ES2258022T3 - Sensor con firma digital de datos relativos al sensor. - Google Patents

Abstract

Un aparato (204) adaptador de oxímetro de pulso para usar con un sensor (15) que tiene una salida para proporcionar una señal de sensor que corresponde a la saturación de oxígeno, en el cual el adaptador incluye una memoria (210), y se caracteriza porque la memoria contiene datos del sensor y una firma digital.

Description

Sensor con firma digital de datos relativos al sensor.

Antecedentes de la invención

La presente invención se refiere a sensores que tienen una memoria. Se describirá en particular respecto a sensores de oxímetro de pulso, pero se puede aplicar igualmente a otros tipos de sensores.

Oximetría de pulso

La oximetría de pulso se usa típicamente para medir diversas características de flujo sanguíneo que incluyen, pero no se limitan a, la saturación de oxígeno en sangre de la hemoglobina en la sangre arterial, correspondiendo la velocidad de las pulsaciones de la sangre a un ritmo cardiaco de un paciente. La medición de estas características se ha llevado a cabo usando un sensor no invasivo que hace pasar la luz a través de una parte del tejido del paciente donde la sangre perfunde el tejido, y detecta fotoeléctricamente la absorción de la luz en tal tejido. Un monitor, conectado al sensor, determina la cantidad de luz absorbida y calcula la cantidad de constituyente sanguíneo que se está midiendo, por ejemplo la saturación de oxígeno arterial.

La luz que pasa a través del tejido se selecciona para ser de una o más longitudes de onda que son absorbidas por la sangre en una cantidad representativa de la cantidad del constituyente sanguíneo presente en la sangre. La cantidad de luz transmitida o reflejada que pasa a través del tejido variará de acuerdo con la cantidad cambiante de constituyente sanguíneo en el tejido y la absorción de luz relacionada. Para medir el nivel de oxígeno en sangre, tales sensores han sido provistos con fuentes de luz y fotodetectores que están adaptados para funcionar a dos longitudes de onda diferentes, de acuerdo con técnicas conocidas para medir la saturación de oxígeno en sangre.

En el pasado se han propuesto diversos procedimientos para codificar información en sensores, que incluyen sensores de oxímetro de pulso, para transportar información útil a un monitor. Por ejemplo, se muestra un mecanismo de codificación en la Patente de los Estados Unidos de Nellcor Nº 4.700.708. Este mecanismo se refiere a una sonda de oxímetro óptico que usa un par de diodos emisores de luz (LEDs) para dirigir la luz a través del tejido sanguíneo prefundido, con un detector que detecta la luz que no ha sido absorbida por el tejido. La precisión del cálculo de la saturación de oxígeno depende del conocimiento de las longitudes de onda de los LEDs. Puesto que las longitudes de onda de los LEDs pueden variar, se coloca una resistencia de codificación en la sonda con el valor de la resistencia que indica al monitor los coeficientes de cálculo de saturación de oxígeno del oxímetro apropiados para las longitudes de onda actuales de al menos uno de los LEDs o la combinación de longitudes de onda de los LEDs para el sensor. Cuando se enciende el instrumento del oxímetro, aplica en primer lugar una corriente a la resistencia de codificación y mide la tensión para determinar el valor de la resistencia y de este modo los coeficientes del cálculo de saturación apropiados para usar para las longitudes de onda de los LEDs en la sonda.

Se han propuesto también otros mecanismos de codificación en las Patentes de los Estados Unidos Nº 5.259.381; 4.942.877; 4.446.715; 3.790.910; 4.303.984; 4.621.643; 5.246.003; 3.720.177; 4.684.
245; 5.645.059; 5.058.588; 4.858.615; y 4.942.877. La patente 4.942.877 describe en particular el almacenamiento de una diversidad de datos en una memoria de sensor de oximetría de pulso, que incluye coeficientes para una ecuación de saturación para oximetría.

