采用系统理论的方法从质子放疗中的不良事件中吸取教训

《Safety Science》：Using a systems-theoretic approach to learn from an adverse incident in proton radiation therapy

　　娜塔莉亚·西尔维斯-西维迪詹
计算机科学系，自由大学，De Boelelaan 1111，1081HV 阿姆斯特丹，荷兰

**摘要**
放射治疗（RT）是一种高效的治疗癌症的方法，需要跨学科团队、患者数据、复杂的机器和软件。尽管放射治疗中的事故很少见，但每天仍会发生一些虽然不严重但潜在危险的事件。针对放射治疗的风险管理指南建议对这些不良事件进行彻底分析，以获取学习经验。目前，对于哪种事故分析方法最适合这一目标尚未达成共识。

我们使用了STAMP（系统理论事故模型与过程）因果模型和CAST（基于系统理论的因果分析）方法，来分析在新治疗流程启动后不久发生在一家放射治疗机构中的不良事件。此前，该机构已使用PRISMA（预防和恢复信息监测与分析系统）这一在医疗领域广泛使用的根本原因分析方法对该事件进行了分析，但我们未参与该分析，因此也无法获取相关文件。CAST分析完成后，我们采访了熟悉PRISMA分析的领域专家，并比较了两种方法的结果。比较发现，尽管从不同角度出发，两种方法识别出的因果关系和相应的纠正措施类似。然而，CAST还发现了新的由人机交互引起的因果场景，超出了通常仅由人为错误造成的情况，并提出了针对放射治疗部门之外的相关方（包括安全监管机构和制造商）的纠正措施。此外，这项实验还展示了系统理论方法在新的放射治疗流程早期安全评估中的潜力。遗憾的是，时间压力带来的危险，例如重复使用旧流程中的安全相关工具，仍然是一个挑战。

据我们所知，这是首次在放射治疗领域应用CAST的方法。研究结果应鼓励放射治疗专业人员采用STAMP来评估新流程和现有流程的安全性，并最大限度地从不良事件中学习。

**1. 引言**
放射治疗（RT）与手术和化疗并列为癌症患者的三大主要治疗手段之一。在外照射放射治疗中，高能粒子束被用来破坏肿瘤的DNA，使其无法修复。放射治疗是一个复杂且涉及多学科的过程，涉及多种资产和利益相关者，如计算机控制的粒子加速器、数字文件和纸质文档，以及临床和技术人员（肿瘤学家、医学物理师、放射治疗技术员、工程师和护士），还有制造商、供应商和安全机构。其目标是通过高效地向肿瘤输送高剂量辐射来达到最佳治疗效果，同时保护健康组织。毫不夸张地说，这个高精度过程中的任何小错误都可能使患者面临风险。过去发生的一些著名事故损害了公众对计算机控制放射治疗行业的信任（Borrás, 2006; Leveson and Turner, 1993; Silvis-Cividjian, 2024; Bogdanich, 2010; Williams, 2007）。幸运的是，所有利益相关者都从这些不良事件中吸取了教训，如今放射治疗已成为一个受到严格监管的安全流程（Guide, 2018; Olch, 2014），致命事故非常罕见。然而，实际上每天仍会发生一些不那么严重的事件或险些发生的事故（Kn??s, 2017; Ford and Evans, 2018; Oelofse et al., 2021）。放射治疗事故被定义为导致或可能导致患者接受治疗时出现剂量错误的事件或一系列事件（Yeung et al., 2005）。好消息是，这些相对频繁的事件对患者的临床影响通常很小或不存在（Wong and Pawlicki, 2025）。但同时，任何事故都可能揭示出放射治疗流程设计中的危险漏洞。因此，许多组织（如美国医学物理学家协会（AAPM）、国际原子能机构（IAEA）和欧洲放射治疗与肿瘤学会（ESTRO）建议报告并彻底分析放射治疗事故，以获得学习经验。许多国家的放射治疗风险管理指南建议对所有不良错误事件和险些发生的事故进行事后（回顾性）分析，以确定其原因并防止其再次发生（欧盟委员会：能源总司，2015）。问题在于，放射治疗是一个复杂的流程，其质量指标在患者治疗量、安全性和培训方面存在冲突（Salma et al., 2025），进行彻底的事故分析所需的资源可能并不总是可用。另一个问题是，不同机构的放射治疗组织在事故报告和分析方面的安全文化和风险管理政策存在很大差异。因此，在许多机构中，当事件被分析时，其原因往往被简单归结为“人为错误”（Oelofse et al., 2021; Zarei, Gershan, and Holmberg, 2023）。

在这种情况下，研究哪种安全分析方法最适合用于放射治疗不良事件的回顾性分析是有意义的。这里所说的“最佳方法”是指在快速性、易学性和易操作性（所需领域知识少、资源少）以及有效识别事故因果关系和生成纠正措施方面表现优异的方法。候选方法包括医疗领域广泛使用的定量因果分析方法（如故障树分析（FTA）（Ekaette et al., 2007）和根本原因分析（RCA）（Brook et al., 2015, Wu et al., 2008），以及相对较新的系统理论模型——系统理论事故建模与过程（STAMP）（Leveson, 2004），但该模型尚未被纳入放射治疗安全指南。STAMP的新颖之处在于它通过系统理论和控制理论来分析安全问题，而非传统的可靠性理论。与其他范式不同，STAMP将分析过程视为一个由控制器和被控制过程组成的系统，这些控制器之间通过控制动作和反馈进行互动，如图1所示。控制器可以是任何东西——软件模块、硬件模块或人类操作员。重要的是，控制器负责维护安全，并有能力决定并作用于其他控制器或控制过程，从而改变其状态。控制器通过执行器对受控过程执行控制动作，并通过传感器获取有关受控过程的反馈信息。

