EP3248073A1 - Elektronisches sicherheitsschaltgerät - Google Patents

Elektronisches sicherheitsschaltgerät

Info

Publication number
EP3248073A1
EP3248073A1 EP16701277.2A EP16701277A EP3248073A1 EP 3248073 A1 EP3248073 A1 EP 3248073A1 EP 16701277 A EP16701277 A EP 16701277A EP 3248073 A1 EP3248073 A1 EP 3248073A1
Authority
EP
European Patent Office
Prior art keywords
signal processing
semiconductor substrate
switching device
safety switching
semiconductor
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
EP16701277.2A
Other languages
English (en)
French (fr)
Inventor
Thorsten Godau
Norbert Froehlich
Matthias Holzaepfel
Hans Schwenkel
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Pilz GmbH and Co KG
Original Assignee
Pilz GmbH and Co KG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Pilz GmbH and Co KG filed Critical Pilz GmbH and Co KG
Priority to EP22181101.1A priority Critical patent/EP4086714B1/de
Publication of EP3248073A1 publication Critical patent/EP3248073A1/de
Ceased legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Program-control systems
    • G05B19/02—Program-control systems electric
    • G05B19/04—Program control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/042—Program control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
    • G05B19/0428—Safety, monitoring
    • H—ELECTRICITY
    • H10—SEMICONDUCTOR DEVICES; ELECTRIC SOLID-STATE DEVICES NOT OTHERWISE PROVIDED FOR
    • H10W—GENERIC PACKAGES, INTERCONNECTIONS, CONNECTORS OR OTHER CONSTRUCTIONAL DETAILS OF DEVICES COVERED BY CLASS H10
    • H10W90/00—Package configurations
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24008—Safety integrity level, safety integrated systems SIL SIS
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24024—Safety, surveillance
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00—Program-control systems
    • G05B2219/20—Pc systems
    • G05B2219/24—Pc safety
    • G05B2219/24182—Redundancy

