-
1. Bereich der Erfindung
-
Diese Erfindung betrifft den Bereich
der Flüssigkeitstransfersteuerung
und insbesondere den Bereich der Sicherheit während des Transfers von brennbaren
Flüssigkeiten,
wie zum Beispiel Erdölprodukten.
-
2. Beschreibung des Bereiches
-
Das Steuern des sicheren und richtigen Transfers
von brennbaren Flüssigkeiten
beim Beladen von Transportfahrzeugen, wie zum Beispiel Tanklastwagen,
ist seit langem ein großes
Anliegen der Erdölindustrie.
In den letzten Jahren wurden Sicherheitsvorrichtungen an den Tanklastwagen
implementiert, die den Flüssigkeitstransfer
von einer Füllstation zum
Lastwagen verhindern, wenn bestimmte unsichere Bedingungen rund
um den Transfer bestehen. Diese Vorrichtungen verwenden ein Erkennungsgerät, um zu
bestimmen, ob alle Sicherheitsvorkehrungen getroffen wurden, und
verhindern den Flüssigkeitsdurchfluss,
wenn dies nicht der Fall ist. Das Verhindern des Flüssigkeitsdurchflusses
wird elektrisch durch das Schließen eines Ventils in der Flüssigkeitstransferleitung
oder durch Deaktivierung einer Pumpe gesteuert, die für den Transfer
der Flüssigkeit
zum Tanklastwagen verantwortlich ist.
-
1 ist
ein Blockdiagramm eines Systems des Standes der Technik mit einer
Kontrollschaltung 10, die entweder das Ventil oder den
Pumpmechanismus (oder beide) auf der Grundlage einer Anzahl unterschiedlicher
Eingabesignale steuert. Diese Abbildung zeigt einige der Eingabequellen,
die im Stand der Technik für
die Steuerung des Flüssigkeitstransfers
bekannt sind. Systeme des Standes der Technik können einige oder alle der in 1 gezeigten Eingabequellen
aufweisen. Wenn sich nicht alle der notwendigen Eingabesignale im
richtigen Zustand befinden, wird der Transfer der Flüssigkeit
verhindert. Auf diese Weise werden gefährliche Umstände beim
Befüllen
verhindert.
-
Viele Flüssigkeitsdurchflusssteuersysteme verwenden
eine Echtzeituhr 12, wie zum Beispiel jene, die in 1 dargestellt ist. Die Uhreingabe
wird in Verbindung mit einer Speichereinheit der Steuerschaltung 10 verwendet,
um Zeitstempel zu speichern, die anzeigen, wann bestimmte bemerkenswerte
Ereignisse eingetreten sind. Das heißt, jedes Mal, wenn das System
in Betrieb genommen wird, um den Transfer von Flüssigkeit zu oder von einer Kammer
des Tankwagens zu ermöglichen,
wird die Art des Ereignisses auf codierte Weise aufgezeichnet, wobei
auch die Zeit aufgezeichnet wird, die vom Eingangssignal der Uhr 12 angegeben
wird. Wenn daher ein Versuch gemacht werden sollte, die Pumpventilsteuerungsschaltung 10 zu übergehen
(das heißt,
Flüssigkeit
unter unsicheren Bedingungen zu fördern), wird ein Eintrag des
Ereignisses aufgezeichnet. Dies dient zur Abschreckung für jene,
die versuchen könnten,
das System auf diese Weise zu umgehen.
-
Auch ein Totmannschalter 14 wurde
verwendet, der bedingt, dass ein Bediener, der den Flüssigkeitstransfer
steuert, einen Schalter, der an der Füllstation befestigt ist, während des
gesamten Füll-
oder Entleerungsvorgangs manuell geschlossen hält. Dadurch wird sichergestellt,
dass der Bediener immer anwesend ist, wenn der Flüssigkeitstransfer
durchgeführt
wird, so dass entsprechende Maßnahmen
ergriffen werden können,
wenn Probleme auftreten sollten. Der Totmannschalter 14 löst insbesondere
jenes Problem, welches sich aus der Tatsache ergibt, dass sich Bediener
während
des Flüssigkeitstransfers
vom Gerät
entfernen.
-
Die ID-Sensorschaltung 16 ist
typisch für
ein Lastwagenidentifikationssystem, für welches eine Speichereinheit
am Lastwagen vorhanden ist, in dem eine individuelle Identifikationsnummer
(ID-Nr.) gespeichert ist. Wenn sich der Lastwagen an der Füllstation
befindet, wird eine Signalleitung zwischen dem Lastwagen und der
Station angeschlossen, damit die ID-Schaltung 16 auf die Speichereinheit
am Lastwagen zugreifen kann, um die ID-Nummer zu lesen. Die ID-Nummer
des Lastwagens wird danach mit einer Liste der gültigen Lastwagen-ID-Nummern verglichen,
und der Flüssigkeitstransfer
wird unterbunden, wenn die ID-Nummer des Lastwagens nicht mit einer
Nummer auf der Liste übereinstimmt.
Ein System dieser Art ist im US-Patent Nr. 5.534.856 des Anmelders
der vorliegenden Erfindung beschrieben.
-
Bei der anderen in 1 gezeigten Eingabevorrichtung handelt
es sich um eine Erdungssensorschaltung 18. Ein häufiges Sicherheitsproblem
während
des Transfers von brennbaren Flüssigkeiten
ist die Entladung statischer Elektrizität in der Umgebung der brennbaren
Flüssigkeit.
Eine ausreichende Differenz im elektrischen Potential des Tanklastwagens und
einer Station, von der dieser beladen wird, kann zu einem elektrischen
Bogenüberschlag
führen,
der in der Nähe
vorhandene Dämpfe
der geförderten Flüssigkeit
entzünden
kann. Aus diesem Grund besteht eine allgemein akzeptierte Sicherheitsvorkehrung
darin, eine gemeinsame elektrische Erdung zwischen dem Lastwagen
und der Füllstation
zu errichten. Um sicherzustellen, dass eine solche gemeinsame Erdung
errichtet wird, wird eine nicht umgehbare Erdungssensorschaltung 18 verwendet,
um das Vorhandensein der gemeinsamen Erdung zu überprüfen, und diese verhindert den
Flüssigkeitstransfer, wenn
die Erdung nicht vorhanden ist. Ein Beispiel für eine solche Schaltung findet
sich im US-Patent Nr. 4.901.195 des Anmelders der vorliegenden Erfindung.
-
Eine andere Eingabeart ist die Überfüllungssensorschaltung 13,
von der es eine Anzahl unterschiedlicher Typen im Stand der Technik
gibt. Im Allgemeinen besteht die Überfüllungssensorschaltung aus Sonden,
die erkennen, wenn der Flüssigkeitspegel
in einer der Kammern eines Tanklastwagens eine vorherbestimmte Höhe überschreitet.
Die Steuerschaltung 10 reagiert auf die Anzeige eines Überfüllungszustandes
durch Abbruch der Flüssigkeitsförderung
zum Lastwagen.
-
Während
verschiedene Arten von Steuerungseingangssignalen dabei helfen,
die Sicherheit eines Flüssigkeitstransfervorgangs
zu gewährleisten, hängt deren
Wirksamkeit von der richtigen Funktionsweise der Kontrollschaltung 10 ab.
Die meisten derartigen Schaltungen neigen dazu, Schalter zu besitzen,
welche die fragliche Pumpe oder das fragliche Ventil freigeben,
doch die normalerweise offen sind, wenn das System ausgeschaltet
ist oder wenn Eingangssignale zur Kontrollschaltung anzeigen, dass der
Flüssigkeitstransfer
blockiert werden sollte. Wenn jedoch die Kontrollschaltung selbst
auf eine Weise fehlerhaft sein sollte, bei der ihre Fähigkeit,
die Flüssigkeitsförderung
zu unterbinden, beeinträchtigt ist,
kann dies zu einer unsicheren Situation beim Flüssigkeitstransfer führen.
-
DE-4322230 offenbart ein System zur
Ermöglichung
des sicheren Flüssigkeitstransfers
von einem Tank in einen Behälter.
Das System umfasst zwei alternierende Sicherheitssysteme, von denen ein
jedes zwei seriell angeschlossene Ventile umfasst. Wenn eines oder
beide dieser Ventile geschlossen sind, kann keine Flüssigkeit
vom Tank in den Behälter
gefördert
werden. Jedes Ventil wird von einer jeweiligen Kontrollvorrichtung
betätigt,
wobei eine jede auf ein separates Überwachungssignal reagiert.
Somit steuert jede Kontrollvorrichtung ihr jeweiliges Ventil in
Abhängigkeit
von einem Signal, das sich von dem der anderen Kontrollvorrichtung
unterscheidet.
-
WO 93/09997 offenbart ein zentral
gesteuertes System das der Präambel
von Anspruch 6 zur Verhinderung eines Überlaufes von Kraftstoff während der
Operationen zur Beladung eines Schiffes. Dieses System umfasst die
Verwendung eines Satzes von allgemein beschriebenen Überfüllungssensoren,
die in jedem der Ladeabteilungen des Schiffes installiert sind,
in dem das System arbeitet.
-
ZUSAMMENFASSUNG DER ERFINDUNG
-
Die vorliegende Erfindung kann in
Verbindung mit einer fehlersicheren Steuerung des Flüssigkeitstransfers
verwendet werden, die wenigstens einen Schalter umfasst, der geschlossen
sein muss, um eine Pumpe oder ein Ventil mit Strom zu versorgen,
die den Flüssigkeitstransfer
ermöglichen.
Es ist wenigstens eine Steuereinheit vorhanden, die den Schaltzustand
(d. h. offen oder geschlossen) eines jeden der Schalter überwacht.
Die Steuereinheit reagiert auch auf eine Anzahl von Eingangssignalen
für die
Freigabe oder das Sperren des Flüssigkeitstransfers.
Wenn eine Steuereinheit erkennt, dass sich einer der Schalter in
einem geschlossenen Zustand befindet, wenn die Eingangsbedingungen
rechtfertigen, dass er sich in einem offenen Zustand befindet, öffnet die
Steuereinheit den Schalter, und schließt ihn so lange nicht, bis
sich das Problem von selbst löst
oder bis das Problem von einem Servicetechniker behoben wird.
-
Gemäß der Erfindung, wie sie durch
die Ansprüche
definiert ist, wird eine Überfüllungsabtastschaltung
verwendet zum Feststellen von Signalen von wenigstens einem Überfüllungssensor,
der anzeigt, wenn der Flüssigkeitsstand
in einem zu füllenden
Behälter
einen bestimmten Pegel erreicht hat. Da derzeit unterschiedliche Überfüllungssensoren
im gewerblichen Gebrauch sind, stellt die Steuereinrichtung über die Überfüllungsabtastschaltung
zunächst fest,
welche der Typen von Überfüllungssensoren
an sie angeschlossen sind. Die Typen der Sensoren, die erkannt werden
können,
umfassen „Fünfdraht"- Sensoren, „Zweidraht"-Sensoren und Thermistor-Sensoren. In einer
bevorzugten Implmentierung prüft
die Steuereinrichtung zunächst
das Vorhandensein von Signalen, die einen ersten Sondentyp anzeigen. Wenn
solche Signale nicht festgestellt werden, prüft die Steuereinrichtung das
Vorhandensein von Signalen, die einen zweiten Sondentyp anzeigen,
und wenn solche festgestellt werden, konfiguriert sich die Steuereinrichtung
selbst zum Betrieb mit dem zweiten Typ. Wenn solche Signale nicht
festgestellt werden, konfiguriert sich die Steuereinrichtung selbst zum
Betrieb mit dem dritten Typ, und sie kann die Anwesenheit des dritten
Sondentyps zuerst prüfen.
-
KURZE BESCHREIBUNG
DER ZEICHNUNGEN
-
1 ist
ein Blockdiagramm einer Flüssigkeitstransfersteuereinheit
des Standes der Technik.
-
2 ist
ein Blockdiagramm einer Flüssigkeitstransfersteuereinheit
gemäß der vorliegenden Erfindung.
-
3 ist
eine schematische Darstellung der redundanten Steuerung von Relais,
die im Zusammenhang mit einer Flüssigkeitstransfersteuereinheit verwendet
wird.
-
4 ist
eine schematische Darstellung der Relaisfühlerschaltung für eine Steuereinheit.
-
5 ist
ein Flussdiagramm eines „Main"-Abschnittes (Hauptabschnittes)
der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
-
6 ist
ein Flussdiagramm eines „Idle"-Abschnittes (Leerlaufabschnittes)
der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
-
7 ist
ein Flussdiagramm eines „Acquire"-Abschnittes (Erlangen-Abschnittes)
der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
-
8 ist
ein Flussdiagramm eines „Probetype"-Abschnittes (Sondentypabschnittes)
der Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
-
9A–9C sind Flussdiagramme eines „Active"-Abschnittes der
Firmware des Haupt-Mikroprozessors einer Flüssigkeitstransfersteuereinheit.
-
10A–10F zeigen ein Flussdiagramm
einer Sondenabtastunterbrechungsroutine, die Teil der Firmware des
Reserve-Mikroprozessors
einer Flüssigkeitstransfersteuereinheit
ist.
-
11 ist
ein Flussdiagramm eines Hauptfirmware-Programms des Reserve-Mikroprozessors einer
Flüssigkeitstransfersteuereinheit.
-
12A ist
ein Zustandsdiagramm, welches eine „Sondentyp"-Finite-State-Maschine zeigt, die von
der Firmware des Reserve-Mikroprozessors einer Flüssigkeitstransfersteuereinheit
verwendet wird.
-
12B ist
ein Zustandsdiagramm, welches eine „Bypass"-Finite-State-Maschine
zeigt, die von der Firmware des Reserve-Mikroprozessors einer Flüssigkeitstransfersteuereinheit
verwendet wird.
-
13A ist
eine schematische Darstellung eines typischen Sondensignals und
der Ergebnisse der Abtastung des Signals durch A/D-Wandler, die vom
Haupt-Mikroprozessor einer Flüssigkeitstransfersteuereinheit
verwendet werden.
-
13B ist
eine schematische Darstellung eines Sondenarrays, das aus den Sondenabtastungen
gebildet wird, die vom Haupt-Mikroprozessor einer Flüssigkeitstransfersteuereinheit
erkannt werden.
-
14 ist
ein schematisches Diagramm der Wechselwirkung zwischen einem optischen
Bypass-Schlüssel
und dem Haupt-Mikroprozessor
einer Flüssigkeitstransfersteuereinheit.
-
14A ist
ein Schaltbild eines optischen Bypass-Schlüssels,
der im Zusammenhang mit einer Flüssigkeitstransfersteuereinheit
verwendet wird.
-
14B ist
ein Schaltbild der IR-Sende-/Empfangsschaltung
des Haupt-Mikroprozessors, welche die Kommunikation mit dem optischen
Bypass-Schlüssel
ermöglicht
und im Zusammenhang mit einer Flüssigkeitstransfersteuereinheit
verwendet wird.
-
DETAILLIERTE
BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORM
-
Im Blockdiagramm von 2 ist die Steuerungsschaltung für ein Flüssigkeitstransfersystem dargestellt,
welches sich in der bevorzugten Ausführungsform am Rack einer Füllstation
befindet, welche für
das Befüllen
eines Erdöl-Tanklastwagens verwendet
wird. Die Steuerungsschaltung umfasst einen Haupt-Mikroprozessor
(μP) 20 und
einen Reserve-Mikroprozessor
(μP) 22.
Wenn sich der Lastwagen an einer Füllstation befindet, damit eine
Flüssigkeit
von der Füllstation
zu einer Kammer des Lastwagens gefördert werden kann, wird eine
elektrische Verbindung zwischen dem Lastwagen und der Station hergestellt,
die es ermöglicht,
dass Signale zwischen dem Lastwagen und dem Haupt-μP 20 und dem
Reserve-μP 22 übertragen
werden. Die Mikroprozessoren 20, 22 arbeiten parallel,
um den Transfer der Flüssigkeit
zum Lastwagen durch Aussenden von „Erlaubnis"-Signalen zu steuern, die eine Flüssigkeitstransfereinrichtung
(typischerweise ein Ventil oder eine Pumpe an der Füllstation)
nur dann freigeben, wenn sich alle Eingangssignale zu den Mikroprozessoren 20, 22 im
richtigen Zustand befinden.
