JP6675406B2 - 電子安全スイッチング装置 - Google Patents

Description

本発明は、入力信号が信号処理のため供給されるとともに、処理された出力信号を出力する少なくとも第１および第２の信号処理チャンネルを含む電子安全スイッチング装置に関するものである。前記第１および第２の信号処理チャンネルは、互いに冗長に入力された入力信号を処理する。また前記第１および第２の信号処理チャンネルは、それぞれ集積回路により構成される。

上に述べた種類の安全スイッチング装置は、例えば、特許文献１から公知である。

安全スイッチング装置は、工業部門において主に使われており、機械工学およびプラント工学のほとんどすべての領域において見られる。安全スイッチング装置は、所定の安全機能を実行する。例えば、それらは、技術システムの変化の制御すなわち安全な停止を提供するか、または動いている装置の位置をモニタするために使われる。通常、故障が起こり保護された領域が破られた場合、安全スイッチング装置は安全なおよび信頼性が高い応答を開始するように構成される。

この種の安全スイッチング装置はフェイルセーフな仕組み（fail-safety）に対して、非常に高い要求が求められることを理解すべきである。したがって、安全スイッチング装置は通常、それらが産業応用において使用許可される前に、承認機関による、適切な承認を最初に受けなければならない。例えば、ドイツのプロ協会すなわち

（German Technical Inspection Association）は、この種の承認を行う。安全な機能に関連した基準は、例えば、電気、電子およびプログラム可能な電子（E/E/PE）システムのためのDIN EN 61508、または加工工業の技術的に安全なシステムのためのEN 61511である。これらの標準は、なかでも、それらの安全機能の信頼性に関してシステムを評価する（E/E/PE）ために、用いられる安全度レベル（SILs）を定める。本明細書において、安全スイッチング装置は、少なくともSIL 2の要件を満たす装置である。

この必要とされるフェイルセーフを達成するための公知のおよびよく使われる手段は、冗長な複数の多重チャンネルを有する安全スイッチング装置を構成することである。そこにおいて、少なくとも２本の信号処理チャンネルが、各々をモニタしている。もし故障が信号処理チャンネルの１つで起こる場合、２つ目の信号処理チャンネルが前記故障を検出して、機械の領域で人のための安全な状態を達成することができる。この方法の下で、複数または、すべての冗長な信号処理チャンネルに同じように影響を及ぼす故障の原因（いわゆる共通原因故障）に、特定の注意を払わなければならない。さもなければ、必要とされるフェイルセーフは、確実にされることができない。

安全スイッチング装置を承認するときに、承認機関によってよく採用される方法は、考えられる故障が記録された徹底的かつ詳細な故障解析を安全スイッチング装置の設計者または製造業者が提供することである。そこにおいて、それぞれの故障が起こる場合であっても、安全スイッチング装置が信頼性の高い方法で人のための安全な状態を確保できることが、証明されなければならない。特に多数の機能を有する複雑な安全スイッチング装置の場合、この種の分析は、非常に複雑である。よって、開発および製造において不利になる。加えて、この故障解析は、設計または安全スイッチング装置の構造にわずかな変化が加えられた場合にも繰り返されなければならない。例えば、それ自体が同一である部品を空間的に異なる位置に配置しただけで、故障の原因は新たに発生し得るからである。

このため、上述した特許文献１は、単一の半導体チップ上に配置される集積半導体回路によって、冗長な信号処理チャンネルを有する基本的な部品がその中に形成された電子安全スイッチング装置を提供する。この別々の信号処理チャンネルを維持しながら単一の集積されたおよび決まった部品が設けられているいわゆるオンチップ冗長方式は、承認機関による承認が必要とされる故障解析が一度だけ実行されればよいという効果がある。このチェックは、半導体チップの開発時に定められた仕様に基づいた量的なチェック、特に意図された空間寸法および使用する材料に限定されたチェックに限られてもよい。

しかしながら、オンチップ冗長方式を採用する半導体チップの設計および開発にあたって考慮されなければならない特定の設計上の要件のため、この種のチップは、しばしば一回限り（one-off）製造される製品で、通常、冗長構造（例えば、並行処理の用に供される最新のマルチコアプロセッサ）を有する一般の半導体チップより何倍も高価である。従って、オンチップ冗長方式を採用して安全な応用に供する半導体チップにおいて、離れた物理的ブロックが、チャンネルごとに、および監視素子（例えば、ウォッチドッグ）ごとに半導体基板の上に形成されなければならない。そして前記ブロックは、互いに所定の間隔を有して、互いに影響することがないように、配置されなければならない。加えて、各チャンネルは他のブロックの１つを通過することが許されず、それ自身の別々の入力および出力を有しなければならない。その結果、チップ設計は特に複雑になり、集積回路は半導体基板上の平均的な面積より広くなることが要求され、このことによりシングルチップのコストを上昇させる。

加えて、オンチップ冗長方式を有するシステムの使用を厳しく禁ずる安全技術の適用範囲がある。例えば、非接触保護装置（電子感応保護器具すなわちESPE）を使用するときに、個々のチャンネルの信号処理ユニットが１枚の半導体基板上に配置されるシステムを採用することができない。従って、この種の保護装置は、現在公知のオンチップ冗長方式を採用することができない。

