DE3650330T2

DE3650330T2 - Frankiermaschinensystem zur nichtflüchtigen Speicherung von Daten.

Info

Publication number: DE3650330T2
Application number: DE19863650330
Authority: DE
Inventors: Sung S Chang; Paul C Kroll
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 1985-10-16
Filing date: 1986-10-16
Publication date: 1995-11-16
Anticipated expiration: 2006-10-17
Also published as: DE3650330D1; DE3685191D1; EP0457114B1; EP0222197A2; EP0222197B1; EP0457114A1; EP0222197A3

Description

Gebiet der Erfindung

Die vorliegende Erfindung betrifft nicht-flüchtige Speichersysteme, und insbesondere nicht-flüchtige Speichersysteme für elektronische Frankiermaschinensysteme.

Hintergrund der Erfindung

Frankiermaschinen sind in Massenproduktion hergestellte Vorrichtungen zum Drucken bestimmtet Einheitswertr auf Pakete oder Umschläge, die von staatlichen oder privaten Postdiensten befördert werden. Der Begriff "Frankiermaschine" umfaßt auch andere gleichartige Vorrichtungen, die Einheitswerte drucken, wie Steuermarkengeräte. Die Frankiermaschinen enthalten interne Abrechnungs- Vorrichtungen, die eine innerhalb der Maschine gespeicherte Postwertdarstellung verwalten. Die Abrechnungs-Vorrichtung dient sowohl zum Zuweisen eines zusätzlichen Postwertes zu der Maschine als auch zum Drucken von Porto durch die Maschinen-Druckvorrichtung. Es gibt kein unabhängiges externes Abrechnungs-System zum Abrechnen des durch die Maschinen gedruckten Portos. Demnach müssen Frankiermaschinen besonders verläßlich sein, um den Verlust von innerhalb der Maschine gespeicherter und entweder der amtlichen Seite oder dem Anwender zugeordneter Geldwerte zum Drucken von Porto zu verhindern.
Elektronische Frankiermaschinen wurden entwickelt und sind beispielsweise offenbart in dem US-Patent Nr. 3 978 457 - Elektronisches Krankiermaschinensystem mit Mikrocomputer; in dem US-Patent Nr. 4 301 507 - Elektronische Frankiermaschine mit mehreren Rechensystemen; und in dem US-Patent Nr. 4 484 307 - Elektronische Frankiermaschine mit verbesserter Sicherheit und fehlertoleranten Eigenschaften. Derartige Frankiermaschinen enthalten elektronische Abrechnungsschaltungen, die elektronische, nicht-flüchtige Speicher zum Speichern von Post-Abrechnungsinformationen enthalten. Die Abrechnungsschaltungen und zugeordneten Postdruck-Vorrichtungen sind physikalisch mit einer verfälschungssicheren Ummantelung abgetrennt. Die nichtflüchtigen Speicher dienen zum Speichern kritischer Post- Abrechnungsinformation, wenn die Frankiermaschine nicht extern mit Energie versorgt wird.
Zahlreiche Arten von Abrechnungsinformation lassen sich in dem nicht-flüchtigen Speicher der Frankiermaschine speichern. Diese Information enthält beispielsweise die gesamte Summe des in der Frankiermaschine für weitere Druckvorgänge zur Verfügung stehenden Portos (fallendes Register) und das insgesamt durch die Frankiermaschine gedruckte Porto (steigendes Register). Auch andere Arten von Abrechnungsoder Betriebsdaten lassen sich speichern. So können beispielsweise in den nicht-flüchtigen Speichern Serviceinformationen in der Form von Fehlercodes gespeichert werden, die auf zahlreiche unterschiedliche Fehlfunktionen oder außerordentliche Betriebsbedingungen während des Betriebs der Frankiermaschine hinweisen. Dies erleichtert die Auswertung des Betriebsverlaufs jeder Frankiermaschine im Fall ihrer Reparatur, falls dies erforderlich ist, und das Ansammeln von Daten, die für den Entwurf von elektronischen Frankiermaschinen hilfreich sind.
Bei nicht-flüchtigen Speichern und der anderen elektronischen Abrechnungs-Schaltungen in der elektronischen Frankiermaschine besteht die Gefahr von Störungen, durch die entweder Information verlorengeht oder fehlerhafte Information erzeugt wird. Die elektronischen Schaltungen werden durch elektromagnetische Strahlung beeinflußt, sowie von elektrischen Störvorgängen, die den ordnungsgemäßen Betrieb der Frankiermaschine und die fehlerfreie Speicherung von Information beeinflussen. Diese Vorgänge können zu einem Verlust von Geldwerten des Anwenders führen und somit ist unumstritten, daß zahlreiche Schutzmechanismen vorzusehen sind, um derartige unerwünschte Ergebnisse zu vermeiden, da in den meisten Fällen die Daten nicht mit Hilfe extern zugänglicher Datenträger rekonstruiert werden können.
Diejenigen elektronischen Frankiermaschinen, die ausschließlich während eines Abschaltvorgangs in einen nichtflüchtigen Speicher schreiben, beispielsweise beschrieben in dem oben erwähnten US-Patent Nr. 4 301 507, arbeiten im Hinblick auf die angegebene Zielsetzung zufriedenstellend. Treten jedoch während des mehrere Millisekunden dauernden Zeitabschnitts, in dem die externe Stromversorgung unterbrochen wird und die Kapazität in dem System die Energie zum Schreiben erzeugt, Schwierigkeiten auf, so kann kritische Abrechnungs-Information verlorengehen. Diese Information läßt sich nicht rekonstruieren, da sie nicht in anderen nicht- flüchtigen Speichern gespeichert ist.
Es wurden auch Systeme mit Speichern zum Schreiben von Daten in nicht-flüchtige Speicher während jedes Betriebszustands der Frankiermaschine entwickelt, beispielsweise beschrieben im US-Patent Nr. 4 484 307 "Elektronische Frankiermaschine mit verbesserter Sicherheit und fehlertoleranten Eigenschaften" und der offengelegten europäischen Patentanmeldung Nr. 0 085 385 "Mikroprozessorsystem für elektronische Frankiermaschinen". Andere elektronische Frankiermaschinensysteme, so wie sie z.B. in der US- Patentanmeldung von Wallace Kirschner, Easwaran C.N. Nambudiri aund Douglas H. Patterson, Nr. 643 219, hinterlegt am 22. August 1984, "Nicht-flüchtiges Speichersystem mit Echtzeit- und Abschalt-Datenspeicher-Fähigkeit für eine elektronische Frankiermaschine" (vgl. EP-A-1 732 049) beschrieben sind, benützen duale, nicht-flüchtige Speicher, wobei in den einen Daten während des Betriebszustands der Frankiermaschine und in den anderen Daten nur während einer Abschalt-Folge eingetragen werden.
Es wurde festgestellt, daß sich die oben beschriebenen, elektronischen Systeme durch eine verbesserte Schaltung und Software-Architektur unter Ausnützung mehrerer Speicher verbessern läßt.
Das System ist so aufgebaut, daß die Information in zwei ungleichartige Speicher unter vorgegebenen Betriebsbedingungen geschrieben wird, und zwar in einer Weise, die die Zuverlässigkeit des Systems erhöht.
Den Gegenstand der vorliegenden Erfindung bildet ein Frankiermaschinensystem vom Typ mit einem Mikrocomputermittel, einem mit dem Mikrocomputermittel verbundenen, nicht-flüchtigen Speichermittel und mit dem Mikrocomputer verbundene Programmspeichermittel, enthaltend: Speicherbereiche zum Speichern von Posttransaktions- Abrechnungsdatensätzen in dem nicht-flüchtigen Speichermittel, wobei jeder Transaktions-Abrechnungsdatensatz einen Anfangs-Abschnitt mit Stückzähl-Daten und einem Stückzähl-Datenfeld enthält, der zuletzt gespeicherte Transaktions-Abrechnungsdatensatz-Anfangs-Abschnitts- Stückzähl-Daten enthält, die sich von dem im Stückzähl-Feld gespeicherten Stückzähl-Daten unterscheiden, und andere gespeicherte Transaktions-Abrechnungsdatensätze solche Anfangs-Abschnitte und Stückzähl-Daten im Stückzähl-Feld enthalten, daß sich der aktuelle Datensatz schnell bestimmen laßt.
Gemäß der vorliegenden Erfindung werden nicht-flüchtige Speicherbereiche zum Speichern von Postwerten vor dem Beginn einer Post-Abgabe-Transaktion eingesetzt. Durch Speichern der Posteinstelldaten in einem Ringpuffer und des aktuellen Posttransaktions-Abrechnungsdatensatzes läßt sich eine Frankiermaschine-Transaktion rekonstruieren und in einem neuen Posttransaktions-Datensatz eintragen, wenn während eines Schreibzugriffs auf einen nicht-flüchtigen Speicher während einer Frankiermaschinen-Transaktion und eines gleichzeitig hierzu erfolgenden Abschaltvorgang des Frankiermaschinensystems ein Fehler auftritt.
Gemäß einer bevorzugten Ausführungsform der vorliegenden Erfindung sind ein Speichermittel mit wahlfreiem Zugriff und ein Programmspeichermittel mit dem Mikrocomputermittel verbunden. Das Programmspeichermittel bewirkt, daß das Mikrocomputermittel einen vollständigen Satz eines kritischen Post-Abrechnungsdatensatzes in den Speicher mit wahlfreiem Zugriff schreibt, und einen zweiten vollständigen Satz eines kritischen Abrechnungs-Datensatzes und einen Satz eines gekürzten, kritischen Abrechnungs-Datensatzes in den nichtflüchtigen Speicher einträgt. Das Programmspeichermittel bewirkt ferner, daß das Mikrocomputermittel Daten sowohl in dem vollständigen Datensatz als auch den gekürzten Datensatz, die jeweils in dem nicht-flüchtigen Speicher gespeichert sind, erneut einträgt, wenn bei einem Datenvergleich, bei dem die in dem Speicher mit wahlfreiem Zugriff abgelegten Daten als korrekte Referenzdaten benützt werden, ein Fehler in mindestens einem der in dem nicht-flüchtigen Speicher gespeicherten Datensätze erfaßt wird.

Kurze Beschreibung der Zeichnung

Fig. 1 stellt eine vereinfachte schematische Ansicht einer Frankiermaschine dar, die ein vereinfachtes Schaltbild des Abrechnungs-Systems der Frankiermaschine gemäß der vorlilegenden Erfindung enthält;
Fig. 2 zeigt ein detailliertes schematisches Schaltbild des in Fig. 1 gezeigten Abrechnungs-Systems;
Fig. 3 zeigt ein Flußdiagramm zur Verdeutlichung der prinzipiellen Vorgehensweise im Abrechnungsmodul;
Fig. 4 zeigt ein Flußdiagramm zur Verdeutlichung des Auslösevorgangs in dem Abrechnungs-Modul;
Fig. 5 zeigt ein Flußdiagramm für den Block-Schreibe- Programmteil des nicht-flüchtigen Speichers;
Fig. 6 zeigt ein Flußdiagramm für den Abschalt- Programmteil;
Fig. 7 zeigt ein Flußdiagramm für den Normallade- Blockdaten-Programmteil;
Fig. 8 zeigt ein Flußdiagramm für das Wartungsladen von Blockdaten aus den MNOS- oder EEPROM-Speichern;
Fig. 9 zeigt ein Flußdiagramm entsprechend dem Programmteil zum Berechnen der Beförderungs- Datensatz-Adresse;
Fig. 10 zeigt ein Flußdiagramm gemäß dem Programmteil zum Auffinden des aktuellen Beförderungs-Datensatzes;
Fig. 11 zeigt ein Flußdiagramm gemäß dem Programmteil zum Lesen des ersten Abschnittes des aktuellen eigentlichen Beförderungs-Datensatzes;
Fig. 12 zeigt ein Flußdiagramm gemäß dem Programmteil zur Verifikation des Beförderungs-Datensatzes;
Fig. 13 zeigt ein Flußdiagramm gemäß dem Programmteil zum Protokollieren eines Fehlers im Beförderungs- Datensatz;
Fig. 14 zeigt ein Flußdiagramm gemäß dem Programmteil zum Einstellen des Portos auf der Druckrolle;
Fig. 15 zeigt ein Flußdiagramm gemäß dem Programmteil zum Bestimmen des aktuellen Post-Datensatzes;
Fig. 16 zeigt ein Flußdiagramm gemäß dem Programmteil zur Wiederherstellung des Beförderungs-Datensatzes;
Fig. 17 zeigt ein Flußdiagramm gemäß dem Programmteil zum Öffnen des nicht-flüchtigen Speicherblocks; und
Fig. 18 zeigt ein Flußdiagramm gemäß dem Programmteil zum Aktualisieren des nicht-flüchtigen Speicherblocks.

