JP2022083990A - インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 - Google Patents
インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 Download PDFInfo
- Publication number
- JP2022083990A JP2022083990A JP2021184867A JP2021184867A JP2022083990A JP 2022083990 A JP2022083990 A JP 2022083990A JP 2021184867 A JP2021184867 A JP 2021184867A JP 2021184867 A JP2021184867 A JP 2021184867A JP 2022083990 A JP2022083990 A JP 2022083990A
- Authority
- JP
- Japan
- Prior art keywords
- implantable biomedical
- biomedical device
- gatekeeper
- communication
- gatekeeping
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
Images
Classifications
-
- A—HUMAN NECESSITIES
- A61—MEDICAL OR VETERINARY SCIENCE; HYGIENE
- A61N—ELECTROTHERAPY; MAGNETOTHERAPY; RADIATION THERAPY; ULTRASOUND THERAPY
- A61N1/00—Electrotherapy; Circuits therefor
- A61N1/18—Applying electric currents by contact electrodes
- A61N1/32—Applying electric currents by contact electrodes alternating or intermittent currents
- A61N1/36—Applying electric currents by contact electrodes alternating or intermittent currents for stimulation
- A61N1/372—Arrangements in connection with the implantation of stimulators
- A61N1/37211—Means for communicating with stimulators
- A61N1/37252—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data
- A61N1/37254—Pacemaker or defibrillator security, e.g. to prevent or inhibit programming alterations by hackers or unauthorised individuals
-
- A—HUMAN NECESSITIES
- A61—MEDICAL OR VETERINARY SCIENCE; HYGIENE
- A61N—ELECTROTHERAPY; MAGNETOTHERAPY; RADIATION THERAPY; ULTRASOUND THERAPY
- A61N1/00—Electrotherapy; Circuits therefor
- A61N1/18—Applying electric currents by contact electrodes
- A61N1/32—Applying electric currents by contact electrodes alternating or intermittent currents
- A61N1/36—Applying electric currents by contact electrodes alternating or intermittent currents for stimulation
- A61N1/372—Arrangements in connection with the implantation of stimulators
- A61N1/37211—Means for communicating with stimulators
- A61N1/37252—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data
- A61N1/37282—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data characterised by communication with experts in remote locations using a network
-
- G—PHYSICS
- G16—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR SPECIFIC APPLICATION FIELDS
- G16H—HEALTHCARE INFORMATICS, i.e. INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR THE HANDLING OR PROCESSING OF MEDICAL OR HEALTHCARE DATA
- G16H40/00—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices
- G16H40/60—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices for the operation of medical equipment or devices
- G16H40/67—ICT specially adapted for the management or administration of healthcare resources or facilities; ICT specially adapted for the management or operation of medical equipment or devices for the operation of medical equipment or devices for remote operation
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/06—Authentication
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/50—Secure pairing of devices
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/60—Context-dependent security
- H04W12/63—Location-dependent; Proximity-dependent
-
- A—HUMAN NECESSITIES
- A61—MEDICAL OR VETERINARY SCIENCE; HYGIENE
- A61N—ELECTROTHERAPY; MAGNETOTHERAPY; RADIATION THERAPY; ULTRASOUND THERAPY
- A61N1/00—Electrotherapy; Circuits therefor
- A61N1/18—Applying electric currents by contact electrodes
- A61N1/32—Applying electric currents by contact electrodes alternating or intermittent currents
- A61N1/36—Applying electric currents by contact electrodes alternating or intermittent currents for stimulation
- A61N1/372—Arrangements in connection with the implantation of stimulators
- A61N1/37211—Means for communicating with stimulators
- A61N1/37252—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data
- A61N1/37264—Changing the program; Upgrading firmware
-
- A—HUMAN NECESSITIES
- A61—MEDICAL OR VETERINARY SCIENCE; HYGIENE
- A61N—ELECTROTHERAPY; MAGNETOTHERAPY; RADIATION THERAPY; ULTRASOUND THERAPY
- A61N1/00—Electrotherapy; Circuits therefor
- A61N1/18—Applying electric currents by contact electrodes
- A61N1/32—Applying electric currents by contact electrodes alternating or intermittent currents
- A61N1/36—Applying electric currents by contact electrodes alternating or intermittent currents for stimulation
- A61N1/372—Arrangements in connection with the implantation of stimulators
- A61N1/37211—Means for communicating with stimulators
- A61N1/37252—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data
- A61N1/37276—Details of algorithms or data aspects of communication system, e.g. handshaking, transmitting specific data or segmenting data characterised by means for reducing power consumption during telemetry
Landscapes
- Engineering & Computer Science (AREA)
- Health & Medical Sciences (AREA)
- Biomedical Technology (AREA)
- Life Sciences & Earth Sciences (AREA)
- Computer Security & Cryptography (AREA)
- Public Health (AREA)
- General Health & Medical Sciences (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Radiology & Medical Imaging (AREA)
- Animal Behavior & Ethology (AREA)
- Nuclear Medicine, Radiotherapy & Molecular Imaging (AREA)
- Veterinary Medicine (AREA)
- Heart & Thoracic Surgery (AREA)
- Biophysics (AREA)
- Epidemiology (AREA)
- Medical Informatics (AREA)
