-
Die Erfindung betrifft ein Verfahren und ein System zum Ändern einer Konfiguration eines Medizingeräts.
-
Moderne Medizingeräte sind oftmals eingerichtet, neben ihrer eigentlichen medizinischen Funktion weitere Funktionen bereitzustellen. So können viele Medizingeräte über standardisierte Datenschnittstellen Daten mit Patientendatenbanken, Bilddatenbanken, Streaming-Servern und ähnlichen Systemen austauschen, welche in einem Krankenhausnetzwerk eingebunden sind.
-
Gerade in hochgradig vernetzten Operationssälen sind zusätzlich Medizingeräte vorgesehen, die hauptsächlich oder ausschließlich zur Kommunikation über die Grenzen des Operationssaals vorgesehen sind, wie Telefon- oder Videokonferenzsysteme.
-
Die erfolgreiche Einsatz dieser weiteren Funktionen hängt davon ab, dass das jeweilige Medizingerät für die Funktion richtig konfiguriert ist.
-
Die fragliche Konfiguration kann dabei verschiedenste Parameter umfassen, welche zum Umsetzung der jeweiligen Funktion erforderlich sind, angefangen von korrekten Eintragungen in einer Datenbank mit zugelassenen Benutzern und deren Benutzerrechten, korrekten Verbindungsdaten zu einem Krankenhausnetzwerk und/oder Streaming-Server, vollständigen Kontaktlisten für Telefon- oder Videokonferenzsystemen, etc.
-
Besonders wichtige Parameter, die Bestandteil einer entsprechenden Konfiguration sein können, sind Zugangsdaten , also beispielsweise Passwörter, mit denen sich zugelassene Benutzer an dem Medizingerät bzw. einem auf dem Medizingerät installierten Betriebssystem anmelden, oder Passwörter, mit denen sich das Medizingerät selbst in dem Krankenhausnetzwerk oder an mit dem Krankenhausnetzwerk verbundenen weiteren Systemen anmeldet.
-
Solche Passwörter müssen aus Sicherheitsgründen regelmäßig geändert werden. Die entsprechenden Konfigurationen unterliegen daher häufigen Änderungen.
-
Änderungen an der Konfiguration eines entsprechenden Medizingeräts sind aufwendig, da das Medizingerät in der Regel in einem vernetzten Operationssaal installiert ist, und die einwandfreie Funktion des Medizingeräts nach der Konfigurationsänderung getestet werden muss. Es ist daher erforderlich, dass ein Service-Techniker außerhalb des regulären Betriebs Zutritt zu dem Operationssaal erhält, um die Konfiguration anzupassen und zu testen. Während dieser Zeit steht der Operationssaal für medizinische Eingriffe nicht zur Verfügung.
-
Es besteht daher eine Aufgabe der Erfindung darin, ein Verfahren und ein System zur Änderung einer Konfiguration eines Medizingeräts zur Verfügung zu stellen, welches hinsichtlich der beschriebenen Problematik verbessert ist.
-
Diese Aufgabe wird gemäß eines Aspekts der Erfindung gelöst durch ein Verfahren zum Ändern einer Konfiguration eines Medizingerätes, mit den Schritten: Ermitteln einer Ausgangskonfiguration des Medizingeräts, Übertragen der Ausgangskonfiguration des Medizingeräts auf eine Testumgebung, Ändern der Ausgangskonfiguration in eine Zielkonfiguration auf der Testumgebung, Testen der Zielkonfiguration auf der Testumgebung, und Übertragen der Zielkonfiguration auf das Medizingerät.
-
Dadurch, dass die Änderung der Konfiguration und der Test der geänderten Konfiguration nicht mehr auf dem Medizingerät selbst erfolgt, sondern auf der Testumgebung, steht der Operationssaal weiter zur Verfügung. Erst wenn der Test erfolgreich abgeschlossen ist, wird die Zielkonfiguration auf das Medizingerät übertragen, welches danach sofort wieder verfügbar ist.
