IEC 60601-1 10절은 의료기기에서 발생할 수 있는 ‘원치 않는’ 또는 ‘과도한’ 물리적 출력이 사용자와 환자에게 위해를 만들지 않도록 통제하는 요구사항을 다룹니다. 여기서 물리적 출력은 단순히 방사선처럼 특별한 장치에만 해당하는 개념이 아니라, 광(LED/레이저), 열, 초음파·음향, 압력·유량, 진동·기계적 에너지처럼 기기가 의도적으로 또는 부수적으로 방출하는 모든 에너지 형태를 포함합니다. 시험 실무에서는 10절을 “특정 제품군만 보는 조항”으로 치부하기 쉽지만, 실제로는 필수 성능과 위험관리의 논리가 시험 조건과 판정 기준을 결정하기 때문에, 초기 단계에서 요구사항 해석을 잘못하면 설계 변경이나 재시험으로 이어지기 쉽습니다.
이 글은 전문가 관점에서 10절을 통과하기 위한 핵심을 ‘출력 위험의 식별’, ‘인터록·제한 설계와 검증’, ‘라벨·문서·기록의 정합’으로 정리합니다. 제품이 어떤 에너지 출력을 갖는지, 그리고 그 출력이 오동작·오사용 상황에서 어떻게 위험으로 전환될 수 있는지를 구조적으로 설명하고, 시험소가 흔히 지적하는 포인트를 중심으로 실무 대응 방법을 제시합니다.
과도 방사와 물리출력 위험 정의
10절의 출발점은 “무엇이 위험한 출력인가”를 제품별로 명확히 정의하는 것입니다. 많은 팀이 EMC(60601-1-2)와 혼동하여 방사/내성만 떠올리지만, 10절은 전자파 자체보다 ‘인체에 전달되는 에너지’가 안전한 범위 안에 머무는지를 묻습니다. 따라서 먼저 기기가 의도적으로 생성하는 출력(예: 치료용 광, 고주파 열, 초음파 에너지, 압력·유량, 흡인, 레이저 지시광 등)과 비의도 출력(예: 전원부 발열로 인한 표면 온도 상승, 팬 토출의 과도한 기류, 펌프 과유량, 경고음 과대 출력)을 구분하고, 각각의 정상 범위와 제한 조건을 기술문서로 고정해야 합니다.
실무에서 중요한 것은 출력의 “정격”이 아니라 “최악 조건”입니다. 예를 들어 광 출력은 LED 편차, 광학부 오염, 구동 전류 증가, 냉각 성능 저하에 따라 상승할 수 있고, 압력/유량은 밸브 스틱션이나 센서 드리프트, 라인 막힘 후 순간 해제 같은 과도 현상에서 피크가 발생합니다. 따라서 위험 정의 단계에서 ‘시간 축’을 반드시 포함해야 합니다. 평균 출력은 안전해도 짧은 순간의 피크가 조직 손상이나 통증을 유발할 수 있으므로, 측정은 평균값만이 아니라 피크/지속시간/반복 주기를 함께 다루는 방식으로 계획되어야 합니다. 이때 위험관리(ISO 14971)에서 설정한 유해사건 시나리오가 곧 시험 시나리오의 뼈대가 됩니다.
또한 10절은 필수 성능과 긴밀히 연결됩니다. 어떤 제품은 출력이 낮아지면 치료가 실패하고, 반대로 출력이 높아지면 위해가 커집니다. 따라서 안전한 영역은 “상한만”의 문제가 아니라 “상한과 하한 사이”의 운영 창(window)으로 정의해야 합니다. 예컨대 치료 에너지 장비는 설정값과 실제 출력의 오차 범위를 명시하고, 그 오차가 임상적으로 허용되는지 근거를 마련해야 합니다. 이런 근거가 없으면 시험소는 보수적으로 해석하여 더 엄격한 제한과 알람 요구를 제기할 수 있습니다.
