CN103294505B - 医学设备以及用于检验医学设备的检验系统、方法和装置 - Google Patents

Abstract

本发明涉及用于检验所安装的程序版本的允许性的检验系统、检验方法、医学设备—例如麻醉设备（G）—和计算机程序产品。在此，麻醉设备（G）包括多个电子组件（K），所述电子组件利用可被不同地版本化的程序运行和/或控制。只有在可以检测到允许的程序版本的一致的集合情况下，才激活释放功能（50）用于释放或使麻醉设备（G）投入运转；否则禁止麻醉设备（G）。

Description

医学设备以及用于检验医学设备的检验系统、方法和装置

技术领域

本发明处于医学技术和电子学或信息学领域。本发明尤其是涉及检验包括多个带有程序的组件的医学设备，例如麻醉设备，其中这些程序可以以不同的版本被安装在设备上。

背景技术

诸如麻醉设备的医学设备当今一般来说通过软件控制并且包括具有确定的信息技术基础设施的组件，所述组件一般来说利用微处理器和其上运行的程序来构造。软件的版本化导致可以在设备的这些组件上安装不同的软件版本。

证实为有问题的是，不是程序版本的所有组合均导致能运行的设备状态。确定的组合被证实为不兼容的，有故障的并且因此是不允许的并且必须在投入运转之前和/或在使用设备之间被检验。

基于法律规定需要持续地监控使用中的医学设备是否遵守安全性规定。该检验大多手动地通过技术人员进行。在此也检验始终兼容的软件版本是否被装设（aufspielen）用于设备控制或用于设备的运行。

在现有技术中已知的是，安装在设备上的确定版本的程序可能导致干扰或导致故障。因此，避免不允许的组合的途径在于，在制造时和在投入运转之前以及在对设备或者对设备组件的每种改变时更换完整的软件包（也即从而更换所有程序的整体）。该措施一方面是耗费时间的并且是成本密集的，另一方面是易于出现故障的。

此外已知的是，通过服务技术人员就地对所装设的程序版本（例如软件的补丁或其他修正供应）进行检验。所有新的版本供应于是必须（一般来说由设备制造商）确认。只有在能够检验程序的允许性之后才能够将设备供应给医学实体（例如医院）或者投入运转，这通常导致明显的延迟时间。这些方案是费时的并且由于手动实施也是易于出错的。

发明内容

本发明因此提出了介绍一种技术实施的任务，利用所述实施能够加速、改善和无故障地执行程序的检验、尤其是对程序版本的所安装的组件的允许性的检验，以用于运行医学设备。

该任务通过所附的权利要求书来解决，尤其是通过检验系统、医学设备、计算机实现的方法和通过计算机程序产品来解决。

下面，根据该方法来描述本发明。在此情况下所提及的实施方式、替换解决方案、其他特征和优点同样也可以转用到前述任务的其他解决方案上（也即转用到计算机程序产品和转用到检验系统和/或设备上）并且反之亦然。因此也可以将结合系统所要求保护的和/或描述的特征也应用于方法、设备或计算机程序产品并且反之亦然。在此，方法的相应的功能特征通过对应的微处理器模块或硬件模块来实现，所述微处理器模块或硬件模块被构造用于承担相应的功能性。

根据一个方面，本发明涉及用于检验医学设备或设备联合体的方法，所述医学设备或设备联合体包括多个可更换的、单独的组件，其中每一个组件包括微处理器和至少一个可执行的程序，其中程序能够以不同的版本被安装在相应的组件上，具有以下方法步骤：

-作为实际设备状态自动地检测所有当前安装在医学设备的所有组件上的程序的所有版本，

-访问允许性存储器，在所述允许性存储器中存储有设备组件的程序的版本的所有允许的组合，

-通过访问允许性存储器和用在那里所存放的项的平衡来检验，所检测的实际设备状态是否是允许的，

-如果所检测的实际设备状态被检验为允许的，则激活用于释放或使所有或个别设备功能（只要这些功能可单独地激活）的医学设备投入运转的释放功能（否则：激活或保持禁止功能，使得设备或设备功能不能被运行）。

下面更详细地阐述在本申请的范围中所使用的概念。

该方法是计算机实现的并且优选地全自动地运行，也就是说，在无应用者的任何用户交互的情况下运行。该方法可以部分地或完全地基于软件。此外可以将该方法或系统作为嵌入式系统嵌入或集成到麻醉设备或医学技术设备中和/或控制计算机（例如在中央服务器的范围中）中。该方法用于存储、处理所准备的数据并且根据基于计算机的技术设备（网络）将所准备的数据（以允许性和确认信号以及释放和禁止信号的形式）转发给其他实体。用于计算和/或处理的输入参量（设备的组件）根据本发明被不同地寻址（特定于版本的）并且因此经修改地存储。从而，该方法也考虑数据处理设备的情况，其方式是，对于设备的运行检验组件和其程序。

