CN112384987A - 医疗设备和安全控制系统 - Google Patents

Abstract

一种医疗设备和安全控制系统(1)，包括可穿戴医疗设备(2)和医疗设备控制器(4)，所述医疗设备控制器(4)包括通信模块(17)，所述通信模块至少包括与包括智能手机、个人计算机、智能手表以及平板电脑中的任何一个或多个的消费者电子设备(12)短距离无线通信的能力，所述医疗设备控制器(4)进一步包括存储计算机程序的存储器(14)和配置为与消费者电子设备建立加密通信的加密密钥，以及被配置为执行计算机程序的处理器(15)，所述医疗设备控制器(4)和所述医疗设备(2)至少各自存储一个日志(16)以用于在医疗设备控制器(4)与消费者电子设备之间以及在医疗设备控制器(4)与医疗设备(2)之间交换日志登录，所述日志登录包含用户识别、用户权限和向医疗设备指示的运行，所述医疗设备控制器(4)配置为通过所述加密通信进行传输：i)用于在消费者电子设备的图形显示上展示的数据输入图像，或ii)上传存储在消费者电子设备的存储器中的输入图像的指示，并通过所述加密通信接收用于医疗设备的运行的指示，所述医疗设备控制器(4)配置为将所述用于医疗设备的运行的指示发送到医疗设备。

Description

医疗设备和安全控制系统

技术领域

本发明涉及医疗设备和用于控制医疗设备的系统。本发明的一个方面尤其涉及一种用于控制药物输送设备的系统。药物输送设备的应用领域包括通过输液器(infusionset)或贴片设备的液体药物给药(administration)。

背景技术

本发明解决的领域之一涉及向患有糖尿病的患者给药胰岛素。

糖尿病(Diabetes mellitus)是世界上第二常见的疾病，并且导致的死亡逐年上升。它在成年人口中的患病率超过8.5％，这意味着2015年约有4.15亿人在遭受这种疾病的困扰，并遭受着与该疾病相关的进一步的并发症和风险，预计到2040年，这一数字将大大增加：约6.42亿人将受到影响。因此，全球卫生支出中约有12％用于糖尿病治疗(约6730亿美元)。在过去的十年中，这种疾病不仅在美国和欧洲等发达国家而且还在中低收入国家中呈上升趋势，并且这种趋势预计将在未来几年中持续下去并恶化。主要原因是遗传、饮食变化、不良的健康习惯以及食品工业中糖的过度使用(以上所有皆与肥胖有关)，还有人类寿命的延长。

I型糖尿病患者大多依靠胰岛素治疗来控制其症状并避免进一步的并发症，例如心脏和肾脏疾病、失明或四肢问题。最常见的输送系统是胰岛素注射器、笔或喷射注射器，但它们无法精确稳定葡萄糖水平，容易发生操作错误，并依赖医疗支持。精确性错误可能会导致胰岛素剂量过多或不足，从而导致健康并发症，例如低血糖、昏迷、高血糖、酮症酸中毒甚至死亡。它们还导致医疗保健系统支出增加(该领域33％的医疗错误与胰岛素输送相关)。此外，胰岛素注射器、笔或喷射器无法连续输送胰岛素，因此无法精确稳定葡萄糖水平，这对长期患者健康来说是主要缺陷。对操作更简便、准确性更高的胰岛素输送设备的需求导致了各种胰岛素泵的开发，这些胰岛素泵由患者携带，既可以输送基础剂量也可以丸剂注射(bolus injections)胰岛素。现有的胰岛素输送设备包括便携式设备，该便携式设备可以携带在患者的衣服上，并通过导管(catheter)连接至具有穿过患者皮肤的经皮插管的贴片针(也称为输液器)。还已知便携式贴片设备直接安装在穿过患者皮肤插管的患者皮肤上。在后一种情况下，提供具有用户界面的单独的专用控制设备，以无线方式控制便携式贴片设备。这样的设备使胰岛素注射疗法相对谨慎并且代替了频繁注射的需要。

尽管它们在市场上存在，但目前只有约1％的糖尿病患者使用胰岛素泵，并且糖尿病患者和医疗保健专业人员仍然有许多未解决的需求。

发明人已经认识到，传统药物输送系统的重要缺陷之一是由于控制设备的定制手机软件和硬件，特别是与许多广泛使用的消费者设备(如消费者非常熟悉的智能手机)相比，这些设备的人体工程学用户界面较差。如图1所示，发明人进行的一次小型调查显示了被调查患者所表现出的与现有胰岛素贴片泵有关的主要缺陷。

常规胰岛素泵的另一个缺陷是看护者无法在需要时进行远程干预，更普遍的是难以在需要时(例如对于儿童或老人患者)允许各种非专业看护者(例如患者的父母或亲戚)协助控制药物输送。65岁以上的I型糖尿病患者占糖尿病患者的22％以上。此外，对于14岁以下患有糖尿病并使用胰岛素泵的儿童来说并不罕见。对于这些特定人群以及其他使用者，通常需要负责的看护者。因此，需要允许更容易控制医疗设备的系统，并且在某些情况下，允许远程控制医疗设备将是有利的。

不损害设备的安全性的情况下，对药物输送和其他医疗设备的改进的可用性和易于控制将对患者和看护者有利。医疗设备需要高度的安全性，并且其中嵌入的软件必须遵循非常严格的法规规则，主要是国际标准IEC 62304–“医疗设备软件–软件生命周期程序”，规定了开发医疗软件和医疗设备内软件的生命周期要求。它是欧盟和美国的统一标准，因此可以用作这两个市场的法规要求的基准。欧洲和美国法规都将医疗设备软件分为三类。根据IEC 62304的软件安全等级定义如下：

A类：软件系统不会导致危险情况，或者软件系统会导致危险情况，在考虑到软件系统外部的风险控制措施后，不会导致不可接受的风险；

B类：软件系统可能会导致危险情况，在考虑了软件系统外部的风险控制措施后，会导致不可接受的风险，并且可能造成的危害是非严重伤害；C类：软件系统可能会导致危险情况，在考虑了软件系统外部的风险控制措施后，会导致不可接受的风险，并且可能造成的危害是死亡或重伤。

医疗设备硬件还必须符合《医疗设备指示》的EN 60601-1和EN 60601-1-2标准，以确保安全性和电磁兼容性，例如：防静电性能；跌落测试；液体再次进入保护；老化测试以及失效模式影响分析(FMEA)。这些标准与医疗设备的“基本性能”的定义有关，以确保安全，高效。消费者电子设备不符合该要求，无论如何，这些设备都无法进行这些测试。

这是不使用诸如个人计算机、智能手机、计算机平板电脑和智能手表之类的消费者电子设备来控制医疗设备的原因之一。但是，这样的设备在处理能力和用户界面，特别是图形用户界面的质量方面具有高性能。而且，消费者电子设备具有定期更新的软件，以跟随通信技术、运行系统和显示技术的改进和变化。

鉴于与消费者市场相比其制造单元的体积要小得多，因此在医疗设备中实现具有消费者设备性能的电子设备是非常昂贵的。此外，对于许多用户而言，通常不希望使用多个设备，他们更希望能够仅使用一个设备(如智能手机)来执行许多任务。

以上考虑适用于其他药物和疾病的药物给药设备，更普遍地适用于许多其他医疗设备，这些医疗设备由具有用于输入命令或显示信息的用户界面的定制控制设备控制。

发明内容

鉴于前述内容，本发明的目的是提供一种安全可靠且易于使用的医疗设备及其安全控制系统。

提供一种医疗设备及其安全控制系统将是有利的，该医疗设备和安全控制系统允许该设备具有高度的自主性(低功耗)，易于携带并且佩戴舒适。

提供一种医疗设备及其安全控制系统，这对于制造和使用的性价比高，这将是有利的。

提供一种医疗设备及其安全控制系统，该系统允许非专业看护者远距离管理该系统(远程医疗)，这将是有利的。

提供一种医疗设备及其安全控制系统，该系统促进现场或远程的医疗保健专业人员对患者进行治疗，并改善对患者治疗和设备使用历史的访问，这将是有利的。

提供一种医疗设备及其安全控制系统，该系统有助于非专业健康看护者向患者提供的帮助，这将是有利的。

提供一种医疗设备及其安全控制系统，该系统允许该医疗设备由其软件仅符合A或B类要求的消费者电子设备控制，这将是有利的。

提供一种医疗设备及其安全控制系统，该系统配置为在可靠性方面考虑到消费者电子设备的硬件限制的同时容易地添加新的消费者电子设备，这将是有利的。

通过提供根据权利要求1的医疗设备和安全控制系统达到本发明的目的。

通过提供根据权利要求15的软件应用程序达到本发明的目的。

根据本发明的第一方面，本文公开了一种医疗设备和安全控制系统，其包括可穿戴医疗设备和配置用于控制该医疗设备的医疗设备。医疗设备控制器包括通信模块，该通信模块包括至少一个短距离无线通信能力，用于与包括智能电话、个人计算机、智能手表和计算机平板电脑中的任何一个或多个的消费者电子设备进行通信。所述医疗设备控制器还包括：存储器，其存储计算机程序和配置为与所述消费者电子设备建立加密通信的加密密钥；以及处理器，其被配置为执行所述计算机程序。医疗设备控制器和医疗设备分别存储至少一个日志，以便在医疗设备控制器和消费者电子设备之间以及在医疗设备控制器和医疗设备之间交换日志登录。日志登录包括用户识别，用户权限以及给医疗设备指示的运行。医疗设备控制器被配置为通过所述加密通信来传输：i)用于在消费者电子设备的图形显示上展示的数据输入图像，或ii)上传存储在消费者电子设备的存储器中的输入图像的指示，并通过所述加密通信接收用于医疗设备的运行的指示。医疗设备控制器被配置为将所述用于医疗设备的运行的指示发送到医疗设备。