- Primary Health Care (AREA)
- General Business, Economics & Management (AREA)
- Business, Economics & Management (AREA)
- Measuring And Recording Apparatus For Diagnosis (AREA)
- Electrotherapy Devices (AREA)
Abstract
【課題】IPアドレスを有するリモートのインターネットを使用したWebサイトからインプラント型生体医療機器(IBD)への通信に対して安全なゲートキーピング機能を提供する装置および方法を提供する。【解決手段】ゲートキーピング装置はWebサイトから送信された通信内容を受信する。受信された通信内容は第1の符号化アルゴリズムを用いて符号化されている。ゲートキーピング装置は受信した通信内容を復号する。ゲートキーピング装置は次に、復号された通信内容を第2の符号化アルゴリズムを用いて符号化する。ゲートキーピング装置は第2の符号化アルゴリズムで符号化された通信内容をIBDに無線により中継する。幾つかの実施形態では、ゲートキーピング装置は前記Webサイトによって送信された通信のIPアドレスをIBDに対応する所定の静的IPアドレスと比較し、一致しない場合に、前記サイトによって送信された通信を拒否する。【選択図】図3
Description
関連出願の相互参照
本出願は、本出願と同時に出願された以下の米国特許出願に関連する。
1)米国特許出願番号 未確定、代理人整理番号 C729-012027、題名「Antennas for a Subcutaneous Device」、Yatheendhar D. Manickaによる。
2)米国特許出願番号 未確定、代理人整理番号 M999-012028、題名「Secure Communications between an Implantable Biomedical Device and Authorized Parties over the Internet」、Yatheendhar D. Manickaによる。
および、3)米国特許出願番号 未確定、代理人整理番号 M999-012029、題名「Secure Communications between an Implantable Biomedical Device and Authorized Parties over the Internet」、Yatheendhar D. Manickaによる。
上記の引用した米国特許出願および関連する米国特許出願のそれぞれは、参照によってその全体が本明細書に組み込まれる。
本出願は、本出願と同時に出願された以下の米国特許出願に関連する。
1)米国特許出願番号 未確定、代理人整理番号 C729-012027、題名「Antennas for a Subcutaneous Device」、Yatheendhar D. Manickaによる。
2)米国特許出願番号 未確定、代理人整理番号 M999-012028、題名「Secure Communications between an Implantable Biomedical Device and Authorized Parties over the Internet」、Yatheendhar D. Manickaによる。
および、3)米国特許出願番号 未確定、代理人整理番号 M999-012029、題名「Secure Communications between an Implantable Biomedical Device and Authorized Parties over the Internet」、Yatheendhar D. Manickaによる。
上記の引用した米国特許出願および関連する米国特許出願のそれぞれは、参照によってその全体が本明細書に組み込まれる。
さまざまな理由で患者を助けるために、多くの異なるタイプのインプラント型生体医療機器が使用される。幾つかは、例えば、関節置換、レンズ置換、ステントなどのような機械的な目的で使用される。また、他のインプラント型生体医療機器は、データ操作を行うため、電子的な処理機能を備えている。このような「スマート」なインプラント型生体医療機器は、生物学的機能を監視する、及び/又は、インプラント型生体医療機器が置かれたところの患者に治療法を提供する可能性がある。例えば、このような「スマート」なインプラント型生体医療機器には、心臓モニター、ペースメーカー、インプラント型除細動器、および神経刺激装置などがある。これらのインプラント型生体医療機器は、身体の生体計測値を検知でき、これらの生体計測値を診断または治療目的で使用することができる。例えば、このようなインプラント型生体医療機器は、治療目的で、電気刺激および/または薬物を身体に供給することができる。例えば、ペースメーカーは、患者の心拍数を検知し、心臓の鼓動が速すぎるか遅すぎるかを判断し、心臓に電気的な刺激を与えて、心臓の各部屋の鼓動を速めたり遅めたりすることができる。インプラント型除細動器は、患者の心拍数を検知して不整脈を検出し、心拍数を正常化するように患者に電気的なショックを与えることができる。
そのような「スマート」なインプラント型生体医療機器は、検知したバイオメトリック(生体計測)データを外部に伝達し、またそこから様々なデータを受信するように構成することができる。インプラント型生体医療機器への及び/又はインプラント型生体医療機器からのそのようなデータ通信は、様々なリスクをもたらす可能性がある。例えば、検知したバイオメトリックデータには、患者にとってプライベートな情報が含まれている可能性があり、したがって、そのような検知したバイオメトリックデータの通信は、意図されて許可された受信者のみがこの機密データを受信できるように安全であるべきである。さらに、「スマート」なインプラント型生体医療機器に送信された構成データは、再構成後の機器の動作および/または操作に変更をもたらす可能性がある。このような変更は、「スマート」なインプラント型生体医療機器が植え込まれた患者のケアに責任を持つ、許可された人のみが指示すべきである。このような許可された人には、例えば、患者の医師および/またはインプラント型生体医療機器の製造者が含まれる。
装置および関連する方法は、インターネットプロトコル(IP)アドレスを有するリモートのインターネットを使用したWebサイトからインプラント型生体医療機器への通信に対して安全なゲートキーピング機能を提供する方法に関するものである。方法は、ゲートキーピング装置によって、リモートのインターネットを使用したWebサイトにより送信された通信内容を受信することを含み、その受信された通信内容は、第1の符号化アルゴリズムを用いて符号化されている。方法は、ゲートキーピング装置によって、その受信した通信内容を復号することを含む。方法は、ゲートキーピング装置によって、その復号された通信内容を第2の符号化アルゴリズムを用いて符号化することを含む。方法は、ゲートキーピング装置によって、その第2の符号化アルゴリズムを用いて符号化された通信内容を、インプラント型生体医療機器に無線により中継することを含む。
いくつかの実施形態は、インターネットプロトコル(IP)アドレスを有するリモートのインターネットを使用したWebサイトからインプラント型生体医療機器への通信に対して安全なゲートキーピング機能を提供するシステムに関するものである。システムは、インプラント型生体医療機器およびインターネットの両方と通信するゲートキーピング装置と、コンピュータ可読メモリとを含む。コンピュータ可読メモリには、ゲートキーピング装置によって、システムに、リモートのインターネットを使用したWebサイトによって送信された通信内容を受信させる命令が符号化されている。無線により受信された通信内容は、第1の符号化アルゴリズムを用いて符号化されている。コンピュータ可読メモリには、ゲートキーピング装置によって、システムに、その受信した通信内容を復号させる命令が符号化されている。コンピュータ可読メモリには、ゲートキーピング装置によって、システムに、その復号された通信内容を第2の符号化アルゴリズムを用いて符号化させる命令が符号化されている。コンピュータ可読メモリには、ゲートキーピング装置によって、第2の符号化アルゴリズムを用いて符号化された通信内容をインプラント型生体医療機器に無線により中継することをシステムに実行させる命令が符号化されている。
装置および関連する方法は、インターネットを介した、インプラント型生体医療機器と様々な許可されたエンティティ(実在の相手)との間の通信に関するものである。これらの装置および関連する方法は、インプラント型生体医療機器とリモートのIPアドレスを持つことができるインターネット上のエンティティとの間の通信を安全にする。インプラント型生体医療機器への、および/または、インプラント型生体医療機器からのこのような通信のためのセキュリティは、例えば、インプラント型生体医療機器の近接ペアリング、方向的安全性、および仮想ミラーリング、などの様々なセキュリティ手段を介して確保される。インプラント型生体医療機器と、インプラント型生体医療機器の製造者やインプラント型生体医療機器が植え込まれた患者の医師など、これらの許可されたIPアドレスを持つことができる様々なエンティティとの間の通信は、ゲートキーピング装置、例えば患者の携帯電話などのペアリングされた近距離通信装置を介して行うことができる。ゲートキーピング装置がインプラント型生体医療機器に近接している場合にのみ、そのような通信の一部が許可される。さらに、インプラント型生体医療機器の更新または再構成などの通信は、患者にとって安全性が高まる(すなわち、インプラント型機器が患者にとってより安全になる)方向のそれら更新のみに制限することができる。さらに、これらの更新および/または再構成は、実際のインプラント型生体医療機器をミラーリングする仮想装置上で最初に実行される。このような更新および/または再構成は、インプラント型生体医療機器に対するこれらの変更における安全性の向上を確保するために、モデル化および/またはシミュレートすることができる。例えば、機器の認証や、公開・非公開の暗号化鍵を用いた符号化、また、イントラネット、バーチャル・プライベート・ネットワーク、ファイアウォールなどを介した一部の通信の制限など、様々な追加の方法を用いて、セキュリティ(安全性)をさらに強化することができる。
図1は、インプラント型生体医療機器とリモートのインターネットを使用したエンティティとの間のインターネットプロトコル(IP)による通信を示す概略図である。図1において、患者10は、皮下に植え込まれたインプラント型生体医療機器12を有している。患者10は、ゲートキーピング装置14を手に持っている。図に示した実施形態では、ゲートキーピング装置14はスマートフォンであるが、ゲートキーピング装置は、例えば、そのようなゲートキーピング機能を実行するために特別に製造された専用のゲートキーピング装置のような、スマートフォンとは異なるものもあり得る。ゲートキーピング装置14は、インプラント型生体医療機器12とインターネットクラウド16との間の通信を手助けするものとして示されている。ゲートキーピング装置14は、図に示した実施形態ではスマートフォンであるため、インターネットクラウド16とゲートキーピング装置14との間の通信は、携帯電話塔18を介して送信される。ゲートキーピング装置14は、ゲートキーピング装置14が、インターネットクラウド16とインプラント型生体医療機器12との間の様々な通信の門番(ゲートキーパー)として動作するため、そのように呼ばれる(すなわち、「ゲートキーピング装置」)。無数の他の装置およびシステムは、例えば、ホスティングサーバ20、医療機器製造者22、およびパーソナルコンピュータ24など、インターネットクラウド16と通信するように構成される。ホスティングサーバ20は、例えば、インターネット上でIPアドレスを有することができるWebサイト26をホスト(提供)するように構成することができる。パーソナルコンピュータ24は、例えば、患者10の医師26が使用することができる。
