JP7080982B2 - 医療システムにおける医療装置の動作を制御する方法および医療システム - Google Patents

Description

本開示は、医療システムにおける医療装置の動作を制御する方法および医療システムに関する。

誤動作が医療装置のユーザに危険をもたらす可能性のある医療装置は、基準要件を順守するために機能安全原則に準拠する必要がある。非医療装置は通常、これらの原則に準拠していない。インスリン注入ポンプなどの医療装置を携帯電話などの非医療装置で制御する場合、医療装置の機能安全を確保する必要がある。

米国特許第２０１５／０１８２６９４ Ａ１号は、スマートフォンなどの遠隔制御装置と医療装置との間の中間装置として機能し、送信が医療装置に配信される前にスマートフォンからの送信を確認する保安処理装置を開示している。保安処理装置は、スマートフォンの種類およびバージョンと、スマートフォンに常駐するオペレーティングソフトウェアおよび／またはファームウェアのバージョンとをチェックすることで、スマートフォンが医療装置と互換性があるか否かを判断できる。保安処理装置はまた、スマートフォンに入力された操作コマンドが許容可能なパラメータ内にあるか否かをチェックできる。

薬剤ポンプ装置の遠隔制御および／または無線（再）プログラミングのためのシステムおよび方法は、米国特許出願公開第２０１１／０２７５４１０ Ａ１号に記載されている。様々な実施形態では、スマートフォンまたは他の無線ハンドヘルド装置を使用して、例えば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、または近距離通信リンクを介して、制御コマンドおよび／または薬剤送達プロトコルを薬剤ポンプ装置の無線受信機に送信する。スマートフォンにはドングルが備えられ、データ転送プロトコルの選択においてセキュリティや柔軟性を提供することができる。更に、スマートフォンは、ユーザとの対話を可能にし、不正な操作を阻止するセキュリティ機能を備えている可能性がある特別なソフトウェアアプリケーションを格納する場合がある。

ポンプ注入システムの安全な遠隔プログラミングのために、米国特許出願公開第２０１１／０２７５４１０ Ａ１号は、所定のプログラムを割り当て、プログラムされるプロトコルをポンプからのプロトコルと比較し、非医学的に認定された介在装置および手段の起こり得る誤りを排除し、プログラミングを実行することを開示する。

米国特許第６，１２８，７７４号は、コード作成者によって供給された信頼できないソフトウェアを、コード消費者が実行しても安全であることを検証するコンピュータ実施方法を記載している。この方法は、コード消費者上の信頼できないソフトウェアの安全な動作条件を指定する安全ポリシーを定義するステップを含む。この方法はまた、信頼できないソフトウェアのコード消費者による実行が前記安全ポリシーに違反するか否かを判定する信頼できないソフトウェア用の安全述語を生成するステップと、前記安全述語が有効であることを証明する安全証明を生成するステップとを含む。この方法は、前記安全証明および前記安全述語に基づく実行のために、信頼できないソフトウェアを検証するステップを更に含む。

米国特許出願公開第２０１１／０１２６１８８ Ａ１号によれば、制御されていないデータ処理装置（ＵＤＰＤ）で安全上重要なアプリケーション（ＳＣＡ）をホストするための方法および製品が提供されている。インストール、機能、ホストの整合性、共存、相互運用性、電源管理、および環境チェックの様々な組み合わせが様々なタイミングで実行され、安全上重要なアプリケーションが装置上で適切に動作するか否かが判定される。ＵＤＰＤ上でのＳＣＡの動作は、それに応じて制御され得る。

制御されていないデータ処理装置（ＵＤＰＤ）で安全上重要なアプリケーション（ＳＣＡ）を検証するための方法およびシステムが、米国特許出願公開第２０１６／０３４６５８ Ａ１号にも開示されている。安全上重要な機能の検証、ＳＣＡ－ＵＤＰＤ互換性の検証、リソース管理を含む様々なチェックの組み合わせが様々なタイミングで実行され、ＳＣＡが装置上で適切に動作することを確実にする。ＵＤＰＤ上でのＳＣＡの動作は、それに応じて制御され得る。

米国特許出願公開第２０１２／０６６５５１ Ａ１号によれば、プロセッサでの安全な動作は、通常はテストおよびソフトウェア開発にのみ使用される実行トレースモジュールを利用することで検証され得る。フィールドでのプロセッサの動作中に、一連の命令がプロセッサで実行され得る。実行の一部がトレースされ、一連のトレースデータを形成する。トレースデータのシーケンスは、チェックサムを形成するために圧縮される。チェックサムは参照チェックサムと比較され、チェックサムが参照チェックサムと一致しない場合は実行誤りが表示される。

医療環境におけるシステムへのアクセスを制御する方法およびシステムは、米国特許出願公開第２００８／２５６０７６ Ａ１号に開示されている。この方法は、医療システムで使用可能な少なくとも１つのファイル用の署名値を計算することと、計算された署名値を署名ファイルに転送することと、署名ファイル内の少なくとも１つの署名値および少なくとも１つの関連ファイルを、医療システムによって受信されるように構成されたファイルシステムに提供することとを含む。少なくとも１つの署名値および少なくとも１つの関連ファイルが医療システムによって検査され、関連ファイルが既知の医療ソフトウェアアプリケーション資産であることを検証する。医療システムは、外部メモリ記憶装置を受け取るように構成された入出力データポートと、医療システムデータをメモリ記憶装置から読み取り、メモリ記憶装置に書き込むことができるオペレーティングシステムとを備える。

