CN114999606A - 用于使用监督实体或安全模块来生成监视信号的方法 - Google Patents

Abstract

本发明涉及用于通过使用医疗app（122）监视病人的实验室值而生成监视信号的方法。医疗app（122）在病人的移动设备上执行，其中通过监督实体或安全模块（106、128）来监督在病人的移动设备（102）上的医疗app（122）的执行，监督实体或安全模块（106、128）至少包括可执行程序指令（130）。医疗app（122）包括用于执行用于生成监视信号的至少一个过程序列的可执行指令。过程包括安全关键过程。通过病人的血糖水平的测量结果来触发该过程序列。该方法包括执行过程序列中的第一过程，其中执行导致信息的生成、将所执行的过程的信息转发到监督实体或安全模块（106、128）、通过监督实体或安全模块（106、128）来评估接收到的信息以及依靠评估的结果来执行过程序列中的第二过程。

Description

用于使用监督实体或安全模块来生成监视信号的方法

本申请是申请日为2015年9月11日，申请号为201580047411.9并且发明名称为“用于使用监督实体或安全模块来生成监视信号的方法”申请的分案申请。

技术领域

本发明涉及通过使用医疗app监视病人的实验室值而生成监视信号，其中通过监督实体或安全模块和医疗系统来监督医疗app的执行，所述医疗系统诸如输注泵系统，特别是胰岛素泵系统。

背景技术

当今，像例如胰岛素泵之类的医疗设备变得越来越小。结果，对此类小医疗设备的控制装置可能变得太小而不能被病人手动使用。因此，在一些情况下，使用像例如移动设备之类的分离设备来控制这些医疗设备是有用的，所述分离设备被连接到医疗设备。例如，当今可以使用智能电话来控制医疗设备。然而，因为医疗设备可以执行生命关键动作，比如给病人应用药物，所以监督在智能电话上运行的医疗app的执行可能是必要的，因为一般不根据像IEC 62304之类的医疗安全指南来开发智能电话。

输注泵是将诸如营养物和药物之类的流体按受控量输送到病人的身体中的医疗设备。在诸如医院、疗养院之类的临床环境中和在家中广泛使用输注泵。

一般地，输注泵由经培训的用户操作，所述用户通过内置软件接口对流体输送的速率和持续时间进行编程。输注泵提供关于流体的手动管理的显著优点，包括按非常小的体积输送流体的能力和以精确地编程的速率或自动化间隔输送流体的能力。它们可以输送营养物或药物，诸如胰岛素或其他激素、抗生素、化疗药物和止痛药。

存在许多类型的输注泵，包括大体积、病人自控镇痛（PCA）、弹性体、注射器、肠内和胰岛素泵。一些输注泵被主要设计用于在病人床边的固定使用。称作非固定输注泵的其他输注泵被设计成便携式的或可穿戴的。

为输注泵经常被用来管理关键流体，包括高风险药物，所以泵故障可能对病人安全有显著影响。许多输注泵配备有安全特征，诸如意图在发生问题时激活的警报器或其他操作者警告。例如，一些泵被设计成在向病人输送流体的管子中检测到空气或另外的堵塞时警告用户。常常称作智能泵的一些较新输注泵被设计成在存在不利药物相互作用的风险时或在用户将泵的参数设置在指定的安全限制之外时警告用户。

胰岛素泵疗法常常称为“持续皮下胰岛素输注”(CSII)并且紧密模仿胰腺的自然动作,从而向身体提供胰岛素的持续供应和根据需要提供额外剂量。

当使用便携式胰岛素泵时，不再存在对注射的任何需要。代替地，控制泵（在皮肤下）通过皮下套管的方式给病人的身体持续地供应其需要的胰岛素。

用于控制计算机程序的程序流的一个方法称为“COMEFROM”编程。在该情况下，计算机程序的单独子过程将子过程的执行的中间结果移交给随后过程，其中被寻址（address）的过程然后可以核实实际上是否允许过程调用来调用随后过程。结果，通过计算机程序的单独模块核实它们是否被以正确的顺序激活来控制计算机程序的整体执行。只要不仅存在所涉及的过程的一个序列而是存在多于一个序列，其中两个序列的单独过程相互影响，根据方法的COMEFROM将不再工作，因为在单独序列的模块之间通常不存在通信。因为可进一步有可能的是：如果已经执行了过程的另一序列中的一系列单独过程则的话，可能仅执行过程的第一序列中的一些过程，所以COMEFROM方法不再足够。

发明内容

本发明提供了一种用于通过使用移动设备和监督实体或安全模块来监视病人的实验室值而生成监视信号的方法，以及一种包括移动设备和监督实体或安全模块的对应系统。在从属权利要求中给出了本发明的实施例。

本发明申请要求EP14184795的优先权，所述EP14184795的全部被通过引用结合到本文中。

根据本发明的实施例，通过使用医疗app监视病人的实验室值来生成监视信号。医疗app在病人的移动设备上执行，其中通过监督实体来监督在病人的移动设备上的医疗app的执行。监督实体至少包括可执行程序指令并且医疗app包括用于执行至少一个过程序列的可执行指令，其中过程包括用于测量病人的至少一个实验室值、将测量到的值与被许可值的预定义范围进行比较以及响应于确定测量到的值中的至少一个超过预定义范围而生成监视信号的过程。用于生成监视信号的方法进一步包括执行过程序列中的第一过程的步骤，其中执行导致信息的生成。被执行的过程的信息然后被转发到监督实体并且被监督实体评估。根据评估的结果，然后可以执行过程序列中的第二过程。

根据本发明的实施例，通过使用医疗app监视病人的实验室值来生成监视信号。医疗app在病人的移动设备上执行，其中通过监督实体或安全模块来监督在病人的移动设备上的医疗app的执行。监督实体或安全模块至少包括可执行程序指令并且医疗app包括用于执行用于生成监视信号的至少一个过程序列的可执行指令，其中过程包括安全关键过程。通过病人的血糖水平的测量结果来触发该过程序列。在一些实施例中，过程序列包括用于测量或确定病人的至少一个实验室值、将测量到的或所确定的值与被许可值的预定义范围进行比较以及响应于确定测量到的或所确定的值中的至少一个超过预定义范围而生成监视信号的过程。用于生成监视信号的方法进一步包括执行过程序列中的第一过程的步骤，其中执行导致信息的生成。被执行的过程的信息然后被转发到监督实体或安全模块并且被监督实体或安全模块评估。根据评估的结果，然后可以执行过程序列中的第二过程。

本发明的实施例可具有引入了中央监督实体或安全模块的优势，其中每个被执行的过程向监督实体或安全模块提供信息。根据该信息，监督实体或安全模块然后可以确定是否可以执行过程序列中的下一过程。要注意，这还对并行执行的不止一个过程序列起作用。例如，如果存在两个序列，则监督实体或安全模块从两个序列的过程接收信息并且然后可基于这两者的信息来决定是否可以执行随后过程。结果，例如可以有可能的是：第一过程序列中的过程只有在第二序列中的多个过程已经如由提供给监督实体或安全模块的信息指示的那样执行的情况下才被执行。因此，尤其安全关键过程只有在对于其执行的所有要求（像例如其他过程的在先执行）被满足时才被执行。

