具体实施方式

为了促进对本发明的实施方式、原理和特征的理解，在下文中将参考示例性实施方式中的实现方式对它们进行解释。尤其是，在故障安全计数器评估器的背景下对它们进行了描述，该评估器被配置为测试故障安全计数器以确保其中的正确计数操作(无遗漏计数)。然而，本发明的实施方式不限于在所描述的设备或方法中使用。

在下文中描述为构成各种实施方式的部件和材料旨在是说明性的而非限制性的。与本文描述的材料执行相同或相似功能的许多合适的部件和材料旨在被包含于本发明的实施方式的范围内。

通过使用两个计数器(a和b)，其中，第一计数器(a)由待计数的输入驱动，同时向第二计数器(b)发送测试脉冲以进行评估。在发送测试脉冲后，对第二计数器(b)进行评估，以确定第二计数器是否正确地操作。一旦确定第二计数器(b)正确地工作，其被配置为接收与第一计数器(a)相同的输入。来自有效计数器(a)的计数被传输到测试的计数器(b)，并被验证包含相同的计数。当两个计数器两者均如此同步时，第一计数器(a)不再计数，并由测试脉冲驱动，以确保在第二计数器(b)执行计数功能时正确地计数。一旦评估了第一计数器(a)，计数器被再次同步，并且在评估第二计数器(b)时，第一计数器(a)被再次用于计数。以这种方式，在一个计数器始终执行所需的计数功能的时候，以交替的方式测试第一计数器和第二计数器的正确操作。

与本发明的一个实施方式一致，图1表示根据本发明的示例性实施方式的简单故障安全计数器评估器5，其被配置为测试两个故障安全计数器，即第一和第二故障安全计数器7(1-2)，以确保正确的计数操作(无遗漏计数)。故障安全计数器评估器5允许实时地评估第一和第二故障安全计数器7(1-2)，以确保它们执行正确的计数功能而不会由于计数器的缺陷而丢失计数。虽然第一和第二故障安全计数器7(1-2)可以由相同的输入驱动，并且计数结果可以相互比较，但是该技术不能检测第一和第二故障安全计数器7(1-2)共有的常见故障。

具有两个用于逻辑的高阈值逻辑(HTL)块10(1-2)的故障安全计数器评估器5的可能实现方式的示例可以是一个或多个微处理器、离散逻辑计数器、以专用集成电路(ASIC)或其他技术实现的计数器，或计数功能的一部分，其中该两个用于逻辑的高阈值逻辑块将外部信号12的电平转换为与计数器逻辑兼容的电平。用于逻辑的高阈值逻辑(HTL)块10(1-2)具有操纵第一和第二故障安全计数器7(1-2)及其所得计数的能力。高阈值逻辑(HTL)是用于噪声非常高的环境中的二极管-晶体管逻辑的变型。

故障安全计数器评估器5包括微处理器(uP)15。第一和第二故障安全计数器7(1-2)可以是微处理器(uP)15的一部分。故障安全计数器评估器5还包括第一测试脉冲发生器17(1)和第二测试脉冲发生器17(2)。启用第一计数器7(1)以对外部事件诸如计数脉冲A1进行计数。启用第二计数器7(2)以对外部事件诸如计数脉冲A1’进行计数。但是，计数器块中的第一个，第二计数器7(2)被禁止对外部事件计数，并且被启用以对由微处理器(uP)15的第一测试脉冲发生器17(1)产生的“测试脉冲”进行计数。第一测试脉冲发生器17(1)的输出被联接至用于逻辑的高阈值逻辑(HTL)块10(1)。第二测试脉冲发生器17(2)的输出被联接到用于逻辑的高阈值逻辑(HTL)块10(2)。

对第二故障安全计数器7(2)的计数进行评估以确定是否已经对正确数量的测试脉冲进行计数，并且如果是，则第二故障安全计数器7(2)正确地起作用。一旦确定第二故障安全计数器7(2)正确地起作用，则将第二故障安全计数器7(2)切换为对外部事件进行计数，并且第一故障安全计数器7(1)中包含的计数被复制到第二故障安全计数器7(2)。现在两个计数器(7-12)已同步，并且将它们进行比较以验证其同步状态。一旦两个计数器(7-12)同步并且包含相同的计数，则可以将第一故障安全计数器7(1)切换为对内部生成的“测试脉冲”进行计数并评估其正确操作，同时第二故障安全计数器7(2)对外部生成的事件进行计数。故障安全计数器评估器5不限于单个事件计数，而是可以容易地扩展到“向上/向下”计数、“具有方向信号的计数”、“增量编码器”计数和其他计数格式。

