JP2008519635A - 無線医療装置の安全な通信のためのメッセージインテグリティ - Google Patents

Abstract

医療装置を安全に同期させ、適時性及び一意性をメッセージインテグリティに提供するシステム（10）は、複数の医療無線装置（12₁、12₂、...、12_n）を有する。医療装置（12₁、12₂、...、12_n）は、相互に無線通信する。各メッセージ（M）はデータ部分とタイムスタンプとを有する。各医療装置（12₁、12₂、...、12_n）は、共通の生命兆候を監視するために患者に取り付けられたセンサ（14）を有する。医療装置（12₁、12₂、...、12_n）は、各医療装置のセンサ（16）が生命兆候の作用のピークを検出したときに同期させる。この時点で、各医療装置（12₁、12₂、...、12_n）の内部クロックがゼロになり、各内部タイマが時間をカウントし始める。従って、医療装置は、ほぼ同じ時間に緩やかに同期させる。それぞれ生成されたメッセージ（M）は、時間カウントにより生成された送信時間_(TSEND)でタイムスタンプを付けられる。メッセージ（M）の生成されたタイムスタンプ_(TSEND)は、受信側の医療装置のない部クロックのカウントの受信時間₍T_RECEIVE)に対して確認される。メッセージ（M）が所定の受理ウィンドウの範囲外で到達した場合、メッセージ（M）は受信側の医療装置により拒否される。

Description

本発明は医療分野に関する。医療無線装置に関して特に用途を見出し、特にこれを参照して説明する。しかし、本発明はまた、他の医療装置等に関して用途を見出すことがわかる。

無線医療装置は、連続的な健康管理モニタリングにますます展開されており、これにより、個々の患者の周辺で身体エリアネットワーク（body area network）を形成する。身体エリアセンサネットワークは、センサノードが患者の身体に取り付けられた時点で形成される。身体エリアネットワークでは、医療装置はZigbee、Bluetooth又は他の既知の短距離無線技術を用いてピア・ツー・ピアで通信する。各医療装置は、医療サービスのセットを提供し、他の装置で利用可能な医療サービスのセットへのアクセスを要求することができる。

無線医療装置により送信される情報及び無線医療装置間で送信される情報が安全に保護されることを確保することは不可欠である。典型的には、医療装置間での無線通信のセキュリティは、メッセージのプライバシ及びインテグリティを保証することにより可能になる。通信データは送信メッセージの内容を保護するように暗号化され、これにより、侵入者がメッセージを読み取ること又は変更することができなくなる。データインテグリティ機構は、侵入者がメッセージを変更することにより、及び／又は最初に盗聴して次にメッセージを再生することにより、通信に傷害を及ぼすことができないように、送信メッセージのインテグリティを可能にする。例えば、リプレイ攻撃では、まず、通信対抗者は、許可された通信関係者により交換される暗号化メッセージを盗聴し、次に、盗聴メッセージを格納し、最後に、これらを少し後で再生する。再生メッセージは有効な暗号化鍵で暗号化されているため、通信関係者は真正なものとしてこれらを受け入れる。真正なものとして古いデータを受け入れることは、ほとんどの送信メッセージが患者の生命に関するデータを含む医療分野では特に深刻な結果を有することがある。このような脅威は、一意性及び適時性の保証をメッセージインテグリティに提供することにより対抗可能である。

従来では、一意性及び適時性の保証を備えたメッセージインテグリティは、タイムスタンプをメッセージに付加し、結果のメッセージのMACを暗号化又は計算すること等により、タイムスタンプを送信されるメッセージに暗号的に結び付けることにより提供されている。受信メッセージを復号化した後に、付加されたタイムスタンプが受信機の自分の現在のタイムクロックからわずかにしか変化していない場合にのみ、許可された受信機はメッセージを受け入れる。典型的には、送信機及び受信機は、共通の時間基準に対して“緩やかに同期した”自分の内部クロックを有する。インターネット又はLANのような従来のインフラストラクチャネットワークでは、コンピュータは、共通のタイムクロックを提供する中央タイムサーバから共通の基準時間を安全に導くことができる。しかし、無線身体エリア無線ネットワークでは、無線医療装置は、タイムサーバが存在し得るインフラストラクチャネットワークに接続せずに、アドホック通信を行う。更に、装置は電池式であるから、医療装置が電池切れになる毎に時間基準が消去されるため、時間基準は全使用寿命で予め構成することができない。更に、個々の内部クロックは時間の経過と共にずれる傾向がある。最後に、メッセージの一意性及び適時性のセキュリティは最終的にはタイムクロックのインテグリティに依存するため、古いメッセージの有効性を回復させるような後方へのクロックの対抗者のリセット、又は何らかの将来の時点のメッセージを準備するような前方へのクロックの設定を回避するようにクロック同期手順が安全でなければならない。

