Uśmiech Zofii. Filozof w kontroli jakości

W poprzednim tekście pisałem o trudnościach w ustaleniu, które zdania odnoszące się do realnego świata są prawdziwe. Problem leży w tym, że zdanie typu „Polacy kochają wolność” dotyczy zbiorów o niejasnych granicach, zawiera niedokładnie zdefiniowane słowa, nie określa przedziału czasowego i jest (w nieco zawoalowany sposób) zdaniem wartościującym. Zdaniem jednoznacznie wartościującym jest „X jest dobre”. By nie ryzykować wzmożenia emocji, rozpatrzmy zdanie „Urządzenie medyczne X jest dobre”. Szukamy odpowiedzi na takie pytanie, bo od niej zależy, czy lekarze będą tego urządzenia używać w terapii i czy ubezpieczenia za nie zapłacą.

Weźmy konkretny przykład — system ciągłego monitorowania glukozy firmy Medtronic.

UWAGA: rozważania dotyczące potencjalnych usterek nie odnoszą się do konkretnego produktu, opierają się jedynie na moim technicznym doświadczeniu. Produkt służy tylko do ustalenia uwagi.

Jak to działa? Przy pasku wisi urządzenie sterujące i pojemnik z insuliną. Rurka prowadzi do wtryskiwacza insuliny, z lewej strony znajduje się sensor poziomu insuliny, który bezprzewodowo przekazuje wartości do sterownika.

Na szybko można powiedzieć: Gdzie problem? Albo działa, albo nie. Zobaczymy zaraz, że to nie takie proste. Urządzenie składa się z wielu elementów, które mogą w specyficzny dla siebie sposób zawieść:

• dwa urządzenia wbite w ciało: mogą powodować stany zapalne i reagować z tkanką i płynami fizjologicznymi; zarówno igła sensora, jak i rurka wtryskiwacza mogą się złamać;
• osad na igle sensora może zmieniać wynik pomiaru;
• rurka wtryskiwacza może się zatkać;
• łączność bezprzewodowa zależy od warunków transmisji i zakłóceń, może też być obiektem podsłuchu lub ataku;
• bateria w sterowniku i nadajniku sensora może się wyładować;
• ustawienia (opcje) programu mogą nie odpowiadać konkretnemu przypadkowi;
• dialog przy programowaniu sterownika może być mylący (nielogiczny dialog, niezrozumiałe teksty, małe litery) i dopuszczać wprowadzenie błędnych parametrów o katastrofalnych konsekwencjach;
• Software…

Jako programista wiem, co to znaczy. W 1999 r. Mars Climate Orbiter rozbił się, bo jeden moduł liczył w jednostkach metrycznych, a inny w angielskich. Rakieta Ariane 5 eksplodowała przy pierwszym starcie z powodu przepełnienia (overflow) zmiennej — prędkość poziomą wpychano do 16-bitowej zmiennej całkowitej o zakresie wartości -32768 do 32767. Dla Ariane 4 starczało, dla silniejszej Ariane 5 już nie. Software potrafi wszystko. Jak ktoś powiedział — samochód ze sterowaniem komputerowym to komputer z kołami.

Algorytm obliczania dawki insuliny jest w zasadzie sprawdzony, ale może czasem niedokładnie liczyć lub nie uwzględniać wszystkich przypadków. Program może sprawdzać obecność sensora tylko na początku i zawieszać się przy przerwaniu komunikacji, może też brakujący pomiar interpretować jako zero. Jeżeli algorytm jest zależny od pory dnia, może nie uwzględniać zmiany strefy czasowej. Jestem otwarty na kolejne pomysły.

Wreszcie cały aparat może być zbyt ciężki, niewygodny, uciskać ciało. Przy niektórych chorobach wolelibyśmy, by nie był zauważalny dla otoczenia. Przez wielu pacjentów nie będzie wtedy używany mimo medycznej potrzeby.

Widzimy więc, że urządzenie ma wiele cech i potencjalnych problemów, z których niektóre są dyskwalifikujące, a z niektórymi możemy żyć. Ocena „dobre / złe” jest ich uśrednieniem, z różnymi wagami dla różnych aspektów.

