CN1649640A - 一种与镇静止痛系统集成的自动防故障模块及其方法 - Google Patents

Abstract

本发明提供了一种与镇静止痛系统集成的自动防故障模块(FSM)，该自动防故障模块可以满足由非麻醉师的行医者进行镇静和/或止痛输送的高可靠性需要。该FSM可以使得特定患者接口，用户界面，和/或镇静止痛输送失效，以确保患者的安全，并且具有备用的安全系统以提供能够对控制器的功能性做出精确估量的自动防故障模块。

Description

一种与镇静止痛系统集成的自动防故障模块及其方法

相关申请的交叉引用

按照35 U.S.C.§119，本申请要求2002年2月25日提交的并在此处作为参照加入的第60/358,733号美国临时专利申请的优先权。

发明领域

本发明总体上涉及一种自动防故障模块，特别涉及一种与镇静止痛系统集成的自动防故障模块。

发明背景

首先，为了适应市场条件和有成本意识的病人的需要，医院外治疗程序持续快速增长。例如由于各种原因，临床医生在办公室里，流动医疗中心，牙科诊所，医院的或非医院的环境下，有时候是在缺乏训练有素的麻醉提供者所提供的服务的情况下，管理或监督镇静止痛的输送。这种发展导致美国麻醉专家协会发布了非麻醉专家施行镇静止痛的方针。总的来说，由于非医院环境的设备配备和人员配置不及医院，故障和并发症(例如无意的用药过量导致的失去知觉和气管反射(airway reflexes))可能会带来严重的后果。

在1999年6月3日提交的，共同转让且处于待审查中的序列号为09/324,759的美国专利申请中描述了一种镇静止痛系统。在医院和非医院环境下，这一系统用一种可降低用药过量风险的方式，为病人提供镇静，止痛，和/或提供引起记忆缺失的药剂，使病人安全地度过痛苦、不适的或相反令人恐怖(引起焦虑)的医疗过程或手术过程。由于这套系统可以被用于使用者并非是在苏醒和气管治疗方面有所专长的训练有素的麻醉提供者的环境中，和并发症或故障可能会带来更为严重的反应的环境下，因而可以通过消除和/或减缓的方式系统地降低潜在的故障模式的数量。减缓，部分上是通过对用于镇静止痛系统的自动防故障模块的精心设计来实现的。因此，该镇静止痛系统比医院和非医院环境中所使用的麻醉机更为安全，并且可以安全地由个人，而不是训练有素的麻醉提供者，比如训练有素的医生或其他获得执照的临床医生和手术者来进行操作。

麻醉机主要被设计成进行吸入式麻醉。一般说来，早期的麻醉机设计是完全气动的，不需要电能来运行。作为这种设计的遗留，在现有的麻醉机中，缺少电能不会中断麻醉气体和蒸汽的输送。相反，在‘759申请中所描述的镇静止痛系统的一个实施例只使用静脉内麻醉，而没有使用吸入式麻醉，并且需要电能来运行。在镇静和/或止痛期间，在没有麻醉提供者时，持续的安全性是极为重要的。这些安全系统经常采用一套复杂的部件来防止麻醉机在麻醉期间被切断。

麻醉机在全气动运行模式下运行时，麻醉机上所使用的现有自动防故障系统依赖于全气动操作模式的运行，而不适应需要电能运行的镇静止痛或完全静脉内麻醉系统的需要。而且，由于镇静止痛系统还被设计成可供非麻醉提供者使用，设备故障的后果可能更为严重，因此需要一种用在为麻醉提供者使用而设计的麻醉机上的，具有更高可靠性的自动防故障系统。