Detaillierte Beschreibung der bevorzugten Ausführungsform

Überblick über die Schaltungsarchitektur

In der vorliegenden Erfindung wird sowohl ein nichtflüchtiger Speicher vom EEPROM-Typ mit schwimmender Gate- Elektrode als auch ein nicht-flüchtiger Speicher vom MNOS-Typ gemeinsam mit einem Mikroprozessor mit einem flüchtigen Speicher mit wahlfreiem Zugriff eingesetzt. In dem vorliegenden System kann der Speicher mit wahlfreiem Zugriff Teil der integrierten Schaltung sein, die den Mikroprozessor enthält. Das System ist so entworfen, daß Informtion vom Mikroprozessor sowohl in den Speicher mit wahlfreiem Zugriff als auch in den EEPROM-Speicher auf Basis einer Transaktion geschrieben wird. Die Information wird sowohl in den EEPROM- Speicher als auch den nicht-flüchtigen MNOS-Speicher während eines Abschaltvorgangs geschrieben. Zusätzlich kann ein Schreibvorgang in den nicht-flüchtigen EEPROM-Speicher und den MNOS-Speicher zu den Zeitpunkten der Blockschaltvorgänge erfolgen, beispielsweise dann, wenn der Servicemodusschalter von der Betriebsposition in die Servicemodusposition bewegt wird.
Eine bestimmte Vorgehensweise beim Verschachteln der Schreibvorgänge in den EEPROM-Speicher und den MNOS-Speicher ermöglicht das Schreiben von Daten in beide Speicher während des Abschaltens, ohne die Zeitdauer zu erhöhen, die jeweils für das Schreiben in jeden der einzelnen Speicher erforderlich wäre. Hierdurch wird die Zuverlässigkeit und Sicherheit der Frankiermaschine erheblich verbessert, ohne Inkaufnahme zusätzlicher Risiken, wie Informationsverlust während des Abschaltens.
Die Schreibtechnik beruht auf einem verschachtelten Schreiben. Das heißt, ein Byte Informtion wird zunächst in den EEPROM-Speicher geschrieben. Da das Schreiben von Information in die EEPROM-Speicherbereiche zwei Millisekunden dauert, wird nach dem Anlegen der Daten an die EEPROM- Speicher-Datenleitungs-Anschlüsse dieser Zeitabschnitt zum Eintragen von zwei Dateneinheiten in den MNOS-Speicher benützt. Dieser Speicher ist nach Einheiten gegliedert und das Schreiben jeder Einheit dauert eine Millisekunde. Demnach werden in der Warteperiode während des Schreibens von Daten in den nicht-flüchtigen EEPROM-Speicher gleichzeitig dieselben Daten in den nicht-flüchtigen Speicher vom MNOS-Typ geschrieben. Die Verschachtelung wird fortgeführt, bis beide Speicher vollständig mit den während eines Abschalt-Vorgangs zu speichernden und notwendigen relevanten Daten geladen sind.
Diese Schreibfolge für den besonderen Entwurf erfordert ungefähr 60 bis 70 Millisekunden, während die von Kapazitätsspeichern zur Verfügung gestellte Energie zum Fortführen des Betriebs der Frankiermaschine nach einem Netzausfall sich in etwa einem Bereich von 200 Millisekunden bewegt.
Zum weiteren Schutz und aufgrund der Tatsache, daß die besondere offenbarte Schaltung eine 16-Bit-Adresse an einem Anschluß 2 des Mikroprozessors abgeben muß und der MNOS- Speicher auch mit dem Anschluß 2 des 8051-Mikroprozessors verbunden ist, wurden für einen Mikroprozessor vom 8051-Typ während des Schreibens in dem nicht-flüchtigen EEPROM- Speicher das Adressierungsschema für den EEPROM-Speicher so gewählt, daß sie mit dem MNOS-Speicher verbundenen Datenleitungen immer auf einem H- oder 1-Pegel liegen, wenn an dem EEPROM-Speicher eine Adresse entweder zum Schreiben oder zum Lesen anliegt. Dies spielt aufgrund der Art und Weise, wie ein Schreibvorgang in dem MNOS-Speicher erfolgen muß, eine besondere Bedeutung für den Schutz der in dem MNOS- Speicher enthaltenen Daten. Es ist anzumerken, daß zum Schreiben in den nicht-flüchtigen MNOS-Speicher zunächst der 4-Bit-Speicherbereich, in den geschrieben werden soll, gelöscht werden muß. Hierzu ist eine 1 in jeden dieser Speicherbereiche einzutragen, und dies muß über einen Zeitabschnitt von ungefähr 10 Millisekunden erfolgen, um hierdurch den Speicherbereich zu löschen und einen später auftretenden Schreibzugriff zu ermöglichen. Im Ergebnis führt diese Anordnung für die Dateneingabe dazu, daß die Datenleitungen des MNOS-Speichers in einer speziellen Weise angeschlossen sind, insbesondere an unterschiedliche Pins desselben Anschlusses als obere Adreßleitungen des EEPROM- Speichers.
Werden beim Anlegen einer Adresse an den EEPROM-Speicher die Datenleitungen des MNOS-Speichers über eine Zeitdauer von ungefähr 2 Millisekunden auf H-Pegel gehalten, so wird der MNOS-Speicher in einen Zustand versetzt, in dem ein ungewolltes Schreiben in Speicherbereiche verhindert wird.
Dies ist auf die Tatsache zurückzuführen, daß in dem Fall, in dem die Schreib-Freigabeleitung innerhalb dieses Zeitabschnittes ungewollt aktiviert wird, sich die eine Eins enthaltenen Speicherbereiche aufgrund des Eintrags einer Eins nicht verändern. Andererseits verändern sich auch die anderen Speicherbereiche mit einer Null nicht, da sie vorab nicht gelöscht und auf Eins gesetzt wurden, um das Ausführen eines Schreibzugriffs zu ermöglichen. Weiterhin kann der Löschvorgang nicht auftreten, da es ungefähr 10 Millisekunden dauert, einen Speicherbereich zum Ermöglichen eines Schreibzugriffs auf den Speicherbereich zu löschen und der EEPROM-Adreß-Zeitabschnitt nur 2 Millisekunden dauert.
Als weiteres Merkmal des vorliegenden Aufbaus ist zu erwähnen, daß die Schaltungsstruktur und -architektur derart ist, daß nur die minimal erforderliche Zahl von Leistungen zwischen dem nicht-flüchtigen EEPROM-Speicher und dem nicht- flüchtigen MNOS-Speicher eingesetzt wird. Dies führt zu einem hohen "Trennungs"-Grad und einem hohen Grad an Schutz. Physikalisch teilen die beiden Speichervorrichtungen nur die zehn I/O-Leitungen des Mikrokontrollers. Bei dem MNOS- Speicher werden alle zehn geteilten Leitungen nur zum Anlegen der Adresse benützt. Die Steuerleitungen, wie Chip-Freigabe, Lese-Freigabe, Schreib-Freigabe und dergleichen, sind zwischen den beiden Chips vollständig getrennt. Eine derartige Trennung kann zur Verringerung jeder wechselseitigen Beeinflussung beitragen.

