特許 7556953 医療システムを動作させるための方法、医療システム、およびセキュリティモジュール

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-09-17

(45)【発行日】2024-09-26

(54)【発明の名称】医療システムを動作させるための方法、医療システム、およびセキュリティモジュール

(51)【国際特許分類】

   G06F 21/60 20130101AFI20240918BHJP

   G06F 21/64 20130101ALI20240918BHJP

   G09C 1/00 20060101ALI20240918BHJP

   G16H 40/67 20180101ALI20240918BHJP

【ＦＩ】

G06F21/60 360

G06F21/64

G06F21/60 320

G09C1/00 620

G16H40/67

【請求項の数】 13

(21)【出願番号】P 2022522708

(86)(22)【出願日】2020-10-14

(65)【公表番号】

(43)【公表日】2022-12-15

(86)【国際出願番号】 EP2020078897

(87)【国際公開番号】W WO2021074221

(87)【国際公開日】2021-04-22

【審査請求日】2023-09-01

(31)【優先権主張番号】19203644.0

(32)【優先日】2019-10-16

(33)【優先権主張国・地域又は機関】EP

(73)【特許権者】

【識別番号】501205108

【氏名又は名称】エフ ホフマン－ラ ロッシュ アクチェン ゲゼルシャフト

(74)【代理人】

【識別番号】110001896

【氏名又は名称】弁理士法人朝日奈特許事務所

(72)【発明者】

【氏名】クロイツァー、アンドレアス

【審査官】田中 啓介

(56)【参考文献】

【文献】特表２０１８－５３１７０４（ＪＰ，Ａ）

【文献】特開２００７－１８９７４２（ＪＰ，Ａ）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ１２／１４、２１／００－２１／８８

Ｇ０６Ｑ５０／２２

Ｇ０９Ｃ１／００－５／００

Ｇ１６Ｈ１０／００－８０／００

Ｈ０４Ｂ７／２４－７／２６

Ｈ０４Ｋ１／００－３／００

Ｈ０４Ｌ９／００－９／４０

Ｈ０４Ｗ４／００－９９／００

(57)【特許請求の範囲】

【請求項1】

遠隔制御装置（２）、セキュリティモジュール（３）、および医療装置（４）を有する医療システム（１）を動作させるための方法であって、
非対称暗号化のための一対の鍵を提供することであって、前記一対の鍵が公開鍵および秘密鍵を含み、前記公開鍵が前記遠隔制御装置（２）および前記医療装置（４）の双方において提供され、前記秘密鍵が前記セキュリティモジュール（３）において提供される、一対の鍵を提供することと、
前記遠隔制御装置（２）において、前記医療装置（４）の動作を制御するように構成された制御コマンドに前記公開鍵を適用することによって暗号化された暗号化制御コマンドを生成することと、
前記セキュリティモジュール（３）において前記暗号化制御コマンドを受信することと、
前記セキュリティモジュール（３）において、前記秘密鍵を適用することによって前記暗号化制御コマンドを復号することであって、前記復号することが、前記制御コマンドが前記公開鍵を適用することによって暗号化されたと判定することを含む、前記暗号化制御コマンドを復号することと、
前記セキュリティモジュール（３）において、前記復号された制御コマンド、または前記復号された制御コマンドから導出され、前記医療装置（４）の動作を制御するように構成された修正医療制御コマンドに前記秘密鍵を適用することによって、セキュリティモジュール暗号化制御コマンドを生成することと、
前記セキュリティモジュール（３）暗号化制御コマンドを前記医療装置（４）において受信することと、
前記医療装置（４）において、前記公開鍵を適用することによって前記セキュリティモジュール暗号化制御コマンドを復号することと、
前記制御コマンドまたは前記修正医療制御コマンドが、前記セキュリティモジュール（３）、および前記医療装置（４）のうちの１つにおいて受信されたユーザ確認入力によって確認された場合、前記制御コマンドと前記修正医療制御コマンドのうちの１つにしたがって前記医療装置（４）の動作を制御することと、を含む、方法。

【請求項2】

前記セキュリティモジュール暗号化制御コマンドを生成することが、さらに、
前記暗号化制御コマンドにコマンドセキュリティチェックを適用することであって、前記制御コマンドが、前記セキュリティモジュール（３）において提供された承認済みコマンド制御情報にしたがって前記医療装置（４）の遠隔制御のために承認された制御コマンドであるかどうかを判定することを含む、コマンドセキュリティチェックを適用することと、
前記制御コマンドが承認済み制御コマンドであると判定された場合、前記セキュリティモジュール暗号化制御コマンドを生成することと、を含む、請求項１に記載の方法。

