能動的移植型医療デバイス上の体内データセキュリティの提供
能動的移植型医療デバイス（１０３、１１２）上の体内データセキュリティを提供するためのシステム（１３０）および方法（１７０）が提示される。データ（１９１）は、能動的移植型医療デバイス（１０３、１１２）を通して保管される。無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイス（１０３、１１２）との間のデータ（１９１）は、能動的移植型医療デバイス（１０３、１１２）上で保護される。他の能動的移植型医療デバイス（１０３、１１２）によるデータ（１９１）へのアクセス、およびその使用のうちの少なくとも１つは、制限される。データ（１９１）の形態への未承認の変更は、防止される。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、概して、能動的移植型医療デバイスに関し、具体的には、能動的移植型医療デバイス上で体内データセキュリティを提供するためのシステムおよび方法に関する。
【背景技術】
【０００２】
Ｅｕｒｏｐｅａｎ Ｅｃｏｎｏｍｉｃ Ｃｏｍｍｕｎｉｔｙ Ｄｉｒｅｃｔｉｖｅ ９０／３８５／ＥＥＣに定義されるような能動的移植型医療デバイス（ＡＩＭＤ）は、電気または自動提供エネルギーに依存する医療デバイスである。ＡＩＭＤは、概して、完全または部分的に、生体内に導入されることが意図される。ＡＩＭＤは、人工内耳およびインスリンポンプ等の個別的なデバイスと、多構成要素デバイス、例えば、有線心内圧センサを備える移植型細動除去器（ＩＣＤ）の両方を含む。さらに他の種類のＡＩＭＤも可能である。
【０００３】
ＡＩＭＤは、プログラムされた自動または遠隔制御動作を通して、体内、すなわち、原位置において、療法または生理機能的監視を提供する。恒久的に移植されたＡＩＭＤは、診断、故障修理、および再プログラミングのため、かつ格納されたパラメータおよび生理学的データを交換するために、プログラマおよび患者操作可能通信機等の外部デバイスと周期的にインターフェース接続されなければならない一方、一時的に移植されたＡＩＭＤは、自動的に機能するか、または外部コントローラを通して、相互動作可能に動作する。
【０００４】
ＡＩＭＤは、利用可能資源、特に、電力、記憶容量、およびサイズと対照して、所望の能力の平衡を保つ必要がある。データセキュリティは、例えば、ＡＩＭＤの主要な役割に対して二次的な機能を果たし、インプリシットにのみ処理される。例えば、誘導性または無線周波数テレメトリを通して提供される無線データ交換は、１対１を本質とする相互接続に依存し、機密性、完全性、および信頼性を保証する。
【０００５】
それでもなお、独立したＡＩＭＤは、外部システムと通信する場合、または構成要素が体内で通信する場合、潜在的に、互いに干渉する可能性がある。インプリシットデータセキュリティ単独では、外部デバイスが許容されるＡＩＭＤのみとインターフェース接続することが許可されることを保証するためには不十分である。加えて、インプリシットデータセキュリティは、機密性を保証することができない。Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ（ＨＩＰＡＡ）およびＥｕｒｏｐｅａｎ Ｐｒｉｖａｃｙ Ｄｉｒｅｃｔｉｖｅ（ＥＰＤ）等の法的検討は、患者のプライバシー、特に、健康および医療関連情報によって特定の個人を識別する患者健康情報（ＰＨＩ）の保護を命じている。
【０００６】
２００１年４月２４日発行の特許文献１は、体内情報転送デバイスについて開示する。伝送デバイスは、人体の近傍に配設された伝送電極に変調される、時変信号を出力するための信号源を含む。別の伝送電極は、伝送デバイスのための基準電圧に接続され、人体から外側に配設される。類似の個別的な装置が、信号受信のために提供される。通信は、人体誘導性電場によって、および空気を介して、２つの独立の信号経路を通して提供される。しかしながら、データは、データセキュリティ制御または保護を伴わずに、開放的に交換される。
【０００７】
２００１年４月２１日発行の特許文献２は、圧力センサと、心臓腔内外への血流に関する情報を収集するためのセンサとを含む、心内システムについて開示する。センサは、ステントとともに形成される、またはそれに接着されることが可能である。センサは、電線を介して、データ中継デバイスに接続される。体外処理ユニットは、有線または無線相互接続を介して、中継された情報を収集する。しかしながら、データは、センサとデータ中継デバイスとの間、またはデータ中継デバイスと体外処理ユニットとの間の１対１でのみ交換されるため、データセキュリティは、インプリシットである。
【０００８】
２００４年６月２０日発行の特許文献３は、圧力または他の生理学的パラメータを測定する、移植型圧力センサについて開示する。外部変換器は、患者の身体内に音波信号を伝送し、蓄電器を励起させる。音波送受信機は、電気と音波エネルギーとの間でエネルギーを変換する。蓄電器は、送受信機によって変換された電気エネルギーを格納し、電気エネルギーを提供し、センサを作動させ、音波信号として、圧力データを送信する。製造番号を使用して、複数のデバイスを区別することが可能であるが、データは、センサと外部変換器との間で１対１でのみ交換され、相互動作可能な移植型センサ間では交換されない。
【０００９】
２００２年６月２０日公開の特許文献４（係属中）、および２００２年１１月２８日公開の特許文献５（係属中）は両方とも、外部音波変換器を介してインターフェース接続可能な移植型センサについて記載する。センサは、自動的に機能し、圧力または生理学的パラメータを監視する。音波変換器は、患者の身体内に音波信号を伝送し、移植型センサとインターフェース接続し、センサによって記録される圧力測定値をダウンロードする。しかしながら、データは、センサと外部音波変換器との間で１対１でのみ交換され、相互動作可能な移植型センサ間では交換されない。
【００１０】
最後に、２００２年６月２７日公開の特許文献６（係属中）、および２００５年１月２７日公開の特許文献７（係属中）は両方とも、ネットワーク実装型遠隔患者管理方式について記載する。医療デバイスは、ロバストな相互接続ネットワークを介して、無線周波数テレメトリ等の無線技術を通して、生理学的データをアップロードし、データは、データベース内に格納、処理、分析、または表示のために提示されることが可能である。また、医療デバイスは、互いに通信し得る。医療プロバイダのアクセスは、検証または認証され、場合に応じて、公共ネットワークを介したデータ転送は、セキュリティを維持するために暗号化される。しかしながら、医療デバイス間の通信は、非保護のままであって、ソースの信頼性およびデータ完全性は、仮定される。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】米国特許第６，２２３，０１８号明細書
【特許文献２】米国特許第６，２７７，０７８号明細書
【特許文献３】米国特許第６，７６４，４４６号明細書
【特許文献４】米国特許出願公開第２００２／００７７６７３号明細書
【特許文献５】米国特許出願公開第２００２／０１７７７８２号明細書
【特許文献６】米国特許出願公開第２００２／００８２４８０号明細書
【特許文献７】米国特許出願公開第２００５／００２１３７０号明細書
【発明の概要】
【発明が解決しようとする課題】
【００１２】
したがって、内部体内および外部体外データ通信のために、データセキュリティをＡＩＭＤに提供するためのアプローチの必要性が存在する。そのようなアプローチは、ＡＩＭＤまたは他のデバイスによって、あるいはその間で、電子的に格納可能、交換可能、もしくは操作可能な患者データ、コマンド、および任意の他の種類の情報を含む、あらゆるデータ形態を保護する必要があるであろう。
【００１３】
さらに、承認デバイスにのみデータの利用可能性およびセキュリティを保証し、また、複数の独立したＡＩＭＤが、患者の身体内外からの干渉なく、機能することを可能にするためのアプローチの必要性が存在する。
【課題を解決するための手段】
【００１４】
一実施形態は、能動的移植型医療デバイス上の体内データセキュリティを提供するためのシステムおよび方法を提供する。データは、能動的移植型医療デバイスを通して保管される。データは、無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイスとの間で、能動的移植型医療デバイス上で保護される。他の能動的移植型医療デバイスによるデータへのアクセス、およびその使用のうちの少なくとも１つは、制限される。データの形態への未承認の変更は、防止される。
【００１５】
さらに他の実施形態は、以下の詳細な説明から、当業者には容易に明白となるであろうが、本発明の実施形態は、本発明を実行するために企図される最良の形態の例証として記載される。理解されるように、本発明は、その他および異なる実施形態が可能であって、そのいくつかの詳細は、すべて本発明の精神および範囲から逸脱することなく、種々の明白な点において修正可能である。故に、図面および詳細な説明は、本質的に、例証としてみなされ、制限としてみなされるものではない。
【図面の簡単な説明】
【００１６】
【図１】図１は、一例として、個別的な、および構成要素を成す、能動的移植型医療デバイスを示す、ブロック図である。
【図２】図２は、一実施形態による、能動的移植型医療デバイス上の体内データセキュリティを提供するためのシステムを示す、機能的ブロック図である。
【図３】図３は、図２のシステム内で使用するための、階層通信構造に構成される体内デバイスを示す、ブロック図である。
【図４】図４は、図２のシステム内で使用するための、ピアツーピア通信構造に構成される体内デバイスを示す、ブロック図である。
【図５Ａ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図５Ｂ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図５Ｃ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図５Ｄ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図６】図６は、一実施形態による、能動的移植型医療デバイス上の体内データセキュリティを提供するための方法を示す、プロセスフロー図である。
【図７】図７は、図６の方法において使用するための、データ機密性セキュリティ制御を示す、プロセスフロー図である。
【図８】図８は、図６の方法において使用するための、データ完全性セキュリティ制御を示す、プロセスフロー図である。
【図９】図９は、図６の方法において使用するための、ソース認証セキュリティ制御を示す、プロセスフロー図である。
【図１０】図１０は、図６の方法において使用するための、データ利用可能性セキュリティ制御を示す、プロセスフロー図である。
【発明を実施するための形態】
【００１７】
本願では、主に、心臓および心肺診断、療法、または監視を提供するために意図されるＡＩＭＤに関連して記載されるが、記載される実施形態は、概して、遠隔に問い合わせまたはプログラム可能なあらゆる形態のＡＩＭＤに適用される。
【００１８】
能動的ＩＭＤ（ＡＩＭＤ）は、Ｅｕｒｏｐｅａｎ Ｅｃｏｎｏｍｉｃ Ｃｏｍｍｕｎｉｔｙ Ｄｉｒｅｃｔｉｖｅ ９０／３８５／ＥＥＣに定義されており、その開示は、参照することによって組み込まれる。概して、ＡＩＭＤは、療法送達、感知、診断、監視、および他の目的のために、電気エネルギーまたは自動提供エネルギーに依存し、外科的または内科的に生体内に、あるいは医療的介入によって自然開口内に、完全または部分的に導入されることが意図される。図１は、一例として、個別的かつ構成要素を成す、ＡＩＭＤ１０３、１１２を示す、ブロック図である。両ＡＩＭＤは、ヒト患者１０１の胴体１００内に移植されるが、一時的および恒久的の両方において、他の移植部位も可能である。また、ＡＩＭＤは、類似目的のために、動物の身体内に導入可能である。
【００１９】
