DE60018978T2

DE60018978T2 - Benutzerauthentifizierung in medizinischen systemen

Info

Publication number: DE60018978T2
Application number: DE60018978T
Authority: DE
Inventors: J. Timothy NICHOLS; L. David THOMSON
Original assignee: Medtronic Inc
Current assignee: Medtronic Inc
Priority date: 1999-12-30
Filing date: 2000-12-29
Publication date: 2006-05-04
Anticipated expiration: 2020-12-30
Also published as: US6961448B2; EP1246667A1; DE60018978D1; EP1246667B1; WO2001049369A1; US20010031071A1

Description

Gebiet der Erfindung
Die vorliegende Erfindung bezieht sich allgemein auf medizinische Vorrichtungssysteme. Speziell bezieht sich die Erfindung auf Biometrie-basierte Identifikationssysteme, um eine Hierarchie von autorisiertem Zugang zu betrieblichen Hardware- und Softwarewerkzeugen in medizinischen Vorrichtungen bereit zu stellen. Die biometrischen Daten können Iris/Retina, Fingerabdruck, Sprachabdruck, Gesichts-, Venen- und ähnliche biometrische Identifikationszüge von Individuen repräsentieren. Diese sind in einer Datenbank gespeichert, um die Identifikation einer autorisierten Person basierend auf einem entsprechend komparativen Code, der den biometrischen Zügen eines spezifischen Benutzers zugewiesen ist, zu bestätigen. Der Identifikationscode kann implementiert sein in Instrumenten wie einem Programmierer, Schrittmachersystemanalysierer (Pacing System Analyzer, PSA), externen temporären Schrittmacher (External Temporary Pacemaker; ETP), Heimmonitor und anderen peripheren Einheiten, die in Datenkommunikation mit in einem Patienten implantierten Vorrichtungen stehen. Zugang zu spezifischen Therapie- und Diagnosewerkzeugen und -inhalten basieren auf der Hierarchie der Autorisierung, wie beispielsweise einem Doktor, einer Krankenschwester, einem Patienten oder einen Mitarbeiter von Medtronic, von denen jeder qualifizierten Zugang haben würde bezüglich ihrer Expertise und Bedarfsbasis.
Hintergrund der Erfindung
Medizinische Vorrichtungen, inbesondere implantierte medizinische Vorrichtungen, erfordern gelegentlich und bei Zeiten chronische Anpassungen auf der Grundlage von Therapie- und Diagnoseerfordernissen des Patienten. Die Therapie- und Diagnoseparameter, die Einstellungen bedürfen, können Entscheidungen von Doktoren, Krankenschwestern, Medtronic-vor-Ort-Personal, Patienten, Familienmitgliedern des Patienten oder Vertreter mit einbeziehen, je nach Fall. Weiterhin würden die einzustellenden Parameter oder zu implementierende Software in einer medizinischen Vorrichtung mittels eines Instruments wie einem Programmierer oder Instrumenten verschiedene Ebenen und Hierarchien der Expertise erfordern. Fehleinstellungen der Parameter könnte das Leben des Patienten gefährden. Dementsprechend besteht ein Bedarf, Zugang zu diesen Instrumenten zu beschränken, um vorrangig die Privatsphäre und das Wohl des Patienten zu schützen.
Therapiekur und chronische Patienten- und Pflegebehandlung mittels implantierten medizinischen Vorrichtungen würde rechtzeitige Entscheidungen erfordern durch Mediziner, die zum Beurteilen des Patientenzustandes und zum Verabreichen richtiger medizinischer Behandlung qualifiziert sind. Weiterhin müssen implantierbare medizinische Vorrichtungen (Implanted Medical Devices, IMD) auf einer regulären oder chronischen Basis überwacht werden, um Anpassungen bestimmter Parameter oder Einstellungen zu machen, die auf Änderungen im Patientenzustand eingehen oder auf IMD- internen Faktoren basieren. IMD können auch Logikvorrichtungen enthalten, wie digitale Controller, welche sich Firmware- oder Software Upgrades oder -modifikationen unterziehen müssen. Weiterhin können verschiedene Benutzer einschl. Doktoren, Krankenschwestern, Medtronic-vor-Ort-Personal und der Patient, es gelegentlich wollen, physiologische Daten oder in IMDs gespeicherte Patienteninformationen durchzusehen, um die Leistung der Vorrichtung auszuwerten und bei Bedarf die Patientenhistorie durchzusehen. Die gegenwärtige Praxis stellt Vorgänge bereit, in denen in einer IMD installierte Software und Instruktionen modizifiert werden können als Reaktion auf Konditionen der Patientendiagnose und -therapie.
