埋め込み可能な医療装置のための安全な遠隔測定
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法およびシステム。遠隔測定チャンネルを介したＥＤとＩＭＤの間の任意の通信を制限する遠隔測定インターロックを実装し、ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介してＥＤがＩＭＤにイネーブル・コマンドを送信したときにその遠隔測定インターロックをリリースすることができる。この遠隔測定インターロックの置き換えまたは追加として、ＩＭＤとＥＤが互いに対して暗号化方法的に認証された後に限って遠隔測定チャンネルを介したＩＭＤとＥＤの間におけるデータ通信セッションが許可されるようにできる。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、心臓ペースメーカや埋め込み可能な電気的除細動器／除細動器等の埋め込み可能な医療装置に関する。より詳細に述べれば、本発明は遠隔測定データをその種の装置から送信するためのシステムと方法に関する。
【背景技術】
【０００２】
ペースメーカや電気的除細動器／除細動器等の心臓リズム管理装置を含む、埋め込み可能な医療装置（ＩＭＤ）は、通常、無線周波数遠隔測定リンクを介して外部プログラマと呼ばれる外部装置とデータを通信する能力を有する。その種の外部プログラマの１つの用途は、埋め込み可能な医療装置の動作パラメータをプログラムすることである。たとえばペースメーカの、ペーシング・モードやそのほかの動作特性は、一般に埋め込みの後にこの方法で修正される。近代的な埋め込み可能装置は、両方向通信のための能力も含んでおり、その結果、埋め込まれた装置からプログラマへ情報を送信することができる。埋め込み可能装置から一般に遠隔測定されるデータは、種々の動作パラメータや生理学的データであり、後者は、リアルタイムで収集されるか、以前のモニタリング動作からストアされる。
【０００３】
外部プログラマは、一般に誘導リンクを介してＩＭＤと通信するべく構成されている。外部プログラマ内のコイル・アンテナとＩＭＤが誘導結合され、その結果、２つの結合されたコイルの共振周波数に対応する無線周波数の搬送波形を変調することによってデータを送信することができる。誘導リンクは、外部装置のコイル・アンテナがＩＭＤに、通常は数インチ内まで近接することを必要とする短距離通信チャンネルである。別のタイプの遠隔測定システムは、フラウンホーファ領域の電磁放射あるいは別のタイプのデータ・リンク、たとえば電話回線またはネットワーク（インターネットを含む）等を使用してより大きな距離にわたって通信することができる。その種の長距離遠隔測定は、埋め込み可能な装置が遠隔地のモニタリング・ユニットへデータを送信すること、あるいは遠隔地からそれをプログラムすることができる。このように長距離遠隔測定は、医師が部屋を隔てて、さらには国までも隔てて患者をモニタし、患者の継続管理を行うことを可能にする。
【０００４】
【特許文献１】米国特許第４，５６２，８４１号
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら埋め込み可能な医療装置のための長期遠隔測定は、短距離遠隔測定には存在しない特殊な問題をもたらす。誘導リンク等の短距離通信チャンネルを介した埋め込み可能な装置は、外部装置が患者の近くにあることを必要し、そのため医師には、誰の埋め込み可能な装置のプログラムが行われているかがわかり、患者には、埋め込み可能な装置のプログラムと、それからのデータの受信を誰が行っているかがわかる。これに対して長距離遠隔測定は、その種の物理的な近接を必要とせず、医師が誤った装置を不用意にプログラムする可能性を与える。フラウンホーファ領域の電磁放射もしくは何らかの種類のネットワークを介する通信は、意図していないユーザによる通信の傍受も可能にし、その患者のプライバシ問題を浮揚させる。悪意のあるユーザが、長距離遠隔測定システムを使用して埋め込み済み装置の再プログラムを試みることも考えられる。本発明は、これらの問題に注目した長距離遠隔測定を提供するためのシステムと方法である。
【課題を解決するための手段】
【０００６】
本発明は、遠隔測定チャンネルを介した埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間の安全な通信を可能にするための方法とシステムに関係する。一実施態様においては、遠隔測定インターロックが具体化され、それが遠隔測定チャンネルを介したＥＤとＩＭＤの間の任意の通信を制限する。遠隔測定インターロックは、ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介し、ＥＤがＩＭＤに対してイネーブル・コマンドを送信するときにリリースされる。別の実施態様においては、ＩＭＤとＥＤが互いに対して認証された後に限って、ＩＭＤとＥＤの間において遠隔測定チャンネルを介したデータ通信セッションを生じさせることができる。ＩＭＤは、ＥＤが、ＩＭＤによる所有が期待されている暗号化キーの使用の証拠を示すＩＭＤからのメッセージを受信するときにＥＤに対して認証され、ＥＤは、ＩＭＤが、ＥＤによる所有が期待されている暗号化キーの使用の証拠を示すＥＤからのメッセージを受信するときにＩＭＤに対して認証される。
【発明を実施するための最良の形態】
【０００７】
本発明は、埋め込み済み装置の悪意のある、あるいは不用意な再プログラムの可能性に対して保護する埋め込み可能な医療装置のための長距離遠隔測定に関係する。別の側面においては、このシステムは、データ送信の機密性の維持も提供する。この種の患者の安全と機密性の確保は、３つの別々のテクニックを使用して達成することができる：すなわち、データの暗号化、遠隔測定セッションにおける関係者の認証、遠隔測定インターロックである。
【０００８】
１．暗号化／解読
暗号化とは、メッセージがそのメッセージを解読する特別なキーの所有なしに読むことが不可能な方法でメッセージをエンコードするために使用される暗号方法のアルゴリズムを言う。メッセージの暗号化は、そのメッセージに対する暗号化関数を適用することによって行われる。その暗号化関数は、暗号方法のアルゴリズムと暗号化キーによって定義される。以下の説明や参照図面においては、その種の暗号化されたメッセージをＥ（ｍ，ｋ）として示す。Ｅは暗号化関数、ｍは暗号化未済メッセージ、ｋはそのメッセージの暗号化に使用されるキーである。メッセージの解読は、解読キーｋを使用して逆関数Ｄを暗号化済みメッセージｍに適用することを伴い、Ｄ（ｍ，ｋ）と表される。
【０００９】
暗号化キーと解読キーは、使用されている暗号方法のアルゴリズムのタイプによって同一のこともあれば、異なることもある。秘密キー暗号方法においては、通信している両方の関係者が単一の秘密キーを共有し、それがメッセージの暗号化と解読の両方に使用される。したがって、秘密キー暗号化関数Ｅによってキーｋを用いて暗号化されたメッセージｍは、解読関数Ｄを同一のキーｋとともに適用することによって復元される：
ｍ＝Ｄ（Ｅ（ｍ，ｋ），ｋ）
秘密キー暗号方法のアルゴリズムのよく知られている例としては、ＤＥＳ（データ暗号化標準）、ＡＥＳ（米国暗号化標準）、トリプルＤＥＳ、ブローフィッシュが挙げられる。
【００１０】
これに対して公開キー暗号化方法では暗号化キーと解読キーが異なる。公開キー暗号化方法を使用して安全なメッセージを送信するためには、送信者が受信者の公開キーを用いてメッセージを暗号化するが、これはすべての認証済み送信者に知られており、また広く公開されて誰もがメッセージを送信できるようになっている。その後そのメッセージは、そのメッセージの暗号化に使用された公開キーに対応するプライベートキーによってのみ解読が可能であり、このプライベートキーは、メッセージの受信者によって保持され、ほかの誰とも共有されない。したがって、公開キー暗号化関数Ｅによって公開キーｋ１を用いて暗号化されたメッセージは、対応するプライベートキーｋ２とともに解読関数Ｄを適用することによって復元される：
ｍ＝Ｄ（Ｅ（ｍ，ｋ１），ｋ２）
安全な両方向通信セッションにおける各関係者は、そのためそれぞれ独自のプライベートキーを所有し、かつ相手の公開キーを知っていなければならない。公開キー暗号化方法のアルゴリズムのよく知られた例にＲＳＡがある。
【００１１】
公開キーもしくは秘密キー暗号化方法のいずれを使用しても安全にデータを送信することができるが、公開キー暗号化方法のアルゴリズムははるかに演算集約的となる。この理由から、埋め込み可能な装置と外部装置の間における実際のデータ通信のためには、秘密キー暗号化方法を使用する方が通常は好ましい。しかしながら後述するように、認証のために公開キー暗号化方法を使用して、データ通信に使用される秘密キーの送信を使用することができる。
【００１２】
２．認証
認証は、通信セッションにおける関係者が高い信頼性をもって互いを識別できるメカニズムまたはプロトコルを言う。認証プロトコルは、秘密キーまたは公開キー暗号化方法を使用して具体化され、埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の互いを認証する。ＩＭＤとＥＤの間における遠隔測定チャンネルを介したデータ通信セッションは、ＩＭＤとＥＤが互いに対して認証された後に限って許可される。公開キーまたは秘密キーの暗号化方法のいずれかによる認証を用いて、ＩＭＤは、ＥＤが、ＩＭＤによる所有が期待されている暗号化キーの使用の証拠を示すメッセージをＩＭＤから受信するときにＥＤに対して認証され、ＥＤは、ＩＭＤが、ＥＤによる所有が期待されている暗号化キーの使用の証拠を示すメッセージをＥＤから受信するときにＩＭＤに対して認証される。
【００１３】
秘密キー暗号化方法による認証においては、ＥＤが遠隔測定チャンネルを介して第１のメッセージをＩＭＤに送信し、それに応答して、ＩＭＤによる所有が期待されている秘密キーによって暗号化されたその第１のメッセージから誘導されたメッセージを受信するとき、ＩＭＤがＥＤに対して認証される。続いてＩＭＤが遠隔測定チャンネルを介して第２のメッセージをＥＤに送信し、それに応答して、ＥＤによる所有が期待されている秘密キーによって暗号化されたその第２のメッセージから誘導されたメッセージを受信すると、ＥＤがＩＭＤに対して認証される。
【００１４】
公開キー暗号化方法を使用する認証プロトコルは次のように機能する。ＥＤが、ＩＭＤによる所有が期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化し、その暗号化した第１のメッセージを、遠隔測定チャンネルを介してＩＭＤに送信し、それに応答してＩＭＤから、ＩＭＤによる対応するプライベートキーを所有している証拠を示す、第１のメッセージから誘導されたメッセージを受信すると、ＩＭＤがＥＤに対して認証される。またＥＤは、ＩＭＤが、ＥＤによる所有が期待されている対応するプライベートキーを有する公開キーを用いて第２のメッセージを暗号化し、その暗号化した第２のメッセージを、遠隔測定チャンネルを介してＥＤに送信し、それに応答してＥＤから、ＥＤによる対応するプライベートキーを所有している証拠を示す、第２のメッセージから誘導されたメッセージを受信すると、ＩＭＤに対して認証される。第１と第２のメッセージから誘導されるメッセージは、ＥＤとＩＭＤのための識別コード等の識別データとともにそれぞれ第１と第２のメッセージを含むこともできる。それぞれのための別々の送信に代えて、第１のメッセージから誘導されたメッセージと第２のメッセージを、結合されたメッセージとしてＩＭＤが送信してもよい（つまり、ＩＭＤによって送信される第１のメッセージから誘導されたメッセージが第２のメッセージを含む）。一実施形態においては、第１と第２のメッセージがＥＤとＩＭＤによって生成された乱数をそれぞれ含む。その場合、第１と第２のメッセージから誘導されたメッセージは、それぞれの乱数自体もしくはそれから誘導された数を含む（たとえば、その乱数を１インクリメントした数）。一方の関係者を他方に対して認証する応答の機密性を維持するために、第１と第２のメッセージから誘導され、それぞれＩＭＤとＥＤによって送信されるメッセージを、それぞれＥＤとＩＭＤの公開キーを使用して暗号化してもよい。
【００１５】
３．遠隔測定インターロック
前述したとおり、暗号化方法のテクニックを、ＩＭＤとＥＤの相互に対する認証と、安全なデータの送信の両方に使用することができる。しかしながらあらゆる暗号化方法のテクニックは、秘密に保たれる秘密キーまたはプライベートキーに依存する。長距離遠隔測定に関して患者に追加の安全性を提供するために、ここで遠隔測定インターロックと呼んでいるテクニックが採用される。遠隔測定インターロックは、ＥＤとＩＭＤの間における長距離遠隔測定リンクを介した任意の通信を、インターロックがリリースされるまで制限するテクニックである。遠隔測定インターロックは、ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して、ＩＭＤにイネーブル・コマンドを送信することによってリリースされる。一実施形態においては、インターロックがリリースされるまでいかなる情報の送信も許可されない。これは、より安全な実施形態である。第２の実施形態においては、限られた情報が許可されるが、装置のプログラミングは許可されない。この実施形態は、患者がインターロックをリリースする必要を伴わずに遠隔地における患者のモニタリングをサポートすることができる。
