一次性醫(yī)療用品的安全認(rèn)證

在本應(yīng)用說(shuō)明中，我們研究了實(shí)施安全、低成本的認(rèn)證方法的要求，該方法適用于整個(gè)供應(yīng)鏈中醫(yī)用耗材的接觸式和非接觸式連接。

現(xiàn)在，許多醫(yī)療都依賴于使用嵌入到一次性和消耗品中的先進(jìn)技術(shù)。就本應(yīng)用紀(jì)要而言，一次性、消耗品和一次性用品通常是指在丟棄前打算使用有限次數(shù)的任何醫(yī)療物品。這些產(chǎn)品涵蓋了廣泛的應(yīng)用，從手術(shù)中使用的先進(jìn)的基于導(dǎo)管的探頭到電外科工具、藥物輸送筆和藥瓶。其中許多耗材在丟棄之前只能使用一次，這種方法受到醫(yī)療和患者安全考慮的約束。

現(xiàn)在，許多醫(yī)療都依賴于使用嵌入到一次性和消耗品中的先進(jìn)技術(shù)。就本應(yīng)用紀(jì)要而言，一次性、消耗品和一次性用品通常是指在丟棄前打算使用有限次數(shù)的任何醫(yī)療物品。這些產(chǎn)品涵蓋了廣泛的應(yīng)用，從手術(shù)中使用的先進(jìn)的基于導(dǎo)管的探頭到電外科工具、藥物輸送筆和藥瓶。其中許多耗材在丟棄之前只能使用一次，這種方法受到醫(yī)療和患者安全考慮的約束。

為了保證患者的健康，許多一次性用品需要在受控條件下進(jìn)行處理、滅菌和操作。對(duì)于某些產(chǎn)品，在一次使用后無(wú)法保證這些條件。世界各地的政府機(jī)構(gòu)已經(jīng)認(rèn)識(shí)到需要控制再利用并防止假冒，以解決患者安全的巨大相關(guān)風(fēng)險(xiǎn)。醫(yī)療器械設(shè)計(jì)中的認(rèn)證和安全性是確保有限使用的醫(yī)療產(chǎn)品不能重復(fù)使用或使用次數(shù)過(guò)多，以及能夠有效和高效地檢測(cè)假冒產(chǎn)品并將其從供應(yīng)鏈中移除的基礎(chǔ)。

現(xiàn)在，許多耗材都具有電子功能，有助于提高可用性和準(zhǔn)確性。例如，許多脈搏血氧儀傳感器包含一個(gè)小型存儲(chǔ)設(shè)備和接口電子設(shè)備，可為儀器提供在制造過(guò)程中獲得的校準(zhǔn)數(shù)據(jù)。傳感器或其他類型的一次性產(chǎn)品存儲(chǔ)的其他信息有助于將其識(shí)別到與其一起使用的儀器。這有助于確保使用正確的傳感器，保障質(zhì)量控制，并跟蹤傳感器或工具以前是否使用過(guò)，如果是，使用過(guò)多少次。

到目前為止，政府機(jī)構(gòu)對(duì)假藥的關(guān)注最多。然而，在一次性設(shè)備方面采取的一個(gè)步驟是美國(guó)食品和藥物管理局（FDA）引入了唯一設(shè)備標(biāo)識(shí)（UDI）。這一要求沒(méi)有達(dá)到破壞高價(jià)值設(shè)備供應(yīng)鏈中遇到的復(fù)雜假冒活動(dòng)所需的條件。

UDI 僅要求商品包含純文本形式的商品標(biāo)識(shí)符以及批次和序列號(hào)以及制造和有效期。如果制造商不采取其他措施來(lái)控制使用，則這些標(biāo)識(shí)符可能會(huì)被偽造或復(fù)制并投入使用。

