DE2354050A1

DE2354050A1 - Verfahren und vorrichtung zum schutz einer anlage

Info

Publication number: DE2354050A1
Application number: DE19732354050
Authority: DE
Inventors: Jack Ascher Schuss
Original assignee: Combustion Engineering Inc
Current assignee: Combustion Engineering Inc
Priority date: 1972-11-02
Filing date: 1973-10-29
Publication date: 1974-06-06
Also published as: US3849056A; JPS4977073A; CA1000835A

Description

B e s σ h r e i b u η g zum Patentgesueh

der Firma Combustion Engineering, Inc., Windsor, Conn. 06095 / USA

betreffend:

Verfahren und Vorrichtung zum Schutz einer Anlage ■ ■ ■

Die Erfindung betrifft ein Verfahren und eine vorrichtung zum Schütz einer Anlage. Insbesondere betrifft sie ein digitales Brennerregelsystem zur Verbesserung der Betriebssicherheit von Dampferzeugern« Ohne hierauf begrenzt zu sein, ist die Erfindung insbesondere geeignet für ein Brennerregelsystem für einen mit Brennstoff beschicktem Feuerraum wie er durch Elektrizitätswerke verwendet wird> um öfen Dämpf zürn Antrieb von Turbinen zu erzeugen. Demgemäß wird die Erfindung für öiü Brennerregelsystem beschrieben und herkömmlichen Systemen dieser Art gegenübergestellt. . . '

Die Sicherheitsanforderüngen für den Betrieb des Feuerräumes eines Dampferzeugers sind allgemein beschrieben irt de* US Patentschrift Re 26 167. Darin wird ein fest verdrahtetes Brennerregelsystem erläutert, wie es in den letzten Jahren in der Industrie üblich geworden ist. Als Alternative zu dem fest verdrahteten Typ eines Reglers wurde versucht, die Sicherheitsüberwachung des Dampferzeugers einem in geeigneter Weise.programmierten, großen, allgemein verwendbaren Rechner zu übertragen, der schon an einer entsprechenden Stelle angeordnet ist und bereits andere

409823/0716

Betriebsfunktionen der Anlage ausführt. Aus den noch zu erläuternden Gründen haben sowohl der fest verdrahtete Typ als auch der Typ eines Regelsystemes mit universell verwendbarem Rechner beträchtliche Nachteile.

Bei den fest verdrahteten Regeleinrichtungen wurden sowohl elektromechanische Relais als auch Festkörper-Schalteinrichtungen verwendet. Während fest verdrahtete Regeleinrichtungen relativ niedrige Anfangskosten im Vergleich zu anderen früher verfügbaren Systemen, haben,- mit der Ausnahme, daß die Anforderungen an die Unterdrückung von Stör- und Einschwingsignalen die Kosten der Festkörper-Schaltsysteme wesentlich erhöhten, ergaben sich bei derartigen fest verdrahteten Systemen eine Reihe von unerwünschten Begrenzungen bei der Auslegung und im Betrieb der Anlage. Da beispielsweise alle fest verdrahteten Systeme manuell hergestellt und installiert werden müssen, ist eine Beschädigung der Bauteile durch Verdrahtungsfehler bei der Herstellung und der Simulation unvermeidbar. Weiterhin ist die betriebsmäßige Simulation von fest verdrahteten Systemen unwirtschaftlich und teuer, was teilweise darauf beruht, daß eine beträchtliche Anzahl von Schaltungsdiagrammen verfolgt werden muß, welche ihrerseits mit hohen Kosten hergestellt wurden. Hiermit hängt auch das Problem zusammen, das alle Schaltungsdiagramme nach jeder Änderung oder Verbesserung der Logikdiagramme auf den neuesten Stand gebracht werden müssen, wenn sich derartige Änderungen während der Simulation oder während der Installation und Überprüfung als notwendig erwiesen haben. Nach der Installation ist die Änderung eines fest verdrahteten Regelsystemes äußerst schwierig und natürlich auch für die Bedürfnisse der Praxis nicht flexibel. Auch kann eine erhöhte Zuverlässigkeit durch die Verwendung von Redundanzen bei einem fest verdrahteten Regelsystem nur mit vergleichsweise hohen Kosten erreicht werden, und es ist äußerst schwierig_/ eine Einrichtung zur Selbstüberwachung des Regelsystemes und seiner Bauteile vorzusehen.

409823/0718

Die Verwendung eines in der Anlage eingebauten universellen Rechners für spezielle Regelungs- oder Steuerunterprogramme, beispielsweise die Brennersteuerung, hat ebenfalls wesentliche Nachteile. Die Verwendung eines einzigen großen teueren universellen Rechners, vielleicht noch mit einem ebenso "teueren Reserverechner, ergibt offensichtliche funktioneile und wirtschaftliche Nachteile, wenn man sich an die extremen Kosten für Kraftwerke im Falle von Betriebsunterbrechungen erinnert. Beispielsweise würde ein Fehler in dem Rechner oder dessen Netzgerät, welcher mit der zu überwachenden Anlage überhaupt nichts zu tun hat, zu einer derartigen Betriebsunterbrechung führen können, wenn ein einziger Rechner in der Anlage verwendet wird.

Zusammengefaßt besteht seit langem ein Bedarf nach einem flexiblen und verlässlichen Verfahren zur Überwachung bzw. Regelung des Feuerraumes des Dampferzeugers oder einer ahn- ., liehen Einrichtung. Das Hauptziel beim Entwurf eines derartigen Systemes muß darin bestehen, daß die beschriebenen Betriebsunterbrechungen weitgehend vermieden werden. Darüberhinaus soll ein derartiges Uberwachungs- und Regelsystem vergleichsweise preiswert, einfach zu installieren, und mit eigener Fehlerkontrolle versehen sein. Auch soll es direkt an bestehende Rechner anschließbar sein, um die Überwachung des RegelVerhaltens zu erleichtern.

Das Verfahren und die Vorrichtung nach der Erfindung zur Lösung dieser Aufgabe sind in den Patentansprüchen 1 und 4 angegeben. Dementsprechend werden Gruppen von miteinander verbundenen

- .ti

Prozeßparametern der Anlage erfaßt und Signale nach Maßgabe der erfaßten Parameter jeder Gruppe an getrennte Regler einer ersten Anzahl von programmierbaren Reglern geleitet. Die Regler der ersten Anzahl erzeugen Ausgangssignale, welche den augenblicklichen Zustand der Betriebssicherheit desjenigen Teiles des Verfahrens der Anlage angeben, welcher gerade durch jeden Regler

409823/071$

- ⁴ - 235A050

entsprechend den Signalen-jeder Gruppe von Reglern überwacht wird. Die von jedem programmierbaren Regler der ersten Anzahl von Reglern abgegebenen Sicherheitssignale werden als Eingangssignale zweiten und dritten Reglern zugeführt. Die zweiten und dritten Regler sind derart programmiert, daß die durch die Hegler der ersten Anzahl von Reglern abgegebenen Sicherheitssignale eine "Stimme¹¹ bei der Berechnung der Entscheidung haben, ob das Verfahren beendet werden soll. Daher lösen die beiden "höheren" bzw. zweiten und dritten Regler in redundanter Weise Sicherheitsgleichungen entsprechend der Information, die von den ersten unabhängigen, untergeordneten, programmierbaren Reglern abgegeben werden und überprüfen dabei das Betriebsverhalten der untergeordneten Recheneinrichtungen.

