移植可能医療デバイスを用いたデータ交換セッションの安全な認証
移植可能医療デバイス（１０３）を用いてデータ交換セッション（１８２）を安全に認証するためのシステム（１６１）および方法（２００）が提供される。移植可能医療デバイス（１０３）と独自に関連する暗号キー（１２２）が、データ交換セッション（１８２）の間、データ（１３１）を認証するために規定される。安全接続（１８１）は、暗号キー（１２２）を安全に保持する安全キーリポジトリ（１６３）と、外部ソース（１６１）から確立される。移植可能医療デバイス（１０３）におけるデータ（１３１）をアクセスするための認証は、安全キーリポジトリ（１６３）から暗号キー（１２２）を安全に引き出すことによって認証される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は一般に、データ交換セッション認証に関し、特に、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムおよび方法に関する。
【背景技術】
【０００２】
心臓病は、心臓および血管に関する数種類の心臓および心臓血管疾患ならびに共通の病的性質（ｃｏ−ｍｏｒｂｉｄｉｔｙ）に関する。心臓病は、薬物と生活様式の修正との組み合わせを介して、よく治療される。過酷な場合においては、移植可能医療デバイス（ＩＭＤ）として言及されるモニタリングまたは療法配信（ｔｈｅｒａｐｙ ｄｅｌｉｖｅｒｙ）デバイスは、必要な場合、心臓性能データを収集し、心臓に療法を配信するために外科的に移植される。当業者によって理解されるように、ＩＭＤは、神経刺激を提供、薬物を投薬、および他の機能のためにも使用される。
【０００３】
周期的に、ＩＭＤによって収集されたデータは、更なる分析のためにダウンロードされ得、要求された場合、ＩＭＤを再プログラムするために新しい性能命令がアップロードされ得る。一般的にＩＭＤは、データ交換セッションにおいて、身体の外に配置されるプログラマまたは専用のリピータと通信する。患者リスクを最小限にするために、誘導遠隔測定（ｉｎｄｕｃｔｉｖｅ ｔｅｌｅｍｅｔｒｙ）のような無線遠隔測定が、ＩＭＤと非侵襲的に通信するために通常使用される。
【０００４】
誘導遠隔測定は、情報を送信するために少しのオンボードエネルギーを要求または全く要求しないが、誘導遠隔測定はわずかな欠点を有する。初めに、誘導遠隔測定は短距離、一般的に約６センチであり、患者とプログラマまたはリピータとの間に近接性を要求する。患者の動きが限定される一方、データ伝送は進行中である。更に、誘導遠隔測定は、キャリア信号周波数に対して直接比例する、遅いデータ伝送レートを有する。低周波数信号のみが、ＩＭＤの金属ケーシングの低域通過フィルタリング効果によって使用され得、１秒につき数キロビットの送信スピードという結果となる。この伝送レートは、通常、患者の生理学的データの数百万ビットを含み得る現代的ＩＭＤに対して不十分である。
【０００５】
最近、無線周波数（ＲＦ）遠隔測定、長距離遠隔測定の形式は、参考に援用される開示内容である、Ａｍｕｎｄｓｏｎらによる、２００２年９月２４日に公布された同一出願人に係る米国特許第６，４５６，２５６号、Ｖｏｎ Ａｒｘらによる、２００３年６月３日に公布された米国特許第６，５７４，５１０号、Ａｍｕｎｄｓｏｎらによる、２００３年９月２日に公布された米国特許第６，６１４，４０６号において記載されるように、誘導遠隔測定に対して実行可能な代替として明らかになった。誘導遠隔測定とは違って、ＲＦ遠隔測定は長距離であり、リピータを使用せずに患者から約２０フィート以上延びている。この距離は、ＩＭＤがアクセスされている間、患者の自由な動きを可能にする。ＲＦ遠隔測定は、ダウンロード時間をかなり短くし得る高データ伝送レートをも提供する。
【０００６】
前途有望であるが、ＩＭＤにおけるＲＦ遠隔測定の使用は、重大なプライバシおよび安全性についての関心事を潜在的にあげる。ＩＭＤとプログラマまたはリピータとの間に交換される患者識別可能健康情報のような機密情報は、漏洩することを予防するために保護されるべきである。データ交換セッションを開始する前に、臨床医は、好ましくは最初に患者に知らせ、次いで患者の知識のみを用いて進む。誘導遠隔測定の短距離は、インフォームドコンセントを必要とするが、ＲＦ遠隔測定のより長い距離は、適切な患者／臨床医認証を確保するために追加の事前対策を要求できる。同様に、ＲＦ遠隔測定のより広い送信半径は、第三者が認証なしにデータ交換セッションをモニタまたは干渉することを可能にし得る。最後に、データ交換セッションは、間違った患者と誤って行われ得る。
【０００７】
Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ（ＨＩＰＡＡ）およびＥｕｒｏｐｅａｎ Ｐｒｉｖａｃｙ Ｄｉｒｅｃｔｉｖｅを含む最近制定された医療情報プライバシ法は、患者のプライバシおよび安全を保護する重要性を強調し、全ての患者識別可能健康情報（ＰＨＩ）の保護を要求する。ＨＩＰＡＡの下において、ＰＨＩは、個人の過去、現在、未来の身体的および精神的健康または状態、もしくはヘルスケア提供者、健康プラン、雇い主またはヘルスケアクリアリングハウスによって生成または受け取られる、個人に対するヘルスケアの支給または支払いに関する識別可能人口統計および他の情報を含む個別的識別可能健康情報として規定される。
【０００８】
ＨＩＰＡＡのような医療情報プライバシ法の広範囲は、ＲＦ遠隔測定を介して提供されるようなより長い送信距離を用いるＩＭＤにおける患者プライバシ、もしくは盗聴、遮断または干渉を可能にする状況の下における機密情報交換を提供する他の安全ではないデータインターフェースに影響し得る。機密情報は、長距離送信の前に暗号化されるべきである。ＩＭＤのための現行の利用可能データ認証技術は、機密情報を満足に保護できる。これらの技術は一般的に、データ交換セッションの間に送信される機密情報を暗号化および解読するために、送信者および受信者のそれぞれによって必要とされる暗号キーを要求する。暗号キーは、データ交換セッションの間にコマンドを認証、データ保全性をチェック、および必要に応じて任意のＰＨＩを含む機密情報を暗号化するために使用され得る。好ましくは、暗号キーは、各ＩＭＤに対して固有である。しかしながら、認証は、ＩＭＤからプログラマまたはリピータへの暗号キーの識別も適切に保護されている場合においてのみ、十分な患者データセキュリティを提供できる。
【０００９】
したがって、暗号キー交換のための安全方法を使用することによる患者プライバシおよび安全を保証するためのシステムおよび方法が必要とされる。好ましくは、そのような手法は、データ交換セッションの前に臨床医／患者認証を安全にし、ＩＭＤと、プログラマ、リピータまたは同様のデバイスとの間における安全な暗号キー交換を処理することを容易にする。
【発明の開示】
【課題を解決するための手段】
【００１０】
移植されたＩＭＤと長距離遠隔測定が可能な外部ソースとの間におけるデータ交換セッションを開始する前に、ＲＦプログラマ、リピータまたは無線コンピュータデバイスによって提供されるような患者／臨床医認証が、データ交換セッションの間において、暗号キーが識別され、使用のために引き出される間に完成されるべきである。暗号キーは、安全キーリポジトリ（ｒｅｐｏｓｉｔｏｒｙ）において保持され、長距離遠隔測定リンクを通じて送信される場合において、個別のコマンドを認証し、データ保全性をチェックし、かつ必要に応じて、任意のＰＨＩを含む機密情報を暗号化し、または前述したものの組み合わせを行うために使用され得る。暗号キーは、予めプログラムおよびＩＭＤに永続的に格納され得、もしくはＩＭＤ、プログラマまたは専用リピータにおいてダイナミックに（ｄｙｎａｍｉｃａｌｌｙ）生成され得る。暗号キーは、キーの形式および暗号キーを保持するデバイスの種類に基づいて、暗号キーのソースから引き出される。例えば、暗号キーがＩＭＤに格納されている場合、プログラマは、暗号キーを誘導遠隔測定を介して引き出す。暗号キーが安全データベースにおいて保持されている場合、プログラマは、安全データベースをサービスする安全サーバへの安全接続を介して、暗号キーを得る。暗号キーが物理的トークンにおいて提供された場合、プログラマは、例えば、光学的、磁気的、またはシリアル通信インターフェースを介して、物理的トークンから暗号キーにアクセスするための手段を含む。成功した認証の後、外部ソースおよび移植可能医療デバイスは、長距離遠隔測定に遷移することによって、データ交換セッションを処理する。
【００１１】
一実施形態は、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムおよび方法を提供する。移植可能医療デバイスと独自に関連する暗号キーが、データ交換セッションの間、データを認証するために規定される。安全接続は、暗号キーを安全に保持する安全キーリポジトリと、外部ソースから確立される。移植可能医療デバイスにおけるデータをアクセスするための認証は、安全キーリポジトリから暗号キーを安全に引き出すことによって認証される。
【００１２】
更なる実施形態は、移植可能医療デバイスを用いてデータ交換セッションを安全に処理するためのシステムおよび方法を提供する。移植可能医療デバイスとの通信は、短距離インターフェースを使用して、安全に保持された暗号キーへのアクセスを認証することによって認証される。データ交換セッションは、移植可能医療デバイスを用いた成功したアクセス認証において、長距離インターフェースに遷移することによって開始される。データ交換セッションは、暗号キーを使用して、移植可能医療デバイスに格納される患者健康情報にアクセスすることによって処理される。
【００１３】
本発明の更なる実施形態は、本発明を行うために最良に考慮された方法によって示された発明の説明された実施形態である以下の詳細な説明から、当業者に明らかになるであろう。理解されるように、本発明は、その精神および範囲から逸脱せず、他のおよび異なる実施形態が可能であり、そのいくつかの詳細は、様々な明白な点における修正が可能である。したがって、図面および詳細な説明は、限定的ではなく、本質において例示的であることに考慮されたい。
【発明を実施するための最良の形態】
【００１４】
図１は、例えば、本発明の実施形態に従う患者の生理学的パラメータをモニタリングする移植可能医療デバイス（ＩＭＤ）１０３を示すブロック図１００である。ＩＭＤ１０３は、患者の胸または腹部に外科的に移植され、一般的にハウジング１０４およびターミナルブロック１０５から成る。ＩＭＤ１０３は、ターミナルブロック１０５において、リード１０６ａ〜ｂのセットに結合される。手術の間、リード１０６ａ〜ｂは、静脈を縫うように通り、かつ各リード１０６ａ〜ｂの末端（ｄｉｓｔａｌ ｔｉｐ）が心臓１０２の中の組織と直接接触するように配置されて、リード１０６ａ〜ｂは心臓１０２に配置される。
【００１５】
ハウジング１０４は、電池１０７、制御回路網１０８、メモリ１０９、および遠隔測定回路網１１０を含む。電池１０７は、ＩＭＤ構成要素のための有限電源を提供する。制御回路網１０８は、未処理のデータ信号をサンプリングおよび処理し、信号フィルタおよび増幅器、メモリおよびマイクロプロセッサベースのコントローラを含む。メモリ１０９は、未処理の生理学的信号が後の受信および解析のために格納され得るメモリストアを含む。遠隔測定回路網１１０は、ＩＭＤ１０３と、プログラマまたは専用リピータ（図示せず）のような外部デバイスとの間におけるインターフェースを提供する。遠隔測定回路網１１０は、動作パラメータが、ＩＭＤ１０３との遠隔測定通信において外部デバイスを介してメモリ１０９に非侵襲的にプログラムされることを可能にする。遠隔測定回路網１１０は、ＩＭＤ１０３によって収集され、メモリ１０９に一時的に格納された患者情報が、処理および解析のために外部デバイスに送信されることも可能にする。
【００１６】
ＩＭＤ１０３は、各リード１０６ａ〜ｂの末端に配置される電極１１１ａ〜ｂを介して心臓１０２と直接電気通信している。例えば、リード１０６ａ〜ｂのセットは、右心室電極１１１ａおよび右心房電極１１１ｂを含み得る。右心室電極１１１ａは、好ましくは、心臓１０２の右室心尖部１１２に配置され、右心房電極１１１ｂは、好ましくは、心臓１０２の右の心房室１１３に配置される。電極１１１ａ〜ｂは、ＩＭＤ１０３が、好ましくはミリボルト測定を介して、未処理の生理学的測定を直接収集することを可能にする。当業者によって理解されるように、単一および複数のリードならびに単一および複数の電極の使用の含む、リードおよび電極の他の構成および配列が使用され得る。
【００１７】
当業者によって理解されるように、記載の実施形態において、ＩＭＤ１０３は、徐脈を管理するために使用される心ペースメーカ、頻搏を治療するために使用される移植可能電気細動除去器（ｃａｒｄｉｏｖｅｒｔｅｒ ｄｅｆｉｂｒｉｌｌａｔｏｒ）（ＩＭＤ）、ならびにうっ血性心不全と同様に律動問題のような心臓の構造問題をモニタリングおよび治療するための他の種類の移植可能心臓血管モニタおよび治療用デバイスの一部として実施され得る。記載の実施形態における使用のために適した心ペースメーカの実施例は、Ｇｕｉｄａｎｔ Ｃｏｒｐｏｒａｔｉｏｎ，Ｓｔ．Ｐａｕｌ，ＭＮによって販売されるＰｕｌｓａｒ Ｍａｘ ＩＩ、Ｄｉｓｃｏｖｅｒｙ、およびＤｉｓｃｏｖｅｒｙ ＩＩペーシングシステムを含む。記載の実施形態における使用のために適したＩＭＤの実施例は、Ｇｕｉｄａｎｔ Ｃｏｒｐｏｒａｔｉｏｎ，Ｓｔ．Ｐａｕｌ，Ｍｉｎｎによって更に販売されるＣｏｎｔａｋ Ｒｅｎｅｗａｌ心臓再同期療法細動除去器を含む。
【００１８】
通常、メモリ１０９に格納されている未処理の生理学的信号が引き出される。例えば、プログラマまたはリピータ（図示せず）は、未処理の生理学的信号を引き出すために使用され得る。しかしながら、ＩＭＤ１０３と通信するのに適したプログラマ、リピータ、質問器、レコーダ、モニタ、またはトランシーバの任意の形が使用され得る。更に、サーバ、パーソナルコンピュータまたはデジタルデータプロセッサは、直接または移植可能医療デバイス１０３と通信するように構成されるトランシーバを介して、ＩＭＤ１０３とインターフェースで接続され得る。
【００１９】
短距離データ交換のために、ＩＭＤ１０３は、ＩＭＤ１０３の配置上に位置するワンド（ｗａｎｄ）を介して交換される誘導遠隔測定信号を介して、プログラマまたはリピータと通信する。プログラミングまたは質問命令は、ＩＭＤ１０３に送信され、格納された未処理の生理学的信号は、プログラマにダウンロードされる。長距離データ交換のために、ＩＭＤ１０３は、無線周波数（ＲＦ）プログラマ、リピータまたは他の無線コンピュータデバイスのような長距離遠隔測定が可能な外部デバイスと通信する。当業者によって理解されるように、他の種類のデータインターフェースが可能である。図２を参照して以下にさらに説明されるように、長距離データ交換セッションを開始する前に、患者／臨床医認証は、安全な暗号キー１２２受信を介して実行される。
【００２０】
更なる実施形態においては、ＩＭＤ１０３は、ＩＭＤ１０３と外部デバイスとの間における通信を制限する遠隔測定インターロックを含む。患者／臨床医認証は、安全な暗号キー１２２受信と一緒に使用され得る、遠隔測定インターロックの解放を介して安全化される。参考に援用される開示内容である、２００３年６月２３日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第１０／６０１，７６３に記載されるように、外部デバイスが、短距離遠隔測定を介してＥＮＡＢＬＥ命令をＩＭＤ１０３に送信した場合、遠隔測定インターロックは解放される。
【００２１】
誘導遠隔測定を用いるプログラマの実施例は、引き出された未処理の生理学的信号を取り外し可能フロッピー（登録商標）ディスケットに格納するための能力を含む、Ｇｕｉｄａｎｔ Ｃｏｒｐｏｒａｔｉｏｎ，Ｉｎｄｉａｎａｐｏｌｉｓ，ＩＮによって製造されるＭｏｄｅｌ ２９２０ Ｐｒｏｇｒａｍｍｅｒ Ｒｅｃｏｒｄｅｒ Ｍｏｎｉｔｏｒである。未処理の生理学的信号は、パーソナルコンピュータまたは同様の処理デバイスを使用して、後で電気的に移動され得る。
【００２２】
