JP2017500624A - 診断検査アッセイの分析結果へのアクセスを保護及び制御するシステム及び方法 - Google Patents

Abstract

リーダユニット（３１）は、１つ又は複数の診断検査（１３）を１つ又は複数の生理学的試料（１５）に対して実行できるアッセイユニット（１１）と動作可能に接続されるように構成され、また、リーダユニットと動作可能に接続されたアッセイユニットで実行される診断検査の検査生データ（７３）を取得するように構成される（３２、３６）。リーダユニットは、検査生データ又は当該検査生データ由来のデータを含む入力データをロック鍵データ（７５）で暗号化するように構成された暗号化モジュール（３３）を備える。リーダユニットは、入力データではなく暗号化されたデータ（７７）へのアクセスを提供するように構成される。【選択図】 図１

Description

本発明は、診断システム用の分析ユニット（assay unit：アッセイユニット）、読み取りユニット（reader unit：リーダユニット）、診断デバイス、及び診断キットから分析結果データを取得し処理する診断システム、並びに分析結果へのアクセスを制御する方法に関する。

今日、例えば、体液等の生理学的試料は多種多様な生化学的分析物に関して分析することができる。正確な医学診断は、健康状態及び疾患の特定、モニタリング、予後、及びコンパニオン診断等の医療処置の重要な部分である。医学診断システムが使用される２つの主な状況、すなわち、専用の医療検査室及びいわゆるポイントオブケア（ＰｏＣ）検査がある。

本明細書の文脈における用語「生理学的試料」は、血液、尿、便、若しくは組織等の患者から得られた生物学的物質、又はかかる生物学的物質を基に後に分析するために準備された試料のいずれかである、あらゆる液体物質、固体物質、又は気体状物質を包含するものとする。

一般に、医療検査室で使用される検査室用診断デバイスにより多種多様な分析能力が提供される。例えば、Ｉｌｌｕｍｉｎａ及びＡｆｆｙｍｅｔｒｉｘから販売されるデバイスは、デオキシリボ核酸（ＤＮＡ）及びリボ核酸（ＲＮＡ）の分子診断を行う。Ｒｏｃｈｅ及びＡｂｂｏｔｔにより販売されているような臨床用分析器は、免疫化学（抗体ベースの検出）及び臨床化学（小化学分子の検出）用の検査を行う。例えばＢｅｃｋｍａｎ Ｃｏｕｌｔｅｒから販売されるようなデバイスは体液中の細胞を計数することができる。

このような診断デバイスは、高感度で正確、且つ柔軟であり、高い処理量を提供する。しかし、診断デバイスは、高価であり、また操作によく訓練された人員を必要とするという不利点も有する。このため、このような診断デバイスは主に病院検査室及び中央医療検査室で使用され、病院検査室及び中央医療検査室では診断デバイスが最も効率的に使用され得る。しかし、かかるデバイスは患者の生理学的試料を必要とするため、当該試料は分析が行なわれる医療検査室へ移送されなければならない。その結果、分析結果は数時間後又は数日後にしか入手できない。

ますます多くの数の診断検査がポイントオブケアで、患者の近くで例えば、医療現場、病院の救急処置室、救急車、又はさらには患者の身辺で行なわれる。ポイントオブケア診断デバイスは多くの場合携帯型で、分析結果を迅速に（数分以内）得ることができる。ポイントオブケア診断デバイスの使用は通常、診断検査が普通の医療関係者又は患者自身により実施することができるようにはるかに簡単である。

最も一般に普及したポイントオブケア診断デバイスは、ラテラルフローイムノアッセイストリップ検査を実行する。このような検査は、妊娠、ＨＩＶ、マラリア、インフルエンザ検査等の多種多様な診断指標に利用できる。対応するデバイスは多数の製造業者、例えば、Ｓｗｉｓｓ Ｐｒｅｃｉｓｉｏｎ Ｄｉａｇｎｏｓｔｉｃｓ、Ａｌｅｒｅ、Ｂａｙｅｒ、及びＳｉｅｍｅｎｓから提供される。ラテラルフロー検査は通常、１つ又は２つの分析物の検出及び定性的検出、例えば、明瞭な色調の変化に限定される。

アリーアトリアージメータープロ（Ａｌｅｒｅ Ｔｒｉａｇｅ ＭｅｔｅｒＰｒｏ）システムは、消耗カートリッジ形態のアッセイユニット及び再利用可能卓上リーダの形態の評価デバイスから構成された免疫化学システムである。カートリッジは、３タンパク質心臓パネル（ミオグロビン、ＣＫ−ＭＢ、及びトロポニンＩ）等のバイオマーカのパネル及び薬物スクリーニングパネルを検出するために利用可能である。したがって、このようなカートリッジによって３つの分析物について試料を同時に検査できる。バイオマーカの新しいパネル毎に新しい検査カートリッジが必要とされる。Ａｌｅｒｅのエポック（ｅｐｏｃ）システム及びＡｂｏｔｔのアイ−スタット（ｉ−ＳＴＡＴ）システムは、血液ガス、電解質、及び代謝産物のパネルを測定できるカートリッジを有する。Ａｂｏｔｔのアイ−スタットシステムについては、１つの心臓バイオマーカ（トロポニンＩ、ＣＫ−ＭＢ、又はＢＮＰ）を測定するカートリッジが利用可能である。これらのデバイスは高感度で正確である。主な制限は、検査室用診断マシンに比べると、検査する分析物毎の価格が高いことである。別の不利点は、利用可能な検査カートリッジの種類が限られていることである。

新規のバイオセンサシステムによって、ポイントオブケア診断用途において多数の分析物のマルチプレックス検出が可能になる。このようなデバイスは高度で統合的な分析能力を持つため、検査室用診断デバイスの能力に匹敵する。

ＧｙｒｏｓのラボオンＣＤ（Ｌａｂ−ｏｎ−ａ−ＣＤ）システム及びＡｄｖａｎｃｅｄ Ｌｉｑｕｉｄ Ｌｏｇｉｃのデジタルマイクロ流体システムは、卓上分析器を用いて１度に１００以上の分析物を検出できる。さまざまな生化学的分析物を検出するためのその他のバイオセンシング手法は、例えば、米国特許第５７１９３２４号、国際公開第２００２／０４８７０１号、米国特許第４０２０８３０号、国際公開第８９／００９９３８号、米国特許第４９４５０４５号、及び米国特許第５６４１６４０号で提供される。

医学診断デバイスは通常、再利用可能測定デバイス及び消耗部品（検査ユニット又は試薬）からなる。特定の診断検査を実施したいユーザは、所望の分析能力を有する診断デバイスを選択する。例えば、自分の血液中の血糖値を知りたい真性糖尿病患者は、再利用可能血糖測定器及び消耗血糖検査片を備える専用の診断システムを使用することができる。

評価デバイスが異なる診断検査を実行できる場合、ユーザは対応する消耗アッセイユニットを選択しなければならない。例えば、心筋梗塞について検査したいユーザは、アリーアトリアージ（Ａｌｅｒｅ Ｔｒｉａｇｅ）メータ（評価デバイス）及びカーディオ３パネル（Ｃａｒｄｉｏ ３ Ｐａｎｅｌ）カートリッジ（アッセイユニット）を使用して、３つの心臓バイオマーカについて検査することができる。さらなる心臓バイオマーカ等の他の分析物について検査したいユーザは、必要とする診断検査を行うことが可能な他の検査カートリッジを選択しなければならない。

消耗アッセイユニットの費用は主として、実際の製造費用だけで決まるものではなく、一方では製造業者が回収すべき研究開発費用と、他方では、国及び／又は保険会社等の間で通常異なる、特定の分析物についての特定の診断検査で適用可能な健康保険還付金とによって決まるものである。したがって、特定のアッセイユニットの購入価格は、消耗アッセイユニットによって測定できる分析物の数及び種類等の分析能力に依存する。

このようなアッセイユニットの購入価格を介して費用を回収するアプローチは、１つの分析物又はいくつかの分析物を測定可能な消耗アッセイユニットには有効である。

分析物の組み合わせは、心臓バイオマーカ又は薬物乱用スクリーニングのための組み合わせ検査のような日常的に一緒に必要とされる検査でのみ利用可能である。したがって、通常はほんのいくつかの異なる診断組み合わせ検査が利用可能である。

購入価格でのアプローチでは、再利用可能な評価デバイス及び消耗アッセイユニットを備えたポイントオブケア診断に使用される場合、上述のような広範でマルチプレックスな能力を提供する診断システムには最適な解決策を提供しない。例えば、同時に１００分析物を検査できる診断システムの利用は桁違いの費用がかかる。その理由は、購入価格は当該１００分析物の検査の研究開発費用及び還付金に依存するからであるが、消耗アッセイユニットの製造費用は、はるかに診断能力が低いアッセイユニットと同等である。

医学診断システムはますますデータ通信ネットワークに統合され、病院、医療現場、中央検査室、患者の家、さらには救急車又は救助ヘリ等の移動ユニット間のデータ交換を可能にする。電子健康管理システムと通信することができる医学診断システムは、検査結果の注文、請求、較正、及び電子カルテとの同期といった種々のメリットをさらに提供する。しかしながら、このような用途すべてにおいて、慎重に扱うべき個人的医療データの守秘義務が問題となる。

米国特許出願公開第２００２／０１６１６０６号、米国特許出願公開第２００５／００５５２４０号、及び米国特許第６０１８７１３号は、中央臨床検査室から診断検査を注文するシステムについて記述する。当該システムは、クライアント端末及び中央検査室の遠隔サーバに基づく。ユーザは患者情報を入力し、中央検査室で実施する診断検査を選択して注文する。診断検査の結果報告はクライアント端末に送信できる。行なわれる検査は自動で健康保険会社に請求できる。ある種のロジスティクス面での利点を有するものの、開示されるシステムは依然として、診断検査を実施するために中央検査室のよくある問題、すなわち、試料を検査室に輸送しなければならないという必要性を有する。

欧州特許第１７７６９１９号は、契約ベースのバイオセンサモニタリングシステムについて開示している。システムにより、契約が有効なときにだけ再利用可能な測定デバイス及び消耗検査片を使用したバイオセンサ測定を行うことを可能にする。測定デバイスは、遠隔サーバに測定デバイスの識別子コード及びＲＯＭ回路識別子コードを伝達し、そのことによって契約が有効であることを確認し、測定デバイスに診断検査を行わせることが可能である。

国際公開第９９／０２２２３６号は、セルラネットワークベースの血糖検査片の較正方法を提案している。携帯電話に接続された測定デバイスは、検査片で実施した診断検査の結果を評価し、検査片の結果及び識別コードを遠隔サーバに伝達する。遠隔サーバは、検査片に対応付けられた較正データを携帯電話に送信し、次いで携帯電話が最終的な検査結果を算出する。開示されるシステムは検査結果の機密を保護しない。

米国特許出願公開第２００４／０１８１５２８号は、ポイントオブケアデバイスの在庫管理システムを示す。電子システムは、複数のポイントオブケア診断デバイスをその有効期限、消費時間、室温保管時間について追跡し、在庫を補充するために追加のデバイスの注文を管理する。開示されるシステムは、在庫管理及び診断デバイスが既に使用可能でなくなったときの在庫補充に限定される。

国際公開第０２／１００２６１号は、ポイントオブケア生体外血液分析のためのシステムについて記載している。システムは、バイオセンシング検査を行うことができる改造スマートカードをベースにする。スマートカードはスマートカードリーダに挿入され、スマートカードリーダは、アナログ出力信号を測定し、アナログ信号をデジタル信号に変換し、当該デジタル生データを汎用コンピュータデバイスに送信して、分析結果を生成する。開示されるシステムは、改造スマートカードをベースにしたバイオセンサに限定され、汎用コンピュータを用いて分析結果を生成できるにすぎない。

分析結果を含む慎重に扱うべき個人健康管理データへの無許可の又は不正なアクセスは、主要な安全面及び機密面での懸念材料である。

米国特許出願公開第２０１２／００２９３０３号は、無線、有線、又はネットワークを介して通信できる遠隔患者デバイス及び診断デバイスを備える仮想健康診断システムについて開示している。診断デバイス、例えば、カメラは診断結果、例えば、画像を生成し、当該結果データを遠隔患者デバイスに送信し、遠隔患者デバイスはデータを暗号化し暗号化されたデータを患者記録サーバへと送信する。診断デバイスを使用する医療関係者は診断データへのアクセス権を有する。システムの目的は、リアルタイム遠隔仮想健康診断を提供することである。

米国特許第７０３９８１０号では、１つ又は複数の埋込み型医療デバイスが、埋込み型医療デバイスをプログラムすることを可能にするローカルコンピュータ（「プログラマ」）と無線通信する。プログラマは遠隔エキスパートデータセンタへの暗号化されたデータ通信を提供する。

米国特許出願公開第２００５／０６５８９０号は、例えば、航空機のメディアプレーヤのために、又はセットトップボックスを介して等、映画等のメディアコンテンツを確実に配信する方法について開示している。一実施形態では、メディアコンテンツデータ（例えば、映画）はコンテンツ鍵により暗号化される。このコンテンツ鍵は、各認証メディアプレーヤの特定のメディアプレーヤの公開鍵により再び暗号化される。あらゆるメディアプレーヤのために何度も暗号化されたコンテンツ鍵は、暗号化されたコンテンツデータと共に配信される。各認証メディアプレーヤは、それ自身の特有の公開鍵により予め暗号化されたコンテンツ鍵は復号化できるが、他の暗号化されたコンテンツ鍵は復号化できない。このことによって、各レシーバのために個々の安全なデータ媒体を製造することを必要とせず、また遠隔認証サーバとの交信も必要とせずに、同一の保護されたメディアコンテンツデータセットを多数の認証レシーバに確実に配信することができる。別の変形例では、メディアコンテンツデータはいくつかのデータ区分に分割される。各区分では２つ以上のコピーが用意され、各区分のコピーは独自のフィンガープリントを有する。これらの区分はすべて、異なるコンテンツ鍵で暗号化される。各認証メディアプレーヤに対して、完全なメディアコンテンツを表す独自の区分の組み合わせが提供され、対応する個々のコンテンツ鍵セットは認証メディアプレーヤの公開鍵で暗号化される。暗号化メディアコンテンツは、認証メディアプレーヤすべての暗号化コンテンツ鍵セットすべてと一緒に配信される。いったん復号化されると、完全なメディアコンテンツデータセットは、独自のフィンガープリントを有する。その結果、コンテンツの違法コピーは特定のメディアプレーヤまで遡ることができる。開示された変形例すべてにおいて、同一の保護されたコンテンツが配信され、多数の所定の認証受信者にアクセス可能になる。アクセス可能とされたコンテンツも受信者リストも当該プロセスでは変更できない。

