特表 2024-539810 植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのコンピュータ実装方法及びシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-10-31

(54)【発明の名称】植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのコンピュータ実装方法及びシステム

(51)【国際特許分類】

   G06F 21/51 20130101AFI20241024BHJP

   G06F 21/31 20130101ALI20241024BHJP

【ＦＩ】

G06F21/51

G06F21/31

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2024506703

(86)(22)【出願日】2022-11-10

(85)【翻訳文提出日】2024-03-13

(86)【国際出願番号】 EP2022081499

(87)【国際公開番号】W WO2023088782

(87)【国際公開日】2023-05-25

(31)【優先権主張番号】21209161.5

(32)【優先日】2021-11-19

(33)【優先権主張国・地域又は機関】EP

(81)【指定国・地域】

(71)【出願人】

【識別番号】512158181

【氏名又は名称】バイオトロニック エスエー アンド カンパニー カーゲー

【氏名又は名称原語表記】ＢＩＯＴＲＯＮＩＫ ＳＥ ＆ Ｃｏ． ＫＧ

【住所又は居所原語表記】Ｗｏｅｒｍａｎｎｋｅｈｒｅ １ １２３５９ Ｂｅｒｌｉｎ Ｇｅｒｍａｎｙ

(74)【代理人】

【識別番号】110000855

【氏名又は名称】弁理士法人浅村特許事務所

(72)【発明者】

【氏名】シュモリンスキー、クラウス

(57)【要約】

本発明は、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０の実行の前にチェックサムがそこから読み取られる、植込み型医療デバイス１２のメモリ・エリア２２に第２のチェックサムＣＲＣ＿Ｂを書き込むステップＳ５を含む、意図しない実行に対して、植込み型医療デバイス１２、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能１０を保護するためのコンピュータ実装方法に関する。さらに、本発明は、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０を保護するためのシステムに関する。さらに、本発明は、コンピュータ・プログラム及びコンピュータ可読データ・キャリアに関する。

【特許請求の範囲】

【請求項1】

意図しない実行に対して、植込み型医療デバイス（１２）、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能（１０）を保護するためのコンピュータ実装方法であって、前記方法は、
前記植込み型医療デバイス（１２）の患者クリティカルなファームウェア機能（１０）の実行の要求（１４）を受信するステップ（Ｓ１）と、
前記要求（１４）に関連付けられたユーザが、前記患者クリティカルなファームウェア機能（１０）を実行することを許可されていることを検証するステップ（Ｓ２）と、
前記要求（１４）に関連付けられた前記ユーザが許可されているとして検証された場合、前記植込み型医療デバイス（１２）の第１のメモリ・エリア（１６）から第１のチェックサム（ＣＲＣ＿Ａ）を読み取るステップ（Ｓ３ａ）、又は前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）のコード・エリア（１８）の一部として第１のチェックサム（ＣＲＣ＿Ａ）を与えるステップ（Ｓ３ｂ）であって、前記第１のチェックサム（ＣＲＣ＿Ａ）が、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた正しいチェックサム（ＣＲＣ＿ＯＫ）に一致しない、第１のチェックサム（ＣＲＣ＿Ａ）を読み取るステップ（Ｓ３ａ）又は第１のチェックサム（ＣＲＣ＿Ａ）を与えるステップ（Ｓ３ｂ）と、
前記植込み型医療デバイス（１２）の第２のメモリ・エリア（２０）から第２のチェックサム（ＣＲＣ＿Ｂ）を読み取るステップ（Ｓ４）であって、前記第２のチェックサム（ＣＲＣ＿Ｂ）が、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた前記正しいチェックサム（ＣＲＣ＿ＯＫ）に一致する、第２のチェックサム（ＣＲＣ＿Ｂ）を読み取るステップ（Ｓ４）と、
前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の実行前にチェックサムがそこから読み取られる、前記植込み型医療デバイス（１２）の第３のメモリ・エリア（２２）に前記第２のチェックサム（ＣＲＣ＿Ｂ）を書き込むステップ（Ｓ５）と、
前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた前記正しいチェックサム（ＣＲＣ＿ＯＫ）を計算し、前記正しいチェックサム（ＣＲＣ＿ＯＫ）を前記第２のチェックサム（ＣＲＣ＿Ｂ）と比較するステップ（Ｓ６）と、
前記第２のチェックサム（ＣＲＣ＿Ｂ）と前記正しいチェックサム（ＣＲＣ＿ＯＫ）とが一致する場合、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）を実行するステップ（Ｓ７）と
を含む、コンピュータ実装方法。