【００１６】
遠隔測定インターロックを具体化する１つの方法は、短距離通信チャンネルとして誘導リンクを使用することである。前述したように、伝統的な埋め込み可能な医療装置は、非常にレンジの短い（わずか数インチ）誘導遠隔測定リンクを有している。この遠隔測定インターロックの実装においては、ＩＭＤハードウエアが、長距離遠隔測定インターロックをリリースするために誘導的に交換されるキーを伴う誘導リンクが確立されることを必要とする。一実施形態においては、遠隔測定インターロックのリリースが数十分の後にタイムアウトし、セッションを継続するために再び装置の上で誘導ワンドを振ることが必要となる。別の実施形態においては、現在の遠隔測定セッションの終了まで遠隔測定インターロックが満了しない。
【００１７】
遠隔測定インターロックを具体化する別の方法は、磁石がＩＭＤの近くに保持されているときに遠隔測定インターロックがリリースされるように、短距離通信チャンネルとして磁石の静磁界を使用する。この実施形態は、ＩＭＤが誘導遠隔測定システムを装備していない場合に必要になると考えられる。その場合には、医師またはそのほかの、患者によって信頼されている者に、埋め込み可能な医療装置の上で磁石を振り、プログラミングをイネーブルすることが求められることになる。これにおいてもインターロックのリリースが、所定短時間後、もしくは現在の遠隔測定セッションの終了時に満了する。
【００１８】
これらのインターロック・テクニックは、いずれも、患者と物理的に非常に近接した者によってのみインターロックがリリース可能であることから、遠隔地のハッカーからの悪意のあるプログラミングを抑止することができる。またこれらのインターロック・テクニックは、有効なユーザによる不用意なプログラミングも抑止することができる。医師またはそのほかの認証されたユーザが偶発的に誤った装置を用いて遠隔測定セッションを立ち上げることが考えられるため（長距離遠隔測定は、医師のプログラマのレンジ内における複数の患者の存在を許可することになる）、誘導ワンドもしくは磁石を装置の上で振らなければプログラミングをイネーブルできないことは、医師が偶発的に誤った装置をプログラミングすることを防止する。
【００１９】
４．安全なデータ通信セッション
認証と遠隔測定インターロックのリリースが行われた後は、ＩＭＤとＥＤは、相手が詐称者でないとの知識の下にそれぞれの装置を用いて長距離遠隔測定リンクを介したデータ通信に進むことができる。しかしながらそのデータ通信セッションの間にデータが平文で送信されると、傍受者がデータを傍受し、患者のプライバシを危険にさらしかねない。したがって、データ通信セッションの間は、ＥＤとＩＭＤの間における通信の一部もしくは全部を暗号化することが望ましい。すべに述べたように、秘密キー暗号化は、公開キー暗号化よりはるかに演算集約的でなく、比較的大量のデータの送信には好ましい。秘密キー暗号化方法が認証に使用される場合には、ＥＤとＩＭＤは、データ送信用に同一の秘密キーを使用することができる。公開キー暗号化方法が認証に使用される場合には、データ通信のために秘密キー暗号化方法を使用することが可能であり、それにおいてはＥＤまたはＩＭＤのいずれか一方が、ＥＤまたはＩＭＤのいずれか他方に対して、当該他方の公開キーにより暗号化した秘密セッションキーを送信する。その後、両方の関係者がこの秘密セッションキーを使用してデータを暗号化することができる。
【００２０】
４．ハードウエア例の説明
図１は、遠隔測定コンポーネント、すなわち埋め込み可能な医療装置１と、２つの代表的な外部装置２、３のブロック図である。これらの装置のそれぞれは、ディジタル・データの処理のためのマイクロプロセッサまたはそのほかのタイプのコントローラを有し、それぞれ１０、２０、３０として示されている。それぞれの装置内のコントローラによって実行されるソフトウエアまたはファームウエアは、種々の通信アルゴリズムやプロトコルを実装でき、それには前述した暗号化、認証、遠隔測定インターロック・スキームが含まれる。受信されるデータと送信されるデータは、変調された搬送波信号またはベースバンド信号のいずれかの受信と送信のために、それぞれの装置内のコントローラにインターフェースされる。それぞれの受信機には、搬送波信号またはベースバンド信号からディジタル・データを抽出するために復調器またはデコーダが組み込まれている。またそれぞれの送信機には、ディジタル・データを用いて搬送波信号を変調するため、あるいはベースバンド信号をエンコードするために変調器またはエンコーダが組み込まれている。それぞれの装置によって送信されるデータは、ディジタル・データであり、特定タイプのデータ・リンク内におけるベースバンド・データとして、あるいは変調された搬送波信号として直接送信することができる。いずれの場合においても、データは、情報の１ないしは複数のビットを表す記号の形式で送信される。たとえば、オン‐オフ振幅シフト・キーイングにおいては、それぞれのパルスが１またはゼロのいずれかを表す。別の変調方法（たとえば、Ｍ‐ａｒｙ変調テクニック）は、より多くの数のビットを表す記号を使用する。
【００２１】
外部装置２、３のそれぞれは、通常、埋め込み可能な装置１の再プログラムやそれからのダウンロードをともに行うことができる外部プログラマである。外部装置３は、誘導リンクを介した短距離遠隔測定のために設計された装置を表すことが意図されており、それにおいてはコイルＣ３が、埋め込み可能な装置の受信機１５と送信機１４とインターフェースする対応するコイルＣ１との誘導リンクのために、受信機３５と送信機３４にインターフェースする。コイルＣ３は、通常、埋め込み可能な装置の近くに位置決めするためにワンド内に組み込まれ、コイルＣ１は、通常、埋め込み可能な装置のケースの内側の周囲に巻き付けられる。外部プログラマと心臓ペースメーカのための誘導リンク遠隔測定システムの一例は、ブロックウエイほかに対して発行され、カーディアック・ペースメーカズ・インク（Ｃａｒｄｉａｃ Ｐａｃｅｍａｋｅｒｓ，Ｉｎｃ．）に譲渡された特許文献１に述べられており、その開示は、参照によりこれに援用されている。外部装置２は、フラウンホーファ領域の無線送信またはネットワーク経由のいずれかを用いて実装される長距離遠隔測定リンクを介して埋め込み可能な装置１と通信する装置を示すことが意図されている。長距離遠隔測定リンクを介して装置間におけるデータの送受を行うため、埋め込み可能な装置１内のコントローラとデータ受信機１１およびデータ送信機１２がインターフェースされ、外部装置２内のコントローラとデータ受信機２１およびデータ送信機２２がインターフェースされる。フラウンホーファ領域の無線リンクの場合には、埋め込み可能な装置１と外部装置２の受信機／送信機のペアが、それぞれアンテナＡ１、Ａ２とインターフェースされる。長距離遠隔測定がネットワークを介して実装される場合には、外部装置２の受信機／送信機のペアは、ネットワーク接続にインターフェースされることになるが、埋め込み可能な装置１は、ネットワーク接続を伴う中継器ユニットとワイヤレスでインターフェースされることになろう。
【００２２】
また埋め込み可能な装置１には、磁気的に作動されるスイッチＳ１とそれに関連付けされたプルアップ抵抗Ｒ１が備えられており、それがコントローラ１０とインターフェースされている。この実施形態においては、遠隔測定インターロックが、コイルＣ１、Ｃ３によって構成される誘導リンクを介して外部装置３から送信されたコマンドによってリリースされるか、あるいは外部マグネットＭ１の近接によるスイッチＳ１の作動が使用されて遠隔測定インターロックがリリースされる。別の実施形態においては、埋め込み可能な装置が、おそらくは遠隔測定インターロックをリリースするために、１つのタイプの短距離通信チャンネルだけ、つまり磁気的に作動されるスイッチだけ、または誘導リンク遠隔測定システムだけしか有していないこともある。遠隔測定インターロックをリリースするための別のタイプの短距離通信チャンネルも可能であり、それには容量性リンクまたは物理的に取り付けられたスイッチを用いて実装される短距離遠隔測定システムが含まれる。
【００２３】
５．特定の実施形態の例
前述したとおり、本発明に従った、埋め込み可能な医療装置のために安全な長距離遠隔測定を提供するシステムは次のうちの任意の１つまたは全部を含むことができる：すなわち（１）短距離通信チャンネルを介してリリースされる遠隔測定インターロック、（２）外部装置と埋め込み可能な装置が互いを識別することができる認証プロトコル、（３）患者のプライバシを確保する長距離遠隔測定通信の暗号化である。以下は、これらの特徴を組み込むスキームの例の説明である。
【００２４】
１つの特定の実施形態においては、前述した遠隔測定インターロック・テクニックが、長距離遠隔測定セッションの開始前の安全性を提供するための単独の手段として使用され、暗号化方法による認証プロトコルが使用されず、平文でデータが送信される。別の実施形態においては、長距離遠隔測定セッションの開始のための安全性を提供するために、暗号化方法による認証だけが使用され、遠隔測定インターロックの使用を伴わない。これらの実施形態のいずれにおいても、遠隔測定インターロックのリリースがないか、あるいは暗号化方法による認証がなければ、長距離遠隔測定セッションが完全に防止されるか、特定タイプのデータ送信に限定される。たとえば、遠隔測定インターロックのリリースがないか、あるいは暗号化方法による認証がない場合に長距離遠隔測定を介した埋め込み可能な装置のプログラムを外部装置に許可することは、おそらくは望ましくないが、その場合であっても暗号化を伴うか、あるいはそれを伴わない埋め込み可能な装置からの特定のデータの送信を許可することは可能であろう。別の実施形態においては、暗号化方法による認証と遠隔測定インターロックのいずれも使用されないが、埋め込み可能な装置が公開キーもしくは秘密キー暗号化のいずれかを使用し、長距離遠隔測定リンクを介して特定タイプのデータを外部装置へ送信する。
【００２５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法またはシステムの一例の実施形態は、遠隔測定チャンネルを介したＥＤとＩＭＤの間における任意の通信を制限する遠隔測定インターロックを含む。遠隔測定インターロックは、ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介してＩＭＤにイネーブル・コマンドを送信することによってリリースされる。ＩＭＤは、ＩＭＤによって所有することが期待されている暗号化キーの使用の証拠を示すＩＭＤからのメッセージをＥＤが受信すると、ＥＤに対して認証され、ＥＤは、ＥＤによって所有することが期待されている暗号化キーの使用の証拠を示すＥＤからのメッセージをＩＭＤが受信すると、ＩＭＤに対して認証される。その後、ＩＭＤとＥＤが互いに対して認証された後に限り、遠隔測定チャンネルを介したＩＭＤとＥＤの間のデータ通信セッションが許可される。この認証には、公開キーまたは秘密キーの暗号化方法を使用することができる。別の例の実施形態においては、遠隔測定チャンネルを介したＩＭＤとＥＤの間の安全な通信が、ＩＭＤへの物理的な近接を必要とする短距離通信チャンネルを介したＩＭＤへのイネーブル・コマンドの送信によってリリースされる遠隔測定インターロックだけによって提供される。ＩＭＤとＥＤの間における遠隔測定チャンネルを介したデータ通信は、遠隔測定インターロックがリリースされるまで制限される。
【００２６】
別の実施形態においては、ＩＭＤによって所有することが期待されている暗号化キーの使用の証拠を示すＩＭＤからのメッセージをＥＤが受信すると、ＥＤに対してＩＭＤを認証し、ＥＤによって所有することが期待されている暗号化キーの使用の証拠を示すＥＤからのメッセージをＩＭＤが受信すると、ＩＭＤに対してＥＤを認証し、かつＩＭＤがＥＤに対して認証された後に限り、遠隔測定チャンネルを介したＩＭＤとＥＤの間のデータ通信セッションを許可することによって、ＩＭＤとＥＤの間における遠隔測定チャンネルを介した安全な通信が提供される。別の実施形態においては、一方向認証が採用され、その結果、ＩＭＤもしくはＥＤのいずれか一方だけが他方に対して認証されれば、データ通信セッションが許可される。たとえば、ＥＤがあるＩＭＤと通信するときは、ＥＤがそのＩＭＤを認証すれば、それが正しい装置からデータを収集していることがわかる。しかしながら、ＩＭＤは、その状態の変更（再プログラム）をＥＤが試みない限りＥＤを認証する必要がない。ＥＤがデータを読み取るだけである限り、安全性に関する問題はない（ただし、プライバシ問題は存在し得る）。
【００２７】
