Bad Medicine (II parte): The Bug

Le macchine ed il progresso tecnologico hanno aiutato enormemente la medicina e le sue applicazioni.
Basti pensare ad uno dei mezzi che ogni giorno aiutano i medici a capire e curare: la diagnostica per immagini.

Un vero miracolo, guardare all'interno del corpo senza toccarlo: ci siamo abituati ma riflettiamoci, è meraviglioso.
Le radiazioni hanno permesso questo ed altro.
Sono state utilizzate per esempio a scopo terapeutico. I danni che i raggi causano alle cellule sono stati concentrati sulle cellule malate, nei tumori ad esempio, così da danneggiarle e distruggerle.
La radioterapia ha questo scopo. "Piegare" un effetto dannoso e renderlo vantaggioso, è la tecnologia che aiuta l'uomo. La radioterapia ha dei limiti e degli effetti collaterali che vengono minimizzati il più possibile con adeguate precauzioni.
Ma quante volte la tecnologia si è fidata troppo ed a torto delle proprie capacità?
Nella prima parte di questa serie ho raccontato la storia del Thorotrast un mezzo di contrasto utilizzato in radiologia per le sue proprietà ma poi rivelatosi una pericolosissima e dannosa bomba radioattiva che ha fatto (e continua a fare!) tante vittime.
Questa invece è la storia di un disastro informatico che ha avuto come effetto un disastro medico.

In un certo senso, l'incubo degli scrittori di fantascienza si è avverato: gli esseri umani perdono il controllo delle macchine con risultati catastrofici.
Eppure è accaduto, colpa umana non delle macchine che per quanto "intelligenti" e sicure sono sempre progettate e costruite dall'uomo ma (soprattutto oggi, epoca nella quale affidiamo tante nostre risorse al controllo delle macchine) forse per questo si tratta di un episodio che ha fatto scuola...
Diciamo che la superficialità degli uomini ha permesso alla macchina di danneggiare degli altri uomini, errori nella compilazione di un programma informatico hanno permesso ad un apparecchio diagnostico di danneggiare invece di aiutare una persona.
Come se un errore di ortografia decidesse della vita di uno di noi.
Questa è la storia di un bug.

Il bug del Therac-25

Il Therac-25 era un macchinario per radioterapia costruito da una società italo-francese, preceduto dai modelli Therac-6 e 20 attorno alla metà degli anni 80. Il modello 25 era molto più compatto, più semplice da utilizzare e più versatile delle versioni precedenti.
La radioterapia ha l'obiettivo di colpire con dei fasci sottilissimi di radiazioni una zona del corpo umano che sia sede di tumore con lo scopo di distruggere il più possibile la massa tumorale.
Naturalmente, vista la potenza e la pericolosità delle radiazioni, è importante, per quanto possibile, concentrare al massimo il fascio solo nella zona da trattare, cercare di schermare le zone adiacenti che possono rischiare di essere danneggiate e limitare nel tempo il più possibile l'esposizione ai raggi.

Il Therac in particolare offriva l'opportunità di utilizzare sia i raggi X che un fascio di elettroni. I raggi X servivano a colpire i tessuti più profondi mentre gli elettroni colpivano quelli più superficiali, era una comodità, un modo per adattare la terapia alle varie situazioni e per preservare il più possibile dal danno i tessuti sani.

Il passaggio da una modalità all'altra si svolgeva con un meccanismo elettronico (comandato manualmente da un operatore) che trasformava il fascio di elettroni in raggi X cambiando anche (di tanto) l'energia che veniva irradiata sul corpo del paziente da trattare.
La modalità ad elettroni prevedeva una bassa potenza, quella a raggi X un'alta potenza che veniva "diluita" da particolari diffusori.
Furono installati cinque macchinari negli Stati Uniti e sei in Canada.