Un problema con las técnicas de codificación de sensores de la técnica anterior es que la codificación de información puede, a veces, ser imprecisa y/o no auténtica. Esto da como resultado que el monitor, a veces, no pueda obtener las lecturas adecuadas a partir de un paciente, o peor aun, hacer cálculos imprecisos, de tal manera que en los ejemplos extremos los códigos imprecisos y las lecturas inadecuadas resultantes podrían perjudicar significativamente la seguridad del paciente y contribuir a malos resultados del paciente. Los códigos imprecisos se pueden dar en una diversidad de circunstancias. Por ejemplo, los errores se pueden producir durante un proceso de fabricación o durante el transporte de los sensores. Más común, sin embargo, es que se usan de manera algo expresa códigos imprecisos por terceros fabricantes de sensores de baja calidad y más económicos que no están licenciados o autorizados por el correspondiente fabricante de monitores para suministrar sensores compatibles de alta calidad. Estos terceros a menudo invierten cantidades mínimas en investigación y simplemente no entienden para que son los códigos puesto que no entienden cómo los monitores usan los códigos. Puesto que no están licenciados por el fabricante del monitor, esta información no se puede conseguir generalmente a través del fabricante del monitor. Demasiado a menudo, estos terceros eligen no invertir tiempo ni dinero en aprender por técnicas de ingeniería inversa o ciencia original la manera en que funcionan los monitores y la manera en que se usan los códigos para garantizar la seguridad del paciente. En su lugar, existen diversos casos en los cuales tales terceros simplemente examinan una gama de valores de código usados en el mercado para cada características de datos codificada, y toman un valor de código medio para todos sus sensores para de este modo ser "compatibles" con un monitor particular. Aunque en muchos casos, el uso de un valor de código medio, dará simplemente como resultado las lecturas que están fuera de especificación pero tampoco particularmente peligrosas, el valor de código medio puede ser suficientemente incorrecto para introducir errores significantes en los algoritmos de cálculo usados por el monitor y para causar problemas significantes de seguridad para el paciente. Además, cualesquiera códigos imprecisos de terceros contribuyen a un mal resultado de paciente, el paciente perjudicado, o sus herederos, pueden intentar responsabilizar al fabricante del monitor, junto con los cuidadores. Si los cuidadores no se han quedado con el sensor de baja calidad de terceros usado, y no han hecho uso de él, lo cual ocurre, sería difícil para el fabricante del monitor establecer que el problema fue causado por el uso del sensor de baja calidad de terceros con su por el contrario monitor de alta calidad.

Otra razón para la cual existe una necesidad para la autenticación de datos digitales almacenados junto con sensores médicos es la pequeña pero real posibilidad de que los datos queden invalidados entre el tiempo de grabación en la fábrica y el tiempo de lectura por el instrumento que está vigilando la condición de un paciente. Un ejemplo frecuentemente mencionado de un mecanismo que puede causar tal invalidación es el cambio de un valor grabado en una memoria digital por la incidencia de una red cósmica energética. Una fuente más habitual de invalidación es dañar una célula de memoria causada por descarga electrostática.

Por consiguiente, existe una necesidad en la técnica para encontrar una manera de comunicar códigos complejos precisos y auténticos desde un sensor a un monitor para garantizar cálculos precisos y la monitorización precisa del paciente por parte del monitor.

Sumario de la invención

En consecuencia, un objeto de la invención es proporcionar un sensor que tiene códigos útiles para un monitor que puede ser autentificado con precisión. La invención se define en las reivindicaciones anexas.

Este y otros objetos se consiguen mediante un sensor que produce una señal que corresponde a una característica fisiológica medida de un paciente y que proporciona códigos con los cuales se puede garantizar que son auténticos y precisos cuando son usado por un monitor. Una memoria asociada al sensor almacena los códigos y otros datos relativos al sensor; conteniendo la memoria también una firma digital. La firma digital autentifica la calidad de los códigos y los datos garantizando que fue generada por una entidad que tiene controles de calidad predeterminados y garantiza que los códigos son precisos.

En una realización, la firma digital se produce durante el proceso de fabricación del sensor usando una clave privada o un par de clave privada y clave pública, pudiéndose verificar entonces la firma con la clave pública integrada en los procesadores en un lector de sensor externo (por ejemplo, el monitor). La firma se puede separar de los datos. O en lugar de la firma anexada a los datos, la propia firma puede contener todos o al menos algunos de los datos y de este modo, proporciona un nivel de enmascaramiento de los datos.

De acuerdo con una realización de la invención, se puede usar uno cualquiera de los diversos procedimientos conocidos de firma de clave privada/pública. Estos incluyen Diffie-Hellman (y sus variantes, tales como el Estandar de Firma Digital del National Institute of Standards and Techology, El Gamal y los estudios de curva elíptica), RSA (desarrollado en el Massachussets Institute of Technology), y Rabin-Williams.