由于患者安全尤为重要，药剂输送装置的测试模式长久以来被认为是一个重要部件。然而，现有的自动防故障系统可能没有考虑这一特殊需求，即为获得高度可靠的镇静止痛系统，自动防故障系统本身也需要进行测试。模拟一个故障来测试镇静止痛系统的自动防故障系统可能会是破坏性的，会导致系统在探测到模拟的故障时掉电(powerdown)。如果系统掉电，一旦模拟的故障终止，系统则会上电(powerup)，并引起进一步的破坏，特别是如果上电包括对自测程序的上电(POST)，则需要花很长时间来完成。因此，为了确保高度可靠的镇静止痛系统中的自动防故障系统的正常运行，提出一种需要，要求自动防故障模块在被测试时不会引起不当的系统破坏。

自动防故障系统进一步实施了把冗余的组元(模块)合成到系统中的方法。因而提出进一步的需要，需要将一个监视(watchdog)系统集成到一个镇静止痛系统中，从而如果探测到故障发生，则该监视系统可以使该镇静止痛系统掉电。

发明内容

本发明提供了一种与镇静止痛系统集成的自动防故障模块(FSM：fail-safe module)，以适应由非麻醉师所施行的镇静和/或止痛的高度可靠性的需求。FSM实行“实时”操作以保证最佳的患者安全性。FSM可以使特定的患者接口，用户界面，和/或镇静和止痛的输送失效，以保证患者的安全，并有冗余的安全系统以便为自动防故障模块提供对控制器功能性的精确评估。

本发明进一步包括一个FSM，该FSM用来测量与关键的患者接口和/或镇静与药剂输送系统相关的软件和/或硬件的功能性。一旦收到用于指示可操作的控制器的可接受数据，FSM可以使患者接口，用户界面，和/或镇静和止痛的输送重新有效。FSM还可以在存储器中保存一次故障事件，以警告下一个用户该机器已经经历了一次故障。FSM还具有模拟故障的测试模式能力。在模拟故障以测试FSM期间，可以避开系统的自动掉电以产生最小的系统破坏。模拟故障可以被编程设计为只在上电和正常运行时才会出现。

附图简述

图1是根据本发明的系统的整体概念方框图；

图2是根据本发明的自动防故障模块系统的整体原理方框图；

图3是根据本发明的自动防故障模块的详细原理方框图，用于说明相关的输入和输出；

图4是根据本发明的用于说明自动防故障模块系统的运行过程的流程图；

图5是根据本发明的用于说明运行自动防故障测试模式的方法的流程图。

发明详述

图1是用于描述本发明的一个实施例的方框图，其包括镇静止痛系统22，该系统具有自动防故障模块23，用户界面12，控制器14，外围设备15(其可以包括一个存储装置)，电源16，外部通信10，患者接口17和药剂输送19，其中镇静止痛系统22由用户13操作，以便向患者18提供镇静和/或药剂。于1999年6月3日提交的，共同转让且共处于待审查中，并在这里作为参考加入的序列号为09/324，759的美国专利申请中描述了该镇静止痛系统22的一个实例。患者接口17可以包括一个或多个生理监测器，其中例如SpO2，ECG，CO2和NIBP。

序列号为09/324,759的申请中的镇静止痛系统，包括一个患者健康监测装置(如患者接口17)，适于用来与患者相连，同时产生用来反映患者至少一种生理状况的信号，一个药剂输送控制器，用于为患者提供一种或多种药剂，一个存储装置，用于存储一个安全数据集，用来反映至少一种检测到的患者的生理状况的安全的和不安全的参数，以及一个与患者健康监测器，药剂输送控制器和用于存储安全数据集的存储装置相互连接的电子控制器；其中所述电子控制器接收所述信号，并相应地根据安全数据集管理药剂的施用。

图2是用于描述自动防故障模块系统60的方框图，包括控制器14，自动防故障模块23，电源24，控制器输入25，控制器输出26，药剂输送19和患者接口17，其中药剂输送19和患者接口17与患者18交互。控制器14接收来自患者接口17，药剂输送19，自动防故障模块23和其他与镇静止痛系统22相联的外围设备的输入。数据被输入到控制器14，控制器14执行一个由一种语言如C或C++编写的程序，并在操作系统如QNX里运行。然而，其他的操作系统，如LINUX，VX Works，或Windows NT等也可以考虑使用。软件的优选实施例在一个“实时”操作系统如QNX里运行，其中与特定的患者接口，用户界面，和镇静止痛系统22的其他部件相关的程序被划分为独立的程序模块(未显示)。