该方法一般来说是计算机实现的。在此可能的是，确定的方法片段作为微处理器解决方案的一部分并从而被固定地布线，而该方法的另一些片段被构造为软件。在该情况下，仅方法的个别片段或部分是软件实现的。一般来说，该方法的所有或所选择的片段被二进制地编码或者它们以数字形式存在。在此，该方法的所有或个别片段可以作为源代码（Source Code）、作为已经完成编译的代码（机器代码（Maschinencode））或者作为经过解释的代码（例如以解释程序语言Python、PHP、Ruby）提供或者借助于解释程序（例如即时编译器（Jit-Compiler））来解释。对于执行本发明方法和进一步要求保护的产品来说，无关紧要的是软件以何种编程语言（例如C++，Java，Perl或者PHP等）存在。重要的是，软件作为技术系统的一部分直接被捆绑到技术设备中并且在那里用于控制版本装入（Versionseinspielung）。本发明方法的作为软件实现的部分可以是所谓的“嵌入式系统”的一部分，所述嵌入式系统嵌入到外围的医学技术系统中并且与该医学技术系统交互作用。

医学技术设备通常是麻醉设备，包括具有单独的软件或固件、例如具有带有两个微处理器、电压供应装置等的母板的多个处理器。但是本发明不仅仅局限于麻醉设备，而是也可以应用于呼吸设备、热床、OP发光体等。一般来说利用单独版本的固件来构造电路板（组件），所述单独版本引起不同的更新、补丁和/或改变。如果例如第一组件的固件被识别为是有故障的，并且因此必须被更换或改变，则完全可能的是，具有固件的其他组件出于该原因不必同样被更换并且可以保持不变。这根据本发明通过检验或通过检验模块来实施。从而根据本发明可以有利地明显较小设备的管理耗费。尽管如此仍可以确保，在每次设备投入运转之前对于控制程序执行一致性检查。但是本发明也可以应用于其他同样包括经由至少一个程序被控制和/或运行的组件的医学设备（例如实验室设备、用于诊断的医学设备、用于测量患者的生理参数的设备）。程序在个别组件上实现并且通常能够全自动地运行（无用户交互作用）。替换地，相应的应用程序包括用户界面，经由所述用户界面，用户可以借助于所述应用程序操作、控制和/或检验医学技术设备。

组件是基于计算机的电子组件，其可以彼此无关地被更换。组件例如是气体传感器、压力传感器、生理参数、电源部分、RFID天线和/或标签分析。组件借助于网络（或者总线系统、共同资源、其他接口和/或通过存储介质异步地）彼此连接用于交换数据。组件利用软件或者程序运行。这些可以作为微处理器程序在非易失性（non-volatile）电子存储器件中实现（例如在EPRROM或EEPROM中和/或在大容量存储器上，例如HHD或SSD驱动器）或者作为软件应用程序或小程序（Applet）被提供。每个程序在产品寿命周期过程中通常以多个版本（例如通过功能改变或故障消除）来提供。除了原始版本之外，在产品进一步开发的范围中创建修正版本、补丁或新的改善的版本（发布版（release）），然后必须将它们装设到设备上的相应的组件上。在本发明的一种优选实施方式中，组件涉及麻醉设备或其他医学设备的个别构件。通常，医学技术设备包括大量单独的组件。重要的是，组件也可以彼此无关地配备（新的）软件。例如，这里可以规定从中央服务器下载软件版本，所述下载可选地可以由组件或由服务器触发。因此，不仅可以更换组件本身（包括设备组件），而且可以更换组件的控制软件。更换不必强制地通过应用者执行，而是可以在维护范围中由维护工程师执行，使得设备上的更换或改变对于设备应用者和/或运行者不必是直接可见的。

允许的程序组合的集合优选地被维持在数据库中。为了搜索允许的组合，可以构造具有中继功能（例如借助于通配符）的本发明检索系统。对允许的版本组合的搜索可以集中地（在科室中、在医学实体中和/或也在中央服务器上，例如在Dräger Medical处）或者也本地地由相应的设备执行。

通常，设备组件分别通过控制程序控制。因此，设置在程序和组件之间的双射（1：1）分配。替换地，其他分配也是可能的，使得一方面在设备组件上也可以安装不同的程序，并且另一方面为不同的设备组件提供全面的控制程序。