En otra realización de la invención, se incluye un resumen de una parte de los datos a firmar en la firma para verificar que no se han producidos errores en los datos. Cada pieza de datos está preferiblemente organizada para incluir un campo ID, que indica el tipo de datos que hay que seguir, seguido de un elemento de longitud de datos, seguido de la pieza de datos. Se proporciona también un bit obligatorio que indica si el conocimiento de cómo usar la pieza de datos por el monitor es obligatorio para la operación del sensor con el monitor. De este modo, un monitor más antiguo que no reconoce una pieza no crítica de datos puede simplemente no tenerla en cuenta, ya que presumiblemente no realiza esta característica avanzada que corresponde a la pieza de datos. Sin embargo, si la pieza de datos es necesaria para una operación apropiada de un sensor, se establecerá el bit obligatorio, y el lector de sensor/monitor indicará que no puede usar el sensor particular que se ha conectado.

En otra realización más, los datos firmados almacenados con el sensor incluirían al menos un coeficiente de curva de calibración de saturación dependiente del sensor usado para calcular la saturación de oxígeno por un monitor. Además, los datos pueden incluir umbrales de apagado (OFF) de sensor y coeficientes de calibración de termistor apropiados para los sensores que incluyen un termisotr. Algunos de tales datos se pueden incluir dentro de la firma, y estos u otros datos se podrían incluir fuera de la firma. Los datos fuera de la firma se podrían encriptar (o enmascarar), si se desea, con un algoritmo criptográfico de clave simétrica, por ejemplo El Estándar de Encriptación de Datos (DES) de NIST, y la clave simétrica se podría incluir en la firma. Alternativamente, la clave simétrica se podría derivar del resumen, que está contenido en la firma.

Para una comprensión adicional de la naturaleza y de las ventajas de la invención, se debería hacer referencia a la siguiente descripción tomada junto con los dibujos anexos.

Breve descripción de los dibujos

La figura 1 es un diagrama de bloques de un sistema de sensores y lector de sensores que incorpora la invención.

La figura 2 es un diagrama de bloques de los contenidos de una memoria de sensores mostrada en la figura 1.

La figura 3 es un diagrama de bloques que ilustra un sistema para firmar datos durante la fabricación de un sensor.

La figura 4 es un diagrama que ilustra el mecanismo de firma por el sistema de la figura 3.

La figura 5 es un diagrama flujo de datos que ilustra los datos generados en el procedimiento de la figura 4.

La figura 6 es un diagrama de una realización de un lector de sensor o monitor, que ilustra diferentes módulos de software.

La figura 7 es un diagrama de flujo que ilustra la lectura de un sensor de acuerdo con la invención.

La figura 8 es un diagrama que ilustra el flujo de dato leídos en el procedimiento de la invención.

La figura 9 es un diagrama de diferentes campos en los datos.

La figura 10 es un diagrama de bloques de un sistema de sensores que usa un adaptador con una firma digital en el adaptador.

Descripción de las realizaciones específicas Definiciones

El Dato Firmado es el dato que se ha incluido en el cálculo de un resumen (usando una función de comprobación aleatoria), estando este resumen, a su vez, incluido en el cálculo de una firma digital, de manera que cualquier alteración posterior de los datos podría ser detectada por un fallo de verificación de la firma digital. Los datos que han sido firmados pueden eventualmente residir bien dentro o fuera de la firma digital. En el proceso conocido como "firma digital con recuperación de mensaje", los datos residen íntegramente dentro de la firma digital. Hasta que se verifica la firma, los datos están en forma cifrada, de manera que un observador causal no pueda entenderlos. El procedimiento matemático que verifica la firma descifra, o "recupera" los datos. En el procedimiento conocido como "firma matemática con recuperación parcial", que se prefiere para la invención descrita en la presente memoria descriptiva, se incluye una parte de los datos firmados dentro de la firma, y los datos adicionales residen fuera de la firma. La parte de datos dentro de la firma está oscurecida hasta que se verifica la firma, pero la parte exterior sigue siendo fácil de leer, a menos que se use un procedimiento de enmascaramiento para oscurecerlos.