Instrumente wie Programmierer, PSAs, ETPs und ähnliche Vorrichtungen sind allgegenwärtig geworden. So wie das Bevölkerungssegment mit IMDs wächst, würde speziell das Gesundheitsversorgungskostenmanagement erfordern, dass verschiedene Heimmonitore und Instrumente zur Verfügung von Patienten verfügbar sind zum Managen der Operationen der IMDs, entweder durch Patienten, Krankenschwester oder Doktoren, je nach Bedarf. Beispielsweise kann der Patient aus der Ferne angewiesen werden, bestimmte Parameter einzustellen ohne die Intervention des Mediziners. Gleichermaßen kann im Fall eines chronischen Patienten eine Krankenschwester angewiesen werden, das Individuum daheim aufzusuchen, so dass die Krankenschwester qualifizierte Entscheidungen machen kann, um die Operationen der IMD einzustellen oder zu modifizieren, basierend auf einer Durchsicht von Diagnose- und Thera pieparametern, die von der Vorrichtung abgerufen werden. Während die Ermächtigung von Patienten und anderem qualifizierten Personal eine brauchbare ökonomische Option ist, um die Kosten von Gesundheitsversorgung zu reduzieren, werden Benutzerverifikation, Benutzerautorisierung und Zugangskontrolle klar benötigt werden, um eine gesicherte und sichere Verwaltung in im Patienten implantierten Vorrichtungen bereit zu stellen. Speziell können alle peripheren und hauptsächlichen Vorrichtungen, die benutzt werden bei der Abwärtsstreckenübertragung zur IMD, potentiell eine Quelle von Sicherheits- und Privatsphärenlücken sein, solange sie nicht durch ein Sicherheitssystem geschützt sind.
Es gibt mehrere Benutzerauthentifizierungssysteme. Im speziellen implementieren manche biometrische Identifikationen, um den Zugang zu Kundencomputersystemdaten zu kontrollieren. Beispielsweise erfordern einige Computer Fingerabdruckdaten für den Zugriff auf sensible Informationen der Benutzer.
In diesem Zusammenhang offenbart PCT-Offenlegungsschrift WO2000/22581 an Bromba, M., eine Identifikationsvorrichtung mit einem Sensor mit einer Authentifizierungsoberfläche mit biometrischen Merkmalen. Ein Komparator vergleicht detektierte biometrische Merkmale von einem Teil der Authentifizierungsfläche einer autorisierten Person oder Personen, um die relative Position der sensordetektierten biometrischen Merkmale innerhalb der Authentifizierungsoberfläche zu bestimmen. Die Rechenvorrichtung berechnet dann einen Identifizierungscode, welcher die vom Sensor detektierte Person identifziert.
Gleichermaßen offenbart US Patent Nr. 5,401,561 an Borus et al Identifikationscharakteristiken, die als optische Markierungen mit durch eine Lichtquelle bereitgestellte Strahlung gebildet werden. Die Markierung ist in einem optisch transparenten Gehäuse oder einer Oberfläche oder einem anderen Gebiet für zumindest einen Teil des Wellenlängenbereichs innerhalb des Sensitivitätsbereichs des menschlichen Auges und zu einem weiteren Teil außerhalb des Sensitivitätsbereichs des menschlichen Auges.
PCT-Offenlegungsschrift WO2000/43960 an Frischholz, R., offenbart ein Erkennungssystem, das auf medizinischen Daten basiert, die beispielsweise von Fingerabdrücken oder Augen erhalten werden. Das Verfahren umfaßt das Erfassen von Daten mittels Scannen mit einer Kamera zum Vergleich mit Referenzdaten. Um Mißbrauch zu verhindern, basieren die Refe renzdaten auf mehreren Stichproben aus unterschiedlichen Positionen. Der Benutzer muss eine Hand oder die Augen bewegen, um ein Objekt auf dem Schirm zu bilden, das eine adäquate Dateneingabe an den Controller bereitstellen würde. Gleichermaßen offenbart PCT-Offenlegungsschrift WO2000/021021 an Frischholz, R., ein Gesichtsdetektionssystem, in dem die Bilder eines Gesichtsmodells für Identifikationszwecke erzeugt werden könnten.
