Schaltungsanordnung und Verfahren zum Überwachen eines brennstoffbeheizten Gerätes

Abstract

 Die Erfindung betrifft eine Schaltungsanordnung und ein Verfahren zum Überwachen eines brennstoffbeheizten Gerätes mit einer Steuereinheit (10), mit mindestens einem elektrisch ansteuerbaren Ventil (16, 18) in der Brennstoffzufuhrleitung (22) zu einem Brenner (23), mit einer Flammenüberwachungseinrichtung (47) und mit einer Sicherheitsschaltung (32) zur Abschaltung des Ventils (16, 18). Es wird vorgeschlagen, daß eine redundante Überwachungsschaltung (28, 36, 46, 50, 54) vorgesehen ist, die mit der Sicherheitsschaltung (32) verbunden ist und an diese wenigstens ein sicherheitsrelevantes Signal abgibt.
Durch die besondere Ausgestaltung der Schaltungsanordnung können Fehlerzustände erkannt und zum Abschalten des Systems benutzt werden. Außerdem lassen sich die Ansteuerwege auf mögliche Fehler überprüfen.

Beschreibung

Stand der Technik

[0001] Die Erfindung bezieht sich auf eine Schaltung nach der Gattung des Oberbegriffs. Aus der DE-OS 39 23 773 sind ein Verfahren und eine Vorrichtung zum Überwachen eines brennstoffbeheizten Gerätes bekannt, bei denen sicherheitsrelevante Eingangssignale gleichzeitig in zwei Mikrocomputersysteme eingegeben, unabhängig voneinander in jedem Mikrocomputer verwertet und anschließend die daraus entstandenen Ausgangssignale verglichen werden. Die Übereinstimmung der Ausgangssignale stellt ein überprüfbares Kriterium für das fehlerfreie Funktionieren der Steurung dar. Außerdem verfügt jedes Mikrocomputersystem unabhängig über die Möglichkeit, mit Hilfe einer Sicherheitsabschaltung alle Endstufen und Stellglieder stromlos zu schalten.

[0002] Dieses System, bei dem zwei unabhängig voneinander arbeitende Mikrocomputer miteinander koordiniert werden müssen, ist sowohl in der Hardware als auch der Software aufwendig. Ferner haftet dieser Art der Schaltung der Nachteil an, daß bei auftretenden Fehlern in den Sensoren oder Stellglieder keine direkte Abschaltmöglichkeit der Gesamtanlage besteht, ohne daß ein Mikrocomputer dies veranlaßt.

Vorteile der Erfindung

[0003] Die erfindungsgemäße Schaltungsanordung mit den kennzeichnenden Merkmalen des Hauptanspruchs hat den Vorteil, daß bei auftretenden Fehlern in den sicherheitsrelevanten Schaltungsteilen direkt auf die Sicherheitsschaltung eingewirkt wird, die das Gerät unmittelbar abschaltet. Die Schaltungsanordnung ermöglicht außerdem eine Überprüfung dieser Schaltungsteile auf Fehlerzustände, ohne daß ein zweiter Mikrocomputer eingesetzt werden müßte. Hierzu werden einfache logische Elemente, wie z. B. UND-, ODER-, NAND-Glieder usw. eingesetzt. Diese Elemente haben den Vorteil, daß sie gegenüber einem Mikrocomputer einfacher aufgebaut, billiger und sicher beherrschbar sind.

[0004] Durch die in den Unteransprüchen aufgeführten Merkmale sind vorteilhafte Verbesserungen der Schaltungsanordnung gemäß Hauptanspruch möglich.

[0005] Die Abgabe eines Signals der Sicherschaltung an die Steuereinheit, das z. B. den Betriebszustand der Sicherheitschaltung anzeigt, ermöglicht, daß von der Steuereinheit aktiv die Brennstoffzufuhr geschlossen werden kann. Dadurch wird erreicht, daß bei einem Ausfall entweder der Sicherheitsschaltung oder des Abschaltweges der Sicherheitsschaltung ein Abschalten bewirkt wird. Zusätzlich kann eine Fehlermeldung nach außen abgegeben werden.

