CN107209491A - 电子安全开关装置 - Google Patents

Abstract

本发明涉及一种电子安全开关装置(10)，其包括至少一个第一信号处理通道(28)和至少一个第二信号处理通道(30)，这些信号处理通道可以被提供有输入信号用于信号处理。信号处理通道提供经处理的输出信号。第一信号处理通道(28)和第二信号处理通道(30)相对于彼此冗余地处理所提供的输入信号。第一信号处理通道(28)和第二信号处理通道(30)均借助于集成半导体结构来构建。第一信号处理通道(28)单片式地布置在第一半导体衬底(32)上，并且第二信号处理通道(30)单片式地布置在第二半导体衬底(32)上，第一半导体衬底(32)和第二半导体衬底(34)被组合成堆叠体(36)并且形成单件式电子部件(38)。

Description

电子安全开关装置

本发明涉及一种电子安全开关装置，该装置包括至少第一信号处理通道和第二信号处理通道，输入信号可以被提供至这些信号处理通道用于信号处理，并且这些信号处理通道提供经处理的输出信号，其中，第一信号处理通道和第二信号处理通道相对于彼此冗余地处理所提供的输入信号，并且其中，第一信号处理通道和第二信号处理通道均是集成电路。

这样的安全开关装置例如是从DE 100 53 820 A1所知。

最初提到的安全开关装置主要用于工业部门并且可以在机械和工厂工程的几乎所有领域遇到。安全开关装置执行限定的安全功能。例如，它们提供用于对技术系统的运转的受控从而安全的停止，或者用于监测移动的装置的位置。通常，安全开关装置被配置成在发生故障并且受保护区域被破坏的情况下发起安全且可靠的响应。

应当理解，对这样的安全开关装置的故障安全有非常高的要求。从而，安全开关装置通常必须在其被允许用于工业应用之前首先接收由受批准监管机构进行的适当批准。例如，在德国，专业组织或(德国技术检查协会)执行这样的批准。功能安全的相关标准例如是用于开发电、电子和可编程电子(E/E/PE)系统的DIN EN 61508或用于开发用于处理工业的技术安全系统的EN 61511。这些标准尤其在其安全功能的可靠性方面限定用于评价(E/E/PE)系统的安全完整性水平(safety integrity levels，SIL)。在本发明的上下文中，安全开关装置是满足至少SIL 2的要求的那些装置。

用于实现该所要求的故障安全的已知且频繁使用的措施是将安全开关装置冗余地配置有多个通道，其中，至少两个信号处理通道监测彼此。如果信号处理通道中之一中发生故障，则第二信号处理通道能够检测到所述故障并且为机器区域中的人员实现安全状态。在该方法下，必须特别注意以相同方式影响多个或全部冗余信号处理通道的故障的可能起因(所谓的共起因故障)；否则，不能确保所要求的故障安全。

当批准安全开关装置时相关监管机构使用的一种频繁实践的方法是安全开关装置的设计者或制造者必须提供记录有任何可以想到的故障的详尽、详细的故障分析。其中必须证明安全开关装置可以以可靠方式对人员实现安全状态，即使在相应故障发生的情况下也是如此。这样的分析高度复杂，特别是在具有很多功能的复杂安全开关装置的情况下，从而对开发和生产有不利影响。此外，该故障分析必须重复，即使在安全开关装置的设计或结构有轻微变化的情况下也是如此，这例如是因为由于本身相同的部件在空间上不同的布置而导致可以单独地生成新故障源。

出于该原因，前面提及的DE 100 53 820 A1提供了一种电子安全开关装置，其中，冗余信号处理通道的必要部件由布置在单个半导体芯片上的集成半导体电路形成。提供了单个集成且不可变部件同时保持分离的信号处理通道的这种所谓的片上冗余具有以下优点：监管机构要批准的所要求的故障分析仅需要执行一次。之后的检查可以后续地被限制于遵守在半导体芯片的开发期间限定的规范的定量检查，特别是遵守预期的空间尺寸和所使用的材料的定量检查。

然而，由于在具有片上冗余的半导体芯片的设计和开发期间必须考虑的特定架构要求，所以这种芯片通常是专用产品(one-off products)，并且通常比具有冗余结构的常见半导体芯片(例如用于并行处理的现代多核处理器)昂贵许多倍。因此，在具有片上冗余并用于安全关键应用的半导体芯片中，必须在半导体衬底上为每个通道以及每个监测元件(例如监测器(watchdog))形成分离的物理块，所述块被布置成彼此间具有限定的间隔，因此不能彼此影响。此外，每个通道必须具有其自身的分离的输入端和输出端，这些输入端和输出端不允许通过其他块中之一。结果，芯片设计变得特别复杂，并且集成电路通常需要半导体衬底上的高于平均水平的面积，从而又增加了单个芯片的成本。

