DE3532017A1

DE3532017A1 - Safety circuit for controlling critical loads of gas burners or oil burners

Info

Publication number: DE3532017A1
Application number: DE19853532017
Authority: DE
Inventors: Martin Kuhn; Josef Schmid; Hans-Jochen Dr Schwarz
Original assignee: Robert Bosch GmbH
Current assignee: Robert Bosch GmbH
Priority date: 1985-09-07
Filing date: 1985-09-07
Publication date: 1987-03-19
Also published as: IT8621382A1; IT1197055B; IT8621382A0; FR2587094A1; FR2587094B1

Abstract

An intrinsically safe safety circuit is proposed for controlling critical loads of gas burners or oil burners which is self-monitoring and, in the event of failure of one of its components, causes defect-disconnection of the connected loads. For this purpose, the circuit has two control loops (28, 29), which are electrically linked to one another, for the loads (36, 40, 41), each of which emits a predetermined sequence of logic signal levels (I1 to I8) which are interchanged between the two control loops (28, 29) and are compared with one another, as drive signals and feedback signals. <IMAGE>

Description

State of the art

Bei Gas- und Ölbrennern müssen bei der Inbetriebsetzung eine Reihe von Betriebszuständen nach einem vorgegebenen Programm durchlaufen werden, wobei eine Steuerschaltung diese Be triebszustände in der Einschaltphase überwacht. Es ist fer ner erforderlich, Mittel vorzusehen, um den korrekten Be trieb des System zu überprüfen. Hierzu benutzt man verschie dene Fühler, welche elektrische Signale liefern, die das Be stehen oder Nichtbestehen verschiedener Zustände im Brenner anzeigen. Solche Fühler und ebenso die Steuerschaltung können Fehlfunktionen haben, die gefährliche Zustände im Brenner ver ursachen.In the case of gas and oil burners, a Range of operating states according to a given program be run through, a control circuit this Be drive states monitored in the switch-on phase. It's fer ner necessary to provide means to the correct loading urged to check the system. For this you use various sensors, which supply electrical signals that the Be standing or non-existence of various states in the burner Show. Such sensors and also the control circuit can Have malfunctions that ver dangerous conditions in the burner causes.

Durch die DE-OS 31 01 747 ist eine Sicherheitsschaltung zum Steuern kritischer Lasten von Brennern bekannt geworden, die eine Prüfschaltung enthält, welche das ordnungsgemäße Arbei ten der Steuerschaltung überprüft. Im einzelnen ist bei der bekannten Schaltung eine Lastversorgungsschaltung vorgesehen, über deren Steuerelemente einzelne Laststromkreise, beispiels weise für eine Zündeinrichtung, ein Gebläse sowie Brennstoff ventile ein- und abgeschaltet werden. Ein Zustandsdiskrimina tor in der Steuerschaltung soll bei Auftreten eines Fehlers in einem der Steuerelemente ein Zustandssignal liefern, wel ches zusammen mit einem Steuersignal für die betreffende Last an den Eingang einer Logikschaltung gelegt wird und bei sei nem Eintreffen eine Betriebsunterbrechung der Last bewirkt.DE-OS 31 01 747 is a safety circuit for Controlling critical loads of burners that are known a test circuit, which does the proper work checked the control circuit. In detail is with the known circuit, a load supply circuit is provided, Via their controls, individual load circuits, for example as for an ignition device, a blower and fuel valves are switched on and off. A discriminatory state gate in the control circuit should when an error occurs deliver a status signal in one of the control elements, wel ches together with a control signal for the load in question is placed at the input of a logic circuit and at When it arrives, the load is interrupted.