参考图2，其示出根据本发明的示例性实施方式的单通道故障安全计数器评估器200的表示，其中微处理器1(uP1)205(1)接收输入并生成计数器输出，而微处理器2(uP2)205(2)生成测试脉冲并执行评估。单通道故障安全计数器评估器200接收在多个比较器电路210处待计数的信号207，该比较器电路包括第一有效计数通道210(1)、第一测试通道210(2)、第二有效计数通道210(3)以及第二测试通道210(4)。微处理器1(uP1)205(1)包括第一故障安全计数器212(1)和第二故障安全计数器212(2)。微处理器1(uP1)205(1)还包括第一测试脉冲发生器215(1)和第二测试脉冲发生器215(2)。微处理器2(uP2)205(2)包括第三故障安全计数器212(3)和第四故障安全计数器212(4)。微处理器2(uP2)205(2)还包括第三测试脉冲发生器215(3)和第四测试脉冲发生器215(4)。处理器间通信接口217将微处理器1(uP1)205(1)和微处理器2(uP2)205(2)联接。

在操作中，第一有效计数通道210(1)向第一故障安全计数器212(1)提供“计数脉冲”。第一测试通道210(2)向第二故障安全计数器212(2)提供“测试脉冲”。第一测试脉冲发生器215(1)向第二有效计数通道210(3)提供“无效测试脉冲”。第二测试脉冲发生器215(2)向第二测试通道210(4)提供“有效测试脉冲”。第二有效计数通道210(3)向第三故障安全计数器212(3)提供“计数脉冲”。第二测试通道210(4)向第四故障安全计数器212(4)提供“测试脉冲”。第三测试脉冲发生器215(3)向第一有效计数通道210(1)提供“无效测试脉冲”。第四测试脉冲发生器215(4)向第一测试通道210(2)提供“有效测试脉冲”。

单通道故障安全计数器评估器200确保仅通过微处理器1(uP1)205(1)或基于设置中计数器布置的特定配置使用将微处理器1(uP1)205(1)和微处理器2(uP2)205(2)联接的处理器间通信接口217对第一故障安全计数器212(1)和第二故障安全计数器212(2)进行正确计数。单通道故障安全计数器评估器200确保仅通过微处理器2(uP2)205(2)或基于设置中计数器布置的特定配置使用将微处理器1(uP1)205(1)和微处理器2(uP2)205(2)联接的处理器间通信接口217对第三故障安全计数器212(3)和第四故障安全计数器212(4)进行正确计数。

第一故障安全计数器212(1)被配置为在操作中的计数器，并且被设置在微处理器1(uP1)205(1)中以接收外部生成的计数脉冲。第二故障安全计数器212(2)被设置在微处理器1(uP1)205(1)中，并且被配置为进行测试。第一测试通道210(2)被配置为基于来自微处理器2(uP2)205(2)的测试脉冲将输入测试信号发送到第二故障安全计数器212(2)。微处理器2(uP2)205(2)被配置为将输入测试信号注入到微处理器1(uP1)205(1)的作为测试计数器的第二故障安全计数器212(2)，使得微处理器1(uP1)205(1)和微处理器2(uP2)205(2)同步，以便协调测试的开始和结束。第一故障安全计数器212(1)由待计数的外部生成的计数脉冲来驱动，同时向第二故障安全计数器212(2)发送测试脉冲以进行评估，使得在已经发送了测试脉冲之后第二故障安全计数器212(2)被评估，以确定第二故障安全计数器212(2)是否正确操作。

一旦已经确定第二故障安全计数器212(2)正确地工作，则第二故障安全计数器212(2)被配置为接收与第一故障安全计数器212(1)相同的输入，使得来自作为有效计数器的第一故障安全计数器212(1)的计数被传输到作为被测试计数器的第二故障安全计数器212(2)，并且验证该计数包含相同的计数。当第一和第二计数器212(1-2)两者同步时，第一故障安全计数器212(1)不再计数并通过测试脉冲来驱动，以确保第一故障安全计数器212(1)在第二故障安全计数器212(2)执行计数功能时正确地计数。