此外，在安全技术中存在严格禁止使用具有片上冗余的系统的应用领域。因此，例如，当使用非接触式保护装置(电敏保护设备或ESPE)时，可以不采用各个通道的信号处理单元被布置在一个半导体衬底上的系统。因此，这种保护装置当前不能包括已知的片上冗余系统。

因此，本发明的目的是详细说明开始所提到的安全开关装置，该安全开关装置是紧凑的、经济的、有效的并且可以用于所有普通保护装置。

根据本发明的一个方面，该目的通过开始提及的安全开关装置来实现，在该安全开关装置中，第一信号处理通道单片式地布置在第一半导体衬底上，并且第二信号处理通道单片式地布置在第二半导体衬底上，其中，第一半导体衬底和第二半导体衬底被组合成堆叠体并且形成单件式电子部件。

因此，与已知的片上冗余系统相比，本发明的构思是使用两个分离的半导体衬底，这两个衬底一个堆叠在另一个上从而形成单个电子部件，其中，第一信号处理通道的集成电路形成第一层，该第一层位于包括另一信号处理通道的集成电路的相应第二层之上。所述两个分离的半导体衬底有利地位于两个平行的层中，它们在与所述层正交的方向上彼此偏移。相应的半导体衬底上的各个集成电路可以彼此独立地设计，而不考虑对具有片上冗余的集成电路寄予的特定架构要求。因此，可以简化集成电路的设计，这是因为例如标准设计被用于集成处理单元。此外，集成电路可以以有效和节省空间的方式布置在相应的半导体衬底上，而不必遵守特定的技术安全要求，这又使得可以降低生产成本。

此外，使用彼此分离的两个半导体衬底具有以下优点：这种电子安全开关装置也可以用于由于目前的标准导致先前不允许使用具有片上冗余的系统的技术安全应用。因此，这样的安全开关装置也可以特别地用于先前必须使用具有以下信号处理的电子安全开关装置的非接触式保护装置：所述信号处理通过单独的部件和半导体芯片完全分开执行。因此，新型安全开关装置可以使用普通保护装置以通用和灵活的方式使用。

此外，安全开关装置具有以下优点：可以将堆叠体从所述两个半导体衬底组合成单件式部件。在本上下文中，“单件式”特别地指完成的电子部件之后不再能够被修改。换言之，在开发和设计期间，电子部件的结构已经被限定为不可变形式，但是最终的部件在制造过程期间由分离的半导体衬底组装成单件式部件。优选地，半导体衬底在堆叠体中一个直接设置在另一个的顶部并且永久地连接在一起成为单件式部件。特别有利的是，如果在将半导体衬底连接在一起成为堆叠体之后，单件式部件被半导体衬底周围以形状配合方式沉积的模制材料包围，则产生集成多通道逻辑部件，该集成多通道逻辑部件例如可以在自动放置过程中定位在印刷电路板上。有利的是，在监管机构进行批准期间实施的故障分析仅需要执行一次，并且之后的检查可以限于遵守所要求的设计规范。这种检查比重复的完整故障分析更简单且更经济。

总之，新型安全开关装置因此将片上冗余系统的优点与被配置成具有两个独立冗余的信号处理系统的系统的优点相结合。因此，完全实现了上述目的。

在优选实施方式中，堆叠体包括附加半导体衬底。

在该实施方式中，除了第一半导体衬底和第二半导体衬底之外，在堆叠体中布置了附加半导体衬底，该附加半导体衬底以与其他半导体衬底类似的方式配置，或者包括能够执行其他功能的结构。因此，“堆叠体上系统”(SoS)可以以简单的方式配置，并且可以再现芯片中的安全开关装置的相关功能，并且同时提供结构划分。

在特别优选的实施方式中，第一半导体衬底包括第一信号处理单元，第二半导体衬底包括第二信号处理单元，并且附加半导体衬底包括控制存储结构，其中，第一信号处理单元和第二信号处理单元耦接至控制存储结构。