【請求項2】

前記植込み型医療デバイス（１２）の前記第１のメモリ・エリア（１６）からの前記第１のチェックサム（ＣＲＣ＿Ａ）の前記読取り（Ｓ３ａ）、又は前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の前記コード・エリア（１８）の一部としての前記第１のチェックサム（ＣＲＣ＿Ａ）の前記提供（Ｓ３ｂ）と、前記植込み型医療デバイス（１２）の前記第２のメモリ・エリア（２０）からの前記第２のチェックサム（ＣＲＣ＿Ｂ）の前記読取り（Ｓ４）と、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の実行前に前記チェックサムがそこから読み取られる、前記植込み型医療デバイス（１２）の前記第３のメモリ・エリア（２２）への前記第２のチェックサム（ＣＲＣ＿Ｂ）の前記書込み（Ｓ５）と、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた前記正しいチェックサム（ＣＲＣ＿ＯＫ）の前記計算（Ｓ６）と、前記正しいチェックサム（ＣＲＣ＿ＯＫ）と前記第２のチェックサム（ＣＲＣ＿Ｂ）との前記比較と、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の前記実行（Ｓ７）とが、割込み不可能な複合コマンド（２４）によって実行される、請求項１に記載のコンピュータ実装方法。

【請求項3】

前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の前記複合コマンド（２４）の実行中に、前記第２のチェックサム（ＣＲＣ＿Ｂ）が前記第１のチェックサム（ＣＲＣ＿Ａ）によって上書きされ、前記第１のチェックサム（ＣＲＣ＿Ａ）が、メモリ・バッファ（２６ａ）から読み取られるか、又は前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）のさらなるコード・エリア（２６ｂ）から読み取られる、請求項２に記載のコンピュータ実装方法。

【請求項4】

前記第１のチェックサム（ＣＲＣ＿Ａ）によって前記第２のチェックサム（ＣＲＣ＿Ｂ）を上書きした後に、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の前記複合コマンド（２４）が終了される、請求項３に記載のコンピュータ実装方法。

【請求項5】

前記第２のチェックサム（ＣＲＣ＿Ｂ）が、前記植込み型医療デバイス（１２）のハードウェア読取り専用レジスタから読み取られ、前記第２のチェックサム（ＣＲＣ＿Ｂ）が、巡回冗長検査、ＸＯＲ、係数又は暗号ハッシュ、特に、ＭＤ５、ＳＨＡ－１又はＳＨＡ－２である、請求項１から４のいずれか一項に記載のコンピュータ実装方法。

【請求項6】

前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）が、プログラマー（３０）のグラフィカル・ユーザ・インターフェース、又はモバイル・デバイス（３２）、特にスマートフォン又はタブレット・デバイス上で動作するアプリにアクセスすることによって実行され、前記プログラマー（３０）又は前記モバイル・デバイス（３２）が、前記植込み型医療デバイス（１２）とワイヤレスで通信するように構成された、請求項１から５のいずれか一項に記載のコンピュータ実装方法。

【請求項7】

ユーザ認証プロシージャが、パスワード入力を含むか、又は、パスワード入力と、前記プログラマー（３０）に対する追加のセキュリティ機能、又は前記プログラマー（３０）を制御するように構成されたウェブインターフェースとを含む２ファクタ認証を含み、前記ユーザ・セッションがセッションＩＤとタイムスタンプとを含む、請求項６に記載のコンピュータ実装方法。

【請求項8】

前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた前記正しいチェックサム（ＣＲＣ＿ＯＫ）が、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の実行の前に、事前定義されたタイム・スパン、特に、最高５００ｍｓ以内に計算され、前記第２のチェックサム（ＣＲＣ＿Ｂ）と比較される、請求項１から７のいずれか一項に記載のコンピュータ実装方法。

