CN105492036B - 具有安全远程控制的可植入系统 - Google Patents

Abstract

用于患者的流体流动系统(10)包括控制器(100)和可植入泵总成(50)。控制器(100)包括处理单元(110)和电池(161)。处理单元(110)包括信号发生器(115)和一个或多个泵操作参数。信号发生器(115)提供驱动信号。电池(161)为处理单元(110)提供电力。可植入泵总成(50)从处理单元(110)接收所述驱动信号并且基于所述驱动信号来推进流体。系统(10)包括本地通信装置(400)和远程通信装置(300)，所述本地通信装置和所述远程通信装置各自包括由安全密钥发生器(500)所产生的唯一标识符。远程通信装置(300)包括代码发生器(310)，所述代码发生器产生加密命令。本地通信装置(400)接收所述加密命令并且基于所接收的加密命令来修改所述处理单元(110)的泵操作参数。

Description

具有安全远程控制的可植入系统

相关申请

本申请要求2013年8月2日提交(未决)的美国临时申请序号61/861,704的优先权，该申请的公开内容据此以引用的方式并入本文。

本申请还涉及2012年9月13日提交(届满)、名称为“BLOOD FLOW SYSTEM WITHVARIABLE SPEED CONTROL”的美国临时专利序号61/700,518，该申请的内容全文以引用的方式并入本文。

技术领域

本发明一般涉及医疗装置、系统和方法，并且更具体来说涉及帮助传导体液诸如血液的装置和方法。

背景

已利用各种装置、系统和方法来帮助传导体液。例如，具有流入和流出移植物的血液泵在患有充血性心力衰竭的患者体内协助心脏进行血液循环，并且移植器官尚未定位或者患者并非适于移植的候选人。因此，可以使血液泵流体地附接至心脏左侧并且随后诸如按照与起搏器(称为“袖珍泵”)类似的方式皮下地或肌肉下地定位在远处。可以将袖珍泵大致定位在可由手术切口从锁骨下方、越过胸肌并且朝向胸部访问的位置处。随后可以使用插管来将心脏流体地耦接至泵。在另一示例中，将插管插入膀胱或肾脏中，诸如用于进行诊断或治疗尿路梗阻或尿路感染。

流体驱动模块(诸如泵)可以用于使体液循环。流量不足的区域，诸如流体驱动模块内或附近的低流量区域可能导致循环流体不期望地过渡到固体物质。利用血泵系统，可以使呈淤滞或接近淤滞状况的血液过渡到血栓。血栓或其它固体物质的形成可能导致流体驱动模块的流量减少，或者更显著地，导致固体物质释放到患者体内诸如栓子释放，这引起中风、心脏病发作或其它缺血事件。血液泵植入程序包括精确测量适当大小的(例如，定长剪切的)流道并且需要特定的流道附接顺序(例如，针对体腔的附接顺序)。

可植入血液泵和其它可调植入式装置通常要求经由患者外部的装置(诸如可能驻留在或有时以另外方式存在于患者位置的装置)进行控制。需要维护系统，这些维护系统防止可植入装置的一个或多个操作参数发生不可接受的或另外未授权的变化。

概述

根据本发明的方面，用于患者的流体流动系统包括控制器、可植入泵总成和安全密钥发生器。该控制器包括处理单元和电池。该处理单元包括信号发生器和一个或多个泵操作参数，并且被构造和布置成传送驱动信号。该电池被构造和布置成为处理单元提供电力。该可植入泵总成被构造和布置成从处理单元接收驱动信号并且基于该驱动信号来推进流体。安全密钥发生器被构造和布置成产生唯一标识符。该系统可以包括远程通信装置，该远程通信装置包括代码发生器和由安全密钥发生器所产生的唯一标识符。该代码发生器可以被构造和布置成基于唯一标识符来产生加密命令。该系统可以包括本地通信装置，该本地通信装置包括唯一标识符。该本地通信装置可以被构造和布置成从远程通信装置接收加密命令并且基于所接收的加密命令来修改处理单元的泵操作参数。

在一些实施方案中，可植入泵总成被构造和布置成推进血液，诸如将血液从心室推进到血管。

在一些实施方案中，处理单元被构造和布置成基于一个或多个泵操作参数来将驱动信号传送到可植入泵总成。

在一些实施方案中，该系统进一步包括编程器，该编程器包括第一连接器，其中处理单元包括第二连接器，该第二连接器被构造和布置成可操作地连接至第一连接器，其中编程器经由第一连接器与处理单元通信。第二连接器可以被构造和布置成可拆卸地连接至第一连接器。第二连接器可以被构造和布置成以某种连接类型可操作地连接至第一连接器，该连接类型选自由以下组成的组：电连接；光连接；及其组合。编程器可以被构造和布置成保持在远离患者的位置。编程器可以被构造和布置成修改处理单元的至少一个泵操作参数。编程器可以被构造和布置成防止患者改变至少一个泵操作参数。编程器可以被构造和布置成附接至壁装电源。编程器可以被构造和布置成向控制器传递电力。

在一些实施方案中，处理单元包括无线传输器。处理单元可以包括数据并且无线传输器可以被构造和布置成向单独的装置传输数据。该系统进一步包括无线接收器，该无线接收器被构造和布置成从无线传输器接收数据。无线接收器可以被构造和布置成向通信网络传输数据。通信网络可以包括选自由以下组成的组的网络：互联网；蜂窝服务；卫星通信；光纤网络；电话线；及其组合。

在一些实施方案中，一个或多个泵操作参数包括选自由以下组成的组的参数：泵流速；泵最大流速；泵最小流速；泵流体驱动元件速度；泵最大流体驱动元件速度；泵最小流体驱动元件速度；速度交替和/或波形；告警状态；告警级别；告警灵敏度；告警类型；温度水平；电池状态；及其组合。

在一些实施方案中，一个或多个泵操作参数包括泵流速参数。

在一些实施方案中，一个或多个泵操作参数包括泵旋转速度参数。可植入泵总成可以包括可旋转流体驱动元件并且泵旋转速度参数可以包括流体驱动元件的旋转速度。

在一些实施方案中，一个或多个泵操作参数包括告警参数。该告警参数可以包括与选自由以下组成的组的泵状态有关的参数：低流量状况；高流量状况；低电量状况；空气和/或其它气体已检测状况；电池断开状况；不期望的泵停机；温度超出可接受范围；电机电流高于最大阈值；电机电流低于最小阈值；不期望的供应电流状态；不期望的供应电流波动水平；及其组合。

