Verfahren zum Steuern und Überwachen eines brennstoffbeheizten Gerätes unter Verwendung zumindest eines Mikrocomputersystems und Vorrichtung zur Durchführung des Verfahrens

Beschreibung

[0001] Die vorliegende Erfindung bezieht sich auf ein Verfahren zum Steuern und Überwachen eines brennstoffbeheizten Gerätes, insbesondere eines Umlaufwasserheizers, und auf eine Vorrichtung zur Durchführung des Verfahrens gemäß dem Oberbegriff des Patentanspruches 1 bzw. 6.

[0002] Aus der EP-A1-0073 717 ist es bekannt, einen Umlaufwasserheizer mit einem Mikrocomputer zu steuern. Bei diesem Umlaufwasserheizer handelt es sich um einen von einem atmosphärischen Gasbrenner gesteuerten Wärmetauscher, wobei die Abgase nach Passieren des Wärmetauschers von einem Ventilator abgesaugt werden. Der Umlaufwasserheizer weist ein Magnetventil zum Steuern der Gaszufuhr auf, eine Sicherheitseinrichtung zum Überwachen des Magnetventils, ein Vorrang-Umschaltventil zum Verbinden des von dem Brenner beheizten Wärmetauschers einmal mit einem Durchlauferhitzer zum Bereiten warmen Gebrauchswassers und zum Verbinden des Wärmetauschers mit einer Heizungsanlage, weiterhin eine Zirkulationspumpe, eine Zündeinrichtung und einen Meßwertaufnehmer zum Erfassen von Temperaturen, Wasser- und Luftdurchsatz und der Arbeitsweise. Über den Mikrocomputer erfolgt die Meßwertaufnahme, Meßwertverarbeitung und das Ansteuern der Stellglieder des Umlaufwasserheizers.

[0003] Das Verhalten eines Mikrocomputers im Fehlerfall ist wegen seiner Komplexität im Gegensatz zu herkömmlichen Bauteilen, zum Beispiel Widerstand, Relais, Transistor oder Diode, nicht mehr abzuschätzen. Daher sind beim Einsatz eines Mikrocomputers in sicherheitsrelevanten Bereichen - wie aus der EP-A2-0 308 831 und der GB-A-2 139 782 bekannt - zusätzliche Überwachungseinrichtungen erforderlich, die alle möglichen Fehler des Mikrocomputers erkennen und ein sicheres Abschalten beziehungsweise verriegelndes Abschalten des Gerätes bewirken. Bekannt sind weiterhin in der EP-A1-0 315 042 und der EP-A1-0 315 053 beschriebene zweikanalig aufgebaute Mikrocomputersysteme, in denen sich beide Mikrocomputer gegenseitig überwachen und die jedoch nur zum Stand der Technik gemäß Artikel 54(3) EPÜ gehören.

[0004] Als brennstoffbeheiztes Gerät ist jedwedes mit Gas oder Öl oder festen Brennstoffen befeuertes Heizgerät anzusehen, sei es ein Raumheizer, eine Luftheizungsanlage, ein Erhitzer für warmes Brauchwasser, ein Umlaufwasserheizer zum Speisen einer Zentralheizung mit gegebenenfalls paralleler Brauchwasserbereitung und ein Kessel.

[0005] Mikrocomputersysteme wie nach dem Stand der Technik geben ihre Signale auf sogenannte Endstufen, die als Strom- oder Spannungsverstärker ausgebildet sind und die die Stellglieder des brennstoffbeheizten Gerätes ansteuern. Dies sind zum Beispiel Treibertransistoren für Magnet- oder Umschaltventile, eine Phasenanschnitt- oder Pulspausenbeziehungsweise Impulspaketsteuerung für die Pumpe oder den Abgasventilator und dergleichen.

[0006] Der vorliegenden Erfindung liegt die Aufgabe zugrunde, ein Verfahren zum Steuern und Überwachen für ein brennstoffbeheiztes Gerät anzugeben, bei dem das Gerät in Abhängigkeit von der sicherheitstechnischen Relevanz abgeschaltet wird, wenn auf irgendeine Art und Weise eine Störung erkannt wird oder eine solche anzunehmen ist. Dabei sind insbesondere auch Fehler des zweikanalig aufgebauten Mikrocomputersystems zu berücksichtigen.

[0007] Die Lösung der Aufgabe liegt in den kennzeichnenden Merkmalen des Verfahrensanspruchs.

[0008] Weiter bezieht sich die vorliegende Erfindung auf eine Vorrichtung zur Durchführung dieses Verfahrens.

[0009] Es ist bekannt, einem Umlaufwasserheizer einen Vorlauftemperaturbegrenzer zuzuordnen, der bei Überschreiten eines bestimmten Grenzwertes der Vorlauftemperatur das Gerät verriegelnd abschaltet. Das bedeutet, daß bei der nächsten Regeleinschaltung das Gerät nicht mehr in Betrieb geht, vielmehr muß der Kundendienst gerufen werden, der mit einem Werkzeug die Verriegelung aufhebt. Der Nachteil für den Benutzer liegt auf der Hand, eine Wärmelieferung für Heizungs- oder Brauchwasserzapfbetrieb ist in dieser Zeit nicht möglich. Um diesen Nachteil so klein wie möglich zu halten, hat man bisher die Begrenzerabschalttemperatur relativ hochgelegt, so daß sie etwa in den Bereich der beginnenden Dampfentwicklung zu liegen kam.

[0010] Je höher die Begrenzerabschalttemperatur liegt, um so weniger ist der Sicherheitsaspekt gewährleistet, da ja bereits bei einer möglichst niedrigen außergewöhnlichen Temperatur die Abschaltung erfolgen soll.

[0011] Demgemäß ist es Aufgabe der vorliegenden Erfindung, die Begrenzerabschalttemperatur zu senken, zugleich aber eine Wärmelieferung trotz entstehender Nachwärme zuzulassen, wenn der Temperaturerhöhungszustand voraussichtlich nur zweitweise aufgrund der Nachwärme besteht. Als Nachwärme ist die Auswirkung der Speicherwärme anzusehen, die nach dem Betriebsschluß des Gerätes im vom Brenner beheizten Primärwärmetauscher auftritt. Im Fall der Brauchwasserzapfung ist der Wärmtauscher auf einen Sekundär-Brauchwasser-Wärmetauscher geschaltet, so daß die Wärme zunächst vom Abgas auf das Heizungssystem im Primärwärmetauscher übertragen wird, dann vom Heizungssystem auf das Brauchwasser im Sekundärwärmetauscher. Ein Öffnen und Schließen des Zapfventils wird über einen Wasserschalter erkannt, der bei Brauchwasserzapfung in Betrieb geht und den Brenner und die Umlaufpumpe zum Einschalten bringt. Damit ist es möglich, daß der Primärwärmetauscher beheizt wird und daß andererseits die Wärme vom Heizungswasser in den Brauchwasser-Wärmetauscher transportiert wird. Beim Schließen des Zapfventils erlischt der Brenner, gleichzeitig aber auch kommt die Pumpe zum Stillstand, da verhindert werden soll, daß warmes Heizungswasser - beispielsweise im Sommerbetrieb - in das Heizungssystem gelangt. Somit kommt das Wasser im Primärwärmetauscher zum Stehen, die hocherhitzten Lamellen des Wärmetauschers, insbesondere bei seiner Ausbildung als Edelstahl-Wärmetauscher, heizen aber das Wasser nach.

[0012] Die Lösung der Aufgabe erfolgt erfindungsgemäß durch die Merkmale der nebengeordneten Patentansprüche.

