8. Barriäranalys
8.3. Barriäranalys ”Felaktig begränsning av strålfält”
8.3.2. Utvärdering av barriärer
I tabell 8.5 nedan redovisas de aktuella barriärerna för respektive händelse tillsammans med en kort utvärdering av respektive barriär.
En ansats till en samlad värdering av dessa barriärer ges nedan gentemot kravet på en riskreduktion med två tiopotenser (från 8.2.2). När hänvisning sker till SIL standard avses SS EN 61508 Funktionssäkerhet hos elektriska, elektroniska och programmerbara elektroniska säkerhetskritiska system [27]. Barriärer avseende händelsen ”Fel i mjukvara” (leverantörs-QA och kontrol- ler vid driftsättning av ny/reviderad mjukvara) har inte värderats inom detta projekt.
1. Fel i Jaws har bedömts som mindre kritiskt för IMRT behandling. De barriärer som finns är dessutom av samma karaktär som för MLC (FU, Maskin QC, Maskininterlock). Vi fokuserar därför på de MLC- relaterade händelserna.
2. För händelsen ”Fel MLC typ i förhållande till plan (på grund av byte av behandlingsrum)” har endast en rutin identifierats som barriär. Om detta stämmer kan det vara en svag del av kontrollsystemet. Troligen finns dock andra barriärer, men detta bör undersökas. 3. Det förebyggande underhållet (FU, barriär d, f, j, m), som utförs en-
ligt leverantörens plan har här lagts in som en barriär. Detta är i och för sig riktigt eftersom ett väl fungerande FU naturligtvis är en viktig barriär mot fel. Men i de klassningar som gjorts av sannolikhet för att fel ska uppträda har denna barriär redan inkluderats. Vi har ingen erfarenhet av hur ofta fel skulle inträffa om vi inte hade ett FU. I den fortsatta värderingen bortser vi därför ifrån FU.
4. För händelsen ”MLC fastnar i fel position” återstår då tre barriärer a)Fluensmätning, b)Maskininterlock och c) Visuell övervakning. Av dessa har a) bedömts som en svag barriär eftersom den inte är stän- digt närvarande och c) bedömts som svag eftersom det dels kan vara svårt att uppfatta avvikelser och dels att personal har andra arbets- uppgifter under tiden. Dessa barriärer kan inte anses ge ett väsentligt bidrag till det överordande kravet på riskreduktion. För denna hän- delse återstår då en barriär b) Maskininterlock. Ett instrumenterat säkerhetssystem som bygger på två parallella system har normalt sett förutsättningar att uppfylla kravet på en riskreduktion med två tiopo- tenser. Detta motsvara ett SIL2 system, som är vanliga i många ap- plikationer. Säkerheten kan därmed bedömas som acceptabel. Vi förutsätter då att toleransen i interlocksystemet är sådan att alla av- vikelser som systemet accepterar är acceptabla. Det finns emellertid två aspekter som måste beaktas. 1) Det finns möjligen anledning att ifrågasätta om maskininterlocken bygger på två helt separata system 2) Med ökande ålder på utrustning kan man enligt SIL-standarden inte fullt ut tillgodoräkna sig testning av säkerhetssystemen. Dessa två faktorer diskuteras vidare i avsnitt 8.3.3 nedan.
5. För händelsen MLC felkalibrerad återstår, med ovanstående reso- nemang, barriär e) Maskin QC. Denna blir uppenbart mycket väsent- lig. Det som kan diskuteras är med vilket intervall den bör utföras. För att kunna omvärdera intervall, jämfört med dagens situation, be- höver en detaljstudie göras av:
i. Felorsaker, vilka faktorer finns det som ger upphov till behov av kalibrering – åldersberoende, drifttidsberoende, påverkan i samband med maskinunderhåll, andra beroenden.
ii. Erfarenheter, egna och andras avseende hur ofta omkalibre- ring behöver göras och hur stora avvikelser som kan upp- träda.
iii. Om det går att definiera en maximalt möjlig avdrift per tids- enhet eller maximalt möjligt fel kan detta tillsammans med information om hur stor avvikelse som kan tolereras ligga till grund för att bestämma intervallet.
iv. Beroende på resultat av ”iii” kan eventuellt fluensmätningen tillgodoräknas som en barriär, men detta beror på hur stora fel som identifieras i denna och om dessa fel kan tolereras under den tidsperiod som kan vara aktuell.
