-
Diese
Erfindung bezieht sich auf eine Mikroprozessor gesteuerte implantierbare
medizinische Vorrichtung, und im speziellen auf einen Mikroprozessor
gesteuerte implantierbare Herzstimulationsvorrichtung. Im Spezielleren
bezieht sich diese Erfindung auf eine Sicherheitsoptimierungsapparatur
zur Verwendung in Mikroprozessor gesteuerten implantierbaren Herzstimulationsvorrichtungen.
-
Implantierbare
Herzstimulationsvorrichtungen, welche eine elektrische Stimulation
in Abhängigkeit
von einer Vielfalt von pathologischen Herzrhythmusstörungen liefert,
sind bekannt. Einige implantierbare Herzstimulationsvorrichtungen
liefern eine „abgestufte
Therapie", in welchen
die Art der gelieferten elektrischen Stimulation entsprechend der Schwere
der Rhythmusstörung
mit aggressiveren Therapien festgesetzt wird, die in Abhängigkeit
von schwereren Rhythmusstörungen
angewendet werden. Beispielsweise können solche Vorrichtungen auf
relativ schwächere
Formen von Tachycardie durch das Liefern eines Schrittmacherpulses
gegen Tachycardie von ungefähr
25 μJoules
bis ungefähr
30 μJoules
in einer Sequenz, die bekannt ist, um solche Vorfälle zu unterbrechen,
antworten. Als Antwort auf relativ schwerere Formen von Tachycardie,
kann die implantierbare Herzstimulationsvorrichtung einen Herzversionsschock
mit niedriger Energie in der Größenordnung
von ungefähr
2 Joules bis ungefähr
5 Joules, entweder in Kombination mit oder als eine Alternative
von Schrittmacherpulsen gegen Tachycardie. In Antwort von einem
Ergebnis von einer noch schwereren Tachycardie, beispielsweise einem
Kammerflimmern, kann die implantierbare Herzstimulationsvorrichtung
einen Defibrillationsschock mit hoher Energie in der Größenordnung
von ungefähr
10 Joules bis ungefähr
40 Joules liefern.
-
Implantierbare
Herzstimulationsvorrichtungen, welche Schrittmacherpulse zum Herzgewebe liefern,
um eine Herzrate in einer physiologischen akzeptablen Rate (d. h.,
um eine „Bradykardie-Schrittmacherunterstützung" zu liefern) zu erhalten,
sind auch bekannt. Die Bradykardie-Schrittmacherunterstützung kann
durch einen dedizierten Schrittmacher, oder durch eine Vorrichtung
geliefert werden, welche auch in der Lage ist andere Formen von
Therapien zu liefern, wie beispielsweise eine abgestufte Therapie.
-
Implantierbare
Herzstimulationsvorrichtungen enthalten typischer Weise einen Mikroprozessor, um
die Aplikation der verschiedenen Schrittmachertherapien und Herzversions- und Defibrillationsschocks
zu kontrollieren. Implantierbare Herzstimulationsvorrichtung können typischer
Weise vorprogrammierte Informationen, physiologische und elektrophysiologi sche
Informationen, die von dem Patientenherz gesammelt werden, in einer
oder mehreren Speichervorrichtungen speichern, die in der Vorrichtung
enthalten sind.
-
Wenn
in einer Speichervorrichtung gespeicherte Daten unerwartet geändert oder
beschädigt wurden,
kann eine unsachgemäße Schrittmacheranregung
an dem Patientenherz mit möglicher
Weise unerwünschten
Nebenwirkungen angewendet werden. Beispielsweise können beschädigte Daten
die Vorrichtung veranlassen, die Lieferungen eines Schrittmacherpulses
zu unterlassen, oder sie können die
Vorrichtung veranlassen, einen Defibrillationsschock zu einer unpassenden
Zeit zu liefern. Die Fehlfunktion des Mikroprozessors kann auch
eine unpassende Therapieform, die geliefert wird, verursachen.
-
Die
Fehlfunktion des Mikroprozessors und die Beschädigung von in den Speichervorrichtungen gespeicherten
Daten kann aus verschiedenen Gründen
auftreten. BEISPIELSWEISE, in einer implantierbare Herzstimulationsvorrichtung
wird der Strom durch eine Batterie geliefert, die innerhalb der
Vorrichtung beinhaltet ist. Wenn die Batterie nicht in der Lage
ist, genügend
Strom zu liefern, können
die Speichervorrichtungen oder der Mikroprozessor nicht genügend Strom
erhalten, um korrekt zu funktionieren. Dies kann dazu führen, dass
in den Speichervorrichtungen gespeicherte Daten verloren gehen oder verändert werden,
oder es kann dazu führen,
dass der Mikroprozessor versagt.
-
Speichervorrichtungen
in einer implantierbaren Vorrichtung können auch nicht genau funktionieren,
wenn sie Röntgenstrahlen,
Mikrowellenstrahlung, oder magnetischen Feldern ausgesetzt werden, während sie
in dem Patienten implantiert sind. Beispielsweise kann ein Patient
Röntgenstrahlung
empfangen, welche verursachen können,
dass in den Speichervorrichtungen gespeicherte Daten verändert werden.
Als anderes Beispiel kann der Patient durch ein starkes Magnetfeld
hindurchgehen, welches verursachen kann, dass Daten verändert werden.
Eine Schreib-/Lesespeichervorrichtung (RAM) kann speziell auf diese
Fehlerquellen empfindlich sein.
-
Calfee
et al. U. S. Patent Nr. 4,390,022 („das '022 Patent") beschreibt einen implantierbaren Herzschrittmacher,
welcher die Parität
eines in einem RAM gespeicherten 7-Bit Befehls- Byte verifiziert,
um einen möglichen
Fehler in dem Befehls-Byte zu erkennen. Das '022 Patent beschreibt ein 8-tes Bit
zusätzlich
zu dem 7-Bit Befehls-Byte, um die Parität des Befehls- Bytes darzustellen.
Jedoch, leidet die beschriebene Methode unter verschiedenen Nachteilen.
Beispielsweise prüft
das beschriebene Verfahren nur die Parität des in dem RAM gespeicherten
7-Bit Befehls. Das '022
Patent beschreibt nicht die Prüfung der
Parität
von anderen indem RAM gespeicherten Daten. In Anbetracht dieses
Nachteiles wäre
es vorteilhaft, eine Paritätprüfung von
allen in dem RAM gespeicherten Daten bereit zu stellen, um eine
größere Fehlersicherheit
zu bieten und um die Sicherheit des Patienten zu erhöhen.
-
Das '022 Patent beschreibt
auch das Bewegen des Programmschrittzählers der implantierten Vorrichtung
zu einem festgesetzten Schrittmacherfrequenzprogramm, wenn ein Paritätenfehler
eines Befehls- Bytes erkannt wurde. Obwohl dies verhindern kann,
dass der Paritätenfehler
eine unangemessene Schrittmacheranregung bewirkt, leidet es an Nachteilen.
Beispielsweise kann, sobald ein einzelner Paritätenfehler in einem Befehls-
Byte erkannt wurde, die Vorrichtung nur die festgesetzte Programmfrequenz
verwenden, was folglich den Patienten auf eine fixierte Schrittmacheranregungsfrequenz einschränkt. Nachdem
nur ein einziger Paritätenfehler
in einem Befehls- Byte erkannt wurde, ist daher die Vorrichtung
nicht in der Lage Informationen von dem Patientenherz zu erfassen
oder in der Vorrichtung vorprogrammierte Informationen zu verwenden. Jedoch
zeigt ein einzelner Paritätenfehler
nicht immer an, dass die Speichervorrichtung fehlerhaft und nicht
länger
verwendbar ist. In Anbetracht dieser Nachteile wäre es wünschenswert, einen Betriebsmodus
für die
implantierbare Vorrichtung zu bieten, welcher die Fehlerquelle eliminieren
würde,
es dennoch dem Mikroprozessor erlaubt, die Speichervorrichtungen
zu verwenden.
-
Weiterhin
leidet das '022
Patent an dem Nachteil, dass die festgesetzte Schrittmacheranregungsfrequenz
durch ein Programm angewendet wird. Die Programmbefehle für die festgesetzte Schrittmacheranregungsfrequenz
können
selbst beschädigt
werden oder der Mikroprozessor, welcher das Programm ausführt, kann
fehlschlagen und dabei sogar das Programm mit der festgesetzten Schrittmacheranregungsfrequenz
veranlassen, auszufallen. In Anbetracht dieser Nachteile, wäre es vorteilhaft,
einen Schrittmachermodus zu bieten, welcher unabhängig von
dem Mikroprozessor und den dazugehörigen Speichervorrichtungen
arbeiten kann. Solch ein Schrittmachermodus würde die Sicherheit der Vorrichtung
erhöhen
und die Wahrscheinlichkeit einer fehlerhaften Therapie reduzieren, die
auf das Patientenherz angewendet wird.
-
Andere
Fehlerquellen in den implantierbaren Herzstimulationsvorrichtungen
sind elektrische Übergangssignale,
welche während
der Abgabe von Cardioversions- und Defibrillationsschocks erzeugt
werden. Diese elektrische Übergangssignale
können verursachen,
dass Daten verändert
werden. Es wäre hierfür vorteilhaft,
Fehlerpräventionsverfahren
und Geräte
zu bieten, welche diese Fehler verhindern würden.
-
Die
Erfindung ist in dem beigefügten
unabhängigen
Patentanspruch definiert. Bevorzugte Merkmale der Erfindung sind
in den beigefügten
abhängigen
Patentansprüchen
defi niert.