Eine weitere bekannte Steueranordnung für Gas- oder Ölbrenner nach der DE-OS 30 44 047 hat ein Sicherheitsrelais, das durch eine Halbleiter-Schalteinrichtung gesteuert wird und dessen Kontakt in der Stromzuführung zu weiteren Kontakten angeord net ist. Zur Steuerung des Sicherheitsrelais und der die La sten betätigenden Relais ist eine Steuerlogikeinrichtung (Mikroprozessor) vorgesehen, die den eigentlichen Steuer schaltkreis bildet. Dem Mikroprozessor werden Informationen über den Zustand der Brennerkomponenten über Pufferverstär ker zugeführt. Diese gestatten dem Mikroprozessor eine unmit telbare Überwachung des fortschreitenden Einschaltvorgangs des Brennersystems, wobei bestimmte Prüfungen ausgeführt wer den können, durch die festgestellt werden kann, ob die Halb leiter-Schalteinrichtung des Sicherheitsrelais richtig arbei tet. Diese bekannten Sicherheitsschaltungen sind jedoch nicht eigensicher. Das bedeutet, durch Ausfall oder fehlerhaftes Verhalten eines oder mehrerer ihrer Bauelemente kann eine Störabschaltung trotz Auftretens eines Störsignals unterblei ben. Ist beispielsweise eine Zeitbildungsstufe der Sicherheits schaltung defekt, so wird es trotz Anliegens eines Störsi gnals nicht zu einer Störabschaltung kommen.Another known control arrangement for gas or oil burners according to DE-OS 30 44 047 has a safety relay through a semiconductor switching device is controlled and its Contact in the power supply to other contacts arranged is not. To control the safety relay and the La The most actuating relay is a control logic device (Microprocessor) provided the actual tax circuit forms. The microprocessor gets information about the state of the burner components via buffer amplifier ker fed. These allow the microprocessor to Direct monitoring of the progressive start-up process of the burner system, certain tests being carried out that can be used to determine whether the half conductor switching device of the safety relay is working correctly tet. However, these known safety circuits are not intrinsically safe. That means through failure or faulty One or more of its components can behave No lockout despite the occurrence of an interference signal ben. For example, is a time level of security circuit defective, so it is despite the presence of a fault There is no lockout.

Advantages of the invention

Die erfindungsgemäße Sicherheitsschaltung hat demgegenüber den Vorteil, daß sie absolut eigensicher ist und die in Form von Istwerten der angeschlossenen Lasten eingehenden Signale gleich zeitig einer doppelten Kontrolle in den beiden Steuerkreisen unterliegen. Ist eine der Komponenten der Steuerkreise defekt oder weist ein Fehlverhalten auf, so ist der davon betroffene Steuerkreis nicht mehr in der Lage, die vorgegebene Folge lo gischer Signalpegel zu erzeugen bzw. die Rückmeldesignale des anderen Steuerkreises ordnungsgemäß zu verarbeiten. Liegt die ser Fall vor, so wird das gesamte System unverzüglich abge schaltet, unabhängig davon, ob es sich gerade in der Einschalt phase oder schon in der Betriebsphase befindet. Auch eine er neute Inbetriebnahme wird verhindert, weil die Steuerkreise auf das Einschaltsignal nicht reagieren und keine Signale der zu überwachenden Lasten annehmen. So kann beispielsweise bei Vorliegen eines Defekts in den Steuerkreisen die Schaltvor richtung, die das Brennstoffventil öffnet, nicht eingeschal tet werden, weil die Steuerkreise einen Vergleich des vom Ventil gelieferten Istwerts mit dem in den Steuerkreisen be reitgestellten Sollwert verweigern. Ebenso verhält es sich mit den anderen Komponenten des Brennersystems, wie Gebläse motor, Zündeinrichtung und Flammenüberwachung. Die Steuer kreise registrieren nicht nur eigene Defekte, sondern rea gieren auch auf Defekte in angeschlossenen Schaltungen, die zur Erzeugung einer vorgegebenen Folge logischer Signalpegel in den Steuerkreisen beitragen. Hierzu gehören insbesondere ein Impulsgenerator, welcher eine Impulsfolge mit bestimmter Frequenz in die Steuerkreise einspeist. Ein Abweichen des Im pulsgenerators von der Sollfrequenz würde die Signalpegel ver ändern und damit ein sofortiges Abschalten der Steuerkreise und der angeschlossenen Brennerkomponenten verursachen.In contrast, the safety circuit according to the invention has the Advantage that it is absolutely intrinsically safe and in the form of Actual values of the connected loads incoming signals the same double control in the two control circuits subject to. One of the control circuit components is defective or has misconduct, the victim is affected Control circuit no longer able to lo loosen the given sequence Generate signal level or the feedback signals of the other control circuit to process properly. Is that If this happens, the entire system will be dispatched immediately switches, regardless of whether it is currently in the switch-on phase or is already in the operating phase. He too re-commissioning is prevented because of the control circuits do not react to the switch-on signal and no signals from the accept loads to be monitored. For example, at There is a defect in the control circuits direction that opens the fuel valve is not shuttered be made because the control circuits compare the from Actual valve delivered with the valve in the control circuits Refuse setpoint provided. It is the same with the other components of the burner system, such as fans engine, ignition device and flame monitoring. The tax circles not only register their own defects, but rea greed for defects in connected circuits that to generate a predetermined sequence of logic signal levels contribute in the control circuits. These include in particular a pulse generator, which a pulse train with certain Frequency feeds into the control circuits. A deviation of the Im pulse generator from the target frequency would ver the signal level change and thus an immediate shutdown of the control circuits and the connected burner components.