他の代替の未処理の生理学的信号移動手段も使用され得る。例えば、格納された未処理の生理学的信号は、ＩＭＤ１０３から引き出され得、参考に援用される開示内容である１９９２年５月１９日に公布されたＮａｐｐｈｏｌｚらによる米国特許第５，１１３，８６９号に記載されるように、遠隔外部のプログラマおよび解析器と遠隔電話通信器との組み合わせを使用してネットワークに電気的に移動され得る。同様に、参考に援用される開示内容である１９９８年５月１９日に公布されたＤｕｆｆｉｎらによる米国特許第５，７５２，９７６号に記載されるように、格納された未処理の生理学的信号は引き出され得、ワールドワイドな患者位置およびデータ遠隔測定システムを使用してサーバに遠隔にダウンロードされ得る。
【００２３】
当業者によって理解されるように、移植可能心臓モニタリングおよび療法配信に関連して説明されたが、ＩＭＤは、神経刺激、薬物投薬、ならびに他の移植可能と同様に外部のモニタリングおよび療法配信デバイスも含む。
【００２４】
図２は、暗号キー生成および認証を示す処理フロー図１２０である。データ交換セッションの間、任意のＰＨＩを含む機密情報は、ＩＭＤ１０３と、プログラマ１２３、リピータ１２４または他の無線コンピュータデバイス１２５のような外部ソースとの間におけるＲＦまたは長距離遠隔測定の任意の形式を介して交換される。当業者によって理解されるように、データ交換セッションは、他の種類の安全ではないデータインターフェースを通じても処理され得る。しかしながら、任意のそのような安全ではないインターフェースを通じてデータ交換セッションを開始する前に、患者／臨床医認証は安全化される必要がある。患者／臨床医認証または単に「認証」は、臨床医が、患者に直接または含意によって知らせ、ＩＭＤ１０３に保持される患者情報にアクセスし、必要な場合、ＩＭＤ１０３を質問および再プログラムするための認証を安全化する間、患者と臨床医との間における肯定相互作用を必然的に含む。認証は、臨床医が、データ交換セッションを間違った患者または患者の知識なしに誤って開始しないように保証する。認証は、ＩＭＤ１０３と独自に関連する暗号キー１２２を安全に得る機会をも提供する。
【００２５】
認証は、スタティックに（ｓｔａｔｉｃａｌｌｙ）生成および永続的に格納される暗号キー、ダイナミックに生成および永続的に格納される暗号キー、ダイナミックに生成および永続的に格納されないセッション暗号キー、またはそれらの組み合わせを使用して完成され得る。永続的に格納される暗号キー１２２は、プログラマ、患者デジグネータ、安全データベース、トークン、またはリピータのような固定安全キーリポジトリおよびＩＭＤ自体に保持される。スタティックに生成および永続的に格納される暗号キーは、製造処理の間のように、移植の前にＩＭＤ１０３に格納される。ダイナミックに生成および永続的に格納される暗号キーは、例えば、移植後の短距離遠隔測定を使用するＩＭＤ１０３への次のダウンロードのためにプログラマ１２３によって、ダイナミックに生成される。ダイナミックに生成および永続的に格納されないセッション暗号キーも、ダイナミックに生成されＩＭＤ１０３と共有されるが、永続的に格納されず、単一の患者データ交換のために使用される。各暗号キー１２２は、ＩＭＤ１０３に独自に割り当てられる。一実施形態においては、暗号キー１０３は、１２８ビットの長さを有する、対称的である、または１２８ビットの長さでありかつ対称的である。他の暗号キーの長さおよび対称も可能である。
【００２６】
暗号キー１２２は、データ交換セッションを開始する前に認証を実行するために、ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５によって使用される。認証を完成するにおいて、患者情報は、暗号キー１２２を更に使用して、明確または必要に応じて、暗号化された形式において送信され得る。一実施形態においては、交換される機密情報は、オリジナルな識別特徴（ｆｉｎｇｅｒｐｒｉｎｔ）を形成するために暗号キー１２２を用いて送信端（ｓｅｎｄｉｎｇ ｅｎｄ）においてハッシュされる。機密情報およびオリジナルな識別特徴は送信され、機密情報は、比較識別特徴を形成するために暗号キー１２を用いて受信端（ｒｅｃｅｉｖｉｎｇ ｅｎｄ）において再度ハッシュされる。オリジナルおよび比較識別特徴が一致した場合、機密情報は認証される。
【００２７】
記載される実施形態において、暗号キー１２２は３つの機能を提供する。
【００２８】
（１）ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５の両方が、ＲＦまたは他の長距離無線リンクを通じてデータ交換セッションの間に交換される個別のコマンドを認証することを可能にする。認証は、行われる唯一のコマンドが、信頼できるソースから生じるコマンドであることを保証する。
【００２９】
（２）ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５が、ＲＦまたは他の長距離無線リンクを通じて受信された機密情報の保全性をチェックすることを可能にする。データ保全性チェックは、行われる唯一のコマンドが、悪意的または誤ってのどちらかにおいて変更されていないコマンドであることを保証する。更なる実施形態においては、参考に援用される開示内容である、２００４年３月１５日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第＿＿＿＿号の「Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｔｅｌｅｍｅｔｒｙ Ｗｉｔｈ Ａｎ Ｉｍｐｌａｎｔａｂｌｅ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ」代理人整理番号第０２７９．７１８ＵＳ１に記載されるように、ＩＭＤ１０３は、プログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５から受信されるメッセージの保全性を検証し、反対に、プログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５は、ＩＭＤ１０３から受信されたメッセージの保全性を検証する。
【００３０】
（３）ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５が、ＲＦまたは他の長距離無線リンクを通じて送信または受信された、任意のＰＨＩを含む機密情報を暗号化および解読することを可能にする。暗号化は、機密情報が、適用可能な患者健康情報プライバシ法および規則に従ってＲＦまたは他の長距離無線リンクを通じて安全に送信されることを可能にする。更なる実施形態においては、参考に援用される開示内容である、２００４年３月１５日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第１０／８０１，１５０号に記載されるように、プログラマ１２３、リピータ１２５、または他の無線コンピュータデバイス１２５は、ヘルスケア提供者による引き出しのためのスタティックデータとして、かつＩＭＤによる使用のために、ＩＭＤに格納され得る、任意のＰＨＩを含む、機密情報を予め暗号化する。
【００３１】
一実施形態においては、個別のコマンドおよび患者データ保全性は、Ｋｅｙｅｄ−Ｈａｓｈｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎプロトコル（ＨＭＡＣ）のような標準認証プロトコルを使用して認証され、機密情報は、Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄプロトコル（ＡＥＳ）のような標準暗号化プロトコルを使用して暗号化される。参考に援用される開示内容である、２００３年６月２３日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第１０／６０１，７６３号に記載されるように、他の認証および暗号化技術ならびにプロトコルと同様に、暗号キー１２２の使用に関する他の機能が可能である。
【００３２】
図３は、患者健康情報（ＰＨＩ）記録１３１を示すデータ構造図１３０である。最低限、患者健康情報は、特定の個人を健康および医療関連情報に識別する。ＨＩＰＡＡの下においては、保護を要求し、例えば、名前１３２、誕生日１３３、および患者識別番号１３４を含む患者健康情報の１８のカテゴリがある。保護可能な患者健康情報は、暗号化された形式において格納され得る１８のカテゴリのうち１つ以上を含み得る。更に、各記録１３１は、他の種類の識別および治療プロフィール情報、医療履歴、ならびに他の関連データも含み得る。ＰＨＩに追加されまたその代わりに、他の種類の機密情報も保護可能になり得る。
【００３３】
図４Ａ〜図４Ｅは、例えば、本発明の実施形態に従う、移植可能医療デバイスとのデータ交換セッションを安全に認証するためのシステムを示す機能的ブロック図である。各システムにおいては、暗号キー１２２は、暗号キー１２２を安全に提供するための他の手段が可能であるが、短距離誘導遠隔測定を介し、患者デジグネータを介し、安全データベースルックアップを介し、トークンを使用しまたはリピータ１２４を介して、プログラマ１２３またはリピータ１２４に安全に提供される。
【００３４】
暗号キー１２２は、移植の前に再プログラムされおよびＩＭＤ１０３に永続的に格納され、もしくは移植後の短距離遠隔測定を使用して、ＩＭＤ１０３によってまたはＩＭＤ１０３への次のダウンロードのためにプログラマ１２３によってダイナミックに生成されるかのどちらかである。暗号キー１２２は、好ましくは、１２８ビットキーであり、対称的または非対称的になり得る。
【００３５】
ＩＭＤ１０３は、遠隔ＲＦトランシーバを用い、長距離遠隔測定を介してインターフェースで接続するオンボードＲＦトランシーバ（図示せず）を含む。参考に援用される開示内容である、Ａｍｕｎｄｓｏｎによる、２００２年９月２４日に公布された同一出願人に係る米国特許第６，４５６，２５６号に記載されるように、オンボードトランシーバは、周囲アンテナがＩＭＤ１０３の外部ケーシングの周りを包んで、ＩＭＤ１０３に統合される。参考に援用される開示内容である、Ｖｏｎ Ａｒｘらによる、２００３年６月３日に公布された同一出願人に係る米国特許第６，５７４，５１０号に記載されるように、ＲＦ通信は、オンボードＲＦトランシーバによって放射される電磁エネルギーの周波数、位相角、または振幅のいずれかを変化されることによって実行される。
【００３６】
初めに図４Ａを参照すると、短距離遠隔測定を介し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１４０が示される。認証は、誘導遠隔測定を使用してプログラマ１２３とＩＭＤ１０３との間に短距離遠隔測定リンク１４２を介して提供される、患者／臨床医認証を用いて開始する。ワンド１４１は、暗号キー１２２を、遠隔測定リンク１４２を通じてプログラマ１２３に送信するＩＭＤ１０３の配置上に位置される。患者と臨床医との間の個人対話は、患者／臨床医認証が完成されたことを保証する。
【００３７】
暗号キー１２２を受信するにおいて、プログラマ１２３は、ＲＦ遠隔測定を使用し、長距離遠隔測定リンク１４３を通じて、ＩＭＤ１０３から患者情報を引き出すため、もしくはプログラミングまたは質問命令をＩＭＤ１０３に送信するために、暗号キー１２２を使用する。ＩＭＤ１０３は、プログラマ１２３に不可欠なＲＦトランシーバ１４５とインターフェースで接続する。
【００３８】
ＩＭＤ１０３は、短距離遠隔測定を介し、ワンド１４１を介して、プログラマ１２３と通信する。短距離遠隔測定は、非排他的に、誘導遠隔測定を含む。データは、ＡＳＫ（振幅シフトキー）、ＦＳＫ（周波数シフトキー）、ＰＳＫ（位相シフトキー）、およびＱＰＳＫ（直角位相シフトキー）のような標準プロトコルを使用して、ＩＭＤ１０３とプログラマ１２３との間においてデジタルに交換される。参考に援用される開示内容である、Ｂｒｏｃｋｗａｙらによる、１９８６年１月２日に公布された同一出願人に係る米国特許第４，５６２，８４１号に記載されるように、信号は、ワンド１４１を介して誘導的に交換される。
【００３９】
更なる実施形態においては、患者情報は、暗号化されていない形式においてＩＭＤ１０３に格納される。暗号化されていない患者情報は、短距離誘導遠隔測定を介してのみ直接引き出され得る。しかしながら、ＩＭＤ１０３は、長距離遠隔測定を介する通信のために、暗号化されていない患者情報を暗号化することもできる。例えば、プログラマ１２３は、短距離遠隔測定信号を介してＩＭＤ１０３と通信されるセッション暗号キー１２２を生成できる。ＩＭＤ１０３は次いで、セッション暗号キー１２２を、長距離遠隔測定を介して患者情報を暗号化および通信するために使用し得る。
【００４０】
更なる実施形態においては、１つ以上のリピータ（図示せず）は、遠隔測定信号を、ＩＭＤ１０３のオンボードＲＦトランシーバからＲＦトランシーバ１４５へリレーすることによって、長距離遠隔測定通信を増補する。
【００４１】
次いで図４Ｂを参照すると、患者デジグネータ１５１を介し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１５０が示される。認証は、患者デジグネータ１５１を介して提供される、患者／臨床医認証を用いて開始する。患者デジグネータは、短距離遠隔測定リンク１５２を介して、ＩＭＤ１０３のような他のデバイスと通信する電池式デバイスである。データは、ＡＳＫ、ＦＳＫ、ＰＳＫ、およびＱＰＳＫのような標準プロトコルを使用して、ＩＭＤ１０３と患者デジグネータ１５１との間においてデジタルに交換される。
【００４２】
一実施形態においては、患者デジグネータ１５１は、暗号キー１２２を、短距離遠隔測定リンク１５２を介してＩＭＤ１０３から引き出し、引き出された暗号キー１２２をプログラマ１２３に提供する。患者デジグネータ１５１は、いくつかのインターフェースのうちの１つを介して、プログラマ１２３とインターフェースで接続する。初めに、患者デジグネータ１５１およびプログラマ１２３は、ＲＳ−２３２Ｃ、ＵＳＢまたはＩＥＥＥ １３９４インターフェース仕様のようなシリアル接続を通じてインターフェースで接続できる。患者デジグネータ１５１およびプログラマ１２３は、誘導遠隔測定リンクを介してもインターフェースで接続できる。最後に、患者デジグネータ１５１およびプログラマ１２３は、安全な無線暗号化リンクを介してインターフェースで接続できる。患者デジグネータ１５１とプログラマ１２３との間における他の種類のインターフェーシングが可能である。
【００４３】
更なる実施形態においては、１つ以上のリピータ（図示せず）は、遠隔測定信号を、ＩＭＤ１０３のオンボードＲＦトランシーバからＲＦトランシーバ１４５へリレーすることによって、長距離遠隔測定通信を増補する。
【００４４】
更なる実施形態においては、患者デジグネータ１５１は、短距離遠隔測定リンク１５２を使用してＩＭＤ１０３にプログラムされる１２８ビット暗号キー１２２を、無作為に生成できる。患者デジグネータ１５１は、同様に、シリアルリンク、短距離遠隔測定リンク、または安全無線リンクを使用して、同等の暗号キー１２２をプログラマ１２３にプログラムする。
【００４５】
更なる実施形態においては、ＩＭＤ１０３は、永続的に格納される暗号キー１２２を用いて予めプログラムされる。患者デジグネータ１５１は、暗号キー１２２を、短距離遠隔測定リンク１５２を介してＩＭＤ１０３から引き出し、引き出された暗号キー１２２を、シリアルリンク、短距離遠隔測定リンク、または安全無線リンクを介してプログラマ１２３に提供する。
【００４６】
更なる実施形態においては、プログラマ１２３は、シリアルリンク、短距離遠隔測定リンク、または安全無線リンクを介して患者デジグネータ１５１に予めプログラムされるセッション暗号キー１２２を、無作為に生成する。患者デジグネータ１５１は次に、臨床医がデータ交換セッションを潜在的に後で開始した場合、セッション暗号キーをＩＭＤ１０３にプログラムする。
【００４７】
