DE3382810T2

DE3382810T2 - Microprocessor systems for franking machine arrangements

Info

Publication number: DE3382810T2
Application number: DE19833382810
Authority: DE
Inventors: Frank T Check
Original assignee: Pitney Bowes Inc
Current assignee: Pitney Bowes Inc
Priority date: 1982-01-29
Filing date: 1983-01-25
Publication date: 1997-05-22
Anticipated expiration: 2003-01-26
Also published as: CA1206619A; EP0513880A2; DE3382835D1; EP0736846A3; DE85385T1; EP0085385A2; DE3382744D1; DE3382810D1; EP0085385A3; JPH0797417B2; JPS58144989A; EP0513880A3; DE3382744T3; EP0736846A2; EP0513880B1; DE3382744T2; EP0736846B1

Description

Diese Erfindung betrifft Mikroprozessorsysteme und ist auf elektronische Frankiermaschinen anwendbar, die elektronische Abrechnungseinheiten aufweisen.This invention relates to microprocessor systems and is applicable to electronic franking machines having electronic accounting units.

Eine elektronische Frankiermaschine mit einer Abrechnungseinheit mit einem Mikroprozessor und einem nichtflüchtigen Speicher zum Speichern von Abrechnungsdaten ist beispielsweise in der US-Patentanmeldung mit der Seriennummer Nr. 089,413 (US-Patent Nr. 4,301,507) offenbart. In diesem System werden die Abrechnungsdaten in dem Direktzugriffsspeicher gespeichert und aus dem Direktzugriffsspeicher zurückgeholt, und zwar mittels gemeinsamer Adressen- und Datenleitungen des Mikrocomputersystems. Während in dem meisten Fällen sichergestellt werden kann, daß die in dem Speicher gespeicherten Abrechnungsdaten richtig sind, gibt es bestimmte Bedingungen, die auftreten können und die nicht detektierbare Fehler in den Daten zur Folge haben.An electronic postage meter having an accounting unit with a microprocessor and a non-volatile memory for storing accounting data is disclosed, for example, in U.S. Patent Application Serial No. 089,413 (U.S. Patent No. 4,301,507). In this system, accounting data is stored in and retrieved from the random access memory using common address and data lines of the microcomputer system. While in most cases the accounting data stored in the memory can be assured to be correct, there are certain conditions that can occur that result in undetectable errors in the data.

Um derartige Probleme zu umgehen wurde vorgeschlagen, redundante Speicher zu verwenden (EP-A-19515). Das Mikrocomputerprogramm für die Frankiermaschine umfaßt somit ein Unterprogramm zum Vergleichen der Daten, die in den redundanten Speichern gespeichert sind, um eine Fehleranzeige bereitzustellen, wenn sich die gespeicherten Daten in den zwei Speichern unterscheiden. Während diese Technik die Zuverlässigkeit der gespeicherten Daten erhöht, gibt es bestimmte Bedingungen, bei denen selbst dieser Typ eines redudanten Systems keine Bestimmung eines Fehlers ermöglichen wird. Ferner testet das bekannte System während eines Druckvorgangs verschiedene Fehlfunktionsanzeigen der Druckwert-Einstellungs- und Druckeinrichtungen. Andere Typen einer Fehlfunktion werden ebenfalls erfaßt. Bei der Erfassung einer Fehlfunktion wird ein geeigneter Fehlercode in einen Speicher eingeschrieben, und die Maschine wird gesperrt. Es muß natürlich betont werden, daß es in einer Frankiermaschine grundliegend wichtig ist, daß der höchste Grad einer Zuverlässigkeit der Abrechnungsdaten erhalten wird.To avoid such problems, it has been proposed to use redundant memories (EP-A-19515). The microcomputer program for the postage meter thus includes a subroutine for comparing the data stored in the redundant memories to provide an error indication when the data stored in the two memories differ. While this technique increases the reliability of the stored data, there are certain conditions where even this type of redundant system will not allow a determination of an error. Furthermore, the known system tests various malfunction indications of the print value setting and printing devices during a printing operation. Other types of malfunction are also detected. When detecting In the event of a malfunction, an appropriate error code is written into memory and the machine is locked. It must of course be stressed that in a franking machine it is fundamentally important that the highest degree of reliability of the accounting data is maintained.

DE-A-3 024 370 beschreibt ein redundantes Steuersystem urnfassend eine Vielzahl von Untersystemen, die jeweils die gleichen Daten parallel gemäß entsprechender Programme bearbeiten. Jedes Untersystem umfaßt seinen eigenen zentralen Prozessor, Speicher und Peripheneeinheiten. Zusätzlich ist ein Komparator vorgesehen, der die in den zwei Untersystemen erzeugten Signale vergleicht und ein Fehlersignal im Fall einer fehlenden Übereinstimmung erzeugt.DE-A-3 024 370 describes a redundant control system comprising a plurality of subsystems, each of which processes the same data in parallel according to corresponding programs. Each subsystem comprises its own central processor, memory and peripheral units. In addition, a comparator is provided which compares the signals generated in the two subsystems and generates an error signal in the event of a mismatch.

Eine Aufgabe der vorliegenden Erfindung besteht darin,An object of the present invention is

- ein Mikroprozessorsystem für eine elektronische Frankiermaschine bereitzustellen, bei dem die Möglichkeit von Fehlerbedingungen, die nicht detektierbar sind, verringert ist.- to provide a microprocessor system for an electronic franking machine in which the possibility of error conditions that are not detectable is reduced.

Gemäß der Erfindung ist ein Mikroprozessorsystem für eine elektronische Frankiermaschine vorgesehen, gekennzeichnet durch: eine Druckeinrichtung; einen ersten und einen zweiten Mikroprozessor; erste und zweite Abrechnungsspeicher, die angeschlossen sind, um von dem ersten und zweiten Mikroprozessor getrennt gesteuert zu werden, wobei die ersten und zweiten Mikroprozessoren Programmroutinen aufweisen zum getrennten Aktualisieren ihrer jeweiligen Abrechnungsspeicher zum Abrechnen des Portodrucks durch die Druckeinrichtung durch Codieren der gespeicherten Daten unterschiedlich in jedem Abrechnungsspeicher; und eine Einrichtung zum Vergleichen der Abrechnungsergebnisse in den ersten und zweiten Abrechnungsspeichern zum Sperren der Frankiermaschine bei fehlender Übereinstimmung der Daten in den ersten und zweiten Abrechnungs speichern.According to the invention there is provided a microprocessor system for an electronic postage meter, characterized by: a printing device; a first and a second microprocessor; first and second accounting memories connected to be separately controlled by the first and second microprocessors, the first and second microprocessors having program routines for separately updating their respective accounting memories for accounting for postage printing by the printing device by encoding the stored data differently in each accounting memory; and means for comparing the accounting results in the first and second accounting memories for disabling the postage meter if the data in the first and second accounting memories do not match.