**图1. 道德模型放射治疗过程的结构**：控制器位于受控过程之上，控制动作用上下箭头表示，反馈用向下箭头表示。例如，图1展示了一个仅使用一个控制器（即放射治疗部门）的非常高级的控制结构。其作用是向癌症患者输送辐射。控制器包括创造和提供规定放射治疗所需的所有人员和设备。放射治疗部门具有启动和停止辐射束的两个重要控制功能。控制动作是动词，通过医疗直线加速器等执行器实现。放射治疗师通过剂量计获取患者已接受的辐射剂量信息，并通过视频和音频通信了解患者的状况。剂量计、摄像头和麦克风是传感器。反馈是名词（如剂量和患者状态）。基于这些反馈，控制器创建了一个描述受控过程状态的过程模型。对于人工控制器而言，可以使用心理模型的概念；例如，如果剂量计显示剂量足够低且患者处于静止状态，则认为情况正常。具体需要采取哪些控制动作由控制器中的控制算法决定。例如，当剂量达到或超过肿瘤学家规定的值，或摄像头和麦克风显示患者出现不适时，控制器会发出停止治疗的指令。

在这种整体方法中，安全被视为一个系统属性，而不是由具体组件保障的。如果这些约束被违反、未得到充分执行，甚至根本不存在，系统将从安全运行状态转向可能的事故状态。事故不是由单一的硬件、软件或人为故障引起的，而是由控制缺陷造成的。换句话说，如果发生了事故，说明某些本应防止事故的控制器没有发挥应有的作用。首先需要回答的问题是“哪些控制器没有发挥应有的作用？”

与其他传统方法（如FMEA或FTA）不同，STPA关注的是不安全的控制动作（UCAs），而不是错误或危险因素本身。在STAMP中，重要的是找出为什么本可以防止事故的控制器会采取某种行动。这些因果场景有助于了解如何重新设计系统，甚至设计出更强大的新系统，防止类似事故再次发生。

目前有两种基于STAMP模型的安全分析技术：基于系统理论的因果分析（CAST）用于事后分析事故原因；以及系统理论过程分析（STPA）用于主动风险分析。过去十年间，越来越多的科学证据表明，这些新技术在澄清现代事故原因和发现新系统风险方面优于传统方法（Ishimatsu et al., 2014; Alemzadeh et al., 2015; Allison, Revell, Sears, and Stanton, 2017; Kwon and Leveson, 2017; Abdulkhaleq et al., 2017; Zhang et al., 2022; Hulme et al., 2019; Li et al., 2019; O'Neil, 2014; Yamaguchi and Thomas, 2019, Oginni et al., 2023）。然而，在放射治疗领域应用STAMP的评估实验很少。少数作者报告了使用STPA进行主动风险分析的情况（Pawlicki et al. 2016; Blandine 2013; Silvis-Cividjian, Verbakel, and Admiraal 2020; Wong and Pawlicki 2022; Radiotherapy and Oncology, 2024; Hindmarsh et al., 2026）。据我们所知，除了O’Neill在其毕业论文中的研究（O'Neil and Marie, 2014）外，目前尚无关于应用CAST进行事后事故分析的发表文章。

本文旨在丰富这一有限的STAMP-RT研究领域，通过报告在一家新的质子放射治疗机构中应用CAST分析一起不良事件的情况。该事件属于“剂量错误”类型，影响了两名癌症患者。该事件立即由诊所的安全管理团队使用PRISMA（预防和恢复信息监测与分析系统）进行了分析，这是一种在医疗领域广泛使用的根本原因分析方法（Driesen et al., 2022）。

本文的其余部分安排如下：第2节将简要介绍放射治疗过程，并解释质子治疗与传统放射治疗的区别，因为这种差异对于理解事件的原因至关重要。第3节将逐步描述几年后进行的CAST分析过程，以评估其可行性。第4节将讨论CAST分析的结果，旨在回答以下研究问题：
RQ1：CAST应用于放射治疗事故时如何发挥作用？
RQ2：与PRISMA等其他传统事故分析方法相比，CAST在放射治疗中是否能带来新的发现？
最后，第5节将总结我们的结论和未来工作的想法。尽管我们未能完全分析这起事件，但我们相信这些初步结果将鼓励其他放射治疗（RT）从业者采用CAST作为进行事件调查的辅助或主要工具，最终目标是提高全球癌症治疗的质量。此外，我们的分析表明，如果及早采用STPA，它有潜力预防类似的事故，并主动评估新的RT过程的安全性。