IPアドレスを持つことができるWebサイト26は、患者10に植え込まれたインプラント型生体医療機器12を正確にミラーリングするように構成された仮想装置30を含む。ホスティングサーバ20は、仮想装置30を使用して、インプラント型生体医療機器12の動作をモデル化またはシミュレーションするように構成される。このようなモデリングは、実際のインプラント型生体医療機器12の更新および/または再構成が実行される前に、インプラント型生体医療機器12の安全な動作を保証するために実行することができる。IPアドレスを有することができるWebサイト26は、患者10に植え込まれた特定のインプラント型生体医療機器であるインプラント型生体医療機器12に関連付けられたIPアドレスを有することができる。いくつかの実施形態では、IPアドレスを有することができるWebサイト26のIPアドレスは、秘密の(例えば、製造者、およびおそらく患者および/または医師によってのみ知られている)静的IPアドレスである。インプラント型生体医療機器12も、秘密の静的IPアドレスを有することができる。ゲートキーピング装置は、ゲートキーピング装置の構成に応じて、静的IPアドレスまたは動的IPアドレスのいずれかを有することができる。
仮想装置30がインプラント型生体医療機器12に関連付けられているので、IPアドレスを有することができるWebサイト26は、インプラント型生体医療機器12と通信する必要がある人々に対して、インプラント型生体医療機器12であるかのように見せることができる。例えば、医師28が患者10のインプラント型生体医療機器12の構成を更新することを望む場合、医師28は、そのような所望の更新された構成を、インプラント型生体医療機器12と関連付けられたWebサイト26に伝えることができる。IPアドレスを有することができるWebサイト26は、次に、仮想装置30のモデリングおよび/またはシミュレーションに基づいて、そのような更新および/または再構成されたインプラント型生体医療機器12の安全性を、将来実際にインプラント型生体医療機器12を更新または再構成するよりも前に検証することができる。このような安全性の検証を受けた上で、IPアドレスを有することができるWebサイト26は、次に、ゲートキーピング装置14を介して実際のインプラント型生体医療機器12に構成データを送信することができる。このようにして、医師28には、IPアドレスを有することができるWebサイト26と通信しているときに、医師28がインプラント型生体医療機器12と通信しているように見える。仮想装置30については、以下の 「仮想イメージ(インプラント型生体医療機器の鏡像の相対物)」と題された部分でより詳細に説明される。
そのような更新および再構成のための安全性の方向は、更新された仮想装置30のシミュレーションに基づいて、IPアドレスを有することができるWebサイト26によって決定され得る。安全性の方向が改善される(すなわち、インプラント型生体医療機器が、更新または再構成の前よりも更新または再構成の後に、より安全な方法で動作する)場合、更新または再構成は、IPアドレスを有することができるWebサイト26からインプラント型生体医療機器12に(例えば、ゲートキーピング装置14を介して)送信される。しかしながら、安全性の方向性が改善されない(すなわち、インプラント型生体医療機器が、更新または再構成の後に、更新または再構成の前よりも安全ではない方法で動作する)場合、更新または再構成は、IPアドレスを有することができるWebサイト26によって送信されない。方向的安全性については、以下の「方向的安全性」と題された部分でより詳細に説明される。ゲートキーピング装置14は、様々な方法およびプロトコルを介して、インプラント型生体医療機器12とインターネットクラウド16との間の通信にセキュリティ(安全性)を提供する。例えば、ゲートキーピング装置14は、以前にインプラント型生体医療機器12とペアリングされている。生体医療機器12は、例えば、ゲートキーピング装置14など、それにペアリングされた装置からは発信されていない、試みられたすべての通信を無視するように構成することができる。インプラント型生体医療機器12と1つまたはいくつかの装置を安全にペアリングすることで、許可のない装置からの不正な通信を防ぐことができる。さらに、インプラント型生体医療機器への、および/または、インプラント型生体医療機器からの通信は、近接要件によって制限することができる。例えば、インプラント型生体医療機器12は、インプラント型生体医療機器12から所定の範囲内にある装置とのみ通信するように構成することができる。インプラント型生体医療機器12への、および/または、インプラント型生体医療機器12からの通信を近接制限する方法については、以下で説明する。
仮想装置30およびゲートキーピング装置14を使用することに加えて、他のセキュリティ手段は、インプラント型生体医療機器12と許可された人との間の通信にさらなる安全性を提供する。例えば、ゲートキーピング装置とIPアドレスを有することができるWebサイト26との間のデータ暗号化は、そのような通信の許可された送信元および送信先を確認および/または検証するために使用することができ、また、望ましくない人物がそのような機密および/または私的なデータを解読することを防止することができる。許可されたエンティティの認証は、インプラント型生体医療機器12と通信する権限を有するエンティティの数を制限するように行うこともできる。このようなゲートキーピングのセキュリティ対策については、以下の「近接ペアリング」と題された部分でさらに説明される。
図2は、ゲートキーピング装置とインプラント型生体医療機器とを安全にペアリングするための方法を示すフローチャートである。図2において、方法32は、ゲートキーピング装置14(図1に示される)のプロセッサの視点から説明される。いくつかの実施形態では、方法32は、インプラント型生体医療機器12が患者10に植え込まれる前または後の時点で実行される。そのような安全なペアリングは、例えば、植え込みが行われる病院で、または植え込みが行われた後に医師のオフィスで行うことができる。方法32は、ステップ34から始まり、同ステップで、ゲートキーピング装置14が患者10と関連付けられる。そのような関連付けは、例えば、患者14のみがゲートキーピング装置14を操作できるような、ゲートキーピング装置14のパスワードまたは指紋による保護操作を含むことができる。ゲートキーピング装置14が患者10と関連付けられた後、方法32はステップ36に進み、同ステップで、通信ソフトウェアが、ゲートキーピング装置14によって受信されるとともに、ゲートキーピング装置14にインストール(導入)される。このような通信ソフトウェアは、インターネットを介してインプラント型生体医療機器10とリモートの許可されたエンティティとの間の通信を容易にするために使用される、通信、符号化、許可の検証、およびその他の動作をサポートする。
ゲートキーピング装置14をそのように構成した後、方法32はステップ38に進み、同ステップで、ゲートキーピング装置14のプロセッサがゲートキーピング装置の場所を(例えば、GPS位置情報システムを介して)決定する。次に、ステップ40において、プロセッサ36は、決定された場所を、ゲートキーピング装置14をインプラント型生体医療機器10とペアリングするための許可された場所または複数の許可された場所と比較する。ステップ40において、決定された場所がペアリングのための許可された場所または複数の許可された場所に対応しない場合には、方法32は終了する。しかしながら、ステップ40において、決定された場所がペアリングのための認可された場所または複数の許可された場所に対応する場合は、ステップ42で、ゲートキーピング装置14は、メディアアクセスコントロール(MAC)アドレスをインプラント型生体医療機器10に送信する。インプラント型生体医療機器10に送信されたMACアドレスは、インプラント型生体医療機器10との通信にゲートキーピング装置14が使用する通信チャネルに対応する。
方法32は、次にステップ44に進み、同ステップで、ゲートキーピング装置14がインプラント型生体医療機器10に関連付けられた一意識別子を受信する。そのような一意識別子は、製造者、医師、または病院によって提供され得るインプラント型生体医療機器12によってブロードキャストされ得る。例えば、そのような一意識別子は、ゲートキーピング装置14のMACアドレスを受信することに応答して、インプラント型生体医療機器10によって送信され得る。いくつかの実施形態では、そのような一意識別子は、ゲートキーピング装置14に手動でキー入力することができ、または何らかの他のソース(例えば、医師28が使用するパーソナルコンピュータ24)から通信チャネルを介してゲートキーピング装置14に送信することができる。方法32は、次にステップ46に進み、同ステップで、ゲートキーピング装置は、インプラント型生体医療機器12に対応するWebサイト26に関連したデータを提供される。そして、ステップ48において、ゲートキーピング装置は、IPアドレスを有することができるWebサイトと通信する。ゲートキーピング装置14は、例えば、公開/非公開の符号化アルゴリズムを用いて通信する。ゲートキーピング装置14は、ゲートキーピング装置14に関連するWebサイト26の情報を送信して、IPアドレスを有することができるWebサイト26が、ゲートキーピング装置14がWebサイト26と通信することを許可されていることを検証できるようにしてもよい。ゲートキーピング装置14は、この時点で、IPアドレスを有することができるWebサイト46とインプラント型生体医療機器12との間の通信のためにゲートキーピング機能を提供するように構成されているため、方法32は終了する。
図3~6では、図1に示したインプラント型生体医療機器12と、様々な許可されたユーザとの間の通信に使用される通信方法について説明する。図3~4では、ゲートキーピング装置14の通信方法について説明する。図5では、リモートのインターネットに接続された装置がインプラント型生体医療機器を構成することを容易にするための方法について説明する。
図3は、インプラント型生体医療機器からリモートのインターネットを使用したWebサイトへの通信において安全なゲートキーピング機能を提供するための方法を示すフローチャートである。図3において、方法50は、ゲートキーピング装置14(図1に示される)のプロセッサの視点から説明される。方法50は、ステップ52から始まり、同ステップで、ゲートキーピング装置14はインターネットを使用したWebサイトからの通信を受信するのを待つ。ステップ52において、リモートのインターネットを使用したWebサイトから通信を受信しない場合、方法50はステップ52にとどまる(または、ステップ52へ戻る)。しかしながら、ステップ52において、ゲートキーピング装置14がリモートのインターネットを使用したWebサイトから通信を受信した場合、ゲートキーピング装置14はステップ54に進む。
ステップ54において、ゲートキーピング装置14は、受信した通信に対応するIPアドレスを、インプラント型生体医療機器12に対応するWebサイトである、IPアドレスを有することができるWebサイト26に対応するIPアドレスと比較する。ステップ54において、ゲートキーピング装置14は、受信した通信が、IPアドレスを有することができるWebサイト26に対応していないIPアドレスからのものであると判断した場合、方法50はステップ52へ戻り、インターネットによる別の通信を待つ。しかしながら、ステップ54において、ゲートキーピング装置14が、受信した通信がIPアドレスを有することができるWebサイト26に対応するIPアドレスからのものであると判断した場合、方法50はステップ56に進む。
ステップ56において、ゲートキーピング装置は、IPアドレスを有することができるWebサイト26によって通信の中で送信された公開鍵およびゲートキーピング装置14の秘密鍵を使用して、受信した通信内容を復号する。通信内容を復号するためにそのような公開鍵および秘密鍵を使用することにより、通信が、IPアドレスを有することができるWebサイト26によって発信され、ゲートキーピング装置14によって受信されることを意図したものであることが保証される。次に、ステップ58において、ゲートキーピング装置14は、インプラント型生体医療機器10によって使用される暗号化アルゴリズムに従って、復号された通信内容を符号化する。次に、ステップ60において、ゲートキーピング装置は、近接試験を行う。近接試験は、ゲートキーピング装置14がインプラント型生体医療機器10から所定の距離内にあるかどうかを判断するものである。このような近接試験については、以下で説明する。ステップ60において、ゲートキーピング装置がインプラント型生体医療機器12に近接していないとゲートキーピング装置が判断した場合、ゲートキーピング装置14がインプラント型生体医療機器12に近接していると判断するまで、方法50はステップ60にとどまる。しかしながら、ステップ60において、ゲートキーピング装置がインプラント型生体医療機器12に近接しているとゲートキーピング装置が判断した場合、方法50はステップ62に進む。
