BPatG 253
08.05

BUNDESPATENTGERICHT
IM NAMEN DES VOLKES

5 Ni 54/15 (EP)
(Aktenzeichen)

URTEIL


Verkündet am
10. Mai 2017
…




In der Patentnichtigkeitssache

…

- 2 -
…










betreffend das europäische Patent 1 188 096
(DE 500 01 721)

hat der 5. Senat (Nichtigkeitssenat) des Bundespatentgerichts auf Grund der
mündlichen Verhandlung vom 10. Mai 2017 durch den Vorsitzenden Richter Voit,
die Richterin Martens sowie die Richter Dipl.-Ing. Gottstein,
Dipl.-Ing. Univ. Albertshofer und Dipl.-Phys. Univ. Bieringer

für Recht erkannt:

I. Das europäische Patent 1 188 096 wird mit Wirkung für das
Hoheitsgebiet der Bundesrepublik Deutschland für nichtig er-
klärt.

II. Die Beklagte trägt die Kosten des Rechtsstreits sowie die
durch die Nebenintervention verursachten Kosten.

III. Das Urteil ist gegen Sicherheitsleistung in Höhe von 120 %
des jeweils zu vollstreckenden Betrages vorläufig vollstreck-
bar.
- 3 -
T a t b e s t a n d

Die Beklagte ist eingetragene Inhaberin des auch mit Wirkung für das Hoheitsge-
biet der Bundesrepublik Deutschland erteilten europäischen Patents
1 188 096 (Streitpatent), das am 21. Juni 2000 als internationale Anmeldung unter
der Nummer PCT/EP2000/005763 angemeldet und am 28. Dezember 2000 als
WO 2000/079353 veröffentlicht worden ist. Das Streitpatent, das die Priorität der
deutschen Patentanmeldung 199 28 517 vom 22. Juni 1999 in Anspruch nimmt,
wird beim Deutschen Patent- und Markenamt unter dem Aktenzeichen
DE 500 01 721.2 geführt. Es trägt die Bezeichnung „Steuerungssystem zum Steu-
ern von sicherheitskritischen Prozessen“.

Nach Durchführung eines Einspruchsverfahrens ist eine neue europäische Pa-
tentschrift (EP 1 188 096 B2) veröffentlicht worden, nach der Patentanspruch 1
wie folgt lautet:



Auf diese Fassung von Anspruch 1 sind die Ansprüche 2 bis 11 direkt oder indirekt
zurückbezogen. Wegen des Wortlauts dieser Ansprüche wird auf die Streitpatent-
schrift EP 1 188 096 B2 Bezug genommen.

Die Klägerin, die das Streitpatent in vollem Umfang angreift, macht dessen feh-
lende Patentfähigkeit geltend. Der Gegenstand des Streitpatents sei weder neu
noch beruhe er gegenüber dem Stand der Technik auf erfinderischer Tätigkeit.
Ihre Argumentation stützt die Klägerin auf folgende Dokumente:
„
„
- 4 -
D1 WO 98/44469 A2
D2 DE 197 42 716 A1
D3 DE 44 12 653 C2
D4 DE 198 40 562 A1

Mit Schriftsatz vom 3. März 2017 hat die B… GmbH, die von der
Beklagten wegen Verletzung des Streitpatents in Anspruch genommen wird, ihren
Beitritt zum Nichtigkeitsverfahren auf Seiten der Nichtigkeitsklägerin erklärt. Sie
macht ebenfalls den Nichtigkeitsgrund fehlender Patentfähigkeit geltend und beruft
sich hierbei zusätzlich auf folgende Dokumente:

N1 Norm DIN EN 954-1, veröffentlicht im März 1997
N2 Norm DIN EN 292-2, veröffentlicht im Juni 1995
N3a Entwurf der Norm DIN V VDE 0801, Teil 2, und IEC 61508-2, veröffentlicht
im August 1998
N3b Entwurf der Norm DIN V VDE 0801, Teil 3, und IEC 61508-3, veröffentlicht
im Januar 1996
N3c Entwurf der Norm DIN V VDE 0801, Teil 7, und IEC 61508-7, veröffentlicht
im September 1996
N4 CENELEC Norm prEN 50159-1, veröffentlicht im Oktober 1997
N5 Artikel "AS-Interface goes Safety", erschienen in: IEE, Ausgabe 4/99, S.
118-120, April 1999
N6 Artikel ,,Bus-Software mit Feuermelder", erschienen in: IEE, Ausgabe 8/98,
Seite 46 ff., 1998, im Streitpatent zitiert;
N7 Fachbuch "Interbus-S, Grundlagen und Praxis", Hüthig Buchverlag, Heidel-
berg, 1994, Alfredo Baginsky et aI.;
N8 „Fail Safe with PROFIBUS“ der PROFIBUS Nutzerorganisation e.V., ge-
druckt im April 1999;
N9 Applikationshandbuch der Firma Siemens „Safety Integrated: Das Sicher-
heitsprogramm für die Industrien der Welt“, Bestellnummer E20001-P285-
A733, März 1999;
- 5 -
N10 Auszug aus SIMATIC S5/PC/505 Automation Systems ST 50, Katalog,
1998, Fa. Siemens

Die Klägerin und die Nebenintervenientin beantragen,

das europäische Patent 1 188 096 mit Wirkung für das Hoheitsge-
biet der Bundesrepublik Deutschland in vollem Umfang für nichtig
zu erklären.

Die Beklagte beantragt,

die Klage kostenpflichtig abzuweisen, hilfsweise nach Maßgabe
des Hilfsantrags, der als Anlage zum Schriftsatz vom 6. April 2017
vorgelegt wurde.

Der geltende Hilfsantrag ist laut der Beklagten dahingehend zu verstehen, dass
jeder nebengeordnete Anspruch ggf. auch separat verteidigt wird. Gleiches gilt für
die abhängigen Ansprüche gemäß Hilfsantrag.

Die Klägerin und die Nebenintervenientin beantragen auch insoweit die Nichtiger-
klärung.

Der Hilfsantrag lautet wie folgt:

- 6 -



- 7 -







- 8 -






- 9 -









- 10 -





- 11 -





- 12 -





- 13 -








- 14 -
Nachrangig zur Verteidigung mit Patentanspruch 12 stellt die Beklagte in der
mündlichen Verhandlung einen weiteren Hilfsantrag, wonach im Unterschied zu
Anspruch 12, letztes Merkmal, der sicherheitskritische Teilprozess (28,30) nur
noch die Überwachung von Lichtschranken beinhaltet. Eine Beschränkung in glei-
cher Weise beansprucht sie nachrangig zur Verteidigung mit Patentanspruch 14.

Die Beklagte tritt dem Vorbringen der Klägerin und der Nebenintervenientin in je-
der Hinsicht entgegen.

Ihr Vorbringen stützt sie auf die folgenden Dokumente:

WW1 Auszug aus „Das Techniker Handbuch - Grundlagen und
Anwendungen der Maschinenbautechnik" von Alfred Böge
WW2 Auszug aus „InterBus-S-Installation" von Dieter Nickel
WW3 Auszug aus „Maschinensicherheit" von Winfried Gräf
WW4 Publikation „Grundlegende Informationen zum CAN-Bus" von
Thomas Wedemeyer
WW5 Internetauszug http://rn-wissen.de/wiki /index. php?title=CAN

Der Senat hat den Parteien mit einem Hinweis nach § 83 Abs. 1 PatG vom
28. Dezember 2016 die Gesichtspunkte mitgeteilt, die für die Entscheidung vo-
raussichtlich von besonderer Bedeutung sind.


E n t s c h e i d u n g s g r ü n d e

Die zulässige Klage ist begründet, da das Streitpatent wegen fehlender Patentfä-
higkeit für nichtig zu erklären ist (Art. II § 6 Abs. 1 Nr. 1 IntPatÜG i. V. m. Art. 138
Abs. 1 a, Art. 52 - 57 EPÜ). Es kann mangels Patentfähigkeit auch nicht in der
Fassung nach dem Hilfsantrag Bestand haben.
- 15 -
I. Zum Gegenstand des Streitpatents

1. Das Streitpatent betrifft ein Steuerungssystem zum Steuern von sicher-
heitskritischen Prozessen mit einer ersten Steuereinheit zum Steuern eines si-
cherheitskritischen Prozesses und mit einer Signaleinheit, die über E/A-Kanäle mit
dem sicherheitskritischen Prozess verknüpft ist, ferner mit einem Feldbus, über
den die erste Steuereinheit und die Signaleinheit verbunden sind, und mit einem
Busmaster zum Steuern der Kommunikation auf dem Feldbus, wobei die erste
Steuereinheit und die Signaleinheit sicherheitsbezogene Einrichtungen aufweisen,
um eine fehlersichere Kommunikation miteinander zu gewährleisten (vgl. Streit-
patent, Abs. [0001]).

Obwohl die Verwendung von Feldbussen zahlreiche Vorteile vor allem in Hinblick
auf den ansonsten erforderlich hohen Verkabelungsaufwand besäßen, sei ihre
Verwendung im praktischen Einsatz zur Steuerung von sicherheitskritischen Pro-
zessen bisher nicht möglich gewesen. Grund hierfür sei, dass die Feldbusse an-
gesichts ihrer für beliebige Einheiten frei zugänglichen Struktur die zur Steuerung
sicherheitskritischer Prozesse erforderliche Fehlersicherheit nicht gewährleisten
könnten (vgl. Streitpatent, Abs. [0005]).

