DE3689838T2

DE3689838T2 - Sterilisierungssystem mit gas.

Info

Publication number: DE3689838T2
Application number: DE3689838T
Authority: DE
Inventors: Philip Engler; Raymond Jefferis; Aaron Rosenblatt
Original assignee: Johnson and Johnson
Current assignee: Johnson and Johnson
Priority date: 1985-02-05
Filing date: 1986-02-04
Publication date: 1994-09-01
Anticipated expiration: 2006-02-05
Also published as: EP0211073A4; WO1986004698A1; ATE105949T1; CA1271309A; JPH07163639A; IN164991B; BR8605135A; AU5513186A; IE64424B1; KR870700153A; JPS62502172A; KR950000062B1; JP2922205B2; EP0211073B1; JP2664019B2; EP0211073A1; DE3689838D1; AU601677B2; IE860320L

Description

Die Erfindung betrifft Systeme zum Fördern eines Gases zu einer abgeschlossenen Kammer und Systeme zum Sterilisieren von Stoffen und Gegenständen sowie insbesondere Systeme, die ein Sterilisiergas zum Sterilisieren von Gegenständen verwenden, z. B. medizinische Vorrichtungen wie Geräte und Instrumente, die möglicherweise durch Fremdstoffe kontaminiert wurden. Bei Bedarf kann das System der Erfindung auch zum Sterilisieren nichtmedizinischer Gegenstände und Stoffe verwendet werden. Insbesondere betrifft das System der Erfindung ein Gassterilisiersystem, bei dem zwei zur Erzeugung von Sterilisiermengen eines Gases reagierende Bestandteile durch die Vorrichtung der Erfindung an Ort und Stelle kombiniert werden. Dadurch können die zur Bildung des Sterilisiergases reagierenden Bestandteile getrennt versandt werden, was die Unfallmöglichkeit auf ein Mindestmaß reduziert.
Insbesondere betrifft die Erfindung ein System, das Chlordioxid als Sterilisiergas verwendet. Chlordioxidgas ist sowohl instabil als auch für den Menschen toxisch. Beispielsweise zerfällt Chlordioxidgas im Verlauf der Zeit in seine Bestandteile und kann somit nicht problemlos transportiert werden. Chlordioxidgas zu transportieren, ist daher nicht wünschenswert. Außerdem ist Chlordioxidgas in einem gewissen Grad explosiv und neigt überdies zur katalytischen Zersetzung. Die zur Bildung von Chlordioxidgas reagierenden Bestandteile (z. B. Natriumchlorit und Chlorgas) können jedoch relativ problemlos transportiert und vor Ort zur Reaktion gebracht werden, um das Sterilisiergas Chlordioxid zu erzeugen.
Bekannte Systeme verwendeten normalerweise Ethylenoxidgas als Sterilisiermittel. Ein Beispiel für ein solches bekanntes System ist der von der Firma Sybron Corporation, Medical Products Division, hergestellte Ethylenoxid-Sterilisator Castle 4040. Wenngleich Ethylenoxid in den bekannten Systemen als Sterilisiergas verwendet wurde, bleibt Chlordioxid ein bevorzugtes Sterilisiermittel.
Ferner hatten die in der Vergangenheit eingesetzten Systeme eine recht einfache Gestaltung und keine fortschrittliche Einrichtung zum Aufrechterhalten der Gerätezuverlässigkeit und zum Unfallschutz. Außerdem wiesen diese Systeme kaum Redundanz auf, so daß bei einem Fehler einer Systemkomponente Wartungspersonal zur Fehlerbehebung manuell eingreifen mußte, bevor der Sterilisiervorgang weitergeführt werden konnte.
Die Erfindung bezieht sich auf die US-A-4,681,739, veröffentlicht am 21. Juli 1987.
Die US-A-4,067,691 betrifft ein Sterilisiersystem mit einer zugehörigen Automatiksteuerung. Zur Sterilisiervorrichtung gehört ein Behälter, der erwärmt und unter Druck gesetzt werden kann, und oberhalb des Behälters beabstandet angeordnete elektrisch betriebene Steuerorgane zum Steuern des Betriebs der Vorrichtung während des Sterilisiervorgangs, wobei diese Steuerorgane zu Wartungs- und Instandsetzungsarbeiten innerhalb der neutralen Zone zugänglich sind. Eine automatische Steuerung für das Sterilisiersystem weist Meßgeräte zum Überwachen des Verlaufs des Sterilisiervorgangs auf schrittweiser Grundlage und zum Zuführen von Signalen zu den verschiedenen elektrisch betriebenen Steuerorganen auf, um jeden Schritt des Sterilisiervorgangs zu starten, sobald der vorhergehende Schritt abgeschlossen ist. Als Reaktion auf eine im Sterilisiersystem auftretende Störung verhindert die Steuerung einen weiteren Betrieb des Systems und signalisiert eine Alarmbedingung. Ein zum Computer gehöriger Drucker druckt eine Aufstellung der Zeiten aus, zu denen jeder Schritt stattfindet, so daß der ordnungsgemäße Betrieb der Vorrichtung überprüft werden kann.
Die Vorrichtung gewährleistet eine periodischen Durchführung eines Qualitätssicherungszyklus, wobei ein solcher Zyklus erfolgreich abgeschlossen sein muß, bevor die Ausrüstung wieder zum Automatikbetrieb zurückkehren kann. Nach Wartungsverfahren muß ein Ausrüstungsprüfzyklus, gefolgt von einem Qualitätssicherungszyklus, erfolgreich absolviert werden, bevor der Automatikbetrieb wieder aufgenommen werden kann.
In dem Beitrag "Triplicated microprocessor controlled automatic shutdown system" (Dreifaches mikroprozessorgesteuertes automatisches Abschaltsystem) von R. N. Mewies für "Microprocessors & Microsystems", Bd. 3, Nr. 8, Oktober 1979, Großbritannien, wird ein Abschaltsystem beschrieben, das Ausrüstungen, Prozesse, die Umgebung und das Personal in verfahrenstechnischen Anlagen schützt, z. B. auf Plattformen für die Öl- und Gaserzeugung und in verfahrenstechnische Anlagen der petrochemischen Industrie. Dieses System berücksichtigt mehrere Eingabekombinationen und löst die entsprechenden Ausgaben in Form von vorbestimmten Abschaltfolgen aus.
Mit diesem System ist die Fähigkeit gegeben, sämtliche einer Anzahl von Folgen gleichzeitig und asynchron abzuarbeiten, da zeitvariante Eingabealarme unterschiedliche Abschaltfolgen zu unterschiedlichen Zeiten auslösen. Zum Abschluß jeder Folge kann ihr automatisches Zurücksetzen erforderlich sein, was erreicht wird, sofern alle Rücksetzbedingungen erfüllt sind. Dabei müssen Ausgaben berücksichtigt werden, die zu mehreren Folgen geführt werden, so daß beim Rücksetzen einer Folge diese keine Ausgaben von einer anderen Folge löscht, die unter Umständen noch abläuft.
Die Abschaltung des Systems erfolgt in einer bestimmten Reihenfolge. Beispielsweise kann das System um eine Fraktionierkolonne zur Erdöldestillation angeordnet sein, und verschiedene Stufen werden in einer bestimmten Reihenfolge abgeschaltet, wodurch die geordnete Abschaltung des Fraktionierturms erleichtert wird.
Eine Aufgabe der Erfindung besteht darin, ein Sterilisiersystem zu schaffen, das ein Gas mit bakteriziden, sporiziden, fungiziden und/oder virusziden Eigenschaften zum Sterilisieren von Gegenständen verwendet.
Eine weitere Aufgabe der Erfindung besteht darin, ein Sterilisiersystem zu schaffen, bei dem mindestens zwei zur Bildung eines Sterilisiergases reagierende Bestandteile vor Ort innerhalb der Vorrichtung der Erfindung zur Reaktion gebracht werden, um wirksame Mengen des Sterilisiergases zu erzeugen.
Eine andere Aufgabe der Erfindung besteht darin, ein Gassterilisiersystem zu schaffen, bei dem das Sterilisiermittel Chlordioxidgas ist.
Eine nächste Aufgabe der Erfindung besteht darin, ein Gassterilisiersystem mit eingebauter Redundanz und einer Einrichtung zum Aufrechterhalten der Systemzuverlässigkeit und -sicherheit zu schaffen.
Eine folgende Aufgabe der Erfindung besteht darin, ein Gassterilisiersystem zu schaffen, das vielseitig ist und durch einen programmierten Mikroprozessor gesteuert wird.
Diese Aufgaben werden mit den Merkmalen von Anspruch 1 gelöst.
Die Erfindung betrifft insbesondere ein System zur Behandlung von Gegenständen mit einem Gas, das aufweist: eine erste Einrichtung zum Aufnehmen eines ersten Bestandteils, eine zweite Einrichtung zum Aufnehmen eines zweiten Bestandteils, wobei der erste und zweite Bestandteil bei ihrer Reaktion miteinander das Gas bilden, eine Einrichtung, um die beiden Bestandteile zur Bildung des Gases miteinander zur Reaktion zu bringen, eine Ventileinrichtung zum Zuführen des Gases zu einer Kammereinrichtung, um den Gegenstand in der Kammereinrichtung zu behandeln, eine Einrichtung zum Entfernen des Gases aus der Kammereinrichtung, eine elektronische Steuereinrichtung zum Steuern der Einrichtung zum Reagieren, eine Einrichtung zum Zuführen und eine Einrichtung zum Entfernen mit einer Computereinrichtung, die eine vorbestimmte Schrittfolge ausführt, um die Vorrichtung zyklisch eine Reihe von aufeinanderfolgenden Zuständen durchlaufen zu lassen, die einen Zyklus definieren, in dem der Gegenstand durch das Gas behandelt wird, und wobei das Gas anschließend aus der Kammereinrichtung entfernt wird, damit die Atmosphäre in der Kammereinrichtung innerhalb von zulässigen Sicherheitsnormen liegt.
Die Computereinrichtung weist eine Einrichtung zum Abbrechen des Betriebs der Vorrichtung und zum Einnehmen eines von mehreren definierten Fehlerzuständen als Reaktion auf einen Fehler der Vorrichtung auf, wobei der ausgewählte Fehlerzustand vom Zustand im Zyklus abhängt, in dem der Fehler auftrat.
Die Computereinrichtung weist vorzugsweise eine Speichereinrichtung auf, und die Vorrichtung weist ferner auf: eine Einrichtung zum Empfangen von Eingabesignalen von der Ventileinrichtung als Anzeige für den geschlossenen oder offenen Zustand der Ventileinrichtung und eine Einrichtung zum Übertragen von Ausgabesignalen zu der Ventileinrichtung, um die Ventileinrichtung selektiv zu öffnen oder zu schließen, wobei Abbildungssignale der Eingabe- und Ausgabesignale in der Speichereinrichtung gespeichert werden, eine Maskeneinrichtung in der Speichereinrichtung gespeichert wird und die Computereinrichtung die Abbildungssignale der Eingabe- und Ausgabesignale vergleicht und ein Alarmsignal erzeugt, wenn die Abbildungssignale der Eingaben und Ausgaben nicht als Reaktion auf das Setzen eines Bits in der Maskeneinrichtung übereinstimmen.
Andere Aufgaben, Merkmale und Vorteile der Erfindung gehen aus der anschließenden Beschreibung hervor.
Nachfolgend wird die Erfindung anhand der beigefügten Zeichnungen näher beschrieben. Es zeigen:
Fig. 1 ein Blockschaltbild des gesamten erfindungsgemäßen Gassterilisiersystems;
Fig. 2 ein Blockschaltbild der Sterilisierkammer sowie des Ventil- und Pumpenblocks des erfindungsgemäßen Gassterilisiersystems;
Fig. 3 ein Blockschaltbild des elektronischen Steuerschaltungsaufbaus des Gassterilisiersystems;
Fig. 3A eine Adreßtabelle, die in der elektronischen Steuerung von Fig. 3 verwendet wird, und der entsprechenden Komponenten oder Signale, die durch die Adressen gesteuert werden;
Fig. 4 ein Blockschaltbild, das zeigt, wie verschiedene Systemtaktfrequenzen und die Systemunterbrechung abgeleitet werden;
Fig. 5 eine Vorderansicht einer Ausführungsform einer Steuertafel für das Gassterilisiersystem, die die Anzeigelampen der Steuerung und Steuerschalter zeigt;
Fig. 6 ein Zustandsdiagramm für das erfindungsgemäße Gassterilisiersystem;
Fig. 7 eine dem Zustandsdiagramm von Fig. 6 entsprechende Zustandsausgabematrix für das erfindungsgemäße Gassterilisiersystem;
Fig. 7A und 7B Ablaufpläne für das Folgesteuerprogramm zum Realisieren des Zustandsdiagramms von Fig. 6;
Fig. 8 ein Blockschaltbild der Anordnung der Sicherheitsverriegelung für das erfindungsgemäße Gassterilisiersystem;
Fig. 9 einen Funktionsablaufplan für die residente Software im Speicher der elektronischen Steuerung des erfindungsgemäßen Gassterilisiersystems;
Fig. 10 einen Ablaufplan für zeitgesteuerte Funktionen der Software für das Gassterilisiersystem;
Fig. 11 einen Ablaufplan für eine der zeitgesteuerten Funktionen der Software für das Gassterilisiersystem;
Fig. 12 ein Speicherabbild des Datenspeichers des elektronischen Steuerschaltungsaufbaus für das erfindungsgemäße Gassterilisiersystem;
Fig. 13 einen Ablaufplan für eine weitere der zeitgesteuerten Funktionen der Software des elektronischen Steuerschaltungsaufbaus für das erfindungsgemäße Gassterilisiersystem;
Fig. 14 einen Ablaufplan einer weiteren der zeitgesteuerten Funktionen der Software für das erfindungsgemäße Gassterilisiersystem; - Fig. 15 einen Ablaufplan für eine weitere der zeitgesteuerten Funktionen der Software für das erfindungsgemäße Gassterilisiersystem;
Fig. 16 einen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Rücksetzen der zeitgesteuerten Funktionen der Steuereinheit;
Fig. 17 einen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Einlesen von Eingabedaten vom erfindungsgemäßen System;
Fig. 18 einen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Erzeugen eines Zeitüberschreitungsalarms im Falle eines Komponentenfehlers;
Fig. 19 einen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Erzeugen eines zusätzlichen Alarms im Falle eines Komponentenfehlers;
Fig. 20 einen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Ausgeben von Daten zu den gesteuerten Systemkomponenten;
Fig. 21 einen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Einlesen von Analogeingabedaten von dem gesteuerten System;
Fig. 22 einen allgemeinen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Erzeugen der verschiedenen zeitgesteuerten Funktionen des Systems;
Fig. 23 einen Ablaufplan für einen Teil des Programms von Fig. 22; und
Fig. 24 einen Ablaufplan für ein in der Steuereinheit implementiertes Programm zum Steuern der Systemausgaben

