Schaltungsanordnung und Verfahren zum Überwachen eines brennstoffbeheizten Gerätes

Beschreibung

Stand der Technik

[0001] Die Erfindung bezieht sich auf eine Schaltung und ein Vefahren nach der Gattung des Oberbegriffs im nach folgenden Anspruch 1 bzw. 17. Aus der DE-OS 39 23 773 sind ein Verfahren und eine Vorrichtung zum Überwachen eines brennstoffbeheizten Gerätes bekannt, bei denen sicherheitsrelevante Eingangssignale gleichzeitig in zwei Mikrocomputersysteme eingegeben, unabhängig voneinander in jedem Mikrocomputer verwertet und anschließend die daraus entstandenen Ausgangssignale verglichen werden. Die Übereinstimmung der Ausgangssignale stellt ein überprüfbares Kriterium für das fehlerfreie Funktionieren der Steurung dar. Außerdem verfügt jedes Mikrocomputersystem unabhängig über die Möglichkeit, mit Hilfe einer Sicherheitsabschaltung alle Endstufen und Stellglieder stromlos zu schalten.

[0002] Dieses System, bei dem zwei unabhängig voneinander arbeitende Mikrocomputer miteinander koordiniert werden müssen, ist sowohl in der Hardware als auch der Software aufwendig. Ferner haftet dieser Art der Schaltung der Nachteil an, daß bei auftretenden Fehlern in den Sensoren oder Stellglieder keine direkte Abschaltmöglichkeit der Gesamtanlage besteht, ohne daß ein Mikrocomputer dies veranlaßt.

Vorteile der Erfindung

[0003] Die erfindungsgemäße Schaltungsanordung mit den kennzeichnenden Merkmalen des unabhängen Anspruchs 1 hat den Vorteil, daß bei auftretenden Fehlern in den sicherheitsrelevanten Schaltungsteilen direkt auf die Sicherheitsschaltung eingewirkt wird, die das Gerät unmittelbar abschaltet. Die Schaltungsanordnung ermöglicht außerdem eine Überprüfung dieser Schaltungsteile auf Fehlerzustände, ohne daß ein zweiter Mikrocomputer eingesetzt werden müßte. Hierzu werden einfache logische Elemente, wie z. B. UND-, ODER-, NAND-Glieder usw. eingesetzt. Diese Elemente haben den Vorteil, daß sie gegenüber einem Mikrocomputer einfacher aufgebaut, billiger und sicher beherrschbar sind.

[0004] Durch die in den abhängigen Ansprüchen aufgeführten Merkmale sind vorteilhafte Verbesserungen der Schaltungsanordnung gemäß dem unabhängigen Anspruchs 1 möglich.

[0005] Die Abgabe eines Signals der Sicherschaltung an die Steuereinheit, das z. B. den Betriebszustand der Sicherheitschaltung anzeigt, ermöglicht, daß von der Steuereinheit aktiv die Brennstoffzufuhr geschlossen werden kann. Dadurch wird erreicht, daß bei einem Ausfall entweder der Sicherheitsschaltung oder des Abschaltweges der Sicherheitsschaltung ein Abschalten bewirkt wird. Zusätzlich kann eine Fehlermeldung nach außen abgegeben werden.

[0006] Wenn das von der Sicherheitsschaltung an die Steuereinheit abgegebene Signal gegenüber dem Abschaltsignal der Sicherheitsschaltung an das Ventil verzögert abgegeben wird, ist es möglich, verschiedene auf die Steuerschaltung wirkende Wege, die im Bedarfsfall eine Abschaltung bewirken, durch gezielte Falschinformation zu überprüfen. Hierzu wird mit definiert ausgegebenen Signalen ein Fehler simuliert, das von der Sicherheitsschaltung als Reaktion darauf abgegebene Signal an die Steuereinheit detektiert und innerhalb der Aus der EP-A 308 831 ist eine Schaltungsanordnung zum Betreiben eines brennstoffbeheizten Gerätes bekannt, die eine Steuereinheit sowie eine Flammenüberwachungseinrichtung enthält. Die Steuereinheit, die das brennstoffbeheizte Gerät steuert, ist als Mikrocomputer realisiert, der in Abhängigkeit vom Betriebsprogramm ein Steuersignal an eine Schaltstufe abgibt, die ein in einer Gasleitung angeordnetes Magnetventil öffnet oder sperrt. Bei einem vom Mikrocomputer festgestellten abnormalen Betriebszustand kann das Steuersignal an die Schaltstufe abgegeben werden, welches das Magnetventil sperrt. Unabhängig vom Mikrocomputer ist die Flammenüberwachungseinrichtung, die gegebenenfalls ein Signal bereitstellt, das bei einem Flammenausfall unmittelbar zum Abschalten des Magnetventils verwendet wird. Ein Einspeisen des Ausgangssignals der Flammenüberwachungseinrichtung in den Mikrocomputer oder in eine andere Schaltungsanordnung ist nicht vorgesehen.

[0007] Der Erfindung liegt die Aufgabe zugrunde, eine Schaltungsanordnung und ein Verfahren zum Überwachen eines brennstoffbeheizten Geräts anzugeben, die mit einfachen schaltungstechnischen Mitteln eine hohe Betriebssicherheit ermöglichen.

[0008] Die Aufgabe wird durch die in den unabhängigen Ansprüchen 1 und 17 angegebenen Merkmale jeweils gelöst.

[0009] Verzögerungszeit der ursprüngliche Betriebszustand wiederhergestellt. Ein ungewolltes Abschalten wird auf diese Weise vermieden.

