Máy xạ trị Therac-25 gây ít nhất sáu sự cố quá liều phóng xạ nghiêm trọng, có bệnh nhân tử vong, do lỗi phần mềm khi khoá liên động phần cứng bị loại bỏ. Phân tích các thất bại về kiểm thử, xử lý phản hồi người dùng và trách nhiệm chất lượng của nhà sản xuất.
Theo các tài liệu phân tích, nhà sản xuất không có rà soát phần mềm độc lập, kiểm thử tập trung vào phần cứng, và máy không được kiểm thử như một hệ thống hoàn chỉnh trước khi lắp đặt tại bệnh viện. Control Quality cần kế hoạch kiểm thử dựa trên rủi ro, gồm các kịch bản thao tác nhanh, lỗi nhập liệu và tương tác đồng thời.
Phản ánh từ bệnh viện là dữ liệu chất lượng quý giá nhất, nhưng bị phủ nhận thay vì phân tích nguyên nhân gốc. Quy trình xử lý khiếu nại và báo cáo sự cố là một phần của Manage Quality; phủ nhận mà không điều tra làm sự cố lặp lại ở nhiều nơi.
Thông báo mơ hồ khiến người vận hành không thể đánh giá mức nguy hiểm. Đây là thất bại về xác nhận (validation): sản phẩm không phù hợp cách người dùng thực sự làm việc — một yêu cầu chất lượng phải được đặc tả và kiểm thử với người dùng thật.
Dùng FMEA (phân tích dạng và tác động của sai hỏng) cho mọi thay đổi loại bỏ lớp bảo vệ; đưa kết quả vào kế hoạch quản lý chất lượng và sổ đăng ký rủi ro, có phê duyệt của chuyên gia an toàn độc lập.
Không phát hành khi chưa đạt toàn bộ tiêu chí:
Mọi lỗi có thể gây hại cho người dùng phải được đóng và kiểm chứng lại; ngưỡng chấp nhận là 0.
Chạy kịch bản trên máy lắp ráp đầy đủ, gồm thao tác nhanh, sửa thông số giữa chừng và lỗi nhập liệu.
Mã liên quan an toàn được rà soát bởi người không tham gia viết, có biên bản.
Giữ hoặc bổ sung cơ chế an toàn độc lập với phần mềm (khoá phần cứng, giới hạn vật lý) để một lỗi đơn lẻ không thể gây hại.
Mọi báo cáo bất thường từ hiện trường phải được ghi nhận, điều tra bằng 5 Whys/biểu đồ xương cá, có thời hạn và thông báo kết quả cho tất cả khách hàng dùng cùng thiết bị.
Thông báo phải nói rõ mức độ nguy hiểm và hành động cần làm; thử nghiệm khả năng sử dụng với kỹ thuật viên thật trước khi phát hành.
Chất lượng phần mềm an toàn không thể "kiểm thử mà có" ở cuối dự án: nó đến từ phân tích mối nguy, phòng vệ nhiều lớp, kiểm thử hệ thống thực sự và một tổ chức coi mỗi phản ánh của người dùng là bằng chứng cần điều tra, không phải lời phàn nàn cần bác bỏ.
Bạn chọn phương án nào?