Durch die in den Unteransprüchen aufgeführten Maßnahmen sind vorteilhafte Weiterbildungen und Verbesserungen der im Haupt anspruch angegebenen Sicherheitsschaltung möglich. Besonders vorteilhaft hinsichtlich einer sicheren Betriebsweise ist es, daß jeder Steuerkreis mehrere Ansteuersignalfolgen über ge trennte Ansteuerwege ausgibt, daß die von einem Steuerkreis zeitgleich ausgegebenen Ansteuersignale invertiert sind, und daß in jeden Ansteuerweg des einen Steuerkreises ein Rückmelde signal des anderen Steuerkreises eingespeist wird. Eine wei tere, die Betriebssicherheit des Systems erhöhende Maßnahme besteht darin, daß die Ansteuer- und Rückmeldesignale als Versorgungsspannung in die Erregerkreise der Lasten einge speist werden. Dies geschieht bevorzugt dadurch, daß jeder Ansteuer- und Rückmeldeweg einen Verstärker enthält, an des sen Ausgang die Last über eine Diodenstrecke angeschlossen ist. Des weiteren kann die Sicherheitsschaltung eine Störungs erkennungsstufe enthalten, an welche die Steuerkreise ange schlossen sind und die 8 törungen, nach Störungsursache selek tiert, über Meldesysteme, vorzugsweise Leuchtmelder, gezielt ausgibt. Diese Maßnahme erleichtert die Reparatur des Bren nersystems im Störungsfall, da anhand des Meldesystems erkenn bar ist, welche Brennerkomponente ausgefallen ist.The measures listed in the subclaims enable advantageous developments and improvements of the safety circuit specified in the main claim. It is particularly advantageous with regard to a safe mode of operation that each control circuit outputs a plurality of control signal sequences via separate control paths, that the control signals output simultaneously by one control circuit are inverted, and that a feedback signal from the other control circuit is fed into each control path of the one control circuit. A further measure, which increases the operational safety of the system, is that the control and feedback signals are fed as supply voltage into the excitation circuits of the loads. This is preferably done in that each control and feedback path contains an amplifier, to whose output the load is connected via a diode path. Furthermore, the safety circuit can contain a fault detection stage to which the control circuits are connected and which specifically outputs the 8 t faults, selected according to the cause of the fault, via signaling systems, preferably indicator lights. This measure makes it easier to repair the burner system in the event of a fault, since the alarm system can be used to identify which burner component has failed.

drawing

Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung dargestellt und in der nachfolgenden Beschreibung näher er läutert. Es zeigtAn embodiment of the invention is in the drawing shown and in the description below he purifies. It shows

Fig. 1 ein mit schaltungstechnischen Ein zelheiten versehenes Blockschaltbild der Sicherheitsschaltung, Fig. 1 is a zelheiten with circuitry provided a block diagram of the safety circuit,

Fig. 2 ein Zeitdiagramm des Programmablaufs des Brennersystems, Fig. 2 is a timing diagram of the program flow of the burner system,

Fig. 3 ein Zeitdiagramm der Ansteuer- und Rückmeldesignale der Steuerkreise. Fig. 3 is a timing diagram of the control and feedback signals of the control circuits.

