CN116510121A - 具有用于检测和确认来自辅助设备的异常无线命令的活动安全性功能的流体递送设备 - Google Patents

Abstract

本公开涉及具有用于检测和确认来自辅助设备的异常无线命令的活动安全性功能的流体递送设备。一种流体递送设备(FDD)具有贮存器、驱动器组件和控制器以可控地将流体从贮存器递送到患者体内。控制器被配置为通过诸如智能电话或其它便携式远程控制设备之类的连接的辅助设备来支持流体递送设备的剂量控制和其它操作。为到流体递送设备的命令提供活动安全性特征，包括：(1)至少针对输入的FDD命令的异常检测以及用于在FDD的命令的操作之前对异常命令的确认的提示；以及(2)用于确认的可选次级通信路径或模态，其不同于用于将命令传送到FDD的第一通信路径或模态。

Description

具有用于检测和确认来自辅助设备的异常无线命令的活动安 全性功能的流体递送设备

技术领域

说明性实施例一般而言涉及诸如可穿戴药物输液贴片泵之类的流体递送设备中的活动安全特征，以在根据命令操作流体递送设备之前确认来自辅助设备的异常命令。说明性实施例一般而言涉及使用至少一种异常检测算法来确定命令何时异常，要求用户动作以在根据那个命令操作流体输送设备之前确认检测到的异常命令，并且可选地使用与传送命令的模式不同的将确认传送到流体递送设备的模式。

背景技术

对体上或可穿戴医疗设备和体域网(BAN)医疗设备(例如，用于体上设备的无线控制器，以及具有医疗状况管理应用和/或健康/健身应用的智能电话或智能手表)的需求一直在增加，同时患者和医疗保健提供者更加期望更好和更方便地对诸如糖尿病之类的疾病状况进行患者管理。例如，一种类型的可穿戴医疗设备是贴着患者皮肤穿戴的可穿戴药物递送设备(例如，插管或针头插入患者皮肤的贴片泵)，或者可以连接到例如患者的腰带或放置在用户衣服的口袋中并具有输液装置的泵设备，输液装置带有从泵延伸到带有皮下插管的粘性支架的管子。

可穿戴医疗设备可以与单独的专用控制器或智能电话(例如，具有被配置为与可穿戴医疗设备无线接口以进行各种操作的应用的智能电话)进行无线通信。作为智能销售的/>低能量(BLE)是一种无线技术，该技术为无线连接设备提供有效的低功耗协议，包括用诸如纽扣电池之类的电源运行的设备，如可穿戴医疗设备常见的情况。

与经由另一个设备无线控制可穿戴医疗设备，特别是将药物递送到患者身体的设备，相关的问题是医疗设备与另一个设备之间的无线控制通信链路抵抗中间人(MITM)和窃听攻击的安全性。特别值得关注的是可穿戴医疗设备抵抗恶意攻击或无意攻击的安全性，其中医疗设备的控制被另一个设备(例如，用户的设备，或不是用户的预期远程控制设备的另一个设备，以不期望的方式操作)不期望地更改。

发明内容

存在对流体递送设备和辅助设备协作的需求，其安全可靠地支持来自辅助设备的流体递送设备的给药控制，以及其它操作。通过本公开的说明性实施例提供的技术方案克服了上述和其它技术问题，并且实现了附加的优点。

根据说明性实施例，提供了一种流体递送设备，其包括可以容纳要递送给用户的流体的贮存器；用户输出端口，被配置为提供贮存器和用户之间的流体路径；驱动组件，被配置为可控地将流体从贮存器驱动到流体路径中；通信接口，被配置为在通信路径上发送和接收信号；以及控制器，连接到驱动组件和通信接口，并被配置为控制驱动组件将指定量的流体从贮存器递送到流体路径。控制器还被配置为分析操作驱动组件的命令以确定该命令何时与异常命令对应。当命令与异常命令对应时，控制器生成用于确认命令的提示，当接收到对提示的回复并且包括与肯定确认对应的输入时，控制器根据命令操作驱动组件，并且当对提示的回复是从与否定确认对应的输入中选取的否定确认并且在提示之后的指定时间内没有接收到回复时，忽略命令。

根据说明性实施例的各方面，控制器还被配置为当命令不是异常命令时根据命令操作驱动组件而无需用于确认的提示或者具有与肯定确认对应的输入的回复。

根据说明性实施例的各方面，控制器被配置为根据至少一种异常检测算法处理命令中的参数以将该参数与从阈值和选择的值范围中选取的值进行比较，并且如果参数超过阈值或在所选择的值范围之外，那么确定命令是异常命令，而如果参数满足阈值或所选择的阈值范围，那么确定是正常命令。

根据说明性实施例的各方面，参数水平或范围是预设的，或者根据流体递送设备的操作随时间调整。

根据说明性实施例的各方面，控制器被配置为通过以下来处理命令:分析从将流体递送到患者的历史命令以及与患者相关的历史疾病管理数据中选取的变量，以识别与一个或多个参数对应的流体递送设备使用模式，所述一个或多个参数与递送的流体量、流体被递送的时间和受流体递送影响的患者生理数据相关，以及因为命令中的参数是相对于使用模式的参数中的一个或多个参数的离群值来检测命令何时与异常命令对应。

根据说明性实施例的各方面，控制器通过使用至少一种异常检测算法来确定命令何时与异常命令对应。

根据说明性实施例的各方面，至少一种异常检测算法采用选自局部离群值因子、基于直方图的离群值分数、一类支持向量机、鲁棒协方差、k-最近邻、隔离森林、有监督的机器学习模型、无监督的机器学习模型和使用半监督机器学习模型的混合方法的异常检测技术。

根据说明性实施例的各方面，命令从辅助设备传送到流体递送设备。辅助设备例如选自智能电话、计算机、膝上型计算机、iPad和被配置为命令流体递送设备的专用便携式遥控器。

根据说明性实施例的各方面，辅助设备通过选自WiFi、近场通信(NFC)、蜂窝通信和有线通信的通信模态连接到流体递送设备，并且被配置为通过经由通信模态发送命令来远程控制流体递送设备。

根据说明性实施例的各方面，辅助设备通过通信模态连接到流体递送设备，并且命令和提示都使用通信模态被传输。通信模态选自例如WiFi、近场通信(NFC)和

根据说明性实施例的各方面，使用不同于用于发送命令的第一通信模态的第二通信模态来传输提示。

根据说明性实施例的各方面，第一通信模态选自WiFi和并且第二通信模态选自近场通信(NFC)、提供给流体递送设备和向流体递送设备发送命令的辅助设备中相应一个的磁体和霍尔效应传感器、被配置为检测辅助设备相对于流体递送设备的移动的加速度计传感器，以及流体递送设备上的开关。