**2. 放射治疗基础**
在外部RT中，一束带电粒子被加速到高能量，然后非常精确地指向肿瘤。这些带电粒子可以有不同的类型——电子、光子（或X射线），或者最近的质子。质子治疗是一种相对较新的技术，它有望实现更高的能量传递控制度和更高的患者生存概率（Mohan和Grosshans 2017）。然而，目前并非所有发达国家都拥有质子治疗中心。尽管第一个质子治疗中心于1990年开放，但其广泛应用仍在缓慢推进（Vincini等人2023）。例如，在2023年，只有106个中心能够提供质子放射治疗，非洲没有任何中心，南美洲仅有一个正在建设中。相比之下，全球有超过8000个传统X射线放射治疗设施。因此，目前接受放射治疗的患者中不到1%接受了质子治疗（Yan, Ngoma, Ngwa和Bortfeld 2023）。
对于特定患者所需的粒子类型，取决于癌症的类型、肿瘤的位置、患者的年龄等因素（Khan 2003）。例如，电子在接近皮肤表面的地方释放能量，常用于治疗表皮肿瘤，如皮肤癌、瘢痕疙瘩和某些淋巴结。对于更深的肿瘤，通常使用光子（也称为X射线）束。光子和电子治疗是在直线加速器（linac）中进行的。而质子治疗则需要另一种称为回旋加速器的机器。
无论使用哪种类型的粒子，期望的结果始终相同——治疗后肿瘤会显著缩小甚至消失，同时风险器官（OAR）和健康组织得以保留。为实现这一目标，采用了一种交叉照射方法，即从不同方向对肿瘤进行照射（见图2a），以在肿瘤处积累最大的剂量。这种照射方式是通过旋转机器的机架来实现的，患者则位于治疗床上（见图2c）。

**3. 应用CAST分析质子RT中的不良事件**
**3.1. 方法论**
CAST团队由一名对RT领域了解不深的软件工程师组成，该工程师此前有在RT中应用STPA的经验（Silvis-Cividjian等人，2020），他被称为CAST负责人，以及两名来自RT组织的领域专家，他们也擅长安全和风险管理，并且熟悉该事件。团队遵循了Leveson（Leveson 2019）手册中描述的CAST方法步骤，这些步骤也在图3中示意。团队共召开了三次会议，每次会议持续时间约为1-1.5小时。第一次会议是为了了解事件的具体情况；第二次会议用于审查控制结构；第三次会议则用于交流CAST制定的纠正措施，并将其与现有的PRISMA报告进行比较。除了面对面的会议外，团队成员还分别工作以创建控制结构并审查彼此的工作。此外，CAST负责人还与负责PRISMA事件调查的安全官员进行了长达1小时的访谈，并查阅了相关的旧文档。

**3.2. CAST步骤1：收集基本信息**
在第一次会议中，CAST负责人通过采访熟悉该事件的RT从业者收集了相关信息。在这个阶段，只有事实是重要的，因为我们从CAST教程中了解到必须避免做出判断。在采访中提出了一些简单的问题以澄清事件经过。

**第一次采访的记录**
第一个问题是：发生了什么？领域专家首先指出，一名医学物理师（MP）在TPS（治疗计划软件）中输入了治疗床材料密度的错误值。输入的密度为1.8克/立方厘米，而正确值应为0.18克/立方厘米。这个错误是隐性的，即在一段时间内TPS中保持错误值，但对所有在该类型治疗床上接受治疗的患者都没有造成问题。事件发生在一家新的质子治疗中心开业后不久，在几次肺癌质子治疗过程中发生了多次。问题虽然被发现了，但并非立即被察觉。结果，最终有两名患者接受了错误的辐射剂量。
CAST负责人的下一个问题是：为什么只有两名患者受到影响，而不是在该治疗床上接受治疗的所有患者？原因是只有那些需要接受肺部放射治疗的患者受到了影响，此时机架位于治疗床下方，这种情况如图4所示。在这种情况下，治疗床充当了来自机架的质子束的衰减器，床的材料类型起到了重要作用。这一点非常有趣，因为分析人员可能会假设机架应该位于患者上方才会导致这种错误。

**图4. 事件发生情况的示意图**
需要明白的是，TPS是一种软件模拟工具。为了使治疗成功，所有TPS参数必须与实际情况相符。在这起事件中，情况并非如此；患者被放置在材质与TPS中指定的不同的治疗床上。错误的床材规格导致质子击中了患者体内的其他部位，从而造成了两种伤害：肿瘤处的辐射暴露不足，使癌细胞得以存活；以及风险器官或健康组织的辐射过度暴露，这可能破坏了健康细胞并可能在那些区域引发新的癌细胞。

第三个问题是：这个错误是如何被发现的？后来是一名新来的MP偶然发现的。为什么？因为这名MP对情况感到好奇，想要了解整个过程，因此仔细检查了优化的每个步骤。

从这次采访中我们了解到，RT部门的普遍观点认为事件的根本原因是人为错误。用CAST的语言表达就是，MP在TPS中输入了错误的值。但我们并未就此止步，而是试图理解：（1）为什么一位资质很高的MP会在TPS中输入错误值；（2）为什么没有其他人或机制阻止这个错误进一步影响到患者。我们惊讶地发现，MP并没有直接输入密度数值，而是TPS用户界面中自动出现了一个默认值，MP只是点击了“确定”确认了它。

我们还询问了是否能够测量患者接收到的剂量。答案是否定的，因为与X射线治疗不同，质子治疗中技术上无法直接测量剂量。另外，我们还询问了QA团队是否在机架位于治疗床下方的情况下测试过系统。他们没有这样做，因为传统X射线治疗中从未进行过这样的测试。QA团队仅在机架位于患者上方的位置测试过系统。在质子治疗中，也很难测量机架其他位置的剂量。