ステップ62において、ゲートキーピング装置14は、符号化された通信内容をインプラント型生体医療機器12に送信する。次に、方法50はステップ64に進み、同ステップで、ゲートキーピング装置14は、インプラント型生体医療機器12からの確認の通信を待つ。ステップ64において、ゲートキーピング装置14が所定の時間内にインプラント型生体医療機器12から確認の通信を受信しない場合、方法50はステップ60へ戻り、ゲートキーピング装置14は再び近接試験を実行する。しかしながら、ステップ64において、ゲートキーピング装置14が所定の時間内にインプラント型生体医療機器12から確認の通信を受信した場合、方法50はステップ66に進み、同ステップで、ゲートキーピング装置14は、確認の通信内容を符号化して、IPアドレスを有することができるWebサイト26に送信する。その後、方法50は、ステップ52へ戻り、インターネットを使用したWebサイトからの別の通信を待つ。
図4は、リモートのインターネットを使用したWebサイトからインプラント型生体医療機器への通信において安全なゲートキーピング機能を提供するための方法を示すフローチャートである。図4において、方法68は、ゲートキーピング装置14(図1に示される)のプロセッサの視点から説明される。方法68は、ステップ70から始まり、同ステップで、ゲートキーピング装置14は、インプラント型生体医療機器12からの通信を受信するのを待つ。ステップ70において、インプラント型生体医療機器12から通信を受信しない場合、方法68は、ステップ70にとどまる(または、ステップ70へ戻る)。しかしながら、ステップ70において、ゲートキーピング装置14がインプラント型生体医療機器12から通信を受信した場合、ゲートキーピング装置14はステップ72に進む。
ステップ72において、ゲートキーピング装置14は、インプラント型生体医療機器12から受信した通信内容を復号する。次に、ステップ74において、ゲートキーピング装置14は、確認をインプラント型生体医療機器12に送信する。方法68は、次にステップ76に進み、同ステップで、ゲートキーピング装置は、受信した通信内容がインプラント型生体医療機器12によって送信されたことの真正性を確認する。このような真正性の確認については、以下でより詳細に説明する。ステップ76において、受信した通信内容の真正性が確認されない場合、方法68は、ステップ70へ戻り、別の通信を待つ。しかしながら、ステップ76において、受信した通信内容の真正性が確認された場合、方法68はステップ78に進み、同ステップで、ゲートキーピング装置14は、ゲートキーピング装置14とIPアドレスを有することができるWebサイト26との間の通信に使用される符号化アルゴリズムを使用して、復号された通信内容を符号化する。次に、ステップ80において、ゲートキーピング装置は、符号化された通信内容をIPアドレスを有することができるWebサイト26に送信する。方法68は、その後ステップ70へ戻り、同ステップで、ゲートキーピング装置は、インプラント型生体医療機器12によって送信される別の通信を待つ。
図5は、インターネットに接続されたリモートの装置がインプラント型生体医療機器を構成するのを容易にするための方法を示すフローチャートである。図5において、方法82は、IPアドレスを有することができるWebサイト26をホストする、ホスティングサーバ20(図1に示される)のプロセッサの視点から説明される。方法82は、ステップ84から始まり、同ステップで、ホスティングサーバ20は、インプラント型生体医療機器12の仮想イメージ30を、それに関連するWebサイト26においてホストする。Webサイト26はIPアドレスを有することができる。インプラント型生体医療機器12のそのような仮想イメージ30は、対応する実際のインプラント型生体医療機器12と同じように動作または操作するように構成することができる。次に、方法82はステップ86に進み、同ステップで、IPアドレスを有することができるWebサイト26が、インターネットを介してリモートのインターネットに接続された装置から、IPアドレスを有することができるWebサイト26におけるインプラント型生体医療機器12のための構成データを受信する。次に、ステップ88において、ホスティングコンピュータ20は、リモートのインターネットに接続された装置から構成データを送信するリモートエンティティの許可を確認する。ステップ88において許可が確認されていない場合、方法82はステップ86に戻り、インプラント型生体医療機器12のための構成データを含む別の通信を受信するのを待つ。
しかしながら、ステップ88において許可が確認された場合、方法82はステップ90に進み、同ステップで、ホスティングサーバ20が仮想イメージ30を更新する。方法82は、次にステップ92に進み、同ステップで、インプラント型生体医療機器12の安全性が判定される。安全性は、更新された仮想イメージ30に基づいて判定される。いくつかの実施形態では、仮想イメージ30のシミュレーションが行われる。このような安全性の判定は、方向的安全性の判定、即ちこのような更新によって、安全性が改善されるのか、または損なわれるのか?を含むことができる。いくつかの実施形態では、方向的安全性が改善される場合にのみ、実際のインプラント型生体医療機器12において更新が許可される。いくつかの実施形態では、実際のインプラント型生体医療機器10で更新が実行されることが許可される前に、後の更新のための待ち時間が必要とされる。ステップ92において、更新の安全性の要件が満たされていない場合、方法82はステップ94に進み、同ステップで、ホスティングサーバ20は仮想イメージ30を更新前の構成に復元し、その後、方法82はステップ86へ戻る。
しかしながら、ステップ92において、更新の安全性の要件が満たされていない場合、方法82はステップ96に進み、同ステップで、ホスティングサーバ20が、インターネットを介してIPアドレスを有することができるWebサイト26からインプラント型生体医療機器12に送信する。このような送信は、IPアドレスを有することができるWebサイト26と、インプラント型生体医療機器12との全ての通信のためのゲートキーパーとして機能するゲートキーピング装置14との間の送信に使用される暗号化方法を介して符号化される。方法82は、その後、ステップ86へ戻り、同ステップで、リモートのインターネットに接続された装置からの別の通信の受信を待つ。
図2~5に対応する方法において記載される様々な符号化、許可、検証、およびその他のセキュリティ対策について、以下でより詳細に説明する。様々な実施形態では、上記の方法32、50、68、および82の1つまたは全てにおいて、より多くの又は少ない動作ステップが用いられる。上記のこれらの方法は、ゲートキーピング装置14のゲートキーピング機能およびホスティングサーバ20のゲートキーピング機能の例示的な実施形態を説明する。ゲートキーピング装置14は、許可されたエンティティのみがデータ(例えば、構成データ)をインプラント型生体医療機器12に送信できることを保証する。同様に、ゲートキーピング装置14は、ゲートキーピング装置が、そのような通信がインプラント型生体医療機器12によって送信されたと判断できる場合にのみ、インプラント型生体医療機器12から受信した通信を中継する。ホスティングサーバ20は、構成の更新の安全性を確保し、そこからのインプラント型生体医療機器への通信を制限する。
近接ペアリング(Proximal Pairing)
近接ペアリングは、インプラント型生体医療機器12とリモートの許可されたエンティティとの間の一部または全ての通信が、インプラント型生体医療機器12と近接してペアリングされているゲートキーピング装置14を介して行われることを要求することによって、高レベルのセキュリティを提供するために使用することができる。ゲートキーピング装置14は、インプラント型生体医療機器12との間の通信を、インプラント型生体医療機器12に近接し、その通信を行うことを許可されているペアリングされた(すなわち、インプラント型生体医療機器とペアリングされた)装置のみに制限することによって、通信にセキュリティを提供することができる。そのような構成されて許可された装置のみが、そして、構成されて許可された装置がインプラント型生体医療機器12に近接している場合にのみ、インプラント型生体医療機器12とリモートの許可されたエンティティとの間のこれらの通信を手助けすることができる。インプラント型生体医療機器12は、例えばゲートキーピング装置14などの対になる近接デバイスとの無線通信の範囲が限定されるように構成することができる。このようにして、そのような対になった近接デバイスは、それが対になっているインプラント型生体医療機器12への及び/又はそこからの通信のゲートキーパーとして動作することができる。通信がそのようなペアになった近接デバイスによって中継されることを要求することによって、そのようなゲートキーピングの役割は、許可されたリモートエンティティによって行われていない、インプラント型生体医療機器12への及び/又はからの通信の試みを阻止することができる。
様々なタイプの装置が、インプラント型生体医療機器12とペアリングを行うことができる。例えば、インプラント型生体医療機器12の製造者は、そのようなゲートキーピングの役割のために特別に設計された補完的なペアリング装置を提供することができる。そのようなゲートキーピング装置のための例示的なペアリング操作を以下に説明する。いくつかの実施形態では、患者10の携帯電話は、これらのゲートキーピング動作を実行するように構成することができる。様々な実施形態において、インプラント型生体医療機器12と、ペアリングされた近接デバイスとの間の通信は、様々なプロトコルを用いて行うことができる。例えば、近接デバイスと皮下インプラント型生体医療機器との間の近距離通信を行う任意のプロトコルを使用することができる。そのような通信プロトコルの幾つかには、Bluetooth(登録商標)、Zigbee(登録商標)、NFC(Near-Field Communication/近距離無線通信)、WiFi(Wide-Field Communication)(登録商標)などが含まれる。これらの様々な通信プロトコルは、インプラント型生体医療機器と近接デバイスとの間の高速で安全なペアリングおよび通信を確保するために様々な方法で使用することができる。例えば、いくつかの実施形態では、NFC通信は、例えば、Bluetoothペアリングを開始することができる。
インプラント型生体医療機器12とゲートキーピング装置14などのゲートキーピング装置との近接ペアリングの様々な方法を実行することができ、ペアリングされる装置の数に対する様々な制限を確立することができる。例えば、制限としての、1つ、または2つの、または限られた少数の装置が、特定のインプラント型生体医療機器とペアになることができる。この1つ又はこれらの少数の装置は、許可されていないエンティティによる他の装置の侵略的なペアリングを防止する安全な方法でペアリングすることができる。このような安全なペアリングは、様々な安全なペアリングプロトコルを使用して達成することができる。例えば、インプラント型生体医療機器12は、限定された及び/又は制御された条件でペアリングされるように構成することができる。そのような限定的および/または制御された条件には、ペアリングが実行される時間を制限すること、ペアリングが実行される場所を制限すること、ペアリング許可装置を使用してペアリングを許可すること、および/または、インプラント型生体医療機器12とペアリングされるデバイス(および、任意のペアリング許可装置)との間にセキュア(安全)な通信を使用することが含まれ得る。