마지막으로, 출력 위험 정의는 시스템 경계를 포함해야 합니다. 외부 액세서리(프로브, 카테터, 튜브, 팁, 필터)가 출력 전달 경로를 바꾸고, 타 장비와의 연결(PC, 네트워크, 전원장치)이 제어 로직이나 전원 상태를 바꾸면 출력 특성이 달라집니다. 따라서 ‘허용 액세서리 목록’과 ‘허용 연결 조건’을 10절의 전제로 고정하고, 그 전제 안에서 대표 구성과 최악 조건을 선정해야 합니다. 이 단계가 정리되면 이후의 인터록 시험과 라벨 문구가 일관되게 연결됩니다.
출력 제한과 인터록 설계 검증
10절을 통과시키는 핵심은 출력 자체를 믿지 않고, 출력이 위험 영역으로 들어가기 전에 “물리적으로 멈추게 하는 장치”를 갖추는 것입니다. 대표적인 통제수단은 출력 제한기(limiter), 인터록(interlock), 알람과 자동 정지, 그리고 이들을 뒷받침하는 독립적인 모니터링입니다. 여기서 주의할 점은 소프트웨어만으로 제한을 구현하면 단일고장 관점에서 취약해질 수 있다는 사실입니다. 예를 들어 설정값 제한을 UI 소프트웨어에만 넣어두면, 통신 오류나 메모리 손상, 예외 처리 누락에서 제한이 무력화될 수 있습니다. 따라서 위험도가 높은 출력(레이저, 고에너지 초음파, 고온 가열, 고압 등)일수록 하드웨어 차단 또는 독립 채널 감시를 포함한 이중 구조가 요구됩니다.
시험 실무에서는 정상상태(NC)에서의 제어 정확도뿐 아니라 단일고장상태(SFC)에서의 “안전한 실패”가 핵심 판정 포인트가 됩니다. SFC 시나리오는 제품 구조에 따라 다르지만, 일반적으로 출력 센서의 단선/단락, 구동 소자의 단락, 제어 신호 고정(stuck-on), 릴레이 접점 용착, 밸브 고착, 팬 정지, 냉각 경로 막힘 등이 대표적입니다. 이때 시험은 단순히 고장을 만들고 출력값만 읽는 것이 아니라, 고장 발생 후 기기가 어떤 상태로 전이되는지(감지→알람→차단→재가동 제한)가 재현 가능하게 기록되어야 합니다. 특히 ‘알람이 울리지만 출력은 계속 유지’ 같은 상태는 사용자 행동에 의존하는 통제로 해석될 수 있어, 위험도가 높다면 자동 차단이나 출력 감소가 요구되는 경우가 많습니다.
인터록의 범위도 설계 단계에서 명확해야 합니다. 커버를 열면 고에너지가 차단되는지, 액세서리가 정확히 결합되지 않으면 출력이 시작되지 않는지, 환자 접촉이 확인되기 전에는 출력이 제한되는지 같은 조건이 흔한 요구로 이어집니다. 레이저나 강광원 장비는 키 스위치, 풋 스위치, 보호안경 사용 조건 같은 운영 통제도 함께 쓰이지만, 시험소는 운영 통제만으로 위험을 전가하는 접근을 선호하지 않습니다. 가능한 한 기구적·전기적 인터록으로 “출력 경로가 성립하지 않으면 발생하지 않게” 만드는 것이 바람직합니다.
측정과 검증에서는 계측 체계의 신뢰성이 중요합니다. 광 출력이면 검출기 스펙트럼 범위와 교정 상태, 음향이면 주파수 가중과 측정 거리, 압력/유량이면 라인 구성과 응답 속도, 열 출력이면 센서 부착 방법과 열평형 조건이 결과를 좌우합니다. 따라서 시험 계획서에는 측정 장비의 교정 추적성, 측정 위치/거리, 안정화 시간, 반복 횟수, 피크 검출 방식까지 포함해 조건을 고정해야 합니다. 또한 최악 조건을 찾기 위해 전원 변동, 배터리 잔량, 주변 온도, 연속 동작 시간(열 누적), 액세서리 조합을 체계적으로 스윕하고, 그중 가장 불리한 조건을 대표로 선정한 근거를 남겨야 합니다. 이런 절차가 있어야 “시험실에서는 합격했는데 현장에서는 뜨거워진다/세진다” 같은 재현성 분쟁을 줄일 수 있습니다.
