La machine affichait une simple erreur. Dans la salle, le patient disait qu’il brûlait.

Le 21 mars 1986, au centre de traitement du cancer de Tyler, au Texas, un homme s’allonge sur le ventre pour sa neuvième séance. Il connaît déjà la pièce, le bourdonnement de l’appareil et le temps qu’il faut rester immobile.

L’opératrice quitte la salle blindée et referme la porte. À son clavier, elle entre rapidement les paramètres prescrits. Une lettre est mauvaise : elle a tapé le mode rayons X au lieu du mode électrons. L’erreur est banale. Elle remonte d’une ligne, la corrige, vérifie le reste et lance le faisceau.

La machine s’arrête presque aussitôt. Sur l’écran apparaît un message laconique : « Malfunction 54 ». La console indique surtout que la dose reçue serait très inférieure à celle demandée.

Les petits arrêts sont fréquents sur cet appareil. Jusqu’ici, ils n’ont coûté que du temps. L’opératrice appuie donc sur la touche qui permet de reprendre.

Dans la pièce, le patient vient pourtant de sentir un choc et une chaleur brutale dans le dos. Il commence à se relever. Le deuxième déclenchement lui traverse le bras. Il se précipite vers la porte et frappe.

Ce jour-là, l’écran vidéo est débranché et l’interphone ne fonctionne pas.

Le message n’avait pas l’air assez grave pour arrêter la journée

Lorsque la porte s’ouvre enfin, l’homme est secoué. Il décrit une sensation de café brûlant versé sur son dos. Un médecin observe une rougeur intense, mais personne n’imagine encore ce qui vient de se produire.

Le physicien de l’hôpital contrôle l’étalonnage du Therac-25. Tout paraît normal. Le code affiché n’est pas expliqué clairement dans la documentation disponible. Un technicien du fabricant précisera plus tard qu’il pouvait signaler une dose trop faible ou trop forte. À Tyler, la console, elle, montre une sous-dose.

L’appareil traite donc d’autres patients le reste de la journée.

Le lendemain, des ingénieurs d’Atomic Energy of Canada Limited, le fabricant, viennent effectuer des essais. Ils ne reproduisent pas la panne. Selon le récit du physicien de Tyler, on lui assure qu’un surdosage n’est pas possible.

Le patient rentre chez lui, puis son état se dégrade. La douleur gagne son cou et son épaule. Son bras gauche cesse de fonctionner. Les lésions neurologiques progressent jusqu’à la paralysie. Il mourra cinq mois après la séance.

Des simulations permettront d’estimer qu’une zone minuscule de son corps a pu recevoir, en moins d’une seconde, des dizaines de fois la dose prévue pour tout son traitement.

Trois semaines plus tard, la même opératrice voit revenir le même nombre

Le 11 avril, un deuxième homme est installé pour traiter un cancer de la peau sur le côté du visage. L’opératrice entre les données. Encore une fois, elle corrige rapidement le mode rayons X en mode électrons.

Elle lance le faisceau. La machine produit un bruit assez fort pour passer dans l’interphone, réparé depuis le premier accident. Puis elle s’arrête.

« Malfunction 54 ».

L’opératrice se précipite dans la salle. Le patient gémit et arrache les bandes qui maintiennent sa tête. Il parle de feu sur le visage, d’un éclair, d’un grésillement semblable à de la nourriture dans une poêle. Il demande encore et encore ce qui vient de lui arriver.

Cette fois, le physicien Fritz Hager retire immédiatement le Therac-25 du service. Le patient meurt trois semaines plus tard après de graves atteintes au cerveau.

Hager ne se contente pas d’un contrôle d’étalonnage. Avec l’opératrice, il reconstruit précisément la suite de gestes effectués au clavier. Il essaie, échoue, recommence. Un détail finit par faire apparaître le code à volonté : il faut corriger les données assez vite.

Autrement dit, la panne se déclenche surtout lorsque la personne qui utilise la machine est devenue très bonne à son travail.

Huit secondes séparaient ce que l’écran montrait de ce que la machine préparait

Le Therac-25 pouvait produire deux traitements différents. En mode électrons, le faisceau était utilisé directement à une puissance adaptée. En mode rayons X, la machine devait placer une cible métallique sur sa trajectoire et produire une énergie beaucoup plus élevée.

Lorsque l’opératrice modifiait très vite le mode après sa première saisie, l’écran enregistrait la correction. Mais une autre partie du programme poursuivait, pendant quelques secondes, la préparation de l’ancien réglage. Les tâches concurrentes ne se mettaient pas toutes d’accord.

