JP2022083988A - インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 - Google Patents

インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 Download PDF

Info

Publication number
JP2022083988A
JP2022083988A JP2021184837A JP2021184837A JP2022083988A JP 2022083988 A JP2022083988 A JP 2022083988A JP 2021184837 A JP2021184837 A JP 2021184837A JP 2021184837 A JP2021184837 A JP 2021184837A JP 2022083988 A JP2022083988 A JP 2022083988A
Authority
JP
Japan
Prior art keywords
biomedical device
implantable biomedical
internet
configuration data
gatekeeper
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
JP2021184837A
Other languages
English (en)
Inventor
ディー． マニカ ヤシーンダー
D MANICKA Yatheendhar
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Manicka Institute LLC
Original Assignee
Manicka Institute LLC
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Manicka Institute LLC filed Critical Manicka Institute LLC
Publication of JP2022083988A publication Critical patent/JP2022083988A/ja
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/009—Security arrangements; Authentication; Protecting privacy or anonymity specially adapted for networks, e.g. wireless sensor networks, ad-hoc networks, RFID networks or cloud networks
    • A—HUMAN NECESSITIES
    • A61—MEDICAL OR VETERINARY SCIENCE; HYGIENE
    • A61N—ELECTROTHERAPY; MAGNETOTHERAPY; RADIATION THERAPY; ULTRASOUND THERAPY
    • A61N1/00—Electrotherapy; Circuits therefor
    • A61N1/18—Applying electric currents by contact electrodes
    • A61N1/32—Applying electric currents by contact electrodes alternating or intermittent currents
    • A61N1/36—Applying electric currents by contact electrodes alternating or intermittent currents for stimulation
    • A61N1/372—Arrangements in connection with the implantation of stimulators
    • A61N1/37211—Means for communicating with stimulators
    • A61N1/37252—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data
    • A61N1/37254—Pacemaker or defibrillator security, e.g. to prevent or inhibit programming alterations by hackers or unauthorised individuals
    • A—HUMAN NECESSITIES
    • A61—MEDICAL OR VETERINARY SCIENCE; HYGIENE
    • A61N—ELECTROTHERAPY; MAGNETOTHERAPY; RADIATION THERAPY; ULTRASOUND THERAPY
    • A61N1/00—Electrotherapy; Circuits therefor
    • A61N1/18—Applying electric currents by contact electrodes
    • A61N1/32—Applying electric currents by contact electrodes alternating or intermittent currents
    • A61N1/36—Applying electric currents by contact electrodes alternating or intermittent currents for stimulation
    • A61N1/372—Arrangements in connection with the implantation of stimulators
    • A61N1/37211—Means for communicating with stimulators
    • A61N1/37252—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data
    • A61N1/37282—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data characterised by communication with experts in remote locations using a network
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H40/00—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices
    • G16H40/40—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices for the management of medical equipment or devices, e.g. scheduling maintenance or upgrades
    • G—PHYSICS
    • G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
    • G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
    • G16H40/00—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices
    • G16H40/60—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices for the operation of medical equipment or devices
    • G16H40/67—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices for the operation of medical equipment or devices for remote operation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0442—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload wherein the sending and receiving network entities apply asymmetric encryption, i.e. different keys for encryption and decryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H04L63/0492—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload by using a location-limited connection, e.g. near-field communication or limited proximity of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H04W12/037—Protecting confidentiality, e.g. by encryption of the control plane, e.g. signalling traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/30—Security of mobile devices; Security of mobile applications
    • H04W12/35—Protecting application or service provisioning, e.g. securing SIM application provisioning
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/50—Service provisioning or reconfiguring
    • A—HUMAN NECESSITIES
    • A61—MEDICAL OR VETERINARY SCIENCE; HYGIENE
    • A61N—ELECTROTHERAPY; MAGNETOTHERAPY; RADIATION THERAPY; ULTRASOUND THERAPY
    • A61N1/00—Electrotherapy; Circuits therefor
    • A61N1/18—Applying electric currents by contact electrodes
    • A61N1/32—Applying electric currents by contact electrodes alternating or intermittent currents
    • A61N1/36—Applying electric currents by contact electrodes alternating or intermittent currents for stimulation
    • A61N1/372—Arrangements in connection with the implantation of stimulators
    • A61N1/37211—Means for communicating with stimulators
    • A61N1/37252—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data
    • A61N1/37264—Changing the program; Upgrading firmware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/80—Services using short range communication, e.g. near-field communication [NFC], radio-frequency identification [RFID] or low energy communication

Abstract

【課題】リモートのインターネットに接続された装置がインプラント型生体医療機器(ＩＢＤ)を構成するのを容易にする装置および方法を提供する。【解決手段】インプラント型生体医療機器(ＩＢＤ)の構成は、ＩＢＤの仮想イメージを、それに関連するＩＰアドレスを有することができるインターネットサイトでホストすることを含む。この仮想イメージは、インターネットを介して、リモートのインターネットに接続された装置から受信した構成データに基づいて更新される。ＩＰアドレスを有することができるインターネットサイトにおけるＩＢＤのための構成データ。このように更新されたＩＢＤの安全性が、更新された仮想イメージに基づいて検証される。その後、ＩＢＤの安全性が検証されたことに応答して、構成データが、ＩＰアドレスを有することができるインターネットサイトからインターネットを介してＩＢＤに送信される。【選択図】図５

