特許 7425051 パワーカップリング変調伝送

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-01-22

(45)【発行日】2024-01-30

(54)【発明の名称】パワーカップリング変調伝送

(51)【国際特許分類】

   H04L 9/08 20060101AFI20240123BHJP

   A61N 1/378 20060101ALI20240123BHJP

   A61N 1/372 20060101ALN20240123BHJP

【ＦＩ】

H04L9/08 C

H04L9/08 F

A61N1/378

A61N1/372

【請求項の数】 24

(21)【出願番号】P 2021519014

(86)(22)【出願日】2019-06-12

(65)【公表番号】

(43)【公表日】2021-10-21

(86)【国際出願番号】 IB2019054909

(87)【国際公開番号】W WO2019239343

(87)【国際公開日】2019-12-19

【審査請求日】2022-06-10

(31)【優先権主張番号】62/683,677

(32)【優先日】2018-06-12

(33)【優先権主張国・地域又は機関】US

(73)【特許権者】

【識別番号】520490624

【氏名又は名称】インパルス ダイナミクス エヌヴイ

【氏名又は名称原語表記】ＩＭＰＵＬＳＥ ＤＹＮＡＭＩＣＳ ＮＶ

【住所又は居所原語表記】Ｓｃｈｏｔｔｅｇａｔｗｅｇ Ｏｏｓｔ １０， Ｕｎｉｔ Ａ１Ｋ， Ｗｉｌｌｅｍｓｔａｄ， Ｃｕｒａｃａｏ， Ｎｅｔｈｅｒｌａｎｄｓ

(74)【代理人】

【識別番号】110002952

【氏名又は名称】弁理士法人鷲田国際特許事務所

(72)【発明者】

【氏名】プラッチ デビッド

(72)【発明者】

【氏名】マイヤーズ ジェイソン

【審査官】金沢 史明

(56)【参考文献】

【文献】特開２００２－３１５２０９（ＪＰ，Ａ）

【文献】特開２０１８－０８５７３１（ＪＰ，Ａ）

【文献】特表２００７－５２４４５６（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／０８

Ａ６１Ｎ １／００－ １／４４

(57)【特許請求の範囲】

【請求項1】

移植可能デバイスと外部デバイスとの間の無線チャネルを介した通信をセキュアにする方法であって、
外部デバイスが、移植可能デバイスに経皮的エネルギー伝送（ＴＥＴ）リンクを介して前記移植可能デバイスのバッテリーを充電するためのエネルギーを伝送することと、
前記外部デバイスが、前記ＴＥＴリンクによって伝送されるエネルギーに鍵を変調することと、
前記移植可能デバイスまたは前記外部デバイスが、前記鍵を使用して前記無線チャネルを介する通信を暗号化することと、
を備える、方法。

【請求項2】

前記鍵は、公開鍵であり、前記暗号化することは、前記移植可能デバイスが、非対称暗号化および前記公開鍵を使用して、前記無線チャネルを介して前記移植可能デバイスからのメッセージを前記外部デバイスに送信することを含む、請求項１に記載の方法。

【請求項3】

前記メッセージは、セッション鍵を含み、
前記外部デバイスが、前記セッション鍵で前記移植可能デバイスへのコマンドを暗号化すること
をさらに含む、請求項２に記載の方法。

【請求項4】

前記メッセージは、セッション鍵を含み、
前記移植可能デバイスが、前記移植可能デバイスから送信されたデータを前記セッション鍵で暗号化すること
をさらに含む、請求項２に記載の方法。

【請求項5】

前記外部デバイスが、高レベルのセキュリティプロトコルに従って、前記移植可能デバイスに送信されるコマンドをセキュアにすることと、
前記移植可能デバイスが、低レベルのセキュリティプロトコルに従って、前記移植可能デバイスから外部デバイスに送信されるデータをセキュアにすることと、
をさらに備える、請求項１から４のいずれか一項に記載の方法。

【請求項6】

前記外部デバイスから前記移植可能デバイスへの治療パラメータを変更するためのコマンドが、前記高レベルのセキュリティに割り当てられる、請求項５に記載の方法。

【請求項7】

前記高レベルのセキュリティプロトコルは、前記コマンドを受け入れる前に、１５分以内に更新された鍵の変調を必要とする、請求項５から６のいずれか一項に記載の方法。

【請求項8】

前記外部デバイスが、前記外部デバイスから前記ＴＥＴリンクを介して前記移植可能デバイスに検証メッセージを送信することによって、前記無線チャネルを介して送信されるメッセージを検証すること、
をさらに備える、請求項１から７のいずれか一項に記載の方法。

【請求項9】

前記移植可能デバイスが、前記鍵を記憶することをさらに備える、請求項１から８のいずれか一項に記載の方法。

【請求項10】

前記コマンドが、前記移植可能デバイスのユーザの状態に応じて、前記低レベルのセキュリティを一時的に割り当てる、請求項６に記載の方法。

【請求項11】

前記状態は、心筋梗塞を含む、請求項１０に記載の方法。

【請求項12】

セキュアな通信のための移植可能デバイスであって、
外部デバイスから電力を受信し、前記電力を前記移植可能デバイスに供給するように構成された経皮的エネルギー伝送（ＴＥＴ）受信機と、
前記ＴＥＴ受信機に接続されたデータ受信回路であって、前記ＴＥＴ受信機から、受信された前記電力の変調によって符号化された公開鍵を受信するように構成されたデータ受信回路と、
前記データ受信回路に機能的に接続され、前記データ受信回路から前記公開鍵を受信し、前記公開鍵に基づいてメッセージを非対称暗号化して暗号化メッセージを生成するように構成された暗号化モジュールと、
送受信機であって、前記暗号化モジュールから前記暗号化メッセージを受信し、双方向無線チャネルを介して前記外部デバイスに前記暗号化メッセージを送信するように機能的に接続された送受信機と、
を備える、移植可能デバイス。

【請求項13】

前記移植可能デバイスが、前記ＴＥＴチャネル上で発信メッセージを変調することができる変調器を含まない、請求項１２に記載の移植可能デバイス。

【請求項14】

前記移植可能デバイスが、前記公開鍵と秘密鍵とを生成すること、および前記公開鍵で暗号化された非対称暗号化メッセージを復号することができる非対称復号回路を含まない、請求項１２から１３のいずれか一項に記載の移植可能デバイス。

【請求項15】

移植可能デバイスと外部デバイスとの間でセキュアな通信を行うためのシステムであって、
移植可能デバイスであって、
誘導エネルギー受信回路と、
前記エネルギー受信回路からの信号を復調することができるデータ受信回路と、
無線チャネルを介したデータ通信のための送受信機と、
プロセッサであって、
非対称プロトコルでメッセージを暗号化し、
対称暗号化鍵を生成し、
前記対称暗号化鍵を使用してデータを暗号化し、暗号化された信号を生成し、
前記対称暗号化鍵を用いて受信したデータ信号を復号する
ように構成されたプロセッサと、
を含む、移植可能デバイスと、
近接場外部デバイスであって、
前記誘導エネルギー受信回路に電流を誘導するように構成された誘導発生回路であって、前記移植可能デバイスにエネルギーを伝達するように構成されたＴＥＴ発生器を含む、誘導発生回路と、
前記無線チャネルを介したデータ通信のための手段と、
公開鍵と秘密鍵を生成し、前記無線チャネルを介して受信された、前記公開鍵で暗号化された非対称暗号化メッセージを復号することができる非対称復号回路と、
を含む、近接場外部デバイスと、
を備え、
前記移植可能デバイスは、前記公開鍵を受信するように前記復号回路に機能的に接続された変調器であって、前記公開鍵をＴＥＴ信号に変調して前記鍵を前記移植可能デバイスに伝達するように前記ＴＥＴ発生器に機能的に接続された変調器を備える、システム。

【請求項16】

前記近接場外部デバイスが、前記ＴＥＴチャネル上でメッセージを受信できる受信機を含まない、請求項１５に記載のシステム。

【請求項17】

前記移植可能デバイスが、現在の位置を検出することと、
前記移植可能デバイスが、前記現在の位置に応じて前記移植可能デバイスの通信に関するセキュリティプロトコルを調整することと、
をさらに含む、請求項１に記載の方法。

【請求項18】

前記位置は、高リスクの位置であり、前記調整することは、セキュリティ制限を増大させることを含む、請求項１７に記載の方法。

【請求項19】

前記位置は、低リスクの位置であり、前記調整することは、セキュリティ制限を減少させることを含む、請求項１７から１８のいずれか１つに記載の方法。

【請求項20】

請求項１７から請求項１９のいずれか一項に記載の方法を実行するための、システム。

【請求項21】

前記移植可能デバイスが、前記移植可能デバイスのユーザの現在の状態を検出することと、
前記移植可能デバイスが、前記現在の状態に応じて前記移植可能デバイスの通信に関するセキュリティプロトコルを調整することと、
をさらに備える、請求項１に記載の方法。

【請求項22】

前記状態が安定しており、前記調整することは、セキュリティ制限を増大させることを含む、請求項２１に記載の方法。

【請求項23】

前記状態が急性の危険な状態を含み、前記調整することは、セキュリティ制限を減少させることを含む、請求項２１から２２のいずれか一項に記載の方法。

【請求項24】

請求項２１から２３のいずれか一項に記載の方法を実行するための、システム。

【発明の詳細な説明】

【技術分野】

【0001】

［関連出願］
本願は、２０１８年６月１２日に出願された米国仮特許出願第６２／６８３，６７７号の３５ＵＳＣ§１１９（ｅ）に基づく優先権の利益を主張し、その内容は参照によりその全体が本明細書に組み込まれる。

【0002】

［本発明の分野と背景］
本発明は、そのいくつかの実施形態では、無線通信をセキュアにする方法、特に、より具体的には、近距離通信チャネルを介して移植医療デバイスを用いてセキュリティ鍵を伝送する方法に関するものであるが、これに限定されない。

【0003】

特許文献１は、「遠隔測定チャネルを介して移植可能医療デバイス（ＩＭＤ）と外部デバイス（ＥＤ）との間のセキュアな通信を可能にするための方法およびシステム」を開示すると思われる。遠隔測定インターロックは、遠隔測定チャネルを介したＥＤとＩＭＤとの間の通信を制限するように実装されてもよく、ＥＤがＩＭＤへの物理的な近接を必要とする近距離通信チャネルを介してＩＭＤにイネーブルコマンドを送信すると、遠隔測定インターロックが解除される。遠隔測定インターロックの代替あるいは追加として、遠隔測定チャネルを介したＩＭＤとＥＤの間のデータ通信セッションは、ＩＭＤとＥＤが互いに暗号的に認証された後にのみ許可される。

【0004】

特許文献２は、「移植可能なデバイスと外部デバイスとの間でセキュアに暗号鍵を交換するための方法およびシステム」を開示すると思われる。例示的な方法は、外部デバイスから認証要求を受信することであって、認証要求が暗号鍵伝送の第１の暗号鍵を受信する要求である、受信することと、移植可能デバイスに対して磁石が検出されたことを示す指示を受信することであって、指示が移植可能デバイスと外部デバイスとの間の通信のためのセキュアな環境を示す、受信することと、認証要求および検出された磁石の指示を受信した後、第１の暗号鍵送信指示を生成することであって、第１の暗号鍵送信指示が移植可能デバイスによって外部デバイスに第１の暗号鍵を送信することを指示する、生成することと、を含む。

【0005】

特許文献３は、「スイッチング回路への入力電力における通信を検出するワイヤレス電源システム」を開示していると思われる。本発明のこの態様において、無線電源装置は、スイッチング回路への入力における電流を示す信号を生成するための検出器と、検出された信号をフィルタリングするためのバンドパスフィルタと、フィルタリングされた信号を増幅するための増幅器と、増幅された信号をフィルタリングするためのフィルタと、最終的な信号を、バイナリデータストリームとして処理するためにコントローラに渡すことができる高信号および低信号のストリームに変換するためのコンパレータとを含む。第２の態様において、ワイヤレス電源システムは、一次側タンク回路内の電流と電圧の間の位相関係の変化に依存して変化する信号を生成するための検出器と、信号をフィルタリングするためのバンドパスフィルタと、フィルタリングされた信号を増幅するための増幅器と、増幅された信号をフィルタリングするためのフィルタと、最終的な信号をバイナリデータストリームとして処理するためのコントローラに渡すことができる高信号および低信号のストリームに変換するためのコンパレータと、を含む。