図２は、遠隔測定インターロックを使用し、秘密キー暗号化方法を用いて認証が行われる実施形態における、外部装置２と埋め込み可能な装置１の間の長距離遠隔測定チャンネルを介した通信セッションを示している。外部装置３からのイネーブル・コマンドによって遠隔測定インターロックがリリースされた後、外部装置２が、キーＫ１を使用する秘密キー暗号化方法のアルゴリズムによって暗号化されたメッセージＭ１を送信する。埋め込み可能な装置１は、そのメッセージを解読してＭ１を獲得し、取り決められた方法（たとえば数Ｍ１の１インクリメント）に従ってＭ１を修正してＭ１*を求め、キーＫ１を用いてＭ１*を暗号化し、埋め込み可能な装置に返すことによって応答する。メッセージを解読してＭ１*を獲得した後、外部装置２は、埋め込み可能な装置１が秘密キーＫ１を所有している証拠を示したことからそれを認証する。同時に埋め込み可能な装置１は、秘密キーＫ１を用いて暗号化したメッセージＭ２を送信する。外部装置２は、そのメッセージを解読してＭ２を獲得し、Ｍ２を修正してＭ２*を求め、キーＫ１を用いてＭ２*を暗号化して埋め込み可能な装置１に返すことによって応答し、それにより外部装置２が認証される。その後、埋め込み可能な装置１は、キーＫ１によって暗号化した秘密セッションキーＳＫを送信する。続いてデータ通信セッションが確保され、その際、いずれかの装置によって秘密セッションキーＳＫを用いてデータが暗号化されて送信される。別の実施形態においては、データ通信セッションの間においても認証のために使用された秘密キーＫ１と同じ秘密キーを使用して装置間のデータの交換が行われる。セッションは、装置の一方がセッション終了信号を送信するまで、あるいはタイムアウトが生じるまで続き、その時点において遠隔測定インターロックが再作動される。
【００２８】
図３は、遠隔測定インターロックを使用し、公開キー暗号化方法を用いて認証が行われる実施形態における、外部装置２と埋め込み可能な装置１の間の長距離遠隔測定チャンネルを介した通信セッションを示している。外部装置３からのイネーブル・コマンドによって遠隔測定インターロックがリリースされた後、外部装置２が、埋め込み可能な装置によって所有されていると考えられている対応するプライベートキーを有するキーＰｕｂＫｅｙ１を使用する公開キー暗号化方法のアルゴリズムによって暗号化されたメッセージＭ１を送信する。埋め込み可能な装置は、ＰｕｂＫｅｙ１に対応するプライベートキーを用いてそのメッセージを解読してＭ１を獲得し、外部装置２によって所有されていると考えられている対応するプライベートキーを有する公開キーＰｕｂＫｅｙ２によってＭ１を暗号化し、埋め込み可能な装置に返すことによって応答する。外部装置２は、外部装置２のプライベートキーを用いてそのメッセージを解読してＭ１を得ると、埋め込み可能な装置１が公開キーＰｕｂＫｅｙ１に対応するプライベートキーを所有している証拠が示されたことからそれを認証する。同時に埋め込み可能な装置１は、対応するプライベートキーを有する公開キーＰｕｂＫｅｙ２によって暗号化されたメッセージＭ２を送信する。外部装置２は、ＰｕｂＫｅｙ２に対応するプライベートキーを用いてそのメッセージを解読してＭ２を獲得し、公開キーＰｕｂＫｅｙ１を用いて暗号化されたＭ２を埋め込み可能な装置１に返すことによって応答し、それにより外部装置２が認証される。また外部装置２は、公開キーＰｕｂＫｅｙ１を用いて暗号化された秘密セッションキーＳＫを送信する。それより秘密キー暗号化方法を使用するデータ通信セッションが確保され、いずれかの装置によって秘密セッションキーＳＫを用いてデータが暗号化されて送信される。このセッションは、装置の一方がセッション終了信号を送信するまで、あるいはタイムアウトが生じるまで続き、その時点において遠隔測定インターロックが再作動される。
【００２９】
図４は、図３に例示した認証プロトコルのより詳細な実施形態を使用する通信セッションを示している。ここでは、外部装置２と埋め込み可能な装置が互いの公開認証キーを知っていることを前提としている。インスティゲータ（この実施形態においてはインスティゲータが外部装置２である）が埋め込み可能な装置との認証された長距離遠隔測定セッションの確立を希望するとき、その識別番号ＩＤ２と乱数ＲAを、埋め込み可能な装置の公開キーＰｕｂＫｅｙ１を用いて暗号化することから開始する。意図された受信者を除いてその受信者のプライベートキーを知っているリスナがいないことから、（ほかのリスナがその受信者の公開キーを知っていたとしても）意図された受信者を除くリスナは、この情報を解読できない。受信者装置は、そのプライベートキーを用いてこのメッセージを解読する。続いてインスティゲータの公開キーＰｕｂｋｅｙ２をルックアップし、それを使用して自身の識別番号ＩＤ１、乱数ＲA、および第２の乱数ＲBを暗号化する。続いて受信者は、この暗号化した情報をインスティゲータに戻す。インスティゲータのほかにそのインスティゲータのプライベートキーが知られていないことから、インスティゲータを除くリスナは、この情報を解読できない。インスティゲータは応答を受信すると、それが送った乱数ＲAを検証し、意図された装置だけがＲAを解読し、返すことができたはずであるから、このときそれが通信している埋め込み可能な装置が実際に意図された装置であることがわかる。続いてインスティゲータは、受信者の公開キーＰｕｂＫｅｙ１を用いてＲBを暗号化し、それを受信者に返す。受信者は、ＲBの受信、解読、検証を行い、正しいプライベートキーの所有者だけがＲBを解読して返すことができるので、このときインスティゲータが実際にそのプライベートキーの所有者であるとわかる。ここで認証が完了する。この時点においては、通信セッションの両者に、その通信相手が正しいプライベートキーの所有者であることがわかっている。この実施形態においては、認証における両方の関係者によって乱数が使用されており、かつそれらがその都度異なることから、認証済み装置になりすます試みにおいて認証の交換の記録と交換の部分の再送が役立たないことに注意する必要がある。
【００３０】
繰り返すが、公開キー暗号化方法のアルゴリズムは演算コストが高いことから、図４の実施形態においては各セッションの開始時の認証のためにだけ使用されており、暗号化されるメッセージは最小サイズである（通常、数百ビット）。インスティゲータは、公開キーＰｕｂＫｅｙ１を用いて暗号化した秘密セッションキーＳＫを送信し、その結果、秘密キー暗号化方法を使用するデータ通信セッションを行うことができる。この実施形態においては、秘密セッションキーＳＫが、認証の間にＲBを返すフレームと同じフレーム内において受信者装置に送信される。このようにすれば公開キーの暗号化を使用するフレームの数が１つ減らされる（公開キーの暗号化は演算コストが非常に高い）。特定の実施形態においては、秘密セッションキーＳＫが６４ビットである。６４ビットのキーは、１２８ビットの公開キーより解読が容易であるが、比較的短い通常の遠隔測定セッションの持続時間にとっては安全性の提供に充分である。データ通信セッションは、装置の一方がセッション終了信号を送信するまで、あるいはタイムアウトが生じるまで続き、その時点において遠隔測定インターロックが再作動される。別の特定の実施形態においては、それぞれの遠隔測定セッションの終了時にセッションキーが満了となり、次のセッション用の新しいキーがランダムに選択される。
【００３１】
データ通信用に秘密キー暗号化方法を使用している場合であっても、埋め込み可能な医療装置にとって、それが送信し、あるいは受信している各メッセージの暗号化または解読が容易でないことがある。現在の心臓リズム管理装置にとって、有意な待ち時間を送信に追加することなくリアルタイムでエレクトログラムを暗号化することは容易でない。したがって一実施形態においては、埋め込み可能な医療装置は、選択的なデータだけを暗号化し、残りのデータは平文で送信する。たとえば、もっとも慎重を要する患者データ（患者の名前、社会保険番号、診断等）を暗号化する。各データ・パケットのヘッダ内の暗号化フラグが、その内容が暗号化されているか否かを表すことができる。
【００３２】
公開キーまたは秘密キーいずれかの認証を用いれば、装置を認証する特定のキーを所有している証拠となる。概して言えば、すべての認証プロトコルは、公開キー暗号化方法の場合であればプライベートキーと同程度、秘密キー暗号化方法の場合であれば秘密キーと同程度に安全であるに過ぎない。この理由から、プライベートキーまたは秘密キーは長くするべきである（たとえば、一実施形態においては１２８ビット）。追加の安全性のためには、プライベートキーまたは秘密キーを、工場において装置内にハード的に接続するか、あるいはその装置によって内部的に生成されるようにして、その後の遠隔測定による読み出しを防止することができる。たとえば、製造間にプライベートキーを装置内にプログラムし、その後その対応公開キーを製品の書類に含めるか、短距離誘導遠隔測定を介して獲得可能とする。医師は、その装置の公開キーをホーム・モニタ、ポータブル中継器、またはプログラマにプログラムすることができる。すべての外部装置は、一意的な公開とプライベート認証キーを有するとともに、製品の書類に公開キーを含める。したがって医師は、多数の外部装置の公開キーを埋め込み可能な装置にプログラムすることができる。別の実施形態においては、埋め込み可能な装置と外部装置の両方が、ＲＳＡアルゴリズムにより、あるいはそのほかの標準的なキーペア生成アルゴリズムを通じて新しい公開キー／プライベートキーのペアをランダムに生成することができる。この実施形態の場合には、安全な短距離誘導遠隔測定を介して医師がコマンドを送ったときに、新しいキーの生成が可能になる。
【００３３】
好ましい実施形態においては、短距離遠隔測定を介した緊急時には常に通信が可能になるように上記の認証スキームが長距離遠隔測定にのみ適用される。たとえば、装置のリセットもしくはそのほかの認証キーが改ざんされる障害の場合に、長距離の認証済み遠隔測定が可能でなくなる。そのような場合においても、認証キーをリセットに短距離遠隔測定が利用可能である必要がある。認証なしに短距離遠隔測定が利用可能となる必要がある別の例として、掛かり付けの医師から離れて旅行中の患者が装置の問い合わせを必要とする場合が挙げられる。
【００３４】
以上、特定の実施形態に関連して本発明を説明してきたが、多くの代用、変形、および修正が当業者には明らかであろう。その種の代用、変形、および修正は、付随する特許請求の範囲に含まれることが意図されている。
【図面の簡単な説明】
【００３５】
【図１】埋め込み可能な医療装置のための遠隔測定システムの一例を示したブロック図である。
【図２】秘密キー認証プロトコルを例示した説明図である。
【図３】公開キー認証プロトコルを例示した説明図である。
【図４】特定の公開キー認証プロトコルを例示した説明図である。
【符号の説明】
【００３６】
１ 埋め込み可能な医療装置；埋め込み可能な装置、２ 外部装置、３ 外部装置、１０ マイクロプロセッサ；コントローラ、１１ データ受信機、１２ データ送信機、１４ 送信機、１５ 受信機、２０ マイクロプロセッサ；コントローラ、２１ データ受信機、２２ データ送信機、３０ マイクロプロセッサ；コントローラ、３４ 送信機、
３５ 受信機
【技術分野】
【０００１】
本発明は、心臓ペースメーカや埋め込み可能な電気的除細動器／除細動器等の埋め込み可能な医療装置に関する。より詳細に述べれば、本発明は遠隔測定データをその種の装置から送信するためのシステムと方法に関する。
【背景技術】
【０００２】
ペースメーカや電気的除細動器／除細動器等の心臓リズム管理装置を含む、埋め込み可能な医療装置（ＩＭＤ）は、通常、無線周波数遠隔測定リンクを介して外部プログラマと呼ばれる外部装置とデータを通信する能力を有する。その種の外部プログラマの１つの用途は、埋め込み可能な医療装置の動作パラメータをプログラムすることである。たとえばペースメーカの、ペーシング・モードやそのほかの動作特性は、一般に埋め込みの後にこの方法で修正される。近代的な埋め込み可能装置は、両方向通信のための能力も含んでおり、その結果、埋め込まれた装置からプログラマへ情報を送信することができる。埋め込み可能装置から一般に遠隔測定されるデータは、種々の動作パラメータや生理学的データであり、後者は、リアルタイムで収集されるか、以前のモニタリング動作からストアされる。
【０００３】
外部プログラマは、一般に誘導リンクを介してＩＭＤと通信するべく構成されている。外部プログラマ内のコイル・アンテナとＩＭＤが誘導結合され、その結果、２つの結合されたコイルの共振周波数に対応する無線周波数の搬送波形を変調することによってデータを送信することができる。誘導リンクは、外部装置のコイル・アンテナがＩＭＤに、通常は数インチ内まで近接することを必要とする短距離通信チャンネルである。別のタイプの遠隔測定システムは、フラウンホーファ領域の電磁放射あるいは別のタイプのデータ・リンク、たとえば電話回線またはネットワーク（インターネットを含む）等を使用してより大きな距離にわたって通信することができる。その種の長距離遠隔測定は、埋め込み可能な装置が遠隔地のモニタリング・ユニットへデータを送信すること、あるいは遠隔地からそれをプログラムすることができる。このように長距離遠隔測定は、医師が部屋を隔てて、さらには国までも隔てて患者をモニタし、患者の継続管理を行うことを可能にする。
【０００４】
【特許文献１】米国特許第４，５６２，８４１号
【発明の開示】
【発明が解決しようとする課題】
【０００５】
