(57)【要約】  方法、ワイヤレスシステム及びワイヤレス装置が記述される。方法、システム及び装置は、多次元的な識別、認証、認可及び鍵配布を提供し、最も深い共通セキュリティドメインにおいてセキュアな通信を提供する。
2010534003.tif 000002
【特許請求の範囲】
【請求項１】
ワイヤレスネットワークにおけるセキュリティ管理方法であって、
医用装置の複数の直交する分類を識別するステップと、
各々の前記直交する分類内の各セキュリティドメインごとに識別子を生成するステップと、
各識別子ごとにキーイングマテリアルを生成するステップと、
直交する分類内の最も深い共通セキュリティドメインにおいて、鍵同意、アクセス制御、プライバシー保護又はそれらの組み合わせを確立するために、前記識別子を交換するステップと、
を含む方法。
【請求項２】
前記ネットワークが、医用ネットワークであり、前記装置が、医用装置である、請求項１に記載の方法。
【請求項３】
前記直交する分類が、オーナーシップ、ロケーション、医学的専門分野及び動作ゾーンを含む、請求項１に記載の方法。
【請求項４】
前記キーイングマテリアルは、階層的ＤＰＫＰＳキーイングマテリアル、ＤＰＫＰＳキーイングマテリアル、又は一般に装置又はエンティティの特定のフィーチャ／識別子を識別することを可能にする任意の他の種類のキーイングマテリアルのような、互いに独立した又は依存したキーイングマテリアルのサブセットを含む、請求項１に記載の方法。
【請求項５】
前記ワイヤレス医用装置の少なくとも１つが、ワイヤレス医用センサである、請求項２に記載の方法。
【請求項６】
前記ワイヤレス医用装置は、生理学的状態モニタ、制御可能な投薬装置及びパーソナルディジタルアシスタントを含む、請求項５に記載の方法。
【請求項７】
ワイヤレスネットワークのためのセキュリティシステムであって、
ワイヤレス装置と、
媒体アクセスコントローラと、
を有し、前記媒体アクセスコントローラは、
前記ワイヤレス装置の複数の直交する分類を識別し、
各ワイヤレス装置に、前記直交する分類の少なくとも１つを割り当て、
各々の前記直交する分類内の各セキュリティドメインごとに識別子を生成し、
各ワイヤレス装置に前記識別子を割り当てる
ように動作し、
前記ワイヤレス装置は、鍵同意、アクセス制御、プライバシー保護又はそれらの組み合わせを確立するために、前記識別子を交換する、セキュリティシステム。
【請求項８】
前記媒体アクセスコントローラは更に、各ワイヤレス装置ごとにキーイングマテリアルを生成する鍵生成器を有し、前記キーイングマテリアルは、ノードを識別する識別子にリンクされる、請求項７に記載のセキュリティシステム。
【請求項９】
前記ワイヤレス装置が、医用センサである、請求項７に記載のセキュリティシステム。
【請求項１０】
前記医用センサ及び別のワイヤレス装置は、共通キーイングマテリアルに同意するために個々の識別子を交換する、請求項９に記載のセキュリティシステム。
【請求項１１】
医用モニタリング装置を有するワイヤレスノードを更に有する、請求項９に記載のセキュリティシステム。
【請求項１２】
前記直交する分類は、オーナーシップ、ロケーション、医学的専門分野及び動作ゾーンを含む、請求項９に記載のセキュリティシステム。
【請求項１３】
前記オーナーシップは、企業、医療施設、医療施設内の部門である階層的なセキュリティドメインの１又は複数を含む、請求項９に記載のセキュリティシステム。
【請求項１４】
前記キーイングマテリアルは、階層的ＤＰＫＰＳキーイングマテリアル、ＤＰＫＰＳキーイングマテリアル、又は一般に装置のそれぞれ異なる直交フィーチャを識別し認証することを可能にするキーイングマテリアルの他のタイプ、のいくつかの組を有する、請求項８に記載のセキュリティシステム。
【請求項１５】
それぞれ異なるフィーチャが個々に識別され認証されることができるように、各セキュリティドメインのキーイングマテリアルは、別のセキュリティドメインのキーイングマテリアルから独立している、請求項１４に記載のセキュリティシステム。
【請求項１６】
ネットワーク内の他のワイヤレス装置と通信するように動作可能なワイヤレス装置であって、
直交する分類と、
各直交する分類内の各セキュリティドメインごとの識別子と、
各識別子ごとのキーイングマテリアルと、
を有し、各ワイヤレス装置は、鍵同意、アクセス制御、プライバシー保護又はそれらの組み合わせを確立するために、１又は複数の個々の識別子を交換する、ワイヤレス装置。
【請求項１７】
前記ワイヤレス装置は、生理学的状態モニタ、制御可能な投薬装置及びパーソナルディジタルアシスタントを有する医用装置である、請求項１６に記載のワイヤレス装置。
【請求項１８】