独国特許出願公開第100 53 820 A1号明細書

従って、すべての一般の保護装置のために使用可能で、コンパクトで、経済的で、効率的な、安全スイッチング装置を提供することが本発明の目的である。

本発明の一態様によれば、冒頭で言及された安全スイッチング装置において、第１の信号処理チャンネルが第１の半導体基板上にモノリシックに配置され、第２信号処理チャンネルが第２の半導体基板上にモノリシックに配置される。そこにおいて、第１および第２の半導体基板は、結合されてスタックになり、一体の電子部品を形成する。

公知のオンチップ冗長方式とは対照的に本発明の着想は、積み重ねられた２枚の別々の半導体基板を使用して、単一の電子部品を形成することである。そこにおいて、第１の信号処理チャンネルの集積回路は、他の信号処理チャンネルの集積回路を含む対応する第２層の上方に、第１層を形成する。２枚の別々の半導体基板は、好ましくは層に垂直な方向に互いにオフセットされた２枚の平行な層である。それぞれの半導体基板上の個々の集積回路は、オンチップ冗長方式を有する集積回路に適用される特定の設計上の要件を考慮せずに、互いと独立して設計されることができる。このように、集積回路の設計を例えば、集積処理ユニットのための標準設計を使えるという点で、単純化できる。加えて、集積回路を特定の技術的な安全上の要求にこだわることなく、有効なおよびスペースをとらない方法でそれぞれの半導体基板上に配置することができる。その結果、それは生産費用を減らすことを可能にする。

加えて、互いから離れた２枚の半導体基板の使用は、この種の電子安全スイッチング装置を、現行の基準のためオンチップ冗長方式を有するシステムを使用可能にできなかった技術的な安全応用分野において、使用することができるという効果がある。このように、この種の安全スイッチング装置を、別の部分および別の半導体チップを用いて完全に別々に信号処理を行う電子安全スイッチング装置を以前に使用しなければならなかった非接触保護装置のために、特に使用することもできる。本発明の安全スイッチング装置は、共通の保護装置を用いて多用途でかつ柔軟な方法で、このように使用することができる。

加えて、安全スイッチング装置は、２枚の半導体基板から一体の成形部品に結合してスタックとすることができる効果がある。この明細書において、「一体（one-piece）」とは、作製された電子部品がその後もはや改変できないことを、特に意味する。換言すれば、電子部品の構造は、開発および設計の間、不変の形にすでに定められている。しかし、最終的な部品は製造工程の間、別々の半導体基板から一体の部品に組立てられる。好ましくは、半導体基板は、各々が直接重なるようにスタックにセットされて、一体の部品として永久に接続される。半導体基板を一緒にスタックに接続した後に、一体の部品を半導体基板の周囲に密着して堆積された成形材料によって取り囲むことが特に好ましい。その結果、例えば、自動配置プロセスによってPCボードに配置されてもよい集積されたマルチチャンネルの論理部品ができあがる。好ましくは、承認機関による承認の間、行われる故障解析は一度だけ実施されなければならないが、その後のチェックは要求される設計仕様の範囲に限られる。この種のチェックは、反復される完全な故障解析より、単純でありより経済的である。

全体として、本発明の安全スイッチング装置は、２つの独立した冗長な信号処理システムを有して設定されるシステムの利点と、オンチップ冗長方式の利点とをこのように結合する。よって上述した目的は、このように完全に達成される。

好ましい実施形態において、スタックは、追加の半導体基板を含む。

この実施形態において、第１および第２の半導体基板に加えて、追加の半導体基板がスタックに配置される。追加の半導体基板は他の半導体基板と類似の方法で構成されてもよく、または他の機能を実現できる構造を含んでいてもよい。このように、「スタック上のシステム（system-on-stack）」（SoS）は、簡単な方法で設定されることができ、チップ上で安全スイッチング装置の関連した機能を再現することができ、同時に構造の分割を提供する。

特に好ましい実施態様では、第１の半導体基板は、第１の信号処理ユニットを有し、第２の半導体基板は、第２の信号処理ユニットを有し、追加の半導体基板は、制御および記憶構造を有する。第１および第２の信号処理ユニットは、制御および記憶構造に接続される。

本実施形態において、追加の半導体層は、例えば、比較器、「ウォッチドッグ」、周辺機器に対するインターフェースまたはRAM/ROMメモリを含む制御および記憶構造として構成されてもよい。このことにより、信号処理ユニットは、特に単純な方法で構成されることができて、標準設計を任意に使用できる。そこにおいて、一般的に用いられる素子は、追加の半導体基板上に配置されることができる。このように、変動に強い（robust）および経済的な安全性スイッチ素子を実現するために、各種部品が「スタック上のシステム」に結合される。加えて、一体の部品の範囲内で安全スイッチング装置に追加の部品を配置することによって、他の故障原因を前もって確実に除外することができる。特に、導電ケーブルを使用しているディスクリートな部品を配線するときに発生する場合がある配線故障は、このようにして防止することができる。