Aus dem Stand der Technik nach der Druckschrift DE-A-197 42 716 sei eine
Steuer- und Datenübertragungsanlage bekannt, die auf einem Feldbus, insbeson-
dere dem Interbus, basiere und der die Aufgabe zugrunde lag, auch sicherheits-
bezogene Baugruppen integrieren zu können. Zur Lösung dieser Aufgabe sei vor-
geschlagen worden, sowohl im Busmaster als auch in den Busteilnehmern jeweils
sicherheitsbezogene Einrichtungen anzuordnen. Die sicherheitsbezogenen Ein-
richtungen würden dann zusätzlich zur eigentlichen Datenkommunikation Sicher-
heitsfunktionen ausführen, die die erforderliche Fehlersicherheit im Hinblick auf die
Steuerung von sicherheitskritischen Prozessen gewährleisten. Anschaulich ge-
sprochen werde die erforderliche Sicherheit hierbei vor allem dadurch erreicht,
dass der Busmaster durch die sicherheitsbezogenen Einrichtungen "sicher" ge-
macht werde (vgl. Streitpatent, Abs. [0007]).
- 16 -
Eine derartige Maßnahme sei bei der Entwicklung und beim Aufbau eines fehlersi-
cheren Steuerungssystems jedoch sehr aufwändig und kostenintensiv, da hierbei
der komplexe Busmaster selbst modifiziert werden müsse und nicht auf Standard-
bausteine zurückgegriffen werden könne. Darüber hinaus sei eine derartige Maß-
nahme auch im Betrieb eines darauf basierten Steuerungssystems nachteilig, da
die sicherheitsrelevante Kommunikation bei der Steuerung von komplexen Pro-
zessen in der Regel nur etwa bis zu 10 % der gesamten Kommunikation ausma-
che. Die genannte Maßnahme besitze somit den Nachteil, dass mit hohem Auf-
wand der Busmaster "sicher" gemacht werde, obwohl dies für 90 % und mehr der
von ihm gesteuerten Kommunikation gar nicht erforderlich sei (vgl. Streitpatent,
Abs. [0008] und [0009]).

Aufgabe der vorliegenden Erfindung sei daher, ein Steuerungssystem der ein-
gangs genannten Art anzugeben, das eine fehlersichere Kommunikation der an
einem sicherheitskritischen Prozess beteiligten Einheiten gewährleistet, wobei
gleichzeitig die Verwendung von Standardbausteinen als Busmaster möglich sei
(vgl. Streitpatent, Abs. [0010]).

2. Zur Lösung dieser Aufgabe wird in der erteilten Fassung mit Patentan-
spruch 1 ein Überwachungssystem vorgeschlagen, das sich in folgende Merkmale
gliedern lässt (ohne Bezugszeichen):

1.1 Steuerungssystem zum Steuern von sicherheitskritischen Prozessen,
1.2 mit einer ersten Steuereinheit zum Steuern eines sicherheitskritischen
Prozesses,
1.3 mit einer Signaleinheit, die über E/A-Kanäle mit dem sicherheitskriti-
schen Prozess verknüpft ist,
1.4 ferner mit einem Feldbus, über den die erste Steuereinheit und die Sig-
naleinheit verbunden sind
1.5 und mit einem Busmaster zum Steuern der Kommunikation auf dem
Feldbus
1.6 wobei die erste Steuereinheit und die Signaleinheit jeweils sicherheits-
- 17 -
bezogene Einrichtungen aufweisen, um eine fehlersichere Kommunika-
tion miteinander zu gewährleisten,
1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehrkana-
lige Struktur aufweisen,
1.8 eine zweite Steuereinheit zum Steuern von sicherheitsunkritischen Pro-
zessen,
1.9 wobei der Busmaster getrennt von der ersten Steuereinheit und der
Signaleinheit an den Feldbus angeschlossen ist, und
1.10 wobei die erste Steuereinheit ein eigenständiges Steuerprogramm zum
Steuern des sicherheitskritischen Prozesses aufweist, das die erste
Steuereinheit in die Lage versetzt, den sicherheitskritischen Prozess
unabhängig von anderen Steuereinheiten zu steuern.

3. Das Streitpatent richtet sich seinem sachlichen Inhalt nach an einen Ingeni-
eur mit Hochschulabschluss (Universität) der Fachrichtung Elektrotechnik, der
über langjährige Erfahrung in der Entwicklung von feldbusbasierten Steuerungs-
systemen für die Automatisierungstechnik verfügt. Dieser Fachmann besitzt auch
einschlägige Kenntnisse auf dem Gebiet der Sicherheitstechnik und ist mit den
zum Prioritätszeitpunkt geltenden nationalen und internationalen Normen vertraut.
4. Der so definierte Fachmann versteht den Gegenstand des unabhängigen
Patentanspruchs 1 und die darin verwendeten Begrifflichkeiten unter Heranziehen
der Beschreibung und der Zeichnungen der Streitpatentschrift wie folgt:

Patentanspruch 1 betrifft ein Steuerungssystem, das zum Steuern sicherheitskriti-
scher Prozesse geeignet ist (Merkmal 1.1). Unter einem sicherheitskritischen Pro-
zess versteht das Streitpatent einen Prozess in der Steuer- und Automatisie-
rungstechnik, von dem bei Auftreten eines Fehlers eine nicht zu vernachlässi-
gende Gefahr für Menschen oder auch materielle Güter ausgeht. Bei einem si-
cherheitskritischen Prozess muss daher mit im Idealfall 100%iger Sicherheit ge-
währleistet sein, dass der Prozess bei Vorliegen eines Fehlers in einen sicheren
Zustand überführt wird. Derartige sicherheitskritische Prozesse können auch Teil-
prozesse von größeren, übergeordneten Gesamtprozessen sein (vgl. Streitpatent,
- 18 -
Abs. [0006]). Als Beispiel für einen sicherheitskritischen Prozess wird im Streitpa-
tent die Steuerungsreaktion auf die Betätigung eines Not-Aus-Schalters genannt.
Die Steuerungsreaktion kann darin bestehen, den Gesamtprozess umgehend
stromlos zu schalten. Ein sicherer Zustand kann auch durch das Ansteuern eines
vorgegebenen Parameterbereichs erreicht werden (vgl. Streitpatent, Abs. [0018]).

Das Steuerungssystem nach dem erteilten Anspruch 1 weist folgende räumlich
körperliche Merkmale auf:

- eine erste Steuereinheit zum Steuern eines sicherheitskritischen Prozesses
(Merkmal 1.2).

Die erste Steuereinheit ist funktional dahingehend definiert, dass sie zum
Steuern eines sicherheitskritischen Prozesses geeignet ist. Gemäß dem
Ausführungsbeispiel in der Streitpatentschrift kann die erste Steuereinheit
aus einem mehrkanaligen, diversitären Mikrocontrollersystem bestehen
(vgl. Streitpatent, Fig. 1, Abs. [0048] bis [0050]). Es können auch mehrere
Steuereinheiten vorgesehen sein (vgl. Streitpatent, Anspruch 11,
„…zumindest zwei erste Steuereinheiten (14,54) … aufweist.). Die erste
Steuereinheit zeichnet sich dadurch aus, dass sie ein fehlersicheres
Bustelegramm erzeugen kann, bei dessen Empfang die Signaleinheit den
sicherheitskritischen Prozeß in einen sicheren Zustand überführt (vgl.
Streitpatent, Abs. [0017]).

- eine Signaleinheit, die über E/A-Kanäle mit dem sicherheitskritischen Pro-
zess verknüpft ist (Merkmal 1.3).

Signaleinheiten stellen gemäß Streitpatent Eingänge und Ausgänge (E/A-
Kanäle) bereit, über welche Zustandssignale (über Sensoren) aus dem
Prozess eingelesen und Steuersignale für die Prozesssteuerung (über Ak-
toren) ausgegeben werden (vgl. Streitpatent Abs. [0046]). Z. B. überführt
die Signaleinheit bei Empfang eines entsprechenden, von der ersten Steu-
- 19 -
ereinheit erzeugten, Bustelegramms den sicherheitskritischen Prozess in
einen sicheren Zustand (vgl. Streitpatent, Abs. [0017]). Im Ausführungsbei-
spiel gemäß der Figur 1 sind fünf Signaleinheiten 18, 20, 22, 24, 56 und
zwei erste Steuereinheiten 14, 54 vorgesehen. Gemäß dem Anspruch ist es
nicht ausgeschlossen, dass eine Signaleinheit auch zum Steuern eines si-
cherheitskritischen Prozesses geeignet ist.

- einen Feldbus, über den die erste Steuereinheit und die Signaleinheit
verbunden sind (Merkmal 1.4).