-
Der Haupt-μP 20 empfängt eine
Anzahl der Eingangssignale von verschiedenen Sensorschaltungen,
einschließlich:
der Überfüllungssensorschaltung 24;
der Erdungssensorschaltung 26; der Dampfflusssensorschaltung 28;
der ID-Sensorschaltung 30; und der optischen Bypass-Schaltung 32.
Jede dieser Sensorschaltungen sendet ein (oder mehrere) separate
Eingangssignale zum Haupt-μP 20.
Der Haupf-μP 20 greift
auf diese Eingangssignale als Teil eines internen Firmware-Programms zu, welches
bestimmt, ob der Durchfluss der Flüssigkeit in den Lastwagen freigegeben
wird (das heißt,
ob ein „Erlaubnis"-Signal an die Flüssigkeitstransfereinrichtung
gesendet wird). Der Zweck der einzelnen Eingangsschaltungen 24–32 wird
im Folgenden diskutiert.
-
Die Überfüllungssensorschaltung 24 ist
eine Schaltung, welche Flüssigkeitspegelsensoren
(das heißt
Sonden) in den unterschiedlichen Kammern des Tanklastwagens unterstützt. In
der Vergangenheit wurden unterschiedliche Abarten von Überfüllungssensorschaltungen
verwendet. Kurz gesagt sendet eine Überfüllungsschutzschaltung in Zusammenarbeit
mit den Sonden ein Ausgangssignal für jede der Kammern, das anzeigt,
ob der Flüssigkeitspegel
in dieser Kammer einen vorherbestimmten Wert überschritten hat. Um ein Überfüllen der Kammern
zu verhindern, schaltet der Haupt-μP 20 die Flüssigkeitszufuhr
am Befüllungsrack
aus, wenn das Ausgangssignal einer Kammer anzeigt, dass deren Flüssigkeitspegel
die vorherbestimmte Höhe überschritten
hat. Wie oben diskutiert kann das Signal je nach Art der im Lastwagen
verwendeten Sonden etwas unterschiedlich sein. Die vorliegende Erfindung
arbeitet mit jedem Sondentyp zusammen.
-
Die Erdungssensorschaltung 26 liefert
ein Ausgangssignal, das anzeigt, ob eine gemeinsame Erdung zwischen
dem Tanklastwagen und der Station, von welcher der Lastwagen befüllt wird,
hergestellt wurde. Dieses Signal wird sowohl vom Haupt-Mikroprozessor
als auch vom Reserve-Mikroprozessor
empfangen. Diese Arten der Erdungssensorschaltungen wurden auch
in der Vergangenheit verwendet. Um zu verhindern, dass sich eine
große Spannungsdifferenz
zwischen dem Lastwagen und der Station aufbauen kann (was zu einem
elektrischen Lichtbogenüberschlag
führen
könnte,
der in der Folge die Dämpfe
einer brennbaren Flüssigkeit entzünden könnte), verwenden
der Haupt-μP 20 und der
Reserve-μP das Ausgangssignal
der Erdungssensorschaltung 26, um den Flüssigkeitsdurchfluss zu
blockieren, wenn das Ausgangssignal anzeigt, dass keine gemeinsame
Erdung zwischen dem Lastwagen und der Füllstation hergestellt wurde.
-
Die Dampfflusssensorschaltung 28 ist
eine weitere Art der Eingangssignalquelle, die im Stand der Technik
für Flüssigkeitstransfersysteme
bekannt ist. Während
der Befüllung
einer Lastwagenkammer wird ein Dampfwiedergewinnungsschlauch verwendet,
um den Flüssigkeitsdampf
aufzufangen, der aus den Kammern des Tanklastwagens entweicht, wenn diese
mit der Flüssigkeit
befüllt
werden. Um eine Befüllung
des Lastwagens zu verhindern, wenn der Dampfwiedergewinnungsschlauch
nicht richtig angeschlossen ist, wird ein Durchflusssensor in der Dampfwiedergewinnungsleitung
am Befüllungsrack verwendet,
der über
die Sensorschaltung 28 ein Eingangssignal zum Haupt-μP 20 sendet,
welches anzeigt, wenn Dampf durch den Schlauch fließt. Nach einer
anfänglichen
Warteperiode nach Beginn des Flüssigkeitstransfers
(um eine Verzögerung
zwischen dem Flüssigkeitsfluss
in eine Kammer und dem nachfolgenden Ausströmen von Dampf aus der Kammer
zu berücksichtigen)
führt das
Fehlen eines Signals vom Durchflusssensor 28 (dieses Signal zeigt
an, dass Dampf durch den Dampfwiedergewinnungsschlauch fließt) dazu,
dass der Haupt-μP
den Flüssigkeitstransfer
durch Unterbrechung des ausgehenden „Erlaubnis"-Signals stoppt.
-
Die ID-Sensorschaltung 30 ist
eine weitere bekannte Art einer Eingabeeinrichtung; sie empfängt Identifikationsinformationen,
die in einem ID-Modul am Lastwagen gespeichert sind. Das ID-Modul,
bei dem es sich typischerweise um eine elektronische Speichereinheit
handelt, enthält
Informationen, die den Lastwagen auf einzigartige Weise identifizieren. Bei
Erkennung dieser Informationen ruft der Haupt-μP 20 eine gespeicherte
Liste alle Lastwagen und/oder Lastwagenbesitzer auf, die unter anderem angibt,
ob ein Lastwagen für
die Befüllung
autorisiert ist. Wenn die Informationen aus dem ID-Modul nicht mit
einem in der Liste enthaltenen autorisierten Fahrzeug übereinstimmen,
verhindert der Haupt-μP 20 das
Befüllen
des Lastwagens, indem er das „Erlaubnis"-Signal nicht sendet.
-
Der Totmannschalter 14 ist
ident mit jenen, die auch in der Vergangenheit bereits verwendet
wurden, und wird im Abschnitt „Hintergrund" der Anmeldung beschrieben.
-
Die optische Bypass-Schaltung 32 ist
ein Eingangssignal, das einem Stationsverwalter die Möglichkeit
gibt, die Verhinderungsmechanismen der Mikroprozessoren 20, 22 zu
umgehen. In bestimmten Situationen kann es wünschenswert sein, die vom Flüssigkeitstransfersteuerungssystem
zur Verfügung gestellten
automatischen Schutzvorrichtungen manuell zu deaktivieren. Zum Beispiel
kann ein Stationsverwalter feststellen, dass ein Fahrzeug, obwohl
es nicht auf der Autorisierungsliste vorhanden ist, auf welche der
Haupt-μP 20 zugreift,
doch die Berechtigung besitzt, mit dem Flüssigprodukt befüllt zu werden.
In einem solchen Fall kann ein bestimmtes codiertes Eingangssignal
zu den Mikroprozessoren 20, 22 über die
optische Bypass-Schaltung 32 dazu verwendet werden, um
den Flüssigkeitstransfer
trotz des Fehlens der ID-Informationen für den Abgleich mit einer Liste
der autorisierten Lastwagen zu ermöglichen. Auf ähnliche
Weise können
Situationen entstehen, in denen es wünschenswert ist, den Transfer des
Flüssigprodukts
trotz der Tatsache, dass die können
Situationen entstehen, in denen es wünschenswert ist, den Transfer
des Flüssigprodukts
trotz der Tatsache, dass die Eingangssignale von der Überfüllungssensorschaltung 24,
der Erdungssensorschaltung 26 oder der Dampfdurchflusssensorschaltung 28 keine
korrekten Füllbedingungen
anzeigen, zu ermöglichen.
-
In der Vergangenheit haben Bypass-Systeme
typischerweise einen Schlüssel
besessen, der einen elektrischen Schalter dreht, um bestimmte Schutzsysteme
zu umgehen, die an einer Station vorhanden sein können. Wenngleich
solche Einrichtungen in der Lage waren, die erwünschte Umgehung zu bewirken,
wiesen sie doch mindestens zwei Probleme auf, die vom optischen
Bypass-System der vorliegenden Erfindung beseitigt werden. Zum ersten
ermutigten Systeme des Standes der Technik frustrierte Fahrer dazu,
den Bypass-Mechanismus selbst zu aktivieren, indem sie am Schloss
des Schlüssels hantierten.
Zum zweiten stellte der elektrische Schalter ein uneingeschränktes Mittel
zur Umgehung eines wahrgenommenen Problems dar, das vielleicht tatsächlich gar
nicht bestanden hat, wodurch die gesamten Sicherheitsaspekte des
Systems beeinträchtigt
wurden. Das optische System der vorliegenden Erfindung, welches
im Folgenden im Zusammenhang mit 14– 14B im Detail beschrieben
wird, verwendet ein codiertes optisches Signal, welches durch eine
flache, lichtdurchlässige
Platte am Gehäuse
der Steuerungsschaltung hindurchtritt. Die lichtdurchlässige Platte
macht nicht den Eindruck, als könne
sie leicht außer
Kraft gesetzt werden, weshalb die Wahrscheinlichkeit verringert
wird, dass Fahrer an ihr herumzuhantieren versuchen. Die Erkennung eines
richtigen Codes verursacht die Einschaltung eines Bypass-Zustandes
für einen
Lastwagen, der mit der Steuereinheit verbunden ist, und der Bypass-Zustand
wird aufgehoben, wenn die Verbindung zum Lastwagen getrennt wird.
Da der Haupt-Mikroprozessor den optischen Code als einen Code erkennen muss,
der sich auf einer autorisierten Liste befindet, werden alle Versuche
zur Umgehung der Sicherheit wahrscheinlich keinen Erfolg haben.
-
Weiter ist in 2 eine Echtzeituhr 34 dargestellt,
die Eingangssignale zum Haupt-μP 20 und
zum Reserve-μP 22 sendet
und die vorzugsweise innerhalb eines Gehäuses angeordnet ist, in dem
sich die Mikroprozessoren 20, 22 befinden. In
der bevorzugten Ausführungsform
handelt es sich bei der Uhr um eine Art, die von der Firma Dallas
Corporation käuflich
erworben werden kann. Die Genauigkeit der Uhr liegt innerhalb einer
Minute pro Monat, und sie wird für
die chronologische Zuordnung von Ereignissen verwendet, die vom
Haupt-μP 20 und
vom Reserve-μP 22 aufgezeichnet
werden.
-
Ein serieller Kommunikationsanschluss 36 ermöglicht die
Kommunikation zwischen dem Haupt-μP 20 und
dem Reserve-μP 22 einerseits
und anderen bestehenden oder zukünftigen
Ladestationssteuerungsmechanismen andererseits. Die bevorzugte Ausführungsform
verwendet einen RS-485-Anschluss.
Der serielle Anschluss ermöglicht
es der Steuerungseinheit, mit anderen Steuerungseinheiten an demselben
oder anderen Befüllungsracks
der Füllstation
oder mit den Steuerungssystemen zukünftiger Füllkontrollmechanismen verbunden
zu werden, welche den Flüssigkeitsdurchfluss
auf der Grundlage einer seriellen Kommunikation im Hinblick auf
den „Erlaubnis"-Zustand der Einheit
steuern. Weiter überwacht
der Reserve-μP 22 die
Kommunikation des Haupt-μP 20 hinsichtlich
des Sondenzustands und lässt
nicht zu, dass der Haupt-μP
einen „trockenen" Erlaubniszustand
meldet, sofern nicht der Reserve-μP zustimmt,
wodurch eine ausfallsichere Sondenzustandskommunikation erzielt
wird.
-
Programmiersteckbrücken 38 ermöglichen die
individuelle Anpassung des Haupt-μP 20 an
das jeweilige Befüllungsrack,
dem er zugeordnet ist. Wenn zum Beispiel, wie oben erwähnt, mehrere
Flüssigkeitssteuerungssystem
miteinander verbunden sind, könnten
die Programmiersteckbrücken
der einzelnen Systeme verwendet werden, um jedem System eine einzigartige
Kennadresse zuzuteilen. Die Steckbrücken können auch dazu verwendet werden, die
jeweiligen Kommunikationsprotokollparameter für die über den seriellen Kommunikationsanschluss 36 ausgeführte Kommunikation einzustellen.
Im Allgemeinen ist die Verwendung von Programmiersteckbrücken zur
individuellen Anpassung des Betriebs der Flüssigkeitssteuerungssysteme
im Stand der Technik bekannt, und die Verwendung solcher Steckbrücken in
der vorliegenden Erfindung stimmt mit einer derartigen Anwendung überein.
-
Die Anzeigetafel 40 empfängt Ausgangssignale
vom Haupt-μP 20 und
vom Reserve-μP 22,
um den Personen, die mit der Befüllung
eines Lastwagens beschäftigt
sind, visuelle Anzeigen zur Verfügung
zu stellen. In der bevorzugten Ausführungsform besteht die Tafel 40 aus
einer Vielzahl an lichtaussendenden Dioden (LEDs), die verschiedene
Zustände
des Flüssigkeitstransfersteuerungssystems
anzeigen. LEDs werden für
die Anzeige des Zustandes der einzelnen Kammern verwendet, für die ein
Sensoreingangssignal über
die Überfüllungssensorschaltung 24 zur
Verfügung
gestellt wird. Diese Zustandsanzeigen ermöglichen die Diagnose jedes
beliebigen Zustandes, der dazu führen
könnte,
dass die Mikroprozessoren 20, 22 den Flüssigkeitstransfer blockieren.
-
Für
jede Kammer leuchtet eine rote LED, um anzuzeigen, dass die zugehörige Kammer
einen Überfüllungszustand
aufweist, oder dass eine Sonde defekt ist. Zwei grüne LEDs
werden verwendet, um das Aussenden bzw. Empfangen der optischen 5-Draht-Impulse
durch den Haupt-μP
für optische 5-Draht-Überfüllungssensoren
anzuzeigen. Eine rote LED wird verwendet, um anzuzeigen, dass keine
gemeinsame Erdung zwischen dem Lastwagen und der Ladestation von
der Erdungssensorschaltung 26 erkannt wurde. Eine weitere
rote LED wird verwendet, um anzuzeigen, dass kein ausreichender
Dampffluss von der Dampfflusssensorschaltung 28 erkannt
wurde. Eine gelbe LED wird verwendet, um anzuzeigen, dass der serielle
Kommunikationsanschluss 36 aktiv ist.
-
Zusätzlich zu den obigen LEDs wird
eine Reihe mit sechsundzwanzig roten und sechsundzwanzig grünen LEDs
verwendet, um den Freigabe- bzw. Blockierzustand der Ausgangssignale
anzuzeigen, welche das Pumpengerät
steuern. Ein konstantes Leuchten der roten LED-Reihe zeigt an, dass
eines der Eingangssignale der Sensorschaltung den Flüssigkeitstransfer
blockiert. Ein Blinken der roten LED-Reihe zeigt an, dass der Überfüllungssensor von
einem Eingangssignal der Bypass-Schaltung 32 umgangen wurde.
Ein konstantes Leuchten der grünen
LED-Reihe zeigt an, dass sich alle Eingangssignale von den Sensorschaltungen 24, 26, 28, 30 in
einem Zustand befinden, der den Flüssigkeitstransfer erlaubt.
Ein Blinken der grünen
LED-Reihe zeigt an, dass entweder die Erdungssensorschaltung 26,
die Dampfdurchflusssensorschaltung 28 oder die ID-Sensorschaltung 30 durch
ein Eingangssignal von der Bypass-Schaltung 32 umgangen
wurde, oder dass sie von einem Kommunikationsbefehl umgangen wurde,
der vom Haupt-μP 20 und
dem Reserve-μP 22 über den
seriellen Kommunikationsanschluss 36 empfangen wurde.
-
Weiter enthalten in der bevorzugten
Ausführungsform
ist eine rote Service-LED an der Anzeigetafel 40, die anzeigt,
wenn ein Fehler an der Rack-Steuereinheit aufgetreten ist. Die ansonsten blinkende
LED wird vom Ausgangssignal des AND-Schaltelements 27 (2) ausgeschalten gehalten.