[0010] Das Verbinden der Ausgänge der Ventilüberprüfvorrichtung und der Vorrichtung zur Überprüfung der Flammenüberwachungseinrichtung mittels eines verknüpfenden Elements, dessen Ausgang auf die Sicherheitsabschaltung wirkt, ermöglicht, daß sich jeder Ansteuerweg eines oder mehrerer Ventile überprüfen läßt. Wenn außerdem die Steuereinheit in der Lage ist, das Flammendetektionssignal während des Betriebs kurzfristig auszublenden, läßt sich auch dieser Weg auf mögliche Fehler überprüfen.

[0011] Ist die Steuereinheit über eine die Steuereinheit überwachende Vorrichtung mit der Sicherheitsschaltung verbunden und ist von der Leitung zwischen dieser Vorrichtung und der Sicherheitsschaltung eine Leitung abgezweigt, die über ein UND-Glied zur Steuereinheit führt, kann erreicht werden, daß diese Vorrichtung Betriebsfehler der Steuereinheit erkennt. Ferner kann, wenn verhindert wird, daß diese Vorrichtung auf die Steuereinheit einwirkt, durch gezielte Fehlinformation sowohl diese Vorrichtung, als auch der Weg von der Steuereinheit über diese Vorrichtung zur Sicherheitsschaltung einer Fehlerüberprüfung unterzogen werden.

[0012] Durch Integration einer die an der Steuereinheit anliegende Spannung überprüfenden Vorrichtung in die Schaltungsanordnung kann bei fehlerhafter Spannungsversorgung die Steuereinheit in einen definierten Zustand überführt werden. Wenn außerdem die Sicherheitsschaltung auf diese Vorrichtung wirkt, ist es möglich, mit dem Auslösen des Sicherheitsschalters diese Vorrichtung so zu beeinflussen, daß diese die Steuereinheit in dem definierten Zustand hält.

Zeichnung

[0013] Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung vereinfacht dargestellt und in der nachfolgenden Beschreibung näher erläutert. In Figur 1 sind die einzelnen Schaltungsbaugruppen schematisch dargestellt. Figur 2 zeigt die Einbindung einer die an der Steuereinheit anliegenden Spannung überprüfenden Vorrichtung in einen Teil der Schaltung gemäß Figur 1 und Figur 3 ein Ausführungsbeispiel dieser Vorrichtung. In Figur 4 ist ein Ausführungsbeispiel der Sicherheitsschaltung dargestellt.

Beschreibung eines Ausführungsbeispiels

[0014] In Figur 1 ist eine Steuereinheit 10 gezeigt, die über Leitungen 12, 14 mit Magnetventilen 16, 18 verbunden ist und die ihrerseits über Leitungen 20, 21 an eine Strom-/Spannungsversorgung 24 angeschlossen sind. Die Magnetventile 16, 18 wirken auf eine Gasversorgungsleitung 22, die zu einem Brenner 23 führt und sind zueinander in Reihe geschaltet.

[0015] Von der Steuereinheit 10 geht ferner eine Leitung 26 zu einer die Steuereinheit 10 überprüfenden Vorrichtung 28, im folgenden Watchdog genannt, dessen Ausgang über eine Leitung 30 mit einer Sicherheitsschaltung 32 verbunden ist. Watchdogs sind allgemein bekannt und überprüfen periodische Ereignisse innerhalb eines vorgegebenen Zeitfensters, z. B. die Periodizität von Triggerimpulsen.

[0016] Von der Leitung 30 zweigt eine Leitung 34 ab, die zu einem ersten Eingang eines UND-Gliedes 36 führt. Der zweite Eingang ist über eine Leitung 38 mit der Steuereinheit 10 verbunden und der Ausgang über eine Leitung 40 an die Steuereinheit 10 zurückgeführt. Weiterhin ist die Steuereinheit 10 über Leitungen 42, 43 mit der Sicherheitsschaltung 32 verbunden. Über zwei Leitungen 44, 45 ist eine Prüfvorrichtung 46 für die Flammenüberwachungseinrichtung 47 ebenfalls mit der Steuerung 10 verbunden. Im Ausführungsbeispiel ist die Prüfvorrichtung 46 durch ein einfaches UND-Glied realisiert. Vorstellbar sind aber auch komplizierter aufgebaute Strukturen, die eine größere Anzahl von Daten verarbeiten. An die Leitung 45 ist eine Leitung 48 angeschlossen, die von der Flammenüberwachungseinrichtung 47 herführt. Der Ausgang des UND-Gliedes 46 ist negiert auf einen Eingang eines weiteren UND-Gliedes 50 geführt, dessen Ausgang über eine Leitung 52 an die Sicherheitsschaltung 32 angeschlossen ist. Der zweite Eingang dieses UND-Glieds 50 ist mit dem Ausgang einer Ventilüberprüfvorrichtung 54 in Form eines ODER-Glieds und dessen Eingänge mit den Magnetventilen 16 und 18 verbunden.

[0017] Die Sicherheitsschaltung 32 ist mechanisch mit einem Schalter 55 verbunden, der es ermöglicht, die Leitung 20 zu unterbrechen.

[0018] In Figur 2 ist dargestellt, wie eine die an der Steuereinheit 10 anliegende Spannung überprüfende Vorrichtung 56 in die Schaltungsanordnung gemäß Figur 1 (nur zum Teil dargestellt) eingebaut ist. Dazu ist die Leitung 40 vom UND-Glied 36 auf einen ersten Eingang eines ODER-Gliedes 58 geführt, dessen Ausgang mit der Steuereinheit 10 verbunden ist. Am zweiten Eingang ist der Ausgang 72 der Vorrichtung 56 angeschlossen. Weiterhin führt von der Sicherheitsschaltung 32 eine Leitung 60 zur Vorrichtung 56, für die ferner eine Strom-/Spannungsversorgung 62 vorgesehen ist.