次に図４Ｃを参照すると、安全ルックアップを介し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１６０が示される。認証は、安全ルックアップを介して、患者／臨床医認証を用いて開始する。ＩＭＤ１０３は、永続的に格納される暗号キー１２２を用いて予めプログラムされる。暗号キー１２２は、暗号キー１２２をＩＭＤ１０３と関連させるキーテーブル１６３ならびに認可された臨床医およびパスワードを含む安全データベース１６２にも格納される。臨床医は、安全サーバ１６１を介して安全データベース１６２にアクセスし、成功認証において暗号キー１２２をキーテーブル１６３から引き出す。プログラマ１２３は、Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ（ＳＳＬ）またはＩｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｓｅｃｕｒｉｔｙ（ＩＰＳｅｃ）を介して提供されるように、安全接続を介して安全サーバ１６１とインターフェースで接続する。更なる実施形態においては、プログラマ１２３は、専用のシリアルまたは配線接続を介して安全サーバ１６１とインターフェースで接続する。
【００４８】
次に、図４Ｄを参照すると、トークン１７１を使用し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１７０が示される。認証は、物理的トークン１７１を使用し、患者／臨床医認証を用いて開始する。物理的トークン１７１は、英数字テキスト、バーコードまたは他の外見上現れる表示のような物理的ラベルを介して、もしくはトランジスタ、メモリ回路、または他の種類の電気的または磁気的読取可能ストレージ媒体を介してのように内部ストレージを介して、のうちのどちらかによって暗号キー１２２を記録する。外見上、物理的トークン１７１は、ブレスレット、ペンダントまたはコインのような身に付けられる宝石類の形、スマートカードまたはバーコードカードのような札入れサイズのカードの形、および他の物理的な形になり得る。
【００４９】
ＩＭＤ１０３は、患者または診療所に提供される物理的トークン１７１にも格納される、永続的に格納される暗号キー１２２を用いて予めプログラムされる。データ交換セッションを開始する前に、暗号キー１２２は、例えば、プログラマ１２３において提供されるリーダ１７２を使用して物理的トークン１７１を読み取ることによって、物理的トークン１７１から引き出される。一実施形態においては、プログラマ１２３は、短距離遠隔測定を介して物理的トークン１７１を読み取る。更なる実施形態においては、物理的トークン１７１は、光学的にプログラマ１２３によって読み取られるバーコードを含む。プログラマ１２３における使用のために適したバーコードリーダの例は、Ｉｎｔｅｌｌｉ Ｉｎｎｏｖａｔｉｏｎｓ，Ｉｎｃ．，Ｃａｒｙ，ＮＣによって製造されるｉｎｔｅｌｌｉＳｃａｎｅｒ ５０００ＸＬである。更なる実施形態においては、物理的トークン１７１は、トランジスタまたは同様の電子部品を含み、暗号キー１２２は、物理的トークン１７１から電気的または磁気的に引き出される。更なる実施形態においては、物理的トークン１７１は、暗号キー１２２を永続的に格納するための固体素子を含み、プログラマ１２３は、シリアルインターフェース接続を介して暗号キー１２２を引き出す。更なる実施形態においては、暗号キー１２２は、物理的トークン１７１から物理的に読み取られた後、プログラマ１２３にマニュアル的にエンターされる。
【００５０】
最後に、図４Ｅを参照すると、リピータ１２４を介し、ＩＭＤ１０３を用いるデータ交換セッション１８２を安全に認証するためのシステム１８０が示される。認証は、患者／臨床医認証を用いて開始する。一実施形態においては（図示せず）、ＩＭＤ１０３およびリピータ１２４の両方は、例えば製造処理の間において、同等の永続的暗号キー１２２を用いて予めプログラムされる。患者／臨床医認証のこの形式は、個人の患者のための独自のＩＭＤ１０３に対して特定のリピータ１２４の割当１８１を利用し、それによって、リピータ１２４が暗号キー１２２を用いて予めプログラムされることを可能にする。
【００５１】
更なる実施形態においては、ＩＭＤ１０３に割り当てられる暗号キー１２２は、安全データベース１６２に保持されるキーテーブル１６３に格納される。暗号キー１２２は、安全サーバ１６１との認証の後に、リピータ１２４によって安全データベース１６２から引き出される。認可され、工場によって提供されたリピータ１２４のみが、暗号キー１２２のコピーを受信でき、それによって、患者／臨床医認証を保証する。
【００５２】
図４Ｂを参照して更に上述されたように、更なる実施形態においては（図示せず）、暗号キー１２２は、患者デジグネータ１５１を介して提供される患者／臨床医認証に類似する方法において、短距離遠隔測定を介し、プログラマ１２３によってＩＭＤ１０３から引き出される。したがって、プログラマ１２３は、短距離遠隔測定リンクを介してＩＭＤ１０３から暗号キー１２２を引き出し、シリアル接続、短距離遠隔測定リンク、安全無線接続、または他の同様インターフェースを介して、暗号キー１２２をリピータ１２４に提供する。
【００５３】
図５は、例えば、ＩＭＤ１０３の周りに規定される安全領域を示すブロック図１９０である。患者／臨床医認証は、ロジカルに規定された安全領域１９１内においてのみ処理され得る一方、データ交換セッションはロジカルに規定された安全ではない領域１９２において処理され得、提供される患者／臨床医認証はうまく完成され、全ての患者情報は適切に暗号化される。
【００５４】
安全領域１９１の範囲１９３は、処理される患者／臨床医認証の形式に基づく。例えば、短距離誘導遠隔測定は、約６センチの範囲１９３を有する。安全ではない領域１９４の範囲は、同様に、使用される長距離遠隔測定の形式による。ＲＦ遠隔測定に対しては、範囲１９４は、プログラマ１２３またはリピータ１２４に関連する患者の方向付け（ｏｒｉｅｎｔａｔｉｏｎ）によって、患者から２０フィート以上になり得る。暗号化の使用は、安全領域１９１の範囲１９３が、暗号化または認証を介し、安全ではない領域１９２によって提供される拡張された範囲１９５を有することを可能にする。
【００５５】
図６は、本発明の実施形態に従う、ＩＭＤ１０３を用いてデータ交換セッションを安全に認証するための方法２００を示すフロー図である。方法２００は、例えば、プログラマ１２３、リピータ１２４、または他の構成要素によって実行され得る、処理動作または工程の一連として記載される。動作は、患者／臨床医認証を提供するために、短距離遠隔測定、患者デジグネータ、安全ルックアップを介して、物理的トークンを使用して、およびリピータによって各実施形態における様々な構成要素によって実行される。
【００５６】
初めに、暗号キー１２２が生成される（ブロック２０１）。システムによって、暗号キー１２２は、移植後に短距離遠隔測定を使用するＩＭＤ１０３への次のダウンロードのために、プログラマ１２３、または適用可能な場合、リピータ１２４によってダイナミックに生成され得る。同様に、暗号キー１２２は、製造処理の間に生成され得、移植の前にＩＭＤ１０３に永続的に格納される。代替的に、暗号キー１２２は、ＩＭＤ１０３によってダイナミックに生成され得る。安全ルックアップおよび物理的トークンを使用するシステムは、暗号キー１２２がＩＭＤ１０３の外部およびそこから独立する手段を介して安全に提供されるため、永続的に格納される暗号キー１２２とのみ動作できる。短距離遠隔測定、患者デジグネータ、およびリピータを使用するシステムは、永続的に格納される暗号キー１２２またはダイナミックに生成される暗号キー１２２のどちらかと動作できる。
【００５７】
次に、安全接続は、暗号キー１２２のソースを用いて確立される（ブロック２０２）。安全接続の形式は、キーソースの種類による。例えば、キーソースがＩＭＤ１０３の場合、安全接続は、誘導遠隔測定リンクを介して確立され得る。キーソースが安全データベース１６２におけるキーテーブル１６３であった場合、安全接続は、専用のシリアルまたは配線接続を介して、もしくはＳＳＬまたはＩＰＳｅｃを介して提供されるような、ロジカルな安全ネットワーク接続を介して、安全サーバ１６１に確立され得る。同様に、キーソースが物理的トークン１７１であった場合、安全接続は、リーダ１７２、または光学的、磁気的スマートカードおよび短距離遠隔測定リンクのような同様の物理的情報引き出しメカニズムを介して確立され得る。最後に、キーソースがリピータ１２４であった場合、安全接続は、例えば、誘導または磁気的遠隔測定もしくは専用のシリアルまたは配線接続を介して、リピータ１２４と互換性のあるインターフェースを介して確立され得る。
【００５８】
図７〜図１１を参照して以下に更に説明されるように、暗号キー１２２は、認証および得られる（ブロック２０３）。最後に、データ交換セッションは、ＩＭＤ１０３とプログラマ１２３またはリピータ１２４との間において処理される（ブロック２０４）。次いで、方法は終了する。
【００５９】
図７は、一実施形態に従って、短距離遠隔測定を介して暗号キー認証を実行するためのルーチンを示すフロー図２１０である。このルーチンの目的は、プログラマ１２３を使用し、誘導または磁気遠隔測定を介して、暗号キー１２２をＩＭＤ１０３から安全に直接引き出すことである。
【００６０】
短距離遠隔測定接続は、ＩＭＤ１０３とプログラマ１２３との間において確立される（ブロック２１１）。暗号キー１２２が予めプログラムされている場合、すなわちＩＭＤ１０３に永続的に格納される場合（ブロック２１２）、暗号キー１２２は、短距離遠隔測定リンクを通じてＩＭＤ１０３から引き出される（ブロック２１４）。暗号キー１２２が予めプログラムされていない場合（ブロック２１２）、ＩＭＤ１０３は暗号キー１２２を生成し（ブロック２１３）、暗号キー１２２はプログラマ１２３によって引き出される（ブロック２１４）。更なる実施形態においては、プログラマ１２３は、ＩＭＤ１０３にダウンロードされる暗号キー１２２をダイナミックに生成する。ＩＭＤ１０３からの暗号キーの成功した引き出しにおいて、短距離遠隔測定接続は閉じられ（ブロック２１５）、ルーチンは戻る。
【００６１】
図８は、一実施形態に従って、患者デジグネータ１５１を介して暗号キー認証を実行するためのルーチン２２０を示すフロー図である。このルーチンの目的は、患者デジグネータ１５１を使用し、誘導または磁気遠隔測定を介して、暗号キー１２２をＩＭＤ１０３から安全に直接引き出すことである。
【００６２】
短距離遠隔測定接続は、ＩＭＤ１０３と患者デジグネータ１５１との間において確立される（ブロック２２１）。暗号キー１２２が予めプログラムされている場合、すなわちＩＭＤ１０３に永続的に格納される場合（ブロック２２２）、暗号キー１２２は、短距離遠隔測定リンクを通じてＩＭＤ１０３から引き出される（ブロック２２４）。暗号キー１２２が予めプログラムされていない場合（ブロック２２２）、ＩＭＤ１０３またはプログラマ１２３は暗号キー１２２を生成し（ブロック２２３）、暗号キー１２２は患者デジグネータ１５１によって引き出される（ブロック２２４）。更なる実施形態においては、プログラマ１２３は、ＩＭＤ１０３および患者デジグネータ１５１にダウンロードされる暗号キー１２２をダイナミックに生成する。ＩＭＤ１０３からの暗号キーの成功した引き出しにおいて、短距離遠隔測定は閉じられる（ブロック２２５）。
【００６３】
次いで、患者デジグネータ１５１とプログラマ１２３との間において接続が確立される。接続は、一連の短距離遠隔測定、安全な暗号化された無線、または他の形式の安全接続を介してあり得る。暗号キー１２２は、患者デジグネータ１５１からプログラマ１２３によって引き出され（ブロック２２７）、接続は閉じられる（ブロック２２８）。次いで、ルーチンは戻る。
【００６４】
図９は、一実施形態に従って、安全ルックアップを介して暗号キー認証を実行するためのルーチン２３０を示すフロー図である。このルーチンの一目的は、安全データベース１６２に記録されるように、予めプログラムされ、ＩＭＤ１０３に永続的に格納される暗号キー１２２と一致する暗号キー１２２を引き出すことである。
【００６５】
安全データベース１６２へのアクセスを提供するために、プログラマ１２３と安全サーバ１６１との間において安全接続が確立される（ブロック２３１）。安全接続は、専用のシリアルまたは配線接続を介して、または安全なリモートネットワーク接続を介してあり得る。ＩＭＤ１０３は安全サーバ１６１に識別され、リクエストプログラマ１２３の適切な認証は完成される（ブロック２３２）。暗号キー１２２は次いで、キーテーブル１６３から引き出され（ブロック２３３）、安全接続は閉じられる（ブロック２３４）。次いで、ルーチンは戻る。
【００６６】
図１０は、一実施形態に従って、物理的トークン１７１を使用して暗号キー認証を実行するためのルーチン２４０を示すフロー図である。このルーチンの一目的は、使用される物理的トークン１７１の形式に基づいて、暗号キー１２２を物理的トークン１７１から引き出すことである。
【００６７】
プログラマ１２３は、暗号キー記録の形式に基づいて物理的トークン１７１にアクセスし（ブロック２４１）、暗号キー１２２は、物理的トークン１７１から引き出される（ブロック２４２）。例えば、暗号キー１２２が物理的トークン１７１に磁気的に格納された場合、プログラマ１２３は、暗号キー１２２を物理的トークン１７１から電気的に引き出す。同様に、暗号キー１２２がバーコードとしてプリントされた場合、プログラマ１２３は、暗号キー１２２を物理的トークン１７１から光学的に読み取る。同様に、物理的トークン１７１がスマートカードであった場合、暗号キー１２２は、物理的トークン１７１がスマートカードリーダを介してスライドされて、スマートカードから読み取られる。物理的トークン１７１は次いで、暗号キーの引き出しの後に解放され（ブロック２４３）、ルーチンは戻る。
【００６８】
図１１は、一実施形態に従って、リピータ１２４を用い、安全ルックアップを介して、暗号キー認証を実行するためのルーチン２５０を示すフロー図である。このルーチンの一目的は、安全データベース１６２に記録されるように、予めプログラムされ、ＩＭＤ１０３に永続的に格納される暗号キー１２２と一致する暗号キー１２２を引き出すことである。
【００６９】
安全データベース１６２へのアクセスを提供するために、リピータ１２４と安全サーバ１６１との間において安全接続が確立される（ブロック２６１）。安全接続は、専用のシリアルまたは配線接続を介して、または安全なリモートネットワーク接続を介してあり得る。ＩＭＤ１０３は安全サーバ１６１に識別され、リクエストリピータ１２４の適切な認証は完成される（ブロック２６２）。暗号キー１２２は次いで、キーテーブル１６３から引き出され（ブロック２６３）、安全接続は閉じられる（ブロック２６４）。次いで、ルーチンは戻る。
【００７０】
更なる実施形態においては（図示せず）、ＩＭＤ１０３およびリピータ１２４の両方は、例えば、製造処理の間において、同等の永続的な暗号キー１２２を用いて予めプログラムされる。更なる実施形態においては（図示せず）、図８を参照して上述されたように、患者デジグネータ１５１を介して提供される患者／臨床医認証と類似する方法において、暗号キー１２２は、短距離遠隔測定を介し、プログラマ１２３によってＩＭＤ１０３から引き出される。
【００７１】
本発明が詳細に示され、明細書における実施形態を参照して説明された一方、当業者は、形式および詳細における前述ならびに他の変更が、本発明の精神および範囲から逸脱せずに行われ得ることが理解されるであろう。
【図面の簡単な説明】
【００７２】
【図１】本発明の一実施形態に従って、患者の生理学的パラメータをモニタリングする移植可能医療デバイスを例示的に示すブロック図である。
【図２】暗号キー生成および認証を示す処理フロー図である。
【図３】患者健康情報記録を示すデータ構造図である。
【図４Ａ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｂ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｃ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｄ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｅ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図５】ＩＭＤの周りに規定される安全領域を例示的に示すブロック図である。
【図６】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するための方法を示すフロー図である。