【請求項9】

前記第２のチェックサム（ＣＲＣ＿Ｂ）が、前記植込み型医療デバイス（１２）の工場初期設定において、事前定義されたメモリ・セルに書き込まれ、前記メモリ・セルが、事前定義されたレジスタ・コードを実行することによってアクセス可能である、請求項１から８のいずれか一項に記載のコンピュータ実装方法。

【請求項10】

意図しない実行に対して、植込み型医療デバイス（１２）、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能（１０）を保護するためのシステム（１）であって、前記システムは、
植込み型医療デバイス（１２）とプログラマー（３０）とを備え、前記植込み型医療デバイス（１２）が、前記プログラマー（３０）による前記植込み型医療デバイス（１２）の患者クリティカルなファームウェア機能（１０）の実行の要求（１４）を受信するように構成され、
前記植込み型医療デバイス（１２）は、前記要求（１４）に関連付けられたユーザが、前記患者クリティカルなファームウェア機能（１０）を実行することを許可されていることを検証するように構成され、
前記植込み型医療デバイス（１２）が、前記植込み型医療デバイス（１２）の第１のメモリ・エリア（１６）から第１のチェックサム（ＣＲＣ＿Ａ）を読み取るように、又は前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）のコード・エリア（１８）の一部として第１のチェックサム（ＣＲＣ＿Ａ）を与えるように構成され、
前記第１のチェックサム（ＣＲＣ＿Ａ）が、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた正しいチェックサム（ＣＲＣ＿ＯＫ）に一致せず、
前記植込み型医療デバイス（１２）が、前記植込み型医療デバイス（１２）の第２のメモリ・エリア（２０）から第２のチェックサム（ＣＲＣ＿Ｂ）を読み取るように構成され、
前記第２のチェックサム（ＣＲＣ＿Ｂ）が、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた前記正しいチェックサム（ＣＲＣ＿ＯＫ）に一致し、
前記植込み型医療デバイス（１２）は、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）の実行の前にチェックサムがそこから読み取られる、前記植込み型医療デバイス（１２）の第３のメモリ・エリア（２２）に前記第２のチェックサム（ＣＲＣ＿Ｂ）を書き込むように構成され、
前記植込み型医療デバイス（１２）が、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）に関連付けられた前記正しいチェックサム（ＣＲＣ＿ＯＫ）を計算し、前記正しいチェックサム（ＣＲＣ＿ＯＫ）を前記第２のチェックサム（ＣＲＣ＿Ｂ）と比較するように構成され、前記植込み型医療デバイス（１２）は、前記第２のチェックサム（ＣＲＣ＿Ｂ）と前記正しいチェックサム（ＣＲＣ＿ＯＫ）とが一致する場合に、前記植込み型医療デバイス（１２）の前記患者クリティカルなファームウェア機能（１０）を実行するように構成された、システム。

【請求項11】

コンピュータ・プログラムがコンピュータ上で実行されたときに、請求項１から９のいずれか一項に記載の方法を実行するためのプログラム・コードを有するコンピュータ・プログラム。

【請求項12】

前記コンピュータ・プログラムがコンピュータ上で実行されたときに、請求項１から９のいずれか一項に記載の方法を実行するためのコンピュータ・プログラムのプログラム・コードを含んでいる、コンピュータ可読データ・キャリア。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、意図しない実行に対して、植込み型（ｉｍｐｌａｎｔａｂｌｅ）医療デバイス、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能を保護するためのコンピュータ実装方法に関する。

【0002】

さらに、本発明は、意図しない実行に対して、植込み型医療デバイス、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能を保護するためのシステムに関する。

【背景技術】

【0003】

インプラント、たとえば、ＩＣＤ、Ｓ－ＩＣＤ、ＩＰＧ、ｉＬＰ、又は同様の能動型インプラントの、Ｂｒａｄｙ＿ＯＦＦ＿Ｍｏｄｅ、Ｔｈｅｒａｐｙ＿ＯＦＦ＿Ｓｔａｔｅなど、患者クリティカルなファームウェア機能は、内部ファームウェア・エラー及び／又はサイバー攻撃による誤用による意図しない実行から保護されなければならない。

