JP4795523B2 - 医療用デバイスシステムからのデータ転送を確保するための方法および装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、包括的に、医療用デバイスシステムに関する。特に、本発明は、植込可能な医療用デバイス（ＩＭＤ）に関連した１つ以上のプログラム可能なデバイスとの双方向遠隔通信に関する。包括的に、本発明は、距離をベースとしたトラブルシューティング、メンテナンス、更新、情報および管理サービスをプログラマ内で実現するための様々なタイプのネットワークプラットフォームおよびアーキテクチャを用い、それによって療法および臨床管理のための経済的で高度なインタラクティブシステムを提供する、ウェブをベースとしたエキスパートデータセンターと少なくとも１つのプログラマとの間の双方向遠距離通信の集積システムおよび方法に関する。特に、本発明は、乱用を防止するためにハードウェアおよびソフトウェアの両システムにおいて実現される暗号化方法および構造を用いて、患者の情報などの機密情報をプログラマと遠隔データセンターとの間で安全に転送するための装置および方法に関する。
【０００２】
【従来の技術】
患者の管理および療法の技術的および社会的局面を十分に統合する、技術をベースとした健康管理システムは、参加者の分離距離またはロケーションに関係なく、顧客と管理提供者とを完璧に接続することが可能でなければならない。臨床医が一般に許容されている最新の医療行為に従って患者を治療し続けている一方、通信技術の開発によって、独立した時間および場所で、医療サービスを提供することがますます可能になってきた。
【０００３】
従来の臨床サービスの方法は、一般に、病院内でのオペレーションに限定されている。例えば、医師が患者の植込可能なデバイスの性能パラメータを調べる必要があるとき、患者は診療所に行かなければならないのが通常である。さらに、植込可能なデバイスを有する患者の医療状態によって、デバイスを連続してモニタまたは調整する必要がある場合、患者は病院内にいつまでも滞在しなければならないであろう。このような連続した治療計画は経済的および社会的問題を提示する。例示的なシナリオでは、医療用デバイスが植込まれた人口の割合が増加するにつれて、患者に院内サービスを提供するために、サービス人員を含む病院／診療所がさらに多く必要とされ、健康管理のコストは増大する。さらに、患者は、病院内に滞在するかまたは非常に頻繁に診療所を訪れる必要あり、不当な制限を受け、不便でもある。
【０００４】
従来の医療行為のさらに他の条件によると、患者は、植込デバイスからのデータを時折取り出し、デバイスの動作を査定し、臨床および研究の両目的で患者の履歴を集めるために臨床センターを訪れなければならない。データ収集の頻度によっては、地方に住む患者または移動が制限される患者にとって、この手続きは深刻な障害および不都合を生じ得る。同様に、植込可能な医療用デバイスのソフトウェアを更新する必要が生じる場合、患者は、更新をインストールしてもらうために診療所または病院に行く必要がある。
【０００５】
さらに、医療行為において、ＩＭＤに関する過去および現在の手続きを正確に記録することは産業全体にわたる基本である。一般に、プログラマおよび／または分析器などの医療用構成要素をＩＭＤに接続するたびにレポートが作成されなければならない。レポートには、手続き中に使用されるすべての医療用構成要素の識別を含む様々な情報が含まれなければならない。具体的には、ＩＭＤにダウンリンクされる際に用いられるすべての周辺および主要デバイスを報告する必要がある。現在、ＩＭＤとの通信を伴う手続きにおいて用いられるすべての主要な構成要素を自動的に報告するための自動システムは存在しない。現在行われている医療行為では、医療に携わる者がダウンリンク手続きで用いられるデバイスに関連するデータを物理的に記録または入力することが行われている。この手続きの限界の１つは、エラーが発生しやすいことと、精度を確証するためにデータの再チェックを頻繁に行わなければならないことである。さらに、現在行われている医療行為では、通信媒体システムにわたる安全な患者データの転送が可能でない。
【０００６】
患者の医療情報の安全性およびプライバシーを守ることは、医療管理機関にとってますますの関心事となってきている。インターネットおよび分布するコンピューティング環境の爆発的な成長は、健康管理提供者の予め切断された遠隔コンピューティングプラットフォームの接続に対して、多大な責任を負っている。遠隔通信するコンピュータとデータセンターとの間に所有データネットワークを確立し、維持するためのコストは、非常に高い。従って、健康管理機関は、遠隔コンピューティングプラットフォームを接続するために、インターネットまたは公衆電話システムなどの安全でない「公開」ネットワークにますます頼るようになってきている。その結果、患者の機密医療記録は、転送中に損傷され、健康管理提供者は、プライバシーおよび守秘義務違反に対して責めを負い得る。一般に、これらのリスクは、ネットワーク化されていないコンピューティングプラットフォームにおいては発生しない。
【０００７】
医療用デバイスが高度化するにつれて、健康管理提供者は、患者の機密情報を保護するにあたって、新たな問題に直面する。医療用デバイスの中には、現在、データセンターまたは他の医療用デバイスへの通信ネットワークにわたる独立したデータ転送を成し遂げることが可能なものもある。このような医療用デバイスの１つとして、プログラマが挙げられる。プログラマは、様々な植込デバイスを初期化し、サービスするために用いられる。これらの植込デバイスには、例えば、神経植込片、ペースメーカー、およびカーディオバータ／デフィブリレータデバイスが含まれる。現在のところ、医師によって用いられる典型的なプログラマは、一般に、ポータブルラップトップコンピュータのサイズおよび形状である。植込デバイスとの通信は、プログラマに接続されたアクセサリ用いることによって無線周波数（ＲＦ）接続を通して確立される。プログラマは、英数字情報を表示するための、また、必要に応じて、エレクトログラム（ＥＧＭ）または心電図（ＥＣＧ）などのグラフィック情報を表示するためのスクリーンをさらに有する。プログラマはまた、特定のペースメーカー用に設定されたプログラミングパラメータ、予め選択された期間だけペースメーカーによってログされるデータ、またはＥＣＧグラフなどの情報を印刷するためのプリンタとのインターフェースを有する。
【０００８】
データ暗号化は、セキュリティおよびプライバシーをデータ、音声、および映像送信に公開ネットワークをわたって加えるためにますます用いられている。暗号化は、データを秘匿コードに翻訳することを含む。一般的な方法としては、ビットパターンのスクランブリングが含まれる。暗号化ファイルを読み出すために、ユーザは、秘密キーまたはパスワードにアクセスし、データを解読しなければならない。暗号化されていないデータは平文と呼ばれるのに対して、暗号化されたデータは暗号文と呼ばれる。２つの主要なタイプの暗号化（以下にさらに詳細に説明する）、即ち、非対称暗号化（公開キー暗号化とも呼ばれる）および対称暗号化が存在する。暗号化アルゴリズムは、かなりの間利用されていたが、最近になってようやく、低コストのプロセッサが、適度な時間量で暗号化および暗合解読機能を行うのに十分な速度になった。
【０００９】
データストリームを解読するためにいくつかの方法が用いられ得るが、この方法はすべて、ソフトウェアを通して容易に実現することができる。これらの方法のうち最も簡単なものは、翻訳テーブルである。翻訳テーブル内では各データ片（通常、１バイト）がオフセットとして用いられ、テーブル内から結果として得られる翻訳値は出力ストリームに書き込まれる。暗号化および暗号解読プログラムはそれぞれ、暗号化データに翻訳され、暗号化データから翻訳されるテーブルを用いる。いくつかの中央処理ユニット（例えば、Ｉｎｔｅｌ Ｃｏｒｐｏｒａｔｉｏｎの８０×８６シリーズ）は、ハードウェアレベルで翻訳を行う命令「ＸＬＡＴ」を有する。翻訳テーブル方法は非常に簡単で迅速であるものの、翻訳テーブルが一旦知られると、コードは破壊される。
【００１０】
翻訳テーブル方法の改変では、データストリーム内のバイトの位置またはデータストリーム自体に基づいて、２つ以上のテーブルが用いられる。復号化はより複雑になる。なぜなら、同じプロセスを逆方向に確実に行わなければならないからである。１つより多くの翻訳テーブルを用いることによって（即ち、特に「擬ランダム」順序で実現されるとき）、暗号化コードを破壊することは、さらに極めて困難になる。例として、１つの翻訳方法では、すべての偶数バイトに対して翻訳テーブル「Ａ」が用いられ、すべての奇数バイトに対して翻訳テーブル「Ｂ」が用いられ得る。潜在的なコード破壊者が２つのテーブルしかないことを知らない限り、源および暗号化データの両方が得られたとしても、暗号解読プロセスは比較的困難である。
【００１１】
データ再位置決めとして知られる他の暗号化方法では、データのバッファが入力源から読み出され、バイトの順序が再配列され、結果が「順序の正しくない（out of order）」出力に書き込まれる。次に、暗号解読プログラムによって出力が読み出され、「順序の正しくない」データは正しく配置される。
【００１２】