国際公開第０２／０１２７１号は、電子文書の異なるセクションを選択的に暗号化及び復号化する方法について開示しており、当該方法により、認証ユーザグループに文書の異なるセクションへの選択的アクセスレベルを提供することを可能にする。あるアクセスレベルを有するグループのユーザはこのレベルのプライベート鍵を知り、文書のこの特定のアクセスレベルに対応する公開鍵で予め暗号化されたセクションにアクセスできる。異なるアクセスレベルのセクションは複雑であってもよい。したがって、第１のアクセスレベルのセクションのうち、第２のアクセスレベルの特定のサブセクションは第２の公開鍵で暗号化され、次いで、暗号化されたサブセクションを含む完全なセクションが第１の公開鍵で暗号化される。暗号化コンテンツの異なるセクションと特定のアクセスレベルに対応するユーザグループの割当ては不変である。

ポイントオブケア用途でのマルチプレックス診断検査の費用効率の高い使用を可能にする診断システムへの一般的な必要性があるため、このようなマルチプレックス診断検査の利点は完全に活かされ得る。

発明の目的

本発明の全体的な目的は、上述及びその他の問題の１つ又は複数を克服する、有利な診断システム及び診断デバイス並びに診断検査の結果を保護し、当該データへのアクセスを制御する方法を提供することである。

本発明のさらなる目的は、本発明のこのような診断システム及びデバイスにおいて使用するための有利なリーダユニット及びアッセイユニットを提供することである。

特に、本発明の診断システムは、すべての診断検査の結果すべてを強制的にユーザが受け取ることなく、ポイントオブケア用途でのマルチプレックス診断検査能力を備えた医療診断技術の使用を可能にすべきである。ユーザは、ユーザがどの分析結果を実際に受け取りたいかを予め、検査中、及び／又は検査後に選択できることが有利である。

さらに、本発明の診断システム並びにデータ保護及びアクセス制御方法により、診断検査の柔軟な支払い又は契約モデルを可能にすべきである。

本発明の別の目的は、消耗アッセイユニットの簡略化された分配及び在庫管理、改善された広範な製造業者の品質管理、並びにユーザにとって向上した安全性レベルである。

本発明の診断システム及びアクセス制御方法によって患者データの守秘義務を常に確実にすべきである。

これらの及びその他の目的は、独立請求項による診断システム、診断デバイス、リーダユニット、診断キット、及び方法によって実質的に達成される。さらなる有利な実施形態は従属請求項及び本明細書から得られる。

本発明によれば、上記の目的は特に、１つ又は複数の診断検査を１つ又は複数の生理学的試料に対して実行し、診断検査の結果を測定し、対応するデジタル測定生データを生成し、その後、場合によっては、補助データ（例えば、センサの較正データ）の助けを借りて、当該生データを分析結果データ（例えば、血清中の特定の分析物の濃度）へと処理し、当該結果データを暗号化して、結果データをユーザが可逆的にアクセスできないようににし（データがロックされる）、ユーザの適切な認証の後、当該暗号化結果データの一部又はすべてに選択的にアクセス可能にすることができる診断システムによって達成される。

本明細書の文脈においては、用語「暗号化されたデータ」、「ロックされたデータ」、及び「保護データ」は、特定の暗号鍵による暗号化によりロックされたデータは、復号化鍵を知らない認証されていない人によるロック解除／アクセスから保護されているため、本質的に同義であると理解されるべきである。

ユーザの認証レベルは、ユーザが分析結果にアクセスする権限が与えられた診断検査に対応する。復号化され、ロック解除された分析結果データは次いで、所期の医療目的に使用できる。したがって、本発明の診断システムはユーザに、どの診断検査を実施するかの選択肢ではなく、当該検査のどの分析結果を実際に知りたいか又はアクセスしたいかの選択肢を与える。特別な利点は、ユーザの決定が最終的なものではないということである。ユーザは後にさらなる結果をロック解除したい場合がある。これらの検査結果へのアクセスが得られていれば、このことは分析結果の品質に対するいかなるマイナスの影響も与えることなく可能である。すなわち、最初の段階で、分析結果がすべて取得され、保護データとして格納されるが、アッセイユニットの概ね一時的な結果は、信頼性を持ってアッセイユニットから当該結果を読み取ることが可能な制限された有効期間を有する。

暗号化前に測定生データから分析結果データに処理することに代えて、分析結果データへの処理は後で生データを復号化した後にのみ可能であるように、測定生データは直接暗号化されてもよい。

小型な診断チップ又は類似のマルチプレックス診断検査アッセイデバイスは、多数の試薬及びセンサを組み込んでもよい。さらなる試薬及びセンサを組み込むことによる診断チップへのさらなる分析能力の追加により、最小限の限界費用が生じる。したがって、このような診断システムのユーザは、このような診断チップを有するアッセイユニットを最小限の前払い価格で購入することができ、また必要な分析結果だけを購入することができるため、追加の診断チップの必要性がなくなり、検査費用全体が下がる。したがって、購入価格は、アッセイユニットそれ自体の費用ではなく、購入された分析結果に依存することができる。

アッセイユニットは１つの生理学的試料に対して１つの診断検査のみ、又は異なる患者の多数の生理学的試料に対して１種類の診断検査を実施できるように実現することもできるという点に留意すべきである。しかし、このような場合、本発明の診断システムの利点の一部は活用できるが、一部は完全に活用できない。

さらに、幅広いアッセイユニットが提供される診断システム又は非常に高価な診断検査の支払いプロセスの簡略化への適合性を確実にするために、単一の診断検査アッセイユニットを有することが有用であり得る。

特に有利な実施形態では、本発明のリーダユニットは、より古い種類のアッセイユニットの結果を読み出すことが可能であり、以て旧バージョン互換性を確保するように実現されてもよい。

ユーザは、対応する暗号化されたデータセットを復号化し、したがってロック解除するために必要な手段を備えることによって、例えば、復号化に必要な鍵データを提供することによって、又は、対応する暗号化されたデータを診断システムのセキュア領域で復号化させ、ここでロック解除された使用可能な分析結果データをユーザに送達することによって、特定の分析結果にアクセスすることが可能になる。その他の、依然として暗号化されているデータセットは、情報内容がアクセス不能でありユーザにはロックされているため、ユーザに知られているとしても保護されたままである。

診断検査はすべて実際に実施されたため、ロック解除された分析結果は、さらに使用するために暗号化されたデータセットの形態で格納してもよく、先の任意の時点でアクセス可能にしてもよい。したがって、本発明の診断システムは、後の時点でも特定の診断検査を使用可能にする可能性を提供する。例えば、既に使用可能な診断検査の結果が、さらに検査しなければならない特定の可能な診断を示唆する場合にのみ、特定の診断検査が重要となり得る。

任意の認証手段なしでもアッセイユニットを分配することさえも可能になるが、その場合、購入価格は本質的に基本的な製造費用及び流通費用をまかないさえすれば良いため、非常に低く選択することができる。その後、認証手段は別途配布することができる。

このようなアプローチによって、さらに、最大保管期間の終了によるアッセイユニットの所有者の潜在的な金銭的損失が低下する。より少ない数の異なる種類のアッセイユニットが必要とされるため、在庫に保管されるアッセイユニットの総数を減らすことができ、このことにより、機械設備に関わる金額も減少する。

本明細書の文脈における用語「ユーザ」又は「ユーザ領域」は、本発明の診断デバイスを操作する患者又は医療関係者等の人間だけを意味するのではない。用語「ユーザ」又は「ユーザ領域」は、ユーザの事実上の制御下にある診断システムのあらゆる部分、例えば、本発明の診断システムの少なくとも一時的に一部であるラップトップコンピュータ、タブレットコンピュータ、又はスマートフォン等の補助コンピュータデバイスもさらに包含する。このように、診断システムのユーザ領域内のデータは主に、ユーザに知られていると考えなければならず、ユーザに知られていない鍵によりロックされ、暗号化された場合にのみ、無許可使用から保護される。

本発明の診断システムの「セキュア部分」又は「セキュア領域」とは、ユーザが制限なしで完全にはアクセス可能でない診断システムの１つ又は複数の部分である。例えば、まだ暗号化されてない測定生データ及び分析結果データの処理に関連し、また測定データの後の暗号化に関連するすべての電子部品は、改竄の恐れがないように実現可能である。当該改竄の恐れがない電子部品のセキュア領域内のデータへの無許可アクセスは、相当な時間及び労力並びに悪意のある意図を以てしてのみ可能である。

このような電子部品の保護は、例えば、合成樹脂に埋め込むことによる、又は改竄の恐れがないように回路を特別に設計することによる電子回路の機械的保護を含むさまざまな手段によって行うことができる。対応する技術及びアプローチは先行技術から、特に電子小売り支払いシステム等との関係において公知である。

診断検査プロセスを、ｉ）診断検査を実施すること、及びｉｉ）診断結果をアクセス可能にすることに分けられる本発明の基本発明原理から、多数の異なる診断検査を単一の試料に対して実行する能力を有するアッセイユニットに適切な購入価格で、実際に当該アッセイユニットを販売する必要なしに、多数の異なる診断検査を単一の試料に対して実行することが可能なアッセイユニットを使用することが可能である。ユーザは、ユーザが権限を与えられた特定のグループの診断検査の結果へのアクセス権を得るだけであるため、その他の診断検査は、実際に実施はされたが、ロックされ、ユーザがアクセスできないようになっているため、アッセイユニットの購入価格に関しては無視できる。

本発明の診断システムでは、例えば、同時に患者の血液試料を１００の異なるバイオマーカに関して分析することができるアッセイユニットを使用することができる。しかしながら、アッセイユニットは、３つの特定のバイオマーカ、例えば、心筋梗塞の診断に関連するミオグロビン、ＣＫ−ＭＢ、及びトロポニンＩの分析結果へのアクセスのみを可能とする認証手段と共に分配してもよい。したがって、購入価格はこれら３つの診断検査によって設定され、先行技術のようにすべての分析結果をユーザが利用できる場合に必要となるよりもはるかに低く設定できる。

まったく同じ種類のアッセイユニットを、他のパネルのバイオマーカ、又は単一のバイオマーカのみの認証手段と共に販売することもできる。唯一の違いは、認証手段、したがって、ユーザが予め権限が与えられる診断検査及びユーザがアクセス可能になる分析結果の種類である。

より少ない種類の異なるアッセイユニットが必要とされるため、ユニットそれ自体は、いくつかの異なるアッセイユニットが製造されなければならない場合に可能であるよりもはるかに多い数で製造可能である。その結果低下した製造費用は、アッセイユニットにさらに異なる検査を追加するための追加製造費用も補う。

本発明の診断システムは、一体型単一デバイスとして、又は少なくとも使用中に、例えば電子インタフェース、データ接続等により動作可能に接続される２つ以上の別個のユニット若しくはデバイスを有するシステムとして実現できる。診断システムの一部のユニット及び部品は、遠隔設置されていてもよい。

本発明の特定の有利な変形例では、本発明の診断システムは、１つ又は複数の診断検査を１つ又は複数の生理学的試料に対して実行することが可能な１つ又は複数のアッセイユニットと、（１つ又は複数の）アッセイユニットが動作可能に接続でき、（１つ又は複数の）アッセイユニットからの診断検査信号又は測定生データを読み出すことが可能な再利用可能リーダユニットとを備える。

アッセイユニットは有利には、１回限り使用可能な消耗部品として提供され、使用後に処分される。したがって、特に、生理学的試料物質と接触するか、又は接触し得るすべての要素は有利には、使い捨てアッセイユニットの一部である。

他方では、リーダユニットは有利には、より高価な電子部品及び／又は診断検査の品質に悪影響を与えることなく２度以上使用可能なその他の部品を備える再利用可能デバイスである。

リーダユニットはさらに、アッセイユニットに用意された、例えば、メモリチップ又は１次元若しくは２次元バーコードに格納されたさらなるデータを読み取ってもよい。このようなデータとしては、ユーザが読み取り、対応するインタフェース手段、例えば、キーボードにより手動でリーダユニットに入力される英数字データも挙げられ得る。さらなるデータをアッセイユニットそれ自体に提供する代わりに、当該データの一部又はすべてが、アッセイユニットが包装されるパッケージ、又は印刷カード若しくは印刷紙、チップカード等の同封のデータ媒体に付与されてもよい。

アッセイユニットのデータ媒体は、データ及び鍵を記憶するための不揮発性メモリを収容する認証集積回路を用いて実装され得る。認証は例えば、チャレンジレスポンスメッセージを使用するホスト−スレーブシステムに基づくことができる。このような集積回路は、Ａｔｍｅｌ、ＮＸＰ、Ｍａｘｉｍ、Ｔｅｘａｓ Ｉｎｓｔｒｕｍｅｎｔｓ等のいくつかの製造業者から入手可能である。認証集積回路は、標準に基づくアルゴリズムを使用して強力で手頃な暗号化によるセキュリティをもたらす。

当該さらなるデータは、診断検査の結果を評価するのに必要な較正データ、バッチ番号、アッセイユニットの種類、タイムスタンプ、独自のアッセイユニット識別子等の補助データを含んでもよい。当該さらなるデータは、分析結果データの一部又はすべてにユーザをアクセス可能にする認証データをさらに含んでもよい。

リーダユニットは、データを暗号化することによって、測定生データ又は測定生データから得られた分析結果データへのアクセスを防止するように構成されている。所望により、さらなるデータの一部又はすべてもまた暗号化してもよく、又は普通テキストのままであってもよい。

少なくとも、暗号化分析結果データのみが例えば、電子インタフェースを介して外部から取得されるように、リーダユニットは診断システムのセキュア領域に属していなければならない。

所望により、悪意のあるユーザが、接続が電子インタフェースである場合に特に重要となり得るが、アッセイユニットに直接アクセスすることによって本発明の保護機構を回避することが不可能であるように、アッセイユニットとリーダユニットとの機能的接続をセキュアなものとすることもまた可能である。このような場合、アッセイユニットもまたセキュア領域に属する。

次いで、暗号化されたデータは、リーダユニットに動作可能に接続された診断システムの評価ユニットに提供される。評価ユニットは診断システムのユーザ領域に属し、有利には、ユーザの特定の保護されロックされたデータへのアクセスを可能にすることを含むデータの処理を行う。評価ユニットは例えば、ソフトウェアが提供され、コンピュータデバイスの既に存在するハードウェア、例えば、ＣＰＵ、メモリ及びデータ記憶手段、電子インタフェース、ディスプレイ、キーボード等を利用して必要なタスクを実施することを可能にする標準コンピュータデバイスとして実現されてもよい。

