DE60025009T2

DE60025009T2 - Sensor mit digitaler signatur von sensorbezogenen daten

Info

Publication number: DE60025009T2
Application number: DE60025009T
Authority: DE
Inventors: A. Thomas BERSON; Bryan Olson; E. Michael FEIN; D. Paul MANNHEIMER; E. Charles PORGES; David Schloemer
Original assignee: Mallinckrodt Inc
Current assignee: Mallinckrodt Inc
Priority date: 1999-09-28
Filing date: 2000-09-28
Publication date: 2006-08-24
Anticipated expiration: 2020-09-29
Also published as: BR0014345A; BRPI0014345B8; ES2258022T3; US20080287757A1; US6708049B1; KR100679762B1; KR20020064292A; US20040162472A1; CA2382960A1; SG125110A1; JP2011062547A; AU778152B2; US8190226B2; DE60025009D1; US8818474B2; CN1290468C; HK1054675A1; US7522949B2; ATE313292T1; NZ517977A

Description

HINTERGRUND DER ERFINDUNG
Die vorliegende Erfindung betrifft Sensoren mit einem Speicher. Sie wird insbesondere im Hinblick auf Pulsoximeter-Sensoren beschrieben, ist aber gleichermaßen auf andere Arten von Sensoren anwendbar.
Pulsoximetrie
Pulsoximetrie wird üblicherweise verwendet, um unterschiedliche Blutflusseigenschaften zu messen, einschließlich, aber nicht darauf begrenzt, der Blutsauerstoff-Sättigung von Hämoglobin in arteriellem Blut und der Blutpulsationsrate entsprechend der Herzfrequenz eines Patienten. Das Messen dieser Eigenschaften wurde unter Verwendung eines nichtinvasiven Sensors durchgeführt, welcher Licht durch einen Teil des Gewebes des Patienten leitet, wo Blut das Gewebe durchströmt, und fotoelektrisch die Lichtabsorption in solchem Gewebe abtastet. Ein mit dem Sensor verbundener Monitor bestimmt die absorbierte Lichtmenge und berechnet die Menge des gerade gemessenen Blutbestandteils, zum Beispiel arterielle Sauerstoff-Sättigung.
Das durch das Gewebe geleitete Licht wird so gewählt, dass es aus einer oder mehreren Wellenlängen besteht, die von dem Blut in einer Menge absorbiert werden, welche für die Menge des Blutbestandteils, das im Blut vorhanden ist, repräsentativ ist. Die Menge von transmittiertem oder reflektiertem Licht, das durch das Gewebe geleitetet wird, variiert gemäß der sich ändernden Menge des Blutbestandteils in dem Gewebe und der verbundenen Lichtabsorption. Um die Blutsauerstoffhöhe zu messen, wurden solche Sensoren mit Lichtquellen und Fotodetektoren versehen, die in der Lage sind, gemäß bekannter Techniken zum Messen der Blutsauerstoff-Sättigung bei zwei verschiedenen Wellenlängen zu arbeiten.
Verschiedene Verfahren wurden in der Vergangenheit offenbart, um Informationen in Sensoren, einschließlich Pulsoximeter-Sensoren, zu kodieren, um brauchbare Informationen an einen Monitor zu übermitteln. Zum Beispiel wird ein Kodiermechanismus in Nellcor U.S. Patent Nr. 4,700,708 aufgezeigt. Dieser Mechanismus betrifft eine optische Oximeter-Sonde, bei welcher ein Paar Leuchtdioden (LEDs = light emitting diodes) verwendet werden, um Licht durch durchblutetes Gewebe zu leiten, mit einem Detektor, der Licht detektiert, das nicht von dem Gewebe absorbiert wurde. Die Berechnungsgenauigkeit der Sauerstoffsättigung hängt davon ab, die Wellenlängen der LEDs zu kennen. Da die Wellenlängen der LEDs variieren können, wird ein Kodierwiderstand in der Sonde angeordnet, wobei der Wert des Widerstands dem Monitor die Oximeter-Sauerstoff-Sättigungsberechnung-Koeffizienten anzeigt, die den tatsächlichen Wellenlängen von wenigstens einer der LEDs oder der LED-Wellenlängenkombination für den Sensor entsprechen. Wenn das Oximeterinstrument eingeschaltet wird, wird von diesem zuerst ein Strom dem Kodierwiderstand zugeführt und die Spannung gemessen, um den Wert des Widerstands zu bestimmen und folglich geeignete Sättigungsberechnungs-Koeffizienten zur Verwendung mit den Wellenlängen der LEDs in dem Fühler.
Andere Kodiermechanismen wurden ebenfalls in U.S. Patent Nrn. 5,259,381, 4,942,877, 4,446,715, 3,790,910, 4,303,984, 4,621,643, 5,246,003, 3,720,177, 4,684,245, 5,645,059, 5,058,588, 4,858,615 und 4,942,877 offenbart. Insbesondere in der '877 Patentschrift wird offenbart, eine Vielzahl von Daten in einem Pulsoximeter-Sensorspeicher, einschließlich Koeffizienten für eine Sättigungsgleichung zur Oximetrie, zu speichern.