Description of the embodiment

Die als integrierte Festkörperschaltung ausgeführte Sicher heitsschaltung zum Steuern kritischer Lasten von Gas- oder Öl brennern ist auf eine Platine 1 aufgebracht, die an ihren pa rallelen Längsseiten mit Eingängen 2 bis 16 und Ausgängen 17 bis 27 zur Ein- und Ausgabe digitaler elektrischer Signale versehen ist. Die Schaltung hat zwei elektrisch miteinander verknüpfte Steuerkreise 28, 29 mit je einer Zeitbildnerstufe 30, 31 sowie einem gemeinsamen Oszillator 32, dessen Impulse in die Steuerkreise und die Zeitbildnerstufen eingespeist werden. An den Eingang 2 ist ein nicht dargestellter, an sich bekannter Wärmeforderungssensor angeschlossen, dessen Wärmeforderungssignal die Schaltung aktiviert. Bei Eintref fen eines solchen Signals werden in den Steuerkreisen 28, 29 die Zustandssignale einer Flammenüberwachung (Eingang 12), einer Zündüberwachung (Eingang 14) einer Druckdosen überwachung (Eingang 11), einer Magnetventilüberwachung (Ein gänge 5 und 10) sowie die Ansteuer- und Rückmeldesignale der Steuerkreise 28, 29 miteinander verknüpft. Die Zustandssignale der Lasten liegen als logische Signalpegel an, deren Istwerte mit in den Steuerkreisen bereitgestellten Sollwerten vergli chen werden. Wenn alle Signalpegel den Sollzustand haben, er scheint am Ausgang 24 des Steuerkreises 28 ein Ausgangssignal. Mit diesem Signal kann ein an den Ausgang einer externen Ver stärkerstufe 33 angeschlossenes Schaltrelais 34, 35 ange steuert werden, das einen Gebläsemotor 36 einschaltet. Gleich zeitig startet in den Zeitbildnerstufen 30, 31 ein Zähler mit einer Vorgabezeit von beispielsweise 7 Sekunden. Innerhalb dieser Zeitspanne muß das dem Druckwächter zugeordnete Sensor system, das den Luftdurchsatz des Gebläsemotors 36 überwacht, am Eingang 11 ein Rückmeldesignal erzeugen. Bei Ausbleiben dieses Signals gibt der Modul über den Ausgang 21 ein Stör signal aus, das durch einen Leuchtmelder, beispielsweise eine Leuchtdiode 37, quittiert wird. Außerdem wird die Störungs ursache "Gebläse oder Druckwächter fehlerhaft" durch eine Leuchtdiode 38, die an den Ausgang 25 angeschlossen ist, angezeigt.The designed as an integrated solid-state circuit safety circuit for controlling critical loads of gas or oil burners is applied to a circuit board 1 , which is provided on its pa rallel longitudinal sides with inputs 2 to 16 and outputs 17 to 27 for input and output of digital electrical signals . The circuit has two electrically linked control circuits 28 , 29 , each with a time generator stage 30 , 31 and a common oscillator 32 , the pulses of which are fed into the control circuits and the time generator stages. A not shown, known heat demand sensor is connected to the input 2 , whose heat demand signal activates the circuit. In Eintref fen such a signal will be in the control circuits 28, 29, the state signals of a flame monitor (input 12), an ignition monitoring (input 14) of a pressurized cans monitor (input 11), a solenoid valve control (A gears 5 and 10) and the control and Feedback signals of the control circuits 28 , 29 linked together. The status signals of the loads are present as logical signal levels, the actual values of which are compared with the setpoints provided in the control circuits. If all signal levels have the desired state, an output signal appears at the output 24 of the control circuit 28 . With this signal, a switching relay 34 , 35 connected to the output of an external amplifier stage 33 can be controlled, which switches on a blower motor 36 . At the same time, a counter starts in the time generator stages 30 , 31 with a default time of, for example, 7 seconds. Within this period, the sensor system assigned to the pressure switch, which monitors the air throughput of the blower motor 36 , must generate a feedback signal at the input 11 . In the absence of this signal, the module outputs an interference signal via the output 21 , which is acknowledged by an indicator light, for example a light-emitting diode 37 . In addition, the cause of the fault "blower or pressure switch faulty" is indicated by an LED 38 which is connected to the output 25 .

Ist das Druckwächtersignal am Eingang 11 in Ordnung, so gibt der Ausgang 18 einen Triggerimpuls für das Vorspülen aus. Die Vorspülzeit ist extern einstellbar. Nach Ablauf der gewählten Zeitspanne erscheinen Rückmeldesignale an den Eingängen 4 und 15, die in den Steuerkreisen 28, 29 mit den Signalen an den Eingängen 2, 12, 14, 11, 5, 3, 10, 16 ver knüpft werden. Das hieraus resultierende Signal am Ausgang 27 aktiviert über einen Verstärker 39 einen Zündtransforma tor 40. Nach Ablauf einer Vorzündzeit von beispielsweise 0,5 Sekunden Dauer setzt die eigentliche, zeitlich begrenz te Zündphase ein. Zu Beginn dieser Phase wird das als Ma gnetventil ausgebildete Brennstoffventil 41 über die Aus gänge 19, 17, 24 und 26 angesteuert und geöffnet sowie eine über 42 eingestellte Sicherheitszeit gestartet. Kurz vor Ende dieser Sicherheitszeit wird der Zündtransformator 40 abgeschal tet. Gleichzeitig muß am Eingang 12 des Moduls ein Flammen meldesignal anliegen, das den beiden Steuerkreisen 28, 29 zugeführt wird.If the pressure monitor signal at input 11 is OK, output 18 outputs a trigger pulse for pre-rinsing. The pre-rinse time can be set externally. After the selected period of time, feedback signals appear at inputs 4 and 15 , which are linked in the control circuits 28 , 29 with the signals at inputs 2 , 12 , 14 , 11 , 5 , 3 , 10 , 16 . The resulting signal at the output 27 activates an ignition transformer 40 via an amplifier 39 . After a pre-ignition time of, for example, 0.5 seconds has elapsed, the actual, time-limited ignition phase begins. At the beginning of this phase, the fuel valve 41 designed as a magnetic valve is activated and opened via the outputs 19 , 17 , 24 and 26 and a safety time set over 42 is started. Shortly before the end of this safety time, the ignition transformer 40 is switched off. At the same time, a flame signal must be present at the input 12 of the module, which is fed to the two control circuits 28 , 29 .