允许性存储器是存储模块、存储卡或者移动数据载体（例如USB棒）。存储器是可写的和/或可编程的（例如Flash-(E)EPROM、EPROM、PROM等）。允许性存储器优选地（为了提高安全性）在物理上与程序存储器分离。在本发明的替换实施方式中，允许性存储器不是在物理上、而是在逻辑上与程序存储器分离。在本发明的基于纯软件的替换变型方案中，允许性存储器也可以被构造为数据结构或数据库（例如在诸如HDD、EPROM的大容量存储器中，其也可以包含程序代码本身），可以由设备访问所述数据结构或数据库，以便执行本发明的版本检验。在允许性存储器中存储所有设备组件的程序版本的所有允许的组合。允许的程序版本或软件包的集合也可以称为“快照（Snapshot）”并且通常可以在制造设备时和也在设备运行期间被定义和/或动态地匹配（改变）。“允许的”程序组合因此表示在功能上兼容的和确保设备的无故障功能运行的程序版本（激活的组件）的组合。允许的程序版本组合的集合在可预先配置的测试中生成。该集合可被动态地匹配（并且尤其是可以被缩小和扩展）。测试例如是准许测试（Freigabe-Tests））。测试可以集中地、例如在设备制造商处的验证科室中执行。在那里，通过签名准许每种组合（“快照”）并且然后录入到数据库中用于分布到设备上。测试可以被自动化。因此也可能的是，绑定外部验证服务提供商并且将其所存储的结果馈入到数据库中。该设备制造商提供所准许的组合的主数据库并且保护其匹配或补充。

根据本发明，提供释放功能（优选地作为释放和禁止功能的一部分）。释放功能是设备的一种设定，所述设定可以触发或（作为禁止功能）防止相应的医学设备或可单独激活的设备功能投入运转。释放功能与检验结果有关。换句话说，如果成功地结束版本检验，则激活释放功能，否则激活禁止功能，使得相应的设备或设备功能不能使用并且首先必须执行对组件程序的改变。释放功能因此用于直接控制医学技术设备。一般来说规定，首先激活禁止功能，使得在无版本检验的情况下不能运行设备。只有当版本检验能够成功地结束之后，用于使设备投入运转或释放设备功能的释放功能才能被激活。视实施方式而定，释放功能（与释放和禁止功能同义地被使用）具有不同的规模。因此，所述释放功能在第一变型方案中可以涉及整个设备，而所述释放功能在第二变型方案中只能涉及个别设备功能。在第二变型方案中于是可以基于检验来释放或禁止个别设备功能。例如在麻醉设备的情况下可以使用另外的气体测量组件（更换例如也可以在运行期间进行）。如果测量值太不准确，则整个设备一般来说保持运行，但是个别设备功能不再被支持，例如对确定的气体浓度的调节。在整个设备投入运转中之后，根据本发明的教导的检验和释放或禁止也是可能的。

检验优选地全自动地进行并且包括用来自允许性存储器的项进行平衡。检验尤其是涉及，当前所安装的程序版本的组合是否是允许的。该检验可以根据（地理）场所来执行，因为对于一些国家/地区适用特定的准许程序（Freigabeprozeduren），使得确定的版本和其组合不允许在每个场所均进入运行。在另一有利的实施方式中，检验可以根据使用目的（预定用途）来执行。较复杂的改进包括另外的检验措施，例如成功的授权，检验相应的程序是否也安装在（按照前述分配）“合适的”组件上，检验版本是否也是分别最新的。

根据本发明的一种优选的实施方式，可以动态地更新允许性存储器。允许性存储器的更新可以一方面在设备的（首次）投入运转之前并且也可以稍后在（临床上或其他方面）使用医学设备期间来执行。更新可以通过与中央服务器同步和/或通过装入更新的项（例如经由网络连接，例如因特网）来执行。替换地，医学设备也可以经由（有线地或无线地）与服务PC的对应连接来进行。其他装入可能性涉及：存储介质、数据载体和/或还有新添加到设备上的组件。此外也可能的是，使得医学设备经由可插接组件（包括存储卡或棒等）与更新的允许性信息处于数据交换中。同样更新的允许性数据可以被直接存储在可插接的组件上并且从而被读入到设备中。此外可能的是，使设备的可更换的组件和/或传感器等本身与更新的允许性信息处于数据交换中，因为其通信协议对应地必须允许更新。从而可以提高根据本发明的版本检验的灵活性，因为更新的允许性数据的装入不局限于用于提供允许性数据的确定形式。