一旦已经评估第一故障安全计数器212(1)，则第一和第二计数器212(1-2)再次同步，并且第一故障安全计数器212(1)再次用于计数，同时评估第二故障安全计数器212(2)。当一个计数器始终执行所需的计数功能时，以交替的方式来测试第一和第二计数器212(1-2)两者是否正确操作。

单通道故障安全计数器评估器200被配置为实时地执行第一和第二计数器212(1-2)的评估，以确保第一和第二计数器212(1-2)执行适当的计数功能，而不会由于第一和第二计数器212(1-2)中的缺陷丢失计数。启用第一故障安全计数器212(1)对外部事件进行计数，禁止第二故障安全计数器212(2)对外部事件进行计数并对由微处理器2(uP2)205(2)生成的测试脉冲进行计数。评估第二故障安全计数器212(2)的计数以确定是否已经对正确数量的测试脉冲进行计数，如果是，则确定第二故障安全计数器212(2)正确地起作用。

一旦确定第二故障安全计数器212(2)正确地起作用，则将第二故障安全计数器212(2)切换为对外部事件进行计数，并且第一故障安全计数器212(1)中包含的计数被复制到第二故障安全计数器212(2)，使得第一和第二计数器212(1-2)两者同步，然后将它们进行比较以验证计数。一旦第一和第二计数器212(1-2)两者同步并且包含相同的计数，则将第一故障安全计数器212(1)切换为对测试脉冲进行计数并评估其正确操作，同时将第二故障安全计数器212(2)切换为对外部事件进行计数。

取决于测试设置，测试脉冲可以由微处理器1(uP1)205(1)而不是微处理器2(uP2)205(2)生成，反之亦然。在测试期间，计数器输入与物理输入有效地断开连接，并且微处理器1(uP1)205(1)将测试脉冲注入到被测试的、微处理器2(uP2)205(2)的第三故障安全计数器212(3)中。被注入的测试脉冲模拟正交计数器，从而在实际输入模式下，测试被测试的第一故障安全计数器212(1)。第一和第二微处理器205(1-2)被配置为进行通信，以确保被测试的第一故障安全计数器212(1)对注入的测试脉冲的数量进行准确地计数。如果注入的测试脉冲没有被正确计数，则在被测试的第一故障安全计数器212(1)中或在输入电路中指示故障，并且单通道故障安全计数器评估器200进入安全故障模式。

现在转向图3，其示出根据本发明的示例性实施方式的比较器电路300的细节。比较器电路300包括运算放大器(通常是op-amp或opamp)305。op-amp 305在第一端子312(1)处经由电阻器310接收“计数输入”输入307，以将输出315提供给位于微处理器中的故障安全计数器。第二端子312(2)上的op-amp 305接收参考电压。op-amp 305可以是具有差分输入和单端输出的DC联接的高增益电子电压放大器。在这种配置中，op-amp 305产生通常比其输入端子之间的电势差大数十万倍的输出电势(相对于电路接地)。

比较器电路300还包括上拉电路317(1)和下拉电路317(2)。上拉电路317(1)接收测试脉冲高320(1)输入。下拉电路317(2)接收测试脉冲低320(2)输入。上拉电路317(1)和下拉电路317(2)的输出连接到op-amp 305的第一端子312(1)。

图4示出根据本发明的示例性实施方式的简化的故障安全计数器评估器400，具有微处理器1(uP1)405(1)接收待计数的输入信号407，而微处理器2(uP2)405(2)生成测试脉冲并执行评估。故障安全计数器评估器400包括电阻器R1 410(1)、R2 410(2)、R3 410(3)、R4 410(4)、R5 410(5)和作为微处理器1(uP1)405(1)的比较器412，作为微处理器2(uP2)405(2)的微处理器以及测试脉冲控制电路415。