さらなるセキュリティレベルを提供するために、評価デバイスがそのタスクを実施することを可能にするソフトウェアは有利には、リーダユニット及び／又はアッセイユニットが評価ユニットに接続されている場合にのみ動作する。したがって、リーダユニット又はアッセイユニットはハードウェア鍵、いわゆるドングルとして機能してもよい。或いは、必要なソフトウェア又はその必須部分は評価ユニットそれ自体ではなく、リーダユニット又はアッセイユニットのメモリモジュールに格納されてもよい。例えば、リーダユニット又はアッセイユニットは、ソフトウェアが格納された専用のフラッシュメモリユニットを備えてもよく、専用のフラッシュメモリユニットは、評価ユニットに接続されると記憶容量として現れてもよい。

特定のソフトウェア要素をアッセイユニットに提供することは、新しい種類のアッセイユニットは必要なソフトウェア要素をもたらすことができるため、評価ユニット又はリーダユニットの手動でのソフトウェアアップデートが必要でなくなるというさらなる利点を有する。

データは、リーダユニットから、例えば、ＵＳＢ、ＲＳ２３２等のバスインタフェース、光ファイバ接続、又はブルートゥース（Ｂｌｕｅｔｏｏｔｈ（登録商標））、ＷＬＡＮ、ＩＲインタフェース等の無線通信リンク、又は別の適切なデータリンク等の適切なデータインタフェースを介して評価に転送することができる。データ転送は、例えば、携帯型メモリデバイス（例えば、スマートカード、フラッシュメモリデバイス及びカード、書込み可能ＣＤ−ＲＯＭ）にデータを一時的に格納し、後に携帯型メモリデバイスを評価ユニットに機能的に接続することによって手動で行うこともできる。

評価ユニット、例えば、コンピュータデバイスは、暗号化されたデータの管理、認証データの取得、利用可能な認証手段に基づくデータの復号化、分析結果へのデータ処理、遠隔システムとの通信、データ格納等の種々のタスクを実行することを可能にする手段を備える。

評価ユニットは、ロックされた分析結果の安全性を損なうことなく公共領域で行うことが可能な診断システムのタスク及び機能の少なくとも一部を実施する。特別又は特殊なハードウェアはデータ処理を含むこれらタスク及び機能に必要とされないため、これらのタスクのために普通のコンピュータデバイスを使用することは、ユーザが既にコンピュータデバイスを利用可能であるか又は比較的安価で得ることができるため、ハードウェア費用全体を低減できるという利点を有する。

他方では、本発明の診断システムのリーダユニットは有利には、アッセイユニットから測定生データ又は分析結果データを取得し、当該データを暗号化により保護するのに必要な最小限のハードウェア及びソフトウェアのみを備える。

本発明の他の実施形態では、リーダユニットの機能及び評価ユニットの機能の一部又はすべては単一の診断デバイスに統合される。

或いは、アッセイユニット及びリーダユニットが分離可能でない一体型診断デバイスが提供できる。診断検査の構成及び対応する読み出しエレクトロニクスの検出技術が完全に統合され、別個の再利用可能部分として容易に実現できない場合に一体型診断デバイスは特に有利でとなり得る。

しかし、アッセイユニット、リーダユニット、及び／又は評価ユニットが別個のユニットとして実現されるか、又は一体型デバイスに部分的に組み合わされるかという問題は本発明ではそもそも重要ではない。このような一体化が好ましいかそうでないかは主に、関係する診断検査技術及び必要な費用に依存する。かなり製造費用が高いアッセイユニットについては、エレクトロニクスの一部部品、又はさらには暗号化及び／若しくはデータ処理エレクトロニクスを含むエレクトロニクスの全体が消耗アッセイユニットの一部であるかどうかは経済的観点からまったく重要ではなくなり得る。さらに、将来、電子部品がさらに安価でエネルギー効率がより高く、さらに小型になると想定しなければならない。これらはすべて一体化アプローチに好ましい。

評価ユニットは単純にリーダユニットの場所に配置できる。しかし、必要なデータ接続はさらに、より長距離に渡って、例えば、通信ネットワークとして確立されてもよい。したがって、評価ユニットは異なる部屋に配置されても、又はさらに遠くでもよい。

使用可能な診断検査の、保護されロックされた結果へのアクセス権を得るのに必要な認証手段は、メモリチップに格納される認証データの形態で、又は印刷された１次元若しくは２次元バーコードとして、又は評価デバイスに手動で入力しなければならないアッセイユニットに印刷された英数字コードとして提供されてもよい。認証データは独自の、特別なアッセイユニットエンティティのためだけの機能であり、これによって認証手段の起こり得る誤用を防ぐことが有利である。

認証手段は直接アッセイユニットに設けられるか、又は別個のユニット、例えば認証データを含む同封のスマートカード、又は単にバーコード若しくは英数字コードが印刷された１枚の紙に設けられてもよい。

分析結果の保護は、診断検査の結果へのアクセスを制御し、不正な行為を防止するために重要である。有利なアプローチでは、リーダユニット及びアッセイユニットはホストコントローラ及びセキュアオーセンティケータの手段と通信する。リーダユニットのホストコントローラは、アッセイユニットのセキュアオーセンティケータに乱数（challenge；チャレンジ）を送信し、レスポンスを受信する。このレスポンスはリーダユニットにより評価されて、アッセイユニットが本物であることを確定する。このような方法は当業者に公知であり、データ及び鍵を記憶するための不揮発性メモリを含んだ認証集積回路を使用して実装され得る。認証は例えば、チャレンジレスポンスメッセージを使用するホスト−スレーブシステムに基づくことができる。このような集積回路は、既に上で説明したようにいくつかの製造業者から入手可能である。

リーダユニットがアッセイユニットを本物として確認すると、アッセイユニットは、アッセイユニットのメモリモジュールに格納された暗号化規則を、リーダユニットのセキュアメモリモジュールに転送する。セキュアメモリは、一致規則を読み出すために暗号化規則を復号化することを可能にするプライベート鍵を含む。一致規則が取得されると、個々の測定生データが個々の診断検査に割り当てられ、アッセイユニットの分析結果がコンパイルされる。次に、分析結果データセットを暗号化し、最終的にこの保護されロックされた形態でユーザに提供される。これらのステップすべては、リーダユニットのセキュア領域、例えば、専用の改竄防止電子回路で実施される。

一変形例において、当該一致規則は、検査素子識別子及びそれらの対応する分析物識別子のリストを含み、当該リストは、多数の取得された生データを並列して実施された特定の診断検査へと一致させるために必要とされる。換言すれば、一致規則は、検査素子の測定生データを分析結果リストに変換するために必要とされる。例えば、マトリックス状に配置された多数の分析物のための検査素子を有する光学的に検出されるアッセイユニットの場合、一致規則により、どの検査素子がどの検出される分析物に対応するか知ることを可能にする。

一致規則は、同一の一致規則を有するアッセイユニットのグループ又は個々のアッセイユニットが異なる暗号化規則を含むような暗号化形態でアッセイユニットに提供されることが有利である。これは、例えば、特定の規則に従ってデータを並べ替えることによって、例えば、暗号化前の一致規則のデータセットを可逆的に変えることにより達成できる。結果として、同一の一致規則に対して暗号化規則データセットが異なる。

より有利な変形例では、一致規則及び／又は暗号化規則は時間の経過と共に変更される。例えば、新しい一致規則をもたらす検査素子位置の新しいセットは、アッセイユニットの新しいバッチ毎に生成され得る。或いは、又は加えて、一致規則はバッチ毎、又はさらには個々のアッセイユニット毎に異なる暗号化規則（上記参照）に変換してもよい。対応する暗号化規則は例えば、アッセイユニットのメモリモジュールに格納される。最も必然的なアプローチは、新しく製造されたアッセイユニット毎に新しい一致規則を生成することであろう。

代替的変形例では、アッセイユニットに格納された一致規則は、データベースレコードの識別子に対応し、データベースはリーダユニットのセキュアメモリに格納されている。データベースレコードは、生データを生データが表す分析結果に一致させるのに必要な情報を含む。データベースレコードは例えば、検査素子識別子と対応する分析物識別子との一致リストを含んでもよい。この方法は、アッセイユニットのデータ媒体に必要なメモリ量を最小限にし、メモリ要件をリーダユニットに移すという利点を有する。さらに別の代替策は、データベースレコードをセキュアチャネルでリーダユニットへと送信して、セキュア遠隔データベースにデータベースを格納することである。

さらに別の実施形態においては、データベースレコードは暗号化形態で提供されてもよい。適切なデータベースレコードの識別子に加えて、次いで、一致規則は、対応するデータベースレコードを復号化することを可能にする復号化鍵を含む。

さらなる実施形態では、暗号化規則は検査素子の配列に直接組み込むことができる。特定の検査素子は、診断検査目的で使用する代わりに、暗号化規則を格納するデータ媒体として使用することが可能である。生データを測定するリーダユニットは次いで、これらの検査素子を読み取り、暗号化規則を取得する。

このような保護方法のメリットは、分析結果が保護され、認証されたユーザによってしか修正できないということである。別のメリットは、本物のアッセイユニットのみを使用して、正確な生データ及び対応する分析結果を取得できることである。さらに別のメリットは、本物のリーダユニットのみを使用して、正確な生データ及び対応する分析結果を取得することである。認可された本物のリーダユニット及びアッセイユニットのみが、迅速で正確、厳密、微細なダイナミックレンジの大きい分析結果を提供するのにその能力を最大限まで使用される。

不法ユーザはアッセイユニットの一致規則を復号化しようと試みるが、このようなタスクには、同一のアッセイユニットが大量に必要となり、また極端に時間がかかり、自明でなく、桁違いの費用がかかる。一致規則及び検査素子位置は規則的に変わること、またユーザはどのアッセイユニットが同一の一致規則を含むか認識できないことによりこのタスクは実質上不可能となっている。

分析結果の購入、又はより正確には既に存在するが保護されている分析結果へのアクセス権を購入することを可能とするために、改竄防止リーダユニットは電子クレジットユニットメモリを備えることができる。電子クレジットユニットメモリは、遠隔支払い承認サーバを有するリーダユニットに一時的に接続し同期することにより補充できる。分析結果を購入するために、クレジットメモリのカウンタは、クレジットユニットの対応する量だけ減る。この実施形態は、クレジットメモリにクレジットユニットを補充する短い時間を除いてオンラインアクセスが必要とされないという利点を有する。使用前に補充されなければならず、したがって前払いモデルに基づくクレジットメモリの代わりに、使ったクレジットユニットを記録し、クレジット残高を遠隔支払い承認サーバと定期的に同期させ、遠隔支払い承認サーバが次にインボイスを発行するか、又は使用したクレジットユニット分を料金請求することも可能である。このようなアプローチを組み合わせることもできる。

本発明の別の有利な実施形態において、認証手段をアッセイユニットに完全に組み込む代わりに、認証手段を遠隔認証サーバと組み合わせて実現することもまた可能である。本実施形態では、評価ユニットは、遠隔認証サーバへの少なくとも一時的なアクセスを必要とする。次に、使用可能な分析結果データへのアクセスをロック解除するのに必要な認証データは、遠隔認証サーバによりユーザに提供される。

本発明の有利な一変形例では、リーダユニットは検査測定生データ又は分析結果データをそれぞれ、対称暗号化アルゴリズムにより暗号化する。秘密鍵暗号化としても知られている対称暗号化アルゴリズムは、関係する通信相手にのみ知られる共有秘密鍵に基づき、暗号化及び復号化のために同じ鍵を使用する。例としては、ＡＥＳ、ブローフィッシュ（Ｂｌｏｗｆｉｓｈ）、ＣＡＳＴ５、ＤＥＳ、ＩＤＥＡ、ＲＣ２、ＲＣ４、ＲＣ６、サーペント（Ｓｅｒｐｅｎｔ）、トリプルＤＥＳ（Ｔｒｉｐｌｅ ＤＥＳ）、トゥーフィッシュ（Ｔｗｏｆｉｓｈ）等である。暗号化アルゴリズムを使用する代わりに、暗号化されるデータと等しい長さのバイナリ鍵をデータにｍｏｄ２加算できる。このようなアプローチは、より長い鍵を暗号化アルゴリズムとして必要とするが、よりセキュアで高速である。暗号化されるデータセットは特に長くはないため、鍵もまた特に長くない。

後の段階で特定の分析結果の選択的ロック解除を可能にするために、診断検査Ｔ_１、Ｔ_２、．．．Ｔ_ｎの異なる分析結果に対応する異なるデータセットＤ_１、Ｄ_２、．．．Ｄ_ｎは、異なる鍵Ａ_１、Ａ_２、．．．Ａ_ｎにより個々に暗号化される。鍵は、使用直前に生成され２度目は使用されない、１回限り使用するためのランダム鍵であることが好ましい。暗号化前に、データセットＤ_１、Ｄ_２、．．．Ｄ_ｎは所望により、追加のメタデータにより展開できる。当該メタデータは、診断検査番号、アッセイユニットＩＤ、リーダユニットＩＤ等のその他の有用なデータを含む。暗号化されたデータＡＤ_１、ＡＤ_２、．．．ＡＤ_ｎはリーダユニットから評価ユニットに転送され、後に使用するために評価ユニットに格納される。

秘密鍵Ａ_１、Ａ_２、．．．Ａ_ｎはさらに、追加メタデータと組み合わせて拡張鍵データセットＡ^＊ _１、Ａ^＊ _２、．．．Ａ^＊ _ｎにすることもでき、当該メタデータは、診断検査番号、アッセイユニットＩＤ、リーダユニットＩＤ等の他の有用なデータを含む。拡張鍵データセットは次に、公開鍵暗号化としても知られる非対称暗号化アルゴリズムによる２度目の暗号化が行なわれる。

このような非対称暗号化アルゴリズムの例は、ＲＳＡ、ディフィーヘルマン（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）、デジタルシグネチャーアルゴリズム（Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）、エルガマル（ＥｌＧａｍａｌ）、ＥＣＤＳＡ、ＸＴＲである。このような非対称暗号化では、受信者のみが知るプライベート鍵Ｂによって、受信者がデータを解除できるが、プライベート鍵Ｂに対応付けられた公開鍵Ｃはデータを送信したい潜在的な通信相手に利用可能となり、当該通信相手はデータを暗号化できるが復号化できないようにする。暗号化されるデータセットがさらに大きい場合、データを秘密鍵（有利には１回限り使用するランダム鍵）及び対称暗号化アルゴリズムを使用して暗号化し、次に秘密鍵自体を公開鍵及び非対称暗号化アルゴリズムを使用して暗号化することによって、非対称暗号化を対称暗号化と組み合わせてもよい。暗号化された秘密鍵は次に、暗号化されたデータセットと一緒に送信できる。

