DE69624149T2

DE69624149T2 - Fehlersichere Steuerung für Flüssigkeitstransfers

Info

Publication number: DE69624149T2
Application number: DE69624149T
Authority: DE
Inventors: Gary R. Cadman; Arthur W. Shea
Original assignee: Scully Signal Co
Current assignee: Scully Signal Co
Priority date: 1995-06-12
Filing date: 1996-06-12
Publication date: 2003-06-12
Anticipated expiration: 2016-06-13
Also published as: EP0933327A3; US5966311A; EP0933328A2; EP0933327A2; DE69624147D1; US5771178A; DE69630053D1; EP0933329B1; EP0933329A3; DE69624147T2; EP0933329A2; EP0748762A3; DE69624149D1; CA2178778C; DE69630053T2; EP0933328A3; US5986597A; EP0933328B1; EP0748762B1; DE69605721D1

Description

1. Bereich der Erfindung

Diese Erfindung betrifft den Bereich der Flüssigkeitstransfersteuerung und insbesondere den Bereich der Sicherheit während des Transfers von brennbaren Flüssigkeiten, wie zum Beispiel Erdölprodukten.

2. Beschreibung des Bereiches

Das Steuern des sicheren und richtigen Transfers von brennbaren Flüssigkeiten beim Beladen von Transportfahrzeugen, wie zum Beispiel Tanklastwagen, ist seit langem ein großes Anliegen der Erdölindustrie. In den letzten Jahren wurden Sicherheitsvorrichtungen an den Tanklastwagen implementiert, die den Flüssigkeitstransfer von einer Füllstation zum Lastwagen verhindern, wenn bestimmte unsichere Bedingungen rund um den Transfer vorherrschen. Diese Vorrichtungen verwenden ein Erkennungsgerät, um zu bestimmen, ob alle Sicherheitsvorkehrungen getroffen wurden, und verhindern den Flüssigkeitsdurchfluss, wenn dies nicht der Fall ist. Das Verhindern des Flüssigkeitsdurchflusses wird elektrisch durch das Schließen, eines Ventils in der Flüssigkeitstransferleitung oder durch Deaktivierung einer Pumpe gesteuert, die für den Transfer der Flüssigkeit zum Tanklastwagen verantwortlich ist.
Fig. 1 ist ein Blockdiagramm eines Systems des Standes der Technik mit einer Kontrollschaltung 10, die entweder das Ventil oder den Pumpmechanismus (oder beide) auf der Grundlage einer Anzahl unterschiedlicher Eingabesignale steuert. Diese Abbildung zeigt einige der Eingabequellen, die im Stand der Technik für die Steuerung des Flüssigkeitstransfers bekannt sind. Systeme des Standes der Technik können einige oder alle der in Figur. 1 gezeigten Eingabequellen aufweisen. Wenn sich nicht alle der notwendigen Eingabesignale im richtigen Zustand befinden, wird der Transfer der Flüssigkeit verhindert. Auf diese Weise werden gefährliche Umstände beim Befüllen verhindert.
Viele Flüssigkeitsdurchflusssteuersysteme verwenden eine Echtzeituhr 12, wie zum Beispiel jene, die in Fig. 1 dargestellt ist. Die Uhreingabe wird in Verbindung mit einer Speichereinheit der Steuerschaltung 10 verwendet, um Zeitstempel zu speichern, die anzeigen, wann bestimmte bemerkenswerte Ereignisse eingetreten sind. Das heißt, jedes Mal, wenn das System in Betrieb genommen wird, um den Transfer von Flüssigkeit zu oder von einer Kammer des Tankwagens zu ermöglichen, wird die Art des Ereignisses auf codierte Weise aufgezeichnet, wobei auch die Zeit aufgezeichnet wird, die vom Eingangssignal der Uhr 12 angegeben wird. Wenn daher ein Versuch gemacht werden sollte, die Pumpventilsteuerungsschaltung 10 zu übergehen (das heißt, Flüssigkeit unter unsicheren Bedingungen zu fördern), wird ein Eintrag des Ereignisses aufgezeichnet. Dies dient zur Abschreckung für jene, die versuchen könnten, das System auf diese Weise zu umgehen.
Auch ein Totmannschalter 14 wurde verwendet, der bedingt, dass ein Bediener, der den Flüssigkeitstransfer steuert, einen Schalter, der an der Füllstation befestigt ist, während des gesamten Füll- oder Entleerungsvorgangs manuell geschlossen hält. Dadurch wird sichergestellt, dass der Bediener immer anwesend ist, wenn der Flüssigkeitstransfer durchgeführt wird, so dass entsprechende Maßnahmen ergriffen werden können, wenn Probleme auftreten sollten. Der Totmannschalter 14 löst insbesondere jenes Problem, welches sich aus der Tatsache ergibt, dass sich Bediener oftmals während des Flüssigkeitstransfers vom Gerät entfernen.
Die ID-Sensorschaltung 16 ist typisch für ein Lastwagenidentifikationssystem, für welches eine Speichereinheit am Lastwagen vorhanden ist, in dem eine einzigartige Identifikationsnummer (ID-Nr.) gespeichert ist. Wenn sich der Lastwagen an der Füllstation befindet, wird eine Signalleitung zwischen dem Lastwagen und der Station angeschlossen, damit die ID-Schaltung 16 auf die Speichereinheit am Lastwagen zugreifen kann, um die ID-Nummer zu lesen. Die ID-Nummer des Lastwagens wird danach mit einer Liste der gültigen Lastwagen-ID-Nummern verglichen, und der Flüssigkeitstransfer wird unterbunden, wenn die ID-Nummer des Lastwagens nicht mit einer Nummer auf der Liste übereinstimmt. Ein System dieser Art ist im US-Patent Nr. 5.534.856 A beschrieben, Bei der anderen in Fig. 1 gezeigten Eingabevorrichtung handelt es sich um eine Erdungssensorschaltung 18. Ein häufiges Sicherheitsproblem während des Transfers von brennbaren Flüssigkeiten ist die Entladung statischer Elektrizität in der Umgebung der brennbaren Flüssigkeit. Eine ausreichende Differenz im elektrischen Potential des Tanklastwagens und einer Station, von der dieser beladen wird, kann zu einem elektrischen Bogenüberschlag führen, der in der Nähe vorhandene Dämpfe der geförderten Flüssigkeit entzünden kann. Aus diesem Grund besteht eine allgemein akzeptierte Sicherheitsvorkehrung darin, eine gemeinsame elektrische Erdung zwischen dem Lastwagen und der Füllstation zu errichten. Um sicherzustellen, dass eine solche gemeinsame Erdung errichtet wird, wird eine nicht umgehbare Erdungssensorschaltung 18 verwendet, um das Vorhandensein der gemeinsamen Erdung zu überprüfen, und diese verhindert den Flüssigkeitstransfer, wenn die Erdung nicht vorhanden ist. Ein Beispiel für eine solche Schaltung findet sich im US-Patent Nr. 4.901.195.
Eine andere Eingabeart ist die Überfüllungssensorschaltung 13, von der es eine Anzahl unterschiedlicher Typen im Stand der Technik gibt. Im Allgemeinen besteht die Überfüllungssensorschaltung aus Sonden, die erkennen, wenn der Flüssigkeitspegel in einer der Kammern eines Tanklastwagens eine vorherbestimmte Höhe überschreitet. Die Steuerschaltung 10 reagiert auf die Anzeige eines Überfüllungszustandes durch Abbruch der Flüssigkeitsförderung zum Lastwagen.
Während verschiedene Arten von Steuerungseingangssignalen dabei helfen, die Sicherheit eines Flüssigkeitstransfervorgangs zu gewährleisten, hängt deren Wirksamkeit von der richtigen Funktionsweise der Kontrollschaltung 10 ab. Die meisten derartigen Schaltungen neigen dazu, Schalter zu besitzen, welche die fragliche Pumpe oder das fragliche Ventil freigeben, doch die normalerweise offen sind, wenn das System ausgeschaltet ist oder wenn Eingangssignale zur Kontrollschaltung darauf hindeuten, dass der Flüssigkeitstransfer blockiert werden sollte. Wenn jedoch die Kontrollschaltung selbst auf eine Weise fehlerhaft sein sollte, bei der ihre Fähigkeit, die Flüssigkeitsförderung zu unterbinden, beeinträchtigt ist, kann dies zu einer gefährlichen Flüssigkeitstransfersituation führen.
DE-43 22 230 offenbart ein System zur Ermöglichung des sicheren Flüssigkeitstransfers von einem Tank in einen Behälter. Das System umfasst zwei alternierende Sicherheitssysteme, von denen ein jedes zwei seriell angeschlossene Ventile umfasst. Wenn eines oder beide dieser Ventile geschlossen sind, kann keine Flüssigkeit vom Tank in den Behälter gefördert werden. Jedes Ventil wird von einer jeweiligen Kontrollvorrichtung betätigt, wobei eine jede auf ein separates Überwachungssignal reagiert. Somit steuert jede Kontrollvorrichtung ihr jeweiliges Ventil in Abhängigkeit von einem Signal, das anders ist als jenes für die jeweilige andere Kontrollvorrichtung.
Des Weiteren offenbart EP 0 518 662 eine Vorrichtung zur Überwachung der Entladung von Flüssigkeit aus dem Innenraum eines Transportbehälters in einen feststehenden Tank unter Verwendung eines Mittels zur Identifizierung der im Innenraum gelagerten Flüssigkeit und zur Identifizierung der im feststehenden Tank gelagerten Flüssigkeit und ein Mittel zum Vergleichen der festgestellten Flüssigkeitsarten. Wenn die Flüssigkeiten nicht miteinander verträglich sind, wird ein Mittel aktiviert, welches die Entladung der Flüssigkeit aus dem Innenraum verhindert. Diese Offenbarung behandelt nicht das Problem, wie ein Betrieb der Vorrichtung gegen eine Fehlfunktion des Steuerungsmittels geschützt werden kann. Die durch EP 0 518 622 offenbarte Vorrichtung und das darin offenbarte Verfahren entsprechen den Präambeln der Ansprüche 1 bzw. 11.

ZUSAMMENFASSUNG DER ERFINDUNG

Die vorliegende Erfindung schafft eine fehlersichere Steuerung des Flüssigkeitstransfers, welche mindestens einen Schalter umfasst, der geschlossen sein muss, um eine Pumpe oder ein Ventil mit Strom zu versorgen, durch welche(s) der Flüssigkeitstransfer ermöglicht wird. Mindestens eine Steuereinheit ist vorhanden, welche den geschaltenen Zustand (das heißt offen oder geschlossen) bei jedem der Schalter überwacht. Die Steuereinheit reagiert auf eine Anzahl von Eingangssignalen im Hinblick auf das Freigeben oder Sperren des Flüssigkeitstransfers. Wenn eine Steuereinheit erkennt, dass sich einer der Schalter in einem geschlossenen Zustand befindet, während die Eingangsbedingungen versichern, dass er sich in einem offenen Zustand befindet, öffnet diese Steuereinheit den Schalter, und schließt ihn so lange nicht, bis sich das Problem von selbst löst oder bis das Problem von einem Servicetechniker behoben wird.
In der Erfindung, wie sie durch die Ansprüche definiert ist, werden eine Vorrichtung und ein Verfahren zum Erkennen der Istposition von mindestens einem der Schalter geschaffen. Es wird eine Fühlerschaltung verwendet, welche ein Statussignal erkennt, das anzeigt, ob sich der Schalter in der geschlossenen Position oder in der offenen Position befindet. In einer Ausführungsform wird das Statussignal aus dem "Zulässigkeitssignal" entwickelt, welches über die Primärschalterkontakte geschalten wird. Das Statussignal kann auch intern erzeugt werden. Ein Signalblockierer, der eine Blockierungsdiode umfassen kann, wird ebenfalls zusammen mit dem Schalter verwendet und blockiert das Statussignal, so dass es an den Kontakten des Schalters nicht erkannt werden kann. Auf diese Weise wird die Position des Schalters überwacht, ohne dass dabei das Erlaubnissignal gestört wird. Die bevorzugte Ausführungsform der Erfindung verwendet mindestens einen Optokoppler, der eine elektrische Isolierung zwischen dem Statussignal und einem Ausgangssignal schafft, das erzeugt wird, um die Steuerung über den Schalterstatus zu informieren.

KURZE BESCHREIBUNG DER ZEICHNUNGEN

Fig. 1 ist ein Blockdiagramm einer Flüssigkeitstransfersteuereinheit des Standes der Technik.
Fig. 2 ist ein Blockdiagramm einer Flüssigkeitstransfersteuereinheit gemäß der vorliegenden Erfindung.
Fig. 3 ist eine schematische Darstellung der redundanten Steuerung von Relais, die im Zusammenhang mit einer Flüssigkeitstransfersteuereinheit verwendet wird.
Fig. 4 ist eine schematische Darstellung der Relaisfühlerschaltung für eine Steuereinheit.
Fig. 5 ist ein Flussdiagramm eines "Main"-Abschnittes (Hauptabschnittes) der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
Fig. 6 ist ein Flussdiagramm eines "Idle"-Abschnittes (Leerlaufabschnittes) der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
Fig. 7 ist ein Flussdiagramm eines "Acquire"-Abschnittes (Erlangen-Abschnittes) der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
Fig. 8 ist ein Flussdiagramm eines "Probetype"-Abschnittes (Sondentypabschnittes) der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
Fig. 9A-9C sind Flussdiagramme eines "Active"- Abschnittes der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
Fig. 10A-10F zeigen ein Flussdiagramm einer Sondenabtastunterbrechungsroutine, die Teil der Firmware des Reserve- Mikroprozessors einer Flüssigkeitstransfersteuereinheit ist.
Fig. 11 ist ein Flussdiagramm eines Hauptfirmware-Programms des Reserve-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
Fig. 12A ist ein Zustandsdiagramm, welches eine "Sondentyp"-Finite-State-Maschine zeigt, die von der Firmware des Reserve-Mikroprozessors einer Flüssigkeitstransfersteuereinheit verwendet wird.
Fig. 12B ist ein Zustandsdiagramm, welches eine "Bypass"-Finite-State-Maschine zeigt, die von der Firmware des Reserve-Mikroprozessors einer Flüssigkeitstransfersteuereinheit verwendet wird.
Fig. 13A ist eine schematische Darstellung eines typischen Sondensignals und der Ergebnisse der Abtastung des Signals durch A/D-Wandler, die vom Haupt-Mikroprozessor einer Flüssigkeitstransfersteuereinheit verwendet werden.
Fig. 13B ist eine schematische Darstellung eines Sondenarrays, das aus den Sondenabtastungen gebildet wird, die vom Haupt-Mikroprozessor einer Flüssigkeitstransfersteuereinheit erkannt werden.
Fig. 14 ist ein schematisches Diagramm der Wechselwirkung zwischen einem optischen Bypass-Schlüssel und dem Haupt- Mikroprozessor einer Flüssigkeitstransfersteuereinheit.
Fig. 14A ist ein Schaltbild eines optischen Bypass- Schlüssels, der im Zusammenhang mit einer Flüssigkeitstransfersteuereinheit verwendet wird.
Fig. 14B ist ein Schaltbild der IR-Sende- /Empfangsschaltung des Haupt-Mikroprozessors, welche die Kommunikation mit dem optischen Bypass-Schlüssel ermöglicht und im Zusammenhang mit einer Flüssigkeitstransfersteuereinheit verwendet wird.

