?

2007年，美國前副總統(tǒng)迪克?切尼命令醫(yī)生關(guān)閉所有與他的聯(lián)網(wǎng)起搏器相連的無線信號。切尼后來說，這一決定是為了防止恐怖分子入侵他的心臟起搏器，給他的心臟致命電擊。切尼給醫(yī)生下達(dá)的命令也許有點(diǎn)過于謹(jǐn)慎了，但無線連接的醫(yī)療設(shè)備確實曾有被利用的漏洞。?例如，在2011年和2012年的一系列會議上，新西蘭黑客巴納比?杰克（Barnaby Jack）向人們演示了聯(lián)網(wǎng)醫(yī)療設(shè)備可能會受到遠(yuǎn)程攻擊。杰克用高增益天線捕捉到90米外人體模型上的胰島素泵傳輸?shù)奈醇用茈姶判盘枴Ｈ缓笏眠@些信號侵入胰島素泵，調(diào)整泵輸送的胰島素水平。他還入侵了一個心臟起搏器，讓它產(chǎn)生致命的電擊。

在這些演示完成的8年之后，聯(lián)網(wǎng)醫(yī)療設(shè)備依然易受攻擊。例如，2020年6月，美國國土安全部召回了一種聯(lián)網(wǎng)胰島素泵。這種胰島素泵在傳輸敏感信息時沒有加密，附近任何想監(jiān)聽的人都可以訪問這些數(shù)據(jù)。

醫(yī)療設(shè)備只是冰山一角，人體內(nèi)或身上佩戴的無線設(shè)備還有很多，包括無線耳塞、智能手表和虛擬現(xiàn)實頭盔等。還有正在開發(fā)中的技術(shù)也將面臨風(fēng)險，例如可顯示信息的智能隱形眼鏡、吞咽后可傳輸傳感器數(shù)據(jù)的數(shù)字藥片等。

所有這些設(shè)備都需要以較低功耗在短距離內(nèi)安全地傳輸數(shù)據(jù)。這就是為什么研究人員把它們看成是人體規(guī)模的無線網(wǎng)絡(luò)——人體局域網(wǎng)——獨(dú)立組件，由物聯(lián)網(wǎng)（IoT）引申而來的新概念——“身聯(lián)網(wǎng)”（IoB）也應(yīng)運(yùn)而生。

目前，身聯(lián)網(wǎng)設(shè)備使用成熟的無線技術(shù)進(jìn)行通信，主要是藍(lán)牙。雖然這些技術(shù)功耗低、好理解、易實現(xiàn)，但它們不是為身聯(lián)網(wǎng)設(shè)計的。藍(lán)牙的一個典型功能是使相隔幾米遠(yuǎn)的兩臺設(shè)備能夠容易地找到對方并相互連接。正是這個功能使假定攻擊者能夠窺探或攻擊人體佩戴的設(shè)備。無線技術(shù)也可以不以人體為媒介，直接在空氣或真空中傳播，但效率會低于轉(zhuǎn)為此設(shè)計的通信方法。 通過我們在普渡大學(xué)的研究，我們開發(fā)了一種新的通信方法，它將使醫(yī)療設(shè)備、可穿戴設(shè)備以及身體內(nèi)或周邊的其他設(shè)備比使用低功率無線信號進(jìn)行通信的設(shè)備更安全。這個系統(tǒng)利用人體可傳導(dǎo)微小無害電信號的固有能力，將整個身體變成了有線通信信道。通過將身體變成網(wǎng)絡(luò)，我們將使身聯(lián)網(wǎng)設(shè)備更加安全。

?

