CN110461398B - 安全的网络化呼吸治疗系统 - Google Patents

Abstract

方法和设备提供呼吸治疗装置(“TD”)，服务器和中间装置(例如用于治疗装置的控制装置(“CTLD”))之间的通信，以提高安全性。可以使用利用不同信道导出的共享秘密来建立更安全的通信信道。通信可以包括将治疗数据从TD发送到服务器以进行验证。CTLD可以从服务器接收数据和随机数。CTLD从TD接收取决于随机数和TD和服务器共享的秘密的签名密钥。CTLD利用接收到的治疗数据和密钥生成授权码用于服务器在接收到代码和数据时对数据进行验证。服务器(1)由随机数和TD已知的秘密计算密钥，以及(2)由接收的治疗数据和密钥计算另一授权码。数据验证可能涉及比较接收和计算的代码。

Description

安全的网络化呼吸治疗系统

1相关申请的交叉引用

本申请要求2016年11月3日提交的美国临时专利申请号62/416867和2017年2月14日提交的美国临时专利申请号62/458658的权益，其中每一申请的全部公开内容通过引用并入本文。

2背景技术

2.1技术领域

本技术涉及呼吸相关障碍的检测、诊断、治疗、预防和改善中的一种或多种。本技术还涉及医疗装置或设备，以及他们的使用或操作。

2.2相关技术的描述

2.2.1人体呼吸系统及其障碍

人体的呼吸系统促进气体交换。鼻和嘴形成患者的气道入口。

气道包括一系列分支管，当分支管穿透更深入肺部时，其变得更窄、更短且更多。肺部的主要功能是气体交换，从而允许氧气从吸入的空气进入静脉血液并以相反的方向排出二氧化碳。气管分成右主支气管和左主支气管，他们最终再分成端部细支气管。支气管构成传导气道，但是并不参与气体交换。气道的其他分支通向呼吸细支气管，并最终通向肺泡。肺部的肺泡区域为发生气体交换的区域，且称为呼吸区。参见2012年由John B.West,Lippincott Williams&Wilkins出版的《呼吸系统生理学(Respiratory Physiology)》，第9版。

存在一系列呼吸障碍。某些障碍可以通过特定事件来表征，例如呼吸中止、呼吸不足和呼吸过度。

呼吸障碍的实例包括阻塞性睡眠呼吸暂停(OSA)、潮式呼吸(CSR)、呼吸衰竭(RF)、肥胖过度换气综合征(OHS)、慢性阻塞性肺病(COPD)、神经肌肉疾病(NMD)和胸壁障碍。

阻塞性睡眠呼吸暂停(OSA)，一种睡眠障碍性呼吸(SDB)，其特征在于呼吸事件，包括睡眠期间上呼吸道堵塞或阻塞。其是由在睡眠期间异常小的上呼吸道和舌头，软腭和后口咽壁区域的正常的肌张力丧失的组合导致的。该病症导致受影响的患者停止呼吸，持续时间通常为30至120秒，有时为每晚200至300次。其经常导致白天过度嗜睡，并可能导致心血管疾病和脑损伤。该综合征是一种常见障碍，特别是在中年超重男性中，尽管受影响的人可能没有意识到这个问题。参见美国专利号4,944,310(Sullivan)。

呼吸衰竭是呼吸障碍的总称，其中肺部无法激发足够的氧气或呼出足够的CO2来满足患者的需求。呼吸衰竭可能包括一些或所有下列障碍。

肥胖过度换气综合征(OHS)被定义为在不存在其他已知的通气不足的原因的情况下，严重肥胖和清醒慢性高碳酸血症的组合。综合征包括呼吸困难、早晨头痛和白天过度嗜睡。

慢性阻塞性肺病(COPD)包括具有某些共同特征的一组下呼吸道疾病中的任一种。这些包括对空气运动的抗性增加，呼吸的呼气阶段延长和肺部的正常弹性丧失。COPD的实例是肺气肿和慢性支气管炎。COPD是由慢性吸烟(主要危险因素)、职业暴露、空气污染和遗传因素引起的。症状包括：运动时呼吸困难、慢性咳嗽和咳痰。

神经肌肉疾病(NMD)是一种广义术语，其涵盖许多疾病和微恙，这些疾病和微恙直接通过内在肌肉病理学或间接通过神经病理学损害肌肉的功能。一些NMD患者的特征在于进行性肌肉损伤导致行走丧失、坐轮椅、吞咽困难、呼吸肌无力以及最终因呼吸衰竭而死亡。神经肌肉障碍可分为快速进展性和缓慢进展性：(i)快速进展性障碍：以肌肉损伤为特征，在数月内恶化并几年内导致死亡(例如青少年中的肌萎缩侧索硬化(ALS)和杜氏肌营养不良(DMD))；(ii)可变或缓慢进展性障碍：以肌肉损伤为特征，多年后恶化，仅轻度降低预期寿命(例如肢带、面肩胛臂和强直性肌营养不良)。NMD中呼吸衰竭的症状包括：全身无力、吞咽困难、运动时和休息时呼吸困难、疲劳、嗜睡、早晨头痛以及注意力不集中和情绪变化。

胸壁障碍是一组胸部畸形，导致呼吸肌与胸廓之间的低效耦合。这些障碍通常以限制性缺陷为特征，并且具有长期高碳酸血症呼吸衰竭的可能性。脊柱侧凸和/或脊柱后凸可能导致严重的呼吸衰竭。呼吸衰竭的症状包括：运动时呼吸困难、外周水肿、端坐呼吸、反复胸部感染、早晨头痛、疲劳、睡眠质量差和食欲不振。

已经使用一系列呼吸治疗来治疗这种障碍。

2.2.2呼吸治疗

已经使用各种形式的呼吸治疗，例如持续气道正压通气(CPAP)治疗、无创通气(NIV)和有创通气(IV)来治疗或改善一种或多种上述呼吸障碍。此外，健康个体可以利用这些疗法来预防呼吸障碍的发生。

持续气道正压通气(CPAP)治疗已被用于治疗阻塞性睡眠呼吸暂停(OSA)。作用机制是持续气道正压通气充当气动夹板，并且可以诸如通过向前并远离后口咽壁推动软腭和舌头来防止上气道堵塞。通过CPAP治疗来治疗OSA可以是自愿的，因此如果患者发现用于提供此类治疗的装置为：不舒适、难以使用、昂贵和不美观中的任一种或多种，则患者可选择不依从治疗。

无创通气(NIV)通过上呼吸道为患者提供通气支持以通过做一些或所有呼吸工作来帮助患者呼吸和/或维持体内足够的氧气水平。通过无创患者接口提供通气支持。NIV已被用于治疗CSR和呼吸衰竭，其形式如OHS、COPD、MD和胸壁障碍。

有创通气(IV)为不能够自己有效呼吸的患者提供通气支持，并且可以使用气切管提供。

高流量治疗是一种呼吸治疗，其涉及以相对于典型呼吸流速的升高的流速将气流施加到气道入口。HFT已被用于治疗OSA和COPD。

氧疗是一种呼吸治疗，其涉及以规定的流速将富氧空气流施加到气道入口。氧疗已被用于治疗COPD。

2.2.3呼吸治疗系统

呼吸治疗可由呼吸流量和/或压力治疗系统或装置提供。呼吸治疗系统可包括呼吸治疗装置(RT装置)(例如，呼吸压力治疗(RPT)装置)、空气回路、加湿器、患者接口、外部控制装置和远程服务器。

2.2.3.1患者接口

患者接口可用于将呼吸装置接合到其佩戴者，例如通过向气道的入口提供空气流。空气流可以经由面罩提供到鼻子和/或嘴部、经由管提供到嘴部或经由气切管提供到患者的气管。根据待施加的治疗，患者接口可与例如患者面部的区域形成密封，从而有利于气体以与环境压力具有足够差异的压力(例如，相对于环境压力约10cm H₂O的正压)进行输送，以实现治疗。对于其他形式的治疗，诸如氧疗，患者接口如鼻插管可以不包括足以有利于将约10cm H₂O的正压下的气体供给输送到气道的密封。

2.2.3.2呼吸治疗(RT)装置

RT装置可用于递送上述多种治疗中的一种或多种，例如通过产生正压下的空气流以递送到气道的入口。RT装置的实例包括CPAP装置、通气机和便携式氧气浓缩器。

2.2.3.3湿化器

输送没有加湿的空气流可能导致气道干燥。使用具有RPT装置和患者接口的湿化器产生加湿气体，其使鼻黏膜的干燥最小化并增加患者气道舒适度。此外，在较冷的气候中，通常施加到患者接口中和周围的面部区域的暖空气比冷空气更舒适。

2.2.3.4外部控制装置

出于制造成本和/或简易型的原因，RT装置可以具有极其有限的用户接口，其可能包括一个或两个按钮和LED，而没有显示屏。然而，在这种情况下，通过RT装置可递送的治疗的复杂性应该不被损及。实现这两个目的的一种方式是RT装置可由外部控制装置控制，该外部控制装置配置有控制RT装置以在RT装置能够的所有变型中递送呼吸治疗的功能，例如通过发送控制参数(例如，压力和/或流速设置)。外部控制装置可以采用通过运行专用软件应用程序配置的专用的，预先配置的“远程控制”，或者通用计算装置形式。为方便起见，外部控制装置可以是便携式的。在一些这样的情况下，外部控制装置可以被配置为下载专用软件应用程序，例如通过网络(例如因特网)从远程服务器下载，以实现文中更详细描述的功能。

通常，这种外部控制布置需要RT装置与外部控制装置通信。为方便起见，特别是当外部控制装置是便携式时，RT装置和外部控制装置之间的通信可以是无线的。期望阻止未经授权的人也持有也被配置为控制RT装置的外部控制装置的此布置的安全漏洞。这对于无线通信来说是一个特殊的挑战，原则上可以容易地和秘密地访问RT装置范围内未经授权的外部控制装置。用于两个装置之间的短程无线通信的诸如蓝牙的协议可以具有一定程度的内置安全性；然而，如通过使用的特定无线协议所确定的那样，他们仍然容易通过RT装置范围内未经授权的外部控制装置受到某些类型的攻击。

2.2.3.5远程服务器

可能出于临床原因来获得数据以确定开具呼吸治疗的患者是否“依从”，例如患者根据一个或多个“依从性规则”使用了他们的RT装置。CPAP治疗的依从性规则的一个实例是为了被认为是依从性的，需要患者一晚使用RT装置至少4个小时，长达连续30天中的至少21天。为了确定患者的依从性，RT装置的提供者(例如医疗保健提供者或装置制造商)可以操作远程服务器，该远程服务器被配置为通过网络与RT装置进行通信，例如定期。远程服务器可以从RT装置获得描述患者治疗的数据或者对一种或多种依从性规则的评估结果。治疗数据可以用于计算预定时间段内的使用，以便由远程服务器和/或RT装置利用依从性规则进行评估。一旦医疗保健提供者已经确定患者已经根据依从性规则使用他们的RT装置，则医疗保健提供者可以通知第三方患者是依从性的。

此外，RT装置的“固件”可能需要不时升级。RT装置可以从装置制造商操作的远程服务器通过网络获得用于此目的的升级文件。

患者治疗的其他方面可能会受益于患者的RT装置和远程服务器之间的通信。

出于安全，依从性和/或隐私原因，保护此类通信可能是重要的。例如，确保仅传输适当的升级并将其应用于接收RT装置可以帮助防止篡改RT装置的操作。同样，确保在不篡改的情况下传送装置生成的数据有助于确保依从性确认过程的完整性。还可能希望确保健康相关信息的数据传输仅限于预期或允许的接收者。从以下对本技术的几种形式的描述中可以明显看出其他益处。

3技术简述

本技术旨在提供用于诊断、改善、治疗或预防呼吸障碍的医疗装置，其具有改善的舒适性、成本、功效、易用性和可制造性中的一种或多种。

本技术的各方面涉及用于诊断、改善、治疗或预防呼吸障碍的设备。

通过本技术的一些方面，呼吸治疗装置可以安全地连接到与授权用户相关联的控制装置。

本技术的一种形式包括一种方法，根据该方法，控制装置通过对呼吸治疗(RT)装置的物理访问获得RT装置已知的第一共享秘密，例如令牌。然后，通过不安全通信信道进行通信的两个装置使用第一共享秘密来建立相对强大，更安全的第二共享秘密，例如第二更复杂的令牌，从而在他们之间建立安全通信信道。安全通信在强加密方法中使用第二共享秘密。

本技术的一些版本包括一种与呼吸治疗装置进行无线通信的方法。该方法可以包括由控制装置与呼吸治疗装置建立不安全的无线通信信道。该方法可以包括由控制装置经由与不安全无线通信信道不同的信道获得第一共享秘密。第一共享秘密可以是呼吸治疗装置已知的。该方法可以包括由控制装置使用第一共享秘密和通过不安全无线通信信道通信的数据来计算第二共享秘密。第二共享秘密可以是呼吸治疗装置已知的并且比第一共享秘密更强。该方法可以包括由控制装置基于第二共享秘密与呼吸治疗装置进行无线通信。

在该方法的一些版本中，计算第二共享秘密可以包括Diffie-Hellman密钥交换。该方法可以包括由控制装置使用第二共享秘密计算会话密钥。该方法可以包括由控制装置使用会话密钥来加密和解密通过无线信道与呼吸治疗装置通信的数据。在一些版本中，建立不安全的无线通信信道可以包括由控制装置计算呼吸治疗装置已知的对称密钥。经由不同信道获得第一共享秘密可以依赖于控制装置对呼吸治疗装置的物理访问。获得第一共享秘密可以包括由控制装置扫描打印在呼吸治疗装置的壳体上的第一共享秘密的机器可读形式。机器可读形式可以是条形码。条形码可以是QR码。

在一些版本中，获得第一共享秘密包括由控制装置接收经由控制装置的用户接口输入的第一共享秘密。该方法可以包括由控制装置确认第二共享秘密是呼吸治疗装置已知的。在一些版本中，确认可以包括使用第二共享秘密计算第一散列值；通过不安全的无线通信信道从呼吸治疗装置接收第二散列值；并将第一散列值与第二散列值进行比较。该方法可以包括在第一散列值不等于第二散列值时，经由控制装置的用户接口生成用户输出。第二共享秘密可用于在控制装置和呼吸治疗装置之间建立安全的无线通信信道。在一些版本中，该方法可以包括由第二共享秘密计算会话密钥。该方法可以包括由控制装置通过安全无线通信信道发送用于控制呼吸治疗装置的呼吸治疗操作的控制参数。控制参数可以包括压力设置和流量设置中的一个。该方法可以包括由控制装置通过所述安全无线通信信道接收与呼吸治疗装置的呼吸治疗操作有关的数据。数据可包括呼吸事件的数量和呼吸治疗装置的使用时间中的任一个或多个。