[0019] Ein Ausführungsbeispiel der Vorrichtung 56 als Unterspannungsdetektor ist in Figur 3 dargestellt, dessen Kernstück ein Komparator 64 bildet, der mit seinem positiven Eingang mit einer Referenzspannungquelle 66 und mit seinem negativen Eingang über eine Leitung 67, eine Diode 68 und eine Leitung 60 mit der Leitung 20 verbunden ist. Die Leitung 67 ist ferner an dem Mittelabgriff eines Spannungsteilers 70, 71 und dieser an der Stromversorgung 62 angeschlossen. Der Ausgang 72 des Komparators führt auf das ODER-Glied 58.

[0020] Ein Ausführungsbeispiel der Sicherheitsschaltung 32 als Bimetallansteuerung ist in Figur 4 dargestellt. Ausgehend von der Strom-/Spannungsversorgung 24, führt die Leitung 20 über den Schalter 55 zu einer Spule 77, deren Ausgang über eine Leitung 74 mit dem Kollektor eines Transistors 76 verbunden ist. Der Emitter des Transistors 76 ist an Masse angeschlossen. Parallel zur Kollektor-Emitter-Strecke liegt ein Spannungsteiler 78, 79, an dessen Mittelabgriff die Leitung 43 abzweigt. Die Leitungen 30, 42, 52 führen über Dioden 80 parallel zusammen an die Basis des Transistors 76.

Funktionsweise:

[0021] Im Ruhezustand sind die Magnetventile 16, 18 geschlossen und es ist keine Flamme vorhanden. Tritt eine Wärmeforderung auf, so öffnet die Steuereinheit 10 zunächst eines der Magnetventile 16, 18. Dies führt über das ODER-Glied 54 und das UND-Glied 50 zu einer Bestromung der Sicherheitsschaltung 32. Über die Leitung 43 wird diese Bestromung der Steuereinheit 10 angezeigt. Erfolgt keine Bestromung, muß dieser Ansteuerweg defekt sein, die Steuereinheit schließt das Ventil wieder und bestromt ihrerseits über die Leitung 42 die Sicherheitsschaltung 32.

[0022] Bei korrekter Funktion öffnet die Steuereinheit 10 das zweite der Ventile 16, 18 und löst die Zündung aus. Liefert die Flammenüberwachung 47 nach erfolgter Zündung über die Leitung 48 ein gültiges Signal, führt dies über das UND-Glied 46 auf den negierten Eingang des UND-Glieds 50. Dadurch wird ein Ausgangssignal an 50 verhindert, die Bestromung der Sicherheitsschaltung 32 beendet und der Heizbetrieb liegt vor. Erscheint innerhalb einer Sicherheitszeit von ca. 10 sec kein Flammensignal, schließt die Steuereinheit 10 die Magnetventile 16, 18 und hält die Bestromung der Sicherheitsschaltung 32 aufrecht, bis der Schalter 55 auslöst. Zwischen Bestromung der Bimetallansteuerung 32 und dem Auslösen des Schalters 55 vergeht üblicherweise eine Zeit von ca. 25 sec.

[0023] Unabhängig von einer Wärmeforderung erfolgt ein Test des Watchdogs 28 in konstanten Zeitintervallen (ca. 40 sec beim Ausführungsbeispiel) durch gesteuerte Falschtriggerung. Die Tests erfolgen alternierend mit zu kleiner und zu großer Periodendauer der Triggerimpulse. Dazu "sperrt" die Steuereinheit 10 das UND-Glied 36 und verhindert so, daß der Watchdog 28 während der Überprüfung über die Leitungen 34, 40 die Steuereinheit in einen definierten Zustand überführt. Die Steuereinheit 10 ist dadurch in der Lage über die Leitung 43 zu prüfen, ob der Watchdog 28 eine Bestromung der Sicherheitsschaltung 32 bewirkt. Die Testdauer ist kürzer als die Ansprechzeit des Schalters 55, so daß dieser bei einem korrekt verlaufenden Test nicht schaltet. Nach dem Test wird das UND-Glied 36 wieder "freigegeben".

[0024] Da der Watchdog 28 die Sicherheitsschaltung 32 bereits während des Tests bestromt, erfolgt durch das gesperrte UND-Glied 36 keine Beeinträchtigung der Sicherheit, auch wenn im Testbetrieb ein Fehler in der Steuereinheit 10 auftreten sollte. In diesem Fall dauert die Falschtriggerung über die Zeit des Testes an, und der Watchdog hält die Bestromung der Sicherheitsschaltung 32 aufrecht, bis der Schalter 55 auslöst. Außerdem können Selbsttests der Steuereinheit 10 derart vorgesehen sein, daß sich die Steuereinheit 10 bei auftretenden Fehlern selbst in einen definierten Zustand überführt und eine Bestromung der Sicherheitschaltung 32 über die Leitung 42 bewirkt.

[0025] Ein erster Test auf Fehlerfreiheit der Bestromung der Sicherheitsschaltung 32 durch eine Signaleinwirkung über die Leitung 52 wurde bereits beim Start der Feuerungsanlage vollzogen. Ein zweiter Test erfolgt bei eingeschaltenem Brenner ebenfalls in konstanten Zeitintervallen. Dazu "sperrt" die Steuereinheit 10 über die Leitung 44 das UND-Glied 46 und simuliert so das Ausfallen eines Flammendetektionssignals. Es erlischt das Ausgangssignal des UND-Glieds 46, was über die Negation zu einem Eingangssignal am UND-Glied 50 führt. Da die Magnetventile 16, 18 bestromt sind, liefert das ODER-Glied 54 ebenfalls ein Signal zum UND-Glied 50, wodurch ein Signal auf der Leitung 52 entsteht. Die Bestromung der Sicherheitsschaltung 32 wird von der Steuereinheit 10 wiederum über die Leitung 43 erkannt. Um die Sicherheit während dieses Testes zu gewährleisten, wird das effektive Flammendetektionssignal auf der Leitung 48 durch eine Leitung 45 abgegriffen und direkt zur Steuereinheit 10 geleitet.