控制器14可以是CPU，或在本领域中广为人知的其他数据处理系统。在本发明的一个实施例中，控制器14进一步包括一个建立在例如QNX操作系统所提供的功能性的基础上的健康检查系统(未示出)，其中健康检查系统向一个与某一部件相关的程序模块发送一个健康检查请求(未显示)，例如向一个与自动评估意识或反应的系统相联的程序模块(未显示)发送。在申请‘759和于2002年12月28日提交的09/324,759号美国专利申请中，对这样的一个自动评估系统进行了描述。一旦接收到健康检查请求，程序模块就被编程为做出发送健康检查响应的反应。程序模块的故障会导致向与控制器14集成的健康检查系统传送健康检查响应的模块失灵。健康检查请求和健康检查响应采用的形式可能是单字节，多字节，脉冲，TTL或逻辑信号，或其他适于本发明使用的数据传输形式。如果健康检查系统未能在给定的时间窗口内从程序模块处收到健康检查响应，如下文详述，控制器14会警告自动防故障模块23已出现故障，这将导致自动防故障模块23将镇静止痛系统23转为安全状态模式107(图4)。健康检查系统以软件为基础，并利用操作系统如QNX的固有部件，特别是，利用为每一个划分开的软件程序模块分配单独保留的存储空间。

在本发明的一个实施例中，数据和/或命令可以以输出26的形式从控制器14输出到与镇静止痛系统22相连的外围设备，自动防故障模块23和患者接口17。依赖控制器14和与控制器14相联的程序模块的功能性，控制器14可以正常地运行，或者输出异常命令。当控制器14发生故障，输出错误的命令和/或数据，如过度药品输送时，自动防故障模块可以探测到控制器14中与故障有关的错误操作，并将镇静止痛系统23转为安全状态模式107(图4)。

在本发明的一个实施例中，控制器14被编程用来在预定的窗口，如900至1100毫秒间，向自动防故障模块23传送，或启动传送一个选通脉冲(strobe)(未示出)。选通脉冲采用的形式可能是单字节，多字节，脉冲，TTL或逻辑信号，或其他适于本发明使用的数据传输形式。在本发明的一个实施例中，自动防故障模块23必须在预定的时间窗口内接收控制器14所启动发送的选通脉冲，以保证镇静止痛系统22处于运行状态模式105(图4)。控制器14如未能在预定的窗口内启动和传送该选通脉冲，则是在向自动防故障模块23表明健康检查系统或与镇静止痛系统22相连的程序模块发生异常，导致自动防故障模块23将镇静止痛系统23转为安全状态模式107。本发明一个进一步的实施例包括在与镇静止痛系统22相连的程序模块和自动防故障模块间提供直接通信(未显示)，以为查证程序模块运行是否正常提供冗余。本发明更进一步的一个实施例包括在患者接口17和/或药剂输送19间提供直接通信，以为查证与关键外围设备相连的程序模块运行是否正常提供冗余。图2进一步说明了本发明的一个实施例，其中将电源24连接到自动防故障模块23，并为之提供动力。在本发明的一个实施例中，电源24输送.5-200伏的直流电，最好为4.75-5.25伏，并能够获得.5-200安培的电流，最好为12安培，并且以系统地为参考。本发明进一步考虑了交流电的使用。