根据说明性实施例的各方面，控制器包括通信处理器设备和安全性处理器设备。在将包括来自辅助设备的命令的消息信号传递到流体递送器之前，通信处理器设备与连接到流体递送器的辅助设备建立安全消息传递。安全性处理器设备执行命令的异常检测。

根据说明性实施例的各方面，通信处理器设备和安全性处理器设备都在流体递送设备内提供。

根据说明性实施例的各方面，流体递送设备还包括与控制器分离并耦合到控制器的处理设备。处理设备被配置为分析操作驱动组件的命令以确定命令何时与异常命令对应，并且在命令被确定为与异常命令对应时向控制器提供指示。控制器被配置为在命令与异常命令对应时生成用于命令的确认的提示，当接收到对提示的回复并且包括与肯定确认对应的输入时根据命令操作驱动组件，并且当对提示的回复是从与否定确认对应的输入中选取的否定确认并且在提示之后指定的时间段内没有接收到回复时，忽略命令。

说明性实施例的附加和/或其它方面和优点将在随后的描述中阐述，或者将从描述中变得显而易见，或者可以通过说明性实施例的实践而获知。说明性实施例可以包括具有一个或多个以上方面和/或一个或多个特征及其组合的装置和用于操作这些装置的方法。说明性实施例可以包括例如在所附权利要求中记载的上述方面的一个或多个特征和/或组合。

附图说明

通过以下结合附图的详细描述，将更容易理解说明性实施例的实施例的上述和/或其它方面和优点，其中：

图1是根据示例实施例的与辅助设备(例如，具有FDD控制软件应用或专用FDD控制器的智能电话)通信的可穿戴流体递送设备(FDD)的透视图；

图2是图1的FDD的透视图，其中盖子被移除；

图3是根据示例实施例的FDD的示例部件的框图；

图4是根据示例实施例的在FDD中的控制器中提供的固件的框图；

图5是根据示例实施例的辅助设备的示例部件的框图；以及

图6是图示根据说明性实施例的为FDD提供活动安全性特征功能的示例方法中的操作的流程图，该方法在FDD的操作之前根据命令检测并确认来自辅助设备的异常命令。

在整个附图中，相似的附图标记将被理解为指代相似的元件、特征和结构。

具体实施方式

如本领域技术人员将认识到的，存在根据本文公开的实施例的多种方式来执行提供给从辅助设备接收无线命令的流体递送设备(FDD)的活动安全性功能的示例、改进和布置。虽然将参考附图和以下描述中描绘的说明性实施例，但是本文所公开的实施例并不意味着穷举所公开的技术方案所涵盖的各种替代设计和实施例，并且本领域技术人员将容易认识到的是，在不脱离所公开的技术方案的范围的情况下，可以进行各种修改，并且可以进行各种组合。例如，关于为了调节用户的血糖水平的目的而远程控制输注胰岛素或另一种药用流体来描述本公开的实施例。但是，示例实施例中描述的FDD可以使用许多其它类型的药物，诸如但不限于止痛药、激素疗法、血压治疗、止吐药、骨质疏松症治疗或进入人类或动物患者的组织或脉管系统的其它可注射药物。

胰岛素给药是1型或2型糖尿病患者日常生活中的一项关键任务。一些现有的胰岛素输注泵经由无线或有线通信接口连接到辅助设备(例如，专用专有控制器)。这些泵允许用户从连接的辅助设备控制给药。将来，如果医疗器械法规允许，可以允许经由无线通信(例如，协议)从用户的个人智能电话进行给药。FDD可以被手动操作以设置和开始给药，或者可以被设置为在指定的时间自动递送指定量的药物。无论哪种方式，用于录入期望剂量和/或递送时间的用户界面都可以在辅助设备(诸如具有用于FDD的控制功能的个人智能电话)上，或在专用的无线连接的遥控器上。

虽然可以在FDD和辅助设备之间提供安全的通信路径或通道，但在意外剂量(例如，特别是胰岛素给药)的情况下，无论是通过操作FDD或辅助设备的用户错误，或者通过恶意行为者，都会对用户造成重大伤害。例如，FDD需要被设计为防止有人以使得向FDD传送错误命令或阻止所需命令被传送到FDD的方式故意干扰或更改FDD和辅助设备之间的通信信道，使得可能发生FDD的潜在有害操作(例如，超出可接受的指定范围或以其它方式无法满足指定的参数水平或范围的剂量大小或定时)。

因此，在FDD和辅助设备之间的协作安全可靠地支持来自辅助设备的FDD的给药控制方面存在技术问题。这个技术问题和其它问题通过本文描述的说明性实施例被克服并且优点被实现。本公开的不同示例实施例包括：(1)用于输入的FDD命令的异常检测的至少一个活动安全性特征以及用于在FDD的命令的操作之前对异常命令的确认的提示；以及(2)用于确认的可选次级通信路径或模态，其不同于用于将命令传送到FDD的第一通信路径或模态。根据示例实施例的另一方面，可以使用通信信道接口固件和安全性固件来实现FDD控制器的操作，其中通信信道接口固件执行认证以安全地从辅助设备接收消息并将经由认证消息接收的命令转发到安全性固件，并且其中安全性固件执行对命令的处理以确保流体递送量和/或流体递送的时间满足指定的安全性参数。通信信道接口固件和安全性固件可以在同一个处理单元中或不同的处理单元中提供。

如下所述，可以在FDD 10或辅助设备63处或连接到FDD 10和/或辅助设备63的另一个远程设备处采用一种或多种异常检测算法，以处理输入的命令(例如，给药命令)以确定它是正常命令还是异常命令，然后再由FDD对该命令采取动作。例如，正常命令可以是根据满足特定患者和/或特定FDD 10的指定参数水平或范围的输入参数值来操作FDD的命令。相比之下，异常命令例如可以是根据不能满足特定患者和/或特定FDD 10的指定参数水平或范围的输入的参数值操作FDD的命令。下面描述关于用于流体递送设备的操作命令的异常检测的活动安全性特征的示例实施例。例如，可以使用一种或多种异常检测算法，诸如统计方法或隐马尔可夫模型等，以确定命令的剂量是否异常。如果计算能力或处理速度以及FDD上可用的存储器有限(例如，受处理速度、功耗和/或控制器的成本、数据存储和/或一次性FDD中提供的电源部件的限制)，那么可以针对该环境优化异常检测的实施方式。在使用一次性或部分一次性FDD 10的优化的实施例中，当旧FDD 10被更换和处置时，用户的疾病管理模型和/或相关联的参数被转移到每个新FDD 10，使得这个用户数据不必由控制器在新的FDD 10中重新学习。

