JP5085561B2 - 患者用医療デバイスの遠隔プログラミング - Google Patents

Description

本発明は、概して、医療デバイスのプログラミングに関し、具体的には、患者用医療デバイスを遠隔でプログラムするためのシステムおよび方法に関する。

食品医薬品局（ＦＤＡ）は、医療上の規制や連邦法に基づき、医療デバイスを３つのクラスに分類している。クラスＩＩＩの医療デバイスは、継続的な取締管理の対象となり、認可された医療介護者の監督下でのみ、問い合わせを行い、プログラミングすることができる。クラスＩＩＩの医療デバイスには、心臓ペースメーカー、除細動器、および小脳刺激装置等の植え込み型医療デバイス（ＩＭＤ）や、自動体外式除細動器（ＡＥＤ）等のある種の体外式医療デバイス（ＥＭＤ）が含まれる。

これまで、クラスＩＩＩの医療デバイスの問い合わせおよびプログラミングは、患者データおよびデバイス設定を読み出し新たなプログラミングを適用するために、誘導的な、またはより最近ではラジオ周波数（ＲＦ）テレメトリ等の無線テレメトリを用いた、ＦＤＡ規制のプログラマレコーダを使用して、診療所または病院で行われなければならなかった。しかし、診療所での受診には、控えめに見ても、時間や費用がかかり、不便である。したがって、患者管理を改善するために、介護者が診療所または病院の外にある患者の医療デバイスに遠隔からアクセスすることができる、リピータ等の患者が操作可能なモニタが開発されてきた。これらのモニタは、介護者による考察および保存のためのレポジトリに定期的に配信される、患者データおよびデバイス設定を遠隔で読み出すことができる。

その利便性にもかかわらず、患者が操作可能なモニタは、患者の安全性および規制遵守の理由から、現在医療デバイスのプログラムが許されていない。例えば、非ＦＤＡ規制デバイスによりプログラミングを行うことができないため、現在、いかなる遠隔プログラミングも、適正に規制されたデバイスを介したインタフェースを含まなければならない。同様に、デバイスの動作を現場でテストするためにいくつかのデバイスパラメータが使用され、生命にかかわる危険性がある。結果として、これらのパラメータは、生命安全装置を備えた診療所内で、かつ訓練を受けた医療関係者の下でしか変更することができない。最後に、診療所内でプログラミングが行われる際には患者の同意を前提にし得るが、遠隔プログラミングが試行される前には、明示的に確保されなければならない。従来のアプローチでは、これらの問題に適切に対処していなかった。

例えば、特許文献１（Ｗｅｂｂらに対し２００６年６月１３日に発行）には、ＩＭＤを遠隔でプログラムするシステムおよび方法が開示されている。保留されるプログラミング要求は、最も新しい要求に対する順番から順番付けられる要求キューに置かれる。要求は暗号化することができ、また要求がＩＭＤに以前に適用されたより早いいかなる要求よりも後の順番であることを遠隔モニタが判断できるようにする、連番を割り当てることができる。しかし、Ｗｅｂｂは、遠隔プログラミングを有効にするために完全に規制されたインフラストラクチャを仮定している。さらに、そのようなインフラストラクチャは、配備に費用がかかり、またプログラミングの変更を行うように医師が要請されたときに利用可能でない場合がある。
米国特許第７，０６０，０３１号明細書

したがって、プログラミングを指定する唯一の手段として規制環境を必要とせず、患者の安全性と遵守の両方を確保する遠隔医療デバイスプログラミングへのアプローチが必要とされている。

ＩＭＤでもＥＭＤでも、介護者が遠隔で患者用医療デバイス（ＰＭＤ）のプログラミングを行うことができるようにするためのシステムおよび方法は、規制または非規制コンポーネントを論理的に分離するための対となった制御ゾーンを含む。介護者は、パーソナルコンピュータやウェブクライアント上で実行される専用アプリケーション等の非規制コンポーネント、または遠隔接続可能なプログラマ等の規制コンポーネントを使用して、プログラミング命令を指定することができる。プログラミング命令は、実時間または延期された時間に指定することができる。介護者は、患者を危険にさらすのを回避するため、患者が介護者の監視下にないときに安全に実行することができる操作を指定するプログラミング命令を選択することができるのみである。非規制制御ゾーンから発せられたプログラミング命令は、サーバを通して規制制御ゾーンに転送される。それぞれのプログラミング命令は、ＰＭＤ表現でフォーマットされたコマンドに翻訳され、これはその正確性についてチェックされる。ＰＭＤフォーマットコマンドは、信頼されたサーバによりデジタル署名される。ＰＭＤフォーマットコマンドは、単純なウェブページまたは表示可能な表現に変換され、これは正確性を検討するために介護者に返信される。介護者の承認後、ＰＭＤフォーマットコマンドは、遠隔プログラミングデバイス（ＲＰＤ）への配信のためにマークされる。ＰＭＤフォーマットコマンドは、真正および整合性について、ＲＰＤ、ＩＭＤ、または両方のデバイスにより検証される。検証に成功すると、ＰＭＤフォーマットコマンドはＰＭＤに適用される。次にＰＭＤは、確認および介護者の検討のため、プログラミング後のデータを読み出すために問い合わせられる。

一実施形態は、患者用医療デバイス（ＰＭＤ）を遠隔でプログラムするためのシステムおよび方法を提供する。遠隔で指定されたプログラミング命令は、ＰＭＤの機能性を制御するためにそれ用にフォーマットされたコマンドに翻訳される。ＰＭＤフォーマットコマンドの正確性がチェックされる。ＰＭＤの機能性を変更することに対する患者の同意が確認される。遠隔で始動され実行されるプログラミングセッションの間、ＰＭＤフォーマットコマンドのＰＭＤへの適用が制御される。変更される機能性を検証するために、ＰＭＤの問い合わせを通してＰＭＤフォーマットコマンドの適用が確認される。

本発明を実施するために考慮される最良の形態を例示する目的で本発明の実施形態が説明される、以下の詳細な説明から、当業者にはさらに他の実施形態が容易に明確となるだろう。理解されるように、本発明は、他の異なる実施形態が可能であり、そのいくつかの詳細は、すべて本発明の主旨および範囲から逸脱しない限り、様々な自明の点において変更が可能である。したがって、図面および詳細な説明は、制限的なものではなく、本来例示的なものとしてみなされるべきである。

ここでは、心臓および心肺系の治療および監視を提供することを意図してＩＭＤおよびＥＭＤに関して述べているが、説明される実施形態は、概して、遠隔で問い合わせが行われ、プログラムされることが可能な患者用医療デバイスのすべての形態に適用される。