Definitions

  • the present invention relates to an electronic safety switching device having at least a first and a second signal processing channel to which input signals can be supplied for signal processing and provide the processed output signals, wherein the first and the second signal processing channel, the input signals processed redundantly with each other, and wherein the first and the second signal processing channel are each constructed using integrated semiconductor structures.
  • Such a safety switching device is for example from DE 100 53 820 A1
  • Safety switching devices of the type mentioned are mainly in industrial
  • Safety relays carry out defined safety functions. For example, they ensure a controlled and thus safe shutdown of a movement of a technical system or serve to monitor the position of movable guards.
  • safety switching devices are designed to initiate a safe and reliable reaction in the event of a fault and in the event of a violation of the protected areas.
  • safety switching devices must first pass through a corresponding approval by a permissible supervisory authority before they can be used in the industrial sector. In Germany, for example, the professional association or the TÜV carries out such approvals.
  • Relevant standards for functional safety include DIN EN 61508 for the development of electrical, electronic and programmable electronic (E / E / PE) systems or EN 6151 1 for the development of safety-related systems for the process industry.
  • these standards set safety requirement levels (SIL), which are relevant to the assessment of (E / E / PE) systems in relation to the reliability of safety radio equipment. serve.
  • Safety switching devices in the sense of the present invention are devices which satisfy at least the requirements of SIL 2.
  • required error safety is to build the safety relay multi-channel redundant, with at least two signal processing channels monitor each other. If an error occurs in one of the signal processing channels, the second signal processing channel is able to recognize it and bring about a situation which is safe for persons in the area of the machine installation. Particular attention must be paid in this approach to possible causes of failure that affect several or all redundant signal processing channels in the same way (so-called common cause error), otherwise the required error safety can not be guaranteed.
  • a frequently practiced procedure for the approval of safety switching devices by the competent supervisory authorities is that the designer or manufacturer of the safety switching device must submit a detailed and detailed error consideration, in which every conceivable error is detected. It must be proven that the safety relay can reliably cause a safe state for persons even when the respective fault occurs. Such consideration is very complex especially in complex safety switching devices with numerous functions, which adversely affects the cost of development and production. In addition, this error consideration must be repeated even with minor changes to the structure or in the structure of the safety relay, since, for example, only by a spatially different arrangement of the same components new sources of error can be generated.
  • Safety switching device in which essential components of the redundant signal processing channels are formed from semiconductor integrated circuits, which are arranged on a single semiconductor chip.
  • This so-called on-chip redundancy in which a single integrated and unchangeable component is provided while maintaining the separate signal processing channels, has the advantage that the information required for the admission required by the supervisory authority to carry out an error consideration only once. Subsequent reviews may then be limited to quantitatively verifying compliance with the specifications set in the development of the semiconductor chip, in particular compliance with intended physical dimensions and materials used.
  • this object is achieved by an initially mentioned safety switching device in which the first signal processing channel is arranged monolithically on a first semiconductor substrate and the second signal processing channel is monolithically disposed on a second semiconductor substrate, wherein the first and the second semiconductor substrate are assembled into a stack and form a one-piece electronic component.
  • the present invention uses, in contrast to known on-chip redundancy systems, two separate semiconductor substrates which are stacked on top of each other to form a single electronic component in which the integrated circuits of one signal processing channel form first level, which lies above a corresponding second level with the integrated circuits of the other signal processing channel.
  • the two separate semiconductor substrates are advantageously in two mutually parallel planes, which are offset in a direction orthogonal to the planes to each other.
  • the individual integrated circuits on the respective semiconductor substrate can be designed independently of one another, without having to take into account the special architecture requirements which are placed on integrated circuits with on-chip redundancy.
  • the design of integrated circuits can be simplified by, for example, using a standard integrated processing unit design.
  • the integrated circuits can be arranged effectively and space-saving on the respective semiconductor substrate, without having to comply with special safety requirements, which in turn can be saved in manufacturing costs.
  • the new safety switching device has the advantage that the stack of the two semiconductor substrates can be combined to form a one-piece component. Integral means in this context, in particular, that the finished electronic component is no longer changeable in retrospect. In other words, the structure of the electronic component is already set in unchangeable form during development and construction, but the final component is assembled from separate semiconductor substrates into the one-piece component during the manufacturing process.
  • the semiconductor substrates in the stack are preferably placed directly on one another and permanently connected to one another to form the one-piece component.
  • the one-piece component is enveloped in the stack by a potting compound which forms a positive fit around the semiconductor substrates, resulting in an integrated, multi-channel logic component which is positioned on a printed circuit board, for example in automated assembly processes can.
  • An error consideration in the approval by a supervisory authority must be advantageously made only once and subsequent reviews may be limited to the compliance of the necessary design rules. Such checks are simpler and less expensive than a new, complete error consideration.
  • the new safety switching device thus combines the advantages of an on-chip redundancy system with the advantages of a system that is constructed with two independently redundant signal processing systems. The above task is thus completely solved.
  • the stack has a further semiconductor substrate.
  • a further semiconductor substrate is arranged in the stack, which is either constructed in a similar way as the other semiconductor substrates or contains structures which are otherwise structured. tiger functions.
  • SoS system-on-stack
  • the further semiconductor layer is formed as a control and memory structure, which may include, for example, a comparator, a "watchdog", interfaces to the periphery or RAM / ROM memory.
  • the signal processing units can be constructed in a particularly simple manner and, if appropriate, resort to a standard design, wherein shared elements can be arranged on the further semiconductor substrate.
  • various components can be combined to form a "system-on-stack" in order to realize robust and cost-effective safety relays.
  • by the arrangement of the other elements of a safety switching device within the one-piece component further causes of error can be reliably excluded from the outset. In particular, cabling errors, such as can occur when wiring discrete components with conductor cables, can thus be avoided.
  • the further semiconductor substrate is arranged in the stack between the first and the second semiconductor substrate.
  • the first semiconductor substrate covers a first side of the other
  • the stack is structured like a layer system, wherein the further semiconductor substrate forms a middle layer.
  • the first and second semiconductor substrates cover the other one Semiconductor substrate on the respective side completely.
  • the middle layer in particular memory structures arranged thereon, is physically protected by the first and the second semiconductor substrate layer so that particle and wave influences on the middle layer can be minimized.
  • "sensitive" RAM memory can be reliably protected from external influences.
  • first and the second semiconductor substrate are arranged spaced apart from one another in the stack.
  • the first and second semiconductor substrates are not directly adjacent to one another in the stack, but are spatially separated from one another.
  • This measure has the advantage that the integrated semiconductor structures of the semiconductor substrates can be arranged at a distance from one another, thereby physically avoiding crosstalk of signals or short circuits between the processing units.
  • Semiconductor substrate arranged an insulating layer and / or another semiconductor substrate.
  • the first and the second semiconductor substrate can be arranged at a defined distance from each other.
  • an isolation layer can be inserted to electrically decouple the two semiconductor substrates from each other, thereby eliminating crosstalk and short circuits between the integrated semiconductor structures.
  • a further semiconductor substrate may also be arranged between the first and the second semiconductor substrate, which performs functions which are used by the semiconductor circuits on the first semiconductor substrate and / or the second semiconductor substrate. It is understood that a combination consisting of insulating layers and semiconductor substrates as an intermediate layer can be used to combine the advantages mentioned.
  • the stack has at least two semiconductor substrates and at least one vertical contact element, wherein the vertical contact element electrically connects the at least two semiconductor substrates.
  • the integrated semiconductor structures are arranged on different semiconductor substrates, but can be connected via vertical contact elements within the stack.
  • This measure has the advantage that the semiconductor circuits on the first and the second semiconductor substrate can be connected to one another in a simple manner in order, for example, to enable inter-process communication and to enable monitoring of the individual signal processing channels by the respective other signal processing channel.
  • the redundant signal processing channels externally, i. outside of the semiconductor substrates, to interconnect with each other.
  • the preferred measure has the advantage that an error consideration for mutual data exchange must also be performed only once in the development of the chip stack and errors in the installation of the signal processing channel can be reduced.
  • internal data exchange via vertical contact elements is faster and freer from disturbing environmental influences.
  • the first semiconductor substrate has a first
  • Signal processing unit and the second semiconductor substrate to a second signal processing unit, wherein the first signal processing unit has a time-shifted to the second signal processing unit duty cycle.
  • the first and the second signal processing unit have a processor clock, which defines a fixed, preferably the same, duty cycle of the signal processing units.
  • the duty cycle of the first signal processing unit is compared to the duty cycle of the second signal processing unit least offset by one clock.
  • Signal processing channels are revealed by the temporal offset in the processing of the signals by the signal processing units.
  • both signal processing units operate with a uniform processor clock, which is shifted by a phase for the time offset.
  • the safety switching device has a first
  • the first and the second semiconductor substrate are each supplied by a separate power supply, which moreover preferably has its own monitoring circuit in order to protect it from overvoltages.
  • a separate voltage supply is available for each semiconductor substrate with its integrated circuits and the risk of failure due to a faulty power supply or an unexpected overvoltage can be minimized. This measure further increases the fail safety of the safety relay.
  • Figure 1 is a simplified representation of a preferred embodiment of the
  • FIG. 2 is a perspective view of an embodiment of a one-piece electronic component of the new safety switching device
  • Figure 3 is a schematic representation of an embodiment of a chip stack of the new safety switching device.
  • Figure 4 is a schematic representation of a preferred embodiment of a chip stack of the new safety switching device.
  • Fig. 1 an embodiment of the new electronic safety switching device is designated in the entirety by the reference numeral 10.
  • the safety switching device is assigned in this embodiment, a technical system 12, which is exemplified here by a robot 14.
  • the robot 14 runs a danger for a person who is in the working area of the robot 14.
  • the working area of the robot 14 is secured with a protective device 16 against unauthorized access.
  • the protective device 16 is a non-contact protective device in the form of a light grid 18, which is arranged in the access area to the technical installation 12, such that a person or an object that penetrates into the access area, at least one of a plurality of light beams interrupts that are emitted between a transmitter / receiver combination of the light grid 18.
  • the light grid 18 is connected to the safety switching device 10 and leads to these input signals in response to the current state.
  • an active protective device such as the light grid 18 shown here
  • redundant input signals so-called OSSD signals
  • Passive protective devices such as the emergency stop button 22 shown here, are usually supplied with an output signal from the safety controller 10 and grind it back as an input signal to the safety relay 10th
  • the safety switching device 10 has in this embodiment, an I / O unit 24 having a plurality of device terminals for receiving the input signals and providing output signals.
  • these device terminals are terminals which are arranged on a housing side of the housing 26 of the safety switching device 10, for example in the form of spring terminals or screw terminals.
  • the device ports may be plugs or sockets that include a plurality of contact elements, with one pin each forming a device port. Frequently, five-pin M8 sockets are used to connect protections or other field-level sensors.
  • the light grid 18 generates two redundant input signals
  • the input signals may also be transmitted via two wires of a single patch cable. It is likewise conceivable that the input signals are transmitted to the safety switching device 10 via a bus, for example a safe field bus.
  • the I / O unit 24 is formed as a communication module that implements the protocol of the bus being used. The input signals can be read out by the communication module and provided to the safety switching device 10 as a redundant input signal pair.
  • the safety switching device 10 has in the present embodiment, a first signal processing channel 28 and a second signal processing channel 30, which are designed to be redundant to each other, and are adapted to evaluate the input signals of a protective device 16, 22 redundant to each other.
  • the two signal processing channels 28, 30 are at least partially constructed using integrated semiconductor structures, wherein the integrated semiconductor structure of the first signal processing channel 28 on a first semiconductor substrate 32 and the integrated semiconductor structure of the second signal processing channel 30 on a second semiconductor substrate 34 are arranged.
  • the first and second semiconductor substrates 32, 34 are combined to form a chip stack 36 and cast into a one-piece electronic component 38 in a manner known per se.
  • a chip stack 36 preferably includes inputs and outputs, central processing units, memory, comparators and A / D converters, with the aid of which the input signals can be processed fail-safe.
  • the signal processing channels 28, 30 can also have further discrete components that are not formed as an integrated semiconductor structure.
  • the safety switching device 10 has, for example, per signal processing channel 28, 30, a switching elements 40a, 40b, which are each capable of a high voltage potential 42 through to a device port 44a, 44b of the safety switching device 10 through a current flow to a contactor 46a , 46b, or to interrupt this flow of current.
  • each switching element 40 can switch off an actuator, such as a contactor 46, or a solenoid valve.
  • the contactors 46a, 46b each have working contacts 48a, 48b.
  • the normally open contacts 48a, 48b are working contacts 48a, 48b.
  • safety switching devices also include, for example, configurable safety switching devices, programmable safety controllers or safe modules of a standard controller.
  • a one-piece electronic component 38 is shown in a greatly simplified representation.
  • the same reference numerals designate the same parts as before in FIG. 1.
  • the one-piece electronic component 38 is realized here as a microchip with a dual inline package (DIP) housing.
  • DIP dual inline package
  • a chip stack 36 having a first semiconductor substrate 32 and a second semiconductor substrate 34 is disposed on a carrier 52.
  • the semiconductor structures on the two semiconductor substrates 32, 34 are connected to conductor tracks 54.
  • the interconnects 54 are in turn connected to contact pins 56, via which the semiconductor structures can be contacted from the outside. Via the contact pins 56, for example, the input signals can be brought to the integrated semiconductor structures on the semiconductor substrates 32, 34 or the output signals can be led to the outside.
  • Safety switching device at least two semiconductor substrates 32, 34 disposed within the electronic component 38.
  • the semiconductor substrates 32, 34 are preferably stacked one above the other, so that they form a cuboid stack 36.
  • Each semiconductor substrate includes an independent semiconductor structure which images a signal processing channel.
  • a coupling of the integrated semiconductor structures of the first semiconductor substrate 32 with the semiconductor structures of the second semiconductor substrate 34 can be realized within the electronic component 38 via the conductor tracks 54 on the carrier 52 within the DIP housing, or via a connection between the connection pins 56 outside the housing , However, particularly preferably, the integrated semiconductor structures are already coupled together within the stack 36.
  • vertical connections parallel to the vertical axis 58 of the chip stack 36 are integrated into the semiconductor substrates 32, 34 for this purpose.
  • the DIP housing is provided at the end of production with a cover part not shown here.
  • the cover part is applied over the conductor tracks 54 and the chip stack 36.
  • the printed conductors 54 and the chip stack 36 are thus located in the interior of the DIP Housing tightly closed and so safely protected from changes and environmental influences. Similarly, a subsequent change in the structure of the signal processing channels or their coupling is no longer or only partially possible.
  • Housing is in which a chip stack 36 described here can be arranged and is not intended to be limiting.
  • Other common types of housing such as a small outline (SO) housing in SMD technology, are also conceivable for the construction of a one-piece electronic component proposed here.
  • a packaging of the unhoused chip stack 36 could also be realized in another embodiment by a potting compound, which surrounds the chip stack 36 and form-fitting around the semiconductor substrates 32, 34.
  • the packaging in a housing and / or by a potting compound results in an integrated, multi-channel logic component that can be positioned, for example, in automated assembly processes on a printed circuit board.
  • Fig. 3 shows an embodiment of a chip stack 36 in a simplified
  • the chip stack 36 in this embodiment includes a first and a second semiconductor substrate 32, 34, which are arranged one above the other to form a stack.
  • each semiconductor structures are arranged, which map an electronic circuit with active and passive components as a monolithic circuit.
  • an electronic circuit of a first signal processing channel 28 is arranged on the first semiconductor substrate 32
  • an electronic circuit of a second signal processing channel 30 is arranged on the second semiconductor substrate 34.
  • the semiconductor substrates 32, 34 initially independent
  • both semiconductor substrates 32, 34 are initially part of a common base semiconductor substrate on which a plurality of semiconductor structures for different chips are simultaneously formed. Subsequently, the base semiconductor substrate is divided into a plurality of individual chips, which in turn are stacked to form a stack of chips. To avoid common cause errors come the individual semiconductor substrates of the chip stack 36, however, preferably from different production lines.
  • the chip stack 36 is not limited to the use of certain semiconductor substrates and
  • the chip stack 36 has very thin semiconductor substrates, which can be achieved by the stacking sufficient stability.
  • the semiconductor substrates do not necessarily have to be identical.
  • a construction with semiconductor substrates with different material thicknesses could be formed of a thicker semiconductor substrate than the other layers of the stack 36 to provide a stable base for the stack 36.
  • the integrated semiconductor structures on the semiconductor substrates are first and second
  • the chip stack 36 has a plurality of vertical contact elements 60 for the coupling.
  • the vertical contact elements 60 are conductors which are formed parallel to the stacking direction 62 of the chip stack 36.
  • the vertical contact elements 60 are also referred to as "through silicon vias" (TSV) and establish an electrical connection between two semiconductor substrates.
  • TSV through silicon vias
  • the vertical contact elements 60 are holes or recesses in the semiconductor substrates, which are produced by bores or special etching processes. The holes in the semiconductor substrates contact the semiconductor structures in the semiconductor substrate and extend at least on one side of the semiconductor substrate to the surface.
  • the holes are filled with conductive material, such as copper or aluminum, and are stacked flush on the stack of semiconductor substrates so that the conductive material in one hole of the first semiconductor substrate 32 makes electrical contact with the conductive material of another hole in the second semiconductor substrate 34 , In this way, direct connection between the semiconductor structures of the first semiconductor substrate 32 and the second semiconductor substrate 34 can be generated, whereby a virtually latent-free inter-process communication between the two semiconductor structures is possible.
  • a connection between the semiconductor substrates 32, 34, as described above with respect to FIG. 2 can also be created outside of the chip stack 36.
  • the contacts of the semiconductor structures are guided on the semiconductor substrates to the outside and preferably still connected to each other within the one-piece component.
  • first contact surfaces 64 are illustratively arranged on the surface of the first semiconductor substrate 32, which can be contacted via bonding wires 66 in a manner known per se.
  • second contact surfaces 68 are arranged on the surface of the first semiconductor substrate 32, via which the semiconductor structures of the second semiconductor substrate 34 can be contacted.
  • the second contact surfaces 68 are connected to the semiconductor structures of the second semiconductor substrate 34 via further vertical contact elements 70 in the manner described above.
  • the common methods for contacting unhoused semiconductor chips can thus also be used for contacting the unhoused chip stack 36.
  • contact surfaces can also be formed on the second semiconductor substrate, which can be contacted to the outside.
  • ungephaseten chip stack 36 conceivable, such as a flip-chip assembly, also known as controlled collapse chip connection (C4).
  • flip-chip mounting the unhoused chip stack 36 is mounted directly, without further connecting wires, with the active contact side of one of the semiconductor substrates 32, 34 downwardly on a support. This leads to particularly small dimensions of the housing and short conductor lengths. Short circuits due to touching bonding wires can be excluded in a particularly simple and effective way.
  • the connection of all contacts simultaneously whereby the production time can be reduced.
  • not only soldering and conductive bonding but also pressure welding (thermode bonding) can be used as the joining process.
  • the flip-chip mounting has the additional advantage that usually only a small mechanical stress is exerted on the chip to be contacted when contacting.
  • very thin and porous semiconductor substrates 32, 34 for Creation of the chip stack 36 are used.
  • Fig. 4 shows a particularly preferred embodiment of a chip stack 36 in a simplified schematic representation.
  • the chip stack 36 is formed in this embodiment from a first semiconductor substrate 32, a second semiconductor substrate 34 and a further semiconductor substrate 72.
  • the first semiconductor substrate 32 and the second semiconductor substrate 34 are constructed substantially identically.
  • the first semiconductor substrate 32 as a semiconductor integrated structure includes a first signal processing unit 74
  • the second semiconductor substrate 34 as a semiconductor integrated structure includes a second signal processing unit 76.
  • the first and second signal processing units 74, 76 are functionally identical, however, constructed diversely to one another in order to reduce the risk of common cause errors in the signal processing.
  • the first signal processing unit 74 is assigned to the first signal processing channel 28 and the second signal processing unit 76 is assigned to the second signal processing channel 30.
  • the first and second signal processing units 74, 76 process the input signal in parallel and independently generate an output signal in response to the input signal.
  • only the first and second signal processing units 74, 76 are arranged on the first and the second semiconductor substrate 32, 34.
  • the first and second signal processing units 74, 76 operate as fault tolerant
  • DMR Dual Modular Redundancy
  • the safety switching device could have at least one further signal processing unit, preferably also integrated in the one-piece electronic component, whereby a threefold redundancy is achieved. danz is formed.
  • Triple redundancy systems are also referred to as Triple Modular Redundancy (TMR) systems used in, for example, aircraft or high availability systems. TMR systems can not only detect errors, but also fix them based on the majority principle.
  • the signal processing units 74, 76 are each further operated in this embodiment with its own processor clock 88.
  • the processor clock of the first and second signal processing units 74, 76 are out of phase with each other.
  • the signal processing units 74, 76 process the input signal in parallel but with a small time offset. In this way, the failure safety can be further increased because a simultaneously occurring on both channels disturbance, such as a short voltage spike can be reliably detected.
  • the further semiconductor substrate 72 is in this preferred embodiment
  • the further semiconductor substrate 72 has one or more separate integrated semiconductor structures that form a control and memory structure that may be coupled to the integrated semiconductor structures of the first semiconductor substrate 32 and / or of the second semiconductor substrate 34.
  • the control and memory structure includes in the example shown here a comparator 78, memory areas 80 and a "watchdog" 82, which may assist in signal processing or monitor proper operation of the signal processing units 74, 76.
  • the comparator 78 is, for example, an electronic circuit having two digital ones
  • the "watchdog” 82 is an integrated circuit that can forestall a complete failure of the electronic component due to software failure.
  • the "watchdog” is designed as a counter, which is set to a specific value by the software at regular intervals and continuously decremented on the hardware side. If the counter reaches the value 0, it is to be assumed that the software has failed and the "watchdog" executes a predetermined reaction, which in particular leads to the safety function of the safety relay being triggered.
  • the memory area 80 can, for example, provide memory for the processing processing units 74, 76 or read-only memory with stored parameters of the safety relay.
  • the further semiconductor substrate 72 does not necessarily have to be arranged between the first and the second semiconductor substrate 32, 34 in the chip stack 36.
  • the further semiconductor substrate 72 could also be arranged above or below the first and the second semiconductor substrate 32, 34.
  • the arrangement shown here is particularly preferred when both the first and the second signal processing unit 74, 76 are coupled to the control and memory structure of the further semiconductor substrate 72.
  • the almost complete coverage of the further semiconductor substrate 72 by the first and second semiconductor substrate 32, 34 a particularly good protection against radiation and wave influences possible.
  • the comparator 78 is both with the first
  • Signal processing unit 74 on the first semiconductor substrate 32 and the second signal processing unit 76 on the second semiconductor substrate 34 coupled.
  • the signal processing units 74, 76 can be connected to the comparator 78 very efficiently and homogeneously and with almost any width.
  • a comparison of values between the first signal processing unit 74 and the second signal processing unit 76 can thus be carried out with virtually no latency.
  • the contact elements 60 may be arranged such that the first signal processing unit 74 can exclusively access a first memory area 80a and the second signal processing unit 76 exclusively access one second memory area 80b can access.
  • the "watchdog" 82 may in turn be advantageously connected to both signal processing units 74, 76 and monitor their correct operation.
  • the first semiconductor substrate 32 is directly connected to the second semiconductor substrate 34 by a vertical contact element is guided from the first semiconductor substrate 32 through the further semiconductor substrate 72 to the second semiconductor substrate 34.
  • the first, second and further semiconductor substrate 32, 34, 72 can furthermore have different material properties and in particular different substrate thicknesses.
  • the further semiconductor substrate 72 is thicker than the first and the second semiconductor substrate 32, 34 in order to enable a shielding of the two signal processing units 74, 76 from one another.
  • a crosstalk from the first signal processing unit 74 to the second signal processing unit 76 and vice versa can be physically excluded by a thicker further semiconductor substrate 72.
  • Fig. 4 shows a first and a second power supply 84, 86, which are formed separately from each other.
  • the first power supply 84 is coupled to the first semiconductor substrate 32 and the second power supply 86 is coupled to the second semiconductor substrate 34.
  • the integrated semiconductor structures of the first semiconductor substrate 32 are supplied with a supply voltage via the first voltage supply 84 and the integrated semiconductor structures of the second semiconductor substrate 34 are supplied with a supply voltage via the second voltage supply 86.
  • the first and the second voltage supply 84, 86 each include an overvoltage monitoring unit (not shown here).
  • the overvoltage monitoring unit is designed to decouple the voltage supply in the event of an overvoltage, for example by a crowbar circuit.
  • the chip stack 36 is therefore not limited to the three semiconductor substrates 28, 30, 72 shown. In further advantageous embodiments, further semiconductor substrates and / or other layers, such as insulating layers, may be arranged in the chip stack 36. It is conceivable also that a plurality of the systems shown in FIG. 4 are accommodated in a chip stack in order to realize extremely space-saving, n-channel, high-availability and fault-tolerant "systems-on-stack". Overall, it is possible to create cost-efficient, flexible and safe safety relays with two or more redundancy that can meet the requirements of SIL3 safety requirements.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Semiconductor Integrated Circuits (AREA)
  • Design And Manufacture Of Integrated Circuits (AREA)
  • Electronic Switches (AREA)