Überblick über die Software-Architektur

Die Software-Architektur des Systems und die Vorgehensweise beim Abbilden von zu speichernden Daten in den Speicher, insbesondere den EEPROM-Speicher, bewirken ein hohes Maß an Redundanz, das in bisherigen elektronischen Frankiermaschinen nicht zur Verfügung stand. Es zeigt sich, daß durch einen Aufbau der Echtzeit-Abrechnung auf Basis von zwei Mengen von Abrechnungsdatensätzen in dem EEPROM-Speicher in dieser Weise ein erhöhtes Maß an Zuverlässigkeit erzielbar ist. Erstens ist die Software-Architektur für den Fall, daß eine bestimmte Speicherkomponente nicht verfügbar ist, so aufgebaut, daß die Funktionsfähigkeit des Systems mit oder ohne nicht-flüchtigem MNOS-Speicher gegeben ist. Ferner ermöglicht die Adressierungstechnik für das Schreiben in den EEPROM-Speicher den Verzicht auf einen in früheren Entwürfen eingesetzten, eigenen Zeiger. Insbesondere hat sich gezeigt, daß sich Daten des Stückzählers in den Anfangs-Abschnitten der in dem EEPROM-Speicher zu speichernden Datensätze als ein logischer Datensatz-Zeiger benützen lassen, wobei der Zeiger angibt, an welche Stelle der Datensatz nach dem Auftreten einer Beförderung zu schreiben ist. In der speziell offenbarten Ausführungsform sind es die letzten fünf "LSB- Bits" des Stückzählers, die den Logikzeiger für den Datensatz bilden, in den die Daten zu schreiben sind.
Ferner hat sich gezeigt, daß sich durch Ablegen der Stückzähldaten im Anfangs-Abschnitt jedes Datensatzes eine schnelle Bestimmung des zuletzt in dem EEPROM-Speicher abgelegten Datensatzes durchführen läßt, und zwar ohne dem aus früheren Systemen bekannten Erfordernis, Anfangs- Abschnitt-Speicherbereichsinformation zweimal pro Beförderungsvorgang zu schreiben, einmal zur Angabe neuer Datensätze und einmal zur Angabe alter Datensätze. Weiterhin ermöglicht diese Technik einen schnellen Zugriff auf gewünschte Datensätze durch eine Methode, die eine schnelle Suche und Identifikation von gewünschter Information erlaubt. Der Speicher ist so organisiert, daß zwei Mengen von 20 Datensätzen in dem EEPROM-Speicher abgelegt sind. Nimmt die Frankiermaschine ihren Betrieb auf, so werden die Speicherbereiche so initialisiert, daß geeignete Daten in allen Speicherbereichen abgelegt sind. Das Benützen der Stückzähldaten in dem Anfangs-Abschnitt jedes Datensatzes erlaubt eine schnelle Identifikation sowohl des ältestens als auch des neuesten (letzten) gespeicherten Datensatzes. Der zuletzt gespeicherte Datensatz enthält die älteste Stückzählzahl, die erst nach dem Abschluß eines Beförderungsvorgangs aktualisiert wird.
Hierdurch und mit Hilfe von Information, die dem Stand des Postwertes entspricht und in einem Ringpuffer im nichtflüchtigen Speicher vor dem Beginn eines Beförderungsvorgangs abgelegt ist, ist es möglich, beim Auftreten irgendeiner Fehlfunktion eine Rekonstruktion unter Benützung der im Ringpuffer abgelegten Postwertdaten und des aktuellsten (letzten) Datensatzes zum Überwinden des Fehlers durchzuführen, und zwar indem die Postwert-Ringpuffer- Einstellung zum Aktualisieren der Datensätze benützt wird. Hierdurch wird ein Außerdienststellen der Frankiermaschinen aufgrund der Tatsache, daß eine Möglichkeit zum Ausgleichen eines "schlechten Beförderungsvorgangs" nicht vorgesehen ist - also einen Frankiermaschinen-Betrieb, bei dem die einen Beförderungsvorgang treffenden Daten nicht korrekt erfaßt sind - vermieden. Ein weiteres Merkmal der Speicherorganisation besteht in der Aufrechterhaltung von Fehlerzählinformation für eine Anzahl unterschiedlicher Fehlerbedingungen. Dies ermöglicht eine verbesserte Untersuchung von Fehler- und Störungs-Bedingungen, die bei der Frankiermaschine auftreten können, wenn Speicherinhalte gelesen und analysiert werden.
Es ist zu erwähnen, daß die beiden jeweils 20 Datensätze enthaltenden Mengen so entworfen sind, daß der erste Datensatz sämtliche Daten enthält. Dies bedeutet, daß in dem Datensatz ein Programmfehlerzähler gemäß einem Schreibvorgang bei einem nicht-flüchtigen Speicher oder ein Zeiger zum erneuten Abbilden des Datensatzes enthalten ist, sowie ein Schlußzähler (Schreiben für nächsten Beförderungsvorgang), eine zyklische Redundanzprüfung des fallenden Registers, ein fallendes Register, eine zyklische Redundanzprüfung des steigenden Registers, ein steigendes Register, eine zyklische Redundanzprüfung für Daten vom Byte 2 bis zum Byte 10 (Hexadezimalformat), wodurch eine zyklische Redundanzprüfung erfolgt, mit der gewährleistet wird, daß die kritischen Daten korrekt sind, Postwerteinstellung, Stapelmenge, Stapelzähler, PIN-Zahl (nur für Paketregister), Druckerstatus bei Rücksetzen des Beförderungsbits, was bedeutet, daß dieses Byte nur dann geschrieben wird, wenn die Beförderung abgeschlossen ist, und zuletzt eine zyklische Redundanzprüfung für Daten vom Byte 2 zum Byte 1C (Hexadezimalformat), die die zyklische Redundanzprüfung für den gesamten Datensatz darstellt. Im Gegensatz hierzu enthält der Sicherungs-Beförderungs-Datensatz gekürzte Information im Zusammenhang mit kritischen Abrechnungs-Daten, insbesondere die oben erläuterte Information zwischen dem Byte 2 und dem Byte 11 (Hexadezimaldarstellung). Weiterhin wird als Vorgehensweise zum Erhöhen der Sicherheit ein Programmfehlerzähler entsprechend einem Schreibvorgang in einem nicht-flüchtigen Speicher oder ein Zeiger zu einem erneut abgebildeten Datensatz in den Sicherungs-Datensatz eingetragen, wenn auch nicht während einer Transaktion oder eines Beförderungsvorgangs. Ein Fehlerzähler wird nur eingetragen, wenn ein Fehler erfaßt wird und in den Speicher geschrieben wird. Dies trifft auch für den Haupt-Datensatz zu.
Die Software arbeitet so, daß der Abrechnungs-Mikroprozessor kritische Daten beider Beförderungs-Datensätze, die in dem EEPROM gespeichert sind, verifiziert und erneut schreibt, falls dies erforderlich ist. Insbesondere verbleiben nach dem Abschluß eines Beförderungsvorgangs die aktuellen kritischen Daten an drei Stellen in der Frankiermaschine. Ein erster Satz kritischer Daten wird in dem Mikroprozessor-RAM gespeichert, ein zweiter vollständiger Satz von kritischen Daten wird in dem EEPROM-Speicher abgelegt, und ein dritter Satz gekürzter kritischer Daten wird ebenfalls im EEPROM- Speicher abgelegt. Wird bei einem Vergleich (bei dem die Daten des RAMS als korrekte Referenzdaten benützt werden) ein Fehler erfaßt, so erfolgt ein erneuter Schreibschritt. Das heißt, die Daten werden erneut in den EEPROM-Speicher eingetragen und hiernach verglichen, um zu gewährleisten, daß sie mit den im RAM gespeicherten Daten abgeglichen sind. Dies erfolgt sowohl für den im EEPROM gespeicherten, vollständigen Datensatz als auch den in dem EEPROM gespeicherten, gekürzten Daten. Es soll erwähnt werden, daß mit dem vollständigen Datensatz im EEPROM-Speicher ein Vergleich nicht durchgeführt wird; lediglich der kritische Daten-Anteil des vollständigen Datensatzes wird verglichen. Wurde ein Fehler in den kritischen Daten erfaßt und ein erneuter erfolgreicher Schreibvorgang durchgeführt, so wird ein Programmfehlerzähler erhöht, um die bei dem Schreibzugriff auf den EEPROM-Speicher aufgetretenen Schwierigkeiten festzuhalten.
Ein weiteres wesentliches Merkmal der Software besteht in dem erneuten Abbilden des Beförderungs-Datensatzes. Insbesondere der EEPROM-Speicher ist so organisiert, daß in ihm acht Datensatz-Speicherbereiche reserviert sind. Hierbei sind vier Datensatz-Speicherbereiche für den vollständigen Hauptdatensatz und vier Datensatz-Speicherbereiche für den gekürzten Datensatz vorgesehen. Diese Speicherbereiche werden normalerweise während des Betriebs der Frankiermaschine nicht benützt. In dem unwahrscheinlichen Fall, daß ein Fehler bei einem ersten Datensatz-Speicherbereich für entweder den vollständigen Datensatz oder den gekürzten Datensatz auftritt, was auf einen Hardwarefehler, wie einem Speicherzellenfehler oder desgleichen, zurückzuführen sein kann, ist das System so ausgelegt, daß ungenutzte Datensatz- Speicherbereiche aktiviert werden. Dies erfolgt mit einer Zeigertechnik, bei der von den eigentlichen Speicherbereichen auf die neuen aktivierten, zweiten Speicherbereiche verwiesen wird. Ist dies der Fall, so übernimmt der reservierte, zweite Speicherbereich den eigentlichen Speicherbereich. Dies wird ebenfalls mit Hilfe einer Software-Lösung durchgeführt, und diese Fehlerbedingung wird erfaßt, wenn der Programmfehlerzähler für den besonderen Datensatz- Speicherbereich sein Maximum, das in vorliegenden Fall 9 beträgt, übersteigt, oder ein erneuter Schreibversuch mißlingt, wobei hier ein Schreibversuch und der zusätzliche zweite erneute Schreibversuch mißlingen.
Die Software ist so ausgelegt, daß bei seltenem Auftreten eines Fehlers oder einer Übergangsbedingung der Betrieb der Frankiermaschine fortgesetzt wird, jedoch dann, wenn der Übergangsfehler öfters auftritt, die Frankiermaschine vollständig abgekoppelt wird. Springt beispielsweise der Mikroprozessor ungewollt aus irgendeinem Grund zu einem nicht-benützten oder in Reserve gehaltenen Speicherbereich, so wird die Frankiermaschine weiterhin eingesetzt, solange dies nicht zu häufig passiert, beispielsweise nur einmal innerhalb von 10000 Frankiermas hinen-Beförderungs-Zyklen. Andere Fehler lassen sich in de selben Weise handhaben. Dies ermöglicht eine Unterscheidung zwischen Frankiermaschinen, bei denen ein schwerwiegender, aber nur sehr seltener Fehler auftritt, und Frankiermaschinen, bei denen ein schwerwiegender Fehler öfters auftritt und außer Dienst gestellt und korrigiert werden sollten, indem ein Merker in dem nicht-flüchtigen Speicher gesetzt wird, so daß selbst dann, wenn die Fehlerbedingung nicht mehr auftritt, die Frankiermaschine sich nicht durch einen Abschaltvorgang und einen Anschaltvorgang in Gang setzen läßt.
In dem Software-System sind weitere Merkmale vorgesehen, die einen Zugriff auf das in nicht-flüchtigen Speicherbereichen ausgebildete, fallende Register von der Tastatur aus ermöglichen, und mit denen sich ein Auszug des Inhalts des Transaktions-EEPROM-Speichers ohne Außerdienststellung der Frankiermaschine durch eine externe und mit der Frankiermaschine in Verbindung stehende Vorrichtung erzeugen läßt.
Nun soll auf die Zeichnung Bezug genommen werden, in der gleiche Bezugszeichen gleiche Elemente in den unterschiedlichen Figuren bezeichnen.