Unter einem Feldbus ist ein System zur Datenkommunikation zu verstehen,
an welches mehrere, im Idealfall beliebig viele Einheiten angeschlossen
werden können und welches eine Datenkommunikation zwischen den an
der Prozesssteuerung beteiligten Einheiten ermöglicht. Die Kommunikation
der Einheiten erfolgt auf dem Feldbus anhand von spezifizierten Protokol-
len. Ein derartiges Kommunikationssystem steht im Gegensatz zu einer in-
dividuellen Punkt-zu-Punkt Kommunikationsverbindung zwischen jeweils
zwei Einheiten, von deren Kommunikation miteinander andere Einheiten
vollständig abgetrennt sind. Als Beispiele für bekannte Bussysteme nennt
das Streitpatent den CAN-Bus, den PROFIBUS und den Interbus (vgl.
Streitpatent, Abs. [0003] und [0043]).

- einen Busmaster zum Steuern der Kommunikation auf dem Feldbus (Merk-
mal 1.5).

Der Busmaster ist funktional dazu ausgebildet, die Kommunikation auf dem
Feldbus zu steuern. Wie dies geschehen soll bzw. was darunter zu verste-
hen ist, lässt der Wortlaut des Anspruchs 1 des Streitpatents offen. Prinzi-
piell sind auch mehrere Busmaster bei einem Feldbus möglich (vgl. Streit-
patent, Abs. [0004]; „Bei vielen Feldbussen wird die Kommunikation von
zumindest einem Busmaster gesteuert,…“).
- 20 -
Gemäß Absatz [0004] des Streitpatents muss der Busmaster die für den
Feldbus spezifizierten Protokolle gewährleisten. Zudem sei der Busmaster
den angeschlossenen Einheiten (Busteilnehmern) übergeordnet, d. h. ohne
„Erlaubnis“ des Busmasters könne ein Busteilnehmer keine Daten an an-
dere Busteilnehmer senden. Wie diese „Erlaubnis“ oder die ebenfalls im
Streitpatent genannten „Busmasterfunktionalität“ funktional ausgestaltet
sein soll, lässt das Streitpatent jedoch offen. Gemäß dem einzigen Ausfüh-
rungsbeispiel des Streitpatents kommuniziert die erste Steuereinheit voll-
kommen eigenständig und unabhängig vom Busmaster mit den sicheren
Teilnehmern, indem die erste Steuereinheit selbständig die für die sicheren
Signaleinheiten bestimmten Daten im vom Busmaster erzeugten Bus-Tele-
gramm mit ihren eigenen Daten überschreibt. Auch entnimmt die erste
Steuereinheit die von den Signaleinheiten zurückgeschickten Daten aus
dem Bus-Telegramm eigenständig und unabhängig vom Busmaster.

Der Busmaster zeichnet sich somit dadurch aus, dass er eine Kommunika-
tion auf dem Feldbus ermöglicht.

- eine zweite Steuereinheit zum Steuern von sicherheitsunkritischen Prozes-
sen (Merkmal 1.8).

Die zweite Steuereinheit ist funktional dahingehend definiert, dass sie zum
Steuern sicherheitsunkritischer Prozesse geeignet ist. In welcher Einheit
diese zweite Steuereinheit räumlich/körperlich untergebracht ist, lässt der
Anspruch offen. Sie kann gemäß Streitpatent in einer Ausgestaltung ge-
trennt von der ersten Steuereinheit als Teilnehmer an den Feldbus ange-
schlossen werden (vgl. Streitpatent, Abs. [0025]), sie kann im Umkehr-
schluss somit auch in der ersten Steuereinheit enthalten sein. Die zweite
Steuereinheit kann auch den Busmaster umfassen und über diesen an den
Feldbus angeschlossen sein (vgl. Streitpatent, Abs. [0047], Fig. 1, Bezz. 16,
36).
- 21 -

Die erste Steuereinheit und die Signaleinheit müssen dazu geeignet sein, eine
fehlersichere Kommunikation miteinander zu gewährleisten (Merkmal 1.6). Wie
eine Kommunikation miteinander tatsächlich abläuft, lässt der Anspruch allerdings
offen. Aus fachmännischer Sicht kommunizieren zwei Einheiten dann miteinander,
wenn ein Informationsaustausch zwischen den Einheiten stattfindet.

Um eine fehlersichere Kommunikation miteinander gewährleisten zu können, wei-
sen die erste Steuereinheit und die Signaleinheit jeweils sicherheitsbezogene Ein-
richtungen auf (Merkmal 1.6). Sicherheitsbezogene Einrichtungen führen Sicher-
heitsfunktionen aus, die die erforderliche Fehlersicherheit im Hinblick auf die
Steuerung von sicherheitskritischen Prozessen gewährleisten (vgl. Streitpatent,
Abs. [0007]). Durch diese sicherheitsbezogenen Einrichtungen ist die erste Steu-
ereinheit (und die Signaleinheit) in der Lage, interne und auch externe Fehler, ggf.
im Zusammenspiel mit anderen sicheren Einheiten, festzustellen und zu korrigie-
ren (vgl. Abs. [0012]). Gemäß dem Streitpatent sind in einer sicherheitsbezogenen
Einrichtung Fehlerbeherrschungsmaßnahmen implementiert, die eine fehlersi-
chere Datenkommunikation ermöglichen. Die Fehlerbeherrschungsmaßnahmen
können durch eine von Mikrocontrollern ausgeführte Software implementiert wer-
den. Im Streitpatent sind mögliche Fehlerbeherrschungsmaßnahmen unter Ver-
weis auf den Artikel „Bus-Software mit Feuermelder“ (vgl. Anlage N6) genannt
(vgl. Streitpatent, Abs. [0049]).

Ob die zweite Steuereinheit sicherheitsbezogene Einrichtungen aufweist, lässt
Patentanspruch 1 offen. Eine Einschränkung diesbezüglich erfolgt erst mit Unter-
anspruch 5.

Die sicherheitsbezogenen Einrichtungen weisen jeweils eine mehrkanalige Struk-
tur auf (Merkmal 1.7), worunter das Streitpatent das Vorhandensein von zumin-
dest zwei parallelen Verarbeitungskanälen, die zueinander redundant sind, ver-
steht (vgl. Streitpatent, Abs. [0020]).
- 22 -
Der Busmaster gemäß Merkmal 1.5 soll getrennt von der ersten Steuereinheit und
der Signaleinheit an den Feldbus angeschlossen sein (Merkmal 1.9). Gemäß
Streitpatent kann ein Standard-Busmaster verwendet werden (Abs. [0013]).

Die erste Steuereinheit weist ein eigenständiges Steuerprogramm zum Steuern
des sicherheitskritischen Prozesses auf, das die erste Steuereinheit in die Lage
versetzt, den sicherheitskritischen Prozess unabhängig von anderen Steuerein-
heiten zu steuern (Merkmal 1.10). Ein Kennzeichen dieses Steuerprogramms ist,
dass die erste Steuereinheit den sicherheitskritischen Prozess unabhängig von
anderen Steuereinheiten eigenständig fehlersicher steuert und nicht nur ein re-
dundantes Element in Ergänzung anderer Steuereinheiten ist (vgl. Streitpatent,
Abs. [0016]). Eine Steuerung des sicherheitskritischen Prozesses, die unabhängig
von anderen Steuerungen ist, wird vor allem dadurch erreicht, dass auch die für
die Steuerung des Prozesses notwendige fehlersichere Kommunikation zwischen
erster Steuereinheit und Signaleinheit unabhängig von anderen Steuereinheiten
ausgeführt wird (vgl. Streitpatent, Abs. [0061]).


II. Zum Nichtigkeitsgrund fehlender Patentfähigkeit

1. Der Gegenstand des Patentanspruchs 1 in der erteilten Fassung gilt als
nicht neu gegenüber der deutschen Offenlegungsschrift DE 198 40 562 A1 (D4).

a) Grundlage der Prüfung der Neuheit ist das Wissen, das der Stand der
Technik am Prioritätstag dem Fachmann vermittelt. Grundsätzlich ist nur das vor-
weggenommen, was in der jeweiligen Entgegenhaltung eindeutig und unmittelbar
offenbart ist. Die Beurteilung, ob der Gegenstand eines Patents durch eine Vor-
veröffentlichung neuheitsschädlich getroffen ist, erfordert dabei die Ermittlung von
deren Gesamtinhalt. Offenbart kann dabei auch dasjenige sein, was im Patentan-
spruch und in der Beschreibung nicht ausdrücklich erwähnt ist, aus der Sicht des
Fachmanns jedoch für die Ausführung der unter Schutz gestellten Lehre selbst-
verständlich ist und deshalb keiner besonderen Offenbarung bedarf, sondern "mit-
- 23 -
gelesen" wird. (BGH, Urteil vom 16. Dezember 2008 – X ZR 89/07, BGHZ 179,
168 Rn. 25 - Olanzapin). Bei dem (Einzel-) Vergleich einer vorveröffentlichten
Druckschrift mit dem Gegenstand einer Patentanmeldung zur Prüfung der Neuheit
ist der Inhalt einer in der Vorveröffentlichung in Bezug genommenen weiteren
Druckschrift, die zur Grundlage der Vorveröffentlichung und damit zu deren Inhalt
gemacht ist, zu berücksichtigen. Insbesondere soweit sie das fachmännische Ver-
ständnis der offenbarten technischen Lehre bestimmt. Eine Vorveröffentlichung
kann dem Fachmann auch solche Informationen über einen technischen Sachver-
halt vermitteln, die nicht ausdrücklich dargestellt werden, die sich aber bei der
Befolgung der in ihr enthaltenen Anweisungen zwangsläufig ergeben. So werden
etwa durch die Beschreibung eines Verfahrens der Fachwelt auch die Kenntnisse
zugänglich gemacht, die bei der Nacharbeitung zwangsläufig offenbar werden
(BGH, Beschluss vom 14. August 2012 – X ZR 3/10, UV-unempfindliche Druck-
platte, Rn. 29; BGH, Urteil vom 17. Januar 1980 – X ZB 4/79, BGHZ 76, 97 -
Terephthalsäure, s. auch EPA, Entscheidung der Technischen Beschwerdekam-
mer vom 9. Februar 1982 – T 12/81, ABl. EPA 1982, 296, 301 f. - Diastereomere).
Dieser allgemeine Grundsatz für die Neuheitsprüfung gilt auch für nur bei der
Prüfung auf Neuheit zu berücksichtigenden Anmeldungen mit älterem Zeitrang
(vgl. Beck'scher Online-Kommentar Patentrecht, Fitzner/Lutz/Bodewig, 4. Edition,
Stand: 24. Februar 2017, § 3, Rn. 94).