根据本发明的另一方面，也可以由中央实体触发检验。从而存在以下可能性：取消确定的组合、也即再次撤销准许。如果中央实体获得问题报告，所述问题报告用信号通知设备上所实现的组合是不允许的或者不能被确认，则尤其是使用该实施方案。

根据本发明的一个方面，操作者数据（也即对于相应设备的运行和功能性有关的数据）与允许性数据分开地存储。尤其是，在与允许性存储器分开地和/或与允许性存储器可分开地访问的另外的存储器（程序存储器）或另外的存储区域中存储程序。术语“分开地”包括相应存储器（存储区域）的物理分开和逻辑分开。该实施方式带来优点：版本检验由于分开地存储而很难能够被腐化。另一优点在于，实际的程序能够被准许用于临床使用（CE标记），并且不必通过对允许性存储器改变来恢复准许，因为程序不被改变。因此，版本检验的安全性和从而还有医学设备的安全性能够得到改善。此外，从而变得可能的是，使设备检验（尤其是版本检验）与实际的设备运行分开。

为了能够进一步提高版本检验的安全性，在本发明的一种有利的改进中规定，保护允许性存储器。尤其是改变（包括新项、对现有项的改变、以及项的删除）仅在成功地鉴权之后能够被实施（例如通过改变数据的数字签名或通过加密的传输，其成功的解密将发送方鉴权为值得信赖的）。为了还能够进一步提高安全性，可以规定，项以加密的方式被存储在允许性存储器中并且从而在不解密的情况下即使是经鉴权的用户也不能读取。为此例如可以应用对称的或非对称的加密方法（例如基于RSA算法）。

根据本发明的版本检验优选地在检验模块中执行。检验模块在此可以作为软件工具安装在设备上或实现。替换地也可以在基于计算机的中央实体上提供检验模块并且将其连接到相应的设备。同样可能的是，仅在所选择的设备上提供检验模块，经由所述设备于是可以间接地检验其他（经由对应的数据连接所连接的）设备。这具有优点：不必所有医学设备都被构造为具有检验模块。这尤其是在通常一组医学设备必须被组合的情况下被证实是有意义的。视实施方式而定，可以实现不同的场景用于激活检验模块。通常规定，检验模块在医学设备每次投入运转之前自动地被激活。替换地或累积地，检验模块也可以在检测到医学设备上的改变之后和/或以可预先配置的时间间隔和/或事件自动地被激活。同样可能的是，在检测到医学设备上的改变之后，预先配置或激活检验模块的禁止功能。从而可以有利地确保，如果设备的改变被识别到，则总是并且自动地对程序版本的允许性进行检验。如果例如设备组件被更换或者控制软件的新的版本被装入，则设备只能在能够成功地执行版本检验的情况下才被投入运转。

根据本发明的一个方面规定，在版本检验成功时输出允许性信号。这例如可以在医学设备的用户界面（只要存在）上显示和/或可以被传送给中央服务器。允许性信号也可以被实现为值（标记）或者存储单元的变化。不允许物理上独立的构造。在检验失败时，可以输出故障信号。替换地，故障信号可以被传送给控制计算机（例如中央服务器），以便发动其他步骤。例如这里可以触发程序版本的重新安装或者经由因特网连接通知服务技术人员。

另一任务解决方案在于一种医学设备，在所述医学设备上实现前述的用于版本检验的释放和禁止功能。

释放和禁止功能全自动地（在无用户交互作用的情况下）运行并且尤其是在设备投入运转之前和在设备的（组件）改变时被触发。在本发明的另一有利的实施方式中，设备除了释放和禁止功能之外包括检验模块和/或允许性存储器（但是这不是强制性地需要并且仅是可选的）。换句话说，检验模块同样可以安装在设备上或其他基于计算机的、与该设备处于数据交换的实体上。这减小在设备处的安装耗费并且在实施根据本发明的检验方法时提高灵活性。设备的较复杂的改进此外还包括其他模块（例如前面已经结合所述方法所述的：用于自动化检验的模块、分配检验模块等）。

前述任务的另一解决方案在于根据并列权利要求的医学设备用的检验系统。根据本发明的一个方面，检验系统包括允许性存储器、释放和禁止功能和检验模块，其中在所述允许性存储器中存储组件的控制程序的允许的版本组合。要清楚地指出，本申请的保护范围不局限于必须在相同的实体（设备和/或中央服务器或其他实体）上构造系统的所有前述模块或器件（检验模块，允许性存储器，释放和禁止功能）。在一种优选的实施方式中，在相应的设备上构造允许性存储器、释放和禁止功能和检验模块。替换地也可能的是，在设备上仅构造释放和禁止模块，而在可接入的基于计算机的实体上提供允许性存储器和检验模块。