图3是描述本发明的一个实施例的方框图，该实施例包括自动防故障模块23，与自动防故障模块23相连的输入30，32，34，与自动防故障模块23相连的输出31，33，35，和电源24。自动防故障模块23包括存储器27，状态机28，和通信转换29。自动防故障模块23可能是一个中央处理单元，一个综合可编程逻辑器件(CPLD)，或其他合适的数据处理的装置。在本发明的一个实施例中，状态机28接收状态机输入32，其中状态机输入32包括一个自动防故障选通脉冲，与控制氧气和药剂输送有关的信息，与氧气和药剂能够使用有关的信息，与氧气和药剂不能使用有关的信息，和/或其他合适的状态机输入。存储器27接收存储输入30，其中存储输入30包括，但不限于，与从自动防故障模块23清除系统故障事件有关的信息。通信转换29从通信转换输入34接收输入，其中通信转换输入34包括，但不限于，从控制器14向药剂输送模块发送的命令，其中，例如IV泵(静脉内泵)的命令，和从控制器14向非侵入型血压模块发送的命令。在本发明的一个实施例中，通信转换29负责将RS-232信号转换成晶体管-晶体管逻辑(TTL)。

存储器27输出存储输出31，其中存储输出31包括，但不限于，与在上次经由存储输入30清空存储器27之后出现的故障事件有关的信息。状态机28输出状态机输出33，其中状态机输出33包括，但不限于，对未知系统故障的指示，与自动防故障模块23对氧气和药剂输送流量的控制有关的输出，与自动防故障模块23对能不能进行氧气和药剂输送的控制有关的输出。通信转换29输出通信转换输出35，其中通信转换输出35包括，但不限于，来自于控制器14的指示与药剂输送19相连的泵(未显示)的运行的信息，其中在探测出问题时，自动防故障模块使得该信号无效，例如接地，以及来自于控制器14的用以指示血压袖带运行的信息，其中如果探测出问题，自动防故障模块使该信号失效，以免血压袖带留置在膨胀状态下，在膨胀状态下将会切断血液循环。自动防故障模块23对氧气输送，非侵入型血压模块(未显示)和药剂输送19的路由(routing)控制，允许自动防故障模块23使非侵入型血压模块和药剂输送19失效，以防止因为失误对患者造成潜在伤害。如果氧气在发生故障时处于管理之下，自动防故障模块可以使氧气在预定的时间内保持预定的流量。其他如序列号为09/324,759的美国专利申请中所描述的多个输入和输出，与本发明是一致的，多个患者接口，如对二氧化碳分析仪(capnometry)进行的监测，可由自动防故障模块23路由到，以提供所需要的安全状态模式。

在本发明的一个实施例中，存储器27负责保存控制器14内或与控制器14相连的程序模块里出现的故障事件的记录。与故障有关的信息通过错误输出路径36被传输到存储器27。该故障存储将一直保存在存储器27里，直到有命令经由存储输入30被输入，确认该故障并清除该存储器为止。存储器27负责通过存储输出31警告用户，镇静止痛系统22在前一病例中已经历过故障。存储器27中记录的故障可以通过存储器输入端30被清除。在本发明的一个实施例中，用户可以直到存储器27里记录的故障被确认并清除后才激活镇静止痛系统。对软件故障的存储可以通过编码一个简单的存储比特或其他合适的记录故障的方式在存储器27里得以保存。本发明的一个实施例包括存储器27里保存的一个编码，该编码表明与控制器14相连的程序模块里或健康检查系统里(如果存在健康检查系统的话)，是否发生了故障。

在本发明的实施例中，状态机28被编程用来在指定的时间窗口内，预见来自控制器14的一个选通脉冲。该时间窗口可能是任何适于发现镇静止痛系统22内故障的窗口。如果该选通脉冲落在指定的时间窗口内，被自动防故障模块23的状态机28所接收到，自动防故障模块23会使镇静止痛系统22保持运行状态模式105。如果在指定的时间窗口内，状态机28未能接收到该选通脉冲，状态机28将以视觉警告，声音警告，和/或其他适于警告用户已出现故障的方式，通过状态机输出33输出与故障有关的信息。作为对故障选通脉冲的回应，状态机28也将通过错误输出路径36将指示故障的数据发送到存储器27，并将镇静止痛系统22转为安全状态模式107。在本发明的实施例中，状态机28通过使输出37失效，进而使控制器14对通信转换29的控制失效，以便独立于控制器14之外将镇静止痛系统22转为安全状态模式107。