最も一般に用いられ（かつ複雑な）暗号化方法は、ワード／バイト回転およびＸＯＲビットマスキングを含む。この方法では、多数の可変方向および再生可能パターンにおける回転の持続時間を用いてデータストリーム内のワードまたはバイトを回転させると、データのストリームは、破壊するのがほぼ不可能な方法によって迅速に符号化される。さらに、「ＸＯＲマスク」が回転と組み合わせて用いられる場合（即ち、１から０または０から１への所定の位置においてビットを「フリッピング」すると）、コード破壊プロセスはさらに困難になる。
【００１３】
良好な暗号化方式の１つの特徴は、「キー」または「パスワード」を特定し、各「キー」または「パスワード」が、解読するために特有の「キー」または「パスワード」を必要とする異なる暗号化出力を生成するように、暗号化方法自体を変更する能力である。対称暗号化は、メッセージを暗号化し、解読するために同じキーが用いられる暗号化のタイプである。これは、メッセージを暗号化するのに１つのキーを用い、そのメッセージを解読するのに他の（異なる）キーを用いる非対称（または公開キー）暗号化とは異なる。
【００１４】
対称キー暗号化システムでは、二人の人がまず、電話番号またはファックス番号などのパスフェーズに同意する。送信側では、暗号化ソフトウェアはパスフェーズを二進数に変換し、その二進数（例えば、キー）を用いて、すべての出力メッセージを暗号化する。メッセージを暗号化するために用いられる数学モジュールはアルゴリズムと呼ばれる。システム全体はサイファと呼ばれる。受信側では、各入力メッセージは同じキーを用いて解読される。受信者は、同意されたパスフェーズをタイプし、ソフトウェアはそれを二進キーに変換し、二進キーを用いて暗号文（即ち、入力メッセージ）を解読する。変換によって平文（即ち、読出し可能な形式のオリジナルメッセージ）が得られる。要約すると、対称キー暗号化では、暗号化および暗号解読に同じキーが用いられる。対称キー暗号化では、送信者および受信者が、他の通信方法（これも非常に安全である）を有するために、キーは安全に分布され得ることを想定している。
【００１５】
対称キー暗号化に対して、公開キー暗号化は、２つの異なるキー（皆に知られている公開キーおよびメッセージの受信者のみが知っているプライベートキーまたは秘密キー）を用いる。一例として、送信者が安全にメッセージを受信者に送信したいとき、送信者は、受信者の公開キーを用いてメッセージを暗号化する。次に、受信者は受信者のプライベートキーを用いて、そのメッセージを解読する。公開キー暗号化では、公開キーとプライベートキーとは、メッセージを暗号化するために公開キーのみを用い、メッセージを解読するために対応するプライベートキーのみを用いることができるように関連づけられている。さらに、公開キーが知られても、プライベートキーを推理することは実質的に不可能である。公開キーシステムにおける１つの問題は、送信者がメッセージを解読するのに受信者の公開キーを知る必要があることである。
【００１６】
暗号化は、送信者と受信者との間で送信されるデータを保護するが、通信の認証性を証明するために、ディジタル署名が頻繁に用いられる。ディジタル署名は、メッセージを送信するユーザの正体を照合するために最も頻繁に用いられる。上記の公開キー暗号化方法を用い、ディジタル署名は、プライベートキーを用いて、メッセージダイジェスト（即ち、一方向ハッシュ関数と呼ばれる式を用いて作成される、数字の単一なストリングの形式で示されるテキスト）を暗号化することによって作成され得る。メッセージダイジェストの１つの可能なフォーマットは、誤通信を検出するために用いられるエラーチェッキングコードと類似した、１２８ビット一方向ハッシュ関数である。１２８ビットを用いることによって、２¹²⁸通りの可能な組み合わせが存在し、メッセージダイジェストはデサイファに対して計算上集中し過ぎることになる。
【００１７】
ディジタル署名は、送信者の公開キーを用いて署名を解読することによって照合され得る。ディジタル署名は、プライベートキーを用いて暗号化されるため、メッセージの開始者のみがそれを準備することができる。ディジタル署名は、公開キーを用いて解読されるため、任意のユーザがその開始者によって送信されたことを照合することができる。ディジタル署名は、まず、メッセージダイジェストを送信者のプライベートキーを用いて作成し、ディジタル署名を通信に添付し、次にメッセージとディジタル署名の両方を受信者の公開キーで暗号化することによって、メッセージに関連して用いることができる。受信者は、これらのステップを逆に行う。即ち、まず受信者のプライベートキーでメッセージを解読し、次いで公開キーを用いて署名を解読する。
【００１８】
データ暗号化およびディジタル署名は、コンピュータ間のデータ転送、および公開ネットワークにわたるメッセージング応用においてますます用いられているが、これらのセキュリティ方策は、医療用デバイスの応用では用いられていない。最近まで、植込可能な医療用デバイスおよび遠隔データセンターに関連して用いられる、プログラマ間で動作情報を転送するための技術は、不可能ではないとしても、実用的ではないことが証明されている。関連する情報の特質が非常に重要であるため、転送のセキュリティおよび信頼性は、非常に重要である。医療用デバイスは、大抵の場合、世界中に広範囲に分散しているため、医療用デバイスがどこに配置されるかに関係なく、世界中の医療用デバイスのすべてのユーザが利用可能な共通の通信媒体が必要である。データ送信施設もまた、一般に、迅速、低コストかつ簡単に用いられることができなければならない。
【００１９】
従来技術の他の限界は、一人の患者において多数の植込可能デバイスを管理することに関する。最新の患者療法および治療における進歩によって、患者に多数のデバイスを植込することが可能になった。例えば、デフィブリレータまたはペーサなどの植込可能デバイス、神経植込片、薬剤ポンプ、分離された生理学的モニタ、およびその他様々な植込可能デバイスが一人の患者に植込まれ得る。マルチ植込片を有する患者の各デバイスの動作をうまく管理し、各デバイスの性能を査定するためには、デバイスを連続して更新し、モニタする必要がある。さらに、患者に調整された臨床療法を提供するためには、様々な植込片間で動作可能な通信を有することが好適であり得る。従って、最適な患者の管理を確実にするためには、連続しないまでも規則的に植込可能デバイスの性能をモニタする必要がある。病院または診療所が、医療用デバイスの頻繁に必要なフォローアップ、評価、および調整を行うことができる唯一のセンターである場合、他に代替がなければ、これは患者に大きな負担をかけることになる。さらに、実現可能であるとしても、増え続ける世界中のマルチ植込片患者に適切なサービスを提供するためには、多数のサービスエリアまたは臨床センターを確立する必要があるというのが現状である。従って、遠隔エキスパート医療センターに接続し、エキスパートシステムへのアクセスを提供し、専門技術をローカル環境に引き入れるプログラマユニットを設けることはきわめて重要である。このアプローチは、ＩＭＤまたは患者に邪魔にならないアクセスを可能にする。さらに、マルチ植込片医療デバイスを有する患者が増加することによって、遠隔サービスの提供が避けられないものとなってきている。従って、ＩＭＤと通信し、様々な遠隔サービスを提供するプログラマを頻繁に使用することは、１９９９年１０月２６日付けで出願された、出願番号第０９／４２６，７４１号（米国特許第６，４４２，４３３号）の「Ａｐｐａｒａｔｕｓ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ｒｅｍｏｔｅ Ｔｒｏｕｂｌｅｓｈｏｏｔｉｎｇ，Ｍａｉｎｔｅｎａｎｃｅ ａｎｄ Ｕｐｇｒａｄｅ ｏｆ Ｉｍｐｌａｎｔａｂｌｅ Ｄｅｖｉｃｅ Ｓｙｓｔｅｍｓ」という名称の同時係属出願、１９９９年１０月２９日付けで出願された、出願番号第０９／４３０，７０８号（米国特許第６，６４４，３２１号）の「Ｔａｃｔｉｌｅ Ｆｅｅｄｂａｃｋ ｆｏｒ Ｉｎｄｉｃａｔｉｎｇ Ｖａｌｉｄｉｔｙ ｏｆ Ｃｏｍｍｕｎｉｃａｔｉｏｎ Ｌｉｎｋ ｗｉｔｈ ａｎ Ｉｍｐｌａｎｔａｂｌｅ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ」という名称の同時係属出願、１９９９年１０月２９日付けで出願された、出願番号第０９／４３０，２０８号（米国特許第６，３８５，５９３号）の「Ａｐｐａｒａｔｕｓ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ａｕｔｏｍａｔｅｄ Ｉｎｖｏｉｃｉｎｇ ｏｆ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ Ｓｙｓｔｅｍｓ」という名称の同時係属出願、１９９９年１０月２９日付けで出願された、出願番号第０９／４２９，９５０号の「Ａｐｐａｒａｔｕｓ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ｒｅｍｏｔｅ Ｓｅｌｆ−Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ ｏｆ Ｃｏｍｐｏｎｅｎｔｓ ｉｎ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ Ｓｙｓｔｅｍｓ」という名称の同時係属出願、１９９９年１０月２９日付けで出願された、出願番号第０９／４２９，９６０号（米国特許第６，３６３，２８２号）の「Ａｐｐａｒａｔｕｓ ａｎｄ Ｍｅｔｈｏｄ ｔｏ Ａｕｔｏｍａｔｅ Ｒｅｍｏｔｅ Ｓｏｆｔｗａｒｅ Ｕｐｄａｔｅｓ ｏｆ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅ Ｓｙｓｔｅｍｓ」という名称の同時係属出願の開示に示されているように、患者の管理の重要な局面となっている。本明細書では、これらの文献をすべてそのまま参照することで援用する。
