의료기기 시험원이 “사용적합성(휴먼팩터)” 문서를 검토할 때 중요한 질문은 하나입니다. 이 제품이 실제 사용 환경에서, 실제 사용자에 의해, 예측 가능한 실수까지 포함해도 안전하게 사용될 수 있음을 문서로 입증했는가입니다. 사용적합성은 단순히 ‘사용자 만족’이나 ‘편의성’이 아니라, 사용 오류(use error)로 발생할 수 있는 위해를 위험관리와 연동하여 통제하고, 그 통제의 효과를 검증으로 닫는 활동입니다. 이번 글에서는 시험원 관점에서 사용적합성 문서를 빠짐없이 점검하기 위한 핵심 포인트를 계획–과업–검증의 흐름으로 정리합니다.
1. 사용적합성 계획서에서 사용자·환경·범위가 닫히는지
검토의 출발점은 “계획서가 제품 현실을 반영하고 있는가”입니다. 사용적합성 계획서는 IEC 62366-1 체계에서 단순 형식 문서가 아니라, 이후 분석과 평가의 기준선을 만드는 문서입니다. 시험원은 먼저 사용자 집단이 실제와 일치하는지 확인해야 합니다. 예를 들어 의료진(숙련/비숙련), 환자·보호자, 유지보수 인력 등 사용자 유형이 구분되어 있고, 각 집단별 전제(교육 수준, 업무 숙련도, 언어, 시력/손 기능, 보호구 착용 가능성)가 문서에 명확히 반영되어야 합니다. 사용자 정의가 모호하면 이후 평가에서 “원래 숙련자만 쓰는 제품” 같은 임의 가정이 끼어들어 사용 오류 위험이 과소평가될 수 있습니다.
사용 환경 정의도 구체적이어야 합니다. 병원/가정 같은 단어로 끝나면 부족하며, 조명·소음·공간 제약·감염관리 동선·응급 상황의 시간 압박·네트워크 불안정·장갑 착용·동시 다중작업 같은 현실 변수가 반영되어야 합니다. 시험원 입장에서는 이 환경 조건이 단지 서술로만 존재하는지, 아니면 위험 시나리오와 연결되어 평가 조건(예: 알람 인지, 표시 판독, 설정값 입력, 연결/분리 동작)에 반영되는지까지 확인하는 것이 중요합니다. 특히 “합리적으로 예견 가능한 오사용”이 계획 단계부터 범위에 포함되는지 점검해야 합니다. 오사용은 규정 위반을 비난하는 용어가 아니라, 현장에서 충분히 발생 가능한 행동 패턴(단계 생략, 단위 혼동, 경고 무시, 유사 모델과 혼용)을 안전 설계로 흡수할 대상입니다.
또 하나의 핵심은 위험관리와의 연결입니다. 사용적합성 문서가 독립 섬처럼 존재하면, 시험 근거로서 설득력이 떨어집니다. 위험관리 파일에서 사용자 관련 위해 시나리오가 식별되어 있고, 그 통제수단으로 UI 설계 변경·알람·인터록·라벨/IFU가 선택되었다면, 사용적합성 계획서에는 해당 위험을 어떻게 평가·검증할지(과업, 시나리오, 관찰 기준)가 명시되어야 합니다. 반대로 사용적합성 분석에서 도출된 사용 위험은 위험관리 파일로 피드백되어야 합니다. 시험원은 최소한 위험 ID ↔ 중요 과업 ↔ UI 특성(요구사항) ↔ 평가/검증 증적의 추적 구조가 계획 단계에서부터 선언되어 있는지 확인해야 하며, 이 구조가 있어야 이후 결과가 “닫힌 결론”으로 이어집니다.
2. 과업 분석과 중요 과업(critical task) 선정 근거가 타당한지
사용적합성 검토의 실전은 과업(task)에서 갈립니다. 시험원은 “무엇을 평가했는가”가 안전성과 직결된다는 점을 전제로, 과업 분석이 실제 사용 흐름을 충분히 커버하는지 확인해야 합니다. 과업은 전원 ON/OFF 같은 표면적 절차가 아니라, 준비–설치–연결–설정–작동–모니터링–알람 대응–종료–세척/폐기–유지보수까지 전체 수명주기 흐름으로 분해되어야 합니다. 특히 환자 연결, 투여/치료 설정, 경보 한계값 설정, 센서 부착, 소모품 교체, 데이터 입력·전송, 업데이트 수행처럼 위해로 연결될 가능성이 높은 단계는 누락 없이 포함되어야 합니다. 과업 흐름이 제품 UI(화면/버튼/물리 인터페이스)와 불일치하면, 평가 자체가 다른 제품을 시험한 것과 같아지므로 시험원은 “문서상 절차가 실제 UI 흐름과 동일한가”를 반드시 확인해야 합니다.