b) Die Druckschrift DE 198 40 562 A1 (D4) mit älterem Zeitrang enthält eine
Bezugnahme auf die deutsche Offenlegungsschrift DE 197 42 716 A1 (D2) (vgl.
D4, Sp. 1, Z. 41 bis 43; Sp. 4, Z. 2 bis 4), welche somit zum Inhalt der D4 gemacht
ist. Bei einer Bezugnahme ist zunächst zu klären, welche Bedeutung aus Sicht
des Fachmannes der in der D4 enthaltenen Bezugnahme auf die D2 für den Of-
fenbarungsgehalt der erstgenannten Druckschrift beizumessen ist. Im Regelfall
verändert die Bezugnahme auf den Inhalt einer anderen Druckschrift, wenn sie nur
deren vollständigen Abdruck ersetzt, den in Bezug genommenen Text nicht. Die-
ser steht allerdings nicht isoliert in der Druckschrift, die auf ihn Bezug nimmt; viel-
mehr wird er in einen konkreten – gegebenenfalls veränderten – Zusammenhang
mit dem Inhalt dieser Druckschrift gestellt. Das kann unter Umständen dazu füh-
- 24 -
ren, dass der in Bezug genommene Text nicht mit seinem vollen Wortlaut, son-
dern nur insoweit als offenbart zu würdigen ist, wie dies dem Sinngehalt der Aus-
führungen, die auf ihn Bezug nehmen, entspricht (vgl. BGH, Beschluss vom
14. Mai 1985 – X ZB 19/83, Abschnitt III.).

Sowohl die D4 als auch die D2 gehen von einem Feldbussystem aus, wie dieses
beispielsweise in der Fachliteratur "Interbus-S, Grundlagen und Praxis", Hüthig
Buchverlag, Heidelberg, 1994, von Alfredo Baginsky et al. (Anlage N7) beschrie-
ben wird (vgl. D4, Sp. 3, Z. 14 bis 19; D2, Sp. 3, Z. 59 bis 63). Bei derartigen Feld-
bussystemen ist neben den Ein-/Ausgabegeräten eine übergeordnete Steuerein-
richtung angeschaltet (vgl. D2, Sp. 1, Z. 7 bis 10). Die Ausgabedaten der Steuer-
einrichtung werden bei diesen Feldbussystemen in einem Datenzyklus vom Mas-
ter zu den Busteilnehmern, und im selben Zyklus die Eingabedaten der Teilneh-
mer zum Master transportiert (vgl. N7, S. 39, letzter Absatz), d. h. die Steuerein-
richtung ist in dem Master, der für die Generierung des Taktes zuständig ist, vor-
gesehen. Diese weisen keine sicherheitsgerichteten Funktionen im Sinne des
Streitpatents auf (vgl. D2, Sp. 1, Z. 7 bis 27).

Kerngedanke der D2 ist es, ein derartiges Feldbussystem mit Sicherheitsfunktio-
nen auszustatten, die beispielsweise die Kategorie 3 bzw. 4 der europäischen
Norm EN 954-1 (Stand 1996) erfüllen (vgl. D2, Sp. 1, Z. 37 bis 41), wobei gemäß
der D2 sowohl in der im Master enthaltenen Steuerung als auch in den Busteil-
nehmern jeweils zusätzlich eine sicherheitsbezogene Einrichtung zum Ausführen
von vorbestimmten Sicherheitsfunktionen angeordnet wird (vgl. D2, Sp. 1, Z. 46
bis 49).

Kerngedanke der Lehre der D4 ist – ebenfalls wie die D2 ausgehend von dem be-
kannten Interbus-System – die Steuerung für sicherheitskritische Prozesse und
die zugehörigen Sicherheitsfunktionen nicht im Busmaster sondern in den weite-
ren Busteilnehmern zu realisieren (vgl. D4, Sp. 3, Z. 23 bis 28). Die standardmä-
ßig in dem Master vorgesehene Steuerung für die sicherheitsunkritischen Pro-
zesse bleibt dabei aus Sicht des Fachmanns unverändert. Dies resultiert auch aus
- 25 -
der Tatsache, dass der Busteilnehmer 11 in der D4 auch als Master-Steuerein-
richtung bezeichnet wird (vgl. D4, Fig. 1; Sp. 3, Z. 20, „Master-Steuereinrichtung
11“). Soweit in der D4 ausgeführt wird, dass der Master im Bussystem nur noch
die Aufgabe haben muss, die eigentliche Übertragung z. B. durch Generierung
des Taktes zu gewährleisten (vgl. D4, Sp. 3, Z. 45 bis 47), so bezieht der Fach-
mann diese Aussage auf die entsprechende Steuerung der in den Slaves reali-
sierten sicherheitskritischen Prozesse. Dieses Verständnis führt dazu, dass der in
Bezug genommene Text der D2 nicht mit seinem vollen Wortlaut, sondern nur in-
soweit als offenbart zu würdigen ist, soweit er sich auf die Ausführungen zur Aus-
gestaltung der sicherheitsgerichteten Funktionen in den weiteren Busteilnehmern
– und nicht im Busmaster – bezieht (vgl. auch D4, Sp. 3, Z. 68 bis Sp. 4, Z. 4).

c) Ausgehend von diesem Verständnis entnimmt der Fachmann der D4 ein
Steuerungssystem zum Steuern sicherheitskritischer Prozesse (vgl. D4, Titel,
Sp. 1, Z. 3 bis 5, Anspruch 1; Merkmal 1.1), bei dem gemäß dem Ausführungs-
beispiel an einen Feldbus 10 (Merkmal 1.4), eine Master-Steuereinrichtung 11
und Busteilnehmer 12, 13, 14 angeschlossen sind. Die Busteilnehmer 12 und 13
umfassen beispielhaft eine sicherheitsbezogene, mit einem Sensor gekoppelte
Eingangseinrichtung, der Busteilnehmer 14 eine sicherheitsbezogene Ausgangs-
einrichtung (vgl. D4, Fig. 1, Sp. 3, Z. 20 bis 28). Bei diesen Busteilnehmern han-
delt es sich mithin um Signaleinheiten im Sinne des Streitpatents, an denen je
nach Art des Busteilnehmers Eingangs- und/oder Ausgangseinheiten (E/A-Kanäle)
ausgebildet sind, über die sie mit dem sicherheitskritischen Prozess verknüpft sind
(vgl. D4, Sp. 1, Z. 55 bis 56; Merkmal 1.3). Das in der Figur 1 aufgezeigte Stan-
dard-Bussystem ist gemäß der D4 „derart erweitert, daß der Zugriff auf die über-
tragenen Datenpakete 15 nicht nur dem Master 11, sondern jedem angeschlosse-
nen Busteilnehmer bzw. Slave möglich ist. Die Slaves sind somit in der Lage, die
durch sie durchgereichten Informationen aktiv zu lesen und zu bearbeiten." (D4,
Sp. 3, Z. 35-40; Unterstreichung hinzugefügt). Die Master-Steuereinheit wird – wie
oben ausgeführt – nicht verändert. Der Busteilnehmer 12 überwacht gemäß D4
über Sensoren die zu sichernden Baugruppen und schreibt die sicherheitsbezo-
genen Informationen in ein Sicherheitsprotokoll, welches in den Datenstrom ein-
- 26 -
gefügt wird (vgl. D4, Sp. 3, Z. 60 bis Sp. 4, Z. 25; Sp. 4, Z. 52 bis 56). Der Busteil-
nehmer 12 ist somit in der Lage, ein fehlersicheres Bustelegramm zu erzeugen,
bei dessen Empfang der Busteilnehmer 14 den sicherheitskritischen Prozeß in
einen sicheren Zustand überführt. Dies entspricht bei fachlicher Lesart einer ers-
ten Steuereinheit zum Steuern eines sicherheitskritischen Prozess gemäß Streit-
patent (Merkmal 1.2). Erkennt eine sicherheitsbezogene Ausgangskomponente
z. B., dass ein sicherheitsbezogener Eingang gesetzt wurde (Notaus, . . .), schaltet
sie den ihr zugeordneten Ausgang, und somit die zu sichernde Baugruppe in den
sicheren Zustand (vgl. D4, Sp. 4, Z. 42 bis 46).

