una posición ambigüa de éstos

– Se revisó el software, etc., – En el reporte final, “…no se puede confirmar la causa

exacta del accidente sino sólo se puede sospechar…” – ¡Aseveraron que la seguridad se había mejorado en 5

órdenes de magnitud!



• Mensaje de la compañía a los usuarios:– Revise la posición del carrusel

– Detenga el tratamiento se presenta el error “H-tilt” en combinación con dosis errónea

– No se divulgó la información sobre el daño a pacientes

• En una reunión un usuario sugirió agregar un candado de seguridad (interlock) para la posición del carrusel – ignorado por la compañía

• La paciente murió por su enfermedad en Nov. 1985; la autopsia reveló:– Daño severo por radiación

– Remplazo de cadera indicado


Evento 3 - Yakima


3 – Yakima, Dic. 1985

• El acelerador fue modificado, según el vendedor, Sep. 1985

• Paciente femenino presentó eritema durante un tratamiento con rayos X en Diciembre de 1985

• Patrón paralelo de rayas rojizas sobre la cadera• Se consideró que era una reacción normal durante

el curso del tratamiento externo• Una vez terminado el tratamiento, en Ene./Feb. la

reacción en piel fue considerada anormal y se hizo una investigación



¿Causa del patrón de rayas?• Ranuras rectas abiertas en

la charola - El patrón de lacharola y de la piel no coincidían

• Se descartó que fuera una reaccióna quimioterapia - Los otros reportesno mostraban reacción alguna

• La paciente durmió con una bolsa caliente - Luego de un examen con rayos X se encontró que no coincidían el patrón de la piel y el de los alambres de la bolsa caliente

Ilustración de charola de ranuras


Prevención de exposiciones accidentales en radioterapia


• Del contacto con AECL sobre el caso resultó lo siguiente:“…somos de la opinión de que este daño no pudo haber sido producido por un error de funcionamiento del Therac-25 o por ningún error del operador.”

• Y siguieron dos páginas describiendo que:“…aparentemente no han habido otros ejemplos de daño similar a este o a otros pacientes”

• La reacción de la piel fue clasificada y consignada como de “Causa desconocida”



• El personal no sabía que éste era el 3er incidente

• El vendedor les dijo inclusive que no había ocurrido ninguno

• Para este momento, la compañía debería estar al tanto de tres eventos sospechosos


Evento 4 - Tyler


4 – Tyler, Marzo 1986

• El acelerador había estado en operación por 2 años, >500 pacientes tratados

• Un paciente masculino estaba por recibir su 9a fracción de 1.8 Gy a su espalda– Electrones 22 MeV



• La operadora estaba muy familiarizada con la consola del acelerador y tecleaba rápida y eficientemente

• Ella notó que había seleccionado “X” para rayos X en vez de “E” para electrones

• Movió el cursor hacia arriba para ingresar la opción correcta

• Presionó la tecla de retorno varias veces para brincar a la parte baja de la pantalla y presionó “B” para activar el haz (“beam-on”)

• Luego de un momento la consola mostró “Malfunction 54” y “pausa de tratamiento”


Pantalla del Therac-25

Comandos como P (proceder) ó B (Beam on, activar haz)

Tipo de haz, X ó E



• Según la documentación en la consola, esto era un error “dose input 2” (“entrada de dosis 2)

• Sólo se habían dado 6 unidades monitor de las 202 programadas, así que la operadora presionó “P” para continuar

• El acelerador se apagó nuevamente



• Ese día, los monitores de audio y video estaban desconectados debido a una falla– La operadora no sabía lo que estaba pasando

dentro del cuarto de tratamiento– El paciente “se había levantado de

la mesa y estaba golpeando lapuerta del cuarto de tratamientopidiendo que lo dejaran salir”

• La operadora abrió la puertarápidamente



• El paciente había sido irradiado mientras se había estado moviendo en la mesa de tratamiento durante el segundo intento

• El paciente fue expuesto doblemente y reportó las siguientes impresiones: – 1a exposición

Choque eléctrico, o como si le hubieran “echado café caliente en la espalda”

Escuchó un zumbido en el acelerador (anormal)

– 2a exposición Sintió un choque eléctrico en su brazo Perdía sensación de su mano en su cuerpo