【0004】

欧州特許出願公開３７９１９２５Ａ１号明細書は、無鉛ペースメーカーを心臓組織に固定するための少なくとも１つの固定要素と、前記固定要素が、通信ユニットによって生成された信号を外部デバイスに送信し、及び／又は外部デバイスから信号を受信するための通信アンテナとして働くように構成されるように、前記固定要素に電気的に接続された通信ユニットと、心臓組織を電気的に刺激するための電気信号を生成するための治療ユニットとを備え、前記固定要素が、心臓組織を電気的に刺激し、及び／又は心臓組織の電気信号を感知するための電極として働くように構成された、無鉛ペースメーカーを開示している。

【0005】

現在、そのようなインプラントでは、いくつかのファームウェア機能は、たとえば、実行前のビットフリップによる潜在的なコード改変を検査し、それによってそれらの実行を防ぐために適切なチェックサムを用いて保護される。しかしながら、通常のファームウェア機能と、セキュリティの追加のレイヤによって保護されるべきである上述の患者クリティカルなファームウェア機能との間の区別は行われていない。

【先行技術文献】

【特許文献】

【0006】

【特許文献1】欧州特許出願公開第３７９１９２５Ａ１号明細書

【発明の概要】

【発明が解決しようとする課題】

【0007】

したがって、本発明の目的は、意図しない実行に対して植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するための改善された方法を提供することである。

【0008】

その目的は、請求項１に記載の特徴を有する植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのコンピュータ実装方法によって解決される。

【0009】

その目的は、さらに、請求項１０に記載の特徴を有する植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのシステムによって解決される。

【0010】

さらに、その目的は、請求項１１に記載のコンピュータ・プログラムと、請求項１２に記載のコンピュータ可読データ・キャリアとによって解決される。さらなる開発及び有利な実施例は従属クレームにおいて定義される。

【課題を解決するための手段】

【0011】

本発明は、意図しない実行に対して、植込み型医療デバイス、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能を保護するためのコンピュータ実装方法を提供する。

【0012】

本方法は、植込み型医療デバイスの患者クリティカルなファームウェア機能の実行の要求を受信することと、要求に関連付けられたユーザが、患者クリティカルなファームウェア機能を実行することを許可されていることを検証することとを含む。

【0013】

さらに、本方法は、要求に関連付けられたユーザが許可されているとして検証された場合に、植込み型医療デバイスの第１のメモリ・エリアから第１のチェックサムを読み取ること、又は植込み型医療デバイスの患者クリティカルなファームウェア機能のコード・エリアの一部として第１のチェックサムを与えることであって、第１のチェックサムが、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムに一致しない、第１のチェックサムを読み取ること又は第１のチェックサムを与えることを含む。

【0014】

本方法は、さらに、植込み型医療デバイスの第２のメモリ・エリアから第２のチェックサムを読み取ることであって、第２のチェックサムが、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムに一致する、第２のチェックサムを読み取ることと、植込み型医療デバイスの患者クリティカルなファームウェア機能の実行の前にチェックサムがそこから読み取られる、植込み型医療デバイスの第３のメモリ・エリアに第２のチェックサムを書き込むこととを含む。

【0015】

その上、本方法は、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムを計算し、正しいチェックサムを第２のチェックサムと比較することと、第２のチェックサムと正しいチェックサムとが一致する場合に、植込み型医療デバイスの患者クリティカルなファームウェア機能を実行することとを含む。

【0016】

さらに、本発明は、意図しない実行に対して、植込み型医療デバイス、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能を保護するためのシステムを提供する。

【0017】

本システムは、植込み型医療デバイスとプログラマーとを備え、植込み型医療デバイスは、プログラマーによる植込み型医療デバイスの患者クリティカルなファームウェア機能の実行の要求を受信するように構成され、植込み型医療デバイスは、要求に関連付けられたユーザが、患者クリティカルなファームウェア機能を実行することを許可されていることを検証するように構成され、植込み型医療デバイスは、植込み型医療デバイスの第１のメモリ・エリアから第１のチェックサムを読み取るように、又は植込み型医療デバイスの患者クリティカルなファームウェア機能のコード・エリアの一部として第１のチェックサムを与えるように構成され、第１のチェックサムは、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムに一致しない。