Ein Problem mit Sensor-Kodiertechniken gemäß dem Stand der Technik besteht darin, dass Informationskodierung manchmal ungenau und/oder nicht authentisch sein kann. Dies hat zur Folge, dass der Monitor manchmal nicht in der Lage ist, ausreichende Messwerte eines Patienten zu erhalten, oder, was noch schlimmer ist, ungenaue Berechnungen macht, so dass in Extremfällen die ungenauen Codes und die sich daraus ergebenden ungenauen Messwerte bedeutend die Sicherheit des Patienten beeinträchtigen können und zu schlechten Ergebnissen beim Patienten beitragen. Ungenaue Codes können sich aus einer Vielzahl von Umständen ergeben. Zum Beispiel können Fehler während eines Herstellungsprozesses oder während der Auslieferung des Sensors auftreten. Häufiger kommt es jedoch vor, dass ungenaue Codes einigermaßen vorsätzlich von Massen-Drittherstellern von Sensoren geringer Qualität verwendet werden, die von dem entsprechenden Monitorhersteller keine Lizenz haben oder nicht autorisiert sind, kompatible Sensoren hoher Qualität zu liefern. Diese Dritthersteller investieren oft minimalen Aufwand in Forschung und verstehen einfach nicht, wozu die Codes dienen, da sie nicht verstehen, wie der Monitor arbeitet oder der Monitor die Codes verwendet. Da sie von dem Monitorhersteller keine Lizenz haben, ist diese Information im Allgemeinen von dem Monitorhersteller nicht erhältlich. Allzu oft versäumen es diese Dritthersteller, Zeit und Kosten zu investieren, um durch Techniken des Reverse Engineering oder ursprüngliche Wissenschaft zu lernen, wie die Monitore arbeiten und wie die Codes verwendet werden, um die Sicherheit des Patienten sicherzustellen. Stattdessen gibt es zahlreiche Fälle, wo solche Dritthersteller einfach einen Bereich von im Markt verwendeten Codewerten für jede kodierte Dateneigenschaft untersuchen und einen durchschnittlichen Codewert für all ihre Sensoren nehmen, um mit einem bestimmten Monitor "kompatibel" zu sein. Obwohl in vielen Fällen das Verwenden eines durchschnittlichen Codewertes einfach Messwerte zur Folge haben wird, die außerhalb der Spezifikation liegen, aber nicht anderweitig besonders gefährlich sind, kann der durchschnittliche Codewert ausreichend falsch sein, um bedeutende Fehler in die Berechnungsalgorithmen einzuführen, die von dem Monitor verwendet werden, und bedeutende Probleme der Patientensicherheit zu verursachen. Zusätzlich kann, wann immer ungenaue Codes von Drittherstellern zu einem schlechten Ergebnis beim Patienten beitragen, der geschädigte Patient oder dessen Erben versuchen, den Monitorhersteller zusammen mit dem direkten Pflegepersonal haftbar zu machen. Wenn das Pflegepersonal den verwendeten Dritthersteller-Sensor geringer Qualität nicht aufbewahrt und keine Aufzeichnung seiner Verwendung gemacht hat, was vorkommt, würde es für den Monitorhersteller schwierig zu beweisen sein, dass das Problem durch die Verwendung eines Dritthersteller-Sensors geringer Qualität mit seinem Monitor von ansonsten hoher Qualität verursacht wurde.
Ein anderer Grund, dass es ein Erfordernis für die Authentisierung digitaler Daten gibt, die in Verbindung mit medizinischen Sensoren gespeichert werden, ist die kleine aber reale Möglichkeit, dass Daten zwischen dem Zeitpunkt der Aufnahme in der Fabrik und dem Zeitpunkt des Lesens durch das Instrument, welches den Zustand eines Patienten überwacht, beschädigt werden. Ein oft zitiertes Beispiel eines Mechanismus, der eine solche Beschädigung verursachen kann, ist die Veränderung eines in den digitalen Speicher aufgenommenen Wertes durch das Auftreten einer energiereichen kosmischen Strahlung. Eine gewöhnlichere Quelle der Beschädigung ist die durch elektrostatische Entladung verursachte Schädigung einer Speicherzelle.
Demgemäß besteht im Stand der Technik ein Erfordernis, einen Weg zu ersinnen, um genaue und authentische komplexe Codes von einem Sensor an einen Monitor zu übermitteln, damit genaue Berechnungen und genaue Patientenüberwachung von dem Monitor sichergestellt werden.
ZUSAMMENFASSUNG DER ERFINDUNG
Demgemäß ist es eine Aufgabe der Erfindung, einen Sensor bereitzustellen, welcher für einen Monitor brauchbare Codes aufweist, die als genau authentisiert werden können. Die Erfindung wird in den beigefügten Ansprüchen definiert.
Diese und andere Aufgaben werden durch einen Sensor erreicht, welcher ein Signal entsprechend einer gemessenen physiologischen Eigenschaft eines Patienten erzeugt und welcher Codes bereitstellt, von denen sichergestellt ist, dass sie genau und authentisch sind, wenn diese von einem Monitor verwendet werden. Ein mit dem Sensor verbundener Speicher speichert die Codes und andere Daten bezogen auf den Sensor, wobei der Speicher ebenfalls eine digitale Signatur enthält. Die digitale Signatur authentisiert die Qualität der Codes und der Daten, indem sie sicherstellt, dass diese von einer Einheit mit vorbestimmten Qualitätskontrollen hergestellt wurde, und dass die Codes genau sind.
In einer Ausführungsform wird die digitale Signatur während des Herstellungsvorgangs des Sensors unter Verwendung eines privaten Schlüssels eines Schlüsselpaars aus privatem und öffentlichem Schlüssel erzeugt, wobei die Signatur dann mit dem öffentlichen Schlüssel überprüfbar ist, welcher in Prozessoren in einem externen Sensor-Leser (z. B. Monitor) enthalten ist. Die Signatur kann von den Daten getrennt sein. Oder statt dass die Signatur an die Daten angehängt wird, kann die Signatur selbst alle oder wenigstens einige der Daten beinhalten und demzufolge einen Grad von Maskierung der Daten vorsehen.