【図７】一実施形態に従って、短距離遠隔測定を介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図８】一実施形態に従って、患者デジグネータを介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図９】一実施形態に従って、安全ルックアップを介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図１０】一実施形態に従って、物理的トークンを使用して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図１１】一実施形態に従って、リピータを用い、安全ルックアップを介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【技術分野】
【０００１】
本発明は一般に、データ交換セッション認証に関し、特に、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムおよび方法に関する。
【背景技術】
【０００２】
心臓病は、心臓および血管に関する数種類の心臓および心臓血管疾患ならびに共通の病的性質（ｃｏ−ｍｏｒｂｉｄｉｔｙ）に関する。心臓病は、薬物と生活様式の修正との組み合わせを介して、よく治療される。過酷な場合においては、移植可能医療デバイス（ＩＭＤ）として言及されるモニタリングまたは療法配信（ｔｈｅｒａｐｙ ｄｅｌｉｖｅｒｙ）デバイスは、必要な場合、心臓性能データを収集し、心臓に療法を配信するために外科的に移植される。当業者によって理解されるように、ＩＭＤは、神経刺激を提供、薬物を投薬、および他の機能のためにも使用される。
【０００３】
周期的に、ＩＭＤによって収集されたデータは、更なる分析のためにダウンロードされ得、要求された場合、ＩＭＤを再プログラムするために新しい性能命令がアップロードされ得る。一般的にＩＭＤは、データ交換セッションにおいて、身体の外に配置されるプログラマまたは専用のリピータと通信する。患者リスクを最小限にするために、誘導遠隔測定（ｉｎｄｕｃｔｉｖｅ ｔｅｌｅｍｅｔｒｙ）のような無線遠隔測定が、ＩＭＤと非侵襲的に通信するために通常使用される。
【０００４】
誘導遠隔測定は、情報を送信するために少しのオンボードエネルギーを要求または全く要求しないが、誘導遠隔測定はわずかな欠点を有する。初めに、誘導遠隔測定は短距離、一般的に約６センチであり、患者とプログラマまたはリピータとの間に近接性を要求する。患者の動きが限定される一方、データ伝送は進行中である。更に、誘導遠隔測定は、キャリア信号周波数に対して直接比例する、遅いデータ伝送レートを有する。低周波数信号のみが、ＩＭＤの金属ケーシングの低域通過フィルタリング効果によって使用され得、１秒につき数キロビットの送信スピードという結果となる。この伝送レートは、通常、患者の生理学的データの数百万ビットを含み得る現代的ＩＭＤに対して不十分である。
【０００５】
最近、無線周波数（ＲＦ）遠隔測定、長距離遠隔測定の形式は、参考に援用される開示内容である、Ａｍｕｎｄｓｏｎらによる、２００２年９月２４日に公布された同一出願人に係る米国特許第６，４５６，２５６号、Ｖｏｎ Ａｒｘらによる、２００３年６月３日に公布された米国特許第６，５７４，５１０号、Ａｍｕｎｄｓｏｎらによる、２００３年９月２日に公布された米国特許第６，６１４，４０６号において記載されるように、誘導遠隔測定に対して実行可能な代替として明らかになった。誘導遠隔測定とは違って、ＲＦ遠隔測定は長距離であり、リピータを使用せずに患者から約２０フィート以上延びている。この距離は、ＩＭＤがアクセスされている間、患者の自由な動きを可能にする。ＲＦ遠隔測定は、ダウンロード時間をかなり短くし得る高データ伝送レートをも提供する。
【０００６】
前途有望であるが、ＩＭＤにおけるＲＦ遠隔測定の使用は、重大なプライバシおよび安全性についての関心事を潜在的にあげる。ＩＭＤとプログラマまたはリピータとの間に交換される患者識別可能健康情報のような機密情報は、漏洩することを予防するために保護されるべきである。データ交換セッションを開始する前に、臨床医は、好ましくは最初に患者に知らせ、次いで患者の知識のみを用いて進む。誘導遠隔測定の短距離は、インフォームドコンセントを必要とするが、ＲＦ遠隔測定のより長い距離は、適切な患者／臨床医認証を確保するために追加の事前対策を要求できる。同様に、ＲＦ遠隔測定のより広い送信半径は、第三者が認証なしにデータ交換セッションをモニタまたは干渉することを可能にし得る。最後に、データ交換セッションは、間違った患者と誤って行われ得る。
【０００７】
Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ（ＨＩＰＡＡ）およびＥｕｒｏｐｅａｎ Ｐｒｉｖａｃｙ Ｄｉｒｅｃｔｉｖｅを含む最近制定された医療情報プライバシ法は、患者のプライバシおよび安全を保護する重要性を強調し、全ての患者識別可能健康情報（ＰＨＩ）の保護を要求する。ＨＩＰＡＡの下において、ＰＨＩは、個人の過去、現在、未来の身体的および精神的健康または状態、もしくはヘルスケア提供者、健康プラン、雇い主またはヘルスケアクリアリングハウスによって生成または受け取られる、個人に対するヘルスケアの支給または支払いに関する識別可能人口統計および他の情報を含む個別的識別可能健康情報として規定される。
【０００８】
ＨＩＰＡＡのような医療情報プライバシ法の広範囲は、ＲＦ遠隔測定を介して提供されるようなより長い送信距離を用いるＩＭＤにおける患者プライバシ、もしくは盗聴、遮断または干渉を可能にする状況の下における機密情報交換を提供する他の安全ではないデータインターフェースに影響し得る。機密情報は、長距離送信の前に暗号化されるべきである。ＩＭＤのための現行の利用可能データ認証技術は、機密情報を満足に保護できる。これらの技術は一般的に、データ交換セッションの間に送信される機密情報を暗号化および解読するために、送信者および受信者のそれぞれによって必要とされる暗号キーを要求する。暗号キーは、データ交換セッションの間にコマンドを認証、データ保全性をチェック、および必要に応じて任意のＰＨＩを含む機密情報を暗号化するために使用され得る。好ましくは、暗号キーは、各ＩＭＤに対して固有である。しかしながら、認証は、ＩＭＤからプログラマまたはリピータへの暗号キーの識別も適切に保護されている場合においてのみ、十分な患者データセキュリティを提供できる。
【０００９】
したがって、暗号キー交換のための安全方法を使用することによる患者プライバシおよび安全を保証するためのシステムおよび方法が必要とされる。好ましくは、そのような手法は、データ交換セッションの前に臨床医／患者認証を安全にし、ＩＭＤと、プログラマ、リピータまたは同様のデバイスとの間における安全な暗号キー交換を処理することを容易にする。
【発明の開示】
【課題を解決するための手段】
【００１０】
移植されたＩＭＤと長距離遠隔測定が可能な外部ソースとの間におけるデータ交換セッションを開始する前に、ＲＦプログラマ、リピータまたは無線コンピュータデバイスによって提供されるような患者／臨床医認証が、データ交換セッションの間において、暗号キーが識別され、使用のために引き出される間に完成されるべきである。暗号キーは、安全キーリポジトリ（ｒｅｐｏｓｉｔｏｒｙ）において保持され、長距離遠隔測定リンクを通じて送信される場合において、個別のコマンドを認証し、データ保全性をチェックし、かつ必要に応じて、任意のＰＨＩを含む機密情報を暗号化し、または前述したものの組み合わせを行うために使用され得る。暗号キーは、予めプログラムおよびＩＭＤに永続的に格納され得、もしくはＩＭＤ、プログラマまたは専用リピータにおいてダイナミックに（ｄｙｎａｍｉｃａｌｌｙ）生成され得る。暗号キーは、キーの形式および暗号キーを保持するデバイスの種類に基づいて、暗号キーのソースから引き出される。例えば、暗号キーがＩＭＤに格納されている場合、プログラマは、暗号キーを誘導遠隔測定を介して引き出す。暗号キーが安全データベースにおいて保持されている場合、プログラマは、安全データベースをサービスする安全サーバへの安全接続を介して、暗号キーを得る。暗号キーが物理的トークンにおいて提供された場合、プログラマは、例えば、光学的、磁気的、またはシリアル通信インターフェースを介して、物理的トークンから暗号キーにアクセスするための手段を含む。成功した認証の後、外部ソースおよび移植可能医療デバイスは、長距離遠隔測定に遷移することによって、データ交換セッションを処理する。
【００１１】
一実施形態は、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムおよび方法を提供する。移植可能医療デバイスと独自に関連する暗号キーが、データ交換セッションの間、データを認証するために規定される。安全接続は、暗号キーを安全に保持する安全キーリポジトリと、外部ソースから確立される。移植可能医療デバイスにおけるデータをアクセスするための認証は、安全キーリポジトリから暗号キーを安全に引き出すことによって認証される。
【００１２】
更なる実施形態は、移植可能医療デバイスを用いてデータ交換セッションを安全に処理するためのシステムおよび方法を提供する。移植可能医療デバイスとの通信は、短距離インターフェースを使用して、安全に保持された暗号キーへのアクセスを認証することによって認証される。データ交換セッションは、移植可能医療デバイスを用いた成功したアクセス認証において、長距離インターフェースに遷移することによって開始される。データ交換セッションは、暗号キーを使用して、移植可能医療デバイスに格納される患者健康情報にアクセスすることによって処理される。
【００１３】
本発明の更なる実施形態は、本発明を行うために最良に考慮された方法によって示された発明の説明された実施形態である以下の詳細な説明から、当業者に明らかになるであろう。理解されるように、本発明は、その精神および範囲から逸脱せず、他のおよび異なる実施形態が可能であり、そのいくつかの詳細は、様々な明白な点における修正が可能である。したがって、図面および詳細な説明は、限定的ではなく、本質において例示的であることに考慮されたい。
【発明を実施するための最良の形態】
【００１４】
図１は、例えば、本発明の実施形態に従う患者の生理学的パラメータをモニタリングする移植可能医療デバイス（ＩＭＤ）１０３を示すブロック図１００である。ＩＭＤ１０３は、患者の胸または腹部に外科的に移植され、一般的にハウジング１０４およびターミナルブロック１０５から成る。ＩＭＤ１０３は、ターミナルブロック１０５において、リード１０６ａ〜ｂのセットに結合される。手術の間、リード１０６ａ〜ｂは、静脈を縫うように通り、かつ各リード１０６ａ〜ｂの末端（ｄｉｓｔａｌ ｔｉｐ）が心臓１０２の中の組織と直接接触するように配置されて、リード１０６ａ〜ｂは心臓１０２に配置される。
【００１５】
ハウジング１０４は、電池１０７、制御回路網１０８、メモリ１０９、および遠隔測定回路網１１０を含む。電池１０７は、ＩＭＤ構成要素のための有限電源を提供する。制御回路網１０８は、未処理のデータ信号をサンプリングおよび処理し、信号フィルタおよび増幅器、メモリおよびマイクロプロセッサベースのコントローラを含む。メモリ１０９は、未処理の生理学的信号が後の受信および解析のために格納され得るメモリストアを含む。遠隔測定回路網１１０は、ＩＭＤ１０３と、プログラマまたは専用リピータ（図示せず）のような外部デバイスとの間におけるインターフェースを提供する。遠隔測定回路網１１０は、動作パラメータが、ＩＭＤ１０３との遠隔測定通信において外部デバイスを介してメモリ１０９に非侵襲的にプログラムされることを可能にする。遠隔測定回路網１１０は、ＩＭＤ１０３によって収集され、メモリ１０９に一時的に格納された患者情報が、処理および解析のために外部デバイスに送信されることも可能にする。
【００１６】
ＩＭＤ１０３は、各リード１０６ａ〜ｂの末端に配置される電極１１１ａ〜ｂを介して心臓１０２と直接電気通信している。例えば、リード１０６ａ〜ｂのセットは、右心室電極１１１ａおよび右心房電極１１１ｂを含み得る。右心室電極１１１ａは、好ましくは、心臓１０２の右室心尖部１１２に配置され、右心房電極１１１ｂは、好ましくは、心臓１０２の右の心房室１１３に配置される。電極１１１ａ〜ｂは、ＩＭＤ１０３が、好ましくはミリボルト測定を介して、未処理の生理学的測定を直接収集することを可能にする。当業者によって理解されるように、単一および複数のリードならびに単一および複数の電極の使用の含む、リードおよび電極の他の構成および配列が使用され得る。
【００１７】
当業者によって理解されるように、記載の実施形態において、ＩＭＤ１０３は、徐脈を管理するために使用される心ペースメーカ、頻搏を治療するために使用される移植可能電気細動除去器（ｃａｒｄｉｏｖｅｒｔｅｒ ｄｅｆｉｂｒｉｌｌａｔｏｒ）（ＩＭＤ）、ならびにうっ血性心不全と同様に律動問題のような心臓の構造問題をモニタリングおよび治療するための他の種類の移植可能心臓血管モニタおよび治療用デバイスの一部として実施され得る。記載の実施形態における使用のために適した心ペースメーカの実施例は、Ｇｕｉｄａｎｔ Ｃｏｒｐｏｒａｔｉｏｎ，Ｓｔ．Ｐａｕｌ，ＭＮによって販売されるＰｕｌｓａｒ Ｍａｘ ＩＩ、Ｄｉｓｃｏｖｅｒｙ、およびＤｉｓｃｏｖｅｒｙ ＩＩペーシングシステムを含む。記載の実施形態における使用のために適したＩＭＤの実施例は、Ｇｕｉｄａｎｔ Ｃｏｒｐｏｒａｔｉｏｎ，Ｓｔ．Ｐａｕｌ，Ｍｉｎｎによって更に販売されるＣｏｎｔａｋ Ｒｅｎｅｗａｌ心臓再同期療法細動除去器を含む。
【００１８】
通常、メモリ１０９に格納されている未処理の生理学的信号が引き出される。例えば、プログラマまたはリピータ（図示せず）は、未処理の生理学的信号を引き出すために使用され得る。しかしながら、ＩＭＤ１０３と通信するのに適したプログラマ、リピータ、質問器、レコーダ、モニタ、またはトランシーバの任意の形が使用され得る。更に、サーバ、パーソナルコンピュータまたはデジタルデータプロセッサは、直接または移植可能医療デバイス１０３と通信するように構成されるトランシーバを介して、ＩＭＤ１０３とインターフェースで接続され得る。
【００１９】
短距離データ交換のために、ＩＭＤ１０３は、ＩＭＤ１０３の配置上に位置するワンド（ｗａｎｄ）を介して交換される誘導遠隔測定信号を介して、プログラマまたはリピータと通信する。プログラミングまたは質問命令は、ＩＭＤ１０３に送信され、格納された未処理の生理学的信号は、プログラマにダウンロードされる。長距離データ交換のために、ＩＭＤ１０３は、無線周波数（ＲＦ）プログラマ、リピータまたは他の無線コンピュータデバイスのような長距離遠隔測定が可能な外部デバイスと通信する。当業者によって理解されるように、他の種類のデータインターフェースが可能である。図２を参照して以下にさらに説明されるように、長距離データ交換セッションを開始する前に、患者／臨床医認証は、安全な暗号キー１２２受信を介して実行される。
【００２０】
更なる実施形態においては、ＩＭＤ１０３は、ＩＭＤ１０３と外部デバイスとの間における通信を制限する遠隔測定インターロックを含む。患者／臨床医認証は、安全な暗号キー１２２受信と一緒に使用され得る、遠隔測定インターロックの解放を介して安全化される。参考に援用される開示内容である、２００３年６月２３日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第１０／６０１，７６３に記載されるように、外部デバイスが、短距離遠隔測定を介してＥＮＡＢＬＥ命令をＩＭＤ１０３に送信した場合、遠隔測定インターロックは解放される。
【００２１】
誘導遠隔測定を用いるプログラマの実施例は、引き出された未処理の生理学的信号を取り外し可能フロッピー（登録商標）ディスケットに格納するための能力を含む、Ｇｕｉｄａｎｔ Ｃｏｒｐｏｒａｔｉｏｎ，Ｉｎｄｉａｎａｐｏｌｉｓ，ＩＮによって製造されるＭｏｄｅｌ ２９２０ Ｐｒｏｇｒａｍｍｅｒ Ｒｅｃｏｒｄｅｒ Ｍｏｎｉｔｏｒである。未処理の生理学的信号は、パーソナルコンピュータまたは同様の処理デバイスを使用して、後で電気的に移動され得る。
【００２２】