[0026] Die in Form eines Unterspannungsdetektors aufgebaute Vorrichtung 56 überwacht die Versorgungsspannung der Steuereinheit 10 in der Weise, daß beim Unterschreiten eines gewissen Schwellwertes ein Ausgangssignal an die Steuereinheit 10 abgegeben wird, und diese dadurch in einen definierten Zustand überführt. In vorteilhafter Weise wird dieses Ausgangssignal mit dem Ausgangssignal des UND-Glieds 36 über ein ODER-Glied 58 verbunden. Dadurch läßt sich derselbe Eingang an der Steuereinheit 10 nutzen, wie er auch der Watchdog-Schaltung 28, 34, 36, 40 zur Verfügung steht. Durch eine Verbindung zwischen Sicherheitsschaltung 32 und Unterspannungsdetektor 56 läßt sich erreichen, daß bei ausgelöstem Schalter 55 die Steuereinheit 10 über den Unterspannungsdetektor 56 in einem definierten Zustand gehalten wird.

Funktionsweise der Vorrichtung 56 in der Form eines Unterspannungsdetektors

[0027] Der Komparator 64 vergleicht eine Referenzspannung 66 mit einer Teilspannung über dem Spannungsteiler 70, 71, die von der Strom-/Spannungsversorgung 62 abgeleitet ist. Solange diese Teilspannung größer ist als die Referenzspannung 66, liegt am Ausgang 72 kein Signal an. Sinkt die Versorgungsspannung 62, so sinkt die Teilspannung über 71 und erzeugt ein Ausgangssignal. Der Einfluß der Sicherheitsschaltung 32 auf den Unterspannungsdetektor 56 kann durch eine Verbindung über eine Diode 68 zwischen dem Mittelabgriff des Spannungsteilers 70, 71 und der Leitung 20 erfolgen. Bei geschlossenem Schalter 55 hat die zweite (höhere) Versorgungsspannung der Strom-/Spannungsversorgung 24 wegen der Diode 68 keinen Einfluß auf den Komparator 64. Bei geöffnetem Schalter 55 ist die Diode 68 in Durchlaßrichtung betrieben, wodurch die Spannung am Spannungsteiler 70, 71 sinkt und ein Ausgangssignal am Ausgang 72 bewirkt.

Funktionsweise der Sicherheitsschaltung 32 in der Form einer Bimetallansteuerung

[0028] Solange an den Ansteuerwegen 30, 42, 52 (Figur 4) eine Spannung nahe 0 Volt anliegt, fließt durch die Wicklung 77 nur ein sehr kleiner Strom, der keine auslösende Wirkung besitzt. Durch Anlegen einer höheren Spannung an eine der Leitungen 30, 42, 52 schaltet der Transistor 76 und erhöht damit den Stromfluß durch die Wicklung 77. Der Schalter 55 öffnet nach einer, der Erwärmung entsprechenden Verzögerungszeit. Mit dem Schalten des Transistors erniedrigt sich die Spannung über der Kollektor-Emitter-Strecke und damit die Spannung zwischen der Leitung 43 und der Masse.

[0029] Die schaltungstechnische Realisierung der Ausführungsbeispiele ist auf unterschiedliche Weise möglich. Die Steuereinheit ist vorzugsweise als Mikrocomputer realisiert. In einfacheren Geräten ist auch ein diskreter Aufbau vorsehbar.

[0030] Die logischen Elemente sind als diskrete Bausteine, beispielsweise mit UND- und ODER-Verknüpfungen, realisierbar. Besonders geeignet ist eine integrierte Lösung, die sämtliche Funktionen einschließt. Für einfache Geräte kann auch eine Realisierung in Relaistechnik günstig sein.

Ansprüche

1. Schaltungsanordnung zum Überwachen eines brennstoffbeheizten Geräts, mit einer Steuereinheit (10), der wenigstens ein sicherheitsrelevantes Eingangssignal zugeführt ist und die mindestens ein in der Brennstoffzufuhr (22) zu einem Brenner (23) angeordnetes elektrisch ansteuerbares Ventil (16, 18) schaltet, mit einer Flammenüberwachungseinrichtung (47) und mit einer Sicherheitsschaltung (32), an die die Steuereinheit (10) zumindest in Abhängigkeit von dem sicherheitsrelevanten Eingangssignal wenigstens ein Signal abgibt, das das Abschalten des Ventils (16, 18) veranlaßt, dadurch gekennzeichnet, daß eine redundante Überwachungsschaltung (28, 36, 46, 50, 54) vorgesehen ist, die einfache, logische Elemente enthält, der ebenfalls wenigstens ein sicherheitsrelevantes Eingangssignal zugeführt ist und die zumindest in Abhängigkeit von diesem sicherheitsrelevanten Eingangssignal wenigstens ein weiteres Signal unmittelbar an die Sicherheitsschaltung (32) abgibt, das das Abschalten des Ventils (16, 18) veranlaßt.

2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) ein die Bestromung der Sicherheitsschaltung anzeigendes Signal an die Steuereinheit (10) abgibt.

3. Schaltungsanordnung nach Anspruch 2, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) das Abschaltsignal an das Ventil (16, 18) gegenüber dem an die Steuereinheit (10) abgegebenen Signal verzögert abgibt.

4. Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine Ventilüberprüfvorrichtung (54) enthält, die mit der Sicherheitsschaltung (32) verbindbar ist.

5. Schaltungsanordnung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine Prüfvorrichtung (46) für die Flammenüberwachungseinrichtung enthält, die mit der Sicherheitsschaltung (32) verbindbar ist.

6. Schaltungsanordnung nach Anspruch 5, dadurch gekennzeichnet, daß ein verknüpfendes Element (50), insbesondere ein UND-Glied, vorgesehen ist, dessen Eingänge mit den Ausgängen der Ventilüberprüfvorrichtung (54) und der Prüfvorrichtung (46) verbunden sind und dessen Ausgang mit der Sicherheitsschaltung (32) verbunden ist.

7. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) mit einem die Stromzufuhr des Ventils (16, 18) unterbrechbaren Schalter (55) verbunden ist.

8. Schaltungsanordnung nach Anspruch 7, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) einen zeitlich verzögert ansprechenden Bimetallschalter (77, 55) enthält.

9. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine die Steuereinheit (40) auf periodisch auftretende Signale überwachende Vorrichtung (28) enthält, die ein weiteres Signal an die Sicherheitsschaltung (32) abgibt, das das Abschalten des Ventils (16, 18) veranlaßt, und daß von der dieses Signal führenden Leitung (30) zwischen der Vorrichtung (28) und der Sicherheitsschaltung (32) eine Leitung (34) abzweigt, die über ein logisches Element (36), insbesondere ein UND-Glied, zur Steuereinheit (10) führt.

10. Schaltungsanordnung nach Anspruch 9, dadurch gekennzeichnet, daß die Steuereinheit (10) mit einer weiteren Leitung (38) mit einem zweiten Eingang des logischen Elements (36) verbunden ist.

11. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine die an der Steuereinheit (10) anliegende Spannung überprüfende Vorrichtung (56), insbesondere einen Unterspannungsdetektor, enthält.

12. Schaltungsanordnung nach Anspruch 10 oder 11, dadurch gekennzeichnet, daß der Ausgang des logischen Elements (36) mit einem ersten Eingang eines weiteren logischen Elements (58), insbesondere eines ODER-Glieds, dessen zweiter Eingang mit einem Ausgang (72) der Vorrichtung (56) und dessen Ausgang mit der Steuereinheit (10) verbunden ist.

13. Schaltungsanordnung nach Anspruch 12, dadurch gekennzeichnet, daß die Vorrichtung (56) mit der Sicherheitsschaltung (32) verbunden ist.

14. Schaltungsanordnung nach Anspruch 12 oder 13, dadurch gekennzeichnet, daß die Vorrichtung (56) ein vergleichendes Element (64), insbesondere einen Komparator, enthält, an dessen positiven Eingang eine Referenzspannung (66) angeschlossen ist, dessen negativer Eingang über einen Spannungsteiler (70, 71) und eine Diode (68) mit der Versorgungsleitung (20) für das Ventil (16, 18) verbunden ist und dessen Ausgang den Ausgang (72) der Vorrichtung (56) darstellt.

15. Schaltungsanordnung nach einem der Ansprüche 7 bis 14, dadurch gekennzeichnet, daß ein aktives Element (77) vorgesehen ist, das über einen Schalter (55) mit der Versorgungsspannung (24) verbunden ist und selbst auf diesen Schalter (55) wirkt, daß von dieser Verbindung Leitungen (20, 22) zu dem Ventil (16, 18) abgehen und daß das aktive Element (77) ferner mit einem Transistor (76) verbunden ist, an dessen Basis verschiedene, für eine Abschaltung relevante Leitungen (30, 42, 52) angeschlossen sind.

16. Schaltung nach Anspruch 15, dadurch gekennzeichnet, daß parallel zum Transistor (76) ein Spannungsteiler (78, 79) vorgesehen ist, dessen Mittelabgriff mit der Steuereinheit (10) verbunden ist.

17. Verfahren zum Überwachen eines brennstoffbeheizten Geräts, bei dem eine Steuereinheit (10) vorgesehen ist, der wenigstens ein sicherheitsrelevantes Eingangssignal zugeführt wird und die mindestens ein in der Brennstoffzufuhr (22) zu einem Brenner (23) angeordnetes elektrisch ansteuerbares Ventil (16, 18) schaltet, bei dem eine Flammenüberwachungseinrichtung (47) vorgesehen ist und bei dem eine Sicherheitsschaltung (32) vorgesehen ist, an die die Steuereinheit zumindest in Abhängigkeit von dem sicherheitsrelevanten Eingangssignal wenigstens ein Signal abgibt, das das Abschalten des Ventils (16, 18) veranlaßt, dadurch gekennzeichnet, daß eine redundante Überwachungsschaltung (28, 36, 46, 50, 54) vorgesehen ist, die einfache, logische Elemente enthält, daß die Überwachungsschaltung (28, 36, 46, 50, 54) wenigstens ein weiteres Signal unmittelbar an die Sicherheitsschaltung (32) abgibt, das das Abschalten des Ventils (16, 18) veranlaßt und daß die Überwachungsschaltung (28, 36, 46, 50, 54) über mindestens einen auf Fehlersicherheit überprüfbaren Weg angesteuert wird.

18. Verfahren nach Anspruch 17 zum Betreiben einer Schaltungsanordnung nach einem der Ansprüche 9 oder 10, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) direkt über die Steuereinheit (10) oder indirekt über gezielte Falschinformation an eine die Steuereinheit (10) überwachenden Vorrichtung (28) angesteuert wird.

