-
Diese Erfindung betrifft Mikroprozessorsysteme und ist auf
elektronische Frankiermaschinen anwendbar, die elektronische
Abrechnungseinheiten aufweisen.
-
Eine elektronische Frankiermaschine mit einer
Abrechnungseinheit mit einem Mikroprozessor und einem
nichtflüchtigen Speicher zum Speichern von Abrechnungsdaten
ist beispielsweise in der US-Patentanmeldung mit der
Seriennummer Nr. 089,413 (US-Patent Nr. 4,301,507) offenbart.
In diesem System werden die Abrechnungsdaten in dem
Direktzugriffsspeicher gespeichert und aus dem
Direktzugriffsspeicher zurückgeholt, und zwar mittels
gemeinsamer Adressen- und Datenleitungen des
Mikrocomputersystems. Während in dem meisten Fällen
sichergestellt werden kann, daß die in dem Speicher
gespeicherten Abrechnungsdaten richtig sind, gibt es
bestimmte Bedingungen, die auftreten können und die nicht
detektierbare Fehler in den Daten zur Folge haben.
-
Um derartige Probleme zu umgehen wurde vorgeschlagen,
redundante Speicher zu verwenden (EP-A-19515). Das
Mikrocomputerprogramm für die Frankiermaschine umfaßt somit
ein Unterprogramm zum Vergleichen der Daten, die in den
redundanten Speichern gespeichert sind, um eine Fehleranzeige
bereitzustellen, wenn sich die gespeicherten Daten in den
zwei Speichern unterscheiden. Während diese Technik die
Zuverlässigkeit der gespeicherten Daten erhöht, gibt es
bestimmte Bedingungen, bei denen selbst dieser Typ eines
redudanten Systems keine Bestimmung eines Fehlers ermöglichen
wird. Ferner testet das bekannte System während eines
Druckvorgangs verschiedene Fehlfunktionsanzeigen der
Druckwert-Einstellungs- und Druckeinrichtungen. Andere Typen
einer Fehlfunktion werden ebenfalls erfaßt. Bei der Erfassung
einer Fehlfunktion wird ein geeigneter Fehlercode in einen
Speicher eingeschrieben, und die Maschine wird gesperrt. Es
muß natürlich betont werden, daß es in einer Frankiermaschine
grundliegend wichtig ist, daß der höchste Grad einer
Zuverlässigkeit der Abrechnungsdaten erhalten wird.
-
DE-A-3 024 370 beschreibt ein redundantes Steuersystem
urnfassend eine Vielzahl von Untersystemen, die jeweils die
gleichen Daten parallel gemäß entsprechender Programme
bearbeiten. Jedes Untersystem umfaßt seinen eigenen zentralen
Prozessor, Speicher und Peripheneeinheiten. Zusätzlich ist
ein Komparator vorgesehen, der die in den zwei Untersystemen
erzeugten Signale vergleicht und ein Fehlersignal im Fall
einer fehlenden Übereinstimmung erzeugt.
-
Eine Aufgabe der vorliegenden Erfindung besteht darin,
-
- ein Mikroprozessorsystem für eine elektronische
Frankiermaschine bereitzustellen, bei dem die
Möglichkeit von Fehlerbedingungen, die nicht
detektierbar sind, verringert ist.
-
Gemäß der Erfindung ist ein Mikroprozessorsystem für eine
elektronische Frankiermaschine vorgesehen, gekennzeichnet
durch: eine Druckeinrichtung; einen ersten und einen zweiten
Mikroprozessor; erste und zweite Abrechnungsspeicher, die
angeschlossen sind, um von dem ersten und zweiten
Mikroprozessor getrennt gesteuert zu werden, wobei die ersten
und zweiten Mikroprozessoren Programmroutinen aufweisen zum
getrennten Aktualisieren ihrer jeweiligen Abrechnungsspeicher
zum Abrechnen des Portodrucks durch die Druckeinrichtung
durch Codieren der gespeicherten Daten unterschiedlich in
jedem Abrechnungsspeicher; und eine Einrichtung zum
Vergleichen der Abrechnungsergebnisse in den ersten und
zweiten Abrechnungsspeichern zum Sperren der Frankiermaschine
bei fehlender Übereinstimmung der Daten in den ersten und
zweiten Abrechnungs speichern.