ペアリングの発生が許可される時間は、様々な方法で制限することができる。例えば、インプラント型生体医療機器12のゲートキーピング装置14へのペアリングは、インプラント型生体医療機器の植え込み時に限定することができる。インプラント型生体医療機器12のペアリングのための他の許可される時間は、特定の他のイベントが行われる時間に制限することができる。例えば、病院の受診中および/または医師の予約中に、ペアリングを行うことを許可することができる。病院の受診および/または医師の予約などの状況においては、例えば、医師のペアリングキーおよび/またはペアリング許可装置を使用して装置をペアリングすることができる。ペアリングは、例えば、ソフトウェアキーまたはハードウェアキーとすることができる医師のペアリングキーを受け取ったときに許可され得る。このキーは、ゲートキーピング装置14に伝達され得、それによってペアリングの開始が許可される。
ペアリングが許可される場所は、様々な方法で制限することができる。例えば、インプラント型生体医療機器12とペアリングされる近接デバイスに含まれるGPS位置センサを使用して、ペアリングを制限することができる。ペアリングが許可される所定の数の場所を、ペアリングされる近接デバイスのGPS位置センサによって検出された場所と比較することができる。例えば、インプラント型生体医療機器12が植え込まれた患者10の自宅の住所は、ペアリングが実行できる許可され得る場所とすることができる。他の許可され得るペアリングの場所には、インプラント型生体医療機器12の製造者の場所、インプラント型生体医療機器12を有する患者10の治療が行われる医師のオフィスの場所、および/または、そのようなインプラント型生体医療機器の植え込みが行われる病院の場所が含まれ得る。
いくつかの実施形態では、近接ペアリング通信のセキュリティは、近接検知および/または近接試験を用いてさらに強化することができる。例えば、インプラント型生体医療機器12とゲートキーピング装置14との間の近接性は、近接センサを用いて検知することができる。この近接センサは、インプラント型生体医療機器12のゲートキーピング装置14に対する相対的な近接性を検知することができる。インプラント型生体医療機器12へのおよび/またはインプラント型生体医療機器12からの通信は、ゲートキーピング装置14に対するインプラント型生体医療機器12のそのような相対的近接性が閾値条件を満たす場合にのみ有効にすることができる。例えば、ゲートキーピング装置14がインプラント型生体医療機器12から所定の距離内にある場合、その間の通信が有効にされ得る。このような目的のために、様々なタイプの近接センサを採用することができる。例えば、インプラント型生体医療機器12は、磁石によって生成された磁界、またはゲートキーピング装置14の誘導コイルによって生成された磁界を検知するように構成されたリードスイッチを有し得る。他の実施形態では、ゲートキーピング装置14がインプラント型生体医療機器12の所定の距離内にあるかどうかを判断するために、試みられた無線通信の信号強度を所定の閾値と比較することができる。
いくつかの実施形態では、ペアリングは以下のように起こり得る。インプラント型生体医療機器12が植え込まれる前に、ゲートキーピング装置14とペアリングされる。ゲートキーピング装置14は、インプラント型生体医療機器14の製造者によってプログラムされたゲートキーピングアプリを備える。ゲートキーピングアプリは、ゲートキーピング装置14とインプラント型生体医療機器12との間の通信の秘密暗号化および復号を提供するように構成されている。例えば、いくつかの実施形態では、インプラント型生体医療機器は、インプラント型生体医療機器12の最初の電源投入時に開始される実行タイマーに基づく秘密暗号化方法を使用する。毎分、カウンタが進み、その進んだカウント値に基づいて暗号化が変化する。ゲートキーピング装置14は、このペアリング動作中に最初の電源投入の時間を提供され、そしてゲートキーピング装置14は、カウンタをインプラント型生体医療機器12のカウンタに同期させる。ゲートキーピング装置14は、このようにして、インプラント型生体医療機器12と同期して通信を暗号化および復号することができる。
方向的安全性(Directional Safety)
方向的安全性とは、インプラント型生体医療機器などの装置の構成またはプログラミングの変更によって、安全性が増加するか減少するかを示す用語である。インプラント型生体医療機器の文脈では、「方向的安全性」という用語が指す安全性は、インプラント型生体医療機器が植え込まれた患者の安全性である。インプラント型機器へのいくつかの更新は、安全性を向上させないかもしれないが、患者の医師は、方向的安全性がネガティブ(減少方向)であるにもかかわらず、そのような更新を望むかもしれない。そのような更新は、様々な安全な方法で実行することができる。例えば、医師が、方向的安全性がニュートラルまたはネガティブであるにもかかわらず、インプラント型機器の更新および/または再構成を望む場合、そのような更新および再構成は、ローカルでの設定に制限することができる。遠位のインターネット通信は、そのようなニュートラルまたはネガティブの方向的安全性を持つ更新および/または再構成を行うことを禁止することができる。
さらに、そのようなニュートラルまたはネガティブの方向的安全性を持つ更新および/または再構成を通信する装置は、インプラント型機器の製造者が製造する特別な装置に限定することができる。そのようなニュートラルまたはネガティブの方向的安全性を持つ更新の通信には、秘密符号化スキームを使用することができる。ローカルの安全な通信のみがそのようなニュートラルまたはネガティブの方向的安全性を持つ更新および/または再構成を行うことを確実にするために、プログラミング装置とインプラント型生体医療機器との間の近接要件を要求することができる。
いくつかの実施形態では、インプラント型生体医療機器のファームウェアへのあらゆる変更は、ネガティブの方向的安全性(または、少なくともネガティブの方向的安全性の看過できない可能性)を有すると考えることができる。そのようなファームウェアの変更は、他のニュートラルまたはネガティブの方向的安全性を有する更新および再構成のようなローカルの安全な通信方法に制限することができる。
通信の暗号化(Communication Encryption)
インプラント型生体医療機器12とリモートのエンティティとの間の通信、及び/又は、そのような通信を容易にする様々な中間装置間の通信のデータ暗号化を行うことができる。例えば、インプラント型生体医療機器12の低電力動作を可能にするように、インプラント型生体医療機器12とゲートキーピング装置14との間の通信に対して、比較的簡単な暗号化を実行することができる。いくつかの実施形態では、インプラント型生体医療機器12とゲートキーピング装置14との間の通信は、製造者が考案したが公開されていない秘密の暗号化方法によって暗号化することができる。このような秘密の暗号化方法は、例えばBluetoothチップなどの(1つ以上の)通信デバイスのMAC(Machine Access Control)アドレスを利用することができる。さらに、そのようなMACアドレスを知っているだけでは暗号を解読できないようにするために近距離通信の暗号化にクロックアルゴリズムを用いることができる。
インターネットを使用して操作を実行する、ゲートキーピング装置14や、ホスティングサーバ20などのエンタープライズ向けの装置のような、より高いパワーバジェットを持つ装置には、より電力を必要とする暗号化方法を使用することができる。様々なそのような暗号化方法を、そのようなより高いパワーバジェットを持つ装置間の通信に使用することができる。例えば、ゲートキーピング装置14とホスティングサーバ20などのインターネットを使用したサーバとの間の通信には、公開鍵/秘密鍵による暗号化を用いることができる。
いくつかの実施形態では、そのような公開鍵は、1回または様々な間隔で交換することができる。例えば、ゲートキーピング装置14とリモートのインターネットを使用したサーバとによって行われる通信のために、新たな日ごと、新たな時間ごと、または5分間隔で、ペアの近接デバイスによって新しい秘密鍵が生成され得る。そして、ゲートキーピング装置14は、生成された秘密鍵に基づいて、公開鍵を生成することができる。この公開鍵は、ゲートキーピング装置14によって発信された通信を復号する際に使用するために、ホスティングサーバ20などのリモートのインターネットを使用したサーバに通信することができる。同様に、リモートのインターネットを使用したサーバはまた、秘密鍵と公開鍵の組み合わせを生成し、公開鍵をゲートキーピング装置14に送信することもできる。これらの秘密鍵と公開鍵の組み合わせを頻繁に変更することにより、ハッカーが秘密鍵をハッキングする時間を1日以下に制限することができる。これは、今日の最も強力なコンピュータを用いてそのようなハッキングを行うのに必要とする時間のわずか一部にあたるものである。
デバイス認証(Device Authentication)
インプラント型生体医療機器12とペアリングされる近接デバイスは、認証プロトコルを使用してそれと通信することができる。そのような認証は、様々な安全な認証方法を介して行うことができる。例えば、植え込み時に、製造者の安全なインターネットサイトでのインプラント型生体医療機器12の安全な登録を介して、インプラント型生体医療機器12を患者10と関連付けることができる。登録手順は、例えば、患者10に関する情報およびインプラント型生体医療機器12のシリアル番号を製造者に提供することを含むことができる。いくつかの実施形態では、製造者のWebサイトは、患者10のためのログインIDおよびパスワードの供給を要求することができる。製造者のWebサイトは、インプラント型生体医療機器12および/またはインプラント型生体医療機器12とペアリングされる例えばゲートキーピング装置14などの装置に関する情報を要求することができる。
いくつかの実施形態では、患者10および/またはインプラント型生体医療機器12に関する情報の収集後または収集中に、製造者は、インプラント型生体医療機器12とペアリングされるべきゲートキーピング装置14と通信することができる。このような通信は、様々な態様で行われ得る。例えば、ゲートキーピング装置14が携帯電話である場合、製造者は、テキストメッセージまたは音声メッセージを携帯電話に送信することができる。他の実施形態では、製造者は、ペアリング手順の間にユーザが使用するためのキーコードを表示することができる。例えば、製造者は、患者がペアリング対象の装置に入力するキーコードを表示することができる。そして、このキーコードにより、近接デバイスとインプラント型生体医療機器12とのペアリングが可能になる。いくつかの実施形態では、製造者は、インプラント型生体医療機器12とペアリングされているおよび/またはペアリングされたすべての装置のログを維持することができる。
いくつかの実施形態では、時間同期されたコードを認証および/または暗号化の目的で使用することができる。コードのタイムシーケンスは、例えば、植え込みおよび/またはペアリングの際に同期させることができる。コードシーケンスは、通信の所定の時間において通信されたコードが、コードが通信される装置(例えば、インプラント型生体医療機器12、ゲートキーピング装置14、および/またはホスティングサーバ20)によって予測され得るように、通信する装置間で同期され得る。
仮想イメージ(Virtual Image、インプラント型生体医療機器の鏡像の相対物)
許可されたエンティティ間の通信は、インプラント型生体医療機器12の鏡像の相対物(カウンターパート)である仮想イメージ30を用いて間接的に、またはそのような仮想イメージを用いずに直接的に行うことができる。例えば、インプラント型生体医療機器12のプログラミングの更新は、仮想イメージ30上で最初に実行されることを要求することができる。例えば、医師は、インプラント型生体医療機器12が患者10に対して行う治療スケジュールを変更したいと思うかもしれない。この治療スケジュールの変更は、インプラント型生体医療機器12によって提供されてきた、患者10の状態を示す検知された生体データに対応したものであるかもしれない。仮想イメージ30は、その後、更新された治療スケジュールが特定の安全要件を満たすと判断された場合、更新された治療スケジュールをインプラント型生体医療機器12に送信することができる。