Abstract

Elektronisches Sicherheitsschaltgerät (10) mit zumindest einem ersten (28) und einem zweiten Signalverarbeitungskanal (30), denen zur Signalverarbeitung Eingangssignale zuführbar sind. Die Signalverarbeitungskanäle stellen ihrerseits verarbeitete Ausgangssignale bereit. Dabei verarbeiten der erste (28) und der zweite Signalverarbeitungskanal (30) die zugeführten Eingangssignale redundant zueinander. Ferner sind der erste (28) und der zweite Signalverarbeitungskanal (30) jeweils mit Hilfe integrierter Halbleiterstrukturen aufgebaut. Dererste Signalverarbeitungskanalist(28) monolithisch auf einem ersten Halbleitersubstrat (32) angeordnet und der zweite Signalverarbeitungskanal (30) monolithisch auf einem zweiten Halbleitersubstrat (32) angeordnet, wobei das erste (32) und das zweite Halbleitersubstrat (34) zu einem Stapel (36) zusammengesetzt sind und ein einstückiges elektronisches Bauteil (38) bilden.

Description

Elektronisches Sicherheitsschaltgerät
[0001] Die vorliegende Erfindung betrifft ein elektronisches Sicherheitsschaltgerät mit zumindest einem ersten und einem zweiten Signalverarbeitungskanal, denen zur Signalverarbeitung Eingangssignale zuführbar sind und die verarbeitete Ausgangssignale bereitstellen, wobei der erste und der zweite Signalverarbeitungskanal die zugeführten Eingangssignale redundant miteinander verarbeiten, und wobei der erste und der zweite Signalverarbeitungskanal jeweils mithilfe integrierter Halbleiterstrukturen aufgebaut sind.
[0002] Ein derartiges Sicherheitsschaltgerät ist beispielsweise aus der DE 100 53 820 A1
bekannt.
[0003] Sicherheitsschaltgeräte der eingangs genannten Art werden vor allem im industriellen
Bereich eingesetzt und sind in nahezu allen Bereichen des Maschinen- und Anlagenbaus anzutreffen. Sicherheitsschaltgeräte führen definierte Sicherheitsfunktionen aus. Beispielsweise sorgen sie für ein gesteuertes und damit sicheres Stillsetzen einer Bewegung einer technischen Anlage oder dienen der Positionsüberwachung von beweglichen Schutzeinrichtungen. Grundsätzlich sind Sicherheitsschaltgeräte dazu ausgebildet, im Fehlerfall und bei Verletzung von Schutzbereichen eine sichere und zuverlässig erfolgende Reaktion einzuleiten.
[0004] Es versteht sich, dass an die Fehlersicherheit solcher Sicherheitsschaltgeräte sehr hohe
Anforderungen gestellt werden. So müssen in der Regel Sicherheitsschaltgeräte zunächst eine entsprechende Zulassung durch eine zulässige Aufsichtsbehörde durchlaufen, bevor sie im industriellen Bereich verwendet werden dürfen. In Deutschland führt beispielsweise die Berufsgenossenschaft oder der TÜV solche Zulassungen durch. Einschlägige Normen zur Funktionalen Sicherheit sind beispielsweise die DIN EN 61508 zur Entwicklung von elektrischen, elektronischen und programmierbar elektronischen (E/E/PE) Systemen oder die EN 6151 1 zur Entwicklung von sicherheitstechnischen Systemen für die Prozessindustrie. U.a. legen diese Normen Sicherheitsanforderungsstufen (SIL) fest, die der Beurteilung von (E/E/PE)-Systemen in Bezug auf die Zuverlässigkeit von Sicherheitsfunk- tionen dienen. Sicherheitsschaltgeräte im Sinne der vorliegenden Erfindung sind solche Geräte die mindestens den Anforderungen eines SIL 2 genügen.
[0005] Eine an sich bekannte und häufig eingesetzte Maßnahme zum Erreichen dieser
erforderlichen Fehlersicherheit ist es, das Sicherheitsschaltgerät mehrkanalig-redundant aufzubauen, wobei sich zumindest zwei Signalverarbeitungskanäle gegenseitig überwachen. Tritt in einem der Signalverarbeitungskanäle ein Fehler auf, ist der zweite Signalverarbeitungskanal in der Lage, diesen zu erkennen und einen für Personen im Bereich der Maschinenanlage gefahrlosen Zustand herbeizuführen. Besondere Aufmerksamkeit muss bei diesem Vorgehen auf mögliche Fehlerursachen gelegt werden, die mehrere oder alle redundante Signalverarbeitungskanäle in gleicher weise beeinflussen (sogenannte Common-Cause-Fehler), da ansonsten die erforderliche Fehlersicherheit nicht gewährleistet werden kann.
[0006] Ein häufig praktiziertes Vorgehen bei der Zulassung von Sicherheitsschaltgeräten durch die zuständigen Aufsichtsbehörden ist es, dass der Konstrukteur oder Hersteller des Sicherheitsschaltgerätes eine eingehende und detaillierte Fehlerbetrachtung vorlegen muss, in der jeder denkbare Fehler erfasst ist. Darin muss bewiesen werden, dass das Sicherheitsschaltgerät auch bei Auftreten des jeweiligen Fehlers in zuverlässiger Weise einen gefahrlosen Zustand für Personen herbeiführen kann. Eine derartige Betrachtung ist insbesondere bei komplexen Sicherheitsschaltgeräten mit zahlreichen Funktionen sehr aufwendig, was sich nachteilig auf die Kosten der Entwicklung und Herstellung auswirkt. Hinzu kommt, dass diese Fehlerbetrachtung auch bei geringen Änderungen am Aufbau oder in der Struktur des Sicherheitsschaltgeräts wiederholt werden muss, da beispielsweise allein durch eine räumlich unterschiedliche Anordnung von an sich gleichen Bauelementen neue Fehlerquellen erzeugt werden können.
[0007] Die eingangs genannte DE 100 53 820 A1 schlägt aus diesem Grund ein elektronisches
Sicherheitsschaltgerät vor, bei dem wesentliche Bestandteile der redundanten Signalverarbeitungskanäle aus integrierten Halbleiterschaltkreisen gebildet werden, die auf einem einzelnen Halbleiterchip angeordnet sind. Diese sogenannte On-Chip-Redundanz, bei der unter Beibehaltung der getrennten Signalverarbeitungskanäle ein einziges integriertes und unveränderbares Bauteil bereitgestellt wird, hat den Vorteil, dass die für die Zulas- sung durch die Aufsichtsbehörde erforderliche Fehlerbetrachtung nur einmalig durchgeführt werden muss. Spätere Überprüfungen können sich anschließend darauf beschränken, die Einhaltung der bei der Entwicklung des Halbleiterchips festgelegten Spezifikationen, insbesondere die Einhaltung von vorgesehenen räumlichen Abmessungen und verwendeten Materialien, quantitativ zu überprüfen.
[0008] Aufgrund der besondere Architekturanforderungen, die bei der Konstruktion und
Entwicklung von Halbleiterchip mit On-Chip-Redundanz berücksichtig werden müssen, sind derartige Chips jedoch oft spezielle Einzelanfertigungen und in der Regel um ein Vielfaches teurer als gängige Halbleiterchips mit redundanten Strukturen, wie beispielsweise moderne Multi-Core-Prozessoren, die für Parallel-Processing verwendet werden. So müssen bei Halbleiterchips mit On-Chip-Redundanz, die für sicherheitskritische Anwendungen verwendet werden, für jeden Kanal und für jedes Überwachungselement, wie zum Beispiel einen Watchdog, separate physikalische Blöcke auf dem Halbleitersubstrat gebildet werden, die in einem definierten Abstand zueinander angeordnet sind und sich so nicht gegenseitig beeinflussen können. Darüber hinaus muss jeder Kanal eigene getrennte Eingänge und Ausgänge besitzen, die nicht durch einen der anderen Blöcke hindurchgeführt werden dürfen. Das Chipdesign wird hierdurch besonders komplex und die integrierten Schaltkreise beanspruchen in der Regel überdurchschnittlich viel Fläche auf einem Halbleitersubstrat, wodurch wiederum die Kosten eines einzelnen Chips steigen.
[0009] Zusätzlich gibt es Anwendungsbereiche in der Sicherheitstechnik, die die Verwendung von Systemen mit On-Chip-Redundanz grundsätzlich ausschließen. So dürfen beispielsweise bei der Verwendung von berührungslos wirkenden Schutzeinrichtungen (BWS) keine Systeme eingesetzt werden, bei denen die Signalverarbeitungseinheiten der einzelnen Kanäle auf einem Halbleitersubstrat angeordnet sind. Solche Schutzeinrichtungen können somit nach heutigem Stand nicht mit bekannten On-Chip-Redundanz- Systemen verwendet werden.
[0010] Es ist daher eine Aufgabe der vorliegenden Erfindung, ein Sicherheitsschaltgerät der eingangs genannten Art anzugeben, das kleinbauend, kostengünstig, effizient und für alle gängigen Schutzeinrichtungen verwendbar ist. [0011] Gemäß einem Aspekt der vorliegenden Erfindung wird diese Aufgabe durch ein eingangs genanntes Sicherheitsschaltgerät gelöst, bei dem der erste Signalverarbeitungskanal monolithisch auf einem ersten Halbleitersubstrat angeordnet ist und der zweite Signalverarbeitungskanal monolithisch auf einem zweiten Halbleitersubstrat angeordnet ist, wobei das erste und das zweite Halbleitersubstrat zu einem Stapel zusammengesetzt sind und ein einstückiges elektronisches Bauteil bilden.
[0012] Es ist somit eine Idee der vorliegenden Erfindung, im Gegensatz zu bekannten On-Chip- Redundanz-Systemen zwei getrennte Halbleitersubstrate zu verwenden, die übereinander gestapelt werden und so ein einzelnes elektronisches Bauelement bilden, in dem die integrierten Schaltkreise des einen Signalverarbeitungskanals eine erste Ebene bilden, die über einer entsprechenden zweiten Ebene mit den integrierten Schaltkreisen des anderen Signalverarbeitungskanals liegt. Die zwei getrennten Halbleitersubstrate liegen vorteilhaft in zwei zueinander parallelen Ebenen, die in einer Richtung orthogonal zu den Ebenen versetzt zueinander sind. Hierbei können die einzelnen integrierten Schaltkreise auf dem jeweiligen Halbleitersubstrat unabhängig voneinander ausgestaltet werden, ohne dass die besonderen Architekturanforderungen, die an integrierte Schaltkreise mit On- Chip-Redundanz gestellt werden, berücksichtigt werden müssen. So kann das Design der integrierten Schaltkreise vereinfacht werden, indem beispielsweise auf ein Standarddesign für integrierte Verarbeitungseinheiten zurückgegriffen wird. Darüber hinaus können die integrierten Schaltkreise effektiv und platzsparenden auf dem jeweiligen Halbleitersubstrat angeordnet werden, ohne spezielle sicherheitstechnische Anforderungen einhalten zu müssen, wodurch wiederum Kosten bei der Fertigung eingespart werden können.
[0013] Die Verwendung von zwei zueinander getrennten Halbleitersubstraten hat darüber hinaus den Vorteil, dass ein derartiges elektronisches Sicherheitsschaltgerät auch für eine sicherheitstechnische Anwendung verwendet werden kann, die aufgrund der Normenlage bisher die Verwendung von Systemen mit On-Chip-Redundanz nicht erlaubt hat. So kann ein solches Sicherheitsschaltgerät insbesondere auch für berührungslos wirkende Schutzeinrichtungen verwendet werden, bei denen bisher auf elektronische Sicherheitsschaltgeräte zurückgegriffen werden musste, deren Signalverarbeitung vollständig getrennt durch separate Bauteile und Halbleiterchips erfolgt. Das neue Sicherheitsschaltgerät ist damit vielseitig und flexible mit gängigen Schutzeinrichtungen verwendbar.
[0014] Darüber hinaus besitzt das neue Sicherheitsschaltgerät den Vorteil, dass der Stapel aus den zwei Halbleitersubstraten zu einem einstückigen Bauteil zusammengefasst werden kann. Einstückig bedeutet in diesem Zusammenhang insbesondere, dass das fertige elektronische Bauteil im Nachhinein nicht mehr veränderbar ist. Mit anderen Worten ist die Struktur des elektronischen Bauteils bereits bei der Entwicklung und Konstruktion in unveränderbarer Form festgelegt, aber das endgültige Bauteil wird im Verlauf des Herstellungsprozesses aus separaten Halbleitersubstraten zu dem einstückigen Bauteil zusammengefügt. Vorzugsweise sind die Halbleitersubstrate in dem Stapel direkt aufeinander- gesetzt und dauerhaft miteinander zu dem einstückigen Bauteil verbunden. Besonders vorteilhaft ist es, wenn das einstückige Bauteil nach dem Zusammensetzen der Halbleitersubstrate zu dem Stapel mit einer Vergussmasse umhüllt wird, die sich formschlüssig um die Halbleitersubstrate legt, so dass ein integriertes, mehrkanaliges Logikbauteil entsteht, das beispielsweise in automatisierten Bestückungsprozessen auf einer Leiterplatte positioniert werden kann. Eine Fehlerbetrachtung bei der Zulassung durch eine Aufsichtsbehörde muss vorteilhaft nur einmalig vorgenommen werden und spätere Überprüfungen können sich auf die Einhaltungen der notwendigen Konstruktionsvorschriften beschränken. Derartige Überprüfungen sind einfacher und kostengünstiger als eine erneute, vollständige Fehlerbetrachtung.