在一个实施例中，医疗设备控制器是便携式医疗设备控制器，其形成为与可穿戴医疗设备分离的组件，并旨在与可穿戴医疗设备以短距离无线通信而分离地携带。该医疗设备包括控制系统，该控制系统包括通信模块，该通信模块包括至少具有短距离无线通信能力。医疗设备控制器的通信模块至少包括用于与医疗设备通信的短距离线通信能力。

在一个实施例中，医疗设备控制器被并入或物理连接到医疗设备。

在一个有利的实施例中，存储在医疗设备控制器、消费者电子设备和医疗设备中的至少一个日志包括在医疗设备控制器和消费者电子设备之间以及在医疗设备控制器和医疗设备之间交换的每个过去的指示(以下称为日志登录历史)。医疗设备控制器配置为基于分别存储在医疗设备控制器和消费者电子设备中的两个日志登录历史的比较来验证消费者电子设备的完整性。

在有利的实施例中，仅当两个日志历史相同时，才允许在消费者电子设备与医疗设备控制器之间进行登录会话。

在有利的实施例中，医疗设备控制器配置为针对与消费者电子设备以及与医疗设备的每次登录会话，将输入递增地写入存储在其存储器中的所述至少一个日志中。医疗设备控制器还配置为将所述输入复制在消费者电子设备的存储器以及医疗设备的存储器的至少一个日志中。

在有利的实施例中，消费者电子设备配置为根据医疗设备控制器的输出信号执行用于显示不同的用户界面模板或消息的软件应用程序。

在有利的实施例中，医疗设备和安全控制系统还包括医疗数据服务器，其存储在医疗设备控制器中的至少一个日志中存储的副本，以及医疗数据服务器和医疗设备控制器之间的安全通信。医疗设备控制器被配置为通过所述安全通信来更新所述副本。

在有利的实施例中，医疗数据服务器被配置为当医疗设备控制器不可用时，验证存储在消费者电子设备中的至少一个日志的完整性。

在有利的实施例中，消费者电子设备通过配对运行连接到医疗设备控制器，配对运行将消费者电子设备与在初始化步骤中以保存在各自存储器中的医疗设备控制器的配对参数进行比较。

在有利的实施例中，医疗装置是药物输送系统，优选地是贴片泵。

在一个有利的实施例中，医疗设备控制器的处理器被配置为执行计算机程序，以用于为消费者电子设备的角色分配限制性功能，以符合A或B类的软件要求。

在一个有利的实施例中，所述消费者电子设备的角色限于以下功能：以用户界面模板的形式图像显示，并带有一个或多个数据输入字段供用户输入；包含消息的图像显示；以及用于安全通信的数据加密和数据传输。

在有利的实施例中，医疗设备的运行基于在由消费者电子设备显示的至少一个用户界面模板的一个或多个数据输入字段中的数据输入。

根据本发明的第二方面，在此公开的是用于根据本发明的第三方面及其上面公开的任何实施例的医疗设备和安全控制系统的消费者电子设备的软件应用程序。该应用程序被配置为当在其(消费者电子设备)上安装软件应用程序时将图像目录的数据存储在消费者电子设备的存储器中。图像可以表示根据从医疗设备控制器接收到的指示要在消费者电子设备上显示的不同的用户界面模板，以便提供允许输入参数的数据输入字段(entryfields)。软件应用程序在执行时执行以下运行：根据所述从医疗设备控制器接收的指示选择用户界面模板；在消费者电子设备上显示所述用于数据输入的用户界面模板；一旦相关参数被输入，拍摄消费者电子设备上的显示图像的至少一部分；并将拍摄的显示图像的部分发送给医疗设备控制器。

在有利的实施例中，软件应用程序配置为根据从医疗设备控制器接收的指示来改变要在消费者电子设备上显示的图像。

根据本发明的又一方面，本文还公开了一种运行医疗设备和安全控制系统的方法。医疗设备和安全控制系统包括医疗设备和包括通信模块的医疗设备控制器，所述医疗设备控制器包括通信模块，通信模块至少包括与包括智能手机、个人计算机、智能手表以及平板电脑中的任何一个的一个或多个消费者电子设备短距离无线通信的能力。医疗设备和医疗设备控制器中的每一个包括存储器，该存储器存储一个或多个日志，用于在医疗设备控制器和医疗设备之间以及在所述医疗设备控制器和所述一个或多个消费者电子设备之间交换日志登录。该方法包括：a)在医疗设备控制器中从消费者电子设备接收配对参数；b)在配对运行期间将这些配对参数与存储在医疗设备控制器的存储器中的配对参数进行比较；c)在成功配对运行的情况下，在医疗设备控制器中接收所述消费者电子设备的日志登录历史；d)将从所述消费者电子设备接收的日志登录历史与存储在医疗设备控制器的存储器中的日志登录历史比较；e)如果所述消费者电子设备的日志登录历史与医疗设备控制器的日志登录历史匹配，则验证所述消费者电子设备与医疗设备控制器之间的会话以进行数据交换。

在有利的实施例中，该方法还包括通过诸如物联网的通信网络在医疗设备的至少一个日志中，在医疗设备的至少一个日志中以及在所述消费者电子设备的至少一个日志中写入日志登录，其中日志登录指示在步骤e)下的数据交换类型。

在一个有利的实施例中，医疗设备控制器被配置为与至少第一和第二消费者电子设备通信。该方法还包括在医疗设备的至少一个日志中，在医疗设备的至少一个日志中，在所述第一消费者电子设备的至少一个日志中以及在所述第二消费者电子设备的至少一个日志中写入日志登录。

在一个有利的实施例中，一旦步骤e)的会话被验证，该方法执行以下步骤：

-从医疗设备控制器向所述消费者电子设备发送指示以显示图像，该图像具有一个或多个用于数据输入的输入字段；和

-在医疗设备控制器中接收由所述消费者电子设备发送的图像或图像的至少一部分的副本，包括用于医疗设备运行的数据输入。

在有利的实施例中，所述图像或所述图像的所述至少一部分包含构成识别码的像素，识别码由医疗设备控制器在接收到图像时读取，以确定在消费者电子设备显示的图像是否与从所述消费者电子设备发送到医疗设备控制器的图像相对应，以检测篡改的或非法入侵的信息传输。

在有利的实施例中，该方法还包括：在医疗设备控制器中接收来自医疗设备的配对参数；在配对运行期间，将这些配对参数与存储在医疗设备控制器的存储器中的配对参数进行比较；在配对运行成功的情况下，则在医疗设备控制器中接收医疗设备的日志登录历史；将医疗设备的日志登录历史与存储在医疗设备控制器存储器中的日志登录历史进行比较；如果医疗设备的日志登录历史与医疗设备控制器的日志登录历史匹配，则验证医疗设备与医疗设备控制器之间的会话，并基于所述数据输入，运行医疗设备。

在有利的实施例中，医疗设备控制器包括日志登录，该日志登录包含用户标识、用户权限以及指示给医疗设备的运行，以便根据用户的个人资料将不同的权限分配给用于运行医疗设备的用户。

在一个有利的实施例中，权限可由执业医师配置。

在一个有利的实施例中，医疗设备控制器包括日志登录，日志登录包含可由执业医师配置的保障参数，以确保用户无法执行某些可能危及生命的后果的功能。保障参数可以防止例如用户输入超出特定范围的用于胰岛素注射的丸剂值。