关于与用于输入命令的通信路径或模态不同的用于确认的可选次级通信路径或模态，不同的实施例可以包括但不限于泵上的特征，诸如近场通信(NFC)接口、用于检测辅助设备相对于FDD的移动和/或敲击模式的加速度计或其它传感器、语音命令(例如，可以执行语音到命令转换的麦克风和电话应用)、信号强度(例如，使智能电话或其它辅助设备非常靠近FDD)、指纹传感器、物理用户界面按钮，磁体和霍尔效应传感器开关(例如，在自定义珠宝(诸如戒指、手镯或手表)中的相应珠宝中提供的磁体或对应的霍尔效应传感器，它们可以靠近在FDD 10处提供的磁体和对应的霍尔效应传感器中的另一个以指示用户对到FDD的命令的确认)，以及其它确认通信路径或模态。

图1是根据示例实施例的示例可穿戴FDD 10和辅助设备63的透视图。FDD 10包括底板12、盖子14和处于未展开位置的插入机构16。还提供了用户输入接口17(例如，按钮17a和/或按钮17b)，其可以被用于提供用户输入(例如，通过按下按钮17a和/或按钮17b)以指示用户期望开始可穿戴流体递送设备10处的操作或功能。用户请求的操作或功能可以取决于设备10的当前操作模式或状态。例如，用户界面17(例如，按钮17a和/或按钮17b)可以在设备处于制造或货架模式(例如，使用前初始化)时被激活，以将设备从省电状态唤醒模式并开始初始化。作为进一步的示例，用户界面17(例如，按钮17a和/或按钮17b)可以在设备处于递送模式时被激活以指示期望推注的递送。在唤醒和初始化之前，FDD 10中的贮存器可以通过用户将填充的注射器的针头插入在底板12中提供的填充端口(未示出)来用流体(例如，诸如胰岛素之类的药物)填充，其中底板12具有从填充端口到贮存器的入口流体路径。应该理解的是，FDD 10可以使用不同的机制和方法用流体(例如，药物)填充。

图2是图1的FDD 10的透视图，其中盖子14被移除。底板12支撑插入机构16、马达18、诸如电池20之类的电源、控制板(未示出)、马达壳体和齿轮箱44，以及用于存储待经由从贮存器的出口端口到插入机构16的出口流体路径24递送到用户的流体的贮存器22或容器。贮存器22还可以具有经由入口流体路径连接到(例如，在底板12中提供的)填充端口的入口端口。在FDD 10的所示示例中，贮存器22包含柱塞28。贮存器22的近端还设有柱塞驱动组件30，其连接到柱塞并且具有多个伸缩嵌套螺钉92、94和96、齿轮锚固件34、经由连接到马达18的齿轮系38被旋转的最外驱动螺杆90。虽然为了说明的目的示出了齿轮系38，但是驱动机构可以是齿轮、棘轮或引起马达旋转的其它方法。

图3是根据示例实施例的FDD 10的示例部件的框图。FDD 10的壳体或外壳用14指示。FDD 10具有皮肤保持子系统40(诸如粘合垫)以将FDD 10连接到用户的皮肤。FDD 10还包括贮存器22、插入机构16，以及可以包括马达18、齿轮系38、泵机构(例如，柱塞驱动组件30)和出口路径24的流体置换模块42。示例FDD 10还包括电气部件，诸如电源模块(例如，电池20)、用户输入端17(例如，按钮17a和/或17b)，以及包括控制器52、马达驱动器54、感测流体流动状况(例如，阻塞或泵机构失控)的可选的感测模块56、可选的音频驱动器58(例如，经由可听警报(诸如蜂鸣器)指示正在进行的给药、低贮存器、阻塞、与外部设备的成功配对，或其它状况)，以及可选的视觉驱动器60以经由(一个或多个)发光二极管提供视觉反馈和/或可选的触觉驱动器以经由振动部件提供触觉反馈，以及用于FDD与远程泵控制设备63(例如，智能电话或专用控制器等辅助设备)之间的无线通信的无线驱动器62的电气模块50。关于感测模块56，流体递送设备可以例如设有一个或多个编码器以提供驱动机构(例如，柱塞驱动组件30)的反馈以用于分度和泵机构失控防止目的。

图4是根据示例实施例的包括BLE微控制器单元(MCU)52a和安全性MCU 52b的FDD10中的示例控制器52的框图。安全性MCU 52b可以是独立的微控制器，其监视马达电流、一个或多个编码器或图3中56处指示的其它驱动组件感测设备，同时与BLE MCU52a通信以确保驱动组件正确操作以实现期望的流体置换或泵操作。安全性MCU 52b和BLE MCU 52a各自设有固件。安全性MCU 52b和BLE MCU 52a各自可以具有在故障情况下关闭马达18的能力。根据这个示例实施例的优点，如果BLE MCU 52b的动作违反指定的安全性参数，那么安全性MCU 52b可以被配置为关闭泵马达18，以从辅助设备63提供对FDD 10的改进的安全可靠的给药控制，以及其它功能。

BLE MCU 52a固件的主要工作之一是跟踪FDD 10的操作模式。因此，BLE MCU 52a固件的功能可以取决于FDD 10所处的模式。被BLE MCU 52a固件跟踪的示例FDD 10操作模式是：制造、填充、附接、活动、故障、停用。活动模式用于流体递送(例如，将药物从贮存器22递送到用户)。在活动模式期间，辅助设备63可以传输用户的基础时间表和推注剂量。BLEMCU 52a固件监视当前时间并使用它来确定何时需要基础递送。来自辅助设备63或来自FDD用户按钮17a和/或17b的命令被用于递送推注。固件监视设备故障，诸如：非命令的移动(例如，驱动组件30失控)、阻塞、传动系38故障和低电池状况。基于如图所示连接到图3中60和58处指示的它们各自的驱动器的LED和/或蜂鸣器和/或通过辅助设备63向用户提供反馈。不可恢复的故障导致转移到故障模式。一旦贮存器22变空并且被用户确认，例如就可以转移到停用模式。