【００２０】
従来技術は、植込可能な医療用デバイスに対する様々なタイプの遠隔送信および通信を提供する。このような一例は、Ｇｅｓｓｍａｎの発行された米国特許第５，３２１，６１８号によって開示されている。この開示では、遠隔装置は、電話通信チャネルをわたってコマンドを中央モニタリング施設から受信し、データを中央モニタリング施設に送信するように適合されている。遠隔装置は、電話通信チャネルをわたって患者のＥＣＧ波形を得て、その波形を中央施設に送信するための機器を有する。遠隔装置はまた、中央モニタリング施設から受信したコマンドに応答する、カーディオバータ／デフィブリレータからの可聴トーン信号の発信を可能にするためのセグメントを有する。可聴トーンは、検出され、電話通信チャネルを介して中央モニタリング施設に送信される。遠隔装置はまた、患者警戒デバイスを有する。患者警戒デバイスは、電話通信チャネルをわたって中央モニタリング施設から受信されるコマンドによって駆動される。
【００２１】
Ｇｅｓｓｍａｎ特許に開示されている装置および方法の多くの限界のうちの１つは、プログラマと同等に解釈され得るセグメントが中央モニタリングデバイスから遠隔に調整できないことである。セグメントは単に、遠隔装置と中央モニタリングステーションとの間のスイッチングステーションとして作用するだけである。さらに、患者のデータを収集する際のセキュリティの指示もない。
【００２２】
従来の医療行為のさらなる例としては、１９９９年３月２５日付けで公開されたＰｅｉｆｅｒ、ＷＯ９９／１４８８２に開示されている、中央モニタリングステーションと遠隔患者モニタリングステーションとの間で情報を通信するためのパケットをベースとした遠隔医療システムが挙げられる。この開示は、中央モニタリングステーションと、中央モニタリングステーションとは離れて配置される患者との間で映像、音声、および医療データを通信させるためのパケットをベースとした遠隔医療システムに関する。患者をモニタするステーションは、ディジタル映像、音声、および医療測定データを患者から得て、そのデータをパケットにカプセル化し、ネットワークを介して、パケットを中央モニタリングステーションに送信する。情報はパケットにカプセル化されるため、情報は、共同アクセステレビ（ＣＡＴＶ）ネットワーク、公衆交換電話網（ＰＳＴＮ）、統合サービスディジタル通信網（ＩＳＤＮ）、インターネット、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）を含む多数のタイプもしくは組み合わせのネットワークアーキテクチャ、無線通信ネットワーク、または非同期転送モード（ＡＴＭ）ネットワークを介して送信され得る。分離された送信コードは、各異なるタイプの送信媒体には必要ない。
【００２３】
Ｐｆｅｉｆｅｒ発明の利点の１つは、様々な形式のデータが送信元または媒体に関係なく単一のパケットでフォーマットされ得ることである。しかし、データ転送システムは、医療用インターフェースデバイスまたはプログラマの性能パラメータを遠隔にデバッグする能力をもたない。さらに、Ｐｆｅｉｆｅｒは、送信中の医療データが、プライバシーを守り、許可されていない者によるデータプライバシーを除去するように確保される方法または構造を開示していない。
【００２４】
関連技術において、Ｔｈｏｍｐｓｏｎは、１９９８年３月２０日付けで出願された出願番号第０９／０４５，２７２号の「Ｗｏｒｌｄ−ｗｉｄｅ Ｐａｔｉｅｎｔ Ｌｏｃａｔｉｏｎ ａｎｄ Ｄａｔａ Ｔｅｌｅｍｅｔｒｙ Ｓｙｓｔｅｍ Ｆｏｒ Ｉｍｐｌａｎｔａｂｌｅ Ｍｅｄｉｃａｌ Ｄｅｖｉｃｅｓ」という名称の同時係属出願において患者追跡システムを開示している。本明細書では、この文献を参照によりそのまま援用する。この開示は、ＧＰＳシステムを介した世界中の移動環境における患者追跡のためのさらなる特徴を提供している。しかし、本発明によって進歩した概念は、Ｔｈｏｍｐｓｏｎの開示の範囲内ではない。なぜなら、プログラマが遠隔エキスパートデータセンターと秘密データ通信して患者のデータを必要に応じて交換するウェブをベースとした環境を教示していないからである。
【００２５】
さらに他の関連技術では、Ｆｅｒｅｋ−Ｐｅｔｒｉｃは、同時係属出願である出願番号第０９／３４８，５０６号において医療用デバイスと通信するためのシステムを開示している。本明細書では、この文献を参照によりそのまま援用する。この開示は、プログラマなどの医療用デバイスとの遠隔通信を可能にするシステムに関する。特に、システムは、デバイスエキスパートにプログラマの状態および問題を知らせる遠隔通信を可能にする。次に、エキスパートは、プログラマに配置されたサービス人員またはオペレータに対して遠隔にガイダンスおよびサポートを提供する。システムは、患者に植込まれるように適合された医療用デバイスと、医療用デバイスと通信するサーバＰＣであって、インターネットなどの分散データ通信経路をわたって送信されるデータを受信する手段を有するサーバＰＣと、ＳＰＣからの分散された通信経路をわたって送信されるデータを受信するための手段を有する顧客ＰＣとを有する。特定の構成では、サーバＰＣは、分散データ通信経路（インターネット）を介して第１のチャネルおよび第２のチャネルに沿ってデータを送信する手段を有し、顧客ＰＣは、分散通信経路を介して第１のチャネルおよび第２のチャネルに沿ってサーバＰＣからデータを受信する手段を有し得る。
【００２６】
本発明のコンテキストでは、Ｆｅｒｅｋ Ｐｅｔｒｉｃの開示の重要な教示の１つには、インターネットと適合可能なＩＭＤに関連した通信システムの実現が含まれる。特に、本開示は、プログラマなどの医療用デバイスと、インターネットを用いる遠隔ロケーションに位置するエキスパートとの間の遠隔通信技術の進歩させる。上記のように、通信方式は、初期のメンテナンスまたは他の救済ステップなどの慎重な行動が適時行われるように、遠隔エキスパートにプログラミングデバイスの現存するまたは差し迫った問題を主として警告するように構成される。さらに、問題を早いうちに警告されるかまたは前もって知っておくと、遠隔エキスパートは十分に情報を得て、プログラマにおけるサービス人員またはオペレータに対して遠隔アドバイスまたはガイダンスを提供し得る。
【００２７】
Ｆｅｒｅｋ−Ｐｅｔｒｉｃの発明はインターネットなどの通信媒体を介してプログラマとの相互作用に関連する通信システム技術を進歩させているものの、このシステムは、ローカルプログラマが、データのプライバシーを守るようにＩＭＤから遠隔エキスパートデータセンターへ患者の情報を交換する、安全なデータ送信システムを提案も示唆もしていない。
【００２８】
【発明が解決しようとする課題】
従って、プログラマが遠隔エキスパートデータセンターにアップリンクし、関連データを安全に交換することが可能なシステムを提供することは有利である。さらに他の望ましい利点は、遠隔エキスパートシステムの使用を実現し、安全な方法でプライベートデータを交換することによってリアルタイムベースでプログラマを管理するシステムを提供することである。さらに他の望ましい利点は、送信中のデータのプライバシーを保持しながら遠隔エキスパートシステムおよび特定のデータリソースへのプログラマの迅速なアップリンクを促進するために、様々な通信媒体と適合する通信方式を提供することである。さらに他の望ましい利点は、ハイファイサウンド、映像、およびデータの送信を可能にする高速通信方式を提供し、臨床／療法システムのプログラマを介した効率よくかつ安全な遠隔データの管理を進歩および実現させ、それによって、患者の臨床管理を向上させることである。以下に議論するように、本発明はこれらおよびその他の望ましい利点を提供する。
【００２９】
【課題を解決するための手段】
本発明は、包括的に、ウェブをベースとした遠隔エキスパートデータセンターが、１つ以上の植込可能な医療用デバイス（ＩＭＤ）を有する患者と、ＩＭＤと近接して配置された関連する外部医療用デバイス（好ましくは、プログラマ）を介して、相互作用する通信方式に関する。本発明の最も重要な利点のいくつかは、ウェブをベースとした遠隔エキスパートデータセンターとプログラマとの間の安全な通信媒体を使用して、送信中の医療データのプライバシーを損傷せずに臨床上重要な情報を遠隔交換することである。
【００３０】
本発明の特徴では、本発明の多くの態様の１つは、インターネットを含む安全な通信ネットワークを介してプログラマがウェブをベースとした遠隔エキスパートデータセンターにリアルタイムでアクセスすることを含む。本発明の機能的に作用する構造は、広範囲な安全通信リンクシステムを介して、プログラマとの双方向リアルタイムデータ、サウンド、および映像の通信を有するエキスパートシステムが維持されるウェブをベースとした遠隔エキスパートデータセンターを含む。プログラマ自体は、ＩＭＤと遠隔測定（テレメトリ）通信し、必要に応じて、安全なデータ通信システムを用いて、ＩＭＤはプログラマにアップリンクされ得るか、またはプログラマはＩＭＤにダウンリンクされ得る。