【請求項3】

前記セキュリティモジュール暗号化制御コマンドを生成することが、さらに、
前記暗号化制御コマンドのエラー検出チェックを適用することであって、前記制御コマンドが前記遠隔制御装置（２）によって正しく暗号化されたかどうかを判定することを含む、エラー検出チェックを適用することと、
前記制御コマンドが正しく暗号化された場合、前記セキュリティモジュール暗号化制御コマンドを生成することと、を含む、請求項１または２に記載の方法。

【請求項4】

前記セキュリティモジュール暗号化制御コマンドを生成することが、さらに、
前記暗号化制御コマンドに装置セキュリティチェックを適用することであって、前記制御コマンドが、前記セキュリティモジュール（３）において提供された承認済み装置制御情報にしたがって前記医療装置（４）の遠隔制御のために承認された遠隔制御装置から受信されたかどうかを判定することを含む、装置セキュリティチェックを適用することと、
前記遠隔制御装置が承認された遠隔制御装置であると判定された場合、前記セキュリティモジュール暗号化制御コマンドを生成することと、を含む、請求項１から３のいずれか一項に記載の方法。

【請求項5】

前記医療装置（４）において、前記セキュリティモジュール暗号化制御コマンドに、コマンドセキュリティチェック、エラー検出チェック、および装置セキュリティチェックのうちの少なくとも１つを適用することをさらに含む、請求項２から４のいずれか一項に記載の方法。

【請求項6】

非対称暗号化のために前記一対の鍵を提供することが、前記セキュリティモジュール（３）内の読み出し専用データメモリにおいて前記秘密鍵を提供することを含む、請求項１から５のいずれか一項に記載の方法。

【請求項7】

前記遠隔制御装置（２）および前記医療装置（４）のうちの１つにおいて装置構成要素として前記セキュリティモジュール（３）を提供することをさらに含む、請求項１から６のいずれか一項に記載の方法。

【請求項8】

前記遠隔制御装置（２）および前記医療装置（４）から分離された携帯型装置として前記セキュリティモジュール（３）を提供することをさらに含む、請求項１から６のいずれか一項に記載の方法。

【請求項9】

前記制御コマンドまたは前記修正医療制御コマンドを確認することが、
前記遠隔制御装置（２）、前記セキュリティモジュール（３）、および前記医療装置（４）のうちの少なくとも１つに設けられたユーザインターフェースの出力装置を介してコマンドユーザ情報を出力することであって、前記コマンドユーザ情報が前記制御コマンドまたは前記修正医療制御コマンドを示す、コマンドユーザ情報を出力することと、
前記ユーザインターフェースの入力装置を介して前記ユーザ確認入力を受信することと、を含む、請求項１から８のいずれか一項に記載の方法。

【請求項10】

前記動作を制御することが、医療用ポンプ装置、インスリンポンプ、および血糖測定装置の群から選択される医療装置（４）の動作を制御することをさらに含む、請求項１から９のいずれか一項に記載の方法。

【請求項11】

以下のシステム構成要素
遠隔制御装置（２）と、
セキュリティモジュール（３）と、
医療装置（４）と、を備える医療システム（１）であって、
前記システム構成要素が、
非対称暗号化のための一対の鍵を提供することであって、前記一対の鍵が公開鍵および秘密鍵を含む、一対の鍵を提供することと、
前記遠隔制御装置（２）および前記医療装置（４）の双方において前記公開鍵を提供することと、
前記セキュリティモジュール（３）において前記秘密鍵を提供することと、
前記遠隔制御装置（２）において、制御コマンドに前記公開鍵を適用することによって暗号化された暗号化制御コマンドを生成することと、
前記セキュリティモジュール（３）において前記暗号化制御コマンドを受信することと、
前記セキュリティモジュール（３）において、前記秘密鍵を適用することによって前記暗号化制御コマンドを復号することであって、前記復号することが、前記制御コマンドが前記公開鍵を適用することによって暗号化されたかどうかを判定することを含む、前記暗号化制御コマンドを復号することと、
前記セキュリティモジュール（３）において、前記復号された制御コマンド、または前記復号された制御コマンドから導出され、前記医療装置（４）の動作を制御するように構成された修正医療制御コマンドに前記秘密鍵を適用することによって、セキュリティモジュール暗号化制御コマンドを生成することと、
前記セキュリティモジュール（３）暗号化制御コマンドを前記医療装置（４）において受信することと、
前記医療装置（４）において、前記公開鍵を適用することによって前記セキュリティモジュール暗号化制御コマンドを復号することと、
前記制御コマンドまたは前記修正医療制御コマンドが、前記セキュリティモジュール（３）、および前記医療装置（４）のうちの１つにおいて受信されたユーザ確認入力によって確認された場合、前記制御コマンドと前記修正医療制御コマンドのうちの１つにしたがって前記医療装置（４）の動作を制御することと、を行うように構成されている、医療システム。