电阻器R1 410(1)和R2 410(2)形成分压器，以缩放待计数的输入信号417，使其与其余电路的电压电平兼容。故障安全计数器评估器400可以在没有R1 410(1)和R2 410(2)的情况下使用，如果待计数的输入信号417太小而无法在计数设备的逻辑电平上运行，则还可以用放大器代替R1 410(1)和R2 410(2)。计数信号接口类型的典型示例包括但不限于高阈值逻辑(HTL)，Sin/Cos和RS422。

电阻器R3 410(3)和R4 410(4)形成比较器412的输入，以将输入的输入信号417转换为纯净信号，以供微处理器2(uP2)405(2)用于计数。比较器412可以是放大器、比较器，或者如果输入的输入信号417的电压电平和速度与微处理器2(uP2)405(2)内部的计数器的信号要求兼容，则可以省略该比较器。微处理器2(uP2)405(2)可以是微处理器、ASIC或计数功能的另一实现方式。

电阻器R3 410(3)与电阻器R5 410(5)结合用于在微处理器2(uP2)405(2)的控制下将计数信号注入计数器。测试脉冲控制电路415表示用于转换来自微处理器2(uP2)的电压以提供适当电平从而将计数脉冲插入比较器412的输入的开关。测试脉冲控制电路415可以被实现为(1)离散晶体管电路、(2)数字逻辑电路、(3)以及模拟开关电路、(4)或其它形式的电气/机电控制。两个故障安全计数器电路可以相互结合使用。一个故障安全计数器电路对“待计数的输入信号”执行计数功能，而对第二个故障安全计数器电路进行测试。

通过微处理器2(uP2)405(2)发送测试脉冲和控制信号(如果需要的话)到测试脉冲控制电路415来执行测试。测试脉冲控制电路415将信号注入比较器的输入412，其中将脉冲与参考电平进行比较，从而为计数器产生高脉冲和低脉冲。

固件可以控制多个计数器的测试和同步。固件可以基于系统的任何安全要求，以指定的间隔来执行两个计数器的测试。仅在计数器输入低于特定频率时才需要执行测试，这也取决于系统的安全要求。在一定频率之上时，不需要测试计数器输入，因为可以比较来自多个计数器的计数以验证计数器和输入正确地起作用。

有多种实现方式的可能方式来执行计数器测试。一种可能的实现方式涉及在同一微处理器2(uP2)405(2)中存在的两个计数器。测试信号可以由包含两个计数器的微处理器2(uP2)405(2)生成，或者测试信号可以由外部设备(即第二微处理器)生成。微处理器1(uP1)包含被测试的计数器。另一微处理器(uP2)进行测试，并将信号注入被测试的计数器。两个微处理器被同步，使得它们协调测试的开始和结束。

在测试期间，将计数器输入与物理输入有效地断开连接，并且另一微处理器(uC2)将信号注入被测试的计数器。注入的信号将模拟正交计数器，以便在实际输入模式下测试被测试的计数器(uC1)。两个微处理器将进行通信，以确保被测试的计数器对注入的测试信号的数量进行准确地计数。如果测试信号未被正确地计数，则我们认为被测试的计数器或输入电路存在某些故障，并且安全系统将进入安全故障模式。

在测试期间，微处理器2(uP2)405(2)中的第二个计数器将监视物理计数器输入以维持正确的计数。如果第二个被测试的计数器按照微处理器2(uP2)405(2)具有正确的计数数量，则认为测试成功。现在，包含计数器的微处理器2(uP2)405(2)将使这两个计数器同步。被测试的计数器将被设置为由微处理器2(uP2)405(2)中的另一计数器保持的实际计数。计数将被设置并且然后被验证以确保计数器具有相同的计数。这可能需要重复几次以使计数器同步。在测试完成且计数器已同步后，将通知另一微处理器2(uP2)405(2)。故障安全计数器评估器400现在可以根据需要测试任何其他计数器。

如图5所示，其示出根据本发明的示例性实施方式的故障安全计数器评估器505的第一通道，其中微处理器1(uP1)507(1)接收输入并生成计数器输出，而微处理器2(uP2)507(2)生成测试脉冲并执行评估，并且对于第二通道，微处理器1(uP1)507(1)将生成测试脉冲并执行评估，而微处理器2(uP2)507(2)将接收输入并生成计数器输出。如图6所示，其示出根据本发明的示例性实施方式的故障安全计数器评估器603的简化示意图，其中微处理器1(uP1)600(1)接收输入(A/B/N)，而微处理器2(uP2)600(2)生成测试脉冲并执行评估。

