NL1029453C2

NL1029453C2 - Electronic safety system ensures that energy supply to apparatus is disconnected with control unit no longer functions correctly so that e.g. temperature increases uncontrollably, producing a dangerous situation

Info

Publication number: NL1029453C2
Application number: NL1029453A
Authority: NL
Inventors: Bernardus Johannes M Leerkotte
Original assignee: Nedap Nv
Priority date: 2005-07-07
Filing date: 2005-07-07
Publication date: 2007-01-09

Abstract

The electronic safety system ensures that the energy supply to an apparatus (3) is disconnected when a control unit no longer functions correctly, so that, e.g. temperature increases uncontrollably, producing a dangerous situation. The principle of the system is based on a comparison of the signal from a monitoring sensor (5) with a limit (6) set by the apparatus manufacturer, whereby all constituents of the safety system enact an oscillation process. This process is stopped when the signal from the monitoring sensor exceeds the limit prescribed by the manufacturer. This causes the supply of energy (1) to the apparatus to be disconnected. Cessation of feed of materials to the apparatus also occurs, such as air, gas, nitrogen, oil, steam and/or water. An alternating voltage produced in the electronic safety system disappears, whereby the enacting current to the disconnecting component (2) falls away and thereby the energy supply to the apparatus is disconnected. Also, due to a hose breakage, steam pressure suddenly drops sharply, causing the disconnecting component to disconnect steam feed, in order to prevent further damage.

Description

-1 --1 -

Elektronisch veiligheidssysteem voor het voorkomen van gevaarlijke situaties in apparaten.Electronic safety system for the prevention of dangerous situations in devices.

De uitvinding betreft een elektronisch veiligheidssysteem dat het overschrijden van een gelimiteerde grootheid zoals een maximaaltemperatuur van een elektrische warmwaterboiler voorkomt, door 5 gebruikmaking van een oscillerende elektronische schakeling waardoor het te beveiligen apparaat tevens wordt uitschakeld als er een fout in het elektronische veiligheidssysteem volgens deze uitvinding ontstaat.The invention relates to an electronic safety system that prevents exceeding a limited quantity such as a maximum temperature of an electric hot water boiler by using an oscillating electronic circuit whereby the device to be protected is also switched off if an error occurs in the electronic safety system according to the invention .

De huidige stand van de techniek is dat bij veel apparaten, die thermisch beveiligd dienen te worden, nog steeds gebruik wordt gemaakt van een één- of meerfasige mechanisch/hydraulische veiligheidsschakelaar 10 welke de spanningstoevoer naar de regelaar onderbreekt wanneer een maximaal ingestelde grootheid, zoals een maximale temperatuur, in het te regelen proces wordt overschreden. In het geval van regelen van een temperatuur moet volgens de geldende normen en richtlijnen het toestel of apparaat voorzien zijn van een overtemperatuurbeveiliging, die bij het falen van de temperatuurregeling het toestel bij het bereiken van een vastgestelde maximale temperatuur afschakelt. De temperatuurmeting wordt veelal 15 gedaan op basis van de kubieke uitzettingscoëfficiënt van een vloeistof in een reservoir dat via een capillair buisje verbonden is met een tweede ruimte met vloeistof. Deze tweede ruimte wordt aan één zijde begrensd door een membraan, die bij een bepaalde verplaatsing, veroorzaakt door de te hoge temperatuur, één of meerdere schakelaars opent waardoor de stroomtoevoer wordt onderbroken. Het toestel kan daarna alleen door een gekwalificeerd persoon weer in bedrijf worden gebracht 20 Daarnaast bestaan er elektronisch beveiligde regelingen voor onder andere elektrische doorstroomverwarmers, waarbij de elektronica van het regeldeel, wanneer laatstgenoemde goed functioneert, een vrijgavesignaal in de vorm van een cyclisch veranderende spanning aan het veiligheidsdeel doorgeeft. (Bijvoorbeeld patentpublicatie DE 44 16 789 Al van 16-11-1995.) 25 Bij de genoemde toestellen volgens de huidige stand der techniek zijn de volgende bezwaren aanwezig: 1. Bij hedendaagse apparaten en toestellen moet naast de vaak zeer geavanceerde elektronische regeling de genoemde veiligheidsschakelaar ook nog in het toestel gemonteerd worden. Deze veiligheidsschakelaars zijn relatief groot en zeer moeilijk of niet automatisch te monteren.The current state of the art is that many devices that require thermal protection still use a single or multi-phase mechanical / hydraulic safety switch 10 which interrupts the voltage supply to the controller when a maximum set quantity, such as maximum temperature in the process to be controlled is exceeded. In the case of controlling a temperature, the appliance or appliance must be fitted with an over-temperature protection in accordance with the applicable standards and guidelines, which, in the event of failure of the temperature control, switches the appliance off when a specified maximum temperature is reached. The temperature measurement is often done on the basis of the cubic expansion coefficient of a liquid in a reservoir which is connected via a capillary tube to a second space with liquid. This second space is bounded on one side by a diaphragm which, at a certain displacement caused by the too high temperature, opens one or more switches, whereby the power supply is interrupted. The device can thereafter only be put into operation again by a qualified person. In addition, there are electronically protected controls for, inter alia, electric flow heaters, wherein the electronics of the control part, when the latter functions properly, apply a release signal in the form of a cyclically changing voltage. passes on the safety part. (For example, patent publication DE 44 16 789 A1 of 11/16/1995.) The aforementioned devices according to the current state of the art have the following drawbacks: 1. In today's devices and devices, in addition to the often highly advanced electronic control, safety switch can also be mounted in the device. These safety switches are relatively large and very difficult or not automatic to assemble.