ロックステッププロセッサシステムは、米国特許第５，９１５，０８２号から既知であり、これは１つ以上のロックステッププロセッサシステム機能、すなわち、制御出力、プロセッサ入力、Ｉ／Ｏバス、メモリアドレスバス、およびメモリデータバスに、誤り検出、分離、および回復ロジックを追加する。

本開示の目的は、医療システムの動作および通信に関して、強化された安全性およびセキュリティを提供する医療システムにおける医療装置の動作を制御する方法を提供することである。更に、医療システムが提供されるものとする。

この問題を解決するために、独立請求項１に記載の医療システムにおける医療装置の動作を制御する方法が提案される。更に、請求項１４に記載の医療システムが提供される。代替実施形態は、従属請求項の主題である。

一態様によれば、医療システムにおける医療装置の動作を制御する方法が提供される。医療システムは、医療装置と、通信装置上で実行し、医療装置の遠隔操作制御に適合された医療装置アプリケーションを備えた通信装置と、通信装置とのデータ通信に適合した安全装置とを有する。この方法は、医療システムにおいて、計算処理のための入力データを提供することと、通信装置において第１の計算処理での計算処理によって入力データを処理することにより、第１の計算結果データを提供することと、第１の計算処理とは別個に実行される第２の計算処理での計算処理によって入力データを処理することにより、第２の計算結果データを提供することと、第１の計算結果データと第２の計算結果データを比較することと、第１の計算結果データと第２の計算結果データが等しいことが判明した場合、通信装置上で実行している医療装置アプリケーションによる医療装置の遠隔操作制御を可能にすることと、第１の計算結果データと第２の計算結果データが等しくないことが判明した場合、通信装置上で実行している医療装置アプリケーションが医療装置の遠隔操作制御をすることを阻止することと、を含む。

別の態様によれば、医療システムが提供される。医療システムは、医療装置と、通信装置上で実行し、医療装置の遠隔操作制御に適合された医療装置アプリケーションを備えた通信装置と、通信装置とのデータ通信に適合された安全装置とを有する。システムは、計算処理のための入力データを提供し、通信装置において第１の計算処理での計算処理によって入力データを処理することにより、第１の計算結果データを提供し、第１の計算処理とは別個に実行される第２の計算処理での計算処理によって入力データを処理することにより、第２の計算結果データを提供し、第１の計算結果データと第２の計算結果データを比較し、第１の計算結果データと第２の計算結果データが等しいことが判明した場合、通信装置上で実行している医療装置アプリケーションによる医療装置の遠隔操作制御を可能にし、第１の計算結果データと第２の計算結果データが等しくないことが判明した場合、通信装置上で実行している医療装置アプリケーションが医療装置の遠隔操作制御をすることを阻止する、ように適合される。

第１の計算結果データおよび第２の計算結果データは、それぞれ第１の結果データおよび第２の結果データと呼ばれる場合もある。安全装置は、信頼できる装置と呼ばれる場合もある。

一般に、装置の動作上の安全性は、多様な冗長アーキテクチャを実装することで向上する可能性がある。多様な冗長性は、例えば、ＩＥＣ ６１５０８およびＩＥＣ ６１５１１規格で参照されている当該技術分野で既知である。多様な冗長性とは、同じタスクが、例えば多様性と呼ばれる様々な方法論および／または構成要素を使用して、別個の異なる方法で、冗長性と呼ばれる複数回実行されることを指す。そのようなタスクの１つを実行するための１つの多様な組の手段は、同じタスクを実行するための異なるチャネルとは別個のチャネルと呼ばれることがある。タスクを実行するための別個のチャネルは、そのように当該技術分野で知られている。

方法は、通信装置および安全装置の両方における計算処理のための入力データを提供することと、安全装置における第２の計算処理での計算処理によって入力データを処理することとを含み得る。これにより、第１の計算処理および第２の計算処理は、２つの別個の装置で実行され得る。したがって、第１の計算結果データと第２の計算結果データとが等しいことが判明した場合、２つの別個の装置に同じ入力データが提供された後、２つの別個の装置が同じ計算結果を生成したことが判明する場合がある。第１の計算結果データと第２の計算結果データとが等しくないことが判明した場合、通信装置における第１の計算処理および安全装置における第２の計算処理のうちの少なくとも１つが、正しく実行されなかったと考えてもよい。

方法は更に、通信装置および安全装置の第１の装置で入力データを受信することと、第１の装置において入力データを暗号化することと、暗号化された入力データを通信装置および安全装置の第１の装置から第２の装置に送信することと、暗号化された入力データを第２の装置において復号化することとを含み得る。例えば、入力データは、通信装置において受信され、暗号化されてもよい。暗号化された入力データは、安全装置に送信され、安全装置において復号化されてもよい。

更にまたは代替として、計算処理を実施するためのソフトウェアアプリケーションは、通信装置および安全装置の第１の装置で受信されてもよく、通信装置および安全装置の第１の装置から第２の装置に送信されてもよい。ソフトウェアアプリケーションは、第１の装置および／または第２の装置のメモリおよびストレージ装置のうちの少なくとも１つに格納され得る。更に、ソフトウェアアプリケーションは、第１の装置で暗号化され得る。次に、暗号化されたソフトウェアアプリケーションは、第１の装置から第２の装置に送信され、第２の装置において復号化され得る。