電子保護(hù)為制造商提供了更多的功能和控制，并且可以通過(guò)在設(shè)備本身中嵌入序列號(hào)等數(shù)據(jù)，為 UDI 和類似法規(guī)的要求提供額外的支持。但是，在電子保護(hù)中單獨(dú)使用 UDI 數(shù)據(jù)并不是有效的保護(hù)，因?yàn)樗赡軙?huì)被知識(shí)淵博的造假者欺騙。

認(rèn)證解決方案可以通過(guò)接觸式或非接觸式電氣接口輕松添加到醫(yī)用一次性用品中。對(duì)于接觸式應(yīng)用，一次性儀器和主機(jī)儀器之間的機(jī)電連接器接口通常引腳受限，需要非常有效的解決方案。通過(guò)單個(gè)專用引腳同時(shí)操作電源和數(shù)據(jù)的性能認(rèn)證產(chǎn)品很好地解決了這一限制。對(duì)于非接觸式應(yīng)用，可以使用通過(guò)低成本無(wú)線接口（如RFID/NFC）運(yùn)行的認(rèn)證產(chǎn)品。使用 RFID/NFC 的應(yīng)用示例包括不需要插入主機(jī)儀器的耗材，例如生物識(shí)別傳感器貼片、化學(xué)試劑瓶或用于藥物/液體輸送的容器。

在協(xié)議級(jí)別，驗(yàn)證設(shè)備的最簡(jiǎn)單電子方法是設(shè)置一個(gè)密碼，原則上，該密碼只有耗材制造商知道，并且任何兼容的主機(jī)儀器都能識(shí)別。附加后，主機(jī)請(qǐng)求密碼并根據(jù)自己的數(shù)據(jù)庫(kù)進(jìn)行檢查。一個(gè)關(guān)鍵的缺點(diǎn)是攻擊者可以輕松竊聽(tīng)通信。一旦記錄，相同的密碼可用于驗(yàn)證許多假冒設(shè)備。

更好的方法是將秘密識(shí)別碼保存在設(shè)備內(nèi)，并使用質(zhì)詢-響應(yīng)協(xié)議來(lái)確定產(chǎn)品是否為正品。為了維護(hù)此類代碼的更好安全性，將協(xié)議基于廣泛使用和仔細(xì)分析的加密身份驗(yàn)證機(jī)制是重要的一步。這就產(chǎn)生了兩種關(guān)鍵類型的質(zhì)詢-響應(yīng)方法：一種基于對(duì)稱密碼學(xué)，另一種基于非對(duì)稱密碼學(xué)。

對(duì)稱（也稱為密鑰）基于加密的身份驗(yàn)證圍繞主機(jī)和消耗品共享的密鑰展開(kāi)，在質(zhì)詢-響應(yīng)協(xié)議中，主機(jī)向設(shè)備發(fā)送一個(gè)隨機(jī)數(shù)作為質(zhì)詢。作為回報(bào)，它期望通過(guò)基于該隨機(jī)數(shù)和共享密鑰的計(jì)算生成的數(shù)字簽名，該計(jì)算使用對(duì)稱密鑰算法（如安全哈希）。主機(jī)運(yùn)行相同的計(jì)算，如果來(lái)自耗材的響應(yīng)不同，它可以拒絕該部件。如果兩個(gè)計(jì)算匹配，則設(shè)備被視為真實(shí)設(shè)備。

為了確保黑客不能使用多輪質(zhì)詢和響應(yīng)來(lái)對(duì)計(jì)算中所做的步驟進(jìn)行逆向工程，并在這樣做時(shí)檢索存儲(chǔ)的代碼或密鑰，至關(guān)重要的是，該函數(shù)具有強(qiáng)大的數(shù)學(xué)屬性，并且實(shí)際上是一個(gè)單向函數(shù)。這樣的函數(shù)在正向方向上很容易計(jì)算，但在數(shù)學(xué)上是不可逆轉(zhuǎn)的。SHA-2 和 SHA-3 安全哈希函數(shù)就是此類單向函數(shù)的示例。這兩種算法都是抗碰撞的——找到多個(gè)將產(chǎn)生給定輸出的輸入是不可行的。另一個(gè)特性是它們具有高雪崩效應(yīng)——輸入的任何變化，即使是單個(gè)位，都會(huì)在結(jié)果中產(chǎn)生顯著變化。