FDD 10的安全性MCU 52b固件可以具有以下模式：递送前模式、递送模式和故障模式。固件可以允许马达18在没有太多限制的情况下运行以使制造测试、液位寻求和启动效应发生。一旦递送前模式完成，安全性MCU 52b固件就进入递送模式。在处于递送模式时，安全性MCU 52b监视是否有过高的基础率以及是否有过大或过频繁的推注，并且如果检测到任何这些故障情况，那么从马达18驱动组件30移除电源。例如，安全性MCU 52b固件确保安全性的能力基于对可以在不同时间段内递送的胰岛素量的一些限制。根据示例实施例，BLEMCU 52a与安全性MCU 52b进行数字通信。例如，BLE MCU52a将带有操作驱动组件30的命令(例如，指示患者的预期剂量率的命令)的消息从辅助设备63传递到安全性MCU 52b，连同辅助设备生成的消息认证一起。例如，BLE MCU 52a固件可以被配置为执行安全性操作，诸如证实/加密，以安全地将FDD 10与预期的辅助设备63配对(例如，使用自定义证实、公钥/私钥交换或利用指派给FDD10和预期辅助设备63并在其之间交换的唯一标识符(ID)的相互授权)。安全性MCU 52b固件可以被配置为使用比从辅助设备63传输的命令中提供的量更受控制或更严格的给药量限制，方法是(1)将与输入的命令一起提供的剂量参数与和指定的给药量和/或递送时间相关的阈值进行比较；以及(2)根据输入的命令推迟FDD 10的操作，直到并且如果输入的剂量参数被确定为满足用于正常操作的安全性阈值，或者响应于请求来自未能满足指定阈值的输入的剂量参数的异常操作的确认的提示而接收确认。这种在根据命令操作FDD 100之前处理从辅助设备63接收的输入的命令的双因素过程改善了使用预期连接的远程控制设备63操作FDD 10的安全性，并防止可能无法被FDD的预期用户识别的恶意行为者对FDD 10和远程控制设备之间的通信路径的攻击。

图5是描绘示例辅助设备63的框图。辅助设备63被描述为具有FDD控制应用82的智能电话，但是应该理解的是，辅助设备63可以是专用的医疗管理设备(例如，被配置用于与FDD 10一起操作的专有无线遥控器)或者其它便携、手持设备(例如，iPad、笔膝上型计算机)或可穿戴设备(例如，带有可操作以命令FDD 10的软件应用的连接的手表、戒指或手镯)。辅助设备63包括处理器70和存储器80，存储器80可以存储根据说明性实施例的FDD 10远程控制应用82以及其它设备数据、图像和应用。辅助设备63可以具有一个或多个无线通信接口，诸如启用的无线通信接口64、可选的蜂窝通信接口66和/或其它可选的(一个或多个)无线通信接口68，诸如近场通信(NFC)接口，例如，以与FDD 10无线通信(例如，经由NFC、/>连接性或其它短程无线连接，或经由射频(RF)或Wi-Fi连接性，或其它无线连接)，或有线连接，以促进操作辅助设备63的用户对FDD泵驱动器组件30的远程控制。辅助设备63还可以具有不同的用户接口，诸如麦克风78、指示器72(例如，(一个或多个)发光二极管，或触觉或振动指示器设备)、触摸屏76或生成图形用户界面(GUI)屏幕的其它显示设备、可选的键盘或其它用户输入设备(未图示)以及音频信号输出设备74(例如，喇叭或蜂鸣器)中的一个或多个。

此外，辅助设备63或连接到辅助设备63的其它设备可以具有剂量计算器应用，该应用可以计算用户的血糖水平的最近变化率并且可以使用这个变化率信息作为为用户计算建议的胰岛素(或其它药物)推注剂量时的参数。在一些实施例中，剂量计算器应用可以被配置为确定胰岛素(或另一种药物)的基础率剂量以及用户发起的推注剂量。辅助设备63或连接到辅助设备63的其它设备可以被配置为供用户录入指示膳食的碳水化合物值以供剂量计算器应用使用。根据本公开的说明性实施例的各方面，然后可以在从辅助设备63发送到FDD 10的命令中提供建议的推注剂量或基础率剂量，并且进行异常检测和确认是异常的。

参考图6，描述了根据说明性实施例为FDD 10提供活动安全性功能的示例方法，该方法在FDD 10根据命令操作之前检测并确认来自辅助设备63的异常命令。如上文结合图3和5所述，包括无线或有线通信接口(例如，无线驱动器62)的FDD 10(例如，输液泵)的控制电路系统(例如，控制器52)可以实现从辅助设备63接收命令并根据接收到的命令控制泵机构30的过程100。但是，这个过程100不限于任何特定的流体递送设备。

根据图6中的过程102，根据示例实施例的有利方面，处理在辅助设备63处输入和从辅助设备63接收的命令以确定它是否异常。例如，控制器52可以被配置为确定录入到辅助设备63中的接收到的命令是否正常(例如，命令中的参数满足指定的参数水平或范围或以其它方式在可接受的参数内)，诸如对输液泵的推注请求是否在可接受的推注范围内，如104处所指示的。如果命令正常，那么控制器52诸如通过根据命令操作泵机构30来执行命令，如图6中的过程112所指示的。另一方面，如果控制器52确定录入到辅助设备63中的接收到的命令异常(例如，命令中的参数未能满足指定的参数水平或范围或以其它方式不在FDD10可接受的操作参数之内或在使用FDD 10的用户疾病管理协议内)，那么控制器52生成或以其它方式控制提示的生成以供用户指示输入的命令的确认，如过程106所指示的。

继续参考图6，如果接收到异常命令的用户确认，那么如112处所指示的那样执行该命令；否则，该命令被控制器52忽略并且不在FDD 10处执行，如110处所指示的。例如，在从用户接收到实现与来自辅助设备63的输入的命令相关联的改变的确认之后，控制器52可以控制FDD 10的部件根据用户的确认的命令改变操作。作为进一步的示例，当用户确认与输入的命令中所请求的推注剂量相关的泵机构30的改变时，控制器52控制泵机构30从贮存器22递送对应的胰岛素推注分配。接收到的命令被处理以检测异常，直到那个FDD 10被禁用(例如，因为贮存器22是空的、或误动或其它关机条件而达到使用寿命)，如114处所指示的。

关于图6中的接收命令过程100，处理器(例如，控制器52和可选地BLE MCU 52a)可以被配置为确定辅助设备63是否被认证或以其它方式被授权向FDD 10发送命令。处理器可访问的存储器存储FDD 10与批准的或预期的(一个或多个)远程控制设备63安全通信所需的信息，以及关于在患者身上使用FDD 10的可接受参数的信息。如上所述，处理器可以实现诸如证实/加密之类的操作，以将FDD 10与预期的辅助设备63安全地配对(例如，使用自定义证实、公钥/私钥交换或利用指派给FDD 10和预期辅助设备63并在其之间交换的唯一标识符(ID)的相互授权)。