方法は、通信装置における計算処理のための入力データを提供することと、通信装置における第２の計算処理での計算処理によって入力データを処理することとを含み得る。第１の計算処理は、通信装置の第１のチャネルにおいて実行されてもよく、第２の計算処理は、第１のチャネルとは独立した通信装置の第２のチャネルにおいて実行されてもよい。第１の計算結果データと第２の計算結果データとが等しくないことが判明した場合、通信装置の第１のチャネルにおける第１の計算処理および通信装置の第２のチャネルにおける第２の計算処理のうちの少なくとも１つが、正しく実行されなかったと考えてもよい。

この方法は、安全装置において第１の計算結果データと第２の計算結果データとを提供することと、安全装置において第１の計算結果データと第２の計算結果データとを比較することとを含み得る。安全装置において第１の計算結果データと第２の計算結果データとを提供することは、第１の計算結果データおよび／または第２の計算結果データを通信装置から安全装置に送信することを含み得る。

方法は、安全装置において比較結果データを提供することであって、比較結果データは第１の計算結果データと第２の計算結果データとを比較した結果を示す、ことと、比較結果データを安全装置から通信装置に送信することとを更に含み得る。比較結果データは、安全装置において暗号化され得る。暗号化された比較結果データは、安全装置から通信装置に送信され、通信装置において復号化され得る。比較結果データは、第１の計算結果データと第２の計算結果データを比較した結果を示す任意のデータであり得る。例えば、比較結果データは、データパケットで送信される単一ビットで構成されてもよく、単一ビットは、第１の計算結果データと第２の計算結果データとが等しいか、または等しくないかが判明したことを示す。あるいは、比較結果データは、追加の情報、例えば第１の計算結果データと第２の計算結果データとを含み得る。比較結果データは、通信装置上で実行している医療装置アプリケーションによる医療装置の遠隔操作制御の許可または拒否を示し得る。

第１の計算処理が通信装置において実行され、第２の計算処理が安全装置において実行され、第１の計算結果データと第２の計算結果データとの比較が安全装置において実行される実施形態では、方法は、通信装置において第１の結果データを暗号化することと、暗号化された第１の結果データを通信装置から安全装置に送信することと、暗号化された第１の結果データを安全装置において復号化することと、を含み得る。

第１の計算処理および第２の計算処理が通信装置において実行され、比較結果データが、安全装置において提供され、安全装置から通信装置に送信される実施形態では、方法は、通信装置において第１の結果データと第２の結果データとを暗号化することと、暗号化された第１の結果データと第２の結果データとを通信装置から安全装置に送信することと、暗号化された第１の結果データと第２結果データとを安全装置内において復号化することと、を含み得る。

第１の計算結果データおよび第２の計算結果データは、通信装置において比較されてもよい。通信装置における第１の計算結果データと第２の計算と結果データの比較は、安全装置における第１の計算結果データと第２の計算結果データとの比較に追加または代わるものであってもよい。

第１の計算処理が通信装置において実行され、第２の計算処理が安全装置において実行され、第１の計算結果データと第２の計算結果データとの比較が通信装置において実行される実施形態では、方法は、安全装置において第２の結果データを暗号化することと、暗号化された第２の結果データを安全装置から通信装置に送信することと、暗号化された第２の結果データを通信装置において復号化することと、を含み得る。

安全装置は、ＳＤカードなどのメモリカード、ＮＦＣビーコン、遠隔サーバ装置、前記医療装置とは異なる別の医療装置の群から選択されてもよい。安全装置は、医療装置または非医療装置であり得る。安全装置は、多様な冗長アーキテクチャを備えていてもよい。

例えば、安全装置は、当技術分野で既知である標準的なＳＤカードと比較して追加の機能を備えた医療装置ＳＤカードであってもよい。医療装置ＳＤカードは、標準のＳＤカードのように通信装置、例えば携帯電話に接続され、ファイルサービスなどの標準のＳＤカードの機能を提供してもよい。更に、安全装置に関して上記で参照した追加の機能を提供する安全な医療比較／計算アプリケーションは、医療装置ＳＤカードの内部マイクロコントローラ上で実行していてもよい。医療装置ＳＤカードは、安全装置に関して上記で参照したタスクのいずれかまたはすべてを、多様な冗長な方法で実行するように構成され得る。

あるいは、安全装置は、通信装置に物理的に接続され得る他の任意の装置、例えば、ＵＳＢドングルであってもよい。通信装置に物理的に接続され得るＵＳＢドングルまたは他の装置は、医療用ＳＤカードに関して上記で説明した機能を提供し得る。

安全装置は、近距離無線通信（ＮＦＣ）を介して通信装置に無線で接続することができる装置であり得る。ＮＦＣは既知である。安全装置は、通信装置に直接取り付けられ得るＮＦＣビーコンであってもよい。例えば、安全装置は、通信装置に取り付けられたときに通信装置の通常の使用を妨げないほど十分に小さいＮＦＣステッカーまたはスリムなＮＦＣ対応装置であり得る。