• El oncólogo revisó al paciente y concluyó:– El eritema severo se debió a

una descarga eléctrica

• El físico investigó y encontró :– No había nada inusual en la

operación del acelerador – La calibración de la máquina

estaba correctaIlustración de una calibración


• Nadie entendió el mensaje de error y los tratamientos continuaron por el resto del día

• El personal de servicio del fabricante fue requerido y llegaron al día siguiente – No encontraron problemas – hicieron pruebas

al acelerador un día completo– Cuando les preguntaron, respondieron que “no

tenían reportes de accidentes que involucraran sobre-exposición con este equipo”



• Respuesta de AECL– Concluyeron que fue una descarga eléctrica– Sin embargo, ellos debieron tener

conocimiento de los tres eventos sospechosos previos

• Un consultor externo revisó la tierra de la máquina – se encontró que estaba bien

• Luego de otra revisión de la calibración el acelerador volvió al uso clínico en Abril



Evento 5 - Tyler


5 – Tyler, Abril 1986

• Tres semanas después ocurrió un segundo evento en la misma clínica

• Un paciente estaba programado para recibir un campo de electrones de 10 MeV en un lado de su cabeza

• Misma operadora, mismo cambio de X-a-E en el teclado

• Después de iniciar el haz se escuchó un ruido fuerte por el intercomunicador

Ilustración de tratamiento de cabeza y cuello



• Apareció el error 54 en la consola de la máquina y el tratamiento se puso en pausa

• La operadora entró al cuarto y encontró al paciente sobre la mesa quejándose

Ilustración de tratamiento de cabeza y cuello



• El paciente se quejó de sentir “lumbre” en su mejilla

• La operadore llamó al físico inmediatamente

• El paciente describió que “algo le pegó en la cara” vió un destello de luz y escuchó un sonido crepitante, como cuando se pone a freír un huevo



• El paciente sufrió de desorientación que finalmente lo condujo a un estado de coma, fiebre alta, daño neurológico, etc. Falleció 3 semanas después.

• La autopsia demostró que el lóbulo temporal y el tallo cerebral habían sufrido daño masivo agudo por radiación.



• El físico retiró la máquina de uso clínico, y contactó al fabricante para reportarle el evento

• Él y la operadora emprendieron su propia investigación– Después de varios esfuerzos lograron recrear la

secuencia de eventos– Concluyeron que la velocidad a la que se introducían los

comandos en la consola de control era el factor clave– Las mediciones del físico demostraron que

La cámara monitor estaba saturada La dosis estaba por arriba de los 40 Gy



• El fabricante no pudo reproducir el error de funcionamiento hasta que el físico explicó que los comandos tenían que ser tecleados muy rápidamente

• Dos días después AECL regresó con el reporte– La dosis medida podía subir hasta 250 Gy

– El “ruido de freidora” se debía a descargas eléctricas en la cámara de ionización


Investigación en Tyler

• Quedó demostrado que el diseño del software permitía el error de funcionamiento

• Había una subrutina que monitoreaba el ingreso de los parámetros de tratamiento como energía, posición de los colimadores, etc.

• Cuando se ingresaban todas las entradas y el cursor regresaba a la línea de comandos al final de la pantalla, se encendía una bandera (computacional) de aviso


Investigación en Tyler

• Una vez que esa “bandera” se activaba indicando que todos los datos estaban ingresados, si se cambiaba alguna entrada y el cursor regresaba rápidamente a la línea de comandos en la pantalla, la subrutina no detectaba que se había hecho un cambio

• Otra subrutina controlaba la posición del carrusel según el modo de operación seleccionado

• El operador podía corregir el modo de operación de “X” a “E”, provocando así la rotación del carrusel, pero sin que se preparara correctamente la corriente de electrones o los imanes de rastreo


Más informacion

• El personal de AECL testificó más tarde que:– Se había presentado con anterioridad un problema con el

cursor (Marietta) en 1985

– Había ocurrido otro problema con el cursor en un sitio no mencionado, en el verano de 1985 (¿Hamilton?)

– Estos problemas debieron haberse resuelto

– ¡No había relación entre estos errores y el incidente en Tyler!

• Revisión del software en un sitio con Therac 20 por un usuario:– Los errores de tecleado (cuando los estudiantes usaban el

acelerador) ¡provocan que se fundan varios fusibles!

– Existe el mismo problema al editar X/E pero el candado de seguridad de hardware prohíbe iniciar el haz


¿Porqué la dosis alta al paciente?