基本的に、ＰＭＤの遠隔プログラミングには、ＦＤＡやその他の該当する患者管理規制およびガイドラインの遵守が維持されていなければならないコンポーネントを、論理的に他のコンポーネントから分離させることが必要である。また、遠隔プログラミングには、これらのすべてのコンポーネント間の、確実で安全かつ信頼性のある連携を確立し管理することが必要である。図１は、一実施形態による、例として患者用医療デバイスを遠隔でプログラムするためのシステム１０を示すブロック図である。システム１０は、システムコンポーネントを２つのグループに論理的に分離する制御ゾーン３１、３２を含む。規制および非規制制御ゾーン３１、３２は、物理的ではなく論理的に、遵守のために制御されなければならないそれらのデバイスやアプリケーションを、制御されていないものから分離する。規制制御ゾーン３１は、クラスＩＩＩ医療デバイスやサーバプラットフォーム上で実行される規制されたソフトウェアアプリケーション等の、規制された医療デバイスおよびアプリケーションを含む。非規制制御ゾーン３２は、規制されていないそれらのシステムコンポーネントを含む。規制および非規制両方の側面を含むコンポーネントは、規制制御ゾーン３１に分類される。

規制制御ゾーン３１は、大きく４つに分類されたコンポーネントのセットを含む。第一に、介護者は、非規制制御ゾーン３２内のデータ入力機構を使用して、または、規制制御ゾーン３１内の、規制されているが遠隔接続可能なデータ入力機構、例えば遠隔接続可能なプログラマ１９を通して、ＰＭＤに対するプログラミング命令を指定することができる。他の規制されたデータ入力機構も可能である。また、すべてのＰＭＤは、規制制御ゾーン３１に分類され、ペースメーカー、植え込み型心臓除細動器（ＩＣＤ）、薬ポンプ、および神経刺激装置等のＩＭＤ１２；自動体外式除細動器（ＡＥＤ）等のＥＭＤ１４；心臓および呼吸モニタおよび診断のためのマルチセンサ型非治療デバイス等の植え込み型センサ１３；ならびにホルター（Ｈｏｌｔｅｒ）モニタ等の体外式センサ１５を含む。治療、診断、または他の医療目的のための、他のタイプの植え込み型または体外式ＰＭＤも可能である。遠隔プログラミングに適したＰＭＤ１２〜１５を有する各患者１１は、介護者が診療所または病院外で遠隔から患者のＰＭＤにアクセスすることができるようにする規制デバイスの形態の、リピータまたは患者通信器等のＲＰＤ１７を備える。最後に、各ＲＰＤ１７は、デジタル署名されたＰＭＤフォーマットコマンドを、データセキュリティの面で信頼され、規制コンポーネント（規制ソフトウェアアプリケーション３０を含む）の実行をサポートすることができる規制サーバ２４から、または、遠隔接続可能なプログラマ１９等の規制データ入力機構から直接受信する。規制サーバ２４は、信頼されたネットワーク２８を介してＲＰＤ１７と通信し、非規制サーバ２２への専用セキュア接続３３を介して非規制ゾーン３２内のコンポーネントと通信する。他の規制システムコンポーネントも可能である。

非規制制御ゾーン３２は、非規制データ入力機構、サーバ、およびＰＭＤを含む、他のすべてのコンポーネントを含む。例えば、介護者は、遠隔ウェブクライアント１８、パーソナルコンピュータ３４上で実行される専用アプリケーション２０、またはローカルのウェブクライアント２１を使用して、プログラミング命令を指定することができる。これらの非規制データ入力機構のいずれかから、および遠隔接続された規制データ入力機構から発せられたプログラミング命令は、オープンネットワーク２７を介して接続される非規制サーバ２２を通して、規制サーバ２４に転送されなければならない。最後に、体重計１６または血圧計カフ（図示せず）等の規制されないＰＭＤは、通常患者の安全性に影響せず、非規制制御ゾーン３２の一部として分類することができる。他の非規制システムコンポーネントも可能である。

規制サーバ２４および非規制サーバ２２は、規制および非規制制御ゾーン３１、３２間のゲートウェイとして機能し、専用セキュア接続３３を介してメッセージを交換する。規制サーバ２４は、規制アプリケーション３０を実行することができるが、非規制サーバ２２は実行しない。しかし、非規制サーバ２２は、ウェブクライアント１８、２１へウェブコンテンツを提供するためのウェブサーバ（図示せず）のように、より広範な非規制アプリケーション２９を実行することができる。規制および非規制サーバ２２、２４の機能性は、物理的に同じハードウェアプラットフォームでホストすることができるが、規制アプリケーション３０に対するいかなる変更の実行も、遵守のための制御が維持されたままでなければならない。規制および非規制サーバ２２、２４はまた、患者データおよび他の情報を安全に格納することができる、セキュアなストレージ２６へのアクセスを共有する。他のサーバおよびストレージの機能性も可能である。

規制制御ゾーン３１内のネットワーク化可能なコンポーネントは、信頼されたネットワーク２８に依存し、非規制制御ゾーン３２内のネットワーク化可能なコンポーネントは、オープンネットワーク２７を介して、またはさらなる実施形態では、信頼されたネットワーク２８を介して通信する。信頼されたネットワーク２８は、プライベート広域ネットワークであり、従来の有線および無線両方のセキュアな相互接続性を含むことができる。オープンネットワーク２７は、インターネット等の非プライベート広域ネットワークであり、これも同様に従来の有線および無線両方のセキュアな相互接続性を含むことができる。さらなる実施形態では、信頼されたネットワーク２８は、公衆広域ネットワークを介して動作することができるが、患者のプライバシーを確実にし、危害または干渉から守るために、通信は、仮想プライベートネットワークを使用する等して、暗号化されるか、または他の方法で保護されなければならない。信頼されたネットワーク２８およびオープンネットワーク２７は両方とも、伝送制御プロトコル／インターネットプロトコル（ＴＣＰ／ＩＰ）ネットワーク通信プロトコルに基づいているが、他の通信プロトコルも可能である。他の信頼されたネットワークおよびオープンネットワークのトポロジおよび構成も可能である。

ＲＰＤ１７は、有線接続等の直接的手段を通して、または、誘導結合テレメトリ、光学テレメトリ、または、例えば「強力な」Ｂｌｕｅｔｏｏｔｈ（登録商標）またはＩＥＥＥ８０２．１１ワイヤレスフィデリティ「ＷｉＦｉ」および「ＷｉＭａｘ」インタフェース規格に基づく、選択的ラジオ周波数もしくは無線テレメトリ等の間接的手段を通して、ＰＭＤ１２〜１６に問い合わせてプログラムすることができる。他の形態の医療デバイスインタフェースも可能である。さらなる実施形態では、ＰＭＤ１２〜１６はまた、例えば、２００５年５月３日出願の、同一出願人による米国特許出願、名称「Ｓｙｓｔｅｍ ａｎｄ Ｍｅｔｈｏｄ ｆｏｒ Ｍａｎａｇｉｎｇ Ａｌｅｒｔ Ｎｏｔｉｆｉｃａｔｉｏｎｓ ｉｎ ａｎ Ａｕｔｏｍａｔｅｄ Ｐａｔｉｅｎｔ Ｍａｎａｇｅｍｅｎｔ Ｓｙｓｔｅｍ」、出願番号第１１／１２１，８７０号（係属中であり、参照することによりその開示が本願に組み入れられる）に記載のような、ＲＰＤ１７を通して遠隔で管理される。