[0006] Wenn das von der Sicherheitsschaltung an die Steuereinheit abgegebene Signal gegenüber dem Abschaltsignal der Sicherheitsschaltung an das Ventil verzögert abgegeben wird, ist es möglich, verschiedene auf die Steuerschaltung wirkende Wege, die im Bedarfsfall eine Abschaltung bewirken, durch gezielte Falschinformation zu überprüfen. Hierzu wird mit definiert ausgegebenen Signalen ein Fehler simuliert, das von der Sicherheitsschaltung als Reaktion darauf abgegebene Signal an die Steuereinheit detektiert und innerhalb der Verzögerungszeit der ursprüngliche Betriebszustand wiederhergestellt. Ein ungewolltes Abschalten wird auf diese Weise vermieden.

[0007] Das Verbinden der Ausgänge der Ventilüberprüfvorrichtung und der Vorrichtung zur Überprüfung der Flammenüberwachungseinrichtung mittels eines verknüpfenden Elements, dessen Ausgang auf die Sicherheitsabschaltung wirkt, ermöglicht, daß sich jeder Ansteuerweg eines oder mehrerer Ventile überprüfen läßt. Wenn außerdem die Steuereinheit in der Lage ist, das Flammendetektionssignal während des Betriebs kurzfristig auszublenden, läßt sich auch dieser Weg auf mögliche Fehler überprüfen.

[0008] Ist die Steuereinheit über eine die Steuereinheit überwachende Vorrichtung mit der Sicherheitsschaltung verbunden und ist von der Leitung zwischen dieser Vorrichtung und der Sicherheitsschaltung eine Leitung abgezweigt, die über ein UND-Glied zur Steuereinheit führt, kann erreicht werden, daß diese Vorrichtung Betriebsfehler der Steuereinheit erkennt. Ferner kann, wenn verhindert wird, daß diese Vorrichtung auf die Steuereinheit einwirkt, durch gezielte Fehlinformation sowohl diese Vorrichtung, als auch der Weg von der Steuereinheit über diese Vorrichtung zur Sicherheitsschaltung einer Fehlerüberprüfung unterzogen werden.

[0009] Durch Integration einer die an der Steuereinheit anliegende Spannung überprüfenden Vorrichtung in die Schaltungsanordnung kann bei fehlerhafter Spannungsversorgung die Steuereinheit in einen definierten Zustand überführt werden. Wenn außerdem die Sicherheitsschaltung auf diese Vorrichtung wirkt, ist es möglich, mit dem Auslösen des Sicherheitsschalters diese Vorrichtung so zu beeinflussen, daß diese die Steuereinheit in dem definierten Zustand hält.

Zeichnung

[0010] Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung vereinfacht dargestellt und in der nachfolgenden Beschreibung näher erläutert. In Figur 1 sind die einzelnen Schaltungsbaugruppen schematisch dargestellt. Figur 2 zeigt die Einbindung einer die an der Steuereinheit anliegenden Spannung überprüfenden Vorrichtung in einen Teil der Schaltung gemäß Figur 1 und Figur 3 ein Ausführungsbeispiel dieser Vorrichtung. In Figur 4 ist ein Ausführungsbeispiel der Sicherheitsschaltung dargestellt.

Beschreibung eines Ausführungsbeispiels

[0011] In Figur 1 ist eine Steuereinheit 10 gezeigt, die über Leitungen 12, 14 mit Magnetventilen 16, 18 verbunden ist und die ihrerseits über Leitungen 20, 21 an eine Strom-/Spannungsversorgung 24 angeschlossen sind. Die Magnetventile 16, 18 wirken auf eine Gasversorgungsleitung 22, die zu einem Brenner 23 führt und sind zueinander in Reihe geschaltet.

[0012] Von der Steuereinheit 10 geht ferner eine Leitung 26 zu einer die Steuereinheit 10 überprüfenden Vorrichtung 28, im folgenden Watchdog genannt, dessen Ausgang über eine Leitung 30 mit einer Sicherheitsschaltung 32 verbunden ist. Watchdogs sind allgemein bekannt und überprüfen periodische Ereignisse innerhalb eines vorgegebenen Zeitfensters, z. B. die Periodizität von Triggerimpulsen.