在该实施方式中，附加半导体层被配置为控制存储结构，其例如可以包括比较器、“监测器”、与外围装置的接口、或RAM/ROM存储器。因此，信号处理单元可以以特别简单的方式配置，并且可以可选地使用标准设计，其中，通常使用的元件可以被布置在附加半导体衬底上。因此，为了实现鲁棒且经济的安全开关装置，各种部件可以组合成“堆叠体上系统”。此外，通过在单件式部件内布置安全开关装置的附加元件，可以事先可靠地排除其他故障源。特别地，从而可以防止在使用导体电缆布线分立部件时可能发生的布线故障。

在另一个特别优选的实施方式中，附加半导体衬底被布置在堆叠体中在第一半导体衬底和第二半导体衬底之间。

以这种布置，第一半导体衬底覆盖附加半导体衬底的第一侧面，并且第二半导体衬底覆盖附加半导体衬底的与第一侧面相对的侧面。换言之，堆叠体被配置成类似层系统，其中，附加半导体衬底形成中间层。优选地，第一半导体衬底和第二半导体衬底在相应侧上完全覆盖附加半导体衬底。因此，中间层——特别是布置在其上的存储结构——经由第一半导体衬底层和第二半导体衬底层被物理保护，使得对中间层的粒子和波影响可以最小化。有利地，因此可以可靠地保护“敏感”RAM存储器免受外部影响。

在另外的实施方式中，第一半导体衬底和第二半导体衬底空间上彼此间隔开地布置在堆叠体中。

在该实施方式中，第一半导体衬底和第二半导体衬底因此在堆叠体中一个没有直接位于另一个顶部，而是在空间上彼此分离。该措施具有以下优点：半导体衬底的集成电路可以彼此间隔开布置，从而物理地防止处理单元之间的信号串扰或短路。

在另一实施方式中，隔离层和/或附加半导体衬底被布置在第一半导体衬底与第二半导体衬底之间。

该措施具有以下优点：第一半导体衬底和第二半导体衬底可以以限定的彼此间隔来布置。因此，可以添加隔离层以便将两个半导体衬底彼此电气上去耦，由此可以消除集成电路之间的串扰和短路。特别地，附加半导体衬底也可以布置在第一半导体衬底和第二半导体衬底之间，所述附加半导体衬底行使可以由第一半导体衬底和/或第二半导体衬底上的半导体电路使用的功能。应当理解，由隔离层和半导体衬底构成的组合也可以用作中间层，以便结合上述优点。

在另一实施方式中，堆叠体包括至少两个半导体衬底和至少一个竖向接触元件，其中，竖向接触元件电连接所述至少两个半导体衬底。

在该实施方式中，集成电路布置在不同的半导体衬底上，但是可以经由堆叠体内的竖向接触元件连接。该措施具有以下优点：第一半导体衬底和第二半导体衬底上的半导体电路可以以简单的方式互连，以便例如使得能够进行进程间通信并且能够经由相应的其他信号处理通道监测各个信号处理通道。

可替选地，也可以设想到将冗余信号处理通道在外部互连——即在半导体衬底外部互连——用于相互数据交换。然而，另一方面，该优选措施具有以下优点：对于相互数据交换的故障分析在芯片堆叠体的开发期间也仅需要执行一次，并且可以减少信号处理通道的安装期间的故障。此外，经由竖向接触元件的内部数据交换能够更快并且更不受干扰环境影响。

在另外的实施方式中，第一半导体衬底包括第一信号处理单元，并且第二半导体衬底包括第二信号处理单元，其中，第一信号处理单元具有相对于第二信号处理单元时移的工作周期。

在该实施方式中，第一信号处理单元和第二信号处理单元具有处理器时钟，该处理器时钟限定信号处理单元的固定的、优选相同的工作周期。第一信号处理单元的工作周期相对于第二信号处理单元的工作周期移位至少一个时钟周期。这种措施具有以下优点：可以以简单的方式更佳地检测到由于常见原因引起的故障。因此，可以经由通过信号处理单元处理信号时的时间偏移来发现同时发生的故障，例如两个信号处理通道中的同时电压尖峰。优选地，两个信号处理单元使用统一的处理器时钟来工作，所述统一的处理器时钟对于时间偏移被移位一个相位。

在另一实施方式中，安全开关装置包括第一电压源和与第一电压源分离的第二电压源，其中，第一电压源与第一半导体衬底相关联，并且第二电压源与第二半导体衬底相关联。

在该实施方式中，第一半导体衬底和第二半导体衬底分别由单独的电压源供电，此外，单独的电压源还优选地具有其自身的监测电路以保护其免受过电压。该措施具有以下优点：每个半导体衬底及其集成电路可以使用单独的电压源，并且可以使由于有故障的电压源或意外过电压引起的故障风险最小化。通过这种措施，安全开关装置的故障安全进一步提高。