Gemäß der Erfindung werden also mehrere programmierbare Regler in einer hierarchischen Ordnung miteinander verbunden. Es wird die Flexibilität der programmierbaren Regler oder Rechner ausgenutzt, ohne daß die Zuverlässigkeit des ganzen Systemes von irgendeinem einzelnen Regler oder Rechner abhängt.

Im folgenden wird die Erfindung anhand eines bevorzugten Ausführungsbeispieles unter Bezugnahme auf die Zeichnungen erläutert; es stellen dar:

Fig. 1 ein Blockschaltbild einer gemäß der Erfindung aufgebauten Anlage;

Fig. 2 ein ausführlicheres Schaltbild, aus welchem die Einrichtung hervorgeht, durch welche die Leistung zum Betrieb der Anlage gemäß Fig. 1 erzeugt wird;

Fig. 3 ein Funktions-Blockdiagramm eines der "Höhenregler" der Ausführungsform gemäß Fig. 1; und

Fig. 4a und 4b

ein Funktions-Blockdiagramm von einer der redundanten

409323/0716

235405O

Sicherheitsprüfschaltungen gemäß Fig* I.

In Fig. 1 ist ein Blockdiagramm einer bevorzugten Ausführungsform eines Regelsystemes gemäß der Erfindung dargestellt. Dabei wird die Erfindung zusammen mit einem Brennerregelsystem für einen Heizraum 10 dargestellt. Für die Zwecke der Erläuterung wird davon ausgegangen, daß der Heizraum 10 drei Brennerbereiche in verschiedenen Höhen enthält, wobei jeder Bereich aus mehreren Brennerdüsen besteht* Typischerweise ist in jedem Bereich jeweils eine Brennerdüse in jeder Ecke des Heizraumes . vorgesehen. Wie in der US Patentschrift Re 26 167 erläutert ist, muß beim Betrieb eines Dampferzeugers ein Schutz gegen den Eintritt von Brennstoff zu den Brennern und zu der Ofenkammer vorgesehen werden, wenn keine Flamme brennt, welche die nötige Zündenergie zum Zünden und Verbrennen des Brennstoffs aufbringt. Das Einspritzen von nicht gezündetem Brennstoff in die Brennkammer würde zur Erzeugung eines höchst explosiven Brennstoffgemisches führen.

Erfindungsgemäß wird eine funktioneile Trennung des Brennersystemes durch das Zünden von Brennerbereichen vorgesehen. Im normalen Betrieb der meisten Dampferzeuger wird ein ganzer Bereich von Brennern ein- oder ausgeschaltet, wie es die Lasterfordernisse gebieten. Indem die Brennerbereiche bzw. Brenner- ■ höhen getrennt geregelt werden, kann ein Betrieb mit herabgesetzter Kapazität erreicht werden, wenn dieses erwünscht oder deshalb erforderlich ist, weil in einer Brennerhöhe eine Fehlfunktion aufgetreten ist. In diesem Fall wird die Brennstoffzufuhr zu den Brennern in dieser Höhe unterbrochen„ Gemäß der Erfindung werden die erforderlichen Parameter in jeder Brennerhöhe durch geeignete Meßfühler erfaßt und durch Meßwertumformer Signale erzeugt und an mehrere "Rechner" weitergegeben. Für jede Brennerhöhe ist ein getrennter Rechner vorgesehen. In Fig. sind die Rechner mit 12, 14 und 16 bezeichnet. Aus noch zu beschreibenden Gründen sind zusätzliche Rechner 18 und 20 vorge-

409823/0716

sehen. Alle'fünf Bechner sind üblicherweise identisch und enthalten kleine, universelle, digitale Rechner mit gespeichertem Programm, welche einen Speicher, eine Zentraleinheit, Register und Logikschaltungen enthalten. Während der Ausdruck "Rechner¹¹ als Gattungsbegriff verwendet wurde, sollen unter den Einrichtungen 12, 14, 16, 18 und 20 programmierbare Regler verstanden werden, die Logiksehaltungen, nicht aber das gesamte Rechenwerk eines universellen Rechners enthalten. Daher sind die verwendeten "Rechner¹¹ vergleichsweise billig und sind dazu in der Lage, ein Regel- und Steuerprogramm mit einer Vielzahl von Funktionen * auszuführen.

Die Eingänge jedes "Rechners" 12, 14 und 16 erhalten Signale entsprechend den Parametern in der entsprechenden Brennerhöhe des Feuerraumesa Betrachtet man eine Höhe eines Feuerraumes mit vier Brennern, so'erhält der entsprechende Rechner Eingangssignale entsprechend mehreren abgetasteten Zuständen, die den Betriebszustand jeder Brennerdüse in jeder Höhe angeben. Diese Eingangssignale sind binär und werden durch Begrenzungsschalter, Druckdifferenzschalter, optische Flammenabtaster und dergleichen erzeugt. Im Falle eines mit öl beheizten Brenners sind die verschiedenen Schalter für die Eingangssignale beim Betrieb jedes Brenners in Fig. 2 der US Patentschrift 3 258 053 dargestellt. Das durch optische Flammenabtastung erhaltene Eingangssignal jedes Brenners ist in Fig. 4 der US Patentschrift Re 26 167 dargestellt. Der normale Betrieb jedes der Rechner 12, 14 und 16 entspricht den Funktionen, die durch die herkömmlichen fest verdrahteten Systeme gemäß den US Patentschriften 3 258 053 und Re 26 167 ausgeführt werden. Die erste US Patentschrift betrifft die einer "Ecke" zugeordneten Logikschaltung einer Brennerhöhe mit vier Brennerdüsen. Jeder der Rechner 12, 14 und 16 ist daher so programmiert, daß ein Teil des Rechners eine Brennerhöhe während des üblichen Einschalt- und Ausschaltbetriebes überwacht. Die Rechner 12, 14 und 16 ergeben Ausgangssteuersignale, welche nach entsprechender Signalverarbeitung an die verschiedenen

A09823/0716

2354055

Stellglieder und Ventile für die Brenner abgegeben werden.

