DE4111947A1 - Schaltungsanordnung und verfahren zum ueberwachen eines brennstoffbeheizten geraetes - Google Patents

Description

Stand der Technik

Die Erfindung bezieht sich auf eine Schaltung nach der Gattung des Oberbegriffs. Aus der DE-OS 39 23 773 sind ein Verfahren und eine Vorrichtung zum Überwachen eines brennstoffbeheizten Gerätes be­ kannt, bei denen sicherheitsrelevante Eingangssignale gleichzeitig in zwei Mikrocomputersysteme eingegeben, unabhängig voneinander in jedem Mikrocomputer verwertet und anschließend die daraus entstan­ denen Ausgangssignale verglichen werden. Die Übereinstimmung der Ausgangssignale stellt ein überprüfbares Kriterium für das fehler­ freie Funktionieren der Steuerung dar. Außerdem verfügt jedes Mikro­ computersystem unabhängig über die Möglichkeit, mit Hilfe einer Sicherheitsabschaltung alle Endstufen und Stellglieder stromlos zu schalten.

Dieses System, bei dem zwei unabhängig voneinander arbeitende Mikro­ computer miteinander koordiniert werden müssen, ist sowohl in der Hardware als auch der Software aufwendig. Ferner haftet dieser Art der Schaltung der Nachteil an, daß bei auftretenden Fehlern in den Sensoren oder Stellglieder keine direkte Abschaltmöglichkeit der Gesamtanlage besteht, ohne daß ein Mikrocomputer dies veranlaßt.

Vorteile der Erfindung

Die erfindungsgemäße Schaltungsanordung mit den kennzeichnenden Merkmalen des Hauptanspruchs hat den Vorteil, daß bei auftretenden Fehlern in den sicherheitsrelevanten Schaltungsteilen direkt auf die Sicherheitsschaltung eingewirkt wird, die das Gerät unmittelbar ab­ schaltet. Die Schaltungsanordnung ermöglicht außerdem eine Überprü­ fung dieser Schaltungsteile auf Fehlerzustände, ohne daß ein zweiter Mikrocomputer eingesetzt werden müßte. Hierzu werden einfache logi­ sche Elemente, wie z. B. UND-, ODER-, NAND-Glieder usw. eingesetzt. Diese Elemente haben den Vorteil, daß sie gegenüber einem Mikrocom­ puter einfacher aufgebaut, billiger und sicher beherrschbar sind.

Durch die in den Unteransprüchen aufgeführten Merkmale sind vorteil­ hafte Verbesserungen der Schaltungsanordnung gemäß Hauptanspruch möglich.

Die Abgabe eines Signals der Sicherschaltung an die Steuereinheit, das z. B. den Betriebszustand der Sicherheitsschaltung anzeigt, er­ möglicht, daß von der Steuereinheit aktiv die Brennstoffzufuhr ge­ schlossen werden kann. Dadurch wird erreicht, daß bei einem Ausfall entweder der Sicherheitsschaltung oder des Abschaltweges der Sicher­ heitsschaltung ein Abschalten bewirkt wird. Zusätzlich kann eine Fehlermeldung nach außen abgegeben werden.

Wenn das von der Sicherheitsschaltung an die Steuereinheit abgege­ bene Signal gegenüber dem Abschaltsignal der Sicherheitsschaltung an das Ventil verzögert abgegeben wird, ist es möglich, verschiedene auf die Steuerschaltung wirkende Wege, die im Bedarfsfall eine Ab­ schaltung bewirken, durch gezielte Falschinformation zu überprüfen. Hierzu wird mit definiert ausgegebenen Signalen ein Fehler simu­ liert, das von der Sicherheitsschaltung als Reaktion darauf abgege­ bene Signal an die Steuereinheit detektiert und innerhalb der Verzögerungszeit der ursprüngliche Betriebszustand wiederherge­ stellt. Ein ungewolltes Abschalten wird auf diese Weise vermieden.