前記直交する分類は、オーナーシップ、ロケーション、医学的専門分野及び動作ゾーンを含む、請求項１６に記載のワイヤレス装置。
【請求項１９】
前記キーイングマテリアルは更に、階層的ＤＰＫＰＳキーイングマテリアル又はＤＰＫＰＳキーイングマテリアルを含む、請求項１６に記載のワイヤレス装置。
【請求項２０】
前記ワイヤレス装置は、低資源の装置である、請求項１６に記載のワイヤレス装置。
【請求項２１】
前記装置は、異なる直交するセキュリティドメインの間で移動する又はローミングするように構成される、請求項１６に記載のワイヤレス装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、ワイヤレスネットワークにおけるセキュリティ管理に関する。
【背景技術】
【０００２】
患者用のモニタ及びセンサは、広く普及しており、入院患者及び外来患者の状況において、患者のバイタルサイン及び他の必要とされるデータを追跡するために使用される。多くの知られているセンサは、「ワイヤ接続され」、それゆえセンサとモニタ又は他のディスプレイ／データ収集装置との間のワイヤード接続を含む。理解されるように、このようなワイヤ接続される機構は、患者の自由な移動を制限することがあり、それゆえ不都合でありうる。更に、患者の移動を制限することは、定住性のあるアクティビティの範囲外の適切な患者データのモニタリングを妨げることもあり、それゆえ患者状態の正確な評価を提供することができない。
【０００３】
ワイヤレス通信の出現は、ワイヤレスセンサ及びモニタを助長している。この状況において、患者に取り付けられ、患者のバイタルサインを測定するワイヤレスセンサノードの組は、身体センサネットワーク（ＢＳＮ）と呼ばれるものを形成する。理解されるように、センサは、患者から集められたデータを、ワイヤレスの形でモニタに又は患者から離れたところに位置する臨床医に送ることができる。
【発明の概要】
【発明が解決しようとする課題】
【０００４】
ＩＥＥＥ８０２．１５．４／ＺｉｇＢｅｅのような標準がアプリケーションにおいてより普及するにつれて、ワイヤレス患者モニタリングが、アプリケーションにおいて現れ続ける。ＺｉｇＢｅｅアライアンスは、本願明細書に記述される医療環境及び関連するシナリオにおいてセキュアな通信を可能にするために、ＺｉｇＢｅｅ標準の使用及びアプリケーションを記述する個人宅及び病院ケア（ＰＨＨＣ）プロファイルを規定している。
【０００５】
ＺｉｇＢｅｅに基づくネットワークにおける、一般にはワイヤレスセンサネットワークによる、患者データのこのようなワイヤレスモニタリングは、「実際の」患者モニタリングを可能にするために必要とされる便宜を提供する。ワイヤレスモニタリングの利益は大きいが、センシティブな患者情報がセキュアなままであることを確実にするためのニーズが残る。例えば、セキュリティは、患者安全性及びプライバシーを保証するため及び米国のＨＩＰＡＡのようなヘルスケアの法律要求を遵守するための両方の目的で、このようなシステムにとって必須の要求である。鍵管理は、例えば認証、機密性及び完全性のような他のセキュリティサービスを可能にするために暗号鍵を供給し管理するので、ＢＳＮセキュリティを可能にするために基本的なことである。患者を追跡から保護し、許諾された人のみが、患者の医療情報にアクセスすることができることを保証するために、患者プライバシー範囲の保護が必要である。
【０００６】
暗号鍵を医用装置に配布するために使用される鍵配布システムは、相互参照される出願に記述される、階層的な決定論的ペアワイズ鍵事前配布スキーム（ＨＤＰＫＰＳ、Hierarchical Deterministic Pairwise Key Pre-distribution Scheme）として知られている。ＨＤＰＫＰＳは、（医用装置の大きいプールから選択される）装置の任意のペアがペアワイズ鍵を生成することを可能にする非常に効果的な鍵配布システムである。鍵生成は、各々の医用装置が記憶するＨＤＰＫＰＳキーイングマテリアルを利用することによって実施される。ペアワイズ鍵は、他のセキュリティサービスを提供するために使用されることができ、装置が明白に認証されることができるように、ユニークなＨＤＰＫＰＳ識別子にリンクされることができる。
【０００７】
加えて、ＨＤＰＫＰＳキーイングマテリアルは、セキュリティドメインの階層的インフラストラクチャを介して、オーナーシップのような予め規定された関係をマップし、このようにして、正確な装置識別を可能にする。例えば、装置は、オーナーシップに従って、４つのレベルの階層的なセキュリティドメイン、すなわち、製造業者、保健機関、病院及び部門のように、分類されることができる。
【０００８】