Das AND-Schaltelement 27 wird vom Ausgangssignal zweier „Service"-Füllpumpen 23, 25 (in 2 mit „SCP" bezeichnet) versorgt, bei denen es sich
um eine bekannte Konstruktion handelt. Wenn die Mikroprozessoren 20, 22 richtig
funktionieren, senden sie jeweils ein alternierendes Signal an ihre jeweiligen
Füllpumpen 23, 25 aus,
wodurch der Ausgang der Füllpumpen
auf einer vorherbestimmten, positiven Spannung gehalten wird. Diese
hohe Spannung verhindert die Beleuchtung der LED auf bekannte Weise.
Wenn jedoch einer der Mikroprozessoren ausfällt oder „verriegelt", handelt es sich
bei dem alternierenden Ausgangssignal entweder um Null oder um eine
Gleichstromspannung. Beide diese Eingangssignale führen dazu,
dass die Füllpumpe, die
von ihnen versorgt wird, eine niedrige Spannung (vorzugsweise null
Volt) aussendet. Dies führt
dazu, dass die normalerweise hohe Ausgangsspannung des AND-Schaltelements auf
eine niedrige Spannung umschaltet, was wiederum dazu führt, dass
die LED zu leuchten beginnt.
-
Ein weiterer Zustand, bei dem die
Service-LED zu blinken beginnt, ist das Vorhandensein eines Kurzschlusses
zwischen den Sondenkanälen, der
erkannt werden kann, wenn kein Lastwagen an der Steuereinheit angeschlossen
ist. Der Test wird in regelmäßigen Abständen von
der Firmware des Haupt-μP 20 durchgeführt, wenn
gerade kein Lastwagen erkannt wird. Bei dem Test wird der Reihe nach
eine Erregerspannung an den einzelnen Sondenkanälen angelegt, während gleichzeitig
die anderen Kanäle überwacht
werden. Wenn eine ausreichend hohe Spannung an einem der anderen
Kanäle erkannt
wird, wird eine Marke in der Firmware des Haupt-μP 20 gesetzt, die das
Aussenden eines Erlaubnis-Signals verhindert und dazu führt, dass
die Service-LED zu blinken beginnt.
-
In der vorliegenden Erfindung steuern
die Mikroprozessoren 20, 22 den Pumpmechanismus
an der Füllstation,
indem sie Signale zu redundanten Relais 42 senden. Um die
ausfallsichere Steuerung des Systems zu ermöglichen, arbeiten die Mikroprozessoren 20, 22 parallel,
wobei jeder Erlaubnis-Signale an eine jeweils andere der zwei Relaiskontrollschaltungen
sendet. Darüber
hinaus erkennt jeder Mikroprozessor 20, 22 den
Zustand (das heißt
geöffnet
oder geschlossen) der einzelnen Relais, sowie den Status des „alternierenden
Erlaubnis"-Signals der
anderen μPs
(wird im Folgenden beschrieben). Die Anordnung der Mikroprozessoren 20, 22 und
der Relais 42 ist in ihren Einzelheiten in 3 dargestellt.
-
Das Freigeben der Pumpgeräte an der
Füllstation
erfordert einen Ruhepfad durch zwei individuelle Relaiskontakte
K1 und K2, die in Serie angeordnet sind. Wie in 3 dargestellt, handelt es sich bei „WS Durchflusssteuerung
Eingang" und „WS Durchflusssteuerung
Ausgang" um zwei
Anschlussklemmen, zwischen denen sich die serielle Anordnung der jeweiligen
Schalterabschnitte 44 und 46 der Relais K1 und
K2 befinden. Wenn die Flüssigkeitspumpe das
Wechselstrom-Durchflusssteuerungssignal
am Ausgangsanschluss empfängt,
wird die Pumpe freigegeben. Wenn einer der zwei Relaisschalter 44, 46 offen
ist, wird das Wechselstromsignal blockiert, und die Flüssigkeitspumpe
wird gesperrt. Die Schalter 44, 46 sind normalerweise
offen und werden nur durch Erregung ihrer jeweiligen Relaisspulen 48, 50 geschlossen.
Jede der Relaisspulen 48, 50 befindet sich in
einer seriellen Konfiguration mit zwei Transistoren, bei denen es
sich in der bevorzugten Ausführungsform
um Feldeffekttransistoren (FETs) handelt. Die FETs 52 und 54 sind
in Serie mit der Relaisspule 48 geschaltet, während die
FETs 56 und 58 in Serie mit der Relaisspule 50 geschaltet
sind.
-
Eine Gleichstromspannung (V1) über
die serielle Anordnung der einzelnen Spulen 48, 50 und
ihrer zugeordneten FETs stellt die Quelle für einen ausreichenden Erregerstrom
dar. Der Fluss des Erregerstroms wird von Spannungen an den Schaltelementanschlüssen der
einzelnen FETs gesteuert. Wenn die Steuerspannungen eines seriellen
Paars an FETs (z. B. FETs 52, 54) einen ausreichenden
Quelle-Senke-Stromfluss durch diese FETs ermöglicht, fließt der Strom
auch durch die zugehörige
Spule (z. B. die Spule 48). Dadurch wird die Spule erregt
und der Schalterabschnitt des Relais (z. B. Schalter 44)
geschlossen. Wenn jedoch die Steuerspannung eines der seriellen
FET-Paare keinen ausreichenden Quelle-Senke-Stromfluss durch jenen FET erlaubt,
wird die Erregung der zugeordneten Spule (und das entsprechende
Schließen
des Schalters, den sie steuert) verhindert. Dadurch kann das Wechselstromflusssteuerungssignal
durch Steuerung eines der vier Signale an den Schaltelement-Anschlüssen der
FETs 52, 54, 56, 58 blockiert
werden.
-
Jeder Mikroprozessor 20, 22 steuert
eine Serie FET-Paare, wobei der Haupt-μP 20 die FETs 52, 54 steuert,
und der Reserve-μP 22 die
FETs 56, 58 steuert. Beide Mikroprozessoren steuern
ihre jeweiligen FETs mit Hilfe zweier Ausgangssignale: „statische
Erlaubnis" und „alternierende
Erlaubnis". Bei der
folgenden Beschreibung der Erzeugung dieser beiden Signale wird
auf den Haupt-μP 20 und
die FETs 52, 54 Bezug genommen. Es versteht sich
jedoch von selbst, dass in dieser Hinsicht beide Mikroprozessoren
in derselben Weise funktionieren, und dass die Beschreibung gleichermaßen für den Reserve-μP 22 gilt.
-
Wenn das Flüssigkeitssteuerungssystem an einen
zu befüllenden
Lastwagen angeschlossen wird und alle Eingangssignale zum Haupt-μP 20 anzeigen,
dass der Flüssigkeitstransfer
freigegeben werden sollte (oder dass diese schützenden Eingangssignale mit
Hilfe der Bypass-Schaltung 32 umgangen wurden), erzeugt
der Haupt-μP
seine „Erlaubnis"-Ausgangssignale in Form der zwei zuvor
erwähnten
Signale „Statische
Erlaubnis" und „Alternierende
Erlaubnis". Das
Signal „Statische
Erlaubnis" ist ein
Gleichstromsignal, welches direkt vom Haupt-μP 20 an den Schaltelement-Anschluss
des FET 54 gekoppelt ist (wodurch ein Quelle-Senke-Stromfluss durch
den FET 54 ermöglicht
wird). Das „Alternierende
Erlaubnis"-Signal
ist ein Signal, welches zwischen Logikzuständen verändert wird (das heißt zwischen null
Volt und einer positiven Spannung) und das mit der Füllpumpe 60 gekoppelt
ist.
-
Das Ändern des Spannungspegels des „Alternierende
Erlaubnis"-Signals
ist Teil eines Firmwareprogramms, das vom Haupt-μP 20 ausgeführt wird.
Die Füllpumpe 60 besitzt
eine bekannte Konstruktion, und sie sendet eine Gleichstromspannung aus,
wenn das „Alternierende
Erlaubnis"-Signal
die Spannungspegel mit der vom Haupt-μP-Programm vorgegebenen Geschwindigkeit
verändert
(bei der es sich in der bevorzugten Ausführungsform um mindestens drei
Hertz handelt). Wenn das „Alternierende Erlaubnis"-Signal die Spannungspegel
jedoch nicht verändert
(z. B. bei null Volt oder einer konstanten Gleichstromspannung),
reicht das Ausgangssignal der Füllpumpe
nicht aus, um einen Quelle-Senke-Stromfluss durch den FET 52 zu
ermöglichen,
der hoch genug ist, um die Relaisspule 48 zu erregen (und
vorzugsweise null Volt beträgt).
Wenn daher der Haupt-μP 20 „verriegelt" (das heißt, wenn
er aufhört, sein
Firmware-Programm abzuarbeiten), reicht das Ausgangssignal eines
Gleichstromsignals an der „Alternierende
Erlaubnis"-Ausgangsleitung
nicht aus, um einen Flüssigkeitstransfer
von der Füllstation
zum Lastwagen freizugeben. Die Füllpumpe 62 besitzt
die selbe Konstruktion wie die Füllpumpe 60,
und das „Statische
Erlaubnis"-Signal
und das „Alternierende Erlaubnis"-Signal des Reserve-μP 22 steuern
die FETs 56 und 58 in der selben Weise wie der Haupt-μP 20 die
FETs 52, 54 steuert.
-
Zusätzlich zur parallelen Steuerung
der Relais K1 und K2 überwachen
die Mikroprozessoren 20, 22 jeweils den Status
beider Relaisschalter 44, 46 und das „Alternierende
Erlaubnis"-Signal
des jeweils anderen Mikroprozessors. Wie in 3 dargestellt, sind Wechselstromspannungserkennungsschaltungen 64, 66 vorhanden,
um die Signale an den Relaisschaltern 44, 46 zu überwachen,
und die „Alternierende
Erlaubnis"-Signale
werden an den Eingängen zu
den Füllpumpen 60, 62 überwacht.
Wenn der Schalter 44 offen ist, wird die Wechselstromspannung
am Schalter 44 von der Wechselstromerkennungsschaltung 64 erkannt,
während,
wenn der Schalter 44 geschlossen ist, keine erkennbare
Spannungsdifferenz am Schalter 44 vorhanden ist. Auf ähnliche
Weise wird, wenn der Schalter 46 offen ist, eine erkennbare
Spannung am Schalter 46 entwickelt, und wenn der Schalter 46 geschlossen
ist, ist keine Spannung vorhanden.
-
Damit beide Mikroprozessoren den
Status beider Relais bestimmen können,
sendet jede der Wechselstromerkennungsschaltungen 64, 66 ein Ausgangssignal
zu beiden Mikroprozessoren. Jedes dieser Signale befindet sich in
einem unterschiedlichen Zustand. Dieser hängt davon ab, ob die Wechselstromerkennungsschaltung,
welche dieses Signal erzeugt, eine Spannung am zugeordneten Relaisschalter
erkennt oder nicht. Somit zeigen die zwei überwachten Signale den Zustand
der beiden Relais an (das heißt,
offen oder geschlossen). Das von der Wechselstromerkennungsschaltung 64 (welche
den vom Haupt-μP 20 gesteuerten
Schalter überwacht) erzeugte
Signal wird als „Hauptrelaismonitor" (abgekürzt „MRM" in 3) bezeichnet, während das Signal, das von der
Wechselstromerkennungsschaltung 66 (welche den vom Reserve-μP 22 gesteuerten Schalter überwacht)
erzeugt wird, als „Reserverelaismonitor" (abgekürzt „BRM" in 3) bezeichnet wird. Das „Alternierende
Erlaubnis"-Signal,
das vom Haupt-μP
erzeugt wird, wird vom Reserve-μP
als Signaleingang „Hauptfüllmonitor" (abgekürzt „MCM" in 3) bezeichnet, während das „Alternierende Erlaubnis"-Signal, das vom
Reserve-μP erzeugt
wird, vom Haupt-μP überwacht
und als „Reserve-füllmonitor" (abgekürzt „BCM". in 3)
bezeichnet wird.
-
Die Signale „Hauptrelaismonitor" und „Reserverelaismonitor" sowie die Signale „Hauptfüllmonitor" und „Reservefüllmonitor" bieten eine zusätzliche
Sicherheitsebene beim Flüssigkeitstransfer. Während des
normalen Betriebs (ohne aktivierte Bypass-Schaltung) sollten der
Haupt-μP 20 und
der Reserve-μP 22 dieselben „Erlaubnis"-Ausgangssignale als Reaktion auf eine
beliebige Kombination von Eingangssignale von der Überfüllungssensorschaltung 24 und
der Erdungssensorschaltung 26 erzeugen. Somit sollten beide
Relaisschalter 44 und 46 offen sein, und es sollte
keines der „Alternierenden
Erlaubnissignale" vorhanden
sein, wenn die Eingangssignale von der Überfüllungssensorschaltung 24 oder der
Erdungssensorschaltung 26 anzeigen, dass der Flüssigkeitstransfer
blockiert werden sollte. Als Teil der Firmware-Programme beider Mikroprozessoren 20, 22 wird,
wenn einer der Schalter 44, 46 in dieser Situation
geschlossen ist oder eine der Füllpumpen 60, 62 angetrieben
wird, ein Fehler eines dieser Relais, der Schaltung der Relais oder
des Mikroprozessors, der dieses Relais steuert, angezeigt. Aus diesem
Grund geht jener der beiden Mikroprozessoren, der diesen Fehlerzustand
entdeckt, in einen „Verriegelungszustand" über, in dem er den Betrieb
seiner Relais blockiert und somit den Flüssigkeitstransfer stoppt. Dieser
Zustand wird solange beibehalten, bis sich das Problem entweder
von selbst behoben hat, oder bis ein Servicetechniker den Fehler
untersucht und die notwendigen Korrekturen macht.
-
Da der Reserve-μP 22 keine Eingangssignale
von der Dampfflusssensorschaltung 30 oder der ID-Sensorschaltung 30 empfängt, kann
eine Situation entstehen, bei der der Haupt-μP 20 einen geöffneten
Relaisschalter 44 aufweist, obwohl die Eingangssignale
von der Überfüllungssensorschaltung 24 und der Erdungssensorschaltung 26 anzeigen,
dass der Flüssigkeitstransfer
beginnen kann.
-
In 4 ist
eine detaillierte Ansicht der Relaissensorschaltung, die in 3 als Wechselstromspannungssensor 64 und
Wechselstromspannungssensor 66 bezeichnet wird. Der Optoisolator 63 ist
so angeordnet, dass er eine Spannung erkennt, die sich am Relaisschalter 44 aufgebaut
hat. Der Optoisolator 63 schützt die Mikroprozessoren vor
elektrischen Spannungsstößen oder
Kurzschlüssen
vom erkannten Hochspannungswechselstromsignal. Darüber hinaus
ist ein Strombegrenzungswiderstand 67 vorhanden, um den
Optoisolator 63 zu schützen.
Wenn der Relaisschalter 44 offen ist, führt die erkannte Wechselspannung
dazu, dass der Optoisolator ein alternierendes Ausgangssignal mit
der Frequenz des Wechselstromsteuerungssignals erzeugt. Wenn der Relaisschalter 44 geschlossen
ist, beträgt
die erkannte Spannung null Volt, und das Ausgangssignal zu den Mikroprozessoren 20, 22 ist
ein Gleichstromsignal mit ungefähr
fünf Volt.
-
Der Optoisolator 65 erkennt
die Spannung am Relaisschalter 46 in der selben Weise,
wie der Optoisolator 63 die Spannung am Relaisschalter 44 erkennt,
und wandelt das erkannte Relaissignal in ein Ausgangssignal für die Mikroprozessoren 20, 22 um. Wenn
der Relaisschalter 46 geschlossen ist, handelt es sich
bei dem Ausgangssignal um ein alternierendes Signal mit der Frequenz
des Wechselstromsteuerungssignals. Wenn der Relaisschalter offen
ist, handelt es sich bei dem Ausgangssignal um ein Gleichstromsignal
mit ungefähr
fünf Volt.
-
Ein bemerkenswertes Merkmal der in 4 dargestellten Relaiserkennung
umfasst die Verwendung der Sperrdioden 69, 71.