Description

関連出願の相互参照
本出願は、本出願と同時に出願された以下の米国特許出願に関連する。
１）米国特許出願番号 未確定、代理人整理番号 C729-012027、題名「Antennas for a Subcutaneous Device」、Yatheendhar D. Manickaによる。
２）米国特許出願番号 未確定、代理人整理番号 M999-012028、題名「Secure Communications between an Implantable Biomedical Device and Authorized Parties over the Internet」、Yatheendhar D. Manickaによる。
および、３）米国特許出願番号 未確定、代理人整理番号 M999-012029、題名「Secure Communications between an Implantable Biomedical Device and Authorized Parties over the Internet」、Yatheendhar D. Manickaによる。
上記の引用した米国特許出願および関連する米国特許出願のそれぞれは、参照によってその全体が本明細書に組み込まれる。
さまざまな理由で患者を助けるために、多くの異なるタイプのインプラント型生体医療機器が使用される。幾つかは、例えば、関節置換、レンズ置換、ステントなどのような機械的な目的で使用される。また、他のインプラント型生体医療機器は、データ操作を行うため、電子的な処理機能を備えている。このような「スマート」なインプラント型生体医療機器は、生物学的機能を監視する、及び／又は、インプラント型生体医療機器が置かれたところの患者に治療法を提供する可能性がある。例えば、このような「スマート」なインプラント型生体医療機器には、心臓モニター、ペースメーカー、インプラント型除細動器、および神経刺激装置などがある。これらのインプラント型生体医療機器は、身体の生体計測値を検知でき、これらの生体計測値を診断または治療目的で使用することができる。例えば、このようなインプラント型生体医療機器は、治療目的で、電気刺激および／または薬物を身体に供給することができる。例えば、ペースメーカーは、患者の心拍数を検知し、心臓の鼓動が速すぎるか遅すぎるかを判断し、心臓に電気的な刺激を与えて、心臓の各部屋の鼓動を速めたり遅めたりすることができる。インプラント型除細動器は、患者の心拍数を検知して不整脈を検出し、心拍数を正常化するように患者に電気的なショックを与えることができる。
そのような「スマート」なインプラント型生体医療機器は、検知したバイオメトリック（生体計測）データを外部に伝達し、またそこから様々なデータを受信するように構成することができる。インプラント型生体医療機器への及び／又はインプラント型生体医療機器からのそのようなデータ通信は、様々なリスクをもたらす可能性がある。例えば、検知したバイオメトリックデータには、患者にとってプライベートな情報が含まれている可能性があり、したがって、そのような検知したバイオメトリックデータの通信は、意図されて許可された受信者のみがこの機密データを受信できるように安全であるべきである。さらに、「スマート」なインプラント型生体医療機器に送信された構成データは、再構成後の機器の動作および／または操作に変更をもたらす可能性がある。このような変更は、「スマート」なインプラント型生体医療機器が植え込まれた患者のケアに責任を持つ、許可された人のみが指示すべきである。このような許可された人には、例えば、患者の医師および/またはインプラント型生体医療機器の製造者が含まれる。
装置および関連する方法は、リモートのインターネットに接続された装置がインプラント型生体医療機器を構成するのを容易にするための方法に関するものである。この方法は、インプラント型生体医療機器の仮想イメージを、それに関連するＩＰアドレスを有することができるインターネットサイトにおいてホストすることを含む。それから、この方法は、ＩＰアドレスを有することができるインターネットサイトによって、およびインターネットを介してリモートのインターネットに接続された装置から、インプラント型生体医療機器のための構成データを受信することにより継続される。この方法は、次に、受信した構成データに基づいてホストされている仮想イメージを更新する。次に、この方法は、更新された仮想イメージに基づいて、インプラント型生体医療機器の安全性を検証する。そして、この方法は、インプラント型生体医療機器の安全性が検証されたことに応答して、インターネットを介して、ＩＰアドレスを有することができるインターネットサイトからインプラント型生体医療機器に構成データを送信する。
いくつかの実施形態は、リモートのインターネットに接続された装置がインプラント型生体医療機器を構成するのを容易にするためのシステムに関するものである。システムは、インターネットを使用して通信するホスティングコンピュータと、コンピュータ可読メモリとを含む。コンピュータ可読メモリには、システムに、インプラント型生体医療機器の仮想イメージを、ＩＰアドレスを有することができるそれに関連したインターネットサイトでホストさせる命令が符号化されている。コンピュータ可読メモリには、システムに、ＩＰアドレスを有することができるインターネットサイトによって、およびインターネットを介してリモートのインターネットに接続された装置から、インプラント型生体医療機器の構成データを受信させる命令がさらに符号化されている。コンピュータ可読メモリには、システムに、受信した構成データに基づいてホストされた仮想イメージを更新させる命令がさらに符号化されている。コンピュータ可読メモリには、システムに、更新された仮想イメージに基づいて、インプラント型生体医療機器の安全性を検証させる命令がさらに符号化されている。コンピュータ可読メモリには、インプラント型生体医療機器の安全性が検証されたことに応答して、システムに、ＩＰアドレスを有することができるインターネットサイトからインターネットを介してインプラント型生体医療機器に構成データを送信させる命令がさらに符号化されている。
インプラント型生体医療機器とリモートエンティティとの間のインターネットプロトコル（ＩＰ）による通信を示す概略図。
ゲートキーピング装置とインプラント型生体医療機器とを安全にペアリングするための方法を示すフローチャート。
インプラント型生体医療機器からリモートのインターネットを使用したＷｅｂサイトへの通信において安全なゲートキーピング機能を提供するための方法を示すフローチャート。
リモートのインターネットを使用したＷｅｂサイトからインプラント型生体医療機器への通信において安全なゲートキーピング機能を提供するための方法を示すフローチャート。
インターネットに接続されたリモートの装置がインプラント型生体医療機器を構成するのを容易にするための方法を示すフローチャート。
装置および関連する方法は、インターネットを介した、インプラント型生体医療機器と様々な許可されたエンティティ（実在の相手）との間の通信に関するものである。これらの装置および関連する方法は、インプラント型生体医療機器とリモートのＩＰアドレスを持つことができるインターネット上のエンティティとの間の通信を安全にする。インプラント型生体医療機器への、および／または、インプラント型生体医療機器からのこのような通信のためのセキュリティは、例えば、インプラント型生体医療機器の近接ペアリング、方向的安全性、および仮想ミラーリング、などの様々なセキュリティ手段を介して確保される。インプラント型生体医療機器と、インプラント型生体医療機器の製造者やインプラント型生体医療機器が植え込まれた患者の医師など、これらの許可されたＩＰアドレスを持つことができる様々なエンティティとの間の通信は、ゲートキーピング装置、例えば患者の携帯電話などのペアリングされた近距離通信装置を介して行うことができる。ゲートキーピング装置がインプラント型生体医療機器に近接している場合にのみ、そのような通信の一部が許可される。さらに、インプラント型生体医療機器の更新または再構成などの通信は、患者にとって安全性が高まる（すなわち、インプラント型機器が患者にとってより安全になる）方向のそれら更新のみに制限することができる。さらに、これらの更新および／または再構成は、実際のインプラント型生体医療機器をミラーリングする仮想装置上で最初に実行される。このような更新および／または再構成は、インプラント型生体医療機器に対するこれらの変更における安全性の向上を確保するために、モデル化および／またはシミュレートすることができる。例えば、機器の認証や、公開・非公開の暗号化鍵を用いた符号化、また、イントラネット、バーチャル・プライベート・ネットワーク、ファイアウォールなどを介した一部の通信の制限など、様々な追加の方法を用いて、セキュリティ（安全性）をさらに強化することができる。
図１は、インプラント型生体医療機器とリモートのインターネットを使用したエンティティとの間のインターネットプロトコル（ＩＰ）による通信を示す概略図である。図１において、患者１０は、皮下に植え込まれたインプラント型生体医療機器１２を有している。患者１０は、ゲートキーピング装置１４を手に持っている。図に示した実施形態では、ゲートキーピング装置１４はスマートフォンであるが、ゲートキーピング装置は、例えば、そのようなゲートキーピング機能を実行するために特別に製造された専用のゲートキーピング装置のような、スマートフォンとは異なるものもあり得る。ゲートキーピング装置１４は、インプラント型生体医療機器１２とインターネットクラウド１６との間の通信を手助けするものとして示されている。ゲートキーピング装置１４は、図に示した実施形態ではスマートフォンであるため、インターネットクラウド１６とゲートキーピング装置１４との間の通信は、携帯電話塔１８を介して送信される。ゲートキーピング装置１４は、ゲートキーピング装置１４が、インターネットクラウド１６とインプラント型生体医療機器１２との間の様々な通信の門番（ゲートキーパー）として動作するため、そのように呼ばれる（すなわち、「ゲートキーピング装置」）。無数の他の装置およびシステムは、例えば、ホスティングサーバ２０、医療機器製造者２２、およびパーソナルコンピュータ２４など、インターネットクラウド１６と通信するように構成される。ホスティングサーバ２０は、例えば、インターネット上でＩＰアドレスを有することができるＷｅｂサイト２６をホスト（提供）するように構成することができる。パーソナルコンピュータ２４は、例えば、患者１０の医師２６が使用することができる。
