BPatG 10.05.2017 - 5 Ni 54/15 (EP)

Die Beklagte ist eingetragene Inhaberin des auch mit Wirkung für das Hoheitsgebiet der Bundesrepublik Deutschland erteilten europäischen Patents 1 188 096 (Streitpatent), das am 21. Juni 2000 als internationale Anmeldung unter der Nummer PCT/EP2000/005763 angemeldet und am 28. Dezember 2000 als WO 2000/079353 veröffentlicht worden ist. Das Streitpatent, das die Priorität der deutschen Patentanmeldung 199 28 517 vom 22. Juni 1999 in Anspruch nimmt, wird beim Deutschen Patent- und Markenamt unter dem Aktenzeichen DE 500 01 721.2 geführt. Es trägt die Bezeichnung „Steuerungssystem zum Steuern von sicherheitskritischen Prozessen“.

Nach Durchführung eines Einspruchsverfahrens ist eine neue europäische Patentschrift (EP 1 188 096 B2) veröffentlicht worden, nach der Patentanspruch 1 wie folgt lautet:

Abbildung in Originalgröße in neuem Fenster öffnen

Auf diese Fassung von Anspruch 1 sind die Ansprüche 2 bis 11 direkt oder indirekt zurückbezogen. Wegen des Wortlauts dieser Ansprüche wird auf die Streitpatentschrift EP 1 188 096 B2 Bezug genommen.

Die Klägerin, die das Streitpatent in vollem Umfang angreift, macht dessen fehlende Patentfähigkeit geltend. Der Gegenstand des Streitpatents sei weder neu noch beruhe er gegenüber dem Stand der Technik auf erfinderischer Tätigkeit.

Ihre Argumentation stützt die Klägerin auf folgende Dokumente:

D1 WO 98/44469 A2

D2 DE 197 42 716 A1

D3 DE 44 12 653 C2

D4 DE 198 40 562 A1

Mit Schriftsatz vom 3. März 2017 hat die B… GmbH, die von der

Beklagten wegen Verletzung des Streitpatents in Anspruch genommen wird, ihren Beitritt zum Nichtigkeitsverfahren auf Seiten der Nichtigkeitsklägerin erklärt. Sie macht ebenfalls den Nichtigkeitsgrund fehlender Patentfähigkeit geltend und beruft sich hierbei zusätzlich auf folgende Dokumente:

N1 Norm DIN EN 954-1, veröffentlicht im März 1997

N2 Norm DIN EN 292-2, veröffentlicht im Juni 1995

N3a Entwurf der Norm DIN V VDE 0801, Teil 2, und IEC 61508-2, veröffentlicht im August 1998

N3b Entwurf der Norm DIN V VDE 0801, Teil 3, und IEC 61508-3, veröffentlicht im Januar 1996

N3c Entwurf der Norm DIN V VDE 0801, Teil 7, und IEC 61508-7, veröffentlicht im September 1996

N4 CENELEC Norm prEN 50159-1, veröffentlicht im Oktober 1997

N5 Artikel "AS-Interface goes Safety", erschienen in: IEE, Ausgabe 4/99, S. 118-120, April 1999

N6 Artikel ,,Bus-Software mit Feuermelder", erschienen in: IEE, Ausgabe 8/98, Seite 46 ff., 1998, im Streitpatent zitiert;

N7 Fachbuch "Interbus-S, Grundlagen und Praxis", Hüthig Buchverlag, Heidelberg, 1994, Alfredo Baginsky et aI.;

N8 „Fail Safe with PROFIBUS“ der PROFIBUS Nutzerorganisation e.V., gedruckt im April 1999;

N9 Applikationshandbuch der Firma Siemens „Safety Integrated: Das Sicherheitsprogramm für die Industrien der Welt“, Bestellnummer E20001-P285-A733, März 1999;

N10 Auszug aus SIMATIC S5/PC/505 Automation Systems ST 50, Katalog, 1998, Fa. Siemens

Die Klägerin und die Nebenintervenientin beantragen,

das europäische Patent 1 188 096 mit Wirkung für das Hoheitsgebiet der Bundesrepublik Deutschland in vollem Umfang für nichtig zu erklären.

Die Beklagte beantragt,

die Klage kostenpflichtig abzuweisen, hilfsweise nach Maßgabe des Hilfsantrags, der als Anlage zum Schriftsatz vom 6. April 2017 vorgelegt wurde.

Der geltende Hilfsantrag ist laut der Beklagten dahingehend zu verstehen, dass jeder nebengeordnete Anspruch ggf. auch separat verteidigt wird. Gleiches gilt für die abhängigen Ansprüche gemäß Hilfsantrag.

Die Klägerin und die Nebenintervenientin beantragen auch insoweit die Nichtigerklärung.

Der Hilfsantrag lautet wie folgt:

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Abbildung in Originalgröße in neuem Fenster öffnen

Nachrangig zur Verteidigung mit Patentanspruch 12 stellt die Beklagte in der mündlichen Verhandlung einen weiteren Hilfsantrag, wonach im Unterschied zu Anspruch 12, letztes Merkmal, der sicherheitskritische Teilprozess (28,30) nur noch die Überwachung von Lichtschranken beinhaltet. Eine Beschränkung in gleicher Weise beansprucht sie nachrangig zur Verteidigung mit Patentanspruch 14.