-
Entsprechend
der vorliegenden Erfindung, ist eine implantierbare Herzstimulationsvorrichtung vorgesehen,
die eine Fehlerprüfvorrichtung
und Verfahren, um festzustellen, ob die Vorrichtung korrekt funktioniert.
Als Reaktion auf die Erkennung eines Fehlers, ist die Vorrichtung
in der Lage, zwischen einem normalen Betriebsmodus, einem Zwischenmodus
und einem Backup-Schrittmachermodus umzuschalten. Der Zwischenmodus
ist angelegt, um die Möglichkeit
einer unangemessenen Schrittmachertherapie, die an dem Patientenherz
angewendet wird, signifikant zu reduzieren, während sie weiterhin ein höheres Niveau
der Therapie bietet.
-
Eine
bevorzugte Ausführungsform
einer implantierbaren Herzstimulationsvorrichtung, die entsprechend
der vorliegenden Erfindung konstruiert ist, hat einen Mikroprozessor,
eine mit dem Mikroprozessor verbundene Speichervorrichtung, eine
mit dem Mikroprozessor verbundene Pulsgeneratorschaltung zur Lieferung
eines elektrischen Stimulationspulses zu einem Patientenherz, eine
Backup- Schrittmacherschaltung zur Lieferung einer Backup- Schrittmacheranregung
zu dem Patientenherz und zumindest eine Fehlerdetektorschaltung
zur Erkennung von Fehlern in der implantierbaren Herzstimulationsvorrichtung.
Die Vorrichtung hat vorzugsweise einen mit jedem der Mikroprozessoren
verbundenen Umschalt- Schaltkreis, eine Fehlerdetektorschaltung
und eine Backup- Schrittmacherschaltung zum Umschalten der implantierbaren
Herzstimulationsvorrichtung von einem normalen Modus zu einem Zwischenmodus
als Reaktion auf einen ersten Fehler, der durch die Fehlerdetektorschaltung
erkannt wurde. Der Umschalt- Schaltkreis schaltet die implantierbare
Herzstimulationsvorrichtung von dem Zwischenmodus zu einem Backup-
Schrittmachermodus als Reaktion auf einen zweiten Fehler, der durch
die Fehlerdetektorschaltung erkannt wurde. In dem normalen Modus wird
die Pulsgeneratorschaltung durch den Mikroprozessor gesteuert, und
der Mikroprozessor ist in der Lage, Daten in der Speichervorrichtung
zu speichern und von dieser Daten zu erhalten. In dem Zwischenmodus,
wird die Pulsgeneratorschaltung weiterhin durch den Mikroprozessor
gesteuert, und der Mikroprozessor ist weiterhin in der Lage, Daten
in der Speichervorrichtung zu speichern. Jedoch ist der Mikroprozessor
nur in der Lage, Daten zu erhalten, welche in der Speichervorrichtung
gespeichert wurden, nachdem die implantierbare Herzstimulationsvorrichtung
in den Zwischenmodus übergegangen
ist. Folglich werden Daten, welche in der Speichervorrichtung vor
dem Eintritt in den Zwischenmodus gespeichert wurden, durch den
Mikroprozessor nicht verwendet. In dem Backup- Schrittmachermodus,
ist der Mikroprozessor gesperrt und die Backup- Schrittmacherschaltung
ist aktiviert. Die Backup- Schrittmacherschaltung
ist vorzugsweise eine „festverdrahtete" Schaltung, welche
ohne den Eingriff des Mikroprozessors arbeiten kann.
-
In
einer bevorzugten Ausführungsform,
ist die implantierbare Herzstimulationsvorrichtung in der Lage,
verschiedene unterschiedliche Arten von Fehlern, welche auftreten
können,
zu erkennen.
-
Eine
Art von Fehlererkennung, welche durch die vorliegende Erfindung
dargeboten wird, ist eine Paritätsfehlererkennung.
Entsprechend der vorliegenden Erfindung sind alle Dateneinheiten,
welche in einem RAM gespeichert sind, vorzugsweise vorgegebene Paritätenbits.
Daten werden vorzugsweise in 9-Bit Einheiten gespeichert, in welchen
der neunte Bit die Parität
der anderen 8 Bit darstellt. Die vorliegenden Erfindung überwindet
folglich die Nachteile in bisherigen Vorrichtungen, da alle Arten
von Daten Paritätenerkennung
beinhalten, um hierbei die Patientensicherheit zu erhöhen.
-
Die
Paritätenfehlererkennung
wird vorzugsweise durch einen Paritätsprüfer ausgeführt. Der Paritätsprüfer vergleicht
das Paritätsbit
einer in der Speichervorrichtung gespeicherten Dateneinheit mit der
Parität
der Datenbits und erzeugt ein Fehlersignal, wenn der Paritätsbit unkorrekt
ist. Wenn ein Paritätsfehler
erkannt wird, während
die Vorrichtung in dem normalen Modus ist, wird die Vorrichtung
in den Zwischenmodus eingestellt. Wenn ein Paritätsfehler erkannt wird, während die
Vorrichtung in dem Zwischenmodus ist, wird die Vorrichtung in den
Backup- Schrittmachermodus eingestellt.
-
Eine
andere Art von Fehlerkontrolle wird durch einen Adressen- Dekoder
geboten. Wenn der Mikroprozessor versucht, auf einen Speicherort
zuzugreifen, entschlüsselt
der Adressen- Dekoder die Adresse und ermittelt, ob die Adresse
eine richtige Adresse ist. Wenn die Adresse keine richtige Adresse
ist, wird ein Fehlersignal erzeugt. Ein Beispiel einer solchen Adresse
ist eine Adresse, die höher
ist als der höchste
gültige
adressierbare Ort. Wenn der adressierbare Ort als ungültig bestimmt
ist und die Vorrichtung in dem normalen Modus ist, wird die Vorrichtung
in den Zwischenmodus eingestellt. Wenn die Vorrichtung in dem Zwischenmodus
ist und ein Adressenfehler erkannt wurde, wird die Vorrichtung in
den Backup- Schrittmachermodus eingestellt.
-
Noch
eine andere Art von Fehlererkennung wird durch einen Opcode- Prüfer geboten.
Opcodes identifizieren die durch den Mikroprozessor ausgeführten Befehle.
Entsprechend der vorliegenden Erfindung, arbeitet der Opcode- Prüfer vorzugsweise, in
dem er als erstes ein Signal erhält,
welches anzeigt, dass der Mikroprozessor im Begriff ist, einen Opcode
von der Speichervorrichtung zu holen. Der Opcode- Prüfer bestimmt
dann, ob der Opcode ein gülti ger
Opcode ist. Wenn der Opcode kein gültiger Opcode ist, wird ein
Fehlersignal ausgegeben. Ein Beispiel eines ungültigen Opcodes ist ein Opcode, der
durch den Mikroprozessor nicht verwendet wird. Wenn der Opcode als
ungültig
bestimmt ist und die Vorrichtung in dem normalen Modus ist, wird
die Vorrichtung in den Zwischenmodus eingestellt. Wenn ein Opcode- fehler erkannt wird,
während
die Vorrichtung in dem Zwischenmodus ist; wird die Vorrichtung in
den Backup- Schrittmachermodus eingestellt.
-
Eine
andere Art von Fehlererkennung wird durch eine Überwachungs- Zeitgeberschaltung
ausgeführt.
Die Überwachungs-
Zeitgeberschaltung ist vorgesehen, um zu bestimmen, ob der Mikroprozessor
korrekt funktioniert. In einer bevorzugten Ausführungsform, funktioniert die Überwachungs-
Zeitgeberschaltung auch als ein Umschalt- Schaltkreis, welcher die
Vorrichtung zwischen dem normalen, dem Zwischen-, und dem Backup-
Modus umschaltet. Ein bevorzugtes Verfahren der Arbeit des Überwachungs-
Zeitgebers, um Fehlfunktionen des Mikroprozessors zu erkennen, ist
wie folgt. Erstens liefert eine Interrupt- Generatorschaltung ein
Interruptsignal zu dem Mikroprozessor. Wenn der Mikroprozessor korrekt
funktioniert, ist er in der Lage, ein Rückmeldesignal zu der Überwachungs-
Zeitgeberschaltung als Antwort auf das Erhalten des Interruptsignales
zu übertragen.
Wenn kein gültiges
Rückmeldesignal durch
die Überwachungs-
Zeitgeberschaltung von dem Mikroprozessor innerhalb eines vorherbestimmten
Zeitintervalls, nach dem der Mikroprozessor das Interruptsignal
erhält,
erhalten wurde, wird die Vorrichtung in den Backup- Schrittmachennodus
geschaltet. Folglich veranlasst die Fehlererkennung durch die Überwachungs-
Zeitgeberschaltung die Vorrichtung, in den Backup- Schrittmachermodus einzutreten
ungeachtet, ob die Vorrichtung in dem normalen Modus oder in dem
Zwischenmodus arbeitete, wenn der Fehler erkannt wurde.
-
Entsprechend
eines weiteren Sicherheitsoptimierungsmerkmales, wird der Mikroprozessor
abgeschaltet, wenn ein Cardioversions- oder Defibrillationsschock
an dem Patientenherz angewendet wird. Signale, die durch den Mikroprozessor
erzeugt werden, sind daher nicht einer eventuellen Beschädigung durch
elektrische Übergangssignaleausgesetzt.