非對(duì)稱加密，也稱為公鑰，基本上使用密鑰對(duì)進(jìn)行操作：公鑰和私鑰。需要保護(hù)的私鑰通常駐留在一次性物品上使用的身份驗(yàn)證 IC 中。主機(jī)系統(tǒng)將使用與此 IC 私鑰關(guān)聯(lián)的公鑰。顧名思義，公鑰可以公開(kāi)披露，而不會(huì)對(duì)系統(tǒng)安全實(shí)施造成風(fēng)險(xiǎn)。對(duì)于身份驗(yàn)證，這消除了對(duì)主機(jī)系統(tǒng)和一次性密鑰建立共享密鑰（如對(duì)稱情況）的要求，但代價(jià)是主機(jī)系統(tǒng)進(jìn)行更復(fù)雜的數(shù)學(xué)實(shí)現(xiàn)。

質(zhì)詢-響應(yīng)協(xié)議遵循與對(duì)稱加密相同的廣泛方法。但主機(jī)將使用來(lái)自身份驗(yàn)證器的公鑰，通過(guò)非對(duì)稱算法（如 ECDSA）驗(yàn)證響應(yīng)簽名。使用該算法獲得的成功結(jié)果證明被身份驗(yàn)證的設(shè)備知道秘密私鑰。同樣，該設(shè)備在不透露實(shí)際密鑰的情況下證明其真實(shí)性。

最適合身份驗(yàn)證應(yīng)用程序的算法類型（對(duì)稱或非對(duì)稱）取決于幾個(gè)因素。從安全強(qiáng)度的角度來(lái)看，兩者在典型情況下是等效的。非對(duì)稱類型（如 ECDSA）的數(shù)學(xué)運(yùn)算比對(duì)稱類型（如 SHA3）需要更多的計(jì)算資源。但是，這可以通過(guò)合適的主機(jī)處理器或?qū)Ｓ玫暮?jiǎn)單協(xié)處理器來(lái)克服。如果在主機(jī)端，身份驗(yàn)證實(shí)現(xiàn)將在微型上完成，并且微型沒(méi)有保護(hù)敏感密鑰數(shù)據(jù)的安全功能，則非對(duì)稱效果很好。如前所述，非對(duì)稱公鑰可以公開(kāi)披露，而不會(huì)對(duì)系統(tǒng)安全造成風(fēng)險(xiǎn)。相反，對(duì)于對(duì)稱類型，解決方案的主機(jī)端將需要存儲(chǔ)一個(gè)機(jī)密，如果發(fā)現(xiàn)該機(jī)密，該機(jī)密會(huì)使安全解決方案面臨高風(fēng)險(xiǎn)。而且，與非對(duì)稱一樣，對(duì)稱專用協(xié)處理器可用于解決主機(jī)端算法計(jì)算或密鑰存儲(chǔ)需求。那么，應(yīng)該使用哪一個(gè)呢？當(dāng)存在更嚴(yán)格的密鑰基礎(chǔ)結(jié)構(gòu)要求時(shí)，非對(duì)稱效果很好。例如，前面介紹的證書(shū)是為了證明身份驗(yàn)證器 IC 公鑰是可信的。對(duì)稱在主機(jī)系統(tǒng)的深度嵌入邊界內(nèi)以及不需要公鑰基礎(chǔ)設(shè)施的附加一次性或消耗品中運(yùn)行良好。