他の特に好適な実施形態において、追加の半導体基板が、第１および第２の半導体基板の間のスタックに配置される。

この構成では、第１の半導体基板は追加の半導体基板の第１の側面をカバーし、第２の半導体基板は追加の半導体基板の第１の側面の反対側の側面をカバーする。換言すれば、スタックは、層システムのように構成される。そこにおいて、追加の半導体基板は中間層を形成する。好ましくは、第１および第２の半導体基板は、追加の半導体基板の各側を完全に覆う。このことにより、中間層に対する粒子および波の影響が最小化されるように、中間層（特にその上に配置される記憶構造）が第１および第２の半導体基板層を介して物理的に保護される。有利なことに、「高感度」RAMメモリを、外部の影響からこのように確実に保護することができる。

付加的な実施形態において、第１および第２の半導体基板は、スタックにおいて互いに遠ざけられて、空間的に配置されてもよい。

この実施形態において、第１のおよび第２の半導体基板は、このようにスタックの上に直接でなくて、互いに空間的に離れている。この構造は、半導体基板の集積回路が互いから間隔を置かれて配置されるという効果があり、それによって信号の混信または処理ユニット間の短絡が、物理的に防止される。

他の実施形態では、絶縁層および／または追加の半導体基板が、第１および第２の半導体基板の間に配置される。

この構造で、第１および第２の半導体基板が互いから所定の間隔に配置されることができる。よって、絶縁層を、２枚の半導体基板を互いから電気的に切り離すために追加することができる。それによって集積回路間の混線および短絡を、排除できる。特に、追加の半導体基板を第１および第２の半導体基板の間に配置することもできる。前記追加の半導体基板は、第１の半導体基板および／または第２の半導体基板上の半導体回路により用いられる機能を働かせる。絶縁層と半導体基板とで構成される組合せが上述した利点を合わせた中間層として用いられてもよいことを理解すべきである。

他の実施形態では、スタックは、少なくとも２枚の半導体基板および少なくとも一つの垂直接点素子を含む。そこにおいて、垂直接点素子は、前記少なくとも２枚の半導体基板を電気的に接続する。

本実施形態において、複数の集積回路は、異なる半導体基板上に配置されるが、スタックの中で垂直接点素子を介して接続可能である。この手段は、例えば、プロセス間の通信を有効にし、それぞれの他の信号処理チャンネルを経た個々の信号処理チャンネルの監視を有効にするために、第１および第２の半導体基板上の半導体回路を、簡単な方法で相互接続できるという効果がある。

あるいは、相互データ交換のために、外部的にすなわち半導体基板の外側で、冗長な信号処理チャンネルを相互接続することも、考えられる。しかしながら、一方では、この好適な手段は相互データ交換のための故障解析をチップスタックの開発の間、同様に一度だけ実施しなければならない。信号処理チャンネルのインストールの間の故障が減少するかもしれないという効果がある。加えて、垂直接点素子を介する内部データ交換が、より高速になされ、干渉する環境の影響をより受けにくい。

付加的な実施形態において、第１の半導体基板は、第１の信号処理ユニットを備え、第２の半導体基板は、第２の信号処理ユニットを備える。そこにおいて、第１の信号処理ユニットは、第２の信号処理ユニットに対して時間のシフトした動作サイクルを備える。

この実施形態において、第１および第２の信号処理ユニットは、信号処理ユニットの固定された動作サイクルであって、好ましくは複数の信号処理ユニットで同一の動作サイクルを定めるプロセッサクロックを有する。第１の信号処理ユニットの動作サイクルは、第２の信号処理ユニットの動作サイクルに対して少なくとも一つのクロックサイクルだけシフトされる。この手段は、共通の原因による故障が簡単な方法でよりよく検出できるという効果がある。かくして、同時に起こる故障を、例えば、両方の信号処理チャンネルにおける同時の電圧スパイクを、信号処理ユニットによる信号の処理における時間のオフセットを介して発見することができる。両方の信号処理ユニットは、時間オフセットのために１つの位相だけシフトしている同一のプロセッサクロックを用いて作動することが好ましい。

他の実施形態では、安全スイッチング装置は、第１の電圧源および第１の電圧源と別である第２の電圧源、を含む。第１の電圧源は第１の半導体基板と関係し、第２の電圧源は第２の半導体基板と関係している。

この実施形態において、第１および第２の半導体基板が別々の電圧源によって、それぞれ供給される。さらに、好ましくは電圧源はそれを過電圧から保護するためのそれ自身に監視回路を有する。この構成では、別々の電圧源が各半導体基板およびその集積回路によって利用されるので、正しくない電圧の供給または予想外の過電圧の影響を最小化できるという効果を有する。この手段によって、安全スイッチング装置のフェイルセーフ性は、更に増加する。

以下で説明する上述した特徴および特徴は、それぞれの指定された組合せに適用されるだけではなく、または、単独でもしくは他の組合せでも、本発明の要旨を逸脱しない範囲で適用されることを理解すべきである。