本技术的一些版本可以包括计算机可读数据存储介质，在其上具有编码的程序指令，其被配置为使处理器执行本文描述的任何方法。本技术的一些版本可以包括可以访问这种计算机可读数据存储介质的服务器。服务器可以被配置为通过网络接收用于将计算机可读数据存储介质的程序指令下载到控制装置的请求。服务器可以响应于下载程序指令的请求发送程序指令。

本技术的一些版本可以包括被配置为与呼吸治疗装置无线通信的控制装置。控制装置可以包括存储处理指令的存储器。控制装置可以包括处理器。处理器可以被配置为与呼吸治疗装置建立不安全的无线通信信道。处理器可以被配置为经由与不安全无线通信信道不同的信道获得第一共享秘密，该第一共享秘密是呼吸治疗装置已知的。处理器可以被配置为使用第一共享秘密和通过不安全无线通信信道通信的数据来计算第二共享秘密。第二共享秘密可以是呼吸治疗装置已知的并且可以比第一共享秘密更强。

在一些版本中，控制装置可以包括条形码读取器。处理器可以被进一步配置为通过利用条形码读取器扫描打印在呼吸治疗装置的壳体上的条形码来获得第一共享秘密。条形码可以编码第一共享秘密。在一些版本中，控制装置可以包括用户接口。处理器可以被进一步配置为经由通过用户接口输入的输入获得第一共享秘密。

本技术的一些版本可以包括一种在呼吸治疗装置和控制装置之间进行无线通信的方法。该方法可以包括由呼吸治疗装置与控制装置建立不安全的无线通信信道。该方法可以包括由呼吸治疗装置使用第一共享秘密和通过不安全无线通信信道通信的数据来计算第二共享秘密。第一共享秘密和第二共享秘密可以是控制装置已知的。第二共享秘密可能比第一共享秘密更强。该方法可以包括由呼吸治疗装置基于第二共享秘密与控制装置进行无线通信。

本技术的一些版本可以包括呼吸治疗装置，其被配置为与控制装置无线通信。呼吸治疗装置可以包括存储处理指令的存储器。呼吸治疗装置可以包括控制器，其被配置为与控制装置建立不安全的无线通信信道。控制器可以被配置为使用第一共享秘密和通过不安全无线通信信道通信的数据来计算第二共享秘密。第一共享秘密和第二共享秘密可以是控制装置已知的。第二共享秘密比第一共享秘密更强。呼吸治疗装置可包括壳体，该壳体包括印刷的条形码。印刷的条形码可以编码第一共享秘密。

本技术的一些版本可包括呼吸治疗系统。该系统可包括呼吸治疗装置。该系统可以包括控制装置，其被配置为与呼吸治疗装置无线通信。控制装置可以包括处理器，其被配置为与呼吸治疗装置建立不安全的无线通信信道。处理器可以被配置为经由与不安全无线通信信道不同的信道获得第一共享秘密。第一共享秘密可以是呼吸治疗装置已知的。处理器可以被配置为使用第一共享秘密和通过不安全无线通信信道通信的数据来计算第二共享秘密。第二共享秘密可以是呼吸治疗装置已知的并且可以比第一共享秘密更强。处理器可以被配置为基于第二共享秘密与呼吸治疗装置进行无线通信。呼吸治疗装置可包括具有印刷条形码的外壳。印刷的条形码可以编码第一共享秘密。控制装置还可以包括条形码读取器。处理器可以被进一步配置为通过扫描条形码来利用条形码读取器获得第一共享秘密。控制装置还可以包括用户接口。处理器可以被进一步配置为经由通过用户接口输入的输入获得第一共享秘密。

通过本技术的其他方面，可以由接收者验证经由不可信的控制装置从呼吸治疗装置上传到远程服务器的治疗数据。

本技术的另一种形式包括使用RT装置和服务器(但不是控制装置)已知的秘密和由服务器提供的“随机数”以(通过RT装置)导出密钥，其用于导出授权码以验证治疗数据。

本技术的一些版本可以包括一种经由控制装置将由呼吸治疗装置生成的治疗数据上传到远程服务器的方法，该控制装置被配置为与呼吸治疗装置通信并且与远程服务器通信。该方法可以包括由控制装置从呼吸治疗装置接收治疗数据。该方法可以包括由控制装置从远程服务器接收随机数。该方法可以包括由控制装置将随机数发送到呼吸治疗装置。该方法可以包括由控制装置从呼吸治疗装置接收签名密钥。签名密钥可以取决于随机数和呼吸治疗装置和远程服务器已知的秘密。该方法可以包括由控制装置使用治疗数据和签名密钥生成授权码。授权码可以用于验证治疗数据。该方法可以包括由控制装置将治疗数据和授权码发送到远程服务器。在一些版本中，授权码可以是散列消息授权码。签名密钥还可以取决于共享秘密的偏移。可以通过控制装置从远程服务器接收偏移。随机数可以是伪随机数。在一些版本中，控制装置可以通过使用呼吸治疗装置已知的对称密钥解密签名密钥来安全地从呼吸治疗装置接收签名密钥。

本技术的一些版本可以包括控制装置。控制装置可以包括存储器和处理器。存储器可以包含程序指令，其当由处理器执行时，控制控制装置以将由呼吸治疗装置生成的治疗数据上传到远程服务器。程序指令可以控制控制装置以从呼吸治疗装置接收治疗数据。程序指令可以控制控制装置以从远程服务器接收随机数。程序指令可以控制控制装置将随机数发送到呼吸治疗装置。程序指令可以控制控制装置以从呼吸治疗装置接收签名密钥。签名密钥可以取决于随机数以及呼吸治疗装置和远程服务器已知的秘密。程序指令可以控制控制装置以使用治疗数据和签名密钥生成授权码。授权码可以用于验证治疗数据。程序指令可以控制控制装置以将治疗数据和授权码发送到远程服务器。

本技术的一些版本可以包括一种验证由呼吸治疗装置生成的治疗数据的方法。该方法可以包括接收治疗数据和第一授权码。该方法可以包括由随机数和呼吸治疗装置已知的秘密计算签名密钥。该方法可以包括由接收的治疗数据和签名密钥计算第二授权码。该方法可以包括通过将第一授权码与第二授权码进行比较来验证治疗数据。

在一些版本中，该方法可以包括将偏移发送到呼吸治疗装置。签名密钥可以取决于偏移。授权码可以是散列消息授权码。该方法可以包括将随机数发送到呼吸治疗装置。随机数可以是伪随机数。

本技术的一些版本可以包括服务器。服务器可以包括存储器和处理器。存储器可以包含程序指令，其当由处理器执行时，控制服务器以验证由呼吸治疗装置生成的治疗数据。程序指令可以控制服务器以接收治疗数据和第一授权码。程序指令可以由随机数和呼吸治疗装置已知的秘密计算签名密钥。程序指令可以由接收的治疗数据和签名密钥计算第二授权码。程序指令可以通过将第一授权码与第二授权码进行比较来验证治疗数据。

本技术的一些版本可以包括网络化呼吸治疗系统。该系统可以包括呼吸治疗装置，其被配置为向患者递送呼吸治疗。该系统可以包括远程服务器。该系统可以包括控制装置，其被配置为与呼吸治疗装置通信并与远程服务器通信。控制装置可以被配置为通过控制装置从呼吸治疗装置接收治疗数据。控制装置可以被配置为通过控制装置从远程服务器接收随机数。控制装置可以被配置为通过控制装置将随机数发送到呼吸治疗装置。控制装置可以被配置为从呼吸治疗装置接收签名密钥。签名密钥可以取决于随机数和呼吸治疗装置和远程服务器已知的秘密。控制装置可以被配置为使用治疗数据和签名密钥生成授权码。授权码可以用于验证治疗数据。控制装置可以被配置为将治疗数据和授权码发送到远程服务器。在一些版本中，呼吸治疗装置可以是呼吸压力治疗装置。控制装置可以被配置为使用共享的对称密钥与呼吸治疗装置安全地通信。远程服务器可以被配置为接收治疗数据和第一授权码。远程服务器可以被配置为由随机数和呼吸治疗装置已知的秘密计算签名密钥。远程服务器可以被配置为由接收的治疗数据和签名密钥计算第二授权码。远程服务器可以被配置为通过将第一授权码与第二授权码进行比较来验证治疗数据。

本技术的一些版本可以包括网络化呼吸治疗系统。网络化呼吸治疗系统可以包括呼吸治疗装置，其被配置为向患者递送呼吸治疗。网络化呼吸治疗系统可包括控制装置，其被配置为与呼吸治疗装置通信。网络化呼吸治疗系统可以包括远程服务器，其被配置为与控制装置通信。远程服务器可以被配置为从控制装置接收治疗数据和第一授权码。远程服务器可以被配置为由随机数和呼吸治疗装置已知的秘密计算签名密钥。远程服务器可以被配置为由接收的治疗数据和签名密钥计算第二授权码。远程服务器可以被配置为通过将第一授权码与第二授权码进行比较来验证治疗数据。呼吸治疗装置可以是呼吸压力治疗装置。控制装置可以被配置为使用共享的对称密钥与呼吸治疗装置安全地通信。控制装置可以被配置为从呼吸治疗装置接收治疗数据。控制装置可以被配置为从远程服务器接收随机数。控制装置可以被配置为向呼吸治疗装置发送随机数。控制装置可以被配置为从呼吸治疗装置接收签名密钥。签名密钥可以取决于随机数以及呼吸治疗装置和远程服务器已知的秘密。控制装置可以被配置为使用治疗数据和签名密钥生成授权码。授权码可以用于验证治疗数据。控制装置可以被配置为向远程服务器发送治疗数据和授权码。

在一些版本中，呼吸治疗装置可以被配置为从远程服务器接收随机数。呼吸治疗装置可以被配置为由随机数以及呼吸治疗装置和远程服务器已知的秘密计算签名密钥。呼吸治疗装置可以被配置为使用治疗数据和签名密钥生成授权码。呼吸治疗装置可以被配置为将治疗数据和授权码发送到远程服务器。

本技术的一些版本可以包括一种将由呼吸治疗装置生成的治疗数据上传到远程服务器的方法。该方法可以包括通过呼吸治疗装置从远程服务器接收随机数。该方法可以包括通过呼吸治疗装置由随机数和远程服务器已知的秘密计算签名密钥。该方法可以包括通过呼吸治疗装置使用治疗数据和签名密钥生成授权码，该授权码用于验证治疗数据。该方法可以包括通过呼吸治疗装置将治疗数据和授权码发送到远程服务器。授权码可以是散列消息授权码。签名密钥还可以取决于共享秘密的偏移。可以通过呼吸治疗装置从远程服务器接收偏移。随机数可以是伪随机数。呼吸治疗装置可以经由被配置为与远程服务器通信的控制装置接收随机数。呼吸治疗装置可以通过使用控制装置已知的对称密钥解密随机数来从控制装置接收随机数。呼吸治疗装置可以经由被配置为与远程服务器通信的控制装置发送治疗数据和授权码。控制装置可以通过使用控制装置已知的对称密钥加密治疗数据和授权码来将治疗数据和授权码发送到控制装置。

本技术的一些版本可包括呼吸治疗装置。呼吸治疗装置可包括压力发生器，其适于与患者接口耦合并向患者接口供应正压力下的空气流。呼吸治疗装置可包括存储器和处理器。存储器可以包含程序指令，其当由处理器执行时，控制呼吸治疗装置以将由呼吸治疗装置生成的治疗数据上传到远程服务器。程序指令可以控制呼吸治疗装置以从远程服务器接收随机数。程序指令可以控制呼吸治疗装置以由随机数和远程服务器已知的秘密计算签名密钥。程序指令可以控制呼吸治疗装置以使用治疗数据和签名密钥生成授权码。授权码可以用于验证治疗数据。程序指令可以控制呼吸治疗装置将治疗数据和授权码发送到远程服务器。

本技术的一些版本可以包括网络化呼吸治疗系统。网络化呼吸治疗系统可包括用于向患者递送呼吸治疗的呼吸治疗装置。网络化呼吸治疗系统可包括远程服务器，其被配置为与呼吸治疗装置通信。呼吸治疗装置可以被配置为从远程服务器接收随机数。呼吸治疗装置可以被配置为由随机数和远程服务器已知的秘密计算签名密钥。呼吸治疗装置可以被配置为使用治疗数据和签名密钥生成授权码。授权码可以用于验证治疗数据。呼吸治疗装置可以被配置为将治疗数据和授权码发送到远程服务器。呼吸治疗装置可以是呼吸压力治疗装置。在一些版本中，网络化呼吸治疗系统可以包括控制装置，其被配置为与呼吸治疗装置安全地通信并且与远程服务器通信。控制装置可以被配置为使用呼吸治疗装置已知的对称密钥与呼吸治疗装置安全地通信。远程服务器可以被配置为接收治疗数据和第一授权码。远程服务器可以被配置为由随机数和呼吸治疗装置已知的秘密计算签名密钥。远程服务器可以被配置为由接收的治疗数据和签名密钥计算第二授权码。远程服务器可以被配置为通过将第一授权码与第二授权码进行比较来验证治疗数据。

本技术的一些版本可以包括具有用于从呼吸治疗装置接收治疗数据的装置的设备。该设备可包括用于从远程服务器接收随机数的装置；用于将随机数发送到呼吸治疗装置的装置。该设备可以包括用于从呼吸治疗装置接收签名密钥的装置，其中签名密钥取决于随机数以及呼吸治疗装置和远程服务器已知的秘密。该设备可以包括用于使用治疗数据和签名密钥生成授权码的装置，该授权码用于验证治疗数据。该设备可以包括用于将治疗数据和授权码发送到远程服务器的装置。

本技术的一些版本可以包括具有用于接收来自呼吸治疗装置的治疗数据和第一授权码的设备装置的设备。该设备可以包括用于由随机数和呼吸治疗装置已知的秘密计算签名密钥的装置。该设备可以包括用于由接收的治疗数据和签名密钥计算第二授权码的装置。该设备可包括用于通过将第一授权码与第二授权码进行比较来验证治疗数据的装置。

本技术的一些版本可以包括具有用于向患者递送呼吸治疗的装置的设备。该设备可以包括用于从远程服务器接收随机数的装置。该设备可以包括用于由随机数和远程服务器已知的秘密计算签名密钥的装置。该设备可以包括用于使用治疗数据和签名密钥生成授权码的装置，该授权码用于验证治疗数据。该设备可以包括用于将治疗数据和授权码发送到远程服务器的装置。