Die Beklagte tritt dem Vorbringen der Klägerin und der Nebenintervenientin in jeder Hinsicht entgegen.

Ihr Vorbringen stützt sie auf die folgenden Dokumente:

WW1 Auszug aus „Das Techniker Handbuch - Grundlagen und Anwendungen der Maschinenbautechnik" von Alfred Böge

WW2 Auszug aus „InterBus-S-Installation" von Dieter Nickel

WW3 Auszug aus „Maschinensicherheit" von Winfried Gräf

WW4 Publikation „Grundlegende Informationen zum CAN-Bus" von Thomas Wedemeyer

WW5 Internetauszug http://rn-wissen.de/wiki /index. php?title=CAN

Der Senat hat den Parteien mit einem Hinweis nach § 83 Abs. 1 PatG vom 28. Dezember 2016 die Gesichtspunkte mitgeteilt, die für die Entscheidung voraussichtlich von besonderer Bedeutung sind.

Die zulässige Klage ist begründet, da das Streitpatent wegen fehlender Patentfähigkeit für nichtig zu erklären ist (Art. II § 6 Abs. 1 Nr. 1 IntPatÜG i. V. m. Art. 138 Abs. 1 a, Art. 52 - 57 EPÜ). Es kann mangels Patentfähigkeit auch nicht in der Fassung nach dem Hilfsantrag Bestand haben.

I. Zum Gegenstand des Streitpatents

1. Das Streitpatent betrifft ein Steuerungssystem zum Steuern von sicherheitskritischen Prozessen mit einer ersten Steuereinheit zum Steuern eines sicherheitskritischen Prozesses und mit einer Signaleinheit, die über E/A-Kanäle mit dem sicherheitskritischen Prozess verknüpft ist, ferner mit einem Feldbus, über den die erste Steuereinheit und die Signaleinheit verbunden sind, und mit einem Busmaster zum Steuern der Kommunikation auf dem Feldbus, wobei die erste Steuereinheit und die Signaleinheit sicherheitsbezogene Einrichtungen aufweisen, um eine fehlersichere Kommunikation miteinander zu gewährleisten (vgl. Streitpatent, Abs. [0001]).

Obwohl die Verwendung von Feldbussen zahlreiche Vorteile vor allem in Hinblick auf den ansonsten erforderlich hohen Verkabelungsaufwand besäßen, sei ihre Verwendung im praktischen Einsatz zur Steuerung von sicherheitskritischen Prozessen bisher nicht möglich gewesen. Grund hierfür sei, dass die Feldbusse angesichts ihrer für beliebige Einheiten frei zugänglichen Struktur die zur Steuerung sicherheitskritischer Prozesse erforderliche Fehlersicherheit nicht gewährleisten könnten (vgl. Streitpatent, Abs. [0005]).

Aus dem Stand der Technik nach der Druckschrift DE-A-197 42 716 sei eine Steuer- und Datenübertragungsanlage bekannt, die auf einem Feldbus, insbesondere dem Interbus, basiere und der die Aufgabe zugrunde lag, auch sicherheitsbezogene Baugruppen integrieren zu können. Zur Lösung dieser Aufgabe sei vorgeschlagen worden, sowohl im Busmaster als auch in den Busteilnehmern jeweils sicherheitsbezogene Einrichtungen anzuordnen. Die sicherheitsbezogenen Einrichtungen würden dann zusätzlich zur eigentlichen Datenkommunikation Sicherheitsfunktionen ausführen, die die erforderliche Fehlersicherheit im Hinblick auf die Steuerung von sicherheitskritischen Prozessen gewährleisten. Anschaulich gesprochen werde die erforderliche Sicherheit hierbei vor allem dadurch erreicht, dass der Busmaster durch die sicherheitsbezogenen Einrichtungen "sicher" gemacht werde (vgl. Streitpatent, Abs. [0007]).

Eine derartige Maßnahme sei bei der Entwicklung und beim Aufbau eines fehlersicheren Steuerungssystems jedoch sehr aufwändig und kostenintensiv, da hierbei der komplexe Busmaster selbst modifiziert werden müsse und nicht auf Standardbausteine zurückgegriffen werden könne. Darüber hinaus sei eine derartige Maßnahme auch im Betrieb eines darauf basierten Steuerungssystems nachteilig, da die sicherheitsrelevante Kommunikation bei der Steuerung von komplexen Prozessen in der Regel nur etwa bis zu 10 % der gesamten Kommunikation ausmache. Die genannte Maßnahme besitze somit den Nachteil, dass mit hohem Aufwand der Busmaster "sicher" gemacht werde, obwohl dies für 90 % und mehr der von ihm gesteuerten Kommunikation gar nicht erforderlich sei (vgl. Streitpatent, Abs. [0008] und [0009]).

Aufgabe der vorliegenden Erfindung sei daher, ein Steuerungssystem der eingangs genannten Art anzugeben, das eine fehlersichere Kommunikation der an einem sicherheitskritischen Prozess beteiligten Einheiten gewährleistet, wobei gleichzeitig die Verwendung von Standardbausteinen als Busmaster möglich sei (vgl. Streitpatent, Abs. [0010]).