Damit die Erfindung deutlicher verständlich ist, wird sie nun ausführlicher mittels eines Beispiels unter Bezugnahme auf die beiliegenden Zeichnungen offenbart. In den Zeichnungen zeigen:In order that the invention may be more clearly understood, it will now be disclosed in more detail by way of example with reference to the accompanying drawings. In the drawings:

Fig. 1 ein Blockdiagramm einer Ausführungsform eines Mikroprozessorsysterns für eine elektronische Frankiermaschine gemäß der vorliegenden Erfindung;Fig. 1 is a block diagram of an embodiment of a microprocessor system for an electronic postage meter according to the present invention;

Fig. 2 ein Zeitdiagramm, das die Abfolge einer Adressierung der Redundantenspeicher gemäß einer anderen Ausführungsform der Erfindung zeigt;Fig. 2 is a timing diagram showing the sequence of addressing the redundant memories according to another embodiment of the invention;

Fig. 3 ein Zeitdiagramm, welches eine andere Abfolge zum Adressieren der Redundäntenspeicher gemäß einer Ausführungsform der Erfindung zeigt;Fig. 3 is a timing diagram showing another sequence for addressing the redundant memories according to an embodiment of the invention;

Fig. 4 ein Blockdiagramm eines Abschnitts einer Modifikation des Systems aus Fig. 1;Fig. 4 is a block diagram of a portion of a modification of the system of Fig. 1;

Fig. 5 ein Blockdiagramm einer weiteren Modifikation eines Abschnitts des Systems aus Fig. 1; undFig. 5 is a block diagram of a further modification of a portion of the system of Fig. 1; and

Fig. 6 ein Blockdiagramm einer weiteren Ausführungsform der Erfindung.Fig. 6 is a block diagram of another embodiment of the invention.

Bezugnehmend auf die Zeichnungen und insbesondere auf Fig. 1 ist dort ein Mikroprozessorsystem gezeigt, welches ein elektronisches Abrechnungssystem bildet, so wie es beispielsweise in einer elektronischen Frankiermaschine verwendet wird. Das System beinhaltet eine zentrale Verarbeitungseinheit 10, beispielsweise einen Mikroprozessor, und einen Nur-Lese-Speicher 11, der Programme zum Betrieb des Systems speichert. Die Zentralverarbeitungseinheit 10 ist mit einer oder mit mehreren Peripherieeinrichtungen, beispielsweise der Druckeinheit 12 und der Steuereinheit 13 einer elektronischen Frankiermaschine gekoppelt, so wie dies in der gleichzeitig anhängigen US-Patentanmeldung mit der Seriennummer Nr. 089,413 (Patent Nr. 4,301,507) offenbart ist. In dem System aus Fig. 1 umgibt ein Sicherungsgehäuse 14 verschiedene Komponenten des Systems, beispielsweise die Zentralverarbeitungseinheit 10 und die Druckeinheit 12. Infolgedessen ist es notwendig, Ports zwischen der Zentralverarbeitungseinheit und einer externen Steuereinheit 13 bereitzustellen, um zwischen diesen Einheiten eine Zweiweg-Kommunikation zu ermöglichen. Vorzugsweise sind die Ports in der Form eines Paars von Einweg-Übertragungspfaden mit Optokopplern 15 und 16 an dem Sicherungsgehäuse, um die Anlegung von irgendwelchen elektrischen Potentialen an die Abrechnungseinheit ohne Zurücklassen von Nachweisen von Versuchen einer Beschädigung der Einheit zu verhindern. Die Optokoppler stellen vorzugsweise eine serielle Zweiweg-Zwischenkommunikation zwischen den Einheiten auf einer Bit-für-Bit Basis bereit, um die Anzahl von erforderlichen Ports in dem Gehäuse zu minimieren.Referring to the drawings and in particular to Fig. 1, there is shown a microprocessor system which forms an electronic accounting system, such as is used in an electronic franking machine. The system includes a central processing unit 10, for example a microprocessor, and a read-only memory 11 which stores programs for operating the system. The central processing unit 10 is connected to one or more peripheral devices, for example the printing unit 12 and the control unit 13. an electronic postage meter as disclosed in copending U.S. Patent Application Serial No. 089,413 (Patent No. 4,301,507). In the system of Fig. 1, a fuse box 14 surrounds various components of the system, such as the central processing unit 10 and the printing unit 12. Consequently, it is necessary to provide ports between the central processing unit and an external control unit 13 to enable two-way communication between these units. Preferably, the ports are in the form of a pair of one-way transmission paths with optocouplers 15 and 16 on the fuse box to prevent the application of any electrical potentials to the accounting unit without leaving evidence of attempts to damage the unit. The optocouplers preferably provide two-way serial communication between the units on a bit-by-bit basis to minimize the number of ports required in the package.

Zusätzlich ist es wünschenswert, wie in der US-Anmeldung mit der Seriennummer Nr. 089,413 (Patent Nr. 4,301,507) diskutiert, eine gegenseitige Kommunikation zwischen der Druckeinheit und der Zentralverarbeitungseinheit 10 mittels eines anderen Paars of Optokopplereinrichtungen 17 und 18 zu ermöglichen, wobei diese Optokoppler vorzugsweise eine serielle Zweiweg-Übertragung auf einer Bit-für-Bit Basis ermöglichen.In addition, as discussed in U.S. Application Serial No. 089,413 (Patent No. 4,301,507), it is desirable to enable mutual communication between the printing unit and the central processing unit 10 by means of another pair of optocoupler devices 17 and 18, which optocouplers preferably enable two-way serial transmission on a bit-by-bit basis.

In die Druckeinheit und auch in die Steuereinheit können soweit gewünscht getrennte Mikroprozessoren eingebaut sein, die die Verwendung einer Vielzahl von speziell zugeordneten Mikroprozessorsystemen ermöglichen. Dies verbessert nicht nur die Sicherheit des Systems, sondern erhöht auch seine Zuverlässigkeit durch Beschränken der erforderlichen Tasks jedes Mikroprozessors auf einen spezifischen Abschnitt des Gesamtbetriebs des Systems. Beispielsweise wird die Möglichkeit einer Konfliktprogrammanforderung dadurch wesentlich reduziert.Separate microprocessors can be incorporated into the printing unit and also into the control unit if desired, allowing the use of a plurality of dedicated microprocessor systems. This not only improves the security of the system, but also increases its reliability by limiting the required tasks of each microprocessor to a specific part of the overall operation of the system. For example, the The possibility of a conflicting program request is thereby significantly reduced.