ＩＰアドレスを持つことができるＷｅｂサイト２６は、患者１０に植え込まれたインプラント型生体医療機器１２を正確にミラーリングするように構成された仮想装置３０を含む。ホスティングサーバ２０は、仮想装置３０を使用して、インプラント型生体医療機器１２の動作をモデル化またはシミュレーションするように構成される。このようなモデリングは、実際のインプラント型生体医療機器１２の更新および／または再構成が実行される前に、インプラント型生体医療機器１２の安全な動作を保証するために実行することができる。ＩＰアドレスを有することができるＷｅｂサイト２６は、患者１０に植え込まれた特定のインプラント型生体医療機器であるインプラント型生体医療機器１２に関連付けられたＩＰアドレスを有することができる。いくつかの実施形態では、ＩＰアドレスを有することができるＷｅｂサイト２６のＩＰアドレスは、秘密の（例えば、製造者、およびおそらく患者および／または医師によってのみ知られている）静的ＩＰアドレスである。インプラント型生体医療機器１２も、秘密の静的ＩＰアドレスを有することができる。ゲートキーピング装置は、ゲートキーピング装置の構成に応じて、静的ＩＰアドレスまたは動的ＩＰアドレスのいずれかを有することができる。
仮想装置３０がインプラント型生体医療機器１２に関連付けられているので、ＩＰアドレスを有することができるＷｅｂサイト２６は、インプラント型生体医療機器１２と通信する必要がある人々に対して、インプラント型生体医療機器１２であるかのように見せることができる。例えば、医師２８が患者１０のインプラント型生体医療機器１２の構成を更新することを望む場合、医師２８は、そのような所望の更新された構成を、インプラント型生体医療機器１２と関連付けられたＷｅｂサイト２６に伝えることができる。ＩＰアドレスを有することができるＷｅｂサイト２６は、次に、仮想装置３０のモデリングおよび／またはシミュレーションに基づいて、そのような更新および／または再構成されたインプラント型生体医療機器１２の安全性を、将来実際にインプラント型生体医療機器１２を更新または再構成するよりも前に検証することができる。このような安全性の検証を受けた上で、ＩＰアドレスを有することができるＷｅｂサイト２６は、次に、ゲートキーピング装置１４を介して実際のインプラント型生体医療機器１２に構成データを送信することができる。このようにして、医師２８には、ＩＰアドレスを有することができるＷｅｂサイト２６と通信しているときに、医師２８がインプラント型生体医療機器１２と通信しているように見える。仮想装置３０については、以下の 「仮想イメージ（インプラント型生体医療機器の鏡像の相対物）」と題された部分でより詳細に説明される。
そのような更新および再構成のための安全性の方向は、更新された仮想装置３０のシミュレーションに基づいて、ＩＰアドレスを有することができるＷｅｂサイト２６によって決定され得る。安全性の方向が改善される（すなわち、インプラント型生体医療機器が、更新または再構成の前よりも更新または再構成の後に、より安全な方法で動作する）場合、更新または再構成は、ＩＰアドレスを有することができるＷｅｂサイト２６からインプラント型生体医療機器１２に（例えば、ゲートキーピング装置１４を介して）送信される。しかしながら、安全性の方向性が改善されない（すなわち、インプラント型生体医療機器が、更新または再構成の後に、更新または再構成の前よりも安全ではない方法で動作する）場合、更新または再構成は、ＩＰアドレスを有することができるＷｅｂサイト２６によって送信されない。方向的安全性については、以下の「方向的安全性」と題された部分でより詳細に説明される。ゲートキーピング装置１４は、様々な方法およびプロトコルを介して、インプラント型生体医療機器１２とインターネットクラウド１６との間の通信にセキュリティ（安全性）を提供する。例えば、ゲートキーピング装置１４は、以前にインプラント型生体医療機器１２とペアリングされている。生体医療機器１２は、例えば、ゲートキーピング装置１４など、それにペアリングされた装置からは発信されていない、試みられたすべての通信を無視するように構成することができる。インプラント型生体医療機器１２と１つまたはいくつかの装置を安全にペアリングすることで、許可のない装置からの不正な通信を防ぐことができる。さらに、インプラント型生体医療機器への、および／または、インプラント型生体医療機器からの通信は、近接要件によって制限することができる。例えば、インプラント型生体医療機器１２は、インプラント型生体医療機器１２から所定の範囲内にある装置とのみ通信するように構成することができる。インプラント型生体医療機器１２への、および／または、インプラント型生体医療機器１２からの通信を近接制限する方法については、以下で説明する。
仮想装置３０およびゲートキーピング装置１４を使用することに加えて、他のセキュリティ手段は、インプラント型生体医療機器１２と許可された人との間の通信にさらなる安全性を提供する。例えば、ゲートキーピング装置とＩＰアドレスを有することができるＷｅｂサイト２６との間のデータ暗号化は、そのような通信の許可された送信元および送信先を確認および／または検証するために使用することができ、また、望ましくない人物がそのような機密および／または私的なデータを解読することを防止することができる。許可されたエンティティの認証は、インプラント型生体医療機器１２と通信する権限を有するエンティティの数を制限するように行うこともできる。このようなゲートキーピングのセキュリティ対策については、以下の「近接ペアリング」と題された部分でさらに説明される。
図２は、ゲートキーピング装置とインプラント型生体医療機器とを安全にペアリングするための方法を示すフローチャートである。図２において、方法３２は、ゲートキーピング装置１４（図１に示される）のプロセッサの視点から説明される。いくつかの実施形態では、方法３２は、インプラント型生体医療機器１２が患者１０に植え込まれる前または後の時点で実行される。そのような安全なペアリングは、例えば、植え込みが行われる病院で、または植え込みが行われた後に医師のオフィスで行うことができる。方法３２は、ステップ３４から始まり、同ステップで、ゲートキーピング装置１４が患者１０と関連付けられる。そのような関連付けは、例えば、患者１４のみがゲートキーピング装置１４を操作できるような、ゲートキーピング装置１４のパスワードまたは指紋による保護操作を含むことができる。ゲートキーピング装置１４が患者１０と関連付けられた後、方法３２はステップ３６に進み、同ステップで、通信ソフトウェアが、ゲートキーピング装置１４によって受信されるとともに、ゲートキーピング装置１４にインストール（導入）される。このような通信ソフトウェアは、インターネットを介してインプラント型生体医療機器１０とリモートの許可されたエンティティとの間の通信を容易にするために使用される、通信、符号化、許可の検証、およびその他の動作をサポートする。
ゲートキーピング装置１４をそのように構成した後、方法３２はステップ３８に進み、同ステップで、ゲートキーピング装置１４のプロセッサがゲートキーピング装置の場所を（例えば、ＧＰＳ位置情報システムを介して）決定する。次に、ステップ４０において、プロセッサ３６は、決定された場所を、ゲートキーピング装置１４をインプラント型生体医療機器１０とペアリングするための許可された場所または複数の許可された場所と比較する。ステップ４０において、決定された場所がペアリングのための許可された場所または複数の許可された場所に対応しない場合には、方法３２は終了する。しかしながら、ステップ４０において、決定された場所がペアリングのための認可された場所または複数の許可された場所に対応する場合は、ステップ４２で、ゲートキーピング装置１４は、メディアアクセスコントロール（ＭＡＣ）アドレスをインプラント型生体医療機器１０に送信する。インプラント型生体医療機器１０に送信されたＭＡＣアドレスは、インプラント型生体医療機器１０との通信にゲートキーピング装置１４が使用する通信チャネルに対応する。
方法３２は、次にステップ４４に進み、同ステップで、ゲートキーピング装置１４がインプラント型生体医療機器１０に関連付けられた一意識別子を受信する。そのような一意識別子は、製造者、医師、または病院によって提供され得るインプラント型生体医療機器１２によってブロードキャストされ得る。例えば、そのような一意識別子は、ゲートキーピング装置１４のＭＡＣアドレスを受信することに応答して、インプラント型生体医療機器１０によって送信され得る。いくつかの実施形態では、そのような一意識別子は、ゲートキーピング装置１４に手動でキー入力することができ、または何らかの他のソース（例えば、医師２８が使用するパーソナルコンピュータ２４）から通信チャネルを介してゲートキーピング装置１４に送信することができる。方法３２は、次にステップ４６に進み、同ステップで、ゲートキーピング装置は、インプラント型生体医療機器１２に対応するＷｅｂサイト２６に関連したデータを提供される。そして、ステップ４８において、ゲートキーピング装置は、ＩＰアドレスを有することができるＷｅｂサイトと通信する。ゲートキーピング装置１４は、例えば、公開／非公開の符号化アルゴリズムを用いて通信する。ゲートキーピング装置１４は、ゲートキーピング装置１４に関連するＷｅｂサイト２６の情報を送信して、ＩＰアドレスを有することができるＷｅｂサイト２６が、ゲートキーピング装置１４がＷｅｂサイト２６と通信することを許可されていることを検証できるようにしてもよい。ゲートキーピング装置１４は、この時点で、ＩＰアドレスを有することができるＷｅｂサイト４６とインプラント型生体医療機器１２との間の通信のためにゲートキーピング機能を提供するように構成されているため、方法３２は終了する。
図３～６では、図１に示したインプラント型生体医療機器１２と、様々な許可されたユーザとの間の通信に使用される通信方法について説明する。図３～４では、ゲートキーピング装置１４の通信方法について説明する。図５では、リモートのインターネットに接続された装置がインプラント型生体医療機器を構成することを容易にするための方法について説明する。
図３は、インプラント型生体医療機器からリモートのインターネットを使用したＷｅｂサイトへの通信において安全なゲートキーピング機能を提供するための方法を示すフローチャートである。図３において、方法５０は、ゲートキーピング装置１４（図１に示される）のプロセッサの視点から説明される。方法５０は、ステップ５２から始まり、同ステップで、ゲートキーピング装置１４はインターネットを使用したＷｅｂサイトからの通信を受信するのを待つ。ステップ５２において、リモートのインターネットを使用したＷｅｂサイトから通信を受信しない場合、方法５０はステップ５２にとどまる（または、ステップ５２へ戻る）。しかしながら、ステップ５２において、ゲートキーピング装置１４がリモートのインターネットを使用したＷｅｂサイトから通信を受信した場合、ゲートキーピング装置１４はステップ５４に進む。
ステップ５４において、ゲートキーピング装置１４は、受信した通信に対応するＩＰアドレスを、インプラント型生体医療機器１２に対応するＷｅｂサイトである、ＩＰアドレスを有することができるＷｅｂサイト２６に対応するＩＰアドレスと比較する。ステップ５４において、ゲートキーピング装置１４は、受信した通信が、ＩＰアドレスを有することができるＷｅｂサイト２６に対応していないＩＰアドレスからのものであると判断した場合、方法５０はステップ５２へ戻り、インターネットによる別の通信を待つ。しかしながら、ステップ５４において、ゲートキーピング装置１４が、受信した通信がＩＰアドレスを有することができるＷｅｂサイト２６に対応するＩＰアドレスからのものであると判断した場合、方法５０はステップ５６に進む。
