CN102656585B - 授权受限功能的系统和方法 - Google Patents

Abstract

本发明的实施例涉及用于控制受限功能的授权的医疗系统和方法，以及其他。在一实施例中，本发明包括包含外部医疗设备编程器的医疗系统，所述编程器包括控制电路和无线控制模块，所述无线控制模块用于将选自一组指令的指令无线地发送至特定的被植入医疗设备。在一实施例中，该外部医疗设备编程器可被设置为：如果该用户输入将受限指令的传递引导至该特定的被植入医疗设备，则发起验证数据至远程密钥授权机构的传送来请求许可，该验证数据包括有关该特定的所植入医疗设备的信息。本文还包括其它实施例。

Description

授权受限功能的系统和方法

本申请被提交作为2010年12月5日的PCT国际专利申请，以美国公司CardiacPacemakers有限公司（作为除美国外的所有国家的指定申请人）和美国公民ScottR.Stubbs和美国公民HitenJ.Doshi（作为仅美国的指定申请人）的名义，且要求在2009年12月16日提交的美国临时申请No.61/287,012的优先权，该临时申请的内容通过参考全部并入此处。

技术领域

本公开大体涉及医疗设备，且更具体地，涉及用于控制受限功能的授权的医疗系统和方法，以及其他。

背景技术

植入式医疗设备一般被用于治疗具有各种病症的病人。以示例的方式，诸如心动过速、心搏徐缓和心力衰竭等之类的心脏病症，现在常规地使用可植入心律管理（CRM）设备来治疗。此外，诸如癫痫症、慢性疼痛、帕金森病、以及抑郁症现在可使用可植入神经刺激设备来治疗。

带有这样的可植入设备的病人可为随访预约而定期见临床医生。在这些随访预约中，临床医生可执行编程任务，诸如调整被植入设备的治疗设定以及获取并查看由该设备所收集的数据。为了执行这些任务，临床医生一般使用外部设备，诸如编程器或编程器-记录器-监测仪（PRM）设备从而询查被植入医疗设备并在需要时将其重新编程。

发明内容

本发明的实施例涉及用于控制受限功能的授权的医疗系统方法，以及其他。在一实施例中，本发明包括包含外部医疗设备编程器的医疗系统，所述编程器包括控制电路和无线通信模块，该无线通信模块用于将选自一组指令的指令无线地发送至特定的被植入医疗设备，所述一组指令包括受限和非受限的指令。该外部医疗设备编程器可被设置为从系统用户处接收输入，该输入是关于来自所述一组指令的哪些指令将被传递至所述特定的被植入医疗设备。该外部医疗设备编程器可被设置为：如果该用户输入将受限指令的传递引导至该特定的被植入医疗设备，则发起验证数据至远程密钥授权机构的传送以请求许可，该验证数据包括有关该特定的所植入医疗设备的信息。还有，该外部医疗设备编程器可被设置为：如果许可被授予，则从远程密钥授权机构处接收数字密钥，该数字密钥有效地允许外部编程器在特定的被植入设备上实现受限指令，其中该数字密钥对于定义时间段有效。

在一实施例中，本发明包括医疗系统，该医疗系统包括可植入医疗设备、包含包括控制电路和无线通信模块的外部医疗设备编程器、以及包括处理器的远程密钥授权机构。该外部医疗设备编程器可被设置为将选自一组指令的指令无线地发送至被植入医疗设备，该组指令包括受限的和非受限的指令。该外部医疗设备编程器还可被设置为从系统用户处接收有关要被传递至可植入医疗设备的指令的输入。该外部医疗设备编程器还可被设置为：如果该用户输入将受限指令的传递引导至可植入医疗设备，则发起数据至远程密钥授权机构的传送以请求许可，该数据包括有关该可植入医疗设备的信息。该外部医疗设备编程器还可被设置为：如果许可被授予的话，则从该远程密钥授权机构处接收数字密钥，其能使得外部医疗设备编程器在该可植入医疗设备上实现受限指令。

