-
Die Erfindung betrifft ein Verfahren zum Unterbrechen einer Brennstoffzufuhr zu einem Verbrennungssystem mittels von einem Gasfeuerungsautomaten gesteuerten Ventilen bei Vorliegen eines Sicherheitsbedenkens und/oder einer Störung nach dem Oberbegriff des Patentanspruchs 1.
-
Weiter betrifft die Erfindung eine Vorrichtung zum Unterbrechen einer Brennstoffzufuhr zu einem Verbrennungssystem mittels von einem Gasfeuerungsautomaten gesteuerten Ventilen, bei Vorliegen eines Sicherheitsbedenkens und/oder einer Störung, gemäß dem Oberbegriff des Anspruchs 4.
-
Auch betrifft die Erfindung eine Verwendung der erfindungsgemäßen Vorrichtung in einem Gasfeuerungsautomaten zum sicheren Betreiben eines Verbrennungssystems, gemäß dem Oberbegriff des Anspruchs 7.
-
Ein solches Verfahren und eine Vorrichtung zum Unterbrechen einer Brennstoffzufuhr zu einem Verbrennungssystem ist aus
EP 0 803 680 B1 bekannt. Darin beschreiben wird das Verfahren zur Überprüfung einer Schaltungsanordnung zum Überwachen eines brennstoffbeheizten Gerätes mit einer Steuereinrichtung, der zumindest ein sicherheitsrelevantes Eingangssignal zugeführt ist, und mit einer Sicherheitseinrichtung, die eine Schaltvorrichtung zum Abschalten mindestens eines Ventils in einer Brennstoffzufuhr aufweist. Die Steuereinrichtung überwacht zumindest zwei Ausgänge der Zählvorrichtung, und schließt auf die Fehlerfreiheit der Schaltungsanordnung. Die Abschaltung erfolgt abhängig von dem sicherheitsrelevanten Eingangssignal und/oder Prüfsignal der Steuereinrichtung.
-
Ein weiteres Verfahren und eine Vorrichtung zum Unterbrechen einer Brennstoffzufuhr zu einem Verbrennungssystem ist aus der
DE 39 237 73 A1 bekannt. Ein brennstoffbeheiztes Gerät wird mit mindestens einem Mikrocomputersystem überwacht und gesteuert, welches über eine Vielzahl von Sensoren verfügt. Bei Verwendung von zwei Mikrocomputersystemen werden in beiden Systemen die sicherheitsrelevanten Eingangssignale eingegeben,womit jedes Mikrocomputersystem für sich die entsprechenden Stellsignale berechnet. Ein Ausgangssignal wird nur dann an die jeweiligen Endstufen weitergeleitet, wenn die Stellbefehle beide Mikrocomputersysteme identisch sind. Zusätzlich verfügt jedes Mikrocomputersystem unabhängig über die Möglichkeit, mit Hilfe einer Sicherheitsabschaltung alle Endstufen und Stellglieder stromlos zu schalten und damit das brennstoffbeheizte Gerät in den sicheren Zustand zu überführen.
-
Verbrennungssysteme, Gasfeuerungsautomaten sowie Verfahren und Vorrichtungen zum Unterbrechen einer Brennstoffzufuhr sind allgemein aus dem Stand der Technik bekannt.
-
Bei diesen bekannten Lösungen sind zwei unabhängige Abschaltwege vorgesehen. Hierbei weisen nur wenige Lösungen einen Überspannungsschutz auf, welche bei einer fehlerhaften oder unterbochenen Stromzufuhr ein ungewolltes Öffnen einer Gaszufuhrunterbrechung verhindern. In einer bekannten Lösung ist ein Überspannungsschutz an einem den Gasfeuerungsautomaten versorgenden Netzteil vorgesehen.
-
Der Überspannungsschutz wird in der Regel mit Z-Dioden oder Suppressor-Dioden, die parallel zur Logikversorgung geschaltet sind, erreicht. Dieser Überspannungsschutz ist jedoch sehr ungenau, wodurch zu versorgende Logikteile wie Mikrocontroller, sogenannte Watchdogs etc. sehr leicht beschädigt werden können und dadurch die Sicherheit des Gasfeuerungsautomaten verringern.