【0006】

特許文献４は、「携帯型電子デバイスに電力およびデータを誘導結合するためのシステム」を開示していると思われる。パーソナルデジタルアシスタントのような携帯型電子デバイスは、デバイスと支持ユニットとの間の誘導結合を介して電力供給または充電され、それにより、その間のケーブル配線または他の接続の必要性を排除する。同じ誘導結合は、デバイスと第２の電子デバイス、例えば従来のデスクトップコンピュータとの間でデータ信号を伝送するためにも使用される。支持ユニットは、変圧器の一次巻線と、電力増幅器と、変調器と、を含む。携帯デバイスは、整流器の入力と並列に接続された二次巻線を含み、この二次巻線の出力は、バッテリ充電回路に接続され、モデムに接続され、このモデムは、デバイスのマイクロプロセッサにさらに接続される。デバイスを支持ユニット上に配置すると、一次巻線と二次巻線が互いに近接しているときに、誘導結合が作用する。

【先行技術文献】

【特許文献】

【0007】

【文献】米国特許出願公開第２００７／００１８１８８号明細書

【文献】米国特許出願公開第２０１４／０１８５８０５号明細書

【文献】米国特許第９１５４００２号明細書

【文献】米国特許第５４５５４６６号明細書

【発明の概要】

【課題を解決するための手段】

【0008】

本発明のいくつかの実施形態の例を以下に列挙する。
例１は、移植デバイスと外部デバイスとの間でセキュアな通信を行う方法であって、
外部デバイスによって移植デバイスへ経皮的エネルギー伝送（ＴＥＴ）リンクを介してエネルギーを伝送することと、
前記外部デバイスによって前記ＴＥＴリンク上に検証鍵を変調することと、
前記検証鍵を使用して無線チャネルを介して通信を暗号化することと、
を備える方法である。

【0009】

例２は、無線チャネルが、ＴＥＴリンクの少なくとも２倍の距離範囲を含む、例１に記載の方法である。

【0010】

例３は、例１から２のいずれか１つに記載の方法であって、ＴＥＴリンクが無線チャネルの少なくとも２倍の電力を送信に使用する方法である。

【0011】

例４は、例１から３のいずれか１つに記載の方法であって、ＴＥＴリンクは、無線チャネルの少なくとも２倍の時間を送信に必要とする方法である。

【0012】

例５は、例１から４のいずれか１つに記載の方法であって、前記伝送エネルギーを前記伝送することが、さらに、移植デバイスに外部デバイスによって電流を誘導することを含む方法である。

【0013】

例６は、例１から５のいずれか１つに記載の方法であって、さらに、前記伝送されたエネルギーで前記移植デバイスのバッテリを充電することを備える方法である。

【0014】

例７は、例１から６のいずれか１つに記載の方法であって、前記検証鍵が公開鍵であり、前記暗号化することが、前記非対称暗号化および前記公開鍵を使用して、前記無線チャネルを介して前記移植デバイスからメッセージを送信することを含む方法である。

【0015】

例８は、例７に記載の方法であって、前記メッセージは、セッション鍵を含み、前記セッション鍵で前記移植デバイスへのコマンドを暗号化することをさらに備える方法である。

【0016】

例９は、例７に記載の方法であって、前記メッセージは、セッション鍵を含み、前記移植デバイスから送信されたデータを前記セッション鍵で暗号化することをさらに備える方法である。

【0017】

例１０は、例１から９のいずれか１つに記載の方法であって、さらに、高度なセキュリティプロトコルに従って前記移植デバイスに送信されたコマンドをセキュアにすることと、低位のセキュリティプロトコルに従って、前記移植デバイスから外部デバイスに送信されたデータをセキュアにすること、を備える方法である。

【0018】

例１１は、例１０に記載の方法であって、前記外部デバイスから前記移植デバイスへの前記治療パラメータを変更するためのコマンドが、前記高セキュリティレベルを割り当てられている方法である。

【0019】

例１２は、例１１に記載の方法であって、前記コマンドに、移植デバイスのユーザの状態に応じて、前記低セキュリティレベルが一時的に割り当てられる方法である。

【0020】

例１３は、前記状態が心筋梗塞を含む、例１２に記載の方法である。

【0021】

例１４は、例１０から１３のいずれか１つに記載の方法であって、前記高レベルセキュリティプロトコルが、前記コマンドを受け入れる前に、１５分以内に更新された検証鍵の変調を要求する方法である。

【0022】

例１５は、例１から１４のいずれか１つに記載の方法であって、さらに、前記外部デバイスから前記ＴＥＴリンクを介して前記移植デバイスに検証メッセージを送信することによって、前記セキュアでない無線チャネルを介して送信されたメッセージを検証することを備える方法である。

【0023】

例１６は、セキュアな通信のための移植デバイスであって、外部デバイスから電力を受信し、前記電力を移植デバイスに供給するように構成された経皮的エネルギー伝送（ＴＥＴ）受信機と、
前記ＴＥＴ受信機に接続され、前記ＴＥＴ受信機から公開鍵を受信するように構成されたデータ受信回路と、
前記データ受信回路に機能的に接続され、前記データ受信回路から前記公開鍵を受信し、前記公開鍵に基づいてメッセージを非対称暗号化して暗号化メッセージを生成するように構成された暗号化モジュールと、
送受信機から前記暗号化メッセージを受信し、前記双方向無線チャネルを介して前記外部デバイスに前記暗号化メッセージを送信するように機能的に接続された前記送受信機と、
を備えるデバイスである。

【0024】

例１７は、例１６に記載のデバイスであって、移植デバイスは、前記ＴＥＴチャネル上への発信メッセージを変調することができる変調器を含まないデバイスである。

【0025】

例１８は、例１６から１７のいずれか１つに記載のデバイスであって、移植デバイスは、前記公開鍵と前記秘密鍵を生成し、前記公開鍵で暗号化された非対称暗号化メッセージを復号することができる非対称復号回路を含まないデバイスである。

【0026】

例１９は、例１６から１８のいずれか１つに記載のデバイスであって、前記移植デバイス用の充電可能な電源をさらに含み、前記電源は、前記外部デバイスから供給された前記電力から充電するように前記ＴＥＴ受信機に機能的に取り付けられる、デバイスである。

【0027】

例２０は、例１６から１９のいずれか１つに記載のデバイスであって、前記外部デバイスは、移植デバイスにエネルギーを伝送するように構成されたＴＥＴ発電機と、前記公開鍵と秘密鍵を生成し、前記公開鍵で暗号化された非対称暗号化メッセージを復号することができる非対称復号回路と、前記公開鍵を受信するように前記復号回路に機能的に接続された変調器であって、前記公開鍵をＴＥＴ信号に変調し、前記鍵を移植デバイスに伝送するように前記ＴＥＴ発電機に機能的に接続された、変調器と、を含むデバイスである。

【0028】

例２１は、例２０に記載のデバイスであって、前記外部デバイスが、前記ＴＥＴチャネル上でメッセージを受信することができる受信機を含まないデバイスである。

【0029】

例２２は、移植デバイスのセキュリティを管理する方法であって、
現在の位置を検出し、
前記現在の位置に応じてセキュリティプロトコルを調整する方法である。

【0030】

例２３は、例２２に記載の方法であって、前記位置が高リスクの位置であり、前記調整がセキュリティ制限を増大させることを含む方法である。

【0031】

例２４は、例２２から２３のいずれか１つに記載の方法であって、前記位置が低リスクの位置であり、前記調整がセキュリティ制限を減少させることを含む方法である。

【0032】

例２５は、例２２から２４のいずれか１つに記載の方法を実行するためのシステムである。

【0033】

例２６は、移植デバイスのセキュリティを管理する方法であって、
デバイスのユーザの現在の状態を検出し、
前記現在の状態に応じてセキュリティプロトコルを調整する方法である。

【0034】

例２７は、例２６に記載の方法であって、前記状態が安定しており、前記調整がセキュリティ制限を増大させることを含む方法である。

【0035】

例２８は、実施例２６から２７のいずれか１つに記載の方法であって、前記状態が急性危険状態を含み、調整がセキュリティ制限を減少させることを含む方法である。

【0036】

例２９は、例２６から２８のいずれか１つに記載の方法を実行するためのシステムである。

【0037】

例３０は、移植デバイスと外部デバイスとの間のセキュアな通信のためのシステムであって、
移植デバイスであって、
誘導エネルギー受信回路と、
前記エネルギー受信回路からの信号を復調することができるデータ受信回路と、
無線チャネルを介したデータ通信のための送受信機と、
プロセッサであって、
非対称プロトコルでメッセージを暗号化し、
対称暗号化鍵を生成し、
前記対称暗号化鍵を使用してデータを暗号化し、暗号化された信号を生成し、
前記対称暗号化鍵を用いて受信したデータ信号を復号する
ように構成されたプロセッサと、
を含む移植デバイスと、
前記誘導エネルギー受信回路に電流を誘導するように構成された誘導回路を含む近接場外部デバイスと、を備えるシステムである。

【0038】

別段の定義がない限り、本明細書で使用されるすべての技術用語および／または科学用語は、本発明が適用される当技術分野の通常の当業者が一般的に理解するのと同じ意味を有する。本明細書に記載されたものと類似または同等の方法および材料が、本発明の実施形態の実施または試験において使用され得るが、例示的な方法および／または材料が以下に記載されている。矛盾する場合は、定義を含む特許明細書が支配する。さらに、材料、方法、および実施例は、例示的なものに過ぎず、必ずしも限定的であることを意図していない。

【0039】

当業者であれば理解されるように、本開示の態様は、システム、方法、またはコンピュータプログラム製品として具現化されてもよい。したがって、本開示の態様は、完全にハードウェアの実施形態、完全にソフトウェアの実施形態（ファームウェア、常駐ソフトウェア、マイクロコードなどを含む）、またはソフトウェアおよびハードウェアの態様を組み合わせた実施形態の形をとり、これらはすべて、本明細書では一般的に「回路」、「モジュール」、または「システム」と呼ばれることがある。さらに、本開示のいくつかの実施形態は、そこに具現化されたコンピュータ可読プログラムコードを有する１つ以上のコンピュータ可読媒体に具現化されたコンピュータプログラム製品の形態をとってもよい。本開示のいくつかの実施形態の方法および／またはシステムの実施は、選択されたタスクを手動で、自動的に、またはそれらの組み合わせで実行および／または完了することを含み得る。さらに、本開示の方法、システム、および／またはコンピュータプログラム製品のいくつかの実施形態の実際の計装および装置によれば、いくつかの選択されたタスクは、ハードウェアによって、ソフトウェアによって、またはファームウェアによって、および／またはそれらの組み合わせによって、例えばオペレーティングシステムを使用して実施され得る。

【0040】

例えば、本開示のいくつかの実施形態に従って選択されたタスクを実行するためのハードウェアは、集積回路（例えば、チップ）として実装され得る。ソフトウェアとして、本開示のいくつかの実施形態に従った選択されたタスクは、任意の適切なオペレーティングシステムを使用してコンピュータによって実行される複数のソフトウェア命令として実装され得る。例示的な実施形態では、本明細書に記載の方法および／またはシステムのいくつかの例示的な実施形態に従った１つ以上のタスクは、複数の命令を実行するためのコンピューティングプラットフォームなどのデータプロセッサによって実行される。任意選択で、データプロセッサは、命令および／またはデータを格納するための揮発性メモリ、および／または命令および／またはデータを格納するための不揮発性ストレージ、例えば磁気ハードディスクおよび／またはリムーバブルメディアを含む。任意選択で、ネットワーク接続も提供される。ディスプレイおよび／またはキーボードまたはマウスなどのユーザ入力デバイスも任意選択で提供される。