患者１０１は、一対の独立したＡＩＭＤおよび従来の外部医療デバイス１１８の両方を受容している。一方のＡＩＭＤは、電磁波、音波、振動、化学、または光テレメトリを通して等、無線で相互通信する個別的な体内構成要素１０４、１０９ａ、１０９ｂを含む、心内監視のための多構成要素ＡＩＭＤ１０３である。無線通信の他の形態も可能である。各構成要素１０４、１０９ａ、１０９ｂは、自動駆動かつ自給式である。中継デバイス１０４は、大胸筋上に皮下移植される。中継デバイス１０４は、それぞれ、患者の心臓１０２の右心房１１０および心室１１１内に移植される、２つの遠隔心内圧センサ１０９ａ、１０９ｂに体内で無線でインターフェース接続される。また、監視デバイス１０４は、図２を参照して以下に詳述されるように、プログラマ、患者操作可能通信機、またはサーバ等の外部デバイスに体外で無線でインターフェース接続可能である。
【００２０】
中継デバイス１０４の筐体は、制御回路１０５と、テレメトリ回路１０６と、メモリ１０７と、バッテリ１０８とを含む。制御回路１０５は、マイクロプロセッサベースのコントローラと、信号フィルタと、外部デバイスによるその後の読み出しおよび分析のために、メモリ１０７内に格納される、生の心内データ信号を処理するための増幅器とを含む。テレメトリ回路１０６は、中継デバイス１０４とセンサ１０９ａ、１０９ｂとの間の無線体内インターフェース、ならびに外部デバイスとの無線体外インターフェースを提供する。バッテリ１０８は、有限の電源を提供する。また、センサ１０９ａ、１０９ｂは、制御回路と、体内テレメトリ回路と、バッテリと、メモリと、圧力サンプリング回路（図示せず）を含む。他の体内構成要素および多構成要素ＡＩＭＤも可能である。
【００２１】
他のＡＩＭＤは、肺監視のための個別的なＡＩＭＤ１１２である。自給式肺内センサ１１３は、右肺下葉上に皮下移植される。センサ１１３は、図２を参照して以下に後述されるように、外部デバイスに体外で無線でインターフェース接続可能である。しかしながら、センサ１１３を伴う通信は、中継デバイス１０４およびセンサ１０９ａ、１０９ｂを伴うものと異なる。
【００２２】
センサ１１３の筐体は、同様に、制御回路１１４と、テレメトリ回路１１５と、メモリ１１６と、バッテリ１１７とを含む。制御回路１１４は、マイクロプロセッサベースのコントローラと、サンプリング回路と、雑音フィルタと、外部デバイスによる後の読み出しおよび分析のために、メモリ１１６内に格納される、生の心内データ信号をサンプリングおよび処理するための増幅器とを含む。テレメトリ回路１１５は、センサ１１３と外部デバイスとの間の無線インターフェースを提供する。バッテリ１１７は、有限の電源を提供する。他の個別的なＡＩＭＤも可能である。
【００２３】
従来の外部医療デバイス１１８は、インスリンポンプであって、中空内腔を伴う取り外し可能なステント１２０、および遠位に配向されるインスリン送達プローブ１２１を含む。プローブ１２１は、一時的療法使用のために、介護者または患者によって、皮下導入される。インスリンポンプ筐体１１９は、患者の身体外に残り、インスリン療法を送達するための中空内腔を通して、ステント１２０と連通する。インスリンポンプ筐体１１９は、制御回路と、バッテリと、を含み、療法プログラミング命令を実行する。インスリンポンプ１１８を伴う通信は、完全に体外であって、したがって、ＡＩＭＤ１０３、１１２を伴うものと異なる。他の外部医療デバイスも可能である。
【００２４】
移植型および外部ＡＩＭＤは、自動または遠隔制御を通して、療法送達、感知、診断、監視、および関連機能を行なう。体内データセキュリティは、これらの機能が、他のＡＩＭＤを含む、他のソースからの干渉なく、正確かつ安全に行なわれることを保証するために必要である。図２は、一実施形態による、ＡＩＭＤ上で体内データセキュリティを提供するためのシステム１３０を示す、機能的ブロック図である。体内データセキュリティは、ＡＩＭＤ上に格納される際、かつ体内を通過中、特に、無線で伝送される場合のデータの保護を含む。概して、データは、患者データ、コマンド、およびＡＩＭＤまたは他のデバイスによって、あるいはそれらの間で電子的に格納可能、交換可能、もしくは操作可能な任意の他の種類の情報を含む。メタデータは、例えば、データに関するデータである。
【００２５】
患者データは、広義に定義され、ＡＩＭＤによって測定される生の生理機能測定値から記録または導出された定量的生理機能的データを含む。また、患者データは、ＡＩＭＤ自体の状態および動作特徴に関するパラメータデータ報告等の非患者情報と、周囲温度または時刻等の非ＡＩＭＤ関連情報を含む環境データとを含む。患者データは、個人的健康状態または生活の質の主観的印象等の定性的データ値をさらに含む。さらに他の種類の患者データも可能である。
【００２６】
コマンドは、特定の種類の命令データであって、制御、動作結果を誘起、および通信するために発行される。コマンドは、ＡＩＭＤまたは他のデバイスによって発生され、ＡＩＭＤまたは他のデバイスによって、実行または使用される指図、指令、応答、受領通知、および他の形態の動作情報を伝達する、プログラムまたは命令コードおよびメッセージを含むことが可能である。さらに他の種類のコマンドも可能である。コマンドは、発行および伝送、ならびにその完全性のセキュリティを必要とする。
【００２７】
データは、患者データ、コマンド、または他のデータにかかわらず、患者の身体内に恒久的または一時的に導入される、１つ以上の多構成要素または個別的なＡＩＭＤから生じることが可能である。これらのデバイスは、患者の身体内に完全に導入されるＡＩＭＤ１３２、１３３を含み、ペースメーカー、移植型細動除去器、心臓再同期療法デバイス、薬物ポンプ、および神経刺激装置等の療法送達デバイスと、心臓モニタおよび肺モニタ等の生理機能的監視デバイスとを含む。また、これらのデバイスは、患者の身体内に部分的に導入されるＡＩＭＤを含み、体外コントローラおよび移植型ボーラス送達デバイスから成る遠隔制御インスリンポンプ等の療法送達デバイス１３４と、体外記録デバイスおよび硬膜下または大脳皮質内に配置される電極から成る脳波レコーダ等の生理機能的監視デバイス１３５とを含む。他の種類のＡＩＭＤも可能である。多構成要素ＡＩＭＤは、それぞれ、図３および４を参照して以下に詳述されるように、マスタ−スレーブ式またはピアツーピア的構成要素として、階層的に構造化可能である。加えて、情報は、図５を参照して以下に詳述されるように、ポイントツーポイント、エンドツーエンド、ブロードキャスト、およびマルチキャスト通信形態として、多構成要素ＡＩＭＤの構成要素間で交換可能である。
【００２８】
また、データは、従来の完全体外医療デバイス１３６から生じることが可能である。これらのデバイスは、ホルターモニタ等、患者の身体と接触させたままの外部センサと、血圧カフ、体重計、肺活量計等、患者が、使用、操作、または試験を行うことが可能な種々の医療および非医療デバイスとを含む。患者関連目的を有する他の種類の体外デバイスも可能である。
【００２９】
概して、恒久的に導入される、または完全に移植される、それらのＡＩＭＤは、データを問い合わせるあるいは読み出し、原位置にある間、ＡＩＭＤの動作のプログラミングを提供するために、体外インターフェース接続を必要とする。これらの種類のＡＩＭＤへの体外インターフェース接続は、誘導性、または無線周波数、あるいは、例えば、「強固な」Ｂｌｕｅｔｏｏｔｈ（登録商標）またはＩＥＥＥ ８０２．１１インターフェース接続規格に基づく他の形態の無線テレメトリ等、有線もしくは無線手段を通して、ＡＩＭＤにインターフェース接続される、プログラマ１３７、患者操作可能通信機１３８、または類似デバイス等の従来の問い合わせデバイスを通して提供可能である。ＡＩＭＤ問い合わせおよびプログラミングのための他の種類のデバイスも可能である。
【００３０】
データセキュリティ制御がない限り、データは、患者の身体内外から生じる危険、傍受、干渉、および破損を含む、種々の潜在的危害を被る。従来のデータ交換において使用されるデータセキュリティアプローチは、様々な成功度を伴って、ＡＩＭＤと外部問い合わせデバイスとの間のような体外データ交換に適用されていた。しかしながら、完全体内通信もまた、図６を参照して以下に詳述されるように、データ機密性の保護、ならびにデータ完全性、ソース認証、およびデータ利用可能性の保証を通して、最も効果的に提供され得る、データセキュリティを必要とする。
【００３１】
さらなる実施形態では、体外インターフェース接続は、ＡＩＭＤと直接に、または中間インターフェースを介して、ネットワーク１３９上で遠隔にインターフェース接続されるサーバ１４０を通して提供可能である。構造的に、サーバ１４０は、例えば、中央演算装置（ＣＰＵ）、メモリ、ネットワークインターフェース、永続記憶装置、およびそのような構成要素を相互接続するための種々の構成要素等、計算デバイス内で従来見られるそれらの構成要素を含む、単一、多数、または分散処理システムとして構成される、サーバ級の計算プラットホームである。サーバ１４０は、データベース１４１または他の記憶手段を含み、読み出されたデータ１４２と、介護者による検討および分析、ならびに他の承認用途のための他の情報とを保管することが可能である。ネットワーク１３９は、通信制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）のプロトコル群に基づくが、他のプロトコル群も可能である。加えて、他のネットワークトポロジおよび構成も可能である。
【００３２】
さらなる実施形態では、データは、２００２年１月８日発行のＢａｒｄｙの関連する共同所有の米国特許第６，３３６，９０３号、２００２年４月９日発行のＢａｒｄｙの米国特許第６，３６８，２８４号、２００２年６月４日発行のＢａｒｄｙの米国特許第６，３９８，７２８号、２００２年６月２５日発行のＢａｒｄｙの米国特許第６，４１１，８４０号、および２００２年８月２７日発行のＢａｒｄｙの米国特許第６，４４０，０６６号に記載され、参照することによって組み込まれる、１つ以上の慢性または急性健康状態の発現に対して評価可能である。
【００３３】
さらに他の実施形態では、データは、収集、組み立て、評価、伝送、および記憶の間を含む、第３者への未承認開示から体外で安全防護され、患者のプライバシーを保護し、Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ（ＨＩＰＡＡ）およびＥｕｒｏｐｅａｎ Ｐｒｉｖａｃｙ Ｄｉｒｅｃｔｉｖｅ等の近年制定された医療情報プライバシー法に準拠する。最低でも、健康および医療関連情報によって、特定の個人を識別する患者健康情報は、保護されるべきとして処理されるが、特定の患者健康情報に加えて、またはその代わりに、他の種類の機密情報もまた、保護されるべきできであり得る。
【００３４】
多構成要素ＡＩＭＤは、体外インターフェース接続デバイス、完全体外医療デバイス、および他のＡＩＭＤを含む、他のデバイスから独立して動作する、体内データネットワークを構成する。したがって、個々の構成要素は、体系的に構造化され、安全なデータ記憶および交換を可能にしなければならない。
【００３５】
多構成要素ＡＩＭＤ構造化の最も単純な形態の１つは、階層的なものである。図３は、図２のシステム１３０内での使用のための、階層的通信構造１５０で構成される、体内デバイス１５２、１５３ａ−ｃを示す、ブロック図である。構造１５０は、ノードによって表される構成要素およびノード間の経路によって表される相互接続を伴う、ツリー構造の形態である。各構成要素は、図４を参照して以下に詳述されるように、データセキュリティ制御を実装し、ツリー構造内のノードに割り当てられる。構成要素のうちの１つは、マスタデバイス１５２として指定され、他の構成要素は、スレーブデバイス１５３ａ−ｃとして指定される。マスタデバイス１５２およびスレーブデバイス１５３ａ−ｃは、階層的層１５１を形成し、デバイス間の全データ通信は、マスタデバイス１５２を通してチャネリングされる、またはそれによって裁定される。異なる物理的構成要素が、マスタデバイス１５２として機能可能であるが、さらなる競合解決機構がない限り、１つの構成要素のみ、任意の所与の時間において、マスタデバイス１５２として指定可能である。加えて、連続的マスタおよびスレーブデバイスの複数の階層的層が形成され得、親ノードは、子ノードとして表されるそれらの構成要素に対するマスタデバイスとして機能する。他の形態の階層構造も可能である。
【００３６】