• Corriente del haz alta para fotones ~ 100-1000 x• Sin rastreo del haz → filtro de aplanado• Fluencia de electrones extremadamente alta• Las mediciones del físico en Tyler reportaron

inicialmente dosis de sólo ~8 Gy– La saturación en la cámara de ionización

introdujo un error significativo. Al volver aevaluar la dosis se encontró que era ~40Gy

– recombinación de iones / descargas /• El fabricante determinó que la dosis era de 250 Gy• La dosis varía de un sitio a otro debido a la

afinación del acelerador (número de pulsos de radiación en los primeros 3 segundos)


Respuesta de las autoridades y el vendedor• Respuesta de la FDA – posterior al reporte del

Departamento de Salud de Texas (Tyler)– El acelerador Therac-25 es defectuoso

– Se le ordenó a la compañía informar a todos los compradores, investigar el problema y presentar un plan correctivo (a aprobar por la FDA)

• AECL informó a los usuarios de un arreglo temporal para permitir la continuación de los tratamientos– La tecla de flecha hacia arriba no debía utilizarse más

– Debía retirarse del teclado para evitar su uso y poner cinta adhesiva en los contactores.

– ¡No mencionaron cuál era el peligro!

• La FDA no aprobó esta modificación• AECL presentó un Plan de Acción Correctiva (PAC) que

fue aprobado por FDA


Evento 6 - Yakima


6 – Yakima, Enero 1987

Se iba a tomar una placa de verificación a un paciente con 4 y 3 UM, más un tratamiento de 79 UM

Campo abierto

35 × 35 cm2 para orientación, con 3 UM

Campo de tratamiento

18 × 22 cm2

con 4 + 79 UM



• Primero se dieron las 4 UM al campo de tratamiento

• El colimador abrió automáticamente y se dio la segunda exposición con 3 UM

• El operador entró al cuarto a verificar la posición del paciente

• Verificó la posición del haz con respecto a las marcas en la piel prendiendo la luz de campo (el carrousel rotó)



• El operador dio “reset” a la máquina para dar el tratamiento- Salió del cuarto y

- Accidentalmente olvidó la película debajo del paciente

• Inició el haz presionando la tecla “B”• La pantalla no mostró dosis ni tasa de dosis• Luego de 5-6 s la unidad se apagó con un

mensaje que desapareció rápidamente• La máquina se puso en pausa, y el operador

presionó “P” para continuar



• La máquina inició nuevamente, pero la exposición terminó con un mensaje de aplanado

• El operador pudo oír al paciente decir algo y entró al recinto de irradiación

• El paciente había tenido una sensación de quemadura en el pecho



• La consola mostró 7 UM (las dos exposiciones a la película)

• Más tarde el mismo día el paciente desarrolló una quemadura en la piel en el área del tratamiento

• Cuatro días después la lesión tenía rayas (semejantes a las del problema previo en Yakima)



• Respuesta de AECL– Todas las pruebas indicaron un funcionamiento

perfecto

– Todos los usuarios fueron informados de que debían chequear visualmente la posición del carrusel

– Se sospechó que la fuente de luz estaba en posición en vez del filtro de fotones

• Se comparó la película del paciente con las pruebas, lo que confirmó la posición errónea



• Se concluyó que pudo haberse dado una dosis de 40 a 50 Gy por irradiación, esto es, hasta 100 Gy a este paciente específico, en vez de 0.86 Gy (2 películas + tratamiento)

• Según AECL las correcciones – que aún no se implementaban – que resultaron de los accidentes en Tyler hubieran prevenido esto


Consecuencias de las sobredosis

1 La mama fue retirada quirúrgicamente, pérdida total de movilidad del brazo y del hombro y dolor crónico

2 Paciente con quemadura severa, murió en Noviembre de 1985

3 Necrosis del tejido, ulceraciones crónicas y dolor en el área tratada; se hicieron varios injertos de piel y el paciente vive (1995)

4 Dolor en cuello y hombro; náusea y vómito periódicos; mielitis radioinducida de columna cervical; parálisis del brazo izquierdo, ambas piernas, cuerda vocal izquierda y el lado izquierdo del diafragma.

