Therac-25-katastrofen: Software-fejl forårsagede dødelige stråle-overdoser (1985–1987)

Therac-25-lineær accelerator er det kanoniske tilfælde af software-induceret medicinsk skade.

Hvad der skete

Mellem 1985–1987 modtog mindst 6 patienter massive overdoser (10.000–25.000 rad vs. foreskrevet 200 rad) på anlæg i USA og Canada. Resultater: alvorlige strålebrændsler, paralyser, amputationer, 3 dødsfald.

Rodårsager

• Race condition: Samtidige software-opgaver tillod stråle at affyres i høj-effekt-tilstand uden target/spreader på plads.
• Ingen hardware-interlocks: Stolte udelukkende på software-sikkerhed — brød defense-in-depth.
• Utilstrækkelig test: Ingen formel verifikation; bruger-rapporterede fejl afvist som "umulig."
• Dårligt UI: Kryptiske fejlkoder (MALFUNCTION 54); operatører gentog behandling.
• Organisatorisk fiasko: Producent (AECL) ignorerede klager; FDA-overvågning huller; hospitaler manglede medicinsk fysik QA.

Arv

Transformerede medicinsk udstyr-regulering: IEC 62304 (software-livscyklus), FDA-vejledning om software-validering, obligatorisk uafhængig sikkerhedsvurdering, hardware-interlocks krævet, hændelsesrapportering (MDR).

Lærer at software-sikkerhed kræver rigorøs ingeniørkultur, ikke bare kode.