[0013] Von der Leitung 30 zweigt eine Leitung 34 ab, die zu einem ersten Eingang eines UND-Gliedes 36 führt. Der zweite Eingang ist über eine Leitung 38 mit der Steuereinheit 10 verbunden und der Ausgang über eine Leitung 40 an die Steuereinheit 10 zurückgeführt. Weiterhin ist die Steuereinheit 10 über Leitungen 42, 43 mit der Sicherheitsschaltung 32 verbunden. Über zwei Leitungen 44, 45 ist eine Prüfvorrichtung 46 für die Flammenüberwachungseinrichtung 47 ebenfalls mit der Steuerung 10 verbunden. Im Ausführungsbeispiel ist die Prüfvorrichtung 46 durch ein einfaches UND-Glied realisiert. Vorstellbar sind aber auch komplizierter aufgebaute Strukturen, die eine größere Anzahl von Daten verarbeiten. An die Leitung 45 ist eine Leitung 48 angeschlossen, die von der Flammenüberwachungseinrichtung 47 herführt. Der Ausgang des UND-Gliedes 46 ist negiert auf einen Eingang eines weiteren UND-Gliedes 50 geführt, dessen Ausgang über eine Leitung 52 an die Sicherheitsschaltung 32 angeschlossen ist. Der zweite Eingang dieses UND-Glieds 50 ist mit dem Ausgang einer Ventilüberprüfvorrichtung 54 in Form eines ODER-Glieds und dessen Eingänge mit den Magnetventilen 16 und 18 verbunden.

[0014] Die Sicherheitsschaltung 32 ist mechanisch mit einem Schalter 55 verbunden, der es ermöglicht, die Leitung 20 zu unterbrechen.

[0015] In Figur 2 ist dargestellt, wie eine die an der Steuereinheit 10 anliegende Spannung überprüfende Vorrichtung 56 in die Schaltungsanordnung gemäß Figur 1 (nur zum Teil dargestellt) eingebaut ist. Dazu ist die Leitung 40 vom UND-Glied 36 auf einen ersten Eingang eines ODER-Gliedes 58 geführt, dessen Ausgang mit der Steuereinheit 10 verbunden ist. Am zweiten Eingang ist der Ausgang 72 der Vorrichtung 56 angeschlossen. Weiterhin führt von der Sicherheitsschaltung 32 eine Leitung 60 zur Vorrichtung 56, für die ferner eine Strom-/Spannungsversorgung 62 vorgesehen ist.

[0016] Ein Ausführungsbeispiel der Vorrichtung 56 als Unterspannungsdetektor ist in Figur 3 dargestellt, dessen Kernstück ein Komparator 64 bildet, der mit seinem positiven Eingang mit einer Referenzspannungquelle 66 und mit seinem negativen Eingang über eine Leitung 67, eine Diode 68 und eine Leitung 60 mit der Leitung 20 verbunden ist. Die Leitung 67 ist ferner an dem Mittelabgriff eines Spannungsteilers 70, 71 und dieser an der Stromversorgung 62 angeschlossen. Der Ausgang 72 des Komparators führt auf das ODER-Glied 58.

[0017] Ein Ausführungsbeispiel der Sicherheitsschaltung 32 als Bimetallansteuerung ist in Figur 4 dargestellt. Ausgehend von der Strom-/Spannungsversorgung 24, führt die Leitung 20 über den Schalter 55 zu einer Spule 77, deren Ausgang über eine Leitung 74 mit dem Kollektor eines Transistors 76 verbunden ist. Der Emitter des Transistors 76 ist an Masse angeschlossen. Parallel zur Kollektor-Emitter-Strecke liegt ein Spannungsteiler 78, 79, an dessen Mittelabgriff die Leitung 43 abzweigt. Die Leitungen 30, 42, 52 führen über Dioden 80 parallel zusammen an die Basis des Transistors 76.