利用本发明检验系统或检验模块，可以消除安全性缺陷，所述安全性缺陷由于设备组件的不一致的控制版本而出现并且总的来说损害了设备功能性。

优选地，检验模块被嵌入到技术实体中或医学技术设备中。检验模块用于处理、存储和/或传送与医学技术设备有关的检验数据。释放和禁止功能控制医学技术设备的释放和/或投入运转并且因此涉及设备或所连接的基于计算机的实体的直接的协作。根据本发明可以确保，只有当版本检验能够成功地结束时才运行医学技术设备。从而不仅设备作为整体而且设备组件经修改地运行。迄今，（可能按照已知鉴权措施）对设备的开动直接导致设备的投入运转。根据本发明，设备的开动或到医学技术系统（例如OP系统）中的绑定导致检验功能或检验模块的自动触发。因此，设备组件被不同地寻址。用于版本检验的数据处理程序与医学技术设备的所有设备组件和/或硬件组件处于数据交换（尤其是经由组件的版本标识以及释放和禁止信号）。

根据一个方面也可以在设备的自动自测试的范围中执行对所安装的版本的允许性的根据本发明的检验。

为了进一步提高安全性，可以规定，按照可配置的时间间隔和/或按照可配置的事件（尤其是在检测到设备改变或者较全面的系统的其他组件上的改变情况下）自动地执行版本检验。前述事件在一种优选的实施方式中包括：

-设备的开动

-中央实体的检验指令的接收

-组件的改变

-可用的组件的改变

-允许性存储器的内容的改变。

版本检验原则上在两个分级层面上应用或实现。版本检验

-对于具有一系列（相同的或不同的）组件的设备和

-在其中每个设备均起组件的作用的系统或设备联合体中执行。

如果需要，可以在用户界面上（在要检验的设备上，在特定的监控设备上和/或在中央服务器上）显示所检测的实际状态。在此，也可以显示在组件和其上所安装的程序版本之间的分配，以便例如显示对维护工程师重要的维护数据。

设备组件程序（快照）的版本的允许的组合可以是特定于设备的，使得集合对不同的设备可以不同。替换地，快照也可以与设备的相应的运行有关，也即从而是特定于应用程序的。

检验模块被确定用于将所有当前安装的程序的所有版本自动地检测为实际设备状态。该实际（IST）设备状态于是可以（在需要时，尤其是在检测到改变之后）与作为允许的状态的集合的额定（SOLL）状态相比较。在此，所有允许的状态的集合被存储在允许性存储器中。因此一旦仅对于一个或多个设备组件装设新的程序版本，实际状态就改变并且自动地被更新，以便能够触发版本检验。在此考虑，组件上的局部改变（例如扩展）一般来说仅作用于非常少的其他组件，使得根据本发明为了能够确保设备的无故障运行不需要装入（用于所有组件的）完整的软件包。有利地，因此可以一方面明显最小化用于设备的运行检验的管理耗费并且另一方面也明显最小化与更新版本的提供相关联的耗费。

该方法的前述本发明实施方式也可以被构造为具有计算机程序的计算机程序产品，其中如果在计算机上或在计算机的处理器上装载或执行计算机程序，则促使计算机执行上述本发明方法。

替换的任务解决方案也在于一种具有计算机程序代码的计算机程序，用于当在计算机上执行该计算机程序时执行所要求保护的或上述的方法的所有方法步骤。在此，计算机程序也可以存储在机器可读的存储介质上或者经由接口从计算机实体下载。