ステップ５６において、ゲートキーピング装置は、ＩＰアドレスを有することができるＷｅｂサイト２６によって通信の中で送信された公開鍵およびゲートキーピング装置１４の秘密鍵を使用して、受信した通信内容を復号する。通信内容を復号するためにそのような公開鍵および秘密鍵を使用することにより、通信が、ＩＰアドレスを有することができるＷｅｂサイト２６によって発信され、ゲートキーピング装置１４によって受信されることを意図したものであることが保証される。次に、ステップ５８において、ゲートキーピング装置１４は、インプラント型生体医療機器１０によって使用される暗号化アルゴリズムに従って、復号された通信内容を符号化する。次に、ステップ６０において、ゲートキーピング装置は、近接試験を行う。近接試験は、ゲートキーピング装置１４がインプラント型生体医療機器１０から所定の距離内にあるかどうかを判断するものである。このような近接試験については、以下で説明する。ステップ６０において、ゲートキーピング装置がインプラント型生体医療機器１２に近接していないとゲートキーピング装置が判断した場合、ゲートキーピング装置１４がインプラント型生体医療機器１２に近接していると判断するまで、方法５０はステップ６０にとどまる。しかしながら、ステップ６０において、ゲートキーピング装置がインプラント型生体医療機器１２に近接しているとゲートキーピング装置が判断した場合、方法５０はステップ６２に進む。
ステップ６２において、ゲートキーピング装置１４は、符号化された通信内容をインプラント型生体医療機器１２に送信する。次に、方法５０はステップ６４に進み、同ステップで、ゲートキーピング装置１４は、インプラント型生体医療機器１２からの確認の通信を待つ。ステップ６４において、ゲートキーピング装置１４が所定の時間内にインプラント型生体医療機器１２から確認の通信を受信しない場合、方法５０はステップ６０へ戻り、ゲートキーピング装置１４は再び近接試験を実行する。しかしながら、ステップ６４において、ゲートキーピング装置１４が所定の時間内にインプラント型生体医療機器１２から確認の通信を受信した場合、方法５０はステップ６６に進み、同ステップで、ゲートキーピング装置１４は、確認の通信内容を符号化して、ＩＰアドレスを有することができるＷｅｂサイト２６に送信する。その後、方法５０は、ステップ５２へ戻り、インターネットを使用したＷｅｂサイトからの別の通信を待つ。
図４は、リモートのインターネットを使用したＷｅｂサイトからインプラント型生体医療機器への通信において安全なゲートキーピング機能を提供するための方法を示すフローチャートである。図４において、方法６８は、ゲートキーピング装置１４（図１に示される）のプロセッサの視点から説明される。方法６８は、ステップ７０から始まり、同ステップで、ゲートキーピング装置１４は、インプラント型生体医療機器１２からの通信を受信するのを待つ。ステップ７０において、インプラント型生体医療機器１２から通信を受信しない場合、方法６８は、ステップ７０にとどまる（または、ステップ７０へ戻る）。しかしながら、ステップ７０において、ゲートキーピング装置１４がインプラント型生体医療機器１２から通信を受信した場合、ゲートキーピング装置１４はステップ７２に進む。
ステップ７２において、ゲートキーピング装置１４は、インプラント型生体医療機器１２から受信した通信内容を復号する。次に、ステップ７４において、ゲートキーピング装置１４は、確認をインプラント型生体医療機器１２に送信する。方法６８は、次にステップ７６に進み、同ステップで、ゲートキーピング装置は、受信した通信内容がインプラント型生体医療機器１２によって送信されたことの真正性を確認する。このような真正性の確認については、以下でより詳細に説明する。ステップ７６において、受信した通信内容の真正性が確認されない場合、方法６８は、ステップ７０へ戻り、別の通信を待つ。しかしながら、ステップ７６において、受信した通信内容の真正性が確認された場合、方法６８はステップ７８に進み、同ステップで、ゲートキーピング装置１４は、ゲートキーピング装置１４とＩＰアドレスを有することができるＷｅｂサイト２６との間の通信に使用される符号化アルゴリズムを使用して、復号された通信内容を符号化する。次に、ステップ８０において、ゲートキーピング装置は、符号化された通信内容をＩＰアドレスを有することができるＷｅｂサイト２６に送信する。方法６８は、その後ステップ７０へ戻り、同ステップで、ゲートキーピング装置は、インプラント型生体医療機器１２によって送信される別の通信を待つ。
図５は、インターネットに接続されたリモートの装置がインプラント型生体医療機器を構成するのを容易にするための方法を示すフローチャートである。図５において、方法８２は、ＩＰアドレスを有することができるＷｅｂサイト２６をホストする、ホスティングサーバ２０（図１に示される）のプロセッサの視点から説明される。方法８２は、ステップ８４から始まり、同ステップで、ホスティングサーバ２０は、インプラント型生体医療機器１２の仮想イメージ３０を、それに関連するＷｅｂサイト２６においてホストする。Ｗｅｂサイト２６はＩＰアドレスを有することができる。インプラント型生体医療機器１２のそのような仮想イメージ３０は、対応する実際のインプラント型生体医療機器１２と同じように動作または操作するように構成することができる。次に、方法８２はステップ８６に進み、同ステップで、ＩＰアドレスを有することができるＷｅｂサイト２６が、インターネットを介してリモートのインターネットに接続された装置から、ＩＰアドレスを有することができるＷｅｂサイト２６におけるインプラント型生体医療機器１２のための構成データを受信する。次に、ステップ８８において、ホスティングコンピュータ２０は、リモートのインターネットに接続された装置から構成データを送信するリモートエンティティの許可を確認する。ステップ８８において許可が確認されていない場合、方法８２はステップ８６に戻り、インプラント型生体医療機器１２のための構成データを含む別の通信を受信するのを待つ。
しかしながら、ステップ８８において許可が確認された場合、方法８２はステップ９０に進み、同ステップで、ホスティングサーバ２０が仮想イメージ３０を更新する。方法８２は、次にステップ９２に進み、同ステップで、インプラント型生体医療機器１２の安全性が判定される。安全性は、更新された仮想イメージ３０に基づいて判定される。いくつかの実施形態では、仮想イメージ３０のシミュレーションが行われる。このような安全性の判定は、方向的安全性の判定、即ちこのような更新によって、安全性が改善されるのか、または損なわれるのか？を含むことができる。いくつかの実施形態では、方向的安全性が改善される場合にのみ、実際のインプラント型生体医療機器１２において更新が許可される。いくつかの実施形態では、実際のインプラント型生体医療機器１０で更新が実行されることが許可される前に、後の更新のための待ち時間が必要とされる。ステップ９２において、更新の安全性の要件が満たされていない場合、方法８２はステップ９４に進み、同ステップで、ホスティングサーバ２０は仮想イメージ３０を更新前の構成に復元し、その後、方法８２はステップ８６へ戻る。
しかしながら、ステップ９２において、更新の安全性の要件が満たされていない場合、方法８２はステップ９６に進み、同ステップで、ホスティングサーバ２０が、インターネットを介してＩＰアドレスを有することができるＷｅｂサイト２６からインプラント型生体医療機器１２に送信する。このような送信は、ＩＰアドレスを有することができるＷｅｂサイト２６と、インプラント型生体医療機器１２との全ての通信のためのゲートキーパーとして機能するゲートキーピング装置１４との間の送信に使用される暗号化方法を介して符号化される。方法８２は、その後、ステップ８６へ戻り、同ステップで、リモートのインターネットに接続された装置からの別の通信の受信を待つ。
図２～５に対応する方法において記載される様々な符号化、許可、検証、およびその他のセキュリティ対策について、以下でより詳細に説明する。様々な実施形態では、上記の方法３２、５０、６８、および８２の１つまたは全てにおいて、より多くの又は少ない動作ステップが用いられる。上記のこれらの方法は、ゲートキーピング装置１４のゲートキーピング機能およびホスティングサーバ２０のゲートキーピング機能の例示的な実施形態を説明する。ゲートキーピング装置１４は、許可されたエンティティのみがデータ（例えば、構成データ）をインプラント型生体医療機器１２に送信できることを保証する。同様に、ゲートキーピング装置１４は、ゲートキーピング装置が、そのような通信がインプラント型生体医療機器１２によって送信されたと判断できる場合にのみ、インプラント型生体医療機器１２から受信した通信を中継する。ホスティングサーバ２０は、構成の更新の安全性を確保し、そこからのインプラント型生体医療機器への通信を制限する。
近接ペアリング（Proximal Pairing）
近接ペアリングは、インプラント型生体医療機器１２とリモートの許可されたエンティティとの間の一部または全ての通信が、インプラント型生体医療機器１２と近接してペアリングされているゲートキーピング装置１４を介して行われることを要求することによって、高レベルのセキュリティを提供するために使用することができる。ゲートキーピング装置１４は、インプラント型生体医療機器１２との間の通信を、インプラント型生体医療機器１２に近接し、その通信を行うことを許可されているペアリングされた（すなわち、インプラント型生体医療機器とペアリングされた）装置のみに制限することによって、通信にセキュリティを提供することができる。そのような構成されて許可された装置のみが、そして、構成されて許可された装置がインプラント型生体医療機器１２に近接している場合にのみ、インプラント型生体医療機器１２とリモートの許可されたエンティティとの間のこれらの通信を手助けすることができる。インプラント型生体医療機器１２は、例えばゲートキーピング装置１４などの対になる近接デバイスとの無線通信の範囲が限定されるように構成することができる。このようにして、そのような対になった近接デバイスは、それが対になっているインプラント型生体医療機器１２への及び／又はそこからの通信のゲートキーパーとして動作することができる。通信がそのようなペアになった近接デバイスによって中継されることを要求することによって、そのようなゲートキーピングの役割は、許可されたリモートエンティティによって行われていない、インプラント型生体医療機器１２への及び／又はからの通信の試みを阻止することができる。