Avvennero degli incidenti molto gravi.
Al momento di utilizzare il fascio a raggi X alcuni pazienti ebbero dei malesseri.
Accusarono un fastidio immediato, riferirono una sensazione simile ad una forte scarica elettrica, alcuni si alzarono dal lettino sul quale erano sdraiati per il dolore e la sopresa.
Quasi tutti si accorsero subito che qualcosa non andava. Sul punto di irradiazione la pelle era ustionata e dolorante, una decina di pazienti erano in condizioni critiche.
Dopo pochi giorni alcune delle persone trattate accusarono un'intossicazione da radiazioni (uno stato di malessere e spossatezza importante, nausea, vomito, febbre, astenia) alcuni presentavano gravi lesioni cutanee e tre di loro morirono.
Una paziente racconta che appena finita l'irradiazione urlò al tecnico di radiologia: "Mi avete bruciata!" lui entrando nella stanza le rispose che non era possibile e la toccò sulla zona trattata, si accorse che era bollente.
Il macchinario, in caso di errore (come quello che avvenne) prevedeva una spia con la scritta "malfunction" seguita da un numero, ma non vi era nemmeno un manuale con l'elenco degli errori o che collegasse il numero ad un preciso problema. Avvenne così che gli operatori, non ritenendolo un problema importante premessero un tasto che faceva ripartire il macchinario. In un caso in Ontario uno degli operatori riferì che il macchinario subito dopo aver iniziato la procedura mostrò il segnale NO DOSE come se avesse smesso di irradiare, seguito dalla scritta TREATMENT PAUSE.

Raccontò poi che nei precedenti modelli di Therac questo succedeva spesso e bastava far ripartire la macchina per risolvere il problema.
Così fece, dopo qualche minuto fece ripartire la macchina ma questa riportò di nuovo la scritta NO DOSE.
Ci riprovò per quattro volte. Alla fine chiamò un tecnico che non rilevò nulla di anomalo. Ma il macchinario non "ripartiva" più.
La paziente, nel pomeriggio, accusò dolori, senso di bruciore e malessere. Si rivolse all'ospedale che l'aveva trattata e si accorse che assieme a lei vi erano altri pazienti con la stessa sintomatologia.
Dopo tre giorni la macchina fu messa fuori servizio.

La notizia si sparse ed anche gli altri centri che avevano il Therac installato riferivano gli stessi problemi. Anche negli altri ospedali i macchinari furono spenti.
Con procedura di urgenza furono avvisate le unità di rischio che si occupano di incidenti sanitari. Gli operatori non si spiegavano l'accaduto: si pensò subito naturalmente ad un malfunzionamento della macchina e così iniziò un'inchiesta.
Si scoprì che fu azionato diverse volte il fascio a raggi X senza utilizzare il diffusore che avrebbe dovuto diminuire la potenza del fascio di elettroni. Succedeva così che sul corpo del paziente arrivava un fascio ad altissima potenza, fino a 100 volte quella normale e prevista. Quello che era accaduto era incredibile.

Si pensi a qualche numero: in una normale dose di radiazioni a scopo terapeutico si emettono circa 200 rad (il rad è l'unità di misura della dose di radiazioni assorbita), una dose di 1˙000 rad che colpisse l'intero corpo può essere fatale dato che è stato calcolato che una dose di 500 rad in tutto il corpo ucciderebbe il 50% delle persone esposte, nel caso del Therac furono emesse in una delle vittime una o due dosi da 15˙000-20˙000 rad!. Le prime segnalazioni di problemi legati alle sedute di terapia furono sottovalutate. In un caso l'arrossamento della cute fu interpretato come normale conseguenza dell'irradiazione e la paziente fu invitata a continuare le sedute con il macchinario. Un'altra paziente perse l'uso di un braccio e soffrì di intensi dolori ma anche questo (un medico inviò una relazione alla casa costruttrice) fu sottovalutato: l'industria produttrice avvisò che avrebbe provveduto ad un controllo.
Uno dei pazienti colpiti si spense dopo meno di un mese dall'incidente, ufficialmente per il suo cancro ma l'autopsia scoprì che erano tante le lesioni subìte, che la morte era stata accelerata (molto dolorosamente) da quello che era successo. Le sue ossa del bacino erano praticamente state distrutte dalle radiazioni.