[0013] Weitere Ausgestaltungen und besonders vorteilhafte Weiterbildungen der Erfindung gehen aus den übrigen Unteransprüchen und der nachfolgenden Beschreibung hervor, die Ausführungsbeispiele der Erfindung anhand der Figuren 1 bis 5 der Zeichnung näher erläutert.

[0014] Es zeigen:

Figur 1 eine schematische Darstellung eines Umlaufwasserheizers,

Figur 2 eine Schaltungsanordnung und

Figur 3 die Sicherheitsabschalteinrichtung,

Figur 4 ein Prinzipschaltbild eines Umlaufwasserheizers und

Figur 5 eine logische Prinzipschaltung.

[0015] Hierbei bedeuten gleiche Bezugszeichen jeweils gleiche Einzelheiten.

[0016] Ein Kontroll-, Regel- und Überwachungssystem 1 ist über zwei Leitungen 2 und 3 mit einer Gassteuereinrichtung 4 verbunden, die in eine Gasleitung 5 zwischen einem Gasanschluß 6 und einem Gasbrenner 7 eingefügt ist. Dem Brenner 7 ist eine Zündelektrode 8 und ein Flammensensor 10 zugeordnet, wobei die Elektrode 8 über eine Leitung 9, der Flammensensor 10 über eine Leitung 11 mit dem Kontrollsystem 1 verbunden ist. Über dem Brenner 7 befindet sich ein Wärmetauscher 12 des dargestellten Umlaufwasserheizers. Der Wärmetauscher ist mit einer Vorlaufleitung 13 versehen, an die zwei Temperatursensoren 14 und 15 anliegen, die über Leitungen 16 und 17 mit dem Kontrollsystem 1 verbunden sind. Eine über eine Leitung 18 an das Kontrollsystem 1 angeschlossene mit einem Elektromotor versehene Pumpe 19 sorgt für eine Umwälzung des Heizungswassers über die Vorlaufleitung 13, die Rücklaufleitung 20, den Wärmetauscher 12 und das zu beheizende Heizungssystem 21.

[0017] Aus der Figur 2 geht der Aufbau des Kontroll-, Regel- und Überwachungssystems 1 hervor. Ein Mikrocomputersystem A mit dem Bezugszeichen 22 ist über eine Steuerleitung 23 a, 23 b und eine Rückmeldeleitung 24 mit einer Sicherheitsabschalteeinrichtung 28 verbunden. Ein zweites gleiches Mikrocomputersystem B mit dem Bezugszeichen 25 ist über eine Steuerleitung 26 a, 26 b und eine Rückmeldeleitung 27 mit der gleichen Sicherheitsabschalteeinrichtung 28 verbunden. Über eine bidirektionale Schnittstelle 29 können die Mikrocomputersysteme 22 und 25 Daten austauschen. Jedes Mikrocomputersystem besitzt ein Programm zur Selbstüberwachung, das Selbstüberwachungsmodul 30 beziehungsweise 31. Dem Mikrocomputersystem 22 ist eine zusätzliche Schaltung zur Laufzeitüberwachung, das Laufzeitüberwachungsmodul 32, zugeordnet, das auch über eine Leitung 33 auf die Sicherheitsabschalteinrichtung 28 wirkt. Die Sicherheitsabschalteinrichtung 28 wird über die Leitung 34 mit Spannung aus einem Netz oder einer Batterie versorgt. Alle Endstufen von Stellgliedern, die Gasventilendstufe 35, die Gasdurchsatz-Einstellendstufe 45, die Pumpenendstufe 36 und die Zündeinrichtung 37, werden von der Sicherheitsabschaltvorrichtung 28 über eine Leitung 38 mit Spannung versorgt. Die Gasventilendstufe 35 wird vom Mikrocomputersystem 22 über die Leitung 50, die Pumpenendstufe 36 vom Mikrocomputersystem 25 über die Leitung 51 und die Zündeinrichtung 37 vom Mikrocomputersystem 25 über die Leitung 52 angesteuert. Das Ausgangssignal der Gasventilendstufe 35 wird über eine Leitung 39 dem Mikrocomputersystem 22 und über eine Leitung 40 dem Mikrocomputersystem 25 zurückgemeldet. Der Zustand der Pumpenendstufe 36 und der Zündeinrichtung 37 werden über die Leitungen 46 beziehungsweise 47 dem Mikrocomputersystem 25 gemeldet. Die Gasventilendstufe 35 ist über die Leitung 2, die Pumpenendstufe 36 über die Leitung 18 und die Zündeinrichtung 37 über die Leitung 9 mit dem Umlaufwasserheizer verbunden. Über die Leitung 16 erhält das Mikrocomputersystem 22, über die Leitung 17 das Mikrocomputersystem 25 Informationen vom Umlaufwasserheizer. Das Signal der Leitung 11 wird vom Flammenwächter 41 aufbereitet und über die Leitungen 42 und 43 den Mikrocomputersystemen 22 und 25 zur Verfügung gestellt. Über die Eingänge 44 a und 44 b erhalten die Mikrocomputersysteme 22 und 25 zusätzliche für die Regelung und Steuerung notwendige Parameter, die hier allerdings nicht näher erläutert werden (Vorlauftemperatur-Regelung, Rücklauftemperatur-Regelung, Brauchwassertemperatur-Regelung und dergleichen). Über die Leitungen 48 a und 48 b sind beide Mikrocomputersysteme 22 und 25 mit dem Entstörtaster 49 verbunden. Dem Mikrocomputersystem 25 ist eine Endstufe zur Gasdurchsatzsteuerung 45 zugeordnet, die wiederum über die Leitung 3 mit der Gasstelleinrichtung 4 gekoppelt ist, welche ein Proportionalgasventil darstellt.

[0018] Figur 3 zeigt den Aufbau der Sicherheitsabschalteinrichtung 28. Die Leitungen 23 a, 26 a und 33 führen auf eine Verknüpfung 60, die Leitungen 23 b und 26 b auf eine weitere Verknüpfung 61. Ein Ausgang der Verknüpfung 60 steuert eine Wicklung eines Schließerrelais 62 a an. Die Verknüpfung 61 steuert eine Wicklung eines Öffnerrelais 63 a an. Die Leitung 34 ist mit einer Sicherung 64 verbunden, deren zweiter Pol an den ersten Pol des Schließerrelaiskontakts 62 b geführt ist. Der zweite Pol des Schließerrelaiskontakts 62 b ist mit dem ersten Pol des Öffnerrelaiskontakts 63 b und den Leitungen 24, 27 und 38 verbunden. Der zweite Pol des Öffnerrelaiskontakts 63 b liegt auf Masse. Parallel zu dem Kontakt des Schließerrelais 62 b ist ein Widerstand 65 geschaltet. An die dem Schließerrelaiskontakt 62 b abgewandte Seite der Sicherung 64 ist Versorgungsspannung 34 geführt.