Gesamtsystem

Fig. 1 der Zeichnungen zeigt das gesamte Gassterilisiersystem. Das System weist auf: eine Sterilisierkammer 10, einen vorzugsweise mikroprozessorgesteuerten elektronischen Steuerschaltungsaufbau 100, einen Ventil- und Pumpenblock 20 sowie Anzeigen 110. Sensoreingaben 5 mit Signalen, die durch geeignete Sensoren in der Kammer 10 erzeugt werden und zu Temperatur, Druck, Feuchtigkeit und Konzentration des Sterilisiergases in der Kammer 10 gehören, werden von der Sterilisierkammer 10 zum Steuerschaltungsaufbau 100 geführt. Zu den Sensoreingaben gehören sowohl zu den vorgenannten Kammerparametern gehörende Analogsignale als auch bestimmte Digitalsignale, z. B. ein Signal, das anzeigt, wann die Temperatur in der Kammer einen erwünschten Wert erreicht hat, was später näher zu erläutern ist. Mit einem Schalter S1 "ZYKLUS START" wird der Betrieb des Systems gestartet, und ein später näher erläuterter Schalter S2 "ABBRUCH-RÜCKSETZEN" wird zum Zurücksetzen der Systemzustände in einen definierten Zustand verwendet, wenn ein Abbruchmodus vorliegt, d. h., wenn eine Fehler- oder Alarmbedingung auftritt. Der Betrieb des Ventil- und Pumpenblocks 20 wird später näher erläutert; zu ihm gehört eine Quelle für Chlordioxidgas 22, das vor Ort aus getrennten Bestandteilen hergestellt wird, Wasserdampf 23 und Stickstoff 24. Außerdem wird der Ventil- und Pumpenblock darstellungsgemäß in die Atmosphäre entlüftet. Der Ventil- und Pumpenblock 20 weist mehrere folgegesteuerte und gesteuerte Ventilen und eine Vakuumpumpe zum Erzeugen der notwendigen Bedingungen in der Sterilisierkammer zu den entsprechenden Zeiten auf. Wegen der Instabilität und der potentiellen Toxizität von Chlordioxid, dem bevorzugten Sterilisiergas, werden vorzugsweise Bestandteile transportiert, die, wenn sie zur Reaktion gebracht werden, das Chlordioxidgas bilden. Beispielsweise können die Bestandteile Natriumchlorit NaClO&sub2; und Chlorgas Cl&sub2; sein.
Geeignete Steuersignale 7 werden durch den elektronischen Steuerschaltungsaufbau 100 zum Ventil- und Pumpenblock 20 und zur Kammer 10 zum Steuern von Systemkomponenten geführt. Ferner werden Rückführungssignale 8 von den gesteuerten Komponenten zum Steuerschaltungsaufbau 100 so zurückgeführt, daß die Steuerung den Systemzustand überwachen kann, und Signale 14 sind mit der Anzeigetafel 110 gekoppelt, um den Bediener über den Systemstatus zu informieren.
Außerdem wird ein Patronenprüfsignal 12 von der angeschlossenen Gaspatrone (Patrone für den Cl&sub2;-Bestandteil) als Anzeige dafür zugeführt, daß eine Gaspatrone in das System eingeschaltet wurde.

Allgemeine Funktionen

Die Anordnung des Ventil- und Pumpenblocks 20 ist in Fig. 2 näher dargestellt. Der Ventil- und Pumpenblock 20 weist auf: eine Reihe von Ventilen V1, V2, V3, V4, V4a, V5, V6, V7, V8, V9 und V10, Pumpen P1 und P2, ein Luftfilter 13, einen Entgifter 22 zum Entgiften des evakuierten Chlordioxidgases, der gemäß der Erläuterung in der vorgenannten US-A- 4,681,739 realisiert sein kann, und geeignete Quellen für Wasserdampf, Stickstoff, Cl&sub2;-Gas, Luft und Natriumchlorit. Gemäß Fig. 2 werden einige Ventile lediglich folgegesteuert, während andere als Reaktion auf ausgewählte Werte der gemessenen Prozeßvariablen gesteuert werden, z. B. Gaskonzentration, Feuchtigkeitsgehalt und Druck. Aus Sicherheitsgründen ist jedes Ventil (V) mit zwei Endschaltern (LS) versehen, um den offenen (z. B. LS2o) oder geschlossenen Ventilzustand (z. B. LS2c) anzuzeigen. Im beigefügten Software-Listing tragen die offenen Endschalter die Bezeichnung LSOx und die geschlossenen Endschalter die Bezeichnung LSCx. Beide Schalter müssen sich während des gesamten Zyklus zu den richtigen Zeiten in ihren richtigen Stellungen befinden, damit der Zyklus nicht abgebrochen wird. Zusätzlich sind gemäß Fig. 5 mehrere Lampen auf einer Anzeigetafel vorgesehen, die den Fortgang des Sterilisierzyklus oder das Auftreten möglicher Fehlerbedingungen anzeigen. Nach dem Schließen der Kammertür 11 kann ein Zyklus durch den Bediener durch kurzes Drücken des Schalters "ZYKLUS START" (S1) gestartet werden. Siehe dazu Fig. 1. Anschließend läuft der Zyklus automatisch entsprechend einem Programm ab, das im Speicher des Mikroprozessors der elektronischen Steuerung 100 gespeichert ist. Dieser Vorgang wird später näher beschrieben.
Zu Redundanzzwecken ist ferner eine Anzahl manuell gesteuerter Ventile, z. B. die Ventile V9 und V10, für den Fall vorgesehen, daß die Ventile V3 und V8 nicht öffnen. Diese Ventile können durch Wartungspersonal manuell so betätigt werden, daß potentiell toxische Gase über den Entgifter 22 entfernt werden können, falls sich die Ventile V3 und V8 nicht öffnen und die Kammer Sterilisiergas enthält. Vorgesehen ist ebenfalls eine Hilfsvakuumpumpe, damit das Gas über die manuell betätigten Ventile abgepumpt werden kann.

Sterilisierzyklus

Der Sterilisierzyklus ist eine verriegelte Folge von Ereignissen und folgerichtigen Vorgängen, die durch den Mikroprozessor gesteuert werden. Die Schritte dieser Folge sind im einzelnen im Zustandsdiagramm von Fig. 6 und der Zustandsausgabematrix von Fig. 7 dargestellt. Diese Schritte werden durch ein Folgesteuerprogramm ausgeführt, dessen Ablaufplan Fig. 7A und 7B zeigen und dessen Einzelheiten im Programm-Listing im Anhang offenbart werden. Im Verlauf der Folge treten zwei Arten von Ereignissen auf: unabhängige und abhängige Ereignisse. Einige unabhängige Ereignisse sind externe Ereignisse, zu denen von den gesteuerten Ventilen (z. B. den Endschaltern) zur Steuerung geführte Kontakteingabesignale gehören, die in Fig. 3 durch die Symbole X0x bis X3x bezeichnet sind. Jedes Kontakteingabesignal stellt ein Bit eines 8-Bit- Worts dar, und die Gesamtheit dieser Steuereingabesignale soll im weiteren allgemein als Digitaleingaben (DIN) bezeichnet werden. Zu den unabhängigen Ereignissen zählt außerdem der Empfang von Signalen, die Meß- oder Analogprozeßwerten (AIN) entsprechen, z. B. Druck, Temperatur, Feuchtigkeit und Konzentration des Sterilisiergases. Die Meßwertsignale sind logischen Vergleichsoperationen zugeordnet, die durch die Steuerung ausgeführt werden. Weitere unabhängige Ereignisse sind intern deklariert und führen typischerweise zum Aufleuchten einer Anzeigelampe auf der Anzeigetafel gemäß Fig. 5. Von der Steuerung werden die abhängigen Ereignisse ausgewertet, die logische Kombinationen unabhängiger Ereignisse sind, um RICHTIGE oder FALSCHE Ergebnisse zu bestimmen. Wird das abhängige Ereignis als richtig bestimmt, so wird ein entsprechender Vorgang durchgeführt, d. h., das Steuersystem geht zu einem neuen Prozeßzustand über, der durch die Zustandsausgabematrix von Fig. 7 definiert ist. Ist das abhängige Ereignis nicht richtig, speichert die Steuerung den Prozeßzustand in ihrem Speicher und wartet eine Zeitspanne von 50 Millisekunden ab, bevor sie das abhängige Ereignis erneut auswertet. Bei einem Systemfehler geht das System unverzüglich in einen geeigneten ABBRUCH-Zustand (ABORT) über, was später näher beschrieben wird. Dieser Prozeß wird fortgesetzt, bis der Zyklus abgeschlossen oder abgebrochen ist.