Die Rechner 18 und 20 führen einen redundanten "Sicherheitsprüfbetrieb" für das gesamte Brennerregelsystera aus und ergeben die "Anlagen¹¹- und ^Aufwärm" -Regelung bzw. überwachung des Heizraumes. Der Regler 18 überwacht die Reinigung des Heizraumes, den Hauptabschaltbetrleb des Brennstoffventiles, die überwachung des Luftdurchsatzes, die Speisewasserzuführung für den Feuerraum, die hilfsweise Luftdämpfersteuerung und dergleichen. Der Rechner 20tarirkt die Atifwärmregelung über eine Vielzahl von unabhängigen Brennern, die in der niedrigsten Höhe im Heizraum IO angeordnet sind. Durch die Temperaturüberwachung des Ausgangsgases des Heizraums werden die Rechner 12, 14 und 16 in der geeigneten Reihenfolge nur dann ausgelöst, wenn der Einschaltvorgang bzw. Aufwärmvorgang abgeschlossen ist. Die Startbefehle für die Rechner 12, 14 und 16 können manuell von einem Steuerpult in einer Steuerkonsole 22 oder automatisch durch die Steuerung des Anlagenrechners 18 erfolgen.

Wie erwähnt, enthält die Anlage gemäß der Erfindung auch ein Hauptschaltpult 22. Durch dieses Schaltpult kann der Betrieb des gesamten Brennersystemes überwacht werden, und es sind Steuerschalter vorgesehen, welche wahlweise das Beheizen jedes der Höhenbereiche der Brenner über die Rechner 12, 14 und 16 auslösen und/oder unterbrechen. Dadurch kann die Anlage natürlich den Heizraum mit einer geringeren Leistung als der maximalen Leistung betreiben.

In Fig. 2 ist ein erweitertes Blockdiagramm zur Erläuterung der Ausführungsform gemäß Fig. 1 dargestellt. Aus diesem geht insbesondere die Einrichtung hervor, durch welche die Leistung an die Rechner abgegeben wird. Zur Vereinfachung der Zeichnung sind nur die Rechner 18 und 20 dargestellt. Aus Fig. 2 gehen auch die Anschlüsse für die Eingangs- und Ausgangssignale der Rechner hervor. Das Netzgerät für die Ausfuhrungsformen gemäß

409823/0716

Fig. 1 und 2 enthält zwei unabhängige Wechselspannungsquellen 24 und 26. Die Spannungsquelle 24 ist die reguläre Stromversorgung/ und die Spannungsquelle 26 stellt das Ersatzgerät dar. Das Netzgerät enthält auch eine automatische Schalteinheit 28, welche in bekannter Weise das Ersatzgerät automatisch einschaltet, wenn die reguläre Wechselspannungsversorgung ausfällt. Zusätzlich enthält das System ein Gleichspannungsnetzgerät 30, durch welches Leistung an eine Auslöseschaltung für die gesamte Anlage abgegeben wird, wenn mehrere Fehler in dem System auftreten.

Die Wechselspannung von der Leistungsquelle wird gemäß der Stellung des Schalters 28 an zehn abgesicherte Leitungen und eine einzige nicht-abgesicherte Verzweigungsleitung abgegeben. Von den abgesicherten Verzweigungsleitungen geben die Zweige 32, 34, 36, 38 und 40 die Leistung an entsprechende einzelne Rechner 20, 18, 16, 14 und 12 ab. Die anderen fünf abgesicherten Verzwelgungsleiter geben die Leistung über Inter-f-aceeinrichtungen an die Ausgangseinrichtungen ab, die unter der Steuerung der verschiedenen Rechner betrieben werden. Dadurch gibt beispielsweise die abgesicherte Verzweigungsleitung 42 über mehrere dem Rechner 18 zugeordnete Ausgangssignalumformer 44 Leistung ab, durch welche das Stellglied des Hauptabschaltventiles für den Brennstoff des Heizraums 10 und verschiedene andere Einrichtungen betrieben werden. Die durch den Rechner gesteuerten Steuerglieder sind allgemein mit 46 bezeichnet. Die nicht abgesicherte Wechselspannungsleitung 48 gibt die Leistung direkt an die Eingangssignalumformer ab, beispielsweise an die Eingangssignalumformer 50 des Rechners 18 jedes der fünf Rechner. In bekannter und in Fig. 2 nicht erläuterter Weise ist eine Einrichtung zur Erfassung von zu niedrigen Spannungen vorgesehen. Beispielsweise ist ein spannungsempfindliches Relais parallel zu den anderen Ausgangssignalumformern jedes der fünf Rechner und den Lasten der Umformer geschaltet. Die von derartigen Spannungswächtern abgeleiteten Ausgangssignale zeigen die

AÖ9823/0716

verfügbare Leistung zur Betätigung der Stellglieder 46 an. Eine interne überwachungsschaltung in den Rechnern ergibt zusätzliche Signale entsprechend dem Betriebszustand der Rechner. Diese zusätzlichen Signale werden durch den zugeordneten Rechner derart weitergeleitet, daß sie die überwachung des Ausgangssignales jedes Rechners durch dessen Ausgangsumformer und die überprüfung des Betriebsverhaltens des Rechners sowie des Zustands seines zugeordneten Meßgerätes und dessen Eihgangsleistung überwachen. Da alle Eingangssignalumformer von einer gemeinsamen nicht abgesicherten Wechselstromquelle gespeist werden, können ausgewählte Eingangsdaten an zweifach vorhandene. Eingangsumformer abgegeben werden, so daß die selektive Redundanz des Systemes vereinfacht wird. Die gemeinsame Versorgungsleitung für die Eingangsumformer ist nicht abgesichert, da es nicht wünschenswert wäre, das System lahm zu legen und möglicherweise in dem unwahrscheinlichen Fall einer überlast in einer der Eingangseinrichtungen den Feuerraum zu aktivieren. Die Eingangseinrichtungen sind derart ausgelegt, daß sie bei überlast keinen Schaden nehmen. Die Gleichspannung von dem Netzgerät 30 wird über die Leitung 52 an die Hauptsicherheitsschaltung des Feuerraumes über die in Reihe geschalteten Kontakte 54 und 56 eines Paares von Verzögerungsrelais abgegeben. Die durch diese Relais bewirkte Zeitverzögerung ist erforderlich, damit die Anlage nicht ausgelöst wird, wenn die Leistung von der Wechselspannungsquelle 24 auf die Spannungsquelle 26 umgeschaltet wird. In bekannter Weise kann die Hauptfeuerraum-Auslöseschaltung ein Hauptbrennstoff relais enthalten, welches das Schließen eines Hauptbrennstoffventiles und das Abschalten der dem Heizraum zugeordneten Turbinen und anderen Hilfseinrichtungen bewirkt. Die Schaltkontakte 54 und 56 sind normalerweise geöffnet und werden in noch zu beschreibender Weise über entsprechende Verzögerungsrelais 58 und 60 und diesen zugeordnete Verstärker 62 und 64 von den Ausgangssignalen der Rechner 18 und 20 betätigt.