本文描述的方法，系统，装置和设备可以在处理器中提供改进的功能，例如专用计算机，呼吸监测器和/或呼吸治疗装置的处理器。此外，所描述的方法，系统，装置和设备可以在呼吸障碍的自动化管理，监测和/或治疗的技术领域中提供改进，包括例如阻塞性睡眠呼吸暂停，以及与装置的通信。

当然，这些方面的各部分可以形成本技术的子方面。此外，各个子方面和/或方面可以以各种方式组合，并且还构成本技术的其他方面或子方面。

通过考虑以下具体实施方式，摘要，附图和权利要求中包含的信息，该技术的其他特征将是显而易见的。

4附图说明

本技术通过实施例而非限制的方式在附图中示出，其中相同的附图标记表示类似的元件，其包括：

4.1治疗系统

图1示出了包括穿戴患者接口3000的患者1000的系统，该患者接口3000以鼻枕的形式从RT装置4000接收正压下的空气供应。来自RT装置4000的空气在湿化器5000中加湿，并且沿着空气回路4170传递到患者1000。还示出了床伴1100。

4.2呼吸系统和面部解剖学

图2示出了包括鼻腔和口腔、喉、声带、食道、气管、支气管、肺、肺泡囊、心脏和膈膜的人类呼吸系统的概略图。

4.3患者接口

图3示出了根据本技术的一种形式的鼻罩形式的患者接口。

4.4RT装置

图4A示出了根据本技术的一种形式的RT装置。

图4B是根据本技术的一种形式的RT装置的气动路径的示意图。指示上游和下游的方向。

图4C是根据本技术的一种形式的RT装置的电气部件的示意图。

4.5湿化器

图5A示出了根据本技术的一种形式的湿化器的等距视图。

图5B示出了根据本技术的一种形式的湿化器的等距视图，其示出了从湿化器贮存器泊区5130移除的湿化器贮存器5110。

4.6安全的网络化呼吸治疗系统

图6是根据本技术的一种形式的网络化呼吸治疗系统的示意图。

图7是示出根据本技术的一种形式的可以由图6的系统的控制装置和RT装置使用以在他们之间建立安全通信信道的方法的流程图。

图8包含根据本技术的一种形式的说明方法并且可以分别通过RT装置和控制装置执行以实现他们在图7的方法中的各自作用的流程图。

图9是根据本技术的一种形式的可以通过图6的网络化呼吸治疗系统实现以确保对RT装置进行固件升级的方法的示意图。

图10是根据本技术的一种形式的可以通过图6的网络化呼吸治疗系统实现以授权将治疗数据上传到服务器的方法的示意图。

图11是根据本技术的另一种形式的可以通过图6的网络化呼吸治疗系统实现以授权将治疗数据上传到服务器的方法的示意图。

5具体实施方式

在更进一步详细描述本技术之前，应当理解的是本技术并不限于本文所描述的特定实施例，其可改变。还应当理解的是本公开中使用的术语仅是为了描述本文所描述的特定实施例的目的，并不意图进行限制。

提供与可共有一个或多个共同特点和/或特征的各种实施例有关的以下描述。应该理解的是任何一个实施例的一个或多个特征可以与另一个实施例或其他实施例的一个或多个特征组合。另外，任何实施例中的任何单个特征或特征的组合可以构成另一实施例。

5.1治疗

在一种形式中，本技术包括一种用于治疗呼吸障碍的方法，其包括将正压下的空气流供应到患者1000的气道入口。

5.2呼吸治疗系统

在一种形式中，本技术包括用于治疗呼吸障碍的呼吸治疗系统。呼吸治疗系统可以包括RT装置4000，其用于经由通向患者接口3000的空气回路4170向患者1000供应正压下的空气流。

5.3患者接口

根据本技术的一个方面的无创患者接口3000包括以下功能方面：密封形成结构3100、充气室3200、定位和稳定结构3300、通气口3400、用于连接到空气回路4170的一种形式的连接端口3600以及前额支架3700。在一些形式中，可通过一个或多个物理部件来提供功能方面。在一些形式中，一个物理部件可提供一个或多个功能方面。在使用中，密封形成结构3100被布置成围绕患者气道的入口，以便于将正压下的空气供应到气道。

5.4RT装置

根据本技术的一个方面的RT装置4000包括机械，气动和/或电气部件，并且可以被配置为全部或部分地执行一个或多个算法，例如文中所述的任何方法。RT装置4000可以被配置为将正压下的空气流供应到患者气道的入口，例如用以治疗本文件中其他地方描述的一种或多种呼吸障碍。

RT装置可具有外壳4010，该外壳4010分两部分形成，上部4012和下部4014。此外，外壳4010可包括一个或多个面板4015。RT装置4000包括支撑RT装置4000的一个或多个内部部件的底盘4016。RT装置4000可以包括手柄4018。

RT装置4000的气动路径可以包括一个或多个空气路径物品，例如，入口空气过滤器4112、入口消声器4122、能够供应正压下的空气的压力发生器4140(例如，鼓风机4142)、出口消声器4124以及一个或多个转换器4270，例如压力传感器4272和流量传感器4274。

一个或多个空气路径物品可位于称为气动块4020的可移除的整体结构内。气动块4020可以位于外壳4010内。在一种形式中，气动块4020由底盘4016支撑或形成为底盘4016的一部分。

RT装置4000可具有电源4210、一个或多个输入装置4220、中央控制器4230、治疗装置控制器4240、压力发生器4140、一个或多个保护电路4250、存储器4260、转换器4270、数据通信接口4280和一个或多个输出装置4290。电气部件4200可以安装在单个印刷电路板组件(PCBA)4202上。在一种替代形式中，RT装置4000可包括一个以上的PCBA 4202。

5.4.1RT装置的机械和气动部件

RT装置可在整体单元中包括一个或多个以下部件。在一种替代形式中，一个或多个以下部件可以作为各自单独单元定位。

5.4.1.1空气过滤器

根据本发明的一种形式的RT装置可包括一个空气过滤器4110，或多个空气过滤器4110。

在一种形式中，入口空气过滤器4112位于压力发生器4140上游的气动路径的起点处。

在一种形式中，出口空气过滤器4114，例如抗菌过滤器，位于在气动块4020的出口与患者接口3000之间。

5.4.1.2消声器

根据本技术的一种形式的RT装置可以包括一个消声器4120或多个消声器4120。

在本技术的一种形式中，入口消声器4122位于压力发生器4140上游的气动路径中。

在本技术的一种形式中，出口消声器4124位于压力发生器4140和患者接口3000之间的气动路径中。

5.4.1.3压力发生器

在本技术的一种形式中，用于产生正压空气流或供应的压力发生器4140是可控制的鼓风机4142。例如，鼓风机4142可以包括具有安置在蜗壳中的一个或多个叶轮的无刷DC电动机4144。鼓风机能够在约4cmH2O至约20cmH2O的正压，或以高达约30cmH2O的其他形式的压力下例如以高达约120升/分钟的速率供应空气。鼓风机可以如以下专利或专利申请中的任一个所述，其内容通过引用整体并入本文：美国专利号7,866,944；美国专利号8,638,014；美国专利号8,636,479；和PCT专利申请公开号WO2013/020167。

压力发生器4140受治疗装置控制器4240的控制。

在其他形式中，压力发生器4140可以是活塞驱动的泵、连接到高压源(例如，压缩空气储存器)的压力调节器或风箱。

5.4.1.4转换器

转换器可以在RT装置的内部，或RT装置的外部。外部转换器可以位于例如空气回路(例如患者接口)上或形成其一部分。外部转换器可以是非接触式传感器的形式，例如将数据传送或传输到RT装置的多普勒雷达运动传感器。

在本技术的一种形式中，一个或多个转换器4270可以位于压力发生器4140的上游和/或下游。一个或多个转换器4270可以被构造和布置成生成表示空气流性质的信号，例如气动路径中该点处的流量、压力或温度。

在本技术的一种形式中，一个或多个转换器4270位于患者接口3000的近侧。

在一种形式中，可以对来自转换器4270的信号进行滤波，例如通过低通滤波、高通滤波或带通滤波。

5.4.1.4.1流量传感器

根据本技术的流量传感器4274可基于压差转换器，例如来自SENSIRION的SDP600系列压差转换器。

在一种形式中，表示来自流量传感器4274的流量的信号由中央控制器4230接收。

5.4.1.4.2压力传感器

根据本技术的压力传感器4272被定位成与气动路径流体连通。合适的压力传感器的实例是来自HONEYWELL ASDX系列的转换器。替代性合适的压力传感器是来自GENERALELECTRIC的NPA系列转换器。

在一种形式中，来自压力传感器4272的信号由中央控制器4230接收。

5.4.1.4.3电动机速度转换器

在本技术的一种形式中，电动机速度转换器4276用于确定电动机4144和/或鼓风机4142的转动速度。可将来自电动机速度转换器4276的电动机速度信号提供给治疗装置控制器4240。电动机速度转换器4276可以是例如速度传感器，诸如霍尔效应传感器。

5.4.1.5防溢回阀

在本技术的一种形式中，防溢回阀4160可以被定位在湿化器5000与气动块4020之间。防溢回阀被构造和布置为降低水从湿化器5000向上游流动到例如电动机4144的风险。

5.4.2RT装置电气部件

5.4.2.1电源

电源4210可被定位在RT装置4000的外壳4010的内部或外部。

在本技术的一种形式中，电源4210仅向RT装置4000提供电力。在本技术的另一种形式中，电源4210向RT装置4000和湿化器5000提供电力。

5.4.2.2输入装置

在本技术的一种形式中，RT装置4000包括输入装置4220以允许患者与装置进行交互。在一种这样的形式中，输入装置4220包括一个或多个按钮、开关或转度盘。

5.4.2.3中央控制器

在本技术的一种形式中，中央控制器4230为一个或多个适于控制RT装置4000的处理器。

合适的处理器可包括x86因特尔处理器、基于来自ARM Holdings的

-M处理器的处理器，诸如来自ST MICROELECTRONIC的STM32系列微控制器。在本技术的某些替代性形式中，32位RISC CPU诸如来自ST MICROELECTRONICS的STR9系列微控制器，或16位RISC CPU诸如来自由TEXAS INSTRUMENTS制造的MSP430系列微控制器的处理器可同样适用。

在本技术的一种形式中，中央控制器4230为专用电子电路。

在一种形式中，中央控制器4230为专用集成电路。在另一种形式中，中央控制器4230包括分立电子部件。

中央控制器4230可被配置为从一个或多个转换器4270、一个或多个输入装置4220以及湿化器5000接收输入信号。

中央控制器4230可被配置为向输出装置4290、治疗装置控制器4240、数据通信接口4280和湿化器5000中的一个或多个提供输出信号。

在本技术的一些形式中，中央控制器4230被配置为实现本文描述的一个或多个方法，诸如表达为存储在诸如存储器4260的非暂时性计算机可读存储介质中的计算机程序或“固件”的一个或多个算法。例如，一个算法可以在呼吸治疗期间检测患者的呼吸事件。

5.4.2.4时钟

RT装置4000可包括连接到中央控制器4230的时钟4232。

5.4.2.5治疗装置控制器

在本技术的一种形式中，治疗装置控制器4240是治疗控制模块，其形成由中央控制器4230执行的算法的一部分。

在本技术的一种形式中，治疗装置控制器4240为专用电动机控制集成电路。例如，在一种形式中，使用由ONSEMI制造的MC33035无刷直流电动机控制器。

5.4.2.6保护电路

根据本技术的一个或多个保护电路4250可包括电气保护电路、温度和/或压力安全电路。

5.4.2.7存储器

根据本技术的一种形式，RT装置4000包括存储器4260，例如非易失性存储器。在一些形式中，存储器4260可包括电池供电的静态RAM。在一些形式中，存储器4260可包括易失性RAM。

存储器4260可被定位于PCBA 4202上。存储器4260可以是EEPROM或NAND闪存的形式。

另外地或替代地，RT装置4000包括可移除形式的存储器4260，例如根据安全数字(SD)标准制成的存储卡。

在本技术的一种形式中，存储器4260用作非暂时性计算机可读存储介质，其上存储表达本文所述的一种或多种方法(例如上述的一种或多种算法)的计算机程序指令。

5.4.2.8通信

在本技术的一种形式中，提供了数据通信接口4280，并且将其连接到中央控制器4230。数据通信接口4280可连接到远程外部通信网络4282和/或本地外部通信网络4284。远程外部通信网络4282可连接到远程外部装置4286。本地外部通信网络4284可连接到本地外部装置4288。本地外部通信网络4284可以是有线的或无线的。

在一种形式中，数据通信接口4280为中央控制器4230的一部分。在另一种形式中，数据通信接口4280与中央控制器4230分离，并可包括集成电路或处理器。

5.4.2.9输出装置

根据本技术的输出装置4290可以采用视觉，音频和触觉单元中的一种或多种的形式。在一种形式中，输出装置4290可以包括或多个LED。

输出装置4290和输入装置4220可以统称为RT装置4000的用户接口。

5.5空气回路

根据本技术的一个方面的空气回路4170是导管或管，其被构造和布置成在使用中允许空气在两个部件(例如RT装置4000和患者接口3000)之间流动。

5.6湿化器

在本技术的一种形式中，提供了湿化器5000(例如，如图5A所示)，以相对于环境空气改变用于递送到患者的空气或气体的绝对湿度。通常，湿化器5000用于在递送到患者的气道之前增加空气流的绝对湿度并增加空气流的温度(相对于环境空气)。

湿化器5000可以包括湿化器贮存器5110、用于接收空气流的湿化器入口5002以及用于递送加湿的空气流的湿化器出口5004。在一些形式中，如图5A和图5B所示，湿化器贮存器5110的入口和出口可以分别是湿化器入口5002和湿化器出口5004。湿化器5000还可以包括湿化器基座5006，其可以适于接收湿化器贮存器5110并且包括加热元件5240。

5.7安全的网络化呼吸治疗

图6是根据本技术的一种形式的网络化呼吸治疗系统6000以及一些无关实体的示意图。该系统包括RT装置4000。RT装置4000被配置为经由通向患者接口3000的空气回路4170向患者1000供应正压下的空气流，如图1所示。

RT装置4000经由无线连接6015与控制装置6010通信。控制装置6010与患者1000相关联。控制装置6010可以对应于图4C的本地外部装置4288，并且无线连接6015可以对应于本地外部通信网络4284。控制装置6010是用于RT装置4000的控制装置，诸如通过运行专用软件应用程序或“app”配置的专用“远程控制”或通用计算装置。这样的软件应用程序可以由控制装置6010通过诸如内联网或因特网的网络从诸如网络服务器的服务器下载。控制装置6010可以是便携式的。在一些形式中，无线连接6015利用一个或多个无线通信协议，例如蓝牙或蓝牙LE、NFC或消费者红外协议。因此，无线连接6015可能涉及短程或低能联网，其可以是控制装置和RT装置之间的直接链路。