2. De genoemde mechanisch/hydraulische veiligheidsschakelaars worden tijdens de levensduur van een 30 toestel nooit op goede werking getest.2. The mentioned mechanical / hydraulic safety switches are never tested for proper operation during the life of a device.

3. Tijdens de eindmontage van een toestel moet het reservoir (temperatuursensor) van de mechanisch/ hydraulische veiligheidsschakelaar op de te bemeten positie aangebracht worden. Er moet goed opgelet worden dat het genoemde capillaire buisje goed gemonteerd wordt. Het afknellen/knikken van het capillaire buisje kan leiden tot het niet functioneren van de veiligheidsschakelaar.3. During the final assembly of a device, the reservoir (temperature sensor) of the mechanical / hydraulic safety switch must be placed in the position to be measured. Care must be taken that the said capillary tube is properly mounted. Squeezing / kinking the capillary tube can lead to the safety switch not functioning.

35 4. De temperatuursensor inclusief capillair is niet te scheiden van de feitelijke veiligheidsschakelaar.35 4. The temperature sensor including the capillary cannot be separated from the actual safety switch.

Het is daardoor niet mogelijk de temperatuursensor en de veiligheidsschakelaar tijdens het 1029453- -2- productieproces verschillende logistieke wegen te laten volgen.As a result, it is not possible to have the temperature sensor and the safety switch follow different logistic routes during the 1029453-2 process.

5. De genoemde elektronisch beveiligde elektronische regelingen voldoen niet aan de nonnen voor onder andere bepaalde huishoudelijke apparaten waar een onafhankelijk van de regelfunctie functionerende veiligheidsfunctie is vereist.5. The electronically protected electronic controls mentioned do not meet the requirements for, among other things, certain household appliances where a safety function that operates independently of the control function is required.

5 6. Bij een elektronisch veiligheidssysteem zoals beschreven in de publicatie NL1016345 moet de software die in de microcontroller voor het veiligheidsdeel wordt uitgevoerd voldoen aan de softwareklasse C.6. With an electronic safety system as described in publication NL1016345, the software that is executed in the microcontroller for the safety part must comply with software class C.

De uitvinding geeft een oplossing voor de hiervoor genoemde bezwaren door gebruik te maken van een 10 oscillerende elektronische schakeling waarmee onder normale omstandigheden een wisselspanning opgewekt wordt waarmee, via een elektronisch conversiecircuit, een afschakelelement zoals een veiligheidsklep, een relais of bijvoorbeeld een halfgeleiderschakelaar van het benodigde elektrische bekrachtigingsvermogen wordt voorzien, waardoor het te beveiligen apparaat van de benodigde energie blijft voorzien. Indien de te bewaken grootheid, zoals bijvoorbeeld een temperatuur een fabrieksmatige 15 limiet passeert, of als in het elektronisch veiligheidssysteem volgends deze uitvinding een fout optreedt, stopt het oscilleren en verdwijnt de genoemde wisselspanning zodat het genoemde afschakelelement afschakelt en verdere energievoorziening naar het te beveiligen apparaat onmogelijk wordt gemaakt.The invention provides a solution to the aforementioned drawbacks by using an oscillating electronic circuit which generates, under normal circumstances, an alternating voltage with which, via an electronic conversion circuit, a switch-off element such as a safety valve, a relay or, for example, a semiconductor switch of the required electrical excitation power is provided, whereby the device to be protected continues to provide the required energy. If the quantity to be monitored, such as, for example, a temperature passes a factory limit, or if an error occurs in the electronic safety system according to the present invention, the oscillation stops and the said alternating voltage disappears so that the said switching element switches off and further energy supply to the device to be protected made impossible.

