Способ управления работой медицинского устройства в медицинской системе и медицинская система

Изобретение относится к способу управления работой медицинского устройства в медицинской системе. Техническим результатом является обеспечение повышенной безопасности и надежности работы и связи в медицинской системе. Технический результат заявленного решения достигается за счет того, что в заявленном решении предусмотрено медицинское устройство; устройство связи с возможностью удаленного управления работой медицинского устройства; защитное устройство, при этом в медицинской системе выполняют обработку входных данных и по результатам обработки данных разрешают или предотвращают удаленное управление работой медицинского устройства с помощью приложения медицинского устройства. 2 н. и 12 з.п. ф-лы, 8 ил.

 

Данное изобретение относится к способу управления работой медицинского устройства в медицинской системе и к медицинской системе.

УРОВЕНЬ ТЕХНИКИ

Медицинские устройства, в которых неисправность может создать опасность для пользователя медицинского устройства, должны согласовываться с принципами функциональной безопасности, чтобы соответствовать нормативным требованиям. Устройства немедицинского назначения обычно не согласуются с этими принципами. В случае, когда предусмотрено, что медицинским устройством, например инсулиновой инфузионной помпой, будет управлять устройство немедицинского назначения, такое как мобильный телефон, следует обеспечить функциональную безопасность медицинского устройства.

В документе US 2015/0182694 А1 раскрывается защитный процессор, который действует в качестве промежуточного устройства между устройством удаленного управления, таким как смартфон, и медицинским устройством для просмотра передачи данных со смартфона до их передачи на медицинское устройство. Защитный процессор может определить, совместим ли смартфон с медицинским устройством, проверив тип и версию смартфона, а также версии действующего программного обеспечения и/или встроенного программного обеспечения, установленные на телефоне. Защитный процессор также может проверить, находится ли действующая команда, введенная в смартфон, в пределах допустимых параметров.

Системы и способы удаленного управления и/или беспроводного (пере-)программирования устройств имплантированной помпы описаны в документе US 2011/0275410 А1. В различных вариантах реализации изобретения смартфон или другое беспроводное карманное устройство используют для отправки управляющих команд и/или протоколов доставки лекарственных средств в беспроводной приемник устройства имплантированной помпы, например, посредством Wi-Fi, Bluetooth или канала связи ближнего радиуса действия. Смартфон может быть оснащен защитным ключом для обеспечения безопасности и/или гибкости при выборе протокола передачи данных. Кроме того, на смартфоне может сохраняться специальное программное приложение, которое позволяет взаимодействовать с пользователем и которое может иметь защитные средства, предотвращающие несанкционированные операции.

Для безопасного удаленного программирования системы инфузионной помпы в документе US 2011/0275410 А1 раскрывается назначение заданной программы, сравнение протокола, который должен быть запрограммирован, с протоколом, поступающим из помпы, устранение возможных ошибок не сертифицированных для медицинских целей промежуточных устройств и средств, а также выполнение программирования.

В документе US 6,128,774 описан реализуемый на компьютере способ проверки и подтверждения того, что недоверенное программное обеспечение, поставленное производителем кода, безопасно для выполнения пользователем кода. Способ включает в себя этап определения политики безопасности, которая содержит условия безопасной работы недоверенного программного обеспечения для пользователя кода. Способ также включает в себя этапы создания условия безопасности для недоверенного программного обеспечения, которое определяет, будет ли выполнение пользователем кода недоверенного программного обеспечения нарушать указанную политику безопасности, и создания доказательства безопасности, которое показывает, что указанное условие безопасности является действительным. Способ дополнительно включает в себя этап проверки допустимости недоверенного программного обеспечения для выполнения на основании указанного доказательства безопасности и указанного условия безопасности.

В соответствии с документом US 2011/0126188 А1 обеспечены способы и изделия для размещения критически важного для безопасности приложения (safety critical application; SCA) на неуправляемом устройстве обработки данных (uncontrolled data processing device; UDPD). Различные комбинации установки, функционирования, надежности размещения, совместимости, функциональной совместимости, управления питанием и проверок среды реализуются в различные периоды времени, чтобы определить, правильно ли работает на устройстве критически важное для безопасности приложение. Работой SCA на UDPD можно управлять соответствующим образом.

Способы и системы для проверки допустимости критически важных для безопасности приложений (SCA) на неуправляемых устройствах обработки данных (UDPD) также раскрыты в документе US 2016/034658 А1. Различные комбинации проверок, включая проверку допустимости критически важных для безопасности функций, проверку совместимости SCA-UDPD и управление ресурсами, выполняются в различные периоды времени, чтобы обеспечить надлежащую работу SCA на устройстве. Работой SCA на UDPD можно управлять соответствующим образом.

В соответствии с документом US 2012/066551 А1 безопасную работу процессора можно проверить и подтвердить, используя модуль трассировки выполнения, который обычно используется только для тестирования и разработки программного обеспечения. Во время работы процессора в полевых условиях последовательность команд может выполняться процессором. Часть выполнения трассируется для формирования последовательности данных трассировки. Последовательность данных трассировки сжимается для формирования контрольной суммы. Контрольная сумма сравнивается с контрольной суммой, и указывается ошибка выполнения, когда контрольная сумма не совпадает с эталонной контрольной суммой.