機械設備上の安全スイッチング装置を簡略描写図で示す。 安全スイッチング装置の一体の電子部品を斜視図で示す。 安全スイッチング装置のチップスタックを簡略図で示す。 安全スイッチング装置の他のチップスタックを簡略図で示す。

本発明の実施形態を図面に示し、以下に、より詳細に説明する。

図１は、参照番号10によって全体が示される、本発明の実施形態に係る電子安全スイッチング装置を示す。

この実施形態では、安全スイッチング装置は技術システム12と関係している。それはロボット14によって、ここで例示される。動作の間、ロボット14は、ロボット14の動作領域にいる人に、危険を与える。このために、ロボット14の動作領域は、保護装置16により許可されていないアクセスから守られている。この場合、保護装置16は光グリッド18の形の非接触保護装置である。そして、保護装置16は、アクセスエリアに入る人または物が、光グリッド18の光送受信器の間に送信される複数の光ビームの少なくとも１本を中断するというような形で、技術システム12へのアクセスエリアに配置される。

光グリッド18は、ケーブル20を介して安全スイッチング装置10に接続していて、現在の状態に応じて、それに入力信号を供給する。ここで表される光グリッド18のような能動的な保護装置の場合、冗長な複数の入力信号（いわゆるOSSD信号）は、保護装置によって独立して発生し、安全スイッチング装置10に送信される。受動的な保護装置（例えばここで表される非常停止ボタン22）は、一般に安全コントローラ10により出力される出力信号を受信して、安全スイッチング装置10への入力信号として、それを戻す。

この実施形態では、安全スイッチング装置10は、入力信号を受信するための、および出力信号を出力するための複数のコネクタを有する入出力装置24を含む。いくつかの実施形態において、これらのコネクタは、安全スイッチング装置10のハウジング表面26に、例えば、ばね式の端末またはねじ込み端子の形で配置される接続端子である。他の実施形態において、コネクタは、各ピンによって形成された多接点素子を含むプラグまたはソケットでもよい。５本の接続ピンを有するM8ソケットは、この分野における保護装置または他のセンサを接続するために多用される。

ここで表される場合には、光グリッド18は２つの冗長な入力信号（OSSD1、OSSD2）を生成する。それらは別々のケーブル20を介して安全スイッチング装置10に供給される。他の実施形態において、入力信号は、単一の接続ケーブル中の２つの導線を介して、同様に送信されてもよい。入力信号がバス、例えば、安全なフィールドバスを介して安全スイッチング装置10に送信されることもまた考えられる。この場合、入出力装置24は、使用されるバスのプロトコルを実装する通信モジュールとして構成される。入力信号は、通信モジュールから読出されてもよく、冗長な一対の入力信号として安全スイッチング装置10に供給されてもよい。

本実施形態において、安全スイッチング装置10は、互いに関して冗長に設計されている第１の信号処理チャンネル28および第２の信号処理チャンネル30を含み、それらは互いに関して冗長に保護装置16、22の入力信号を評価するように設計されている。２本の信号処理チャンネル28、30は、少なくとも部分的に集積回路によって構成される。第１の信号処理チャンネル28の集積回路は第１の半導体基板32上に配置され、第２の信号処理チャンネル30の集積回路は第２の半導体基板34上に配置される。第１のおよび第２の半導体基板32、34は、チップスタック36に結合され、それ自体が公知の方法で一体の電子部品38にカプセル化される。

好適な各実施形態において、信号処理チャンネルのすべての基本部品は半導体基板上の複数の集積回路である。そして、複数の半導体基板はスタック36に結合される。このように、チップスタック36は好ましくは、入力信号をフェイルセーフな方法で処理するための入力端子および出力端子、中央演算処理装置、メモリ、コンパレータおよびA/D変換器を含む。これらの代わりに、または、これらに加えて、信号処理チャンネル28、30は、集積回路として構成されない追加の独立した部品を含むこともできる。ここでは、安全スイッチング装置10は、例えば、１つの信号処理チャンネル28、30当たり１つずつのスイッチング素子40a、40bを含む。それぞれは、接触器46a、46bへの電流の流れを有効にするために、高い電位42を安全スイッチング装置10の装置接続44a、44bにつなぐことができ、あるいは、この電流の流れを遮断することができる。このように、各スイッチング素子40は、アクチュエータ（例えば接触器46または電磁弁）を停止させることができる。

接触器46a、46bは、それぞれ常開接点48a、48bを有する。ここで、常開接点48a、48bは、電流源50からロボット14までの電流路に直列に配列される。安全スイッチング装置10が接触器46a、46のスイッチを切るとすぐに、接点48は離れ、ロボット14のための電流源50は切離される。この種の「根本的な（radical）」断線が、例としてここで記載されているだけであることは、関連した専門家に明らかである。変形例として、安全要求が生じた場合、ロボット14の他の部分は機能したままでロボット14の部分（例えば、危険な駆動部分）だけを停止することもできる。遅延をともなった停止も考えられる。その結果、ロボット14はドライブを停止させる前に制御された方法で任意に停止される。

