{"id":2265,"date":"2026-03-18T17:34:25","date_gmt":"2026-03-18T16:34:25","guid":{"rendered":"https:\/\/g7itchme.wordpress.com\/?p=2265"},"modified":"2026-03-18T17:34:25","modified_gmt":"2026-03-18T16:34:25","slug":"todliche-strahlung-wie-der-therac-25-die-welt-der-softwareentwicklung-fur-immer-veranderte","status":"publish","type":"post","link":"https:\/\/technodidact.de\/en\/todliche-strahlung-wie-der-therac-25-die-welt-der-softwareentwicklung-fur-immer-veranderte\/","title":{"rendered":"T\u00f6dliche Strahlung: Wie der Therac-25 die Welt der Softwareentwicklung f\u00fcr immer ver\u00e4nderte"},"content":{"rendered":"

Von DerSchneider<\/strong><\/p>\n\n\n\n

Es gibt Fehler, die sind l\u00e4stig. Und es gibt Fehler, die t\u00f6ten. Der Therac-25, ein strahlentherapeutisches Ger\u00e4t des kanadischen Staatsunternehmens Atomic Energy of Canada Limited (AECL), markiert eine d\u00fcstere Z\u00e4sur in der Technikgeschichte. Zwischen 1985 und 1987 verwandelte sich eine Hightech-Waffe im Kampf gegen Krebs in eine Todesfalle. Mindestens sechs Menschen wurden durch massive \u00dcberdosen ionisierender Strahlung verletzt, drei von ihnen starben an den Folgen <\/a><\/a>. Die Ursache war kein Bedienfehler im klassischen Sinne und kein mechanisches Versagen. Es war ein Softwarefehler \u2013 einer der ersten, der nachweislich Menschen das Leben kostete und der die bis dahin vorherrschende Naivit\u00e4t im Umgang mit Software in sicherheitskritischen Systemen schonungslos offenlegte.<\/p>\n\n\n\n

Das Versprechen der Perfektion: Eine Maschine, zwei Gesichter<\/h2>\n\n\n\n

Um das Desaster zu verstehen, muss man die Faszination begreifen, die der Therac-25 bei seiner Markteinf\u00fchrung 1983 ausl\u00f6ste. Er war ein Meisterst\u00fcck der Kompaktheit. Als Linearbeschleuniger vereinte er zwei Behandlungsmethoden in einem Ger\u00e4t: Zum einen die Elektronentherapie mit relativ niedrigen Energien (5 bis 25 MeV) zur Behandlung oberfl\u00e4chlicher Tumore, etwa der Haut. Zum anderen die hochenergetische R\u00f6ntgentherapie (Megavolt-Therapie), bei der ein 25-MeV-Elektronenstrahl mit 100-fach h\u00f6herem Strom auf ein Wolfram-Target geschossen wird, um tief im K\u00f6rper liegende Tumore zu bek\u00e4mpfen <\/a><\/a>.<\/p>\n\n\n\n

Diese Dualit\u00e4t war innovativ, aber auch riskant. Die physikalischen Anforderungen beider Modi sind fundamental verschieden. Im R\u00f6ntgenmodus muss ein Ablenkmagnet (Bending Magnet) den Strahl auf das Target lenken; im Elektronenmodus wird der Strahl hingegen weit gef\u00e4chert, um eine gro\u00dffl\u00e4chige Behandlung zu erm\u00f6glichen. Eine Verwechslung \u2013 also der volle, ungefilterte Elektronenstrahl im R\u00f6ntgenmodus \u2013 w\u00e4re katastrophal.<\/p>\n\n\n\n

AECL ging einen radikalen Schritt. W\u00e4hrend die Vorg\u00e4ngermodelle Therac-6 und Therac-20 noch auf elektromechanische Verriegelungen (Interlocks) setzten, die physikalisch verhinderten, dass der Strahl im falschen Modus ausgel\u00f6st werden konnte, vertraute der Therac-25 bei diesen sicherheitskritischen Pr\u00fcfungen erstmals vollst\u00e4ndig auf seine Software <\/a><\/a>. Diese Entscheidung, getrieben vom Wunsch nach Designvereinfachung und Kostensenkung, sollte sich als fataler Irrglaube an die Allmacht des Codes erweisen.<\/p>\n\n\n\n