Gemäß einer Ausführungsform der Erfindung kann jedes beliebige von mehreren bekannten Signaturverfahren mit öffentlichem/privatem Schlüssel verwendet werden. Diese beinhalten Diffie-Hellman (und seine Varianten, wie beispielsweise der Digital Signature Standard vom National Institute of Standards and Technology, El Gamal und die elliptischen Kurvennäherungen), RSA (entwickelt am Massachusetts Institute of Technology) und Rabin-Williams.
In einer weiteren Ausführungsform der Erfindung wird ein Digest eines Teils der zu signierenden Daten in die Signatur eingeschlossen, um zu verifizieren, dass keine Fehler in den Daten aufgetreten sind. Jedes Datum wird vorzugsweise so organisiert, dass es ein ID-Feld, welches den Typ der folgenden Daten anzeigt, gefolgt von einem Datenlängenelement, gefolgt von dem Datum einschließt. Ein verpflichtend-Bit wird vorzugsweise ebenfalls vorgesehen, welches anzeigt, ob das Wissen, wie das Datum von dem Monitor zu verwenden ist, für den Betrieb des Sensors mit dem Monitor verpflichtend ist. Folglich kann ein älterer Monitor, der ein unkritisches Datum nicht erkennt, es einfach verwerfen, da er vermutlich das fortgeschrittene Merkmal, welches dem Datum entspricht, nicht implementieren wird. Wenn jedoch das Datum für einen einwandfreien Betrieb eines Sensors notwendig ist, wird das verpflichtend-Bit gesetzt sein, und der Sensor-Leser/-Monitor wird anzeigen, dass er den bestimmten eingesteckten Sensor nicht verwenden kann.
In noch einer weiteren Ausführungsform würden die signierten Daten, die mit dem Sensor gespeichert sind, wenigstens einen sensorabhängigen Sättigungs-Kalibrierkurven-Koeffizienten enthalten, der verwendet wird, um die Sauerstoffsättigung durch einen Monitor zu berechnen. Zusätzlich können die Daten Sensor AUS-Schwellwerte und Thermistor-Kalibrier-Koeffizienten, die für Sensoren mit einem Thermistor geeignet sind, enthalten. Einige solcher Daten können in der Signatur enthalten sein, und diese oder andere Daten könnten außerhalb der Signatur enthalten sein. Die Daten außerhalb der Signatur könnten, wenn gewünscht, mit einem kryptographischen Algorithmus mit symmetrischem Schlüssel, zum Beispiel dem Data Encryption Standard (DES) vom NIST, verschlüsselt (oder maskiert) sein, und der symmetrische Schlüssel könnte in der Signatur enthalten sein. Alternativ könnte der symmetrische Schlüssel aus dem Digest, welches in der Signatur enthalten ist, ableitbar sein, Für ein weiteres Verständnis der Art und der Vorteile der Erfindung sollte Bezug auf die nachfolgende Beschreibung in Verbindung mit den beigefügten Zeichnungsfiguren genommen werden.
KURZE BESCHREIBUNG DER ZEICHNUNGSFIGUREN
1 ist ein Blockdiagramm eines Sensors und Sensorlesesystems, welche die Erfindung einschließen.
2 ist ein Blockdiagramm des Inhalts eines in 1 dargestellten Sensors.
3 ist ein Blockdiagramm, welches ein System zum Signieren von Daten während der Herstellung eines Sensors darstellt.
4 ist ein Diagramm, welches den Signiermechanismus durch das System aus 3 darstellt.
5 ist ein Datenflussdiagramm, welches die Daten darstellt, die in dem Verfahren aus 4 erzeugt werden.
6 ist ein Diagramm einer Ausführungsform eines Sensor-Lesers oder -Monitors, welches verschiedene Softwaremodule darstellt.
7 ist ein Flussdiagramm, welches das Auslesen eines Sensors gemäß der vorliegenden Erfindung darstellt.
8 ist ein Diagramm, welches den Fluss der in dem Verfahren aus 7 gelesenen Daten darstellt.
9 ist ein Diagramm verschiedener Felder in den Daten.
10 ist ein Blockdiagramm eines Sensorsystems, bei welchem ein Adapter mit einer digitalen Signatur in dem Adapter verwendet wird.
BESCHREIBUNG DER BESTIMMTEN AUSFÜHRUNGSFORMEN
Definitionen
SIGNIERTE DATEN sind Daten, die in die Berechnung eines Digest (durch Verwendung einer Hashfunktion) eingeschlossen wurden, wobei dieses Digest wiederum in die Berechnung einer digitalen Signatur eingeschlossen wird, so dass jede spätere Veränderung der Daten durch einen Fehler der Verifizierung der digitalen Signatur detektierbar wird. Daten, die signiert wurden, können sich schließlich entweder innerhalb oder außerhalb der digitalen Signatur befinden. In dem als "Digitale Signatur mit Nachrichtenwiederherstellung" bekannten Vorgang befinden sich die Daten vollständig innerhalb der digitalen Signatur. Bis die Signatur verifiziert wird, liegen die Daten in einer verschlüsselten Form vor, so dass der zufällige Beobachter sie nicht verstehen kann. Der mathematische Vorgang, der die Signatur verifiziert, entschlüsselt die Daten oder stellt diese wieder her. In dem als "Digitale Signatur mit Teilwiederherstellung" bekannten Vorgang, der für die hier beschriebene Erfindung bevorzugt wird, wird ein Teil der signierten Daten innerhalb der Signatur eingeschlossen, und zusätzliche Daten befinden sich außerhalb der Signatur. Der Datenteil innerhalb der Signatur wird verborgen, bis die Signatur verifiziert wird, aber der Teil außerhalb bleibt leicht lesbar, außer ein Maskierungsvorgang wird verwendet, um ihn zu verbergen.