Um dies gerade vor dem Liefern von elektrischer Stimulation an das
Patientenherz auszuführen, programmiert
der Mikroprozessor einen Zeitgeber, um ein Wecksignal zu einem Systemtaktgeber
zu senden. Der Zeitgeber ist so programmiert, dass er ein Wecksignal
nach einem vorherbestimmten Zeitintervall, nach dem der Zeitgeber
programmiert wurde, zu dem Systemtaktgeber sendet. Der Mikroprozessor
sendet dann ein Signal zu dem Systemtaktgeber, welcher den Mikroprozessor
daran hindert, Taktsignale zu empfangen, wobei die Verarbeitung
durch den Mikroprozessor angehalten wird. Der Cadioversions-oder
Defibrillationsschock wird abgegeben, während der Mikroprozessor abgeschaltet
ist. Nach dem das vorherbestimmte Zeitintervall abgelaufen ist (welche
länger
ist, als die Zeit, die es braucht, um den Cadioversions- oder Defibrillationsschock
abzugeben), sendet der Zeitgeber das Wecksignal aus. Das Wecksignal
ermöglicht
es dem Mikroprozessor, die Taktsignale von dem Systemtaktgeber zu
erhalten, wobei die Verarbeitung durch den Mikroprozessor gestattet
wird.
-
Zusätzlich zu
dem Abschalten des Mikroprozessors während der Abgabe eines Cadioversions- oder
Defibrillationsschocks sind die Interruptregister des Mikroprozessors
während
der Abgabe eines Herzversions- oder Defibrillationsschocks gesperrt. Vor
dem Abschalten des Taktsignals, schaltet der Mikroprozessor eine
Taktschaltung, welche die Eingänge
der Mikroprozessor-Interrupts abschaltet. Die Interruptregister
werden daher nicht durch elektrische Übergangssignale beeinflußt, welche
versehentlich die Interruptregister triggern können.
-
In
einer anderen Ausführungsform,
wird eine Hochspannungs- Schnittstellenschaltung verwendet, um das
Aufladen der Hochspannungsenergie in den Ausgangskondensator anzuzeigen
und/oder um die Menge des zu dem Patienten gelieferten Schocks anzuzeigen.
Wenn eine Fehlfunktion passiert, wird der Mikroprozessor benachrichtigt,
und eine entsprechenden Maßnahme
kann ausgeführt
werden.
-
In
einer alternativen Ausführungsform,
wird die Sicherheitsoptimierung durch das Vorsehen redundanter Mikroprozessoren
ausgeführt.
In dieser Ausführungsform
hat die implantierbare Herzstimulationsvorrichtung einen ersten
Mikroprozessor, einen zweiten Mikroprozessor, einen mit dem ersten
und zweiten Mikroprozessor verbundenen vergleicher, eine mit dem
Vergleicher und dem ersten und zweiten Mikroprozessor verbundene
Schnittstelle, und einen mit der Schnittstelle verbundenen Datenbus.
Die Schnittstelle empfängt
Signale von dem Datenbus und überträgt eine
Kopie der Signale zu jedem des ersten und zweiten Mikroprozessors.
Der erste Mikroprozessor verarbeitet die Signale, um ein erstes verarbeitetes
Signal zu erzeugen, während
der zweite Mikroprozessor die Signale verarbeitet, um ein zweites
verarbeitetes Signal zu erzeugen. Jedes der ersten und zweiten verarbeiteten
Signale werden zu dem Vergleicher übermittelt. Der Vergleicher
vergleicht das erste und zweite verarbeitete Signal, um zu bestimmen,
ob der erste und zweite Mikroprozessor korrekt funktioniert. Wenn
die Signale nicht substantiell identisch sind, wird der Mikroprozessor
abgeschaltet und der Backup- Schrittmachermodus wird aktiviert.
Auf diese Art und Weise kann ein falsch funktionierender Mikroprozessor
gehindert werden, eine falsche Schrittmacheranregung und einen Cardioversions-
oder Defibrillationsschock, die an den Patienten geliefert werden,
zu verursa chen. Ausführungsformen
der Erfindung werden nun als Beispiel unter Bezugnahme auf die Zeichnungen
beschrieben, von denen:
-
1 ein schematisches Diagramm
einer bevorzugten Ausführungsform
einer implantierbaren Herzstimulationsvorrichtung ist, welche eine
Backup- Schrittmacheranregungsschaltung entsprechend der vorliegenden
Erfindung enthält;
-
2 ein schematisches Diagramm
ist, das die Bearbeitungs- und Steuereinheit der 2, welche eine Fehlerdetektorschaltung
entsprechend der vorliegenden Erfindung enthält, zeigt;
-
3 ein Flussdiagramm von
durch den in 2 gezeigten
Mikroprozessor ausgeführten
Stufen ist, um auf die in 2 gezeigte Überwachungs- Zeitgeberschaltung
zu reagieren;
-
4 ein Flussdiagramm einer
Fehlerdetektorsequenz ist, die durch die in 2 gezeigte Überwachungs- Zeitgeberschaltung
ausgeführt
wird;
-
5–7 Flussdiagramme
von Fehlerdetektorsequenzen sind, die durch die in 2 gezeigte Überwachungs- Zeitgeberschaltung
ausgeführt
werden, um das Umschalten zwischen den Betriebsmodi entsprechend
der vorliegenden Erfindung bereit zu stellen;
-
8 ein Flussdiagramm für das Abschalten des
in 2 gezeigten Mikroprozessors
während
der Abgabe eines Cardioversions- oder Defibrillationsschocks ist;
-
9 ein schematisches Diagramm
einer alternativen Bearbeitungs- und Steuereinheit ist, welche redundante
Mikroprozessoren entsprechend der vorliegenden Erfindung beinhaltet;
und
-
10 ein Flussdiagramm zur
Fehlerkontrolle ist, die ausgeführt
wird, um zu bestimmen, ob der erste und zweite Mikroprozessor der 9 korrekt funktioniert.
-
1 ist ein schematisches
Diagramm einer implantierbaren Herzstimulationsvorrichtung 100 mit einer
Backup-Schrittmacherschaltung entsprechend der vorliegenden Erfindung.
Die implantierbare Herzstimulationsvorrichtung 100 hat
vorzugsweise drei Arbeitsmodi – einen
normalen Modus, einen Zwischenmodus und einen Backup-Schrittmacher
Modus. Zu jeder gegebenen Zeit wird der bestimmte Modus, in dem
die Vorrichtung arbeitet, durch die Anzahl und die Art der Fehler
bestimmt, die in der Vorrichtung delektiert worden sind. Bevor die
Betriebsmodi und die Fehlerdetektionsverfahren und die Schaltung beschrieben
wird, wird eine allgemeine Beschreibung der Vorrichtung 100 geliefert,
so dass die Merkmale und Vorteile der Erfindung besser verständlich sind.
-
Die
implantierbare Herzstimulationsvorrichtung 100 umfasst
eine Schaltung 102, die für die Regelung und die Abgabe
einer Schrittmachertherapie und auch für die gesamte Betriebskontrolle
der Vorrichtung 100 verantwortlich ist. Auch ist eine Schaltung 104 enthalten,
die zur Steuerung, Erzeugung und Abgabe von Cardioversions- und
Defibrillationsschocks bestimmt ist. Die implantierbare Herzstimulationsvorrichtung 100 gibt
vorzugsweise therapeutische Schocks (das heißt Cardioversions- oder Defibrillationsschocks)
oder Schrittmacherpulse an das Patientenherz 106 ab, um
Herzarrhythmien zu unterbrechen bzw. künstliche Schrittmachersignale
zu liefern. Die vorliegende Erfindung kann jedoch auch mit dedizierten
implantierbaren Cardiovertern und Defibrillatoren und auch mit dedizierten,
implantierbaren Schrittmachervorrichtungen in die Praxis umgesetzt werden.
-
Die
implantierbare Herzstimulationsvorrichtung 100 liefert
therapeutische Schocks an das Patientenherz 106 durch eine
Vielzahl von Schockleitungen 108. Schrittmacherpulse werden
an das Patientenherz 106 durch ein Schrittmacher-Leitungssystem 110 abgegeben.
Die therapeutischen Schocks und Schrittmacherpulse können jedoch
durch dieselben Leitungen (nicht gezeigt) abgeliefert werden. Das Schrittmacher-Leitungssystem 110 dient
auch dazu, die intrinsische Herzaktivität während der Perioden abzutasten,
wenn eine elektrische Stimulation nicht auf das Herz angewendet
wird. Das Leitungssystem 110 führt physiologische und Elektrophysiologische Daten
in Form von Analogsignalen von dem Patientenherz 106 an
eine Sensorschaltung 112 zu. Ferner ist die implantierbare
Herzstimulationsvorrichtung 100 vorzugsweise in einem elektrischen
leitfähigen Gehäuse (nicht
gezeigt) eingeschlossen, welches als eine Elektrode bei der Abgabe
von Schrittmacherpulsen verwendet werden kann.
-
Die
Sensorschaltung 112 verstärkt typischerweise die ankommenden
analogen Signale und filtert unerwünschtes Rauschen aus. Die verstärkten Signale
werden dann durch eine Verarbeitungs- und Steuereinheit 114 digitalisiert
und für
die Verwendung formatiert. Die Verarbeitungs- und Steuereinheit 114 analysiert
die digitalen Signale, um die geeignete Therapie zu bestimmen.
-
Die
Verarbeitungs- und Steuereinheit 114 ist in Kommunikation
mit einer Schrittmacherpulsregelungs- und Abgabeschaltung 116,
die elektrische Pulse erzeugt und an das Patientenherz 106 überträgt. Die
Schrittmacherpulsregelungs- und Abgabeschaltung 116 umfasst
eine bergab-Schrittmacherschaltung 118 zu einer Verwendung,
wie im Detail unten beschrieben wird. Die Verarbeitungs- und Steuereinheit 114 bestimmt
die geeignete Leitung oder die geeigneten Leitungen des Leitungssystems 110,
durch die die Therapie abgeliefert wird.