【0018】

植込み型医療デバイスは、植込み型医療デバイスの第２のメモリ・エリアから第２のチェックサムを読み取るように構成され、第２のチェックサムは、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムに一致する。さらに、植込み型医療デバイスは、植込み型医療デバイスの患者クリティカルなファームウェア機能の実行の前にチェックサムがそこから読み取られる、植込み型医療デバイスの第３のメモリ・エリアに第２のチェックサムを書き込むように構成される。

【0019】

植込み型医療デバイスは、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムを計算し、正しいチェックサムを第２のチェックサムと比較するように構成され、植込み型医療デバイスは、第２のチェックサムと正しいチェックサムとが一致する場合に、植込み型医療デバイスの患者クリティカルなファームウェア機能を実行するように構成される。

【0020】

その上、本発明は、コンピュータ・プログラムがコンピュータ上で実行されたときに、本発明による方法を実行するためのコンピュータ・プログラムのプログラム・コードを含んでいるコンピュータ可読データ・キャリアを提供する。

【0021】

本発明のアイデアは、デフォルトでは常に不正確である、患者クリティカルなファームウェア機能に極めてセキュアなチェックサムを与えることである。

【0022】

このことは、内部エラー又はサイバー攻撃により、たとえば、プログラマー又はカーディオメッセンジャーを介してリモートで、クリティカルなファームウェア機能、たとえばＩＰＧのＯＦＦモード、ＩＣＤのＴｈｅｒａｐｙ＿ＯＦＦ状態などのプログラミングをインプラント・ファームウェアが偶発的に又は意図的に開始することを確実に防ぎ、前記カーディオメッセンジャーは、インプラントによって送られたメッセージ及び／又はデータを、移動無線を介してホーム・モニタリング・サービス・センター（ＨＭＳＣ：Ｈｏｍｅ Ｍｏｎｉｔｏｒｉｎｇ Ｓｅｒｖｉｃｅ Ｃｅｎｔｅｒ）に転送する外部ＢＩＯＴＲＯＮＩＫデバイスである。

【0023】

たとえばＩＰＧのＯＦＦ＿ｍｏｄｅ、ＩＣＤのＴｈｅｒａｐｙ＿ＯＦＦ状態などのプログラミングは、したがって、チェックサム検査がこれらの機能の実行に常に先行することを必要とする。

【0024】

このチェックサムが、クリティカルな機能が実行される直前に、ファームウェアによって常に検査されることが、コードにおいて保証される。これが正しくない場合、機能は実行されず、たとえば、不正な実行の試みが内部ファームウェア・ログ・ブックに報告され、これは、たとえばフォローアップ中に、又は技術的なＨＭＳＣメッセージにおける送信によってＢＩＯＴＲＯＮＩＫに送信され得る。したがって、たとえば、試みられたサイバー攻撃は前記監視によってキャプチャすることができる。

【0025】

適切な強い許可、たとえば、医師又は許可されたユーザによるプログラマーへのパスワード入力によって、正しくないチェックサムは、機能が使用される直前に、正しいチェックサムのみによって常に置き換えられ、それにより、クリティカルな機能の実行が可能になり、許容されるようになる。

【0026】

本発明の一態様によれば、植込み型医療デバイスの第１のメモリ・エリアからの第１のチェックサムの読取り、又は植込み型医療デバイスの患者クリティカルなファームウェア機能のコード・エリアの一部としての第１のチェックサムの提供と、植込み型医療デバイスの第２のメモリ・エリアからの第２のチェックサムの読取りと、植込み型医療デバイスの患者クリティカルなファームウェア機能の実行の前にチェックサムがそこから読み取られる、植込み型医療デバイスの第３のメモリ・エリアへの第２のチェックサムの書込みと、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムの計算と、正しいチェックサムと第２のチェックサムとの比較と、植込み型医療デバイスの患者クリティカルなファームウェア機能の実行とは、割込み不可能な複合コマンドによって実行される。このように、前記方法ステップは割込み不可能であり、その結果、セキュリティの追加のレイヤが生じる。