Die Diode 69 ist eine Minusstrom-Sperrdiode, und die Diode 71 ist
eine Plusstrom-Sperrdiode. Die Anordnung dieser Dioden ist dergestalt,
dass der Kontaktfühlerstrom
(das heißt jener
Strom, der von den Optoisolatoren 63, 65 erkannt
wird) von den Eingangs- und Ausgangsanschlüssen des Durchflusssteuerungssignals
gesperrt wird. Somit ist aufgrund des Sensorstroms keine erkennbare
Spannung an den Durchflusssteuerungskontakten vorhanden. Weiter
wird ein internes Wechselstromsignal VAC1 über den
Widerstand 73 in die Durchflusssteuerungseingabe eingegeben.
Diese Spannung wird vom Durchflusssteuerungseingangssignal normal übersteuert,
stellt jedoch eine lokale Quelle für den Erkennungsstrom dar,
wenn das Wechselstromdurchflusssteuerungssignal fehlt, so dass die
Relaiserkennungsschaltung noch immer funktioniert.
-
Die geschaffene Flüssigkeitstransfersteuereinheit
ist insofern ausfallsicher, als dass sie nicht nur eine redundante
Steuerung bietet, sondern durch die Überwachung jeder Relaisaktivierung
und aller Kontaktsignale auch eine gegenseitige Doppelüberprüfung der
einzelnen Mikroprozessoren erfolgt. Somit ist es nicht möglich, dass
durch Auftreten eines einzelnen Hardwarefehlers zugelassen wird,
dass ein Flüssigkeitstransfer
unter gefährlichen
Bedingungen durchgeführt
werden kann. Wie im Folgenden beschrieben, wird die Redundanz des
Systems auch auf die Firmware erweitert, welche die Mikroprozessoren
steuert.
-
Um eine gemeinsame Softwareverriegelung zu
verhindern, die dazu führen
könnte,
dass beide Mikroprozessoren aufgrund der selben Fehlerbedingung
abstürzen,
ist die Firmware für
den einen der beiden Mikroprozessoren jeweils völlig unterschiedlich von der
des jeweils anderen Mikroprozessors, und für jede Firmware wird eine jeweils
unterschiedliche Flusslogik verwendet, um Aufgaben auszuführen, die
beide Mikroprozessoren zu erledigen haben. Die Flusslogik für die Firmware
des Haupt-μP
ist in 5–9 dargestellt.
-
Der Haupt-μP 20 wird von einem
Programm gesteuert, das aus einer Anzahl von Sprungbefehlen besteht,
die den Logikfluss abhängig
von den Sprungbedingungen durch die richtige Reihe von Funktionen
lenkt. Wie in 5 dargestellt,
beginnt die höchste
Ebene dieses Programm (der „Haupt"-Abschnitt) in Schritt 501 mit
dem Initialisieren aller notwendigen Programmvariablen. Danach wird in
Schritt 503 geprüft,
ob eine „Erlaubnis"-Marke gesetzt wurde.
Wenn dies der Fall ist, sendet der Haupt-μP das statische Erlaubnis-Signal in Schritt 505 und
das alternierende Erlaubnissignal in Schritt 507. Danach
wird in Schritt 509 das Ausgangssignal zur Anzeigetafel 40 aktualisiert,
und das Programm verzweigt in Schritt 511 zu einem anderen
Abschnitt des Codes auf der Grundlage des Zustandes der Sprungbedingung „MAIN".
-
Die Sprungvariable MAIN kann einen
von vier Zuständen
annehmen. Dies hängt
vom Zustand der Steuereinheiteneingangssignale und dem Fortschritt
der Programmflusslogik ab. Die vier möglichen Zustände von
MAIN sind „IDLE" (Leerlauf), „ACQUIRE" (Erlangen), „ACTIVE" (Aktiv) oder „NOTRUCK" (kein Lastwagen).
Wenn das System anfänglich
initialisiert wird, befindet sich MAIN im Zustand IDLE. Somit verzweigt
das Programm beim Erreichen des Verzweigungsschrittes 509 zum „IDLE"-Abschnitt des Codes,
dargestellt in 6.
-
Im „IDLE"-Programmabschnitt überwacht der Haupt-μP 20 die
Eingangssignale an den Leitern eines Eingangsanschlusses, über welchen
er mit einem Lastwagen verbunden wird, der über die Ladestation, an dem
sich die Steuereinheit befindet, mit Flüssigkeit befüllt werden
soll. Unter diesen Eingangssignalen befinden sich Signale von den Überfüllungserkennungssonden,
die von der Überfüllungsschaltung 24 unterstützt werden.
Aufgrund der Existenz unterschiedlicher Arten von Überfüllungssonden,
die in unterschiedlichen Lastwagen verwendet werden, muss der Mikroprozessor
die unterschiedlichen Arten der Überfüllungssondeneingangssignale
erkennen. Im Allgemeinen erzeugen alle diese Sonden ein oszillierendes
Signal, wenn kein Überfüllungszustand
vorhanden ist, aber die oszillierenden Signale besitzen unterschiedliche
Parameter. Des weiteren sind „Fünf-Draht-Sonden" in Serie von einer
Kammer zur anderen miteinander verbunden, während andere „Zwei-Draht-Sonden" unabhängig voneinander
arbeiten. Im Programmabschnitt von 6 werden
die digitalisierten Eingangssignale vom Mikroprozessor in Schritt 601 gelesen
und überprüft, um zu
bestimmen, ob ein Lastwagen gerade mit dem Eingangsanschluss verbunden
ist.
-
Schritt 603 überprüft, ob ein
Spannungsabfall an einem der Sondenkanäle erkennbar ist, was einen
Anschluss einer beliebigen Sondenart an einem der Sondenkanäle anzeigen
würde.
Schritt 605 prüft,
ob ein gültiges
Eingangssignal von der ID-Sensorschaltung 30 vorliegt.
Schritt 607 prüft,
ob ein gültiger
Rückimpuls
von einer optischen Fünf-Draht-Überfüllungssonde vorliegt. Schritt 609 prüft, ob ein
Signal von der optischen Bypass-Schaltung 32 vorhanden
ist, welches anzeigen würde, dass
ein Bypass-Schlüssel
verwendet wird. Schließlich
prüft Schritt 611,
ob Kurzschlussmuster an den Eingangssondenkanälen vorhanden sind, die mit
der Kurzschlussanordnung einiger Sondensteuerungsmodule, die auf
Lastwagen vorhanden sind, übereinstimmen.
Solche Module werden an bestimmten Lastwagen verwendet, um mehrere
Arten von Ausgangssignalen zu senden, die mit unterschiedlichen Befüllungsrack-Kontrollüberwachungsanlagen
verwendet werden können.
Die „Zwei-Draht"-Ausgangssignale
dieser Kontrollüberwachungsanlagen
besitzen entweder ein einzelnes oder ein doppeltes Ausgangssignal,
das verwendet wird, um entweder einen Lastwagen mit sechs Kammern
oder einen mit acht Kammern zu simulieren, und daher erscheinen
mehrere Sondenkanäle
so, als wären
sie kurzgeschlossen.
-
Wenn keines der Signale erkannt wird,
die in den Schritten 603, 605, 607, 609 und 611 gesucht wurden,
bleibt der MAIN-Zustand auf IDLE. Wird jedoch eines dieser Signale
erkannt, wechselt der MAIN-Zustand in Schritt 613 auf „ACQUIRE". Der Programmfluss
kehrt danach zum Hauptprogramm von 5 zurück. Solange
der MAIN-Zustand auf IDLE bleibt, führt das Programm natürlich eine Schleife
durch die Schritte von 5 und 6 durch. Wenn jedoch der
MAIN-Zustand auf ACQUIRE gewechselt hat, führt Schritt 511 des
Hauptprogramms (5) zu
einer Verzweigung zum Acquire-Abschnitt des Programms, dargestellt
in 7.
-
Beim Einstieg in den Acquire-Abschnitt
des Programms verzweigt der Logikfluss in Schritt 701 auf
der Basis des Zustandes einer Verzweigungsvariable ACQUIRE. Die
vier möglichen
Zustände
von ACQUIRE sind „IDLE" (Leerlauf), „OPTIC5" (Optik5), „OPTIC2" (Optik2) und „THERM". Jeder dieser Zustände ermöglicht,
dass die Aktivitäten
des Programms auf den jeweiligen Zustand der Lastwageneingangssignale
gerichtet werden. Wenn das System anfänglich initialisiert wird,
befindet sich ACQUIRE im Zustand IDLE. Daher verzweigt das Programm
zu Schritt 703, wo das Unterprogramm PROBETYPE (Sondentyp)
ausgeführt
wird. PROBETYPE ist ein Erkennungsprogramm, das die Art der Überfüllungssondensignale überprüft, die
vom Haupt-μP 20 erkannt
werden, wie dies in 8 dargestellt
ist.
-
Der Zustand der Variable PROBE wird
als Verzweigungsbedingung im Unterprogramm PROBETYPE verwendet.
Die vier möglichen
Zustände von
PROBE sind „NOTYPE" (kein Typ), „OPTIC5" (Optik5), „OPTIC2" (Optik2) und „THERM". Nachdem das System
initialisiert wurde, wird PROBE auf NOTYPE gesetzt, was anzeigt,
dass noch keine bestimmte Lastwagensonde erkannt wurde. Beim ersten
Durchlauf von PROBETYPE wird PROBE in den Schritten 801 und 802 auf
OPTIC5 gesetzt, wenn der Zustand von PROBE gleich NOTYPE ist. Auch
ein Zeitgeber für
den PROBETYPE-Programmabschnitt, Tp, wird
auf Null gesetzt. In Schritt 803 wird der Wert von Tp überprüft, um zu
bestimmen, ob zwei Minuten vergangen sind, seit PROBETYPE zum ersten
Mal eingegeben wurde. Wenn dies der Fall ist, wird angenommen, dass
ein Lastwagen, der vorhanden war, wieder abgefahren ist, oder dass
er nicht identifiziert werden kann, MAIN wird in Schritt 804 auf NOTRUCK
gesetzt, und die Kontrolle kehrt zum Hauptprogrammabschnitt zurück. Wenn
zwei Minuten noch nicht vergangen sind, geht der Programmfluss zu
Schritt 805 weiter, wo je nach dem Zustand von PROBE verzweigt
wird.
-
Wenn PROBE auf OPTIC5 gesetzt wurde, geht
das Programm zu Schritt 807 weiter und prüft, ob ein
gültiger
optischer 5-Draht-Rücklaufimpuls
vorhanden ist. Das Überprüfen des
Impulses wird vom Schritt 812 auf 0,5 Sekunden beschränkt, wobei
in diesem Schritt bei jeder Verzweigung der Zeitgeber Tp überprüft wird,
um zu bestimmen, ob 0,5 Sekunden seit der Eingabe der OPTIC5-Verzweigung
vergangen sind. Da die Dauer der gültigen optischen 5-Draht-Rücklaufimpulse
wesentlich kürzer
ist als 0,5 Sekunden, würde
ein Rücklaufimpuls
innerhalb der 0,5 Sekunden erkannt werden, wenn eine optische 5-Draht-Sonde
vorhanden und trocken wäre
(das heißt,
wenn kein Überfüllungszustand
vorhanden wäre,
der den Empfang von Rücklaufimpulsen
verhindern würde).
Wenn ein gültiger
Impuls erkannt wird, geht der Programmablauf zu Schritt 809 weiter,
wo ACQUIRE auf OPTICS gesetzt wird, und die Kontrolle kehrt zum
Hauptprogramm zurück.
Wenn kein gültiger
5-Draht-Impuls innerhalb der 0,5-Sekundengrenze erkannt wird, wird
in Schritt 811 geprüft,
ob eine gültige
Eingabe vom Bypass-Schlüssel
vorliegt. Wenn kein Bypass-Schlüssel
erkannt wird, geht das Programm wie oben zu Schritt 809 weiter.
Wenn 0,5 Sekunden verstreichen, ohne dass ein Impuls erkannt wird,
wird PROBE in Schritt 813 auf OPTIC2 gesetzt, und die Kontrolle
wird zum Hauptprogrammabschnitt zurückgegeben.
-
Wurde kein 5-Draht-Signal erkannt,
führt der nächste Durchlauf
der Programmlogik zu einer Verzweigung bei Schritt 805 zu
Schritt 815, wo die Sondeneingangssignale auf das Vorhandensein
eines gültigen
optischen 2-Draht-Impulses überprüft werden.
Das Überprüfen des
Impulses wird vom Schritt 820 auf 0,5 Sekunden beschränkt, wobei
in diesem Schritt bei jeder Verzweigung der Zeitgeber Tp überprüft wird,
um zu bestimmen, ob 0,5 Sekunden seit der Eingabe der Verzweigung
vergangen sind. Die 0,5-Sekundengrenze ist ausreichend lange, um
sicherzustellen, dass ein 2-Draht-Impuls erkannt würde, wenn
eine trockene optische 2-Draht-Sonde an einem der Kanäle vorhanden
wäre.
-
Wenn ein gültiger Impuls erkannt wird,
geht der Programmablauf zu Schritt 817 weiter, wo ACQUIRE
auf OPTIC2 gesetzt wird, und die Kontrolle kehrt zum Hauptprogramm
zurück.
Wenn kein gültiger
Impuls erkannt wird und eine Minute seit dem Aufruf der „Acquire"-Stufe vergangen
ist, geht das Programm zu Schritt 819 weiter, wo die Sondenkanäle auf das
Vorhandensein eines Kurzschlussmusters überprüft werden, was auf ein am Lastwagen
befindliches Steuerungsmodul hinweisen würde. Wenn dieses Muster erkannt
wird, geht das Programm wie oben zu Schritt 817 weiter.
Wenn nicht, kehrt die Kontrolle zum Hauptprogrammabschnitt zurück. Wenn die
0,5-Sekunden-Zeit abgelaufen ist, wird PROBE in Schritt 822 auf
THERM gesetzt, und die Kontrolle kehrt zum Hauptprogramm zurück.
-
Wenn PROBE gleich THERM ist, führt Schritt 805 zu
einer Verzweigung zu Schritt 821, wo die Sondenkanäle auf das
Vorhandensein eines gültigen Thermistorsondensignals überprüft werden.
Die Signale, die als gültig
bestimmt werden, umfassen sowohl jene von standardmäßigen Thermistorsonden (z.
B. Scully Signal Co. „Dynaprobe") als auch jene von
Niedertemperatur-Thermistorsonden
(z. B. Scully Signal Co. „Uniprobe"). Wenn ein solches
Signal an einem der Kanäle
erkannt wird, wird ACQUIRE in Schritt 823 auf THERM gesetzt,
und die Kontrolle kehrt zum Hauptprogrammabschnitt zurück. Die
Signalerkennungszeit wird vom Schritt 824 auf 0,5 Sekunden
beschränkt,
wobei in diesem Schritt bei jeder Verzweigung der Zeitgeber Tp überprüft wird,
um zu bestimmen, ob 0,5 Sekunden seit der Eingabe der Verzweigung
vergangen sind. Wenn kein solches Signal nach 0,5 Sekunden erkannt
wird, wird PROBE in Schritt OPTIC5 auf 825 gesetzt, und die Kontrolle kehrt
zum Hauptprogrammabschnitt zurück.
Somit arbeitet das Programm den Code auf diese Weise durch die verschiedenen
Abzweigungen des Programmabschnitts PROBETYPE hindurch bis zu zwei Minuten
lang ab und versucht dabei, festzustellen, welche Art von Sondensignal
dazu geführt
hat, dass der ACQUIRE-Abschnitt des Programms aufgerufen wurde.
-
Bezugnehmend auf 7 führt
eine Einstellung von ACQUIRE auf OPTIC5 in Schritt 701 dazu, dass
das Programm zu Schritt 705 verzweigt, wo die „Schnellstart"-Funktion (wird im
Folgenden diskutiert) gesperrt wird, und zu Schritt 706,
wo die Verzweigungsvariable „ACTIVE" (wird im Folgenden
unter Bezugnahme auf 9 diskutiert)
auf „OPTIC5" gesetzt wird. In
Schritt 707 wird die Variable „PERMIT" auf „FALSE" gesetzt, die Variable MAIN wird auf
ACTIVE gesetzt, und die Variable ACQUIRE wird auf IDLE gesetzt.