この方法は、計算処理、および、第１の計算結果データと第２の計算結果データとの比較を、単一の故障安全アーキテクチャの安全要素として提供することを更に含み得る。単一の故障安全アーキテクチャでは、アーキテクチャ内で１つの（単一の）故障が発生する場合でも、ユーザに対する危険などの望ましくない結果は発生しない。例えば、故障の発生により、第１の計算結果データおよび第２の計算結果データのうちの１つが正しくないときに、第１の計算結果データと第２の計算結果データとが等しくないことが判明した場合、通信装置上で実行している医療装置アプリケーションが医療装置の遠隔操作制御をすることを阻止することにより、医療装置のユーザに対する危険を阻止することができる。

この方法は、通信装置および安全装置の少なくとも１つに設けられたメモリ装置に、入力データ、暗号化された入力データ、第１の結果データ、暗号化された第１の結果データ、第２の結果データ、および暗号化された第２の結果データのうちの少なくとも１つを記憶することを更に含み得る。

例えば、暗号化された入力データ、暗号化された第１の結果データおよび暗号化された第２の結果データは、安全装置のメモリ装置に格納されてもよい。次に、暗号化された入力データ、暗号化された第１の結果データおよび暗号化された第２の結果データは復号化され、入力データ、第１の結果データおよび第２の結果データは安全装置のメモリ装置に格納されてもよい。次に、入力データ、第１の結果データおよび／または第２の結果データを使用して、第１の結果データと第２の結果データとを比較してもよい。同様に、追加または代替として、データは、安全装置のメモリ装置に格納され、第１の結果データと第２の結果データとを比較するために使用されてもよい。

入力参照データは、安全装置および通信装置のうちの少なくとも１つに提供されてもよい。入力参照データは、安全装置および通信装置のうちの少なくとも１つにおいて、入力データと比較されて、入力データが有効な入力データであるか否かを判定し得る。入力データが有効であることが判明した場合、通信装置上で実行している医療装置アプリケーションによる医療装置の遠隔操作制御が許可されてもよい。入力データが有効でないことが判明した場合、通信装置上で実行している医療装置アプリケーションが医療装置の遠隔操作制御をすることが阻止されてもよい。入力データと参照入力データとの比較は、第１の計算結果データと第２の計算結果データとを比較する前若しくは後に、または少なくとも部分的に同時に実行されてもよい。

医療装置アプリケーションが実行されている通信装置は、任意の通信装置、例えば、携帯電話、スマートウォッチ、（モバイル）コンピュータ、または携帯型ディスプレイ装置などのモバイル通信装置であり得る。通信装置は、通信機能を備えていてもよい。通信装置は、無線で、または有線を介して、医療装置および／または安全装置に接続され得る。

医療装置はインスリンポンプであり得る。あるいは、医療装置は、インスリンを患者に投与するためのペン装置であってもよい。更なる代替として、医療装置は、連続グルコースモニタリングまたは非連続グルコースモニタリングに適合されたグルコースモニタリング装置であり得るグルコースモニタリング装置であり得る。

連続血中グルコースモニタリングに適合されたグルコースモニタリング装置は、連続グルコースモニタリング（ＣＧＭ）用の完全または部分的に埋め込まれたセンサであるセンサを備えていてもよい。一般に、ＣＧＭの文脈では、血中のグルコース値またはレベルを示す検体値またはレベルが判定され得る。検体値は、間質液中で測定されてもよい。測定は皮下または生体内で行うことができる。ＣＧＭは、ほぼリアルタイムまたは準連続的なモニタリング手順として頻繁または自動的に実施されることができ、ユーザの対話なしに検体値を提供／更新してもよい。別の実施形態では、検体は、眼液を介してコンタクトレンズ内のバイオセンサで、または汗における経皮測定を介して皮膚上のバイオセンサで測定されることができる。ＣＧＭセンサは、数日から数週間は所定の位置にあってもよく、その後交換される必要がある。

信頼できる装置は、安全に機能することが医療装置アプリケーションのプロバイダによって知られている装置であってもよい。例えば、信頼できる装置は、予想されるすべての動作条件下で、医療装置の遠隔制御操作に必要な動作を正しく実行することが医療装置アプリケーションのプロバイダによって確認されていてもよい。

医療システムに関して、上述の代替実施形態は、必要な変更を加えて適用することができる。

医療システムでは、安全装置は医療装置の統合装置であり得る。例えば、安全装置は、医療装置に設けられた、ＳＤカードなどのメモリ装置であってもよい。あるいは、安全装置は、医療装置に提供され、医療装置の他の構成要素とは別個のハードウェア構成要素およびソフトウェア構成要素のうちの少なくとも１つを備えてもよい。

この場合も、上記の方法および医療システムでは、通信装置は、その上で医療装置アプリケーションを実行するのに適しており、医療装置を遠隔制御するための医療装置とは別個のハードウェア装置であり得る。逆に、医療装置は、通信装置とは別個のハードウェア装置であってもよい。通信装置および医療装置は、特に医療装置を遠隔制御するために、互いに通信するように構成され得る。

以下、図を参照して更なる実施形態を説明する。図において、以下を示す。
医療システムの略図。 更なる医療システムの略図。 医療装置の略図。 医療システムにおける医療装置の動作を制御するための更なる方法のステップの流れ図。 医療システムにおける医療装置の動作を制御するための更なる方法のステップの流れ図。 医療システムにおける医療装置の動作を制御するための更なる方法のステップの流れ図。 医療システムにおける医療装置の動作を制御するための更なる方法のステップの流れ図。 医療システムにおける医療装置の動作を制御するための更なる方法のステップの流れ図。

