FDA Class I 리콜: 혈당측정기 사용 오류의 교훈

센서는 아무 잘못이 없었던 Class I 리콜

2026년 10월 20일, FDA는 Nova Biomedical의 StatStrip Glucose Hospital Meter System Gen 2.0이 Class I 리콜 대상이라고 공지했습니다. Class I은 FDA의 리콜 분류 가운데 가장 심각한 등급입니다. FDA 공지는 짧지만, 그 사유는 한 번 더 읽어 볼 가치가 있습니다. 혈당 측정 자체에는 아무 문제가 없었습니다. 공지에서 Nova Biomedical은 이 문제가 “혈당 측정의 분석 성능에는 영향을 주지 않는다”고 밝히고 있습니다. 고장 난 것은 화면이었습니다.

조작자가 환자 ID나 정도관리(QC) 바코드를 스캔할 때, 이전 정보가 측정기 화면에 그대로 남아 있을 수 있습니다. 조작자가 화면에 보이는 내용을 그대로 수락하면, 혈당 결과는 이전 환자의 의무기록이나 QC ID로 들어갈 수 있습니다. 그렇게 되면 실제로 검사를 받은 환자의 기록에는 그 검사 결과가 없게 됩니다. FDA가 열거한 가능한 위해는 치료 지연, 부적절한 인슐린 투여를 포함한 불필요한 치료, 그리고 치료가 필요한 환자가 치료받지 못하는 것입니다. 중증 환자와 영아는 저혈당 증상을 스스로 알리지 못할 수 있어 위험이 더 큽니다.

10월 5일 기준으로 Nova Biomedical은 심각한 상해 1건을 보고했고 사망은 없었습니다. 영향을 받는 것은 Gen 2.0 모델뿐이며, 펌웨어 버전과 무관하게 모두 해당됩니다. 이전 세대는 해당되지 않습니다. 제조사는 소프트웨어 업데이트를 검증하는 동안 신규 Gen 2.0 시스템의 출하를 보류했고, 2026년 11월부터 단계적으로 배포할 계획입니다. 대체 측정기가 있는 병원에는 업데이트가 끝날 때까지 해당 기기의 사용을 중단하라는 안내가 있었습니다. (수치와 날짜는 2026년 10월 30일에 갱신된 FDA 공지를 기준으로 합니다.)

정확한 수치, 엉뚱한 환자

측정 기기를 만드는 사람은 누구나 같은 것을 최적화합니다. 정확도, 반복성, 전기 안전, 인증 경로. 사양서에 적히는 것, 시험소가 측정하는 것, 심사원이 확인하는 것이 바로 이것들입니다. 이번 리콜은 그중 어느 것도 건드리지 않았습니다. 문제는 한 검사와 다음 검사 사이의 0.5초, 병동에서, 간호사가 한 손에 측정기를 든 그 순간에 있었습니다.

그 0.5초는 실험대 위에서는 가장 보기 어려운 부분입니다. 실험실에서는 바코드 하나를 스캔하고, 스트립 하나로 측정하고, 결과 하나를 읽습니다. 순서가 깔끔합니다. 현장에서는 그 순서가 십여 차례 끊깁니다. 호출벨이 울리고, 두 번째 환자가 오고, 스트립이 제대로 끼워지지 않습니다. 그 모든 과정에서 기기는 자기 상태를 정확히 알고 있어야 합니다. 다음 환자의 바코드를 스캔한 뒤에도 화면에 이전 환자의 식별자가 남아 있다면, 기술적으로는 표시 버그입니다. 리스크 관리 용어로는 위해 요인(hazard)입니다.

규제 당국은 이 범주에 이름을 붙여 두었습니다. 사용 오류(use error)입니다. 사용자 오류(user error)가 아니며, 그 차이가 핵심입니다. 사용 오류란 기기를 사용하는 사람의 행위 또는 행위의 누락이 제조사가 의도했거나 사용자가 기대한 것과 다른 결과로 이어지는 것을 말합니다. 표준은 그 범위를 정상 사용으로 한정하는데, 여기에는 합리적으로 예견 가능한 오용이 포함됩니다. 의료기기 사용적합성 공학 표준인 IEC 62366-1과 FDA의 인적 요인 가이던스는 같은 전제에서 출발합니다. 조작자의 업무 부하는 기기의 사용 조건 가운데 하나이며, 기기는 그것을 핑계로 삼을 수 없다는 것입니다.