本発明の診断システムでは、外部から捏造公開鍵が提供されることによる改竄リスクを避けるために、公開鍵は有利には、アッセイユニット又はリーダユニット等のセキュア領域内に既に格納されて提供されるべきである。

公開鍵Ｃを用いた暗号化の後、暗号化鍵データＣＡ^＊ _１、ＣＡ^＊ _２、．．．ＣＡ^＊ _ｎは遠隔認証サーバへと転送される。暗号化鍵データはリーダユニットに格納されることが有利であり、又は評価ユニットに格納されることがより有利であり、そこで暗号化鍵データは対応する暗号化されたデータＡＤ_１、ＡＤ_２、．．．ＡＤ_ｎと一緒に格納され得る。暗号化鍵データすべてを送信する代わりに、必要とされる分析結果に属する鍵のみを遠隔認証サーバに送信してもよい。

遠隔認証サーバでは鍵データが一時的に格納される。次に、ユーザは、例えば、クレジットカード払い、料金の請求、インボイスの発行、前払いバウチャの換金等によって、１つ又は複数の診断検査、例えば検査Ｔ_２、Ｔ_７、及びＴ_３４の分析結果にアクセスするための認証手段を購入して当該診断検査をロック解除できる。対応する遠隔電子支払い技術は当業者によく知られている。アッセイユニットが特定の診断検査について予め使用可能になっている場合、アッセイユニットＩＤ等の対応する独自の識別手段によって、遠隔サーバは必要な認証データ情報をローカルデータベースから取得できる。

支払い取引が適切に完了するか、又はアッセイユニットＩＤの認証情報がデータベースから取り出されると、認証サーバは使用可能な暗号化鍵データＣＡ^＊ _２、ＣＡ^＊ _７、ＣＡ^＊ _３４をプライベート鍵Ｂにより復号化する。必要な診断検査に対応する復号化された鍵Ａ^＊ _２、Ａ^＊ _７、Ａ^＊ _３４は次いで、評価ユニットに送り返され、評価ユニットにて鍵を使用して使用可能な暗号化されたデータＡＤ_２、ＡＤ_７、ＡＤ_３４をアクセス可能な分析結果Ｄ_２、Ｄ_７、Ｄ_３４に復号化する。

本発明の上述の変形例は、遠隔サーバ上の慎重に扱うべき患者データ等への不正アクセスができないように、結果データは遠隔サーバに転送されないが、情報内容を有していない鍵データのみが遠隔サーバに転送されるという利点を有する。

本発明の別の変形例において、リーダユニットは、検査測定生データ又は診断結果データＤを公開鍵Ｃを使用して直接非対称暗号化アルゴリズムで暗号化し、暗号化されたデータＣＤを遠隔サーバに転送し、遠隔サーバにて暗号化されたデータＣＤは認証を行った後復号化され、アクセス可能なデータＤとして評価ユニットに戻される。このような解決策においては、通信ネットワークをモニタしている可能性のある外部の人間からデータの秘密性を確実なものとするために、診断デバイスと遠隔認証サーバとのデータ接続が暗号化されることが有利である。

このような場合に遠隔認証サーバについてもデータの秘密性を確実なものとするために、分析結果データＤは、遠隔認証サーバに知られていない追加秘密ユーザ鍵Ｅを用いてリーダユニットにより暗号化できる。これらの暗号化されたデータＥＤは公開鍵Ｃで暗号化され、これらの二重暗号化されたデータＣＥＤは遠隔認証サーバに送信される。秘密ユーザ鍵Ｅは、ユーザが選択したパスワード又はリーダユニットにより生成されユーザに提供される１回限りのランダム鍵に基づくことができる。

遠隔認証サーバはそのプライベート鍵Ｂでデータセットの暗号化を１レベル復号化でき、次にまだ暗号化されているデータＥＤをユーザに戻す。しかし、遠隔認証サーバは鍵Ｅを利用できないため、遠隔認証サーバシステムそれ自体はデータＥＤにアクセスできない。したがって、第三者が遠隔サーバへの無許可の又は不正なアクセスを取得してもデータ機密は確保される。データＥＤが評価ユニットに戻されると、ユーザは秘密鍵Ｅにより暗号化の第２レベルを解除できる。診断検査結果Ｄは最終的にユーザがアクセス可能となる。

完全なデータを遠隔認証サーバに転送することは、将来引き続き利用可能であることを確実なものとするために、またバックアップ策として、結果を遠隔地で格納できるというさらなる利点をもたらす。

既に上で簡潔に述べたように、遠隔認証サーバを介してアクセスが可能である本発明の実施形態では、特定の診断検査又は特定の診断検査のパネルが予め使用可能なアッセイユニットの分配が特に有利である。必要なアクセスデータを単一のアッセイユニットそれぞれに格納するか又は各アッセイユニットにこのような認証データの追加媒体を設ける代わりに、対応する独自のアッセイユニットＩＤを製造中に記録し、予め使用可能な診断検査の認証データをローカルデータベースに格納する。したがって、認証手順は、暗号化鍵データ又は暗号化分析結果データと一緒にアッセイユニットＩＤを評価ユニットから遠隔認証サーバへ転送すること、予め使用可能な診断検査の鍵又は分析結果を復号化すること、及び復号化されたデータをユーザに戻すことからなる。

本発明の特に有利な実施形態では、異なるレベルの認証を実施できる。第１レベルの認証は例えば、特定の分析結果が特定の規定値範囲内にある場合にのみ情報へのアクセスを提供できる。その後、ユーザインタフェースは分析結果が規定値範囲内にあるか又は範囲外にあるかについてそれぞれ診断検査を強調できる。このことは、例えば、問題となり得る健康状態を示唆できる。ユーザがさらに特定の結果を見たい場合、ユーザはその後、分析結果へのフルアクセスを提供する第２レベルの認証を購入できる。本発明の本変形例は、複数の分析物を迅速に精査し、患者の健康状態全体を確認するのに特に有用であり得る。

本発明の診断システムのさらなる利点は、アッセイユニットの特定のバッチ又はそれらに含まれる検査の一部が、例えば生産上の問題により、誤った結果を出しやすい可能性があると後で分かった場合に、リコール手順は遠隔認証サーバを介してまとめて行うことができるということにより与えられる。例えば、認証手順は、診断検査を実施する前にアッセイユニットが認証ユニットによって、例えばアッセイユニットＩＤを転送することにより予め登録されなければならないように、設定してもよい。対応するＩＤが、リコールされたアッセイユニットのセットに属する場合、警告メッセージがユーザに与えられ、アッセイユニットを使用せず、製造業者へ返送するように要求する。

同じ手順を使用して、最大有効期間に到達したアッセイユニットの使用を防止するか、又は過失によるアッセイユニットの２度目の使用を防止してもよい。診断検査が前述の警告にもかかわらず実施された場合、問題の深刻さに応じて適切な対策をとてもよい。分析結果へのアクセスが拒否されてもよく、又は分析結果にユーザが受け取ったことを確認しなければならない警告メッセージが付随してもよい。

別の利点は、偽造アッセイユニットの予防である。認可された製造業者から製造されていないアッセイユニットは必要な品質基準を満たしていない場合がある。しかし、ユーザがこのような認可されていない製品であるか見分けるのは困難である場合があり、製造業者は、自社が製造していない製品に対して責任を負うというリスクに晒され得る。認可されたアッセイユニットはすべて製造中に登録され得るため、認可されていないアッセイユニットは容易に識別できる。

本発明の別の利点は、分析結果は例えば病院内のネットワーク上で共有でき、遠隔の認証されたユーザがアクセスできることである。次に、例えば、病室内の専用の評価ユニットから、又は認証された遠隔アクセスデバイスから、例えば、担当医師のオフィス内の計算デバイスで分析結果にアクセスするか、選択するか、見るか、又は購入できる。分析結果を測定した後に分析結果を暗号化することによって、患者の個人データの機密を保護することが可能である。

このようなアプローチの変形例では、評価ユニットは、リーダユニットから受信した保護され、ロックされたデータ及び／又はロック解除された分析結果データを遠隔記憶サーバに格納できる。このような遠隔記憶サーバは、特定のユーザ又はユーザのグループが操作する専用のサーバであってもよい。或いは、遠隔記憶サーバは第三者によって操作される遠隔認証サーバと組み合わせて実現されてもよい。後者の場合、遠隔記憶サーバは有利には、診断検査すべての既にロック解除されたデータを格納できるが、所望により、データはユーザの秘密鍵により暗号化されてもよい。

このような変形例は、バックアップを含む適切な長期間データ記憶を確実にでき、分析データは、既に存在する結果データの確認のためであれ、又はさらなる分析結果へのアクセス権の購入のためであれ、医師のオフィス内のコンピュータ等の遠隔アクセスデバイスによってより便利にアクセスできるため、特に有利である。

追加の分析結果を購入するために遠隔サーバへの接続を必要としない本発明の診断システムのさらに別の実施形態では、スマートカードデバイス等の改竄防止認証ユニットは、秘密鍵Ｂ及び予め入れられたクレジットユニットカウンタを含む。認証ユニットはリーダユニットに、若しくは例えば、標準スマートカードリーダにスマートカードを接続する場合は評価ユニットに動作可能に接続されるか、又はアッセイユニットに一時的若しくは永久的に一体化されてもよい。リーダユニットは、認証デバイスに格納されたプライベート鍵Ｂに対応する公開鍵Ｃを使用し、遠隔認証サーバに関して上述されたアプローチと同様にして、公開鍵Ｃで間接的又は直接的に結果データＤを暗号化する。したがって、暗号化されたデータＡＤ及び暗号化秘密鍵ＣＡは、評価ユニット又は暗号化されたデータＣＤに提供される。ユーザが分析結果を購入するか又は見たい場合、暗号化鍵ＣＡ又は暗号化されたデータＣＤはそれぞれ、要求される診断検査結果についての情報と一緒に認証デバイスに送信される。認証デバイスはそれに従ってクレジットユニットカウントを減らし、プライベート鍵Ｂでデータを復号化し、復号化されたデータＡ又はＤを評価ユニットに戻す。

このような実施形態のさらなる変形例では、リーダユニットは公開鍵のセットの１つを使用して分析結果を暗号化し、暗号化した分析結果を評価ユニットに提供する。リーダユニットの公開鍵に対応するプライベート鍵のセットは改竄防止認証デバイスに格納される。ユーザが分析結果を購入するか又は見たい場合、評価ユニットは、認証デバイスからのデータを復号化するのに必要な対応するプライベート鍵を要求する。認証によりクレジットユニットカウントを減らし、要求されたプライベート鍵を提供する。公開鍵／プライベート鍵の各対は１度しか使用してはならない。評価ユニットは、プライベート鍵を使用して分析結果を復号化し、分析結果をユーザに提供する。

公開鍵とプライベート鍵の対の対応関係により、認証デバイスそれ自体の真偽を証明する。プライベート鍵セットは認証ユニットに既に存在していなければならないが、公開鍵セットは、アッセイユニットと一緒に既に提供されているか、又は認証デバイスの独自の識別子に基づいて信頼できる遠隔サーバからダウンロードされるか、又は予めインストールされたローカルデータベースに提供されている。後者２つの可能性は、１番目の場合には、認証デバイスが特定のアッセイユニットと組み合わせられたときにのみ機能するため、特に有利である。

本実施形態の別の変形例は、各分析結果に対して単一の公開鍵及び別個のプライベート鍵を用いる細粒度アクセス制御暗号化を用いることである。プライベート鍵は認証デバイスに格納され、公開鍵はリーダユニットに格納される。この例では、分析結果はリーダユニットの公開鍵を使用して暗号化でき、特定の分析結果はその後、スマートカードのプライベート鍵を使用して復号化できる。細粒度アクセス制御に使用される技術はいくつかある。このような技術の１つは、属性ベース暗号化である。

さらに別の変形例においては、暗号化分析結果はリーダユニットから認証デバイスへ転送され、認証デバイスで安全に格納される。

さらなる別の実施形態では、秘密鍵が、リーダユニット及び／又は評価ユニット及び／又は遠隔サーバに提供される。リーダユニットは秘密鍵を使用して分析結果データを暗号化する。ユーザが分析結果を購入するか又は見たい場合、評価ユニットは秘密鍵を使用して分析結果を復号化し、ユーザに提供できる。暗号化分析結果はリーダユニットから、各々が秘密鍵を有する遠隔記憶サーバ及び遠隔アクセスデバイスに送信できる。単純ではあるが、この方法は、秘密鍵がユーザに対して秘密とされアクセス不能である限り安全である。本実施形態は、製造業者が秘密鍵をリーダユニット、評価ユニット等に提供することをさらに必要とする。或いは、秘密鍵は標準セキュアデータ転送技術を使用してリーダユニットからサーバ及び他の遠隔アクセスデバイスに送信できる。

本発明の別の変形例において、センサデータはアッセイユニットから選択的に読み出される。ユーザは所望の分析結果を選択できる。リーダユニットは、センサから選択された分析結果を取得するために必要とされるデータのみを読み出すことができる。この変形例は、ユーザが診断検査前に、どの分析結果が必要か知っている場合に有用であり得る。しかし、本変形例は、一部のセンサデータは読み取られないため、一部の必要となり得る分析結果は不可逆的に消されるという不利点を有し得る。

本発明は、添付の特許請求の範囲で述べられる特徴の１つ若しくは複数、並びに／又は次の特徴の１つ若しくは複数及びそれらの組み合わせを含み得る。

本発明のリーダユニットの有利な実施形態は、１つ又は複数の診断検査を１つ又は複数の生理学的試料に対して実行できるアッセイユニットと動作可能に接続されるように構成され、リーダユニットと動作可能に接続されたアッセイユニットで実行される診断検査の検査生データを取得するように構成されている。リーダユニットは、検査生データを取得し、一時的に格納し、当該検査生データを分析結果データに変換し、当該分析結果データをロック鍵データによって暗号化されたデータへと暗号化し、当該暗号化されたデータを出力インタフェースに提供するように構成されたデータ保護モジュールを備える。保護モジュールは、モジュール内に格納されたデータへのアクセスを防止するように構成された改竄防止モジュールである。したがって、保護モジュール及びリーダユニットは全体で暗号化されたデータへのアクセスを提供するが、分析結果データへのアクセスは提供しない。

保護モジュールは、暗号化を実施するための暗号化モジュールを備えることが有利である。

本発明のリーダユニットの当該前述の実施形態の別の有利な変形例では、リーダユニットは第２のデータインタフェースから補助データを受信するように構成されている。

本発明のリーダユニットの当該前述の実施形態の別のさらなる有利な変形例では、保護モジュールは、ロック鍵データを第２レベル鍵データにより暗号化されたロック鍵データへと暗号化し、当該暗号化されたロック鍵データを出力インタフェースに提供するように構成されている。したがって、保護モジュール及びリーダユニットは全体で暗号化されたロック鍵データへのアクセスを提供するが、ロック鍵データへのアクセスは提供しない。