DETAILLIERTE BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORM

Im Blockdiagramm von Fig. 2 ist die Steuerungsschaltung für ein Flüssigkeitstransfersystem dargestellt, welches sich in der bevorzugten Ausführungsform am Rack einer Füllstation befindet, welche für das Befüllen eines Erdöl-Tanklastwagens verwendet wird. Die Steuerungsschaltung umfasst einen Haupt-Mikroprozessor (uP) 20 und einen Reserve-Mikroprozessor (pE) 22. Wenn sich der Lastwagen an einer Füllstation befindet, damit eine Flüssigkeit von der Füllstation zu einer Kammer des Lastwagens gefördert werden kann, wird eine elektrische Verbindung zwischen dem Lastwagen und der Station hergestellt, die es ermöglicht, dass Signale zwischen dem Lastwagen und dem Haupt-uP 20 und dem Reserve-uP 22 übertragen werden. Die Mikroprozessoren 20, 22 arbeiten parallel, um den Transfer der Flüssigkeit zum Lastwagen durch Aussenden von "Erlaubnis"-Signalen zu steuern, die eine Flüssigkeitstransfereinrichtung (typischerweise ein Ventil oder eine Pumpe an der Füllstation) nur dann freigeben, wenn sich alle Eingangssignale zu den Mikroprozessoren 20, 22 im richtigen Zustand befinden,
Der Haupt-uP 20 empfängt eine Anzahl der Eingangssignale von verschiedenen Sensorschaltungen, einschließlich: der Überfüllungssensorschaltung 24; der Erdungssensorschaltung 26; der Dampfflusssensorschaltung 28; der ID-Sensorschaltung 30; und der optischen Bypass-Schaltung 32. Jede dieser Sensorschalturigen sendet ein (oder mehrere) separate Eingangssignale zum Haupt-uP 20. Der Haupt-uP 20 greift auf diese Eingangssignale als Teil eines internen Firmware-Programms zu, welches bestimmt, ob der Durchfluss der Flüssigkeit in den Lastwagen freigegeben wird (das heißt, ob ein "Erlaubnis"-Signal an die Flüssigkeitstransfereinrichtung gesendet wird). Der Zweck der einzelnen Eingangsschaltungen 24-32 wird im Folgenden diskutiert.
Die Überfüllungssensorschaltung 24 ist eine Schaltung, welche Flüssigkeitspegelsensoren (das heißt Sonden) in den unterschiedlichen Kammern des Tanklastwagens unterstützt. In der Vergangenheit wurden unterschiedliche Abarten von Überfüllungssensorschaltungen verwendet. Kurz gesagt sendet eine Überfüllungsschutzschaltung in Zusammenarbeit mit den Sonden ein Ausgangssignal für jede der Kammern, das anzeigt, ob der Flüssigkeitspegel in dieser Kammer einen vorherbestimmten Wert überschritten hat. Um ein Überfüllen der Kammern zu verhindern, schaltet der Haupt-uP 20 die Flüssigkeitszufuhr am Befüllungsrack aus, wenn das Ausgangssignal einer Kammer anzeigt, dass deren Flüssigkeitspegel die vorherbestimmte Höhe überschritten hat. Wie oben diskutiert kann das Signal je nach Art der im Lastwagen verwendeten Sonden etwas unterschiedlich sein. Die vorliegende Erfindung arbeitet mit jedem Sondentyp zusammen.
Die Erdungssensorschaltung 26 liefert ein Ausgangssignal, das anzeigt, ob eine gemeinsame Erdung zwischen dem Tanklastwagen und der Station, von welcher der Lastwagen befüllt wird, hergestellt wurde. Dieses Signal wird sowohl vom Haupt-Mikroprozessor als auch vom Reserve-Mikroprozessor empfangen. Diese Arten der Erdungssensorschaltungen wurden auch in der Vergangenheit verwendet. Um zu verhindern, dass sich eine große Spannungsdifferenz zwischen dem Lastwagen und der Station aufbauen kann (was zu einem elektrischen Lichtbogenüberschlag führen könnte, der in der Folge die Dämpfe einer brennbaren Flüssigkeit entzünden könnte), verwenden der Haupt-uP 20 und der Reserve-uP das Ausgangssignal der Erdungssensorschaltung 26, um den Flüssigkeitsdurchfluss zu blockieren, wenn das Ausgangssignal anzeigt, dass keine gemeinsame Erdung zwischen dem Lastwagen und der Füllstation hergestellt wurde.
Die Dampfflusssensorschaltung 28 ist eine weitere Art der Eingangssignalquelle, die im Stand der Technik für Flüssigkeitstransfersysteme bekannt ist. Während der Befüllung einer Lastwagenkammer wird ein Dampfwiedergewinnungsschlauch verwendet, um den Flüssigkeitsdampf aufzufangen, der aus den Kammern des Tanklastwagens entweicht, wenn diese mit der Flüssigkeit befüllt werden. Um eine Befüllung des Lastwagens zu verhindern, wenn der Dampfwiedergewinnungsschlauch nicht richtig angeschlossen ist, wird ein Durchflusssensor in der Dampfwiedergewinnungsleitung am Befüllungsrack verwendet, der über die Sensorschaltung 28 ein Eingangssignal zum Haupt-uP 20 sendet, welches anzeigt, wenn Dampf durch den Schlauch fließt. Nach einer anfänglichen Warteperiode nach Beginn des Flüssigkeitstransfers (um eine Verzögerung zwischen dem Flüssigkeitsfluss in eine Kammer und dem nachfolgenden Ausströmen von Dampf aus der Kammer zu berücksichtigen) führt das Fehlen eines Signals vom Durchflusssensor 28 (dieses Signal zeigt an, dass Dampf durch den Dampfwiedergewinnungsschlauch fließt) dazu, dass der Haupt-uP den Flüssigkeitstransfer durch Unterbrechung des ausgehenden "Erlaubnis"-Signals stoppt.
Die ID-Sensorschaltung 30 ist eine weitere bekannte Art einer Eingabeeinrichtung; sie empfängt Identifikationsinformationen, die in einem ID-Modul am Lastwagen gespeichert sind. Das ID-Modul, bei dem es sich typischerweise um eine elektronische Speichereinheit handelt, enthält Informationen, die den Lastwagen auf einzigartige Weise identifizieren. Bei Erkennung dieser Informationen ruft der Haupt-uP 20 eine gespeicherte Liste alle Lastwagen und/oder Lastwagenbesitzer auf, die unter anderem angibt, ob ein Lastwagen für die Befüllung autorisiert ist. Wenn die Informationen aus dem ID-Modul nicht mit einem in der Liste enthaltenen autorisierten Fahrzeug übereinstimmen, verhindert der Haupt-uP 20 das Befüllen des Lastwagens, indem er das "Erlaubnis"-Signal nicht sendet.
Der Totmannschalter 14 ist ident mit jenen, die auch in der Vergangenheit bereits verwendet wurden, und wird im Abschnitt "Hintergrund" der Anmeldung beschrieben.
Die optische Bypass-Schaltung 32 ist ein Eingangssignal, das einem Stationsverwalter die Möglichkeit gibt, die Verhinderungsmechanismen der Mikroprozessoren 20, 22 zu umgehen. In bestimmten Situationen kann es wünschenswert sein, die vom Flüssigkeitstransfersteuerungssystem zur Verfügung gestellten automatischen Schutzvorrichtungen manuell zu deaktivieren. Zum Beispiel kann ein Stationsverwalter feststellen, dass ein Fahrzeug, obwohl es nicht auf der Autorisierungsliste vorhanden ist, auf welche der Haupt-uP 20 zugreift, doch die Berechtigung besitzt, mit dem Flüssigprodukt befüllt zu werden. In einem solchen Fall kann ein bestimmtes codiertes Eingangssignal zu den Mikroprozessoren 20, 22 über die optische Bypass-Schaltung 32 dazu verwendet werden, um den Flüssigkeitstransfer trotz des Fehlens der ID-Informationen für den Abgleich mit einer Liste der autorisierten Lastwagen zu ermöglichen. Auf ähnliche Weise können Situationen entstehen, in denen es wünschenswert ist, den Transfer des Flüssigprodukts trotz der Tatsache, dass die Eingangssignale von der Überfüllungssensorschaltung 24, der Erdungssensorschaltung 26 oder der Dampfdurchflusssensorschaltung 28 keine korrekten Füllbedingungen anzeigen, zu ermöglichen.
In der Vergangenheit haben Bypass-Systeme typischerweise einen Schlüssel besessen, der einen elektrischen Schalter dreht, um bestimmte Schutzsysteme zu umgehen, die an einer Station vorhanden sein können. Wenngleich solche Einrichtungen in der Lage waren, die erwünschte Umgehung zu bewirken, wiesen sie doch mindestens zwei Probleme auf, die vom optischen Bypass-System der vorliegenden Erfindung beseitigt werden. Zum ersten ermutigten Systeme des Standes der Technik frustrierte Fahrer dazu, den Bypass-Mechanismus selbst zu aktivieren, indem sie am Schloss des Schlüssels hantierten. Zum zweiten stellte der elektrische Schalter ein uneingeschränktes Mittel zur Umgehung eines wahrgenommenen Problems dar, das vielleicht tatsächlich gar nicht bestanden hat, wodurch die gesamten Sicherheitsaspekte des Systems beeinträchtigt wurden. Das optische System der vorliegenden Erfindung, welches im Folgenden im Zusammenhang mit Fig. 14-14B im Detail beschrieben wird, verwendet ein codiertes optisches Signal, welches durch eine flache, lichtdurchlässige Platte am Gehäuse der Steuerungsschaltung hindurchtritt. Die lichtdurchlässige Platte macht nicht den Eindruck, als könne sie leicht außer Kraft gesetzt werden, weshalb die Wahrscheinlichkeit verringert wird, dass Fahrer an ihr herumzuhantieren versuchen. Die Erkennung eines richtigen Codes verursacht die Einschaltung eines Bypass-Zustandes für einen Lastwagen, der mit der Steuereinheit verbunden ist, und der Bypass-Zustand wird aufgehoben, wenn die Verbindung zum Lastwagen getrennt wird. Da der Haupt-Mikroprozessor den optischen Code als einen Code erkennen muss, der sich auf einer autorisierten Liste befindet, werden alle Versuche zur Umgehung der Sicherheit wahrscheinlich keinen Erfolg haben.
Weiter ist in Fig. 2 eine Echtzeituhr 34 dargestellt, die Eingangssignale zum Haupt-uP 20 und zum Reserve-uP 22 sendet und die vorzugsweise innerhalb eines Gehäuses angeordnet ist, in dem sich die Mikroprozessoren 20, 22 befinden. In der bevorzugten Ausführungsform handelt es sich bei der Uhr um eine Art, die von der Firma Dallas Corporation käuflich erworben werden kann. Die Genauigkeit der Uhr liegt innerhalb einer Minute pro Monat, und sie wird für die chronologische Zuordnung von Ereignissen verwendet, die vom Haupt-uP 20 und vom Reserve-uP 22 aufgezeichnet werden.
Ein serieller Kommunikationsanschluss 36 ermöglicht die Kommunikation zwischen dem Haupt-uP 20 und dem Reserve-uP 22 einerseits und anderen bestehenden oder zukünftigen Ladestationssteuerungsmechanismen andererseits. Die bevorzugte Ausführungsform verwendet einen RS-485-Anschluss. Der serielle Anschluss ermöglicht es der Steuerungseinheit, mit anderen Steuerungseinheiten an demselben oder anderen Befüllungsracks der Füllstation oder mit den Steuerungssystemen zukünftiger Füllkontrollmechanismen verbunden zu werden, welche den Flüssigkeitsdurchfluss auf der Grundlage einer seriellen Kommunikation im Hinblick auf den "Erlaubnis"-Zustand der Einheit steuern. Weiter überwacht der Reserve-uP 22 die Kommunikation des Haupt-uP 20 hinsichtlich des Sondenzustands und lässt nicht zu, dass der Haupt-uP einen "trockenen" Erlaubniszustand meldet, sofern nicht der Reserve-uP zustimmt, wodurch eine ausfallsichere Sondenzustandskommunikation erzielt wird.
Programmiersteckbrücken 38 ermöglichen die individuelle Anpassung des Haupt-uP 20 an das jeweilige Befüllungsrack, dem er zugeordnet ist. Wenn zum Beispiel, wie oben erwähnt, mehrere Flüssigkeitssteuerungssystem miteinander verbunden sind, könnten die Programmiersteckbrücken der einzelnen Systeme verwendet werden, um jedem System eine einzigartige Kennadresse zuzuteilen. Die Steckbrücken können auch dazu verwendet werden, die jeweiligen Kommunikationsprotokollparameter für die über den seriellen Kommunikationsanschluss 36 ausgeführte Kommunikation einzustellen. Im Allgemeinen ist die Verwendung von Programmiersteckbrücken zur individuellen Anpassung des Betriebs der Flüssigkeitssteuerungssysteme im Stand der Technik bekannt, und die Verwendung solcher Steckbrücken in der vorliegenden Erfindung stimmt mit einer derartigen Anwendung überein.
Die Anzeigetafel 40 empfängt Ausgangssignale vom Haupt-uP 20 und vom Reserve-uP 22, um den Personen, die mit der Befüllung eines Lastwagens beschäftigt sind, visuelle Anzeigen zur Verfügung zu stellen. In der bevorzugten Ausführungsform besteht die Tafel 40 aus einer Vielzahl an lichtaussendenden Dioden (LEDs), die verschiedene Zustände des Flüssigkeitstransfersteuerungssystems anzeigen. LEDs werden für die Anzeige des Zustandes der einzelnen Kammern verwendet, für die ein Sensoreingangssignal über die Überfüllungssensorschaltung 24 zur Verfügung gestellt wird. Diese Zustandsanzeigen ermöglichen die Diagnose jedes beliebigen Zustandes, der dazu führen könnte, dass die Mikroprozessoren 20, 22 den Flüssigkeitstransfer blockieren.
Für jede Kammer leuchtet eine rote LED, um anzuzeigen, dass die zugehörige Kammer einen Überfüllungszustand aufweist, oder dass eine Sonde defekt ist. Zwei grüne LEDs werden verwendet, um das Aussenden bzw. Empfangen der optischen 5-Draht-Impulse durch den Haupt-uP für optische 5-Draht-Überfüllungssensoren anzuzeigen. Eine rote LED wird verwendet, um anzuzeigen, dass keine gemeinsame Erdung zwischen dem Lastwagen und der Ladestation von der Erdungssensorschaltung 26 erkannt wurde. Eine weitere rote LED wird verwendet, um anzuzeigen, dass kein ausreichender Dampffluss von der Dampfflusssensorschaltung 28 erkannt wurde. Eine gelbe LED wird verwendet, um anzuzeigen, dass der serielle Kommunikationsanschluss 36 aktiv ist.
Zusätzlich zu den obigen LEDs wird eine Reihe mit sechsundzwanzig roten und sechsundzwanzig grünen LEDs verwendet, um den Freigabe- bzw. Blockierzustand der Ausgangssignale anzuzeigen, welche das Pumpengerät steuern. Ein konstantes Leuchten der roten LED-Reihe zeigt an, dass eines der Eingangssignale der Sensorschaltung den Flüssigkeitstransfer blockiert. Ein Blinken der roten LED-Reihe zeigt an, dass der Überfüllungssensor von einem Eingangssignal der Bypass-Schaltung 32 umgangen wurde. Ein konstantes Leuchten der grünen LED-Reihe zeigt an, dass sich alle Eingangssignale von den Sensorschaltungen 24, 26, 28, 30 in einem Zustand befinden, der den Flüssigkeitstransfer erlaubt. Ein Blinken der grünen LED-Reihe zeigt an, dass entweder die Erdungssensorschaltung 26, die Dampfdurchflusssensorschaltung 28 oder die ID-Sensorschaltung 30 durch ein Eingangssignal von der Bypass- Schaltung 32 umgangen wurde, oder dass sie von einem Kommunikationsbefehl umgangen wurde, der vom Haupt-uP 20 und dem Reserve-uP 22 über den seriellen Kommunikationsanschluss 36 empfangen wurde.
Weiter enthalten in der bevorzugten Ausführungsform ist eine rote Service-LED an der Anzeigetafel 40, die anzeigt, wenn ein Fehler an der Rack-Steuereinheit aufgetreten ist. Die ansonsten blinkende LED wird vom Ausgangssignal des AND-Schaltelements 27 (Fig. 2) ausgeschalten gehalten. Das AND-Schaltelement 27 wird vom Ausgangssignal zweier "Service"-Füllpumpen 23, 25 (in Fig. 2 mit "SCP" bezeichnet) versorgt» bei denen es sich um eine bekannte Konstruktion handelt. Wenn die Mikroprozessoren 20, 22 richtig funktionieren, senden sie jeweils ein alternierendes Signal an ihre jeweiligen Füllpumpen 23, 25 aus, wodurch der Ausgang der Füllpumpen auf einer vorherbestimmten, positiven Spannung gehalten wird. Diese hohe Spannung verhindert die Beleuchtung der LED auf bekannte Weise. Wenn jedoch einer der Mikroprozessoren ausfällt oder "verriegelt", handelt es sich bei dem alternierenden Ausgangssignal entweder um Null oder um eine Gleichstromspannung. Beide diese Eingangssignale führen dazu, dass die Füllpumpe, die von ihnen versorgt wird, eine niedrige Spannung (vorzugsweise null Volt) aussendet. Dies führt dazu, dass die normalerweise hohe Ausgangsspannung des AND-Schaltelements auf eine niedrige Spannung umschaltet, was wiederum dazu führt, dass die LED zu leuchten beginnt.