さらなる実施形態では、定性的データ値を構成する個人の健康の主観的印象を、プログラミング後の考察のために収集することができる。例えば、患者の健康に関連する健康上の質問に対する回答を患者１１に求め、ＰＭＤプログラミングの変更後に収集することができる。主観的印象を提供するために、患者１１は、パーソナルコンピュータまたは電話の送受話器（図示せず）等の、ユーザインタフェースを組み込んだデバイス、または装備されている場合はＲＰＤ１７にデータを入力する。

さらなる実施形態では、例えば、共有に係る、２００２年１月８日発行のＢａｒｄｙに対する米国特許第６，３３６，９０３号、２００２年４月９日発行のＢａｒｄｙに対する米国特許第６，３６８，２８４号、２００２年６月２日発行のＢａｒｄｙに対する米国特許第６，３９８，７２８号、２００２年６月２５日発行のＢａｒｄｙに対する米国特許第６，４１１，８４０号、および２００２年８月２７日発行のＢａｒｄｙに対する米国特許第６，４４０，０６６号（これらの開示は参照することにより組み入れられる）に記載のように、収集された患者データは、１つ以上の慢性または急性の健康状態の発生について、ＲＰＤ１７またはサーバ２２、２４により評価されることが可能である。

またさらなる実施形態では、患者のプライバシーを保護し、医療保険の携行性と責任に関する法律（Ｈｅａｌｔｈ Ｉｎｓｕｒａｎｃｅ Ｐｏｒｔａｂｉｌｉｔｙ ａｎｄ Ａｃｃｏｕｎｔａｂｉｌｉｔｙ Ａｃｔ （ＨＩＰＡＡ））や欧州プライバシー指令（Ｅｕｒｏｐｅａｎ Ｐｒｉｖａｃｙ Ｄｉｒｅｃｔｉｖｅ）等、最近発効した医療情報プライバシー法を遵守するために、患者データは、収集、集約、評価、伝送、および保管の間等において、第三者に対する不正な開示から保護される。少なくとも、健康関連および医療関連の情報を有する特定の個人を識別する患者健康情報は、保護されるものとして扱われるが、特定の患者の健康情報に加えたあるいはその代わりとなるその他のタイプの機密情報もまた保護されることが可能である。

構造上、サーバ２２、２４は、単一、複数、または分散型処理システムとして構成される、サーバグレードのコンピューティングプラットフォームであり、ウェブクライアント１８、２１は、ウェブブラウザまたは同等のアプリケーションを、個人のデスクトップ型もしくはノート型コンピュータ、または他のウェブ対応デバイス等の、汎用コンピューティングプラットフォーム上で実行する。サーバ２２、２４、ウェブクライアント１８、２１、および、専用アプリケーション２０を実行するパーソナルコンピュータ３４は、例えば、中央演算処理装置（ＣＰＵ）、メモリ、ネットワークインタフェース、永続ストレージ、およびそれらのコンポーネントを相互接続するための様々なコンポーネント等、コンピューティングデバイスに従来見られるコンポーネントを含む。

通常、４つの段階で、規制および非規制制御ゾーンのコンポーネント間でデータが交換される。概説すると、第１の段階で、介護者は、データ入力機構を使用して、遠隔プログラミング命令およびそれに伴うパラメータを指定し、それらはその後、次の段階で介護者により検証される（つまり容認されるかまたは拒否される）、ＰＭＤフォーマットコマンドに翻訳される。容認されると、ＰＭＤフォーマットコマンドはＲＰＤに提供される。次にＰＭＤフォーマットコマンドは検証され、適用される。検証は、ＲＰＤ、ＰＭＤ、またはその両方のデバイスにより実行される。最終段階で、遠隔プログラミングの後、生理機能データを得るために、ＰＭＤは問い合わせられる。これらの段階の概要は図２を参照して説明され、詳細は図３〜６を参照して説明される。

遵守の制御を維持するために、データは、規制と非規制サーバとの間でセキュアに交換されたメッセージを介してのみ、制御ゾーン間で受け渡しされる。図２は、規制および非規制制御ゾーン、それぞれ５１および５２の間の全体的なデータ交換５０を示すデータフロー図である。メッセージ７０、７１はサーバ５３、６１により受信され、該サーバは、とるべき適切なアクションを決定するために各メッセージを処理する。

概説すると、非規制制御ゾーン５２内に位置するか、または規制デバイス（図示せず）上で実行される場合には規制制御ゾーン５１内に位置する、データ入力機構６２を使用して、介護者は、ＰＭＤ５５に遠隔で問い合わせしプログラムすることができる。データ入力機構６２がウェブクライアントである場合は、データ入力機構６２がウェブページとしてフォーマットされた情報を示すことができるように、ウェブコンテンツ６６が提供される。

非規制制御ゾーン５２内において、非規制サーバ６１は、プログラミング前のデータ６７として、ＰＭＤ設定および患者の生理情報を介護者に提供する。すると介護者は、プログラミング命令６３およびそれに伴うあらゆるパラメータ６４を指定することができ、それらは、ＰＭＤ表現用にフォーマットされたコマンド５６への翻訳のために規制サーバ５３に転送される。ＰＭＤフォーマットコマンド５６は、バリデーションデータ６８として表示可能な形態で介護者に再び提供され、介護者はそれを容認または拒否６５する。介護者は、非規制サーバ６１によりプログラミング後のデータ６９として提供される、遠隔プログラミング後のＩＭＤ設定および患者データを検討することもできる。

規制制御ゾーン５１内では、介護者指定のプログラミング命令６３およびそれに伴うあらゆるパラメータ６４が、規制サーバ５３により処理される。プログラミング命令６３およびパラメータ６４は、図８を参照しながらさらに後述するように、正確性についてチェックされ、ＰＭＤ表現５６用にフォーマットされたコマンドに翻訳される。また、ＰＭＤフォーマットコマンド５６は、ＲＰＤ５４およびＰＭＤ５５に対するコマンドの伝送を保護するため、信頼されたサーバである規制サーバ５３によりデジタル署名される。デジタル署名により、ＲＰＤ５４、ＰＭＤ５５、またはその両方のデバイスは、ＰＭＤフォーマットコマンド５６の真正および整合性を検証することができる。真正は、コマンドのソースの同一性を正規のものとして確認するものであり、整合性は、コマンドが移動中改変されなかったことを確証する。デジタル署名の後、コマンドはまた、セキュアなストレージに収容される。

