“Malfunction 54”: a importância da segurança na radioterapia.

O Therac-25 era uma máquina desenvolvida pela Atomic Energy of Canada Limited (AECL) na década de 1980, projetada para tratamentos contra o câncer. O aparelho consistia em um acelerador linear médico (equipamento que usa campos elétricos para acelerar partículas subatômicas a altas velocidades) que tinha capacidade de tratar o câncer operando em dois modos: um deles produzia feixes de elétrons, usado para tratamentos superficiais (tumores próximos à pele), enquanto o outro usava raios-X para tratamentos mais profundos (tumores internos), oferecendo aos médicos mais opções de procedimentos radioterápicos. 

Porém, entre 1985 e 1987, falhas no sistema operacional e de segurança do Therac-25 resultaram na exposição de pelo menos seis pacientes a doses de radiação entre 100 e 200 vezes superiores às prescritas. Essas overdoses causaram graves lesões e mortes que transformaram o aparelho em um dos casos mais estudados sobre falhas em sistemas de segurança críticos da radiação na medicina.

FUNCIONAMENTO E FALHAS

O Therac-25 funcionava com um acelerador de partículas que utilizava campos elétricos controlados por computador para acelerar elétrons, gerando um feixe de alta energia. No modo de elétrons, o feixe era direcionado diretamente ao paciente, penetrando rapidamente sua pele sem causar muitos danos aos tecidos atravessados, atacando somente o tumor. Já no modo de raios-X, os elétrons acelerados eram direcionados contra um alvo de tungstênio, para produzir radiação capaz de penetrar mais profundamente o corpo humano, e, assim, alcançar tumores internos.

A máquina dependia da inserção manual de parâmetros através de um terminal para que seu sistema operacional (software) gerenciasse automaticamente a posição de diferentes ímãs posicionadores e filtros. Estes reduziam e direcionavam o feixe de alta energia para que a dose possivelmente fatal se tornasse segura e localizada no tumor. Além disso, o sistema também era responsável por reger os sistemas de monitoramento da dose, controlando a quantidade de radiação emitida contra o paciente.

O grande problema do design estava na dependência excessiva do software. Diferentemente dos equipamentos anteriores, que possuíam múltiplos sistemas de segurança físicos independentes, o Therac-25 confiava quase exclusivamente em seu sistema operacional para coordenar todos esses elementos críticos de segurança. A programação do software da máquina não tinha sido devidamente produzida, revisada ou testada: por isso, continha uma falha relacionada ao timing de seus sistemas de controle. O software não conseguia processar adequadamente comandos inseridos rapidamente pelo operador, responsável pelo controle da intensidade do feixe, do posicionamento e de todos os parâmetros de segurança.

Assim, quando um médico experiente digitava comandos para trocar entre raios-X para elétrons muito rápido, o software entrava em um estado de dessincronização com a parte física do sistema (o hardware). Nesse estado, o sistema ainda acreditava estar no modo de feixe com os imãs posicionados. Todavia, eles ainda demorariam por volta de 8 segundos para se moverem. Esta falha de sincronização entre hardware e software criava uma situação crítica: doses letais de radiação eram liberadas sem os dispositivos de filtragem posicionados no caminho do feixe.

A “MALFUNCTION 54”

O primeiro acidente ocorreu em junho de 1985. No Kennestone Regional Oncology Center (Georgia, EUA), uma mulher de 61 anos recebeu uma dose fatal estimada entre 15.000 e 20.000 rads (unidade de medida da radiação absorvida), ao invés dos 200 rads prescritos. Para contexto, uma radiografia de tórax equivale a cerca de 0,1 rad, e doses acima de 400 rads já são consideradas letais. A paciente relatou uma sensação de queimação intensa durante o tratamento, mas o display da máquina indicava que tudo estava normal. No entanto, ela morreu três semanas depois devido às lesões causadas pela radiação. Casos similares seguiram ocorrendo, como em julho de 1985, quando outra pessoa morreu após receber uma overdose massiva que causou paralisia e eventualmente sua morte.

O mais perturbador era que a máquina exibia apenas a inespecífica mensagem "Malfunction 54" nessas situações. Este código de erro que os operadores eram instruídos a ignorar, uma vez que erros aleatórios do sistema operacional eram comuns. Enquanto a maioria dessas falhas não afetava o funcionamento do Therac-25, sendo apenas um fator comum do código mal elaborado do aparelho. Porém, a Malfunction 54 era diferente. Ela aparecia quando a máquina detectava uma inconsistência entre a posição esperada e a posição real dos componentes. Isso ocorria devido a erros no código que permitiram ao acelerador disparar feixes de alta intensidade sem as devidas proteções mecânicas no lugar.

