개념
이 전환이 다른 전환과 다른 점
모듈 4 레슨 6 에서 이관·전환 검증을, 모듈 41 레슨 3 에서 금융 차세대 전환을 다뤘다. 그 기법이 그대로 쓰인다. 다만 의료에서 더해지는 조건이 셋이다.
1) 멈출 수 없다. 진료는 24시간 돌고, 응급은 예약되지 않는다. 금융의 마감 시간처럼 "조용한 창" 이 없는 경우가 많다.
2) 과거 기록이 현재 진료에 쓰인다. 몇 년 전 영상과 검사 결과를 지금 비교해야 한다. 이관되지 않거나 깨진 과거 기록은 지금의 진단을 틀어뜨린다. 금융의 과거 거래 내역과 성격이 다르다 — 거래 내역은 조회용이고, 의료 기록은 판단의 근거 다.
3) 접근 통제가 양방향으로 위험하다. 너무 열면 개인정보 문제이고, 너무 막으면 응급 상황에서 진료가 막힌다. 아래에서 따로 다룬다.
그래서 이 레슨의 판정 기준이 정해진다. "데이터가 옮겨졌는가" 가 아니라 "진료가 끊기지 않고 판단의 근거가 보존되었는가" 다.
정합성 — 세 층으로 판정한다
이관 정합성은 한 번에 판정할 수 없다. 모듈 39 레슨 11 의 단계적 비교를 의료 데이터에 적용하면 세 층이 된다.
1층 — 건수와 식별자. 환자 수, 방문 수, 처방 수, 검사 수, 영상 건수. 그리고 식별자 집합이 같은가. 이것이 가장 먼저이고 가장 빨리 깨진다.
| 검사 | 통과 조건 |
|---|---|
| 환자 수 일치 | 원본과 대상이 같음 |
| 환자 식별자 집합 | 양쪽 차집합 양방향 모두 0건 |
| 유형별 건수 | 방문·처방·결과·영상 각각 일치 |
| 환자별 건수 | 환자 단위로 쪼개 비교. 전체만 맞고 환자별로 틀릴 수 있다 |
| 고아 기록 | 환자가 없는 기록 0건 |
네 번째가 중요하다. 전체 건수가 맞는데 환자 A 의 기록이 환자 B 에 붙은 경우가 있다. 전체 합계로는 안 보이고, 환자별 비교로만 드러난다 — 레슨 4 의 환자 섞임이 이관에서 나타나는 모양이다.
두 번째의 양방향 도 필수다. 대상에 원본에 없는 환자 가 있으면
그것도 결함이다(중복 생성, 다른 소스 혼입). 모듈 39 레슨 11 의 A−B 도
봐야 한다는 원칙과 같다.
2층 — 값. 표본을 골라 값을 비교한다. 전수 비교가 어려우므로 설계된 표본 을 쓴다(레슨 4 와 모듈 39 레슨 11 의 발상).
| 표본 선정 기준 | 왜 |
|---|---|
| 가장 오래된 기록 | 구조가 가장 다르고 깨지기 쉽다 |
| 가장 최근 기록 | 전환 시점 전후 |
| 기록이 가장 많은 환자 | 양이 많은 쪽에서 누락이 생긴다 |
| 특수 문자·다국어 이름 | 레슨 4 의 인코딩 문제 |
| 경계값 | 극단적 수치, 긴 텍스트, 빈 값 |
| 임상적으로 중요한 유형 | 알레르기, 투약, 수술 이력 |
마지막이 안전과 직결된다. 알레르기 정보가 누락되면 환자가 위험하다. 그래서 이관 검증에서 알레르기·투약·수술 이력은 전수 비교 하는 것이 타당한 경우가 많다. 전수 비교 대상을 정하는 것은 임상 판단이고, QA 는 "무엇을 전수로 봐야 합니까" 를 묻는다.