[0019] Der in den Zeichnungen dargestellte Umlaufwasserheizer beziehungsweise das Steuerverfahren arbeitet wie folgt:

[0020] Das Kontroll-, Regel- und Überwachungssystem 1 besteht aus zwei selbständigen Mikrocomputersystemen 22 und 25, die die gleichen sicherheitsrelevanten, aber verschiedene nicht sicherheitsrelevante Aufgaben übernehmen. Zur ersteren zählen die Funktionen des Temperaturbegrenzers (die Temperatur an der Vorlaufleitung 13 darf einen bestimmten Wert nicht überschreiten), die Funktion des Feuerungsautomaten (nach Öffnen des Gasventils 4 muß nach Ablauf einer bestimmten Zeit, das ist die Sicherheitszeit, eine Flamme gemeldet werden, sonst erfolgt ein Schließen des Gasventils und eine Störungsmeldung), die Ansteuerung und Überwachung der Sicherheitszeit-Abschalteinrichtung 28 sowie die Überwachung von Störungszuständen. Durch zusätzliche Sensoren und Aktoren ist auch eine Überwachung auf Wassermangel (genug Wasserdurchsatz durch den Wärmetauscher 12), eine Überwachung der Luftzufuhr (ist ein ausreichender Luftdurchsatz durch den Brennschacht des Umlaufwasserheizers vorhanden, der dem eingestellten Gasdurchsatz entspricht), eine Überwachung auf Austreten des Abgases (oberhalb des Wärmetauschers befindet sich eine Strömungssicherung, wenn durch deren Öffnungen Abgas - außer in den Schornstein - austritt, ist der Umlaufwasserheizer stillzusetzen) sowie eine Überwachung einer eventuell vorhandenen Abgasklappe in der Abgasleitung zum Schornstein möglich. An nicht sicherheitsrelevanten Aufgaben erfüllt das Kontrollsystem 1 die Vorlauftemperaturregelung, eventuell auch eine Brauchwasser-Temperaturregelung oder eine Leistungsregelung für den Brenner. Durch zusätzliche Sensoren ist auch eine witterungsgeführte Vorlauf- oder Rücklauftemperaturregelung realisierbar.

[0021] Die Mikrocomputersysteme 22 und 25 tauschen die erfaßten Eingangsgrößen, also Flammenmeldung, Abgasaustritt, Vorlauftemperatur sowie die ermittelten Zwischen- und Ausgangsgrößen (notwendige Stellung des Gasventils oder Zünder in Betrieb) über die bidirektionale Schnittstelle 29 aus. Treten Widersprüche zwischen den Ergebnissen beider Mikrocomputersysteme auf, wird der Betrieb des Umlaufwasserheizers verhindert. Die sicherheitsrelevanten Eingangsgrößen, das ist einmal die Temperatur am Wärmetauscherausgang in der Vorlaufleitung 13, erfaßt von den Temperatursensoren 14 und 15, das Signal des Entstörtasters 49, die Rückmeldungen auf den Leitungen 24, 27 der Sicherheitsabschaltvorrichtung 28 und der Gasventilendstufe 39, 40 sowie das Signal des Flammenwächters 41 werden von beiden Mikrocomputersystemen 22 und 25 eingelesen. Zur Temperaturmessung am Wärmetauscherausgang werden deshalb zwei Temperatursensoren eingesetzt, weil diese kein fehlersicheres Verhalten besitzen. Das bedeutet, daß ein Ausfall mit Sicherheit spätestens während der nächsten Abschalt- oder Anlaufphase erkennbar wäre. Da die übrigen Eingangsgrößen 39, 40, 41 und 49 fehlersicher gewonnen werden, ist es möglich, diese beiden Mikrocomputersystemen zuzuführen, wobei allerdings für eine Entkopplung gesorgt werden muß. Die nicht sicherheitsrelevanten Eingangsgrößen, darunter zählen die Eingänge 44 a für das Mikrocomputersystem 22 und die Eingänge 44 b sowie für die Rückmeldesignale 46 und 47 für das Mikrocomputersystem B, werden jeweils von nur einem Mikrocomputersystem erfaßt. Die Gasventilendstufe 35, das ist die Endstufe, die direkt auf die Gasfreigabe wirkt, wird zwar vom Mikrocomputersystem 22 angesteuert, aber von beiden Mikrocomputersystemen 22 und 25 über die Rückmeldeleitungen 39 und 40 überprüft. Alle anderen Endstufen, die Pumpenendstufe 36, die Zündeinrichtung 37 und die Gasdurchsatzsteuerung 45 werden nur vom Mikrocomputersystem 25 angesteuert. Der Zustand der Pumpenendstufe 36 wird über die Leitung 37, der Zustand der Zündeinrichtung über die Leitung 47 überwacht. Das Laufzeitüberwachungsmodul 32 wird zyklisch vom Mikrocomputersystem 22 getriggert. Wenn die Triggerimpulse ausbleiben, wird der Betrieb des Umlaufwasserheizers verhindert. Die Selbstüberwachungsmodule 30 und 31 testen zyklisch die Komponenten, das sind löschbare und nicht löschbare Speicher, die Zentraleinheit des Mikrocomputers sowie die Ein- und Ausgabebeschaltung der Mikrocomputersysteme. Bei Ausfall einer dieser Komponenten wird der Betrieb des Umlaufwasserheizers verhindert. Beim Überschreiten der maximalen Temperatur am Wärmetauscherausgang oder bei Erreichen eines nach DIN 4788/3 (Flammenüberwachungseinrichtung) unerlaubten Zustandes wird der Betrieb des Umlaufwasserheizers verhindert. Der Betrieb des Umlaufwasserheizers wird durch Sperren aller Endstufen 35, 36, 37 und 45 und durch Abschalten der Sicherheitsabschaltvorrichtung 28 ber die Steuerleitung 23 a, 23 b, 26 a und 26 b verhindert. Mit Betätigen des Entstörtasters 49 können Störungen, die nicht durch einen Fehler im Steuergerät (1) hervorgerufen wurden, entstört werden, das heißt, der Betrieb ist anschließend wieder möglich.

[0022] Die Sicherheitsabschalteinrichtung 28 stellt den Endstufen 35, 36, 37 und 45 über den Relaisschließerkontakt 62 b die Versorgungsspannung zur Verfügung. Der Relaisschließerkontakt 62 b ist nur geschlossen, wenn beide Mikrocomputersysteme 22 und 25 über die Steuerleitungen 23 a und 26 a und die Laufzeitüberwachung 32 über die Leitung 33 ihre Freigabe geben. Mit dem Relaisöffnerkontakt 63 b, der nur öffnet, wenn er von beiden Mikrocomputersystemen 22 und 25 über die Steuerleitungen 23 b und 26 b angesteuert wird, kann die Versorgungsspannung 34 nach Masse kurzgeschlossen werden. Durch den Widerstand 65 kann bei geöffnetem Relaisschließerkontakt 62 b die Stellung des Relaisöffnerkontakts 63 b festgestellt werden. Bei normalem Einschalten der Sicherheitsabschalteinrichtung 28 wird der folgende Ablauf eingehalten. Das Ausschalten erfolgt durch Sperren (Passivsetzen) der Steuerleitungen 23 a, 26 a, 23 b und 26 b.

Tabelle des Ablaufs:

[0023] 

Steuerleitung	(23 a)	(23 b)	(26 a)	(26 b)
AUS	passiv	passiv	passiv	passiv
1. Schritt	passiv	aktiv	passiv	passiv
2. Schritt	passiv	passiv	passiv	aktiv
3. Schritt	aktiv	passiv	passiv	passiv
4. Schritt	passiv	passiv	aktiv	passiv
5. Schritt	passiv	aktiv	passiv	aktiv
EIN	aktiv	aktiv	aktiv	aktiv

[0024] In den Schritten 1 bis 5 dürfen die Rückmeldeleitungen 23 und 27 kein Signal melden, da sonst ein Fehler der Sicherheitsabschalteinrichtung 28, der Steuerleitungen 23 a, 23 b, 26 a und 26 b oder der Rückmeldeleitungen 23 und 27 vorliegt.

[0025] In Kombination mit der Sicherung 64 ergeben sich die folgenden beiden Aufgaben für den Relaisöffnerkontakt 63 b:

1. Bei einer Verschweißung des Relaisschließerkontaktes 62 b wird durch den oben beschriebenen Ablauf die Sicherung 64 zerstört.