在一个实施例中，医疗设备控制器被并入或物理连接到医疗设备。

在一个实施例中，医疗设备控制器形成为与医疗设备分开的组件，其中通信模块至少包括用于与医疗设备通信的短距离无线通信能力。

根据本发明的又一方面，本文进一步公开了一种包括医疗设备和医疗设备控制器的医疗设备和安全控制系统的初始化方法。医疗设备控制器包括通信模块，该通信模块包括至少短距离无线通信能力，用于与包括智能电话、个人计算机、智能手表和计算机平板电脑中的任何一个或多个的医疗设备和消费者电子设备进行通信。该医疗设备控制器还包括存储器和处理器。该方法包括：在医疗设备控制器中安装运行系统软件以进行运行；将配对参数存储在医疗设备控制器的存储器中创建的配对日志中；以及存储关于执业医师的日志登录，执业医师将负责创建将消费者电子设备与医药设备控制器连接的进一步的日志登录。

在一个有利的实施例中，配对参数首先输入到存储在医疗数据服务器中的配对日志中。然后配对日志的副本通过通信网络存储在医疗设备控制器的存储器中。

在一个有利的实施例中，将用户添加到医疗设备控制器并为用户分配特定的权限，以执行用户可以用其消费者电子设备执行的特定动作，需要以下步骤：执业医师使用电子界面，例如计算机，以打开与医疗数据服务器的会话并在用户日志中选择要添加到医疗设备控制器中的用户；通过通信网络在医疗设备控制器和医疗数据服务器之间执行配对运行，在此期间，比较配对参数以识别医疗设备控制器；用户在其消费者电子设备上下载软件应用程序，并使用其相机拍摄在医疗设备控制器上的识别码，该识别码例如可以是二维码的形式；识别码由执业医师输入电子界面并发送到医疗数据服务器；执业医师在存储在医疗数据服务器中的用户日志中输入一个或多个日志登录，以为用户分配用户用其消费者电子设备执行特定动作的不同的权限；用户日志的副本通过通信网络存储在医疗设备控制器的存储器中。

根据权利要求书以及以下详细描述和附图，本发明的其他目的和有利方面将变得显而易见。

附图说明

图1是描绘使用胰岛素泵的I型糖尿病患者的主要缺陷的图。

图2是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图3是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图4是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图5是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图6是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图7是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图8是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图9是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图10是根据本发明的实施例的医疗设备和安全控制系统的示意图。

图11是根据本发明的实施例的医疗设备和安全控制系统的示意图；以及

图12是医疗设备和安全控制系统的医疗设备控制器的元件的基本框图。

图13是用于验证用于医疗设备控制器和消费者电子设备之间的数据交换的会话(session)的流程图，以及

图14是医疗设备控制器和消费者电子设备之间的配对运行以及存储在医疗设备控制器中的日志的示例的示意图。

具体实施方式

参照图2和图3，医疗设备和安全控制系统1包括医疗设备2和医疗设备控制器4。

根据本发明的一方面，医疗设备2为便携手持式或可穿戴式药物输送装置的形式，尤其是用于向需要其的患者给药液体药物的药物输送装置的形式。在本发明的一个实施例中，液体药物是或包括用于治疗糖尿病的胰岛素。

在一个实施例中，医疗设备控制器4是与医疗设备分开的单元，并且被配置为以无线方式与医疗设备2通信，并且可以由患者携带，例如在患者的衣服的口袋中或连接至皮带或衣服的其他物件。医疗设备控制器4被配置为携带在医疗设备2附近，通常携带在佩戴医疗设备的患者身上或在几米内(例如，长达10m)以通过标准短距离通信协议(例如，蓝牙)实现医疗设备2和医疗设备控制器4之间的短距离通信。如图12所示，医疗设备控制器4包括：存储器14，其存储计算机程序、一个或多个日志16；以及通信模块17，该通信模块17包括至少在医疗设备控制器4和消费者电子设备12(包括智能手机、个人计算机、智能手表和平板电脑中的任何一个或多个)之间交换日志登录的短距离无线通信能力。

在一个实施例中，医疗设备控制器4直接集成在医疗设备2中，并且包括通信模块17，该通信模块17包括在医疗设备控制器4与上述一个或多个消费者电子设备之间交换日志登录的短距离无线通信能力。可以通过电线在医疗设备控制器4和医疗设备2之间实现交换日志登录的通信，以进行医疗设备的运行。

根据不同的实施例，医疗设备和安全控制系统1可以具有多种配置，例如如图4和8所示，从而可以由一名执业医师通过远程医疗来管理几个患者的状况，或者如图5和9所示，患者可以仅使用医疗设备2、医疗设备控制器及其消费者电子设备进行胰岛素注射。取决于医疗设备和安全控制系统1的配置，外部电子设备可以包括例如患者的消费者电子设备12a(以下也称为患者的电子设备)、医生的消费者电子设备12b(以下也称为医生的患者电子设备)、患者朋友或家人的消费者电子设备12c中的任何一个或多个，医疗设备2以及医疗数据服务器6。

参照图12，医疗设备控制器4还包括配置为执行计算机程序的处理单元15、通信模块17以及限制性用户界面18。限制性用户界面18可以简单地包括指示医疗设备控制器4的状态的灯或者指示一些重要状态指示的简单屏幕，例如开/关状态、电池充电状态以及通信状态，特别是医疗设备控制器4是否与药物输送装置或与外部装置建立了的通信连接。该通信连接可以例如是经由诸如蓝牙的短距离连接或经由物联网(IOT)通信的互联网连接。

然而，医疗设备控制器4不需要如在诸如智能电话或个人计算机之类的消费者电子设备上发现的屏幕形式的图形用户界面。医疗设备控制器4用于建立与药物输送设备2以及与外部设备的安全通信，并确保外部设备与药物输送设备之间的安全通信。

医疗设备控制器4还被配置为基于来自患者或被授权向医疗设备2的输入指示的另一人的输入来控制药物输送设备的运行。可以与药物输送设备交互作用的人员包括患者、医疗保健专业人员，尤其是执业医师或护士，在某些情况下还包括非专业看护者。授权用户可以指示的运行或授权用户可以访问的信息取决于授予用户的权限，这些权限由用户类型、角色和与之相关的权限定义，该权限存储在医疗设备控制器的用户的存储器中，尤其是在用户日志中。

医疗设备2的控制以及对医疗设备2中信息的访问可以仅通过医疗设备控制器4执行或与医疗设备控制器4结合执行。

在本发明的范围内，医疗设备2可以经由其控制系统的通信模块直接接收某些限制性指示，这种情况包括特别是例如需要关闭医疗设备的紧急情况。

医疗设备2和医疗设备控制器4是安全设备，因为其中包含的硬件和软件包括专用的应用程序特定组件(application specific components)和模块，这些组件和模块是在专门针对药物给药目的受控制造，并且考虑到响应于医疗设备所需标准的法规要求。对于诸如胰岛素输送系统之类的医疗设备，该软件应满足C类标准。而且，这些设备的运行系统(operating system)是特定于应用程序的，并且与消费者电子设备相比，可能的运行范围受到限制，因此，制造商可以轻松地将其配置为对外部非法入侵或篡改活动(spoofingevents)具有很强的抵抗力。

医疗设备控制器4通过其通信模块17配置为与非应用程序特定的医疗设备的外部设备12通信，该外部医疗设备可以包括个人计算设备，诸如智能电话、便携式计算机、计算机平板电脑或其他包括允许用户查看信息并将信息输入到个人计算设备中的图形用户界面的消费者电子设备等。通常，已被随身携带并被人们广泛使用的设备是智能手机，其具有屏幕形式的用户界面，特别是用户可以在其中查看和输入信息和指示的触摸屏。

在消费者电子设备中安装了允许与医疗设备控制器4通信的软件应用程序。根据配置,可以从服务器通过互联网下载软件应用程序，或者从医疗设备控制器4下载软件应用程序。有利地，该应用程序被配置为当在其(消费者电子设备12)上安装软件应用程序时将图像目录的数据存储在消费者电子设备12的存储器中。图像可以代表根据从医疗设备控制器4接收到的指示待在消费者电子设备的屏幕上显示的不同的用户界面模板或消息，以便提供允许待输入参数的数据输入字段(entry fields)。一旦执行了配对运行，其中医疗设备控制器4和外部设备之间建立了加密的通信通道，医疗设备控制器4就可以与外部设备通信。当个人计算设备在医疗设备控制器4附近时，通信通道可以经由诸如蓝牙的短距离通信协议，或者通信通道可以经由互联网(例如经由物联网(IOT)网络)建立到远程计算设备，例如医师的计算设备12b或专业或医疗保健机构的医疗数据服务器6。安装在患者电子设备12a上的软件应用程序使患者能够使用例如自己的智能手机控制医疗设备2并访问信息，例如药物输送历史或传感器测量值(例如，血糖测量值，如果药物输送设备包括血糖传感器)或具体取决于医疗设备的类型的其他传感器信息。