Murió luego de 5 meses por complicaciones

5 El paciente falleció un mes después

6 El paciente murió en pocas semanas por una forma severa de cáncer terminal, pero la sobredosis probablemente acortó su vida


Características de los accidentes

• Tres casos involucraron una rotación del carrusel antes del tratamiento (confirmado)

• El acelerador falló poco después del comando de activación del haz (“beam on”), reportando un código de error de funcionamiento en la consola- Los códigos eran crípticos y el operador no reconocía que estaban

indicando un error serio

• En varios casos el operador repitió la exposición una o más veces

• Después del tratamiento, los pacientes se quejaron de sensaciones de a veces acompañada de una descarga eléctrica

• En cada caso los pacientes recibieron dosis entre 40 y 250 Gy en una exposición muy breve (1-3 segundos)


Resumen de las causas de la exposición accidental

• El fabricante recicló su software- El modelo anterior funcionaba algo diferente, por lo que el software no

era adecuado del todo

- El modelo más nuevo se basaba completamente en el software en cuanto a seguridad, mientras que el modelo anterior tenía candados de seguridad mecánicos y eléctricos

- La seguridad del sistema nuevo no se había evaluado como una sola entidad, sólo se había evaluado el hardware porque el software había estado en uso por años…

• El fabricante no tenía un mecanismo para la investigación y reporte de accidentes- Después del primer accidente el fabricante se rehusó a creer que se

había tratado de una falla del equipo

- La FDA no fue notificada ni tampoco otros usuarios

- El fabricante mantuvo su opinión de que esta máquina era segura


Febrero, 1987

• La FDA - solicita a AECL que notifique inmediatamente a todos los compradores y recomienda que se suspenda el uso del equipo en pacientes para tratamiento rutinario de radioterapia

• Gobierno canadiense - solicita a AECL que recomiende a todos los usuarios en Canada suspender la operación del Therac-25

• AECL Julio - Informó a todos los usuarios que la FDA había aprobado su PAC más reciente (alrededor de 30 puntos diferentes)


Línea temporal de los eventosJu

nio

1985

Mar

iett

a

Ene

. 19

87Y

akim

a

Juni

o 19

85H

amilt

on

Dic

. 19

85Y

akim

a

Mar

. 19

86T

yler

Abr

. 19

86T

yler

Feb

. 19

87P

etic

ión

de F

DA

Jul 1

987

Pla

n de

acc

ión

de A

EC

L


Deben ser tenidos en cuenta por el Departamento de Radioterapia

• Escuche, observe, reporte, y de seguimiento a las reacciones del paciente

• Investigue todos los reportes de operación anormal

• Incluya en el programa de garantía de calidad:– La revisión de los procedimientos de reporte de eventos

• No acepte la respuesta del fabricante– Siempre es una responsabilidad del propio sitio


Lecciones sugeridas por expertos en computación

• Guía de documentación desde el principio– Utilice prácticas de ingeniería de software bien establecidas

– Mantenga el diseño simple

– Coloque recursos de rastreo que permitan auditoría y bitácora de errores de software

• Evaluación extensa del software y análisis formal a todos los niveles– Revalida del software reciclado

• No confíe la seguridad sólo al software

• Incorpore redundancia

• Ponga especial atención al factor humano e involucre a los usuarios en todas las etapas


Conclusiones

• Las 11 máquinas fueron reinstaladoscon los dispositivos de seguridadque requirió la FDA y permanecieronen servicio.

• No se reportaron más accidentes enestas máquinas.

• Luego de las muertes por el Therac-25 la FDA hizo varios cambios a sus políticas en un intento por señalar las interrupciones en la comunicación y aprobación de productos– En 1990, se instauró una ley que requiere que se

reporten los incidentes tanto al fabricante como a la FDA en Estados Unidos

Imagen proporcionada por Larry Watts


Referencias

• O’Brien et al. Radiation protection aspects of a new high-energy linear accelerator. Med Phys 101-107 (1985)

• Aldrich et al. Characteristics of the photon beam from a new 25 MV linear accelerator. Med Phys 619-624 (1985)

• O’Brien et al. Characteristics of electron beams from a new 25 MeV linear accelerator. Med Phys 799-805 (1985)

• Leveson, N.G., Turner, C.S., An investigation of the Therac-25 accidents. IEEE Computer 26: 18-41 (1993)

Documents

IAEA International Atomic Energy Agency OIEA Material de Entrenamiento Módulo 2.3 Problemas con Software del Acelerador (USA y Canadá) PREVENCIÓN DE EXPOSICIONES