Способ и система управления доступом к системе в медицинской среде раскрыты в документе US 2008/256076 А1. Способ включает в себя вычисление значения сигнатуры по меньшей мере для одного файла, используемого в медицинской системе, перенос вычисленного значения сигнатуры в файл сигнатуры и предоставление по меньшей мере одного значения сигнатуры в файле сигнатуры и по меньшей мере одного связанного с этим файла в файловую систему, выполненную с возможностью приема медицинской системой. Медицинская система проверяет по меньшей мере одно значение сигнатуры и по меньшей мере один связанный с этим файл, чтобы проверить и подтвердить, что связанный с этим файл является известным ресурсом медицинского программного приложения. Медицинская система содержит порт ввода/вывода данных, выполненный с возможностью приема внешнего запоминающего устройства, и операционную систему, способную считывать данные медицинской системы из запоминающего устройства и записывать данные медицинской системы в запоминающее устройство.

Процессорная система жесткой конфигурации известна из документа US 5,915,082, который добавляет логические схемы обнаружения ошибок, локализации ошибок и восстановления к одной или более функциям процессорной системы жесткой конфигурации, а именно, управляющие выходы, входы процессора, шины ввода/вывода, шины адресов памяти и шины данных памяти.

СУЩНОСТЬ ИЗОБРЕТЕНИЯ

Объектом данного изобретения является обеспечение способа управления работой медицинского устройства в медицинской системе, которая обеспечивает повышенную безопасность и надежность работы и связи в медицинской системе. Кроме того, будет обеспечена медицинская система.

Для решения проблемы предложен способ управления работой медицинского устройства в медицинской системе по независимому пункту 1 формулы изобретения. Кроме того, обеспечена медицинская система по пункту 14 формулы изобретения. Альтернативные варианты реализации изобретения являются предметом зависимых пунктов формулы изобретения.

В соответствии с одним аспектом обеспечен способ управления работой медицинского устройства в медицинской системе. Медицинская система содержит: медицинское устройство, устройство связи, снабженное приложением медицинского устройства, работающим на устройстве связи и выполненным с возможностью удаленного управления работой медицинского устройства, и защитное устройство, выполненное с возможностью обмена данными с устройством связи. Способ, используемый в медицинской системе, включает в себя: предоставление входных данных для процесса вычисления; обработку входных данных с помощью процесса вычисления в ходе процесса первого вычисления в устройстве связи, тем самым, предоставляя данные результата первого вычисления; обработку входных данных с помощью процесса вычисления в ходе процесса второго вычисления, выполняемого отдельно от процесса первого вычисления, тем самым, предоставляя данные результата второго вычисления; сравнение данных результатов первого и второго вычислений; при совпадении данных результатов первого и второго вычислений предоставление разрешения удаленного управления работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи; и при несовпадении данных результатов первого и второго вычислений предотвращение удаленного управления работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи.

В соответствии с другим аспектом обеспечена медицинская система. Медицинская система содержит медицинское устройство, устройство связи, снабженное приложением медицинского устройства, работающим на устройстве связи и выполненным с возможностью удаленного управления работой медицинского устройства, и защитное устройство, выполненное с возможностью обмена данными с устройством связи. Система выполнена с возможностью предоставления входных данных для процесса вычисления; обработки входных данных с помощью процесса вычисления в ходе процесса первого вычисления в устройстве связи, тем самым, предоставляя данные результата первого вычисления; обработки входных данных с помощью процесса вычисления в ходе процесса второго вычисления, выполняемого отдельно от процесса первого вычисления, тем самым, предоставляя данные результата второго вычисления; сравнения данных результатов первого и второго вычислений; при совпадении данных результатов первого и второго вычислений, предоставления разрешения удаленного управления работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи; и при несовпадении данных результатов первого и второго вычислений, предотвращения удаленного управления работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи.

Данные результата первого вычисления и данные результата второго вычисления также могут упоминаться как данные первого результата и данные второго результата соответственно. Кроме того, защитное устройство может упоминаться как доверенное устройство.

В целом, эксплуатационную безопасность устройства можно повысить путем реализации разнообразной архитектуры резервирования. Разнообразное резервирование известно в данной области техники как таковое и упоминается, например, в стандартах МЭК 61508 и МЭК 61511. Разнообразное резервирование относится к одной и той же задаче, выполняемой более одного раза, называемой резервированием, отдельными и разными способами, например, с помощью другой методологии и/или компонентов, именуемых диверсификацией. Один набор средств диверсификации для выполнения одной такой задачи может называться каналом, который отделен от другого канала для выполнения одинаковой задачи. Отдельные каналы для выполнения задач известны в данной области техники как таковые.

Способ может включать в себя предоставление входных данных для процесса вычисления как в устройстве связи, так и в защитном устройстве, и обработку входных данных посредством процесса вычисления в ходе процесса второго вычисления в защитном устройстве. Таким образом, процесс первого вычисления и процесс второго вычисления могут выполняться в двух отдельных устройствах. Если данные результатов первого и второго вычислений совпадают, то может быть обнаружено, что два отдельных устройства дали одинаковый результат вычисления после того, как одинаковые входные данные были предоставлены двум отдельным устройствам. Если данные результатов первого и второго вычислений не совпадают, можно предположить, что по меньшей мере один из процесса первого вычисления в устройстве связи и процесса второго вычисления в защитном устройстве не был выполнен правильно.

Способ может дополнительно включать в себя прием входных данных в первом устройстве из устройства связи и защитного устройства, шифрование входных данных в первом устройстве, передачу зашифрованных входных данных из первого устройства во второе устройство из устройства связи и защитного устройства, и дешифровку зашифрованных входных данных во втором устройстве. Например, входные данные могут быть приняты и зашифрованы в устройстве связи. Затем зашифрованные входные данные могут быть переданы в защитное устройство и дешифрованы в защитном устройстве.

В качестве дополнительного или альтернативного варианта, программное приложение для реализации процесса вычисления может быть принято в первом устройстве из устройства связи и защитного устройства и может быть передано из первого устройства во второе устройство из устройства связи и защитного устройства. Программное приложение может храниться по меньшей мере в одном из памяти и запоминающего устройства первого устройства и/или второго устройства. Кроме того, программное приложение может быть зашифровано в первом устройстве. Затем зашифрованное программное приложение может быть передано с первого устройства на второе устройство и дешифровано во втором устройстве.