Sicherheitsaspekte

Im Sterilisiersystem sind mehrere Kontrollen vorgesehen, um den korrekten Betrieb der verschiedenen Ventile und anderen Komponenten zu gewährleisten. Wie später näher beschrieben wird, bestätigt eine durch das Hauptzeitsteuerprogramm der Steuerung implementierte Verriegelungssoftware alle 6250 Mikrosekunden die richtige Stellung aller Ventile. Eine Alarmbedingung liegt immer dann vor, wenn sich ein Ventil nicht in seinem Befehlszustand befindet. Der Betrieb dieser Verriegelungen unterscheidet sich von einer typischen Relaislogik oder von programmierbaren logischen Steuerungen dadurch, daß die Verriegelungskontrolle nach erfolgter Ventilbetätigung fortgesetzt wird, und kann zu unterschiedlichen Fehlerprogrammierungen (ABBRUCH-Zuständen) auf jeder Prozeßstufe führen. Der richtige Status eines Ventils wird im Speicher nach bestätigter Betätigung zwischengespeichert, und dieser zwischengespeicherte Zustand wird alle 6250 Mikrosekunden kontrolliert. Fig. 8 ist ein Blockschaltbild der zur Ausführung dieser Kontrollroutine notwendigen Komponenten der Sicherheitsverriegelung. Bei Nichterfüllung einer Zeitüberschreitungsbedingung für ein erstes Ereignis nach der Betätigung oder einer nachfolgenden Statuskontrolle erfolgt eine abnormale Beendigung des Sterilisierzyklus. Eine Folge von Steuervorgängen zur sicheren Beendigung des Zyklus ist für jeden Punkt im Sterilisierzyklus festgelegt und wird unverzüglich bei jeder abnormalen Prozeßbedingung (ALARM) eingeleitet. Diese intensive erfindungsgemäße Statuskontrolle verhindert ein vorsätzliches Umgehen der Verriegelungsschalter vor Ort, da beim Umgehen eines Endschalters an einem bestimmten Punkt im Systemzyklus festgestellt wird, daß dieser Schalter eine falschen Stellung hat, wodurch das System veranlaßt wird, einen ABBRUCH-Zustand einzunehmen.
Gemäß Fig. 8 weist das Sicherheitsverriegelungssystem ein Folgesteuerprogramm 120 auf, das im internen Speicher (ROM) der elektronischen Steuerung gespeichert ist. Das Folgesteuerprogramm 120 ist in einem beigefügten Listing des speicherresidenten Programms als SEQ bezeichnet, und Fig. 7A und 7B zeigen den Ablaufplan für dieses Programm. Außerdem sind im Speicher ein Programm 122 zur Kontaktstatuskontrolle und eine Reihe von Masken 124 gespeichert, die durch den jeweiligen Punkt im Folgeprogramm bestimmt werden. Das Programm zur Kontaktstatuskontrolle ist im Anhang mit CSC bezeichnet und sein Ablaufplan ist in Fig. 18 und 19 dargestellt. Vorgesehen sind Eingaben 126, die im Speicher abgelegte Abbilder von tatsächlichen Eingabesignalen von "offenen" Endschalterkontakten 127 (geschlossen bei geöffnetem Ventil und offen bei offenem Ventil) und "geschlossenen" Kontakten (geschlossen bei geschlossenem Ventil und offen bei offenem Ventil) sind, sowie Eingaben von anderen Komponenten, z. B. der Tür 11 zur Sterilisierkammer 10. Durch den jeweiligen Zustand des Folgesteuerprogramms wird außerdem eine Reihe von Kontaktausgaben 125 erzeugt. Das Programm 122 zur Kontaktstatuskontrolle vergleicht die Kontakteingaben mit den Kontaktausgaben 125. Bei jeder Abweichung einer Eingabe vom Sollwert, der durch die Ausgabe festgelegt ist, wird eine Alarmbedingung dann und nur dann deklariert, wenn ein entsprechendes Bit in der Maske 124 eingeschaltet ist. Durch dieses Sicherheitsmerkmal wird jede falsche Ventilstellung sofort festgestellt. Ein hardwareseitig implementierter Überwachungszeitgeber 132 dient zur zusätzlichen Erhöhung der Sicherheit, indem er alle Ausgaben zu den Ventilen 130 durch öffnen elektronischer Schalter 134 bei Zeitüberschreitung des Zeitgebers im Falle des Ausfalls der Mikroprozessorsteuerung sperrt, wodurch eine Aktivierung eines Ventils im Ventil- und Pumpenblock 20 bei einem Computerausfall verhindert wird.
Fig. 7A und 7B zeigen einen Ablaufplan für das Folgesteuerprogramm SEQ. Der Eintritt in das Folgesteuerprogramm erfolgt aus einem anderen Programm mit der Bezeichnung Hauptzuteilungsprogramm, das im wesentlichen in geeigneten Zeitabständen erzeugte Flags kontrolliert und bestimmt, wann spezifische Funktionen ausgeführt werden sollen. Gemäß Fig. 7A wird beim Eintritt in das Folgesteuerprogramm der aktuelle Systemzustand aus dem Speicher ausgelesen, was mit 180 bezeichnet ist. Der aktuelle Zustand wird in einem Register 210a im internen RAM der CPU gemäß Fig. 12 gespeichert. Die Organisation des internen RAM der CPU wird später im Zusammenhang mit Fig. 12 näher beschrieben. Bei 182 erfolgt eine Kontrolle, um zu bestimmen, ob der Zustand die maximale Zustandsanzahl überschreitet. Ist das der Fall, erfolgt bei 184 der Eintritt in einen ABBRUCH-Zustand, den Zustand 31, der im Zusammenhang mit Fig. 6 näher zu beschreiben ist. Andernfalls werden bei 186 die Bedingungen für den nächsten Zustand durch Eintritt in das Programm ST hergestellt, dessen Ablaufplan in Fig. 7B gezeigt ist.
Gemäß Fig. 7B wertet das Programm ST zunächst jedes abhängige Ereignis aus, um ein richtiges oder falsches Ergebnis zu ermitteln, was unter 188 und 189 dargestellt ist. Jedes abhängige Ereignis ist eine logische Kombination einer Anzahl von unabhängigen Ereignissen, die jeweils festgelegt sein müssen, wenn das abhängige Ereignis richtig ist. Ist das abhängige Ereignis nicht richtig, wird bei 190 ein Halte-Flag (FΦ) in einem Speicherplatz des internen RAM im Mikroprozessor (siehe Fig. 12) gesetzt. Andernfalls wird bei 192 der nächste Zustand eingestellt, und bei 193 wird ein neuer AB- BRUCH-Zustand eingestellt, sofern ein neuer ABBRUCH-Zustand erforderlich ist, ohne diesen jedoch einzunehmen.
Bei 194 muß die Zeitüberschreitung für das vorherige Ereignis gesperrt werden, damit die Zeitüberschreitung keine Erzeugung einer Alarmbedingung veranlaßt, durch die ein AB- BRUCH-Zustand eingenommen werden könnte. Zeitüberschreitungen sind durch programmseitig implementierte Zeitgeber vorgesehen, die innerhalb einer durch den Zeitgeber definierten voreingestellten Zeit die Durchführung eines festgelegten Vorgangs überwachen, z. B. die Bewegung eines Ventils. Erfolgte der festgelegte Vorgang, muß die Zeitüberschreitung gesperrt werden, da der Zeitgeber weiterläuft. Zum Sperren der Zeitüberschreitung wird gemäß Fig. 18 ein Flag im Zeitgeberzähler-Freigaberegister (TCEN) 207 im internen RAM (Fig. 12) gelöscht. Auf diese Weise wird beim Setzen des Flags für den Zeitgeber im Zeitgeberzähler-Flagregister (TCFL) 206 (Fig. 12) nach Ablauf des Zeitgebers kein Alarm erzeugt. Bei Erzeugung eines Zeitüberschreitungsalarms wird ein Bit TMOF im STATUS-Register gemäß Fig. 18 gesetzt.
Bei 195 werden die Masken gelöscht, d. h., für Bits, die den jeweils stattzufindenden Ereignissen entsprechen, wird eine "nicht zu beachtende" Bedingung eingestellt, so daß die Änderung der entsprechenden Bits in den Kontaktausgaben keine Alarmbedingung durch das Programm zur Kontaktstatuskontrolle auslöst. An dieser Stelle kann der Vorgang durchgeführt werden, was durch 196 bezeichnet ist. Anschließend wird die Zeitüberschreitungszählung für den Vorgang in das entsprechende Register der Zeitgeberregister 200 (Fig. 12) geladen, was später näher erläutert wird. Danach wird bei 197 das Zeitüberschreitungs-Flag für den Vorgang aktiviert, um die rechtzeitige Durchführung des gerade überwachten Vorgangs zu überwachen. Im Anschluß wird das Halte-Flag FΦ bei 198 gelöscht, und es erfolgt der Rücksprung zum Ablaufplan von Fig. 7A zu dem mit SEQR bezeichneten Punkt.
Bei 200 wird eine Prüfung durchgeführt, um zu bestimmen, ob eine Alarm- oder eine Zeitüberschreitungsbedingung vorlag. Trat ein Alarm oder eine Zeitüberschreitung auf, wird bei 201 für den aktuellen Zustand sofort der aktuelle ABBRUCH-Zustand eingestellt. Danach wird bei 202 das Halte-Flag FΦ kontrolliert, um zu bestimmen, ob es gesetzt wurde. Ist das der Fall, erfolgt ein Rücksprung zum Hintergrund- oder Hauptzuteilungsprogramm, aus dem der Eintritt in alle Subroutinen erfolgt. Wurde das Flag FΦ nicht gesetzt, verbleibt das System im Folgesteuerprogramm, um mit dem nächsten Zustand fortzusetzen; es wird nur verlassen, sobald das Flag FΦ gesetzt ist.
Fig. 19 ist eine nähere Veranschaulichung des Programms zur Kontaktstatuskontrolle. Darstellungsgemäß wird der den Kontakteingaben entsprechende Kontakteingabestatus in geeigneten Speicherplätzen des internen RAM im Mikroprozessor des Systems gespeichert. Die Speicherplätze entsprechen der Darstellung (siehe Fig. 12). Dies erfolgt ebenso für die Bits des Kontaktausgabestatus zum Festlegen der Ereignisse, die in einem speziellen Zustand auftreten müssen. Die ebenfalls im internen RAM gespeicherten Masken MSK0 bis MSK3 werden durch das Programm zur Kontaktstatuskontrolle ausgewertet. Weichen die Kontakteingaben von den Kontaktausgaben ab, wird eine Alarmbedingung durch Setzen eines Bits im Statusregister 204 erzeugt, das einen Speicherplatz im RAM (Fig. 12) belegt; dies geschieht jedoch nur, wenn das entsprechende Bit in der Maske eingeschaltet ist. Ist das Bit ausgeschaltet, was anzeigt, daß eine Änderung der entsprechenden Ausgabe zulässig sein soll, wird kein Alarm erzeugt, und die Kontaktausgaben werden in einen später näher zu erläuternden Ausgabepuffer eingeschrieben, um die jeweilige gesteuerte oder folgegesteuerte Komponente, z. B. ein Ventil oder eine Pumpe, ohne Alarmauslösung zu betätigen.
Ferner sind im System zusätzliche Sicherheitsmerkmale vorgesehen. Gemäß der vorstehenden Beschreibung sind manuell betätigte Ventile V9 und V10, die durch Wartungspersonal bedient werden, sowie eine Hilfspumpe P2 für den Fall eines nicht ordnungsgemäßen Betriebs der Ventile V8 und V3 sowie der Hauptpumpe P1 zu Redundanzzwecken vorgesehen. Gemäß Fig. 2 sind ferner Sicherheitsmerkmale vorgesehen, um mögliche Übertemperaturen und -drücke in der Sterilisierkammer 10 zu verhindern. Ein Thermoschalter 11a zur Feststellung von Übertemperaturen ist in der Kammer in Reihe mit einer Heizung HTΦ1 geschaltet. Sollte sich beispielsweise die Heizung HTΦ1 nicht ausschalten, erfaßt der Thermoschalter 11a eine Übertemperatur und unterbricht den Stromkreis.
Sollten sich in der Kammer Überdrücke aufbauen, ist zusätzlich ein Überdruckventil 9 zum Abblasen von Gasen aus der Kammer 10 über einen zweiten Entgifter 22a in die Atmosphäre vorgesehen.
Außerdem ist ein Rückschlagventil 15 in Reihe mit dem Ventil V4 geschaltet, das Chlorgas zum Sterilisieren zum System führt. Das Rückschlagventil 15 verhindert die mögliche Druckbeaufschlagung des Chlorgaskanisters durch Stickstoffgas aus dem Stickstoffkanister, wenn die Ventile V4 und V4a nicht schließen. Durch das Rückschlagventil 15 kann nur Chlorgas aus dem Chlorgaskanister ausströmen; wenn die Ventile V4 und V4a nicht schließen, verhindert es, daß Stickstoffgas in den Chlorgaskanister strömt.

Bedienerführung

Die Vorrichtung und der Sterilisierzyklus des erfindungsgemaßen Systems sehen minimale Eingriffe durch den Bediener und eine maximale Sicherheit vor. Fig. 5 zeigt eine Ausführungsform einer Anzeigetafel für die Erfindung mit den verschiedenen Anzeigelampen. Bestimmte Lampen sind für Erweiterungen vorgesehen und werden nicht verwendet. Der Sterilisierzyklus kann erst gestartet werden, wenn die Tür 11 zur Kammer 10 ordnungsgemäß geschlossen ist. Danach verlischt die Lampe "TÜR OFFEN" (LT1), was durch den Wechsel von LT01 von einer "1" im Zustand 1 zu einer "0" im Zustand 2 von Fig. 7 gezeigt ist; anschließend leuchtet die Lampe "ZYKLUS BEREIT" (LT11) auf. Siehe dazu Fig. 5. Zum Starten des Zyklus betätigt der Bediener lediglich den Schalter "ZYKLUS START" (S1) (siehe Fig. 1), wenn die Bereitschaft gegeben ist. Anschließend sind bis zum Zyklusende keinerlei Eingriffe des Bedieners erforderlich, bis die Lampe "LADUNG ENTNEHMEN" (LT17) aufleuchtet oder eine Alarmbedingung den Zyklus gestoppt hat. Im letzteren Fall leuchtet eine der Alarmlampen zur Fehleranzeige auf. Der Bediener registriert die eingeschalteten Lampen, nimmt die notwendige Handlung vor und betätigt bei Bereitschaft den Schalter "ABBRUCH-RÜCKSETZEN" (S2), um den Systemzyklus in einen definierten Zustand zurückzusetzen und nach Möglichkeit die Fehlerbedingung zu vermeiden. Ist beispielsweise die Lampe "SPÜLUNG FEHLER" (LT5) aufgrund eines möglicherweise leeren Stickstoffbehälters eingeschaltet, sollte der Behälter vor Betätigung des Schalters S2 ausgetauscht werden. Auf ähnliche Weise sollte bei anderen Fehlern versucht werden, die Fehlerbedingung vor Betätigung des Schalters S2 zu diagnostizieren und zu beheben. Die nachfolgenden Vorgänge zum Zyklusabbruch sind danach vorbestimmt und laufen automatisch ab. Dabei ist kein weiterer Eingriff des Bedieners erforderlich. Ferner ist das System redundant, d. h., bei Ausfall einer Komponente kann eine andere Komponente, z. B. eine Pumpe oder ein Ventil, an die Stelle der ausgefallenen Komponente treten, so daß der Fehlerzustand des Systems behoben werden kann.

