Come si usa l'IoT nella sanità?

La sanità è il settore in cui la promessa dell’IoT e i suoi vincoli si incontrano nel modo più netto. Un sensore che misura il glucosio in continuo e avvisa prima di un’ipoglicemia pericolosa può cambiare la vita di un paziente. Lo stesso sensore, se legge male, perde la connessione nel momento sbagliato o lascia trapelare i suoi dati, può fare del male alla persona che lo indossa. Ogni decisione di progettazione porta con sé entrambi i lati.

L’IoT medico, chiamato a volte Internet of Medical Things, comprende i dispositivi connessi che toccano la cura del paziente: wearable e impianti, kit di monitoraggio domiciliare, apparecchiature ospedaliere e l’infrastruttura che tiene traccia di tutto questo. Questa guida spiega le categorie principali, come si costruisce il monitoraggio remoto dei pazienti e i requisiti normativi, di sicurezza e di privacy che rendono l’IoT sanitario diverso da un braccialetto per il fitness.

Quali sono le tre categorie dell’IoT sanitario?

Dispositivi rivolti al paziente. Sensori per il monitoraggio continuo del glucosio, bracciali per la pressione connessi, pulsossimetri, cerotti ECG, inalatori intelligenti, pompe per insulina e impianti cardiaci con telemetria wireless. Misurano il corpo e riferiscono a un telefono, a un hub o a una clinica. Alcuni si limitano a osservare; altri, come una pompa per insulina guidata da un sensore del glucosio, agiscono sul corpo, e questo li colloca nelle classi normative più severe.

Dispositivi dell’ambiente clinico. Pompe per infusione, ventilatori, monitor dei pazienti e apparecchiature di imaging che contengono già dei computer e si connettono sempre più spesso alle reti ospedaliere per allarmi, monitoraggio centralizzato e integrazione con la cartella clinica elettronica. La maggior parte è costituita da apparecchiature legacy con lunga vita utile e percorsi di aggiornamento limitati, un problema di sicurezza che il settore sta ancora affrontando.

IoT operativo. Tracciamento degli asset di sedie a rotelle, pompe e letti con tag BLE o RFID, monitoraggio della catena del freddo per vaccini ed emoderivati, sensori per la conformità all’igiene delle mani e monitoraggio ambientale delle sale operatorie. Questa categoria somiglia a qualsiasi altra installazione in un edificio o nella logistica e produce valore senza toccare le classificazioni di sicurezza del paziente.

Come si costruisce il monitoraggio remoto dei pazienti?

Un sistema RPM tipico ha quattro parti. Il dispositivo misura: un bracciale, una bilancia, un sensore del glucosio, un cerotto indossabile. Un relay trasporta la lettura: di solito il telefono del paziente via BLE, a volte un hub cellulare dedicato per i pazienti senza smartphone, dove LTE-M è la scelta comune perché attraversa i muri e non dipende dal Wi-Fi del paziente. Una piattaforma cloud archivia le letture, applica soglie e tendenze e si integra con la cartella clinica. Un’équipe di cura esamina i pazienti segnalati e interviene.

Le priorità di progettazione sono diverse da quelle dell’IoT consumer. Le letture devono essere attribuibili con certezza al paziente giusto, quindi l’identità del dispositivo e il pairing sono rigorosi. Le letture mancate hanno un significato clinico, quindi il sistema deve distinguere “il paziente non ha misurato” da “il dispositivo non ha potuto trasmettere” e mostrare entrambe le situazioni. Gli avvisi devono raggiungere una persona entro un tempo definito, il che significa percorsi di escalation e conferma di presa in carico, non solo una dashboard. E il paziente deve poter usare il dispositivo senza alcun aiuto tecnico, quindi l’onboarding viene spesso fatto da un infermiere e la riconnessione deve essere automatica.

L’autonomia della batteria è una variabile clinica: un cerotto che si scarica in tre giorni è un cerotto che viene tolto e dimenticato. Deep sleep, intervalli di connessione BLE efficienti e payload piccoli sono ciò che rende possibile un wearable da due settimane.

Quando un dispositivo diventa un dispositivo medico?

La domanda decisiva è la destinazione d’uso. Un orologio che mostra la frequenza cardiaca per il fitness è un prodotto consumer. Lo stesso orologio, se dichiara di rilevare la fibrillazione atriale, è un dispositivo medico nella maggior parte delle giurisdizioni e deve essere autorizzato o certificato come tale. Negli Stati Uniti questo significa il quadro normativo della FDA per i dispositivi; nell’UE il Regolamento sui dispositivi medici (UE) 2017/745 e la marcatura CE che ne deriva. La classificazione cresce con il rischio: un software che si limita a mostrare dati è in classe bassa, una pompa che somministra un farmaco in classe alta.