Funktionsweise:

[0018] Im Ruhezustand sind die Magnetventile 16, 18 geschlossen und es ist keine Flamme vorhanden. Tritt eine Wärmeforderung auf, so öffnet die Steuereinheit 10 zunächst eines der Magnetventile 16, 18. Dies führt über das ODER-Glied 54 und das UND-Glied 50 zu einer Bestromung der Sicherheitsschaltung 32. Über die Leitung 43 wird diese Bestromung der Steuereinheit 10 angezeigt. Erfolgt keine Bestromung, muß dieser Ansteuerweg defekt sein, die Steuereinheit schließt das Ventil wieder und bestromt ihrerseits über die Leitung 42 die Sicherheitsschaltung 32.

[0019] Bei korrekter Funktion öffnet die Steuereinheit 10 das zweite der Ventile 16, 18 und löst die Zündung aus. Liefert die Flammenüberwachung 47 nach erfolgter Zündung über die Leitung 48 ein gültiges Signal, führt dies über das UND-Glied 46 auf den negierten Eingang des UND-Glieds 50. Dadurch wird ein Ausgangssignal an 50 verhindert, die Bestromung der Sicherheitsschaltung 32 beendet und der Heizbetrieb liegt vor. Erscheint innerhalb einer Sicherheitszeit von ca. 10 sec kein Flammensignal, schließt die Steuereinheit 10 die Magnetventile 16, 18 und hält die Bestromung der Sicherheitsschaltung 32 aufrecht, bis der Schalter 55 auslöst. Zwischen Bestromung der Bimetallansteuerung 32 und dem Auslösen des Schalters 55 vergeht üblicherweise eine Zeit von ca. 25 sec.

[0020] Unabhängig von einer Wärmeforderung erfolgt ein Test des Watchdogs 28 in konstanten Zeitintervallen (ca. 40 sec beim Ausführungsbeispiel) durch gesteuerte Falschtriggerung. Die Tests erfolgen alternierend mit zu kleiner und zu großer Periodendauer der Triggerimpulse. Dazu "sperrt" die Steuereinheit 10 das UND-Glied 36 und verhindert so, daß der Watchdog 28 während der Überprüfung über die Leitungen 34, 40 die Steuereinheit in einen definierten Zustand überführt. Die Steuereinheit 10 ist dadurch in der Lage über die Leitung 43 zu prüfen, ob der Watchdog 28 eine Bestromung der Sicherheitsschaltung 32 bewirkt. Die Testdauer ist kürzer als die Ansprechzeit des Schalters 55, so daß dieser bei einem korrekt verlaufenden Test nicht schaltet. Nach dem Test wird das UND-Glied 36 wieder "freigegeben".

[0021] Da der Watchdog 28 die Sicherheitsschaltung 32 bereits während des Tests bestromt, erfolgt durch das gesperrte UND-Glied 36 keine Beeinträchtigung der Sicherheit, auch wenn im Testbetrieb ein Fehler in der Steuereinheit 10 auftreten sollte. In diesem Fall dauert die Falschtriggerung über die Zeit des Testes an, und der Watchdog hält die Bestromung der Sicherheitsschaltung 32 aufrecht, bis der Schalter 55 auslöst. Außerdem können Selbsttests der Steuereinheit 10 derart vorgesehen sein, daß sich die Steuereinheit 10 bei auftretenden Fehlern selbst in einen definierten Zustand überführt und eine Bestromung der Sicherheitschaltung 32 über die Leitung 42 bewirkt.