接下来询问了新的质子治疗过程是否进行了主动风险分析。他们使用了失效模式与效应分析（FMEA），这是一种被多种RT标准推荐的常用风险分析方法。由于质子治疗设施是新建的，许多方面（如FMEA风险分析、计划检查程序、QA程序）都是从“传统”的X射线治疗中借鉴而来的。我们还询问了管理层是否存在急于启用新设施的时间压力。答案是肯定的。最后，还询问了安全文化的相关情况：事件是否被报告？员工是否被鼓励报告组织内发生的事件？事件是否得到了分析？是否有代表供应商的软件工程师参与了PRISMA调查？该事件确实被报告并在不同论坛和社区中进行了分享。安全管理团队在事件发生后立即使用PRISMA进行了分析。调查过程中没有软件工程师在场。

在听取了事件经过后，CAST负责人进一步收集了关于质子治疗过程的技术信息。重要的是要认识到，新的质子治疗与传统的X射线/电子治疗有所不同。首先，如图5所示，虽然光子在穿过患者身体时逐渐失去能量，但质子几乎在身体的某一个位置（理想情况下是肿瘤）就失去了所有能量，这一点通过更明显的布拉格峰（Bragg’s peak）得到体现（Mohan和Grosshans 2017）。能量释放的位置取决于射线的能量以及射线路径中的衰减器，例如治疗床和其他人体组织。这意味着，如果质子的能量设置不正确，或者衰减器（如治疗床）的规格有误，质子就会在患者身体的其他位置释放能量，最可能的结果是肿瘤照射不足，同时周围的健康组织（OARs）可能会受到过度照射。这两种情况都非常不理想且危险。这说明，在质子治疗中，如果治疗床材料密度值的输入错误，其后果比在传统治疗中更为严重。

另一个区别在于，在技术上，测量患者所受辐射剂量的可能性在质子治疗中更为受限。对于光子来说，大部分光子能够穿过患者身体，因此可以用来监测患者受到的剂量；而对于质子而言，大部分质子会在患者体内被吸收，出射剂量很小，因此对于估计患者层面的剂量帮助不大。这是放疗领域已知的一个局限，目前正在进行相关研究以解决这一问题。

关于PRISMA，我们了解到这是一种广泛应用于医疗领域的根本原因分析方法，它包含三个步骤（Driesen等人2022年）。首先，使用因果树来描述事件的时间顺序链。该树的顶部是对事件的简要描述。通过不断问“为什么？”这个问题，树中会不断分出新的分支，最终以根本原因作为叶子节点出现。接下来，将这些根本原因分为四类：技术因素、组织因素、人为因素以及其他因素（如与患者相关因素）。最后一步与其他事件分析方法相同，即寻找可能的缓解措施和策略，以防止最严重的根本原因。

我们还了解到，PRISMA与CAST在解释事故因果关系的方法上有所不同。PRISMA专注于单一事件，并且对事故责任方的划分往往是定性的和/或分类的；而CAST则关注控制器、控制行动和反馈循环。

基于这些信息，CAST分析首先识别事故或损失、导致损失的高层次危险因素以及被违反的安全约束。主要的事故或损失可以表述如下：

A1. 患者受到初级电离辐射的伤害。

在医疗领域，我们还需要考虑所谓的“第二受害者”效应（Wu 2000），这是由于造成事故的医护人员心理受到伤害，他们可能被错误指责或对错误的治疗感到内疚（Leveson 2024）。因此，我们增加了第二个损失A2：医护人员受到心理伤害。

导致事故的高层次危险因素包括：

H1：患者在肿瘤部位接受了错误的辐射剂量。
H2：患者在健康组织和OARs部位接受了错误的辐射剂量。
H3：医护人员在 treatment planning software（TPS）中输入了错误的数值。

被违反的高层次安全约束是：

- 系统必须始终向患者提供有最佳癌症治疗效果的辐射治疗，同时保护健康组织。
- 放疗团队必须始终在最佳环境中工作。
- 系统绝不能伤害患者，也绝不能伤害放疗团队。

在接下来的部分中，我们将描述我们是如何调查这些约束为何被违反的，以及未来可以采取哪些措施来预防类似事件的发生。

3.3. CAST-步骤2：使用安全控制结构对放疗过程进行建模
CAST通过图形方式对质子治疗过程进行了建模，并创建了首个高层次的控制结构，如图6所示。我们用红色标记了触发事件的治疗设计控制器。

在这个控制结构中，具有相同功能的医护人员、机器和软件被归类到一个控制器中，例如称为“治疗设计”或“治疗交付”。

CAST是一种自上而下的方法，因此我们继续创建了两个更低层次的部分控制结构：一个关注治疗设计控制器，另一个关注治疗交付控制器。在图7所示的治疗设计控制结构中，我们用红色箭头标记了导致系统故障的不安全控制动作。这可以表述为：医疗物理师（MP）在TPS中输入了错误的数据。

这种图形建模的一个优点是，我们可以轻松识别出除了常见嫌疑人之外可能在该事件中起作用的其他控制器。例如，我们将TPS软件也视为一个控制器，因为我们认为TPS在这个事件中起到了关键作用，甚至“帮助”了操作员的错误决策。这表明因果关系问题从典型的“人为错误”转变为“人机交互”类型的错误。问题不在于MP仅仅输入了错误的数据，而在于软件提示了默认值，以及MP过快地验证了这个值。