2. Bei einem in der Anlaufphase der Sicherheitsabschalteinrichtung 28 festgestellten Fehler oder bei sicherheitskritischen Ausfällen des Systems, zum Beispiel Kurzschluß in der Gasventilendstufe 35, kann die Sicherung 64 definiert zerstört werden und damit die Inbetriebnahme des Umlaufwasserheizers ohne Zeitbegrenzung verhindert werden.

[0026] Figur 4 zeigt ein Prinzipschaltbild eines Umlaufwasserheizers I. Moderne Umlaufwasserheizer werden von einem Mikroprozessor gesteuert und geregelt, so daß es naheliegt, neben den Steuer- und Regelaufgaben auch Sicherheitsaufgaben auf den Mikrocomputer zu übertragen. Steuerverfahren zum Abbau der Nachwärme beziehungsweise zum Freigeben der erneuten Wärmelieferung können daher auch Mikroprozessoren übertragen werden, so daß beispielsweise die Schaltung nach Figur 5 auch als Software-Programm von Mikrocomputern dargestellt werden kann.

[0027] Ein Umlaufwasserheizer I weist einen von einem Brenner 7 beheizten Edelstahl-Lamellenwärmetauscher 12 auf, der an eine mit einer Pumpe 19 versehene Rücklaufleitung 105 und eine mit einem Vorrang-Umschaltventil 106 versehene Vorlaufleitung 13 angeschlossen ist, wobei letztere zwei Temperaturfühler 14 und 15 aufweist, die an Meßleitungen 16 und 17 angeschlossen sind, die zu Eingängen einer Steuer-, Regel- und Überwachungseinheit 1 führen. Hinter dem Vorrang-Umschaltventil 106, das durch einen Servoantrieb 103 betätigbar ist, setzt sich die Vorlaufleitung 13 in eine Heizungsvorlaufleitung 114 und eine Vorlaufleitung 115 für einen Brauchwasser-Sekundärwärmetauscher 116 fort. Das Vorrang-Umschaltventil 106 kann zwei Stellungen einnehmen, bei Öffnung der Leitung 114 ist die Leitung 115 verschlossen und umgekehrt. Die Vorlaufleitung 114 führt zu einem nicht dargestellten Heizungssystem und zurück über eine Heizungsrücklaufleitung 20 zu einer Vereinigungsstelle 118, an die die Rücklaufleitung 105 angeschlossen ist. Dem Brauchwasser-Wärmetauscher 116 ist eine Brauchwasserbereiter-Rücklaufleitung 119 nachgeschaltet, die gleichermaßen zur Vereinigungsstelle 118 führt. Der Brauchwasser-Wärmetauscher 116 und die Leitung 119 sind innerhalb des Gehäuses des Umlaufwasserheizers I angeordnet. Stromauf und stromab unmittelbar der Pumpe 19 sind zwei Druckleitungen 120 und 121 vorgesehen, die zu einem Membranschalter 122 führen, der ein in einer Gasleitung 5 zum Brenner 7 liegendes Gasventil 124 steuert.

[0028] Zwischen dem Ventil 124 und dem Brenner 7 ist in der Leitung 5 ein zweites Gasventil 125 angeordnet, das von einer Magnetspule 126 gesteuert wird, die über eine Stelleitung 127 mit der Steuereinheit 1 verbunden ist. Dem Brenner zugeordnet ist eine Zündelektrode 8, die von einer Zündeinrichtung 37 über eine Leitung 9 mit Zündenergie versorgt wird, wobei die Zündeinrichtung 37 über eine Leitung 131 von der Steuereinheit beaufschlagt ist. Eine Ionisationselektrode 10 ist über eine Leitung 11 mit einer Flammenmeldeeinrichtung 134 verbunden, die über eine Leitung 135 ein Flammensignal oder kein Flammensignal auf die Steuereinheit 1 zurückmeldet. Der Pumpe 19 ist ein Antriebsmotor 136 zugeordnet, der seine Energie über eine Leitung 18 von der Steuereinheit erhält.

[0029] Es gibt Umlaufwasserheizer, die das Abgas auf dem Konvektionswege über eine nicht dargestellte Strömungssicherung und ein Abgasrohr abführen, es gibt aber auch solche, die lüfterunterstützt arbeiten. In diesem Fall ist ein Abgaslüfter 138 vorgesehen, der im Abgasstrom des Abgasrohres stromab des Wärmetauschers 12 angeordnet ist. Dieser weist einen Antriebsmotor 139 auf, der über eine Leitung 140 seine Antriebsenergie aus der Steuereinheit 1 erhält. Der Servomotor 113 des Vorrang-Umschaltventils 106 bezieht seine Stellenergie über eine Leitung 141 gleichermaßen aus der Steuereinheit. Durch den Brauchwasser-Wärmetauscher 116 führt eine Zapfwasserleitung 142, die von einem Kaltwassernetz kommt, durch den Wärmetauscher 116 führt und mit einem Wasserschalter 143 versehen ist, ehe sie zu einem Zapfventil 144 kommt. Der Wasserschalter ist im Stande festzustellen, ob Wasserdurchsatz durch die Leitung 142 stattfindet und meldet ein entsprechendes Signal über eine Leitung 145 an die Steuereinheit.

[0030] Der Steuer-, Regel- und Überwachungseinheit 1 ist eine Temperaturbegrenzereinheit 146 zugeordnet, beide sind über ein Leitungsbündel 147 miteinander verbunden, wobei der Ist-Wert der Vorlauftemperatur von der Steuereinheit auf den Temperaturbegrenzer und vom Temperaturbegrenzer auf die Steuereinheit die eventuellen Abschalt- und Störungsbefehle übertragen werden.

[0031] Auf den Temperaturbegrenzer sind als Eingänge die Leitungen 135, 145, 127 und 18 geführt. Weiterhin ist eine Entstörtaste 49 vorgesehen, die über eine Leitung 149 auf den Temperaturbegrenzer geschaltet ist. Es ist ein Grenzwertgeber 150 für die Vorlauftemperatur vorgesehen, mit dem ein einstellbarer Grenzwert vorgegeben werden kann, und zwar über eine Leitung 151 auf den Temperaturbegrenzer 146. Falls ein Lüfter 138 vorhanden ist, ist ein Ausgang 152 zur Ansteuerung des Lüfters vorgesehen, der mit der Leitung 140 verbunden ist. Die Funktion der dargestellten Schaltung wird nun anhand der Figur 5 näher verdeutlicht:

[0032] Es ist zunächst ein Oszillator 160 vorgesehen, der an seinem Ausgang 161 eine Impulsspannung mit einer bestimmten Frequenz liefert. Die Frequenz ist mit 10 Hertz angenommen. Der Oszillator 160 ist auf einen Binärzähler 162 geschaltet, dem ein Vergleicher 163 zugeordnet ist. Ein negierter Löscheingang 164 des Zählers 162 ist mit der Leitung 145 verbunden, die auch zu einem Eingang eines Und-Gliedes 165 führt, dessen negierter Eingang 166 den Ausgang des Vergleichers 163 bildet. Ein Ausgang 167 des Und-Gliedes bildet einen negierten Eingang 168 eines weiteren Und-Gliedes 169, auf dessen Ausgang 170 ein Abschaltbefehl für den gesamten Umlaufwasserheizer I erscheinen kann. Ein Abschaltbefehl heißt hier ein Stromloswerden des Magnetventils 125, ein Spannungsloswerden des Motors 136 für die Pumpe 19. Der andere Eingang 171 des Und-Gliedes 169 ist von einem Ausgang 172 eines Komparators 173 gebildet, dessen Eingänge einmal mit der Leitung 151 und zum anderen mit den Leitungen 16 oder 17 verbunden sind. Von den Meßwerten der Leitungen 16 oder 17 wird der jeweils höhere genommen, was über einen weiteren hier nicht dargestellten Vergleicher feststellbar ist. Der Ausgang 172 ist über eine Leitungsverzweigung auf einen Eingang 174 eines Und-Gliedes 175 geschaltet, dessen Ausgang die Leitung 152 bildet. Die Leitung 172 bildet einen weiteren Eingang 176 eines weiteren Und-Gliedes 177, dessen Ausgang 178 einen Set-Eingang einer bistabilen Kippstufe 180 bildet, deren Ausgang 181 den anderen Eingang 182 des Und-Gliedes 175 und eine ein Störungssignal führende Leitung 183 bildet.