Wie in Fig. 1 dargetellt ist ferner innerhalb des Sicherungsgehäuses ein Paar von Direktzugriffsspeichern 20, 21 vorgesehen. Die Direktzugriffsspeicher 20 und 21 sind vorzugsweise nichtflüchtige Speicher herkömmlicher Art, so daß Berechnungsdaten darin ohne Verlust gespeichert werden können, selbst wenn eine externe Energie an das System verlorengeht. Nur zum Beispiel können die Direktzugriffsspeicher von dem Typ sein, der eine Batteriepufferung verwendet, ein Earom oder ein EEPROM.As shown in Fig. 1, a pair of random access memories 20, 21 are also provided within the fuse housing. The random access memories 20 and 21 are preferably non-volatile memories of a conventional type so that calculation data can be stored therein without loss even if external power to the system is lost. For example only, the random access memories may be of the type using battery backup, an Earom or an EEPROM.

Der Direktzugriffsspeicher 20 ist mit der Zentralverarbeitungseinheit 16 mittels einer Vielzahl von Adreßleitungen 22 und einer Vielzahl von Datenleitungen 23 verbunden. Der Direktzugriffsspeicher ist mit der Zentralverarbeitungseinheit 10 mittels einer anderen Vielzahl von Adreßleitungen 24 und einer anderen Vielzahl von Datenleitungen 25 gekoppelt. Es ist erforderlich, daß sowohl die Adreßleitungen als auch die Datenleitungen, die mit den Direktzugriffsspeichern gekoppelt sind, verschieden sind. Beispielsweise sind die Adreßleitungen A0 - A7 von einem herkömmlichen Mikroprozessorsystem und können mit dem Direktzugriffsspeicher 20 gekoppelt werden, während Adreßleitungen C0 - C7 mit dem Direktzugriffsspeicher 21 gekoppelt sind. In ähnlicher Weise können herkömmlichen Datenleitungen B0 - B3 mit dem Direktzugriffsspeicher 20 gekoppelt werden, wobei Datenleitungen D4 - D7 mit dem Direktzugriffsspeicher 21 gekoppelt sind.The random access memory 20 is coupled to the central processing unit 16 by a plurality of address lines 22 and a plurality of data lines 23. The random access memory is coupled to the central processing unit 10 by another plurality of address lines 24 and another plurality of data lines 25. It is necessary that both the address lines and the data lines coupled to the random access memories be different. For example, address lines A0-A7 are from a conventional microprocessor system and can be coupled to the random access memory 20, while address lines C0-C7 are coupled to the random access memory 21. Similarly, conventional data lines B0 - B3 may be coupled to the random access memory 20, with data lines D4 - D7 being coupled to the random access memory 21.

In einem Abrechnungssystem, welches sowohl eine Sicherheit als auch eine Zuverlässigkeit erfordert, ist es wünschenswert, eine Redundanz bereitzustellen. Ein gewisser Grad von Redundanz kann erhalten werden, wenn die Direktzugriffsspeicher mit der Zentralverarbeitungseinheit durch getrennte Datenleitungen verbunden werden, obwohl die gleichen Adreßleitungen verwendet werden. In einem derartigen System können die gleichen Daten mittels ihrer jeweiligen getrennten Datenleitungen gespeichert und zurückgeholt werden, entweder gleichzeitig oder zu unterschiedlichen Zeiten unter einer Steuerung der jeweiligen Chipfreigabesignale. Während in vielen Fällen eine derartige Anordnung die Erfassung von Fehlern bei einem Vergleich der Daten in den zwei Speichern erlauben wird, gibt es in der Tat Fehlermöglichkeiten, die nicht erfaßt werden können. Wenn beispielsweise zwei der Adreßleitungen irrtümlich kurzgeschlossen werden, werden entweder in dem Mikroprozessor selbst oder extern davon die gleichen fehlerhaften Daten in den zwei Direktzugriffsspeichern gespeichert, so daß ein Vergleich der Daten, die in den zwei Speichern gespeichert sind, eine Fehlerbedingung nicht aufzeigen werden.In an accounting system which requires both security and reliability, it is desirable to provide redundancy. A certain degree of redundancy can be obtained if the random access memories are connected to the central processing unit by separate data lines, although the same address lines. In such a system, the same data can be stored and retrieved by means of their respective separate data lines, either simultaneously or at different times under control of the respective chip enable signals. While in many cases such an arrangement will permit detection of errors in a comparison of the data in the two memories, there are in fact possibilities for error which cannot be detected. For example, if two of the address lines are mistakenly shorted, the same erroneous data will be stored in the two random access memories either within the microprocessor itself or externally thereto, so that a comparison of the data stored in the two memories will not reveal an error condition.

Dieses Problem wird durch Verwendung eines völlig unterschiedlichen Satzes von Adreßleitungen des Adreßbusses zum Adressieren der zwei Direktzugriffsspeicher beseitigt. Vorzugsweise ist die Anzahl von Adreßleitungen und die Anzahl von Datenleitungen, die mit jedem der Direktzugriffsspeicher verbunden sind, die gleiche. Wenn nun zwei Adreßleitungen des Systems beispielsweise kurzgeschlossen werden, besteht eine geringe Wahrscheinlichkeit, daß die in den zwei Speichern gespeicherten sich ergebenden Daten die gleichen sind, so daß die Zuverlässigkeit des Systems bei der Erfassung von Fehlern beträchtlich erhöht ist.This problem is eliminated by using a completely different set of address lines of the address bus to address the two random access memories. Preferably, the number of address lines and the number of data lines connected to each of the random access memories are the same. Now, if two address lines of the system are shorted, for example, there is a small probability that the resulting data stored in the two memories will be the same, so that the reliability of the system in detecting errors is considerably increased.