-
Auch sind Gasfeuerungsautomaten bekannt, die nur einen ihrer Abschaltwege, z.B. mit Hilfe einer internen Spannungsregelung, vor Überspannung schützen. Hier versagt der Gasfeuerungsautomat bei einer weitergehenden Betrachtung nach Norm EN 298 9.1.6.2, wenn dieser Abschaltweg bereits als defekt angenommen wird und eine Überspannung auftritt die den Rest der GFA-Schaltung gefährdet. Häufig ist der Überspannungsschutz nur eine redundante Maßnahme, die nicht prüfbar ist. Wird der Überspannungsschutz innerhalb der Lebensdauer des GFA aus irgendeinem Grund unwirksam, ist die Sicherheit des GFA gefährdet.
-
Bei Versagen lässt sich ein dritt- und mehrfach statischer Fehler nicht ausschließen. Bei dritt- oder mehrfach statischen Fehlern handelt es sich um Folgendes: Bei einem derartigen Fehlerfall kommt es vor, dass z.B. mehrere Ports eines Mikrocontrollers ihren Zustand dauerhaft behalten oder dass ein Mikrocontroller durch Überspannung, EMV-Puls o.ä. in einem aktuellen Zustand dauerhaft verharrt, ohne diesen wieder zu verlassen. Diese Fehlerbetrachtung soll bei einer Überarbeitung der Norm EN 298 berücksichtigt werden.
-
Der Erfindung liegt die Aufgabe zugrunde, eine Vorrichtung und ein Verfahren zum Unterbrechen einer Brennstoffzufuhr zu schaffen, bei denen die Logik- und/oder Schaltteile sicher geschützt sind und ein unbeabsichtigtes Öffnen einer Brennstoffzufuhr sicher verhindert ist.
-
Erfindungsgemäß wird dies durch die Gegenstände mit den Merkmalen des Patentanspruches 1, des Patentanspruchs 4 und des Patentanspruchs 7 gelöst. Vorteilhafte Weiterbildungen sind den Unteransprüchen zu entnehmen.
-
Das erfindungsgemäße Verfahren zum Unterbrechen einer Brennstoffzufuhr zu einem Verbrennungssystem mittels von einem Gasfeuerungsautomaten gesteuerten Ventilen, bei Vorliegen eines Sicherheitsbedenkens und/oder einer Störung, wobei das Unterbrechen über mindestens zwei unabhängige Abschaltwege durchgeführt wird, ist dadurch gekennzeichnet, dass mindestens eine unabhängige Überwachung mindestens eines der unabhängigen Abschaltwege über einen dritten, mit mindestens einem der unabhängigen Abschaltwege gekoppelten Abschaltweg durchgeführt wird, um bei Störung in mindestens einem der Abschaltwege eine sichere Unterbrechung der Brennstoffzufuhr zu gewährleisten, wobei der dritte Abschaltweg die Brennstoffzufuhr unterbricht, wenn ein von dem mindestens einen gekoppelten unabhängigen Abschaltweg generiertes dynamisches Signal ausbleibt.
-
In einer Ausführungsform des erfindungsgemäßen Verfahrens ist vorgesehen, dass die mindestens zwei Abschaltwege jeweils über mindestens eine unabhängige Überwachungseinrichtung überwacht werden.
-
In noch einem anderen Ausführungsbeispiel der vorliegenden Erfindung ist vorgesehen, dass der dritte Abschaltweg mit mindestens dem ersten und/oder dem zweiten Abschaltweg getriggert wird.