【0041】

いくつかの実施形態では、１つ以上のコンピュータ可読媒体の任意の組み合わせが利用されてもよい。コンピュータ可読媒体は、コンピュータ可読信号媒体またはコンピュータ可読記憶媒体であってもよい。コンピュータ可読記憶媒体は、例えば、電子的、磁気的、光学的、電磁的、赤外線的、または半導体システム、装置、デバイス、または前記の任意の適切な組み合わせであってもよいが、これらに限定されない。コンピュータ読み取り可能な記憶媒体のより具体的な例（非網羅的なリスト）としては、１本以上のワイヤを有する電気的接続部、ポータブルコンピュータディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ）、読み取り専用メモリ（ＲＯＭ）、消去可能なプログラム可能な読み取り専用メモリ（ＥＰＲＯＭまたはフラッシュメモリ）、光ファイバー、ポータブルコンパクトディスク読み取り専用メモリ（ＣＤ－ＲＯＭ）、光記憶装置、磁気記憶装置、または前記の任意の適切な組み合わせが挙げられる。本明細書の文脈において、コンピュータ読み取り可能な記憶媒体は、命令実行システム、装置、またはデバイスによって、またはそれに関連して使用するためのプログラムを含むことができ、または格納することができる任意の有形媒体であってもよい。

【0042】

コンピュータ可読信号媒体は、例えば、ベースバンドで、または搬送波の一部として、そこに具現化されたコンピュータ可読プログラムコードを有する伝搬データ信号を含んでもよい。このような伝搬信号は、電磁気、光学、またはそれらの任意の適切な組み合わせを含むがこれらに限定されない、様々な形態の任意の形態をとってもよい。コンピュータ可読信号媒体は、コンピュータ可読記憶媒体ではない任意のコンピュータ可読媒体であってもよく、命令実行システム、装置、またはデバイスによって、またはそれに関連して使用するためのプログラムを通信、伝搬、または搬送することができる。

【0043】

コンピュータ可読媒体上に具現化されたプログラムコードおよび／またはそれによって使用されるデータは、無線、有線、光ファイバーケーブル、ＲＦなどを含むがこれらに限定されない任意の適切な媒体、または前記の任意の適切な組み合わせを使用して送信されてもよい。

【0044】

本開示のいくつかの実施形態に係る操作を実行するためのコンピュータプログラムコードは、Ｊａｖａ、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または類似のプログラミング言語などの従来の手続き型プログラミング言語を含む、１つまたは複数のプログラミング言語の任意の組み合わせで記述されてもよい。プログラムコードは、ユーザのコンピュータ上で全体的に実行されてもよいし、ユーザのコンピュータ上で部分的に実行されてもよいし、スタンドアロンのソフトウェアパッケージとして実行されてもよいし、ユーザのコンピュータ上で部分的に実行されてもよいし、リモートコンピュータ上で部分的に実行されてもよいし、リモートコンピュータまたはサーバ上で全体的に実行されてもよい。後者のシナリオでは、リモートコンピュータは、ローカルエリアネットワーク（ＬＡＮ）またはワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてもよく、または接続は、外部コンピュータに（例えば、インターネットサービスプロバイダを使用してインターネットを介して）行われてもよい。

【0045】

本開示のいくつかの実施形態は、方法、装置（システム）、およびコンピュータプログラム製品のフローチャート図および／またはブロック図を参照して以下に説明することができる。フローチャート図示および／またはブロック図の各ブロック、ならびにフローチャート図示および／またはブロック図のブロックの組み合わせは、コンピュータプログラム命令によって実施され得ることが理解されるであろう。これらのコンピュータプログラム命令は、汎用コンピュータ、特殊目的コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャート図および／またはブロック図の１つまたは複数のブロックで指定された機能／行為を実施するための手段を作成するように、機械を製造するための汎用コンピュータ、特殊目的コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてもよい。

【0046】

また、これらのコンピュータプログラム命令は、コンピュータ、他のプログラム可能なデータ処理装置、または他のデバイスを特定の方法で機能させるように指示することができるコンピュータ可読媒体に記憶されていてもよく、そのようなコンピュータ可読媒体に記憶された命令は、フローチャートおよび／またはブロック図のブロックまたはブロックで指定された機能／行為を実施する命令を含む製造品を生成する。

【0047】

また、コンピュータプログラム命令は、コンピュータ、他のプログラム可能なデータ処理装置、または他のデバイスにロードされ、コンピュータまたは他のプログラム可能な装置上で実行される命令が、フローチャートおよび／またはブロック図のブロックまたはブロックで指定された機能／行為を実施するためのプロセスを提供するようなコンピュータ実装プロセスを生成するために、コンピュータ、他のプログラム可能な装置、または他の装置上で実行される一連の動作ステップを引き起こすようにしてもよい。

【図面の簡単な説明】

【0048】

本発明のいくつかの実施形態を、例示のためだけに、添付の図面を参照して本明細書に記載する。本明細書で図面を詳細に参照して示された特定の実施形態は、例示のためのものであり、本発明の実施形態の例示的な議論のためのものであることが強調される。この点で、図面と一緒に読まれる説明は、本発明の実施形態がどのように実施され得るかを、当業者には明らかにする。

【0049】

【図1】図１は、本発明の一実施形態に従う移植デバイスと通信するシステムおよび方法の概略ブロック図である。

【図2】図２は、本発明の実施形態に従う通信のシステムおよび方法の概略ブロック図である。

【図3】図３は、本発明の実施形態に従う通信のためのシステムのブロック図である。

【図4】図４は、本発明の実施形態に従う通信のためのシステムの回路図である。

【図5A】図５Ａは、本発明の実施形態に従う信号の流れおよび／またはセキュリティプロトコルを例示する概略図である。

【図5B】図５Ｂは、本発明の実施形態に従う信号の流れおよび／またはセキュリティプロトコルを例示する概略図である。

【図6】図６は、本発明の実施形態に従う移植医療デバイスのブロック図である。

【図7】図７は、本発明の実施形態に従う通信をセキュアにする方法のフローチャート説明図である。

【図8A】図８Ａは、本発明の実施形態に従うセキュリティモードを説明する模式図である。

【図8B】図８Ｂは、本発明の実施形態に従うセキュリティモードを説明する模式図である。

【図8C】図８Ｃは、本発明の実施形態に従うセキュリティモードを説明する模式図である。

【発明を実施するための形態】

【0050】

本発明は、そのいくつかの実施形態では、無線通信をセキュアにする方法、特に、より具体的には、移植（移植される、移植された）医療デバイスを用いて近距離通信チャネルを介してセキュリティ鍵を伝送する方法に関するものであるが、これに限定されない。

【0051】

［概要］
本発明のいくつかの実施形態の一形態は、セキュリティのより低いチャネル上で、移植医療デバイスと外部デバイスとの間の通信をセキュアにするために、一方向の耐侵入チャネルを活用するためのセキュリティプロトコルに関する。いくつかの実施形態では、セキュアなチャネルは、（例えば、誘導結合を含む）経皮的エネルギー伝送（ＴＥＴ）リンクを含む。例えば、ＴＥＴリンクは、侵入を防ぐように（例えば、権限のない者がチャネル上で不正な通信を送信することを防ぐために）セキュアにされてもよい。任意選択で、セキュリティ鍵が耐侵入チャネル上で伝送される。例えば、セキュリティ鍵は、別のチャネル、例えば、一方向および／または双方向の無線チャネルを介して伝送される情報をセキュアにするために使用されてもよい。任意選択で、異なる通信に必要とされる鍵の伝送および／または鍵自体のセキュリティの複数の異なるレベル（鍵がどの程度強いか）が存在するであろう。

【0052】

いくつかの実施形態では、異なるレベルのセキュリティが、異なるタイプのメッセージ、異なる場所、異なる時間、および／または異なる状態の下で適用される（例えば、危険な医学的状態が検出された場合、デバイスは、通常の条件の下では許可されない短期的な再プログラミングを許可することができる）。任意選択で、保護されていないチャネルを介したいくつかの通信は、耐侵入チャネルを介した確認後にのみ実施される。

【0053】

いくつかの実施形態では、ＩＭＤは暗号化鍵を受信する前に認証を要求することがある。必要に応じて、認証は、データに基づいたもの、および／またはデータに基づかないものであってもよい。例えば、認証は、侵入者デバイスによって複製することが困難な機能を必要としてもよい。例えば、強力な送信機は、ＩＭＤの非常に近くに配置されることが要求されてもよい。例えば、セキュリティの伝送は、ＩＭＤが、ＴＥＴチャネルを介して、十分な時間の間、および／または十分な量のエネルギーおよび／または十分な電力を受信した場合にのみ始動されてもよい。代替的または追加で、セキュリティ鍵の伝送は、別のチャネルを介して渡された命令に従ってのみ始動されてもよい。例えば、鍵伝送の開始は、別のチャネルを介してＩＭＤに渡された命令および／または鍵を必要としてもよい。例えば、鍵伝送のタイミングは、双方向データチャネルを介して送信される時間に制限されてもよい。代替的にまたは追加で、鍵の伝送は、別のチャネルを介した通信からのセッションシーケンスを指定するようにＥＤに要求してもよい。任意選択で、ＩＭＤは、位置検出デバイス（例えば、ＧＰＳ）を含んでもよく、および／または、所定の位置にあるセキュリティ鍵のみを受け入れてもよい。

【0054】

いくつかの実施形態では、非対称公開鍵は、任意選択で、ＥＤからＩＭＤに耐侵入チャネルを介して送信される。非対称公開鍵は、任意選択で、安全でない別の第２のチャネルを介した暗号化通信に使用される。非対称暗号化は、ＩＭＤからＥＤにセッション鍵を送信するために使用されてもよく、および／または、セッション鍵は、更なる通信に使用されてもよい。例えば、セキュリティ鍵は、ＭｅｄＲａｄｉｏ［ＭＩＣＳ］チャネルを介して送信されるデータおよび／またはコマンドを暗号化するために使用されてもよい。任意選択で、耐侵入チャネルは、（例えば、誘導結合に基づく）非常に短距離のチャネルを含んでもよい。いくつかの実施形態では、ＩＭＤは、非対称通信鍵のペアを生成することができなくてもよい。いくつかの実施形態では、ＩＭＤは、非対称公開鍵で暗号化されたメッセージを復号するために秘密鍵を使用することができなくてもよい。例えば、ＩＭＤのプロセッサは、非対称復号には弱すぎるかもしれないし、および／または、非対称復号のためのソフトウェア命令が不足しているかもしれない。

【0055】

例えば、ＩＭＤが緊急医療状態を検知した場合などには、特定の通信を省略したセキュリティプロトコルで許可してもよい。任意選択で、いくつかの機能は、誘導デバイスがＩＭＤと通信している間のみ制御されてもよい。いくつかの実施形態では、特定の機能は、保護されたチャネルを介して渡されたセキュリティ鍵を含むセキュリティクリアランスを必要としてもよい。

【0056】

いくつかの実施形態では、ＩＭＤは、様々なセキュリティ状態を有していてもよいし、異なるセキュリティレベルを必要とする機能を有していてもよい。例えば、生命に影響を与えるＩＭＤの設定を変更するためには、例えば、新しいセキュリティ鍵および／または保護されたチャネルを介して受信した鍵を使用して、高いセキュリティクリアランスを必要としてもよい。代替的にまたは追加で、ＥＤがより古いセキュリティ鍵を使用してＩＭＤからデータを受信することが可能であってもよい。代替的にまたは追加で、ＩＭＤは、重要な（および／または生命に影響を与える）パラメータを、限られた時間の間、より低いセキュリティで変更することを可能にする緊急モードを備えていてもよい。代替的にまたは追加で、十分なセキュリティレベルを有するユーザによって、特定の動作に対するセキュリティ要件を調整可能であってもよい。任意選択で、ＥＤは、不正アクセスを防止するためのパスワードおよび／または生体メトリック識別子のようなセキュリティ保護を有してもよい。代替的にまたは追加で、ＥＤのいくつかの態様（例えば、ＩＭＤのバッテリの充電）は、セキュリティをあまり必要としないかまたは全く必要としなくてもよく、一方で、他の機能（例えば、データの閲覧）は、中程度のセキュリティ（例えば、パスワードの供給）を必要としてもよく、一方、他の機能（例えば、ＩＭＤの再プログラム）は、高レベルのセキュリティ（例えば、生体認証および／または強力なパスワード）を必要としてもよい。

