(57)【特許請求の範囲】
【請求項１】
一つ以上のボディセンサネットワークを含む無線医用センサネットワーク内にボディセンサネットワークを形成する、互いに通信し患者の身体に取り付けられる一つ以上の無線医用センサと、前記無線医用センサ間で安全な通信を可能にするための前記無線医用センサの各々へ組み込まれるλ安全キーイング手段と、前記ボディセンサネットワーク内の一つ以上の無線医用センサと通信する、前記ボディセンサネットワーク内の個人セキュリティマネージャと拡張された個人セキュリティマネージャを形成するため前記個人セキュリティマネージャへ接続されるヘルスケアカードとを有し、前記個人セキュリティマネージャは、バックエンドサービスとの安全な通信を供給し、前記λ安全キーイング手段により前記ボディセンサネットワーク内の安全な関係を供給し、前記λ安全なキーイング手段は、せいぜいλのセキュリティ侵害された無線医用センサの連合が、何れの２つのセキュリティ侵害されていない無線医用センサ間のペアをなすキーを隠し、λ＋１の無線医用センサがセキュリティ侵害されるまで、ノードのセキュリティ侵害に対する保護を供給し、前記ヘルスケアカードは、バックエンドヘルスケアサービスとの安全な通信のためのセキュリティ情報及び識別情報を含み、前記個人セキュリティマネージャは、ローカル信用センターにより発行される証明書を含み、当該システムは、監査、アクセスコントロール、プライバシー保護、及び／又は前記ヘルスケアカードとの前記個人セキュリティマネージャの相互認証のためのセキュリティプロトコルを実行する、安全なエンドツーエンド患者ヘルスケアシステム。
【請求項２】
前記無線医用センサ及び前記個人セキュリティマネージャが、ボディ結合通信により通信する、請求項１に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項３】
前記ボディセンサネットワークからの情報が患者のアイデンティティにリンクされ、前記患者のヘルスケアカード及び前記個人セキュリティマネージャが、多数の無線医用センサネットワークセキュリティドメインを普及しているヘルスケアシステムへ接続するために、拡張された個人セキュリティマネージャを形成し、前記拡張された個人セキュリティマネージャが、前記ローカル信用センターにより発行される前記証明書を格納し、中央のヘルスケアサービスにより発行されるエンドツーエンドセキュリティ通信を確立するために前記λ安全なキーイング手段を格納し、前記拡張された個人セキュリティマネージャ及び前記ヘルスケアカードの相互認証、エンドツーエンドセキュリティ、監査、並びに／又は状況アクセスコントロール及びプライバシー方針の管理を可能にするための前記セキュリティプロトコルを実行する、請求項１又は２に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項４】
前記拡張された個人セキュリティマネージャは、患者が前記医用センサネットワークに加わるとき、患者のヘルスケアカード及び患者の個人セキュリティマネージャを認証する、請求項３に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項５】
前記個人セキュリティマネージャは、前記ヘルスケアカードを受け取るスマートカードリーダーを有し、前記ヘルスケアカードは、個人識別情報、医療情報、セキュリティマテリアル及び／又はセキュリティ方針を含む、請求項３に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項６】
前記個人セキュリティマネージャは、ユーザ名、識別子、セキュリティマテリアル、医療記録又は種々異なる医用センサネットワークのためのアクセス制御方針を含む、請求項５に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項７】
前記拡張された個人セキュリティマネージャは、グローバルユーザの識別、患者エリアネットワーク、及び個人電子ヘルスケア情報を含み、前記個人電子ヘルスケア情報は前記患者エリアネットワークから来る、請求項５に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項８】
前記ヘルスケアカードに格納されるセキュリティ情報が、ユーザを識別して認証し、前記患者のボディセンサネットワークと中央の又はバックエンドヘルスケアサービスとの間の橋渡しとして働く、請求項３に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項９】
前記拡張された個人セキュリティマネージャは、前記ヘルスケアカードのための追加のスマートカードスロットを備える移動電話である、請求項３に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項１０】
ボディセンサネットワークと関連する前記無線医用センサにより形成される自律的安全ドメインを更に有し、前記拡張された個人セキュリティマネージャは、前記ボディセンサネットワークの信用センターであり、前記ボディセンサネットワークのメンバーの安全な連合又は取り消しを制御する、請求項３に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項１１】
前記拡張された個人セキュリティマネージャ及び前記無線医用センサは、医用センサネットワークの信用センターとの接続が失われる場合であっても、前記患者のヘルスケアカードに、前記ボディセンサネットワークで実施される動作及び交換される情報を安全に格納する、請求項１０に記載の安全なエンドツーエンド患者ヘルスケアシステム。
【請求項１２】
前記個人セキュリティマネージャに、ローカル医用センサネットワーク信用センターにより発行される証明書を格納するステップと、個人セキュリティマネージャと組み合わせたヘルスケアカードの使用により拡張された個人セキュリティマネージャを形成するステップと、無線医用センサと中央のヘルスケアサービスとの間のエンドツーエンド安全な通信を確立するために前記ヘルスカードの使用によりセキュリティ情報及び識別情報を供給するステップと、前記個人セキュリティマネージャ及びヘルスケアカードの相互認証、エンドツーエンドセキュリティ、監査、並びに／又は状況アクセスコントロール及びプライバシー方針の管理を可能にするためのセキュリティプロトコルを実行するステップとを有する、請求項１に記載の安全なエンドツーエンド患者ヘルスケアシステムにおける安全なエンドツーエンド患者ヘルスケア通信のための方法。
【請求項１３】
個人セキュリティマネージャが、ボディセンサネットワーク内にあり、前記ボディセンサネットワーク内の一つ以上の無線医用センサと通信し、前記個人セキュリティマネージャは、バックエンドサービスとの安全な通信を提供し、λ安全なキーイング手段により前記ボディセンサネットワーク内の安全な関係を提供し、前記一つ以上の無線医用センサは患者の身体に取り付けられ、一つ以上のボディセンサネットワークを含む無線医用センサネットワーク内の前記ボディセンサネットワークを形成するために互いと通信し、λ安全なキーイング手段は、前記無線医用センサ間の安全な通信を可能にするため前記無線医用センサの各々に組み込まれ、前記λ安全なキーイング手段は、せいぜいλのセキュリティ侵害された無線医用センサの連合が、何れの２つのセキュリティ侵害されていない無線医用センサ間のペアをなすキーを隠し、λ＋１の無線医用センサがセキュリティ侵害されるまで、ノードのセキュリティ侵害に対する保護を供給し、ヘルスケアカードが、拡張された個人セキュリティマネージャを形成するため前記個人セキュリティマネージャへ接続され、前記ヘルスケアカードは、バックエンドヘルスケアサービスとの安全な通信のためのセキュリティ情報及び識別情報を含み、前記個人セキュリティマネージャは、ローカル信用センターにより発行される証明書を含み、当該システムは、監査、アクセスコントロール、プライバシー保護、及び／又は前記ヘルスケアカードとの前記個人セキュリティマネージャの相互認証のためのセキュリティプロトコルを実行する、安全なエンドツーエンド患者ヘルスケアシステムのための個人セキュリティマネージャ。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は電子セキュリティシステムに関する。特に、本発明は、安全なヘルスケアアクセス及び監視のための装置及び対応する方法に関する。
【背景技術】
【０００２】
無線センサ回路ネットワークは、ますます健康監視のために展開され、ユビキタス患者監視システムに至っている。これらのシステムにおいて、各患者は、在宅で、病院で、又は実質的にどこにおいても患者のバイタルサインを監視可能にするボディセンサ回路ネットワーク（ＢＳＮ）を坦持する。この明細書において、患者は、非常に異なるシナリオで、及び医用センサノード又は装置の異なるセットで監視できる。
【０００３】
センサ及び無線通信技術は、急速に進化し、ヘルスケアのような新しいアプリケーション領域を獲得している。無線医用センサ（ＷＭＳ）は、より小さくより強力になっていて、慢性の疾病管理のような広範囲にわたる医療用途のためのユビキタス使用を可能にする。典型的ヘルスケア設定において、様々なパラメータ、例えば、ＥＣＧ、ＳｐＯ２及び血圧の測定を供給する一組のＷＭＳは、ユーザボディセンサ回路ネットワーク（ＢＳＮ）を形成し、健康を監視し、ユーザのバイタルサインを測定し、ユーザの電子健康情報（ＥＨＩ）を携帯電話のようなゲートウェイへ転送することを可能にする。ゲートウェイは、ユーザが、直接アクセスし、ユーザのＥＨＩを処理し、更にＥＨＩを例えばヘルスケアサービスプロバイダへ転送可能にし、当該プロバイダにおいて、ＥＨＩは、格納され、医療スタッフ、家族又はスポーツトレーナのような認可された団体によりアクセスされ又は変更される。
【０００４】
ＢＳＮのユビキタス使用は、例えば在宅で又は訓練の間、ユーザの通常の環境を健康監視できるようにし、よってユーザの健康及びヘルスケア品質を増進し、更にヘルスケアセクターのコスト削減を可能にする。これらの多様な状況及び位置の健康監視は、医用センサ回路ネットワーク（ＭＳＮ）によって、診療室、フィットネスセンター、病院又は老人ホームのような種々異なる組織により行われる。ＭＳＮは、疾患に特有のセンサ及びアルゴリズムで少ない又は多くのユーザのバイタルサインを監視するために用いられるＷＭＳの大きなプールを有する。よって、ＭＳＮは、サイズ、機能又はアプリケーションの分野に関して種々異なる操作上の要件を持つ。ＭＳＮにおいて、ＷＭＳの任意のサブセットは、患者のＢＳＮを形成し、リアルタイムに患者の健康状態を監視するために、患者と関係している。ユーザの測定されたＥＨＩは、ＢＳＮのＷＭＳにより、又は臨床ＰＤＡにより処理でき、又はローカルＭＳＮデータベース、若しくは他の処理のためのバックエンドヘルスケアサービス、例えば、ヘルスケアサービスプロバイダ、疾病管理サービス、個人健康記録サービス又はインプラント監視サービスへゲートウェイを介して送信できる。
【０００５】
普及しているＭＳＮは、種々異なる組織に属するので、普及しているＭＳＮは互いに切り離されている。結果的に、種々異なるＭＳＮからのＷＭＳは、技術的な非互換性のためハードウェア及びソフトウェアレベルで、又は種々異なるセキュリティ方針のため組織的レベルで共同利用できないかもしれない。しかしながら、普及しているヘルスケアに対するビジョンは、全てのＭＳＮアプリケーションシナリオが協働して、ユーザがＭＳＮ間で移動し、ユーザの健康状態が病院又は保険会社を含む種々異なる組織の許可された人員により監視できることを保証するためにバックエンドサービスに接続されることを必要とする。
【０００６】
