(57)【要約】  例示的な実施形態は、構成デバイスＤとのコンテキストで医療資源又は機能Ｆの実現を実行するためのヘッドレス医療装置Ｓと、医療資源又は機能に関連するアクション要求に対してヘッドレス医療装置のロック状態Ｌをロック又はロック解除するためのオプションのホストデバイスＨとを含む。【特許請求の範囲】
【請求項１】
装置であって、
前記装置と通信するための第１の通信インタフェースと、
前記装置と通信するための第２の通信インタフェースと、
プログラム可能な電子チップと、
医療機能を作動させるため、及び通信方法を実行するため、前記プログラム可能な電子チップにより読み出し可能かつ実行可能な命令を格納した非一時的記憶媒体とを有し、前記通信方法が、
前記第１の通信インタフェースを介して前記第２の通信インタフェースを初期構成し、前記装置のロック状態をロック状態に切り替えるステップと、
前記第２の通信インタフェースの前記初期構成後に、
前記第２の通信インタフェースを介して、前記装置の前記ロック状態を制御するステップと、
前記第１の通信インタフェースを介して、前記第２の通信インタフェース又は前記医療機能に関連するアクション要求を受信するステップと、
前記第２の通信インタフェースを介して制御される前記ロック状態がロック解除状態であることを条件に前記アクション要求を実行するステップとを有する、装置。
【請求項２】
前記第１の通信インタフェースが、第１の無線プロトコルに基づき作動する第１の無線機を有し、
前記第２の通信インタフェースは、第２の無線プロトコルに基づき作動する第２の無線機を有する、請求項１に記載の装置。
【請求項３】
前記第１の無線機が、近距離通信プロトコルに基づき作動し、前記第２の無線機は、Ｂｌｕｅｔｏｏｔｈプロトコルで作動する、請求項２に記載の装置。
【請求項４】
前記第１の無線機及び前記第２の無線機が、同じ物理無線トランシーバハードウェアを共有する２つの異なる仮想無線機である、請求項２に記載の装置。
【請求項５】
前記第１及び第２の通信インタフェースの１つが、無線機を有し、
前記第１及び第２の通信インタフェースの他方は、有線通信インタフェースを有する、請求項１に記載の装置。
【請求項６】
前記通信方法が、前記第２の通信インタフェースの初期構成の後、前記第２の通信インタフェースが前記装置のロック状態をロック状態に変更するとき、
ａ）前記第１の通信インタフェースを非アクティブにする、
ｂ）前記第１の通信インタフェースにおける着信メッセージをブロックするファイアウォールをアクティブにすること、又は
ｃ）前記第１の通信インタフェースにおける任意の着信アクション要求メッセージを無視する、のいずれかを行うステップを更に有する、請求項１乃至５のいずれか一項に記載の装置。
【請求項７】
前記医療機能が、センサ又はアクチュエータを作動させることを有する、請求項１乃至６のいずれか一項に記載の装置。
【請求項８】
輸液ポンプを有し、前記輸液ポンプが、ポンプハードウェアと流量センサとを更に含み、前記医療機能は、前記流量センサを使用して静脈内流体流量を測定することと、前記測定された静脈内流体流量からの流量フィードバックに基づき、前記静脈内流体流量を制御するために前記ポンプハードウェアを作動させることとを含む、請求項１乃至６のいずれか一項に記載の装置。
【請求項９】
バイタルサインセンサを有し、前記バイタルサインセンサが、センサハードウェアを更に含み、前記医療機能は、前記バイタルサインデータを取得するために前記センサハードウェアを作動させることを含む、請求項１乃至６のいずれか一項に記載の装置。
【請求項１０】
システムであって、
請求項１乃至６のいずれか一項に記載の装置と、
前記装置のロック状態が解除されるとき、前記第１の通信インタフェースを介して前記第２の通信インタフェースに関連するセキュリティクレデンシャルを送信する構成デバイスとを有し、
前記装置が、前記初期構成において前記クレデンシャルを使用して、前記第２の通信インタフェースを介して安全な通信チャネルを設定する、システム。
【請求項１１】
システムであって、
請求項１乃至６のいずれか一項に記載の装置と、
前記第２の通信インタフェースの初期構成後、前記第１の通信インタフェースを介して前記アクション要求を送信し、前記第２の通信インタフェースを介して前記装置のロック状態を制御する構成デバイスとを有する、システム。
【請求項１２】
前記第２の通信インタフェースの初期構成後に、前記第２の通信インタフェースを介して、前記装置のロック状態を制御するために、前記構成デバイスと協力するホストデバイスを更に有する、請求項１０又は１１に記載のシステム。
【請求項１３】
第１の通信インタフェース及び第２の通信インタフェースを含む医療装置と関連して実行される方法において、
前記医療装置を使用して医療機能を実行するステップと、<
前記医療装置の前記第２の通信インタフェースを介して、前記医療装置のロック状態を制御するステップと、
前記医療装置の前記第１の通信インタフェースを介して、前記第２の通信インタフェース又は前記医療機能に関連するアクション要求を受信するステップと、
前記医療装置のロック状態がロック解除状態であることを条件に、前記医療装置を用いて前記アクション要求を実行するステップとを有する、方法。
【請求項１４】
前記医療装置のロック状態をロック状態に変更する制御を行うとき、
ａ）前記医療装置の前記第１の通信インタフェースを非アクティブにする、
ｂ）前記医療装置の前記第１の通信インタフェースにおける着信メッセージをブロックするファイアウォールをアクティブにする、又は
ｃ）前記医療装置の前記第１の通信インタフェースにおいて受信される任意の着信アクション要求メッセージを無視する、のいずれかを行うステップを更に有する、請求項１３に記載の方法。