Das Verbinden der Ausgänge der Ventilüberprüfvorrichtung und der Vorrichtung zur Überprüfung der Flammenüberwachungseinrichtung mit­ tels eines verknüpfenden Elements, dessen Ausgang auf die Sicher­ heitsabschaltung wirkt, ermöglicht, daß sich jeder Ansteuerweg eines oder mehrerer Ventile überprüfen läßt. Wenn außerdem die Steuer­ einheit in der Lage ist, das Flammendetektionssignal während des Be­ triebs kurzfristig auszublenden, läßt sich auch dieser Weg auf mög­ liche Fehler überprüfen.

Ist die Steuereinheit über eine die Steuereinheit überwachende Vor­ richtung mit der Sicherheitsschaltung verbunden und ist von der Lei­ tung zwischen dieser Vorrichtung und der Sicherheitsschaltung eine Leitung abgezweigt, die über ein UND-Glied zur Steuereinheit führt, kann erreicht werden, daß diese Vorrichtung Betriebsfehler der Steuereinheit erkennt. Ferner kann, wenn verhindert wird, daß diese Vorrichtung auf die Steuereinheit einwirkt, durch gezielte Fehlin­ formation sowohl diese Vorrichtung, als auch der Weg von der Steuer­ einheit über diese Vorrichtung zur Sicherheitsschaltung einer Fehlerüberprüfung unterzogen werden.

Durch Integration einer die an der Steuereinheit anliegende Spannung überprüfenden Vorrichtung in die Schaltungsanordnung kann bei fehlerhafter Spannungsversorgung die Steuereinheit in einen defi­ nierten Zustand überführt werden. Wenn außerdem die Sicherheits­ schaltung auf diese Vorrichtung wirkt, ist es möglich, mit dem Aus­ lösen des Sicherheitsschalters diese Vorrichtung so zu beeinflussen, daß diese die Steuereinheit in dem definierten Zustand hält.

Zeichnung

Ein Ausführungsbeispiel der Erfindung ist in der Zeichnung verein­ facht dargestellt und in der nachfolgenden Beschreibung näher er­ läutert. In Fig. 1 sind die einzelnen Schaltungsbaugruppen schema­ tisch dargestellt. Fig. 2 zeigt die Einbindung einer die an der Steuereinheit anliegenden Spannung überprüfenden Vorrichtung in einen Teil der Schaltung gemäß Fig. 1 und Fig. 3 ein Ausführungs­ beispiel dieser Vorrichtung. In Fig. 4 ist ein Ausführungsbeispiel der Sicherheitsschaltung dargestellt.

Beschreibung eines Ausführungsbeispiels

In Fig. 1 ist eine Steuereinheit 10 gezeigt, die über Leitungen 12, 14 mit Magnetventilen 16, 18 verbunden ist und die ihrerseits über Leitungen 20, 21 an eine Strom-/Spannungsversorgung 24 angeschlossen sind. Die Magnetventile 16, 18 wirken auf eine Gasversorgungsleitung 22, die zu einem Brenner 23 führt und sind zueinander in Reihe ge­ schaltet.

Von der Steuereinheit 10 geht ferner eine Leitung 26 zu einer die Steuereinheit 10 überprüfenden Vorrichtung 28, im folgenden Watchdog genannt, dessen Ausgang über eine Leitung 30 mit einer Sicherheits­ schaltung 32 verbunden ist. Watchdogs sind allgemein bekannt und überprüfen periodische Ereignisse innerhalb eines vorgegebenen Zeit­ fensters, z. B. die Periodizität von Triggerimpulsen.