本发明进一步的实施例包括控制器14，该控制器被编程用来在与控制器14相联的模块发生故障时，向状态机28发出快速的选通脉冲。状态机28被编程为，一旦从控制器14收到快速的选通脉冲，就输出一个警告信号，指示镇静止痛系统22出现了故障，在存储器27中记录故障，使控制器14对通信转换29的控制失效，并将镇静止痛系统22转为安全状态模式107。

图4描述了一种方法，用以说明本镇静止痛系统22中自动防故障模块23的运行实施例。从自动防故障模块系统(FSM)的停止模式100开始，镇静止痛系统22只有在收到施加到自动防故障模块23的电源(询问101)时，才会转为初始状态模式102。例如，初始状态模式102在从电源24处收到5伏的直流电后开始启动，然而其他电压和向自动防故障装置23输送电源的方式应与本发明一致。每当从自动防故障模块23撤走电源，镇静止痛系统22就会返回自动防故障系统停止模式100。在收到电源后，镇静止痛系统22会以初始状态模式102运行，包括在等待来自控制器14的选通脉冲时，自动防故障模块23输出安全状态输出。在一个实施例中，由于直到有效的选通脉冲发送开始后才能决定镇静止痛系统的状况，所以直到从控制器14收到有效的选通脉冲，自动防故障模块才输出安全状态数据。在初始状态模式102期间，保持安全状态输出可确保直到自动防故障模块23收到有效的表明控制器14状态良好的选通脉冲时，控制器14才会向重要的外围设备，如药剂输送19和患者接口17发送命令。初始状态模式102进一步包括不允许用户13清除存储在存储器27里的故障事件记录，直到从控制器14收到有效的表明镇静止痛系统22运行正常的选通脉冲。在没有收到有效的选通脉冲时，镇静止痛系统22会保持初始状态模式102。本发明的一个实施例包括，当没有在预定的时间窗口如五分钟内收到有效的选通脉冲时，使镇静止痛系统22掉电。

自动防故障模块一旦从控制器14收到有效的选通脉冲(询问104)，镇静止痛系统22将被转为运行状态模式105。保持运行状态模式105取决于从控制器14发送到自动防故障模块23的有效选通脉冲落在允许的预定窗口内(询问106)。从控制器14向自动防故障模块23发送一致有效的选通脉冲，使镇静止痛系统22保持为运行状态模式105。运行状态模式105包括允许由自动防故障模块23所接收的来自控制器14的输入，控制与关键的患者接口，如血压袖带，氧气输送，药剂输送19相连的输出。运行状态模式105进一步包括向用户13表明镇静止痛系统22目前运行正常。数据将继续显示在用户界面12上，用户界面12的背光将保持有效，与镇静止痛系统22的故障有关的警告信号会将保持无声。本发明的实施例包括允许用户13和自动防故障模块23清除存储在存储器27中先前指示镇静止痛系统22出现故障的存储单元，以便接下来的故障能够重新编码在该存储单元(未显示)。

选通脉冲发送失败，或者控制器14向自动防故障模块23发送快速选通脉冲(询问106)，则导致自动防故障模块23将镇静止痛系统22转为安全状态模式107。选通脉冲落在预定响应窗口之外，或从控制器14向自动防故障模块23发送快速选通脉冲，以表明镇静止痛系统22中出现了故障。为了保护患者，有必要将镇静止痛系统22转换为安全状态模式107，以减少药剂输送19，患者接口17或其他包括出故障的硬件或软件在内的关键外围设备带来的潜在危害。在本发明的实施例中，安全状态模式107包括，停止从控制器14向药剂输送19，患者接口17，氧气输送，和/或其他与患者安全有关的其他关键外围设备发送命令。安全状态模式进一步包括停止药剂输送19以防止可能的患者用药过量，使血压袖带失效以防止血压袖带保持膨胀状态时间过长可能引起的坏死，如果在治疗过程中输氧，要保证氧气的流量，以保持血液中氧的合适饱和度。安全状态模式107进一步包括激发位于存储器27的存储比特，以指示镇静止痛系统22的故障109，响起声音警告，发出视觉警告信号，和/或使显示空白，如熄灭用户界面12的背光。用户界面12的背光可以被熄灭以阻止显示那些可能会被错误地用来估量患者状况的错误数据。