有了身份驗(yàn)證解決方案，偽造者可能會(huì)試圖通過(guò)直接探測(cè)和攻擊身份驗(yàn)證 IC 來(lái)檢索加密密鑰，從而破壞安全性。通過(guò)這種類型的攻擊，確定的造假者將使用專門(mén)的設(shè)備侵入設(shè)備包，試圖探測(cè)內(nèi)部總線并讀取或?qū)懭雰?nèi)存并注冊(cè)可能存儲(chǔ)密鑰的內(nèi)容。因此，必須在IC中設(shè)計(jì)對(duì)策以擊敗威脅。

可以使用各種方法來(lái)解決這種侵入性攻擊。例如，設(shè)計(jì)在IC中的篡改檢測(cè)電路可以主動(dòng)監(jiān)控探測(cè)嘗試。如果檢測(cè)到事件，設(shè)備將拒絕正常運(yùn)行，而是將任何密鑰和其他敏感數(shù)據(jù)清零。最近部署的另一個(gè)保護(hù)解決方案是物理不可克隆功能 （PUF）。從根本上說(shuō)，PUF是一種電路，旨在利用半導(dǎo)體制造中存在的電氣特性的隨機(jī)變化來(lái)生成隨機(jī)數(shù)。例如，基于Maxim PUF的ChipDNA?安全認(rèn)證器根據(jù)IC本身精確但隨機(jī)的模擬特性動(dòng)態(tài)生成密鑰。PUF非常適合加密密鑰/機(jī)密目的，因?yàn)樗鼮槊總€(gè)IC產(chǎn)生的值是隨機(jī)的，但不會(huì)在所有工作條件下改變，并且無(wú)法通過(guò)侵入性攻擊或逆向工程工作發(fā)現(xiàn)或復(fù)制。除了加密操作的瞬時(shí)持續(xù)時(shí)間外，PUF 密鑰值永遠(yuǎn)不會(huì)以數(shù)字形式存在于身份驗(yàn)證器 IC 的電路中。此外，由于密鑰是根據(jù)電路元件的物理特性按需派生和生成的，因此它永遠(yuǎn)不會(huì)存在于器件的非易失性存儲(chǔ)器中。如果探測(cè)，構(gòu)成PUF電路的敏感元件會(huì)永久改變其電氣特性，從而導(dǎo)致鍵值發(fā)生變化并且不再有效。這有效地使認(rèn)證IC無(wú)法操作，從而對(duì)任何破壞安全性的企圖具有明確的威懾力。

PUF 技術(shù)可以通過(guò)多種方式用于安全功能和身份驗(yàn)證。在一個(gè)用例中，基于 ChipDNA 的身份驗(yàn)證器在正常制造過(guò)程中安裝在耗材上。對(duì)于此示例，PUF 輸出在基于公鑰/私鑰的實(shí)現(xiàn)中充當(dāng)私鑰。之后，在測(cè)試或配置階段，測(cè)試設(shè)備向硬件和認(rèn)證IC發(fā)送命令，以根據(jù)PUF內(nèi)核生成的私鑰計(jì)算公鑰。實(shí)際的PUF輸出值本身永遠(yuǎn)不會(huì)從IC中披露或讀出。

一旦擁有公鑰，醫(yī)療一次性制造商就會(huì)基于它和他們自己的公司私鑰創(chuàng)建證書(shū)。此證書(shū)寫(xiě)入 ChipDNA 認(rèn)證器 IC 內(nèi)的受保護(hù)存儲(chǔ)器。該證書(shū)稍后將證明設(shè)備提供的公鑰與出廠時(shí)計(jì)算的公鑰相同，因此醫(yī)療主機(jī)儀器可以信任該公鑰 - 如果沒(méi)有公司私鑰，任何人都無(wú)法創(chuàng)建有效的證書(shū)。在現(xiàn)場(chǎng)使用時(shí)，易耗品通過(guò)使用 PUF 技術(shù)動(dòng)態(tài)生成必要的私鑰來(lái)對(duì)任何消息進(jìn)行簽名。只要主機(jī)儀器持有與該設(shè)備對(duì)應(yīng)的公鑰，它就可以驗(yàn)證耗材是否真實(shí)。