Von der Leitung 30 zweigt eine Leitung 34 ab, die zu einem ersten Eingang eines UND-Gliedes 36 führt. Der zweite Eingang ist über eine Leitung 38 mit der Steuereinheit 10 verbunden und der Ausgang über eine Leitung 40 an die Steuereinheit 10 zurückgeführt. Weiterhin ist die Steuereinheit 10 über Leitungen 42, 43 mit der Sicherheits­ schaltung 32 verbunden. Über zwei Leitungen 44, 45 ist eine Prüfvorrichtung 46 für die Flammenüberwachungseinrichtung 47 eben­ falls mit der Steuerung 10 verbunden. Im Ausführungsbeispiel ist die Prüfvorrichtung 46 durch ein einfaches UND-Glied realisiert. Vor­ stellbar sind aber auch komplizierter aufgebaute Strukturen, die eine größere Anzahl von Daten verarbeiten. An die Leitung 45 ist eine Leitung 48 angeschlossen, die von der Flammenüberwachungsein­ richtung 47 herführt. Der Ausgang des UND-Gliedes 46 ist negiert auf einen Eingang eines weiteren UND-Gliedes 50 geführt, dessen Ausgang über eine Leitung 52 an die Sicherheitsschaltung 32 angeschlossen ist. Der zweite Eingang dieses UND-Glieds 50 ist mit dem Ausgang einer Ventilüberprüfvorrichtung 54 in Form eines ODER-Glieds und dessen Eingänge mit den Magnetventilen 16 und 18 verbunden.

Die Sicherheitsschaltung 32 ist mechanisch mit einem Schalter 55 verbunden, der es ermöglicht, die Leitung 20 zu unterbrechen.

In Fig. 2 ist dargestellt, wie eine die an der Steuereinheit 10 an­ liegende Spannung überprüfende Vorrichtung 56 in die Schaltungsan­ ordnung gemäß Fig. 1 (nur zum Teil dargestellt) eingebaut ist. Dazu ist die Leitung 40 vom UND-Glied 36 auf einen ersten Eingang eines ODER-Gliedes 58 geführt, dessen Ausgang mit der Steuereinheit 10 verbunden ist. Am zweiten Eingang ist der Ausgang 72 der Vorrichtung 56 angeschlossen. Weiterhin führt von der Sicherheitsschaltung 32 eine Leitung 60 zur Vorrichtung 56, für die ferner eine Strom-/Spannungsversorgung 62 vorgesehen ist.

Ein Ausführungsbeispiel der Vorrichtung 56 als Unterspannungsdetek­ tor ist in Fig. 3 dargestellt, dessen Kernstück ein Komparator 64 bildet, der mit seinem positiven Eingang mit einer Referenzspannungs­ quelle 66 und mit seinem negativen Eingang über eine Leitung 67, eine Diode 68 und eine Leitung 60 mit der Leitung 20 verbunden ist. Die Leitung 67 ist ferner an dem Mittelabgriff eines Spannungstei­ lers 70, 71 und dieser an der Stromversorgung 62 angeschlossen. Der Ausgang 72 des Komparators führt auf das ODER-Glied 58.

Ein Ausführungsbeispiel der Sicherheitsschaltung 32 als Bimetallan­ steuerung ist in Fig. 4 dargestellt. Ausgehend von der Strom-/Span­ nungsversorgung 24, führt die Leitung 20 über den Schalter 55 zu einer Spule 77, deren Ausgang über eine Leitung 74 mit dem Kollektor eines Transistors 76 verbunden ist. Der Emitter des Transistors 76 ist an Masse angeschlossen. Parallel zur Kollektor-Emitter-Strecke liegt ein Spannungsteiler 78, 79, an dessen Mittelabgriff die Leitung 43 abzweigt. Die Leitungen 30, 42, 52 führen über Dioden 80 parallel zusammen an die Basis des Transistors 76.

Funktionsweise

Im Ruhezustand sind die Magnetventile 16, 18 geschlossen und es ist keine Flamme vorhanden. Tritt eine Wärmeforderung auf, so öffnet die Steuereinheit 10 zunächst eines der Magnetventile 16, 18. Dies führt über das ODER-Glied 54 und das UND-Glied 50 zu einer Bestromung der Sicherheitsschaltung 32. Über die Leitung 43 wird diese Bestromung der Steuereinheit 10 angezeigt. Erfolgt keine Bestromung, muß dieser Ansteuerweg defekt sein, die Steuereinheit schließt das Ventil wie­ der und bestromt ihrerseits über die Leitung 42 die Sicherheits­ schaltung 32.