バリデーションデータ６８は、規制制御ゾーン５１内で作成され、介護者への提示のために、専用セキュア接続３３を介して非規制制御ゾーン５２に配信される。

介護者の承認の後、ＰＭＤフォーマットコマンド５６は、ＲＰＤ５４、ＰＭＤ５５、またはその両方のデバイスにより配信され、検証される。検証には、真正および整合性についてのＰＭＤフォーマットコマンド５６のチェックが含まれる。検証されたコマンドのみが、ＰＭＤ５５のプログラミングを修正するために適用される。

最後に、遠隔プログラミングを有効にするために、ＲＰＤ５４は、ＰＭＤフォーマットコマンド５６だけでなく、問い合わせコマンドまたはファームウェアパッチ等の他のあらゆるデータ５７をＰＭＤ５５に適用する。適用が成功した後、ＲＰＤ５４は、患者の生理機能データ５８、パラメトリックデータ５９、および、該当する場合には環境データ６０を読み出すために、ＰＭＤ５５に問い合わせることができるが、これらは、プログラミングの確認および介護者の検討のために、プログラミング後のデータ６９として、データ入力機構６２に提供される。さらなる実施形態では、ＰＭＤ５５は、それ自体がＰＭＤフォーマットコマンド５６を適用し、患者の生理機能データ５８、パラメトリックデータ５９、および、該当する場合には、環境データ６０を自立的に提供することもできる。

介護者は、データ入力機構を使用して、プログラミング命令およびそれに伴うあらゆるパラメータを指定することにより、ＰＭＤに遠隔で問い合わせプログラムすることができる。図３は、図１のシステム１０における遠隔プログラミング命令の介護者のデータ入力８０を示すデータフロー図である。データ入力機構は、規制制御ゾーンの中または外に位置することができる。しかし、規制制御ゾーンの外のデータ入力機構から発せされた命令は、正確性チェックおよびデジタル署名を行う規制サーバを通して調整されなければならない。

遠隔プログラミングの目的において、介護者は、患者と介護者が物理的にすぐ近くにいる状態でのみ実行することができる機能を除く、ＰＭＤのプログラム可能な機能のサブセットに限定される。残りの「安全な」機能のセットは、患者の安全を危険にさらす心配なく遠隔でプログラム可能である。さらに、プログラミング命令および関連したパラメータは、規制サーバ、またはＰＭＤフォーマットコマンドの翻訳が可能な他の規制デバイスにより、ＰＭＤ表現用にフォーマットされたコマンドに変換されなければならない。

遠隔プログラミングは、実時間（ｒｅａｌ ｔｉｍｅ）または延期された時間（ｄｅｆｅｒｒｅｄ ｔｉｍｅ）でＰＭＤに適用することができる。実時間の遠隔プログラミングには、データ入力機構、ＰＭＤ、およびその間に存在するそれぞれのコンポーネントとの間の有効な接続が必要である。介護者の視点からすれば、プログラミング後のデータ検討を通じて、プログラミング命令およびパラメータの指定の基礎となるすべてのエンドツーエンドの遠隔プログラミング操作が、単一のセッションで生じる。したがって、介護者を患者から隔てている可能性がある距離と、コマンド翻訳、正確性チェック、データセキュリティ、容認、および伝送に必要なわずかな追加の遅延時間を別にすれば、実時間の遠隔プログラミングセッションは、診療所内のプログラミングセッションに最も近い。一方、延期された時間での遠隔プログラミングには、意図的な遅延、つまり、後の時間に、もしくは時間間隔をおいて適用されることがスケジュールされた遠隔プログラミング、または、エンドツーエンドの実時間遠隔プログラミングを有効にするために必要な最小限の遅延よりも長いあらゆる遅延が伴う。

まず、現在の患者ＰＭＤ設定および患者の生理情報が、プログラミング前のデータ８１として介護者に提示される。プログラミング前のデータ８１は、介護者データ入力ページ８２に組み込まれるが、これは、データ入力機構上で介護者に表示するための、ウェブページまたは他の表現であってもよい。介護者は、遠隔プログラミング命令およびそれに伴うあらゆるパラメータ８３を指定することができる。

患者の安全性を確保するために、データ入力機構を通して、介護者の選択肢として安全な遠隔プログラム可能機能のみが表示される。さらなる実施形態では、安全なプログラム可能機能は、さらに、以下に制限することができる。
（１）ＰＭＤが特定の状態またはモードである場合に許容される機能、
（２）すぐ近くにいる場合の機能のいずれかに対し許可される機能の範囲のサブセットを提供するパラメータ、または
（３）事前設定されたコマンド。これは単一のユニットとしてのデバイス内の設定の集合のプログラミングとなる場合がある。
さらに、すぐ近くにいる場合の機能の、機能上のサブセットに選択肢を制限するパラメータに対して、単一の方向性、すなわち、完全に増加または減少に範囲をさらに制限することができる。操作上、データ入力機構は、許可できるプログラミング命令およびパラメータに選択肢を制限するか、または、プログラミング命令またはパラメータを選択しようとする試みが許可されない時に介護者にすぐにフィードバックを提供する。プログラミング命令およびパラメータの選択肢に対する他の制限も可能である。

受信後、規制サーバはプログラミング命令およびパラメータ８３をＰＭＤフォーマットコマンド８４に翻訳し、これは、図８を参照してさらに後述するように、正確性についてチェックされる。正確性チェックの後、ＰＭＤフォーマットコマンドは、デジタル署名され（８５）、デジタル署名ＰＭＤフォーマットコマンド８６が作成され、これもまたセキュアなストレージに収容される。遠隔プログラミングが、遠隔接続可能なプログラマ等、規制データ入力機構を使用して行われる場合、正確性チェックおよびデジタル署名は、規制データ入力機構自身により行われる。デジタル署名によって、ＲＰＤ、ＰＭＤ、またはその両方のデバイスは、コマンドの真正および整合性を検証することができる。

非規制データ入力機構を使用して指定されたプログラミング命令および関連したパラメータは、ＰＭＤ表現への正確な翻訳を確認するために、介護者により検証されなければならない。図４は、図１のシステム１０における介護者の遠隔プログラミング命令のバリデーション９０を示すデータフロー図である。ＰＭＤフォーマットコマンド８４は、バリデーションデータ９１に逆翻訳され、介護者バリデーションページ９２に組み込まれるが、これは、データ入力機構上で介護者に表示するための、ウェブページまたは他の表現であってもよい。一実施形態では、介護者バリデーションページ９２は、単純な「パラメータ：以前の値、新しい値」の表現フォーマットを使用するが、他のフォーマットも可能である。受信後、介護者は、容認または拒否を示し、これが介護者の応答９３として規制サーバに提供され、セキュアなストレージに収容される。容認されると、規制サーバは、デジタル署名ＰＭＤフォーマットコマンド８６（図３に示される）に対し、遠隔プログラムされているＰＭＤに関連したＲＰＤへの配信のためにマークし（９４）、デジタル署名および配信がマークされたＰＭＤフォーマットコマンドを作成するか、または単に「容認された」ＰＭＤフォーマットコマンド９５を作成する。容認されたＰＭＤフォーマットコマンド９５が配信準備ができていることを示すマーク９４は、デジタル署名の形態であってもよい。配信のためにマークされていないデジタル署名ＰＭＤフォーマットコマンド８６は送信されない。