Способ может включать в себя предоставление входных данных для процесса вычисления в устройстве связи и обработку входных данных с помощью процесса вычисления в ходе процесса второго вычисления в устройстве связи. Процесс первого вычисления может быть выполнен в первом канале устройства связи, а процесс второго вычисления может быть выполнен во втором канале устройства связи независимо от первого канала. Если данные результатов первого и второго вычислений не совпадают, можно предположить, что по меньшей мере один из процесса первого вычисления в первом канале устройства связи и процесса второго вычисления во втором канале устройства связи не был выполнен правильно.

Способ может включать в себя предоставление данных результатов первого и второго вычислений в защитном устройстве и сравнение данных результатов первого и второго вычислений в защитном устройстве. Предоставление данных результатов первого и второго вычислений в защитном устройстве может включать в себя передачу данных результата первого и/или второго вычислений из устройства связи в защитное устройство.

Способ может дополнительно включать в себя предоставление данных результата сравнения в защитном устройстве, данных результата сравнения, указывающих результат сравнения данных результатов первого и второго вычислений, и передачу данных результата сравнения из защитного устройства в устройство связи. Данные результата сравнения могут быть зашифрованы в защитном устройстве. Зашифрованные данные результата сравнения могут быть переданы из защитного устройства в устройство связи и дешифрованы в устройстве связи. Данные результата сравнения могут быть любыми данными, указывающими результат сравнения данных результата первого и второго вычислений. Например, данные результата сравнения могут состоять из одного бита, передаваемого в пакете данных, причем один бит указывает, совпадают ли данные результата первого и второго вычислений равными или не совпадают. В качестве альтернативного варианта, данные результата сравнения могут содержать дополнительную информацию, например, данные результата первого и второго вычислений. Данные результата сравнения могут указывать разрешение или отказ в удаленном управлении работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи.

В вариантах реализации изобретения, в которых процесс первого вычисления выполняется в устройстве связи, процесс второго вычисления выполняется в защитном устройстве, и сравнение данных результатов первого и второго вычислений выполняется в защитном устройстве, способ может включать в себя шифрование данных первого результата в устройстве связи, передачу зашифрованных данных первого результата от устройства связи в защитное устройство и дешифровку зашифрованных данных первого результата в защитном устройстве.

В вариантах реализации изобретения, в которых процесс первого вычисления и процесс второго вычисления выполняются в устройстве связи, и данные результата сравнения предоставляются в защитное устройство и передаются от защитного устройства на устройство связи, способ может включать в себя шифрование данных первого и второго результатов в устройстве связи, передачу зашифрованных данных первого и второго результатов от устройства связи в защитное устройство и дешифровку зашифрованных данных первого и второго результатов в защитном устройстве.

Данные результатов первого и второго вычислений могут сравниваться в устройстве связи. Сравнение данных результатов первого и второго вычислений в устройстве связи может выполняться в дополнение или альтернативно сравнению данных результатов первого и второго вычислений в защитном устройстве.

В вариантах реализации изобретения, в которых процесс первого вычисления выполняется в устройстве связи, процесс второго вычисления выполняется в защитном устройстве, и сравнение данных результатов первого и второго вычислений выполняется в устройстве связи, способ может включать в себя шифрование данных второго результата в защитном устройстве, передачу зашифрованных данных второго результата от защитного устройства в устройство связи и дешифровку зашифрованных данных второго результата в устройстве связи.

Защитное устройство может быть выбрано из следующей группы: карты памяти, такой как SD-карта; маяка связи ближнего радиуса действия (near field communication; NFC); удаленного серверного устройства; дополнительного медицинского устройства, отличающегося от медицинского устройства. Защитное устройство может быть медицинским устройством или устройством немедицинского назначения. Защитное устройство может быть снабжено разнообразной архитектурой резервирования.

Например, защитное устройство может представлять собой SD-карту медицинского устройства, снабженную дополнительными функциональными возможностями по сравнению со стандартной SD-картой, которая известна в данной области техники как таковая. SD-карта медицинского устройства может быть подключена к устройству связи, например мобильному телефону, подобно стандартной SD-карте, и обеспечивать функциональные возможности стандартной SD-карты, такие как файловые службы. Кроме того, на внутреннем микроконтроллере SD-карты медицинского устройства может быть запущено безопасное медицинское приложение для сравнения/вычисления, обеспечивающее дополнительные функциональные возможности, упомянутые выше со ссылкой на защитное устройство. SD-карта медицинского устройства может быть выполнена с возможностью выполнения любых или всех задач, упомянутых выше в связи с защитным устройством, разнообразным образом резервирования.

В качестве альтернативного варианта, защитным устройством может быть любое другое устройство, которое может быть физически подключено к устройству связи, например защитный USB-ключ. Защитный USB-ключ или другое устройство, которое может быть физически подключено к устройству связи, может обеспечивать функциональные возможности, описанные выше в связи с медицинской SD-картой.

Защитное устройство может быть устройством, способным к беспроводному соединению с устройством связи посредством связи ближнего радиуса действия (NFC). NFC известна как таковая. Защитное устройство может быть маяком NFC, который может быть присоединен непосредственно к устройству связи. Например, защитное устройство может быть наклейкой NFC или тонким устройством с поддержкой NFC, которое достаточно мало, чтобы не препятствовать нормальному использованию устройства связи при его присоединении к устройству связи.