Bevor die Funktion und Verbindung der einzelnen Rechner ent-

409823/0716'

235405Ö

• sprechend den Funktionsdiagrammen der Fig. 3 und 4 beschrieben werden, wird die Steuerung der Brenner in einer Höhe des Heizraumes kurz erläutert. Hierzu wird Bezug genommen auf die OJtierikanische Patentanmeldung SN 214 876, welche am 3. Januar 1972 von J.A. Schuss für die gleiche Anmelderin eingereicht wurde. Bei einem mit öl beheizten Heizraum 10 in Fig. 1 sind typischerweise in einer Höhe vier öleinspritzeinrichtungen und entsprechende Zündeinrichtungen vorgesehen. Die öleinspritzeinrichtungen sind zur mechanischen Zerstäubung des dem Heizraum zugeführten Brennstoffs ausgelegt. Die Versorgungsleitung für jede einzelne öleinspritzeinrichtung ist mit einem manuell betätigbaren Abschaltventil, einem elektrisch betätigten Abschaltventil und einem Druckschalter versehen. Der Druckschalter gibt den Druckverlust abstromseitig von dem Abschaltventil an, der durch Lecken, eine fehlerhafte Verbindung oder einen fehlerhaften Auslösezustand verursacht wurde. Jede Ölversorgungsleitung enthält auch eine Reinigungsdampfverbindung. Der Vorratsbehälter für den Reinigungsdampf enthält auch ein automatisch betätigtes Abschaltventil, ein Prüfventil und ein manuell betätigtes Abschaltventil. Jede der Einspritzeinrichtungen enthält weiterhin einen Rückzugsmechanismus, welcher dazu verwendet wird, um die Einspritzeinrichtungen aus dem. Bereich hoher Temperaturen im Heizraum herauszuziehen, wenn sie nicht im Gebratich sind. Auch sind entsprechende Begrenzungsschalter vorgesehen.

Die öleinspritzeinrichtungen und Zündeinrichtungen für eine gegebene Höhe werden durch die gleiche funktioneile "Unterschleife" bzw. das gleiche Unterprogramm, d.h. durch den gleichen Rechner geregelt. Wenn die Vorbedingungen für den Betrieb durch die Anlagen- und Aufwärmregler erfüllt sind, kann ein Steuersignal erzeugt werden, welches zunächst die Zündeinrichtungen und dann die zugeordneten öleinspritzeinrichtungen auslöst. Es ist eine erste Vorbedingung des Systemes, daß die Zündeinrichtungen zunächst den Betrieb aufnehmen und ihr Betrieb nachgewiesen wird.

409823/0718

Es darf jedoch keine Zündeinrichtung in Betrieb genommen werden, wenn nicht ihr die Flamme nachweisender Differenzdruckschalter ordnungsgemäß arbeitet und ursprünglich ein Signal abgibt, dass keine Flamme brennt. Der Startbefehl betätigt auch die Summeranlaßzündung und kann verwendet werden, damit die zugeordneten Luftdämpfer für ihre entsprechende Steuerung zur Modulation freigegeben werden. Nachdem die Zündung erfolgt ist, werden die einzelnen öleinspritzeinrichtungen nacheinander in Betrieb genommen und jede öleinspritzeinrichtung überprüft, um sicherzustellen, daß alle EinsehaltVorbedingungen erfüllt sind. Wenn die Einschaltvorbedingung erfüllt ist, werden die öleinspritzeinrichtungen in den Heiζraum bewegt und dann das Ölversorgungsventil geöffnet.

Wenn eine ausreichende Zeitspanne vergangen ist, damit alle öleinspritzeinrichtungen in der bestimmten Höhe in Betrieb genommen worden sind, wird die Anzahl der offensichtlich nicht ordnungsgemäß arbeitenden öleinspritzeinrichtungen gezählt, und > wenn diese Anzahl annehmbare Grenzen überschreitet, werden alle Brenner in einer Höhe abgeschaltet. Das Abschalten der öleinspritzeinrichtungen für eine bestimmte Höhe erfolgt in einer ähnlichen Weise wie das Einschalten unter der Steuerung eines zugeordneten Rechners. Falls die Entscheidung zur Abschaltung der Brenner in einer bestimmten Höhe bei einer offensichtlichen Fehlfunktion getroffen wird, im Gegensatz zu dem Bestreben, die Leistung entsprechend der Feuerraumlast herabzusetzen, wenn eine Bedienungsperson an der Steuertafel einen entsprechenden Befehl gibt, wird die unerwünschte oder durch den Rechner gesteuerte Abschaltung gespeichert und ein Alarmsignal ausgelöst, so daß die Bedienungsperson der Anlage veranlaßt wird, eine geeignete Korrektur vorzunehmen. Wenn in einer Höhe ein Abschaltsignal erzeugt worden ist, werden die Zündeinrichtungen wieder betätigt, damit sie den Spülzyklus unterstützen und die öleinspritzeinrichtungen werden nacheinander außer Betrieb genommen. Das Abschaltverfahren enthält auch eine vollständige Reinigung jeder öleinspritzeinrichtung. Wenn die Reinigung abgeschlossen ist,

409823/0716

wird die (^einspritzeinrichtung automatisch zurückgezogen. Am Ende des gesamten Reinigungszyklus einer Höhe werden die Zündeinrichtungen außer Betrieb genommen.

Unter Bezugnahme auf Fig. 3 wird ein Funktionsdiagramm der . Logikschaltung jedes der Rechner 12, 14 und 16 bei einem Flammenausfall erläutert. Diese Rechner sowie die Rechner 18 und 2O sind programmierbare Regler oder Steuergeräte, welche die zeitliche Folge, das Zählen, die Logik- und Zeitfunktionen ausführen. Beispielsweise können die Regler einen Speicher mit wahlfreiem Zugriff, eine Zentraleinheit, Register und Verknüpfungsglieder aufweisen, wie es in Fig. 2 bei dem Rechner dargestellt ist. Die Eingangs- und Ausgangsglieder, beispielsweise die umformer 50 und 44 jedes Rechners 18 ergeben die erforderliche Isolation für jeden Eingangssignalpegel und passen diesen an die Erfordernisse der Rechnerlogik an. Sie ergeben auch die erforderliche Leistung zum Betrieb der Ausgangseinrichtungen über die Netzgeräte.