替换的任务解决方案设置存储介质，所述存储介质被确定用于存储计算机实现的上述方法并且可由计算机读取。

处于本发明的范围中的是，不必强制性地在同一个计算机实体上执行方法的所有步骤，而是也可以在不同的计算机实体上执行所述步骤。方法步骤的顺序必要时也可以被改变。

此外可能的是，前述方法的个别片段可以在一个可出售的单元中被执行，而剩余的组件可以在另一可出售的单元中（可以说作为分布式系统）被执行。

附图说明

在下面详述的附图说明中非限制性地根据附图讨论具有其特征和其他优点的待理解的实施例。在这些图中：

图1示出根据本发明的一种优选实施方式的医学技术设备的总览图，

图2示出根据本发明一种实施方式的包括多个医学技术设备的系统的示意图，和

图3示出根据本发明的一种优选实施方式的版本检验方法的数据流图。

具体实施方式

图1以示意形式示出根据本发明扩展的医学技术设备、尤其是麻醉设备的结构，其在图中用附图标记G表示。麻醉设备G包括多个构件和/或电子组件K，它们经由计算机程序控制和/或运行，例如用于测量流和压力、用于测量不同气体的气体浓度（部分地多重地被设计）、用于RFID读取和分析、用于测量患者的生理数据的这样的构件和/或电子组件，和/或电源部分。根据本发明的教导此外例如可以应用于下面的组件K：应用于用于确定气体流量的流量计（转子流量计），应用于ORC系统（氧气比例控制器（Oxygen Ratio Controller））或者诸如灵敏的ORC的改进设计并且（视设备G的定向）也应用于用于确定相应的气体分量或者用于测量呼吸容量和呼吸分钟容量的以电子方式工作的测量元件（流量传感器）。其他应用例如涉及电子容积计、电子压力表和经由总线系统处于数据交换的其他电子组件。

除了上面提及的构件组件之外，设备G还包括其他母板K和一般来说以单独的固件版本供应的其他组件K。各个程序在此经历不同的更新周期。如果例如PGM-固件处的故障（漏洞）可以被固定，则根据本发明不需要改变用于运行设备G的整个软件或者改变其他组件的程序，如果这些不涉及PGM固件的故障改变（漏洞修补）的话。

此外，麻醉设备G包括允许性存储器MEM、释放和禁止功能RSF和检验模块P。但是麻醉设备G的前述实施例仅应当示范性地来理解并且在替换构造中可以被组合和/或也还包括其他构件（还有非电子的）和组件K。

图2示出多个设备的总览图（同样示意性的）和其到整个系统中的绑定。因此，第一设备G₁、第二设备G₂、第三设备G₃等经由网络NW与中央服务器S连接。医学技术设备（尤其是麻醉设备）G根据本发明如下扩展，即所述医学技术设备包括释放和禁止功能RSF，所述释放和禁止功能在版本检验不成功的情况下禁止设备并且将设备切换成不能运行的并且所述释放和禁止功能在版本检验成功的情况下释放相应的设备G用于投入运转。对程序版本的一致性的检验可以在设备G内、但是也可以在外部执行。在后一情况下，检验的结果被转发给设备G，以便能够对应地操控释放和禁止功能RSF。

下面参照图3来根据一种优选的实施方式更详细地描述本发明检验方法的流程。

该方法自动地通过可预先配置的触发信号开始。如果触发信号之一在设备G和/或在中央服务器S上被检测到，则（自动地）开始检验。根据优选的实施方式，设置以下触发信号：

A：开动设备G或开动或激活设备G的组件K

B：至少一个组件K被改变

C：至少一个配置被改变

D：允许性存储器MEM的内容被改变。

在替换的实施方式中，这里还可以定义其他触发信号，所述其他触发信号例如可以涉及设备联合体的事件（电力故障等）。

在开始该方法之后，在步骤10中访问允许性存储器MEM。允许性存储器MEM包括针对组件程序（也即设备G的参与组件K的控制软件）的版本的所有允许的组合的项。允许性存储器MEM如前面已经参照图1所述的那样构造在设备G上。

在步骤20中，自动地检测实际设备状态。该实际设备状态也可以称为快照并且包括所有一致的程序版本。该集合尤其是包括设备G的所有有关的（也即对于运行/当前使用激活的和需要的）组件K和组件K的控制程序。对于其不能鉴定无故障的设备功能的组件程序的所有版本组合不被写到允许性存储器MEM中。从而根据本发明的一种优选的实施方式，在允许性存储器MEM中存储允许的版本。替换地，该存储器也可以用逻辑反来写并且于是仅包括不兼容的或不一致的版本，所述不兼容的或不一致的版本将会导致设备故障（于是在检验时，在实际状态和在存储器MEM中所存储的项之间的比较在一致的情况下导致禁止功能的触发）。在优选的改进方案中，对于其检测到故障的程序的组合被存储到故障存储器中。如果在检测实际设备状态时识别出这样的（不允许的）版本或组合，则自动地输出警报信号。

在下一方法步骤30中进行实际上的版本检验。这里将所检测的设备状态、即实际设备状态与允许的状态的集合比较。允许的状态的集合被存储在允许性存储器MEM中。检验结果基本上具有两种输出：

1. 如果测试成功地进行并且可以保证在相应的设备G上安装了控制程序的允许的版本，则在步骤50中激活释放功能并且将设备G投入运转或者释放以用于投入运转。

2. 如果版本检验未导致成功的测试结果，则激活禁止功能40。优选地，禁止功能40在该优选的实施方式中已经被预先配置，使得这里不需要其他电路或变换。在该情况下，设备保持禁止并且不能运行。接着，该方法可以结束或者对于新的实际识别状态迭代地执行（这应该在图3中用附图标记60表示，所述附图标记代表可用“等待触发信号”描述的状态）。一旦检测到设备G上的改变，就可以再次重新执行该方法步骤或者分支到用于检测实际设备状态的步骤20，并且如果能够检测到触发信号（例如经修改的设备状态），则迭代地执行步骤20和30。