ユーザの医療的なデータのイントラＭＳＮ及びインターＭＳＮの交換は、基本的セキュリティサービス、例えば守秘及び認証を要求するプライバシー及びセキュリティ懸念を導く。これらのセキュリティサービスは、ＨＩＴＲＵＳＴのようなヘルスケア同盟により要求されるような患者の安全及びプライバシーを保証しなければならず、米国のthe  Health  Insurance  Portability  and  Accountability  Act（ＨＩＰＡＡ）及びデータ保護に関するヨーロッパ指令９５／４６のような法令に従わなければならない。特に、ユーザのＥＨＩは、未許可のパーティがユーザの医療データにアクセスするのを防止するために、端から端まで（エンドツーエンド）、すなわち、ユーザのＢＳＮのＷＭＳからＭＳＮデータベース及びバックエンドヘルスケアサービスまで保護されなければならない。しかしながら、斯様な環境においてプライバシーを提供することは、（ｉ）インター及びイントラＭＳＮユーザモビリティ、（ｉｉ）ＷＭＳのリソース拘束性質、（ｉｉｉ）ＭＳＮのＷＭＳプールのうちの何れのサブセットのＷＭＳも、ユーザの健康状態を監視するために用いられるＢＳＮを形成できるという事実、及び（ｉｖ）普及しているＭＳＮの全体のシステムにおける明白なユーザ及びＢＳＮ識別の要件を含むＭＳＮ特徴のため難しい。
【０００７】
セキュリティ及びプライバシー問題は、中央のバックエンドサービス及び孤立したＭＳＮアプリケーションシナリオ両方に焦点をあてられた。例えば、ＸＭＬセキュリティインフラストラクチャが、バックエンドインフラストラクチャのＥＨＩへのアクセス制御を提供するために導入された。孤立したヘルスケアアプリケーションの無線センサ回路ネットワークに対するセキュリティ問題が分析された。スタンドアローン臨床情報システムのセキュリティ要件及びインフラストラクチャが、提示された。しかしながら、従来技術は、普及しているＭＳＮの全体のシステムで患者のＢＳＮが明白に識別されることができ、ＷＭＳが安全及び効率的な態様で患者の患者領域ネットワーク（ＰＡＮ）又はＢＳＮに関連でき、端から端までのセキュリティが効率的な鍵配送手法によって供給できる包括的なセキュリティシステムの明確さを欠いている。
【０００８】
ＨＩＰＡＡのような指令により法的に要求される医療用途の厳密なセキュリティ要件を満たすことは難しい。ユーザの医療データの安全及びプライバシーは、端から端まで、すなわち個々のセンサノードからバックエンドヘルスケアサービスまで保証されなければならない。これは、下記のような普及している医用センサ回路ネットワーク（ＭＳＮ）の特徴：（ｉ）患者のイントラ及びインターＭＳＮモビリティをサポートする、（ｉｉ）医用センサのリソース制約性質を考慮する、（ｉｉｉ）ワイヤレス医用センサの医用センサ回路ネットワークのプールの何れのサブセットからもユーザのボディセンサ回路ネットワークを形成する、（ｉｖ）明白なユーザ及びボディセンサネットワーク識別を供給することのため、特に難しい。
【０００９】
普及しているヘルスケアシステムは、ヘルスケアシナリオの幅広い範囲に適用でき、多様な技術を組み合わせる。組織的レベルで、普及しているヘルスケアシステムは、種々異なる機関、例えば、病院、フィットネスセンター、診療室センター又は在宅ベースで制御されるＭＳＮに分けられる。一般に、ＭＳＮは、スタンドアローン様式で動作する、分散された大規模のアドホックネットワークである。ＭＳＮは、異なる患者及びＢＳＮに関連した多数のＷＭＳを有する。一般に、同じ患者と関連したＷＭＳだけが互いに通信するので、ＢＳＮは接続されない。患者及びノードモビリティ両方が、ＭＳＮトポロジを非常に動的にする。従来技術においては、実行レベルで、種々異なるＭＳＮに使用されるＷＭＳは、ＷＭＳが互換性を持つ技術に基づかず、種々異なるセキュリティドメインに帰属するので、技術的及びセキュリティポイントの観点から、共同利用できない。
【００１０】
ＷＭＳを着用でき、ＷＭＳがユーザの日常生活に負担をかけるのを防止するために、ＷＭＳは、小さく且つ軽量である必要がある。これらのサイズ及び重量制約の結果として、ＷＭＳは、また、電池寿命、利用できるメモリ及び計算パワーに関しても拘束される。本明細書では、ＩＥＥＥ８０２．１５．４及びＺｉｇＢｅｅは、低レート無線個人エリアネットワーク（ＰＡＮ）又はＢＳＮアプリケーションに合う、低エネルギ、メモリ及び計算要件のため、２つの鍵となる標準である。
【００１１】
ＢＳＮを形成するＷＭＳの制限された無線到達距離のため、ＷＭＳは、管理、格納及び患者の医療データへのアクセスを与える遠隔バックエンドヘルスケアサービスとの持続的な連結性を保証するためのゲートウェイ装置に依存する必要がある。ゲートウェイとヘルスケアサービスとの間の通信は、モバイルＢＳＮのための無線手段、又は制限される閉環境、例えば病院内アプリケーションのための有線手段により達成される。ＷＬＡＮ、ＧＳＭ、ＵＭＴＳ又はイーサネット（登録商標）のような良く知られた技術が、これらの目的のために用いられる。バックエンドヘルスケアサービス、例えば、ヘルスケアプロバイダサービス、個人ヘルスケア記録サービス又はヘルスケアセキュリティサービスは、中央に集められる性質である。しかしながら、これらのヘルスケアサービスは、様々なヘルスケア機関又は保険会社に分散されてもいるだろう。
【００１２】
ＭＳＮの動作要件だけでなく医療用途に使用されるＷＭＳの技術的特徴は、特に従来のコンピュータネットワーク又は静的スタンドアローン無線センサネットワークと比較されるとき、セキュリティシステムの定義に対する新規なチャレンジを課す。
【００１３】
第１に、ＷＭＳは、リソース拘束装置である。例えば、ＭＩＣＡｚプラットフォームが、ＷＭＳのデザインの多くの研究機関により使われている。ＭＩＣＡｚは、１２８Ｋバイトのプログラムフラッシュメモリ、４ＫバイトのＲＡＭを装備している。無線チップ、ＣＣ２４２０は、ハードウェアのＡＥＳを実行し、２５０ｋｂｐｓで通信し、ＣＰＵは、８ＭＨｚのクロック周波数で動いて、分割演算を欠いている。従って、セキュリティ解決案は、省エネ型で、メモリ要件を最小化し、特にＲＡＭが、ＤｏＳ（サービスの妨害）アタックを回避するために、ごくわずかな量しか計算及び通信リソースを消費しないようにしなければならない。
【００１４】
医療用途に要件を課している他の面は、ＢＳＮセットアップ時間だけでなく、医療情報の送信上の最大許容待ち時間にも関する。例えば、ＥＣＧは２５０ミリ秒の最大の待ち時間を必要とし、ネットワークセットアップは１秒未満に行われなければならない。従って、セキュリティ手順の実行時間は、例えば、医師の巡回の間、毎日の通常のオペレーションを制限せずに、アタッカーによるサービス妨害アタックを開始するのを防止するために、最小化されなければならない。
【００１５】
加えて、セキュリティシステムは、ＭＳＮ及びＷＳＮレベル両方で拡張可能でなければならない。一方では、普及しているヘルスケアアーキテクチャは、例えば、普及しているヘルスケアシステムにおいて、新しい老人ホームの新規なＭＳＮを加えて、統合できるようにしなければならない。他方では、スタンドアローン型ＭＳＮは、例えば、病院において、数千のＷＭＳを有する。したがって、これらの提供だけでなくセキュリティサービスは、多数のＭＳＮ及び患者のための真にユビキタス及び安全なヘルスケアシステムを可能にするために、これらのレベルの両方で拡張可能でなければならない。
【００１６】
ＭＳＮのユーザとのＷＭＳのモビリティ及びユーザ間のＷＭＳのモビリティは、鍵配送手法だけでなく、ＢＳＮ連合及び構成上の追加の要件を課す。第１に、非常に頻繁に起こり得るＢＳＮ連合は、患者の看護から注意を逸らすことを回避するために、医療スタッフに対して、控え目で、自動で、明白で、安全で、且つトランスペアレントでなければならない。各ＢＳＮは、ＷＭＳをいつでも結合及び離すことができ、例えば、病院のＭＳＮの新規なＷＭＳが、患者に取付けられ、患者のＢＳＮと関連することができる、ＭＳＮの範囲内の動的な独立セキュリティドメインとして考えられ得る。他方では、患者及び介護者のモビリティは、ＭＳＮトポロジ動態をなし、ネットワーク区分化及びネットワーク合併化を導く。例えば、病院設定の患者のＢＳＮは、例えば病院の庭を散歩するとき、病院のＭＳＮ及びインフラストラクチャから分離される。医療的緊急事態のような状況は、医師による応急手当を必要とする。よって、医師は、アドホックな態様で安全な通信を確立し、幾つかの鍵配送プロトコルの使用を避けながら、安全な態様で患者のバイタルサインを監視することが可能でなければならない。
【００１７】
最後に、ヘルスケアシステムは、種々異なるＷＭＳにより異なるＭＳＮで生成されるユーザのＥＨＩを明白に連結するために、種々異なるＭＳＮのＢＳＮ及びユーザの固有の識別を可能にすべきである。
【００１８】
セキュリティチャレンジ
包括的なセキュリティシステムを定めるために焦点をあてられる必要がある３つの主要なセキュリティチャレンジ：普及しているＭＳＮ内の鍵配送、安全なＢＳＮ連合及び明白且つ固有のユーザ識別がある。
【００１９】
鍵配送は、イントラ及びインターＭＳＮ両方においての守秘性及び認証のような最も基本的なセキュリティ要件を可能にするために用いられる暗号鍵をＷＭＳがどのように受けて扱うかについて定めるので、スタンドアローン型ＭＳＮ及び相互接続ＭＳＮ両方のセキュリティのかなめである。公開鍵、中央の（オンライン）信用センター又はキーシェアリングに基づく様々な非常に異なる鍵配送技術がある。一般に、１つの手法又は他の手法の実現可能性は、各特定の医療設定の技術的な制限及び操作要件に依存する。例えば、対称形の暗号鍵は、小さなＭＳＮ内の静的ＢＳＮに帰属するＷＭＳ上に予め設定できる。しかしながら、この構成は、ＢＳＮメンバシップが予測不可能であるノードモビリティのため、非常に動的な環境、例えば病院においては不可能である。計算的に複雑な演算を実行することは、バッテリ消耗及び通信遅延を増大し、医療データの必要な処理をおそらく阻止できるサービス妨害攻撃に通信プロトコルが影響されやすくなる。楕円曲線暗号に基づく公開鍵システムで最も効率的な実行は、単一のポイント乗算、すなわち、共通の鍵を決めるための基本的動作のため０．８１秒を依然必要とする。この事実は、これらの鍵確立プロトコルが、計算及びエネルギリソースをターゲットとするリソース消耗攻撃を受けやすくする。よって、ＭＳＮの公開鍵暗号法の使用は、できるだけ最小化されなければならない。オンライン信用センター（ＴＣ）に基づく鍵確立は、ＷＭＳ、例えばＺｉｇＢｅｅへ鍵を配送するためにＴＣに依存する。この手法は、これらのノードの電池を消耗させるＴＣへの経路上のノードに対する増大されたトラフィック量及びＴＣの失敗性質のワンポイントを特徴とする。サービス妨害攻撃及びパケット衝突は、また、ＷＭＳが最初のキー合意ハンドシェイクに成功すること、よってＷＭＳが医療データを送信することを防止する。加えて、ＴＣとの連結性は、医療的な緊急事態及び災害応答のような多くの状況で保証できない。これらの理由により、ハッシュ関数又は多項式のような直接のキー合意を可能にする計算的に安価な対称形の鍵となる暗号解決案は、スタンドアローン型ＭＳＮの好ましいオプションである。
【００２０】
セキュリティＢＳＮ連合は、ＢＳＮの形成を示し、ＢＳＮのＷＭＳがどのように識別され、特定のユーザとどのように関連しているかを示す。固定セットの無線センサだけが通信している静的シナリオにおいて、ＢＳＮ連合は、単純なペアリング手順によって一度だけ実施される。しかしながら、ユーザのＢＳＮがＭＳＮのＷＭＳプールからとられるＷＭＳの任意のセットから成る老人ホーム又は病院のようなより複雑な設定では、ＷＭＳは患者に安全な態様で連合しなければならない。ＭＳＮのセキュリティドメイン内では、ＢＳＮは、セキュリティ関係が自主的な態様で扱われる完全に独立したセキュリティサブドメインとして理解されなければならない。
【００２１】