2. Zur Lösung dieser Aufgabe wird in der erteilten Fassung mit Patentanspruch 1 ein Überwachungssystem vorgeschlagen, das sich in folgende Merkmale gliedern lässt (ohne Bezugszeichen):

1.1 Steuerungssystem zum Steuern von sicherheitskritischen Prozessen,

1.2 mit einer ersten Steuereinheit zum Steuern eines sicherheitskritischen Prozesses,

1.3 mit einer Signaleinheit, die über E/A-Kanäle mit dem sicherheitskritischen Prozess verknüpft ist,

1.4 ferner mit einem Feldbus, über den die erste Steuereinheit und die Signaleinheit verbunden sind

1.5 und mit einem Busmaster zum Steuern der Kommunikation auf dem Feldbus

1.6 wobei die erste Steuereinheit und die Signaleinheit jeweils sicherheitsbezogene Einrichtungen aufweisen, um eine fehlersichere Kommunikation miteinander zu gewährleisten,

1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehrkanalige Struktur aufweisen,

1.8 eine zweite Steuereinheit zum Steuern von sicherheitsunkritischen Prozessen,

1.9 wobei der Busmaster getrennt von der ersten Steuereinheit und der Signaleinheit an den Feldbus angeschlossen ist, und

1.10 wobei die erste Steuereinheit ein eigenständiges Steuerprogramm zum Steuern des sicherheitskritischen Prozesses aufweist, das die erste Steuereinheit in die Lage versetzt, den sicherheitskritischen Prozess unabhängig von anderen Steuereinheiten zu steuern.

3. Das Streitpatent richtet sich seinem sachlichen Inhalt nach an einen Ingenieur mit Hochschulabschluss (Universität) der Fachrichtung Elektrotechnik, der über langjährige Erfahrung in der Entwicklung von feldbusbasierten Steuerungssystemen für die Automatisierungstechnik verfügt. Dieser Fachmann besitzt auch einschlägige Kenntnisse auf dem Gebiet der Sicherheitstechnik und ist mit den zum Prioritätszeitpunkt geltenden nationalen und internationalen Normen vertraut.

4. Der so definierte Fachmann versteht den Gegenstand des unabhängigen Patentanspruchs 1 und die darin verwendeten Begrifflichkeiten unter Heranziehen der Beschreibung und der Zeichnungen der Streitpatentschrift wie folgt:

Patentanspruch 1 betrifft ein Steuerungssystem, das zum Steuern sicherheitskritischer Prozesse geeignet ist (Merkmal 1.1). Unter einem sicherheitskritischen Prozess versteht das Streitpatent einen Prozess in der Steuer- und Automatisierungstechnik, von dem bei Auftreten eines Fehlers eine nicht zu vernachlässigende Gefahr für Menschen oder auch materielle Güter ausgeht. Bei einem sicherheitskritischen Prozess muss daher mit im Idealfall 100%iger Sicherheit gewährleistet sein, dass der Prozess bei Vorliegen eines Fehlers in einen sicheren Zustand überführt wird. Derartige sicherheitskritische Prozesse können auch Teilprozesse von größeren, übergeordneten Gesamtprozessen sein (vgl. Streitpatent, Abs. [0006]). Als Beispiel für einen sicherheitskritischen Prozess wird im Streitpatent die Steuerungsreaktion auf die Betätigung eines Not-Aus-Schalters genannt. Die Steuerungsreaktion kann darin bestehen, den Gesamtprozess umgehend stromlos zu schalten. Ein sicherer Zustand kann auch durch das Ansteuern eines vorgegebenen  Parameterbereichs erreicht werden (vgl. Streitpatent, Abs. [0018]).

Das Steuerungssystem nach dem erteilten Anspruch 1 weist folgende räumlich körperliche Merkmale auf:

- eine erste Steuereinheit zum Steuern eines sicherheitskritischen Prozesses (Merkmal 1.2).

Die erste Steuereinheit ist funktional dahingehend definiert, dass sie zum Steuern eines sicherheitskritischen Prozesses geeignet ist. Gemäß dem Ausführungsbeispiel in der Streitpatentschrift kann die erste Steuereinheit aus einem mehrkanaligen, diversitären Mikrocontrollersystem bestehen (vgl. Streitpatent, Fig. 1, Abs. [0048] bis [0050]). Es können auch mehrere Steuereinheiten vorgesehen sein (vgl. Streitpatent, Anspruch 11, „…zumindest zwei erste Steuereinheiten (14,54) … aufweist.). Die erste Steuereinheit zeichnet sich dadurch aus, dass sie ein fehlersicheres Bustelegramm erzeugen kann, bei dessen Empfang die Signaleinheit den sicherheitskritischen Prozeß in einen sicheren Zustand überführt (vgl. Streitpatent, Abs. [0017]).

- eine Signaleinheit, die über E/A-Kanäle mit dem sicherheitskritischen Prozess verknüpft ist (Merkmal 1.3).