3층 — 의미. 값이 같아도 뜻이 달라질 수 있다. 이것이 의료 이관의 고유 난점이고 아래에서 다룬다.
의미 보존 — 코드 체계가 바뀔 때
구조가 다른 시스템으로 옮기면 코드 체계 매핑 이 생긴다. 진단 코드, 검사 항목 코드, 약품 코드, 단위.
여기서 세 가지 문제가 생긴다.
1) 다대일 매핑으로 정보가 줄어든다. 원본의 세 코드가 대상의 한 코드로 합쳐지면 구분이 사라진다. 되돌릴 수 없다.
2) 일대다 매핑에서 선택이 생긴다. 원본 한 코드가 대상에서 여러 코드에 대응하면 하나를 골라야 하고, 그 선택이 임상적으로 틀릴 수 있다.
3) 매핑되지 않는 코드가 생긴다. 대상에 대응 코드가 없으면 어떻게 하는가. 기타로 넣는가, 텍스트로 남기는가, 버리는가.
단위 변환 도 같은 문제다. 검사 수치의 단위가 다르면 변환이 필요하고, 변환이 틀리면 수치가 자릿수로 달라진다. 모듈 40 레슨 8 에서 단위 혼동을 의료 소프트웨어의 고전적 위해 요인으로 짚은 것과 같다.
QA 가 요구할 것은 셋이다.
- 매핑표가 문서로 있고 임상 검토를 받았는가 — 개발자가 만든 매핑표가 임상 검토 없이 적용되는 경우가 실재한다
- 매핑되지 않는 코드의 처리 정책 이 있는가. 그리고 그 건수가 얼마인가
- 되돌릴 수 없는 매핑 이 무엇인지 목록화되어 있는가
세 번째가 가장 중요하다. 정보가 줄어드는 매핑은 이관 후에 복구할 수 없다. 원본 시스템을 끄기 전에 그 목록을 확정하고, 필요하면 원본 값을 함께 보존 하는 설계를 요구한다(원본 코드를 텍스트로 남기는 식).
비정형 기록 — 가장 많고 가장 어렵다
진료 기록의 상당 부분이 자유 텍스트 다. 경과 기록, 판독 소견, 수술 기록. 이것들은 코드 매핑 문제가 없는 대신 다른 문제가 있다.
| 문제 | 상황 |
|---|---|
| 서식·구조 손실 | 표·줄바꿈·강조가 사라져 읽기 어려워진다 |
| 문자 깨짐 | 인코딩 변환에서 특수 문자·한자가 깨진다 |
| 길이 잘림 | 대상 필드 길이 제한으로 뒤쪽이 잘린다 |
| 첨부 분리 | 텍스트에 참조된 그림·측정값이 따라오지 않는다 |
| 작성자·시각 | 누가 언제 썼는지가 보존되는가 |
| 수정 이력 | 정정 기록이 보존되는가 |
세 번째가 임상적으로 위험하다. 긴 판독 소견의 뒤쪽이 잘리면 결론 부분이 사라진다. 소견은 보통 뒤에 결론이 오므로, 앞부분만 남으면 의미가 반대로 읽힐 수 있다.
QA 가 할 검사는 길이 분포 비교 다. 원본과 대상의 텍스트 길이를 비교해 짧아진 건 을 찾는다. "0건이면 통과" 형태로 만들 수 있고, 길이 제한 때문에 잘린 것을 전부 잡아낸다.
여섯 번째(수정 이력) 도 중요하다. 의료 기록의 정정 이력은 보존 요구가 있고, 이관에서 이력이 날아가면 "현재 값" 만 남는다. 보존 요구와 기간은 규정과 조직 정책에서 확인한다(원문 확인).