19. Verfahren nach Anspruch 18, dadurch gekennzeichnet, daß die Vorrichtung (28) die Periodendauer der von der Steuereinheit (10) definiert ausgegebenen Impulse überwacht, bei auftretenden Fehlern die Sicherheitsschaltung (32) aktiviert und die Steuereinheit (10) in einen definierten Zustand überführt.

20. Verfahren nach einem der Ansprüche 18 oder 19, dadurch gekennzeichnet, daß die Vorrichtung (28) dadurch getestet wird, daß von der Steuereinheit (10) gezielt fehlerhafte Impulse an die Vorrichtung (28) ausgegeben werden, daß ein Überführen der Steuereinheit (10) in einen definierten Zustand verhindert wird und daß die Ansteuerung der Sicherheitsschaltung (32) über die Vorrichtung (28) von der Steuereinheit (10) innerhalb der Ansprechzeit des Schalter (55) detektiert wird.

21. Verfahren nach einem der Ansprüche 17 bis 20, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) angesteuert wird, sobald ein Ventil (16, 18) angesteuert ist und kein Flammendetektionssignal vorliegt.

22. Verfahren nach Anspruch 21, dadurch gekennzeichnet, daß bei angesteuertem Ventil (16, 18) und vorliegendem Flammendetektionssignal, das Flammendetektionssignal von der Steuereinheit (10) ausgeblendet wird und die Ansteuerung der Sicherheitsschaltung (32) über das Ventil (16, 18) von der Steuereinheit (10) innerhalb der Ansprechzeit des Schalters (55) detektiert wird, wodurch der Ansteuerweg der Sicherheitsschaltung (32) getestet wird.

23. Verfahren nach einem der Ansprüche 17 bis 20 zum Betreiben einer Schaltungsanordnung nach einem der Ansprüche 11 bis 13, dadurch gekennzeichnet, daß die Versorgungsspannung über einen Unterspannungsdetektor (56) überwacht wird und dieser bei Unterschreiten der Versorgungsspannung unter einen vorgegebenen Wert die Steuereinheit (10) in einen definierten Zustand überführt.

Claims

1. Circuit for monitoring a fuel-heated apparatus, having a control unit (10) to which at least one input signal which is relevant to safety is fed and which switches at least one valve (16, 18) which can be actuated electrically and which is arranged in the fuel supply (22) to a burner (23), having a flame monitoring device (47) and having a safety circuit (32) to which the control unit (10) transmits, at least as a function of the input signal which is relevant to safety, at least one signal which causes the valve (16, 18) to switch off, characterized in that a redundant monitoring circuit (28, 36, 46, 50, 54) is provided which contains simple, logic elements to which at least one input signal which is relevant to safety is also fed and which transmits, at least as a function of this input signal which is relevant to safety, at least one further signal directly to the safety circuit (32), which further signal causes the valve (16, 18) to switch off.

2. Circuit according to Claim 1, characterized in that the safety circuit (32) transmits to the control unit (10) a signal which indicates that the safety circuit is energized.

3. Circuit arrangement according to Claim 2, characterized in that the safety circuit (32) transmits the switch-off signal to the valve (16, 18) with a delay with respect to the signal transmitted to the control unit (10).

4. Circuit according to one of Claims 1 to 3, characterized in that the monitoring circuit (28, 36, 46, 50, 54) contains a valve checking device (54) which can be connected to the safety circuit (32).

5. Circuit according to one of Claims 1 to 4, characterized in that the monitoring circuit (28, 36, 46, 50, 54) contains a testing device (46) for the flame monitoring device, which testing device (46) can be connected to the safety circuit (32).

6. Circuit according to Claim 5, characterized in that a linking element (50), in particular an AND element, is provided whose inputs are connected to the outputs of the valve checking device (54) and of the testing device (46) and whose output is connected to the safety circuit (32).

7. Circuit according to one of the preceding claims, characterized in that the safety circuit (32) is connected to a switch (55) which can interrupt the supply of power to the valve (16, 18).

8. Circuit according to Claim 7, characterized in that the safety circuit (32) contains a bimetal switch (77, 55) which responds with a time delay.

9. Circuit according to one of the preceding claims, characterized in that the monitoring circuit (28, 36, 46, 50, 54) contains a device (28) which monitors the control unit (40) for periodically occurring signals and which transmits a further signal to the safety circuit (32), which further signal causes the valve (16, 18) to switch off, and in that, between the device (28) and the safety circuit (32), a line (34), which leads to the control unit (10) via a logic element (36), in particular an AND element, branches off from the line (30) conducting the said signal.

10. Circuit according to Claim 9, characterized in that the control unit (10) is connected with a further line (38) to a second input of the logic element (36).

11. Circuit arrangement according to one of the preceding claims, characterized in that the monitoring circuit (28, 36, 46, 50, 54) contains a device (56), in particular an undervoltage detector, which checks the voltage present at the control unit (10).

12. Circuit according to Claim 10 or 11, characterized in that the output of the logic element (36) is connected to a first input of a further logic element (58), in particular of an OR element whose second input is connected to an output (72) of the device (56) and whose output is connected to the control unit (10).

13. Circuit according to Claim 12, characterized in that the device (56) is connected to the safety circuit (32).

14. Circuit according to Claim 12 or 13, characterized in that the device (56) contains a comparison element (64), in particular a comparator, to whose positive input a reference voltage (66) is connected, whose negative input is connected via a voltage divider (70, 71) and a diode (68) to the supply line (20) for the valve (16, 18) and whose output constitutes the output (72) of the device (56).