La normativa sui dispositivi medici arriva fino al ciclo di vita del software. Standard come IEC 62304 per i processi software, ISO 14971 per la gestione del rischio e IEC 62366-1 per l’usabilità definiscono come il software viene sviluppato, verificato e mantenuto. La cybersicurezza è ormai una parte esplicita delle domande di autorizzazione pre-commercializzazione: da quando la sezione 524B del FD&C Act è entrata in vigore a marzo 2023, la FDA richiede una distinta base del software (SBOM), un piano per il monitoraggio e la correzione delle vulnerabilità e, in base alle sue linee guida, la modellazione delle minacce. Nell’UE i dispositivi coperti dal MDR sono esclusi dal campo di applicazione del Cyber Resilience Act e sono invece soggetti ai requisiti di cybersicurezza propri del MDR.

Per un team di prodotto la conseguenza è che “rilascia in fretta, correggi dopo” non vale. Ogni modifica del firmware di un dispositivo regolamentato passa dal controllo delle modifiche, e una correzione di sicurezza può richiedere una propria valutazione normativa. È per questo che i dispositivi medici connessi vengono progettati fin dal primo giorno con meccanismi di aggiornamento, rollback e logging.

Come vanno gestiti i dati sanitari?

I dati sanitari sono la categoria di dati personali più protetta quasi ovunque. Negli Stati Uniti l’HIPAA regola i soggetti coperti e i loro partner commerciali; nell’UE il GDPR tratta i dati sanitari come categoria particolare con condizioni più severe. Le implicazioni pratiche per una progettazione IoT:

• Ridurre al minimo ciò che si raccoglie e ciò che lascia il dispositivo. Un sensore del glucosio deve inviare valori di glucosio, non la posizione.
• Cifrare in transito e a riposo; la cifratura end-to-end tra dispositivo e piattaforma clinica impedisce al telefono o all’hub che fa da relay di leggere i dati.
• Separare l’identità dalle misurazioni nell’archiviazione, così una violazione dell’archivio di telemetria non rivela a chi appartengono le letture.
• Definire fin dall’inizio i processi di conservazione dei dati, cancellazione e accesso da parte del paziente.
• Tenere i dati nella giurisdizione richiesta; le regole sulla sovranità dei dati si applicano ai dati sanitari in modo rigoroso.

I dispositivi consumer per il benessere che restano fuori dalla normativa medica non sono fuori dalla legge sulla privacy, e i loro dati sono stati oggetto di ordini di esibizione in giudizio, vendite e violazioni. Un prodotto che raccoglie dati vicini a quelli sanitari dovrebbe comportarsi come se fosse regolamentato anche quando non lo è.

Come si mettono in sicurezza i dispositivi sulla rete ospedaliera?

Gli ospedali gestiscono migliaia di dispositivi connessi di centinaia di fornitori, molti con sistemi operativi vecchi che non possono ricevere patch perché la certificazione del fornitore copre una specifica immagine software. La risposta difensiva è la segmentazione di rete: i dispositivi medici vivono in zone isolate, con monitoraggio del loro traffico e controllo stretto su cosa può raggiungerli. Gli inventari degli asset, idealmente automatizzati, permettono ai team di sicurezza di sapere cosa c’è in rete. Ai fornitori viene chiesta sempre più spesso una dichiarazione del produttore che descriva le funzioni di sicurezza di un dispositivo, e un processo pubblicato di divulgazione delle vulnerabilità.

Dove il valore è chiaro?

La gestione delle malattie croniche mostra i risultati più solidi: monitoraggio continuo del glucosio per il diabete, monitoraggio remoto dei pazienti con scompenso cardiaco per cogliere presto l’accumulo di liquidi, monitoraggio domiciliare della pressione con revisione del medico. Il monitoraggio post-operatorio accorcia le degenze mandando a casa i pazienti con dei sensori. Nell’ospedale stesso, il tracciamento degli asset ripaga rapidamente riducendo il tempo speso a cercare le apparecchiature e gli acquisti in eccesso. Il monitoraggio della catena del freddo di vaccini e sangue previene perdite che sono insieme costose e pericolose.

Quello che si è rivelato più difficile è l‘“ospedale intelligente” generico: molti progetti pilota, meno adozione duratura, di solito perché il flusso di lavoro del personale clinico non è stato ridisegnato intorno ai nuovi dati. Come nell’industria, la tecnologia è raramente l’ostacolo.

Per continuare

• Bluetooth Low Energy per l’IoT tratta la radio usata dalla maggior parte dei dispositivi rivolti al paziente.
• Fondamenti di sicurezza IoT e Identità dei dispositivi, certificati e PKI per l’IoT trattano i controlli che le autorità ora si aspettano.
• La pipeline di dati IoT spiega il lato piattaforma del monitoraggio remoto.

Argomenti: sanità, IoT medico, monitoraggio remoto dei pazienti, wearable, IoMT