安全スイッチング装置がここで記述される実施形態に限られていないことを理解すべきである。本発明の安全スイッチング装置は、例えば、設定の可変な安全スイッチング装置、プログラム可能な安全コントローラ、または標準コントローラの安全モジュールであってもよい。

図２は、実施形態に係る一体の電子部品38の非常に簡略な表現を示す。図１において示されたのと同じ参照番号は、同じ部品を示す。

一体の電子部品38は、デュアルインラインパッケージ（DIP）のハウジングを含むマイクロチップとして実装される。第１の半導体基板32および第２の半導体基板34を含むチップスタック36は、DIPハウジングの中のキャリア52の上に配置される。半導体構造は、適切な接続手段（例えばボンディング）を介して、２枚の半導体基板32、34上の各導電路54に接続している。導電路54は、半導体構造が外側から接触可能である複数の接続ピン56に、次々に接続している。入力信号は、接続ピン56を介して、例えば、半導体基板32、34上の集積回路に送られることが可能である。また、出力信号は外部に接続されることも可能である。

従来の電子部品と比較して、本発明の安全スイッチング装置において、少なくとも２枚の半導体基板32、34は、電子部品38の内に配置される。半導体基板32、34は好ましくは互いをカバーして積み重なり、その結果、それらは立方形（cuboid）のスタック36を形成する。各半導体基板は、信号処理チャンネルを形成している１つの独立した半導体構造を含む。第１の半導体基板32の集積回路の第２の半導体基板34の半導体構造に対する接続は、DIPハウジング内のキャリア52上の導電路54を介して、または、ハウジングの外側の連結ピン56との結合を介して電子部品38の範囲内で行われる。特に好ましくは、複数の集積回路は、スタック36内で互いにすでに接続されている。図３に基づいて下記により詳細に述べるように、垂直接続が、チップスタック36の鉛直軸58と平行して、半導体基板32、34に組み込まれる。

製造終了段落で、DIPハウジングはカバー部品で覆われる。それはここに図示されない。カバー部品は、導電路54およびチップスタック36を上から覆う。導電路54およびチップスタック36は、このようにDIPハウジングに入れられて、変化および環境の影響から確実に保護される。よって、信号処理チャンネルまたはその接続部の各構造は、もはや変えることはできないか、できても限定される。

ここで表されるDIPハウジングは、このチップスタック36が配置される１つの考えられるハウジングの形態にすぎず、制限されるものではないことを理解すべきである。ここで設けられている一体の電子部品の設計のために、他の共通ハウジングの形態（例えば、SMD技術を使った小さい外形（SO）ハウジング）も、同様に考えられる。そのほか、他の実施形態で、チップスタック36を囲むように、半導体基板32、34周辺に密着して堆積される成形材料によって、チップスタック36の包装（packaging）を提供することもできる。チップをハウジングで包装することによって、および／またはチップを成形材料で覆うことによって、集積されたマルチチャンネルの論理部品が得られる。例えば、自動配置プロセスの間、プリント基板に配置することができる。

図３は、実施形態に係るチップスタック36の簡略図を示す。この実施形態では、チップスタック36は、重ねて配置されスタックを構成する第１および第２の半導体基板32、34を含む。半導体構造は、能動的なそして受動的な部品を有するモノシリックな回路を形成している半導体基板32、34上に配置される。ここで示される場合には、第１の信号処理チャンネル28の電子回路は第１の半導体基板32上に配置される。そして、第２の信号処理チャンネル30の電子回路は、第２の半導体基板34上に配置される。

製造の間、半導体基板32、34は、最初に互いと独立して製造することができて、対応する半導体構造を備えている。２枚の半導体基板32、34が最初にベースの共通した半導体基板の一部であることも考えられ、その上に異なるチップ用の複数の半導体構造が同時に設定される。その後、ベース半導体基板は、チップスタックを形成するように相互配置される複数のシングルチップに切られる。しかしながら、共通原因の故障を防止するために、チップスタック36上の個々の半導体基板は、異なる製造スライスからなるものであることが好ましい。

チップスタック36は、特定の半導体基板および基材の使用に限られない。一般のシリコン半導体に加えて、例えば、有機半導体（いわゆるプラスチック電子材料）を用いることもできる。好ましくは、チップスタック36は、非常に薄い半導体基板から成る。その場合、積重ねを介して充分な安定を実現することが可能である。同様に、複数の半導体基板が、必ずしも同一である必要があるというわけではない。異なる材質と異なる厚さを有する半導体基板を用いた設計も考えられる。例えば、安定なベースをスタック36に提供するために、スタック36の他の層より厚い半導体基板から、ベース層を形成できる。