-
Damit die Erfindung deutlicher verständlich ist, wird sie nun
ausführlicher mittels eines Beispiels unter Bezugnahme auf
die beiliegenden Zeichnungen offenbart. In den Zeichnungen
zeigen:
-
Fig. 1 ein Blockdiagramm einer Ausführungsform eines
Mikroprozessorsysterns für eine elektronische
Frankiermaschine gemäß der vorliegenden Erfindung;
-
Fig. 2 ein Zeitdiagramm, das die Abfolge einer
Adressierung der Redundantenspeicher gemäß einer
anderen Ausführungsform der Erfindung zeigt;
-
Fig. 3 ein Zeitdiagramm, welches eine andere Abfolge zum
Adressieren der Redundäntenspeicher gemäß einer
Ausführungsform der Erfindung zeigt;
-
Fig. 4 ein Blockdiagramm eines Abschnitts einer
Modifikation des Systems aus Fig. 1;
-
Fig. 5 ein Blockdiagramm einer weiteren Modifikation eines
Abschnitts des Systems aus Fig. 1; und
-
Fig. 6 ein Blockdiagramm einer weiteren Ausführungsform
der Erfindung.
-
Bezugnehmend auf die Zeichnungen und insbesondere auf Fig. 1
ist dort ein Mikroprozessorsystem gezeigt, welches ein
elektronisches Abrechnungssystem bildet, so wie es
beispielsweise in einer elektronischen Frankiermaschine
verwendet wird. Das System beinhaltet eine zentrale
Verarbeitungseinheit 10, beispielsweise einen Mikroprozessor,
und einen Nur-Lese-Speicher 11, der Programme zum Betrieb des
Systems speichert. Die Zentralverarbeitungseinheit 10 ist mit
einer oder mit mehreren Peripherieeinrichtungen,
beispielsweise der Druckeinheit 12 und der Steuereinheit 13
einer elektronischen Frankiermaschine gekoppelt, so wie dies
in der gleichzeitig anhängigen US-Patentanmeldung mit der
Seriennummer Nr. 089,413 (Patent Nr. 4,301,507) offenbart
ist. In dem System aus Fig. 1 umgibt ein Sicherungsgehäuse 14
verschiedene Komponenten des Systems, beispielsweise die
Zentralverarbeitungseinheit 10 und die Druckeinheit 12.
Infolgedessen ist es notwendig, Ports zwischen der
Zentralverarbeitungseinheit und einer externen Steuereinheit
13 bereitzustellen, um zwischen diesen Einheiten eine
Zweiweg-Kommunikation zu ermöglichen. Vorzugsweise sind die
Ports in der Form eines Paars von Einweg-Übertragungspfaden
mit Optokopplern 15 und 16 an dem Sicherungsgehäuse, um die
Anlegung von irgendwelchen elektrischen Potentialen an die
Abrechnungseinheit ohne Zurücklassen von Nachweisen von
Versuchen einer Beschädigung der Einheit zu verhindern. Die
Optokoppler stellen vorzugsweise eine serielle
Zweiweg-Zwischenkommunikation zwischen den Einheiten auf
einer Bit-für-Bit Basis bereit, um die Anzahl von
erforderlichen Ports in dem Gehäuse zu minimieren.
-
Zusätzlich ist es wünschenswert, wie in der US-Anmeldung mit
der Seriennummer Nr. 089,413 (Patent Nr. 4,301,507)
diskutiert, eine gegenseitige Kommunikation zwischen der
Druckeinheit und der Zentralverarbeitungseinheit 10 mittels
eines anderen Paars of Optokopplereinrichtungen 17 und 18 zu
ermöglichen, wobei diese Optokoppler vorzugsweise eine
serielle Zweiweg-Übertragung auf einer Bit-für-Bit Basis
ermöglichen.
-
In die Druckeinheit und auch in die Steuereinheit können
soweit gewünscht getrennte Mikroprozessoren eingebaut sein,
die die Verwendung einer Vielzahl von speziell zugeordneten
Mikroprozessorsystemen ermöglichen. Dies verbessert nicht nur
die Sicherheit des Systems, sondern erhöht auch seine
Zuverlässigkeit durch Beschränken der erforderlichen Tasks
jedes Mikroprozessors auf einen spezifischen Abschnitt des
Gesamtbetriebs des Systems. Beispielsweise wird die
Möglichkeit einer Konfliktprogrammanforderung dadurch
wesentlich reduziert.