在该背景下，安全关键过程可以被理解为在该过程未被正确地执行的情况下可能伤害病人的过程。假设例如移动设备是病人的智能电话，病人患有糖尿病。在智能电话上运行的医疗应用可能例如被适配成从植入到病人的组织中的连续葡萄糖测量实体接收测量数据。使用该测量数据，医疗应用可以例如确定当前血糖值并且向病人显示对应信息。使用该血糖值，医疗app可以指示向病人的组织中注射胰岛素的必要性。

在医疗app并未如其被预期可能发生的那样而工作的情况下，错误的血糖值被显示给病人，使得病人注射胰岛素。因为这可能引起对病人严重的伤害，所以必须监督用于确定病人的血糖值的过程以及用于发出警报的过程。因此，可以将血糖值的确定以及警报限制的监视理解为安全关键过程。进一步地，安全关键过程可以例如是对血糖测量结果、智能电话与比如安全模块之类的模块的配对或对连续血糖测量传感器的初始化的校准。进一步地，智能电话或医疗可能包括自测序列，比如运行时测试和上电自测，其也必须被监督。

在方法的执行期间生成的监视信号可能具有许多效果。在一些实施例中，监视信号被适配成触发移动设备以进行紧急呼叫。如果医疗app监视实验室值的话，这可能例如是有利的，所述实验室值比如病人的脉搏或血液的氧饱和度或血糖水平或任何其他生命特征，其中确定测量到的或所确定值超过预定义范围可以指示病人的生命危及状态。通过测量到的或所确定的值一退出预定义范围就使用自动化的紧急呼叫，然后可以减少例如救援服务的响应时间。

在一些实施例中，移动设备被连接到病人的医疗设备，其中监视信号被适配成触发医疗设备对病人应用药物或停止应用药物，使得病人的实验室值移动到预定义范围的周界中。例如，医疗设备可以是胰岛素泵，其中监视针对病人的血糖水平。医疗app一检测到病人的血糖水平过高或高低，医疗app然后就可以使医疗设备激活、解激活、加速或减速，所述医疗设备在该情况下可能是胰岛素泵使得病人被提供足够量的胰岛素。该一般方法可以是有利的，如果被监视的实验室值表示可以通过应用药物恢复的重要机能。

在胰岛素泵的示例中，安全关键过程可以例如是设置用于注射胰岛素的基础速率或暂时的基础速率、通过医疗设备本身来测量血糖水平、设置胰岛素丸剂、开始/停止应用胰岛素和例如在输注单元已经被改变之后对过程进行初始化。

在又一实施例中，监视信号被适配成触发移动设备发出可察觉的警报信号。如果医疗app例如监视并非直接生命关键（像例如病人的温度）的实验室值，则仅在病人的温度过高或高低时发出警报可能是足够的，因为通常不必要直接抵消病人的过高或过低的温度。

在一些实施例中，第一过程的执行导致中间结果的生成，其中中间结果被传递到过程序列中的第二过程上以用于进一步处理。该信息于是包括中间结果，其中监督实体或安全模块核实与该信息一起接收到的中间结果是否在结果的所定义的范围内。进一步地，仅在已经确定该结果在结果的所定义的范围内的情况下执行过程序列中的第二过程。

例如，将最终导致生成监视信号的过程序列可以以打算从医疗设备接收测量数据并且将接收到的数据转换成由随后过程可读的格式的第一过程开始。一旦该第一过程已经完成，该过程就将结果转发到监督实体或安全模块，该结果是从医疗设备接收到的经转换的数据的。监督实体或安全模块然后可以包括表，其中该表包括关于第一过程的结果应该处于的格式的信息或者该表可以进一步包括关于在执行第一过程时所预期的结果的范围的信息。

监督实体或安全模块然后可以核实接收到的结果的格式以及接收到的结果的值是否在所允许的边界内，并且如果是这样则可以允许执行第二过程。进一步地，监督实体或安全模块可以被适配成将第一过程的结果转发到第二过程，使得执行第二过程而不涉及监督实体或安全模块是不可能的。然而，该过程还可以将中间结果直接移交给随后过程。

在一些实施例中，监督实体或安全模块响应于确定结果在预定义范围内而生成触发信号并且将触发信号传输到移动设备。触发信号在被移动设备接收时则触发移动设备以执行第二过程。这可以具有如下优点：仅可以在监督实体或安全模块已经从第一过程接收到中间结果并且核实了接收到的中间结果在预定义范围内的情况下执行第二过程，从而核实过程序列的执行不是有缺陷的。

在一些实施例中，监督实体或安全模块将移动设备带入故障安全状态，即带入安全状态或带入具有减少的功能的安全操作模式，从而响应于确定中间结果不在结果的所定义的范围内而从总的系统功能消除错误功能。这可以具有如下优点：过程序列的错误执行将不以危险的或生命关键的方式影响病人，监督实体或安全模块一检测到过程序列中的过程中的一个不像预期那样工作，其就将移动设备带入安全状态或具有减少的功能的安全操作模式，从而避免可能伤害病人的进一步动作。

在一些实施例中，标识符被指派给过程序列，其中监督实体或安全模块可操作成访问序列表。序列表包括指定所允许的过程序列或被禁止的序列的条目，其中监督实体或安全模块从所执行的过程接收的信息包括第二过程的标识符，将在第一过程之后执行该第二过程。监督实体或安全模块然后通过查找序列表来核实是否可以在第一过程之后执行第二过程。响应于确定不允许在第一过程之后执行第二过程，监督实体或安全模块然后中断序列的执行。

可以进一步可能的是：该过程响应于被执行而将其标识符转发到监督实体或安全模块，使得监督实体或安全模块可以核实实际上是否允许执行刚刚已经被启动的过程。在该情况下，监督实体或安全模块的反应时间低于过程的执行时间可能是必要的，因为在相反情况下，监督实体或安全模块将不能在过程结束之前中断过程的执行。

实施例可能具有如下优点：通过核实过程的标识符和检查过程是否被以正确的顺序执行，将没有过程被过早执行，例如在另一过程的执行之前被执行，这对于第二过程的执行而言是必要的。结果，可以避免跳过关键过程。在该情况下，序列表包括指定必须在第一序列的过程的执行之前执行的另一序列的过程的条目也是可能的。因此，监督实体或安全模块还可操作成核实多个序列的过程的执行的正确顺序。

在一些实施例中，监督实体或安全模块被适配成在过程序列的执行期间创建日志文件。日志文件包括已经在序列或序列过程的执行的过程中执行的过程的标识符。

实施例可以具有如下优点：如果由于过程的错误执行而必须中断过程序列，则重建导致医疗app的故障的情形是可能的。为此，仅有必要检查哪些过程已经被成功执行和执行在哪个过程处结束。

在一些实施例中，序列表进一步包括指定必须在第二过程的执行之前执行的过程的集合的信息，其中监督实体或安全模块通过查找序列表和将过程的集合的标识符与日志文件中包括的标识符进行比较来进一步核实过程的集合是否已经被执行。实施例可以促进验证是否在第二过程的执行的开始之前已经执行了所有相关过程步骤。