Wird ACQUIRE bei Aufruf des ACQUIRE-Abschnitts vom Programm auf
OPTIC2 gesetzt, führt
dies dazu, dass das Programm in Schritt 701 zu Schritt 709 verzweigt,
wo die Schnellstartfunktion gesperrt wird, und zu Schritt 710,
wo ACTIVE auf OPTIC2 gesetzt wird. Der Programmfluss geht dann, wie
oben, zu Schritt 707 weiter. Das Einstellen von THERM bei
Aufruf des ACQUIRE-Abschnitts führt
zu einer Verzweigung von Schritt 701 zu Schritt 711,
wo die „Schnellstart"-Funktion initiiert
wird. Das Programm geht dann zu Schritt 713 weiter, in
dem ACTIVE auf THERM gesetzt wird, und kehrt danach wie oben zu
Schritt 707 zurück.
-
Der „ACTIVE"-Abschnitt des Programms ist in 9A–9C dargestellt.
In Schritt 901 verzweigt das Programm auf der Basis des
Zustandes der Verzweigungsvariable „ACTIVE". ACTIVE kann einen von drei Zuständen annehmen: „OPTIC5", „OPTIC2", oder „THERM".
-
Wenn ACTIVE auf OPTIC5 gesetzt wird, werden
die Sondenkanäle
(das heißt,
die digitalisierten Signale von den Sonden) in Schritt 903 (9B) überprüft, um zu bestimmen, ob ein
gültiger
optischer 5-Draht-Rücklaufimpuls
vorhanden ist. Zusätzliche Einzelheiten
bezüglich
der jeweiligen Signalüberprüfung werden
im Folgenden im Zusammenhang mit 13A und 13B beschrieben. Wird ein
gültiger Rücklaufimpuls
erkannt, bestimmt das Programm (in Schritt 905), ob mindestens
drei aufeinander folgende, gültige
Impulse erkannt wurde (das Programm zeichnet die Zustände der
vorigen Impulse auf). Wenn drei aufeinander folgende Impulse erkannt wurden,
wird die Variable „PERMIT" in Schritt 907 auf „TRUE" gesetzt, wodurch
der Flüssigkeitstransfer von
der Rack-Steuerung zum Lastwagen freigegeben wird. Wenn nicht, kehrt
die Programmsteuerung zum Hauptprogrammabschnitt zurück.
-
Wenn die Überprüfung in Schritt 903 ergeben
hat, dass kein gültiger
Rücklaufimpuls
erkannt wurde, bestimmt das Programm in Schritt 909, ob drei
aufeinander folgende Überprüfungen zur
Erkennung eines gültigen
Impulses negativ ausgefallen sind. Wenn weniger als drei aufeinander
folgende Prüfungen
ohne einen gültigen
Impuls durchgeführt wurden,
kehrt die Programmsteuerung zum Hauptprogrammabschnitt zurück. Wenn
jedoch mindestens drei Zyklen ohne einen gültigen Rücklaufimpuls durchlaufen wurden,
wird PERMIT in Schritt 911 auf „FALSE" gesetzt, und das Programm prüft in Schritt 913,
ob ein Lastwagen vorhanden ist. Wenn der Lastwagen noch immer erkannt
wird, kehrt das Programm zum Hauptprogrammabschnitt zurück. Wenn kein
Lastwagen mehr vorhanden ist, wird MAIN in Schritt 915 auf
NOTRUCK gesetzt; danach wird die Kontrolle zum Hauptprogrammabschnitt
zurückgegeben.
Das Vorhandensein des Lastwagens wird über die Erdungssensorschaltung
erkannt, indem bestimmt wird, dass eine gültige Erdung vorliegt, oder durch
eine Last an den Sondenkanälen,
welche die Kanalspannung unter die Leerlaufspannung absenkt.
-
Die OPTIC2-Verzweigung (9A) und die THERM-Verzweigung (9C) der ACTIVE-Funktion
sind im Wesentlichen gleich wie die OPTIC5-Verzweigung, jedoch mit
der Ausnahme, dass die Erkennungsparameter für die Sondensignale unterschiedlich
sind. Bei der OPTIC2-Verzweigung bestimmt das Programm, ob ein gültiges optisches
2-Draht-Signal in Schritt 917 an allen aktiven (das heißt entweder sechs
oder acht) Sondenkanälen
erkannt wurde. Wie bei der OPTIC5-Verzweigung prüft das Programm danach, wenn
eine gültige
Gruppe von Impulsen erkannt wurde, ob an jedem aktiven Sondenkanal
drei aufeinander folgende erkannt wurden (Schritt 919), setzt,
wenn dies der Fall ist, PERMIT auf TRUE (Schritt 921),
und kehrt zum Hauptprogrammcode zurück. Auf ähnliche Weise führt das
Nichterkennen eines gültigen
Impulses zu einer Überprüfung im
Hinblick darauf, ob bei den drei letzten Überprüfungen keine Gruppe gültiger Impulse
erkannt wurde (Schritt 923), und wenn dies der Fall ist,
wird PERMIT auf FALSE gesetzt (Schritt 925). Eine Überprüfung auf das
Vorhandensein des Lastwagens wird in Schritt 927 durchgeführt, und
wenn kein Lastwagen vorhanden ist, wird MAIN in Schritt 929 auf
NOTRUCK gesetzt.
-
Auch die THERM-Verzweigung (9C) arbeitet im Wesentlichen
in derselben Art und Weise wie die OPTICS-Verzweigung. Das Programm
prüft in
Schritt 931, ob eine gültige
Gruppe an Thermistorsondensignalen an allen aktiven Sondenkanälen vorliegt.
Wenn eine gültige
Gruppe von Signalen erkannt wird, werden die Ergebnisse der letzten
drei Überprüfungen überprüft, um zu
bestimmen, ob drei hintereinander folgende gültige Gruppen von Signalen
erkannt wurden (Schritt 933). Wenn dies der Fall ist, wird
PERMIT in Schritt 935 auf TRUE gesetzt, und die Kontrolle
kehrt zum Hauptprogrammabschnitt zurück. Wenn in Schritt 931 kein
gültiges
Signal erkannt wurde, führt
das Programm eine Überprüfung durch, um
zu bestimmen, ob auch bei den letzten drei Überprüfungen keine gültige Gruppe
von Signalen erkannt wurde (Schritt 937). Wenn dies der
Fall ist, wird PERMIT in Schritt 939 auf FALSE gesetzt.
Das Programm führt
danach eine Überprüfung durch,
um zu bestimmen, ob noch immer ein Lastwagen vorhanden ist (Schritt 941);
wenn dies nicht mehr der Fall ist, wird MAIN in Schritt 943 auf
NOTRUCK gesetzt, bevor die Kontrolle zum Hauptprogrammabschnitt
zurückgegeben
wird.
-
Nachdem der Lastwagen abgefahren
ist und MAIN in einem der oben diskutierten relevanten Programmschritte
auf NOTRUCK gesetzt wurde, führt der
nächste
Durchlauf durch den Hauptprogrammabschnitt (5) zu einer Verzweigung von Schritt 511 zu
Schritt 501, in dem alle Systemvariablen neu initialisiert
werden. Dies umfasst auch die Initialisierung aller Verzweigungsvariablen
auf die oben erwähnten
Anfangszustände.
-
Wie oben erwähnt verwendet der Reserve-μP 22 eine
Firmware, die ganz anders ist als jene des Haupt-μP 20,
und die auch ganz unabhängig
von der Firmware des μP 20 geschrieben
wurde. Insbesondere verwendet die Firmware des Reserve-μP eine unterbrechungsgesteuerte
Abtastroutine zum Abtasten der Sondensignale. Die Firmware verwendet
auch die Finite-State-Maschinen (FSMs), die regelmäßig aktualisiert
werden, und die den Zustand der verschiedenen Bedingungen und Variablen,
die von Interesse sind, verfolgen.
-
In 10A–10F ist ein Flussdiagramm
dargestellt, welches die Abtastunterbrechungsroutine beschreibt,
die vom Reserve-μP
verwendet wird, um die Eingangskanäle von den Überfüllungssonden abzutasten. Alle
von der Unterbrechungsroutine verwendeten Variablen – werden
als Teil des Reserve- Hauptprogramms,
das im Folgenden im Zusammenhang mit 11 beschrieben
wird, initialisiert. Das Hauptprogramm von 11 ruft kontinuierlich eine „Probetype"-Finite-State-Maschine
und eine „Bypass"-Finite-State-Maschine
auf und wird periodisch von der Unterbrechungsroutine unterbrochen. Jede
Finite-State-Maschine
wird jedes Mal von der Hauptprogrammschleife überprüft und bei Bedarf aktualisiert.
Die Probetype-Finite-State-Maschine
behält
daher den aktuellen Zustand der erkannten Sonden bei (z. B. 5-Draht
nass, 5-Draht trocken, 2-Draht nass,
2-Draht trocken), und auf diese Daten kann die Unterbrechungsroutine
zugreifen.
-
Nun wird auf 10A Bezug genommen. Wenn die Abtastunterbrechungsroutine
beginnt, werden die Sondenkanäle
in Schritt 101 mit Hilfe einer Komparatorschaltung (die
Teil der Überfüllungssensorschaltung 24 ist)
abgetastet, welche die Signalwerte der einzelnen Sonden mit einem
Grenzwert vergleicht und als Reaktion darauf eine logische (Eins)
oder eine logische (Null) aussendet. Der Grenzwert wird so eingestellt,
dass sich das Ausgangssignal der Komparatorschaltung bei einem Sondensignal,
das im richtigen Bereich oszilliert, zwischen einer digitalen logischen „Eins" und einer digitalen
logischen „Null" verändert, wenn
sich das Sondensignal zwischen seinem Maximumwert und seinem Minimumwert
verändert.
Das Abtasten mit dem Komparator ist insbesondere für 2-Draht-Sonden
gedacht, die jeweils individuell ein Signal auf ihrem eigenen Kanal
aussenden, und wenn es sich bei den Sonden um 5-Draht-Sonden handelt,
verzweigt das Programm von Schritt 1003 zu einem 5-Draht-Erkennungsabschnitt
der Routine. In der bevorzugten Ausführungsform wird dies bestimmt,
indem der Zustand des „Probetype"-FSM überprüft wird,
wie dies im Folgenden beschrieben wird. Wenn es sich um keine 5-Draht-Sonden
handelt, werden die Unterbrechungen in Schritt 1005 aktiviert,
und der Hauptabschnitt der Unterbrechungsroutinen wird fortgesetzt.
-
In Schritt 1007 werden die „oszillierenden" Bits für die abgetasteten
Sondenkanäle überprüft. Für jeden
Sonden kanal wird ein Bit verwendet, um anzuzeigen, ob eine Signalpegeländerung
erkannt wurde. Das Bit wird auf hoch gesetzt, wenn festgestellt
wird, dass eine Signalpegeländerung
am fraglichen Kanal erkannt wurde. Das Bit wird auf niedrig gesetzt,
wenn festgestellt wird, dass keine Signalpegeländerung am fraglichen Kanal
erkannt wurde. Bei Schritt 1007 wird das Bit Bx (das
x zeigt an, dass es sich bei dem Bit um jenes handelt, welches dem
Sondenkanal entspricht, für
den eine aktuelle Abtastung Sx zu verarbeiten
ist) überprüft, um festzustellen,
ob der aktuelle Sondenkanal bei der letzten Überprüfung oszilliert hat. Wenn nicht,
geht das Programm zu jenem Abschnitt der Routine weiter, der in 10A dargestellt ist. Wird
das Bit auf hoch gesetzt, geht die Routine zu Schritt 1009 weiter,
wo die aktuelle Abtastung im Vergleich zum vorherigen Abtastwert
jenes Sondenkanals überprüft wird,
der von der letzten Ausführung
der Unterbrechungsroutine gespeichert wurde.
-
Wenn sich der abgetastete Spannungspegel seit
der letzten Ausführung
der Routine verändert hat,
geht der Programmablauf zu Schritt 1011 (10B) weiter, wo ein „Änderungs"-Zeitgeber (der als „Änderungszeitgeberx" bezeichnet wird,
um anzuzeigen, dass für
jeden abgetasteten Sondenkanal ein anderer Änderungszeitgeber vorhanden
ist) auf einen Maximalwert von 125 ms gesetzt wird. Bei dem Änderungszeitgeber
handelt es sich um einen Zähler, der
eine maximale Zeitdauer festsetzt, innerhalb welcher ein vollständiger Oszillationszyklus
(das heißt, drei
Spannungspegeländerungen)
erkannt werden muss, um als gültig
anerkannt zu werden. In Schritt 1013 wird dann die Variable „PWIDTHx" auf
den Wert der Differenz zwischen einem „1 ms"-Zähler
und der Variable „PSTARTx" gesetzt.
Der 1 ms-Zähler
ist ein Zeitgeber, der die Unterbrechungsroutine aufruft, und der
einmal in der Millisekunde hochgezählt wird. PSTARTx ist
eine Variable, welche die Zeit der zuletzt erkannten Pegeländerung
enthält.
Somit enthält
die Variable PWIDTHx die Dauer des zuletzt
erkannten Impulses (das heißt,
die Zeitdifferenz zwischen den zwei zuletzt erkannten Pegeländerungen).
-
In Schritt 1015 wird die
Summe von PWIDTHx und der Variable „LWIDTHx" (der
vorletzte Wert für
PWIDTHx) überprüft, um zu bestimmen, ob er
einen Wert von 125 ms überschreitet.
In anderen Worten wird die Dauer der zwei letzten Impulse (die einem
vollständigen
Oszillationszyklus entsprechen) summiert und mit der 125 ms-Grenze
verglichen. Da die Impulse durch Pegeländerungen (und nicht einfach
durch „Anstiegsflanken") identifiziert werden, versteht
es sich von selbst, dass sie „niedrige" Impulse ebenso wie „hohe" Impulse umfassen,
und dass zwei aufeinander folgende Impulse daher einen Oszillationszyklus
des Sondensignals darstellen. (Die 125 ms-Grenze entspricht der Anforderung nach
einer Sonden-Mindestfrequenz
von acht Hertz pro Kanal).
-
Wenn die Summe der aufeinander folgenden Impulszeiten
die 125 ms-Grenze überschreitet,
wird das Sondensignal als ungültig
erachtet, und das oszillierende Bit Bx für diesen
Sondenkanal wird in Schritt 1017 auf niedrig gesetzt. Um
den nächsten Unterbrechungszyklus
vorzubereiten, wird LWIDTHx auf PWIDTHx gesetzt (Schritt 1019), PSTARTx wird auf den Wert des 1 ms-Zählers gesetzt
(Schritt 1021), und „PERMIT#x" (eine
Variable, welche die verbleibende Anzahl erfolgreicher Überprüfungen von PWIDTHx + LWIDTHx anzeigt,
die erforderlich sind, um eine PERMIT-Bedingung, das heißt eine
Erlaubnisbedingung, zu erfüllen)
wird auf drei gesetzt (Schritt 1023). Die Routine bestimmt
danach in Schritt 1025 (10A),
ob jede der Sondenabtastungen überprüft wurde,
und holt, wenn dies nicht der Fall ist, die nächste Sondenabtastung in Schritt 1027 und
kehrt zu Schritt 1007 zurück. Wenn die Summe der letzten
zwei Impulse in Schritt 1015 (10B) kleiner als 125 ms ist, wird LWIDTHx in Schritt 1029 auf PWIDTHx gesetzt, PSTARTx wird
in Schritt 1031 auf den Wert des 1 ms-Zählers gesetzt, und die Routine
geht zu Schritt 1025 (10A)
weiter.
-
Wenn, wiederum Bezug nehmend auf
Schritt 1009, keine Pegeländerung für den fraglichen Sondenkanal
während
dieser Ausführung
der Unterbrechungsroutine erkannt wird, wird der Änderungszeitgeberx in Schritt 1033 verringert. Der Änderungszeitgeberx wird danach in Schritt 1035 überprüft, um festzustellen,
ob er bereits Null erreicht hat (was anzeigt, dass keine Pegeländerung
innerhalb der 125 ms stattfand). Wenn nicht, geht die Routine zu
Schritt 1025 weiter. Wenn ja, wird Bx in
Schritt 1037 auf niedrig gesetzt, PERMIT#x wird in Schritt 1039 auf
drei gesetzt, und die Routine geht zu Schritt 1025 weiter.