By wiedzieć, jak się urządzenie faktycznie zachowuje, trzeba zbierać i analizować dane. Nowoczesne urządzenie medyczne nie tylko ma wiele aspektów, również często się zmienia. Zwłaszcza program można często modyfikować — w celu usunięcia błędów lub rozszerzenia funkcji (i wprowadzenia nowych błędów; uwaga: dopuszczenie aktualizacji software’u otwiera nową drogę ataku dla hakerów). Problem w tym, że urządzenie z nowym programem to formalnie już inne urządzenie, tak naprawdę powinno na nowo podlegać certyfikacji. Ale nie możemy statystyki co chwilę resetować, chcemy przecież znać długotrwałe skutki terapii.

Poniższy rysunek przedstawia problem:

Algorytm jest poprawny, ale jego implementacja czasem pada w sposób niekontrolowany. Może to być widoczne w danych medycznych lub nie. Np. jeżeli algorytm defibrylacji pada w czasie, gdy interwencja nie jest potrzebna, to pacjent ma szczęście, a problem jest cichą tajemnicą producenta.

Co się dzieje potem? Programista wprowadza poprawkę do kodu, ale rozprowadzanie nowego kodu trwa. Przez pewien czas niektóre urządzenia pracują ze starym kodem, niektóre z nowym. Do tego pacjent w przeciwieństwie do komputera nie jest układem zero-jedynkowym i ma swoją dynamikę. Komputer po resecie zapomina przeszłość, ale jeżeli błędny program powodował błędną terapię (np. brak podania insuliny przy awarii kodu), to pacjent potrzebuje czasu, by jej skutki przestały być widoczne. I jak widzieliśmy przed chwilą, mamy więc pewne elementy terapii, które są poprawne (algorytm, konstrukcja urządzenia), i inne, błędne. W analizie wyników terapii trzeba je oddzielić. Pewne problemy z przeszłości są faktem, ale są już rozwiązane i wiemy, że więcej nie wystąpią.

Podobne pytania występują w ocenie różnych wariantów urządzeń:

Porównujemy tu dwa rodzaje sond rozruszników serca. Statystyka mówi, że unipolarne są lepsze, ale po wycofaniu trzech gorszych modeli różnicy nie widać. Starsze wyniki tylko zaciemniają statystykę. Ale to wszystko wiemy skądinąd, dane nam tego same nie powiedzą.

Jak to statystycznie zaatakować? Przyznaję, że próbowałem tym problemem zainteresować specjalistów od statystyki medycznej, ale pokiwali głowami i wrócili do swoich zadań. Które to zadania są również wymagające i złożone.

Żeby ostatecznie zaciemnić obraz, przytoczę to, czego się dowiedziałem, słuchając u tychże statystyków referatu o angielskich rejestrach ortopedycznych. Chodzi o protezy np. biodra, jakość produktów, ale i chirurgów. Okazuje się, że częsta zmiana modelu protezy jest charakterystyczna dla złych chirurgów. Nie wyszło im z jednym, zmieniają na drugi, nic im porządnie nie wychodzi. Doświadczenie, rutyna z określonym typem protez są ważne. Chirurgom przeprowadzającym tylko kilka operacji na rok sugeruje się albo specjalizację, albo przerwanie wykonywania zabiegów. Dla dobrych wyników trzeba je przeprowadzać regularnie. Wreszcie prelegent, starszy doświadczony pan, z uśmiechem powiedział: ale niektórzy mają dobre ręce, good hands. No więc ja, jako informatyk, nie znam modelu statystycznego, który by to uwzględniał. A różnica w wynikach może wynosić 20%.

W ten sposób — mam nadzieję — na konkretnym problemie technicznym zobaczyliśmy, jak trudno jest odpowiedzieć na pytanie „Czy X jest dobre?”. Analiza spraw ludzkich, gdzie rolę odgrywają interesy i emocje, jest odpowiednio trudniejsza. Z braku miejsca zostawmy ją na inną okazję. A skąd tytułowy filozof? Jak wszędzie, nawet w instytucie i fabryce, szuka prawdy. Oraz piękna i dobra.

Nb. również w ocenie urządzeń medycznych interesy i emocje odgrywają rolę. Chodzi z jednej strony o życie i zdrowie, a z drugiej o duże pieniądze. Ale pompy insulinowe nie są u nas przedmiotem wojny plemiennej. Na razie.

Jan Śliwa