-
Um
einen Cardioversions- oder Defibrillationsschock abzuliefern, befiehlt
die Verar beitungs- und Steuereinheit 114 durch eine serielle
Schnittstelle 120 eine Gleichstrom/Gleichstrom-Umsetzersteuerschaltung 122,
damit zu beginnen, ein Paar von Kondensatoren 124, die
in Reihe miteinander sind, auf eine Zielspannung aufzuladen. Die
Gleichstrom/Gleichstrom-Umsetzersteuerschaltung 122 befiehlt
wiederum eine Schockabgabeschaltung 126 über eine
Isolationsschaltung 128, mit der auf Leitung der Kondensatoren 124 zu
beginnen. Die Gleichstromn/Gleichstrom-Umsetzersteuerschaltung 122 führt die
Steuerungs- und Logik-Operationen durch, die von der Schockabgabeschaltung 126 benötigt werden,
um eine mit hoher Frequenz oszillierende Hochspannung zur Anwendung
auf die Kondensatoren 124 zu erzeugen. Eine Defibrillationsschock-Abgabesteuerschaltung 130 führt die
Logik- und Steueroperationen durch, die benötigt werden, um einen gewünschten
therapeutischen Schock an das Patientenherz 106 abzugeben.
-
In
einem bevorzugten Ausführungsbeispiel umfasst
die Isolationsschaltung 128 eine Transformatoren-Schnittstelle
(nicht gezeigt), die dazu verwendet wird, die Niederspannungs-Schaltungen sowohl
der Defibrillationsschock-Abgabesteuerschaltung 130 und
der Gleichstrom/Gleichstrom-Umsetzersteuerschaltung 122 als
auch der Schaltung 102 gegen eine Beauflagung mit Hochspannungen
zu isolieren.
-
Sobald
die Defibrillationsschock-Abgabesteuerschaltung 130 informiert
ist, dass die Kondensatoren 124 genügend aufgeladen sind, befiehlt
die Verarbeitungs- und Steuereinheit 114 sodann der Defibrillationsschock-Abgabesteuerschaltung 130, die
Schockabgabeschaltung 126 anzuweisen, den Schock an das
Patientenherz 106 anzuwenden.
-
Eine
Hochspannungs-Schnittstellenschaltung 121 wird verwendet,
um die Aufladung von Hochspannungsenergie in die Ausgangs-Kondensatoren 124 zu überwachen
und/oder sie ist in der Lage, die Größe des an den Patienten abgelieferten Schocks
zu überwachen.
Wenn eine Fehlfunktion auftritt, wird der Mikroprozessor benachrichtigt.
Je nach dem Typ des Fehlers kann der Mikroprozessor das Problem
bei der nächsten
Abfrage weitergeben, einen Melder aktivieren, um den Patienten zu
alarmieren, dass er seinen Arzt besucht, und möglicherweise die Defibrillationsschock-Abgabesteuerschaltung 120 abzuschalten.
-
Die
Kommunikation mit und die Programmierung von der implantierbaren
Herzstimulationsvorrichtung 100 wird durch einen Programmierer
(nicht gezeigt) erreicht, der mit der Vorrichtung 100 durch eine
Telemetrieschaltung 140 in Kommunikation ist. Telemetriedaten
werden an die Verarbeitungs- und Steuereinheit 144 durch
einen Speicher 142 übertragen.
-
Ein
externer RAM 144, der mit der Verarbeitungs- und Steuereinheit 114 verbunden ist,
ist zur Speicherung von Daten vorgesehen.
-
2 zeigt eine Verarbeitungs-
und Steuereinheit 200 (die geeignet ist zur Verwendung
als Verarbeitungs- und Steuereinheit 114 von 1), die entsprechend der
vorliegenden Erfindung aufgebaut ist. Die Verarbeitungs- und Steuereinheit 200 umfasst
einen Mikroprozessor 202, der mit einem Datenbus 204 verbunden
ist. Eine Torschaltung 206, die durch den Mikroprozessor 202 gesteuert
wird, steuert den Zugriff auf Interrupt-Speicher 208 des
Mikroprozessors 202. Der interne RAM 210 und ein
ROM 212 sind für
die Speicherung von Daten vorgesehen. Ein Paritätsgenerator 214, ein
Paritätsprüfer 216, eine Überwachungszeitgeberschaltung 218,
ein Adressendekoder 220, eine Realzeit-Taktlogik 222, ein
Zeitgeber 224, ein Opcode-Prüfer 226 und ein System-Taktgenerator 228 sind
für die
Fehlerüberprüfung vorgesehen.
Der Datenbus 204 steht mit der Sensorschaltung 112,
der Schrittmacherregelungs- und Abgabeschaltung 116, dem
Speicher 142, dem externen RAM 144 und der seriellen
Schnittstelle 120 in Kommunikation, die in 1 gezeigt ist.
-
Zusätzlich zu
dem Auslesen von Daten von dem ROM 212 kann die Verarbeitungs- und Steuereinheit 200 Daten
von dem externen RAM 144 (1)
und dem internen RAM 210 lesen und dort schreiben. Typischerweise
hat der externe RAM 144 (1)
eine größere Speicherkapazität als der
interne RAM 210. Obwohl 1 eine
implantierbare Herzstimulationsvorrichtung 100 mit dem
externen RAM 144 zeigt, könnte in einem alternativen
Ausführungsbeispiel
(nicht gezeigt) der externe RAM 144 eliminiert werden,
um die Prozessorgeschwindigkeit zu erhöhen, den Stromverbrauch zu
reduzieren und die Gesamtgröße der implantierbaren
Vorrichtung zu reduzieren.
-
Die
Wechselwirkung der Verarbeitungs- und Steuereinheit 200 mit
den verschiedenen Speichervorrichtungen hängt von dem Modus ab, in dem
die implantierbare Herzstimulationsvorrichtung arbeitet. In einem
bevorzugten Ausführungsbeispiel
der Erfindung gibt es drei Betriebsmodi, die der implantierbaren
Herzstimulationsvorrichtung 100 zur Verfügung stehen,
den normalen Modus, den Zwischenmodus und den Backup-Schrittmachermodus.
-
In
dem normalen Modus ist der Mikroprozessor 202 in der Lage,
Daten und Befehle zu verwenden, die in der ROM 212, dem
internen RAM 210 und dem externen RAM 144 (1) gespeichert sind. Der
Mikroprozessor 202 ist in der Lage, Daten in dem internen
RAM 210 und dem externen RAM 144 (1) zu speichern, und ist in der Lage,
Daten von dem internen RAM 210, dem externen RAM 144 (1) und dem ROM 212 zu
lesen. Die Programmbefehle und Daten, die von dem Programmierer (nicht
gezeigt) über
die Telemetrie 140 (1)
beliefert werden, können
in dem internen RAM 210 und dem externen RAM 144 (1) gespeichert und von dort
zurückgewonnen
werden. Der Mikroprozessor 202 kann auch physiologische
und elektrophysiologische Daten, die von der Sensorschaltung 112 (1) in dem internen RAM 210 und
dem externen RAM 144 (1)
gesammelt werden, speichern und dann zurückholen. In dem normalen Modus
ist die implantierbare Herzstimulationsvorrichtung 100 daher
in der Lage, das am meisten fortentwickelte Niveau der Schrittmachertherapie
zu liefern. Insbesondere kann die Schrittmachertherapie durch einen
Arzt so programmiert werden, dass sie speziell für die Bedürfnisse des in Behandlung befindlichen
Patienten geeignet ist, und sie kann auch entsprechend den Daten
eingestellt werden, die von dem Patientenherz durch die Vorrichtung
gesammelt werden.
-
Wenn
ein Adress-, Paritäts-
oder Opcodefehler (jeder derselben ist unten beschrieben) detektiert wird,
während
die implantierbare Herzstimulationsvorrichtung 100 in dem
normalen Modus ist, wird die Vorrichtung 100 in den Zwischenmodus
entweder durch die Überwachungs-Zeitgeberschaltung 218 oder
eine andere Umschalt-Schaltung (nicht gezeigt) gesetzt. Beim Eintritt
in den Zwischenmodus wird alle Information, die in dem internen
RAM 210 und dem externen RAM 144 (1) gespeichert ist, als korrupt betrachtet.
Obwohl der Mikroprozessor 202 immer noch den internen RAM 210 und
den externen RAM 144 (1)
benutzen kann, um Information zu speichern und zurückzugewinnen,
während
er sich in dem Zwischenmodus befindet, wird somit jegliche Information,
die bereits zu dem Zeitpunkt, an dem die Vorrichtung in den Zwischenmodus
umgeschaltet wird, gespeichert war, durch den Mikroprozessor 202 ignoriert
und kann überschrieben
werden. In dem Zwischenmodus kann der Mikroprozessor beispielsweise
den internen RAM 210 oder den externen RAM 144 (1) als Notizblockspeicher
verwenden, um eine Berechnung durchzuführen oder Daten, die von dem
Patientenherz 106 gesammelt wurden, zu speichern. Der Mikroprozessor 202 wird
jedoch Daten ignorieren, die in dem internen RAM 210 oder
dem externen RAM 144 (1)
vor dem Eintritt in dem Zwischenmodus gespeichert waren. In dem
Zwischenmodus ist der Mikroprozessor 202 in der Lage, Daten von
dem ROM 212 zurückzuholen.
-
Der
Zwischenmodus überwindet
auf diese Weise die Nachteile früherer
Vorrichtungen des direkten Umschaltens in ein Programm mit fester
Rate bei der Fassung eines einzigen Paritätsfehlers. In der Vorrichtung
der vorliegenden Erfindung bewirkt die Erfassung eines Paritätsfehlers,
dass der Mikroprozessor 202 Daten, die dem internen RAM 210 und dem
externen RAM 144 (1)
gespeichert sind, als korrupt betrachtet. Der Mikroprozessor 202 kann
jedoch damit fortfahren, den internen RAM 210 und den externen
RAM 144 (1)
zu benutzen.