【００３１】
本発明の他の特徴では、プログラマは、エキスパートシステムを安全な無線または同等の通信システムを介して遠隔エキスパートデータセンターから取り入れることによって、必要に応じて遠隔に識別、モニタ、査定、および更新される。プログラマ内に内蔵されたシステムの動作および機能的ソフトウェアは、明白なように、遠隔調整、更新、または変更され得る。ソフトウェアの変更のいくつかは、必要に応じて、プログラマからＩＭＤにダウンリンクすることによって、ＩＭＤ内で最終的に実現され得る。さらに、プログラマ−ＩＭＤインターフェース内で用いられる特定の構成要素は、医療基準に従うように識別され、記録される。
【００３２】
本発明のさらに他の特徴は、安全で、高集積化された効率の良い臨床情報管理の方法および構造を提供する通信方式を有する。この方式および構造では、共同アクセステレビ、ローカルエリアネットワーク（ＬＡＮ）、ワイドエリアネットワーク（ＷＡＮ）、統合サービスディジタル通信網（ＩＳＤＮ）、公衆交換電話網（ＰＳＴＮ）、インターネット、無線ネットワーク、非同期転送モード（ＡＴＭ）ネットワーク、レーザ波ネットワーク、サテライト、移動および他の同様ネットワークなどの様々なネットワークが遠隔データセンターとプログラマとの間で音声、データ、および映像を転送するように実現される。好ましい実施形態では、無線通信システム、モデムおよびレーザ波システムは、例示のみを目的として示され、本発明をこれらのタイプの通信のみに限定するものとして見なしてはならない。さらに、簡略化のため、本出願人は、様々な通信システムを関連部分において通信システムと呼んでいる。しかし、本発明の特徴では、通信システムは、交換可能であり、ケーブル、光ファイバ、マイクロ波、無線、レーザ、および同様の通信の様々な方式、またはその実用的な任意の組み合わせに関し得ることに留意されたい。
【００３３】
本発明の他の特筆すべき特徴の１つは、遠隔エキスパートデータセンターと、複数のＩＭＤに関連したプログラマとの間の安全な連続したリアルタイム通信を促進するための非常に柔軟で適用可能な通信方式を使用することを含む。ＩＭＤは、情報を体内で共有するように構成され、ユニットとしてプログラマと相互作用し得る。特に、ＩＭＤは、共同または別個で、必要に応じて臨床情報を実現するかまたは抽出するように応答指令信号を受ける。換言すると、すべてのＩＭＤは１つのＩＭＤを介してアクセスされ得るか、またはＩＭＤのそれぞれ１つが別個にアクセスされ得る。このようにして収集される情報は、必要に応じてＩＭＤをアップリンクすることによってプログラマに転送され得る。
【００３４】
さらに、本発明は、プログラマの安全で自動化された自己識別情報を遠隔に取得することを可能にすることによって、従来技術よりもかなりの利点を提供する。自動化された自己識別方式は、構成要素の識別を問い合わせて得るように構成されるグローバルな、好ましくはウェブをベースとしたデータセンターと適合する。主として、構成要素の識別手続きは、プログラマ−ＩＭＤセッションに関連する。これらのセッションに用いられる構成要素は、参照および応諾要件のために、識別され中央ログされる。一般に、ウェブをベースとしてエキスパートデータセンターは、プログラマに問い合わせて、セッションで用いられる構成要素を識別する。
【００３５】
本発明は、遠隔医療などの他のウェブをベースとした応用、および遠隔投入（tele-immersion）などの台頭しつつあるウェブをベースとした技術に重要な適合性およびスケーラビリティを提供する。例えば、システムは、ウェブトップユニットが、患者を遠隔データセンターにアップリンクし、ＩＭＤと遠隔エキスパートデータセンターとの間で重要でない情報の交換を行うように用いられ得るウェブトップ応用に適するように構成され得る。これらおよび他のウェブをベースとした同様の応用において、収集されたデータは、本発明の様式および趣旨では、進歩したウェブ技術を用いたさらなる介入を必要とするかどうかを識別するための予備的なスクリーンとして用いられ得る。
【００３６】
従って、本発明は、（ａ）プログラマから受信デバイスへ公開ネットワークをわたって機密データを安全に送信することができないこと、（ｂ）医療用デバイスからのデータ送信源を認証し、特有に識別することができないこと、（ｃ）医療用デバイスの動作属性を医療用デバイスの製造者に送信するための安全な手段を提供することができないこと、（ｄ）医療用デバイスの製造者に対して、ソフトウェアの更新をプログラムにダウンロードするための安全な手段を提供できないこと、および（ｅ）医療用デバイスの製造者に、中央コンピュータからプログラマへ公開ネットワークをわたって患者の機密データを送信するための安全な手段を提供することができないことなどの従来技術に存在する特定の問題に対する解決法を提供する。
【００３７】
さらに、本発明のシステムおよび方法は、（ａ）プログラマとコンピュータとの間で公開ネットワークをわたって安全にデータを交換させる能力、（ｂ）医療用デバイスからのデータ送信源をディジタル署名を介して特有に識別する能力、（ｃ）コンピュータからプログラマに向けられる通信の認証性を証明する能力、（ｄ）データ暗号化を用いて２つのプログラマ間で公開ネットワークを介して患者の機密データを直接交換する能力、および（ｅ）医療用デバイスの動作属性を医療用デバイスの製造者に安全に送信する能力、を含む特定の利点を提供する。
【００３８】
本発明のシステムおよび方法は、プログラマによって得られる機密情報を暗号化するためのプログラマ内に存在するデータ暗号化エンジンを含む特定の特徴を有する。本発明はまた、患者の暗号化データをプログラマからコンピュータに公開通信媒体ネットワークを介して送信する特徴を有する。本発明の他の特徴は、プログラマによって作成された患者の暗号化データを解読するための、コンピュータ内に存在するデータ暗号解読エンジンである。本発明のさらに他の特徴は、暗号化エンジンおよび暗号解読エンジンに、暗号化／暗号解読プロセスによって用いられる１セットのキーを提供するキー源である。
【００３９】
本発明の他の目的、利点、および特徴は、添付の図面、詳細な説明、および請求の範囲を参照することによって明白になるであろう。
【００４０】
本発明は、同様に、本発明の好ましい実施形態の以下の詳細な説明を添付の図面に関連して参照することによってさらに理解される。添付の図面では、図面全体にわたって同様の参照符号は同様の部分を指す。
【００４１】
【発明の実施の形態】
図１は、本発明の主要な構成要素の簡略化された概略図である。特に、プログラマ２０、ウェブトップユニット２０’およびＩＭＤ１０、ＩＭＤ１０’、ＩＭＤ１０”で示される多数の植込可能な医療用デバイス（ＩＭＤ）間の双方向無線通信システムが図示される。ＩＭＤは、患者１２の皮膚または筋肉下に植込されている。ＩＭＤは、従来技術で既知の様式で、電極１８、３０、および３６にそれぞれ電気接続されている。ＩＭＤ１０は、予め設定され、プログラムされた機能と一致するタイミング、感知、およびペーシング機能のためのマイクロプロセッサを含む。同様に、ＩＭＤ１０’および１０”は、マイクロプロセッサーをベースとし、タイミングおよび感知機能を提供し、使用目的である臨床機能を実行する。例えば、ＩＭＤ１０’は、電極３０を介して脳に神経刺激を与え、ＩＭＤ１０”は、電極３６によって制御される薬剤送達システムとして機能し得る。ＩＭＤの様々な機能は無線式の遠隔測定法（テレメトリ）を用いて調整される。無線リンク４２、４４、および４６は、プログラマ２０がコマンドまたはデータを遠隔測定アンテナ２８、３２、および３８の１つを介してＩＭＤのいずれかまたはすべてに対して送信し得るように、ＩＭＤ１０、１０’、および１０”を共におよび個別に接続する。この構造によって、ＩＭＤ間に非常に柔軟性があり経済的な無線通信システムが提供される。さらに、この構造によって、冗長通信システムが提供され、アンテナ２８、３２、および３８の１つまたは２つが誤作動を起こしても、複数のＩＭＤの任意の１つにアクセスすることができる。
【００４２】
プログラミングコマンドまたはデータは、プログラマ２０からＩＭＤ１０、１０’、および１０”に外部ＲＦ遠隔測定アンテナ２４を介して送信される。遠隔送信アンテナ２４は、ＲＦヘッドまたはそれと同等のものであればよい。アンテナ２４は、プログラマ２０のケースまたはハウジングの外部に配置され得る。遠隔測定アンテナ２４は、一般に、テレスコープ型で、プログラマ２０のケース上で調整され得る。プログラマ２０およびウェブトップユニット２０’は、患者１２から数フィート離れて配置され得るが、遠隔測定アンテナ２８、３２、および３８と無線で通信できる範囲内にある。
【００４３】
ウェブをベースとした遠隔エキスパートデータセンター６２（以後、限定なく同義で「データセンター６２」、「エキスパートデータセンター６２」、または「ウェブをベースとしたデータセンター６２」と呼ぶ）へのアップリンクは、プログラマ２０またはウェブトップユニット２０’を通して成し遂げられる。従って、プログラマ２０およびウェブトップユニット２０’は、ＩＭＤ１０、１０’、および１０”とデータセンター６２との間のインターフェースとして機能する。本発明の多くの特筆すべき要素の１つとして、プログラマ２０とデータセンター６２との間で高精細ディジタル／アナログデータを双方向に送信するための様々なスケーラブルで信頼のおける高速無線通信システムを用いることが挙げられる。