【請求項12】

前記遠隔制御装置（２）が携帯型制御装置である、請求項１１に記載の医療システム（１）。

【請求項13】

医療システム（１）用のセキュリティモジュールであって、
非対称暗号化のための一対の鍵に割り当てられた秘密鍵を含むデータメモリであって、前記一対の鍵が前記秘密鍵および公開鍵を含む、データメモリと、
１つ以上のデータプロセッサと、
遠隔制御装置（２）および医療装置（４）とデータ通信するためのデータ通信インターフェースと、を備え、
前記１つ以上のデータプロセッサが、
前記遠隔制御装置（２）から、前記医療装置（４）の動作を制御するように構成された制御コマンドに前記公開鍵を適用することによって暗号化された暗号化制御コマンドを受信することと、
前記秘密鍵を適用することによって前記暗号化制御コマンドを復号することであって、前記復号することが、前記制御コマンドが前記公開鍵を適用することによって暗号化されたかどうかを判定することを含む、前記暗号化制御コマンドを復号することと、
前記復号された制御コマンド、または前記復号された制御コマンドから導出され、前記医療装置（４）の動作を制御するように構成された修正医療制御コマンドに前記秘密鍵を適用することによって、セキュリティモジュール暗号化制御コマンドを生成することと、
前記セキュリティモジュール暗号化制御コマンドを前記医療装置（４）に送信することと、を行うように構成されている、セキュリティモジュール。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、医療システムを動作させるための方法に関する。本開示はまた、医療システム、およびセキュリティモジュールに関する。

【背景技術】

【0002】

そのような医療システムは、医療装置を動作させるための制御コマンドを提供するように構成された遠隔制御装置を備えることができる。

【0003】

欧州特許出願公開第３ １５５ ９５８号明細書は、システムを動作させるための方法であって、医療データを検知するためのセンサ装置および薬剤を送達するための薬剤送達装置のうちの少なくとも１つを有する医療装置と、携帯型電子消費者装置と、携帯型電子消費者装置および第２の通信装置とのデータ通信のための第１の通信プロトコルを備えた中間装置と、中間装置に設けられた制御モジュールと、を備える、システムを開示している。本方法は、制御モジュールにおいて、制御モジュールに設けられた受信機能によって携帯型電子消費者装置から制御データを受信することであって、制御データが、医療装置の動作を制御するように構成されている、受信することと、制御モジュールに設けられた確認機能によって制御データが確認されることができるかどうかを判定することと、制御データが確認された場合、制御モジュールに設けられた送信機能によって制御データを医療装置に送信することと、を含む。

【発明の概要】

【0004】

本開示の目的は、医療システムに設けられる医療装置の信頼性が高く且つセキュアな動作を改善するための医療システムを動作させるための方法を提供することである。本開示のさらなる目的は、医療システムにおける信頼性が高く且つセキュアな動作を改善するための医療システムおよび／またはセキュリティモジュールを提供することである。

【0005】

少なくとも１つの目的を解決するために、請求項１に記載の医療システムを動作させるための方法が提供される。さらに、それぞれ請求項１１および１３に記載の医療システムおよびセキュリティモジュールが提供される。さらなる実施形態は、従属請求項において言及される。

【0006】

一態様によれば、遠隔制御装置、セキュリティモジュール、および医療装置を有する医療システムを動作させるための方法が提供される。本方法は、非対称暗号化のための一対の鍵を提供することであって、一対の鍵が公開鍵および秘密鍵を含み、公開鍵が遠隔制御装置および医療装置の双方に提供され、秘密鍵がセキュリティモジュールに提供される、一対の鍵を提供することと、遠隔制御装置において、医療装置の動作を制御するように構成された制御コマンドに公開鍵を適用することによって暗号化された暗号化制御コマンドを生成することと、セキュリティモジュールにおいて暗号化制御コマンドを受信することと、セキュリティモジュールにおいて、秘密鍵を適用することによって暗号化制御コマンドを復号することであって、復号することが、制御コマンドが公開鍵を適用することによって暗号化されたと判定する、復号することと、セキュリティモジュールにおいて、復号された制御コマンド、または復号された制御コマンドから導出され、医療装置の動作を制御するように構成された修正医療制御コマンドに秘密鍵を適用することによって、セキュリティモジュール暗号化制御コマンドを生成することと、セキュリティモジュールの暗号化制御コマンドを医療装置において受信することと、医療装置において、公開鍵を適用することによってセキュリティモジュール暗号化制御コマンドを復号することと、制御コマンドまたは修正制御コマンドが、セキュリティモジュール、および医療装置のうちの１つにおいて受信されたユーザ確認入力によって確認された場合、制御コマンドまたは修正制御コマンドのうちの１つにしたがって医療装置の動作を制御することと、を含む。