15. Circuit according to one of Claims 7 to 14, characterized in that an active element (77) is provided which is connected via a switch (55) to the supply voltage (24) and itself acts on this switch (55), in that lines (20, 22) lead from this connection to the valve (16, 18), and in that the active element (77) is also connected to a transistor (76) to whose base various lines (30, 42, 52) which are relevant to switching off are connected.

16. Circuit according to Claim 15, characterized in that a voltage divider (78, 79) whose centre tap is connected to the control unit (10) is provided parallel to the transistor (76).

17. Method for monitoring a fuel-heated apparatus, in which a control unit (10) is provided to which at least one input signal which is relevant to safety is fed and which switches at least one valve (16, 18) which can be actuated electrically and which is arranged in the fuel supply (22) to a burner (23), in which method a flame monitoring device (47) is provided and in which method a safety circuit (32) is provided, to which safety circuit (32) the control unit transmits, at least as a function of the input signal which is relevant to safety, at least one signal which causes the valve (16, 18) to switch off, characterized in that a redundant monitoring circuit (28, 36, 46, 50, 54) is provided which contains simple, logic elements, in that the monitoring circuit (28, 36, 46, 50, 54) transmits at least one further signal directly to the safety circuit (32), which further signal causes the valve (16, 18) to switch off, and in that the monitoring circuit (28, 36, 46, 50, 54) is actuated via at least one path which can be checked for protection against errors.

18. Method according to Claim 17 for operating a circuit according to one of Claims 9 or 10, characterized in that the safety circuit (32) is actuated directly via the control unit (10) or indirectly via targeted incorrect information to a device (28) which monitors the control unit (10).

19. Method according to Claim 18, characterized in that the device (28) monitors the period duration of the pulses which are output by the control unit (10) in a defined way, said device (28) activating the safety circuit (32) when errors occur and converting the control unit (10) into a defined state.

20. Method according to one of Claims 18 or 19, characterized in that the device (28) is tested in that defective pulses are output to the device (28) by the control unit (10) in a targeted manner, in that the control unit (10) is prevented from converting into a defined state, and in that the actuation of the safety circuit (32) by the control unit (10) via the device (28) is detected within the response time of the switch (55).

21. Method according to one of Claims 17 to 20, characterized in that the safety circuit (32) is actuated as soon as a valve (16, 18) is actuated and there is no flame detection signal present.

22. Method according to Claim 21, characterized in that, when the valve (16, 18) is actuated and a flame detection signal is present, the flame detection signal is gated out by the control unit (10) and the actuation of the safety circuit (32) by the control unit (10) via the valve (16, 18) is detected within the response time of the switch (55), as a result of which the actuation path of the safety circuit (32) is tested.

23. Method according to one of Claims 17 to 20 for operating a circuit according to one of Claims 11 to 13, characterized in that the supply voltage is monitored via an undervoltage detector (56) and the latter converts the control unit (10) into a defined state when the supply voltage drops below a prescribed value.

Revendications

1. Circuit de surveillance d'un appareil chauffé par un combustible, avec une unité de commande (10) à laquelle est amené au moins un signal d'entrée concernant la sécurité et qui branche au moins une vanne (16, 18) commandée électriquement et disposée sur l'alimentation en combustible qui va à un brûleur (23), avec un dispositif de surveillance de flamme (47) et un circuit de sécurité (32) auquel l'unité de commande (10) délivre au moins un signal, au moins en fonction du signal d'entrée relatif à la sécurité, signal qui provoque le débranchement de la vanne (16, 18),
circuit caractérisé en ce que
l'on prévoit un circuit de surveillance redondant (28, 36, 46, 50, 54) qui contient des éléments logiques simples auxquels est envoyé également au moins un signal d'entrée relatif à la sécurité, et qui délivre au moins en fonction de ce signal d'entrée relatif à la sécurité, au moins un autre signal directement au circuit de sécurité (32), signal qui provoque le débranchement de la vanne (16, 18).

2. Circuit selon la revendication 1,
caractérisé en ce que
le circuit de sécurité (32) délivre, à l'unité de commande (10), un signal qui indique l'alimentation en courant du circuit de sécurité.

3. Circuit selon la revendication 2,
caractérisé en ce que
le circuit de sécurité (32) délivre le signal de débranchement à la vanne (16, 18) par rapport au signal délivré à l'unité de commande (10).

4. Circuit selon l'une des revendications 1 à 3,
caractérisé en ce que
le circuit de surveillance (28, 36, 46, 50, 54) contient un dispositif de contrôle de vanne (54) qui peut être relié au circuit de sécurité (32).

5. Circuit selon l'une des revendications 1 à 4,
caractérisé en ce que
le circuit de surveillance (28, 36, 46, 50, 54) contient un dispositif de contrôle (46) pour le système de surveillance de flamme, dispositif qui peut être relié au circuit de sécurité (32).

6. Circuit selon la revendication 5,
caractérisé en ce que
l'on prévoit un élément de combinaison (50), en particulier un opérateur ET, dont les entrées sont reliées aux sorties du dispositif de contrôle de vanne (54) et du dispositif de contrôle (46) et dont la sortie est reliée au circuit de sécurité (32).

7. Circuit selon l'une des revendications précédentes,
caractérisé en ce que
le circuit de sécurité (32) est relié à un interrupteur (55) qui peut interrompre l'alimentation en courant de la vanne (16, 18).

8. Circuit selon la revendication 7,
caractérisé en ce que
le circuit de sécurité (32) contient un interrupteur à bilame (77, 55) qui est temporisé.