-
Wie in Fig. 1 dargetellt ist ferner innerhalb des
Sicherungsgehäuses ein Paar von Direktzugriffsspeichern 20,
21 vorgesehen. Die Direktzugriffsspeicher 20 und 21 sind
vorzugsweise nichtflüchtige Speicher herkömmlicher Art, so
daß Berechnungsdaten darin ohne Verlust gespeichert werden
können, selbst wenn eine externe Energie an das System
verlorengeht. Nur zum Beispiel können die
Direktzugriffsspeicher von dem Typ sein, der eine
Batteriepufferung verwendet, ein Earom oder ein EEPROM.
-
Der Direktzugriffsspeicher 20 ist mit der
Zentralverarbeitungseinheit 16 mittels einer Vielzahl von
Adreßleitungen 22 und einer Vielzahl von Datenleitungen 23
verbunden. Der Direktzugriffsspeicher ist mit der
Zentralverarbeitungseinheit 10 mittels einer anderen Vielzahl
von Adreßleitungen 24 und einer anderen Vielzahl von
Datenleitungen 25 gekoppelt. Es ist erforderlich, daß sowohl
die Adreßleitungen als auch die Datenleitungen, die mit den
Direktzugriffsspeichern gekoppelt sind, verschieden sind.
Beispielsweise sind die Adreßleitungen A0 - A7 von einem
herkömmlichen Mikroprozessorsystem und können mit dem
Direktzugriffsspeicher 20 gekoppelt werden, während
Adreßleitungen C0 - C7 mit dem Direktzugriffsspeicher 21
gekoppelt sind. In ähnlicher Weise können herkömmlichen
Datenleitungen B0 - B3 mit dem Direktzugriffsspeicher 20
gekoppelt werden, wobei Datenleitungen D4 - D7 mit dem
Direktzugriffsspeicher 21 gekoppelt sind.
-
In einem Abrechnungssystem, welches sowohl eine Sicherheit
als auch eine Zuverlässigkeit erfordert, ist es
wünschenswert, eine Redundanz bereitzustellen. Ein gewisser
Grad von Redundanz kann erhalten werden, wenn die
Direktzugriffsspeicher mit der Zentralverarbeitungseinheit
durch getrennte Datenleitungen verbunden werden, obwohl die
gleichen Adreßleitungen verwendet werden. In einem derartigen
System können die gleichen Daten mittels ihrer jeweiligen
getrennten Datenleitungen gespeichert und zurückgeholt
werden, entweder gleichzeitig oder zu unterschiedlichen
Zeiten unter einer Steuerung der jeweiligen
Chipfreigabesignale. Während in vielen Fällen eine derartige
Anordnung die Erfassung von Fehlern bei einem Vergleich der
Daten in den zwei Speichern erlauben wird, gibt es in der Tat
Fehlermöglichkeiten, die nicht erfaßt werden können. Wenn
beispielsweise zwei der Adreßleitungen irrtümlich
kurzgeschlossen werden, werden entweder in dem Mikroprozessor
selbst oder extern davon die gleichen fehlerhaften Daten in
den zwei Direktzugriffsspeichern gespeichert, so daß ein
Vergleich der Daten, die in den zwei Speichern gespeichert
sind, eine Fehlerbedingung nicht aufzeigen werden.
-
Dieses Problem wird durch Verwendung eines völlig
unterschiedlichen Satzes von Adreßleitungen des Adreßbusses
zum Adressieren der zwei Direktzugriffsspeicher beseitigt.
Vorzugsweise ist die Anzahl von Adreßleitungen und die Anzahl
von Datenleitungen, die mit jedem der Direktzugriffsspeicher
verbunden sind, die gleiche. Wenn nun zwei Adreßleitungen des
Systems beispielsweise kurzgeschlossen werden, besteht eine
geringe Wahrscheinlichkeit, daß die in den zwei Speichern
gespeicherten sich ergebenden Daten die gleichen sind, so daß
die Zuverlässigkeit des Systems bei der Erfassung von Fehlern
beträchtlich erhöht ist.