在一些实施方案中，一个或多个泵操作参数包括可通过加密命令重置的第一组告警状态和不可通过加密命令重置的第二组告警状态。第二组告警状态可以包括由选自由以下组成的组的泵状态引起的告警：不期望的泵停机；温度超出可接受范围；电机电流高于最大阈值；电机电流低于最小阈值；及其组合。

在一些实施方案中，一个或多个泵操作参数包括告警状态参数。处理单元可以被构造和布置成基于告警状态参数的变化来重置告警。

在一些实施方案中，处理单元包括告警算法，并且一个或多个泵操作参数包括告警算法参数。该告警算法可以被构造和布置成将值与阈值相比较并且该算法参数包括阈值。告警算法可以包括可调灵敏度并且告警算法参数确定该灵敏度。一个或多个泵操作参数可以包括可通过加密命令重置的第一组告警状态，并且其中告警算法被构造和布置成一个或多个泵操作参数可以被重置的次数。该系统可以进一步包括重置计数器和包含重置阈值的泵操作参数，其中阈值是可调的。该阈值可由系统制造商调节。

在一些实施方案中，电池被构造和布置成可拆卸地附接至处理单元。

在一些实施方案中，电池包括可再充电电池。

在一些实施方案中，控制器包括第二电池，该第二电池被构造和布置成为处理单元提供电力。

在一些实施方案中，安全密钥发生器被进一步构造和布置成产生第二流体流动系统的第二唯一标识符。

在一些实施方案中，该系统进一步包括第二本地通信装置并且其中安全密钥发生器被进一步构造和布置成产生第二本地通信装置的第二唯一标识符。远程通信装置可以进一步包括第二唯一标识符。

在一些实施方案中，该系统进一步包括第二远程通信装置并且其中安全密钥发生器被进一步构造和布置成产生第二远程通信装置的第二唯一标识符。本地通信装置可以进一步包括第二唯一标识符。

在一些实施方案中，安全密钥发生器包括随机代码发生器，该随机代码发生器被构造和布置成产生唯一ID。

在一些实施方案中，远程通信装置包括第一读保护存储器模块并且本地通信装置包括第二读保护存储器模块并且唯一标识符被存储在第一读保护存储器模块和第二读保护存储器模块中。

在一些实施方案中，远程通信装置被构造和布置成保持在远离患者的位置。

在一些实施方案中，远程通信装置被构造和布置成将加密命令经由通信网络发送到本地通信装置。该通信网络可以包括选自由以下组成的组的网络：互联网；蜂窝服务；卫星通信；光纤网络；电话线；及其组合。

在一些实施方案中，远程通信装置被构造和布置成使用64位加密算法或256位加密算法中的至少一种来发送加密命令。

在一些实施方案中，远程通信装置被构造和布置成将加密命令经由第一人类操作员发送到本地通信装置。第一人类操作员可以从第二人类操作员接收加密命令。第一人类操作员可以从通信网络接收加密命令，该通信网络诸如选自由以下组成的组的通信网络：互联网；蜂窝服务；卫星通信；光纤网络；电话线；及其组合。

在一些实施方案中，代码发生器被构造和布置成使用密码安全散列函数产生加密命令。

在一些实施方案中，代码发生器被构造和布置成通过将泵操作参数变化信息利用唯一标识符加密来产生第一加密命令。远程通信装置可以包括用户接口，该用户接口被构造和布置成允许操作员输入泵操作参数变化信息。第一加密命令可以包括由本地通信装置所接收的命令。本地通信装置可以被构造和布置成将第一加密命令解密并且在第一加密命令基于恰当唯一标识符的情况下将泵操作参数变化信息传输到处理单元。本地通信装置可以被构造和布置成将第一加密命令解密并且在第一加密命令不基于恰当唯一标识符的情况下不会将泵操作变化信息传输到处理单元。本地通信装置可以包括状态指示器，该状态指示器被构造和布置成确认第一加密命令的可接受性。本地通信装置可以被构造和布置成在第一加密命令的可接受性得到确认的情况下附接至处理单元。状态指示器可以包括选自由以下组成的组的指示器：发光元件；振动换能器；音频换能器；字母数字显示器；及其组合。

在一些实施方案中，本地通信装置被构造和布置成产生数据并且其中远程通信装置被构造和布置成上传来自本地通信装置的数据。本地通信装置可以包括诊断算法并且数据可以包括由诊断算法所产生的诊断数据。可以在修改泵操作参数之前上传该数据。

在一些实施方案中，远程通信装置被构造和布置成与单个本地通信装置通信。

在一些实施方案中，本地通信装置包括第一本地通信装置，其中该系统进一步包括第二本地通信装置，该第二本地通信装置包括由安全密钥发生器所产生的第二唯一标识符，其中远程通信装置进一步包括第二唯一标识符，并且其中远程通信装置被构造和布置成与第一本地通信装置和第二本地通信装置通信。远程通信装置可以包括查找表，该查找表包括第一唯一标识符和第二唯一标识符。

在一些实施方案中，该系统进一步包括一个或多个传感器，该一个或多个传感器选自由以下组成的组：流量传感器；磁传感器；电流传感器；旋转传感器；电压传感器；电流传感器；位置传感器；及其组合。可以将一个或多个传感器定位在控制器和/或可植入泵总成中。

在一些实施方案中，加密命令包括至少一个验证位。该至少一个验证位可以包括校验和。

在一些实施方案中，加密命令包括时间信息。该时间信息可以包括选自由以下组成的组的时间信息：当日时间信息；日期信息；及其组合。本地通信装置可以被构造和布置成确认时间信息的适用性。

在一些实施方案中，该系统被构造和布置成防止多次使用任何加密命令。该系统可以被构造和布置成防止基于加密命令中所包含的时间信息进行多次使用。

在一些实施方案中，本地通信装置被构造和布置成保持在邻近患者的位置。

在一些实施方案中，本地通信装置包括接收器，该接收器被构造和布置成通过通信网络从远程通信装置接收加密命令。该通信网络可以包括选自由以下组成的组的网络：互联网；蜂窝服务；卫星通信；光纤网络；电话线；及其组合。本地通信装置可以包括第一硬件模块，该第一硬件模块包括接收器；以及第二硬件模块，该第二硬件模块包括被构造和布置成将加密命令解码的解密算法。第一硬件模块和第二硬件模块可以被构造和布置成防止经由通信网络访问解密算法。第一硬件模块和第二硬件模块可以被构造和布置成防止传送从通信网络而不是通过解密算法所接收的任何信号。

在一些实施方案中，本地通信装置进一步包括用户接口，该用户接口被构造和布置成从第一人类操作员接收加密命令。用户接口可以包括数据输入模块。该数据输入模块可以包括键盘。数据输入模块可以包括语音识别模块。第一人类操作员可以从第二人类操作员接收加密命令。