図１は、医療装置１００、通信装置１０１および安全装置１０２を含む医療システムの略図を示す。通信装置１０１は、処理装置１０３、メモリ装置１０４、およびトランシーバ１０５を備える。安全装置１０２は、制御装置１０６、信頼できるコンパレータ１０７およびトランシーバ１０８を備える。医療装置１００は、医療装置１００の所望の機能に必要な任意の要素を含み得る。示される実施形態では、医療装置１００は、通信装置１０１上で実行する医療装置アプリケーションによって制御されるように構成されるインスリンポンプである。代替の実施形態では、医療装置１００は、通信装置１０１を介して制御され得る任意の医療装置であり得る。医療装置１００の例示的な実施形態は、図３を参照して以下に説明される。

通信装置１０１の処理装置１０３は、通信装置１０１のトランシーバ１０５を介して医療装置１００への接続を確立するように構成される。通信装置１０１のトランシーバ１０５は、医療装置１００への無線データ接続のために構成される。通信装置１０１の処理装置１０３は、通信装置１０１のトランシーバ１０５および安全装置１０２のトランシーバ１０８を介して安全装置１０２への接続を確立するように更に構成される。示される実施形態では、通信装置１０１のトランシーバ１０５および安全装置１０２のトランシーバ１０８は、通信装置１０１と安全装置１０２との間の無線データ接続のために構成される。

通信装置１０１の処理装置１０３は、メモリ装置１０４に格納された医療装置アプリケーションを実行するように構成される。安全装置１０２の制御装置１０６は、安全装置１０２のトランシーバ１０８を介してデータを受信および送信するように構成される。制御装置１０６は、信頼できるコンパレータ１０７を制御するように更に構成される。信頼できるコンパレータ１０７は、制御装置１０６からデータを受信し、図４～８を参照して以下でより詳細に説明されるように、医療装置１００の動作を制御する方法のステップを実行し、データを制御装置１０６へ送信するように構成される。

図２は、医療システムの異なる実施形態の略図を示す。図２に示される医療システムは、通信装置１０１および医療装置２００を備える。通信装置１０１は、図１に示す通信装置１０１に対応する。医療装置２００は、安全装置２０１およびトランシーバ２０２を備える。安全装置２０１は、医療装置２００の統合装置として提供され、医療装置２００のトランシーバ２０２を介して通信装置１０１への接続を確立するように構成される。医療装置２００のトランシーバ２０２は、通信装置１０１のトランシーバ１０５への無線データ接続のために構成される。安全装置２０１は、図１に示す安全装置１０２の制御装置１０６および信頼できるコンパレータ１０７に対応する、制御装置および信頼できるコンパレータ（図示せず）を備える。

医療装置２００は、医療装置２００の所望の機能に必要な少なくとも１つの更なる構成要素２０３を含む。示される実施形態では、医療装置２００は、通信装置１０１上で実行する医療装置アプリケーションによって制御されるように構成されるインスリンポンプであり、少なくとも１つの更なる構成要素２０３は、医療装置２００のインスリンポンプ機能を提供するように構成される。通信装置１０１の処理装置１０３は、通信装置１０１のトランシーバ１０５および医療装置２００のトランシーバ２０２を介して、医療装置アプリケーションによって医療装置２００を制御するための医療装置２００の少なくとも１つの更なる構成要素２０３への接続を確立するように構成される。

図３は、図示の実施形態ではインスリン注入ポンプである医療装置２００の実施形態の略図を示す。医療装置２００は、医療装置２００に電力を供給するように構成された電源３００と、医療装置２００の機能を制御するように構成された制御ユニット３０１とを備える。制御ユニット３０１は、医療装置２００の外部の装置、例えば通信装置１０１とのデータ通信のために、トランシーバ２０２に機能的に接続される。安全装置２０１はまた、医療装置２００の外部の装置、特に通信装置１０１とのデータ通信のために、トランシーバ２０２に機能的に接続される。制御装置３０１は、安全装置２０１の機能を制御する。安全装置に設けられた信頼できるコンパレータ（図示せず）は、制御装置３０１を含む医療装置２００の他の構成要素から機能的に分離されている。

制御装置３０１は、医療装置２００によって提供されるインスリン注入ポンプを更に制御する。アクチュエータユニット３０２は、医療装置２００のユーザにインスリンを投与するための少なくとも１つのアクチュエータ、例えばポンプ装置を含む。センサユニット３０３は、少なくとも１つのセンサを含む。例えば、センサユニット３０３は、医療装置２００のユーザに投与されるインスリンを収容しているリザーバ内の圧力を測定するように構成された圧力センサを含み得る。医療装置２００は、例えば、ユーザインタフェース３０４のタッチスクリーンおよび／またはボタンを介してユーザ入力を受信し、医療装置２００のユーザに信号を送信するように構成されたユーザインタフェース３０４を更に備える。医療装置２００のユーザに送信される信号は、視覚的、音響的および／または触覚的信号を含み得る。例えば、ユーザインタフェース３０４は、視覚信号、音響信号、および触覚信号をそれぞれ送信するためのディスプレイ、スピーカ、および／または振動装置を備えてもよい。