【0057】

例えば、ＥＤは、セキュアチャネル（例えばＴＥＴリンク）および／または非セキュアチャネル（例えば無線チャネル）を含んでもよい。セキュアチャネルは、任意選択で、隠れたデバイスが信号を受信および／または送信することを困難にする特性を含む。例えば、セキュアチャネルは耐侵入性を有していてもよい。例えば、耐侵入性チャネルは、非常に短距離の通信媒体（例えば、誘導結合）を含んでもよい。例えば、セキュアチャネルの範囲は、非セキュアチャネルの範囲の１／２未満および／または１／５未満および／または１／１０未満および／または１／２０未満であってもよい。いくつかの実施形態では、耐侵入チャネルは、信号を伝送するために高レベルの電力を必要としてもよい。例えば、ＩＭＤは、セキュアチャネルを介して信号を受け入れる前に、ＩＭＤのバッテリを充電するのに十分な電力の伝送を要求してもよい。例えば、セキュアなチャネルを介してメッセージを伝送するには、非セキュアなチャネルを介して信号を伝送するよりも２倍以上のエネルギー、５倍以上および／または１０倍以上および／または２０倍以上のエネルギーを必要としてもよい。いくつかの実施形態では、通信は、大きな時間を必要としてもよい。例えば、ＩＭＤは、セキュアチャネルを介した通信を受け入れる前に長い接触時間を必要としてもよい。例えば、セキュアチャネルを介してメッセージを伝送するには、非セキュアチャネルを介して信号を伝送するための時間の２倍以上の時間、２０倍以上および／または１００倍以上および／または１０００倍以上の時間を必要とする。

【0058】

いくつかの実施形態では、ＥＤは、デバイスの誤使用を防止するためのセキュリティ機能を含む。例えば、機能は、ＩＭＤの再プログラムのためのＥＤの認証されていない使用を防止するように作動してもよい。例えば、ＥＤは、生体認証システムを含んでもよい。任意選択で、ＥＤは、ローカルユーザの肯定的な識別および／または承認、および／または監督者（例えば、医師および／またはコントロールセンター）の承認の後にのみ、ＥＤの特定のパラメータを変更するようにプログラムされる。いくつかの実施形態では、ＥＤおよび／またはＩＭＤの動作は記録され、および／またはデータは制御センターに送られる。例えば、ログは、異常な活動および／または潜在的に危険な状態を検出するために、手動および／または自動的にチェックされてもよい。

【0059】

本発明のいくつかの実施形態の一態様は、耐浸潤性のあるＴＥＴ（Ｔｒａｎｓｃｕｔａｎｅｏｕｓ Ｅｎｅｒｇｙ Ｔｒａｎｓｆｅｒ）リンクを使用して、ＩＭＤとＥＤとの間の通信を保護するためのシステムに関する。例えば、ＴＥＴリンクは、ＥＤからＩＭＤ上のバッテリへの一方向のエネルギー伝送、および／またはＥＤからＩＭＤへの一方向の通信のために構成されてもよい。いくつかの実施形態では、システムは、ＩＭＤとＥＤの間の双方向無線リンクを含む。任意選択で、ＥＤは、非対称鍵生成および復号のために構成されたプロセッサを含み、および／または、ＩＭＤは、公開鍵に基づいた非対称暗号化のために構成されたプロセッサを含む。例えば、公開鍵は、ＴＥＴリンクを通じてＩＭＤに供給されてもよい。任意選択で、ＥＤは、対称鍵生成と暗号化／復号のために構成されたプロセッサを含んでもよい。代替的にまたは追加で、外部ソース（例えば、ネットワークおよび／または電子データ記憶デバイス）から鍵をＥＤに供給してもよい。

【0060】

いくつかの実施形態では、ＩＭＤは、ＴＥＴチャネル上にデータ信号を変調するための回路および／またはソフトウェアを持たない。任意選択で、ＥＤは、ＴＥＴチャネル上のデータ信号を受信するための回路またはソフトウェアを持たない。

【0061】

いくつかの実施形態では、ＩＭＤは、例えばペースメーカーおよび／または移植型除細動器、神経刺激装置、人工内耳インプラント、胃刺激装置、ポンプ（例えば、インスリンポンプ）、フットドロップインプラント、および／または心収縮力変調ＣＣＭデバイスなどの治療デバイスを含んでもよい。代替的に、移植デバイスは、センサを含んでもよい。

【0062】

本発明のいくつかの実施形態の一態様は、対象者の状態に応じてセキュリティを調整する移植デバイスに関する。例えば、健康な状態にある対象者の場合、デバイスは、データを保護し、および／またはデバイス機能の改ざんを防止するために、高レベルのセキュリティプロトコルを採用してもよい。代替的にまたは追加で、デバイスは、特定の時間および／または特定の状態下で、より低いセキュリティプロトコルでコマンドを受け入れ、および／またはデータを伝送してもよい。例えば、緊急および／または救命介入を必要とする可能性のある緊急医学的状態が存在する場合には、セキュリティが低下してもよい。例えば、デバイスは、対象者の医学的状態を感知するセンサおよび／またはセンサデータを解釈し、および／またはセキュリティを制御するプロセッサを含んでもよい。

【0063】

本発明のいくつかの実施形態の一態様は、場所に応じてそのセキュリティを調整する移植デバイスに関する。例えば、特定の所定の場所では、デバイスはセキュリティ要件を低減してもよい（例えば、リスクの低い場所、例えば対象者の自宅ではセキュリティ制限を低減してもよいし、および／または治療的介入が期待される場所、例えば救急室および／または医師のオフィスではセキュリティ制限を低減してもよい）。代替的にまたは追加で、特定の場所では、デバイスは、例えば、外国および／または敵対国の大使館の近く、および／または犯罪の多い地域では、そのセキュリティを高めてもよい。いくつかの実施形態では、移植デバイスは、位置センサ（例えば、ＧＰＳ）を含んでもよく、および／またはセキュリティは、その場所に応じて調整されてもよい。代替的にまたは追加で、特定の場所（例えば、医務室および／または救急室）は、ＩＭＤによって検出される位置表示デバイスを有していてもよい。

【0064】

［実施形態］
本発明の少なくとも１つの実施形態を詳細に説明する前に、本発明は、以下の説明および／または図面および／または実施例に示された構成要素および／または方法の詳細な構成および／または配置に必ずしも限定されるものではないことが理解されるであろう。本発明は、他の実施形態が可能であり、または様々な方法で実施または実施されることが可能である。

【0065】

次に図面を参照すると、図１は、侵入者１０６による侵入から移植医療デバイス（ＩＭＤ）１０２と外部デバイス（ＥＤ）１０４との間の通信をセキュアにするためのシステムおよび方法の概略図を示す。いくつかの実施形態では、ＩＭＤ１０２は、複数の無線媒体を介してＥＤ１０４と通信する。例えば、ＥＤ１０４からＩＭＤ１０２への通信には、一方向の耐侵入媒体１１７が使用されてもよい。例えば、ＥＤ１０４は、耐侵入チャネルを介して信号を受信するための受信機を含んでもよいＩＭＤへの一方向送信のために構成された送信機１４４を含んでもよい。任意選択で、耐侵入チャネルは、ＴＥＴリンクを含む。いくつかの実施形態では、耐侵入チャネル上の伝送の長さは、例えば、１～５ｃｍおよび／または５～１５ｃｍおよび／または１５～１００ｃｍの間に制限されてもよい。例えば、非セキュア媒体１１０は、双方向通信に使用されてもよい。例えば、ＥＤ１０４および／またはＩＭＤ１０２は、無線送受信機１４８を含んでもよい。例えば、受信機１４８は、ＭｅｄＲａｄｉｏバンド（例えば、４０２から４０５ＭＨｚの間）を介した双方向通信のために構成されてもよい。いくつかの実施形態では、これらの通信の長さは、例えば、１から３ｍの間および／または３から３０ｍの間および／または３０から１００ｍの間および／または１００から１０００ｍの間に制限されてもよい。

【0066】

いくつかの実施形態では、ＥＤ１０４からＩＭＤ１０２への信号は、ＩＭＤ１０２に対する制御コマンドおよび／または性能パラメータ１２６を含んでもよい。パラメータ１２６は、任意選択でＥＤ１０４に記憶される。例えば、コンピュータアクセス可能なメモリ内、および／またはリモートソースから受信したもの、および／またはローカルのプログラマから受信したもの、および／またはローカルおよび／またはリモートプロセッサによって生成されたものである。例えば、ＩＭＤ１０２の動作パラメータは、ＥＤ１０４から受信したデータに従って調整されてもよい。いくつかの実施形態では、ＩＭＤは、代替パラメータ値および／またはクロック（例えば、リアルタイムクロック）を記憶するための読取り／書込みコンピュータ読み取り可能な部材を含んでもよい。例えば、ＩＭＤは、ＥＤからパラメータの一時的なセットを受信してもよい。次いで、ＩＭＤは、現在のパラメータセットをコンピュータ読み取り可能なメモリに格納してもよく、および／または、ＩＭＤは、所定の期間の間、一時的なパラメータを使用して、その期間の後に、以前のパラメータを復帰させてもよい。

【0067】

いくつかの実施形態では、耐侵入媒体１１７は、浸潤１２５ｂから保護されてもよい。それにもかかわらず、いくつかの実施形態では、耐侵入媒体１１７は、傍受１２５ａに対して脆弱であってもよい。例えば、耐侵入媒体１１７は、ＴＥＴリンクを含んでもよい。ＴＥＴリンクは、ＩＭＤの電源（例えば、バッテリ）を充電するために使用されてもよい。例えば、誘導結合が電力伝達に使用されてもよい。追加でまたは代替的に、ＥＤ１０４は、チャネル１１７を介してＩＭＤ１０２に信号を送信してもよい。例えば、ＥＤは、１２～１４ＭＨｚかそれ以上またはそれ以下のキャリア周波数でＴＥＴリンクを介して信号を送信するための送信機１４４を含んでもよい。任意選択で、ＥＤ１０４とＩＭＤ１０２との間のＴＥＴリンクは、例えば、５ｃｍ未満および／または１０ｃｍ未満および／または３０ｃｍ未満および／または１ｍ未満の範囲に制限されてもよい。

【0068】

いくつかの実施形態では、本明細書に開示されている発明は、耐侵入媒体１１７上のＩＭＤ１０２と外部デバイス１０４との間の通信が、悪意のある盗聴者１０６によっておそらく（例えば、十分に感度の高い受信機を使用して）受信（１２５ａ）され得ることを想定して、通信をセキュアにするように構成されている。悪意のある攻撃者１０６は、考えられるように、ＥＤ１０４および／またはＩＭＤ１０２によって受信可能な信号１２７ａ，１２７ｂを、ＭｅｄＲａｄｉｏを介して、距離を置いて送信することができる。それでも、システムは、任意選択で、攻撃者１０６がＩＭＤ１０２を制御することを阻害するように構成される。例えば、攻撃者が、耐侵入媒体１１７を介してＩＭＤ１０２になりすましメッセージ１２５ｂを送信することを阻止してもよい。例えば、そのような送信を行うためには、不当に大きなハイフィールド送信機を必要とするかもしれないし、および／またはＩＭＤ１０２に不当に接近することを必要とするかもしれない。例えば、システムは、攻撃者１０６が検知されることなく、耐侵入チャネル１１７を介してプログラマ対ＩＰＧ通信を偽装することを防止する。例えば、いくつかの実施形態では、セキュリティプロトコルは、攻撃者１０６の制限を増幅してもよい。例えば、セキュリティプロトコルは、耐侵入チャネル１１７を介して暗号化鍵を受け入れる前に、所定の信号電力および／またはエネルギー伝送を要求してもよい。例えば、悪意のある攻撃者１０６が、自分のデバイスが隠されているときに、それだけの電力を取得し、および／またはそれだけの電力をＩＭＤ１０２に伝送することは困難であってもよい（例えば、小さな電力源のみを必要とし、および／または固定された電力ケーブルへの接続を防止する）。

