Therac-25事故重现.ppt

安全系统分析理论及方法 Therac-25 灾难事故分析 Therac-25 灾难事故分析 事故概述 Therac 25 功能简介 事故重现 故障诊断 事故分析 医疗器械软件安全性拓展 结论 Therac-25 事故概述 Therac-25是Atomic Energy of Canada Limited所生产的一种辐射治疗的机器。由于其软件设计时的瑕疵，致命地超过剂量设定导致在1985年6月到1987年1月之间，六件已知的医疗事故中，患者死亡或严重辐射灼伤。事后的调查发现整个软件系统没有经过充分的测试，而最初所做的Therac-25全分析报告中有关系统安全分析只考虑了系统硬件，没有把计算机故障（包括软件）所造成的隐患考虑在内。 Therac 25 功能简介 Therac 25 功能简介 Therac 25 功能简介 Therac-25 事故重现 Therac-25 事故重现 Therac-25 事故重现 Therac-25 事故故障诊断 Therac-25 事故故障诊断 Therac-25 事故故障诊断 Therac-25 事故分析 Therac-25 事故分析 Therac-25 事故分析 Therac-25 事故分析 医疗器械软件安全性拓展 医疗器械软件安全性拓展 医疗器械软件的特点 应用软件质量工程促进软件安全性 应用软件质量工程促进软件安全性 实现软件安全性的技术措施 实现软件安全性的技术措施 结论 谢谢！ * * 闫妍Therac 系列仪器是由加拿大原子能有限公司（AECL）和法国CGL公司联合制造的一种医用高能电子线性加速器，用来杀死病变组织癌细胞，同时使其对周围健康组织影响尽可能降低。 Therac 25属于第三代医用高能电子线性加速器，具有两种工作模式。其一是加速电子模式，用来治疗相对较浅的病变。其二是X射线模式，这种模式，将25兆电子伏特的电子束，转化为X射线，用来治疗较深度的病变。 Therac 6 和Therac20是Therac 25的前身，T这两种型号的仪器都具有独立的合乎工业标准的硬件控制系统，对病人的治疗完全依靠硬件实施，仪器采用硬件反锁技术控制过剂量辐射，治疗过程耗时较长。两种仪器都配置有PDP11计算机，但计算机控制属辅助性质，计算机软件控制仅为在某些情况下方便操作而设置。 Therac 25由AECL独家制造，采用双通概念，使仪器的空间更加紧凑和易于使用。Therac 25 具有更高的能量，能够对深部的病变进行治疗，降低了治疗费用，缩短了治疗时间。Therac 25 同样采用PDP11计算机进行自动控制，与Therac 6 和Therac20不同的是，PDP11计算机通过软件对Therac 25 的全部操作进行控制，而且取消了硬件自锁装置。 Therac 25 的操作过程如下： a) 操作人员进入治疗舱； b) 病人安置在治疗台上； c) 确定治疗现场数据，旋转治疗台，安置机器的各种附件； d) 操作人员离开治疗舱； e) 在控制台输入各种数据； 如果数据满足设置要求，屏幕上显示Verified ，表示治疗已经可以进行。 操作人员通过闭路视听设备观察病人的状况，如果在治疗过程中出现异常或病人抱怨，操作人员可采取下列方式停止机器运行 1、悬挂Suspend：在悬挂状态机器必须重启动才能运行 2、暂停Pause: 在暂停状态机器只需敲击键盘，就可继续运行 3、每次运行中暂停超过5次，需重启动。 系统错误信息定义为低优先权事件，错误信息含义比较模糊，如‘Malfunction 47’、‘ VTILT’等。包含经常发生的小错误在内，Therac 25每天可能发生40次左右的错误、错误信息中极少涉及病人安全的信息。操作人员对这些错误信息习以为常，并不给予特别的重视。 1) 1985年6月，一名61岁的妇女，到Marietta 的Kennestone 肿瘤中心接受锁骨部位的10兆电子伏特电子射线照射，治疗中病人感到炙热和疼痛，大声喊叫，医生Tim Still无法解释，怀疑与过量辐射有关，并与AECL电话联系。AECL工程师答复称设备没有发生超剂量的可能。随后病人提出诉讼，病人由于遭受严重的烧伤，肩部和手臂被切除，但是诉讼也因为证据不足不能立案。 2) 1985年7月，一个40岁女性子宫颈癌患者，在加拿大安大略 Hamilton接受Therac 25治疗，治疗剂量为200拉德，治疗过程中机器停机，显示出现出现‘HTILT’错误。同时控制台显示‘No dose’（无剂量