介護者の承認が保留中のＰＭＤフォーマットコマンドに対する他の処理が可能である。例えば、ＰＭＤフォーマットコマンド８４は、最初にデジタル署名されることなくセキュアなストレージに格納されてもよい。コマンド８４は、介護者の承認後にのみ署名され、署名されていないコマンドは送信されない。あるいは、ＰＭＤフォーマットコマンド８４は、デジタル署名されてセキュアなストレージに格納されるが、介護者の承認を受けた後に第２のデジタル署名を受ける。第２のデジタル署名が署名されていないコマンドは送信されない。最後に、ＰＭＤフォーマットコマンド８４が署名され、セキュアなストレージに格納されることが可能である。介護者の承認を受けた後、規制サーバはデジタル署名をチェックし、有効な場合は、元のデジタル署名を新たなデジタル署名に置き換える。２回目にデジタル署名されていないコマンドは送信されない。コマンドに対するさらに他の処理が可能である。

遠隔プログラミングの検証および適用は、プログラミングの入力、正確性チェック、および容認に使用されるデバイスとは独立して行われる。図５は、図１のシステム１０における容認されたＰＭＤフォーマットコマンド９５の検証および適用１００を示すデータフロー図である。容認されたＰＭＤフォーマットコマンド９５は、ＰＭＤの次の問い合わせセッションの前に、ＲＰＤにより受信される。容認されたＰＭＤフォーマットコマンド９５は、規制サーバによりＲＰＤにプッシュ（ｐｕｓｈ）されるか、ＲＰＤにプル（ｐｕｌｌ）される。さらに、規制サーバとＲＰＤのインタフェース接続は、定期的に、または要求に応じて行われる。さらなる実施形態では、容認されたＰＭＤフォーマットコマンド９５は、規制サーバまたは他の規制コンポーネントに対するインタフェース接続と同じまたは類似の形態を使用して、ＰＭＤにより直接受信される。

容認されたＰＭＤフォーマットコマンド９５の受信後、ＲＰＤは、図９を参照してさらに後述するように、コマンドの真正、つまりソースを検証するとともに、コマンドの整合性を検証する、デジタル署名を検証する（１０１）。さらなる実施形態では、ＲＰＤに加えて、あるいはそれに代わって、ＰＭＤ自身がコマンドの真正および整合性を検証することができる。またさらなる実施形態では、図１０を参照してさらに後述するように、ＲＰＤは、陳腐化および冗長性について、容認されたＰＭＤフォーマットコマンド９５をチェックすることもできる。

介護者と患者が物理的にすぐ近くにいることにより、患者の同意が前提として成立し得る診療所あるいは病院という環境とは対照的に、遠隔プログラミングは、明示的な形での患者の同意１０２を必要とする。患者の同意１０２は、以下を含むいくつかのアプローチを経て確認することができる。
（１）ＲＰＤは、患者に、同意を示すためにユーザインタフェース上のボタンまたは同様の制御部を押すようにプロンプトすることができる。
（２）介護者は、患者に対し、新たなプログラミングが患者のＰＭＤに利用可能であることを手動で知らせることができ、患者は、ＰＭＤとのやりとりを通してプログラミングセッションを開始することができる。
（３）例えば格納された患者データを読み出すための問い合わせセッションと同時に、ＰＭＤ自体が患者をプロンプトすることができる。
（４）患者の同意は、遠隔プログラミングの開始前に承諾され、セキュアなストレージに格納される。規制サーバは、容認されたＰＭＤフォーマットコマンド９５をＲＰＤに送信する前に、事前の患者の同意を確認することができる。さらなる実施形態では、事前の患者の同意は、容認されたＰＭＤフォーマットコマンド９５内に含まれることが可能であり、その場合事前の患者の同意は、ＰＭＤとの遠隔プログラミングセッションを開始する前にＲＰＤにより使用されることが可能である。
患者の同意１０２を確認する他の形態も可能である。

患者の同意が確認されたら、ＲＰＤは、プログラミングセッションの間に、容認されたＰＭＤフォーマットコマンド９５をＰＭＤに適用することにより、実際のプログラミング１０３を行う。ＲＰＤに物理的に接続されたワンド（ｗａｎｄ）を使用した誘導テレメトリ等の短距離のテレメトリを通して、または、患者がＲＰＤのすぐ近くにいることだけを必要とする、ＲＦテレメトリ等の長距離のテレメトリを通して、容認されたＰＭＤフォーマットコマンド９５を適用することが可能である。さらなる実施形態では、２００４年３月１５日出願の、同一出願人による米国特許出願第１０／８００，８０６号（係属中）、および２００４年３月１５日出願の米国特許出願第１０／８０１，１５０号（係属中）（これらの開示は参照することにより組み入れられる）に記載のように、誘導もしくは他の形態の短距離テレメトリ、または、物理的な通信もしくはインタフェースを通した認証が、遠距離テレメトリを通したプログラミングセッションを開始する前に必要とされてもよい。

プログラミングは、単一のセッションで処理される。患者が範囲外に移動してしまったり、ワンドを落としてしまったりしてプログラミングセッションが中断された場合、患者がセッションを再開するようプロンプトされてもよい。必要に応じて、患者からセッションを再開するという応答を得ると、ＲＰＤは、その中断が非常に短い期間であった場合には、セッションを自動的に再開することによりプログラミングの適用を再試行する。事前の患者の同意がすでに得られている場合は、ＲＰＤは、まず患者をプロンプトするという必要もなく自動的に再試行することができる。しかし、患者がプロンプトを無視するか、あるいは中断が長い期間続く場合は、プログラミングセッションは停止され、以前のＰＭＤプログラムの状態が復元される。

遠隔プログラミングセッションの後、ＰＭＤに問い合わせることにより、プログラミングを確認し、その有効性を評価することができる。図６は、図１のシステム１０における遠隔プログラミング後の報告１１０を示すデータフロー図である。プログラミングセッションの完了後、ＲＰＤはＰＭＤに問い合わせて（１１１）、患者およびデバイスのデータ１１２を読み出すことができるが、これは非規制サーバによりプログラミング後のデータ１１３として提供され、セキュアなストレージに収容される。プログラミング後のデータ１１３は、介護者報告ページ１１４に組み込まれるが、これは、データ入力機構上で介護者に表示するための、ウェブページまたは他の表現であってもよい。さらなる実施形態では、患者は、容認されたＰＭＤフォーマットコマンド９５の適用後に主観的なフィードバックを提供するために、ＲＰＤまたは患者が操作可能な他のデバイスのユーザインタフェースを通して、定性的な患者データを提供することができる。