-
Wenn
irgendein Adress-, Paritäts-
oder Opcodefehler während
des Zwischenmodus detektiert wird, wird die Vorrichtung 100 in
den Backup-Schrittmachermodus gesetzt. Wenn ein Überwachungs-Zeitablauf auftritt
oder telemetrisch ein Systeminterrupt ausgegeben wird, während die
Vorrichtung 100 sich in dem Zwischenmodus oder dem normalen
Modus befindet, wird die Vorrichtung 100 des weiteren in
den Backup-Schrittmachermodus gesetzt. In dem Backup-Schrittmachermodus
ist der Mikroprozessor 202 abgeschaltet und die Backup-Schrittmacherschaltung 118 (1) der Schrittmacherpuls-Regelungs-
und Abgabeschaltung 116 (1)
ist aktiviert. Die Backup-Schrittmacherschaltung 118 (1) wendet Backup-Schrittmacherpulse an
das Patientenherz an, bis eine geeignet qualifizierte Person die
Vorrichtung warten kann.
-
Die
Backup-Schrittmacherschaltung 118 (1) ist vorzugsweise eine dedizierte Schaltung, die
keine Eingabe von jeglichen Signalen von dem Mikroprozessor 202 benötigt, um
zu funktionieren. In einem bevorzugten Ausführungsbeispiel liefert die Backup-Schrittmacherschaltung 118 (1) eine VVI-Schrittmachertherapie.
Beim VVI-Schrittmacher wird,
wenn ein Herzschlagsignal von dem Ventrikel des Patienten während eines
festen Zeitintervalls, das dem vorhergehenden Herzschlag folgt,
ob intrinsisch oder Schrittmacher-gesteuert, ein Schrittmacherpuls
an das Ventrikel des Patientenherzens 106 abgeliefert.
-
In
dem eine dedizierte Backup-Schrittmacherschaltung 118 (1) vorgesehen wird, die
eine Intervention durch den Mikroprozessor 202 nicht erfordert,
werden die Nachteile früher
bekannter Vorrichtungen überwunden.
Insbesondere ist die Backup-Schrittmacherschaltung 118 (1) in hohem Maß zuverlässig und
kann nicht durch eine Fehlfunktion des Mikroprozessors 202 oder
eine Korruption von Daten, die in dem internen RAM 210 und
dem externen RAM 144 (1)
gespeichert sind, unterbrochen werden.
-
Die
Fehlerdetektionsverfahren und die Vorrichtung, die zur Bestimmung
des Betriebsmodus der implantierbaren Herzstimulationsvorrichtung 100 verwendet
werden, werden nun beschrieben.
-
Um
mögliche
Fehler des Mikroprozessors 202 und der dazugehörigen Schaltungen
zu erfassen und die Sicherheit der Vorrichtung 100 zu erhöhen, sind
die Überwachungs-Zeitgeberschaltung
und die Realzeit-Taktlogik 222 vorgesehen. Zusätzlich zur Lieferung
einer Fehlerdetektion steuert die Überwachungs-Zeitgeberschaltung 218 vorzugsweise
auch die Umschaltung der Vorrichtung 100 zwischen den Modi,
wie unten beschrieben ist.
-
3 zeigt die Schritte, die
von dem Mikroprozessor 202 (2)
in Antwort auf die Überwachungs-Zeitgeberschaltung 218 (2) ausgeführt werden.
Von dem Mikroprozessor 202 (2)
wird vorzugsweise erwartet, dass er auf ein Interruptsignal antwortet,
welches vorzugsweise alle zwei Minuten durch die Realzeit-Taktlogik 222 (2) abgegeben wird, bei dem
Schritt 300. Das Interruptsignal wird von der Überwachungs-Zeitgeberschaltung 218 (2) und dem Mikroprozessor 202 (2) empfangen. Beim Empfang
des Interruptsignal an dem Schritt 302 sendet der Mikroprozessor 202 (2) ein Bestätigungssignal
in dem Schritt 304 an die Überwachungs-Zeitgeberschaltung 218 (2), bevor das nächste Interruptsignal
durch die Realzeit-Taktlogik 222 (2) ausgegeben wird. Das Bestätigungssignal
umfasst vorzugsweise ein 8-Bit-Passwort, das einen willkürlich erzeugten 6-Bit-Schlüssel und
einen 2-Bit-Adresscode umfasst. Der 2-Bit-Adresscode spezifiziert
eine von vier möglichen
Adressen in der Überwachungs-Zeitgeberschaltung 218 (2), während der 6-Bit-Schlüssel ein
willkürlich
erzeugter Code ist. Um das Interrupt ordnungsgemäß zu bestätigen, liefert der Mikroprozessor 202 (2) den 6-Bit-Schlüssel an
die Adresse, die durch den 2-Bit-Adresscode spezifiziert ist. Jedes
Mal, wenn der Mikroprozessor 202 (2) eine Bestätigung an die Überwachungs-Zeitgeberschaltung 218 (2) liefert, erzeugt die Überwachungs-Zeitgeberschaltung 218 (2) ein neues Passwort, das
einen neuen Schlüssel
und einen neuen Adresscode umfasst, an dem Schritt 306.
Der Mikroprozessor 202 (2)
holt dieses Passwort bei dem Schritt 308 zur Verwendung
in der nächsten
Bestätigung
ab. Das ursprüngliche
Passwort nach einer Rücksetzung
des Systems ist ein 8-Bit-Passwort, in dem alle Bits „Nullen" sind.
-
Wie
in 4 gezeigt ist, stellt
die Überwachungs-Zeitgeberschaltung 218 (2) als erstes fest, ob eine
Bestätigung
innerhalb von zwei Sekunden nach Ausgabe des Interruptsignals empfangen wird,
an dem Test 400. Wenn eine Bestätigung innerhalb von zwei Sekunden
nicht empfangen worden ist, setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
dem Schritt 402 in dem Backup-Schrittmachermodus. Wenn
eine Bestätigung
innerhalb von zwei Sekunden empfangen worden ist, überprüft die Überwachungs-Zeitgeberschaltung 218 (2) dann bei dem Test 404,
ob die Bestätigung
in Ordnung ist. Wenn die Bestätigung
nicht in Ordnung ist, schaltet die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 an
dem Schritt 402 in den Backup-Schrittmachermodus. Eine Bestätigung ist
nicht in Ordnung, wenn der Mikroprozessor 202 (2) nicht den 6-Bit-Schlüssel an
die Adresse liefert, die durch den 2-Bit-Adress-Code spezifiziert
ist, wobei diese beiden während
der vorhergehenden Bestätigung
zurückgeholt
wurden. Wenn die Bestätigung
in Ordnung ist, bestimmt sodann die Überwachungs-Zeitgeberschaltung 218 (2) an dem Testschritt 406,
ob mehr als eine Bestätigung
empfangen worden ist. Wenn mehr als eine Bestätigung empfangen worden ist,
schaltet die Überwachungs-Zeitgeberschaltung 218 (4) an dem Schritt 402 die
Vorrichtung 100 in den Backup-Schrittmachermodus. Mehr
als eine Bestätigung kann
empfangen werden, wenn der Mikroprozessor 202 (1) nicht korrekt funktioniert.
Wenn die Bestätigung
in Ordnung ist, beginnt das Verfahren erneut mit der Ausgabe eines
neuen Interruptsignals.
-
Wenn
der Mikroprozessor 202 (2)
korrekt funktioniert, bestätigt
er ordnungsgemäß das Interruptsignal
an die Überwachungs-Zeitgeberschaltung 218 (2) innerhalb von zwei Sekunden. Wenn
jedoch der Mikroprozessor 202 (2) versagt oder nicht korrekt funktioniert,
was beispielsweise durch eine schwach werdende Batterie verursacht werden
kann, kann er möglicherweise
das Interruptsignal an die Überwachungs-Zeitgeberschaltung 218 (2) nicht ordnungsgemäß bestätigen. Wenn
dies auftritt, stellt die Überwachungs-Zeitgeberschaltung 218 (2) den Fehler fest und verwirklicht
das Backup-Schrittmacherverfahren.
Die Überwachungs-Zeitgeberschaltung 218 (2) kann auf diese Weise
verhindern, dass die Vorrichtung 100 eine nicht ordnungsgemäße Schrittmacher-
oder Cardioversions/Defibrillations-Therapie an das Patientenherz 106 abliefert,
wodurch die Sicherheit der Vorrichtung 100 erhöht wird.
-
Es
ist für
den Durchschnittsfachmann klar, dass andere Passwörter als
das 8-Bit-Passwort,
das oben beschrieben wurde, entsprechend der vorliegenden Erfindung
verwendet werden können.
Beispielsweise könnte
das Passwort einen Schlüssel
mit 8-Bits, die willkürlich
erzeugt werden, ohne Adresscode aufweisen. In diesem Fall wäre nur eine
Adresse in der Überwachungs-Zeitgeberschaltung 218 (2) vorhanden, an die der
Schlüssel
geschrieben würde,
und eine ordnungsgemäße Bestätigung würde es erfordern,
dass der 8-Bit-Schlüssel
an diese Adresse geschrieben wird.
-
Es
ist für
den Durchschnittsfachmann auch klar, dass das Intervall zwischen
Interruptsignalen, die von der Realzeit-Taktlogik 222 (2) ausgegeben werden, einen
anderen Wert als zwei Sekunden haben kann. Beispielsweise könnte das
Interruptsignal jede Sekunde gesendet werden. Es ist jedoch wichtig,
dass das Signal häufig
genug ist, so dass der Backup-Schrittmacherschaltung
ermöglicht
wird, ohne eine ungerechtfertigte Verzögerung zwischen Schrittmacherpulsen
aktiviert zu werden.