CAST的另一个优点是，通过直观检查控制结构，可以很容易地发现某个控制循环是否完整（例如是否有缺失的反馈箭头）。这种控制循环中的缺陷可能会为我们提供关于因果关系的线索，从而引发新的问题来询问领域专家。例如，即使MP输入了错误的数据，TPS是否验证了该输入？因为我们认为软件本可以通过拒绝错误的表格密度值并发送警告信息来防止事故发生。遗憾的是，TPS并未触发这一警告。

在图8所示的治疗交付过程控制结构中，我们用红色虚线标出了一些可能的因果场景，例如缺少关于患者治疗期间接受剂量的反馈。

在进行这一分析步骤时，一个反复出现的问题是：我们应在哪个细节层次停止建模过程？我们的建议是继续深入研究，直到找到事故的真正原因。在我们的分析中，最终确定了两个细节层次。不幸的是，由于我们对医院的安全程序不熟悉，我们难以对高于放疗 Clinic 的控制器进行建模。

3.4. CAST-步骤3：分析损失中的每个组成部分
在这一步中，需要问这样的问题：哪个控制器本可以防止事故？它的责任是什么？它对损失有何贡献？这里的“贡献”指的是未能履行的责任。基于此，我们制定了表1。每个对损失的贡献都必须与上一步中设计的控制结构中的某个控制动作相关联。贡献的表述应使用STAMP方法推荐的五个关键词之一（Leveson 2004）：

- 未采取控制动作
- 采取了错误的控制动作
- 控制动作过早/过晚采取
- 控制动作持续时间过长/过短
- 控制动作虽已采取，但从未执行

表1列出了涉及事故的控制器及其对损失的贡献：

| 控制器 | 负责 | 对损失的贡献 |
|-----------------|---------------------------------|---------------------------------------------------------------------------------------------------------------------------|
| 医疗物理师（MP） | 在部门获取新类型的治疗床时在TPS中输入数据 | 1. 未及时验证输入页面，导致错误的表格密度值（1.8 g/cm3而非0.18 g/cm3） |
| | | |
| | （图7，循环1） |
| TPS | 读取输入数据 | 2. 未检测到输入的错误 |
| | | |
| | | |
| | 协助放疗技术员（RTT）设计治疗计划 | 3. 为RTT提供了错误的默认输入 |
| | | |
| | （图7，循环1） |
| | 使用TPS制定治疗计划，并检查计划是否符合肿瘤医生的要求 | |
| | | |
| | 在TPS中选择了错误类型的表格密度 | |
| | | |
| | （图7，循环2） |
| 放疗技术员（RTT） | 使用TPS制定治疗计划 | 4. 未注意到错误的表格密度值 |
| | | |
| | （图7，循环2） |
| 物理项目组（MP和RTT） | 制定治疗计划审批的检查清单 | 5. 未包括检查TPS中表格密度值的程序 |
| | | |
| | （图6，循环1） | |
| | 重复使用了光子治疗的计划检查程序，未根据质子治疗的更高风险进行调整 | |
| | | |
| | | |
| 临床安全管理部门 | 对新流程进行主动危险分析 | 6. 未将错误的输入作为新质子治疗程序的失效模式纳入FMEA分析 |
| | | |
| | | |
| 国家监管安全机构 | 批准医院制定的安全政策 | 7. 在审核新的质子治疗安全程序时未发现该问题 |
| | | |
| | | |
| 供应商 | 设计安全的放疗系统（软件和硬件） | |
| | 调查现场报告的事故 | |
| | TPS软件未验证输入数据的有效性 | |
| | | |
| | （图6，循环4） | |

我们从触发事故的控制器开始分析。这是我们通常认为的嫌疑人，即医疗物理师（MP）。根本事件“MP在TPS中输入了错误的表格密度值”可以用STAMP语言重新表述为：“MP在表格密度值错误的情况下过早地验证了输入页面”。但我们不应止步于此，还需要继续寻找其他可能涉及的控制器。在分析过程中，我们遵循了Leveson（2019）的建议，使用“贡献”而不是“不安全控制动作”这一术语，因为后者被认为对责任方的指责性较小。同时，假设所有人都是出于好意并尽力做好工作，我们应使用更中立的表述方式。

尽管我们试图谨慎表述，但在采访放疗团队时发现，即使使用“未注意到错误输入”这样的表述也可能被视为指责。RTT团队反应称他们无责，因为他们没有接到相关指示，因为这不在他们的职责范围内。分析的下一步将记录这一点。但就目前而言，我们在表1中明确提到了一些控制器没有注意到这个问题，但并不因此责怪他们，因为这并不是他们的职责。做出这样的妥协是因为我们认为提及这些问题非常重要，不能遗漏它们。否则，我们就无法确定事故的因果关系，也无法采取纠正措施来防止将来类似的事件再次发生。表1显示了一些本可以防止该事故的控制器、他们的责任以及他们对损失的影响。请注意，这个表格并不完整。