-
Die erfindungsgemäße Vorrichtung zum Unterbrechen einer Brennstoffzufuhr zu einem Verbrennungssystem mittels von einem Gasfeuerungsautomaten gesteuerten Ventilen, bei Vorliegen eines Sicherheitsbedenkens und/oder einer Störung, wobei mindestens zwei unabhängige Abschaltwege zum Unterbrechen der Brennstoffzufuhr vorgesehen sind, ist dadurch gekennzeichnet, dass Mittel vorgesehen sind, die mindestens eine, mit mindestens einem der unabhängigen Abschaltwege gekoppelte, Sicherheitseinrichtung umfassen, um bei Vorliegen einer Störung in dem mindestens einen unabhängigen Abschaltweg eine sichere Unterbrechung der Brennstoffzufuhr zu gewährleisten, wobei die Sicherheitseinrichtung mindestens einen abhängigen, insbesondere dritten, Abschaltweg umfasst, der über ein dynamisches Signal mit mindestens einem der unabhängigen Abschaltwege gekoppelt, insbesondere getriggert, ist
-
Wiederum eine weiteres Ausführungsbeispiel der vorliegenden Erfindung sieht vor, dass der abhängige Abschaltweg mindestens einen System-Basis-Chip, insbesondere einen Watchdog IC oder Wachhund IC, zum Überwachen des gekoppelten unabhängigen Abschaltweges umfasst.
-
Noch eine weitere Ausführungsform der vorliegenden Erfindung sieht vor, dass die Sicherheitseinrichtung mindestens für mindestens zwei unabhängige Abschaltwege je einen Stromausfallschutz, insbesondere einen Überspannungsschutz, aufweist.
-
Mit dem erfindungsgemäßen Verfahren, der erfindungsgemäßen Vorrichtung und der erfindungsgemäßen Verwendung der Vorrichtung werden insbesondere die folgenden Vorteile realisiert:
- Durch den dritten Abschaltweg lassen sich dritt- und/oder mehrfach statische Fehler vermeiden, welche zu einem ungewollten Öffnen von Stellgliedern wie Ventilen führen, was zu einer ungewollten Brennstoffzufuhr führen würde. Durch die Kopplung der Abschaltwege ist ein redundantes System geschaffen, welches sicher ausgebildet ist. Durch die Redundanz ist eine sicheres Gesamtsystem auf einfache Weise realisiert.
-
Die Zeichnungen stellen mehrere Ausführungsbeispiele der Erfindung dar und zeigen in den Figuren:
- 1 schematisch in einem Blockdiagramm ein Schaltungsanordnung einer Vorrichtung für einen Gasfeuerautomaten und
- 2 schematisch in einem Blockdiagramm eine andere Schaltungsanordnung einer Vorrichtung für einen Gasfeuerautomaten.
-
1 zeigt schematisch in einem Blockdiagramm eine Schaltungsanordnung einer Vorrichtung 1 für einen Gasfeuerautomaten. Eine Gasversorgung erfolgt entsprechend der Stellung zweier Sicherheitsmagnetventile 14, welche von einer Stromversorgung 12 gespeist werden. Bei einer Unterbrechung der Stromversorgung schließen die Sicherheitsmagnetventile 14 und unterbrechen so eine Gaszufuhr.
-
Um sicherzustellen, dass bei Störungen und/oder Vorliegen von Sicherheitsbedenken eine Gaszufuhr unterbrochen wird, umfasst die Vorrichtung 1 eine Sicherheitseinrichtung 4 mit einem ersten Abschaltweg 2, einem zweiten Abschaltweg 3 und einem erfindungsgemäßen dritten Abschaltweg 5. Die Abschaltwege 2, 3, 5 umfassen jeweils eine Logikschaltung oder einen Microcontroller 17, 10, 6, wobei jeder µC mit mindestens einem Schalter 16, 11, 19 zur Unterbrechung einer Stromversorgung der Sicherheitsmagnetventile 14 zusammenwirkt. Die Microcontroller 6, 10 und 17 werden in dem dargestellten Ausführungsbeispiel jeweils von einer eigenen Spannungsquelle versorgt. Zur redundanten Ausbildung der Sicherheitseinrichtung 4 weist diese mindestens für mindestens zwei unabhängige Abschaltwege 2, 3 je einen Stromausfallschutz 7, insbesondere einen Überspannungsschutz, auf, wobei hier nur einer schematisch dargestellt ist.