遠隔プログラミングは、介護者のアクションにより開始され、目的のＰＭＤに対するプログラミングの適用の成功または失敗を、介護者へ報告することで終了する。図７は、一実施形態による、患者用医療デバイスを遠隔でプログラムするための方法１３０を示すプロセスフロー図である。遠隔プログラミングは、一連の操作として行われ、これは、特定の場合において、必要に応じて特定の点で停止または休止されることがある。まず、介護者は、データ入力機構を通して遠隔プログラミングセッションを行う（操作１３１）。介護者が選択したプログラミング命令およびパラメータは、規制サーバによりＰＭＤフォーマットコマンドに翻訳され、これは正確性についてチェックされ、デジタル署名される（操作１３２）。また、ＰＭＤフォーマットコマンドは逆翻訳され、容認または拒否のために、表示可能な形態で介護者に提供される（操作１３３）。翻訳されたプログラミングが介護者により拒否された場合、制御は介護者プログラミングセッションに戻る（操作１３１）。それ以外の場合には、ＰＭＤフォーマットコマンドは、ＲＰＤへの配信のためにマークされ、ＲＰＤによる受信の後、真正および整合性について検証される（操作１３４）。さらなる実施形態では、ＲＰＤに加えて、あるいはそれに代わって、ＰＭＤ自身がコマンドの検証を行うことができる。コマンドが検証されたと仮定すると、コマンドの適用の前に患者の同意が確認される（操作１３５）。しかし、患者が同意を示さなかった場合、制御は再びプログラミングセッションに戻る（操作１３１）。同意の後、ＲＰＤはプログラミングセッションを行う（操作１３６）。セッションが中断されて再開されなかった場合、または異常終了された場合、元のＰＭＤプログラミングが復元され、制御はプログラミングセッションに戻る（操作１３１）。プログラミングが成功すると、プログラミングセッションの完了後、ＲＰＤはＰＭＤに問い合わせ、検討および評価のため、介護者にプログラミング後の結果を報告する（操作１３７）。

介護者が指定したプログラミング命令およびそれに伴うあらゆるパラメータは、許容された設定のみが指定されたことを確定するとともに、医療上の規制の遵守を確実にするために、遠隔プログラミングセッションでＰＭＤに適用される前に正確性についてチェックされなければならない。図８は、図７の方法１３０において実行されるプログラミング正確性チェック１５０を示すプロセスフロー図である。すべてのプログラミング命令およびパラメータは、正確性についてチェックされなければならない。遠隔接続可能なプログラマ等の規制データ入力機構は、完全な正確性チェックを行い、ＰＭＤフォーマットコマンドを直接生成することができる。しかし、非規制データ入力機構から発せられたプログラミング命令およびパラメータは、規制サーバまたは同等のコンポーネントによりチェックされなければならない。結果的に、介護者が指定したプログラミング命令およびそれに伴うパラメータは、介護者データ選択として規制サーバに提供され、これはＰＭＤフォーマットコマンドに翻訳されて、正確性についてチェックされ、そのチェック項目には以下が含まれる。
（１）コマンドが許可されるか、つまり、患者が安全で、遠隔の指定が許容されるか（操作１５１）。
（２）パラメータの値が適切な制約範囲内にあること（操作１５２）。
（３）コマンドがいかなる相互作用上の制限にも従っていること、つまり、そのコマンドが、他のコマンドやＰＭＤの現在の状態と組み合わされて、患者にとって安全な状態となること（操作１５３）。
他の形態の正確性チェックも可能である。

遠隔プログラミングには、ネットワークまたは他の相互接続を介したＰＭＤフォーマットコマンドの転送が必要であるが、これは危害またはエラー持ち込みの可能性を生む。ＰＭＤフォーマットコマンドは、非規制データ入力機構から発せられたプログラミングの場合には規制サーバ、または、プログラマ等の規制データ入力機構であるソースでのデジタル署名を使用して保護される。図９は、図７の方法１３０において実行されるＰＭＤフォーマットコマンドの検証１６０を示すプロセスフロー図である。正確性チェックおよび介護者の容認の後、遠隔プログラミングが非規制データ入力機構を使用して行われた場合、ＰＭＤフォーマットコマンド５６は規制サーバ５３によりデジタル署名される（操作１６１）。それ以外の場合は、デジタル署名は、規制データ入力機構により行われる。一実施形態では、ＳＨＡ−１ハッシュアルゴリズムによる２０４８ビット非対称ＲＳＡ鍵がデジタル署名に使用されるが、他の形態のデジタル署名も可能である。配信にマークされると、デジタル署名されたＰＭＤコマンドは、遠隔プログラムされているＰＭＤに関連したＲＰＤに送信される（操作１６２）。受信後、デジタル署名ＰＭＤフォーマットコマンドは、適用される前に、ＲＰＤ、ＰＭＤ、または両方のデバイスにより検証される。検証には、ソースが認定規制サーバまたは他の認定規制デバイスであるという確定を含む真正の決定（操作１６３）や、整合性の確認（操作１６４）が含まれる。他のタイプの検証も可能である。

遠隔プログラミングは、新しいＰＭＤプログラミングが指定される時と、生成されるＰＭＤフォーマットコマンドが実際にＰＭＤに適応される時との間の遅延を導入する。診療所や病院という環境でのＰＭＤプログラミング等、介入イベントがあった場合を考慮すると、遅延によってプログラミングの陳腐化または冗長化がもたらされる場合がある。図１０は、図７の方法１３０のさらなる実施形態において実行される陳腐化チェック１７０を示すプロセスフロー図である。正確性チェックおよび介護者の容認の後、容認されたＰＭＤフォーマットコマンド９５に、有効期限の追加、すなわち、それ以後には特定のプログラミングが拒否（操作１７３）されなければならず、適用（操作１７４）されてはならない時を設定する、「陳腐化」チェック（操作１７１）を追加することができる。

容認されたＰＭＤフォーマットコマンド９５はまた、適用の前に冗長性についてチェックされることができる（操作１７２）。ＰＭＤが最後にプログラムされた時間を示すタイムスタンプが、ＰＭＤにより保存されてもよい。この「最後のプログラミング」のタイムスタンプは、データ入力機構でプログラミング命令およびパラメータを入力する際の検討および考察のために介護者に提供されるプログラミング前のデータ６７（図２に示される）の一部として提供することができる。そして、その特定の最後のプログラミングのタイムスタンプは、後に生成される容認されたＰＭＤフォーマットコマンド９５に含められる。ＰＭＤに適用される前に、コマンド９５に含まれる最後のプログラミングのタイムスタンプは、現在ＰＭＤに格納されている最後のプログラミングのタイムスタンプに照らしてチェックされる。タイムスタンプが一致しない場合は、この特定のプログラミングは、冗長であるとして拒否され（操作１７３）、適用されない（操作１７４）。他の形態の陳腐化および冗長性チェックも可能である。