-
Während die zwei Direktzugriffsspeicher gleichzeitig
adressiert werden können, wobei ihre Adreßleitungen für die
Speicherung und Wiedergewinnung der gleichen Information
verwenden werden, kann auch dies zu Fehlern führen, die nicht
erfaßbar oder korrigierbar sind. Beispielsweise ist es
möglich, daß ein transienter Störvorgang auf den Busleitungen
in der gleichen Weise mit den gleichzeitig übertragenen Daten
interferiert. Demzufolge und wie in Fig. 2 dargestellt werden
die zwei Speicher in bezug auf die gleichen Daten in einer
sequentiellen Weise adressiert. Beispielsweise können alle
sequentiellen Bytes einer Nachricht zuerst auf den gleichen
Speicher, d.h. den Speicher 1, angewendet werden oder davon
empfangen werden. Nach dem Transfer dieser Nachricht in bezug
auf den ersten Speicher wird die gleiche Nachricht dann in
bezug zu dem zweiten Speicher übertragen. Es ist natürlich
selbstverständlich, daß der hier verwendete Ausdruck "Byte"
sich auf die Daten einer Länge bezieht, die gleich zu der
Anzahl von Datenleitungen ist, die mit jedem Speicher
verbunden sind.
-
Um die zum Aktualisieren oder zum Lesen des Speichers
erforderliche Zeit zu reduzieren, kann jeder Speicher
gleichzeitig aktualisiert oder gelesen werden, aber mit
unterschiedlichen Daten, die zu jedem Zeitpunkt an jeden
Speicher oder von jedem Speicher übertragen werden, so wie in
Fig. 3 dargestellt.
-
Die Fig. 2 und 3 zeigen somit zwei Techniken zum Minimieren
des Auftretens von nichterfaßbaren Fehlern, die die Folge des
Auftretens beispielsweise von transienten Impulsen sind. Es
ist ersichtlich, daß es unwahrscheinlich ist, daß die gleiche
Interferenz mit sequentiell übertragenen Daten auftritt.
-
In einer noch weiteren Ausführungsform der Erfindung können
die Daten in den zwei Speichern in einer unterschiedlichen
Form gespeichert werden. Beispielsweise können die Daten, die
in einem oder beiden der Speicher gespeichert sind, codiert
werden, um weiter das Auftreten von Fehlern zu minimeren, die
durch einen Vergleich der in den beiden Speichern
gespeicherten Daten nicht detektierbar sind. Beispielsweise
kann, wie in Fig. 4 dargestellt, ein Codierer/Decoder 30
verwendet werden, um die Daten zu codieren und zu decodieren,
die in dem Direktzugriffsspeicher 20 gespeichert sind und an
den Datenbus 23 angelegt oder davon empfangen werden. Ein
Codierer/Decoder 31 kann optional vorgesehen werden, um Daten
in dem Direktzugriffsspeicher 21 zu codieren und zu
decodieren. Wenn ein derartiger zusätzlicher Codierer/Decoder
verwendet wird, wird bevorzugt, daß er eine unterschiedliche
Codierung als diejenige des Codierers/Decoders 30 aufweist.
-
Es versteht sich natürlich von selbst, daß die Programme des
Mikrocomputers geeignete Unterprogramme aufweisen, um zu
bestimmen, welcher Speicher die höhere Wahrscheinlichkeit
einer Richtigkeit aufweist, wenn ein Vergleich der Daten eine
fehlende Übereinstimmung aufzeigt. Zusätzlich können weitere
Routinen vorgesehen sein, nämlich für den Fall einer
Unmöglichkeit des Systems, zu bestimmen, welche der
Dateneinträge fehlerfrei sind, um eine Fehleranzeige
bereitzustellen, die einen weiteren Betrieb des Systems
sperrt.
-
In der Ausführungsform der Erfindung, die in den Fig. 2 und 3
dargestellt ist, werden die zwei Speicher unter der Steuerung
eines festen Programms adressiert, welches beispielsweise auf
einen bestimmten Zustand des Systems anspricht. Infolgedessen
existiert notwendigerweise ein bestimmter Zusammenhang
zwischen den Adressierungszeiten für die zwei Speicher. Als
eine weitere Modifikation, wenn getrennte Speichereinheiten
bereitgestellt sind, kann jede Speichereinheit so ausgeführt
werden, daß sie unabhängig auf bestimmte Bedingungen
anspricht. Wenn beispielsweise das Abrechnungssystern wie in
Fig. 1 dargestellt zum Bilden einer Frankiermaschine
verbunden ist, können die zwei Speicher unabhängig auf jede
Rückkopplung einer Druckereinstellung ansprechen, um die
getrennten Speicher zu aktualisieren, wobei ein
Überschreibe-Unterprogramm zur Querüberprufung vorgesehen
ist, d.h. zum Vergleichen der in den beiden Speichern
gespeicherten Daten. Die unabhängige Steuerung kann
beispielsweise in der Form eine Speichersteuereinrichtung
sein. Indem somit die zwei Speichereinheiten unabhängig
voneinander betreibbar aufgebaut sind, sind die Chancen eines
größeren fehlerfreien Betriebs wesentlich verbessert.