Способ может включать в себя обеспечение процесса вычисления и сравнения данных результатов первого и второго вычислений как элементов безопасности архитектуры безопасности при единичном отказе. В архитектуре безопасности при единичном отказе не возникает нежелательный результат, такой как опасность для пользователя, даже если в архитектуре происходит один (единичный) отказ. Например, опасность для пользователя медицинского устройства можно предотвратить, предотвратив удаленное управление приложения медицинского устройства, запущенного на устройстве связи, работой медицинского устройства, если данные результатов первого и второго вычислений не совпадают, когда одни из данных результатов первого и второго вычислений неверны из-за возникновения отказа.

Способ может включать в себя сохранение в запоминающем устройстве, предусмотренном по меньшей мере в одном из устройства связи и защитного устройства, по меньшей мере одних из следующих данных: входных данных; зашифрованных входных данных; данных первого результата; зашифрованных данных первого результата; данных второго результата; и зашифрованных данных второго результата.

Например, зашифрованные входные данные, зашифрованные данные первого результата и зашифрованные данные второго результата могут быть сохранены в запоминающем устройстве защитного устройства. Зашифрованные входные данные, зашифрованные данные первого результата и зашифрованные данные второго результата могут затем быть дешифрованы, и входные данные, данные первого результата и данные второго результата могут быть сохранены в запоминающем устройстве защитного устройства. Входные данные, данные первого результата и/или данные второго результата могут затем использоваться для сравнения данных первого и второго результатов. Таким же образом, в качестве дополнительного или альтернативного варианта, данные могут храниться в запоминающем устройстве защитного устройства и использоваться для сравнения данных первого и второго результатов.

Входные справочные данные могут быть предоставлены по меньшей мере в одном из защитного устройства и устройства связи. Входные справочные данные могут сравниваться по меньшей мере в одном из защитного устройства и устройства связи с входными данными, чтобы определить, являются ли входные данные действительными входными данными. Если входные данные признаны действительными, может быть разрешено удаленное управление медицинским устройством с помощью приложения медицинского устройства, работающего на устройстве связи. Если входные данные признаны недействительными, приложение медицинского устройства, работающее на устройстве связи, может не иметь возможности удаленного управления медицинским устройством. Сравнение входных данных со справочными входными данными может быть выполнено до или после сравнения данных результатов первого и второго вычислений или, по меньшей мере частично, одновременно.

Устройство связи, на котором работает приложение медицинского устройства, может быть любым устройством связи, например устройством мобильной связи, таким как мобильный телефон, умные часы, (мобильный) компьютер или портативное устройство отображения. Устройство связи может быть снабжено функциями связи. Устройство связи может быть подключено беспроводным или проводным способом к медицинскому устройству и/или защитному устройству.

Медицинское устройство может представлять собой инсулиновую помпу. В качестве альтернативного варианта, медицинское устройство может представлять собой шприц-ручку для введения инсулина пациенту. В качестве дополнительного альтернативного варианта, медицинское устройство может представлять собой устройство для мониторинга уровня сахара, которое может представлять собой устройство для мониторинга уровня сахара, предназначенное для непрерывного мониторинга уровня сахара или непостоянного мониторинга уровня сахара.

Устройство для мониторинга уровня сахара, предназначенное для непрерывного мониторинга уровня сахара в крови, может быть снабжено датчиком, который является полностью или частично имплантированным датчиком для непрерывного мониторинга уровня сахара (continuous glucose monitoring; CGM). Как правило, в контексте CGM может быть определено значение или уровень анализируемого вещества, указывающий на значение или уровень сахара в крови. Значение анализируемого вещества может быть измерено в интерстициальной жидкости. Измерение можно делать подкожно или in vivo. CGM может быть реализован как близкую к режиму реального времени или квазинепрерывную процедуру мониторинга с высокой периодичностью или автоматически предоставляющую/обновляющую значения анализируемого вещества без взаимодействия с пользователем. В альтернативном варианте реализации изобретения анализируемое вещество можно измерять с помощью биодатчика в контактной линзе через глазную жидкость или с помощью биодатчика на коже посредством трансдермального измерения пота. Датчик CGM может оставаться прикрепленным от нескольких дней до нескольких недель, а затем должен быть заменен.

Доверенное устройство может быть устройством, которое известно поставщику приложения медицинского устройства как безопасно работающее устройство. Например, доверенное устройство может быть подтверждено поставщиком приложения медицинского устройства для выполнения операций, необходимых для правильного удаленного управления работой медицинского устройства при всех ожидаемых условиях эксплуатации.

Что касается медицинской системы, альтернативные варианты реализации изобретения, описанные выше, могут применяться с учетом необходимых изменений.

В медицинской системе защитное устройство может быть интегрированным устройством медицинского устройства. Например, защитное устройство может представлять собой запоминающее устройство, такое как SD-карта, предусмотренное в медицинском устройстве. В качестве альтернативного варианта, защитное устройство может содержать по меньшей мере один из компонентов аппаратных средств и компонентов программного обеспечения, предусмотренных в медицинском устройстве и отделенных от других компонентов медицинского устройства.

Опять же, в способе и в медицинской системе, описанных выше, устройство связи может быть аппаратным устройством, подходящим для запуска на нем приложения медицинского устройства и отделенным от медицинского устройства для удаленного управления медицинским устройством. И наоборот, медицинское устройство может быть аппаратным устройством, отделенным от устройства связи. Устройство связи и медицинское устройство могут быть выполнены с возможностью связи друг с другом, в частности, для удаленного управления медицинским устройством.