Signaleinheiten stellen gemäß Streitpatent Eingänge und Ausgänge (E/A-Kanäle) bereit, über welche Zustandssignale (über Sensoren) aus dem Prozess eingelesen und Steuersignale für die Prozesssteuerung (über Aktoren) ausgegeben werden (vgl. Streitpatent Abs. [0046]). Z. B. überführt die Signaleinheit bei Empfang eines entsprechenden, von der ersten Steuereinheit erzeugten, Bustelegramms den sicherheitskritischen Prozess in einen sicheren Zustand (vgl. Streitpatent, Abs. [0017]). Im Ausführungsbeispiel gemäß der Figur 1 sind fünf Signaleinheiten 18, 20, 22, 24, 56 und zwei erste Steuereinheiten 14, 54 vorgesehen. Gemäß dem Anspruch ist es nicht ausgeschlossen, dass eine Signaleinheit auch zum Steuern eines sicherheitskritischen Prozesses geeignet ist.

- einen Feldbus, über den die erste Steuereinheit und die Signaleinheit verbunden sind (Merkmal 1.4).

Unter einem Feldbus ist ein System zur Datenkommunikation zu verstehen, an welches mehrere, im Idealfall beliebig viele Einheiten angeschlossen werden können und welches eine Datenkommunikation zwischen den an der Prozesssteuerung beteiligten Einheiten ermöglicht. Die Kommunikation der Einheiten erfolgt auf dem Feldbus anhand von spezifizierten Protokollen. Ein derartiges Kommunikationssystem steht im Gegensatz zu einer individuellen Punkt-zu-Punkt Kommunikationsverbindung zwischen jeweils zwei Einheiten, von deren Kommunikation miteinander andere Einheiten vollständig abgetrennt sind. Als Beispiele für bekannte Bussysteme nennt das Streitpatent den CAN-Bus, den PROFIBUS und den Interbus (vgl. Streitpatent, Abs. [0003] und [0043]).

- einen Busmaster zum Steuern der Kommunikation auf dem Feldbus (Merkmal 1.5).

Der Busmaster ist funktional dazu ausgebildet, die Kommunikation auf dem Feldbus zu steuern. Wie dies geschehen soll bzw. was darunter zu verstehen ist, lässt der Wortlaut des Anspruchs 1 des Streitpatents offen. Prinzipiell sind auch mehrere Busmaster bei einem Feldbus möglich (vgl. Streitpatent, Abs. [0004]; „Bei vielen Feldbussen wird die Kommunikation von zumindest einem Busmaster gesteuert,…“).

Gemäß Absatz [0004] des Streitpatents muss der Busmaster die für den Feldbus spezifizierten Protokolle gewährleisten. Zudem sei der Busmaster den angeschlossenen Einheiten (Busteilnehmern) übergeordnet, d. h. ohne „Erlaubnis“ des Busmasters könne ein Busteilnehmer keine Daten an andere Busteilnehmer senden. Wie diese „Erlaubnis“ oder die ebenfalls im Streitpatent genannten „Busmasterfunktionalität“ funktional ausgestaltet sein soll, lässt das Streitpatent jedoch offen. Gemäß dem einzigen Ausführungsbeispiel des Streitpatents kommuniziert die erste Steuereinheit vollkommen eigenständig und unabhängig vom Busmaster mit den sicheren Teilnehmern, indem die erste Steuereinheit selbständig die für die sicheren Signaleinheiten bestimmten Daten im vom Busmaster erzeugten Bus-Telegramm mit ihren eigenen Daten überschreibt. Auch entnimmt die erste Steuereinheit die von den Signaleinheiten zurückgeschickten Daten aus dem Bus-Telegramm eigenständig und unabhängig vom Busmaster.

Der Busmaster zeichnet sich somit dadurch aus, dass er eine Kommunikation auf dem Feldbus ermöglicht.

- eine zweite Steuereinheit zum Steuern von sicherheitsunkritischen Prozessen (Merkmal 1.8).

Die zweite Steuereinheit ist funktional dahingehend definiert, dass sie zum Steuern sicherheitsunkritischer Prozesse geeignet ist. In welcher Einheit diese zweite Steuereinheit räumlich/körperlich untergebracht ist, lässt der Anspruch offen. Sie kann gemäß Streitpatent in einer Ausgestaltung getrennt von der ersten Steuereinheit als Teilnehmer an den Feldbus angeschlossen werden (vgl. Streitpatent, Abs. [0025]), sie kann im Umkehrschluss somit auch in der ersten Steuereinheit enthalten sein. Die zweite Steuereinheit kann auch den Busmaster umfassen und über diesen an den Feldbus angeschlossen sein (vgl. Streitpatent, Abs. [0047], Fig. 1, Bezz. 16, 36).

Die erste Steuereinheit und die Signaleinheit müssen dazu geeignet sein, eine fehlersichere Kommunikation miteinander zu gewährleisten (Merkmal 1.6). Wie eine Kommunikation miteinander tatsächlich abläuft, lässt der Anspruch allerdings offen. Aus fachmännischer Sicht kommunizieren zwei Einheiten dann miteinander, wenn ein Informationsaustausch zwischen den Einheiten stattfindet.