Bei korrekter Funktion öffnet die Steuereinheit 10 das zweite der Ventile 16, 18 und löst die Zündung aus. Liefert die Flammenüber­ wachung 47 nach erfolgter Zündung über die Leitung 48 ein gültiges Signal, führt dies über das UND-Glied 46 auf den negierten Eingang des UND-Glieds 50. Dadurch wird ein Ausgangssignal an 50 verhindert, die Bestromung der Sicherheitsschaltung 32 beendet und der Heizbetrieb liegt vor. Erscheint innerhalb einer Sicherheitszeit von ca. 10 sec kein Flammensignal, schließt die Steuereinheit 10 die Magnetventile 16, 18 und hält die Bestromung der Sicherheitsschal­ tung 32 aufrecht, bis der Schalter 55 auslöst. Zwischen Bestromung der Bimetallansteuerung 32 und dem Auslösen des Schalters 55 vergeht üblicherweise eine Zeit von ca. 25 sec.

Unabhängig von einer Wärmeforderung erfolgt ein Test des Watchdogs 28 in konstanten Zeitintervallen (ca. 40 sec beim Ausführungsbei­ spiel) durch gesteuerte Falschtriggerung. Die Tests erfolgen alter­ nierend mit zu kleiner und zu großer Periodendauer der Triggerimpul­ se. Dazu "sperrt" die Steuereinheit 10 das UND-Glied 36 und verhin­ dert so, daß der Watchdog 28 während der Überprüfung über die Lei­ tungen 34, 40 die Steuereinheit in einen definierten Zustand über­ führt. Die Steuereinheit 10 ist dadurch in der Lage über die Leitung 43 zu prüfen, ob der Watchdog 28 eine Bestromung der Sicherheits­ schaltung 32 bewirkt. Die Testdauer ist kürzer als die Ansprechzeit des Schalters 55, so daß dieser bei einem korrekt verlaufenden Test nicht schaltet. Nach dem Test wird das UND-Glied 36 wieder "freige­ geben".

Da der Watchdog 28 die Sicherheitsschaltung 32 bereits während des Tests bestromt, erfolgt durch das gesperrte UND-Glied 36 keine Be­ einträchtigung der Sicherheit, auch wenn im Testbetrieb ein Fehler in der Steuereinheit 10 auftreten sollte. In diesem Fall dauert die Falschtriggerung über die Zeit des Testes an, und der Watchdog hält die Bestromung der Sicherheitsschaltung 32 aufrecht, bis der Schal­ ter 55 auslöst. Außerdem können Selbsttests der Steuereinheit 10 derart vorgesehen sein, daß sich die Steuereinheit 10 bei auftreten­ den Fehlern selbst in einen definierten Zustand überführt und eine Bestromung der Sicherheitsschaltung 32 über die Leitung 42 bewirkt.

Ein erster Test auf Fehlerfreiheit der Bestromung der Sicherheits­ schaltung 32 durch eine Signaleinwirkung über die Leitung 52 wurde bereits beim Start der Feuerungsanlage vollzogen. Ein zweiter Test erfolgt bei eingeschaltenem Brenner ebenfalls in konstanten Zeit­ intervallen. Dazu "sperrt" die Steuereinheit 10 über die Leitung 44 das UND-Glied 46 und simuliert so das Ausfallen eines Flammendetek­ tionssignals. Es erlischt das Ausgangssignal des UND-Glieds 46, was über die Negation zu einem Eingangssignal am UND-Glied 50 führt. Da die Magnetventile 16, 18 bestromt sind, liefert das ODER-Glied 54 ebenfalls ein Signal zum UND-Glied 50, wodurch ein Signal auf der Leitung 52 entsteht. Die Bestromung der Sicherheitsschaltung 32 wird von der Steuereinheit 10 wiederum über die Leitung 43 erkannt. Um die Sicherheit während dieses Testes zu gewährleisten, wird das effektive Flammendetektionssignal auf der Leitung 48 durch eine Leitung 45 abgegriffen und direkt zur Steuereinheit 10 geleitet.