图6还示出了经由无线连接6025与RT装置4000通信的第二控制装置6020。然而，第二控制装置6020不形成呼吸治疗系统6000的一部分。如果无线连接6025利用在与无线连接6015相同的协议，犯罪分子6030可能持有第二控制装置6020以经由第二控制装置6020损害控制装置6010和RT装置4000之间的无线连接6015的安全性。出于这个原因，第二控制装置6020可以被称为未授权的控制装置6020。下面给出关于保护无线连接6015免受未授权的控制装置6020造成的各种威胁的布置的更多细节。

网络化呼吸治疗系统6000还包含远程服务器6040，其经由无线连接6050与控制装置6010通信。远程服务器6040可以通过诸如互联网或因特网的一种或多种网络经由无线连接6050访问控制装置(例如控制装置6010)。因此，无线连接6050可以用作与远程服务器的间接联网链路。这种无线联网可以包括例如WIFI网络、蓝牙网络、无线电蜂窝网络(例如，全球移动通信系统(GSM)网络等)。因此，与无线连接6015相比，无线连接6050可能涉及远程无线通信。控制装置6010可被配置为充当RT装置4000和远程服务器6040之间的中介。网络化呼吸治疗系统6000可以包含经由相应的无线连接(未示出)与服务器6040通信的其他RT装置(未示出)，每个通过相应的控制装置(未示出)控制。因此，服务器6040被配置为服务多个RT装置4000而不会在他们之间产生混淆。

RT装置4000可以被配置为经由连接6015向控制装置6010发送与呼吸治疗有关的数据，例如，使用的时间，呼吸事件的数量或依从性规则评估结果。这些治疗数据又可以由控制装置6010通过连接6050上传到服务器6040。控制装置6010可以被配置为经由连接6015向RT装置4000发送用于呼吸治疗的控制参数，例如依从性规则。该控制参数可以由控制装置6010通过连接6050从服务器6040下载。控制装置6010还可以被配置为经由连接6015向RT装置4000的固件发送升级。这种升级可以由控制装置6010通过连接6050从服务器6040下载。

图6还示出了经由无线连接6070与服务器6040通信的计算装置6060。然而，计算装置6060不形成网络化呼吸治疗系统6000的一部分。此外，计算装置6060不与RT装置通信，因此被称为不关联的(控制)装置。如果无线连接6070使用与无线连接6050相同的协议，并且不关联的装置6060运行在控制装置6010上运行的app的“欺骗”版本，以便对服务器6040而言看起来像是合法的控制装置6010，则犯罪分子6065可能持有不关联的装置6060以经由不关联的装置6060损害网络化呼吸治疗系统6000，特别是服务器6040的操作。下面给出关于保护服务器6040免受不关联的装置6060造成的各种威胁的布置的更多细节。

当与RT装置4000通信的控制装置6010处于犯罪分子(未示出)的控制下时，发生对网络化呼吸治疗系统6000的第三类威胁。该犯罪分子在控制装置6010上安装了在授权控制装置上运行的app的“欺骗”版本。出于恶意目的，欺骗版本试图对服务器6040和/或RT装置4000而言使其看起来像是授权的控制设备。因此，该控制装置6010被称为“欺骗”控制装置。换句话说，服务器6040不能确定与其通信的任何控制装置6010不具“欺骗性”，并且因此必须将网络化呼吸治疗系统6000中的任何控制装置6010视为不可信赖的。下面给出关于保护服务器6040免受这种欺骗的控制装置6010造成的各种威胁的布置的更多细节。

5.7.1RT装置和控制装置

如上所述，期望RT装置4000和控制装置6010之间的无线通信6015的安全漏洞免受未授权的控制装置6020。进一步期望最小化在控制装置6010和RT装置4000之间建立安全通信信道的复杂性。此外，安全通信信道应该使用可能是RT装置4000上的高度受限的用户接口来建立，其输入装置4220可以由一个按钮组成并且其输出装置4290可以由一个LED组成。但是，信道建立方法也应该可以在具有更复杂的用户接口的RT装置上使用。

可以通过使用两个装置已知但对其他装置未知的对称密钥以加密和解密装置之间的通信来保护两个装置之间的通信信道。信道的安全性与对称密钥的密码“强度”直接相关。强度通常等于可能的键值的数量以及所选值的熵或随机性。通常，对于所有可能值而言任何值发生的概率相同的密钥，可能值的数量越大，熵越高并且密钥越强。建立这种安全信道的一个困难在于使对称密钥是两个装置已知的，同时使其对能够窃听两个装置之间的未加密通信的未授权的控制装置(例如6020)是保密的。

图7是示出根据本技术的一种形式的可以由控制装置6010和RT装置4000使用以在他们之间建立安全通信信道的方法7000的流程图。也就是说，控制装置6010和/或RT装置4000的控制器或处理器可以被配置为执行如本文所述的方法(例如，编程化)，例如关于图7和8的方法。

方法7000在步骤7010开始，在步骤7010中，控制装置6010和RT装置4000在他们之间建立通信信道。该步骤可以通过激活RT装置4000的用户接口上的一些输入来启动，例如，按下形成RT装置4000的用户接口的一部分的按钮4220。RT装置4000可以被配置为限制或允许这样的激活输入可用于患者，临床医生或授权技术人员(例如医疗设备提供商的技术人员)中的任一个或多个。还形成RT装置4000的用户接口的一部分的LED 4290可以闪烁以指示RT装置4000准备好连接到控制装置。该启动动作使得当前连接到RT装置4000的任何控制装置被断开。因此，与RT装置4000的现有控制相关通信信道将被RT装置4000终止。

在响应于用户启动动作的方法7000的实现中，其中要使用的无线协议是标准通信协议，例如蓝牙，RT装置4000进入“可发现”模式，这意味着支持协议(例如，蓝牙)的装置可以与RT装置配对，作为步骤7010的一部分。在一个这样的实现中，例如通过使用蓝牙核心规范的里斯本版本的简单配对特征的Just Works关联模型[1]，装置被配置为通过共享对称密钥在他们之间建立加密通信信道。然后，每个装置可以加密和解密与共享对称密钥的通信。简单配对提供了相当的保护强度抵御对传统蓝牙2.0+EDR(及更早版本)中配对的被动窃听攻击，当后者使用16个字符，区分大小写的字母数字PIN(约95位熵)时，具有使用起来更简单的优点。在简单配对的Just Works关联模型下，用户只需要通过在控制装置6010的用户接口上的是/否控制上选择“是”来接受配对。Just Works特别适合于具有由单个按钮4220和LED4290组成的最简单用户接口的RT装置，因为这些装置可能无法显示可变字母数字代码，如简单配对的数字比较关联模型所要求的。在步骤7010的其他实现中，包括要使用的无线协议是蓝牙的那些，通过步骤7010建立的通信信道是未加密的(即，其是“清空”信道)。

步骤7010的结果是两个装置都访问用于他们之间的双向通信的信道。LED 4290可以通过稳定照明指示步骤7010的完成。如果信道未加密，则由于被动窃听的风险而被认为是不安全的。

有源未授权的控制装置(例如，6020)可以在可发现模式下发现RT装置4000并通过Just Works关联模型与其配对，从而拒绝对控制装置6010的服务。

为了减少这种可能性，在一些实现中，启动步骤7010的用户动作的效果可以是有时间限制的，例如，在“可发现的窗口”内。在这样的实现下，RT装置4000仅在可发现窗口期间使其自身可被发现，例如，持续时间为60秒。在可发现的窗口之外，RT装置4000不可被通过标准协议通信的任何装置(例如，蓝牙装置)发现。这可以通过熄灭LED 4290来指示。这将未经授权的控制装置(例如，6020)尝试拒绝服务需要以与RT装置4000通信的时间限制到控制装置6010也主动尝试与RT装置4000配对的短暂间隔。

如果未授权的控制装置6020应成功与RT装置4000配对，则控制装置6010可检测到这种情况，因为其自身配对未能以某个预定时间限制完成。控制装置6010可以将该故障传达给用户，并且提示用户重复启动动作(例如，通过按下RT装置4000上的按钮4220)，如上所述，其断开与RT装置4000配对的任何控制装置。在一个实现中，对于第二次和随后的配对尝试的可发现的窗口可能比第一次配对尝试持续时间更长。

比拒绝服务更严重的威胁是在可发现的窗口期间未授权的控制装置6020可能变成“中间人”(MITM)，而不被装置6010或4000检测到。当未授权的控制装置6020在蓝牙配对操作中对于每个装置伪装成另一装置时，则发生中间人攻击。然后，未授权的控制装置6020中继两个装置之间的信息，给出每个装置直接配对的错觉，并计算对称密钥。因此，知道对称密钥，未授权的控制装置6020可以窃听两个装置之间的信道，并且能够插入和修改信道中的信息(这被称为“主动窃听”)。因此，即使交换或共享RT装置4000和控制装置6010之间的对称密钥，通过步骤7010建立的信道仍然被认为在至少主动窃听的风险方面是不安全的，即使使用Just Works简单配对和/或上述“可发现的窗口”选项。

返回到方法7000，一旦控制装置6010在步骤7010中成功地与RT装置4000建立不安全的通信信道，RT装置4000就可以使其自身不再被通过标准协议通信的其他装置发现。然后可以实现步骤7020和7030，以通过建立第一共享秘密(例如令牌)并使用在不安全信道上的通信将其转换为比第一共享秘密更强大的第二共享秘密(例如第二更复杂的令牌)来降低被动和主动窃听的风险。第一共享秘密不能是通过步骤7010建立的对称密钥，或者可以由其导出，因为这可以是未授权的控制装置(例如6020)已知的。因此，步骤7020的目的是使用与在步骤7010中建立的不安全信道不同的信道建立第一共享秘密。

控制装置6010和未授权的控制装置6020之间的共同显著差异在于，前者具有对RT装置4000的物理访问，而后者不具有。步骤7020利用该差异在控制装置6010和RT装置4000之间建立第一共享秘密。这样的第一秘密可以是预先确定的，例如由制造商预先确定，以便可以使用RT装置4000将第一秘密分发给例如用户。因此，可以基于第一秘密(例如，利用第一秘密)对RT装置4000内的控制器进行预编程以进行分发。当用于/由控制装置6010获得时，这样的第一秘密变得共享。第一秘密可以由控制装置6010经由与步骤7010中控制装置6010与RT装置4000之间建立的不安全通信信道不同的信道或介质(例如图6中的信道6013)获得。例如，在步骤7020中，控制装置6010经由不同的信道6013获得RT装置4000已知的令牌或密钥。令牌或密钥可以被认为是第一共享秘密。对于源自单个制造商的每个RT装置4000，密钥可以是不同的并且是随机的。不同的信道6013有时被称为“带外”机制。步骤7020的一些实现可以利用控制装置6010对RT装置4000的物理访问。在步骤7020中还可以使用其他这样的“不同信道”传输(例如，通过电话、邮件、用户/操作手册、制造商网站访问、特定RT装置4000特有的其他分发材料，例如来自制造商等)。

在步骤7030中，控制装置6010和RT装置4000然后使用令牌或密钥以及在不安全的通信信道上交换信息(例如，密钥交换)来建立第二共享秘密。因此，任一或两个装置都可以由(1)未在不安全信道上通信的第一共享秘密和(2)在不安全信道上通信的交换信息分别生成第二共享秘密。可以是比先前令牌更复杂的令牌(例如，具有更多数量的比特，数字和/或字符)的该第二共享秘密可以被认为是“授权密钥”。然后第二共享秘密可用以导出或生成称为“会话密钥”的对称密钥。第二共享秘密和会话密钥都不需要通过在不安全信道上的通信进行交换。然后，拥有会话密钥的控制装置6010和RT装置4000可以使用会话密钥进行通信(例如，加密和解密)，从而建立相对于在步骤7010中建立的不安全通信信道为安全的通信信道。在不知道密钥的情况下，未授权的MITM控制装置不能计算或导出第二共享秘密或会话密钥，因此不能窃听在步骤7030中建立的通信信道，即使完全知道在该步骤中在不安全通信信道中来回传递的数据也是如此。不知道会话密钥的未授权的MITM控制装置不能解密用会话密钥加密的信息，也不能将可理解的信息插入到信道中。因此，在步骤7030中建立的通信信道可以被认为相对于在步骤7010中建立的不安全通信信道是安全的。

在步骤7020的一个“物理访问”实现中，密钥是印刷在RT装置4000的物理部分(例如外壳4010)或可与RT装置4000一起分发的其用户手册/操作手册或其他文档上的令牌。密钥可以以人类可读的形式，机器可读的形式或两者来印刷。在机器可读形式的一个实现中，可以对令牌进行模糊处理以避免容易理解。例如，一个这样的实现可以是被编码为印刷在外壳4010上的条形码6017(例如QR码)或其他编码图形符号/表示的令牌。在这样的实现中，控制装置6010被配置有条形码读取器(例如相机)和相关的条形码解码图像处理功能，并且在步骤7020中，控制装置6010使用条形码读取器扫描条形码，从而获得密钥。在人类可读形式的一个实现中，密钥以字母数字形式印刷在外壳4010上。在步骤7020的这种实现中，控制装置6010通过用户手动输入到控制装置6010的用户接口来获得密钥。在一个这样的实现中，密钥的人类可读形式是五位十进制数字代码(100000种可能性)。这种密钥在其仅具有约16位熵的意义上是“弱”的。在另一个实现中，密钥的人类可读形式是四位十进制数字代码(例如，“7409”)，其可以被认为同样是弱的。

如上所述，密钥可以以机器可读和人类可读的形式印刷在外壳4010上。在这样的实现中，在步骤7020中，控制装置6010首先尝试将机器可读形式的密钥扫描到控制装置6010中。如果失败，则控制装置6010提示用户通过控制装置6010的用户接口手动输入人类可读形式的密钥。

在步骤7020的另一“物理访问”实现中，控制装置6010经由诸如近场通信(NFC)的近距离无线协议从RT装置4000获得令牌。在步骤7020的另一“物理访问”实现中，控制装置6010通过扫描嵌入在RT装置4000中的RFID标签从RT装置4000获得令牌，该RFID标签对该令牌进行编码。

在步骤7030中，两个装置通过在不安全信道上通信以计算共享(对称)授权密钥来联合实现密钥交换协议。在步骤7020中获得的密钥(第一共享秘密)在步骤7030中用于验证密钥交换。在步骤7030的一些实现中，可以使用基于Diffie-Hellman的密钥交换协议，例如安全远程密码(SRP)协议。在步骤7030的一个实现中，使用称为SRP6a[2]的基于Diffie-Hellman的协议的变体。SRP6a具有以下属性：