Um eine fehlersichere Kommunikation miteinander gewährleisten zu können, weisen die erste Steuereinheit und die Signaleinheit jeweils sicherheitsbezogene Einrichtungen auf (Merkmal 1.6). Sicherheitsbezogene Einrichtungen führen Sicherheitsfunktionen aus, die die erforderliche Fehlersicherheit im Hinblick auf die Steuerung von sicherheitskritischen Prozessen gewährleisten (vgl. Streitpatent, Abs. [0007]). Durch diese sicherheitsbezogenen Einrichtungen ist die erste Steuereinheit (und die Signaleinheit) in der Lage, interne und auch externe Fehler, ggf. im Zusammenspiel mit anderen sicheren Einheiten, festzustellen und zu korrigieren (vgl. Abs. [0012]). Gemäß dem Streitpatent sind in einer sicherheitsbezogenen Einrichtung Fehlerbeherrschungsmaßnahmen implementiert, die eine fehlersichere Datenkommunikation ermöglichen. Die Fehlerbeherrschungsmaßnahmen können durch eine von Mikrocontrollern ausgeführte Software implementiert werden. Im Streitpatent sind mögliche Fehlerbeherrschungsmaßnahmen unter Verweis auf den Artikel „Bus-Software mit Feuermelder“ (vgl. Anlage N6) genannt (vgl. Streitpatent, Abs. [0049]).

Ob die zweite Steuereinheit sicherheitsbezogene Einrichtungen aufweist, lässt Patentanspruch 1 offen. Eine Einschränkung diesbezüglich erfolgt erst mit Unteranspruch 5.

Die sicherheitsbezogenen Einrichtungen weisen jeweils eine mehrkanalige Struktur auf (Merkmal 1.7), worunter das Streitpatent das Vorhandensein von zumindest zwei parallelen Verarbeitungskanälen, die zueinander redundant sind, versteht (vgl. Streitpatent, Abs. [0020]).

Der Busmaster gemäß Merkmal 1.5 soll getrennt von der ersten Steuereinheit und der Signaleinheit an den Feldbus angeschlossen sein (Merkmal 1.9). Gemäß Streitpatent kann ein Standard-Busmaster verwendet werden (Abs. [0013]).

Die erste Steuereinheit weist ein eigenständiges Steuerprogramm zum Steuern des sicherheitskritischen Prozesses auf, das die erste Steuereinheit in die Lage versetzt, den sicherheitskritischen Prozess unabhängig von anderen Steuereinheiten zu steuern (Merkmal 1.10). Ein Kennzeichen dieses Steuerprogramms ist, dass die erste Steuereinheit den sicherheitskritischen Prozess unabhängig von anderen Steuereinheiten eigenständig fehlersicher steuert und nicht nur ein redundantes Element in Ergänzung anderer Steuereinheiten ist (vgl. Streitpatent, Abs. [0016]). Eine Steuerung des sicherheitskritischen Prozesses, die unabhängig von anderen Steuerungen ist, wird vor allem dadurch erreicht, dass auch die für die Steuerung des Prozesses notwendige fehlersichere Kommunikation zwischen erster Steuereinheit und Signaleinheit unabhängig von anderen Steuereinheiten ausgeführt wird (vgl. Streitpatent, Abs. [0061]).

II. Zum Nichtigkeitsgrund fehlender Patentfähigkeit

1. Der Gegenstand des Patentanspruchs 1 in der erteilten Fassung gilt als nicht neu gegenüber der deutschen Offenlegungsschrift DE 198 40 562 A1 (D4).

a) Grundlage der Prüfung der Neuheit ist das Wissen, das der Stand der Technik am Prioritätstag dem Fachmann vermittelt. Grundsätzlich ist nur das vorweggenommen, was in der jeweiligen Entgegenhaltung eindeutig und unmittelbar offenbart ist. Die Beurteilung, ob der Gegenstand eines Patents durch eine Vorveröffentlichung neuheitsschädlich getroffen ist, erfordert dabei die Ermittlung von deren Gesamtinhalt. Offenbart kann dabei auch dasjenige sein, was im Patentanspruch und in der Beschreibung nicht ausdrücklich erwähnt ist, aus der Sicht des Fachmanns jedoch für die Ausführung der unter Schutz gestellten Lehre selbstverständlich ist und deshalb keiner besonderen Offenbarung bedarf, sondern "mitgelesen" wird. (BGH, Urteil vom 16. Dezember 2008 – X ZR 89/07, BGHZ 179, 168 Rn. 25 - Olanzapin). Bei dem (Einzel-) Vergleich einer vorveröffentlichten Druckschrift mit dem Gegenstand einer Patentanmeldung zur Prüfung der Neuheit ist der Inhalt einer in der Vorveröffentlichung in Bezug genommenen weiteren Druckschrift, die zur Grundlage der Vorveröffentlichung und damit zu deren Inhalt gemacht ist, zu berücksichtigen. Insbesondere soweit sie das fachmännische Verständnis der offenbarten technischen Lehre bestimmt. Eine Vorveröffentlichung kann dem Fachmann auch solche Informationen über einen technischen Sachverhalt vermitteln, die nicht ausdrücklich dargestellt werden, die sich aber bei der Befolgung der in ihr enthaltenen Anweisungen zwangsläufig ergeben. So werden etwa durch die Beschreibung eines Verfahrens der Fachwelt auch die Kenntnisse zugänglich gemacht, die bei der Nacharbeitung zwangsläufig offenbar werden (BGH, Beschluss vom 14. August 2012 – X ZR 3/10, UV-unempfindliche Druckplatte, Rn. 29; BGH, Urteil vom 17. Januar 1980 – X ZB 4/79, BGHZ 76, 97 - Terephthalsäure, s. auch EPA, Entscheidung der Technischen Beschwerdekammer vom 9. Februar 1982 – T 12/81, ABl. EPA 1982, 296, 301 f. - Diastereomere). Dieser allgemeine Grundsatz für die Neuheitsprüfung gilt auch für nur bei der Prüfung auf Neuheit zu berücksichtigenden Anmeldungen mit älterem Zeitrang (vgl. Beck'scher Online-Kommentar Patentrecht, Fitzner/Lutz/Bodewig, 4. Edition, Stand: 24. Februar 2017, § 3, Rn. 94).