【００４４】
プログラマ２０またはウェブトップユニット２０’と、データセンター６２との間にデータ通信を確立し得る様々な無線媒体がある。プログラマ２０またはウェブトップユニット２０’と、データセンター６２との間の通信リンクはモデム６０であり得る。モデム６０は、一方では、ライン６３でプログラマ２０に接続され、他方では、ライン６４でデータセンター６２に接続されている。この場合、データはデータセンター６２からモデム６０を介してプログラマ２０に転送される。代替のデータ送信システムには、ライン５０によって曲線が描かれた調整可能な周波数波を介して無線でプログラマ２０に接続されている固定マイクロ波および／またはＲＦアンテナ４８が限定なしに含まれる。アンテナ４８は、無線リンク６５を介してデータセンター６２と通信する。同様に、ウェブトップユニット２０’、移動車両５２、およびサテライト５６は無線リンク６５を介してデータセンター６２と通信する。さらに、移動システム５２およびサテライト５６は、プログラマ２０またはウェブトップユニット２０’と調整可能な周波数波５４および５８をそれぞれ介して無線通信する。
【００４５】
好ましい実施形態では、テルネットシステムがデータセンター６２に無線でアクセスするように用いられる。テルネットは、顧客／サーバモデルをエミュレートし、顧客は専用のソフトウェアを起動させてデータセンター６２にアクセスしなければならない。本発明と共に用いることを想定したテルネット方式には、ＵＮＩＸ、マッキントッシュ、およびウィンドウズのすべてのバージョンを含む様々なオペレーティングシステムが含まれる。
【００４６】
機能的には、プログラマ２０のオペレータまたはデータセンター６２のオペレータが遠隔接触を開始する。プログラマ２０は、データ受信および送信を可能にするために、リンクアンテナ２８、３２、および３８を介してＩＭＤにダウンリンク可能である。例えば、データセンター６２のオペレータまたは臨床医は、プログラマ２０にダウンリンクし、プログラマ２０の決まり切ったまたはスケジュールされた評価を行う。この場合、無線通信は、無線リンク６５を介してなされる。例えば、プログラマ２０からＩＭＤ１０へのダウンリンクが必要なとき、ダウンリンクは、遠隔測定アンテナ２２を用いて行われる。あるいは、患者１２からプログラマ２０へのアップリンクが開始される場合、アップリンクは、無線リンク２６を介して実行される。以下に議論するように、ＩＭＤからの各アンテナはＩＭＤのすべてまたは１つをプログラマ２０にアップリンクするために用いることができる。例えば、神経植込片３０に関連するＩＭＤ１０”は、無線アンテナ３４または無線アンテナ３４’を介して、任意の１つ、２つまたはそれ以上のＩＭＤをプログラマ２０にアップリンクするために実現され得る。好ましくは、体内から体外まで機能するように適合され、また低電流を流すようにも適合されたブルーツースチップ（bluetooth chip）は、無線およびシームレス接続４２、４４、および４６をＩＭＤ１０、１０’、および１０”間に提供するために植込まれる。通信方式は、広帯域適合し、多数の情報セットおよびアーキテクチャを同時にサポートし、比較的高速で送信し、データ、サウンドおよび映像サービスをオンデマンドで提供し得るように設計されている。
【００４７】
図２は、本発明によって考えられるようなＩＭＤの典型的な構成要素を示す。特に、すべてのＩＭＤ１０、１０’、および１０”に共通した主な動作構成を一般的なフォーマットで示す。簡潔にするため、図２に対するＩＭＤ１０は他のすべてのＩＭＤを指すものとする。従って、ＩＭＤ１０は、当該技術分野で既知の様式で、患者１２の皮膚または筋肉下に植込まれ、少なくとも１つの心臓ペーシングリード１８のペース／感知電極およびリード導体（単数および複数）を通して患者１２の心臓１６に電気接続される。ＩＭＤ１０は、プログラムされた動作モードに従ったタイミング、感知、およびペーシング機能のためのマイクロプロセッサ７４またはディジタル状態機器を用い得るオペレーティングシステムを含むタイミング制御７２を有する。ＩＭＤ１０はまた、心臓信号を検出するためのセンス増幅器、心臓血液搏出量の必要を感知するための患者のアクティビティセンサまたは他の生理学的センサ、および従来技術で既知の様式でオペレーティングシステムの制御下で、ペーシングパルスを心臓１６の少なくとも１つの心臓チャンバに送達させるためのパルス生成出力回路を含む。オペレーティングシステムは、オペレーティングシステムによって用いられる様々なプログラムイン動作モードおよびパラメータ値を格納するためのメモリレジスタまたはＲＡＭ／ＲＯＭ７６を有する。メモリレジスタまたはＲＡＭ／ＲＯＭ７６はまた、感知された心臓アクティビティから編集されたおよび／またはデバイス動作履歴に関連するデータ、または感知された生理学的パラメータを格納し、検索または問い合わせ命令を受けた際に遠隔測定を出せるように用いられ得る。これらのすべての機能および動作は、当該技術分野で周知であり、その多くは、一般に、デバイス動作を制御するための動作コマンド、およびデバイス機能または患者の状態を診断するために後に検索されるデータを格納するために用いられる。
【００４８】
プログラミングコマンドまたはデータは、例えば、ＩＭＤ１０のＲＦ遠隔測定アンテナ２８と、プログラマ２０と関連した外部ＲＦ遠隔測定アンテナ２４との間で送信される。この場合、外部ＲＦ遠隔測定アンテナ２４は、ＩＭＤ１０と重なる患者の皮膚に近接して配置され得るように、プログラマＲＦヘッドに含まれる必要はない。その代わりに、外部ＲＦ遠隔測定アンテナ２４は、プログラマ２０のケース上に配置され得る。プログラマ２０は、患者１２からいくらかの距離だけ離れて配置することができ、ＩＭＤ１０、１０’、および１０”と、プログラマ２０との通信が遠隔測定できるようにＩＭＤに近接して局部的に配置される。例えば、プログラマ２０および外部ＲＦ遠隔測定アンテナ２４は、患者１２から数メートルほど離れたスタンド上に配置され得る。さらに、患者１２は、リアルタイムＥＣＧまたは他の生理学的パラメータのアップリンク遠隔測定問い合わせ中に、活動してもよく、トレッドミルなどの上で動作することもできる。プログラマ２０はまた、従来技術のＲＦ遠隔測定アンテナを用いる現存するＩＭＤを普遍的にプログラムできるように設計され得るため、従来のプログラマＲＦヘッド、およびこのヘッドと共に選択的に用いられる関連のソフトウェアを有する。
【００４９】
ＩＭＤ１０とプログラマ２０との間のアップリンク通信では、例えば、遠隔測定通信２２が駆動され、送信機として作動し、外部ＲＦ遠隔測定アンテナ２４が遠隔測定受信機として作動する。このように、データおよび情報は、ＩＭＤ１０からプログラマ２０へと送信され得る。あるいは、ＩＭＤ１０のＲＦ遠隔測定アンテナ２６は、遠隔測定受信機アンテナとして作動し、データおよび情報をプログラマ２０からダウンリンクする。ＲＦ遠隔測定アンテナ２２および２６は共に、送信機および受信機を含む送受信機に接続されている。
【００５０】
図３Ａは、プログラマ２０の主要な機能構成要素の簡略化された回路ブロック図である。プログラマ２０上の外部ＲＦ遠隔測定アンテナ２４は、遠隔測定送受信機８６、ならびに遠隔測定送信機および遠隔測定受信機３４を含むアンテナ駆動回路基盤に接続されている。遠隔測定送信機および遠隔測定受信機は、マイクロコンピュータ８０の制御下で作動する制御回路およびレジスタに接続されている。同様に、ＩＭＤ１０内では、例えば、ＲＦ遠隔測定アンテナ２６は、遠隔測定送信機および遠隔測定受信機を含む遠隔測定送受信機に接続されている。ＩＭＤ１０内の遠隔測定送信機および遠隔測定受信機は、マイクロコンピュータ７４の制御下で作動する制御回路およびレジスタに接続されている。
【００５１】
さらに図３Ａを参照すると、プログラマ２０は、例えば、インテルペンティアムマイクロプロセッサ等であり得る中央処理ユニットを導入するパーソナルコンピュータ型マイクロプロセッサをベースとしたデバイスである。システムバスは、ＣＰＵ８０と、動作プログラムおよびデータを格納するハードディスクドライブ、ならびにグラフィックス回路およびインターフェースコントローラモジュールとを相互接続する。フロッピーディスクドライバまたはＣＤ ＲＯＭドライブはまた、バスに接続され、プログラマ２０のハウジング内のディスク挿入スロットを介してアクセス可能である。プログラマ２０はさらに、インターフェースモジュールを有し、インターフェースモジュールは、ディジタル回路、非絶縁アナログ回路、および絶縁アナログ回路を有する。ディジタル回路は、インターフェースモジュールがインターフェースコントローラモジュールと通信することを可能にする。本発明によるプログラマの動作は、マイクロプロセッサ８０によって制御される。
【００５２】