在一些实施方案中，本地通信装置被构造和布置成接收消息并且提醒用户该消息是否被确定为无效。本地通信装置被构造和布置成在接收到多个无效消息的情况下进入警告状态。本地通信装置可以被构造和布置成在预定时间段期间接收到多个无效消息的情况下进入告警状态。本地通信装置可以被构造和布置成在所接收无效消息的数量超过阈值的情况下进入告警状态。

在一些实施方案中，本地通信装置被构造和布置成与单个远程通信装置通信。

在一些实施方案中，远程通信装置包括第一远程通信装置，其中该系统进一步包括第二远程通信装置，该第二远程通信装置包括由安全密钥发生器所产生的第二唯一标识符，其中本地通信装置进一步包括第二唯一标识符，并且其中本地通信装置被构造和布置成与第一远程通信装置和第二远程通信装置通信。本地通信装置包括查找表，该查找表包括第一唯一标识符和第二唯一标识符。

在一些实施方案中，其中该系统进一步包括纠错算法，该纠错算法被构造和布置成纠正本地通信装置与远程通信装置之间的通信错误。远程通信装置可以包括纠错算法。本地通信装置可以包括纠错算法。

根据本发明的发明概念的另一方面，修改流体流动系统的操作参数的方法包括提供流体流动系统，该流体流动系统包括控制器、可植入泵总成和安全密钥发生器。该控制器包括处理单元和电池。该处理单元包括信号发生器和一个或多个泵操作参数，并且被构造和布置成传递驱动信号。该电池被构造和布置成为处理单元提供电力。可植入泵总成被构造和布置成从处理单元接收驱动信号并且基于该驱动信号来推进流体。安全密钥发生器被构造和布置成产生唯一标识符。流体流动系统可以进一步包括远程通信装置，该远程通信装置包括代码发生器和由安全密钥发生器所产生的唯一标识符。该代码发生器可以被构造和布置成基于该唯一标识符来产生加密命令。流体流动系统可以包括本地通信装置，该本地通信装置包括唯一标识符。本地通信装置可以被构造和布置成从远程通信装置接收加密命令并且基于所接收的加密命令来修改处理单元的泵操作参数。该方法可以进一步包括使安全密钥发生器产生唯一标识符；将唯一标识符结合到远程通信装置和本地通信装置中；利用本地通信装置接收加密命令并且确认该加密命令的可接受性；和/或在加密命令的可接受性得到确认的情况下修改处理单元的一个或多个泵操作参数。.

在一些实施方案中，流体流动系统包括如上所述的流体流动系统。

在一些实施方案中，修改一个或多个泵操作参数会修改泵告警状态。

在一些实施方案中，修改一个或多个泵操作参数会修改泵流速。

根据以下结合附图所作的详细描述，将最好地了解和理解本文所述的技术及其属性和伴随优点，附图中通过举例的方式来描述代表性实施方案。

附图简述

参考以下结合附图所作的描述，可以更好地理解上述技术的优点和其它优点。附图不必按比例绘制，相反，重点一般在于说明技术原理。

图1是与本发明的发明概念一致的包括被配置成远程访问的一个或多个组件的流体流动系统的示意图。

图2是与本发明的发明概念一致的包括被配置成经由通信网络和至少一个人类操作员通信的一个或多个组件的流体流动系统的示意图。

图3A是与本发明的发明概念一致的被配置成定位在远离患者的位置的远程通信装置的示意图

图3B是与本发明的发明概念一致的被配置成定位在患者位置的本地通信装置的示意图。

图4是与本发明的发明概念一致的流体流动系统的一组本地通信装置和远程通信装置的示意图。

附图详述

现在将详细参考本发明技术的实施方案，在附图中说明了这些实施方案的示例。贯穿附图使用相同的附图标记来指代相同或类似的部分。

本文所使用的方法是出于描述特定实施方案的目的并且并非意欲限制发明概念。如本文所使用，单数形式“一”、“一个”和“所述/该”旨在也包括复数形式，除非上下文另有明确说明。

应进一步理解，词“包括(comprising)”(和任何形式的包括，诸如“包括(comprise/comprises)”)、“具有(having)”(和任何形式的具有，诸如“具有(have/has)”)、“包含(including)”(和任何形式的包含，诸如“包含(includes/include)”)或“含有(containing)”(和任何形式的含有，诸如“含有(contains/contain)”)当在本文中使用时，表示特征、整体、步骤、操作、元件和/或组件的存在，但并不排除一个或多个其它特征、整体、步骤、操作、元件、组件和/或其组合的存在或增加。

应理解，虽然术语第一、第二、第三等在本文中可用来描述各种限制、元件、组件、区域、层和/或部分，但这些限制、元件、组件、区域、层和/或部分不应受到这些术语的限制。这些术语只是用于将一个限制、元件、组件、区域、层和/或部分与另一限制、元件、组件、区域、层或部分区分开。因此，在不背离本申请教导的情况下，可以将以下所讨论的第一限制、元件、组件、区域、层或部分称作第二限制、元件、组件、区域、层或部分。

应理解，当元件被称作“位于”、“附接”、“连接”或“耦接”至另一元件时，该元件可以直接位于另一元件上或上方，或者连接或耦接至另一元件，或者也可以存在中间元件。相反，当元件被称为“直接位于”、“直接附接”、“直接连接”或“直接耦接”至另一元件时，并不存在中间元件。应当以相同的方式解释用于描述元件之间的关系的其它词语(例如“在……之间”与“直接在……之间”、“与……相邻”与“与……直接相邻”等)。

空间相对术语(诸如“在……之下”、“在……下方”、“下部”、“在……上方”、“上部”等)可以用于描述元件和/或特征与另一元件和/或特征的关系，如例如附图所示。应理解，空间相对术语旨在包含除了附图所示的取向之外，使用中的和/或操作中的装置的不同取向。例如，如果附图中的装置翻转，那么描述为在其它元件或特征“下方”和/或“之下”的元件随后将取向为在其它元件或特征“上方”。该装置可以另外取向(例如，旋转90度或以其它取向)并且对本文所使用的空间相对描述符相应地加以解释。

术语“和/或”在本文中使用时，被视为两个指定特征或组件中的每一种在具有或不具有其中任意一种情况下的特定公开内容。例如，“A和/或B”被视为(i)A、(ii)B以及(iii)A和B中的每一种的特定公开内容，就好像各自在本文单独阐述一样。