应当理解，在不脱离本发明的范围的情况下，上述特征及要在下文中说明的特征不仅可以以相应特定组合应用，而且可以以其他组合或单独使用。

在附图中示出了本发明的示例性实施方式，并且在下面的描述中更详细地说明。示出以下：

图1示出了机器设备上的新型安全开关装置的优选示例性实施方式的简化描述；

图2示出了新型安全开关装置的单件式电子部件的示例性实施方式的透视图；

图3示出了新型安全开关装置的芯片堆叠体的示例性实施方式的示意图；以及

图4示出了新型安全开关装置的芯片堆叠体的优选示例性实施方式的示意图。

在图1中，新型电子安全开关装置的示例性实施方式整体用附图标记10表示。

在该示例性实施方式中，安全开关装置与技术系统12相关联，技术系统12此处由机器人14示出。在操作期间，机器人14对在机器人14的操作区域中的人员构成危险。出于此原因，通过保护装置16确保机器人14的操作区域不被未经授权访问。在这里描述的情况下，保护装置16是光栅18形式的非接触式保护装置，其以如下方式被布置在技术系统12的访问区域中：进入访问区域的人或物体使在光栅18的发射器/接收器组合之间传输的多个光束中的至少一个光束中断。

光栅18经由线缆20连接至安全开关装置10，并且根据当前状态向安全开关装置10提供输入信号。在主动保护装置例如此处描述的光栅18的情况下，冗余输入信号即所谓的OSSD信号由保护装置独立地生成并且被发送至安全开关装置10。被动保护装置例如此处描述的紧急停止按钮22通常接收由安全控制器10提供的输出，并且将该输出作为输入信号回送至安全开关装置10。

在该示例性实施方式中，安全开关装置10包括具有用于接收输入信号以及用于提供输出信号的多个连接器的I/O单元24。在一些示例性实施方式中，这些连接器是例如以弹簧加载端子或者螺栓型端子的形式布置在安全开关装置10的壳体26表面上的连接端子。在其他示例性实施方式中，连接器可以是包含多个接触元件的插头或插座，其中每个引脚形成连接器。具有五个接触引脚的M8插座经常用于在现场级处连接保护装置或者其他传感器。

在此处描述的情况下，光栅18生成两个冗余输入信号(OSSD1、OSSD2)，所述两个冗余输入信号经由分离的线缆20提供给安全开关装置10。在其他示例性实施方式中，输入信号可以同样经由单根连接线缆的两根导线来发送。还可以设想，经由总线例如安全现场总线将输入信号发送至安全开关装置10。在这种情况下，I/O单元24被配置成实现所使用的总线的协议的通信模块。输入信号可以从通信模块中被读出，并且作为冗余输入信号对提供给安全开关装置10。

在本示例性实施方式中，安全开关装置10包括第一信号处理通道28和第二信号处理通道30，第一信号处理通道28和第二信号处理通道30被设计为相对于彼此冗余并且被设计为相对于彼此冗余地评估保护装置16、22的输入信号。两个信号处理通道28、30是至少部分集成电路，其中，第一信号处理通道28的集成电路被布置在第一半导体衬底32上，并且第二信号处理通道30的集成电路被布置在第二半导体衬底34上。第一半导体衬底32和第二半导体衬底34以自身已知的方式组合成芯片堆叠体36并且被封装成单件式电子部件38。

在优选示例性实施方式中，信号处理通道的所有必要部件是半导体衬底上的集成电路，并且半导体衬底被组合成堆叠体36。因此，芯片堆叠体36优选地包含可以以故障安全的方式处理输入信号的输入端和输出端、中央处理单元、存储器、比较器和A/D转换器。可替选地或者附加地，信号处理通道28、30还可以包括未被配置成集成电路的附加的分立部件。在此处描绘的情况下，安全开关装置10包括例如开关元件40a、40b、信号处理通道28、30中的每一个，上述中的每个都能够将高电压电位42切换到安全开关装置10的装置连接44a、44b，以使电流能够流向接触器46a、46b或者以中断该电流的流动。因此，每个开关元件40可以使致动器例如接触器46或者磁性电磁阀停用。