Funktionsweise der Schaltung

Nun sei auf Fig. 1 Bezug genommen. Eine weitere Ausführung eines Abrechnungs-Steuer-Systems für eine Frankiermaschine ist in der Fig. 5 des oben erwähnten US-Patents Nr. 4 301 507 gezeigt. Das Abrechnungs-System 100 enthält eine Ummantelung 102, deren Wände so ausgebildet sein können, daß sie eine elektromagnetische Abschirmung bewirken. Die innerhalb der Ummantelung 102 enthaltenen Schaltungen sind z.B. ein Abrechnungs-Mikrocomputer 104, der betriebsgemäß mit den beiden nicht-flüchtigen Speichern in Verbindung steht. Der erste nicht-flüchtige Speicher 106 ist ein nicht-flüchtiger Speicher vom EAROM-MNOS-Typ. Der zweite nicht-flüchtige Speicher 108 ist ein nicht-flüchtiger EEPROM-Speicher. Der nicht-flüchtige Speicher 106 kann beispielsweise ein ER3400 sein, wie er von General Instruments Corporation, Hicksville, New York, hergestellt wird und in "EAROM" beschrieben ist, das von General Instruments Corporation im November 1977 veröffentlicht wurde, oder auch in dem von General Instruments Corporation veröffentlichten Bulletin 203A "Einsatz des ER3400". Der zweite nicht-flüchtige Speicher 108 kann ein elektrisch löschbarer und programmierbarer Nur- Lesespeicher mit floatendem Gate sein, beispielsweise der von SEEQ Technology Incorporated, San Jose, Kalifornien, hergestellte EE5516A, der in dem im Februar 1984 von SEEQ Technology Incorporated, San Jose, Kalifornien veröffentlichten vorläufigen Datenblatt "2816A/5516A Zeitgeber-E2-16K elektrisch löschbare ROM-Speicher" beschrieben ist.
Der Abrechnungs-Mikrocomputer 104 steuert die Übertragung gespeicherter Daten auf die beiden nicht-flüchtigen Speicher 106 und 108 gemäß der vorliegenden Erfindung. Der Abrechnungs-Mikrocomputer 104 enthält einen Speicher mit wahlfreiem Zugriff, der für den Betrieb erforderliche steigende Register, fallende Register und dergleichen enthält. Der Abrechnungs-Mikrocomputer 104 enthält auch eine Steuerung des Nur-Lesespeichers für die Durchführung der erforderlichen und detailliert später beschriebenen Abläufe.
Das Abrechnungssystem 100 enthält eine serielle Schnittstelle, an die sich die in der oben erwähnten US- Patentschrift Nr. 4 301 507 offenbarten Druck- und Steuermodule anschließen lassen. Der Mikrocomputer kann beispielsweise ein von Intel Corporation, Santa Clara, Californien, hergestellter Mikrocomputer vom Typ 8051, 8052 oder 8751 sein. Um eine Beschädigung des Abrechnungssystems 100 aufgrund zufällig oder absichtlich angelegter elektrischer Stromstöße zu vermeiden und zum Ausgleichen von über Erdschleifen induzierten, elektrischen Rauschen ist der Abrechnungs-Mikrocomputer 104 mit den außerhalb des Gehäuses 102 befindlichen Vorrichtungen über geeignete Isolatoren verbunden, die keine Spannungsstöße auf den Mikrocomputer übertragen können. Diese Isolatoren können beispielsweise in der Form von optoelektronischen Kopplern gebildet sein und sind ferner vorzugsweise so gebildet, daß sie von außerhalb der Frankiermaschine nicht zugänglich sind. Eine Isolatoreinheit 110 kann für den bidirektionalen Verbindungsweg mit der Steuereinheit vorgesehen sein. Eine weitere Isolatoreinheit kann für die bidirektionale Verbindung mit der Druckereinheit vorgesehen sein. Eine weitere Isolatoreinheit 114 kann vorgesehen sein, um das Netzzustandssignal zu dem Mikrocomputer 104 zu leiten. Zusätzlich kann eine Isolatoreinheit 116 zum Steuern einer Eingriffs-Vorrichtung des Druckers zum Probieren von Druckerfunktionen in mechanischer Weise vorgesehen sein. Der Zweck der Netzsteuerschaltung 118 besteht darin, die Stromversorgung des Systems während eines Abschaltvorgangs bei einem Ausfall der externen Netzversorgung zu gewährleisten, damit ein Datenübertragungsbetrieb durchgeführt werden kann. Das Programm der Mikrocomputereinheit 104 ist so aufgebaut, daß der Registerinhalt des Mikrocomputers und - falls erforderlich - des RAM-Speichers in die nicht-flüchtigen Speicher 106 und 108 übertragen wird, sobald ein Indiz für den Ausfall der Netzversorgung vorliegt, wobei nach der Wiederherstellung der Netzversorgung diese Daten wieder in die Arbeitsregister geladen werden, wie weiter unten beschrieben werden wird.
Das Gehäuse 102 kann weiterhin einen Temperatursensor 120 mit geeigneten, nicht gezeigten Schaltungen enthalten, so daß der Mikrocomputer im Falle des Auftretens einer Übertemperatur bei Eingabe eines Netzausfallmodus Daten in den nichtflüchtigen Speicher überträgt, beispielsweise wenn die Temperatur entweder über oder unterhalb vorbestimmter Grenzen liegt, wie 70ºC oder 0ºC.
Im Falle übermäßig hoher Temperaturen kann mit Hilfe des Isolators 116 eine Betätigung des nichtgezeigten Frankiermaschinen-Überlagerungs-Elektromagneten durch das System vermieden werden. Vorzugsweise wird die Überlappungs- Vorrichtung durch den Mikrocomputer 104 gesteuert, insbesondere auch, um den Betrieb des Druckers dann zu unterbinden, wenn nur ein unzureichender Postwert für einen Druckvorgang verbleibt oder andere Abrechnungsdaten anzeigen, daß die Frankiermaschine nicht betrieben werden sollte.
Obgleich die Isolatoren als einzeln ausgebildete Einheiten dargestellt sind, ist natürlich offensichtlich, daß diese Einheiten mehrere Vorrichtungen so enthalten können, daß eine bidirektionale Kommunikation in den einzelnen Schaltungen erfolgt.
Nun sei auf die Fig. 2 Bezug genommen. Der Abrechnungs- Mikrocomputer 104 ist mit den beiden nicht-flüchtigen Speichern 106 und 108 verbunden. Die Adreß-Schnittstelle des nicht-flüchtigen EEPROM-Speichers 108 ist mit dem Mikrocomputer 104 über einen Adressen-Schalter 122 verbunden. Die höherwertigen Adreßanschlüsse A8, A9 und A10 sind direkt mit dem Anschluß 2 des Mikrocomputers 104 verbunden. Die Datenleitungen des nicht-flüchtigen Speichers 108 sind direkt mit dem Anschluß "0" des Mikrocomputers 104 und zusätzlich mit einem externen PROM-Speicher 124 verbunden. Der PROM- Speicher 124 kann Extra-Programmspeicherkapazität für die Frankiermaschinen-Abrechnungs-Schaltung zur Verfügung stellen oder alternativ hierzu zum Speichern eines Diagnose-Programms zum Testen von Fehlern und Ausfällen der Frankiermaschine dienen. Die Adreßleitungen A0 bis A7 des nicht-flüchtigen MNOS-Speichers sind direkt mit dem Anschluß 0 des Mikrocomputers 104 verbunden. Die höherwertigen Adreßbits A8 und A9 sind mit dem Anschluß 2 des Mikrocomputers 104 verbunden. Die vier Byte-Daten-Eingangs/Ausgangs-Anschlüsse D0 bis D3 sind direkt mit dem Anschluß 2 des Mikrocomputers verbunden.
Der nicht-flüchtige Speicher 106 weist zwei Steuerleitungen C0 und C1 auf, mit denen der jeweils durchzuführende Betrieb festgelegt wird, d.h. Lesen, Schreiben oder Löschen; ferner weist der Speicher 106 einen Freigabe-Anschluß und einen Chip-Freigabe-Anschluß auf. Die beiden Anschlüsse sind mit den höherwertigen oberen zwei Pins des Anschlusses 1 des Mikrocomputers 104 verbunden. Die Steuerleitungen C0 und C1 werden, ausgehend von der Schnittstelle 1 des Mikrocomputers 104, mit Hilfe einer Blocklöschungs-Unterbindungs-Schaltung 126 betrieben. Diese Anordnung ist detailliert in der US- Patentanmeldung Nr. 397 395 beschrieben, die am 12. Juli 1984 auf den Namen Tom Germaine und Paul C. Kroll mit dem Titel "Sicherheitssystem für den Einsatz in elektronischen Frankiermaschinen zur Unterbindung von blockweisem Löschen von Daten" hinterlegt wurde. Die Adreß- und Datenleitungen des nicht-flüchtigen Speichers 106 sind mit der +5-Volt- Stromversorgung über eine Serienschaltung von Lade- Widerständen 128 und 130 verbunden. Die Lade-Widerstände gewährleisten zusammen mit der +5-Volt-Stromversorgung, daß die H-Pegelspannung an jedem Anschluß über einem vorbestimmten Pegel, wie beispielsweise +3,6 Volt, liegt, so daß der H-Pegel über einem festgelegten Schwellwert für die Vorrichtung liegt.
Der nicht-flüchtige Speicher 108 enthält drei Steueranschlüsse, einen Chip-Freigabe-Anschluß, einen Schreib-Freigabe-Anschluß und einen Ausgangs-Freigabe- Anschluß, die mit dem Mikrocomputer 104 verbunden sind. Die Chip-Freigabe und die Schreib-Freigabe-Leitungen sind mit dem Mikrocomputer über eine Schaltung verbunden, die zwei UND- Gatter 132 und 134 vom Negativ-Logik-Typ enthält. Jeder dieser Gatter erzeugt ein L-Ausgangssignal bei einem Auftreten von zwei L-Eingangssignalen an den jeweiligen beiden Eingangsanschlüssen. Die Vorrichtungen 132 und 134 werden gemeinsam mit einem NPN-Transistor 136 betrieben, um den Inhalt des nicht-flüchtigen Speichers 108 zu schützen, falls ein Netzausfall für die Betriebsspannung eines Systems festgestellt wird. Die Schaltung wird gemeinsam mit der in dem nicht-flüchtigen Speicher enthaltenen Schaltung betrieben, um zu gewährleisten, daß sich der nicht-flüchtige Speicher 108 in einem bestimmten Zustand befindet. Wenn die Betriebsspannung der Schaltung unter einen vorbestimmten Pegel fällt, jedoch über einem für die Aktivierung der ettikrierten Schutzschaltung des Speichers 108 erforderlichen Spannungspegel von 3 Volt, so gewährleistet die die Vorrichtungen 132, 134 und 136 enthaltende Schaltung einen geeigneten Schutz für den Speicher 108.
Ein UND-Gatter 138 vom Negativ-Typ ist für Herstellungs-Test- Zwecke vorgesehen. Einer der Eingänge des Gatters 138 ist mit Erde über einen Widerstand verbunden, um das Gatter 138 in einen im wesentlichen abgeschalteten Zustand zu halten. Wird er an eine hohe Spannung angeschlossen, so bewirkt das UND- Gatter 138 vom Negativtyp ein Abschalten der Datenleitungen der Vorrichtungen 124, indem die Ausgangs-Freigabe-Anschlüsse der Vorrichtungen auf H-Pegel gelegt werden.
Es ist eine Netzausfall- und Logik-Rücksetz-Schaltung 140 vorgesehen. Diese Schaltung bewirkt ein Halten des Mikroprozessors 104 in einem Rücksetz-Modus, bis die Spannungen auf einen ausreichenden und stabilisierten Wert angestiegen sind. Zusätzlich bewirkt die Schaltung bei Durchführung eines Abschalt-Vorgangs im Falle eines Netzausfalls, daß das Rücksetz-Signal gesperrt wird, bis eine Interrupt-Routine initiiert und abgeschlossen ist. Danach bewirkt die Schaltung ein bestimmtes Anlegen eines Rücksetz- Signals und ein fortlaufendes Anlegen dieses Signals bei Abfallen der Spannung.
Wenn die Spannung ansteigt und bevor die Spannung einen Pegel erreicht, indem sie stabilisiert ist, fließt kein Strom über die Fotodiode 142 des optischen Isolators. Demnach ist der Foto-Transistor 146 des Ausgangs des optischen Isolators nicht leitend. Hierdurch wird das Ausgangssignal des optischen Isolators auf einem H-Pegel bei Ansteigen der Spannung auf die +5-Volt-Versorgungsspannung gehalten. Hierdurch entsteht ein Hysterese-Puffer 148, der eine hohe Ausgangsspannung gewährleistet, wodurch mit Hilfe des NAND- Gatters 150 ein aktives Signal an dem Interrupt-Anschluß des Mikrocomputers 104 aufrechterhalten wird. Dies bewirkt ein Nichtaktivsein des Mikroprozessors, da - wie weiter unten erklärt werden wird - der Mikroprozessor in einem Reset-Modus gehalten wird, der das Interrupt-Signal überlagert. Die hohe Spannung am Ausgang des Hysterese-Puffers 148 wird über einen Widerstand 152 an eine Diode 154 angeschlossen, die mit der Basis-Elektrode eines PNP-Transistors 156 angeschlossen ist. Hierdurch wird der Transistor 156 in den nicht-leitenden Zustand überführt, was dazu führt, daß der NPN-Transistor 158 in den nicht-leitenden Zustand überführt wird. Dem Ergebnis folgt der Rücksetz-Anschluß der Spannung der +5-Volt-Stromversorgung und bleibt bei einem Ansteigen der Spannung aktiv.
Wenn die Spannung auf einen ausreichenden Pegel angestiegen und stabilisiert ist, beginnt ein Strom durch die Fotodiode 142 zu fließen, und der Foto-Transistor 146 wird in den leitenden Zustand überführt. Dies bewirkt ein Absinken der Eingangsspannung des Hysterese-Puffers 148, so daß auch dessen Ausgang absinkt. Im Ergebnis wird der Transistor 156 in den leitenden Zustand überführt, wodurch auch der Transistor 158 leitend wird. Demnach ist das Rücksetz-Signal des Mikrocomputers 104 nicht mehr wirksam, und entsprechend ist das am NAND-Gatter 150 angelegte aktive Interrupt-Signal unwirksam.
