Therac-25 治死了病人——软件取代了硬件安全联锁

Therac-25 是加拿大原子能有限公司 （AECL） 制造的一台放射治疗机，用来治疗癌症病人。1985 到 1987 年间，这台机器对至少六名病人给出了大剂量的辐射过量，至少三人死亡。过量是由一个软件竞态条件造成的，它让电子束在没有适当屏蔽到位的情况下发射。

Therac-25 的前辈机型 （Therac-6 和 Therac-20） 有硬件联锁，能防止在没有屏蔽时发射射线。Therac-25 去掉了这些硬件联锁，完全依赖软件检查。当软件失效——由于操作员输入命令太快时出现的一个竞态条件——就没有硬件备份来阻止过量。

这一案例成为软件工程和医疗器械安全领域的里程碑。它证明，纯软件的安全系统对于关乎生命的应用是不够的：硬件联锁必须提供备份。Therac-25 在每一门软件工程课上都被当作典型来讲解，说明为什么安全攸关的系统需要纵深防御。