Wie schon angemerkt wurde, ist jeder der Rechner 12, 14 und identisch aufgebaut und führt identische Regelungs- und Überwachungsfunktionen für eine getrennte Brennerhöhe in dem Heizraum 10 aus. In Fig. 3 ist ein Funktionsdiagramm eines Teiles der Sicherheitslogik des Rechners für eine der drei Höhen angegeben, wobei von einem Heizraumsystem mit vier Brennern in jeder Höhe ausgegangen wird. Zusätzlich zu den üblichen Regelfunktionen, welche keinen Teil der Erfindung bilden, ergeben diese Rechner einen Schutz bei Flammenausfall und erzeugen Ausgangssignale im Alarmfall, beim Flammenausfall, bei einer Fehlfunktion des Rechners oder einem Leistungsausfall oder einem Leistungsverlust für die Stellglieder, die durch die Steuersignale des Rechners betrieben werden» Zunächst wird die Logik für den.Schutz bei einem Flammenausfall betrachtet. Wenn drei von vier den Schaiteinrichtungen zugeordnete Flammenabtasteinrichtungen anzeigen, daß keine Flamme brennt und zwei von vier

409823/0716

überwachungsschaltern für die Zündenergie der Zündeinrichtungen den Verlust von Zündenergie anzeigen, werden durch die Abtastelektronik 70 Signale erzeugt. Diese enthält einen Zähler und eine bekannte Logikschaltung sowie die interne Zähllogikschaltung 82 des Rechners. Diese Signale werden einem UND-Gatter 72 zugeführt. Der Ausgang des UND-Gatters 72 wird zusammen mit einem Zählsignal"für den Ventilausfall einem ODER-Gatter 74 zugeführt. Dieses Zählsignal wird durch die Zählschaltung 76 des Rechners erzeugt, wenn in dem beschriebenen Beispiel zwei von vier Brennstoffsteuerventilen des Brenners als nicht geöffnet · ausgewiesen werden. Das Ausgangssignal des ODER-Gatters 74 und ein Signal, welches die verfügbare Leistung und die Betriebsbereitschaft der Rechenlogikschaltung angibt und von einer weiteren Schaltung 78 des Rechners erzeugt wird, werden einem UND-Gatter 80 zugeführt, welches ein Signal abgibt, wenn ein Flammenausfäll aufgetreten ist. Wie noch beschrieben wird, wird dieses Signal für den Flammenausfall als eines der Eingangssignale der Sicherheitsprüflogik der Rechner 18 und 20 zugeführt.

Jeder der Rechner 12, 14 und 16 gibt auch über einen Spannungswächter 86, der in ähnlicher Weise wie die Verzögerungsrelais 58 und 60 verbunden ist, ein Ausgangssignal ab, welches entweder einer Fehlfunktion des Rechners oder einem Leistungsausfall für den Rechner entspricht.

Die Rechner für die Brenner in den einzelnen Höhen erzeugen auch Auslösesignale. Die Rechenzählschaltung 82 ergibt ein Ausgangssignal, wenn zwei von vier Differenzdruckschaltern für die überwachung der Zündeinrichtung anzeigen, daß die Zündenergie nicht ausreicht. Dieses Signal wird einem UND-Gatter 84 zugeführt. Auch wird dem UND-Gatter 84 ein Signal zugeführt, welches angibt, daß sich irgendein Brennstoffventil geöffnet hat (irgendein Brennstoffventil nicht geschlossen ist), wie es durch die Zählschaltung 76 erfaßt wird. Am Ausgang des UND-Gatters 84 wird ein Signal abgegeben, welches die Logik der Rechner 18 und 20 für den Flammen-

409823/0716

"ausfall betätigt. Der Ausgang des Gatters 84 stellt daher ein weiteres Eingangssignal für die Sicherheitsprüflogik jedes der. Rechner 18 und 20 dar.

Aus noch zu beschreibenden Gründen können die Rechner für jede Brennerhöhe auch Signale an die Sicherheitsprüflogik abgeben, welche den geschlossenen Zustand aller Brennstoffventile oder aller Zündventile und den nicht-geschlossenen Zustand irgendeines Zündventiles angeben. Das Signal, welches anzeigt, daß alle Brennstoffventile geschlossen sind, wird erzeugt, indem in einer ümkehrschaltung 90 das durch die Logikschaltung 76 abgegebene Signal negiert wird, daß irgendein Ventil nicht geschlossen ist. Durch die Logikschaltung 92 des Rechners wird ein Signal erzeugt, wenn alle Zündventile geschlossen sind,- und dieses Signal wird in einer ümkehrschaltung 94 negiert, so daß ein Signal·erhalten wird, welches angibt, daß irgendeines der Zündventile nicht geschlossen ist.

Durch eine Niederspannungseinrichtung wird ein Signal über den Leistungsverlust an die Ausgangssignalumformer des Rechners für eine Brennerhöhe und auch an die von diesen betriebenen Einrichtungen abgegeben. Diese Niederspannungseinrichtung bildet keinen Teil des Rechners, und dieses Signal wird über ein Verzögerungsrelais 98 an die Sicherheitsprüflogik abgegeben. Die Niederspannungseinrichtung 96 überwacht die an die Ausgangssignalumformer und die angetriebenen Einrichtungen abgegebene Leistung. Die Leistungsversorgung für den Rechner wird durch die Selbstprüfschaltung 86 überwacht, so daß ein Signal nach Maßgabe des Betriebszustandes des Rechners und seiner inneren Spannungsversorgung erhalten wird. Daher überprüft die Schaltung 86 die abgesicherten Versorgungsleitungen für die Rechner, während die Einrichtungen 98 die abgesicherten Versorgungsleitungen für die Ausgangsumformer überwachen.

In Fig. 4a und 4b ist ein Funktionsdiagramm des Logikabschnittes für die Sicherheitsüberprüfung der Rechner 18 und 20 dargestellt.

409823/0716

Die sechs Ausgangssignale von den Höhenrechnern 12, 14 undl6 gemäß Fig. 3 und das Signal über den Leistungsverlust für die Ausgangsumformer werden jedem der Rechner 18 und 20 zur Sicherheitsüberprüfung zugeführt. Gemäß Fig. 4 erhält jeder der . Rechner 18 und 20 zusätzlich zu den von jedem der Rechner für die Brennerhöhen erzeugten Eingangssignalen weitere Signale nach Maßgabe der Lasten des Feuerraumes und der Brenner, des Luftdurchsatzes des Heizraumes,· des Zustands der durch den Heizraum betätigten Ventilatorflügel, der, Überschreitung des Druckgrenzwertes des Heizraumes und der Verletzung der Reinigüngserfordernisse. Zusätzlich wird das von der Sicherheitsprüflogik abgegebene Auslösesignal als weiteres Eingangssignal an die Rechner 18 und 20 abgegeben.

In der Sicherheitsprüflogik werden die Signale, welche anzeigen, daß alle Zündventile in den Höhen 1, 2 und" 3 geschlossen sind, den entsprechenden UND-Gattern 100, 100' und 100" zugeführt. Auch werden den Gattern 100 die Signale zugeführt, welche anzeigen, daß alle Brennstoffventile geschlossen sind. Die Ausgangssignale der UND-Gatter 100 setzen bistabile Flipflops 101, 101' und 101" zurück. Die Flipflops 101 werden durch, die Signale gesetzt, welche anzeigen, daß eines der Zündventile nicht geschlossen ist. Nachdem die Flipflops gesetzt sind, ergeben die bistabilen Flipflopschaltungen 101 ein erstes Eingangssignal an weitere UND-Gatter 102, 102 · und 102¹¹. Das zweite Eingangssignal für alle Gatter 102 ist das Signal, welches die Unterbrechung der Versorgungsleistung für die Ausgangsumformer des Rechners in der entsprechenden Höhe angibt. Die Ausgangssignale der UND-Gatter 102 sind daher Signale, welche den Leistungsverlust für die Stellglieder angeben, die durch, die zugeordneten Höhenregler während des Einschaltens betätigt werden. Diese Signale werden in der nachfolgend beschriebenen Weise verwendet.