様々なタイプの装置が、インプラント型生体医療機器１２とペアリングを行うことができる。例えば、インプラント型生体医療機器１２の製造者は、そのようなゲートキーピングの役割のために特別に設計された補完的なペアリング装置を提供することができる。そのようなゲートキーピング装置のための例示的なペアリング操作を以下に説明する。いくつかの実施形態では、患者１０の携帯電話は、これらのゲートキーピング動作を実行するように構成することができる。様々な実施形態において、インプラント型生体医療機器１２と、ペアリングされた近接デバイスとの間の通信は、様々なプロトコルを用いて行うことができる。例えば、近接デバイスと皮下インプラント型生体医療機器との間の近距離通信を行う任意のプロトコルを使用することができる。そのような通信プロトコルの幾つかには、Bluetooth（登録商標）、Zigbee（登録商標）、NFC（Near-Field Communication／近距離無線通信）、WiFi（Wide-Field Communication）（登録商標）などが含まれる。これらの様々な通信プロトコルは、インプラント型生体医療機器と近接デバイスとの間の高速で安全なペアリングおよび通信を確保するために様々な方法で使用することができる。例えば、いくつかの実施形態では、NFC通信は、例えば、Bluetoothペアリングを開始することができる。
インプラント型生体医療機器１２とゲートキーピング装置１４などのゲートキーピング装置との近接ペアリングの様々な方法を実行することができ、ペアリングされる装置の数に対する様々な制限を確立することができる。例えば、制限としての、１つ、または２つの、または限られた少数の装置が、特定のインプラント型生体医療機器とペアになることができる。この１つ又はこれらの少数の装置は、許可されていないエンティティによる他の装置の侵略的なペアリングを防止する安全な方法でペアリングすることができる。このような安全なペアリングは、様々な安全なペアリングプロトコルを使用して達成することができる。例えば、インプラント型生体医療機器１２は、限定された及び／又は制御された条件でペアリングされるように構成することができる。そのような限定的および／または制御された条件には、ペアリングが実行される時間を制限すること、ペアリングが実行される場所を制限すること、ペアリング許可装置を使用してペアリングを許可すること、および／または、インプラント型生体医療機器１２とペアリングされるデバイス（および、任意のペアリング許可装置）との間にセキュア（安全）な通信を使用することが含まれ得る。
ペアリングの発生が許可される時間は、様々な方法で制限することができる。例えば、インプラント型生体医療機器１２のゲートキーピング装置１４へのペアリングは、インプラント型生体医療機器の植え込み時に限定することができる。インプラント型生体医療機器１２のペアリングのための他の許可される時間は、特定の他のイベントが行われる時間に制限することができる。例えば、病院の受診中および／または医師の予約中に、ペアリングを行うことを許可することができる。病院の受診および／または医師の予約などの状況においては、例えば、医師のペアリングキーおよび／またはペアリング許可装置を使用して装置をペアリングすることができる。ペアリングは、例えば、ソフトウェアキーまたはハードウェアキーとすることができる医師のペアリングキーを受け取ったときに許可され得る。このキーは、ゲートキーピング装置１４に伝達され得、それによってペアリングの開始が許可される。
ペアリングが許可される場所は、様々な方法で制限することができる。例えば、インプラント型生体医療機器１２とペアリングされる近接デバイスに含まれるＧＰＳ位置センサを使用して、ペアリングを制限することができる。ペアリングが許可される所定の数の場所を、ペアリングされる近接デバイスのＧＰＳ位置センサによって検出された場所と比較することができる。例えば、インプラント型生体医療機器１２が植え込まれた患者１０の自宅の住所は、ペアリングが実行できる許可され得る場所とすることができる。他の許可され得るペアリングの場所には、インプラント型生体医療機器１２の製造者の場所、インプラント型生体医療機器１２を有する患者１０の治療が行われる医師のオフィスの場所、および／または、そのようなインプラント型生体医療機器の植え込みが行われる病院の場所が含まれ得る。
いくつかの実施形態では、近接ペアリング通信のセキュリティは、近接検知および／または近接試験を用いてさらに強化することができる。例えば、インプラント型生体医療機器１２とゲートキーピング装置１４との間の近接性は、近接センサを用いて検知することができる。この近接センサは、インプラント型生体医療機器１２のゲートキーピング装置１４に対する相対的な近接性を検知することができる。インプラント型生体医療機器１２へのおよび／またはインプラント型生体医療機器１２からの通信は、ゲートキーピング装置１４に対するインプラント型生体医療機器１２のそのような相対的近接性が閾値条件を満たす場合にのみ有効にすることができる。例えば、ゲートキーピング装置１４がインプラント型生体医療機器１２から所定の距離内にある場合、その間の通信が有効にされ得る。このような目的のために、様々なタイプの近接センサを採用することができる。例えば、インプラント型生体医療機器１２は、磁石によって生成された磁界、またはゲートキーピング装置１４の誘導コイルによって生成された磁界を検知するように構成されたリードスイッチを有し得る。他の実施形態では、ゲートキーピング装置１４がインプラント型生体医療機器１２の所定の距離内にあるかどうかを判断するために、試みられた無線通信の信号強度を所定の閾値と比較することができる。
いくつかの実施形態では、ペアリングは以下のように起こり得る。インプラント型生体医療機器１２が植え込まれる前に、ゲートキーピング装置１４とペアリングされる。ゲートキーピング装置１４は、インプラント型生体医療機器１４の製造者によってプログラムされたゲートキーピングアプリを備える。ゲートキーピングアプリは、ゲートキーピング装置１４とインプラント型生体医療機器１２との間の通信の秘密暗号化および復号を提供するように構成されている。例えば、いくつかの実施形態では、インプラント型生体医療機器は、インプラント型生体医療機器１２の最初の電源投入時に開始される実行タイマーに基づく秘密暗号化方法を使用する。毎分、カウンタが進み、その進んだカウント値に基づいて暗号化が変化する。ゲートキーピング装置１４は、このペアリング動作中に最初の電源投入の時間を提供され、そしてゲートキーピング装置１４は、カウンタをインプラント型生体医療機器１２のカウンタに同期させる。ゲートキーピング装置１４は、このようにして、インプラント型生体医療機器１２と同期して通信を暗号化および復号することができる。
方向的安全性（Directional Safety）
方向的安全性とは、インプラント型生体医療機器などの装置の構成またはプログラミングの変更によって、安全性が増加するか減少するかを示す用語である。インプラント型生体医療機器の文脈では、「方向的安全性」という用語が指す安全性は、インプラント型生体医療機器が植え込まれた患者の安全性である。インプラント型機器へのいくつかの更新は、安全性を向上させないかもしれないが、患者の医師は、方向的安全性がネガティブ（減少方向）であるにもかかわらず、そのような更新を望むかもしれない。そのような更新は、様々な安全な方法で実行することができる。例えば、医師が、方向的安全性がニュートラルまたはネガティブであるにもかかわらず、インプラント型機器の更新および／または再構成を望む場合、そのような更新および再構成は、ローカルでの設定に制限することができる。遠位のインターネット通信は、そのようなニュートラルまたはネガティブの方向的安全性を持つ更新および／または再構成を行うことを禁止することができる。
さらに、そのようなニュートラルまたはネガティブの方向的安全性を持つ更新および／または再構成を通信する装置は、インプラント型機器の製造者が製造する特別な装置に限定することができる。そのようなニュートラルまたはネガティブの方向的安全性を持つ更新の通信には、秘密符号化スキームを使用することができる。ローカルの安全な通信のみがそのようなニュートラルまたはネガティブの方向的安全性を持つ更新および／または再構成を行うことを確実にするために、プログラミング装置とインプラント型生体医療機器との間の近接要件を要求することができる。
いくつかの実施形態では、インプラント型生体医療機器のファームウェアへのあらゆる変更は、ネガティブの方向的安全性（または、少なくともネガティブの方向的安全性の看過できない可能性）を有すると考えることができる。そのようなファームウェアの変更は、他のニュートラルまたはネガティブの方向的安全性を有する更新および再構成のようなローカルの安全な通信方法に制限することができる。
通信の暗号化（Communication Encryption）
インプラント型生体医療機器１２とリモートのエンティティとの間の通信、及び／又は、そのような通信を容易にする様々な中間装置間の通信のデータ暗号化を行うことができる。例えば、インプラント型生体医療機器１２の低電力動作を可能にするように、インプラント型生体医療機器１２とゲートキーピング装置１４との間の通信に対して、比較的簡単な暗号化を実行することができる。いくつかの実施形態では、インプラント型生体医療機器１２とゲートキーピング装置１４との間の通信は、製造者が考案したが公開されていない秘密の暗号化方法によって暗号化することができる。このような秘密の暗号化方法は、例えばBluetoothチップなどの（１つ以上の）通信デバイスのＭＡＣ（Machine Access Control）アドレスを利用することができる。さらに、そのようなＭＡＣアドレスを知っているだけでは暗号を解読できないようにするために近距離通信の暗号化にクロックアルゴリズムを用いることができる。
インターネットを使用して操作を実行する、ゲートキーピング装置１４や、ホスティングサーバ２０などのエンタープライズ向けの装置のような、より高いパワーバジェットを持つ装置には、より電力を必要とする暗号化方法を使用することができる。様々なそのような暗号化方法を、そのようなより高いパワーバジェットを持つ装置間の通信に使用することができる。例えば、ゲートキーピング装置１４とホスティングサーバ２０などのインターネットを使用したサーバとの間の通信には、公開鍵／秘密鍵による暗号化を用いることができる。
いくつかの実施形態では、そのような公開鍵は、１回または様々な間隔で交換することができる。例えば、ゲートキーピング装置１４とリモートのインターネットを使用したサーバとによって行われる通信のために、新たな日ごと、新たな時間ごと、または５分間隔で、ペアの近接デバイスによって新しい秘密鍵が生成され得る。そして、ゲートキーピング装置１４は、生成された秘密鍵に基づいて、公開鍵を生成することができる。この公開鍵は、ゲートキーピング装置１４によって発信された通信を復号する際に使用するために、ホスティングサーバ２０などのリモートのインターネットを使用したサーバに通信することができる。同様に、リモートのインターネットを使用したサーバはまた、秘密鍵と公開鍵の組み合わせを生成し、公開鍵をゲートキーピング装置１４に送信することもできる。これらの秘密鍵と公開鍵の組み合わせを頻繁に変更することにより、ハッカーが秘密鍵をハッキングする時間を１日以下に制限することができる。これは、今日の最も強力なコンピュータを用いてそのようなハッキングを行うのに必要とする時間のわずか一部にあたるものである。