Aan de hand van de figuren wordt het principe van het het elektronisch veiligheidssysteem toegelicht en 20 worden uitgevonden toepassingen vertelaard.The principle of the electronic safety system is explained on the basis of the figures and the applications invented are explained.

Figuur 1 toont een blokschema van het elektronisch veiligheidssysteem en het te beveiligen apparaat met de daarbij behorende regelunit.Figure 1 shows a block diagram of the electronic safety system and the device to be protected with the associated control unit.

Figuur 2 toont het principeschema van de oscillerende meet- en regelschakeling van het elektronisch veiligheidssysteem.Figure 2 shows the principle diagram of the oscillating measurement and control circuit of the electronic safety system.

25 Figuur 3 toont een blokschema van het elektronisch veiligheidssysteem met uitbreidingen in de communicatie met de regelunit van het beveiligen apparaat.Figure 3 shows a block diagram of the electronic safety system with extensions in communication with the control unit of the protection device.

Het elektronisch veiligheidssysteem heeft als doel om bij het optreden van uitzonderlijke omstandigheden de energievoorziening naar een apparaat te blokkeren zodat het optreden van een gevaarlijke situatie 30 wordt voorkomen. Het elektronische veiligheidssysteem kan, afhankelijk van de toepassing, door middel van een afschakelelement zoals een veiligheidsklep, een relais of bijvoorbeeld een halfgeleiderschakelaar de energietoevoer naar een apparaat afschakelen. De energievormen die afgeschakeld kunnen worden, zijn bijvoorbeeld elektriciteit, gas, luchtdruk of oliedruk. Aan de hand van de figuren zal de uitvinding worden toegelicht, waarbij als toepassing de beveiliging van een apparaat, een elektrische 35 warmwaterboiler wordt beschreven. In figuur 1 zorgt het afschakelelement (2) - in het huidige voorbeeld een relais - ervoor dat onder normale omstandigheden de energie die vanuit de energiebron (1) in de vorm 1029453= -3- van elektrische stroom aan het apparaat (3) - in dit voorbeeld een elektrische warmwaterboiler - wordt geleverd.The purpose of the electronic safety system is to block the supply of energy to a device in the event of exceptional circumstances, so that the occurrence of a hazardous situation is prevented. The electronic safety system can, depending on the application, switch off the energy supply to a device by means of a switch-off element such as a safety valve, a relay or for example a semiconductor switch. The forms of energy that can be switched off are, for example, electricity, gas, air pressure or oil pressure. The invention will be elucidated on the basis of the figures, wherein as protection of an apparatus, an electric hot water boiler is described. In Figure 1, the switch-off element (2) - in the present example, a relay - ensures that under normal circumstances the energy coming from the energy source (1) in the form 1029453 = -3- of electrical current to the device (3) - in this example an electric hot water boiler - is supplied.

Onder de genoemde normale omstandigheden zorgt de regelunit (7) van de elektrische warmwaterboiler (3) ervoor dat de watertemperatuur op de gewenste temperatuur wordt geregeld. Het elektronische 5 veiligheidssysteem volgens deze uitvinding bestaat uit een meet- en regelschakeling (6) die met behulp van een bijbehorende bewakingssensor (5) - in dit voorbeeld een temperatuursensor - meet of het te bewaken apparaat (3) de te regelen temperatuur nog steeds beneden de limiet houdt die in de meet- en regelschakeling (6) fabrieksmatig is ingesteld. Op de uitgang van de meet- en regelschakeling (6) staat onder normale bedrijfsomstandigheden een wisselspanning die wordt aangeboden aan het conversiecircuit 10 (4) dat ervoor zorgt dat de genoemde wisselspanning wordt omgezet in de elektrische spanning of stroom die nodig is voor het aansturen of bekrachtigen van het afschakelelement (2), in dit voorbeeld een relais. Het genoemde conversiecircuit is zo opgebouwd dat bij het stoppen van de normaal door de meet- en regelschakeling (6) geleverde wisselspanning, ondanks een dan mogelijk resterende gelijkspanning, op de uitgang van het conversiecircuit (4) onvoldoende of geen elektrisch vermogen oveiblijft waarmee het 15 afschakelelement bekrachtigd zou kunnen blijven of worden. Het conversiecircuit (4) heeft een signaaluitgang die is aangesloten op een ingang van de meet- en regelschakeling (6), waarmee gecontroleerd wordt of de verwachte bekrachtigingsstroom naar het afschakelelement tijdens normaal bedrijf aanwezig is. Indien gesignaleerd wordt dat de genoemde bekrachtigingstroom niet aanwezig is of van de verwachte waarde afwijkt, wordt door de meet- en regelschakeling (6) een fout gesignaleerd en 20 gereageerd door het wegnemen van de genoemde wisselspanning. Hiertoe is het conversiecircuit zo ontworpen dat een fout in dit circuit een verandering van de genoemde bekrachtigingsstroom veroorzaakt.Under the normal conditions mentioned, the control unit (7) of the electric hot water boiler (3) ensures that the water temperature is regulated to the desired temperature. The electronic safety system according to the present invention consists of a measuring and control circuit (6) which, with the aid of an associated monitoring sensor (5) - in this example a temperature sensor - measures whether the device to be monitored (3) still controls the temperature to be controlled keep the limit that is set at the factory in the measuring and control circuit (6). Under normal operating conditions, an output voltage is applied to the output of the measuring and control circuit (6) which is applied to the conversion circuit 10 (4) which causes the said alternating voltage to be converted into the electrical voltage or current required for driving or energizing the switch-off element (2), in this example a relay. The said conversion circuit is constructed in such a way that when the alternating voltage normally supplied by the measuring and control circuit (6) is stopped, despite a possibly remaining direct voltage, insufficient or no electrical power remains on the output of the conversion circuit (4) with which it 15 switch-off element could remain or be energized. The conversion circuit (4) has a signal output connected to an input of the measuring and control circuit (6), with which it is checked whether the expected excitation current to the switch-off element is present during normal operation. If it is signaled that the said excitation current is not present or deviates from the expected value, an error is signaled by the measuring and control circuit (6) and reacted by removing the said alternating voltage. For this purpose, the conversion circuit is designed such that an error in this circuit causes a change in the said excitation current.