在消费者电子设备中实施的硬件和软件不响应医疗设备的安全要求的意义上，消费者电子设备12被视为非安全设备。

然而，根据本发明，消费者电子设备与医疗设备控制器4和医疗设备2一起形成由医疗设备控制器4控制的安全系统。医疗设备控制器4配置为一方面通过委派较低安全级别的任务，另一方面，通过加密通信，将任务以使他们安全的方式委派给外部设备12或可能被视为本身不安全的其他设备。

需要高安全级别的任务由医疗设备控制器4管理。这些任务可以是例如：运行医疗设备2所必须的数据的管理；从输入值(葡萄糖值、医生定义的剂量限制、泵参数)确定输出值(胰岛素剂量)的计算(软件算法)；警报管理，包括警报设置标准、警报传输、警报确认；所有需要用户输入以开始临床活动的步骤：验证用户角色和配对、提供信息、要求信息、请求确认、请求其他用户确认；以及数据传输的管理、完整性控制、数据传输的确认。

医疗设备控制器4特别地被配置为将消费者电子设备12的角色分配至伤害风险方面的低级别影响(concern)功能，以便符合用于医疗设备软件的国际标准IEC 62304的A或B类的软件要求。每个消费者电子设备12的角色主要限于以下功能：用于数据输入的用户界面；数据加密和数据传输；在每个消费者电子设备12的存储器中存储的日志中的日志登录的管理。医疗设备控制器4可以进一步包含存储在存储器中的阈值，该阈值用于限制可以针对医疗设备的运行执行和指示的运行范围。例如，可以存储丸剂胰岛素的最大值，这样超过阈值的任何剂量指示将被限制至阈值，或者将警告发送给患者。

在一个实施例中，安全通信的一个特征包括将存储在医疗设备控制器中的日志传输到与医疗设备控制器4配对的外部设备12。与医疗设备控制器4进行通信的每个外部设备包括日志的副本。因此，以每个选定的步骤或以规则的间隔可以通过医疗设备控制器4来验证日志的运行历史和完整性。

根据本发明的实施例，可以按下述执行患者使用例如他的智能手机向医疗设备2输入指示。首先需要将患者的电子设备12a与医疗设备控制器4配对。在一个实施例中，医疗设备控制器4有利地管理加密密钥并将其存储在其存储器中，以用于配对设备之间的安全通信。考虑到对医疗设备控制器应用程序及其应用程序特定的软件和硬件的限制性访问，这允许在不访问安全服务器的情况下实现配对，并增强了安全性。在通过安全的(加密的)短距离通信(例如加密的蓝牙通信)将患者的电子设备12与医疗设备控制器4配对之后，患者电子设备上的软件应用程序将请求发送到医疗设备控制器4。

医疗设备控制器4将导航菜单发送到患者的电子设备12，以在其屏幕上显示导航菜单。导航菜单可以提供允许患者输入用于药物输送设备的值或运行指示的数据输入字段。这些运行指示可以例如构成注射胰岛素丸剂给药的指示。

患者在其智能手机12a上输入的指示的屏幕拍摄(screen capture)将传输到医疗设备控制器4。或者，可以将包含相关信息的屏幕的一部分传输到医疗设备控制器4。

由医疗设备控制器4作为图像发送给患者的电子设备12a的初始导航菜单还可包括构成识别码的像素，以确保从患者的电子设备12a返回到医疗设备控制器4的图像对应于患者电子设备12a接收的导航菜单图像。鉴于传输到医疗设备控制器4的屏幕拍摄以及图像中包含的识别或控制像素，可以检测到篡改的或非法入侵的信息传输。

医疗设备控制器4还可以包括存储在其存储器中的参数，依据用户的类型以及存储在日志中的相关角色和权限，这些参数确定其可以从外部设备12接受的指示范围和数量。医疗设备控制器可以进一步包括药物给药的阈值，例如可以一次或在一定时间段内注射的胰岛素量可以被限制为某个值，该值将否决(override)超出该阈值的任何指示。这样的阈值为患者的安全性设置了药物可能剂量的极限(limit)。

有利地，患者可以输入用于控制医疗装置2的指示，或者输入指示以访问诸如在一定时期内的给药历史的信息，而不会损害医疗装置系统的安全性和保险。授权的医生和其他医疗保健专业人员可以通过医疗设备控制器4访问有关医疗设备使用情况的信息，以验证治疗依从性，或者根据赋予特定医生的角色，为特定患者设置治疗方案的值。

还可以通过安全加密通信将存储在医疗设备控制器4上的数据发送到安全服务器，例如医院或医疗保健从业者的医疗数据服务器6，从而例如将治疗历史存储在远程安全服务器上并且可以由医疗保健专业人员访问。安全医疗数据服务器6还可以将信息(例如新的治疗方案)或有关用户角色和权限的日志信息上传到医疗设备控制器4，其中包括应该访问医疗设备2的新执业医师的更新。

导致日志破坏的消费者电子设备12a、12b、12c中的日志中的临床参数值的破坏，可能代表安全风险。但是，一旦损坏的电子设备与医疗设备控制器4配对，医疗设备控制器就会将医疗设备控制器4中的日志与电子设备中相应日志的内容比较，如果内容，特别是所述日志的日志登录历史不匹配，后者会生成警报。

在一个实施例中，在消费者电子设备的损坏的日志不能被医疗设备控制器4验证的情况下，医疗数据服务器保存有存储在医疗设备控制器中的日志的安全有效的副本。因此，当医疗设备控制器4不可用时，可以利用存储在医疗数据服务器6中的日志来完成对存储在消费者电子设备中的日志的完整性的验证。医疗数据服务器6和医疗设备控制器4之间的通信可以例如通过GSM、4G、LTE或IOT通信网络直接通信或通过连接到医疗设备控制器的消费者电子设备12间接通信来实现。

来自安全医疗数据服务器6和医疗设备控制器4的信息还可用于向患者提供信息和警报，例如宣布需要进行医疗访问。这样的信息还可以包括用于更新或订购新药物容器单元(container unit)的信息。

医疗设备控制器可以进一步与医疗设备组件(例如药物容器、输液器、分析物传感器和其他形成药物输送系统的外围组件)配对并建立通信。这些医疗组件中的一些可以是安全组件，而一些可以是非安全组件，非安全组件和安全组件之间的安全连接原理与上述相同。

医疗设备控制器4的计算机程序被设计成尤其执行以下任务：将指示传输到安装在消费者电子设备上的软件应用程序，以便从存储在消费者电子设备的存储器中的图像目录、用于输入数据的适当用户界面模板的图像，或包含要在消费者电子设备上显示的特定消息的图像上传；检查和验证通过消费者电子设备的用户界面输入的参数；执行用于数据计算和数据转换的算法；数据加密和数据传输到消费者电子设备以及医疗设备和安全控制系统1的医疗设备2；验证与医疗设备控制器4通信的每个消费者电子设备的完整性以及医疗设备的完整性；以及在消费者电子设备12a、12b、12c、医疗设备控制器4和医疗设备2的存储器中存储的日志中的日志登录的管理。

该计算机程序被配置为检索包含在作为存储器14中的文件存储在医疗设备控制器4的日志中的参数，并基于这些参数执行不同的命令。日志还确保与药物输送设备和与消费者电子设备的安全通信。

在图5所示的实施例中，医疗设备2包括泵单元20、包含要给药药物的药物单元22，剂量(dosing)单元或输液器24。泵单元20包括泵驱动器、控制系统和例如电池形式的电源。泵单元的控制系统包括处理器、用于至少与医疗设备控制器4通信的通信模块，以及用于存储数据的存储器，该数据包括至少包含与药物输送设备的控制有关的信息的日志。在一个实施例中，泵单元可以是可重复使用(多次使用)部件(part)的形式。药物单元22连接至泵单元，并且可以是一次性的或消耗品(consumable)部件，在其中所含的药物被消耗或在一定时间间隔之后，可以替换新的药物单元连接至泵单元20。

在优选实施例中，药物单元22包括安装在支撑件上的药物容器，该支撑件可以有利地设置有用于安装在患者皮肤上的粘合表面。药物容器单元可以进一步包括带有用于皮下药物给药的套管的针头注射系统。然而，根据本发明的实施例的药物输送装置可以具有其他配置。在第一变型中，泵单元和药物容器单元可以形成单个一次性单元。在另一种变型中，具有经皮针头的单独的贴片单元可以通过柔性管连接到与泵单元连接的药物容器。在本发明范围内的其他药物输送装置配置可以与各种医疗组件外围设备结合使用。药物输送设备可以进一步包括一个或多个用于监测正在治疗的疾病或状态方面的传感器，例如血液分析物传感器，例如用于糖尿病治疗的血糖传感器，血压和心率传感器，温度传感器等。