Während die zwei Direktzugriffsspeicher gleichzeitig adressiert werden können, wobei ihre Adreßleitungen für die Speicherung und Wiedergewinnung der gleichen Information verwenden werden, kann auch dies zu Fehlern führen, die nicht erfaßbar oder korrigierbar sind. Beispielsweise ist es möglich, daß ein transienter Störvorgang auf den Busleitungen in der gleichen Weise mit den gleichzeitig übertragenen Daten interferiert. Demzufolge und wie in Fig. 2 dargestellt werden die zwei Speicher in bezug auf die gleichen Daten in einer sequentiellen Weise adressiert. Beispielsweise können alle sequentiellen Bytes einer Nachricht zuerst auf den gleichen Speicher, d.h. den Speicher 1, angewendet werden oder davon empfangen werden. Nach dem Transfer dieser Nachricht in bezug auf den ersten Speicher wird die gleiche Nachricht dann in bezug zu dem zweiten Speicher übertragen. Es ist natürlich selbstverständlich, daß der hier verwendete Ausdruck "Byte" sich auf die Daten einer Länge bezieht, die gleich zu der Anzahl von Datenleitungen ist, die mit jedem Speicher verbunden sind.While the two random access memories can be addressed simultaneously, using their address lines for storing and retrieving the same information, this too can lead to errors that are not detectable or correctable. For example, it is possible that a transient on the bus lines may interfere in the same way with the data being transferred simultaneously. Consequently, and as shown in Fig. 2, the two memories are addressed in a addressed in a sequential manner. For example, all sequential bytes of a message may first be applied to or received from the same memory, ie, memory 1. After transferring that message with respect to the first memory, the same message is then transferred with respect to the second memory. It is of course understood that the term "byte" used here refers to data of a length equal to the number of data lines connected to each memory.

Um die zum Aktualisieren oder zum Lesen des Speichers erforderliche Zeit zu reduzieren, kann jeder Speicher gleichzeitig aktualisiert oder gelesen werden, aber mit unterschiedlichen Daten, die zu jedem Zeitpunkt an jeden Speicher oder von jedem Speicher übertragen werden, so wie in Fig. 3 dargestellt.To reduce the time required to update or read the memory, each memory can be updated or read simultaneously, but with different data transferred to or from each memory at any given time, as shown in Fig. 3.

Die Fig. 2 und 3 zeigen somit zwei Techniken zum Minimieren des Auftretens von nichterfaßbaren Fehlern, die die Folge des Auftretens beispielsweise von transienten Impulsen sind. Es ist ersichtlich, daß es unwahrscheinlich ist, daß die gleiche Interferenz mit sequentiell übertragenen Daten auftritt.Figures 2 and 3 thus show two techniques for minimizing the occurrence of undetectable errors resulting from the occurrence of, for example, transient pulses. It can be seen that the same interference is unlikely to occur with sequentially transmitted data.

In einer noch weiteren Ausführungsform der Erfindung können die Daten in den zwei Speichern in einer unterschiedlichen Form gespeichert werden. Beispielsweise können die Daten, die in einem oder beiden der Speicher gespeichert sind, codiert werden, um weiter das Auftreten von Fehlern zu minimeren, die durch einen Vergleich der in den beiden Speichern gespeicherten Daten nicht detektierbar sind. Beispielsweise kann, wie in Fig. 4 dargestellt, ein Codierer/Decoder 30 verwendet werden, um die Daten zu codieren und zu decodieren, die in dem Direktzugriffsspeicher 20 gespeichert sind und an den Datenbus 23 angelegt oder davon empfangen werden. Ein Codierer/Decoder 31 kann optional vorgesehen werden, um Daten in dem Direktzugriffsspeicher 21 zu codieren und zu decodieren. Wenn ein derartiger zusätzlicher Codierer/Decoder verwendet wird, wird bevorzugt, daß er eine unterschiedliche Codierung als diejenige des Codierers/Decoders 30 aufweist.In yet another embodiment of the invention, the data in the two memories may be stored in a different form. For example, the data stored in one or both of the memories may be encoded to further minimize the occurrence of errors that are not detectable by comparing the data stored in the two memories. For example, as shown in Figure 4, an encoder/decoder 30 may be used to encode and decode the data stored in the random access memory 20 and applied to or received from the data bus 23. An encoder/decoder 31 may optionally be provided to encode and decode data in the random access memory 21. decode. If such an additional encoder/decoder is used, it is preferred that it have a different coding than that of the encoder/decoder 30.

Es versteht sich natürlich von selbst, daß die Programme des Mikrocomputers geeignete Unterprogramme aufweisen, um zu bestimmen, welcher Speicher die höhere Wahrscheinlichkeit einer Richtigkeit aufweist, wenn ein Vergleich der Daten eine fehlende Übereinstimmung aufzeigt. Zusätzlich können weitere Routinen vorgesehen sein, nämlich für den Fall einer Unmöglichkeit des Systems, zu bestimmen, welche der Dateneinträge fehlerfrei sind, um eine Fehleranzeige bereitzustellen, die einen weiteren Betrieb des Systems sperrt.It goes without saying, of course, that the microcomputer programs include appropriate subroutines to determine which memory has the higher probability of being correct when a comparison of the data reveals a mismatch. In addition, further routines may be provided, namely, in the event of an inability of the system to determine which of the data entries are error-free, to provide an error indication which will disable further operation of the system.

In der Ausführungsform der Erfindung, die in den Fig. 2 und 3 dargestellt ist, werden die zwei Speicher unter der Steuerung eines festen Programms adressiert, welches beispielsweise auf einen bestimmten Zustand des Systems anspricht. Infolgedessen existiert notwendigerweise ein bestimmter Zusammenhang zwischen den Adressierungszeiten für die zwei Speicher. Als eine weitere Modifikation, wenn getrennte Speichereinheiten bereitgestellt sind, kann jede Speichereinheit so ausgeführt werden, daß sie unabhängig auf bestimmte Bedingungen anspricht. Wenn beispielsweise das Abrechnungssystern wie in Fig. 1 dargestellt zum Bilden einer Frankiermaschine verbunden ist, können die zwei Speicher unabhängig auf jede Rückkopplung einer Druckereinstellung ansprechen, um die getrennten Speicher zu aktualisieren, wobei ein Überschreibe-Unterprogramm zur Querüberprufung vorgesehen ist, d.h. zum Vergleichen der in den beiden Speichern gespeicherten Daten. Die unabhängige Steuerung kann beispielsweise in der Form eine Speichersteuereinrichtung sein. Indem somit die zwei Speichereinheiten unabhängig voneinander betreibbar aufgebaut sind, sind die Chancen eines größeren fehlerfreien Betriebs wesentlich verbessert.In the embodiment of the invention shown in Figures 2 and 3, the two memories are addressed under the control of a fixed program which responds, for example, to a particular state of the system. Consequently, there is necessarily a certain relationship between the addressing times for the two memories. As a further modification, if separate memory units are provided, each memory unit can be made to respond independently to certain conditions. For example, if the accounting system is connected as shown in Figure 1 to form a postage meter, the two memories can respond independently to any printer setting feedback to update the separate memories, with an override subroutine provided for cross-checking, i.e. comparing, the data stored in the two memories. The independent control can, for example, be in the form of a memory controller. By designing the two storage units to operate independently of each other, the chances of greater error-free operation are significantly improved.

