Therac-25-Katastrophe: Softwarefehler verursachen tödliche Strahlenüberdosierungen (1985–1987)

Der Therac-25 Linearbeschleuniger ist der klassische Fall von softwareinduziertem medizinischem Schaden.

Was geschah

Zwischen 1985–1987 erhielten mindestens 6 Patienten massive Überdosierungen (10.000–25.000 rad vs. verordnete 200 rad) in Einrichtungen in den USA und Kanada. Ergebnisse: schwere Strahlenverbrennungen, Lähmungen, Amputationen, 3 Todesfälle.

Ursachen

• Race Condition: Gleichzeitige Softwareaufgaben erlaubten den Strahl, im Hochleistungsmodus zu feuern, ohne Ziel/Verteiler an Ort und Stelle.
• Keine Hardware-Interlocks: Verließ sich ausschließlich auf Software-Sicherheit – verstieß gegen Verteidigung in der Tiefe.
• Unzureichende Tests: Keine formale Verifizierung; Nutzerfehlermeldungen wurden als „unmöglich“ abgetan.
• Schlechte Benutzeroberfläche: Kryptische Fehlermeldungen (MALFUNCTION 54); Bediener wiederholten die Behandlung.
• Organisatorisches Versagen: Hersteller (AECL) ignorierte Beschwerden; FDA-Aufsichtslücken; Krankenhäuser fehlte medizinische Physik-QA.

Vermächtnis

Verwandelte Medizinproduktregulierung: IEC 62304 (Softwarelebenszyklus), FDA-Leitlinien zur Softwarevalidierung, obligatorische unabhängige Sicherheitsbewertung, Hardware-Interlocks erforderlich, Incident-Meldung (MDR).

Lehrt, dass Software-Sicherheit eine rigorose Ingenieurskultur erfordert, nicht nur Code.