保護ユニット３０５は、アクチュエータユニット３０２の機能を有効化および／または無効化し、それにより、医療装置２００のユーザへのインスリンの投与を許可または阻止する。保護ユニット３０５は、ユーザインタフェース３０４を介して、インスリンの投与の許可および／または阻止に関して、医療装置２００のユーザにユーザフィードバックを提供するように構成される。保護ユニット３０５は、制御ユニット３０１から受信したデータおよび／またはコマンドに基づいて、アクチュエータユニット３０２の機能を有効および／または無効にする。制御ユニット３０１によって保護ユニット３０５に提供されるデータおよび／またはコマンドは、安全装置２０１から制御ユニット３０１で受信されるデータおよび／またはコマンドに、少なくとも部分的に基づくことができる。

図４は、フロー図において、医療システムにおける医療装置１００の動作を制御するための方法のステップを示す。方法のステップ４００において、入力データは、通信装置１０１上で実行される医療装置アプリケーションにおいて提供され、医療装置アプリケーションは、医療装置１００の遠隔操作制御に適合されている。例えば、入力データは、通信装置１０１において、ユーザ入力によって提供されてもよい。あるいは、入力データは、データ通信を介して通信装置１０１において受信されてもよい。更なる代替として、入力データは、通信装置１０１における動作、例えば計算動作の結果として提供されてもよい。入力データは、通信装置１０１で暗号化され、安全装置１０２に送信される。

次に、ステップ４０１において、入力データは、第１の計算処理で通信装置１０１において処理され、第１の計算結果データをもたらす。ステップ４０２において、安全装置１０２において、入力データは、復号化され、第２の計算処理で処理され、第２の計算結果データをもたらす。第２の計算結果データは、暗号化されて、安全装置１０２から通信装置１０１に送信される。ステップ４０１および４０２は、任意の順序でまたは並行して実行することができる。

ステップ４０３において、第２の計算結果データは、復号化され、通信装置１０１において第１の計算結果データと比較される。ステップ４０４において、第１の計算結果データと第２の計算結果データとが等しいことが判明した場合、通信装置１０１による医療装置１００の遠隔制御操作が許可される。一方、第１の計算結果データと第２の計算結果データとが等しくないことが判明した場合、ステップ４０４において、通信装置１０１による医療装置１００の遠隔制御操作が阻止される。

図５は、通信装置１０１および安全装置１０２を更に備える医療システムにおける医療装置１００の動作を制御する方法の異なる実施形態のステップを示す。ステップ５００は、上記の図４を参照して説明されたステップ４００に対応する。ステップ５０１において、入力データは、通信装置１０１において第１の計算処理で処理され、第１の計算結果データをもたらす。第１の計算結果データは、暗号化されて通信装置１０１から安全装置１０２に送信される。ステップ５０２において、安全装置１０２において、入力データは、復号化され、第２の計算処理で処理され、第２の計算結果データをもたらす。ステップ５０１および５０２は、任意の順序でまたは並行して実行することができる。

第１の計算結果データは、復号化され、ステップ５０３で安全装置１０２において第２の計算結果データと比較され、第１の計算結果データと第２の計算結果データとの比較結果を示す比較結果データをもたらす。比較結果データは、暗号化され、安全装置１０２から通信装置１０１に送信される。ステップ５０４では、通信装置１０１において比較結果データは、復号化され、第１の計算結果データと第２の計算結果データとが等しいことが判明した場合、通信装置１０１による医療装置１００の遠隔制御操作を可能にする。一方、第１の計算結果データと第２の計算結果データとが等しくないことが判明した場合、ステップ５０４において、通信装置１０１による医療装置１００の遠隔制御操作が阻止される。

図６は、通信装置１０１および安全装置１０２を更に備える医療システムにおける医療装置１００の動作を制御する方法の異なる実施形態のステップを示す。ステップ６００において、入力データは、通信装置１０１上で実行される医療装置アプリケーションにおいて提供される。ステップ６００は、それぞれ図４および図５を参照して上述したステップ４００およびステップ５００に対応する。上記の図４を参照して説明したステップ４０１に対応するステップ６０１において、入力データは、通信装置１０１において第１の計算処理で処理され、第１の計算結果データをもたらす。

ステップ６０２において、入力参照データが安全装置１０２に提供される。入力参照データは、有効な入力データを示す。ステップ６０３では、安全装置１０２において、入力データが復号化され、入力参照データと比較される。ステップ６０４において、入力データがステップ６０３で有効であると判明した場合、入力データは、第２の計算処理で処理され、第２の計算結果データをもたらす。第２の計算結果データは、暗号化されて安全装置１０２から通信装置１０１に送信される。ステップ６０３において入力データが有効でないと判明した場合、ステップ６０４において、入力無効データは、提供および暗号化され、安全装置１０２から通信装置１０１に送信される。ステップ６０５において、第２の計算結果データまたは入力無効データおよび入力データが安全装置１０２のメモリに格納される。更に、入力参照データおよび／または図６を参照して説明されたプロセスに関連する他の任意のデータは、安全装置１０２に格納されてもよい。

ステップ６００および６０２は、任意の順序でまたは並行して実行することができる。更に、ステップ６０１は、ステップ６０３および６０４のそれぞれの前若しくは後に、または並行して、少なくとも部分的に実行されてもよい。