ПОДРОБНОЕ ОПИСАНИЕ ИЗОБРЕТЕНИЯ

Нижеследующие дополнительные варианты реализации изобретения описаны со ссылкой на фигуры. На фигурах проиллюстрировано следующее:

на фиг. 1 представлено схематическое изображение медицинской системы;

на фиг. 2 представлено схематическое изображение дополнительной медицинской системы;

на фиг. 3 представлено схематическое изображение медицинского устройства;

на фиг. 4 представлена блок-схема последовательности этапов способа управления работой медицинского устройства в медицинской системе;

на фиг. 5 представлена блок-схема последовательности этапов дополнительного способа управления работой медицинского устройства в медицинской системе;

на фиг. 6 представлена блок-схема последовательности этапов дополнительного способа управления работой медицинского устройства в медицинской системе;

на фиг. 7 представлена блок-схема последовательности этапов дополнительного способа управления работой медицинского устройства в медицинской системе; и

на фиг. 8 представлена блок-схема последовательности этапов дополнительного способа управления работой медицинского устройства в медицинской системе.

На фиг. 1 представлено схематическое изображение медицинской системы, содержащей медицинское устройство 100, устройство 101 связи и защитное устройство 102. Устройство 101 связи содержит устройство 103 обработки, запоминающее устройство 104 и приемопередатчик 105. Защитное устройство 102 содержит устройство 106 управления, доверенный компаратор 107 и приемопередатчик 108. Медицинское устройство 100 может содержать любые элементы, необходимые для требуемой функции медицинского устройства 100. В проиллюстрированном варианте реализации изобретения медицинское устройство 100 представляет собой инсулиновую помпу, которая выполнена с возможностью управления с помощью приложения медицинского устройства, работающего на устройстве 101 связи. В альтернативных вариантах реализации изобретения медицинское устройство 100 может быть любым медицинским устройством, которым можно управлять через устройство 101 связи. Приведенный в качестве примера вариант реализации изобретения медицинского устройства 100 описан ниже со ссылкой на фиг. 3.

Устройство 103 обработки устройства 101 связи выполнено с возможностью установления соединения с медицинским устройством 100 через приемопередатчик 105 устройства 101 связи. Приемопередатчик 105 устройства 101 связи выполнен с возможностью беспроводного соединения с возможностью передачи данных с медицинским устройством 100. Устройство 103 обработки устройства 101 связи дополнительно выполнено с возможностью установления соединения с защитным устройством 102 через приемопередатчик 105 устройства 101 связи и приемопередатчик 108 защитного устройства 102. В проиллюстрированном варианте реализации изобретения приемопередатчик 105 устройства 101 связи и приемопередатчик 108 защитного устройства 102 выполнены с возможностью беспроводного соединения с возможностью передачи данных между устройством 101 связи и защитным устройством 102.

Устройство 103 обработки устройства 101 связи выполнено с возможностью выполнения приложения медицинского устройства, хранящегося в запоминающем устройстве 104. Устройство 106 управления защитного устройства 102 выполнено с возможностью приема и передачи данных через приемопередатчик 108 защитного устройства 102. Устройство 106 управления дополнительно выполнено с возможностью управления доверенным компаратором 107. Доверенный компаратор 107 выполнен с возможностью приема данных от устройства 106 управления для выполнения этапов способа управления работой медицинского устройства 100, как более подробно изложено ниже со ссылкой на фиг. 4-8, а также для передачи данных в устройство 106 управления.

На фиг. 2 представлено схематическое изображение другого варианта реализации медицинской системы. Медицинская система, проиллюстрированная на фиг. 2, содержит устройство 101 связи и медицинское устройство 200. Устройство 101 связи соответствует устройству 101 связи, проиллюстрированному на фиг. 1.

Медицинское устройство 200 содержит защитное устройство 201 и приемопередатчик 202. Защитное устройство 201 обеспечено как интегрированное устройство медицинского устройства 200 и выполнено с возможностью установления соединения с устройством 101 связи через приемопередатчик 202 медицинского устройства 200. Приемопередатчик 202 медицинского устройства 200 выполнен с возможностью беспроводного соединения с возможностью передачи данных с приемопередатчиком 105 устройства 101 связи. Защитное устройство 201 содержит устройство управления и доверенный компаратор (не показан), соответствующий устройству 106 управления, и доверенный компаратор 107 защитного устройства 102, проиллюстрированного на фиг. 1.

Медицинское устройство 200 содержит по меньшей мере один дополнительный компонент 203, необходимый для требуемой функции медицинского устройства 200. В проиллюстрированном варианте реализации изобретения медицинское устройство 200 представляет собой инсулиновую помпу, которая выполнена с возможностью управления с помощью приложения медицинского устройства, работающего на устройстве 101 связи, и по меньшей мере один дополнительный компонент 203 выполнен с возможностью обеспечения функциональных возможностей инсулиновой помпы медицинского устройства 200. Устройство 103 обработки устройства 101 связи выполнено с возможностью установления соединения по меньшей мере с одним дополнительным компонентом 203 медицинского устройства 200 через приемопередатчик 105 устройства 101 связи и приемопередатчик 202 медицинского устройства 200 для управления медицинским устройством 200 с помощью приложения медицинского устройства.

На фиг. 3 представлено схематическое изображение варианта реализации медицинского устройства 200, которое в проиллюстрированном варианте реализации изобретения представляет собой инсулиновую инфузионную помпу. Медицинское устройство 200 содержит источник 300 питания, выполненный с возможностью подачи питания на медицинское устройство 200, и блок 301 управления, выполненный с возможностью управления функцией медицинского устройства 200. Блок 301 управления функционально соединен с приемопередатчиком 202 для обмена данными с устройствами, внешними по отношению к медицинскому устройству 200, например, с устройством 101 связи. Защитное устройство 201 также функционально связано с приемопередатчиком 202 для обмена данными с устройствами, внешними по отношению к медицинскому устройству 200, в частности с устройством 101 связи. Устройство 301 управления управляет функцией защитного устройства 201. Доверенный компаратор (не показан), предусмотренный в защитном устройстве, функционально отделен от других компонентов медицинского устройства 200, включая устройство 301 управления.