[0022] Ein erster Test auf Fehlerfreiheit der Bestromung der Sicherheitsschaltung 32 durch eine Signaleinwirkung über die Leitung 52 wurde bereits beim Start der Feuerungsanlage vollzogen. Ein zweiter Test erfolgt bei eingeschaltenem Brenner ebenfalls in konstanten Zeitintervallen. Dazu "sperrt" die Steuereinheit 10 über die Leitung 44 das UND-Glied 46 und simuliert so das Ausfallen eines Flammendetektionssignals. Es erlischt das Ausgangssignal des UND-Glieds 46, was über die Negation zu einem Eingangssignal am UND-Glied 50 führt. Da die Magnetventile 16, 18 bestromt sind, liefert das ODER-Glied 54 ebenfalls ein Signal zum UND-Glied 50, wodurch ein Signal auf der Leitung 52 entsteht. Die Bestromung der Sicherheitsschaltung 32 wird von der Steuereinheit 10 wiederum über die Leitung 43 erkannt. Um die Sicherheit während dieses Testes zu gewährleisten, wird das effektive Flammendetektionssignal auf der Leitung 48 durch eine Leitung 45 abgegriffen und direkt zur Steuereinheit 10 geleitet.

[0023] Die in Form eines Unterspannungsdetektors aufgebaute Vorrichtung 56 überwacht die Versorgungsspannung der Steuereinheit 10 in der Weise, daß beim Unterschreiten eines gewissen Schwellwertes ein Ausgangssignal an die Steuereinheit 10 abgegeben wird, und diese dadurch in einen definierten Zustand überführt. In vorteilhafter Weise wird dieses Ausgangssignal mit dem Ausgangssignal des UND-Glieds 36 über ein ODER-Glied 58 verbunden. Dadurch läßt sich derselbe Eingang an der Steuereinheit 10 nutzen, wie er auch der Watchdog-Schaltung 28, 34, 36, 40 zur Verfügung steht. Durch eine Verbindung zwischen Sicherheitsschaltung 32 und Unterspannungsdetektor 56 läßt sich erreichen, daß bei ausgelöstem Schalter 55 die Steuereinheit 10 über den Unterspannungsdetektor 56 in einem definierten Zustand gehalten wird.

[0024] Funktionsweise der Vorrichtung 56 in der Form eines Unterspannungsdetektors

[0025] Der Komparator 64 vergleicht eine Referenzspannung 66 mit einer Teilspannung über dem Spannungsteiler 70, 71, die von der Strom-/Spannungsversorgung 62 abgeleitet ist. Solange diese Teilspannung größer ist als die Referenzspannung 66, liegt am Ausgang 72 kein Signal an. Sinkt die Versorgungsspannung 62, so sinkt die Teilspannung über 71 und erzeugt ein Ausgangssignal. Der Einfluß der Sicherheitsschaltung 32 auf den Unterspannungsdetektor 56 kann durch eine Verbindung über eine Diode 68 zwischen dem Mittelabgriff des Spannungsteilers 70, 71 und der Leitung 20 erfolgen. Bei geschlossenem Schalter 55 hat die zweite (höhere) Versorgungsspannung der Strom-/Spannungsversorgung 24 wegen der Diode 68 keinen Einfluß auf den Komparator 64. Bei geöffnetem Schalter 55 ist die Diode 68 in Durchlaßrichtung betrieben, wodurch die Spannung am Spannungsteiler 70, 71 sinkt und ein Ausgangssignal am Ausgang 72 bewirkt.

[0026] Funktionsweise der Sicherheitsschaltung 32 in der Form einer Bimetallansteuerung

[0027] Solange an den Ansteuerwegen 30, 42, 52 (Figur 4) eine Spannung nahe 0 Volt anliegt, fließt durch die Wicklung 77 nur ein sehr kleiner Strom, der keine auslösende Wirkung besitzt. Durch Anlegen einer höheren Spannung an eine der Leitungen 30, 42, 52 schaltet der Transistor 76 und erhöht damit den Stromfluß durch die Wicklung 77. Der Schalter 55 öffnet nach einer, der Erwärmung entsprechenden Verzögerungszeit. Mit dem Schalten des Transistors erniedrigt sich die Spannung über der Kollektor-Emitter-Strecke und damit die Spannung zwischen der Leitung 43 und der Masse.

[0028] Die schaltungstechnische Realisierung der Ausführungsbeispiele ist auf unterschiedliche Weise möglich. Die Steuereinheit ist vorzugsweise als Mikrocomputer realisiert. In einfacheren Geräten ist auch ein diskreter Aufbau vorsehbar.