在镇静止痛系统22被转为安全状态模式107后，自动防故障模块23会继续期望从主逻辑板或控制器14收到有效的选通脉冲(询问108)。如未能收到有效的选通脉冲，自动防故障模块23将保持安全状态模式107。在本发明的一个实施例中，与自动防故障模块相联的警告可以被用户13手动消除。一旦从控制器14收到有效的选通脉冲或预定数量的有效选通脉冲，自动防故障模块23会将镇静止痛系统22从安全状态模式107转为运行状态模式105。本发明进一步的实施例包括在医疗期间，即使从控制器14收到有效的选通脉冲，仍将镇静止痛系统22保持在安全状态模式。

询问110与用户13对安全状态模式107的响应有关。如果镇静止痛系统22被关闭，镇静止痛系统22将被转为自动防故障模块的停止模式100。如果镇静止痛系统22没有被停止，自动防故障模块将使镇静止痛系统22保持在安全状态模式107。

图5描述了一种方法，用以说明镇静止痛系统22的一种测试模式210的一个实施例，该测试模式包括以下步骤：启动有效的测试选通脉冲200；将镇静止痛系统22转为运行状态模式201；将输入设定到FSM 202从控制器输出一个测试信号203；假定目前的输入估量FSM在运行状态模式下的正确输出204；启动无效的测试选通脉冲205；将镇静止痛系统转为安全状态模式206；假定目前的输入估量FSM在安全状态模式下的正确输出207；从控制器启动有效的选通脉冲208；并将自动防故障模块转为运行状态模式209。

在本发明的一个实施例中，启动有效的测试选通脉冲步骤200包括：将落在预定的时间窗口内的一个或多个选通脉冲从控制器14传送到自动防故障模块23，其中该时间窗口是编程在自动防故障模块23中的；指示控制器14运行正常。在本发明的一个实施例中，在电源被输送到控制器14和自动防故障模块23后，启动有效的测试选通脉冲步骤200出现在初始状态模式102期间。

将镇静止痛系统转为运行状态模式步骤201包括：自动防故障模块23从控制器14收到一个或多个有效的选通脉冲，这一个或多个有效的选通脉冲向自动防故障模块23表明控制器14目前运行正常，然后基于这一个或多个用以向自动防故障模块表明控制器14目前运行正常的有效选通脉冲，将镇静止痛系统22转为运行状态模式105。

将初始输入设定到FSM的步骤202包括：输入与以下有关的信息：氧气输送，药剂输送19，患者接口17或其他与希望的安全状态模式107有关的关键参数。在本发明的一个实施例中，将初始输入设定到FSM的步骤202出现在运行状态模式105期间，其中控制器14保持对关键参数的控制。

从控制器输出测试信号(步骤203)包括：用户13将测试命令输入控制器14，其中输入的测试命令会将掉电功能从所探测到的镇静止痛系统22的故障中分离开来。本发明的一个实施例包括：启动测试命令的一个自动系统，其中在医疗程序，控制器14在预定的时间启动该测试命令，如作为镇静止痛系统的上电程序的一部分。在本发明的一个实施例中，一旦从控制器14收到测试命令，就在自动防故障模块23中被触发一个测试比特。自动防故障模块23中被触发的测试比特可能负责使与故障相关的掉电无法实现，以便不需要启动掉电就可以测试自动防故障模块23的功能性。如果作为模拟故障的一部分，系统需要掉电，那么就需要在系统上电之后重新测试自动防故障模块23，这里提供一种不需要掉电的FSM测试模式，则可以避免这一需要。