本発明は、前述の問題及び他の問題を克服する新規な改善した装置及び方法を提供する。

本発明の一態様によれば、ネットワークシステムが開示される。このシステムは、相互にメッセージを送信又は受信する複数の医療装置を有し、各メッセージはデータ部分とタイムスタンプとを有する。各医療装置は、患者の身体に取り付けられ、反復性の生命兆候を少なくとも内密的に監視するセンサと、タイムスタンプを生成するタイムスタンプ生成手段とを有する。

本発明の他の態様によれば、医療装置間のネットワーキング方法が開示される。各医療装置は、患者の身体に取り付けられたセンサを有する。少なくとも患者の共通の反復性の生命兆候が安全に監視される。反復性の生命兆候に基づくタイムスタンプが生成される。メッセージは、或る医療装置から他の医療装置に送信及び受信される。各メッセージはデータ部分とタイムスタンプとを有する。

本発明の１つの利点は、時間同期を得るために外部サーバへの接続を必要とすることなく、無線医療装置の時間同期を自動的に提供することにある。

他の利点は、センサが同じ患者の身体に取り付けられ、患者の身体で同期に使用される生命兆候が生成される無線医療装置の安全な同期にある。

他の利点は、ユーザ介入のない無線医療装置の時間同期を提供することにある。

他の利点は、生命兆候の繰り返しパターンに応じた、自動的な周期的／断続的／時折の再同期にある。

更に他の利点は、無線医療装置の同期に必要な処理時間及び通信オーバーヘッドの低減にある。

本発明の更に他の利点及び利益は、好ましい実施例の以下の詳細な説明を読んで理解することにより、当業者に明らかになる。

本発明は、様々な構成要素及び構成要素の構成、並びに様々なステップ及びステップの構成で具体化されてもよい。図面は、好ましい実施例を説明する目的に過ぎず、本発明を限定するものとして解釈されるべきではない。

図１を参照すると、医療装置を安全に同期させ、メッセージインテグリティに適時性及び一意性を提供するシステム10は、ECG、血中酸素検出器、脈拍計、噴射ポンプ、ドリップモニタ（drip monitor）等のような複数の医療無線装置又は手段若しくはノード12₁、12₂、...、12_nを有する。各医療装置12₁、12₂、...、12_nは、連続的な生命兆候測定のために典型的には患者16の身体の近く又は身体に接触して配置されたセンサ14を有する。各医療装置12₁、12₂、...、12_nは、送信／受信リンク22、24を介して生命兆候測定を他の医療装置又は（ポータブル）ベッドサイド・モニタ20に無線送信する送信機18を更に有する。医療装置12₁、12₂、...、12_nは、第１の医療装置12₁が他の医療装置12₂、12₃、...、12_nにメッセージを配信することを可能にする通信プロトコルを動作する。患者16に取り付けられる前に、医療装置12₁、12₂、...、12_nは、通信のプライバシ及び信頼性を確保するために、共有暗号化鍵で初期化されることが好ましい。一実施例では、１つ以上の医療装置12₁、12₂、...、12_nは、無線生命兆候センサ等のような患者16に直接取り付けられ得る移動装置である。

続けて図１を参照し、図２及び３を更に参照すると、第１の医療装置メッセージ手段26は、暗号化されてタイムスタンプが付けられたメッセージMを生成し、第２の装置12₂に安全に送信する。より具体的には、各医療装置12₁、12₂は、それぞれ対応する医療装置12₁、12₂の関連する内部クロック44、46を自動的に同期させるクロック同期手段又は処理40、42を有する。それぞれ対応する医療装置12₁、12₂のピーク検出手段48、50は、生命兆候のピーク（例えば心拍、典型的にはECG信号の特徴的なピークの１つ）を検出する。ピークがピーク検出手段48、50により検出されると、それぞれ対応する医療装置12₁、12₂のタイマゼロ設定手段52、54は、対応する内部クロック44、46を内部でゼロに設定する。この時点で、それぞれ対応する医療装置12₁、12₂の内部クロック44、46が時間をカウントし始める。