Het principeschema van de meet- en regelschakeling (6) is in figuur 2 weergegeven. Het principe van de meet- en regelschakeling is gebaseerd op een schakeling die periodiek, met een toepassingsafhankelijk 25 interval van circa 1 seconde tot circa 10 microseconden, de eerste ingang van een comparator (13) op elektronische wijze omschakelt (12) tussen het signaal van de bewakingssensor (11) en een spanning die een fractie hoger is dan de fabrieksmatig ingestelde limiet, waarbij de limiet wordt weergegeven door de onderste spanningsbron (18), en de genoemde fractie door de bovenste spanningsbron (16). De fabrieksmatig ingestelde limiet (18) is aangesloten op de tweede ingang van de comparator (13). De 30 spanning van de genoemde fractie (16) is 210 gekozen dat deze met zekerheid groter is dan de offsetspanning van de comparator (13), zodat de uitgang van de comparator (13) onder normale omstandigheden van niveau verandert als de elektronische schakelaar (12) in de onderste stand wordt gestuurd. Het voorgaande betekent dat onder normaal bedrijf, waarbij het signaal van de bewakingssensor (11) kleiner is dan de fabrieksmatig ingestelde limiet (18), de uitgang van de comparator 35 (13) bij elke omschakeling van de elektronische schakelaar (12) van niveau zal omschakelen. De elektronische tijdsvertraging (21) zorgt ervoor, dat een bepaalde tijd na het veranderen van het logische 1029453- -4- niveau op de uitgang van de comparator (13), het logische niveau op de schakelingang van de elektronische schakelaar (12) verandert waardoor deze omschakelt.The principle diagram of the measuring and control circuit (6) is shown in Figure 2. The principle of the measuring and control circuit is based on a circuit which periodically, with an application-dependent interval of approximately 1 second to approximately 10 microseconds, electronically switches (12) between the signal of the monitoring sensor (11) and a voltage that is a fraction higher than the factory-set limit, the limit being represented by the lower voltage source (18), and said fraction by the upper voltage source (16). The factory-set limit (18) is connected to the second input of the comparator (13). The voltage of the said fraction (16) is 210 that it is certainly greater than the offset voltage of the comparator (13), so that the output of the comparator (13) changes its level under normal conditions as the electronic switch (12). ) in the lower position. The foregoing means that under normal operation where the signal from the monitoring sensor (11) is smaller than the factory-set limit (18), the output of the comparator 35 (13) will be level with every switch of the electronic switch (12) to switch. The electronic time delay (21) causes a certain time after changing the logic 1029453-4 level at the output of the comparator (13) to change the logic level at the switching input of the electronic switch (12) causing this switches.