Alle Ausgänge des Moduls behalten ihren Soll-Signalpegel nur dann, wenn am Ende der Sicherheitszeit entsprechende Signale an den Eingängen 12, 2, 14, 11, 10, 5, 16, 3, 15, 4 anliegen. Tritt an diesen Signalen kein Fehlverhalten auf, so arbeiten alle Ausgänge, bis das Wärmeforderungssignal am Eingang 2 ab geschaltet wird. Die Verarbeitung der Signale erfolgt in den Steuerkreisen 28, 29. Fällt ein Rückmeldesignal zu diesen Steuerkreisen aus, so wird dies einer an die Steuerkreise über Datenübertragungsleitungen 43, 44 angeschlossenen Stö rungserkennungstufe 45 gemeldet, die alle Ausgänge ab schaltet (Störabschaltung), die Störanzeige 37 aktiviert und außerdem über Leuchtdioden 38 und 47 bis 49 Auskunft über die Art der Störung gibt. Im einzelnen zeigt die an den bereits erwähnten Ausgang 25 der Stufe 45 angeschlossene Leuchtdiode 38 Störungen im Bereich des Druckwächters oder des Gebläsemotors 36 an, während die am Ausgang 20 liegen de Leuchtdiode 48 Störungen im Bereich Flammenwächter und Zündbaustein signalisiert. Die mit dem Ausgang 22 verbun dene Leuchtdiode 49 weist durch ihr Ansprechen darauf hin, daß ein Defekt innerhalb des IC-Moduls, beispielsweise der Ausfall eines Steuerkreises, vorliegt. Fehlerhafte Brennstoff ventile werden durch die Leuchtdiode 47 angezeigt, die an den Ausgang 23 der Störungserkennungsstufe 45 angeschlossen ist. Durch Drücken einer mit dem Schalter 46 verbundenen Taste kann die Schaltung entstört werden. Die Störanzeige 37 er lischt und das Brennersystem geht über die Startphase in Betrieb, sofern kein Zustand vorliegt, der eine sofortige Wiederstörung verursacht. Ein Festklemmen der Entstörtaste kann nicht zu einer Entstörung führen, da der Eingang 13 der Störungserkennungsstufe 45 dynamisch betrieben wird.All outputs of the module only maintain their target signal level if, at the end of the safety time, corresponding signals are present at inputs 12 , 2 , 14 , 11 , 10 , 5 , 16 , 3 , 15 , 4 . If there is no malfunction on these signals, all outputs work until the heat request signal at input 2 is switched off. The signals are processed in the control circuits 28 , 29 . If a feedback signal to these control circuits fails, this is reported to a fault detection stage 45 connected to the control circuits via data transmission lines 43 , 44 , which switches off all outputs (lockout), activates the fault display 37 and also provides information via LEDs 38 and 47 to 49 the type of disorder there. Specifically, the light-emitting diode 38 connected to the already mentioned output 25 of the stage 45 indicates faults in the area of the pressure monitor or the blower motor 36 , while the light-emitting diode 48 at the output 20 signals faults in the area of the flame monitor and ignition module. The connected to the output 22 denen LED 49 indicates by their response that a defect within the IC module, such as the failure of a control circuit, is present. Faulty fuel valves are indicated by the LED 47 , which is connected to the output 23 of the fault detection stage 45 . The circuit can be suppressed by pressing a button connected to the switch 46 . The fault indicator 37 goes out and the burner system goes into operation during the start phase, provided that there is no condition that causes an immediate re-fault. Clamping the reset button cannot lead to an interference suppression, since the input 13 of the interference detection stage 45 is operated dynamically.

Die zeitliche Folge des Einschaltens der verschiedenen Brennerkomponenten ist aus dem Zeitdiagramm nach Fig. 2 ersicht lich. Danach setzt zum Zeitpunkt t ₁ die Wärmeforderung ein, die veranlaßt, daß zum Zeitpunkt t ₂ der Gebläsemotor 36 ein geschaltet wird und der Druckwächter anspricht. Zwischen t ₃ und t ₄ liegt die Vorspülphase, deren Ende mit dem Beginn der kurzen Vorzündzeit zusammenfällt. Zum Zeitpunkt t ₅ setzt die Zündphase ein, die eine Sicherheitszeit bis t ₇ einschließt. Außerdem wird bei t ₅ das Brennstoffventil 41 geöffnet. In die Zündzeit fällt das Rückmeldesignal des Flammenwächters (Eingang 12), das zum Zeitpunkt t ₆ abgefragt wird.The chronological sequence of switching on the various burner components is shown in the time diagram according to FIG. 2. Thereafter, at time t _1, the heat demand begins, which causes the blower motor 36 to be switched on at time t ₂ and the pressure switch to respond. The pre-rinse phase lies between t ₃ and t ₄ , the end of which coincides with the start of the short pre-ignition time. At time t ₅ , the ignition phase begins, which includes a safety time up to t ₇ . In addition, the fuel valve 41 is opened at t ₅ . The feedback signal from the flame monitor (input 12 ) falls into the ignition time and is queried at time t ₆ .

