Therac-25

Le premier prototype fut produit en 1976. La version commerciale, contrôlée par un ordinateur PDP-11 et à l'origine des accidents, fut disponible dès 1982. Elle fonctionnait selon deux modes de traitement :

• thérapie basée sur un faisceau concentré d'électrons avec une énergie comprise entre 5 et 25 MeV durant de courtes périodes ;
• thérapie aux rayons X obtenus à partir du flux d'électrons (25 MeV) qui était converti grâce à un dispositif nommé la « cible » (voir l'article Tube de Coolidge).

Lorsqu'il travaillait dans le premier mode, le Therac-25 émettait un faisceau d'électrons dont l'intensité était réglée par des aimants. Dans le mode rayons X, trois composants se mettaient en rotation pour intercepter le flux d'électrons et modifier son intensité et sa forme. La cible convertissait les électrons en rayons X, un filtre générait une intensité uniforme et finalement un ensemble de blocs mobiles (le collimateur) focalisait les rayons. L'intensité du rayonnement était mesurée grâce à une chambre d'ionisation.

Les accidents se produisaient quand le faisceau d'électrons était activé sans que la cible soit correctement mise en place. Le logiciel qui pilotait le Therac-25 ne détectait pas ce mauvais fonctionnement qui engendrait une irradiation massive et potentiellement mortelle pour le patient. Celui-ci recevait directement le faisceau d'électrons qui, avec sa très forte énergie, produisait des brûlures thermiques et radioactives ainsi qu'une sensation proche d'un intense choc électrique. Plusieurs personnes qui furent exposées allaient décéder par la suite.

Les chercheurs ouvrirent une enquête afin de déterminer les causes de ces accidents. Plusieurs problèmes de gestion du projet informatique furent découverts :

• l'Atomic Energy of Canada Limited (AECL) ne disposait pas d'un organisme indépendant pour l'évaluation du code source ;
• l'AECL avait négligé certaines étapes liées au test du logiciel ;
• la documentation du système n'expliquait pas de manière adéquate les codes indiquant des erreurs ;
• le personnel de l'AECL, au début, n'avait pas tenu compte des plaintes ou n'y croyait pas.

D'autres problèmes, liés à la conception et la technique, furent également révélés par l'enquête :

• la machine ne possédait pas de dispositif physique pour bloquer le flux d'électrons en mode « haute énergie » si la cible n'était pas en place. La sécurité, à ce niveau, reposait ainsi uniquement sur le logiciel ;
• les ingénieurs avaient réutilisé des morceaux de code provenant d'autres modèles. Ces modèles possédaient des sécurités physiques et n'étaient donc pas autant vulnérables aux erreurs logicielles ;
• le matériel ne proposait aucun moyen au logiciel pour que celui-ci vérifiât l'état des capteurs et leur bon fonctionnement (contrôle en boucle ouverte) ;
• la tâche qui gérait le contrôle du matériel souffrait de problèmes de concurrence avec la tâche qui gérait l'interface destinée à l'opérateur. Une condition de concurrence (race condition) apparaissait si l'opérateur changeait les paramètres trop rapidement. Ce problème ne fut pas détecté lors des tests puisqu'il fallait un certain temps aux opérateurs avant qu'ils ne parviennent à utiliser l'interface de manière aisée ;
• le logiciel utilisait un fanion et l'incrémentait. Des dépassements de capacité se produisaient et engendraient la désactivation de certains tests de sécurité ;
• l'ensemble était programmé en assembleur, un langage courant à l'époque mais difficile à analyser et déboguer par rapport aux langages de plus haut niveau.

• (en) "Medical devices : The Therac 25", annexe de "Safeware : System Safety and Computers", Nancy Leveson, Université de Washington, 1995. (PDF)
• (fr) Préjudices causés par des informaticiens (Archive) avec une section consacrée au Therac-25.