デバイス認証（Device Authentication）
インプラント型生体医療機器１２とペアリングされる近接デバイスは、認証プロトコルを使用してそれと通信することができる。そのような認証は、様々な安全な認証方法を介して行うことができる。例えば、植え込み時に、製造者の安全なインターネットサイトでのインプラント型生体医療機器１２の安全な登録を介して、インプラント型生体医療機器１２を患者１０と関連付けることができる。登録手順は、例えば、患者１０に関する情報およびインプラント型生体医療機器１２のシリアル番号を製造者に提供することを含むことができる。いくつかの実施形態では、製造者のＷｅｂサイトは、患者１０のためのログインＩＤおよびパスワードの供給を要求することができる。製造者のＷｅｂサイトは、インプラント型生体医療機器１２および／またはインプラント型生体医療機器１２とペアリングされる例えばゲートキーピング装置１４などの装置に関する情報を要求することができる。
いくつかの実施形態では、患者１０および／またはインプラント型生体医療機器１２に関する情報の収集後または収集中に、製造者は、インプラント型生体医療機器１２とペアリングされるべきゲートキーピング装置１４と通信することができる。このような通信は、様々な態様で行われ得る。例えば、ゲートキーピング装置１４が携帯電話である場合、製造者は、テキストメッセージまたは音声メッセージを携帯電話に送信することができる。他の実施形態では、製造者は、ペアリング手順の間にユーザが使用するためのキーコードを表示することができる。例えば、製造者は、患者がペアリング対象の装置に入力するキーコードを表示することができる。そして、このキーコードにより、近接デバイスとインプラント型生体医療機器１２とのペアリングが可能になる。いくつかの実施形態では、製造者は、インプラント型生体医療機器１２とペアリングされているおよび／またはペアリングされたすべての装置のログを維持することができる。
いくつかの実施形態では、時間同期されたコードを認証および／または暗号化の目的で使用することができる。コードのタイムシーケンスは、例えば、植え込みおよび／またはペアリングの際に同期させることができる。コードシーケンスは、通信の所定の時間において通信されたコードが、コードが通信される装置（例えば、インプラント型生体医療機器１２、ゲートキーピング装置１４、および／またはホスティングサーバ２０）によって予測され得るように、通信する装置間で同期され得る。
仮想イメージ（Virtual Image、インプラント型生体医療機器の鏡像の相対物）
許可されたエンティティ間の通信は、インプラント型生体医療機器１２の鏡像の相対物（カウンターパート）である仮想イメージ３０を用いて間接的に、またはそのような仮想イメージを用いずに直接的に行うことができる。例えば、インプラント型生体医療機器１２のプログラミングの更新は、仮想イメージ３０上で最初に実行されることを要求することができる。例えば、医師は、インプラント型生体医療機器１２が患者１０に対して行う治療スケジュールを変更したいと思うかもしれない。この治療スケジュールの変更は、インプラント型生体医療機器１２によって提供されてきた、患者１０の状態を示す検知された生体データに対応したものであるかもしれない。仮想イメージ３０は、その後、更新された治療スケジュールが特定の安全要件を満たすと判断された場合、更新された治療スケジュールをインプラント型生体医療機器１２に送信することができる。
仮想イメージ３０は、実際のインプラント型生体医療機器１２をミラーリングすることができ、そのような更新された治療スケジュールがプログラムされた後、その仮想イメージ３０の動作のシミュレーションが実際のインプラント型生体医療機器１２の性能を示すことができるようになっている。任意のプログラミング変更が最初に仮想イメージ３０に対して行われるので、そのようなプログラミング変更が実際のインプラント型生体医療機器１２に対して行われたときに、実際のインプラント型生体医療機器１２が植え込まれた患者１０にとってそれが安全であることを保証するように、すべてのそのようなプログラミング変更を精査することができる。仮想イメージ３０は、ホスティングコンピュータ２０によって、ＩＰアドレスを有することができるＷｅｂサイトで管理される。ホスティングコンピュータ２０は、電力の制限を受けず、したがって、その務めを遂行するために必要とされる任意の処理能力を有することができる。１つの実施形態では、ホスティングコンピュータ２０は、エンタープライズコンピュータであり得る。
そのようなシミュレーションを実行するために典型的に使用されるようなそのエンタープライズコンピュータは、例えば、様々な態様で構成されたインプラント型生体医療機器１２のシミュレーションなどの複雑なアルゴリズムを良好に実行できるように、優れた計算能力を有する。これらのシミュレーションは、インプラント型生体医療機器１２に対するあらゆる更新および／または再構成の方向的安全性を決定するために使用することができる。そして、エンタープライズコンピュータは、インプラント型生体医療機器１２の潜在的な更新および／または再構成のための調停者として機能することができる。例えば、エンタープライズコンピュータは、決定された方向的安全性に基づいて、そのような潜在的な変更を受け入れたり、拒否したりすることができる。その方向的安全性は、そのような潜在的な更新および／または再構成により仮想的に更新された仮想イメージ３０の仮想シミュレーションに基づいて決定されたものである。
ホスティングコンピュータ２０は、非常に多くの患者に対するインプラント型生体医療機器についてシミュレーションを実行するように構成することができる。例えば、製造者が特定のタイプの全てのインプラント型生体医療機器のファームウェアをアップグレードしたい場合、ホスティングコンピュータ２０は、これらの患者に植え込まれたインプラント型生体医療機器に対応する全ての仮想装置に基づいてシミュレーションを実行することができる。そのような多数のシミュレーションに基づいて、製造者は、インプラント型生体医療機器の集団全体で、そのような更新されたファームウェアを進めるかどうかを決定することができる。
ゲートキーピング装置なしの動作（Operation without a Gatekeeping Device）
いくつかの実施形態では、安全な通信は、インプラント型生体医療機器１２とインターネットクラウド１６との間で直接実行することができる。例えば、インプラント型生体医療機器１２は、４Ｇまたは５Ｇの携帯電話通信プロトコルを介してインターネットクラウド１６と直接通信するように構成することができる。そのようなシステムでは、インプラント型生体医療機器１２への及びからの通信は、ＩＰアドレスを有することができるＷｅｂサイト２６との通信に制限することができる。インプラント型生体医療機器１２の静的ＩＰアドレスおよびＩＰアドレスを有することができるＷｅｂサイト２６の静的ＩＰアドレスは、通信が許可されている両者間のみで一組の情報として働くように秘密にすることができる。インプラント型生体医療機器１２とＩＰアドレスを有することができるＷｅｂサイト２６との間のそのような直接の通信にさらなるセキュリティを提供するために、公開鍵／秘密鍵による暗号化を使用することができる。
インプラント型生体医療機器１２とＩＰアドレスを有することができるＷｅｂサイト２６との間の直接的な通信は、ゲートキーピング装置１４を介した間接的な通信に関連する電力コストよりも大きくなる可能性のある電力コストを発生させ得る。そのような電力コストは、インプラント型生体医療機器１２の任意の治療機能を実行するとともに、そのような直接的な通信を提供する再充電可能な電池によって提供され得る。インプラント型生体医療機器１２の治療機能は中断されるべきではないので、治療機能のために提供される電力は中断されるべきではない。治療機能のための継続的な電力供給を確保するために、いくつかの実施形態では、治療機能のために電力を供給するものと、それとは別の通信を行うためのものといったように別個の電池を備えている。他の実施形態では、単一の再充電式電池を仮想的に分割することができ、その第１の電池区画を治療機能のための電力供給用に確保し、第２の電池区画を通信を行うためのものとして確保する。例えば、第２の電池区画が消耗した状態で通信が予定されている場合、治療機能のために供給するための第１の電池区画に蓄えられているエネルギーを確保するべく、予定されている通信を後の時間枠に再スケジュールすることができる。
そのような直接的な通信に必要となる電力をさらに削減するために、これらの直接的な通信は、限られた時間枠に限定することができる。例えば、インプラント型生体医療機器１２は、ＩＰアドレスを有することができるＷｅｂサイト２６がそれに通信を送信しているかどうかを判断するため、またはＩＰアドレスを有することができるＷｅｂサイト２６に通信を送信するために、５分ごとの短時間の時間枠で受信機をウェイクアップ（起動）することができる。ＩＰアドレスを有することができるＷｅｂサイト２６は、インプラント型生体医療機器１２との送信および受信を同期させるように、そのような通信のスケジュールを維持することができる。
他の省電力手段も、そのような直接的な通信を促進し得る。例えば、患者１０の体内の深くに植え込まれたインプラント型生体医療機器の場合、そのような深く植え込まれた生体医療機器の通信アンテナは、患者の皮膚層の直下に皮下配置することができる。通信アンテナのそのような配置は、より深く埋め込まれたアンテナに必要とされるよりも、所定の信号強度に対しての電力要求を低くすることができる。このようなアンテナの構成は、２０１９年３月１５日に出願されたYatheendhar D. Manickaによる「Subcutaneous Device for Monitoring and/or Providing Therapies」と題された米国特許出願１６／３５５，２３６に開示されており、その全体が参照により本明細書に組み込まれる。
本発明を例示的な実施形態を参照して説明してきたが、当業者であれば、本発明の範囲を逸脱することなく、様々な変更を加えたり、その要素に同等のものを代用したりすることができることを理解できるであろう。さらに、本発明の本質的な範囲から逸脱することなく、特定の状況または材料を本発明の教示に適応させるために、多くの変更を行うことができる。したがって、本発明は、開示された特定の実施形態に限定されるものではなく、添付の請求項の範囲内に入るすべての実施形態を含むことを意図している。