Die Chronologie eines Grauens: Wenn der K\u00f6rper schreit<\/h2>\n\n\n\n

Die erste bekannte Trag\u00f6die ereignete sich am 3. Juni 1985 in der Kennestone Regional Oncology Clinic in Marietta, Georgia. Die 61-j\u00e4hrige Brustkrebspatientin Katie Yarborough lag unter dem Therac-25. Nach der Bestrahlung sp\u00fcrte sie einen heftigen Schlag, eine \u201eHitze, die wie nie zuvor\u201c in ihren K\u00f6rper fuhr. Sie schrie, wollte aufspringen. Die Bedienerin, die den Vorfall \u00fcber die Gegensprechanlage mitbekam, beruhigte sie: „Nur ein kleines Problem mit der Mechanik, nichts Schlimmes“ <\/a>.<\/p>\n\n\n\n

Es war etwas Schlimmes. Yarborough erlitt schwere Strahlenverbrennungen an der Brust und am Arm. Der Arm sollte f\u00fcr immer gel\u00e4hmt bleiben, die betroffene Brust musste sp\u00e4ter amputiert werden. Sie hatte eine Strahlendosis erhalten, die um ein Vielfaches \u00fcber der verordneten lag <\/a>.<\/p>\n\n\n\n

Es folgten weitere Vorf\u00e4lle: Im Juli 1985 im Ontario Cancer Institute in Kanada, im Dezember 1985 im Yakima Valley Memorial Hospital in Washington. Im M\u00e4rz und April 1986 dann die beiden Todesf\u00e4lle im East Texas Cancer Center in Tyler. Der 33-j\u00e4hrige Ray Cox wurde am 21. M\u00e4rz 1986 bestrahlt. Als der Schmerz ihn durchfuhr, versuchte er, sich vom Behandlungstisch zu rei\u00dfen. Er verstarb Wochen sp\u00e4ter unter qualvollen Umst\u00e4nden. Sein Mitpatient, der 66-j\u00e4hrige Verdon Kidd, erlitt das gleiche Schicksal nur wenige Wochen darauf <\/a><\/a>. Im Januar 1987 starb in Yakima ein weiterer Patient. Die Tabelle der Opfer liest sich wie ein d\u00fcsterer Logbucheintrag eines Serienkillers <\/a>.<\/p>\n\n\n\n

Das unsichtbare Gift: Der Tanz der Bit-Fehler<\/h2>\n\n\n\n

Die Untersuchungen f\u00f6rderten ein erschreckendes Bild zutage. Der Fehler lag nicht auf der Hand. Er trat nur unter bestimmten, seltenen Bedingungen auf \u2013 einem perfekten Sturm aus menschlichem Verhalten und maschineller Logik. Die Software des Therac-25, geschrieben in Assembler f\u00fcr einen PDP-11-Computer, litt unter mehreren schwerwiegenden Konstruktionsfehlern.<\/p>\n\n\n\n

Der Hauptschuldige war eine sogenannte „Race Condition“. Trat sie auf, \u00fcbersprang die Software eine entscheidende Sicherheitspr\u00fcfung f\u00fcr die Position des Ausbrechers (der den Strahl im Elektronenmodus aufweitet) und des Targets <\/a><\/a>. Das Szenario: Ein erfahrener Bediener gab die Behandlungsparameter ein. Dabei konnte es vorkommen, dass er versehentlich zuerst den R\u00f6ntgenmodus (X) anw\u00e4hlte, dies bemerkte und innerhalb von acht Sekunden auf Elektronenmodus (E) korrigierte. Genau in diesem Fenster, in dem das System die \u00c4nderung der physikalischen Komponenten (wie das Einschwenken des Targets) verarbeitete, konnte die Dateneingabe des Bedieners die Software verwirren. Die Folge: Das System ging f\u00e4lschlicherweise davon aus, dass der R\u00f6ntgenmodus mit seinem niedrigen Strom aktiv sei, schaltete aber tats\u00e4chlich den Elektronenmodus \u2013 also den 100-fach h\u00f6heren Strom \u2013 frei, w\u00e4hrend sich das strahlabschw\u00e4chende Target noch au\u00dferhalb des Strahlengangs befand <\/a><\/a><\/a>.<\/p>\n\n\n\n