·针对窃听的安全性。密钥永远不会通过不安全的通信信道发送，无论是清空还是加密。

·对重放攻击的免疫。禁止重复使用捕获的信息以获得访问。

·对离线字典攻击的抗性。捕获流量不会泄露任何离线计算攻击的信息。

·正向安全性。如果密钥变得已知，则使用过去会话捕获的流量解码后仍然安全。

·不需要后端连接，证书可以通过该后端连接进行验证。

如上所述，SRP6a通过基于Diffie-Hellman的一轮计算实现了安全性。在SRP6a下，一个装置(在本技术中为RT装置4000)被指定为服务器，另一个(控制装置6010)被指定为客户端。服务器(验证器)将共享的密钥转换为验证器，然后与Diffie-Hellman取幂组合以生成公钥。这允许在使用低熵密钥(例如五位密钥)时保留安全性。客户端(对等方)还生成Diffie-Hellman样式的公钥。公钥通过不安全的信道交换，并且从该信息中，客户端和服务器都计算比密钥更强的共享秘密(授权密钥)。任选地，两个装置然后可以执行完成的消息确认序列以向他们自己证明他们计算的授权密钥是相同的。这是通过一系列散列实现的，其结果在装置之间交换并进行比较。如果任一比较失败，则中止步骤7030，因为这是MITM控制装置正试图使用错误猜测的密钥参与密钥交换的证据。为了增加安全性，在步骤7030的优选实现中，如果使用相同的密钥重复步骤7030，则授权密钥在统计上不太可能是相同的。

两个装置都将授权密钥的散列存储在安全持久存储器中(例如，用于RT装置4000的存储器4260)。如上所述，在步骤7030的最后子步骤中，每个装置由授权密钥的散列计算会话密钥用于在当前会话期间进行加密/解密。会话密钥计算还可以基于生成并从一个装置发送到另一个装置的被称为“随机数”的单次使用随机数。在一个实现中，“随机数”是由服务器生成的随机数，并且通过不安全的通信信道发送到客户端，在会话密钥计算中被两个装置使用，然后丢弃。具有不同随机数的该子步骤可以在设备的每次后续重新配对时重复，以计算每个通信会话的不同会话密钥，从而实现前面提到的“正向安全性”。

密钥本身不需要存储在RT装置4000的存储器4260中。相反，密钥的散列可以存储在存储器4260中，因为这是服务器端根据SRP6a执行步骤7030所需的全部。密钥散列在RT装置4000外部是不可访问的，因为没有通过接口4280向本地或远程的外部计算设备提供对存储散列的存储器4260中的位置的访问。一旦步骤7030完成，控制装置6010就不需要存储密钥，因为其不用于随后的重新配对操作中。

图8包含根据本技术的一种形式的说明方法8000和8050的可以分别通过服务器(RT装置4000)和客户端(控制装置6010)执行以实现他们在方法7000中的各自作用的两个流程图。

方法8000在步骤8010开始，并且方法8050在步骤8055开始，其中服务器和客户端分别采取必要的动作，例如使用蓝牙协议的Just Works简单配对(步骤7010)与彼此建立不安全的通信信道。这些步骤需要两个装置之间不安全的双向通信，如双向虚线箭头8001所示。除了步骤8060中的通信之外，由方法8000和8050之间的虚线箭头指示的两个装置之间的剩余通信发生在不安全的通信渠道上。

随后是方法8050的步骤8060，其中客户端从服务器获得密钥(P)或第一共享秘密，例如使用其对服务器的物理访问，如上面关于步骤7020所述。方法8000和8050的剩余步骤实现方法7000的步骤7030。在方法8000的步骤8015中，服务器使用salt(s)计算服务器公钥(B)。salt(s)是服务器生成的随机数。Diffie-Hellman密钥交换基于整数对称为群质数的大质数(N)取模的乘法群。为了计算服务器公钥(B)，服务器使用组生成器(g)，其是小整数(例如2)和群质数(N)。服务器首先计算指数(x)作为与密钥(P)的散列串接的salt(s)的散列：

x＝HASH(s|HASH(P))

其中“|”表示串接。散列函数的一个实例是称为SHA256的函数。然后，服务器通过将组生成器(g)提升到对组质数(N)取模的指数(x)来计算验证者(v)，如下所示：

v＝g^xmodN

然后，服务器通过散列组质数(N)和组生成器(g)来计算乘数(k)：

k＝HASH(N|PAD(g))

其中PAD()表示填充函数，旨在使其自变量达到散列函数所需的长度。PAD()可以仅将零附加到其自变量，但是可以使用填充的其他实现。

然后服务器计算服务器公钥(B)，如下所示：

B＝k×v+g^bmodN

其中b是服务器随机指数。然后，步骤8015将服务器公钥(B)和salt(s)发送给客户端。虽然步骤8015的各方面可以在步骤8010之后和/或在通信过程期间执行，但是在一些情况下，可以在这种通信之前(例如，在步骤8010之前)计算公钥或salt，使得他们可以在步骤8015中被访问以进行发送。

客户端在方法8050的步骤8065中接收服务器公钥(B)和salt(s)。客户端知道组生成器(g)和组质数(N)，因此在步骤8070中能够通过将组生成器(g)提升到对组质数(N)取模的客户端随机指数(a)来计算客户端公钥(A)：

A＝g^amodN

同样在步骤8070中，客户端将客户端公钥(A)发送到服务器，服务器在方法8000的步骤8020中接收。注意，步骤8065和8070可以以任何顺序执行，因为客户端公钥(A)不依赖于服务器公钥(B)或salt(s)。如果步骤8070在步骤8065之前，则步骤8020可以在步骤8015之前。

还要注意，步骤8060可以在步骤8065和8070之后，因为客户端不需要密钥(P)来计算客户端公钥(A)。然而，在一些情况下，步骤8060可以在步骤8055之前。

在步骤8025中，服务器计算客户端和服务器公钥(A和B)的散列(u)：

u＝HASH(PAD(A)|PAD(B))

然后由散列(u)，服务器随机指数(b)，验证者(v)和客户端公钥(A)计算第二共享秘密或授权密钥(S)，如下所示：

S＝(A×v^u)^bmodN

在方法8050的步骤8075中，客户端使用上述等式计算散列(u)，乘数(k)和指数(x)(注意计算指数(x)需要在步骤8060中获得的密钥(P))。然后，客户端计算授权密钥(S)，如下所示：

S＝(B-(k×g^xmodN))^a+uxmodN

可以看出，使用模N运算，客户端和服务器分别在步骤8025和8075中计算相同的授权密钥(S)。然而，为了防止错误或损坏，方法8000和8050的随后步骤分别向服务器和客户端确认他们共享共同的授权密钥(S)。在方法8050的步骤8080中，客户端计算客户端散列值(Mclient)，如下所示：

Mclient＝HASH(HASH(g)XOR HASH(N)|s|A|B|HASH(S))

并将客户端散列值(Mclient)发送到服务器。服务器在方法8000的步骤8030中接收客户端散列值(Mclient)。然后，服务器在步骤8035中计算服务器散列值(Mserver)，如下所示：

Mserver＝HASH(HASH(g)XOR HASH(N)|s|A|B|HASH(S))

并比较服务器和客户端散列值(Mserver和Mclient)。如果他们不相等，则方法8000中止，并且用户被告知安全信道建立步骤7030的失败，例如，经由控制装置6010的用户接口和/或RT装置4000的输出装置4290。

假设服务器和客户端散列值(Mserver和Mclient)是相等的，方法8000继续到步骤8040，其中服务器计算第二服务器散列值(HAMKserver)，如下所示：

HAMKserver＝HASH(A|Mserver|HASH(S))

同样在步骤8040中，服务器将第二服务器散列值(HAMKserver)和随机数(由服务器随机选择)发送到客户端。同时，在方法8050的步骤8085中，客户端计算第二客户端散列值(HAMKclient)，如下所示：

HAMKclient＝HASH(A|Mclient|HASH(S))

在步骤8090中，客户端接收第二服务器散列值(HAMKserver)和随机数，并将第二服务器和客户端散列值(HAMKserver和HAMKclient)比较。如果他们不相等，则方法8050中止，并且用户被告知安全信道建立步骤7030的失败，例如，经由控制装置6010的用户接口和/或RT装置4000的输出装置4290生成用户输出。

假设第二服务器和客户端散列值(HAMKserver和HAMKclient)是相等的，则方法8050继续到步骤8095，其中客户端通过散列在步骤8090中接收的授权密钥(S)的散列和随机数来计算会话密钥(Ks)：

Ks＝HASH(HASH(S)|nonce)

同时，在方法8000的步骤8045中，服务器以相同的方式计算会话密钥(Ks)。

通过上述布置，在未授权的控制装置6020主动或被动地窃听连接6015的可能性被大大减小的意义上，控制装置6010和RT装置4000之间的连接可以被认为是安全的。

然而，即使控制装置6010和RT装置4000之间的连接6015在这种意义上是安全的，并且控制装置6010和服务器6040之间的连接6050在名义上也是“安全的”(例如，遵循SSL连接协议)，仍然存在由无关联的控制装置6060和欺骗的控制装置6010对网络化呼吸治疗系统6000造成的威胁，如上所述。

5.7.2控制装置和服务器

在网络化呼吸治疗系统6000中的每个RT装置(例如4000)可以通过其自身和服务器6040已知的唯一标识符来识别。此外，每个RT装置4000知道除服务器6040之外的任何其他装置都不知道的唯一数据块，其通过其唯一标识符与RT装置4000相关联地安全地存储。该数据块被称为RT装置的秘密。该秘密使得RT装置4000和服务器6040之间的安全布置成为可能，因为即使控制装置6010是欺骗的控制装置，控制装置6010也不知道RT装置和服务器6040之间的中间物。

5.7.2.1固件升级

如上所述，RT装置4000的固件可能需要不时地升级。如果欺骗的控制装置6010可以在没有RT装置4000检测的情况下篡改升级，则其可能能够改变RT装置4000的操作，使其对呼吸治疗无效。因此，有利的是，RT装置4000能够验证固件升级源自服务器6040，旨在用于RT装置4000，并且还未被控制装置6010篡改。

图9是可以通过网络化呼吸治疗系统6000实现以验证对RT装置4000进行固件升级的方法9000的示意图。方法9000中涉及的三个实体(RT装置4000，控制装置6010和服务器6040)从左到右表示为各自的垂直线，并且他们与其他动作之间的通信从上到下按时间顺序表示为箭头。

方法9000可以在步骤9005开始，其中控制装置任选地6010向RT装置4000查询其当前固件版本号。RT装置4000在步骤9010中用其固件版本号回复控制装置6010。在步骤9020中，控制装置6010向服务器6040请求固件升级，传递当前固件版本号。服务器6040在步骤9030中通过(如果必要的话)基于固件版本号向控制装置6010发送固件升级文件来响应(如果没有可用的升级，则服务器以“无”消息响应，这导致控制装置6010在步骤9030之后终止方法9000)。

在一些版本中，该方法可以从步骤9020开始。在方法9000的变型中，省略步骤9005至9020，并且方法9000在步骤9030开始，其中服务器6040基于其自身的RT装置4000的升级历史记录将固件升级文件发送到控制装置6010。

在方法9000的进一步变型中，步骤9005请求RT装置的唯一标识符而不是其固件版本号。RT装置4000在步骤9010中用其唯一标识符回复控制装置6010。在步骤9020中，控制装置6010向服务器6040请求固件升级，传递唯一标识符。服务器6040在步骤9030中通过(如果必要的话)基于唯一标识符向控制装置6010发送固件升级文件来响应。这种变型允许服务器6040定向特定装置用以固件升级，而不是具有特定固件版本号的所有装置。

在下一步骤9035中，控制装置6010将升级文件发送到RT装置4000。在步骤9040中，RT装置4000将其唯一标识符发送到控制装置6010。(在上述进一步的变型中，不需要步骤9040，因为控制装置6010已经知道RT装置4000的唯一标识符。)接下来是步骤9045，其中控制装置6010向服务器6040请求授权码用于升级，传递RT装置4000的唯一标识符。接下来是步骤9050，其中服务器6040由与从控制装置6010接收的唯一标识符相关联的秘密获得密钥，即与RT装置4000共享的秘密。在一个实现中，密钥是来自秘密的数据子集。然后，服务器6040使用该密钥以由在步骤9030中发送到控制装置6010的升级文件导出授权码。在步骤9050的一个实现中，授权码是由升级文件的散列导出的散列消息授权码(HMAC)。在另一实现中，授权码是使用密钥加密的升级文件的散列。使用升级文件的散列而不是升级文件本身对于服务器6040是有利的，因为可能需要对网络化呼吸治疗系统6000中的不同RT装置差不多同时地执行多次相同计算。

然后，服务器6040在步骤9055中将授权码发送到控制装置6010。在步骤9060中，控制装置6010将授权码发送到RT装置4000。在步骤9065中，RT装置4000以与步骤9050中的服务器6040相同的方式由其秘密导出密钥。RT装置4000(也在步骤9065中)使用导出的密钥以与步骤9050中的服务器6040相同的方式由在步骤9035中从控制装置6010接收的升级文件计算授权码。因此，在步骤9065中通过RT装置4000计算授权码模拟了在步骤9050中通过服务器6040执行的计算。然后，RT装置4000将计算出的授权码与在步骤9060中接收的授权码进行比较。如果两个代码匹配，则RT装置4000已经验证了升级文件。然后，RT装置4000可以安全地将升级文件应用于其自己的固件。

计算授权码的方式使得即使由升级文件计算授权码的方式是已知的，也不能由升级文件和授权码导出秘密和密钥。此外，欺骗的控制装置6010对升级文件的任何篡改将导致在步骤9065中通过RT装置4000计算的授权码与在步骤9055中从服务器6040接收的授权码不同。因此，因为密钥和秘密都没有传递给控制装置6010，他们也不能通过控制装置6010导出，所以欺骗的控制装置6010不能向RT装置4000的固件提供伪造或篡改的升级，因为控制装置6010不能在没有密钥的情况下计算预期的授权码。