【0027】

本発明のさらなる態様によれば、植込み型医療デバイスの患者クリティカルなファームウェア機能の複合コマンドの実行中に、第２のチェックサムは第１のチェックサムによって上書きされ、前記第１のチェックサムはメモリ・バッファから又は植込み型医療デバイスの患者クリティカルなファームウェア機能のコード・エリアから読み取られる。第１のチェックサムによって第２のチェックサムを上書きすることによって、患者クリティカルなファームウェア機能の実行はもはや可能にされない。

【0028】

本発明のさらなる態様によれば、第１のチェックサムによって第２のチェックサムを上書きした後に、植込み型医療デバイスの患者クリティカルなファームウェア機能の複合コマンドは終了される。複合コマンドの実行は、一般に、植込み型医療デバイスの指定された機能を有効又は無効にするための事前定義されたコマンドの送信を包含するだけなので、実行時間は短い。事前定義されたコマンドが実行されるとすぐに、第２のチェックサムは、それにより、第１のチェックサムによって上書きされ、それにより複合コマンドが効果的に終了される。

【0029】

本発明のさらなる態様によれば、第２のチェックサムは、植込み型医療デバイスのハードウェア読取り専用レジスタから読み取られ、チェックサムは、巡回冗長検査、ＸＯＲ、係数又は暗号ハッシュ、特にＭＤ５、ＳＨＡ－１又はＳＨＡ－２である。これは、有利には、患者クリティカルなファームウェア機能の効果的な保護を与える。

【0030】

本発明のさらなる態様によれば、植込み型医療デバイスの患者クリティカルなファームウェア機能は、プログラマーのグラフィカル・ユーザ・インターフェース、又はモバイル・デバイス、特にスマートフォン又はタブレット・デバイス上で動作するアプリにアクセスすることによって実行され、前記プログラマー又はモバイル・デバイスは、植込み型医療デバイスとワイヤレスで通信するように構成される。したがって、植込み型医療デバイスに複数の様式でアクセスすることができる。

【0031】

本発明のさらなる態様によれば、ユーザ認証プロシージャは、パスワード入力を含むか、又はパスワード入力と、プログラマーに対する追加のセキュリティ機能、又はプログラマーを制御するように構成されたウェブインターフェースとを含む２ファクタ認証を含み、ユーザ・セッションはセッションＩＤとタイムスタンプとを含む。これは、許可されたユーザのみによる植込み型医療デバイスへのアクセスを保証する。

【0032】

本発明のさらなる態様によれば、植込み型医療デバイスの患者クリティカルなファームウェア機能に関連付けられた正しいチェックサムは、植込み型医療デバイスの患者クリティカルなファームウェア機能の実行の前に、事前定義されたタイム・スパン、特に最高５００ｍｓ以内に計算され、第２のチェックサムと比較される。チェックサム計算を行うためのタイム・スパンを制限することによって、セキュリティの追加のレイヤが与えられる。

【0033】

本発明のさらなる態様によれば、第２のチェックサムは、埋込み可能デバイスの工場初期設定において、事前定義されたメモリ・セルに書き込まれ、前記メモリ・セルは、事前定義されたレジスタ・コードを実行することによってアクセス可能である。前記事前定義されたレジスタ・コードは、患者クリティカルなファームウェア機能を実行するためのコードの一部ではないことにより、患者クリティカルなファームウェア機能の偶発的な実行は、したがって、効果的に防止される。

【0034】

植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのコンピュータ実装方法の本明細書で説明した特徴はまた、植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのシステムについて開示しており、その逆も同様である。

【0035】

次に、本発明及び本発明の利点のより完全な理解のために、添付の図面とともに行う以下の説明を参照されたい。図面の概略図において指定された例示的な実施例を使用して、以下で、本発明についてより詳細に説明する。

【図面の簡単な説明】

【0036】

【図1】本発明の好ましい実施例による、植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのコンピュータ実装方法のフローチャートを示す図である。

【図2】本発明の好ましい実施例による、植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのシステムの概略図を示す図である。

【発明を実施するための形態】

【0037】

図１のコンピュータ実装方法は、意図しない実行に対して、植込み型医療デバイス１２、特に、ペースメーカー、除細動器及び／又は神経刺激器の患者クリティカルなファームウェア機能１０を保護するように働く。