ステップ６０６において、暗号化された入力無効データが通信装置１０１において受信された場合、入力無効データが復号化される。その後、ステップ６０７において、通信装置１０１による医療装置１００の遠隔制御操作が阻止される。

暗号化された第２の計算結果データが通信装置１０１において受信されると、ステップ６０６で、暗号化された第２の計算結果データは、復号化され、通信装置１０１において第１の計算結果データと比較される。その後、ステップ６０７において、第１の計算結果データと第２の計算結果データとが等しいことが判明した場合、通信装置１０１による医療装置１００の遠隔制御操作が許可される。一方、第１の計算結果データと第２の計算結果データとが等しくないことが判明した場合、ステップ６０７において、通信装置１０１による医療装置１００の遠隔制御操作が阻止される。

図７は、通信装置１０１および安全装置１０２を更に備える医療システムにおける医療装置１００の動作を制御する方法の更なる実施形態のステップを示す。ステップ７００において、入力データは、通信装置１０１上で実行される医療装置アプリケーションの第１のチャネルにおいて提供され、医療装置アプリケーションは、医療装置１００の遠隔操作制御に適合されている。入力データは、第１の計算処理で第１のチャネルにおいて処理され、第１の計算結果データをもたらす。ステップ７０１において、入力データは、医療装置アプリケーションの第２のチャネルにおいて提供され、第２のチャネルは、第１のチャネルから分離されている。例えば、第１のチャネルおよび第２のチャネルは、通信装置１０１の異なるハードウェアを使用し、医療装置アプリケーションにおいて異なる方法論を使用して、同じ計算を実行することができる。入力データは、ステップ７０１において、第２の計算処理で第２のチャネルにおいて処理され、第２の計算結果データをもたらす。ステップ７００および７０１は、任意の順序で、または少なくとも部分的に並行して実行することができる。

ステップ７０２において、第１の計算結果データと第２の計算結果データとが比較され、第１の計算結果データと第２の計算結果データとの比較結果を示す比較結果データをもたらす。第１の計算結果データ、第２の計算結果データおよび比較結果データは、暗号化され、安全装置１０２に送信される。更に、入力データは、暗号化され、安全装置１０２に送信されてもよい。

ステップ７０３では、安全装置１０２において、第１の計算結果データ、第２の計算結果データおよび比較結果データが復号化され、比較結果データを確認するために第１の計算結果データと第２の計算結果データとが比較される。更に、入力データが復号化されてもよく、更に確認機能が実行されてもよい。例えば、第３の計算結果データは、第３の計算処理で安全装置１０２において入力データを処理することによって生成されてもよく、第３の計算結果データは、比較結果データを確認するために第１の計算結果データおよび／または第２の計算結果データと比較されてもよい。安全装置１０２において、比較結果データの確認または比較結果データの確認の失敗を示す判定データが提供される。判定データ、第１の計算結果データ、第２の計算結果データおよび比較結果データは、暗号化され、通信装置１０１に送信される。

判定データ、第１の計算結果データ、第２の計算結果データおよび比較結果データは、ステップ７０４において通信装置１０１において復号化される。第１の計算結果データと第２の計算結果データとが等しいことが判明し、比較結果データが判定データに基づいて確認された場合、通信装置１０１による医療装置１００の遠隔制御操作が可能になる。第１の計算結果データと第２の計算結果データとが等しくないことが判明し、および／または、比較結果データが判定データに基づいて確認された場合、ステップ７０４において、通信装置１０１による医療装置１００の遠隔制御操作が阻止される。

図８は、通信装置１０１および安全装置１０２を更に備える医療システムにおける医療装置１００の動作を制御するための方法における自己テスト手順を示す。ステップ８００において、第１のランダムデータは、通信装置１０１上で実行される医療装置アプリケーションの第１のチャネルにおいて生成され、医療装置アプリケーションは、医療装置１００の遠隔操作制御に適合されている。ステップ８０１では、第２のランダムデータが、医療装置アプリケーションの第２のチャネルで作成され、第２のチャネルは、第１のチャネルから分離されている。ステップ８００および８０１は、任意の順序で、または少なくとも部分的に並行して実行することができる。

ステップ８０２において、第１のランダムデータと第２のランダムデータとが比較され、第１のランダムデータと第２のランダムデータとの比較結果を示す比較結果データをもたらす。第１のランダムデータ、第２のランダムデータおよび比較結果データは、暗号化され、安全装置１０２に送信される。

ステップ８０３では、安全装置１０２において、第１のランダムデータ、第２のランダムデータおよび比較結果データが復号化され、比較結果データを確認するために、第１のランダムデータと第２のランダムデータとが比較される。安全装置１０２において、比較結果データの確認または比較結果データの確認の失敗を示す判定データが提供される。判定データ、第１のランダムデータ、第２ランダムデータおよび比較結果データは、暗号化され、通信装置１０１に送信される。

ステップ８０４において、判定データ、第１のランダムデータ、第２のランダムデータおよび比較結果データが通信装置１０１において復号化される。判定データに基づいて比較結果データが確認される場合、通信装置１０１による医療装置１００の遠隔制御操作が許可される。ステップ８０４において、判定データに基づいて比較結果データが確認されない場合、通信装置１０１による医療装置１００の遠隔制御操作が阻止される。

図４から図８を参照して上で説明した方法の実施形態は、医療装置２００の統合装置として提供される安全装置２０１に適宜適用することができる。

Claims (12)