-
Die nach dem erfindungsgemäßen Verfahren zu ändernde Konfiguration umfasst vorzugsweise Konfigurationsdaten von nicht sicherheitsrelevanten Funktionen. Konfigurationsdaten, welche sicherheitsrelevante Funktionen betreffen, wie z.B. direkte medizinische Funktionen eines Medizingeräts, sind hiervon vorzugsweise nicht umfasst.
-
Gemäß einer vorteilhaften Weiterbildung eines Verfahrens nach der Erfindung können die Ausgangskonfiguration und/oder die Zielkonfiguration auf einem Konfigurationsserver zwischengespeichert werden. Dadurch wird die Flexibilität des Verfahrens erhöht, da beispielsweise die Zielkonfiguration eines ersten Medizingeräts nach erfolgreichem Test zwischengespeichert werden kann, wenn das erste Medizingerät gerade verwendet wird. Trotzdem steht die Testumgebung gleich wieder zur Verfügung, um eine Konfiguration eines zweiten Medizingeräts zu bearbeiten. Wenn die Testumgebung als rein virtuelle Testumgebung realisiert ist, können auch mehrere Konfigurationen von Medizingeräten parallel getestet werden, dazu können entsprechend mehrere Instanzen der virtuellen Testumgebung ausgeführt werden.
-
Die Übertragung der Zielkonfiguration von dem Konfigurationsserver auf das Medizingerät kann gemäß einer Ausführungsform eines Verfahrens nach der Erfindung automatisch erfolgen, wenn das Medizingerät eingeschaltet oder ausgeschaltet wird. Dabei kann das Medizingerät als fester Bestandteil der Einschalt- oder Ausschaltsequenz durch Zugriff auf den Konfigurationsserver feststellen, ob eine geänderte und getestete Konfiguration für dieses Medizingerät vorliegt, und diese dann laden. Vorher kann ggf. eine Bestätigung durch einen Benutzer des Medizingeräts abgewartet werden.
-
Es ist somit sichergestellt, dass das Medizingerät stets mit der aktuellsten Konfiguration betrieben wird.
-
Alternativ kann die Übertragung der Zielkonfiguration von dem Konfigurationsserver auf das Medizingerät durch eine Benutzerinteraktion am Medizingerät ausgelöst werden. Hierzu kann ein Schalter am Medizingerät und/oder ein entsprechender Menüpunkt in einer Benutzeroberfläche des Medizingeräts vorgesehen sein.
-
Vorzugsweise kann die Testumgebung ein erstes Simulationsgerät umfassen, und das erste Simulationsgerät kann ein Verhalten des Medizingeräts unter Berücksichtigung der jeweils in der Testumgebung geladenen Konfiguration nachbilden. Auf diese Weise kann eine geänderte Konfiguration unter besonders realistischen Bedingungen getestet werden.
-
Gemäß einer besonders vorteilhaften Ausführung eines Verfahrens nach der Erfindung kann das Medizingerät mit einem Netzwerk verbunden sein, die Testumgebung kann ein zweites Simulationsgerät umfassen, und das zweite Simulationsgerät kann ein Verhalten des Netzwerkes nachbilden. Auf diese Weise können auch mögliche Auswirkungen einer geänderten Konfiguration auf die Kommunikation mit dem Netzwerk getestet werden.
-
In einer alternativen Ausführung der Erfindung kann das Medizingerät mit einem Netzwerk verbunden sein, und die Testumgebung kann ebenfalls mit dem Netzwerk verbunden sein. Auf diese Art kann bei dem Test einer geänderten Konfiguration deren Zusammenspiel mit dem realen Netzwerk direkt getestet werden.
-
Gemäß einer besonderen Weiterbildung eines Verfahrens nach der Erfindung kann das Testen der Zielkonfiguration den Austausch von Testdaten zwischen dem ersten Simulationsgerät und dem zweiten Simulationsgerät oder dem Netzwerk umfassen. Im letzteren Fall ist durch geeignete Maßnahmen sicherzustellen, dass die Testdaten auch nach einer möglichen Weiterleitung und Verarbeitung im Netzwerk als Testdaten zu erkennen sind.