予め規定された関係のマッピングは、キーイングマテリアル（ＫＭ）の組を、ノードの一つ一つに配布することによって実施される。ノードが保持するキーイングマテリアルは、当該ノードが属するそれぞれ異なるセキュリティドメインにリンクされる。例えば、ノードが、サプライヤ、保健機関Ａ、病院Ｈ及び部門Ｄに属する場合、ノードは、ＫＭの４つの独立したサブセット、すなわちＫＭＳｕｐｐｌｉｅｒ、ＫＭＡ、ＫＭＨ及びＫＭＤからなるＫＭの組を得る。ＫＭのこれらのサブセットの各々は、上述のセキュリティドメインにリンクされる。
【０００９】
ＨＤＰＫＰＳにおいて、２つのノードが、共通鍵に同意したい場合、それらは、ノードが属するセキュリティドメイン（ＳＤ）を識別するＨＤＰＫＰＳ識別子を交換する。この情報によって、両方のノードは、ＳＤのこの階層的配布において、相手方ノードのオリジンを識別し、互いを識別し、共通キーイングマテリアルを利用することによって共通鍵について同意することができる。例えば、２つのノードが、Ｐｈｉｌｉｐｓ、同じ保健機関、同じ病院に属するが、異なる部門に属する場合、両方のノードは、他方のノードのオリジンを認識することができるとともに、最も深い共通セキュリティドメイン（ＤＣＳＤ、deepest common security domain）にリンクされるキーイングマテリアル、すなわち病院キーイングマテリアル、に基づいて、共通ペアワイズ鍵に同意することができる。共通鍵は、このレベルで生成される。その理由は、これが、最大のセキュリティレベルを提供するからである。
【００１０】
共通鍵に同意するために使用されるキーイングマテリアルは、事前配布される秘密鍵、多項式に基づくλセキュアなアプローチ、又は公開鍵に基づくことができる。ＨＤＰＫＰＳは、λセキュアなＤＰＫＰＳキーイングマテリアルの階層的配布を使用する。このキーイングマテリアルは、各セキュリティドメインにリンクされており、同じセキュリティドメイン（ＳＤ）に属する２つのノードは、キーイングマテリアルの相関付けられるが異なる組を得る。
【００１１】
将来の患者モニタリング又は普及している患者モニタリングは、患者が、自由に病院施設内を移動することを可能にするので、どこに患者が位置しようとも、高いセキュアな患者モニタリングが確実にされなければならない。
【００１２】
サーバに対する重い暗号文（例えば公開鍵）又はアクセスを必要とすることなく、簡単なやり方で医用装置のそれぞれ異なるフィーチャを識別するためのニーズがある。代表的な解決策において、（医用）装置又はエンティティが識別子の組によって特徴付けられることを認証する公開鍵にリンクされた（医用）装置又はエンティティは、個別の識別子によって置き換えられることができ、かかる識別子は、階層的なやり方で分類される直交フィーチャに従って構成され、各フィーチャが、個々に認証されることができる。加えて、ワイヤレス患者モニタリングシステムにおいて患者セキュリティを改善する方法、装置及びシステムのニーズがある。
【課題を解決するための手段】
【００１３】
代表的な実施形態において、ワイヤレスネットワークにおけるセキュリティ管理の方法は、医用装置の複数の直交する分類を識別するステップと、各直交する分類内の各セキュリティドメインごとに識別子を生成するステップと、各識別子ごとにキーイングマテリアルを生成するステップと、鍵同意、アクセス制御、プライバシー保護又はそれらの組み合わせ確立するために識別子を交換するステップと、を含む。
【００１４】
別の代表的な実施形態において、ワイヤレスネットワークのためのセキュリティシステムは、ワイヤレス装置と、媒体アクセスコントローラ（ＭＡＣ）と、を有し、媒体アクセスコントローラ（ＭＡＣ）は、ワイヤレス装置の複数の直交する分類を識別し、各ワイヤレス装置に、直交する分類の少なくとも１つを割り当て、各直交する分類内の各セキュリティドメインごとに識別子を生成し、各ワイヤレスセンサ及び各ワイヤレスノードに識別子を割り当てるように動作可能であり、ワイヤレス装置は、鍵同意、アクセス制御、プライバシー保護又はそれらの組み合わせを確立するために前記識別子を交換する。
【００１５】
更に別の代表的な実施形態によれば、ネットワーク内の他のワイヤレス装置と通信するように動作可能なワイヤレス装置は、直交する分類と、各直交する分類内の各セキュリティドメインごとの識別子と、各識別子ごとのキーイングマテリアルと、を有し、各ワイヤレス装置は、鍵同意、アクセス制御、プライバシー保護又はそれらの組み合わせを確立するために、１又は複数の個々の識別子を交換するように構成される。
【００１６】
本教示は、添付の図面に関して読まれるとき、以下の詳細な記述から最も良く理解される。特徴は、必ずしも一定の縮尺で描かれているわけではない。実際的な場合、同様の参照数字は、同様の特徴を指す。