I värderingarna ovan (punkt 1-5) har förutsatts att samtliga felorsaker kan ge likartade konsekvenser och att sannolikhet för respektive felorsak ligger i samma storleksordning.
Tabell 8.5 Utvärdering av barriärer ”felaktig begränsning av strålfält”.
Händelse Barriär Typ av barriär Bedömning
Samtliga C1.a. Fluensmätning Organisatorisk
- Innefattar manuell oberoende kon- troll med oberoende tekniskt system.
Bra eftersom barriären ger en ”summakontroll” av många parametrar, men får i övrigt betraktas som en svag barriär: Hanterar enbart stora avvikelser och utförs enbart vid uppstart av ny patient.
MLC fastnar i fel posit- ion (enskilt blad eller grupp)
C1.b. Maskininterlock, 2 oberoende mätningar av MLC position
Teknisk/Aktiv/Instrumentell Normalt stark barriär, finns dock osäkerhet, se säkerhetsmeddelande tabell 8.6.
C1.c. Visuell övervakning av MLC-bild
under behandling Organisatorisk - Manuell övervakning Svag barriär, enskilda MLC-bladfel uppfattas troligen ej. Personal har andra parallella arbetsuppgifter varför även större avvikelser kan mis- sas.
C1.d. FU enligt plan Organisatorisk Barriärens styrka är beroende av FU-planens relevans och utförande
organisations kvalitetsnivå.
FU plan är baserad på tillverkarens rekommendationer. Sådana re- kommendationer baseras som regel på den ”plana delen i badkarskur- van”. Åldrande utrustning kan ställa andra krav på typ och frekvens av underhåll.
Alla organisatoriska barriärer är beroende av att man på något sätt granskar och mäter kvalitén på arbetet annars risk för degradering eftersom det alltid finns konkurrerande arbetsuppgifter.
MLC felkalibrerad (fel bladhastighet eller avstånd)
C1.e. Maskin QC (MQC nr 11,12) Organisatorisk Alla organisatoriska barriärer är beroende av att man på något sätt granskar och mäter kvalitén på arbetet annars risk för degradering eftersom det alltid finns konkurrerande arbetsuppgifter.
C1.f. FU enligt plan Organisatorisk Se C1.d ovan.
Fel MLC typ i förhål- lande till plan (byte av behandlingsrum)
C1.g. Rutin: Enbart interna byten
Händelse Barriär Typ av barriär Bedömning Jaws fastnar i fel posit-
ion
C1.h. Maskininterlock, 2 oberoende
mätningar av position Teknisk/Aktiv/Instrumentell Normalt stark barriär, finns dock osäkerhet, se säkerhetsmeddelande tabell 8.6. C1.i. Visuell övervakning av bild un-
der behandling Organisatorisk - Manuell övervakning Svag barriär. Personal har andra parallella arbetsuppgifter varför avvi-kelser kan missas.
C1.j. FU enligt plan Organisatorisk Se C1.d ovan.
Jaws felkalibrerade C1.k. Maskin QC (MQC nr 4) Organisatorisk Se C1.e ovan.
C1.l. Doskontroll (MQC nr 1) ger viss
kontroll av Jaws Organisatorisk - Manuell oberoende kontroll med oberoende tekniskt system
Se C1.e ovan.
C1.m. FU enligt plan Organisatorisk Se C1.d ovan.
Övrigt (inte redovisat i felträd). Fel i jaws oftast inte kritiskt för IMRT- behandling.
Förhållanden -
Fel i mjukvara C1.n Leverantörs-QA och kontroller i
samband med driftsättning av ny / reviderad mjukvara.