MASKIERTE DATEN, wie der Begriff hier verwendet wird, sind Daten, die so verschlüsselt wurden, dass sie mit einem Demaskierschlüssel, der innerhalb der Signatur eingeschlossen ist, wiederherstellbar sind. Während der Verifizierung der Signatur wird der Demaskierungsschlüssel wiederhergestellt. Dieser Demaskierungsschlüssel kann dann verwendet werden, um die maskierten Daten zu entschlüsseln. In einer bevorzugten Ausführungsform werden die maskierten Daten mit einem symmetrischen Schlüssel verschlüsselt, was besagt, dass die Verschlüsselungs- und Entschlüsselungsschlüssel (d. h. die Maskierungs- und Demaskierungsschlüssel) identisch sind. In einer besonders bevorzugten Ausführungsform wird das Nachrichtendigest, welches in die digitale Signatur eingeschlossen ist, als symmetrischer Schlüssel zum Maskieren und Demaskieren von Daten außerhalb der Signatur verwendet.
Sensor-Leser/-Monitor
1 ist ein Blockdiagramm einer bevorzugten Ausführungsform der Erfindung. 1 zeigt ein Pulsoximeter 17 (oder Sensor-Leser), welches mit einem nicht-invasiven Sensor 15 verbunden ist, der an dem Patientengewebe 18 angebracht ist. Licht von Sensor-LEDs 14 geht in das Patientengewebe 18, und nachdem es durch das Gewebe 18 transmittiert oder von Gewebe 18 reflektiert wurde, wird das Licht von Fotosensor 16 empfangen. Zwei oder mehr LEDs können abhängig von der Ausführungsform der vorliegenden Erfindung verwendet werden. Fotosensor 16 wandelt die empfangene Energie in ein elektrisches Signal, das dann in den Eingangsverstärker 20 gegeben wird.
Andere Lichtquellen als LEDs können verwendet werden. Zum Beispiel könnten Laser verwendet werden, oder eine weiße Lichtquelle mit geeigneten Wellenlängenfiltern entweder an dem Übertragungs- oder dem Empfangsende könnte verwendet werden.
Zeitverarbeitende Einheit (TPU = time processing unit) 48 sendet Steuersignale an den LED-Treiber 32, um die LEDs zu aktivieren, üblicherweise im Wechsel. Wiederum kann der Treiber abhängig von der Ausführungsform zwei oder eine beliebige zusätzliche gewünschte Anzahl von LEDs steuern.
Das von Eingangsverstärker 20 empfangene Signal wird durch drei verschiedene Kanäle geleitet, wie in der Ausführungsform von 3 dargestellt, für drei verschiedene Wellenlängen. Alternativ könnten zwei Kanäle für zwei Wellenlängen verwendet werden, oder N Kanäle für N Wellenlängen. Jeder Kanal beinhaltet einen Analogschalter 40, ein Tiefpassfilter 42 und einen Analog/Digital-(A/D) Wandler 38. Steuerleitungen von TPU 48 wählen den geeigneten Kanal zu dem Zeitpunkt, an dem die entsprechende LED 14 getrieben wird, in Synchronisation. Ein nachstehendes serielles Modul (QSM = queued serial module) 46 empfängt die digitalen Daten von jedem der Kanäle über Datenleitungen von den A/D-Wandlern. CPU 50 übermittelt die Daten von QSM 46 in RAM 52, wenn QSM 46 periodisch vollläuft. In einer Ausführungsform sind QSM 46, TPU 48, CPU 50 und RAM 52 Teil eines integrierten Schaltkreises, wie beispielsweise eines Mikrocontrollers.
Sensorspeicher
Sensor 15, welcher Fotodetektor 16 und LEDs 14 beinhaltet, weist einen Sensorspeicher 12 auf, der damit verbunden ist. Speicher 12 ist mit CPU 50 in dem Sensor-Leser oder -Monitor 17 verbunden. Der Speicher 12 könnte in einem Körper des Sensors 15 oder in einem elektrischen Stecker untergebracht sein, der mit dem Sensor verbunden ist. Alternativ könnte der Speicher 12 in einem Gehäuse untergebracht sein, das an einer Außenfläche des Monitors anbringbar ist, oder der Speicher 12 könnte irgendwo in einem Signalpfad zwischen dem Sensorkörper und dem Monitor angeordnet sein. Insbesondere könnte, gemäß einigen bevorzugten Ausführungsformen, ein Inhalt des Sensorspeichers 12 für alle Sensoren, die mit einem bestimmten Sensormodell verbunden sind, konstant sein. In diesem Fall könnte, anstatt einen individuellen Speicher 12 auf jeden mit diesem Modell verbunden Sensor zu setzen, der Speicher 12 stattdessen in einem wiederverwendbaren Verlängerungskabel, das mit dem Sensormodell verbunden ist, eingeschlossen sein. Wenn das Sensormodell ein Wegwerfsensor ist, könnte in diesem Fall ein einzelner Speicher 12 in ein wiederverwendbares Verlängerungskabel eingeschlossen sein. Das wiederverwendbare Kabel könnte dann mit vielen Wegwerfsensoren verwendet werden.