-
Bezugnehmend
wiederum auf 2 ist eine weitere
Fehlerüberprüfung durch
den Paritätsgenerator 214 und
dem Paritätsprüfer 216 vorgesehen. Der
Paritätsgenerator 214 ist
vorzugsweise eine herkömmliche,
verdrahtete Schaltung, die ein Paritätsbit für Daten erzeugt, die in dem
internen RAM 210 oder dem externen RAM 144 (1) gespeichert sind. Der
Paritätsprüfer 216 ist
vorzugsweise eine herkömmliche,
aufgedrahtete Schaltung, die das Paritätsbit von Daten überprüft, die
von dem internen RAM 210 oder dem externen RAM 144 (1) ausgelesen werden.
-
Der
Mikroprozessor 202 verarbeitet vorzugsweise Daten in 8-Bit-Bites.
Wenn Daten in dem externen RAM 144 (1) oder dem internen RAM 210 gespeichert
werden, erzeugt der Paritätsgenerator 214 ein
neuntes Bit, welches die Parität
der acht Daten-Bits anzeigt. Die acht Daten-Bits und das Paritäts-Bit werden
dann in dem externen RAM 144 (1) oder dem internen RAM 210 gespeichert.
Die Information ist auf diese Weise in neun Biteinheiten – acht Daten-Bits
und das korrespondierende Paritäts-Bit,
gespeichert. Das Paritätsbit
kann vorzugsweise in einer herkömmlichen
Weise erzeugt werden, beispielsweise durch Bestimmung der Anzahl
von „einzeln" in den acht Daten-Bits.
Wenn eine gerade Anzahl von „einzeln" vorhanden ist, wird
das Paritäts-Bit „eins" gesetzt, während eine
ungerade Anzahl von „einzeln" bewirkt, dass das
Paritäts-Bit
auf „null" gesetzt wird. Alternativ
kann das Paritäts-Bit so gewählt werden,
dass es eine gerade Anzahl von „einzeln" in den kombinierten Daten – und Paritäts-Bits
erzeugt.
-
Wenn
Daten von dem internen RAM 210 oder dem externen RAM 144 (1) zurückgeholt werden, prüft der Paritätsprüfer 216 das
Paritäts-Bit. Wenn
das Paritäts-Bit
nicht korrekt ist, erzeugt der Paritätsprüfer 216 ein Fehlersignal,
welches anzeigt, dass ein Paritätsfehler
erfasst worden ist. Das Fehlersignal wird von der Überwachungs-Zeitgeberschaltung 218 empfangen,
die dann die Vorrichtung 100 in den geeigneten Modus umschaltet.
Die Erfassung eines Paritätsfehlers
kann anzeigen, dass die in den Speichervorrichtungen gespeicherten
Daten korrupt sind und nicht verwendet werden sollten. Wenn ein
Paritätsfehler
erfasst wird, während
die Vorrichtung in dem normalen Modus ist, wird die Vorrichtung 100 entweder
durch die Überwachungs-Zeitgeberschaltung 218 oder
durch eine andere Umschalt-Schaltung
(nicht gezeigt) in den Zwischenmodus gesetzt. Wenn ein Paritätsfehler
erfasst wird, während
die Vorrichtung in dem Zwischenmodus ist, wird die Vorrichtung 100 durch
die Überwachungs-Zeitgeberschaltung 218 oder
eine andere Umschalt-Schaltung (nicht gezeigt) in den Backup-Modus
gesetzt. Wenn das Paritäts-Bit
korrekt ist, wird es dem Mikroprozessor 202 gestattet,
mit dem Zurückholen
der Daten weiter zu machen.
-
Die
Paritätsfehlerüberprüfung entsprechend der
vorliegenden Erfindung überwindet
damit die Nachteile für
Vorrichtungen. Insbesondere wird die Paritätsfehlerüberprüfung vorzugsweise bei allen
Daten durchgeführt,
die in dem internen RAM 210 und dem externen RAM 144 (1) gespeichert sind statt
nur mit den Programmbefehlen, die in dem RAM gespeichert sind. Die
Vorrichtung 100 erhöht
damit die Sicherheit des Patienten, in dem eine erhöhte Fehlerdetektion
bereitgestellt wird.
-
Eine
noch weitergehende Fehlerüberprüfung wird
durch den Adressdekoder 220 durchgeführt. Der Adressdekoder 220 ist
vorzugsweise eine herkömmliche,
verdrahtetet Schaltung. Bevor der Mikroprozessor 202 auf
eine Adressenstelle des internen RAM 210 des ROM 212 oder
des externen RAM 144 zugreifen kann, dekodiert der Adressdekoder 220 die Adresse
und stellt fest, ob die Adresse eine ordnungsgemäße Adresse ist. Ein Beispiel
einer nicht ordnungsgemäßen Adresse
ist eine Adresse, die höher
ist als die höchst
gültige
Adressenstelle. Wenn der Adressdekoder 220 feststellt,
dass der Mikroprozessor 202 versucht, auf eine nicht ordnungsgemäße Adresse
zuzugreifen, sendet der Adressdekoder 220 ein Fehlersignal
an die Überwachungs-Zeitgeberschaltung 218.
Wenn festgestellt wird, dass die Adressenstelle nicht gültig ist
und die Vorrichtung 100 sich in dem normalen Modus befindet,
wird die Vorrichtung 100 entweder durch die Überwachungs-Zeitgeberschaltung 218 oder
durch eine andere Umschalt-Schaltung- (nicht gezeigt) auf den Zwischenmodus
gesetzt. Wenn die Vorrichtung 100 in dem Zwischenmodus
ist und ein Adressfehler erfasst wird, wird die Vorrichtung 100 entweder
durch die Überwachungs-Zeitgeberschaltung 218 oder
die andere Umschalt-Schaltung (nicht gezeigt) in den Backup-Modus
gesetzt. Noch ein weiterer Typ von Fehlererkennung ist durch den
Opcode-Prüfer 226 vorgesehen. Der
Opcode-Prüfer 226 ist
vorzugsweise eine herkömmliche,
verdrahtete Schaltung. Der Opcode-Prüfer überprüft jeden Opcode (den der Mikroprozessor 202 zu
erfassen versucht), um festzustellen, ob der Opcode gültig ist.
Wenn der Mikroprozessor 202 dabei ist, einen Opcode von
dem ROM 212, dem internen RAM 210 oder dem externen
RAM 144 (1) abzugreifen,
wird der Opcode-Prüfer 226 über den Datenbus 204 benachrichtigt.
Der Opcode-Prüfer stellt
dann fest, ob der Opcode gültig
ist. Wenn der Opcode nicht gültig
ist, wird ein Fehlersignal erzeugt und an die Überwachungs-Zeitgeberschaltung 218 gesendet.
Wenn der Opcode nicht gültig
ist und die Vorrichtung 100 in dem normalen Modus ist,
wird die Vorrichtung 100 entweder durch die Überwachungs-Zeitgeberschaltung 218 oder
eine andere Umschalt-Schaltung (nicht gezeigt) in den Zwischenmodus
gesetzt. Wenn ein Opcodefehler erfasst wird, während die Vorrichtung 100 in
dem Zwischenmodus ist, wird die Vorrichtung 100 entweder
durch die Oberwachungs-Zeitgeberschaltung 218 oder
eine andere Umschalt-Schaltung (nicht gezeigt) in den Backup-Modus gesetzt. Wenn
jedoch festgestellt wird, dass der Opcode gültig ist, wird es dem Mikroprozessor 202 gestattet,
den Fetch des Opcode fertig zu machen.
-
In
einem bevorzugten Ausführungsbeispiel umfasst
jeder Opcode acht Bits. Dies ergibt eine Gesamtzahl von 256 unterschiedlichen
8-Bit-Opcodes, die von dem Mikroprozessor 202 verwendet
werden können.
In einem bevorzugten Ausführungsbeispiel wird
eine verhältnismäßig kleine
Anzahl der 256 zur Verfügung
stehenden Opcodes nicht genutzt und sind daher nicht gültig. Die
Verwendung solch eines ungültigen
Opcodes kann bewirken, dass der Mikroprozessor 202 nicht
ordnungsgemäß funktioniert, was
möglicherweise
bewirkt, dass die Vorrichtung eine ungeeignete Schrittmachertherapie
an das Patientenherz abliefert. In einem bevorzugten Ausführungsbeispiel
stellt der Opcode-Prüfer 226 fest,
ob der Opcode, den der Mikroprozessor 202 gerade dabei
ist, abzugreifen, einer der unbenutzten Opcodes ist, in dem er den
Opcode mit jedem der unbenutzten Opcodes vergleicht, und feststellt,
ob eine Übereinstimmung
vorhanden ist. Wenn der abgegriffene Opcode zu einem der ungenutzten
Opcodes passt, dann ist der abgegriffene Opcode nicht gültig. Wenn
es keine Übereinstimmung
gibt, ist der Opcode ein gültiger Opcode.
-
5 zeigt die Fehlerüberprüfungsroutine, die
von der Überwachungs-Zeitgeberschaltung 218 (2) durchgeführt wird,
während
die Vorrichtung 100 in dem normalen Modus ist. Es gibt
zwei Fehler, die, wenn sie in dem Schritt 500 erfasst werden,
während
die Vorrichtung 100 in dem normalen Modus ist, bewirken,
dass die Vorrichtung in dem Backup-Schrittmachermodus eintritt.