Die in Form eines Unterspannungsdetektors aufgebaute Vorrichtung 56 überwacht die Versorgungsspannung der Steuereinheit 10 in der Weise, daß beim Unterschreiten eines gewissen Schwellwertes ein Ausgangs­ signal an die Steuereinheit 10 abgegeben wird, und diese dadurch in einen definierten Zustand überführt. In vorteilhafter Weise wird dieses Ausgangssignal mit dem Ausgangssignal des UND-Glieds 36 über ein ODER-Glied 58 verbunden. Dadurch läßt sich derselbe Eingang an der Steuereinheit 10 nutzen, wie er auch der Watchdog-Schaltung 28, 34, 36, 40 zur Verfügung steht. Durch eine Verbindung zwischen Sicherheitsschaltung 32 und Unterspannungsdetektor 56 läßt sich erreichen, daß bei ausgelöstem Schalter 55 die Steuereinheit 10 über den Unterspannungsdetektor 56 in einem definierten Zustand gehalten wird.

Funktionsweise der Vorrichtung 56 in der Form eines Unterspannungs­ detektors

Der Komparator 64 vergleicht eine Referenzspannung 66 mit einer Teilspannung über dem Spannungsteiler 70, 71, die von der Strom-/Spannungsversorgung 62 abgeleitet ist. Solange diese Teil­ spannung größer ist als die Referenzspannung 66, liegt am Ausgang 72 kein Signal an. Sinkt die Versorgungsspannung 62, so sinkt die Teil­ spannung über 71 und erzeugt ein Ausgangssignal. Der Einfluß der Sicherheitsschaltung 32 auf den Unterspannungsdetektor 56 kann durch eine Verbindung über eine Diode 68 zwischen dem Mittelabgriff des Spannungsteilers 70, 71 und der Leitung 20 erfolgen. Bei geschlos­ senem Schalter 55 hat die zweite (höhere) Versorgungsspannung der Strom-/Spannungsversorgung 24 wegen der Diode 68 keinen Einfluß auf den Komparator 64. Bei geöffnetem Schalter 55 ist die Diode 68 in Durchlaßrichtung betrieben, wodurch die Spannung am Spannungsteiler 70, 71 sinkt und ein Ausgangssignal am Ausgang 72 bewirkt.

Funktionsweise der Sicherheitsschaltung 32 in der Form einer Bime­ tallansteuerung

Solange an den Ansteuerwegen 30, 42, 52 (Fig. 4) eine Spannung nahe 0 Volt anliegt, fließt durch die Wicklung 77 nur ein sehr kleiner Strom, der keine auslösende Wirkung besitzt. Durch Anlegen einer höheren Spannung an eine der Leitungen 30, 42, 52 schaltet der Transistor 76 und erhöht damit den Stromfluß durch die Wicklung 77. Der Schalter 55 öffnet nach einer, der Erwärmung entsprechenden Ver­ zögerungszeit. Mit dem Schalten des Transistors erniedrigt sich die Spannung über der Kollektor-Emitter-Strecke und damit die Spannung zwischen der Leitung 43 und der Masse.

Die schaltungstechnische Realisierung der Ausführungsbeispiele ist auf unterschiedliche Weise möglich. Die Steuereinheit ist vorzugs­ weise als Mikrocomputer realisiert. In einfacheren Geräten ist auch ein diskreter Aufbau vorsehbar.

Die logischen Elemente sind als diskrete Bausteine, beispielsweise mit UND- und ODER-Verknüpfungen, realisierbar. Besonders geeignet ist eine integrierte Lösung, die sämtliche Funktionen einschließt. Für einfache Geräte kann auch eine Realisierung in Relaistechnik günstig sein.