2 ist ein Diagramm des Inhalts von Speicher 12 aus 1 gemäß einer bevorzugten Ausführungsform. Eine digitale Signatur 60 belegt einen ersten Teil des Speichers, wobei die Signatur vorzugsweise sensorbezogene Daten beinhaltet. Ein zweiter Teil 62 enthält Daten, die signiert und maskiert sind. Ein dritter Teil 64 beinhaltet Daten, die signiert, aber im Klartext (d.h., sie sind nicht maskiert) sind. Schließlich ist ein Teil 66 zum Schreiben in den Sensorspeicher durch den Sensor-Leser reserviert. Teil 66 ist weder signiert noch maskiert. Obwohl diese bevorzugte Ausführungsform zu Darstellungszwecken gezeigt wird, wird darauf hingewiesen, dass Speicher 12 viele verschiedene Datenblöcke außerhalb der digitalen Signatur beinhalten kann, wobei jeder gemäß den Erfordernissen einer speziellen Ausführungsform signiert und/oder maskiert sein kann. Diese verschiedenen Datenblöcke können in jeder gewünschten Reihenfolge angeordnet sein, zum Beispiel können sich mehrere signierte und unsignierte Blöcke abwechseln, und mehrere maskierte und unmaskierte Blöcke können sich abwechseln. Es wird ebenfalls darauf hingewiesen, dass Daten, die in Speicher 12 von dem Sensor-Leser geschrieben werden, ein optionales Merkmal darstellt, und dass solche Daten optional maskiert werden können.
Schreiben der Signatur in der Fabrik
3 ist ein Blockdiagramm einer Ausführungsform eines in einer Fabrik verwendeten Systems, um eine Signatur in den Sensorspeicher 12 zu schreiben. In 3 ist ein Personal Computer 70 und ein verbundener kryptographischer Coprozessor 72 dargestellt, der einen privaten Schlüssel eines Schlüsselpaares aus privatem und öffentlichem Schlüssel enthält und verwendet. Der private Schlüssel ist in einem Speicher innerhalb Coprozessor 72 enthalten. Dieser Schlüssel ist vorzugsweise von niemandem lesbar, um die Sicherheit zu wahren. Der zugehörige öffentliche Schlüssel kann sowohl für PC 70 als auch Coprozessor 72 bekannt sein, oder kann von dem Coprozessor 72 ausgegeben werden.
Die Daten, welche von dem Coprozessor 72 signiert werden, können von mehr als einer Quelle stammen. Dargestellt ist ein Tester 76 zum Testen des Sensors, um den Wert bestimmter Sensorkomponenten 78 zu bestimmen, wie beispielsweise die LED-Wellenlänge, Thermistorwiderstand, etc. Diese Datenwerte werden dann an PC 70 über Leitung 80 geliefert. Zusätzliche Informationen 82 können von einer Tastatur oder von einer anderen Datenbank über Leitungen 84 eingegeben werden. Diese Daten können zum Beispiel eine Seriennummer für den Sensor, ein Herstelldatum, eine Chargennummer, ein Digest des zu signierenden Datenteils oder andere Informationen enthalten.
Die zu signierenden Daten oder andere in den Speicher 12 einzuschließende Daten werden von dem PC an den kryptographischen Coprozessor 72 gegeben. Der Coprozessor 72 berechnet ein Digest von den zu signierenden Daten und signiert mit dem privaten Schlüssel das Digest und andere Daten, deren Signierung erwünscht ist. Die Signatur und darin enthaltene Daten können einen symmetrischen Schlüssel einschließen für andere Daten, die maskiert sind, oder Informationen, von denen ein symmetrischer Schlüssel abgeleitet werden kann. Der Coprozessor übermittelt die Signatur zurück zu PC 70. PC 70 maskiert vorzugsweise einige der Daten, die nicht in der Signatur eingeschlossen sind, und fasst die maskierten Daten, die Signatur und Klartextdaten zusammen und übermittelt all dies auf Leitungen 86 an Speicher 12.
4 ist ein Diagramm, das den Betrieb des Systems aus 3 darstellt. 5 stellt den Datenfluss gemäß dem Verfahren aus 4 dar.
Zuerst wird der Sensor getestet und gemessene Parameter 88 des Sensors, wie beispielsweise die LED-Wellenlänge, werden geliefert. Als nächstes werden alle möglichen anderen Daten 89 eingegeben. Die Daten werden dann sortiert (Schritt 90). Diese Sortierung hat erste zu signierende Daten 91, zweite zu maskierende Daten 92 und dritte Daten 93, die im Klartext, d. h. weder maskiert noch signiert, vorliegen werden, als Ergebnis. Um zu verifizieren, dass keine Fehler irgendwo in den Daten 91, 92, 93 während der Herstellung oder während eines nachfolgenden Lese-/Entschlüsselungsschritts auftreten, wenn der Sensor verwendet wird, wird während der Herstellung aus allen Daten 91, 92, 93 ein Digest 95 erzeugt (Schritt 94) und innerhalb der Signatur eingeschlossen. Das Digest wird als eine Ausgabe einer Hashfunktion, welche auf die Daten 91, 92, 93 angewendet wird, hergestellt. Das Digest kann mit einem komplizierten CRC verglichen werden. Wenn die Daten und das Digest später nach der Entschlüsselung von einem Monitor gelesen werden, wird, wenn ein oder mehrere Fehlerbits irgendwo in den Daten 91, 92, 93 auftreten, ein zweites Digest, das der Monitor von den gelesenen Daten erzeugen wird, nicht mit dem Digest, das aus dem Speicher extrahiert wurde, übereinstimmen, wodurch angezeigt wird, dass ein oder mehrere Fehler irgendwo bei dem Schreiben oder bei dem Signatur-Verifikationsvorgang eingeflossen sind. Ein Beispiel einer geeigneten Hashfunktion ist SHA-1, beschrieben in Federal Information Processing Standard Publication FIPS, PUB 180-1, Secure Hash Standard, National Institute of Standards & Technology, 1995. Das Digest 95 und Daten 91 werden gemeinsam mit formatierenden Daten 99, die in Schritt 100 hinzugefügt wurden, signiert, um eine Signatur 101 in Schritt 96 herzustellen. Die formatierenden Daten werden in Schritt 100 hinzugefügt, zum Beispiel in Übereinstimmung mit dem internationalen Standard ISO/1EC 9796-2, einem Standard für digitale Signaturen. Die Daten 92 werden in Schritt 103 maskiert. Diese Signatur 101, maskierte Daten 103 und Klartextdaten 93 werden dann von dem Coprozessor 72 und PC 70 zusammengefügt und in dem Sensorspeicher 12 gespeichert.