Ein weiterer Zustand, bei dem die Service-LED zu blinken beginnt, ist das Vorhandensein eines Kurzschlusses zwischen den Sondenkanälen, der erkannt werden kann, wenn kein Lastwagen an der Steuereinheit angeschlossen ist. Der Test wird in regelmäßigen Abständen von der Firmware des Haupt-uP 20 durchgeführt, wenn gerade kein Lastwagen erkannt wird. Bei dem Test wird der Reihe nach eine Erregerspannung an den einzelnen Sondenkanälen angelegt, während gleichzeitig die anderen Kanäle überwacht werden. Wenn eine ausreichend hohe Spannung an einem der anderen Kanäle erkannt wird, wird eine Marke in der Firmware des Haupt-uP 20 gesetzt, die das Aussenden eines Erlaubnis-Signals verhindert und dazu führt, dass die Service-LED zu blinken beginnt.
In der vorliegenden Erfindung steuern die Mikroprozessoren 20, 22 den Pumpmechanismus an der Füllstation, indem sie Signale zu redundanten Relais 42 senden. Um die ausfallsichere Steuerung des Systems zu ermöglichen, arbeiten die Mikroprozessoren 20, 22 parallel, wobei jeder Erlaubnis-Signale an eine jeweils andere der zwei Relaiskontrollschaltungen sendet. Darüber hinaus erkennt jeder Mikroprozessor 20, 22 den Zustand (das heißt geöffnet oder geschlossen) der einzelnen Relais, sowie den Status des "alternierenden Erlaubnis"-Signals der anderen uPs (wird im Folgenden beschrieben). Die Anordnung der Mikroprozessoren 20, 22 und der Relais 42 ist in ihren Einzelheiten in Fig. 3 dargestellt.
Das Freigeben der Pumpgeräte an der Füllstation erfordert einen Ruhepfad durch zwei individuelle Relaiskontakte K1 und K2, die in Serie angeordnet sind. Wie in Fig. 3 dargestellt, handelt es sich bei "WS Durchflusssteuerung Eingang" und "WS Durchflusssteuerung Ausgang" um zwei Anschlussklemmen, zwischen denen sich die serielle Anordnung der jeweiligen Schalterabschnitte 44 und 46 der Relais K1 und K2 befinden. Wenn die Flüssigkeitspumpe das Wechselstrom-Durchflusssteuerungssignal am Ausgangsanschluss empfängt, wird die Pumpe freigegeben. Wenn einer der zwei Relaisschalter 44, 46 offen ist, wird das Wechselstromsignal blockiert, und die Flüssigkeitspumpe wird gesperrt. Die Schalter 44, 46 sind normalerweise offen und werden nur durch Erregung ihrer jeweiligen Relaisspulen 48, 50 geschlossen. Jede der Relaisspulen 48, 50 befindet sich in einer seriellen Konfiguration mit zwei Transistoren, bei denen es sich in der bevorzugten Ausführungsform um Feldeffekttransistoren (FETs) handelt. Die FETs 52 und 54 sind in Serie mit der Relaisspule 48 geschaltet, während die FETs 56 und 58 in Serie mit der Relaisspule 50 geschaltet sind.
Eine Gleichstromspannung (V1) über die serielle Anordnung der einzelnen Spulen 48, 50 und ihrer zugeordneten FETs stellt die Quelle für einen ausreichenden Erregerstrom dar. Der Fluss des Erregerstroms wird von Spannungen an den Schaltelementanschlüssen der einzelnen FETs gesteuert. Wenn die Steuerspannungen eines seriellen Paars an FETs (z. B. FETs 52, 54) einen ausreichenden Quelle-Senke-Stromfluss durch diese FETs ermöglicht, fließt der Strom auch durch die zugehörige Spule (z. B. die Spule 48). Dadurch wird die Spule erregt und der Schalterabschnitt des Relais (z. B. Schalter 44) geschlossen. Wenn jedoch die Steuerspannung eines der seriellen FET-Paare keinen ausreichenden Quelle- Senke-Stromfluss durch jenen FET erlaubt, wird die Erregung der zugeordneten Spule (und das entsprechende Schließen des Schalters, den sie steuert) verhindert. Dadurch kann das Wechselstromflusssteuerungssignal durch Steuerung eines der vier Signale an den Schaltelement-Anschlüssen der FETs 52, 54, 56, 58 blockiert werden.
Jeder Mikroprozessor 20, 22 steuert eine Serie FET- Paare, wobei der Haupt-uP 20 die FETs 52, 54 steuert, und der Reserve-uP 22 die FETs 56, 58 steuert. Beide Mikroprozessoren steuern ihre jeweiligen FETs mit Hilfe zweier Ausgangssignale: "statische Erlaubnis" und "alternierende Erlaubnis". Bei der folgenden Beschreibung der Erzeugung dieser beiden Signale wird auf den Haupt-uP 20 und die FETs 52, 54 Bezug genommen. Es versteht sich jedoch von selbst, dass in dieser Hinsicht beide Mikroprozessoren in derselben Weise funktionieren, und dass die Beschreibung gleichermaßen für den Reserve-uP 22 gilt.
Wenn das Flüssigkeitssteuerungssystem an einen zu befüllenden Lastwagen angeschlossen wird und alle Eingangssignale zum Haupt-uP 20 anzeigen, dass der Flüssigkeitstransfer freigegeben werden sollte (oder dass diese schützenden Eingangssignale mit Hilfe der Bypass-Schaltung 32 umgangen wurden), erzeugt der Haupt-uP seine "Erlaubnis"-Ausgangssignale in Form der zwei zuvor erwähnten Signale "Statische Erlaubnis" und "Alternierende Erlaubnis". Das Signal "Statische Erlaubnis" ist ein Gleichstromsignal, welches direkt vom Haupt-uP 20 an den Schaltelement-Anschluss des FET 54 gekoppelt ist (wodurch ein Quelle-Senke-Stromfluss durch den FET 54 ermöglicht wird). Das "Alternierende Erlaubnis"-Signal ist ein Signal, welches zwischen Logikzuständen verändert wird (das heißt zwischen null Volt und einer positiven Spannung) und das mit der Füllpumpe 60 gekoppelt ist.
Das Ändern des Spannungspegels des "Alternierende Erlaubnis"-Signals ist Teil eines Firmwareprogramms, das vom Haupt- uP 20 ausgeführt wird. Die Füllpumpe 60 besitzt eine bekannte Konstruktion, und sie sendet eine Gleichstromspannung aus, wenn das "Alternierende Erlaubnis"-Signal die Spannungspegel mit der vom Haupt-uP-Programm vorgegebenen Geschwindigkeit verändert (bei der es sich in der bevorzugten Ausführungsform um mindestens drei Hertz handelt). Wenn das "Alternierende Erlaubnis"-Signal die Spannungspegel jedoch nicht verändert (z. B. bei null Volt oder einer konstanten Gleichstromspannung), reicht das Ausgangssignal der Füllpumpe nicht aus, um einen Quelle-Senke-Stromfluss durch den FET 52 zu ermöglichen, der hoch genug ist, um die Relaisspule 48 zu erregen (und vorzugsweise null Volt beträgt). Wenn daher der Haupt-uP 20 "verriegelt" (das heißt, wenn er aufhört, sein Firmware-Programm abzuarbeiten), reicht das Ausgangssignal eines Gleichstromsignals an der "Alternierende Erlaubnis"-Ausgangsleitung nicht aus, um einen Flüssigkeitstransfer von der Füllstation zum Lastwagen freizugeben. Die Füllpumpe 62 besitzt die selbe Konstruktion wie die Füllpumpe 60, und das "Statische Erlaubnis"-Signal und das "Alternierende Erlaubnis"-Signal des Reserve-uP 22 steuern die FETs 56 und 58 in der selben Weise wie der Haupt-uP 20 die FETs 52, 54 steuert.
Zusätzlich zur parallelen Steuerung der Relais K1 und K2 überwachen die Mikroprozessoren 20, 22 jeweils den Status beider Relaisschalter 44, 46 und das "Alternierende Erlaubnis"- Signal des jeweils anderen Mikroprozessors. Wie in Fig. 3 dargestellt, sind Wechselstromspannungserkennungsschaltungen 64, 66 vorhanden, um die Signale an den Relaisschaltern 44, 46 zu überwachen, und die "Alternierende Erlaubnis"-Signale werden an den Eingängen zu den Füllpumpen 60, 62 überwacht. Wenn der Schalter 44 offen ist, wird die Wechselstromspannung am Schalter 44 von der Wechselstromerkennungsschaltung 64 erkannt, während, wenn der Schalter 44 geschlossen ist, keine erkennbare Spannungsdifferenz am Schalter 44 vorhanden ist. Auf ähnliche Weise wird, wenn der Schalter 46 offen ist, eine erkennbare Spannung am Schalter 46 entwickelt, und wenn der Schalter 46 geschlossen ist, ist keine Spannung vorhanden.
Damit beide Mikroprozessoren den Status beider Relais bestimmen können, sendet jede der Wechselstromerkennungsschaltungen 64, 66 ein Ausgangssignal zu beiden Mikroprozessoren. Jedes dieser Signale befindet sich in einem unterschiedlichen Zustand. Dieser hängt davon ab, ob die Wechselstromerkennungsschaltung, welche dieses Signal erzeugt, eine Spannung am zugeordneten Relaisschalter erkennt oder nicht. Somit zeigen die zwei überwachten Signale den Zustand der beiden Relais an (das heißt, offen oder geschlossen). Das von der Wechselstromerkennungsschaltung 64 (welche den vom Haupt-uP 20 gesteuerten Schalter überwacht) erzeugte Signal wird als "Hauptrelaismonitor" (abgekürzt "MRM" in Fig. 3) bezeichnet, während das Signal, das von der Wechselstromerkennungsschaltung 66 (welche den vom Reserve-uP 22 gesteuerten Schalter überwacht) erzeugt wird, als "Reserverelaismonitor" (abgekürzt "BRM" in Fig. 3) bezeichnet wird. Das "Alternierende Erlaubnis"-Signal, das vom Haupt-uP erzeugt wird, wird vom Reserve-uP als Signaleingang "Hauptfüllmonitor" (abgekürzt "MCM" in Fig. 3) bezeichnet, während das "Alternierende Erlaubnis"-Signal; das vom Reserve-uP erzeugt wird, vom Haupt-uP überwacht und als "Reservefüllmonitor" (abgekürzt "BCM" in Fig. 3) bezeichnet wird.
Die Signale "Hauptrelaismonitor" und "Reserverelaismonitor" sowie die Signale "Hauptfüllmonitor" und "Reservefüllmonitor" bieten eine zusätzliche Sicherheitsebene beim Flüssigkeitstransfer. Während des normalen Betriebs (ohne aktivierte Bypass-Schaltung) sollten der Haupt-uP 20 und der Reserve-uP 22 dieselben "Erlaubnis"-Ausgangssignale als Reaktion auf eine beliebige Kombination von Eingangssignale von der Überfüllungssensorschaltung 24 und der Erdungssensorschaltung 26 erzeugen. Somit sollten beide Relaisschalter 44 und 46 offen sein, und es sollte keines der "Alternierenden Erlaubnissignale" vorhanden sein, wenn die Eingangssignale von der Überfüllungssensorschaltung 24 oder der Erdungssensorschaltung 26 anzeigen, dass der Flüssigkeitstransfer blockiert werden sollte. Als Teil der Firmware- Programme beider Mikroprozessoren 20, 22 wird, wenn einer der Schalter 44, 46 in dieser Situation geschlossen ist oder eine der Füllpumpen 60, 62 angetrieben wird, ein Fehler eines dieser Relais, der Schaltung der Relais oder des Mikroprozessors, der dieses Relais steuert, angezeigt. Aus diesem Grund geht jener der beiden Mikroprozessoren, der diesen Fehlerzustand entdeckt, in einen "Verriegelungszustand" über, in dem er den Betrieb seiner Relais blockiert und somit den Flüssigkeitstransfer stoppt. Dieser Zustand wird solange beibehalten, bis sich das Problem entweder von selbst behoben hat, oder bis ein Servicetechniker den Fehler untersucht und die notwendigen Korrekturen macht.
Da der Reserve-uP 22 keine Eingangssignale von der Dampfflusssensorschaltung 30 oder der ID-Sensorschaltung 30 empfängt, kann eine Situation entstehen, bei der der Haupt-uP 20 einen geöffneten Relaisschalter 44 aufweist, obwohl die Eingangssignale von der Überfüllungssensorschaltung 24 und der Erdungssensorschaltung 26 anzeigen, dass der Flüssigkeitstransfer beginnen kann.
In Fig. 4 ist eine detaillierte Ansicht der Relaissensorschaltung, die in Fig. 3 als Wechselstromspannungssensor 64 und Wechselstromspannungssensor 66 bezeichnet wird. Der Optoisolator 63 ist so angeordnet, dass er eine Spannung erkennt, die sich am Relaisschalter 44 aufgebaut hat. Der Optoisolator 63 schützt die Mikroprozessoren vor elektrischen Spannungsstößen oder Kurzschlüssen vom erkannten Hochspannungswechselstromsignal. Darüber hinaus ist ein Strombegrenzungswiderstand 67 vorhanden, um den Optoisolator 63 zu schützen. Wenn der Relaisschalter 44 offen ist, führt die erkannte Wechselspannung dazu, dass der Optoisolator ein alternierendes Ausgangssignal mit der Frequenz des Wechselstromsteuerungssignals erzeugt. Wenn der Relaisschalter 44 geschlossen ist, beträgt die erkannte Spannung null Volt, und das Ausgangssignal zu den Mikroprozessoren 20, 22 ist ein Gleichstromsignal mit ungefähr fünf Volt.
Der Optoisolator 65 erkennt die Spannung am Relaisschalter 46 in der selben Weise, wie der Optoisolator 63 die Spannung am Relaisschalter 44 erkennt, und wandelt das erkannte Relaissignal in ein Ausgangssignal für die Mikroprozessoren 20, 22 um. Wenn der Relaisschalter 46 geschlossen ist, handelt es sich bei dem Ausgangssignal um ein alternierendes Signal mit der Frequenz des Wechselstromsteuerungssignals. Wenn der Relaisschalter offen ist, handelt es sich bei dem Ausgangssignal um ein Gleichstromsignal mit ungefähr fünf Volt.
Ein bemerkenswertes Merkmal der in Fig. 4 dargestellten Relaiserkennung umfasst die Verwendung der Sperrdioden 69, 71. Die Diode 69 ist eine Minusstrom-Sperrdiode, und die Diode 71 ist eine Plusstrom-Sperrdiode. Die Anordnung dieser Dioden ist dergestalt, dass der Kontaktfühlerstrom (das heißt jener Strom, der von den Optoisolatoren 63, 65 erkannt wird) von den Eingangs- und Ausgangsanschlüssen des Durchflusssteuerungssignals gesperrt wird. Somit ist aufgrund des Sensorstroms keine erkennbare Spannung an den Durchflusssteuerüngskontakten vorhanden. Weiter wird ein internes Wechselstromsignal VACL über den Widerstand 73 in die Durchflusssteuerungseingabe eingegeben. Diese Spannung wird vom Durchflusssteuerungseingangssignal normal übersteuert, stellt jedoch eine lokale Quelle für den Erkennungsstrom dar, wenn das Wechselstromdurchflusssteuerungssignal fehlt, so dass die Relaiserkennungsschaltung noch immer funktioniert.
Die geschaffene Flüssigkeitstransfersteuereinheit ist insofern ausfallsicher, als dass sie nicht nur eine redundante Steuerung bietet, sondern durch die Überwachung jeder Relaisaktivierung und aller Kontaktsignale auch eine gegenseitige Doppelüberprüfung der einzelnen Mikroprozessoren erfolgt. Somit ist es nicht möglich, dass durch Auftreten eines einzelnen Hardwarefehlers zugelassen wird, dass ein Flüssigkeitstransfer unter gefährlichen Bedingungen durchgeführt werden kann. Wie im Folgenden beschrieben, wird die Redundanz des Systems auch auf die Firmware erweitert, welche die Mikroprozessoren steuert.
Um eine gemeinsame Softwareverriegelung zu verhindern, die dazu führen könnte, dass beide Mikroprozessoren aufgrund der selben Fehlerbedingung abstürzen, ist die Firmware für den einen der beiden Mikroprozessoren jeweils völlig unterschiedlich von der des jeweils anderen Mikroprozessors, und für jede Firmware wird eine jeweils unterschiedliche Flusslogik verwendet, um Aufgaben auszuführen, die beide Mikroprozessoren zu erledigen haben. Die Flusslogik für die Firmware des Haupt-uP ist in Fig. 5-9 dargestellt.
Der Haupt-uP 20 wird von einem Programm gesteuert, das aus einer Anzahl von Sprungbefehlen besteht, die den Logikfluss abhängig von den Sprungbedingungen durch die richtige Reihe von Funktionen lenkt. Wie in Fig. 5 dargestellt, beginnt die höchste Ebene dieses Programm (der "Haupt"-Abschnitt) in Schritt 501 mit dem Initialisieren aller notwendigen Programmvariablen. Danach wird in Schritt 503 geprüft, ob eine "Erlaubnis"-Marke gesetzt wurde. Wenn dies der Fall ist, sendet der Haupt-uP das statische Erlaubnis-Signal in Schritt 505 und das alternierende Erlaubnissignal in Schritt 507. Danach wird in Schritt 509 das Ausgangssignal zur Anzeigetafel 40 aktualisiert, und das Programm verzweigt in Schritt 511 zu einem anderen Abschnitt des Codes auf der Grundlage des Zustandes der Sprungbedingung "MAIN".
Die Sprungvariable MAIN kann einen von vier Zuständen annehmen. Dies hängt vom Zustand der Steuereinheiteneingangssignale und dem Fortschritt der Programmflusslogik ab. Die vier möglichen Zustände von MAIN sind "IDLE" (Leerlauf), "ACQUIRE" (Erlangen), "ACTIVE" (Aktiv) oder "NOTRUCK" (kein Lastwagen). Wenn das System anfänglich initialisiert wird, befindet sich MAIN im Zustand IDLE. Somit verzweigt das Programm beim Erreichen des Verzweigungsschrittes 509 zum "IDLE"-Abschnitt des Codes, dargestellt in Fig. 6.