-
Um einen geeigneten Betrieb sicherzustellen und um die
Integrität der darin gespeicherten Abrechnungsinformation zu
gewährleisten sind elektronische Frankiermaschinen mit einer
Vielzahl von Sensoren ausgerüstet, beispielsweise die
Sensoren 50, 51 und 52, die in Fig. 1 mit der
Zentralverarbeitungseinheit 10 gekoppelt dargestellt sind.
Diese Sensoren können zum Überprüfen einer Anzahl von
Zuständen innerhalb der Maschine verwendet werden,
beispielsweise der Position eines Verschlußstabs, der den
Betrieb der Maschine blockiert, die Positionen von
verschiedenen Zwischenteilen, die den Betrieb der
Frankiermaschine steuern, und verschiedene andere
Zustandssensoren, beispielsweise Temperatur und Feuchtigkeit.
In nicht-elektronischen Frankiermaschinen des Typs, der
Mikroprozessoren zur Steuerung verwendet, wie beispielsweise
in dem US-Patent 3,978,457 offenbart, können bestimmte dieser
Sensoren durch eine Softwareroutine bei der anfänglichen
Anlegung einer Energie an die Maschine abgefragt werden. Die
Positionen der verschiedenen Verschlußstäbe und Zwischenteile
können beispielsweise ebenfalls durch Softwareroutinen
bestimmt werden, die durch verschiedene extern verursachte
Zustände initiiert werden, beispielsweise manuell gesteuerte
Betriebsvorgänge zum Initiieren des Portodrucks. Die
Fehlerüberprüfungsroutinen zum Überprüfen derartiger Sensoren
und außerdem zum Überprüfen von zusätzlichen Bedingungen,
beispielsweise der Richtigkeit der in den Speichern
gespeicherten Daten, werden somit nur dann ausgeführt, wenn
dies spezifisch im Ansprechen auf extern stimulierte Vorgänge
angefordert wird. Obwohl ein Zustand zwischen
Betriebsvorgängen der Frankiermaschine aufgetreten sein kann,
der schließlich verursachen würde, daß sie ihren Betrieb
abbricht (d.h. bei dem nächsten Aufruf zum Portodruck), kann
somit die Maschine extern in täuschender Weise noch
betreibbar erscheinen.
-
Gemäß einem weiteren Merkmal des Systems überprüft ein
Programm für den Mikroprozessor die Register des
Direktzugriffsspeichers sowie die verschiedenen Sensoren, die
optische Schalter sein können, und alle anderen Indikatoren
kritischer Daten zu regelmäßigen Zeiten während des Ablaufs
eines Betriebs der Frankiermaschine, anstelle diese Parameter
einfach beim Start der Maschine und nicht durch externe
stimulierte Vorgänge aufgerufen zu überprüfen. Indem somit
periodische Überprüfungen vorgesehen werden, wird die
Möglichkeit eines fehlerfreien Betriebs noch weiter
beträchtlich verbessert. Mit anderen Worten, die Hauptroutine
der Frankiermaschine, an die sie immer nach Abschluß
beispielsweise eines Portodruckbetriebs zurückkehrt, umfaßt
Softwareroutinen, die periodisch kritische Parameter
überprüfen, beispielsweise die geeignete Positionierung von
mechanischen Elementen in der Maschine und den richtigen
Vergleich von Daten in den Speichern, sowie die Richtigkeit
der Daten gemäß Steuersummendaten. Diese Technik ermöglicht
die zusätzliche vorteilhafte periodische Überprüfung von
weiteren angebrachten Sensoren, die beispielsweise zum
Erfassen einer mechanischen Verletzung der Sicherheit des
Gehäuses angebracht sind.
-
Für diesen Zweck können, wie in Fig. 5 dargestellt, die
Sensoren 50, 51 und 52 angeschlossen sein, um eine Vielzahl
von Stufen eines Schieberegisters 55 einzustellen. Es
versteht sich natürlich von selbst, daß die Anzahl derartiger
Sensoren größer als die dargestellte Anzahl drei sein kann.