【0007】

別の態様によれば、遠隔制御装置、セキュリティモジュール、および医療装置を備える医療システムが提供される。システム構成要素は、非対称暗号化のための一対の鍵を提供することであって、一対の鍵が公開鍵および秘密鍵を含む、一対の鍵を提供することと、遠隔制御装置および医療装置の双方に公開鍵を提供すること、セキュリティモジュールに秘密鍵を提供することと、遠隔制御装置において、制御コマンドに公開鍵を適用することによって暗号化された暗号化制御コマンドを生成することと、セキュリティモジュールにおいて暗号化制御コマンドを受信することと、セキュリティモジュールにおいて、秘密鍵を適用することによって暗号化制御コマンドを復号することであって、復号することが、制御コマンドが公開鍵を適用することによって暗号化されたかどうかを判定する、暗号化制御コマンドを復号することと、セキュリティモジュールにおいて、復号された制御コマンド、または復号された制御コマンドから導出され、医療装置の動作を制御するように構成された修正医療制御コマンドに秘密鍵を適用することによって、セキュリティモジュール暗号化制御コマンドを生成することと、セキュリティモジュールの暗号化制御コマンドを医療装置において受信することと、医療装置において、公開鍵を適用することによってセキュリティモジュール暗号化制御コマンドを復号することと、制御コマンドまたは修正制御コマンドが、セキュリティモジュール、および医療装置のうちの１つにおいて受信されたユーザ確認入力によって確認された場合、制御コマンドまたは修正制御コマンドのうちの１つにしたがって医療装置の動作を制御することと、を行うように構成されている。

【0008】

さらに別の態様によれば、医療システム用のセキュリティモジュールが提供される。セキュリティモジュールは、非対称暗号化のための一対の鍵に割り当てられた秘密鍵を含むデータメモリであって、一対の鍵が秘密鍵および公開鍵を含む、データメモリと、１つ以上のデータプロセッサと、遠隔制御装置および医療装置とデータ通信するためのデータ通信インターフェースと、を備える。１つ以上のデータプロセッサは、医療装置の動作を制御するように構成された制御コマンドに公開鍵を適用することによって暗号化された暗号化制御コマンドを遠隔制御装置から受信することと、秘密鍵を適用することによって暗号化制御コマンドを復号することであって、復号することが、制御コマンドが公開鍵を適用することによって暗号化されたかどうかを判定することを含む、暗号化制御コマンドを復号することと、復号された制御コマンド、または復号された制御コマンドから導出され、医療装置の動作を制御するように構成された修正医療制御コマンドに秘密鍵を適用することによってセキュリティモジュール暗号化制御コマンドを生成することと、セキュリティモジュール暗号化制御コマンドを医療装置に送信することと、を行うように構成されている。

【0009】

提案された技術は、遠隔制御装置と医療装置との間の医療システム内のデータ通信のセキュリティを向上させる。

【0010】

遠隔制御装置は、非規制装置であってもよい。そのような場合にも、提案された技術は、医療装置のデータ通信および動作を確実に保存する。非規制装置に関して、例えば、米国食品医薬品局（ＦＤＡ）は、それらの安全性および有効性を保証するために医療装置とともに適用されるかまたは医療装置として使用される装置を規制する。例えば、不必要な曝露を制御し、電離放射線放出電子製品および非電離放射線放出電子製品の安全且つ効率的な使用を保証するように設計された国家プログラムがある。例えばＦＤＡによる規制は、これらの製品に対する一般的なレベルの制御を規定する規定、すなわち規制要件を提供する。本開示の意味の範囲内の非規制装置は、そのような規制の規定を満たす場合も満たさない場合もあるが、そのような規制を満たすことが認証されていない装置である。他の国でも同様の公式規定が適用される。遠隔制御装置は、とりわけ、スマートフォン、携帯情報端末、ハンドヘルドコンピュータ、ノートブック、またはタブレットであってもよい。

【0011】

セキュリティモジュールは、別個の装置、すなわち遠隔制御装置および医療装置とは別個の装置であってもよい。あるいは、セキュリティモジュールは、遠隔制御装置または医療装置のいずれかに統合されるかまたは取り付けられてもよい。さらに代替的に、遠隔制御装置および医療装置は、それぞれ、統合されたまたは取り付けられたセキュリティモジュールを備えてもよい。

【0012】

医療システムを動作させるための方法では、セキュリティモジュールは、制御コマンドが公開鍵によって正しく暗号化されていないとセキュリティモジュールによって結論または判定された場合、制御コマンドが医療装置に送信されるのを防止することができる。また、受信した暗号化制御コマンドが遠隔制御装置によって送信されていないとセキュリティモジュールによって判定された場合、制御コマンドの送信が防止されることができる。それに応答して、セキュリティモジュールは、暗号化制御コマンドおよび／または復号された制御コマンドを削除することができ、それにより、そのようなデータのセキュリティモジュールへの記憶を防止する。

【0013】

セキュリティモジュール暗号化制御コマンドは、セキュリティモジュールから医療装置に直接送信されてもよい。代替の実施形態では、セキュリティモジュール暗号化制御コマンドは、遠隔制御装置および／または何らかの中間装置を介してセキュリティモジュールから医療装置に間接的に送信される。