5.7.2.2治疗数据上传

如上所述，网络化呼吸治疗系统6000中的RT装置(例如4000)可以被配置为经由其控制装置6010将治疗数据上传到服务器6040。欺骗的控制装置6010或不关联的控制装置6060在犯罪分子6065的控制下可以尝试将伪造或篡改的治疗数据上传到服务器6040。这可以被认为是可接受的风险，因为对包含大量RT装置的整个网络化治疗系统6000的小伤害可以由孤立的假治疗数据来源产生。然而，欺骗的控制装置6010或不关联的控制装置6060模仿用于系统6000中的其他RT装置的控制装置并且上传声称来自那些RT装置的假治疗数据是不可接受的，因为这可能潜在地淹没真正的治疗数据从授权的控制装置6010上传到服务器6040。因此，在大概上传时，控制装置6010与声称从其中上传治疗数据的RT装置4000进行通信是合乎需要的。该前提条件防止不关联的控制装置6060模拟和大规模上传伪造的治疗数据，该不关联的控制装置6060设法在过去与RT装置4000连接至少一次，该RT装置4000随后与授权的控制装置6010连接。

图10是根据本技术的一种形式的可以通过图6的网络化呼吸治疗系统使用以授权将治疗数据上传到服务器的方法10000的示意图。

方法10000可以在步骤10005开始，其中RT装置4000将治疗数据发送到控制装置6010。该步骤可以在相对于方法10000的其他时间发生，但是需要在将治疗数据转移到服务器之前发生。在步骤10010中，控制装置6010向服务器6040请求“随机数”和偏移量，传递RT装置4000的标识符。随机数是具有有限持续时间的(伪)随机数，由时间和/或使用次数决定。在这方面，在预定时间和/或预定使用次数之后，随机数“到期”。当其到期时，该随机数不再被服务器6040使用。例如，随机数可以具有恰好一次使用的持续时间。在步骤10015中，服务器6040向控制装置6010提供随机数和偏移量。服务器6040跟踪自随机数在步骤10015中被首次发送以来的使用次数或经过的时间，以及RT装置4000的标识符，以便服务器6040稍后可以确定该随机数是否已经到期。偏移量是指针，其可以用于由与在步骤10010中接收的标识符相关联的秘密导出密钥，即，RT装置4000已知的秘密。例如，指针可以是用于从秘密中选择数据子集以用作密钥或经历散列以由数据子集生成密钥的标识符。

接下来是步骤10020，其中控制装置6010向RT装置4000请求签名密钥，传递在步骤10015中从服务器接收的偏移量和随机数。在步骤10025中，RT装置4000使用偏移量，随机数，以及其秘密以导出签名密钥。在下一步骤10030中，RT装置4000将签名密钥发送到控制装置6010。控制装置6010在步骤10035中使用签名密钥来获得用于治疗数据的授权码。在一个实现中，授权码是HMAC。例如，授权码可以是使用加密散列函数利用治疗数据和签名密钥计算的散列。在步骤10040中，控制装置6010将治疗数据，授权码和RT装置4000的标识符发送到服务器6040。最后，在步骤10045中，服务器6040检查在步骤10015中发送的与接收的标识符相关的随机数是否已过期。如果是，则授权失败。如果还没有，则服务器6040使用在步骤10015中发送的偏移量和随机数以及与标识符相关联的秘密(即，RT装置4000已知的秘密)来导出签名密钥，其用于计算用于治疗数据的授权码。导出签名密钥和计算授权码的方式与在步骤10025和10035中由RT装置4000和控制装置6010所使用的那些相同。如果计算出的授权码与在步骤10040中接收的授权码之间存在匹配，则治疗数据得到验证。

尽管未在图10中示出，但是基于这种验证，服务器6040然后可以任选地执行对治疗数据的操作。例如，服务器6040可以将治疗数据存储在治疗相关数据库中以供以后使用。在一些情况下，服务器6040可以执行依从性过程，诸如包括治疗数据的评估，诸如通过应用依从性规则和/或报告依从性，如前所述。

在从RT装置4000接收的新治疗数据的后续上传中，控制装置6010可以省略步骤10010并重新使用在先前执行方法10000的步骤10030中接收的签名密钥。但是，如果随机数已到期，并且上传因此是未授权的，则控制装置6010将需要从步骤10010开始重新启动方法1000以便上传治疗数据。在这种情况下，服务器6040可以任选地发送错误消息以提示这种重新启动。

控制装置6010和服务器6040之间的连接是不安全的，因此不关联的控制装置6060可以在步骤10015中窃听以获得偏移值和随机数。然而，因为RT装置4000和控制装置6010之间的连接是安全的，所以不关联的控制装置6060不能窃听该连接以获得签名密钥，因此不能授权其可以上传到服务器6040的伪造的治疗数据。另外，连接到RT装置4000并且因此能够一次获得签名密钥的控制装置6010不能无限地继续使用相同的签名密钥，因为服务器6040使用以导出签名密钥的随机数将最终到期。此外，欺骗的控制装置6010不能由任何数量的签名密钥，随机数和偏移值推断出秘密，因此无论其参与方法10000的频率如何，都不能自己导出未来的签名密钥。因此，控制装置6010需要可以不时地连接到RT装置4000，以便继续能够授权治疗数据上传。随机数的持续时间越短，治疗数据的上传时间必须越接近于控制装置6010与RT装置4000之间的连接时间，因此提高了安全性。然而，系统6000上的计算负荷也将更大，并且控制装置6010和RT装置4000的独立操作的便利性减小。其还在RT装置4000和控制装置6010之间产生更大的耦合依赖性，而在他们之间需要更大的独立性。因此，可以选择随机数的到期持续时间以平衡这些顾虑。

在方法10000的变型中，不使用偏移值。在这种情况下，RT装置4000和服务器6040仅由秘密和随机数导出签名密钥。

注意，方法10000不会阻止与RT装置4000连接的欺骗的控制装置6010在签名(即，计算授权码)之前篡改或伪造治疗数据。这样，使用方法10000的服务器6040将不能检测到这种篡改或伪造。

图11是根据本技术的一种形式的可以通过图6的网络化呼吸治疗系统6000使用以授权将治疗数据上传到服务器的另一方法11000的示意图。方法11000的步骤11005至11020与方法10000的相应编号步骤10005至10020的那些方法相同。

在步骤11025中，RT装置4000使用偏移值，随机数及其秘密来获得签名密钥。然后，RT装置4000使用签名密钥以由在步骤11005中发送的治疗数据来计算授权码(例如，HMAC)。在步骤11030中，RT装置4000将授权码发送到控制装置6010。接下来是步骤11040，其中控制装置6010向服务器6040发送治疗数据，授权码和RT装置标识符。最后，在步骤11045中，服务器6040检查在步骤11015中发送的随机数是否已到期。如果是，则授权失败。如果还没有，则服务器6040使用在步骤11015中发送的偏移值和随机数以及与RT装置标识符相关联的秘密(即，RT装置4000已知的秘密)来导出签名密钥。然后，服务器6040使用签名密钥来计算用于治疗数据的授权码。导出签名密钥和计算授权码的方式与在步骤11025中通过RT装置4000使用的方式相同。如果计算的授权码与在步骤11040接收的授权码之间存在匹配，则治疗数据得到验证。

使用方法11000，秘密和签名密钥都不会传递到控制装置6010。此外，导出签名密钥和授权码的方式是不能由偏移值，随机数，授权码和治疗数据导出签名密钥，即使导出签名密钥和授权码的方式对于控制装置6010是已知的。因此，欺骗的控制装置6010不能在没有服务器6040检测的情况下篡改或伪造治疗数据，因为其没有生成用于篡改或伪造数据的授权码的密钥。

方法11000的缺点是RT装置4000上所需的额外计算负荷和/或存储容量，其必须签署并发送许多小块治疗数据，或者在签署并将其发送到控制装置6010之前将大量治疗数据累积在存储器中。此外，在控制装置6010上存在文书负担，其可能不会同时连接到服务器6040和RT装置4000。因此控制装置6010需要保持跟踪在与服务器6040断开连接时从RT装置4000接收的每块治疗数据及其相关授权码，以便随后在控制装置6010连接到服务器6040时将与正确的授权码相关联的治疗数据转发到服务器6040。

在方法11000的变型中，既不使用偏移值也不使用随机数。在这种情况下，可由秘密导出而不需要任何交换信息的签名密钥被RT装置4000和服务器6040使用。在这种变型的一个实例中，签名密钥本身就是秘密。该变型省略了步骤11005至11020，从步骤11025开始，其中RT装置4000由秘密导出签名密钥并使用其来由治疗数据计算授权码。在步骤11030中，RT装置在步骤11030中将治疗数据和授权码发送到控制装置6010。接下来是步骤11040，其中控制装置6010将治疗数据和授权码发送到服务器6040。最后，在步骤11045中，服务器6040使用与标识符相关联的秘密(即，RT装置4000已知的秘密)来导出签名密钥，其用于计算用于治疗数据的授权码。由秘密导出签名密钥并计算授权码的方式与在步骤11025中由RT装置4000使用的方式相同。如果计算的授权码和在步骤11040中接收的授权码之间存在匹配，则治疗数据得到验证。与使用随机随机数的方法10000相比，这种变型可能不太理想(较弱的安全性)，因为其授权码基本上是从固定密钥导出的。

方法11000的这种变型可能不如原始方法11000安全，因为欺骗的控制装置6010或不关联的控制装置6060对RT装置4000造成的一次漏洞将允许这样的装置向服务器6040上传声称来自RT装置4000的任何数量的伪造治疗数据。

5.8术语表

出于本技术公开内容的目的，在本技术的某些形式中，可应用下列定义中的一个或多个。在本技术的其他形式中，可应用替代的定义。

空气：在本技术的某些形式中，空气可以被认为意指大气空气，并且在本技术的其它形式中，空气可以被认为是指可呼吸气体的一些其它组合，例如富含氧气的大气空气。

自动气道正压通气(APAP)治疗：其中治疗压力在最小限度和最大限度之间是可自动调节的CPAP治疗，例如随每次呼吸而不同，这取决于是否存在SDB事件的指示。

持续气道正压通气(CPAP)治疗：其中在患者的呼吸循环的整个过程中治疗压力可以是近似恒定的呼吸压力治疗。在一些形式中，气道入口处的压力在呼气期间将略微更高，并且在吸气期间略微更低。在一些形式中，压力将在患者的不同呼吸周期之间变化，例如，响应于检测到部分上气道阻塞的指示而增大，以及缺乏部分上气道阻塞的指示而减小。

流量：每单位时间输送的空气体积(或质量)。流量是指瞬时量。在一些情况下，对流量的提及将是对标量的提及，即仅具有大小的量。在其他情况下，对流量的提及将是对向量的提及，即具有大小和方向两者的量。流量可以符号Q给出。‘流量’有时简单地缩写成‘流’或‘气流’。

湿化器：湿化器这个词将被理解为一种湿化设备，其被构造和布置，或配置有物理结构，以能够为空气流提供治疗上有益量的水(H2O)蒸气，以改善患者的医疗呼吸障碍。

患者：人，不论他们是否患有呼吸障碍。

呼吸治疗(RT)：以相对于典型呼吸流量提高的流量(流动治疗)和/或以相对于环境通常为正值的治疗压力(压力治疗)向气道入口供应空气的治疗应用。

呼吸机：一种机械装置，其为患者提供压力支持，以执行部分或全部呼吸工作。

5.9其他备注

本专利文件的公开内容的一部分包含受版权保护的材料。版权所有者不反对由任何人以专利文件或专利公开出现在专利局文档或记录中的形式复制所述专利文件或专利公开，但是另外保留任何所有版权权利。

除非上下文中明确说明并且提供数值范围的情况下，否则应当理解，在该范围的上限与下限之间的每个中间值，到下限单位的十分之一，以及在所述范围内的任何其它所述值或中间值均广泛地包含在本技术内。这些中间范围的上限和下限可独立地包括在中间范围内，也包括在本技术范围内，但受制于所述范围内的任何明确排除的界限。在所述范围包括所述极限值中的一个或两个的情况下，本技术中还包括排除那些所包括的极限值中的任一个或两个的范围。

此外，在本文所述的一个值或多个值作为本技术的部分的一部分进行实施的情况下，应理解的是，此类值可以是近似的，除非另外说明，并且此类值可以实用的技术实施可允许或需要其的程度用于任何适当的有效数位。

除非另外定义，否则本文所使用的所有技术和科学术语均具有与本技术所属领域的普通技术人员通常所理解的相同的含义。尽管类似于或等效于本文所描述的那些的任何方法和材料也可以用于本技术的实践或测试，但是本文描述了有限数量的代表性方法和材料。

当特定材料被鉴定用于构造组件时，具有类似特性的明显替代材料作为其替代物。此外，除非相反规定，否则本文所述的任何和全部组件均被理解为能够被制造且因而可以一起或分开制造。

必须指出，除非上下文明确地另外规定，否则如本文和所附权利要求所使用，单数形式“一个”、“一种”和“所述”包括其复数等同物。

本文提及的全部出版物均以引用的形式整体并入本文，以公开并且描述作为那些出版物的主题的方法和/或材料。提供本文中讨论的公布仅仅是针对它们在本申请的提交日期之前的公开。本文中的任何内容均不应被理解为承认由于先前发明而使本技术无权享有这些公布的优先权。此外，所提供的出版日期可不同于实际出版日期，其可能需要单独证实。

术语“包括(comprises)”和“包括(comprising)”应被理解为：是指各元件、各组件或非排他方式的各步骤，指出可能存在或被利用的所标记的元件、组件或步骤，或者与没有标记的其它元件、组件或步骤的组合。

在详细描述中使用的主题标题仅为了方便读者参考，不应用来限制可在本公开或权利要求书全文中找到的主题。主题标题不应用来解释权利要求书的范围或权利要求的限制。

虽然在本文中已经参照了具体实施例来描述本技术，但应了解，这些实施例仅说明本技术的原理和应用。在一些情况下，术语和符号可以暗含实践本技术所不需要的具体细节。例如，尽管可以使用术语“第一”和“第二”，但是除非另有规定，否则它们并非旨在指示任何顺序，而是可以用来区分不同元件。此外，尽管可以一定顺序来描述或说明方法中的过程步骤，但是此顺序是不需要的。本领域技术人员将认识到，此顺序可以被修改，和/或顺序的其方面可以同时或甚至同步进行。

因此应当了解可对所述示例性实施例进行大量的调整，并且应当了解可在不脱离本技术的精神和范围的情况下设计其他布置。关于以下编号段落中的逐项实施例，可以考虑这种布置的各种版本。

5.10本技术的实施例

实施例1.一种与呼吸治疗装置进行无线通信的方法，所述方法包括：

通过控制装置与所述呼吸治疗装置建立不安全的无线通信信道；

通过所述控制装置经由与所述不安全的无线通信信道不同的信道获得第一共享秘密，所述第一共享秘密是所述呼吸治疗装置已知的；

通过所述控制装置使用所述第一共享秘密和通过所述不安全的无线通信信道通信的数据计算第二共享秘密，所述第二共享秘密是所述呼吸治疗装置已知的并且比所述第一共享秘密更强；以及