[0015] Insgesamt verbindet das neue Sicherheitsschaltgerät somit die Vorzüge eines On-Chip- Redundanz-Systems mit den Vorteilen eines Systems, das mit zwei eigenständig redundanten Signalverarbeitungssystemen aufgebaut ist. Die oben genannte Aufgabe ist damit vollständig gelöst.
[0016] In einer bevorzugten Ausgestaltung weist der Stapel ein weiteres Halbleitersubstrat auf.
[0017] In dieser Ausgestaltung ist neben dem ersten und dem zweiten Halbleitersubstrat ein weiteres Halbleitersubstrat in dem Stapel angeordnet, welches entweder ähnlich aufgebaut ist wie die anderen Halbleitersubstrate oder aber Strukturen beinhaltet, die anderwei- tige Funktionen wahrnehmen können. So kann auf einfache Weise eine "System-on- Stack" (SoS) aufgebaut werden, welches die relevanten Funktionen eines Sicherheitsschaltgeräts in einem Chip abbilden kann und gleichzeitig eine strukturelle Aufteilung bereitstellt.
[0018] In einer besonders bevorzugten Ausgestaltung weist das erste Halbleitersubstrat eine erste Signalverarbeitungseinheit, das zweite Halbleitersubstrat eine zweite Signalverarbeitungseinheit und das weitere Halbleitersubstrat eine Steuer- und Speicherstruktur auf, wobei die erste und die zweite Signalverarbeitungseinheit mit der Steuer- und Speicherstruktur gekoppelt sind.
[0019] In dieser Ausgestaltung ist die weitere Halbleiterschicht als Steuer- und Speicherstruktur ausgebildet, die beispielsweise einen Komparator, einen "Watchdog", Schnittstellen zur Peripherie oder RAM/ROM-Speicher beinhalten kann. Durch diese Maßnahme können die Signalverarbeitungseinheiten besonders einfach aufgebaut werden und ggf. auf ein Standarddesign zurückgreifen, wobei gemeinsam genutzte Elemente auf dem weiteren Halbleitersubstrat angeordnet sein können. So lassen sich verschiedene Komponenten zu einem "System-On-Stack " kombinieren, um robuste und kostengünstige Sicherheitsschaltgeräte zu realisieren. Darüber hinaus können durch die Anordnung der weiteren Elemente eines Sicherheitsschaltgerätes innerhalb des einstückigen Bauteils weitere Fehlerursachen von vorneherein zuverlässig ausgeschlossen werden. Insbesondere Verkabelungsfehler, wie sie bei der Verkabelung von diskreten Bauteilen mit Leiterkabeln auftreten können, können so vermieden werden.
[0020] In einer weiteren besonders bevorzugten Ausgestaltung ist das weitere Halbleitersubstrat in dem Stapel zwischen dem ersten und dem zweiten Halbleitersubstrat angeordnet.
[0021] In dieser Ausgestaltung bedeckt das erste Halbleitersubstrat eine erste Seite des weiteren
Halbleitersubstrats und das zweite Halbleitersubstrat eine der ersten Seite gegenüberliegende Seite des weiteren Halbleitersubstrats. Mit anderen Worten ist der Stapel wie ein Schichtsystem aufgebaut, wobei das weitere Halbleitersubstrat eine mittlere Schicht bildet. Vorzugsweise bedecken das erste und das zweite Halbleitersubstrat das weitere Halbleitersubstrat auf der jeweiligen Seite vollständig. Durch diese Maßnahme ist die mittlere Schicht, insbesondere darauf angeordnete Speicherstrukturen, physikalisch durch die erste und die zweite Halbleitersubstratschicht geschützt, so dass Teilchen- und Welleneinflüsse auf die mittlere Schicht minimiert werden können. Vorteilhaft können so "empfindliche" RAM-Speicher zuverlässig vor äußeren Einflüssen geschützt werden.
In einer weiteren Ausgestaltung sind das erste und das zweite Halbleitersubstrat voneinander räumlich beabstandet im Stapel angeordnet.
In dieser Ausgestaltung liegen das erste und zweite Halbleitersubstrat also nicht unmittelbar aufeinander im Stapel, sondern sind räumlich voneinander getrennt. Diese Maßnahme hat den Vorteil, dass die integrierten Halbleiterstrukturen der Halbleitersubstrate beabstandet voneinander angeordnet werden können, wodurch ein Übersprechen von Signalen oder Kurzschlüsse zwischen den Verarbeitungseinheiten physikalisch vermieden werden.
In einer weiteren Ausgestaltung sind zwischen dem ersten und dem zweiten
Halbleitersubstrat eine Isolationsschicht und/oder ein weiteres Halbleitersubstrat angeordnet.
Diese Maßnahme hat den Vorteil, dass das erste und das zweite Halbleitersubstrat in einem definierten Abstand zueinander angeordnet werden können. So kann eine Isolationsschicht eingefügt werden, um die beiden Halbleitersubstrate elektrisch voneinander zu entkoppeln, wodurch ein Übersprechen und Kurzschlüsse zwischen den integrierten Halbleiterstrukturen ausgeschlossen werden können. Insbesondere kann auch ein weiteres Halbleitersubstrat zwischen dem ersten und dem zweiten Halbleitersubstrat angeordnet sein, welches Funktionen wahrnimmt, die von den Halbleiterschaltkreisen auf dem ersten Halbleitersubstrat und/oder dem zweiten Halbleitersubstrat verwendet werden. Es versteht sich, dass auch eine Kombination bestehend aus Isolationsschichten und Halbleitersubstraten als Zwischenschicht verwendet werden kann, um die genannten Vorteile zu verbinden. In einer weiteren Ausgestaltung weist der Stapel mindestens zwei Halbleitersubstrate und mindestens ein vertikales Kontaktelement auf, wobei das vertikale Kontaktelement die mindestens zwei Halbleitersubstrate elektrisch verbindet.
In dieser Ausgestaltung sind die intergierten Halbleiterstrukturen auf unterschiedlichen Halbleitersubstraten angeordnet, jedoch über vertikale Kontaktelement innerhalb des Stapels verbindbar. Diese Maßnahme besitzt den Vorteil, dass die Halbleiterschaltkreise auf dem ersten und dem zweiten Halbleitersubstrat auf einfache Weise miteinander verbunden werden können, um beispielsweise eine Interprozess-Kommunikation zu ermöglichen und eine Überwachung der einzelnen Signalverarbeitungskanäle durch den jeweils anderen Signalverarbeitungskanal zu ermöglichen.
Alternativ hierzu wäre es auch denkbar, die redundanten Signalverarbeitungskanäle extern, d.h. außerhalb der Halbleitersubstrate, zum gegenseitigen Datenaustausch miteinander zu verbinden. Demgegenüber besitzt die bevorzugte Maßnahme jedoch den Vorteil, dass eine Fehlerbetrachtung zum gegenseitigen Datenaustausch ebenfalls nur einmalig bei der Entwicklung des Chipstapels durchgeführt werden muss und Fehler bei der Installation des Signalverarbeitungskanals reduziert werden können. Darüber hinaus ist ein interner Datenaustausch über vertikale Kontaktelemente schneller und freier von störenden Umwelteinflüssen möglich.
In einer weiteren Ausgestaltung weist das erste Halbleitersubstrat eine erste
Signalverarbeitungseinheit und das zweite Halbleitersubstrat eine zweite Signalverarbeitungseinheit auf, wobei die erste Signalverarbeitungseinheit einen zur zweiten Signalverarbeitungseinheit zeitlich verschobenen Arbeitszyklus aufweist.
In dieser Ausgestaltung weisen die erste und die zweite Signalverarbeitungseinheit einen Prozessortakt auf, der einen festen, vorzugsweise gleichen, Arbeitszyklus der Signalverarbeitungseinheiten definiert. Der Arbeitszyklus der ersten Signalverarbeitungseinheit ist dabei gegenüber dem Arbeitszyklus der zweiten Signalverarbeitungseinheit wenigsten um einen Takt versetzt. Diese Maßnahme hat den Vorteil, dass auf einfache Weise Fehler aufgrund gemeinsamer Ursache besser erkannt werden können. So können synchron auftretende Fehler, wie beispielsweise eine gleichzeitige Spannungsspitze in beiden
Signalverarbeitungskanälen, durch den zeitlichen Versatz bei der Verarbeitung der Signale durch die Signalverarbeitungseinheiten aufgedeckt werden. Vorzugsweise arbeiten beide Signalverarbeitungseinheiten mit einem einheitlichen Prozessortakt, der für den zeitlichen Versatz um eine Phase verschoben ist.
[0031] In einer weiteren Ausgestaltung weist das Sicherheitsschaltgerät eine erste
Spannungsversorgung und eine zweite Spannungsversorgung auf, die von der ersten getrennt ist, wobei die erste Spannungsversorgung dem ersten Halbleitersubstrat zugeordnet ist und die zweite Spannungsversorgung dem zweiten Halbleitersubstrat zugeordnet ist.
In dieser Ausgestaltung werden das erste und das zweite Halbleitersubstrat jeweils von einer getrennten Spannungsversorgung versorgt, die darüber hinaus vorzugsweise über eine eigene Überwachungsschaltung verfügt, um sie vor Überspannungen zu schützen. Diese Maßnahme hat den Vorteil, dass für jedes Halbleitersubstrat mit seinen integrierten Schaltkreisen je eine eigene Spannungsversorgung zur Verfügung steht und das Risiko eines Ausfalls aufgrund einer fehlerhaften Spannungsversorgung oder einer unerwarteten Überspannung minimiert werden kann. Durch diese Maßnahme wird die Fehlersicherheit des Sicherheitsschaltgerätes weiter erhöht.
[0033] Es versteht sich, dass die vorstehend genannten und die nachstehend noch zu
erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.
[0034] Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen:
Figur 1 eine vereinfachte Darstellung eines bevorzugten Ausführungsbeispiels des
neuen Sicherheitsschaltgeräts an einer Maschinenanlage, Figur 2 eine perspektivische Darstellung eines Ausführungsbeispiels eines einstückigen elektronischen Bauteils des neuen Sicherheitsschaltgeräts,
Figur 3 eine schematische Darstellung eines Ausführungsbeispiels eines Chipstapels des neuen Sicherheitsschaltgeräts, und
Figur 4 eine schematische Darstellung eines bevorzugten Ausführungsbeispiels eines Chipstapels des neuen Sicherheitsschaltgeräts.
[0035] In der Fig. 1 ist ein Ausführungsbeispiel des neuen elektronischen Sicherheitsschaltgeräts in der Gesamtheit mit der Bezugsziffer 10 bezeichnet.
[0036] Das Sicherheitsschaltgerät ist in diesem Ausführungsbeispiel einer technischen Anlage 12 zugeordnet, die hier beispielhaft durch einen Roboter 14 angedeutet ist. Von dem Roboter 14 geht im Arbeitsbetrieb eine Gefahr für eine Person aus, welche sich im Arbeitsbereich des Roboters 14 aufhält. Aus diesem Grunde ist der Arbeitsbereich des Roboters 14 mit einer Schutzeinrichtung 16 gegenüber unberechtigtem Zugang abgesichert. Die Schutzeinrichtung 16 ist in dem hier dargestellten Fall eine berührungslos wirkende Schutzeinrichtung in Form eines Lichtgitters 18, das so im Zugangsbereich zur technischen Anlage 12 angeordnet ist, dass eine Person oder ein Gegenstand, der in den Zugangsbereich eindringt, mindestens einen von einer Vielzahl von Lichtstrahlen unterbricht, die zwischen einer Sender-/Empfängerkombination des Lichtgitters 18 ausgesandt werden.
[0037] Über Leitungen 20 ist das Lichtgitter 18 mit dem Sicherheitsschaltgerät 10 verbunden und führt diesem Eingangssingale in Abhängigkeit des aktuellen Zustande zu. Bei einer aktiven Schutzeinrichtung, wie das hier dargestellte Lichtgitter 18, werden redundante Eingangssignale, sogenannte OSSD-Signale, von der Schutzeinrichtung selbstständig erzeugt und zum Sicherheitsschaltgerät 10 übertragen. Passive Schutzeinrichtungen, wie der hier dargestellte Not-Aus-Taster 22, bekommen in der Regel ein Ausgangssignal von der Sicherheitssteuerung 10 zugeführt und schleifen dieses als Eingangssignal zurück an das Sicherheitsschaltgerät 10. [0038] Das Sicherheitsschaltgerät 10 besitzt in diesem Ausführungsbeispiel eine E/A-Einheit 24 mit einer Vielzahl von Geräteanschlüssen zum Aufnehmen der Eingangssignale und zum Bereitstellen von Ausgangssignalen. In einigen Ausführungsbeispielen sind diese Geräteanschlüsse Anschlussklemmen, die an einer Gehäuseseite des Gehäuses 26 des Sicherheitsschaltgeräts 10 angeordnet sind, beispielsweise in Form von Federzugklemmen oder Schraubklemmen. In anderen Ausführungsbeispielen können die Geräteanschlüsse Stecker oder Buchsen sein, die mehrere Kontaktelemente beinhalten, wobei jeweils ein Pin einen Geräteanschluss bildet. Häufig werden M8-Buchsen mit fünf Kontaktpins für den Anschluss von Schutzeinrichtungen oder anderen Sensoren auf Feldebene verwendet.
[0039] In dem hier dargestellten Fall erzeugt das Lichtgitter 18 zwei redundante Eingangssignale