Claims (23)

1. Schaltungsanordnung zum Überwachen eines brennstoffbeheizten Gerätes, mit einer Steuereinheit, der wenigstens ein sicherheits­ relevantes Eingangssignal zugeführt ist, mit mindestens einem elek­ trisch ansteuerbaren Ventil in der Brennstoffzufuhr zu einem Bren­ ner, mit einer Flammenüberwachungseinrichtung und mit einer Sicher­ heitsschaltung zum Abschalten des Ventils, an die die Steuereinheit wenigstens ein Signal abgibt, dadurch gekennzeichnet, daß eine re­ dundante Überwachungsschaltung (28, 36, 46, 50, 54) vorgesehen ist, die einfache, logische Elemente enthält, der ebenfalls wenigstens ein sicherheitsrelevantes Eingangssignal zugeführt ist und die wenigstens ein Abschaltsignal unmittelbar an die Sicherheitsschal­ tung (32) abgibt.

2. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) ein Signal an die Steuereinheit (10) abgibt.

3. Schaltungsanordnung nach Anspruch 2, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) das Abschaltsignal an das Ventil (16, 18) gegenüber dem an die Steuereinheit (10) abgegebenen Signal ver­ zögert abgibt.

4. Schaltungsanordnung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine Ventilüberprüfvorrichtung (54) enthält, die mit der Sicher­ heitsschaltung (32) verbindbar ist.

5. Schaltungsanordnung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine Prüfvorrichtung (46) für die Flammenüberwachungseinrichtung enthält, die mit der Sicherheitsschaltung (32) verbindbar ist.

6. Schaltungsanordnung nach Anspruch 5, dadurch gekennzeichnet, daß ein verknüpfendes Element, insbesondere ein UND-Glied (50), vorge­ sehen ist, dessen Eingänge mit den Ausgängen der Ventilüberprüf­ vorrichtung (54) und der Prüfvorrichtung (46) verbunden sind und dessen Ausgang mit der Sicherheitsschaltung (32) verbunden ist.

7. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) mit einem die Stromzufuhr des Ventils (16, 18) unterbrechbaren Schalter (55) verbunden ist.

8. Schaltungsanordnung nach Anspruch 7, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) einen zeitlich verzögert ansprechenden Bimetallschalter (77, 55) enthält.

9. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine die Steuereinheit (10) überwachende Vorrichtung (28) enthält, die mit der Sicherheitsschaltung (32) verbunden ist und von dieser verbindenden Leitung (30) zwischen der Vorrichtung (28) und der Sicherheitsschaltung (32) eine Leitung (34) abzweigt, die über ein logisches Element (36), insbesondere ein UND-Glied, zur Steuer­ einheit (10) führt.

10. Schaltungsanordnung nach Anspruch 9, dadurch gekennzeichnet, daß die Steuereinheit (10) mit einer weiteren Leitung (38) mit einem zweiten Eingang des logischen Elements (36) verbunden ist.

11. Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungsschaltung (28, 36, 46, 50, 54) eine die an der Steuereinheit (10) anliegende Spannung über­ prüfende Vorrichtung (56), insbesondere einen Unterspannungsdetektor, enthält.

12. Schaltungsanordnung nach Anspruch 10 oder 11, dadurch gekenn­ zeichnet, daß der Ausgang des logischen Elements (36) mit einem er­ sten Eingang eines weiteren logischen Elements (58), insbesondere eines ODER-Glieds, dessen zweiter Eingang mit einem Ausgang (72) der Vorrichtung (56) und dessen Ausgang mit der Steuereinheit (10) ver­ bunden ist.

13. Schaltungsanordnung nach Anspruch 12, dadurch gekennzeichnet, daß die Vorrichtung (56) mit der Sicherheitsschaltung (32) verbunden ist.