Zum Steuern der Kommunikation auf dem Feldbus ist in dem bekannten Steue-
rungssystem ein Busmaster (Master-Steuereinrichtung 11) vorgesehen (vgl. D4,
Fig. 1, Sp. 3, Z. 20; Merkmal 1.5). Die erste Steuereinheit in dem Busteilnehmer
12 und die Signaleinheit 14 weisen jeweils sicherheitsbezogene Einrichtungen auf
(vgl. D4, Sp. 3, Z. 52 bis 55; Sp. 3, Z. 68 bis Sp. 4, Z. 38, „Sicherheitsbezogene
Informationen schließlich werden in ein Sicherheitsprotokoll 23 eingeschrieben
und durch zusätzliche Informationen, wie insbesondere auch in der vollumfänglich
durch Bezugnahme hier inkorporierten DE-OS-197 42 716.2 beschrieben, abgesi-
chert.“; Merkmal 1.6teilw). Da jeder der Slaves (Busteilnehmer) in der Lage ist, die
durch sie durchgereichten Informationen aktiv zu lesen und zu bearbeiten (vgl. D4,
Sp. 3, Z. 38 bis 40), sind die erste Steuereinheit 14 und die Signaleinheit 12 dazu
geeignet, eine fehlersichere Kommunikation miteinander zu gewährleisten. Die für
eine Steuerung erforderlichen Informationen erhält der Busteilnehmer 14 (Signal-
einheit) gemäß der D4 über ein Bustelegramm von der Steuereinheit in dem Bus-
teilnehmer 12, die die entsprechenden Informationen in ein von der Master-Steu-
ereinrichtung erzeugtes Bustelegramm einfügt (vgl. D4, Sp. 4, Z. 39 bis 42). Es
findet somit ein Informationsaustausch zwischen der ersten Steuereinheit (Busteil-
nehmer 12) und der Signaleinheit 14 statt, d. h. die Steuereinheit und die Signal-
einheit kommunizieren miteinander im Sinne des Streitpatents (Merkmal 1.6Rest).

Der Senat kann der Beklagten nicht dahingehend folgen, dass in der D4 lediglich
ein „Watch dog“ gelehrt werde, bei dem die Signaleinheit 14 bei Unterbrechung
- 27 -
des Datenstromes die ihr zugeordneten Ausgänge in den sicheren Zustand
schaltet (vgl. D4, z. B. Sp. 1, Z. 34 bis 35; Z. 47 bis 49) und somit nach der Lehre
der D4 kein Datenaustausch miteinander stattfinde. Die Grundidee der D4 besteht
vielmehr darin, in einem Protokoll 23 ein Sicherheitsdatum 23a einschließlich einer
sicherheitsbezogenen Eingangsinformation 24 und einen Sicherheitscode 23b
(beispielsweise eine negierte Eingangsinformation 25, eine laufende Nummer 26,
eine Adresse 27, ein Codesicherungsverfahren z. B. "CRC" 28 oder eine Teilneh-
meradresse 29) von dem Busteilnehmer 12 zu dem Busteilnehmer 14 zu übertra-
gen (vgl. D4, Sp. 4, Z. 17 bis 25). Erkennt eine sicherheitsbezogene Ausgangs-
komponente an Hand dieser Daten z. B., dass ein sicherheitsbezogener Eingang
gesetzt wurde, schaltet sie den ihr zugeordneten Ausgang, und somit die zu si-
chernde Baugruppe in den sicheren Zustand (vgl. D4, Sp. 4, Z. 39 bis 46). Das
Abschalten der sicherheitsbezogenen Ausgänge kann z. B. durch das Senden
einer statischen Information, die nicht im Wertebereich der laufenden Nummer
liegt, erfolgen (vgl. Sp. 5, Z. 14 bis 17). Somit findet gemäß der D4 zwischen den
Busteilnehmern 12 und 14 eine Kommunikation miteinander statt.

Sowohl die aus D4 bekannte Steuereinheit als auch die Signaleinheit weisen eine
mehrkanalige Struktur auf (vgl. Sp. 2, Z. 46 bis 50; Sp. 3, Z. 52 bis 59; Merkmal
1.7). Wie der Figur 1 der D4 unmittelbar zu entnehmen ist, ist der Busmaster
(Master-Steuereinrichtung 11) getrennt von der ersten Steuereinheit 14 und der
Signaleinheit 12 an den Feldbus angeschlossen (Merkmal 1.9). Die erste Steuer-
einheit (Busteilnehmer 12) erzeugt eigenständig Datenprotokolle 23, die in die
vom Master kommenden Datenpakete 15 eingefügt werden und an Hand derer die
sicherheitsbezogene Ausgangskomponente 14 erkennt, dass ein sicherheitsbezo-
gener Eingang gesetzt wurde (vgl. D4, Sp. 4, Z. 43 bis 46). Die erste Steuereinheit
weist somit ein eigenständiges Steuerprogramm zum Steuern des sicherheitskriti-
schen Prozesses auf, das die erste Steuereinheit in die Lage versetzt, den sicher-
heitskritischen Prozess unabhängig von anderen Steuereinheiten zu steuern
(Merkmal 1.10).
- 28 -
In dem aus der D4 bekannten Bussystem können sich neben den sicherheitsbe-
zogenen Eingangs- und Ausgangseinheiten auch nicht sicherheitsbezogene Ein-
bzw. Ausgangseinheiten befinden (vgl. Sp. 5, Z. 18 bis 22). Der Fachmann er-
kennt bei der Nacharbeitung der Lehre der D4, dass bei einem Einsatz von nicht
sicherheitsbezogenen Ein- bzw. Ausgangseinheiten zwangsläufig eine zweite
Steuereinheit zum Steuern dieser sicherheitsunkritischen Prozesse erforderlich ist
(vgl. BGH, Beschluss vom 14. August 2012 – X ZR 3/10, UV-unempfindliche
Druckplatte, Rn. 29; BGH, Beschluss vom 17. Januar 1980 – X ZB 4/79, Tereph-
thalsäure). Diese Steuerung realisiert der Fachmann ausgehend von einem Stan-
dard-Interbussystem (vgl. D4, Sp. 3, Z. 14 bis 15) in der Master-Steuereinrichtung
11. Bei der Nacharbeitung der Lehre der D4 kommt der Fachmann daher zu ei-
nem Steuerungssystem, welches neben den übrigen Merkmalen des erteilten Pa-
tentanspruchs 1 auch eine zweite Steuereinheit zum Steuern von sicherheitsunkri-
tischen Prozessen aufweist (Merkmal 1.8).

d) Sowohl jedes einzelne Merkmal für sich als auch der Gegenstand des Pa-
tentanspruchs 1 der erteilten Fassung in seiner Gesamtheit sind damit aus der
Druckschrift D4 bekannt.

e) Die abhängigen Patentansprüche des Hauptantrags bedürfen keiner weite-
ren, isolierten Prüfung, weil die Beklagte sowohl schriftsätzlich als auch in der
mündlichen Verhandlung zu erkennen gegeben hat, dass sie die erteilte Fassung
als geschlossenen Anspruchssatz versteht und das Streitpatent in der Reihenfolge
erteilte Fassung und Hilfsantrag verteidigt, wobei explizit nur der Hilfsantrag da-
hingehend zu verstehen sei (vgl. Schriftsatz vom 6. April 2017), dass jeder An-
spruch auch separat verteidigt wird (vgl. BGH, Beschluss vom 27. Juni 2007 –
X ZB 6/05, BGHZ 173, 47 - Informationsvermittlungsverfahren II; Beschluss vom
26. September 1996 – X ZB 18/95, GRUR 1997, 120 - Elektrisches Speicherheiz-
gerät; BPatG, Urteil vom 29. April 2008 – 3 Ni 48/06 (EU), BPatGE 51, 45 – Io-
nenaustauschverfahren).
- 29 -
2. Keiner der Patentansprüche der hilfsweise verteidigten Fassung ist zur
Selbstbeschränkung des erteilten Patents geeignet, da dem jeweiligen Gegen-
stand die Patentfähigkeit fehlt. Im Ergebnis kann daher dahingestellt bleiben, ob
bei Patentanspruch 1 nach Hilfsantrag der von der Klägerin ebenfalls behauptete
Nichtigkeitsgrund der unzulässigen Erweiterung gegenüber den ursprünglichen
Anmeldeunterlagen (Art. II § 6 Abs. 1 Satz 1 Nr. 3 IntPatÜG) und bei Patentan-
spruch 12 nach Hilfsantrag der Nichtigkeitsgrund der Erweiterung des Schutzbe-
reichs (Art. II § 6 Abs. 1 Satz 1 Nr. 4 IntPatÜG) vorliegt.