(OSSD1 , OSSD2), die über getrennte Leitungen 20 dem Sicherheitsschaltgerät 10 zugeführt werden. In anderen Ausführungsbeispielen können die Eingangssignale ebenso über zwei Adern eines einzelnen Verbindungskabels übertragen werden. Ebenso ist es denkbar, dass die Eingangssignale über einen Bus, beispielsweisen einen sicheren Feldbus, zum Sicherheitsschaltgerät 10 übertragen werden. In solch einem Fall ist die E/A-Einheit 24 als ein Kommunikationsmodul ausgebildet, welches das Protokoll des verwendeten Busses implementiert. Die Eingangssignale können von dem Kommunikationsmodul ausgelesen und dem Sicherheitsschaltgerät 10 als redundantes Eingangssignalpaar bereitgestellt werden.
[0040] Das Sicherheitsschaltgerät 10 besitzt in dem vorliegenden Ausführungsbeispiel einen ersten Signalverarbeitungskanal 28 und einen zweiten Signalverarbeitungskanal 30, die redundant zueinander ausgelegt sind, und dazu ausgebildet sind, die Eingangssignale einer Schutzeinrichtung 16, 22 redundant zueinander auszuwerten. Die beiden Signalverarbeitungskanäle 28, 30 sind zumindest teilweise mithilfe von integrierten Halbleiterstrukturen aufgebaut, wobei die integrierte Halbleiterstruktur des ersten Signalverarbeitungskanals 28 auf einem ersten Halbleitersubstrat 32 und die integrierte Halbleiterstruktur des zweiten Signalverarbeitungskanals 30 auf einem zweiten Halbleitersubstrat 34 angeordnet sind. Das erste und zweite Halbleitersubstrat 32, 34 sind zu einem Chipstapel 36 zusam- mengefasst und zu einem einstückigen elektronischen Bauteil 38 in an sich bekannter Weise vergossen. [0041] In bevorzugten Ausführungsbeispielen sind alle wesentlichen Bestandteile eines
Signalverarbeitungskanals mithilfe der integrierten Halbleiterstrukturen auf einem Halbleitersubstrat aufgebaut und die Halbleitersubstrate zu einem Stapel 36 zusammengefügt. So beinhaltet ein Chipstapel 36 vorzugsweise Ein- und Ausgänge, zentrale Verarbeitungseinheiten, Speicher, Komparatoren und A/D-Wandler, mit deren Hilfe die Eingangssignale fehlersicher verarbeitet werden können. Alternativ oder ergänzend können die Signalverarbeitungskanäle 28, 30 zudem weitere diskrete Bauelemente aufweisen, die nicht als integrierte Halbleiterstruktur ausgebildet sind. In dem hier dargestellten Fall besitzt das Sicherheitsschaltgerät 10 beispielsweise je Signalverarbeitungskanal 28, 30 ein Schaltelemente 40a, 40b, die je in der Lage sind, ein hohes Spannungspotential 42 zu einem Geräteanschluss 44a, 44b des Sicherheitsschaltgerätes 10 durchzuschalten, um einen Stromfluss zu einem Schütz 46a, 46b zu ermöglichen, oder diesen Stromfluss zu unterbrechen. Damit kann jedes Schaltelement 40 einen Aktor, wie einen Schütz 46, oder ein Magnetventil abschalten.
[0042] Die Schütze 46a, 46b besitzen jeweils Arbeitskontakte 48a, 48b. Die Arbeitskontakte 48a,
48b sind hier in Reihe zueinander in einem Stromversorgungspfad von einer Stromversorgung 50 zum Roboter 14 angeordnet. Sobald das Sicherheitsschaltgerät 10 die Schütze 46a, 46 abschaltet, fallen die Kontakte 48 ab und die Stromversorgung 50 für den Roboter 14 wird abgeschaltet. Den einschlägigen Fachleuten ist klar, dass eine solche "radikale" Abschaltung hier beispielhaft beschrieben ist. Abweichend hiervon können bei einer Sicherheitsanforderung auch lediglich Teile des Roboters 14 abgeschaltet werden, wie etwa die gefährlichen Antriebe, während andere Teile des Roboters 14 funktionsbereit bleiben. Auch ein verzögertes Abschalten ist denkbar, damit der Roboter 14 ggf. vor dem Abschalten der Antriebe kontrolliert abgebremst werden kann.
[0043] Es versteht sich, dass Sicherheitsschaltgeräte nicht auf die hier dargestellte
Ausführungsform beschränkt sind. Sicherheitsschaltgeräte im Sinne der Erfindung umfassen beispielsweise auch konfigurierbare Sicherheitsschaltgeräte, programmierbare Sicherheitssteuerungen oder sichere Module einer Standardsteuerung. In der Fig. 2 ist ein Ausführungsbeispiel eines einstückigen elektronischen Bauteils 38 in einer stark vereinfacht Darstellung gezeigt. Gleiche Bezugszeichen bezeichnen hierbei gleiche Teile wie zuvor in der Fig. 1 .
Das einstückige elektronische Bauteil 38 ist hier als Mikrochip mit einem Dual-Inline- Package-(DIP)-Gehäuse realisiert. Innerhalb des DIP-Gehäuses ist ein Chipstapel 36 mit einem ersten Halbleitersubstrat 32 und einem zweiten Halbleitersubstrat 34 auf einem Träger 52 angeordnet. Über geeignete Verbindungstechnik, wie Bonden, sind die Halbleiterstrukturen auf den beiden Halbleitersubstraten 32, 34 mit Leiterbahnen 54 verbunden. Die Leiterbahnen 54 sind wiederum mit Kontaktpins 56 verbunden, über die die Halbleiterstrukturen von außen kontaktierbar sind. Über die Kontaktpins 56 können beispielsweise die Eingangssignale an die integrierten Halbleiterstrukturen auf den Halbleitersubstraten 32, 34 herangeführt bzw. die Ausgangssignale nach außen geführt werden.
[0046] Abweichend von herkömmlichen elektronischen Bauteilen sind bei dem neuen
Sicherheitsschaltgerät mindestens zwei Halbleitersubstrate 32, 34 innerhalb des elektronischen Bauteils 38 angeordnet. Die Halbleitersubstrate 32, 34 sind vorzugsweise deckend übereinander gestapelt, so dass sie einen quaderförmigen Stapel 36 bilden. Jedes Halbleitersubstrat beinhaltet dabei eine eigenständige Halbleiterstruktur, die einen Signalverarbeitungskanal abbildet. Eine Kopplung der integrierten Halbleiterstrukturen des ersten Halbleitersubstrats 32 mit den Halbleiterstrukturen des zweiten Halbleitersubstrats 34 kann innerhalb des elektronischen Bauteils 38 über die Leiterbahnen 54 auf dem Träger 52 innerhalb des DIP-Gehäuses realisiert werden, oder aber über eine Verbindung zwischen den Anschlusspins 56 außerhalb des Gehäuses. Besonders bevorzugt werden die integrierten Halbleiterstrukturen jedoch bereits innerhalb des Stapels 36 miteinander gekoppelt. Wie im Folgenden anhand der Fig. 3 näher erläutert wird, werden hierzu vertikale Verbindungen parallel zur Hochachse 58 des Chipstapels 36 in den Halbleitersubstraten 32, 34 integriert.
[0047] Das DIP-Gehäuse wird am Ende der Fertigung mit einem hier nicht darstellen Deckelteil versehen. Das Deckelteil wird über den Leiterbahnen 54 und den Chipstapel 36 aufgebracht. Die Leiterbahnen 54 und den Chipstapel 36 sind somit im Inneren des DIP- Gehäuses fest verschlossen angeordnet und so vor Veränderungen und Umwelteinflüssen sicher geschützt. Ebenso ist eine nachträgliche Änderung der Struktur der Signalverarbeitungskanäle oder deren Koppelung nicht mehr oder nur eingeschränkt möglich.
[0048] Es versteht sich, dass ein DIP-Gehäuse, wie hier dargestellt, nur eine mögliche
Gehäuseform ist, in die ein hier beschriebener Chipstapel 36 angeordnet sein kann und nicht einschränkend zu verstehen ist. Andere gängige Gehäuseformen, wie beispielsweise ein Small-Outline-(SO)-Gehäuse in SMD-Technik, sind für die Konstruktion eines hier vorgeschlagenen einstückigen elektronischen Bauteils ebenso denkbar. Eine Verpackung des ungehäusten Chipstapels 36 könnte darüber hinaus in einem andere Ausführungsbeispiel auch durch eine Vergussmasse realisiert werden, die den Chipstapel 36 umhüllt und sich formschlüssig um die Halbleitersubstrate 32, 34 legt. Durch die Verpackung in einem Gehäuse und/oder durch eine Vergussmasse entsteht ein integriertes, mehrkanali- ges Logikbauteil, das beispielsweise in automatisierten Bestückungsprozessen auf einer Leiterplatte positioniert werden kann.
[0049] Fig. 3 zeigt ein Ausführungsbeispiel eines Chipstapels 36 in einer vereinfachten
schematischen Darstellung. Der Chipstapel 36 beinhaltet in diesem Ausführungsbeispiel ein erstes und ein zweites Halbleitersubstrat 32, 34, die übereinander zu einem Stapel angeordnet sind. Auf den Halbleitersubstraten 32, 34 sind jeweils Halbleiterstrukturen angeordnet, die als monolithischer Schaltkreis eine elektronische Schaltung mit aktiven und passiven Bauelementen abbilden. In dem hier dargestellten Fall sind auf dem ersten Halbleitersubstrat 32 eine elektronische Schaltung eines ersten Signalverarbeitungskanals 28 angeordnet und auf dem zweiten Halbleitersubstrat 34 eine elektronische Schaltung eines zweiten Signalverarbeitungskanals 30.
[0050] Bei der Fertigung können die Halbleitersubstrate 32, 34 zunächst unabhängig
voneinander hergestellt und mit einer entsprechenden Halbleiterstruktur versehen werden. Denkbar ist auch, dass beide Halbleitersubstrate 32, 34 zunächst ein Teil eines gemeinsamen Basis-Halbleitersubstrats sind, auf dem gleichzeitig mehrere Halbleiterstrukturen für verschiedene Chips ausgebildet werden. Anschließend wird das Basis- Halbleitersubstrat in mehrere einzelne Chips zerteilt, die wiederum zu einem Chipstapel übereinander gesetzt werden. Zur Vermeidung von Common-Cause-Fehlern kommen die einzelnen Halbleitersubstrate des Chipstapels 36 jedoch vorzugsweise aus unterschiedlichen Fertigungstranchen.
[0051] Der Chipstapel 36 ist nicht auf die Verwendung bestimmter Halbleitersubstrate und
Ausgangsmaterialien beschränkt. Neben gängigen Siliziumhalbleitern können bspw. auch organische Halbleiter, sogenannte Plastikelektronik, verwendet werden. Vorzugsweise weist der Chipstapel 36 sehr dünne Halbleitersubstrate auf, wobei durch die Stapelung eine ausreichende Stabilität erreicht werden kann. Ebenso müssen die Halbleitersubstrate nicht zwangsläufig identisch sein. Denkbar ist auch eine Konstruktion mit Halbleitersubstraten mit unterschiedlichen Materialdicken. Beispielsweise könnte eine Basisschicht aus einem dickeren Halbleitersubstrat gebildet sein als die weiteren Schichten des Stapels 36, um eine stabile Basis für den Stapel 36 bereitzustellen.
[0052] Die integrierten Halbleiterstrukturen auf den Halbleitersubstraten sind zunächst
unabhängig voneinander und werden erst nach dem Stapeln miteinander gekoppelt. Die Koppelung erfolgt extern oder innerhalb des Stapels durch vertikale Kontaktelemente 60. In dem hier dargestellten Fall weist der Chipstapel 36 für die Kopplung mehrere vertikale Kontaktelemente 60 auf. Die vertikalen Kontaktelemente 60 sind Leiter die parallel zur Stapelrichtung 62 des Chipstapels 36 ausgebildet sind. Die vertikalen Kontaktelemente 60 werden auch als "Through Silicon Vias" (TSV) bezeichnet und stellen eine elektrische Verbindung zwischen zwei Halbleitersubstraten her. Die vertikalen Kontaktelemente 60 sind Löcher oder Aussparungen in den Halbleitersubstraten, die durch Bohrungen oder spezielle Ätzverfahren erzeugt werden. Die Löcher in den Halbleitersubstraten kontaktieren die Halbleiterstrukturen im Halbleitersubstrat und reichen zumindest an einer Seite des Halbleitersubstrats bis an die Oberfläche. Die Löcher sind mit leitfähigem Material, wie Kupfer oder Aluminium, gefüllt und werden beim Stapel der Halbleitersubstrate bündig übereinander angeordnet, so dass das leitfähige Material in einem Loch des ersten Halbleitersubstrats 32 mit dem leitfähigen Material eines weiteren Lochs im zweiten Halbleitersubstrat 34 in elektrischen Kontakt tritt. Auf diese Weise können direkte Verbindung zwischen den Halbleiterstrukturen des ersten Halbleitersubstrats 32 und des zweiten Halbleitersubstrats 34 erzeugt werden, wodurch eine nahezu latentzfreie Interprozess- kommunikation zwischen den beiden Halbleiterstrukturen möglich ist. [0053] Es versteht sich, dass alternativ eine Verbindung zwischen den Halbleitersubstraten 32, 34, wie zu vor in Bezug auf Fig. 2 beschrieben, auch außerhalb des Chipstapels 36 erstellen werden kann. Hierzu werden die Kontakte der Halbleiterstrukturen auf den Halbleitersubstraten nach außen geführt und vorzugweise noch innerhalb des einstückigen Bauteils miteinander verbunden.