PCT-Offenlegungsschrift WO2000/026823 an Garfinkle, N., offenbart ein Schutzverfahren für individuelle medizinische Datensätze zum Schützen medizinischer Datensätze, die in einer Arztpraxis oder einem Krankenhaus vorbereitet bzw. erstellt werden. Speziell bezieht sich die Erfindung auf einen Prozess, durch welchen eine durch den Patienten autorisierte Person persönliche Identifikations- und biometrische Codes in eine Datenbank eingibt, die prüft, ob die biometrischen und ID-Nummer in Übereinstimmung sind mit jener, die in der Datenbank gespeichert ist. Bei Bestätigung wird Zugang zu einem bestimmten Datensatz gewährt, der den ID-Code benutzt, und die Daten werden übermittelt an den anfordernden Standort.
US 5,456,692 offenbart ein System, wodurch die Funktion eines implantierten Schrittmachers nicht-invasiv geändert werden kann. Der Zugang ist Passwort-kontrolliert.
US 5,838,306 offenbart die Benutzung von biometrischen Daten, wie Fingerabdrücke für Authentifizierungszwecke.
Dementsprechend ist die Benutzung von Biometrie zur Identifikation und Autorisieren von Benutzern auf der Grundlage von Daten, die einem gespeicherten Schlüssel zugewiesen sind, in der Technik wohl bekannt. Die Implementierung von biometrischen Erkennungssystemen, um Zugang zu Instrumenten, die in Datenkommunikation mit IMDs stehen, weist jedoch neue und nicht- offensichtliche biometrische Implementierung auf. Die Implementierung von biometrischen Erkennungssystemen, um einen geschichteten und hierarischen Zugang zu Instrumenten und IMDs bereit zu stellen nach Expertise und Bedarf, reduziert Gelegenheiten zum Verfälschen, Manipulieren, Fehler und Gefahr für den Patienten. Dementsprechend ist es vorzuziehen, spezifischen Zugang zu IMDs über Instrumente wie Programmierer, PSAs und andere Instrumente, Heimmonitoren und Programmierer an Doktoren, Krankenschwestern, Medtronic-Techniker und Patienten oder Vertreter von Patienten bereit zu stellen, um sichere Überwachung und inhaltsspezifische Einstellungen oder Modifikationen von implantierten medizinischen Vorrichtungen zu ermöglichen.
Gemäß der Erfindung ist ein externes Instrument bereit gestellt, betreibbar in einem Datenkommunikationsmodus, um eine Kommunikationsverbindung mit einem implantierten medizinischen Vorrichtung in einem Patienten aufzubauen, darin gekennzeichnet, dass Zugang zum Datenkommunikationsmodus gesteuert wird durch ein Benutzerauthentifizierungssystem zum Identifizieren eines autorisierten Benutzers, umfassend:
einen Biometrieeigenschaftssensor, kodierte Daten bereitstellend, die repräsentativ sind für Biometrieeigenschaften von autorisierten Benutzern, denen Zugang zur Datenkommunikationsbetriebsweise des Instruments zu gewähren ist;
gekennzeichnet durch
einen Autorisierungsanalysierer, der kodierte Daten vom Biometrieeigenschaftssensor mit den im Speicher gespeicherten kodierten Daten vergleicht, um festzustellen, ob ein potentieller Benutzer autorisiert ist, Zugang zur Datenkommunikationsbetriebsweise des externen Instruments zu haben, wobei in Erwiderung darauf, dass der potentielle Benutzer nicht autorisiert ist, Zugang zu haben, der Autorisierungsanalysierer feststellt, ob der potentielle Benutzer Zugangsautorisierung hinsichtlich einer Übersteuerungsfunktion fordert.
Zusammenfassung der Erfindung
Die vorliegende Erfindung stellt somit ein System bereit zur selektiven Implementierung von biometrischer Benutzer- und Instrumentenidentifikation, die gesicherten und akkuraten Datentransfer zwischen IMDs und Instrumenten, wie Programmierern ermöglicht. Ausführungsformen geeigneter biometrischer Benutzerauthentifizierungssysteme schließen beispielsweise Benutzeridentifikation, einen Scan geschriebener Unterschriften, biometrische Identifikation basierend auf Retina/Iris oder anderer eindeutiger Körpermerkmale, Spracherkennung, Fingerabdrücke, Venenabdrücke und ähnliche biometrische Erkennungszüge ein, die in folgendem hierin als „Biometrieeigenschaften" bezeichnet werden.