Der private Schlüssel, der verwendet wird, um die Daten 91 zu signieren, ist vorzugsweise ein Rabin-Williams digitaler Signaturalgorithmus, von dem ein Beispiel in ISO 9796-2 beschrieben wird.
In einer Ausführungsform beträgt der originale zu signierende Datenblock, Block 91, 73 Bytes oder weniger, zuzüglich eines 20 Byte-Digest, zuzüglich 3 Byte formatierende Daten 99. Dies ergibt eine signierte Nachricht von 96 Bytes. Längere Signaturen können ebenfalls verwendet werden, z. B. Signaturen mit 128 Bytes, wobei 106 Bytes als Nutzdaten 91 zulässig sind. Die Länge der Signatur hängt von dem gewünschten Sicherheitsgrad und von der Höhe der Entschlüsselungsfähigkeit des Monitors ab.
Lesen der Signatur durch Leser/Monitor im Einsatz
6 stellt einen Teil eines Sensor-Lesers oder Monitors 17 zum Verifizieren der digitalen Signatur und Wiederherstellen der Daten von einem Sensor dar, wenn er bei einem Patienten verwendet wird. Die Daten werden zuerst von CPU 50 von dem Sensorspeicher abgerufen und in einem Speicher 110 gespeichert. Der Sensor-Leser weist einen öffentlichen Schlüssel in einem Speicher 112 auf, welcher üblicherweise zum Herstellzeitpunkt des Monitors geladen oder als ein Upgrade des Monitors vorgesehen wird. Ein Signaturverifizierungs- und Datenwiederherstellungsprogramm ist in einem Teil von Speicher 114 gespeichert.
7 stellt den Betrieb des Signaturverifizierungs- und Datenwiederherstellungsprogramms von Speicherteil 114 aus 6 dar. 8 ist ein Diagramm, welches die Bewegung der Daten gemäß dem Flussdiagramm aus 7 darstellt. Daten werden zuerst bei Schritt 106 von dem Sensorspeicher abgerufen. Die abgerufenen Daten 102 werden in 8 als bestehend aus Signatur 101, maskierten Daten 107 und Klartextdaten 93 dargestellt. Der öffentliche Schlüssel 112 wird dann von dem Speicher des Monitors abgerufen (Schritt 108).
Signatur und öffentlicher Schlüssel werden dann als Eingaben an eine kryptographische Transformation geliefert, um die Signaturdaten 91 und das Speicherdigest 95 zu erhalten (Schritt 109).
Das Speicherdigest wird verwendet, um den symmetrischen Schlüssel der maskierten Daten zu bestimmen, und dieser Schlüssel wird dann verwendet, um die maskierten Daten 107 zu entschlüsseln und die Originaldaten 92 zu erhalten, die maskiert wurden (Schritt 116).
Um die Genauigkeit aller Daten 91, 92, 93 zu verifizieren, wird dann von dem Monitor ein zweites Digest aus den entschlüsselten signierten Daten 91, den unmaskierten Daten 92 und den Klartextdaten 93 unter Verwendung einer Hashfunktion 118 erzeugt (Schritt 120). Dadurch wird ein neues Digest 122 erzeugt, welches dann bei Schritt 124 mit dem mit dem Originaldigest 95 (gelesen aus dem Speicher) verglichen wird. Wenn die Digests gleich sind, ist die Signatur verifiziert und die Nachricht (zusammengefügte Daten 91, 92, 93) ist authentisiert (Schritt 126). Der Monitor verwendet dann die Nachricht bei seinem Betrieb. Wenn andererseits die Digests nicht gleich sind, wird die Nachricht als beschädigt bestimmt, und der Monitor zeigt dem Benutzer des Monitors ein Signal für einen fehlerhaften Sensor an und verwendet die Nachricht nicht (128).
Wie dargelegt, wendet die Erfindung auf einzigartige Weise digitale Signaturen auf Sensoren und insbesondere auf Pulsoximetersensoren an. Die einzigartige Anwendung auf einen Sensor erlaubt es dem Sensor-Leser/-Monitor, Nachrichten-(Daten-)Genauigkeit, Authentizität bezüglich Quelle und Qualität des Sensors zu verifizieren und schützt empfindliche Sensorspezifikationsinformationen davor, leicht entdeckt zu werden und auf fehlerhafte Weise von nicht-innovativen Sensorherstellern verwendet zu werden.
Signaturfelder
9 stellt eine Ausführungsform der Signaturdaten 91, Digest 95 und formatierenden Daten 99 genauer dar. Insbesondere sind Signaturdaten 91 in eine willkürliche Anzahl von Feldern 132 aufgeschlüsselt, gefolgt von einem CRC 134. Jedes Feld 132 beinhaltet eine 1 Byte Feld-ID 136, welche den in ihrem Feld dargestellten Datentyp identifiziert. Ein einzelnes Bit 138 zeigt an, ob das Feld verpflichtend ist oder nicht. Danach kommen 7 Bits in einem Block 140, welche die Länge des Feldes identifizieren. Schließlich werden die Felddaten in einem Byteblock 142 vorgesehen.