[0054] Zur Kontaktierung der Halbleiterstrukturen des ersten Halbleitersubstrats 32 sind hier illustrativ auf der Oberfläche des ersten Halbleitersubstrats 32 erste Kontaktflächen 64 angeordnet, die über Bonddrähte 66 in an sich bekannter Weise kontaktierbar sind. In diesem bevorzugten Ausführungsbeispiel sind darüber hinaus zweite Kontaktflächen 68 auf der Oberfläche des ersten Halbleitersubstrats 32 angeordnet, über die die Halbleiterstrukturen des zweiten Halbleitersubstrats 34 kontaktierbar sind. Die zweiten Kontaktflächen 68 sind hierzu über weitere vertikale Kontaktelement 70 in der zuvor beschriebenen Weise mit den Halbleiterstrukturen des zweiten Halbleitersubstrats 34 verbunden. Vorteilhaft können so die gängigen Verfahren zur Kontaktierung von ungehäusten Halbleiterchips auch für die Kontaktierung des ungehäusten Chipstapels 36 genutzt werden. Alternativ oder ergänzend können auch Kontaktflächen auf dem zweiten Halbleitersubstrat ausgebildet sein, die nach außen kontaktierbar sind.
[0055] Alternativ zu den Bonddrähten 66 sind andere Möglichkeiten zur Kontaktierung des
ungehäusten Chipstapels 36 denkbar, wie beispielsweise eine Flip-Chip-Montage, auch bekannt als controlied collapse chip connection (C4). Bei der Flip-Chip-Montage wird der ungehäuste Chipstapel 36 direkt, ohne weitere Anschlussdrähte, mit der aktiven Kontak- tierungsseite eines der Halbleitersubstrate 32, 34 nach unten hin auf einem Träger montiert. Dies führt zu besonders geringen Abmessungen des Gehäuses und kurzen Leiterlängen. Kurzschlüsse durch sich berührende Bonddrähte können so besonders einfach und effektiv ausgeschlossen werden. Darüber hinaus erfolgt bei der Flip-Chip- Bondtechnik die Verbindung aller Kontakte gleichzeitig, wodurch die Fertigungszeit verringert werden kann. Um die Chips zu bonden, kann neben Löten und leitfähigem Kleben auch Pressschweißen (thermode bonding) als Fügeverfahren angewendet werden. Die Flip-Chip-Montage hat darüber hinaus den Vorteil, dass in der Regel beim Kontaktieren nur eine geringe mechanische Belastung auf den zu kontaktierenden Chip ausgeübt wird. So können auch sehr dünne und poröse Halbleitersubstrate 32, 34 zur Erstellung des Chipstapels 36 eingesetzt werden. Ein mit dem Flip-Chip-Verfahren
montierte Chip wird in der Regel nicht mehr separat umhaust, sondern mit einer Legierung oder Füllmasse versehen, zum Schutz vor Umwelteinflüssen und Veränderungen. Eine derartiges "Gehäuse" ist besonders kostengünstig in der Fertigung.
[0056] Fig. 4 zeigt ein besonders bevorzugtes Ausführungsbeispiel eines Chipstapels 36 in einer vereinfachten schematischen Darstellung. Der Chipstapel 36 wird in diesem Ausführungsbeispiel aus einem ersten Halbleitersubstrat 32, einem zweiten Halbleitersubstrat 34 sowie einem weiteren Halbleitersubstrat 72 gebildet. Das erste Halbleitersubstrat 32 und das zweite Halbleitersubstrat 34 sind im Wesentlichen identisch aufgebaut. So beinhaltet das erste Halbleitersubstrat 32 als integrierte Halbleiterstruktur eine erste Signalverarbeitungseinheit 74 und das zweite Halbleitersubstrat 34 als integrierte Halbleiterstruktur eine zweite Signalverarbeitungseinheit 76.
[0057] In einem besonders bevorzugten Ausführungsbeispiel sind die erste und zweite Signalverarbeitungseinheit 74, 76 funktionsgleich jedoch diversitär zueinander aufgebaut, um das Risiko von Fehlern gemeinsamer Ursache bei der Signalverarbeitung verringern zu können. Die erste Signalverarbeitungseinheit 74 ist dem ersten Signalverarbeitungskanal 28 zugeordnet und die zweite Signalverarbeitungseinheit 76 ist dem zweiten Signalverarbeitungskanal 30 zugeordnet. Die erste und die zweite Signalverarbeitungseinheit 74, 76 verarbeiten parallel das Eingangssignal und erzeugen unabhängig voneinander ein Ausgangssignal in Abhängigkeit des Eingangssignals. Vorzugsweise sind auf dem ersten und dem zweiten Halbleitersubstrat 32, 34 ausschließlich die erste und zweite Signalverarbeitungseinheit 74, 76 angeordnet.
[0058] Die erste und zweite Signalverarbeitungseinheit 74, 76 arbeiten als fehlertolerantes
System zusammen und verarbeiten parallel das Eingangssignal. Eine solche Redundanz wird auch als Dual Modular Redundancy (DMR) bezeichnet und stellt eine hohe Robustheit gegenüber Fehlern bereit. DMR-Systeme können Fehler zuverlässig erkennen, jedoch nicht ohne weiteres feststellen, in welchem Kanal ein Fehler aufgetreten ist.
Aufgrund dessen könnte in einem anderen Ausführungsbeispiel das Sicherheitsschaltgerät mindestens eine weitere Signalverarbeitungseinheit aufweisen, vorzugsweise ebenfalls integriert in dem einstückigen elektronischen Bauteil, wodurch eine dreifache Redun- danz gebildet wird. Systeme mit dreifacher Redundanz werden auch als Triple Modular Redundancy (TMR) Systeme bezeichnet und beispielsweise in Luftfahrzeugen oder bei Systemen mit hohen Anforderungen an die Verfügbarkeit eingesetzt. TMR-Systeme können Fehler nicht nur erkennen, sondern basierend auf dem Mehrheitsprinzip auch beheben.
[0059] Die Signalverarbeitungseinheiten 74, 76 werden in diesem Ausführungsbeispiel ferner je mit einem eigenen Prozessortakt 88 betrieben. Vorzugsweise sind der Prozessortakt der ersten und zweiten Signalverarbeitungseinheiten 74, 76 zueinander phasenverschoben. So bearbeiten die Signalverarbeitungseinheiten 74, 76 das Eingangssignal parallel jedoch mit einem geringen zeitlichen Versatz. Auf diese Weise kann die Fehlersicherheit weiter erhöht werden, da eine auf beiden Kanälen gleichzeitig auftretende Störung, wie beispielsweise eine kurze Spannungsspitze zu verlässig erkannt werden kann.
[0060] Darüber hinaus ist das weitere Halbleitersubstrat 72 ist in diesem bevorzugten
Ausführungsbeispiel zwischen dem ersten Halbleitersubstrat 32 und dem zweiten Halbleitersubstrat 34 angeordnet. Das weitere Halbleitersubstrat 72 weist eine oder mehrere getrennte integrierte Halbleiterstrukturen auf, die eine Steuer- und Speicherstruktur bilden, die mit den integrierten Halbleiterstrukturen des ersten Halbleitersubstrats 32 und/oder des zweiten Halbleitersubstrats 34 gekoppelt sein kann. Die Steuer- und Speicherstruktur beinhaltet in dem hier dargestellten Beispiel einen Komparator 78, Speicherbereiche 80 und einen "Watchdog" 82, die bei der Signalverarbeitung unterstützen oder eine ordnungsgemäße Funktion der Signalverarbeitungseinheiten 74, 76 überwachen können.
[0061] Der Komparator 78 ist beispielsweise ein elektronischer Schaltkreis, der zwei digitale
Werte vergleicht. Der "Watchdog" 82 ist ein integrierter Schaltkreis, der einem Komplettausfall des elektronischen Bauteils durch Softwareversagen zuvorzukommen kann. So ist der "Watchdog" beispielsweise als Zähler ausgebildet, der in regelmäßigen Abständen von der Software auf einen bestimmten Wert gesetzt wird und hardwareseitig kontinuierlich dekrementiert wird. Sollte der Zähler den Wert 0 erreichen, ist von einem Versagen der Software auszugehen und der "Watchdog" führt eine vorbestimmte Reaktion aus, die hier insbesondere zum Auslösen der Sicherheitsfunktion des Sicherheitsschaltgeräts führt. Die Speicherbereich 80 können beispielweise Arbeitsspeicher für die Verarbei- tungseinheiten 74, 76 oder Festwertspeicher mit hinterlegten Parametern des Sicherheitsschaltgeräts sein.
Es versteht sich, dass das weitere Halbleitersubstrat 72, wie hier dargestellt, nicht zwangsläufig zwischen dem ersten und dem zweiten Halbleitersubstrat 32, 34 in dem Chipstapel 36 angeordnet sein muss. Alternativ könnte das weitere Halbleitersubstrat 72 auch oberhalb oder unterhalb des ersten und des zweiten Halbleitersubstrats 32, 34 angeordnet sein. Die hier dargestellte Anordnung ist besonders bevorzugt, wenn sowohl die erste als auch die zweite Signalverarbeitungseinheit 74, 76 mit der Steuer- und Speicherstruktur des weiteren Halbleitersubstrats 72 gekoppelt sind. Darüber hinaus ist durch die nahezu vollständige Abdeckung des weiteren Halbleitersubstrats 72 durch das erste und zweite Halbleitersubstrat 32, 34 ein besonders guter Schutz gegen Strahlen- und Welleneinflüsse möglich.
[0063] Eine Kopplung der integrierten Halbleiterstrukturen auf dem ersten, zweiten und dem
weiteren Halbleitersubstrat 32, 34, 72 erfolgt, wie zuvor mit Bezug auf Fig. 3 beschrieben, über vertikale Kontaktelemente 60. Ebenso kann eine Kontaktierung der Halbleitersubstrate wie zuvor beschrieben über Kontaktflächen an der Oberfläche und weitere vertikale Kontaktelemente erfolgen (hier nicht dargestellt).
[0064] Beispielhaft ist im hier dargestellten Fall der Komparator 78 sowohl mit der ersten
Signalverarbeitungseinheit 74 auf dem ersten Halbleitersubstrat 32 und mit der zweiten Signalverarbeitungseinheit 76 auf dem zweiten Halbleitersubstrat 34 gekoppelt. Auf diese Weise können die Signalverarbeitungseinheiten 74, 76 sehr effizient und homogen und mit nahezu beliebiger Breite mit dem Komparator 78 verbunden werden. In einem einzelnen Arbeitszyklus kann so nahezu latenzfrei ein Vergleich von Werten zwischen der ersten Signalverarbeitungseinheit 74 und der zweiten Signalverarbeitungseinheit 76 durchgeführt werden.
[0065] Hinsichtlich der Speicherbereiche 80 können die Kontaktelemente 60 so angeordnet sein, dass die erste Signalverarbeitungseinheit 74 exklusiv auf einen ersten Speicherbereich 80a zugreifen kann und die zweite Signalverarbeitungseinheit 76 exklusiv auf einen zweiten Speicherbereich 80b zugreifen kann. Der "Watchdog" 82 kann wiederum vorteilhaft mit beiden Signalverarbeitungseinheiten 74, 76 verbunden sein und deren korrekte Funktionsweise überwachen. Darüber hinaus ist es auch in dieser Konstellation möglich, dass das erste Halbleitersubstrat 32 unmittelbar mit dem zweiten Halbleitersubstrat 34 verbunden ist, indem ein vertikales Kontaktelement von dem ersten Halbleitersubstrat 32 durch das weitere Halbleitersubstrat 72 zum zweiten Halbleitersubstrat 34 geführt ist.
[0066] Abweichend von der Darstellung in Fig. 4 können das erste, zweite und weitere Halbleitersubstrat 32, 34, 72 darüber hinaus unterschiedliche Materialeigenschaften und insbesondere unterschiedliche Substratdicken aufweisen. Vorzugsweise ist das weitere Halbleitersubstrat 72 dicker als das erste und das zweite Halbleitersubstrat 32, 34, um eine Abschirmung der beiden Signalverarbeitungseinheiten 74, 76 voneinander zu ermöglichen. So kann durch ein dickeres weiteres Halbleitersubtrat 72 ein Übersprechen von der ersten Signalverarbeitungseinheit 74 auf die zweite Signalverarbeitungseinheit 76 und umgekehrt physikalisch ausgeschlossen werden.
[0067] Schließlich zeigt die Fig. 4 eine erste und eine zweite Spannungsversorgung 84, 86, die getrennt voneinander ausgebildet sind. Die erste Spannungsversorgung 84 ist mit dem ersten Halbleitersubstrat 32 und die zweite Spannungsversorgung 86 ist mit dem zweiten Halbleitersubstrat 34 gekoppelt. Über die erste Spannungsversorgung 84 werden die integrierten Halbleiterstrukturen des ersten Halbleitersubstrat 32 mit einer Versorgungsspannung versorgt und über die zweite Spannungsversorgung 86 werden die integrierten Halbleiterstrukturen des zweiten Halbleitersubstrat 34 mit einer Versorgungsspannung versorgt. Vorzugsweise beinhalten die erste und die zweite Spannungsversorgung 84, 86 je eine Überspannungsüberwachungseinheit (hier nicht dargestellt). Die Überspannungs- überwachungseinheit ist dazu ausgebildet, die Spannungsversorgung im Fall einer Überspannung zu entkoppeln, beispielsweise durch eine Crowbar-Schaltung.
[0068] Es versteht sich, dass die in Fig. 4 gezeigten Strukturen in einem anderen Ausführungsbeispiel beliebig miteinander kombiniert werden können. Der Chipstapel 36 ist folglich nicht auf die drei gezeigten Halbleitersubstrate 28, 30, 72 beschränkt. In weiteren vorteilhaften Ausführungen können weitere Halbleitersubstrate und/oder andere Schichten, wie beispielsweise Isolationsschichten, in dem Chipstapel 36 angeordnet sein. Denkbar ist auch, dass eine Vielzahl von den in der Fig. 4 gezeigten Systemen in einem Chipstapel untergebracht ist, um extrem platzsparende, n-kanalige, hochverfügbare und fehlertolerante "Systems-on-Stack" zu realisieren. Insgesamt lassen sich so sehr kosteneffiziente, flexible und sichere Sicherheitsschaltgeräte mit zwei- oder mehrfacher Redundanz erstellen, die den Anforderungen der Sicherheitsanforderungsstufen SIL3 entsprechen können.