Im "IDLE"-Programmabschnitt überwacht der Haupt-uP 20 die Eingangssignale an den Leitern eines Eingangsanschlusses, über welchen er mit einem Lastwagen verbunden wird, der über die Ladestation, an dem sich die Steuereinheit befindet, mit Flüssigkeit befüllt werden soll. Unter diesen Eingangssignalen befinden sich Signale von den Überfüllungserkennungssonden, die von der Überfüllungsschaltung 24 unterstützt werden. Aufgrund der Existenz unterschiedlicher Arten von Überfüllungssonden, die in unterschiedlichen Lastwagen verwendet werden, muss der Mikroprozessor die unterschiedlichen Arten der Überfüllungssondeneingangssignale erkennen. Im Allgemeinen erzeugen alle diese Sonden ein oszillierendes Signal, wenn kein Überfüllungszustand vorhanden ist, aber die oszillierenden Signale besitzen unterschiedliche Parameter. Des weiteren sind "Fünf-Draht-Sonden" in Serie von einer Kammer zur anderen miteinander verbunden, während andere "Zwei- Draht-Sonden" unabhängig voneinander arbeiten. Im Programmabschnitt von Fig. 6 werden die digitalisierten Eingangssignale vom Mikroprozessor in Schritt 601 gelesen und überprüft, um zu bestimmen, ob ein Lastwagen gerade mit dem Eingangsanschluss verbunden ist.
Schritt 603 überprüft, ob ein Spannungsabfall an einem der Sondenkanäle erkennbar ist, was einen Anschluss einer beliebigen Sondenart an einem der Sondenkanäle anzeigen würde. Schritt 605 prüft, ob ein gültiges Eingangssignal von der ID- Sensorschaltung 30 vorliegt. Schritt 607 prüft, ob ein gültiger Rückimpuls von einer optischen Fünf-Draht-Überfüllungssonde vorliegt. Schritt 609 prüft, ob ein Signal von der optischen Bypass- Schaltung 32 vorhanden ist, welches anzeigen würde, dass ein Bypass-Schlüssel verwendet wird. Schließlich prüft Schritt 611, ob Kurzschlussmuster an den Eingangssondenkanälen vorhanden sind, die mit der Kurzschlussanordnung einiger Sondensteuerungsmodule, die auf Lastwagen vorhanden sind, übereinstimmen. Solche Module werden an bestimmten Lastwagen verwendet, um mehrere Arten von Ausgangssignalen zu senden, die mit unterschiedlichen Befüllungsrack- Kontrollüberwachungsanlagen verwendet werden können. Die "Zwei- Draht"-Ausgangssignale dieser Kontrollüberwachungsanlagen besitzen entweder ein einzelnes oder ein doppeltes Ausgangssignal, das verwendet wird, um entweder einen Lastwagen mit sechs Kammern oder einen mit acht Kammern zu simulieren, und daher erscheinen mehrere Sondenkanäle so, als wären sie kurzgeschlossen.
Wenn keines der Signale erkannt wird, die in den Schritten 603, 605, 607, 609 und 611 gesucht wurden, bleibt der MAIN-Zustand auf IDLE. Wird jedoch eines dieser Signale erkannt, wechselt der MAIN-Zustand in Schritt 613 auf "ACQUIRE". Der Programmfluss kehrt danach zum Hauptprogramm von Fig. 5 zurück. Solange der MAIN-Zustand auf IDLE bleibt, führt das Programm natürlich eine Schleife durch die Schritte von Fig. 5 und Fig. 6 durch. Wenn jedoch der MAIN-Zustand auf ACQUIRE gewechselt hat, führt Schritt S11 des Hauptprogramms (Fig. 5) zu einer Verzweigung zum Acquire-Abschnitt des Programms, dargestellt in Fig. 7.
Beim Einstieg in den Acquire-Abschnitt des Programms verzweigt der Logikfluss in Schritt 701 auf der Basis des Zustandes einer Verzweigungsvariable ACQUIRE. Die vier möglichen Zustände von ACQUIRE sind "IDLE" (Leerlauf), "OPTIC5" (Optik5), "OPTIC2" (Optik2) und "THERM". Jeder dieser Zustände ermöglicht, dass die Aktivitäten des Programms auf den jeweiligen Zustand der Lastwageneingangssignale gerichtet werden. Wenn das System anfänglich initialisiert wird, befindet sich ACQUIRE im Zustand IDLE. Daher verzweigt das Programm zu Schritt 703, wo das Unterprogramm PROBETYPE (Sondentyp) ausgeführt wird. PROBETYPE ist ein Erkennungsprogramm, das die Art der Überfüllungssondensignale überprüft, die vom Haupt-uP 20 erkannt werden, wie dies in Fig. 8 dargestellt ist.
Der Zustand der Variable PROBE wird als Verzweigungsbedingung im Unterprogramm PROBETYPE verwendet. Die vier möglichen Zustände von PROBE sind "NOTYPE" (kein Typ), "OPTIC5" (Optik5), "OPTIC2" (Optik2) und "THERM". Nachdem das System initialisiert wurde, wird PROBE auf NOTYPE gesetzt, was anzeigt, dass noch keine bestimmte Lastwagensonde erkannt wurde. Beim ersten Durchlauf von PROBETYPE wird PROBE in den Schritten 801 und 802 auf OPTIC5 gesetzt, wenn der Zustand von PROBE gleich NOTYPE ist. Auch ein Zeitgeber für den PROBETYPE-Programmabschnitt, TP, wird auf Null gesetzt. In Schritt 803 wird der Wert von TP überprüft, um zu bestimmen, ob zwei Minuten vergangen sind, seit PROBETYPE zum ersten Mal eingegeben wurde. Wenn dies der Fall ist, wird angenommen, dass ein Lastwagen, der vorhanden war, wieder abgefahren ist, oder dass er nicht identifiziert werden kann, MAIN wird in Schritt 804 auf NOTRUCK gesetzt, und die Kontrolle kehrt zum Hauptprogrammabschnitt zurück. Wenn zwei Minuten noch nicht vergangen sind, geht der Programmfluss zu Schritt 805 weiter, wo je nach dem Zustand von PROBE verzweigt wird.
Wenn PROBE auf OPTIC5 gesetzt wurde, geht das Programm zu Schritt 807 weiter und prüft, ob ein gültiger optischer 5- Draht-Rücklaufimpuls vorhanden ist. Das Überprüfen des Impulses wird vom Schritt 812 auf 0,5 Sekunden beschränkt, wobei in diesem Schritt bei jeder Verzweigung der Zeitgeber TP überprüft wird, um zu bestimmen, ob 0,5 Sekunden seit der Eingabe der OPTIC5-Verzweigung vergangen sind. Da die Dauer der gültigen optischen 5- Draht-Rücklaufimpulse wesentlich kürzer ist als 0,5 Sekunden, würde ein Rücklaufimpuls innerhalb der 0,5 Sekunden erkannt werden, wenn eine optische 5-Draht-Sonde vorhanden und trocken wäre (das heißt, wenn kein Überfüllungszustand vorhanden wäre, der den Empfang von Rücklaufimpulsen verhindern würde). Wenn ein gültiger Impuls erkannt wird, geht der Programmablauf zu Schritt 809 weiter, wo ACQUIRE auf OPTIC5 gesetzt wird, und die Kontrolle kehrt zum Hauptprogramm zurück. Wenn kein gültiger 5-Draht-Impuls innerhalb der 0,5-Sekundengrenze erkannt wird, wird in Schritt 811 geprüft, ob eine gültige Eingabe vom Bypass-Schlüssel vorliegt. Wenn kein Bypass-Schlüssel erkannt wird, geht das Programm wie oben zu Schritt 809 weiter. Wenn 0,5 Sekunden verstreichen, ohne dass ein Impuls erkannt wird, wird PROBE in Schritt 813 auf OPTIC2 gesetzt, und die Kontrolle wird zum Hauptprogrammabschnitt zurückgegeben.
Wurde kein 5-Draht-Signal erkannt, führt der nächste Durchlauf der Programmlogik zu einer Verzweigung bei Schritt 805 zu Schritt 815, wo die Sondeneingangssignale auf das Vorhandensein eines gültigen optischen 2-Draht-Impulses überprüft werden. Das Überprüfen des Impulses wird vom Schritt 820 auf 0,5 Sekunden beschränkt, wobei in diesem Schritt bei jeder Verzweigung der Zeitgeber TP überprüft wird, um zu bestimmen, ob 0,5 Sekunden seit der Eingabe der Verzweigung vergangen sind. Die 0,5-Sekundengrenze ist ausreichend lange, um sicherzustellen, dass ein 2-Draht-Impuls erkannt würde, wenn eine trockene optische 2-Draht-Sonde an einem der Kanäle vorhanden wäre.
Wenn ein gültiger Impuls erkannt wird, geht der Programmablauf zu Schritt 817 weiter, wo ACQUIRE auf OPTIC2 gesetzt wird, und die Kontrolle kehrt zum Hauptprogramm zurück. Wenn kein gültiger Impuls erkannt wird und eine Minute seit dem Aufruf der "Acquire"-Stufe vergangen ist, geht das Programm zu Schritt 819 weiter, wo die Sondenkanäle auf das Vorhandensein eines Kurzschlussmusters überprüft werden, was auf ein am Lastwagen befindliches Steuerungsmodul hinweisen würde. Wenn dieses Muster erkannt wird, geht das Programm wie oben zu Schritt 817 weiter. Wenn nicht, kehrt die Kontrolle zum Hauptprogrammabschnitt zurück. Wenn die 0,5-Sekunden-Zeit abgelaufen ist, wird PROBE in Schritt 822 auf THERM gesetzt, und die Kontrolle kehrt zum Hauptprogramm zurück.
Wenn PROBE gleich THERM ist, führt Schritt 805 zu einer Verzweigung zu Schritt 821, wo die Sondenkanäle auf das Vorhandensein eines gültigen Thermistorsondensignals überprüft werden. Die Signale, die als gültig bestimmt werden, umfassen sowohl jene von standardmäßigen Thermistorsonden (z. B. Scully Signal Co. "Dynaprobe") als auch jene von Niedertemperatur- Thermistorsonden (z. B. Scully Signal Co. "Uniprobe"). Wenn ein solches Signal an einem der Kanäle erkannt wird, wird ACQUIRE in Schritt 823 auf THERM gesetzt, und die Kontrolle kehrt zum Hauptprogrammabschnitt zurück. Die Signalerkennungszeit wird vom Schritt 824 auf 0,5 Sekunden beschränkt, wobei in diesem Schritt bei jeder Verzweigung der Zeitgeber TP überprüft wird, um zu bestimmen, ob 0,5 Sekunden seit der Eingabe der Verzweigung vergangen sind. Wenn kein solches Signal nach 0,5 Sekunden erkannt wird, wird PROBE in Schritt OPTIC5 auf 825 gesetzt, und die Kontrolle kehrt zum Hauptprogrammabschnitt zurück. Somit arbeitet das Programm den Code auf diese Weise durch die verschiedenen Abzweigungen des Programmabschnitts PROBETYPE hindurch bis zu zwei Minuten lang ab und versucht dabei, festzustellen, welche Art von Sondensignal dazu geführt hat, dass der ACQUIRE-Abschnitt des Programms aufgerufen wurde.
Bezugnehmend auf Fig. 7 führt eine Einstellung von ACQUIRE auf OPTIC5 in Schritt 701 dazu, dass das Programm zu Schritt 705 verzweigt, wo die "Schnellstart"-Funktion (wird im Folgenden diskutiert) gesperrt wird, und zu Schritt 706, wo die Verzweigungsvariable "ACTIVE" (wird im Folgenden unter Bezugnahme auf Fig. 9 diskutiert) auf "OPTIC5" gesetzt wird. In Schritt 707 wird die Variable "PERMIT" auf "FALSE" gesetzt, die Variable MAIN wird auf ACTIVE gesetzt, und die Variable ACQUIRE wird auf IDLE gesetzt. Wird ACQUIRE bei Aufruf des ACQUIRE-Abschnitts vom Programm auf OPTIC2 gesetzt, führt dies dazu, dass das Programm in Schritt 701 zu Schritt 709 verzweigt, wo die Schnellstartfunktion gesperrt wird, und zu Schritt 710, wo ACTIVE auf OPTIC2 gesetzt wird. Der Programmfluss geht dann, wie oben, zu Schritt 707 weiter. Das Einstellen von THERM bei Aufruf des ACQUIRE-Abschnitts führt zu einer Verzweigung von Schritt 701 zu Schritt 711, wo die "Schnellstart"-Funktion initiiert wird. Das Programm geht dann zu Schritt 713 weiter, in dem ACTIVE auf THERM gesetzt wird, und kehrt danach wie oben zu Schritt 707 zurück.
Der "ACTIVE"-Abschnitt des Programms ist in Fig. 9A-9C dargestellt. In Schritt 901 verzweigt das Programm auf der Basis des Zustandes der Verzweigungsvariable "ACTIVE". ACTIVE kann einen von drei Zuständen annehmen: "OPTIC5", "OPTIC2", oder "THERM". Wenn ACTIVE auf OPTIC5 gesetzt wird, werden die Sondenkanäle (das heißt, die digitalisierten Signale von den Sonden) in Schritt 903 (Fig. 9B) überprüft, um zu bestimmen, ob ein gültiger optischer 5-Draht-Rücklaufimpuls vorhanden ist. Zusätzliche Einzelheiten bezüglich der jeweiligen Signalüberprüfung werden im Folgenden im Zusammenhang mit Fig. 13A und 135 beschrieben. Wird ein gültiger Rücklaufimpuls erkannt, bestimmt das Programm (in Schritt 905), ob mindestens drei aufeinander folgende, gültige Impulse erkannt wurde (das Programm zeichnet die Zustände der vorigen Impulse auf). Wenn drei aufeinander folgende Impulse erkannt wurden, wird die Variable "PERMIT" in Schritt 907 auf "TRUE" gesetzt, wodurch der Flüssigkeitstransfer von der Rack- Steuerung zum Lastwagen freigegeben wird. Wenn nicht, kehrt die Programmsteuerung zum Hauptprogrammabschnitt zurück.
Wenn die Überprüfung in Schritt 903 ergeben hat, dass kein gültiger Rücklaufimpuls erkannt wurde, bestimmt das Programm in Schritt 909, ob drei aufeinander folgende Überprüfungen zur Erkennung eines gültigen Impulses negativ ausgefallen sind. Wenn weniger als drei aufeinander folgende Prüfungen ohne einen gültigen Impuls durchgeführt wurden, kehrt die Programmsteuerung zum Hauptprogrammabschnitt zurück. Wenn jedoch mindestens drei Zyklen ohne einen gültigen Rücklaufimpuls durchlaufen wurden, wird PERMIT in Schritt 911 auf "FALSE" gesetzt, und das Programm prüft in Schritt 913, ob ein Lastwagen vorhanden ist. Wenn der Lastwagen noch immer erkannt wird, kehrt das Programm zum Hauptprogrammabschnitt zurück. Wenn kein Lastwagen mehr vorhanden ist, wird MAIN in Schritt 915 auf NOTRUCK gesetzt; danach wird die Kontrolle zum Hauptprogrammabschnitt zurückgegeben. Das Vorhandensein des Lastwagens wird über die Erdungssensorschaltung erkannt, indem bestimmt wird, dass eine gültige Erdung vorliegt, oder durch eine Last an den Sondenkanälen, welche die Kanalspannung unter die Leerlaufspannung absenkt.
Die OPTIC2-Verzweigung (Fig. 9A) und die THERM-Verzweigung (Fig. 9C) der ACTIVE-Funktion sind im Wesentlichen gleich wie die OPTIC5-Verzweigung, jedoch mit der Ausnahme, dass die Erkennungsparameter für die Sondensignale unterschiedlich sind. Bei der OPTIC2-Verzweigung bestimmt das Programm, ob ein gültiges optisches 2-Draht-Signal in Schritt 917 an allen aktiven (das heißt entweder sechs oder acht) Sondenkanälen erkannt wurde. Wie bei der OPTIC5-Verzweigung prüft das Programm danach, wenn eine gültige Gruppe von Impulsen erkannt wurde, ob an jedem aktiven Sondenkanal drei aufeinander folgende erkannt wurden (Schritt 919), setzt, wenn dies der Fall ist, PERMIT auf TRUE (Schritt 921), und kehrt zum Hauptprogrammcode zurück. Auf ähnliche Weise führt das Nichterkennen eines gültigen Impulses zu einer Überprüfung im Hinblick darauf, ob bei den drei letzten Überprüfungen keine Gruppe gültiger Impulse erkannt wurde (Schritt 923), und wenn dies der Fall ist, wird PERMIT auf FALSE gesetzt (Schritt 925). Eine Überprüfung auf das Vorhandensein des Lastwagens wird in Schritt 927 durchgeführt, und wenn kein Lastwagen vorhanden ist, wird MAIN in Schritt 929 auf NOTRUCK gesetzt.
Auch die THERM-Verzweigung (Fig. 9C) arbeitet im Wesentlichen in derselben Art und Weise wie die OPTICS-Verzweigung. Das Programm prüft in Schritt 931, ob eine gültige Gruppe an Thermistorsondensignalen an allen aktiven Sondenkanälen vorliegt. Wenn eine gültige Gruppe von Signalen erkannt wird, werden die Ergebnisse der letzten drei Überprüfungen überprüft, um zu bestimmen, ob drei hintereinander folgende gültige Gruppen von Signalen erkannt wurden (Schritt 933). Wenn dies der Fall ist, wird PERMIT in Schritt 935 auf TRUE gesetzt, und die Kontrolle kehrt zum Hauptprogrammabschnitt zurück. Wenn in Schritt 931 kein gültiges Signal erkannt wurde, führt das Programm eine Überprüfung durch, um zu bestimmen, ob auch bei den letzten drei Überprüfungen keine gültige Gruppe von Signalen erkannt wurde (Schritt 937). Wenn dies der Fall ist, wird PERMIT in Schritt 939 auf FALSE gesetzt. Das Programm führt danach eine Überprüfung durch, um zu bestimmen, ob noch immer ein Lastwagen vorhanden ist (Schritt 941); wenn dies nicht mehr der Fall ist, wird MAIN in Schritt 943 auf NOTRUCK gesetzt, bevor die Kontrolle zum Hauptprogrammabschnitt zurückgegeben wird.
Nachdem der Lastwagen abgefahren ist und MAIN in einem der oben diskutierten relevanten Programmschritte auf NOTRUCK gesetzt wurde, führt der nächste Durchlauf durch den Hauptprogrammabschnitt (Fig. 5) zu einer Verzweigung von Schritt S11 zu Schritt S01, in dem alle Systemvariablen neu initialisiert werden. Dies umfasst auch die Initialisierung aller Verzweigungsvariablen auf die oben erwähnten Anfangszustände.