-
In einer weiteren Ausgestaltung eines Verfahrens gemäß der Erfindung kann das Netzwerk einen Server zum Streamen von Videodaten umfassen, und die Testdaten können Videodaten umfassen.
-
Gemäß eines weiteren Aspekts der Erfindung wird die Aufgabe weiterhin gelöst durch ein System zum Ändern einer Konfiguration eines Medizingeräts, welches ausgestaltet ist, das oben beschriebene Verfahren durchzuführen bzw. dessen Durchführung zu unterstützen.
-
Die Erfindung wird nachfolgend anhand einiger beispielhafter Darstellungen näher erläutert. Dabei dienen die dargestellten Ausführungsbeispiele lediglich dem besseren Verständnis der Erfindung, ohne diese einzuschränken.
-
Es zeigen:
- 1: ein Medizingerätesystem,
- 2: ein weiteres Medizingerätesystem,
- 3: Ablaufdiagramm einer Konfigurationsänderung.
-
1 zeigt ein vernetztes Medizingerätesystem. In einem Operationssaal 1 sind mehrere Medizingeräte installiert. Es handelt sich beispielhaft um eine Operationsliege 2, eine Raumkamera 3, ein Raummikrofon 4, einen Monitor 5, einen Insufflator 6, einen elektrochirurgischen Generator 7, sowie ein Videokonferenzsystem 8. Die Medizingeräte 2, 3, 4, 5, 6, 7, 8 sind über Datenleitungen 9 miteinander und mit einem Netzwerk 10 verbunden, bei dem es sich um ein Krankenhausnetzwerk handeln kann. Über die Datenleitungen 9 werden nur nicht sicherheitsrelevante Daten ausgetauscht, wie Video- und Audiodaten, Betriebszustandsdaten, und ähnliche Daten. Medizinisch sicherheitsrelevante Daten der Medizingeräte 2, 3, 4, 5, 6, 7, 8 werden über ein separates, nicht dargestelltes Bussystem ausgetauscht.
-
An das Netzwerk 10 sind weiterhin eine Bilddatenbank 11 und eine Patientendatenbank 12 angeschlossen.
-
Zusätzlich ist eine Großbildleinwand 13 in einem Hörsaal 14 mit dem Netzwerk 10 verbunden. In dem Hörsaal 14 können beispielsweise Studenten 15 von dem Videokonferenzsystem 8 übertragene Videodaten betrachten und somit eine in dem Operationssaal 1 durchgeführte Operation mitverfolgen. Die Übertragung der Videodaten vom dem Videokonferenzsystem 8 zu der Großbildleinwand 13 erfolgt dabei über einen Streaming-Server 16, der in das Netzwerk 10 eingebunden ist.
-
Für die Kommunikation der Medizingeräte 2, 3, 4, 5, 6, 7, 8 miteinander sowie über das Netzwerk 10 mit den Datenbanken 11,12, dem Streaming-Server 16 sowie weiteren externen Geräten (z.B. an einer Videokonferenz beteiligte externe Endgeräte) ist es erforderlich, dass die Medizingeräte 2, 3, 4, 5, 6, 7, 8 korrekt konfiguriert sind, z.B. hinsichtlich zu verwendender IP-Adressen, Portfreigaben, etc. Weiterhin weisen einige der Medizingeräte 2, 3, 4, 5, 6, 7, 8 interne Konfigurationen auf, wie Datenbanken mit zugelassenen Benutzern und ggf. deren Zugriffsbefugnissen oder Kontaktdatenbanken mit den Telefonnummern oder IP-Zugriffscodes externer Videokonferenzteilnehmer. Angaben zu Art und Umfang der von den Medizingeräten 2, 3, 4, 5, 6, 7, 8 gespeicherten Betriebsdaten, welche für eine Analyse ggf. auftretender Betriebsstörungen vorgehalten werden, können ebenfalls Bestandteil der Konfigurationen der jeweiligen Medizingeräte sein.