ＢＳＮ連合の課題が、種々異なる態様で最近言及されてきた。バルドゥスらによる「メディカルボディセンサネットワークの信頼性が高いセットアップ」（ＥＷＳＮ２００４）は、赤外線を介して医療的なノードにＢＳＮ識別子を分散するためのセットアップペンを使用した。ＢＬＩＧ手法（Ｊ．アンデルセン及びＪ．Ｅ．バードラムによる「ＢＬＩＧ：ボディセンサネットワークにおけるセンサ識別、グループ化及び認証のための新しい手法」２００７年３月２６〜２８日のＷｅａｒａｂｌｅ  ａｎｄ  Ｉｍｐｌａｎｔａｂｌｅ  Ｂｏｄｙ  Ｓｅｎｓｏｒ  Ｎｅｔｗｏｒｋｓの第４回国際ワークショップ（ＢＳＮ２００７）アーヘン、ドイツ）は、身体に取付けた特別なノードを利用する。短距離通信技術によって、他のノードがユーザ識別子近くに持って来られるとき、他のノードは、ユーザ識別子を受信する。ファルクらの２００６年１２月１日のPervasive  Health  Conference  and  Workshops,2006,vol.,no.,pp.1-5,Nov.292006「無線メディカルボディセンサのためのプラグインプレイ簡明さ」は、ユーザ及びＢＳＮ  ＩＤを配送するためのボディ結合通信（ＢＣＣ）技術の使用を提案する。この手法では、各患者は、ＢＣＣにより、患者のボディに取付けられるＷＭＳへ患者のＩＤ及び他の構成情報を自動的に配送する識別トークンを担持する。従って、この手法は、ＢＳＮセットアップの間、臨床医の処置を必要としない。しかしながら、これらの手法が基本的なセキュリティサービスをサポートせず、ＢＳＮを独立セキュリティドメインへ変えることを可能ともしないので、安全なＢＳＮ連合プロトコルが必要である。
【００２２】
明白及び固有のユーザ識別は、前述したような種々異なる医療設備を備える種々異なるＭＳＮに個人が参加できるという事実を指す。測定された医療情報は、独立した普及しているＭＳＮ間でのインターオペラビリティを可能にするために、全体のヘルスケアシステムで認識されるマスター患者識別子へ、自動的態様でリンクされなければならない。これらの識別子は、種々異なる管理及びヘルスケア機関の間でのインターオペラビリティを保証するために規定されなければならない。動的なセッション識別子は、患者のプライバシーを保証し、状況に応じて種々異なる態様で患者を識別するために用いられてもよい。
【００２３】
上述の要件の３つ全てに対する統合された解決案は、ＷＭＳとバックエンドヘルスケアサービスとの間でエンドツーエンドのセキュリティだけでなく安全なＢＳＮ及びＭＳＮの配備を可能にする。ユーザが異なるＭＳＮ組織間を移動し、幾つかのアプリケーションでユーザのＢＳＮがＷＭＳのＭＳＮのプールから任意に取り上げられたＷＭＳのサブセットを有することができるので、斯様なシステムのデザインは難しくて複雑である。
【００２４】
追加のセキュリティ要件
システムの安全な構成を保証することを目的とする主要なセキュリティ論点に加えて、付加的なセキュリティサービスが必要である。これらの従来の多数のセキュリティサービスの提供は、暗号鍵及び識別子に基づくことに注意されたい。これらの概要を簡潔に示す。
ａ）プライバシー及び守秘性とは、アタッカーが通信を盗聴するのを防止するためのデータ、識別及び状況情報の保護を指す。例えば、データ守秘性は、Advance  Encryption  Standard  (AES)のような暗号化アルゴリズムによって達成される。
ｂ）データ保全性は、例えば、メッセージ認証コードによって無許可の操作からのデータの保護を指す。
ｃ）識別及び認証は、種々異なる医療イベント、ユーザアイデンティティ及び交換されたデータの妥当性を保証するために用いられる技術を対象にする。識別子は、ＨＩＰＡＡにより要求されるようなインターオペラビリティ及び明白な識別を保証するために、定められ標準化されなければならない。識別は、認証を保証するために、幾つかの暗号鍵マテリアルとリンクされなければならない。
ｄ）監査は、全てのデータアクセスを記録するために用いられる技術を指し、アカウンタビリティについてのＨＩＰＡＡ要件を満たすことが要求され、誤用の場合にトレース可能な記録を提供する。
ｅ）アクセス制御技術は、患者のＥＨＩ及びＢＳＮへのアクセスを許可するために必要である。加えて、アクセス制御方針は、Ｒ．Ｊ．アンダーソンによる「臨床情報システムのセキュリティポリシーモデル」sp,p.0030,1996  IEEE  Symposiumon  Security  and  Privacy,1996及びK.Sohr,M.Drouineaud,G.Ahn.による「臨床情報システムのための役割ベースのセキュリティポリシーの正式な仕様書」ACM  Symposiumon  Applied  Computing,  2005,  Santa  Fe,  New  Mexico,  March13-17,2005に定められているようなアクセス制御優先権及び委任のようなアドレス論点を定めるべきである。
【００２５】
セキュリティ及びプライバシーは、米国のＨＩＰＡＡ又はヨーロッパのデータ保護に関するヨーロッパ通達９５／４６のような法的要求を満たすために、医療領域にとって重要である。この状況において、病院内のバックエンドヘルスケアサービスと医用センサノード（又は装置）との間のエンドツーエンドのセキュリティは、現在未解決である最も重要な課題である。エンドツーエンドのセキュリティは、患者を監視するために用いられるセンサノードのセットから独立し、看護サイクルの間に使用されるヘルスケアサービスから独立していなければならない。この要件は、（ｉ）ボディセンサネットワークの安全な連合、（ｉｉ）ボディセンサネットワーク内の医療関連情報の安全な格納、（ｉｉｉ）全体のシステムにおける明白であるが同時に患者のプライバシー認識識別、及び（ｉｖ）センサノードとヘルスケアサービスとの間の患者情報の安全な送信を含む。
【００２６】
関係のある既知の従来技術は、これらの課題を解決していない。
米国特許出願公開番号２００７／００４３５９４は、（ｉ）ＮＦＣ（近視野通信）コントローラチップ、（ｉｉ）スマートカードコントローラチップ、（ｉｉｉ）無線ピアツーピア通信プロトコル等を有する電子ヘルスケア送出システムを記載する。このシステムの目的が、普及するヘルスケアを可能にするにもかかわらず、幾つかの基本的な違い及び欠点がこの従来技術内にある。第１に、このシステムは、ＮＦＣ技術に依存すると指摘されなければならない。重要なことに、この特許出願は、セキュリティ問題、例えば、鍵配送、ボディセンサネットワーク連合、普及しているヘルスケアのエンドツーエンドのセキュリティに全く対処していない。同様に、この特許出願は、無線センサネットワーク及びボディセンサネットワークを全く開示していない。
【００２７】
ドイツ特許出願番号ＤＥ２０００８６０２Ｕは、患者により坦持されている一組のＥＣＧセンサにより測定される患者のバイタルサインが、患者の識別とリンクされているシステムを開示する。この特許出願は、患者の識別を可能にするためのカードリーダーを開示する。しかしながら、このシステムは、エンドツーエンドのセキュリティを開示していないし、ボディセンサネットワーク連合を確保していない。
【００２８】
米国特許出願ＵＳ２００５／１０２４５９９５Ａ１は、電子医療インプラント並びにデータ収集及び評価センターとの無線通信のためのデータ伝送ユニットを開示する。このシステムは、ボディセンサネットワーク内の鍵配送を含む医用センサネットワークからのエンドツーエンドのセキュリティプロトコル、ボディセンサネットワーク連合、ボディセンサネットワーク識別及びエンドツーエンドのセキュリティを開示していない。
【００２９】
米国特許出願ＵＳ２００３／１０２２９５１８Ａ１は、患者の動作を記録する方法を開示する。このシステムは、医療機器の使用の間に得られたデータが患者に帰するように、患者を識別するための医療機器を提供する。このシステムは、ボディセンサネットワークを識別し、ボディセンサネットワークからバックエンド医療システムまでのエンドツーエンドのセキュリティ手段を可能にするためのシステムを開示していない。
【００３０】
米国特許第６，５６４，０５６号Ｂ１は、コントローラに登録される装置を管理するコントローラを記載する。各装置は、コントローラのカードリーダにメモリを挿入することにより、コントローラに登録される。コントローラと装置との間の通信は、暗号化キーとして装置の識別子を用いて保証される。このアプリケーションは、ボディセンサネットワーク装置を識別し登録するが、ボディセンサネットワークユーザを識別するカードリーダーを開示していない。
【００３１】
米国特許出願ＵＳ２００２１０１８８４７３は、患者の識別を含み、ユーザが患者の医療履歴にアクセスすることができるシステムを記載する。このシステムは、スマートカードに基づく。このシステムは、無線センサネットワーク及びボディセンサネットワーク、ボディセンサネットワーク識別、センサノード識別に対処していないし、ボディセンサネットワーク連合及びセンサノードと医療バックエンドシステムとの間のエンドツーエンドのセキュリティを保証していない。
【００３２】
国際公開公報ＷＯ２００７／１４９８５０Ａ２は、配送態様で、病院内の一対の装置が共通のキーで合意できる鍵配送方法を記載する。この態様では、この特許出願は、センサノード間、又はセンサノードとベッドサイドモニタとの間の基本的セキュリティサービスを保証する。しかしながら、エンドツーエンドのセキュリティの重要なセキュリティギャップが、まだ未解決である。
【００３３】
国際公開公報ＷＯ２００８／０１４４３２Ａ２は、ボディ結合通信（ＢＣＣ）に基づいて患者の識別を可能にする方法を記載する。この特許出願では、各患者が、ボディ結合通信タグを坦持している。患者が特定の医療装置等を利用したいとき、医療装置は、患者ＩＤを受信するためにボディ結合通信によってボディ結合通信タグと通信する。この態様では、医療装置は、患者の測定を個人化するため、又は測定を医師へ転送する前に、測定されたバイタルサインに患者の識別を取付けるため患者の識別情報を利用できる。この手法が非常に単純な態様で患者の識別を可能にするが、システムに対するセキュリティ脅威が考慮されていない。例えば、侵入者ボブは、アリスのタグを盗んで、アリスの識別情報を読み出し得る。その後、ボブは、アリスの役を演じたり、又はアリスの個人的医療情報へのアクセスさえ得られる。本願は、ボディセンサネットワークノードとバックエンドヘルスケアサービスとの間のエンドツーエンドのセキュリティの課題に対処する。この目的で、本願は、
１．ボディセンサネットワークの全ての装置間の全ての通信が認証及び守秘性に関して安全であるという意味において、ボディセンサネットワークのセットアップと、
２．患者がボディセンサネットワーク、バックエンドセキュリティサービス等を含む全体のシステムで明白に識別されるという意味で、患者の明白な識別と、
３．許可された個人だけがアクセスできる医療関係の情報の格納というセキュリティ問題を解決する。
【発明の概要】
【発明が解決しようとする課題】
【００３４】
安全なエンドツーエンドの患者ヘルスケアシステムは、安全な態様で、患者の情報、例えば識別子及び／又は医療関係の情報を坦持するボディセンサネットワークＢＳＮの個人セキュリティマネージャＰＳＭの使用に基づく。個人セキュリティマネージャは、ボディセンサネットワーク、例えば、医用センサノード又は監視装置内の残りのセンサノードＷＭＳと安全な態様で通信でき、ボディ結合通信ＢＣＣによって、バックエンドシステムを含む全体のシステム内で認識される本当の患者識別子を送信できる。ＢＣＣは好適な技術であるが、近接通信ＮＦＣ等のような他の技術が同様に使用できる。加えて、個人セキュリティマネージャは、また、患者識別子、公開鍵等を含むセキュリティ情報を坦持し、これは、個人セキュリティマネージャが患者の身元を認証し、バックエンドシステムを備えるエンドツーエンドのセキュリティを可能にできる。ＰＳＭとバックエンドシステムとの間のセキュリティは、公開鍵基盤に基づくか、又は信用できる第３者（Ｋｅｒｂｅｒｏｓコンピュータネットワーク認証プロトコルのような）又は他の組合せに基づくだろう。
【００３５】