Gestaltung des Steuerschaltungsaufbaus

Die Gesamtgestaltung des elektronischen Steuerschaltungsaufbaus 100 ist in Fig. 3 gezeigt. Die Steuerung beruht auf einer Mikroprozessorsteuerung und verwendet für die CPU 102 vorzugsweise Mikroprozessoren des Typs 8031, 8051 oder 8751 der Firma Intel Corp., da diese Prozessoren boolesche Arithmetikoperationen an bitadressierbaren Daten durchführen können. Die CPU 102 weist den eingebauten Schreib-Lese-Speicher (RAM) und Lesespeicher (ROM) auf. Ferner kann die Steuerung einen externen ROM 104 und einen nicht flüchtigen Schatten-RAM (SRAM) 106 aufweisen, die vom Typ X2210 der Firma XICOR Inc. sein können und gemäß der vorstehenden Beschreibung kritische Daten nach einem Stromausfall speichern. Außerdem weist die Steuerung auf: einen schwingquarzgesteuerten Taktgeber 108, einen Eingabezwischenspeicher 113 zum Empfangen von Digitaleingaben (DIN-Zwischenspeicher), einen Analog- Digital-Wandler (A/D-Wandler) 114 und ein Filter 114a für Analogeingaben (AIN), einen Ausgabezwischenspeicher 117 für Digitalausgaben (DOU-Zwischenspeicher) und einen Überwachungszeitgeber (WDT) 112. Dieser Zeitgeber dient zum Sperren aller Ausgaben zu den Ventilen, um ihren Zustand bei Ausfall des Mikroprozessors zu deaktivieren, was vorstehend anhand von Fig. 8 beschrieben wurde. Der A/D-Wandler 114 und das Analogfilter 114a wandeln die Analogeingaben der Meßwerte für Gaskonzentration, Temperatur, Feuchtigkeit und Druck in Digitaldaten um.
Der zentrale Prozessor 102 ist mit einem Adreß-/Datenbus 116 gekoppelt, an dem auch der RAM 106, ROM 104 und ein Bus- Sende-Empfänger 105 angeschlossen sind. Ein Adreßzwischenspeicher 103 wird durch eine Leitung 107 von der CPU 102 freigegeben und führt eine Zwischenspeicherung von Adressen zu einem weiteren Bus 109 durch, dem Lese-/Schreib- und Adreßbus. Durch den Bus 109 können der DIN-Zwischenspeicher 113, der A/D-Wandler 114, eine Kontrolluhr 119 und der DOU- Zwischenspeicher 117 zu den entsprechenden Zeiten während der Ausführung des Sterilisierfolgeprogramms adressiert werden, d. h., wenn die CPU 102 Eingabedaten von den verschiedenen Ventilendschaltern abruft, wird der DIN-Zwischenspeicher 113 adressiert. Zu anderen Zeiten werden der A/D-Wandler 114 oder der DOU-Zwischenspeicher 117 adressiert.
Zwei Decodierer, ein Lesefreigabe-Decodierer 120 und ein Schreibfreigabe-Decodierer 122, sind mit dem Bus 109 gekoppelt und ermöglichen das Auslesen oder Einschreiben für die Zwischenspeicher 113 und 117 sowie den A/D-Wandler 114. Die jeweiligen Schreib-/Lesebefehle werden auf Leitungen 126 zum Steuern der Decodierer herangeführt.
Ferner ist ein Datenbus 124 zum Auslesen bzw. Einschreiben von Daten für die Eingabe- und Ausgabezwischenspeicher sowie für den A/D-Wandler vorgesehen.
Verwendet werden außerdem mehrere zusätzliche Steuerleitungen, einschließlich einer Datenbus-Freigabeleitung 125 und einer RAM-Befehlsleitung 127. Die Leitung 125 bewirkt eine Freigabe des Bus-Sende-Empfängers 105 nur für sehr kurze Intervalle und nur während Eingabe-/Ausgabe-(E/A-)Subroutinen (z. B. die Subroutinen WCO (Kontaktausgaben einschreiben), RCI (Kontakteingaben auslesen) und RAI (Analogeingaben auslesen), siehe Anhang), wenn Eingabe- und Ausgabeoperationen durchgeführt werden, z. B. das Einschreiben von Ausgabeinformationen in den DOU-Zwischenspeicher 117 zum Steuern der Ventile. Auf diese Weise ist es mit Ausnahme von beschränkten Umständen unmöglich, Daten auf dem Datenbus 124 zum Betätigen der verschiedenen Ventile des Ventil- und Pumpenblocks nicht zu den Ventilen zu übertragen. Dadurch wird die Systemsicherheit weiter erhöht. Ferner ist der Bus-Sende-Empfänger XCVR 105 bidirektional, wobei die Datenübertragungsrichtung darstellungsgemäß durch die Lese- oder die Schreibleitung gesteuert wird.
Über die RAM-Befehlsleitungen 127 werden Signale zum Schatten-RAM 106 so geführt, daß Fehler ständig protokolliert und andere kritische Daten bei einem Stromausfall gespeichert werden können.
Eine Rücksetzleitung 129 ist ferner zwischen dem Schreibfreigabe-Decodierer 122 und dem Überwachungszeitgeber 112 vorgesehen, und eine Freigabeleitung 130 ist zwischen dem Zeitgeber 112 und dem DOU-Zwischenspeicher 117 vorgesehen. Wie zuvor erläutert wurde, überwacht der Zeitgeber 112 die CPU 102 auf ordnungsgemäßen Systembetrieb. Normalerweise setzt die CPU 102 den Überwachungszeitgeber ständig über die Leitung 129 zurück. Bei einer Fehlfunktion der CPU trifft das Rücksetzsignal nicht rechtzeitig ein, wodurch der Zeitgeber 112 seine Zeit überschreitet und das Freigabesignal für die Ausgabe auf der Leitung 130 entfernt. Durch die Entfernung dieses Signals werden alle Ausgaben des DOU-Zwischenspeichers 117 gesperrt, wodurch eine Ventilaktivierung bei einem CPU- Fehler verhindert wird. Dadurch erhält das beschriebene System eine noch höhere Sicherheit.
Da die Elemente der Steuerung gemäß Fig. 3 mit den Datenbussen 116 und 124 gekoppelt sind, sind ihnen Speicheradressen zugewiesen, über die der Mikroprozessor auf sie zugreifen kann. Fig. 3A zeigt beispielhaft eine Anordnung dieser Adressen. Gemäß der vorstehenden Erläuterung sind bestimmte Bausteine, z. B. der SRAM 106 und der DOU-Zwischenspeicher 117 so vorgesehen, daß die in ihnen enthaltenen Daten nur geändert werden können, wenn Bits der Anschlußleitungen des Mikroprozessors ordnungsgemäß folgegesteuert werden. Dabei handelt es sich um ein Sicherheitsmerkmal, mit dem verhindert wird, daß gewisse Arten von Mikroprozessorfehlern unerwünschte Änderungen an Speicherinhalten oder Ventilstellungen verursachen.
Die gesamte Zeitsteuerung für den Prozessor und die Programme beruht auf dem Grundtaktoszillator 108, der vorzugsweise eine Frequenz von 5,9904 MHz hat. Fig. 4 veranschaulicht die Beziehung zwischen den verschiedenen verwendeten Frequenzen. Gemäß Fig. 3 kann ebenfalls vorgesehen sein, dem System eine über den Daten-/Adreßbus oder über eine serielle Datenübertragungsleitung 118 ablesbare Präzisionsuhr 119 zuzufügen, um so eine Uhr mit Kalender zum zeitlichen Markieren der Prozeßdaten vorzusehen.
Gemäß Fig. 4 erfolgt die Zeitsteuerung des Grundprozessors durch den internen schwingquarzgesteuerten Taktgeber 108 der CPU. Die Frequenz des Taktgebers 108 wird durch zwölf CPU-interne Zählerstufen 130 und 132 geteilt, um das CPU-Signal "Freigabe Adreßzwischenspeicher" (ALE) von 499200 Hz zu erzeugen. Das Signal ALE wird zum Abtasten des Adreßzwischenspeichers 103 verwendet, damit Adressen zum Bus 109 geführt werden können, und steuert ferner den Betrieb des A/D-Wandlers 114.
Außerdem wird das Signal ALE an weiteren internen Teilerstufen 134 und 136 angelegt. Die Teilerstufe 134 erzeugt ein mit TIMER 1 bezeichnetes Signal, das durch eine interne Zählerstufe 138 weiter in ein Signal mit 1200 Bit/s für die serielle Datenübertragung aufgeteilt wird, die wahlweise zur Fernübertragung von Systemdaten über die serielle Leitung 118 vorgesehen sein kann.
Die Zählerstufe 136 generiert eine Unterbrechung TIMERO. TIMERO erzeugt alle 6250 us einen Übergang, wodurch das zeitgesteuerte Hauptfunktionsprogramm TMRO alle 6250 us sämtliche Kontakteingaben und Analogeingaben einlesen und alle Kontaktausgaben auslesen kann. Der Betrieb dieses Programms und anderer Programme des Betriebssystems werden später näher beschrieben.
Die Unterbrechung TIMERO wird anschließend durch Zählerstufen 142, 144 und 146 der Programmsoftware TMRO weiter aufgeteilt, um die jeweiligen Ausführungssignale für das Programm mit der Bezeichnung TIC, SEC und MIN zu erzeugen, die in Intervallen von 50 ms, 1 s bzw. 1 min auftreten. Diese werden später näher erläutert.
Fig. 3A ist eine nähere Darstellung der Adreßzuordnung auf dem Adreßbus 109. Darstellungsgemäß ist der Bus 109 ein 16-Bit-Bus. Dem internen RAM der CPU ist ein Adreßbereich 00 bis FF zugeordnet, und Bits A0 bis A7 auf dem Bus 109 bezeichnen die RAM-Speicherplätze. Der interne ROM ist durch Bits A&sub0; bis A&sub1;&sub5; bezeichnet, wobei die Bits A&sub1;&sub2; bis A&sub1;&sub5; darstellungsgemäß stets Nullen sind. Es werden Adressen zwischen 0000 und 0FFF verwendet. Den anderen Komponenten, dem externen ROM 104, dem externen RAM 106, der Uhr 119, dem A/D-Wandler 114, dem DIN-Zwischenspeicher 113, dem DOU-Zwischenspeicher 117 und dem Überwachungszeitgeber 112 werden die in Fig. 3A gezeigten Adressen zugeordnet. Gemäß der Darstellung können der DIN- und DOU-Zwischenspeicher jeweils vier 8-Bit-Wörter speichern, wobei der DIN-Zwischenspeicher eine Zwischenspeicherung von den verschiedenen Endschaltern und anderer Kontakteingaben und der DOU eine Zwischenspeicherung zu den verschiedenen Ventilen, Pumpen usw. vornimmt. Die digitalen Eingaben DIN und digitalen Ausgaben DOU werden jeweils in vier Wörter mit je 8 Bits unterteilt, und der Zugriff auf alle acht Bits jeder Gruppe erfolgt gleichzeitig durch die jeweiligen Adressen gemaß Fig. 3A.
Gemäß Fig. 3 werden die Analogparameter für Druck, Temperatur, Feuchtigkeit und Konzentration des Chlordioxidgases von entsprechenden Sensoren 114c zu entsprechenden Verstärkern 114d, e, f und g geführt. Zur zusätzlichen Systemsicherheit beim Evakuieren von sterilisierendem Chlordioxidgas aus der Sterilisierkammer ist eine genaue Messung der Werte für die Konzentration des Chlordioxidgases wichtig. Folglich wird der Verstärker 114g für das Signal der Gaskonzentration durch ein Steuersignal Y37 während der Evakuierungszeit der Sterilisierkammer auf eine hohe Verstärkung umgeschaltet. Auf diese Weise vergleicht der A/D-Wandler 114 das Analogeingabesignal der Konzentration mit einer größeren Zahl von A/D-Umwandlungswerten, woraus sich ein genauerer Wert für die tatsächliche Konzentration ergibt. Zu allen anderen Zeiten behält der Verstärker 114g eine geringe Verstärkung bei. Beispielsweise werden bei der Messung von Chlordioxidwerten in der Kammer zum Bestimmen einer geeigneten Sterilisierkonzentration viel höhere Konzentrationswerte gemessen, und folglich liefert der A/D-Wandler 114 eine genaues Digitalsignal entsprechend dem Analogwert der Konzentration. Daher kann der Verstärker 114g in einer geringen Verstärkung bleiben. Auf eine hohe Verstärkung kann der Verstärker 114g durch das Signal Y37 umgeschaltet werden, das von "0" auf "1" wechselt.
Die Systemdatenbank läßt sich so vergegenwärtigen, daß sie in einen externen und einen internen Abschnitt unterteilt ist. Die externe Datenbank enthält die Kontakteingaben (CCI), die sich aus den Digitaleingaben DIN zusammensetzen, die Kontaktausgaben (CCO), die sich aus den Digitalausgaben DOU zusammensetzen, und die Analogeingaben (AIN). Abbilder der externen Datenbank werden in einer internen Datenbank mit Speicherplätzen im internen RAM durch Subroutinen des TIMERO-Programms (TMRO) abgelegt, das alle 6250 Mikrosekunden aufgerufen wird. D. h., alle 6250 Mikrosekunden werden alle Kontakteingaben und Analogmeßwerte gelesen und in der internen Datenbank der Steuerung gespeichert, und Abbilder der Kontaktausgaben werden in den DOU-Zwischenspeicher geladen. Gemäß Fig. 12, bei der es sich um ein Speicherabbild für den internen Daten-RAM der CPU 102 handelt, werden die Abbilder der Kontakteingaben als Variablen CCI0 bis CCI3 gespeichert, und die gefilterten Analogeingaben werden als Variablen ADI0 bis ADI7 gespeichert. Die Kontaktausgaben werden als Variablen CCO0 bis CCO3 gespeichert. Programme, die die Eingabedaten verwenden, rufen sie nur aus diesen Speicherplätzen ab, nicht von den Eingabebausteinen direkt. Daher arbeiten die Programme nur mit Abbildern der Eingaben und Ausgaben. Zusätzlich weist die interne Datenbank eine Reihe von Registerbänken RBΦ bis RB3 auf. In der RBΦ ist eine Anzahl von Zeitgebern 205 mit einem 50-ms-Zeitgeber TICK (50 ms), einem Sekundenzeitgeber TSEC (1 s) und einem Minuten-Zeitgeber TMIN (1 min) vorgesehen. Diese Zeitgeber erzeugen zeitgesteuerte Funktionsintervalle für die zeitrichtige Ausführung von Funktionen, die durch das Hauptzuteilungsprogramm des Systems in diesen Intervallen vorgesehen sind. Der TICK-Zeitgeber überschreitet nach 50 ms seine Zeit und setzt ein Flag TICF im STATUS-Register 204 zur Verwendung durch das Hauptzuteilungsprogramm, um alle zeitgesteuerten Funktionen auf 50-ms-Basis auszulösen, einschließlich einer Anzahl von Zeitgebern 200 TTMx in der Registerbank RB3, die alle 50 ms aufgerufen werden. Diese Zeitgeber werden vorzugsweise zum Überwachen von Zeitüberschreitungsbedingungen aktiviert, z. B. für die Systemventile.
Auf ähnliche Weise überschreitet der TSEC-Zeitgeber seine Zeit nach einer Sekunde und setzt ein Flag (SECF) im STA- TUS-Register 204 zur Verwendung durch das Hauptzuteilungsprogramm, um alle zeitgesteuerten Funktionen auf 1-Sekunden-Basis auszulösen, einschließlich einer Anzahl von Zeitgebern 200 STMx in der Registerbank RB3, die jede Sekunde aufgerufen werden. Ebenso überschreitet der Zeitgeber TMIN seine Zeit nach einer Minute und setzt ein Flag (MINF) im STATUS-Register 204 zur Verwendung durch das Hauptzuteilungsprogramm, um die zeitgesteuerten Funktionen auf 1-Minuten-Basis auszulösen, einschließlich einer Anzahl von Zeitgebern 200 MTMx in der Registerbank RB3, die jede Minute aufgerufen werden. Außerdem weist der Datenspeicher Register in der RB2 zum Verfolgen des durch das Folgeprogramm eingenommenen aktuellen Zustands und ABBRUCH-Zustands auf. Ebenfalls vorgesehen sind das Folgestatusregister 204, die bereits erläuterten TCEN- und TCFL-Register 207 und 208 für die Zeitgeber und ein Steuerregister CTRL zum Aktivieren einer Steuerungsberechnung, um ein Ventil zu öffnen oder zu schließen. Darstellungsgemäß werden vier Bits des Steuerregisters zum Steuern der vier Regelkreise des Systems nach Maßgabe der Meßparameter für Temperatur, Feuchtigkeit, Druck und Gaskonzentration verwendet. Eine Anordnung von Bitmasken 260 ist in der internen Datenbank vorgesehen, um "nicht zu beachtende" Bedingungen beim Vergleichen des Status von Kontakteingaben und -ausgaben zuzulassen. Weitere Beschreibungen der Datenelemente finden sich im Quellprogramm-Listing der Steuerung im Anhang zu dieser Beschreibung.
Insbesondere kann der interne RAM der CPU 102 gemäß der nachfolgenden Beschreibung organisiert sein. Die 256 (FF) Speicherplätze sind gegliedert in: 50-ms-, Ein-Sekunden- und Ein-Minuten-Zeitgeber in den Registern für die zeitgesteuerten Funktionen (Speicherplätze 00 bis 07); wahlweise zu verwendende Kommunikationsprogrammregister (Speicherplätze 08 bis 0F) zum Steuern eines Empfangspuffers RBUF und eines Sendepuffers TBUF; Hauptzuteilungsprogrammregister (Speicherplätze 10 bis 17); Zeitgeber 200, die in 50-ms-, Ein-Sekunden- und Ein-Minuten-Intervallen durch die Zeitgeber 205 implementiert sind (18 bis 1D); (Zähler 1E und 1F); ein Status- Byte 204 (20); ein Steuer-Byte 206 (21); ein Zeitgeberfreigabe-Byte TCEN (22); ein Zeitgeber-Flagbyte TCFL (23); eine Reihe von Masken 260 für die Eingaben (24 bis 27); die Abbilder der Kontaktausgaben CCO0 bis CCO3 (28 bis 2B); die Abbilder der Kontakteingaben CCI0 bis CCI3 (2C bis 2F); die Analogeingaben ADI0 bis ADI7 (30 bis 37); und Sollwerte für die Prozeßmeßwerte, z. B. Temperatur, Druck, Konzentration und Feuchtigkeit (38 bis 3B). Der Rest des internen RAM ist den Kommunikationspuffern (4Φ bis 5F), dem Systemstapelspeicher (6Φ bis 7F) und internen Mikroprozessorregistern und -speichern (8Φ bis FF) zugeordnet, deren Verwendung dem Fachmann bekannt ist. Siehe dazu "Microcontroller User's Manual" (Benutzerhandbuch für Mikroprozessorsteuerungen), veröffentlicht von der Firma Intel Corp., Mai 1982, Dokument Nr.
210359-001. Obwohl das gesamte Systemprogramm im internen ROM der CPU 102 enthalten ist, kann auch ein externer ROM so vorgesehen sein, daß zusätzliche Programmierungsmöglichkeiten gegeben sind. Neben Fig. 12 sind die Inhalte der Register STATUS, CTRL, TCEN und TCFL bitweise dargestellt.