[0033] Schließlich ist der Ausgang 172 auf einen negierten Eingang 184 eines Und-Gliedes 185 geschaltet, dessen anderer Eingang von der Leitung 149 gebildet ist und dessen Ausgang 186 auf den Reseteingang der bistabilen Kippstufe 180 geschaltet ist. Es ist ein Oder-Glied 187 vorgesehen, dessen drei Eingänge an die Leitungen 127, 135 und 18 angeschlossen sind und dessen Ausgang 188 den anderen Eingang 189 des Und-Gliedes 177 bildet.

[0034] Die Leitungen 170 und 183 sind Teil des Leitungsbündels 147 und führen Signale vom Temperaturbegrenzer 146 zur Steuereinheit 1.

[0035] Die Funktion ist folgende:
Es wird davon ausgegangen, daß der Umlaufwasserheizer Brauchwasser liefert. Das bedeutet, daß das Zapfventil 144 mehr oder weniger geöffnet ist, daß das Vorrang-Umschaltventil 106 die Leitung 13 mit der Leitung 115 verbindet, die Pumpe 19 läuft, beide Ventile 124 und 125 sind geöffnet, der Brenner 7 brennt und die Flammenmeldeeinrichtung 134 ein Flammenmeldesignal auf die Leitung 135 gibt. Damit wird die vom Brenner 7 erzeugte Wärme im Wärmetauscher 12 auf das Heizungswasser übertragen und von dort im Brauchwasser-Wärmetauscher 116 auf das Brauchwasser der Leitung 142 gegeben. Es stellt sich eine Vorlauftemperatur ein, die je nach der gewünschten Brauchwassertemperatur im Bereich zwischen 50 und 80° variiert.

[0036] Wird nun das Zapfventil 144 geschlossen, so registriert der Wasserschalter 143 "kein Wasser". Als Folge davon wird ein entsprechendes Signal auf der Leitung 145 sowohl auf die Steuereinheit 1 wie auch auf den Sicherheitstemperaturbegrenzer 146 gegeben. Die Steuereinheit 1 bewirkt über die Leitungen 127 und 137 ein Schließen des Magnetventils 125 und ein Stillsetzen des Antriebsmotors 136 der Umwälzpumpe 19. Damit erlischt der Brenner, die im Wärmetauscher 12 gespeicherte Wärme kann infolge Stillstehens der Pumpe nicht mehr abgeführt werden. Die Temperatur des Wassers in der Vorlaufleitung 13 steigt erheblich, hier ist anzumerken, daß die Temperaturmeßwertgeber 14 und 15 unmittelbar am Wärmetauscher 12 in der Vorlaufleitung angeordnet sind. Die steigende Temperatur wird der Steuereinheit 1 und gleichermaßen dem Temperaturbegrenzer 146 gemeldet. Im Temperaturbegrenzer wird der steigende Vorlauftemperatur-Ist-Wert mit dem durch den Grenzwertgeber 150 und die Leitung 151 vorgegebenen Grenzwert verglichen.

[0037] Dies geschieht wie folgt:
Bis zum Schließen des Zapfventils weist die Schaltung nach Figur 5 folgende Funktion auf:
Der jeweils höhere der beiden von den Meßfühler 14 und 15 gelieferte Wert ist auf den Komparator 173 geschaltet, der Vergleich mit dem Abschaltgrenzwert 150 bedeutet, daß die Leitung 172 logisch-"Null" führt. Es ist auf den Leitungen 127, 135 und 18 ein Signal vorhanden, so daß der Ausgang 188 logisch-"eins" führt, das Und-Glied 177 ist gesperrt, da nur ein Eingang logisch-"eins" führt. Somit liegt kein Störsignal, kein Lüftersignal und kein Abschaltsignal vor. Ist ein Lüfter vorhanden, so wird der Lüfter durch ein Regelsignal aus der Steuereinheit 1 betrieben.

[0038] Wird nun das Zapfventil 144 geschlossen, so erscheint auf der Leitung 145 ein entsprechendes Signal, so daß über den Löschungseingang 164 der Zählerstand des Zählers 162 gelöscht wird. Da auf den Leitungen 127, 135 und 18 kein Signal mehr vorliegt, kann eine Störungsmeldung nicht erfolgen, selbst wenn der Vorlauftemperatur-Ist-Wert über den Grenzwert steigt, da der Eingang 189 des Und-Gliedes 177 nicht mehr angesteuert ist. Erfolgt in diesem Zustand eine erneute Brauchwasserzapfung, so wird diese für einen eingeschränkten Zeitraum freigegeben: Die erneute Brauchwasserzapfung bewirkt eine Freigabe des Löscheingangs 164 des Zählers 162, so daß dieser jetzt zu zählen beginnt. Er läuft bis zu einem Zählerstand hoch, der in dem Vergleicher 163 eingestellt ist. Dies ist eine Zeitspanne von etwa einigen Sekunden. Die Zeit ist so bemessen, daß sie der Zeit entspricht, innerhalb der die Nachwärme vom Wärmetauscher abgebaut wird. Nach Ablauf dieser Zeit müßten die Temperaturfühler 14 beziehungsweise 15 wieder relativ kühles Vorlauftemperaturwasser messen. Der Komparator 173 ist beim Abschalten gekippt, da der Vorlauftemperatur-Ist-Wert über den Grenzwert aufgrund der Nachwärme kam. Nach Ablauf der Zählerverzögerungszeit wird das Und-Glied 169 leitend, da seine beiden Eingänge Spannung führen, dann erscheint auf der Leitung 170 ein Abschaltsignal. Ist die Nachwärme ordnungsgemäß abgeführt, so kippt der Komparator 173 zurück und ermöglicht einen Weiterbetrieb des Gerätes. Durch diese Schaltung kann also ermittelt werden, ob es sich lediglich um einen Nachwärmefall handelte oder um eine länger bestehende Störung. Ist die Nachwärme innerhalb der Verzögerungszeit abgebaut worden, wird über die Leitung 170 die Steuereinheit wieder für einen Normalbetrieb freigegeben.

[0039] Die Temperaturbegrenzerfunktion erfolgt wie folgt:
Steigt der von den Temperaturfühlern 14 und 15 gemeldete Ist-Wert der Vorlauftemperatur über den eingestellten Vorlauftemperatur-Grenzwert (eingestellt am Grenzwertgeber 150), so kippt in jedem Fall der Komparator 173. Dies ist unabhängig davon, ob das im normalen Betriebsfall bei Brauchwasserbereitung oder Heizung eintritt oder bei Brennschluß. Das bedeutet, daß auf dem Eingang 176 des Und-Gliedes 177 Spannung beziehungsweise ein Signal logisch-"eins" steht. Die Störung wird aber nur dann als Störung erkannt und gemeldet, wenn eine der Leitungen 127, 135 und 18 Spannung führt. Man muß dann davon ausgehen, daß ein gewollter Betrieb des Gerätes erwünscht ist, dann stellt allerdings die Temperaturerhöhung der Vorlaufleitung einen unzulässigen Betriebszustand dar, der ein Sicherheitsfall ist. Dann führt der zweite Eingang 189 des Und-Gliedes 177 Spannung, das Und-Glied 177 schaltet durch und setzt die bistabile Kippstufe 180. Das bedingt ein Störungssignal auf der Leitung 183, so daß die Steuereinheit 1 den Betrieb des Umlaufwasserheizers sperrt.