【0038】

本方法は、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０の実行の要求１４を受信することＳ１と、要求１４に関連付けられたユーザが、患者クリティカルなファームウェア機能１０を実行することを許可されていることを検証することＳ２とを含む。

【0039】

ユーザが許可されていることが確認された場合、ステップＢにおいて複合コマンド２４が開始される。ユーザが許可されていない場合、患者クリティカルなファームウェア機能１０の使用は拒否される。さらに又は随意に、ステップ１１においてサイバー・ログブックへの入力を行うことができる。これは、ひいては、ステップ１３において（コマンド）要求１４を取り消す。

【0040】

さらに、本方法は、要求１４に関連付けられたユーザが許可されているとして検証された場合に、植込み型医療デバイス１２の第１のメモリ・エリア１６から第１のチェックサムＣＲＣ＿Ａを読み取ることＳ３ａ、又は植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０のコード・エリア１８の一部として第１のチェックサムＣＲＣ＿Ａを与えることＳ３ｂを含む。第１のチェックサムＣＲＣ＿Ａは、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０に関連付けられた正しいチェックサムＣＲＣ＿ＯＫに一致しない。

【0041】

本方法は、さらに、植込み型医療デバイス１２の第２のメモリ・エリア２０から第２のチェックサムＣＲＣ＿Ｂを読み取ることＳ４を含み、第２のチェックサムＣＲＣ＿Ｂは、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０に関連付けられた正しいチェックサムＣＲＣ＿ＯＫに一致する。

【0042】

その上、本方法は、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０の実行の前にチェックサムがそこから読み取られる、植込み型医療デバイス１２の第３のメモリ・エリア２２に第２のチェックサムＣＲＣ＿Ｂを書き込むことＳ５を含む。その後、ステップＣにおいて患者クリティカルなファームウェア機能１０が開始される。

【0043】

さらに、本方法は、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０に関連付けられた正しいチェックサムＣＲＣ＿ＯＫを計算し、正しいチェックサムＣＲＣ＿ＯＫを第２のチェックサムＣＲＣ＿Ｂと比較することＳ６を含む。第２のチェックサムＣＲＣ＿Ｂと正しいチェックサムＣＲＣ＿ＯＫとが一致する場合、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０を実行することＳ７。

【0044】

第２のチェックサムＣＲＣ＿Ｂと正しいチェックサムＣＲＣ＿ＯＫとが一致しない場合、患者クリティカルなファームウェア機能の使用は拒否され、ステップ１５においてエラー・ログへの入力が行われる。さらに、ステップ１７において複合コマンドが取り消される。

【0045】

植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０を読み取るステップＳ３ａ、Ｓ３ｂ、Ｓ４、Ｓ５、Ｓ６及びＳ７は割込み不可能な複合コマンド２４によって実行される。

【0046】

型医療デバイス１２の患者クリティカルなファームウェア機能１０の複合コマンド２４の実行中に、ステップ１９において第２のチェックサムＣＲＣ＿Ｂは第１のチェックサムＣＲＣ＿Ａによって上書きされ、前記第１のチェックサムＣＲＣ＿Ａは、メモリ・バッファ２６ａから読み取られるか、又は植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０のさらなるコード・エリア２６ｂから読み取られる。

【0047】

ステップ１９において第１のチェックサムＣＲＣ＿Ａによって第２のチェックサムＣＲＣ＿Ｂを上書きした後に、ステップ２１において植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０の複合コマンド２４は終了される。

【0048】

第２のチェックサムＣＲＣ＿Ｂは、植込み型医療デバイス１２のハードウェア読取り専用レジスタから読み取られ、第２のチェックサムＣＲＣ＿Ｂは、巡回冗長検査、ＸＯＲ、係数又は暗号ハッシュ、特にＭＤ５、ＳＨＡ－１又はＳＨＡ－２である。

【0049】

植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０は、プログラマー３０のグラフィカル・ユーザ・インターフェース、又はモバイル・デバイス３２、特にスマートフォン又はタブレット・デバイス上で動作するアプリにアクセスすることによって実行され、前記プログラマー３０又はモバイル・デバイス３２は、植込み型医療デバイス１２とワイヤレスで通信するように構成される。