半導体基板上の集積回路は最初は互いから独立しており、それらが一緒に積み重なったあとに、接続される。接続は外部的に、または、垂直接点素子60を介して、スタックの中で起こる。ここで図示される場合には、チップスタック36は接続用の複数の垂直接点素子60を含む。複数の垂直接点素子60は、チップスタック36のスタックの方向62と平行して構成される導体である。垂直接点素子60は、「シリコンビア」（TSVs）と呼ばれ、２枚の半導体基板の間に電気的接続を確立する。垂直接点素子60は、ドリリングまたは特定のエッチング法によって形成された半導体基板の孔または凹部である。半導体基板の孔は、半導体基板の半導体構造に接触して、表面まで、少なくとも半導体基板一方の側に延びる。孔は導電材料（例えば銅またはアルミニウム）により満たされて、スタックを構成する各半導体基板の同じ位置に配列される。その結果、第１の半導体基板32の孔の導電材料は第２の半導体基板34の他の孔の導電材料と電気的に接触する。このようにして、第１の半導体基板32および第２の半導体基板34の半導体構造の間に直接的な接続を確立することが可能である。それによって２つの半導体構造間に実質的に遅延のないプロセス間通信が、可能になる。

半導体基板32、34間の接続は、図２に関して前述したように、チップスタック36の外側で行われることもできることも理解すべきである。このために、半導体基板上の半導体構造の接点は、外側に送られて、一体の部品の内部で好ましくは相互接続される。

第１の半導体基板32の半導体構造に接触するために、自体が公知の方法のボンディングワイヤ66を介して接線可能である第１の接点部64が、第１の半導体基板32の表面上に、例として配置される。この好適な実施形態において、加えて、複数の第２の接点部68が第１の半導体基板32の表面に配置される。それを介して、第２の半導体基板34の半導体構造が接続可能である。この目的のために、前述したように追加の垂直接点素子70を介して、第２の接点部68が、第２の半導体基板34の半導体構造に接続される。有利なことに、パッケージングされていない半導体チップの接続のための一般の方法が、パッケージングされていないチップスタック36を接続するために、このように用いられる。代わりに、または、加えて、外部的に接続可能である接触面を、第２の半導体基板に形成してもよい。

あるいは、ボンディングワイヤ66に代えて、パッケージングされていないチップスタック36に接続するための他のオプションも考えられる。例えば、C4接続（controlled-collapse chip connection）として知られるフリップチップ実装がある。フリップチップ実装において、付加的な渡り線なしで、パッケージングされていないチップスタック36が、接続ワイヤを介さず半導体基板32、34のいずれか１枚のアクティブな接触面に直接載置される。これは、特にハウジングの小型化および電線の短小化をもたらす。接触するボンディングワイヤによって生じる短絡を、特に単純かつ有効な方法で、このように排除することができる。加えて、フリップチップ技術によって、すべての接点の接続は、同時に起こる。よって製造時間は減少する。チップを結合するために、半田および導電体のボンディングに加えて、圧力溶接（熱ボンディング）を、接続方法として用いてもよい。加えて、フリップチップ実装は、接続中に、通常、わずかな機械的ストレスだけが接触されるチップに作用するという効果がある。

このように、非常に薄いおよび多孔性の半導体基板32、34が、チップスタック36をつくるために、用いられる。フリップチップ実装方法を用いて組立てられるチップは、通常、もはや別個にパッケージされる必要はなく、その代わりに環境の影響および変化から保護するための合金または充填用コンパウンドを備えている。この種の「パッケージ」の製造は、特に経済的である。

図４は、チップスタック36の特に好ましい実施形態を示す簡略図である。この実施形態では、チップスタック36は、第１の半導体基板32、第２の半導体基板34、および、追加の半導体基板72から形成される。第１の半導体基板32および第２の半導体基板34は、基本的に同じに構成される。第１の半導体基板32は集積回路の形態の第１の信号処理ユニット74を有し、第２の半導体基板34は集積回路の形態の第２の信号処理ユニット76を有する。

特に好ましい実施形態において、第１および第２の信号処理ユニット74、76は、機能的に同一であるが、信号処理の間、共通の原因による故障の危険率を低下させるために、互いに対して多様に（diversely）構成される。第１の信号処理ユニット74は第１の信号処理チャンネル28と関係し、第２の信号処理ユニット76は第２の信号処理チャンネル30と関係している。第１および第２の信号処理ユニット74、76は、並行して入力信号を処理して、互いに独立して、入力信号の関数としての出力信号を生成する。好ましくは、第１および第２の信号処理ユニット74、76だけが、第１および第２の半導体基板32、34上にそれぞれ配置される。

第１および第２の信号処理ユニット74、76は、一緒に故障許容システムとして機能して、入力信号を平行して処理する。この種の冗長性は、二重モジュラにおける冗長性（DMR）と呼ばれて、故障に関して高水準のロバスト性を提供する。DMRシステムは、故障を確実に検出できるが、故障が起こったチャンネルを直ちに特定することができない。
この理由から、本発明の他の実施形態では、安全スイッチング装置は、好ましくは一体型の電子部品に集積された少なくとも一つの追加の信号処理ユニットを含むことができ、それによって３倍の冗長性を担保する。３倍の冗長性を有するシステムは、三重モジュール冗長（TMR）システムとも呼ばれて、例えば、航空機において、または、使用に関して高い要求を求められるシステムにおいて用いられる。故障を検出することが可能なだけでなく、ＴＭＲシステムは、多数原則（majority principle）に基づいてそれらを修復することもできる。