泵单元控制系统的通信模块包括无线通信收发器，该无线通信收发器至少包括根据标准协议的短距离无线通信收发器，例如用于与药物输送设备附近的设备(特别是医疗设备控制器4)进行本地通信的蓝牙，并且还可以包括用于中距离通信(例如WiFi)和可选的长距离通信(例如GSM或其他蜂窝电话通信技术)的其他通信收发器。

安装到患者皮肤上具有连接到一次性药物单元的可重复使用的泵单元的药物输送设备在本领域中通常本身是已知的。在常规系统中，此类单元通常在可重复使用的部件上进行直接控制，或者由单独的控制器控制，该单独的控制器包括带有用于患者输入数据和向患者显示数据的屏幕的图形用户界面。

从以上描述显而易见，本发明的有利特征在于日志。两个设备之间的数据传输最好采用日志登录交换的形式，以便执行特定的命令。日志还可用于执行多种功能，例如验证尝试连接到医疗设备控制器4的每个设备的完整性，或经由其消费者电子设备12向连接医疗设备控制器4的每个用户分配不同的权限，例如在医生预设的范围内选择新的胰岛素丸剂注射的权限。

日志登录包含根据任何特定应用运行医疗设备所需的所有数据。使用日志登录中的数据与存储在变量中的数据相比，区别在于日志登录保留了数据修改的可追溯性：年份、时间以及地理位置信息、用户身份和消费者电子设备12需要的数据修改。使用日志而不是变量有几个优点：

1.数据修改可以作为待处理的请求放入日志中，并且当特定活动所需的可从其他来源(用户、数据服务器、外围设备、消费者电子设备)获得的所有数据均可用时，可以稍后对数据修改进行处理和验证。例如，用户可以开始配对第二消费者电子设备12的过程。一旦医生编写了日志登录，其验证与第二消费者电子设备的配对相对应的新日志登录日志登录，则该新日志登录将被验证。

2.日志登录允许管理连接到一个医疗设备控制器4的多个消费者电子设备12或连接到一个消费者电子设备12的多个医疗设备控制器，因为有可能定义管理策略和规则，例如通知消费者电子设备12a，消费者电子设备12b已经请求数据修改，并且在验证新数据之前请求用户的额外确认。

3.日志登录允许每个消费者设备12脱机工作，即既不连接到医疗设备控制器4也不连接到数据服务器。这对例如允许用户查看数据的历史(葡萄糖水平、胰岛素剂量)以及引入新的数据(食物消耗，体育活动)很有用。如果基于这些数据做出决定，则当消费者电子设备12与医疗设备控制器4连接时，将比较日志，并且可以通知用户消费者电子设备12中的日志已过时或损坏。医疗设备控制器4可以要求用户确认要考虑离线引入的新数据，并将其作为日志登录输入到医疗设备控制器的日志中。

4.日志的内容可用于根据数据的历史来验证用户决策以检测异常值，例如，比平时更高的丸剂请求，同时考虑到其他日志中的历史值，例如葡萄糖值、胰岛素剂量、时间、位置。如果检测到异常值，则在验证日志登录并对其进行处理之前，将要求用户额外确认。

根据医疗设备控制器4与医疗设备和安全控制系统1的任何其他设备之间交换的数据类型来创建不同的日志，以便简化日志的管理。在两个设备之间交换的所有数据都以交换日志登录的形式出现。对于对应于特定运行的每个数据传输：i)在任何消费者电子设备12和医疗设备控制器4之间；ii)一个消费者电子设备与另一消费者电子设备之间，或iii)医疗设备控制器4与医疗设备2之间，日志登录被写入发生特定运行的数据传输的两个设备的相应日志中。因此，两个设备的相应日志包括以与该特定运行相对应的以一列值的形式的相同的日志登录。日志登录包括与在其中写入日志登录的日志相对应的标题。标题之后是日志登录参数的列表，该日志登录参数与根据上述配置i)，ii)或iii)在两个设备之间交换的数据有关。两个设备之间的特定运行会触发这两个设备之间的日志登录交换，以便更新其各自的日志。在两个设备之间交换日志登录意味着将一个或多个日志登录的内容放置在使用标准协议(例如安全外壳(SSH))加密的文件中，并通过添加到文件的HASH值来保护文件的完整性。

下面以日志登录的格式为例。

日志登录标题：

活动类型：指示日志类型的参考值。

日志登录ID：随着每个事务(transaction)递增

时间：事务时间,包括时区变更管理的时区信息。

地理位置本地化：为日志登录的验证添加安全级别

RX_ID：接收方的ID

TX_ID：发送方的ID

Target_ID：最终接收方的ID，用于例如来自医疗设备控制器通过消费者产品的通信通道向数据服务器转发日志登录。

验证ID：由医疗设备控制器在每个输入验证后增加

下文中提供了存储在医疗设备控制器4、消费者电子设备12以及医疗设备2中的日志的非限制性示例。

配对日志

配对日志包含用于将医疗设备控制器4与任何消费者电子设备12a、12b、12c、医疗设备2和医疗数据服务器6连接，以确保医疗设备和安全控制系统的第一级别安全连接的参数。两个消费者电子设备也可以配对在一起，例如患者的智能手机12a与医生的智能手机12b或朋友的智能手机12c。

配对日志可以包含以下一个或多个参数：组件类型(例如，智能手机、计算机、贴片泵、医疗数据服务器、医疗设备控制器)、医疗设备控制器ID、配对ID、用户ID、序列号、唯一设备标识符(Unique Device Identifier，UDI)、设备标识符：国际移动设备标志(International Mobile Equipment Identity，IMEI)，SIM卡标识符：国际移动用户标志(International Mobile Subscriber Identity，IMSI)、安全外壳(SSH)私人和公用密钥、密码、媒体访问控制地址(MAC地址)。在两个设备之间的配对运行期间，配对参数在这两个设备之间交换作为存储在每个配对设备中的配对日志中的日志登录，并进行比较以进行识别。

根据所需的安全级别，可以在医疗设备和安全控制系统中涉及的多个设备之间应用不同的配对配置。

用户日志

用户日志包含添加到医疗设备和安全控制系统的所有用户的参数。每个用户日志可以包含以下一个或多个参数：用户ID、名称、电话、邮件、密码、GPS坐标、有效/无效，每种日志的用户权限以及警报设置。

会话(session)日志

会话可以被定义为医疗设备控制器4与消费者电子设备12、医疗设备2和医疗数据服务器6中的任何一个之间的通信过程的初始化。通过使用密码初始化通讯、交换密钥和验证配对参数，打开会话。会话日志包含与会话状态相关的参数，例如：会话打开、会话有效/无效和会话关闭。

保障参数日志/医生临床参数日志

保障参数日志(医生临床参数日志)包含医生设置的保障参数，以确保用户无法执行某些可能危及生命的后果的功能。例如，保障参数可以防止用户输入超出特定范围的用于胰岛素注射的丸剂值。保障参数日志可能包含以下一个或多个参数：目标血糖、高血糖警报级别、低血糖警报级别、最大基础流量和最大丸剂值。

患者临床参数日志

患者临床参数日志包含患者设置的临床参数，例如基础曲线(时间窗口+流速)、基础流速增加、丸剂流速、丸剂体积增加和低胰岛素水平警报。

组件日志

组件日志包含有关医疗设备和安全控制系统中所有设备的信息，例如设备ID、设备类型、设备序列号、设备硬件版本和设备软件版本。

消耗品(consumable)日志

消耗品日志可以包含例如从二维码，RFID标签和批号获得的值，并且还可以包含诸如消耗品类型、消耗品批号或批次以及消耗品有效期之类的参数。

警报日志

警报日志包含可由用户配置的警报设置，并且可能包含以下参数：警报类型：低胰岛素、电池电量低、无药筒、医疗设备堵塞、警报发送方式：短信、电子邮件、图像。

图像日志

图像日志包含用于指示安装在任何消费者电子设备12中的软件应用程序从存储在其存储器中的图像目录上传的参数，用于数据输入的适当用户界面模板的图像或包含在消费者电子设备12上显示的特定消息的图像。

上面列出的每种类型的日志都存储在作为医疗设备和安全控制系统1一部分的每个设备的存储器中，尤其是在一个或多个消费者电子设备12的存储器中、在医疗设备控制器4的存储器中、在医疗设备2的存储器中以及在医疗数据服务器6的存储器中。

日志用于将来自医疗设备控制器4的指示提供给与其通信的所有设备，并将第二安全级别添加到通过如上所述的配对运行实现的第一安全级别。该第二安全级别由医疗设备控制器4执行，该医疗设备控制器4控制试图与医疗设备控制器4连接以尝试控制特定运行的任何外部设备的存储器中存储的所有日志的日志登录历史(例如丸剂注射)是否与其所有日志的日志登录历史相符。如果外部设备的所有日志的日志登录历史与医疗设备控制器4的所有日志的日志登录历史不符，则医疗设备控制器4拒绝尝试与其连接的任何外部电子设备的登录会话。如果这两个日志历史都匹配，则医疗设备控制器4允许与外部设备(例如，诸如智能电话之类的消费者电子设备)的登录会话，并更新它们各自的日志以添加登录会话输入。