Los Datos Enmascarados, cómo se usa el término en la presente memoria descriptiva, son datos que han sido encriptados para de este modo ser recuperados con una clave de desenmascaramiento que se incluye dentro de la firma. Durante la verificación de la firma, se recupera la clave de desenmascaramiento. Esta clave de desenmascaramiento se puede usar entonces para desencriptar los datos enmascarados. En una realización preferida, los datos enmascarados se encriptan con una clave simétrica, lo cual quiere decir que las claves de encriptación y de desencriptación (es decir, las claves de enmascaramiento y de desenmascaramiento) son idénticas. En una realización preferida, el resumen de mensajes que está incorporado en la firma digital se usa como una clave simétrica para enmascarar y desenmascarar los datos exterior de la firma.

Lector de sensor/Monitor

La figura 1 es un diagrama de bloques de una realización preferida de la invención. La figura 1 muestra un oxímetro de pulso 17 (o lector de sensor) que está conectado a un sensor 15 no invasivo fijado a un tejido 18 de un paciente. La luz de los LEDs 14 de los sensores pasa dentro del tejido 18 del paciente, y después de transmitirse a través o reflejarse desde el tejido 19, la luz es recibida por el fotosensor 16. Se pueden usar dos o más LEDs dependiendo de la realización de la presente invención. El fotosensor 16 convierte la energía recibida en una señal eléctrica, que a continuación es suministrada al amplificador 20 de entrada.

Se pueden usar fuentes de luz distintas de los LEDs. Por ejemplo se pueden usar lásers, o se puede usar una fuente de luz blanca con filtros de longitud de onda apropiados, bien en los extremos de transmisión o de recepción.

La unidad de Procesamiento de tiempo (TPU) 48 envía señales de control a la unidad 32 de LEDs, para activar los LEDs, típicamente de manera alterna. De nuevo, dependiendo de la realización, la unidad puede controlar dos o cualquier número deseado adicional de LEDs.

La señal recibida del amplificador 20 de entrada pasa a través de tres canales diferentes como se muestra en la realización de la figura 3 para tres longitudes de onda diferentes. Alternativamente, se podrían usar dos canales para dos longitudes de onda, o N canales para N longitudes de onda. Cada canal incluye un conmutador analógico 40, un filtro de paso bajo 42 y un convertidor analógico a digital (A/D) 38. Las líneas de control del TPU 48 seleccionan el canal apropiado en el momento en que el LED 14 correspondiente está siendo accionado en sincronización. Un módulo en serie en cola (QSM) 48 recibe los datos digitales de cada uno de los canales mediante las líneas de datos de los convertidores A/D. La CPU 50 transfiere los datos del QSM 46 a la RAM 53 puesto que el QSM 46 se llena periódicamente. En una realización, el QSM 46, la TPU 48, y la CPU 50 y la RAM 52 forman parte de un circuito integrado, tal como un microcontrolador.

Memoria de sensor

El sensor 15, que incluye el fotosensor 16 y los LEDs 14, tiene una memoria 12 de sensor asociada al mismo. La memoria 12 está conectada a la CPU 50 en el lector de sensor o monitor 17. La memoria 12 podría estar integrada en un cuerpo del sensor 15 o en un enchufe eléctrico conectado al sensor. Alternativamente, la memoria 12 podría estar integrada en un alojamiento que se puede fijar a una superficie externa del monitor, o la memoria 12 podría estar situada en cualquier sitio en una trayectoria de señal entre el cuerpo de sensor y el monitor. Específicamente, según algunas realizaciones preferidas, un contenido de la memoria 12 de sensor podría ser constante para todos los sensores asociados con un modelo particular de sensor. En este caso, en lugar de poner una memoria 12 individual sobre cada sensor asociado a este modelo, la memoria 12 podría en lugar de estar incluida en un cable prolongador reutilizable asociado al modelo de sensor. Si el modelo de sensor es un sensor desechable, en este caso se podría incorporar una única memoria 12 dentro de un cable prolongador reutilizable. El cable reutilizable se podría utilizar entonces con múltiples sensores desechables.

La figura 2 es un diagrama de los contenidos de la memoria 12 de la figura 1 según una realización preferida. Una firma 60 digital ocupa una primera parte de la memoria, incluyendo preferiblemente la firma datos relativos al sensor. Una segunda parte 62 contiene datos que están firmado y enmascarados. Una tercera parte 64 incluye datos que están firmados pero permanecen vacíos (es decir, no están enmascarados). Finalmente, se reserva una parte 66 para escribir en la memoria de sensor mediante el lector de sensor. La parte 66 no está firmada ni enmascarada. Aunque esta realización preferida se muestra con carácter ilustrativo, se debería entender que la memoria 12 puede contener muchos bloques diferentes de datos fuera de la firma digital, cada uno de los cuales puede ser firmado y/o enmascarado según los requisitos de una realización particular. Estos diferentes bloques de datos pueden estar dispuestos en cualquier orden deseado, por ejemplo, múltiples bloques firmados y no firmados pueden estar intercalados, y múltiples bloques enmascarados y desenmascarados pueden estar intercalados. Se debería entender también que los datos escritos en la memoria 12 por el lector de sensor es una característica opcional, y que tales datos se pueden enmascarar opcionalmente.