Durch eine Einrichtung, welche keinen Teil der Erfindung bildet,

409823/0716

wird ein Signal erfaßt, welches der Brennerlast entspricht und üblicherweise als Bruchteil des maximalen Brennstoffdruckes gemessen wird. Wenn dieses Signal anzeigt, daß die Brennerlast weniger als 30% beträgt, wird an das UND-Gatter 122 ein Auftastsignal abgegeben. Ein zweites Eingangssignal für das Gatter 122 wird von einem ODER-Gatter 124 abgeleitet, dessen Eingangssignale den Leistungsverlust für die angetriebenen Einrichtungen in jeder Höhe nach Maßgabe der Ausgangssignale der UND·¹· Gatter 102 angeben. Das UND-Gatter 122 gibt demgemäß ein Ausgangssignal an eine ODER-Gatter 116 ab, wenn die Last der Brenner weniger als 30% beträgt, d.h. wenn der gesamte Brennstoffdruck für das Brennersystem unter 30% des Maximalwertes liegt und ein Leistungsverlust für die Stellglieder in einer der drei Höhen aufgetreten ist. Wenn die Brennerlast weniger als 30% beträgt, so versteht es sich für den Fachmann, daß eine ungenügende Energie vorhanden sein kann, um die vollständige Verbrennung des dem Heizraum zugeführten Brennstoffs zu bewirken und es wird daher ein Auslösebefehl an den Heizraum bei niedrigen Brennstoffdrücken gegeben, wenn der Leistungsverlust für die Stellglieder in irgendeiner Höhe eintritt, um die Ansammlung von nicht verbranntem Brennstoff zu verhindern.

Die Signale für den Flammenausfall oder die Fehlfunktion des Rechners oder den Leistungsverlust für den Rechner aus jeder Höhe des Heizraumes werden entsprechenden ODER-Gattern 103, und 1O5 zugeführt. Die durch die Gatter 1O3, 104 und 1O5 gelangenden Signale werden einem UND-Gatter 106 zugeführt. Die Signale für die Pehlfunktion des Rechners oder den Leistungsausfall und das Auslösesignal von jeder Höhe werden entsprechenden ODER-Gattern 108, 110 und 112 zugeführt« Die Ausgangssignale der ODER-Gatter 108, 110 und 112 werden einem weiteren ODER-Gatter 114 und das Ausgangssignal des Gatters 114 wird als viertes Eingangssignal dem UND-Gatter 106 zugeführt. Demgemäß gibt das UND-Gatter 106 ein Ausgangssignal nur dann ab, wenn ein vollständiger FlaroHienausfai! des Heizraiaiies bestätigt worden ist

A09823/0716

oder alle Rechner in den Heizhöhen nicht ordnungsgemäß arbeiten. Das Ausgangssignal vom UND-Gatter 106 wird als zweites Eingangssignal dem ODER-Gatter 116 zugeführt.

In bekannter Weise wird die Last des Feuerraumes erfaßt und, falls diese 30% der berechneten Kapazität übersteigt, wird ein Feuerraumlastsignal an den Setzeingang eines Flipflops 126 abgegeben. Die Last des Feuerraumes oder der Anlage wird typischerweise in Megawatt der erzeugten Leistung oder als Dampfdurchsatz oder Brennstoffdurchsatz gemessen. Der zweite Eingang bzw. der Rücksetzeingang des F.lipflops 126 wird durch das Auslösesignal gebildet, welche das Abschalten des Heizraumes entweder durch einen Befehl der Bedienungsperson oder eine Fehlfunktion angibt. Der Flipflop 126 gibt ein Ausgangssignal ab, welches angibt, daß die Last des Dampfkessels größer als 30% ist. Dieses Signal wird als erstes Eingangssignal einem UND-Gatter zugeführt. Das zweite Eingangssignal für das UND-Gatter 128 ist ein Signal, daä durch eine überwachungseinrichtung für den Luftdurchsatz in dem Heizraum erzeugt wird und angibt, wenn der Luftdurchsatz weniger als 30% des normalen Wertes ist. Das UND-Gatter 128 gibt daher ein Eingangssignal an das ODER-Gatter nur dann ab, wenn die Last des Dampfkessels größer als 30% des normalen Wertes und der Luftdurchsatz weniger als 30% des normalen Wertes beträgt. Der Flipflop 126 wird zurückgesetzt, wenn ein Auslösesignal auftritt und der versucht, den Heizraum wieder zu aktivieren, wenn der Luftdurchsatz weniger als 30% beträgt. Das UND-Gatter 128 gibt dann ein Signal an das ODER-Gatter 116 ab. Wenn die Last der Heizeinrichtung erhöht wird, wird der Flipflop 126 gesetzt·, und die Betriebsperson kann dann die Last unter 30% erniedrigen, ohne daß automatisch eine Auslösung erfolgt. Das System ist derart ausgelegt, daß beim Anlaßvorgang ein mit Luft angereichertes Gemisch sichergestellt wird.

Ein zusätzliches Eingangssignal für die Sicherheitsprüflogxk wird von Meßfühlern erzeugt, welche den fehlerhaften Zustand

409323/0716

erfassen, daß alle durch den Feuerraum betriebenen·Ventilatoren ausgeschaltet sind. Ein weiteres Eingangssignal wird durch einen Meßfühler abgegeben, der ein Signal erzeugt, wenn der Druck einen vorbestimmten Sicherheitswert überschreitet. Der Druck wird typischerweise in cm Wasser am Abgabeende der Ventilatoren oder am Lufterhitzereinlaß gemessen. Diese zusätzlichen Eingangssignale werden direkt dem ODER-Gatter 116 zugeführt.

Das ODER-Gatter 116 gibt ein Ausgangssignal ab, welches das Flipflop 130 setzt. Wenn das Flipflop gesetzt ist, gibt die Schaltung 160 ein Ausgangssignal an einen Treiberverstärker 132 ab. Das Ausgangssignal des Treiberverstärkers 132 wird einer Magnetspule 134 zugeführt. Die Kontakte der Magnetspule 134 sind parallel zu den Kontakten 54 und 56 (Fig. 2) geschaltet ..Nachdem das Flipflop 13O einmal gesetzt ist, speichert es das Ausgangssignal, bis es in der nachfolgend beschriebenen Weise zurückgesetzt wird.