-
Wenn es sich in Schritt 1025 bei
der aktuellen Abtastung um die „letzte Abtastung" handelt, geht die
Routine zu Schritt 1026 weiter, wo der Sondentyp überprüft wird,
um festzustellen, ob es sich bei den aktuellen Sonden um 2-Draht-Sonden handelt. Diese Bestimmung
wird durchgeführt,
indem der aktuelle Zustand der Probetype-Finite-State-Maschine (12A) überprüft wird. Wenn es sich bei der
Sonde um eine 2-Draht-Sonde
handelt, geht die Unterbrechungsroutine zu einem Relaissteuerungsabschnitt
der Routine weiter (dargestellt in 10E und im
Folgenden diskutiert). Wenn es sich beim Sondentyp nicht um eine
2-Draht-Sonde handelt, werden die Unterbrechungen in Schritt 1028 blockiert,
und die Routine geht zur 5-Draht-Erkennungsroutine weiter (10F).
-
Wenn die Überprüfung des oszillierenden Bits
für den
aktuellen Sondenkanal in Schritt 1007 anzeigt, dass das
Bit auf niedrig gestellt ist, geht die Routine zu Schritt 1041 weiter
(10C). Schritt 1041 überprüft, ob der Änderungszeitgeber
abgelaufen ist, und wenn dies der Fall ist, wird die aktuelle Sonde
in Schritt 1043 überprüft, um zu
bestimmen, ob eine Pegeländerung
eingetreten ist. Wenn keine Pegeländerung eingetreten ist, kehrt
die Routine zu Schritt 1007 zurück
(10A). Wenn eine Pegeländerung
stattfindet, wird der Änderungszeitgeberx in Schritt 1045 auf 125 ms gesetzt,
LWIDTHx wird in Schritt 1047 auf
125 ms gesetzt, PSTARTx in Schritt 1049 wird
auf den Wert des 1 ms-Zählers
gesetzt, und PERMIT#x wird in Schritt 1051 zurückgesetzt. Die
Kontrolle wird danach in Schritt 1007 (10A) zurückgegeben.
-
Wenn der Änderungszeitgeberx in
Schritt 1041 noch nicht Null erreicht hat, wird der Änderungszeitgeberx in Schritt 1053 verringert. Danach wird
die aktuelle Sondenabtastung in Schritt 1055 überprüft, um zu
bestimmen, ob eine Pegeländerung eingetreten
ist. Wenn nicht, kehrt die Routine zu Schritt 1007 zurück (10A). Wenn eine Pegeländerung
eingetreten ist, wird der Änderungszeitgeberx in
Schritt 1057 auf 125 ms zurückgesetzt, und PWIDTHx wird in Schritt 1059 gleich der
Differenz zwischen dem 1 ms-Zähler
und PSTARTx gesetzt. Die Routine geht dann
zu Schritt 1061 weiter (10D),
wo die Summe der letzten zwei Impulszeiten (PWIDTHx und LWIDTHx) überprüft wird,
um zu bestimmen, ob sie die 125 ms-Grenze überschreitet.
-
Wenn die Dauer der zwei Impulse 125 ms überschreitet,
wird LWIDTHx in Schritt 1063 gleich PWIDTHx gesetzt, PSTARTx wird
in Schritt 1065 gleich dem Wert des 1 ms-Zählers gesetzt,
und PERMIT#x wird in Schritt 1067 auf
drei zurückgesetzt.
Die Kontrolle wird danach zum Schritt 1007 (10A) zurückgegeben. Wenn die Gesamtdauer
der beiden Impulse weniger als 125 ms beträgt, geht die Routine von Schritt 1061 zu
Schritt 1069 weiter, wo PERMIT#x verringert
wird. PERMIT#x wird danach in Schritt 1071 überprüft, um zu
bestimmen, ob es Null erreicht hat (das heißt, ob drei volle Zyklen gültiger Oszillation erkannt
wurden). Wenn dies der Fall ist, wird das oszillierende Bit Bx der aktuellen Sonde in Schritt 1073 auf
hoch gesetzt, was anzeigt, dass eine gültige Oszillation an jenem
Sondenkanal vorhanden ist. Wenn PERMITx noch
nicht Null erreicht hat, wird der Schritt 1073 ausgelassen.
Die Routine geht danach zu Schritt 1075 weiter, wo LWIDTHx gleich PWIDTHx gesetzt
wird, und zu Schritt 1077, wo PSTARTx gleich dem
Wert des 1 ms-Zählers
gesetzt wird. Die Kontrolle wird danach zum Schritt 1007 (10A) zurückgegeben.
-
Der Relaissteuerungsabschnitt der
Unterbrechungsroutine ist im Flussdiagramm von 10E dargestellt. Wenn in Schritt 1026 festgestellt
wird, dass es sich bei den Sonden um 2-Draht-Sonden handelt (10A), geht die Routine zu
Schritt 1088 weiter, wo das Programm den aktuellen Zustand der Variable „PERMIT" überprüft, um zu bestimmen, ob der
Reserve- μP bereits
auf eine Erlaubnis des Flüssigkeitstransfers
eingestellt ist (das heißt,
ob er die „Statische
Erlaubnis"- und
die „Alternierende
Erlaubnis"-Ausgangssignale
zum Beispiel an den Schließrelaisschalter 46 sendet).
Wenn PERMIT auf wahr (TRUE) gesetzt ist (das heißt, wenn der Flüssigkeitstransfer
erlaubt ist), wird in Schritt 1089 ein „Relaiszähler" heruntergezählt. Der Relaiszähler wird
verwendet, um in regelmäßigen Abständen eine Überprüfung der
vom Reserve-μP überwachten
Relais zu starten. In Schritt 1090 wird die Relaiszählung überprüft, um zu
bestimmen, ob sie Null erreicht hat. Wenn nicht, endet die Unterbrechungsroutine,
und die Kontrolle kehrt zum Hauptprogramm (11) zurück. Wenn die Relaiszählung den
Wert Null erreicht hat, geht das Programm von Schritt 1090 zum
Schritt 1091 weiter, wo der Relaiszähler zurückgesetzt wird, und zu Schritt 1092,
wo eine „Relais
geschlossen"-Überprüfung durchgeführt wird.
Bei dieser Überprüfung werden
die Eingangssignale „Hauptrelaismonitor", „Reserverelaismonitor" und „Hauptfüllmonitor" vom Reserve-μP 22 überprüft, um zu
bestimmen, ob die Zustände
der Relais den Zuständen der
Sondeneingänge
entsprechen. Die Ergebnisse dieser Überprüfung werden danach gespeichert,
und die Unterbrechungsroutine endet. Während der nächsten Ausführung des Probetype-FSM (im
Folgenden beschrieben) verwendet die State-Maschine die Ergebnisse dieser Überprüfung, um
dessen Zustand bei Bedarf zu aktualisieren.
-
Wenn die Überprüfung der PERMIT-Variablen in
Schritt 1088 anzeigt, dass PERMIT falsch ist, geht das
Programm zu Schritt 1093 weiter, wo der Relaiszähler verringert
wird. Der Relaiszähler
wird danach in Schritt 1094 überprüft, und wenn er nicht Null
erreicht hat, endet die Unterbrechungsroutine. Wenn der Relaiszähler Null
erreicht hat, wird der Zähler
in Schritt 1095 zurückgesetzt,
und es wird in Schritt 1096 eine „Relais offen"-Überprüfung durchgeführt. Das
Ergebnis wird gespeichert, und die Unterbrechungsroutine endet.
Während
der nächsten Ausführung der
Probetype-FSM erkennt die FSM das gespeicherte Ergebnis der Relaisüberprüfung und aktualisiert
sich nötigenfalls
selbst.
-
Das Unterprogramm für die 5-Draht-Erkennung
ist in 10F dargestellt.
Beim Eintritt wird der Sondenkanal vier in Schritt 1078 überprüft, um zu
bestimmen, ob der Haupt-μP
einen 5-Draht-Ausgangsimpuls. übertragen
hat, und, wenn dies der Fall ist, ob ein gültiger Rücklaufimpuls empfangen wurde.
In einer typischen optischen 5-Draht-Sondenanordnung sind die Überlaufsonden
unterschiedlicher Lastwagenkammern in Serie geschaltet, so dass
ein Rücklaufimpuls
nur dann an Kanal sechs vorhanden ist, wenn alle Sonden richtig
arbeiten und sich keine in einem Überfüllungszustand befindet. Wenn
ein gültiger
Rücklaufimpuls
erkannt wird, geht das Programm zu Schritt 1079 weiter,
wo ein „Fehlen"-Zähler auf
2 zurückgesetzt
wird. Der Fehlen-Zähler
ist ein verminderbarer Zähler,
der anfänglich
auf zwei gesetzt wird, und der dazu verwendet wird, um zu verfolgen,
wie viele aufeinander folgende Überprüfungen in
Schritt 1078 zu keiner Erkennung eines gültigen Impulses geführt haben.
Da ein gültiger
Impuls erkannt wurde, wird der Fehlen-Zähler in Schritt 1079 auf
zwei zurückgesetzt.
-
Von Schritt 1079 geht das
Programm zu Schritt 1080 weiter, wo ein „Impuls"-Zähler verringert wird.
Der Impuls-Zähler, der
im Wesentlichen das Gegenteil des Fehlen-Zählers ist (und anfänglich auf vier
initialisiert wird), wird in Schritt 1079 jedes Mal verringert,
wenn ein gültiger
Impuls erkannt wird. Der Impulszähler
wird in Schritt 1081 überprüft, und
wenn er Null erreicht hat, wird ein Impuls-Bit in Schritt 1082 auf
hoch gesetzt. Das Impuls-Bit dient dem System als Hinweis: wenn
es auf hoch gesetzt ist, bedeutet dies, dass die richtigen Sondensignale
erkannt wurden. Die Probetype-FSM überwacht dieses Bit und verwendet
es, um zu bestimmen, ob ein „5-Draht-trocken"-Zustand aufzurufen
ist. Die Unterbrechungen werden wiederum in Schritt 1083 freigegeben,
und die Unterbrechungsroutine wird beendet.
-
Wenn in Schritt 1078 kein
Impuls erkannt wird, wird der Impulszähler in Schritt 1084 auf
vier gesetzt, und der Fehlen-Zähler
wird in Schritt 1085 verringert. Der Fehlen- Zähler wird danach in Schritt 1086 überprüft, um zu
bestimmen, ob er Null erreicht hat. Wenn dies der Fall ist, wird
das Impulsbit in Schritt 1087 auf niedrig gesetzt, wenn
dies aber nicht der Fall ist, wird der Schritt 1087 ausgelassen.
Die Unterbrechungen werden dann in Schritt 1083 freigegeben,
und die Unterbrechungsroutine wird beendet. Somit ist erkennbar,
dass der Impuls-Zähler
und der Fehlen-Zähler
als eine Art „Hysterese" dienen, um zu verhindern,
dass ein falsches Signal einen vorzeitigen Wechsel zwischen dem
Erlauben- und dem Nichterlauben-Zustand herbeiführen kann.
-
Das Hauptsteuerprogramm des Reserve-μP wird vom
Flussdiagramm in 11 beschrieben.
Dieses Programm unterliegt den Unterbrechungen durch die Sondenunterbrechungsroutine
von 10A–10F und ruft die Finite-State-Maschinen (FSMs)
des Reserve-μP
auf, die im Folgenden näher beschrieben
werden. In Schritt 1101 werden alle Variablen und anderen
Aspekte des Programms initialisiert, wie dies auch bei der herkömmlichen
Firmware-Programmierung der Fall ist. In Schritt 1103 wird
die Probetype-FSM ausgerufen, so dass deren Zustand, falls nötig, aktualisiert
werden kann. Das Programm ruft danach in Schritt 1105 die „Bypass"-FSM auf, so dass
auch deren Zustand aktualisiert wird.
-
In 12A ist
ein Zustandsdiagramm der vom Reserve-μP 22 der vorliegenden
Erfindung verwendeten Probetype-FSM dargestellt. Es ist für Fachleute
dieses Bereiches offensichtlich, dass die Probetype-FSM bei jedem
Durchlauf durch die Hauptprogrammschleife vom Hauptprogramm aufgerufen
wird und daher mit jedem Schleifendurchlauf aktualisiert wird. Die
FSM setzt den Prozess durch die angezeigten Zustände fort, bis ein Zustand erreicht
wird, der für
den aktuellen Zustand ihrer Eingangssignale geeignet ist. Nach der
Initialisierung im Zustand 1201 folgt die FSM dem Pfad „a" zum „Idle"-Zustand 1203 (Leerlauf),
in dem sie auf Eingangssignale zum Reserve-μP 22 reagiert. Die
Probetype-FSM verbleibt unter den folgenden Bedingungen im Zustand 1203 (das
heißt,
sie folgt dem Pfad „b"): 1) das Hauptrelais
ist kurzgeschlossen; 2) der Bypass-Schlüssel
ist heißverdrahtet;
oder 3) keine 2-Draht-Sonden oszillieren, es werden keine 5-Draht-Rücklaufimpulse
erkannt, und es wird kein Bypass-Schlüssel erkannt.
-
Wenn davon ausgegangen wird, dass
weder die Bedingung 1) noch die Bedingung 2) oben wahr ist, fährt die
Probetype-FSM über
den Pfad „c" zum „5-Draht-trocken-Zustand" 1205 fort,
wenn 4 gültige 5-Draht-Rücklaufimpulse
in einer Reihe innerhalb von je 200 ms erkannt wurden. Dieser Zustand
entspricht dem Einstellen des Impulsbits auf hoch in Schritt 1082 von 10F, und der Reserve-μP antwortet
darauf durch das Aussenden der Erlaubnis- und der alternierenden
Erlaubnissignale zum Schließen
des Relais 44. Die FSM verbleibt so lange im Zustand 1205 (das
heißt,
sie folgt dem Pfad „d") , so lange der
Reserve-μP 22 die
5-Draht-Rücklaufimpulse erkennt.
Wenn jedoch 400 ms verstreichen, ohne dass ein Rücklaufimpuls erkannt wird,
geht die FSM über
den Pfad „e" in den „5-Drahtnass"-Zustand 1207 über. Die
FSM verbleibt dann so lange im Zustand 1207 (das heißt, sie
folgt dem Pfad „f"), so lange 5-Draht-Impulse zu
den Sonden gesendet werden und keine Rücklaufimpulse erkannt werden
und weder ein Bypass-Schlüssel
noch eine Heißverdrahtung des
Bypass-Schlüssels
erkannt wird.
-
Wenn vier 5-Draht-Rücklaufimpulse
wiederum in einer Reihe innerhalb von 200 ms nacheinander erkannt
werden, geht die FSM über
den Pfad „g" zurück zum Zustand 1205.
Wenn weiter, solange sie sich im Zustand 1207 befindet,
eine Sekunde verstreicht, ohne dass ein Impuls zu den Sonden übertragen
wird, kehrt die FSM über
den Pfad „h" in den Zustand 1203 zurück.
-
Die FSM geht unter den selben Bedingungen entweder
vom Zustand 1203 oder vom Zustand 1207 in den „5-Draht-Warten-auf-Relais"-Zustand 1209 zurück (wobei
davon ausgegangen wird, dass die oben beschriebenen Bedingungen
1) und 2) nicht wahr sind, wenn sie sich im Leerlaufzustand befindet).
Um entweder über
den Pfad „i" oder den Pfad „j" zum Zustand 1209 weiterzugehen,
muss ein 5-Draht-Impuls zu den Sonden gesendet werden, es darf keine
Heißverdrahtung
des Bypass-Schlüssels
erkannt werden, und es muss ein gültiger Bypass-Schlüssel erkannt werden.
Darüber
hinaus können
aus dem Idle-Zustand keine 2-Draht-Oszillationen erkannt werden.