仮想イメージ30は、実際のインプラント型生体医療機器12をミラーリングすることができ、そのような更新された治療スケジュールがプログラムされた後、その仮想イメージ30の動作のシミュレーションが実際のインプラント型生体医療機器12の性能を示すことができるようになっている。任意のプログラミング変更が最初に仮想イメージ30に対して行われるので、そのようなプログラミング変更が実際のインプラント型生体医療機器12に対して行われたときに、実際のインプラント型生体医療機器12が植え込まれた患者10にとってそれが安全であることを保証するように、すべてのそのようなプログラミング変更を精査することができる。仮想イメージ30は、ホスティングコンピュータ20によって、IPアドレスを有することができるWebサイトで管理される。ホスティングコンピュータ20は、電力の制限を受けず、したがって、その務めを遂行するために必要とされる任意の処理能力を有することができる。1つの実施形態では、ホスティングコンピュータ20は、エンタープライズコンピュータであり得る。
そのようなシミュレーションを実行するために典型的に使用されるようなそのエンタープライズコンピュータは、例えば、様々な態様で構成されたインプラント型生体医療機器12のシミュレーションなどの複雑なアルゴリズムを良好に実行できるように、優れた計算能力を有する。これらのシミュレーションは、インプラント型生体医療機器12に対するあらゆる更新および/または再構成の方向的安全性を決定するために使用することができる。そして、エンタープライズコンピュータは、インプラント型生体医療機器12の潜在的な更新および/または再構成のための調停者として機能することができる。例えば、エンタープライズコンピュータは、決定された方向的安全性に基づいて、そのような潜在的な変更を受け入れたり、拒否したりすることができる。その方向的安全性は、そのような潜在的な更新および/または再構成により仮想的に更新された仮想イメージ30の仮想シミュレーションに基づいて決定されたものである。
ホスティングコンピュータ20は、非常に多くの患者に対するインプラント型生体医療機器についてシミュレーションを実行するように構成することができる。例えば、製造者が特定のタイプの全てのインプラント型生体医療機器のファームウェアをアップグレードしたい場合、ホスティングコンピュータ20は、これらの患者に植え込まれたインプラント型生体医療機器に対応する全ての仮想装置に基づいてシミュレーションを実行することができる。そのような多数のシミュレーションに基づいて、製造者は、インプラント型生体医療機器の集団全体で、そのような更新されたファームウェアを進めるかどうかを決定することができる。
ゲートキーピング装置なしの動作(Operation without a Gatekeeping Device)
いくつかの実施形態では、安全な通信は、インプラント型生体医療機器12とインターネットクラウド16との間で直接実行することができる。例えば、インプラント型生体医療機器12は、4Gまたは5Gの携帯電話通信プロトコルを介してインターネットクラウド16と直接通信するように構成することができる。そのようなシステムでは、インプラント型生体医療機器12への及びからの通信は、IPアドレスを有することができるWebサイト26との通信に制限することができる。インプラント型生体医療機器12の静的IPアドレスおよびIPアドレスを有することができるWebサイト26の静的IPアドレスは、通信が許可されている両者間のみで一組の情報として働くように秘密にすることができる。インプラント型生体医療機器12とIPアドレスを有することができるWebサイト26との間のそのような直接の通信にさらなるセキュリティを提供するために、公開鍵/秘密鍵による暗号化を使用することができる。
インプラント型生体医療機器12とIPアドレスを有することができるWebサイト26との間の直接的な通信は、ゲートキーピング装置14を介した間接的な通信に関連する電力コストよりも大きくなる可能性のある電力コストを発生させ得る。そのような電力コストは、インプラント型生体医療機器12の任意の治療機能を実行するとともに、そのような直接的な通信を提供する再充電可能な電池によって提供され得る。インプラント型生体医療機器12の治療機能は中断されるべきではないので、治療機能のために提供される電力は中断されるべきではない。治療機能のための継続的な電力供給を確保するために、いくつかの実施形態では、治療機能のために電力を供給するものと、それとは別の通信を行うためのものといったように別個の電池を備えている。他の実施形態では、単一の再充電式電池を仮想的に分割することができ、その第1の電池区画を治療機能のための電力供給用に確保し、第2の電池区画を通信を行うためのものとして確保する。例えば、第2の電池区画が消耗した状態で通信が予定されている場合、治療機能のために供給するための第1の電池区画に蓄えられているエネルギーを確保するべく、予定されている通信を後の時間枠に再スケジュールすることができる。
そのような直接的な通信に必要となる電力をさらに削減するために、これらの直接的な通信は、限られた時間枠に限定することができる。例えば、インプラント型生体医療機器12は、IPアドレスを有することができるWebサイト26がそれに通信を送信しているかどうかを判断するため、またはIPアドレスを有することができるWebサイト26に通信を送信するために、5分ごとの短時間の時間枠で受信機をウェイクアップ(起動)することができる。IPアドレスを有することができるWebサイト26は、インプラント型生体医療機器12との送信および受信を同期させるように、そのような通信のスケジュールを維持することができる。
他の省電力手段も、そのような直接的な通信を促進し得る。例えば、患者10の体内の深くに植え込まれたインプラント型生体医療機器の場合、そのような深く植え込まれた生体医療機器の通信アンテナは、患者の皮膚層の直下に皮下配置することができる。通信アンテナのそのような配置は、より深く埋め込まれたアンテナに必要とされるよりも、所定の信号強度に対しての電力要求を低くすることができる。このようなアンテナの構成は、2019年3月15日に出願されたYatheendhar D. Manickaによる「Subcutaneous Device for Monitoring and/or Providing Therapies」と題された米国特許出願16/355,236に開示されており、その全体が参照により本明細書に組み込まれる。
本発明を例示的な実施形態を参照して説明してきたが、当業者であれば、本発明の範囲を逸脱することなく、様々な変更を加えたり、その要素に同等のものを代用したりすることができることを理解できるであろう。さらに、本発明の本質的な範囲から逸脱することなく、特定の状況または材料を本発明の教示に適応させるために、多くの変更を行うことができる。したがって、本発明は、開示された特定の実施形態に限定されるものではなく、添付の請求項の範囲内に入るすべての実施形態を含むことを意図している。
Claims (20)
- インターネットプロトコル(IP)アドレスを有するリモートのインターネットを使用したWebサイトからインプラント型生体医療機器への通信に対して安全なゲートキーピング機能を提供するための方法であって、
ゲートキーピング装置によって、前記リモートのインターネットを使用したWebサイトにより送信された通信内容を受信するステップであって、受信される前記通信内容は、第1の符号化アルゴリズムを用いて符号化されている、ステップと、
前記ゲートキーピング装置によって、受信された前記通信内容を復号するステップと、
前記ゲートキーピング装置によって、復号された前記通信内容を第2の符号化アルゴリズムを用いて符号化するステップと、
前記ゲートキーピング装置によって、前記第2の符号化アルゴリズムを用いて符号化された前記通信内容を、前記インプラント型生体医療機に無線により中継するステップと、
を含む、方法。 - 請求項1に記載の方法において、
前記リモートのインターネットを使用したWebサイトによって送信された通信のIPアドレスと前記インプラント型生体医療機に対応する所定の静的IPアドレスとを、前記ゲートキーピング装置によって比較するステップ、をさらに含む、方法。 - 請求項2に記載の方法において、
前記IPアドレスが前記インプラント型生体医療機器に対応する前記所定の静的IPアドレスではない場合に、前記リモートのインターネットを使用したWebサイトによって送信された前記通信を、前記ゲートキーピング装置によって拒否するステップ、をさらに含む、方法。 - 請求項2に記載の方法において、前記無線により中継するステップは、前記IPアドレスが前記インプラント型生体医療機器に対応する前記所定の静的IPアドレスである場合にのみ、前記第2の符号化アルゴリズムを用いて符号化された前記通信内容を無線により中継するために、前記ゲートキーピング装置によって実行される、方法。
- 請求項1に記載の方法において、
前記インプラント型生体医療機器に対する前記ゲートキーピング装置の近接性を判定するために使用される近接信号を送信するステップ、をさらに含む、方法。 - 請求項5に記載の方法において、前記近接信号は磁界である、方法。
- 請求項5に記載の方法において、前記通信内容の無線による受信は、前記インプラント型生体医療機器に対する前記ゲートキーピング装置の前記近接性が所定の距離内であることを条件とする、方法。
- 請求項1に記載の方法において、
前記インプラント型生体医療機器が、ペアリングされていない装置によって該機器に送信される通信を拒否できるように、前記ゲートキーピング装置と前記インプラント型生体医療機器とを安全にペアリングするステップ、をさらに含む、方法。 - 請求項8に記載の方法において、前記ゲートキーピング装置と前記インプラント型生体医療機器とを安全にペアリングするステップは、前記インプラント型生体医療機器に近接している場合に、前記ゲートキーピング装置によって、前記ゲートキーピング装置に関連する認証情報を前記インプラント型生体医療機器に送信するステップを含む、方法。
- 請求項8に記載の方法において、前記ゲートキーピング装置と前記インプラント型生体医療機器とを安全にペアリングするステップは、前記インプラント型生体医療機器に近接している場合に、前記ゲートキーピング装置によって、前記インプラント型生体医療機器に関連する認証情報を受信するステップを含む、方法。
- インターネットプロトコル(IP)アドレスを有するリモートのインターネットを使用したWebサイトからインプラント型生体医療機器への通信に対して安全なゲートキーピング機能を提供するためのシステムであって、
前記インプラント型生体医療機器および前記インターネットの両方と通信するゲートキーピング装置と、
前記システムに実行させる命令が符号化されたコンピュータ可読メモリであって、
ゲートキーピング装置によって、前記リモートのインターネットを使用したWebサイトにより送信された通信内容を受信する命令であって、無線により受信される前記通信内容は、第1の符号化アルゴリズムを用いて符号化されている、命令と、
前記ゲートキーピング装置によって、受信された前記通信内容を復号する命令と、
前記ゲートキーピング装置によって、復号された前記通信内容を第2の符号化アルゴリズムを用いて符号化する命令と、
前記ゲートキーピング装置によって、前記第2の符号化アルゴリズムを用いて符号化された前記通信内容を、前記インプラント型生体医療機に無線により中継する命令と、
が符号化されたコンピュータ可読メモリと、を備える、システム。 - 請求項11に記載のシステムにおいて、
前記コンピュータ可読メモリには、前記システムに実行させる更なる命令であって、
前記リモートのインターネットを使用したWebサイトによって送信された通信のIPアドレスと前記インプラント型生体医療機に対応する所定の静的IPアドレスとを、前記ゲートキーピング装置によって比較する命令、が符号化されている、システム。 - 請求項12に記載のシステムにおいて、
前記コンピュータ可読メモリには、前記システムに実行させる更なる命令であって、
前記IPアドレスが前記インプラント型生体医療機器に対応する前記所定の静的IPアドレスではない場合に、前記リモートのインターネットを使用したWebサイトによって送信された前記通信を、前記ゲートキーピング装置によって拒否する命令、が符号化されている、システム。 - 請求項12に記載のシステムにおいて、前記無線により中継する命令は、前記IPアドレスが前記インプラント型生体医療機器に対応する前記所定の静的IPアドレスである場合にのみ、前記第2の符号化アルゴリズムを用いて符号化された前記通信内容を無線により中継するために、前記ゲートキーピング装置によって実行される、システム。