医師もしくは他の介護人またはオペレータがプログラマ２０と通信するために、ＣＰＵ８０に接続されたキーボードまたは入力８２が選択的に設けられる。しかし、主要な通信モードは、グラフィックス回路によって制御される周知の「タッチセンシティブ」型のグラフィックスディスプレイスクリーンを通して行われ得る。プログラマ２０のユーザは、グラフィックス回路にも接続されたペン（ユーザ、またはテキストもしくは数および他のシンボルを入力するための英数字キーボードによって選択されるメニュー選択を表示するスクリーンまたはディスプレイ８４上の様々なロケーションを指すために用いられる）を用いてスクリーンと相互作用し得る。様々なタッチスクリーンアセンブリが既知で、市販されている。ディスプレイ８４および／またはキーボードは、オペレータがコマンド信号を入力し、ダウンリンクまたはアップリンク遠隔測定の送信を開始し、データセンター６２または植込まれたデバイスとの遠隔測定リンクが一旦確立されると、遠隔測定セッションを開始および制御するための手段を有する。ディスプレイスクリーン８４はまた、患者に関連したデータ、メニュー選択、および以下に説明するように本発明に従ってデータを入力する際に用いられるデータエントリフィールドを表示するためにも用いられる。ディスプレイスクリーン８４はまた、遠隔測定されたデータまたはリアルタイムデータの様々なスクリーンも表示する。
ディスプレイスクリーン８４はまた、受信時に軽い衝撃音を与える事象信号も表示し、それによって、オペレータがリンク履歴および状態を適時検討することができるようにする手段として作用する。
【００５３】
プログラマ２０はさらに、インターフェースモジュールを有し、インターフェースモジュールは、ディジタル回路、非絶縁アナログ回路、および絶縁アナログ回路を有する。ディジタル回路は、インターフェースモジュールがインターフェースコントローラモジュールと通信することを可能にする。上述したように、本発明に従ったプログラマ２０の動作は、マイクロプロセッサ８０で制御される。プログラマ２０は、好ましくは、Ｗｉｎｋｌｅｒの米国特許第５，３４５，３６２号に開示されているタイプであり、本明細書では、この文献を参照によりそのまま援用する。
【００５４】
スクリーン８４はまた、アップリンクされた事象信号を受信するとその信号を表示し、それによって、プログラマ２０のオペレータが植込まれたデバイスからのアップリンク遠隔測定の受信と、必要に応じて患者の身体に対する応答誘発作用の適用とを関連づけることを可能にする手段として作用する。プログラマ２０にはまた、インターフェースコントローラモジュールに接続されたストリップチャートプリンタなどが設けられ、表示スクリーン上に表示される患者のＥＣＧ、ＥＧＭ、グラフィックスのマーカーチャネルのハードコピーが生成され得る。
【００５５】
当業者には言うまでもなく、プログラマ２０に、植込まれた医療用デバイスのタイプまたは年代によって、その動作モードをプログラムし、データおよび情報をプログラマ２０とデータセンター６２との間で送信する無線通信システムに対応するように適用させるための手段を設けることがしばしば望まれる。
【００５６】
図３Ｂは、Ｌｕｃｅｎｔ Ｔｅｃｈｎｏｌｏｇｉｅｓまたはそれと同等のものによって製造された、例えば、ＷａｖｅＳｔａｒ Ｏｐｔｉｃ Ａｉｒ Ｕｎｉｔなどのレーザ技術を用いるウェーブユニット９０の主要な構成要素を図示する。この実施形態は、いくつかのプログラマを伴う応用において、高速の大きなデータ転送のために実現され得る。ユニットは、レーザ９２、送受信機９４、および増幅器９６を有する。第１のウェーブユニット９０は、データセンター６２に設けられ、第２のユニット９０’は、プログラマ２０またはウェブトップユニット２０’に近接して配置される。遠隔データセンター６２とプログラマユニット２０との間のデータ送信は、ウェーブユニット９０を介して実行される。通常、第１のウェーブユニット９０は、データを受け取り、それを特有の波長に分離して送信する。第２のウェーブユニット９０’は、データをその元の形式に再構成する。
【００５７】
図４は、本発明の原理システムを示す簡略ブロック図である。遠隔エキスパートシステムまたはデータセンター６２は、データリソース１００を有する。上記で議論したように、データセンター６２は、好ましくはプログラマ２０と無線通信する。プログラマ２０とデータセンター６２との間の通信媒体は、上記で議論したいくつかのケーブルおよび無線システムのうちの１つまたは組み合わせから選択され得る。さらに、プログラマ２０は、図１に示すような多数のＩＭＤと無線通信する。３つのＩＭＤを例示を目的として図示しているが、いくつかのＩＭＤが実現され、本発明の実施は植込片の数そのものを制限しないことに留意されたい。
【００５８】
図５は、本発明による安全なデータ転送構造方式の１つの実施形態を示すブロック図である。この実施形態では、機密情報２２１（患者の情報など）は、プログラマ２２２から遠隔エキスパートデータセンター／遠隔データセンターにデータ通信媒体／接続２２６を介して暗号化された形式で転送される。データ通信媒体２２６は、プログラマ２２２と遠隔データセンター２２４とを相互接続するためのインターフェースである。データ通信媒体２２６は、電話線接続、イントラネット接続、インターネット接続、サテライト接続、レーザシステム、サテライト接続のコンステレーション、全地球位置把握システム（ＧＰＳ）接続、またはその任意の組み合わせを有するように構成され得る。
【００５９】
キー源２２８は、プログラマ２２２および遠隔データセンター２２４に、機密情報２２１を暗号化／解読するための暗号化/解読キーを提供する。本発明の１つの実施形態では、キー源２２８は、対称的な暗号化／解読キーを配布する。本発明の他の実施形態では、キー源２２８は、非対称的なキー（即ち、公開／プライベートキー）を配布する。本発明によって用いられる暗号化／解読アルゴリズムが、公衆に既知の標準アルゴリズムである場合、プライバシーを確保するために、キー源２２８からプログラマ２２２および２２４にキーを分配する際に、さらなるセキュリティ方策がとられなければならない。患者の機密情報に加えて、本発明はまた、医師のデータ、顧客データ、および／または製造者データを含む他の形式の機密情報２２１を遠隔エキスパートデータセンター２２４に安全に転送し得る。
【００６０】
プログラマ２２２は、機密情報２２１を得て、格納し、送信することが可能な任意の機器である。プログラマ２２２は、ＩＭＤ１０、１０’、１０”に接続され得る。ＩＭＤ１０は、患者から機密情報２２１を得て、その患者の機密情報をプログラマ２２２に転送する。
【００６１】
機密情報２２１がデータ通信媒体２２６を介して送信される前に、機密情報２２１は暗号化エンジン２３０によって暗号化される。暗号化エンジン２３０は、暗号化アルゴリズムおよびキーを用いて、機密情報２２１を暗号化する。要するに、暗号化エンジン２３０は、機密情報２２１をランダムにスクランブルがかけられたメッセージに変換する。暗号化エンジン２３０は、暗号化キーの特定値およびフォーマットに従って、暗号化され、スクランブルがかけられた異なるメッセージを生成する。様々な暗号化アルゴリズムが本発明の範囲内およびコンテキストで用いられ得る。１つの実施形態では、本発明は、対称的キー暗号法タイプアルゴリズムを用いる（即ち、機密情報２２１を暗号化し、解読するために、同じキーが、プログラマ２２２および遠隔データセンター２２４によって用いられる）。対称的キー暗号法タイプの例としては、データ暗号化標準規格（ＤＥＳ）および国際データ暗号化アルゴリズム（ＩＤＥＡ）が挙げられる。他の好ましい実施形態では、本発明は、公開キー/プライベートキー暗号法暗号化タイプアルゴリズムを用いる（即ち、機密情報２２１を暗号化および解読するために異なるキーがプログラマ２２２および遠隔データセンター２２４によって用いられる）。公開キー暗号法暗号化タイプの例としては、リベスト‐シャミール‐アルドレマンアルゴリズム（ＲＡＳ）およびプリティグッドプライバシー（ＰＧＰ）が挙げられる。
【００６２】
本発明の１つの実施形態では、暗号化エンジン２３０はまた、ディジタル署名をプログラム２２２によって送信される機密情報２２１に加える。上述したように、ディジタル署名は、通信の認証性を証明するのに有用である。ディジタル署名は、まず、メッセージダイジェスト（メッセージの１２８ビットハッシュ表示）を送信者（例えば、プログラマ２２２）のプライベートキーを用いて作成し、そのメッセージダイジェストをメッセージに添付し、メッセージダイジェストおよびメッセージを共に受信者（例えば、遠隔データセンター２２４）公開キーで暗号化することによって、機密情報２２１を含むメッセージと関連して用いることができる。受信者は、これらのステップを逆に行う。即ち、まず、メッセージを受信者のプライベートキーで解読し、署名を送信者の公開キーで解読する。
【００６３】
機密情報２２１が暗号化された後、暗号化された機密情報はデータ通信媒体２２６を介して遠隔データセンター２２４に送信される。他の実施形態では、データ通信媒体２２６は、電話線接続、イントラネット接続、インターネット接続、サテライト接続、サテライト接続のコンステレーション、全地球位置把握システム（ＧＰＳ）接続、またはその任意の組み合わせを介して実現される。データ通信媒体２２６は、例えば、機密情報２２１がプログラマ２２２から遠隔データセンター２２４に送信される間にセキュリティが影響を受けやすい。送信前に機密情報２２１を暗号化することによって、情報の機密性は保護される。
【００６４】
遠隔データセンター２２４は、プログラマ２２２によって送信される暗号化された機密情報２２１を受信する。本発明の１つの実施形態では、遠隔データセンター２２４は、第２の遠隔医療用機器２２１である。解読エンジン２３４は、遠隔データセンター２２４上に存在し、暗号化アルゴリズムに対応する解読アルゴリズムおよび元々メッセージを暗号化するために用いた暗号化キーに対応する解読キーを用いて暗号化された機密情報を解読する。解読エンジン２３４の出力は、オリジナルの暗号化されていない機密情報２２１である。