-
Im Zustand 1209 beginnt
eine Warteperiode, während
der die FSM auf das Schließen
des Hauptrelais als Reaktion auf den Bypass-Schlüssel wartet. In der bevorzugten
Ausführungsform
beträgt
die Mindestwartezeit eine Minute, und wenn die eine Minute verstreicht,
ohne dass sich das Hauptrelais schließt, geht die FSM über den
Pfad „1" in den Zustand 1207 weiter.
Bis zu diesem Zeitpunkt oder bis zum Schließen des Relais bleibt die FSM
im Zustand 1209 (das heißt, sie folgt dem Pfad „k"). Die Verzögerung beim Schließen des
Hauptrelais ist typischerweise darauf zurückzuführen, dass ein Fahrer, der
das System betreibt, den Totmannschalter mit Verzögerung schließt. Die
Verzögerung
gibt dem Fahrer Zeit, den Schalter manuell zu schließen, nachdem
der Bypass-Schlüssel
verwendet wurde, ohne dass die FSM sofort in den 5-Draht-nass-Zustand
1207 wechselt.
-
Nachdem sich das Hauptrelais geschlossen hat,
geht die FSM über
den Pfad „m" zum „5-Draht-Bypass"-Zustand 1211 weiter.
Während
der 5-Draht-Ausgangsimpuls zu den Sonden gesendet wird, wird das
Hauptrelais geschlossen, und wenn der Bypass-Zustand seit mehr als
einer Stunde nicht existiert hat, bleibt die FSM im Zustand 1211 (das heißt, sie
folgt dem Pfad „n"), wodurch der Transfer des
Flüssigprodukts
ermöglicht
wird. Wenn sich jedoch das Hauptrelais für mehr als 5 Sekunden öffnet oder
ein einstündiger
Bypass-Zeitgeber abläuft,
geht die FSM über
den Pfad „o" zum „5-Draht-Heißverdrahtung-Warten"-Zustand 1213 weiter.
Die Relaisöffnungsmindestzeit
von 5 Minuten wird dazu verwendet, um sicherzustellen, dass ein
kurzes Abrutschen der Hand des Fahrers vom Totmannschalter nicht
zu einem Abbruch des Flüssigkeitstransfers führt. Wenn
der 5-Draht-Ausgangsimpuls für
die Zeitdauer von einer Sekunde nicht gesendet wird, geht die FSM über den
Pfad „r" vom Zustand 1211 in
den „2-Draht-Bypass"-Zustand 1215 über.
-
Der Zustand 1213 ist ein
Wartezustand, in dem die FSM bleibt, solange eine „Heißverdrahtungsprüfung" oder eine „Vorhandenseinprüfung" durchgeführt wird,
um zu bestimmen, ob der Bypass das Ergebnis einer Heißverdrahtung
war. In der bevorzugten Ausführungsform
umfasst diese Überprüfung die Übertragung
von fünf
Rücksetzimpulsen zum
Bypass-Schlüssel
durch die Steuereinheit. Wenn mindestens drei „Vorhanden"-Impulse
als Antwort erkannt werden, wird davon ausgegangen, dass der Schlüssel nicht
heißverdrahtet
ist. Wenn die Überprüfung anzeigt,
dass der Bypass-Schlüssel heißverdrahtet
ist, bleibt die FSM im Zustand 1213 (das heißt, sie
folgt dem Pfad „p"). Die Überprüfung wird
danach in regelmäßigen Abständen (alle
zehn Millisekunden in der bevorzugten Ausführungsform) wiederholt. Nachdem
der heißverdrahtete
Zustand entfernt wurde (über
mindestens eine Minute hinweg), geht die FSM über den Pfad „q" zum Zustand 1207 weiter.
-
Im Zustand 1215 reagiert
die FSM auf einen Mangel an Impulsen an den Sondenkanälen derart, dass
sie davon ausgeht, dass die Sonden 2-Draht-Sonden sind. Die FSM
bleibt so lange im Zustand 1215 (das heißt, sie
folgt dem Pfad „ad"), so lange das vom
Haupt-μP 20 (das
heißt
dem Schalter 44) gesteuerte Relais geschlossen ist und
der 1-Stunden-Bypass-Zeitgeber
nicht abgelaufen ist. Wenn sich jedoch der Schalter 44 öffnet oder
der 1-Stunden-Zeitgeber abläuft,
geht die FSM über
den Pfad „ae" zum „2-Draht-Heißverdrahtung-Warten"-Zustand 1217. Wie beim Zustand 1213 bleibt auch
hier die FSM in diesem Wartezustand (das heißt, sie folgt dem Pfad „af"), bis eine Heißverdrahtungsprüfung durchgeführt wird.
Wenn ein Heißverdrahtungszustand
erkannt wird, bleibt die FSM im Zustand 1217 (das heißt, sie
folgt dem Pfad „af"), bis die Bedingung
entfernt wird. Wenn keine Heißverdrahtungsbedingung
mehr erkannt wird, geht die FSM über
den Pfad „ag" in den „2-Draht-nass"-Zustand 1219 über.
-
In die 2-Draht-Zustände der
FSM kann auch aus dem Leerlaufzustand 1203 gewechselt werden. Wenn
im Zustand 1203 alle 2-Draht-Sonden oszillieren und kein
Kurzschluss am Hauptrelais oder eine Heißverdrahtung des Bypass-Schlüssels erkannt wird,
geht die FSM über
den Pfad „s" zum „2-Drahttrocken"-Zustand 1221 weiter.
Während
alle 2-Draht-Sonden weiterhin oszillieren, bleibt die FSM im Zustand 1221 (das heißt, sie
folgt dem Pfad „t"). Wenn jedoch 400
ms vergehen, in denen eine der Sonden nicht oszilliert, geht die
FSM (über
den Pfad „u") zum „2-Draht-nass"-Zustand 1219 weiter.
-
So lange mindestens eine (aber nicht
alle) der 2-Draht-Sonden
oszillieren und kein Bypass-Schlüssel
oder keine Bypass-Heißverdrahtung erkannt
wird, bleibt die FSM im Zustand 1219 (das heißt, sie
folgt dem Pfad „v"). Wenn wieder alle
Sonden zu oszillieren beginnen, geht die FSM über den Pfad „w" zum 2-Draht-trocken-Zustand
weiter. Weiter geht die FSM, wenn sie sich im Zustand 1219 befindet
und ein Bypass-Schlüssel
erkannt wird, in den „2-Draht,
Warten auf Relais"-Zustand 1223 über. Der Zustand 1223 ist ähnlich wie
der Zustand 1209, und er startet einen Zeitgeber, der eine
Verzögerung
bietet, die es dem Fahrer erlaubt, den Totmannschalter zu schließen.
-
Während
der Zeitgeber läuft
und das Relais noch offen ist, bleibt die FSM im Zustand 1223 (das heißt, sie
folgt dem Pfad „aa"). Wenn das Schließen des
Relais erkannt wird, bevor der Zeitgeber abläuft, geht die FSM über den
Pfad „ac" in den Zustand 1215 über. Wenn
der Zeitgeber abläuft,
bevor das Schließen
erkannt wird, geht die FSM über
den Pfad „ab" in den Zustand 1219 über. Der
Zustand 1223 kann auch vom Leerlaufzustand 1203 aus über den
Pfad „y" erreicht werden,
wenn ein Bypass-Schlüssel
erkannt wird und die folgenden Bedingungen gegeben sind: 1) das
Hauptrelais ist nicht kurzgeschlossen; 2) der Bypass-Schlüssel ist
nicht heißverdrahtet;
3) mindestens eine 2-Draht-Sonde oszilliert; und 4) es werden keine
Ausgangsimpulse zu den 5-Draht-Sonden gesendet.
-
Weiter wird vom Hauptprogramm des
Reserve-μP 22 die „Bypass"-FSM aufgerufen.
Die Bypass-FSM zeichnet den Zustand des Bypass-Modus der Reserve-μP auf und
wird in 12B im Zustandsdiagramm
dargestellt. Wenn kein Bypass-Schlüssel erkannt
wurde, bleibt die FSM im Zustand „Warten auf Schlüssel" 1225 (das
heißt,
sie folgt dem Pfad „a"). Wenn ein Bypass-Schlüssel „Vorhandensein-Impuls" (ein 500 ms Impuls,
der von den Datenimpulsen klar zu unterscheiden ist und anzeigt, dass
ein Schlüssel
angesteckt ist) erkannt wird, geht die FSM über den Pfad „b" zum Zustand 1225 zum „Warten
auf Ruhe"-Zustand 1227 weiter.
Die State-Maschine folgt dem Pfad „i" für
eine kurze Zeitdauer (zumindest 100 ms in der bevorzugten Ausführungsform),
um das Auflösen
von Störgeräuschen am
Bypasserkennungseingang zu ermöglichen.
Danach geht sie über
den Pfad „c" zum „Bypass-Lesen"-Zustand 1229 weiter.
-
Die FSM bleibt für eine begrenzte Zeitdauer im
Zustand 1229, während
eine Identifizierung der Bypass-Schlüssel-Eingangssignale
versucht wird. Der Reserve-μP
führt bis
zu zehn Versuche durch, die Bypass-Schlüssel-Eingangssignale zu lesen. Wenn die Eingangssignale
nicht identifiziert werden können
oder wenn der Code des Bypass-Schlüsseltyps
(Familie) falsch ist, kehrt die FSM über den Pfad „e" in den Zustand 1225 zurück. Wenn
die korrekt codierten Eingangssignale von einem Bypass-Schlüssel identifiziert
werden, geht die State-Maschine über den
Pfad „f" zum Zustand „OK zu
Bypass" 1231 weiter.
-
Im Zustand 1231 wird eine „Bypass"-Variable gesetzt,
die anzeigt, dass sich der Reserve-μP in einem Bypass-Zustand befindet,
wobei die Variable für das
Lesen durch die Probetype-FSM verfügbar ist. Die Bypass-State-Maschine bleibt im
Zustand 1231 (das heißt,
sie folgt dem Pfad „g"), bis der Reserve-μP das Schließen des
ihn steuernden Relaisschalters 46 erkannt hat. Wenn dieses
Schließen nicht
innerhalb einer begrenzten Zeitdauer erkannt wird, kehrt die State-Maschine über den
Pfad „h" in den Zustand 1225 zurück. Wenn
das Schließen
erkannt wurde, wird die Bypass-Bedingung bestätigt, und die FSM geht zum „Bypass"-Zustand 1233 weiter.
-
Die Bypass-FSM bleibt für eine begrenzte Zeitdauer,
die in der bevorzugten Ausführungsform mindestens
zehn Sekunden beträgt,
im Zustand 1233 (das heißt, sie folgt dem Pfad „n"). Wenn sich der
Relaisschalter 46 aus irgendeinem Grund während dieser
Zeit öffnet,
folgt die FSM dem Pfad „o" zurück zum Zustand 1225.
Wenn die Zeit abläuft
und das Relais noch immer geschlossen ist, geht die State-Maschine
(über den
Pfad „p") zum Zustand „Heißverdrahtung
prüfen,
warten" 1235.
Die FSM bleibt für eine
kurze Zeitdauer im Zustand 1235 (das heißt, sie folgt
dem Pfad „q"), die in der bevorzugten
Ausführungsform
zwei Sekunden beträgt.
Dies gibt einem Anwender des Bypass-Schlüssels Zeit, den Schlüssel zu
entfernen und die Kommunikation zwischen dem Schlüssel und
der Rack-Steuereinheit zu unterbrechen. Nach der Verzögerung geht
die State-Maschine (über
den Pfad „r") in den Zustand „Heißverdrahtung
prüfen" 1237.
-
Im Zustand 1237 führt der
Reserve-μP
eine „Vorhanden-Prüfung" durch, um festzustellen,
ob die Bypass-Schlüsseleingangssignale
der Rack-Steuereinheit heißverdrahtet
wurden. Wenn die Vorhanden-Prüfung
ergibt, dass keine Heißverdrahtung
vorliegt, kehrt die FSM über
den Pfad „t" in den Zustand 1225 zurück. Wenn
eine Heißverdrahtung
angezeigt wird, geht die State-Maschine über den Pfad „u" zum „Heißverdrahtung"-Zustand 1239.
Die FSM bleibt in diesem Zustand (das heißt, sie folgt dem Pfad „v") unendlich, bis
der Hinweis auf einen Bypass-Schlüssel für eine begrenzte Zeitdauer
abwesend war (in der bevorzugten Ausführungsform mindestens eine Minute).
Wenn der Bypass-Schlüssel
(angenommen, es handelt sich um eine Heißverdrahtung) über eine Minute
hinweg nicht erkannt wird, kehrt die FSM über den Pfad „w" in den Zustand 1225 zurück.
-
Zusätzlich zu den Unterschieden
in der Firmware zwischen dem Haupt- und dem Reserve-μP ist auch
das Verfahren zur Erkennung von Sondensignalen grundlegend unterschiedlich. 13A und 13B demonstrieren ein Erkennungsverfahren,
das vom Haupt-μP 20 verwendet
wird. Sowohl bei den optischen 5-Draht-Sonden
als auch den optischen 2-Draht-Sonden und den 2-Draht-Thermistorsonden handelt es sich
bei den Sonden-Ausgangssignalen um
ein oszillierendes Signal, wenn die Sonde trocken ist (das heißt, wenn
kein Überfüllungszustand
vorhanden ist). Ein Beispiel für
ein solches Signal ist in 13A dargestellt.
Um zu bestimmen, ob ein gültiges
Sondensignal vom Haupt-μP
erkannt wurde, ist es notwendig, zu bestimmen, ob die Amplitude
des Signals, die Breite der hohen und niedrigen Signalimpulse und
die Periodizität
des Signals innerhalb der gewünschten
Bereiche liegen. Wenngleich diese Bereiche für die einzelnen Sondentypen
unterschiedliche sind, ist das in 13A dargestellte
Erkennungsverfahren für
alle gleichermaßen
anwendbar.
-
Zur Durchführung des Erkennungsverfahrens
wird jeder der Sondenkanäle,
das heißt,
die Signale, die direkt von den Sonden selbst empfangen werden,
in einen Analog-Digital-Wandler
(A/D) eingegeben. Die A/D-Wandler sind vorzugsweise getaktet, um
alle zwei Millisekunden Abtastungen zu erzeugen. Die Abtastungen
werden vom Haupt-μP 20 mathematisch
mit einem von zwei unterschiedlichen Grenzwerten verglichen, die
in 13A als 1301 und 1303 dargestellt
sind. Der untere Grenzwert 1301 wird für den Vergleich verwendet,
wenn die vorletzte Abtastung über
dem geprüften
Grenzwert lag. Der obere Grenzwert 1303 wird für den Vergleich
verwendet, wenn die vorletzte Abtastung unter dem geprüften Grenzwert
lag. Dies ermöglicht
einen Grad der Hysterese für
die Vergleichsmessungen.
-
Der Ausgang der einzelnen mathematischen Vergleichsoperationen
ist ein einzelnes Bit, das hoch ist (das heißt, eine logische „Eins"), wenn die Abtastung
den relevanten Grenzwert überschreitet,
oder niedrig (das heißt,
eine logische „Null"), wenn die Abtastung
unter dem relevanten Grenzwert liegt. Somit erzeugt das Signal,
wenn es mit Minima und Maxima unter beziehungsweise über den
Grenzwerten oszilliert, einen Bitstrom, der die Periodizität des Signals anzeigt.
Ein Bitstrom 1305, der dem Signal von 13A entspricht, wird in der Figur durch
Einsen und Nullen repräsentiert,
die jeweils unter ihrer entsprechenden Abtastung ausgerichtet sind.
-
Da jede der Sonden einen Bitstrom
erzeugt und es bis zu acht Sonden gibt, die Eingangssignale zur
Rack-Steuereinheit senden, wird ein Byte-Array im Speicher des Haupt-μP 20 erstellt,
welches alle zwei Millisekunden aus einem neuen Byte besteht, wovon
einzelne Bits von separaten Sonden stammen. Dadurch können bis
zu acht aktive Bitströme sequentielle
Acht-Bit-Bytes an Sondendaten erzeugen. Eine schematische Darstellung
eines solchen Sonden-Arrays ist in
-
13B dargestellt.