【請求項１５】
前記医療装置のロック状態を制御するステップが、前記第２の通信インタフェースを介してロック解除メッセージを受信することに基づき、前記ロック状態をロック状態からロック解除状態に変更するステップを含む、請求項１３又は１４に記載の方法。
【請求項１６】
前記医療装置の前記第１の通信インタフェースを介して前記アクション要求を受信することに基づき、前記医療装置の前記第２の通信インタフェースを介して確認要求メッセージを発行するステップを更に有し、
前記ロック解除メッセージが、前記確認要求メッセージの発行に基づき、前記医療装置の前記第２の通信インタフェースを介して受信される、請求項１５に記載の方法。
【請求項１７】
前記アクション要求が、前記構成デバイスから前記医療装置の前記第１の通信インタフェースを介して受信され、
前記ロック解除メッセージは、前記医療装置の前記第２の通信インタフェースを介して前記構成デバイスから受信される、請求項１５又は１６に記載の方法。
【請求項１８】
ホストデバイスにおいて構成デバイスに関する情報を格納するステップを更に有し、
前記アクション要求が、前記構成デバイスから前記医療装置の前記第１の通信インタフェースを介して受信され、
前記ロック解除メッセージは、前記医療装置の前記第２の通信インタフェースを介して前記ホストデバイスから受信される、請求項１５又は１６に記載の方法。
【請求項１９】
ある方法を実行するため、第１の通信インタフェース及び第２の通信インタフェースを持つ医療装置により読み出し可能かつ実行可能な命令を記憶する非一時的記憶媒体であって、前記方法が、
前記医療装置を使用して医療機能を実行するステップと、
前記第２の通信インタフェースを介してロック解除メッセージを受信することに基づき、前記医療装置のロック状態をロック状態からロック解除状態に変更するステップと、
前記医療装置の前記第１の通信インタフェースを介して、前記医療機能に関連するアクション要求を受信するステップと、
前記医療装置のロック状態がロック解除状態であることを条件に、前記医療装置を用いて前記アクション要求を実行するステップとを有する、方法。
【請求項２０】
前記方法が、前記医療装置の前記第１の通信インタフェースを介してアクション要求を受信することに基づき、前記医療装置の前記第２の通信インタフェースを介して確認要求メッセージを発行するステップを更に有し、
前記ロック解除メッセージが、前記確認要求メッセージの発行に基づき、前記医療装置の前記第２の通信インタフェースを介して受信される、請求項１９に記載の非一時的記憶媒体。
【発明の詳細な説明】
【技術分野】
【０００１】
本願は、２０１８年１月２９日に出願された、タイトルが「ＳＥＣＵＲＩＮＧ  ＨＥＡＤＬＥＳＳ  ＤＥＶＩＣＥＳ  ＦＲＯＭ  ＭＡＬＩＣＩＯＵＳ  （ＲＥ−）ＣＯＮＦＩＧＵＲＡＴＩＯＮ」である米国仮出願Ｎｏ．６２／６２２，９８４号の利益を主張する。２０１８年１月２９日に出願された米国仮出願第６２／６２２，９８４号は、その全体が参照により本書に組み込まれる。
【０００２】
本願は一般に、無線医療センサ、低電力無線センサ、モバイルセンサ、及び他の類似のアプリケーションに関する。
【背景技術】
【０００３】
ヘルスケア分野では、Ｉｎｔｅｒｎｅｔ  ｏｆ  Ｔｈｉｎｇｓ（ＩｏＴ）が、無線センサ及びアクチュエータ装置を応用することで、配線の乱雑さを取り除き、及び個人の自由な動きを提供するなど、多くの利益をもたらすことが期待されている。例えば、無線バイタルサインセンサは、病院のネットワークに接続して、バイタルセンサ情報の常時アップロードを可能にし、又は有害事象が発生した場合にアラームで看護スタッフに警告することができる。薬物送達装置などのアクチュエータ装置は、薬物を投与するためのイベントを受信するため、及び／又は治療のために構成されるため（例えば、自動投与量を変更するため）、病院のネットワークに無線で接続されていてもよい。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
無線医療装置の課題は、無線通信のセキュリティの確保である。医療装置への悪意のある攻撃は、これらの無線センサ又はアクチュエータが適用される患者にとって非常に有害であるか、又は患者を死に至らしめることもある。例えば、無線薬剤送達アクチュエータ装置（例えば、無線輸液ポンプ）が、薬剤を投与するためにあまりにも多くのイベントを受信する、又は患者に対して誤った投与量で悪意を持って（再）構成される場合、これは致命的な結果をもたらす可能性がある。これは、近距離又は近接ベースの無線プロトコルを使用することで対処されることがある。しかしながら、Ｂｌｕｅｔｏｏｔｈのような近距離通信プロトコルは、最大２０ｍ程度の通信距離を持ち、これは、悪意のある攻撃に関する実質的なスペースを提供する。ニアフィールド通信（ＮＦＣ）のような近接ベースの無線プロトコルは、はるかに短い範囲を持ち、例えば数センチの近接を必要とし、これはより安全であると考えられるかもしれない。しかしながら、医療装置が構成された後、患者にアクセスできる者（例えば、患者が眠っている間に入室するスタッフ以外の訪問者）が、同じ近接ベースの無線プロトコル（例えば、ＮＦＣ）を使用して機器を再構成することができるという懸念が残る。
【０００５】
悪質な攻撃の別の例は、Ｂｌｕｅｔｏｏｔｈセンサを使った中間者攻撃である。ここで、医療装置は、病院のネットワークに接続するのではなく、ハッカーの携帯電話又は他のＢｌｕｅｔｏｏｔｈを搭載したモバイル装置に接続するように要求される。中間者攻撃では、病院のスタッフは、それ以上その患者のバイタルサインを追うことができないかもしれない（サービス拒否）。
【０００６】