Escribir la Firma en Fábrica

La figura 3 es un diagrama de bloques de una realización de un sistema usado en una fábrica para escribir una firma en la memoria 12 de sensor. En la figura 3 se muestra un ordenador 70 personal y un coprocesador 72 criptográfico asociado que contiene y utiliza una clave privada de un par de claves privada/pública. La clave privada está contenida dentro de una memoria en el seno del coprocesador 72. Esta clave preferiblemente no se puede leer por nadie para preservar la seguridad. La clave pública correspondiente se puede conocer tanto por el ordenador 70 personal como por el coprocesador 72, o puede ser producida por el coprocesador 72.

Los datos que son firmados por el coprocesador 72 pueden proceder de más de una fuente. Se muestra un probador 76 para probar el sensor para determinar el valor de algunos componentes 78 de sensor, tales como la longitud de onda de los LEDs, la resistencia de termistor, etc. Estos valores de datos son proporcionados a continuación al ordenador 70 personal a lo largo de la línea 80. Se puede introducir información 82 adicional mediante un teclado o a partir de otra base de datos a lo largo de las líneas 84, Estos datos pueden incluir, por ejemplo, un número de serie para el sensor, una fecha de fabricación, un número de lote, un resumen de la parte de los datos que hay que firmar, u otra información.

Los datos que hay que firmar y otros datos que hay que incluir en la memoria 12 pasan desde el ordenador personal al coprocesador 72 criptográfico. El coprocesador 72 realiza un resumen a partir de los datos firmados y los signos, con la clave privada el resumen y los otros datos cuya firma se desea. La firma y los datos contenidos pueden incluir una clave simétrica para otros datos que están enmascarados, o información a partir de la cual se puede derivar una clave simétrica. El coprocesador vuelve a transmitir la firma al ordenador 70 personal. El ordenador 70 personal enmarcara preferiblemente algunos de los datos que no están incluidos en la firma, y combina los datos enmascarados, la firma, y los datos vacíos y transite todo esto a la memoria 12 sobre las líneas 88.

La figura 4 es un diagrama que ilustra el funcionamiento del sistema de la figura 3. La figura 5 ilustra el flujo de datos según el procedimiento de la figura 4.

En primer lugar, se prueba el sensor y se miden los parámetros 88 del sensor, para de este modo proporcionar la longitud de onda de los LEDs. A continuación, se introduce cualquier otro dato 89. Los datos a continuación se clasifican (etapa 90). Esta clasificación da como resultado primeros datos 91 que hay que firmar, segundos datos 92 que hay que enmascarar, y terceros datos 93, que serán vacíos, es decir, ni enmascarados ni firmados. Para verificar que no se producen errores en ninguno de los datos 91, 92, 93 durante la fabricación o durante una posterior etapa de lectura/desencriptación cuando se usa el sensor se crea un resumen 95 (etapa 94) a partir de los datos 91, 92, 93 durante la fabricación y se incluye dentro de la firma. El resumen se produce como una información de salida de una función de comprobación aleatoria aplicada a los datos 91, 92, 93. el resumen se puede comparar con un CRC complicado. Cuando los datos y el resumen se leen más tarde mediante un monitor después de la descripción, si uno o más bits de error producidos en cualquiera de los datos 91, 92, 93, el monitor creara un segundo resumen a partir de los datos leídos que no corresponden con el resumen extraído de la memoria, indicando de este modo uno o más errores que se han producido en algún momento en los procedimientos de verificación de escritura o firma. Un ejemplo de una función de comprobación aleatoria apropiada es SHA-1, descrito en FIPS Federal Information Processing Standard, PUB 180-1, Secure Hash Standard, National Institue of Standards & Technology, 1995. El resumen 95 y los datos 91 se firman junto con los datos de formateo 99 añadidos en la etapa 100 para producir una firma 101 en la etapa 96. Los datos de formateo se añaden en la etapa 100, por ejemplo según el Estándar Internacional ISO/IEC 9796-2, un estándar para firmas digitales. Los datos 92 se enmascaran en la etapa 103.Esta firma 101, los datos enmascarados 103 y los datos vacíos 93 se combinan a continuación mediante el coprocesador 72 y el ordenador personal 70 y se almacenan en la memoria 12 de sensor.