Wenn im Betrieb ein vorhandener Monitor oder Sensor-Leser nicht in der Lage ist, die bestimmte Feld-ID 136 zu behandeln, oder diese nicht erkennt, kann er die Feldlänge 140 betrachten und herausfinden, wie viele Daten übersprungen werden müssen, um zum nächsten Feld zu kommen. Jedoch überprüft er zuerst verpfichtend-Bit 138, um zu bestimmen, ob diese Daten für den Betrieb des Sensors verpflichtend sind. Wenn sie verpflichtend sind, erzeugt der Monitor oder Sensor-Leser eine Fehlermeldung, die anzeigt, dass er nicht in der Lage ist, den angeschlossenen Sensor richtig zu lesen. Wenn sie nicht verpflichtend sind, ignoriert der Monitor oder Sensor-Leser einfach dieses Datenfeld.
Dieses Feldformat sieht demzufolge Flexibilität beim Packen von Daten in den Signaturdatenblock vor, und ebenfalls Upgrade-Fähigkeit und Kompatibilität mit vorhandenen Sensor-Lesern und zukünftigen Generationen von Sensoren und Monitoren.
In einer Ausführungsform dient ein Feldbezeichner eines ausgewählten Werts als ein "Escape-Zeichen", welches anzeigt, dass das nächste Zeichen der Bezeichner eines erweiterten Satzes ist. Dies bietet die Möglichkeit, die Felder, die in eine Nachricht eingeschlossen sind, hinzuzufügen, zu löschen, zu bewegen, zu komprimieren oder zu strecken, ohne sich auf festgelegte Adressen verlegen zu müssen.
Datentypen
Die nachfolgenden sind Beispiele von Datentypen, die in den Speicher 12 in einer Ausführungsform eingeschlossen werden könnten.
Die tatsächlichen Koeffizienten oder Daten, auf welche die Gleichungen für die Sättigungsberechnung für ein Pulsoximeter anzuwenden sind, könnten gespeichert werden. Diese Koeffizienten können anstelle des Speicherns eines Werts, der den gemessenen Wellenlängen entspricht, gespeichert werden. Das Ergebnis ist eine bedeutend gesteigerte Flexibilität bei der Sensorgestaltung, da Kalibrierkurven nicht auf einen kleinen Satz von Kurven, die in Instrumenten vorgesehen wurden, beschränkt sind.
Alternativ zu den Koeffizienten oder zusätzlich dazu könnten die LED-Wellenlängen einfach gespeichert werden. Ebenfalls könnten eine sekundäre Wellenlängencharakteristik sowie andere LED-Parameter gespeichert werden.
Bestimmte Sensoren können Thermistoren aufweisen, die dazu verwendet werden, die lokale Temperatur zu Zwecken wie beispielsweise der Kompensation von Kalibrierkurven für die Sensortemperatur zu messen, oder um Patientenverbrennungen zu vermeiden. Kalibrierungskurven für den Thermistor könnten gespeichert werden.
Andere Daten, die in Speicher 12 eingeschlossen werden könnten, könnten zum Beispiel einen Chargencode beinhalten, der das Rückverfolgen des Sensors gestattet, ein schlechter-Sensor-Flag, ein Herstelldatum, Herstellungstestinformationen, die Version des signierenden Softwareprogramms, das für die Signatur verwendet wurde, LED-Vorwärts-V/I-Charakteristiken, LED-optische Leistungscharakteristiken, eine Detektoreffizienzcharakteristik, eine maximal sichere LED-Leistung, ein Sensordatensatz-Überarbeitungsstatus (welcher die in dem Sensor eingeschlossenen Merkmale anzeigt), eine Sensormodell-ID, ein Erwachsener/Neugeborenes-Anfrageflag (zur Auslösung eines gewünschten Alarmgrenzbereichs, der davon abhängt, ob ein Neugeborenes oder ein Erwachsener beobachtet wird, mit unterschiedlichen normalen Sauerstoffsättigungshöhen für Pulsoximetrie), ein einmal-/mehrfach-Schreiben-Flag, eine Seitengröße, eine Seitenanzahl und eine maximale Anzahl von Recyclingvorgängen.
Alternativ können alle oben genannten oder in den zitierten Bezügen zum Stand der Technik beschriebenen Datentypen verwendet und entweder in den maskierten Daten 92, in den Signaturdaten 91 oder in den Klartextdaten 93 gespeichert werden.
10 ist ein Blockdiagramm eines Sensorsystems, das einen Adapter mit einer digitalen Signatur in dem Adapter einschließt. 10 zeigt einen Sensor 202, der mit einem Adapter 204 verbunden ist, welcher wiederum mit einem Monitor 206 verbunden ist. Der Adapter beinhaltet Signalanpassungsschaltkreis 208, einen Speicher mit einer digitalen Signatur 210 und einen internen Monitor 212. Eine Verwendung eines solchen Adapters würde für eine Klasse von Sensoren sein, die gestaltet sind, um ohne digitale Signatur mit einem solchen Adapter verbunden zu werden. Der Adapter selber könnte die digitale Signatur an den externen Monitor 206 liefern. Demgemäß kann zum Beispiel, anstatt dass jeder Sensor zertifiziert ist, ein unterschiedliches Verfahren zum Bestimmen, dass die Sensoren zertifiziert sind, verwendet werden, wobei der Adapter die Zertifizierung an den externen Monitor liefert.