Einsen und Nullen werden verwendet, um die Struktur des Sonden-Arrays an
jedem Ende des Arrays darzustellen. Wenngleich die Einsen und Nullen
im Mittelbereich des Arrays nicht dargestellt sind, ist es für Fachleute
dieses Bereiches doch offensichtlich, dass das Array von der linken
Seite von 13B zur rechten
Seite der Figur fortgeführt
wird.
-
Mit jedem Bitstrom des Arrays, der
(in 13B von oben nach
unten) den einzelnen Sondenkanälen 0 bis 7 entspricht,
stellt das Array ein Fenster dar, das eine aktuelle Historie eines
jeden einzelnen Bitstroms zeigt. Der Zustand einer jeden Sonde kann
daher aus dieser Historie überprüft werden.
Dies wird von den verschiedenen Inhalten der einzelnen Bitströme demonstriert,
die im Array schematisch durch Einsen und Nullen repräsentiert
werden.
-
Wie zu sehen ist, werden sowohl die
Sonde 0 als auch die Sonde 1 durch einen fortlaufenden Strom
von logischen Nullen repräsentiert,
weshalb davon ausgegangen werden kann, dass diese ausgeschaltet
sind. Die Sonde 6 ist eingeschaltet, aber der Bitstrom
dieser Sonde besteht aus lauter Einsen, weshalb die Sonde nass zu
sein scheint. Der Bitstrom der Sonde 7 oszilliert, doch
mit einer geringen Geschwindigkeit. Die anderen Sonden oszillieren
innerhalb der normalen Parameter. Durch Aufzeichnung der Bitströme des Arrays
kann der Haupt-μP den
Zustand der einzelnen Systemsonden bestimmen.
-
Im Gegensatz zum Bitstromverfahren
des Haupt-μP 20 verwendet
der Reserve-μP
(für 2-Draht-Sondensignale)
eine Hardware-Komparatorschaltung, um zu bestimmen, ob die Sonden
innerhalb der gewünschten
Parameter oszillieren. Diese Schaltung ist im Stand der Technik
bekannt und ist ein Bestandteil der Überfüllungssensorschaltung 24 (2). Kurz gesagt wird jedes
der Sondensignal in eine Komparatorschaltung eingeführt, dessen
Ausgang zwischen einer hohen und einer niedrigen Spannung wechselt,
wenn das Sondeneingangssignal von einem Wert über einer Grenzwertspannung auf
einen Wert unter einer Grenzwertspannung wechselt. Somit besitzt
der Ausgang des Komparators einen wechselnden Logikpegel, der vom
Reserve- μP erkannt
und analysiert wird, um zu bestimmen, ob die Sondenoszillation innerhalb
akzeptabler Parameter liegt. Die Verwendung unterschiedlicher Erkennungsverfahren
für die
Sondensignale stellt eine weitere Redundanzebene im System dar,
so dass ein einzelner Fehler (wie zum Beispiel eine Fehlfunktion in
der Sondensignal-Erkennungsschaltung) keinen ungerechtfertigten „Erlaubnis"-Zustand verursachen kann.
-
Wie zuvor erwähnt, verwendet die Rack-Steuereinheit
auch einen optischen Bypass-Schlüssel.
Im Gegensatz zu Bypass-Schlüsseln
des Standes der Technik, die einen Schlüsselzylinder und elektrische
Kontakte besitzen, die sich physisch öffnen und schließen, ermöglicht der
optische Schlüssel
der vorliegenden Erfindung stets die optische Übertragung der Bypass-Codeinformationen
von einer tragbaren „Schlüssel"-Einheit zur Rack-Steuereinheit.
-
In 14 ist
ein schematisches Diagramm des optischen Bypass-Schlüssels der
vorliegenden Erfindung dargestellt. In der bevorzugten Ausführungsform
verwendet der Schlüssel 1401 einen
Dallas Semiconductor DS2401 Silicon Seriennummer IC 1403.
Die optische Kommunikation zwischen dem IC 1403 und dem
Haupt-μP 20 wird
durch die Verwendung der IR-Transceiver-Schaltung 1405 im
Schlüssel 1401 und
der IR-Transceiver-Schaltung 1407 in der
Rack-Steuereinheit ermöglicht.
Der Schlüssel 1401 wird
mit einer Batterie 1409 betrieben, wenn ein Reed-Schalter 1411 magnetisch
durch die Nähe
zu einem Dauermagnet 1413 geschlossen wird, der sich in
der Rack-Steuereinheit befindet. Die Magnetfeldlinien sind schematisch
in 14 dargestellt, um
die Auswirkungen des Magneten 1413 auf den Reed-Schalter 1411 zu
demonstrieren.
-
Für
die Übertragung
von Informationen zwischen IC 1403 und dem IR-Transceiver 1405 sowie zwischen
dem Haupt-μP 20 und
dem IR-Transceiver 1407 wird ein bidirektionales, einzeiliges
Protokoll verwendet. Um dieses Protokoll aufzunehmen, werden bestimmte
Konstruktionsmerkmale für
die Transceiver-Schaltungen 1405 und 1407 verwendet.
-
Eine bevorzugte Schaltung für den Schlüssel 1401 ist
in 14A dargestellt.
Wie gezeigt, stammt die Stromver sorgung von der Batterie 1409 durch das
Schalten des Reed-Schalters 1411.
Ein strombegrenzender Widerstand 1415 und ein Filterkondensator 1417 sind,
wie im Stand der Technik auch, für die
Batterie vorhanden. Wenn von der Photodiode 1419 optische
Infrarotsignale erkannt werden, wird eine Spannung am Widerstand 1421 entwickelt,
welche den Transistor 1423 schaltet. Wenn der Transistor
mit jedem von der Photodiode 1419 erkannten Lichtimpuls
einschaltet, wird ein niedriger Impuls über den Leiter 1425 gesendet
und entlang des bidirektionalen Eingangs-/Ausgangspfades des IC 1403 erkannt.
Auf ähnliche
Weise entwickelt der IC 1403, wenn logische Daten von ihm
ausgesandt werden, eine Spannung an der Basis des Transistors 1427, die
wiederum einen Stromfluss durch den Widerstand 1429 und
die IR-LED 1431 verursacht. Dies führt zu einer Übertragung
von IR-Impulsen, die daraufhin von der Rack-Steuereinheit erkannt werden. Die Widerstände 1433 und 1435 besitzen
Werte, die für
die entsprechende Strombegrenzung ausgewählt wurden.
-
In 14B ist
die Schaltung des IR-Transceivers 1407 dargestellt. In
der bidirektionalen Eingangs-/Ausgangsleitung 1437 erkennt
und sendet der Haupt-μP
Daten. Die über
die Leitung 1437 übertragenen
und empfangenen Daten liegen in Form von niedrigen Logikimpulsen
(etwa null Volt) vor, während die
Leitung 1437 normalerweise 5 Volt aufweist, die von einer
5V-Quelle zur Verfügung
gestellt und über den
strombegrenzenden Widerstand 1439 zugeführt werden. Wenngleich eine
bidirektionale Leitung nicht benötigt
wird, erfordert deren Verwendung einige zusätzliche Schaltkreiselemente,
um das Einrasten der Zweiwegkommunikation zu verhindern. Das heißt, ohne
einen gewissen Schutz kann ein Signal, das von dem IR Transceiver 1407 erkannt
und in die bidirektionale Datenleitung 1437 geschickt wird,
nicht von einem Signalausgang des Haupt-μP unterschieden werden.
-
Wenn ein IR-Signal vom Schlüssel durch
die Photodiode 1441 erkannt wird, wird eine entsprechende
Spannung am Widerstand 1443 entwickelt, und diese liegt
am Minus-Eingangsanschluss
des Komparators 1445 an. Der Plus-Ein gangsanschluss des
Komparators 1445 wird von den Widerständen 1447 und 1449 zu
einer kleinen Spannung vorgespannt. Vorzugsweise werden die Widerstände so ausgewählt, dass
die Vorspannung nicht größer als etwa
0,5 V ist. Obwohl es somit kein Eingangssignal zur Photodiode 1441 gibt
(das den Minusanschluss an Masse hält), handelt es sich beim dem
Ausgang des Komparators 1445 um einen Ausgang vom Typ eines
offenen Kollektors (das heißt,
er ist nicht leitend). Wenn jedoch ein optisches Signal erkannt wird,
verursacht die Spannung, die am Minusanschluss des Komparators 1445 entwickelt
wird, eine kleine positive Spannung am Ausgang des Komparators 1445.
Diese niedrige Spannung liegt vorzugsweise zwischen 0,2 und 0,4
Volt.
-
Die Umwandlung des erkannten optischen Signals
in die niedrige Ausgangsspannung des Komparators 1445 führt dazu,
dass die bidirektionale Leitung 1437 mit jedem erkannten
Signal auf Niedrig gezogen wird. Dies ermöglicht die Erkennung des Signals
durch den Haupt-μP 20.
Der niedrige Ausgang des Komparators 1445 muss klein genug
sein, so dass der Ausgang in Kombination mit den Spannungsabfällen der
Schottky-Dioden 1451, 1453 klein genug ist, um
der bidirektionalen Leitung 1437 ein logisches Niedrig
zu präsentieren.
Die Widerstände 1455 und 1439 besitzen
einen hohen Wert, um den Vorwärtsspannungsabfall
der Dioden 1451 und 1453 zu minimieren.
-
Das optische Ausgangssignal von der Rack-Steuereinheit
zum Bypass-Schlüssel
wird mit Hilfe der IR-LED 1457 erzeugt, die vom Transistor 1459 und
vom strombegrenzenden Widerstand 1461 betrieben wird. Die
Transistorbasis wird vom Komparator 1463 versorgt, wofür eine Vorspannung
von etwa 2,5 V am Pluseingangsanschluss durch den von den Widerständen 1455 und 1465 gebildeten
Widerstandsteiler zur Verfügung
gestellt wird. Da der Minusanschluss des Komparators durch den Spannungsabfall
der Schottky-Diode 1453 auf einem Spannungspegel gehalten
wird, der um etwa 0,15 V höher
ist als der Plusanschluss, ist der Ausgang des Komparators 1463 normalerweise
negativ, wodurch der Transistor 1459 in ausgeschaltetem
Zustand gehalten wird. Wenn jedoch der Haupt-μP 20 die bidirektionale
Leitung 1437 auf niedrig zieht (weniger als 0,1 V), wird
die Komparatorausgangsspannung zu einer positiven Spannung, wodurch
die LED 1457 eingeschaltet wird. Der Widerstand 1467 ist
vorhanden, um den Strom durch die LED 1457 präziser regeln
zu können,
wenn der Komparatorausgang positiv wird.
-
In der bevorzugten Ausführungsform
sowie in Verbindung mit dem bekannten Protokoll von Dallas Semiconductor
IC 1403 sendet der Haupt-μP 20 in regelmäßigen Abständen einen
Impuls zum Monitor, um das Vorhandensein des Bypass-Schlüssels 1401 zu überprüfen. Der
Reserve-μP 22 besitzt
Zugang zum bidirektionalen Ausgang und wechselt sich in der Abfrage
des Bypass-Schlüssels
mit dem Haupt-μP 20 ab,
da sich der bidirektionale Ausgang des Haupt-μP in einem dreistufigen Zustand
befindet, wenn er nicht verwendet wird. Wenn der Schlüssel den
Impuls erkennt, antwortet er darauf mit einem Vorhanden-Impuls,
der vom IR-Transceiver der Rack-Steuereinheit
erkannt wird. Das Erkennen des Vorhanden-Impulses wird verwendet, um das Vorhandensein
eines Bypass-Schlüssels durch
die Firmware des Haupt-μP
zu verifizieren. Der Mikroprozessor 20 sendet danach ein
anderes Signal aus, welches den Ausgang der Informationen anregt,
die im Dallas Semiconductor IC 1403 gespeichert sind, und danach
vom Mikroprozessor gelesen werden.
-
In 15 ist
eine „Schnellstart"-Schaltung dargestellt,
die dazu verwendet werden kann, um standardmäßige Thermistorsonden (z. B.
Scully Signal Company, „Dynaprobe") vorzuwärmen. Da
die Impedanz solcher Thermistorsonden umgekehrt proportional zur
Temperatur ist, führen
sehr kalte Umgebungstemperaturen (wie sie zum Beispiel typischerweise
während
der Wintermonate in kalten Regionen vorkommen) dazu, dass die anfängliche
Impedanz der Sonden relativ hoch ist. Somit ist die Zeit zur Erwärmung der
Sonden auf eine Betriebstemperatur länger, als dies wünschenswert
wäre. Da
die Impedanz der Sonden weiter mit abnehmenden Temperaturen zunimmt,
nimmt auch die Verlustleistung in den Sonden mit abnehmender Temperatur
ab, was zu einer nichtlinearen Zunahme der Sondenaufwärmzeit führt.
-
Wenn ein zu befüllender Lastwagen an die Steuereinheit
am Befüllungsrack
angeschlossen wird und die Sonden als standardmäßige Thermistorsonden identifiziert
werden, wird eine herkömmliche
Umschaltschaltung (nicht dargestellt) vom Haupt-μP 20 gesteuert, um
eine Thermistorsonde 1501 mit ihrer jeweiligen Schnellstartschaltung
zu verbinden, wie dies in 15 dargestellt
ist (es ist nur eine Schaltung dargestellt, doch es versteht sich
von selbst, dass die Schnellstartschaltung für jeden der Sondenkanäle mit der
in 15 dargestellten
identisch ist). Bei normalen Betriebstemperaturen wird jede Thermistorsonde
von einem Zehn-Volt-Netzgerät versorgt,
das in Serie mit einem strombegrenzenden Widerstand 1503 geschaltet
ist. Beim erstmaligen Anschließen
an die Sonden 1501 initiiert der Haupt-μP 20 (als Teil seines
Firmware-Programms) jedoch eine „Schnellstart"-Funktion, indem er ein normalerweise
hohes Steuersignal am Sockel des PNP-Transistors 1509 auf
niedrig setzt. Dies schaltet eine 20 Volt Versorgungsspannung ein,
die Strom zu den Thermistorsonden über die strombegrenzenden Widerstände 1513 und 1503 zuführt, wobei
die Verlustleistung der Thermistorsonden wesentlich verringert und
die Aufwärmzeit
stark verkürzt
wird. Die Shottky-Dioden 1507, 1511 sorgen für eine Isolierung der
Zehn-Volt- und der Zwanzig-Volt-Netzteile voneinander.
-
Der Haupt-μP 20 sorgt dafür, dass
das Steuersignal für
eine vorherbestimmte Zeit (etwa zwanzig Sekunden in der bevorzugten
Ausführungsform)
in seinem Niedrig-Zustand behalten wird. Danach wird das Signal
wieder auf hoch gebracht, um das Zwanzig-Volt-Netzteil auszuschalten.
Zu diesem Zeitpunkt ist jedoch die Impedanz der Thermistorsonden
bereits wesentlich abgefallen, und das normale Zehn-Volt-Netzgerät reicht
aus, um die Sonden rasch auf Betriebstemperatur zu bringen. In der
bevorzugten Ausführungsform
schaltet der Haupt-μP
das Zwanzig-Volt-Netzgerät
aus, bevor die vorherbestimmte Zeit verstrichen ist, wenn er Oszillationen
an einer der Thermistorsonden wahrnimmt (was anzeigt, dass deren
Betriebstemperatur bereits erreicht ist). Weiter überwacht
der Reserve-μP 22 das
Steuersignal vom Haupt-μP 20 und
weigert sich vorsichtshalber zu jeder Zeit, das vom Haupt-μP 20 ausgegebene
Schnellstartsignal zu erlauben. Darüber hinaus können auch
Versorgungsspannungen verwendet werden, die höher oder niedriger sind als
die Zwanzig-Volt-Versorgung,
wobei höhere
Versorgungsspannungen die Aufwärmzeit
weiter verkürzen.
-
Wenngleich die Erfindung unter Bezugnahme
auf eine bevorzugte Ausführungsform
derselben dargestellt und beschrieben wurde, ist es für Fachleute
dieses Bereiches doch offensichtlich, dass verschiedene Änderungen
an Form und Inhalt daran vorgenommen werden können, ohne dadurch vom Umfang
der Erfindung, wie er in den angehängten Ansprüchen dargelegt wird, abzuweichen.