本発明のリーダユニットの当該前述の実施形態の別のさらに別の有利な変形例では、リーダユニットは第１のデータインタフェースにデータを提供するように構成されている。

本発明の診断デバイスの有利な実施形態は、上述のような本発明のリーダユニットと、１つ又は複数の診断検査を１つ又は複数の生理学的試料に対して実行することができるアッセイユニットとを備える。アッセイユニット及びリーダユニットは永久的に又は取り外し可能に、動作可能に互いに接続され、リーダユニットは、アッセイユニットで実行される診断検査の検査生データを取得するように構成されている。或いは、又は加えて、診断デバイスは、リーダユニットと永久的又は取り外し可能に、動作可能に互いに接続され、リーダユニットからデータを受信し、認証鍵データを使用して当該データの少なくとも一部を復号化し、復号化された出力データを使用して分析結果データを取得するように構成された評価ユニットを備える。

本発明のこのような診断デバイスの有利な変形例では、評価ユニットは、暗号化されたデータを復号化するように構成されたデータ処理モジュールを備える。

本発明の当該診断デバイスの別の有利な変形例では、評価ユニットは、データ出力モジュール、例えば、ディスプレイ若しくはプリンタ、及び／又はデータ入力モジュール、例えば、キーボード若しくはトラックパッド、及び／又は複合データ入力／出力モジュール、例えばタッチスクリーンを備える。

本発明の診断システムの有利な実施形態は、上述のような本発明の１つ又は複数のリーダユニットと、１つ又は複数の診断検査を１つ又は複数の生理学的試料に対して実行でき、アッセイユニットで実行された診断検査の検査生データを取得するように構成されたリーダユニットに動作可能に接続されるように構成されている、１つ又は複数のアッセイユニットと、リーダユニットに動作可能に接続され、リーダユニットからデータを受信し、当該データの少なくとも一部を認証鍵データを使用して復号化し、分析結果データを取得するために復号化された出力データを使用するように構成された１つ又は複数の評価ユニットとを備える。

評価ユニットは、暗号化されたデータを復号化するように構成されたデータ処理モジュールを備えることが有利である。

評価ユニットは、データ出力モジュール、例えば、ディスプレイ若しくはプリンタ、及び／又はデータ入力モジュール、例えば、キーボード若しくはトラックパッド、及び／又は複合データ入力／出力モジュール、例えばタッチスクリーンを備えてもよい。

本発明の診断システムのある有利な変形例では、１つ若しくは複数の認証ユニットは、評価ユニットに動作可能に接続され、及び／又は１つ若しくは複数の遠隔認証サーバは、通信ネットワークを介して評価ユニットに接続される。認証ユニット及び／又は遠隔認証サーバは、特定の条件が満たされると、認証鍵データを評価ユニットに提供するように構成されている。

本発明の診断システムのある有利な変形例では、１つ若しくは複数の認証ユニットは、評価ユニットに動作可能に接続され、及び／又は１つ若しくは複数の遠隔認証サーバは、通信ネットワークを介して評価ユニットに接続される。認証ユニット及び／又は遠隔認証サーバは暗号化されたデータを評価ユニットから受信し、特定の条件が満たされると暗号化されたデータの一部又はすべてを復号化し、復号化されたデータを評価ユニットに提供するように構成されている。

本発明の診断システムの当該変形例の両方において、満たされなければならない特定の条件とは、特定の認証データの認証ユニット及び／又は遠隔認証サーバへの提供である。

本発明の診断キットは、１つ又は複数の診断検査を１つ又は複数の生理学的試料に対して実行することが可能な検査モジュールを有する１つ又は複数のアッセイユニットと、上述のような本発明のリーダユニットとを備える。

完全なデータセットのうち、ユーザが権限を与えられたデータのサブセットへのユーザのアクセスを制御する、特にマルチプレックスアッセイユニットの分析結果へのユーザのアクセスを制御する本発明の方法の有利な変形例は、Ｉ）完全なデータセットを用意するステップと、ＩＩ）完全なデータセットをロック鍵データにより暗号化するステップと、ＩＩＩ）暗号化されたデータセットをユーザに提供するステップと、ＩＶ）ユーザが、暗号化されたデータセットのユーザが権限を与えられたデータのサブセットに対応する部分へのアクセス権は得るが、暗号化されたデータセットの他の部分へのアクセス権は得ないことを可能にする認証手段をユーザに提供するステップと、を含む。

アッセイユニットの分析結果へのユーザのアクセスを制御する当該方法の特に有利な変形例では、本方法は、ａ）並行して複数の診断検査を１つ又は複数の生理学的試料に対して実施するように構成されたアッセイユニットを用意するステップと、ｂ）当該アッセイユニットから当該複数の診断検査の分析結果の完全なデータセットを読み出すステップと、ｃ）分析結果の完全なデータセットをロック鍵データによって暗号化するステップと、ｄ）分析結果の暗号化された完全なデータセットをユーザに提供するステップと、ｅ）ユーザが、分析結果の暗号化された完全なデータセット内に存在するような分析結果の完全なデータセットの特定の認証されたサブセットへのアクセス権は得るが、分析結果の完全なデータセットの他の部分へのアクセス権は得ないことを可能にする認証手段をユーザに提供するステップとを含む。

本発明のこのような方法のある有利な変形例では、認証手段は認証鍵データであり、該認証鍵データは暗号化されたデータ、すなわち、分析結果の暗号化された完全なデータセットの特定の部分を復号化することを可能にするため、復号化されたデータはデータの認証されたサブセット、すなわち、分析結果の完全なデータセットのうち特定の認証されたサブセットに対応する。

本発明のこのような方法の別の有利な変形例では、認証手段は認証データであり、該認証データはユーザが認証ユニット又は遠隔認証サーバから認証鍵データを受信することを可能にし、認証鍵データは、暗号化されたデータ、すなわち、分析結果の暗号化された完全なデータセットの特定の部分を復号化することを可能にするため、復号化されたデータは、データの認証されたサブセット、すなわち、分析結果の完全なデータセットのうち特定の認証されたサブセットに対応する。

本発明の当該方法において、ステップＩＩ）／ステップｃ）では、データセットの異なるサブセット、すなわち、分析結果の完全なデータセットの異なるサブセットは、共にロック鍵データを成す異なるロック鍵を用いて、共に暗号化されたデータ、すなわち、分析結果の暗号化された完全なデータセットを成す暗号化されたデータの異なるサブセットへと暗号化されることが有利である。

ステップＩＩ）／ステップｃ）の暗号化は非対称暗号化アルゴリズムを用いて行うことができ、ロック鍵は非対称暗号化アルゴリズムのための公開鍵であり得る。

非対称暗号化を用いる本方法の特に有利な変形例では、認証手段は、共に認証鍵データを成す非対称暗号化アルゴリズムのプライベート鍵であり、当該プライベート鍵は、
暗号化されたデータのサブセットを復号化すること、
すなわち、分析結果の暗号化された完全なデータセットのサブセットを復号化して、暗号化された完全なデータセットの復号化されたデータサブセットが、認証されたデータのサブセットに対応すること、すなわち、分析結果の完全なデータセットの特定の認証されたサブセットに対応すること、
を可能にする。

或いは、ステップＩＩ）／ステップｃ）の暗号化は対称暗号化アルゴリズムを用いて行うことができ、ロック鍵は対称暗号化アルゴリズムのための秘密鍵であり得る。

対称暗号化を用いる本方法の特に有利な一変形例では、認証手段は、共に認証鍵データを成すロック鍵データの特定の鍵であり、当該特定の鍵は、
暗号化されたデータのサブセットを復号化すること、
すなわち、分析結果の暗号化された完全なデータセットのサブセットを復号化して、暗号化された完全なデータセットの復号化されたデータサブセットが、認証されたデータのサブセットに対応すること、すなわち、分析結果の完全なデータセットの特定の認証されたサブセットに対応すること、
を可能にする。

対称暗号化を用いる本方法の別の特に有利な変形例では、ステップＩＩ）／ステップｃ）後、ロック鍵データは、共に第２レベル鍵データを成す非対称暗号化アルゴリズム用の１つ又は複数の公開鍵を使用して、非対称暗号化アルゴリズムによって暗号化されたロック鍵データへと暗号化される。

本方法のこのような変形例では、暗号化されたロック鍵データをユーザに提供できる。或いは、又は加えて、暗号化されたロック鍵データは認証ユニット又は遠隔認証サーバに提供でき、認証手段は認証データであり得て、該認証データは、ユーザが認証ユニット又は遠隔認証サーバに対して、
暗号化されたロック鍵データの特定の部分を復号化することにより、復号化されたロック鍵データは、暗号化されたデータのサブセットを復号化することができるロック鍵に対応し、暗号化されたデータの復号化されたデータサブセットは、認証されたデータのサブセットに対応するようにすること、
復号化されたロック鍵データをユーザに提供すること、
を実行させるように命令することを可能にする。

上述のような本発明の基本方法のさらに別の有利な変形例では、暗号化されたデータ、すなわち分析結果の暗号化された完全なデータセットは認証ユニット又は遠隔認証サーバに提供される。認証手段は認証データであり得て、該認証データは、ユーザが認証ユニット又は遠隔認証サーバに対して、
暗号化されたデータの特定の部分を復号化することにより、復号化されたデータがデータの認証されたサブセット、すなわち、分析結果の完全なデータセット（７３、７４）の特定の認証されたサブセット（７３ａ、７４ａ）に対応するようにすること、
復号化されたデータをユーザに提供すること、
を実行させるように命令することを可能にする。特に有利な変形例では、ステップＩＩ）／ステップｃ）における暗号化の前に、データセットの異なるサブセットは、ユーザに提供されるプライバシー鍵データにより暗号化される。

上述のような本発明の方法において、ステップＩＩ）／ステップｃ）で暗号化される完全なデータセットは、アッセイユニットの分析結果データ又はアッセイユニットの検査生データを含む。データの認証されたサブセットは、認証された分析結果、又はさらに認証された分析結果へと処理できる認証された検査生データを含む。

上述のような本発明の方法において、認証手段はアッセイユニット又はアッセイユニットに対応付けられたデータ媒体に提供される。

本発明のさらなる完全な理解を促すために、ここで添付の図面を参照する。これらの参照は、本発明を限定するものと解釈すべきではなく、単なる例示を意図するものである。
アッセイユニット、リーダユニット、及び評価ユニットを有する本発明の診断システムの有利な実施形態の概略図である。 図１に示す診断システムの実施形態における検査結果データの読み出しの概略図である。 診断検査が実施され、結果が測定及び処理され、その後暗号化によりロックされ、潜在的なさらなる使用のために保護された結果がユーザに提供されるプロセスの一部を説明するフローチャートである。 生データを分析結果に処理する有利な変形例を説明するフローチャートである（ステップＳ１５）。 予め認証された診断検査についての、ロックされ保護された結果へのアクセスが可能になるプロセスの一部を説明するフローチャートである。 別途認証が購入された診断検査についての、ロックされ保護された結果へのアクセスが可能になるプロセスの一部を説明するフローチャートである。 本発明の診断システムの別の有利な実施形態の概略図である。 図６に示す診断システムの実施形態における検査結果データの読み出しの概略図である。 アッセイユニット及びリーダユニットが複合デバイスとして実現される、本発明の診断システムのさらなる有利な実施形態の概略図である。 評価ユニット及びリーダユニットが複合デバイスとして実現される、本発明の診断システムのさらに別の有利な実施形態の概略図である。 （ａ）１つの評価ユニットを共有する２つのリーダユニットを有する本発明の診断システムと、（ｂ）２つのアッセイユニットに同時に動作可能に接続され得るリーダユニットを有する本発明の診断システムを概略的に示す。 遠隔認証サーバ及び一般的な通信ネットワーク上で通信するその他のエンティティを有する診断システムの概略図である。 分析結果を選択し、購入し、見るための例示的インタフェースの概略図である。 分析結果の購入を確定するための例示的インタフェースの概略図である。 分析結果の購入を確定するための別の例示的インタフェースの概略図である。 分析結果を表示するための例示的インタフェースの概略図である。 分析結果を遡って購入するか又は見ることを可能にする分析結果データのデータベースのための例示的インタフェースの概略図である。 分析結果を保護し、購入し、見る手順を説明するフローチャートである。 検査データをサーバに転送する手順を説明するフローチャートである。 サーバデータベースに格納される分析結果を購入するか又は見る手順を説明するフローチャートである。

発明の実施形態の説明

例として本明細書に開示される実施形態の特定の態様を以下にまとめた。これらの態様はただ単に、読者に、本明細書で開示及び／又は特許請求される任意の実施態様がとり得る特定の形態の概略を示すために提示されており、またこれらの態様は本開示の範囲を制限することを意図していないことを理解すべきである。実際に、本明細書で開示及び／又は特許請求される任意の実施態様は、以下で述べられていない場合がある種々の態様も包含できる。

同一であるか又は少なくとも機能面が同一である構成要素は、以下で同一又は少なくとも類似の参照番号で示される。

機能的に接続されたアッセイユニット１１、リーダユニット３１、及び評価ユニット５１を備えた本発明の診断システム１の有利な実施形態を図１に概略的に示す。

有利には消耗ユニットとして実現されるアッセイユニット１１は、用意された生理学的試料１５に１つ又は複数の診断検査を実施できる検査モジュール１２を備える。メモリモジュール１８は、分析結果は含まない、アッセイユニットに関する補助データ、例えば、アッセイユニットＩＤ番号、ロット番号、製造日、有効期限、アッセイユニットの種類、その他の仕様、較正データ、暗号化一致規則等のさまざまな追加データ７２を格納することを可能にする。さらに、当該データ７２は、例えば、アッセイユニットが予め認証された１組の診断検査へのアクセスを可能にする認証データを含んでもよく、したがって当該分析結果を別途購入する必要がない。加えて、データ７２はさらに、例えば、タイムスタンプ、エラーメッセージ、プロトコル、患者データ等の実施された診断検査に特有のデータを含んでもよいが、それ自体の結果は含まない。

メモリモジュール１８のデータ７２は、アッセイユニットのデータインタフェース２０とリーダユニットのデータインタフェース３８との接続により確立されたデータ接続１９を介してリーダユニットがアクセスできる。データ接続は、パラレルデータバス又はシリアルデータバス、例えば、ＵＳＢ又はイーサネット（Ｅｔｈｅｒｎｅｔ）（登録商標）として実現され得る。その他の可能性としては、無線アクセス手段、例えば、近距離無線通信、例えば、ＲＦＩＤ技術等、又は無線プロトコル、例えば、ブルートゥース／ＩＥＥＥ−８０２．１５、ＷＬＡＮ／ＩＥＥＥ−８０２．１１等、それだけでなく光通信手段、例えば、ＩＲデータ転送インタフェース等がさらに挙げられる。