3.5. CAST-第4步：识别控制结构缺陷（因果情景）
在这一步中，对于表1中前一步识别出的所有因素，需要继续分析并找出因果情景，回答“为什么？”的问题。对于每个控制器，都应该问这个问题：“这个控制器本可以如何防止损失？为什么没有做到？”在很多情况下，答案是控制器没有检测到问题，因为这不是它的职责，或者从技术上来说是不可能的。但我们还发现，在某些情况下，控制器本可以防止事故的发生，但却没有这么做。在这种情况下，了解控制器为什么会这样行动就变得更加重要了。对于我们假设只有良好意图的人类控制器，CAST提供了一种由France和Thomas（Thomas和France，2016年，France和Thomas，2017年）开发的方法论，试图阐明可能影响人类操作员行为的各种心理模型缺陷或情境因素。心理模型缺陷被定义为人类操作员对世界的“认知”与实际情况之间的不匹配。通过这种方式，除了传统方法（如PRISMA）中经典的“为什么？”问题之外，还可以提出更多相关的问题。例如：“你为什么认为你的行动是正确的？”

在表2中，我们列出了不同控制器对损失的主要贡献，以及在某些情况下可能的因果情景。我们使用“可能”这个词是因为在大多数情况下，我们并不确切知道真正的因果情景是什么。尽管CAST帮助我们提出了很好的问题，但大多数问题仍然没有得到解答，因为我们没有机会与所有相关人士进行交流。人们犹豫不参与我们的CAST分析的原因对我们来说并不清楚。可能是由于事故已经发生很久了，或者他们不愿意再次回顾这样的情感事件，又或者他们没有时间和兴趣去改进他们组织中的风险管理政策。无论如何，我们了解到，在放射治疗（RT）事故中采访相关人员是非常困难的，需要大量的外交技巧。我们认为，一种鼓励报告和从事故中学习的开放安全文化，加上CAST社区的更多指导，将有助于未来的调查。

表2. 一些导致事故的控制缺陷及其可能的因果情景：
1. 操作员过早地验证了TPS中的输入页面，没有检查表格密度的值是否正确（应该是0.18，但实际上是1.8）。
- 也许操作员信任软件会在输入错误时发出警告。或者操作员认为1.8这个数字看起来很熟悉，就认为它是正确的。也许操作员急于完成工作，被屏幕上的许多字段分散了注意力，因此过早地按下了验证按钮。我们不知道具体原因。操作员没有回应我们的联系。
2. 物理项目组没有将表格密度作为治疗计划检查清单中的一个项目。
- 也许物理团队认为，如果一个方案检查协议多年来对光子治疗有效，那么对质子治疗也同样有效。他们低估了治疗表格的重要性（认为光子治疗中的表格风险较低），而实际上在质子治疗中，表格非常重要。或者，他们可能认为经验丰富的操作员永远不会出错。此外，TPS的用户界面没有设置一个明显的复选框，要求检查方案的操作员也检查表格密度值。原因是治疗计划非常详细且特定于某个领域，检查所有内容非常耗时。
3. 安全管理团队在风险分析中遗漏了“错误的表格规格”这一故障模式。
- 将其翻译成STAMP语言后，对损失的贡献是：“安全管理团队过早地停止了风险识别。”
- 尽管团队由有能力的安全官员和领域专家组成，但没有一个人将表格视为风险因素。也许他们对操作员的技能和知识过于自信，或者对TPS软件也过于信任。此外，该部门用于FMEA主动分析的工具并没有详细要求操作员检查表格密度。
4. 供应商设计的软件没有验证输入的有效性，甚至为表格密度设置了一个错误的默认值。
- 软件开发者本意是为了节省用户的时间而使用默认值，但他们没有意识到错误的默认值可能带来巨大风险。他们没有意识到RT（放射治疗）是一个高度专业化的领域，与软件工程有很大不同。我们无法确定具体的原因，因为我们无法与他们进行交流。也许他们信任操作员的判断。过多的检查会延迟程序，导致挫败感和疲劳感。

3.6. CAST-第5步：制定安全改进计划
基于前一步识别出的可能因果情景，CAST团队制定了一系列可执行的纠正措施，主要针对RT组织，但也涉及其他相关方，如RT制造商或供应商、卫生监管机构或AAPM（美国加速器物理医学组织）。目的是针对这些因果情景采取措施，防止类似事件在未来再次发生。通过这种方式，CAST有助于实现更安全的流程。

4. 结果与讨论
4.1. 结果
在这项案例研究中，我们主要想回答的问题是：
RQ1：CAST应用于RT（放射治疗）事故时是如何工作的？
首先，CAST需要使用层次控制结构对RT流程进行图形建模，这是任何传统安全分析方法都不需要的步骤。对于新手领域的专家来说，这一步骤显得反直觉且繁琐，尤其是RT是一个既包含机器也包含人员的社会技术系统。RT操作员并不认为自己是控制器或受控过程，也不喜欢使用“层次”和“控制结构”这样的术语。然而，这种图形建模步骤从长远来看有几个很大的优点。首先，它有助于快速找到所有涉及的事故方，并能够轻松揭示系统的因果情景，例如缺失或有缺陷的反馈机制。此外，控制结构有助于将分析范围扩展到通常被认为是人为因素的人之外，以及组织边界之外，而传统方法仅关注组织内部的行动者和组件。