【0014】

非対称暗号のための一対の鍵は、セキュリティモジュールの製造時にセキュリティモジュールに記憶されてもよい。製造後にセキュリティモジュールに一対の鍵を提供する場合、セキュリティモジュールがフィールドに持ち込まれる（例えば、顧客またはユーザに配送される）前に行われてもよい。

【0015】

一対の鍵は、セキュリティモジュールと遠隔制御装置との間、ならびに医療装置と遠隔制御装置との間の暗号化および保護されたデータ通信のためのオプションを提供する。遠隔制御装置自体は、秘密鍵を所持していない（ない）。医療装置についても同様である。しかしながら、セキュリティモジュールは、秘密鍵および公開鍵の双方を備えてもよい。セキュリティモジュールは、公開鍵を公衆に提供することができ、その結果、セキュリティモジュールは、最初は公開鍵を備えていなかったがセキュリティモジュールから公開鍵を受信する医療装置および／または遠隔制御装置と通信することができる。

【0016】

医療システムの構成要素は、データ通信のための１つ以上のデータ通信プロトコルを備えることができる。遠隔制御装置とセキュリティモジュールとの間のデータ通信に適用される第１のデータ通信プロトコルが存在してもよい。セキュリティモジュールと医療装置との間のデータ通信のために第２のデータ通信プロトコルが設けられてもよい。代替の実施形態では、同じデータ通信プロトコルが、遠隔制御装置とセキュリティモジュールとの間のデータ通信と、医療装置とセキュリティモジュールとの間のデータ通信との双方に適用されることができる。

【0017】

医療システムの構成要素は、それぞれのシステム構成要素上で実行される１つ以上のソフトウェアアプリケーションによって、暗号化機能および復号機能など、提案された技術のステップまたは手段を実行または実装するための機能を備えている。

【0018】

遠隔制御装置は、医療装置の動作を制御するように構成された制御コマンドを生成および暗号化するためのソフトウェアアプリケーションを備えることができる。そのような制御コマンドは、医療装置制御コマンドとも称されることがある。遠隔制御装置上でそのようなソフトウェアアプリケーションを使用する前に、ユーザは、そのようなものとして知られている２要素認証において異なる方法で「正常に通過する」ことを要求されることができる。同様に、ユーザがセキュリティモジュールおよび／または医療装置を使用することを許可される前に、２要素認証が適用されることができる。

【0019】

本方法では、セキュリティモジュール暗号化医療装置を生成することは、暗号化制御コマンドにコマンドセキュリティチェックを適用することであって、制御コマンドが、セキュリティモジュールに提供された承認済みコマンド制御情報にしたがって医療装置の遠隔制御のために承認された承認済み制御コマンドであるかどうかを判定することを含む、コマンドセキュリティチェックを適用することと、制御コマンドが承認された制御コマンドであると判定された場合、セキュリティモジュール暗号化制御コマンドを生成することと、をさらに含むことができる。コマンドセキュリティチェックでは、セキュリティモジュールは、受信した制御コマンドが医療装置に対して許可されているかどうかを判定する。制御コマンドを受信した遠隔制御装置が、制御コマンドを医療装置に送信または適用することを許可されているかどうかが確認されることができる。セキュリティモジュールで提供される承認済みコマンド制御情報（データ）は、医療装置に適用されることが許可された１つ以上の制御コマンドおよび／または遠隔制御装置のみに許可された制御コマンドを識別することとすることができる。また、承認済みコマンド制御情報により、遠隔制御装置によって適用できない制御コマンドが示されてもよい。コマンドセキュリティチェックは、制御コマンドによって提供または定義された制御データ（制御信号）が、ポンプを備える医療装置によって送達または適用されるポンプ容積の限界などの承認された限界内にあるかどうかを判定することを含むことができる。例えば、制御コマンドによって定義された量のインスリンの送達が量制限内であるかどうかが確認されることができる。

【0020】

セキュリティモジュール暗号化制御コマンドを生成することは、暗号化制御コマンドのエラー検出チェックを適用することであって、制御コマンドが遠隔制御装置によって正しく暗号化されたかどうかを判定することを含む、エラー検出チェックを適用することと、制御コマンドが正しく暗号化されている場合、セキュリティモジュール暗号化制御コマンドを生成することと、をさらに含むことができる。エラー検出チェックは、データの偶発的な変更を検出するためにデジタルネットワークまたは記憶装置で使用されるエラー検出コードである巡回冗長検査（ＣＲＣ）を含むことができる。ＣＲＣチェックは、そのようなものとして知られており、医療システムにおけるデータ通信のセキュリティをさらに向上させるために適用されることができる。