実施形態を参照して本発明を具体的に示し説明してきたが、当業者には、上述の事項、ならびに、本発明の主旨および範囲から逸脱しない限りでの形態および詳細における他の変更を行うことができることが理解されるだろう。

図１は、一実施形態による、例として患者用医療デバイスを遠隔でプログラムするためのシステムを示すブロック図である。 図２は、医学的な規制制御ゾーンと非規制制御ゾーンとの間の全体的なデータ交換を示すデータフロー図である。 図３は、図１のシステムにおける遠隔プログラミング命令の介護者のデータ入力を示すデータフロー図である。 図４は、図１のシステムにおける介護者の遠隔プログラミング命令のバリデーションを示すデータフロー図である。 図５は、図１のシステムにおけるＰＭＤフォーマットコマンドの検証および適用を示すデータフロー図である。 図６は、図１のシステムにおける遠隔プログラミング後の報告を示すデータフロー図である。 図７は、一実施形態による、患者用医療デバイスを遠隔でプログラムするための方法を示すプロセスフロー図である。 図８は、図７の方法において実行される遠隔プログラミングの正確性チェックを示すプロセスフロー図である。 図９は、図７の方法において実行されるＰＭＤフォーマットコマンドの検証を示すプロセスフロー図である。 図１０は、図７の方法のさらなる実施形態において実行される陳腐化チェックを示すプロセスフロー図である。

Claims (12)