Устройство 301 управления дополнительно управляет инсулиновой инфузионной помпой, предусмотренной медицинским устройством 200. Блок 302 привода содержит по меньшей мере один привод, например устройство помпы, для введения инсулина пользователю медицинского устройства 200. Блок 303 датчиков содержит по меньшей мере один датчик. Например, блок 303 датчиков может содержать датчик давления, выполненный с возможностью измерения давления в резервуаре, содержащем инсулин, который должен вводиться пользователю медицинского устройства 200. Медицинское устройство 200 дополнительно содержит пользовательский интерфейс 304, выполненный с возможностью приема пользовательского ввода, например, через сенсорный экран и/или кнопки пользовательского интерфейса 304, и передачи сигналов пользователю медицинского устройства 200. Сигналы, передаваемые пользователю медицинского устройства 200, могут включать в себя визуальные, акустические и/или тактильные сигналы. Например, пользовательский интерфейс 304 может содержать дисплей, громкоговоритель и/или вибрационное устройство для передачи соответственно визуальных, акустических и тактильных сигналов.

Блок 305 защиты разрешает и/или отключает функционирование блока 302 привода, тем самым разрешая или предотвращая введение инсулина пользователю медицинского устройства 200. Блок 305 защиты выполнен с возможностью обеспечения через пользовательский интерфейс 304 обратной связи с пользователем медицинского устройства 200 относительно разрешения и/или предотвращения введения инсулина. Блок 305 защиты разрешает и/или отключает функционирование блока 302 привода на основании данных и/или команд, принятых от блока 301 управления. Данные и/или команды, предоставляемые блоку 305 защиты блоком 301 управления, могут основываться, по меньшей мере частично, на данных и/или командах, принятых блоком 301 управления от защитного устройства 201.

На фиг. 4 проиллюстрированы этапы способа управления работой медицинского устройства 100 в медицинской системе на блок-схеме. На этапе 400 способа входные данные предоставляются приложению медицинского устройства, работающему на устройстве 101 связи, причем приложение медицинского устройства приспособлено для удаленного управления работой медицинского устройства 100. Например, входные данные могут быть предоставлены посредством пользовательского ввода в устройстве 101 связи. В качестве альтернативного варианта, входные данные могут быть приняты устройством 101 связи посредством передачи данных. В качестве дополнительного альтернативного варианта, входные данные могут быть предоставлены в результате операции, например операции вычисления, в устройстве 101 связи. Входные данные шифруются в устройстве 101 связи и передаются на защитное устройство 102.

После этого на этапе 401 входные данные обрабатываются в устройстве 101 связи в ходе процесса первого вычисления, дающего данные результата первого вычисления. На этапе 402 в защитном устройстве 102 входные данные дешифруются и обрабатываются в ходе процесса второго вычисления, дающего данные результата второго вычисления. Данные результата второго вычисления шифруются и передаются от защитного устройства 102 на устройство 101 связи. Этапы 401 и 402 могут выполняться в любом порядке или параллельно.

Данные результата второго вычисления дешифруются и сравниваются с данными результата первого вычисления в устройстве 101 связи на этапе 403. На этапе 404, при совпадении данных результатов первого и второго вычислений, разрешается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи. С другой стороны, при несовпадении данных результатов первого и второго вычислений, на этапе 404 предотвращается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи.

На фиг. 5 проиллюстрированы этапы другого варианта реализации способа управления работой медицинского устройства 100 в медицинской системе, дополнительно содержащей устройство 101 связи и защитное устройство 102. Этап 500 соответствует этапу 400, описанному выше со ссылкой на фиг. 4. На этапе 501 входные данные обрабатываются в устройстве 101 связи в ходе процесса первого вычисления, дающего данные результата первого вычисления. Данные результата первого вычисления шифруются и передаются от устройства 101 связи на защитное устройство 102. На этапе 502 в защитном устройстве 102 входные данные дешифруются и обрабатываются в ходе процесса второго вычисления, дающего данные результата второго вычисления. Этапы 501 и 502 могут выполняться в любом порядке или параллельно.

Данные результата первого вычисления дешифруются и сравниваются с данными результата второго вычисления в защитном устройстве 102 на этапе 503, что приводит к сравнению данных результата, указывающих результат сравнения данных результатов первого и второго вычислений. Данные результата сравнения шифруются и передаются от защитного устройства 102 на устройство 101 связи. На этапе 504 данные результата сравнения дешифруются в устройстве 101 связи, и при совпадении данных результатов первого и второго вычислений, разрешается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи. С другой стороны, при несовпадении данных результатов первого и второго вычислений, на этапе 504 предотвращается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи.

На фиг. 6 проиллюстрированы этапы другого варианта реализации способа управления работой медицинского устройства 100 в медицинской системе, дополнительно содержащей устройство 101 связи и защитное устройство 102. На этапе 600 входные данные предоставляются приложению медицинского устройства, работающему на устройстве 101 связи. Этап 600 соответствует этапам 400 и 500, описанным выше со ссылкой соответственно на фиг. 4 и 5. На этапе 601, соответствующему этапу 401, описанному выше со ссылкой на фиг. 4, входные данные обрабатываются в устройстве 101 связи в ходе процесса первого вычисления, дающего данные результата первого вычисления.