1. 医療システムにおける医療装置の動作を制御する方法であって、前記医療システムは、
   医療装置と、
   通信装置上で実行し、前記医療装置の遠隔操作制御に適合された医療装置アプリケーションを備えた通信装置と、
   前記通信装置とのデータ通信に適合された安全装置であって、遠隔サーバ装置、又は前記医療装置とは異なる別の医療装置である、安全装置と、
   を有し、
   前記方法が、前記医療システムにおいて、
   計算処理のための入力データを提供することと、
   前記通信装置において第１の計算処理での前記計算処理によって前記入力データを処理することにより、第１の計算結果データを提供することと、
   前記安全装置において、前記第１の計算処理とは別個に実行される第２の計算処理での前記計算処理によって前記入力データを処理することにより、第２の計算結果データを提供することと、
   前記通信装置または前記安全装置において、前記第１の計算結果データと前記第２の計算結果データとを比較することと、
   前記第１の計算結果データと前記第２の計算結果データが等しいことが判明した場合、前記通信装置上で実行している前記医療装置アプリケーションによる前記医療装置の遠隔操作制御を可能にすることと、
   前記第１の計算結果データと前記第２の計算結果データとが等しくないことが判明した場合、前記通信装置上で実行している前記医療装置アプリケーションが前記医療装置の遠隔操作制御をすることを阻止することと
   を含む、方法。
2. 前記通信装置および前記安全装置の両方における前記計算処理のための前記入力データを提供することと、
   前記安全装置において前記第２の計算処理での前記計算処理によって前記入力データを処理することと、
   を更に含む、請求項１に記載の方法。
3. 前記通信装置および前記安全装置のうちの一方の装置において前記入力データを受信することと、
   前記一方の装置において前記入力データを暗号化することと、
   前記暗号化された入力データを前記一方の装置から前記通信装置および前記安全装置のうちの他方の装置に送信することと、
   前記暗号化された入力データを前記他方の装置において復号化することと、
   を更に含む、請求項２に記載の方法。
4. 前記通信装置において前記計算処理のための前記入力データを提供すること
   を更に含む、請求項１に記載の方法。
5. 前記安全装置において前記第１の計算結果データと前記第２の計算結果データとを提供することと、
   前記安全装置において前記第１の計算結果データと前記第２の計算結果データとを比較することと、
   を更に含む、請求項１～４のいずれか一項に記載の方法。
6. 前記安全装置において比較結果データを提供することであって、前記比較結果データが、前記第１の計算結果データと前記第２の計算結果データとを比較した結果を示す、提供することと、
   前記比較結果データを前記安全装置から前記通信装置へ送信することと、
   を更に含む、請求項５に記載の方法。
7. 前記通信装置において前記第１の計算結果データを暗号化することと、
   前記暗号化された第１の計算結果データを前記通信装置から前記安全装置に送信することと、
   前記暗号化された第１の計算結果データを前記安全装置において復号化することと、
   を更に含む、請求項２または３および請求項５または６に記載の方法。
8. 前記通信装置において前記第１の計算結果データと前記第２の計算結果データとを比較することを更に含む、請求項１～７のいずれか一項に記載の方法。
9. 前記安全装置において前記第２の計算結果データを暗号化することと、
   前記暗号化された第２の計算結果データを前記安全装置から前記通信装置に送信することと、
   前記暗号化された第２の計算結果データを前記通信装置において復号化することと、
   を更に含む、請求項２または８に記載の方法。
10. 前記計算処理、および、前記第１の計算結果データと前記第２の計算結果データとの前記比較を、単一の故障安全アーキテクチャの安全要素として提供することを更に含む、請求項１～９のいずれか一項に記載の方法。
11. 前記通信装置および前記安全装置の少なくとも１つに設けられたメモリ装置に、前記入力データ、暗号化された前記入力データ、前記第１の計算結果データ、暗号化された前記第１の計算結果データ、前記第２の計算結果データ、および暗号化された前記第２の計算結果データのうちの少なくとも１つを記憶することを更に含む、請求項１～１０のいずれか一項に記載の方法。
12. 医療システムであって、
    医療装置と、
    通信装置上で実行し、前記医療装置の遠隔操作制御に適合された医療装置アプリケーションを備えた通信装置と、
    前記通信装置とのデータ通信に適合された安全装置であって、遠隔サーバ装置、又は前記医療装置とは異なる別の医療装置である、安全装置と、
    を備え、
    前記医療システムが、
    計算処理のための入力データを提供し、
    前記通信装置において第１の計算処理での前記計算処理によって前記入力データを処理することにより、第１の計算結果データを提供し、
    前記安全装置において、前記第１の計算処理とは別個に実行される第２の計算処理での前記計算処理によって前記入力データを処理することにより、第２の計算結果データを提供し、
    前記通信装置または前記安全装置において、前記第１の計算結果データと前記第２の計算結果データとを比較し、
    前記第１の計算結果データと前記第２の計算結果データとが等しいことが判明した場合、前記通信装置上で実行している前記医療装置アプリケーションによる前記医療装置の遠隔操作制御を可能にし、
    前記第１の計算結果データと前記第２の計算結果データとが等しくないことが判明した場合、前記通信装置上で実行している前記医療装置アプリケーションが前記医療装置の遠隔操作制御をすることを阻止する
    ように適合される、医療システム。

Images