Wie vorstehend bereits angedeutet, sind die beiden Prüf- und Steuerkreise 28, 29 für die verschiedenen Lasten des Brennersystem miteinander elektrisch verknüpft und zwar in der Weise, daß jeder Steuerkreis eine vorgegebene Folge lo gischer Signalpegel ausgibt, welche als Ansteuer- und Rück meldesignale zwischen den beiden Steuerkreisen ausgetauscht und miteinander verglichen werden. Wie aus Fig. 3 ersicht lich ist, erzeugt der Steuerkreis 28 über die Ausgänge 24, 26 eine Impulsfolge, deren Reckteckimpulse I ₁ und I ₂ inver tiert sind. Desgleichen erzeugt der Steuerkreis 29 an den Ausgängen 17 und 19 eine Impulsfolge, deren Reckteckimpulse I ₃ und I ₄ gegenüber den Impulsen I ₁, I ₂ zeitversetzt und gleichfalls invertiert sind. Die Impulse I ₁ und I ₂ an den Ausgängen 24 und 26 des Steuerkreises 28 werden über die Ein gänge 3 und 5 an den Steuerkreis 29 gelegt, wobei dieser Kreis Rückmeldeimpulse I ₅ und I ₆ an die Eingänge 3 und 5 ausgibt, die hinsichtlich Frequenz und Dauer mit den An steuerimpulsen I ₁ und I ₂ des Steuerkreises 28 zeitgleich sind. Die vom Steuerkreis 29 an den Ausgängen 17 und 19 ausgegebenen Ansteuerimpulse I ₃ und I ₄ werden über die Eingänge 10 und 16 an den Steuerkreis 28 gelegt, der auf diese Eingänge Rückmeldeimpulse gibt, welche mit den An steuerimpulsen I ₃ und I ₄ hinsichtlich Frequenz und Dauer gleichfalls zeitgleich sind.As already indicated above, the two test and control circuits 28 , 29 for the different loads of the burner system are electrically linked to one another in such a way that each control circuit outputs a predetermined sequence of logical signal levels, which as control and feedback signals between the both control circuits are exchanged and compared with each other. As can be seen from FIG. 3, the control circuit 28 generates a pulse sequence via the outputs 24 , 26 , the stretching pulses I ₁ and I _{2 of} which are inverted. Likewise, the control circuit 29 generates a pulse sequence at the outputs 17 and 19 , the stretching corner pulses I ₃ and I ₄ of which are time-delayed and also inverted with respect to the pulses I ₁ , I ₂ . The pulses I ₁ and I ₂ at the outputs 24 and 26 of the control circuit 28 are on the inputs 3 and 5 to the control circuit 29 , this circuit outputs feedback pulses I ₅ and I ₆ to the inputs 3 and 5 , the frequency and duration with the control pulses I ₁ and I _{2 of} the control circuit 28 are simultaneous. The output from the control circuit 29 at the outputs 17 and 19 drive pulses I ₃ and I ₄ are applied via the inputs 10 and 16 to the control circuit 28, which are on these inputs, feedback pulses which control pulses I ₃ with the An and I ₄ in terms of frequency and Duration are also simultaneous.

Die einander zugeordneten Ansteuer- und Rückmeldeimpulse laufen über je einen Verstärker 50 bzw. 51 bzw. 52 bzw. 53, an deren Ausgänge das Magnetventil 41 über eine Schaltung aus vier Diodenstrecken 54, 55, 56, 57 angeschlossen ist. Die Diodenstrecken sind so geschaltet, daß die Signale als Versorgungsspannung in den Erregerkreis des Magnetventils 41 eingespeist werden und eine lückenlose Stromversorgung desselben gewährleisten.The mutually assigned control and feedback pulses each run through an amplifier 50 or 51 or 52 or 53 , to the outputs of which the solenoid valve 41 is connected via a circuit composed of four diode paths 54 , 55 , 56 , 57 . The diode paths are switched in such a way that the signals are fed as supply voltage into the excitation circuit of the solenoid valve 41 and ensure the same power supply.