他の代替の未処理の生理学的信号移動手段も使用され得る。例えば、格納された未処理の生理学的信号は、ＩＭＤ１０３から引き出され得、参考に援用される開示内容である１９９２年５月１９日に公布されたＮａｐｐｈｏｌｚらによる米国特許第５，１１３，８６９号に記載されるように、遠隔外部のプログラマおよび解析器と遠隔電話通信器との組み合わせを使用してネットワークに電気的に移動され得る。同様に、参考に援用される開示内容である１９９８年５月１９日に公布されたＤｕｆｆｉｎらによる米国特許第５，７５２，９７６号に記載されるように、格納された未処理の生理学的信号は引き出され得、ワールドワイドな患者位置およびデータ遠隔測定システムを使用してサーバに遠隔にダウンロードされ得る。
【００２３】
当業者によって理解されるように、移植可能心臓モニタリングおよび療法配信に関連して説明されたが、ＩＭＤは、神経刺激、薬物投薬、ならびに他の移植可能と同様に外部のモニタリングおよび療法配信デバイスも含む。
【００２４】
図２は、暗号キー生成および認証を示す処理フロー図１２０である。データ交換セッションの間、任意のＰＨＩを含む機密情報は、ＩＭＤ１０３と、プログラマ１２３、リピータ１２４または他の無線コンピュータデバイス１２５のような外部ソースとの間におけるＲＦまたは長距離遠隔測定の任意の形式を介して交換される。当業者によって理解されるように、データ交換セッションは、他の種類の安全ではないデータインターフェースを通じても処理され得る。しかしながら、任意のそのような安全ではないインターフェースを通じてデータ交換セッションを開始する前に、患者／臨床医認証は安全化される必要がある。患者／臨床医認証または単に「認証」は、臨床医が、患者に直接または含意によって知らせ、ＩＭＤ１０３に保持される患者情報にアクセスし、必要な場合、ＩＭＤ１０３を質問および再プログラムするための認証を安全化する間、患者と臨床医との間における肯定相互作用を必然的に含む。認証は、臨床医が、データ交換セッションを間違った患者または患者の知識なしに誤って開始しないように保証する。認証は、ＩＭＤ１０３と独自に関連する暗号キー１２２を安全に得る機会をも提供する。
【００２５】
認証は、スタティックに（ｓｔａｔｉｃａｌｌｙ）生成および永続的に格納される暗号キー、ダイナミックに生成および永続的に格納される暗号キー、ダイナミックに生成および永続的に格納されないセッション暗号キー、またはそれらの組み合わせを使用して完成され得る。永続的に格納される暗号キー１２２は、プログラマ、患者デジグネータ、安全データベース、トークン、またはリピータのような固定安全キーリポジトリおよびＩＭＤ自体に保持される。スタティックに生成および永続的に格納される暗号キーは、製造処理の間のように、移植の前にＩＭＤ１０３に格納される。ダイナミックに生成および永続的に格納される暗号キーは、例えば、移植後の短距離遠隔測定を使用するＩＭＤ１０３への次のダウンロードのためにプログラマ１２３によって、ダイナミックに生成される。ダイナミックに生成および永続的に格納されないセッション暗号キーも、ダイナミックに生成されＩＭＤ１０３と共有されるが、永続的に格納されず、単一の患者データ交換のために使用される。各暗号キー１２２は、ＩＭＤ１０３に独自に割り当てられる。一実施形態においては、暗号キー１０３は、１２８ビットの長さを有する、対称的である、または１２８ビットの長さでありかつ対称的である。他の暗号キーの長さおよび対称も可能である。
【００２６】
暗号キー１２２は、データ交換セッションを開始する前に認証を実行するために、ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５によって使用される。認証を完成するにおいて、患者情報は、暗号キー１２２を更に使用して、明確または必要に応じて、暗号化された形式において送信され得る。一実施形態においては、交換される機密情報は、オリジナルな識別特徴（ｆｉｎｇｅｒｐｒｉｎｔ）を形成するために暗号キー１２２を用いて送信端（ｓｅｎｄｉｎｇ ｅｎｄ）においてハッシュされる。機密情報およびオリジナルな識別特徴は送信され、機密情報は、比較識別特徴を形成するために暗号キー１２を用いて受信端（ｒｅｃｅｉｖｉｎｇ ｅｎｄ）において再度ハッシュされる。オリジナルおよび比較識別特徴が一致した場合、機密情報は認証される。
【００２７】
記載される実施形態において、暗号キー１２２は３つの機能を提供する。
【００２８】
（１）ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５の両方が、ＲＦまたは他の長距離無線リンクを通じてデータ交換セッションの間に交換される個別のコマンドを認証することを可能にする。認証は、行われる唯一のコマンドが、信頼できるソースから生じるコマンドであることを保証する。
【００２９】
（２）ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５が、ＲＦまたは他の長距離無線リンクを通じて受信された機密情報の保全性をチェックすることを可能にする。データ保全性チェックは、行われる唯一のコマンドが、悪意的または誤ってのどちらかにおいて変更されていないコマンドであることを保証する。更なる実施形態においては、参考に援用される開示内容である、２００４年３月１５日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第＿＿＿＿号の「Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｆｏｒ Ｔｅｌｅｍｅｔｒｙ Ｗｉｔｈ Ａｎ Ｉｍｐｌａｎｔａｂｌｅ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ」代理人整理番号第０２７９．７１８ＵＳ１に記載されるように、ＩＭＤ１０３は、プログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５から受信されるメッセージの保全性を検証し、反対に、プログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５は、ＩＭＤ１０３から受信されたメッセージの保全性を検証する。
【００３０】
（３）ＩＭＤ１０３およびプログラマ１２３、リピータ１２４、または他の無線コンピュータデバイス１２５が、ＲＦまたは他の長距離無線リンクを通じて送信または受信された、任意のＰＨＩを含む機密情報を暗号化および解読することを可能にする。暗号化は、機密情報が、適用可能な患者健康情報プライバシ法および規則に従ってＲＦまたは他の長距離無線リンクを通じて安全に送信されることを可能にする。更なる実施形態においては、参考に援用される開示内容である、２００４年３月１５日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第１０／８０１，１５０号に記載されるように、プログラマ１２３、リピータ１２５、または他の無線コンピュータデバイス１２５は、ヘルスケア提供者による引き出しのためのスタティックデータとして、かつＩＭＤによる使用のために、ＩＭＤに格納され得る、任意のＰＨＩを含む、機密情報を予め暗号化する。
【００３１】
一実施形態においては、個別のコマンドおよび患者データ保全性は、Ｋｅｙｅｄ−Ｈａｓｈｅｄ Ｍｅｓｓａｇｅ Ａｕｔｈｅｎｔｉｃａｔｉｏｎプロトコル（ＨＭＡＣ）のような標準認証プロトコルを使用して認証され、機密情報は、Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄプロトコル（ＡＥＳ）のような標準暗号化プロトコルを使用して暗号化される。参考に援用される開示内容である、２００３年６月２３日に出願された係属中の同一出願人に係る米国特許出願シリアル番号第１０／６０１，７６３号に記載されるように、他の認証および暗号化技術ならびにプロトコルと同様に、暗号キー１２２の使用に関する他の機能が可能である。
【００３２】
図３は、患者健康情報（ＰＨＩ）記録１３１を示すデータ構造図１３０である。最低限、患者健康情報は、特定の個人を健康および医療関連情報に識別する。ＨＩＰＡＡの下においては、保護を要求し、例えば、名前１３２、誕生日１３３、および患者識別番号１３４を含む患者健康情報の１８のカテゴリがある。保護可能な患者健康情報は、暗号化された形式において格納され得る１８のカテゴリのうち１つ以上を含み得る。更に、各記録１３１は、他の種類の識別および治療プロフィール情報、医療履歴、ならびに他の関連データも含み得る。ＰＨＩに追加されまたその代わりに、他の種類の機密情報も保護可能になり得る。
【００３３】
図４Ａ〜図４Ｅは、例えば、本発明の実施形態に従う、移植可能医療デバイスとのデータ交換セッションを安全に認証するためのシステムを示す機能的ブロック図である。各システムにおいては、暗号キー１２２は、暗号キー１２２を安全に提供するための他の手段が可能であるが、短距離誘導遠隔測定を介し、患者デジグネータを介し、安全データベースルックアップを介し、トークンを使用しまたはリピータ１２４を介して、プログラマ１２３またはリピータ１２４に安全に提供される。
【００３４】
暗号キー１２２は、移植の前に再プログラムされおよびＩＭＤ１０３に永続的に格納され、もしくは移植後の短距離遠隔測定を使用して、ＩＭＤ１０３によってまたはＩＭＤ１０３への次のダウンロードのためにプログラマ１２３によってダイナミックに生成されるかのどちらかである。暗号キー１２２は、好ましくは、１２８ビットキーであり、対称的または非対称的になり得る。
【００３５】
ＩＭＤ１０３は、遠隔ＲＦトランシーバを用い、長距離遠隔測定を介してインターフェースで接続するオンボードＲＦトランシーバ（図示せず）を含む。参考に援用される開示内容である、Ａｍｕｎｄｓｏｎによる、２００２年９月２４日に公布された同一出願人に係る米国特許第６，４５６，２５６号に記載されるように、オンボードトランシーバは、周囲アンテナがＩＭＤ１０３の外部ケーシングの周りを包んで、ＩＭＤ１０３に統合される。参考に援用される開示内容である、Ｖｏｎ Ａｒｘらによる、２００３年６月３日に公布された同一出願人に係る米国特許第６，５７４，５１０号に記載されるように、ＲＦ通信は、オンボードＲＦトランシーバによって放射される電磁エネルギーの周波数、位相角、または振幅のいずれかを変化されることによって実行される。
【００３６】
初めに図４Ａを参照すると、短距離遠隔測定を介し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１４０が示される。認証は、誘導遠隔測定を使用してプログラマ１２３とＩＭＤ１０３との間に短距離遠隔測定リンク１４２を介して提供される、患者／臨床医認証を用いて開始する。ワンド１４１は、暗号キー１２２を、遠隔測定リンク１４２を通じてプログラマ１２３に送信するＩＭＤ１０３の配置上に位置される。患者と臨床医との間の個人対話は、患者／臨床医認証が完成されたことを保証する。
【００３７】
暗号キー１２２を受信するにおいて、プログラマ１２３は、ＲＦ遠隔測定を使用し、長距離遠隔測定リンク１４３を通じて、ＩＭＤ１０３から患者情報を引き出すため、もしくはプログラミングまたは質問命令をＩＭＤ１０３に送信するために、暗号キー１２２を使用する。ＩＭＤ１０３は、プログラマ１２３に不可欠なＲＦトランシーバ１４５とインターフェースで接続する。
【００３８】
ＩＭＤ１０３は、短距離遠隔測定を介し、ワンド１４１を介して、プログラマ１２３と通信する。短距離遠隔測定は、非排他的に、誘導遠隔測定を含む。データは、ＡＳＫ（振幅シフトキー）、ＦＳＫ（周波数シフトキー）、ＰＳＫ（位相シフトキー）、およびＱＰＳＫ（直角位相シフトキー）のような標準プロトコルを使用して、ＩＭＤ１０３とプログラマ１２３との間においてデジタルに交換される。参考に援用される開示内容である、Ｂｒｏｃｋｗａｙらによる、１９８６年１月２日に公布された同一出願人に係る米国特許第４，５６２，８４１号に記載されるように、信号は、ワンド１４１を介して誘導的に交換される。
【００３９】
更なる実施形態においては、患者情報は、暗号化されていない形式においてＩＭＤ１０３に格納される。暗号化されていない患者情報は、短距離誘導遠隔測定を介してのみ直接引き出され得る。しかしながら、ＩＭＤ１０３は、長距離遠隔測定を介する通信のために、暗号化されていない患者情報を暗号化することもできる。例えば、プログラマ１２３は、短距離遠隔測定信号を介してＩＭＤ１０３と通信されるセッション暗号キー１２２を生成できる。ＩＭＤ１０３は次いで、セッション暗号キー１２２を、長距離遠隔測定を介して患者情報を暗号化および通信するために使用し得る。
【００４０】
更なる実施形態においては、１つ以上のリピータ（図示せず）は、遠隔測定信号を、ＩＭＤ１０３のオンボードＲＦトランシーバからＲＦトランシーバ１４５へリレーすることによって、長距離遠隔測定通信を増補する。
【００４１】
次いで図４Ｂを参照すると、患者デジグネータ１５１を介し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１５０が示される。認証は、患者デジグネータ１５１を介して提供される、患者／臨床医認証を用いて開始する。患者デジグネータは、短距離遠隔測定リンク１５２を介して、ＩＭＤ１０３のような他のデバイスと通信する電池式デバイスである。データは、ＡＳＫ、ＦＳＫ、ＰＳＫ、およびＱＰＳＫのような標準プロトコルを使用して、ＩＭＤ１０３と患者デジグネータ１５１との間においてデジタルに交換される。
【００４２】
一実施形態においては、患者デジグネータ１５１は、暗号キー１２２を、短距離遠隔測定リンク１５２を介してＩＭＤ１０３から引き出し、引き出された暗号キー１２２をプログラマ１２３に提供する。患者デジグネータ１５１は、いくつかのインターフェースのうちの１つを介して、プログラマ１２３とインターフェースで接続する。初めに、患者デジグネータ１５１およびプログラマ１２３は、ＲＳ−２３２Ｃ、ＵＳＢまたはＩＥＥＥ １３９４インターフェース仕様のようなシリアル接続を通じてインターフェースで接続できる。患者デジグネータ１５１およびプログラマ１２３は、誘導遠隔測定リンクを介してもインターフェースで接続できる。最後に、患者デジグネータ１５１およびプログラマ１２３は、安全な無線暗号化リンクを介してインターフェースで接続できる。患者デジグネータ１５１とプログラマ１２３との間における他の種類のインターフェーシングが可能である。
【００４３】
更なる実施形態においては、１つ以上のリピータ（図示せず）は、遠隔測定信号を、ＩＭＤ１０３のオンボードＲＦトランシーバからＲＦトランシーバ１４５へリレーすることによって、長距離遠隔測定通信を増補する。
【００４４】
更なる実施形態においては、患者デジグネータ１５１は、短距離遠隔測定リンク１５２を使用してＩＭＤ１０３にプログラムされる１２８ビット暗号キー１２２を、無作為に生成できる。患者デジグネータ１５１は、同様に、シリアルリンク、短距離遠隔測定リンク、または安全無線リンクを使用して、同等の暗号キー１２２をプログラマ１２３にプログラムする。
【００４５】
更なる実施形態においては、ＩＭＤ１０３は、永続的に格納される暗号キー１２２を用いて予めプログラムされる。患者デジグネータ１５１は、暗号キー１２２を、短距離遠隔測定リンク１５２を介してＩＭＤ１０３から引き出し、引き出された暗号キー１２２を、シリアルリンク、短距離遠隔測定リンク、または安全無線リンクを介してプログラマ１２３に提供する。
【００４６】
更なる実施形態においては、プログラマ１２３は、シリアルリンク、短距離遠隔測定リンク、または安全無線リンクを介して患者デジグネータ１５１に予めプログラムされるセッション暗号キー１２２を、無作為に生成する。患者デジグネータ１５１は次に、臨床医がデータ交換セッションを潜在的に後で開始した場合、セッション暗号キーをＩＭＤ１０３にプログラムする。
【００４７】
次に図４Ｃを参照すると、安全ルックアップを介し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１６０が示される。認証は、安全ルックアップを介して、患者／臨床医認証を用いて開始する。ＩＭＤ１０３は、永続的に格納される暗号キー１２２を用いて予めプログラムされる。暗号キー１２２は、暗号キー１２２をＩＭＤ１０３と関連させるキーテーブル１６３ならびに認可された臨床医およびパスワードを含む安全データベース１６２にも格納される。臨床医は、安全サーバ１６１を介して安全データベース１６２にアクセスし、成功認証において暗号キー１２２をキーテーブル１６３から引き出す。プログラマ１２３は、Ｓｅｃｕｒｅ Ｓｏｃｋｅｔ Ｌａｙｅｒ（ＳＳＬ）またはＩｎｔｅｒｎｅｔ Ｐｒｏｔｏｃｏｌ ｓｅｃｕｒｉｔｙ（ＩＰＳｅｃ）を介して提供されるように、安全接続を介して安全サーバ１６１とインターフェースで接続する。更なる実施形態においては、プログラマ１２３は、専用のシリアルまたは配線接続を介して安全サーバ１６１とインターフェースで接続する。
