Disastro Therac-25: Errori Software Causano Overdosi Radiazioni Letali (1985–1987)

L'acceleratore lineare Therac-25 è il caso canonico di danno medico indotto da software.

Cosa Accadde

Tra 1985–1987, almeno 6 pazienti ricevettero overdosi massicce (10.000–25.000 rad vs 200 rad prescritti) in strutture USA e Canada. Risultati: ustioni radianti gravi, paralisi, amputazioni, 3 morti.

Cause Radice

• Race condition: Task software concorrenti permettevano fascio alta potenza senza target/spreader in posizione.
• Nessun interlock hardware: Affidamento solo su safety software — violato defense-in-depth.
• Test inadeguati: Nessuna verifica formale; errori utente liquidati come "impossibili".
• UI povera: Codici errore criptici (MALFUNCTION 54); operatori ripetevano trattamento.
• Fallimento organizzativo: Produttore (AECL) ignorò lamentele; gap supervisione FDA; ospedali mancavano QA fisica medica.

Eredità

Trasformò regolamentazione dispositivi medici: IEC 62304 (ciclo vita software), guida FDA validazione software, assessment sicurezza indipendente obbligatorio, interlock hardware richiesti, segnalazione incidenti (MDR).

Insegna che safety software richiede cultura ingegneristica rigorosa, non solo codice.