Als erstes setzt, wenn die Überwachungs-Zeitgeberschaltung 218 (2) nicht korrekt von dem
Mikroprozessor 202 (1)
an dem Test 501 bedient wird, die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup-Schrittmachermodus. Die Tests, die von der Überwachungs-Zeitgeberschaltung 218 (2) ausgeführt werden,
um festzustellen, ob sie von dem Mikroprozessor 202 (4) ordnungsgemäß bedient
wird, sind oben unter Bezugnahme auf 4 beschrieben.
Als zweites setzt, wenn ein System-Interrupt von der Telemetrieschaltung 112 (1) von dem Test 504 empfangen
wird, die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup-Schrittmachermodus.
-
Wenn
ein Paritätsfehler,
ein Adressfehler oder ein Opcodefehler erfasst wird, während die
Vorrichtung 100 in dem normalen Modus ist, setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Zwischenmodus. An dem Test 506 bestimmt die Überwachungs-Zeitgeberschaltung 218 (2), ob ein Fehlersignal
von dem Paritätsprüfer 216 (2) empfangen worden ist.
Wenn ein Fehlersignal von der Überwachungs-Zeitgeberschaltung 218 (2) von dem Paritätsprüfer 216 (2) empfangen worden ist,
setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in den
Zwi schenmodus. An dem Test 508 bestimmt die Überwachungs-Zeitgeberschaltung 218 (2), ob ein Fehlersignal
von dem Adressdekoder 220 (2)
empfangen worden ist. Wenn ein Fehlersignal von der Überwachungs-Zeitgeberschaltung 218 (2) von dem Adressdekoder 220 (2) empfangen worden ist,
setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Zwischenmodus. An dem Test 510 bestimmt die Überwachungs-Zeitgeberschaltung 218 (2), ob ein Fehlersignal
von dem Opcode-Prüfer 226 (2) empfangen worden ist.
Wenn ein Fehlersignal von der Überwachungs-Zeitgeberschaltung 218 (2) von dem Opcode-Prüfer 226 (2) empfangen worden ist,
setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Zwischenmodus. Wenn keine Fehler erfasst werden, bleibt die
Vorrichtung 100 in dem normalen Modus und die Fehlerprüfroutine
von 5 wird durch die Überwachungs-Zeitgeberschaltung 218 (2) wiederholt.
-
Wie
in 6 gezeigt ist, setzt
im Schritt 600, während
die Vorrichtung 100 in dem Zwischenmodus ist, wenn Überwachungs-Zeitgeberschaltung 218 (2) nicht korrekt von dem
Mikroprozessor 202 (2)
an dem Test 602 bedient wird, die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup-Zeitgebermodus. Die Tests, die von der Überwachungs-Zeitgeberschaltung 218 (2) durchgeführt werden,
um festzustellen, ob sie von dem Mikroprozessor 202 (2) korrekt bedient wird,
sind wiederum oben unter Bezugnahme auf 4 beschrieben. Wenn ein System-Interrupt von
der Telemetrie-Schaltung 112 (1) bei dem Test 604 empfangen
wird, setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup-Schrittmachermodus.
-
Wenn
ein Paritätsfehler,
ein Adressfehler oder ein Opcodefehler erfasst wird, während die
Vorrichtung 100 in dem Zwischenmodus ist, setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup-Schrittmachermodus. In dem Test 606 bestimmt
die Überwachungs-Zeitgeberschaltung 218 (2), ob ein Fehlersignal
von dem Paritätsprüfer 216 (2) empfangen worden ist.
Wenn ein Fehlersignal von der Überwachungs-Zeitgeberschaltung 218 (2) von dem Paritätsprüfer 216 (2) empfangen worden ist,
setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup-Schrittmachermodus. An dem Test 608 bestimmt
die Überwachungs-Zeitgeberschaltung 218 (2), ob ein Fehlersignal
von dem Adressdekoder 220 (2)
empfangen worden ist. Wenn ein Fehlersignal von der Überwachungs-Zeitgeberschaltung 218 (2 ) von dem Adressdekoder 220 (2) empfangen worden ist,
setzt die Übenvachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup- Schrittmachermodus.
An dem Test 610 bestimmt die Überwachungs-Zeitgeberschaltung 218 (2), ob ein Fehlersignal
von dem Opcode-Prüfer 226 (2) empfangen worden ist.
Wenn ein Fehlersignal von der Überwachungs-Zeitgeberschaltung 218 (2) von dem Opcode-Prüfer 226 (2) empfangen worden ist,
setzt die Überwachungs-Zeitgeberschaltung 218 (2) die Vorrichtung 100 in
den Backup-Schrittmachermodus. Wenn keine Fehler erfasst werden,
bleibt die Vorrichtung 100 in dem Zwischenmodus, und die
Fehlerprüfroutine
von 6 wird von der Überwachungs-Zeitgeberschaltung 218 (2) wiederholt.
-
Die
Sequenz der Schritte von 7 wird
vorzugsweise durch die Überwachungs-Zeitgeberschaltung 218 (2) durchgeführt, um
die implantierbare Herzstimulationsvorrichtung 100 in den
Backup-Schrittmachermodus zu setzen. Zuerst gibt die Überwachungs-Zeitgeberschaltung 218 (2) einen Abschaltbefehl
an dem Schritt 700 ab. Dieser Befehl schaltet den Mikroprozessor 202 (2) an dem Schritt 702 ab
und übergibt
die Kontrolle des Datenbusses 204 (2) an die Telemetrieschaltung 140 (1) an dem Schritt 704.
Die Überwachungs-Zeitgeberschaltung 218 (2) aktiviert dann die Backup-Schrittmacherschaltung 112 (1) an dem Schritt 706,
wodurch vorzugsweise eine großes
VVI-Schrittmacherverfahren an dem Patientenherzen 106 angewendet
wird. Die implantierbare Herzstimulationsvorrichtung 100 kann
vorzugsweise den Backup-Schrittmachermodus nicht verlassen, bis
die Vorrichtung 100 über
die Telemetrieschaltung 140 (1)
an dem Test 708 zurückgesetzt
wird. Wenn ein Rücksetzbefehl
ausgegeben wird, wird die Vorrichtung 100 vorzugsweise
in den normalen Modus an dem Schritt 710 zurückgebracht.
-
Zusätzlich zu
den oben beschriebenen Fehlererfassungsverfahren und der Vorrichtung
verhindert die implantierbare Herzstimulationsvorrichtung 100 auch
Fehler, die durch elektrische Übergangssignale
verursacht werden können,
die während
der Abgabe eines Cardioversions- oder Defibrillationsschocks erzeugt
werden. Bezugnehmend wiederum auf 2 können während der
Abgabe eines Cardioversions- oder Defibrillationsschocks Signale,
die von dem Mikroprozessor 202 erzeugt werden, elektrischen Übergangssignalen
ausgesetzt werden. Diese elektrischen Übergangssignale können bewirken, dass
die von dem Mikroprozessor 202 erzeugten Signale verändert werden.
Um zu verhindern, dass Fehler aufgrund dieser elektrischen Übergangssignale
auftreten, wird der Mikroprozessor 202 während der
Abgabeeines Cardioversions- oder Defibrillationsschocks abgeschaltet,
wie im Detail unten beschrieben wird.
-
Eine
zusätzliche
Fehlererfassung während der
Abgabe eines Cardioversions- oder Defibrillationsschocks wird durch
die Torschaltung 206 bereitgestellt. Die Torschaltung 206 steuert
den Zugriff auf die Interrupf-Register 208 des Mikroprozessors 202. Die
Interrupf-Register 208 werden
benutzt, um den Mikroprozessor 202 darauf aufmerksam zu
machen, dass ein Ereignis aufgetreten ist, welches einer sofortigen
Beachtung durch den Mikroprozessor 202 bedarf. Beispielsweise
kann die Sensorschaltung 112 (1) ein Interruptsignal an den Mikroprozessor 202 senden,
wenn ein elektrisches Signal von dem Patientenherzen 106 detektiert
wird. Als anderes Beispiel können
Interrupf-Signale auch von der Telemetrieschaltung 140 (1) ausgegeben werden.
-
Während der
Abgabe eines Cardioversions- oder Defibrillationsschocks können elektrische Übergangssignale
bewirken, dass ein beliebiges der Interrupf-Register 208 unbeabsichtigter
Weise gesetzt wird. Dies bewirkt seinerseits, dass der Mikroprozessor 202 auf
den Interrupt nach der Abgabe des Cardioversions- oder Defibrillationsschocks
antwortet, in dem er auf solch ein falsches Interrupt antwortet, kann
der Mikroprozessor 202 bewirken, dass die Vorrichtung 100 eine
unpassende Schrittmachertherapie oder Cardioversion/Defibrillation-Schocks an das Patientenherz 106 anlegt.
Entsprechend der vorliegenden Erfindung ist die Torschaltung 206 vorgesehen, um
zu verhindern, dass elektrische Übergangssignale
die Interruptregister setzen, wodurch die Sicherheit des Patienten
erhöht
wird.
-
Die
Torschaltung 206 ist vorzugsweise eine herkömmliche,
verdrahtete Schaltung, die zwischen zwei Positionen umschalten kann.
Die erste Position der Torschaltung 206 erlaubt es, dass
Interruptsignale auf dem Datenbus 204, die für die Interruptregister 208 bestimmt
sind, die Interruptregister 208 erreichen. Die zweite Position
der Torschaltung 206 erlaubt es nicht, das Interruptsignale
auf dem Datenbus 204 die Interruptregister 208 erreichen.
Die Torschaltung 206 wird durch den Mikroprozessor 202 gesteuert,
wodurch der Mikroprozessor 202 in der Lage ist, auszuwählen, ob
die Torschaltung 206 in der ersten oder zweiten Position 15t.