现在参照图1，说明了与本发明的发明概率一致的用于患者的流体流动系统的示意图，该流体流动系统包括被配置成远程访问的一个或多个组件。系统10(通常为血液流动系统)包括泵50和控制器100。泵50可以被配置成诸如当泵50被构造和布置成将血液从心室推进到血管时，有助于在患者循环系统内进行血液流动。在一些实施方案中，泵50包括与名称为“Blood Pump”的美国专利号6,116,862中所述类似的旋转驱动总成，和/或与名称为“Intravascular Blood Pump”的美国专利号6,176,848中所述类似的旋转驱动总成，这些专利的内容各自以引用的方式全文并入本文中。系统10包括远程通信装置300和本地通信装置400。通信装置300和通信装置400被配置成经由通信网络600彼此发送和/或接收信息。在一些实施方案中，通信网络600可以包括选自由以下组成的组的网络：互联网；蜂窝服务；卫星通信；光纤网络；电话线；及其组合。本地通信装置400被配置成从远程通信装置300接收加密命令，并且将可接受的命令本地解码并传递到控制器100。远程通信装置300被配置成保持在远离患者的第一位置，诸如医师办公室、医院或其它临床环境，并且本地通信装置400被配置成保持在对于患者本地的第二位置，诸如患者住所或患者护理位置。

泵50旋转驱动总成或泵50内的其它流体推进总成被配置成经由驱动信号基于从控制器100所接收的参数来操作。泵50可以包括导线或导线束，导管51在一端包括连接器52。导管51可以包括被配置成使泵50可操作地连接至控制器100的一根或多根导线、光纤等，诸如用于将一个或多个驱动信号(例如，基于泵操作参数的信号)和/或电力从控制器100携带到泵50。导管51还可以被配置成将数据(诸如泵或患者诊断数据或告警状态数据)从泵50携带到控制器100。导管50可以被配置成至少部分插入患者体内，诸如用于使植入泵50连接至控制器100的经皮插入。在一些实施方案中，可以无线地传输泵50与控制器100之间的信号和/或电力，诸如经由电感耦合、电磁波或其它无线通信。

泵50可以包括一个或多个传感器56，诸如选自由以下组成的组的一个或多个传感器：流量传感器；磁传感器；电流传感器；旋转传感器；及其组合。在一些实施方案中，控制器100和/或泵50可以包括蓝牙收发器，未示出但被配置成发送和/或接收数据，诸如从泵50的一个或多个传感器56所收集的诊断数据。

控制器100包括处理单元(处理器110)和信号发生单元(信号发生器115)。控制器100可以进一步包括多个访问端口诸如端口102、103a和103b。控制器100可以包括用户接口，诸如包括显示器104和/或按钮105的用户接口。在一些实施方案中，显示器104包括触摸屏显示器。控制器100可以包括一个或多个传感器106，诸如选自由以下组成的组的一个或多个传感器：电压传感器；电流传感器；位置传感器；及其组合。端口102附接至连接器52，从而使得处理器110可操作地连接至泵50。信号发生器115被配置成产生驱动信号，该驱动信号可以经由导管51传输到泵50。该驱动信号可以基于一个或多个泵操作参数而产生，诸如选自由以下组成的组的一个或多个泵操作参数：泵流速；泵最大流速；泵最小流速；泵流体驱动元件速度；泵最大流体驱动元件速度；泵最小流体驱动元件速度；速度交替和/或波形；告警状态；告警级别；告警灵敏度；告警类型；温度水平；电池状态；及其组合。处理器110可以被配置成基于从一个或多个编程装置所接收的命令来改变这些泵操作参数，诸如本文所描述。控制器100可以进一步包括无线通信总成(收发器130)。收发器130可以被配置成将泵操作参数无线地传输到泵50和/或可以与外部组件(诸如智能电话或其它手持式装置)无线地通信，以使诊断数据或其它操作数据延迟。收发器130可以被配置为蓝牙收发器。

系统10还包括一个或多个电源组件(诸如电源模块160)。如图所示，每个电源模块160均包括电池161、导管162和连接器163。导管162可以包括一根或多根导线、光纤等并且在一端包括连接器163。连接器163被配置成使电源模块160在端口103a或103b处可操作地附接至控制器100。在一些实施方案中，电源模块160包括一个或多个处理器166，诸如经由导管162向控制器100提供信号的一个或多个电压传感器、电流传感器或电力传感器。在一些实施方案中，控制器100被配置成使用连接至端口103a和/或103b的两个电源模块160来操作，以使得当电源模块160断开时，控制器100操作而无需中断(例如，无电力故障)。电源模块160可以包括可再充电电池。在这些实施方案中，电源模块160可以被配置成支持预定数量的充电周期和/或可以提供自诊断指示器，以使得可以丢弃和更换“坏的”电源模块160。例如，在将废弃的电源模块160更换为充足电的电源模块160时，或在编程程序期间(诸如当编程器经由端口103a或103b连接至控制器100时)，可使电源模块160从控制器100断开，如下文所述。控制器100还可以包括内部电源(未示出但诸如电池或电容器)，以使得可以在短时期内移除所有外部电池160而无需中断操作。

系统10可以被配置成进入一种或多种告警状态，诸如通过泵50的所检测的不期望的状况所触发的告警状态。泵操作参数可以包括与不期望的泵状态相关的告警状态。在一些实施方案中，告警状态涉及选自由以下组成的组的泵状态：低流量状况；高流量状况；低电量状况；空气和/或其它气体已检测状况；电池断开状况；不期望的泵停机；温度超出可接受范围；电机电流高于最大阈值；电机电流低于最小阈值；不期望的供应电流状态；不期望的供应电流波动水平；及其组合。在一些实施方案中，系统10的泵操作参数包括用于触发系统10的告警状态的一个或多个阈值。可以经由从远程位置所接收的加密命令(例如，由远程通信装置300通过通信网络600所发送)来设置和/或修改基于阈值的泵操作参数。在一些实施方案中，系统10的泵操作参数包括告警状态，诸如表示系统10当前是否处于告警状态的接通或断开状态。在这些实施方案中，告警状态可能要求重置，诸如可以经由来自远程位置的加密命令所执行的重置。系统10可以被配置成具有可重置的一个或多个告警状态(例如，以允许继续使用泵)和不可重置的一个或多个告警状态(例如，防止继续使用泵或者另外要求另外的步骤以恢复泵抽从而继续使用泵)。在一些实施方案中，可以使不可重置的告警状态与要求现场注意的危及生命的告警状况相关，诸如选自由以下组成的组的泵状态：不期望的泵停机；温度超出可接受范围；电机电流高于最大阈值；电机电流低于最小阈值；及其组合。在一些实施方案中，可以在到达告警状态后修改阈值参数，诸如在发生特定低流量告警状况后减小的低流量阈值。处理单元110和/或系统10的另一组件可以包括告警算法，该告警算法使用一个或多个告警算法参数，诸如上述阈值或用于确定算法灵敏度的变量。在一些实施方案中，一个或多个泵操作参数包括可以如上所述重置的一组多个告警状态(例如，单个告警状态或多个告警状态)。在这些实施方案中，该系统可以包括被配置成防止告警状态过度重置的算法，诸如用于迫使通过制造商或其它技术服务来分析该系统的缺陷。可以通过使用告警重置计数器来防止过度重置，该告警重置计数器在每次重置被执行后增加。在每次重置后，将计数器的输出与包含最大重置阈值的告警算法参数进行比较。在实现该阈值后，防止随后对一个或多个告警状态的重置。在一些实施方案中，阈值是可调的，诸如仅由制造商来执行调整。