进一步参考图6中的异常检测过程102，确定用于FDD 10的命令是正常还是异常可以由诸如FDD 10处的控制器52(例如，可选地安全MCU52b)之类的处理器执行，或由不同的设备执行。根据有利的实施例，过程102在FDD 10处被执行，并且采用可以是特定于患者和/或特定于设备的并且可以是预先确定的或动态的(即，随着时间的推移而调整，诸如经由机器学习)疾病管理参数(例如，剂量限制、递送时间设置、用户生理数据，以及其它设置)。疾病管理参数可以存储在FDD 10或分离的存储设备处。如果存储在FDD 10处，那么在更换被禁用的FDD时，可以将存储的疾病管理参数传送到新的FDD 10。在步骤102处，处理器(例如，控制器52)可以根据存储在存储器中的可接受的操作参数或指南来检查接收到的命令中的特定操作请求以确定该操作是否被允许。例如，如果接收到的命令中的操作请求是用于递送胰岛素或其它药液的推注，那么处理器可以确定例如推注的大小是否是允许的，例如，低于最大推注值，并且在前一次推注请求之后的可接受时间被请求。类似地，可以检查开始或修改基础胰岛素或其它医疗流体递送的命令中的请求以确定它是否在可接受的范围内。

根据示例实施例的有益方面，根据步骤102处的过程处理对FDD10的命令(即，确定该命令是否针对FDD 10中的操作的异常改变)而不管如何收到命令。因此，在FDD 10根据命令操作之前，由用户手动输入或由用户自动设置、或由恶意攻击者接收的命令都经受异常检测的活动安全性特征。因此，示例实施例优于不执行异常检测的药物递送设备，并且可能只要求用户对每个用户输入的命令进行确认，因此不检测恶意攻击者的无线干扰或用户不知道的恶意命令。

关于图6中的提示生成过程106，处理器或控制电路系统(诸如控制器52)在处理器实际实现改变之前生成或导致生成让用户确认异常命令(即，确认用户根据异常命令改变FDD 10的操作的意图)的提示。这个提示优于任何要求用户确认每个输入的命令的药物递送设备，这样的设备因此对用户来说不太方便且更麻烦。

作为每个过程106的提示的示例，处理器(例如，控制器52)可以通过经由用于接收命令的相同通信模态(例如，BLE信道)或经由不同的通信模态使得在辅助设备63处的显示器76上生成文本提示。文本提示可以提供对经由输入命令请求的操作中的潜在改变的描述(例如，“从设备X发起的推注；递送请求的4.00单位的推注？”)。可替代地或附加地，可以使用其它技术来提示用户确认用户经由异常命令改变FDD 10的操作的意图。例如，FDD 10可以提供视觉提示(例如，闪光灯)、听觉提示(例如，蜂鸣器)和/或触觉提示(例如，振动)。可替代地或附加地，可以在辅助设备63处生成这些视觉、听觉和触觉提示的任何单个或组合。作为进一步的示例，用户可以通过按下FDD 10上的按钮17a和/或17b或辅助设备63上的用户输入界面上的按钮(例如，按钮或其它输入开关，或触摸屏76)来发送异常命令的确认。如下所述，用户可以可选地通过将辅助设备63撞击FDD 10来提供对异常命令的确认。

根据本公开的示例实施例的一方面，FDD 10经由可选的次级通信路径或模态接收确认，该次级通信路径或模态在FDD 10和辅助设备63(例如，遥控器)之间的主通信路径或模态(例如，信道)之外，以在给出命令的剂量量之前确认它。可以实现各种示例实施例以适应示例用户偏好。在一个示例实施例中，辅助设备63物理(或非常接近)访问泵10是必要的，以便泵10从辅助设备63接收用户对异常命令的确认。辅助设备63访问与FDD 10的确认通信路径的这种接近要求限制了恶意行为者经由辅助设备或其它设备远程施用意外剂量的能力，并限制了用户错误地给自己服药的可能性。用于实现可选的第二确认通信路径或模态的其它示例实施例可以是但不限于与“移动/敲击”模式一起使用的加速度计、语音命令(例如，可以执行语音到命令转换的麦克风和电话应用)、蓝牙信号强度(例如，将智能电话63非常靠近FDD 10)、智能电话63上的指纹传感器，或磁性开关/霍尔效应传感器组合(例如，可以分别靠近在FDD 10中提供的霍尔效应传感器和磁体中的另一个的在诸如戒指、手镯或手表之类的首饰中提供的磁体或霍尔效应传感器)。

根据一个示例实施例，FDD 10被实现为具有近场通信(NFC)接口65(图3)的胰岛素泵，该接口可以由诸如具有NFC功能并且运行泵控制应用82的智能电话之类的辅助设备63控制。例如，泵10通过蓝牙^TM低功耗(BLE)链路从智能电话63接收命令。如上文结合图6所述，泵10运行一种或多种异常检测算法并随着时间的推移学习用户的(一个或多个)正常疾病管理模式(例如，流体递送量、递送的速率或时间以及影响剂量量的生理和其它因素)。当从智能电话63向泵10发送无线命令时，(一个或多个)异常检测算法确定该命令是否被认为是异常的。如果(一个或多个)异常检测算法认为该命令是异常的，那么通知泵控制应用82以经由智能电话63生成用户提示。响应于提示，用户使用次级确认方法提供对异常命令的确认，诸如将智能电话63或其连接的手表或其它连接的珠宝的NFC刷到泵NFC接口65，或泵上的物理按钮按下17a和/或17b以确认命令。如果用户提供确认，那么命令在FDD 10处被执行。如果未提供确认，那么忽略该命令。

在一些实施例中，FDD 10可以经由其NFC电路65和/或加速度计(未示出)检测辅助设备63的碰撞。作为一个示例，智能电话63对泵10的撞击(例如，直接或间接地使得设备10和63都经历可检测的撞击)可以使得集成在泵10中的NFC电路65与智能电话63中的NFC电路67之间同时进行数据交换。数据交换可以向泵10提供指示用户已经确认接受由过程102认为是异常的建议推注剂量的确认信号。在一些实施例中，泵10和智能电话63中的加速度计可以结合NFC电路65和67操作以补充用于激活NFC电路65和67之间的通信的标准。换句话说，虽然在一些实施例中NFC通信仅基于NFC电路65和67之间的接近度而发起，但在其它实施例中需要检测泵10和/或智能电话63的阈值移动以便激活NFC通信并因此经由这个次级确认通信模态确认异常命令。

无论FDD 10和辅助设备63是否采用次级确认通信模态，本文所述的示例实施例都优于在医疗流体递送设备和远程控制器之间采用中间设备作为安全性措施的其它流体递送系统。示例实施例可以使用主通道从充当远程控制器的辅助设备63向FDD 10发送命令，因此没有增加流体递送系统的复杂性并且对用户来说更麻烦的附加中间设备。而且，采用不同于主命令通信模态的次级确认通信模态的示例实施例比其中中间设备使用相同通信模态从远程设备和药物递送设备接收命令和确认通信的系统更安全.