Bevorzugte Ausführungsform der Erfindung werden nun lediglich als Beispiel beschrieben werden mit Bezug auf Zeichnungen.
Kurze Beschreibung der Zeichnungen
1 ist eine Darstellung eines körperimplantierten Vorrichtungssystems in Übereinstimmung mit der vorliegenden Erfindung, einschließend eines Instruments wie einem Programmierer in schnurloser Datenkommunikation mit der implantierten medizinischen Vorrichtung.
2 ist eine Perspektivansicht einer externen Programmiereinheit. Die Erfindung benutzt biometrische Züge, um die Identität von Benutzern zu vergewissern. Weiterhin ermöglicht das System abgetrennten Zugang zu gewissen Werkzeugen, Text und Operationen basierend auf der Expertise, dem Bedarf und den Qualifikationen des Benutzers. Beispielsweise haben Mediziner einen breitbasierten Zugang zu therapeutischen und diagnostischen Werkzeugen im Vergleich zu Krankenschwestern, Technikern oder dem Patienten.
3 ist eine Perspektivansicht einer externen Programmiereinheit mit darin implementiertem biometrischem Erkennungssystem.
4 ist eine Perspektivansicht einer externen Programmiereinheit, wie einem ETP, wobei das biometrische Erkennungssystem darin implementiert ist.
5 ist ein Flussdiagramm einer Ausführungsform des Benutzerauthentifizierungsprozesses.
Detaillierte Beschreibung der Zeichnungen
1 ist eine Darstellung eines implantierbaren medizinischen Vorrichtungs-(IMD) Systems, angepaßt zur Benutzung mit Instrumenten gemäß der vorliegenden Erfindung. Das medizinische Vorrichtungssystem von 1 schließt ein eine IMD 10, implantiert im Patient 12. In Übereinstimmung mit konventioneller Praxis in der Technik ist IMD 10 aufgenommen innerhalb eines hermetisch abgeschlossenen, biologisch inertem äußeren Gehäuse, welches leitfähig sein kann, um als eine indifferente Elektrode in der Schrittgebungs-/Erfassungs schaltung der IMD zu dienen. Eine oder mehrere Schrittmacherableitungen, gemeinsam identifiziert mit Bezugszeichen 14 in 1, sind elektrisch gekoppelt an IMD 10 in konventioneller Weise und erstrecken sich in das Herz 16 des Patienten via Vene 18. Im Allgemeinen nahe dem distalen Ende von Ableitungen 14 angeordnet, sind eine oder mehrere exponierte leitfähige Elektroden zum Empfangen elektrischer kardialer Signale und/oder zum Abliefern elektrischer Schrittgebungsstimuli an das Herz 16. Wie von gewöhnlichen Fachleuten in dem Gebiet anerkannt werden wird, können die Ableitungen 14 mit jedem distalen Ende gelegen im Atrium und/oder Ventrikel vom Herz 16 implantiert sein. Obwohl die vorliegende Erfindung bezugnehmend auf diese eine Ausführungsform beschrieben werden wird, welche IMD 10 einschließt, werden gewöhnlichen Fachleuten in dem Gebiet im Lichte der vorliegenden Offenbarung anerkennen, dass die vorliegende Erfindung alternativ in Verbindung mit zahlreichen anderen Typen von IMDs ausgeübt werden kann.
Weiterhin bezugnehmend auf 1 ist ein Instrument/eine externe Programmiereinheit 20 in schnurloser Datenkommunikation mit IMD 10 gezeigt. Instrument 20 schließt einen Programmierkopf 22 in Übereinstimmung mit gebräuchlichen medizinischen Vorrichtungs-Programmiersystemen ein zum Ermöglichen von Zwei-Weg-Kommunikation zwischen IMD 10 und Instrument 20. In vielen bekannten implantierbaren Vorrichtungssystemen wird ein Programmierkopf wie der in 1 abgebildete, am Körper des Patienten über der Implantatstelle der Vorrichtung positioniert, so dass eine oder mehrere Antennen innerhalb von Kopf 22 RF-Signale senden an und RF-Signale empfangen von einer Antenne können, die innerhalb der hermetischen Kapselung von IMD 10 angeordnet ist, oder innerhalb des Anschlußblocks von IMD 10 in Übereinstimmung mit gebräuchlicher Praxis in der Technik angeordnet ist.