Die Interrupt-Leitung geht in den aktiven Zustand über, wenn der Foto-Transistor 146 nicht leitend wird, weil entweder ein Netzausfall-Erfassungs-Signal zu einer Unterbrechung des Stromflusses durch die Fotodiode 142 führt oder ein Fehler beim Anlegen der -30 Volt ein Absinken der Spannung auf Erdpotential bewirkt. Dies ist darauf zurückzuführen, daß an dem Hysterese-Puffer 148 ein hohes Eingangssignal anliegt, was zu einem hohen und am NAND-Gatter 150 anliegenden Ausgangssignal führt. Hierdurch liegt ein niedriges Ausgangssignal an der Interrupt-Leitung an, und der programmgesteuerte Mikrocomputer 104 verarbeitet eine Interrupt-Netzausfall-Routine.
Der Mikrocomputer geht in den programmgesteuerten Modus über, nachdem die Betriebsspannungen ihre geeigneten Pegel erreicht haben und stabilisiert sind. Der Mikrocomputer setzt seinen Betrieb und die Ausführung der Frankiermaschinen- Hauptprogramm-Funktionen solange fort, bis ein Netzausfall entweder am Eingangsanschluß der Fotodiode 142 auftritt, was zur Unterbrechung des Stromflusses führt, oder ein Fehler bei der -30-Volt-Versorgung auftritt, die über die Zener-Diode 160 an die Emitter-Elektrode des Transistors 146 angeschlossen ist. Tritt entweder ein Fehler in der Netz- Erfassungs-Schaltung auf oder steigt die Spannung der -30-Volt-Versorgung, so geht der Foto-Transistor 146 in den nicht-leitenden Zustand über, wodurch die Diode 154 nichtleitend wird. Dennoch wird unter Steuerung eines Programms ein NPN-Transistor 162 im leitenden Zustand gehalten, bis der erforderliche Abschalt-Vorgang abgeschlossen ist. Dies geschieht, indem die Emitter-Elektrode des Transistors 162 über einen Widerstand 164 mit einem dritten Anschluß des Anschlusses 3 verbunden ist. Der Transistor 156 verbleibt weiterhin im leitenden Zustand, indem die Basis-Elektrode über den Kollektor-Emitter-Strompfad des Transistors 162 und dem Anschluß 33 des Mikrocomputers 104 mit Erde verbunden ist. Der Transistor 158 wird leitend gehalten, bis die Abschalt-Routine abgeschlossen ist, und die Spannung am Anschluß 33 steigt auf H-Pegel an, wodurch der Transistor 162 nicht-leitend wird. In diesem Fall wird der Transistor 156 nicht-leitend. Im Ergebnis wird der Transistor 158 nichtleitend, und auf der Rücksetz-Leitung liegt das Rücksetz- Signal an. Der Mikrocomputer geht in den Rücksetz-Modus über und verbleibt bei fallender Spannung in diesem Modus.
Eine Abfolge-Steuer-Schaltung 166 ist zum Steuern der Abfolge vorgesehen, gemäß der Betriebbspannung an dem MNOS-Speicher 106 angelegt werden. Für den ordnungsgemäßen Betrieb ist beim MNOS-Speicher das aufeinanderfolgende Anlegen von drei unterschiedlichen Spannungen erforderlich. Dies erfolgt unter Steuerung der Abfolge-Steuerungs-Schaltung 166. Bei ansteigender Spannung liegt eine +5-Volt-Tiefspannung an dem nicht gezeigten MNOS-Anschluß 22 an. Es sollte erwähnt werden, daß die +5 Volt an die zahlreichen Vorrichtungen als Vcc angelegt werden und in dem schematischen Schaltbild nicht extra dargestellt sind. Die +5 Volt werden erzeugt, indem die Stromversorgung des Systems angeschaltet wird. Hiernach liegen -12 Volt an dem Pin Vdd des MNOS-Speichers an. Die -12 Volt werden an die Mikrocomputer unter Software-Steuerung angelegt. Insbesondere geht der Anschluß 30 auf L-Pegel, wodurch der PNP-Transistor 168 in den leitenden Zustand überführt wird. Mit steigende Spannung an der Transistor Kollektor-Elektrode geht ein MOS-FET-Transistor 170 in den leitenden Zustand über. Hierdurch wird die an der MOS-FET- Source-Elektrode anliegende Spannung von -12 Volt über den Transistorkanal an den Abschluß 2 des Speichers 106 angekoppelt. Ein Widerstand 172 verbindet den Abschluß 2 mit Erde, zur Erzeugung eines statischen Entladungspfades und zum Schützen der Vorrichtung.
Beim Abschalten des Systems und solange die -12 Volt am Abschluß 2 des Speichers 106 anliegen, wird ein MOS- Feldeffekt-Transistor 174, dessen Gate-Elektrode mit dem Mikrocomputer-Abschluß 31 verbunden ist, durch die über den Widerstand 176 an seiner Gate-Elektrode anliegenden +5 Volt in den leitenden Zustand überführt. Hierdurch wird der PNP- Transistor 178 in den leitenden Zustand überführt und +5 Volt liegen am Abschluß 1, Vgg des Speichers 106 an. Dies ist auf die Tatsache zurückzuführen, daß bei der ER3400-Vorrichtung das Ablegen von +5 oder -30 Volt an diesem besonderen Abschluß erforderlich ist, um einen undefinierten Zustand innerhalb der Vorrichtung zu vermeiden, der sich negativ auf den Betrieb des Speichers auswirken würde; beispielsweise könnte ein Latch-up-Vorgang einen Zugriff auf die Speicherbereiche verhindern. Werden -12 Volt an den Abschluß 2 des nicht-flüchtigen MNOS-Speicher 106 angelegt, so bewirkt der Mikrocomputer 104, daß die +5 Volt nicht mehr am Abschluß 1 anliegen, wodurch der Abschluß 31 auf L-Pegel geht. Die Programmsteuerung des Mikrocomputers 104 bewirkt, daß der Abschluß 31 an seinem H-Zustand in seinen L-Zustand nur dann übergeht, nachdem gewisse Routinen abgeschlossen sind, um zu gewährleisten, daß ein Schreib-Zugriff auf den nichtflüchtigen MNOS-Speicher 106 wirklich durchgeführt wird, um den Speicherbereich-Inhalt zu verändern. Tritt diese Bedingung ein, so sinkt - wie vorher beschrieben - der Abschluß 31 auf L-Pegel ab, wodurch der MOS-FET-Transistor 174 in den nicht-leitenden Zustand überführt wird, so daß der PNP-Transistor 178 in den nicht-leitenden Zustand überführt wird, was dazu führt, daß an dem Abschluß 1 des Speichers nicht mehr +5 Volt anliegen. Gleichzeitig wird ein MOS-FET- Transistor 180 in den nicht-leitenden Zustand überführt, wodurch andererseits ein PNP-Transistor 182 in den nichtleitenden Zustand überführt wird. Wird der Transistor 182 leitend, so bewirkt dies ein Überführen eines MOS-FET- Transistors 184 in den leitenden Zustand, was dazu führt, daß -30 Volt über den Drain-Source-Elektroden-Kanal am Abschluß 1 des nicht-flüchtigen MNOS-Speichers 106 anliegen. Nach dem Durchlaufen dieser Folge kann der Mikrocomputer 104 auf Speicherbereiche des nicht-flüchtigen Speichers 106 zugreifen und in diese Speicherbereiche schreiben.
Nach dem Abschluß eines Schreib-Zugriffs wird der Abschluß 31 in den H-Zustand überführt, und der FET-MOS-Transistor 184 wird ohne die -30 Volt nicht leitend, und der PNP-Transistor 178 wird durch das Anlegen von +5 Volt an dem Abschluß 1 in den leitenden Zustand überführt. Ein Hysterese-Effekt wird durch die Widerstände 186 und 187 zusammen mit der am Transistor 178 angeschlossenen Kapazität 188 und dem Widerstand 190 zusammen mit der an Transistor 182 angeschlossenen Kapazität 192 bewirkt. Die Kennwerte dieser Komponenten werden derart gewählt, daß mit beiden Vorrichtungen ein gleichzeitiges Anlegen von Spannungen an dem Abschluß nicht möglich ist. Somit wird jede Vorrichtung und ihre zugeordnete Spannung am Abschluß 1 unwirksam, bevor die andere Vorrichtung mit ihrer zugeordneten Spannung am Abschluß 1 wirksam wird.
Die Kommunikation zwischen dem Drucker-Mikrocomputer, dem Steuer-Modul-Mikrocomputer und der Überlagerungs-Vorrichtung erfolgt mit Hilfe von optischen Isolatoren zusammen mit einem Hysterese-Puffer. Demnach wird der optische Isolator 116 bei einem Hysterese-Puffer 184 an den Abschluß 12 des Mikrocomputers 104 angekoppelt. Es ist zu erwähnen, daß es sich hier um einen unidirektionalen, seriellen Kommunikationskanal von dem Mikrocomputer 104 zu der Überlagerungs-Steuerung handelt. Die Kommunikation von dem Steuer-Modul zu dem Mikrocomputer erfolgt über einen optischen Isolator 110R und einen Hysterese-Puffer 126 zu dem TO-Abschluß des Mikrocomputers 104. Die Kommunikation von dem Mikrocomputer 104 zu dem Steuer-Modul erfolgt über den Hysterese-Puffer 198 und den optischen Isolator 110T.
Schließlich erfolgt die Kommunikation von dem Drucker- Mikrocomputer über den optischen Isolator 112R und den Hysterese-Puffer 200, und die Kommunikation von dem Mikrocomputer 104 zu dem Drucker-Mikrocomputer erfolgt über den Hysterese-Puffer 210, der mit dem Abschluß 11 und dem optischen Isolator 112T verbunden ist.
Es ist zu erwähnen, daß die niederwertigen Pins des Abschlusses 2 des Mikrocomputers 104 mit den höherwertigen Adreß-Pins sowohl des nicht-flüchtigen MNOS-Speichers 106 als auch des nicht-flüchtigen EEPROM-Speichers 108 verbunden sind. Die höherwertigen Pins des Abschlusses 2 werden als Datenanschlüsse des Mikrocomputers 104 zum nicht-flüchtigen MNOS-Speicher 106 benützt. Wird auf den EEPROM-Speicher 108 zum Schreiben oder Lesen zugegriffen, so muß der Mikrocomputer 104 eine 16-Bit-Adresse abgeben, wobei die Software die Adresse des EEPROM-Speichers 108 derart auswählt, daß sie Daten-Eingangspins des Speichers 106 auf H- Pegel liegen. Somit ist in dem Fall, daß in unbeabsichtigter Weise Rauschen auf der Steuerleitung (Schreib-Freigabe, Chip- Freigabe C0 und C1) auftritt, was normalerweise dazu führen würde, daß Daten in den MNOS-Speicher 106 geschrieben würden, dieser immer noch gegen ein Überschreiben geschützt, da das Schreiben einer 1 auf eine 0 bei einem nicht-flüchtigen Speicher vom ER3400-Typ nicht ein Überschreiben des Dateninhalts mit einer 1 ermöglicht. In den Speicherbereichen, in denen bereits eine 1 vorliegt, hat das Schreiben keine Auswirkung. Zusätzlich besteht in dem vorliegenden System aufgrund seiner besonderen Architektur ein hohes Maß der Isolation zwischen dem zum Lesen und Schreiben der nicht-flüchtigen Speicher 106 und 108 eingesetzten Schaltungen. Insbesondere werden nur 10 Adreß- Leitungen zwischen den beiden nicht-flüchtigen Speichern 106 und 108 geteilt. Besonders die Abschlüsse P00 bis P07 des Abschlusses 0 des Mikrocomputers 104 werden durch die Vorrichtungen, die Speicher 106 und 108 sowie einem externen Programmspeicher 124 gleichzeitig benützt. Zusätzlich werden die Abschlüsse P00 und 21 des Abschlusses 2 (Adresse A8 und 9) mit den höherwertigen Adreß-Pins der drei Speicher- Vorrichtungen 106, 108 und 124 verbunden. Weiterhin werden beim Abschluß 2 die Abschlüsse A11, 12, 13 und 14 mit den Datenleitungen des nicht-flüchtigen Speichers 106 verbunden. Schließlich ist der Abschluß A15 des Anschlusses 2 mit den Freigabe-Leitungen der Vorrichtungen 108 und 124 zum Steuern des Chips verbunden.
Es sei hier ausdrücklich betont, daß dann, wenn das in dem externen Programmspeicher 124 gespeicherte Programm zum Steuern des Betriebs des Mikrocomputers 104 benützt wird, die besondere Systemkonfiguration einen bestmöglichen Schutz des nicht-flüchtigen Speichers 106 in einer Weise bewirkt, der demjenigen während des Betriebs des nicht-flüchtigen Speichers 108 entspricht.
Wie weiter im Zusammenhang mit der Erklärung der Flußdiagramme erläutert werden wird, erfolgt der Zugriff auf den nicht-flüchtigen Speicher 106 und 108 mit Hilfe von unterschiedlichen Mikroprozessor-Befehlen. Der Zugriff auf den nicht-flüchtigen MNOS-Speicher 106 erfolgt durch Eingabe/Ausgabe-Abbilde-Techniken. Im Gegensatz hierzu erfolgt der Zugriff auf den nicht-flüchtigen EEPROM-Speicher 108 mit Hilfe von Speicher-Abbilde-Techniken. Durch den Einsatz von zwei unterschiedlichen Zugriffs-Techniken, die an die unterschiedlichen Hardware-Architekturen angepaßt sind und nicht von inhärenten Adressierungs- und Zugriffs- Techniken der Vorrichtungen selbst abhängen, läßt sich ein weiterer Schutz in den ungewollten Zugriff auf den falschen Speicher oder auf eine falsche Adresse beim Ausführen des Überschreibe-Befehls für einen bestimmten Speicher erzielen. Demnach zeigt sich, daß auf die beiden Speicher nicht jeweils beispielsweise mit einer Speicher-Abbildung mit jeweils unterschiedlichen Bereichen zugegriffen wird, weil der ungewollte Einsatz einer Adresse in dem falschen Bereich einen Zugriff auf den falschen Speicher bewirken könnte. Es sei nochmals betont, daß auf beide Speicher nicht mit Hilfe einer Eingabe-/Ausgabe-Abbildung zugegriffen wird, bei der wiederum ein falscher Eingabe- oder Ausgabe-Adreß-Befehl zu einem Zugriff auf den falschen Speicher führen könnte. Dies ist darauf zurückzuführen, daß die Speicher-Abbilde-Zugriffs- Befehle die Schreib-Leitungen und die Lese-Leitung des Mikrocomputers 104 aktivieren (Abschlüsse 16 und 17). Jedoch sind diese Leitungen lediglich mit dem nicht-flüchtigen EEPROM-Speicher 108 und nicht mit dem MNOS-Speicher 106 verbunden. Die Eingabe-/Ausgabe-Abbilde-Befehle werden über die höherwertigen Pins des Abschlusses 1 des Mikrocomputers 104 (Abschlüsse 5, 6, 7 und 8) wirksam, die nur mit dem nicht-flüchtigen Speicher 106 verbunden sind.