しかしながら埋め込み可能な医療装置のための長期遠隔測定は、短距離遠隔測定には存在しない特殊な問題をもたらす。誘導リンク等の短距離通信チャンネルを介した埋め込み可能な装置は、外部装置が患者の近くにあることを必要し、そのため医師には、誰の埋め込み可能な装置のプログラムが行われているかがわかり、患者には、埋め込み可能な装置のプログラムと、それからのデータの受信を誰が行っているかがわかる。これに対して長距離遠隔測定は、その種の物理的な近接を必要とせず、医師が誤った装置を不用意にプログラムする可能性を与える。フラウンホーファ領域の電磁放射もしくは何らかの種類のネットワークを介する通信は、意図していないユーザによる通信の傍受も可能にし、その患者のプライバシ問題を浮揚させる。悪意のあるユーザが、長距離遠隔測定システムを使用して埋め込み済み装置の再プログラムを試みることも考えられる。本発明は、これらの問題に注目した長距離遠隔測定を提供するためのシステムと方法である。
【課題を解決するための手段】
【０００６】
本発明は、遠隔測定チャンネルを介した埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間の安全な通信を可能にするための方法とシステムに関係する。一実施態様においては、遠隔測定インターロックが具体化され、それが遠隔測定チャンネルを介したＥＤとＩＭＤの間の任意の通信を制限する。遠隔測定インターロックは、ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介し、ＥＤがＩＭＤに対してイネーブル・コマンドを送信するときにリリースされる。別の実施態様においては、ＩＭＤとＥＤが互いに対して認証された後に限って、ＩＭＤとＥＤの間において遠隔測定チャンネルを介したデータ通信セッションを生じさせることができる。ＩＭＤは、ＥＤが、ＩＭＤによる所有が期待されている暗号化キーの使用の証拠を示すＩＭＤからのメッセージを受信するときにＥＤに対して認証され、ＥＤは、ＩＭＤが、ＥＤによる所有が期待されている暗号化キーの使用の証拠を示すＥＤからのメッセージを受信するときにＩＭＤに対して認証される。
【発明を実施するための最良の形態】
【０００７】
本発明は、埋め込み済み装置の悪意のある、あるいは不用意な再プログラムの可能性に対して保護する埋め込み可能な医療装置のための長距離遠隔測定に関係する。別の側面においては、このシステムは、データ送信の機密性の維持も提供する。この種の患者の安全と機密性の確保は、３つの別々のテクニックを使用して達成することができる：すなわち、データの暗号化、遠隔測定セッションにおける関係者の認証、遠隔測定インターロックである。
【０００８】
１．暗号化／解読
暗号化とは、メッセージがそのメッセージを解読する特別なキーの所有なしに読むことが不可能な方法でメッセージをエンコードするために使用される暗号方法のアルゴリズムを言う。メッセージの暗号化は、そのメッセージに対する暗号化関数を適用することによって行われる。その暗号化関数は、暗号方法のアルゴリズムと暗号化キーによって定義される。以下の説明や参照図面においては、その種の暗号化されたメッセージをＥ（ｍ，ｋ）として示す。Ｅは暗号化関数、ｍは暗号化未済メッセージ、ｋはそのメッセージの暗号化に使用されるキーである。メッセージの解読は、解読キーｋを使用して逆関数Ｄを暗号化済みメッセージｍに適用することを伴い、Ｄ（ｍ，ｋ）と表される。
【０００９】
暗号化キーと解読キーは、使用されている暗号方法のアルゴリズムのタイプによって同一のこともあれば、異なることもある。秘密キー暗号方法においては、通信している両方の関係者が単一の秘密キーを共有し、それがメッセージの暗号化と解読の両方に使用される。したがって、秘密キー暗号化関数Ｅによってキーｋを用いて暗号化されたメッセージｍは、解読関数Ｄを同一のキーｋとともに適用することによって復元される：
ｍ＝Ｄ（Ｅ（ｍ，ｋ），ｋ）
秘密キー暗号方法のアルゴリズムのよく知られている例としては、ＤＥＳ（データ暗号化標準）、ＡＥＳ（米国暗号化標準）、トリプルＤＥＳ、ブローフィッシュが挙げられる。
【００１０】
これに対して公開キー暗号化方法では暗号化キーと解読キーが異なる。公開キー暗号化方法を使用して安全なメッセージを送信するためには、送信者が受信者の公開キーを用いてメッセージを暗号化するが、これはすべての認証済み送信者に知られており、また広く公開されて誰もがメッセージを送信できるようになっている。その後そのメッセージは、そのメッセージの暗号化に使用された公開キーに対応するプライベートキーによってのみ解読が可能であり、このプライベートキーは、メッセージの受信者によって保持され、ほかの誰とも共有されない。したがって、公開キー暗号化関数Ｅによって公開キーｋ１を用いて暗号化されたメッセージは、対応するプライベートキーｋ２とともに解読関数Ｄを適用することによって復元される：
ｍ＝Ｄ（Ｅ（ｍ，ｋ１），ｋ２）
安全な両方向通信セッションにおける各関係者は、そのためそれぞれ独自のプライベートキーを所有し、かつ相手の公開キーを知っていなければならない。公開キー暗号化方法のアルゴリズムのよく知られた例にＲＳＡがある。
【００１１】
公開キーもしくは秘密キー暗号化方法のいずれを使用しても安全にデータを送信することができるが、公開キー暗号化方法のアルゴリズムははるかに演算集約的となる。この理由から、埋め込み可能な装置と外部装置の間における実際のデータ通信のためには、秘密キー暗号化方法を使用する方が通常は好ましい。しかしながら後述するように、認証のために公開キー暗号化方法を使用して、データ通信に使用される秘密キーの送信を使用することができる。
【００１２】
２．認証
認証は、通信セッションにおける関係者が高い信頼性をもって互いを識別できるメカニズムまたはプロトコルを言う。認証プロトコルは、秘密キーまたは公開キー暗号化方法を使用して具体化され、埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の互いを認証する。ＩＭＤとＥＤの間における遠隔測定チャンネルを介したデータ通信セッションは、ＩＭＤとＥＤが互いに対して認証された後に限って許可される。公開キーまたは秘密キーの暗号化方法のいずれかによる認証を用いて、ＩＭＤは、ＥＤが、ＩＭＤによる所有が期待されている暗号化キーの使用の証拠を示すメッセージをＩＭＤから受信するときにＥＤに対して認証され、ＥＤは、ＩＭＤが、ＥＤによる所有が期待されている暗号化キーの使用の証拠を示すメッセージをＥＤから受信するときにＩＭＤに対して認証される。
【００１３】
秘密キー暗号化方法による認証においては、ＥＤが遠隔測定チャンネルを介して第１のメッセージをＩＭＤに送信し、それに応答して、ＩＭＤによる所有が期待されている秘密キーによって暗号化されたその第１のメッセージから誘導されたメッセージを受信するとき、ＩＭＤがＥＤに対して認証される。続いてＩＭＤが遠隔測定チャンネルを介して第２のメッセージをＥＤに送信し、それに応答して、ＥＤによる所有が期待されている秘密キーによって暗号化されたその第２のメッセージから誘導されたメッセージを受信すると、ＥＤがＩＭＤに対して認証される。
【００１４】
公開キー暗号化方法を使用する認証プロトコルは次のように機能する。ＥＤが、ＩＭＤによる所有が期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化し、その暗号化した第１のメッセージを、遠隔測定チャンネルを介してＩＭＤに送信し、それに応答してＩＭＤから、ＩＭＤによる対応するプライベートキーを所有している証拠を示す、第１のメッセージから誘導されたメッセージを受信すると、ＩＭＤがＥＤに対して認証される。またＥＤは、ＩＭＤが、ＥＤによる所有が期待されている対応するプライベートキーを有する公開キーを用いて第２のメッセージを暗号化し、その暗号化した第２のメッセージを、遠隔測定チャンネルを介してＥＤに送信し、それに応答してＥＤから、ＥＤによる対応するプライベートキーを所有している証拠を示す、第２のメッセージから誘導されたメッセージを受信すると、ＩＭＤに対して認証される。第１と第２のメッセージから誘導されるメッセージは、ＥＤとＩＭＤのための識別コード等の識別データとともにそれぞれ第１と第２のメッセージを含むこともできる。それぞれのための別々の送信に代えて、第１のメッセージから誘導されたメッセージと第２のメッセージを、結合されたメッセージとしてＩＭＤが送信してもよい（つまり、ＩＭＤによって送信される第１のメッセージから誘導されたメッセージが第２のメッセージを含む）。一実施形態においては、第１と第２のメッセージがＥＤとＩＭＤによって生成された乱数をそれぞれ含む。その場合、第１と第２のメッセージから誘導されたメッセージは、それぞれの乱数自体もしくはそれから誘導された数を含む（たとえば、その乱数を１インクリメントした数）。一方の関係者を他方に対して認証する応答の機密性を維持するために、第１と第２のメッセージから誘導され、それぞれＩＭＤとＥＤによって送信されるメッセージを、それぞれＥＤとＩＭＤの公開キーを使用して暗号化してもよい。
【００１５】
３．遠隔測定インターロック
前述したとおり、暗号化方法のテクニックを、ＩＭＤとＥＤの相互に対する認証と、安全なデータの送信の両方に使用することができる。しかしながらあらゆる暗号化方法のテクニックは、秘密に保たれる秘密キーまたはプライベートキーに依存する。長距離遠隔測定に関して患者に追加の安全性を提供するために、ここで遠隔測定インターロックと呼んでいるテクニックが採用される。遠隔測定インターロックは、ＥＤとＩＭＤの間における長距離遠隔測定リンクを介した任意の通信を、インターロックがリリースされるまで制限するテクニックである。遠隔測定インターロックは、ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して、ＩＭＤにイネーブル・コマンドを送信することによってリリースされる。一実施形態においては、インターロックがリリースされるまでいかなる情報の送信も許可されない。これは、より安全な実施形態である。第２の実施形態においては、限られた情報が許可されるが、装置のプログラミングは許可されない。この実施形態は、患者がインターロックをリリースする必要を伴わずに遠隔地における患者のモニタリングをサポートすることができる。
【００１６】
遠隔測定インターロックを具体化する１つの方法は、短距離通信チャンネルとして誘導リンクを使用することである。前述したように、伝統的な埋め込み可能な医療装置は、非常にレンジの短い（わずか数インチ）誘導遠隔測定リンクを有している。この遠隔測定インターロックの実装においては、ＩＭＤハードウエアが、長距離遠隔測定インターロックをリリースするために誘導的に交換されるキーを伴う誘導リンクが確立されることを必要とする。一実施形態においては、遠隔測定インターロックのリリースが数十分の後にタイムアウトし、セッションを継続するために再び装置の上で誘導ワンドを振ることが必要となる。別の実施形態においては、現在の遠隔測定セッションの終了まで遠隔測定インターロックが満了しない。
【００１７】
遠隔測定インターロックを具体化する別の方法は、磁石がＩＭＤの近くに保持されているときに遠隔測定インターロックがリリースされるように、短距離通信チャンネルとして磁石の静磁界を使用する。この実施形態は、ＩＭＤが誘導遠隔測定システムを装備していない場合に必要になると考えられる。その場合には、医師またはそのほかの、患者によって信頼されている者に、埋め込み可能な医療装置の上で磁石を振り、プログラミングをイネーブルすることが求められることになる。これにおいてもインターロックのリリースが、所定短時間後、もしくは現在の遠隔測定セッションの終了時に満了する。
【００１８】
これらのインターロック・テクニックは、いずれも、患者と物理的に非常に近接した者によってのみインターロックがリリース可能であることから、遠隔地のハッカーからの悪意のあるプログラミングを抑止することができる。またこれらのインターロック・テクニックは、有効なユーザによる不用意なプログラミングも抑止することができる。医師またはそのほかの認証されたユーザが偶発的に誤った装置を用いて遠隔測定セッションを立ち上げることが考えられるため（長距離遠隔測定は、医師のプログラマのレンジ内における複数の患者の存在を許可することになる）、誘導ワンドもしくは磁石を装置の上で振らなければプログラミングをイネーブルできないことは、医師が偶発的に誤った装置をプログラミングすることを防止する。
【００１９】
４．安全なデータ通信セッション
認証と遠隔測定インターロックのリリースが行われた後は、ＩＭＤとＥＤは、相手が詐称者でないとの知識の下にそれぞれの装置を用いて長距離遠隔測定リンクを介したデータ通信に進むことができる。しかしながらそのデータ通信セッションの間にデータが平文で送信されると、傍受者がデータを傍受し、患者のプライバシを危険にさらしかねない。したがって、データ通信セッションの間は、ＥＤとＩＭＤの間における通信の一部もしくは全部を暗号化することが望ましい。すべに述べたように、秘密キー暗号化は、公開キー暗号化よりはるかに演算集約的でなく、比較的大量のデータの送信には好ましい。秘密キー暗号化方法が認証に使用される場合には、ＥＤとＩＭＤは、データ送信用に同一の秘密キーを使用することができる。公開キー暗号化方法が認証に使用される場合には、データ通信のために秘密キー暗号化方法を使用することが可能であり、それにおいてはＥＤまたはＩＭＤのいずれか一方が、ＥＤまたはＩＭＤのいずれか他方に対して、当該他方の公開キーにより暗号化した秘密セッションキーを送信する。その後、両方の関係者がこの秘密セッションキーを使用してデータを暗号化することができる。