メモリモジュール１８は、永久的に又は一時的にデジタルデータを格納することを可能にする任意の最新技術、例えば、フラッシュメモリチップにより実現できる。リーダユニットはメモリモジュールに格納されたデータへのフルアクセス権を有してもよく、又はアクセスは有利には、例えば、「スマートカード」チップとして実現され得るメモリモジュールそれ自体によって制御されてもよい。

アッセイユニットが基づく技術の種類に応じて、接続が単なる結果の読み出しのためだけに必要であるように、診断検査が実施されてから、アッセイユニットはリーダユニットに取り外し可能に接続される。このことは、診断検査がかなりの時間を必要とするか、若しくは特別な環境で実施されなければならない場合、又はいくつかのアッセイユニットが並行して診断検査を行う場合に有利であり得る。その他の場合では、アッセイユニットがリーダユニットに接続されている間に診断検査を実施することがより有利であり得る。

リーダユニットはまた、アッセイユニットに電力を供給するか、又は制御ユニット（図示せず）若しくは例えばリーダユニット３１に統合され得る制御モジュール若しくは評価ユニット５１にデータインタフェースを提供することにより、アッセイユニット１１の操作を制御可能にする等の補助機能を有してもよい。

アッセイユニット１１は取り外し可能に動作可能にリーダユニット３１に接続されると、リーダユニットのセンサモジュール３２によって、リーダユニットは診断検査の結果１７を読み出すことができる。例えば、センサモジュールは、例えば、電極対のアナログ電圧信号等の検査信号、又はセンサモジュール３２の受光器（例えば、カメラ）から見えるため光学情報を測定してもよい。センサ信号は次いで、デジタル形態の検査生データ７３に変換される。アナログ電圧信号１７は例えば、ＡＤ変換器によって検査生データを表すデジタル出力値に変換できる。検査生データはさらに、ＣＣＤチップ等から読み取ることが可能なデジタルデータであってもよい。

図１に示す診断システムの実施形態における検査結果データの読み出しの可能なアプローチを図２で概略的に示す。生理学的試料１５は検査モジュールのいくつかの検査素子１２．１、．．．、１２．ｎに提供され、各素子は１つの特定の診断検査を実施できる。次に、検査素子の出力信号１７．１、．．．、１７．ｎは、センサモジュール３２のセンサ素子３２．１、．．．、３２．ｎにより測定される。センサ素子３２．１、．．．、３２．ｎはそれぞれ、対応する診断検査の生データ７３．１、．．．、７３．ｎの１つのセットを用意する。生データのすべてのセットは共に検査生データ７３を成す。

本発明の診断システムに使用可能なアッセイユニットは、先行技術から公知の種々の技術、例えば、検査片、顕微鏡スライド、マイクロ流体チップ、マイクロチップ、カートリッジ、コンパクトディスク、マルチウェルプレート等で実現できる。アッセイユニットは、種々の分析物を測定することが可能な異なる検査素子を含んでもよい。分析物は例えば、タンパク質、核酸、細胞、小分子、気体、電解質、又は病原体（例えば、細菌、ウイルス、プリオン）等であり得る。適用される診断技術に応じて、アッセイユニットはさらに、診断検査を実施するのに必要なさまざまな試薬、補助システム、マイクロポンプ、マイクロプロセッサ等を備えてもよい。しかし、このような診断技術の種類は、アッセイユニットが、リーダユニットの適切なセンサモジュールにより読み出されてデジタル形態に変換できる形態で診断検査結果を提供できる限り、本発明の原理には重要でない。光学的手段、機械的手段、電気的手段、又は化学的手段等の種々の変換機構が使用できる。

用語「検査素子」、「検査モジュール」、「センサモジュール」、及び「検査生データ」は広い意味で理解されなければならない。例えば、アッセイユニットが、分析物の量が検査片の特定のアレイの特定の色に対応する検査片技術に基づく場合、検査片の光学情報は光センサ又はセンサモジュールにより検出され、デジタル形態の検査生データに変換される。一体型センサを有するより複雑なアッセイユニットの場合、当該センサは、マルチピンプラグの複数の電気接点にアナログ電気信号を提供できる。センサモジュールは当該信号を測定し、対応するデジタル検査生データを生成する。より複雑なアッセイユニットは、データ処理能力を備えてもよく、検査生データをリーダユニットに直接提供できる。

完全な並列検出の代わりに、信号１７．１、．．．、１７．ｎを、１つだけの又は少数のセンサ素子により順次測定することもまた可能である。センサ素子としてのデジタルカメラは、同時にすべての検査素子の画像を受信することもでき、このデジタル画像は検査生データ７３を形成する。この場合、別個の検査生データ１７．１、．．．は、画像内の対応する検査素子の位置により規定される。順次診断検査を実施することもまた可能であり得る。本発明を実施するために、満たされなければならない唯一の条件は、異なる検査素子１２．１、．．．、１２．ｎの結果は検査生データ７３全体とは明確に分離可能でなければならないということであり、或いは、好適なデータ処理により検査生データ７３全体から別個の分析結果７４．１、．．．、７４．ｎを得ることができなければならない。明らかに、１つのみの単一の診断検査を実施することを目的としているアッセイユニットの場合、この条件は常に満たされる。

リーダユニット３１は、検査生データ７３及び追加データ７２を取得する改竄防止保護モジュール４１を備える。データをロックし、ユーザ又は評価ユニットそれぞれに対してデータをアクセス不能なものとするために、保護モジュールは、上で詳細に説明されるような検査生データ７３を暗号化できる暗号化モジュール３３を備える。暗号化を必要としない特定のデータは、普通テキストデータ７８として暗号化モジュールにより転送され得る。

任意選択的な揮発性及び／又は不揮発性メモリモジュール３５は暗号化モジュールに接続され、一時的にデータを格納することを可能にする。メモリ能力を直接暗号化モジュールに統合することもまた可能である。

暗号化モジュール３３は、すべての機能が配線によって接続された集積回路として、又はメモリモジュールに格納されて提供できるプログラムを実施するマイクロプロセッサとして、又は両方の組み合わせとして実現され得る。

暗号化モジュールはさらに、検査生データを分析結果データに変換するために使用されてもよく、又は別の変換モジュールを使用してもよい（図示せず）。

暗号化されたデータ７７及び普通テキストデータ７８のデータは改竄防止モジュール４１の出力インタフェース４２に提供される。データは、出力インタフェース４２から、リーダユニット３１のデータインタフェース３６、データ接続３７、及び評価ユニットのデータインタフェース５２を介して診断デバイスの評価ユニット５１に送信でき、評価ユニット５１で受信できる。このデータ接続については、上でさらに論じられているようなアッセイユニット１１とリーダユニット３１との間のデータ接続１９と同じ能力が利用できる。

リーダユニット３１は、本発明の診断システム１のセキュア領域５に属する。換言すると、ユーザ又は任意の他の外部の人が、ユーザに明示的に提供されていないリーダユニット内部の任意のデータへのアクセス権を有することを意図しない。リーダユニット３１又は少なくとも保護モジュール４１は改竄の恐れがないように実現される。したがって、ユーザ又は任意の第三者は、暗号化前に、アクセス可能であるように意図されていないデータ、すなわち、まだ暗号化されてない検査生データ又は分析結果データにアクセスできるべきではない。先行技術で公知である、電子回路を無許可アクセス又は操作から保護するためのいくつかの技術及びアプローチがある。

診断システム１の評価ユニット５１は、データ処理モジュール５３を備える。データ処理モジュール５３は、認証された分析結果データへのアクセス権を得、当該データを後で評価し、最終的にはユーザに使用可能な結果を提供するために実施しなければならないさまざまなタスクを実行することができる。データ処理モジュールは、対応するプログラムコードを実施できるマイクロプロセッサ又はＣＰＵであることが有利である。

評価ユニット５１は、診断システムのユーザ領域３に属するが、これはユーザが主として評価ユニットに存在する任意のデータへのアクセス権を有することを意味する。

評価ユニット５１は、ユーザに情報を提示することを可能にするデータ出力モジュール５５を備えてもよい。データ出力モジュールは例えば、ディスプレイ、内蔵型プリンタユニット、又は単に状態情報を示すいくつかのＬＥＤとして実現され得る。さらに、評価ユニットは、ユーザが手動でデータを入力するか又は評価ユニットに命令を与えることを可能にするデータ入力モジュール５６を備えてもよい。データ入力モジュールは例えば、いくつかのキー若しくはボタンを備えてもよく、又は完全なキーボード、データ出力モジュール、及びデータ入力モジュールはさらに、例えばタッチスクリーンの形態で組み合わせられてもよい。

評価ユニットは、本発明の診断システムで使用するための専用の特別なデバイスであってもよい。しかし、評価ユニットの本質的にすべての必要な及び任意選択的なハードウェア要素は、デスクトップパーソナルコンピュータ、ラップトップコンピュータ、タブレット、スマートフォン等の標準計算デバイスにおいて利用可能であるため、評価ユニットは有利には、種々のタスクを実施するための適切なソフトウェアを装備したこのような計算デバイスで実現される。例えば、診断システムにおいて使用するための専用の基本評価ユニットと、例えば基本ユニットの遠隔制御を可能にするか又は基本ユニットの能力を高める、基本ユニットに接続された追加コンピュータデバイスとの２つ以上の接続されたデバイスによって、評価ユニットを実現することもまた可能であってもよい。

本発明の診断システムにおいて起こり得る典型的な動作及び事象の流れを、図３、３Ａ、４、及び５のフローチャートで概略的に説明する。

ステップＳ１１では、ユーザは適切なアッセイユニットを選択し、所定のプロトコルの後に診断検査を生理学的試料に実施する。次にアッセイユニットをリーダユニットに接続しＳ１２、アッセイユニット検査素子の出力信号を測定するＳ１３。得られた検査生データを読み出しＳ１４、診断検査すべてについての分析結果へと処理するＳ１５。次のステップＳ１６では、分析結果を次に暗号化によりロックすることにより、ユーザのアクセスから保護する。暗号化されたデータをリーダユニット又は評価ユニットのいずれかに格納するＳ１７。ここでシステムは状態Ａにある。

ステップＳ１５の特に有用な変形例を図３Ａのフローチャートに記す。リーダユニットのセキュア領域内のホストコントローラ（図示せず）は、アッセイユニットのセキュアオーセンティケータ（図示せず）と通信する。リーダユニットのホストコントローラは、アッセイユニットのセキュアオーセンティケータにチャレンジを送信し、レスポンスを受信する。リーダユニットは、アッセイユニットのセキュアオーセンティケータからのレスポンスが本物であるかどうかを評価する。アッセイユニットが本物であれば、リーダユニットはアッセイユニットから暗号化規則を受信する。

ここから以下の操作が診断システムのセキュア領域で実施される。復号化アルゴリズムはプライベート鍵及び暗号化規則を入力として受け取り、一致規則を生成する。変換アルゴリズムは、生データ及び一致規則を入力として受け取り、分析結果を生成する。

保護機能は次いで、格納されたプライベート鍵（セキュア領域内）又は格納された公開鍵（必ずしもセキュア領域にある必要はない）を使用して分析結果を暗号化する。このステップは図３のステップＳ１６に対応する。

暗号化により保護された分析結果の取扱い（格納、ロック解除等）は次に、セキュア領域外で実施できる。

アッセイユニットが、対応する認証データを例えばアッセイユニットのメモリモジュール内に備えた予め認証されたアッセイユニットである場合、対応する認証データはリーダユニットを介して評価ユニットにより自動で取り出されるＳ２１。認証データを使用して、暗号化されたデータの認証された分析結果に対応する部分が復号化されＳ２２、ユーザに提供されるＳ２３。ここでシステムは状態Ｂにある。

ここで、ユーザがさらなる保護されロックされた分析データにアクセスしたい場合、又はアッセイユニットが事前の認証なしで分配された場合、ユーザは所望の分析結果を選択しＳ３１、例えば製造業者から必要なアクセス手段を購入するＳ３２。アクセス手段を受け取ると、新たに認証されたデータは復号化／ロック解除されＳ３３、対応する分析結果はユーザに提供されるＳ３４。

アッセイユニット１１、リーダユニット３１、及び評価ユニット５１を有する本発明の診断システム１の別の有利な実施形態を図６に示す。システムは、検査モジュール１２及びセンサモジュール３２の両方がアッセイユニット１１の一部であり、一体型モジュール１４の形態で実現される点で図１のシステムとは異なる。検査生データ７３は、データ接続１９を介して追加データ７２と一緒にリーダユニット３１に提供される。

一体型検査及びセンサモジュール１４を図７に概略的に示す。これは、診断検査素子及び得た信号を測定するセンサ素子が完全に統合された分析デバイスの典型的なケースである。

リーダユニット３１の改竄防止保護モジュール４１では、検査生データ７３はデータ処理ユニット３４により分析結果データ７４へと処理される。次に、当該分析データ７４は暗号化モジュール３３に提供され、暗号化モジュール３３で分析データ７４は暗号化によりロックされ、メモリモジュール４０に格納される。その後、評価ユニットは、メモリモジュール４０から保護モジュール４１の出力インタフェース４２を介して暗号化されたデータ７７及び普通テキストデータ７８を読み取ることができる。メモリモジュール４０は、暗号化モジュール３３及び評価ユニットの動作を分離できるという利点を提供する。メモリモジュールは例えば、暗号化モジュールがデータ７７、７８を格納する不揮発性フラッシュメモリとして実現されてもよい。次に、評価ユニットは先の任意の時点で当該データにアクセスできる。したがって、リーダユニットは、まだ評価ユニットに動作可能に接続されていなくてもアッセイユニットのデータを読み取って暗号化でき、さらにはいくつかの異なるアッセイユニットの結果を読み取り、ロックし、格納することもできる。次いで、評価ユニットは、メモリモジュール４０からデータ７７、７８をダウンロードするのに十分な短時間、リーダユニットに接続されさえすればよい。

リーダユニットと評価ユニットとの直接ライブデータ通信を確立する代わりに、メモリモジュール４０を、ＳＤカード、ＵＳＢメモリスティック等の取り外し可能に取り付けられるフラッシュメモリデバイスの形態で実現することもまた可能である。メモリデバイス４０にデータを書き込んだ後、メモリデバイス４０はユーザによりリーダユニットから取り外され、その後データを読み取る評価デバイスに接続される。しかし、それでもなお、このようなアプローチは本発明ではデータ接続３７である。データ保護を確実にするために、このような実施形態では、例えば暗号化されていない分析結果等のデータは、保護モジュール内に留まるべきメモリに一切格納すべきではない。