Ablauf des Betriebs der Frankiermaschine

Die Fig. 3 bis 8 zeigen Flußdiagramme, die den Ablauf des Betriebs des Frankiermaschinen-Abrechnungssystems 100 zeigen.
Nun sei auf Fig. 3 Bezug genommen, das die Abrechnungsmodul- Hauptprogramm-Abfolge zeigt. Das Flußdiagramm verdeutlicht den Betrieb der Abrechnungseinheit 100, nachdem die Ablauf- Routine abgeschlossen ist. Sie entspricht dem Normalbetrieb des Abrechnungsmoduls. Es soll insbesondere betont werden, daß der Betrieb das Empfangen und Verarbeiten des Druckerstatus miteinbezieht und in Abhängigkeit hiervon zwei Beförderungs-Datensätze in den EEPROM-Speicher 108 geschrieben werden. Zusätzlich wird in diesem Fall ein Beförderungs-Merker gesetzt. Kehrt der Mikroprozessor 104 während seines Betriebs in die Hauptprogramm-Abfolge zurück und führt er seine Verarbeitung fort, so erreicht er einen Abfrageblock, in dem ein Setzen des Beförderungs-Merkers überprüft wird. Ist der Beförderungs-Merker gesetzt, so setzt er den Merker zurück und verifiziert/überschreibt die Beförderungs-Datensätze. Insbesondere wird verifiziert, daß der Beförderungs-Datensatz richtig geschrieben wurde, und falls er nicht geschrieben wurde, erfolgen Versuche, die Daten in den Speicherbereichen neu zu schreiben. Es ist zu erwähnen, daß in den MNOS-Speicher 106 lediglich während eines Abschaltvorgangs geschrieben wird (vgl. Fig. 18) Zusätzlich wird der nicht-flüchtige MNOS-Speicher 106 nach einem Umschalten der Frankiermaschine zwischen ihrem Normalund Wartungsmodus aktualisiert.
Nun sei auf Fig. 4 Bezug genommen, die die Beförderungs- Verarbeitung des Abrechnungsmoduls verdeutlicht. Das Flußdiagramm zeigt die Art und Weise, in der ein Schreibvorgang in den nicht-flüchtigen EEPROM-Speicher 108 durchgeführt wird.
Wird ein Postdruckvorgang oder eine Nachlieferung erfaßt, so führt der Abrechnungs-Mikroprozessor unter Programmsteuerung die folgenden Teilschritte durch. Er schreibt die beiden am weitestens rechtsliegenden Zahlen des nicht inkrementierten Stückzählers (Abzahl der während des Betriebs der Frankiermaschine verarbeiteten Stücke) als einen zum "abschließen" des vorhergehenden Transaktions-Datensatzes. Er setzt weiterhin den Beförderungs-Merker in dem Maschinenstatus. Weiterhin aktualisiert der Mikrocomputer 104 die Abrechnungsdaten in dem Mikroprozessor-RAM-Speicher und führt einen Steuerungs- Summentest durch. Die Steuerungssumme ist die Summe des steigenden Registers und des fallenden Registers der Frankiermaschine, die gleich der Kontrollsumme sein sollte.
Zusätzlich schreibt der Mikrocomputer 104 einen Abschnitt des aktuellen logischen Transaktions-Datensatzes, der den Stückzähler enthält, sowie die zyklische Prüfsumme (CRC) des fallenden Registers und den Wert des fallenden Registers. Eine zyklische Teil-Prüfsumme für die Daten-Zeichenkette wird in einem temporären RAM-Speicherbereich akkumuliert und gespeichert. Der unter Programmsteuerung arbeitende Mikrocomputer 104 sendet die Abrechnungs-Abschluß-Mitteilung zu dem Druckermodul. Er schreibt weiterhin die Prüfsumme (CRC) des fallenden Registers sowie den Wert des fallenden Registers und die Prüfsumme (CRC) der Datenzeichenkette des Stückzählers in das steigende Register. Weiterhin wird der neue Status empfangen und verarbeitet, wenn das Druckermodul eine Anforderung zum Senden eines Signals ausgibt. Das Kommunikationsprotokoll für die zahlreichen Module ist vollständig in dem oben erwähnten US-Patent Nr. 4 301 507 beschrieben.
Der Mikrocomputer 104 schreibt in den aktuellen Transaktions- Datensatz den Postwert, die Stapelmenge, den Stapelzähler und die Paket-Identifikationsnummer (PIN), sofern es sich um eine Paket-Verarbeiteeinheit anstelle einer Frankiermaschine handelt. Weiterhin wird die Prüfsumme der Zeichenkette (CRC) akkumuliert.
Das Programm bewirkt, daß der Mikrocomputer 104 die letzte Speicheradresse des eigentlichen vollständigen Beförderungs- Datensatzes auf einem Stack-Speicher ablegt. Abschließend wird der Sicherungs-Beförderungs-Datensatz (oder abgekürzte Beförderungs-Datensatz) in einer Byte-nach-Byte Art und Weise geschrieben, so daß eine Sendeanforderung des Druckers sofort bearbeitet werden kann. Nach dem Schreiben des Sicherungs- Beförderungs-Datensatzes wartet der Mikrocomputer 104 solange, bis das Beförderungs-Bit in dem Printer-Status gelöscht ist und holt anschließend aus dem Stack-Speicher die Speicheradresse des eigentlichen Beförderungs-Datensatzes und schreibt den neuen Drucker-Status und die Prüfsumme (CRC) der Daten-Zeichenkette des gesamten eigentlichen Beförderungs- Datensatzes. Der Mikrocomputer 104 überprüft den Wechsel der Grundposition und die Synchronisation zwischen der Grundposition und dem Stückzähler auf eine Fehler-Bedingung hin. Dies erfolgt, um festzustellen, ob die Frankiermaschine ordnungsgemäß arbeitet. Der Mikrocomputer setzt einen Beförderungs-Merker, was später zu einer Überprüfung des Beförderungs-Datensatzes führt. Abschließend wird der Frankiermaschinen-Status mit gesetzten Beförderungs-Abschluß- Bit zu der Steuereinheit übertragen. Das Beförderungs-Bit wird gelöscht, wenn die nach außen hin erfolgende Übertragung erfolgreich durchgeführt wird. Ist dies erreicht, so kehrt das Programm in die Hauptprogramm-Abfolge zurück.
Es sei erwähnt, daß der in jedem eigentlichen Beförderungs- Datensatz gespeicherte Postwert nur für die Rekonstruktion der Postgebühren benützt wird, im Falle eines schwerwiegenden Speicherfehlers, der zum Außerdienstsetzen der Frankiermaschine führt. Er wird durch die Wartungs-Abteilung zum Abalysieren der Daten benützt, die in einer zurückgegebenen Frankiermaschine gespeichert sind. Während des Anlauf-Ladevorgangs in dem temporären RAM-Speicher wird der von dem eigentlichen Beförderungs-Datensatz gelesene Postwert durch den Postwert-Setzwert überschrieben, der von dem Post-Ringpuffer gelesen wird, in dem immer der aktuelle Postwert gespeichert ist. Ist demnach der Postwert nach einer Beförderung verändert, so wird die aktuelle Einstellung anstelle der Einstellung gemäß der letzten Beförderung in dem Speicher mit wahlfreiem Zugriff des Mikrocomputers geladen.
Nun sei auf Fig. 5 Bezug genommen, die die Block- Schreiberroutine für den nicht-flüchtigen Speicher zeigt. Die Routine wird aufgerufen, wenn ein Schreibvorgang in einem Block des nicht-flüchtigen EEPROM-Speichers 106 und den nicht-flüchtigen MNOS-Speicher 108 durchgeführt werden soll. Dies ist nur während des Abschalt-Vorgangs des Moduls erforderlich, oder wenn der Frankiermaschinen-Modus von dem Normalmodus in den Wartungsmodus durch Betätigen des Wartungsschalters überführt wird, so wie es in dem US-Patent Nr. 4 301 507 beschrieben ist. Es soll hier erwähnt werden, daß das Programm einen Schreibzugriff des Mikrocomputers 104 ohne Warten zum Schreiben eines Daten-Bytes in dem nicht- flüchtigen EEPROM-Speicher 106 auslöst. Er schreibt unmittelbar zwei Einheiten von vier Bits in dem nicht- flüchtigen MNOS-Speicher 108 mit einem Warte- und Prüfschritt, was bedeutet, daß die in die Speicherbereiche zu speichernden Daten zurückgelesen und verifiziert werden, um zu überprüfen, ob sie tatsächlich geschrieben wurden.
Da eine Abschalt-Unterbrechung jederzeit auftreten kann, kann es erforderlich sein, beim Auftreten einer Abschalt- Unterbrechung Information in beide nicht-flüchtige Speicher 106 und 108 einzutragen. Um die Möglichkeit auszuschließen, daß ein Schreibzugriff auf den nicht-flüchtigen EEPROM- Speicher 106 innerhalb der letzten zwei Millisekunden erfolgt, wurde die Schreibroutine für den nicht-flüchtigen Speicherblock so ausgebildet, daß ein derartiger Schreibzugriff auf den nicht-flüchtigen EEPROM-Speicher 106 solange nicht erfolgt, bis die Verarbeitungs-Schleife über mindestens zwei Millisekunden hinweg durchlaufen wurde. Somit tritt der erste Daten-Schreibzugriff auf den nicht-flüchtigen EEPROM-Speicher 106 erst nach dem Schreiben der Abfangsabschnitte in den nicht-flüchtigen MNOS-Speicher 108 auf. Da dies ein Abfangsabschnitt mit zwei Einheiten ist, dauert der Abschluß des Schreibzyklus länger als zwei Millisekunden.
Nun sei Bezug auf Fig. 6 genommen, die die Abschalt- Verarbeitungsfolge zeigt. Diese Routine zeigt die Arbeitsweise der Abrechnungs-Einheit 100, wenn eine Abschalt- Situation auftritt. Es ist zu erwähnen, daß dann, wenn die Blöcke des nicht-flüchtigen Speichers vollständig geschrieben sind, die Routine die Verbindung zwischen der Netzausfall- und Rücksetz-Schaltung zu dem Mikrocomputer 104 anschaltet, indem der Mikrocomputer-Abschluß auf L-Pegel gesetzt wird, so daß die Schaltung, wie vorweg beschrieben, betrieben wird.
Nun sei Bezug auf Fig. 7 genommen, die die Funktion der normalen Blockdaten-Lade-Routine zeigt. Diese Routine beschreibt den Betrieb des Mikrocomputers 104 zum Übertragen der in den nicht-flüchtigen Speichern übertragenen Daten in den Speicher mit wahlfreiem Zugriff des Mikrocomputers. Dies erfolgt während des Abschaltes der Abrechnungs-Einheit 100. Es ist zu erwähnen, daß die Daten des Speichers mit wahlfreiem Zugriff auf mehreren Speicherabschnitten eingelesen werden. Die Daten stammen vom normalen Datenblock des MNOS-Speichers 108 und auch vom aktuellen Datenblock des nicht-flüchtigen EEPROM-Speichers 106 und zuletzt von dem aktuellen Beförderungs-Datensatz des nicht-flüchtigen EEPROM- Speichers 106. Es sei erwähnt, daß die von diesen drei Speicherabschnitten eingelesenen Daten miteinander verglichen werden, um zu gewährleisten, daß sie konsistent sind. Sind die Daten nicht konsistent, so wird eine Fehlermeldung ausgegeben, was zu einem Abbruch der Ablauf-Routine führt. Solange die Fehlerbedingung nicht beseitigt ist, ist die Frankiermaschine nicht freigeschaltet und kann nicht benützt werden.
Nun sei Bezug auf die Fig. 8 genommen, die das Laden der Service-Datenblöcke aus dem MNOS- oder EEPROM-Speicher zeigt. Der Service-Datenblock enthält Service-Daten sowie andere Daten im Zusammenhang mit der Frankiermaschine, die erforderlich sind, um die Frankiermaschine zu betreiben, beispielsweise eine Freischaltung für einen hohen Geldwert- (Dollar)-Betrag, eine Warnung bei einem niedrigen Postwert oder weitere derartige Arten von Information. Das Laden der Service-Blockdaten erfolgt in einer ähnlichen Weise wie das Laden der normalen Blockdaten; jedoch sind die Vergleichs- Routinen nicht implementiert, da diese Daten für den Betrieb der Frankiermaschine nicht so kritisch sind, wie die grundlegenden normalen Abrechnungs-Informationen im Zusammenhang mit Postwerten.
Nun sei auf Fig. 9 Bezug genommen, in der die Routine zum Berechnen der Adresse eines Beförderungs-Datensatzes erläutert ist. Diese Routine berechnet die Adresse des Beförderungs-Datensatzes in dem nicht-flüchtigen EEPROM- Speicher 108 so, daß der Mikrocomputer 104 jeden Beförderungs-Datensatz in den richtigen Speicherbereich einträgt.