- 請求項11に記載のシステムにおいて、
前記コンピュータ可読メモリには、前記システムに実行させる更なる命令であって、
前記インプラント型生体医療機器に対する前記ゲートキーピング装置の近接性を判定するために使用される近接信号を送信する命令、が符号化されている、システム。 - 請求項15に記載のシステムにおいて、前記近接信号は磁界である、システム。
- 請求項15に記載のシステムにおいて、前記通信内容を無線により受信する命令に対し、前記コンピュータ可読メモリには、前記システムに実行させる更なる命令であって、前記インプラント型生体医療機器に対する前記ゲートキーピング装置の前記近接性が所定の距離内である場合に、前記リモートのインターネットを使用したWebサイトにより送信される前記通信内容を、ゲートキーピング装置によって無線により受信する命令、が符号化されており、無線により受信される前記通信内容は、第1の符号化アルゴリズムを用いて符号化されている、システム。
- 請求項11に記載のシステムにおいて、
前記コンピュータ可読メモリには、前記システムに実行させる更なる命令であって、
前記インプラント型生体医療機器が、ペアリングされていない装置によって該機器に送信される通信を拒否できるように、前記ゲートキーピング装置と前記インプラント型生体医療機器とを安全にペアリングする命令、をさらに含む、システム。 - 請求項18に記載のシステムにおいて、前記ゲートキーピング装置と前記インプラント型生体医療機器とを安全にペアリングする命令に対し、前記コンピュータ可読メモリには、前記システムに実行させる更なる命令であって、前記インプラント型生体医療機器に近接している場合に、前記ゲートキーピング装置によって、前記ゲートキーピング装置に関連する認証情報を前記インプラント型生体医療機器に送信する命令、が符号化されている、システム。
- 請求項18に記載のシステムにおいて、前記ゲートキーピング装置と前記インプラント型生体医療機器とを安全にペアリングする命令に対し、前記コンピュータ可読メモリには、前記システムに実行させる更なる命令であって、前記インプラント型生体医療機器に近接している場合に、前記ゲートキーピング装置によって、前記インプラント型生体医療機器に関連する認証情報を受信する命令、が符号化されている、システム。
Applications Claiming Priority (2)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
US17/105,433 US11904174B2 (en) | 2020-11-25 | 2020-11-25 | Secure communications between an implantable biomedical device and authorized parties over the internet |
US17/105,433 | 2020-11-25 |
Publications (1)
Publication Number | Publication Date |
---|---|
JP2022083990A true JP2022083990A (ja) | 2022-06-06 |
Family
ID=78789929
Family Applications (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
JP2021184867A Pending JP2022083990A (ja) | 2020-11-25 | 2021-11-12 | インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 |
Country Status (3)
Country | Link |
---|---|
US (1) | US11904174B2 (ja) |
EP (1) | EP4005630A1 (ja) |
JP (1) | JP2022083990A (ja) |
Families Citing this family (1)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US11863672B1 (en) * | 2023-04-18 | 2024-01-02 | Intuit Inc. | Systems and methods for refreshing encryption and decryption keys and signatures for a realtime pipepiline |
Family Cites Families (42)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
US6358202B1 (en) | 1999-01-25 | 2002-03-19 | Sun Microsystems, Inc. | Network for implanted computer devices |
US7149773B2 (en) | 1999-07-07 | 2006-12-12 | Medtronic, Inc. | System and method of automated invoicing for communications between an implantable medical device and a remote computer system or health care provider |
US7181505B2 (en) | 1999-07-07 | 2007-02-20 | Medtronic, Inc. | System and method for remote programming of an implantable medical device |
US6804558B2 (en) | 1999-07-07 | 2004-10-12 | Medtronic, Inc. | System and method of communicating between an implantable medical device and a remote computer system or health care provider |
US6497655B1 (en) | 1999-12-17 | 2002-12-24 | Medtronic, Inc. | Virtual remote monitor, alert, diagnostics and programming for implantable medical device systems |
US6442432B2 (en) | 1999-12-21 | 2002-08-27 | Medtronic, Inc. | Instrumentation and software for remote monitoring and programming of implantable medical devices (IMDs) |
DE60031440T2 (de) | 1999-12-24 | 2007-08-23 | Medtronic, Inc., Minneapolis | Integriertes softwaresystem zur installation und verwaltung in implantierbaren medizinischen vorrichtungen |
US20050240246A1 (en) | 1999-12-24 | 2005-10-27 | Medtronic, Inc. | Large-scale processing loop for implantable medical devices |
US6622050B2 (en) | 2000-03-31 | 2003-09-16 | Medtronic, Inc. | Variable encryption scheme for data transfer between medical devices and related data management systems |
US6772026B2 (en) | 2000-04-05 | 2004-08-03 | Therics, Inc. | System and method for rapidly customizing design, manufacture and/or selection of biomedical devices |
US7198603B2 (en) | 2003-04-14 | 2007-04-03 | Remon Medical Technologies, Inc. | Apparatus and methods using acoustic telemetry for intrabody communications |
US6735478B1 (en) | 2001-05-30 | 2004-05-11 | Pacesetter, Inc. | System and method for providing patient status information during interrogation of an implantable cardiac stimulation device |
SE0200626D0 (sv) | 2002-02-28 | 2002-02-28 | St Jude Medical | Management of implantable devices |
US7065409B2 (en) | 2002-12-13 | 2006-06-20 | Cardiac Pacemakers, Inc. | Device communications of an implantable medical device and an external system |
US7009511B2 (en) | 2002-12-17 | 2006-03-07 | Cardiac Pacemakers, Inc. | Repeater device for communications with an implantable medical device |
US7395117B2 (en) | 2002-12-23 | 2008-07-01 | Cardiac Pacemakers, Inc. | Implantable medical device having long-term wireless capabilities |
US7127300B2 (en) | 2002-12-23 | 2006-10-24 | Cardiac Pacemakers, Inc. | Method and apparatus for enabling data communication between an implantable medical device and a patient management system |
US7565197B2 (en) | 2004-06-18 | 2009-07-21 | Medtronic, Inc. | Conditional requirements for remote medical device programming |
US7460910B2 (en) | 2004-07-20 | 2008-12-02 | Medtronic, Inc. | Command sequencing and interlocks for a remotely programmable implantable device |
US8078278B2 (en) | 2006-01-10 | 2011-12-13 | Remon Medical Technologies Ltd. | Body attachable unit in wireless communication with implantable devices |
US7908334B2 (en) | 2006-07-21 | 2011-03-15 | Cardiac Pacemakers, Inc. | System and method for addressing implantable devices |