b) Die Druckschrift DE 198 40 562 A1 (D4) mit älterem Zeitrang enthält eine Bezugnahme auf die deutsche Offenlegungsschrift DE 197 42 716 A1 (D2) (vgl. D4, Sp. 1, Z. 41 bis 43; Sp. 4, Z. 2 bis 4), welche somit zum Inhalt der D4 gemacht ist. Bei einer Bezugnahme ist zunächst zu klären, welche Bedeutung aus Sicht des Fachmannes der in der D4 enthaltenen Bezugnahme auf die D2 für den Offenbarungsgehalt der erstgenannten Druckschrift beizumessen ist. Im Regelfall verändert die Bezugnahme auf den Inhalt einer anderen Druckschrift, wenn sie nur deren vollständigen Abdruck ersetzt, den in Bezug genommenen Text nicht. Dieser steht allerdings nicht isoliert in der Druckschrift, die auf ihn Bezug nimmt; vielmehr wird er in einen konkreten – gegebenenfalls veränderten – Zusammenhang mit dem Inhalt dieser Druckschrift gestellt. Das kann unter Umständen dazu führen, dass der in Bezug genommene Text nicht mit seinem vollen Wortlaut, sondern nur insoweit als offenbart zu würdigen ist, wie dies dem Sinngehalt der Ausführungen, die auf ihn Bezug nehmen, entspricht (vgl. BGH, Beschluss vom 14. Mai 1985 – X ZB 19/83, Abschnitt III.).

Sowohl die D4 als auch die D2 gehen von einem Feldbussystem aus, wie dieses beispielsweise in der Fachliteratur "Interbus-S, Grundlagen und Praxis", Hüthig Buchverlag, Heidelberg, 1994, von Alfredo Baginsky et al. (Anlage N7) beschrieben wird (vgl. D4, Sp. 3, Z. 14 bis 19; D2, Sp. 3, Z. 59 bis 63). Bei derartigen Feldbussystemen ist neben den Ein-/Ausgabegeräten eine übergeordnete Steuereinrichtung angeschaltet (vgl. D2, Sp. 1, Z. 7 bis 10). Die Ausgabedaten der Steuereinrichtung werden bei diesen Feldbussystemen in einem Datenzyklus vom Master zu den Busteilnehmern, und im selben Zyklus die Eingabedaten der Teilnehmer zum Master transportiert (vgl. N7, S. 39, letzter Absatz), d. h. die Steuereinrichtung ist in dem Master, der für die Generierung des Taktes zuständig ist, vorgesehen. Diese weisen keine sicherheitsgerichteten Funktionen im Sinne des Streitpatents auf (vgl. D2, Sp. 1, Z. 7 bis 27).

Kerngedanke der D2 ist es, ein derartiges Feldbussystem mit Sicherheitsfunktionen auszustatten, die beispielsweise die Kategorie 3 bzw. 4 der europäischen Norm EN 954-1 (Stand 1996) erfüllen (vgl. D2, Sp. 1, Z. 37 bis 41), wobei gemäß der D2 sowohl in der im Master enthaltenen Steuerung als auch in den Busteilnehmern jeweils zusätzlich eine sicherheitsbezogene Einrichtung zum Ausführen von vorbestimmten Sicherheitsfunktionen angeordnet wird (vgl. D2, Sp. 1, Z. 46 bis 49).

Kerngedanke der Lehre der D4 ist – ebenfalls wie die D2 ausgehend von dem bekannten Interbus-System – die Steuerung für sicherheitskritische Prozesse und die zugehörigen  Sicherheitsfunktionen nicht im Busmaster sondern in den weiteren Busteilnehmern zu realisieren (vgl. D4, Sp. 3, Z. 23 bis 28). Die standardmäßig in dem Master vorgesehene Steuerung für die sicherheitsunkritischen Prozesse bleibt dabei aus Sicht des Fachmanns unverändert. Dies resultiert auch aus der Tatsache, dass der Busteilnehmer 11 in der D4 auch als Master-Steuereinrichtung bezeichnet wird (vgl. D4, Fig. 1; Sp. 3, Z. 20, „Master-Steuereinrichtung 11“). Soweit in der D4 ausgeführt wird, dass der Master im Bussystem nur noch die Aufgabe haben muss, die eigentliche Übertragung z. B. durch Generierung des Taktes zu gewährleisten (vgl. D4, Sp. 3, Z. 45 bis 47), so bezieht der Fachmann diese Aussage auf die entsprechende Steuerung der in den Slaves realisierten sicherheitskritischen Prozesse. Dieses Verständnis führt dazu, dass der in Bezug genommene Text der D2 nicht mit seinem vollen Wortlaut, sondern nur insoweit als offenbart zu würdigen ist, soweit er sich auf die Ausführungen zur Ausgestaltung der sicherheitsgerichteten Funktionen in den weiteren Busteilnehmern – und nicht im Busmaster – bezieht (vgl. auch D4, Sp. 3, Z. 68 bis Sp. 4, Z. 4).

