개념
"가용성 99.9%" 는 의료에서 판정이 아니다
가용성을 비율로 말하는 관행이 있다. 99.9% 는 연간 약 8.8시간, 월 약 44분의 중단을 허용한다는 뜻이다.
의료에서 이 숫자가 판정으로 쓸 수 없는 이유가 셋이다.
1) 같은 시간이 다른 결과를 만든다. 새벽 3시의 1시간과 외래 시작 시간의 1시간이 다르고, 외래의 1시간과 응급실의 1시간이 다르다. 중단 시간의 합계는 영향의 크기와 비례하지 않는다.
2) 부분 장애가 전부 아니면 전무가 아니다. 처방은 되는데 영상이 안 뜨는 상태, 조회는 되는데 입력이 안 되는 상태. 비율로는 "가동 중" 인데 특정 진료가 멈춘다.
3) 비율은 최대 연속 중단을 말하지 않는다. 월 44분이 1분씩 44번인지 44분 한 번인지가 전혀 다르다. 의료에서는 연속 중단 길이 가 더 중요하다 — 짧은 끊김은 다시 시도하면 되지만, 긴 중단은 수기 대체로 넘어가야 한다.
그래서 판정 기준을 진료 흐름별 허용 중단 으로 바꿔야 한다.
진료 흐름별로 가른다
같은 시스템 안에서도 흐름마다 허용 중단이 다르다. 축을 세워 가른다.
| 흐름 | 성격 | 허용 중단의 성격 |
|---|---|---|
| 응급 | 즉시 판단이 필요하다 | 가장 짧다. 수기 대체가 즉시 가동되어야 한다 |
| 수술·시술 중 | 진행 중 중단이 위험하다 | 중단 자체를 피해야 한다 |
| 입원 투약·처치 | 시간이 정해져 있다 | 시간 창 안에 복구되거나 수기로 넘어간다 |
| 외래 진료 | 대기가 쌓인다 | 짧은 중단은 지연, 긴 중단은 진료 중지 |
| 검사·판독 | 흐름이 끊기면 재개가 번거롭다 | 중간 정도 |
| 행정·수납 | 사후 처리 가능 | 가장 길다 |
| 통계·분석 | 즉시성이 없다 | 하루 이상 가능 |
각 흐름의 허용 중단 시간은 임상·운영이 정한다(원문 확인). QA 가 숫자를 정하지 않는다. QA 의 일은 이 표가 존재하는지 확인하고, 없으면 만들자고 요구하는 것 이다.
이 표가 없는 조직이 많고, 그러면 장애 대응 우선순위가 즉흥 으로 정해진다. 장애 당일에 "무엇부터 살려야 하나" 를 논쟁하게 되고, 그 논쟁 동안 진료가 영향을 받는다.
부분 장애 — 무엇이 먼저 살아야 하는가
전면 장애보다 부분 장애가 더 흔하고 더 다루기 어렵다. 일부 기능만 죽은 상태에서 시스템은 "가동 중" 으로 보인다.
부분 장애 유형과 그 영향이다.
| 장애 부분 | 멈추는 진료 |
|---|---|
| 영상 조회 | 판독, 영상 기반 진단 |
| 영상 저장 | 촬영은 되지만 쌓인다. 버퍼 한계가 온다 |
| 처방 입력 | 투약·검사 지시가 멈춘다 |
| 결과 조회 | 검사 결과 확인이 멈춘다 |
| 환자 조회 | 거의 모든 흐름이 멈춘다 |
| 외부 연계 | 타기관 의뢰·보험 청구 |
| 인증·로그인 | 이미 로그인한 사람은 되고 새 로그인은 안 되는 상태 |
| AI 판독 | 보조가 없는 상태. 진료는 가능하나 흐름이 달라진다 |
다섯 번째가 핵심 의존성 이다. 환자 조회가 죽으면 다른 기능이 살아 있어도 쓸 수 없다. 그래서 의존성 지도 가 필요하다 — 무엇이 죽으면 무엇이 함께 못 쓰이는지.