Wie oben erwähnt verwendet der Reserve-uP 22 eine Firmware, die ganz anders ist als jene des Haupt-pF 20, und die auch ganz unabhängig von der Firmware des uP 20 geschrieben wurde. Insbesondere verwendet die Firmware des Reserve-pF eine unterbrechungsgesteuerte Abtastroutine zum Abtasten der Sondensignale. Die Firmware verwendet auch die Finite-State-Maschinen (FSMs), die regelmäßig aktualisiert werden, und die den Zustand der verschiedenen Bedingungen und Variablen, die von Interesse sind, verfolgen.
In Fig. 10A-10F ist ein Flussdiagramm dargestellt, welches die Abtastunterbrechungsroutine beschreibt, die vom Reserve-uP verwendet wird, um die Eingangskanäle von den Überfüllungssonden abzutasten. Alle von der Unterbrechungsroutine verwendeten Variablen werden als Teil des Reserve-Hauptprogramms, das im Folgenden im Zusammenhang mit Fig. 11 beschrieben wird, initialisiert. Das Hauptprogramm von Fig. 11 ruft kontinuierlich eine "Probetype"-Finite-State-Maschine und eine "Bypass"-Finite- State-Maschine auf und wird periodisch von der Unterbrechungsroutine unterbrochen. Jede Finite-State-Maschine wird jedes Mal von der Hauptprogrammschleife überprüft und bei Bedarf aktualisiert. Die Probetype-Finite-State-Maschine behält daher den aktuellen Zustand der erkannten Sonden bei (z. B. 5-Draht nass, 5- Draht trocken, 2-Draht nass, 2-Draht trocken), und auf diese Daten kann die Unterbrechungsroutine zugreifen.
Nun wird auf Fig. 10A Bezug genommen. Wenn die Abtastunterbrechungsroutine beginnt, werden die Sondenkanäle in Schritt 101 mit Hilfe einer Komparatorschaltung (die Teil der Überfüllungssensorschaltung 24 ist) abgetastet, welche die Signalwerte der einzelnen Sonden mit einem Grenzwert vergleicht und als Reaktion darauf eine logische (Eins) oder eine logische (Null) aussendet. Der Grenzwert wird so eingestellt, dass sich das Ausgangssignal der Komparatorschaltung bei einem Sondensignal, das im richtigen Bereich oszilliert, zwischen einer digitalen logischen "Eins" und einer digitalen logischen "Null" verändert, wenn sich das Sondensignal zwischen seinem Maximumwert und seinem Minimumwert verändert. Das Abtasten mit dem Komparator ist insbesondere für 2-Draht-Sonden gedacht, die jeweils individuell ein Signal auf ihrem eigenen Kanal aussenden, und wenn es sich bei den Sonden um 5-Draht-Sonden handelt, verzweigt das Programm von Schritt 1003 zu einem 5-Draht-Erkennungsabschnitt der Routine. In der bevorzugten Ausführungsform wird dies bestimmt, indem der Zustand des "Probetype"-FSM überprüft wird, wie dies im Folgenden beschrieben wird. Wenn es sich um keine 5-Draht-Sonden handelt, werden die Unterbrechungen in Schritt 1005 aktiviert, und der Hauptabschnitt der Unterbrechungsroutinen wird fortgesetzt.
In Schritt 1007 werden die "oszillierenden" Bits für die abgetasteten Sondenkanäle überprüft. Für jeden Sondenkanal wird ein Bit verwendet, um anzuzeigen, ob eine Signalpegeländerung erkannt wurde. Das Bit wird auf hoch gesetzt, wenn festgestellt wird, dass eine Signalpegeländerung am fraglichen Kanal erkannt wurde. Das Bit wird auf niedrig gesetzt, wenn festgestellt wird, dass keine Signalpegeländerung am fraglichen Kanal erkannt wurde.
Bei Schritt 1007 wird das Bit Bx (das x zeigt an, dass es sich bei dem Bit um jenes handelt, welches dem Sondenkanal entspricht, für den eine aktuelle Abtastung SX zu verarbeiten ist) überprüft, um festzustellen, ob der aktuelle Sondenkanal bei der letzten Überprüfung oszilliert hat. Wenn nicht, geht das Programm zu jenem Abschnitt der Routine weite, der in Fig. 10A dargestellt ist. Wird das Bit auf hoch gesetzt, geht die Routine zu Schritt 1009 weiter, wo die aktuelle Abtastung im Vergleich zum vorherigen Abtastwert jenes Sondenkanals überprüft wird, der von der letzten Ausführung der Unterbrechungsroutine gespeichert wurde.
Wenn sich der abgetastete Spannungspegel seit der letzten Ausführung der Routine verändert hat, geht der Programmablauf zu Schritt 1011 (Fig. 10B) weiter, wo ein "Änderungs"- Zeitgeber (der als "Änderungszeitgeberx" bezeichnet wird, um anzuzeigen, dass für jeden abgetasteten Sondenkanal ein anderer Änderungszeitgeber vorhanden ist) auf einen Maximalwert von 125 ms gesetzt wird. Bei dem Änderungszeitgeber handelt es sich um einen Zähler, der eine maximale Zeitdauer festsetzt, innerhalb welcher ein vollständiger Oszillationszyklus (das heißt, drei Spannungspegeländerungen) erkannt werden muss, um als gültig anerkannt zu werden. In Schritt 1013 wird dann die Variable "PWIDTHX" auf den Wert der Differenz zwischen einem "1 ms"-Zähler und der Variable "PSTARTX" gesetzt. Der 1 ms-Zähler ist ein Zeitgeber, der die Unterbrechungsroutine aufruft, und der einmal in der Millisekunde hochgezählt wird. PSTARTx ist eine Variable, welche die Zeit der zuletzt erkannten Pegeländerung enthält. Somit enthält die Variable PWIDTHx die Dauer des zuletzt erkannten Impulses (das heißt, die Zeitdifferenz zwischen den zwei zuletzt erkannten Pegeländerungen).
In Schritt 1015 wird die Summe von PWIDTHx und der Variable "LWIDTHx" (der vorletzte Wert für PWIDTHx) überprüft, um zu bestimmen, ob er einen Wert von 125 ms überschreitet. In anderen Worten wird die Dauer der zwei letzten Impulse (die einem vollständigen Oszillationszyklus entsprechen) summiert und mit der 125 ms-Grenze verglichen. Da die Impulse durch Pegeländerungen (und nicht einfach durch "Anstiegsflanken") identifiziert werden, versteht es sich von selbst, dass sie "niedrige" Impulse ebenso wie "hohe" Impulse umfassen, und dass zwei aufeinander folgende Impulse daher einen Oszillationszyklus des Sondensignals darstellen. (Die 125 ms-Grenze entspricht der Anforderung nach einer Sonden-Mindestfrequenz von acht Hertz pro Kanal).
Wenn die Summe der aufeinander folgenden Impulszeiten die 125 ms-Grenze überschreitet, wird das Sondensignal als ungültig erachtet, und das oszillierende Bit Bx für diesen Sondenkanal wird in Schritt 1017 auf niedrig gesetzt. Um den nächsten Unterbrechungszyklus vorzubereiten, wird LWIDTHx auf PWIDTHx gesetzt (Schritt 1019), PSTARTx wird auf den Wert des 1 ms-Zählers gesetzt (Schritt 1021), und "PERMIT#x" (eine Variable, welche die verbleibende Anzahl erfolgreicher Überprüfungen von PWIDTHx + LWIDTHx anzeigt, die erforderlich sind, um eine PERMIT-Bedingung, das heißt eine Erlaubnisbedingung, zu erfüllen) wird auf drei gesetzt (Schritt 1023). Die Routine bestimmt danach in Schritt 1025 (Fig. 10A), ob jede der Sondenabtastungen überprüft wurde, und holt, wenn dies nicht der Fall ist, die nächste Sondenabtastung in Schritt 1027 und kehrt zu Schritt 1007 zurück. Wenn die Summe der letzten zwei Impulse in Schritt 1015 (Fig. 10B) kleiner als 125 ms ist, wird LWIDTHx in Schritt 1029 auf PWIDTHx gesetzt, PSTARTx wird in Schritt 1031 auf den Wert des 1 ms-Zählers gesetzt, und die Routine geht zu Schritt 1025 (Fig. 10A) weiter.
Wenn, wiederum Bezug nehmend auf Schritt 1009, keine Pegeländerung für den fraglichen Sondenkanal während dieser Ausführung der Unterbrechungsroutine erkannt wird, wird der Änderungszeitgeberx in Schritt 1033 verringert. Der Änderungszeitgeberx wird danach in Schritt 1035 überprüft, um festzustellen, ob er bereits Null erreicht hat (was anzeigt, dass keine Pegeländerung innerhalb der 125 ms stattfand). Wenn nicht, geht die Routine zu Schritt 1025 weiter. Wenn ja, wird Bx in Schritt 1037 auf niedrig gesetzt, PERMIT#x wird in Schritt 1039 auf drei gesetzt, und die Routine geht zu Schritt 1025 weiter.
Wenn es sich in Schritt 1025 bei der aktuellen Abtastung um die "letzte Abtastung" handelt, geht die Routine zu Schritt 1026 weiter, wo der Sondentyp überprüft wird, um festzustellen, ob es sich bei den aktuellen Sonden um 2-Draht-Sonden handelt. Diese Bestimmung wird durchgeführt, indem der aktuelle Zustand der Probetype-Finite-State-Maschine (Fig. 12A) überprüft wird. Wenn es sich bei der Sonde um eine 2-Draht-Sonde handelt, geht die Unterbrechungsroutine zu einem Relaissteuerungsabschnitt der Routine weiter (dargestellt in Fig. 10B und im Folgenden diskutiert). Wenn es sich beim Sondentyp nicht um eine 2-Draht-Sonde handelt, werden die Unterbrechungen in Schritt 1028 blockiert, und die Routine geht zur 5-Draht-Erkennungsroutine weiter (Fig. 10F).
Wenn die Überprüfung des oszillierenden Bits für den aktuellen Sondenkanal in Schritt 1007 anzeigt, dass das Bit auf niedrig gestellt ist, geht die Routine zu Schritt 1041 weiter (Fig. 10C). Schritt 1041 überprüft, ob der Änderungszeitgeber abgelaufen ist, und wenn dies der Fall ist, wird die aktuelle Sonde in Schritt 1043 überprüft, um zu bestimmen, ob eine Pegeländerung eingetreten ist. Wenn keine Pegeländerung eingetreten ist, kehrt die Routine zu Schritt 1007 zurück (Fig. 10A). Wenn eine Pegeländerung stattfindet, wird der Änderungszeitgeberx in Schritt 1045 auf 125 ms gesetzt, LWIDTHx wird in Schritt 1047 auf 125 ms gesetzt, PSTARTx in Schritt 1049 wird auf den Wert des 1 ms-Zählers gesetzt, und PERMIT#x wird in Schritt 1051 zurückgesetzt. Die Kontrolle wird danach in Schritt 1007 (Fig. 10A) zurückgegeben.
Wenn der Änderungszeitgeberx in Schritt 1041 noch nicht Null erreicht hat, wird der Änderungszeitgeberx in Schritt 1053 verringert. Danach wird die aktuelle Sondenabtastung in Schritt 1055 überprüft, um zu bestimmen, ob eine Pegeländerung eingetreten ist. Wenn nicht, kehrt die Routine zu Schritt 1007 zurück (Fig. 10A). Wenn eine Pegeländerung eingetreten ist, wird der Änderungszeitgeberx in Schritt 1057 auf 125 ms zurückgesetzt, und PWIDTHx wird in Schritt 1059 gleich der Differenz zwischen dem 1 ms-Zähler und PSTARTx gesetzt. Die Routine geht dann zu Schritt 1061 weiter (Fig. 10D), wo die Summe der letzten zwei Impulszeiten (PWIDTHx und LWIDTHx) überprüft wird, um zu bestimmen, ob sie die 125 ms-Grenze überschreitet.
Wenn die Dauer der zwei Impulse 125 ms überschreitet, wird LWIDTHx in Schritt 1063 gleich PWIDTHx gesetzt, PSTARTx wird in Schritt 1065 gleich dem Wert des 1 ms-Zählers gesetzt, und PERMIT#x wird in Schritt 1067 auf drei zurückgesetzt. Die Kontrolle wird danach zum Schritt 1007 (Fig. 10A) zurückgegeben. Wenn die Gesamtdauer der beiden Impulse weniger als 125 ms beträgt, geht die Routine von Schritt 1061 zu Schritt 1069 weiter, wo PERMIT#x verringert wird. PERMIT#x wird danach in Schritt 1071 überprüft, um zu bestimmen, ob es Null erreicht hat (das heißt, ob drei volle Zyklen gültiger Oszillation erkannt wurden). Wenn dies der Fall ist, wird das oszillierende Bit Bx der aktuellen Sonde in Schritt 1073 auf hoch gesetzt, was anzeigt, dass eine gültige Oszillation an jenem Sondenkanal vorhanden ist. Wenn PERMITx noch nicht Null erreicht hat, wird der Schritt 1073 ausgelassen. Die Routine geht danach zu Schritt 1075 weiter, wo LWIDTHx gleich PWIDTHx gesetzt wird, und zu Schritt 1077, wo PSTARTx gleich dem Wert des 1 ms- Zählers gesetzt wird. Die Kontrolle wird danach zum Schritt 1007 (Fig. 10A) zurückgegeben.
Der Relaissteuerungsabschnitt der Unterbrechungsroutine ist im Flussdiagramm von Fig. 10E dargestellt. Wenn in Schritt 1026 festgestellt wird, dass es sich bei den Sonden um 2- Draht-Sonden handelt (Fig. 10A), geht die Routine zu Schritt 1088 weiter, wo das Programm den aktuellen Zustand der Variable "PERMIT" überprüft, um zu bestimmen, ob der Reserve-uP bereits auf eine Erlaubnis des Flüssigkeitstransfers eingestellt ist (das heißt, ob er die "Statische Erlaubnis"- und die "Alternierende Erlaubnis"-Ausgangssignale zum Beispiel an den Schließrelaisschalter 46 sendet). Wenn PERMIT auf wahr (TRUE) gesetzt ist (das heißt, wenn der Flüssigkeitstransfer erlaubt ist), wird in Schritt 1089 ein "Relaiszähler" heruntergezählt. Der Relaiszähler wird verwendet, um in regelmäßigen Abständen eine Überprüfung der vom Reserve-uP überwachten Relais zu starten. In Schritt 1090 wird die Relaiszählung überprüft, um zu bestimmen, ob sie Null erreicht hat. Wenn nicht, endet die Unterbrechungsroutine, und die Kontrolle kehrt zum Hauptprogramm (Fig. 11) zurück. Wenn die Relaiszählung den Wert Null erreicht hat, geht das Programm von Schritt 1090 zum Schritt 1091 weiter, wo der Relaiszähler zurückgesetzt wird, und zu Schritt 1092, wo eine "Relais geschlossen"-Überprüfung durchgeführt wird. Bei dieser Überprüfung werden die Eingangssignale "Hauptrelaismonitor", "Reserverelaismonitor" und "Hauptfüllmonitor" vom Reserve-uP 22 überprüft, um zu bestimmen, ob die Zustände der Relais den Zuständen der Sondeneingänge entsprechen. Die Ergebnisse dieser Überprüfung werden danach gespeichert, und die Unterbrechungsroutine endet. Während der nächsten Ausführung des Probetype-FSM (im Folgenden beschrieben) verwendet die State-Maschine die Ergebnisse dieser Überprüfung, um dessen Zustand bei Bedarf zu aktualisieren.
Wenn die Überprüfung der PERMIT-Variablen in Schritt 1088 anzeigt, dass PERMIT falsch ist, geht das Programm zu Schritt 1093 weiter, wo der Relaiszähler verringert wird. Der Relaiszähler wird danach in Schritt 1094 überprüft, und wenn er nicht Null erreicht hat, endet die Unterbrechungsroutine. Wenn der Relaiszähler Null erreicht hat, wird der Zähler in Schritt 1095 zurückgesetzt, und es wird in Schritt 1096 eine "Relais offen"-Überprüfung durchgeführt. Das Ergebnis wird gespeichert, und die Unterbrechungsroutine endet. Während der nächsten Ausführung der Probetype-FSM erkennt die FSM das gespeicherte Ergebnis der Relaisüberprüfung und aktualisiert sich nötigenfalls selbst.
Das Unterprogramm für die 5-Draht-Erkennung ist in Fig. 10F dargestellt. Beim Eintritt wird der Sondenkanal vier in Schritt 1078 überprüft, um zu bestimmen, ob der Haupt-uP einen 5- Draht-Ausgangsimpuls übertragen hat, und, wenn dies der Fall ist, ob ein gültiger Rücklaufimpuls empfangen wurde. In einer typischen optischen 5-Draht-Sondenanordnung sind die Überlaufsonden unterschiedlicher Lastwagenkammern in Serie geschaltet, so dass ein Rücklaufimpuls nur dann an Kanal sechs vorhanden ist, wenn alle Sonden richtig arbeiten und sich keine in einem Überfüllungszustand befindet. Wenn ein gültiger Rücklaufimpuls erkannt wird, geht das Programm zu Schritt 1079 weiter, wo ein "Fehlen"-Zähler auf 2 zurückgesetzt wird. Der Fehlen-Zähler ist ein verminderbarer Zähler, der anfänglich auf zwei gesetzt wird, und der dazu verwendet wird, um zu verfolgen, wie viele aufeinander folgende Überprüfungen in Schritt 1078 zu keiner Erkennung eines gültigen Impulses geführt haben. Da ein gültiger Impuls erkannt wurde, wird der Fehlen-Zähler in Schritt 1079 auf zwei zurückgesetzt.
Von Schritt 1079 geht das Programm zu Schritt 1080 weiter, wo ein "Impuls"-Zähler verringert wird. Der Impuls-Zähler, der im Wesentlichen das Gegenteil des Fehlen-Zählers ist (und anfänglich auf vier initialisiert wird), wird in Schritt 1079 jedes Mal verringert, wenn ein gültiger Impuls erkannt wird. Der Impulszähler wird in Schritt 1081 überprüft, und wenn er Null erreicht hat, wird ein Impuls-Bit in Schritt 1082 auf hoch gesetzt. Das Impuls-Bit dient dem System als Hinweis: wenn es auf hoch gesetzt ist, bedeutet dies, dass die richtigen Sondensignale erkannt wurden. Die Probetype-FSM überwacht dieses Bit und verwendet es, um zu bestimmen, ob ein "5-Draht-trocken"-Zustand aufzurufen ist. Die Unterbrechungen werden wiederum in Schritt 1083 freigegeben, und die Unterbrechungsroutine wird beendet.