Esse erro de programação só foi revelado após mais mortes por overdose de radiação e muitos testes. Investigadores recriaram a tela de erro e compreenderam o fenômeno: quando detectava uma inconsistência, o sistema exibia a mensagem de erro (a “malfunction”) mas não interrompia automaticamente a operação. A decisão ficava para o operador humano, sem explicação clara sobre o problema. Quando o procedimento era retomado, o software “pensava” que estava no modo de elétrons (baixa energia), porém o hardware estava configurado para o modo de raios-X (alta energia), resultando na remoção do filtro de tungstênio enquanto o feixe operava em alta potência.

Tragicamente, os técnicos simplesmente pressionavam "P" (para prosseguir) quando mensagens apareciam, pois haviam sido instruídos para ignorar os erros “arbitrários” da máquina, levando aos acidentes e às fatalidades subsequentes. Os incidentes poderiam ter sido evitados de muitas formas: 

• pela implementação de sistemas que travassem o hardware independentemente do software;

• por melhorias no design da interface de usuário, que forçasse confirmações explícitas para mudanças de modo;

• pela inclusão de sistemas de monitoramento das doses aplicadas; e principalmente;

• por uma medida de segurança que tratasse qualquer mensagem de erro como crítica e interrompesse completamente o tratamento, informando aos operadores a gravidade real da situação.

Também, o equipamento deveria ter passado por testes de segurança rigorosos antes de sua comercialização. O Therac-25 não foi submetido a nenhum desses testes, levando a diversas sessões de radioterapia realizadas por um aparelho defeituoso e, consequentemente, a lesões e mortes por contaminação por overdose de radiação.

LEGADO E INFLUÊNCIA NA MEDICINA

O caso Therac-25 tornou-se um marco fundamental na história da segurança em equipamentos radioativos médicos, criando normas para o desenvolvimento de software em aplicações que envolvem risco de vida. 

O incidente causou mudanças grandes nas regulamentações da FDA (Food and Drug Administration) americana e de outras administrações de regulamento pelo mundo, exigindo testes mais rigorosos, documentação detalhada de software e implementação obrigatória de sistemas de segurança em equipamentos médicos. Na física aplicada na medicina, o caso reforçou a importância da verificação cruzada de sistemas automatizados (software e hardware) para reduzir o risco de falhas e, com isso, de vítimas de erros de programação. 

Além disso, o aparelho estabeleceu precedentes cruciais na engenharia de software para sistemas críticos, popularizando conceitos como análise formal de software, testes de estresse em condições extremas e a necessidade de considerar fatores humanos no design de interfaces. O Therac-25, então, permanece na história como um lembrete de que, em sistemas onde vidas humanas estão sob risco e a radiação é utilizada como ferramenta, a confiabilidade nos softwares não pode ser garantida, necessitando de diversos protocolos a serem seguidos e testes a serem realizados, para evitar que acidentes como o da máquina voltem a acontecer.

FONTES

[1] NANCY, Leveson. Medical Devices: The Therac-25. Disponível em: Software: System Safety and Computers, ADDISON, Wesley. 1995. Acesso em 24 jun. 2025.

[2] SILVA, Mauricio Faccin da. Gestão da qualidade de software: estudo de caso da máquina therac-25 e a importância da qualidade de software. Revista FT, 17 abr. 2024. Disponível em: <https://revistaft.com.br/gestao-da-qualidade-de-software-estudo-de-caso-da-maquina-therac-25-e-a-importancia-da-qualidade-de-software/>. Acesso em: 25 jun. 2025.

[3] Therac-25. Em: Wikipédia, a enciclopédia livre. Flórida: Wikimedia Foundation, 2025. Disponível em: <https://pt.wikipedia.org/wiki/Therac-25>. Acesso em: 24 jun. 2025.

[4] FABIO, Adam. Killed By A Machine: The Therac-25. Hackaday, 26 out. 2015. Disponível em:  <https://hackaday.com/2015/10/26/killed-by-a-machine-the-therac-25/>.  Acesso em: 25 jun. 2025.