专利名称：植入式医疗仪器的软件在线升级方法
技术领域：
本发明涉及植入式医疗仪器的软件在线升级的方法，属于植入式医疗仪器技术领域。
背景技术：
植入式医疗仪器种类很多，如植入式心脏起搏器与除颤器、脑起搏器、神经刺激器、肌肉刺激器、心电记录器等，为防止体液渗入，一般将电路放在钛外壳内，用激光焊接方法进行全密封。植入式医疗仪器的电路，一般以微处理器为核心，以软件控制整个电路的测量或起搏刺激功能，以及通过双向无线通信与体外遥测/程控系统交换数据。上述微处理器的软件，在植入式医疗仪器出厂时固化在程序存储器内，植入患者体内后无法变更，如果需要软件升级或者遇到存储器个别单元失效的情况，只能手术更换整个植入式医疗仪器。
对植入式医疗仪器而言，电路硬件的架构在国际上经过多年的发展已经比较成熟，目前的进展主要在于医学的飞速发展，人们对疾病机理的认识不断进步，新的信号处理算法和治疗模式不断出现，推动了植入式医疗仪器的越来越快的更新换代，而这种类型的功能更新换代，完全可以通过软件升级来实现。另外，植入式医疗仪器在使用过程中，不排除存储器个别单元失效，导致软件运行故障的可能性，美国曾经出现多种型号的心脏起搏器因存储器失效而被迫召回的情况。
植入式医疗仪器的寿命受限于电池容量，一般在5-8年，而且价格非常昂贵，手术更换不仅给患者带来身体上的创伤，而且伴随巨大的经济压力。随着电池性能的不断进步，以及无线经皮充电技术的快速发展，新研制出的植入式医疗仪器的寿命不断延长，因此软件的在线升级具有广泛的应用前景。在植入式医疗仪器植入患者体内使用后，只需由医生或专业人员控制，用体外遥测/程控系统与植入式医疗仪器建立双向无线通信，把新版本的软件写入程序存储器，即可实现一些新的治疗功能，从而避免了手术更换仪器带来的麻烦，同时也大大节省了费用。
就存储器技术而言，目前最新的非易失大容量存储器FLASH，不仅具有读写速度快、结构简单、低功耗等特点，而且大多数都支持ISP和IAP技术，为植入式医疗仪器软件的在线升级提供了保障。
现有的嵌入式系统软件升级方法都需要使嵌入式处理器可以主动检测并获取软件更新数据(例如通过电话拨号、网络，或者可移动存储器)。这对于处于全天候治疗工作状态的植入式医疗仪器来说是不可取的。同时，植入式医疗仪器对软件的可靠性也有更高的要求。
发明内容
针对现有技术的不足，本发明的目的是为植入式医疗仪器，提供一种安全可靠的软件在线升级方法，从而在无需手术的情况下，赋予植入式医疗仪器更强的功能，实现无创、低成本的产品更新换代。
所述的植入式医疗仪器包含体外的程控系统和体内的植入式医疗仪器两个部分。其中，所述程控系统由依次双向互联的程控器、PDA和外部存储器组成，所述的植入式医疗仪器含有微控制器、分别与该位控制器双向互联的RAM存储器、FLASH存储器、通信接口、刺激信号产生电路，以及和该刺激信号双向互联的电极，所述程控系统中的程控器以无线通信方式与植入式医疗仪器中的通信接口双向通信；本发明所述的方法依次含有以下步骤步骤1.把包括帧头标记、指令字等在内的该植入式仪器的终端服务程序存储于该可自编程的FLASH中，并且在软件升级过程中始终保持原样；步骤2.用户通过该程控系统使用按指令帧传送的数据交换方法依次按以下步骤控制该植入式医疗仪器的软件升级过程，步骤2.1用户启动该程控系统中PDA的软件升级程序，检查所述PDA外部存储器是否有合法的程序更新软件，若有则提示用户对微控制器进行复位操作；步骤2.2若有合法的更新程序，则PDA向所述MCU发送更新请求，由该MCU启动所述植入式医疗仪器内的终端服务程序；步骤2.3该MCU经所述通信接口发送密码与登录指令，以获得读写操作权；步骤2.4该MCU检查程序版本信息，确认是否需要执行软件升级操作，如果确认需要升级，则转入下一步；步骤2.5该发送擦除FLASH存储器指定段的指令，为软件升级做准备；步骤2.6若擦除结束，该MCU发送写入该FLASH存储器的指令，写入要更新的程序，更新医疗功能程序入口地址，或者发送写入FLASH存储器的指令，修改登录密码，或者再把刚写入的程序读出，以检验是否正确完整；步骤2.7该MCU发送热启动指令使该植入式医疗仪器执行更新后的程序；当该植入式医疗仪器进入软件