ユーザのＥＨＩを送信するために用いられる上述した技術の他に、エンドツーエンドのセキュリティシステムは、２つの追加の技術、すなわち、セキュリティマテリアル及びＥＨＩの安全な格納だけでなく、ＢＳＮの安全且つトランスペアレントな識別及び形成のためのボディ結合通信ＢＣＣ及びスマートカードを利用する。ＢＣＣは、患者の身体に直接取付けられる装置間でデータを送信するための物理的ネットワーク層として、人体を使用する低エネルギのボディ通信である。この技術は、通信を盗聴することをより困難にする低いエネルギ要件及びボディ通信の性質のため、従来の無線通信と比較されるとき、エネルギ及びスペクトル両方を節約し、セキュリティレベルを改善する。よって、この技術は、デリケートなデータを交換し、ＢＳＮ連合を可能にする、すなわち、ＷＭＳをＢＳＮに割り当てる又は医療データを交換するために、同じ患者に帰属するＷＭＳにより使用できる。スマートカード技術は、安全な態様で、ユーザ認証だけでなく、重要な情報を格納するための安全な媒体を供給する。スマートカードは、認証及び安全なデータ格納を可能にするため暗号機能を供給できる。
【００３６】
ＢＣＣ及びスマートカード技術の組合せは、強い認証及び識別メカニズムを提供する。ＰＩＮベースのアクセス制御又は埋め込み暗号アルゴリズムのようなスマートカードの強力なセキュリティ特徴は、個人的な情報、例えば、パスワードの安全な格納を可能にする。ＢＣＣの固有のプライバシー認識のある通信特性は、盗聴を困難にする安全な送信媒体を提供する。例えば、我々は、ＢＣＣ及びスマートカード機能を備える識別トークンを担持しているユーザを想像する。ユーザは、パスワード又はプライベートデータのような情報をスマートカードに格納する。この情報は、成功した識別及び認証の後、例えば、ＢＣＣリンクを介してスマートカードから取り出せるだけである。
【００３７】
ヘルスケアカードＨＣＣ、例えば、スマートカードは、上記のセキュリティ問題を解決するバックエンドセキュリティドメインとボディセンサネットワークとの間のリンクを供給するために、個人セキュリティマネージャＰＳＭに接続される。個人セキュリティマネージャは、安全な態様で、患者の情報、例えば、名前、医療関連情報、パスワード等をヘルスケアカードで坦持する。前記ヘルスケアカードは、ｉ）ボディセンサネットワークノードの安全な連合を可能にし、上述のような安全な態様でボディ結合された通信ＢＣＣによって全体のヘルスケアシステムで認識される調整された患者識別子を送信する機能を含む。同じＢＳＮに関連し、必要な証明書を保持する無線医療装置だけが、ＢＣＣリンクを介して、ＰＳＭに接続されるＨＣＣから個人的な情報を取り出せる。
前記ヘルスケアカードは、ｉｉ）個人セキュリティマネージャが、患者の身元を認証し、ボディセンサネットワークノードとヘルスケアサービスとの間でエンドツーエンドのセキュリティを可能にする患者情報、例えば、患者識別子、患者の公開鍵等を坦持する。個人セキュリティマネージャは、無線及びボディ結合された通信インタフェースを備えるノードで実行でき、インター及びイントラボディセンサネットワーク通信でのセキュリティ機能を可能にするセキュリティモジュールを含む。
【００３８】
幾つかのセキュリティ機能は、システム内で他の部品から物理的に離隔され、ヘルスケアカードに格納され、システムのフレキシビリティ及び価値を増大させる。
【００３９】
本発明で開示される原理は、看護サイクルのようなユビキタス患者監視システムでのエンドツーエンドのセキュリティを可能にする装置及び医療ボディセンサネットワークに適用できる。
【００４０】
ボディセンサネットワークＢＳＮは、患者のボディに取付けられるのに適する無線センサＷＭＳから成る特定の無線アドホックネットワークであり、図１に示されるように、ごく近接している多くの無線医療装置を含む。無線センサノード、例えば、無線医用センサＷＭＳは、患者のバイタルサインを測定し、ＰＤＡ又は臨床モニタへ送信し、当該ＰＤＡ又は臨床モニタは、バイタルサインを表示し、中央格納ユニット等へ転送する。
【００４１】
この包括的なセキュリティシステムは、以前の困難さを克服し、普及している医用センサネットワークでの個人的医療データへの効率的且つ安全なアクセスを可能にする。当該システムは、ボディセンサネットワーク、明白な患者の識別及び普及しているヘルスケアシナリオ間のエンドツーエンドのセキュリティにおける、安全なボディセンサネットワーク連合、効果的な配布された鍵合意及びアクセス制御を可能にするために配送されたセキュリティソリューションと、ボディ結合通信及びデジタルヘルスケアカードの概念のような既存の技術とを組み合わせる。このシステムはユーザフレンドリなパフォーマンス及びセキュリティを供給し、リソース制限された無線医用センサに特に適している。
【００４２】
本発明の目的は、ボディセンサネットワークの個々の無線医用センサからバックエンドサービスまで、ヘルスケアのための通信ネットワークの全ての各部の間での安全なエンドツーエンドの通信を供給する装置及び方法を提供することである。
【課題を解決するための手段】
【００４３】
本発明の一つの態様によると、安全なエンドツーエンド患者ヘルスケアシステムは、一つ以上のボディセンサネットワークを含む無線医用センサネットワーク内にボディセンサネットワークを形成する、互いに通信し患者の身体に取り付けられる一つ以上の無線医用センサと、前記無線医用センサ間で安全な通信を可能にするための前記無線医用センサの各々へ組み込まれるλ安全キーイング手段と、前記ボディセンサネットワーク内の一つ以上の無線医用センサと通信する前記ボディセンサネットワーク内の個人セキュリティマネージャとを有し、前記個人セキュリティマネージャは、バックエンドサービスとの安全な通信を供給し、前記λ安全キーイング手段により前記ボディセンサネットワーク内の安全な関係を供給し、前記λ安全なキーイング手段は、せいぜいλのセキュリティ侵害された無線医用センサの連合が、何れの２つのセキュリティ侵害されていない無線医用センサ間のペアをなすキーを隠し、λ＋１の無線医用センサがセキュリティ侵害されるまで、ノードのセキュリティ侵害に対する保護を供給する。
【００４４】
前記無線医用センサ及び前記個人セキュリティマネージャは、ボディ結合通信により通信する。
【００４５】
安全なエンドツーエンド患者ヘルスケアシステムは、前記個人セキュリティマネージャへ接続されるヘルスケアカードを更に有し、前記ヘルスケアカードは、バックエンドヘルスケアサービスとの安全な通信のためのセキュリティ情報及び識別情報を含み、前記個人セキュリティマネージャは、ローカル信用センターにより発行される証明書を含み、当該システムは、監査、アクセスコントロール、プライバシー保護、及び／又は前記ヘルスケアカードとの前記個人セキュリティマネージャの相互認証のためのセキュリティプロトコルを実行する。
【００４６】
前記ボディセンサネットワークからの情報は、患者のアイデンティティにリンクされ、前記患者のヘルスケアカードＨＣＣ及び前記個人セキュリティマネージャＰＳＭが、多数の無線医用センサネットワークセキュリティドメインを普及しているヘルスケアシステムへ接続するために、拡張された個人セキュリティマネージャＰＳＭｘを形成する（図２参照）。前記拡張された個人セキュリティマネージャは、前記ローカル信用センターにより発行される前記証明書を格納し、中央のヘルスケアサービスにより発行されるエンドツーエンドセキュリティ通信を確立するために前記λ安全なキーイング手段を格納し、前記拡張された個人セキュリティマネージャ及び前記ヘルスケアカードの相互認証、エンドツーエンドセキュリティ、監査、並びに／又は状況アクセスコントロール及びプライバシー方針の管理を可能にするための前記セキュリティプロトコルを実行する。
【００４７】
前記拡張された個人セキュリティマネージャは、患者が前記医用センサネットワークに加わるとき、患者のヘルスケアカード及び患者の個人セキュリティマネージャを認証する。
【００４８】
前記個人セキュリティマネージャは、前記ヘルスケアカードを受け取るスマートカードリーダーを有し、前記ヘルスケアカードは、個人識別情報、医療情報、セキュリティマテリアル及び／又はセキュリティ方針を含む。
【００４９】
前記個人セキュリティマネージャは、ユーザ名、識別子、セキュリティマテリアル、医療記録又は種々異なる医用センサネットワークのためのアクセス制御方針を含む。
【００５０】
前記拡張された個人セキュリティマネージャは、グローバルユーザの識別、患者エリアネットワーク、及び個人電子ヘルスケア情報ＥＨＩを含む。前記個人電子ヘルスケア情報ＥＨＩは、前記患者エリアネットワークから来る。
【００５１】
前記ヘルスケアカードに格納されるセキュリティ情報は、ユーザを識別して認証し、前記患者のボディセンサネットワークと中央の又はバックエンドヘルスケアサービスとの間の橋渡しとして働く。ボディセンサネットワークは、患者領域ネットワークと同じでもよい。
【００５２】
前記拡張された個人セキュリティマネージャは、前記ヘルスケアカードのための追加のスマートカードスロットを備える移動電話である。
【００５３】
安全なエンドツーエンド患者ヘルスケアシステムは、ボディセンサネットワークと関連する前記無線医用センサにより形成される自律的安全ドメインを更に有し、前記拡張された個人セキュリティマネージャは、前記ボディセンサネットワークの信用センターであり、前記ボディセンサネットワークのメンバーの安全な連合又は取り消しを制御する。
【００５４】
前記拡張された個人セキュリティマネージャ及び前記無線医用センサは、医用センサネットワークの信用センターとの接続が失われる場合であっても、前記患者のヘルスケアカードに、前記ボディセンサネットワークで実施される動作及び交換される情報を安全に格納する。
【００５５】
本発明の第２の態様によると、安全なエンドツーエンド患者ヘルスケアシステムにおける安全なエンドツーエンド患者ヘルスケア通信のための方法は、前記個人セキュリティマネージャに、ローカル医用センサネットワーク信用センターにより発行される証明書を格納するステップと、無線医用センサと中央のヘルスケアサービスとの間のエンドツーエンド安全な通信を確立するために前記個人セキュリティマネージャにセキュリティ手段を格納するステップと、前記個人セキュリティマネージャ及びヘルスケアカードの相互認証、エンドツーエンドセキュリティ、監査、並びに／又は状況アクセスコントロール及びプライバシー方針の管理を可能にするためのセキュリティプロトコルを実行するステップとを有する。
【００５６】
本発明の第３の態様によると、安全なエンドツーエンド患者ヘルスケアシステムのための個人セキュリティマネージャは、ボディセンサネットワーク内にあり、前記ボディセンサネットワーク内の一つ以上の無線医用センサと通信し、前記個人セキュリティマネージャは、バックエンドサービスとの安全な通信を提供し、λ安全なキーイング手段により前記ボディセンサネットワーク内の安全な関係を提供し、前記一つ以上の無線医用センサは患者の身体に取り付けられ、一つ以上のボディセンサネットワークを含む無線医用センサネットワーク内の前記ボディセンサネットワークを形成するために互いと通信し、λ安全なキーイング手段は、前記無線医用センサ間の安全な通信を可能にするため前記無線医用センサの各々に組み込まれ、前記λ安全なキーイング手段は、せいぜいλのセキュリティ侵害された無線医用センサの連合が、何れの２つのセキュリティ侵害されていない無線医用センサ間のペアをなすキーを隠し、λ＋１の無線医用センサがセキュリティ侵害されるまで、ノードのセキュリティ侵害に対する保護を供給する。
【００５７】
λ安全鍵確立とは、λ安全特性を呈するキー確立ハンドシェイクを指す。典型的な例は、有限界Ｆｑにわたって程度λの対称形の二変量の多項式ｆ（ｘ，ｙ）から成り、ｑは暗号鍵を収容するのに十分大きい。この多項式は、λ安全システムのルートキーイングマテリアルである。このルートキーイングマテリアルから、システムの中央当局は、λ安全キーイングマテリアル割当を引き出せる。システムの各構成要素（例えば、センサノード）は、λ安全キーイングマテリアル割当を坦持する。例えば、上記ルートキーイングマテリアルｆ（ｘ，ｙ）から、識別子ＩＤを持つ構成要素は、λ安全キーイングマテリアル割当ｆ（ＩＤ，ｙ）、すなわち、ｘ＝ＩＤにおいて評価されるオリジナルの二変量の多項式を担持する。
【００５８】
システムの何れの構成要素のペア、例えばｆ（ＩＤ＿Ａ、ｙ）及びｆ（ＩＤ＿Ｂ，ｙ）それぞれを担持するＩＤ＿Ａ及びＩＤ＿Ｂは、以下の通りに共通のペアをなすキーで合意できる：