一个或多个日志可以连接到其他日志以进行某些运行。例如，对于两个设备之间的配对运行，可以使用配对日志与组件日志关联，以检索在配对运行期间可以使用的组件类型的更多特定信息。

通过使用和修改日志中保存的信息来处理与针对特定应用程序运行医疗设备有关的所有指示。在日志中添加新日志登录的策略取决于所处理后指示所涉及的安全级别。该策略基于两个要求：

1.为每个用户提供的用户角色，定义了该用户可以执行哪些活动，以及

2.“信任循环”定义了执行一项活动必须涉及多少用户。因为每个用户使用的设备都包含日志的副本，所以“信任循环”定义了针对特定活动必须修改的日志数量。由于可以在它们之间比较所有日志，因此创建了比较的“循环”，即“信任循环”。所涉及的日志越多，活动的控制就越安全，因为要输入执行此活动所需的日志登录，就必须访问特定活动所涉及的所有设备的日志。

医疗设备控制器4始终维护包含管理医疗申请过程所需的所有信息的日志，然后医疗设备控制器4还负责验证特定“信任循环”所需的所有日志是相同。

为了改善“信任循环”，还可能向用户提供仅具有维护日志的副本和提供通信手段的功能的医疗设备控制器4。然后，必须存在此设备才能实现“信任循环”。可以将这种设备提供给负责患者的医生，提供给确保如果将多个护士被定义为用户一次只能由一个输入日志登录的护士，提供给允许远程输入可以认作为关键任务日志登录的用户。

为了开始两个配对设备之间的会话，需要了解医疗设备和安全控制系统的每个设备的日志历史，包括一个或多个不参与这两个配对设备之间的会话，但由于过去在不同时间在一个或多个额外设备(extra devices)与一个或两个配对设备之间发生过登录会话，而存在于两个配对设备的其中一个或两者日志中的日志历史。如果在没有医疗设备控制器4的情况下在两个配对的设备之间交换日志登录以进行与特定运行相对应的数据传输，则后者可以根据上述定义的“信任循环”要求访问两个配对设备的每个日志以验证该日志登录。仅当满足这些要求时，医疗设备控制器4才会验证日志登录，并在日志登录的标题中写入确认日志登录已被验证。

尚未通过医疗设备控制器4验证的日志登录被视为待处理输入。如果两个配对设备的两个日志不匹配，则医疗设备控制器4可能会向“信任循环“”中涉及的用户请求输入缺少的日志登录，并且可能需要这些用户的追认。当满足“信任循环”所需的所有条件时，日志登录将被验证，并且相关信息可用于根据特定应用程序运行医疗设备。

医疗设备控制器4可以通过在医疗数据服务器6中存档与该医疗设备的运行无关的日志登录来释放其存储器，并且可以指示该医疗设备和安全控制系统1的其他设备进行相同运行。

会话依据日志内容，保护医疗设备和安全控制系统。如果例如患者电子设备12a(例如，智能电话)被盗，则患者可以从医疗设备控制器4和医疗设备2得到警报。然后，患者可以使用紧急模式连接到医疗设备控制器。此过程将在会话日志中添加新输入。连接被盗的智能手机将无法工作，因为被盗的智能手机中的日志将无法与医疗设备控制器的日志匹配。要恢复智能手机，必须创建一个涉及第三方信任设备的“信任循环”，例如家庭用户智能手机，以紧急模式连接的智能手机或医疗数据服务器。在通信过程中复制被盗的日志登录并将其引入通信中以强制执行不必要的运行将不起作用，因为每个日志登录都不同，这取决于日志登录的历史。更改用户输入的值也不起作用，因为与特定运行相对应的日志登录包含来自先前日志登录的信息。用户输入值之前的一个和带有用户输入值的一个，这两个输入必须匹配在一起。

医疗设备控制器的初始化

一旦在制造商现场完成了医疗设备控制器4的硬件制造，就可以将运行系统软件安装在医疗设备控制器4中以进行运行。空文件被下载到医疗设备控制器4的存储器14中，用于创建不同的日志。日志登录将在医疗设备控制器4的生命周期内以递增的方式写入相应的日志中。

可以将如上所述的包含配对参数的两个相同的配对日志存储在医疗设备控制器4的存储器中以及制造商现场的医疗数据服务器6中。在一个实施例中，配对参数输入到存储在医疗数据服务器6中的配对日志中。然后，医疗设备控制器4通过通信网络(例如，物联网(IOT)通信网络)连接到医疗数据服务器6，并且配对日志的副本存储在医疗设备控制器4的存储器中。在关于将负责创建将患者电子设备12a与医疗设备控制器4关联的进一步日志登录的执业医师(医师)的日志登录也将在医疗数据服务器6和医疗设备控制器4的相应日志中输入。

在医师已经在他的计算机12b中输入了在制造商现场获得的密码以便添加新的消费者电子设备之后，医生可以通过例如htpps协议访问存储在医疗数据服务器6中的日志以进行安全通信。

由执业医师(医师)添加用户

从安全的角度来看，在医疗设备和安全控制系统中增加患者是一个关键过程。“信任循环”涉及医生、患者、医疗数据服务器6、医疗设备控制器4和相关的日志。为了增加患者以允许他运行医疗设备2，例如，通过他的智能手机，医师可以打开与医疗数据服务器6的会话，并在用户日志中选择要添加到医疗设备和安全的控制系统1中的用户。然后在医疗设备控制器4和医疗数据服务器6之间通过例如IOT通信网络之间执行配对运行，在此期间，比较配对参数以识别医疗设备控制器4。然后，医疗控制器更新其日志和医疗数据服务器6的日志。患者在他的智能手机上下载软件应用程序，并使用智能手机的相机在医疗设备控制器4上拍摄识别码，该识别码例如可以是二维码的形式。然后由医生在他的计算机12b上输入识别码，并将其发送到医疗数据服务器6。然后，医生将能够在存储在医疗数据服务器6中的用户日志登录中输入日志登录，并为用户分配患者可以使用其智能手机12执行的特定动作的不同权限。然后，医疗设备控制器4通过通信网络在其存储器中复制用户权限参数。

根据数个实施例的医疗设备和安全控制系统可以在各种情况下使用，这从下面的非限制性示例的描述中将显而易见，如图5至11所示。考虑到已经讨论了用于在医疗设备的设备和安全控制系统的设备之间交换数据以及用于与医疗设备控制器4通信的每个外部设备的完整性验证的日志登录的概念，出于简洁的原因，下面的示例将不再描述在每个运行的每个设备的相应日志中的日志登录。

实例1：病人设置新的丸剂

参照图5，患者可能需要以新的剂量丸剂注射胰岛素，并且可能希望通过他的消费者电子设备12a(例如可以是计算机)设置新的丸剂值。为此，医疗设备控制器4和计算机12a通过蓝牙相互通信。计算机12a包括软件应用程序，该软件应用程序已在其安装过程中下载了图像目录至其存储器中。图像目录包括用户界面模板，该模板具有一个或多个用于用户输入的数据输入字段以及包含不同消息(例如指示)的图像。用户可以经由软件应用程序请求与医疗设备控制器4的登录会话。存储在他的计算机中的日志包括他的医师先前输入的日志登录，以便向连接医疗设备控制器4的用户分配不同的权限，例如在医生预设的范围内选择用于胰岛素注射的新的丸剂值的权限。在成功配对之后，医疗设备控制器4向计算机12发送指示，以从其存储器上传用户界面模板，以在带有用于密码输入的数据输入字段的计算机屏幕上显示。用户输入密码，并且当密码输入后，计算机录制至少一部分计算机上显示的图像。如果基于图像中包含的识别或控制像素未检测到完整性破坏，则打开会话。在识别之后，医疗设备控制器4将新的导航菜单传输到计算机12，其中用户可以选择丸剂菜单。然后可以将丸剂菜单的屏幕录制发送到医疗设备控制器4，该医疗设备控制器4在其存储器中检查用户角色及其与该特定活动相对应的相关权限。然后，医疗设备控制器4控制该丸剂值是否在医生设定的允许范围内，并将新值发送给药物输送设备2(例如贴片泵)。医疗设备控制器在其存储器中存储并管理用于与药物输送设备安全通信的加密密钥。

在医疗设备控制器4与计算机12之间以及在药物输送设备2与医疗设备控制器4之间发生所有通信交换期间，创建日志登录以确保在所有设备之间发生所谓的“信任循环”，并保持整个注射过程的可追溯性。