2.1 Patentanspruch 1

a) Der Patentanspruch 1 nach Hilfsantrag ist zweiteilig gefasst und unterscheidet
sich vom erteilten Patentanspruch 1 in dem geänderten Merkmal 1.6HAPA1 und den
hinzugefügten Merkmalen 1.7aHAPA1 und 1.8aHAPA1 (Änderungen gegenüber der
erteilten Fassung unterstrichen):

1.6HAPA1 wobei die erste Steuereinheit und die Signaleinheit jeweils sicher-
heitsbezogene Einrichtungen aufweisen, um eine fehlersichere
Kommunikation miteinander über den Feldbus zu gewährleisten,
1.7aHAPA1 und zusätzlich zur eigentlichen Datenkommunikation Sicherheits-
funktionen ausführen, die die erforderliche Fehlersicherheit im Hin-
blick auf die Steuerung von sicherheitskritischen Prozessen ge-
währleisten,
1.8aHAPA1 wobei die zweite Steuereinheit keine sicherheitsbezogenen Ein-
richtungen aufweist,

b) Patentanspruch 1 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeignet,
da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale 1.1 bis 1.5, 1.7, 1,8 1.9 und 1.10 wird auf
die Ausführungen zur erteilten Fassung verwiesen.
- 30 -
Wie der Figur 1 der D4 zu entnehmen ist, findet auch dort die fehlersichere Kom-
munikation zwischen der ersten Steuereinheit im Busteilnehmer 12 und der Sig-
naleinheit 14 über den Feldbus 10 statt (Merkmal 1.6HAPA1). Das Merkmal
1.7aHAPA1 entspricht dem mit dem gerichtlichen Hinweis vom 28. Dezember 2016
formulierten Verständnis des Senats bezüglich des Merkmals 1.6. Die weitere
Charakterisierung der sicherheitsbezogenen Einrichtungen geht also nicht über
den bisherigen Gehalt des Merkmals 1.6 hinaus und kann somit auch die Patent-
fähigkeit des Anspruchs 1 nicht stützen.

Wie zur erteilten Fassung des Patentanspruchs 1 ausgeführt, realisiert der Fach-
mann bei der Nacharbeit der Lehre der D4 eine zweite Steuereinheit für sicher-
heitsunkritische Prozesse in der aus dem Interbus-Standard bekannten Master-
Steuereinrichtung 11, welche keine sicherheitsbezogenen Funktionen aufweist
(vgl. D2, Sp. 1, Z. 7 bis 27; Merkmal 1.8aHAPA1).

2.2 Abhängige Patentansprüche 2 bis 11

2.2.1 Patentanspruch 2

Wie zu Merkmal 1.6 der erteilten Fassung ausgeführt, ist die Steuereinheit in dem
Busteilnehmer 12 dazu geeignet, ein fehlersicheres Bustelegramm zu erzeugen,
bei dessen Empfang die Signaleinheit den sicherheitskritischen Prozeß in einen
sicheren Zustand überführt (vgl. D4, Sp. 4; Z. 39 bis 56).

2.2.2 Patentanspruch 3

In der D4 wird bezüglich der Absicherung der zu übertragenden Daten auf den
Standard EN 954-1 verwiesen, aus dem sich entsprechende Maßnahmen zur
Vermeidung bzw. Beherrschung von Fehlern ergeben. Gemäß dieser Norm bein-
halten bei Anwendungen mit höherem Risiko praktische Maßnahmen neben Re-
dundanz auch eine Diversität (vgl. N1, S. 5, li. Sp.). Der Fachmann ist an die Vor-
gaben der einschlägigen Norm EN 954-1 gebunden. Das Verständnis der techni-
- 31 -
schen Lehre der D4 umfasst für den Fachmann somit zwangläufig das Einhalten
der durch die Norm EN 954-1 vorgeschriebenen Maßnahmen und deshalb liest
der Fachmann bei der Nacharbeitung der Lehre der D4 mit, dass eine Diversität
bei mehrkanaligen Strukturen vorzusehen ist.

2.2.3 Patentanspruch 4

Wie zu Merkmal 1.8 des Hilfsantrags ausgeführt, erkennt der Fachmann in der D4
die zweite Steuerung in der Master-Steuerungseinrichtung 11, die getrennt von
der ersten Steuereinrichtung im Busteilnehmer 12 an den Feldbus 10 angeschlos-
sen ist (vgl. D4, Fig. 1).

2.2.4 Patentanspruch 5

Die E/A-Kanäle in den Busteilnehmern 12, 13 und 14 gemäß der D4 stellen Ein-
gänge und Ausgänge bereit, über die die Signaleinheit Zustandssignale des si-
cherheitskritischen Prozesses einlesen und Steuersignale zum Steuern des si-
cherheitskritischen Prozesses ausgeben kann (vgl. D4, Sp. 1, Z. 54 bis 57; Sp. 3,
Z. 23 bis 28). Ein Ausführungsbeispiel einer derartigen Signaleinheit ist auch der
in Bezug genommenen D2 zu entnehmen (vgl. D2, Fig. 2, Busteilnehmer 30;
Sp. 4, Z. 30 bis 33 (Sensoren 100, 102); Sp. 5, Z. 42 bis 46 (Schalter 170, 180)).

2.2.5 Patentanspruch 6

Wie zu Merkmal 1.8 des Patentanspruchs 1 gemäß Hilfsantrag ausgeführt, bein-
haltet die zweite Steuerung (Master-Steuerung 11) den Busmaster.

2.2.6 Patentansprüche 7 bis11

Gemäß der Lehre nach dem Ausführungsbeispiel der D4 handelt es sich bei dem
Feldbus um einen Interbus (entsprechend dem kennzeichnenden Merkmal des
Patentanspruchs 8), der standardmäßig einen umlaufenden Telegrammverkehr
- 32 -
zwischen einzelnen an den Feldbus angeschlossenen Einheiten bereitstellt (ent-
sprechend dem kennzeichnenden Merkmal des Patentanspruchs 7). Die erste
Steuereinheit in dem Busteilnehmer 12 ist bezogen auf eine Umlaufrichtung des
Telegrammverkehrs vor der Signaleinheit 14 angeordnet (vgl. D4, Fig. 1; entspre-
chend dem kennzeichnenden Merkmal des Patentanspruchs 9). Gemäß der Of-
fenbarung in der D4 in Spalte 3, Zeile 38 bis 40 können die Busteilnehmer die In-
formationen in den Datenpaketen 15 bearbeiten. Die erste Steuereinheit in dem
Busteilnehmer 12 muss daher zwingend Mittel aufweisen, um Telegrammdaten,
die an die Signaleinheit 12 adressiert sind, durch fehlersichere Telegrammdaten
zu ersetzen (entsprechend dem kennzeichnenden Merkmal des Patentanspruchs
10). Gemäß der Lehre der D4 können sich im System mehrere Eingangs- und
Ausgangseinrichtungen befinden (vgl. Sp. 5, Z. 18 bis 22; entsprechend dem
kennzeichnenden Merkmal des Patentanspruchs 11).

3. Nebengeordnete Patentansprüche 12 bis 15

3.1 Patentanspruch 12

a) Patentanspruch 12 nach Hilfsantrag lässt sich folgendermaßen gliedern
(ohne Bezugszeichen, Änderungen gegenüber der erteilten Fassung von Pa-
tentanspruch 1 durchgestrichen bzw. unterstrichen):
- 33 -

1.1HAPA12 Steuerungssystem zum Steuern von eines Gesamtprozesses, der
einen sicherheitskritischen Prozessen Teilprozess und außerhalb
des sicherheitskritischen Teilprozesses liegende nicht-sicher-
heitskritische Anteile beinhaltet, die keine sicherheitsbezogenen
Zusatzmaßnahmen erfordern,
1.2HAPA12 mit einer ersten Steuereinheit zum Steuern eines des sicher-
heitskritischen Prozesses Teilprozesses,
1.3 HAPA12 mit einer Signaleinheit, die über E/A-Kanäle mit dem sicher-
heitskritischen Prozess Teilprozess verknüpft ist,
1.4 ferner mit einem Feldbus, über den die erste Steuereinheit und die
Signaleinheit verbunden sind,
1.5 und mit einem Busmaster zum Steuern der Kommunikation auf
dem Feldbus,
1.5aHAPA12 wobei der Busmaster den übrigen an den Feldbus angeschlosse-
nen Busteilnehmern übergeordnet ist, so dass ein Busteilnehmer
ohne Erlaubnis des Busmasters keine Daten an andere Busteil-
nehmer senden kann,
1.5bHAPA12 wobei die erste Steuereinheit als einfacher Busteilnehmer, d.h.
ohne eine Busmasterfunktionalität an den Feldbus angeschlossen
ist,
1.6HAPA1 wobei die erste Steuereinheit und die Signaleinheit jeweils sicher-
heitsbezogene Einrichtungen aufweisen, um eine fehlersichere
Kommunikation miteinander über den Feldbus zu gewährleisten,
1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehr-
kanalige Struktur aufweisen,
1.8HAPA12 ferner mit einer zweiten an den Feldbus angeschlossenen Steuer-
einheit zum Steuern von der sicherheitsunkritischen Anteile des
Gesamtprozesses Prozessen,
1.8aHAPA12 wobei die erste Steuereinheit aufgrund der sicherheitsbezogenen
Einrichtungen eine sichere Steuereinheit ist, während die zweite
Steuereinheit eine Standard-Steuereinheit ist,
- 34 -
1.9 wobei der Busmaster getrennt von der ersten Steuereinheit und
der Signaleinheit an den Feldbus angeschlossen ist, und
1.10HAPA12 wobei die erste Steuereinheit ein eigenständiges Steuerprogramm
zum Steuern des sicherheitskritischen Prozesses Teilprozesses
aufweist, das die erste Steuereinheit in die Lage versetzt, den si-
cherheitskritischen Prozess Teilprozess unabhängig von anderen
Steuereinheiten und somit eigenständig fehlersicher zu steuern,
1.10aHAPA12 wobei der sicherheitskritische Teilprozess die Überwachung von
Schutzgittern, Schutztüren oder Lichtschranken beinhaltet.

b) Patentanspruch 12 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeig-
net, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale 1.4, 1.5, 1.7 und 1.9 wird auf die Ausfüh-
rungen zur erteilten Fassung verwiesen.