系统10包括一个或多个编程装置，诸如如图所示的编程器260和/或编程器260’。在一些实施方案中，编程器260被配置成医师操作的编程器并且编程器260’被配置成患者操作的编程器。在一些实施方案中，临床医师操作的编程器260可以被配置成设置或修改全部或大部分泵操作参数，而患者操作的编程器260’可以被配置成设置或修改数量更加有限的泵操作参数。例如，可以防止患者操作的编程器260’诸如经由本地通信装置400来设置或修改任何泵操作参数(例如，防止编程器260’设置或修改任何泵操作参数，除非提供临床医师或其它授权代码)。在一些实施方案中，编程器260’被配置成将从远程通信装置300所接收的命令转发到控制器100。在一些实施方案中，编程器260和编程器260’可以包括单个控制器，该控制器被配置成以医师模式和患者模式二者进行操作。在这些实施方案中，患者模式可以被配置成具有有限的能力以设置或修改任何泵操作参数，而临床医师模式可以被配置成设置或修改全部或大部分泵操作参数，如上所述。可以利用用户名和/或密码完成患者模式与临床医师模式之间的不期望的或无意的过渡。在一些实施方案中，医师操作的编程器260可以被配置成保持在医师办公室，并且可以用于在对医师办公室的初始和/或随后的患者拜访期间修改泵操作参数。

编程器260和/或260’(一般为260)各自包括导管262(该导管包括一根或多根导线、光纤等)，该导管在一端具有连接器263。编程器260进一步包括用户接口，该用户接口包括显示器264和按钮265。在一些实施方案中，显示器265包括触摸屏显示器。编程器260被配置成经由端口103a和/或103b可操作地连接至控制器100，并且将泵操作参数下载到处理器110。在一些实施方案中，端口103a和/或103b可以提供选自由以下组成的组的连接：电连接；光连接；及其组合。在一些实施方案中，编程器260可以包括无线收发器(诸如蓝牙收发器)，该无线收发器被配置成将泵操作参数经由收发器130无线地传输到处理器110。呈如上所述的医师模式时，显示器264和/或按钮265可以被配置成接收来自临床医师或其他授权护理员的进入编程器260的泵操作参数的输入，以供上传到控制器100。显示器264可以显示将要上传的泵操作参数的细节，并且还可以显示上传过程的状态(例如，上传的完成百分比、上传成功的指示)。显示器264和/或按钮265可被进一步配置成开始将参数诸如从本地通信装置400上传到编程器260。显示器264和/或按钮265可以被配置成开始将一个或多个参数从编程器260下载到控制器100。

远程通信装置300和本地通信装置400各自包括唯一ID 510。系统10包括唯一ID发生器、密钥发生器500。密钥发生器500可以包括随机代码发生器并且可以在制造中用于随机产生唯一ID 510，该唯一ID510被配置成嵌入在装置300和400内，从而使得远程通信装置300和本地通信装置400联结在一起。密钥发生器500可以被配置成提供多个唯一ID 510，诸如用于为第二系统10(即，用于提供对第二患者的第二可植入泵总成的远程访问的第二组通信装置)提供唯一ID。嵌入式唯一ID 510确保了从装置300中发送出的编码命令可能仅由装置400恰当地解码(即，任何给定远程通信装置300仅对其对应的本地通信装置400起作用)，如下文参照图3A和3B所述。其它系统组件还可以包括唯一ID 510(例如，控制器100或电源模块160)，诸如以确保每个唯一识别的组件仅可利用具有匹配的唯一ID 510的特定系统10的组件进行操作。

远程通信装置300包括代码发生算法和相关电子器件(代码发生器310)，该代码发生算法和相关电子器件被配置成基于唯一ID 510产生加密命令。在一些实施方案中，使用64位加密算法或256位加密算法来形成加密命令。远程通信装置进一步包括通信模块(收发器320)，该通信模块被配置成将加密命令经由通信网络600传输到本地通信装置400。本地通信装置400包括通信模块(收发器420)，该通信模块被配置成从远程通信装置300接收加密命令。本地通信装置包括解码算法和相关电子器件(解码器410)，该解码算法和相关电子器件被配置成基于唯一ID 510来将从远程通信装置300所接收的加密命令解码。本地通信装置400被配置成诸如通过以下步骤来基于加密命令修改处理器110的泵操作参数：将该命令解密；确认该命令的有效性；以及将操作参数经由编程器260’发送到控制器100。本地通信装置400可以使用基于唯一ID 510的解密算法或如下文另外参照图3B的解码器410所述来确定所接收命令的有效性。本地通信装置400可以进一步包括端口413，诸如用于经由连接器263可操作地连接至编程器260’。下文参照图3A和3B进一步描述了装置300和400。

在一些实施方案中，本地通信装置400可以包括被配置成产生数据的一种或多种算法，诸如被配置成运行系统或组件测试以产生诊断数据的诊断算法。远程通信装置300可以被配置成上传来自本地通信装置400的数据，诸如由基于唯一标识符510的安全上传命令所触发的上传。所上传的数据可以包括上文所描述的诊断数据，诸如在改变一个或多个泵操作参数之前进行检查的诊断数据。

在一些实施方案中，远程通信装置300和/或本地通信装置400包括纠错算法，诸如被构造和布置成纠正数据传输或其它通信中的错误的算法。

在一些实施方案中，例如，当编程器260包括被配置成如图所示可操作地连接至标准AC壁装电源插座的电导管262(例如，可附接的导线对或电源)时，可以使一个或多个编程器260附接至电源。在这些实施方案中，一个或多个编程器260可以将从壁装电源插座所接收的电力传递到控制器100。