【００６５】
図６は、本発明による安全なデータ転送構造方式の他の実施形態を示すブロック図である。図５において上述した安全なデータ送信機構の実施形態とは全く対照的に、図６に示す実施形態は、暗号化された機密情報２２１を遠隔データセンター２２４から遠隔機器２２２に転送する。
【００６６】
この実施形態では、機密情報２２１は、遠隔データセンター２２４に存在する。遠隔データセンター２２４は、データ通信媒体／接続２２６を介してプログラマ２２２に転送される前に機密情報２２１を暗号化するための暗号化エンジン２３０を有する。他の実施形態では、データ通信媒体２２６は、電話線接続、イントラネット接続、インターネット接続、サテライト接続、サテライト接続のコンステレーション、全地球位置把握システム（ＧＰＳ）接続、またはその任意の組み合わせを介して実現される。プログラマ２２２は、暗号化された機密情報２２１が遠隔データセンター２２４によって転送された後に、暗号化された機密情報２２１を解読するための解読エンジン２２６を有する。キー源２２８は、プログラマ２２２および遠隔データセンター２２４に、機密情報２２１を暗号化／解読するための暗号化／解読キーを与える。
【００６７】
図６に示す本発明の実施形態は、患者のデータ、製造者のデータ、またはオペレーションデータなどの機密情報２２１が遠隔データセンター２２４からプログラマ２２２に安全に転送される必要がある場合に有用である。例えば、第１のプログラマによってモニタされる患者は、国内の異なる場所へ移動し、健康管理提供者を変える。患者からの機密情報２２１は、まず、図５において上述したように、第１のプログラマから遠隔データセンター２２４に転送され得る。次に、機密情報２２１は、図６に図示するように、新しい健康管理提供者において、遠隔データセンター２２４から第２のプログラマに転送され得る。このようにして、機密情報２２１は遠隔データセンター２２４を介して２つ以上のプログラマ２２２間で迅速かつ安全に転送され得る。
【００６８】
本発明の他の応用では、プログラマ２２２の製造者は、プログラマ２２２上のソフトウェアアプリケーションまたはその他製造者に特異的な情報の更新を所望し得る。製造者に特異的な情報は、ソフトウェアの更新または新しいソフトウェアモジュールなどの機密所有情報を有し得るため、この機密所有情報が注意深く保護されるようにすることは製造者にとっては避けられない。プログラマロケーションにおいて製造者の更新を手動でインストールするのではなく（これは、プログラマのロケーションによっては時間がかかり得る）、本発明によると、本明細書に開示される様々な暗号化技術または同等の構造および方法を用いて製造者の更新を安全に転送することができる。
【００６９】
図７は、本発明による安全なデータ転送構造および方法のさらに他の実施形態を示すブロック図である。上述した一方向データ転送能力（即ち、プログラマ２２２から遠隔データセンター２２４へのデータ転送、および遠隔データセンター２２４からプログラマ２２２へのデータ転送）とは対照的に、本実施形態は、遠隔データセンター２２４とプログラマ２２２との間での暗号化された機密情報の双方向データ送信を可能にする。
【００７０】
図７に示す実施形態では、プログラマ２２２は、暗号化エンジン２３０および解読エンジン２３４を共に含む。同様に、遠隔データセンター２２４は、暗号化エンジン２３０および解読エンジン２３４を共に含む。キー源２２８は、プログラマ２２２および遠隔データセンター２２４に、プログラマ２２２および／または遠隔データセンター２２４上に存在する機密情報２２１を暗号化／解読するための暗号化／解読キーを提供する。機密データは、データ通信媒体２２６を介してプログラマ２２２と遠隔データセンター２２４との間で転送される。他の実施形態では、データ通信媒体２２６は、電話線接続、イントラネット接続、インターネット接続、サテライト接続、サテライト接続のコンステレーション、全地球位置把握システム（ＧＰＳ）接続、またはその任意の組み合わせを介して実現される。
【００７１】
図７に示す実施形態の１つの応用では、暗号化された機密情報２２１の直接的な転送は、２つ以上のプログラマ２２２間で直接発生し得る。換言すると、遠隔データセンター２２４は、第２のプログラマであり得る。この例では、各プログラマ２２２は、双方向の安全なデータ転送をサポートする（即ち、暗号化エンジンおよび解読エンジンを共に含む）ため、図６で上述したような、個別の遠隔データセンター２２４は、２つ以上のプログラマ２２２間の通信をサポートするために必要ではない。
【００７２】
図８は、概して参照符号２８０で示すように、本発明に従って、患者の機密情報をプログラマ２２２から遠隔データセンター２２４に安全に送信するための方法を例示するフローチャートである。この方法は、ステップ２８２で示すように、プログラマ２２２に配布するための第１の暗号化キーを生成することによって開始する。ステップ２８４では、遠隔データセンター２２４に配布するための第２の暗号化キーが生成される。第１の暗号化キーおよび第２の解読キーは共に、図５から図７に示すキー源２２８によって生成される。上述した多数の異なるアルゴリズムは、第１の暗号化キーおよび第２の暗号化キーを生成するために用いられ得る。本発明の１つの実施形態では、第１の暗号化キーおよび第２の解読キーは同じである（即ち、対称的キー暗号化）。本発明の他の実施形態では、第１の暗号化キーおよび第２の暗号化キーは異なる（即ち，公開／プライベートキー暗号化）。両実施形態では、第１の暗号化キーおよび第２の暗号化キーは、第１の暗号化キーによって形成された暗号化ファイルが第２の暗号化キーによって解読され得るように関連づけられる。
【００７３】
ステップ２８６では、プログラマ２２２上に存在する（機密情報２２１などの）機密情報は、第１の暗号化キーで暗号化される。プログラマ２２２上に存在する暗号化アルゴリズムは、機密情報２２１および第１の暗号化キーを入力として得て、暗号化された機密情報を含むファイルを出力として形成する。
【００７４】
次に、ステップ２８８に示すように、暗号化された機密情報２２１は、データ通信媒体／接続２２６を介して、プログラマ２２２から遠隔データセンター２２４に転送される。他の実施形態では、データ通信媒体／接続２２６は、電話線接続、イントラネット接続、インターネット接続、サテライト接続、サテライト接続のコンステレーション、全地球位置把握システム（ＧＰＳ）接続、またはその任意の組み合わせを介して成し遂げられる。上記のように、データ通信媒体／接続２２６は、情報がプログラマ２２２から遠隔データセンター２２４に送信される際の機密情報２２１のセキュリティを脅かすセキュリティの弱さを経験し得る。送信前に機密情報２２１を暗号化することによって、データ通信媒体／接続２２６上での送信中に情報の機密性は保護される。
【００７５】
最後に、ステップ２９０に示すように、遠隔データセンター２２４上に現在存在する暗号化された機密情報２２１は、第２の暗号化キーで解読される。解読エンジン２３４は、暗号化された機密情報２２１および第２の暗号化キーを入力として得て、遠隔データセンター２２４で使用するためのオリジナルの暗号化されていない機密情報２２１を生成する。
【００７６】
図９は、概して参照符号３００で示すように、本発明に従って機密情報２２１を遠隔データセンター２２４からプログラマ２２２に安全に送信するための方法を例示する他のフローチャートである。図８に示す方法とは全く対照的に、図９の方法は、遠隔データセンター２２４からプログラマ２２２への機密情報２２１の転送を示す。
【００７７】
ステップ３０２に示すように、この方法は、コンピュータに配布するための第１の暗号化キーを生成することによって開始する。次に、ステップ３０４に示すように、プログラマ２２２に配布するための第２の暗号化キーが生成される。第１の暗号化キーおよび第２の暗号化キーは、図６から図８に示すように、キー源２２８によって生成される。多数の異なるアルゴリズム（そのいくつかについては上述した）は、第１の暗号化キーおよび第２の暗号化キーを生成するために用いられ得る。１つの実施形態では、第１の暗号化キーおよび第２の暗号化キーは同じである（即ち、対称的キー暗号化）。他の実施形態では、第１の暗号化キーおよび第２の暗号化キーは異なる（即ち、公開／プライベートキー暗号化）。両実施形態では、第１の暗号化キーおよび第２の暗号化キーは、第１の暗号化キーによって形成される暗号化ファイルが第２の暗号化キーによって解読され得るように関連づけられる。
【００７８】
ステップ３０６において、遠隔データセンター２２４上に存在する機密情報２２１は、第１の暗号化キーで暗号化される。遠隔データセンター２２４上に存在する暗号化アルゴリズムは、機密情報２２１および第１の暗号化キーを入力として得て、暗号化された機密情報２２１を含む出力ファイルを形成する。
【００７９】
次に、ステップ３０８に示すように、暗号化された機密情報２２１は、遠隔データセンター２２４からプログラマ２２２に転送される。最後に、ステップ３１０に示すように、プログラマ２２２に現存する暗号化された機密情報２２１は、第２の暗号化キーで解読される。解読エンジン２３４は、暗号化された機密情報２２１および第２の暗号化キーを入力として得て、プログラマ２２２で用いるためのオリジナルの暗号化されていない機密情報２２１を生成する。