두 번째가 시간이 지나면서 악화된다. 영상이 저장되지 않으면 장비 쪽에 쌓이고, 버퍼가 차면 촬영이 멈춘다. 모듈 62 레슨 5 의 버퍼 환산과 같은 구조다 — "몇 시간 분량인가" 를 환산해 두면 "영상 저장 중단 N 시간까지 촬영 가능" 을 말할 수 있다.
일곱 번째가 미묘하다. 이미 로그인한 사용자는 계속 쓰고 새로 로그인하는 사람은 못 들어오는 상태. 교대 시간에 이 장애가 나면 다음 교대 인력이 들어오지 못한다. 이것이 가용성 비율로는 전혀 보이지 않는다.
여덟 번째가 AI 소프트웨어의 자리 다. 보조 기능이 죽으면 진료는 가능하다 — 그것이 설계여야 한다. AI 가 죽어서 진료가 멈추면 그것은 설계 결함이다. QA 가 확인할 질문이고, 레슨 3 의 보조 성능과 연결된다.
핵심 질문 — AI·보조 기능은 없어도 진료가 되는가
의료 AI 소프트웨어 QA 에게 이것이 가장 직접적인 항목이다.
확인할 것이 셋이다.
1) 보조 기능 중단이 진료를 막지 않는가. AI 결과를 기다려야 다음 단계로 갈 수 없는 설계면, AI 장애가 진료 장애가 된다.
2) 중단 상태가 드러나는가. AI 가 죽었는데 "결과 없음" 이 정상(음성) 으로 보이면 가장 위험하다. 모듈 62 레슨 6 의 "값이 없음과 값이 정상을 구분해 표시하는가" 가 여기서 다시 나온다.
3) 느린 상태가 중단보다 나쁠 수 있다. 완전히 죽으면 사람이 알아채지만, 30초씩 느려지면 기다리게 되고 진료가 지연 된다. 그래서 시간 초과 후 포기하고 넘어가는 설계가 필요하다.
두 번째가 안전에 가장 직결된다. AI 판독에서 "이상 없음" 과 "판독하지 못했음" 은 전혀 다른 정보인데, 화면에 같게 보이면 의사는 이상 없음으로 읽는다. 이것은 기능 결함이 아니라 표시 설계 결함 이고, 레슨 3 의 제시 방식과 맞물린다.
수기 대체 절차 — 있다고 작동하는 것이 아니다
시스템이 멈추면 종이와 전화로 돌아간다. 그 절차를 수기 대체(다운타임 절차) 라 하고, 의료기관은 보통 문서를 갖고 있다.
문제는 문서가 있는 것과 작동하는 것이 다르다 는 점이다. 확인할 축이 일곱이다.
| 축 | 확인할 것 |
|---|---|
| 문서 존재와 최신성 | 있는가. 시스템이 바뀐 뒤 갱신되었는가 |
| 접근 가능성 | 시스템이 죽은 상태에서 그 문서를 볼 수 있는가 |
| 양식 준비 | 종이 양식이 실제로 비치되어 있는가, 수량이 충분한가 |
| 최소 정보 확보 | 환자 정보·투약 이력을 어디서 얻는가 |
| 권한과 책임 | 누가 수기 전환을 선언하는가 |
| 훈련 | 실제로 해 본 사람이 있는가 |
| 복구 후 입력 | 수기 기록을 시스템에 어떻게 합치는가 |
두 번째가 가장 허무한 실패 다. 다운타임 절차서가 시스템 안에만 있으면 시스템이 죽었을 때 볼 수 없다. 인쇄본 비치나 별도 접근 경로가 필요하다.
네 번째가 실무에서 가장 어렵다. 수기로 진료하려면 환자가 누구이고 무엇을 복용 중인지 알아야 한다. 시스템이 죽으면 그 정보가 없다. 그래서 읽기 전용 사본 이나 주기적으로 내려받는 최소 정보 목록 같은 설계가 쓰인다.