给定当前输入，估量在运行状态模式下FSM的正确输出(步骤204)包括：确定自动防故障模块23输出的数据是否与输入的数据一致。在给定当前输入，估量在运行状态模式下FSM的正确输出(步骤204)时，由于要保持控制器14对与自动防故障模块23相关的关键参数的控制，输出的数据应该与输入的数据相一致。

启动无效的测试选通脉冲(步骤205)包括：模拟镇静止痛系统22的故障，从控制器14向自动防故障模块23输出一个无效选通脉冲。无效的测试选通脉冲可能是由控制器14向自动防故障模块23发送的快速选通脉冲，落在预定时间窗口之外的选通脉冲，或其他合适的用于传达镇静止痛系统22故障的方式。

将镇静止痛系统转为安全状态模式步骤206包括，自动防故障模块23在收到无效的选通脉冲后，将镇静止痛系统22转为安全状态模式107。在模拟故障期间镇静止痛系统如果被掉电，在上电时需要反复的重新测试，为了避免这一状况，镇静止痛系统23在测试模式210期间不会被掉电。

假定当前输入，在安全状态模式下估量FSM的恰当输出(步骤207)包括，确定在将镇静止痛系统22转为安全状态模式107时运行是否正常。假定当前输入，在安全状态模式下估量FSM的恰当输出(步骤207)允许控制器14确定在出现真实故障的情况下，将镇静止痛系统22转为安全状态模式107时，自动防故障模块23运行是否正常。

从控制器启动有效的选通脉冲的步骤208包括，将镇静止痛系统转为安全状态模式107后，从控制器14向自动防故障模块23输出一个或多个有效的选通脉冲。一旦收到有效的选通脉冲，也就是说，选通脉冲落在预定的响应窗口中，自动防故障模块23会将镇静止痛系统22转为运行状态模式105，重新分配控制器14对药剂输送19，患者接口17和氧气输送的控制。继成功的选通脉冲发送之后，将镇静止痛系统22从安全状态模式107转为运行状态模式105，与将镇静止痛系统转为运行状态模式是一致的(步骤209)。

测试模式210可以向用户13提供模拟的故障事件或消息，在不掉电的情况下，可以测试自动防故障模块的响应，以确定其在恰当的时间，将镇静止痛系统22转为安全状态模式107和运行状态模式105时，运行是否正常。镇静止痛系统22转为运行状态模式105后可以重新设定自动防故障模块23的存储器27里记录的存储比特。

在本发明的一个实施例中，健康检查系统轮询每一个分立的软件模块，并验证每一个软件模块是否显示其自身运行正常。一旦从所有的分立的软件模块处接收到一切良好，健康检查系统向FSM发送选通脉冲，表明所有的系统模块运行正常。在系统正在运行的全过程中，健康检查系统总是存在。健康检查系统以软件为基础，FSM可由诸如综合可编程逻辑器件(CPLD)的硬件来实现。

Claims (19)

1、一种镇静止痛系统，包括：

一个患者健康监测装置，适于连接到患者，并产生用于反映该患者至少一种生理状况的信号；

一个药剂输送控制器，用于向该患者供应一种或多种药剂；

一个存储装置，用于存储一个安全数据集，该安全数据集用来反映至少一种被监测的患者生理状况的安全的和不安全的参数；

一个与该患者健康监测器，该药剂输送控制器，用于存储该安全数据集的该存储装置相互连接的电子控制器；其中所述的电子控制器接收所述信号，并根据该安全数据集相应地管理药剂的施用；

一个从该电子控制器接收信号的自动防故障模块，来自该电子控制器的该信号用于表明该电子控制器正常运行，其中该自动防故障模块与该电子控制器相互连接，以至于在没有用于表明该控制器正常运行的信号时，自动防故障模块阻止该电子控制器管理该药剂的施用。

2、如权利要求1所述的镇静止痛系统，进一步包括一个界面，用于表明在没有信号表明所述控制器正常运行期间，系统运行不正常。

3、如权利要求2所述的镇静止痛系统，其中所述界面利用一个或多个系统状态警告来表明所述系统运行不正常。

4、如权利要求1所述的镇静止痛系统，进一步包括一个气体输送系统，用于向所述患者输送至少一种气体或气体混合物，其中所述电子控制器进一步与该气体输送系统相连，并根据所述安全数据集，管理该至少一种气体或气体混合物的输送。