c) Ausgehend von diesem Verständnis entnimmt der Fachmann der D4 ein Steuerungssystem zum Steuern sicherheitskritischer Prozesse (vgl. D4, Titel, Sp. 1, Z. 3 bis 5, Anspruch 1; Merkmal 1.1), bei dem gemäß dem Ausführungsbeispiel an einen Feldbus 10 (Merkmal 1.4), eine Master-Steuereinrichtung 11 und Busteilnehmer 12, 13, 14  angeschlossen sind. Die Busteilnehmer 12 und 13 umfassen beispielhaft eine sicherheitsbezogene, mit einem Sensor gekoppelte Eingangseinrichtung, der Busteilnehmer 14 eine sicherheitsbezogene Ausgangseinrichtung (vgl. D4, Fig. 1, Sp. 3, Z. 20 bis 28). Bei diesen Busteilnehmern handelt es sich mithin um Signaleinheiten im Sinne des Streitpatents, an denen je nach Art des Busteilnehmers Eingangs- und/oder Ausgangseinheiten (E/A-Kanäle) ausgebildet sind, über die sie mit dem sicherheitskritischen Prozess verknüpft sind (vgl. D4, Sp. 1, Z. 55 bis 56; Merkmal 1.3). Das in der Figur 1 aufgezeigte Standard-Bussystem ist gemäß der D4 „derart erweitert, daß der Zugriff auf die übertragenen Datenpakete 15 nicht nur dem Master 11, sondern jedem angeschlossenen Busteilnehmer bzw. Slave möglich ist. Die Slaves sind somit in der Lage, die durch sie durchgereichten Informationen aktiv zu lesen und zu bearbeiten ." (D4, Sp. 3, Z. 35-40; Unterstreichung hinzugefügt). Die Master-Steuereinheit wird – wie oben ausgeführt – nicht verändert. Der Busteilnehmer 12 überwacht gemäß D4 über Sensoren die zu sichernden Baugruppen und schreibt die sicherheitsbezogenen Informationen in ein Sicherheitsprotokoll, welches in den Datenstrom  eingefügt wird (vgl. D4, Sp. 3, Z. 60 bis Sp. 4, Z. 25; Sp. 4, Z. 52 bis 56). Der Busteilnehmer 12 ist somit in der Lage, ein fehlersicheres Bustelegramm zu erzeugen, bei dessen Empfang der Busteilnehmer 14 den sicherheitskritischen Prozeß in einen sicheren Zustand überführt. Dies entspricht bei fachlicher Lesart einer ersten Steuereinheit zum Steuern eines sicherheitskritischen Prozess gemäß Streitpatent (Merkmal 1.2). Erkennt eine sicherheitsbezogene Ausgangskomponente z. B., dass ein sicherheitsbezogener Eingang gesetzt wurde (Notaus, . . .), schaltet sie den ihr zugeordneten Ausgang, und somit die zu sichernde Baugruppe in den sicheren Zustand (vgl. D4, Sp. 4, Z. 42 bis 46).

Zum Steuern der Kommunikation auf dem Feldbus ist in dem bekannten Steuerungssystem ein Busmaster (Master-Steuereinrichtung 11) vorgesehen (vgl. D4, Fig. 1, Sp. 3, Z. 20; Merkmal 1.5). Die erste Steuereinheit in dem Busteilnehmer 12 und die Signaleinheit 14 weisen jeweils sicherheitsbezogene Einrichtungen auf (vgl. D4, Sp. 3, Z. 52 bis 55; Sp. 3, Z. 68 bis Sp. 4, Z. 38, „Sicherheitsbezogene Informationen schließlich werden in ein Sicherheitsprotokoll 23 eingeschrieben und durch zusätzliche Informationen, wie insbesondere auch in der vollumfänglich durch Bezugnahme hier inkorporierten DE-OS-197 42 716.2 beschrieben, abgesichert.“; Merkmal 1.6 _teilw ). Da jeder der Slaves (Busteilnehmer) in der Lage ist, die durch sie durchgereichten Informationen aktiv zu lesen und zu bearbeiten (vgl. D4, Sp. 3, Z. 38 bis 40), sind die erste Steuereinheit 14 und die Signaleinheit 12 dazu geeignet, eine fehlersichere Kommunikation miteinander zu gewährleisten. Die für eine Steuerung erforderlichen Informationen erhält der Busteilnehmer 14 (Signaleinheit) gemäß der D4 über ein Bustelegramm von der Steuereinheit in dem Busteilnehmer 12, die die entsprechenden Informationen in ein von der Master-Steuereinrichtung erzeugtes Bustelegramm einfügt (vgl. D4, Sp. 4, Z. 39 bis 42). Es findet somit ein Informationsaustausch zwischen der ersten Steuereinheit (Busteilnehmer 12) und der Signaleinheit 14 statt, d. h. die Steuereinheit und die Signaleinheit kommunizieren miteinander im Sinne des Streitpatents (Merkmal 1.6 _Rest ).