在一些实施例中，如果必须在医疗app的执行期间执行的过程序列已经被成功完成，则监督实体或安全模块删除日志文件。这可以具有如下优点：不由于存储不再被需要的日志文件而浪费移动设备的磁盘空间。

在一些实施例中，监督实体或安全模块响应于确定不允许在第一过程之后执行第二过程而将移动设备带入故障安全状态，即带入安全状态。根据一些实施例，安全状态的特征在于：在安全状态中，移动设备的功能被可逆地减少，使得移动设备在安全状态中时不再可操作成做出紧急呼叫和/或触发医疗设备以应用或停止或改变药物和/或发出可察觉的警报信号。进一步地，维持安全状态达预定义时间段或维持安全状态直到系统管理者由于执行中的失败而检查为什么必须中止医疗app的执行是可能的。当将移动设备带入安全状态时，移动设备或监督实体或安全模块自动地向医疗设备或移动设备的管理者传输通知消息也是可能的，所述消息指示由于在执行期间的错误而必须停止医疗app的执行并提供其中执行必须中止的情形的进一步细节。例如，通知可以包括已经执行的过程的ID或可以包括已经产生不在可接受结果的预定义范围内的结果的过程。

在一些实施例中，监督实体或安全模块可操作成对移动设备寻址以实施数据处理算法。监督实体或安全模块进一步给移动设备提供用于使用数据处理算法来处理的数据，其中移动设备响应于被监督实体或安全模块寻址而实施数据处理算法，从而生成结果。监督实体或安全模块响应于移动设备生成结果而核实所述结果并且响应于成功地核实所述结果而触发移动设备执行第二过程。例如，监督实体或安全模块可以要求移动设备利用给定开始值来实施简单的数学运算，其中监督实体或安全模块可以例如具有针对已经储存着的给定值的数学等式的结果。通过将由移动设备执行的结果与存储在监督实体或安全模块中的结果进行比较，监督实体或安全模块可以检查移动设备是否如预期那样操作。如果例如移动设备的处理单元不像预期那样操作，则利用给定数据的所要求的数据处理算法的结果将不同于存储在监督实体或安全模块中的结果。因此，通过要求移动设备来实施数据处理（其中结果已经被监督实体或安全模块知道），核实移动设备的处理实体是否仍在正确地工作是可能的。

在一些实施例中，如果不限定针对与信息一起接接收的过程序列中的过程的执行的中间结果的被允许范围，则监督实体或安全模块对移动设备寻址以实施数据处理算法，如上面描述的那样。这可以具有如下优点：即使像这样核实结果是不可能的，核实移动设备的处理实体的正确功能也是可能的。因此，可以在不核实正确的过程序列或核实结果的正确范围的情况下检测过程序列的错误执行。

在一些实施例中，移动设备被连接到测量实体，其中移动设备在执行测量病人的至少一个实验室值的过程时对测量实体寻址以实施对应的测量并且返回对应的测量值。例如，可以使用无线数据通信方法将移动设备连接到测量实体，这可以增加移动设备和测量实体的系统的可用性，因为电缆连接不是必要的。

在另一方面中，本发明提供了包括被连接到监督实体的移动设备的系统，其中移动设备可操作成执行至少一个医疗app，其中由监督实体监督移动设备上的医疗app的执行，监督实体至少包括可执行程序指令，医疗app包括用于执行至少一个过程序列的可执行指令，过程包括用于如下各项的过程：

- 测量病人的至少一个实验室值，

- 将测量到的值与被许可值的预定义范围进行比较，以及

- 响应于确定测量到的值中的至少一个超过预定义范围而生成监视信号。

进一步地，移动设备可操作成执行过程序列中的第一过程，其中执行导致信息的生成和将信息转发到监督实体，其中监督实体被适配成评估所述信息，其中移动设备被进一步适配成依靠评估的结果来执行过程序列中的第二过程。

在另一方面中，本发明提供了包括被连接到监督实体或安全模块的移动设备的系统，其中移动设备可操作成执行至少一个医疗app，其中通过监督实体或安全模块来监督移动设备上的医疗app的执行，监督实体或安全模块至少包括可执行程序指令，医疗app包括用于执行用于生成监视信号的至少一个过程序列的可执行指令，过程包括安全关键过程，过程序列由血糖水平的测量结果触发，移动设备可操作成执行过程序列中的第一过程，其中执行导致信息的生成和将所述信息转发到监督实体或安全模块，其中监督实体或安全模块被适配成评估所述信息，其中移动设备被进一步适配成依靠评估的结果来执行过程序列中的第二过程。

在一些实施例中，监督实体或安全模块包括至少一个处理器、电信接口和存储器，其中存储器至少包括用于评估所述信息的可执行指令。监督实体或安全模块的处理器被进一步适配成执行存储器中包括的可执行指令，并且监督实体或安全模块被适配成使用通信接口与移动设备通信。例如，监督实体或安全模块可以被具体化在可附接到移动设备的智能卡、安全元件、硬件安全模块或插入模块中。

电信接口可以例如被适配成经由Bluetooth™低功率（BLE）与移动设备通信。将BLE用于监督实体或安全模块与移动设备之间的通信可以具有如下优点：可以利用例如单个纽扣电池为监督实体或安全模块供电，因为使用BLE的通信仅消耗少量电池电力。因此，可以在大时间段上使用监督实体或安全模块而不必改变或重装电池。因为监督实体或安全模块与移动设备之间的数据业务可以保持在非常低的水平，所以BLE的减小的带宽不是对其根据本发明的应用的限制因素。

本发明的实施例的可能的进一步的特征组合可以如下：

1. 一种用于通过监督实体或安全模块来监督过程序列的执行的方法，监督实体或安全模块可操作地耦合到医疗设备，该方法包括：

• 从医疗设备接收在过程序列中的第一过程的执行的过程中生成的第一信息，

• 评估接收到的第一信息，以及

• 向医疗设备传输指示对过程序列中的第二过程的执行的授权或拒绝的第二信息，第二过程随在过程序列中的第一过程之后。

2. 特征组合1的方法，第一信息指示在第一过程的执行的过程中确定的中间结果，在执行第二过程时使用该中间结果，评估接收到的第一信息包括核实中间结果是否在结果的预定义范围内，其中第二信息指示在已经确定该结果在结果的所定义的范围内的情况下对第二过程的执行的授权。

3. 特征组合2的方法，其中响应于确定中间结果在预定义范围内，第二信息可操作成触发医疗设备执行第二过程，并且其中响应于确定中间结果不在结果的所定义的范围内，第二信息可操作成触发医疗设备以使它本身进入安全状态。

4. 前述特征组合中的任一个的方法，其中标识符被指派给序列中的过程，其中监督实体或安全模块被适配成访问监督实体或安全模块中包括的序列表，该序列表包括指定被允许的过程序列的条目，其中第一信息包括第二过程的标识符，其中监督实体或安全模块通过查找序列表来核实是否可以在第一过程之后执行第二过程，并且其中仅响应于确定允许在第一过程之后执行第二过程，第二信息包括授权。