La clave privada se usa para firmar los datos 91 es preferiblemente un algoritmo de firma digital Rabin-Williams, un ejemplo del cual se describe en ISO 9796-2.

En una realización, el bloque original de datos que hay que firmar, el bloque 91, es de 73 bytes o menos más un resumen de 20 bytes más 3 bytes de datos 99 de formateo. Esto produce un mensaje firmado de 96 bytes Igualmente se pueden usar firmas más largas, por ejemplo, firmas que tienen 128 bytes, pudiéndose recibir 106 bytes como datos 91 útiles. La longitud de la firma depende del grado de seguridad deseado y la cantidad de la capacidad de desencriptación del monitor.

Lectura de la Firma por Lector/Monitor en campo

La figura 6 ilustra una parte de un lector de sensor o monitor 17 para verificar la firma digital y recuperar datos a partir de un sensor cuando se usa sobre un paciente. Los datos se recuperan en primer lugar de la memoria del sensor y se almacenan en una memoria 110 mediante una CPU 50. El lector de sensor tiene una clave pública en una memoria 12, que se carga típicamente en el momento de la fabricación del monitor o se proporciona como una modernización del monitor. Un programa de verificación de firma y recuperación de datos se almacena en una parte de la memoria 114.

La figura 7 ilustra el funcionamiento del programa de verificación de firma y recuperación de datos de la parte de la memoria 114 de la figura 6. La figura 8 es un diagrama que ilustra el movimiento de los datos según el diagrama de flujo de la figura 7. En primer lugar se recuperan los datos a partir de la memoria de sensor en la etapa 106. Los datos 102 recuperados se muestran en la figura 8 como consistentes en la firma 101, los datos enmascarados 107 y los datos vacíos 93. La clave pública 112 se recupera entonces a partir de la memoria del monitor (etapa 108).

La firma y la clave pública se proporcionan entonces como entradas a una transformada criptográfica para obtener los datos 91 de firma y el resumen 95 de memoria (etapa 109).

El resumen de memoria se usa para determinar la clave simétrica de los datos enmascarados, y esta clave se usa entonces para desencriptar los datos 107 enmascarados para obtener los datos 92 originales que se enmascararon (etapa 116).

Con el fin de verificar la precisión de todos los datos 91, 92, 93, se crea entonces un segundo resumen mediante el monitor a partir de los datos 91 firmados desencriptados, los datos 92 desenmascarados, y los datos 93 vacíos que usan una función de comprobación aleatoria 118 (etapa 120). Esto creara un nuevo resumen 122 que se puede comparar entonces con el resumen original 95 (leído a partir de la memoria) en una etapa 124. Si los resúmenes son iguales, se verifica la firma y se autentifica el mensaje (datos combinados 91, 92, 93) (etapa 126). El monitor usa entonces los mensajes en su funcionamiento. Si por otra parte, los resúmenes no son iguales, se determina que el mensaje es inválido y el monitor indicará una señal de sensor defectuosa al usuario del monitor y no usará el mensaje (128).

Como se puede observar, la invención aplica únicamente firmas digitales a los sensores y en particular a sensores de oxímetro de pulso. La única aplicación a un sensor permite que el lector de sensor/monitor verifique la precisión, la autenticidad de los mensajes (datos) en lo que se refiere a la fuente y la calidad del sensor, y protege la información sensible de la especificación del sensor contra un fácil descubrimiento y un uso erróneo de la parte de los fabricantes de sensores no innovadores.

Campos de Firma

La figura 9 ilustra más en detalle una realización de los daros 91 de firma, el resumen 95, y los datos 99 de formateo. En particular, los datos 91 de firma están desglosados en un número arbitrario de campos 132, seguidos por un CRC 134. Cada campo 132 incluye un identificador 136 de campo de 1 byte, que identifica el tipo de datos presentados en este campo. Un único bit 138 indica si este campo es obligatorio o no. A continuación, hay 7 bits en un bloque 140 que identifican la longitud del campo. Finalmente, los datos de campo están proporcionados en un bloque 142 de bytes.