単純ではあるが、階層構造は、拡張が不十分であって、マスタデバイスの処理、記憶、および電源を不均衡に課し得る。非階層構造は、通信の負担を分散化することによって、これらの欠点の緩和を試みる。図４は、図２のシステム１３０内での使用のための、ピアツーピア通信構造１５５に構成される、体内デバイス１５７ａ−ｃを示す、ブロック図である。構造１５５は、頂点によって表される構成要素および頂点間の稜線によって表される相互接続を伴う、完全に接続されているが、必ずしも完全である必要はない、図式の形態である。各構成要素１５７ａ−ｃは、図４を参照して以下に後述されるように、データセキュリティ制御を実装し、図式中の頂点に割り当てられる。非裁定通信を可能にするために、各構成要素１５７ａ−ｃは、同等のデータ交換機能を実装し、データ通信は、最も近い経路１５６に沿って、受信側ピアデバイスにチャネリングされる。構造１５５が、完全な図式を形成する場合、全通信は、受信側ピアデバイスに直接送信されなければならない。そうでなければ、通信は、ピア構成要素によって、連続的中継を通して、送信されなければならない。他の形態の階層構造も可能である。
【００３７】
データ交換は、多構成要素ＡＩＭＤによって生成される体内データネットワーク内において、１つ以上の形態で生じることが可能である。図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。データセキュリティは、使用される通信の形態に基づいて、各構成要素に提供される。
【００３８】
最初に、図５Ａを参照すると、ポイントツーポイントデータ交換１６０は、互いに体内で直接情報を送信する一対の構成要素を伴う。ソース認証制御は、図９を参照して以下に後述されるように、データソースが既知であって、体内ネットワークトポロジに基づいて、推測的に信頼されるため、ポイントツーポイントデータ交換には必要ではないが場合がある。しかしながら、それぞれ、図７、８、および１０を参照して以下に詳述されるように、データ機密性、データ完全性、およびデータ利用可能性制御が必要とされる。
【００３９】
次に、図５Ｂを参照すると、エンドツーエンドデータ交換１６１は、２つ以上の構成要素を伴う。端点に対して中間的なそれらの構成要素、すなわち、送信側および受信側構成要素は、データ中継として作用する。ソース認証制御は、ポイントツーポイント認証が提供されず、インプリシットでもない場合、端点で必要とされる場合がある。データ機密性、データ完全性、およびデータ利用可能性制御が必要とされる。
【００４０】
次に、図５Ｃを参照すると、ブロードキャストデータ交換１６２は、送信側構成要素から複数の受信側構成要素への情報の一方向伝送を伴う。概して、全データセキュリティ制御が必要とされる。
【００４１】
最後に、図５Ｄを参照すると、マルチキャストデータ交換１６３は、同一時間の間に１つ以上の構成要素に情報を送信する複数の構成要素を伴う。概して、全データセキュリティ制御、特に、データ競合の潜在性のため、データ完全性制御が必要とされる。他の形態の通信も可能である。
【００４２】
体内環境では、データセキュリティは、ＡＩＭＤ内に格納される際、および構成要素間または従来の問い合わせデバイス等の体外デバイス間で通過中、データを保護するために必要である。コマンドは、その発行および伝送、ならびにその完全性を保護するために、付加的セキュリティを必要とする。また、データセキュリティは、同一患者内での動作において、完全体外医療デバイスおよび他のＡＩＭＤからの干渉を防止するために必要とされる。図６は、一実施形態による、ＡＩＭＤ上で体内データセキュリティを提供するための方法１７０を示す、プロセスフロー図である。方法１７０は、個別的なＡＩＭＤまたは多構成要素ＡＩＭＤの一部であるかにかかわらず、各ＡＩＭＤ構成要素によって行なわれ、体内データセキュリティを生じさせる。
【００４３】
体内データセキュリティは、４つのセキュリティ制御のセット（動作１７１）を通して提供される。制御のそれぞれが、完全データセキュリティを保証するために必要であるが、制御のいずれかが失敗または利用可能でない場合、安全的ではないが、構成要素の潜在機能は依然として実施され得る。最初に、データ機密性（動作１７２）は、図７を参照して以下に詳述されるように、従来の問い合わせデバイス、完全体外医療デバイス、および他のＡＩＭＤを含む他のデバイスによるデータへのアクセスと、それらによるデータの使用を制限する。データ完全性（動作１７３）は、図８を参照して以下に詳述されるように、構成要素によって格納される際、または通過中、データの形態への未承認の変更を防止する。ソース認証（動作１７４）は、図９を参照して以下に詳述されるように、無線でインターフェース接続を試みる他のデバイスの身元を検証する。最後に、（動作１７５）は、図１０を参照して以下に詳述されるように、データおよびＡＩＭＤ構成要素が利用可能であって、データセキュリティ制御が機能していることを保証する。上述のセキュリティ制御に加え得て、またはその代わりに、他のセキュリティ制御も可能である。
【００４４】
データ機密性は、データが、適切な権限が付与された他のデバイスによってのみアクセス可能であることを保証する。そのようなデバイスは、従来の問い合わせデバイス、完全体外医療デバイス、および他のＡＩＭＤ、ならびに他の種類の医療および非医療デバイスを含む。図７は、図６の方法１７０において使用するためのデータ機密性セキュリティ制御１８０を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。加えて、同等のデータセキュリティ制御が、アクセス用デバイスによって必要とされる場合がある。
【００４５】
データ機密性（動作１８２）は、格納される間または通過中、各ＡＩＭＤによって、全体的あるいは部分的に、データ１８１上で実行される。データ機密性は、適切な権限のない、データ１８１のアクセス（動作１８３）、使用（動作１８４）、複製（動作１８５）、または開示（動作１８６）の試みに広がる。他の動作も可能である。
【００４６】
データ機密性は、いくつかの手段を通して導入可能である。例えば、ＡＩＭＤは、承認デバイスのアクセスリストおよび許容動作を保管可能である。同様に、データ１８１は、Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ（ＡＥＳ）等の対称暗号化を使用することによって、あるいはＲｉｖｅｓｔ、Ｓｈａｍｉｒ、Ａｄｌｅｍａｎ（ＲＳＡ）またはＥｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｇｒａｐｈｙ（ＥＣＣ）方式等の公開鍵基盤における公開と私有の鍵の対を使用する非対称暗号化を使用することによって、暗号化可能である。その結果、データ１８１は、有効な復号暗号および鍵を保有するそれらのデバイスに対してのみ利用可能となるであろう。また、データ機密性は、制限またはオープンアクセスによって、チャネル上で達成可能である。さらに他の形態のデータ機密性制御も可能である。
【００４７】
データ機密性がアクセスに焦点を当てるのに対し、データ完全性は、意図的または偶発的であるかにかかわらず、適切な権限のない他のデバイスによってデータの形態が変更され得ないことを保証する。例えば、データは、マルウェアによって、悪意を持って削除され得る、または伝送エラーのため、送信中に非意図的に変更され得る。図８は、図６の方法１７０において使用するためのデータ完全性セキュリティ制御１９０を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。同等のデータセキュリティ制御は、データが他のデバイスによって受信されている際にのみ、他のデバイスによって実装される必要がある。
【００４８】
したがって、データ完全性（動作１９２）は、単にデータ１９１のコンテンツに配慮するだけではない。データ完全性は、データ１９１の形態が、別のデバイスまたはＡＩＭＤ自体であり得る、発信元によって意図される状態のままであることを確認するステップを伴う。コマンドの場合、データ完全性は、コマンドの発行および伝送、ならびにコマンド自体の完全性を保護するステップを含む。基本形態では、データ完全性は、典型的には、その後の完全性確認を可能にするために、データのチェック、マーカ、または他の識別子を含めるステップを伴う。データ完全性は、データ１９１が、意図的、非意図的、または偶発的かにかかわらず、未承認の新規「データ」１９６として生成（動作１９３）、未承認の改ざん「データ」１９７に変更（動作１９４）、または結果的に損失された「データ」１９８となって削除（動作１９５）されていないという保証を提供する。他の動作も可能である。
【００４９】
また、データ完全性は、いくつかの手段を通して導入可能である。例えば、パリティ検査、巡回冗長コード、およびエラー訂正コード等の従来のエラー検出および訂正方式が、交換されるコマンドおよびデータ内に組み込まれ得る。同様に、デバイス製造番号等の固有の識別子が、製造時に割り当てられ、コマンドおよびデータ、ならびにタイムスタンプおよび未承の危険に対して情報を「ロック」する他の保護とともに含められることが可能である。また、データ完全性は、公開鍵基盤を通して提供されるデジタル証明書内に含まれる暗号署名等、データ機密性機構を通して供給可能である。さらに他の形態のデータ完全性制御も可能である。
【００５０】
ソース認証、または単なる「認証」は、他のデバイスによって、ＡＩＭＤに提示される身元の主張を検証する。結果として、ソース認証は、認証されていないデバイスがＡＩＭＤに要求を行なう場合は常に必要とされる。図９は、図６の方法１７０において使用するためのソース認証セキュリティ制御２００を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。同等のデータセキュリティ制御は、受信側ＡＩＭＤによる認証を可能にするために必要な範囲において、他のデバイスによって実装されなければならない。
【００５１】
ソース認証（動作２０２）は、従来の問い合わせデバイス、完全体外医療デバイス、および他のＡＩＭＤ等の別のデバイス２０４からのコマンドまたはデータ２０１の要求に応答して、体内デバイス２０３によって行なわれる。
【００５２】
ソース認証は、要求側デバイスと受信側ＡＩＭＤとの間で相互に構築される信頼形態である。信頼は、いくつかの手段を通して構築可能である。例えば、信頼は、Ｘ．５０９デジタル証明書等のデジタル証明書内に含まれる暗号署名等、データ機密性機構を通して構築可能であって、証明書２０６として、要求２０５とともに含められる。受信側体内デバイス２０３は、証明機関、または信頼できるエージェント、あるいは製造業者等の仲介業者から以前に受信した信頼できる証明書２０８と対照して、証明書２０６を認証するであろう。より単純な形態では、体内デバイス２０３は、既知かつ信頼されるそれらのデバイスを識別するアクセスリスト２０９を保管することが可能である。アクセスリスト２０９によって、要求側デバイス２０４は、証明書２０６のセットとともに要求２０５を提示することのみが必要とされ、また、デジタル的に署名も可能である。さらに他の形態のソース認証制御も可能である。
【００５３】
データ利用可能性は、データアクセスおよび利用規程よりもセキュリティ懸念は低い。本制御は、データおよびその責任ＡＩＭＤが、機能するセキュリティ制御とともにオンライン状態にあることを保証する。図１０は、図６の方法１７０において使用するためのデータ利用可能性セキュリティ制御２１０を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。
【００５４】
データ利用可能性（動作２１１）は、データ２１２および関連付けられた体内デバイス２１３の両方が、例えば、ネットワーク１３９（図２に図示）を介して、他のデバイスに利用可能な場合、セキュリティ制御２１４が適切に機能していることが保証される。セキュリティ制御２１４は、論じられたデータ機密性１８２、データ完全性１９２、およびソース認証２０２セキュリティ制御を含むが、さらに他のセキュリティ制御も可能である。
【００５５】
データ利用可能性は、セキュリティ制御の一部として提供可能である。したがって、データ２１２および体内デバイス２１３へのアクセスは、セキュリティ制御２１４が動作不可能または別様にオフラインである場合、拒否される。さらに他の形態のデータ利用可能性制御も可能である。