5. 特征组合4的方法，监督实体或安全模块被适配成在过程序列的执行期间创建日志文件，该日志文件包括在过程序列的执行的过程中已经执行的过程的标识符。

6. 特征组合5的方法，序列表进一步包括指定必须在第二过程的执行之前执行的过程的集合的信息，其中该方法进一步包括通过查找序列表和将过程的集合的标识符与日志文件中包括的标识符进行比较来核实过程的集合是否已经被执行，其中在确定过程的集合已经被执行的情况下，第二信息仅指示授权。

7. 前述特征组合中的任一个的方法，评估第一信息包括：

• 将指示数据处理算法和用于处理的对应数据的第三信息传输到医疗设备用于执行，

• 从医疗设备接收来自数据处理算法的执行的结果，以及

• 核实接收到的结果，

其中在确定接收到的结果正确的情况下，第二信息仅指示授权。

8. 监督实体或安全模块被适配成执行根据前述特征组合中的任一个的方法。

9. 一种计算机程序产品，包括用于执行前述特征组合1-7中的任一个的方法的机器可执行指令。

在又一方面中，本发明涉及包括用于向病人的身体中输送流体的输注泵的医疗系统，所述流体诸如营养物和/或药物，诸如胰岛素。输注泵具有通信接口，其用于接收用于控制流体的输送速率的控制参数。输注泵被配置用于与具有用于与输注泵通信的相应通信接口的移动设备耦合。移动设备可以被实现为移动的电池供电的手持电子器具，诸如移动电信设备，特别是移动的电池供电的手持电信设备，诸如智能电话。特别地，移动设备可以被配置用于耦合到数字无线蜂窝电信网络和/或无线局域网。

移动设备的用于与输注泵通信的通信接口可以被配置用于在没有网络的媒介的情况下建立与输注泵的直接通信链接。例如，移动设备的与输注泵的通信接口可以被配置成用于诸如根据RFID、NFC或蓝牙标准（特别地根据VLE）建立有线或无线连接。

移动设备被配置用于执行安装在移动设备上的应用程序。应用程序可以被实现为所谓的“app”，可以将app从app商店下载到移动设备上，尤其在移动设备运行安卓或苹果iOS操作系统的情况下。安装在移动设备上的应用程序用于控制输注泵并且因此在下文中称为“医疗app”。

移动设备还被耦合到被配置用于感测病人的至少一个生理参数的传感器。传感器和/或输注泵可以可植入到病人的身体中并且可以被形成为单个集成植入物或分离的植入物，诸如用于皮下植入。

传感器可以具有分离的通信接口，其用于与移动设备的相应通信接口通信，或者其可以形成输注泵的组成部分以使得借助于输注泵的通信接口来执行从传感器到移动设备的对感测到的生理参数的传送。

进一步地，医疗系统包括用于测试移动设备的测试模块。此类测试模块可以被实现为如上面解释的监督实体或安全模块。

特别地，测试模块可以被实现为与移动设备分离的硬件模块。硬件模块可以是电池供电的并且可以具有用于诸如根据蓝牙标准（特别是BLE）与移动设备的相应通信接口通信的通信接口。

硬件模块包括用于执行实现测试例程的程序的微处理器，所述测试例程用于测试移动设备是否在功能状态中。例如由于移动设备的操作系统的错误，特别是已经通过更新操作系统、通过安装使得移动设备出故障和/或包含诸如病毒之类的恶意软件的附加app、通过接收诸如电子邮件或SMS之类的消息、由包含诸如病毒之类的恶意软件或数据的移动设备引入的错误，或由于移动设备的其他软件和/或硬件故障，移动设备可能离开它的正常的功能状态。例如，测试例程可以包括验证活动，其中通过硬件模块来检查由移动设备解决的验证问题的正确解答。

在操作中，移动设备接收已经由传感器感测的生理参数的值。通过移动设备将由移动设备从传感器接收的生理参数的该值输入到医疗app中。响应于由移动设备对生理参数的值的接收并且将其输入到医疗app中，执行医疗app以用于确定用于控制输注泵的控制参数的值，由此医疗app实现使用生理参数作为输入值的控制算法。接下来，经由移动设备的通信接口将已经因此确定的控制参数的值从医疗app发送到输注泵，以用于根据所确定的控制参数值来调整输注泵的流体输送速率。

为了保护病人免受出故障的移动设备的影响，医疗app被配置成在将控制参数发送到输注泵之前向测试模块传输测试请求。测试请求调用由测试模块对测试例程的执行，如果移动设备处于功能状态中，则所述测试例程返回肯定的测试结果。这保护病人免受出故障的移动设备的影响，该出故障的移动设备可以确定进而可以具有针对病人的健康的严重后果的控制参数的错误值。

本发明的实施例特别有利，因为本发明使得能够利用可以是未根据医疗安全指南开发的消费者设备的移动设备（诸如智能电话），以便以安全方式来控制输注泵。这通过由测试模块检查移动设备的状态来实现，所述测试模块可以被实现为根据医疗安全指南设计的分离硬件实体。

在将感测到的生理参数的值显示在移动设备的屏幕上之前和/或在通过医疗app的执行来执行使用生理参数作为输入值的控制算法之前，诸如响应于对感测到的生理参数的值的接收，可以调用测试模块以用于在将控制参数的值发送到输注泵之前多次执行对移动设备的测试。

根据本发明的实施例，该医疗系统是胰岛素泵系统，其中输注泵是用于向病人的身体中输送胰岛素的胰岛素输注泵并且传感器是用于感测病人的血糖水平的皮下传感器。

要理解，可以组合本发明的前述实施例中的一个或多个，只要经组合的实施例不互斥即可。

附图说明

在下文中，仅通过示例的方式参考附图来更详细地解释本发明的实施例，在所述附图中：

图1是包括移动设备、监督实体或安全模块和医疗设备的系统的框图；

图2是由使用过程的标识符的监督实体或安全模块监督的过程的序列的示意图；

图3是其中由监督实体或安全模块通过核实单独过程的结果来核实序列的正确执行的过程的序列的示意图；

图4是包括智能电话客户端和监督实体或安全模块服务器的系统的框图；

图5是图示了智能电话客户端与监督实体或安全模块服务器之间的数据流的示意图；

图6是图示了医疗app的启动以及移动设备与监督实体或安全模块的配对的序列图；

图7是图示了由监督实体或安全模块核实移动设备的正确操作的序列图；

图8是医疗app的流程图；

图9是用于BLE模块的扫描过程的流程图；

图10是验证过程的流程图；

图11是启动医疗app和扫描监督实体或安全模块的序列图；

图12是图示了对标识符的请求的序列图；

图13是图示了关键代码序列的执行的序列图；以及

图14是图示了由监督实体或安全模块进行的验证的序列图。

在这些图中，相同编号的元素是等同元素或执行同样的功能。如果功能等同，则将不一定在稍后的图中讨论先前已经讨论过的元素。

具体实施方式

图1图示了系统100的示例，所述系统100包括移动设备102、医疗设备104以及监督实体或安全模块106。移动设备102包括中央处理单元108和通信接口110。经由通信接口110，移动设备102可以连接到医疗设备104。医疗设备104包括用于与移动设备102通信的接口112并且进一步包括中央处理单元114。移动设备104经由通信接口110进一步连接到监督实体或安全模块106。