9. Circuit selon l'une des revendications précédentes,
caractérisé en ce que

le circuit de surveillance (28, 36, 46, 50, 54) contient un dispositif (28) surveillant l'unité de commande (40) en fonction de signaux se produisant périodiquement, dispositif (28) qui délivre, au circuit de sécurité (32), un autre signal qui provoque le débranchement de la vanne (16, 18), et

à partir de la ligne (30) amenant ce signal une ligne (34) part en dérivation entre le dispositif (28) et le circuit de sécurité (32), ligne (34) qui par l'intermédiaire d'un élément logique (36), en particulier un opérateur ET, mène à l'unité de commande (10).

10. Circuit selon la revendication 9,
caractérisé en ce que
l'unité de commande (10) est reliée par une autre ligne (38) à une seconde entrée de l'élément logique (36).

11. Circuit selon l'une des revendications précédentes,
caractérisé en ce que
le circuit de surveillance (28, 36, 48, 50,54) contient un dispositif (56), en particulier un détecteur de sous-tension, surveillant une tension appliquée à l'unité de commande (10).

12. Circuit selon la revendication 11,
caractérisé en ce que
la sortie de l'élément logique (36) est reliée à une première entrée d'un autre élément logique (58), en particulier un opérateur OU, dont la seconde entrée est reliée à une sortie (72) du dispositif (56) et dont la sortie est reliée à l'unité de commande (10).

13. Circuit selon la revendication 12,
caractérisé en ce que
le dispositif (56) est relié au circuit de sécurité (32).

14. Circuit selon la revendication 12 ou 13,
caractérisé en ce que
le dispositif (56) contient un élément de comparaison (64), en particulier un comparateur, à l'entrée positive duquel est raccordée une tension de référence (66), dont l'entrée négative est reliée par un diviseur de tension (70, 71) et une diode (68) à la ligne d'alimentation (20) de la vanne (16, 18), et dont la sortie constitue la sortie (72) du dispositif (56).

15. Circuit selon l'une des revendications 7 à 14, caractérisé en ce que

l'on prévoit un élément actif (77) qui est relié par un interrupteur (55) à la tension d'alimentation (24) et agit automatiquement sur cet interrupteur (55),

des lignes (20, 22) qui partent de cette liaison vont à la vanne (16, 18), et

l'élément actif (77) est relié en outre à un transistor (76) à la base duquel sont raccordées différentes lignes (30, 42, 52) qui sont destinées à un débranchement.

16. Circuit selon la revendication 15,
caractérisé en ce que
l'on prévoit parallèlement au transistor (76) un diviseur de tension (78, 79), dont la prise du milieu est reliée à l'unité de commande (10).

17. Procédé pour surveiller un appareil chauffé par un combustible, dans le cas duquel on prévoit une unité de commande (10) à laquelle est amené au moins un signal d'entrée qui a trait à la sécurité et qui branche au moins une vanne (16, 18) pouvant être commandée électriquement, disposée dans l'alimentation en combustible (22) qui va à un brûleur (23), procédé dans le cas duquel il est prévu un système de surveillance de flamme (47) ainsi qu'un circuit de sécurité (32) auquel l'unité de commande délivre, au moins en fonction du signal d'entrée qui a trait à la sécurité, au moins un signal qui provoque le débranchement de la vanne (16, 18),
procédé caractérisé en ce que
l'on prévoit un circuit de surveillance redondant(28, 36, 46, 50, 54) qui contient des éléments logiques simples, le circuit de surveillance (28, 36, 46, 50, 54) délivre au moins un autre signal directement au circuit de sécurité (32), signal qui provoque le débranchement de la vanne et le circuit de surveillance (28, 36, 46, 50, 54) est commandé par au moins un trajet dont on peut contrôler les défauts de sécurité.

18. Procédé selon la revendication 17 pour l'exploitation d'un circuit selon l'une des revendications 9 ou 10,
caractérisé en ce que
le circuit de sécurité (32) est commandé directement par l'unité de commande (10) ou indirectement par une fausse information appropriée à un dispositif (28) contrôlant l'unité de commande (10).

19. Procédé selon la revendication 18,
caractérisé en ce que
le dispositif (28) contrôle la durée de la période des impulsions délivrées de façon définie par l'unité de commande (10), active le circuit de sécurité (32) s'il se produit des défauts, et surveille l'unité de commande (10) dans un état défini.

20. Procédé selon l'une des revendications 18 ou 19,
caractérisé en ce que
le dispositif (28) est testé grâce au fait que des impulsions entachées de défauts sont délivrées exprès au dispositif (28), et on empêche l'unité de commande (10) de passer dans un état défini, et on détecte la commande du circuit de sécurité (32) au moyen du dispositif (28) par l'unité de commande (10) pendant le temps de fonctionnement de l'interrupteur (55).

21. Procédé selon l'une des revendications 17 à 20,
caractérisé en ce que
le circuit de sécurité (32) est commandé dès qu'une vanne (16, 18) est commandée et qu'il n'y a pas de signal de détection de flamme.

22. Procédé selon la revendication 21,
caractérisé en ce que
quand la vanne (16, 18) est commandée et quand il y a un signal de détection de flamme, le signal de détection de flamme est étouffé par l'unité de commande (10) et l'on détecte la commande du circuit de sécurité (32) sur la vanne (16, 18) provenant de l'unité de commande (10) pendant le temps de réaction de l'interrupteur (55), grâce à quoi on teste le trajet de commande du circuit de sécurité (32).

23. Procédé selon l'une des revendications 17 à 20 pour faire fonctionner un circuit de sécurité, selon l'une des revendications 11 à 13,
caractérisé en ce que
la tension d'alimentation est contrôlée par un détecteur de sous tension (56) et ce dernier, lors du passage de la tension d'alimentation en-dessous d'une valeur prédéfinie, fait passer l'unité de commande (10) dans un état défini.

Zeichnung