如上所述并进一步参考图6中的过程102，(一个或多个)异常检测算法可以从诸如药物递送输液泵之类的FDD 10或在诸如智能电话之类的辅助设备63上，或在可经由FDD 10和/或辅助设备63访问的另一个设备上执行。如上文结合图6所述，FDD 10或其它设备中的一个或多个处理器运行一个或多个异常检测算法并随着时间的推移学习用户的(一个或多个)正常疾病管理模式(例如，流体递送量、递送的速率或时间以及影响剂量量的生理和其它因素)。根据示例实施例，设置阈值以例如基于用户的命令模式和可选地其它数据(诸如要递送的药物(例如，胰岛素)的量的默认设置和递送药物的时间)确定命令异常是否存在，以实现非常低的假阳性率，从而避免烦扰用户并增加疾病管理过程的负担。此外，根据本公开的示例实施例的一方面，异常命令的检测可以基于从预设阈值、用户偏好、历史和/或预测的用户疾病管理数据以及经由一种或多种异常检测算法生成的结果中选取的一个或多个条件。作为进一步的示例，对可疑异常命令的确认可以被配置为仅当命令的剂量在一天中的那个时间超出该用户的95％置信区间时才按过程106提示。

存在几种异常检测技术，诸如局部离群值因子、基于直方图的离群值分数、一类支持向量机、鲁棒协方差、k-最近邻和隔离森林。这些算法可以使用诸如离群值检测和新颖性检测之类的两种方法来发现异常。离群值检测，也称为无监督异常检测，使用一般未标记的数据的训练数据集并试图找到与其它看似正常值相差甚远的值。新颖性检测，也称为半监督异常检测，被用于检测可能是异常的新值。作为另一个示例，可以使用混合方法，该方法通过在考虑的特征集中包括使用单个患者的数据识别出的个性化的预测模型获得的预测残差将异常检测和(一个或多个)基于模型的方法结合起来。

与有监督的机器学习不同，无监督的机器学习不要求标记的数据(例如，对于学习过程被视为正常和异常的数据的训练集以将数据分类为异常或正常)，而是仅基于对过去数据的示例(例如，历史数据)的观察，并且如果新数据与以前观察到的数据有显著差异，那么它们被检测为异常。一般而言，可以提供关于用户的历史和/或预测的用户疾病管理数据的上面引用的信息的组合作为机器学习模型的输入，这些模型使用有监督或无监督的训练方法来配置人工智能系统以输出用于检测诸如用于FDD 10的命令中的异常之类的事件的分类或定量输出。

以下是根据示例实施例的异常检测算法的非限制性示例，该算法采用无监督的机器学习模型来按照图6中的过程102确定命令是否是异常。作为初始步骤，收集血糖测量、膳食通知和胰岛素注射信息。在患者使用FDD 10的相应时间点，进行特征提取，由此处理传入的数据(例如，测得的血糖值、递送的胰岛素量、录入的可选碳水化合物)并计算描述患者状态的数字特征(例如，葡萄糖变化率和/或体内胰岛素(IOB))。然后将这些获得的特征提供给无监督的AD算法，该算法产生测量新数据与之前观察到的其它数据的差异程度的异常分数。用于指派分数的具体准则可以从一种AD算法到另一种AD算法而异。当异常分数超过阈值时，生成警报以导致生成用于命令确认的提示(例如，图6中的过程106)和/或以其它方式警告患者FDD10可能误动。如果没有接收到用户确认，那么忽略该命令；否则，FDD 10根据命令被操作。

下面是根据另一个示例实施例的异常检测算法的非限制性示例，该算法采用有监督的机器学习模型来按照图6中的过程102确定命令是否异常。这个示例有监督的AD算法根据自动记录在FDD 10日志中或以其它方式报告给远程设备进行存储的输液的剂量量、速率和时间来学习正常患者输液模式。在任何情况下，都可以选择这些日志作为训练数据集，以提供从时间、血糖(BG)水平、估计推注、目标高BG、目标低BG、碳水化合物(carb)比率、碳水化合物输入、食物估计、胰岛素敏感性、活性胰岛素或IOB、每日总胰岛素、基础率、估计推注剂量、校正估计，以及其它变量及其相关联时间戳中选择的变量。另外，如上所述，(一个或多个)日志可以从一个FDD10传送到患者穿戴的下一个FDD 10。而且，可以从或经由另一个设备输入患者相关历史和/或当前疾病管理数据的初始数据集。FDD 10用户有责任开始推注或手动改变基础率。患者或用户可以根据与FDD 10一起提供的控制算法设置推注剂量，并按照患者的医生的建议设置基础率。

这个示例有监督的AD算法利用用于特定患者的输液的时间相关性。随着时间的推移捕获特定于患者的输液模式，并且还可以检测输液模式的长期改变。安全范围可以在一天中的不同时间动态更新。更具体而言，生成的回归模型可以被用于动态配置用于异常输液命令识别的安全输液范围。例如，回归可以被配置为分析输液剂量历史并预测未来的输液剂量，并且一旦在所选择的时间段后收集和分析数据，就可以生成指定时间间隔的安全范围。另外，两个子模型可以被用于推注(一种类型的胰岛素)异常剂量检测和基础异常率检测。

这个示例有监督的AD算法可以检测针对推注剂量和/或基础率的异常命令，以及何时命令超过每日总胰岛素。当按照图6中的过程100接收到命令时，AD算法检查每日胰岛素总量是否落在安全范围内。如果命令的胰岛素量将落在安全范围之外，那么为患者生成按照图6中的过程106的提示和/或警报。如果命令的胰岛素量在安全范围内，那么使用用于异常推注检测的子模型，或者可以使用用于异常基础率检测的子模型，这取决于命令的操作类型。例如，支持向量机(SVM)回归模型可以被用于使用分别表示例如时间标签、估计的推注、目标高BG、目标低BG、碳水化合物比率、胰岛素敏感性、碳水化合物输入、BG输入、校正估计、食物估计、活性胰岛素和时间的向量来预测推注剂量，但是可以使用或多或少或不同的变量组合的不同集合。SVM也可以被用于预测基础率并且只需要小的记录或模式，因为基础模式变化不那么频繁。如果任一子模型在命令中检测到异常，那么生成提示以供用户确认命令。如果没有接收到用户确认，那么忽略该命令；否则，FDD 10根据命令操作。这个示例有监督的AD算法是方便的，因为它不要求任何额外信息，因为所需数据一般已经存在于胰岛素泵日志中或经由相关的疾病管理数据捕获系统或模式存在。此外，线性回归要求很少的存储器和计算能力，即使在资源有限的计算平台上也可以实时完成。