중요 과업(critical task) 선정은 더 엄격합니다. 중요 과업은 ‘자주 하는 작업’이 아니라, 실수했을 때 중대한 위해로 이어질 수 있는 행동입니다. 예를 들어 단위 선택(mg vs μg), 환자 라인 연결 오류, 센서 방향/위치 오류, 알람 음소거 후 미복귀, 설정값 범위 초과, 소모품 재사용, 멸균 상태 확인 실패, 업데이트 중 전원 차단 같은 항목은 빈도와 무관하게 위험도가 큽니다. 시험원은 중요 과업이 위험관리의 위해 시나리오와 일치하는지, 그리고 중요 과업 목록이 “위험이 큰데도 목록에서 빠진 행동”을 남기지 않는지 점검해야 합니다. 중요 과업이 과소 선정되면 총괄평가가 통과해도 실제 현장 위험은 남는 구조가 됩니다.
형성평가(formative evaluation) 기록은 ‘문제가 있었는지’보다 ‘어떻게 개선했는지’가 포인트입니다. 형성평가에서 발견된 사용 문제(use difficulty, close call, use error)가 원인 분석과 함께 기록되고, UI 설계 변경(문구, 버튼 배치, 경보 패턴, 확인 단계, 물리적 키잉, 인터록 로직)으로 이어졌는지 확인해야 합니다. 그리고 변경 후 동일 문제가 줄었는지 재평가 근거가 남아야 합니다. 시험원은 형성평가가 단회 이벤트로 끝나지 않고, 개선 반복이 실제로 있었는지(버전 비교, 변경 이력, 근거 데이터)를 확인함으로써 문서의 진정성을 판단할 수 있습니다. 또한 “교육으로 해결”이라는 결론이 반복되는 경우, 사용자 정의(초보 포함 여부)와 모순되지 않는지, 그리고 교육이 실제 현장에서 항상 제공될 수 있는지까지 현실성을 점검하는 것이 바람직합니다.
3. 총괄평가(Validation) 설계·판정·증적이 시험 근거로 충분한지
총괄평가(사용적합성 검증)는 시험원이 가장 보수적으로 봐야 하는 구간입니다. 이유는 단순합니다. 총괄평가가 부실하면, 앞단의 분석과 형성평가가 아무리 훌륭해도 “안전하게 사용할 수 있음”을 최종적으로 말할 수 없기 때문입니다. 시험원은 평가 프로토콜에서 사용자 집단이 계획서와 동일하게 구성되었는지, 시나리오가 실제 사용 환경을 대표하는 조건을 포함하는지, 그리고 중요 과업 중심으로 과업이 설계되었는지 확인해야 합니다. 예컨대 장갑 착용, 조명 저하, 소음, 시간 압박, 다중 알람, 교대 근무 피로 같은 조건이 위험 시나리오와 관련이 있다면, 총괄평가 환경 조건에 반영되어야 합니다. “조용한 회의실에서 천천히 수행”한 결과만으로는 현장 안전성을 설명하기 어렵습니다.
판정 기준은 사전에 명확해야 하며, 특히 중요 과업에 대해서는 통과/실패의 기준이 분명해야 합니다. 흔한 오류는 실패 기준이 애매하거나, 실패가 발생했는데 “경미한 실수”로 정리해 결론을 유지하는 경우입니다. 시험원은 오류가 위해로 이어질 경로가 있는지, 설계된 보호장치(알람, 확인 팝업, 인터록)가 실제로 오류를 차단했는지, 차단했다면 그 차단이 의도대로 작동했음을 어떤 증적으로 확인했는지까지 봐야 합니다. 또한 근접 오류(close call)나 반복되는 난이도(use difficulty)는 위해가 실제로 발생하지 않았더라도, 현장에서 누적될 경우 사고로 이어질 수 있다는 점에서 설계 개선 신호로 해석되어야 합니다. 즉, 총괄평가 결과 해석은 ‘사고가 났는가’가 아니라 ‘사고가 날 수 있는 패턴이 남았는가’를 기준으로 해야 합니다.
증적 신뢰성도 중요합니다. 관찰 기록(영상, 관찰표, 시간 기록), 참가자 정보(경력/교육 수준), 제공된 자료(IFU, 퀵가이드, 라벨, 화면 안내)와 제품 버전(소프트웨어/라벨 개정)이 재현 가능하게 남아야 합니다. 문서가 요약표만 있고 원시 기록이 전혀 없으면, 결과의 검증 가능성이 떨어집니다. 마지막으로 결론은 위험관리와 연결되어 닫혀야 합니다. 사용 관련 위험이 통제되었고 잔여위험이 수용 가능하며, 라벨·IFU가 통제수단이라면 그 내용이 실제로 이해 가능한 형태로 제공되었다는 근거가 있어야 합니다. 시험원은 위험 ID ↔ 중요 과업 ↔ 통제수단 ↔ 총괄평가 결과 ↔ 잔여위험 결론의 추적 고리가 끊기지 않는지 확인함으로써, 사용적합성 문서가 시험·인허가의 핵심 근거로 기능하는지 판단할 수 있습니다.