【0069】

いくつかの実施形態では、耐侵入チャネル上の結合は、送信機（例えば、ＥＤ内のコイル１５２）と、経時的に送信されたエネルギーを受信するために使用される受信機（例えば、図４のコイル４５２ａによって例示されるような内部コイル）との間の距離に伴って非常に急速に減衰する。例えば、外部充電器コイルとインプラントとの間の再充電距離１０４は、わずか数センチメートル（例えば、＜５センチメートル）に制限されてもよい。このように、より大きな距離で再充電チャネルを介してＡＩＭＤにデータを送信しようとする悪意のある攻撃者１０６は、非常に大きくて強力な送信機およびアンテナを必要とするであろう。ＩＭＤの近傍で大型の送信機を動作させることが必要であることによって、隠密攻撃を阻害しうる。

【0070】

いくつかの実施形態では、いくつかの所定のレベルでセキュリティ通信のための鍵および／または検証を伝送することは、時間および／または場所によって制限される。例えば、ＩＭＤ１０２は、位置決定回路（例えば、ＧＰＳ受信機）を含んでもよい。ＩＭＤ１０２は、任意選択で、既知の保護された場所（例えば、ユーザの自宅および／または病院および／または信頼された開業医のオフィスなどの１つ以上の既知の場所）でのみパスワードを受け付ける。例えば、これは、攻撃者１０６がシステムに侵入するのに十分な力を有する隠し送信機を持っている場所にＩＭＤ１０２のユーザを招待すること、および／またはチャネル１１７を介してＩＭＤ１０２への通信を偽装することを防ぐことができる。いくつかの実施形態では、ＩＭＤ１０２は、特定の時間に、いくつかの予め定められたセキュリティレベルで鍵を受け入れてもよい。例えば、これは、攻撃者１０６がＩＭＤ１０４のユーザに予期しない瞬間（例えば、彼が眠っている間）に忍び寄ることを防ぐことができるかもしれない。いくつかの実施形態では、ＩＭＤ１０２による特定のセキュリティレベルでの鍵の受け入れは、ＩＭＤ１０２のユーザの生理的状態に依存する。例えば、ＩＭＤ１０２は、ユーザが眠っている間、デバイスの長期的な治療パラメータを変更するための鍵を受け入れないことがある。例えば、ＩＭＤ１０２が緊急状態（例えば、心筋梗塞など）を検出した場合、ＩＭＤ１０２は、略セキュリティプロトコルを用いて、機能パラメータの緊急短期変更を許可してもよい。

【0071】

いくつかの実施形態では、ＩＭＤ１０２による特定の機能の性能は、ＥＤ１０４へのリンクに依存する場合がある。任意選択で、セキュリティ上の機密性が高く、かつ／または高電力を必要とする機能は、例えば、ＩＭＤ１０２がＴＥＴリンク上でＥＤ１０４から電力を受信している間など、特定の状況下でのみ実行されてもよい。例えば、非対称暗号化を用いたセッション鍵の通信は、例えば、ＩＭＤ１０２がＴＥＴリンク上で電力を受信している間、および／またはＩＭＤ１０２のバッテリ電力がある程度の最小容量になっている間を含む特定の状況下でのみ実行されてもよい。

【0072】

図２は、本発明の一実施形態に従って通信するシステムおよび方法の概略ブロック図である。いくつかの実施形態では、保護された通信プロセスは、ＩＭＤと有効な外部デバイス（例えばＥＤ２０４）との間の伝送（例えば暗号鍵伝送２１９）を含む。この伝送は、例えば、ＴＥＴ（経皮的エネルギー伝送）リンク上に実装された短距離チャネル２０８を介して行われてもよい。任意選択で、ＴＥＴは、エネルギーの供給および／またはＩＭＤ２０２の再充電２１７に使用される。伝送ステップは、任意選択で、有効なＥＤ２０４と悪意のある侵入者２０６との間の非対称性を利用して、ＩＭＤ２０２によって受信可能なデータおよび／またはエネルギー２２０を送信するように設計される。例えば、「長距離」チャネル上の通信は、悪意のある攻撃者２０６が、有効なＥＤ２０４からＩＭＤ２０２へのデータの送信２２５ｂを「偽装」することができない場合にセキュアである。任意選択で、セキュリティシステムは、耐侵入リンク２０８を介して送信されるデータの傍受２２５ａが、悪意のある攻撃者に長距離通信２２１のセキュリティを危うくする手段を与えないように設計される。

【0073】

いくつかの実施形態では、既知の耐侵入性の短距離通信リンク２０８の利用可能性が、保護されていないチャネル２１０（例えば、ＭｅｄＲａｄｉｏチャネル）を介して通信をセキュアに暗号化するために活用される。例えば、耐侵入チャネル２０８は、非対称公開鍵２２２を伝送するために使用される。例えば、非対称暗号化公開鍵２２２および／または秘密鍵２２３の長さは、例えば３２ビットから２５６ビットの間の範囲であってもよい。任意選択で、システムは、ＥＤ２０４とＩＭＤ１０２がセッション暗号化鍵に合意するために、非対称（公開鍵）暗号化２２８を使用してもよい。例えば、ＩＭＤは、セッション鍵を生成してもよく、および／またはセッション鍵をメッセージ２２６でＥＤ２０４に送信してもよい。例えば、メッセージ２２６は、公開鍵２２２を用いてＩＭＤ２０２によって暗号化（２２４）されてもよく、および／または暗号化されたメッセージ２２８で送信されてもよいが、いずれかのチャネル２０８，２１０を介して暗号化されずに送信される。非対称鍵による暗号化は、短距離通信２２５ａが傍受されたとしても、攻撃者がＩＰＧと通信する（２２５ｂ，２２７）ことを阻害する。ＥＤ２０４は、データチャネル２１０を介して暗号化されたメッセージ２２８を受信してもよいし、および／または秘密鍵２２２を用いてデータ２２６（例えばセッション鍵を含む）を復号してもよい。任意選択で、秘密鍵２２３は、任意のチャネル（例えば、チャネル２０８および／または２１０のいずれかを介して）を介して送信されなかった。例えば、秘密鍵２２３は、ＥＤ２０４によって生成され、ＥＤ２０４にローカルに残っていてもよい。

【0074】

いくつかの実施形態では、ＥＤ２０４とＩＭＤ２０６との間の双方向通信は、セッション鍵で暗号化／復号される。任意で、セッション鍵は、例えば、３２から２５６の間の鍵ビットに、多数の補助プロトコルビットを加えたものを含んでもよい。セッション鍵は、予め定義された短い期間（例えば、１分未満、および／または１分から５分、および／または５分から３０分、および／または３０分から６時間、および／または６時間から４８時間、および／または４８時間から１週間、および／または１週間から１ヶ月の間）のみ有効であってもよい。代替的にまたは追加で、セキュリティの低いデータのために、セッション鍵は、ＩＭＤ２０２の充電セッションの間に継続的に使用されてもよい。セッション鍵を定期的に更新することによって、ＭｅｄＲａｄｉｏリンクを攻撃するためのブルートフォース攻撃または統計的手法の使用を防止することができる。任意選択で、複数のセッション鍵が同時に使用されてもよいし、一定期間後に古いセッション鍵が低セキュリティのデータのみに使用されてもよいが、高セキュリティのデータには更新されたセッション鍵が必要となる。いくつかの実施形態では、複数のセッション鍵は、充電セッション内で伝送され、および／または充電セッション間で切り替えられる。この戦略は、暗号化を行うためにＩＭＤ２０２に課せられる計算上の（したがって電力上の）要求が、マイクロコントローラに合理的に実装可能であるという付加的な利点を有する。任意選択で、より計算量の多い暗号化処理はＥＤ２０４で実行されるが、ＥＤ２０４は、エネルギー制限がより厳しくないより強力なプロセッサの周りに構築される。この手順により、ＩＭＤ２０２を遠隔で再プログラムする攻撃者２０６からシステムを保護しながら、ＭｅｄＲａｄｉｏリンクを介してＩＭＤ２０２とＥＤ２０４との間の通信を行うことが可能になる。

【0075】

いくつかの実施形態では、攻撃者２０６が、保護されたチャネル２０８および／または双方向データチャネル２１０の一方または両方で通信を傍受したとしても、非対称公開暗号化鍵２２２および／または暗号化されたデータ２２８は残されるが、攻撃者が復号鍵（非対称復号鍵２２３および／または暗号化された形式で送信された対称鍵のいずれか）を取得することは阻止される。代替的にまたは追加で、侵入防御チャネル２０８内の通信２１９は、ＩＭＤ２０２へのコマンドの検証を含んでもよい。例えば、攻撃者２０６がデータチャネル２１０を介して悪意のあるコマンドを偽装してＩＭＤ２０２に命令することができたとしても、ＩＭＤ２０２は、耐侵入チャネル２０８を介して正当なＥＤ２０２によって送信された検証２１９を受信するまで、そのコマンドを実行しない。任意選択で、検証は、例えば、ＩＭＤ２０２が実施するパラメータ値を繰り返すなどの特定のデータを含んでもよい。任意選択で、不審なインシデントが発生した場合（例えば、コマンドを受信したが検証されなかった場合）、ＩＭＤ２０２によってＥＤ１０４および／またはセキュリティセンターに警告メッセージが送信される。

【0076】

いくつかの実施形態では、システムは、別のチャネル２１０を介したＩＭＤ２０２とＥＤ２０４との間の通信をセキュアにするために、耐侵入チャネル２０８（例えば、ＴＥＴリンク）を活用する。任意選択で、耐侵入チャネルは、耐侵入通信２１９および／または電力伝達２１７のために使用されてもよい誘導結合を含んでもよい。例えば、電力伝達２１７および／または通信２１９は、（例えば、ＥＤ２０４からＩＭＤ２０２への）一方向であってもよい。例えば、この電力伝達は０．１～０．３ワットおよび／または０．３～１ワットおよび／または１ワット～５ワットの間の定格であってもよい。ＴＥＴチャネル上の伝送のデータレートは、例えば５０ｂｉｔ／秒から２００ｂｉｔ／秒、および／または２００ｂｉｔ／秒から１Ｋｂｉｔ／秒、および／または１Ｋｂｉｔ／秒から５Ｋｂｉｔ／秒、および／または５Ｋｂｉｔ／秒から２０Ｋｂｉｔ／秒の間の範囲であってもよい。第２の通信チャネル２１０は、任意選択で双方向通信をサポートする。例えば、双方向通信チャネル２１０上のデータ伝送速度は、１Ｋｂｉｔ／ｓから１００Ｋｂｉｔ／ｓの間、および／または１００Ｋｂｉｔ／ｓから１Ｍｂｉｔ／ｓの間、および／または１Ｍｂｉｔ／ｓから５Ｍｂｉｔ／ｓの間、および／または５Ｍｂｉｔ／ｓから２５Ｍｂｉｔ／ｓの間の範囲であってもよい。任意選択で、通信チャネルのキャリア周波数は、４０２ＭＨｚから４０５ＭＨｚと４３３ＭＨｚから４３５ＭＨｚの間、および／または２．４ＧＨｚから２．５ＧＨｚの間であってもよい。いくつかの実施形態では、ＥＤ２０４は、単一のセッションで０．１～０．５ワット時、および／または０．５～１ワット時、および／または０．５～１０ワット時の間のエネルギーをＩＭＤ２０２に充電してもよい。