Claims

Patentansprüche
1 . Elektronisches Sicherheitsschaltgerät (10) mit zumindest einem ersten (28) und einem zweiten Signalverarbeitungskanal (30), denen zur Signalverarbeitung Eingangssignale zuführbar sind und die verarbeitete Ausgangssignale bereitstellen, wobei der erste (28) und der zweite Signalverarbeitungskanal (30) die zugeführten Eingangssignale redundant zueinander verarbeiten, und wobei der erste (28) und der zweite Signalverarbeitungskanal (30) jeweils mit Hilfe integrierter Halbleiterstrukturen aufgebaut sind, dadurch gekennzeichnet, dass der erste Signalverarbeitungskanal (28) monolithisch auf einem ersten Halbleitersubstrat (32) angeordnet ist und der zweite Signalverarbeitungskanal (30) monolithisch auf einem zweiten Halbleitersubstrat (32) angeordnet ist, wobei das erste (32) und das zweite Halbleitersubstrat (34) zu einem Stapel (36) zusammengesetzt sind und ein einstückiges elektronisches Bauteil (38) bilden.
2. Elektronisches Sicherheitsschaltgerät nach Anspruch 1 , dadurch gekennzeichnet, dass der Stapel (36) ein weiteres Halbleitersubstrat (72) aufweist.
3. Elektronisches Sicherheitsschaltgerät nach Anspruch 2, dadurch gekennzeichnet, dass das erste Halbleitersubstrat (32) eine erste Signalverarbeitungseinheit (74), das zweite Halbleitersubstrat (34) eine zweite Signalverarbeitungseinheit (76) und das weitere Halbleitersubstrat (72) eine Steuer- und Speicherstruktur aufweist, wobei die erste (74) und die zweite Signalverarbeitungseinheit (76) mit der Steuer- und Speicherstruktur gekoppelt sind.
4. Elektronisches Sicherheitsschaltgerät nach Anspruch 3, dadurch gekennzeichnet, dass die Steuer- und Speicherstruktur einen Komparator (78) zum Abgleichen der ersten (74) und zweiten Signalverarbeitungseinheit (76) aufweist, wobei der Komparator (78) unmittelbar mit der ersten (74) und zweiten Signalverarbeitungseinheit (76) verbunden ist.
5. Elektronisches Sicherheitsschaltgerät nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, dass das weitere Halbleitersubstrat (72) in dem Stapel (36) zwischen dem ersten (32) und dem zweiten Halbleitersubstrat (34) angeordnet ist.
6. Elektronisches Sicherheitsschaltgerät nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass das erste (32) und das zweite Halbleitersubstrat (34) voneinander räumlich beabstandet im Stapel (36) angeordnet sind.
7. Elektronisches Sicherheitsschaltgerät nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass zwischen dem ersten (32) und dem zweiten Halbleitersubstrat (34) eine Isolationsschicht und/oder ein weiteres Halbleitersubstrat (72) angeordnet ist.
8. Elektronisches Sicherheitsschaltgerät nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass der Stapel (36) mindestens zwei Halbleitersubstrate (32, 34, 72) und mindestens ein vertikales Kontaktelement (60) aufweist, wobei das vertikale Kontaktelement (60) die mindestens zwei Halbleitersubstrate (32, 34, 72) elektrisch verbindet.
9. Elektronisches Sicherheitsschaltgerät nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass das erste Halbleitersubstrat (32) eine erste Signalverarbeitungseinheit (74) und das zweite Halbleitersubstrat (34) eine zweite Signalverarbeitungseinheit (76) aufweist, wobei die erste Signalverarbeitungseinheit (74) einen zur zweiten Signalverarbeitungseinheit (76) zeitlich verschobenen Arbeitszyklus aufweist.
10. Elektronisches Sicherheitsschaltgerät nach einem der Ansprüche 1 bis 9, gekennzeichnet durch eine erste Spannungsversorgung (84) und eine zweite Spannungsversorgung (86), die von der ersten getrennt ist, wobei die erste Spannungsversorgung (84) dem ersten Halbleitersubstrat (32) zugeordnet und die zweite Spannungsversorgung (86) dem zweiten Halbleitersubstrat (34) zugeordnet ist.
EP16701277.2A 2015-01-23 2016-01-20 Elektronisches sicherheitsschaltgerät Ceased EP3248073A1 (de)