【0021】

本方法では、セキュリティモジュール暗号化制御コマンドを生成することは、暗号化制御コマンドに装置セキュリティチェックを適用することであって、セキュリティモジュールに提供された承認済み装置制御情報にしたがって、制御コマンドが医療装置の遠隔制御について承認された承認済み遠隔制御装置から受信されたかどうかを判定することを含む、装置セキュリティチェックを適用することと、遠隔制御装置が承認済み遠隔制御装置であると判定された場合、セキュリティモジュール暗号化制御コマンドを生成することと、をさらに含むことができる。装置セキュリティチェックは、医療装置の動作を遠隔制御するために許可または承認された１つ以上の遠隔制御装置を識別する承認済み装置制御情報に基づいてセキュリティモジュールに適用されることができる。承認済み装置制御情報は、セキュリティモジュールのローカルストレージまたはメモリに記憶されることができる。あるいは、セキュリティモジュールは、遠隔サーバ装置から無線データ通信を介してそのような情報を受信することができる。

【0022】

本方法は、医療装置において、コマンドセキュリティチェック、エラー検出チェック、および装置セキュリティチェックのうちの少なくとも１つのセキュリティモジュール暗号化制御コマンドを適用することをさらに含むことができる。セキュリティモジュール内の暗号化制御コマンドとともに適用するために説明された異なるチェックは、データ通信に関するセキュリティをさらに改善し、医療装置の動作を制御するために、医療装置自体のセキュリティモジュール暗号化制御コマンドに適用されることができる。例えば、装置セキュリティチェックは、セキュリティモジュール暗号化制御コマンドが受信されたセキュリティモジュールが、そのようなコマンドを医療装置に送信することを承認されているかどうかを判定するように構成されることができる。

【0023】

非対称暗号化のための一対の鍵を提供することは、セキュリティモジュール内の読み出し専用データメモリに秘密鍵を提供することを含んでもよい。「読み出し専用メモリ」として特徴付けられる記憶装置は、それ自体異なるタイプで利用可能である。読み出し専用データメモリは、例えば、マイクロプロセッサなどの半導体装置の固有の識別情報として機能する物理的に定義された「デジタル指紋」である物理的複製困難機能（ＰＵＦ）によって実装されてもよい。ＰＵＦは、物理的構造で具現化された物理的エンティティである。ＰＵＦは、通常、集積回路に実装される。非対称暗号化のための秘密鍵は、専用のメモリ割り当てに記憶されることができる。非対称暗号化のための秘密鍵および／または公開鍵は、ＥＥＰＲＯＭ、すなわち電気的に消去可能なプログラム可能な読み出し専用メモリに記憶されることができる。

【0024】

本方法は、遠隔制御装置および医療装置の一方に装置構成要素としてセキュリティモジュールを設けることをさらに含むことができる。セキュリティモジュールは、遠隔制御装置または医療装置とともに実装されてもよい。例えば、セキュリティモジュールは、そのような装置のうちの１つのプラグイン構成要素であってもよい。セキュリティモジュールで提供される機能を実装するために、１つ以上のソフトウェアアプリケーションが遠隔制御装置または医療装置上で実行されてもよい。

【0025】

本方法は、遠隔制御装置および医療装置から分離された携帯型装置としてセキュリティモジュールを提供することをさらに含むことができる。そのような実施形態では、セキュリティモジュールは、遠隔制御装置および医療装置の双方から分離された携帯型装置によって提供される。携帯型装置は、１つ以上のデータ通信プロトコルを適用する遠隔制御装置および医療装置との無線データ通信を有するように構成される。

【0026】

本方法では、装置制御コマンドまたは修正制御コマンドを確認することは、遠隔制御装置、セキュリティモジュール、および医療装置の少なくとも１つに設けられたユーザインターフェースの出力装置を介してコマンドユーザ情報を出力することであって、コマンドユーザ情報が、装置制御コマンドまたは修正装置制御コマンドを示す、コマンドユーザ情報を出力することと、ユーザインターフェースの入力装置を介してユーザ確認入力を受信することと、を含むことができる。ユーザインターフェースは、ユーザ情報またはデータなどの情報またはデータを出力し、ユーザ入力を受信することを可能にする。それは、１つ以上のソフトウェアおよびハードウェア構成要素によって実装されてもよい。医療システムのユーザインターフェースは、遠隔制御装置、セキュリティモジュール、および医療装置などのシステム構成要素を備えた別個のユーザインターフェースを備えてもよい。コマンドユーザ情報は、出力装置によって出力されたオーディオおよび／またはビデオデータによって提供されてもよい。出力装置は、例えば、１つ以上の（着色された）ランプなどのシグナリング装置を備えることができる。医療システムのシステム構成要素の１つ以上においてユーザ入力を受信するために、スイッチ、ボタン、タッチセンシティブ装置、および／または音声記録などの様々なタイプの入力装置が使用されることができる。ユーザインターフェースを含むそれぞれのシステム構成要素は、さらなる処理のために、ユーザインターフェースを介して受信したユーザ確認入力をセキュリティモジュールおよび／または医療装置に送信するようにさらに構成されることができる。