[0029] Die logischen Elemente sind als diskrete Bausteine, beispielsweise mit UND- und ODER-Verknüpfungen, realisierbar. Besonders geeignet ist eine integrierte Lösung, die sämtliche Funktionen einschließt. Für einfache Geräte kann auch eine Realisierung in Relaistechnik günstig sein.

Ansprüche

1. Schaltungsanordnung zum Überwachen eines brennstoffbeheizten Gerätes, mit einer Steuereinheit, der wenigstens ein sicherheitsrelevantes Eingangssignal zugeführt ist, mit mindestens einem elektrisch ansteuerbaren Ventil in der Brennstoffzufuhr zu einem Brenner, mit einer Flammenüberwachungseinrichtung und mit einer Sicherheitsschaltung zum Abschalten des Ventils, an die die Steuereinheit wenigstens ein Signal abgibt, dadurch gekennzeichnet, daß eine redundante Überwachungsschaltung (28, 36, 46, 50, 54) vorgesehen ist, die einfache, logische Elemente enthält, der ebenfalls wenigstens ein sicherheitsrelevantes Eingangssignal zugeführt ist und die wenigstens ein Abschaltsignal unmittelbar an die Sicherheitsschaltung (32) abgibt.

2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) ein Signal an die Steuereinheit (10) abgibt.

3. Schaltungsanordnung nach Anspruch 2, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) das Abschaltsignal an das Ventil (16, 18) gegenüber dem an die Steuereinheit (10) abgegebenen Signal verzögert abgibt.

4. Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine Ventilüberprüfvorrichtung (54) enthält, die mit der Sicherheitsschaltung (32) verbindbar ist.

5. Schaltungsanordnung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine Prüfvorrichtung (46) für die Flammenüberwachungseinrichtung enthält, die mit der Sicherheitsschaltung (32) verbindbar ist.

6. Schaltungsanordnung nach Anspruch 5, dadurch gekennzeichnet, daß ein verknüpfendes Element, insbesondere ein UND-Glied (50), vorgesehen ist, dessen Eingänge mit den Ausgängen der Ventilüberprüfvorrichtung (54) und der Prüfvorrichtung (46) verbunden sind und dessen Ausgang mit der Sicherheitsschaltung (32) verbunden ist.

7. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) mit einem die Stromzufuhr des Ventils (16, 18) unterbrechbaren Schalter (55) verbunden ist.

8. Schaltungsanordnung nach Anspruch 7, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) einen zeitlich verzögert ansprechenden Bimetallschalter (77, 55) enthält.

9. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine die Steuereinheit (10) überwachende Vorrichtung (28) enthält, die mit der Sicherheitsschaltung (32) verbunden ist und von dieser verbindenden Leitung (30) zwischen der Vorrichtung (28) und der Sicherheitsschaltung (32) eine Leitung (34) abzweigt, die über ein logisches Element (36), insbesondere ein UND-Glied, zur Steuereinheit (10) führt.

10. Schaltungsanordnung nach Anspruch 9, dadurch gekennzeichnet, daß die Steuereinheit (10) mit einer weiteren Leitung (38) mit einem zweiten Eingang des logischen Elements (36) verbunden ist.

11. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine die an der Steuereinheit (10) anliegende Spannung überprüfende Vorrichtung (56), insbesondere einen Unterspannungsdetektor, enthält.

12. Schaltungsanordnung nach Anspruch 10 oder 11, dadurch gekennzeichnet, daß der Ausgang des logischen Elements (36) mit einem ersten Eingang eines weiteren logischen Elements (58), insbesondere eines ODER-Glieds, dessen zweiter Eingang mit einem Ausgang (72) der Vorrichtung (56) und dessen Ausgang mit der Steuereinheit (10) verbunden ist.

13. Schaltungsanordnung nach Anspruch 12, dadurch gekennzeichnet, daß die Vorrichtung (56) mit der Sicherheitsschaltung (32) verbunden ist.