接触器46a、46b分别包括常开触点48a、48b。此处，常开触点48a、48b在从电流源50到机器人14的电流供给路径中彼此串联布置。只要安全开关装置10一关闭接触器46a、46，触点48就脱开，并且用于机器人14的电流源50被断开。相关专家很清楚，此处只是举例来描述这种“彻底的”断开。在有偏差时，在安全请求的情况下，机器人14的仅一些部分例如危险的驱动器也可以被停用，而机器人14的其他部分保持可运行。还可以设想延迟停用，使得机器人14可以可选地在停用驱动器之前以受控的方式停止。

应当理解，安全开关装置不限于此处描述的实施方式。本发明的上下文中的安全开关装置还包括例如可配置的安全开关装置、可编程安全控制器或者标准控制器的安全模块。

图2示出了单件式电子部件38的实施方式的高度简化的表示。相同的附图标记表示与先前的图1中相同的部分。

单件式电子部件38在此处被实现为包括双列直插封装(DIP)壳体的微芯片。包括第一半导体衬底32和第二半导体衬底34的芯片堆叠体36被布置在DIP壳体内的载体52上。半导体结构经由合适的连接方式——例如接合——连接至两个半导体衬底32、34上的导电路径54。导电路径54又连接至接触引脚56，经由该接触引脚56能够从外部接触半导体结构。经由接触引脚56，输入信号可以例如被路由至半导体衬底32、34上的集成电路，或者输出信号可以在外部路由。

在偏离常规电子部件时，在新型安全开关装置中，至少两个半导体衬底32、34被布置在电子部件38内。半导体衬底32、34优选地彼此覆盖地堆叠，使得半导体衬底32、34形成长方体堆叠体36。每个半导体衬底包含形成信号处理通道的一个独立的半导体结构。可以经由DIP壳体内的载体52上的导电路径54或者经由壳体外部的连接引脚56之间的连接在电子部件38内实现第一半导体衬底32的集成电路与第二半导体衬底34的半导体结构的耦接。然而，特别优选的是，集成电路已经在堆叠体36内部彼此耦接。如下面基于图3更详细地说明的那样，为了这个目的，平行于芯片堆叠体36的竖轴58的竖向连接被集成在半导体衬底32、34中。

在制造结束时，为DIP壳体设置了涂层部分，此处未示出该涂层部分。涂层部分被涂覆在导电路径54和芯片堆叠体36上方。因此，导电路径54和芯片堆叠体36被包围在DIP壳体内部，并且因此被安全地保护以免受变化和环境影响。同样地，不再可能发生或者仅在有限的程度上可能发生信号处理通道的结构或其耦接的后续变化。

应当理解，此处所描绘的DIP壳体仅是可以在其中布置此处描述的芯片堆叠体36的一种可能的壳体形式，并且不被理解为是限制性的。其他常见的壳体形式例如使用SMD技术的小外形(SO)壳体也同样可以设想为用于此处提供的单件式电子部件的设计。此外，在另一个示例性实施方式中，芯片堆叠体36的封装还可以通过包围芯片堆叠体36并且以形状配合的方式沉积在半导体衬底32、34周围的模制材料来实现。通过将芯片封装在壳体中和/或通过将芯片包围在模制材料中，获得了例如可以在自动化放置过程期间定位在印刷电路板上的集成的多通道逻辑部件。

图3示出了芯片堆叠体36的示例性实施方式的简化示意图。在该示例性实施方式中，芯片堆叠体36包括一个布置在另一个上方而成为堆叠体的第一半导体衬底32和第二半导体衬底34。半导体结构被布置在半导体衬底32、34上，形成了具有有源部件和无源部件的单片式电路。在此处描述的情况下，第一信号处理通道28的电子电路被布置在第一半导体衬底32上，并且第二信号处理通道30的电子电路被布置在第二半导体衬底34上。

在制造期间，半导体衬底32、34可以最初彼此独立地被制造，并且被设置有相应的半导体结构。还可以设想，两个半导体衬底32、34最初是普通基底半导体衬底的一部分，在该基底半导体衬底上同时配置有用于不同芯片的多个半导体结构。随后，该基底半导体衬底被分割成多个单个芯片，所述多个单个芯片进而一个放置在另一个之上而形成芯片堆叠体。然而，为了防止共起因故障，芯片堆叠体36的各个半导体衬底优选地来自不同的制造切片。

芯片堆叠体36不限于使用特定的半导体衬底和基底材料。除普通的硅半导体之外，还可以使用例如有机半导体，即所谓的塑料电子器件。优选地，芯片堆叠体36包括非常薄的半导体衬底，其中，可以通过堆叠体来实现足够的稳定性。同样地，半导体衬底不一定必须相同。还可以设想使用具有不同材料厚度的半导体衬底的设计。例如，基底层可以由比堆叠体36的其他层更厚的半导体衬底形成，来为堆叠体36提供稳定的基底。