2 ist eine perspektivische Ansicht des Instruments oder der Programmiereinheit 20 in Übereinstimmung mit der vorliegenden Erfindung. Allgemein schließt Programmierer 20 eine Verarbeitungseinheit (nicht gezeigt in der Figur) ein, die in Übereinstimmung mit der vorliegend offenbarten Erfindung eine Hauptplatine vom Personalcomputertyp ist, beispielsweise eine Computerhauptplatine einschließlich eines Intel-Pentium II Mikroprozessors und damit verbundener Schaltungstechnik, wie digitalem Speicher. Die Entwurfs- und Betriebsdetails des Computersystems des Programmierers werden in der vorliegenden Offenbarung nicht im Detail dargelegt, da davon ausgegangen wird, dass derartige Details gewöhnlichen Fachleuten in dem Gebiet wohl bekannt sind.
Bezugnehmend auf 2 umfaßt Programmierer 20 weiterhin ein äußeres Gehäuse 60, welches vorzugsweise aus einem Thermoplast oder einem gleichermaßen robusten, jedoch relativ leichtgewichtigtem Material gemacht ist, und einen Tragegriff 62, integral ausgebildet in der Front von Gehäuse 60. Griff 62 ist einziehbar ausgelegt, um als ein Griff zu dienen, so dass Programmierer 20 wie eine Aktentasche getragen werden kann. Ein angelenkter Anzeigeschirm 64 ist angeordnet an der oberen Fläche von Gehäuse 60. Anzeigeschirm 64 faltet sich herab in eine geschlossene Position (nicht gezeigt), wenn Programmierer 20 nicht in Benutzung ist, wodurch die Größe von Programmierer 20 reduziert wird und die Anzeigefläche von Anzeige 64 während Transport und Aufbewahrung davon geschützt wird.
Wie von gewöhnlichen Fachleuten anerkannt werden wird, ist es oft wünschenswert, ein Mittel zum Bestimmen des Status des Leitungssystems des Patienten bereit zu stellen. Dies wird allgemein erreicht durch externe ECG-Ableitungen 24, welche geeignete ECG- Verfolgung bereitstellen können. In Übereinstimmung mit der vorliegenden Erfindung ist Programmierer 20 weiterhin ausgestattet mit einem internen Drucker (nicht gezeigt), so dass ein Ausdruck eines ECG eines Patienten oder von Grafiken auf Anzeigeschirm 64 erzeugt werden könnten. Mehrere Typen von Druckern, wie AR 100 Printer von General Scanning Company, sind mit Programmierer 20 kompatibel.
Noch bezugnehmend auf 2 ist Programmierer 20 gezeigt mit angelenktem Anzeigeschirm 64, der angehoben wurde in eine von einer Vielzahl von möglichen geöffneten Positionen, so dass die Anzeigefläche davon sichtbar ist für Benutzer, die sich vor Programmierer 20 befinden. Der angelenkte Anzeigeschirm ist vorzugsweise vom LCD- oder Elektroleuchttyp, gekennzeichnet dadurch, dass er relativ dünn ist im Vergleich zu beispielsweise einer Elektronenstrahlröhre (CRT) oder dergleichen. Wie von gewöhnlichen Fachleuten anerkannt wird, ist der Anzeigeschirm 64 betrieblich gekoppelt an die Computerschaltung, angeordnet innerhalb vom Gehäuse 60, und ist angepaßt, um eine sichtbare Anzeige von Grafiken und/ oder Daten unter der Steuerung des internen Computers bereit zu stellen.
So wie er hierin dargestellt ist mit Bezug auf 2 ist Programmierer 20 im wesentlichen offenbart und beschrieben in größerem Detail in US-Patent Nr. 5,345,362 an Thomas J. Winkler, mit dem Titel „Tragbare Computervorrichtung mit angelenktem Anzeigepaneel". Der Programmierer Medtronic Model 9790 ist die Programmiereinheit für implantierbare Vorrichtungen, mit der die vorliegende Erfindung vorteilhafterweise ausgeübt werden kann.
3 ist eine Perspektivansicht von Programmiereinheit 20, das die biometrischen Identifikationssysteme in Übereinstimmung mit der vorliegenden Erfindung mit einbezieht. Speziell schließt Biometriesensor 70 zum Detektieren von Fingerabdrücken einen Bereich ein, angepaßt um zum vorderen Teil eines Fingers eines Benutzers zu passen. Gleichermaßen ist Mikrofon 72 am Paneel 64 implementiert, um Spracherkennung zu ermöglichen. Weiterhin ist Kamera 74 implementiert, um das Lesen von Gesichts- und anderen Körperteilen einschließlich Iris-/Retina-Scans zu ermöglichen.