【図面の簡単な説明】
【００１７】
【図１】代表的な実施形態によるワイヤレスシステムの概略概念図。
【図２】代表的な実施形態による別のワイヤレス装置と通信しようとするワイヤレス装置の概略概念図。
【図３】代表的な実施形態によるワイヤレス装置の分類、識別子及びキーイングマテリアルのテーブル。
【図４】代表的な実施形態による最も深い共通セキュリティドメインにおいてセキュアな接続を確立するシーケンスの概略概念図。
【図５】代表的な実施形態による最も深い共通セキュリティドメインについてのサーチを示すフローチャート。
【発明を実施するための形態】
【００１８】
「a」又は「an」なる語は、本明細書において使用されるとき、１又は複数のものとして規定される。
【００１９】
以下の詳細な説明において、限定する目的ではなく説明の目的で、特定の詳細を開示する説明的な実施形態が、本教示の完全な理解を提供するために示される。更に、よく知られた装置、ハードウェア、ソフトウェア、ファームウェア、方法及びシステムの記述は、説明的な実施形態の記述を不明瞭にすることを回避するために、省かれていることがある。それにもかかわらず、当業者の視野内にあるこのようなハードウェア、ソフトウェア、ファームウェア、装置、方法及びシステムは、説明的な実施形態に従って使用されることがある。代表的な実施形態は、医用センサ及びモニタ、医用ワイヤレスセンサネットワーク及びＺｉｇＢｅｅネットワークに向けられているが、本教示は、他のやり方で、装置の間で通信が行われる前に認証が望まれる場合に適用されうることが強調される。例えば、本教示は、適切な変形例を含むＲＦＩＤシステムのような他のタイプのモニタリング／測定システムに適用されることができる。
【００２０】
以下の詳細な説明は、コンピュータ可読媒体、関連するプロセッサ、マイクロプロセッサ、デジタルストレージオシロスコープ、汎用パーソナルコンピュータ、データ取得カード等と共に構成される製造機器における、データビットの演算のルーチン及びシンボリック表現によって実現されることができる方法を提示する。概して、ここでいう方法は、所望の結果に至るステップ又はアクションのシーケンスであるとともに、「ルーチン」、「プログラム」、「オブジェクト」、「ファンクション」、「サブルーチン」及び「プロシージャ」のようなこの技術分野の用語を含むことが企図される。
【００２１】
説明的な実施形態は、当業者の視野及び将来のワイヤレスシステムの範囲内の、１又は複数のさまざまなワイヤレスシステム、ネットワーク、装置及びプロトコルにおいて実現されることができる。本発明の代表的な実施形態の多くの見地は、媒体アクセス制御（ＭＡＣ）又はアプリケーション層のいずれかにおいて実現されることができる。限定する目的ではなく説明の目的で、ワイヤレスシステム／ネットワークは、以下のプロトコルの１又は複数に準拠しうる：ＩＥＥＥ８０２．１１及びその後継（アドホックネットワークを含む）；ＩＥＥＥ８０２．１５及びその後継；及びＩＥＥＥ８０２．２２及びＩＥＥＥ８０２．１５．４（一般にＺｉｇＢｅｅと呼ばれる）。このようなシステムの詳細は、当業者の視野の範囲内にあるので、このような詳細及び本教示に対するそれらの特定のアプリケーションは、代表的な実施形態の記述を不明瞭にすることを回避するために記述されない。
【００２２】
代表的な実施形態は、医用ネットワーク及び装置に関連して記述される。これは、単に説明的な適用例にすぎない。特に、本教示は、例えばＺｉｇＢｅｅネットワークのようなワイヤレスネットワークにおける、分散アクセス制御、装置又はエンティティ識別、プライバシー保護及びセキュアローミングを含む他のセキュリティサービスを可能にし改善するために使用されることができる他のシステムにも適用されうる。特に、分散アクセス制御は、認可された識別子を所有し、予め規定されたルールに従ってそれを証明することができる装置又はエンティティにのみ、アクセス（権利）を制限することによって達成される。
【００２３】
有利には、医学的アプリケーション及び他の企図されるアプリケーションにおいて、エンティティ又は装置は、単一の識別子によるのみではなく、そのフィーチャにも従って識別されるので、エンティティ又は装置識別が改善される。このようにして、エンティティ又は装置は、個別のフィーチャにリンクされる個別の識別子の所有を示すことができ、それにより、専用サーバに対するアクセス又は公開鍵を必要とすることなく、装置又はエンティティのより特定的な識別を可能にする。更に、プライバシー保護は、通信を開始する際に開示される識別情報を制限することによって、達成されることができる。
【００２４】