Wenn in Schritt 1078 kein Impuls erkannt wird, wird der Impulszähler in Schritt 1084 auf vier gesetzt, und der Fehlen- Zähler wird in Schritt 1085 verringert. Der Fehlen-Zähler wird danach in Schritt 1086 überprüft, um zu bestimmen, ob er Null erreicht hat. Wenn dies der Fall ist, wird das Impulsbit in Schritt 1087 auf niedrig gesetzt, wenn dies aber nicht der Fall ist, wird der Schritt 1087 ausgelassen. Die Unterbrechungen werden dann in Schritt 1083 freigegeben, und die Unterbrechungsroutine wird beendet. Somit ist erkennbar, dass der Impuls-Zähler und der Fehlen-Zähler als eine Art "Hysterese" dienen, um zu verhindern, dass ein falsches Signal einen vorzeitigen Wechsel zwischen dem Erlauben- und dem Nichterlauben-Zustand herbeiführen kann.
Das Hauptsteuerprogramm des Reserve-uP wird vom Flussdiagramm in Fig. 11 beschrieben. Dieses Programm unterliegt den Unterbrechungen durch die Sondenunterbrechungsroutine von Fig. 10A-10F und ruft die Finite-State-Maschinen (FSMs) des Reserve-uP auf, die im Folgenden näher beschrieben werden. In Schritt 1101 werden alle Variablen und anderen Aspekte des Programms initialisiert, wie dies auch bei der herkömmlichen Firmware-Programmierung der Fall ist. In Schritt 1103 wird die Probetype-FSM ausgerufen, so dass deren Zustand, falls nötig, aktualisiert werden kann. Das Programm ruft danach in Schritt 1105 die "Bypass"-FSM auf, so dass auch deren Zustand aktualisiert wird.
In Fig. 12A ist ein Zustandsdiagramm der vom Reserve- uP 22 der vorliegenden. Erfindung verwendeten Probetype-FSM dargestellt. Es ist für Fachleute dieses Bereiches offensichtlich, dass die Probetype-FSM bei jedem Durchlauf durch die Hauptprogrammschleife vom Hauptprogramm aufgerufen wird und daher mit jedem Schleifendurchlauf aktualisiert wird. Die FSM setzt den Prozess durch die angezeigten Zustände fort, bis ein Zustand erreicht wird, der für den aktuellen Zustand ihrer Eingangssignale geeignet ist. Nach der Initialisierung im Zustand 1201 folgt die FSM dem Pfad "a" zum "Idle"-Zustand 1203 (Leerlauf), in dem sie auf Eingangssignale zum Reserve-uP 22 reagiert. Die Probetype-FSM verbleibt unter den folgenden Bedingungen im Zustand 1203 (das heißt, sie folgt dem Pfad "b"): 1) das Hauptrelais ist kurzgeschlossen; 2) der Bypass-Schlüssel ist heißverdrahtet; oder 3) keine 2-Draht- Sonden oszillieren, es werden keine 5-Draht-Rücklaufimpulse erkannt, und es wird kein Bypass-Schlüssel erkannt.
Wenn davon ausgegangen wird, dass weder die Bedingung 1) noch die Bedingung 2) oben wahr ist, fährt die Probetype-FSM über den Pfad "c" zum "5-Draht-trocken-Zustand" 1205 fort, wenn 4 gültige 5-Draht-Rücklaufimpulse in einer Reihe innerhalb von je 200 ms erkannt wurden. Dieser Zustand entspricht dem Einstellen des Impulsbits auf hoch in Schritt 1082 von Fig. 10ff, und der Reserve-uP antwortet darauf durch das Aussenden der Erlaubnis- und der alternierenden Erlaubnissignale zum Schließen des Relais 44. Die FSM verbleibt so lange im Zustand 1205 (das heißt, sie folgt dem Pfad "d"), so lange der Reserve-uP 22 die 5-Draht-Rücklaufimpulse erkennt. Wenn jedoch 400 ms verstreichen, ohne dass ein Rücklaufimpuls erkannt wird, geht die FSM über den Pfad "e" in den "5-Draht-nass"-Zustand 1207 über. Die FSM verbleibt dann so lange im Zustand 1207 (das heißt, sie folgt dem Pfad "f"), so lange 5- Draht-Impulse zu den Sonden gesendet werden und keine Rücklaufimpulse erkannt werden und weder ein Bypass-Schlüssel noch eine Heißverdrahtung des Bypass-Schlüssels erkannt wird.
Wenn vier 5-Draht-Rücklaufimpulse wiederum in einer Reihe innerhalb von 200 ms nacheinander erkannt werden, geht die FSM über den Pfad "g" zurück zum Zustand 1205. Wenn weiter, solange sie sich im Zustand 1207 befindet, eine Sekunde verstreicht, ohne dass ein Impuls zu den Sonden übertragen wird, kehrt die FSM über den Pfad "h" in den Zustand 1203 zurück.
Die FSM geht unter den selben Bedingungen entweder vom Zustand 1203 oder vom Zustand 1207 in den "5-Draht-Warten auf- Relais"-Zustand 1209 zurück (wobei davon ausgegangen wird, dass die oben beschriebenen Bedingungen 1) und 2) nicht wahr sind, wenn sie sich im Leerlaufzustand befindet). Um entweder über den Pfad "i" oder den Pfad "j" zum Zustand 1209 weiterzugehen, muss ein 5- Draht-Impuls zu den Sonden gesendet werden, es darf keine Heißverdrahtung des Bypass-Schlüssels erkannt werden, und es muss ein gültiger Bypass-Schlüssel erkannt werden. Darüber hinaus können aus dem Idle-Zustand keine 2-Draht-Oszillationen erkannt werden.
Im Zustand 1209 beginnt eine Warteperiode, während der die FSM auf das Schließen des Hauptrelais als Reaktion auf den Bypass-Schlüssel wartet. In der bevorzugten Ausführungsform beträgt die Mindestwartezeit eine Minute, und wenn die eine Minute verstreicht, ohne dass sich das Hauptrelais schließt, geht die FSM über den Pfad "l" in den Zustand 1207 weiter. Bis zu diesem Zeitpunkt oder bis zum Schließen des Relais bleibt die FSM im Zustand 1209 (das heißt, sie folgt dem Pfad "k"). Die Verzögerung beim Schließen des Hauptrelais ist typischerweise darauf zurückzuführen, dass ein Fahrer, der das System betreibt, den Totmannschalter mit Verzögerung schließt. Die Verzögerung gibt dem Fahrer Zeit, den Schalter manuell zu schließen, nachdem der Bypass- Schlüssel verwendet wurde, ohne dass die FSM sofort in den 5- Draht-nass-Zustand 1207 wechselt.
Nachdem sich das Hauptrelais geschlossen hat, geht die FSM über den Pfad "m" zum "5-Draht-Bypass"-Zustand 1211 weiter. Während der 5-Draht-Ausgangsimpuls zu den Sonden gesendet wird, wird das Hauptrelais geschlossen, und wenn der Bypass-Zustand seit mehr als einer Stunde nicht existiert hat, bleibt die FSM im Zustand 1211 (das heißt, sie folgt dem Pfad "n"), wodurch der Transfer des Flüssigprodukts ermöglicht wird. Wenn sich jedoch das Hauptrelais für mehr als 5 Sekunden öffnet oder ein einstündiger Bypass-Zeitgeber abläuft, geht die FSM über den Pfad "o" zum "5- Draht-Heißverdrahtung-Warten"-Zustand 1213 weiter. Die Relaisöffnungsmindestzeit von 5 Minuten wird dazu verwendet, um sicherzustellen, dass ein kurzes Abrutschen der Hand des Fahrers vom Totmannschalter nicht zu einem Abbruch des Flüssigkeitstransfers führt. Wenn der 5-Draht-Ausgangsimpuls für die Zeitdauer von einer Sekunde nicht gesendet wird, geht die FSM über den Pfad "r" vom Zustand 1211 in den "2-Draht-Bypass"-Zustand 1215 über.
Der Zustand 1213 ist ein Wartezustand, in dem die FSM bleibt, solange eine "Heißverdrahtungsprüfung" oder eine "Vorhandenseinprüfung" durchgeführt wird, um zu bestimmen, ob der Bypass das Ergebnis einer Heißverdrahtung war. In der bevorzugten Ausführungsform umfasst diese Überprüfung die Übertragung von fünf Rücksetzimpulserv zum Bypass-Schlüssel durch die Steuereinheit. Wenn mindestens drei "Vorhanden"-Impulse als Antwort erkannt werden, wird davon ausgegangen, dass der Schlüssel nicht heißverdrahtet ist. Wenn die Überprüfung anzeigt, dass der Bypass- Schlüssel heißverdrahtet ist, bleibt die FSM im Zustand 1213 (das heißt, sie folgt dem Pfad "p"). Die Überprüfung wird danach in regelmäßigen Abständen (alle zehn Millisekunden in der bevorzugten Ausführungsform) wiederholt. Nachdem der heißverdrahtete Zustand entfernt wurde (über mindestens eine Minute hinweg), geht die FSM über den Pfad "q" zum Zustand 1207 weiter.
Im Zustand 1215 reagiert die FSM auf einen Mangel an Impulsen an den Sondenkanälen derart, dass sie davon ausgeht, dass die Sonden 2-Draht-Sonden sind. Die FSM bleibt so lange im Zustand 1215 (das heißt, sie folgt dem Pfad "ad"), so lange das vom Haupt- uP 20 (das heißt dem Schalter 44) gesteuerte Relais geschlossen ist und der 1-Stunden-Bypass-Zeitgeber nicht abgelaufen ist. Wenn sich jedoch der Schalter 44 öffnet oder der 1-Stunden-Zeitgeber abläuft, geht die FSM über den Pfad "ae" zum "2-Draht-Heißverdrahtung-Warten"-Zustand 1217. Wie beim Zustand 1213 bleibt auch hier die FSM in diesem Wartezustand (das heißt, sie folgt dem Pfad "af"), bis eine Heißverdrahtungsprüfung durchgeführt wird. Wenn ein Heißverdrahtungszustand erkannt wird, bleibt die FSM im Zustand 1217 (das heißt, sie folgt dem Pfad "af"), bis die Bedingung entfernt wird. Wenn keine Heißverdrahtungsbedingung mehr erkannt wird, geht die FSM über den Pfad "ag" in den "2-Draht-nass"-Zustand 1219 über.
In die 2-Draht-Zustände der FSM kann auch aus dem Leerlaufzustand 1203 gewechselt werden. Wenn im Zustand 1203 alle 2-Draht-Sonden oszillieren und kein Kurzschluss am Hauptrelais oder eine Heißverdrahtung des Bypass-Schlüssels erkannt wird, geht die FSM über den Pfad "s" zum "2-Draht-trocken"-Zustand 1221 weiter. Während alle 2-Draht-Sonden weiterhin oszillieren, bleibt die FSM im Zustand 1221 (das heißt, sie folgt dem Pfad "t"). Wenn jedoch 400 ms vergehen, in denen eine der Sonden nicht oszilliert, geht die FSM (über den Pfad "u") zum "2-Draht-nass"-Zustand 1219 weiter.
So lange mindestens eine (aber nicht alle) der 2- Draht-Sonden oszillieren und kein Bypass-Schlüssel oder keine Bypass-Heißverdrahtung erkannt wird, bleibt die FSM im Zustand 1219 (das heißt, sie folgt dem Pfad "v"). Wenn wieder alle Sonden zu oszillieren beginnen, geht die FSM über den Pfad "w" zum 2- Draht-trocken-Zustand weiter. Weiter geht die FSM, wenn sie sich im Zustand 1219 befindet und ein Bypass-Schlüssel erkannt wird, in den "2-Draht, Warten auf Relais"-Zustand 1223 über. Dtr Zustand 1223 ist ähnlich wie der Zustand 1209, und er startet einen Zeitgeber, der eine Verzögerung bietet, die es dem Fahrer erlaubt, den Totmannschalter zu schließen.
Während der Zeitgeber läuft und das Relais noch offen ist, bleibt die FSM im Zustand 1223 (das heißt, sie folgt dem Pfad "aa"). Wenn das Schließen des Relais erkannt wird, bevor der Zeitgeber abläuft, geht die FSM über den Pfad "ac" in den Zustand 1215 über. Wenn der Zeitgeber abläuft, bevor das Schließen erkannt wird, geht die FSM über den Pfad "ab" in den Zustand 1219 über. Der Zustand 1223 kann auch vom Leerlaufzustand 1203 aus über den Pfad "y" erreicht werden, wenn ein Bypass-Schlüssel erkannt wird und die folgenden Bedingungen gegeben sind: 1) das Hauptrelais ist nicht kurzgeschlossen; 2) der Bypass-Schlüssel ist nicht heißverdrahtet; 3) mindestens eine 2-Draht-Sonde oszilliert; und 4) es werden keine Ausgangsimpulse zu den 5-Draht-Sonden gesendet.
Weiter wird vom Hauptprogramm des Reserve-uP 22 die "Bypass"-FSM aufgerufen. Die Bypass-FSM zeichnet den Zustand des Bypass-Modus der Reserve-uP auf und wird in Fig. 12B im Zustandsdiagramm dargestellt. Wenn kein Bypass-Schlüssel erkannt wurde, bleibt die FSM im Zustand "Warten auf Schlüssel" 1225 (das heißt, sie folgt dem Pfad "a"). Wenn ein Bypass-Schlüssel "Vorhandensein- Impuls" (ein 500 ms Impuls, der von den Datenimpulsen klar zu unterscheiden ist und anzeigt, dass ein Schlüssel angesteckt ist) erkannt wird, geht die FSM über den Pfad "b" zum Zustand 1225 zum "Warten auf Ruhe"-Zustand 1227 weiter. Die State-Maschine folgt dem Pfad "i" für eine kurze Zeitdauer (zumindest 100 ms in der bevorzugten Ausführungsform), um das Auflösen von Störgeräuschen am Bypasserkennungseingang zu ermöglichen. Danach geht sie über den Pfad "c" zum "Bypass-Lesen"-Zustand 1229 weiter.
Die FSM bleibt für eine begrenzte Zeitdauer im Zustand 1229, während eine Identifizierung der Bypass-Schlüssel-Eingangssignale versucht wird. Der Reserve-uP führt bis zu zehn Versuche durch, die Bypass-Schlüssel-Eingangssignale zu lesen. Wenn die Eingangssignale nicht identifiziert werden können oder wenn der Code des Bypass-Schlüsseltyps (Familie) falsch ist, kehrt die FSM über den Pfad "e" in den Zustand 1225 zurück. Wenn die korrekt codierten Eingangssignale von einem Bypass-Schlüssel identifiziert werden, geht die State-Maschine über den Pfad "f" zum Zustand "OK zu Bypass" 1231 weiter.
Im Zustand 1231 wird eine "Bypass"-Variable gesetzt, die anzeigt, dass sich der Reserve-uP in einem Bypass-Zuständ befindet, wobei die Variable für das Lesen durch die Probetype-FSM verfügbar ist. Die Bypass-State-Maschine bleibt im Zustand 1231 (das heißt, sie folgt dem Pfad "g"), bis der Reserve-uP das Schließen des ihn steuernden Relaisschalters 46 erkannt hat. Wenn dieses Schließen nicht innerhalb einer begrenzten Zeitdauer erkannt wird, kehrt die State-Maschine über den Pfad "h" in den Zustand 1225 zurück, Wenn das Schließen erkannt wurde, wird die Bypass-Bedingung bestätigt, und die FSM geht zum "Bypass"-Zustand 1233 weiter.
Die Bypass-FSM bleibt für eine begrenzte Zeitdauer, die in der bevorzugten Ausführungsform mindestens zehn Sekunden beträgt, im Zustand 1233 (das heißt, sie folgt dem Pfad "n"). Wenn sich der Relaisschalter 46 aus irgendeinem Grund während dieser Zeit öffnet, folgt die FSM dem Pfad "o" zurück zum Zustand 1225. Wenn die Zeit abläuft und das Relais noch immer geschlossen ist, geht die State-Maschine (über den Pfad "p") zum Zustand "Heißverdrahtung prüfen, warten" 1235. Die FSM bleibt für eine kurze Zeitdauer im Zustand 1235 (das heißt, sie folgt dem Pfad "q"), die in der bevorzugten Ausführungsform zwei Sekunden beträgt. Dies gibt einem Anwender des Bypass-Schlüssels Zeit, den Schlüssel zu entfernen und die Kommunikation zwischen dem Schlüssel und der Rack-Steuereinheit zu unterbrechen. Nach der Verzögerung geht die State-Maschine (über den Pfad "r") in den Zustand "Heißverdrahtung prüfen" 1237.
Im Zustand 1237 führt der Reserve-uP eine "Vorhanden- Prüfung" durch, um festzustellen, ob die Bypass-Schlüsseleingangssignale der Rack-Steuereinheit heißverdrahtet wurden. Wenn die Vorhanden-Prüfung ergibt, dass keine Heißverdrahtung vorliegt, kehrt die FSM über den Pfad "t" in den Zustand 1225 zurück. Wenn eine Heißverdrahtung angezeigt wird, geht die State-Maschine über den Pfad "u" zum "Heißverdrahtung"-Zustand 1239. Die FSM bleibt in diesem Zustand (das heißt, sie folgt dem Pfad "v") unendlich, bis der Hinweis auf einen Bypass-Schlüssel für eine begrenzte Zeitdauer abwesend war (in der bevorzugten Ausführungsform mindestens eine Minute). Wenn der Bypass-Schlüssel (angenommen, es handelt sich um eine Heißverdrahtung) über eine Minute hinweg nicht erkannt wird, kehrt die FSM über den Pfad "w" in den Zustand 1225 zurück.
Zusätzlich zu den Unterschieden in der Firmware zwischen dem Haupt- und dem Reserve-uP ist auch das Verfahren zur Erkennung von Sondensignalen grundlegend unterschiedlich. Fig. 13A und 13B demonstrieren ein Erkennungsverfahren, das vom Haupt-uP 20 verwendet wird. Sowohl bei den optischen 5-Draht-Sonden als auch den optischen 2-Draht-Sonden und den 2-Draht-Thermistorsonden handelt es sich bei den Sonden-Ausgangssignalen um ein oszillierendes Signal, wenn die Sonde trocken ist (das heißt, wenn kein Überfüllungszustand vorhanden ist). Ein Beispiel für ein solches Signal ist in Fig. 13A dargestellt. Um zu bestimmen, ob ein gültiges Sondensignal vom Haupt-uP erkannt wurde, ist es notwendig, zu bestimmen, ob die Amplitude des Signals, die Breite der hohen und niedrigen Signalimpulse und die Periodizität des Signals innerhalb der gewünschten Bereiche liegen. Wenngleich diese Bereiche für die einzelnen Sondentypen unterschiedliche sind, ist das in Fig. 13A dargestellte Erkennungsverfahren für alle gleichermaßen anwendbar.