これらは、これらの識別子を交換する、
これらは、前記識別子と共にこれらのα安全キーイングマテリアルを活用する。この特定の場合において、構成要素Ａは、そのα安全キーイングマテリアル（ｆ（ＩＤ＿Ａ，ｙ））を採用し、ｙ＝ＩＤ＿Ｂ、すなわち相手方の識別子で、それを評価する。結果は、ｆ（ＩＤ＿Ａ、ＩＤ＿Ｂ）である。
構成要素Ｂは、相手方の識別子及びそのα安全キーイングマテリアルと正確に同じことをする。結果は、ｆ（ＩＤ＿Ｂ、ＩＤ＿Ａ）である。
ルートキーイングマテリアルが対称形の多項式なので、両方の構成要素により得られる結果は同一である、すなわち、ｆ（ＩＤ＿Ａ，ＩＤ＿Ｂ）＝ｆ（ＩＤ＿Ｂ，ＩＤ＿Ａ）＝Ｋである。Ｋは双方により共有される共通のキーである。このキーは、他のセキュリティサービスを提供するために用いられる。
【００５９】
システムは、他のλ安全キー確立プロトコル、すなわち、λ安全特性を備える他の暗号プロトコルを利用してもよい。これは多項式に基づいてもよいが、例えば、配備モデルに依存してその弾力性を改善するために他の特徴を備えて、アクセス制御のようなより高度なセキュリティサービス又はより効率的なパフォーマンスを供給する。例えば、（複数の）階層構造を持つ配備モデルは、医療領域で使用されるように提案された。例えば、これらのスキームがシステムに高い量のキーイングマテリアルを導入し、又は２つの構成要素間のペアをなすキーが幾つかの独立したλ安全セキュリティ領域から生成されるキーの組合せとして計算されるので、これらのスキームは、より高いセキュリティレベルを提供する。エンドツーエンドのセキュリティシステムに使用されるλ安全なスキームは、また、アクセス制御又は（プライバシー認識）識別のような他のセキュリティサービスを提供するのに適している。これは、識別情報又はアクセス制御の役割とλ安全キーイングマテリアルをリンクすることにより達成される。λ安全スキームは、例えば、有限投影平面、キー分割技術又は識別子分割技術に基づく組合せの技術を用いることにより、計算要件を最小化するのにも適している。
【００６０】
λ安全技術の使用は、２つの構成要素がペアをなすキー、すなわち、２つの構成要素間で共有されるキーに合意できる。例えば、対称形のキーＫを共有する２人の人物、アリス及びボブを考える。アリスが極秘態様でボブにメッセージを送りたい場合、アリスは、キーＫでメッセージを暗号化するために対称形の暗号化アルゴリズムを使用する。ボブは、同じキーでメッセージを解読可能である。この場合、キーがアリス及びボブによってだけ共有されるので、このキーはペアをなす。
【００６１】
請求された方法が、装置及び従属クレームに規定されたのと同様の及び／又は同一の好ましい実施例を持つことは、理解されるだろう。
【００６２】
本発明のこれら及び他の態様は、これ以降説明される実施例を参照して明らかに説明されるだろう。
【図面の簡単な説明】
【００６３】
【図１】図１は、本発明の実施例による安全なエンドツーエンドの患者ヘルスケアシステムのためのボディセンサネットワークを例示する。
【図２】図２は、本発明の実施例による安全なエンドツーエンドの患者ヘルスケアシステムのための部品を例示する。
【図３】図３は、本発明の実施例による安全なエンドツーエンドの患者ヘルスケアシステムのための個人セキュリティマネージャ内のセキュリティ装置を例示する。
【図４】図４Ａ乃至図４Ｃは、本発明の実施例によるボディセンサネットワーク内のセキュリティプロトコル装置を例示する。
【図５】図５Ａ乃至図５Ｅは、本発明の実施例による患者ヘルスケアシステム内のエンドツーエンドのセキュリティのためのセキュリティプロトコル装置を例示する。
【図６】図６は、本発明の実施例による安全なエンドツーエンドの患者ヘルスケアシステムを組み込む設備を例示する。
【図７】図７は、本発明の実施例による安全なエンドツーエンドの患者ヘルスケアシステムのための通信リンクを例示する。
【図８】図８は、本発明の実施例による特定の医用センサネットワークの無線医用センサにより坦持される情報を表す。
【図９】図９は、本発明の実施例による同じ医用センサネットワークに属する２つの無線医用センサ間に安全な通信チャネルの効率的な確立を例示する。
【図１０】図１０は、本発明の実施例による無線医用センサと個人セキュリティマネージャとの間で安全なボディセンサネットワーク連合を可能にするための方法を例示する。
【図１１】図１１は、本発明の実施例による拡張個人セキュリティマネージャの構造体を例示する。
【図１２】図１２は、本発明の実施例によるバックエンドヘルスケアサービスの中央ヘルスケア認証局と拡張個人セキュリティマネージャとの間の通信を例示する。
【図１３】図１３は、本発明の実施例によるＭＩＣＡｚ及びｕＰＤ７８９８２８上の幾つかのセキュリティプリミティブのパフォーマンス比較を例示するテーブルを供給する。
【図１４】図１４は、本発明の実施例による多次元安全キー確立のサブ安全領域のメモリリソース割当てを例示するテーブルを供給する。
【発明を実施するための形態】
【００６４】
安全なエンドツーエンドの患者ヘルスケアシステムは、個人セキュリティマネージャＰＳＭ、又は安全な態様で患者の情報、例えば識別子、医療関連情報を坦持するボディセンサネットワークＢＳＮコントローラの使用に基づく。個人セキュリティマネージャは、ボディセンサネットワーク内の残りのセンサノード、例えば医用センサノード又は監視装置と安全な態様で通信でき、ボディ結合通信ＢＣＣにより、バックエンドシステムを含む全体のシステムで認識される本当の患者識別子を送信できる。加えて、個人セキュリティマネージャは、また、個人セキュリティマネージャが患者の身元を認証し、バックエンドシステムでエンドツーエンドのセキュリティを可能にできる患者識別情報、公開鍵等を含む情報を坦持する。
【００６５】
セキュリティアーキテクチャは、図１及び図２に示されるような幾つかの物理的素子を有する。センサノード、例えば、ＷＭＳは、患者バイタルサインを監視するために使用され、２つ以上の異なるタイプに区別される。一方で、幾つかの医用センサノードが、患者のバイタルサインを検出し、送信するために用いられる。他方で、ＰＤＡ又はモニタのような監視装置は、医用センサノードと通信し、患者のバイタルサインを表示する。通信は、無線インタフェースによって行われる。加えて、幾つかのセンサノードは、ボディ結合された通信又は誘導的な機能を持つ。
【００６６】
ヘルスケアサービスは、バックエンドサービスＢＳ、例えば、ヘルスケアプロバイダサービスＨＰＳ、個人ヘルスケア記録サービスＰＨＲＳ及び／又はヘルスケアセキュリティプロバイダＨＳＰである。これらのサービスは、患者の医療データを管理し格納し、患者の医療データへのアクセスを供給し、医療データが利用できる（２４／７）。
【００６７】
個人セキュリティマネージャは、医用センサノード、監視装置及びヘルスケアサービス間のセキュリティ関係を組織する。従って、個人セキュリティマネージャは、特別重要な役割を担う。セキュリティインフラストラクチャは、これら物理的素子の全てを含まなくてもよく、すなわち、セキュリティサービス又は監視装置の幾つかがなくてもよいことに留意されたい。
【００６８】
図２において、ヘルスケアサービスとの通信は引かれた直線により示され、ＢＣＣ通信又は誘導的な通信は一点鎖線により示され、無線通信は点線により示される。
【００６９】
セキュリティアーキテクチャに含まれる暗号要素
セキュリティアーキテクチャは、後述する種々異なる要素を必要とする。これらの要素及び機能の多くは、個人セキュリティマネージャがセキュリティポイントの視点からヘルスケアサービス（図３を参照）とセンサノードとの間のリンクとして使用されるので、個人セキュリティマネージャで実行される。
【００７０】
１．発動ＰＩＮは、使用前にユーザを認証するために用いられる。この機能は、個人セキュリティマネージャＰＳＭに特有であって、未許可の人が個人セキュリティマネージャへのアクセスを持つことを防止するために用いられる。
【００７１】
２．キーイングマテリアルＫＭは、センサノード間、又はセンサノードと個人セキュリティマネージャとの間の安全な通信を可能にする。
【００７２】
３．患者の識別情報（デジタルアイデンティティ）は、患者を識別するために用いられ、
ａ．患者の識別子、
ｂ．患者の識別子とリンクされる暗号情報を有する。可能性がある実施例は、患者の身元に結合した一対の公開／秘密鍵の使用である。これらのキーの有効性及び真正さは、公開鍵インフラストラクチャに依存する。他の実施例は、第３者信用パーティの使用である。この場合、患者にリンクされる固有の対称形のシークレットが、オンライン信用センターに基づく他のセキュリティ関係を確立するために用られる。
ｃ．デジタルアイデンティティコントローラ（デジタルアイデンティティマネージャ）は、患者のデジタルアイデンティティの開示を処理するために用いられる。患者の識別子及び関係のある暗号情報、例えば、公開鍵の有効性は、全体のシステムのセキュリティ関係を管理するヘルスケアセキュリティサーバーに依存する。従って、これらの機能は、個人セキュリティマネージャ及びヘルスケアセキュリティサーバー両方で実行される。デジタルアイデンティティコントローラは、個人セキュリティマネージャにある。
【００７３】
具体例に依存して、上記の要素の幾つかは、ないかもしれない。本発明の種々異なる実施例は、他の識別要素、例えば、バイオメトリック認証技術を必要としてもよい。
【００７４】
４．個人セキュリティマネージャは、医療関係の情報、患者のデジタルアイデンティティ、アクセス制御権、患者のパスワード等のような情報の安全な格納を可能にするために、安全なメモリＭＥＭも有する。安全なメモリＭＥＭは、ＰＳＭ自体に、又はＨＣＣに埋め込まれる。
【００７５】
個人セキュリティマネージャの機能は、図３に詳細に示される。各種の実施例は、ユーザのＰＩＮの成功した入力の後にだけ起動する、多数の固有の特徴、例えば、個人セキュリティマネージャＰＳＭを含む。個人セキュリティマネージャは、セキュリティプロトコルの記述を含む、幾らかのインテリジェンス、すなわち、論理（ロジック）ブロックを持つ。個人セキュリティマネージャは、センサノードとの安全な通信を可能にするためにキーイングマテリアルＫＭを含む。個人セキュリティマネージャは、患者のデジタルアイデンティティ、医療情報、アクセス制御権又はパスワードを含む患者に関係のある情報を格納する。キーイングマテリアル及びロジックは、個人セキュリティマネージャに埋め込まれるが、しかしながら、患者関係の情報は、スマートカード、例えば、ヘルスケアカードＨＣＣに格納される。このように、同じ個人セキュリティマネージャが、個人セキュリティマネージャ内の患者のヘルスケア看護を置き換えることにより、異なる患者により用いられてもよい。
【００７６】
セキュリティアーキテクチャの機能
次に、個人セキュリティマネージャが、センサノードとヘルスケア看護サービスとの間のセキュリティ関係を管理するために、以前のセキュリティプリミティブをどのように利用するかが説明される。これらの機能及び種々異なる物理的要素間の関係の幾つかが、図４及び図５に例示される。
【００７７】
１．ユーザ認証−個人セキュリティマネージャが起動する前に、ユーザはユーザＰＩＮによってユーザ自身を認証しなければならない。ＰＩＮは、ユーザインタフェース（ＵＩ）等により入力される。ボディセンサネットワークコントローラＰＳＭが携帯電話等で実行される場合、これは容易に実行できる。残りのボディセンサネットワークコントローラ機能は、成功したユーザ認証の後にだけ有効である。実施例に依存して、ＨＣＣがユーザ認証機能を実行するので、ＨＣＣがプラグを差し込まれる場合にだけ、ＰＳＭの発動が可能である。
【００７８】