Um einen geeigneten Betrieb sicherzustellen und um die Integrität der darin gespeicherten Abrechnungsinformation zu gewährleisten sind elektronische Frankiermaschinen mit einer Vielzahl von Sensoren ausgerüstet, beispielsweise die Sensoren 50, 51 und 52, die in Fig. 1 mit der Zentralverarbeitungseinheit 10 gekoppelt dargestellt sind. Diese Sensoren können zum Überprüfen einer Anzahl von Zuständen innerhalb der Maschine verwendet werden, beispielsweise der Position eines Verschlußstabs, der den Betrieb der Maschine blockiert, die Positionen von verschiedenen Zwischenteilen, die den Betrieb der Frankiermaschine steuern, und verschiedene andere Zustandssensoren, beispielsweise Temperatur und Feuchtigkeit. In nicht-elektronischen Frankiermaschinen des Typs, der Mikroprozessoren zur Steuerung verwendet, wie beispielsweise in dem US-Patent 3,978,457 offenbart, können bestimmte dieser Sensoren durch eine Softwareroutine bei der anfänglichen Anlegung einer Energie an die Maschine abgefragt werden. Die Positionen der verschiedenen Verschlußstäbe und Zwischenteile können beispielsweise ebenfalls durch Softwareroutinen bestimmt werden, die durch verschiedene extern verursachte Zustände initiiert werden, beispielsweise manuell gesteuerte Betriebsvorgänge zum Initiieren des Portodrucks. Die Fehlerüberprüfungsroutinen zum Überprüfen derartiger Sensoren und außerdem zum Überprüfen von zusätzlichen Bedingungen, beispielsweise der Richtigkeit der in den Speichern gespeicherten Daten, werden somit nur dann ausgeführt, wenn dies spezifisch im Ansprechen auf extern stimulierte Vorgänge angefordert wird. Obwohl ein Zustand zwischen Betriebsvorgängen der Frankiermaschine aufgetreten sein kann, der schließlich verursachen würde, daß sie ihren Betrieb abbricht (d.h. bei dem nächsten Aufruf zum Portodruck), kann somit die Maschine extern in täuschender Weise noch betreibbar erscheinen.To ensure proper operation and to ensure the integrity of the accounting information stored therein, electronic postage meters are equipped with a variety of sensors, such as sensors 50, 51 and 52 shown coupled to central processing unit 10 in Figure 1. These sensors may be used to monitor a number of conditions within the machine, such as the position of a shutter bar blocking operation of the machine, the positions of various intermediate parts controlling operation of the postage meter, and various other condition sensors such as temperature and humidity. In non-electronic postage meters of the type using microprocessors for control, such as disclosed in U.S. Patent 3,978,457, certain of these sensors may be interrogated by a software routine upon initial application of power to the machine. The positions of the various shutter bars and intermediate parts may also be determined, for example, by software routines initiated by various externally induced conditions, such as manually controlled operations to initiate postage printing. The error checking routines for checking such sensors and also for checking additional conditions, such as the correctness of the data stored in the memories, are thus only executed when specifically requested in response to externally stimulated events. Thus, although a condition may have occurred between operations of the franking machine which would eventually cause it to cease operation (i.e. on the next call for postage printing), the machine may deceptively still appear to be operable externally.

Gemäß einem weiteren Merkmal des Systems überprüft ein Programm für den Mikroprozessor die Register des Direktzugriffsspeichers sowie die verschiedenen Sensoren, die optische Schalter sein können, und alle anderen Indikatoren kritischer Daten zu regelmäßigen Zeiten während des Ablaufs eines Betriebs der Frankiermaschine, anstelle diese Parameter einfach beim Start der Maschine und nicht durch externe stimulierte Vorgänge aufgerufen zu überprüfen. Indem somit periodische Überprüfungen vorgesehen werden, wird die Möglichkeit eines fehlerfreien Betriebs noch weiter beträchtlich verbessert. Mit anderen Worten, die Hauptroutine der Frankiermaschine, an die sie immer nach Abschluß beispielsweise eines Portodruckbetriebs zurückkehrt, umfaßt Softwareroutinen, die periodisch kritische Parameter überprüfen, beispielsweise die geeignete Positionierung von mechanischen Elementen in der Maschine und den richtigen Vergleich von Daten in den Speichern, sowie die Richtigkeit der Daten gemäß Steuersummendaten. Diese Technik ermöglicht die zusätzliche vorteilhafte periodische Überprüfung von weiteren angebrachten Sensoren, die beispielsweise zum Erfassen einer mechanischen Verletzung der Sicherheit des Gehäuses angebracht sind.According to another feature of the system, a program for the microprocessor checks the registers of the direct access memory, as well as the various sensors, which may be optical switches, and any other indicators of critical data, at regular times during the course of an operation of the franking machine, instead of simply checking these parameters at start-up of the machine and not called upon by externally stimulated events. By thus providing for periodic checks, the possibility of error-free operation is still further considerably improved. In other words, the main routine of the franking machine, to which it always returns upon completion of, for example, a postage printing operation, comprises software routines which periodically check critical parameters, such as the appropriate positioning of mechanical elements in the machine and the correct comparison of data in the memories, as well as the correctness of the data according to tax total data. This technique enables the additional advantageous periodic checking of other attached sensors, such as those attached to detect a mechanical breach of the security of the housing.