-
Der erste Abschaltweg 2 und der zweite Abschaltweg 3 sind über entsprechende Leitungen 8 mit einer lonisationsdetektionsschaltung 9 verbunden.
-
Eine Wärmeforderung wird, wie durch den Pfeil P dargestellt, ebenfalls an den µC 17 gesendet, der entsprechend die gekoppelten Komponenten schaltet. Je nach Wärmeforderung schaltet der µC 17 die Sicherheitsmagnetventile 14, wodurch die Brennstoffzufuhr entsprechend einer Sicherheitsmagnetventilstellung 14 geregelt oder eingestellt wird.
-
Im Folgenden ist der Aufbau detaillierter beschrieben. Der erste Abschaltweg 2 und der zweite Abschaltweg 3 sind über entsprechende Leitungen 8 mit einer lonisationsdetektionsschaltung 9 verbunden. Der zweite Abschaltweg 3 umfasst gemäß dem Ausführungsbeispiel nach 1 einen Asic, µC oder Watchdog-Logikbaustein 10. Dieser ist wiederum mit einem sogenannten Highside-Schalter 11 gekoppelt, der eine Spannungsversorgung 12 für Sicherheitsmagnetventile 14 schaltet oder unterbricht. Nachgeschaltet zu dem Highside-Schalter 11 ist eine Gasarmatur 13. Die Gasarmatur 13 umfasst die zwei Sicherheitsmagnetventile 14, welche ein entsprechendes Schalten der Brennstoffzufuhr regeln. Die Sicherheitsmagnetventile 14 können, wie dargestellt, parallel geschaltet sein. Eingangsseitig sind die Sicherheitsmagnetventile 14 über einen Sicherheitstemperaturbegrenzer 15 mit dem Highside-Schalter 11 gekoppelt. Nachgeschaltet zu den Sicherheitsmagnetventilen 14 ist jeweils ein Schalter 16 des ersten Abschaltweges 2. Die Schalter 16 werden über einen Mikrocontroller oder kurz µC 17 gesteuert, der in dem ersten Abschaltweg 2 umfasst ist. Je nach Stellung der Schalter wird die Stromzufuhr zu den Sicherheitsmagnetventilen 14 geschaltet oder unterbrochen. Der Mikrocontroller 17 steuert über eine entsprechende Schaltung 18, hier eine logische UND-Schaltung, die Stromzufuhr zu den Sicherheitsmagnetventilen 14, sodass eine Brennstoffzufuhr entsprechend auch über den ersten Abschaltweg 2 durch Schalten des Schalters 11 und damit der Stromzufuhr zu den Sicherheitsmagnetventilen 14 schaltbar ist. Eine Wärmeforderung wird, wie durch den Pfeil P dargestellt, ebenfalls an den µC 17 gesendet, der entsprechend die gekoppelten Komponenten schaltet. Je nach Wärmeforderung schaltet der µC 17 die Sicherheitsmagnetventile 14, wodurch die Brennstoffzufuhr entsprechend einer Sicherheitsmagnetventilstellung 14 geregelt oder eingestellt wird.
-
Der µC 17 bearbeitet somit die Wärmeforderungen und betreibt den Brenner. Demgegenüber steht dem µC 17 der Watchdog, ASIC oder µC 10 des zweiten Abschaltweges 3, der in dem Ausführungsbeispiel nach 1 die Flamme eines Brenners anhand eines Flammsignals (lonisation) überwacht. Mit dem ersten Abschaltweg 2 ist die Sicherheitseinrichtung 4, genauer der dritte Abschaltweg 5 der Sicherheitseinrichtung 4 gekoppelt. Der dritte Abschaltweg 5 umfasst den System-Basis-Chip 6, der vorliegend als Watchdog ausgebildt ist. Der Watchdog 6 wird durch den µC 17 regelmäßig getriggert, etwa über ein dynamisches Signal. Wird der Watchdog 6 nicht getriggert, öffnet er einen Lowside-Schalter 19, wodurch die Magnetsicherheitsventile 14 geschlossen werden. Damit wird das System auch im Falle von dritt statischen Fehlern in einen sicheren Zustand gebracht. Über den System-Basis-Chip 6 wird der der Gasarmatur 13 nachgeschaltete Schalter 19 geschaltet, sodass auch über den dritten Abschaltweg 5 eine Brennstoffzuführungsunterbrechung realisierbar ist. Der Watchdog 6 des dritten Abschaltwegs kann als Time Out Watchdog, ein Zeitfenster Watchdog oder einen intelligenten Watchdog mit Frage-Antwort-Protokoll ausgebildet sein. Der Lowside-Schalter 19 umfasst bevorzugt einen N-Kanal Power MosFET.