영상 — 양이 다르고 검증이 다르다
영상 데이터는 양이 압도적으로 크고, 레슨 4 의 구조를 갖는다. 이관 검증 축이 따로 있다.
| 축 | 확인할 것 |
|---|---|
| 건수 | 검사·시리즈·인스턴스 각 단위로 일치 |
| 장수 | 검사별 영상 장수 일치. 레슨 4 의 부분 전송 문제 |
| 식별자 | 검사·시리즈·인스턴스 식별자 보존 |
| 메타데이터 | 필요 필드 보존(레슨 2·4 의 분석 전제) |
| 내용 | 영상 자체가 변하지 않았는가(해시 비교) |
| 환자 연결 | 영상이 올바른 환자에 붙어 있는가(레슨 4) |
| 접근 경로 | 이관 후 기존 뷰어·AI 에서 열리는가 |
다섯 번째의 해시 비교 가 영상 검증의 강점이다. 값 비교가 어려운 대신 내용이 바뀌지 않았음을 기계적으로 확인 할 수 있다. 다만 압축 방식이 바뀌면 해시가 달라진다 — 그 경우 변환이 의도된 것인지, 손실이 있는지를 따로 판정해야 한다. 손실 압축으로 변환되면 진단에 영향 을 줄 수 있고, 그 결정은 임상·규제 판단이다.
일곱 번째가 자주 빠진다. 데이터는 옮겨졌는데 기존 판독 뷰어나 AI 소프트웨어가 새 위치에서 영상을 못 가져오면 진료가 멈춘다. 레슨 4 의 연계가 전환 후에도 동작하는지가 이관 검증의 일부다.
전환 당일 — 이중 운영과 되돌리기
의료에서 "멈출 수 없다" 는 조건이 전환 설계를 결정한다.
이중 운영(병행) 기간 이 쓰이는 경우가 많다. 두 시스템이 함께 돌고, 점차 옮긴다. 그러면 QA 가 확인할 것이 늘어난다.
| 축 | 확인할 것 |
|---|---|
| 어느 쪽이 정본인가 | 같은 환자 기록이 양쪽에 있을 때 어느 것이 맞는가 |
| 양쪽 동기 | 한쪽에 입력한 것이 다른 쪽에 반영되는가, 지연이 얼마인가 |
| 중복 입력 | 같은 기록이 양쪽에 따로 입력되면 어떻게 되는가 |
| 조회 범위 | 신규 시스템에서 과거 기록이 보이는가 |
| 진료 혼란 | 사용자가 어느 시스템을 써야 하는지 아는가 |
| 전환 경계 환자 | 전환 시점에 입원 중인 환자의 기록이 끊기지 않는가 |
여섯 번째가 가장 위험하다. 입원 중인 환자의 투약·처치 기록이 전환 경계에서 끊기면, 그 환자의 치료 연속성이 깨진다. 전환 시점에 진료가 진행 중인 환자를 명단으로 뽑아 개별 확인 하는 것이 필요하고, 그것을 요구하는 것이 QA 의 일이다.
첫 번째도 실무에서 사고를 만든다. 양쪽에 다른 값이 있는데 어느 쪽이 정본인지 정해져 있지 않으면, 의료진이 보는 화면에 따라 다른 판단을 한다.
되돌리기 는 더 어렵다. 전환 후 신규 시스템에 새로 입력된 기록 이 있으므로, 단순히 원본으로 돌아갈 수 없다.
확인할 질문이 넷이다.
- 되돌릴 수 있는 시점 이 언제까지인가. 그 이후는 되돌릴 수 없다
- 되돌리면 신규 입력 기록은 어떻게 되는가. 원본으로 옮기는 절차가 있는가
- 되돌리기 판단 기준 이 미리 정해져 있는가. 무엇이 일어나면 되돌리는가
- 되돌리기 자체를 연습 했는가
세 번째가 전환 계획의 핵심 이고, 모듈 4 레슨 5 의 출시 판단과 같은 구조다. 기준이 없으면 당일에 논쟁이 되고, 그 논쟁 동안 진료가 영향을 받는다.