4 ist eine Perspektivansicht von ETP 80. Allgemein ist ETP 80 eine Betriebsweisenumschaltvorrichtung für einen externen Zweikammer-Herzschrittmacher mit mehreren Ein-Kammer- und Zwei-Kammer-Primärschrittgebungsbetriebsweisen und benutzer-einstellbaren atrialen und ventrikulären Empfindlichkeiten. Die Zwei-Kammer-Anforderungsschrittgebungsbetriebsweise, beispielsweise die DDE- oder DDI-Betriebsweise, ist gültig, so lange die atrialen und ventrikulären Schrittgebungspulsamplituden vom Benutzer innerhalb einer Betriebsspanne eingestellt sind. Die Schrittgebungsbetriebsweise wird umgeschaltet auf eine Ein-Kammer-Anfragebetriebsweise, wenn eine von atrialer und ventrikulärer Schrittgebungspulsenergie eingestellt ist auf eine ungültige Einstellung, welche vorzugsweise eine Keine-Ausgabe-Einstellung ist. Wenn die atriale Schrittgebungspulsamplitude gesetzt ist auf Keine-Ausgabe, dann wird die Betriebsweise umgeschaltet auf eine Ein-Kammer-Anforderungsbetriebsweise mit ventrikulärer Erfassung und Schrittgebung, vorzugsweise der VVI-Betriebsweise. Wenn die ventrikuläre Schrittgebungspulsamplitude auf Keine-Ausgabe gesetzt ist, dann wird die Betriebsweise umgeschaltet auf eine Ein-Kammer-Betriebsweise mit atrialer Erfassung und Schrittgebung, vorzugsweise der AAI-Betriebsweise. In der Implementierung von ETP 80 wird die Einstellung von atrialer oder ventrikulärer Schrittgebungspulsamplitude in die Aus-Position erfasst und der entsprechende atriale oder ventrikuläre Erfassungsverstärker wird tatsächlich unwirksam gemacht, was in der Betriebsweiseumschaltung resultiert. Die Betriebsweisenumschaltung zurück zur Zwei-Kammer- Anforderungsschrittgebungsbetriebsweise wird beeinflußt durch das Einstellen der atrialen oder ventrikulären Schrittgebungspulsamplitude auf irgendein anderes Level als die Keine-Ausgabe-Position. Vorzugsweise erfolgt die Betriebsweisenumschaltung zur DDD-Betriebsweise, selbst wenn die vorausgehende Betriebsweisenumschaltung von der DDI-Umschaltung gemacht wurde.
ETP 80, hierin beschrieben mit Bezug auf 4, ist im wesentlichen offenbart in größerem Detail in U.S.-Patent Nr. 5,626,621 an Skoglund u.a. mit dem Titel "Dual Chamber Multi-Mode External Pacemaker".
ETP 80 schließt ein Sensor 82 zum Detektieren von Fingerabdrücken, Sensor 86, welcher eine Kamera einschließt, um biometrische Daten zu erfassen, die Bilder und/oder die Iris repräsentieren, und Mikrofon 84 zum Sammeln biometrischer Daten, die Sprachabdrücke und Spracherkennungssysteme repräsentieren.