实例2：配对新用户

参照图6，在示例性情况下，糖尿病患者可能希望将“候补”的朋友添加为具有一定权限的新用户。添加新用户必须由医生完成，医生必须“相信”朋友管理糖尿病状态和胰岛素泵的能力。为此，医师通过通信系统(例如https协议通信)在其消费者电子设备12(例如计算机)和医疗数据服务器6之间建立“安全设备配对”。医师可以通过医疗数据服务器6请求登录会话。医生选择患者并请求添加用户。在配对运行之后，医疗数据服务器6通过例如IOT通信网络打开与医疗设备控制器4的会话。然后，医疗设备控制器4与患者电子设备12a(例如，智能电话)配对，并向其发送指示以打开会话。然后，医疗设备控制器4向患者电子设备12a发送指示，以在其屏幕上显示患者识别用户界面。一旦识别了患者身份，医疗设备控制器4就会向医生的计算机12b发送请求以进行身份验证。可以使用安全代码来验证医疗设备控制器4与患者电子设备12a之间的连接。为此，医师从他的计算机12b获取会话安全代码。医生在他的计算机上输入安全代码，以便连接医疗数据服务器6并填写新的用户表格。医疗设备控制器向患者电子设备12a发送指示，以将例如二维码的代码发送给朋友电子设备12c。朋友打开会话并完成用户/配对参数，这些参数将传输到医疗设备控制器。医疗设备控制器更新朋友计算设备的日志，确认输入(entry)并关闭会话。

实例3：患者更换消耗品

参考图7，患者可能需要为胰岛素注射更换消耗品。目的是保持所用消耗品的可追溯性，保持将消耗品与《临床日志》进行比较，持续确认有效期。患者可能会使用不同的可能性来记录消耗品数据：剂量单元–近场通讯(Near Field Communication，NFC)；胰岛素药筒–二维码；输液器–批号输入。

患者可以在他的消费者电子设备12a上打开软件应用程序以打开会话。患者可以使用例如智能手机、平板电脑、智能手表或计算机作为消费者电子设备12a，该消费者电子设备12a与使用例如在“配对日志”部分下讨论的一些配对参数的医疗设备控制器4配对。医疗设备控制器4可以向患者电子设备发送指示以在其屏幕上显示用于密码输入的图像输入密码。在一个实施例中，软件应用程序可以拍照例如带有输入密码的图像，并且可以将该图像发送到医疗设备控制器。在另一个实施例中，软件应用可以使用仅拍照带有输入密码的图像的一部分，并且可以将该图像的该部分发送给医疗设备控制器。

医疗设备控制器可以向患者电子设备发送指示以打开会话。例如，医疗设备控制器4可以向患者电子设备12a发送指示，以在其屏幕上显示带有诸如“空药筒”之类的指示的图像(存储在患者计算设备的存储器中图像的相关数据)。患者可以选择菜单，例如“更换药筒”。患者电子设备可以将相关信息发送给医疗设备控制器4，该医疗设备控制器4作为响应可以向患者电子设备发送指示，以在其屏幕上显示带有拆卸贴片泵的指示的图像。然后，患者可以拆卸贴片泵，并可以在其电子设备上选择一个活动，例如“下一步”，以便患者电子设备12a可以将相关信息发送给医疗设备控制器4，该医疗设备控制器4可以作为响应向医疗设备控制器4发送指示，以在其屏幕上显示带有例如“输入输液器批号”指示的图像，以及可选菜单“下一步”、“信息”、“取消”。患者可以输入批号，然后可以选择“下一步”。患者电子设备12a可以将相关信息发送给医疗设备控制器4，该医疗设备控制器4作为响应可以向患者电子设备发送指示，以在其屏幕上显示带有“扫描剂量单元”和可选菜单等指示的图像：“扫描”、“信息”和“取消”。

然后，软件应用程序可以激活患者电子设备的NFC功能以从剂量单元读取NFC标签，并且相关数据由患者电子设备传输至医疗设备控制器4。接收到这些数据后，医疗设备控制器可以向患者电子设备发送指示，以在其屏幕上显示带有指示的图像，例如“读取胰岛素药筒的二维码”和可选菜单：“扫描”、“信息”和“取消”。该软件应用程序可以激活相机以从胰岛素药筒读取二维码数据。患者电子设备将相关数据发送到医疗设备控制器4。然后，医疗设备控制器4向患者电子设备发送指示，以在其屏幕上显示带有指示的图像，例如：“请将带有新的消耗品的贴片泵连接到皮肤上：和可选菜单：“完成”、“信息”以及“取消”(存储在患者计算设备的存储器中的图像的相关数据)。患者可以选择菜单“信息”。患者电子设备可以显示简短教学片。患者可以根据说明安装贴片泵2，并可以选择菜单“完成”。然后，医疗设备控制器4可以开始与贴片泵的会话。医疗设备控制器可以向患者电子设备发送指示，以在其屏幕上显示带有指示的图像，例如：“开始充填注射”和可选菜单“开始”、“信息”和“取消”。患者可以选择菜单“开始”，并且患者电子设备可以将相应的指示发送到医疗设备控制器。医疗设备控制器可以向患者电子设备发送指示，以在其屏幕上显示带有指示的图像，例如：“充填运行，请稍候”和菜单：“取消”。医疗设备控制器可以启动使用贴片泵充填过程，保持充填过程的日志可追溯性，直到过程结束并关闭与贴片泵的会话。然后，医疗设备控制器可以向患者电子设备发送指示，以在其屏幕上显示带有诸如“充填完成，设备准备就绪”的指示的图像以及可选菜单“完成”和“退出”。

然后，医疗设备控制器4可通过配对运行与医疗数据服务器6建立加密连接，并发送保存在医疗数据服务器中的日志副本。然后，执业医师可以使用安全连接通过例如他的计算机12b访问患者的数据。

消耗品的更改同时(In parallel to)，应为泵的可重复使用部分以及医疗设备控制器4充电。从安全的角度来看，特别适合使用通过感应充电(例如QI标准)的无线充电传输(wireless power transfer)来为这些可重复使用的部分充电。

使用无线充电协议的关键优势来自充电器与医疗设备2之间的物理分离。无线充电协议可以避免可能由于物理连接(使用例如USB电缆和连接器为医疗设备控制器4和可以采用药物输送设备的形式的医疗设备2充电)引起的若干问题。例如，这些问题可能是：可能会通过USB电缆损坏医疗设备的不良电源；可能使医疗设备对静电放电敏感的USB连接器；以及难以清洁且可能导致无菌问题的连接器。

可以与医疗设备控制器4和医疗设备2配备的包括QI无线充电器和电缆的附件均符合医疗设备安全要求。Qi无线充电协议将医疗设备与医疗设备和安全控制系统同调(conherent with)的消费者电子设备隔离，从而医疗设备控制器4的软件与消费者电子设备的软件分离。

实例4：护士为残疾患者设置远程注射

参照图8，在示例性情况下，护士可以协助残疾患者进餐。饭后，护士可以为残疾患者设置适当的丸剂。为此，护士将其平板电脑连接到医疗数据服务器6。对于每位残疾患者，她都会查阅患者数据和历史，并设置适当的丸剂。每个患者都会收到包含有关丸剂设置信息的消息。患者可以根据他/她的用户角色/权限来确认丸剂设置。

更具体地，护士在她的电话12c上启动她的应用程序软件以开始会话。医疗数据服务器6向护士手机发送指示以开始会话并显示菜单，从而可以选择不同的患者。护士选择患者，读取患者数据并更新食物信息，并请求基础/丸剂建议。数据被发送到医疗数据服务器6，该医疗数据服务器6通过物联网(IOT)通信网络与医疗设备控制器打开会话。医疗数据服务器6评估来自临床日志、数据食物、葡萄糖水平、临床患者胰岛素剂量和临床医生设置的基础/丸剂建议。医疗数据服务器6将数据发送到护士手机以显示具有基础和丸剂值推荐的图像。

实例5：跑步者使用智能手表来控制葡萄糖和注射胰岛素

参照图9，在示例性情况下，患者可以练习跑步并且可以使用适合于他/她的活动的用户界面来管理葡萄糖水平和胰岛素治疗。为此，患者可以使用带有经过适应性修改和简化的界面的智能手表。连续葡萄糖监测(CGM)不断用日志葡萄糖值更新医疗设备控制器。在本发明中，智能手表应解释为固定在手腕上的消费者电子设备，并且至少具有短距离无线通信能力以进行通信并且可以运行软件应用程序。

实例6：母亲为她的糖尿病女儿管理治疗

参考图10，母亲可以远程监视她的女儿(“权利受限的患者”)的葡萄糖水平。她可能会收到“葡萄糖水平”警报，并通过设置丸剂进行远程反应。医疗设备控制器会连续检查葡萄糖水平，并根据保障参数日志和警报日志中设置的标准发送警报。母亲收到警报后，她将连接到医疗数据服务器，并根据女儿的临床数据来决定设置丸剂。