Claims (20)

  1. リモートのインターネットに接続された装置がインプラント型生体医療機器を構成するのを容易にするための方法であって、
    ＩＰアドレスを有することができるインターネットサイトであり、かつ前記インプラント型生体医療機器に関連するインターネットサイトにおいて、前記インプラント型生体医療機器の仮想イメージをホストするステップと、
    前記インプラント型生体医療機器のための構成データを、前記ＩＰアドレスを有することができるインターネットサイトによって、及び前記リモートのインターネットに接続された装置から前記インターネットを介して、受信するステップと、
    ホストされた前記仮想イメージを、受信した前記構成データに基づいて更新するステップと、
    前記インプラント型生体医療機器の安全性を、更新された前記仮想イメージに基づいて検証するステップと、
    前記インプラント型生体医療機器の前記安全性が検証されたことに応答して、前記構成データを、前記ＩＰアドレスを有することができるインターネットサイトから前記インターネットを介して前記インプラント型生体医療機器に送信するステップと、
    を含む、方法。
  2. 請求項１に記載の方法において、前記構成データを送信するステップは、
    前記構成データが検証されたことに応答して、前記ＩＰアドレスを有することができるインターネットサイトから前記インターネットを介してゲートキーピング装置に前記構成データを送信するステップと、
    前記ゲートキーピング装置が前記インプラント型生体医療機器の所定の範囲内に在る場合に、受信した前記構成データを前記ゲートキーピング装置から前記インプラント型生体医療機器に無線によって送信するステップと、
    を含む、方法。
  3. 請求項２に記載の方法において、前記所定の範囲は、前記ゲートキーピング装置によって生成された磁界による前記インプラント型生体医療機器内のリードスイッチの駆動範囲の制限によって決定される、方法。
  4. 請求項２に記載の方法において、前記所定の範囲は、前記ゲートキーピング装置によって生成された磁界による前記インプラント型生体医療機器との間の近距離無線通信（ＮＦＣ：Near Field Communication）の範囲制限によって決定される、方法。
  5. 請求項２に記載の方法において、前記所定の範囲は、前記ゲートキーピング装置によって生成された磁界による前記インプラント型生体医療機器との間のＢｌｕｅｔｏｏｔｈ通信の範囲制限によって決定される、方法。
  6. 請求項２に記載の方法において、前記構成データを符号化するステップをさらに含む、方法。
  7. 請求項６に記載の方法において、前記構成データは、前記ゲートキーピング装置によって提供されたそれに対応する公開鍵と、さらに、前記ＩＰアドレスを有することができるインターネットサイトによって提供されたそれに対応する秘密鍵と、に基づき、公開鍵／秘密鍵による符号化を用いて符号化される、方法。
  8. 請求項６に記載の方法において、前記構成データは、通信時間と前記インプラント型生体医療機器の初期時間基準との間の時間差に少なくとも部分的に基づいて符号化される、方法。
  9. 請求項１に記載の方法において、
    前記リモートのインターネットに接続された装置から前記構成データを送信するリモートエンティティの許可を確認するステップであって、ホストされた前記仮想イメージの更新は、前記リモートエンティティの前記許可が確認されたことを条件とするステップをさらに含む、方法。
  10. 請求項１に記載の方法において、前記インプラント型生体医療機器の安全性を検証するステップは、更新された前記仮想イメージに基づいて前記インプラント型生体医療機器の方向的安全性を判定するステップであって、前記構成データの送信は前記方向的安全性について安全性が増加する方向となることが判定されたことを条件とするステップを含む、方法。
  11. リモートのインターネットに接続された装置がインプラント型生体医療機器を構成するのを容易にするためのシステムであって、
    前記インターネットと通信するホスティングコンピュータと、
    前記システムに実行させる命令が符号化されたコンピュータ可読メモリであって、
    ＩＰアドレスを有することができるインターネットサイトであり、かつ前記インプラント型生体医療機器に関連するインターネットサイトにおいて、前記インプラント型生体医療機器の仮想イメージをホストする命令と、
    前記インプラント型生体医療機器のための構成データを、前記ＩＰアドレスを有することができるインターネットサイトによって、及び前記リモートのインターネットに接続された装置から前記インターネットを介して、受信する命令と、
    ホストされた前記仮想イメージを、受信した前記構成データに基づいて更新する命令と、
    前記インプラント型生体医療機器の安全性を、更新された前記仮想イメージに基づいて検証する命令と、
    前記インプラント型生体医療機器の前記安全性が検証されたことに応答して、前記構成データを、前記ＩＰアドレスを有することができるインターネットサイトから前記インターネットを介して前記インプラント型生体医療機器に送信する命令と、
    が符号化されたコンピュータ可読メモリと、を備える、システム。
  12. 請求項１１に記載のシステムにおいて、前記構成データを送信する命令は、
    前記構成データが検証されたことに応答して、前記ＩＰアドレスを有することができるインターネットサイトから前記インターネットを介してゲートキーピング装置に前記構成データを送信する命令と、
    受信した前記構成データを前記ゲートキーピング装置から前記インプラント型生体医療機器に送信する命令と、
    を含む、システム。
  13. 請求項１２に記載のシステムにおいて、前記所定の範囲は、前記ゲートキーピング装置によって生成された磁界による前記インプラント型生体医療機器内のリードスイッチの駆動範囲の制限によって決定される、システム。
  14. 請求項１２に記載のシステムにおいて、前記所定の範囲は、前記ゲートキーピング装置によって生成された磁界による前記インプラント型生体医療機器との間の近距離無線通信（ＮＦＣ：Near Field Communication）の範囲制限によって決定される、システム。
  15. 請求項１２に記載のシステムにおいて、前記所定の範囲は、前記ゲートキーピング装置によって生成された磁界による前記インプラント型生体医療機器との間のＢｌｕｅｔｏｏｔｈ通信の範囲制限によって決定される、システム。
  16. 請求項１２に記載のシステムにおいて、前記システムに実行させる命令が符号化された前記コンピュータ可読メモリは、前記構成データを符号化する命令を含む、システム。
  17. 請求項１６に記載のシステムにおいて、前記構成データは、前記ゲートキーピング装置によって提供されたそれに対応する公開鍵と、さらに、前記ＩＰアドレスを有することができるインターネットサイトによって提供されたそれに対応する秘密鍵と、に基づき、公開鍵／秘密鍵による符号化を用いて符号化される、システム。
  18. 請求項１６に記載のシステムにおいて、前記構成データは、通信時間と前記インプラント型生体医療機器の初期時間基準との間の時間差に少なくとも部分的に基づいて符号化される、システム。
  19. 請求項１１に記載のシステムにおいて、
    前記リモートのインターネットに接続された装置から前記構成データを送信するリモートエンティティの許可を確認する命令であって、ホストされた前記仮想イメージの更新は、前記リモートエンティティの前記許可が確認されたことを条件とする命令をさらに含む、システム。
  20. 請求項１１に記載のシステムにおいて、前記インプラント型生体医療機器の安全性を検証する命令は、更新された前記仮想イメージに基づいて前記インプラント型生体医療機器の方向的安全性を判定する命令であって、前記構成データの送信は前記方向的安全性について安全性が増加する方向となることが判定されたことを条件とする命令を含む、システム。
JP2021184837A 2020-11-25 2021-11-12 インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 Pending JP2022083988A (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US17/105,421 US20220161038A1 (en) 2020-11-25 2020-11-25 Secure communications between an implantable biomedical device and authorized parties over the internet
US17/105,421 2020-11-25