在一实施例中，本发明包括用于限制传递至被植入医疗设备的编程指令的方法。该方法可包括用外部医疗设备编程器从系统用户处接收对特定的被植入医疗设备的指令。该方法还可包括，如果该指令是受限指令的话，从外部医疗设备编程器发送有关该特定的所植入医疗设备的信息到远程密钥授权机构。该方法还可包括从该远程密钥授权机构处接收数字密钥，该数字密钥被设置为能使该外部医疗设备编程器实现该受限指令。

本概述是本申请一部分教义的综述而不旨在作为本主题事项的排他性或穷尽性处理。更多的细节可在详细说明和所附权利要求书中找到。一旦本领域普通技术人员阅读和理解了下面的详细说明并参照作为说明书一部分的附图后，其它方面将变得显而易见，且每张附图不应当视为有限定的含义。本发明的范围由所附权利要求书及其法律等效方案界定。

附图简述

结合下面的附图可更完整的理解本发明，在附图中：

图1是与此处公开的技术的至少一个实施例相一致的系统的示意图。

图2是根据此处公开的技术的至少一个实施例的流程图。

图3是根据此处公开的技术的至少一个实施例的流程图。

图4是根据此处公开的技术的至少一个实施例的流程图。

图5是根据此处公开的技术的至少一个实施例的各种编程器设备组件的示意图。

图6是根据此处公开的技术的至少一个实施例的各种可植入医疗设备组件的示意图。

虽然本发明可接受各种修改和替代形式，但其特例已通过附图和示例方式示出并将对其进行详细描述。然而应该理解，本发明并不限于所描述的特定实施例。相反，其旨在覆盖落入本发明的精神和范围内的修改、等效方案和替代。

具体实施方式

带有传递治疗的可植入设备的病人可为随访预约而定期见临床医生。在这些随访预约期间，临床医生通常执行任务，诸如调整被植入设备的治疗设定以及获取并查看由该设备所收集的数据。为了执行这些任务，临床医生一般使用外部设备，诸如编程器或编程器-记录器-监测仪（PRM）设备从而询查被植入医疗设备并在需要时将指令发送到该医疗设备用于重新编程。

然而，可能偶尔变得需要采取并不是常规的步骤。例如，可能变得需要更新该设备的固件或者触发系统重置。尽管提供可通过其而采取所述步骤的机制是重要的，但是同样重要的是，保持控制如何以及何时采取这样类型的非常步骤，并防止系统用户意外地采取这样的步骤。

本发明的实施例通过控制受限的系统功能可如何地被接合（engaged）和/或实现，可帮助避免可能的问题。由此，本发明的实施例可确保在必要时可采取特定的非典型步骤，同时对非典型步骤维持控制，藉此确保病人安全。

图1是示例性实现的示意图，其与本发明的至少一个实施例一致。可植入医疗设备114被设置在病人112体内。该可植入医疗设备114可包括位于病人心脏126附近的一个或多个刺激引线122。

可植入医疗设备114可与外部医疗设备编程器116通信。在一些实施例中，可植入医疗设备114可无线地与外部医疗设备编程器116通信。可使用各种类型的无线技术从而辅助外部医疗设备编程器116和可植入医疗设备114之间的通信。以示例的方式，可通过感应、射频（RF）传输、声学等执行通信。

该可植入医疗设备114可被设置为收集数据并传输数据至外部医疗设备编程器116。例如，该可植入医疗设备114可包括传感器并收集数据，诸如心率数据、电描记图数据、压力数据、容积数据、流速数据、温度数据、化学分析物数据、活动数据、和/或加速度计数据之类。该可植入医疗设备114可将实时数据传输至外部医疗设备编程器116。在一些实施例中，该外部医疗设备编程器116可通过视频输出118显示该实时数据。