【0077】

図３は、本発明の一実施形態に従って通信するためのシステムのブロック図である。いくつかの実施形態では、ＩＭＤ３０２は２つの通信モジュールを含む。任意選択で、第１の通信モジュールは、ＴＥＴチャネル上の一方向通信（例えば、誘導結合）のためにＴＥＴ受信機３４６に接続された信号受信機３４７を含む。任意選択で、第２の通信モジュールは、例えば無線（例えば電波および／またはマイクロ波）チャネル上での双方向通信のための送受信機３４８を含む。例えば、送受信機３４８は、ＥＤ３０４上の送受信機３５６と通信してもよい。任意選択で、ＴＥＴ受信機はまた、例えば整流回路３６６を介して、電源３６２（例えば、充電式バッテリを含む）に接続される。任意選択で、ＩＭＤ３０２は、ＥＤ３０４と通信している。例えば、ＥＤ３０４は、ＴＥＴ発電機３５０を含んでもよい。任意選択で、ＴＥＴ発電機３５０は、電力源３６３に接続される。任意選択で、電力源３６３によって生成されたエネルギーは、ＴＥＴ発電機３５０によってＴＥＴ受信機３４６に伝送され、および／または整流回路３６６によって整流され、および／または再充電電源３６２に供給される。いくつかの実施形態では、ＥＤ３０４は、ＴＥＴ発電機３５０に接続された変調器３２７を含む。例えば、変調器３２７からの信号は、ＴＥＴ結合上でＴＥＴ発電機３５０を介して、ＴＥＴ受信機３４６へ伝送されてもよい。任意選択で、信号は、信号受信機３４７によって拾われる。

【0078】

いくつかの実施形態では、ＴＥＴ３５０は、患者の体内に配置されてもよいＴＥＴ受信機３４６に近接した範囲で、患者の体外に配置される。例えば、ＴＥＴ発電機３５０とＴＥＴ受信機３４６との間の距離は、０～１ｃｍの間および／または１～２ｃｍの間および／または２～５ｃｍの間および／または５～８ｃｍの間および／または８～１２ｃｍの間および／または１２～２０ｃｍの間の範囲であってもよい。

【0079】

いくつかの実施形態では、ＴＥＴ発電機３５０および受信機３４６は、誘導コイルを含んでもよい。任意選択で、受信機３４７は、バンドパスフィルタおよび／またはモデムおよび／または増幅器および／またはアナログ－デジタル変換器および／またはユニバーサル非同期送受信機（ＵＡＲＴ）を含んでもよい。例えば、整流回路３６６は、ブリッジ整流回路を含んでもよい。

【0080】

いくつかの実施形態では、ＩＭＤ３０２は、生体適合性および／または耐水性ケーシング３７２に入っていてもよい。

【0081】

いくつかの実施形態では、ＩＭＤ３０２は、プロセッサ３４０を含んでもよい。任意選択で、プロセッサ３４０は、暗号化モジュール３３８を含む。任意選択で、暗号化／復号／鍵生成は、ハードウェア、ソフトウェア、またはその組み合わせ（すなわち、ハードウェアアクセラレーションを有するソフトウェア）のいずれかであり得る。例えば、暗号化モジュール３３８は、公開鍵を使用して非対称的に暗号化されたデータの送信をサポートするために、コンピュータ可読メモリに格納されたプログラムを含んでもよい。代替的にまたは追加で、暗号化モジュール３３８は、専用回路および／または専用プロセッサを含んでもよい。プロセッサ３４０および／または暗号化モジュール３３８は、任意選択で、データの対称的な符号化および／または復号が可能である。例えば、プロセッサ３４０および／またはモジュール３３８は、０．１～０．５Ｍｂｐｓ、および／または０．５～５Ｍｂｐｓ、および／または５～２０Ｍｂｐｓ、および／または２０～１００Ｍｂｐｓの間の速度で暗号化通信をサポートすることができ、および／または暗号化鍵を生成することができる。任意選択で、プロセッサ３４０および／またはモジュール３３８は、例えば３２から２５６の間の鍵ビットといくつかの補助プロトコルビットを加えた暗号化されたメッセージを通信および処理することができてもよい。任意選択で、ＩＭＤ２０２は、１０分から３０分、および／または３０分から１時間、および／または１時間から４時間の間の時間で電力ストレージを再充電することができる充電回路を含む。プロセッサ３４０は、任意に、受信機３４７に接続され、および／または受信機３４７からの（任意選択でデジタル化されてもよい）信号を受信する。

【0082】

プロセッサ３４０および／またはモジュール３３８は、任意に、受信機３４８に接続され、および／または受信機３４８を介して信号を送信および／または受信する。

【0083】

いくつかの実施形態では、ＥＤ３０４は、例えば３２ビットから２５６ビットの間の鍵ビットで暗号化された通信を非対称的に復号することおよび／または非対称暗号化鍵を生成することができるプロセッサ３５４および／または暗号化モジュール３５８を含んでもよい。代替的にまたは追加で、ＥＤ３０４は、外部プロセッサとの間でパスワードおよび／または非対称的に符号化されたデータの保護された通信を行うことが可能であってもよい。例えば、通信は、保護された媒体（例えば、ハードワイヤードリンク）および／またはデータ記憶デバイス（例えば、ＵＳＢドライブ）を介して行われてもよい。任意選択で、電源３６３は、外部ネットワーク、例えば電力網から電力を受け取る。代替的にまたは追加で、電源３６３は、例えば、０．１～１．０ワット時および／または１．０～３ワット時および／または３～１０ワット時の範囲の容量を有する再充電可能セル、並びに／或いは０．５～１．０ワット時および／または１．０～３ワット時および／または３～１０ワット時および／または１０～３０ワット時の範囲の容量を有する単一使用セルなどの局所的な電源を含んでもよい。

【0084】

図４は、本発明の一実施形態に従って通信するためのシステムの回路図である。いくつかの実施形態では、ＥＤ４０４のコイル４５２ｂは、電源４６３からの電力および／またはＲＦ生成器４４４からの一方向発信信号を受け取る。電力は、任意選択で、ＴＥＴリンクを介してＩＭＤ４０２に伝送される。例えば、ＴＥＴリンクは、電力および／またはデータを、ＩＭＤ４０２のインダクタンスコイル４５２ａに誘導的に伝送してもよい。任意選択で、コイル４５２ａは、整流回路４６６（例えば、図４に描かれているようなフルブリッジ整流器）を介して、充電制御回路４６４および／または再充電可能電源４６２に接続されている。代替的にまたは追加で、コイル４５２ａは、一方向入来信号を復調する信号受信回路４４７に接続される。例えば、回路４４７は、同調コンデンサおよび／またはバンドパスフィルタ４４９を介してコイル４５２ａに接続されてもよい。回路４４７からのデータは、一方向リンクを介して通信モジュール４５６に送られる。通信モジュール４５６は、任意選択で、無線送受信機４６０ａを介して発信信号の非対称暗号化を送信するように構成されている。例えば、発信非対称暗号化信号は、受信機４４７から、および／またはＥＤからのＴＥＴインダクタンスチャネルから受信した公開鍵を使用して暗号化されてもよい。モジュール４５６は、任意選択で、双方向無線チャネル４２１を介した信号の対称復号および／または暗号化のために構成される。任意選択で、送受信機４６０ａは、専用アンテナを含む。代替的または追加で、送受信機４６０ａは、コイル４５２ａを無線アンテナとして使用する。通信は、任意選択で、コントローラ４４０によって制御される。任意選択で、通信回路４５６および／またはコントローラ４４０は、ＴＥＴリンク上で受信した非対称鍵を記憶するためのメモリを含む。

【0085】

いくつかの実施形態では、ＥＤ４０４は、無線チャネル４２１をＩＭＤ４０２と通信するための双方向送受信機４６０ｂを含む。任意選択で、ＥＤ４０４は、プロセッサ４５４を含む。例えば、プロセッサ４５４は、非対称および／または対称符号化および／または復号、並びに／或いは対称および／または非対称符号化／復号のための鍵を生成するように構成されていてもよい。例えば、プロセッサ４５４は、非対称公開鍵の一方向符号化並びに公開鍵のＲＦ生成器への伝送および／またはＴＥＴリンクを介したＩＭＤ４０２への伝送のためのモジュール４２７に接続される。いくつかの実施形態では、非対称通信が使用されていないときには、非対称符号化モジュール４５６および／またはプロセッサ４４０はシャットダウンされてもよい。例えば、非対称符号化モジュールは、ＩＭＤ５０２がＴＥＴリンク上で電力を受信していないときにシャットダウンされてもよい。例えば、非対称暗号化モジュールをシャットダウンすることで、電力を節約しうる。

【0086】

図５Ａは、本発明の一実施形態に従った信号の流れおよび／またはセキュリティプロトコルを例示する概略図である。通信の様々な内容および／またはセキュリティ状態５７４は、例えば、通信の機密性および／または緊急性に応じて、様々なセキュリティプロトコル５７６によって保護されてもよい。

【0087】

いくつかの実施形態では、ＩＭＤは様々なセキュリティ状態を有してもよい。例えば、ＩＭＤは、悪意のある攻撃のリスクが増大している状態を認識してもよい。例えば、デバイス（および／またはデバイスが移植された人）がセキュアでない場所にある場合、例えば、悪意のある攻撃者が悪意のあるハードウェアを配置することができる可能性がある場合、悪意のある攻撃のリスクが増大する可能性がある。例えば、デバイスが移植された人が眠っているとき、および／または悪意のあるハードウェアが自分の体の横に配置されていることにユーザが気づかない夜間に、悪意のある攻撃のリスクが高まる可能性がある。任意選択で、ＩＭＤ５６８は、位置指示器（例えば、ＧＰＳ受信機および／または安全であるおよび／または安全でない場所のリスト）および／またはユーザの状態（例えば、脈拍センサおよび／または血圧センサによる睡眠中、覚醒中）を決定するセンサを含んでもよい。例えば、攻撃のリスクが増大した状態では、デバイスは、特定の機密性の高い通信（例えば、救命システムをシャットダウンするようなコマンド、および／またはデバイスのユーザを危険にさらす可能性があるＩＭＤ５０２の機能のパラメータを変更するようなコマンド、および／または恒久的なパラメータの変更）を許可しなくてもよい。代替的にまたは追加で、リスクが増大している状態では、ＩＭＤ５０２は、通常モードよりも増大したセキュリティプロトコルおよび／または検証を要求してもよい。

【0088】

いくつかの実施形態では、ＩＭＤ５０２は、通常モードを有してもよい。例えば、通常モードでは、特定の変更および／または通信が許可されてもよく、および／または他の変更が禁止されてもよい。代替的にまたは追加で、悪意のある攻撃からデータおよび／またはコマンドを保護するために、特定のセキュリティプロトコルが配置されていてもよい。

【0089】

いくつかの実施形態では、ＩＭＤ５０２は、緊急モードを有してもよい。例えば、ＩＭＤ５０２が危険な健康状態（例えば、心筋梗塞および／または虚血）の症状を検出した場合、ＩＭＤ５０２は、緊急モードに入ってもよい。例えば、緊急モードでは、ＩＭＤ５０２は、ユーザを保護するためのアクション（例えば、血流を増加させ、および／または心臓活動を安定化させるためのアクション）を取ってもよい。代替的にまたは追加で、緊急モードでは、ＩＭＤ５０２は、セキュリティを低下させてもよく、および／または緊急および／または医療従事者がＩＭＤ５０２の機能を短期的に変更することを可能にしてもよい。任意選択で、ＩＭＤ５０２は、セキュリティを低下させた１つ以上の緊急状態で許可される特定のアクションを記憶するメモリ（読み取り専用および／または読み取り書き込み）を有してもよい。任意選択で、ＩＭＤ１０２は、一時的なパラメータの有効期限が切れた後、および／または緊急状態が変化した後に復元可能な復元および／またはデフォルトおよび／または現在のパラメータ値を記憶するコンピュータ可読メモリ（例えば、ＲＷおよび／またはＲＯメモリ）を有してもよい。任意選択で、ＩＭＤ１０２は、リアルタイムクロックを含んでもよい。例えば、クロックは、パラメータ値がいつ有効期限切れになったか、および／または変更されるべきかを判断するために使用されてもよい。いくつかの実施形態では、ＩＭＤ５０２は、安全モードを有してもよい。例えば、ＩＭＤ５０２が安全な場所（例えば、認識された病院の場所および／またはユーザの自宅）にあることを検出した場合である。安全モードでは、ＩＭＤ５０２は、通常モードでは許可されないであろうプログラミングおよび／またはデータ伝送を許可する、および／または通常モードよりも低減されたセキュリティ手段を有していてもよい。任意選択で、セキュリティプロトコルは変更されないが、特定の機能は、副次的条件に従って異なるセキュリティレベルに割り当てられてもよい。例えば、副次的条件は、場所および／または対象者の状態および／または時間を含んでもよい。