-
Auch wenn die durch entsprechende Konfigurationen gesteuerten Funktionen der Medizingeräte 2, 3, 4, 5, 6, 7, 8 selbst nicht sicherheitsrelevant sind, eine Fehlfunktion also keine unmittelbare Gefährdung von Patienten verursacht, können Fehlfunktionen aufgrund falscher Konfigurationen trotzdem den reibungslosen Ablauf einer medizinischen Prozedur empfindlich stören. Es ist daher vorgeschrieben, nach jeder Änderung der Konfiguration eines Medizingeräts dessen Funktionsfähigkeit zu testen, bevor das Medizingerät weiter verwendet wird.
-
Da ein Medizingerät für den entsprechenden Test nur schlecht aus dem Operationssaal 1 entfernt werden kann, muss der gesamte Operationssaal 1 während des Tests außer Betrieb genommen werden.
-
In 2 ist ein verbessertes Medizingerätesystem dargestellt. In vielen Aspekten entspricht das in 2 dargestellte System dem in 1 dargestellten System, dabei sind sich entsprechende Komponenten mit einem um 100 erhöhten Bezugszeichen versehen und werden nicht erneut im Detail erläutert.
-
Das in 2 dargestellte Medizingerätesystem umfasst wiederum in einem Operationssaal 101 mehrere Medizingeräte 102,103, 104, 105, 106, 107, 108, die über Datenleitungen 109 mit einem Netzwerk 110 verbunden sind. An das Netzwerk 110 sind ebenfalls eine Bilddatenbank 111, eine Patientendatenbank 112, und ein Streaming-Server 116 angeschlossen.
-
Anders als in 1 dargestellt ist das Netzwerk 110 mit einer Testumgebung 120 verbunden, in welcher Konfigurationen von Medizingeräten geändert und getestet werden können.
-
Technisch gesehen handelt es sich bei der Testumgebung 120 um einen Computer, auf dem eine zum Ändern und Testen der Konfiguration von Medizingeräten eingerichtete Software installiert ist und ausgeführt wird.
-
Soll nun die Konfiguration eines der Medizingeräte 102,103, 104, 105, 106, 107, 108 geändert werden, beispielsweise ein neuer berechtigter Benutzer in dem Insufflator 106 hinzugefügt werden, so wird wie folgt verfahren:
- Die Konfiguration des fraglichen Medizingeräts 106 wird über die Datenleitungen 109 und das Netzwerk 110 zu der Testumgebung 120 gesendet. Dabei bleibt die Konfiguration des Medizingeräts 106 unbeeinträchtigt, so dass es weiter verwendet werden kann. Anstelle einer Übertragung über die Datenleitungen 109 und das Netzwerk 110 kann die Konfiguration auch über ein transportables Medium, z.B. einen USB-Stick, oder andere geeignete Medien übertragen werden. Die Konfiguration kann dabei in Form von Konfigurationsdaten übertragen werden.
-
Die Testumgebung 120 umfasst ein erstes Simulationsgerät 121, welches das Verhalten des Medizingeräts 106 unter Berücksichtigung der in der Testumgebung 120 geladenen Konfiguration nachbildet. Im dargestellten Beispiel ist das erste Simulationsgerät 121 ein virtuelles Simulationsgerät, also eine Software, die in der Testumgebung 120 ausgeführt wird, und dabei das Verhalten des Medizingeräts 106 simuliert, also nachbildet.
-
Die Testumgebung verfügt weiter über Eingabemittel 122, hier als Tastatur dargestellt, über welche ein Benutzer Änderungen an der in der Testumgebung 120 geladenen Konfiguration des Medizingeräts 106 vornehmen kann. Beispielsweise kann hier ein Name, ein Passwort, und eine Berechtigungsebene eines neuen Benutzers eingegeben werden, welcher Zugriff auf den Insufflator 106 erhalten soll.
-
Neben oder anstelle einer Tastatur können die Eingabemittel beliebige andere Eingabegeräte aufweisen, wie beispielsweise Touchscreens, USB-Ports, RFID-Lesegeräte oder andere geeignete Eingabegeräte.