Wird beispielsweise der Ausgang 24 durch ein Taktsignal des Oszillators 32 aktiviert, so schaltet das Rückmeldesignal des Steuerkreises 29 am Eingang 3 den benachbarten, reduntan ten Ausgang 26 des Steuerkreises 28 ab. Dieser Ausgang wird von einem Impuls des Oszillators 32 wieder aktiviert und das vom Steuerkreis 29 kommende Rückmeldesignal am Eingang 5 schaltet jetzt den Ausgang 24 passiv. Die Ansteuerung dieser beiden Ausgänge erfolgt invertierend. Tritt dieser Signalwech sel nicht auf, so liegt ein Defekt in der Schaltung vor, der zur Störabschaltung und zur Anzeige der Störursache durch die Leuchtdiode 49 führt.If, for example, the output 24 is activated by a clock signal from the oscillator 32 , the feedback signal from the control circuit 29 at the input 3 switches off the adjacent, redundant output 26 of the control circuit 28 . This output is reactivated by a pulse from oscillator 32 and the feedback signal coming from control circuit 29 at input 5 now switches output 24 passively. The control of these two outputs is inverting. If this signal change does not occur, then there is a defect in the circuit which leads to lockout and to the display of the cause of the fault by the LED 49 .

Ein besonderer Vorteil der beschriebenen Schaltung besteht darin, daß der Stromdurchfluß durch die Lasten nicht getak tet ist. Dies führt zu erheblich geringeren Störabstrahlun gen. Die Schaltsignale sind invertiert, d. h. zum Durchschal ten muß an den durch die Ausgänge 24, 26 und 17, 19 gebilde ten beiden Kanälen jeweils ein High- und ein Low-Signal an liegen. Es erfolgt eine kontinuierliche Überwachung während der gesamten Betriebsphase.A particular advantage of the circuit described is that the current flow through the loads is not clocked. This leads to considerably lower Störabstrahlun conditions. The switching signals are inverted, ie for switching th must have a high and a low signal at the two channels formed by the outputs 24 , 26 and 17 , 19 th. There is continuous monitoring during the entire operating phase.

Wie vorstehend beschrieben, hat jeder Steuerkreis 28, 29 eine eigene Zeitbildnerstufe 30 bzw. 31, wodurch ein Redundanz auf dem integrierten Baustein 1 vorhanden ist. Zur Grundzeitbil dung werden ein RC-Oszillator 32 (Eingang 7) und die Netzfre quenz (Eingang 9) herangezogen. Läuft eine Frequenz aus dem Zeitfenster, so werden keine Takte mehr an die Steuerkreise 28, 29 abgegeben und die Schaltung geht auf Störung. Bleibt die Frequenz außerhalb des Fensters, so bleiben Entstörver suche durch Betätigen des Schalters 46 erfolglos. Die Abfrage der Flammenrückmeldung erfolgt kontinuierlich solange das Brennersystem an Spannung liegt. Während der Zündzeit ist die Abfrage ausgeblendet, so daß Störeinkopplungen und daraus re sultierende Fehlermeldungen vermieden sind. Zur Flammenüber wachung können beliebige, bekannte Sensorsysteme, die auf Strahlung oder auf Gasionisation ansprechen, verwendet wer den.As described above, each control circuit 28 , 29 has its own time-forming stage 30 or 31 , as a result of which there is redundancy on the integrated module 1 . An RC oscillator 32 (input 7 ) and the mains frequency (input 9 ) are used for basic time formation. If a frequency runs out of the time window, no more clocks are delivered to the control circuits 28 , 29 and the circuit goes to fault. If the frequency remains outside the window, the interference suppression search by pressing the switch 46 remains unsuccessful. The flame feedback is queried continuously as long as the burner system is live. The query is hidden during the ignition time, so that interference coupling and error messages resulting therefrom are avoided. Any known sensor systems that respond to radiation or gas ionization can be used to monitor the flame.

Über die Eingänge 6 und 8 ist die Schaltung an Masse gelegt, wobei über Eingang 6 eine Sicherheitszeit eingestellt werden kann und über Eingang 8 das Massepotential an den IC gelegt wird.The circuit is connected to ground via inputs 6 and 8 , it being possible to set a safety time via input 6 and the ground potential is connected to the IC via input 8 .

Im Ausführungsbeispiel wird eine Last, nämlich das Brennstoff ventil 41, direkt durch die Ansteuer- und Rückmeldeimpulse der Steuerkreise 28, 29 gespeist. Diese Art der Stromversorgung kann nicht nur für das Brennstoffventil, sondern für alle La sten des Brennersystems verwendet werden. Durch diese Maßnahme wird die Schaltung besonders betriebssicher, da ein Defekt in den Steuerkreisen zwangsläufig auch die Stromversorgung der angeschlossenen Lasten unterbricht. In the exemplary embodiment, a load, namely the fuel valve 41 , is fed directly by the control and feedback pulses from the control circuits 28 , 29 . This type of power supply can be used not only for the fuel valve, but for all loads of the burner system. This measure makes the circuit particularly reliable, since a defect in the control circuits inevitably also interrupts the power supply to the connected loads.