【００５６】
本発明は、特に、その実施形態を参照して図示および説明されたが、当業者は、形態および詳細の上述ならびに他の変更が、本発明の精神および範囲から逸脱することなく、本明細書において成され得ることを理解するであろう。
【技術分野】
【０００１】
本発明は、概して、能動的移植型医療デバイスに関し、具体的には、能動的移植型医療デバイス上で体内データセキュリティを提供するためのシステムおよび方法に関する。
【背景技術】
【０００２】
Ｅｕｒｏｐｅａｎ Ｅｃｏｎｏｍｉｃ Ｃｏｍｍｕｎｉｔｙ Ｄｉｒｅｃｔｉｖｅ ９０／３８５／ＥＥＣに定義されるような能動的移植型医療デバイス（ＡＩＭＤ）は、電気または自動提供エネルギーに依存する医療デバイスである。ＡＩＭＤは、概して、完全または部分的に、生体内に導入されることが意図される。ＡＩＭＤは、人工内耳およびインスリンポンプ等の個別的なデバイスと、多構成要素デバイス、例えば、有線心内圧センサを備える移植型細動除去器（ＩＣＤ）の両方を含む。さらに他の種類のＡＩＭＤも可能である。
【０００３】
ＡＩＭＤは、プログラムされた自動または遠隔制御動作を通して、体内、すなわち、原位置において、療法または生理機能的監視を提供する。恒久的に移植されたＡＩＭＤは、診断、故障修理、および再プログラミングのため、かつ格納されたパラメータおよび生理学的データを交換するために、プログラマおよび患者操作可能通信機等の外部デバイスと周期的にインターフェース接続されなければならない一方、一時的に移植されたＡＩＭＤは、自動的に機能するか、または外部コントローラを通して、相互動作可能に動作する。
【０００４】
ＡＩＭＤは、利用可能資源、特に、電力、記憶容量、およびサイズと対照して、所望の能力の平衡を保つ必要がある。データセキュリティは、例えば、ＡＩＭＤの主要な役割に対して二次的な機能を果たし、インプリシットにのみ処理される。例えば、誘導性または無線周波数テレメトリを通して提供される無線データ交換は、１対１を本質とする相互接続に依存し、機密性、完全性、および信頼性を保証する。
【０００５】
それでもなお、独立したＡＩＭＤは、外部システムと通信する場合、または構成要素が体内で通信する場合、潜在的に、互いに干渉する可能性がある。インプリシットデータセキュリティ単独では、外部デバイスが許容されるＡＩＭＤのみとインターフェース接続することが許可されることを保証するためには不十分である。加えて、インプリシットデータセキュリティは、機密性を保証することができない。Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ（ＨＩＰＡＡ）およびＥｕｒｏｐｅａｎ Ｐｒｉｖａｃｙ Ｄｉｒｅｃｔｉｖｅ（ＥＰＤ）等の法的検討は、患者のプライバシー、特に、健康および医療関連情報によって特定の個人を識別する患者健康情報（ＰＨＩ）の保護を命じている。
【０００６】
２００１年４月２４日発行の特許文献１は、体内情報転送デバイスについて開示する。伝送デバイスは、人体の近傍に配設された伝送電極に変調される、時変信号を出力するための信号源を含む。別の伝送電極は、伝送デバイスのための基準電圧に接続され、人体から外側に配設される。類似の個別的な装置が、信号受信のために提供される。通信は、人体誘導性電場によって、および空気を介して、２つの独立の信号経路を通して提供される。しかしながら、データは、データセキュリティ制御または保護を伴わずに、開放的に交換される。
【０００７】
２００１年４月２１日発行の特許文献２は、圧力センサと、心臓腔内外への血流に関する情報を収集するためのセンサとを含む、心内システムについて開示する。センサは、ステントとともに形成される、またはそれに接着されることが可能である。センサは、電線を介して、データ中継デバイスに接続される。体外処理ユニットは、有線または無線相互接続を介して、中継された情報を収集する。しかしながら、データは、センサとデータ中継デバイスとの間、またはデータ中継デバイスと体外処理ユニットとの間の１対１でのみ交換されるため、データセキュリティは、インプリシットである。
【０００８】
２００４年６月２０日発行の特許文献３は、圧力または他の生理学的パラメータを測定する、移植型圧力センサについて開示する。外部変換器は、患者の身体内に音波信号を伝送し、蓄電器を励起させる。音波送受信機は、電気と音波エネルギーとの間でエネルギーを変換する。蓄電器は、送受信機によって変換された電気エネルギーを格納し、電気エネルギーを提供し、センサを作動させ、音波信号として、圧力データを送信する。製造番号を使用して、複数のデバイスを区別することが可能であるが、データは、センサと外部変換器との間で１対１でのみ交換され、相互動作可能な移植型センサ間では交換されない。
【０００９】
２００２年６月２０日公開の特許文献４（係属中）、および２００２年１１月２８日公開の特許文献５（係属中）は両方とも、外部音波変換器を介してインターフェース接続可能な移植型センサについて記載する。センサは、自動的に機能し、圧力または生理学的パラメータを監視する。音波変換器は、患者の身体内に音波信号を伝送し、移植型センサとインターフェース接続し、センサによって記録される圧力測定値をダウンロードする。しかしながら、データは、センサと外部音波変換器との間で１対１でのみ交換され、相互動作可能な移植型センサ間では交換されない。
【００１０】
最後に、２００２年６月２７日公開の特許文献６（係属中）、および２００５年１月２７日公開の特許文献７（係属中）は両方とも、ネットワーク実装型遠隔患者管理方式について記載する。医療デバイスは、ロバストな相互接続ネットワークを介して、無線周波数テレメトリ等の無線技術を通して、生理学的データをアップロードし、データは、データベース内に格納、処理、分析、または表示のために提示されることが可能である。また、医療デバイスは、互いに通信し得る。医療プロバイダのアクセスは、検証または認証され、場合に応じて、公共ネットワークを介したデータ転送は、セキュリティを維持するために暗号化される。しかしながら、医療デバイス間の通信は、非保護のままであって、ソースの信頼性およびデータ完全性は、仮定される。
【先行技術文献】
【特許文献】
【００１１】
【特許文献１】米国特許第６，２２３，０１８号明細書
【特許文献２】米国特許第６，２７７，０７８号明細書
【特許文献３】米国特許第６，７６４，４４６号明細書
【特許文献４】米国特許出願公開第２００２／００７７６７３号明細書
【特許文献５】米国特許出願公開第２００２／０１７７７８２号明細書
【特許文献６】米国特許出願公開第２００２／００８２４８０号明細書
【特許文献７】米国特許出願公開第２００５／００２１３７０号明細書
【発明の概要】
【発明が解決しようとする課題】
【００１２】
したがって、内部体内および外部体外データ通信のために、データセキュリティをＡＩＭＤに提供するためのアプローチの必要性が存在する。そのようなアプローチは、ＡＩＭＤまたは他のデバイスによって、あるいはその間で、電子的に格納可能、交換可能、もしくは操作可能な患者データ、コマンド、および任意の他の種類の情報を含む、あらゆるデータ形態を保護する必要があるであろう。
【００１３】
さらに、承認デバイスにのみデータの利用可能性およびセキュリティを保証し、また、複数の独立したＡＩＭＤが、患者の身体内外からの干渉なく、機能することを可能にするためのアプローチの必要性が存在する。
【課題を解決するための手段】
【００１４】
一実施形態は、能動的移植型医療デバイス上の体内データセキュリティを提供するためのシステムおよび方法を提供する。データは、能動的移植型医療デバイスを通して保管される。データは、無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイスとの間で、能動的移植型医療デバイス上で保護される。他の能動的移植型医療デバイスによるデータへのアクセス、およびその使用のうちの少なくとも１つは、制限される。データの形態への未承認の変更は、防止される。
【００１５】
さらに他の実施形態は、以下の詳細な説明から、当業者には容易に明白となるであろうが、本発明の実施形態は、本発明を実行するために企図される最良の形態の例証として記載される。理解されるように、本発明は、その他および異なる実施形態が可能であって、そのいくつかの詳細は、すべて本発明の精神および範囲から逸脱することなく、種々の明白な点において修正可能である。故に、図面および詳細な説明は、本質的に、例証としてみなされ、制限としてみなされるものではない。
【図面の簡単な説明】
【００１６】
【図１】図１は、一例として、個別的な、および構成要素を成す、能動的移植型医療デバイスを示す、ブロック図である。
【図２】図２は、一実施形態による、能動的移植型医療デバイス上の体内データセキュリティを提供するためのシステムを示す、機能的ブロック図である。
【図３】図３は、図２のシステム内で使用するための、階層通信構造に構成される体内デバイスを示す、ブロック図である。
【図４】図４は、図２のシステム内で使用するための、ピアツーピア通信構造に構成される体内デバイスを示す、ブロック図である。
【図５Ａ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図５Ｂ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図５Ｃ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図５Ｄ】図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。
【図６】図６は、一実施形態による、能動的移植型医療デバイス上の体内データセキュリティを提供するための方法を示す、プロセスフロー図である。
【図７】図７は、図６の方法において使用するための、データ機密性セキュリティ制御を示す、プロセスフロー図である。
【図８】図８は、図６の方法において使用するための、データ完全性セキュリティ制御を示す、プロセスフロー図である。
【図９】図９は、図６の方法において使用するための、ソース認証セキュリティ制御を示す、プロセスフロー図である。
【図１０】図１０は、図６の方法において使用するための、データ利用可能性セキュリティ制御を示す、プロセスフロー図である。
【発明を実施するための形態】
【００１７】
本願では、主に、心臓および心肺診断、療法、または監視を提供するために意図されるＡＩＭＤに関連して記載されるが、記載される実施形態は、概して、遠隔に問い合わせまたはプログラム可能なあらゆる形態のＡＩＭＤに適用される。
【００１８】
能動的ＩＭＤ（ＡＩＭＤ）は、Ｅｕｒｏｐｅａｎ Ｅｃｏｎｏｍｉｃ Ｃｏｍｍｕｎｉｔｙ Ｄｉｒｅｃｔｉｖｅ ９０／３８５／ＥＥＣに定義されており、その開示は、参照することによって組み込まれる。概して、ＡＩＭＤは、療法送達、感知、診断、監視、および他の目的のために、電気エネルギーまたは自動提供エネルギーに依存し、外科的または内科的に生体内に、あるいは医療的介入によって自然開口内に、完全または部分的に導入されることが意図される。図１は、一例として、個別的かつ構成要素を成す、ＡＩＭＤ１０３、１１２を示す、ブロック図である。両ＡＩＭＤは、ヒト患者１０１の胴体１００内に移植されるが、一時的および恒久的の両方において、他の移植部位も可能である。また、ＡＩＭＤは、類似目的のために、動物の身体内に導入可能である。
【００１９】
患者１０１は、一対の独立したＡＩＭＤおよび従来の外部医療デバイス１１８の両方を受容している。一方のＡＩＭＤは、電磁波、音波、振動、化学、または光テレメトリを通して等、無線で相互通信する個別的な体内構成要素１０４、１０９ａ、１０９ｂを含む、心内監視のための多構成要素ＡＩＭＤ１０３である。無線通信の他の形態も可能である。各構成要素１０４、１０９ａ、１０９ｂは、自動駆動かつ自給式である。中継デバイス１０４は、大胸筋上に皮下移植される。中継デバイス１０４は、それぞれ、患者の心臓１０２の右心房１１０および心室１１１内に移植される、２つの遠隔心内圧センサ１０９ａ、１０９ｂに体内で無線でインターフェース接続される。また、監視デバイス１０４は、図２を参照して以下に詳述されるように、プログラマ、患者操作可能通信機、またはサーバ等の外部デバイスに体外で無線でインターフェース接続可能である。