醫(yī)療信息等敏感的個人數(shù)據(jù)在傳輸時都應(yīng)該進(jìn)行加密，無論是通過無線方式、電子郵件還是其他渠道。但防止攻擊者在本地侵入醫(yī)療設(shè)備，還有另外3個充足的理由。

首先，醫(yī)療數(shù)據(jù)應(yīng)該是受控的。你不想設(shè)備廣播的信息讓別人竊聽到。其次，人們不希望設(shè)備的完整性受到損害。例如，如果你有一臺連接到胰島素泵的葡萄糖監(jiān)測儀，那么你肯定不希望因為監(jiān)測儀的數(shù)據(jù)被損壞而導(dǎo)致胰島素泵釋放更多的葡萄糖。血液中葡萄糖不足會導(dǎo)致頭痛、虛弱和頭暈，而過量則會導(dǎo)致視力和神經(jīng)問題，以及腎病和中風(fēng)。上述任何一種情況都可能導(dǎo)致死亡。再次，設(shè)備上的信息需要一直保持處于可用狀態(tài)。如果攻擊者攔截了胰島素泵或起搏器的信號，設(shè)備就無法對身體突然出現(xiàn)的問題做出反應(yīng)。

所以，如果安全和隱私如此重要，為什么不使用有線方式呢？線纜可以在兩臺設(shè)備之間創(chuàng)建一個專用通道，只有切割搭接線纜才能竊聽到有線信號。如果要搭接的線纜在你身上或體內(nèi)，那么竊聽就更難了。

撇開安全和隱私方面的優(yōu)勢不談，還有一些重要原因使我們不想要線纜進(jìn)入身體。如果電線絕緣不當(dāng)，人體自身的生化過程會腐蝕電線中的金屬，導(dǎo)致重金屬中毒。此外還有便利性的問題。想象一下，如果修理或更換有線的起搏器，重新將線纜穿進(jìn)身體將是一項非常棘手的任務(wù)。 相比在容易被竊聽者窺探的無線信號和給身體帶來風(fēng)險的有線信號之間做出選擇，何不將兩者優(yōu)點(diǎn)結(jié)合起來做第三種選擇呢？這就是我們的靈感，將人體作為人體局域網(wǎng)中的設(shè)備通信媒介。 我們把直接通過人體發(fā)送信號的方法稱為“電準(zhǔn)靜態(tài)人體通信”。

這個名字有點(diǎn)拗口，所以我們就把它理解為身體信道吧。其要點(diǎn)是，可以利用人體自身的導(dǎo)電特性，避免有線和無線信道的缺陷。 金屬線是電荷的極好導(dǎo)體。通過將1和0編碼為不同的電壓來傳輸數(shù)據(jù)是件很簡單的事情。只需要將1定義為某個電壓，讓電流流過導(dǎo)線，而將0定義為零電壓，意味著沒有電流流過導(dǎo)線即可。通過測量電線另一端的電壓隨時間的變化，就能得到原來的1和0序列。但是，人們不希望金屬線盤繞或穿過身體，那么我們還能怎么做呢？

按體重算，一個成年人身體中平均約60%都是水。純水不是一種導(dǎo)電體，但充滿了電解質(zhì)和鹽等導(dǎo)電粒子的水卻具有更好的導(dǎo)電性。我們的身體充滿了一種水溶液，叫做間質(zhì)液，它位于我們的皮膚下面和身體細(xì)胞周圍。間質(zhì)液負(fù)責(zé)將血液中的營養(yǎng)物質(zhì)輸送到人體細(xì)胞中，并充滿蛋白質(zhì)、鹽、糖、激素、神經(jīng)遞質(zhì)和其他各種分子，幫助維持身體健康運(yùn)轉(zhuǎn)。因為間質(zhì)液遍布身體各處，所以我們可以在身體的幾乎任何地方為兩臺或更多臺通信設(shè)備建立一個回路。 假設(shè)有一個糖尿病人在腹部綁著胰島素泵和監(jiān)測儀來控制血糖，并希望智能手表能夠顯示當(dāng)前的血糖水平和胰島素泵的運(yùn)行狀態(tài)。傳統(tǒng)上，這些設(shè)備必須通過無線連接，這樣在理論上，任何人都可以獲取和復(fù)制用戶的個人數(shù)據(jù)。更糟糕的是，可能會對泵攻擊。今天，許多醫(yī)療設(shè)備仍然沒有加密，即使設(shè)備加密，加密也不能保證安全。 人體信道的工作方式則是這樣的：泵、監(jiān)測器和智能手表的背面都會帶有一個小銅電極，直接與皮膚接觸。每臺設(shè)備還有另一個不與皮膚接觸的電極，作為浮動接地，這是本地電接地，不與大地直接相連。