この実施形態では、信号処理ユニット74、76はさらに、それから離れたプロセッサクロック88によってそれぞれ動かされる。好ましくは、第１および第２の信号処理ユニット74、76の各プロセッサクロックは、他のひとつに対して位相シフトされる。このように、わずかな時間オフセットをもって、信号処理ユニット74、76は、入力信号を並列に処理する。このことにより、両方のチャンネルに同時に発生している障害（例えば、短い電圧ノイズ）を確実に発見することができるので、フェイルセーフは更に増加する。

さらに、この好適な実施形態において、追加された半導体基板72は、第１の半導体基板32と第２の半導体基板34との間に配置される。追加の半導体基板72は、第１の半導体基板32および／または第２の半導体基板34の各集積回路へ接続されることになる制御および記憶構造を形作る１または複数の個別の集積回路を備えている。ここで図示した実施例において、制御および記憶構造は、信号処理を支援し、または信号処理ユニット74、76の正常な機能を監視することができる、コンパレータ78、記憶域（memory ranges）80および「ウォッチドッグ」82、を含む。

コンパレータ78は、例えば、２つのデジタル量を比較する電子回路である。「ウォッチドッグ」82は、ソフトウェア機能不全による電子部品の全体の故障に前もって対処できる集積回路である。この「ウォッチドッグ」は、例えば、ソフトウェアによって一定の間隔で特定の値にセットされて、ハードウェアに関して連続的にデクリメントされるカウンタとして構成される。カウンタが値０に達する場合、ソフトウェアの故障があるとみなすことができる。そして、「ウォッチドッグ」は特に安全スイッチング装置の安全機能のトリガーとなる予め定められた応答を実行する。記憶域80は、例えば、安全スイッチング装置のパラメータを記憶したリードオンリーメモリ、または処理ユニット74、76用のランダムアクセスメモリであってもよい。

追加の半導体基板72は、ここで示されるように、チップスタック36の第１および第２の半導体基板32、34の間に必ずしも配置される必要があるというわけではないことを理解すべきである。代替的に、追加の半導体基板72は、各第１および第２の半導体基板32、34の上または下に配置されることもできる。両方の第１および第２の信号処理ユニット74、76が追加の半導体基板72の制御および記憶構造に接続される場合、ここで図示される配置は特に好ましい。加えて、特に放射線および波の影響からの良好な保護は、追加の半導体基板72を基本的にすべて覆う第１のおよび第２の半導体基板32、34によって、確保されている。

図３に関連して前述したように、第１、第２および追加的な半導体基板32、34、72上の各集積回路の接続は、垂直接点素子60を介して成し遂げられる。同様に、前述したように、半導体基板の接続は、表面の接触面および追加の垂直接点素子（ここでは図示せず）を介して実行されてもよい。

例えば、ここで示される場合には、コンパレータ78は第１の半導体基板32上の第１の信号処理ユニット74、および、第２の半導体基板34上の第２の信号処理ユニット76の両方に接続される。このことにより、信号処理ユニット74、76は、非常に効率的に、そして、均一に（homogeneously）コンパレータ78に接続されることができて、実質的にいかなる幅をも有することができる。第１の信号処理ユニット74の値と第２の信号処理ユニット76の値との比較は、このように実質的に遅延のない方法で、単一の動作サイクルの間に行われる。

記憶域80に関して、第１の信号処理ユニット74が第１の記憶域80aに排他的にアクセスでき、第２の信号処理ユニット76が第２の記憶域80bに排他的にアクセスすることができるというような形態で、接点素子60を配置してもよい。一方、ウォッチドッグ82は、有利なことに両方の信号処理ユニット74、76に接続することができて、それらの正しい機能性を監視することができる。加えて、この構成において、半導体基板72を介して第１の半導体基板32から第２の半導体基板34まで垂直接点素子を配線することにより、第１の半導体基板32が第２の半導体基板34に直接接続されることが可能である。

図４の実施形態に代えて、第１、第２および追加の半導体基板32、34、72は、異なる材質特性を有し、および特に異なる基板の厚さを有していてもよい。追加の半導体基板72は、２つの信号処理ユニット74、76の互いからのシールドを有効にするために、第１および第２の半導体基板32、34より厚いことが好ましい。このように、より厚い追加の半導体基板72によって、第１の信号処理ユニット74から第２の信号処理ユニット76およびその逆への漏話（crosstalk）は、物理的に除去される。

最後に、図４は、別々に構成された第１および第２の電圧源84、86を示す。第１の電圧源84は第１の半導体基板32に接続され、第２の電圧源86は第２の半導体基板34に接続される。第１の半導体基板32の集積回路は第１の電圧源84を介して供給電圧を供給され、第２の半導体基板34の集積回路は第２の電圧源86を介して供給電圧を供給される。好ましくは、第１および第２の電圧源84、86はそれぞれ、過電圧監視ユニット（ここでは図示せず）を含む。過電圧監視ユニットは、例えば、クローバー（crowbar）回路を介して、過電圧の場合に電圧源を切り離すように構成される。