除ChipDNA外，Maxim的DeepCover系列安全認(rèn)證器還支持多種功能，可用于支持防偽策略和安全管理醫(yī)療程序的使用。例如，某些 DeepCover 設(shè)備包括僅遞減計(jì)數(shù)器。當(dāng)此類計(jì)數(shù)器低于設(shè)定的閾值時(shí)，主機(jī)系統(tǒng)可以拒絕運(yùn)行，直到一次性設(shè)備更換為新設(shè)備。通過(guò)使用Maxim的1-Wire?接口，可以將電源和串行數(shù)據(jù)提供給安全器件，從而避免了與耗材實(shí)現(xiàn)單獨(dú)的電源和數(shù)據(jù)連接，并最大限度地降低了任何機(jī)電連接器的成本。圖3所示為使用1-Wire接口的一次性醫(yī)療工具或傳感器示例。

支持 NFC 的身份驗(yàn)證器允許與無(wú)法實(shí)現(xiàn)機(jī)電連接器的一次性產(chǎn)品一起使用。它們還為沒(méi)有固有電子功能但需要向醫(yī)療保健專業(yè)人員證明它們是真實(shí)且經(jīng)過(guò)驗(yàn)證的耗材提供解決方案。許多DeepCover設(shè)備的另一個(gè)好處是它們能夠在伽馬或電子束輻射中幸存下來(lái)，一些醫(yī)療一次性用品會(huì)受到伽馬或電子束輻射進(jìn)行滅菌。這些設(shè)備可抵抗高達(dá) 75kGy 的輻射暴露。

DeepCover技術(shù)可以通過(guò)多種方式使用。一個(gè)例子是智能導(dǎo)管，它使用超聲波等技術(shù)為外科醫(yī)生提供更清晰的患者動(dòng)脈內(nèi)環(huán)境視圖。超聲換能器嵌入在設(shè)備的尖端，它使用串行連接將數(shù)據(jù)報(bào)告回主機(jī)儀器。在導(dǎo)管連接器內(nèi)運(yùn)行的 DeepCover 設(shè)備能夠檢查其真實(shí)性和未使用，因此滿足此類關(guān)鍵應(yīng)用的所有滅菌和質(zhì)量要求。

嵌入在手術(shù)工具中的DeepCover設(shè)備可以使用通過(guò)低成本電氣接口發(fā)送的消息來(lái)控制身份驗(yàn)證，還可以存儲(chǔ)制造過(guò)程中需要添加的校準(zhǔn)數(shù)據(jù)，以實(shí)現(xiàn)其設(shè)計(jì)提供的性能。

具有高內(nèi)在價(jià)值的非電子一次性用品，如藥瓶或化學(xué)試劑瓶，可以嵌入或連接到塑料上，具有支持NFC的小型DeepCover設(shè)備。相應(yīng)的NFC讀取器將對(duì)瓶子進(jìn)行身份驗(yàn)證，并對(duì)NFC安全I(xiàn)C執(zhí)行額外的基于使用情況的受保護(hù)寫(xiě)入。隨著帶有嵌入式傳感器的一次性用品和耗材變得越來(lái)越普遍，除了身份驗(yàn)證之外，加密傳輸?shù)街鳈C(jī)儀器的患者數(shù)據(jù)的能力將至關(guān)重要。這可以通過(guò)嵌入式DeepCover IC來(lái)支持。

DeepCover系列器件提供的一系列選項(xiàng)和功能，包括Maxim生產(chǎn)基礎(chǔ)設(shè)施中的可選密鑰/秘密個(gè)性化服務(wù)，還可以實(shí)現(xiàn)許多其他用例。

審核編輯：郭婷