當(dāng)監(jiān)測儀測量血糖時，它需要將數(shù)據(jù)發(fā)送給胰島素泵（必要時調(diào)整胰島素水平）以及智能手表（以便個人能夠看到血糖水平）。智能手表還可以存儲數(shù)據(jù)，用于長時間的監(jiān)測，或者對數(shù)據(jù)進(jìn)行加密并發(fā)送到用戶或醫(yī)生的計算機(jī)，進(jìn)行遠(yuǎn)程存儲和分析。 監(jiān)測儀將要傳送的血糖測量值數(shù)據(jù)編碼成一系列電壓值。然后，它在兩個銅電極（一個接觸人體，另一個浮動接地）之間施加電壓來傳輸這些數(shù)值。 施加的電壓稍微改變了整個人體相對于大地的電位。人體和大地之間電位的微小變化只是監(jiān)測儀兩個電極之間電位差的一小部分，在穿過人體后，它還會變得更小，但足以被其他地方的設(shè)備接收到。腰部的胰島素泵和手腕上的智能手表都在身體上，它們可以通過身體上和浮動接地的兩個電極來檢測這種電位的變化。然后，胰島素泵和智能手表將這些電位測量值轉(zhuǎn)換回數(shù)據(jù)。在此過程中，實際的信號都沒有在皮膚之外傳播。

?

實現(xiàn)這種人體通信方法的最大挑戰(zhàn)之一是為電信號選擇最佳波長。我們在這里考慮的電波長比無線通信的射頻波長要長得多。 選擇頻率是一項挑戰(zhàn)，因為在一定的頻率范圍內(nèi)，人體本身可以成為天線。當(dāng)交變電流使天線材料中的電子振蕩并產(chǎn)生電磁波時，普通無線電天線會產(chǎn)生信號。發(fā)射波的頻率取決于饋入天線的交變電流的頻率。同樣，以一定頻率的交變電流作用到人體，人體也會發(fā)射信號。這個信號雖然很弱，但仍然足以在一段距離內(nèi)被合適的設(shè)備接收到。如果人體充當(dāng)天線，它還能從外面接收到不需要的信號，這些信號可能會干擾可穿戴或植入設(shè)備之間的通話能力。 出于同樣的原因，我們不想使用藍(lán)牙這樣的技術(shù)，我們想把電信號限制在身體內(nèi)，而不是意外地從身體發(fā)射出去或被接收到。所以我們必須避開會使人體變成天線的頻率——這個范圍是10到100兆赫。這個頻率以上是無線頻段，我們已經(jīng)提到了其中的問題。最終的結(jié)果是，我們需要使用的頻率范圍是0.1到10兆赫，在這個范圍內(nèi)，信號將被限制在人體內(nèi)。

早期試圖利用人體進(jìn)行通信的嘗試通常都會避開這些低頻，因為低頻在人體內(nèi)的損耗通常很高。換言之，需要更大的功率來保證這些低頻信號能夠到達(dá)目的地。也就是說，如果沒有明顯的功率提升，腹部的血糖監(jiān)測儀發(fā)出的信號在傳輸?shù)绞滞笊系闹悄苁直頃r，可能就無法讀出了。先前的這些嘗試損耗高，是因為他們專注于直接發(fā)送電信號，而不是電位變化的信息編碼。我們發(fā)現(xiàn)，設(shè)備和人體之間的寄生電容是創(chuàng)建工作信道的關(guān)鍵。 電容是指物體儲存電荷的能力。

寄生電容是指兩個物體之間無意產(chǎn)生的電容，例如，電路板上兩個相近的帶電區(qū)域，以及人手和手機(jī)之間都會產(chǎn)生寄生電容。雖然寄生電容也支持某些應(yīng)用，如觸摸屏，但大多樹情況下它并不受歡迎。 聰明的讀者可能已經(jīng)注意到，電路的一個重要方面，我們還沒有提到過：只有閉環(huán)電路才能實現(xiàn)電子通信。到目前為止，我們的討論僅限于前向路徑，即從發(fā)射電極到接收電極的電路部分。但我們還需要一條后向路徑。多虧了設(shè)備的浮動接地電極和大地之間的寄生電容，我們有這條路徑。 下面將描述我們正在使用的電路。首先假設(shè)有兩個回路。第一個回路從發(fā)射設(shè)備開始，起點(diǎn)在接觸皮膚的電極處。