Zur Durchführung des Erkennungsverfahrens wird jeder der Sondenkanäle, das heißt, die Signale, die direkt von den Sonden selbst empfangen werden, in einen Analog-Digital-Wandler (A/D) eingegeben. Die A/D-Wandler sind vorzugsweise getaktet, um alle zwei Millisekunden Abtastungen zu erzeugen. Die Abtastungen werden vom Haupt-uP 20 mathematisch mit einem von zwei unterschiedlichen Grenzwerten verglichen, die in Fig. 13A als 1301 und 1303 dargestellt sind. Der untere Grenzwert 1301 wird für den Vergleich verwendet, wenn die vorletzte Abtastung über dem geprüften Grenzwert lag. Der obere Grenzwert 1303 wird für den Vergleich verwendet, wenn die vorletzte Abtastung unter dem geprüften Grenzwert lag. Dies ermöglicht einen Grad der Hysterese für die Vergleichsmessungen.
Der Ausgang der einzelnen mathematischen Vergleichsoperationen ist ein einzelnes Bit, das hoch ist (das heißt, eine logische "Eins"), wenn die Abtastung den relevanten Grenzwert überschreitet, oder niedrig (das heißt, eine logische "Null") wenn die Abtastung unter dem relevanten Grenzwert liegt. Somit erzeugt das Signal, wenn es mit Minima und Maxima unter beziehungsweise über den Grenzwerten oszilliert, einen Bitstrom, der die Periodizität des Signals anzeigt. Ein Bitstrom 1305, der dem Signal von Fig. 13A entspricht, wird in der Figur durch Einsen und Nullen repräsentiert, die jeweils unter ihrer entsprechenden Abtastung ausgerichtet sind.
Da jede der Sonden einen Bitstrom erzeugt und es bis zu acht Sonden gibt, die Eingangssignale zur Rack-Steuereinheit senden, wird ein Byte-Array im Speicher des Haupt-uP 20 erstellt, welches alle zwei Millisekunden aus einem neuen Byte besteht, wovon einzelne Bits von separaten Sonden stammen. Dadurch können bis zu acht aktive Bitströme sequentielle Acht-Bit-Bytes an Sondendaten erzeugen. Eine schematische Darstellung eines solchen Sonden-Arrays ist in Fig. 13B dargestellt. Einsen und Nullen werden verwendet, um die Struktur des Sonden-Arrays an jedem Ende des Arrays darzustellen. Wenngleich die Einsen und Nullen im Mittelbereich des Arrays nicht dargestellt sind, ist es für Fachleute dieses Bereiches doch offensichtlich, dass das Array von der linken Seite von Fig. 13B zur rechten Seite der Figur fortgeführt wird.
Mit jedem Bitstrom des Arrays, der (in Fig. 13B von oben nach unten) den einzelnen Sondenkanälen 0 bis 7 entspricht, stellt das Array ein Fenster dar, das eine aktuelle Historie eines jeden einzelnen Bitstroms zeigt. Der Zustand einer jeden Sonde kann daher aus dieser Historie überprüft werden. Dies wird von den verschiedenen Inhalten der einzelnen Bitströme demonstriert, die im Array schematisch durch Einsen und Nullen repräsentiert werden.
Wie zu sehen ist, werden sowohl die Sonde 0 als auch die Sonde 1 durch einen fortlaufenden Strom von logischen Nullen repräsentiert, weshalb davon ausgegangen werden kann, dass diese ausgeschaltet sind. Die Sonde 6 ist eingeschaltet, aber der Bitstrom dieser Sonde besteht aus lauter Einsen, weshalb die Sonde nass zu sein scheint. Der Bitstrom der Sonde 7 oszilliert, doch mit einer geringen Geschwindigkeit. Die anderen Sonden oszillieren innerhalb der normalen Parameter. Durch Aufzeichnung der Bitströme des Arrays kann der Haupt-uP den Zustand der einzelnen Systemsonden bestimmen.
Im Gegensatz zum Bitstromverfahren des Haupt-uP 20 verwendet der Reserve-uP (für 2-Draht-Sondensignale) eine Hardware-Komparatorschaltung, um zu bestimmen, ob die Sonden innerhalb der gewünschten Parameter oszillieren. Diese Schaltung ist im Stand der Technik bekannt und ist ein Bestandteil der Überfüllungssensorschaltung 24 (Fig. 2). Kurz gesagt wird jedes der Sondensignal in eine Komparatorschaltung eingeführt, dessen Ausgang zwischen einer hohen und einer niedrigen Spannung wechselt, wenn das Sondeneingangssignal von einem Wert über einer Grenzwertspannung auf einen Wert unter einer Grenzwertspannung wechselt. Somit besitzt der Ausgang des Komparators einen wechselnden Logikpegel, der vom Reserve-uP erkannt und analysiert wird, um zu bestimmen, ob die Sondenoszillation innerhalb akzeptabler Parameter liegt. Die Verwendung unterschiedlicher Erkenhungsverfahren für die Sondensignale stellt eine weitere Redundanzebene im System dar, so dass ein einzelner Fehler (wie zum Beispiel eine Fehlfunktion in der Sondensignal-Erkennungsschaltung) keinen ungerechtfertigten "Erlaubnis"-Zustand verursachen kann.
Wie zuvor erwähnt, verwendet die Rack-Steuereinheit auch einen optischen Bypass-Schlüssel. Im Gegensatz zu Bypass- Schlüsseln des Standes der Technik, die einen Schlüsselzylinder und elektrische Kontakte besitzen, die sich physisch öffnen und schließen, ermöglicht der optische Schlüssel der vorliegenden Erfindung stets die optische Übertragung der Bypass-Codeinformationen von einer tragbaren "Schlüssel"-Einheit zur Rack-Steuereinheit.
In Fig. 14 ist ein schematisches Diagramm des optischen Bypass-Schlüssels der vorliegenden Erfindung dargestellt. In der bevorzugten Ausführungsform verwendet der Schlüssel 1401 einen Dallas Semiconductor DS2401 Silicon Seriennummer IC 1403. Die optische Kommunikation zwischen dem IC 1403 und dem Haupt-uP 20 wird durch die Verwendung der IR-Transceiver-Schaltung 1405 im Schlüssel 1401 und der IR-Transceiver-Schaltung 1407 in der Rack- Steuereinheit ermöglicht. Der Schlüssel 1401 wird mit einer Batterie 1409 betrieben, wenn ein Reed-Schalter 1411 magnetisch durch die Nähe zu einem Dauermagnet 1413 geschlossen wird, der sich in der Rack-Steuereinheit befindet. Die Magnetfeldlinien sind schematisch in Fig. 14 dargestellt, um die Auswirkungen des Magneten 1413 auf den Reed-Schalter 1411 zu demonstrieren.
Für die Übertragung von Informationen zwischen IC 1403 und dem IR-Transceiver 1405 sowie zwischen dem Haupt-uP 20 und dem IR-Transceiver 1407 wird ein bidirektionales, einzeiliges Protokoll verwendet. Um dieses Protokoll aufzunehmen, werden bestimmte Konstruktionsmerkmale für die Transceiver-Schaltungen 1405 und 1407 verwendet.
Eine bevorzugte Schaltung für den Schlüssel 1401 ist in Fig. 14A dargestellt. Wie gezeigt, stammt die Stromversorgung von der Batterie 1409 durch das Schalten des Reed-Schalters 1411. Ein strombegrenzender Widerstand 1415 und ein Filterkondensator 1417 sind, wie im Stand der Technik auch, für die Batterie vorhanden. Wenn von der Photodiode 1419 optische Infrarotsignale erkannt werden, wird eine Spannung am Widerstand 1421 entwickelt, welche den Transistor 1423 schaltet. Wenn der Transistor mit jedem von der Photodiode 1419 erkannten Lichtimpuls einschaltet, wird ein niedriger Impuls über den Leiter 1425 gesendet und entlang des bidirektionalen Eingangs-/Ausgangspfades des IC 1403 erkannt. Auf ähnliche Weise entwickelt der IC 1403, wenn logische Daten von ihm ausgesandt werden, eine Spannung an der Basis des Transistors 1427, die wiederum einen Stromfluss durch den Widerstand 1429 und die IR-LED 1431 verursacht. Dies führt zu einer Übertragung von IR-Tmpulsen, die daraufhin von der Rack-Steuereinheit erkannt werden. Die Widerstände 1433 und 1435 besitzen Werte, die für die entsprechende Strombegrenzung ausgewählt wurden.
In Fig. 14B ist die Schaltung des IR-Transceivers 1407 dargestellt. In der bidirektionalen Eingangs-/Ausgangsleitung 1437 erkennt und sendet der Haupt-p2 Daten. Die über die Leitung 1437 übertragenen und empfangenen Daten liegen in Form von niedrigen Logikimpulsen (etwa null Volt) vor, während die Leitung 1437 normalerweise 5 Volt aufweist, die von einer 5 V-Quelle zur Verfügung gestellt und über den strombegrenzenden Widerstand 1439 zugeführt werden. Wenngleich eine bidirektionale Leitung nicht benötigt wird, erfordert deren Verwendung einige zusätzliche Schaltkreiselemente, um das Einrasten der Zweiwegkommunikation zu verhindern. Das heißt, ohne einen gewissen Schutz kann ein Signal, das von dem IR Transceiver 1407 erkannt und in die bidirektionale Datenleitung 1437 geschickt wird, nicht von einem Signalausgang des Haupt-uP unterschieden werden.
Wenn ein IR-Signal vom Schlüssel durch die Photodiode 1441 erkannt wird, wird eine entsprechende Spannung am Widerstand 1443 Entwickelt, und diese liegt am Minus-Eingangsanschluss des Komparators 1445 an. Der Plus-Eingangsanschluss des Komparators 1445 wird von den Widerständen 1447 und 1449 zu einer kleinen Spannung vorgespannt. Vorzugsweise werden die Widerstände so ausgewählt, dass die Vorspannung nicht größer als etwa 0,5 V ist. Obwohl es somit kein Eingangssignal zur Photodiode 1441 gibt (das den Minusanschluss an Masse hält), handelt es sich beim dem Ausgang des Komparators 1445 um einen Ausgang vom Typ eines offenen Kollektors (das heißt, er ist nicht leitend). Wenn jedoch ein optisches Signal erkannt wird, verursacht die Spannung, die am Minusanschluss des Komparators 1445 entwickelt wird, eine kleine positive Spannung am Ausgang des Komparators 1445. Diese niedrige Spannung liegt vorzugsweise zwischen 0,2 und 0,4 Volt.
Die Umwandlung des erkannten optischen Signals in die niedrige Ausgangsspannung des Komparators 1445 führt dazu, dass die bidirektionale Leitung 1437 mit jedem erkannten Signal auf Niedrig gezogen wird. Dies ermöglicht die Erkennung des Signals durch den Haupt-uP 20. Der niedrige Ausgang des Komparators 1445 muss klein genug sein, so dass der Ausgang in Kombination mit den Spannungsabfällen der Schottky-Dioden 1451, 1453 klein genug ist, um der bidirektionalen Leitung 1437 ein logisches Niedrig zu präsentieren. Die Widerstände 1455 und 1439 besitzen einen hohen Wert, um den Vorwärtsspannungsabfall der Dioden 1451 und 1453 zu minimieren.
Das optische Ausgangssignal von der Rack-Steuereinheit zum Bypass-Schlüssel wird mit Hilfe der IR-LED 1457 erzeugt, die vom Transistor 1459 und vom strombegrenzenden Widerstand 1461 betrieben wird. Die Transistorbasis wird vom Komparator 1463 versorgt, wofür eine Vorspannung von etwa 2,5 V am Pluseingangsanschluss durch den von den Widerständen 1455 und 1465 gebildeten Widerstandsteiler zur Verfügung gestellt wird. Da der Minusanschluss des Komparators durch den Spannungsabfall der Schottky- Diode 1453 auf einem Spannungspegel gehalten wird, der um etwa 0,15 V höher ist als der Plusanschluss, ist der Ausgang des Komparators 1463 normalerweise negativ, wodurch der Transistor 1459 in ausgeschaltetem Zustand gehalten wird. Wenn jedoch der Haupt-pF 20 die bidirektionale Leitung 1437 auf niedrig zieht (weniger als 0,1 V), wird die Komparatorausgangsspannung zu einer positiven Spannung, wodurch die LED 1457 eingeschaltet wird. Der Widerstand 1467 ist vorhanden, um den Strom durch die LED 1457 präziser regeln zu können, wenn der Komparatorausgang positiv wird.
In der bevorzugten Ausführungsform sowie in Verbindung mit dem bekannten Protokoll von Dallas Semiconductor IC 1403 sendet der Haupt-pF 20 in regelmäßigen Abständen einen Impuls zum Monitor, um das Vorhandensein des Bypass-Schlüssels 1401 zu überprüfen. Der Reserve-pF 22 besitzt Zugang zum bidirektionalen Ausgang und wechselt sich in der Abfrage des Bypass-Schlüssels mit dem Haupt-pF 20 ab, da sich der bidirektionale Ausgang des HauptpF in einem dreistufigen Zustand befindet, wenn er nicht verwendet wird. Wenn der Schlüssel den Impuls erkennt, antwortet er darauf mit einem Vorhanden-Impuls, der vom IR-Transceiver der Rack- Steuereinheit erkannt wird. Das Erkennen des Vorhanden-Impulses wird verwendet, um das Vorhandensein eines Bypass-Schlüssels durch die Firmware des Haupt-uP zu verifizieren. Der Mikroprozessor 20 sendet danach ein anderes Signal aus, welches den Ausgang der Informationen anregt, die im Dallas Semiconductor IC 1403 gespeichert sind, und danach vom Mikroprozessor gelesen werden.
In Fig. 15 ist eine "Schnellstart"-Schaltung dargestellt, die dazu verwendet werden kann, um standardmäßige Thermistorsonden (z. B. Scully Signal Company, "Dynaprobe") vorzuwärmen. Da die Impedanz solcher Thermistorsonden umgekehrt proportional zur Temperatur ist, führen sehr kalte Umgebungstemperaturen (wie sie zum Beispiel typischerweise während der Wintermonate in kalten Regionen vorkommen) dazu, dass die anfängliche Impedanz der Sonden relativ hoch ist. Somit ist die Zeit zur Erwärmung der Sonden auf eine Betriebstemperatur länger, als dies wünschenswert wäre. Da die Impedanz der Sonden weiter mit abnehmenden Temperaturen zunimmt, nimmt auch die Verlustleistung in den Sonden mit abnehmender Temperatur ab, was zu einer nichtlinearen Zunahme der Sondenaufwärmzeit führt.
Wenn ein zu befüllender Lastwägen an die Steuereinheit am Befüllungsrack angeschlossen wird und die Sonden als standardmäßige Thermistorsonden identifiziert werden, wird eine herkömmliche Umschaltschaltung (nicht dargestellt) vom Haupt-uP 20 gesteuert, um eine Thermistorsonde 1501 mit ihrer jeweiligen Schnellstartschaltung zu verbinden, wie dies in Fig. 15 dargestellt ist (es ist nur eine Schaltung dargestellt, doch es versteht sich von selbst, dass die Schnellstartschaltung für jeden der Sondenkanäle mit der in Fig. 15 dargestellten identisch ist). Bei normalen Betriebstemperaturen wird jede Thermistorsonde von einem Zehn-Volt-Netzgerät versorgt, das in Serie mit einem strombegrenzenden Widerstand 1503 geschaltet ist. Beim erstmaligen Anschließen an die Sonden 1501 initiiert der Haupt-uP 20 (als Teil seines Firmware-Programms) jedoch eine "Schnellstart"-Funktion, indem er ein normalerweise hohes Steuersignal am Sockel des PNP- Transistors 1509 auf niedrig setzt. Dies schaltet eine 20 Volt Versorgungsspannung ein, die Strom zu den Thermistorsonden über die strombegrenzenden Widerstände 1513 und 1503 zuführt, wobei die Verlustleistung der Thermistorsonden wesentlich verringert und die Aufwärmzeit stark verkürzt wird. Die Shottky-Dioden 1507, 1511 sorgen für eine Isolierung der Zehn-Volt- und der Zwanzig-Volt- Netzteile voneinander.
Der Haupt-uP 20 sorgt dafür, dass das Steuersignal für eine vorherbestimmte Zeit (etwa zwanzig Sekunden in der bevorzugten Ausführungsform) in seinem Niedrig-Zustand behalten wird. Danach wird das Signal wieder auf hoch gebracht, um das Zwanzig- Volt-Netzteil auszuschalten. Zu diesem Zeitpunkt ist jedoch die Impedanz der Thermistorsonden bereits wesentlich abgefallen, und das normale Zehn-Volt-Netzgerät reicht aus, um die Sonden rasch auf Betriebstemperatur zu bringen. In der bevorzugten Ausführungsform schaltet der Haupt-uP das Zwanzig-Volt-Netzgerät aus, bevor die vorherbestimmte Zeit verstrichen ist, wenn er Oszillationen an einer der Thermistorsonden wahrnimmt (was anzeigt, dass deren Betriebstemperatur bereits erreicht ist). Weiter überwacht der Reserve-uP 22 das Steuersignal vom Haupt-uP 20 und weigert sich vorsichtshalber zu jeder Zeit, das vom Haupt-uP 20 ausgegebene Schnellstartsignal zu erlauben. Darüber hinaus können auch Versorgungsspannungen verwendet werden, die höher oder niedriger sind als die Zwanzig-Volt-Versorgung, wobei höhere Versorgungsspannungen die Aufwärmzeit weiter verkürzen.
Wenngleich die Erfindung unter Bezugnahme auf eine bevorzugte Ausführungsform derselben dargestellt und beschrieben wurde, ist es für Fachleute dieses Bereiches doch offensichtlich, dass verschiedene Änderungen an Form und Inhalt daran vorgenommen werden können, ohne dadurch vom Umfang der Erfindung, wie er in den angehängten Ansprüchen dargelegt wird, abzuweichen.