라벨 문서 기록으로 심사 대비
10절은 시험 데이터만으로 끝나지 않고, 라벨과 사용설명서(IFU)가 출력 통제의 일부로 기능해야 합니다. 특히 출력 제한이 사용자 설정, 액세서리 선택, 환경 조건에 의해 달라지는 장비는 문서가 곧 안전장치가 됩니다. 따라서 라벨에는 출력 관련 핵심 경고가 ‘행동 지침’ 형태로 담겨야 합니다. 예를 들어 특정 거리에서만 사용, 특정 소모품만 사용, 금지된 방향으로 조사 금지, 연속 사용 시간 제한, 보호구 착용, 환자 적용 금지 부위 등의 조건이 단순한 주의 문구가 아니라, 사용자가 즉시 실행할 수 있는 절차로 제시되어야 합니다. 여기서 문구의 강도(경고/주의/금지)를 제품 위험도와 일치시키는 것이 중요하며, 번역본에서도 의미가 동일하게 유지되어야 합니다.
문서 정합 측면에서는 6절 분류와 7절 표시 요구사항이 10절과 충돌하지 않도록 관리해야 합니다. 예를 들어 IP 등급을 높게 선언하면서 “세척 중 출력부를 열어두고 닦는다” 같은 절차가 들어가면 구조적으로 모순이 발생합니다. 또한 운전모드를 단시간 운전으로 제한해 열적 위험을 통제한다면, 그 제한은 라벨·IFU·시험 조건에서 모두 동일하게 나타나야 합니다. 시험소가 자주 지적하는 패턴은 “시험은 제한 조건을 전제로 했는데 문서에는 제한이 없다” 또는 “문서에는 제한이 있는데 라벨/소프트웨어 UI에서는 제한을 강제하지 않는다”입니다. 이 불일치는 곧 위험통제가 현장에 전달되지 않는다는 의미로 해석됩니다.
기록 체계는 심사 대응에서 결정적입니다. 10절은 출력이라는 연속값을 다루기 때문에, ‘한 번의 측정 결과표’보다 “트렌드와 재현성”이 설득력을 가집니다. 예컨대 연속 동작 시간에 따른 출력 드리프트, 환경 온도 변화에 따른 보정 동작, 센서 고장 시의 차단 시간, 알람 발생 임계값의 편차 같은 항목은 시험소 리뷰에서 자주 질문이 들어옵니다. 따라서 시험보고서에는 측정 데이터뿐 아니라 설정값, 소프트웨어 버전, 액세서리 모델, 측정 장비, 시험 전·후 기능 점검 결과를 함께 남겨야 합니다. 가능하다면 출력 제어에 대한 블록도(센서→제어기→구동부→출력부)와 인터록 논리(조건→허용/차단)를 도식화하여, 시험이 설계 통제를 실제로 검증했음을 명확히 보여주는 것이 좋습니다.
마지막으로, ‘현장 유지관리’ 요구가 있는 장비는 정기 점검과 교정 요구를 문서로 통제해야 합니다. 출력 센서가 시간이 지나며 드리프트할 수 있다면 교정 주기와 방법, 허용 오차와 조치(사용 중지/서비스 요청)를 명시해야 하며, 사용자가 수행 가능한 점검(자가 테스트, 참조 출력 확인)과 서비스 전용 점검을 구분해야 합니다. 이런 운영 통제는 단순한 품질 관리가 아니라 10절의 안전 통제 연장선으로 받아들여집니다. 결과적으로 10절 대응의 완성은 “출력 위험 정의→설계 통제→시험 검증→라벨·문서→기록과 변경관리”가 한 줄로 연결되는 상태이며, 이 연결이 탄탄할수록 심사에서 질문이 줄고, 제품 변경 시 재평가 범위도 명확해집니다.