14. Schaltungsanordnung nach Anspruch 12 oder 13, dadurch gekenn­ zeichnet, daß die Vorrichtung (56) ein vergleichendes Element (64), insbesondere einen Komparator, enthält, an dessen positiven Eingang eine Referenzspannung (66) angeschlossen ist, dessen negativer Ein­ gang über einen Spannungsteiler (70, 71) und eine Diode (68) mit der Versorgungsleitung (20) für das Ventil (16, 18) verbunden ist und dessen Ausgang den Ausgang (72) der Vorrichtung (56) darstellt.

15. Schaltungsanordnung nach einem der Ansprüche 7 bis 14, dadurch gekennzeichnet, daß ein aktives Element (77) vorgesehen ist, das über einen Schalter (55) mit der Versorgungsspannung (24) verbunden ist und selbst auf diesen Schalter (55) wirkt, daß von dieser Ver­ bindung Leitungen (20, 22) zu dem Ventil (16, 18) abgehen und daß das aktive Element (77) ferner mit einem Transistor (76) verbunden ist, an dessen Basis verschiedene, für eine Abschaltung relevante Leitungen (30, 42, 52) angeschlossen sind.

16. Schaltung nach Anspruch 15, dadurch gekennzeichnet, daß parallel zum Transistor (76) ein Spannungsteiler (78, 79) vorgesehen ist, dessen Mittelabgriff mit der Steuereinheit (10) verbunden ist.

17. Verfahren zum Betreiben einer Schaltungsanordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Sicher­ heitsschaltung (32) von der Überwachungsschaltung (28, 36, 46, 50, 54) über mindestens einen auf Fehlersicherheit überprüfbaren Weg an­ gesteuert wird.

18. Verfahren nach Anspruch 17 zum Betreiben einer Schaltungsanord­ nung nach einem der Ansprüche 9 oder 10, dadurch gekennzeichnet, daß die Sicherheitsschaltung (32) direkt über die Steuereinheit (10) oder indirekt über gezielte Falschinformation an eine die Steuerein­ heit (10) überwachenden Vorrichtung (28) angesteuert wird.

19. Verfahren nach Anspruch 18, dadurch gekennzeichnet, daß die Vor­ richtung (28) die Periodendauer der von der Steuereinheit (10) de­ finiert ausgegebenen Impulse überwacht, bei auftretenden Fehlern die Sicherheitsschaltung (32) aktiviert und die Steuereinheit (10) in einen definierten Zustand überführt.

20. Verfahren nach einem der Ansprüche 18 oder 19, dadurch gekenn­ zeichnet, daß die Vorrichtung (28) dadurch getestet wird, daß von der Steuereinheit (10) gezielt fehlerhafte Impulse an die Vorrich­ tung (28) ausgegeben werden, daß ein Überführen der Steuereinheit (10) in einen definierten Zustand verhindert wird und daß die An­ steuerung der Sicherheitsschaltung (32) über die Vorrichtung (28) von der Steuereinheit (10) innerhalb der Ansprechzeit des Schalters (55) detektiert wird.

21. Verfahren nach einem der Ansprüche 17 bis 20, dadurch gekenn­ zeichnet, daß die Sicherheitsschaltung (32) angesteuert wird, sobald ein Ventil (16, 18) angesteuert ist und kein Flammendetektionssignal vorliegt.

22. Verfahren zum Testen des Ansteuerwegs nach Anspruch 21, dadurch gekennzeichnet, daß bei angesteuertem Ventil (16, 18) und vorliegen­ dem Flammendetektionssignal, dieses Signal von der Steuereinheit (10) ausgeblendet wird und die Ansteuerung der Sicherheitsschaltung (32) über das Ventil (16, 18) von der Steuereinheit (10) innerhalb der Ansprechzeit des Schalters (55) detektiert wird.

23. Verfahren nach einem der Ansprüche 17 bis 20 zum Betreiben einer Schaltungsanordnung nach einem der Ansprüche 11 bis 13, dadurch gekennzeichnet, daß die Versorgungsspannung über einen Unter­ spannungsdetektor (56) überwacht wird und dieser bei Unterschreiten der Versorgungsspannung unter einen vorgegebenen Wert die Steuer­ einheit (10) in einen definierten Zustand überführt.