在图7中，流程图示出了根据本发明的一个示例性实施方式的方法702，该方法在两个计数器均在最小频率以下进行计数的情况下以由安全要求所确定的时间间隔对每个计数器执行测试。参考图1和图6中描述的元件和特征。应当理解，不需要以任何特定顺序执行某些步骤，并且某些步骤是可选的。

在步骤705处，开始测试以确定故障安全计数器是否在最小频率以下进行计数。在判定框707处，进行检查以确定故障安全计数器的计数频率是否小于最小测试频率。如果步骤707中的回答不是肯定的，即，否，则由于不需要测试，测试过程在步骤710中停止。如果步骤707中的回答是肯定的，即，是，则测试过程进行到步骤712。在步骤712中，进行几个动作，包括“保存计数器1模式”、“断开计数器1物理输入”、“连接计数器1测试输入”以及“选择正交计数器模式”。接下来在步骤714中，以最大频率将测试脉冲输出到计数器1。然后在判定框716处，检查是否存在正确数量的测试脉冲。如果步骤716中的答案不是肯定的，即，否，则测试过程在步骤718中停止，指示计数器1故障。如果步骤716中的回答是肯定的，即，是，则测试过程进行到步骤720。在步骤720中，进行几个动作，包括“恢复计数器模式”。在该步骤720中，同步尝试还被设置为“n”。

在步骤725处，将计数器2的计数复制到计数器1的计数，并且使同步尝试递减。在判定框727处，进行检查以确定计数器2是否仍然具有相同的计数。如果步骤727中的答案不是肯定的，即，否，则在判定框730处检查同步尝试是否大于“0”。如果步骤730的答案是肯定的，即，是，则测试过程前进到步骤725之前。如果步骤730的答案不是肯定的，即，否，则由于计数器同步故障，测试过程在步骤732中退出。如果步骤727中的答案是肯定的，即，是，则测试过程由于成功而在步骤734中退出。

根据本发明的另一说明性实施方式，提供了一种故障安全计数器评估器，以确保故障安全计数器进行正确的计数操作。故障安全计数器评估器包括第一微处理器，该第一微处理器被配置为提供内部生成的测试脉冲用于评估计数器，以确保正确的计数操作。故障安全计数器评估器还包括测试通道，该测试通道被配置为基于来自第一微处理器的测试脉冲发送输入测试信号。该故障安全计数器评估器还包括第二微处理器和第二计数器，该第二计数器被配置为被测试的计数器并且被设置在第二微处理器中。故障安全计数器评估器还另外包括第一计数器，该第一计数器被设置在第二微处理器中并且被配置为对外部生成的计数脉冲进行计数。第一微处理器被配置为将输入测试信号注入到作为被测试计数器的第二计数器，使得第一微处理器和第二微处理器同步，从而协调测试的开始和结束。由外部生成的待计数脉冲来驱动第一计数器，同时向第二计数器发送测试脉冲以进行评估，使得在已经发送测试脉冲之后对第二计数器进行评估，以确定第二计数器是否正确地操作。

虽然在此描述了硬件类型的故障安全计数器，但是本发明也考虑了一系列的一种或多种其它类型的故障安全计数器或其它形式的计数功能。例如，可以基于以上呈现的一个或多个特征来实现其它类型的软件故障安全计数器或其它混合实现方式的故障安全计数器，而不背离本发明的精神。

本文所述的技术对于设置在(一个或多个)微处理器中的故障安全计数器可以是特别有用的。尽管根据(一个或多个)微处理器描述了特定的实施方式，但是本文描述的技术不限于(一个或多个)微处理器，而是还可以与其它部件(数字或模拟，电路或设备)一起使用。

尽管已经以示例性形式公开了本发明的实施方式，但是对于本领域技术人员将显而易见的是，在不脱离如随附权利要求所阐述的本发明及其等效的精神和范围的情况下，可以在其中进行许多修改、添加和删除。