【0027】

本方法では、動作を制御することは、医療用ポンプ装置、インスリンポンプ、および血糖測定装置の群から選択される医療装置の動作を制御することをさらに含むことができる。

【0028】

遠隔制御装置は、携帯型の制御装置であってもよい。制御装置は、携帯型であってもよい。例えば、消費者電子装置は、携帯電話、タブレットコンピュータ、およびラップトップなどの遠隔制御装置を実装することができる。

【0029】

上記の方法について説明した実施形態は、医療システムおよび／またはセキュリティモジュールに準用することができる。

【0030】

さらなる実施形態の説明
以下、図を参照することによりさらなる実施形態を説明する。

【図面の簡単な説明】

【0031】

【図1】遠隔制御装置、セキュリティモジュール、および医療装置を備える医療システムの概略図である。

【図2】医療システムを動作させる方法の概略フロー図である。

【発明を実施するための形態】

【0032】

図１は、以下の構成要素：遠隔制御装置２、セキュリティモジュールまたは装置３、および医療装置４を備える医療システム１の概略図を示している。医療装置４は、例えば、インスリンポンプなどの薬剤を送達するためのポンプ、医療データを収集または収集するためのセンサ装置などの測定装置、または体液のサンプルを判定するための装置などの分析装置を備えることができる。医療システム１のそのような構成要素は、無線および／または有線データ通信のための１つ以上のデータ通信プロトコルを備える。ブルートゥースまたは近距離通信（ＮＦＣ）などの医療システム１の構成要素間のデータ通信を実装するために、そのようなものとして利用可能な異なる技術が適用されることができる。データまたは情報の暗号化および復号などの異なる機能を提供するために、医療システム１の構成要素に異なるソフトウェアアプリケーションが実装されることができる。他の機能は、データ送信、データ受信、データ記憶、およびデータ処理を指す。医療システム１の構成要素のそれぞれは、電子データを処理するように構成された１つ以上のデータプロセッサを備えることができる。また、構成要素は、電子データをローカルに記憶するための１つ以上の記憶装置を有することができる。さらに、データは、１つ以上の遠隔サーバ装置から受信および／または１つ以上の遠隔サーバ装置に送信されることができる。

【0033】

遠隔制御装置２は、携帯電話、タブレットコンピュータ、ラップトップなどの消費者電子装置として提供されてもよい。医療装置４の動作を制御するように構成された制御コマンド（装置制御コマンドまたは医療装置制御コマンドとも呼ばれる）を少なくとも生成するために、遠隔制御装置２上でソフトウェアアプリケーションが実行されている。制御コマンドは、動作モードにおいて医療装置４に提供される少なくとも１つの機能を制御するように構成されている。遠隔制御装置２は、ユーザが制御コマンドを生成するための機能を提供するソフトウェアアプリケーションを使用することを許可される前に、２要素認証を適用するように構成されてもよい。

【0034】

図１に示す実施形態では、医療システム１の構成要素は、分離されたシステム構成要素として示されている。代替の実施形態では、セキュリティモジュール３は、遠隔制御装置２および医療装置４のうちの１つ、例えばプラグイン装置構成要素の一部であってもよい。

【0035】

図２を参照して、遠隔制御装置２、セキュリティモジュール３、および医療装置４を備える医療システム１の動作方法について説明する。ステップ２０において、非対称暗号化のための一対の鍵が医療システム１に提供される。一対の鍵は、公開鍵および秘密鍵を含む。医療システム１の暗号インフラストラクチャは、非対称暗号のための１つ以上のさらなる一対の鍵を備えることができる。一対の鍵の公開鍵は、少なくとも遠隔制御装置２および医療４の双方に設けられる。公開鍵のコピーもセキュリティモジュール２において利用可能とすることができる。秘密鍵は、セキュリティモジュール３に設けられる。結論として、遠隔制御装置２も医療装置４も、説明した実施形態ではセキュリティモジュール３に保持されている秘密鍵を受信していないか、または秘密鍵にアクセスしていない。一対の鍵は、医療システム１におけるセキュリティモジュール２に割り当てられる。

【0036】

モード制御装置２のユーザが医療装置４の動作の制御を適用したい場合、遠隔制御装置２において受信されたユーザ入力に応答して、ステップ２１において、遠隔制御装置２上で実行されているソフトウェアアプリケーションによって制御コマンドが生成される。制御コマンドは、医療装置４の動作を制御するように構成される。例えば、制御コマンドは、医療装置４による薬剤の適用を制御するために提供されてもよい。例えば、医療装置４がインスリンなどの薬剤を送達するためのポンプ装置を備える場合、ポンプ制御コマンドが生成され、例えば、ある量の薬剤がポンプ装置によって送達されることになる。