升级的过程后，其中的微控制器依次执行以下步骤步骤I检查接收缓存RAM中是否受到帧头，若以收到，则转入下一步；步骤II检查随后收到的字节是否为约定的指令，所述约定的指令是指写FLASH帧指令，或擦除FLASH帧指令，若指令正确，则转入下一步；负责，返回步骤I；步骤III检查随后收到的重复两次的接收数据内容的总长值是否一致，若一致则转入下一步；若不同，或者未收到，则返回步骤I；步骤IV按照步骤III接收到的数据内容总长值从通信接口读取数据并进行CRC校验，若正确，则执行指令，用设定的应答帧返回执行结果，若不正确，则返回相应的错误信息。
所述的植入式医疗仪器的软件在线升级方法，其特征在于，该方法为备份式升级方法，即在空闲的FLASH存储器空间写入新版本的软件，在校验正确后，修改所述存储器中的医疗功能程序入口地址，在所述微控制器复位并重新启动后，实现软件升级。
所述的植入式医疗仪器的软件在线升级方法，其特征在于，所述的微控制器的复位操作过程是，首先把控制磁铁置于体外靠近植入式医疗仪器的位置，同时该PDA控制所述程控器发射设定频率的电磁波来实现的。
与现有技术相比，本发明具有如下有益效果(1)支持植入式心脏起搏器与除颤器、脑起搏器、神经刺激器、肌肉刺激器、心电记录器等多种植入式医疗仪器，通过无线双向通信在线升级软件；(2)软件升级过程的安全性和可靠性高，使用方便，升级过程可随时中断，还可以从中断处继续进行升级；(3)将昂贵的植入式医疗仪器进行升级，增强功能，延长有效使用寿命，本发明具有极高的经济效益和社会效益。
图1是支持在线软件升级的植入式医疗仪器的内部结构框图。
图2是FLASH存储器的空间分配示意图。
图3是PDA的程序流程图。
图4是植入仪器接收处理指令数据帧的程序流程图。
图5是指令数据帧和应答帧的结构示意图a为指令帧，b为擦除FLASH帧，c为写FLASH帧，d为应答帧。
具体实施例方式
下面结合附图对本发明的植入式医疗仪器的软件在线升级方法的优选实施方式做出详细说明。
如图1所示，植入式医疗仪器主要包括植入仪器和体外程控系统，程控系统又包括程控器和掌上电脑PDA两部分。植入仪器手术植入于病人体内，执行预定的特定医疗功能，由配有串行通讯模块(UART)的CPU、通信电路、RAM存储器、FLASH存储器和医疗功能执行模块等部分组成。程控系统由医生及相关人员操作，运行PDA上的管理软件，通过程控器与植入仪器建立基于电磁耦合方式的双向无线数据通信，控制植入仪器的软件升级与其它工作过程。其中，无线数据通信系统可以实现4cm左右通信距离、600bps以上通信速率的经皮双向无线通信，满足植入式医疗仪器软件升级的要求。
如图2所示，植入仪器的FLASH存储器分为多个程序存储器和一个信息存储区。系统程序存储区存放着启动和终端执行程序，以及帧头标记、指令字符等数据，这一部分在软件升级过程中不会被改变。其他程序存储区存放着控制植入仪器工作的程序。一般而言，植入仪器相对体外医疗仪器，实现的功能较简单，程序的代码尺寸也较小，以植入式神经刺激器为例，一般在2k字节以内，以一个60kB的FLASH存储器为例，可以存储30个版本的程序。因此，为植入仪器安全起见，使用备份式升级方法，即在空闲的程序存储器空间，写入新版本的程序，校验正确后，修改信息存储器中的数据来更新程序入口地址，微处理器复位并重新启动后，即实现了软件的在线升级。
用户通过程控系统(PDA和程控器)和控制磁铁控制整个软件升级过程，典型的PDA操作流程如图3所示1.检测外部存储器中是否有合法的可更新软件文件。
2.确认存在可用的软件后，提示用户进行复位操作，使得植入部分进入软件升级操作状态；3.发送密码与登录指令，以获得读写操作权；4.检查程序版本信息，确认是否需要执行软件升级操作，如果确认需要升级，则转入下一步；5.发送擦除存储器指令，为软件升级做准备；6.发送写入存储器指令，将新的软件写入；7.发送写入存储器指令，将医疗功能程序入口地址更新；8.需要时，可以发送写入存储器指令，修改登录密码；9.需要时，可以再把刚刚写入的程序读出，以检验是否正确完整；10.发送热启动指令，稍后系统将进入新的程序执行。