本发明的基本思想原则上与控制程序的类型无关。控制程序可以是嵌入式软件（固件），其例如被存储在闪速存储器、(E)EPROM或ROM中。该程序原则上被设计为控制程序并且用于控制电子组件K。它包括可执行的代码并且此外还可以包括数据、数据结构、配置文件和元数据。

通过集中地检测和/或存储允许的程序（版本）组合，有利地可以总是将该经验知识保持为被更新的并且也本地地在所有所连接的设备G上提供。因此根据本发明，可以明显减小用于检验设备G的运行能力的管理耗费。同样，如果仅其他设备组件K被改变，则用于执行确定的组件K的软件更新的成本和时间需求就不需要，所述确定的组件K的软件更新不影响其他设备组件K。在相应设备G的整个运行时间上，在中央位置对于所有所连接的设备G收集允许的程序或程序版本的检测。有利地，可以在一个组件K（例如通过装入功能扩展、所谓的修补、新补丁或发布版）的单一改变时针对目的地分析，这对于其他组件K具有哪些作用。尤其是不再需要重新装入用于所有组件K的整个软件包。从而可以有利地有针对性地检验，哪些组件K需要新的控制软件。

本发明的替换实施方式规定，不提供中央服务器S。检验方法本地地在设备G上执行。允许性存储器MEM优选地在所有设备G上本地地被维护和更新或者所述允许性存储器分别以更新的形式经由数据连接（例如记忆棒或者网络连接）被读入，使得确保在所有设备G上始终存放有允许的版本组合的当前的额定状态。

在本发明的一种优选的改进方案中，在负面检验结果情况下（也即如果检验步骤30已得出，涉及控制程序的不允许的组合）规定，在设备G上提供后退功能。后退功能用于重建先前的允许的设备状态。这尤其是在以下情况下被证实是有利的：麻醉设备G在临床使用中被用于紧急场景（例如手术室）并且相对于其中虽然装设控制程序的最新版本，但是必须首先确定允许的组合的情形偏爱用老化的控制程序运行设备G。如果设备G包括用户界面，则可以规定，提供多个选择项用于使用后退策略，于是用户可以通过输入选择信号来选择所述后退策略。于是尤其是用户可以选择，该用户想要访问程序版本的哪个允许的组合。

根据本发明的另一方面规定，对于每个设备G或对于所选择的设备G运用日志文件，在所述日志文件中本地地存储所有检验结果，尤其是具有其他元数据，例如检验的时刻，应用者、诊所、科室等。这具有优点：在设备维护时能够提供更多信息，还有关于过去的设备状态的信息。从而尤其是可以对该场景建模并且用检验揭示，诊所或者诊所科室更换其设备G。在该情况下，这些数据将会被映射成元数据并且版本检验自动地在每次重新使用设备（新科室）时被执行。

因为对允许性存储器MEM的写是安全性关键的任务，所以对于对允许性存储器MEM的写访问设置提高的安全性要求。因此，尤其是规定，该访问仅能以签名的方式在成功地鉴权之后执行。此外，只有经授权的用户允许执行对允许性存储器MEM的写访问。

根据一种优选的实施方式，检验模块P在设备G的每次投入运转之前和在每个维护过程之后或者在设备G上的每个改变之后被激活。

最后指出，本发明的描述和实施例原则上不应当以限制的方式被理解为本发明的确定的物理实现。对于技术人员尤其是显而易见的是，本发明能够部分地或完全地以软件和/或硬件和/或在多个物理产品（在此尤其是还有计算机程序产品）上分布式地实现。

附图标记列表

10 访问允许性存储器

20 检测设备的实际状态

30 检验程序版本的允许的组合

40 激活禁止功能

50 激活释放功能

60 结束或者等待触发信号

G 麻醉设备

K 麻醉设备的组件

MEM 允许性存储器

P 检验模块

RSF 释放和禁止功能

NW 网络

S 中央服务器

A 开动

B 组件被改变

C 配置被改变

D 允许性存储器（内容）被改变

Claims (11)

1.一种用于医学设备（G）或者用于医学设备（G）的联合体的检验系统，所述医学设备包括多个单独的组件（K），其中每个组件分别包括微处理器和至少一个可执行的程序，其中所述程序能够以不同的版本被安装在相应的组件（K）上并且其中在组件（K）上所安装的程序能够彼此无关地被更换和/或改变，所述检验系统具有：