[0040] Diese Sperrung bedeutet ein Stromloswerden des Magneten 126 und des Pumpenantriebsmotors 136. Da das Störungssignal aber auch über einem Eingang 182 des Und-Gliedes 175 steht und da der Eingang 174 durch das Kippen des Komparators 173 ohnehin Spannung führt, erhält der Motor 139 des Lüfters 138 Spannung und versucht, die Wärme am Wärmetauscher 12 abzuführen, indem kalte Luft durch den Wärmetauscher 12 geleitet wird, und zwar so lange, bis der Komparator 173 wieder zurückkippt. Die Entstörung kann durch Betätigen der Entstörtaste 49 über die Leitung 149 geschehen, da dann der Reseteingang der bistabilen Kippstufe 180 über die Leitung 186 Spannung bekommt. Dies geht allerdings nur dann, wenn die Temperatur unter der Abschalttemperatur liegt, da der Ausgang 172 des Komparators 173 am negierten Eingang 184 des Und-Gliedes 185 liegt.

Ansprüche

1. Verfahren zum Steuern und Überwachen eines brennstoffbeheizten Gerätes, insbesondere eines Umlaufwasserheizers, mittels eines Kontroll-, Regel- und Überwachungssystems (1), welches zwei Mikroprozessorsysteme (22,25) aufweist, wobei in beiden Mikrocomputersystemen (22,25) die sicherheitsrelevanten Eingangssignale, zum Beispiel zur Flammenüberwachung, Temperaturbegrenzung, Wassermangel-, Luft- und Abgasüberwachung, eingegeben sind, womit jedes Mikrocomputersystem (22,25) für sich die entsprechenden Stellsignale berechnet und ein Ausgangssignal nur dann an die jeweiligen Endstufen (35, 36, 37, 45) weitergeleitet wird, wenn die Stellbefehle beider Mikrocomputersysteme (22, 25) identisch sind, wobei zusätzlich jedes Mikrocomputersystem (22, 25) unabhängig über die Möglichkeit verfügt, mit Hilfe einer Sicherheitsabschaltstufe (28) alle Endstufen (35, 36, 37, 45) stromlos zu schalten und damit das brennstoffbeheizte Gerät in den sicheren Zustand zu überführen, dadurch gekennzeichnet,
daß bei Störungen im Kontroll-, Regel- und Überwachungssystem (1) alle Endstufen (35, 36, 37 und 45) für die Dauer der Störung abgeschaltet werden,
daß bei ungefährlichen Störungen im brennstoffbeheizten Gerät, zum Beispiel Wassermangel, alle Endstufen (35, 36, 37 und 45) bis zum Aus- oder Einschalten der Netzspannungszuführung abgeschaltet werden,
daß bei gefährlichen Störungen im brennstoffbeheizten Gerät, zum Beispiel Temperaturüberschreitung am Wärmetauscher, alle Endstufen (35, 36, 37, 45) bis zum Entriegeln durch einen Entstörtaster (49) abgeschaltet werden und
daß bei Störungen in der Sicherheitsabschaltstufe (28) oder Fehlern in der Gasventilendstufe (35) alle Endstufen (35, 36, 37, 45) ohne Zeitegrenzung abgeschaltet werden.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß nicht sicherheitsrelevante Kommando- oder Regelfunktionen so auf die Mikrocomputer (22, 25) verteilt werden, daß beide Mikrocomputer (22, 25) gleichmäßig ausgelastet sind.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß zum Steuern eines Umlaufwasserheizers, dessen Vorlauftemperatur, Pumpenlauf, Schließbeziehungsweise Öffnungszustand des Brennstoffventils und Flammenmeldung abgetastet werden, eine Überschreitung der Vorlauftemperatur über einen Grenzwert dann kurzzeitig zugelassen wird, wenn keine Flamme und keine Ansteuerung der Pumpe (19) und des Brennstoffventils (125/126) gemeldet werden.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß zum Steuern eines Umlaufwasserheizers mit einem Brauchwasser-Sekundärwärmetauscher (116) für eine gewisse Verzögerungszeitspanne die Pumpe (19) an Spannung gelegt wird, ohne daß die Brennstoffzufuhr freigegeben wird und daß nach Ablauf der Verzögerungszeit die Brennstoffzufuhr freigegeben wird, wenn der Vorlauftemperatur-Ist-Wert unter dem eingestellten Grenzwert liegt.

5. Verfahren nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß bei einem lüfterunterstützten Umlaufwasserheizer im Falle einer Störung aufgrund einer über dem Grenzwert liegenden Vorlauftemperatur lediglich der Motor (139) des Lüfters (138) angesteuert wird, bis der Vorlauftemperatur-Ist-Wert unter dem Grenzwert liegt.

6. Vorrichtung zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 5 an einem brennstoffbeheizten Gerät, insbesondere einem Umlaufwasserheizer, das einen von einem Brenner (7) beheizten Wärmetauscher (12), eine Umwälzpumpe (19), Magnetventile für die Brennstoffzufuhr zum Brenner (7), eine Zündeinrichtung (8) und eine Flammenmeldeeinrichtung (10) sowie eine Vielzahl von Sensoren und Meßwertaufnehmern zur Erfassung von Informationen über Temperatur, Durchsatz und Arbeitsweise des Gerätes aufweist, wobei die Gesamtheit der Funktionen der Regelung, Sicherheit und kontinuierlichen Steuerung der Verbrennung und des Wasserdurchsatzes von einem Kontroll-, Regel- und Überwachungssystem (1) mit zwei Mikrocomputersystemen (22, 25) erfolgt, die die von den Sensoren und Meßwertaufnehmern gemeldeten Werte verarbeiten und umsetzen sowie mit vorgewählten, gespeicherten Werten vergleichen, wobei die zwei Mikrocomputersysteme (22, 25) über Datenaustauschverbindungen (29) miteinander verbunden sind und die Ausgänge der Mikrocomputersysteme (22, 25) über Steuerleitungen (23 a, 23 b, 26 a, 26 b) mit einer die Versorgungsspannung (34) zu den Endstufen (35, 36, 37, 45) beherrschende Sicherheitsabschaltstufe (28) verbunden sind, wobei die Ansteuerung eines Mikrocomputers (22 oder 25) auf die Sicherheitsabschaltstufe (28) zum Abschalten des gesteuerten Gerätes ausreicht, dadurch gekennzeichnet, daß beide Mikrocomputersysteme (22, 25) Eingänge aufweisen, an die ein von einem fehlersicheren Meßsignalgeber (41) stammendes Signal parallel angeschaltet ist beziehungsweise an die die nicht sicheren Sensoren (14, 15) über eigene Leitungen (16, 17) rückwirkungsfrei angeschlossen sind.