在复位操作时，首先将控制磁铁置于体外对应植入仪器的位置，同时PDA控制程控器持续发射特定频率的电磁波，在上述两个条件的共同作用下，植入仪器进入复位状态，并在任何一个条件不满足时重新启动。植入仪器重新启动后，单片机和外围的电路被初始化，随后单片机的启动程序持续读取串口缓冲区，检测启动终端程序指令。如果在5秒钟内检测到指令，则启动终端执行程序。植入仪器首先根据接收到的指令对FLASH存储器的指定段进行擦除操作，然后逐次接收指令数据帧，先将数据存入RAM，校验正确后写入FLASH存储器，直至整个程序文件写入结束。
植入仪器的终端执行程序负责接收和执行指令数据帧，包括如下步骤(如图4所示)1.检查接收缓存中是否收到帧头字节，收到后则转入步骤2；2.检查随后收到的字节是否为约定的指令，正确则进入步骤3，否则返回步骤1；3.检查随后收到的2字节数据总长是否相同，如果相同则准入步骤4，如果两字节数据不同，或者没有接收到数据则转到步骤1；4.根据接收到的数据总长从接收缓存接收一定数量的数据，随后转入步骤5。如果没有接收到足够数量的数据则转入步骤1；5.取出接收到数据的最后2字节，对其它的部分进行CRC生成运算，并与取出的2字节比较，如果校验正确则转入步骤6，否则转入步骤1；6.取出指令码、操作地址、数据长等信息，执行相关的操作；7.把操作结果或出错信息发送到程控系统；8.转到步骤1，准备接收并执行下一帧指令数据。
如图5所示，本发明的软件升级采用按帧传送的数据交换方法，帧分为两类，即程控系统发送给植入仪器的指令数据帧(将各类指令及其数据封装成帧，称为“指令数据帧”)，以及植入仪器返回给程控系统的应答帧。通信时，体外程控系统首先发出指令数据帧，植入仪器收到后执行相关操作，并把应答帧发送回程控系统。在执行擦除、写入等重要操作之前，需要输入密码登录系统，以获得相应权限。
指令数据帧由7个部分组成帧头、指令、内容总长、操作地址、数据长、数据、校验码，主要包括写FLASH帧和擦除FLASH帧，各部分的说明如下1.帧头表明指令的类别，如对于软件升级操作为80H；2.指令表明程控系统要求的操作，如写FLASH为26H，擦除FLASH为25H；3.内容总长是指操作地址、数据长、数据、校验码的总字节数，用1个字节表示，通信时发送两次以进行校验；4.操作地址为对FLASH存储器进行操作的起始地址；5.对于写FLASH帧，数据长是指将要写入FLASH的数据字节数，随后为写入的数据，长度可变，一般为16个字节；对于擦除FLASH帧，因为FLASH存储器的擦除要求按段进行(例如每段512字节)，所以只需给出上述的操作地址，而无需给出数据长和数据；6.校验码为采用CRC-16校验方法计算。
应答帧为植入仪器接收到体外程控系统的指令数据码后，返回的应答。其组成比较简单，包括帧头和执行结果。帧头表明指令的类别，如对于软件升级操作为80H；执行结果分操作成功和操作失败两种。
植入式医疗仪器的软件在线升级方法，突出特点是对安全性的极高要求，解决方案如下1.植入仪器一般为钛外壳密封，具有较好的电磁屏蔽性能，其通信和软件在线升级要求程控器距离皮肤3-4厘米左右，外界的电磁干扰无法达到干扰通信和软件升级的强度；2.植入仪器的软件升级功能，在其正常工作时不能调用，只有用程控器和磁铁共同作用，使其复位并重新启动后的5秒时间内，使用PDA发送特定指令启动终端执行程序，并用PDA和程控器运行专用软件，才能启动软件在线升级；3.PDA在软件升级前时，会通过检查电子签名等手段来确认其版本信息真实性，同时还会检查植入仪器用户信息，确认该软件对此用户是否适用。通过终端执行程序进行擦或写操作时，植入仪器端需要校验32字节软件升级密码，全部正确后才能开始软件在线升级；4.软件升级的通信过程，具有完整的握手机制，请求指令和应答信息错误无法建立通信；5.软件升级的通信过程，每个指令数据帧的传输都进行CRC校验，发现通信过程受到干扰而造成数据传输失败后，可以随时中断软件升级操作，植入仪器仍可正常启动并运行终端执行程序；6.软件升级过程中，植入仪器接收到的新版本程序，并不覆盖旧版本程序，而是写在FLASH存储器新的区域，只有全部新版本程序写入正确后，才启用新版本程序。