半导体衬底上的集成电路最初彼此独立，并且仅在这些集成电路被堆叠在一起之后被耦接。耦接在外部发生，或者通过竖向接触元件60在堆叠体内发生。在此处所示的情况下，芯片堆叠体36包括用于耦接的多个竖向接触元件60。竖向接触元件60是被配置成与芯片堆叠体36的堆叠方向62平行的导体。竖向接触元件60被称为“硅通孔”(TSV)，并且在两个半导体衬底之间建立电连接。竖向接触元件60是通过钻孔或者特定蚀刻方法在半导体衬底中产生的孔或凹部。半导体衬底中的孔与半导体衬底中的半导体结构接触并且延伸至半导体衬底的至少一侧的表面。这些孔填充有导电材料例如铜或铝，并且在半导体衬底的堆叠体中一个在另一个之上齐平地布置，使得第一半导体衬底32的孔中的导电材料与第二半导体衬底34中的另一个孔的导电材料电接触。以这种方式，可以在第一半导体衬底32和第二半导体衬底34的半导体结构之间建立直接连接，从而可以在两个半导体结构之间进行几乎无延迟的进程间通信。

应当理解，可替选地，如先前关于图2所述的那样，半导体衬底32、34之间的连接也可以建立在芯片堆叠体36的外部。为了这个目的，半导体衬底上的半导体结构的触点被布线到外部，并且优选地在单件式部件的内部仍互连。

为了接触第一半导体衬底32的半导体结构，以自身已知的方式经由接合线66可接触的第一接触表面64在此处被示意性地布置在第一半导体衬底32的表面上。另外，在该优选示例性实施方式中，第二接触表面68被布置在第一半导体衬底32的表面上，第二半导体衬底34的半导体结构经由该第二接触表面68可接触。为了这个目的，第二接触表面68以先前所述的方式经由附加的竖向接触元件70连接至第二半导体衬底34的半导体结构。有利地，用于接触未封装的半导体芯片的常见方法因此也可以用于接触未封装的芯片堆叠体36。可替选地或者附加地，还可以将从外部可接触的接触表面配置在第二半导体衬底上。

作为接合线66的替选方案，可以设想用于接触未封装的芯片堆叠体36的其他选项，例如倒装芯片装配，也称为可控塌陷芯片连接(C4)。在倒装芯片装配中，未封装的芯片堆叠体36被向下安装在载体上，直接面对半导体衬底32、34中的一个的有源接触侧，而无需另外的连接线。这导致壳体的尺寸特别小并且导体长度特别短。因此可以以特别简单和有效的方式消除由接合线接触引起的短路。另外，使用倒装芯片接合技术，所有触点的连接同时进行；因此，可以减少制造时间。为了接合芯片，除了钎焊和导电接合之外，还可以使用压焊(热接合)作为接合方法。此外，倒装芯片装配的优点在于，在接触期间，通常只有轻微的机械应力被施加在要接触的芯片上。因此，还可以使用非常薄且多孔的半导体衬底32、34来制造芯片堆叠体36。使用倒装芯片方法装配的芯片通常不再单独封装，而是为该芯片提供合金或者填充化合物以使其免受环境影响和变化。这种“封装”的制造是特别经济的。

图4示出了芯片堆叠体36的特别优选的示例性实施方式的简化示意图。在该示例性实施方式中，芯片堆叠体36由第一半导体衬底32、第二半导体衬底34和附加半导体衬底72形成。第一半导体衬底32和第二半导体衬底34被配置成基本上相同。因此，第一半导体衬底32包括集成电路形式的第一信号处理单元74，并且第二半导体衬底34包括集成电路形式的第二信号处理单元76。

在特别优选的示例性实施方式中，第一信号处理单元74和第二信号处理单元76在功能上是相同的，但是相对于彼此进行了不同的配置，以能够降低信号处理期间的共起因故障的风险。第一信号处理单元74与第一信号处理通道28相关联，并且第二信号处理单元76与第二信号处理通道30相关联。第一信号处理单元74和第二信号处理单元76并行处理输入信号并且彼此独立地根据输入信号生成输出信号。优选地，仅第一信号处理单元74和第二信号处理单元76被设置在第一半导体衬底32和第二半导体衬底34上。