7. Vorrichtung nach Anspruch 6, dadurch gekennzeichnet, daß die Sicherheitsabschaltstufe (28) aus einer Serienschaltung zwischen einer Sicherung (64), einem von einem Widerstand (65) überbrückten Arbeitskontakt (62 b) und einem damit in Reihe liegenden Ruhekontakt (63 b) besteht, die an ihren beiden Enden an Bezugsspannung (34, Masse) liegt, und daß die Endstufen (35, 36, 37, 45) an dem Verbindungspunkt zwischen den beiden Kontakten (62 b, 63 b) angeschlossen sind.

8. Vorrichtung nach einem der Ansprüche 6 bis 7, dadurch gekennzeichnet, daß parallel zu den Steuerleitungen (23 a, 23 b, 26 a, 26 b) Rückmeldeleitungen (24, 27) vorgesehen sind, durch die der Ausfall eines jeden Bauteils (64, 65, 62 b, 63 b, 62 a, 63 a) der Sicherheitsabschaltstufe (28) erkannt werden kann, wobei bei Erkennung eines Fehlers durch eine Signalfolge auf den Steuerleitungen (23 a, 23 b, 26 a, 26 b) die von der Sicherheitsabschaltstufe (28) gelieferte Spannung auf der Leitung (38) zu sämtlichen Endstufen (35, 36, 37, 45) für unbegrenzte Zeit abgeschaltet wird.

9. Vorrichtung nach Anspruch 8, dadurch gekennzeichnet, daß ein Fehler angenommen wird, wenn die Steuerleitungen (23 a, 23 b, 26 a, 26 b) gesperrt werden und die Rückmeldeleitungen (24, 27) ein Signal melden oder wenn die Steuerleitungen (23 a, 26 a, 26 b) gesperrt werden und die Steuerleitung (23 b) freigegeben wird und die Rückmeldeleitungen (24, 27) ein Signal melden oder wenn die Steuerleitungen (23 b, 26 a, 26 b) gesperrt werden und die Steuerleitung (23 a) freigegeben wird und die Rückmeldeleitungen (24, 27) ein Signal melden oder wenn die Steuerleitungen (23 a, 23 b, 26 b) gesperrt werden und die Steuerleitung (26 a) freigegeben wird und die Rückmeldeleitungen (24, 27) ein Signal melden oder wenn die Steuerleitungen (23 a, 26 a) gesperrt werden und die Steuerleitungen (23 b, 26 b) freigegeben werden und die Rückmeldeleitungen (24, 27) kein Signal melden oder wenn die Steuerleitungen (23 a, 23 b, 26 a, 26 b) freigegeben werden und die Rückmeldeleitungen (24, 27) kein Signal melden.

Claims

1. A method of controlling and monitoring a fuelfiring appliance, particularly a circulating water heater, by means of a control, automatic control and monitoring system (1), which comprises two microprocessor systems (22, 25), each of which is arranged to receive those input signals which are relevant for safety, such as for flame detection, temperature limitation, and for monitoring the supply of water and the flow of air and exhaust gas, each microcomputer system (22, 25) for itself computes the corresponding control signals and an output signal will not be delivered to the corresponding end stages (35, 36, 37, 45) unless the control commands of both microcomputer systems (22, 25) are identical, and, in addition, each microcomputer system (22, 25) is independently adapted to de_energize all end stages (35, 36, 37, 45) by means of a safety shutdown stage (28) and thus to convert the fuelfiring appliance to the safe state, characterized in that
   in case of faults in the control, automatic control and monitoring system (1) all end stages (35, 36, 37 and 45) are shut down for the duration of the fault,
   in case of harmless faults in the fuelfiring appliance, such as a shortage of water, all end stages (35, 36, 37 and 45) are shut down until the means for applying a voltage from the power supply system are turned off or on,
   in case of dangerous faults in the fuelfiring appliance, such as an excessive temperature rise at the heat exchanger, all end stages (35, 36, 37, 45) are shutdown until the interlock has been eliminated by means of a fault-clearing pushbutton (49), and
   in case of faults in the safety shutdown stage (28) or defects in the gas valve end stage (35) all end stages (35, 36, 37, 45) are shut down for an unlimited time.

2. A method according to claim 1, characterized in that command or control functions which are not relevant for safety are assigned to the microcomputers (22, 25) in such a manner that the two microcomputers (22, 25) are uniformly utilized.

3. A method according to claim 1 or 2, characterized in that for the control of a circulating water heater its flow line temperature, pump operation, closed and open state of the fuel valve, and flame detection are sampled and a rise of the flow line temperature above a limit is permitted for a short time when no flame and no operation of the pump (19) and of the fuel valve (125/126) are indicated.

4. A method according to claim 3, characterized in that for the control of a circulating water heater which comprises a secondary heat exchanger (116) for tap water a voltage is applied to the pump (19) for a certain delay time whereas the supply of fuel is not permitted and that the supply of fuel is permitted when the delay time has elapsed, provided that the actual value of the flow line temperature is below the selected limit.

5. A method according to claim 3 or 4, characterized in that in case of a fault residing in that the flow line temperature exceeds the limit in a fan-assisted circulating water heater merely the motor (139) of the fan (138) is energized until the actual value of the flow line temperature is below the limit.

6. An apparatus for carrying out the method according to any of claims 1 to 5 in a fuelfiring appliance, particularly a circulating water heater, which comprises a heat exchanger (12) that is heated by a burner (7), a circulating pump (19), solenoid valves for supplying fuel to the burner (7), an igniting device (8) and a flame detector (10) as well as a multiplicity of sensors and pickups for detecting information concerning the temperature, throughput, and mode of operation of the appliance, wherein all functions for the automatic control, for ensuring the safety and for the continuous control of the combustion and of the water throughput are performed by a control, automatic control and monitoring system (1), which comprises two microcomputer systems (22, 25), by which the values indicated by the sensors and pickups are processed, converted and compared with preselected stored values, wherein the two microcomputer systems (22, 25) are interconnected by data exchange connections (29) and the outputs of the microcomputer systems (22, 25) are connected by control lines (23a, 23b, 26a, 26b) to a safety shutdown stage (28), which controls the application of the supply voltage (34) to the end stages (35, 36, 37, 45), wherein the activation of the safety shutdown stage (28) by one of the microcomputers (22 or 25) is sufficient for a shutdown of the controlled appliance, characterized in that both microcomputer systems (22, 25) have inputs to which a signal coming from a fail-safe pickup (41) is delivered in parallel and/or to which the non-safe sensors (14, 15) are connected by separate lines (16, 17) without a feedback.

7. An apparatus according to claim 6, characterized in that the safety shutdown stage (28) consists of a series circuit between a fuse (64), a make contact (62b), which is bridged by a resistor (65), and a break contact (63b) in series therewith, a reference voltage (34, ground) is applied to said series circuit at both ends, and the end stages (35, 36, 37, 45) are connected to the junction between the two contacts (62b, 63b).

8. An apparatus according to any of claims 6 to 7, characterized in that feedback lines (24, 27) are provided, which are parallel to the control lines (23a, 23b, 26a, 26b) and adapted to indicate the failure of any component (64, 65, 62b, 63b, 62a, 63a) of the safety shutdown stage (28), and the detection of a defect has the result that a signal train on the control lines (23a, 23b, 26a, 26b) inhibits for an unlimited time the application of the voltage by the safety shutdown stage (28) via the line (38) to all end stages (35, 36, 37, 45).

9. An apparatus according to claim 8, characterized in that a defect is assumed to exist when the control lines (23a, 23b, 26a, 26b) are disabled and the feedback lines (24, 27) deliver a signal or when the control lines (23a, 26a, 26b) are disabled and the control line (23b) is enabled and the feedback lines (24, 27) deliver a signal or when the control lines (23b, 26a, 26b) are disabled and the control line (23a) is enabled and the feedback lines (24, 27) deliver a signal or when the control lines (23a, 23b, 26b) are disabled and the control line (26a) is enabled and the feedback lines (24, 27) deliver a signal or when the control lines (23a, 26a) are disabled and the control lines (23b, 26b) are enabled and the feedback lines (24, 27) do not deliver a signal or when the control lines (23a, 23b, 26a, 26b) are enabled and the feedback lines (24, 27) do not deliver a signal.