【００２０】
中継デバイス１０４の筐体は、制御回路１０５と、テレメトリ回路１０６と、メモリ１０７と、バッテリ１０８とを含む。制御回路１０５は、マイクロプロセッサベースのコントローラと、信号フィルタと、外部デバイスによるその後の読み出しおよび分析のために、メモリ１０７内に格納される、生の心内データ信号を処理するための増幅器とを含む。テレメトリ回路１０６は、中継デバイス１０４とセンサ１０９ａ、１０９ｂとの間の無線体内インターフェース、ならびに外部デバイスとの無線体外インターフェースを提供する。バッテリ１０８は、有限の電源を提供する。また、センサ１０９ａ、１０９ｂは、制御回路と、体内テレメトリ回路と、バッテリと、メモリと、圧力サンプリング回路（図示せず）を含む。他の体内構成要素および多構成要素ＡＩＭＤも可能である。
【００２１】
他のＡＩＭＤは、肺監視のための個別的なＡＩＭＤ１１２である。自給式肺内センサ１１３は、右肺下葉上に皮下移植される。センサ１１３は、図２を参照して以下に後述されるように、外部デバイスに体外で無線でインターフェース接続可能である。しかしながら、センサ１１３を伴う通信は、中継デバイス１０４およびセンサ１０９ａ、１０９ｂを伴うものと異なる。
【００２２】
センサ１１３の筐体は、同様に、制御回路１１４と、テレメトリ回路１１５と、メモリ１１６と、バッテリ１１７とを含む。制御回路１１４は、マイクロプロセッサベースのコントローラと、サンプリング回路と、雑音フィルタと、外部デバイスによる後の読み出しおよび分析のために、メモリ１１６内に格納される、生の心内データ信号をサンプリングおよび処理するための増幅器とを含む。テレメトリ回路１１５は、センサ１１３と外部デバイスとの間の無線インターフェースを提供する。バッテリ１１７は、有限の電源を提供する。他の個別的なＡＩＭＤも可能である。
【００２３】
従来の外部医療デバイス１１８は、インスリンポンプであって、中空内腔を伴う取り外し可能なステント１２０、および遠位に配向されるインスリン送達プローブ１２１を含む。プローブ１２１は、一時的療法使用のために、介護者または患者によって、皮下導入される。インスリンポンプ筐体１１９は、患者の身体外に残り、インスリン療法を送達するための中空内腔を通して、ステント１２０と連通する。インスリンポンプ筐体１１９は、制御回路と、バッテリと、を含み、療法プログラミング命令を実行する。インスリンポンプ１１８を伴う通信は、完全に体外であって、したがって、ＡＩＭＤ１０３、１１２を伴うものと異なる。他の外部医療デバイスも可能である。
【００２４】
移植型および外部ＡＩＭＤは、自動または遠隔制御を通して、療法送達、感知、診断、監視、および関連機能を行なう。体内データセキュリティは、これらの機能が、他のＡＩＭＤを含む、他のソースからの干渉なく、正確かつ安全に行なわれることを保証するために必要である。図２は、一実施形態による、ＡＩＭＤ上で体内データセキュリティを提供するためのシステム１３０を示す、機能的ブロック図である。体内データセキュリティは、ＡＩＭＤ上に格納される際、かつ体内を通過中、特に、無線で伝送される場合のデータの保護を含む。概して、データは、患者データ、コマンド、およびＡＩＭＤまたは他のデバイスによって、あるいはそれらの間で電子的に格納可能、交換可能、もしくは操作可能な任意の他の種類の情報を含む。メタデータは、例えば、データに関するデータである。
【００２５】
患者データは、広義に定義され、ＡＩＭＤによって測定される生の生理機能測定値から記録または導出された定量的生理機能的データを含む。また、患者データは、ＡＩＭＤ自体の状態および動作特徴に関するパラメータデータ報告等の非患者情報と、周囲温度または時刻等の非ＡＩＭＤ関連情報を含む環境データとを含む。患者データは、個人的健康状態または生活の質の主観的印象等の定性的データ値をさらに含む。さらに他の種類の患者データも可能である。
【００２６】
コマンドは、特定の種類の命令データであって、制御、動作結果を誘起、および通信するために発行される。コマンドは、ＡＩＭＤまたは他のデバイスによって発生され、ＡＩＭＤまたは他のデバイスによって、実行または使用される指図、指令、応答、受領通知、および他の形態の動作情報を伝達する、プログラムまたは命令コードおよびメッセージを含むことが可能である。さらに他の種類のコマンドも可能である。コマンドは、発行および伝送、ならびにその完全性のセキュリティを必要とする。
【００２７】
データは、患者データ、コマンド、または他のデータにかかわらず、患者の身体内に恒久的または一時的に導入される、１つ以上の多構成要素または個別的なＡＩＭＤから生じることが可能である。これらのデバイスは、患者の身体内に完全に導入されるＡＩＭＤ１３２、１３３を含み、ペースメーカー、移植型細動除去器、心臓再同期療法デバイス、薬物ポンプ、および神経刺激装置等の療法送達デバイスと、心臓モニタおよび肺モニタ等の生理機能的監視デバイスとを含む。また、これらのデバイスは、患者の身体内に部分的に導入されるＡＩＭＤを含み、体外コントローラおよび移植型ボーラス送達デバイスから成る遠隔制御インスリンポンプ等の療法送達デバイス１３４と、体外記録デバイスおよび硬膜下または大脳皮質内に配置される電極から成る脳波レコーダ等の生理機能的監視デバイス１３５とを含む。他の種類のＡＩＭＤも可能である。多構成要素ＡＩＭＤは、それぞれ、図３および４を参照して以下に詳述されるように、マスタ−スレーブ式またはピアツーピア的構成要素として、階層的に構造化可能である。加えて、情報は、図５を参照して以下に詳述されるように、ポイントツーポイント、エンドツーエンド、ブロードキャスト、およびマルチキャスト通信形態として、多構成要素ＡＩＭＤの構成要素間で交換可能である。
【００２８】
また、データは、従来の完全体外医療デバイス１３６から生じることが可能である。これらのデバイスは、ホルターモニタ等、患者の身体と接触させたままの外部センサと、血圧カフ、体重計、肺活量計等、患者が、使用、操作、または試験を行うことが可能な種々の医療および非医療デバイスとを含む。患者関連目的を有する他の種類の体外デバイスも可能である。
【００２９】
概して、恒久的に導入される、または完全に移植される、それらのＡＩＭＤは、データを問い合わせるあるいは読み出し、原位置にある間、ＡＩＭＤの動作のプログラミングを提供するために、体外インターフェース接続を必要とする。これらの種類のＡＩＭＤへの体外インターフェース接続は、誘導性、または無線周波数、あるいは、例えば、「強固な」Ｂｌｕｅｔｏｏｔｈ（登録商標）またはＩＥＥＥ ８０２．１１インターフェース接続規格に基づく他の形態の無線テレメトリ等、有線もしくは無線手段を通して、ＡＩＭＤにインターフェース接続される、プログラマ１３７、患者操作可能通信機１３８、または類似デバイス等の従来の問い合わせデバイスを通して提供可能である。ＡＩＭＤ問い合わせおよびプログラミングのための他の種類のデバイスも可能である。
【００３０】
データセキュリティ制御がない限り、データは、患者の身体内外から生じる危険、傍受、干渉、および破損を含む、種々の潜在的危害を被る。従来のデータ交換において使用されるデータセキュリティアプローチは、様々な成功度を伴って、ＡＩＭＤと外部問い合わせデバイスとの間のような体外データ交換に適用されていた。しかしながら、完全体内通信もまた、図６を参照して以下に詳述されるように、データ機密性の保護、ならびにデータ完全性、ソース認証、およびデータ利用可能性の保証を通して、最も効果的に提供され得る、データセキュリティを必要とする。
【００３１】
さらなる実施形態では、体外インターフェース接続は、ＡＩＭＤと直接に、または中間インターフェースを介して、ネットワーク１３９上で遠隔にインターフェース接続されるサーバ１４０を通して提供可能である。構造的に、サーバ１４０は、例えば、中央演算装置（ＣＰＵ）、メモリ、ネットワークインターフェース、永続記憶装置、およびそのような構成要素を相互接続するための種々の構成要素等、計算デバイス内で従来見られるそれらの構成要素を含む、単一、多数、または分散処理システムとして構成される、サーバ級の計算プラットホームである。サーバ１４０は、データベース１４１または他の記憶手段を含み、読み出されたデータ１４２と、介護者による検討および分析、ならびに他の承認用途のための他の情報とを保管することが可能である。ネットワーク１３９は、通信制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）のプロトコル群に基づくが、他のプロトコル群も可能である。加えて、他のネットワークトポロジおよび構成も可能である。
【００３２】
さらなる実施形態では、データは、２００２年１月８日発行のＢａｒｄｙの関連する共同所有の米国特許第６，３３６，９０３号、２００２年４月９日発行のＢａｒｄｙの米国特許第６，３６８，２８４号、２００２年６月４日発行のＢａｒｄｙの米国特許第６，３９８，７２８号、２００２年６月２５日発行のＢａｒｄｙの米国特許第６，４１１，８４０号、および２００２年８月２７日発行のＢａｒｄｙの米国特許第６，４４０，０６６号に記載され、参照することによって組み込まれる、１つ以上の慢性または急性健康状態の発現に対して評価可能である。
【００３３】
さらに他の実施形態では、データは、収集、組み立て、評価、伝送、および記憶の間を含む、第３者への未承認開示から体外で安全防護され、患者のプライバシーを保護し、Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ（ＨＩＰＡＡ）およびＥｕｒｏｐｅａｎ Ｐｒｉｖａｃｙ Ｄｉｒｅｃｔｉｖｅ等の近年制定された医療情報プライバシー法に準拠する。最低でも、健康および医療関連情報によって、特定の個人を識別する患者健康情報は、保護されるべきとして処理されるが、特定の患者健康情報に加えて、またはその代わりに、他の種類の機密情報もまた、保護されるべきできであり得る。
【００３４】
多構成要素ＡＩＭＤは、体外インターフェース接続デバイス、完全体外医療デバイス、および他のＡＩＭＤを含む、他のデバイスから独立して動作する、体内データネットワークを構成する。したがって、個々の構成要素は、体系的に構造化され、安全なデータ記憶および交換を可能にしなければならない。
【００３５】
多構成要素ＡＩＭＤ構造化の最も単純な形態の１つは、階層的なものである。図３は、図２のシステム１３０内での使用のための、階層的通信構造１５０で構成される、体内デバイス１５２、１５３ａ−ｃを示す、ブロック図である。構造１５０は、ノードによって表される構成要素およびノード間の経路によって表される相互接続を伴う、ツリー構造の形態である。各構成要素は、図４を参照して以下に詳述されるように、データセキュリティ制御を実装し、ツリー構造内のノードに割り当てられる。構成要素のうちの１つは、マスタデバイス１５２として指定され、他の構成要素は、スレーブデバイス１５３ａ−ｃとして指定される。マスタデバイス１５２およびスレーブデバイス１５３ａ−ｃは、階層的層１５１を形成し、デバイス間の全データ通信は、マスタデバイス１５２を通してチャネリングされる、またはそれによって裁定される。異なる物理的構成要素が、マスタデバイス１５２として機能可能であるが、さらなる競合解決機構がない限り、１つの構成要素のみ、任意の所与の時間において、マスタデバイス１５２として指定可能である。加えて、連続的マスタおよびスレーブデバイスの複数の階層的層が形成され得、親ノードは、子ノードとして表されるそれらの構成要素に対するマスタデバイスとして機能する。他の形態の階層構造も可能である。
【００３６】
単純ではあるが、階層構造は、拡張が不十分であって、マスタデバイスの処理、記憶、および電源を不均衡に課し得る。非階層構造は、通信の負担を分散化することによって、これらの欠点の緩和を試みる。図４は、図２のシステム１３０内での使用のための、ピアツーピア通信構造１５５に構成される、体内デバイス１５７ａ−ｃを示す、ブロック図である。構造１５５は、頂点によって表される構成要素および頂点間の稜線によって表される相互接続を伴う、完全に接続されているが、必ずしも完全である必要はない、図式の形態である。各構成要素１５７ａ−ｃは、図４を参照して以下に後述されるように、データセキュリティ制御を実装し、図式中の頂点に割り当てられる。非裁定通信を可能にするために、各構成要素１５７ａ−ｃは、同等のデータ交換機能を実装し、データ通信は、最も近い経路１５６に沿って、受信側ピアデバイスにチャネリングされる。構造１５５が、完全な図式を形成する場合、全通信は、受信側ピアデバイスに直接送信されなければならない。そうでなければ、通信は、ピア構成要素によって、連続的中継を通して、送信されなければならない。他の形態の階層構造も可能である。