Das Ausgangssignal des ODER-Gatters 116 bildet auch ein Eingangssignal für eine Umkehrstufe 136 und wird dem Rücksetzeingang des Flipflops 126 zugeführt. Das Ausgangssignal der Umkehrstufe 136 bildet das erste Eingangssignal für ein UND-Gatter 138. Das zweite Eingangssignal für das UND-Gatter 138 ist ein Signal, welches die erforderliche Reinigung anzeigt und typischerweise durch die Logik des Rechners 18 abgegeben wird. Bevor wieder versucht werden kann, irgendeinen großen Feuerraum zu starten, ist es erforderlich, daß ein Reinigungszyklus mit einer vorbestimmten Dauer abgeschlossen wird. Das genannte Reinigungssignal wird in bekannter Weise sowohl als Funktion der Zeit als auch des Luftdurchsatzes erzeugt, nachdem ein Reinigungszyklus durch ein Feuerungsstartsignal ausgelöst worden ist. Falls daher die durch die vorbeschriebene Logik erfaßten Auslösebedingungen nicht vorliegen und der Reinigungszyklus abgeschlossen worden ist, gibt das UND-Gatter 138 ein

409823/0716

Rücksetzsignal an das Flipflop 130 und entfernt dadurch das Auslösesignal vom Eingang des Treiberverstärkers 132.

Die durch die Magnetspule 134 betätigten Auslösekontakte sind, wie schon angemerkt wurde, parallel zu den Kontakten 54 und 56 geschaltet, so daß eine Auslösung erfolgt, wenn ein Leistungsverlust oder;? eine Fehl funktion bei den Rechnern 18 und 20 für die Sicherheitsüberprüfung stattfindet. Unterstellt, daß Fig. die Sicherheitsprüflogik des Rechners 18 darstellt und der Rechner 20 eine identische Sicherheitsprüflogik aus Gründen der Redundanz hat, so liegen die Kontakte einer weiteren nicht dargestellten Magnetspule 134', die durch das Ausgangssignal des Rechners 18 gesteuert wird, parallel zu den Kontakten der Magnetspule 134. Dementsprechend wird die Sicherheit erhöht und die Zahl der Abschaltungen minimal gemacht, indem eine Redundanz vorgesehen wird, ohne daß eine R redundante Schaltung oder redundante universelle Rechner verwendet werden. Betriebsunterbrechungen werden weiterhin dadurch vermieden, daß mehrere programmierbare Rechner hierarchisch angeordnet werden und die unteren oder "Höhenrechner⁵⁸ abstimmen und durch die höheren Sicherheitsprüfrechner überprüft werden.

Gemäß Fig. 4 werden die Signale über die Fehlfunktion oder den Leistungsverlust von jeder Brennerhöhe auch einem weiteren QDER-Gatter 150 zugeführt. Das ODER-Gatter 150 erzeugt ein Alarmsignal an dem Schaltpult 22. Dieses Alarmsignal zeigt der Bedienungsperson anj, daß ein Leistungsyerlust oder eine Fehlfunktion eines der den Höhen zugeordneten Rechners aufgetrelen ist. Zusätzlich werden Signale über die Fehlfunktion oder den Leistungsausfall von jeder Brennerhöhe als erste Eingangssignale UND-Gattern 152, 154 und 15β zugeführt. Der zweite Eingang für jedes dieser Gatter 152, 154 und 156 ist das Signal, welches angibt? daß die Brennerlast weniger als 30% beträgt. Jedes der Gatter 152, 154 und 156 gibt ein Ausgangssignal bei einem Rechnerausfall in der entsprechenden Höhe zu einem Zeitpunkt ab, wenn die

409823/0716

Brennerlast weniger als 30% beträgt. Die Ausgangssignale der Gatter 152, 154 und 156 werden durch spezielle mit Wechselspannung betätigte Relais benutzt, die in Fig. 4 nicht dargestellt sind, um einzeln entsprechende Brennerhöhen auszulösen. Wie schon angemerkt wurde, kann bei einer Brennerlast von weniger als 30% eine nicht ausreichende Flamme auftreten, um die Zündunterstützung zwischen den Brennerhöhen sicherzustellen, d.h. daß die Verbrennung in den verschiedenen Brennerhöhen nicht unabhängig erfolgt. Es ist daher wünschenswert, die Brenner in einer Höhe auszulösen, in welcher eine Steuerungs· fehlfunktion oder ein Leistungsfehler bei niedrigen Werten der Brennerlast vorliegen. Die einzelnen den Brennerhöhen zugeordneten Relais haben mehrere Kontakte, so daß sie ein Alarmsignal an dem Steuerpult erzeugen. Bei Brennerlasten über 3O% liegt jedoch eine ausreichende Zündenergie von anderen Brennerhöhen vor, um die Verbrennung des an den Feuerraum in einer Höhe abgegebenen Brennstoff sicherzustellen, in welcher eine Fehlfunktion des Rechners aufgetreten ist, so daß die Brenner dieser Höhe nicht ausgelöst werden. Durch den Betrieb des Gatters 15O wird jedoch ein Alarmsignal abgegeben, so daß die Betriebsperson unterrichtet wird, daß die Rechner in dieser Höhe überprüft werden sollten.

Während ein bevorzugtes Ausführungsbeispiel beschrieben wurde, versteht es sich, daß verschiedene Abwandlungen sowie der Austausch von Bauteilen möglich sind, ohne den Schutztarifang der Erfindung zu verlassen. Die Erfindung ist somit nur beispielshalber beschrieben worden.

Zusammengefaßt betrifft die Erfindung also eine Schutzschaltung für eine Anlage sowie ein Verfahren ^u deren Betrieb, wobei programmierbare Rechner oder Steuerungsgeräte miteinander hierarchisch verbunden sind. Eine erste Anzahl von Reglern niedrigerer Ordnung empfangen Signale entsprechend Grappen von überwachten Prozeßparametern und verwenden diese Signale, xm Sicherheits-

409823/07 16

prüfsignale zu erzeugen, welche den Zustand desjenigen Teiles der Anlage angeben, welchem der einzelne Regler zugeordnet ist. Diese Sicherheitsprüfsignale werden jedem Paar von programmierbaren Reglern höherer Ordnung zugeführt, welche in redundanter Weise berechnen, ob das gesamte Verfahren beendet werden muß. Die Regler der höheren Ordnung überprüfen auch die Betriebsfähigkeit der Regler der niedrigeren Ordnung, und die Regler der niedrigeren Ordnung "stimmen ab" bei.der Berechnung der Beendigung des Verfahrens«,

409823/0716

Claims

ft

Patentansprüche: 235405

Verfahren zum Schutz einer Anlage, dadurch gekennzeichnet , daß Gruppen von miteinander verknüpften Prozeßparametern der Anlage erfaßt und von diesen Signale erzeugt werden, jede Gruppe dieser Signale einer getrennten Datenverarbeitungseinrichtung innerhalb einer ersten Gruppe von Datenverarbeitungseinrichtungen (12, 14, 16) zugeführt wird, wodurch jede erste Datenverarbeitungseinrichtung eine Anzeige des Zustands eines Abschnitts des untersuchten Verfahrens ergibt und die Anaeigen der ersten Datenverarbeitungseinrichtungen als Eingangssignale für jede der Datenverarbeitungseinrichtungen eines Paares (18, 20) derartiger Einrichtungen verwendet werden und dieses Paar Datenverarbeitungseinrichtungen in redundanter Weise berechnet und anzeigt, ob das Verfahren beendet weiden muß und die Ausgangssignale jede der ersten Datenverarbeitungseinrichtungen bei der berechneten Entscheidung zur Beendigung des Verfahrens mitzählen.