斯かる中間者攻撃を防ぐため、近接ベースの帯域外ペアリング方法（ＮＦＣなど）を使用して、パスキー／ペアリング情報でセンサが構成されることができる。この処理が病院のスタッフにより行われる場合、例えば、このＮＦＣ処理を行うため、認可された携帯装置をセンサの近くで使用することにより行われる場合、患者に適用する前に、これは安全であると考えられる。しかしながら、センサが適用された後に、患者にアクセスできる者（例えば、スタッフ以外の訪問者）が、同じ近接ベースのペアリング方法を使用して、センサに異なるパスキーを設定し、不正な装置（例えば、Ｂｌｕｅｔｏｏｔｈ搭載の携帯電話）でセンサへの接続を引き継ぐことが可能であるという問題が残っている。
【０００７】
同様に、近接ベースの無線プロトコル（例えば、ＮＦＣ）がセンサ装置を構成するために使用される場合（例えば、測定値を送信する頻度、センサデータを送信するための宛先ＩＰアドレス、無線動作周波数）、悪意のある装置は、センサを望ましくない動作状態に構成することができる。
【０００８】
本願は、一定の改善点を開示す。
【課題を解決するための手段】
【０００９】
本書に開示されたいくつかの例示的な実施形態では、装置は、装置と通信するための第１の通信インタフェースと、上記装置と通信するための第２の通信インタフェースと、プログラム可能な電子チップと、センサ又はアクチュエータ又は他の医療機能を作動させ、通信方法を実行するために、プログラム可能な電子チップにより読み出し可能かつ実行可能な命令を格納した非一時的記憶媒体とを有する。通信方法は、上記第２の通信インタフェースを介して、上記装置のロック状態を制御するステップと、第１の通信インタフェースを介して、第２の通信インタフェース又は医療機能に関連するアクション要求を受信するステップと、ロック状態がロック解除状態であることを条件にアクション要求を実行するステップとを含む。いくつかの実施形態では、第１の通信インタフェースは、第１の無線プロトコルに基づき作動する第１の無線機（Ｒ１）を含み、第２の通信インタフェースは、第２の無線プロトコルに基づき作動する第２の無線機（Ｒ２）を含む。例えば、第１の無線機は、近距離無線通信（ＮＦＣ）プロトコルに基づき作動し、第２の無線機は、Ｂｌｕｅｔｏｏｔｈプロトコルに基づき作動することができる。他の斯かる実施形態では、第１の無線機及び第２の無線機は、同じ物理無線トランシーバハードウェアを共有する２つの異なる仮想無線機であってもよい。いくつかの代替実施形態では、第１及び第２の通信インタフェースの一方は無線機を含み、第１及び第２の通信インタフェースの他方は有線通信インタフェースを含む。開示された装置のいくつかの実施形態では、通信方法は更に、装置のロック状態をロック状態に変更するとき、（ａ）第１の通信インタフェースを非アクティブ化する、（ｂ）第１の通信インタフェースにおいて着信メッセージをブロックするファイアウォールを有効にする、又は（ｃ）第１の通信インタフェースにおける任意の着信アクション要求メッセージを無視する、のいずれかを行う。
【００１０】
本書に開示されるいくつかの例示的な実施形態では、システムは、前述の装置と、上記装置のロック状態が解除されるとき、上記第１の通信インタフェースを介して上記第２の通信インタフェースに関連するセキュリティクレデンシャルを送信するよう構成された構成デバイスとを有する。装置は、このクレデンシャルを使用して、第２の通信インタフェースを介して安全な通信チャネルを設定し、装置は、ロック状態をロック状態に切り替える。本書に開示されるいくつかの例示的な実施形態では、システムは、前述の装置と、上記第１の通信インタフェースを介して上記アクション要求を送信し、上記第２の通信インタフェースを介して上記装置のロック状態を制御するよう構成された構成デバイスとを有する。前述のシステムの実施形態のいずれかはオプションで、第２の通信インタフェースを介して、装置のロック状態を制御するために、構成デバイスと協力するホストデバイスを更に含んでもよい。
【００１１】
本書に開示されたいくつかの例示的な実施形態は、構成デバイスのコンテキストで、医療資源又は機能を実現するためのヘッドレス医療装置と、医療資源又は機能に関連するアクション要求に対してヘッドレス医療装置のロック状態をロック又はロック解除するためのオプションのホストデバイスとを含む。
【図面の簡単な説明】
【００１２】
【図１】構成デバイスのコンテキストで、医療資源又は機能の実現を実行するためのヘッドレス医療装置と、医療資源又は機能に関連するアクション要求に対して、ヘッドレス医療装置のロック状態をロック又はロック解除することを構成デバイスに許可するためのオプションのホストデバイスとを概略的に示す図である。
【図２】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図３】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図４】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図５】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図６】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図７】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図８】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図９】図１のヘッドレス医療装置に関連して好適に実行される通信方法を概略的に示す図である。