図１は、代表的な実施形態によるワイヤレス医用システム１００の概略概念図である。システム１００は、ワイヤレス医用装置である複数の医用装置（Ｓ１、Ｓ２、...Ｓｎ）を有する。装置は、例証的に、例えば生理学的状態センサ及びモニタ、ベッドサイドモニタ、制御可能な投薬装置及びパーソナルディジタルアシスタント（ＰＤＡ）のような、ワイヤレス医用装置を含む。システム１００は更に、それらの装置のオーナーシップに基づく装置の階層的分類を含む。それに応じて、システム１００のワイヤレス装置（Ｓ１、Ｓ２、...Ｓｎ）は、装置の製造業者、医療施設（例えば病院）及び装置が属する医療部門、の３つのレベルに従って分類されることができる。２つの装置が、同じレベルの同じカテゴリに属する場合、両方の装置は、当該レベルの同じセキュリティドメイン（ＳＤ）に属すると言うことができる。例えば、本図において、装置Ｓ１及びＳ２は、それぞれセキュリティドメインレベル３及び２において、同じ部門及び病院に属する。２つの装置が、同じセキュリティドメイン（ＳＤ）に属する場合、ＨＤＰＫＰＳは、両方の装置が、互いを認証し、他のセキュリティサービスを供給するために使用されることができるペアワイズ鍵を生成することを可能にする。概して、２つの装置が、同じセキュリティドメイン（ＳＤ）に属する（すなわち、それらが、例えばロケーション、オーナーシップ等の共通のフィーチャを共有する）場合、ＨＤＰＫＰＳは、当該セキュリティドメインにリンクされた相関付けられた（しかし異なる）キーイングマテリアルを、それらの装置に配布する。両方の装置は、リアルタイムに共通鍵に同意するために、キーイングマテリアルのそれらの個々の組を利用することができる。ここで使用されるとき、「利用する」なる語は、共通の最も深いセキュリティレベルを計算するために、事前に配布されたキーイングマテリアルを変更する。例えば、２つの装置、装置ａ及び装置ｂが、キーイングマテリアル（ＫＭａ及びＫＭｂ）の２つの組を保持するものとし、ここで、ＫＭａ＝ｆ（ａ，ｙ）及びＫＭｂ＝ｆ（ｂ，ｙ）であり、ｆ（ｘ，ｙ）は、２つの変数ｘ，ｙの対称的な多項式、すなわちｆ（ｘ，ｙ）＝ｆ（ｙ，ｘ）である。両方のノードａ及びｂは、それらの識別子、すなわちａ及びｂを交換することができる。そののち、装置は、ｙ＝ｂとしてｆ（ａ，ｙ）を計算することによって、そのＫＭａを利用する。結果は、ｆ（ａ，ｂ）である。ノードｂもまた、そのキーイングマテリアルを利用して、同じ結果ｆ（ｂ，ａ）を得ることができる。ＨＤＰＫＰＳによる認証の更なる詳細は、上記で参照された親出願において提供される。
【００２５】
ＨＤＰＫＰＳは、あるシナリオにおいて、装置のオーナーシップに従って、完全な装置の階層証明及び完全なインターオペラビリティを可能にするが、この方法による認証は、十分なセキュリティ又は柔軟性を提供することができない。これを説明するために、２つの病院Ｈ＿Ａ１０１及びＨ＿Ｂ１０２を有する保健機関を考える。各病院は、それぞれ、心臓部門Ｄ＿Ｉ及びＤ＿ＩＩを有する。Ｈ＿Ａ／Ｄ＿Ｉにおいて処置されている患者が、別の専門医によって処置されるために、Ｈ＿Ｂ／Ｄ＿ＩＩに移動されなければならないものとする。患者センサ及びベッドサイドモニタが、同じ保健機関に属するとともに、それらは、ペアワイズ鍵を生成するために、このカテゴリと、フィーチャ（又はセキュリティドメイン）にリンクされる相関付けられたキーイングマテリアルのそれらの対応するサブセットを使用することができるので、患者が、Ｈ＿Ｂ／Ｄ＿ＩＩに到着すると、Ｈ＿Ａ／Ｄ＿Ｉからの患者センサ（例えばＳ１）は、Ｈ＿Ｂ／Ｄ＿ＩＩのベッドサイドモニタとのセキュアな通信を確立することができる。しかしながら、より高いセキュリティドメインにおけるＨＤＰＫＰＳのレジリエンシーは、より弱く、それは十分なセキュリティレベルを提供しないことがありうる。
【００２６】
代表的な実施形態によれば、より大きな柔軟性及びセキュリティは、直交ＨＤＫＰＳ（ＯＫＰＳ）として知られる鍵配布システムを用いて実現される。ＯＫＰＳは、装置又はエンティティの多次元的な識別に従って、キーイングマテリアルを配布する。言い換えると、システムは、装置が各フィーチャを各個に識別し又は認証することができるようなやり方で、識別子にリンクされたキーイングマテリアルを、各装置に配布する。フィーチャのこれらの階層的分類は、各分類が規定するセキュリティドメイン（ＳＤ）が、完全には重複しないが、部分的にのみ重複するという意味において、直交している。例えば、都市において、いくつかの病院は、いくつかの保健機関に帰することがあるが、それらの一部のみが、同じ医学的専門分野をもちうる。
【００２７】