-
Die Sicherheitseinrichtung 4 umfasst zudem einen Stromausfallschutz 7, der hier als Überspannungsschutz in dem Logikbaustein 10 integriert ist.
-
2 zeigt schematisch in einem Blockdiagramm eine andere Schaltungsanordnung einer Vorrichtung 1 für einen Gasfeuerautomaten. Die Funktionsweise entspricht im Wesentlichen der gemäß dem Ausführungsbeispiel nach 1. Die Sicherheitseinrichtung 4 umfasst dabei ebenfalls drei Abschaltwege 2, 3, 5. Der erste Abschaltweg 2 umfasst den µC 17, der die eingehende Wärmeforderung bearbeitet und den Brenner betreibt. Zwei der Abschaltwege 2, 3, 5 sind vor Überspannung geschützt. Im vorliegenden Beispiel ist es der zweite und der dritte Abschaltweg 3, 5. Sie lassen sich, aufgrund einer geringeren Pinanzahl, weniger aufwändig, an allen Pins gegen Überspannungen schützen. Der zweite Abschaltweg 3 umfasst einen ASIC 10, das einen internen Spannungsregler besitzt und damit die integrierte Logik vor Überspannung schützt. Auch sind sämtliche Pins des ASIC bis zu 42 V spannungsfest. Eine Ausnahme bilden die Eingänge eines Resonators, der keine Verbindung zu anderen Schaltungsteilen hat. Der dritte Abschaltweg 5 umfasst einen Watchdog oder Timer IC. Er wird über eine Schutzbeschaltung 20 mit einer Ventilversorgungsspannung versorgt. Ein Triggereingang B ist über einen hochohmigen Vorwiderstand vor Überspannung seitensµC 17 (erster Abschaltweg 2) gescützt. Beide spannungsgeschützten Abschaltwege 3, 5 steuern je einen Schalter 16, 19, der die Stromversorgung für die Sicherheitsmagnetventile 14 im Fehlerfall unterbricht. Die Schalter 16 und 19 liegen bezüglich ihrer Spannungsfestigkeit oberhalb der maximal („worst case“) auftretenden Ventil-Versorgungsspannung und tragen ihrerseits zum Überspannungsschutz bei. Der dritte Abschaltweg 5 ist in 2 genauer dargestellt und im Folgenden detailliert beschrieben:
- Der Watchdog 6 des dritten Abschaltwegs 5 baut auf ein retriggerbares Monoflop 6a auf. Der µC 17 muss das Monoflop 6a regelmäßig durch einen Puls triggern. Tut er das nicht, schaltet das Monoflop 6a über seinen Ausgang Q ein MOSFET 19 ab und sperrt die Stromversorgung der Gasventile 14. Das Monoflop 6a wird über die Kombination von Widerstand Rv und Spannung Uz vor Überspannungen auf der Ventilversorgung geschützt und stellt somit eine Abschaltung sicher, insbesondere wenn die anderen Abschaltwege 2, 3 durch Überspannung der 5V Logikversorgung 21 bereits zerstört wurden. Eine Fehlerbetrachtung nach Norm EN 298 in dieser Kombination führt zum Erkennen des Fehlers. Der Widerstand Rp schützt zusätzlich den Monoflop Eingang A vor Überspannung seitens des µCs 17. Der Widerstand Ra verhindert ein schwebendes Signal bei defektem µC 17.
