테락-25 방사선 치료기 소프트웨어 결함 과다 조사 사고와 리콜

테락-25는 AECL이 1976년 첫 시제품을 만들고 1982년 말 컴퓨터 제어 상용 버전을 내놓은 의료용 선형가속기다. 전작인 테락-6과 테락-20에 있던 하드웨어 인터록을 줄이고 소프트웨어가 안전을 책임지도록 설계했다. AECL은 1983년 3월 결함수 분석을 실시했지만 소프트웨어를 분석 대상에서 제외했고 컴퓨터 오류 확률을 극히 낮게 가정했다. 이 기계는 캐나다에 6대, 미국에 5대 등 모두 11대가 설치됐다. 이런 설계는 훗날 사고 원인이 된 구조적 약점으로 평가된다.

1985년 6월 3일 미국 조지아주 마리에타의 케네스톤 지역 종양센터에서 유방 수술 뒤 림프절 치료를 받던 61세 여성이 약 1만 5천~2만 라드의 방사선을 맞았다. 처방은 약 200라드 수준이었다. 환자는 화상과 어깨 마비로 유방 절제와 팔 기능 상실을 겪었고 병원과 AECL은 소송에 들어갔다. AECL은 기계가 그런 과다 조사를 일으킬 수 없다고 주장했고 다른 사용자에게 사고를 알리지 않았다. 소송은 이후 합의로 마무리됐다.

1985년 7월 26일 캐나다 온타리오 암재단 해밀턴 센터에서 자궁경부암 환자가 24번째 치료 도중 전기 충격 같은 감각과 화상을 호소했다. 이후 추정 선량은 1만 3천~1만 7천 라드였고 환자는 고관절 통증 등으로 입원한 뒤 11월 3일 숨졌다. 사인은 암으로 기록됐지만 엉덩이 관절 치환이 필요했을 만큼 손상이 컸다. AECL은 마이크로스위치 오작동을 의심하고 코드를 수정했으며 안전성이 5자릿수 개선됐다고 주장했다. 캐나다 규제 당국과 미국 FDA는 이 사고를 근본 설계 문제로 인식하지 못했다.

1985년 12월 워싱턴주 야키마 밸리 메모리얼 병원에서 한 여성 환자가 치료 뒤 줄무늬 모양 홍반을 보였다. 병원은 1986년 1월 31일 AECL에 서한을 보냈지만 AECL은 2월 24일 기계가 과다 조사를 일으킬 수 없다고 답했다. 환자는 만성 궤양과 조직 괴사를 겪었고 병원 직원들이 이 사실을 확인한 것은 1987년 2월이었다. 이 환자는 장애와 흉터를 안고 생존했다. 병원은 나중에 이 사고가 과다 조사였음을 알게 됐다.

1986년 3월 21일 텍사스주 타일러의 이스트텍사스 암센터에서 아홉 번째 치료를 받던 환자가 1초도 안 되는 사이에 약 1만 6천 5백~2만 5천 라드를 맞았다. 조작자가 X 모드를 잘못 입력했다가 E 모드로 고쳤고 몇 초 안에 이 동작을 마치면 편집이 반영되지 않는 경쟁 상태 결함이 있었다. 화면에는 Malfunction 54라는 오류만 표시됐고 선량 부족으로 오해한 조작자는 치료를 재개했다. 환자는 팔에 충격을 느꼈고 마비 등을 겪다가 5개월 뒤 숨졌다. 사고 후에도 병원과 AECL은 오작동 원인을 즉시 재현하지 못했다.

4월 11일 같은 센터에서 같은 조작자가 비슷한 방식으로 모드를 바꾸자 같은 오류가 발생했다. 환자는 뇌간과 측두엽에 심한 손상을 입었고 5월 1일 숨졌다. 병원 물리학자 프리츠 해거는 두 사고 사이에 기계를 직접 시험하다가 조작 순서와 속도를 재현해 결함을 찾아냈다. AECL은 4월 15일 FDA에 사고를 보고하고 사용자에게 임시 수정 지침을 보냈다. 이때서야 타일러의 사례가 이전 해밀턴·야키마 사고와 연결되기 시작했다.

FDA는 5월 2일 AECL의 사고 통지가 부적절하다며 테락-25가 결함 제품이라고 선언하고 시정조치계획(CAP)을 요구했다. AECL은 6월 13일 첫 CAP를 제출했지만 FDA는 소프트웨어 문서와 시험계획 부족을 지적했다. 이후 11월과 12월 두 차례 개정안이 제출됐고 FDA는 소프트웨어만으로는 부족하다며 하드웨어 안전장치와 치료 중단 방식을 요구했다. AECL은 소스 코드 공개와 독립 평가에도 소극적이었다. 규제 당국과 제조사의 줄다리기는 이후 반복 사고를 막지 못했다.

1987년 1월 17일 야키마 밸리 메모리얼 병원에서 처방 86라드를 받아야 할 환자가 약 8천~1만 라드를 맞았다. 필름 확인 절차를 건너뛰고 B 키를 누르는 과정에서 Malfunction 54가 잠깐 나타났다가 사라진 것이 조사로 확인됐다. 소프트웨어 변수가 증가하다가 오버플로로 0이 되며 안전 확인을 건너뛰는 별도 결함도 드러났다. 환자는 줄무늬 화상을 입었고 4월 합병증으로 숨졌다. 이 사고로 FDA와 AECL의 기존 대응이 불충분했음이 분명해졌다.

FDA는 1987년 2월 6일 영구 수정이 이뤄지기 전까지 모든 테락-25의 가동을 중단하라고 권고했고 10일에는 불리한 조사 결과를 담은 공식 통보를 내렸다. 2월 20일 캐나다 보건당국도 사용 중단을 지시했다. AECL은 소프트웨어 수정 외에 하드웨어 종료 회로, 포텐쇼미터, 인터록 회로를 추가하는 방안을 내놨다. FDA 내부에서는 소프트웨어만의 수정에 대한 회의론이 컸다. 사고 이후 약 1년 반이 지난 뒤에야 전면 중단이 이뤄졌다.

FDA는 1987년 5월 26일 AECL의 시정조치계획을 1등급 리콜로 승인했다. 1등급 리콜은 제품이 심각한 건강 피해나 사망을 부를 합리적 가능성이 있는 경우다. AECL은 모두 다섯 번의 CAP 개정을 거쳤고 하드웨어 안전장치, 편집 키 제한, 의미 있는 오류 메시지 등을 도입했다. 8월에는 사용 중단 권고가 해제돼 기계가 현장에 복귀했다. 사고 이후 AECL의 의료기기 사업은 축소됐다.

1993년 낸시 레버슨과 클라크 터너는 학술지 컴퓨터에 테락-25 사고 조사 논문을 발표했다. 논문은 사고가 단일 버그가 아닌 소프트웨어 재사용, 안전 분석 부실, 하드웨어 인터록 제거, 사고 보고 체계 실패가 겹친 결과라고 분석했다. 이 논문은 이후 의료기기 소프트웨어 안전과 공학윤리 교육의 필수 사례로 인용된다. 이후 의료기기 소프트웨어 생명주기 표준과 규제 강화 논의가 이어졌다. 사고 교훈은 단순한 기술 오류가 아니라 조직적 안전 문화 문제라는 점이다.