5 ist ein Flußdiagramm einer Ausführungsform des Benutzerauthentifikations- und Autorisierungsprozesses 500 in Übereinstimmung mit der vorliegenden Erfindung. Im Speziellen, wenn ein Benutzer versucht, Zugang zur IMD 10, Programmierer 20 oder ETP 80 zu gewinnen, gibt der Benutzer geeignete Authentifizierungsdaten bei Schritt 501 ein. Die Identifizierungsdaten können einen Fingerabdruck, ein Bild, Iris- Scan, Sprachabdruck oder ähnliche Biometriemerkmale einschließen. Das System analysiert die Eingabe vorzugsweise durch Vergleichen dieser mit gespeicherten Daten. Wenn eine Übereinstimmung bestätigt wird, wird Zugang gewährt, basierend auf den Autorisierungslevel, um auf spezifische Werkzeuge und Besonderheiten von Programmierer 20, IMD 10 oder ETP 80, je nach Fall zuzugreifen. Wenn die Autorisierung bestätigt wird und Zugang autorisiert ist, wie gezeigt bei Logik-Schritt 506, dann bestimmt Schritt 516 im speziellen den Typ des Zugangs und das Level unter dem Autorisierungsschema für den spezifischen Benutzer, basierend auf Inhalt, Klasse oder Kategorie, die dem Benutzer wie angebracht zugewiesen ist. Beispielsweise stellt 520 einen dritten Benutzer oder einen untrainierten Benutzer dar, der nur beschränkte Benutzungszugangsrechte haben mag, wie Kein-Zugang zu programmierbaren Operationen oder Patientendaten. Schritt 522 jedoch mag einen breiteren Zugang erlauben, wie er vielleicht einem Doktor gewährt wird. Weiterhin mag einer Krankenschwester mit geeigneter Identifikiation Zugang gewährt sein zu beschränkten programmierbaren Operationen, die sich auf Diagnose- und Therapiewerkzeuge beziehen. Gleichermaßen mag ein Patientenbenutzer autorisiert sein, auf einen beschränkten Satz von Werkzeugen zuzugreifen, die es erlauben, nicht-kritische Einstellungen anzupassen. Weiterhin mag einem Medtronic-Außendienstvertreter erlaubt sein, nur auf betriebliche/funktionelle Aspekte zuzugreifen, die sich auf Datensammlung und/oder Software Upgrades beziehen mit strikten Beschränkungen gegenüber einigen oder allen Therapie- und Diagnosewerkzeugstellungen. Alternativ kann Schritt 524 identifiziert sein mit der Authentifizierungs- und Autorisierungskategorie des Benutzers, und diese mag der eines trainierten Spezialisten gleichstehen. Z. B. mag sich diese Autorisierung beziehen auf jemand, der autorisiert ist für den Zugang zu programmiererbaren Operationen, Patientendaten oder anderen Rechten. Schritt 530 bezeichnet ein Ende der Autorisierungssequenzen einer Sitzung. Logik-Pfad 504 repräsentiert die Verweigerung von Benutzerzugang. In diesem Szenario fragt Schritt 507 jedoch ab, ob der Benutzer Zugang fordert angesichts einer speziellen Übersteuerungsfunktion oder Notfallsituation. Wenn nicht, dann wird die Authentifizierung verweigert bei Schritt 509. In dem Fall, dass die spezielle Übersteuerungsfunktion bewilligt wird, leitet der Logikpfad 511 den Benutzer zu Schritt 524. Wie hier zuvor angedeutet, wird Schritt 524 normalerweise identifiziert mit der Identifikations- und Autorisierungskategorie des Benutzers, die sich auf einen trainierten Spezialisten bezieht und mag einen breitbasierten Zugang in diagnostischen, therapeutischen und betrieblichen/funktionellen Merkmalen von Programmierer 20, IMD 10 und ETP 80 bereitstellen.
Es sollte erkannt werden, dass 5 lediglich eine Ausführungsform einer Anzahl von Authentifizierungsschemata und Logik-Systemen ist, die durch diese Erfindungs-Offenlegung ermöglicht und beansprucht werden. In der Tat kann Authentifizierungssystem 500 Kombinationen von Hardware- und Softwareelementen einschließen, geeignet als Schnittstelle mit den verschiedenen Instrumenten, wie Programmierern, ETPs, PSAs und Heimmonitoren, um autorisierten Zugang zu diesen Vorrichtungen unter Benutzung des hierin offengelegten biometrischen Identifikationssystems bereit zu stellen.
Wie hierin zuvor angedeutet, können biometrische Daten oder Merkmale, die zum Authentifizieren und Verifizieren von Benutzern benutzt werden, Retina- oder Iris-Scans, Fingerabdruck-Scans, Venenabdruck-Scans, oder Spracherkennungssystem, spezielle Biometrie-Gesichtserkennung, Hand-Geometrie, Venen- Scans und ähnliche andere biometrische Merkmale und Eigenschaften einschließen, die benutzt werden könnten, um einen Benutzer definitiv zu identifizieren. Die Authentifizierungstechniken, die in der vorliegenden Erfindung implementiert sind, schließen hierarische Schemata der Gewährung für primäre, sekundäre und gelegentliche Benutzer ein. Beispielsweise könnten Doktoren und Krankenschwestern als primäre Benutzer angesehen werden, die Zugang zu spezifischen therapeutischen und diagnostischen Werkzeugen von sowohl Instrumenten als auch IMDs haben.