Zustandsabfolge

Der Verlauf des Sterilisierzyklus kann anhand der Lampen " . . . LÄUFT" auf der Anzeigetafel gemäß Fig. 5 bestimmt werden. Während eines normalen Zyklus sollten die Fehleranzeigelampen niemals leuchten. Bei einem normalen oder abgebrochenen Zyklus werden sowohl die Zyklus- als auch die Fehlerdaten in einem nichtflüchtigen Schreib-Lese-Speicher oder Schatten- RAM (SRAM) gespeichert. Beispielsweise sind nach einer vorbestimmten Zyklusanzahl, z. B. drei Zyklen, die Gaspatronen leer und müssen ausgetauscht werden. Die Daten über die Anzahl der Zyklen, in denen eine Gaspatrone verwendet wurde, werden in diesem Speicher gespeichert. Außerdem wird nach einer vorbestimmten Zyklusanzahl oder nach wiederholten Fehlern das System gesperrt, bis eine Wartung durchgeführt wurde.
Dies ist ein Sicherheitsmerkmal, das sich vor Ort nicht umgehen läßt, und diese Daten werden ebenfalls im nichtflüchtigen Speicher gespeichert.
Wie erläutert wurde, ist Fig. 6 ein Zustandsdiagramm, das den Betrieb des Folgesteuerprogramms des Sterilisiersystems definiert. Fig. 7 kennzeichnet die Bedingung der in Fig. 2 bezeichneten Komponenten sowie die Anzeigelampen gemäß Fig. 5 für die verschiedenen Prozeßzustände. Nunmehr kann der Betrieb des Systems näher beschrieben werden.
Das System startet stets in einem Initialisierungszustand, dem Zustand 0. In diesem Zustand werden alle Ausgabeleitungen des Mikroprozessors im Steuerschaltungsaufbau 100 so gesetzt, daß zunächst alle Ventile im Ventil- und Pumpenblock 20 deaktiviert werden. Nach einer kurzen Zeitverzögerung wird das Ventil V7 geöffnet, um Luft in die Kammer zu lassen, was durch eine "1" neben VV07 für den Zustand 0 in Fig. 7 gezeigt ist. Ferner speichert in diesem Zustand der Steuerschaltungsaufbau 100 im Speicher den Zustand aller Ausgabeanschlüsse des Mikroprozessors ab.
In den Zuständen 0 und 1 ist die Tür zur Sterilisierkammer 10 geöffnet. Sobald die Tür geschlossen wird, erfolgt der Eintritt in den Zustand 2. Gemäß Fig. 6 bedeutet das, daß das System zum Beginn seines Zyklus bereit ist. Gemäß Fig. 7 werden im Zustand 2 ferner die Ventile V1 bis V6 geschlossen, das Ventil V7 bleibt offen und das Ventil V8 wird geschlossen. Die Anzeigelampen LT1 bis LT6 sind ausgeschaltet, die Lampe LT11 ("ZYKLUS BEREIT") leuchtet auf und die Lampen LT12 bis LT17 sind aus. Die entsprechenden Endschalter (LS) befinden sich in einer Position, die durch den Zustand des zugehörigen Ventils bestimmt wird; z. B. ist für das Ventil V2, das geschlossen ist, der Endschalter LS2o geöffnet, während der Endschalter LS2c geschlossen ist. Wie vorstehend beschrieben wurde, sind an jedem Ventil zwei Endschalter zur Gewährleistung der Systemsicherheit vorgesehen: einer für die offene Stellung und einer für die geschlossene Stellung. Beide Endschalter müssen sich in ihrer richtigen Stellung befinden, ansonsten tritt ein Fehler auf.
Wird die Tür zur Kammer 10 geöffnet, befindet sich das System im Zustand 1, nachdem der Initialisierungszustand durchlaufen wurde. Folglich ist nur die LT1 eingeschaltet, und die anderen Lampen sind gemäß Fig. 7 ausgeschaltet.
Unter der Annahme, daß die Kammertür geschlossen wurde und sich das System im Zustand 2 befindet, geht bei Betätigung des Schalters S1 "ZYKLUSSTART" das System zum Zustand 3 über. Dabei schließt das Ventil V7, was durch die "0" in der Spalte für den Zustand 3 in Fig. 6 angezeigt ist, und die Lampe LT12 "ZYKLUS LÄUFT" wird eingeschaltet. Gemäß Fig. 2 entlüftet das Ventil V7 bei seiner Öffnung die Kammer 10 über ein Filter 13 in die Atmosphäre. Folglich ist der Zustrom gefilterter Außenluft in die Kammer beim Schließen des Ventils V7 unterbrochen.
Wird im Zustand 2 die Tür geöffnet, erfolgt ein sofortiger Rücksprung zum Zustand 1.
Sobald der Zustand 3 erreicht und V7 geschlossen ist, was durch den geschlossenen Zustand des Endschalters LS7c und den offenen Zustand des Endschalters LS7o bezeichnet ist, erfolgt der Eintritt in den Zustand 4. Schließt das Ventil V7 nicht innerhalb einer bestimmten, durch eine Zeitüberschreitung festgelegten Zeit, die durch einen der TIC-Zeitgeber TTMx in der RB3 des Datenspeichers implementiert ist, wird der Zustand 29, ABBRUCH-1, eingenommen. Ferner wird bei einer auftretenden Alarmbedingung, z. B. dem öffnen eines Ventils, das geschlossen sein sollte, eine Alarmbedingung erzeugt und der Fehlerpunkt auf der Anzeigetafel angezeigt, was den Bediener darüber informiert, daß eine Fehlfunktion aufgetreten ist.
Sobald im Zustand 3 die Kammertür geöffnet wird, kommt es gemäß Fig. 6 zum Zyklusabbruch.
Wenn V7 geschlossen und der Zustand 4 eingenommen ist, wird die Kammerheizung HTΦ1 eingeschaltet, was durch die "1" in der Spalte für den Zustand 4 neben HTΦ1 angezeigt ist. Steigt die Kammertemperatur innerhalb eines Zeitlimits auf einen ausreichenden Wert, kann der Eintritt in den Zustand 5 erfolgen. Andernfalls wird ABBRUCH-1, Zustand 29, eingenommen, und anschließend erfolgt ein Rücksprung zum Zustand 2, wenn der Schalter S2 betätigt wird. Eine sichere Betriebstemperatur ist dann erreicht, wenn ein Temperaturschalter T1 (Fig. 2) durch die Atmosphärentemperatur in der Kammer betätigt wird, sobald die gewünschte Temperatur erreicht ist. Danach wird die Temperatur durch bedarfsweises Ein- und Ausschalten der Heizung im Verlauf des Zyklus gesteuert, was durch die Angabe "C" in den Spalten von Fig. 7 neben "HTΦ1" dargestellt ist.
Nach Eintritt in den Zustand 5 wird das Ventil V1 in Vorbereitung auf das Anlaufen der Vakuumpumpe P1 geöffnet, so daß die in der Kammer 10 enthaltene Atmosphäre evakuiert werden kann. Öffnet sich das Ventil V1 nicht innerhalb eines Zeitlimits, wird wiederum ABBRUCH-1, der Zustand 29, eingenommen.
Der Eintritt in den Zustand 6 erfolgt, wenn das Vakuumventil V1 innerhalb des Zeitlimits öffnet. An dieser Stelle wird die Pumpe P1 gestartet, und die Lampe LT13 zeigt an, daß die Evakuierung läuft. Ein Zeitgeber wird gestartet, der die Zeitspanne bestimmt, in der die Pumpe eingeschaltet bleibt.
Sobald der Zustand 6 erreicht ist, läßt sich die Kammertür 11 nicht mehr öffnen, da an dieser Stelle im Zyklus ein Vakuum in der Kammer herrscht.
Im Zustand 6 wird der Druck in der Kammer kontrolliert, um zu bestimmen, ob er ausreichend so verringert wurde, daß er gleich oder kleiner als ein als PEVAC definierter Nennwert ist. Ist der Druck kleiner als PEVAC, wird Zustand 7 eingenommen, und das Ventil V1 wird geschlossen.
Sollte nach Ablauf der Evakuierungszeit der Druck in der Kammer größer als PEVAC sein, was auf ein unzureichendes Vakuum verweist, erfolgt der Eintritt in den Zustand 29. Der Zustand 29 wird aus dem Zustand 7 ebenfalls eingenommen, wenn das Ventil V1 nicht innerhalb einer festgelegten Zeit schließt.
Nach dem Schließen des Ventils V1 im Zustand 7 beginnt im Zustand 8 eine Dichtheitshalteprüfung. Liegt der Druck nach der Dichtheitshalteprüfung unter einem Nennwert PLEAK, erfolgt der Eintritt in den Zustand 9. Andernfalls wird der Abbruchzustand 29 eingenommen.
Im Zustand 9 wird Wasserdampf in die Kammer eingelassen, d. h., das Ventil V6 wird in einen gesteuerten Öffnungszustand versetzt, was durch "C" in Fig. 6 bezeichnet ist; dabei wird bestimmt, ob der Feuchtigkeitsgehalt in einer bestimmten Zeit einen festgelegten Wert erreicht hat. Sollte innerhalb der festgelegten Zeit keine Nennfeuchtigkeit HNOM erreicht werden, erfolgt der Eintritt in den Zustand 30, ABBRUCH-2. Da die Evakuierung abgeschlossen wurde, ist die Lampe LT13 aus und die Lampe LT14 als Anzeige für "FÜLLUNG LÄUFT" eingeschaltet. Unter "FÜLLUNG" ist die Zufuhr eines nichtsterilisierenden Gases in die Kammer zu verstehen, z. B. Dampf und Stickstoffgas. An dieser Stelle tritt das System in einen neuen Abschnitt im Zustandsdiagramm ein, in dem das System bei Fehlfunktionen zu einem anderen Abbruchzustand, dem Zustand 30, zurückkehren kann. Der Zustand der verschiedenen Ventile und Anzeigen für ABBRUCH-2 (Zustand 30) ist in Fig. 7 dargestellt.
Im Zustand 9 überschreitet der Feuchtigkeitszeitgeber sein Zeitlimit. Ist der Feuchtigkeitsgehalt größer als ein Nennwert HNOM, erfolgt der Eintritt in den Zustand 10. Ansonsten wird Zustand 30 eingenommen und der Zyklus abgebrochen.
Im Zustand 10 wird eine Feuchtigkeitshalteprüfung durchgeführt, bei der der Feuchtigkeitsgehalt über eine vorbestimmte Zeitspanne überwacht wird. Wird der Feuchtigkeitsgehalt nicht über die vorbestimmte Zeit aufrechterhalten, erfolgt der Eintritt in den Zustand 30. Andernfalls wird Zustand 11 eingenommen. Die Ventile V2 und V8 werden geöffnet, und das Ventil V5 wird zusammen mit dem Ventil V6 aufgesteuert.
Über das Ventil V5 kann Stickstoff in das System einströmen. Obwohl das Ventil V2 geöffnet ist, kann kein Chlordioxid in die Kammer eintreten, da die Ventile V4 und V4A, die gemeinsam gesteuert werden, geschlossen sind.
Im Zustand 11 wird das Ventil V2 kontrolliert, um zu bestimmen, ob es sich geöffnet hat. Ist es innerhalb einer festgelegten Zeit nicht geöffnet, erfolgt der Eintritt in den Zustand 30. Bei rechtzeitiger Öffnung des Ventils V2 wird Zustand 12 eingenommen, und die Ventile V4 und V4A werden aufgesteuert, damit Chlordioxid in die Kammer einströmen kann. Ein Zeitgeber wird gestartet, und während seiner Laufzeit werden die Werte für die Konzentration des Chlordioxidgases in der Kammer gemessen. Wie zuvor erläutert wurde, kann Chlordioxid durch die Reaktion zweier Bestandteile vor Ort erzeugt werden: Cl&sub2;-Gas und Natriumchlorit, NaClO&sub2;. Chlorgas befindet sich in einem Kanister, der an das System über einen bekannten Verbindungsanschluß angeschlossen sein kann. Ein Behälter mit Natriumchlorit ist gemäß Fig. 2 in das System zwischen den Ventilen V2 und V4 eingeschaltet. Im Zustand 12 ist die LT14 aus- und die LT15 "STERLISIERUNG LÄUFT" eingeschaltet.
Sobald die im Zustand 12 gemessene Gaskonzentration innerhalb einer voreingestellten Zeitspanne eine Konzentration erreicht hat, die gleich oder größer als eine Nennkonzentration CNOM ist, erfolgt der Eintritt in den Zustand 13. Eine zulässige Konzentration des Sterilisiergases könnte z. B. 1,0 mg/l bis etwa 300 mg/l betragen. Andernfalls wird ein neuer Abbruchzustand eingenommen, ABBRUCH-3, Zustand 31. Dieser neue Abbruchzustand ist wegen der nunmehr neuen Bedingungen in der Sterilisierkammer notwendig, da sich jetzt sterilisierendes Chlordioxidgas in der Kammer befindet. Somit müssen im Fehlerfall andere Verfahren durchlaufen werden, was folglich einen neuen Abbruchzustand nach sich zieht.
Im Zustand 13 beginnt eine Gashalteprüfung. Ist die Gaskonzentration gleich oder größer als CNOM über eine vorbestimmte Zeitspanne GTMR, erfolgt der Eintritt in den Zustand 14. Ansonsten wird Zustand 31 eingenommen und der Zyklus abgebrochen.
Im Zustand 14 wird die Temperatur in der Kammer gemessen. Ist sie größer als eine Mindesttemperatur TMIN, überschreitet jedoch nicht eine Höchsttemperatur TMAX, erfolgt der Eintritt in den Zustand 15, und es wird ein Sterilisierzeitgeber gestartet. Bei inadäquater Temperatur wird Zustand 31 eingenommen und ein Abbruch durchgeführt. Eine typische Betriebstemperatur liegt etwa bei 30ºC.
Im Zustand 15 läuft die Sterilisierung ab. Das Ventil V6 für die Feuchtigkeitssteuerung ist noch immer aufgesteuert, und die Ventile V4 und V4A sind ebenfalls aufgesteuert. Sollte eine Alarmbedingung auftreten, z. B. bei Änderung einer Bedingung, d. h., wenn ein Ventil nicht im richtigen Zustand verbleibt, erfolgt der Eintritt in den Zustand 31. Der Zustand 16 wird erst nach Ablauf einer Sterilisierzeit STMR eingenommen, die typischerweise mehrere Stunden betragen kann.
Im Zustand 16 sind die Ventile V4, V4A und V6 geschlossen (falls sie nicht innerhalb des vorgeschriebenen Zeitlimits schließen, erfolgt der Eintritt in den Zustand 31), das Ventil V3 befindet sich in einem gesteuerten Zustand, und das Ventil V8 ist noch immer offen. Im Zustand 17 wird die Lampe LT15 aus- und die Lampe LT16 eingeschaltet. Die Lampe LT15 erlischt, wenn der Sterilisierzeitgeber seine Zeit überschritten hat und sich die Ventile V4 und V4A geschlossen haben. Die Lampe LT16 zeigt an, daß eine Spülung abläuft. Im Zustand 17 werden die Gase in der Kammer über die Ventile V3 und V8 sowie den mit DUMP 22 bezeichneten Entgifter 22 entfernt, der das Chlordioxid in einen ungefährlichen Stoff umwandelt. Die Entgiftung kann durchgeführt werden, indem das evakuierte Chlordioxidgas durch ein Reduktionsmittel geführt wird, z. B. Natriumthiosulfat. Die entgifteten Gase werden durch die Vakuumpumpe P1 über das Ventil V8 abgepumpt. Sollten die Ventile V3 und V8 nicht innerhalb eines Zeitlimits öffnen, wird Zustand 31, ABBRUCH-3, eingenommen. Im Zustand 17 wird ein Evakuierungszeitgeber gestartet, der die Zeitspanne steuert, in der die Kammer 10 evakuiert wird. Der Zustand 18 wird erst eingenommen, wenn sich beide Ventile V3 und V8 in einem vorbestimmten Zeitraum geöffnet haben.
Nachdem der Evakuierungszeitgeber im Zustand 18 sein Zeitlimit nach einer Zeit ETMR überschritten hat, erfolgt der Eintritt in den Zustand 19, und die Ventile V3 und V8 werden geschlossen. Der Zustand 20 wird eingenommen, wenn die Ventile V3 und V8 schließen.
Tritt gemäß Fig. 6 eine Alarmbedingung auf oder schließen die Ventile V3 oder V8 nicht innerhalb einer festgelegten Zeit, erfolgt der Eintritt in den Zustand 31.
Im Zustand 20 befindet sich das Ventil V5 in einem gesteuerten Zustand. Dadurch kann Stickstoffgas bedarfsgemäß in das System einströmen; außerdem wird das System auf die Entfernung restlicher Sterilisiergase hinter dem Ventil V2 über den Entgifter 22 vorbereitet, sobald im Zustand 22 das Ventil V3 geöffnet wird. Im Zustand 20 wird der Druck kontrolliert. Übersteigt er einen Höchstdruck PMAX, wird das Ventil V5 im Zustand 21 geschlossen, um die Stickstoffzufuhr zu unterbrechen. Ist der Druck kleiner als PMAX, erfolgt der Eintritt in einen neuen Abbruchzustand ABBRUCH-4, den Zustand 32.
Im Zustand 21 wird das Ventil V5 kontrolliert, um zu bestimmen, ob es innerhalb eines vorgeschriebenen Zeitlimits geschlossen hat. Ist das nicht der Fall, wird Zustand 32 eingenommen und der Zyklus abgebrochen. Im Zustand 22 werden die restlichen Sterilisiergase im System über den Entgifter 22 und die erneut geöffneten Ventile V3 und V8 entgiftet, und die Gase werden entfernt. Waren die Ventile V3 und V8 ausreichend lange geöffnet, wird Zustand 23 eingenommen, jedoch nur, wenn sich die Ventile V3 und V8 geöffnet haben. Im Zustand 23 wird ein weiterer Zeitgeber mit der Bezeichnung DESORB-Zeitgeber aktiviert. Dadurch können Sterilisiergase, die in den Kammerwerkstoffen absorbiert wurden, über einen Zeitraum DTMR entfernt oder desorbiert werden.
Sollten sich die Ventile V3 und V8 nicht öffnen, wird ABBRUCH-5, Zustand 33, eingenommen. Unter diesen Umständen wird der Bediener angewiesen, das Ventil V9 und/oder V10 manuell zu betätigen, so daß Sterilisiergas aus dem System entfernt werden kann. Die Möglichkeit der manuellen Betätigung der Ventile V9 und V10 ist in Fig. 2 durch ein T über den Ventilsymbolen gekennzeichnet. Bei manueller Betätigung der Ventile V9 und V10 erfolgt ein automatischer Eintritt in den Zustand 33, ABBRUCH-5.
Wurde der Zustand 23 erfolgreich eingenommen und überschreitet der DESORB-Zeitgeber nach einer Zeitspanne DTMR sein Zeitlimit, erfolgt der Eintritt in den Zustand 24. An dieser Stelle werden die Ventile V2, V3 und V8 geschlossen, und es wird kontrolliert, ob diese Ventile geschlossen sind. Danach erfolgt der Eintritt in den Zustand 25, in dem eine Gashalteprüfung für den unteren Konzentrationswert durchgeführt wird. Ist die Gaskonzentration innerhalb einer Zeitspanne GHTM gleich oder kleiner als ein zulässiger Wert CMIN, wird Zustand 26 eingenommen. Ein zulässiger Sicherheitswert könnte z. B. 0,5 ppm Chlordioxid betragen. Andernfalls wird ein Pseudozustand 35 eingenommen, bevor durch Betätigen des Schalters S2 eine Rückkehr zum Zustand 20 erfolgt. Dadurch ergibt sich eine Verzögerungszeit zum öffnen der Ventile.
Im Zustand 25 wird die Verstärkung des Verstärkers 114g (siehe Fig. 3) so geändert, daß der Verstärker während der Messung der Konzentrationswerte für das Chlordioxidgas beim Evakuieren eine hohe Verstärkung hat. Das ist durch die "1" im Zustand 25 neben GC1 (Steuerung der Verstärkungsänderung) gekennzeichnet. Dadurch ergibt sich eine genauere Messung der Konzentrationswerte während der Evakuierung und eine zusätzliche Systemsicherheit, was zuvor beschrieben wurde. Außerdem wird im Zustand 25 ein Zähler CNT (siehe RB3 von Fig. 12) dekrementiert. Durch diesen Zähler wird das System gezwungen, zyklisch die Zustände 25, 20, 21, 22, 23 und 24 über den Zustand 35 in einer festgelegten Anzahl von Durchgängen zu durchlaufen, die durch die Ausgangszählung im Zähler CNTΦ bestimmt wird. Somit wird der Zustand 35 immer dann eingenommen, wenn der Konzentrationswert CMIN innerhalb der Zeit GHTM nicht erreicht wurde oder wenn der Zähler CNT nicht Φ erreicht hat. Aus dem Zustand 25 erfolgt der Eintritt in den Zustand 26, wenn sowohl die Konzentration kleiner als CMIN als auch CNTΦ gleich Φ ist. Dadurch soll die Systemsicherheit für den Fall gewährleistet werden, daß der Konzentrationssensor in der Sterilisierkammer ausfällt. Indem eine Anzahl von Zyklen über den Zustand 35 durchlaufen wird, verringert sich die Gaskonzentration; auch wenn der Konzentrationssensor Gaskonzentrationswerte unter CMIN anzeigt, wird dadurch gewährleistet, daß das System automatisch eine Anzahl von Zyklen durchläuft, um die Konzentration auf zulässige Sicherheitswerte zu verringern. Das ist wichtig, denn bei Ausfall des Konzentrationssensors ohne dieses zusätzliche Sicherheitsmerkmal könnte das System einen Gaskonzentrationswert innerhalb der zulässigen Sicherheitswerte anzeigen, der aber möglicherweise nicht vorliegt.
Im Zustand 26 wird ein Zeitgeber kontrolliert, der jedesmal dann inkrementiert wird, wenn das System den Zyklus mindestens bis zum Schritt 26 durchläuft. Ist dabei z. B. die Zählung kleiner als 3, erfolgt ein Sprung zum Zustand 28. Ist sie gleich oder größer als 3, wird Zustand 27 eingenommen. Im Zustand 28 wird das Ventil V5 aufgesteuert, und anschließend wird die Zählung inkrementiert. Dadurch kann Stickstoffgas in die Kammer eintreten.
Ist die Zykluszählung gleich oder größer als 3, wird direkt Zustand 27 eingenommen. Im Zustand 27 werden die Ventile V2, V3, V4 und V8 geöffnet, und das gesamte Restgas wird aus dem System ausgetrieben; außerdem wird das Cl&sub2;-Gas in der Patrone entfernt. Nach Ablauf einer ausreichend langen Zeit, z. B. der Austreibehaltezeit DHTM, erfolgt der Eintritt in den Zustand 28. Aus dem Zustand 28 nimmt das System den Zustand 37 ein, in dem der Druck in der Kammer überwacht wird, bis seine Abweichung vom Luftdruck 5% beträgt. An dieser Stelle leuchtet die Lampe LT17 "LADUNG ENTNEHMEN" auf. Dann erfolgt der Eintritt in den Zustand 38, die Lampe LT11 wird eingeschaltet, und durch Betätigen des Schalters S2 kann zum Zustand 1 zurückgekehrt werden. Der Bediener wird aufgefordert, die Gaspatrone auszutauschen, wenn das System den Zustand 27 durchlaufen hat.
Gemäß Fig. 6 und 7 erfolgt nach dem Eintritt in die AB- BRUCH-Zustände 29 und 30 ein Rücksprung zum Zustand 2, nachdem der Schalter S2 betätigt wurde, und es werden die Bedingungen für den Zustand 2 eingestellt.
Im ABBRUCH-Zustand 31 erfolgt ein Rücksprung zum Zustand 20, und es werden die Bedingungen für den Zustand 20 eingestellt, sobald der Schalter S2 betätigt wird. Im ABBRUCH-Zustand 32 erfolgt ein Rücksprung zum Zustand 19, und es werden die Bedingungen für den Zustand 19 eingestellt. In den AB- BRUCH-Zuständen 33, 34 und 36 erfolgt ein Rücksprung zu den Zuständen 23, 25 bzw. 37. Beim Erreichen des Zustands 38 erhält der Bediener eine Anzeige für den Zyklusabschluß, und die Lampe LT17 leuchtet auf. Damit die Kammertür geöffnet werden kann, wird der Schalter S2 betätigt, und es wird der Zustand 1 eingenommen. Beim Erreichen eines ABBRUCH-Zustands leuchtet die entsprechende Fehlerlampe auf. Beim Rücksprung zu den Zuständen 20, 23 oder 26 aus einem ABBRUCH-Zustand, durchläuft das System die in der Abfolge normalerweise nachfolgenden Zustände.