参考附图中示出并且在以下描述中详细描述的非限制性实施方式，更全面地解释实施方式及其各种特征和有利细节。省略了公知的起始材料、处理技术、部件和装备的描述，以免不必要地模糊实施方式的细节。然而，应当理解，尽管详细描述和具体示例指示优选实施方式，但是仅通过示例而非限制的方式将它们给出。根据本公开，在本发明构思的精神和/或范围内的各种替换、修改、添加和/或重新布置对于本领域技术人员而言将变得显而易见。

如本文所使用的，术语“包括”、“包含”、“具有”或其任何其它变型旨在涵盖非唯一性的包含。例如，包括一系列元素的过程、物品或装置不一定仅限于那些元素，而是可以包括未明确列出或此类过程、物品或装置固有的其它元素。

另外，本文给出的任何示例或图示均不应以任何方式视为对其所使用的任何一个或多个术语的设限、限制或表达定义。相反，这些示例或图示应被视为是关于一个特定实施方式进行描述的，并且仅是说明性的。本领域普通技术人员将理解，与这些示例或图示一起使用的任何一个或多个术语将涵盖可以或可以不随其或在说明书中其它地方给出的其它实施方式，并且所有此类实施方式旨在被包括在那一个或多个术语的范围内。

在前述说明书中，已经参考特定实施方式描述了本发明。然而，本领域的普通技术人员将理解，在不脱离本发明的范围的情况下可以做出各种修改和改变。因此，说明书和附图应被认为是说明性的而不是限制性的，并且所有此类修改旨在被包括在本发明的范围内。

尽管已经关于本发明的特定实施方式描述了本发明，但是这些实施方式仅是说明性的，并且不限制本发明。本文中对本发明的例示实施方式的描述并非旨在穷举或将本发明限制为本文所公开的精确形式(并且具体地，包括任何具体实施方式、特征或功能并非旨在将本发明的范围限制于此类实施方式、特征或功能)。相反，该描述旨在描述例示实施方式、特征和功能，以使本领域普通技术人员理解本发明，而不将本发明限制于任何具体描述的实施方式、特征或功能。尽管本文中仅出于说明性目的描述了本发明的特定实施方式和示例，但是如相关领域的技术人员将认识和理解的，在本发明的精神和范围内可以进行各种等同修改。如所指出的，可以根据本发明的说明的实施方式的前述描述对本发明进行这些修改，并且这些修改应被包括在本发明的精神和范围内。因此，尽管在本文已经参考本发明的具体实施方式描述了本发明，但一定范围的修改、多种变化和替换旨在上述公开内容中，而且将理解，在某些实例中，在未背离本发明的范围和精神的情况下，可使用本发明的实施方式的某些特征而不会相应地使用其它特征。因此，可以进行许多修改以使具体情况或材料适应本发明的基本范围和精神。

在整个说明书中，短语“在一个实施方式中”、“在实施方式中”或“在具体实施方式中”或类似术语相应出现在各个地方不一定指相同的实施方式。此外，任何特定实施方式的特定特征、结构或特性可以以任何合适的方式与一个或多个其它实施方式组合。应当理解，根据本文的教导，本文所描述和示出的实施方式的其它变化和修改是可能的，并且被认为是本发明的精神和范围的一部分。

在本文的描述中，提供了许多具体细节，诸如部件和/或方法的示例，以提供对本发明实施方式的透彻理解。然而，相关领域的技术人员将认识到，可以在没有一个或多个具体细节的情况下，或者在具有其它装置、系统、组件、方法、部件、材料、零件等的情况下实践实施方式。在其它情况下，未具体示出或详细描述公知的结构、部件、系统、材料或操作，以避免模糊本发明的实施方式的各方面。尽管可以通过使用具体实施方式来说明本发明，但这不是也不会将本发明限制于任何特定实施方式，并且本领域的普通技术人员将认识到，其它实施方式是容易理解的，并且是本发明的一部分。

还应理解，在附图/图形中描绘的元素中的一个或多个也可以以更分离或集成的方式实现，或者甚至在某些情况下被去除或使其不可操作，这根据特定的应用程序是有用的。

上文已经关于具体实施方式描述了益处、其它优点以及问题的解决方案。然而，这些益处、优点、问题的解决方案以及可使得任何益处、优点或解决方案出现或变得更加明显的任何一个或多个部件不应被解释为关键、必需或必要的特征或部件。