本記述が続くにつれて一層明らかになるように、本発明（又はＯＫＰＳ）は、フィーチャのいくつかの直交するカテゴリ又は分類の使用に基づく。代表的な実施形態において、ＯＫＰＳは、ワイヤレス装置の２又はそれ以上の直交する分類に基づく。装置のオーナーシップのようなフィーチャに加えて、フィーチャの階層的分類は、これらに限定されないが、例証的に、装置のロケーション（例えば、ワイヤレス装置は、国、州及び都市（ドイツ／ＮＲＷ（ノルトライン・ヴェストファーレン）／アーヘン）に従って分類されることができる）、医学的専門分野（例えば、ワイヤレス装置は、全般的専門分野、下位専門分野（外科、神経外科）に従って、分類されることができる）、医療施設／病院内の予期される動作ゾーン（例えば、動作ゾーン１は、整形外科、放射線科及びジム施設をカバーすることができる。同じように、他の動作ゾーンが、病院施設内で規定されることができる。）を含む。有利には、一旦分類が、エンティティ又は装置の異なるフィーチャ及び異なるエンティティ及び装置に配布されるキーイングマテリアルに従って、決定されると、２つの装置は、それらの識別子を交換し、配布されたキーイングマテリアルを利用して、装置認証及び鍵同意を達成することができる。
【００２８】
図２−図４は、代表的な実施形態による、２つのワイヤレス装置（例えばＳ１及びＳ２）の間の認証を行う方法を示している。例えば、ワイヤレス装置の一方は、患者の生理学的センサでありえ、他方は、センサからデータを得るように適応された臨床医のＰＤＡでありうる。
【００２９】
図２は、別のワイヤレス装置Ｓ２と通信しようとするワイヤレス装置Ｓ１の概略概念図である。各装置は、少なくとも２つの直交する分類、分類内のセキュリティドメイン、識別及びキーイングマテリアルを含む。
【００３０】
例えば、表１を以下に示す。
【表１】
2010534003.tif 000003
【００３１】
説明的な識別子に関して、２つの装置Ｓ１及びＳ２が遭遇すると、セキュリティドメイン（ＳＤ）の識別子が交換され、それによって、装置が、装置のオーナーシップ、医用装置のロケーション、医用装置が使用される医学的専門分野等を認識することを可能にする。このシーケンスは、識別シーケンスとして知られ、図３及び図４に示されている。
【００３２】
概して、識別シーケンスは、装置のより複雑な役割を識別するために、より複雑でありえ、マトリックスとして識別されうる。そのマトリックスにおいて、或る軸は、異なる役割を識別し、第２の軸は、階層的配布において、異なる深さの異なる役割に異なる値を割り当てる。表１は、上述の例に関するこのようなマトリックスの具体的な例として理解されることができる。
【００３３】
最初に、構成要求４０１が、一方のワイヤレス装置から、セキュアな接続のニーズを示す他方のワイヤレス装置に送信される。このあと、識別要求４０２が続き、要求している装置が、（プライバシー保護／分散アクセス制御を可能にするために、）各フィーチャごとに開示されるべき、フィーチャの最小数を含むメッセージを送る。これらのフィーチャは、テーブル３０１において、概してフィーチャｆについて示されており、第１のＬｆ個の識別子が、開示されなければならず、ここで、Ｌｆは、フィーチャが組織される階層レベルの数である。特に、両方のノードが、アクセス制御／プライバシアウェアポリシーを使用する場合、このステップは変更されうる。この場合、両方のノードは、患者のプライバシーを保護するために、識別子のサブセットを交換することができ、又は相手方が、そのメンバシップを特定の（及び予め規定された）グループ、セキュリティドメイン又はフィーチャに対して証明しない場合、アクセスを制限することができる。一般に、識別子を交換したのち、２つの装置は、フィーチャの一つ一つについて最も深い共通セキュリティドメインを探し、すなわち、装置は、独立した各ＨＤＰＫＰＳについて最も深い共通セキュリティドメイン（ＤＣＳＤ）を発見するために、交換されたセキュリティドメイン（ＳＤ）の識別子を使用する。両方の装置は、独立した各ＨＤＰＫＰＳから生成される独立した部分的なペアワイズ鍵の各々を組み合わせることによって、ペアワイズ鍵Ｋを生成する。
【００３４】
ステップ４０３において、装置は、認証ハンドシェイクを完了する。このステップにおいて、認証ハンドシェイクは、テーブル３０２に示される多次元的な識別子を交換した後に行われる。テーブル３０２に示される各識別フィーチャｉごとに、装置は、最も深い共通セキュリティドメインｊ（＊１）を識別する。次に、装置は、部分鍵Ｋｉｊ−ａｂに同意するために、それら自身のペア｛ＩＤｉｊ−ａ，ＫＭｉｊ−ａ｝（Ｓ１）及びＩＤｉｊ−ｂ（Ｓ２）を利用する。次に、装置は、例えば、すべての部分的なペアワイズ鍵Ｋ＝ｈ（Ｋ１ｊ−ａｂ‖Ｋ２ｊ−ａｂ‖...‖Ｋｎｊ−ａｂ）のハッシュを計算することによって、全体の秘密鍵Ｋに同意し、両方のノードを認証し／セキュアな通信を可能にするために秘密鍵Ｋを使用する。それに応じて、両方の装置は、最も深い共通セキュリティドメイン（ＤＣＳＤ）の各々に関連する、最も深い共通セキュリティドメインにおける識別子及びキーイングマテリアルを使用して、ＨＤＰＫＰＳによって記述されるような部分的なペアワイズ鍵Ｋｐを生成する。