Dit betekent, aangenomen dat de elektronische blokken in de lus tussen de uitgang van de comparator (13) en de ingang van de elektronische tijdsvertraging (21) naar behoren functioneren, dat alle 5 elektronische blokken van de meet- en regelschakeling deelnemen aan het oscillatieproces. Indien een van de elektronische blokken defect raakt, zal het oscillatieproces stoppen. Het eerste doel van het elektronisch veiligheidssysteem volgens deze uitvinding is het afschakelen van de energietoevoer naar het genoemde apparaat (3) als de te bewaken grootheid groter wordt dan de fabrieksmatig ingestelde limiet. Dit gebeurt zodra het signaal van de bewakingssensor (11) groter wordt dan de fabrieksmatig ingestelde 10 limiet (18), waardoor de uitgang van de comparator niet meer van niveau kan omschakelen en dientengevolge het oscillatieproces stopt. Het nog niet beschreven deel van de lus bestaat uit een toepassingsafhankelijke versterker (14) waarmee een wisselspanning van het juiste vermogen, spanning en frequentie voor het conversiecircuit (4) op uitgang 15 opgewekt kan worden; een elektronische aanpassingsschakeling (17) die de genoemde toepassingsafhankelijke wisselspanning geschikt maakt voor 15 verdere elektronische verwerking in de genoemde lus; en een blokkeringscircuit (19) dat via ingang 20 het oscillatieproces zal beëindigen in het geval dat het conversiecircuit (4) zoals genoemd een afwijkende bekrachtigingsstroom detecteert.This means, assuming that the electronic blocks in the loop between the output of the comparator (13) and the input of the electronic time delay (21) function properly, that all the electronic blocks of the measurement and control circuit participate in the oscillation process. If one of the electronic blocks fails, the oscillation process will stop. The first purpose of the electronic safety system according to the present invention is to switch off the energy supply to the said device (3) if the quantity to be monitored becomes larger than the factory-set limit. This happens as soon as the signal from the monitoring sensor (11) becomes larger than the factory-set limit (18), as a result of which the output of the comparator can no longer switch level and, consequently, the oscillation process stops. The part of the loop not yet described consists of an application-dependent amplifier (14) with which an alternating voltage of the correct power, voltage and frequency for the conversion circuit (4) can be generated on output 15; an electronic matching circuit (17) which makes said application-dependent alternating voltage suitable for further electronic processing in said loop; and a blocking circuit (19) which will terminate the oscillation process via input 20 in the event that the conversion circuit (4) as mentioned detects a deviating excitation current.

In figuur 3 is onder andere weergegeven hoe met behulp van de microcontroller (39) van de regelunit de 20 energietoevoer door toepassing van een schakelfunctie (34) via het afschakelelement (32) kan worden in-en uitgeschakeld. De microcontroller (39) activeert de uitgang waarmee de schakelfunctie (34) de bekrachtigingsstroom naar het afschakelelement (32) omleidt naar een netwerk met een weerstand (35) dat ongeveer dezelfde impedantie heeft als het afschakelelement (32). Hierdoor wordt de energietoevoer naar de elektrische warmwateiboiler (33) geblokkeerd. De microcontroller (39) kan met behulp van 25 applicatieafhankelijk meetcircuit 36, in dit voorbeeld een spanningsmeetcircuit, testen of het afschakelelement naar behoren functioneert. Functieblok 37 is opgebouwd uit de meet- en regelschakeling (6), het conversiecircuit (4) en de bewakingssensor (5) uit figuur 1. Doordat ongeacht de stand van de schakelfunctie (34) de bekrachtigingsstroom ongestoord blijft, zal het genoemde oscillatieproces gewoon voortgezet worden. Daarom blijft het elektronisch veiligheidssysteem volgens 30 deze uitvinding volledig operationeel, hetgeen belangrijk is in verband met het meten en bewaken van het signaal van de bewakingssensor (5) en voor een ononderbroken test van alle onderdelen in de genoemde lus van de meet- en regelschakeling (6) en de onderdelen van het conversiecircuit (4). Het elektronisch veiligheidssysteem volgens deze uitvinding vóórziet in een methode waardoor bij het niet werken of uitvallen van de microcontroller (39) het oscillatieproces niet mogelijk is. Om het oscillatieproces 35 mogelijk te kunnen maken moet de microcontroller een watchdog-signaal aanbieden aan een circuit, zoals bijvoorbeeld een ladingspomp (38), die door het ontvangen van het juiste watchdog-signaal een spanning 1029453“ -5- opwekt die wordt aangeboden aan functieblok 37, waardoor de genoemde lus wordt gesloten en het oscillatieproces mogelijk is.Figure 3 shows, among other things, how the energy supply can be switched on and off via the switch-off element (32) with the help of the microcontroller (39) of the control unit. The microcontroller (39) activates the output with which the switch function (34) redirects the excitation current to the switch-off element (32) to a network with a resistor (35) that has approximately the same impedance as the switch-off element (32). This blocks the energy supply to the electric hot water boiler (33). The microcontroller (39) can, with the aid of application-dependent measuring circuit 36, in this example a voltage measuring circuit, test whether the disconnection element functions properly. Function block 37 is composed of the measuring and control circuit (6), the conversion circuit (4) and the monitoring sensor (5) of figure 1. Because the excitation current remains undisturbed irrespective of the position of the switching function (34), said oscillation process will continue as normal to become. Therefore, the electronic safety system according to the present invention remains fully operational, which is important in connection with the measurement and monitoring of the signal from the monitoring sensor (5) and for a continuous test of all components in said loop of the measuring and control circuit ( 6) and the components of the conversion circuit (4). The electronic safety system according to the present invention provides a method whereby the failure of the microcontroller (39) does not allow the oscillation process. To enable the oscillation process 35, the microcontroller must present a watchdog signal to a circuit, such as, for example, a charge pump (38) which, by receiving the correct watchdog signal, generates a voltage 1029453 "-5- which is applied to function block 37, whereby the said loop is closed and the oscillation process is possible.