RQ2：与PRISMA等其他传统事故分析方法相比，CAST在RT中的应用是否带来了新的发现？
完成CAST分析后，我们将因果情景和相应的纠正措施与PRISMA的结果进行了比较。为了避免偏见，我们采访了领域专家，询问他们在PRISMA报告中是否有相同的情景和纠正措施。我们发现，尽管使用的方法不同，CAST分析发现的重大因果情景与PRISMA相同，例如操作员认为数字1.8看起来正确；或者由于时间压力和限制，重复使用旧的、类似的主动分析而没有重新计算风险。然而，CAST还发现了一些新的因果情景，超出了“人为错误”的范畴，例如TPS软件为操作员提供了错误的表格密度默认值。这表明软件也可能是导致损失的原因之一。
如果我们的CAST措施与PRISMA中的措施类似，我们就标记为[SIMILAR]；如果PRISMA报告中没有类似的措施，我们就标记为[NEW]。我们还发现了一些灰色区域的情况，即PRISMA提出了措施，但表述方式不同，或者被声明为无法实施。我们将这些情况标记为[SIMILAR～]。接下来，我们检查了PRISMA生成的所有措施是否也出现在我们的CAST分析中。如果没有，我们就将其标记为[MISSING]。以下是一些CAST提出的新建议的例子：
- 对于RT设施：
- 当用于新的治疗过程（如质子治疗）时，系统组件（如治疗表格）的风险可能会发生变化。这意味着现有的风险分析和验证程序需要仔细修订并重新使用，同时考虑新的风险。新的危险分析结果应告知制造商，以便他们相应地调整软件。[NEW]
- RT部门应考虑禁止在TPS中使用“默认”值。[NEW]
- 对于国家安全监管机构：
- RT质量保证（QA）标准操作程序的审核人员不仅应检查是否有相应的程序，还应深入细节，例如检查端到端的QA测试是否涵盖了治疗过程中可能出现的所有情况。理想情况下，审核团队应具备关于RT物理过程及其软件的充分领域知识，就像FDA已经做的那样。[NEW]
- 对于AAPM（美国加速器物理医学组织）：
- 重新审视国际QA建议，增加更多测试覆盖要求。例如，QA团队应在端到端测试中考虑表格材料。此外，他们还应要求在QA过程中测量不同机架角度的辐射剂量，最重要的是在治疗过程中测量患者层面的剂量。[NEW]
- 对于RT供应商/制造商：
- [沟通] RT制造商应参与事故分析过程。[NEW]
- [软件] 软件系统应在治疗过程中可能出现的所有情况下进行测试。软件制造商应更了解他们控制的物理过程，并意识到相关的风险。他们应利用这些风险来指导设计、开发和测试。[NEW]
- [硬件] 需要找到一种技术解决方案，以测量或至少估计接受质子RT治疗的患者层面的辐射剂量。[NEW]
另一方面，我们的比较还发现PRISMA提出了三项CAST没有明确提出的建议。其中一项是关于改善安全文化的：
- 采取措施提高物理团队的安全意识。例如，物理团队应与质量和安全官员共同讨论事故。调整标准操作程序，明确谁在TPS中负责验证新的输入。[MISSING]
其中两项涉及组织内的程序：
- 引入检查清单，帮助项目经理决定何时可以开始实施新流程。这个建议比我们提出的更具体，我们建议只有在流程安全时才能批准，但没有明确经理如何做出这一决定。[MISSING]
- 设计清单版本管理系统，以避免同时存在两个版本的清单。[MISSING]
我们还注意到，PRISMA能够以更符合领域特性的方式提出建议。例如，CAST建议“计划检查表应包括对操作员输入的检查”，因为这是针对这一特定事件可以得出的结论。PRISMA生成了更为普遍的建议“TPS中的所有手动输入都必须进行检查”，因此不仅仅是操作员需要进行检查。这是可能的，因为分析团队对他们的流程有更深入的了解。总共，CAST提出了12项与安全相关的纠正措施，其中5项也是由PRISMA提出的（3项建议类似，2项建议的措辞较为温和或被认为无法实施）。另外7项新的与安全相关的建议主要针对组织外的 parties，如软件制造商和卫生监管机构。PRISMA分析没有涉及这些各方及其相关问题。换句话说，我们认为CAST发现了更多系统性的缺陷，而PRISMA则更关注人为错误的成因。

我们欣赏CAST在制定问题方面提供的额外指导，这些问题可以用来询问参与事件的人工操作员。这有助于揭示人工操作员的心智模型和相关因素。我们在CAST分析中最有趣的发现是，软件不仅可能防止事故的发生，还可能促成事故。例如，当操作员没有输入错误值，而是接受了计算机建议的默认值时，就发生了这种情况！这表明软件也是实时过程中的一个风险因素，因此在危险分析时必须加以考虑。在FMEA、FTA或PRISMA等传统方法的实际应用中，软件通常不在其范围内。即使被包括在内，“缺陷软件组件”这样的故障模式也不够具体。CAST可以更准确地说出具体发生了哪种控制缺陷，例如软件没有提供错误值的警告。

图9中的维恩图总结了我们的发现。下载：下载高分辨率图片（219KB）下载：下载全尺寸图片

图9. 一个维恩图，显示了两种方法PRISMA和CAST生成的安全相关纠正措施之间的比较。

我们注意到CAST对所有控制者的处理方式是一致的。这在某些情况下有助于分担责任，而不是将责备集中在某一个人身上。如果我们意识到引发或参与了事件的人会长期感到懊悔、绝望和内疚，这种处理方式会很有帮助。听到其他控制器（在这种情况下是软件）也可能防止事故发生，且他们并不是唯一的过错方，会加速他们的心理恢复。相比之下，传统方法更容易将问题归结为人为错误，而CAST则采取更中立的视角，无论控制器是机器还是人。