【００２０】
４．ハードウエア例の説明
図１は、遠隔測定コンポーネント、すなわち埋め込み可能な医療装置１と、２つの代表的な外部装置２、３のブロック図である。これらの装置のそれぞれは、ディジタル・データの処理のためのマイクロプロセッサまたはそのほかのタイプのコントローラを有し、それぞれ１０、２０、３０として示されている。それぞれの装置内のコントローラによって実行されるソフトウエアまたはファームウエアは、種々の通信アルゴリズムやプロトコルを実装でき、それには前述した暗号化、認証、遠隔測定インターロック・スキームが含まれる。受信されるデータと送信されるデータは、変調された搬送波信号またはベースバンド信号のいずれかの受信と送信のために、それぞれの装置内のコントローラにインターフェースされる。それぞれの受信機には、搬送波信号またはベースバンド信号からディジタル・データを抽出するために復調器またはデコーダが組み込まれている。またそれぞれの送信機には、ディジタル・データを用いて搬送波信号を変調するため、あるいはベースバンド信号をエンコードするために変調器またはエンコーダが組み込まれている。それぞれの装置によって送信されるデータは、ディジタル・データであり、特定タイプのデータ・リンク内におけるベースバンド・データとして、あるいは変調された搬送波信号として直接送信することができる。いずれの場合においても、データは、情報の１ないしは複数のビットを表す記号の形式で送信される。たとえば、オン‐オフ振幅シフト・キーイングにおいては、それぞれのパルスが１またはゼロのいずれかを表す。別の変調方法（たとえば、Ｍ‐ａｒｙ変調テクニック）は、より多くの数のビットを表す記号を使用する。
【００２１】
外部装置２、３のそれぞれは、通常、埋め込み可能な装置１の再プログラムやそれからのダウンロードをともに行うことができる外部プログラマである。外部装置３は、誘導リンクを介した短距離遠隔測定のために設計された装置を表すことが意図されており、それにおいてはコイルＣ３が、埋め込み可能な装置の受信機１５と送信機１４とインターフェースする対応するコイルＣ１との誘導リンクのために、受信機３５と送信機３４にインターフェースする。コイルＣ３は、通常、埋め込み可能な装置の近くに位置決めするためにワンド内に組み込まれ、コイルＣ１は、通常、埋め込み可能な装置のケースの内側の周囲に巻き付けられる。外部プログラマと心臓ペースメーカのための誘導リンク遠隔測定システムの一例は、ブロックウエイほかに対して発行され、カーディアック・ペースメーカズ・インク（Ｃａｒｄｉａｃ Ｐａｃｅｍａｋｅｒｓ，Ｉｎｃ．）に譲渡された特許文献１に述べられており、その開示は、参照によりこれに援用されている。外部装置２は、フラウンホーファ領域の無線送信またはネットワーク経由のいずれかを用いて実装される長距離遠隔測定リンクを介して埋め込み可能な装置１と通信する装置を示すことが意図されている。長距離遠隔測定リンクを介して装置間におけるデータの送受を行うため、埋め込み可能な装置１内のコントローラとデータ受信機１１およびデータ送信機１２がインターフェースされ、外部装置２内のコントローラとデータ受信機２１およびデータ送信機２２がインターフェースされる。フラウンホーファ領域の無線リンクの場合には、埋め込み可能な装置１と外部装置２の受信機／送信機のペアが、それぞれアンテナＡ１、Ａ２とインターフェースされる。長距離遠隔測定がネットワークを介して実装される場合には、外部装置２の受信機／送信機のペアは、ネットワーク接続にインターフェースされることになるが、埋め込み可能な装置１は、ネットワーク接続を伴う中継器ユニットとワイヤレスでインターフェースされることになろう。
【００２２】
また埋め込み可能な装置１には、磁気的に作動されるスイッチＳ１とそれに関連付けされたプルアップ抵抗Ｒ１が備えられており、それがコントローラ１０とインターフェースされている。この実施形態においては、遠隔測定インターロックが、コイルＣ１、Ｃ３によって構成される誘導リンクを介して外部装置３から送信されたコマンドによってリリースされるか、あるいは外部マグネットＭ１の近接によるスイッチＳ１の作動が使用されて遠隔測定インターロックがリリースされる。別の実施形態においては、埋め込み可能な装置が、おそらくは遠隔測定インターロックをリリースするために、１つのタイプの短距離通信チャンネルだけ、つまり磁気的に作動されるスイッチだけ、または誘導リンク遠隔測定システムだけしか有していないこともある。遠隔測定インターロックをリリースするための別のタイプの短距離通信チャンネルも可能であり、それには容量性リンクまたは物理的に取り付けられたスイッチを用いて実装される短距離遠隔測定システムが含まれる。
【００２３】
５．特定の実施形態の例
前述したとおり、本発明に従った、埋め込み可能な医療装置のために安全な長距離遠隔測定を提供するシステムは次のうちの任意の１つまたは全部を含むことができる：すなわち（１）短距離通信チャンネルを介してリリースされる遠隔測定インターロック、（２）外部装置と埋め込み可能な装置が互いを識別することができる認証プロトコル、（３）患者のプライバシを確保する長距離遠隔測定通信の暗号化である。以下は、これらの特徴を組み込むスキームの例の説明である。
【００２４】
１つの特定の実施形態においては、前述した遠隔測定インターロック・テクニックが、長距離遠隔測定セッションの開始前の安全性を提供するための単独の手段として使用され、暗号化方法による認証プロトコルが使用されず、平文でデータが送信される。別の実施形態においては、長距離遠隔測定セッションの開始のための安全性を提供するために、暗号化方法による認証だけが使用され、遠隔測定インターロックの使用を伴わない。これらの実施形態のいずれにおいても、遠隔測定インターロックのリリースがないか、あるいは暗号化方法による認証がなければ、長距離遠隔測定セッションが完全に防止されるか、特定タイプのデータ送信に限定される。たとえば、遠隔測定インターロックのリリースがないか、あるいは暗号化方法による認証がない場合に長距離遠隔測定を介した埋め込み可能な装置のプログラムを外部装置に許可することは、おそらくは望ましくないが、その場合であっても暗号化を伴うか、あるいはそれを伴わない埋め込み可能な装置からの特定のデータの送信を許可することは可能であろう。別の実施形態においては、暗号化方法による認証と遠隔測定インターロックのいずれも使用されないが、埋め込み可能な装置が公開キーもしくは秘密キー暗号化のいずれかを使用し、長距離遠隔測定リンクを介して特定タイプのデータを外部装置へ送信する。
【００２５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法またはシステムの一例の実施形態は、遠隔測定チャンネルを介したＥＤとＩＭＤの間における任意の通信を制限する遠隔測定インターロックを含む。遠隔測定インターロックは、ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介してＩＭＤにイネーブル・コマンドを送信することによってリリースされる。ＩＭＤは、ＩＭＤによって所有することが期待されている暗号化キーの使用の証拠を示すＩＭＤからのメッセージをＥＤが受信すると、ＥＤに対して認証され、ＥＤは、ＥＤによって所有することが期待されている暗号化キーの使用の証拠を示すＥＤからのメッセージをＩＭＤが受信すると、ＩＭＤに対して認証される。その後、ＩＭＤとＥＤが互いに対して認証された後に限り、遠隔測定チャンネルを介したＩＭＤとＥＤの間のデータ通信セッションが許可される。この認証には、公開キーまたは秘密キーの暗号化方法を使用することができる。別の例の実施形態においては、遠隔測定チャンネルを介したＩＭＤとＥＤの間の安全な通信が、ＩＭＤへの物理的な近接を必要とする短距離通信チャンネルを介したＩＭＤへのイネーブル・コマンドの送信によってリリースされる遠隔測定インターロックだけによって提供される。ＩＭＤとＥＤの間における遠隔測定チャンネルを介したデータ通信は、遠隔測定インターロックがリリースされるまで制限される。
【００２６】
別の実施形態においては、ＩＭＤによって所有することが期待されている暗号化キーの使用の証拠を示すＩＭＤからのメッセージをＥＤが受信すると、ＥＤに対してＩＭＤを認証し、ＥＤによって所有することが期待されている暗号化キーの使用の証拠を示すＥＤからのメッセージをＩＭＤが受信すると、ＩＭＤに対してＥＤを認証し、かつＩＭＤがＥＤに対して認証された後に限り、遠隔測定チャンネルを介したＩＭＤとＥＤの間のデータ通信セッションを許可することによって、ＩＭＤとＥＤの間における遠隔測定チャンネルを介した安全な通信が提供される。別の実施形態においては、一方向認証が採用され、その結果、ＩＭＤもしくはＥＤのいずれか一方だけが他方に対して認証されれば、データ通信セッションが許可される。たとえば、ＥＤがあるＩＭＤと通信するときは、ＥＤがそのＩＭＤを認証すれば、それが正しい装置からデータを収集していることがわかる。しかしながら、ＩＭＤは、その状態の変更（再プログラム）をＥＤが試みない限りＥＤを認証する必要がない。ＥＤがデータを読み取るだけである限り、安全性に関する問題はない（ただし、プライバシ問題は存在し得る）。
【００２７】
図２は、遠隔測定インターロックを使用し、秘密キー暗号化方法を用いて認証が行われる実施形態における、外部装置２と埋め込み可能な装置１の間の長距離遠隔測定チャンネルを介した通信セッションを示している。外部装置３からのイネーブル・コマンドによって遠隔測定インターロックがリリースされた後、外部装置２が、キーＫ１を使用する秘密キー暗号化方法のアルゴリズムによって暗号化されたメッセージＭ１を送信する。埋め込み可能な装置１は、そのメッセージを解読してＭ１を獲得し、取り決められた方法（たとえば数Ｍ１の１インクリメント）に従ってＭ１を修正してＭ１*を求め、キーＫ１を用いてＭ１*を暗号化し、埋め込み可能な装置に返すことによって応答する。メッセージを解読してＭ１*を獲得した後、外部装置２は、埋め込み可能な装置１が秘密キーＫ１を所有している証拠を示したことからそれを認証する。同時に埋め込み可能な装置１は、秘密キーＫ１を用いて暗号化したメッセージＭ２を送信する。外部装置２は、そのメッセージを解読してＭ２を獲得し、Ｍ２を修正してＭ２*を求め、キーＫ１を用いてＭ２*を暗号化して埋め込み可能な装置１に返すことによって応答し、それにより外部装置２が認証される。その後、埋め込み可能な装置１は、キーＫ１によって暗号化した秘密セッションキーＳＫを送信する。続いてデータ通信セッションが確保され、その際、いずれかの装置によって秘密セッションキーＳＫを用いてデータが暗号化されて送信される。別の実施形態においては、データ通信セッションの間においても認証のために使用された秘密キーＫ１と同じ秘密キーを使用して装置間のデータの交換が行われる。セッションは、装置の一方がセッション終了信号を送信するまで、あるいはタイムアウトが生じるまで続き、その時点において遠隔測定インターロックが再作動される。
【００２８】
図３は、遠隔測定インターロックを使用し、公開キー暗号化方法を用いて認証が行われる実施形態における、外部装置２と埋め込み可能な装置１の間の長距離遠隔測定チャンネルを介した通信セッションを示している。外部装置３からのイネーブル・コマンドによって遠隔測定インターロックがリリースされた後、外部装置２が、埋め込み可能な装置によって所有されていると考えられている対応するプライベートキーを有するキーＰｕｂＫｅｙ１を使用する公開キー暗号化方法のアルゴリズムによって暗号化されたメッセージＭ１を送信する。埋め込み可能な装置は、ＰｕｂＫｅｙ１に対応するプライベートキーを用いてそのメッセージを解読してＭ１を獲得し、外部装置２によって所有されていると考えられている対応するプライベートキーを有する公開キーＰｕｂＫｅｙ２によってＭ１を暗号化し、埋め込み可能な装置に返すことによって応答する。外部装置２は、外部装置２のプライベートキーを用いてそのメッセージを解読してＭ１を得ると、埋め込み可能な装置１が公開キーＰｕｂＫｅｙ１に対応するプライベートキーを所有している証拠が示されたことからそれを認証する。同時に埋め込み可能な装置１は、対応するプライベートキーを有する公開キーＰｕｂＫｅｙ２によって暗号化されたメッセージＭ２を送信する。外部装置２は、ＰｕｂＫｅｙ２に対応するプライベートキーを用いてそのメッセージを解読してＭ２を獲得し、公開キーＰｕｂＫｅｙ１を用いて暗号化されたＭ２を埋め込み可能な装置１に返すことによって応答し、それにより外部装置２が認証される。また外部装置２は、公開キーＰｕｂＫｅｙ１を用いて暗号化された秘密セッションキーＳＫを送信する。それより秘密キー暗号化方法を使用するデータ通信セッションが確保され、いずれかの装置によって秘密セッションキーＳＫを用いてデータが暗号化されて送信される。このセッションは、装置の一方がセッション終了信号を送信するまで、あるいはタイムアウトが生じるまで続き、その時点において遠隔測定インターロックが再作動される。
【００２９】