【００３７】
データ交換は、多構成要素ＡＩＭＤによって生成される体内データネットワーク内において、１つ以上の形態で生じることが可能である。図５Ａ−Ｄは、図２のシステム内で使用するための、体内デバイス間のデータ交換の形態を示す、ブロック図である。データセキュリティは、使用される通信の形態に基づいて、各構成要素に提供される。
【００３８】
最初に、図５Ａを参照すると、ポイントツーポイントデータ交換１６０は、互いに体内で直接情報を送信する一対の構成要素を伴う。ソース認証制御は、図９を参照して以下に後述されるように、データソースが既知であって、体内ネットワークトポロジに基づいて、推測的に信頼されるため、ポイントツーポイントデータ交換には必要ではないが場合がある。しかしながら、それぞれ、図７、８、および１０を参照して以下に詳述されるように、データ機密性、データ完全性、およびデータ利用可能性制御が必要とされる。
【００３９】
次に、図５Ｂを参照すると、エンドツーエンドデータ交換１６１は、２つ以上の構成要素を伴う。端点に対して中間的なそれらの構成要素、すなわち、送信側および受信側構成要素は、データ中継として作用する。ソース認証制御は、ポイントツーポイント認証が提供されず、インプリシットでもない場合、端点で必要とされる場合がある。データ機密性、データ完全性、およびデータ利用可能性制御が必要とされる。
【００４０】
次に、図５Ｃを参照すると、ブロードキャストデータ交換１６２は、送信側構成要素から複数の受信側構成要素への情報の一方向伝送を伴う。概して、全データセキュリティ制御が必要とされる。
【００４１】
最後に、図５Ｄを参照すると、マルチキャストデータ交換１６３は、同一時間の間に１つ以上の構成要素に情報を送信する複数の構成要素を伴う。概して、全データセキュリティ制御、特に、データ競合の潜在性のため、データ完全性制御が必要とされる。他の形態の通信も可能である。
【００４２】
体内環境では、データセキュリティは、ＡＩＭＤ内に格納される際、および構成要素間または従来の問い合わせデバイス等の体外デバイス間で通過中、データを保護するために必要である。コマンドは、その発行および伝送、ならびにその完全性を保護するために、付加的セキュリティを必要とする。また、データセキュリティは、同一患者内での動作において、完全体外医療デバイスおよび他のＡＩＭＤからの干渉を防止するために必要とされる。図６は、一実施形態による、ＡＩＭＤ上で体内データセキュリティを提供するための方法１７０を示す、プロセスフロー図である。方法１７０は、個別的なＡＩＭＤまたは多構成要素ＡＩＭＤの一部であるかにかかわらず、各ＡＩＭＤ構成要素によって行なわれ、体内データセキュリティを生じさせる。
【００４３】
体内データセキュリティは、４つのセキュリティ制御のセット（動作１７１）を通して提供される。制御のそれぞれが、完全データセキュリティを保証するために必要であるが、制御のいずれかが失敗または利用可能でない場合、安全的ではないが、構成要素の潜在機能は依然として実施され得る。最初に、データ機密性（動作１７２）は、図７を参照して以下に詳述されるように、従来の問い合わせデバイス、完全体外医療デバイス、および他のＡＩＭＤを含む他のデバイスによるデータへのアクセスと、それらによるデータの使用を制限する。データ完全性（動作１７３）は、図８を参照して以下に詳述されるように、構成要素によって格納される際、または通過中、データの形態への未承認の変更を防止する。ソース認証（動作１７４）は、図９を参照して以下に詳述されるように、無線でインターフェース接続を試みる他のデバイスの身元を検証する。最後に、（動作１７５）は、図１０を参照して以下に詳述されるように、データおよびＡＩＭＤ構成要素が利用可能であって、データセキュリティ制御が機能していることを保証する。上述のセキュリティ制御に加え得て、またはその代わりに、他のセキュリティ制御も可能である。
【００４４】
データ機密性は、データが、適切な権限が付与された他のデバイスによってのみアクセス可能であることを保証する。そのようなデバイスは、従来の問い合わせデバイス、完全体外医療デバイス、および他のＡＩＭＤ、ならびに他の種類の医療および非医療デバイスを含む。図７は、図６の方法１７０において使用するためのデータ機密性セキュリティ制御１８０を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。加えて、同等のデータセキュリティ制御が、アクセス用デバイスによって必要とされる場合がある。
【００４５】
データ機密性（動作１８２）は、格納される間または通過中、各ＡＩＭＤによって、全体的あるいは部分的に、データ１８１上で実行される。データ機密性は、適切な権限のない、データ１８１のアクセス（動作１８３）、使用（動作１８４）、複製（動作１８５）、または開示（動作１８６）の試みに広がる。他の動作も可能である。
【００４６】
データ機密性は、いくつかの手段を通して導入可能である。例えば、ＡＩＭＤは、承認デバイスのアクセスリストおよび許容動作を保管可能である。同様に、データ１８１は、Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ（ＡＥＳ）等の対称暗号化を使用することによって、あるいはＲｉｖｅｓｔ、Ｓｈａｍｉｒ、Ａｄｌｅｍａｎ（ＲＳＡ）またはＥｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｇｒａｐｈｙ（ＥＣＣ）方式等の公開鍵基盤における公開と私有の鍵の対を使用する非対称暗号化を使用することによって、暗号化可能である。その結果、データ１８１は、有効な復号暗号および鍵を保有するそれらのデバイスに対してのみ利用可能となるであろう。また、データ機密性は、制限またはオープンアクセスによって、チャネル上で達成可能である。さらに他の形態のデータ機密性制御も可能である。
【００４７】
データ機密性がアクセスに焦点を当てるのに対し、データ完全性は、意図的または偶発的であるかにかかわらず、適切な権限のない他のデバイスによってデータの形態が変更され得ないことを保証する。例えば、データは、マルウェアによって、悪意を持って削除され得る、または伝送エラーのため、送信中に非意図的に変更され得る。図８は、図６の方法１７０において使用するためのデータ完全性セキュリティ制御１９０を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。同等のデータセキュリティ制御は、データが他のデバイスによって受信されている際にのみ、他のデバイスによって実装される必要がある。
【００４８】
したがって、データ完全性（動作１９２）は、単にデータ１９１のコンテンツに配慮するだけではない。データ完全性は、データ１９１の形態が、別のデバイスまたはＡＩＭＤ自体であり得る、発信元によって意図される状態のままであることを確認するステップを伴う。コマンドの場合、データ完全性は、コマンドの発行および伝送、ならびにコマンド自体の完全性を保護するステップを含む。基本形態では、データ完全性は、典型的には、その後の完全性確認を可能にするために、データのチェック、マーカ、または他の識別子を含めるステップを伴う。データ完全性は、データ１９１が、意図的、非意図的、または偶発的かにかかわらず、未承認の新規「データ」１９６として生成（動作１９３）、未承認の改ざん「データ」１９７に変更（動作１９４）、または結果的に損失された「データ」１９８となって削除（動作１９５）されていないという保証を提供する。他の動作も可能である。
【００４９】
また、データ完全性は、いくつかの手段を通して導入可能である。例えば、パリティ検査、巡回冗長コード、およびエラー訂正コード等の従来のエラー検出および訂正方式が、交換されるコマンドおよびデータ内に組み込まれ得る。同様に、デバイス製造番号等の固有の識別子が、製造時に割り当てられ、コマンドおよびデータ、ならびにタイムスタンプおよび未承の危険に対して情報を「ロック」する他の保護とともに含められることが可能である。また、データ完全性は、公開鍵基盤を通して提供されるデジタル証明書内に含まれる暗号署名等、データ機密性機構を通して供給可能である。さらに他の形態のデータ完全性制御も可能である。
【００５０】
ソース認証、または単なる「認証」は、他のデバイスによって、ＡＩＭＤに提示される身元の主張を検証する。結果として、ソース認証は、認証されていないデバイスがＡＩＭＤに要求を行なう場合は常に必要とされる。図９は、図６の方法１７０において使用するためのソース認証セキュリティ制御２００を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。同等のデータセキュリティ制御は、受信側ＡＩＭＤによる認証を可能にするために必要な範囲において、他のデバイスによって実装されなければならない。
【００５１】
ソース認証（動作２０２）は、従来の問い合わせデバイス、完全体外医療デバイス、および他のＡＩＭＤ等の別のデバイス２０４からのコマンドまたはデータ２０１の要求に応答して、体内デバイス２０３によって行なわれる。
【００５２】
ソース認証は、要求側デバイスと受信側ＡＩＭＤとの間で相互に構築される信頼形態である。信頼は、いくつかの手段を通して構築可能である。例えば、信頼は、Ｘ．５０９デジタル証明書等のデジタル証明書内に含まれる暗号署名等、データ機密性機構を通して構築可能であって、証明書２０６として、要求２０５とともに含められる。受信側体内デバイス２０３は、証明機関、または信頼できるエージェント、あるいは製造業者等の仲介業者から以前に受信した信頼できる証明書２０８と対照して、証明書２０６を認証するであろう。より単純な形態では、体内デバイス２０３は、既知かつ信頼されるそれらのデバイスを識別するアクセスリスト２０９を保管することが可能である。アクセスリスト２０９によって、要求側デバイス２０４は、証明書２０６のセットとともに要求２０５を提示することのみが必要とされ、また、デジタル的に署名も可能である。さらに他の形態のソース認証制御も可能である。
【００５３】
データ利用可能性は、データアクセスおよび利用規程よりもセキュリティ懸念は低い。本制御は、データおよびその責任ＡＩＭＤが、機能するセキュリティ制御とともにオンライン状態にあることを保証する。図１０は、図６の方法１７０において使用するためのデータ利用可能性セキュリティ制御２１０を示す、プロセスフロー図である。制御は、個別的なＡＩＭＤおよび多構成要素ＡＩＭＤの各構成要素の両方によって実装される。
【００５４】
データ利用可能性（動作２１１）は、データ２１２および関連付けられた体内デバイス２１３の両方が、例えば、ネットワーク１３９（図２に図示）を介して、他のデバイスに利用可能な場合、セキュリティ制御２１４が適切に機能していることが保証される。セキュリティ制御２１４は、論じられたデータ機密性１８２、データ完全性１９２、およびソース認証２０２セキュリティ制御を含むが、さらに他のセキュリティ制御も可能である。
【００５５】
データ利用可能性は、セキュリティ制御の一部として提供可能である。したがって、データ２１２および体内デバイス２１３へのアクセスは、セキュリティ制御２１４が動作不可能または別様にオフラインである場合、拒否される。さらに他の形態のデータ利用可能性制御も可能である。
【００５６】
本発明は、特に、その実施形態を参照して図示および説明されたが、当業者は、形態および詳細の上述ならびに他の変更が、本発明の精神および範囲から逸脱することなく、本明細書において成され得ることを理解するであろう。
【特許請求の範囲】
【請求項１】
能動的移植型医療デバイス（１０３、１１２）上の体内データセキュリティを提供するためのシステム（１３０）であって、
能動的移植型医療デバイス（１０３、１１２）を通して保管される、データ（１９１）と、