Das Schieberegister 55 ist mit der Adresse gekoppelt und wird
von der Zentralverarbeitungseinheit 10 zu bestimmten Zeiten
in dem Hauptprogramm ausgelesen. Ein codiertes Bitmuster ist
in dem Nur-Lese-Speicher 11 entsprechend der richtigen
fehlerfreien Bedingungen der Sensoren vorgesehen. Zu Zeiten
während des Ablaufs des Programms, wenn die Sensoren getestet
werden sollen, schiebt das Schieberegister unter der
Steuerung der Zentralverarbeitungseinheit das existierende
Bitmuster zum Vergleich mit dem gespeicherten Bitmuster in
dem Nur-Lese-Speicher 11 heraus. Somit können der Status der
verschiedenen Sensoren in der Maschine kontinuierlich
bestimmt werden, so daß die Maschine gesperrt werden kann,
sobald ein Zustand existiert, der die Integrität der Maschine
bedroht.
-
Das Schieberegister kann natürlich unter der Steuerung des
Mikroprozessors durch eine herkömmliche Taktquelle des
Systems verschoben werden. Alternativ kann das
Schieberegister gemäß einem bestimmten einzigartigen Muster
vorprogrammiert sein, so daß der Ausgang des Schieberegisters
mit einem vorgegebenen "guten" Zustand verglichen werden
kann. Die Information, die von einem acht oder sechzehn
Bitmustercode verfügbar ist, kann gemäß dieser
Ausführungsform der Erfindung somit einen sehr großen
Raffiniertheitsgrad für die Bestimmung irgendeiner geeigneten
Fehlerüberprüfung für Diagnosezwecke unter Verwendung von
Signaturanalysetechniken bereitstellen. Diese Form von
Fehlerüberprüfung kann verschiedenen Systembeschränkungen
sowohl fur eine Diagnose als auch für eine mögliche
Fehlerkorrektur auf einer automatischen Basis auferlegt
werden.
-
In dem in Fig. 1 dargestellten System, wie voranstehend
diskutiert, kann die Druckeinheit 12 und die Steuereinheit 13
spezielle zugeordnete Mikroprozessoren zum Steuern der
spezifischen Funktionen dieser Einheiten enthalten, wodurch
die Verwendung eines speziell zugeordneten Systems für die
Abrechnungseinheit mit der Zentralverarbeitungseinheit 10,
dem Nur-Lese-Speicher 11 und Direktzugriffsspeichern 20 und
21 bereitgestellt wird. In weiteren Ausführungsformen der
Erfindung kann in die Druckeinheit 12 ein
Direktzugriffsspeicher 60 eingebaut sein und/oder die
Steuereinheit 13 kann einen nichtflüchtigen
Direktzugriffsspeicher 61 umfassen.
-
In einer weiteren Ausführungsform der Erfindung, wie in Fig.
6 dargestellt, sind die nichtflüchtigen
Direktzugriffsspeicher 20, 21 des Abrechnungssystems
untereinander mit getrennten Mikroprozessoren 60 und 61
gekoppelt, wobei jeder Mikroprozessor jeweils einen
getrennten Nur-Lese-Speicher 62, 63 aufweist, um die
Betriebsprogramme für die jeweiligen Mikroprozessoren zu
speichern. Es ist natürlich selbstverständlich, daß in der
Anordnung von Fig. 6 und außerdem in der Anordnung von Fig. 1
der Nur-Lese-Speicher sowie anderen Komponenten des Systems
in die gleiche integrierte Schaltung wie der Mikroprozessor
eingebaut sein können. Da die zwei Mikroprozessoren getrennt
gesteuert werden und getrennte Adreß- bzw. Datenleitungen 64,
65 aufweisen, werden die zwei Direktzugriffsspeicher dadurch
vollständig unabhängig gesteuert. Die zwei Mikroprozessoren
kommunizieren getrennt mit der Steuereinheit 13 und dem
Drucker 82 mittels getrennter Wählerschalter 70 und 71, die
von den jeweiligen Mikroprozessoren 60 und 61 adressiert
werden. Infolgedessen kann jeder der Mikroprozessoren Signale
von dem Drucker und der Steuereinheit empfangen und jeder von
diesen kann ebenfalls Nachrichten übertragen. Zusätzlich
können die Daten, die in den zwei Mikroprozessoren
verarbeitet werden, mittels eines Datenhaltespeichers 72
verglichen werden, der von beiden Mikroprozessoren steuerbar
ist.