En funcionamiento, si un monitor o lector de sensor existente no puede manejar o no reconoce el identificador 136 de campo particular, se puede recurrir a la longitud 140 de campo y descifrar que cantidad de datos hay que saltarse para llegar al siguiente campo. Sin embargo, en primer lugar verifica el bit 138 obligatorio para determinar si este dato es obligatorio para el funcionamiento del sensor. Si es obligatorio, el monitor o el lector de sensor producirán un mensaje de error que indica que no puede leer correctamente el sensor fijado. Si no es obligatorio, el monitor o el lector de sensor ignorarán simplemente este campo de datos.

Este formato de campo proporciona de este modo flexibilidad en guardar datos dentro del bloque de datos de firma, y también la capacidad de mejorar y la contabilidad con los lectores de sensor existentes y las futuras generaciones de sensores y monitores.

En una realización, un identificador de campo de un valor seleccionado está designado como un "carácter de escape", que indica que el siguiente carácter es el identificador de un conjunto extendido. Esto permite la capacidad de añadir, borrar, mover, comprimir o estirar los campos que están incluidos en un mensaje sin tener que recurrir a las direcciones fijas.

Tipos de datos

Lo siguiente son ejemplos de tipos de datos que se podrían incluir en la memoria 12 en una realización.

Los coeficientes o datos actuales que hay que aplicar a las ecuaciones para el cálculo de saturación para un oxímetro de pulso se podrían almacenar. Estos coeficientes se pueden almacenar en lugar de almacenar un valor que corresponde a la longitud de onda medida de LED. El resultado es una flexibilidad mucho mayor en el diseño del sensor, ya que las curvas de calibración no se limitan a un pequeño conjunto de curvas que han sido proporcionadas en los instrumentos.

Alternativamente a los coeficientes o además de los mismos, las longitudes de onda de los LEDs podrían simplemente almacenarse. Igualmente, se podrían almacenar características secundarias de longitud de onda de emisión, y otros parámetros de LED:

Algunos sensores pueden tener termistores usados para medir la temperatura local con fines tales como la compensación de las curvas de calibración para la temperatura del sensor o para prevenir quemaduras en los pacientes. Los coeficientes de calibración para el termistor se podrían almacenar.

Otros datos que se podrían incluir en la memoria 12 podrían incluir, por ejemplo, un código de lote que permitirá la trazabilidad del sensor, un señalizador de sensor incorrecto, un dato de fabricación, una información de prueba de fabricación, la versión del software de firma usado para la firma, características V/I delanteras de LED, características de potencia óptica de LED; una característica de eficiencia de sensor, una potencia de LED de máxima seguridad, un nivel de revisión del conjunto de datos de sensor (que indica las características incluidas en el sensor), un identificador de modelo de sensor, un señalizador de preguntas adulto/neonato (para activar un intervalo de límite de alarma deseado que depende de si un neonato o un adulto está vigilado, con diferentes niveles de saturación de oxígeno normal para oximetría de pulso), un señalizador de escritura única/o escritura múltiple una dimensión de página, un número de páginas, y un número máximo de eventos reciclados.

Alternativamente, cualquiera de los tipos de datos mencionados anteriormente o descritos en las referencias mencionadas de la técnica anterior se podría usar y almacenar bien en los datos 92 enmascarados, en los datos 91 de firma o en los datos 93 vacíos.

La figura 10 es un diagrama de bloques de un sistema de sensor que incorpora un adaptador que tiene una firma digital en el adaptador. La figura 10 muestra un sensor 202 conectado a un adaptador 204 que a su vez está conectado a un monitor 206. El adaptador incluye una circuitería 208 a acondicionamiento de señal, una memoria con una firma digital 210, y un monitor interno 212. Una utilización de tal adaptador sería para una clase de sensores destinados para conectarse a tal adaptador sin una firma digital. El propio adaptador podría proporcionar la firma digital al monito externo 206. De este modo, por ejemplo, en lugar de que cada sensor esté certificado, se puede usar un procedimiento diferente para determinar que los sensores están certificados, con el adaptador que proporciona la certificación al monitor externo.