现在参照图2，说明了与本发明的发明概念一致的用于患者的流体流动系统的示意图，该流体流动系统包括一个或多个组件，该一个或多个组件被配置成经由通信网络和至少一个人类操作员进行通信。系统10的组件可以被配置成与图1的系统10的组件类似。在所示实施方案中，本地通信装置400包括导管402和连接器403，该连接器被配置成使本地通信装置400可操作地连接至控制器100。在图2的实施方案中，通信装置400被配置成将泵操作参数下载到控制器100，而无需图1的编程器260’。连接器403可以包括选自由以下各项组成的组的连接元件：电连接器；光连接器；及其组合。在一些实施方案中，收发器420可以被配置成将泵操作参数诸如经由控制器100的收发器130无线地传输到处理器110。在一些实施方案中，本地通信装置400可以包括第二无线收发器(诸如蓝牙收发器)，该第二无线收发器被配置成将泵操作参数诸如经由收发器130无线地传输到处理器110。本地通信装置400可以进一步包括显示器404和用户输入端405。用户输入端405可以包括键盘、指向装置(诸如鼠标)和/或语音识别模块。

而且在所示实施方案中，远程通信装置300被配置成经由通信网络(通信网络600)与本地通信装置400通信，包括至少一个人类操作员，以使得能够在装置300与400之间进行通信。可以通过语音网络实现这一通信，其中第一操作员位于第一位置(例如，临床医师或护理员位于临床位置)并且第二操作员位于第二位置(例如，患者或护理员位于患者位置)。在一些实施方案中，在远程通信装置300的显示器304上呈现命令309。该命令包括加密命令，该加密命令包括字符序列。第一操作员向第二操作员表述命令309。第二操作员将该命令经由用户输入端405输入本地通信装置400中。在替代实施方案中，远程通信装置300可以诸如通过被配置成指示命令的语音发生器或经由电子邮件或其它非言语通信来将命令309传送到第二用户，而无需与第一用户相互作用。类似地，第二操作员将语音发生器所呈现的命令经由用户输入端405输入本地通信装置400中。将授权的可接受命令(诸如下文参照图3B的解码器410所述的有效命令)从本地通信装置400传递到控制器100进行进一步处理。

现在参照图3A和3B，示出了与本发明的发明概念一致的第一通信装置和本地通信装置的示意图。在图3A中，示出了远程通信装置300，其中说明了高水平的示意性组件。远程通信装置300包括显示器304和用户输入端305，该显示器和该用户输入端被配置成允许第一用户(例如，医师)设置或修改一个或多个泵操作参数。泵操作参数的变化可以包括选自由以下组成的组的参数的变化：泵流速；泵最大流速；泵最小流速；泵流体驱动元件速度；泵最大流体驱动元件速度；泵最小流体驱动元件速度；速度交替和/或波形；告警状态；告警级别；告警灵敏度；告警类型；温度水平；电池状态；及其组合。

远程通信装置300包括唯一ID 510以及系统时钟311。可以将唯一ID 510存储在读保护存储器模块中，以使得唯一ID 510可以用于产生加密命令，但不能由未授权用户或程序读取或修改。系统时钟311可以提供选自由以下组成的组的时间信息：当日时间信息；日期信息；及其组合。远程通信装置300包括加密模块(代码发生器310)，该加密模块被配置成基于以下中的至少一种来产生加密命令：泵操作参数的用户定义变化；来自时钟311的时间数据；或唯一ID 510。这些因素可以用于使用由代码发生器310所执行的密码散列函数来产生加密命令。在一些实施方案中，代码发生器310被配置成基于泵操作参数的用户定义变化和唯一ID 510来产生第一加密命令。在这些实施方案中，代码发生器310可以被进一步配置成也使用时钟311的数据来产生第一加密命令。代码发生器310可以被配置成产生包含至少一个验证位的第一加密命令(诸如当该至少一个验证位包括校验和时)。

远程通信装置300进一步包括通信模块(收发器320)。收发器320被配置成将加密命令通过通信网络(诸如通信网络600)发送到本地通信装置400。通信网络600可以包括选自由以下组成的组的网络：互联网；蜂窝服务；卫星通信；光纤网络；电话线；及其组合。在图3B中，示出了本地通信装置400，其中说明了高水平的示意性组件。本地通信装置400包括通信模块(收发器420)，该通信模块包括防火墙425。收发器420被配置成通过通信网络600从远程通信装置300接收加密命令。

本地通信装置400包括唯一ID 510以及系统时钟411。可以将唯一ID 510存储在读保护存储器模块中，以使得唯一ID可以用于将加密命令解码，但不能由未授权用户或程序读取或修改。系统时钟411可以提供选自由以下组成的组的时间信息：当日时间信息；日期信息；及其组合。本地通信装置400包括解密模块(解码器410)，该解密模块被配置成基于来自时钟411的时间数据或唯一ID 510中的至少一种来将由收发器420所接收的进入消息解码。消息可为由收发器420所接收的进入数据流。在解码器410已确认消息的有效性后，将该消息视为有效命令，如下文所述。防火墙425可以被配置成防止经由通信网络600访问解码器410，诸如防止未授权的访问或通信网络600与解码器410之间的另外有害通信。防火墙425使收发器420与本地通信装置400的一个或多个组件隔离，以使得仅有效命令可以传递到随后的电子模块(即，所有进入消息都必须穿过解码器410并且被验证或者被拒绝)。在一些实施方案中，本地通信装置400可以被配置成提醒用户进入消息(例如，包含尝试命令的消息)是否被确定为无效，如下文参照解码器410所述。在一些实施方案中，在某个预定时间段内接收到多个无效消息的情况下，或者在较长时间段内所接收的无效消息达到极限的情况下(例如，无效消息的量高于阈值)，警告状态可能增强(例如，更紧急的警告状态被激活)。

解码器410被构造和布置成：将由收发器420所接收的消息解码；确定所接收的消息为从远程通信装置300所发送的有效命令；以及确定在该命令内编码的泵操作参数的预期变化。如果消息被确定为有效命令，那么随后将这些预期变化诸如经由连接器403下载到控制器100，以使得处理器110产生修改的控制信号以操作泵50，如上文参照图1所述。在一些实施方案中，本地通信装置400的解码器410可以使用唯一ID 510来将所接收的消息解码，以使得仅仅某个消息(其包含已使用匹配的唯一ID 510(即，远程通信装置300的唯一ID510)来加密的命令)被确定为有效命令。可以在加密期间使用了不正确的唯一ID的情况下和/或在所接收的代码未加密的情况下将消息确定为无效，以使得解密算法将产生无效输出。也可以在验证位和/或校验和丢失或无效的情况下将消息确定为无效。也可以在加密期间使用了正确的唯一ID但命令已期满的情况下将消息确定为无效(诸如当该命令中所包含的时间数据超出可接受参数的范围时(即，自该命令被加密以来已经过了太多时间))。在一些实施方案中，本地通信装置400可以包括存储器模块415，该存储器模块被配置成存储包含从远程通信装置300所接收的有效命令的先前消息。本地通信装置400可以被配置成将包含有效命令的进入消息与先前消息进行比较，诸如用于确保命令不会无意地重复(例如，不会存在两个完全相同的加密消息，以使得重复的命令不会产生唯一加密消息，该唯一加密消息永远不会重复)。