図４に示される構造は、他の実施形態において、互いに任意に結合されることができることを理解すべきである。よって、チップスタック36は、示される３つの半導体基板28、30、72からなるものに限られない。他の有利な実施形態において、追加の半導体基板および／または他の層、例えば、絶縁層を、チップスタック36の中に配列してもよい。図４に示される複数のシステムを、極めて小型の、nチャンネル型の、利用性に富み、および耐故障性のある「スタック上のシステム（systems on stack）」を実現するためにチップスタックの中に配設することも考えられる。全体としてこのように、二重ないし三重の冗長性を有する非常に経済的な、フレキシブルなおよび安全な安全スイッチング装置を作製することができる。そして、それはSIL3の安全度レベルの要件に適合することが可能となる。

Claims (8)

1. 入力信号が信号処理部に供給され、処理された出力信号を提供する少なくとも第１の信号処理チャンネル(28)および第２の信号処理チャンネル(30)を含む電子安全スイッチング装置(10)であって、
   前記第１の信号処理チャンネル(28)および前記第２の信号処理チャンネル(30)が、供給された入力信号を他のひとつに関して冗長に処理し、前記第１の信号処理チャンネル(28)および前記第２の信号処理チャンネル(30)がそれぞれ集積回路であり、
   前記第１の信号処理チャンネル(28)が第１の半導体基板(32)上にモノリシックに配置され、
   前記第２の信号処理チャンネル(30)が第２の半導体基板(34)上にモノリシックに配置され、
   前記第１の半導体基板(32)および前記第２の半導体基板(34)が、追加の半導体基板(72)をさらに備えるスタック(36)に結合されて、一体の電子部品(38)を形成し、
   前記第１の半導体基板(32)は第１の信号処理ユニット(74)を備え、
   前記第２の半導体基板(34)は第２の信号処理ユニット(76)を備え、
   前記追加の半導体基板(72)は制御部および記憶構造とを備え、
   前記第１の信号処理ユニット(74)および前記第２の信号処理ユニット(76)が前記制御部および記憶構造に接続されている、電子安全スイッチング装置。
2. 前記制御部および記憶構造は、前記第１の信号処理ユニット(74)と前記第２の信号処理ユニット(76)とを比較するためのコンパレータ(78)を備え、
   前記コンパレータ(78)は前記第１の信号処理ユニット(74)および前記第２の信号処理ユニット(76)に直接接続されている、請求項１に記載の電子安全スイッチング装置。
3. 前記追加の半導体基板(72)が前記スタック(36)の中の、前記第１の半導体基板(32)と前記第２の半導体基板(34)との間に配置されている、請求項１または請求項２に記載の電子安全スイッチング装置。
4. 前記第１の半導体基板(32)および前記第２の半導体基板(34)が前記スタック(36)の中で、互いから離れて空間的に配置されている、請求項１〜請求項３のいずれか１項に記載の電子安全スイッチング装置。
5. 絶縁層および／または追加の半導体基板(72)が前記第１の半導体基板(32)と前記第２の半導体基板(34)との間に配置されている、請求項１〜請求項４のいずれか１項に記載の電子安全スイッチング装置。
6. 前記スタック(36)が少なくとも２枚の半導体基板(32、34、72)および少なくとも一つの垂直接点素子(60)を含み、前記垂直接点素子(60)は、前記少なくとも２枚の半導体基板(32、34、72)を電気的に接続する、請求項１〜請求項５のいずれか１項に記載の電子安全スイッチング装置。
7. 入力信号が信号処理部に供給され、処理された出力信号を提供する少なくとも第１の信号処理チャンネル(28)および第２の信号処理チャンネル(30)を含む電子安全スイッチング装置(10)であって、
   前記第１の信号処理チャンネル(28)および前記第２の信号処理チャンネル(30)が、供給された入力信号を他のひとつに関して冗長に処理し、前記第１の信号処理チャンネル(28)および前記第２の信号処理チャンネル(30)がそれぞれ集積回路であり、
   前記第１の信号処理チャンネル(28)が第１の半導体基板(32)上にモノリシックに配置され、
   前記第２の信号処理チャンネル(30)が第２の半導体基板(34)上にモノリシックに配置され、
   前記第１の半導体基板(32)および前記第２の半導体基板(34)が、スタック(36)に結合されて、一体の電子部品(38)を形成し、
   前記第１の半導体基板(32)は、第１の信号処理ユニット(74)を備え、
   前記第２の半導体基板(34)は、第２の信号処理ユニット(76)を備え、
   前記第１の信号処理ユニット(74)は、前記第２の信号処理ユニット(76)に対して時間シフトした動作サイクルを備える、電子安全スイッチング装置。
8. 第１の電圧源(84)と第１の電圧源(84)と離れている第２の電圧源(86)とをさらに備え、
   第１の電圧源(84)が前記第１の半導体基板(32)に関連し、第２の電圧源(86)が前記第２の半導体基板(34)に関連している、請求項１〜請求項７のいずれか１項に記載の電子安全スイッチング装置。

Images