监督实体或安全模块106包括存储器116以及通信接口118和中央处理单元120。

为了监视病人的实验室值，移动设备102的中央处理单元108包括进一步称为医疗app 122的程序模块。医疗app 122可操作成使用通信接口110向医疗设备104要求病人的实验室值。医疗设备104在被移动设备102的医疗app 122寻址时则可以执行用于测量病人的实验室值的程序模块124。由医疗设备104的中央处理单元114执行程序模块124然后可以导致收集表示例如病人的血液值（比如血糖水平或氧饱和度）的数据或说明病人的当前状况的其他数据。一旦该数据已经被医疗设备104收集，医疗设备104就使用接口112和110将所收集的数据转发到移动设备102。医疗app 122然后可以处理接收到的数据以便核实从接收到的数据计算出的实验室值是否在预定义范围内。例如，医疗app 122可以核实病人的血糖水平是过高还是过低。

如果医疗应用122确定血糖水平在预定义范围之外，则医疗app 122可以对医疗设备104寻址以通过生成对应的监视信号并将该信号转发到医疗设备104来发起应对措施。在接收到监视信号时，医疗设备104然后可以使用中央处理单元114执行进一步的程序模块126。程序模块126的执行然后可以引起医疗设备104对病人应用药物以便影响病人，使得实验室值移动到预定义范围中。例如，如果医疗app 122确定病人的血糖水平过高，则程序模块126的执行可能引起医疗设备104向病人的组织中注射胰岛素。

也可能的是：医疗app 122在确定病人的实验室值在预定义范围之外时触发移动设备102以进行紧急呼叫。为此，移动设备102可以被编程成使得移动设备102在进行此紧急呼叫时自动地包括关于病人的信息，在预定义范围之外的实验室值和病人的位置。

又一可能是医疗app 122在确定被监视的实验室值在预定义范围之外时引起移动设备102发出可察觉警报，例如警报声、振动或闪光以便向病人通知其当前状况。

通常，医疗app 122的执行将包括单独过程序列的执行。例如，过程序列的执行可以包括用于确定病人的实验室值的第一过程、用于确定实验室值是否在预定义范围内的第二过程、用于向病人显示实验室值的第三过程、用于要求确认以发起应对措施的第四过程，以及实际上发起这些应对措施的第五过程。在该情况下，不应执行发起应对措施的步骤，除非已经执行了向病人要求确认的步骤。为了确保以正确的方式执行医疗app 122的单独过程，移动设备102的中央处理单元108可以进一步包括监督实体或安全模块128。在该情况下，监督实体或安全模块128被具体化在任务中，所述任务由移动设备102的中央处理单元108执行。

根据本发明的实施例，医疗app 122的单独过程在被中央处理单元108执行时创建转发到监督实体或安全模块128的信息。使用该信息，监督实体或安全模块128然后可以核实医疗app 122是否被正确地执行并且在监督实体或安全模块128确定医疗app 122没有正确地工作的情况下，监督实体或安全模块128可操作成中断医疗app 122的执行。

如图1中所示，也可能的是将监督实体或安全模块106具体化在包括存储器116、通信接口118和中央处理单元120的分离模块中，其中中央处理单元120可操作成执行用于评估在医疗app 122的执行期间产生的信息的程序模块130。一旦监督实体或安全模块106通过评估从移动设备102接收的信息而确定医疗app 122的执行是有缺陷的，监督实体或安全模块106就可操作成中断医疗app 122的执行。为此，监督实体或安全模块106可以直接影响中央处理单元108的执行或功能是必要的。

根据本发明的实施例，医疗设备104可以是用于将流体输送到病人的身体中的输注泵，诸如用于输送用于糖尿病治疗的胰岛素的胰岛素泵。医疗设备104可以被耦合到用于感测病人的至少一个生理参数（即诸如病人的血糖水平之类的实验室值）的传感器。

传感器和/或医疗设备104可以被实现为单个或两个分离的植入物，其诸如用于到病人的身体中的皮下植入。通过程序模块124来评估由传感器输送的信号，这导致然后经由医疗设备104的通信接口112传送到移动设备102的生理参数的确定。移动设备102可以被实现为移动电信设备，诸如智能电话。

移动设备102执行医疗app 122，生理参数的值被输入到所述医疗app 122中。医疗app 122实现使用生理参数作为输入值的控制算法，以用于确定用于控制输注泵的流体输送速率的控制参数的值。例如，在用于糖尿病护理的糖尿病应用的情况下，控制算法可以实现任何合适的现有技术控制算法，以用于依靠测量到的血糖水平和/或可能已经被接收或输入并存储在移动设备102上的其他附加参数来控制到病人的身体中的胰岛素输送速率。

移动设备102将控制参数的值发送到医疗设备104。将控制参数的值输入到程序模块126中，以用于根据控制参数的值来控制输注泵以用于相应地调整流体输送速率。

为了提高这里考虑的医疗系统的安全，通过测试模块来监督移动设备102的正确运转，可以将所述测试模块实现为被实现为程序模块的监督实体128或被实现为分离的硬件单元的安全模块106。

替代地，为了最大限度的安全，可能存在软件实现的监督实体128和硬件实现的安全模块106二者。在下文中，硬件实现的安全模块106在这里被认为是作为示例。

在医疗app 122将控制参数的值发送到医疗设备104之前，医疗app 122将“信息”发送到用信号发送测试请求的安全模块106。响应于测试请求的接收，调用对程序模块130的执行以用于执行测试例程。

执行测试例程可以包含在移动设备102与安全模块106之间交换若干测试消息，用于测试移动设备102是否在功能状态中。特别地，程序模块130可以如下面尤其关于图4和10描述的那样实现验证服务。

在执行程序模块130导致指示移动设备102的功能状态的肯定的测试结果的情况下,从安全模块106到移动设备102返回相应响应。如果安全模块106返回肯定的测试结果，则医疗app 122仅将控制参数的值发送到医疗设备104以用于调整输注泵的输送速率。

如果测试结果是否定的，则安全模块106可以返回“中断”，以用于中断医疗app122的执行和/或用于引起移动设备102输出视觉、听觉和/或触觉警告信号以便通知病人关于移动设备出故障和/或用于诸如通过禁用通信接口111以使得防止移动设备102将控制参数的值发送到医疗设备104，来使移动设备进入安全状态。

在下文中，将讨论用于监督过程序列的执行的两个可能方法。在图2中描绘了监督过程序列的第一可能实施例。在图2中示出的过程包括四个过程步骤。在该情况下，医疗设备104可以是胰岛素泵，其还具有监视病人的血糖水平的功能。在第一过程步骤中，例如通过由医疗app 122向医疗设备104要求对应数据来确定血糖值。一旦血糖水平已经被输入，过程的第二步骤就向病人重新显示血糖值。在该重新显示的过程中，医疗app可以向病人要求可以执行适当的应对措施的确认。仅在获得该确认之后，然后可以在第四步骤中进一步处理血糖值，例如使得最后将应用胰岛素。