アッセイユニット１１及びリーダユニット３１が単一の一体型診断デバイスとして実現される診断システムの別の有利な変形例を図８に示す。一体型検査／センサモジュール１４は試料１５に診断検査を実施し、検査生データ７３を保護モジュール４１の暗号化モジュール３３に提供し、暗号化モジュール３３はデータを暗号化する。普通テキストデータ７８と同様に暗号化されたデータ７７を暗号化モジュール３３のメモリモジュール３５に一時的に格納できる。ロックされたデータ７７及びさらなるデータ７８は出力インタフェース４２を介して評価ユニット５１から要求され得る。

図示される実施形態は、より複雑なアッセイユニットに特に有利であり、リーダユニット部分の電子要素３３、３５、３６の追加コストは製造費用全体に対して重要ではない。

単一のデバイスに組み合わされるリーダユニット３１及び評価ユニット５１を有する本発明の診断システム１の別の変形例を図９に示す。図示される実施形態は、小型独立デバイスとして特に有利である。

示されるアッセイユニット１１は、図６に示したものと同じものである。リーダユニット及び評価ユニットの要素並びにリーダユニット及び評価ユニットの関係は、先に論じられた実施形態に類似している。図９の単一のデバイスは、セキュア領域５とユーザ領域３の両方を備え、セキュア領域、すなわち、改竄防止保護モジュール４１内に存在する任意のデータは、保護モジュール４１の内部出力インタフェース４２のリーダユニット３１により提供される場合を除いて、外部５からアクセス可能ではない。

ここまでに示した実施形態では、１つの評価ユニットが、それ自体が１つのアッセイユニットに動作可能に接続されている１つのリーダユニットに動作可能に接続されていた。しかし、本発明は他の組み合わせもさらに包含する。例えば、診断システムは、図１０（ａ）に概略的に示すように１つの共通の評価ユニット５１に動作可能に接続された２つ以上のリーダユニット３１、３１’を備えてもよい。このような実施形態により、診断システムの容易で費用効率の高いグレードアップを可能とする。さらに、追加の評価ユニットの必要なしに異なる種類のリーダユニットを例えば、特定の種類のアッセイユニットの種類のために使用することが可能である。

同様に、例えば、図１０（ｂ）に示されるような同時に２つ以上のアッセイユニット１１、１１’と動作可能に接続する手段を有するリーダユニット３１を提供することが可能である。したがって、このようなリーダユニットは２つ以上のアッセイユニットの並列動作又は読み出しを可能にし、このことによりスループットを増加させる。或いは、リーダユニットは異なる種類のアッセイユニット用の接続手段を備えてもよい。

本発明の診断システム１の特に有利な変形例を図１１に概略的に示す。本発明の診断システムにおいて使用するためのリーダユニット３１の図示される例示的実施形態は、アッセイユニットを取り外し可能に取り付けることができる第１のスロットをケーシングの側壁に備える。加えて、認証ユニットを取り外し可能に挿入できる第２のスロットはカバーに設けられる。図１１では、アッセイユニット１１は第１のスロットに挿入された状態で示されており、スマートカードの形態の認証ユニットは第２のスロットに挿入されている。２つの追加の消耗アッセイユニット１１’が後に使用するために準備されている。

リーダユニット３１はデータ接続３７（例えば、ＵＳＢ接続又はＷＬＡＮ接続）を介して評価ユニット５１に接続される。所与の例における評価ユニット５１は、評価ユニットの機能を遂行するために、適切なプログラムを実施できる標準コンピュータデバイス、すなわち、ディスプレイ及びキーボードを有するデスクトップコンピュータである。

認証ユニットの機能のための異なるアプローチがさらに上で論じられている。認証スマートカード１００は例えば、特定の診断検査に割り当てられたクレジットユニットの量に応じて当該検査の結果にアクセスすることを可能にするクレジットユニットを含んでもよい。或いは、認証スマートカード１００は、ユーザが特定の事前に認証された検査結果にアクセスすることを可能にする認証データを含んでもよい。リーダユニットと接続する代わりに、認証手段はさらに、評価ユニットと接続されてもよい。

評価ユニット５１は、一般的な通信ネットワーク１０４に接続される１０５。用語「通信ネットワーク」は、専用のワイヤに基づくか又は無線リンクを介したインターネット、モバイルネットワーク、ＶＰＮ接続等のセキュアチャネル等である、ある場所から他の場所へのデータ通信を可能にする任意のリンクを含むと理解されなければならない。通信ネットワークへのリンクは例えば、電話回線、ＤＳＬ又はケーブルモデム、セルラーリンク、無線リンク、イーサネット等により実現してもよい。

遠隔認証サーバ１１０もまた、通信ネットワーク１０４に接続される１０５’。遠隔認証サーバの機能は上でさらに論じられている。例えば、評価デバイス５１は、評価ユニットの認証レベルに応じて、復号化されたロック鍵又はその一部を受け取るために暗号化されたロック鍵を認証サーバ１１０に伝達できる。

通信ネットワーク１０４に接続された遠隔支払い承認サーバ１１５により、ユーザ又はユーザの評価ユニットはそれぞれ、認証手段を購入することができる。次いで、このような認証手段（クレジットユニット、認証データ等）により、ユーザはさらなる分析結果にアクセスできる。

遠隔アクセスデバイス１０２及び遠隔記憶サーバ１０３もまた、遠隔操作で分析結果にアクセスするか又は分析結果を格納するために、評価デバイス５１と通信できる。

遠隔認証サーバ１１０、遠隔支払い承認サーバ１１５、遠隔アクセスデバイス１０２、及び遠隔記憶サーバ１０３は、２つ以上の評価ユニットと共に動作できる。図１１では、第２の概略的評価ユニット５１’はネットワーク１０４に接続され、異なるユーザの制御下にあってもよい。

分析結果を選択し、購入し、見るための例示的グラフィカルユーザインタフェース（ＧＵＩ）を図１２に示す。このようなＧＵＩは、評価ユニットとして機能するコンピュータデバイス、又は専用の評価ユニットのディスプレイ、又はさらには遠隔アクセスデバイス上で実行されるソフトウェアにより実現され得る。

インタフェースは、さまざまな種類の分析結果（例えば、小分子、タンパク質、ＤＮＡ、細胞、ウイルス、細菌）を特定する項目を含んでもよい。ユーザは、多数のロックされた分析結果を測定してデータベースにインポートするために、さまざまな仕様及び分析能力を有する種々のアッセイをリーダユニットに挿入できる。

次に、ユーザは購入するか又は見るために１つ又は複数の分析結果を選択してもよい。例えば、ユーザはチェックボックス又はその他のアプローチを使用して分析結果を選択できる。塗りつぶされたチェックボックスは、アクセス認証が事前に購入されたか又はアクセスがアッセイユニットとバンドルされて提供される分析結果に対応してもよい。チェックマークは、購入するために選択した分析結果に対応できる。場合により利用可能な分析結果は例えば、適用パネル（例えば、心臓マーカ、ウイルス、炎症マーカ）としてグループ分けできる。

あるグループのチェックボックスがチェックされるか又は塗りつぶされると、チェックマーク状態は背景となる分析結果すべてにも反映され得る。個々の分析結果は、適用パネルを広げ、対応するチェックボックス（「Ｃ反応性タンパク質」参照）をチェックすることによってアクセスでき、選択できる。このような下位選択は、ダッシュ付き適用パネルチェックボックスとして表示できる（「炎症マーカ」参照）。

データベースで、又はアッセイユニット能力から利用可能ではない適用パネル及び分析結果は無効であると表示され得る（グレー表示）（「薬物スクリーニング」参照）。

ユーザは「戻る」矢印を選択して前のインタフェースに戻ってもよい。「注文」矢印により注文インタフェースに進むことができる。

図示された実施形態では、インタフェースは特定の分析結果を強調できる。これらの分析結果は背景となる健康状態を示すことができる。例えば、分析物の濃度が健康な基準範囲外にあり得るため、「心臓マーカ」及び「血液」がこのように強調して示される。これら分析物の異常な濃度は、背景となる健康状態又は疾患を示すことができる。例えば、トロポニンＴの濃度が健康な基準範囲を上回り得るため、心臓マーカの「トロポニンＴ」が強調して示され、患者が心臓傷害を受けている可能性があることを示す。

このようなシステムは、複数の分析物を迅速にスキャンし、患者の健康全般を検査し、潜在的な健康上の問題を特定するのに特に有用であり得る。システムは、ユーザにいかなる異常な診断結果も警告できる。ユーザは、これらの強調された分析結果を購入するか又は見るかを決定できる。

図１３及び図１４は、分析結果の購入を確認するための例示的インタフェースの概略図である。ユーザは電子発注書を使用して選択した分析結果を購入でき、クレジットユニットは、リーダユニット又は評価ユニットのユーザクレジット残高から、又はアッセイユニットにバンドルされたクレジットユニットから、又はユーザインボイス情報にアクセスし、遠隔支払いサーバと通信することによりもたらされ得る。

図１３は、ユーザクレジット残高が選択した分析結果へのアクセス権を購入するのに十分である状態を記す。確認インタフェースが現れてもよく、所与の例では、先に図１２で示すようなメニュー上にポップアップウィンドウが配置され、ユーザにユーザの現在のユーザクレジット残高、選択した分析結果のクレジットユニットでの価格を知らせ、ユーザは分析結果の購入を確定又はキャンセルしてもよい。

図１４は、ユーザクレジット残高が選択した分析結果を購入するのに十分でない場合を記す。ポップアップウィンドウの形態の確認インタフェースは、ユーザにユーザの現在のユーザクレジット残高、選択した分析結果のクレジットでの価格、及びユーザの課金情報を使用した課金額について知らせる。次に、ユーザは対応するボタンを押すことによって、分析結果の購入を確定又はキャンセルできる。

図１５は、購入した分析結果を表示する例示的インタフェースの概略図である。この例では、購入した適用パネル及びその背景となる分析結果のみが表示される。加えて、このようなインタフェースに組み込むことができる多くの他の結果、例えば、他のユーザとの比較結果、又はまだ購入されていないか若しくは利用できない分析結果等もあり得る。適用パネルにアクセスして、個々の分析結果を表示してもよい。基準濃度範囲及び分析物濃度等の情報を表示でき、追加情報にアクセスできる。塗りつぶされた適用パネルのチェックボックスは、対応する分析結果がすべて購入されたことを示すことができる。ダッシュ付きの適用パネルのチェックボックスは、対応する分析結果の一部だけが購入されたことを示すことができる。

図１６は、分析結果データのデータベース及び分析結果を遡って選択するか、購入するか、又は見る機能の例示的インタフェースの概略図である。分析結果は評価ユニット又は遠隔記憶サーバでローカルに格納され得る。ディスプレイは、チップ（アッセイユニット）情報（例えば、チップ証明書、チップ仕様、チップロット番号、チップにバンドルされた分析結果等）、診断検査情報（例えば、検査日、検査時間等）、ユーザ情報（例えば、ユーザ証明書、ユーザ名等）、及びセンサ情報（例えば、分析パネル、センサ生データ、センサ分析結果等）等のいくつかの基準に従ってまとめることができる結果データのデータベースを示すことができる。

ユーザは、縦列名等の種々の基準により、又は検索フィルタ項目を使用して分析検査データを分類できる。検査データは、分析結果をさらに見るか又は購入するか選択できる。検査終了時に分析結果が購入もされず見もされなかった場合でも、各検査についての検査データが格納され得る。したがって、ユーザは、いつでも前の検査の検査データを選択でき、分析結果を遡って購入又は見てもよい。

図１７は、本発明の診断システムにより分析結果を保護し、購入し、見る手順を説明するフローチャートである。分析結果は、上で説明したように測定され、ロックされ、リーダユニット、評価ユニット、又はアッセイユニットに格納されている。

ユーザは、購入するか又は見るために分析結果を選択してもよいＳ４１。リーダユニット又は評価は、例えば、レジストリを読み込むことにより分析結果が以前に購入されたか確認できるＳ４２。

購入されていれば、リーダユニット又は評価ユニットは見るための分析結果をユーザに提供できるＳ４９。

購入されていなければ、リーダユニット又は評価ユニットは、分析結果がアッセイユニット仕様から利用可能であるかどうか、すなわち、アッセイユニット、例えば、診断チップが分析物を検出する能力を有するかどうかを判断できるＳ４３。

分析結果がアッセイユニット仕様から利用可能でなければ、ユーザは選択した分析結果を取得可能な別の種類のアッセイユニットを使用するように促され得るＳ４５。次に、プロセスは再びステップＳ４１から開始され得る。

分析結果がアッセイユニット仕様から利用可能であれば、リーダユニット又は評価ユニットは、選択した分析結果が、アッセイユニットから予め使用可能である分析結果、したがって、認証手段がアッセイユニットとバンドルされて提供された結果に含まれているかを判断できるＳ４４。

選択した分析結果がアッセイユニットから予め使用可能な分析結果に含まれていれば、分析結果を見るためにユーザに提供できる、Ｓ４９。

選択した分析結果がアッセイユニットから予め使用可能な分析結果に含まれていなければ、リーダユニット又は評価ユニットは分析結果の価格を確認できる、Ｓ４６。このことは、価格のローカルデータベースを使用するか、又は遠隔サーバを価格のデータベースに接続することにより行うことができる。リーダユニット又は評価ユニットは、ユーザクレジット残高が選択した分析結果を購入するのに十分であるかを確認できるＳ４７。

ユーザクレジット残高が選択した分析結果を購入するのに十分であれば、ユーザクレジット残高を減らすことができＳ４８、分析結果をユーザに提供できる、Ｓ４９。

ユーザクレジット残高が選択した分析結果を購入するのに十分でなければ、リーダユニット又は評価ユニットはユーザインボイス情報を処理することができＳ４９、選択した分析結果をユーザに提供することができる、Ｓ４９。

図１８は、分析結果データを遠隔記憶サーバに転送する手順を説明するフローチャートである。ロックされた分析結果データ及びさらなるデータは、上で示したように、リーダユニット、評価ユニット、又は診断チップに格納できるＳ５１。

システムは次に、遠隔サーバへの接続が利用可能であるかを確認するＳ５２。

遠隔サーバへの接続が利用可能であれば、データを遠隔サーバデータベースに転送できるＳ５３。データはチップ情報、ユーザ情報、及びセンサ情報等の情報を含んでいてもよい。