-
Nachdem die gewünschte Änderung der Konfiguration durchgeführt ist, kann der Benutzer über das Eingabegerät 122 einen Test der geänderten Konfiguration ausführen. Dazu führt das erste Simulationsgerät 121 verschiedene Funktionen des Medizingeräts 106 aus, welche von der geänderten Konfiguration abhängig sind, und prüft, ob das simulierte Verhalten des Medizingeräts 106 den Erwartungen und/oder Vorgaben entspricht.
-
Um die Kommunikation des Medizingeräts 106 mit anderen Medizingeräten oder dem Netzwerk 110 zu testen, ist in der Testumgebung 120 ein zweites Simulationsgerät 123 vorgesehen, welches im dargestellten Beispiel ebenfalls als virtuelles Testgerät realisiert ist. Das zweite Simulationsgerät kann ein Verhalten des Netzwerks 110, des Streaming-Servers 116, oder eines anderen Medizingeräts nachbilden.
-
Während des Tests tauschen das erste Simulationsgerät 121 und das zweite Simulationsgerät 123 Daten aus, was durch den Doppelpfeil 124 angedeutet ist. Die Testumgebung umfasst hierfür noch einen Datenspeicher 125, in welchem Testdaten abgelegt sind, die für den Datenaustausch genutzt werden. Der Test kann beispielsweise daraus bestehen, dass das erste und das zweite Simulationsgerät sich vordefinierte Nachrichten zusenden und prüfen, ob eine jeweils empfangene Nachricht einer erwarteten Nachricht entspricht.
-
Neben dem Datenaustausch mit dem zweiten Simulationsgerät 123 kann das erste Simulationsgerät 121 über die Verbindung der Testumgebung 120 mit dem Netzwerk 110 auch direkt mit dem Netzwerk 110 und mit diesem verbundenen Geräten kommunizieren, um die korrekte Funktion der geänderten Konfiguration zu testen. Beispielsweise kann das erste Simulationsgerät Testdaten mit der Bilddatenbank 111, der Patientendatenbank 112, oder dem Streaming-Server 116 austauschen. Es ist hierbei empfehlenswert, wenn die Testdaten so gestaltet sind, dass sie jederzeit als Testdaten erkennbar sind. Die Testdaten können beispielsweise durch einen besonderen Patientennamen wir „Monika Mustermann“ oder „John Doe“ erkennbar sein, oder durch bestimmte, eindeutig nicht medizinische Bild- oder Videodaten. Art, Umfang und Inhalt der Testdaten können abhängig vom jeweiligen Einsatzfall variieren, und beispielsweise durch den Benutzer angepasst werden.
-
Wird während des Tests einer geänderten Konfiguration eine Fehlfunktion oder Fehlkommunikation des ersten Simulationsgeräts festgestellt, so wird dies dem Benutzer mitgeteilt und die weitere Verwendung der geänderten Konfiguration wird verhindert. Dazu kann beispielsweise in der Testumgebung die Ausgangskonfiguration wieder hergestellt werden, oder der Benutzer kann aufgefordert werden, weitere Änderungen an der Konfiguration vorzunehmen.
-
Funktioniert die geänderte Konfiguration auf dem ersten Simulationsgerät hingegen einwandfrei, so wird sie zur Verwendung mit dem realen Medizingerät 106 freigegeben und auf dieses Übertragen.
-
Die Übertragung der geänderten Konfiguration kann nur erfolgen, wenn das Medizingerät 106 gerade nicht verwendet wird. Hierzu kann die geänderte Konfiguration beispielsweise auf einen mobilen Datenträger gespeichert werden, welcher dann außerhalb des normalen Betriebs des Operationssaals 101 mit dem Medizingerät 106 verbunden wird, um die geänderte Konfiguration zu übertragen. Dies kann durch einen Benutzer oder Servicetechniker am Medizingerät 106 durch eine Benutzerinteraktion ausgelöst werden, beispielsweise durch drücken einer Taste oder durch Auswählen einer Funktion in einer grafischen Benutzeroberfläche.