如之前描述的那样，通过监督实体或安全模块106来监督这四个过程的执行。监督实体或安全模块包括表132，其中该表代表处理步骤的正确序列。为此，表132可以包括当前执行的过程的ID、下一预期过程的ID以及不允许在当前过程之后执行的过程的ID的值。

在图2中描绘的情形中，可以直到已经通过执行具有ID号码3的过程获得病人的确认才执行处理血糖值的过程步骤（其是ID号码4）。在执行期间，该单独过程将当前执行的过程的ID转发到监督实体或安全模块106。监督实体或安全模块106然后核实当前执行的过程实际上是否允许被处理。如果监督实体或安全模块106确定例如在具有ID 1的过程之后执行具有ID 3的过程，则监督实体或安全模块中断过程的执行。

一般地，创建表132使得其包含关于ID的准确序列或针对ID的规则（在在先过程的某ID之后不允许执行哪些ID）是可能的。表132还可以包括当前执行的过程和接下来必须执行的过程的ID。一般地，在图2中描绘的方法可以用来核实过程在医疗app的执行期间的正确序列。

在图3中描绘的方法中，监督实体或安全模块106还包括表134，但这次监督实体或安全模块106还可操作成核实通过单独过程的执行而生成的中间结果。例如，过程号码1在被移动设备102的中央处理单元108执行时创建结果号码1。监督实体或安全模块106然后可以访问表134并且核实过程号码1的结果是否在结果的被允许范围内，该结果在该情况下在值a与b之间。如果情况就是这样，则监督实体或安全模块106然后可以将过程号码1的结果转发到过程2，使得过程号码2可以被中央处理单元执行。然而，过程号码1通过它本身将它执行的结果转发到过程号码2也是可能的。一旦过程号码2已经被执行并且产生结果号码2，该结果2就再次被转发到监督实体或安全模块106，其中监督实体或安全模块106通过查找表134来核实过程号码2的结果。如之前描述的那样，如果结果号码2在结果的被允许范围内，则监督实体或安全模块106将过程号码2的结果转发到过程号码3，以此类推。

应注意，在图2中描绘的情形中，过程序列将保持运行直到监督实体或安全模块确定将要执行不允许执行的过程并且然后中断过程序列的执行。在图3中描绘的情形中，过程的执行依靠由监督实体或安全模块106对在先过程的正确执行的确认。因此，在图2中描绘的情形中，监督实体或安全模块仅在某事出问题时进行观察和干预，其中在图3中描绘的监督实体或安全模块106直接涉及医疗app的过程序列。

应注意，设计在图1中描绘的监督实体或安全模块106使得其还监督由移动设备102的中央处理单元108执行的对监督实体或安全模块128的执行也是可能的。

图4描绘了包括作为移动设备的智能电话202和监督实体或安全模块204的系统200的框图。智能电话具有安装在其中的医疗app 206，其可以由用户208经由智能电话202的触摸敏感显示器来操作。经由智能电话202的触摸敏感显示器，用户208可以调用app 206的功能并且接收关于启动的功能的状态的响应。app 206可操作成经由蓝牙低能量（BLE）接口与监督实体或安全模块204通信。监督实体或安全模块204是物理上与智能电话202分离并且因此给出在构造监督实体或安全模块204时必须遵守的多个边界条件的设备。监督实体或安全模块202具有它自己的电源，从而导致有限的能量资源。出于该原因而使用BLE接口。

监督实体或安全模块204充当服务器，而智能电话202可以被理解为客户端。作为客户端，智能电话202可操作成连接到多个BLE服务器。这样，智能电话202不占用物理接口。作为客户端，智能电话202发起连接过程，向被连接的服务器发送请求。这样，智能电话202可以查询标识符或可以启动监督实体或安全模块204的验证服务。标识符用作到BLE通信中的入口（entry）。标识符是单个字符，其可以被查询并且其值在成功的数据传送的情况下被显示给用户208。

验证服务是监督实体或安全模块204的主要功能并且打算针对正确执行而测试应用206。为此，监督实体或安全模块204可操作成在应用206意图执行关键代码序列的情况下干扰应用206的活动。应用206不具有执行此类关键代码序列的授权并且必须向监督实体或安全模块204请求此类授权。为此，监督实体或安全模块204可以发送验证问题，其必须被智能电话202解决。在验证问题的结果正确的情况下，应用206将从监督实体或安全模块204接收授权以执行关键代码序列。在结果不正确的情况下，监督实体或安全模块204拒绝关键代码序列的执行。在图5中图示了在智能电话客户端202与监督实体或安全模块服务器204之间的对应数据流。

图6是图示了用于启动app 206、扫描监督实体或安全模块204并且提供标识符的方法的序列图。该方法以用户208启动在智能电话202上提供的app 206而开始。系统200然后在循环中等待用户进入。一旦用户208按压用于启动扫描过程的按钮，应用206就开始搜索BLE设备。基金BLE设备然后向应用206返回名称和地址，于是应用206经由其上运行app206的智能电话202的显示器向用户208显示该信息。用户208然后选择检测到的模块，其然后被返回到用户208。随后，应用206在循环中等待进一步的用户输入。一个用户208按压应用206的指示针对标识符的请求将被发送到安全模块204的按钮，应用206建立到监督实体或安全模块204的连接并且从监督实体或安全模块204接收特性。进一步地，应用206请求然后由监督实体或安全模块204返回的标识符。应用206然后显示该标识符并且与监督实体或安全模块204断开。应用206返回到循环，以等待进一步的用户输入。

图7是用于一旦在移动设备102上运行的医疗app 122的关键序列要被启动就通过监督实体或安全模块106核实移动设备102的正确操作的方法的序列图。关键序列可以例如是在其期间必须对病人应用关键药物的方法步骤的序列。为了防止被在移动设备102上运行的医疗app 122控制的医疗设备104由于移动设备102出故障而应用例如错误的剂量率，应该在关键序列的执行之前验证医疗app 122的正确功能。

在图7中描绘的发起状态中，医疗122在循环中以等待用户进入。如果医疗app 122的用户决定启动医疗app 122的关键序列，像例如药物的应用，则他可以通过在医疗app122的界面上按压对应按钮来激活医疗app 122的对应功能。医疗app在被用户寻址时然后可以检查用户意图使用的序列是否是关键序列。医疗app 122可以被配置成在没有监督实体或安全模块106的许可的情况下不运行被标记为“关键”的序列。

因此，如果医疗app 122确定被用户激活的序列是关键的，则医疗app 122或医疗设备102例如经由Bluetooth™低能量与监督实体或安全模块106建立电信连接。医疗app122然后对监督实体或安全模块寻址以验证医疗app 122，从而请求授权以启动由用户激活的关键序列。