図４は、図３に例示した認証プロトコルのより詳細な実施形態を使用する通信セッションを示している。ここでは、外部装置２と埋め込み可能な装置が互いの公開認証キーを知っていることを前提としている。インスティゲータ（この実施形態においてはインスティゲータが外部装置２である）が埋め込み可能な装置との認証された長距離遠隔測定セッションの確立を希望するとき、その識別番号ＩＤ２と乱数ＲAを、埋め込み可能な装置の公開キーＰｕｂＫｅｙ１を用いて暗号化することから開始する。意図された受信者を除いてその受信者のプライベートキーを知っているリスナがいないことから、（ほかのリスナがその受信者の公開キーを知っていたとしても）意図された受信者を除くリスナは、この情報を解読できない。受信者装置は、そのプライベートキーを用いてこのメッセージを解読する。続いてインスティゲータの公開キーＰｕｂｋｅｙ２をルックアップし、それを使用して自身の識別番号ＩＤ１、乱数ＲA、および第２の乱数ＲBを暗号化する。続いて受信者は、この暗号化した情報をインスティゲータに戻す。インスティゲータのほかにそのインスティゲータのプライベートキーが知られていないことから、インスティゲータを除くリスナは、この情報を解読できない。インスティゲータは応答を受信すると、それが送った乱数ＲAを検証し、意図された装置だけがＲAを解読し、返すことができたはずであるから、このときそれが通信している埋め込み可能な装置が実際に意図された装置であることがわかる。続いてインスティゲータは、受信者の公開キーＰｕｂＫｅｙ１を用いてＲBを暗号化し、それを受信者に返す。受信者は、ＲBの受信、解読、検証を行い、正しいプライベートキーの所有者だけがＲBを解読して返すことができるので、このときインスティゲータが実際にそのプライベートキーの所有者であるとわかる。ここで認証が完了する。この時点においては、通信セッションの両者に、その通信相手が正しいプライベートキーの所有者であることがわかっている。この実施形態においては、認証における両方の関係者によって乱数が使用されており、かつそれらがその都度異なることから、認証済み装置になりすます試みにおいて認証の交換の記録と交換の部分の再送が役立たないことに注意する必要がある。
【００３０】
繰り返すが、公開キー暗号化方法のアルゴリズムは演算コストが高いことから、図４の実施形態においては各セッションの開始時の認証のためにだけ使用されており、暗号化されるメッセージは最小サイズである（通常、数百ビット）。インスティゲータは、公開キーＰｕｂＫｅｙ１を用いて暗号化した秘密セッションキーＳＫを送信し、その結果、秘密キー暗号化方法を使用するデータ通信セッションを行うことができる。この実施形態においては、秘密セッションキーＳＫが、認証の間にＲBを返すフレームと同じフレーム内において受信者装置に送信される。このようにすれば公開キーの暗号化を使用するフレームの数が１つ減らされる（公開キーの暗号化は演算コストが非常に高い）。特定の実施形態においては、秘密セッションキーＳＫが６４ビットである。６４ビットのキーは、１２８ビットの公開キーより解読が容易であるが、比較的短い通常の遠隔測定セッションの持続時間にとっては安全性の提供に充分である。データ通信セッションは、装置の一方がセッション終了信号を送信するまで、あるいはタイムアウトが生じるまで続き、その時点において遠隔測定インターロックが再作動される。別の特定の実施形態においては、それぞれの遠隔測定セッションの終了時にセッションキーが満了となり、次のセッション用の新しいキーがランダムに選択される。
【００３１】
データ通信用に秘密キー暗号化方法を使用している場合であっても、埋め込み可能な医療装置にとって、それが送信し、あるいは受信している各メッセージの暗号化または解読が容易でないことがある。現在の心臓リズム管理装置にとって、有意な待ち時間を送信に追加することなくリアルタイムでエレクトログラムを暗号化することは容易でない。したがって一実施形態においては、埋め込み可能な医療装置は、選択的なデータだけを暗号化し、残りのデータは平文で送信する。たとえば、もっとも慎重を要する患者データ（患者の名前、社会保険番号、診断等）を暗号化する。各データ・パケットのヘッダ内の暗号化フラグが、その内容が暗号化されているか否かを表すことができる。
【００３２】
公開キーまたは秘密キーいずれかの認証を用いれば、装置を認証する特定のキーを所有している証拠となる。概して言えば、すべての認証プロトコルは、公開キー暗号化方法の場合であればプライベートキーと同程度、秘密キー暗号化方法の場合であれば秘密キーと同程度に安全であるに過ぎない。この理由から、プライベートキーまたは秘密キーは長くするべきである（たとえば、一実施形態においては１２８ビット）。追加の安全性のためには、プライベートキーまたは秘密キーを、工場において装置内にハード的に接続するか、あるいはその装置によって内部的に生成されるようにして、その後の遠隔測定による読み出しを防止することができる。たとえば、製造間にプライベートキーを装置内にプログラムし、その後その対応公開キーを製品の書類に含めるか、短距離誘導遠隔測定を介して獲得可能とする。医師は、その装置の公開キーをホーム・モニタ、ポータブル中継器、またはプログラマにプログラムすることができる。すべての外部装置は、一意的な公開とプライベート認証キーを有するとともに、製品の書類に公開キーを含める。したがって医師は、多数の外部装置の公開キーを埋め込み可能な装置にプログラムすることができる。別の実施形態においては、埋め込み可能な装置と外部装置の両方が、ＲＳＡアルゴリズムにより、あるいはそのほかの標準的なキーペア生成アルゴリズムを通じて新しい公開キー／プライベートキーのペアをランダムに生成することができる。この実施形態の場合には、安全な短距離誘導遠隔測定を介して医師がコマンドを送ったときに、新しいキーの生成が可能になる。
【００３３】
好ましい実施形態においては、短距離遠隔測定を介した緊急時には常に通信が可能になるように上記の認証スキームが長距離遠隔測定にのみ適用される。たとえば、装置のリセットもしくはそのほかの認証キーが改ざんされる障害の場合に、長距離の認証済み遠隔測定が可能でなくなる。そのような場合においても、認証キーをリセットに短距離遠隔測定が利用可能である必要がある。認証なしに短距離遠隔測定が利用可能となる必要がある別の例として、掛かり付けの医師から離れて旅行中の患者が装置の問い合わせを必要とする場合が挙げられる。
【００３４】
以上、特定の実施形態に関連して本発明を説明してきたが、多くの代用、変形、および修正が当業者には明らかであろう。その種の代用、変形、および修正は、付随する特許請求の範囲に含まれることが意図されている。
【図面の簡単な説明】
【００３５】
【図１】埋め込み可能な医療装置のための遠隔測定システムの一例を示したブロック図である。
【図２】秘密キー認証プロトコルを例示した説明図である。
【図３】公開キー認証プロトコルを例示した説明図である。
【図４】特定の公開キー認証プロトコルを例示した説明図である。
【符号の説明】
【００３６】
１ 埋め込み可能な医療装置；埋め込み可能な装置、２ 外部装置、３ 外部装置、１０ マイクロプロセッサ；コントローラ、１１ データ受信機、１２ データ送信機、１４ 送信機、１５ 受信機、２０ マイクロプロセッサ；コントローラ、２１ データ受信機、２２ データ送信機、３０ マイクロプロセッサ；コントローラ、３４ 送信機、
３５ 受信機
【特許請求の範囲】
【請求項１】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするためのシステムであって、
前記遠隔測定チャンネルを介した前記ＥＤと前記ＩＭＤの間の任意の通信を制限する遠隔測定インターロックを実施する手段と、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによって前記遠隔測定インターロックをリリースする手段と、
前記ＥＤが前記ＩＭＤから、前記ＩＭＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＩＭＤを前記ＥＤに対して認証する手段と、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証する手段と、
前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを、前記ＩＭＤと前記ＥＤが互いに対して認証された後に限って許可する手段と
を包含するシステム。
【請求項２】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするためのシステムであって、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによってリリースされる遠隔測定インターロックを実施する手段と、
前記遠隔測定インターロックがリリースされるまで、前記遠隔測定チャンネルを介した前記ＩＭＤとＥＤの間のデータ通信を制限する手段と
を包含するシステム。
【請求項３】
前記短距離通信チャンネルは、前記ＩＭＤと別の装置の間における誘導通信リンクである請求項２に記載のシステム。
【請求項４】
前記短距離通信チャンネルは、前記ＩＭＤ内のスイッチであり、前記ＩＭＤに近接して保持される磁石によって作動されて前記遠隔測定インターロックをリリースする請求項２に記載のシステム。
【請求項５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記遠隔測定チャンネルを介した前記ＥＤと前記ＩＭＤの間の任意の通信を制限する遠隔測定インターロックを実施すること、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによって前記遠隔測定インターロックをリリースすること、
前記ＥＤが前記ＩＭＤから、前記ＩＭＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証すること、
前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを、前記ＩＭＤと前記ＥＤが互いに対して認証された後に限って許可すること
を包含する方法。
【請求項６】
前記ＥＤと前記ＩＭＤは、公開キー暗号化方法を使用し、
前記ＥＤが、前記ＩＭＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化し、その暗号化済みの第１のメッセージを、遠隔測定チャンネルを介して前記ＩＭＤに送信し、かつそれに応答して前記第１のメッセージから誘導された、したがって前記ＩＭＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＩＭＤから受信すると、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが、前記ＥＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第２のメッセージを暗号化し、その暗号化済みの第２のメッセージを、遠隔測定チャンネルを介して前記ＥＤに送信し、かつそれに応答して前記第２のメッセージから誘導された、したがって前記ＥＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＥＤから受信すると、前記ＥＤを前記ＩＭＤに対して認証すること
によって互いに対して認証される請求項５に記載の方法。
【請求項７】
前記第１のメッセージから誘導される前記メッセージは前記第１のメッセージを含み、前記第２のメッセージから誘導される前記メッセージは前記第２のメッセージを含む請求項６に記載の方法。
【請求項８】
前記第１と第２のメッセージは、前記ＥＤと前記ＩＭＤによって生成される乱数をそれぞれ含む請求項６に記載の方法。
【請求項９】
前記第１と第２のメッセージは、前記ＥＤと前記ＩＭＤのための識別番号のコードをそれぞれ含む請求項６に記載の方法。
【請求項１０】
前記第１と第２のメッセージから誘導され、前記ＩＭＤと前記ＥＤによってそれぞれ送信される前記メッセージは、前記ＥＤと前記ＩＭＤの前記公開キーを使用してそれぞれ暗号化される請求項６に記載の方法。
【請求項１１】
前記第１のメッセージから誘導され、前記ＩＭＤによって送信される前記メッセージが前記第２のメッセージを含む請求項６に記載の方法。
【請求項１２】
さらに、前記データ通信セッションの間の前記ＥＤと前記ＩＭＤの間における通信を暗号化することを含む請求項５に記載の方法。
【請求項１３】
さらに、前記データ通信セッションの間の前記ＥＤと前記ＩＭＤの間における通信を、秘密キー暗号化方法を用いて暗号化することを含み、その際、前記秘密キーデータ通信セッションは、前記ＥＤもしくは前記ＩＭＤのいずれか一方が前記ＥＤもしくは前記ＩＭＤの他方に対して後者の公開キーによって暗号化した秘密セッションキーを送信することによって確立される請求項６に記載の方法。
【請求項１４】
前記ＥＤもしくは前記ＩＭＤのいずれか一方がセッションのインスティゲータとして指定され、前記ＥＤもしくは前記ＩＭＤの他方がセッションの受信者として指定され、前記ＥＤと前記ＩＭＤは、公開キー暗号化方法を使用し、