5、如权利要求4所述的镇静止痛系统，其中在没有信号表明所述控制器正常运行时，所述自动防故障模块阻止所述电子控制器管理至少一种气体或气体混合物的输送。

6、如权利要求4所述的镇静止痛系统，其中所述自动防故障模块包括一个存储模块，且其中当没有信号表明所述控制器正常运行时，所述自动防故障模块存储用于表明在该存储模块中没有所述信号的信息，所述信号用于表明所述控制器正常运行。

7、如权利要求1所述的镇静止痛系统，其中在持续一段时间仍未收到所述信号之后，一旦收到用于表明所述控制器正常运行的所述信号，所述自动防故障模块重新启动所述电子控制器对所述药剂施用的管理。

8、如权利要求1所述的镇静止痛系统，其中用于表明所述控制器正常运行的所述信号是一个选通脉冲。

9、如权利要求1所述的镇静止痛系统，其中用于表明所述控制器正常运行的所述信号是一个健康检查信号。

10、如权利要求1所述的镇静止痛系统，包括一个与所述自动防故障模块相互连接的一个健康检查系统，其中该健康检查系统从所述镇静止痛系统的一个或多个子系统处接收一个或多个信号，用于表明该一个或多个子系统正常运行。

11、一种安全运行镇静止痛系统的方法，其中该系统包括一个电子控制器，一个自动防故障模块，和一个或多个患者接口，且其中该控制器在该系统运行期间向该一个或多个患者接口发送命令，该方法包括步骤：

开始运行该镇静止痛系统；

开始运行该自动防故障模块，该自动防故障模块的运行包括接收一个或多个用于表明该控制器正常运行的有效信号；

根据该患者的至少一种生理状况，对向患者输送止痛或缓解焦虑的药剂进行电子化的管理；

一个或多个患者接口开始运行，由该控制器监测和监督该一个或多个患者接口的运行；

根据该自动防故障模块收到和未收到该一个或多个用于表明该控制器正常运行的有效信号，来管理该一个或多个患者接口的运行。

12、如权利要求11所述的安全运行镇静止痛系统的方法，其中管理所述一个或多个患者接口的运行的步骤包括，所述自动防故障模块一旦没有收到所述一个或多个用于表明所述控制器正常运行的有效信号，就停止所述一个或多个患者接口的运行。

13、如权利要求12所述的安全运行镇静止痛系统的方法，其中一个用户界面用于表明所述系统运行不正常。

14、如权利要求13所述的安全运行镇静止痛系统的方法，其中所述用户界面用一个或多个系统状态警告表明所述系统运行不正常。

15、如权利要求12所述的安全运行镇静止痛系统的方法，其中一个或多个患者接口是一个用于向所述患者输送止痛或缓解焦虑药剂的系统。

16、如权利要求12所述的安全运行镇静止痛系统的方法，其中一个或多个患者接口是一个用于向所述患者输送气体或气体混合物的系统。

17、如权利要求12所述的安全运行镇静止痛系统的方法，进一步包括，所述自动防故障模块一旦没有收到所述一个或多个用于表明所述控制器正常运行的有效信号，就将所述镇静止痛系统掉电的步骤。

18、如权利要求12所述的安全运行镇静止痛系统的方法，其中管理所述一个或多个患者接口的运行的步骤包括，在持续一段时间内仍未收到所述一个或多个有效信号之后，所述自动防故障模块一旦收到一个或多个用于表明所述控制器正常运行的有效信号，就重新启动所述一个或多个患者接口的运行。

19、如权利要求12所述的安全运行镇静止痛系统的方法，其中所述自动防故障包括存储器，其中所述自动防故障模块一旦未收到一个或多个用于表明所述控制器正常运行的有效信号，就在其存储器中保留一个表示符。

Images