QA 가 확인할 질문이 생긴다 — 읽기 전용 사본이 있는가, 얼마나 최신인가, 어디서 접근하는가, 그것도 같은 장애에 함께 죽지 않는가. 마지막이 중요하다. 사본이 같은 인프라에 있으면 함께 죽는다.
여섯 번째(훈련) 가 결정적이다. 절차서를 읽은 것과 해 본 것이 다르고, 해 보지 않으면 당일에 혼란이 생긴다. 훈련 기록이 있는지 확인하는 것이 QA 가 할 수 있는 질문이다.
복구 후 — 기록을 합치는 것이 가장 어렵다
수기 대체의 가장 어려운 부분은 대체 자체가 아니라 복구 후 다. 중단 동안 종이에 적힌 기록을 시스템에 넣어야 하고, 그 과정에서 문제가 생긴다.
| 문제 | 상황 |
|---|---|
| 입력 지연 | 바빠서 며칠 뒤에 넣는다. 그 사이 기록이 없는 상태 |
| 시각 왜곡 | 입력 시각이 기록되고 실제 처치 시각이 안 들어간다 |
| 순서 역전 | 나중에 입력된 기록이 더 늦은 것으로 보인다 |
| 누락 | 종이가 분실되거나 일부만 입력된다 |
| 중복 | 시스템이 부분 복구되어 일부는 이미 들어가 있다 |
| 구조 불일치 | 종이에 적은 내용이 시스템 항목에 맞지 않는다 |
| 추적 불가 | 어느 기록이 수기 대체 기간의 것인지 알 수 없다 |
두 번째가 임상적으로 위험하다. 투약 시각이 실제와 다르게 들어가면 투약 간격 판단이 틀어진다. 그래서 실제 발생 시각을 따로 입력할 수 있는 설계 가 필요하고, QA 가 확인할 항목이다 — 모듈 62 레슨 4 의 네 시각 구분이 여기서 나타난다.
일곱 번째가 QA 가 요구할 가장 실용적인 것 이다. 수기 대체 기간의 기록에 표식 을 붙이면, 나중에 그 기간의 데이터를 가려 볼 수 있다. 품질 분석에서도 분쟁에서도 쓰인다. 모듈 62 레슨 3 의 시험 데이터 식별 표식과 같은 발상이다.
다섯 번째의 중복 도 자주 발생한다. 시스템이 부분적으로 살아 있어 일부는 입력되었는데, 복구 후 종이 기록을 전부 입력하면 중복이 생긴다. 멱등 처리나 중복 검사 가 필요하다 — 모듈 41 레슨 2 와 같은 구조다.
검증 설계 — 무엇을 어떻게 시험하는가
가용성과 수기 대체는 문서 검토와 시험이 섞인 영역이다. 배분하면 이렇다.
| 대상 | 방법 |
|---|---|
| 흐름별 허용 중단 표 | 문서 검토 — 존재하는가, 임상이 정했는가 |
| 의존성 지도 | 문서 검토 + 부분 장애 주입으로 확인 |
| 부분 장애 동작 | 시험 — 소프트웨어 계층으로 기능별 차단 |
| 보조 기능 중단 처리 | 시험 — AI 를 꺼 보고 진료 흐름이 되는가 |
| "값이 없음" 표시 | 시험 — 중단 상태가 음성으로 보이지 않는가 |
| 시간 초과 처리 | 시험 — 느린 응답을 주입해 포기하는가 |
| 수기 대체 절차 | 문서 검토 + 훈련 관찰 |
| 복구 후 입력 | 시험 — 시각 입력, 중복 처리, 표식 |
세 번째부터 여섯 번째까지가 QA 가 직접 시험하는 영역 이고, 가장 가치 있다. 그리고 소프트웨어 계층 차단으로 충분히 할 수 있다 — 서비스 중지, 포트 차단, 응답 지연 주입. 모듈 62 레슨 5, 모듈 39 레슨 7 의 기법이 쓰인다.