遠隔サーバへの接続が利用可能でなければ、リーダユニットが接続要求を処理できるＳ５４。接続確立後、データを標準セキュア通信プロトコルを使用してサーバに転送できる。

図１９は、遠隔記憶サーバのデータベースに格納される分析結果を購入するか又は見る手順を説明するフローチャートである。リーダユニット又は評価ユニットは遠隔記憶サーバに接続され得るＳ６１。次に、ユーザは購入するか又は見るために分析結果を選択してもよいＳ６２。サーバは、選択した分析結果が以前に購入されたか確認できるＳ６３。

選択した分析結果が以前に購入されていれば、分析結果をリーダユニット又は評価ユニットに転送できＳ６４、分析結果をユーザに提供できるＳ６５。

選択した分析結果が以前に購入されていなければ、サーバは分析結果の価格を確認できるＳ６６。次に、サーバはユーザクレジット残高が選択した分析結果を購入するのに十分かを確認できるＳ６７。

ユーザクレジット残高が選択した分析結果を購入するのに十分であれば、ユーザクレジット残高をそれに従って減らすことができるＳ６８。ユーザクレジット残高が選択した分析結果を購入するのに十分でなければ、ユーザインボイス情報を処理できる、Ｓ６９。分析結果はその後、リーダユニット又は評価ユニットに転送されＳ６４、ユーザに提供できるＳ６５。

上記フローチャートのステップの順序を変更してもセキュアな分析結果を購入し見ることができることが、当業者には容易に明らかであろう。したがって、検査データ及び分析結果を選択し、転送し、購入し、見る手順の順序の変更は本発明の範囲内である。

本発明は本明細書に記載される特定の実施形態に範囲が限定されない。実際に、本明細書に記載されているものに加えて、本発明の種々の変形が前述の記述及び添付の図面から当業者に明らかになるであろう。したがって、このような変形は添付の特許請求の範囲に含まれることが意図される。加えて、種々の引用文献が本明細書で引用されており、当該引用文献の開示はそれぞれ、その全文が参照することにより本明細書に組み込まれる。

１ 診断システム
３ ユーザ、ユーザ領域
５ セキュア領域
７ 診断デバイス
１１、１１’ アッセイユニット
１２ 検査モジュール
１２．１、１２．２、．．． 単一の診断検査の検査素子
１３ 診断検査
１４ 一体型検査及びセンサモジュール
１５ 生理学的試料
１７ 診断検査信号
１７．１、１７．２、．．． 単一の診断検査の検査信号
１８ メモリモジュール
１９ データ接続
２０ データインタフェース
２５ データ媒体
３１ リーダユニット
３２ センサモジュール
３２．１、３２．２、．．． センサ素子
３３ 暗号化モジュール
３４ データ処理モジュール
３５ メモリモジュール
３６ 第１のデータインタフェース
３７ データ接続
３８ 第２のデータインタフェース
３９ メモリモジュール
４０ メモリモジュール
４１ 保護モジュール
４２ 出力インタフェース
５１、５１’ 評価ユニット
５２ データインタフェース
５３ データ処理モジュール、プロセッサ
５５ データ出力モジュール
５６ データ入力モジュール
５７ メモリモジュール
７２ 追加データ
７３ 検査生データ、分析結果の完全なデータセット
７３．１、７３．２、．．． 単一の診断検査の生データ
７３ａ 認証された検査生データ、分析結果の完全なデータセットの認証されたサブセット
７４ 分析結果データ、分析結果全体、分析結果の完全なデータセット
７４ａ 認証された分析結果、分析結果の完全なデータセットの認証されたサブセット
７５ ロック鍵データ
７５．１、７５．２、．．． ロック鍵
７７ 暗号化されたデータ、分析結果の暗号化された完全なデータセット
７７．１、７７．２、．．． 暗号化されたデータのサブセット
７７ａ アクセス可能な暗号化されたデータ
７８ さらなるデータ
７９ 認証鍵データ
７９．１、７９．２、．．． 認証鍵
８０、８０’ 復号化されたデータ
８０．１、８０．２、．．． 復号化されたデータのサブセット
８２ 第２レベル鍵データ
８２．１、８２．２、．．． 第２レベル鍵
８４ 暗号化されたロック鍵データ
８６ プライバシー鍵データ
１００ 認証ユニット
１０２ 遠隔アクセスデバイス
１０３ 遠隔記憶サーバ
１０５、１０５’ 通信ネットワークへの接続
１０４ 通信ネットワーク
１１０ 遠隔認証サーバ
１１５ 支払い承認サーバ

Claims (18)

1. リーダユニット（３１）であって、１つ又は複数の診断検査（１３）を１つ又は複数の生理学的試料（１５）に対して実行できるアッセイユニット（１１）と動作可能に接続されるように構成され、さらに、該リーダユニット（３１）と動作可能に接続されたアッセイユニットで実行される診断検査の検査生データ（７３）を取得するように構成された（３２、３６）リーダユニット（３１）において、
   データ保護モジュール（４１）であって、該データ保護モジュール（４１）は、前記検査生データを取得し一時的に格納し、前記検査生データを分析結果データ（７４）に変換し、前記分析結果データをロック鍵データ（７５）によって暗号化されたデータ（７７）へと暗号化し（３３）、前記暗号化されたデータを出力インタフェース（４２）に提供するように構成されており、前記保護モジュールは、前記モジュール内に格納されたデータ（７３、７４）へのアクセスを防止するように構成された改竄防止モジュールである、データ保護モジュール（４１）を備えることを特徴とする、リーダユニット（３１）。
2. 前記保護モジュール（４１）は、前記ロック鍵データ（７５）を第２レベル鍵データ（８２）により暗号化されたロック鍵データ（８４）へと暗号化し、前記暗号化されたロック鍵データを前記出力インタフェース（４２）に提供するように構成されていることを特徴とする、請求項１に記載のリーダユニット。
3. 診断デバイスであって、請求項１又は２に記載のリーダユニット（３１）、１つ又は複数の診断検査（１３）を１つ又は複数の生理学的試料（１５）に対して実行できるアッセイユニット（１１）、及び／又は評価ユニット（５１）を備え、
   前記アッセイユニットと前記リーダユニットとは永久的に又は取り外し可能に、動作可能に互いに接続され、
   前記リーダユニットは、前記アッセイユニットで実行される診断検査の検査生データ（７３）を取得するように構成され、
   前記評価ユニットと前記リーダユニットは永久的に又は取り外し可能に、動作可能に互いに接続され（３７、２８、５２）、
   前記評価ユニットは、データ（７７、７８、８４）を前記リーダユニットから受信し、前記データの少なくとも一部を認証鍵データ（７９）を使用して復号化し、分析結果データ（７４）を取得するために前記復号化された出力データを使用するように構成されている、診断デバイス。
4. 請求項１又は２に記載の１つ又は複数のリーダユニット（３１、３１’）と、
   １つ又は複数の診断検査（１３）を１つ又は複数の生理学的試料（１５）に対して実行できる１つ又は複数のアッセイユニット（１１、１１’）であって、該アッセイユニットは前記リーダユニットに動作可能に接続されるように構成されており、前記リーダユニットは前記アッセイユニットで実行された診断検査の検査生データ（７３）を取得するように構成されている、１つ又は複数のアッセイユニット（１１、１１’）と、
   １つ又は複数の評価ユニット（５１）であって、該評価ユニットは、前記リーダユニットに動作可能に接続され、前記リーダユニットからデータ（７７、７８、８４）を受信し、前記データの少なくとも一部を認証鍵データ（７９）を使用して復号化し、分析結果データ（７４）を取得するために前記復号化された出力データを使用するように構成されている、１つ又は複数の評価ユニット（５１）と、
   を備える、診断システム。
5. 評価ユニット（５１）は、暗号化されたデータ（７７、８４）を復号化するように構成されているデータ処理モジュール（５３）を備えることを特徴とする、請求項４に記載の診断システム。
6. 評価ユニット（５１）に動作可能に接続された１つ若しくは複数の認証ユニット（１００）及び／又は
   通信ネットワーク（１０４）を介して前記評価ユニットに接続された１つ若しくは複数の遠隔認証サーバ（１１０）によって特徴づけられており、
   前記認証ユニット及び／又は遠隔認証サーバは、特定の条件が満たされると、前記認証鍵データ（７９）を前記評価ユニットに提供するように構成されているか、或いは
   前記認証ユニット及び／又は遠隔認証サーバは、暗号化されたデータ（７７、８４）を前記評価ユニットから受信し、特定の条件が満たされると前記暗号化されたデータの一部又はすべてを復号化し、前記復号化されたデータ（８０、８０’）を前記評価ユニットに提供するように構成されている、請求項４又は５に記載の診断システム。
7. １つ又は複数の診断検査（１３）を１つ又は複数の生理学的試料（１５）に対して実行することができる検査モジュール（１２）を有する１つ又は複数のアッセイユニット（１１、１１’）と、
   請求項１〜４のいずれか一項に記載のリーダユニット（３１）と、
   を備える、診断キット。
8. ユーザ（３）のアッセイユニット（１１）の分析結果（７３、７４）へのアクセスを制御する方法であって、
   ａ）並行して複数の診断検査（１３）を１つ又は複数の生理学的試料（１５）に対して実施するように構成されたアッセイユニット（１１）を用意するステップと、
   ｂ）前記アッセイユニットから前記複数の診断検査の分析結果の完全なデータセット（７３、７４）を読み出すステップと、
   ｃ）分析結果の前記完全なデータセットをロック鍵データ（７５）によって暗号化するステップと、
   ｄ）分析結果の前記暗号化された完全なデータセット（７７）を前記ユーザに提供するステップと、
   ｅ）前記ユーザに認証手段を提供するステップであって、該認証手段は、前記ユーザが、分析結果の前記暗号化された完全なデータセット内に存在するような分析結果の前記完全なデータセットの特定の認証されたサブセット（７３ａ、７４ａ）へのアクセス権を得ることを可能にするが、分析結果の前記完全なデータセットの他の部分へのアクセス権を得ることを可能にしない、ステップと、
   を含む、方法。
9. 前記認証手段は、認証鍵データ（７９）であり、該認証鍵データ（７９）は、分析結果の前記暗号化された完全なデータセット（７７）の特定の部分を復号化することにより、前記復号化されたデータ（８０）が分析結果の前記完全なデータセット（７３、７４）の前記特定の認証されたサブセット（７３ａ、７４ａ）に対応することを可能にすることを特徴とする、請求項８に記載の方法。
10. 前記認証手段は、前記ユーザが認証ユニット（１００）又は遠隔認証サーバ（１１０）から認証鍵データ（７９）を受信することを可能にする認証データであり、前記認証鍵データは、分析結果の前記暗号化された完全なデータセット（７７）の特定の部分を復号化することにより、前記復号化されたデータ（８０）が分析結果の前記完全なデータセット（７３、７４）の前記特定の認証されたサブセット（７３ａ、７４ａ）に対応することを可能にすることを特徴とする、請求項８に記載の方法。
11. ステップｃ）において、分析結果の前記完全なデータセット（７３、７４）の異なるサブセット（７３．１、７３．２、．．．、７４．１、７４．２、．．．）は、異なるロック鍵（７５．１、７５．２、．．．）によって、暗号化されたデータの異なるサブセット（７７．１、７７．２）へと暗号化され、
    前記異なるロック鍵（７５．１、７５．２、．．．）は共に前記ロック鍵データ（７５）を成し、前記暗号化されたデータの異なるサブセット（７７．１、７７．２）は共に分析結果の前記暗号化された完全なデータセット（７７）を成す、
    ことを特徴とする、請求項８〜１０のいずれか一項に記載の方法。
12. ステップｃ）での暗号化は非対称暗号化アルゴリズムにより行なわれ、前記ロック鍵は前記非対称暗号化アルゴリズム用の公開鍵（７５．１、７５．２、．．．）であることを特徴とする、請求項１１に記載の方法。
13. 前記認証手段は、前記非対称暗号化アルゴリズムのプライベート鍵であり、前記非対称暗号化アルゴリズムのプライベート鍵は共に前記認証鍵データを成すものであり、
    前記プライベート鍵は、分析結果の前記暗号化された完全なデータセットのサブセットを復号化することを可能にするものであり、前記暗号化された完全なデータセットの前記復号化されたデータサブセット（８０．１、８０．２、．．．）は分析結果の前記完全なデータセット（７３、７４）の前記特定の認証されたサブセット（７３ａ、７４ａ）に対応する、
    ことを特徴とする、請求項１２に記載の方法。
14. ステップｃ）での暗号化は対称暗号化アルゴリズムにより行なわれ、前記ロック鍵は前記対称暗号化アルゴリズム用の秘密鍵（７５．１、７５．２、．．．）であることを特徴とする、請求項１１に記載の方法。
15. 前記認証手段は、前記ロック鍵データ（７５）の特定の鍵（７９．１、７９．２、．．．）であり、該特定の鍵（７９．１、７９．２、．．．）は共に前記認証鍵データ（７９）を成すものであり、
    前記特定の鍵（７９．１、７９．２、．．．）は、分析結果の前記暗号化された完全なデータセット（７７）のサブセット（７７．１、７７．２、．．．）を復号化することを可能にするものであり、前記暗号化された完全なデータセットの前記復号化されたデータサブセット（８０．１、８０．２、．．．）は分析結果の前記完全なデータセット（７３、７４）の前記特定の認証されたサブセット（７３ａ、７４ａ）に対応する、
    ことを特徴とする、請求項１４に記載の方法。
16. ステップｃ）後、前記ロック鍵データ（７５）は、非対称暗号化アルゴリズム用の１つ又は複数の公開鍵（８２．１、８２．２、．．．）を使用して、前記非対称暗号化アルゴリズムによって暗号化されたロック鍵データ（８４）へと暗号化され、
    前記１つ又は複数の公開鍵（８２．１、８２．２、．．．）は共に第２レベル鍵データ（８２）を成す、
    ことを特徴とする、請求項１４に記載の方法。
17. 分析結果の前記暗号化された完全なデータセット（７７）は認証ユニット（１００）又は遠隔認証サーバ（１１０）へと提供され、
    前記認証手段は認証データであり、該認証データは、前記ユーザが前記認証ユニット又は前記遠隔認証サーバに対して、
    前記暗号化されたデータの特定の部分を復号化することにより、前記復号化されたデータ（８０）が分析結果の前記完全なデータセット（７３、７４）の前記特定の認証されたサブセット（７３ａ、７４ａ）に対応するようにすること、
    前記復号化されたデータを前記ユーザに提供すること、
    を実行させるように命令することを可能にすることを特徴とする、請求項８に記載の方法。
18. ステップＩＩ）／ステップｃ）における暗号化の前に、前記データセットの前記異なるサブセットは、前記ユーザに提供されるプライバシー鍵データ（８６）により暗号化されることを特徴とする、請求項１７に記載の方法。

Images