【図１０】図１のヘッドレス医療装置が輸液ポンプを含む実施形態を概略的に示す図である。
【図１１】図１のヘッドレス医療装置がバイタルサインセンサを含む実施形態を概略的に示す図である。
【発明を実施するための形態】
【００１３】
本発明は、様々な要素及び要素の配列、並びに様々なステップ及びステップの配列の形態をとることができる。図面は、好ましい実施形態を説明するためだけのものであり、本発明を限定するものとして解釈されるべきではない。
【００１４】
多くの無線プロトコルは、物理的なアクセス権を持つ悪意のある人物、又は無線医療装置に近接することができる悪意のある人物により侵害される可能性がある。ＮＦＣのような近接ベースの認証方法は通常、支払取引での使用において十分に安全であると考えられている。しかしながら、これらの近接ベースの認証方法は、不正な人が無線医療装置を悪用することを防ぐことはできない。認証は、特定の資源にアクセスしようとする人又は装置の身元を確認するために作動する。しかしながら、認証は、オーソリゼーションとは同じではない。オーソリゼーションは、ある資源へのアクセス権を強制する機能であり、これは、資源にアクセスしようとする人又は装置ごとに異なる場合がある。決済システムの例では、悪用を避けるために本人確認及び認証のプロトコルが知られている。多くの決済装置では、装置のオペレーティングシステム上で複数のユーザを管理し、それぞれが特定の特権的な資源への独自のアクセス権を持つことで、オーソリゼーションの問題が解決される。
【００１５】
しかしながら、限られた資源、記憶領域、容易な構成のためのＩ／Ｏモダリティの欠如、又はログイン手順及びユーザへのフィードバックを提供するためのＩ／Ｏモダリティの欠如のために、低コスト、低消費電力の無線センサ又はアクチュエータ装置のような単純な装置において、多くの異なるユーザにルールを強制することは、非常に煩雑で複雑である。例えば、医療分野では、多くのタイプの医療センサ又はアクチュエータが、ヘッドレス装置として構築されている。ヘッドレス装置は、グラフィカルユーザーインターフェースを持たず、代わりに電子データネットワークリンク（例えば、Ｂｌｕｅｔｏｏｔｈ、ＮＦＣなど）を介して外界と通信する。いくつかの実施形態では、ヘッドレス装置は、一体型入力又は出力機能を含まず、すべての通信は、１つ又は複数の電子データネットワークリンクを介して行われる。他の実施形態では、ヘッドレス装置は、リセットボタン、７バーＬＥＤディスプレイなどの１つ又は複数の単純な入力及び／又は出力制御部又は装置を含んでもよいが、これは、ヘッドレス装置を容易に構成するのに十分ではない（むしろ、完全な機能性のために、１つ又は複数の電子データネットワークリンクを介した通信が必要とされる）。
【００１６】
ヘッドレスの医療装置では、複数の規定されたユーザがそれぞれ特定の権限を持つセキュリティパラダイムを採用することは困難であり、実現が煩雑である。実際、斯かるヘッドレス医療装置は通常、患者を監視し、又は特定の治療（例えば、静脈内薬物送達など）を作動させるために、迅速かつ簡単に展開することを目的としており、複雑なユーザ固有のオーソリゼーションプロセスを必要とすることは、この目的に反している。（例えば、認証は、何らかのユーザインタフェースを介してユーザ名及びパスワードの入力を必要とするかもしれないが、これはまずＢｌｕｅｔｏｏｔｈ又は他の無線接続を介してヘッドレス装置と接続される必要がある）。このように、ヘッドレス医療装置では通常、一般的なルールのみが適用される。例えば、近くにいる人、及び／又は（単一の）パスワード若しくはパスコードを持つ人は、斯かる装置の資源を使用又は（再）構成するためのアクセスが許可されることができる。
【００１７】
前述したように、特に医療装置の場合は、近接性だけでは十分な保護にならない場合がある。これは、通常は工場出荷時に共有秘密（例えば、パスワード又はパスコード）を組み込むことで緩和される可能性がある。しかしながら、これは、各装置が異なる共有秘密を具備しなければならないため、製造プロセスを複雑にし、装置が異なる環境で動作するための柔軟性を低下させ、更に、医療装置のすべての許可されたユーザ間で共有されなければならない単一のパスワード又はパスコードの機密性を確保することが困難になる。内蔵の共有秘密への不正アクセスを緩和するためには、内蔵ストレージへのアクセスを防止するための耐タンパー性ハードウェアを作成する、又は物理パラメータに影響を与えて通常とは異なることをするために装置のチップセットが使用されることを防止する必要がある。しかしながら、耐タンパー性のあるハードウェアは、余計な複雑さが加わり、ヘッドレス医療装置への無線攻撃を防ぐには効果的ではない。ヘッドレス装置の場合、無線は、装置へのアクセスを取得し、又は不正なアクションを実行するよう装置を構成するための最も簡単で主要な"チャネル"である。
【００１８】
ヘッドレス装置のセキュリティ対策の設計に影響を与える別の要因は、これらのセンサ／アクチュエータ装置の複雑さと消費電力との間にバランスをとる必要があるということである。なぜなら、これらのいくつかは、将来人体に埋め込まれることさえあるためである。
【００１９】