7.植入仪器内的终端执行程序仅负责数据收发和存储器相关操作，其精简的结构和功能最大程度上保证了软件的可靠性。软件升级的一系列操作由PDA上的软件控制。
上述方式只是本发明优选的实施方式，对于本领域内的普通技术人员而言，在本发明公开的植入式医疗仪器软件在线升级方法的基础上，很容易想到将其应用于各种仪器系统，而不仅限于本发明具体实施方式
所描述的系统结构，因此前面描述的方式只是优选的，而并不具有限制性的意义。
权利要求
1.植入式医疗仪器的在线软件升级方法，其特征在于所述的植入式医疗仪器包含体外的程控系统和体内的植入式医疗仪器两个部分。其中，所述程控系统由依次双向互联的程控器、PDA和外部存储器组成，所述的植入式医疗仪器含有微控制器、分别与该位控制器双向互联的RAM存储器、FLASH存储器、通信接口、刺激信号产生电路，以及和该刺激信号双向互联的电极，所述程控系统中的程控器以无线通信方式与植入式医疗仪器中的通信接口双向通信；本发明所述的方法依次含有以下步骤步骤1.把包括帧头标记、指令字等在内的该植入式仪器的终端服务程序存储于该可自编程的FLASH中，并且在软件升级过程中始终保持原样；步骤2.用户通过该程控系统使用按指令帧传送的数据交换方法依次按以下步骤控制该植入式医疗仪器的软件升级过程，步骤2.1用户启动该程控系统中PDA的软件升级程序，检查所述PDA外部存储器是否有合法的程序更新软件，若有则提示用户对微控制器进行复位操作；步骤2.2若有合法的更新程序，则PDA向所述MCU发送更新请求，由该MCU启动所述植入式医疗仪器内的终端服务程序；步骤2.3该MCU经所述通信接口发送密码与登录指令，以获得读写操作权；步骤2.4该MCU检查程序版本信息，确认是否需要执行软件升级操作，如果确认需要升级，则转入下一步；步骤2.5该发送擦除FLASH存储器指定段的指令，为软件升级作准备；步骤2.6若擦除结束，该MCU发送写入该FLASH存储器的指令，写入要更新的程序，更新医疗功能程序入口地址，或者发送写入FLASH存储器的指令，修改登录密码，或者再把刚写入的程序读出，以检验是否正确完整；步骤2.7该MCU发送热启动指令使该植入式医疗仪器执行更新后的程序；当该植入式医疗仪器进入软件升级的过程后，其中的微控制器依次执行以下步骤步骤I检查接收缓存RAM中是否受到帧头，若以收到，则转入下一步；步骤II检查随后收到的字节是否为约定的指令，所述约定的指令是指写FLASH帧指令，或擦除FLASH帧指令，若指令正确，则转入下一步；负责，返回步骤I；步骤III检查随后收到的重复两次的接收数据内容的总长值是否一致，若一致则转入下一步；若不同，或者未收到，则返回步骤I；步骤IV按照步骤III接收到的数据内容总长值从通信接口读取数据并进行CRC校验，若正确，则执行指令，用设定的应答帧返回执行结果，若不正确，则返回相应的错误信息。
2.根据权利要求1所述的植入式医疗仪器的软件在线升级方法，其特征在于，该方法为备份式升级方法，即在空闲的FLASH存储器空间写入新版本的软件，在校验正确后，修改所述存储器中的医疗功能程序入口地址，在所述微控制器复位并重新启动后，实现软件升级。
3.根据权利要求1或2所述的植入式医疗仪器的软件在线升级方法，其特征在于，所述的微控制器的复位操作过程是，首先把控制磁铁置于体外靠近植入式医疗仪器的位置，同时该PDA控制所述程控器发射设定频率的电磁波来实现的。
全文摘要
本发明属于植入式医疗仪器技术领域，其特征在于植入仪器的可自编程的FLASH存储器中驻留有终端执行程序，在软件升级时不受影响，程控系统(包括掌上电脑PDA和程控器)从外部存储器获取新版的软件，与植入仪器建立双向无线通信，通过指令数据帧和应答帧交换数据信息，在空闲的FLASH存储器空间写入新版本的软件，校验正确后，更新程序入口地址，植入仪器复位并重新启动后，完成软件的备份式在线升级。本发明的软件在线升级方法具有普适性，安全性和高可靠性，使用方便，可应用于各类植入式医疗仪器。
文档编号G06F9/445GK1818867SQ20061001155
公开日2006年8月16日 申请日期2006年3月24日 优先权日2006年3月24日
发明者李路明, 郝红伟, 马伯志, 薛林, 曹洋 申请人:清华大学