【0090】

いくつかの実施形態では、異なるコマンドおよび／またはアクションは、異なるレベルのセキュリティを必要とする場合がある。例えば、短期的にユーザに重大な危害および／または危険を引き起こす可能性のあるＩＭＤ５０２の設定を変更するコマンドは、最高レベルのセキュリティを必要とする場合がある。例えば、長期的にユーザに危険および／または危害をもたらす可能性のあるＩＭＤ５０２の設定を変更するコマンドは、高いレベルのセキュリティを必要としてもよい。例えば、ＩＭＤ５０２の設定の短期的な変更および／またはユーザに重大な危害または危険を引き起こす可能性が低い変更は、中程度のセキュリティを必要としてもよい。例えば、健康データおよび／または機密性の高いデータの通信は、中程度のセキュリティを必要とする場合がある。例えば、機密性のないデータ（例えば、バッテリーレベル）の通信は、低レベルのセキュリティを必要としてもよい。

【0091】

いくつかの実施形態では、異なるレベルのセキュリティが必要な場合には、異なるセキュリティプロトコルを必要としてもよい。例えば、最高セキュリティのメッセージは、ＴＥＴチャネル５１３上での個別検証を必要としてもよい。代替的にまたは追加で、最高のセキュリティレベルのメッセージは、セキュリティ鍵が新しいとき（例えば、セキュリティ鍵が、直近の１分以内および／または直近の１０分以内および／または直近の３０分以内および／または直近の６時間以内のＴＥＴチャネル上の通信に基づいて固定されていたとき）に、双方向チャネル５１０上で許可されてもよい。任意選択で、高レベルのセキュリティのメッセージは、例えば、セキュリティ鍵が、直近の１０分以内および／または直近の３０分以内および／または直近の６時間以内および／または直近の１日以内のＴＥＴチャネル上の通信に基づいて固定されていた場合、並びに／或いは最後のセキュリティ鍵の更新以来デバイスが安全な場所にあった場合、双方向チャネル５１０のセキュリティのみに基づいて、および／または最高のセキュリティレベルよりも古いセキュリティ鍵で受け入れられてもよい。任意選択で、中レベルおよび／または低レベルのセキュリティのためには、より古い鍵を使用してもよいし、セキュアでない通信リンクを使用してもよい。

【0092】

いくつかの実施形態では、ＴＥＴチャネル上の検証および／または鍵伝送は認証によってセキュリティが確保されていてもよい。任意選択で、高レベルのセキュリティアクションのために、ＴＥＴ通信の認証が必要とされてもよい。例えば、認証には、ＴＥＴチャネルが大量の電力および／またはエネルギーを伝送すること、並びに／或いは長時間にわたって電力を伝送することを要求すること（悪意のある侵入者にとっては特に困難なことでありうること）が含まれうる。代替的にまたは追加で、認証は、コードの使用またはＥＤ５０４の識別情報の別の検証を必要としてもよい。代替的にまたは追加で、認証は、ＴＥＴを介してセキュリティ鍵を受け入れる前に、双方向チャネルを介したセキュリティ検証を含んでもよい。いくつかの実施形態では、検証５７１は、ＥＤ５０４がＴＥＴリンク５１３を介してＩＭＤ５０４にパラメータ値を送信することを含んでもよい。いくつかの実施形態では、検証は、双方向チャネル５１０を介して送信されたパラメータ値を繰り返すことを含む。代替的にまたは追加で、双方向チャネル５１０を介してパラメータ値を変更するためのコマンドが与えられてもよく、その新しい値がＴＥＴリンク５１３を介して与えられてもよい。代替的にまたは追加で、双方向チャネル５１０を介して値を与え、ＴＥＴリンク５１３を介して変更すべきパラメータを定義するメッセージを送信してもよい。いくつかの実施形態では、認証は、オペレータ識別の要求を含んでもよい。例えば、ＥＤ５０４は、操作者を識別するための生体測定デバイスおよび／または入力デバイスを含んでもよい。いくつかの実施形態では、ＩＭＤ５０２は、検証に先立って、状態および／または治療パラメータの一時的な変更を可能にする。例えば、検証が時間内に受信された場合、新しい状態が維持されてもよい。任意選択で、所定の時間内に検証が受信されない場合、ＩＭＤ５０２は、以前の状態および／または治療パラメータに戻ってもよい。

【0093】

図５Ｂは、本発明の一実施形態に従った信号の流れおよび／またはセキュリティプロトコルを説明する模式図である。いくつかの実施形態では、メッセージの暗号化のための暗号化鍵を伝送する（５２２）ために、短距離ＴＥＴリンク５１３上の一方向通信チャネルが使用される。メッセージは、例えば、双方向通信チャネル５１０を介してＥＤ５０４とＩＭＤ５０２との間で送信されるセッション鍵５２６および／またはコマンド５６８ａおよび／またはデータ５７０を含んでいてもよい。代替的にまたは追加で、一方向通信ＴＥＴリンク５１３は、ＥＤ５０４からＩＭＤ５０２に送信されたメッセージの検証（５７１）、および／またはＥＤ５０４からＩＭＤ５０２にコマンド５６８ｂを送信するために使用されてもよい。いくつかの実施形態では、ＴＥＴ上の通信は、認証（５６８）プロトコルによってさらに保護される。

【0094】

いくつかの実施形態では、双方向チャネル５１０を介したメッセージの検証のためにＴＥＴリンク５１３が使用されてもよい。例えば、ＥＤ５０４が高機密性コマンド（例えば、ＩＭＤ５０２の治療パラメータを変更するコマンド）を与える場合、ＩＭＤ５０２は、ＴＥＴリンク５１３を介した検証を要求してもよい。例えば、検証（５７１）は、ＥＤ５０４が双方向チャネル５１０を介してコマンド５６８ａを送信したことを検証する簡単なステートメントを含んでもよい。代替的にまたは追加で、検証メッセージは、パスワードおよび／またはタイムスタンプおよび／または双方向リンク５１０からのメッセージを識別するパケットＩＤ番号を含んでもよい。

【0095】

いくつかの実施形態では、双方向リンク５１０上のセッションは、時折、および／またはＴＥＴリンク５１３を介して渡される命令に従って、および／または双方向チャネル５１０内の暗号化された会話を介して渡される命令に従って、および／またはＩＭＤ５０２とＥＤ５０４との間で共有される保存されたデータに従って変化する複数のセキュリティ鍵を有してもよい。セッション鍵を適宜切り替えることで、統計的手段によって双方向チャネル５１０の暗号化が破られにくくなる可能性がある。

【0096】

いくつかの実施形態では、ＩＭＤ５０２は、設定および／または治療パラメータのリストを定期的にＥＤ５０４に送信してもよい。例えば、データは、設定が不注意および／または悪意を持って誤設定されなかったことを確認するために定期的にチェックされてもよい。

【0097】

いくつかの実施形態では、ＩＭＤ５０２の治療設定の限定された範囲の変更は、比較的低いセキュリティレベルで許可されてもよいが、他の変更はより高いセキュリティを必要としてもよい。例えば、ＩＭＤは、比較的低いセキュリティで許可される、保存された設定の範囲を有する読み取り専用メモリおよび／または読み取り書き込みメモリを含んでもよい。代替的にまたは追加で、パラメータの比較的小さな変更は、より大きな変更よりも低いセキュリティで許可されてもよい。

【0098】

いくつかの実施形態では、ＴＥＴリンク５１３は誘導チャネルを含んでもよい。例えば、信号および／またはエネルギーは、ＥＤ５０４のインダクタ（例えばコイル５５２ｂ）からＩＭＤ５０２のインダクタ（例えばコイル５５２ａ）に送られてもよい。いくつかの実施形態では、双方向チャネル５１０は、無線チャネルを含んでもよい。例えば、無線信号は、ＩＭＤ５０２の送受信機５６０ａとＥＤ５０４の送受信機５６０ｂとの間で往復送信されてもよい。任意選択で、送受信機５６０ａは、専用のアンテナを含んでもよい。代替的または追加で、送受信機５６０ａは、アンテナとしてコイル５６２ａを使用してもよい。

【0099】

図６は、本発明の一実施形態によるＩＭＤ６０２のブロック図である。いくつかの実施形態では、ＩＭＤ６０２は、治療ユニット６８２および／またはセンサユニット６９０を含む。例えば、治療ユニットは、組織に治療を適用するアクチュエータ６８６ａ，６８６ｂを含んでもよい。例えば、センサユニット６９０は、デバイスの使用者の状態を感知するセンサ６８８ａ，６８８ｂを含んでもよい。

【0100】

いくつかの実施形態では、ＩＭＤ６０２は、保護カバー６７２に入っていてもよい（例えば、カバー６７２は、防水性、生体適合性であってもよく、ＩＭＤの内部パーツからユーザを保護し、および／または電気ショックからユーザを保護し、および／またはＩＭＤ６０２の内部部分を体液から保護し、および／またはＩＭＤを例えばノックなどの物理的な損傷から保護するためのものであってもよい）。任意選択で、１つ以上のセンサ（例えば、センサ６８８ａ）がカバー６７２の内部にある。例えば、センサ６８８ａは、磁場を感知してもよい。代替的または追加で、カバー６７２の外側に延伸するセンサ（例えばセンサ６８８ｂ）がある。例えば、センサ６８８ｂは、電極、圧力変換器、熱電対および／または流量計を含んでもよい。

【0101】

いくつかの実施形態では、１つ以上のアクチュエータ（例えばアクチュエータ６８６ａ）がカバー６７２の内部にある。例えば、アクチュエータ６８６ａは、磁場を生成してもよい。代替的にまたは追加で、カバー６７２の外側に延びるアクチュエータ（例えばアクチュエータ６８６ｂ）がある。例えば、アクチュエータ６８６ｂは、電極、超音波トランスデューサおよび／または発熱体を含んでもよい。いくつかの実施形態では、単一の要素がセンサとアクチュエータの両方の役割を果たしてもよい。例えば、電極は、ユーザ内部の電気信号に関する情報を収集するために使用されてもよく、および／または電気信号を印加するために使用されてもよい。例えば、ＩＭＤは、ペースメーカーおよび／または移植式心臓除細動器（ＩＣＤ）および／または心臓収縮力変調（ＣＣＭ）デバイスを含んでもよい。例えば、デバイスは、心臓周期の様々な期間においてペーシング信号および／または非興奮性信号を印加してもよい。

【0102】

図７は、本発明の一実施形態に従った通信を保護する方法のフローチャートである。いくつかの実施形態では、ＩＭＤが悪意のあるデバイスに制御されることを防止するために、および／またはＩＭＤとＥＤとの間の通信を保護するために、耐侵入ＴＥＴチャネルが使用される。例えば、侵入から保護されるＴＥＴチャネルは、攻撃者が（例えば、保護されていないチャネル上の通信を暗号化することによって）より保護されていないチャネル上の通信に侵入するのを防ぐために使用される公開鍵をＩＭＤに伝送するために使用される。任意選択で、ＴＥＴチャネルは一方向通信用に構成されていてもよいし、より保護されていないチャネルはより高速な通信用に構成されていてもよいし、双方向通信用に構成されていてもよい。

【0103】

いくつかの実施形態では、外部デバイスは、移植デバイスにエネルギー７１６を伝送する。例えば、エネルギー伝送は、ＩＭＤのバッテリを充電するための電力を含んでもよい。任意選択で、エネルギー伝送リンクは、距離にわたって急速に減衰するチャネル上であってもよい。任意選択で、エネルギー伝送リンクを介して信号を偽装するために、悪意のあるデバイスは、高い電力および／またはＩＭＤに非常に近い位置を必要としてもよい。例えば、リンクは、１０ｃｍ以上で２５％以上の電力を失い、５０ｃｍ以上で５０％以上の電力を失い、２ｍ以上で９０％以上の電力を失ってもよい。例えば、エネルギー伝送は、ＴＥＴリンク上であってもよい。例えば、ＴＥＴリンクは、誘導結合を含んでもよい。