네 번째를 안 하는 경우가 대부분이다. 되돌리기 절차가 문서에만 있고 한 번도 수행해 본 적이 없으면, 실제로 되돌려야 할 때 작동하지 않는다. 리허설을 요구하는 것 이 QA 의 기여다 — 모듈 41 레슨 3 의 전환 리허설과 같은 발상이다.
접근 통제 — 양방향으로 위험하다
의료의 고유 긴장이다. 다른 분야에서는 "통제를 강하게" 가 안전한 방향인데, 의료에서는 막는 것도 위험하다.
| 방향 | 위험 |
|---|---|
| 너무 열림 | 권한 없는 열람, 개인정보 침해, 규제 위반 |
| 너무 막힘 | 응급 상황에서 필요한 기록에 접근 못 함 |
그래서 의료 시스템에는 긴급 접근 설계가 있는 경우가 많다 — 평소 권한이 없어도 응급 상황에서 열 수 있게 하고, 대신 그 사용을 기록하고 사후 검토 하는 방식이다.
QA 가 확인할 축이 이렇다.
| 축 | 확인할 것 |
|---|---|
| 역할별 권한 | 직종·부서·직급별 접근 범위가 명세와 일치 |
| 진료 관계 기반 | 담당 환자만 보이는 설계면 그 판정이 맞는가 |
| 긴급 접근 | 작동하는가. 기록되는가. 사후 검토 절차가 있는가 |
| 민감 정보 | 특별히 보호되는 항목의 추가 통제가 동작하는가 |
| 열람 기록 | 누가 언제 무엇을 봤는지 남는가. 지워지지 않는가 |
| 권한 회수 | 퇴사·전보·파견 종료 시 즉시 회수되는가 |
| 외부 접근 | 원격·협진·연구 목적 접근의 범위와 기록 |
| 이관 후 권한 | 전환으로 권한 구조가 바뀌었는가 |
세 번째를 반드시 시험한다. 긴급 접근이 작동하지 않으면 응급 상황에서 진료가 막히고, 기록되지 않으면 통제가 아니다. 양쪽을 함께 확인 한다.
다섯 번째도 중요하다. 열람 기록이 남지 않으면 부적절한 열람을 발견할 수 없다. 그리고 그 기록을 당사자가 지울 수 있으면 통제가 무의미하다.
여덟 번째가 이관 특유 항목 이다. 시스템이 바뀌면 권한 모델이 바뀔 수 있고, 이관 과정에서 권한이 넓게 부여되는 경우가 실재한다. 전환 전후 권한을 대조하는 검사가 필요하다.
각 항목의 구체적 요구와 보존 기간은 관련 법령·규정과 조직 정책에서 확인한다 (원문 확인). 이 레슨에서 기준을 적지 않는다.
성능과 가용성 — 클라우드로 옮기면 경로가 길어진다
원내 시스템에서 클라우드로 옮기면 네트워크 경로가 길어진다. 그것이 진료 흐름에 영향을 준다.
| 영향 | 확인할 것 |
|---|---|
| 조회 응답 | 진료 중 조회가 느려지면 진료가 느려진다 |
| 영상 전송 | 큰 영상이 뜨는 시간. 판독 흐름에 직결 |
| 네트워크 장애 | 끊기면 진료가 멈추는가. 대체 경로가 있는가 |
| 동시 사용 | 회진·외래 시간대의 집중 |
| 원내 장비 연계 | 장비가 클라우드와 직접 통신하는가, 원내 중계가 있는가 |
두 번째가 판독 업무에 직접 영향 을 준다. 영상 한 건이 뜨는 데 몇 초가 더 걸리면, 하루 수십·수백 건을 읽는 판독의가 체감하는 지연이 크다. 판독 흐름 전체의 시간 을 재야 하고, 영상 한 건의 응답만으로는 부족하다.
세 번째가 가장 중요하고 레슨 6 으로 이어진다. 네트워크가 끊겼을 때 진료가 어떻게 되는가 — 이것이 가용성과 수기 대체 절차의 문제이고, 레슨 6 이 다룬다.