無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイス（１０３、１１２）との間で、該能動的移植型医療デバイス（１０３、１１２）上の該データ（１９１）を保護するためセキュリティ制御（１９０）と
を備え、
該セキュリティ制御（１９０）は、該他の能動的移植型医療デバイス（１０３、１１２）による、該データ（１９１）へのアクセス（１８３）および該データ（１９１）の使用（１８４）のうちの少なくとも１つを制限するためのデータ機密性（１７２）制御と、該データ（１９１）の形態への未承認の変更を防止するためのデータ完全性（１７３）制御とを備える、
システム（１３０）。
【請求項２】
前記他の能動的移植型医療デバイス（１０３、１１２）の身元を検証するためのソース認証（１７４）制御と、
前記データ（１９１）および該能動的移植型医療デバイス（１０３、１１２）が利用可能であり、かつデータセキュリティが機能していることを保証するためのデータ利用可能性（１７５）制御と
をさらに備える、請求項１に記載のシステム（１３０）。
【請求項３】
移植に先立って、前記能動的移植型医療デバイス（１０３、１１２）に割り当てられた固有の識別子をさらに備え、該固有の識別子は、該能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信と関連付けられている、請求項１に記載のシステム（１３０）。
【請求項４】
前記データ（１９１）の使用は、前記他の能動的移植型医療デバイス（１０３、１１２）による該データ（１９１）の複製（１８５）、および該他の能動的移植型医療デバイス（１０３、１１２）への該データ（１９１）の開示（１８６）のうちの１つ以上をさらに備える、請求項１に記載のシステム（１３０）。
【請求項５】
前記能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信に付随する完全性チェック（１９２）をさらに備え、該データ（１９１）の形態は、該完全性チェック（１９２）を該通信に適用することによって確認される、請求項１に記載のシステム（１３０）。
【請求項６】
前記データ（１９１）の形態の変更は、該データ（１９１）を生成（１９２）、修正（１９４）、および削除（１９５）するステップのうちの１つ以上をさらに備える、請求項１に記載のシステム（１３０）。
【請求項７】
認証されたデバイスの信頼できる証明書（２０８）およびアクセスリスト（２０９）のうちの少なくとも１つと対照して、前記他の能動的移植型医療デバイス（１０３、１１２）の身元を確認するためのアクセス制御をさらに備える、請求項１に記載のシステム（１３０）。
【請求項８】
前記データ（１９１）が利用可能でない、前記能動的移植型医療デバイス（１０３、１１２）が利用可能でない、または前記データセキュリティ制御（１９０）が機能していない場合、該能動的移植型医療デバイス（１０３、１１２）との通信を拒否するためのロック制御をさらに備える、請求項１に記載のシステム（１３０）。
【請求項９】
階層構造であって、
マスタデバイス（１５２）として構成される前記能動的移植型医療デバイス（１０３、１１２）のうちの１つと、スレーブデバイス（１５３ａ−ｃ）として構成される前記他の能動的移植型医療デバイス（１０３、１１２）とを含み、該マスタデバイス（１５２）は、該能動的移植型医療デバイス（１０３、１１２）間の通信を裁定する、
階層構造と、
ピアツーピア構造であって、
ピアデバイス（１５７ａ−ｃ）として構成される該能動的移植型医療デバイス（１０３、１１２）を含み、該能動的移植型医療デバイス（１０３、１１２）間の通信は、自己制御される、
ピアツーピア構造と
のうちの少なくとも１つを含む、体内ネットワーク構造を
さらに備える、請求項１に記載のシステム（１３０）。
【請求項１０】
前記能動的移植型医療デバイス（１０３、１１２）は、療法、感知、診断、および監視のうちの１つ以上から成る群から選択される機能を行なう、請求項１に記載のシステム（１３０）。
【請求項１１】
前記能動的移植型医療デバイス（１０３、１１２）は、個別的なシステム（１１２）および複数の相互動作する体内デバイスを含むシステムの分離された構成要素のうちの１つを備える、請求項１に記載のシステム（１３０）。
【請求項１２】
前記データ（１９１）は、ポイントツーポイント（１６０）、エンドツーエンド（１６１）、ブロードキャスト（１６２）、およびマルチキャスト（１６３）通信のうちの１つ以上によって、前記他のデバイスと交換される、請求項１に記載のシステム（１３０）。
【請求項１３】
前記能動的移植型医療デバイス（１０３、１１２）が、電磁波、音波、振動、化学、および光テレメトリのうちの１つ以上により、前記他のデバイスと通信するための無線インターフェースをさらに備える、請求項１に記載のシステム（１３０）。
【請求項１４】
前記データ（１９１）は、コマンド、患者データ、メタデータ、および他のデータ（１９１）から成る群から選択される、請求項１に記載のシステム（１３０）。
【請求項１５】
前記コマンドの発行、伝送、および完全性を安全にすることをさらに備える、請求項１４に記載のシステム（１３０）。
【請求項１６】
能動的移植型医療デバイス（１０３、１１２）上の体内データセキュリティを提供するための方法（１７０）であって、
能動的移植型医療デバイス（１０３、１１２）を通して、データ（１９１）を保管するステップと、
無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイス（１０３、１１２）との間で、該能動的移植型医療デバイス（１０３、１１２）上の該データ（１９１）を保護するステップと
を含み、
該保護するステップは、該他の能動的移植型医療デバイス（１０３、１１２）による、該データ（１９１）へのアクセス（１８３）および該データ（１９１）の使用（１８４）のうちの少なくとも１つを制限するステップと、該データ（１９１）の形態への未承認の変更を防止するステップとを含む、
方法（１７０）。
【請求項１７】
前記他の能動的移植型医療デバイス（１０３、１１２）の身元を検証するステップと、
前記データ（１９１）および該能動的移植型医療デバイス（１０３、１１２）が利用可能であり、かつデータセキュリティが機能していることを保証するステップと
をさらに含む、請求項１６に記載の方法（１７０）。
【請求項１８】
移植に先立って、前記能動的移植型医療デバイス（１０３、１１２）に固有の識別子を割り当てるステップと、
該固有の識別子を該能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信と関連付けるステップと
をさらに含む、請求項１６に記載の方法（１７０）。
【請求項１９】
前記データ（１９１）の使用は、前記他の能動的移植型医療デバイス（１０３、１１２）により該データ（１９１）を複製するステップ（１８５）、および該他の能動的移植型医療デバイス（１０３、１１２）へ該データ（１９１）を開示するステップ（１８６）のうちの１つ以上をさらに含む、請求項１６に記載の方法（１７０）。
【請求項２０】
前記能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信の完全性チェック（１９２）を含むステップと、
該完全性チェック（１９２）を該通信に適用することによって、該データ（１９１）の形態を確認するステップと
をさらに含む、請求項１６に記載の方法（１７０）。
【請求項２１】
前記データ（１９１）の形態の変更は、前記データ（１９１）の生成（１９３）、修正（１９４）、および削除（１９５）するステップのうちの１つ以上をさらに含む、請求項１６に記載の方法（１７０）。
【請求項２２】
認証されたデバイスの信頼できる証明書（２０８）およびアクセスリスト（２０９）のうちの少なくとも１つに照らして、前記他の能動的移植型医療デバイス（１０３、１１２）の身元を確認するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２３】
前記データ（１９１）が利用可能でない、前記能動的移植型医療デバイス（１０３、１１２）が利用可能でない、または前記データセキュリティ制御（１９０）が機能していない場合、該能動的移植型医療デバイス（１０３、１１２）との通信を拒否するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２４】
前記能動的移植型医療デバイス（１０３、１１２）のうちの１つをマスタデバイス（１５２）として、前記他の能動的移植型医療デバイス（１０３、１１２）をスレーブデバイス（１５３ａ−ｃ）として構成するステップであって、該マスタデバイス（１５２）は、該能動的移植型医療デバイス（１０３、１１２）間の通信を裁定する、ステップと、
該能動的移植型医療デバイス（１０３、１１２）をピアデバイス（１５７ａ−ｃ）として構成するステップであって、該能動的移植型医療デバイス（１０３、１１２）間の通信は、自己制御される、ステップと
のうちの少なくとも１つをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２５】
前記能動的移植型医療デバイス（１０３、１１２）は、療法、感知、診断、および監視のうちの１つ以上から成る群から選択される機能を行なう、請求項１６に記載の方法（１７０）。
【請求項２６】
前記能動的移植型医療デバイス（１０３、１１２）は、個別的なシステム（１１２）および複数の相互動作する体内デバイスを含むシステムの分離された構成要素のうちの１つを含む、請求項１６に記載の方法（１７０）。
【請求項２７】
ポイントツーポイント（１６０）、エンドツーエンド（１６１）、ブロードキャスト（１６２）、およびマルチキャスト（１６３）通信のうちの１つ以上によって、前記他のデバイスと前記データ（１９１）を交換するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２８】
電磁波、音波、振動、化学、および光テレメトリのうちの１つ以上により、前記能動的移植型医療デバイス（１０３、１１２）を前記他のデバイスと無線でインターフェース接続するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２９】
前記データ（１９１）は、コマンド、患者データ、メタデータ、および他のデータ（１９１）から成る群から選択される、請求項１６に記載の方法（１７０）。
【請求項３０】
前記コマンドの発行、伝送、および完全性を安全にするステップをさらに含む、請求項２９に記載の方法（１７０）。
【請求項３１】
請求項１６に記載の方法（１７０）を行なうためのコードを保持する、コンピュータ可読記憶媒体。
【請求項３２】
能動的移植型医療デバイス（１０３、１１２）上の体内データセキュリティを提供するための装置であって、
能動的移植型医療デバイス（１０３、１１２）を通して、データ（１９１）を保管する手段と、
無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイス（１０３、１１２）との間で、該能動的移植型医療デバイス（１０３、１１２）上の該データ（１９１）を保護する手段と
を含み、
該保護する手段は、該他の能動的移植型医療デバイス（１０３、１１２）による該データ（１９１）へのアクセス、および該データ（１９１）の使用のうちの少なくとも１つを制限する手段と、該データ（１９１）の形態への未承認の変更を防止する手段とを含む、
装置。
【請求項１】
能動的移植型医療デバイス（１０３、１１２）上の体内データセキュリティを提供するためのシステム（１３０）であって、
能動的移植型医療デバイス（１０３、１１２）を通して保管される、データ（１９１）と、
無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイス（１０３、１１２）との間で、該能動的移植型医療デバイス（１０３、１１２）上の該データ（１９１）を保護するためセキュリティ制御（１９０）と
を備え、
該セキュリティ制御（１９０）は、該他の能動的移植型医療デバイス（１０３、１１２）による、該データ（１９１）へのアクセス（１８３）および該データ（１９１）の使用（１８４）のうちの少なくとも１つを制限するためのデータ機密性（１７２）制御と、該データ（１９１）の形態への未承認の変更を防止するためのデータ完全性（１７３）制御とを備える、