在被医疗app 122寻址时，监督实体或安全模块106向医疗app 122提供算术问题。这可以例如是两个数的简单加法。监督实体或安全模块106然后可以包括包含多个数对和其加法的对应结果的表。一旦医疗app 122接收到算术问题，医疗app 122就使用移动设备102的CPU 108解决该算术问题并且这样确定的解答返回到监督实体或安全模块106。监督实体或安全模块106然后核实算术问题是否已经被正确地解决。

如果监督实体或安全模块106确定由医疗app 122返回的解答是正确的，则监督实体或安全模块106授权医疗app 122执行由用户激活的关键序列。医疗app 122然后执行关键序列并且在存在任何要返回的结果时将关键序列的结果返回给用户。一旦已经完成关键序列的执行，医疗app 122然后就可以引起移动设备102与监督实体或安全模块106断开并且等待进一步的用户进入。

然而，如果监督实体或安全模块106确定由医疗app 122返回的解答是错误的，则监督实体或安全模块106拒绝授权医疗app 122执行关键序列。医疗app 122响应于接收到拒绝然后可以向用户显示错误消息。进一步地，在不再可以保证序列的正确执行时，医疗app 122可以引起移动设备102与监督实体或安全模块106断开并且终止医疗app 122。

必须要注意，在图6和7中描绘的图的用户输入要被理解为用于所描述的示例性应用的示例。其他应用可以在不脱离所要求保护的发明的范围的情况下具有其他输入和输出。

图8描绘了医疗app 206的主要活动的流程图。主要活动是开始活动并且打算引导用户208选择应用206的功能。在启动应用206时，应用206首先检查智能电话202的BLE接口是否被激活并且在BLE接口未被激活的情况下问用户208是否将要激活BLE接口。随后，用户208可以例如通过选择对应的按钮而启动对BLE模块的搜索。然后将在用户208按压对应按钮时调用的另一活动中执行针对BLE模块的搜索过程。稍后将参考图9来描述该BLE扫描活动。进一步地，用户208可以通过按压主要活动的对应按钮来启动对标识符的查询或对声明为关键的代码序列的验证活动。将参考图10来描述验证活动。必须要注意，图8的流程图仅示出应用206的与保护关键代码序列相关的部分。

图9描绘了BLE扫描活动的流程图。在BLE扫描活动中，用户208可以实施针对BLE模块的搜索过程，BLE模块比如监督实体或安全模块204。例如，BLE扫描活动可以是以列表的形式提供用于显示数据的多个功能的列表活动。所发现的BLE模块可以利用名称和地址来显示并且可以在针对BLE模块的搜索已经完成之后被用户208选择。然后存储所选BLE模块的名称和地址。在搜索过程期间剩下BLE扫描活动的情况下，停止搜索。用户208本身可以使用对应按钮在任何时间停止搜索过程并且还可以重启搜索过程。例如，搜索过程可以具有2秒的时间限制。

图10描绘了图示了用于核实智能电话202的正确执行的验证活动的流程图。在打算执行被标记为关键的代码序列的情况下，通过主要活动来调用用于验证的活动。一旦验证活动已经被调用，验证活动就采取进一步的步骤以便联系监督实体或安全模块204并且启动监督实体或安全模块204的验证服务。为此，在监督实体或安全模块204上描述特性。通过监督实体或安全模块204将该特性的改变解释为用于启动验证服务的启动信号。然后在两个步骤中接收验证问题。监督实体或安全模块204给对应特性装备来自在监督实体或安全模块204中包括的验证表的值。将第二初始化的值设置成关于启动验证的“通知”。结果，应用206会识别特性的经修改的值。

在该值已经改变并且该改变已经被提交给应用206的情况下，读取第二值并且由智能电话202解决验证问题。在发送验证问题的结果时，监督实体或安全模块204向应用发送整数值，其中应用可操作成将所述整数值解释为对执行关键代码序列的授权或拒绝。在授权的情况下，启动被标记为关键的代码序列的活动。在拒绝的情况下，通知用户208用于执行的请求已经被拒绝并且应用206被关闭。

在图10中描述的验证问题是仅包括两个被加数的总和的验证问题的简单示例。然而，也可以有可能使用解决起来更复杂的方式验证问题。

图11是图示了应用206的主要活动的启动以及扫描像监督实体或安全模块204之类的BLE模块的序列图。在启动应用206时，检查智能电话202的BLE接口的状态并且在该接口还没有被激活的情况下问用户208是否将要激活BLE接口。在智能电话202的BLE接口被激活的情况下，用户可以通过激活用于“启动扫描”的对应按钮而发起对BLE模块的搜索。在选择了所显示的BLE模块中的一个时，对应数据被传递到主要活动以用于进一步处理和用于向用户208显示数据。

图12描绘了图示向监督实体或安全模块204请求标识符的序列图。在由用户208激活了应用206的按钮“请求标识符”时，使用BLE服务来联系所选BLE模块并且向该BLE模块请求特性“标识”。这用作到BLE通信中的入口。在特性的成功传输时向用户208显示特性的值。仅由监督实体或安全模块204提供标识。在被连接的BLE模块不提供标识的情况下，被连接的BLE模块不是监督实体或安全模块204。在利用显示来关闭应用206的情况下，指示“监督实体或安全模块未被发现”的消息必须被重新启动。

图13描绘了图示关键代码序列的执行的序列图。在激活用于“启动代码序列”的按钮时，启动验证活动。验证活动使用监督实体或安全模块204实施对应用206的验证。该验证打算核实智能电话202和应用206是否如预期那样工作。在图14中图示并且将在下文中讨论像这样的验证过程。在图13中描绘的第一情况下，验证导致监督实体或安全模块204返回用以执行关键代码序列的授权。然后将关键代码序列的结果显示给用户208。在第二情况下，监督实体或安全模块204返回提供给用户的拒绝。在该情况下，不执行关键代码序列。

图14描绘了图示如由监督实体或安全模块204执行的验证过程的序列图。如在图14中描绘的那样，通过应用206的主要活动来触发验证过程。为此，验证活动在被主要活动调用时初始化与监督实体或安全模块204的连接的建立。一旦连接已经被成功建立，将特性“被加数一”和“许可”设置成“通知”以便其一被更改就接收其对应值。随后，通过设置特性“validation_start”来启动验证过程。为此，监督实体或安全模块204创建验证问题并且初始化例如两个被加数“summand_one”和“summand_two”。首先将“summand_two”写入到对应特性中并且随后写入“summand_one”。该写入过程由于BLE的通知功能而被应用206识别，并且结果，应用206经由读取-请求检索第二被加数。结果，智能电话202检索验证问题。必须在特性“calculation_result”中将如要被智能电话202解决的该验证问题和结果返回到监督实体或安全模块204。监督实体或安全模块204使用查找表来核实结果并且依靠该验证的结果在特性“许可”中发送授权或拒绝。也将特性“许可”设置成“通知”并且作为结果传递到验证活动以用于进一步处理。在接收到授权的情况下，执行代码序列。在已经接收到拒绝的情况下，通过对应消息通知用户关于拒绝并且关闭该活动。

必须要注意，在图12、13和14中描绘的图的用户输入要被理解为用于所描述的示例性应用的示例。其他应用可以在不脱离所要求保护的发明的范围的情况下具有其他输入和输出。