Allgemeine Softwarefunktionen

Das Folgesteuerprogramm wurde bereits beschrieben. Im allgemeinen ist die Software für die Steuerung des Sterilisiersystems unterbrechungsgesteuert. Bis zum Auftreten einer Unterbrechung läuft stets eine Hintergrund-Task über das Hauptzuteilungsprogramm. Bei einer Unterbrechung von einer aus mehreren möglichen Ereignisquellen wird die Softwaresteuerung dem entsprechenden Unterbrechungsverwaltungsprogramm übertragen. Dies ist in Fig. 9 dargestellt.
In Fig. 9 ist das Hauptzuteilungsprogramm 300 gezeigt. Unter dieser Überschrift kann dieses Programm auch dem beigefügten Programm-Listing entnommen werden. Im wesentlichen überwacht dieses Programm das Auftreten eines Zeitgeber- Flags, das anzeigt, daß 50-ms-, 1-Sekunden- oder 1-Minuten- Funktionen auszuführen sind. Diese Flags werden im Statusregister (STAT) 204 von Fig. 12 gespeichert. Bei Auftreten eines Flags springt das Programm 300 zu den entsprechenden Zeitgeberprogrammen 318, 320 bzw. 322. Die Zeitgeberprogramme werden nach Priorität so abgearbeitet, daß Ein-Minuten-Funktionen zuerst und 50-ms-Funktionen (T50) zuletzt ausgeführt werden.
Als Unterbrechungsereignisse kommen vier Quellen in Frage: Einschalten, Zeitgeber, Kommunikation (Datenübermittlung) und Stromausfall. Bei Einschalten, Stromausfall und Kommunikation handelt es sich um externe Hardwareunterbrechungen, während die Zeitgeberunterbrechung TMRO eine interne, durch das Programm gesteuerte Hardwareunterbrechung. Mit Ausnahme der Einschaltunterbrechung sichert jede Unterbrechungsverwaltungsroutine den laufenden Prozessorkontext im CPU-Stapelspeicher, bevor sie ihre Task-Funktion startet, und vor Wiederaufnahme des unterbrochenen Programms wird der Kontext wiederhergestellt. Die Zeitgeber-Unterbrechungsroutine (TMRO) führt die Folgesteuerung aller nicht unterbrechungsgesteuerten Programmfunktionen aus. Wie beschrieben wurde, erreicht sie das, indem sie ein oder mehr Flags (MINF 312, SECF 314, TICF 316), die kennzeichnen, welche der zeitgesteuerten Tasks abzuarbeiten ist, durch das STATUS-Register 204 in Fig. 12 führt. Das Hauptzuteilungsprogramm 300 prüft die Flags und veranlaßt die Ausführung der ausgewählten Funktionen, was unter 318 bis 322 gezeigt ist. Durch dieses Verfahren sind weitere Unterbrechungsvorgänge möglich, während Funktionen mit geringerer Priorität abgeschlossen werden. Einige der in Abständen von einer Minute, einer Sekunde und 50 ms (TIC) ausgeführten Funktionen sind in Fig. 9 unter 318, 320 bzw. 322 angegeben. Die nachfolgende Beschreibung enthält eine nähere Erläuterung der Tasks, die unter jeder Kategorie von Unterbrechungsereignissen abzuarbeiten sind.