インスティゲータが、前記受信者によって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化することであって、その際、前記第１のメッセージは、前記インスティゲータのための識別番号のコードと乱数（ＲA）を含み、
前記インスティゲータが、前記遠隔測定チャンネルを介して前記受信者に前記暗号化済み第１のメッセージを送信すること、
前記受信者がそれ自体のプライベートキーを用いて前記第１のメッセージを解読し、前記第１のメッセージ内に含まれている前記識別番号のコードを使用して前記インスティゲータによって所有されていることが期待されているプライベートキーを有する公開キーをルックアップし、前記インスティゲータの前記公開キーを用いて第２のメッセージを暗号化することであって、その際、前記第２のメッセージは、前記受信者の識別番号のコード、前記乱数（ＲA）、第２の乱数（ＲB）を含み、
前記受信者が、前記遠隔測定チャンネルを介して前記インスティゲータに前記暗号化済み第２のメッセージを送信すること、
前記インスティゲータが、それ自体の前記第２のメッセージの暗号化に使用された公開キーに対応するプライベートキーを用いて前記第２のメッセージを解読し、前記第２のメッセージが（ＲA）を含むことを検証し、それによって前記受信者を認証すること、
前記インスティゲータが、前記第２のメッセージから誘導した第３のメッセージを前記受信者の前記公開キーを用いて暗号化することであって、その際前記第３のメッセージは、前記第２の乱数（ＲB）を含み、
前記インスティゲータが、前記遠隔測定チャンネルを介して前記受信者に前記暗号化済み第３のメッセージを送信すること、
前記受信者が、それ自体の、前記第３のメッセージの暗号化に使用された公開キーに対応するプライベートキーを用いて前記第３のメッセージを解読し、前記第３のメッセージが第２の乱数（ＲB）を含むことを検証し、それによって前記インスティゲータを認証すること
によって互いに対して認証される請求項５に記載の方法。
【請求項１５】
さらに、秘密キー暗号化方法を用いて前記データ通信セッションの間の前記インスティゲータと前記受信者の間における通信を暗号化することを含み、その際、前記秘密キーデータ通信セッションは、前記インスティゲータが前記受信者に、前記受信者の公開キーを用いて暗号化された秘密セッションキーを送信することによって確立される請求項１４に記載の方法。
【請求項１６】
前記秘密セッションキーは、前記インスティゲータによって送信される前記第３のメッセージ内に含められる請求項１５に記載の方法。
【請求項１７】
前記ＥＤと前記ＩＭＤが秘密キー暗号化方法を使用し、
前記ＥＤが前記遠隔測定チャンネルを介して第１のメッセージを前記ＩＭＤに送信し、それに応答して、前記ＩＭＤによって所有されていることが期待されている秘密キーによって暗号化された前記第１のメッセージから誘導されたメッセージを受信したとき、前記ＥＤに対して前記ＩＭＤを認証すること、
前記ＩＭＤが前記遠隔測定チャンネルを介して第２のメッセージを前記ＥＤに送信し、それに応答して、前記ＥＤによって所有されていることが期待されている秘密キーによって暗号化された前記第２のメッセージから誘導されたメッセージを受信したとき、前記ＩＭＤに対して前記ＥＤを認証すること
によって互いに対して認証される請求項５に記載の方法。
【請求項１８】
データ通信セッションが終了した後、前記遠隔測定インターロックが再作動され、前記遠隔測定インターロックが再びリリースされるまで前記遠隔測定チャンネルを介した通信を制限する請求項５に記載の方法。
【請求項１９】
前記遠隔測定インターロックがリリースされるまで、前記ＥＤと前記ＩＭＤの間におけるあらゆる通信が許可されない請求項５に記載の方法。
【請求項２０】
前記遠隔測定インターロックがリリースされていない場合であっても、前記ＩＭＤから前記ＥＤに対するデータの送信を許可する前記遠隔測定チャンネルを介したデータ通信セッションを確立することができるが、前記ＥＤによる前記ＩＭＤのプログラミングは、前記遠隔測定インターロックがリリースされない限り実行できない請求項５に記載の方法。
【請求項２１】
前記遠隔測定チャンネルは、フラウンホーファ領域無線周波数通信リンクである請求項５に記載の方法。
【請求項２２】
前記遠隔測定チャンネルは、インターネット・リンクを含む請求項５に記載の方法。
【請求項２３】
前記短距離通信チャンネルは、前記ＩＭＤと別の装置の間における誘導通信リンクである請求項５に記載の方法。
【請求項２４】
前記短距離通信チャンネルは、前記ＩＭＤ内のスイッチであり、前記ＩＭＤに近接して保持される磁石によって作動されて前記遠隔測定インターロックをリリースする請求項５に記載の方法。
【請求項２５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによってリリースされる遠隔測定インターロックを実施すること、
前記遠隔測定インターロックがリリースされるまで、前記遠隔測定チャンネルを介した前記ＩＭＤと前記ＥＤの間におけるデータ通信を制限すること
を包含する方法。
【請求項２６】
前記遠隔測定チャンネルを介したデータ通信セッションが終了した後、前記遠隔測定インターロックが再作動され、前記遠隔測定インターロックが再びリリースされるまで前記遠隔測定チャンネルを介した通信が制限される請求項２５に記載の方法。
【請求項２７】
前記遠隔測定インターロックがリリースされるまで、前記遠隔測定チャンネルを介した前記ＥＤと前記ＩＭＤの間におけるあらゆる通信が許可されない請求項２５に記載の方法。
【請求項２８】
前記遠隔測定インターロックがリリースされていない場合であっても、前記ＩＭＤから前記ＥＤに対するデータの送信を許可する前記遠隔測定チャンネルを介したデータ通信セッションを確立することができるが、前記ＥＤによる前記ＩＭＤのプログラミングは、前記遠隔測定インターロックがリリースされない限り実行できない請求項２５に記載の方法。
【請求項２９】
前記短距離通信チャンネルは、前記ＩＭＤと別の装置の間における誘導通信リンクである請求項２５に記載の方法。
【請求項３０】
前記短距離通信チャンネルは、前記ＩＭＤ内のスイッチであり、前記ＩＭＤに近接して保持される磁石によって作動されて前記遠隔測定インターロックをリリースする請求項２５に記載の方法。
【請求項３１】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記ＥＤが前記ＩＭＤから、前記ＩＭＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが前記ＥＤに対して認証された後に限って前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを許可すること、
を包含する方法。
【請求項３２】
さらに、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証すること、
前記ＩＭＤと前記ＥＤが互いに対して認証された後に限って前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを許可すること
を包含する請求項３１に記載の方法。
【請求項３３】
前記ＥＤと前記ＩＭＤが公開キー暗号化方法を使用し、
前記ＥＤが、前記ＩＭＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化し、その暗号化済みの第１のメッセージを、遠隔測定チャンネルを介して前記ＩＭＤに送信し、かつそれに応答して前記第１のメッセージから誘導された、したがって前記ＩＭＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＩＭＤから受信すると、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが、前記ＥＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第２のメッセージを暗号化し、その暗号化済みの第２のメッセージを、遠隔測定チャンネルを介して前記ＥＤに送信し、かつそれに応答して前記第２のメッセージから誘導された、したがって前記ＥＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＥＤから受信すると、前記ＥＤを前記ＩＭＤに対して認証すること
によって互いに対して認証される請求項３２に記載の方法。
【請求項３４】
前記ＥＤと前記ＩＭＤが秘密キー暗号化方法を使用し、
前記ＥＤが前記遠隔測定チャンネルを介して前記ＩＭＤに第１のメッセージを送信し、それに応答して、前記ＩＭＤによって所有されていることが期待されている秘密キーによって暗号化された前記第１のメッセージから誘導されたメッセージを受信したとき、前記ＥＤに対して前記ＩＭＤを認証すること、
前記ＩＭＤが前記遠隔測定チャンネルを介して前記ＥＤに第２のメッセージを送信し、それに応答して、前記ＥＤによって所有されていることが期待されている秘密キーによって暗号化された前記第２のメッセージから誘導されたメッセージを受信したとき、前記ＩＭＤに対して前記ＥＤを認証すること
によって互いに対して認証される請求項３２に記載の方法。
【請求項３５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証すること、
前記ＥＤが前記ＩＭＤに対して認証された後に限って前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを許可すること
を包含する方法。
【請求項１】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするためのシステムであって、
前記遠隔測定チャンネルを介した前記ＥＤと前記ＩＭＤの間の任意の通信を制限する遠隔測定インターロックを実施する手段と、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによって前記遠隔測定インターロックをリリースする手段と、
前記ＥＤが前記ＩＭＤから、前記ＩＭＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＩＭＤを前記ＥＤに対して認証する手段と、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証する手段と、
前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを、前記ＩＭＤと前記ＥＤが互いに対して認証された後に限って許可する手段と
を包含するシステム。
【請求項２】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするためのシステムであって、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによってリリースされる遠隔測定インターロックを実施する手段と、
前記遠隔測定インターロックがリリースされるまで、前記遠隔測定チャンネルを介した前記ＩＭＤとＥＤの間のデータ通信を制限する手段と
を包含するシステム。
【請求項３】
前記短距離通信チャンネルは、前記ＩＭＤと別の装置の間における誘導通信リンクである請求項２に記載のシステム。
【請求項４】
前記短距離通信チャンネルは、前記ＩＭＤ内のスイッチであり、前記ＩＭＤに近接して保持される磁石によって作動されて前記遠隔測定インターロックをリリースする請求項２に記載のシステム。
【請求項５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記遠隔測定チャンネルを介した前記ＥＤと前記ＩＭＤの間の任意の通信を制限する遠隔測定インターロックを実施すること、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによって前記遠隔測定インターロックをリリースすること、
前記ＥＤが前記ＩＭＤから、前記ＩＭＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証すること、
前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを、前記ＩＭＤと前記ＥＤが互いに対して認証された後に限って許可すること
を包含する方法。
【請求項６】
前記ＥＤと前記ＩＭＤは、公開キー暗号化方法を使用し、
前記ＥＤが、前記ＩＭＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化し、その暗号化済みの第１のメッセージを、遠隔測定チャンネルを介して前記ＩＭＤに送信し、かつそれに応答して前記第１のメッセージから誘導された、したがって前記ＩＭＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＩＭＤから受信すると、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが、前記ＥＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第２のメッセージを暗号化し、その暗号化済みの第２のメッセージを、遠隔測定チャンネルを介して前記ＥＤに送信し、かつそれに応答して前記第２のメッセージから誘導された、したがって前記ＥＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＥＤから受信すると、前記ＥＤを前記ＩＭＤに対して認証すること