Dass das Steuerungssystem sowohl zum Steuern eines sicherheitskritischen Pro-
zesses (mittels der ersten Steuereinheit), als auch eines sicherheitsunkritischen
Prozesses (mittels der zweiten Steuereinheit) geeignet ist, ist bereits dem ur-
sprünglichen Wortlaut der Merkmale 1.2 und 1.8 zu entnehmen. Die in den An-
spruch 12 zusätzlich aufgenommenen Erläuterungen zur Unterteilung des Steue-
rungsprozesses in einen sicheren und einen nicht sicheren Anteil stellen also kein
neues Merkmal dar und werden deshalb bereits vom erteilten Anspruch 1 erfasst.
Zudem ist das Steuerungssystem nach der D4 ebenfalls dazu geeignet, da sich im
Bussystem sicherheitsbezogene Eingangs- und Ausgangseinrichtungen gemischt
mit nicht sicherheitsbezogenen Ein- bzw. Ausgangseinheiten befinden können
(vgl. D4, Sp. 5, Z. 18 bis 22; Merkmale 1.1HAPA12, 1.2HAPA12, 1.3HAPA12, 1.8HAPA12,
1.10HAPA12).

Gemäß der D4 wird durch die Master-Steuereinrichtung 11 die eigentliche Über-
tragung der Daten gewährleistet (vgl. D4, Sp. 3, Z. 45 bis 47). Die übrigen Busteil-
nehmer können diese in den Datenpaketen enthaltenen Daten bearbeiten (vgl. D4,
- 35 -
Sp. Sp. 3, Z. 38 bis 40). Mithin ist der Busmaster der D4 (Master-Steuereinrich-
tung 11) den übrigen an den Feldbus angeschlossenen Busteilnehmern überge-
ordnet, so dass ein Busteilnehmer ohne Erlaubnis des Busmasters (die Master-
Steuereinrichtung 11 ermöglicht die Kommunikation auf dem Feldbus) keine Daten
an andere Busteilnehmer senden kann (Merkmal 1.5aHAPA12). Bei der aus der D4
bekannten ersten Steuereinheit handelt es sich somit um einen einfachen Busteil-
nehmer, d. h. er ist ohne eine Busmasterfunktionalität an den Feldbus ange-
schlossen (Merkmal 1.5bHAPA12). Wie zur erteilten Fassung ausgeführt, handelt es
sich bei der Steuereinheit gemäß der D4 aufgrund der sicherheitsbezogenen Ein-
richtungen um eine sichere Steuereinheit, während es sich bei der zweiten Steu-
ereinheit um eine aus dem Interbus-System bekannte Standard-Steuereinheit
handelt (Merkmal 1.8aHAPA12). Gemäß der von der D4 in Bezug genommenen D2
beinhalten die sicherheitskritischen (Teil-)Prozesse beispielsweise die Überwa-
chung von Schutzgittern (vgl. D2, Sp. 4, Z. 1 bis 2) und das Verriegeln von Türen
(vgl. D2, Sp. 1, Z. 61 bis 62) (Merkmal 1.10aHAPA12).

c) Auch der nachrangig zur Verteidigung mit Patentanspruch 12 gestellte Hilfs-
antrag der Beklagten, wonach im Unterschied zu Anspruch 12, Merkmal
1.10aHAPA12, der sicherheitskritische Teilprozess nur noch die Überwachung von
Lichtschranken beinhaltet, ist zur Selbstbeschränkung nicht geeignet, da gemäß
der für den Fachmann einzuhaltenden Norm EN 954-1 insbesondere die Überwa-
chung von Lichtschranken zu den zu berücksichtigenden Anwendungsfällen bei
sicherheitsgerichteten Steuerungen zählen (vgl. N1, S. 3, li. Sp, 2. Spiegelstrich).

3.2 Patentanspruch 13

a) Patentanspruch 13 nach Hilfsantrag lässt sich folgendermaßen gliedern
(Änderungen gegenüber der erteilten Fassung von Patentanspruch 1 durchgestri-
chen bzw. unterstrichen):

1.1 Steuerungssystem zum Steuern von sicherheitskritischen Prozes-
sen,
- 36 -
1.2 mit einer ersten Steuereinheit zum Steuern eines sicherheitskriti-
schen Prozesses,
1.3 mit einer Signaleinheit, die über E/A-Kanäle mit dem sicher-
heitskritischen Prozess verknüpft ist,
1.4 ferner mit einem Feldbus, über den die erste Steuereinheit und die
Signaleinheit verbunden sind
1.5 und mit einem Busmaster zum Steuern der Kommunikation auf
dem Feldbus
1.6HAPA1 wobei die erste Steuereinheit und die Signaleinheit jeweils sicher-
heitsbezogene Einrichtungen aufweisen, um eine fehlersichere
Kommunikation miteinander über den Feldbus zu gewährleisten,
1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehr-
kanalige Struktur aufweisen,
1.8HAPA13 ferner mit einer zweiten Steuereinheit zum Steuern von sicher-
heitsunkritischen Prozessen,
1.9 wobei der Busmaster getrennt von der ersten Steuereinheit und
der Signaleinheit an den Feldbus angeschlossen ist, und
1.10 wobei die erste Steuereinheit ein eigenständiges Steuerprogramm
zum Steuern des sicherheitskritischen Prozesses aufweist, das die
erste Steuereinheit in die Lage versetzt, den sicherheitskritischen
Prozess unabhängig von anderen Steuereinheiten zu steuern, und
1.10aHAPA13 wobei die Signaleinheit nur zum Teil eine sichere Signaleinheit ist,
da nur ein Teil der über die Signaleinheit abgewickelten Signale
einer Steuerung und Kontrolle durch die sicherheitsbezogenen Ein-
richtungen unterliegt, wobei die Signaleinheit mit ihrem sicheren
Teil durch die erste Steuereinheit und mit ihrem nicht-sicheren Teil
durch die zweite Steuereinheit gesteuert wird.

b) Patentanspruch 13 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeig-
net, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.
- 37 -
Bezüglich der unveränderten Merkmale 1.1 bis 1.10 (die Änderung in Merkmal 1.8
ist rein textuell) wird auf die Ausführungen zur erteilten Fassung verwiesen.

In der Druckschrift D4 ist durch die vollumfängliche Bezugnahme auf die Druck-
schrift D2 ein Busteilnehmer 30 offenbart, der über eine Busanschaltvorrichtung
70 an einen Interbus angeschaltet ist. Dort ist eine sicherheitsbezogene Schal-
tungsanordnung 80 implementiert, die Sicherheitsfunktionen ausführen kann.
Diese Schaltungsanordnung 80 weist hierzu einen Sicherheitsbaustein 90 auf. Die
Eingänge 92, 93 des Sicherheitsbausteins 90 sind mit Sensoren 100, 102 verbun-
den. Der Sicherheitsbaustein 90 dient dazu, die von den Sensoren 100 und 102
kommenden Eingangsdaten zu negieren und als sicherheitsbezogene negierte
Daten zusammen mit einer Prüfinformation der Bus-Anschalteinrichtung 70 zuzu-
führen. Dadurch wird das Sicherheitsverhalten des Interbus-Systems verbessert,
da die Datenübertragungssicherheit erhöht wird (vgl. D2, Fig. 2; Sp. 4, Z. 4 bis 58).
Der Summenrahmen des Interbus-Protokolls wird einem Buszyklus zur Master-
Steuereinrichtung 20 übertragen (vgl. Sp. 5, Z. 6 bis 8).

Der Busteilnehmer 30 kann nicht nur sicherheitsbezogene Informationen zur
Master-Steuereinrichtung 20 übertragen, sondern im Gegenzug auch Daten oder
Informationen von der Master-Steuereinrichtung 20 empfangen, die von der Bus-
anschaltvorrichtung 70 ausgelesen werden (vgl. D2, Sp. 5, Z. 23 bis 28). Die si-
cherheitsbezogenen Informationen werden dem Sicherheitsbaustein 90 zugeführt,
dort interpretiert und ggfs. wird eine Sicherheitsfunktion ausgelöst, z. B. indem die
Schalter 170, 180 geöffnet werden, so dass die im Ausführungsbeispiel beschrie-
bene Drehmaschine 110 und der Schweißroboter 120 von dem Interbus abge-
trennt werden (vgl. Sp. 5, Z. 47 bis Sp. 6, Z. 3).