-允许性存储器（MEM），所述允许性存储器被构造在每个医学设备或所选择的一个或多个医学设备上或者对于所述允许性存储器在相应的医学设备（G）上提供访问模块，其中在所述允许性存储器（MEM）中存储针对组件程序的版本的所有允许的组合的项，

-释放和禁止功能（RSF），所述释放和禁止功能在每个医学设备（G）上被提供并且控制医学设备（G）或者该设备（G）的个别功能的投入运转，

-检验模块（P），所述检验模块被安装在每个医学设备（G）上或者对于每个医学设备（G）可被访问并且被确定用于作为实际设备状态自动地检测所有当前安装的程序的所有版本，并且所述检验模块进一步被确定用于访问允许性存储器（MEM）并且检验，所检测的实际设备状态是否作为允许的状态在允许性存储器（MEM）中作为项存在，并且仅在肯定情况下针对医学设备（G）激活释放功能。

2.根据权利要求1所述的检验系统，其中所述检验模块（P）用禁止功能被预先配置并且在能够成功地结束检验之后才释放释放功能。

3.根据前述权利要求之一所述的检验系统，其中所述允许性存储器（MEM）通过与中央服务器（S）同步和/或通过经由接口和/或网络连接（NW）装入更新的项而被动态地更新。

4.根据权利要求1至2之一所述的检验系统，其中所述允许性存储器（MEM）与用于医学设备（G）的程序的存储器分开。

5.根据权利要求1至2之一所述的检验系统，其中所述允许性存储器（MEM）是受保护的存储器，并且其中仅能以鉴权的方式执行添加、改变和/或删除。

6.根据权利要求1至2之一所述的检验系统，其中所述检验模块（P）自动地在检测到触发信号之后被激活。

7.根据权利要求6所述的检验系统，其中所述检验模块（P）自动地在医学设备（G）的每次改变之后、在该设备（G）的组件（K）的每次改变之后、在每个配置改变之后、在允许性存储器（MEM）的每次改变之后和/或在医学设备（G）的每次投入运转之前被激活。

8.根据权利要求1至2之一所述的检验系统，其中如果检验模块（P）的检验得出所检测的实际设备状态作为允许的状态在所述允许性存储器（MEM）中存在，则产生允许性信号和/或允许性信号以签名的形式被转发给其他基于计算机的实体。

9.一种医学设备（G），包括多个可更换的单独的组件（K），其中每个组件分别包括微处理器和至少一个可执行的程序，其中所述程序能够以不同的版本被安装在相应的组件（K）上，其中所述医学设备（G）被确定用于在根据前述权利要求之一所述的检验系统中使用，所述医学设备具有：

-释放和禁止功能（RSF），所述释放和禁止功能控制医学设备（G）或者该设备（G）的个别功能的投入运转。

10.一种用于检验医学设备（G）或者医学设备（G）的联合体的方法，所述医学设备包括多个可更换的、单独的组件（K），其中每个组件（K）分别包括微处理器和至少一个可执行的程序，其中所述程序能够以不同的版本被安装在相应的组件（K）上，具有以下方法步骤：

-访问（10）允许性存储器（MEM），在所述允许性存储器中存储针对组件程序的版本的所有允许的组合的项，

-作为实际设备状态自动地检测所有当前安装在医学设备（G）的所有组件（K）上的程序的所有版本（20），

-通过访问允许性存储器（MEM）检验（30），所检测的实际设备状态是否是允许的，和

-将医学设备（G）的预先配置的禁止功能（40）变换成释放功能（50），以用于医学设备（G）投入运转或者用于在所检测的实际设备状态被检验为允许的情况下释放所检验的设备功能。

11.一种用于检验医学设备（G）或者医学设备（G）的联合体的装置，所述医学设备包括多个可更换的、单独的组件（K），其中每个组件（K）分别包括微处理器和至少一个可执行的程序，其中所述程序能够以不同的版本被安装在相应的组件（K）上，所述装置包括：

-用于访问允许性存储器（MEM）的装置，在所述允许性存储器中存储针对组件程序的版本的所有允许的组合的项，

-用于作为实际设备状态自动地检测所有当前安装在医学设备（G）的所有组件（K）上的程序的所有版本的装置，

-用于通过访问允许性存储器（MEM）检验所检测的实际设备状态是否是允许的装置，和

-用于将医学设备（G）的预先配置的禁止功能变换成释放功能以用于医学设备（G）投入运转或者用于在所检测的实际设备状态被检验为允许的情况下释放所检验的设备功能的装置。