一実施例では、電力効率を改善するために、生命兆候の新しいピークが存在する毎に継続的に同期させる代わりに、医療装置12₁、12₂は要求時に同期させる。より具体的には、第１及び第２のピーク検出手段48、50に生命兆候のピークを絶え間なく監視させる代わりに、第１のメッセージ手段26は、生命兆候のピークの検出を開始するように第１のピーク検出手段48を起動する。同時に、第１のメッセージ手段26は、通信システム10の他の医療装置（第２の医療装置12₂等）に“ウェイクアップ（wake-up）”をブロードキャスト送信する。その結果、第２の医療装置のピーク検出手段50が起動され、生命兆候のピークを検出し始める。第１及び第２のピーク検出手段48、50によりピークが検出されると、対応する第１及び第２のタイマゼロ設定手段52、54は、第１及び第２の内部クロック44、46の内部時間をゼロに設定する。第１及び第２の内部クロック44、46は時間をカウントし始める。

第１のタイムスタンプ生成手段60は、生命兆候に基づくタイムスタンプT_SENDを生成するために、第１の内部クロック44によりカウントされた時間を使用し、生成されたタイムスタンプT_SENDをメッセージMに付加する。暗号化手段62は、タイムスタンプが付けられたメッセージMを暗号化し、メッセージMを第２の医療装置12₂の第２のメッセージ手段64に送信する。第２の医療装置の復号化手段66は、付加されたタイムスタンプT_SENDを有するメッセージMを復号化する。第２の内部クロック46は、メッセージ受信の内部時間カウント値T_RECEIVEを供給する。第２の医療装置のタイムスタンプ確認手段68は、メッセージ受信の内部時間値T_RECEIVEに対してタイムスタンプT_SENDを確認する。受信タイムスタンプT_SENDがメッセージ受信の時間値T_RECEIVEに比較して少ししか変化していない場合（すなわち、T_RECEIVE-ε≦T_SEND≦T_RECEIVE+ε）、メッセージMは受け入れられる。受信タイムスタンプT_SENDがメッセージ受信の時間値T_RECEIVEに比較してかなり変化している場合（すなわち、T_RECEIVE-ε≧T_SEND≧T_RECEIVE+ε）、メッセージMは再生されていると考えられるため、拒否される。εの値は、メッセージの再生を排除するように適切に小さく選択されなければならない。

一実施例では、同期処理40、42は、所定のタイムアウト期間T_TIMEOUTの後に終了する。

代替実施例では、タイムスタンプに基づく生命兆候は、任意のリセット時間からの周期的な生理作用の複数の繰り返しのカウントを有する。例えば、装置の１つは、全ての装置にリセット又はウェイクアップ信号を送信し、カウンタをゼロに設定させる。その後、装置は、最後のリセットからの検出周期の数（例えば心臓周期のR波のピーク数）をそれぞれカウントする。このカウントは、タイムスタンプの相対時間情報を提供する。

他の代替として、タイムスタンプは、最後のR波のピーク又は他の生命兆候の繰り返しからのR波のピーク数又は他の生命兆候の繰り返し数と時間との組み合わせである。

好ましい実施例を参照して本発明について説明した。前記の詳細な説明を読んで理解することにより、変更及び代替が他人に思いつくことがある。本発明は、特許請求の範囲又はその均等物の範囲にある限り、全てのこのような変更及び代替を含むものとして解釈されることを意図する。

医療装置を有するシステムの概略図 図１のシステムの一部の概略図 例示的な患者のECGヒストグラムの画像

Claims (20)