Die vorstehend beschriebene Schaltung hat ein Brennstoffventil und ist für intermittierenden Betrieb ausgelegt. Bei einem Feuerungsautomat für Dauerbetrieb müssen aus Sicherheitsgrün den zwei identische Schaltkreise der beschriebenen Art verwendet werden. Außerdem sind Wärmeforderung, interne Vorspülzeit und Flammenüberwachung redundant auszulegen. Bei unterschiedlichen Signalen der Steuereinheiten wird ein Fehlerzustand angenommen und die Ausgänge werden stromlos geschaltet. Die Schaltung synchronisiert sich durch die Verbindung ihrer Eingänge selbst, wodurch die Priorität für einen ersten Logikzustand der Schaltkreise festliegt. Prinzipiell können zwei Magnetventile angesteuert werden, wobei das zweite Magnetventil nach einer vorgegebenen Verzögerungszeit gegenüber dem ersten Ventil geöffnet wird. Durch die Verwendung zweier Schaltkreise kann auf eine redundante Zeitbasis verzichtet werden. Ansonsten ist der Ablauf iden tisch wie bei der vorstehend beschriebenen Sicherheitsschaltung mit nur einem Schaltkreis.The circuit described above has a fuel valve and is designed for intermittent operation. At a Automatic burner control for continuous operation must be made of safety green the two identical circuits of the type described be used. In addition, heat demand is internal Pre-rinsing time and flame monitoring must be designed redundantly. At different signals from the control units An error state is assumed and the outputs are de-energized switched. The circuit synchronizes through the Connection of their inputs themselves, reducing the priority for a first logic state of the circuits. In principle, two solenoid valves can be controlled wherein the second solenoid valve according to a predetermined Delay time compared to the first valve is opened. By the use of two circuits can lead to a redundant one Time base to be dispensed with. Otherwise the procedure is identical table as with the safety circuit described above with just one circuit.

Claims

1. Safety circuit for controlling critical loads of gas or oil burners, such as a blower motor, ignition device, flame monitoring and fuel valves, according to a predetermined program by comparing actual values of the loads with setpoints provided by the circuit, which, when an error occurs in the signal comparison, a status signal provides, which causes a lockout of the loads, characterized in that the circuit contains two electrically interconnected control circuits ( 28 , 29 ) for the loads ( 36 , 40 , 41 ), each of which outputs a predetermined sequence of logic signal levels, which as a control - and feedback signals are exchanged between the two control circuits and compared.

2. Safety circuit according to claim 1, characterized in that each control circuit ( 28 , 29 ) outputs several Ansteuersignalfol gene ( I ₁ , I ₂ or I ₃ , I ₄ ) via separate outputs ( 24 , 26 or 17 , 19 ) that the control signals output by a control circuit at the same time are inverted, and that a feedback signal ( I ₅ or I ₆ or I ₇ or I ₈ ) of the other control circuit is fed into each output of the one control circuit.

3. Safety circuit according to claim 1 or 2, characterized in that the control and feedback signals ( I ₁ to I ₈ ) are fed as a supply voltage in the excitation circuits of the loads ( 41 ).

4. Safety circuit according to claim 3, characterized in that each control and feedback path ( 24 , 26 ; 17 , 19 or 10 , 16 ; 3 , 5 ) contains an amplifier ( 50 or 51 or 52 or 53 ) , at the output of which the load ( 41 ) is connected via a diode path ( 54 to 57 ).

5. Safety circuit according to one of the preceding claims, characterized in that an with the control circuit sen ( 28 , 29 ) electrically connected oscillator ( 32 ) is provided, which is used to generate the predetermined sequence of logical signal levels ( I ₁ to I ₈ ) in the control circuits he delivers necessary impulses with constant frequency.

6. Safety circuit according to claim 5, characterized in that each control circuit ( 28 , 29 ) is associated with a time generator stage ( 30 or 31 ) fed by the oscillator ( 32 ).

7. Safety circuit according to one of the preceding claims, characterized in that the circuit contains a fault detection stage ( 45 ) to which the control circuits ( 28 , 29 ), the time generator stages ( 30 , 31 ) and the oscillator ( 32 ) are connected, and which malfunctions are selected based on malfunction causes via alarm systems, preferably light indicators ( 38 , 47 , 48 , 49 ).

8. Safety circuit according to one of the preceding claims, characterized in that the circuit is designed as an integrated solid-state circuit on a circuit board ( 1 ).