Publications (1)

Publication Number Publication Date
JP2022083988A true JP2022083988A (ja) 2022-06-06

Family

ID=78822533

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2021184837A Pending JP2022083988A (ja) 2020-11-25 2021-11-12 インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信

Country Status (3)

Country Link
US (1) US20220161038A1 (ja)
EP (1) EP4007332A1 (ja)
JP (1) JP2022083988A (ja)

Family Cites Families (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6497655B1 (en) * 1999-12-17 2002-12-24 Medtronic, Inc. Virtual remote monitor, alert, diagnostics and programming for implantable medical device systems
US20050240246A1 (en) * 1999-12-24 2005-10-27 Medtronic, Inc. Large-scale processing loop for implantable medical devices
US7565197B2 (en) * 2004-06-18 2009-07-21 Medtronic, Inc. Conditional requirements for remote medical device programming
WO2006010166A2 (en) * 2004-07-20 2006-01-26 Medtronic, Inc. Command sequencing and interlocks for a remotely programmable implantable device
US9440084B2 (en) * 2008-07-11 2016-09-13 Medtronic, Inc. Programming posture responsive therapy
US8712541B2 (en) * 2011-01-28 2014-04-29 Medtronic, Inc. Far field telemetry operations between an external device and an implantable medical device during recharge of the implantable medical device via a proximity coupling
US8707040B2 (en) * 2011-10-31 2014-04-22 Neuropace, Inc. Establishing secure communication between an implantable medical device and an external device
US9452293B2 (en) * 2014-06-19 2016-09-27 Inspire Medical Systems, Inc. Hybrid communication channel for communicating with an implantable medical device
US11083852B2 (en) * 2017-12-12 2021-08-10 Bigfoot Biomedical, Inc. Insulin injection assistance systems, methods, and devices
US11259871B2 (en) * 2018-04-26 2022-03-01 Vektor Medical, Inc. Identify ablation pattern for use in an ablation
US11090496B2 (en) * 2018-11-02 2021-08-17 Advanced Neuromodulation Systems, Inc. Implantable medical device using permanent and temporary keys for therapeutic settings and related methods of operation
US20220035900A1 (en) * 2018-12-12 2022-02-03 Biotronik Se & Co. Kg Enhanced Authentication for IMD Communication
US20210343017A1 (en) * 2020-04-30 2021-11-04 Medtronic, Inc. Post operative implantation site monitoring and medical device performance

Also Published As

Publication number Publication date
US20220161038A1 (en) 2022-05-26
EP4007332A1 (en) 2022-06-01

Similar Documents

Publication Publication Date Title
JP7161575B2 (ja) 医療装置と安全な通信のためのプラットフォーム
US11813465B2 (en) Facilitating trusted pairing of an implantable device and an external device
Zheng et al. Ideas and challenges for securing wireless implantable medical devices: A review
US8868201B2 (en) Adaptively configuring the validation timeout of a session key used for securing communication with an implantable medical device
US9781086B2 (en) System and method for confirming identity and authority by a patient medical device
Challa et al. Authentication protocols for implantable medical devices: Taxonomy, analysis and future directions
US20080044025A1 (en) Secure Telemetric Link
CN108605045A (zh) 可植入医疗设备系统中的安全授权
WO2017098402A1 (en) Secure wireless communication for an implantable component
Park Security mechanism based on hospital authentication server for secure application of implantable medical devices
JP2010536420A (ja) 能動的移植型医療デバイス上の体内データセキュリティの提供
EP2060058A2 (en) Secure telemetric link
CN113631221A (zh) 植入装置与设备之间的安全无线通信
JP2022083990A (ja) インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信
JP2023530732A (ja) 医療装置間のセキュアな相互運用性のための方法およびシステム
JP2022083988A (ja) インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信
JP2022083989A (ja) インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信
Duttagupta et al. HAT: Secure and Practical Key Establishment for Implantable Medical Devices
Ninglekhu Securing implantable cardioverter defibrillators using smartphones
US20240129141A1 (en) System and method for providing authenticated access between an implanted medical device and an external device
US20220355121A1 (en) System and method for identifying a recipient of an implantable sensory prosthesis
Zhang et al. OOBKey: Key Exchange with Implantable Medical Devices Using Out-Of-Band Channels
WO2023088768A1 (en) Secure byod programmer
WO2023031049A1 (en) Implantable energized medical device, related methods and kit
Marin et al. Secure remote reprogramming of implantable medical devices