【0050】

ユーザ認証プロシージャは、パスワード入力を含むか、又は、パスワード入力と、プログラマー３０に対する追加のセキュリティ機能、又はプログラマー３０を制御するように構成されたウェブインターフェースとを含む２ファクタ認証を含み、ユーザ・セッションはセッションＩＤとタイムスタンプとを含む。

【0051】

植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０に関連付けられた正しいチェックサムＣＲＣ＿ＯＫは、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０の実行の前に、事前定義されたタイム・スパン、特に最高５００ｍｓ以内に計算され、第２のチェックサムＣＲＣ＿Ｂと比較される。

【0052】

第２のチェックサムＣＲＣ＿Ｂは、植込み型医療デバイス１２の工場初期設定において事前定義されたメモリ・セルに書き込まれ、前記メモリ・セルは、事前定義されたレジスタ・コードを動作させることによってアクセス可能である。

【0053】

図２は、本発明の好ましい実施例による、植込み型医療デバイスの患者クリティカルなファームウェア機能を保護するためのシステムの概略図を示す。

【0054】

システム１は植込み型医療デバイス１２とプログラマー３０とを備える。代替的に、植込み型医療デバイス１２は、植込み型医療デバイス１２とワイヤレスで通信するように構成されたモバイル・デバイス３２によって制御され得る。

【0055】

植込み型医療デバイス１２は、プログラマー３０による植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０の実行の要求１４を受信するように構成され、植込み型医療デバイス１２は、要求１４に関連付けられたユーザが、患者クリティカルなファームウェア機能１０を実行することを許可されていることを検証するように構成される。

【0056】

植込み型医療デバイス１２は、植込み型医療デバイス１２の第１のメモリ・エリア１６から第１のチェックサムＣＲＣ＿Ａを読み取るか、又は植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０のコード・エリア１８の一部として第１のチェックサムＣＲＣ＿Ａを与えるように構成され、第１のチェックサムＣＲＣ＿Ａは、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０に関連付けられた正しいチェックサムＣＲＣ＿ＯＫに一致しない。

【0057】

さらに、植込み型医療デバイス１２は、植込み型医療デバイス１２の第２のメモリ・エリア２０から第２のチェックサムＣＲＣ＿Ｂを読み取るように構成され、第２のチェックサムＣＲＣ＿Ｂは、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０に関連付けられた正しいチェックサムＣＲＣ＿ＯＫに一致する。

【0058】

その上、植込み型医療デバイス１２は、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０の実行の前にチェックサムがそこから読み取られる、植込み型医療デバイス１２の第３のメモリ・エリア２２に第２のチェックサムＣＲＣ＿Ｂを書き込むように構成される。

【0059】

植込み型医療デバイス１２は、さらに、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０に関連付けられた正しいチェックサムＣＲＣ＿ＯＫを計算し、正しいチェックサムＣＲＣ＿ＯＫを第２のチェックサムＣＲＣ＿Ｂと比較するように構成される。植込み型医療デバイス１２は、第２のチェックサムＣＲＣ＿Ｂと正しいチェックサムＣＲＣ＿ＯＫとが一致する場合に、植込み型医療デバイス１２の患者クリティカルなファームウェア機能１０を実行するように構成される。

【符号の説明】

【0060】

参照符号
１ システム
１０ 患者クリティカルなファームウェア機能
１１ 方法ステップ
１２ 植込み型医療デバイス
１３ 方法ステップ
１４ 要求
１５ 方法ステップ
１６ 第１のメモリ・エリア
１７ 方法ステップ
１８ コード・エリア
１９ 方法ステップ
２０ 第２のメモリ・エリア
２１ 方法ステップ
２２ 第３のメモリ・エリア
２４ 複合コマンド
２６ａ メモリ・バッファ
２６ｂ さらなるコード・エリア
３０ プログラマー
３２ モバイル・デバイス
Ｂ 方法ステップ
Ｃ 方法ステップ
ＣＲＣ＿Ａ 第１のチェックサム
ＣＲＣ＿Ｂ 第２のチェックサム
ＣＲＣ＿ＯＫ 正しいチェックサム
Ｓ１～Ｓ７ 方法ステップ

【図1】

【図2】

【国際調査報告】