정확도는 입장권, 워크플로가 마지노선입니다

1996년부터 브랜드를 위해 가정용 의료기기와 헬스케어 기기를 만들어 온 저희의 관점은 이렇습니다. 정확도는 시장에 들어가게 해 줍니다. 시장에 남게 해 주는 것은 측정을 둘러싼 나머지 전부입니다. 사용자가 누구인지, 그 사람이 동시에 무엇을 하고 있는지, 힐끗 보는 그 순간 화면에 무엇이 적혀 있는지, 그리고 아예 보지 않을 때 기기가 무엇을 하는지입니다.

가정용 기기는 이 문제를 더 어렵게 만듭니다. 조작자는 환자나 가족이고, 훈련받지 않았으며, 자주 지쳐 있고, 때로는 자신의 수치를 재는 당사자입니다. 소싱 측면에서의 이야기는 가정용 의료기기 제조 가이드에서 다루었습니다. 이번 리콜의 교훈은, 병원에서 훈련받은 간호사도 같은 함정에 빠지기에 충분했다는 것입니다. 주의가 분산된 사용자를 위해 설계하는 것이 일반적인 경우이고, 가정용은 그 문제를 더 크게 키울 뿐입니다.

FDA 공지의 잠정 조치는 시사하는 바가 큽니다. 의료기관은 측정기의 데이터 관리 시스템에서 “Validate Patient ID’s”(환자 ID 검증)를 켜고(EMR에 ADT 연동이 있는 기관에 한함), 검사가 끝날 때마다 조작자가 로그아웃되도록 조작자 로그오프 모드를 설정하고, “Confirm Patient ID”(환자 ID 확인) 화면에서 환자 식별자를 확인한 뒤 결과 화면에서 다시 한 번 확인하라는 권고를 받았습니다. 그중 둘은 처음부터 켜진 상태로 출하할 수 있었던 설정이고, 셋째는 화면이 강제할 수 있었던 확인 절차입니다. 설계의 교훈이 이 목록 하나에 담겨 있습니다. 안전한 동작은 이미 시스템 안에 있었고, 다만 선택 사항이었습니다.

금형 전 검토에서 물어야 할 세 가지 질문

저희는 어떤 제품이든 금형에 들어가기 전에 33개 항목의 DFX 리스크 검토를 돌립니다. 적색·황색·녹색 등급을 매기고, 적색 하나면 프로그램이 멈춘다는 규칙이 있습니다. 항목 대부분은 제조성, 원가, 안전, 컴플라이언스에 관한 것입니다. 이번 같은 리콜은 화면과 메모리가 있는 모든 기기에서 상태 처리를 명시적인 항목으로 만들어야 한다는 강력한 논거입니다. 그 검토에서 답을 듣고 싶은 질문 세 가지입니다.

무엇을, 언제 지웁니까? 맥락을 바꾸는 모든 이벤트(새 사용자, 새 검체, 새 세션, 시간 초과)는 화면에 표시되는 것과 저장되는 것에 정의된 효과를 가져야 합니다. “이전 값은 덮어쓰기 전까지 남아 있다”는 것도 하나의 설계 결정입니다. 다만 의도적으로 내린 결정이어야 하고, 문서로 남겨야 하며, 실제 워크플로에서 벌어지는 끊김을 넣어 시험해야 합니다.

확인 화면은 실제로 무엇을 확인합니까? 오래된 데이터를 보여 주는 확인 화면은 엉뚱한 것을 완전한 확신으로 확인해 줍니다. 화면은 기기가 곧 처리하려는 값을, 기기가 실제로 읽어 갈 바로 그 위치에서 읽어 와 보여 주어야 합니다. 직전 작업에서 캐시된 사본은 해당되지 않습니다.

어떤 안전 동작이 기본값입니까? 검사가 끝날 때마다 조작자를 로그아웃시키는 것. 데이터를 쓸 수 있을 때마다 기록 시스템과 ID를 대조하는 것. 리콜 공지에서 권고할 만큼 안전한 동작이라면, 켜진 상태로 출하해도 될 만큼 안전한 것입니다. 끄고 싶은 사람은 직접 가서 끄게 하면 됩니다.