-
Alternativ kann die geänderte Konfiguration nach dem Test an einen Konfigurationsserver 130 übertragen werden, welcher mit der Testumgebung 120 verbunden ist und über eine Konfigurationsdatenbank 131 verfügt. Die geänderte Konfiguration wird dann in der Konfigurationsdatenbank 131 abgelegt.
-
Das Medizingerät 106 prüft zu einem vorbestimmten Zeitpunkt, beispielsweise beim Ein- oder Ausschalten, durch Zugriff auf den Konfigurationsserver 130 und die Konfigurationsdatenbank 131, ob eine geänderte Konfiguration verfügbar ist. Ist dies der Fall, so lädt das Medizingerät 106 die geänderte Konfiguration über das Netzwerk 110, und verwendet diese entweder sofort (wenn die Prüfung beim Einschalten erfolgt) oder nach dem nächsten Einschalten (wenn die Prüfung beim Ausschalten erfolgt).
-
Diese Variante bietet weiter den Vorteil, dass für jedes Medizingerät stets eine erfolgreich getestete Konfiguration in der Konfigurationsdatenbank hinterlegt ist, und bei Bedarf schnell geladen werden kann.
-
Der Konfigurationsserver 130 kann auch verwendet werden, um die Ausgangskonfiguration des Medizingeräts 106 in die Testumgebung 120 zu übertragen, hierzu werden die Konfigurationsdaten zunächst vom Medizingerät 106 an den Konfigurationsserver 130 gesendet und dort in der Konfigurationsdatenbank 131 abgelegt. Anschließend werden die Konfigurationsdaten dann in die Testumgebung 120 übertragen.
-
Der oben beschriebene Ablauf einer Konfigurationsänderung ist in 3 nochmals schematisch dargestellt. Dabei sind in der linken Spalte Aktionen des betroffenen Medizingeräts 106 dargestellt, in der mittleren Spalte Aktionen des Konfigurationsservers 130, und in der rechten Spalte Aktionen der Testumgebung 120.
-
Zunächst überträgt das Medizingerät 106 in einem Schritt 201 die Ausgangskonfiguration K an den Konfigurationsserver 130, welcher sie in einem Schritt 202 empfängt und in einem Schritt 203 in der Konfigurationsdatenbank 131 zwischenspeichert.
-
In Schritt 204 überträgt der Konfigurationsserver 130 die Ausgangskonfiguration K an die Testumgebung, welche sie in Schritt 205 empfängt.
-
In Schritt 206 wird die Ausgangskonfiguration K durch einen Benutzer in eine Zielkonfiguration K' geändert.
-
Die Zielkonfiguration K' wird dann in Schritt 207 getestet, und das Testergebnis wird in Schritt 208 abgefragt. Hat der Test zu einem Fehler geführt, wird der Vorgang entweder abgebrochen, oder der Benutzer muss die Konfiguration in Schritt 206 erneut bearbeiten.
-
War der Test erfolgreich, so wird in Schritt 209 die Zielkonfiguration K' und ein Testprotokoll P an den Konfigurationsserver 130 übertragen. Dort wird die Zielkonfiguration in Schritt 210 empfangen und in Schritt 211 in der Konfigurationsdatenbank 131 hinterlegt.
-
In Schritt 212 wird die Zielkonfiguration K' vom Konfigurationsserver 130 an das Medizingerät 106 gesendet, und in Schritt 213 von diesem empfangen und in Schritt 214 angewendet.
-
Sind in einem Krankenhaus mehrere gleichartige Medizingeräte vorgesehen, beispielsweise in mehreren gleichartig ausgestatteten Operationssälen, so kann eine für ein Medizingerät erfolgreich getestete Konfiguration auch direkt oder über den Konfigurationsserver an mehrere oder alle gleichartigen Medizingeräte verteilt werden. Dadurch wird zum einen der Testaufwand reduziert, zum anderen ist sichergestellt, dass ein Benutzer an allen entsprechenden Medizingeräten die gleiche Konfiguration vorfindet. Dies ist insbesondere für Benutzerdatenbanken sinnvoll, die unabhängig vom individuellen Operationssaal an allen Medizingeräten gleich sein sollen.