Hauptzuteilungsprogramm

Im wesentlichen sucht das Hauptzuteilungsprogramm nach Zeitgeber-Flags und ruft die jeweilige Subroutine auf, wenn es ein Flag feststellt. Das Hauptzuteilungsprogramm kann dem beigefügten Programm-Listing entnommen werden.

Einschalten

Beim mit 310 bezeichneten Einschalten müssen der Prozessor-Stapelspeicher, die Registerbank und andere Funktionen initialisiert werden. Bei dieser Unterbrechung ist eine Sicherung des Prozessorkontextes nicht erforderlich. Anstelle dessen werden die vorhergehenden Prozeßinformationen aus dem elektrisch umprogrammierbaren Speicher SRAM 106 ausgelesen, die Uhr 119 wird zurückgesetzt, und der Prozeß wird aus dem jeweils vorgeschriebenen Zustand wieder aufgenommen. Der Überwachungszeitgeber wird zurückgesetzt, und anschließend wird die Steuerung wieder dem Hauptzuteilungsprogramm 300 übertragen.
Die Einschaltroutine kann dem Programm-Listing unter der Programmüberschrift INIT entnommen werden.

Stromausfall

Vorzugsweise ist ein Stromausfallprogramm implementiert. Gemäß Fig. 9 speichert eine Ausführungsform dieses Programms die kritischen Speicherinhalte bei 312 im SRAM 106, wo die Daten bis zum Wiederherstellen der Stromversorgung konserviert werden. Die Stromausfallunterbrechung kann so gestaltet sein, daß sie immer dann wirksam wird, wenn die logische 5- Volt-Leitung unter 4,55 Volt abfällt; eine Wiederherstellung auf 4,75 Volt kann für das Einschalten genutzt werden. Das Stromausfallprogramm kann dem beigefügten Programm-Listing entnommen werden.

Kommunikation

Wahlweise kann im erfindungsgemäßen System ein Kommunikationsmerkmal (COM) vorgesehen sein. Das Kommunikationsprogramm wird immer dann aktiviert, wenn ein Zeichen aus einem seriellen Ausgabepuffer entfernt oder in einen seriellen Eingabepuffer aufgenommen wird. Die Funktion dieses Programms besteht darin, Zeichen bei ihrem Senden zu den Sendepuffern zu führen und Zeichen bei ihrem Empfang aus den Empfangspuffern zu entfernen. Zwei FIFO-Warteschlangen (Ersteingang/ Erstausgang-Warteschlangen) können zum Zwischenspeichern der Ein- und Ausgabedatenströme vorgesehen sein. Das Kommunikationsprogramm prüft die Ein- und Ausgabedatenströme auf das Vorhandensein von Begrenzungs- oder Steuerzeichen. Im Falle von Begrenzungszeichen werden Flags gesetzt. Bekannte Programme können zum Verarbeiten von Steuerzeichen für typische serielle Schnittstellengeräte vorgesehen sein, die am Steuerschaltungsaufbau angeschlossen sind. Beispielsweise kann es wünschenswert sein, Informationen zum Aufzeichnen über Telefonleitungen zu einem Drucker oder einem Anzeigegerät zu übertragen. Andere bekannte Programme können zum Verwalten der üblichen Modemsteuerfunktionen verwendet werden, z. B. von RS232C-Befehlen. Für die notwendigen Modemsteuersignale können E/A-Leitungen hardwareseitig vorgesehen sein. Das Kommunikationsprogramm dient zum Sichern und Wiederherstellen des Prozessorkontextes.

Zeitgesteuerte Funktionen

Zeitgesteuerte Funktionen werden in der Steuerung auf vier Ebenen wie folgt realisiert: durch den TIMER0-Zeitgeber ausgelöste Funktionen (alle 6250 Mikrosekunden), alle 50 Millisekunden aktivierte Funktionen (TICS), jede Sekunde gestartete Funktionen und jede Minute ablaufende Funktionen. Zwischen diesen Ebenen werden Daten über definierte Datenbereiche in der Datenbank des Mikroprozessors ausgetauscht, was anschaulicher in Fig. 10 dargestellt ist. Das TMRO-Programm greift auch auf die mit der Steuerung verbundenen Ein- und Ausgabebausteine zu. Die Steuerfunktion (CTR), die jede Sekunde aktiviert wird, überträgt gemäß Fig. 24 Ventilbefehle bitweise zu den oberen vier Bits des CTRL-Registers bei Freigabe durch die unteren vier Bits des CTRL-Registers.
Gemäß Fig. 4 treten Zeitgeberunterbrechungen (TMRO) in Abständen von 6250 Mikrosekunden (6,25 Millisekunden) auf. Bei jeder Unterbrechung erfolgt ein Eintritt in das TMRO-Programm, und alle zeitgesteuerten Funktionen laufen zeitrichtig ab. Da die Grundzykluszeit des Prozessors etwa zwei Mikrosekunden beträgt, verstreichen vor der nächsten derartigen Unterbrechung 3120 Befehlszyklen. Ein Teil dieser Zeit wird bei jeder Zeitgeberunterbrechung zum Ausführen von Datenerfassungs- und Verriegelungsfunktionen genutzt, z. B. werden die Analogeingaben und Dateneingaben in den internen RAM der CPU eingelesen und gespeichert. In Fig. 9 ist dies unter 330 gekennzeichnet. Unmittelbar nach einer Zeitgeberunterbrechung wird der Prozessorkontext in den entsprechenden Registern gesichert. Danach wird der Unterbrechungszeitgeber TIMER0 zurückgesetzt und erneut gestartet. Programmfunktionen, die in Abständen von 50 ms, 1 s und 1 min ablaufen sollen, werden bei 332 zeitrichtig abgearbeitet, indem Flags gemäß der Beschreibung immer dann durchgeleitet werden, wenn das jeweilige Zeitintervall abgelaufen ist. Als nächstes werden Dateneingaben, Statusprüfungen und Ausgaben durchgeführt. Abschließend wird der vorherige Programmkontext wiederhergestellt, und es erfolgt ein Unterbrechungsrücksprung. Sollen zeitgesteuerte Ereignisse ablaufen, werden sie durch das Hauptzuteilungsprogramm in ihrer Reihenfolge durchgeführt. Andernfalls wird das Hauptzuteilungsprogramm wieder aufgenommen.
Das für jeden Zeitgeber ausgeführte Grundzeitgeberprogramm ist im Ablaufplan von Fig. 22 gezeigt. Darstellungsgemäß wird der Zeitgeber zunächst dekrementiert, und es wird kontrolliert, ob der Zeitgeber seine Zeitüberschreitung, d. h., eine Zählung 0, erreicht hat. Ist das der Fall, wird das entsprechende Zeitgeber-Flag im TCFL-Register 208 gemäß Fig. 12 gesetzt. Andernfalls wird das entsprechende Flag gelöscht. Anschließend wird das Programm für den nächsten Zeitgeber ausgeführt, und sobald alle Zeitgeber abgelaufen sind, erfolgt der Rücksprung zum Hauptzuteilungsprogramm.
Die Funktion der dekrementierenden Zeitgeber ist in Fig. 23 dargestellt. Beim Dekrementieren eines Zeitgebers wird darstellungsgemaß ein Flag im TCFL-Register gesetzt, sobald der Zeitgeber sein Zeitlimit überschritten hat, und die aktuelle Zählung wird anschließend im entsprechenden Zeitgeberregister 200 gespeichert.

1. TIMERO-Zeitgeber (TMR0)

Die alle 6250 Mikrosekunden ablaufende zeitgesteuerte Funktion der niedrigsten Ebene wird durch die Unterbrechung TIMER0 ausgelöst. Dies ist im obersten Abschnitt von Fig. 10 gekennzeichnet, die einen Ablaufplan für die verschiedenen zeitgesteuerten Funktionen zeigt. Nach dem Sichern des Prozessorkontextes besteht die erste Funktion des TMRO-Unterbrechungsprogramms im Rücksetzen und Neustarten des Zeitgebers, was mit 400 bezeichnet ist. Dies erfolgt durch eine Subroutine RRT. In Fig. 10 ist das entsprechende Programm zur Realisierung der gewünschten Funktion über dem Ablaufplansymbol angezeigt und kann dem Listing im Anhang entnommen werden. Das TMRO-Programm ist eine zeitkritische Funktion. Sobald der Zeitgeber neu gestartet ist, werden alle Kontakteingaben zur Steuerung in ihre entsprechenden Speicherabbilder CCI0 bis CCI3 eingelesen, was mit 410 und 412 bezeichnet ist. Diese Abbilder sind in einem Abschnitt des Mikrocomputerspeichers gespeichert, der bitadressierbar ist. Dadurch wird die logische Verarbeitung wesentlich vereinfacht. Die Subroutine zur Realisierung dieser Funktion ist in Fig. 17 dargestellt und außerdem im beigefügten Programm-Listing als Subroutine RCI enthalten. Die Informationen über Kontaktausgaben befinden sich ebenfalls in diesem Speicher, bei CCO0 bis CCO3, was in Fig. 10 mit 425 bezeichnet ist. Anschließend führt das Unterbrechungsprogramm einen Maskenvergleich der Statusbits der Kontakteingaben und -ausgaben unter Verwendung von Bitmasken 415 durch, die ebenfalls in diesem Speicherbereich gespeichert sind. Dies ist mit 420 gekennzeichnet. Stimmen bei einer Maskierung für "nicht zu beachtende" Bedingungen Bits nicht mit ihren entsprechenden gewünschten Ausgaben überein, wird eine Alarmbedingung eingestellt, indem ein Bit im STA- TUS-Register 204 (Fig. 12) gesetzt wird, was unter 430 gezeigt ist.
Durch das TMRO-Programm werden außerdem Zeitüberschreitungsalarme implementiert. Eine in Fig. 18 und im beigefügten Programm-Listing dargestellte Subroutine CSC2 zeigt, wie Zeitüberschreitungen bestimmt werden. Bei Zeitüberschreitung eines Zeitgebers, z. B. eines Zeitgebers zum Bestimmen, ob sich ein Ventil rechtzeitig geöffnet oder geschlossen hat, wird ein Flag im Zeitgeber-Flagregister TCFL gesetzt. Erfordert- das Setzen des Flags einen Abbruch nach Fehler, soll z. B. ein nicht rechtzeitiges Schließen eines Ventils eine Abbruchbedingung bewirken, so muß ein Flag im Zeitgeber-Freigaberegister TCEN gesetzt werden. Dadurch wird das Programm für die Zeitüberschreitungsalarme informiert, daß eine Alarmbedingung eingestellt werden sollte, so daß die Alarmbedingung in das STATUS-Register geladen wird. Als Ergebnis wird durch das Folgesteuerprogramm ein Übergang zu einem ABBRUCH- Zustand bewirkt.
Anschließend wird bei 435 der aktuelle Kontaktausgabestatus durch das Programm WCO aus seinem Speicherabbild in den Zwischenspeicher für die Ausgabekontakte geladen. Schließlich werden bei 440 und 445 die aktuellen Analogeingabedaten 445 eingelesen (RAI), exponentiell gefiltert (FILTER) und an den richtigen Speicherplätzen außerhalb des bitadressierbaren Bereichs gespeichert. Siehe dazu Fig. 21. Acht Zeitgeberunterbrechungen dauern 50 Millisekunden. Folglich steht eine ordnungsgemäß gefilterte Analogeingabeabtastung aller acht Analogeingaben (nur vier brauchen für die vier Regelkreise verwendet zu werden, die Gaskonzentration, Druck, Temperatur und Feuchtigkeit entsprechen) bei jedem Eintritt in das 50-Millisekunden-Programm zur Verfügung. Daher erhält das RAI-Programm alle 50 ms 64 Eingabeabtastungen, 8 für jeden Kanal, wobei aus den acht Abtastungen für jeden Kanal anschließend der Mittelwert gebildet wird, um einen einzigen Analogwert für jeden Kanal zu erhalten. Danach erfolgt ein Rücksprung zum Hauptzuteilungsprogramm. Das TIMER0-Programm ist im Ablaufplan von Fig. 11 zusammengefaßt.

2. TIC-Zeitgeber (T50)

Bei den TIC-Funktionen handelt es sich um jene Funktionen, die alle 50 Millisekunden ausgeführt werden; dazu gehört die Ausführung des Folgesteuerprogramms (SEQ). Die erste ausgeführte Funktion ist das Rücksetzen des Überwachungszeitgebers, dargestellt unter 500, da bei nicht rechtzeitigem Rücksetzen dieses Zeitgebers alle Ventilausgaben gesperrt werden, was im Zusammenhang mit Fig. 8 beschrieben wurde. Anschließend werden bei 510 alle TICK-Zeitgeber (TTM) dekrementiert, ihre Zählungen bei 512 gespeichert und ihre entsprechenden Status-Flags bei 520 im Register TCFL 208 von Fig. 12 gesetzt oder gelöscht. Zum Setzen der Zeitüberschreitungs- Flags im TCFL-Register (siehe Fig. 12) ist es außerdem erforderlich, den Status eines entsprechenden Bits im Zeitgeberzähler-Freigaberegister (TCEN) 207 durch das Folgesteuerprogramm darstellungsgemäß zu bestimmen. Bei Nichtsetzen des entsprechenden TCEN-Bits wird der Steuerung auf diese Weise mitgeteilt, keinen ABBRUCH-Zustand einzunehmen, wenn das Zeitgeber-Flag erscheint. Beispielsweise sollte kein ABBRUCH- Zustand eingenommen werden, wenn der Sterilisierzeitgeber sein Zeitlimit überschreitet (etwa nach 4 Stunden). Bei Zeitüberschreitungen für Ventile ist jedoch ein Abbruch wünschenswert, wenn der Zeitgeber sein Limit überschreitet und das Ventil sich nicht rechtzeitig öffnet oder schließt; folglich wird das entsprechende TCEN-Bit durch das Folgesteuerprogramm gesetzt, wodurch ein Alarm erzeugt werden kann. Bei rechtzeitigem Schließen des Ventils wird sein entsprechendes TCEN-Bit gesperrt, und es kommt zu keiner Alarmerzeugung. Nach dem Dekrementieren der TICK-Zeitgeber wird die Hauptfolgesteuerlogik 515 (SEQ), die den vorstehend beschriebenen Ablauf von einem Zustand zum nächsten steuert, solange abgearbeitet, bis sie nicht mehr fortschreiten kann, da ein Haltebefehl für eine festgelegte, bisher noch nicht gegebene Statusbedingung vorliegt. Anschließend werden die Ausgaben bei 530 in das Abbild der Kontaktausgaben im Speicher (CCO) geladen, z. B. werden die Ausgabedaten für die entsprechenden Ventile oder die zu steuernde Heizung im Speicher gespeichert. Danach gibt die Subroutine WCO des TMRO-Programms bei ihrem nächsten Durchlauf die Abbilder der Ausgaben zu den gesteuerten Geräten aus. Das TIC-Funktionsprogramm ist im Ablaufplan von Fig. 13 zusammengefaßt.