1. データ部分とタイムスタンプとをそれぞれ有するメッセージを相互に送信又は受信する複数の医療装置を有するネットワークシステムであって、
   各医療装置は：
   患者に取り付けられ、反復性の生命兆候を少なくとも内密的に監視するセンサと；
   前記反復性の生命兆候に基づくタイムスタンプを生成するタイムスタンプ生成手段と；
   を有するネットワークシステム。
2. 各同期手段は：
   少なくとも第１及び第２の医療装置に共通である監視された反復性の生命兆候のピークを検出する第１及び第２のピーク検出手段を有する請求項１に記載のシステム。
3. メッセージが第１の医療装置から離れた送信時間と、前記メッセージが第２の医療装置に到達した受信時間との間の差を評価するように、少なくとも第１及び第２の通信医療装置を同期させる同期手段を更に有する請求項１に記載のシステム。
4. 各同期手段は：
   対応する第１及び第２のピーク検出手段によりピークが検出されたときに、それぞれ関連する医療装置の第１及び第２の内部タイマを初期化し、この時点で、それぞれ初期化された内部タイマが新しい時間カウントを開始するタイマゼロ設定手段；
   を更に有する請求項３に記載のシステム。
5. 前記タイムスタンプは、前記メッセージが前記第１の医療装置を離れたおおよその送信時間を示し、前記第１の検出手段により検出された最後のピークから測定された前記第１の内部タイマのタイムゲージに対応する請求項４に記載のシステム。
6. 前記第１の医療装置は：
   前記メッセージを前記第２の医療装置に送信する前に、前記メッセージを暗号化する暗号化手段；
   を更に有する請求項５に記載のシステム。
7. 前記第２の医療装置は：
   前記送信時間を示す添付のタイムスタンプと、前記メッセージが前記第２の医療装置に到達した受信時間とを比較するタイムスタンプ確認手段；
   を有し、
   前記受信時間は、前記第２の検出手段により検出された最後のピークから測定された前記第２の内部タイマのタイムゲージに対応する請求項６に記載のシステム。
8. 前記同期は、自動的に実行される請求項３に記載のシステム。
9. 前記同期は、前記医療装置のうち１つの要求で実行される請求項３に記載のシステム。
10. 前記タイムスタンプは、共通のリセット時間からの前記反復性の生命兆候の複数の繰り返しを示す請求項１に記載のシステム。
11. それぞれセンサを有する医療装置間でのネットワーキング方法であって：
    前記センサを患者の身体に取り付け；
    前記患者の反復性の生命兆候を少なくとも監視し；
    反復性の生命兆候に基づくタイムスタンプを生成し；
    データ部分とタイムスタンプとをそれぞれ有するメッセージを１つの医療装置から他の医療装置に送信及び受信することを有する方法。
12. 少なくとも第１及び第２の通信医療装置を同期させることを更に有する請求項１１に記載の方法。
13. 前記第１及び第２の医療装置により反復的に監視される共通の生命兆候のピークを検出することを更に有し、
    前記生命兆候は、少なくとも第１及び第２の医療装置に共通であり、
    前記同期させるステップは：
    前記検出されたピークに前記第１及び第２の医療装置を自動的に同期させることを有する請求項１２に記載の方法。
14. 前記同期させるステップは：
    関連する第１及び第２の医療装置により前記ピークが検出されたときに、対応する内部タイマを初期化し；
    それぞれ関連する医療装置の各内部タイマで新しい時間カウントを開始することを更に有する請求項１３に記載の方法。
15. 前記メッセージを前記第２の医療装置に送信する前に、前記第１の医療装置で前記メッセージを暗号化し；
    暗号化の前に前記メッセージにタイムスタンプを添付し、前記タイムスタンプは、前記メッセージが前記第１の医療装置を離れたおおよその送信時間を示し、前記第１の医療装置により検出された最後のピークから測定された前記第１の内部タイマのタイムゲージに対応し；
    前記第２の医療装置で前記メッセージを受信し；
    前記添付のタイムスタンプと、前記メッセージが前記第２の医療装置に到達した受信時間とを比較し、前記受信時間は、前記第２の医療装置により検出された最後のピークから測定された前記第２の内部タイマのタイムゲージに対応することを更に有する請求項１４に記載の方法。
16. メッセージが前記第１の医療装置を離れた送信時間と、前記メッセージが前記第２の医療装置に到達した受信時間との間の差を評価することを更に有する請求項１５に記載の方法。
17. 前記添付のタイムスタンプが前記第２の医療装置により検出された最後のピークから測定された前記第２の内部タイマのタイムゲージに実質的に等しい場合に、前記第２の医療装置で前記メッセージを受け入れることと；
    前記添付のタイムスタンプが前記第２の医療装置により検出された最後のピークから測定された前記第２の内部タイマのタイムゲージと実質的に異なる場合に、前記第２の装置で前記メッセージを拒否することと；
    のうち１つを更に有する請求項１６に記載の方法。
18. 前記同期させるステップは：
    前記第１及び第２の医療装置による監視された共通の生命兆候のピークの検出を開始し；
    前記ピークが検出されたときに、関連する第１及び第２の内部タイマを同期させることを有する請求項１２に記載の方法。
19. 前記同期させるステップは、前記第１及び第２の医療装置の双方をリセットする信号を送信することを有し、
    前記共通の反復性の生命兆候の複数の繰り返しをカウントし；
    前記カウントを前記タイムスタンプに組み込むことを更に有する請求項１２に記載の方法。
20. 前記反復性の生命兆候の最後の繰り返しからの時間を測定し；
    前記測定時間を前記タイムスタンプに組み込むことを更に有する請求項１９に記載の方法。

Images