【0037】

続いて、ステップ２２において、暗号化制御コマンドが、制御コマンドに公開鍵を適用することによって遠隔制御装置２において生成される。

【0038】

ステップ２３において、遠隔制御装置２からセキュリティモジュール３に暗号化制御コマンドが送信される。ステップ２４において、セキュリティモジュール３は、秘密鍵を適用することによって暗号化制御コマンドを復号している。その際、セキュリティモジュール３により、公開鍵を適用することによって制御コマンドが正しく暗号化されたかどうかが判定される。さらに、セキュリティモジュール３は、遠隔制御装置２から暗号化制御コマンドを受信したかどうかを確認してもよい。セキュリティモジュール３は、遠隔制御装置２が医療装置４に制御コマンドを提供することを承認されていることを確認することができる。承認済み遠隔制御装置に関する情報は、セキュリティモジュール３の記憶装置に提供されてもよい。代替的または追加的に、そのような情報は、遠隔サーバ装置から受信されてもよい。セキュリティモジュール３はまた、遠隔制御装置２から受信した暗号化制御コマンドに対してエラー検出チェックを適用してもよい。例えば、巡回冗長検査（ＣＲＣ）チェックが実行されてもよい。１つ以上のセキュリティチェックは、セキュリティモジュール３によって適用されてもよい。

【0039】

セキュリティモジュール３において、受信された制御コマンドがセキュリティチェックのうちの１つ以上によって正しい（許可された）と判定されたことが確認された場合、セキュリティモジュール３は、ステップ２４において、制御コマンドまたは制御コマンドから導出された修正制御コマンドに秘密鍵を適用することによってセキュリティモジュール暗号化制御コマンドを生成する。例えば、修正制御コマンドは、１つ以上の動作パラメータを許容される制限に制限することができ、そのような動作パラメータは、医療装置４に対して許容されない制御コマンド内の制限を示す。セキュリティモジュール暗号化制御コマンドは、ステップ２５において、セキュリティモジュール３から医療装置４に送信される。これに応答して、医療装置４は、公開鍵を適用することによってセキュリティモジュール暗号化制御コマンドを復号する。

【0040】

ステップ２６において、制御コマンドまたは修正制御コマンドのうちの１つに応じて、医療装置４の動作が制御される。そのような動作の制御は、制御コマンドまたは修正制御コマンドがユーザ確認によって確認された場合に適用される。そのようなユーザ確認は、医療システム１のユーザインターフェースを備える出力装置を介して、装置制御コマンドまたは修正装置制御コマンドを示すコマンドユーザ情報を出力することに応答して受信される。そのようなコマンドユーザ情報によって、ユーザは、医療装置４に適用されることが意図された制御コマンド／修正制御コマンドについて通知される。ユーザは、そのような制御コマンドが適用されるか否かを確認することができる。医療システム１のユーザインターフェースの入力装置を介してユーザ確認入力を入力することによって、ユーザは、制御コマンドが適用されることができることを確認している。

【0041】

コマンドユーザ情報は、オーディオ／ビデオデータとともに提供されてもよい。コマンドユーザ情報は、遠隔制御装置２、セキュリティモジュール３、または医療装置４のいずれかの出力装置を介して出力されてもよい。コマンドユーザ情報をユーザに提供するために、オーディオデータおよび／またはビデオデータが出力されてもよい。例えば、コマンドユーザ情報は、制御コマンドによって制御される医療装置４の機能をユーザに示すことができる。また、コマンドユーザ情報は、制御コマンドにしたがって、医療装置４を動作させるために適用されるべき１つ以上の制御パラメータを示してもよい。動作パラメータについて、パラメータの制限は、コマンドユーザ情報によって示されてもよい。

【0042】

コマンドユーザ情報出力は、暗号化制御コマンドの受信に応答してセキュリティモジュール３において生成されてもよい。代替的または追加的に、コマンドユーザ情報は、セキュリティモジュール暗号化制御コマンドを受信した後に医療装置４によって生成および出力されてもよい。したがって、制御コマンドまたは修正制御コマンドにしたがって医療装置４の動作を制御することは、ユーザ入力確認を受信した後にのみ適用される。

【0043】

遠隔制御装置２のみが制御コマンドを生成する機能を備え、セキュリティモジュール３は備えないことが提供されてもよい。一方、セキュリティモジュール３のみに秘密鍵が備えられる。したがって、セキュリティモジュール３（遠隔制御装置２とは異なる）のみが、医療装置４の動作を実際に制御するために医療装置４において復号可能なセキュリティモジュール暗号化制御コマンドを生成することが可能となる。そのような制御コマンドは遠隔制御装置２から受信されるため、セキュリティモジュール３に制御コマンドを生成するための機能が提供される必要も要件もない。したがって、セキュリティモジュール３には、制御コマンドを生成する機能がない。

【図1】

【図2】