如果加密命令无效(例如，并非使用恰当的唯一ID来加密)，那么本地通信装置400不会将泵操作参数变化信息如上所述传输到处理器110。在一些实施方案中，本地通信装置400可以显示警报(诸如显示在显示器404上的出错消息)，该警报通过信号告知用户已接收到无效命令。本地通信装置400还可以显示确认消息，诸如当有效命令被解码和/或成功传递到控制器100时。显示器404可以包括选自由以下组成的组的指示器：发光指示器；振动换能器；音频换能器；字母数字显示器；及其组合。

本地通信装置400可以包括单向收发器(蓝牙模块430)，该单向收发器被配置成从泵50和/或控制器100接收诊断数据。蓝牙模块430可以被配置成单向收发器以使得可以接收数据，并且可能不会将信息发送到控制器100和/或泵50，诸如用于确保如本文所述的泵50的操作完整性。蓝牙模块430可以接收信息(诸如从系统10的一个或多个传感器所收集的信息)，该信息包括选自由以下组成的组的信息：泵旋转速度；泵壳体温度；泵中的血液温度；穿过泵的流速；血压；SpO₂水平；其它生理参数；电池状态；及其组合。可以将由蓝牙模块430所接收的数据经由通信网络600传输穿过收发器420到达远程通信装置300。

现在参照图4，说明了与本发明的发明概念一致的流体流动系统的一组本地通信装置和远程通信装置的示意图。系统10包括多个远程通信装置300’和300”以及多个本地通信装置400’、400”和400”’，各自被配置成经由通信网络600通信。每个本地通信装置400’、400”和400”’均带有编程器260、控制器100和泵50，该编程器、该控制器和该泵出于说明清楚的目的而未示出但通常如上文参照图1所述并且在植入有泵50的患者的本地环境中进行配置。可以将远程通信装置300’和300”定位在卫生保健提供者的位置(诸如第一临床医师办公室、第二临床医师办公室或医院)。

本地通信装置400’包括唯一标识符510a。本地通信装置400”包括唯一标识符510b。位置通信装置400”’包括唯一标识符510c。可以产生唯一标识符510a-c并将它们如参照图1的唯一标识符510所述进行描述。

远程通信装置300’包括唯一标识符510a，以使得远程通信装置可以将如本文所述的加密命令发送到本地通信装置400’。可以形成经加密并且另外由远程通信装置300’使用唯一标识符510a所产生的命令以远程地修改与本地通信装置400’以安全方式协同定位的泵50的一个或多个泵操作参数(例如，以防止发生未授权的变化)。远程通信装置300’进一步包括第二唯一标识符(唯一标识符510b)，以使得远程通信装置300’可以与本地通信装置400”以类似方式安全地通信，诸如用于远程地修改与本地通信装置400”协同定位的泵50的一个或多个泵操作参数。远程通信装置300”还包括唯一标识符510b，以使得远程通信装置300”也可以与本地通信装置400”安全地通信(诸如当远程通信装置300’位于第一临床医师办公室并且第二通信装置300”位于第二临床医师办公室或者位于医院或其它临床环境中时)。远程通信装置300”进一步包括唯一标识符510c，以使得远程通信装置300”可以与本地通信装置400”’安全地通信，诸如用于修改与本地通信装置400”’协同定位的泵50的一个或多个泵操作参数。

系统10可以包括一个或多个本地通信装置400(包括相关泵50和上文参照图1所述的其它系统组件)和一个或多个远程通信装置300的众多配置。每个通信装置300或400均可包括一个或多个唯一标识符，诸如用于提供一个或多个泵操作参数的安全通信和修改。每个远程通信装置300均可包括一个或多个唯一标识符(诸如存储在存储器的查找表中的一个或多个唯一标识符)，该查找表诸如与一列患者相关的查找表。在一些实施方案中，一个或多个本地通信装置400包括多个唯一标识符，诸如用于使本地通信装置300与多个远程通信装置安全通信的多个唯一标识符，该多个远程通信装置包含不同的唯一标识符。每个唯一标识符均可由安全密钥发生器(诸如图1的安全密钥发生器500)产生。

虽然已参照研发环境描述了这些装置和方法的优选实施方案，但它们仅仅说明了本发明的原理。对于本领域技术人员显而易见的、用于实施本发明的上述总成、其它实施方案、配置和方法的修改或组合以及本发明各方面的变化旨在落入随附权利要求书的范围内。另外，在本申请按照特定顺序列举了方法或程序的步骤的情况下，可能(或者甚至在一些情况下是有利的)改变一些步骤被执行的顺序，并且这意味着并不将随附方法或程序权利要求的具体步骤视为顺序特定的，除非权利要求中明确说明这种顺序特异性。

Claims (30)

1.一种用于患者的血液流动系统，所述血液流动系统包括：

控制器，所述控制器包括：

处理单元，所述处理单元包括信号发生器和一个或多个血液泵操作参数，其中所述信号发生器被构造和布置成传递驱动信号；以及

电池，所述电池被构造和布置成为所述处理单元提供电力；

可植入血液泵总成，所述可植入血液泵总成被构造和布置成从所述处理单元接收所述驱动信号并且基于所述驱动信号推进血液；

安全密钥发生器，所述安全密钥发生器被构造和布置成产生唯一标识符；

远程通信装置，所述远程通信装置包括代码发生器和由所述安全密钥发生器所产生的所述唯一标识符，其中所述代码发生器被构造和布置成基于所述唯一标识符产生加密命令；以及

本地通信装置，所述本地通信装置包括所述唯一标识符；其中所述本地通信装置被构造和布置成从所述远程通信装置接收所述加密命令,使用所述唯一标识符将所述加密命令解密,并且基于所解密的命令来修改所述处理单元的血液泵操作参数。