Om te voldoen aan de normen voor apparaten, zoals bijvoorbeeld bij elektrische warmwaterboilers, moet bij het automatisch constateren van het overschrijden van de temperatuurlimiet, de energietoevoer worden 5 geblokkeerd, en deze zogenaamde vergrendeling mag alleen weer ongedaan worden gemaakt door het handmatig activeren van een resettoets. Bij het constateren van een fout in of door het elektronische veiligheidssysteem wordt gebruik gemaakt van het feit dat de genoemde wisselspanning wegvalt Via een circuit in functieblok 37 wordt de wisselspanning omgezet in een signaal dat door de microcontroller (39) geobserveerd wordt waardoor deze op de hoogte is van de status van functieblok 37. De microcontroller 10 (39) zorgt voor de genoemde vergrendeling door bij het constateren van de afwezigheid van de genoemde wisselspanning in een niet vluchtig geheugen in of bij de microcontroller (39) deze status vast te leggen. Doordat de opgeslagen status een fout betreft, zal de microcontroller (39) tevens het watchdog-signaal naar de ladingspomp (38) wegnemen waardoor het oscillatieproces in functieblok 37 zelfs na het verdwijnen van de genoemde fout niet meer op gang kan komen en het elektronisch veiligheidssysteem 15 dus vergrendeld is. Indien de microcontroller^) zelf in storing gaat ontstaat er ook een vergrendeling daar de microcontroller (39) dan geen watchdog-signaal meer kan opwekken.In order to comply with the standards for devices, such as for example with electric hot water boilers, when the temperature limit is automatically exceeded, the energy supply must be blocked, and this so-called locking may only be canceled by manually activating a reset button. . When an error is detected in or by the electronic safety system, use is made of the fact that the said alternating voltage fails. Via a circuit in function block 37 the alternating voltage is converted into a signal which is observed by the microcontroller (39) so that it is informed is of the status of function block 37. The microcontroller 10 (39) provides for said locking by recording this status when determining the absence of the said alternating voltage in a non-volatile memory in or at the microcontroller (39). Because the stored status is an error, the microcontroller (39) will also remove the watchdog signal to the charge pump (38), as a result of which the oscillation process in function block 37 can no longer be started even after the said error has disappeared and the electronic safety system 15 is therefore locked. If the microcontroller (^) itself malfunctions, a lock is also created since the microcontroller (39) can no longer generate a watchdog signal.

De hier beschreven methode is niet de enige manier om tot een vergrendeling te komen. De andere methoden worden hier niet genoemd maar moeten wel als mogelijk onderdeel van deze uitvinding worden gezien.The method described here is not the only way to achieve a lock. The other methods are not mentioned here, but they must be seen as a possible part of this invention.

20 Het beschreven elektronische veiligheidssysteem kan indien nodig deels dubbel uitgevoerd en zo gecombineerd worden zodat er naast de bewaking van een bovenste fabrieksmatig ingestelde limiet, tevens de te bewaken grootheid op een tweede fabrieksmatig ingestelde onderste limiet getest kan worden. De genoemde dubbele uitvoering heeft als voordeel dat een open lijn of kortsluiting van de ingang voor de bewakingssensor (5) onmiddellijk wordt herkend. Een verder voordeel is dat het niet 25 uitmaakt of een bewakingssensor een positieve of negatieve coëfficiënt met betrekking tot de te meten grootheid heeft; het is gewoon een kwestie van het fabrieksmatig juist instellen van de twee limieten.The electronic safety system described can, if necessary, be partly duplicated and combined in such a way that, in addition to monitoring an upper factory-set limit, the quantity to be monitored can also be tested for a second factory-set lower limit. Said double version has the advantage that an open line or short circuit of the input for the monitoring sensor (5) is immediately recognized. A further advantage is that it does not matter whether a monitoring sensor has a positive or negative coefficient with respect to the quantity to be measured; it's just a matter of factory setting the two limits.