Nun sei auf Fig. 10 Bezug genommen, indem die Routine zum Auffinden des aktuellen Beförderungs-Datensatzes beschrieben ist. Mit dieser Routine wird es möglich, den aktuellen Beförderungs-Datensatz schnell während dem Abschalt-Vorgang aufzufinden oder auf eine Anforderung des in dem nicht- flüchtigen EEPROM-Speicher 108 gespeicherten fallenden Registers zu antworten. Im Normalfall hat der aktuelle Beförderungs-Datensatz den höchsten Stückzählerwert. Abstelle eines Vergleichs der in dem nicht-flüchtigen Speicher 108 gespeicherten und nach Ziffern aufweisenden Stückzähler der Beförderungs-Datensätze vergleicht die Routine die "Anfangsabschnitte" mit den niederwertigsten beiden Ziffern des Stückzählers jedes der 20 Beförderungs-Datensätze. Die Beförderungs-Datensatz-Anfangsabschnitte wurden in Echtzeit von der Abrechnungs-Einheit-Beförderungs-Verarbeitungsroutine geschrieben, die zuvor im Zusammenhang mit Fig. 4 erörtert wurde. Für die nicht-aktuellen Beförderungs-Datensätze entspricht der Wert des Anfangsabschnitts dem Stückzählerwert Modulo 100. Für den aktuellen Beförderungs-Datensatz unterscheidet sich der Anfangs-Abschnitts-Wert um 20. Dies ergibt sich aus der Tatsache, daß der Anfangs-Abschnitt nicht aktualisiert wurde und er den Stückzählerwert (Modulo 100) enthält, der vor 20 Transaktionen aktuell war. Wichtig ist, daß der aktuelle Beförderungs-Datensatz nicht durch einen Abfangsabschnitt mit einem bestimmten festgesetzten Wert identifiziert wird. In einem Schema mit festem Anfangs- Abschnitt-Wert muß der Anfangs-Abschnitt zweimal geschrieben werden, einmal solange der Datensatz aktuell ist und einmal zum Schreiben eines unterschiedlichen Wertes, um anzuzeigen, daß er nicht mehr aktuell ist. Dies würde dazu führen, daß die Abfangs-Abschnitts-Speicherbereiche vor anderen Datenbereichen des nicht-flüchtigen Speichers abgenutzt würden, was zu einer begrenzten Schreib-Zyklus-Beständigkeit führen würde. Mit der oben beschriebenen Technik läßt sich diese Schwierigkeit vermeiden.
Nun sei auf Fig. 11 Bezug genommen, der die Routine zum Lesen des ersten Abschnittes des eigentlichen Beförderungs- Datensatzes erläutert. Diese Routine wird benützt, um zu gewährleisten, daß der Echtzeit-Beförderungs-Datensatz mit den während der Ablauf-Routine gespeicherten normalen Blockdaten konsistent ist.
Nun sei auf die Fig. 12 Bezug genommen, die den Ablauf der Beförderungs-Datensatz-Verifikations-Routine zeigt. Mit dieser Routine wird die Korrektheit der kritischen Abschnitte des eigentlichen und des zur Sicherung angelegten Beförderungs-Datensatzes verifiziert. Die kritischen Abschnitte bestehen in der Stückzahl sowie in Werten des steigenden und des fallenden Registers. Wenn während der Verifikation festgestellt wird, daß ein Beförderungs- Datensatz nicht stimmt, so wird versucht, die Daten in demselben Speicherbereich noch einmal zu schreiben. Mißlingt dies, so wird der Datensatz gesperrt und ein neuer Datensatz wird in einen anderen Speicherbereich geschrieben, der für diese Möglichkeit vorgesehen ist. Der Speicherbereich des Datensatzes wird auf den reservierten Speicherbereich rückabgebildet. Die Rückabbildung kann selbst dann erfolgen, wenn das erneute Schreiben in den ursprünglichen Speicherbereich erfolgreich durchgeführt wurde, aber die Zahl der Versuche zum korrekten Schreiben der Daten eine vorbestimmte Abzahl übersteigt, z.B. neun Versuche.
Nun sei auf die Fig. 13 Bezug genommen, die den Ablauf einer Routine zum Handhaben eines Fehlers bei einem Beförderungs- Datensatz zeigt. In dieser Routine wird bestimmt, ob ein Rückabbildeschritt erforderlich und entsprechend ein Rückabbilde-Merker in der ersten Einheit des rückabzubildenden Datensatzes gesetzt ist. Es wird ferner ein Hinweis erzeugt, wo in dem Speicher dieser Datensatz angeordnet werden wird.
Nun sei auf Fig. 14 Bezug genommen, die den Ablauf der Routine zum Setzen des Postwertes auf einem Typenrad zeigt. Mit der Routine erfolgt ein Echtzeit-Schreibvorgang in dem nicht-flüchtigen EEPROM-Speicher 106 entsprechend dem Wert, auf den die Frankiermaschinen-Druck-Vorrichtung vor dem tatsächlichen Inbetriebsetzen der Maschine gesetzt wird. Insbesondere erfolgt der Eintrag in diesen Speicherbereich vor dem Freischalten der Frankiermaschine zum Drucken, d.h. vor dem Abheben der Überlagerungs-Vorrichtung, so daß der Verschlußhebel des Frankiermaschinen-Druck-Mechanismus betätigt werden kann, um ein Freischalten des Druck- Mechanismus zum Drucken zu ermöglichen. Demnach werden selbst bei einer Fehlfunktion der Abschalt-Interrupt-Routine Daten im nicht-flüchtigen Speicher gespeichert, die den Wert kennzeichnen, auf dem die Typenräder oder ein anderer Druckmechanismus vor dem Beginn des Druckbetriebs eingestellt wurden, und bei der nächsten Anschalt-Routine kann eine Abrechnung durchgeführt werden. Diese Routine gewährleistet einen Schutz gegen Mehrfachfehler in dem System, der zu einem Verlust von Abrechnungsdaten führen könnte.
Nun sei auf Fig. 15 Bezug genommen, in der der Ablauf der Routine zum Auffinden des aktuellen Post-Datensatzes gezeigt ist. Die Routine steuert den Mikrocomputer 104 während des Abschaltens in einer Weise, daß der aktuelle Postwert- Einstell-Datensatz bestimmt wird, der zuletzt geschrieben wurde, bevor die Frankiermaschine außer Betrieb genommen wurde, beispielsweise aufgrund eines Netzausfalls oder eines Abschaltens der Frankiermaschine.
Nun sei Bezug auf die Fig. 16 genommen, in der der Ablauf einer Reparatur-Beförderungs-Datensatz-Routine gezeigt ist. Ist es nicht möglich, den aktuellen Transaktions-Datensatz aufzufinden, so deutet dies auf einen Fehler der Daten in dem Anfangs-Abschnitt und dem Stückzählerbereich hin. In diesem Fall nützt der unter Steuerung dieser Sub-Routine betriebene Mikroprozessor den normalen Abschalt-Block der Stückzähldaten zur Rekonstruktion des letzten Datensatz-Speicherbereichs des Beförderungs-Datensatzes im EEPROM-Speicher 108. Dies erfolgt in einer solchen Weise, daß alle 20 Anfangsabschnitte der Transaktions-Datensätze neu geschrieben werden, um die Konsistenz der wiederhergestellten Beförderungs-Datensätze zu gewährleisten. Diese Routine kann auch benützt werden, wenn die Seriennummer in der Frankiermaschine nach dem Herstellen eingestellt wird, sowie zum Testen des Einstellen des Stückzählers auf Null.
Nun sei auf die Fig. 17 Bezug genommen, die den Ablauf der Routine zum Öffnen des nicht-flüchtigen Speicherblocks zeigt. Dieses Programm steuert den Einsatz einer Sicherung für einen Notfall-Service-Block in den nicht-flüchtigen EEPROM-Speicher 108. Er wird immer dann aktualisiert, wenn ein neuer Block in dem nicht-flüchtigen MNOS-Speicher geöffnet wird und läßt sich auswerten, wenn die normalen Service-Blöcke in beiden nicht-flüchtigen Speichern 108 und 106 verlorengehen oder inkorrekt sind.
Nun sei auf Fig. 18 Bezug genommen, die den Ablauf einer Routine zum Aktualisieren eines Blocks im nicht-flüchtigen Speicher zeigt. Diese Routine steuert den Betrieb des Mikrocomputers 104, wenn der Betriebsmodus der Frankiermaschine von dem Normalmodus in den Servicemodus umgestellt wird. Die Routine ermöglicht dem Mikrocomputer 104 den Zugriff auf nur einen von zwei Arten von Datenblöcken, Normal-Abrechnungs-Information oder Service-Information. Diese Routine gewährleistet, daß auf beide Informationsblöcke nicht gleichzeitig durch den Mikrocomputer 104 zugegriffen wird. Hierdurch entsteht zusätzlicher Schutz der Frankiermaschine gegen den ungewollten Verlust von Daten oder Postwerten.
Aus der obigen Darstellung ergibt sich, daß die Software zu einem speziell angepaßten Betrieb des Mikroprozessors führt, mit dem sich eine erhöhte Zuverlässigkeit erreichen läßt. Der Abrechnungs-Mikrocomputer 104 schreibt zwei Beförderungs- Datensätze in den nicht-flüchtigen EEPROM-Speicher, während Post verarbeitet wird. Beide Datensätze enthalten kritische Abrechnungs-Daten, wie Stückzähler, Wert des steigenden und fallenden Registers, deren zyklische Prüfsummen (CRC) sowie eine Datenstrom-Prüfsumme (CRC). Die eigentlichen Datensätze enthalten auch weniger kritische Daten, wie Postausfallwert, Stapelzähler, Stapelmenge und dergleichen. Abrechnungs-Daten der zuletzt getätigten zwanzig Transaktionen werden immer in dem nicht-flüchtigen EEPROM-Speicher 108 aufrechterhalten.
Der Abrechnungs-Mikrocomputer 104 verifiziert kritische Daten beider Beförderungs-Datensätze und überschreibt diese, falls dies erforderlich ist. Wird das Überschreiben erfolgreich abgeschlossen, so wird ein Schreib-Programm-Zähler in einem nicht-flüchtigen Speicher des nicht-flüchtigen EEPROM- Speichers 108 für diesen physikalischen Datensatz erhöht. Mißlingt das Überschreiben oder übersteigt der Programm- Fehler-Zähler eine obere Grenze, so wird der Datensatz auf einen von vier reservierten Datensatz-Bereichen umgeleitet. Während ein leichter Fehler im nicht-flüchtigen Speicher für einen Beobachter erkennbar ist, führt ein Umleiten zu einem reservierten Datensatz, die Frankiermaschine in einen Fehlermodus mit dem neuen Fehlercode 25, und die Frankiermaschine wird unmittelbar gesperrt. Die Fehlerbedingung läßt sich nur dadurch entfernen, daß die Frankiermaschine abgeschaltet und anschließend wieder angeschaltet wird. Beim nächsten Abschalten wird die Frankiermaschine gesperrt, falls keine reservierten Datensätze in einer der beiden Beförderungs-Datensatz-Mengen zur Verfügung steht. Beim Abschalten oder beim Schalten der Blöcke schreibt der Mikrocomputer 104 entweder Betriebs- (normale) oder Service-Block-Daten sowohl in dem nicht- flüchtigen EEPROM-Speicher 108 als auch dem nicht-flüchtigen MNOS-Speicher 106. Der Mikrocomputer verwaltet auch einem "Notfall-Service-Block" in dem nicht-flüchtigen EEPROM- Speicher 108. Er wird aktualisiert, sobald ein neuer Block in dem nicht-flüchtigen MNOS-Speicher 108 geöffnet wird und kann in den Speicher mit wahlfreiem Zugriff des Mikrocomputers übertragen werden, wenn die normalen Service-Blöcke sowohl des MNOS-Speichers 106 als auch des EEPROM-Speichers 108 verlorengehen oder inkorrekt sind.
Beim Abschalten werden die Abschalt-Blockdaten beider nichtflüchtiger Speicher in den Speicher mit wahlfreiem Zugriff des Mikrocomputers 104 eingelesen. Daten in den "Beförderungs-Datensätzen" werden ebenfalls gesucht und gelesen. Sind die Daten nicht verfälscht und wird der Steuersummentest erfolgreich durchgeführt, so müssen die steigenden und fallenden Register des Beförderungs- Datensatzes mit denjenigen übereinstimmen, die aus dem Abschaltblock ausgelesen wurden (im Normalfall aus dem nicht- flüchtigen MNOS-Speicher); anderenfalls wird die Frankiermaschine gesperrt, um den weiteren Betrieb zu verhindern, was einem Fehler mit der Code-Kennzeichnung 27 entspricht.
Schließlich läßt sich im Service-Modus das fallende Register des im nicht-flüchtigen EEPROM-Speicher 108 gespeicherten aktuellen Beförderungs-Datensatz durch das Drücken der nicht gezeigten Frankiermaschinen-Stapelzähler-Taste anzeigen.
Obgleich diese Erfindung im Hinblick auf bestimmte hierin gezeigte Ausführungsformen offenbart und beschrieben wurde, ist offensichtlich, daß Abweichungen und Modifikationen durchgeführt werden können, und die nachfolgenden Ansprüche sollen derartige Abweichungen und Modifikationen mitbeinhalten.