【００４８】
次に、図４Ｄを参照すると、トークン１７１を使用し、ＩＭＤ１０３を用いるデータ交換セッションを安全に認証するためのシステム１７０が示される。認証は、物理的トークン１７１を使用し、患者／臨床医認証を用いて開始する。物理的トークン１７１は、英数字テキスト、バーコードまたは他の外見上現れる表示のような物理的ラベルを介して、もしくはトランジスタ、メモリ回路、または他の種類の電気的または磁気的読取可能ストレージ媒体を介してのように内部ストレージを介して、のうちのどちらかによって暗号キー１２２を記録する。外見上、物理的トークン１７１は、ブレスレット、ペンダントまたはコインのような身に付けられる宝石類の形、スマートカードまたはバーコードカードのような札入れサイズのカードの形、および他の物理的な形になり得る。
【００４９】
ＩＭＤ１０３は、患者または診療所に提供される物理的トークン１７１にも格納される、永続的に格納される暗号キー１２２を用いて予めプログラムされる。データ交換セッションを開始する前に、暗号キー１２２は、例えば、プログラマ１２３において提供されるリーダ１７２を使用して物理的トークン１７１を読み取ることによって、物理的トークン１７１から引き出される。一実施形態においては、プログラマ１２３は、短距離遠隔測定を介して物理的トークン１７１を読み取る。更なる実施形態においては、物理的トークン１７１は、光学的にプログラマ１２３によって読み取られるバーコードを含む。プログラマ１２３における使用のために適したバーコードリーダの例は、Ｉｎｔｅｌｌｉ Ｉｎｎｏｖａｔｉｏｎｓ，Ｉｎｃ．，Ｃａｒｙ，ＮＣによって製造されるｉｎｔｅｌｌｉＳｃａｎｅｒ ５０００ＸＬである。更なる実施形態においては、物理的トークン１７１は、トランジスタまたは同様の電子部品を含み、暗号キー１２２は、物理的トークン１７１から電気的または磁気的に引き出される。更なる実施形態においては、物理的トークン１７１は、暗号キー１２２を永続的に格納するための固体素子を含み、プログラマ１２３は、シリアルインターフェース接続を介して暗号キー１２２を引き出す。更なる実施形態においては、暗号キー１２２は、物理的トークン１７１から物理的に読み取られた後、プログラマ１２３にマニュアル的にエンターされる。
【００５０】
最後に、図４Ｅを参照すると、リピータ１２４を介し、ＩＭＤ１０３を用いるデータ交換セッション１８２を安全に認証するためのシステム１８０が示される。認証は、患者／臨床医認証を用いて開始する。一実施形態においては（図示せず）、ＩＭＤ１０３およびリピータ１２４の両方は、例えば製造処理の間において、同等の永続的暗号キー１２２を用いて予めプログラムされる。患者／臨床医認証のこの形式は、個人の患者のための独自のＩＭＤ１０３に対して特定のリピータ１２４の割当１８１を利用し、それによって、リピータ１２４が暗号キー１２２を用いて予めプログラムされることを可能にする。
【００５１】
更なる実施形態においては、ＩＭＤ１０３に割り当てられる暗号キー１２２は、安全データベース１６２に保持されるキーテーブル１６３に格納される。暗号キー１２２は、安全サーバ１６１との認証の後に、リピータ１２４によって安全データベース１６２から引き出される。認可され、工場によって提供されたリピータ１２４のみが、暗号キー１２２のコピーを受信でき、それによって、患者／臨床医認証を保証する。
【００５２】
図４Ｂを参照して更に上述されたように、更なる実施形態においては（図示せず）、暗号キー１２２は、患者デジグネータ１５１を介して提供される患者／臨床医認証に類似する方法において、短距離遠隔測定を介し、プログラマ１２３によってＩＭＤ１０３から引き出される。したがって、プログラマ１２３は、短距離遠隔測定リンクを介してＩＭＤ１０３から暗号キー１２２を引き出し、シリアル接続、短距離遠隔測定リンク、安全無線接続、または他の同様インターフェースを介して、暗号キー１２２をリピータ１２４に提供する。
【００５３】
図５は、例えば、ＩＭＤ１０３の周りに規定される安全領域を示すブロック図１９０である。患者／臨床医認証は、ロジカルに規定された安全領域１９１内においてのみ処理され得る一方、データ交換セッションはロジカルに規定された安全ではない領域１９２において処理され得、提供される患者／臨床医認証はうまく完成され、全ての患者情報は適切に暗号化される。
【００５４】
安全領域１９１の範囲１９３は、処理される患者／臨床医認証の形式に基づく。例えば、短距離誘導遠隔測定は、約６センチの範囲１９３を有する。安全ではない領域１９４の範囲は、同様に、使用される長距離遠隔測定の形式による。ＲＦ遠隔測定に対しては、範囲１９４は、プログラマ１２３またはリピータ１２４に関連する患者の方向付け（ｏｒｉｅｎｔａｔｉｏｎ）によって、患者から２０フィート以上になり得る。暗号化の使用は、安全領域１９１の範囲１９３が、暗号化または認証を介し、安全ではない領域１９２によって提供される拡張された範囲１９５を有することを可能にする。
【００５５】
図６は、本発明の実施形態に従う、ＩＭＤ１０３を用いてデータ交換セッションを安全に認証するための方法２００を示すフロー図である。方法２００は、例えば、プログラマ１２３、リピータ１２４、または他の構成要素によって実行され得る、処理動作または工程の一連として記載される。動作は、患者／臨床医認証を提供するために、短距離遠隔測定、患者デジグネータ、安全ルックアップを介して、物理的トークンを使用して、およびリピータによって各実施形態における様々な構成要素によって実行される。
【００５６】
初めに、暗号キー１２２が生成される（ブロック２０１）。システムによって、暗号キー１２２は、移植後に短距離遠隔測定を使用するＩＭＤ１０３への次のダウンロードのために、プログラマ１２３、または適用可能な場合、リピータ１２４によってダイナミックに生成され得る。同様に、暗号キー１２２は、製造処理の間に生成され得、移植の前にＩＭＤ１０３に永続的に格納される。代替的に、暗号キー１２２は、ＩＭＤ１０３によってダイナミックに生成され得る。安全ルックアップおよび物理的トークンを使用するシステムは、暗号キー１２２がＩＭＤ１０３の外部およびそこから独立する手段を介して安全に提供されるため、永続的に格納される暗号キー１２２とのみ動作できる。短距離遠隔測定、患者デジグネータ、およびリピータを使用するシステムは、永続的に格納される暗号キー１２２またはダイナミックに生成される暗号キー１２２のどちらかと動作できる。
【００５７】
次に、安全接続は、暗号キー１２２のソースを用いて確立される（ブロック２０２）。安全接続の形式は、キーソースの種類による。例えば、キーソースがＩＭＤ１０３の場合、安全接続は、誘導遠隔測定リンクを介して確立され得る。キーソースが安全データベース１６２におけるキーテーブル１６３であった場合、安全接続は、専用のシリアルまたは配線接続を介して、もしくはＳＳＬまたはＩＰＳｅｃを介して提供されるような、ロジカルな安全ネットワーク接続を介して、安全サーバ１６１に確立され得る。同様に、キーソースが物理的トークン１７１であった場合、安全接続は、リーダ１７２、または光学的、磁気的スマートカードおよび短距離遠隔測定リンクのような同様の物理的情報引き出しメカニズムを介して確立され得る。最後に、キーソースがリピータ１２４であった場合、安全接続は、例えば、誘導または磁気的遠隔測定もしくは専用のシリアルまたは配線接続を介して、リピータ１２４と互換性のあるインターフェースを介して確立され得る。
【００５８】
図７〜図１１を参照して以下に更に説明されるように、暗号キー１２２は、認証および得られる（ブロック２０３）。最後に、データ交換セッションは、ＩＭＤ１０３とプログラマ１２３またはリピータ１２４との間において処理される（ブロック２０４）。次いで、方法は終了する。
【００５９】
図７は、一実施形態に従って、短距離遠隔測定を介して暗号キー認証を実行するためのルーチンを示すフロー図２１０である。このルーチンの目的は、プログラマ１２３を使用し、誘導または磁気遠隔測定を介して、暗号キー１２２をＩＭＤ１０３から安全に直接引き出すことである。
【００６０】
短距離遠隔測定接続は、ＩＭＤ１０３とプログラマ１２３との間において確立される（ブロック２１１）。暗号キー１２２が予めプログラムされている場合、すなわちＩＭＤ１０３に永続的に格納される場合（ブロック２１２）、暗号キー１２２は、短距離遠隔測定リンクを通じてＩＭＤ１０３から引き出される（ブロック２１４）。暗号キー１２２が予めプログラムされていない場合（ブロック２１２）、ＩＭＤ１０３は暗号キー１２２を生成し（ブロック２１３）、暗号キー１２２はプログラマ１２３によって引き出される（ブロック２１４）。更なる実施形態においては、プログラマ１２３は、ＩＭＤ１０３にダウンロードされる暗号キー１２２をダイナミックに生成する。ＩＭＤ１０３からの暗号キーの成功した引き出しにおいて、短距離遠隔測定接続は閉じられ（ブロック２１５）、ルーチンは戻る。
【００６１】
図８は、一実施形態に従って、患者デジグネータ１５１を介して暗号キー認証を実行するためのルーチン２２０を示すフロー図である。このルーチンの目的は、患者デジグネータ１５１を使用し、誘導または磁気遠隔測定を介して、暗号キー１２２をＩＭＤ１０３から安全に直接引き出すことである。
【００６２】
短距離遠隔測定接続は、ＩＭＤ１０３と患者デジグネータ１５１との間において確立される（ブロック２２１）。暗号キー１２２が予めプログラムされている場合、すなわちＩＭＤ１０３に永続的に格納される場合（ブロック２２２）、暗号キー１２２は、短距離遠隔測定リンクを通じてＩＭＤ１０３から引き出される（ブロック２２４）。暗号キー１２２が予めプログラムされていない場合（ブロック２２２）、ＩＭＤ１０３またはプログラマ１２３は暗号キー１２２を生成し（ブロック２２３）、暗号キー１２２は患者デジグネータ１５１によって引き出される（ブロック２２４）。更なる実施形態においては、プログラマ１２３は、ＩＭＤ１０３および患者デジグネータ１５１にダウンロードされる暗号キー１２２をダイナミックに生成する。ＩＭＤ１０３からの暗号キーの成功した引き出しにおいて、短距離遠隔測定は閉じられる（ブロック２２５）。
【００６３】
次いで、患者デジグネータ１５１とプログラマ１２３との間において接続が確立される。接続は、一連の短距離遠隔測定、安全な暗号化された無線、または他の形式の安全接続を介してあり得る。暗号キー１２２は、患者デジグネータ１５１からプログラマ１２３によって引き出され（ブロック２２７）、接続は閉じられる（ブロック２２８）。次いで、ルーチンは戻る。
【００６４】
図９は、一実施形態に従って、安全ルックアップを介して暗号キー認証を実行するためのルーチン２３０を示すフロー図である。このルーチンの一目的は、安全データベース１６２に記録されるように、予めプログラムされ、ＩＭＤ１０３に永続的に格納される暗号キー１２２と一致する暗号キー１２２を引き出すことである。
【００６５】
安全データベース１６２へのアクセスを提供するために、プログラマ１２３と安全サーバ１６１との間において安全接続が確立される（ブロック２３１）。安全接続は、専用のシリアルまたは配線接続を介して、または安全なリモートネットワーク接続を介してあり得る。ＩＭＤ１０３は安全サーバ１６１に識別され、リクエストプログラマ１２３の適切な認証は完成される（ブロック２３２）。暗号キー１２２は次いで、キーテーブル１６３から引き出され（ブロック２３３）、安全接続は閉じられる（ブロック２３４）。次いで、ルーチンは戻る。
【００６６】
図１０は、一実施形態に従って、物理的トークン１７１を使用して暗号キー認証を実行するためのルーチン２４０を示すフロー図である。このルーチンの一目的は、使用される物理的トークン１７１の形式に基づいて、暗号キー１２２を物理的トークン１７１から引き出すことである。
【００６７】
プログラマ１２３は、暗号キー記録の形式に基づいて物理的トークン１７１にアクセスし（ブロック２４１）、暗号キー１２２は、物理的トークン１７１から引き出される（ブロック２４２）。例えば、暗号キー１２２が物理的トークン１７１に磁気的に格納された場合、プログラマ１２３は、暗号キー１２２を物理的トークン１７１から電気的に引き出す。同様に、暗号キー１２２がバーコードとしてプリントされた場合、プログラマ１２３は、暗号キー１２２を物理的トークン１７１から光学的に読み取る。同様に、物理的トークン１７１がスマートカードであった場合、暗号キー１２２は、物理的トークン１７１がスマートカードリーダを介してスライドされて、スマートカードから読み取られる。物理的トークン１７１は次いで、暗号キーの引き出しの後に解放され（ブロック２４３）、ルーチンは戻る。
【００６８】
図１１は、一実施形態に従って、リピータ１２４を用い、安全ルックアップを介して、暗号キー認証を実行するためのルーチン２５０を示すフロー図である。このルーチンの一目的は、安全データベース１６２に記録されるように、予めプログラムされ、ＩＭＤ１０３に永続的に格納される暗号キー１２２と一致する暗号キー１２２を引き出すことである。
【００６９】
安全データベース１６２へのアクセスを提供するために、リピータ１２４と安全サーバ１６１との間において安全接続が確立される（ブロック２６１）。安全接続は、専用のシリアルまたは配線接続を介して、または安全なリモートネットワーク接続を介してあり得る。ＩＭＤ１０３は安全サーバ１６１に識別され、リクエストリピータ１２４の適切な認証は完成される（ブロック２６２）。暗号キー１２２は次いで、キーテーブル１６３から引き出され（ブロック２６３）、安全接続は閉じられる（ブロック２６４）。次いで、ルーチンは戻る。
【００７０】
更なる実施形態においては（図示せず）、ＩＭＤ１０３およびリピータ１２４の両方は、例えば、製造処理の間において、同等の永続的な暗号キー１２２を用いて予めプログラムされる。更なる実施形態においては（図示せず）、図８を参照して上述されたように、患者デジグネータ１５１を介して提供される患者／臨床医認証と類似する方法において、暗号キー１２２は、短距離遠隔測定を介し、プログラマ１２３によってＩＭＤ１０３から引き出される。
【００７１】
本発明が詳細に示され、明細書における実施形態を参照して説明された一方、当業者は、形式および詳細における前述ならびに他の変更が、本発明の精神および範囲から逸脱せずに行われ得ることが理解されるであろう。
【図面の簡単な説明】
【００７２】
【図１】本発明の一実施形態に従って、患者の生理学的パラメータをモニタリングする移植可能医療デバイスを例示的に示すブロック図である。
【図２】暗号キー生成および認証を示す処理フロー図である。
【図３】患者健康情報記録を示すデータ構造図である。
【図４Ａ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｂ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｃ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｄ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図４Ｅ】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するためのシステムを例示的に示す機能的ブロック図である。
【図５】ＩＭＤの周りに規定される安全領域を例示的に示すブロック図である。
【図６】本発明の実施形態に従って、移植可能医療デバイスを用いてデータ交換セッションを安全に認証するための方法を示すフロー図である。
【図７】一実施形態に従って、短距離遠隔測定を介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図８】一実施形態に従って、患者デジグネータを介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図９】一実施形態に従って、安全ルックアップを介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図１０】一実施形態に従って、物理的トークンを使用して暗号キー認証を実行するためのルーチンを示すフロー図である。