によって互いに対して認証される請求項５に記載の方法。
【請求項７】
前記第１のメッセージから誘導される前記メッセージは前記第１のメッセージを含み、前記第２のメッセージから誘導される前記メッセージは前記第２のメッセージを含む請求項６に記載の方法。
【請求項８】
前記第１と第２のメッセージは、前記ＥＤと前記ＩＭＤによって生成される乱数をそれぞれ含む請求項６に記載の方法。
【請求項９】
前記第１と第２のメッセージは、前記ＥＤと前記ＩＭＤのための識別番号のコードをそれぞれ含む請求項６に記載の方法。
【請求項１０】
前記第１と第２のメッセージから誘導され、前記ＩＭＤと前記ＥＤによってそれぞれ送信される前記メッセージは、前記ＥＤと前記ＩＭＤの前記公開キーを使用してそれぞれ暗号化される請求項６に記載の方法。
【請求項１１】
前記第１のメッセージから誘導され、前記ＩＭＤによって送信される前記メッセージが前記第２のメッセージを含む請求項６に記載の方法。
【請求項１２】
さらに、前記データ通信セッションの間の前記ＥＤと前記ＩＭＤの間における通信を暗号化することを含む請求項５に記載の方法。
【請求項１３】
さらに、前記データ通信セッションの間の前記ＥＤと前記ＩＭＤの間における通信を、秘密キー暗号化方法を用いて暗号化することを含み、その際、前記秘密キーデータ通信セッションは、前記ＥＤもしくは前記ＩＭＤのいずれか一方が前記ＥＤもしくは前記ＩＭＤの他方に対して後者の公開キーによって暗号化した秘密セッションキーを送信することによって確立される請求項６に記載の方法。
【請求項１４】
前記ＥＤもしくは前記ＩＭＤのいずれか一方がセッションのインスティゲータとして指定され、前記ＥＤもしくは前記ＩＭＤの他方がセッションの受信者として指定され、前記ＥＤと前記ＩＭＤは、公開キー暗号化方法を使用し、
インスティゲータが、前記受信者によって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化することであって、その際、前記第１のメッセージは、前記インスティゲータのための識別番号のコードと乱数（ＲA）を含み、
前記インスティゲータが、前記遠隔測定チャンネルを介して前記受信者に前記暗号化済み第１のメッセージを送信すること、
前記受信者がそれ自体のプライベートキーを用いて前記第１のメッセージを解読し、前記第１のメッセージ内に含まれている前記識別番号のコードを使用して前記インスティゲータによって所有されていることが期待されているプライベートキーを有する公開キーをルックアップし、前記インスティゲータの前記公開キーを用いて第２のメッセージを暗号化することであって、その際、前記第２のメッセージは、前記受信者の識別番号のコード、前記乱数（ＲA）、第２の乱数（ＲB）を含み、
前記受信者が、前記遠隔測定チャンネルを介して前記インスティゲータに前記暗号化済み第２のメッセージを送信すること、
前記インスティゲータが、それ自体の前記第２のメッセージの暗号化に使用された公開キーに対応するプライベートキーを用いて前記第２のメッセージを解読し、前記第２のメッセージが（ＲA）を含むことを検証し、それによって前記受信者を認証すること、
前記インスティゲータが、前記第２のメッセージから誘導した第３のメッセージを前記受信者の前記公開キーを用いて暗号化することであって、その際前記第３のメッセージは、前記第２の乱数（ＲB）を含み、
前記インスティゲータが、前記遠隔測定チャンネルを介して前記受信者に前記暗号化済み第３のメッセージを送信すること、
前記受信者が、それ自体の、前記第３のメッセージの暗号化に使用された公開キーに対応するプライベートキーを用いて前記第３のメッセージを解読し、前記第３のメッセージが第２の乱数（ＲB）を含むことを検証し、それによって前記インスティゲータを認証すること
によって互いに対して認証される請求項５に記載の方法。
【請求項１５】
さらに、秘密キー暗号化方法を用いて前記データ通信セッションの間の前記インスティゲータと前記受信者の間における通信を暗号化することを含み、その際、前記秘密キーデータ通信セッションは、前記インスティゲータが前記受信者に、前記受信者の公開キーを用いて暗号化された秘密セッションキーを送信することによって確立される請求項１４に記載の方法。
【請求項１６】
前記秘密セッションキーは、前記インスティゲータによって送信される前記第３のメッセージ内に含められる請求項１５に記載の方法。
【請求項１７】
前記ＥＤと前記ＩＭＤが秘密キー暗号化方法を使用し、
前記ＥＤが前記遠隔測定チャンネルを介して第１のメッセージを前記ＩＭＤに送信し、それに応答して、前記ＩＭＤによって所有されていることが期待されている秘密キーによって暗号化された前記第１のメッセージから誘導されたメッセージを受信したとき、前記ＥＤに対して前記ＩＭＤを認証すること、
前記ＩＭＤが前記遠隔測定チャンネルを介して第２のメッセージを前記ＥＤに送信し、それに応答して、前記ＥＤによって所有されていることが期待されている秘密キーによって暗号化された前記第２のメッセージから誘導されたメッセージを受信したとき、前記ＩＭＤに対して前記ＥＤを認証すること
によって互いに対して認証される請求項５に記載の方法。
【請求項１８】
データ通信セッションが終了した後、前記遠隔測定インターロックが再作動され、前記遠隔測定インターロックが再びリリースされるまで前記遠隔測定チャンネルを介した通信を制限する請求項５に記載の方法。
【請求項１９】
前記遠隔測定インターロックがリリースされるまで、前記ＥＤと前記ＩＭＤの間におけるあらゆる通信が許可されない請求項５に記載の方法。
【請求項２０】
前記遠隔測定インターロックがリリースされていない場合であっても、前記ＩＭＤから前記ＥＤに対するデータの送信を許可する前記遠隔測定チャンネルを介したデータ通信セッションを確立することができるが、前記ＥＤによる前記ＩＭＤのプログラミングは、前記遠隔測定インターロックがリリースされない限り実行できない請求項５に記載の方法。
【請求項２１】
前記遠隔測定チャンネルは、フラウンホーファ領域無線周波数通信リンクである請求項５に記載の方法。
【請求項２２】
前記遠隔測定チャンネルは、インターネット・リンクを含む請求項５に記載の方法。
【請求項２３】
前記短距離通信チャンネルは、前記ＩＭＤと別の装置の間における誘導通信リンクである請求項５に記載の方法。
【請求項２４】
前記短距離通信チャンネルは、前記ＩＭＤ内のスイッチであり、前記ＩＭＤに近接して保持される磁石によって作動されて前記遠隔測定インターロックをリリースする請求項５に記載の方法。
【請求項２５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記ＩＭＤに対する物理的な近接を必要とする短距離通信チャンネルを介して前記ＩＭＤにイネーブル・コマンドを送信することによってリリースされる遠隔測定インターロックを実施すること、
前記遠隔測定インターロックがリリースされるまで、前記遠隔測定チャンネルを介した前記ＩＭＤと前記ＥＤの間におけるデータ通信を制限すること
を包含する方法。
【請求項２６】
前記遠隔測定チャンネルを介したデータ通信セッションが終了した後、前記遠隔測定インターロックが再作動され、前記遠隔測定インターロックが再びリリースされるまで前記遠隔測定チャンネルを介した通信が制限される請求項２５に記載の方法。
【請求項２７】
前記遠隔測定インターロックがリリースされるまで、前記遠隔測定チャンネルを介した前記ＥＤと前記ＩＭＤの間におけるあらゆる通信が許可されない請求項２５に記載の方法。
【請求項２８】
前記遠隔測定インターロックがリリースされていない場合であっても、前記ＩＭＤから前記ＥＤに対するデータの送信を許可する前記遠隔測定チャンネルを介したデータ通信セッションを確立することができるが、前記ＥＤによる前記ＩＭＤのプログラミングは、前記遠隔測定インターロックがリリースされない限り実行できない請求項２５に記載の方法。
【請求項２９】
前記短距離通信チャンネルは、前記ＩＭＤと別の装置の間における誘導通信リンクである請求項２５に記載の方法。
【請求項３０】
前記短距離通信チャンネルは、前記ＩＭＤ内のスイッチであり、前記ＩＭＤに近接して保持される磁石によって作動されて前記遠隔測定インターロックをリリースする請求項２５に記載の方法。
【請求項３１】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記ＥＤが前記ＩＭＤから、前記ＩＭＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが前記ＥＤに対して認証された後に限って前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを許可すること、
を包含する方法。
【請求項３２】
さらに、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証すること、
前記ＩＭＤと前記ＥＤが互いに対して認証された後に限って前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを許可すること
を包含する請求項３１に記載の方法。
【請求項３３】
前記ＥＤと前記ＩＭＤが公開キー暗号化方法を使用し、
前記ＥＤが、前記ＩＭＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第１のメッセージを暗号化し、その暗号化済みの第１のメッセージを、遠隔測定チャンネルを介して前記ＩＭＤに送信し、かつそれに応答して前記第１のメッセージから誘導された、したがって前記ＩＭＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＩＭＤから受信すると、前記ＩＭＤを前記ＥＤに対して認証すること、
前記ＩＭＤが、前記ＥＤによって所有されていることが期待されている対応するプライベートキーを有する公開キーを用いて第２のメッセージを暗号化し、その暗号化済みの第２のメッセージを、遠隔測定チャンネルを介して前記ＥＤに送信し、かつそれに応答して前記第２のメッセージから誘導された、したがって前記ＥＤによって前記対応するプライベートキーが所有されている証拠を示すメッセージを前記ＥＤから受信すると、前記ＥＤを前記ＩＭＤに対して認証すること
によって互いに対して認証される請求項３２に記載の方法。
【請求項３４】
前記ＥＤと前記ＩＭＤが秘密キー暗号化方法を使用し、
前記ＥＤが前記遠隔測定チャンネルを介して前記ＩＭＤに第１のメッセージを送信し、それに応答して、前記ＩＭＤによって所有されていることが期待されている秘密キーによって暗号化された前記第１のメッセージから誘導されたメッセージを受信したとき、前記ＥＤに対して前記ＩＭＤを認証すること、
前記ＩＭＤが前記遠隔測定チャンネルを介して前記ＥＤに第２のメッセージを送信し、それに応答して、前記ＥＤによって所有されていることが期待されている秘密キーによって暗号化された前記第２のメッセージから誘導されたメッセージを受信したとき、前記ＩＭＤに対して前記ＥＤを認証すること
によって互いに対して認証される請求項３２に記載の方法。
【請求項３５】
埋め込み可能な医療装置（ＩＭＤ）と外部装置（ＥＤ）の間における遠隔測定チャンネルを介した安全な通信を可能にするための方法であって、
前記ＩＭＤが前記ＥＤから、前記ＥＤによって所有されていることが期待されている暗号化キーの使用の証拠を示すメッセージを受信したとき、前記ＥＤを前記ＩＭＤに対して認証すること、
前記ＥＤが前記ＩＭＤに対して認証された後に限って前記ＩＭＤと前記ＥＤの間において前記遠隔測定チャンネルを介したデータ通信セッションが生じることを許可すること
を包含する方法。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公表番号】特表２００７−５２４４５６（Ｐ２００７−５２４４５６Ａ）
【公表日】平成１９年８月３０日（２００７．８．３０）
【国際特許分類】
【出願番号】特願２００６−５１７５１３（Ｐ２００６−５１７５１３）
【出願日】平成１６年６月２２日（２００４．６．２２）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０１９９０２
【国際公開番号】ＷＯ２００５／０００３９７
【国際公開日】平成１７年１月６日（２００５．１．６）
【出願人】（５０５００３５２８）カーディアック・ペースメーカーズ・インコーポレーテッド (466)
【Ｆターム（参考）】
【公表日】平成１９年８月３０日（２００７．８．３０）
【国際特許分類】
【出願日】平成１６年６月２２日（２００４．６．２２）
【国際出願番号】ＰＣＴ／ＵＳ２００４／０１９９０２
【国際公開番号】ＷＯ２００５／０００３９７
【国際公開日】平成１７年１月６日（２００５．１．６）
【出願人】（５０５００３５２８）カーディアック・ペースメーカーズ・インコーポレーテッド (466)
【Ｆターム（参考）】
[ Back to top ]