1. 患者用医療デバイス（ＰＭＤ）（５５）を遠隔でプログラムするためのシステム（１０）であって、
   遠隔で指定されたプログラミング命令（６３）を、患者用医療デバイス（５５）の機能性を制御するために該ＰＭＤ用にフォーマットされたコマンド（５６）に翻訳し、該ＰＭＤフォーマットコマンド（５６）の正確性（１５０）をチェックする、規制デバイス（２４）と、
   該ＰＭＤフォーマットコマンド（５６）の伝送（１６０）を保証するように構成されたセキュリティインフラストラクチャ（８５）であって、該セキュリティインフラストラクチャは、
   伝送の前に該ＰＭＤフォーマットコマンド（５６）をデジタルに署名する（１６１）署名デバイスと、
   検証器であって、該ＰＭＤフォーマットコマンド（５６）のソース（１６３）の識別を正規のものとして確認し、該ＰＭＤフォーマットコマンド（５６）が伝送に続く移動の間は改変されない（１６４）ことを保証する検証器と
   を含む、セキュリティインフラストラクチャと、
   遠隔で始動され実行されるプログラミングセッション（１０３）の間、該ＰＭＤフォーマットコマンド（５６）の該ＰＭＤ（５５）への適用を制御するように構成される、遠隔プログラミングデバイス（１７）であって、該ＰＭＤフォーマットコマンド（５６）の該適用は、該変更される機能性を検証するために、該ＰＭＤ（５５）に関する問い合わせ（１１１）を通して確認される、遠隔プログラミングデバイス（１７）と
   を備え、
   該ＰＭＤフォーマットコマンドは、延期された時間に該遠隔プログラミングデバイスによって該ＰＭＤに適用され、該ＰＭＤフォーマットコマンドが該遠隔プログラミングデバイスによって該ＰＭＤに適用される前に、意図的な遅延が生じる、システム（１０）。
2. 前記規制デバイス（２４）は、正確性チェック（１５０）の一部として前記ＰＭＤフォーマットコマンド（５６）の正当性を確認し、前記システム（１０）は、
   該ＰＭＤフォーマットコマンド（５６）が許可される（１５１）ことを保証するための、許容コマンド（５６）と、
   該ＰＭＤフォーマットコマンド（５６）の一部として含まれるいかなる値も、制約された限界内にある（１５２）ことを検証するための、パラメータ限界と、
   該ＰＭＤフォーマットコマンド（５６）を、既存のＰＭＤ（５５）コマンド（５６）および既存の状態（１５３）に照らしてチェックするための相互作用上の制限と
   のうちの少なくとも１つをさらに備える、請求項１に記載のシステム（１０）。
3. 前記プログラミング命令（６３）を、前記ＰＭＤ（５５）に対するすべての可能なコマンド（５６）のサブセットに対応する選択に制限するためのユーザインタフェース（１８）と、
   前記ＰＭＤフォーマットコマンド（５６）に関連する有効期限であって、該ＰＭＤフォーマットコマンド（５６）の適用は、該有効期限に従って（１７１）調整される、有効期限と、
   前記ＰＭＤ（５５）が、該プログラミング命令（６３）の翻訳以前に最後にプログラムされた時間を示す、含まれたタイムスタンプであって、該タイムスタンプは、該ＰＭＤフォーマットコマンド（５６）とともに含まれる、含まれたタイムスタンプと、
   プログラミングが最も近くに該ＰＭＤ（５５）に適用された時を示す、該ＰＭＤ（５５）に格納されたタイムスタンプであって、該ＰＭＤフォーマットコマンド（５６）の適用は、該格納されたタイムスタンプに一致する該含まれたタイムスタンプに従い調整される（１７２）、格納されたタイムスタンプと、
   ウェブブラウザアプリケーション（１８）、遠隔接続可能なプログラマ（１９）、およびパーソナルコンピュータ（２０）上の専用アプリケーションのうちの少なくとも１つを使用してプログラミング命令（６３）を指定するための、データ入力機構と、
   プログラミングデバイスによるプロンプト、患者が始動するアクション、該ＰＭＤ（５５）によるプロンプト、および事前の患者の同意（１０２）のうちの少なくとも１つを通して、患者の同意（１０２）を確認するための、患者同意機構と
   のうちの少なくとも１つをさらに備える、請求項１に記載のシステム（１０）。
4. 前記検証器は、遠隔プログラミングデバイス（１７）およびＰＭＤ（５５）のうちの少なくとも１つを備える、請求項３に記載のシステム（１０）。
5. 前記ＰＭＤフォーマットコマンド（５６）の介護者の承認（１３３）を受けるための承認機構（９３）と、
   セキュアなストレージ（２６）であって、
   該ＰＭＤフォーマットコマンド（５６）がデジタル署名され、該セキュアなストレージ（２６）に格納され、そして該介護者の承認（１３３）を受けた後にのみ配信のためにマークされる、セキュリティスキームと、
   該ＰＭＤフォーマットコマンド（５６）が、該セキュアなストレージ（２６）に格納され、そして該介護者の承認（１３３）を受けた後にのみ配信のためにデジタル署名される、セキュリティスキームと、
   該ＰＭＤフォーマットコマンド（５６）がデジタル署名され、該セキュアなストレージ（２６）に格納され、再びデジタル署名され、そして２つのデジタル署名を有するときにのみ配信のためにマークされる、セキュリティスキームと、
   該ＰＭＤフォーマットコマンド（５６）がデジタル署名され、該セキュアなストレージ（２６）に格納され、該介護者の承認（１３３）を受けた後に該デジタル署名の正当性がチェックされ、該既存のデジタル署名に代わってデジタル署名され、そして第２のデジタル署名があったときにのみ配信のためにマークされる、セキュリティスキームと
   をさらに備えるセキュアなストレージ（２６）と
   をさらに備える、請求項３に記載のシステム（１０）。
6. 前記ＰＭＤフォーマットコマンド（５６）の適用は、単一のプログラミングセッション（１０３）で実行され、
   短期間の中断に応答して、該プログラミングセッション（１０３）の再開をプロンプトするユーザインタフェースと、
   短期間の中断の後に、該プログラミングセッション（１０３）を自動的に再開する再試行機構と、
   長期間の中断に応答して、該プログラミングセッション（１０３）を停止し、該ＰＭＤ（５５）に以前のＰＭＤフォーマットコマンド（５６）を復元する回復機構と
   のうちの少なくとも１つを備える、請求項１に記載のシステム（１０）。
7. 患者用医療デバイス（５５）を遠隔でプログラムするための方法（１３０）であって、
   遠隔で指定されたプログラミング命令（６３）を、患者用医療デバイス（ＰＭＤ）（５５）の機能性を制御するために該ＰＭＤ用にフォーマットされたコマンド（５６）に翻訳することと、
   該ＰＭＤフォーマットコマンド（５６）の正確性（１５０）をチェックすることと、
   該ＰＭＤフォーマットコマンド（５６）のセキュアな伝送（１６０）を保証することであって、
   伝送の前に、該ＰＭＤフォーマットコマンド（５６）にデジタル署名を行う（１６１）ことと、
   伝送の後に、該ＰＭＤフォーマットコマンド（５６）のソース（１６３）の同一性を、正規のものとして確認し、該ＰＭＤフォーマットコマンド（５６）が、移動中改変されなかった（１６４）ことを保証することと
   を含む、ことと、
   意図的な遅延の後の延期された時間に、遠隔で始動され実行されるプログラミングセッション（１０３）の間、該ＰＭＤフォーマットコマンド（５６）の該ＰＭＤ（５５）への適用を制御することと、
   該変更される機能性を検証するために、該ＰＭＤ（５５）に関する問い合わせ（１１１）を通して該ＰＭＤフォーマットコマンド（５６）の該適用を確認することと
   を含む、方法（１３０）。
8. 正確性チェック（１５０）の一部として前記ＰＭＤフォーマットコマンド（５６）の正当性を確認することをさらに含み、
   該ＰＭＤフォーマットコマンド（５６）が許可される（１５１）ことを保証することと、
   該ＰＭＤフォーマットコマンド（５６）の一部として含まれるいかなる値も、制約された限界内にある（１５２）ことを検証することと、
   既存のＰＭＤ（５５）コマンド（５６）および既存の状態（１５３）に照らして、該ＰＭＤフォーマットコマンドの相互作用上の制限のチェックを実行することと
   のうちの少なくとも１つをさらに含む、請求項７に記載の方法（１３０）。
9. 前記プログラミング命令（６３）を、前記ＰＭＤ（５５）に対するすべての可能なコマンド（５６）のサブセットに対応する選択に制限することと、
   前記ＰＭＤフォーマットコマンド（５６）に有効期限を関連づけることと、
   該有効期限に従って（１７１）、該ＰＭＤフォーマットコマンド（５６）の適用を調整することと、
   該ＰＭＤ（５５）が、該プログラミング命令（６３）の翻訳の前に最後にプログラムされた時を示すために、該ＰＭＤフォーマットコマンド（５６）とともにタイムスタンプを含めることと、
   プログラムが最も近くに該ＰＭＤ（５５）に適用された時を示すために、該ＰＭＤ（５５）にタイムスタンプを格納することと、
   該格納されたタイムスタンプ（１７２）に一致する該含まれたタイムスタンプに従って、該ＰＭＤフォーマットコマンド（５６）の適用を調整することと、
   ウェブブラウザアプリケーション（１８）、遠隔接続可能なプログラマ（１９）、およびパーソナルコンピュータ（２０）上の専用アプリケーションのうちの少なくとも１つを使用して該プログラミング命令（６３）を指定することと、
   プログラミングデバイスによるプロンプト、患者が始動するアクション、該ＰＭＤ（５５）によるプロンプト、および事前の患者の同意（１０２）のうちの少なくとも１つを通して、患者の同意（１０２）を確認することと、
   のうちの少なくとも１つをさらに含む、請求項７に記載の方法（１３０）。
10. 前記検証器は、遠隔プログラミングデバイス（１７）およびＰＭＤ（５５）のうちの少なくとも１つを備える、請求項９に記載のシステム（１３０）。
11. 前記ＰＭＤフォーマットコマンド（５６）の介護者の承認（１３３）を受けることと、
    セキュアなストレージ（２６）を維持することであって、
    該ＰＭＤフォーマットコマンド（５６）がデジタル署名され、該セキュアなストレージ（２６）に格納され、そして該介護者の承認（１３３）を受けた後にのみ配信のためにマークされる、セキュリティスキームを提供することと、
    該ＰＭＤフォーマットコマンド（５６）が該セキュアなストレージ（２６）に格納され、そして該介護者の承認（１３３）を受けた後にのみ配信のためにデジタル署名される、セキュリティスキームを提供することと、
    該ＰＭＤフォーマットコマンド（５６）がデジタル署名され、該セキュアなストレージ（２６）に格納され、再びデジタル署名され、そして２つのデジタル署名を有するときにのみ配信のためにマークされる、セキュリティスキームを提供することと、
    該ＰＭＤフォーマットコマンド（５６）がデジタル署名され、該セキュアなストレージ（２６）に格納され、該介護者の承認（１３３）を受けた後に該デジタル署名の正当性がチェックされ、既存のデジタル署名に代わってデジタル署名され、そして第２のデジタル署名を有するときにのみ配信のためにマークされる、セキュリティスキームを提供することと
    をさらに含む、セキュアなストレージ（２６）を維持することと
    をさらに含む、請求項９に記載の方法（１３０）。
12. 前記ＰＭＤフォーマットコマンド（５６）の適用を、単一のプログラミングセッション（１０３）で実行することであって、
    短期間の中断に応答して、該プログラミングセッション（１０３）の再開をプロンプトすることと、
    短期間の中断の後に該プログラミングセッション（１０３）を自動的に再開することと、
    再試行機構が短期間の中断の後に該プログラミングセッション（１０３）を自動的に再開することと、
    長期間の中断に応答して、該プログラミングセッション（１０３）を停止し、前記ＰＭＤ（５５）に以前のＰＭＤフォーマットコマンド（５６）を復元することと
    のうちの少なくとも１つを含む、こと
    をさらに含む、請求項７に記載の方法（１３０）。

Images