该外部医疗设备编程器116还可传送指令至可植入医疗设备114从而控制其功能。该指令可被选自一组可能的指令。该组指令可包括受限和非受限的指令。受限指令可包括在可植入医疗设备114上实现之前需要授权的那些指令。非受限指令可包括在可植入医疗设备114上实现之前不需要授权的那些指令。将在下文更详细地提供受限和非受限指令的示例。进一步，该外部医疗设备编程器116可从系统用户处接收输入，该输入是关于来自所述一组指令的哪些指令将被传递至所述特定的被植入医疗设备。

该外部医疗设备编程器116可以是能将指令发送至可植入医疗设备114的任意类型的设备或设备的组合。在很多实施例中，外部医疗设备编程器116是编程器/记录器/监测仪设备。示例性编程器/记录器/监视仪设备包括可从马萨诸塞内蒂克的波士顿科技公司（BostonScientificCorporation,Natick,MA）购得的3120型编程器。然而，可以理解的是外部医疗设备编程器116还可采用其他形式，诸如家用监测系统或高级病人管理系统之类。一种示例性家用监测系统是从马萨诸塞州内蒂克的波士顿科技公司获得的高级病人管理系统。示例性家用监视系统的各个方面描述于美国专利No.6,978,182中，其内容通过引用全文纳入于此。

外部医疗设备编程器116可与通信网络130相通信。通信网络130可以是各种类型，诸如LAN、WAN、电话网络、因特网等。通过通信网络130，外部医疗设备编程器116可直接或间接与远程密钥授权机构132通信。在一些实施例中，通过通信网络130的通信包括人类的干涉。在其他实施例中，通过通信网络130的通信完全是自动的。

外部医疗设备编程器116可被设置为：如果用户输入将受限指令的传递引入被植入医疗设备114，则从远程密钥授权机构132请求许可。在一些实施例中，外部医疗设备编程器116还可被设置为：如果用户输入将受限指令的传递引入被植入医疗设备114，在请求许可的环境中，发起验证数据至远程密钥授权机构132的传送传送。验证数据可包括对于所讨论的特定被植入医疗设备114而专用的、和/或对于被植入所述医疗设备的病人而专用的信息。例如，验证数据可包括病人名字、病人标识号、设备序列号等。

远程密钥授权机构132可包括各种组件。以示例的方式，远程密钥授权机构132可包括服务器134。服务器134可包括诸如处理器136、存储器138、输入/输出接口140等之类的组件。该存储器可具有存储于其上的指令，能使远程密钥授权机构执行此处描述的各步骤和方法。以示例的方式，存储器可具有在其上存储的使得远程密钥授权机构执行如图3中所示步骤的指令。

远程密钥授权机构132可被设置为评估接收自外部医疗设备编程器116和/或由外部医疗设备编程器116发起的对于许可的请求。在一些实施例中，远程密钥授权机构132可被设置为在自动响应和请求来自授权系统专家（authoritativesystemexpert）152的人类输入之间选择。例如，一些受限指令可以是“系统可决定的”，其中该系统基于受限指令的特定本质和有关病人和/或所讨论的特定被植入设备的事实，可授权或拒绝实现受限指令的许可。其他受限指令可以是“系统不可决定的”，其中在能给予或拒绝对于受限指令的许可之前，系统必须诉诸于寻求来自授权系统专家152的人类输入。

如果远程密钥授权机构132授权许可外部医疗设备编程器来实现受限指令，那么该远程密钥授权机构132可通过产生数字密钥（该数字密钥诸如是加密的数字密钥），并将该数字密钥发送至外部医疗设备编程器116来实现这一点。该数字密钥能使该外部医疗设备编程器116在可植入医疗设备上实现该受限指令。在一些实施例中，该数字密钥可包括一系列整数。

可理解的是有很多方法来产生数字密钥。例如，数字密钥产生的各方面可在美国专利No.4,218,582中找到。在一些实施例中，加密的数字密钥可包括从原始地由外部医疗设备编程器116传送到远程密钥授权机构132的验证数据中提取出来的信息。例如，来自验证数据的数据可被用作通行码，且可使用诸如SHA-1或SHA-2之类的利用加密哈希函数的密钥产生算法来产生密钥。在一些实施例中，可使用利用有关特定病人的数据、有关特定受限指令的信息、和/或当前日间时作为输入的算法来产生密钥。