図１及び図２を参照して、一実施形態では、ヘッドレス装置Ｓは、セキュリティに敏感な資源／機能Ｆ（例えば、バイタルサインセンサ機能、薬剤送達機能、セキュアストレージ、セキュア無線接続などの医療資源又は機能）を作動させる。ヘッドレス装置Ｓは、無線プロトコルＷ１を作動させる第１の無線機Ｒ１と、無線プロトコルＷ２を作動させる第２の無線機Ｒ２とを備えている。信頼されたネットワークＮにセキュアに接続するための第２の無線機Ｒ２の初期構成１０を行った後、装置Ｓは、ロック状態Ｌをロック状態に切り替える（１２）。この間、装置Ｓは、第１無線機Ｒ１からのメッセージ１４の受信を停止するか、又はこの間、装置Ｓは、第１の無線機Ｒ１を介して任意のデバイスＤから受信した医療資源又は機能Ｆに対して実行されるための任意の着信アクション要求をブロックする（１４）。これは、デバイスＤからの着信アクション要求の受信を可能にするため（１８）、無線医療装置Ｓが信頼されたネットワークＮに接続される間に第２の無線機Ｒ２を介してメッセージを受信した（１６）後まで行われる。言い換えると、第２の無線機Ｒ２は、第１の無線機Ｒ１を介して受信した医療資源又は機能Ｆを変更するアクション要求を処理する能力に関して、医療装置Ｓのロック状態Ｌをロックする又はロック解除するために使用される。
【００２０】
非限定的な例示を介して、第１の無線機Ｒ１が近距離無線通信（ＮＦＣ）プロトコルに基づき作動し、第２の無線機Ｒ２がＢｌｕｅｔｏｏｏｔｈプロトコルに基づき作動する例において、医療資源又は機能Ｆに対して実行されるアクション要求は、パスワード、パスコード、又は他の認証秘密を転送する（無線機Ｒ２の初期構成１０を実行するため）、患者識別（ＰＩＤ）を設定する、患者固有の動作パラメータ（例えば、輸液流量）を調整する等を含むことができる。これは例えば、Ｂｌｕｅｔｏｏｔｈ（登録商標）Ｓｅｃｕｒｅ  Ｓｉｍｐｌｅ  Ｐａｉｒｉｎｇ  Ｕｓｉｎｇ  ＮＦＣ、Ａｐｐｌｉｃａｔｉｏｎ  Ｄｏｃｕｍｅｎｔ、ＮＦＣＦｏｒｕｍ−ＡＤ−ＢＴＳＳＰ_１_１、２０１４で規定されるように、ネゴシエートされたＢＬＥハンドオーバー（ＮＦＣフォーラムのピアツーピアモードで交換されるハンドオーバー要求及びハンドオーバー選択メッセージを用いる）を使用してＮＦＣで行われることができる。ＮＤＥＦレコードベースのハンドオーバメッセージは、アプリケーションに必要とされる追加情報フィールド（ＰＩＤなど）で拡張されることができる。ロック状態Ｌがロック状態にあるとき、医療装置Ｓは、第１無線機Ｒ１を非活性化若しくはオフにすることにより、若しくは、第１無線機Ｒ１の着信メッセージをブロックするファイアウォールを作動させることにより、又は、ロック状態にあるときに医療資源又は機能Ｆに対して実行すべきアクションを要求する着信メッセージを無視するようプログラムされることにより、医療資源又は機能Ｆに対して実行すべき着信アクション要求をブロックすることができる。
【００２１】
ロック状態Ｌがロック状態である間、いくつかの実施形態では、第１の無線機Ｒ１は、第２の無線機Ｒ２が攻撃又は不正使用されるとセンサが決定する場合、発信メッセージを送信する（２０）、例えばアラームメッセージをブロードキャストするのに、まだ有用であるかもしれない。
【００２２】
図３を参照して、資源又は機能Ｆの構成を開始するための１つのアプローチは、以下の通りである。医療資源又は機能Ｆを構成するためのアクションを実行するための着信要求を第１の無線機Ｒ１を介して受信すると（３０）、無線医療装置Ｓは、装置が初期未構成状態にある場合（３２）、そのアクションを実行するため第１の無線機Ｒ１を介した着信要求を受け入れ（３４）、その後、装置Ｓは、ロック状態に切り替わる（３６）。その後、医療資源又は機能Ｆの更なる変更を行うため、第２の無線機Ｒ２は、医療資源又は機能Ｆの斯かる更なる変更に関して、医療装置Ｓのロックを解除する（３８）ために使用されなければならない。
【００２３】
一つの例示的な実施形態では、第１の無線機Ｒ１は、近距離無線通信（ＮＦＣ）、Ｑｉデータ通信、ＩＳＯ／ＩＥＣ１４４４３などの近接ベースの無線プロトコル（例えば、いくつかの実施形態では１０ｃｍ以下の範囲を有する）である無線プロトコルＷ１を採用する。一方、第２の無線機Ｒ２は、Ｂｌｕｅｔｏｏｔｈ、ＩｒＤＡ、Ｚｉｇｂｅｅ、ＩＥＥＥ８０２．１５．４などの短距離無線プロトコル（例えば、５０メートル以下である範囲を有する）、Ｗｉ−Ｆｉ、ＤＥＣＴなどの中距離無線プロトコル（例えば、１００メートル以下である範囲を有する）、又はＬＴＥ  Ｃａｔ−Ｍｉ、ＮＢ−ＩｏＴ、ＦｏＲａなどの長距離無線プロトコル（例えば、１００メートル以上である範囲を有する）である無線プロトコルＷ２を採用する。Ｒ１を介して受信される、医療資源又は機能Ｆを変更するための着信アクション要求は例えば、医療装置Ｓと、一緒に閉じた信頼されたネットワークＮ（例えば、病院内の臨床ネットワーク）を形成するアクセスポイント、スモールセル若しくは基地局、及び／又は接続された装置のセットとの間で、無線機Ｒ２に関する安全なペアリング（例えば、Ｂｌｕｅｔｏｏｔｈ  ｖ４．２で規定されるＬＥ  ｓｅｃｕｒｅペアリング、Ｗｉ−Ｆｉ  Ｐｒｏｔｅｃｔｅｄ  Ａｃｃｅｓｓ  Ｓｐｅｃｉｆｉｃａｔｉｏｎ／Ｔｅｓｔ  ｐｌａｎで規定されるＷＰＡ／ＷＰＡ２、Ｄｉｆｆｉｅ−Ｈｅｌｍａｎ鍵交換）を実行するためのセキュリティクレデンシャル（例えば、パスキー、公開鍵、Ｘ．５０９証明書、秘密鍵、共有鍵、長期鍵）を格納するためのアクション要求とすることができる。装置Ｓは、第２無線機Ｒ２が初期未構成状態にある場合（又は別の言い方をすれば、初期展開時にロック状態Ｆがロック解除状態にある場合）、そのアクションを実行するため第１無線機Ｒ１を介して着信要求を受け入れ、初期構成後、装置Ｓは、ロック状態Ｆをロック状態に切り替え、第２無線機Ｒ２を介して第１無線機Ｒ１をロック解除するための認証済みメッセージを受信するまでロック状態のままである。無線機Ｒ２が初期の未構成状態にあるとき、装置Ｓは、Ｒ１を介してセキュリティクレデンシャルＣを受信した後まで、任意の着信セキュアペアリングメッセージをブロック又は無視するべきであることに留意されたい。これは、装置が、受信したセキュリティクレデンシャルＣを使用して信頼されたネットワークＮへのセキュア接続を設定することを可能にする（即ち、図２のステップ１０）。この処理は、デバイスＤが、装置Ｓが接続可能なアクセスポイント、スモールセル、又は基地局のセットを（ネットワークＮを介して）通知することになることを想定する点に留意されたい。ここで、対応するセキュリティクレデンシャルが、装置Ｓとのペアリングに使用される。