【００８０】
図１０は、本発明に従って機密情報２２１をプログラマ２２２から遠隔データセンター２２４に安全に送信するための方法を導入する、データリソース３５０の要素および対応のコンピュータ読出し可能媒体３５２を示す遠隔データセンターのブロック図である。外部コンピュータ読出し可能媒体３５２の実施形態は、限定はされないが、ＣＤ−ＲＯＭ、フロッピーディスク、またはディスクカートリッジを含む。本発明の安全なデータ転送方法は、様々に編集および解釈されるコンピュータ言語で実現され得る。外部コンピュータ読出し媒体３５２は、ソースコード、オブジェクトコード、実行可能コード、シェルスクリプト、および／または安全なデータ転送方法のためのダイナミックリンクライブラリを格納する。入力デバイス３５４は、外部コンピュータ読出し可能媒体３５２を読み出し、このデータをデータリソース３５０に提供する。入力デバイス３５４の実施形態は、限定はされないが、ＣＤ−ＲＯＭリーダー、フロッピーディスクドライブ、またはデータカートリッジリーダーを含む。
【００８１】
システム３５０は、本発明による安全なデータ転送方法を実行するための中央処理ユニット３５６を有する。データリソース３５０はまた、実行前、実行中、および実行後に安全にデータを局部的に格納するためのローカルディスク格納部３６２を有する。安全なデータ転送方法はまた、実行中にデータリソース３５０内でメモリ３６０を用いる。安全なデータ転送方法を実行すると、出力データが生成され、出力デバイス３５８に方向づけられる。出力デバイス３５８の実施形態は、限定はされないが、コンピュータ表示デバイス、プリンタ、および／またはディスク格納デバイスを含む。
【００８２】
【発明の効果】
従って、本発明は、患者のデータなどの機密情報を、データ暗号化によってプログラマから中央コンピュータまたはデータセンターに安全に転送するためのシステムおよび方法を提供する。本発明の安全なデータ転送システムおよび方法は、公開ネットワークをわたってデータを送信している間に遭遇し得るリスクから個人的な患者のデータを保護する。特化されたデータ暗号化方式、方法、および構造を実現することによって、本発明は、遠隔エキスパートデータセンターが様々な通信媒体をわたって臨床および他の患者に関連する個人的な情報を交換することができるようにする。
【００８３】
本明細書では、本発明の特別な実施形態を詳細に説明したが、これは例示のみを目的とし、添付の請求の範囲に定義される本発明の範囲を限定するものとして考えられてはならないことを理解されたい。様々な改変、交換、および変更が、添付の請求の範囲の精神および範囲から逸脱せずに本明細書に記載する実施形態に対してなされ得ることを理解されたい。
【図面の簡単な説明】
【図１】図１は、遠隔臨床ステーションと、プログラマと、複数の植込可能な医療用デバイス（ＩＭＤ）との間の主要なアップリンクおよびダウンリンク遠隔測定通信の簡略化された概略図である。
【図２】図２は、ＩＭＤの主要な構成要素を示すブロック図である。
【図３】図３Ａは、プログラマまたはウェブトップユニットの主要な構成要素を示すブロック図であり、図３Ｂは、音声、映像、および他のデータを高速通信するためのレーザ送受信機を示すブロック図である。
【図４】図４は、本発明による無線通信システムの組織構造を示すブロック図である。
【図５】図５は、本発明による安全なデータ転送機構の第１の実施形態を示すブロック図である。
【図６】図６は、本発明による安全なデータ転送機構の第２の実施形態を示すブロック図である。
【図７】図７は、本発明による安全なデータ転送機構の第３の実施形態を示すブロック図である。
【図８】図８は、本発明に従って機密情報をプログラマからコンピュータに安全に送信するための方法を例示するフローチャートである。
【図９】図９は、本発明に従って機密情報をコンピュータからプログラマに安全に送信するための方法を例示するフローチャートである。
【図１０】図１０は、本発明に従って患者の機密情報をプログラマからコンピュータに安全に送信するための方法を導入する、遠隔データセンターまたはコンピュータシステム、および対応するコンピュータ読出し可能な媒体のブロック図である。
【符号の説明】
１０ ＩＭＤ
１０’ ＩＭＤ
１０” ＩＭＤ
１２ 患者
１６ 心臓
１８ 電極
２０ プログラマ
２０’ ウェブトップユニット
２２ 遠隔測定アンテナ
２４ 外部ＲＦ遠隔測定アンテナ
２６ 無線リンク
２８ 遠隔測定アンテナ
３０ 電極
３２ 遠隔測定アンテナ
３４ 無線アンテナ
３４’ 無線アンテナ
３６ 電極
３８ 遠隔測定アンテナ
４２ 無線リンク
４４ 無線リンク
４６ 無線リンク
４８ 固定マイクロ波および／またはＲＦアンテナ
５０ ライン
５２ 移動車両
５４ 調整可能な周波数波
５６ サテライト
５８ 調整可能な周波数波
６０ モデム
６２ データセンター
６３ ライン
６５ 無線リンク

Claims (10)

1. ウェブをベースとした遠隔エキスパートデータセンターと統合された双方向通信システムであって、
   植込可能な医療用デバイス（ＩＭＤ）のためのプログラマデバイスは、前記ウェブをベースとしたエキスパートデータセンターに前記双方向通信システムを介してアップリンクされ、当該プログラマデバイスは、当該植込可能な医療用デバイスにダウンリンクされ、前記プログラマデバイスと共に前記ウェブをベースとしたエキスパートデータセンターは、患者の記録が転送される安全な医療情報交換ネットワークを形成し、該プログラマデバイスはＩＭＤと遠隔測定通信するよう構成され、
   前記医療情報交換ネットワークは、
   前記プログラマデバイス内に存在する、機密情報を格納するためのデータベースと、
   前記プログラマデバイスおよび前記ウェブをベースとしたエキスパートデータセンターとデータ通信する、暗号化キーを前記プログラマデバイスに、解読キーを前記エキスパートデータセンターに送信するためのキー源と、
   前記プログラマデバイス内に存在する、前記暗号化キーを用いて前記機密情報を暗号化するための暗号化エンジンと、
   前記プログラマデバイスを前記エキスパートデータセンターに接続するためのインターフェースと、
   前記エキスパートデータセンター内に存在する、前記解読キーを用いて暗号化された前記機密情報を解読するための解読エンジンと、
   を備えている双方向通信システム。
2. ウェブをベースとした遠隔エキスパートデータセンターと統合された双方向通信システムであって、
   植込可能な医療用デバイス（ＩＭＤ）のためのプログラマデバイスは、前記ウェブをベースとしたエキスパートデータセンターに前記双方向通信システムを介してアップリンクされ、当該プログラマデバイスは、当該植込可能な医療用デバイスにダウンリンクされ、前記プログラマデバイスと共に前記ウェブをベースとしたエキスパートデータセンターは、患者の記録が転送される安全な医療情報交換ネットワークを形成し、該プログラマデバイスはＩＭＤと遠隔測定通信するよう構成され、該医療情報交換ネットワークは前記遠隔エキスパートデータセンターから前記プログラマデバイスへ情報を転送するための転送システムを有し、
   前記転送システムは、
   前記遠隔エキスパートデータセンター内に存在する、機密情報を格納するためのデータベースと、
   前記プログラマデバイスおよび前記遠隔エキスパートデータセンターとデータ通信する、暗号化キーを前記遠隔エキスパートデータセンターに、解読キーを前記プログラマデバイスに配布するためのキー源と、
   前記遠隔エキスパートデータセンター内に存在する、前記暗号化キーを用いて前記機密情報を暗号化するための暗号化エンジンと、
   前記遠隔エキスパートデータセンターを前記プログラマデバイスに接続するためのインターフェースと、
   前記プログラマデバイス内に存在する、前記解読キーを用いて暗号化された前記機密情報を解読するための解読エンジンと、
   を備えている双方向通信システム。
3. 前記データベース内に格納された前記機密情報は、前記植込可能な医療用デバイスから得られるデータを含む請求項１および２のいずれか１項に記載のシステム。
4. 前記データベース内に格納された前記機密情報は、患者の秘密情報を含む請求項１〜３のいずれか１項に記載のシステム。
5. 前記インターフェースは電話線接続、イントラネット接続、インターネット接続、サテライト接続、および全地球位置把握システム接続のうち少なくとも１つを備える、請求項１〜４のいずれか１項に記載のシステム。
6. 前記インターフェースは、電話線通信、イントラネット通信、インターネット通信、サテライト通信、および全地球位置把握システム通信からなる通信リンクのグループから選択される少なくとも２つの通信リンクを含む請求項１〜５のいずれか１項に記載のシステム。
7. 前記暗号化キーおよび前記解読キーは対称的なキーである請求項１〜６のいずれか１項に記載のシステム。
8. 前記暗号化キーおよび前記解読キーは非対称的なキーである請求項１〜６のいずれか１項に記載のシステム。
9. 前記暗号化された機密情報はディジタル署名を含む請求項１〜８のいずれか１項に記載のシステム。
10. 前記遠隔エキスパートデータセンターは第２の医療用デバイスである請求項１〜９のいずれか１項に記載のシステム。

Images