-
Wie
in 8 gezeigt ist, programmiert
in Übereinstimmung
mit der vorliegenden Erfindung unmittelbar vor der Abgabe eines
Cardioversions- oder Defibrillationsschocks an das Patientenherz 106 der Mikroprozessor 202 (2) den Taktgeber 224 (2) an dem Schritt 800,
um ein Wecksignal an den Systemtaktgenerator 228 (2) zu senden. Der Zeitgeber 224 (2) ist so programmiert,
dass das Wecksignal an den Systemtaktgenerator 228 (2) gesendet wird, nachdem
eine vorgegebene Zeitdauer abgelaufen ist, wobei die vorgegebene Zeitdauer
von dem Zeitpunkt, an dem der Taktgeber 224 (2) programmiert wird, gemessen
wird. Der Mikroprozessor 202 (2) sendet dann ein Signal an die Torschaltung 206 (2) an dem Schritt 802, welches
bewirkt, dass die Torschaltung 206 (2) in die zweite Position umschaltet,
in der Signale daran gehindert werden, die Interruptregister 208 (2) zu erreichen. Nach dem
Umschalten der Torschaltung 206 (2) erzeugt der Mikroprozessor 202 (2) ein Signal an den Schritt 804,
welches verhindert, dass der Mikroprozessor 202 (2) Signale von dem Systemtaktgenerator 228 (2) empfängt, wodurch der Mikroprozessor 202 (2) angehalten wird. Nach
einer vorgegebenen Zeitdauer, die länger als die Zeit ist, die
erforderlich ist, um den Cardioversions- oder Defibrillationsschock
abzuliefern, gibt der Zeitgeber 224 (2) das Wecksignal aus, welches bewirkt,
dass Taktsignale von dem Systemtaktgenerator 228 (2) von dem Mikroprozessor 202 (2) an dem Schritt 806 empfangen
werden. Der Mikroprozessor 202 (2) ist dann in der Lage, mit der Bearbeitung
fortzufahren. Der Mikroprozessor 202 (2) setzt dann die Torschaltung 206 (2) zurück in die erste Position, in
der es Signalen gestattet ist, die Interruptregister 208 (2) an dem Schritt 808 zu
erreichen. In dieser Weise werden weder die Interruptregister 208 (2) noch die Signale, die
von dem Mikroprozessor 202 (2)
erzeugt werden, den elektrischen Übergangssignalen ausgesetzt,
die während
der Abgabe eines Cardioversions- oder Defibrillationsschocks erzeugt
werden.
-
Bezugnehmend
wiederum auf 2 ist es bevorzugt,
wenigstens ein Interruptregister vorzusehen, welches vorzugsweise
nicht von der Torschaltung umgeschaltet werden kann. Vorzugsweise
kann ein Rücksetz-Register
(nicht gezeigt), welches in der Lage ist, den Mikroprozessor 202 zurückzusetzen, nicht
durch die Torschaltung 206 abgeschaltet werden. Es ist
daher möglich,
den Mikroprozessor 202 zurückzusetzen, sollte der Mikroprozessor 202 fehlerhaft
funktionieren, und die Torschaltung 206 in der zweiten
Position zu belassen, in der die Interruptregister 208 nicht
zugänglich
sind.
-
Es
ist für
den Durchschnittsfachmann leicht ersichtlich, dass der Mikroprozessor 202 während der
Abgabe eines Cardioversions- oder Defibrillationsschocks abgeschaltet
werden kann, ohne die Interruptregister 208 zu isolieren.
Es ist auch ersichtlich, dass die Interruptregister 208 während der
Abgabe eines Cardioversions- oder Defibrillationsschocks isoliert
werden können,
selbst wenn der Mikroprozessor 202 nicht abgeschaltet wird.
-
In
einem alternativen Ausführungsbeispiel einer
Verarbeitungs- und Steuereinheit (die für die Verwendung als Verarbeitungs-
und Steuereinheit 114 von 1 geeignet
ist) ist in 9 gezeigt.
Die Verarbeitungs- und Steuereinheit 908 umfasst einen Datenbus 904,
einen internen RAM 910, einen ROM 912, einen Paritätsgenerator 914,
einen Paritätsprüfer 916,
eine Überwachungs-Zeitgeberschaltung 918,
einen Adressdekoder 920, eine Realzeit-Taktlogik 922, einen Taktgeber 924,
einen Opcode-Prüfer 926 und
einen System- Taktgenerator 928,
die im wesentlichen in der selben Weise arbeiten, wie oben in Verbindung
mit der Verarbeitungs- und Steuereinheit 200 von 2 beschrieben wurde, und
die daher nicht weiter beschrieben wird.
-
In
diesem Ausführungsbeispiel
wird jedoch eine weitere Fehlerüberprüfung durch
eine Mikroprozessoreinheit 950 bereitgestellt. Die Mikroprozessoreinheit 950 umfasst
zwei Mikroprozessoren – einen ersten
Mikroprozessor 952 und eine zweiten Mikroprozessor 954,
von denen jeder mit einem Vergleicher/Fehlerdetektor 956 und
einer Schnittstelle 958 verbunden ist, die mit dem Datenbus 904 in
Kommunikation ist. Jeder der ersten und zweiten Mikroprozessoren 952, 954 hat
vorzugsweise eine Torschaltung (nicht gezeigt), die im wesentlichen
in der selben Weise arbeitet wie die Torschaltung 206 (2), die oben beschrieben
wurde.
-
In
der Verarbeitungs- und Steuereinheit 200 von 2 verlaufen alle Signale,
die für
den Mikroprozessor 202 bestimmt sind, einfach direkt von
dem Datenbus 204 zu dem Mikroprozessor. Bei der Verarbeitungs-
und Steuereinheit 908 von 9 werden jedoch
die Signale, die zu der Mikroprozessoreinheit 950 gerichtet
sind, zuerst von der Schnittstelle 958 empfangen.
-
Wie
in 10 gezeigt ist, dupliziert
die Schnittstelle 958 (9)
die Signale, die von dem Datenbus 904 (9) empfangen wurden, und sendet einen
Satz der Signale zu dem ersten Mikroprozessor 952 (9) und einen anderen Satz,
der Signale an den zweiten Mikroprozessor 954 (9) an dem Schritt 1000.
Nachdem die Signale durch sowohl den ersten Mikroprozessor 952 (9) als auch den zweiten
Mikroprozessor 954 (9)
verarbeitet sind, werden die entsprechenden Ausgänge zu dem Vergleicher/Fehlerdetektor 956 (9) an dem Schritt 1002 gesendet.
Der Vergleicher/Fehlerdetektor 956 (9) vergleicht die Ausgänge des
ersten und zweiten Mikroprozessors 952, 954 (9), um in den Schritt 1004 festzustellen,
ob Ausgänge
des ersten und zweiten Mikroprozessors 952, 954 (9) im wesentlichen identisch
sind. Der Vergleicher/Fehlerdetektor 956 (9) stellt fest, dass die Mikroprozessoren 952, 954 (9) nicht ordnungsgemäß funktionieren,
wenn die verarbeiteten Signale von dem ersten und dem zweiten Mikroprozessor 952, 954 (9) nicht im wesentlichen
identisch sind. Entsprechend stellt der Vergleicher/Fehlerdetektor 956 (9) fest, dass die Mikroprozessoren 952, 954 (9) ordnungsgemäß arbeiten,
wenn die verarbeiteten Signale von dem ersten und zweiten Mikroprozessor 952, 954 (9) im wesentlichen identisch sind.
-
Wenn
der Vergleicher/Fehlerdetektor 956 (9) feststellt, dass die Ausgänge der
Mikroprozessoren 952, 954 (9) nicht im wesentlichen identisch sind,
gibt der Verglei cher/Fehlerdetektor 956 (9) ein Fehlerdetektionssignal ab, welches von
der Überwachungs-Zeitgeberschaltung 918 (9) empfangen wird und bewirkt,
dass die Vorrichtung 100 in den Backup-Schrittmachermodus
an dem Schritt 1006 eintritt (das heißt, dass die Schritte 700 bis 710 von 7 ausgeführt werden; in diesem Ausführungsbeispiel
sind jedoch beide Mikroprozessoren abgeschaltet). Daher bewirkt
eine Fehlfunktion von einem der ersten und zweiten Mikroprozessoren 952, 954 (9), dass beide Mikroprozessoren 952, 954 (9) abgeschaltet werden und,
dass die Vorrichtung 100 in den Backup-Schrittmachermodus eintritt. Wenn die
Vorrichtung 100 entweder in dem normalen Modus oder in
dem Zwischenmodus ist und der Vergleicher/Fehlerdetektor 956 (9) einen Fehler erfasst,
wird die Vorrichtung 100 in den Backup-Schrittmachermodus
gebracht.
-
Wenn
jedoch der Vergleicher/Fehlerdetektor 956 (9) feststellt, dass die Ausgänge der
ersten und zweiten Mikroprozessoren 952, 954 (9) im wesentlichen identisch
sind, wird das verarbeitete Signal an das Interface 958 (9) weitergegeben und dann
zu dem Datenbus 904 (9)
an dem Schritt 1008.
-
Somit
wurde eine implantierbare Herzstimulationsvorrichtung mit einer
Sicherheitsoptimierungsvorrichtung und Verfahren, um zu verhindern,
dass eine ungeeignete Stimulation an das Patientenherz abgegeben
wird, beschrieben. Der Durchschnittsfachmann wird verstehen, dass
die Erfindung in anderen als den beschriebenen Ausführungsbeispielen in
die Praxis umgesetzt werden kann, die zum Zwecke der Erläuterung
und nicht zur Einschränkung
angeboten wurden, und die vorliegende Erfindung wird nur durch die
folgenden Ansprüche
begrenzt.