【００２４】
図１に戻り、更に図４を参照して、別の例示的な実施形態は、上記のようなヘッドレス装置Ｓと構成デバイスＤとを含むシステムＸを有する。ヘッドレス装置Ｓが、医療資源又は機能Ｆに対するアクションを実行するために、第１の無線機Ｒ１を介して構成デバイスＤからの着信要求を受信すると（４０）、装置Ｓは、デバイスＤがネットワークＮの一部であることを確認する。一実施形態では、装置Ｓは、第２の無線機Ｒ２を介してデバイスＤを対象とした確認要求メッセージを発行する（４２）。一実施形態では、構成デバイスＤは、装置Ｓからの確認要求をその画面（即ちディスプレイ）に表示し（４４）、その後、デバイスＤは、確認応答メッセージをヘッドレス医療装置Ｓに送信する（４６）。ヘッドレス装置Ｓが、着信要求を受け入れてもよいという確認応答メッセージを第２の無線機Ｒ２を介してデバイスＤから受信しない限り（５０）、ヘッドレス装置Ｓは、第１の無線機Ｒ１を介してデバイスＤから受信される医療資源又は機能Ｆを変更するための着信アクション要求をブロックする（４８）。数回の試行の後にヘッドレス医療装置Ｓが確認メッセージを受信しない場合（５２）、いくつかの実施形態では、装置Ｓはアラームメッセージのブロードキャストを開始する（５４）。なぜなら、この確認の欠如は、ヘッドレス医療装置Ｓが攻撃を受けている可能性があることを示唆しているからである。これを実現するため、ロック状態にあることは、（いくつかの実施形態では）発信メッセージをブロックしないことに改めて留意されたい。更なるオプションの側面では、確認要求は、リプレイ攻撃を防止し、リトライを引き起こす無線ネットワークのグリッチに対処するために、構成デバイスＤに表示されるとき、医療装置Ｓにより行われた治療情報の履歴を明らかにしてもよい。
【００２５】
構成デバイスＤがネットワークＮを介して到達可能であることを確認するための１つの例示的なアプローチは、逆ＡＲＰプロトコル又は何らかの自動アドレス変換を使用する（例えば、装置がＷｉ−Ｆｉダイレクト接続とＷｉ−Ｆｉインフラストラクチャ接続とで同時に作動する場合、装置は、何らかのビット反転を使用して装置に内蔵される同じ元のＭＡＣアドレスに基づかれる異なるＭＡＣアドレスを使用する）。
【００２６】
図１に戻り、図５を更に参照して、更なる任意の側面では、システムＸは、ネットワークＮを介して到達可能なホストデバイスＨを更に含んでもよい。ホストデバイスＨは、構成デバイスＤに関する情報を記憶しており（６０）、装置Ｓは、構成デバイスＤが信頼できること及び／又はネットワークの一部であることを確認するために、無線機Ｒ２を介して（図１に図示したように）要求をデバイスＨに送信する（６２）。デバイスＨは、デバイスＤが信頼された装置であることを確認する情報を装置Ｓに提供し、及び／又はデバイスＤに到達する方法に関する情報を提供することができる（６４）。その理由は、デバイスＤは、異なるサブネット上にいる可能性があるからである（即ち、異なる範囲のＩＰアドレスで作動している）。なぜなら、それは、その時点で異なる無線機を使用している場合があるためである。この場合、追加のホストデバイスＨは、ネットワーク内の装置を追跡するのに使用されることができ、異なるサブネットワーク内のアドレス情報といった装置に関する情報を記憶する。斯かるホストデバイスＨ（例えば、ＡＰコントローラ）は、ブリッジング装置として機能してもよい。特に、ネットワークＮがＩＰアドレスを用いてＷｉ−Ｆｉを介して動作し、構成デバイスＤが装置ＳにＢｌｕｅｔｏｏｏｔｈを介して接続する場合、ホストデバイスＨは、デバイスＤに関する情報を取得し、デバイスＤのＩＰアドレス又は８０２・１１のＭＡＣアドレスではなく、デバイスＤのＢｌｕｅｔｏｏｔｈアドレスに基づき、デバイスＤへの到達方法を取得する。
【００２７】
図１を参照して、図６を更に参照して、別の実施形態では、無線機Ｒ１を介してメッセージを装置Ｓに送信すると（７０）、デバイスＤは、ネットワークＮを介して第２のメッセージ（例えば、一時的なロック解除要求）を装置Ｓに直接又はプロキシでデバイスＨを介して送信し（７２）、無線機Ｒ２を介してネットワークＮからデバイスＤからの第２のメッセージを受信した後（７４）、装置Ｓは、デバイスＤがネットワークＮの一部であることを決定し、着信アクション要求を許可する（７６）。
【００２８】
図１を参照して、図７を更に参照して、別の実施形態では、第１の無線機Ｒ１を介した着信アクション要求は、患者及び／又は医師の情報を含み（８０）、医療装置Ｓは、構成デバイスＤが医師に代わって使用されることが許可されること、及び／又はその患者の治療を構成するために使用されることが許可されることを（例えば、受信したクレデンシャルが医師のクレデンシャルと一致するかどうかを確認することにより）確認するために、（図１に図示されるように）無線機Ｒ２を介してホストデバイスＨに接触する（８２）。その追加確認チェックが正しい場合にのみ（８４）、医療装置Ｓは、医療資源又は機能Ｆに対するアクションを実行する（８６）。このクレデンシャルは、（異なるランクの）異なるケアテイカーのクレデンシャルのセット又はチェーンである可能性がある点に留意されたい。装置Ｓは、緊急事態に備えて、ホストデバイスＨに登録されていない別の医師による再構成又は（一時的）ロック解除を可能にするために、特別なクレデンシャルで更に構成されていてもよい。緊急事態に使用される構成デバイスＤがこの特別なクレデンシャルを所有していることを、例えば、無線機Ｒ１又はＲ２を介して認証プロトコル（Ｄｉｆｆｉ−Ｈｅｌｍａｎなど）を使用して装置Ｓが確認できる限り、装置Ｓは、無線機Ｒ１又はＲ２の両方を介してこれを許可してもよい。