【0104】

いくつかの実施形態では、ＩＭＤは、ＥＤが正当なデバイスであることを認証してもよい（７６８）。例えば、認証は、ＥＤが一定量のエネルギーおよび／または電力を伝送すること、および／または最小限の時間スパンで電力を送信することを要求することを含んでもよい。代替的または追加で、さらなる認証方法が使用されてもよい。

【0105】

いくつかの実施形態では、ＥＤはＴＥＴリンクを使用して暗号化鍵をＩＭＤに伝送してもよい（７１４）。例えば、ＥＤは非対称暗号化の公開鍵をＩＭＤに伝送してもよい。任意選択で、ＩＭＤは、ＥＤが供給した暗号化鍵でメッセージを暗号化する。例えば、メッセージは、双方向通信媒体を介してＩＭＤからＥＤに送信されてもよい。いくつかの実施形態では、ＩＭＤは、ＥＤから供給された暗号化鍵を使用してセッション鍵を暗号化し、および／または双方向通信媒体を介して暗号化されたセッション鍵をＥＤに伝送する（７３２）。さらなる通信７２２は、任意選択で、セッション鍵に基づく対称暗号化を使用して、双方向通信媒体上で進行する。

【0106】

いくつかの実施形態では、ＴＥＴリンクを用いて双方向媒体上での継続的な通信のセキュリティがブーストされる。例えば、ＥＤは、定期的に新しい暗号化鍵をＴＥＴリンクを通じて送信してもよく、例えば、新しいセッション鍵を暗号化および伝送することによって、新しい暗号化鍵を用いて古い暗号化鍵を更新してもよい。代替的にまたは追加で、ＴＥＴリンクは、ＥＤから受信した通信を検証するために使用されてもよい。代替的にまたは追加で、部分的なメッセージのみが各媒体上で送信されてもよい。例えば、ＴＥＴリンクは、いずれかの媒体上のメッセージだけでは完全なメッセージを理解するには不十分であり、かつ／または伝達されている命令を実行するには不十分であるように、特定のデータを伝送するために用いられてもよい。例えば、双方向リンク上で送信されるメッセージは、ＴＥＴリンク上で送信される必要なパラメータ値を欠いていてもよい。

【0107】

図８Ａ～８Ｃは、本発明の実施形態によるＥＤとＩＭＤとの間の通信の例を示す。

【0108】

いくつかの実施形態では、臨床医はセキュアなセッション８０１を始動する。例えば、臨床医は、対象者と並んだ、ＩＭＤが移植された場所の近くの位置にＥＤを移動させる。ＥＤはＩＭＤから１０ｃｍ以内の位置にあってもよい。ＥＤがＩＭＧに近接している結果、通信リンクが自動的に開かれてもよい。代替的にまたは追加で、臨床医がＥＤを起動してもよいし、臨床医がＴＥＴリンクを介してＩＭＤの充電を始動してもよい。代替的にまたは追加で、ＩＭＤは、通信チャネル８０３をポーリングして（外部からの始動なしで）起動状態を維持してもよい。

【0109】

いくつかの実施形態では、セッションは、ＥＤがビーコン信号８０３をＩＭＤに送信する（８０２）ことから始まる。任意選択で、信号は、ＭｅｄＲａｄｉｏ信号（例えば、４０２～４０５ＭＨｚの信号）であってもよい。任意選択で、ＩＭＤは、ビーコンのために定期的にポーリング８０４を行っている。代替的にまたは追加で、ＥＤは、ＩＭＤの通信を起動してもよい。例えば、ＩＭＤは、ＥＤ内の磁石によって、および／またはＴＥＴリンクを介して、起動されるリードスイッチを含んでもよい。任意選択で、ビーコンを送信した（８０２）後、ＥＤは、確認応答８０６をリスンする（８０６）。

【0110】

いくつかの実施形態では、ＩＭＤが起動され、および／またはビーコン信号８０３を受信すると（８０５）、ＩＭＤはＥＤに確認応答信号８０８を送信する（８０９）。例えば、確認応答は、ＭｅｄＲａｄｉｏチャネルおよび／または別の媒体を介して送信されてもよい。

【0111】

いくつかの実施形態では、ＥＤがビーコン確認応答８０８を受信すると（８０７）、公開鍵が生成され（８１０）、ＩＭＤに送信される（８１３）。例えば、鍵は、セキュアチャネル８１６を介して送信される（８１３）。任意で、セキュアチャネル８１６は、侵入者が偽造メッセージを送信することが困難であろう媒体を含む。例えば、セキュアチャネル８１６は、送信機とＩＭＤとの間の非常に短い距離を必要としてもよく、および／または高い電力レベルを必要としてもよく、および／または長い接続時間を必要としてもよい。例えば、セキュアチャネル８１６は、ＴＥＴチャネル、例えば１３．５６ＭＨｚの充電チャネルを含んでもよい。任意選択で、ＩＭＤが公開鍵を受信すると（８３０）、ＩＭＤは、確認応答８１８をＥＤに送信する（８３１）。任意選択で、確認応答８１８を受信すると（８１５）、ＥＤは、臨床医に向けたメッセージ、例えば「ＩＰＧは、セキュアな接続が確立されたことを見つけました」を表示する（８１７）。任意選択で、タイムアウト期間内（８１４）に確認応答８１８が受信されない場合（８１５）、ＥＤは現在の公開鍵を破棄し（８１２）、臨床医による新しいセッションの始動を待つ（８０１）。タイムアウト期間内（８３２）に公開鍵が受信されない場合（８３０）、ＩＭＤは任意選択でポーリング状態に戻る（８０４）。

【0112】

いくつかの実施形態では、公開鍵の受信の確認応答を送信した（８３１）後、ＩＭＤは公開鍵を生成し（８３３）、および／または公開鍵８２１をＥＤに送信する（８３４）。例えば、鍵８２１は、ＭｅｄＲａｄｉｏチャネルを介して伝送されてもよい。ＩＭＤは、任意選択で、公開鍵８２１の受信の確認応答８２３を待つ（８３５）。例えば、ＥＤは、ＭｅｄＲａｄｉｏチャネルを介して公開鍵の受信の確認応答８２３を送信してもよい（８２０）。エラーがあった場合、システムは、任意選択で、待機状態に戻り、例えば、臨床医が新しいセッションを始動する（８０１）のを待つ。任意選択で、タイムアウトの期間（８１９）内に鍵８２１が受信されなかった場合（８１３）、ＥＤは現在の公開鍵を破棄し（８１２）、臨床医からの新しいセッションの始動（８０１）を待つ。

【0113】

いくつかの実施形態では、公開鍵を交換した後、ＩＭＤおよび／またはＥＤは共有秘密を生成する（８２２，８３６）。任意選択で、共有秘密はセッション鍵を生成する（８２４，８３７）ために使用される。セッション鍵は、任意選択で、さらなる通信を暗号化するために使用される。例えば、ＩＭＤは、セッション鍵の生成（８３７）の暗号化された確認応答８２９を送信してもよい（８３８）。エラー（８２５）があった場合、例えばＥＤのセッション鍵がＩＭＤの確認応答８２９を復号するのに失敗した場合、および／または確認応答８２９がタイムアウト期間（８２６）内に受信されなかった場合、公開鍵は、破棄されてもよく（８１２）、および／または、システムは、臨床医からのセキュアなセッションを始動する（８０１）ための新たな命令を待つために戻ってもよい。一度セキュアなセッションが確立されると、ＥＤは任意選択で臨床医に成功メッセージを表示し（８２８）、および／またはセッション鍵を使用して通信を継続する。代替的にまたは追加で、ＥＤは、セッション鍵の生成に成功したことを確認するための確認応答をＩＭＤに送信してもよい。

【0114】

本出願から開始した特許の存続期間中に、多くの関連する通信媒体および／またはプロトコルが開発されることが予想され、無線チャネルおよび暗号化という用語の範囲は、先験的にそのようなすべての新技術を含むことが意図されている。

【0115】

本明細書で使用される用語「約」は±１０％を意味する。

【0116】

用語「備える」、「備えている」、「含む」、「含んでいる」、「有する」およびそれらの活用語は、「含むがそれに限定されない」ことを意味する。

【0117】

「からなる」とは、「それを含み、かつ、それに限定されない」ことを意味する。

【0118】

「本質的に構成される」という用語は、組成物、方法または構造物が、追加の成分、ステップおよび／またはパーツを含んでもよいが、追加の成分、ステップおよび／またはパーツが、請求された組成物、方法または構造物の基本的かつ新規な特性を実質的に変化させない場合にのみ使用されることを意味する。

【0119】

本明細書で使用されるように、単数形の「ａ」、「ａｎ」および「ｔｈｅ」は、文脈が明確に指示しない限り、複数の参照を含む。例えば、用語「化合物」または「少なくとも１つの化合物」は、それらの混合物を含む複数の化合物を含むことができる。

【0120】

本出願を通して、本発明の様々な実施形態が範囲の形式で示されてもよい。範囲の形式での記述は、単に利便性と簡潔さのためのものであり、本発明の範囲に対する柔軟性のない制限として解釈されるべきではないことが理解されるべきである。したがって、範囲の記述は、その範囲内の個々の数値だけでなく、取りうるすべての部分範囲を具体的に開示したものとみなされるべきである。例えば、１から６までのような範囲の記述は、１から３まで、１から４まで、１から５まで、２から４まで、２から６まで、３から６までなどのような部分範囲と、その範囲内の個々の数値、例えば、１、２、３、４、５、６などが具体的に開示されていると考えるべきである。これは、範囲の幅に関係なく適用される。２つの範囲が「および」および／または結合子で接続されている場合、範囲は、分離および／または連続していてもよい。例えば、パラメータが１から３および／または３から５および／または５から７の間の範囲であると言われる場合、１から５および５から１０および１から１０の範囲も含まれる。

【0121】

本明細書で数値範囲が示される場合、常に、それは示された範囲内で引用された任意の数値（小数または整数）を含むことを意味する。本明細書では、第１の指示値と第２の指示値の「範囲に亘っている／間の範囲に亘る」と、第１の指示値「から」第２の指示値「まで」の「範囲に亘っている／範囲に亘る」という表現と、は、互換的に使用されており、第１の指示値および第２の指示値、並びにその間のすべての小数および整数を含むことを意味する。

【0122】

明確さのために別個の実施形態の文脈で説明されている本発明の特定の特徴は、単一の実施形態において組み合わせて提供されてもよいことが理解される。逆に、簡潔さのために、単一の実施形態の文脈で説明されている本発明の様々な特徴は、別個に、または任意の適切な部分的な組み合わせで、または本発明の他の説明された実施形態において適切なように提供されてもよい。様々な実施形態の文脈で説明された特定の特徴は、実施形態がそれらの要素なしでは動作しない場合を除き、それらの実施形態の本質的な特徴とはみなされるべきではない。

【0123】

本発明は、その特定の実施形態と関連して説明されてきたが、多くの代替案、修正および変形が、当技術分野に熟練した者には明らかであろう。したがって、本発明は、添付の特許請求の範囲の趣旨および広い範囲に該当するすべてのそのような代替案、修正および変形を包含することが意図されている。

【0124】

本明細書に記載されたすべての刊行物、特許、および特許出願は、個々の刊行物、特許、または特許出願が参照により本明細書に組み込まれることを具体的かつ個別に示された場合と同様の範囲で、その全体が参照により本明細書に組み込まれる。さらに、本出願における参照の引用または特定は、そのような参照が本発明の先行技術として利用可能であることを自認するものと解釈されてはならない。セクション見出しが使用されている範囲では、それらは必ずしも限定的であると解釈されるべきではない。

【0125】

また、本願の優先権書類は、その全体が参照により本明細書に組み込まれる。

【図1】

【図2】

【図3】

【図4】

【図5A】

【図5B】

【図6】

【図7】

【図8A】

【図8B】

【図8C】