实例7：从任何设备获取医疗设备控制器和贴片泵的状态

参照图11，患者的智能手机可能不可用(丢失、电池电量低)，并且患者可能想使用未配对且未加载任何应用程序的朋友的智能手机12c来恢复有关例如胰岛素泵状态、电池电量、药筒中剩余的胰岛素和葡萄糖值的信息。为此，患者可以使用紧急模式通过医疗设备控制器上可用的HTTP WEB服务器将朋友的智能手机连接到医疗设备控制器4。朋友通过用他的智能手机12拍摄放置在医疗设备控制器上的二维码来获取到医疗设备的连接信息。

参考特征列表：

医疗设备和安全控制系统1

医疗设备2(安全设备)

药物输送设备

泵[可重复使用的部件]20

泵驱动器

控制系统

处理器

通讯模块

存储器

日志

电源(电池)

药物容器[单次使用部件(一次性/消耗品)22

识别标签

RFID、二维码、批次编号、识别编号

输送组件[单次使用部件(一次性/消耗品)24

例如输液器、贴片泵一次性部件，…

医疗设备控制器4(安全控制器设备)

存储器14

处理器15

日志16

运行参数查询表

阈值设定

通讯模块17

蓝牙

WiFi

物联网

限制性用户界面18

医疗设备外围组件5

例如传感器(例如葡萄糖传感器)

医疗数据服务器6

数据通信网络8

全球通讯网络(互联网)

本地网络

物联网

应用程序特定设备10

外部电子设备(通用设备/消费者电子设备)12

个人计算设备(智能手机、便携式计算机、数字手表等……)

用户界面

显示屏幕

用户

患者

医疗保健专业人员

医生

护士

非专业人员

责任相关人

家人

朋友

安全设备

非安全设备

安全组件(外围设备)

非安全组件(外围设备)

安全服务器

泵[可重复使用的部件]20

泵驱动器

控制系统

处理器

通讯模块

存储器

日志

电源(电池)

药物容器[单次使用部件(一次性/消耗品)22

识别标签

RFID、二维码、批次编号、识别编号

输送组件[单次使用部件(一次性/消耗品)24

例如输液器、贴片泵一次性部件…

Claims (16)

1.一种医疗设备和安全控制系统(1)，其特征在于，包括可穿戴医疗设备(2)和医疗设备控制器(4)，所述医疗设备控制器(4)包括通信模块(17)，所述通信模块至少包括与包括智能手机、个人计算机、智能手表以及平板电脑中的任何一个或多个的消费者电子设备(12)短距离无线通信的能力，所述医疗设备控制器(4)进一步包括存储计算机程序的存储器(14)和配置为与消费者电子设备建立加密通信的加密密钥，以及被配置为执行计算机程序的处理器(15)，所述医疗设备控制器(4)和所述医疗设备(2)至少各自存储一个日志(16)以用于在医疗设备控制器(4)与消费者电子设备之间以及在医疗设备控制器(4)与医疗设备(2)之间交换日志登录，所述日志登录包含用户识别、用户权限和向医疗设备指示的运行，所述医疗设备控制器(4)配置为通过所述加密通信进行传输：

i)用于在消费者电子设备的图形显示上展现的数据输入图像，或

ii)上传存储在消费者电子设备的存储器中的输入图像的指示，并通过所述加密通信接收用于医疗设备的运行的指示，

所述医疗设备控制器(4)配置为将所述用于医疗设备的运行的指示发送到医疗设备。

2.根据前述权利要求所述的医疗设备和安全控制系统(1)，其特征在于，所述医疗设备控制器(4)是形成为与所述可穿戴医疗设备(2)分离的组件的便携式医疗设备控制器，并且旨在与可穿戴医疗设备以短距离无线通信分离地携带，所述医疗设备(2)包括控制系统，所述控制系统包括至少具有短距离无线通信能力的通信模块，所述医疗设备控制器(4)的通信模块(17)至少包括用于与医疗设备(2)通信的短距离无线通信能力。

3.根据权利要求1所述的医疗设备和安全控制系统(1)，其特征在于，所述医疗设备控制器(4)被并入或物理连接到所述医疗设备(2)。

4.根据前述权利要求中的任一项所述的医疗设备和安全控制系统(1)，其特征在于，存储在所述医疗设备控制器(4)、所述消费者电子设备(12)和所述医疗设备(2)的所述至少一个日志(16)包括在医疗设备控制器(4)和消费者电子设备(12)之间以及在医疗设备控制器(4)和医疗设备(2)之间交换的每个过去的指示(以下称为日志登录历史)，所述医疗设备控制器(4)配置为基于分别存储在所述医疗设备控制器(4)和所述消费者电子设备(2)中的两个日志登录历史的比较来验证所述消费者电子设备的完整性。

5.根据前一项权利要求所述的医疗设备和安全控制系统(1)，其特征在于，仅当两个日志历史相同时，才允许在所述消费者电子设备和所述医疗设备控制器(4)之间进行登录会话。

6.根据前一项权利要求所述的医疗设备和安全控制系统(1)，其特征在于，所述医疗设备控制器(4)配置为针对与消费者电子设备(12)以及与医疗设备(2)的每次登录会话，将输入递增地写入存储在其存储器中的所述至少一个日志(16)中，所述医疗设备控制器(4)还配置为将所述输入复制在消费者电子设备的存储器以及医疗设备(2)的存储器的所述至少一个日志中。

7.根据前述权利要求中的任一项所述的医疗设备和安全控制系统(1)，其特征在于，所述消费者电子设备(12)被配置为根据所述医疗设备控制器(4)的输出信号执行用于显示不同的用户界面模板或消息的软件应用程序。

8.根据前述权利要求中的任一项所述的医疗设备和安全控制系统(1)，其特征在于，还包括医疗数据服务器(6)，所述医疗数据服务器(6)存储在所述医疗设备控制器(4)中的所述至少一个日志中存储的副本，和医疗数据服务器(6)和医疗设备控制器(4)之间的安全通信，其中所述医疗设备控制器配置为通过所述安全通信更新所述副本。

9.根据前一项权利要求所述的医疗设备和安全控制系统(1)，其特征在于，医疗数据服务器(6)被配置为当医疗设备控制器(4)不可用时，验证存储在消费者电子设备(12)中的所述至少一个日志的完整性。

10.根据前述权利要求中的任一项所述的医疗设备和安全控制系统(1)，其特征在于，所述消费者电子设备(12)通过配对运行连接到所述医疗设备控制器(4)，所述配对运行将所述消费者电子设备与在初始化步骤中已保存在各自存储器中的医疗设备控制器(4)的配对参数进行比较。

11.根据前述权利要求中的任一项所述的医疗设备和安全控制系统(1)，其特征在于，所述医疗设备是药物输送系统，优选地是贴片泵。

12.根据前述权利要求中的任一项所述的医疗设备和安全控制系统(1)，其特征在于，所述医疗设备控制器的处理器(15)配置为执行所述计算机程序，以用于为所述消费者电子设备(12)的角色分配限制性功能，以符合A或B类的软件要求。

13.根据前一项权利要求所述的权利要求所述的医疗设备和安全控制系统(1)，其特征在于，所述消费者电子设备(12)的角色限于以下功能：以用户界面模板的形式的图像显示，并带有一个或多个数据输入字段供用户输入；包含消息的图像显示，以及用于安全通信的数据加密和数据传输。

14.根据前一项权利要求所述的医疗设备和安全控制系统(1)，其特征在于，所述医疗设备的运行基于所述消费者电子设备(12)显示的至少一个用户界面模板的一个或多个数据输入字段中的数据输入。

15.根据前述权利要求中任一项所述的在医疗设备和安全控制系统的消费者电子设备(12)的处理器中可执行的软件应用程序，该软件应用程序配置为当在其上安装了所述软件应用程序后，将图像目录的数据存储在所述消费者电子设备(12)的存储器中，图像代表根据从医疗设备控制器(4)接收的指示待显示在消费者电子设备上的不同用户界面模板，以提供允许参数输入的数据输入字段，软件应用程序在执行时执行以下运行：根据所述从医疗设备控制器(4)接收的指示选择用户界面模板；在消费者电子设备上显示所述用于数据输入的用户界面模板；一旦相关参数被输入，拍摄消费者电子设备上的显示图像的至少一部分；并将拍摄的显示图像的部分发送给医疗设备控制器。

16.根据前述权利要求中所述的软件应用程序，其特征在于，所述软件应用程序配置为根据从医疗设备控制器接收的指示来改变要在消费者电子设备上显示的图像。

Images