【００２９】
更なる任意の側面では、ホストデバイスＨは、医師が現在積極的に使用している装置を検出し、その装置に確認要求メッセージを送信するように、ヘッドレス医療装置Ｓを支援してもよい。
【００３０】
医療資源／機能Ｆを変更しようとする試みが、何らかの（不適切な、例えばハッカーの）装置（図示省略）から受信される場合に、信頼されたネットワークＮとの接続を失うことを避けるため、以下のアプローチが採用されることができる。ヘッドレス装置Ｓが、デバイスＤと通信するための新しい構成を受信する場合、古い構成を保存し、信頼できるバックエンドサーバ（例えば、上記システムにおける既知のホストＨ）に対して、新しい構成を用いて構成デバイスとの接続を試みる。この試みが成功しなかった場合、新しい構成は破棄され、古い構成（適切な構成デバイスＤ用）がストレージから取得され、処理は古い構成に戻る。
【００３１】
図１を参照して、図８を更に参照して、別のオプションの側面では、構成デバイスＤは、装置Ｓがそのロック状態Ｌがロック状態にあることを発見することができる（９０）（例えば、第１の無線機Ｒ１を介した発信メッセージを介して、第２の無線機Ｒ２を介したプレアソシエーションサービス発見情報を介して、又はホストデバイスＨに装置Ｓのロック状態に関する情報を記憶させ、その後、構成デバイスＤがこの情報を要求することができることにより）。構成デバイスＤは、第２の無線機Ｒ２を介してロック解除メッセージを医療装置Ｓに送信し（又は、信頼されたホストデバイスＨが、送信するようデバイスＤにより要求され）（９２）、これに応答して医療装置Ｓは、このメッセージを受信した後、ロック状態Ｌをロック解除状態に切り替える（９４）。第１の無線機Ｒ１がオフになっていない場合、構成デバイスＤで第２の無線機Ｒ２を介してループを閉じることにより、ロック解除が行われてもよく、又は初期構成時に、構成デバイスＤが、ロック解除を可能にするために装置Ｓが記憶すべきクレデンシャルを送信し、医療装置Ｓがこのクレデンシャルを記憶し、ロック状態に入った後に、構成デバイスＤが、第１の無線機Ｒ１又は第２の無線機Ｒ２を介してクレデンシャルを含むメッセージを医療装置Ｓに送信することで、ロック状態からロック解除状態に戻るように医療装置Ｓに要求するようにしてもよい。
【００３２】
図１を参照して、図９を更に参照して、更なるオプションの側面では、無線医療装置Ｓは、無線機Ｒ１上のすべての着信トラフィック１００を無線機Ｒ２において繰り返し、検証のためにそれをホストデバイスＨに送信し（１０２）、ホストデバイスＨは、トラフィック１０４を分析するための監視機能を備えている。ホストデバイスＨが異常トラフィック（例えば、リプレイされたメッセージ）を検出する場合（１０６）、ホストデバイスＨは、無線医療装置Ｓに肯定的な検証応答を送信しないか（１０８）、又は、第１無線機Ｒ１をオフにする要求を無線医療装置Ｓに送信する。このアプローチは、サービス拒否（ＤＯＳ）攻撃の間に医療装置Ｓに過負荷をかけることを回避し、ハッキングアルゴリズム（例えば、セキュリティコードクラッキングアルゴリズム）の実行を防止することができる。
【００３３】
要するに、ヘッドレス装置Ｓは、２つの無線機Ｒ１、Ｒ２を含み、ロック状態とロック解除状態とを切り替えることができるロック状態Ｌを維持している。ロック状態では、ヘッドレス装置Ｓは、構成デバイスからの一方の無線機Ｒ１への着信要求を聞かないか、又はロック状態にあるとき医療資源／機能Ｆを変更するためのアクション要求に対してアクションを行わない。第１の無線機Ｒ１及び第２の無線機Ｒ２の両方を介して構成デバイスＤと通信して、構成デバイスＤとのループを閉じることにより、開示されたアプローチは、例えば構成デバイスが信頼されたネットワークから到達可能であることを確認し、別のネットワークパスを介して構成デバイスからの追加の確認を求めることにより、無線機の一方が攻撃を受けている場合に、医療資源／機能Ｆとの悪意のある相互作用を防止するための、単純でありながら強力なメカニズムを提供する。これは、医療資源／機能Ｆを攻撃することをはるかに困難にする。なぜなら、そうすることは、両方の無線機Ｒ１、Ｒ２を同時に攻撃することになるからである。有利なことに、より脆弱な無線機は、初期構成後にオフにされることができる。例示的な例では、このより脆弱な無線機は、通常は安全と考えられるが、医療の場合には、悪意のある者が患者の近くにいる場合に十分に安全ではない場合がある、ＮＦＣ（例示的な例では第１の無線機Ｒ１）である。
【００３４】
いくつかの実施形態では、２つの無線機Ｒ１、Ｒ２の対称的な動作がセキュリティの実現において採用され、即ち、無線機Ｒ２が医療資源又は機能Ｆに対するアクションをとるための要求を受信する場合、無線機Ｒ１が要求を受信する場合の類推例で既に説明したように、ループを閉じるのに無線機Ｒ１が使用されることができる。
【００３５】
無線医療装置Ｓは、マイクロプロセッサ、マイクロコントローラ、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、グラフィカルプロセッシングユニット（ＧＰＵ）、又は他のプログラマブル電子チップＣ（オプションで、数学コプロセッサを含むマルチコア又は他のエンハンスドプロセッサ）のようなコンポーネントと、医療資源又は機能Ｆの実現に関連する機能を実行し、本書に開示されるような装置構成プロトコルを実現するために、プログラマブル電子チップＣにより読み出しかつ実行可能な命令を記憶する非一時的記憶媒体Ｍとを含む。非一時的記憶媒体Ｍは、（非限定的な例として）フラッシュメモリ、読み出し専用メモリ（ＲＯＭ）、電子的に消去可能なプログラム可能なＲＯＭ（ＥＥＰＲＯＭ）、若しくはその変形例、及び／又は磁気記憶媒体（例えばハードディスク）、光記憶媒体（例えば光ディスク）、それらの様々な組み合わせ等を含むことができる。モバイル医療装置Ｓにより実行される医療資源又は機能Ｆは、装置の種類に依存し、装置Ｓは、医療資源又は機能Ｆを実行するために適切な追加の要素を含んでもよい。