２．ボディセンサネットワークの安全自動セットアップ−発動の後、個人セキュリティマネージャは、安全な態様でボディセンサネットワークをセットアップするために使用される。この目的のため、患者が病院等に到着するとき、患者は上記の機能を備える個人セキュリティマネージャを受信する。患者ボディセンサネットワークへのアクセス権を持つ医師、看護婦等の識別子が、受付中にロードされてもよい。加えて、患者関係の情報、例えば、識別子、医療関係の情報は、手動で又は病院サーバからロードされる。この場合、個人セキュリティマネージャは、単一の装置において、図３に示される全ての機能を実行してもよい。
【００７９】
加えて、個人セキュリティマネージャは、スマートカードのようなヘルスケアカードのためのカードリーダーを含んでもよい。この場合、患者の医療関係の情報、例えば、患者のデジタルアイデンティティ、医療関係の情報、公開及び秘密鍵、パスワード等の全ては、スマートカードＨＣＣに格納される。この情報は、患者のヘルスケアカードを個人セキュリティマネージャに挿入した後にだけアクセスされる。この情報の一部は常に利用できる一方で、他の情報へのアクセスは種々異なるレベルの許可、例えば、種々異なるＰＩＮを必要とする。患者が患者の個人セキュリティマネージャを坦持すると、患者は参加できる。この目的のため、医師は、幾つかのセンサノード、例えば、ＥＣＧ、Ｓｐ０２を監視装置だけでなく患者のボディに取付ける。患者のボディセンサネットワークにセンサノード及び監視装置を関連付けるために、医師は、図４及び図５にて説明されるように、個人セキュリティマネージャを利用する。個人セキュリティマネージャとボディセンサネットワークとの間のこの連合は、ボディ結合通信ＢＣＣ、誘導的な通信、例えば近接（ニアフィールド）通信等を利用する。同じ身体（ボディ）に取り付けられる装置だけが互いと通信できるので、ＢＣＣの使用は固有の利点を持つ。図４及び図５に記載されている連合特徴に加えて、記載のメカニズムは、以下の特定の態様のために安全である。
【００８０】
図４のＡ−個人セキュリティマネージャＰＳＭ及びセンサノードＷＭＳは、共通のシークレットに合意して互いを認証するために、キーイングマテリアルＫＭを使用する。この態様では、個人セキュリティマネージャは、認証された医療装置ＰＤＡだけが、患者のボディセンサネットワークに接続できることを保証する。ＰＳＭ（又は、ＰＳＭに接続されるＨＣＣ）に格納されたアクセス制御方針は、センサノードがＢＳＮを接続するために認証されたかどうかを決めるためにも用いられる。
【００８１】
図４のＢ−個人セキュリティマネージャは、識別子又は個人健康記録を含む患者の関係情報にアクセスできる。従って、個人セキュリティマネージャは、明白な形式でボディセンサネットワークを識別し、看護サイクルを単純化するために、真正の患者情報を利用する。特に、個人セキュリティマネージャは、
（１）ボディセンサネットワークを識別するために用いられる患者のための一時的患者識別子（患者ＩＤ）を引き出せる。一時的患者識別子は、ユーザのプライバシー範囲及び追跡を防止するために周期的に変えられる。
（２）ＢＳＮセキュリティドメイン内で通信のために使われるＢＳＮネットワークキーＫを設定される。ＢＳＮメンバー間の全ての通信は、報知を可能にするこのキーに基づいて保証される。
（３）キーイングマテリアルに基づいて安全な態様で、医用センサノードへ患者の情報（要請に応じて）を送信する。送信された情報は、一時的患者の識別子、又は医療情報へのアクセスを持つ医師、看護婦若しくは他の個人ＰＤＡの識別子を含む（図４Ｂを参照）。
【００８２】
図４のＣ−最後に、医用センサノードは、基本セキュリティサービスを可能にするために個人セキュリティマネージャにより前に配送されたキーＫを用いて、安全な態様で、監視装置に患者のバイタルサインを送信する。
【００８３】
３．ランダムなセットのセンサノードにより測定されるバイタルサインを備える一時的患者識別子を、斯様なバックエンドシステム、例えば、サーバに格納される個人健康記録と結合することは困難であるので、バックエンドヘルスケアサービスへのアクセス及び明白な患者識別は、従来のシステムの課題を表す。
【００８４】
本発明は、個人セキュリティマネージャが、センサノードとバックエンドシステムとの間のセキュリティリンクとして働くので、この課題を解決する。一方では、個人セキュリティマネージャは、センサノードとの安全な通信を可能にするキーイングマテリアルを持つ。他方では、個人セキュリティマネージャは、患者を識別するために必要とされる情報も持つ。この情報は、患者の入院の間、又は患者のヘルスカードを個人セキュリティマネージャリーダーに挿入した後にロードされる。
【００８５】
図５のＡ乃至図５のＥは、患者を監視するために用いられるセンサノードのセットから独立したエンドツーエンドのセキュリティ及び明白な患者の識別を達成するために、センサノード、個人セキュリティマネージャ及びバックエンドシステムにより実施されるプロトコルを示す。図５のＡは、個人セキュリティマネージャのメモリに格納される公開鍵に基づいて患者の身元を認証するために、ヘルスケアセキュリティプロバイダＨＳＰとの個人セキュリティマネージャの接続を例示する。図５のＢは、異なるセキュリティパラメータ、例えば、エンドツーエンドのセキュリティを可能にするために用いられる対称形のキーＫの交渉を表す。その後、図５のＣ及び図５のＤは、ＨＳＰとＢＳとの間で、上記のような患者のボディセンサネットワークとのセンサノードの安全な連合を例示する。最後に、図５のＥは、患者のバイタルサインが監視装置ＰＤＡだけでなく、安全な態様でヘルスケアサービスにもどのように送信されるかを例示する。
【００８６】
４．前に詳述された操作論点に加えて、セキュリティアーキテクチャは、他のセキュリティサービスを可能にする。例えば、
安全なメモリ―パスワード又は医療関係の情報のような機密情報を格納するために用いられる。この情報へのアクセスは、許可されたユーザに制限される。許可の種々異なるレベルが、種々異なるＰＩＮによって可能である。個人セキュリティマネージャを担持するユーザは、安全な態様でパスワードを格納するために安全なメモリを利用する。
安全なログイン−ＢＣＣ機能持つＰＳＭを担持するユーザにより使われる。例えば、ユーザがウェブ上で彼のヘルスケア記録を点検したいと想像する。ログイン情報（例えば、ユーザ名＋パスワード）は、ＰＳＭに格納されている。ヘルスケア記録を調べるために用いられるパーソナルコンピュータは、ＢＣＣインタフェースを組み込んでいる。ＰＣがＢＣＣのスイッチを入れるとき、ＰＳＭは、配送されたキーイングマテリアルに基づいてＰＣを認証できる。その後、ユーザは、ユーザ名及びパスワードを手動で入力することなく、ユーザのヘルスケア記録を点検できる。ＰＳＭに格納されるこの情報は、ＢＣＣを介してＰＣに直接送信される。同じ手法が、個人の電子メールにアクセスし、ホームを入力する等のために使用されてもよい。
デジタルアイデンティティ−ユーザは識別目的のため個人セキュリティマネージャを利用し、よって、セキュリティモジュールはサブモジュールを実行する。一般に、患者又は人のデジタルアイデンティティは、公開／秘密鍵とリンクされる。
ネットワークコントロール−個人セキュリティマネージャは以下のような有効な情報を格納するために用いられる。
ｉ．ボディセンサネットワークを有するセンサノード。
ｉｉ．患者のバイタルサインを監視する監視装置。
ｉｉｉ．センサノードの変わった反応のような患者の監視の間に起こる他の事象。この情報は、欠陥があるか又はセキュリティ侵害されたセンサノードを検出するために用いられてもよい。斯様な事象では、セキュリティ侵害された装置は、ＢＳＮから取り除かれるべきであり、識別子又はＢＳＮネットワークキーＫのようなＢＳＮの／ユーザの情報は、ユーザのプライバシーを保護するために更新されるべきである。
【００８７】
普及しているＭＳＮの鍵配送
鍵配送は、エンドツーエンドのセキュリティを可能にするために基本的である。しかしながら、最善の鍵配送手法の選択は、ＭＳＮ及びヘルスケアシステム両方の技術的な制限及び操作上の要件に依存する。
【００８８】
ＭＳＮ内の一対のＷＭＳ何れの間の信頼性も高くて安全な通信は、上記のようなオンライン信用センター又は公開鍵インフラストラクチャに依存することなく、ペアをなすキーを直接決めるためのＷＭＳの能力を必要とする。本システムは、所望のヘルスケアアプリケーションの操作上の要件に依存して暗号鍵を扱うための２つのタイプの異なる鍵配送手法を使用する。一方では、同一セットのＷＭＳが同じユーザ、例えば在宅で常に使用されるので、同一セットのＷＭＳを常に有するいわゆる個人ＢＳＮを持つ。これら個人ＢＳＮのための鍵配送は、帯域外チャネルにより、又は安全な環境において全てのノード間のペアをなすキーを配送することにより、容易に解決できる。よって、ｎ個のノードを持つＢＳＮにおいて、各ノードはｎ―１個のキーを格納する。
【００８９】
他方では、病院、老人ホーム又はフィットネスセンターにおいて、ＭＳＮは、多数のＷＳＮを有する。ＷＭＳのサブセットは、ＢＳＮを有するために、ＷＭＳのＭＳＮのプールからランダムに取り上げられてもよい。この状況では、Ｂｌｕｎｄｏ多項式のようなλ安全鍵配送システムに基づく鍵配送システムは、システムが、計算リソースを少ししか必要とせず、何れの対のノード間の十分な連結性も可能にするので、効率的な鍵配送のための効率的且つ可能な解決案を提供する。この状況では、同じＭＳＮに属する各ノードｚは、ノードにより坦持されるキーイングマテリアルＫＭｚの異なってはいるが関連するセットにリンクされる固有の識別子ＩＤｚを持つ。種々異なるノードに対する種々異なるセットのキーイングマテリアルは、キーイングマテリアルルート（ＫＭｒｏｏｔ）から、信用センターによりオフラインで生成される。一対のノードが共通のキーに合意する必要があるときはいつでも、一対のノードは、ノードＩＤを交換し、他のセキュリティサービスを可能にするためペアをなすキーに合意するために、それぞれのキーイングマテリアルを使用する。１つの手法において、ＫＭｒｏｏｔは、暗号鍵を収容するのに十分大きなｑを持つ、有限フィールドＦｑにわたる程度λの単一の二変量の多項式のｆ（ｘ，ｙ）である。各ＷＭＳ、ｚは、例えば、ｘ＝ｚの最初の二変量の多項式を評価することにより生成される多項式の割当ｆ（ｚ，ｙ）から成るＫＭｒｏｏｔ及びＫＭｚから取り出されるキーイングマテリアルのセットをＭＳＮ信用センターから受け取る。キーイングマテリアルＫＭｚのこのセットは、ＷＭＳｚの全体の存続期間の間担持され、識別子ＩＤｚは、ＭＳＮの各ノードを識別するシリアル番号としてみなされ得る。ＫＭｒｏｏｔが二変量の多項式であるこの手法は、λ安全な鍵配送システムにおけるシステムのパフォーマンス及び弾力性を改良するために、鍵分割又は組合せ技術と結合できる。説明を簡単にするため、ＷＭＳにより担持される各ＫＭｚが多項式の割当ｆ（ｚ，ｙ）から成ると考える。
【００９０】
この手法は、効率的な配送鍵合意を可能にするが、医療用途の鍵セキュリティ論点、ＭＳＮのアクセス制御のような、セキュリティサービスの軽量実行を可能にしない。これは、大量のメモリをアクセス制御リストに格納するために必要とする、各ノードｚにより担持されるＫＭｚにリンクされる固有の識別子ｚのためである。更にまた、単一のλ安全な安全領域ＳＤの使用は、ＭＳＮＳＤのλＷＭＳの捕獲がアタッカーによる全体のＭＳＮの安全を危うくしてしまうことを意味する。
【００９１】
両方の課題を解決するために、洗練された態様では、ＷＭＳに付加的なλ安全なＫＭを配送するためにターゲットＭＳＮの配備モデルを考慮することが可能である。これを理解するために、ＭＳＮに属するＷＭＳが、オーナーシップ、操作ゾーン又は医療専門分野のような異なる特徴に従って幾つかのサブＳＤに副分割されることを観察されたい。例えば、病院ＭＳＮのＷＭＳは、（ｉ）位置（メディカルＭＳＮは幾つかの病院を有し、これらの病院の各々は異なる部門に分割できる）、（ｉｉ）種々異なる病院に位置される部門が同じ医療専門分野を共有するような当該医療専門分野、又は、（ｉｉｉ）特定の疾患を患っている患者が種々異なる医科部門で扱われるような操作ゾーンに従って分類できる。ＭＳＮ信用センターＴＣ（図６を参照）は、個別の態様で、ＷＭＳが属する上述された副ＳＤを識別し、認証するために、追加のλ安全なキーイングマテリアルをＷＭＳに割り当てる。各特徴ｊ（１≦ｊ≦ｎ）は、平坦なＳＤ又は階層的なインフラストラクチャのＳＤを記述できる。平坦なＳＤは、例えば、同じ操作ゾーンで使用されるＷＭＳと同じ確率ｐで通信できるＭＳＮのＷＭＳのサブセットを有する。階層的なインフラストラクチャのＳＤは、例えば、ＷＭＳ位置による、ノード間の関係を記述する。例えば、ノードの位置は、病院及び／又は部門に分割できる。この例では、病院内の全てのＷＭＳは互いに通信可能でなければならないが、また、所与の部門に属するＷＭＳ間の通信は、同じ位置で起こるので、より頻度が高いことは明らかである。実際に、異なる部門からのＷＭＳ間の通信は、めったに発生しないか、例えば、患者が他の部門へ移動する場合だけ発生する。以下の式は、副ＳＤに対するサブ識別子ＩＤｉｊを、識別子ＩＤを持つＷＭＳに割り当てるために用いられる。