在一些实施例中，加密的数字密钥可有效地允许外部医疗设备编程器116在可植入医疗设备上实现受限指令仅长达受限的时间段，诸如仅长达当前编程进程或仅长达预先定义的有限时间段。例如，在一些实施例中，加密的数字密钥可有效地允许外部医疗设备编程器116在可植入医疗设备上实现受限指令仅长达在外部医疗设备编程器116和被植入医疗设备114之间的当前编程进程一样长。在一些实施例中，加密的数字密钥可有效地允许外部医疗设备编程器116在可植入医疗设备上实现受限指令仅长达预先定义的有限时间段。以示例的方式，在一些实施例中，加密的数字密钥可仅在长达小于或等于48小时的时间段有效。在一些实施例中，加密的数字密钥可仅在长达小于或等于24小时的时间段有效。在一些实施例中，加密的数字密钥可仅在长达小于或等于12小时的时间段有效。在一些实施例中，加密的数字密钥可仅在长达小于或等于2小时的时间段有效。

如上所述，从外部医疗设备编程器传送至特定被植入医疗设备的一组所有可能的指令可包括非受限和受限指令。非受限指令可包括在可植入医疗设备上实现之前不需要授权的那些指令。非受限指令可包括诸如涉及治疗的那些指令之类的通用指令（如，起搏模式、刺激幅度、脉冲宽度、刺激速率等）。

受限指令可包括在可植入医疗设备上实现之前需要授权的那些指令。受限指令的示例可包括但不限于，系统重置、固件更新、将软件重载至可植入医疗设备、使得可植入医疗设备的特定特征或功能可用或不可用，等。受限指令可进一步包括管制受限的和非管制受限的指令。管制受限的指令是那些在指令的实现之前或之后可需要与管制机构(regulatorybody)相关的动作的那些指令。例如，一些指令的实现可能在实现之后，需要可植入设备制造商来通知管制机构。作为另一个示例，一些指令的实现可能在实现之前需要管制机构的在先批准。

图2是根据此处公开的技术的至少一个实施例的流程图。在操作202中，外部医疗设备编程器可询查被植入医疗设备。询查可包括建立与被植入医疗设备的通信并查询且接收有关此特定被植入医疗设备和/或其中植入了该被植入医疗设备的病人的信息。在另一个操作204中，外部医疗设备编程器可从系统用户处接收编程指令。该编程指令可被选自包括受限和非受限指令的一组指令。

在另一个操作206中，该外部医疗设备编程器可确定指令是否包括受限指令。尽管可使用各种技术，在至少一个实施例中，外部医疗设备编程器可通过为每一个指令而查询指示该特定指令是否是受限的数据库而确定该指令是否包括受限指令。

如果指令不包括受限指令，那么该系统可继续到另一个操作216，其中在被植入医疗设备上实现该指令。在被植入医疗设备上实现该指令可包括物理地将该指令发送达到被植入医疗设备上、或使得该指令在被植入医疗设备上生效。

然而，如果该指令的确包括受限指令，那么在操作208中，该外部医疗设备编程器可从远程密钥授权机构处请求许可。在请求许可之后，在操作210中，外部医疗设备编程器可确定该许可是否被授予了。如果许可没有被授予，那么在操作212中，外部医疗设备编程器可提醒系统用户，该许可被拒绝了，从而结束该过程。可通过各种方式进行提醒，诸如屏幕上的文本（如，弹出框，等）、音频提示等。然而，如果许可已经被授予了，那么在操作214中，外部医疗设备编程器可从远程密钥授权机构处接收数字密钥。在接收数字密钥之后，在另一个操作216中，该系统可在被植入医疗设备上实现指令。最后，在操作218中，外部医疗设备编程器可创建有关该事务（transaction）的日志条目。该日志条目可被本地地存储在外部医疗设备编程器上、存储在该外部医疗设备编程器可通信的计算机上、或被推送在该被植入医疗设备本身。