Claims

1. Eine Flüssigkeitstransfer-Kontrolleinrichtung, die eine Übertragung von Flüssigkeit von einer Flüssigkeitsquelle in einen Aufnahmebehälter unter Verwendung eines Schalters (44, 46) steuert, der in einer ersten Schaltstellung ein Erlauben-Signal zwischen einem ersten elektrischen Kontakt und einem zweiten elektrischen Kontakt leitet, um einen Flüssigkeitstransfer von der Flüssigkeitsquelle in den Aufnahmebehälter zu ermöglichen, und der in einer zweiten Schaltstellung die Leitung des Erlauben-Signals zwischen dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt verhindert, gekennzeichnet durch:

ein Statussignal, das dem Schalter zugeführt wird und zwischen dem ersten Kontakt und dem zweiten Kontakt zu übertragen wird, wenn sich der Schalter in der ersten Schaltstellung befindet;

eine Abtastschaltung (63, 65), die das Vorhandensein des Statussignals am Schalter feststellt und es dadurch einer mit der Abtastschaltung verbundenen Steuereinrichtung gestattet zu bestimmen, ob sich der Schalter in der ersten Schaltstellung befindet und damit die korrekte Operation des Schalters zu bestätigt; und

ein Signalblockierer (69, 71), der das Statussignal von einem Teil des Schalters in einer solchen Weise sperrt, dass das Statussignal am zweiten elektrischen Kontakt relativ zu einem vorbestimmten elektrischen neutralen Zustand nicht feststellbar ist.

2. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 1, worin die Abtastschaltung eine Spannungsabtastschaltung (63, 65) umfasst, die eine sich zwischen dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt ausbildende Spannung feststellt.

3. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 2, worin die Abtastschaltung die Erzeugung eines Ausgangssignals als Antwort auf das Statussignal bewirkt und worin die Abtastschaltung einen Optoisolator (63, 65) umfasst, der eine elektrische Isolation zwischen dem Statussignal und dem Ausgangssignal bewirkt.

4. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 1, worin der Signalblockierer eine Sperrdiode (69, 71) umfasst, die in einem elektrischen Pfad zwischen der Abtastschaltung und wenigstens einem von dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt angeordnet ist.

5. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 4, worin die Sperrdiode eine erste Sperrdiode (69) umfasst, die in einem ersten elektrischen Pfad zwischen der Abtastschaltung und dem ersten elektrischen Kontakt angeordnet ist, und worin die Einrichtung weiter eine zweite Sperrdiode (71) umfasst, die in einem zweiten elektrischen Pfad zwischen der Abtastschaltung und dem zweiten elektrischen Kontakt angeordnet ist.

6. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 5, worin das Erlauben-Signal ein zeitvariables Signal ist.

7. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 1, worin das Statussignal aus dem Erlauben-Signal abgeleitet wird.

8. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 7, worin das Erlauben-Signal von einer externen Signalquelle angelegt wird und worin die Einrichtung weiter eine interne Signalquelle umfasst, die ein internes Signal erzeugt, wenn das Erlauben-Signal an besagten elektrischen Kontakten nicht anliegt und die Erzeugung des Statussignals aus dem internen Signal gestattet.

9. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 1, worin der Schalter ein erster Schalter (44) ist und worin die Einrichtung einen zweiten Schalter (46) umfasst, der mit dem ersten Schalter zwischen dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt in Serie geschaltet ist und eine erste Schaltstellung aufweist, in der eine elektrische Leitung durch den zweiten Schalter zugelassen wird, so dass das Erlauben-Signal zwischen dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt nur dann übertragen wird, wenn der erste Schalter in der ersten Schaltstellung steht und der zweite Schalter in der ersten Schaltstellung steht, und worin die Abtastschaltung (63, 65) ein erstes Statussignal vom ersten Schalter und ein zweites Statussignal vom zweiten Schalter feststellt um zu bestimmen, ob der erste Schalter in der ersten Schaltstellung steht und ob der zweite Schalter in der ersten Schaltstellung steht.

10. Eine Flüssigkeitstransfer-Kontrolleinrichtung nach Anspruch 9, worin die Abtastschaltung (63, 65) die Erzeugung eines ersten Ausgangssignals als Antwort auf das erste Statussignal und ein zweites Ausgangssignals als Antwort auf das zweite Statussignal bewirkt und worin die Abtastschaltung weiter einen ersten Optoisolator (63) umfasst, der eine elektrische Isolation zwischen dem ersten Statussignal und dem ersten Ausgangssignal sicherstellt, sowie einen zweiten Optoisolator (65) umfasst, der eine elektrische Isolation zwischen dem zweiten Statussignal und dem zweiten Ausgangssignal sicherstellt.

11. Ein Verfahren der Steuerung eines Transfers von Flüssigkeit von einer Flüssigkeitsquelle in einen Aufnahmebehälter unter Verwendung eines Schalters (44, 46), der in einer ersten Schaltstellung die Übertragung eines Erlauben-Signals zwischen einem ersten elektrischen Kontakt und einem zweiten elektrischen Kontakt zuläßt, um einen Flüssigkeitstransfer von der Flüssigkeitsquelle in den Aufnahmebehälter zu ermöglichen, und der in einer zweiten Schaltstellung die Übertragung des Erlauben-Signals zwischen dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt verhindert, gekennzeichnet durch die Schritte:

Anlagen eines Statussignals an den Schalter und Übertragen des Statussignals zwischen dem ersten Kontakt und dem zweiten Kontakt, wenn sich der Schalter in der ersten Schaltstellung befindet;

Feststellen der Anwesenheit des Statussignals am Schalter durch eine Abtastschaltung (63, 65) und Bestimmen, ob sich der Schalter in der ersten Schaltstellung befindet und damit Bestätigen der korrekten Operation des Schalters; und

Abperren des Statussignals von einem Teil des Schalters durch einen Signalblockierer (69, 71) in einer solchen Weise, dass das Statussignal am zweiten elektrischen Kontakt relativ zu einem vorbestimmten elektrischen neutralen Zustand nicht feststellbar ist.

12. Ein Verfahren nach Anspruch 11, worin die Feststellung der Anwesenheit des Statussignals die Feststellung einer Spannung umfasst, die sich zwischen dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt ausbildet.

13. Ein Verfahren nach Anspruch 12, das weiter die Erzeugung eines Ausgangssignals als Antwort auf das Statussignal bewirkt und das Vorsehen einer elektrischen Isolation zwischen dem Statussignal und dem Ausgangssignal durch eine Schaltung umfasst, die einen Optoisolator (63, 65) enthält.

14. Ein Verfahren nach Anspruch 11, worin das Absperren des Statussignals ein Sperren des Statussignals durch eine Schaltung umfasst, die eine Sperrdiode (69, 71) enthält, welche in einem elektrischen Pfad zwischen der Abtastschaltung und wenigstens einem von dem ersten elektrischen Kontakt und dem zweiten elektrischen Kontakt angeordnet ist.

15. Ein Verfahren nach Anspruch 14, worin die Sperrdiode (69) eine erste Sperrdiode ist, die in einem ersten elektrischen Pfad zwischen der Abtastschaltung und dem ersten elektrischen Kontakt angeordnet ist, und worin das Verfahren ein Sperren des Statussignals durch eine zweite Blockierdiode (71) umfasst, die in einem zweiten elektrischen Pfad zwischen der Abtastschaltung und dem zweiten elektrischen Kontakt angeordnet ist.

16. Ein Verfahren nach Anspruch 15, worin das Erlauben-Signal ein zeitvariables Signal ist.

17. Ein Verfahren nach Anspruch 11, worin das Statussignal aus dem Erlauben-Signal abgeleitet wird.

18. Ein Verfahren nach Anspruch 17, das weiter ein Anlegen des Erlauben-Signals von einer externen Signalquelle umfasst sowie ein Erzeugen eines internen Signals durch eine interne Signalquelle umfasst, wenn das Erlauben-Signal an den elektrischen Kontakten nicht anliegt und so die Erzeugung des Statussignals aus dem internen Signal gestattet.