На этапе 602 входные справочные данные предоставляются защитному устройству 102. Входные справочные данные указывают на действительные входные данные. На этапе 603 в защитном устройстве 102 входные данные дешифруются и сравниваются с входными справочными данными. На этапе 604, если входные данные оказываются действительными на этапе 603, входные данные обрабатываются в ходе процесса второго вычисления, дающего данные результата второго вычисления. Данные результата второго вычисления шифруются и передаются от защитного устройства 102 на устройство 101 связи. Если на этапе 603 входные данные оказываются недействительными, входные данные о недействительности предоставляются и шифруются на этапе 604 и передаются от защитного устройства 102 на устройство 101 связи. На этапе 605 данные результата второго вычисления или входные данные о недействительности, а также входные данные сохраняются в памяти защитного устройства 102. Кроме того, входные справочные данные и/или любые другие данные, относящиеся к процессам, описанным со ссылкой на фиг. 6, могут храниться в защитном устройстве 102.

Этапы 600 и 602 могут выполняться в любом порядке или параллельно. Кроме того, этап 601 может выполняться до или после каждого из этапов 603 и 604 или, по меньшей мере частично, параллельно.

На этапе 606, если зашифрованные входные данные о недействительности приняты устройством 101 связи, входные данные о недействительности дешифруются. После этого на этапе 607 предотвращается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи.

Если зашифрованные данные результата второго вычисления приняты устройством 101 связи, зашифрованные данные результата второго вычисления дешифруются и сравниваются с данными результата первого вычисления в устройстве 101 связи на этапе 606. После этого на этапе 607, при совпадении данных результатов первого и второго вычислений, разрешается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи. С другой стороны, при несовпадении данных результатов первого и второго вычислений, предотвращается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи на этапе 607.

На фиг. 7 проиллюстрированы этапы дополнительного варианта реализации способа управления работой медицинского устройства 100 в медицинской системе, дополнительно содержащей устройство 101 связи и защитное устройство 102. На этапе 700 входные данные предоставляются первому каналу приложения медицинского устройства, работающего на устройстве 101 связи, причем приложение медицинского устройства приспособлено для удаленного управления работой медицинского устройства 100. Входные данные обрабатываются в первом канале в ходе процесса первого вычисления, дающего данные результата первого вычисления. На этапе 701 входные данные предоставляются второму каналу приложения медицинского устройства, причем второй канал отделен от первого канала. Например, первый канал и второй канал могут использовать разные аппаратные средства устройства 101 связи и использовать разную методологию для выполнения одинаковых вычислений в приложении медицинского устройства. Входные данные обрабатываются во втором канале в ходе процесса второго вычисления, дающего данные результата второго вычисления на этапе 701. Этапы 700 и 701 могут выполняться в любом порядке или, по меньшей мере частично, параллельно.

На этапе 702 сравниваются данные результатов первого и второго вычислений, что дает данные результата сравнения, указывающие результат сравнения данных результатов первого и второго вычислений. Данные результата первого вычисления, данные результата второго вычисления и данные результата сравнения шифруются и передаются в защитное устройство 102. Кроме того, входные данные могут быть зашифрованы и переданы в защитное устройство 102.

На этапе 703 в защитном устройстве 102 данные результата первого вычисления, данные результата второго вычисления и данные результата сравнения дешифруются, и сравниваются данные результатов первого и второго вычислений, чтобы подтвердить данные результата сравнения. Кроме того, входные данные могут быть дешифрованы, и могут быть выполнены дополнительные функции подтверждения. Например, данные результата третьего вычисления могут быть сгенерированы путем обработки входных данных в защитном устройстве 102 в ходе процесса третьего вычисления, и данные результата третьего вычисления могут быть сравнены с данными результатов первого и/или второго вычисления, чтобы подтвердить данные результата сравнения. Данные заключения, указывающие подтверждение данных результата сравнения или отказ в подтверждении данных результата сравнения, предоставляются защитному устройству 102. Данные заключения, данные результата первого вычисления, данные результата второго вычисления и данные результата сравнения шифруются и передаются в устройство 101 связи.

Данные заключения, данные результата первого вычисления, данные результата второго вычисления и данные результата сравнения дешифруются в устройстве 101 связи на этапе 704. Если данные результатов первого и второго вычислений совпадают и данные результата сравнения подтверждаются в соответствии с данными заключения, разрешается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи. Если данные результатов первого и второго вычислений не совпадают и/или данные результата сравнения не подтверждаются в соответствии с данными заключения, на этапе 704 предотвращается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи.

На фиг. 8 проиллюстрирована процедура самотестирования в способе управления работой медицинского устройства 100 в медицинской системе, дополнительно содержащей устройство 101 связи и защитное устройство 102. На этапе 800 первые произвольные данные создаются в первом канале приложения медицинского устройства, работающего на устройстве 101 связи, причем приложение медицинского устройства приспособлено для удаленного управления работой медицинского устройства 100. На этапе 801 вторые произвольные данные создаются во втором канале приложения медицинского устройства, причем второй канал отделен от первого канала. Этапы 800 и 801 могут выполняться в любом порядке или, по меньшей мере частично, параллельно.

На этапе 802 сравниваются первые и вторые произвольные данные, что дает данные результата сравнения, указывающие результат сравнения первых и вторых произвольных данных. Первые произвольные данные, вторые произвольные данные и данные результата сравнения шифруются и передаются в защитное устройство 102.

На этапе 803 в защитном устройстве 102 первые произвольные данные, вторые произвольные данные и данные результата сравнения дешифруются, и первые и вторые произвольные данные сравниваются для подтверждения данных результата сравнения. Данные заключения, указывающие подтверждение данных результата сравнения или отказ в подтверждении данных результата сравнения, предоставляются защитному устройству 102. Данные заключения, первые произвольные данные, вторые произвольные данные и данные результата сравнения шифруются и передаются в устройство 101 связи.