3. Sekundenzeitgeber (T1S)

Jede Sekunde werden alle Ein-Sekunden-Zeitgeber im Schritt 550 dekrementiert, die Zählung bei 552 gespeichert und ihre entsprechenden Statusbits gesetzt oder gelöscht (555). Dazu gehört das Setzen von Flagbits (TCFL) und entsprechenden Zeitgeberzähler-Freigabebits (TCEN) in Abhängigkeit davon, ob ein ABBRUCH bei Auftreten des Zeitgeber-Flags erfolgen soll. Schließlich lädt das Sollwerte (557) vom Folgesteuerprogramm 515 entgegennehmende Steuerprogramm 559 (CTR) den neuen Ausgabestatus für die gesteuerten Geräte in das STEUER-Register zum nachfolgenden Laden in die Kontaktausgabenregister des internen RAM. Während des nächsten Durchlaufs durch das TMRO-Programm werden diese Ausgaben zu den gesteuerten Geräten geführt. Gemäß Fig. 9 treten die zeitgesteuerten Funktionen in der Reihenfolge MIN, SEC und TICK auf. Ein Ablaufplan für das Ein-Sekunden-Programm ist in Fig. 14 dargestellt.
Gemäß Fig. 14 besteht die erste Funktion des Ein-Sekunden-Zeitgeberprogramms im Löschen des Ein-Sekunden-Flags (SECF) im STATUS-Register (siehe Fig. 12). Danach werden alle Ein-Sekunden-Zeitgeber gemäß Fig. 23 und 600 in Fig. 14 dekrementiert. Anschließend erhält das Programm T1S bei 602 den Regelkreisstatus vom Folgesteuerprogramm und bestimmt bei 604, ob das entsprechende Steuerbit im STEUER-Register 206 für den speziellen Kreis freigegeben wurde. Jeder Kreis entspricht einem der vier analogen Prozeßmeßwerte: Druck, Temperatur, Feuchtigkeit und Gaskonzentration. Dies ist ebenfalls in Fig. 24 gezeigt. Darstellungsgemäß entsprechen die vier unteren Bits des STEUER-Registers 206 dem Status der vier Kreise. Ist der Kreis freigegeben, wird bei 606 ein Wert durch Subtrahieren eines Eingabemeßwerts, z. B. die Gaskonzentration oder der Druck, von einem gespeicherten Sollwert aus dem Folgesteuerprogramm bestimmt. Ist dieser Wert größer als 0, wird bei 607 ein entsprechendes der oberen vier Bits im CTRL-Register gesetzt. Ist das CTRL-Registerbit gleich 0, so wird das entsprechende Bit des STEUER-Registers bei 608 gelöscht.
Bei 610 wird dem Programm der nächste Kreis zugeführt, und es wiederholt die Schritte A bis X für diesen Kreis. Anschließend werden die nächsten beiden Kreise entgegengenommen, und die Schritte A bis X werden für diese beiden Kreise nacheinander wiederholt. Sind alle vier Kreise abgearbeitet, erfolgt ein Rücksprung zum Hauptzuteilungsprogramm.
Die Wechselbeziehung zwischen Analogeingabedaten, Sollwerten, Steuerregister, Steuerprogramm (CTR), Ausgabenladeprogramm (CTL) und Kontaktausgaben CCO ist in Fig. 24 gezeigt. Darstellungsgemäß liest das Programm CTR Analogeingabedaten ADI, Sollwerte SP und den Status des Steuerregisters (CTRL) aus dem Speicher aus. Danach wird der neue Status für das Steuerregister entsprechend dem Ablaufplan von Fig. 14 bestimmt, und der neue Status wird in das CTRL-Register geladen. Danach lädt das Programm CTL die jeweiligen Ausgaben zum Steuern der Ventile und der Heizung in das jeweilige Kontaktausgabenregister im Speicher. Im Verlauf des TMRO-Programms werden diese Ausgaben anschließend durch das Programm WCO mit den gesteuerten Geräten gekoppelt. Siehe dazu Fig. 10 und 20.

4. Minutenzeitgeber (T1M)

Wie unter 610 gezeigt ist, kann in Abständen von einer Minute eine wahlweise Chargenuhr 119 aktualisiert werden. Diese Uhr kann zum Auslösen der Ausgabe von Prozeßbedingungen über ein geeignetes Druck- oder Anzeigegerät verwendet werden. Bei 620 werden alle Ein-Minuten-Zeitgeber dekrementiert, und ihre entsprechenden Statusbits werden bei 630 gesetzt oder gelöscht. Das T1M-Programm ist im Ablaufplan von Fig. 15 zusammengefaßt.
Nachfolgend ist ein beispielhaftes Listing der Software für das erfindungsgemäße Gassterilisiersystem beigefügt.
In der vorangegangenen Beschreibung wurde die Erfindung anhand einer besonderen beispielhaften Ausführungsform erläutert. Es dürfte jedoch deutlich sein, daß verschiedene Abwandlungen und Änderungen möglich sind, ohne daß dadurch vom Grundgedanken und Schutzumfang der Erfindung gemäß den beigefügten Ansprüchen abgewichen wird. Beispielsweise dürfte ein mit dieser Beschreibung vertrauter Fachmann erkennen, daß die offenbarte Vorrichtung zum Einsatz in Verbindung mit verschiedenen Arten von Gasbehandlungssystemen geeignet sein kann, die beispielsweise toxische Gase nutzen, z. B., aber nicht ausschließlich, Bleichgase, Räuchermittel, Sterilisiermittel usw. Daher sind die Beschreibung und die Zeichnungen als Veranschaulichung und nicht als Einschränkung zu verstehen.

Claims

1. Vorrichtung zum Behandeln von Gegenständen mit einem Gas, die aufweist:

eine Kammereinrichtung (10) zum Aufnehmen eines zu behandelnden Gegenstands;

eine Einrichtung (20, 22) zum Zuführen des Gases zu der Kammereinrichtung (10) mit einer an der Kammereinrichtung (10) angeschlossenen Ventileinrichtung (20) zum Zuführen des Gases zu der Kammereinrichtung (10), einer Einrichtung (20) zum Entfernen des Gases aus der Kammereinrichtung (10) nach einem vorbestimmten Zeitintervall, einer Einrichtung (5) zum Messen mehrerer Parameter in der Kammereinrichtung und zum Erzeugen mehrerer elektrischer Signale, die den jeweils gemessenen Parametern entsprechen, einer elektronischen Steuereinrichtung (100), die die mehreren elektrischen Signale empfängt, die den jeweils gemessenen Parametern von der Kammereinrichtung (10) entsprechen, zum Steuern der Ventileinrichtung (20) und der Einrichtung (20) zum Entfernen, wobei die elektronische Steuereinrichtung (100) eine Computereinrichtung aufweist, um die Vorrichtung zyklisch mehrere Zustände in Übereinstimmung mit einer vorbestimmten Befehlsfolge durchlaufen zu lassen und die Computereinrichtung eine Einrichtung zum Abbruch des Betriebs der Vorrichtung aufweist, dadurch gekennzeichnet, daß die Abbrucheinrichtung den Betrieb zu einem von mehreren definierten Fehlerzuständen mit vordefinierten Bedingungen als Reaktion auf einen Fehler der Vorrichtung abbricht, wobei der ausgewählte Fehlerzustand vom Zustand in dem Zyklus abhängig ist, in dem der Fehler auftrat, und ferner eine Einrichtung (S2) aufweist, um die Vorrichtung zyklisch in Übereinstimmung mit der vorbestimmten Folge zu einem weiteren definierten Zustand zu überführen, sobald einer der definierten Fehlerzustände erreicht ist, wobei der weitere definierte Zustand einer der Zustände in Übereinstimmung mit der vorbestimmten Befehlsfolge ist, der weitere definierte Zustand von dem erreichten definierten Fehlerzustand abhängt und ein Zustand ist, der zulässige Sicherheitsnormen für die Vorrichtung aufrechterhält.

2. Vorrichtung nach Anspruch 1, wobei das Gas ein Sterilisiergas ist und der Gegenstand durch das Gas sterilisiert wird.

3. Vorrichtung nach Anspruch 2, wobei das Sterilisiergas aus mindestens zwei Bestandteilen erzeugt wird, und die ferner aufweist: eine erste Einrichtung zum Aufnehmen eines ersten Bestandteils des Gases, eine zweite Einrichtung zum Aufnehmen eines zweiten Bestandteils des Gases, eine Einrichtung, um den ersten und zweiten Bestandteil des Gases miteinander zur Bildung des Sterilisiergases reagieren zu lassen, wobei die Einrichtung zum Reagieren durch die Computereinrichtung als Reaktion auf die Messung ausgewählter Parameter der mehreren gemessenen Parameter gesteuert wird.

4. Vorrichtung nach Anspruch 3, ferner mit einer Ventileinrichtung (V5) zum Zuführen eines stabilen Gases zu der Kammereinrichtung (10).

5. Vorrichtung nach Anspruch 3 oder 4, ferner mit einer Ventileinrichtung (V7) zum Zuführen von gefilterter Luft zu der Kammereinrichtung (10).

6. Vorrichtung nach einem der Ansprüche 3 bis 5, ferner mit einer Ventileinrichtung (V6) zum Zuführen von Wasserdampf zu der Kammereinrichtung (10), um den Feuchtigkeitsgehalt in der Kammer zu beeinflussen.

7. Vorrichtung nach einem der Ansprüche 3 bis 6, wobei zu den mehreren gemessenen Parameter die Temperatur, der Druck und die Feuchtigkeit in der Kammereinrichtung (10) sowie die Konzentration des Sterilisiergases in der Kammereinrichtung gehören.

8. Vorrichtung nach einem der Ansprüche 2 bis 7, wobei das Sterilisiergas Chlordioxid aufweist.

9. Vorrichtung nach einem der Ansprüche 3 bis 7, wobei das Sterilisiergas Chlordioxid aufweist, der erste Bestandteil Chlorgas aufweist und der zweite Bestandteil Natriumchlorit aufweist.

10. Vorrichtung nach einem der Ansprüche 1 bis 9, wobei die Einrichtung zum Entfernen eine Vakuumpumpeneinrichtung und eine zusätzliche Ventileinrichtung aufweist.

11. Vorrichtung nach einem der Ansprüche 1 bis 10, wobei die Ventileinrichtung (Vi) eine erste und zweite Schaltereinrichtung (LSio, LSic) aufweist, die erste Schaltereinrichtung (LSio) anzeigt, wann die Ventileinrichtung (Vi) offen ist, und die zweite Schaltereinrichtung (LSic) anzeigt, wann die Ventileinrichtung (Vi) geschlossen ist, und sich die erste und zweite Schaltereinrichtung in entgegengesetzten Zuständen befinden, so daß bei geschlossener erster Schaltereinrichtung die zweite Schaltereinrichtung offen ist.

12. Vorrichtung nach einem der Ansprüche 1 bis 11, wobei die elektronische Steuereinrichtung (100) eine Speichereinrichtung aufweist und ferner aufweist: eine Einrichtung zum Empfangen von Eingabesignalen von der Ventileinrichtung (Vi), die den geschlossenen oder offenen Zustand der Ventileinrichtung anzeigen, und eine Einrichtung zum Übertragen von Ausgabesignalen zu der Ventileinrichtung, um die Ventileinrichtung selektiv zu öffnen oder zu schließen, wobei ein Satz von Abbildungssignalen der Eingabe- und Ausgabesignale in der Speichereinrichtung gespeichert wird.

13. Vorrichtung nach Anspruch 12, ferner mit einer Einrichtung zum Sperren der Übertragung der Ausgabesignale zu der Ventileinrichtung (Vi), außer dann, wenn ein Freigabesignal durch die Computereinrichtung ausgegeben wird.

14. Vorrichtung nach einem der Ansprüche 1 bis 13, ferner mit einer Einrichtung zum Überwachen des ordnungsgemäßen Betriebs der Computereinrichtung, wobei die Überwachungseinrichtung ein Sperrsignal ausgibt, um bei einem Fehler der Computereinrichtung eine Betätigung der Ventileinrichtung zu verhindern.

15. Vorrichtung nach einem der Ansprüche 12 bis 14, ferner mit einer in der Speichereinrichtung gespeicherten Maskeneinrichtung, wobei die Computereinrichtung die Abbildungssignale der Eingabe- und Ausgabesignale vergleicht und ein Alarmsignal erzeugt, wenn die Abbildungssignale der Eingaben und Ausgaben nicht als Reaktion auf das Setzen eines Bits in der Maskeneinrichtung übereinstimmen.

16. Vorrichtung nach einem der Ansprüche 11 bis 15, ferner mit einer Einrichtung zum Überwachen des Zustands der ersten und zweiten Schaltereinrichtung und ferner mit einer Einrichtung zum Erzeugen eines Alarmsignals, wenn sich die erste und zweite Schaltereinrichtung nicht in den ordnungsgemäßen Zuständen befinden.

17. Vorrichtung nach einem der Ansprüche 1 bis 16, wobei sich die Ventileinrichtung (Vi) zwischen einem ersten Zustand und einem zweiten Zustand als Reaktion auf Befehle von der Computereinrichtung bewegt, und ferner mit einer Zeitgebereinrichtung (112) zum Erzeugen eines Alarmsignals, wenn sich die Ventileinrichtung (Vi) nicht in einem vorbestimmten Zeitintervall von dem ersten in den zweiten Zustand bewegt.

18. Vorrichtung nach einem der Ansprüche 3 bis 17, wobei die Einrichtung zum Reagieren eine zweite Ventileinrichtung (V4) aufweist, um den ersten und zweiten Bestandteil zur Bildung des Sterilisiergases miteinander reagieren zu lassen, und die zweite Ventileinrichtung (V4) durch die Computereinrichtung als Reaktion auf die Messung ausgewählter Parameter der mehreren gemessenen Parameter gesteuert wird.