在所附科学附录中描述了与本发明有关的进一步的实施例。

参考号码的列表

100 系统

102 移动设备

104 医疗设备

106 安全模块（监督实体）

108 CPU

110 通信接口

112 接口

114 CPU

116 存储器

118 通信接口

120 CPU

122 医疗App

124 程序模块

126 程序模块

128 监督实体

130 程序模块

132 表

134 表

200 系统

202 智能电话客户端

204 监督实体或安全模块服务器

206 应用

208 用户。

Claims (18)

1.一种用于通过使用医疗app（122）监视病人的实验室值而生成监视信号的方法，在病人的移动设备（102）上执行医疗app（122），其中通过监督实体或安全模块（106、128）来监督在病人的移动设备（102）上的医疗app（122）的执行，监督实体或安全模块（106、128）至少包括可执行程序指令（130），医疗app（122）包括用于执行用于生成监视信号的至少一个过程序列的可执行指令，该过程包括安全关键过程，通过实验室值的测量结果来触发该过程序列，所述实验室值诸如病人的血糖水平，该方法包括：

- 执行过程序列中的第一过程，其中执行导致信息的生成，

- 将所执行的过程的信息转发到监督实体或安全模块（106、128），

- 通过监督实体或安全模块（106、128）评估接收到的信息，

- 依靠评估的结果来执行过程序列中的第二过程，

其中标识符被指派给序列中的过程，其中监督实体或安全模块（106、128）可操作成访问序列表（132），其中序列表（132）包括指定被允许的过程序列的条目，其中信息包括第二过程的标识符，其中监督实体或安全模块（106、128）通过查找序列表（132）来核实是否可以在第一过程之后执行第二过程，并且其中响应于确定不允许在第一过程之后执行第二过程，监督实体或安全模块（106、128）中断对序列的执行。

2.根据权利要求1的方法，所述过程序列包括用于如下各项的过程

- 测量或确定病人的至少一个实验室值，

- 将测量到的值与被许可值的预定义范围进行比较，以及

- 响应于确定测量到的或所确定的值中的至少一个超过预定义范围，生成监视信号。

3.根据权利要求1或2的方法，其中监视信号被适配成触发移动设备（102）进行紧急呼叫。

4.根据权利要求1或2的方法，其中移动设备（102）被连接到病人的医疗设备（104），其中监视信号被适配成触发医疗设备（104）以应用药物使得病人的实验室值移动到预定义范围的周界中。

5.根据权利要求1或2的方法，其中监视信号被适配成触发移动设备（102）发出可察觉的警报信号。

6.根据权利要求1或2的方法，其中第一过程的执行导致中间结果的生成，其中中间结果被传递到第二过程以用于进一步处理，其中信息包括中间结果，其中监督实体或安全模块（106、128）核实中间结果是否在结果的所定义的范围内，其中仅在已经确定所述结果在结果的所定义的范围内的情况下执行序列中的第二过程。

7.根据权利要求6的方法，其中响应于确定所述结果在预定义范围内，监督实体或安全模块（106、128）生成触发信号并且将触发信号传输到移动设备，其中触发信号在被移动设备（102）接收时触发移动设备（102）以执行第二过程。

8.根据权利要求7的方法，其中响应于确定中间结果没有在结果的所定义的范围内，监督实体或安全模块（106、128）将移动设备（102）带入安全状态。

9.根据权利要求1的方法，其中监督实体或安全模块（106、128）被适配成在过程序列的执行期间创建日志文件，日志文件包括在过程序列的执行的过程中已经执行的过程的标识符。

10.根据权利要求9的方法，其中序列表进一步包括指定必须在第二过程的执行之前执行的过程的集合的信息，其中监督实体或安全模块（106、128）通过查找序列表（132）和将过程的集合的标识符与日志文件中包括的标识符进行比较来进一步核实过程的集合是否已经被执行。

11.根据权利要求9或10的方法，其中如果过程序列已经被成功完成，则监督实体或安全模块（106、128）删除日志文件。

12.根据权利要求9或10的方法，其中响应于确定不允许在第一过程之后执行第二过程，监督实体或安全模块（106、128）将移动设备带入安全状态。

13.根据权利要求12的方法，其中在安全状态中，移动设备（102）的功能被可逆地减少，使得移动设备（102）在安全状态中时不再可操作成进行紧急呼叫和/或触发医疗设备（104）以应用药物和/或发出可察觉的警报信号。

14.根据权利要求1或2的方法，其中监督实体或安全模块（106、128）可操作成对移动设备（102）寻址以实施数据处理算法，其中监督实体或安全模块（106、128）进一步给移动设备（102）提供用于使用数据处理算法来处理的数据，其中移动设备（102）响应于被监督实体或安全模块（106、128）寻址而实施数据处理算法，从而生成结果，其中监督实体或安全模块（106、128）响应于移动设备（102）生成所述结果而核实所述结果并且响应于成功地核实所述结果而触发移动设备（102）以执行第二过程。

15.根据权利要求14的方法，其中如果没有限定针对与信息一起接收的中间结果的被允许范围，则监督实体或安全模块（106、128）对移动设备（102）寻址以实施数据处理算法。

16.根据权利要求1或2的方法，其中移动设备（102）被连接到测量实体（104），其中移动设备（102）在执行测量病人的至少一个实验室值的过程时对测量实体（104）寻址以实施对应的测量并且返回对应的测量值。

17.一种包括被连接到监督实体或安全模块（106、128）的移动设备（102）的系统（100），其中移动设备（102）可操作成执行至少一个医疗app（122），其中通过监督实体或安全模块（106、128）来监督在移动设备（102）上的医疗app（122）的执行，监督实体或安全模块（106、128）至少包括可执行程序指令（130），医疗app（122）包括用于执行用于生成监视信号的至少一个过程序列的可执行指令，该过程包括安全关键过程，通过病人的实验室值的测量结果来触发该过程序列，移动设备（102）可操作成执行过程序列中的第一过程，其中执行导致信息的生成和将信息转发到监督实体或安全模块（106、128），其中监督实体或安全模块（106、128）被适配成评估所述信息，其中移动设备（102）被进一步适配成依靠评估的结果来执行过程序列中的第二过程，其中标识符被指派给序列中的过程，其中监督实体或安全模块（106、128）可操作成访问序列表（132），其中序列表（132）包括指定被允许的过程序列的条目，其中信息包括第二过程的标识符，其中监督实体或安全模块（106、128）通过查找序列表（132）来核实是否可以在第一过程之后执行第二过程，并且其中响应于确定不允许在第一过程之后执行第二过程，监督实体或安全模块（106、128）中断对序列的执行。

18.根据权利要求17的系统，其中监督实体或安全模块（106）包括至少一个处理器（120）、电信接口（118）和存储器（116），其中存储器（116）至少包括用于评估所述信息的可执行指令（130），其中监督实体或安全模块（106）的处理器（120）被适配成执行存储器（116）中包括的可执行指令（130），并且其中监督实体或安全模块（106）被适配成使用通信接口（116）与移动设备（102）通信。

Images