Данные заключения, первые произвольные данные, вторые произвольные данные и данные результата сравнения дешифруются в устройстве 101 связи на этапе 804. Если данные результата сравнения подтверждаются в соответствии с данными заключения, разрешается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи. Если данные результата сравнения не подтверждаются в соответствии с данными заключения, на этапе 804 предотвращается операция удаленного управления медицинским устройством 100 с помощью устройства 101 связи.

Варианты реализации способов, описанных выше со ссылкой на фиг. 4-8, могут соответственно применяться к защитному устройству 201, предусмотренному как интегрированное устройство медицинского устройства 200.

1. Способ управления работой медицинского устройства в медицинской системе, причем медицинская система содержит:

- медицинское устройство;

- устройство связи, снабженное приложением медицинского устройства, работающим на устройстве связи и выполненным с возможностью удаленного управления работой медицинского устройства; и

- защитное устройство, выполненное с возможностью обмена данными с устройством связи;

причем способ в медицинской системе включает:

- предоставление входных данных для процесса вычисления;

- обработку входных данных посредством процесса вычисления в ходе процесса первого вычисления в устройстве связи, тем самым предоставляя данные результата первого вычисления;

- обработку входных данных посредством процесса вычисления в ходе процесса второго вычисления, выполняемого отдельно от процесса первого вычисления, тем самым предоставляя данные результата второго вычисления;

- сравнение данных результатов первого и второго вычислений;

- разрешение на удаленное управление работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи, при совпадении данных результатов первого и второго вычислений; и

- предотвращение удаленного управления работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи, при несовпадении данных результатов первого и второго вычислений.

2. Способ по п. 1, дополнительно включающий:

- предоставление входных данных для процесса вычисления как в устройстве связи, так и в защитном устройстве; и

- обработку входных данных посредством процесса вычисления в ходе процесса второго вычисления в защитном устройстве.

3. Способ по п. 2, дополнительно включающий:

- прием входных данных в первом устройстве из устройства связи и защитного устройства;

- шифрование входных данных в первом устройстве;

- передачу зашифрованных входных данных из первого устройства во второе устройство из устройства связи и защитного устройства; и

- дешифровку зашифрованных входных данных во втором устройстве.

4. Способ по п. 1, дополнительно включающий:

- предоставление входных данных для процесса вычисления в устройстве связи; и

- обработку входных данных посредством процесса вычисления в ходе процесса второго вычисления в устройстве связи.

5. Способ по любому из предшествующих пунктов, дополнительно включающий:

- предоставление данных результатов первого и второго вычислений защитному устройству; и

- сравнение данных результатов первого и второго вычислений в защитном устройстве.

6. Способ по п. 5, дополнительно включающий:

- предоставление данных результата сравнения защитному устройству, причем данные результата сравнения указывают результат сравнения данных результатов первого и второго вычислений; и

- передачу данных результата сравнения из защитного устройства в устройство связи.

7. Способ по пп. 2 или 3 и 5 или 6, дополнительно включающий:

- шифрование данных первого результата в устройстве связи;

- передачу зашифрованных данных первого результата из устройства связи в защитное устройство; и

- дешифровку зашифрованных данных первого результата в защитном устройстве.

8. Способ по пп. 4 и 6, дополнительно включающий:

- шифрование данных первого и второго результатов в устройстве связи;

- передачу зашифрованных данных первого и второго результатов из устройства связи в защитное устройство; и

- дешифровку зашифрованных данных первого и второго результатов в защитном устройстве.

9. Способ по любому из предшествующих пунктов, дополнительно включающий сравнение данных результатов первого и второго вычислений в устройстве связи.

10. Способ по пп. 2 и 9, дополнительно включающий:

- шифрование данных второго результата в защитном устройстве;

- передачу зашифрованных данных второго результата из защитного устройства в устройство связи; и

- дешифровку зашифрованных данных второго результата в устройстве связи.

11. Способ по любому из предшествующих пунктов, дополнительно включающий выбор защитного устройства из группы, включающей: карту памяти, такую как SD-карта; маяк NFC; удаленное серверное устройство; дополнительное медицинское устройство, отличающееся от указанного медицинского устройства.

12. Способ по любому из предшествующих пунктов, дополнительно включающий обеспечение процесса вычисления и сравнение данных результатов первого и второго вычислений как элементов безопасности архитектуры безопасности при единичном отказе.

13. Способ по любому из предшествующих пунктов, дополнительно включающий сохранение в запоминающем устройстве, обеспеченном по меньшей мере в одном из устройства связи и защитного устройства, по меньшей мере одного из следующих данных: входных данных; зашифрованных входных данных; данных первого результата; зашифрованных данных первого результата; данных второго результата; и зашифрованных данных второго результата.

14. Медицинская система с возможностью удаленного управления работой медицинского устройства, содержащая:

- медицинское устройство;

- устройство связи, снабженное приложением медицинского устройства, работающим на устройстве связи и выполненным с возможностью удаленного управления работой медицинского устройства; и

- защитное устройство, выполненное с возможностью обмена данными с устройством связи;

при этом система выполнена с возможностью:

- предоставления входных данных для процесса вычисления;

- обработки входных данных посредством процесса вычисления в ходе процесса первого вычисления в устройстве связи, тем самым предоставляя данные результата первого вычисления;

- обработки входных данных посредством процесса вычисления в ходе процесса второго вычисления, выполняемого отдельно от процесса первого вычисления, тем самым предоставляя данные результата второго вычисления;

- сравнения данных результатов первого и второго вычислений;

- разрешения, при совпадении данных результатов первого и второго вычислений, на удаленное управление работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи; и

- предотвращения, при несовпадении данных результатов первого и второго вычислений, удаленного управления работой медицинского устройства с помощью приложения медицинского устройства, работающего на устройстве связи.