【００３５】
図５は、代表的な実施形態による、最も深い共通セキュリティドメインのサーチを説明するフローチャートである。方法は、上述の実施形態に関連して記述されたフィーチャ及び詳細に依存する。このような詳細及びフィーチャは、ここで記述される実施形態の説明を不明瞭にすることを回避するために、繰り返されない。
【００３６】
ステップ５０１において、認証ステップの間、ワイヤレス装置は、それらが同じセキュリティドメインにあるかどうか（ＳＤ１＝ＳＤ２）判定する。そうでない場合、最も深い共通レベルは、ｋ−１である。装置が同じセキュリティドメイン（ＳＤ）にある場合、それらはレベルｋ＋１へ進む。ステップ５０２において、装置が、最も深いセキュリティドメイン（ＳＤ）にない場合、方法はステップ５０１に戻る。装置が、最も深いセキュリティドメイン（ＳＤ）にある場合、最も深い共通レベルはＬである。
【００３７】
概して、上述の処理が、各フィーチャごとに繰り返され、それにより、２つの装置は、それらが共通の部分的な秘密鍵に同意し、フィーチャの一つ一つについて互いを識別するために使用することができるキーイングマテリアルを識別することができる。
【００３８】
代表的な実施形態の方法、装置及びシステムの使用及び機能を示す特定の例が提供される。これらの例は、実際に、説明的であり、決して限定するものではない。
【００３９】
ＯＫＰＳは、いくつかのフィーチャに従って、センサノードを分類することを可能にする。これは、ＩＣＵから通常のケアユニットへのセキュアな患者移送を可能にする。例えば、心臓発作により手術される病院内の心臓病患者について考える。術中及び術後の最初の数日間、患者は、ＩＣＵにおいて対応される。しかしながら、数日後、患者は、心臓病患者を専門に扱う通常のケアユニット、つまり心臓ケアユニット（ＣＣＵ）、に移送される。この状況において使用するワイヤレスセンサは、２つの（階層的な）セキュリティドメインからなるＯＫＰＳに従って、構成されるべきである。一方で、これらのセンサノードは、ＩＣＵのセキュリティドメインに属する。それゆえ、これらのセンサは、病院及びＩＣＵ部門からの、キーイングマテリアルを保持するべきである。他方で、これらのセンサの動作ゾーンは、ＣＣＵを含む。それゆえ、それらのセンサノードは更に、両方の直交するセキュリティドメインのキーイングマテリアルを保持しなければならない。
【００４０】
この実現の利益は、センサノードは、２つの直交するセキュリティドメイン、すなわちＩＣＵのキーイングマテリアル及びＣＣＵのキーイングマテリアル、に属するので、患者が、全体の処置の間、より高い最適なセキュリティレベルを伴って、同じセンサノードを保有することが可能なことである。
【００４１】
病院内の心臓病患者は、患者のＥＣＧを連続的にモニタするワイヤレスセンサノードを装着する。患者は、訓練のために毎日病院のジムに行かなければならない。この時間期間の間、患者Ａは、心臓部門及びジムの両方においてモニタされる。心臓部門及びジムは、セキュアなドメインとして並行にサポートされるので、ＯＫＰＳは、高いセキュリティレベルでこれを可能にする。それゆえ、セキュアな接続は、病院レベルに基づくだけでなく、センサの動作ゾーンにも基づく。このことは、システムのレジリエンシーを強化する。
【００４２】
加えて、セキュアな接続は、一つのセキュリティドメインから別のセキュリティドメインへのトランスペアレントなセキュリティローミングを助長する。例えば病院医療ネットワークのような医用ネットワークが、いくつかのサブワイヤレスセンサネットワークドメイン又はいくつかのＺｉｇＢｅｅネットワークに分割されることを考えることができる。各々のＺｉｇＢｅｅネットワークは、それ自身のセキュリティを制御するが、装置は、キーイングマテリアル組を、患者が処置されるべきさまざまな異なるネットワークに属させ続けることが可能である。このように、患者が、ＺｉｇＢｅｅネットワークＡをもつゾーンＡから、ＺｉｇＢｅｅネットワークＢをもつ他のゾーンＢに移動するとき、患者のセンサノードは、両方の、ゾーン、セキュリティドメイン、ネットワーク又はＺｉｇＢｅｅネットワークにリンクされるキーイングマテリアルをすでに保持しており、それゆえトランスペアレントなセキュリティローミングを可能にする。
【００４３】