第一信号处理单元74和第二信号处理单元76共同起到容错系统的作用，并且并行地处理输入信号。这种冗余被称为双模块冗余(DMR)，并且针对故障提供高水平的鲁棒性。DMR系统可以可靠地检测故障，但不能容易地确定发生故障的通道。为了这个目的，在另一示例性实施方式中，安全开关装置可以包括至少一个附加信号处理单元，优选地也集成在单件式电子部件中，从而生成三重冗余。具有三重冗余的系统也被称为三模块冗余(TMR)系统，并且例如被用于飞机或者对于可用性具有高要求的系统中。除了能够检测故障之外，TMR系统还可以基于多数原则进行补救。

在该示例性实施方式中，信号处理单元74、76还分别由单独的处理器时钟88驱动。优选地，第一信号处理单元74和第二信号处理单元76的处理器时钟相对于彼此有相移。因此，信号处理单元74、76并行地处理输入信号，但是具有微小的时间偏移。因此，可以进一步提高故障安全性，因为可以可靠地检测在两个通道上同时发生的干扰例如短暂的电压尖峰。

此外，在该优选示例性实施方式中，附加半导体衬底72被布置在第一半导体衬底32与第二半导体衬底34之间。附加半导体衬底72包括形成控制存储结构的一个或者多个分离的集成电路，所述一个或者多个分离的集成电路可以耦接至第一半导体衬底32和/或第二半导体衬底34的集成电路。在此处描述的示例中，控制存储结构包括可以辅助信号处理或者可以监测信号处理单元74、76正常运行的比较器78、存储区80和“监测器”82。

比较器78例如是用于比较两个数字值的电子电路。“监测器”82是可以预先防止由于软件故障而导致的电子部件的总故障的集成电路。因此，“监测器”例如被配置成由软件以规定间隔设置为特定值并且在硬件方面连续递减的计数器。如果计数器达到值0，则可以假定软件发生故障，并且“监测器”执行预定响应，在此处预定响应特别地导致触发安全开关装置的安全功能。存储区80可以例如是用于处理单元74、76的随机存取存储器或者具有所存储的安全开关装置的参数的只读存储器。

应当理解，如此处描绘的那样，附加半导体衬底72不一定必须被布置在芯片堆叠体36中在第一半导体衬底32与第二半导体衬底34之间。可替选地，附加半导体衬底72还可以被布置在第一半导体衬底32和第二半导体衬底34的上方或下方。如果第一信号处理单元74和第二信号处理单元76二者都耦接至附加半导体衬底72的控制存储结构，则此处所描绘的布置是特别优选的。另外，通过使第一半导体衬底32和第二半导体衬底34基本上完全覆盖附加半导体衬底72，可以提供对辐射和波影响的特别好的防护。

如先前参照图3所述，通过竖向接触元件60实现了第一半导体衬底32、第二半导体衬底34和附加半导体衬底72上的集成电路的耦接。同样，如前所述，也可以通过表面上的接触表面和附加的竖向接触元件(此处未示出)来实现半导体衬底的接触。

例如，在此处描述的情况下，比较器78耦接至第一半导体衬底32上的第一信号处理单元74和第二半导体衬底34上的第二信号处理单元76二者。因此，信号处理单元74、76可以非常有效和均匀地连接至比较器78，并且具有几乎任意宽度。因此，可以在单个工作周期中以几乎无延迟的方式进行对第一信号处理单元74与第二信号处理单元76之间的值的比较。

对于存储区80，接触元件60可以以这样的方式布置，使得第一信号处理单元74可以独占地访问第一存储区80a，并且第二信号处理单元76可以独占地访问第二存储区80b。从而“监测器”82可以进而有利地连接至信号处理单元74、76并且监测信号处理单元74、76的正确功能。此外，在该配置中，还可以将第一半导体衬底32直接连接至第二半导体衬底34，因为竖向接触元件从第一半导体衬底32通过附加半导体衬底72被布线到第二半导体衬底34。

作为图4中的描绘的替选方案，第一半导体衬底32、第二半导体衬底34和附加半导体衬底72可以另外具有不同的材料特性，特别是不同的衬底厚度。优选地，附加半导体衬底72比第一半导体衬底32和第二半导体衬底34厚，以能够使两个信号处理单元74、76彼此屏蔽。因此，借助于较厚的附加半导体衬底72，可以从物理上消除从第一信号处理单元74到第二信号处理单元76的串扰，反之，也可以从物理上消除从第二信号处理单元76到第一信号处理单元74的串扰。