Bei geschlossenen Schaltern 170, 180 werden über diese Schalter insbesondere
Steuerdaten, Prozeß- und Parameterdaten – entsprechen sicherheitsunkritischen
Daten – zu der Drehmaschine 110 bzw. dem Schweißroboter 120 oder von diesen
zur Bus-Anschalteinrichtung übertragen. Dieser Übertragungsweg geht, wie der
- 38 -
Figur 2 der D2 unmittelbar zu entnehmen ist, nicht über den Sicherheitsbaustein
90 (vgl. D2, Fig. 2; Sp. 5, Z. 42 bis 46).

Somit offenbart die technische Lehre der D4, die der Fachmann mit den Ausfüh-
rungen der inkorporierten D2 versteht, eine Signaleinheit 30, die nur zum Teil eine
sichere Signaleinheit ist, da nur ein Teil der über die Signaleinheit abgewickelten
Signale einer Steuerung und Kontrolle durch die sicherheitsbezogenen Einrichtun-
gen unterliegt. Der Fachmann liest dabei mit, dass die Signaleinheit mit ihrem si-
cheren Teil durch die aus der D4 bekannte erste Steuereinheit und mit ihrem
nicht-sicheren Teil durch die aus der D4 bekannte zweite Steuereinheit gesteuert
wird (vgl. Ausführungen zur erteilten Fassung; Merkmal 1.10aHAPA13).

3.3 Patentanspruch 14

Patentanspruch 14 nach Hilfsantrag lässt sich folgendermaßen gliedern (Ände-
rungen gegenüber der erteilten Fassung von Patentanspruch 1 durchgestrichen
bzw. unterstrichen):

1.1 Steuerungssystem zum Steuern von sicherheitskritischen Prozes-
sen,
1.2HAPA14 mit einer zumindest zwei ersten Steuereinheit zum Steuern eines
von zumindest zwei sicherheitskritischen Prozesses Prozessen,
1.3HAPA14 mit einer zumindest zwei Signaleinheiten, die jeweils über E/A-Ka-
näle mit dem jeweils einem sicherheitskritischen Prozess verknüpft
ist sind,
1.4HAPA14 ferner mit einem Feldbus, über den die ersten Steuereinheiten und
die Signaleinheiten verbunden sind
1.5 und mit einem Busmaster zum Steuern der Kommunikation auf
dem Feldbus
1.5aHAPA14 wobei die ersten Steuereinheiten und die Signaleinheiten jeweils
als einfache Busteilnehmer, d.h. ohne Busmasterfunktionalität an
den Feldbus angeschlossen sind,
- 39 -
1.6HAPA14 wobei die zumindest zwei ersten Steuereinheiten und die zumin-
dest zwei Signaleinheiten jeweils sicherheitsbezogene Einrichtun-
gen aufweisen, um eine fehlersichere Kommunikation miteinander
über den Feldbus zu gewährleisten,
1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehr-
kanalige Struktur aufweisen,
1.8HAPA13 ferner mit einer zweiten Steuereinheit zum Steuern von sicher-
heitsunkritischen Prozessen,
1.9HAPA14 wobei der Busmaster getrennt von dern ersten Steuereinheiten und
dern Signaleinheiten an den Feldbus angeschlossen ist, und
1.10HAPA14 wobei die ersten Steuereinheiten jeweils ein eigenständiges Steu-
erprogramm zum Steuern des von einem der sicherheitskritischen
Prozesses aufweisent, wobei das Steuerprogramm die ersten
Steuereinheiten jeweils in die Lage versetzt, den einen der sicher-
heitskritischen Prozesse unabhängig von den anderen Steuerein-
heiten und somit eigenständig fehlersicher zu steuern,
1.10aHAPA12 wobei der sicherheitskritische Prozess die Überwachung von
Schutzgittern, Schutztüren oder Lichtschranken beinhaltet.

b) Patentanspruch 14 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeig-
net, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale 1.1, 1.5 und 1.7 (die Änderung in Merkmal
1.8 ist rein textuell) wird auf die Ausführungen zur erteilten Fassung verwiesen.

Gemäß der Offenbarung der D4 können sich im Bussystem des bekannten Steue-
rungssystems mehrere sicherheitsbezogene Eingangs- und Ausgangseinrichtun-
gen gemischt mit nicht sicherheitsbezogenen Ein- bzw. Ausgangseinheiten befin-
den. Somit wird auch in der D4 ein System mit zumindest zwei ersten Steuerein-
heiten zum Steuern von zumindest zwei sicherheitskritischen Prozessen und mit
zumindest zwei Signaleinheiten, die jeweils über E/A-Kanäle mit dem jeweils einen
sicherheitskritischen Prozess verknüpft sind, offenbart (vgl. Sp. 5, Z. 18 bis 20;
- 40 -
Merkmale 1.2HAPA14, 1.3HAPA14, 1.4HAPA14, 1.6HAPA14, 1.9HAPA14, 1.10HAPA14). Die
ersten Steuereinheiten und die Signaleinheiten sind dabei jeweils als einfache
Busteilnehmer, d. h. ohne Busmasterfunktionalität an den Feldbus angeschlossen
(vgl. Ausführungen zu Patentanspruch 12; Merkmal 1.5aHAPA14). Bezüglich Merk-
mal 1.10aHAPA12 und dem nachrangig zur Verteidigung mit Patentanspruch 14 ge-
stellten Hilfsantrag der Beklagten, wonach im Unterschied zu Anspruch 14, letztes
Merkmal, der sicherheitskritische Teilprozess nur noch die Überwachung von
Lichtschranken beinhaltet, wird auf die Ausführungen zu Merkmal 1.10aHAPA12 des
Patentanspruchs 12 nach Hilfsantrag verwiesen.

3.4 Patentanspruch 15

a) Patentanspruch 15 nach Hilfsantrag unterscheidet sich vom Patentan-
spruch 1 nach Hilfsantrag in dem nach Merkmal 1.9 eingefügten Merkmal:

1.9aHAPA15 wobei die erste Steuereinheit geeignet ist, ein fehlersicheres
Bustelegramm zu erzeugen, bei dessen Empfang die Signaleinheit
den sicherheitskritischen Prozeß in einen sicheren Zustand über-
führt, und
und in dem zusätzlichen Merkmal aus Patentanspruch 12 nach Hilfsantrag
1.10aHAPA12 wobei der sicherheitskritische Prozess die Überwachung von
Schutzgittern, Schutztüren oder Lichtschranken beinhaltet.

b) Patentanspruch 15 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeig-
net, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale wird auf die Ausführungen zu Patentan-
spruch 1 nach Hilfsantrag und zu Merkmal 1.10aHAPA12 auf die Ausführungen zu
Patentanspruch 12 nach Hilfsantrag verwiesen.

Merkmal 1.9aHAPA15 entspricht dem auf Patentanspruch 1 nach Hilfsantrag rückbe-
zogenen Patentanspruch 2, dessen Gegenstand ebenfalls aus der Druckschrift D4
- 41 -
bekannt ist. Es wird hierzu auf die entsprechenden Ausführungen zu Patentan-
spruch 2 unter III./2.1 verwiesen.

4. abhängige Patentansprüche 16 und 17

Die auf die nebengeordneten Patentansprüche 12 bis 15 nach Hilfsantrag rückbe-
zogenen Patentansprüche 16 und 17 entsprechen den auf Patentanspruch 1 nach
Hilfsantrag rückbezogenen Ansprüchen 2 und 5, bezüglich deren Offenbarung in
der D4 auf die Ausführungen unter III./2.1 und 2.4 in Verbindung mit Patentan-
spruch 1 nach Hilfsantrag verwiesen wird.

5. Da weder Patentanspruch 1 in der erteilten Fassung noch ein
nebengeordneter Patentanspruch oder Unteranspruch in der mit dem Hilfsantrag
verteidigten Fassung patentfähig ist, hat das Streitpatent in keiner der verteidigten
Fassungen Bestand.


III.

Die Kostenentscheidung beruht auf § 84 Abs. 2 PatG i. V. m. §§ 91 Abs. 1 Satz 1,
100, 101 Abs. 2 ZPO, die Entscheidung über die vorläufige Vollstreckbarkeit auf
§ 99 Abs. 1 PatG i. V. m. § 709 ZPO.


C.

R e c h t s m i t t e l b e l e h r u n g

Gegen dieses Urteil ist das Rechtsmittel der Berufung gegeben.

Die Berufung ist innerhalb eines Monats nach Zustellung des Urteils, spätestens
aber mit Ablauf von fünf Monaten nach der Verkündung, durch einen Rechts- oder
- 42 -
Patentanwalt als Bevollmächtigten schriftlich beim Bundesgerichtshof, Her-
renstr. 45a, 76133 Karlsruhe, einzulegen.


Voit Martens Gottstein Albertshofer Bieringer

prö





Full & Egal Universal Law Academy