患者のプライバシーの保護は、普及する患者モニタリングにとって最も重要である。例えば、医用装置が、ユニークな識別子によって識別される場合、患者は、追跡されることができる。多次元のＯＫＰＳ識別子は、ＯＫＰＳの動作モードをわずかに変更することによって、この問題を防ぐことを助ける。
【００４４】
通常の動作モードにおいて、センサは、そのすべての識別子を開示する。表１の例において、ノードは以下を開示する。
【表２】
2010534003.tif 000004
【００４５】
この付加的なプライバシアウェアな動作モードにおいて、ワイヤレスセンサは、すべての識別子ではなく、それらの一部のみを開示する。例を以下に示す。
【表３】
2010534003.tif 000005
【００４６】
この情報に基づいて、センサノードは、完全にではないが、なお識別されることができ、こうして患者のプライバシーを保護することができる。これは、例えば対応するエンティティの公開鍵にリンクされる単一の識別子の開示を要求する他の識別システムと比較されるときに、非常に大きな利点を示す。従って、このシステムは、低資源の制約された装置において、プライバシアウェアな技法を実現することを可能にする。
【００４７】
センサノードは、いくつかの直交する分類によって識別される。これは、必要なときに、患者のオーナーシップ、ロケーション、疾患等の、より正確な認証される識別を可能にする。センサノードは、ノードの動作ゾーンを識別することができるので、これは、患者の移動の間、例えば医療上の誤りを検出するために非常に有用でありえる。例えば、患者が、多次元の識別子を有するいくつかのセンサノードを保持する場合、許諾された医師は、医師が対応すべき動作エリア、部門等に患者が位置するかをチェックすることができる。このように、患者の移動の間に起こりうる誤りが、検出されることができる。
【００４８】
ＯＫＰＳは、装置の直交する識別フィーチャを使用することによって、分散アクセス制御フィーチャを可能にする。例えば、システムは、いくつかのフィーチャを満たす病院装置だけが患者の健康情報へのアクセスをもつように、構成されることができる。
【００４９】
例えば、患者のＥＣＧセンサは、患者が処置される病院に属する又は同じ都市にあって心臓専門分野にリンクされる病院に属するベッドサイドモニタのみによる患者モニタリングを可能にするように、予め構成されるものとする。この例において、患者のＥＣＧセンサは、同じ病院に属する又は心臓専門分野をもつ同じ都市の他の病院に属すると成功裏に認証するノードに対してのみ、患者のＥＣＧバイタルサインを開示する。
【００５０】
概して、フィーチャの最小数が、特定のアクションを実施するために必要とされうる。それゆれ、医用装置又はエンティティ（例えばセンサノード）は、それらのアクションを実施するために必要とされるフィーチャを含むリストを記憶することができる。アクションが許諾される前に、医用装置は、アクティビティを認可するために必要とされるフィーチャの特定のサブセットの識別及び認証を要求する。相手方が、そのアイデンティティを証明することができる場合、アクションは許諾され、すなわち、認可される。そうでない場合、アクションは退けられる。アクセス制御は、新しいアプリケーションにおける義務的な要求であるので、このフィーチャは、ＺｉｇＢｅｅのような新しいワイヤレスセンサネットワーク標準に関して特に有用である。今日の集中アクセス制御ソリューションは、制限された範囲を有し、十分な柔軟性がない。
【００５１】
この開示に関して、ここに記述されるさまざまな方法、装置及びシステムは、多様な装置、モダリティ、ソフトウェア及びハードウェアを有するさまざまなアプリケーションにおいて実現されることができる。更に、患者モニタリング以外のアプリケーションも、本教示から利益を得ることができる。更に、各種の装置、モダリティ、ソフトウェア及びハードウェア及びパラメータは、例示として含まれるにすぎず、いかなる限定の意味も示さない。この開示に関して、当業者は、それら自身のアプリケーション並びにこれらのアプリケーションを実現するために必要とされる装置、ソフトウェア、ハードウェア及び他の機器を決定する際に、添付の請求項の範囲内にあるままで、本教示を実現することができる。
【図１】
2010534003.tif 000006
【図２】
2010534003.tif 000007
【図３】
2010534003.tif 000008
【図４】
2010534003.tif 000009
【図５】
2010534003.tif 000010
【国際調査報告】
2010534003.tif 000011
2010534003.tif 000012
2010534003.tif 000013