按照图6中的过程102并根据示例实施例的(一个或多个)AD算法是有益的，因为它可以识别医生或患者所犯的输液错误，诸如错误的剂量输入，以及识别来自恶意行为者使用与FDD 10的无线接口做出的恶意命令。例如，攻击者可以向FDD 10发送针对推注剂量和基础率的恶意且可能有害的命令(例如，经由与FDD 10的无线链接)。攻击者可以向患者发出一次性过量或剂量不足的胰岛素量，或者可以维持慢性攻击，其中攻击者在很长一段时间内向患者发出额外部分的药物。通过执行异常检测，在接收到异常命令时发出用于确认的提示，并且除非接收到用户对该命令的确认，否则忽略异常命令，FDD 10保护患者免受用户和医生的错误以及恶意攻击，这些否则可能不会被用户识别(例如，无声的黑客异常命令)。因此，本文描述的示例实施例优于没有异常检测的医疗递送设备，包括那些要求用户确认他们的命令输入的设备，因为这些医疗递送设备不能通知用户来自另一个源(如恶意攻击者)的输入。本文描述的示例实施例也优于这些医疗递送设备，因为必须确认每个命令输入可能是不方便的。

典型的药物递送贴片泵设计受到实现小尺寸、低功耗、准确递送、高可靠性和低制造成本的需求的挑战。本公开的示例性实施例实现了保护患者免受由于不正确无线命令引起的给药错误或其它不期望医疗设备操作(即，来自对无线通信信道和命令信道接管的故意恶意干扰，和/或来自用户操作错误(例如，有意或无意地输入错误命令以针对该患者的医疗设备进行异常操作))的技术问题的技术解决方案。本公开的示例实施例还可以实现这个技术解决方案，同时通过提供录入命令的确认或使用辅助设备63上的显示器来查看输入的命令药物量或速率并且无需FDD 10上LED显示器或LCD的成本和复杂性的部件来最小化成本。此外，本公开的示例实施例还实现了这个技术方案，同时通过使不同的次级确认信道的使用成为可选，从而省去了例如在FDD 10处为次级信道使用NFC电路的需要，来最小化成本。

虽然各种人，包括但不限于患者或医疗保健专业人员，可以操作或使用本公开的说明性实施例，但为了简洁起见，操作者或用户在下文中将被称为“用户”。

虽然在本公开的说明性实施例中可以采用各种流体，但是为了简洁起见，注射设备中的液体在下文中将被称为“流体”。

本领域技术人员将理解的是，本公开不限于其应用于以上描述中阐述的或附图中图示的构造的细节和部件的布置。本文的实施例能够具有其它实施例，并且能够以各种方式实践或执行。而且，将理解的是，本文使用的措辞和术语是为了描述的目的，不应该被认为是限制性的。本文中“包括”、“包含”或“具有”及其变型的使用旨在涵盖其后列出的项目及其等同物以及附加项目。除非另有限制，否则本文中术语“连接”、“耦合”和“安装”及其变型被广泛使用并且包括直接和间接连接、耦合和安装。此外，术语“连接”和“耦合”及其变型不限于物理或机械连接或耦合。另外，诸如上部、下部、底部和顶部的术语是相对的，并且用于帮助图示，但不是限制性的。

根据图示的实施例采用的说明性设备、系统和方法的部件可以至少部分地在数字电子电路系统、模拟电子电路系统或在计算机硬件、固件、软件或它们的组合中实现。例如，这些部件可以例如作为计算机程序产品来实现，诸如计算机程序、程序代码或有形地实施在信息载体中或机器可读存储设备中的计算机指令，用于由诸如可编程处理器、计算机或多个计算机等数据处理装置执行或控制操作。

计算机程序可以用任何形式的编程语言编写，包括编译或解释语言，并且可以以任何形式部署，包括作为独立程序或作为模块、部件、子例程或其它适用于在计算环境中使用的单元。可以部署计算机程序以在一个计算机上或在一个站点处的多个计算机或者分布在多个站点上并通过通信网络互连的多个计算机上执行。而且，用于实现说明性实施例的功能程序、代码和代码段可以由说明性实施例所属领域的有技术的程序员容易地解释为在由说明性实施例所例示的权利要求的范围内。与说明性实施例相关联的方法步骤可以由执行计算机程序、代码或指令以执行功能的一个或多个可编程处理器执行(例如，通过对输入数据进行操作和/或生成输出)。例如，方法步骤也可以由专用逻辑电路系统来实现，例如FPGA(现场可编程门阵列)或ASIC(专用集成电路)，并且说明性实施例的装置可以被实现为专用逻辑电路系统，例如FPGA或ASIC。

结合本文公开的实施例描述的各种说明性逻辑块、模块和电路可以用通用处理器、数字信号处理器(DSP)、ASIC、FPGA或被设计为执行本文所述的功能的其它可编程逻辑设备、离散门或晶体管逻辑、分立的硬件部件或它们的任意组合来实现或执行。通用处理器可以是微处理器，但替代地，处理器可以是任何常规处理器、控制器、微控制器或状态机。处理器还可以被实现为计算设备的组合，例如，DSP和微处理器的组合、多个微处理器、与DSP核心结合的一个或多个微处理器、或任何其它这样的配置。

作为示例，适合于执行计算机程序的处理器包括通用和专用微处理器、以及任何类型的数字计算机的任何一个或多个处理器。通常，处理器将接收来自只读存储器或随机访问存储器或两者的指令和数据。计算机的基本元件是用于执行指令的处理器和用于存储指令和数据的一个或多个存储器设备。一般而言，计算机还将包括用于存储数据的一个或多个大容量存储设备，或可操作地耦合以从该一个或多个大容量存储设备接收数据或将数据传输到该一个或多个大容量存储设备或两者，大容量存储设备例如磁盘、磁光盘或光盘。适用于实施计算机程序指令和数据的信息载体包括所有形式的非易失性存储器，作为示例包括半导体存储器设备，例如电可编程只读存储器或ROM(EPROM)、电可擦除可编程ROM(EEPROM)、闪存设备和数据存储盘(例如，磁盘、内部硬盘或可移动盘、磁光盘以及CD-ROM和DVD-ROM盘)。处理器和存储器可以由专用逻辑电路系统补充或结合在专用逻辑电路系统中。

本领域技术人员将理解的是，可以使用各种不同技术和技巧中的任何一种来表示信息和信号。例如，可以在整个以上描述中参考的数据、指令、命令、信息、信号、比特、符号和芯片可以由电压、电流、电磁波、磁场或粒子、光场或粒子或其任何组合表示。