ＩＤｉｊ＝ｈ（ＩＤ｜ｊ｜ｉ）  （１）
【００９２】
この式において、ｈ（・）は暗号ハッシュ関数であり、ｊは位置又はオーナーシップのようなＷＭＳ特性を識別し、ｉはＳＤの階層のレベルを指し、例えば、位置に対してであって、病院はレベル１、部門はレベル２に位置される。これらの副ＳＤの各々にリンクされるキーイングマテリアルが、例えば、異なる二変量の多項式のｆｉｊ（ｘ，ｙ）のような異なるＫＭｉｊｒｏｏｔから生成されるが、各副ＳＤに使用される識別子が、アタッカーにより任意の特徴を持つ任意のアイデンティティを作ることを防止するために（１）によってリンクされることに留意されたい。上記の命名規則は、容易に構成、修正又は単純化されてもよいことに留意されたい。
【００９３】
図８は、特定のＭＳＮのＷＭＳにより坦持される情報を示す。ＷＭＳは、キーイングマテリアルＫＭＭＳＮにリンクされる固有のＭＳＮ識別子ＩＤＭＳＮを持つ。この情報は、同じＭＳＮのＷＭＳの何れの対の間でも十分なインターオペラビリティを可能にする。ＩＤＭＳＮが、デジタルアイデンティティに依存する態様で、種々異なる装置又は医療スタッフに割り当てられることに留意されたい。加えて、ＷＭＳは、また、３つの異なる特徴、すなわち、位置（ビルディング及び階）、操作ゾーン及び医療専門分野に従ってそれ自体を識別し、認証するキーイングマテリアルを坦持する。
【００９４】
この情報に基づいて、同じＭＳＮに属する２つのＷＭＳは、効率的な態様で安全な通信チャネルを確立できる（図９を参照）。第１のステップにおいて、ＷＭＳ１、例えば臨床医ＰＤＡは、通信要求をＷＭＳ２、例えば患者に取付けられたＥＣＧ  ＷＭＳへ送信する。ＷＭＳ２は、ＭＳＮに属するとして、ＰＤＡの識別を要求する。加えて、その患者のアクセス制御方針は、臨床医が特定のデジタルアイデンティティＩＤＭＳＮを持つか、又は同じ病院及び操作ゾーン副ＳＤ（必要な役割）に属することを必要とする。一般に、副ＳＤの何れの副セットも、命令を実施するための許可を与えられるように要求される。この手法は、暗号によって強制的なアクセス制御を可能にする。第３に、両方のＷＭＳは、キー合意ハンドシェイクを行う。この目的のため、各ＷＭＳは、認証されるべく各要求される（副）ＳＤ、ｊｉ、ＫＭｊｉにリンクされるキーイングマテリアルから部分的なキーＫｊｉを計算する。Ｋｊｉは、ＫＭｊｉ、すなわち、その（副）ＳＤに対する他のパーティの識別子の多項式割当ｆｊｉ（ｈ（ＩＤ｜ｊ｜ｉ）、ｙ）を評価することにより計算される。両方のノードは、同じ順序で全ての部分的なキーをハッシュすることにより、マスターキーＫを生成できる。部分的なキーの各々が同一である場合、マスターキーＫは両方のＷＭＳに共通である。その後、このキーは、チャレンジレスポンス認証ハンドシェイクによって、両方のＷＭＳを認証するために用いられる。成功した認証は、また、臨床医が患者のためのアクセス制御方針を満たすことを意味する。この例の基本的な鍵配送手法は、主ＩＤが装置のデジタルアイデンティティをコード化し、副ＳＤが装置の役割を表す、任意の数の副ＳＤｊｉを持つ一般多次元λ安全なキー確立ｍλＫＥまで容易に拡張できることに留意されたい。更に、ＩＤは、従来技術にて説明されたように、ＩＤ＝ｈ（デジタルアイデンティティ）を計算することにより、アクセス制御役割のような他の情報又はエンティティのデジタルアイデンティティをコード化するために用いられる。
【００９５】
ＷＭＳ間の安全な通信を保証することに加えて、開示されたセキュリティシステムは、ＢＳＮのＷＭＳとバックエンドヘルスケアサービスとの間のエンドツーエンドのセキュリティを可能にしなければならない。このシステムは、このための公開鍵インフラストラクチャＰＫＩベースの解決案を使用する。なぜならば、当該解決案は、ユーザが安全な態様でＭＳＮ間を移動でき、よって、インターオペラビリティを保証するからである。例えば、Ｋｅｒｂｅｒｏｓのような信用できる第三者に例えば基づく他の手法も、同じ目的を達成するために適用されてもよいことを観察されたい。公開鍵ベースの手法において、システムの各ユーザは、ヘルスケア認証局ＨＳＰ（中央の又は分散した）（図６を参照）により発行され、ユーザのアイデンティティとリンクされた公開／秘密鍵を必要とする。キーのこの対は、後述されるように、ユーザがＭＳＮに到達するとき起こる最初の構成手順の間だけ使われるので、リソース要件が最小化される（図６及び図１２を参照）。しかしながら、上述のように、ＢＳＮのメンバシップが予測不可能なので、ユーザのＢＳＮが常にキーのこの対を含むことを保証することは困難である。これらの論点に対する解決案は、以下に提示される。
【００９６】
安全なＢＳＮ連合
図１０に図示されるように、開示されるシステムは、安全なＢＳＮ連合を可能にするために上述のＢＳＮ連合プロトコルに基づき、当該プロトコルを拡張する。個人識別子が、患者の識別子を患者に取付けられた他のＷＭＳへ送信するために用いられ、よって、ＷＭＳをユーザのアイデンティティとリンクさせるので、個人セキュリティマネージャＰＳＭ又は拡張個人セキュリティマネージャＰＳＭｘと呼ばれる特別なＷＭＳ（図７、図１０及び図１１を参照）は、個人識別子の役割を演ずる。ＰＳＭとＷＭＳとの間の通信は、ボディ結合通信に基づき、よって、患者のボディに直接取付けられる装置に制限される。
【００９７】
第１に、患者のＩＤをＷＭＳへ送信する又はＢＳＮのＷＭＳを受ける前に（図１０、ステップ１）、ＰＳＭは、前述のλ安全方法に従って、ＷＭＳを認証し認可する。この目的のため、ＰＳＭ及びＷＭＳは、両方のノードがマスターキーＫＰＳＭ―ＷＭＳを生成するために担持するλ安全キーイングマテリアルを使用する。このキーに基づいて、両方のノードは、互いに効率的に認証し認可でき、安全な態様で他の情報、例えばユーザＩＤを送信できる。加えて、ＰＳＭは、ＢＳＮキー、ＫＢＳＮを生成し、全てのＢＳＮメンバーへ配送するＢＳＮの信用センターの役割を演ずる。ＫＢＳＮは、ＢＳＮのセキュリティドメインのネットワークキーであって、ＢＳＮ内での報知を可能にし、ＭＳＮ  ＳＤ内で、ユーザのＢＳＮにより制御される独立ＳＤのＢＳＮを変換するために用いられる。
【００９８】
ＢＣＣと組み合わせたネットワークキーＫＢＳＮは、ＷＭＳ取り消し手順の容易な実行も可能にする。ノードが捕獲されるか又は患者のＢＳＮから離れるとき、これは必要である。この目的のため、ＰＳＭは、ＢＣＣ上のＢＳＮの各メンバーへ定期的な要求を送信する。ＰＳＭが各メンバーの何れからも応答を受信しない場合、ＰＳＭは、ユーザのプライバシーを保護するために、ユーザ識別子及びＢＳＮキー、Ｋ´ＢＳＮ両方を更新する。新しい識別子及びＢＳＮキーは、ボディ結合通信及び対応するペアをなすキーを用いて安全な態様でＢＳＮメンバーに送られる。最後に、ＰＳＭは、ＢＳＮの全てのＷＭＳに、ランダムなシーケンスを送信してもよい。ＷＭＳは、臨床医が単純な態様で全てのＷＭＳの正しいＢＳＮ連合を点検可能にするために、このランダムなシーケンスに従って同期をとって点滅してもよい。
【００９９】
明白且つ固有のユーザ識別子
ＢＳＮは、他のＭＳＮのＷＭＳ及びユーザとのセキュリティ対話がＰＳＭによって扱われるＭＳＮの完全に独立なＳＤとみなされなければならない。加えて、ＰＳＭは、他のセキュリティサービス、例えば、監査、アクセス制御方針の管理又はエンドツーエンドのセキュリティだけでなく、グローバルなユーザ及びユーザの電子ヘルスケア情報（ＥＨＩ）識別を提供しなければならない。
【０１００】
ユーザが特定の瞬間に位置するＭＳＮから独立しているユーザの固有識別子にユーザのバイタルサインをリンクするために、開示されたセキュリティシステムは、拡張個人セキュリティマネージャＰＳＭｘを形成するためＰＳＭと組み合わせてヘルスケアカードＨＣＣを使用する。ＰＳＭｘは、種々異なるＭＳＮセキュリティドメインを普及しているヘルスケアシステムと接続し、すなわち、ＰＳＭｘは、普及しているＭＳＮの明白且つ固有のユーザ識別を達成するため、特定のＭＳＮのユーザのＢＳＮを有するＷＭＳとバックエンドヘルスケアサービスとの間のセキュリティ関係を組織する。
【０１０１】
ＰＳＭｘは、幾つかの独立機能的なブロックから成る（図１１を参照）。第１に、ＰＳＭｘは、上述のように、ＭＳＮのＷＭＳとの安全な通信を可能にするために、λ安全キーイングマテリアルＫＭを格納する。ＰＳＭｘは、λ安全なＫＭで予め構成されるか、又はセットアップフェーズの間、安全な環境内でその動的な構成を可能にする。ＰＳＭｘは、また、局所的ＭＳＮ信用センターにより発行される証明書を格納する。この証明書の目的は、ユーザがＭＳＮに加わるとき、ユーザ及びユーザのＨＣＣがＰＳＭの真正を認証可能にすることである。第２に、ユーザの健康管理カードが接続できるように、ＰＳＭｘはスマートカードリーダ（ＨＣＣ  Ｓｌｏｔ）を実行する。開示されたシステムは、医療用途に使用のための識別目的でＨＣＣを使用する。普及しているヘルスケアのためのセキュリティシステムは、ＨＣＣと完全に互換性を持つべきである。一つの実施例において、最も関連するユーザ医療情報、例えば、ユーザの名前、識別子及び種々異なるＭＳＮのアクセス制御ＡＣ方針又は医療記録が、ＨＣＣに格納される。加えて、ＨＣＣは、グローバルなヘルスケアＣＡにより発行されるユーザの公開／秘密鍵も格納する。最後に、ＰＳＭｘは、ＰＳＭｘ及びＨＣＣの相互認証、エンドツーエンドのセキュリティ、監査、並びに状況のアクセス制御及びプライバシーポリシーの管理を可能にするようにセキュリティプロトコルを実行する。
【０１０２】
ＰＳＭｘを作成するためのＰＳＭとＨＣＣとの組合せは、異なるＭＳＮとバックエンドシステムとの間のインターオペラビリティを保証する。一方では、ＨＣＣに格納されるセキュリティ情報は、ユーザを識別して認証し、どこでユーザが位置決めされても、ユーザのＢＳＮと中央ヘルスケアサービスとの間の橋渡しとして作用する。これは、様々なアプリケーションシナリオ間の明白なユーザ識別を達成するために全体のシステムで使用される、規則的手順に従って識別子から取り出される一時的仮名又は規則的ユーザＩＤの使用を含む。ユーザの公開鍵は、ユーザＩＤを認証し、ＢＳＮとバックエンドヘルスケアサービスとの間の安全な通信を設定するために用いられる。他方では、ＨＣＣが挿入されるＰＳＭｘは、同じＭＳＮのＷＭＳと安全な通信を可能にするλ安全ＫＭを格納する。よって、患者が１つのＭＳＮから他のＭＳＮへ移動する場合であっても、この構成は、ユーザのＢＳＮを有するＷＭＳと中央の普及しているヘルスケアサービスとの間のエンドツーエンドの安全なリンクの作成を可能にする。加えて、ＰＳＭｘは、ＨＣＣを交換することにより、新しい患者を収容するために切替えられてもよい（図６、図７及び図１１を参照）。ＰＳＭｘの実施例は、ＨＣＣのための付加的なスマートカードスロットを備える携帯電話から、病院内の患者により担持されるブレスレットまでの範囲である。
【０１０３】
加えて、ＰＳＭｘは、患者のためのアクセス制御ＡＣ方針（図１０を参照）を動的に管理もできる。これらのアクセス制御方針は、前述したようなλ安全なアクセス制御技術と組み合わされてもよい。この状況では、ＰＳＭｘは、バックエンドヘルスケアサービスにより制御されるグローバルなＡＣ方針で、現在のＭＳＮの局所的ＡＣ方針を扱える。状況認識技術は、例えば、緊急事態が検出されるとき、臨床医に対する患者のＢＳＮへアクセス可能にするために、アクセス制御方針を改善するために用いられる。