图3是根据此处公开的技术的至少一个实施例的流程图。在操作302中，远程密钥授权机构可接收有关受限指令的许可请求以及有关于发送或发起该请求的特定外部医疗设备编程器、特定的被植入医疗设备、或被植入该医疗设备的特定病人的标识信息。

在操作304中，该远程密钥授权机构可确定该请求是否是针对系统可确定的指令。尽管可使用各种技术，在至少一个实施例中，该远程密钥可通过查询基于该受限指令的标识或类型而指示该受限指令是否是可确定的数据库而确定该请求是否是针对系统可确定的指令。

如果该请求不是针对系统可确定的指令，那么，在其中评估该许可是否应该被授予的在操作308之前，在操作306中，该远程密钥授权机构可查询授权系统专家。然而，如果该请求是针对系统可确定的指令，那么该远程密钥授权机构可在操作308中继续评估是否应授予许可，而不必查询授权系统专家。

如果在操作308中确定该许可不应该被授予，那么在操作310中，该远程密钥授权机构可发送该许可被拒绝的通知给外部医疗设备编程器。然而，如果在操作308中确定该许可应该被授予，那么在操作312中，该远程密钥授权机构可发送数字密钥给外部医疗设备编程器。在操作314中，远程密钥授权机构可创建有关该事务的日志（如，请求和所提供的响应）。该日志条目可被本地地存储在该远程密钥授权机构上、存储在该远程密钥授权机构可通信的计算机上、在外部医疗设备编程器上、或者在被植入医疗设备本身。

在一些实施例中，被植入医疗设备本身可为受限指令发出对来自远程密钥授权机构的许可的请求。例如，在一些实施例中，并非该外部医疗设备编程器用作看门人（gatekeeper）并基于将受限指令的传递引导至该特定所植入医疗设备的用户输入而发送或发起对许可请求，而是该被植入医疗设备本身可发起对来自远程密钥授权机构的许可的请求。图4是根据此处公开的技术的至少一个实施例的流程图。在第一操作402中，被植入医疗设备可从编程器设备接收编程指令。然后，在操作404中，被植入医疗设备可确定该指令是否包括受限指令。如果该指令不包括受限指令，那么，在操作412中，被植入医疗设备可继续实现该指令。

然而，如果该指令的确包括受限指令，那么在操作406中，该被植入医疗设备可发起对来自远程密钥授权机构处的许可的请求。例如，发起对来自远程密钥授权机构的许可的请求可包括将提醒发回到外部医疗设备编程器，该提醒表示在特定指令可被实现之前，必须由远程密钥授权机构授予许可。在一些实施例中，发起对于来自远程密钥授权机构的许可的请求可包括使得该请求直接发送至远程密钥授权机构。

在操作408中，被植入医疗设备可确定是否已经从远程密钥授权机构接收到了形式为数字密钥的许可。如果还没有收到数字密钥，那么，在操作410中，被植入医疗设备可通知外部医疗设备编程器，关于该受限指令的许可已被拒绝。然而，如果已经接收到数字密钥，那么，在操作412中，被植入医疗设备可继续实现该指令。在实现指令之后，在操作414中，被植入医疗设备可继续创建有关该事务的日志条目。

可理解的是，各实施例的外部医疗设备编程器可包括各种特定组件从而实现此处描述的特定功能和方法。现在参看图5，根据本发明的实施例而示出可被包括在外部医疗设备编程器中的各种组件的图。该系统可包括控制电路，该控制电路包括，例如，中央处理单元(CPU)505或处理器，它可包括传统的微处理器、用于暂存信息的随机存取存储器(RAM)510、以及用于永久存储信息的只读存储器(ROM)515。存储器（RAM和/或ROM）可具有存储在其上使得外部医疗设备编程器执行此处描述的各种步骤和方法的指令。以示例的方式，存储器可具有存储在其上的使得外部医疗设备编程器实现根据图2的步骤的指令。存储器控制器520用以控制系统RAM510。总线控制器525用以控制数据总线530，并使用中断控制器535来接收和处理来自其它系统组件的各类中断信号。