Verfahren nach Anspruch 1, dadurch gekennzeichnet , daß jede der weiteren Datenverarbeitungseinrichtungen (18, 20) den Betriebszustand jeder der ersten Datenverarbeitungseinrichtungen (12, 14, 16) überprüft und bei der Berechnung der Beendigung des Verfahrens verwertet.

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet , daß die Verfügbarkeit von Leistung für Stellglieder (46) erfaßt wird, welche denjenigen Teil des Verfahrens steuern, der jeder Gruppe von miteinander verknüpften Parametern entspricht und entsprechende Signale erzeugt werden und die Signale über die Verfügbarkeit der Leistung als zusätzliche Eingangssignale an jede

409823/0716

der weiteren Datenverarbeitungseinrichtungen abgegeben wird, wodurch die Verfügbarkeit der.Antriebsleistung für die Stellglieder bei der Berechnung des Verfahrensendes ebenfalls berücksichtigt wird.

Vorrichtung zum Durchführen des Verfahrens nach Anspruch 1 bis 3, dadurch gekennzeichnet , daß eine erste Anzahl von programmierbaren Reglern (12, 14, 16) vorgesehen ist," jeder dieser Regler Signale entsprechend verschiedenen Betriebsparametern der Anlage empfängt und Ausgangssignale zur Steuerung von Stellgliedern (46) abgibt, welche die Betriebsbedingungen der Anlage entsprechend den erfaßten Parametern und einem gespeicherten Programm steuern, die Regler auch binäre Ausgangssignale über den Sicherheitszustand der Anlage als Punktion der empfangenen Signale abgeben, ein zweiter programmierbarer Regler (18),vorgesehen ist, der auf die von allen Reglern (12, 14, 16) der ersten Gruppe von , Reglern abgegebenen Signale anspricht und ein Prozeßsteuersignal zur Beendigung des Betriebs der Anlage abgibt, wenn die Ausgangssignale von allen Reglern der ersten Gruppe unsichere Betriebszustände melden, ein dritter programmierbarer Regler (20) vorgesehen ist, der auf die von allen Reglern der ersten Gruppe abgegebenen Ausgangssignale anspricht und ein Prozeßsteuersignal zur Beendigung des Betriebs der Anlage erzeugt, wenn die Ausgangssignale' von allen Reglern der ersten Gruppe unsichere Betriebszustände melden, eine Einrichtung die von den ersten Reglern (12, 14, 16) abgegebenen Ausgangssignale an die zweiten und dritten Regler (18, 20) abgibt und eine Einrichtung (32, 34) die Ausgänge der zweiten und dritten Regler parallel schaltet.

Vorrichtung nach Anspruch 4, dadurch gekennzeichnet , daß eine Einrichtung Signale nach Maßgabe der Verfügbarkeit der Leistung zum Antrieb der

409823/0716

Stellglieder (16) für jeden Regler (12, 14, 16) der ersten Gruppe von Reglern erzeugt und eine Einrichtung die Signale über die Verfügbarkeit der Leistung als weitere Eingangssignale an jeden der zweiten und dritten Regler (18, 20) weitergibt.

6. Vorrichtung nach Anspruch 5_f dadurch gekennzeichnet, daß eine Einrichtung ein Signal nach Maßgabe eines vorbestimmten Verhältnisses der tatsächlichen zu der vorberechneten Betriebskapazität der Anlage erzeugt und an jeden der zweiten und dritten Regler abgibt und die zweiten und dritten Regler jeweils eine Einrichtung aufweisen, welche auf die Signale über die Verfügbarkeit der Leistung und die Signale über das vorbestimmte Verhältnis der Betriebskapazität der Anlage anspricht und ein Signal zur Beendigung des Verfahrens erzeugt, wenn die Leistung .für die jedem der ersten Regler zugeordneten Stellglieder (46) nicht verfügbar ist und die Anlage bei einem Kapazitätswert arbeitet, der geringer als das vorgewählte Kapazitätsverhältnis ist.

7. Vorrichtung nach einem der Ansprüche 4 bis 6, dadurch gekennzeichnet , daß jeder der ersten Regler (12, 14, 16) eine Einrichtung (86) zur Selbstüberprüfung aufweist, welche ein Ausgangssignal entsprechend einer Fehlfunktion oder einem Leistungsverlust abgibt und ein Signal entsprechend einem vorgewählten Verhältnis der tatsächlichen zu der vorberechneten Betriebsleistung der Anlage erzeugt und an jeden der zweiten Regler (18, 20) abgibt, eine Einrichtung die Signale über die Fehlfunktion oder den Leistungsverlust von jedem der ersten Rechner an jeden der zweiten und dritten Rechner abgibt und die zweiten und dritten Rechner jeweils eine Einrichtung (152, 154, 156) aufweisen, welche auf die Signale über die Fehlfunktion

409823/0716

oder den Leistungsverlust und das Signal über das vorgewählte Verhältnis der Betriebskapazität ansprechen und ein Unterbrechungssignal für denjenigen Teil des Verfahrens erzeugen, welcher durch irgendeinen Regler mit einer Fehlfunktion oder einem Leistungsverlust gesteuert wird, wenn die Anlage bei einer Kapazität arbeitet, die geringer als das vorgewählte Verhältnis ist..

8. Vorrichtung nach Anspruch 4, dadurch gekennzeichnet» daß die zu schützende Anlage ein Feuerraum (10) mit mehreren Brennern und zugeordneten Zündeinrichtungen in mehreren vertikal versetzten Höhen ist, jeder der ersten Regler (12, 14, 16) einer der Brennerhöhen zugeordnet ist-und Signale über den Zustand der Brenner und der Zündeinrichtungen in dieser Höhe empfängt, jeder der ersten Regler ein Auslösesignal bei einem gewünschten Flammenzustand und ein Signal bei einem Flammenausfall erzeugt und jeder der zweiten und dritten Regler (ISy 20) auf das Auslösesignal und das ^; Signal über den Flammenausfall anspricht, das von jedem ■ der ersten Regler erzeugt worden ist, und ein Signal über die Beendigung des Verfahrens erzeugt, wenn in allen Brennerhöhen die Flammen ausgefallen sind.

409823/0716

te»

Leerseite