2.如权利要求1所述的系统，其中所述处理单元被构造和布置成基于所述一个或多个血液泵操作参数来将所述驱动信号传递到所述可植入血液泵总成。

3.如权利要求1所述的系统，进一步包括编程器，所述编程器包括第一连接器，其中所述处理单元包括第二连接器，所述第二连接器被构造和布置成可操作地连接至所述第一连接器，其中所述编程器经由所述第一连接器与所述处理单元通信。

4.如权利要求3所述的系统，其中所述编程器被构造和布置成保持在远离所述患者的位置。

5.如权利要求3所述的系统，其中所述编程器被构造和布置成修改所述处理单元的至少一个血液泵操作参数。

6.如权利要求5所述的系统，其中所述编程器被构造和布置成防止所述患者改变所述至少一个血液泵操作参数。

7.如权利要求3所述的系统，其中所述编程器被构造和布置成向所述控制器传递电力。

8.如权利要求1所述的系统，其中所述处理单元包括无线传输器。

9.如权利要求1所述的系统，其中所述一个或多个血液泵操作参数包括选自由以下组成的组的参数：血液泵流速；血液泵最大流速；血液泵最小流速；血液泵流体驱动元件速度；血液泵最大流体驱动元件速度；血液泵最小流体驱动元件速度；速度交替和/或波形；告警状态；告警级别；告警灵敏度；告警类型；温度水平；电池状态；及其组合。

10.如权利要求1所述的系统，其中所述处理单元包括告警算法，并且所述一个或多个血液泵操作参数包括告警算法参数。

11.如权利要求1所述的系统，其中所述安全密钥发生器被进一步构造和布置成产生第二血液流动系统的第二唯一标识符。

12.如权利要求1所述的系统，进一步包括第二本地通信装置并且其中所述安全密钥发生器被进一步构造和布置成产生所述第二本地通信装置的第二唯一标识符。

13.如权利要求1所述的系统，进一步包括第二远程通信装置并且其中所述安全密钥发生器被进一步构造和布置成产生所述第二远程通信装置的第二唯一标识符。

14.如权利要求1所述的系统，其中所述代码发生器被构造和布置成通过将血液泵操作参数变化信息利用所述唯一标识符加密来产生第一加密命令。

15.如权利要求14所述的系统，其中所述远程通信装置包括用户接口，所述用户接口被构造和布置成允许操作员输入所述血液泵操作参数变化信息。

16.如权利要求14所述的系统，其中所述第一加密命令包括由所述本地通信装置所接收的命令。

17.如权利要求16所述的系统，其中所述本地通信装置被构造和布置成将所述第一加密命令解密并且在所述第一加密命令基于恰当唯一标识符的情况下将所述血液泵操作参数变化信息传输到所述处理单元。

18.如权利要求16所述的系统，其中所述本地通信装置被构造和布置成将所述第一加密命令解密并且在所述第一加密命令不基于恰当唯一标识符的情况下不会将所述血液泵操作参数变化信息传输到所述处理单元。

19.如权利要求1所述的系统，其中所述本地通信装置包括第一本地通信装置，所述第一本地通信装置包括由所述安全密钥发生器所产生的第一唯一标识符，其中所述系统进一步包括第二本地通信装置，所述第二本地通信装置包括由所述安全密钥发生器所产生的第二唯一标识符，其中所述远程通信装置进一步包括所述第二唯一标识符，并且其中所述远程通信装置被构造和布置成与所述第一本地通信装置和所述第二本地通信装置通信。

20.如权利要求19所述的系统，其中所述远程通信装置包括查找表，所述查找表包括所述第一唯一标识符和所述第二唯一标识符。

21.如权利要求1所述的系统，其中所述本地通信装置进一步包括用户接口，所述用户接口被构造和布置成从第一人类操作员接收所述加密命令。

22.如权利要求1所述的系统，其中所述本地通信装置被构造和布置成接收消息并且提醒用户所述消息是否被确定为无效。

23.如权利要求22所述的系统，其中所述本地通信装置被构造和布置成在接收到多个无效消息的情况下进入告警状态。

24.如权利要求23所述的系统，其中所述本地通信装置被构造和布置成在预定时间段内接收到所述多个无效消息的情况下进入告警状态。

25.如权利要求1所述的系统，其中所述远程通信装置包括第一远程通信装置，所述第一远程通信装置包括由所述安全密钥发生器所产生的第一唯一标识符，其中所述系统进一步包括第二远程通信装置，所述第二远程通信装置包括由所述安全密钥发生器所产生的第二唯一标识符，其中所述本地通信装置进一步包括所述第二唯一标识符，并且其中所述本地通信装置被构造和布置成与所述第一远程通信装置和所述第二远程通信装置通信。

26.如权利要求25所述的系统，其中所述本地通信装置包括查找表，所述查找表包括所述第一唯一标识符和所述第二唯一标识符。

27.如权利要求1所述的系统，进一步包括纠错算法，所述纠错算法被构造和布置成纠正所述本地通信装置与所述远程通信装置之间的通信错误。

28.一种修改血液流动系统的操作参数的方法，所述方法包括：

提供血液流动系统，所述血液流动系统包括：

控制器，所述控制器包括：

处理单元，所述处理单元包括信号发生器和一个或多个血液泵操作参数，其中所述信号发生器被构造和布置成传递驱动信号；以及

电池，所述电池被构造和布置成为所述处理单元提供电力；

可植入血液泵总成，所述可植入血液泵总成被构造和布置成从所述处理单元接收所述驱动信号并且基于所述驱动信号推进血液；

安全密钥发生器，所述安全密钥发生器被构造和布置成产生唯一标识符；

远程通信装置，所述远程通信装置包括代码发生器和由所述安全密钥发生器所产生的所述唯一标识符，其中所述代码发生器被构造和布置成基于所述唯一标识符产生加密命令；以及

本地通信装置，所述本地通信装置包括所述唯一标识符；其中所述本地通信装置被构造和布置成从所述远程通信装置接收所述加密命令并且基于所接收的加密命令来修改所述处理单元的血液泵操作参数；

使所述安全密钥发生器产生所述唯一标识符；

使所述唯一标识符结合到所述远程通信装置和所述本地通信装置中；

利用所述远程通信装置产生加密命令，所述加密命令包括所提议的对一个或多个血液泵操作参数的修改；

利用所述本地通信装置接收所述加密命令并且确认所述加密命令的可接受性；以及

在所述加密命令的可接受性得到确认的情况下修改所述处理单元的所述一个或多个血液泵操作参数。

29.如权利要求28所述的方法，其中修改所述一个或多个血液泵操作参数会修改血液泵告警状态。

30.如权利要求28所述的方法，其中修改所述一个或多个血液泵操作参数会修改血液泵流速。