【図１１】一実施形態に従って、リピータを用い、安全ルックアップを介して暗号キー認証を実行するためのルーチンを示すフロー図である。
【特許請求の範囲】
【請求項１】
移植可能医療デバイス（１０３）を用いてデータ交換セッション（１８２）を安全に認証するためのシステム（１６１）であって、該システム（１６１）は、
データ交換セッション（１８２）の間、データ（１３１）を認証するために移植可能医療デバイス（１０３）と独自に関連する暗号キー（１２２）と、
該暗号キー（１２２）を安全に保持する安全キーリポジトリ（１６３）と安全接続（１８１）を確立し、該安全キーリポジトリ（１６３）から該暗号キー（１２２）を安全に引き出すことによって、該移植可能医療デバイス（１０３）におけるデータ（１３１）にアクセスするための認可を認証するための外部ソース（１６１）と
を備える、システム（１６１）。
【請求項２】
前記外部ソース（１６１）が、前記データ（１３１）を認証するために前記暗号キー（１２２）を使用してデータ交換セッション（１８２）を処理する、請求項１に記載のシステム（１６１）。
【請求項３】
前記データ交換セッション（１８２）の間において前記暗号キー（１２２）を使用するための認証構成要素であって、
前記外部ソース（１６１）を介して前記移植可能医療デバイス（１０３）と交換されるコマンドを認証するためのコマンド認証器と、
該外部ソース（１６１）によって受信および送信される前記データ（１３１）の保全性をチェックするためのデータ保全性チェッカーと、
該外部ソース（１６１）によって受信および送信される該データ（１３１）を暗号化するためのデータ暗号器と
のうちの少なくとも１つを含む、認証構成要素
をさらに備える、請求項２に記載のシステム（１６１）。
【請求項４】
前記安全接続（１８１）を確立するために、前記移植可能医療デバイス（１０３）の周りに安全領域（１９１）をロジカルに規定する短距離インターフェースと、
前記データ交換セッション（１８２）を処理するために、該安全領域（１９１）を越えて延びる安全ではない領域（１９２）をロジカルに規定する長距離インターフェースと
をさらに備える、請求項１に記載のシステム（１６１）。
【請求項５】
前記暗号キー（１２２）をスタティックに生成し、該暗号キー（１２２）を前記安全キーリポジトリ（１６３）に永続的に格納するためのキー生成器をさらに備える、請求項１に記載のシステム（１６１）。
【請求項６】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、安全データベース（１６２）、物理的トークン（１７１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項５に記載のシステム（１６１）。
【請求項７】
前記暗号キー（１２２）が、プログラマ（１２３）を介して前記安全キーリポジトリ（１６３）から安全に引き出される、請求項５に記載のシステム（１６１）。
【請求項８】
前記暗号キー（１２２）をダイナミックに生成するキー生成器をさらに備える、請求項１に記載のシステム（１６１）。
【請求項９】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項８に記載のシステム（１６１）。
【請求項１０】
前記暗号キー（１２２）が、プログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つを介して、前記安全キーリポジトリ（１６３）から安全に引き出される、請求項８に記載のシステム（１６１）。
【請求項１１】
前記暗号キー（１２２）が前記移植可能医療デバイス（１０３）において保持されるシステム（１６１）であって、該システム（１６１）は、
短距離遠隔測定を介して該暗号キー（１２２）を引き出す短距離遠隔測定インターフェースをさらに備える、請求項１に記載のシステム（１６１）。
【請求項１２】
前記短距離遠隔測定が誘導遠隔測定を含む、請求項１１に記載のシステム（１６１）。
【請求項１３】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項１１に記載のシステム（１６１）。
【請求項１４】
前記暗号キー（１２２）が、前記プログラマ（１２３）からリピータ（１２４）に提供される、請求項１３に記載のシステム（１６１）。
【請求項１５】
前記外部ソース（１６１）が患者デジグネータ（１５１）を含む、請求項１１に記載のシステム（１６１）。
【請求項１６】
前記暗号キー（１２２）が、前記患者デジグネータ（１５１）からプログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つに提供される、請求項１５に記載のシステム（１６１）。
【請求項１７】
前記暗号キー（１２２）を保持する安全データベース（１６２）と、
安全接続（１８１）を介して該暗号キー（１２２）を提供する安全サーバ（１６１）と
をさらに備える、請求項１に記載のシステム（１６１）。
【請求項１８】
前記安全接続（１８１）が、シリアルまたは配線接続と、安全ネットワーク接続とのうちの少なくとも１つを含む、請求項１７に記載のシステム（１６１）。
【請求項１９】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項１７に記載のシステム（１６１）。
【請求項２０】
前記暗号キー（１２２）が、前記プログラマ（１２３）からリピータ（１２４）に提供される、請求項１９に記載のシステム（１６１）。
【請求項２１】
前記暗号キー（１２２）を保持する物理的トークン（１７１）と、
該物理的トークン（１７１）にアクセスすることによって、該暗号キー（１２２）を引き出すためのリーダ（１７２）と
をさらに備える、請求項１に記載のシステム（１６１）。
【請求項２２】
前記物理的トークン（１７１）における前記暗号キー（１２２）を特定するための物理的ラベルをさらに備える、請求項２１に記載のシステム（１６１）。
【請求項２３】
前記物理的ラベルが、英数字テキスト、バーコード、および外見上現れる表示のうちの少なくとも１つを含む、請求項２２に記載のシステム（１６１）。
【請求項２４】
前記物理的トークン（１７１）における前記暗号キー（１２２）を特定するための内部ストレージをさらに備える、請求項２１に記載のシステム（１６１）。
【請求項２５】
前記内部ストレージが、トランジスタ、メモリ回路、電気的読取可能ストレージ媒体、および磁気的読取可能ストレージ媒体のうちの少なくとも１つを含む、請求項２４に記載のシステム（１６１）。
【請求項２６】
前記物理的トークン（１７１）が、磁気的、光学的、シリアル、および物理的読み取りを使用してアクセスされる、請求項２１に記載のシステム（１６１）。
【請求項２７】
前記暗号キー（１２２）が、１２８ビット暗号キー（１２２）および対称暗号キー（１２２）のうちの少なくとも１つを含む、請求項１に記載のシステム（１６１）。
【請求項２８】
前記暗号キー（１２２）が、スタティックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納されないセッション暗号キー（１２２）のうちの少なくとも１つを含む、請求項１に記載のシステム（１６１）。
【請求項２９】
移植可能医療デバイス（１０３）が、移植可能心臓デバイス、神経刺激デバイス、および薬物療法投薬デバイスのうちの少なくとも１つを含む、請求項１に記載のシステム（１６１）。
【請求項３０】
移植可能医療デバイス（１０３）を用いてデータ交換セッション（１８２）を安全に認証するための方法（２００）であって、該方法（２００）は、
データ交換セッション（１８２）の間、データ（１３１）を認証するために移植可能医療デバイス（１０３）と独自に関連する暗号キー（１２２）を規定する（２０１）ことと、
該暗号キー（１２２）を安全に保持する安全キーリポジトリ（１６３）と、外部ソース（１６１）からの安全接続（１８１）を確立する（２０２）ことと、
該安全キーリポジトリ（１６３）から該暗号キー（１２２）を安全に引き出すことによって、該移植可能医療デバイス（１０３）におけるデータ（１３１）にアクセスするための認可を認証する（２０３）ことと
を包含する、方法（２００）。
【請求項３１】
前記データ（１３１）を認証するために、前記暗号キー（１２２）を使用し、前記外部ソース（１６１）を介して、データ交換セッション（１８２）を処理する（２０４）こととをさらに包含する、請求項３０に記載の方法（２００）。
【請求項３２】
前記データ交換セッション（１８２）の間において前記暗号キー（１２２）を使用することであって、
前記外部ソース（１６１）を介して前記移植可能医療デバイス（１０３）と交換されるコマンドを認証することと、
該外部ソース（１６１）によって受信および送信される前記データ（１３１）の保全性をチェックすることと、
該外部ソース（１６１）によって受信および送信される該データ（１３１）を暗号化することと
のうちの少なくとも１つを含む、該暗号キー（１２２）を使用すること
をさらに包含する、請求項３１に記載の方法（２００）。
【請求項３３】
前記安全接続（１８１）を確立するために、前記移植可能医療デバイス（１０３）の周りに安全領域（１９１）をロジカルに規定することと、
前記データ交換セッション（１８２）を処理するために、該安全領域（１９１）を越えて延びる安全ではない領域（１９２）をロジカルに規定することと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項３４】
前記暗号キー（１２２）をスタティックに生成することと、
該暗号キー（１２２）を前記安全キーリポジトリ（１６３）に永続的に格納することと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項３５】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、安全データベース（１６２）、物理的トークン（１７１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項３４に記載の方法（２００）。
【請求項３６】
前記暗号キー（１２２）を、プログラマ（１２３）を介して前記安全キーリポジトリ（１６３）から安全に引き出すことをさらに包含する、請求項３５に記載の方法（２００）。
【請求項３７】
前記暗号キー（１２２）をダイナミックに生成することをさらに包含する、請求項３０に記載の方法（２００）。
【請求項３８】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項３７に記載の方法（２００）。
【請求項３９】
前記暗号キー（１２２）を、プログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つを介して、前記安全キーリポジトリ（１６３）から安全に引き出すことをさらに包含する、請求項３７に記載の方法（２００）。
【請求項４０】
前記暗号キー（１２２）を前記移植可能医療デバイス（１０３）において保持することと、
短距離遠隔測定を介して該暗号キー（１２２）を引き出すことと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項４１】
前記短距離遠隔測定が誘導遠隔測定を含む、請求項４０に記載の方法（２００）。
【請求項４２】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項４０に記載の方法（２００）。
【請求項４３】
前記暗号キー（１２２）を、前記プログラマ（１２３）からリピータ（１２４）に提供することをさらに包含する、請求項４２に記載の方法（２００）。
【請求項４４】
前記外部ソース（１６１）が患者デジグネータ（１５１）を含む、請求項４０に記載の方法（２００）。
【請求項４５】
前記暗号キー（１２２）を、前記患者デジグネータ（１５１）からプログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つに提供することをさらに包含する、請求項４４に記載の方法（２００）。
【請求項４６】
前記暗号キー（１２２）を安全データベース（１６２）に保持することと、
安全接続（１８１）を介して該暗号キー（１２２）を引き出すことと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項４７】
前記安全接続（１８１）が、シリアルまたは配線接続と、安全ネットワーク接続とのうちの少なくとも１つを含む、請求項４６に記載の方法（２００）。
【請求項４８】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項４６に記載の方法（２００）。
【請求項４９】
前記暗号キー（１２２）を、前記プログラマ（１２３）からリピータ（１２４）に提供することをさらに包含する、請求項４８に記載の方法（２００）。
【請求項５０】
前記暗号キー（１２２）を物理的トークン（１７１）に保持することと、
該物理的トークン（１７１）にアクセスすることによって、該暗号キー（１２２）を引き出すことと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項５１】
物理的ラベルを使用して、前記物理的トークン（１７１）における前記暗号キー（１２２）を特定することをさらに包含する、請求項５０に記載の方法（２００）。
【請求項５２】
前記物理的ラベルが、英数字テキスト、バーコード、および外見上現れる表示のうちの少なくとも１つを含む、請求項５１に記載の方法（２００）。
【請求項５３】
内部ストレージを使用して、前記物理的トークン（１７１）における前記暗号キー（１２２）を特定することをさらに包含する、請求項５０に記載の方法（２００）。
【請求項５４】
前記内部ストレージが、トランジスタ、メモリ回路、電気的読取可能ストレージ媒体、および磁気的読取可能ストレージ媒体のうちの少なくとも１つを含む、請求項５３に記載の方法（２００）。
【請求項５５】
磁気的、光学的、シリアル、および物理的読み取りを使用して、前記物理的トークン（１７１）にアクセスすることをさらに包含する、請求項５０に記載の方法（２００）。
【請求項５６】
前記暗号キー（１２２）が、１２８ビット暗号キー（１２２）および対称暗号キー（１２２）のうちの少なくとも１つを含む、請求項３０に記載の方法（２００）。
【請求項５７】
前記暗号キー（１２２）が、スタティックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納されないセッション暗号キー（１２２）のうちの少なくとも１つを含む、請求項３０に記載の方法（２００）。
【請求項５８】
移植可能医療デバイス（１０３）が、移植可能心臓デバイス、神経刺激デバイス、および薬物療法投薬デバイスのうちの少なくとも１つを含む、請求項３０に記載の方法（２００）。
【請求項５９】
移植可能医療デバイス（１０３）を用いてデータ交換セッション（１８２）を安全に認証するための装置であって、該装置は、
データ交換セッション（１８２）の間、データ（１３１）を認証するために移植可能医療デバイス（１０３）と独自に関連する暗号キー（１２２）を規定する手段と、
該暗号キー（１２２）を安全に保持する安全キーリポジトリ（１６３）と、外部ソース（１６１）からの安全接続（１８１）を確立する手段と、
該安全キーリポジトリ（１６３）から該暗号キー（１２２）を安全に引き出す手段によって、該移植可能医療デバイス（１０３）におけるデータ（１３１）にアクセスするための認可を認証する手段と
を備える、装置。
【請求項１】
移植可能医療デバイス（１０３）を用いてデータ交換セッション（１８２）を安全に認証するためのシステム（１６１）であって、該システム（１６１）は、
データ交換セッション（１８２）の間、データ（１３１）を認証するために移植可能医療デバイス（１０３）と独自に関連する暗号キー（１２２）と、
該暗号キー（１２２）を安全に保持する安全キーリポジトリ（１６３）と安全接続（１８１）を確立し、該安全キーリポジトリ（１６３）から該暗号キー（１２２）を安全に引き出すことによって、該移植可能医療デバイス（１０３）におけるデータ（１３１）にアクセスするための認可を認証するための外部ソース（１６１）と