Für diesen Zweck können, wie in Fig. 5 dargestellt, die Sensoren 50, 51 und 52 angeschlossen sein, um eine Vielzahl von Stufen eines Schieberegisters 55 einzustellen. Es versteht sich natürlich von selbst, daß die Anzahl derartiger Sensoren größer als die dargestellte Anzahl drei sein kann. Das Schieberegister 55 ist mit der Adresse gekoppelt und wird von der Zentralverarbeitungseinheit 10 zu bestimmten Zeiten in dem Hauptprogramm ausgelesen. Ein codiertes Bitmuster ist in dem Nur-Lese-Speicher 11 entsprechend der richtigen fehlerfreien Bedingungen der Sensoren vorgesehen. Zu Zeiten während des Ablaufs des Programms, wenn die Sensoren getestet werden sollen, schiebt das Schieberegister unter der Steuerung der Zentralverarbeitungseinheit das existierende Bitmuster zum Vergleich mit dem gespeicherten Bitmuster in dem Nur-Lese-Speicher 11 heraus. Somit können der Status der verschiedenen Sensoren in der Maschine kontinuierlich bestimmt werden, so daß die Maschine gesperrt werden kann, sobald ein Zustand existiert, der die Integrität der Maschine bedroht.For this purpose, as shown in Fig. 5, the sensors 50, 51 and 52 may be connected to set a plurality of stages of a shift register 55. It will of course be understood that the number of such sensors may be greater than the three shown. The shift register 55 is coupled to the address and is read out by the central processing unit 10 at certain times in the main program. A coded bit pattern is provided in the read-only memory 11 corresponding to the correct error-free conditions of the sensors. At times during the execution of the program when the sensors are to be tested, the shift register, under the control of the central processing unit, shifts out the existing bit pattern for comparison with the stored bit pattern in the read-only memory 11. Thus, the status of the various sensors in the machine can be continuously so that the machine can be locked as soon as a condition exists that threatens the integrity of the machine.

Das Schieberegister kann natürlich unter der Steuerung des Mikroprozessors durch eine herkömmliche Taktquelle des Systems verschoben werden. Alternativ kann das Schieberegister gemäß einem bestimmten einzigartigen Muster vorprogrammiert sein, so daß der Ausgang des Schieberegisters mit einem vorgegebenen "guten" Zustand verglichen werden kann. Die Information, die von einem acht oder sechzehn Bitmustercode verfügbar ist, kann gemäß dieser Ausführungsform der Erfindung somit einen sehr großen Raffiniertheitsgrad für die Bestimmung irgendeiner geeigneten Fehlerüberprüfung für Diagnosezwecke unter Verwendung von Signaturanalysetechniken bereitstellen. Diese Form von Fehlerüberprüfung kann verschiedenen Systembeschränkungen sowohl fur eine Diagnose als auch für eine mögliche Fehlerkorrektur auf einer automatischen Basis auferlegt werden.The shift register may, of course, be shifted under the control of the microprocessor by a conventional system clock source. Alternatively, the shift register may be pre-programmed according to a certain unique pattern so that the output of the shift register can be compared to a predetermined "good" condition. The information available from an eight or sixteen bit pattern code can thus, according to this embodiment of the invention, provide a very high level of sophistication for determining any appropriate error checking for diagnostic purposes using signature analysis techniques. This form of error checking can be imposed on various system constraints for both diagnosis and possible error correction on an automatic basis.

In dem in Fig. 1 dargestellten System, wie voranstehend diskutiert, kann die Druckeinheit 12 und die Steuereinheit 13 spezielle zugeordnete Mikroprozessoren zum Steuern der spezifischen Funktionen dieser Einheiten enthalten, wodurch die Verwendung eines speziell zugeordneten Systems für die Abrechnungseinheit mit der Zentralverarbeitungseinheit 10, dem Nur-Lese-Speicher 11 und Direktzugriffsspeichern 20 und 21 bereitgestellt wird. In weiteren Ausführungsformen der Erfindung kann in die Druckeinheit 12 ein Direktzugriffsspeicher 60 eingebaut sein und/oder die Steuereinheit 13 kann einen nichtflüchtigen Direktzugriffsspeicher 61 umfassen.In the system shown in Figure 1, as discussed above, the printing unit 12 and the control unit 13 may contain dedicated microprocessors for controlling the specific functions of those units, thereby providing the use of a dedicated system for the accounting unit comprising the central processing unit 10, the read-only memory 11 and random access memories 20 and 21. In further embodiments of the invention, the printing unit 12 may incorporate a random access memory 60 and/or the control unit 13 may include a non-volatile random access memory 61.

In einer weiteren Ausführungsform der Erfindung, wie in Fig. 6 dargestellt, sind die nichtflüchtigen Direktzugriffsspeicher 20, 21 des Abrechnungssystems untereinander mit getrennten Mikroprozessoren 60 und 61 gekoppelt, wobei jeder Mikroprozessor jeweils einen getrennten Nur-Lese-Speicher 62, 63 aufweist, um die Betriebsprogramme für die jeweiligen Mikroprozessoren zu speichern. Es ist natürlich selbstverständlich, daß in der Anordnung von Fig. 6 und außerdem in der Anordnung von Fig. 1 der Nur-Lese-Speicher sowie anderen Komponenten des Systems in die gleiche integrierte Schaltung wie der Mikroprozessor eingebaut sein können. Da die zwei Mikroprozessoren getrennt gesteuert werden und getrennte Adreß- bzw. Datenleitungen 64, 65 aufweisen, werden die zwei Direktzugriffsspeicher dadurch vollständig unabhängig gesteuert. Die zwei Mikroprozessoren kommunizieren getrennt mit der Steuereinheit 13 und dem Drucker 82 mittels getrennter Wählerschalter 70 und 71, die von den jeweiligen Mikroprozessoren 60 und 61 adressiert werden. Infolgedessen kann jeder der Mikroprozessoren Signale von dem Drucker und der Steuereinheit empfangen und jeder von diesen kann ebenfalls Nachrichten übertragen. Zusätzlich können die Daten, die in den zwei Mikroprozessoren verarbeitet werden, mittels eines Datenhaltespeichers 72 verglichen werden, der von beiden Mikroprozessoren steuerbar ist.In a further embodiment of the invention, as shown in Fig. 6, the non-volatile random access memories 20, 21 of the accounting system are coupled to each other by separate microprocessors 60 and 61, each microprocessor having a separate read-only memory 62, 63 for storing the operating programs for the respective microprocessors. It will of course be understood that in the arrangement of Fig. 6 and also in the arrangement of Fig. 1, the read-only memory and other components of the system may be incorporated into the same integrated circuit as the microprocessor. Since the two microprocessors are separately controlled and have separate address and data lines 64, 65, respectively, the two random access memories are thereby controlled completely independently. The two microprocessors communicate separately with the controller 13 and the printer 82 by means of separate selector switches 70 and 71 addressed by the respective microprocessors 60 and 61. As a result, each of the microprocessors can receive signals from the printer and the controller and each of these can also transmit messages. In addition, the data processed in the two microprocessors can be compared by means of a data holding memory 72 which can be controlled by both microprocessors.