데이터 취급과 안전 경계
- 이관 검증은 실제 환자 데이터를 다룬다. 접근 권한과 승인 절차 안에서만 한다
- 운영 데이터를 시험 환경으로 복제 하는 경우, 가명화와 반출 통제가 적용된다. 모듈 41 레슨 10 의 구조가 그대로다
- 운영 시스템에 시험 데이터를 넣지 않는다. 레슨 4 의 원칙과 같다. 이관 전환 기간에는 특히 위험하다 — 시험 환자가 이관 대상에 섞인다
- 전환 작업 자체를 QA 가 수행하지 않는다. 데이터 이관과 전환 실행은 해당 담당이 하고, QA 는 검증과 판정 기준을 맡는다
- 운영 환경에서 임의로 성능 시험을 하지 않는다. 진료에 영향을 준다. 승인된 시간과 범위에서 한다
실무에서 왜 필요한가
의료 시스템 전환에서 사고가 나는 지점은 거의 정해져 있다.
첫째, 환자별 비교를 안 한다. 전체 건수가 맞아 통과로 보고하는데, 환자 A 의 기록이 B 에 붙어 있다. 전체 합계로는 영원히 안 보인다.
둘째, 알레르기·투약 이력을 표본으로만 본다. 누락되면 환자가 위험한 정보인데 표본 비교로 넘긴다. "무엇을 전수로 봐야 합니까" 를 임상에 묻는 것 이 QA 의 일이고, 그 질문을 하는 사람이 적다.
셋째, 텍스트 잘림을 확인하지 않는다. 판독 소견의 뒤쪽이 잘려 결론이 사라진다. 길이 분포 비교 한 번으로 전부 잡히는데 그 검사가 없다.
넷째, 코드 매핑을 임상 검토 없이 적용한다. 개발자가 만든 매핑표가 그대로 들어가고, 정보가 줄어드는 매핑은 되돌릴 수 없다. 원본을 끄기 전에 되돌릴 수 없는 매핑 목록을 확정하는 것이 QA 의 기여다.
다섯째, 전환 경계 환자를 개별 확인하지 않는다. 입원 중인 환자의 투약 기록이 끊기면 치료 연속성이 깨진다. 명단을 뽑아 확인하는 작업을 요구해야 한다.
여섯째, 되돌리기를 연습하지 않는다. 절차가 문서에만 있고, 실제로 되돌려야 할 때 작동하지 않는다. 리허설 요구는 비용이 들지만 그 비용이 보험이다.
일곱째, 긴급 접근을 시험하지 않는다. 보안 시험은 "막히는지" 만 보고, 응급 상황에서 열리는지 는 안 본다. 의료에서는 양쪽이 다 위험하다.
채용시장에서의 위치
이 영역은 의료정보 솔루션 기업, 병원의 의료정보팀, 의료 클라우드 사업자, 그리고 전환 사업을 수행하는 SI 의 QA 자리다. 공고에는 "EMR 전환", "의료정보시스템 구축", "데이터 이관", "의료 클라우드" 같은 말이 적힌다.
특징은 전환 사업이 주기적으로 발생 한다는 점이다. 병원이 시스템을 바꾸는 주기가 있고, 클라우드 전환이 진행되면서 수요가 늘었다. 그리고 한 번 겪은 사람의 가치가 높다 — 전환 사고의 비용이 커서 경험자를 찾는다.
면접에서 가르는 질문이 분명하다. "이관 정합성을 어떻게 확인하시겠습니까." "건수를 비교합니다" 로 답하면 약하고, 세 층(건수·값·의미)과 환자별 비교, 전수 대상 선정, 길이 분포 비교 를 들면 즉시 구분된다. 그리고 "전환 당일에 무엇을 준비하시겠습니까" — 되돌리기 기준과 리허설, 전환 경계 환자 명단을 들면 실무자로 읽힌다.