In der in 10 dargestellten Ausführungsform beinhaltet der Adapter ebenfalls einen internen Monitor 212. Dieser interne Monitor kann verwendet werden, um eine Ausgabedarstellung oder andere Signale vorzusehen, die unterschiedlich sind zu oder Abänderungen sind von den Ausgaben oder Darstellungen, die von externen Monitoren 206 in dem Bereich geliefert werden. Um sicherzustellen, dass alle Ausgaben oder Darstellungen der beiden Monitore konsistent sind, kann Signalanpassungsblock 208 das Sensorsignal so modifizieren, dass die Signalausgabe in ihrer modifizierten Form auf Leitung 214 an den externen Monitor 206 von diesem ein Ausgabesignal erzeugen lässt, das dem von dem internen Monitor 212 erzeugten entspricht. Zum Beispiel kann ein Patientensignal von Sensor 202 erhalten werden, das einem Pulsoximeterwert entspricht. Eine Schätzung von Sättigung und Herzfrequenz kann auf dem internen Monitor 212 erzeugt werden, wobei Block 208 ein synthetisches AC-Signal erzeugt, welches er an den externen Monitor 206 sendet. Der Aufbau eines synthetischen Signals würde derart sein, dass sichergestellt ist, dass der externe Monitor eine ähnliche Herzfrequenz und Sättigung wie der interne Monitor 212 berechnet.
Die digitale Signatur kann eine Signatur von jedweden Daten sein einschließlich ungefilterten Patientendaten, gefilterten Patientendaten, einem synthetischen physiologischen Patientensignal oder jedweden anderen Daten.
Wie dem Fachmann offenbar sein wird, kann die vorliegende Erfindung in anderen bestimmten Formen verkörpert sein, ohne von den wesentlichen Merkmalen der Erfindung abzuweichen. Dementsprechend ist beabsichtigt, dass das Vorgenannte zu Darstellungszwecken dient, aber den Schutzbereich der Erfindung, welcher in den nachfolgenden Ansprüchen dargelegt ist, nicht einschränkt.

Claims

Eine Pulsoximeter-Adapter-Vorrichtung (204) für die Verwendung mit einem Sensor (15), der einen Ausgang besitzt, welcher ein Sensor-Signal zur Verfügung stellt, das einer Sauerstoffsättigung entspricht, in welcher der Adapter einen Speicher (210) enthält, und dadurch gekennzeichnet ist, dass der Speicher Sensor-Daten und eine digitale Signatur enthält.
Die Vorrichtung aus Anspruch 1, wobei ein Feld der Daten ein verpflichtend/optional-Bit Flag enthält, wobei das Flag anzeigt, ob Wissen darüber, wie das Feld aus Daten durch einen Monitor, der den Speicher liest, zu verwenden ist, für Operationen des Monitors mit dem Sensor verpflichtend ist.
Die Vorrichtung aus Anspruch 1, wobei ein erster Abschnitt der Sensor-Daten verschlüsselt ist und folglich unkenntlich ist, bis die Signatur überprüft ist, und ein zweiter Abschnitt der Daten nicht unkenntlich und leicht lesbar ist, wobei sowohl der erste Abschnitt als auch der zweite Abschnitt durch die digitale Signatur signiert sind.
Die Vorrichtung aus Anspruch 1, wobei die Sensor-Daten mindestens eins enthalten aus: Sättigungsberechnungs-Koeffizienten; ein Herstelldatum; ein Chargencode; verpflichtend/optional-Bit Flag, wobei das Flag anzeigt, ob Wissen darüber, wie das Feld der Daten durch einen Monitor, der den Speicher liest, zu verwenden ist, für Operationen des Monitors mit dem Sensor verpflichtend ist; und eine Höchstzahl von Wiederverwertungs-Ereignissen.
Die Vorrichtung aus Anspruch 4, wobei die Sensor-Daten in Feldern organisiert sind, in denen jedes Feld durch ein Feld-ID, ein verpflichtend-Bit, eine Feldlänge und Felddaten gekennzeichnet ist.
Die Vorrichtung aus Anspruch 4, wobei die Sensor-Daten die Version des signierenden Software-Programms enthält, das für die Signatur verwendet wird.
Die Vorrichtung aus Anspruch 1, wobei die Signatur mit einem privaten Schlüssel signiert wird, wobei die Signatur mit einem öffentlichen Schlüssel in dem Monitor verifizierbar ist.
Die Vorrichtung aus Anspruch 1, welche einen internen Monitor in dem Adapter für das Bereitstellen eines Ausgangssignals, das der Sauerstoffsättigung entspricht, und einen Aufbereitungsstromkreis für das Ändern des Sensor-Signals enthält. um ein synthetisches Sensor-Signal der Gestalt zu erzeugen, dass ein zweiter, externer Monitor, der das synthetische Sensor-Signal verwendet, eine Ausgabe erzeugt, die dem Ausgangssignal des internen Monitors entspricht.
Ein Verfahren für das Betreiben eines Pulsoximeter-Sensors (15), welches aufweist Verbinden eines Adapters (204) mit dem Sensor, in welchem der Adapter einen Speicher (210) enthält, und in welchem der Speicher Sensor-Daten und eine digitale Signatur enthält.
Das Verfahren aus Anspruch 9, welches die Schritte enthält von: Speichern mindestens eines Felds von Daten in dem Speicher; Speichern eines verpflichtend/optional-Flags innerhalb des Felds von Daten; Lesen des Flags mit einem Sensor Leser; wenn der Sensor Leser nicht das Feld aus Daten erkennt und das Flag anzeigt, dass das Feld optional ist, Ignorieren des Felds aus Daten; und wenn der Sensor Leser nicht das Feld aus Daten erkennt und das Flag anzeigt, dass das Feld verpflichtend ist, erzeugen eines Fehlersignals, welches Unfähigkeit den Sensor zu verwenden anzeigt.
Das Verfahren aus Anspruch 10, welches die Schritte enthält von: Speichern einer Feldlänge, die dem Feld zugeordnet ist; Lesen der Feldlänge; und Überspringen des Felds unter Verwendung der Feldlänge falls der Sensor Leser das Feld nicht erkennt und das Flag anzeigt, dass das Feld optional ist.