이 가운데 어느 것도 특별한 엔지니어링이 아닙니다. 펌웨어가 시연에서 잘 돌아가고 일정은 빠듯하다는 이유로 건너뛰게 되는 종류의 항목입니다. 관문 검토가 존재하는 이유는 “시연에서 잘 돌아간다”가 기준이 되지 않게 하기 위해서입니다. 안전에 직결되는 기능에는 하드웨어와 펌웨어라는 독립된 보호를 두 겹으로 건다는 저희 규칙 뒤에도 같은 생각이 있습니다. 고장이 난다고 가정한 다음, 그 고장을 무해하게 만드는 것입니다.

기기를 소싱하는 입장에서 이 리콜이 뜻하는 것

커넥티드 헬스 기기를 소싱하는 브랜드라면, 이번 리콜은 유용한 감사 질문 하나를 건네줍니다. 제조사에 사용 관련 리스크가 설계 검토의 어디에 자리하는지, 아니면 시험 계획에만 등장하는지 물어보십시오. 세션 도중에 사용자가 바뀌면 그들의 기기가 어떻게 동작하는지 물어보십시오. 실제 CAPA 사례를 보여 달라고 요청하고, 근본 원인이 설계 수준까지 내려갔는지 아니면 교체한 부품에서 멈췄는지 확인하십시오.

범위에 관해 말씀드리면, 저희는 ISO 13485:2016 아래에서 설계하고 제조하며, 귀사의 규제 업무를 위한 문서 및 시험 지원을 제공합니다. 사용적합성 공학 파일, 제출 서류, 허가는 기기의 법적 제조자, 보통은 브랜드에 속합니다. 그러나 위의 상태 처리 질문들은 개발 기간에, 저희 쪽에서 답하는 것이며, 저희는 리콜 공지에서가 아니라 금형 전에 답하는 쪽을 훨씬 선호합니다.

화면과 메모리가 있는 기기를 계획하고 계시다면, 문의를 보내 DFX 검토가 그 기기를 어떻게 다룰지 함께 짚어 보자고 요청해 주십시오. 영업일 2일 이내 초기 회신을 드립니다.

FAQ

Class I 리콜은 무엇을 뜻합니까?

FDA의 리콜 분류 가운데 가장 심각한 등급으로, 해당 제품의 사용이 심각한 건강상 위해나 사망을 초래할 합리적 개연성이 있는 상황을 말합니다. 등급은 위해의 잠재적 심각도를 설명할 뿐, 사고가 몇 건 발생했는지에 대해서는 아무것도 말하지 않습니다. 이번 사례에서는 공지가 나올 당시 심각한 상해 1건이 보고되어 있었습니다.

하드웨어 결함이었습니까, 소프트웨어 결함이었습니까?

FDA 공지에 따르면 문제는 바코드 스캔 후 화면에 표시되는 내용에 있고, 모든 펌웨어 버전의 Gen 2.0 측정기에 영향을 미치며, 시정 조치는 소프트웨어 업데이트입니다. 같은 공지에 따르면 분석 성능은 영향을 받지 않으므로, 검사 시약과 센서는 관련이 없습니다.

사용 오류와 사용자 오류는 무엇이 다릅니까?

사용자 오류는 책임을 사람에게 돌립니다. 사용 오류는 IEC 62366-1과 FDA 가이던스에서 쓰는 용어로, 예견 가능한 사용 조건에서 사용자가 의도하지 않은 결과를 설명합니다. 사용적합성 공학 프로세스는 그것을 줄이는 일을 제조사의 책임으로 삼습니다.

위탁 제조사가 사용적합성 공학을 담당합니까?

일부만 담당합니다. 사용적합성 공학 파일과 규제 제출 서류는 법적 제조자, 보통은 브랜드에 속합니다. 위탁 제조사는 설계 수준의 리스크 검토, 상태 처리와 안전 연동(인터록) 설계, 그리고 그 파일에 필요한 문서와 시험 근거를 제공합니다. 개발을 시작하기 전에 누가 어느 부분을 맡는지 서면으로 합의하십시오.