다섯 번째(값이 없음 표시) 를 가장 공들여 시험한다. AI 를 꺼 놓고 화면을 보면서, 의사가 이 화면을 보고 "이상 없음" 으로 읽을 가능성이 있는가 를 본다. 이것은 기능 시험이 아니라 표시 설계 검토 에 가깝고, 사용적합성과 맞물린다 (모듈 40 레슨 3, 모듈 49).
안전 경계 — 운영 환경에서 하지 않는다
이 영역의 시험은 장애를 만드는 일이다. 분명히 해 둔다.
- 운영 의료 시스템에 장애를 주입하지 않는다. 진료가 영향을 받고, 환자 안전에 직결된다. 어떤 이유로도 임의로 하지 않는다
- 시험은 전용 환경 에서 한다. 전용 환경이 없으면 그것이 시험 가능성 지적이다
- 수기 대체 훈련은 의료기관이 주관 한다. QA 의 자리는 관찰과 기록 이고, 훈련을 설계하거나 주도하는 것이 아니다
- 운영 환경에서의 복구 절차 확인 은 계획된 점검 일정에 합승해 관찰하는 형태가 현실적이다 — 모듈 62 레슨 5 의 계획 정전 합승과 같다
- 실습 과제는 전부 설계·문서 과제 다
실무에서 왜 필요한가
의료 소프트웨어 조직에서 가용성 논의가 비율로만 이뤄지는 경우가 많다. "99.9% 를 목표로 합니다" 가 요구사항에 적히고, 그 숫자가 흐름별 차이와 부분 장애를 전혀 담지 못한다.
QA 가 할 가장 큰 기여는 흐름별 허용 중단 표를 만들자고 요구하는 것 이다. 그 표가 없으면 장애 당일에 우선순위를 즉흥으로 정하게 되고, 그 논쟁 동안 진료가 영향을 받는다. 표를 만드는 것은 임상·운영의 일이지만, 필요하다고 말하는 것은 QA 가 할 수 있다.
두 번째는 AI·보조 기능을 꺼 보고 진료가 되는지 확인하는 것 이다. 이것은 QA 가 직접 시험할 수 있고, 아무도 하지 않는 경우가 많다. 보조 기능 장애가 진료 장애가 되는 설계라면 그것은 중대한 결함이다.
세 번째가 가장 중요하다. AI 중단 상태가 "이상 없음" 으로 보이는지 확인하는 것. AI 를 꺼 놓고 화면을 보는 간단한 시험으로 드러나고, 발견되면 표시 설계가 바뀐다. 발견되지 않으면 판독하지 못한 영상이 정상으로 읽힌다.
네 번째는 다운타임 절차서가 시스템 안에만 있는지 확인하는 것 이다. 허무할 정도로 단순한 확인인데, 실제로 그런 경우가 있다.
다섯 번째는 복구 후 기록 합치기 다. 수기 대체 계획은 "어떻게 버티는가" 에 집중하고 "어떻게 돌아오는가" 는 비어 있는 경우가 많다. 실제 시각 입력, 중복 처리, 기간 표식을 요구하면 복구 품질이 달라진다.
채용시장에서의 위치
이 영역은 병원 의료정보팀, 의료정보 솔루션 기업, 의료 클라우드 사업자, 그리고 의료 AI 기업 에서 요구된다. 공고에는 "가용성", "BCP", "재해 복구", "무중단", "장애 대응" 같은 말이 적힌다.
특징은 QA 와 운영의 경계 라는 점이다. 시험 설계와 운영 절차 검토가 함께 필요하고, 의료 흐름을 이해해야 우선순위를 판단할 수 있다.
면접에서 가르는 질문이 분명하다. "가용성 99.9% 요구를 어떻게 검증 하시겠습니까." 비율을 재겠다고 답하면 약하고, 흐름별 허용 중단으로 바꿔 묻고 부분 장애와 최대 연속 중단을 보겠다 고 답하면 즉시 구분된다. 그리고 의료 AI 쪽이면 "AI 가 죽으면 어떻게 되어야 합니까" — 진료가 계속되고 중단 상태가 음성으로 보이지 않아야 한다고 답하면 실무자로 읽힌다.