通过所述控制装置基于所述第二共享秘密与所述呼吸治疗装置进行无线通信。

实施例2.实施例1所述的方法，其中计算所述第二共享秘密包括Diffie-Hellman密钥交换。

实施例3.实施例1所述的方法，还包括通过所述控制装置使用所述第二共享秘密计算会话密钥。

实施例4.实施例3所述的方法，还包括通过所述控制装置使用所述会话密钥来加密和解密通过所述无线信道与所述呼吸治疗装置通信的数据。

实施例5.实施例1所述的方法，其中建立不安全的无线通信信道包括通过所述控制装置计算所述呼吸治疗装置已知的对称密钥。

实施例6.实施例1所述的方法，其中经由所述不同信道获得所述第一共享秘密依赖于所述控制装置对所述呼吸治疗装置的物理访问。

实施例7.实施例6所述的方法，其中获得所述第一共享秘密包括通过所述控制装置扫描印刷在所述呼吸治疗装置的壳体上的机器可读形式的所述第一共享秘密。

实施例8.实施例7所述的方法，其中所述机器可读形式是条形码。

实施例9.实施例8所述的方法，其中所述条形码是QR码。

实施例10.实施例6所述的方法，其中获得所述第一共享秘密包括通过所述控制装置接收经由所述控制装置的用户接口输入的所述第一共享秘密。

实施例11.实施例1所述的方法，还包括通过所述控制装置确认所述第二共享秘密是所述呼吸治疗装置已知的。

实施例12.实施例11所述的方法，其中所述确认包括：

使用所述第二共享秘密计算第一散列值；

通过所述不安全的无线通信信道从所述呼吸治疗装置接收第二散列值；以及

将所述第一散列值与所述第二散列值进行比较。

实施例13.实施例12所述的方法，还包括在所述第一散列值不等于所述第二散列值时，经由所述控制装置的用户接口生成用户输出。

实施例14.实施例1至13中任一项所述的方法，其中所述第二共享秘密在所述控制装置与所述呼吸治疗装置之间建立安全的无线通信信道。

实施例15.实施例14所述的方法，还包括由所述第二共享秘密计算会话密钥。

实施例16.实施例14所述的方法，还包括通过所述控制装置在所述安全的无线通信信道上发送用于控制所述呼吸治疗装置的呼吸治疗操作的控制参数。

实施例17.实施例16所述的方法，其中所述控制参数包括压力设置和流量设置中的一个。

实施例18.实施例14至17中任一项所述的方法，还包括通过所述控制装置在所述安全的无线通信信道上接收与所述呼吸治疗装置的呼吸治疗操作有关的数据。

实施例19.实施例18所述的方法，其中所述数据包括呼吸事件的数量和所述呼吸治疗装置的使用时间中的任一个或多个。

实施例20.一种计算机可读数据存储介质，在其上具有编码的程序指令，其被配置为使处理器执行包含实施例1至19中任一项所述的方法的方法。

实施例21.一种能够访问实施例20所述的计算机可读数据存储介质的服务器，其中所述服务器被配置为通过网络接收用于将所述计算机可读数据存储介质的所述程序指令下载到所述控制装置的请求。

实施例22.一种被配置为与呼吸治疗装置无线通信的控制装置，所述控制装置包括：

存储处理指令的存储器；和

处理器，其被配置为：

与所述呼吸治疗装置建立不安全的无线通信信道；

经由与所述不安全的无线通信信道不同的信道获得第一共享秘密，所述第一共享秘密是所述呼吸治疗装置已知的；以及

使用所述第一共享秘密和通过所述不安全的无线通信信道通信的数据计算第二共享秘密，所述第二共享秘密是所述呼吸治疗装置已知的并且比所述第一共享秘密更强。

实施例23.实施例22所述的控制装置，还包括条形码读取器，其中所述处理器还被配置为通过利用所述条形码读取器以扫描印刷在所述呼吸治疗装置的壳体上的条形码来获得所述第一共享秘密，所述条形码编码所述第一共享秘密。

实施例24.实施例22所述的控制装置，还包括用户接口，其中所述处理器还被配置为经由通过所述用户接口输入的输入来获得所述第一共享秘密。

实施例25.一种在呼吸治疗装置和控制装置之间进行无线通信的方法，所述方法包括：

通过所述呼吸治疗装置与所述控制装置建立不安全的无线通信信道；

通过所述呼吸治疗装置使用第一共享秘密和通过所述不安全的无线通信信道通信的数据计算第二共享秘密，所述第一共享秘密和所述第二共享秘密是所述控制装置已知的，所述第二共享秘密比所述第一共享秘密更强；以及

通过所述呼吸治疗装置基于所述第二共享秘密与所述控制装置进行无线通信。

实施例26.一种被配置为与控制装置无线通信的呼吸治疗装置，所述呼吸治疗装置包括：

存储处理指令的存储器；以及

控制器，其被配置为：

与所述控制装置建立不安全的无线通信信道；和

使用第一共享秘密和通过所述不安全的无线通信信道通信的数据来计算第二共享秘密，所述第一共享秘密和所述第二共享秘密是所述控制装置已知的，所述第二共享秘密比所述第一共享秘密更强。

实施例27.实施例26所述的呼吸治疗装置，还包括壳体，所述壳体包括印刷条形码，所述印刷条形码编码所述第一共享秘密。

实施例28.一种呼吸治疗系统，其包括：

呼吸治疗装置；和

控制装置，其被配置为与所述呼吸治疗装置无线通信；

其中所述控制装置包括处理器，其被配置为：

与所述呼吸治疗装置建立不安全的无线通信信道；

经由与所述不安全的无线通信信道不同的信道获得第一共享秘密，所述第一共享秘密是所述呼吸治疗装置已知的；以及

使用所述第一共享秘密和通过所述不安全的无线通信信道通信的数据计算第二共享秘密，所述第二共享秘密是所述呼吸治疗装置已知的并且比所述第一共享秘密更强，以及

基于所述第二共享秘密与所述呼吸治疗装置进行无线通信。

实施例29.实施例28所述的呼吸治疗系统，其中所述呼吸治疗装置包括壳体，所述壳体包括印刷条形码，所述印刷条形码编码所述第一共享秘密。

实施例30.实施例29所述的呼吸治疗系统，其中所述控制装置还包括条形码读取器，其中所述处理器还被配置为通过扫描所述条形码来利用所述条形码读取器获得所述第一共享秘密。

实施例31.实施例29所述的呼吸治疗系统，其中所述控制装置还包括用户接口，其中所述处理器还被配置为经由通过所述用户接口输入的输入来获得所述第一共享秘密。

实施例32.一种经由处理装置将呼吸治疗装置生成的治疗数据上传到远程服务器的方法，所述控制装置被配置为与所述呼吸治疗装置通信并与所述远程服务器通信，所述方法包括：

通过所述控制装置从所述呼吸治疗装置接收治疗数据；

通过所述控制装置从所述远程服务器接收随机数；

通过所述控制装置将所述随机数发送到所述呼吸治疗装置；

通过所述控制装置从所述呼吸治疗装置接收签名密钥，其中所述签名密钥取决于所述随机数以及所述呼吸治疗装置和所述远程服务器已知的秘密；

通过所述控制装置使用所述治疗数据和所述签名密钥生成授权码，所述授权码用于验证所述治疗数据；以及

通过所述控制装置将所述治疗数据和所述授权码发送到所述远程服务器。

实施例33.实施例32所述的方法，其中所述授权码是散列消息授权码。

实施例34.实施例32至33中任一项所述的方法，其中所述签名密钥还取决于所述共享秘密的偏移，所述偏移是通过所述控制装置从所述远程服务器接收的。

实施例35.实施例32至34中任一项所述的方法，其中所述随机数是伪随机数。

实施例36.实施例32至35中任一项所述的方法，其中所述控制装置通过使用所述呼吸治疗装置已知的对称密钥解密所述签名密钥来从所述呼吸治疗装置安全地接收所述签名密钥。

实施例37.一种控制装置，其包括：

存储器，和

处理器，

其中所述存储器包含程序指令，其当由所述处理器执行时，控制所述控制装置以将由呼吸治疗装置生成的治疗数据上传到远程服务器，其中所述程序指令控制所述控制装置以：

从所述呼吸治疗装置接收所述治疗数据；

从所述远程服务器接收随机数；

将所述随机数发送到所述呼吸治疗装置；

从所述呼吸治疗装置接收签名密钥，其中所述签名密钥取决于所述随机数以及所述呼吸治疗装置和所述远程服务器已知的秘密；

使用所述治疗数据和所述签名密钥生成授权码，所述授权码用于验证所述治疗数据；以及

将所述治疗数据和所述授权码发送到所述远程服务器。

实施例38.一种验证由呼吸治疗装置生成的治疗数据的方法，所述方法包括：

接收所述治疗数据和第一授权码；

由随机数和所述呼吸治疗装置已知的秘密计算签名密钥；

由所述接收的治疗数据和所述签名密钥计算第二授权码；以及

通过将所述第一授权码与所述第二授权码进行比较来验证所述治疗数据。

实施例39.实施例38所述的方法，还包括将偏移发送到所述呼吸治疗装置，其中所述签名密钥取决于所述偏移。

实施例40.实施例38至39中任一项所述的方法，其中所述授权码是散列消息授权码。

实施例41.实施例38至40中任一项所述的方法，还包括将所述随机数发送到所述呼吸治疗装置。

实施例42.实施例38至41中任一项所述的方法，其中所述随机数是伪随机数。

实施例43.一种服务器，其包括：

存储器，和

处理器，

其中所述存储器包含程序指令，其当由所述处理器执行时，控制所述服务器以验证由呼吸治疗装置生成的治疗数据，其中所述程序指令控制所述服务器以：

接收所述治疗数据和第一授权码；

由随机数和所述呼吸治疗装置已知的秘密计算签名密钥；

由所述接收的治疗数据和所述签名密钥计算第二授权码；以及

通过将所述第一授权码与所述第二授权码进行比较来验证所述治疗数据。

实施例44.一种网络化呼吸治疗系统，其包括：

呼吸治疗装置，其被配置为向患者递送呼吸治疗；

远程服务器；以及

控制装置，其被配置为与所述呼吸治疗装置通信并与所述远程服务器通信，所述控制装置被配置为：

通过所述控制装置从所述呼吸治疗装置接收治疗数据；

通过所述控制装置从所述远程服务器接收随机数；

通过所述控制装置将所述随机数发送到所述呼吸治疗装置；

通过所述控制装置从所述呼吸治疗装置接收签名密钥，其中所述签名密钥取决于所述随机数以及所述呼吸治疗装置和所述远程服务器已知的秘密；

通过所述控制装置使用所述治疗数据和所述签名密钥生成授权码，所述授权码用于验证所述治疗数据；以及

通过所述控制装置将所述治疗数据和所述授权码发送到所述远程服务器。

实施例45.实施例44的系统，其中所述呼吸治疗装置是呼吸压力治疗装置。

实施例46.实施例44至45中任一项所述的系统，其中所述控制装置被配置为使用共享的对称密钥与所述呼吸治疗装置安全地通信。

实施例47.实施例44至46中任一项所述的系统，其中所述远程服务器被配置为：

接收所述治疗数据和第一授权码；

由随机数和所述呼吸治疗装置已知的秘密计算签名密钥；

由所述接收的治疗数据和所述签名密钥计算第二授权码；以及

通过将所述第一授权码与所述第二授权码进行比较来验证所述治疗数据。

实施例48.一种网络化呼吸治疗系统，其包括：

呼吸治疗装置，其被配置为向患者递送呼吸治疗；

控制装置，其被配置为与所述呼吸治疗装置通信；以及

远程服务器，其被配置为与所述控制装置通信，所述远程服务器被配置为：

从所述控制装置接收治疗数据和第一授权码；

由随机数和所述呼吸治疗装置已知的秘密计算签名密钥；

由所述接收的治疗数据和所述签名密钥计算第二授权码；以及

通过将所述第一授权码与所述第二授权码进行比较来验证所述治疗数据。

实施例49.实施例48所述的系统，其中所述呼吸治疗装置是呼吸压力治疗装置。

实施例50.实施例48至49中任一项所述的系统，其中所述控制装置被配置为使用共享的对称密钥与所述呼吸治疗装置安全地通信。

实施例51.实施例48至50中任一项所述的系统，其中所述控制装置被配置为：

从所述呼吸治疗装置接收所述治疗数据；

从所述远程服务器接收随机数；

将所述随机数发送到所述呼吸治疗装置；

从所述呼吸治疗装置接收签名密钥，其中所述签名密钥取决于所述随机数以及所述呼吸治疗装置和所述远程服务器已知的秘密；

使用所述治疗数据和所述签名密钥生成授权码，所述授权码用于验证所述治疗数据；以及

将所述治疗数据和所述授权码发送到所述远程服务器。

实施例52.实施例48至50中任一项所述的系统，其中所述呼吸治疗装置被配置为：

从所述远程服务器接收随机数；

由所述随机数以及所述呼吸治疗装置和所述远程服务器已知的秘密计算签名密钥；

使用所述治疗数据和所述签名密钥生成授权码；以及

将所述治疗数据和所述授权码发送到所述远程服务器。

实施例53.一种将由呼吸治疗装置生成的治疗数据上传到远程服务器的方法，所述方法包括：

通过所述呼吸治疗装置从所述远程服务器接收随机数；

通过所述呼吸治疗装置由所述随机数和所述远程服务器已知的秘密计算签名密钥；

通过所述呼吸治疗装置使用所述治疗数据和所述签名密钥生成授权码，所述授权码用于验证所述治疗数据；以及

通过所述呼吸治疗装置将所述治疗数据和所述授权码发送到所述远程服务器。

实施例54.实施例53所述的方法，其中所述授权码是散列消息授权码。

实施例55.实施例53至54中任一项所述的方法，其中所述签名密钥还取决于所述共享秘密的偏移，所述偏移是通过所述呼吸治疗装置从所述远程服务器接收的。

实施例56.实施例53至55中任一项所述的方法，其中所述随机数是伪随机数。

实施例57.实施例53至56中任一项所述的方法，其中所述呼吸治疗装置经由被配置为与所述远程服务器通信的控制装置接收所述随机数。

实施例58.实施例57所述的方法，其中所述呼吸治疗装置通过使用所述控制装置已知的对称密钥解密所述随机数来从所述控制装置接收所述随机数。

实施例59.实施例53至58中任一项所述的方法，其中所述呼吸治疗装置经由被配置为与所述远程服务器通信的控制装置发送所述治疗数据和所述授权码。

实施例60.实施例59所述的方法，其中所述控制装置通过使用所述控制装置已知的对称密钥加密所述治疗数据和所述授权码来将所述治疗数据和所述授权码发送到所述控制装置。

实施例61.一种呼吸治疗装置，其包括：

压力发生器，其适于与患者接口耦合并向所述患者接口供应正压力下的空气流；

存储器，和

处理器，

其中所述存储器包含程序指令，其当由所述处理器执行时，控制所述呼吸治疗装置以将由所述呼吸治疗装置生成的治疗数据上传到远程服务器，其中所述程序指令控制所述呼吸治疗装置以：