-
In der Anordnung von Fig. 6 werden Eingangsdaten, die
beispielsweise von der Tastatur 73 oder einer anderen mit der
Steuereinheit 13 gekoppelten Peripheneeinrichtung empfangen
werden, mittels der Optokoppler 15 und 16 und der
Wählschalter 70 und 71 an die zwei Mikroprozessorsysteme
angelegt. Alternativ können die Daten natürlich den zwei
Mikroprozessoren im Ansprechen auf ein Interrupt-Signal
eingegeben werden. Die zwei Mikroprozessoren führen im
Ansprechen auf die eingegebene Information die erforderlichen
Abrechnungsprozeduren unabhängig voneinander aus, und zwar
hinsichtlich der in den jeweiligen Direktzugriffsspeichern
gespeicherten Daten. Die Programme der zwei Mikroprozessoren
ermöglichen einen Austausch von Abrechnungsdaten zum
Vergleich, beispielsweise auf einer Konkurrenzbasis mittels
des Datenhaltespeichers 72. Die Programme der zwei
Mikroprozessoren können beispielsweise nur einen der
Mikroprozessoren freigeben, um die mit der Steuereinheit 13
gekoppelte Anzeige 75 zu steuern und/oder den Drucker 82 zu
steuern. Alternativ kann natürlich eine redundante Steuerung
verwendet werden, wobei die Steuerung einer Druckerfunktion
oder die Steuerung einer Anzeige das gemeinsame Auftreten der
Ausgabefunktion von den zwei Mikroprozessoren erfordern kann.
Dies kann beispielsweise in der Weise ausgeführt werden, die
in der US-Patentanmeldung mit der Seriennummer 089,413,
eingereicht am 30. Oktober 1979 und dem Inhaber der
vorliegenden Anmeldung übertragen, offenbart ist, nämlich
indem ein Paar von in Reihe geschalteten Transistoren
getrennt von den zwei Mikroprozessoren gesteuert wird,
wodurch der gemeinsame Ausgang der in Reihe geschalteten
Transistoren die gewünschte Steuerung bewirkt. Es ist
natürlich ersichtlich, daß andere Techniken für diesen Zweck
verwendet werden können.
-
Die Anordnung aus Fig. 6 erhöht dadurch die Redundanz des
Systems, so daß selbst ein Fehler in einem Mikroprozessor mit
einer hohen Zuverlässigkeit die Bestimmung des Auftretens
eines Fehlerzustands, der das Sperren der Maschine erfordern
kann, ermöglichen wird.
-
In dem System aus Fig. 6 ist die Druckereinheit vollständiger
dargestellt, so wie sie einen Mikroprozessor 80 umfaßt, der
mit den Optokopplern 17 und 18 gekoppelt ist und einen
Druckeinsteller 81 steuert. Der Druckeinsteller 81 stellt die
Druckräder in einem Drucker 82 ein, wobei die Einstellung der
Druckräder mittels eines Rückkopplungspfads 83 an den
Mikroprozessor 80 zurückgekoppelt wird. Diese Rückkopplung
ermöglicht der Druckereinheit, zu bestimmen, wenn ein Fehler
bei der Einstellung der Druckräder aufgetreten ist, und um
dadurch die Maschine im Fall einer fehlerhaften Einstellung
zu sperren. Die zurückgeführte Einstellung kann von dem
Mikroprozessor 80 auf die Optokoppler 17 und 18 angewendet
werden, wodurch den zwei Mikroprozessoren in dem
Abrechnungssystem ermöglicht wird, getrennt auf die
Rückkopplungssignale anzusprechen, um das zu druckende Porto
abzurechnen.
-
Es ist natürlich offensichtlich, daß geeignete
Steuerleitungen vorgesehen sind, die mit dem Mikroprozessor
und den Direktzugriffsspeichern in der herkömmlichen Weise
verbunden sind, um die Systeme zu steuern.
-
Die Funktion einer Sperrung der Maschine kann in den
dargestellten Ausführungsformen bewirkt werden, indem unter
einer Programmsteuerung ein Betrieb der mechanischen Elemente
der Maschine gesperrt wird. Alternativ kann die Existenz
eines Fehlers, der ein Sperren der Maschine erfordert, die
Routinen des Mikroprozessors anweisen, eine Endlosschleife
auszuführen. Fehler, die ein Sperren der Maschine nicht
erfordern, können unter der Steuerung des Mikroprozessors
mittels der Anzeige 73, die mit der externen Steuereinheit
gekoppelt ist, angezeigt werden.