Zusätzlich zu den verschiedenen biometrischen Techniken, die in der vorliegenden Erfindung offenbart sind, können Instrumenten- und IMD-bezogene Authentifizierungsmechanismen eine Verifikation einschließen durch die Benutzung von: Eintragungstechniken, bewilligten Seriennummern, feststehenden oder vorabgeladenen Datensignaturen im Instrumenten- oder IMD-Speicher, Widerstand- oder anderer elektrischer oder digitaler Eigenschaftsabgleich, Lasterkennung oder Datenmeldungen, erzeugt von einem oder mehreren vorbestimmten Algorithmen auf der Grundlage von Daten, Ereignissen, Seriennummer oder einem anderen Phänomen.
Bezugnehmend auf 3 und 4 schließt die Implementierung von verschiedenen biometrischen Identifikationssystemen im Programmierer 20 und ETP 80 Spracherkennung mittels Mikrofon 72 bzw. 84, Gesichtserkennung oder Iris- Scan unter Benutzung von Kamera 74 bzw. 86, und Fingerabdruckerkennung unter Benutzung von Fingerabdrucksensoren 70 bzw. 82 ein. Die Iris- Scan und Gesichtserkennungs- Biometriesysteme können die von Iris Scan, Inc., Symtron Technology, Dialog Communication Systems, Visionics Corp. Typ sein. Weiterhin können biometrische Fingerabdrucksensoren von dem Typ sein, wie vertrieben durch Miaxis Biometrics Co., Advanced Biometric Solutions, Veridicon Face Sense, und Precise Biometrics. Weiterhin können Spracherkennungssysteme für Sprachabdruckidentifikation von dem Typ sein, wie er angeboten wird von Dialogue Communication Systems.
Dementsprechend können biometrische Identifikationssysteme, wie sie von der vorliegenden Erfindung vorgesehen sind, implementiert werden von verschiedenen Lieferanten zur Aufnahme in den Programmierer 20, ETP 80 und ähnlichen Instrumenten. Einer der wesentlichen Aspekte der vorliegenden Erfindung schließt die Implementierung von Biometriedaten zum Eliminieren von Fehlern, Verfälschungen ein und versorgen Patienten mit einem hohen Maß von Sicherheit, um die Privatsphäre medizinischer Daten zu erhalten.

Claims

Ein externes Instrument, betriebsfähig in einer Datenkommunikationsbetriebsweise zum Aufbau einer Kommunikationsverbindung mit einer implantierten medizinischen Einrichtung in einem Patienten, dadurch gekennzeichnet, daß Zugang zur Datenkommunikationsbetriebsweise durch ein Benutzerauthentifizierungssystem zur Identifizierung eines autorisierten Benutzers gesteuert wird, umfassend: einen Biometrieeigenschaftssensor (70, 72, 74), kodierte Daten bereitstellend, die repräsentativ sind für Biometrieeigenschaften von autorisierten Benutzern, denen Zugang zur Datenkommunikationsbetriebsweise des Instruments zu gewähren ist; gekennzeichnet durch einen Autorisierungsanalysierer, der kodierte Daten vom Biometrieeigenschaftssensor mit den im Speicher gespeicherten kodierten Daten vergleicht, um festzustellen, ob ein potentieller Benutzer autorisiert ist, Zugang zur Datenkommunikationsbetriebsweise des externen Instruments zu haben, wobei in Erwiderung darauf, daß der potentielle Benutzer nicht autorisiert ist, Zugang zu haben, der Autorisierungsanalysierer feststellt, ob der potentielle Benutzer Zugangsautorisierung hinsichtlich einer Übersteuerungsfunktion fordert.
System nach Anspruch 1, wobei die implantierte medizinische Einrichtung eines aus einem Schrittmacher, einem Defibrillator, einer Arzneimittelabgabe-Einrichtung und einem Neuralimplantat umfasst.
System nach Anspruch 1, wobei das Instrument eines von einem Programmierer, einem PSA und einem Heimmonitor umfasst.
System nach Anspruch 1, wobei das Benutzererkennungssystem zumindest eines von einem Fingerscanner, einer Kamera und einem Mikrofon umfasst.
System nach Anspruch 4, wobei die Biometrieeigenschaften einen vom Fingerscanner erhaltenen Fingerscan umfassen.
System nach Anspruch 4, wobei die Biometrieeigenschaften einen mittels der Kamera erhaltenen Iris-/Netzhautscan umfassen.
System nach Anspruch 4, wobei die Biometrieeigenschaften einen vom Mikrofon erhaltenen Stimmabdruck umfassen.