システム（１３０）。
【請求項２】
前記他の能動的移植型医療デバイス（１０３、１１２）の身元を検証するためのソース認証（１７４）制御と、
前記データ（１９１）および該能動的移植型医療デバイス（１０３、１１２）が利用可能であり、かつデータセキュリティが機能していることを保証するためのデータ利用可能性（１７５）制御と
をさらに備える、請求項１に記載のシステム（１３０）。
【請求項３】
移植に先立って、前記能動的移植型医療デバイス（１０３、１１２）に割り当てられた固有の識別子をさらに備え、該固有の識別子は、該能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信と関連付けられている、請求項１に記載のシステム（１３０）。
【請求項４】
前記データ（１９１）の使用は、前記他の能動的移植型医療デバイス（１０３、１１２）による該データ（１９１）の複製（１８５）、および該他の能動的移植型医療デバイス（１０３、１１２）への該データ（１９１）の開示（１８６）のうちの１つ以上をさらに備える、請求項１に記載のシステム（１３０）。
【請求項５】
前記能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信に付随する完全性チェック（１９２）をさらに備え、該データ（１９１）の形態は、該完全性チェック（１９２）を該通信に適用することによって確認される、請求項１に記載のシステム（１３０）。
【請求項６】
前記データ（１９１）の形態の変更は、該データ（１９１）を生成（１９２）、修正（１９４）、および削除（１９５）するステップのうちの１つ以上をさらに備える、請求項１に記載のシステム（１３０）。
【請求項７】
認証されたデバイスの信頼できる証明書（２０８）およびアクセスリスト（２０９）のうちの少なくとも１つと対照して、前記他の能動的移植型医療デバイス（１０３、１１２）の身元を確認するためのアクセス制御をさらに備える、請求項１に記載のシステム（１３０）。
【請求項８】
前記データ（１９１）が利用可能でない、前記能動的移植型医療デバイス（１０３、１１２）が利用可能でない、または前記データセキュリティ制御（１９０）が機能していない場合、該能動的移植型医療デバイス（１０３、１１２）との通信を拒否するためのロック制御をさらに備える、請求項１に記載のシステム（１３０）。
【請求項９】
階層構造であって、
マスタデバイス（１５２）として構成される前記能動的移植型医療デバイス（１０３、１１２）のうちの１つと、スレーブデバイス（１５３ａ−ｃ）として構成される前記他の能動的移植型医療デバイス（１０３、１１２）とを含み、該マスタデバイス（１５２）は、該能動的移植型医療デバイス（１０３、１１２）間の通信を裁定する、
階層構造と、
ピアツーピア構造であって、
ピアデバイス（１５７ａ−ｃ）として構成される該能動的移植型医療デバイス（１０３、１１２）を含み、該能動的移植型医療デバイス（１０３、１１２）間の通信は、自己制御される、
ピアツーピア構造と
のうちの少なくとも１つを含む、体内ネットワーク構造を
さらに備える、請求項１に記載のシステム（１３０）。
【請求項１０】
前記能動的移植型医療デバイス（１０３、１１２）は、療法、感知、診断、および監視のうちの１つ以上から成る群から選択される機能を行なう、請求項１に記載のシステム（１３０）。
【請求項１１】
前記能動的移植型医療デバイス（１０３、１１２）は、個別的なシステム（１１２）および複数の相互動作する体内デバイスを含むシステムの分離された構成要素のうちの１つを備える、請求項１に記載のシステム（１３０）。
【請求項１２】
前記データ（１９１）は、ポイントツーポイント（１６０）、エンドツーエンド（１６１）、ブロードキャスト（１６２）、およびマルチキャスト（１６３）通信のうちの１つ以上によって、前記他のデバイスと交換される、請求項１に記載のシステム（１３０）。
【請求項１３】
前記能動的移植型医療デバイス（１０３、１１２）が、電磁波、音波、振動、化学、および光テレメトリのうちの１つ以上により、前記他のデバイスと通信するための無線インターフェースをさらに備える、請求項１に記載のシステム（１３０）。
【請求項１４】
前記データ（１９１）は、コマンド、患者データ、メタデータ、および他のデータ（１９１）から成る群から選択される、請求項１に記載のシステム（１３０）。
【請求項１５】
前記コマンドの発行、伝送、および完全性を安全にすることをさらに備える、請求項１４に記載のシステム（１３０）。
【請求項１６】
能動的移植型医療デバイス（１０３、１１２）上の体内データセキュリティを提供するための方法（１７０）であって、
能動的移植型医療デバイス（１０３、１１２）を通して、データ（１９１）を保管するステップと、
無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイス（１０３、１１２）との間で、該能動的移植型医療デバイス（１０３、１１２）上の該データ（１９１）を保護するステップと
を含み、
該保護するステップは、該他の能動的移植型医療デバイス（１０３、１１２）による、該データ（１９１）へのアクセス（１８３）および該データ（１９１）の使用（１８４）のうちの少なくとも１つを制限するステップと、該データ（１９１）の形態への未承認の変更を防止するステップとを含む、
方法（１７０）。
【請求項１７】
前記他の能動的移植型医療デバイス（１０３、１１２）の身元を検証するステップと、
前記データ（１９１）および該能動的移植型医療デバイス（１０３、１１２）が利用可能であり、かつデータセキュリティが機能していることを保証するステップと
をさらに含む、請求項１６に記載の方法（１７０）。
【請求項１８】
移植に先立って、前記能動的移植型医療デバイス（１０３、１１２）に固有の識別子を割り当てるステップと、
該固有の識別子を該能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信と関連付けるステップと
をさらに含む、請求項１６に記載の方法（１７０）。
【請求項１９】
前記データ（１９１）の使用は、前記他の能動的移植型医療デバイス（１０３、１１２）により該データ（１９１）を複製するステップ（１８５）、および該他の能動的移植型医療デバイス（１０３、１１２）へ該データ（１９１）を開示するステップ（１８６）のうちの１つ以上をさらに含む、請求項１６に記載の方法（１７０）。
【請求項２０】
前記能動的移植型医療デバイス（１０３、１１２）との前記データ（１９１）の各通信の完全性チェック（１９２）を含むステップと、
該完全性チェック（１９２）を該通信に適用することによって、該データ（１９１）の形態を確認するステップと
をさらに含む、請求項１６に記載の方法（１７０）。
【請求項２１】
前記データ（１９１）の形態の変更は、前記データ（１９１）の生成（１９３）、修正（１９４）、および削除（１９５）するステップのうちの１つ以上をさらに含む、請求項１６に記載の方法（１７０）。
【請求項２２】
認証されたデバイスの信頼できる証明書（２０８）およびアクセスリスト（２０９）のうちの少なくとも１つに照らして、前記他の能動的移植型医療デバイス（１０３、１１２）の身元を確認するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２３】
前記データ（１９１）が利用可能でない、前記能動的移植型医療デバイス（１０３、１１２）が利用可能でない、または前記データセキュリティ制御（１９０）が機能していない場合、該能動的移植型医療デバイス（１０３、１１２）との通信を拒否するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２４】
前記能動的移植型医療デバイス（１０３、１１２）のうちの１つをマスタデバイス（１５２）として、前記他の能動的移植型医療デバイス（１０３、１１２）をスレーブデバイス（１５３ａ−ｃ）として構成するステップであって、該マスタデバイス（１５２）は、該能動的移植型医療デバイス（１０３、１１２）間の通信を裁定する、ステップと、
該能動的移植型医療デバイス（１０３、１１２）をピアデバイス（１５７ａ−ｃ）として構成するステップであって、該能動的移植型医療デバイス（１０３、１１２）間の通信は、自己制御される、ステップと
のうちの少なくとも１つをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２５】
前記能動的移植型医療デバイス（１０３、１１２）は、療法、感知、診断、および監視のうちの１つ以上から成る群から選択される機能を行なう、請求項１６に記載の方法（１７０）。
【請求項２６】
前記能動的移植型医療デバイス（１０３、１１２）は、個別的なシステム（１１２）および複数の相互動作する体内デバイスを含むシステムの分離された構成要素のうちの１つを含む、請求項１６に記載の方法（１７０）。
【請求項２７】
ポイントツーポイント（１６０）、エンドツーエンド（１６１）、ブロードキャスト（１６２）、およびマルチキャスト（１６３）通信のうちの１つ以上によって、前記他のデバイスと前記データ（１９１）を交換するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２８】
電磁波、音波、振動、化学、および光テレメトリのうちの１つ以上により、前記能動的移植型医療デバイス（１０３、１１２）を前記他のデバイスと無線でインターフェース接続するステップをさらに含む、請求項１６に記載の方法（１７０）。
【請求項２９】
前記データ（１９１）は、コマンド、患者データ、メタデータ、および他のデータ（１９１）から成る群から選択される、請求項１６に記載の方法（１７０）。
【請求項３０】
前記コマンドの発行、伝送、および完全性を安全にするステップをさらに含む、請求項２９に記載の方法（１７０）。
【請求項３１】
請求項１６に記載の方法（１７０）を行なうためのコードを保持する、コンピュータ可読記憶媒体。
【請求項３２】
能動的移植型医療デバイス（１０３、１１２）上の体内データセキュリティを提供するための装置であって、
能動的移植型医療デバイス（１０３、１１２）を通して、データ（１９１）を保管する手段と、
無線でインターフェース接続される少なくとも１つの他の能動的移植型医療デバイス（１０３、１１２）との間で、該能動的移植型医療デバイス（１０３、１１２）上の該データ（１９１）を保護する手段と
を含み、
該保護する手段は、該他の能動的移植型医療デバイス（１０３、１１２）による該データ（１９１）へのアクセス、および該データ（１９１）の使用のうちの少なくとも１つを制限する手段と、該データ（１９１）の形態への未承認の変更を防止する手段とを含む、
装置。
【図１】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図５Ｃ】
【図５Ｄ】
【図６】
【図７】
【図８】
【図９】
【図１０】
【図２】
【図３】
【図４】
【図５Ａ】
【図５Ｂ】
【図５Ｃ】
【図５Ｄ】
【図６】
【図７】
【図８】
【図９】
【図１０】
【公表番号】特表２０１０−５３６４２０（Ｐ２０１０−５３６４２０Ａ）
【公表日】平成２２年１２月２日（２０１０．１２．２）
【国際特許分類】
【出願番号】特願２０１０−５２１０５５（Ｐ２０１０−５２１０５５）
【出願日】平成２０年５月１５日（２００８．５．１５）
【国際出願番号】ＰＣＴ／ＵＳ２００８／０６３７６９
【国際公開番号】ＷＯ２００９／０２３３２８
【国際公開日】平成２１年２月１９日（２００９．２．１９）
【出願人】（５０５００３５２８）カーディアック ペースメイカーズ， インコーポレイテッド (466)
【Ｆターム（参考）】
【公表日】平成２２年１２月２日（２０１０．１２．２）
【国際特許分類】
【出願日】平成２０年５月１５日（２００８．５．１５）
【国際出願番号】ＰＣＴ／ＵＳ２００８／０６３７６９
【国際公開番号】ＷＯ２００９／０２３３２８
【国際公開日】平成２１年２月１９日（２００９．２．１９）
【出願人】（５０５００３５２８）カーディアック ペースメイカーズ， インコーポレイテッド (466)
【Ｆターム（参考）】
[ Back to top ]