In de beschrijving van het elektronisch veiligheidssysteem is telkens één afschakelelement genoemd. Het conversiecircuit (4) kan echter zo opgebouwd zijn dat meerdere afschakelelementen (32) bekrachtigd kunnen worden. In het voorbeeld van een elektrische warmwaterboiler zouden de afschakelelementen drie 30 relais kunnen zijn die de energievoorziening vanuit drie elektrische fasen kunnen afschakelen.In the description of the electronic safety system, one switch-off element is specified. However, the conversion circuit (4) can be constructed in such a way that a plurality of switch-off elements (32) can be energized. In the example of an electric hot water boiler, the switch-off elements could be three relays which can switch off the energy supply from three electrical phases.

Een groot voordeel van het beschreven elektronisch veiligheidssysteem is dat, in het voorbeeld van een besturingsunit voor een elektrische warmwaterboiler, het elektronische veiligheidssysteem en de besturing op een printplaat kunnen worden geplaatst, hetgeen een logistiek voordeel heeft en tot kostenreductie in de eindmontage leidt.A major advantage of the described electronic safety system is that, in the example of a control unit for an electric hot water boiler, the electronic safety system and the control can be placed on a printed circuit board, which has a logistical advantage and leads to cost reduction in the final assembly.

35 Behalve het kunnen afschakelen van de toevoer van energie in de vorm van onder andere elektriciteit, gas, lucht-, stoom- of waterdruk, kan ook de aanvoer van procesbenodigde stoffen, zoals lucht, gas, 1029453- -6- stikstof, olie, stoom en/of water, op basis van de genoemde meting van één of meerdere grootheden, door het afschakelelement gestopt worden. Als bijvoorbeeld door een slangbreuk de stoomdruk plotseling sterk daalt, zal het afschakelelement de stoomaanvoer afschakelen om verdere schade te voorkomen.In addition to being able to switch off the supply of energy in the form of, inter alia, electricity, gas, air, steam or water pressure, the supply of process-necessary substances such as air, gas, nitrogen, oil, 1029453-6 can also be switched off. steam and / or water, based on the said measurement of one or more quantities, are stopped by the switch-off element. For example, if the hose pressure suddenly drops sharply as a result of a hose break, the shut-off element will switch off the steam supply to prevent further damage.

1029453310294533

Claims

1. An electronic safety system with the function of switching off the energy supply to a device such as an electric hot water boiler in the event of an imminent hazardous situation, for example when a malfunction in the applied control unit of said device is no longer able to to control a quantity, such as, for example, the temperature, wherein said electronic safety system intervenes on the basis of the signal from a monitoring sensor by interrupting the electric excitation current of a switch-off element such as, for example, a safety valve, a relay, or for example a semiconductor switch by interrupting the AC voltage generated by the method according to the present invention, so that an electronic conversion circuit which serves to generate said energizing current from said disconnection element from said alternating voltage is no longer able to cite said energizing Maintain a sustain current so that said disconnection element will disconnect the energy supply to said apparatus, characterized in that said alternating voltage is generated by a circuit that constantly monitors whether the signal emitted by said monitoring sensor is still under a factory-set limit, this by periodically switching the first input of a comparator in an electronic manner between the signal from the monitoring sensor and a voltage that is a fraction higher than the said factory-set limit, while at the second input of said comparator said factory-set limit is offered, so that the comparator at the output shows a switch from a logic start level to another logic level, the switch thus obtained from the logic level at the output of said comparator being used to control an electronic ti obtained delay the first input of the comparator again from said voltage that is a fraction higher than said factory limit to the signal from the monitoring sensor, whereby the output voltage of the comparator returns to said logical starting level, after which the said electronically obtained time delay, the process described here will continue to repeat itself, thus having an oscillating character, until the signal emitted by the monitoring sensor becomes a fraction larger than desired quantity such as a temperature, the factory-set limit, as a result of which the process described here stops and the alternating voltage mentioned is no longer present.

2. An electronic safety system according to claim 1, characterized in that said alternating voltage is supplied by an amplifier circuit, which forms part of the electronic safety system itself, which is supplied with an alternating voltage signal at the input which is applied for example at the output of said alternating voltage comparator or at the output of the electronically obtained time delay, wherein said amplifier circuit and its electrical supply are constructed such that sufficient power, with a frequency determined by said electronic time delay, is available to be transmitted via the said conversion circuit to be able to supply the power required to reliably energize said disconnection element 5.

3. An electronic safety system according to one or more of the preceding claims, characterized in that said amplifier is included somewhere in the signal loop between the output of said comparator and the input of said circuit which serves to electronically being able to switch between the signal from said monitoring sensor and a voltage that is a fraction higher than the factory-set limit, the electrical voltage or current supplied by the amplifier via an electronic adjustment circuit being made suitable for processing by the next stage within said signal loop.