En la realización mostrada en la figura 10, el adaptador también incluye un monitor 212 interno. Este monitor interno se puede usar para proporcionar visualización de salida u otras señales que son diferentes de, o variaciones de, las salidas y visualizaciones proporcionadas por los monitores 206 externos en el campo. Para garantizar que cualquier salida o visualización por los dos monitores es consistente, el bloque 208 de acondicionamiento de señal puede modificar las señales de sensor de manera que, en su forma modificada, la salida de señal en la línea 214 al monitor 206 externo hará que el monitor 206 externo cree una señal de salida que corresponde a la producida por el monitor 212 interno. Por ejemplo, se puede obtener una señal de paciente a partir del sensor 202 que corresponde a un valor de oximetría de pulso. Se puede generar una estimación del ritmo cardiaco y de saturación en el monitor 212 interno, con el bloque 208 que genera una señal CA sintética que envía al monitor 206 externo. La construcción de una señal sintética serviría para garantizar que el monitor externo calcula un ritmo cardiaco y una saturación similar al monitor 212 interno.

La firma digital puede ser una firma de cualquier dato que incluye datos de paciente sin filtrar, datos de paciente filtrados, una señal sintética fisiológica de paciente o cualquier otro dato.

Como se entenderá por los expertos en la técnica, la presente invención se puede realizar en otras formas específicas sin salirse de las características esenciales de la invención. Por consiguiente, se entiende que lo anterior ilustra, pero no limita, el alcance de la invención que se expone en las siguientes reivindicaciones.

Claims (11)

1. Un aparato (204) adaptador de oxímetro de pulso para usar con un sensor (15) que tiene una salida para proporcionar una señal de sensor que corresponde a la saturación de oxígeno, en el cual el adaptador incluye una memoria (210), y se caracteriza porque la memoria contiene datos del sensor y una firma digital.

2. El aparato según la reivindicación 1, en el cual un campo de los datos incluye un señalizador de bit obligatorio y/o opcional, indicando el señalizador si es obligatorio saber cómo utilizar el campo de datos por un monitor que lee la memoria para operaciones del monitor con el sensor.

3. El aparato según la reivindicación 1, en el cual una primera parte de los datos del sensor está encriptada y de este modo oscurecida hasta la verificación de la firma, y una segunda parte de los datos no está oscurecida y se puede leer fácilmente, estando la primera y la segunda parte firmadas por la firma digital.

4. El aparato según la reivindicación 1, en el cual los datos del sensor incluyen al menos uno de los siguientes elementos:

los coeficientes de cálculo de la saturación;

una fecha de fabricación;

un código de lote;

un señalizador de bit obligatorio/opcional, indicando el señalizador si es obligatorio saber como utilizar el campo de datos por un monitor que lee la memoria para operaciones del monitor con el sensor; y

un número máximo de eventos reciclados.

5. El aparato según la reivindicación 4, en el cual los datos del sensor están organizados en campos en el cual cada campo se caracteriza por un identificador de campo, un bit obigatorio, una longitud de campo y datos de campo.

6. El aparato según la reivindicación 4, en el cual los datos del sensor incluyen el programa de software de firma utilizado para la firma.

7. El aparato según la reivindicación 1, en el cual la firma se realiza utilizando una clave privada, pudiendo la firma verificarse con una clave pública en el monitor.

8. El aparato según la reivindicación 1, que incluye un monitor interno en el adaptador para proporcionar una señal de salida que corresponde a la saturación de oxígeno, y un circuito de acondicionamiento que permite modificar la señal del sensor para producir una señal sintética de sensor, de tal manera que un segundo monitor externo que utiliza la señal sintética de sensor, va a producir una salida que corresponde a la señal de salida del monitor interno.

9. El procedimiento de funcionamiento de un sensor (15) de oximetría de pulso, que comprende la fijación de un adaptador (204) al sensor, en el cual el adaptador incluye una memoria (210), y en el cual la memoria contiene datos del sensor y una firma digital.

10. El procedimiento de la reivindicación 9, que incluye las etapas de:

almacenar al menos un campo de datos en la memoria;

almacenar un señalizador obligatorio/op- cional en el campo de datos;

leer el señalizador con un lector de sensor;

si el lector de sensor no reconoce el campo de datos y el señalizador indica que el campo es opcional, ignorar el campo de datos; y

si el lector de sensor no reconoce el campo de datos y si el señalizador indica que el campo es obligatorio, producir una señal de error que indica la incapacidad de utilizar el sensor.

11. El procedimiento según la reivindicación 10, que incluye las etapas de:

almacenar una longitud de campo asociada al campo;

leer la longitud de campo; y

saltar el campo utilizando la longitud del campo si el lector de sensor no reconoce el campo y si el señalizador indica que el campo es opcional.