最后，图4示出了被配置成彼此分离的第一电压源84和第二电压源86。第一电压源84耦接至第一半导体衬底32，并且第二电压源86耦接至第二半导体衬底34。经由第一电压源84向第一半导体衬底32的集成电路提供供电电压，并且经由第二电压源86向第二半导体衬底34的集成电路提供供电电压。优选地，第一电压源84和第二电压源86分别包括过电压监测单元(此处未示出)。过电压监测单元被配置成在过电压的情况下例如经由撬棒电路(crowbar circuit)使电压源去耦。

应当理解，在另一示例性实施方式中，图4所示的结构可以彼此任意组合。因此，芯片堆叠体36不限于所示出的三个半导体衬底28、30、72。在其他有利的实施方式中，附加半导体衬底和/或其他层例如隔离层可以被布置在芯片堆叠体36中。还可以设想，图4所示的多个系统被容纳在芯片堆叠体中以实现极其节省空间的n通道、高可用性且容错的“堆叠体上系统”。总之，因此可以创建能够符合SIL3安全完整性等级的要求的具有双重或三重冗余的成本效益高、灵活且安全的安全开关装置。

Claims (10)

1.一种电子安全开关装置(10)，包括至少第一信号处理通道(28)和第二信号处理通道(30)，输入信号能够被提供至所述至少第一信号处理通道和第二信号处理通道用于信号处理，并且所述至少第一信号处理通道和第二信号处理通道提供经处理的输出信号，

其中，所述第一信号处理通道(28)和所述第二信号处理通道(30)相对于彼此冗余地处理所提供的输入信号，并且其中，所述第一信号处理通道(28)和所述第二信号处理通道(30)均是集成电路，

其特征在于，

所述第一信号处理通道(28)单片式地布置在第一半导体衬底(32)上，并且所述第二信号处理通道(30)单片式地布置在第二半导体衬底(32)上，

其中，所述第一半导体衬底(32)和所述第二半导体衬底(34)被组合成堆叠体(36)并且形成单件式电子部件(38)。

2.根据权利要求1所述的电子安全开关装置，其特征在于，所述堆叠体(36)包括附加半导体衬底(72)。

3.根据权利要求2所述的电子安全开关装置，其特征在于，所述第一半导体衬底(32)包括第一信号处理单元(74)，所述第二半导体衬底(34)包括第二信号处理单元(76)，并且所述附加半导体衬底(72)包括控制存储结构，

其中，所述第一信号处理单元(74)和所述第二信号处理单元(76)耦接至所述控制存储结构。

4.根据权利要求3所述的电子安全开关装置，其特征在于，所述控制存储结构包括用于比较所述第一信号处理单元(74)和所述第二信号处理单元(76)的比较器(78)，

其中，所述比较器(78)直接连接至所述第一信号处理单元(74)和所述第二信号处理单元(76)。

5.根据权利要求2至4中的一项所述的电子安全开关装置，其特征在于，所述附加半导体衬底(72)被布置在所述堆叠体(36)中在所述第一半导体衬底(32)与所述第二半导体衬底(34)之间。

6.根据权利要求1至5中的一项所述的电子安全开关装置，其特征在于，所述第一半导体衬底(32)和所述第二半导体衬底(34)空间上彼此间隔开地布置在所述堆叠体(36)中。

7.根据权利要求1至6中的一项所述的电子安全开关装置，其特征在于，在所述第一半导体衬底(32)与所述第二半导体衬底(34)之间布置有隔离层和/或附加半导体衬底(72)。

8.根据权利要求1至7中的一项所述的电子安全开关装置，其特征在于，所述堆叠体(36)包括至少两个半导体衬底(32，34，72)以及至少一个竖向接触元件(60)，其中，所述竖向接触元件(60)电连接所述至少两个半导体衬底(32，34，72)。

9.根据权利要求1至8中的一项所述的电子安全开关装置，其特征在于，所述第一半导体衬底(32)包括第一信号处理单元(74)，并且所述第二半导体衬底(34)包括第二信号处理单元(76)，

其中，所述第一信号处理单元(74)具有相对于所述第二信号处理单元(76)时移的工作周期。

10.根据权利要求1至9中的一项所述的电子安全开关装置，其特征在于第一电压源(84)和与所述第一电压源分离的第二电压源(86)，

其中，所述第一电压源(84)与所述第一半导体衬底(32)相关联，并且所述第二电压源(86)与所述第二半导体衬底(34)相关联。