【０１０４】
最後に、我々のセキュリティシステムの重要な特徴は、ＰＳＭｘがユーザの信用センターである自律的に安全な領域ＳＤをＢＳＮが形成することである。従って、ＭＳＮ信用センターとの連結性が失われる場合であっても、ＢＳＮで実施される全ての動作がユーザのＨＣＣに記録できる。ユーザのＨＣＣが全ての装置と、ユーザのＢＳＮへアクセスを持つようにしたか又は持ったユーザとの記録を保持できるので、これは医療動作の監査を保証する。更にまた、スマートカードの技術的な特性は、この情報への無許可のアクセスを防止する。
【０１０５】
システム評価
ＭＳＮのためのセキュリティアーキテクチャの評価は、３つの直交ポイントの観点、すなわち、専門の医療設定の実際的な実現可能性、システムパフォーマンス及びセキュリティ分析から実施される。
【０１０６】
実際的な実現可能性：構成及び配備
ＭＳＮのためのセキュリティシステムは、コストを最小にするために構成及び配備が単純でなければならない。加えて、技術的な背景のない医療スタッフ及びユーザが、彼らに与えられる機器を直観的に扱えなければならない。
【０１０７】
両方の特性を示すため、初老のユーザ、ロバートが専門の医療処置のため病院に行くときのシステム構成に、ここで注意を集中させる（図６を参照）。ロバートが病院の受付デスクに到着するとき、彼は識別及び支払いのため彼のＨＣＣを使用する。その後、ＨＣＣはＰＳＭｘを作成するためにＰＳＭに挿入され、相互認証ハンドシェイクが実施される。ＰＳＭｘは、その患者のための局所的アクセス制御方針だけでなく、ＷＭＳと安全な通信を可能にするための対応するλ安全なＫＭで設定される。この局所的方針は、患者のＨＣＣに、及び患者のバックエンドヘルスケア記録に格納される。
【０１０８】
受付の後、患者は、彼のバイタルサインをモニタするため、診断時に一組のＷＭＳを受信する。ＷＭＳの各々は、ボディ結合通信ＢＣＣを介して、キー合意、認証及び認証ハンドシェイクを実施することにより患者のＰＳＭｘと通信する。このステップを成功裏に終えるＷＭＳの各々は、患者のＢＳＮのメンバーになって、ＢＳＮネットワークキー及び患者の識別子を受信する。患者を監視し又は治療するために用いられる臨床医のＰＤＡのデジタルアイデンティティを含む、何れのＷＭＳのアイデンティティも、患者のＨＣＣに格納される。病院のＭＳＮ（ＭＳＮＨＯＳＰ）は、多くのＢＳＮ（ＢＳＮｘＨｏｓｐ）を含む。
【０１０９】
システムは安全な態様でＢＳＮを自動的に開始可能であり、例えば、医師が患者のバイタルサインを監視したいので、医師はＰＳＭｘとＰＤＡとの間にＢＣＣチャネルを確立するために一時的に患者に触れる。臨床医のＰＤＡは、アクセス制御方針に従ってキー合意、認証及び認可を通じて、安全な態様でロバートのＢＳＮを自動的に加え、患者の仮名及びＫＢＳＮを受信する。患者のＢＳＮの残りのＷＭＳは、ＰＳＭｘからＰＤＡのアドレスを受け取って、これらが安全な態様でＰＤＡに患者のバイタルサインを送信し始める。
【０１１０】
システムは、また、アクセス制御ルールの動的な適合を可能にするアクセス制御方針及び動的な状況認識のあるプライバシーを実行できる。例えば、患者が心臓の発作を患う場合、ＷＭＳは警報をＰＳＭｘに送信でき、その結果、ＰＳＭｘは何れの臨床医にも患者の世話をする許可を与え得る。ＭＳＮの全てのＷＭＳが主ＭＳＮＳＤからの相関ＫＭを共有するので、よって、ＭＳＮのＷＭＳの何れの対も共通のペアをなすキーに合意でき、ｍλＫＥが、これらの状況の安全な通信を依然保証する点に注意されたい。
【０１１１】
システムパフォーマンス
開示されたセキュリティシステムのパフォーマンスは、リソース限定された装置、すなわち、ＷＭＳ、ＰＳＭ及びＨＣＣがシステムのボトルネックを表すので、これらリソース限定された装置で分析された。ＷＭＳプラットフォームは、上述のようなＭＩＣＡｚの特徴を含む。合計２キロバイトがλ安全なＫＭのために確保され、６４ビットのキーが用いられると仮定した。最後に、ＨＣＣの暗号の機能及びパフォーマンスは、例えばＮＥＣのｕＰＤ７８９８２８と同様であると仮定する。表１（図１３）は、ＭＩＣＡｚ及びｕＰＤ７８９８２８上の幾つかのセキュリティプリミティブのパフォーマンスを比較する。
【０１１２】
ここで、Ｂｌｕｎｄｏ多項式に基づく無線センサネットワークのための幾つかのキー確立プロトコルのパフォーマンスに従って、ｍλＫＥの効率を概説できる。６４ビットのキー及びオーダーの多項式の評価は、８ＭＨｚで０．０６２５＊λミリ秒かかる５００＊λＣＰＵサイクル必要とする。上述のような鍵配送手法は、２キロバイトまでの最大サイズ、すなわち、異なる多項式に分散される合計２５６の係数を持つ幾つかの多項式の評価を必要とする。よって、λとして２５６を使用するとき、多項式の評価時間は、１６ミリ秒近くである。ＭＳＮ、マスターキーの副ＳＤの各々に対する識別子の計算、セッションキーの生成又は認証ハンドシェイクは、ハッシュ関数の使用を必要とする。しかしながら、ハッシュ関数は、ＭＩＣＡｚに利用可能なＡＥＳハードウェア実行を使用して、効率的に実行できる。例えば、Matyas-Meyer-Oseasハッシュ関数を適用して、また、ＺｉｇＢｅｅに使用された、１６バイトのハッシュ計算は、１２μ秒未満かかる。従って、この具体例の全体の計算時間は、１６ミリ秒近くである。この値は、この手法が公開鍵解決案より非常に速いことを示す。その上、この手法は、２つの他の利点を持つ。第１に、一対のＷＭＳは、認証されるべきそれらのＭＳＮ識別子（２バイト）及び副ＳＤ識別子を交換する必要があるだけである。これは、長い公開鍵の交換と比較して通信のオーバーヘッドを低減し、このことはＷＭＳのバッテリ寿命を延長することを助ける。第２に、この手法は、長いアクセス制御リストを格納することなく、又は高価な公開鍵を必要とするデジタル署名の使用を必要とすることなく、アクセス制御方針の実行を可能にする。結果的に、またＢＳＮが約１０個のＷＭＳを有すると仮定すると、開示されたシステムは、キー合意及び固有のアクセス制御を含んで約１６０ミリ秒の時間、安全なＢＳＮ連合を可能にし、これは、単一の公開鍵計算（比較のため表１（図１３）を参照）より非常に速く、ＥＣＧ送信及びＢＳＮセットアップの待ち時間要件と合う。
【０１１３】
頻繁な操作のための軽量暗号プリミティブを使用して、開示されたシステムは、ＷＭＳを計算が集中する操作から解放し、公開鍵暗号法の使用を、ＰＳＭｘを設定するためＨＣＣ、ＰＳＭ及び中央ヘルスケア信用センター間のセキュリティハンドシェイクだけに低減する。これらのハンドシェイクは、最初のＰＳＭｘ構成の間、安全な環境で散発的に起こるだけである。よって、システムは、サービス妨害攻撃を受けにくい。
【０１１４】
セキュリティ分析
多次元のλ安全なキー確立ｍλＫＥは、分散鍵配送手法を用いて速いキー合意を可能にする。しかしながら、λ安全な鍵配送システムは、λ独立キーイングマテリアルセットの組合せが、アタッカーによるシステムの打破、すなわちオリジナルのＫＭｒｏｏｔを回復可能にするという障害が欠点である。このセクションでは、開示された多次元のλ安全な鍵配送手法がどのように分散アクセス制御を可能にするかだけでなく、システムの弾力性も最適にするかについても分析する。これは、高いセキュリティレベルを達成可能にする。以下において、用語「弾力性α」は、λ安全な鍵配送システムに基づいてＳＤ（安全な領域）のｋ個のノードを捕獲した後、セキュリティ侵害される通信の断片を表す。０≦α≦１とみて、単一の多項式がＳＤに使用される場合、ｋ＝λのときα＝１であることに注意されたい。α＝１、すなわちλをなすセキュリティ侵害されるノードの数とＳＤｉｊ内のＷＭＳの全数ｎｉｊとの比を相対的な弾力性αｒと呼ぶ。１より大きいαｒを持つλ安全なシステムが完全に安全であり、等しい弾力性を持つ２つのλ安全なＳＤが与えられるとみると、１により近いαｒを持つものは、侵入者がＷＭＳのより小さなプールから等量のノードを捕捉しなければならないので、より安全であると考えられる。よって、弾力性は、ノード侵害に対するシステムの抵抗及び保護の尺度である。
【０１１５】
ｍλＫＥを破るために、アタッカーは、（副）ＳＤの各々をセキュリティ侵害しなければならない。同様に、ＷＭＳとの通信の安全を破るために、アタッカーは、ＷＭＳがλ安全なＳＤからλ安全なＫＭを持つ当該λ安全なＳＤ全てを破らなければならない。よって、図８に示されるＫＭに対して、アタッカーは、通信を損なうために、計５つのＳＤを破らなければならない。全ての装置が単一のλ安全なＳＤ、例えばＭＳＮＳＤから一組のＫＭを担持し、アタッカーが比較的小さな労力でそれらの小さな断片を得ることができるので、単一のλ安全なＳＤ、例えばＭＳＮＳＤは破るのが比較的容易であるという事実にもかかわらず、残りの副ＳＤを破ることは、更にずっと困難である。これは、これらＳＤの相対的な弾力性がより高く、ＭＳＮの幾つかのノードだけが相関するＫＭを所有するからである。よって、アタッカーが同じ（副）ＳＤの多数のＷＭＳを取り除こうとする場合、そのことが容易に検出できる。加えて、複数のλ安全なＳＤが使用されるほど、アタッカーが全ての通信を破るために得なければならないλ安全な情報の量が増大し、それらの１つがセキュリティ侵害される場合でさえも、残りが安全なままである。
【０１１６】
一般に、マスターキーＫが、幾つかのλ安全なＳＤ、ＳＤｊｉから生成される幾つかの部分的なキー、Ｋｊｉのハッシュとして計算されるｍλＫＥの弾力性及び相対的な弾力性は、それぞれ式（２）及び（３）により与えられる。
0005430654.tif 000002
例−病院ＭＳＮが合計１，０００個のＷＭＳ（〜１００の患者のＢＳＮ）、５フロアにそれぞれ分割される２つのビル、合計で１０のオペレーショナルゾーン及び８の種々異なる医療専門分野を有すると仮定する。λ安全なＫＭを割り当てるため２キロバイトのメモリも使用すると仮定する。各副ＳＤは、表２（図１４）にて説明されるような量のメモリに割り当てられ、副ＳＤへのＷＭＳの均一な配送と仮定すると、各副ＳＤに対する弾力性及び相対的な弾力性を計算できる。これらの値から、アタッカーが、この特定のシステムを破るため、３８５のノード、すなわちＷＳＮのプールの３８．５％を損なわなければならないと結論できる。
【０１１７】
本発明は、図面及び前述の記述で例示され詳述されたが、斯様な例示及び説明は、図示的又は例示的であるとみなされ、限定的ではない。本発明は、開示された実施例に限定されない。開示された実施例に対する他のバリエーションは、図面、明細書及び添付の請求の範囲の検討から、請求項の発明を実施する際、当業者により理解され実行できる。
【０１１８】
請求項において、用語「を有する」は他の要素又はステップを除外しないし、不定冠詞「ａ」又は「ａｎ」は複数を除外しない。単一の要素又は他のユニットは、請求項に引用される幾つかの構成要件の機能を履行してもよい。特定の手段が相互に異なる従属項に引用されているという単なる事実は、これらの手段の組合せが効果的に使用できないことを示しているわけではない。
【０１１９】
請求項内の参照符号は、範囲を制限するものとして解釈されてはならない。
【図１】
0005430654.tif 000003
【図２】
0005430654.tif 000004
【図３】
0005430654.tif 000005
【図４】
0005430654.tif 000006
【図５】
0005430654.tif 000007
【図６】
0005430654.tif 000008
【図７】
0005430654.tif 000009
【図８】
0005430654.tif 000010
【図９】
0005430654.tif 000011
【図１０】
0005430654.tif 000012
【図１１】
0005430654.tif 000013
【図１２】
0005430654.tif 000014
【図１３】
0005430654.tif 000015
【図１４】
0005430654.tif 000016