Claims

1. Frankiermaschinensystem vom Typ mit einem Mikrocomputermittel (104), einem mit dem Mikrocomputermittel (104) verbundenen, nicht-flüchtigen Speichermittel (106, 108) und mit dem Mikrocomputer verbundene Programmspeichermittel, enthaltend:

Speicherbereiche zum Speichern von Posttransaktions- Abrechnungsdatensätzen in dem nicht-flüchtigen Speichermittel (106, 108), wobei

jeder Transaktions-Abrechnungsdatensatz einen Abfangs- Abschnitt mit Stückzähl-Daten und einem Stückzähl- Datenfeld enthält,

der zuletzt gespeicherte Transaktions- Abrechnungsdatensatz-Abfangs-Abschnitts-Stückzähl-Daten enthält, die sich von dem im Stückzähl-Feld gespeicherten Stückzähl-Daten unterscheiden, und

andere gespeicherte Transaktions-Abrechnungsdatensätze solche Anfangs-Abschnitte mit Stückzähl-Daten im Stückzähl-Feld enthalten, daß sich der aktuelle Datensatz schnell bestimmen läßt.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß Speicherbereiche in einem nicht-flüchtigen Speicher zum Speichern einer Postwerteinstellung vor dem Beginn einer Postausgabe-Transaktion vorgesehen sind,

das Mikrocomputermittel (104) die Posteinstelldaten und den zuletzt gespeicherten Posttransaktions- Abrechnungsdatensatz so verarbeitet, daß es im Fall eines Fehlers beim Schreiben in den nicht-flüchtigen Speicher bei gleichzeitigem Auftreten einer Frankiermaschinen-Transaktion und einer Abschaltung des Frankiermaschinen-Systems die Frankiermaschinen- Transaktion zum Schreiben eines gültigen Portos wiederholt.

3. System nach Anspruch 1, dadurch gekennzeichnet, daß einzelne Fehlerzähler-Informationen für eine Abzahl unterschiedlicher Fehlerbedingungen bereitgestellt werden.

4. System nach Anspruch 3, dadurch gekennzeichnet, daß die einzelne Fehlerzähler-Information

von einem ersten Typ ist, so daß das Auftreten eines einzigen derartigen Fehlers zu dem Setzen eines Merkers durch das Mikrocomputermittel führt und den weiteren Betrieb des Frankiermaschinen-Systems solange verhindert, bis eine Abschalt- und Anschalt-Folge aufgetreten ist, und

von einem zweiten Typ ist, der dann, wenn ein derartiger Fehler öfter als eine pro vorgegebene Zahl von Frankiermaschinen-Transaktions-Aktionen vorgegebene Grenze auftritt, das Setzen eines Merkers durch den Mikrocomputer auslöst, um fortdauernd einen weiteren Betrieb des Frankiermaschinen-Systems bis zum Aussondern der Frankiermaschine zu verhindern.

5. System nach Anspruch 1, dadurch gekennzeichnet, daß die Posttransaktions-Abrechnungsdatensätze ein Feld zum Speichern von Programmfehler-Zählerdaten oder für das erneute Zuordnen von Datensatz-Zeigerdaten enthält.

6. Frankiermaschinensystem gemäß einem der Ansprüche 1 bis 5, gekennzeichnet durch

ein Mikrocomputermittel (104),

mit dem Mikrocomputermittel (104) verbundene, nichtflüchtige Speichermittel (106, 108),

mit dem Mikrocomputermittel (104) verbundene Speichermittel mit wahlfreiem Zugriff, und

mit dem Mikrocomputermittel (104) verbundene Programmspeichermittel, die bewirken, daß das Mikrocomputermittel (104) einen vollständigen Satz von kritischen Post-Abrechnungsdaten in den Speicher mit wahlfreiem Zugriff schreibt, sowie einen zweiten vollen Satz von kritischen Abrechnungsdaten in die nicht- flüchtigen Speichermittel (106, 108), und einen Satz von gekürzten, kritischen Abrechnungsdaten in den nicht- flüchtigen Speicher (106, 108), wobei

mit Hilfe des Programmspeichermittels das Mikrocomputermittel (104) so betrieben wird, daß dann, wenn in mindestens einem der Datensätze im nicht- flüchtigen Speicher ein Fehler erfaßt wird, wobei beim Datenvergleich die Daten des Speichers mit wahlfreiem Zugriff als korrekte Referenzdaten dienen, die Daten sowohl des in dem nicht-flüchtigen Speicher gespeicherten, vollständigen Datensatzes als auch der in dem nicht-flüchtigen Speicher gespeicherten, gekürzten Datensätze erneut geschrieben werden.

7. System nach Anspruch 6, dadurch gekennzeichnet, daß der Vergleich zwischen dem kritischen Abrechnungsanteil des vollständigen Posttransaktions-Abrechnungsdatensatzes und den entsprechenden Daten in dem Speicher mit wahlfreiem Zugriff durchgeführt wird.

8. System nach Anspruch 7, dadurch gekennzeichnet, daß die kritische Posttransaktions-Abrechnungsdaten die Stückzahl, das fallende Register und das steigende Register umfassen.

9. System nach Anspruch 8, dadurch gekennzeichnet, daß die kritischen Posttransaktions-Abrechnungsdaten ferner die zyklische Redundanzprüfsumme für das fallende Register und das steigende Register enthalten.

10. System nach Anspruch 9, dadurch gekennzeichnet, daß ein Programmfehlerzähler beim Erfassen eines Fehlers in den kritischen Abrechnungsdaten und erneutem erfolgreichen Eintragen in die nicht-flüchtigen Speichermittel erhöht wird.

11. System nach Anspruch 1 oder 6, dadurch gekennzeichnet, daß der nicht-flüchtige Speicher derart organisiert ist, er eine vorbestimmte Abzahl von Datensatz- Speicherbereichen aufweist, die für die vollständigen Datensatz-Speicherbereiche und für die gekürzten Datensätze reserviert sind, wobei

im Falle eines Fehlers bei dem eigentlichen Datensatz- Speicherbereich des vollständigen Datensatzes oder des gekürzten Datensatzes das Mikrocomputermittel (104) einen nicht-benützten, reservierten Datensatz- Speicherbereich aktiviert, der zusammen mit einem Neuzuordnungs-Datensatz-Zeiger die Verwendung des nicht- benützten, reservierten Datensatz-Speicherbereichs als eigentlicher Datensatz-Speicherbereich bewirkt.

12. System nach Abspruch 11, dadurch gekennzeichnet, daß das Mikrocomputermittel (104) dann, wenn die vorbestimmte Abzahl von zusätzlichen Speicherbereichen benützt ist, einen Merker setzt, um das Fehlersystem außer Betrieb zu setzen.