另一个值得提及的事实是，这项分析由一位非实时（RT）领域的专家领导。这证明了CAST非常适合那些实时安全专业知识有限或不存在的远程实时组织。

在分析过程中，我们发现实时软件制造商与其临床用户之间存在差距。不幸的是，像RTT这样的用户不敢质疑他们使用的软件质量，也不向供应商反馈软件相关的问题。此外，在使用PRISMA进行事件分析时，没有软件专家或制造商的代表参与其中。我们认为，双方加强沟通（例如共同设计软件或分享主动性和被动性风险分析的结果）可以改善这种情况，并提高计算机控制实时过程的质量和安全性。

分析的有效性受到了一些因素的影响，例如并非所有相关方都能被访谈到。此外，团队对国家安全监管流程的了解还不够全面，也没有与相关供应商取得联系。此外，由于CAST的负责人是一位软件工程师，可能存在某些偏见。这可能是我们敢于质疑软件作用并发现大量与软件相关的纠正建议的原因。这表明事件分析的质量始终取决于分析团队的专业知识。因此，我们建议在涉及软件的实时事件发生时，始终要有一位软件工程师参与其中。

5. 讨论

在用CAST制定了所有可能的因果情景后，出于好奇，我们查看了一下这些情景是否（可能用不同的表述）被包含在评估质子治疗过程前的主动FMEA中。例如，我们发现输入错误表密度的选项并未出现在可能的故障模式列表中。实际上，没有任何一个故障模式与这个问题相关。这引发了我们作为STAMP实践者的以下讨论：基于STAMP的主动危险分析是否能提前发现这一特定事件？换句话说，STPA危险分析能否比其他方法更好地捕捉到系统可能出现的所有故障情景？理论上我们认为可以，因为图7中的控制结构本可以立即指出这种不安全的控制行为。然而，实际操作中我们并不那么确定。因为用户需要在TPS用户界面屏幕上输入数百个参数，这将产生数百个不安全的控制行为，而手动检查所有这些行为是不可扩展的。这次表密度输入错误的情况非常棘手，在危险分析中寻找这种错误就像大海捞针。

我们可以想象，历史上可能是这样的：很久以前，在其他地方，用户在TPS屏幕上手动输入数据时，这种操作就被认为是容易出错的。作为对策，供应商提供了可选的默认值来降低输入错误的风险。不幸的是，这一善意的措施失败了，导致了本文分析中的事件。我们的CAST建议在未来禁止在TPS中使用默认值，但这似乎陷入了循环。这让人联想到古罗马诗人Juvenal的一句话“Quis custodiet ipsos custodes?”（谁来监督监督者？）

我们认为，我们必须发现STAMP模型中可能产生的所有危险。我们的分析表明，如果人类无法检查TPS中的所有输入，那么使用默认值并不是一个好主意。我们需要找到更可靠的解决方案，比如开发一个智能软件来检查所有这些输入，并将其与机器的实际设置进行比较，如果不一致则向用户发出警告。当然，这样的软件也可能出现错误，但我们需要设置其他约束措施来确保系统即使在故障情况下也能保持安全。什么都不做、假装什么都没发生并不是一个可行的选择。

我们必须承认，这个问题并不容易回答，它表明安全需要在警惕性和信任之间找到平衡。这也许是我们在这个特殊时期对这一问题的主要贡献，因为我们都期望依赖安全、依赖软件的系统。

6. 结论和未来工作

我们报告了首次尝试将CAST应用于从新开设的质子治疗设施发生的不良事件中学习的情况。我们将提出的安全建议与同一事件的PRISMA根本原因分析结果进行了比较。尽管采用的方法不同，但针对实时设施的主要因果情景和与安全相关的建议是相似的。然而，CAST提出了新的、涉及组织外部利益相关者（如软件/硬件制造商和监管机构）的安全相关纠正措施。与仅寻找根本原因并在本地实施变更的PRISMA不同，CAST能够发现更多的系统性问题。相反，PRISMA分析为组织提出了一些更具体的安全相关建议，这是由于该团队具有更强的领域专业知识。

结果表明，CAST是一种强大的事件分析方法，实时专业人士可以利用它从事件回顾性分析中学习。我们建议在收入中等或较低的国家的实时诊所中，将CAST与其他传统方法（如FTA或PRISMA）一起使用，尤其是在这些地方的安全管理资源可能不足的情况下。不过，我们必须提醒CAST的初学者：（1）对社会技术过程（如实时）进行图形建模会相当繁琐且违反直觉；（2）激励事故中的见证者和参与者讲述他们的经历会很有难度。

从这个实验中得到的另一个教训是，与PRISMA不同，CAST将软件识别为风险因素，并详细描述了其在事故中的作用。这表明，在软件和人工智能日益普及的今天，STAMP具有揭示这些新技术带来的新危险的潜力。

未来，我们将继续应用CAST来分析实时安全事件。我们希望最终构建一个通用的系统框架（如图形控制结构、典型危险和因果情景、访谈问题等），以便实时社区从中最大化学习。我们还打算与实时软件制造商进行对话，让他们了解他们所构建的系统与其用户之间的风险。

作者贡献声明

Natalia Silvis-Cividjian：撰写初稿、资源管理、方法论设计、数据整理、概念化工作。