La console pouvait donc annoncer que les paramètres étaient vérifiés pendant que le matériel se trouvait dans une configuration incompatible. Le faisceau de très haute énergie partait sans les éléments chargés de le convertir et de le répartir correctement.

Sur l’écran : une ligne corrigée, un statut prêt et un code obscur. Dans la salle : une énergie concentrée là où elle n’aurait jamais dû arriver.

Le défaut existait aussi dans le logiciel d’un modèle antérieur, le Therac-20. Mais cette ancienne machine conservait des verrouillages physiques indépendants. Lorsqu’un élève saisissait une mauvaise combinaison, des fusibles ou des disjoncteurs coupaient l’appareil.

Sur le Therac-25, une partie de ces protections matérielles avait disparu. Le logiciel n’assistait plus seulement la machine : il était devenu sa barrière de sécurité principale.

D’autres patients avaient déjà envoyé les mêmes avertissements

Tyler n’est pas le début de l’histoire. Entre juin 1985 et janvier 1987, six surdosages massifs connus sont associés au Therac-25 aux États-Unis et au Canada.

À Marietta, en Géorgie, une patiente traitée en 1985 ressent une chaleur terrible et affirme qu’on l’a brûlée. Le fabricant répond alors que la configuration décrite ne peut pas se produire. La femme subit des lésions majeures et doit notamment être amputée d’un sein.

À Hamilton, au Canada, une console annonce qu’aucune dose n’a été délivrée. L’opératrice reprend plusieurs fois le traitement. À Yakima, dans l’État de Washington, une patiente développe une marque rouge striée. La cause reste inconnue pendant des mois. Le fabricant écrit que le dommage ne peut provenir ni d’un dysfonctionnement du Therac-25 ni d’une erreur de l’opérateur.

Le problème n’est pas seulement que chaque établissement ignore ce qu’il s’est passé ailleurs. C’est que cette ignorance devient un argument rassurant : puisqu’aucun autre accident n’est connu, la machine ne peut pas être responsable.

Les signaux existent. Ils arrivent simplement séparés, et chacun est rangé dans la catégorie des choses que le fabricant juge techniquement exclues.

Il faudra plus de vingt modifications pour rendre la machine acceptable

Après le deuxième accident de Tyler, le fabricant parvient enfin à reproduire la panne. La première consigne envoyée aux utilisateurs est étonnamment rudimentaire : retirer le capuchon de la touche permettant de remonter dans les paramètres, puis en isoler le contact avec du ruban adhésif.

La FDA juge le ton de cette notification trop faible et exige une véritable action corrective. Le plan final comportera plus de vingt changements touchant le matériel, le logiciel, les manuels et les procédures.

Les messages d’erreur doivent devenir compréhensibles. Certaines pannes qui permettaient une simple reprise doivent désormais suspendre le traitement. Un circuit indépendant du logiciel est ajouté pour couper le faisceau en cas de signal anormal. Les tests et leur documentation sont renforcés.

Mais un autre accident survient encore à Yakima en janvier 1987. Cette fois, la cause est différente : un compteur informatique revient à zéro tous les 256 passages dans une routine de contrôle. Si l’opérateur agit à cet instant précis, une vérification de position peut être sautée. Le patient reçoit un nouveau surdosage massif.

Ce deuxième défaut détruit la dernière explication confortable. Le Therac-25 n’avait pas une malchance isolée cachée dans son clavier. Il avait été conçu de telle manière que plusieurs erreurs logicielles pouvaient atteindre directement un corps humain.

Depuis, le Therac-25 sert encore. Mais plus à soigner

L’appareil est devenu un cas d’école dans l’ingénierie des systèmes critiques. On l’étudie dans les formations en informatique, en médecine, en ergonomie et en sécurité parce qu’il montre ce qui arrive lorsqu’une interface rassurante prend la place d’une protection réelle.

L’opératrice de Tyler n’a pas injecté une valeur absurde. Elle a corrigé une faute de frappe. Le physicien n’a pas négligé un test évident. Il a contrôlé ce que les instruments lui permettaient de contrôler. Les patients n’ont pas été victimes d’une machine devenue soudain folle, mais d’un système entier qui avait appris à considérer ses propres alertes comme du bruit.

Le code « Malfunction 54 » ne disait pas ce qui venait de se passer. Les patients, eux, l’avaient compris avant tout le monde.

À lire ensuite

Elles brillaient dans le noir. Puis leurs os ont commencé à lâcher.
Le lac n’a pas débordé. Pourtant, au matin, des villages entiers étaient morts.
La guerre était finie depuis vingt-neuf ans. Il attendait encore l’ordre de déposer les armes.