In der Anordnung von Fig. 6 werden Eingangsdaten, die beispielsweise von der Tastatur 73 oder einer anderen mit der Steuereinheit 13 gekoppelten Peripheneeinrichtung empfangen werden, mittels der Optokoppler 15 und 16 und der Wählschalter 70 und 71 an die zwei Mikroprozessorsysteme angelegt. Alternativ können die Daten natürlich den zwei Mikroprozessoren im Ansprechen auf ein Interrupt-Signal eingegeben werden. Die zwei Mikroprozessoren führen im Ansprechen auf die eingegebene Information die erforderlichen Abrechnungsprozeduren unabhängig voneinander aus, und zwar hinsichtlich der in den jeweiligen Direktzugriffsspeichern gespeicherten Daten. Die Programme der zwei Mikroprozessoren ermöglichen einen Austausch von Abrechnungsdaten zum Vergleich, beispielsweise auf einer Konkurrenzbasis mittels des Datenhaltespeichers 72. Die Programme der zwei Mikroprozessoren können beispielsweise nur einen der Mikroprozessoren freigeben, um die mit der Steuereinheit 13 gekoppelte Anzeige 75 zu steuern und/oder den Drucker 82 zu steuern. Alternativ kann natürlich eine redundante Steuerung verwendet werden, wobei die Steuerung einer Druckerfunktion oder die Steuerung einer Anzeige das gemeinsame Auftreten der Ausgabefunktion von den zwei Mikroprozessoren erfordern kann. Dies kann beispielsweise in der Weise ausgeführt werden, die in der US-Patentanmeldung mit der Seriennummer 089,413, eingereicht am 30. Oktober 1979 und dem Inhaber der vorliegenden Anmeldung übertragen, offenbart ist, nämlich indem ein Paar von in Reihe geschalteten Transistoren getrennt von den zwei Mikroprozessoren gesteuert wird, wodurch der gemeinsame Ausgang der in Reihe geschalteten Transistoren die gewünschte Steuerung bewirkt. Es ist natürlich ersichtlich, daß andere Techniken für diesen Zweck verwendet werden können.In the arrangement of Fig. 6, input data received from, for example, the keyboard 73 or other peripheral device coupled to the control unit 13 is applied to the two microprocessor systems by means of the optocouplers 15 and 16 and the selector switches 70 and 71. Alternatively, of course, the data may be input to the two microprocessors in response to an interrupt signal. The two microprocessors, in response to the input information, carry out the necessary accounting procedures independently of each other with respect to the data stored in the respective random access memories. The programs of the two microprocessors enable an exchange of accounting data for comparison, for example on a competitive basis by means of of the data hold memory 72. The programs of the two microprocessors may, for example, enable only one of the microprocessors to control the display 75 coupled to the controller 13 and/or to control the printer 82. Alternatively, of course, redundant control may be used, wherein control of a printer function or control of a display may require the joint performance of the output function by the two microprocessors. This may be accomplished, for example, in the manner disclosed in U.S. Patent Application Serial No. 089,413, filed October 30, 1979 and assigned to the assignee of the present application, namely, by controlling a pair of series-connected transistors separately from the two microprocessors, whereby the common output of the series-connected transistors provides the desired control. It will of course be appreciated that other techniques may be used for this purpose.

Die Anordnung aus Fig. 6 erhöht dadurch die Redundanz des Systems, so daß selbst ein Fehler in einem Mikroprozessor mit einer hohen Zuverlässigkeit die Bestimmung des Auftretens eines Fehlerzustands, der das Sperren der Maschine erfordern kann, ermöglichen wird.The arrangement of Fig. 6 thereby increases the redundancy of the system so that even a fault in a microprocessor will enable with a high degree of reliability the determination of the occurrence of a fault condition which may require the machine to be locked out.

In dem System aus Fig. 6 ist die Druckereinheit vollständiger dargestellt, so wie sie einen Mikroprozessor 80 umfaßt, der mit den Optokopplern 17 und 18 gekoppelt ist und einen Druckeinsteller 81 steuert. Der Druckeinsteller 81 stellt die Druckräder in einem Drucker 82 ein, wobei die Einstellung der Druckräder mittels eines Rückkopplungspfads 83 an den Mikroprozessor 80 zurückgekoppelt wird. Diese Rückkopplung ermöglicht der Druckereinheit, zu bestimmen, wenn ein Fehler bei der Einstellung der Druckräder aufgetreten ist, und um dadurch die Maschine im Fall einer fehlerhaften Einstellung zu sperren. Die zurückgeführte Einstellung kann von dem Mikroprozessor 80 auf die Optokoppler 17 und 18 angewendet werden, wodurch den zwei Mikroprozessoren in dem Abrechnungssystem ermöglicht wird, getrennt auf die Rückkopplungssignale anzusprechen, um das zu druckende Porto abzurechnen.In the system of Fig. 6, the printer unit is shown more fully as including a microprocessor 80 coupled to the optocouplers 17 and 18 and controlling a print adjuster 81. The print adjuster 81 adjusts the print wheels in a printer 82, the adjustment of the print wheels being fed back to the microprocessor 80 by means of a feedback path 83. This feedback enables the printer unit to determine when an error has occurred in the adjustment of the print wheels and thereby to disable the machine in the event of an incorrect adjustment. The fed back adjustment can be applied by the microprocessor 80 to the optocouplers 17 and 18. which allows the two microprocessors in the accounting system to respond separately to the feedback signals to account for the postage to be printed.

Es ist natürlich offensichtlich, daß geeignete Steuerleitungen vorgesehen sind, die mit dem Mikroprozessor und den Direktzugriffsspeichern in der herkömmlichen Weise verbunden sind, um die Systeme zu steuern.It will of course be obvious that appropriate control lines are provided, connected to the microprocessor and the random access memories in the conventional manner, to control the systems.

Die Funktion einer Sperrung der Maschine kann in den dargestellten Ausführungsformen bewirkt werden, indem unter einer Programmsteuerung ein Betrieb der mechanischen Elemente der Maschine gesperrt wird. Alternativ kann die Existenz eines Fehlers, der ein Sperren der Maschine erfordert, die Routinen des Mikroprozessors anweisen, eine Endlosschleife auszuführen. Fehler, die ein Sperren der Maschine nicht erfordern, können unter der Steuerung des Mikroprozessors mittels der Anzeige 73, die mit der externen Steuereinheit gekoppelt ist, angezeigt werden.The function of locking the machine can be effected in the illustrated embodiments by locking, under program control, operation of the mechanical elements of the machine. Alternatively, the existence of a fault requiring locking of the machine can instruct the microprocessor routines to execute an infinite loop. Faults not requiring locking of the machine can be displayed under the control of the microprocessor by means of the display 73 coupled to the external control unit.