Ein weiteres Symptom des Software-Versagens war die uns\u00e4gliche Fehlerbehandlung. Trat ein Problem auf, spuckte das System eine kryptische Meldung aus: „MALFUNCTION“ gefolgt von einer Zahl zwischen 1 und 64. Das Benutzerhandbuch erkl\u00e4rte diese Codes nicht einmal. Die Bediener lernten, dass ein Druck auf die „P“-Taste (f\u00fcr „Proceed“) den Fehler oft zur\u00fccksetzte und die Behandlung fortgesetzt werden konnte. Im Falle des t\u00f6dlichen Fehlers (oft „Malfunction 54“) schien dies ebenfalls zu funktionieren \u2013 nur mit dem Unterschied, dass die Maschine nun mit voller Kraft weiterstrahlte <\/a><\/a>.<\/p>\n\n\n\n

Systemisches Versagen: Die Wurzeln des Desasters<\/h2>\n\n\n\n

Die Therac-25-Katastrophe war kein Ungl\u00fcck, das auf einen einzelnen Programmierfehler zur\u00fcckging. Sie war das Ergebnis einer ganzen Kette von systemischen Fehlern in der Unternehmenskultur und der Ingenieurspraxis der 1980er Jahre.<\/p>\n\n\n\n

Erstens: Der fatale Vertrauensvorschuss. AECL entfernte die bew\u00e4hrten Hardware-Interlocks, weil sie teuer und wartungsintensiv waren, und \u00fcbertrug ihre Sicherheitsfunktion eins zu eins auf die Software. Dies geschah, ohne zu verstehen, dass Software grunds\u00e4tzlich anderen Versagensmustern unterliegt als Mechanik. Ein Riegel f\u00e4llt entweder oder er f\u00e4llt nicht. Software kann in unendlich vielen, nicht vorhersehbaren Zust\u00e4nden versagen <\/a><\/a>.<\/p>\n\n\n\n

Zweitens: Die S\u00fcnden der Wiederverwendung. AECL r\u00fchmte sich, bew\u00e4hrten Code aus den Vorg\u00e4ngermodellen Therac-6 und Therac-20 wiederzuverwenden. Man ging davon aus, dass Code, der in diesen Ger\u00e4ten jahrelang fehlerfrei lief, auch sicher sei. Was man \u00fcbersah: Die alten Ger\u00e4te hatten noch die Hardware-Interlocks. Die Softwarefehler existierten dort bereits, blieben aber folgenlos, weil die Mechanik sie abfing. Im Therac-25, wo diese Schutzmechanismen fehlten, wurden die jahrelang schlummernden Bugs mit einem Mal t\u00f6dlich <\/a><\/a>.<\/p>\n\n\n\n

Drittens: Mangelnde Tests und Arroganz. Die Software wurde nie umfassenden Tests unterzogen. Unit-Tests, Integrationstests \u2013 Fehlanzeige. AECL verlie\u00df sich auf vage Systemtests vor Ort. Als die ersten Beschwerden aus Marietta und Ontario kamen, reagierte das Unternehmen mit Unglauben und Arroganz. Man schob die Schuld auf die Bediener (\u201eZu schnelle Eingaben\u201c, \u201eBedienfehler\u201c) und weigerte sich beharrlich, einen Systemfehler einzur\u00e4umen <\/a><\/a>. Erst als die US-amerikanische Gesundheitsbeh\u00f6rde FDA (Food and Drug Administration) 1986 eingriff und die Stilllegung aller Ger\u00e4te anordnete, lenkte AECL ein <\/a><\/a>.<\/p>\n\n\n\n

Das Erbe des Schreckens: Die Geburt der Software-Sicherheit<\/h2>\n\n\n\n

Der Therac-25 wurde zu einem watershed moment \u2013 einem Wendepunkt \u2013 f\u00fcr die Softwaretechnik und die Medizinger\u00e4teindustrie. Die Untersuchungen, insbesondere die akribische Arbeit der Informatikerin Nancy Leveson, die den Fall bis ins kleinste Detail sezierte, wurden zur Pflichtlekt\u00fcre f\u00fcr ganze Generationen von Ingenieuren <\/a><\/a>.<\/p>\n\n\n\n

Die Lehren waren schmerzhaft, aber notwendig:<\/p>\n\n\n\n