L'inchiesta stabilì che non esisteva nessun sistema di controllo, nessuna spia, nessun blocco automatico che permettesse all'operatore di capire il tipo di errore e che bloccasse la macchina immediatamente.
Nel corso delle indagini fu scoperto che alcuni degli errori di programmazione presenti in questo modello erano presenti anche nei modelli precedenti utilizzati in altri ospedali ed in alcuni casi ancora in funzione.
Gli operatori non si spiegavano sul momento il problema (tutti i dispositivi medici di una certa importanza hanno dei dispositivi di sicurezza automatici, se vi è un errore serio il macchinario si blocca automaticamente). Fu controllato allora il software che controllava tutte le funzioni del macchinario. Si scoprì qualcosa di drammaticamente incredibile.

Il programma era scritto male. Tutto era dovuto ad uno stupido errore di programmazione. Il linguaggio utilizzato era l'Assembly, furono riscontrati diversi errori di sviluppo del programma ma l'errore fatale fu uno: la macchina non era capace di svolgere nessuna operazione di controllo o test automatico.
In pratica non esisteva nessuno strumento che bloccasse un errore o un problema del macchinario. Un bug.
Si cercò allora il programmatore che compilò il software e... sorpresa... non esisteva. Nonostante le ricerche infatti, nessuno mai riuscì ad identificare o scoprire il reale autore del programma. Non solo si trattava di un'unica persona (in genere un programma molto complesso viene compilato da più persone, anche per ridurre gli errori con un controllo incrociato) ma il software definitivo non aveva una firma. Qualcuno sospettò che l'azienda costruttrice modificò semplicemente i programmi delle versioni precedenti senza servirsi di un progetto ben preciso da parte di esperti, usò in pratica la via più semplice ed economica... ma la più stupida.

Fu scoperto poi che i produttori (AECL) non avevano mai fatto controllare il programma prima di commercializzarlo e non avevano mai testato il macchinario se non al momento del montaggio in ospedale. La stessa azienda inoltre provvedeva a sostituire parti considerate malfunzionanti dopo la segnalazione di vari incidenti ma non fece mai un controllo generale né approfondito della macchina. In particolare il software fu considerato sicuro fino alla fine.
Ma più l'inchiesta andava a fondo più si svelava il disastro.

Esistevano anche errori di progettazione: comandi che non corrispondevano a quelli descritti dai manuali, macchinario che non rispondeva come previsto ed addirittura la possibilità che la macchina facesse delle operazioni impreviste quando si premevano dei tasti a caso.
Se si digitava troppo velocemente sulla tastiera della macchina il software non riusciva a rispondere correttamente arrivando pure a saltare tutte le procedure iniziali di sicurezza all'accensione dell'apparecchiatura.
Insomma un disastro.
Le vittime decedute accertate a causa del macchinario difettoso furono tre (le altre avevano subìto danni o erano decedute per altre cause), si parla di sei pazienti in totale danneggiati ma le richieste di risarcimento furono una decina.
L'inchiesta concluse che l'azienda produttrice aveva una colpa gravissima nell'incidente ed il processo fece risarcire le vittime decedute e viventi per i danni subìti.
Gli operatori non furono considerati colpevoli in quanto, rassicurati dal funzionamento elettronico dell'apparecchiatura, non avevano prestato attenzione ai segnali di allarme pur evidenti.

Una brutta storia che fu definita come "il peggior incidente radiologico degli ultimi 35 anni". Fu un caso storico, ancora oggi la lezione del Therac è ben presente nelle menti di molti progettisti software è stato un errore madornale ed imperdonabile.
Speriamo sia servito a qualcosa.
Dalla vicenda sono stati tratti dei romanzi, ed una commedia teatrale poi diventata film si è ispirata alla storia di una delle donne decedute in seguito all'incidente anche se adattata per l'occasione.
A chi interessasse approfondire la storia ed i particolari tecnici, c'è un PDF che racconta (in 49 pagine) gli avvenimenti (in lingua inglese) e fornisce molti dati che incuriosiranno chi si occupa di questo tipo di tecnologie. Un ampio riassunto sempre in inglese del lavoro della stessa autrice del precedente è rintracciabile qui.
Un pensiero va anche alle vittime di questa tragedia.


Alla prossima.