Somit sind gemäß einem Aspekt des Systems redundante nichtflüchtige Speicher in der Abrechnungseinheit einer elektronischen Frankiermaschine vorgesehen, wobei die Abrechnungseinheit einen Mikroprozessor aufweist, der zum Speichern von Abrechnungsdaten redundant in den zwei Speichern gesteuert wird. Um die Möglichkeit von nicht detektierbaren Fehlern zu minimieren, sind die zwei redundanten Speicher untereinander mit dem Mikroprozessor, d.h. dem Mikrocomputerbus, mittels völlig getrennter Gruppen von Daten- und Adreßleitungen verbunden. Als Folge der vollständigen Trennung der Adressierung und der Daten führen verschiedene Fehlerzustände, beispielsweise das Kurzschließen eines Paars von Adreßleitungen, nicht zu der fehlerhaften Adressierung beider Speicher. Demzufolge führt unter derartigen Bedingungen das Kurzschließen eines Paars von Adreßleitungen nicht zu der Speicherung der gleichen Daten in beiden Speichern, so daß ein Vergleich der gespeicherten Daten zu der Erfassung des Fehlerzustands führen wird.Thus, according to one aspect of the system, redundant non-volatile memories are provided in the accounting unit of an electronic postage meter, the accounting unit having a microprocessor which is controlled to store accounting data redundantly in the two memories. In order to minimize the possibility of undetectable errors, the two redundant memories are interconnected to the microprocessor, i.e. the microcomputer bus, by means of completely separate sets of data and address lines. As a result of the complete separation of addressing and data, various error conditions, for example short-circuiting of a pair of address lines, do not result in the erroneous addressing of both memories. Accordingly, under such conditions, short-circuiting of a pair of address lines does not result in the storage of the same data in both memories, so that a comparison of the stored data will lead to the detection of the error condition.

Gemäß einer anderen Ausführungsform der Erfindung werden entsprechende Daten redundant an die redundanten Speicher zu verschiedenen Zeiten gelegt. Dies kann durchgeführt werden, indem die Daten sequentiell an die beiden Speicher getrennt angelegt werden. Alternativ können die Daten gleichzeitig auf die zwei Speicher angewendet oder davon zurückgewonnen werden, wobei die Daten in jedem Fall in bezug auf die zwei Speicher entsprechend einer unterschiedlichen Information übertragen werden. Infolgedessen ist es unwahrscheinlich, daß plötzlich auftretende transiente Störvorgänge auf den Übertragungsleitungen die in den beiden Speichern gespeicherten entsprechenden Daten in der gleichen Weise beeinträchtigen werden. Dieses System minimiert dadurch die Möglichkeit von nichtdetektierbaren und/oder nichtkorrierbaren Fehlern, die sich aus derartigen transienten Störvorgängen ergeben.According to another embodiment of the invention, corresponding data is redundantly applied to the redundant memories at different times. This can be done by applying the data sequentially to the two memories separately. Alternatively, the data can be applied to or retrieved from the two memories simultaneously, with the data in each case being transferred in accordance with different information with respect to the two memories. As a result, it is unlikely that suddenly occurring transient disturbances on the transmission lines will affect the corresponding data stored in the two memories in the same way. This system thereby minimizes the possibility of undetectable and/or uncorrectable errors resulting from such transient disturbances.

Gemäß einer weiteren Ausführungsform der Erfindung kann die Redundanz des Abrechnungssystems erhöht werden, indem ebenfalls redundante Mikroprozessoren zum Steuern der zwei Speicher verwendet werden.According to a further embodiment of the invention, the redundancy of the accounting system can be increased by also using redundant microprocessors to control the two memories.

Um noch weiter die Möglichkeit eines Portodrucks ohne eine Abrechnung zu minimieren, kann das Programm des Mikroprozessors auf das periodische Testen von verschiedenen kritischen Parametern innerhalb des Mikroprozessors als Teil einer Hauptrroutine gerichtet werden&sub1; wobei die Testroutine nur soweit erforderlich während eines herkömmlichen Portodruckbetriebs, beispielsweise dem Drucken von Porto und einer Abrechnung dafür, unterbrochen wird. Infolgedessen ermöglicht die Routine der Frankiermaschine das kontinuierliche Testen von derartigen Parametern, so daß die Frankiermaschine gesperrt werden kann, sobald ein Zustand existiert, der die Integrität der Abrechnungsdaten bedroht.To further minimize the possibility of postage printing without an accounting, the microprocessor program can be directed to periodically test various critical parameters within the microprocessor as part of a main routine, with the test routine only interrupted as necessary during conventional postage printing operations, such as printing postage and accounting for it. As a result, the routine allows the postage meter to continuously test such parameters so that the postage meter can be disabled whenever a condition exists that threatens the integrity of the accounting data.

Die Fehlerüberprüfung auf einer periodischen Basis kann nicht nur die physikalischen Parameter testen, beispielsweise Positionen von verschiedenen mechanischen Elementen, sondern sie kann auch den Vergleich der in den zwei Speichern gespeicherten Daten ausführen und außerdem Steuersummenüberprüfungen durchführen, um zu bestimmen, ob sich die in jedem Speicher gespeicherten Daten gemäß bestimmter Zusammenhänge befinden.Error checking on a periodic basis can not only test the physical parameters, such as positions of various mechanical elements, but it can also perform comparison of the data stored in the two memories and also perform control sum checks to determine whether the data stored in each memory is in accordance with certain relationships.

Andere Typen von Speichern können natürlich anstelle eines RAMS verwendet werden, beispielsweise ein serieller Speicher.Other types of memory can of course be used instead of RAM, for example serial memory.

Während die Erfindung unter Bezugnahme auf eine begrenzte Anzahl von Ausführungsformen offenbart und beschrieben worden ist, ist es offensichtlich, daß Veränderungen und Modifikationen darin durchgeführt werden können, nämlich gemäß EPC Artikel 69 und seinem Protokoll.While the invention has been disclosed and described with reference to a limited number of embodiments, it will be obvious that changes and modifications can be made therein, namely in accordance with EPC Article 69 and its Protocol.

Claims

1. An electronic postage meter comprising: a printing device (80, 81, 82); a first and a second microprocessor (60, 61); a first and a second accounting memory (20, 21) connected to be separately controlled by the first and second microprocessors, the first and second microprocessors having program routines for separately updating their respective accounting memories for accounting for the printing of postage by the printing device by encoding the stored data differently in each accounting memory; and a means for comparing the accounting results in the first and second accounting memories to disable the postage meter in the event of a mismatch of data in the first and second accounting memories.

2. Machine according to claim 1, characterized in that the printing device comprises a further microprocessor (80) which has a postage printing program for controlling a printing process of the franking machine.