接下來，電路穿過身體，直通腳部到達(dá)實際地面，然后通過空氣返回到發(fā)射設(shè)備上的另一個（浮動）電極。我們應(yīng)該注意到，這不是一個直流電可以通過的回路。但由于寄生電容存在于任意兩個物體之間，比如腳和鞋、鞋和地面之間，所以小的交變電流是存在的。 第二個回路的實現(xiàn)方式類似，從接收設(shè)備開始，起點(diǎn)在接觸皮膚的電極處。然后它穿過身體，兩個回路共用這一段路徑，到達(dá)地面，再通過空氣回到接收設(shè)備的浮動接地電極上。 這里的關(guān)鍵是理解電路回路的重要性，不過不是因為我們必須推動電流通過回路，而是因為我們需要一個閉合的電容路徑。在電路中，如果一個電容器上的電壓發(fā)生變化，例如發(fā)送設(shè)備的兩個電極，它就會在回路中產(chǎn)生輕微的交變電流。人體和空氣等其他電容器，會“看到”電流，由于它們具有阻抗（即對電流的電阻），因此電壓也會發(fā)生變化。

帶有發(fā)射設(shè)備的電路回路和帶有接收設(shè)備的回路共用人體，作為各自回路的一段。由于它們共用這一段，所以接收設(shè)備也會對人體電壓的微小變化做出反應(yīng)。組成接收設(shè)備電容器的兩個電極檢測到人體的電壓變化，并將測量結(jié)果解碼為有意義的信息。 我們需要身聯(lián)網(wǎng)設(shè)備有高容量的電容。如果能做到，發(fā)射設(shè)備產(chǎn)生的較高電壓將在人體內(nèi)產(chǎn)生很低的電流。顯然，從安全角度來看，這是有意義的：畢竟，我們不想讓高電流通過人體。此外，它也會使通信信道的損耗降低。這是因為高阻抗電容對電流的微小變化特別敏感。關(guān)鍵是，我們可以在保持低電流（和安全）的同時，仍然在接收設(shè)備上得到清晰的電壓測量結(jié)果。我們發(fā)現(xiàn)，與先前依賴電流直接通過身體發(fā)送電信號，嘗試在人體內(nèi)建立一個無線信道的嘗試相比，我們的技術(shù)可以使損耗降低兩個數(shù)量級。

?

我們將人體轉(zhuǎn)換成通信信道的方法，將信號被截獲的距離縮短到了小于15厘米，而對藍(lán)牙和類似信號來說，這個距離是5到10米。換句話說，我們將攻擊者攔截和干擾信號的距離減少了兩個數(shù)量級。使用我們的方法后，攻擊者只能在距目標(biāo)近到無法藏身的距離時才能截獲信號。

我們的方法不僅為使用醫(yī)療植入物或設(shè)備的人提供了更多的隱私和安全保護(hù)，而且還有一個額外的好處：更加節(jié)能。因為我們已經(jīng)開發(fā)了一種低頻低損耗的系統(tǒng)，所以可以以更低的功率在設(shè)備之間發(fā)送信息。采用我們的方法，傳輸每比特所需的熱量還不到10微微焦耳，這大約是藍(lán)牙所需能量的0.01%。使用256比特加密技術(shù)，每秒傳輸1千比特的數(shù)據(jù)，功率僅為415納瓦，比藍(lán)牙（功率為1到10毫瓦）低3個數(shù)量級還多。

心臟起搏器和胰島素泵等醫(yī)療設(shè)備已經(jīng)存在了幾十年，藍(lán)牙耳塞和智能手表可能更新一些，但無論是拯救生命的醫(yī)療設(shè)備還是消費(fèi)類科技都不會很快離開我們的身體。只有盡可能使這兩類設(shè)備安全才有意義。數(shù)據(jù)從一個點(diǎn)移動到另一個點(diǎn)時，最容易受到惡意攻擊。我們的身聯(lián)網(wǎng)通信技術(shù)可以閉合這個回路，阻止個人數(shù)據(jù)離開身體。

作者：Shreyas Sen、Shovan Maity、Debayan Das

編輯：黃飛

?