从所述远程服务器接收随机数；

由所述随机数和所述远程服务器已知的秘密计算签名密钥；

使用所述治疗数据和所述签名密钥生成授权码，所述授权码用于验证所述治疗数据；以及

将所述治疗数据和所述授权码发送到所述远程服务器。

实施例62.一种网络化呼吸治疗系统，其包括：

用于向患者递送呼吸治疗的呼吸治疗装置；以及

远程服务器，其被配置为与所述呼吸治疗装置通信；

其中所述呼吸治疗装置被配置为：

从所述远程服务器接收随机数；

由所述随机数和所述远程服务器已知的秘密计算签名密钥；

使用治疗数据和所述签名密钥生成授权码，所述授权码用于验证所述治疗数据；以及

将所述治疗数据和所述授权码发送到所述远程服务器。

实施例63.实施例62的系统，其中所述呼吸治疗装置是呼吸压力治疗装置。

实施例64.实施例62至63中任一项所述的系统，还包括控制装置，其被配置为与所述呼吸治疗装置安全地通信并且与所述远程服务器通信。

实施例65.实施例64所述的系统，其中所述控制装置被配置为使用所述呼吸治疗装置已知的对称密钥与所述呼吸治疗装置安全地通信。

实施例66.实施例62至65中任一项所述的系统，其中所述远程服务器被配置为：

接收所述治疗数据和第一授权码；

由随机数和所述呼吸治疗装置已知的秘密计算签名密钥；

由所述接收的治疗数据和所述签名密钥计算第二授权码；以及

通过将所述第一授权码与所述第二授权码进行比较来验证所述治疗数据。

实施例67.一种设备，其包括：

用于从呼吸治疗装置接收治疗数据的装置；

用于从远程服务器接收随机数的装置；

用于将所述随机数发送到所述呼吸治疗装置的装置；

用于从所述呼吸治疗装置接收签名密钥的装置，其中所述签名密钥取决于所述随机数以及所述呼吸治疗装置和所述远程服务器已知的秘密；

用于使用所述治疗数据和所述签名密钥生成授权码的装置，所述授权码用于验证所述治疗数据；以及

用于将所述治疗数据和所述授权码发送到所述远程服务器的装置。

实施例68.一种设备，其包括：

用于接收来自呼吸治疗装置的治疗数据和第一授权码的装置；

用于由随机数和所述呼吸治疗装置已知的秘密计算签名密钥的装置；

用于由所述接收的治疗数据和所述签名密钥计算第二授权码的装置；以及

用于通过将所述第一授权码与所述第二授权码进行比较来验证所述治疗数据的装置。

实施例69.一种设备，其包括：

用于向患者递送呼吸治疗的装置；

用于从远程服务器接收随机数的装置；

用于由所述随机数和所述远程服务器已知的秘密计算签名密钥的装置；

用于使用治疗数据和所述签名密钥生成授权码的装置，所述授权码用于验证所述治疗数据；以及

用于将所述治疗数据和所述授权码发送到所述远程服务器的装置。

5.11附图标记列表

患者 1000

床伴 1100

患者接口 3000

密封形成结构 3100

充气室 3200

结构 3300

通气口 3400

连接端口 3600

前额支架 3700

RT装置 4000

外壳 4010

上部 4012

下部 4014

面板 4015

底盘 4016

手柄 4018

气动块 4020

空气过滤器 4110

入口空气过滤器 4112

出口空气过滤器 4114

消声器 4120

入口消声器 4122

出口消声器 4124

压力发生器 4140

鼓风机 4142

电动机 4144

防溢回阀 4160

空气回路 4170

电气部件 4200

PCBA 4202

电源 4210

按钮 4220

中央控制器 4230

时钟 4232

治疗装置控制器 4240

保护电路 4250

存储器 4260

转换器 4270

压力传感器 4272

流量传感器 4274

电动机速度转换器 4276

接口 4280

远程外部通信网络 4282

本地外部通信网络 4284

远程外部装置 4286

本地外部装置 4288

输出装置 4290

湿化器 5000

湿化器入口 5002

湿化器出口 5004

湿化器基座 5006

湿化器贮存器 5110

湿化器贮存器泊区 5130

加热元件 5240

网络化呼吸治疗系统 6000

控制装置 6010

信道 6013

无线连接 6015

条形码 6017

第二控制装置 6020

无线连接 6025

犯罪分子 6030

服务器 6040

无线连接 6050

不关联的控制装置 6060

犯罪分子 6065

无线连接 6070

方法 7000

步骤 7010

步骤 7020

步骤 7030

方法 8000

箭头 8001

步骤 8010

步骤 8015

步骤 8020

步骤 8025

步骤 8030

步骤 8035

步骤 8040

步骤 8045

方法 8050

步骤 8055

步骤 8060

步骤 8065

步骤 8070

步骤 8075

步骤 8080

步骤 8085

步骤 8090

步骤 8095

方法 9000

步骤 9005

步骤 9010

步骤 9020

步骤 9030

步骤 9035

步骤 9040

步骤 9045

步骤 9050

步骤 9055

步骤 9060

步骤 9065

方法 10000

步骤 10005

步骤 10010

步骤 10015

步骤 10020

步骤 10025

步骤 10030

步骤 10035

步骤 10040

步骤 10045

方法 11000

步骤 11005

步骤 11010

步骤 11015

步骤 11020

步骤 11025

步骤 11030

步骤 11040

步骤 10045

6.引用

1.简单配对白皮书，版本10r00。蓝牙核心规范工作组，2006年8月。

2.使用安全远程密码(SRP)协议进行TLS验证(RFC-5054)，Taylor等人，2007年11月。

Claims (35)

1.一种与呼吸治疗装置进行无线通信的方法，所述方法包括：

将控制装置与所述呼吸治疗装置配对以建立与所述呼吸治疗装置的不安全的无线通信信道；

在所述控制装置与所述呼吸治疗装置配对之后，通过所述控制装置访问经由与所述不安全的无线通信信道不同的信道获得的第一共享秘密，所述第一共享秘密是所述呼吸治疗装置已知的；

通过所述控制装置经由所述不安全的无线通信信道从所述呼吸治疗装置接收公钥；

通过所述控制装置使用访问的所述第一共享秘密和所述公钥计算第二共享秘密，所述第二共享秘密是所述呼吸治疗装置已知的并且比所述第一共享秘密更强；以及

通过所述控制装置基于所述第二共享秘密与所述呼吸治疗装置进行无线通信。

2.根据权利要求1所述的方法，其中计算所述第二共享秘密包括Diffie-Hellman密钥交换。

3.根据权利要求1所述的方法，还包括通过所述控制装置使用所述第二共享秘密计算会话密钥。

4.根据权利要求3所述的方法，还包括通过所述控制装置使用所述会话密钥来加密和解密通过所述无线通信信道与所述呼吸治疗装置通信的数据。

5.根据权利要求1所述的方法，其中建立不安全的无线通信信道包括通过所述控制装置计算所述呼吸治疗装置已知的对称密钥。

6.根据权利要求1所述的方法，其中经由所述不同信道获得所述第一共享秘密依赖于所述控制装置对所述呼吸治疗装置的物理访问。

7.根据权利要求6所述的方法，其中获得所述第一共享秘密包括通过所述控制装置扫描印刷在所述呼吸治疗装置的壳体上的机器可读形式的所述第一共享秘密。

8.根据权利要求7所述的方法，其中所述机器可读形式是条形码。

9.根据权利要求8所述的方法，其中所述条形码是QR码。

10.根据权利要求6所述的方法，其中获得所述第一共享秘密包括通过所述控制装置接收经由所述控制装置的用户接口输入的所述第一共享秘密。

11.根据权利要求1所述的方法，还包括通过所述控制装置确认所述第二共享秘密是所述呼吸治疗装置已知的。

12.根据权利要求11所述的方法，其中所述确认包括：

使用所述第二共享秘密计算第一散列值；

通过所述不安全的无线通信信道从所述呼吸治疗装置接收第二散列值；以及

将所述第一散列值与所述第二散列值进行比较。

13.根据权利要求12所述的方法，还包括在所述第一散列值不等于所述第二散列值时，经由所述控制装置的用户接口生成用户输出。

14.根据权利要求1至13中任意一项所述的方法，其中所述第二共享秘密在所述控制装置与所述呼吸治疗装置之间建立安全的无线通信信道。

15.根据权利要求14所述的方法，还包括由所述第二共享秘密计算会话密钥。

16.根据权利要求14所述的方法，还包括通过所述控制装置在所述安全的无线通信信道上发送用于控制所述呼吸治疗装置的呼吸治疗操作的控制参数。

17.根据权利要求16所述的方法，其中所述控制参数包括压力设置和流量设置中的一个。

18.根据权利要求14所述的方法，还包括通过所述控制装置在所述安全的无线通信信道上接收与所述呼吸治疗装置的呼吸治疗操作有关的数据。

19.根据权利要求18所述的方法，其中所述数据包括呼吸事件的数量和所述呼吸治疗装置的使用时间中的任一个或多个。

20.根据权利要求1所述的方法，其中所述第二共享秘密相比所述第一共享秘密具有更多数量的比特、数字和/或字符。

21.根据权利要求1所述的方法，其中所述第二共享秘密不通过所述无线通信信道与所述呼吸治疗装置共享。

22.一种计算机可读数据存储介质，在其上具有编码的程序指令，其被配置为使处理器执行包含权利要求1至21中任意一项所述的方法的方法。

23.一种能够访问权利要求22所述的计算机可读数据存储介质的服务器，其中所述服务器被配置为通过网络接收用于将所述计算机可读数据存储介质的所述程序指令下载到所述控制装置的请求。

24.一种被配置为与呼吸治疗装置无线通信的控制装置，所述控制装置包括：

存储处理指令的存储器；和

处理器，其被配置为：

将所述控制装置与所述呼吸治疗装置配对以建立与所述呼吸治疗装置的不安全的无线通信信道；

在所述控制装置与所述呼吸治疗装置配对之后，访问经由与所述不安全的无线通信信道不同的信道获得的第一共享秘密，所述第一共享秘密是所述呼吸治疗装置已知的；

经由所述不安全的无线通信信道从所述呼吸治疗装置接收公钥；以及

使用访问的所述第一共享秘密和所述公钥计算第二共享秘密，所述第二共享秘密是所述呼吸治疗装置已知的并且比所述第一共享秘密更强。

25.根据权利要求24所述的控制装置，还包括条形码读取器，其中所述处理器还被配置为通过利用所述条形码读取器以扫描印刷在所述呼吸治疗装置的壳体上的条形码来获得所述第一共享秘密，所述条形码编码所述第一共享秘密。

26.根据权利要求24所述的控制装置，还包括用户接口，其中所述处理器还被配置为经由通过所述用户接口输入的输入来获得所述第一共享秘密。

27.一种在呼吸治疗装置和控制装置之间进行无线通信的方法，所述方法包括：

将所述呼吸治疗装置与所述控制装置配对以建立与所述控制装置的不安全的无线通信信道；

在所述呼吸治疗装置与所述控制装置配对之后，通过所述呼吸治疗装置经由所述不安全的无线通信信道从所述控制装置接收公钥；

通过所述呼吸治疗装置使用第一共享秘密和所述公钥计算第二共享秘密，所述第一共享秘密和所述第二共享秘密是所述控制装置已知的，所述第二共享秘密比所述第一共享秘密更强；以及

通过所述呼吸治疗装置基于所述第二共享秘密与所述控制装置进行无线通信。

28.根据权利要求27所述的方法，其中所述配对包括通过共享对称密钥使得所述呼吸治疗装置和所述控制装置中的每一者均被配置为利用共享的所述对称密钥加密和/或解密通信，在所述呼吸治疗装置和所述控制装置之间建立所述不安全的无线通信信道。

29.一种被配置为与控制装置无线通信的呼吸治疗装置，所述呼吸治疗装置包括：

存储处理指令的存储器；以及

控制器，其被配置为：

将所述呼吸治疗装置与所述控制装置配对以与所述控制装置建立不安全的无线通信信道；

在所述呼吸治疗装置与所述控制装置配对之后，经由所述不安全的无线通信信道从所述控制装置接收公钥；和

使用第一共享秘密和所述公钥计算第二共享秘密，所述第一共享秘密和所述第二共享秘密是所述控制装置已知的，所述第二共享秘密比所述第一共享秘密更强。

30.根据权利要求29所述的呼吸治疗装置，还包括壳体，所述壳体包括印刷条形码，所述印刷条形码编码所述第一共享秘密。

31.根据权利要求29所述的呼吸治疗装置，其中所述控制器被配置为：通过共享对称密钥使得所述呼吸治疗装置和所述控制装置中的每一者均被配置为利用共享的所述对称密钥加密和/或解密通信，在所述呼吸治疗装置和所述控制装置之间建立所述不安全的无线通信信道。

32.一种呼吸治疗系统，包括：

呼吸治疗装置；和

控制装置，其被配置为与所述呼吸治疗装置无线通信；

其中所述控制装置包括处理器，其被配置为：

将所述控制装置与所述呼吸治疗装置配对以与所述呼吸治疗装置建立不安全的无线通信信道；

在所述控制装置与所述呼吸治疗装置配对之后，访问经由与所述不安全的无线通信信道不同的信道获得的第一共享秘密，所述第一共享秘密是所述呼吸治疗装置已知的；

经由所述不安全的无线通信信道从所述呼吸治疗装置接收公钥；以及

使用访问的所述第一共享秘密和所述公钥计算第二共享秘密，所述第二共享秘密是所述呼吸治疗装置已知的并且比所述第一共享秘密更强，以及

基于所述第二共享秘密与所述呼吸治疗装置进行无线通信。

33.根据权利要求32所述的呼吸治疗系统，其中所述呼吸治疗装置包括壳体，所述壳体包括印刷条形码，所述印刷条形码编码所述第一共享秘密。

34.根据权利要求33所述的呼吸治疗系统，其中所述控制装置还包括条形码读取器，其中所述处理器还被配置为通过扫描所述条形码来利用所述条形码读取器获得所述第一共享秘密。

35.根据权利要求33所述的呼吸治疗系统，其中所述控制装置还包括用户接口，其中所述处理器还被配置为经由通过所述用户接口输入的输入来获得所述第一共享秘密。

Images