14. Schaltungsanordnung nach Anspruch 12 oder 13, dadurch gekennzeichnet, daß die Vorrichtung (56) ein vergleichendes Element (64), insbesondere einen Komparator, enthält, an dessen positiven Eingang eine Referenzspannung (66) angeschlossen ist, dessen negativer Eingang über einen Spannungsteiler (70, 71) und eine Diode (68) mit der Versorgungsleitung (20) für das Ventil (16 18) verbunden ist und dessen Ausgang den Ausgang (72) der Vorrichtung (56) darstellt.

15. Schaltungsanordnung nach einem der Ansprüche 7 bis 14, dadurch gekennzeichnet, daß ein aktives Element (77) vorgesehen ist, das über einen Schalter (55) mit der Versorgungsspannung (24) verbunden ist und selbst auf diesen Schalter (55) wirkt, daß von dieser Verbindung Leitungen (20, 22) zu dem Ventil (16, 18) abgehen und daß das aktive Element (77) ferner mit einem Transistor (76) verbunden ist, an dessen Basis verschiedene, für eine Abschaltung relevante Leitungen (30, 42, 52) angeschlossen sind.

16. Schaltung nach Anspruch 15, dadurch gekennzeichnet, daß parallel zum Transistor (76) ein Spannungsteiler (78, 79) vorgesehen ist, dessen Mittelabgriff mit der Steuereinheit (10) verbunden ist.

17. Verfahren zum Betreiben einer Schaltungsanordnung nach einem der vorhergehenden Ansprüche dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) von der Überwachungsschaltung (28, 36, 46, 50, 54) über mindestens einen auf Fehlersicherheit überprüfbaren Weg angesteuert wird.

18. Verfahren nach Anspruch 17 zum Betreiben einer Schaltungsanordnung nach einem der Ansprüche 9 oder 10, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) direkt über die Steuereinheit (10) oder indirekt über gezielte Falschinformation an eine die Steuereinheit (10) überwachenden Vorrichtung (28) angesteuert wird.

19. Verfahren nach Anspruch 18, dadurch gekennzeichnet, daß die Vorrichtung (28) die Periodendauer der von der Steuereinheit (10) definiert ausgegebenen Impulse überwacht, bei auftretenden Fehlern die Sicherheitsschaltung (32) aktiviert und die Steuereinheit (10) in einen definierten Zustand überführt.

20. Verfahren nach einem der Ansprüche 18 oder 19, dadurch gekennzeichnet, daß die Vorrichtung (28) dadurch getestet wird, daß von der Steuereinheit (10) gezielt fehlerhafte Impulse an die Vorrichtung (28) ausgegeben werden, daß ein Überführen der Steuereinheit (10) in einen definierten Zustand verhindert wird und daß die Ansteuerung der Sicherheitsschaltung (32) über die Vorrichtung (28) von der Steuereinheit (10) innerhalb der Ansprechzeit des Schalter (55) detektiert wird.

21. Verfahren nach einem der Ansprüche 17 bis 20, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) angesteuert wird, sobald ein Ventil (16, 18) angesteuert ist und kein Flammendetektionssignal vorliegt.

22. Verfahren zum Testen des Ansteuerwegs nach Anspruch 21, dadurch gekennzeichnet, daß bei angesteuertem Ventil (16, 18) und vorliegendem Flammendetektionssignal, dieses Signal von der Steuereinheit (10) ausgeblendet wird und die Ansteuerung der Sicherheitsschaltung (32) über das Ventil (16, 18) von der Steuereinheit (10) innerhalb der Ansprechzeit des Schalters (55) detektiert wird.

23. Verfahren nach einem der Ansprüche 17 bis 20 zum Betreiben einer Schaltungsanordnung nach einem der Ansprüche 11 bis 13, dadurch gekennzeichnet, daß die Versorgungsspannung über einen Unterspannungsdetektor (56) überwacht wird und dieser bei Unterschreiten der Versorgungsspannung unter einen vorgegebenen Wert die Steuereinheit (10) in einen definierten Zustand überführt.

Zeichnung