可通过磁盘驱动器541、CD-ROM驱动器546、和/或硬盘驱动器551提供海量存储，盘驱动器541通过控制器540连接于总线530，CD-ROM驱动器546通过控制器545连接于总线530，硬盘驱动器551通过控制器550连接于总线530。对系统的用户输入可通过多个设备提供。例如，键盘和鼠标可通过键盘和鼠标控制器555连接于总线530。DMA控制器560用以执行对系统RAM510的直接存储器访问。可视显示由视频控制器565产生，视频控制器565控制视频显示器570。系统也可包括遥感接口电路590或无线通信模块，它们允许系统与可植入医疗设备接口并交换数据。可理解的是在各实施例中，并不是图5中所示的所有组件都可出现。

现在参见图6，图中示意地示出示例的可植入系统600的一些组件。然而，可理解的是在一些实施例中，可省略图6中所示的控制器模块672的一些元件。进一步，在一些实施例中，可包括附加元件。可植入医疗系统600可包括耦合至一个或多个刺激引线630和628的控制器模块672。控制器模块672可包括与存储器648通信的微处理器646(或处理器)。存储器646通常包括用于程序存储的ROM或RAM以及用于数据存储的RAM。控制器模块672可被设置为执行诸如此处描述的方法的执行之类的各种操作。还提供遥测接口664以与诸如编程器设备或患者管理系统的外部单元通信。

在一些实施例中，控制器模块672可包括心室感测和起搏通道，其包括感测放大器652、输出电路654、以及与微处理器648的端口双向通信的心室通道接口650。心室感测和起搏通道可与刺激引线630和电极634通信。

在一些实施例中，控制器模块672可包括心房感测和起搏通道，其包括感测放大器658、输出电路660、以及与微处理器648的端口双向通信的心房通道接口656。心房感测和起搏通道可与刺激引线628和电极632通信。对于每个通道而言，相同的引线和电极既可用于感测也可用于起搏。

通道接口650、656可包括用于对来自感测放大器的感测信号输入进行数字化的模-数转换器，和可由微处理器写入的寄存器，以便输出脉冲，改变起搏脉冲幅度，并调节感测放大器的增益和阈值。在一些实施例中，冲击脉冲发生器674也可被接口至该微处理器，用于经由单独的一对电极676、678将去颤冲击传递至心脏。在一些实施例中，电极676和678可分别被沿刺激引线630和刺激引线628而设置。

要注意到，在说明书以及所附权利要求书中所使用地，单数形式的“一”、“一个”以及“该”包括复数引用，除非该内容另外明确地指出相反情形。还要注意到术语“或”基本用于包括“和/或”的语境中，除非内容明确地指出相反情形。

还要注意，如在说明书以及所附权利要求书中所使用地，短语“被配置成”表示构造或配置成执行特定任务或采用特殊配置的系统、装置或其它结构。短语“被配置成”可与诸如“被布置成”、“被布置和配置成”、“被构造和布置成”、“被构造成”、“被制造和布置成”及其类似物的其它相似短语互换地使用。

本领域内技术人员将理解，本文结合本发明各实施例展示和描述的模块、电路和方法可使用软件、硬件以及软件和硬件的组合来实现。同样，所展示和/或描述的模块和电路旨在涵盖软件实现、硬件实现以及软件和硬件实现。

本说明书中的全部公开物和专利申请指示的是本发明所属领域普通技术人员能够理解的程度。在此说明书中涉及的所有出版物和专利申请通过引用以与如同通过引用特别地和单独地指出各个个别出版物或专利申请的程度结合在本文中。

本申请旨在覆盖本主题事项的改型或者变体。应当理解，以上描述旨在是说明性而非限制性。本主题事项的范围应参考所附权利要求书以及使这些权利要求享有权利的等效方案的全部范围来确定。

Claims (14)