技术人员还将认识到的是，结合本文所公开的实施例描述的各种说明性逻辑块、模块、电路和算法步骤可以被实现为电子硬件、计算机软件或两者的组合。为了清楚地说明硬件和软件的这种可互换性，上面已经在其功能方面对各种说明性部件、方框、模块、电路和步骤进行了一般描述。这种功能被实现为硬件还是软件取决于特定应用和施加于整个系统的设计约束。技术人员可以针对每个特定应用以不同方式实现所描述的功能，但是这种实现决策不应被解释为导致脱离由说明性实施例所例示的权利要求的范围。软件模块可以驻留在随机存取存储器(RAM)、闪存、ROM、EPROM、EEPROM、寄存器、硬盘、可移动盘、CD-ROM或本领域已知的任何其它形式的存储介质中。示例性存储介质耦合到处理器，使得处理器可以从该存储介质读取信息，并且可以向该存储介质写入信息。替代地，存储介质可以与处理器集成在一起。换句话说，处理器和存储介质可以驻留在集成电路中或被实现为分立部件。

计算机可读非暂态介质包括所有类型的计算机可读介质，包括磁存储介质、光存储介质、闪存介质和固态存储介质。应该理解的是，软件可以安装在中央处理单元(CPU)设备中并与之一起出售。替代地，可以获取软件并将其加载到CPU设备中，包括通过物理介质或分发系统获得软件，包括例如从软件创建者拥有的服务器或从软件创建者未拥有但使用的服务器获得软件。例如，软件可以存储在服务器上，以便通过例如互联网进行分发。

除非在所附权利要求中阐述，否则以上给出的描述和附图仅旨在作为示例，并不旨在以任何方式限制说明性实施例。特别要注意的是，本领域技术人员可以容易地以多种其它方式组合上面已经描述的各种说明性实施例的各种元件的各种技术方面，所有这些方面都被认为是在权利要求的范围内。

Claims (17)

1.一种流体递送设备，包括：

贮存器，能够容纳要递送给用户的流体；

用户输出端口，被配置为提供贮存器和用户之间的流体路径；

驱动组件，被配置为可控地将流体从贮存器驱动到流体路径中；

通信接口，被配置为在通信路径上发送和接收信号；以及

控制器，连接到驱动组件和通信接口，并被配置为控制驱动组件将指定量的流体从贮存器递送到流体路径；

其中控制器还被配置为

分析操作驱动组件的命令以确定该命令何时与异常命令对应；

当命令与异常命令对应时，生成用于确认命令的提示，当接收到对提示的回复并且对提示的回复包括与肯定确认对应的输入时，根据命令操作驱动组件，并且当对提示的回复是从与否定确认对应的输入中选取的否定确认并且在提示之后的指定时间内没有接收到回复时，忽略命令。

2.如权利要求1所述的流体递送设备，其中控制器还被配置为当命令不是异常命令时根据命令操作驱动组件而无需用于确认的提示或者具有与肯定确认对应的输入的回复。

3.如权利要求1所述的流体递送设备，其中控制器被配置为根据至少一种异常检测算法处理命令中的参数以将该参数与从阈值和选择的值范围中选取的值进行比较，并且如果参数超过阈值或在所选择的值范围之外，那么确定命令是异常命令，而如果参数满足阈值或所选择的阈值范围，那么确定是正常命令。

4.如权利要求3所述的流体递送设备，其中参数水平或范围是预设的，或者根据流体递送设备的操作随时间调整。

5.如权利要求1所述的流体递送设备，其中控制器被配置为通过以下来处理命令:分析从将流体递送到患者的历史命令以及与患者相关的历史疾病管理数据中选取的变量，以识别与一个或多个参数对应的流体递送设备使用模式，所述一个或多个参数与递送的流体量、流体被递送的时间和受流体递送影响的患者生理数据相关，以及因为命令中的参数是相对于使用模式的参数中的一个或多个参数的离群值来检测命令何时与异常命令对应。

6.如权利要求1所述的流体递送设备，其中控制器通过使用至少一种异常检测算法来确定命令何时与异常命令对应。

7.如权利要求6所述的流体递送设备，其中所述至少一种异常检测算法采用选自局部离群值因子、基于直方图的离群值分数、一类支持向量机、鲁棒协方差、k-最近邻、隔离森林、有监督的机器学习模型、无监督的机器学习模型和使用半监督机器学习模型的混合方法的异常检测技术。

8.如权利要求1所述的流体递送设备，其中命令从辅助设备传送到流体递送设备。

9.如权利要求8所述的流体递送设备，其中辅助设备选自智能电话、计算机、膝上型计算机、iPad和被配置为命令流体递送设备的专用便携式遥控器。

10.如权利要求8所述的流体递送设备，其中辅助设备通过选自WiFi、近场通信(NFC)、蜂窝通信和有线通信的通信模态连接到流体递送设备，并且被配置为通过经由通信模态发送命令来远程控制流体递送设备。

11.如权利要求8所述的流体递送设备，其中辅助设备通过通信模态连接到流体递送设备，并且命令和提示都使用通信模态被传输。

12.如权利要求11所述的流体递送设备，其中通信模态选自WiFi、近场通信(NFC)和

13.如权利要求8所述的流体递送设备，其中使用不同于用于发送命令的第一通信模态的第二通信模态来传输提示。

14.如权利要求13所述的流体递送设备，其中第一通信模态选自WiFi和并且第二通信模态选自近场通信(NFC)、提供给流体递送设备和向流体递送设备发送命令的辅助设备中相应一个的磁体和霍尔效应传感器、被配置为检测辅助设备相对于流体递送设备的移动的加速度计传感器，以及流体递送设备上的开关。

15.如权利要求1所述的流体递送设备，其中控制器包括通信处理器设备和安全性处理器设备，其中通信处理器设备与连接到流体递送器的辅助设备建立安全消息传递，之后将包括来自辅助设备的命令的消息信号传递到流体递送设备，并且安全性处理器设备执行命令的异常检测。

16.如权利要求16所述的流体递送设备，其中通信处理器设备和安全性处理器设备都在流体递送设备内提供。

17.如权利要求1所述的流体递送设备，还包括与控制器分离并耦合到控制器的处理设备；

其中处理设备被配置为分析操作驱动组件的命令以确定命令何时与异常命令对应，并且在命令被确定为与异常命令对应时向控制器提供指示；以及

其中控制器被配置为在命令与异常命令对应时生成用于命令的确认的提示，当接收到对提示的回复并且对提示的回复包括与肯定确认对应的输入时根据命令操作驱动组件，并且当对提示的回复是从与否定确认对应的输入中选取的否定确认并且在提示之后指定的时间段内没有接收到回复时，忽略命令。