Priority Applications (1)

Application Number Priority Date Filing Date Title
EP22181101.1A EP4086714B1 (de) 2015-01-23 2016-01-20 Elektronisches sicherheitsschaltgerät

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE102015101023.2A DE102015101023A1 (de) 2015-01-23 2015-01-23 Elektronisches Sicherheitsschaltgerät
PCT/EP2016/051149 WO2016116514A1 (de) 2015-01-23 2016-01-20 Elektronisches sicherheitsschaltgerät

Related Child Applications (1)

Application Number Title Priority Date Filing Date
EP22181101.1A Division EP4086714B1 (de) 2015-01-23 2016-01-20 Elektronisches sicherheitsschaltgerät

Publications (1)

Publication Number Publication Date
EP3248073A1 true EP3248073A1 (de) 2017-11-29

Family

ID=55221396

Family Applications (2)

Application Number Title Priority Date Filing Date
EP16701277.2A Ceased EP3248073A1 (de) 2015-01-23 2016-01-20 Elektronisches sicherheitsschaltgerät
EP22181101.1A Active EP4086714B1 (de) 2015-01-23 2016-01-20 Elektronisches sicherheitsschaltgerät

Family Applications After (1)

Application Number Title Priority Date Filing Date
EP22181101.1A Active EP4086714B1 (de) 2015-01-23 2016-01-20 Elektronisches sicherheitsschaltgerät

Country Status (7)

Country Link
US (1) US10394211B2 (de)
EP (2) EP3248073A1 (de)
JP (1) JP6675406B2 (de)
CN (1) CN107209491B (de)
DE (1) DE102015101023A1 (de)
HK (1) HK1244550A1 (de)
WO (1) WO2016116514A1 (de)

Families Citing this family (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP6772887B2 (ja) * 2017-02-21 2020-10-21 オムロン株式会社 サーボシステム
JP6962795B2 (ja) * 2017-11-22 2021-11-05 ルネサスエレクトロニクス株式会社 半導体装置および半導体システム
WO2019139815A1 (en) 2018-01-12 2019-07-18 Duke University Apparatus, method and article to facilitate motion planning of an autonomous vehicle in an environment having dynamic objects
TWI822729B (zh) 2018-02-06 2023-11-21 美商即時機器人股份有限公司 用於儲存一離散環境於一或多個處理器之一機器人之運動規劃及其改良操作之方法及設備
WO2019183141A1 (en) 2018-03-21 2019-09-26 Realtime Robotics, Inc. Motion planning of a robot for various environments and tasks and improved operation of same
DE102018115243A1 (de) * 2018-06-25 2020-01-02 Pilz Gmbh & Co. Kg Sicherheitsschaltgerät mit versenkten Einstellbauelementen
WO2020040979A1 (en) 2018-08-23 2020-02-27 Realtime Robotics, Inc. Collision detection useful in motion planning for robotics
US12204336B2 (en) 2018-12-04 2025-01-21 Duke University Apparatus, method and article to facilitate motion planning in an environment having dynamic objects
WO2020214723A1 (en) 2019-04-17 2020-10-22 Real Time Robotics, Inc. Motion planning graph generation user interface, systems, methods and articles
TWI873149B (zh) 2019-06-24 2025-02-21 美商即時機器人股份有限公司 用於多個機械手臂於共用工作空間中之移動規劃系統及方法
US12194639B2 (en) 2020-03-18 2025-01-14 Realtime Robotics, Inc. Digital representations of robot operational environment, useful in motion planning for robots
US20220126451A1 (en) * 2020-10-26 2022-04-28 Realtime Robotics, Inc. Safety systems and methods employed in robot operations
DE102021103952A1 (de) 2021-02-19 2022-08-25 Sick Ag Optoelektronische Sicherheitsvorrichtung
DE102022212498B3 (de) 2022-11-23 2024-05-23 Kuka Deutschland Gmbh Manipulationsschutz für ein Handgerät

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130231767A1 (en) * 2012-03-01 2013-09-05 Texas Instruments Incorporated Systems and methods for control with a multi-chip module with multiple dies

Family Cites Families (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE10053820A1 (de) 2000-10-30 2002-05-29 Pilz Gmbh & Co Elektronisches Sicherheitsschaltgerät
KR100611204B1 (ko) * 2005-05-10 2006-08-10 삼성전자주식회사 멀티 스택 패키징 칩 및 그 제조방법
EP1934668B1 (de) * 2005-09-06 2016-03-16 Beyond Blades Ltd. Dreidimensionale mehrschichtige modulare computerarchitektur
US8134235B2 (en) * 2007-04-23 2012-03-13 Taiwan Semiconductor Manufacturing Co., Ltd. Three-dimensional semiconductor device
US7863733B2 (en) * 2007-07-11 2011-01-04 Arm Limited Integrated circuit with multiple layers of circuits
US8597960B2 (en) * 2008-03-04 2013-12-03 International Business Machines Corporation Semiconductor chip stacking for redundancy and yield improvement
US8373439B2 (en) * 2009-04-14 2013-02-12 Monolithic 3D Inc. 3D semiconductor device
DE102010062653A1 (de) 2010-12-08 2012-06-14 Robert Bosch Gmbh Steuermodul und Verfahren zu seiner Herstellung
EP2699462B1 (de) * 2011-04-19 2016-11-23 Ute Marita Meissner Fahrdynamikregelung mit gnss und ins
US8804394B2 (en) * 2012-01-11 2014-08-12 Rambus Inc. Stacked memory with redundancy
ITVI20120060A1 (it) * 2012-03-19 2013-09-20 St Microelectronics Srl Sistema elettronico avente un' aumentata connessione tramite l'uso di canali di comunicazione orizzontali e verticali
JP5802631B2 (ja) * 2012-09-06 2015-10-28 株式会社東芝 半導体装置

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20130231767A1 (en) * 2012-03-01 2013-09-05 Texas Instruments Incorporated Systems and methods for control with a multi-chip module with multiple dies

Also Published As

Publication number Publication date
CN107209491B (zh) 2020-06-30
EP4086714A1 (de) 2022-11-09
HK1244550A1 (zh) 2018-08-10
EP4086714C0 (de) 2025-12-03
US20170315530A1 (en) 2017-11-02
JP2018505557A (ja) 2018-02-22
JP6675406B2 (ja) 2020-04-01
US10394211B2 (en) 2019-08-27
WO2016116514A1 (de) 2016-07-28
EP4086714B1 (de) 2025-12-03
DE102015101023A1 (de) 2016-07-28
CN107209491A (zh) 2017-09-26

Similar Documents

Publication Publication Date Title
EP4086714B1 (de) Elektronisches sicherheitsschaltgerät
EP2742561B1 (de) Modulare steuervorrichtung
EP2720094B1 (de) Sicherheitssystem
DE102012001615B4 (de) Modulanordnung
EP3262907B1 (de) Modulare feldgeräteanschlusseinheit
EP1673667A1 (de) Integriertes mikroprozessorsystem für sicherheitskritische regelungen
WO2014206885A1 (de) Sicherheitsschaltvorrichtung zur detektion von fehlerhaften eingängen
EP2727125B1 (de) Sicherer motorstarter
DE10135980C1 (de) Anordnung zum Anschluß von dezentral und prozessnah angeordneten Feldgeräten an eine entfernte zentrale Einrichtung
EP2099164B1 (de) Sicherheitsvorrichtung zur sicheren Ansteuerung angeschlossener Aktoren
EP2989548A1 (de) Überwachung von redundanten komponenten
DE19540069A1 (de) Anordnung zur Erfassung und/oder Verarbeitung von Signalen elektrischer Bauteile, die sicherheitstechnische Zwecke oder Auflagen für Geräte oder Anlagen erfüllen
DE212012000249U1 (de) Vorrichtung zum eigensicheren Versorgen, Ansteuern und/oder Auswerten von Feldgeräten im explosionsgeschützten Bereich
EP1748299B1 (de) Elektronische Schaltung, System mit einer elektronischen Schaltung und Verfahren zum Testen einer elektronischen Schaltung
EP1330876B1 (de) Elektronisches sicherheitsschaltgerät
EP3400491B1 (de) Sicherheitsschaltvorrichtung und sicherheitsgerichtetes gerät
WO2022012876A1 (de) Halbleiterchip und sicherheitsschaltungsanordnung mit einem solchen halbleiterchip
EP3414637A1 (de) Sicherheitsschaltvorrichtung
DE102016226094A1 (de) Elektronisches Gerät mit Elektronikgehäuse mit mehreren Kammern
WO2020239437A1 (de) Anlagenkomponente, sicherheitsrelevante anlage und betriebsverfahren
DE102020132650B4 (de) Elektronikgehäuse für einen hub zum ansteuern mehrerer aktoren
WO2026027138A1 (de) Kommunikation zwischen unabhängigen, monolithisch integrierten schaltkreisen
DD231869A5 (de) Signaltechnisch sichere datenverarbeitungseinrichtung
DE10316286A1 (de) Verfahren und elektronisches Bauteil zum Verarbeiten von Signalen
EP2705573A1 (de) Verschiedene varianten eines elektrischen gerätes mit einer sicherheitseinrichtung

Legal Events

Date Code Title Description
STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE INTERNATIONAL PUBLICATION HAS BEEN MADE

PUAI Public reference made under article 153(3) epc to a published international application that has entered the european phase

Free format text: ORIGINAL CODE: 0009012

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: REQUEST FOR EXAMINATION WAS MADE

17P Request for examination filed

Effective date: 20170810

AK Designated contracting states

Kind code of ref document: A1

Designated state(s): AL AT BE BG CH CY CZ DE DK EE ES FI FR GB GR HR HU IE IS IT LI LT LU LV MC MK MT NL NO PL PT RO RS SE SI SK SM TR

AX Request for extension of the european patent

Extension state: BA ME

DAV Request for validation of the european patent (deleted)
DAX Request for extension of the european patent (deleted)
REG Reference to a national code

Ref country code: HK

Ref legal event code: DE

Ref document number: 1244550

Country of ref document: HK

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: EXAMINATION IS IN PROGRESS

17Q First examination report despatched

Effective date: 20190812

APBK Appeal reference recorded

Free format text: ORIGINAL CODE: EPIDOSNREFNE

APBN Date of receipt of notice of appeal recorded

Free format text: ORIGINAL CODE: EPIDOSNNOA2E

APBR Date of receipt of statement of grounds of appeal recorded

Free format text: ORIGINAL CODE: EPIDOSNNOA3E

APAF Appeal reference modified

Free format text: ORIGINAL CODE: EPIDOSCREFNE

REG Reference to a national code

Ref country code: DE

Ref legal event code: R003

APBT Appeal procedure closed

Free format text: ORIGINAL CODE: EPIDOSNNOA9E

STAA Information on the status of an ep patent application or granted ep patent

Free format text: STATUS: THE APPLICATION HAS BEEN REFUSED

18R Application refused

Effective date: 20220627

REG Reference to a national code

Ref country code: HK

Ref legal event code: WD

Ref document number: 1244550

Country of ref document: HK