An electronic safety system according to one or more of the preceding claims, characterized in that when a defect occurs in one or more electronic components of the electronic safety system itself, the generation of said alternating voltage is no longer possible, so that said energy supply to the said device is switched off, whereby the electronic safety system can in fact be regarded by the operating method of the oscillating character according to the invention as a safety system which continuously tests whether it still functions properly.

5. An electronic safety system according to one or more of the preceding claims, characterized in that the electronic safety system can be of dual design and combined in such a way that, in addition to said factory-set upper limit, it is checked whether the voltage applied by the sensor is still under the said upper limit, there is also a second factory-set lower limit which checks whether the voltage delivered by the sensor is still above the said lower limit. 30

An electronic safety system according to one or more of the preceding claims, characterized in that in the event of an error in the sensor used in the voim of an open line, a short circuit or a deviating voltage, the said energy supply to said device is interrupted. 35

An electronic safety system according to one or more of the preceding claims, characterized in that the conversion circuit mentioned in claim 1 is designed such that an error in one of the components of the conversion circuit results in insufficient excitation current remains, as a result of which said switching element switches off the energy supply to the device. 5

An electronic safety system according to one or more of the preceding claims, characterized in that the conversion circuit mentioned in claim 1 is designed such that the resulting excitation current during the presence of said alternating voltage is measured and compared with an acceptable minimum value of the excitation current to the switch-off element, wherein in the event that the measured excitation current falls below said acceptable minimum value, the process described in claim 1 is blocked, which can be realized, for example, by the voltage at the output of said comparator on electronic blocking.

An electronic safety system according to one or more of the preceding claims, characterized in that by means of an externally supplied control signal the excitation current to the switch-off element can be diverted to, for example, a resistor which has substantially the same resistance value as the switch-off element, whereby said element switch-off element no longer receives an excitation current, as a result of which the energy supply is blocked, while the electronic safety system according to the present invention remains fully functional.

10. An electronic safety system according to claim 9, characterized in that the switch-off element can be tested by diverting the excitation current from the switch-off element to said resistor, wherein, for example with the aid of a microcontroller and a measuring circuit, that in general after the switch-off element is connected, it can be measured whether the switch-off element is functioning properly.

11. An electronic safety system according to one or more of the preceding claims, characterized in that the electronic safety system can form part of the complete control electronics of the said device, which means that both the electronic safety system according to the present invention and the electronic control on a single print can be combined, saving on final assembly costs.

12. An electronic safety system according to one or more of the preceding claims, characterized in that the electronic safety system has an input circuit, for example consisting of a charge pump, which, for example, through an output of a microcontroller of a 1029453 '- 10 block wave signal or another watchdog signal is provided whereby the electronic safety system is released and starts functioning as described above, which also means that the energy supply to the said device, in the event of the said microcontroller malfunctioning due to the loss of the required watchdog signal, 5 will be interrupted.

13. An electronic safety system according to one or more of the preceding claims, characterized in that in the event that due to an error in the described electronic safety system or because the signal from said monitoring sensor is outside a factory-set limit, said excitation current due to the loss of said alternating voltage is switched off, whereby the excitation of said excitation current is recognized, for example by a microcontroller, through a electronic circuit (for example by means of a circuit with an optocoupler) and used for the electronic safety system to be able to lock, for example by no longer generating a watchdog signal and storing this status in a non-volatile memory function, whereby a restart of the electronic safety system is only possible by activating a reset which is generally manual will have to happen.

14. An electronic safety system according to one or more of the preceding claims, characterized in that by being able to divert the excitation current through the said microcontroller it can be tested whether the switch-off element has actually interrupted the energy supply after diverting the excitation current.

15. An electronic safety system according to one or more of the preceding claims, characterized in that where the switch-off element is referred to, it can also be a matter of several switch-off elements, this if several energy flows must be switched off simultaneously or to be able to meet safety requirements more than one switching element is present to be able to switch off an energy flow.

An electronic safety system according to one or more of the preceding claims, characterized in that it protects the electronic safety system according to the present invention in addition to securing on the basis of measurement of the quantity of temperature, this also on the basis of measurement of electrical voltage or current, pressure, torque, force, speed, speed or any other quantity, or combination of quantities, that using of sensors and / or can be measured and / or determined by means of electronic signal conversion 35, whereby in addition to being able to switch off the supply of energy in the form of, inter alia, electricity, gas, air, steam or water pressure, also the supply 1029453- 11 of process-required substances, such as air, gas, nitrogen, oil, steam and / or water, on the basis of the said measurement of one or more quantities, can be stopped by the switch-off element, for example if the steam pressure is caused by a hose break suddenly falls sharply, the switch-off element will switch off the steam supply to prevent further damage. i | ! 1029453-