Revendications

1. Procédé pour la régulation et la surveillance d'un appareil chauffé par un combustible, notamment d'un chauffe-eau à circulation, à l'aide d'un système de contrôle et de régulation (1) qui comprend deux ensembles micro-ordinateurs (22, 25) qui, tous les deux, reçoivent à l'entrée les signaux ayant trait à la sécurité, tels que contrôle des flammes, limitation des températures, surveillance du débit d'eau et d'air et contrôle des gaz brûlés, chacun des deux ensembles (22, 25) élaborant individuellement les signaux respectifs qui en résultent, un signal de sortie n'étant cependant émis aux étages finaux concernés (35, 36, 37, 45) que si les ordres formés par les deux ensembles (22, 25) sont identiques, chacun des deux ensembles (22, 25) ayant individuellement la possibilité de mettre hors circuit tous les étages finaux (35, 36, 37, 45), à l'aide d'un étage disjoncteur (28), et d'assurer ainsi le fonctionnement sûr de l'appareil, procédé caractérisé par le fait que,
en cas de perturbations dans le système de contrôle et de régulation (1), tous les étages finaux (35, 36, 37, 45) sont mis hors circuit pour la durée de la perturbation,
en cas de perturbations non dangereuses dans l'appareil chauffé par un combustible, par exemple manque d'eau, tous les étages finaux (35, 36, 37, 45) sont mis hors circuit jusqu'à la coupure ou le rétablissement de l'alimentation en tension secteur,
en cas de perturbations dangereuses dans l'appareil chauffé par un combustible, par exemple dépassement de température dans l'échangeur de chaleur, tous les étages finaux (35, 36, 37, 45) sont mis hors circuit jusqu'au déblocage moyennant une touche de dépannage (49), et
en cas de perturbations dans l'étage disjoncteur (28) ou de défauts dans l'étage final (35) de la valve de gaz, tous les étages finaux (35, 36, 37, 45) sont mis hors circuit sans limitation dans le temps.

2. Procédé suivant la revendication 1, caractérisé par le fait que des fonctions de commande et de régulation n'affectant pas la sécurité sont réparties sur les micro-ordinateurs (22, 25) de sorte à charger uniformément les deux micro-ordinateurs (22, 25).

3. Procédé suivant la revendication 1 ou 2, caractérisé par le fait que la régulation d'un chauffe-eau à circulation dont la température de départ, la marche de la pompe de circulation, l'état de fermeture respective d'ouverture de la valve de combustible et la formation de flammes sont surveillés, admet un dépassement de courte durée de la température de départ de consigne si aucune flamme n'est signalée, ni aucun ordre agissant sur la pompe (19) et la valve de combustible (125/126).

4. Procédé suivant la revendication 3, caractérisé par le fait que pour la régulation d'un chauffe-eau à circulation avec un échangeur de chaleur secondaire (116) assurant la fourniture d'eau sanitaire, la pompe (19) est mise en circuit pour une certaine durée sans qu'il y ait alimentation en combustible, et qu'après ce temps, l'alimentation en combustible est débloquée si la température de départ effective est inférieure à un seuil préréglé.

5. Procédé suivant la revendication 3 ou 4, caractérisé par le fait que sur un chauffe-eau à circulation avec ventilateur, en cas d'une perturbation par suite d'une température de départ supérieure au seuil préréglé, seul le moteur (139) du ventilateur (138) est commandé jusqu'à ce que la température de départ effective soit inférieure audit seuil.

6. Dispositif pour l'application du procédé suivant l'une des revendications 1 à 5 sur un appareil chauffé par un combustible, notamment un chauffe-eau à circulation, et qui comprend un échangeur de chaleur (12) chauffé par un brûleur (7), une pompe de circulation (19), des électrovalves pour l'alimentation en combustible du brûleur (7), un dispositif d'allumage (8) et un détecteur de flammes (10) ainsi que nombre d'éléments sensibles et de capteurs pour la saisie d'informations relatives aux températures et débits ainsi qu'au fonctionnement de l'appareil, l'ensemble des fonctions de régulation, de sécurité et de commande pour assurer la combustion et la circulation d'eau étant surveillé par un système de contrôle et de régulation (1) avec deux ensembles micro-ordinateurs (22, 25) qui traitent les valeurs fournies par les éléments sensibles et les capteurs et les comparent à des consignes mémorisées, les deux ensembles micro-ordinateurs (22, 25) communiquant entre eux par des interfaces bidirectionnelles (29), et les sorties des ensembles (22, 25) étant reliées par des lignes de commande (23a, 23b, 26a, 26b) à un étage disjoncteur (28) agissant sur la tension d'alimentation (34) des étages finaux (35, 36, 37, 45), l'action d'un des ensembles micro-ordinateurs (22 ou 25) sur l'étage disjoncteur (28) étant suffisante pour arrêter l'appareil, dispositif caractérisé par le fait que les deux ensembles (22, 25) ont des entrées auxquelles est appliqué en parallèle un signal émis par un capteur de mesure (41) à l'abri de pannes, ou auxquelles sont reliés, sans effet de retour, les éléments sensibles (14, 15) non à l'abri de pannes, par des lignes (16, 17).

7. Dispositif suivant la revendication 6, caractérisé par le fait que l'étage disjoncteur (28) comprend un montage en série entre un fusible (64), un contacteur (62b) shunté par une résistance (65) et un rupteur (63b) en série, montage dont les deux bouts sont mis à la tension de référence (34, masse), et que les étages finaux (35, 36, 37, 45) sont connectés au point de branchement situé entre les deux contacts (62b, 63b).

8. Dispositif suivant l'une des revendications 6 ou 7, caractérisé par le fait que, parallèlement aux lignes de commande (23a, 23b, 26a, 26b), des lignes de retour (24, 27) sont prévues permettant de relever toute panne sur chaque composant (64, 65, 62b, 63b, 62a, 63a) de l'étage disjoncteur (28), la signalisation d'un défaut par une suite d'impulsions sur les lignes de commande (23a, 23b, 26a, 26b) provoquant la coupure, sans limitation dans le temps, de la tension appliquée par l'étage disjoncteur (28) sur la ligne (38) alimentant tous les étages finaux (35, 36, 37, 45).

9. Dispositif suivant la revendication 8, caractérisé par le fait qu'un défaut est supposé si les lignes de commande (23a, 23b, 26a, 26b) sont bloquées et les lignes de retour (24, 27) émettent un signal, ou si les lignes de commande (23a, 26a, 26b) sont bloquées et la ligne de commande (23b) est débloquée et les lignes de retour (24, 27) émettent un signal, ou si les lignes de commande (23b, 26a, 26b) sont bloquées et la ligne de commande (23a) est débloquée et les lignes de retour (24, 27) émettent un signal, ou si les lignes de commande (23a, 23b, 26b) sont bloquées et la ligne de commande (26a) est débloquée et les lignes de retour (24, 27) émettent un signal, ou si les lignes de commande (23a, 26a) sont bloquées et les lignes de commande (23b, 26b) sont débloquées et les lignes de retour (24, 27) n'émettent pas de signal, ou si les lignes de commande (23a, 23b, 26a, 26b) sont débloquées et les lignes de retour (24, 27) n'émettent pas de signal.

Zeichnung