1.一种医疗系统，包括：

外部医疗设备编程器，所述外部医疗设备编程器包括控制电路和无线控制模块，所述无线控制模块用于将选自一组指令的指令无线地发送至特定的被植入医疗设备，所述一组指令包括受限和非受限的指令；和

远程密钥授权机构，被设置为评估接收自所述外部医疗设备编程器的对于许可的请求；

所述外部医疗设备编程器被设置为从系统用户处接收输入，所述输入是关于来自所述一组指令的哪些指令将被传递至所述特定的被植入医疗设备；

所述外部医疗设备编程器被设置为确定所述用户输入是否将受限或非受限指令的传递引导至所述特定的被植入医疗设备，并且如果所述用户输入将受限指令的传递引导至所述特定的被植入医疗设备，则所述外部医疗设备编程器发起验证数据传送至所述远程密钥授权机构并请求来自所述远程密钥授权机构的许可，所述验证数据包括有关所述特定的被植入医疗设备的信息；

如果所述远程密钥授权机构授予许可给所述外部医疗设备编程器，所述远程密钥授权机构被配置为发送数字密钥给所述外部医疗设备编程器；且

所述外部医疗设备编程器被设置为，如果许可被授予，则从所述远程密钥授权机构处接收所述数字密钥，所述数字密钥有效地允许所述外部编程器发送受限指令至所述特定的被植入设备，其中所述数字密钥有效长达有限时间段。

2.如权利要求1所述的医疗系统，其特征在于，所述外部医疗设备编程器被配置为询查所述被植入医疗设备并接收有关所述特定的被植入医疗设备和有关已经被植入所述特定的被植入医疗设备的病人的信息。

3.如权利要求1或2所述的医疗系统，其特征在于，所述验证数据包括有关已经被植入所述特定的被植入医疗设备的病人的信息。

4.如权利要求1所述的医疗系统，其特征在于，所述数字密钥包括从所述验证数据中导出的信息，并仅有效地允许所述外部医疗设备编程器传递受限指令至所述特定的被植入医疗设备。

5.如权利要求1所述的医疗系统，其特征在于，所述数字密钥包括加密密钥。

6.如权利要求1所述的医疗系统，其特征在于，所述受限指令包括重置所述被植入医疗设备的命令。

7.如权利要求1所述的医疗系统，其特征在于，所述受限指令包括管制受限的和非管制受限的指令。

8.如权利要求1所述的医疗系统，其特征在于，所述外部医疗设备编程器被设置为辨别受限和非受限指令。

9.如权利要求1所述的医疗系统，其特征在于，还包括：

包含处理器的远程密钥授权机构。

10.如权利要求9所述的医疗系统，其特征在于，所述远程密钥授权机构被设置为基于有关所述受限指令的信息，在自动响应与请求人类输入之间选择。

11.如权利要求9或10所述的医疗系统，其特征在于，受限指令包括系统可确定的受限指令和系统不可确定的受限指令，所述远程密钥授权机构被设置为自动响应系统可确定的受限指令请求并对于系统不可确定的受限指令请求人类输入。

12.一种用于限制传递至被植入医疗设备的编程指令的方法，所述方法包括：

用外部医疗设备编程器从系统用户接收对于特定的被植入医疗设备的指令；

用外部医疗设备编程器确定所述指令是受限的还是非受限的；

如果所述指令是受限指令的话，发送有关所述特定所植入医疗设备的验证数据和对于来自所述外部医疗设备编程器的许可的请求到远程密钥授权机构；

用所述远程密钥评估对于许可的请求；

如果请求被授予，向所述外部医疗设备编程器发出数字密钥；和

从所述远程密钥授权机构接收数字密钥，所述数字密钥被设置为能使所述外部医疗设备编程器将所述受限指令发送至所述特定的被植入医疗设备。

13.如权利要求12所述的方法，其特征在于，还包括询查所述特定的被植入医疗设备并获得有关所述特定的被植入医疗设备和有关已经被植入所述被植入医疗设备的病人的信息。

14.如权利要求12所述的方法，其特征在于，还包括记录有关受限指令的实现的数据，所述数据包括时间戳。