-
Somit sind gemäß einem Aspekt des Systems redundante
nichtflüchtige Speicher in der Abrechnungseinheit einer
elektronischen Frankiermaschine vorgesehen, wobei die
Abrechnungseinheit einen Mikroprozessor aufweist, der zum
Speichern von Abrechnungsdaten redundant in den zwei
Speichern gesteuert wird. Um die Möglichkeit von nicht
detektierbaren Fehlern zu minimieren, sind die zwei
redundanten Speicher untereinander mit dem Mikroprozessor,
d.h. dem Mikrocomputerbus, mittels völlig getrennter Gruppen
von Daten- und Adreßleitungen verbunden. Als Folge der
vollständigen Trennung der Adressierung und der Daten führen
verschiedene Fehlerzustände, beispielsweise das Kurzschließen
eines Paars von Adreßleitungen, nicht zu der fehlerhaften
Adressierung beider Speicher. Demzufolge führt unter
derartigen Bedingungen das Kurzschließen eines Paars von
Adreßleitungen nicht zu der Speicherung der gleichen Daten in
beiden Speichern, so daß ein Vergleich der gespeicherten
Daten zu der Erfassung des Fehlerzustands führen wird.
-
Gemäß einer anderen Ausführungsform der Erfindung werden
entsprechende Daten redundant an die redundanten Speicher zu
verschiedenen Zeiten gelegt. Dies kann durchgeführt werden,
indem die Daten sequentiell an die beiden Speicher getrennt
angelegt werden. Alternativ können die Daten gleichzeitig auf
die zwei Speicher angewendet oder davon zurückgewonnen
werden, wobei die Daten in jedem Fall in bezug auf die zwei
Speicher entsprechend einer unterschiedlichen Information
übertragen werden. Infolgedessen ist es unwahrscheinlich, daß
plötzlich auftretende transiente Störvorgänge auf den
Übertragungsleitungen die in den beiden Speichern
gespeicherten entsprechenden Daten in der gleichen Weise
beeinträchtigen werden. Dieses System minimiert dadurch die
Möglichkeit von nichtdetektierbaren und/oder
nichtkorrierbaren Fehlern, die sich aus derartigen
transienten Störvorgängen ergeben.
-
Gemäß einer weiteren Ausführungsform der Erfindung kann die
Redundanz des Abrechnungssystems erhöht werden, indem
ebenfalls redundante Mikroprozessoren zum Steuern der zwei
Speicher verwendet werden.
-
Um noch weiter die Möglichkeit eines Portodrucks ohne eine
Abrechnung zu minimieren, kann das Programm des
Mikroprozessors auf das periodische Testen von verschiedenen
kritischen Parametern innerhalb des Mikroprozessors als Teil
einer Hauptrroutine gerichtet werden&sub1; wobei die Testroutine
nur soweit erforderlich während eines herkömmlichen
Portodruckbetriebs, beispielsweise dem Drucken von Porto und
einer Abrechnung dafür, unterbrochen wird. Infolgedessen
ermöglicht die Routine der Frankiermaschine das
kontinuierliche Testen von derartigen Parametern, so daß die
Frankiermaschine gesperrt werden kann, sobald ein Zustand
existiert, der die Integrität der Abrechnungsdaten bedroht.
-
Die Fehlerüberprüfung auf einer periodischen Basis kann nicht
nur die physikalischen Parameter testen, beispielsweise
Positionen von verschiedenen mechanischen Elementen, sondern
sie kann auch den Vergleich der in den zwei Speichern
gespeicherten Daten ausführen und außerdem
Steuersummenüberprüfungen durchführen, um zu bestimmen, ob
sich die in jedem Speicher gespeicherten Daten gemäß
bestimmter Zusammenhänge befinden.
-
Andere Typen von Speichern können natürlich anstelle eines
RAMS verwendet werden, beispielsweise ein serieller Speicher.
-
Während die Erfindung unter Bezugnahme auf eine begrenzte
Anzahl von Ausführungsformen offenbart und beschrieben worden
ist, ist es offensichtlich, daß Veränderungen und
Modifikationen darin durchgeführt werden können, nämlich
gemäß EPC Artikel 69 und seinem Protokoll.