【００３６】
図１０を参照して、例えば、輸液ポンプＳＩＶを有する医療装置Ｓの場合、装置ＳＩＶは、適切なポンプハードウェアＰＩＶ及び流量センサＦＩＶ等を含み、医療資源又は機能Ｆは、静脈内（ＩＶ）流体流量の制御、ＩＶ流体流量の測定、ＩＶ流体の温度の測定等の機能を含むことができる。プログラム可能な電子チップＣは、ＩＶ流体の制御された流れを提供するために流量計からの流量フィードバックに基づきポンプＳＩＶを作動させることを含む医療資源又は機能Ｆを実現するようプログラムされており、オプションで、ＩＶ流体の温度を監視するといった他の関連機能を実行するようプログラムされる。
【００３７】
図１１を参照して、別の例として、バイタルサインセンサＳＳＥＮを有する無線医療装置Ｓの場合、装置ＳＳＥＮは、好適にはセンサハードウェアＳＨＷ（例えば、ＥＣＧ、ＥＥＧ、又はＨＲモニタ電極、血圧カフ及びインフレポンプハードウェアなど）を更に含み、プログラム可能な電子チップＣは、バイタルサインデータを取得するためにセンサハードウェアを作動させることを含む医療資源又は機能Ｆを実現するようプログラムされる。
【００３８】
これらは、単に非限定的な例示であり、より一般的には、無線医療装置は、所望の医療資源を提供し、及び／又は所望の医療機能を実行するよう、他の態様で構成されてもよい。更に、装置Ｓは、非医療的な用途の文脈で非医療的なタスクを実行するための装置とすることが企図される。例示的な例では、装置Ｓはヘッドレス装置である。しかしながら、例えば、ユーザインタフェースのためのグラフィカルユーザインタフェース（ＧＵＩ）を含むことなど、装置Ｓが他の態様であることも代替的に企図される。
【００３９】
無線機Ｒ１、Ｒ２はそれぞれ、特定の無線通信プロトコルに基づき、信号を送信及び受信するためにアンテナと動作可能に接続された無線周波数送信機及び無線周波数受信機（又は一体型トランシーバ）のような要素（図示省略）を含む。いくつかの無線医療装置は、他の目的のために２つの無線機を含み、例えば、ＷｉＦｉ及びＢｌｕｅｔｏｏｏｔｈ接続の両方を含み、同様に、いくつかの無線チップセットが、２つの無線機を備える（例えば、最近の多くのチップセットのようなＢｌｕｅｔｏｏｔｈ／ＷｉＦｉコンボチップセット／Ｓｏｃ）点に留意されたい。斯かる医療装置の場合、利用可能な２つの無線機は、本書に開示されるように、第１及び第２の無線機Ｒ１、Ｒ２として利用されることができる。これを可能にするための追加のバッテリ使用量は通常低い。なぜなら、第２の無線機Ｒ２は、再構成されるとき（例えば、患者が病院を訪れるときなど）にのみスイッチオンにされる必要があるからである。これは、非常に頻繁に起こるものではなく、可能性として、Ｒ１を介して通常の動作中は、第２の無線機はスイッチオフにされる。
【００４０】
別の変形例として、２つの無線機Ｒ１、Ｒ２は、必ずしも２つの物理的に異なる無線機であるとは限らず、同じ物理的な無線トランシーバハードウェアを共有する２つの異なる仮想的な無線機である可能性がある点を理解されたい。
【００４１】
別の変形例として、２つの無線機Ｒ１、Ｒ２の１つ又は両方が、他のタイプの通信インタフェース、例えばＵＳＢ又はｍｉｃｒｏＵＳＢポートのような有線通信インタフェースで置き換えられることができる点を理解されたい。この場合、ヘッドレス医療装置Ｓは、適切な物理的コネクタポート（例えばＵＳＢ又はｍｉｃｒｏＵＳＢコネクタポート）を含み、構成デバイスＤも同様に、適切な物理的コネクタポート（例えばＵＳＢ又はｍｉｃｒｏＵＳＢコネクタポート）を含み、医療装置Ｓと適切なケーブル（例えばＵＳＢ又はｍｉｃｒｏＵＳＢケーブル）で物理的に接続され、置換された無線機Ｒ１又はＲ２に対応する通信リンクが確立される。
【００４２】
前述を一般化すると、開示されたセキュリティアプローチは、医療装置Ｓと通信するための第１の通信インタフェース（例示的な実施形態では第１の無線機Ｒ１により表される）と、第１の通信インタフェースとは独立した医療装置Ｓと通信するための第２の通信インタフェース（例示的な実施形態では第２の無線機Ｒ２により表される）とを採用している点を理解されたい。
【００４３】
本発明が、好ましい実施形態を参照して説明されてきた。上述の詳細な説明を読み及び理解すると、他者は、修正及び変更を思いつくことができる。例示的な実施形態は、それらが添付の特許請求の範囲又はその均等の範囲内に入る限りにおいて、斯かるすべての修正及び変更を含むものとして解釈されることが意図される。
【図１】
2021511847.tif 000002
【図２】
2021511847.tif 000003
【図３】
2021511847.tif 000004
【図４】
2021511847.tif 000005
【図５】
2021511847.tif 000006
【図６】
2021511847.tif 000007
【図７】
2021511847.tif 000008
【図８】
2021511847.tif 000009
【図９】
2021511847.tif 000010
【図１０】
2021511847.tif 000011
【図１１】
2021511847.tif 000012
【国際調査報告】
2021511847.tif 000013
2021511847.tif 000014