を備える、システム（１６１）。
【請求項２】
前記外部ソース（１６１）が、前記データ（１３１）を認証するために前記暗号キー（１２２）を使用してデータ交換セッション（１８２）を処理する、請求項１に記載のシステム（１６１）。
【請求項３】
前記データ交換セッション（１８２）の間において前記暗号キー（１２２）を使用するための認証構成要素であって、
前記外部ソース（１６１）を介して前記移植可能医療デバイス（１０３）と交換されるコマンドを認証するためのコマンド認証器と、
該外部ソース（１６１）によって受信および送信される前記データ（１３１）の保全性をチェックするためのデータ保全性チェッカーと、
該外部ソース（１６１）によって受信および送信される該データ（１３１）を暗号化するためのデータ暗号器と
のうちの少なくとも１つを含む、認証構成要素
をさらに備える、請求項２に記載のシステム（１６１）。
【請求項４】
前記安全接続（１８１）を確立するために、前記移植可能医療デバイス（１０３）の周りに安全領域（１９１）をロジカルに規定する短距離インターフェースと、
前記データ交換セッション（１８２）を処理するために、該安全領域（１９１）を越えて延びる安全ではない領域（１９２）をロジカルに規定する長距離インターフェースと
をさらに備える、請求項１に記載のシステム（１６１）。
【請求項５】
前記暗号キー（１２２）をスタティックに生成し、該暗号キー（１２２）を前記安全キーリポジトリ（１６３）に永続的に格納するためのキー生成器をさらに備える、請求項１に記載のシステム（１６１）。
【請求項６】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、安全データベース（１６２）、物理的トークン（１７１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項５に記載のシステム（１６１）。
【請求項７】
前記暗号キー（１２２）が、プログラマ（１２３）を介して前記安全キーリポジトリ（１６３）から安全に引き出される、請求項５に記載のシステム（１６１）。
【請求項８】
前記暗号キー（１２２）をダイナミックに生成するキー生成器をさらに備える、請求項１に記載のシステム（１６１）。
【請求項９】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項８に記載のシステム（１６１）。
【請求項１０】
前記暗号キー（１２２）が、プログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つを介して、前記安全キーリポジトリ（１６３）から安全に引き出される、請求項８に記載のシステム（１６１）。
【請求項１１】
前記暗号キー（１２２）が前記移植可能医療デバイス（１０３）において保持されるシステム（１６１）であって、該システム（１６１）は、
短距離遠隔測定を介して該暗号キー（１２２）を引き出す短距離遠隔測定インターフェースをさらに備える、請求項１に記載のシステム（１６１）。
【請求項１２】
前記短距離遠隔測定が誘導遠隔測定を含む、請求項１１に記載のシステム（１６１）。
【請求項１３】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項１１に記載のシステム（１６１）。
【請求項１４】
前記暗号キー（１２２）が、前記プログラマ（１２３）からリピータ（１２４）に提供される、請求項１３に記載のシステム（１６１）。
【請求項１５】
前記外部ソース（１６１）が患者デジグネータ（１５１）を含む、請求項１１に記載のシステム（１６１）。
【請求項１６】
前記暗号キー（１２２）が、前記患者デジグネータ（１５１）からプログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つに提供される、請求項１５に記載のシステム（１６１）。
【請求項１７】
前記暗号キー（１２２）を保持する安全データベース（１６２）と、
安全接続（１８１）を介して該暗号キー（１２２）を提供する安全サーバ（１６１）と
をさらに備える、請求項１に記載のシステム（１６１）。
【請求項１８】
前記安全接続（１８１）が、シリアルまたは配線接続と、安全ネットワーク接続とのうちの少なくとも１つを含む、請求項１７に記載のシステム（１６１）。
【請求項１９】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項１７に記載のシステム（１６１）。
【請求項２０】
前記暗号キー（１２２）が、前記プログラマ（１２３）からリピータ（１２４）に提供される、請求項１９に記載のシステム（１６１）。
【請求項２１】
前記暗号キー（１２２）を保持する物理的トークン（１７１）と、
該物理的トークン（１７１）にアクセスすることによって、該暗号キー（１２２）を引き出すためのリーダ（１７２）と
をさらに備える、請求項１に記載のシステム（１６１）。
【請求項２２】
前記物理的トークン（１７１）における前記暗号キー（１２２）を特定するための物理的ラベルをさらに備える、請求項２１に記載のシステム（１６１）。
【請求項２３】
前記物理的ラベルが、英数字テキスト、バーコード、および外見上現れる表示のうちの少なくとも１つを含む、請求項２２に記載のシステム（１６１）。
【請求項２４】
前記物理的トークン（１７１）における前記暗号キー（１２２）を特定するための内部ストレージをさらに備える、請求項２１に記載のシステム（１６１）。
【請求項２５】
前記内部ストレージが、トランジスタ、メモリ回路、電気的読取可能ストレージ媒体、および磁気的読取可能ストレージ媒体のうちの少なくとも１つを含む、請求項２４に記載のシステム（１６１）。
【請求項２６】
前記物理的トークン（１７１）が、磁気的、光学的、シリアル、および物理的読み取りを使用してアクセスされる、請求項２１に記載のシステム（１６１）。
【請求項２７】
前記暗号キー（１２２）が、１２８ビット暗号キー（１２２）および対称暗号キー（１２２）のうちの少なくとも１つを含む、請求項１に記載のシステム（１６１）。
【請求項２８】
前記暗号キー（１２２）が、スタティックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納されないセッション暗号キー（１２２）のうちの少なくとも１つを含む、請求項１に記載のシステム（１６１）。
【請求項２９】
移植可能医療デバイス（１０３）が、移植可能心臓デバイス、神経刺激デバイス、および薬物療法投薬デバイスのうちの少なくとも１つを含む、請求項１に記載のシステム（１６１）。
【請求項３０】
移植可能医療デバイス（１０３）を用いてデータ交換セッション（１８２）を安全に認証するための方法（２００）であって、該方法（２００）は、
データ交換セッション（１８２）の間、データ（１３１）を認証するために移植可能医療デバイス（１０３）と独自に関連する暗号キー（１２２）を規定する（２０１）ことと、
該暗号キー（１２２）を安全に保持する安全キーリポジトリ（１６３）と、外部ソース（１６１）からの安全接続（１８１）を確立する（２０２）ことと、
該安全キーリポジトリ（１６３）から該暗号キー（１２２）を安全に引き出すことによって、該移植可能医療デバイス（１０３）におけるデータ（１３１）にアクセスするための認可を認証する（２０３）ことと
を包含する、方法（２００）。
【請求項３１】
前記データ（１３１）を認証するために、前記暗号キー（１２２）を使用し、前記外部ソース（１６１）を介して、データ交換セッション（１８２）を処理する（２０４）こととをさらに包含する、請求項３０に記載の方法（２００）。
【請求項３２】
前記データ交換セッション（１８２）の間において前記暗号キー（１２２）を使用することであって、
前記外部ソース（１６１）を介して前記移植可能医療デバイス（１０３）と交換されるコマンドを認証することと、
該外部ソース（１６１）によって受信および送信される前記データ（１３１）の保全性をチェックすることと、
該外部ソース（１６１）によって受信および送信される該データ（１３１）を暗号化することと
のうちの少なくとも１つを含む、該暗号キー（１２２）を使用すること
をさらに包含する、請求項３１に記載の方法（２００）。
【請求項３３】
前記安全接続（１８１）を確立するために、前記移植可能医療デバイス（１０３）の周りに安全領域（１９１）をロジカルに規定することと、
前記データ交換セッション（１８２）を処理するために、該安全領域（１９１）を越えて延びる安全ではない領域（１９２）をロジカルに規定することと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項３４】
前記暗号キー（１２２）をスタティックに生成することと、
該暗号キー（１２２）を前記安全キーリポジトリ（１６３）に永続的に格納することと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項３５】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、安全データベース（１６２）、物理的トークン（１７１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項３４に記載の方法（２００）。
【請求項３６】
前記暗号キー（１２２）を、プログラマ（１２３）を介して前記安全キーリポジトリ（１６３）から安全に引き出すことをさらに包含する、請求項３５に記載の方法（２００）。
【請求項３７】
前記暗号キー（１２２）をダイナミックに生成することをさらに包含する、請求項３０に記載の方法（２００）。
【請求項３８】
前記暗号キー（１２２）が、前記移植可能医療デバイス（１０３）、患者デジグネータ（１５１）、およびリピータ（１２４）のうちの少なくとも１つに格納される、請求項３７に記載の方法（２００）。
【請求項３９】
前記暗号キー（１２２）を、プログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つを介して、前記安全キーリポジトリ（１６３）から安全に引き出すことをさらに包含する、請求項３７に記載の方法（２００）。
【請求項４０】
前記暗号キー（１２２）を前記移植可能医療デバイス（１０３）において保持することと、
短距離遠隔測定を介して該暗号キー（１２２）を引き出すことと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項４１】
前記短距離遠隔測定が誘導遠隔測定を含む、請求項４０に記載の方法（２００）。
【請求項４２】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項４０に記載の方法（２００）。
【請求項４３】
前記暗号キー（１２２）を、前記プログラマ（１２３）からリピータ（１２４）に提供することをさらに包含する、請求項４２に記載の方法（２００）。
【請求項４４】
前記外部ソース（１６１）が患者デジグネータ（１５１）を含む、請求項４０に記載の方法（２００）。
【請求項４５】
前記暗号キー（１２２）を、前記患者デジグネータ（１５１）からプログラマ（１２３）およびリピータ（１２４）のうちの少なくとも１つに提供することをさらに包含する、請求項４４に記載の方法（２００）。
【請求項４６】
前記暗号キー（１２２）を安全データベース（１６２）に保持することと、
安全接続（１８１）を介して該暗号キー（１２２）を引き出すことと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項４７】
前記安全接続（１８１）が、シリアルまたは配線接続と、安全ネットワーク接続とのうちの少なくとも１つを含む、請求項４６に記載の方法（２００）。
【請求項４８】
前記外部ソース（１６１）がプログラマ（１２３）を含む、請求項４６に記載の方法（２００）。
【請求項４９】
前記暗号キー（１２２）を、前記プログラマ（１２３）からリピータ（１２４）に提供することをさらに包含する、請求項４８に記載の方法（２００）。
【請求項５０】
前記暗号キー（１２２）を物理的トークン（１７１）に保持することと、
該物理的トークン（１７１）にアクセスすることによって、該暗号キー（１２２）を引き出すことと
をさらに包含する、請求項３０に記載の方法（２００）。
【請求項５１】
物理的ラベルを使用して、前記物理的トークン（１７１）における前記暗号キー（１２２）を特定することをさらに包含する、請求項５０に記載の方法（２００）。
【請求項５２】
前記物理的ラベルが、英数字テキスト、バーコード、および外見上現れる表示のうちの少なくとも１つを含む、請求項５１に記載の方法（２００）。
【請求項５３】
内部ストレージを使用して、前記物理的トークン（１７１）における前記暗号キー（１２２）を特定することをさらに包含する、請求項５０に記載の方法（２００）。
【請求項５４】
前記内部ストレージが、トランジスタ、メモリ回路、電気的読取可能ストレージ媒体、および磁気的読取可能ストレージ媒体のうちの少なくとも１つを含む、請求項５３に記載の方法（２００）。
【請求項５５】
磁気的、光学的、シリアル、および物理的読み取りを使用して、前記物理的トークン（１７１）にアクセスすることをさらに包含する、請求項５０に記載の方法（２００）。
【請求項５６】
前記暗号キー（１２２）が、１２８ビット暗号キー（１２２）および対称暗号キー（１２２）のうちの少なくとも１つを含む、請求項３０に記載の方法（２００）。
【請求項５７】
前記暗号キー（１２２）が、スタティックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納される暗号キー（１２２）、ダイナミックに生成され永続的に格納されないセッション暗号キー（１２２）のうちの少なくとも１つを含む、請求項３０に記載の方法（２００）。
【請求項５８】
移植可能医療デバイス（１０３）が、移植可能心臓デバイス、神経刺激デバイス、および薬物療法投薬デバイスのうちの少なくとも１つを含む、請求項３０に記載の方法（２００）。
【請求項５９】
移植可能医療デバイス（１０３）を用いてデータ交換セッション（１８２）を安全に認証するための装置であって、該装置は、
データ交換セッション（１８２）の間、データ（１３１）を認証するために移植可能医療デバイス（１０３）と独自に関連する暗号キー（１２２）を規定する手段と、
該暗号キー（１２２）を安全に保持する安全キーリポジトリ（１６３）と、外部ソース（１６１）からの安全接続（１８１）を確立する手段と、
該安全キーリポジトリ（１６３）から該暗号キー（１２２）を安全に引き出す手段によって、該移植可能医療デバイス（１０３）におけるデータ（１３１）にアクセスするための認可を認証する手段と
を備える、装置。
【図１】
【図２】
【図３】
【図４Ａ】
【図４Ｂ】
【図４Ｃ】
【図４Ｄ】
【図４Ｅ】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【図２】
【図３】
【図４Ａ】
【図４Ｂ】
【図４Ｃ】
【図４Ｄ】
【図４Ｅ】
【図５】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図１１】
【公表番号】特表２００７−５２９２７４（Ｐ２００７−５２９２７４Ａ）
【公表日】平成１９年１０月２５日（２００７．１０．２５）
【国際特許分類】
【出願番号】特願２００７−５０４０４４（Ｐ２００７−５０４０４４）
【出願日】平成１７年３月１５日（２００５．３．１５）
【国際出願番号】ＰＣＴ／ＵＳ２００５／００８６５０
【国際公開番号】ＷＯ２００５／０９１２０５
【国際公開日】平成１７年９月２９日（２００５．９．２９）
【出願人】（５０５００３５２８）カーディアック・ペースメーカーズ・インコーポレーテッド (466)
【Ｆターム（参考）】
【公表日】平成１９年１０月２５日（２００７．１０．２５）
【国際特許分類】
【出願日】平成１７年３月１５日（２００５．３．１５）
【国際出願番号】ＰＣＴ／ＵＳ２００５／００８６５０
【国際公開番号】ＷＯ２００５／０９１２０５
【国際公開日】平成１７年９月２９日（２００５．９．２９）
【出願人】（５０５００３５２８）カーディアック・ペースメーカーズ・インコーポレーテッド (466)
【Ｆターム（参考）】
[ Back to top ]