US8685091B2 (en) | 2006-09-29 | 2014-04-01 | DePuy Synthes Products, LLC | System, method, and device for monitoring orthopaedic implant data over a cellular network |
US8515070B2 (en) | 2007-10-12 | 2013-08-20 | Emc Corporation | Access control for implanted medical devices |
US8401666B2 (en) | 2008-07-11 | 2013-03-19 | Medtronic, Inc. | Modification profiles for posture-responsive therapy |
US8712541B2 (en) | 2011-01-28 | 2014-04-29 | Medtronic, Inc. | Far field telemetry operations between an external device and an implantable medical device during recharge of the implantable medical device via a proximity coupling |
US8707040B2 (en) | 2011-10-31 | 2014-04-22 | Neuropace, Inc. | Establishing secure communication between an implantable medical device and an external device |
US9215075B1 (en) | 2013-03-15 | 2015-12-15 | Poltorak Technologies Llc | System and method for secure relayed communications from an implantable medical device |
US20150089590A1 (en) | 2013-09-20 | 2015-03-26 | Ramnarayan Krishnan | Methods for secure control of and secure data extraction from implantable medical devices using smartphones or other mobile devices |
WO2015048820A1 (en) | 2013-09-30 | 2015-04-02 | The Research Foundation For The State University Of New York | Transmission and medium access control techniques for ultrasonic communications in the body |
US9452293B2 (en) | 2014-06-19 | 2016-09-27 | Inspire Medical Systems, Inc. | Hybrid communication channel for communicating with an implantable medical device |
US10263959B2 (en) | 2014-11-28 | 2019-04-16 | Samsung Electronics Co., Ltd. | Method for communicating medical data |
US10396948B2 (en) | 2015-01-07 | 2019-08-27 | Northeastern University | Ultrasonic multiplexing network for implantable medical devices |
EP3091459B1 (en) | 2015-05-07 | 2020-06-24 | Sorin CRM SAS | Systems and methods for wireless communication with implantable and body-worn devices |
EP3400056B1 (en) | 2016-01-08 | 2020-05-06 | Cardiac Pacemakers, Inc. | Obtaining high-resolution information from an implantable medical device |
US20170259072A1 (en) * | 2016-03-14 | 2017-09-14 | Qualcomm Incorporated | System architecture for medical implant |
KR102455911B1 (ko) | 2016-03-23 | 2022-10-19 | 카나리 메디칼 아이엔씨. | 경보 임플란트를 위한 이식 가능한 리포팅 프로세서 |
US10897457B2 (en) | 2017-04-17 | 2021-01-19 | International Business Machines Corporation | Processing of IoT data by intermediaries |
US11083852B2 (en) | 2017-12-12 | 2021-08-10 | Bigfoot Biomedical, Inc. | Insulin injection assistance systems, methods, and devices |
US11259871B2 (en) | 2018-04-26 | 2022-03-01 | Vektor Medical, Inc. | Identify ablation pattern for use in an ablation |
US11090496B2 (en) | 2018-11-02 | 2021-08-17 | Advanced Neuromodulation Systems, Inc. | Implantable medical device using permanent and temporary keys for therapeutic settings and related methods of operation |
AU2019398140A1 (en) | 2018-12-12 | 2021-06-17 | Biotronik Se & Co. Kg | Enhanced authentication for IMD communication |
US20210343017A1 (en) | 2020-04-30 | 2021-11-04 | Medtronic, Inc. | Post operative implantation site monitoring and medical device performance |
-
2020
- 2020-11-25 US US17/105,433 patent/US11904174B2/en active Active
-
2021
- 2021-11-12 JP JP2021184867A patent/JP2022083990A/ja active Pending
- 2021-11-24 EP EP21275168.9A patent/EP4005630A1/en active Pending
Also Published As
Publication number | Publication date |
---|---|
US20220161039A1 (en) | 2022-05-26 |
EP4005630A1 (en) | 2022-06-01 |
US11904174B2 (en) | 2024-02-20 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
JP7161575B2 (ja) | 医療装置と安全な通信のためのプラットフォーム | |
US11813465B2 (en) | Facilitating trusted pairing of an implantable device and an external device | |
EP3408995B1 (en) | Secure authorization in an implantable medical device system | |
EP3386586B1 (en) | Secure wireless communication for an implantable component | |
US8868201B2 (en) | Adaptively configuring the validation timeout of a session key used for securing communication with an implantable medical device | |
JP2010507928A (ja) | セキュアテレメトリックリンク | |
Park | Security mechanism based on hospital authentication server for secure application of implantable medical devices | |
Siddiqi et al. | Imdfence: Architecting a secure protocol for implantable medical devices | |
CN113631221A (zh) | 植入装置与设备之间的安全无线通信 | |
JP2022083990A (ja) | インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 | |
JP2022083989A (ja) | インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 | |
JP2022083988A (ja) | インプラント型生体医療機器と許可された相手とのインターネットを介した安全な通信 | |
Ninglekhu | Securing implantable cardioverter defibrillators using smartphones | |
Duttagupta et al. | HAT: Secure and Practical Key Establishment for Implantable Medical Devices | |
US12008098B1 (en) | Split key architecture for facilitating authentication between an implanted medical device and an external device | |
US20220355121A1 (en) | System and method for identifying a recipient of an implantable sensory prosthesis | |
Zhang et al. | OOBKey: Key Exchange with Implantable Medical Devices Using Out-Of-Band Channels | |
WO2023088768A1 (en) | Secure byod programmer | |
WO2023031049A1 (en) | Implantable energized medical device, related methods and kit | |
EP4395627A1 (en) | Implantable energized medical device, related methods and kit | |
Marin et al. | Secure remote reprogramming of implantable medical devices | |
Ibrahimi | A secure communication model for the pacemaker a balance between security mechanisms and emergency access |