Der Senat kann der Beklagten nicht dahingehend folgen, dass in der D4 lediglich ein „Watch dog“ gelehrt werde, bei dem die Signaleinheit 14 bei Unterbrechung des Datenstromes die ihr zugeordneten  Ausgänge in den sicheren Zustand schaltet (vgl. D4, z. B. Sp. 1, Z. 34 bis 35; Z. 47 bis 49) und somit nach der Lehre der D4 kein Datenaustausch miteinander stattfinde. Die Grundidee der D4 besteht vielmehr darin, in einem Protokoll 23 ein Sicherheitsdatum 23a einschließlich einer sicherheitsbezogenen Eingangsinformation 24 und einen Sicherheitscode 23b (beispielsweise eine negierte Eingangsinformation 25, eine laufende Nummer 26, eine Adresse 27, ein Codesicherungsverfahren z. B. "CRC" 28 oder eine Teilnehmeradresse 29) von dem Busteilnehmer 12 zu dem Busteilnehmer 14 zu übertragen (vgl. D4, Sp. 4, Z. 17 bis 25). Erkennt eine sicherheitsbezogene Ausgangskomponente an Hand dieser Daten z. B., dass ein sicherheitsbezogener Eingang gesetzt wurde, schaltet sie den ihr zugeordneten Ausgang, und somit die zu sichernde Baugruppe in den sicheren Zustand (vgl. D4, Sp. 4, Z. 39 bis 46). Das Abschalten der sicherheitsbezogenen Ausgänge kann z. B. durch das Senden einer statischen Information, die nicht im Wertebereich der laufenden Nummer liegt, erfolgen (vgl. Sp. 5, Z. 14 bis 17). Somit findet gemäß der D4 zwischen den Busteilnehmern 12 und 14 eine Kommunikation miteinander statt.

Sowohl die aus D4 bekannte Steuereinheit als auch die Signaleinheit weisen eine mehrkanalige Struktur auf (vgl. Sp. 2, Z. 46 bis 50; Sp. 3, Z. 52 bis 59; Merkmal 1.7). Wie der Figur 1 der D4 unmittelbar zu entnehmen ist, ist der Busmaster (Master-Steuereinrichtung 11) getrennt von der ersten Steuereinheit 14 und der Signaleinheit 12 an den Feldbus angeschlossen (Merkmal 1.9). Die erste Steuereinheit (Busteilnehmer 12) erzeugt eigenständig Datenprotokolle 23, die in die vom Master kommenden Datenpakete 15 eingefügt werden und an Hand derer die sicherheitsbezogene Ausgangskomponente 14 erkennt, dass ein sicherheitsbezogener Eingang gesetzt wurde (vgl. D4, Sp. 4, Z. 43 bis 46). Die erste Steuereinheit weist somit ein eigenständiges Steuerprogramm zum Steuern des sicherheitskritischen Prozesses auf, das die erste Steuereinheit in die Lage versetzt, den sicherheitskritischen Prozess unabhängig von anderen Steuereinheiten zu steuern (Merkmal 1.10).

In dem aus der D4 bekannten Bussystem können sich neben den sicherheitsbezogenen Eingangs- und Ausgangseinheiten auch nicht sicherheitsbezogene Ein- bzw. Ausgangseinheiten befinden (vgl. Sp. 5, Z. 18 bis 22). Der Fachmann erkennt bei der Nacharbeitung der Lehre der D4, dass bei einem Einsatz von nicht sicherheitsbezogenen Ein- bzw. Ausgangseinheiten zwangsläufig eine zweite Steuereinheit zum Steuern dieser sicherheitsunkritischen Prozesse erforderlich ist (vgl. BGH, Beschluss vom 14. August 2012 – X ZR 3/10, UV-unempfindliche Druckplatte, Rn. 29; BGH, Beschluss vom 17. Januar 1980 – X ZB 4/79, Terephthalsäure). Diese Steuerung realisiert der Fachmann ausgehend von einem Standard-Interbussystem (vgl. D4, Sp. 3, Z. 14 bis 15) in der Master-Steuereinrichtung 11. Bei der Nacharbeitung der Lehre der D4 kommt der Fachmann daher zu einem Steuerungssystem, welches neben den übrigen Merkmalen des erteilten Patentanspruchs 1 auch eine zweite Steuereinheit zum Steuern von sicherheitsunkritischen Prozessen aufweist (Merkmal 1.8).

d) Sowohl jedes einzelne Merkmal für sich als auch der Gegenstand des Patentanspruchs 1 der erteilten Fassung in seiner Gesamtheit sind damit aus der Druckschrift D4 bekannt.

e) Die abhängigen Patentansprüche des Hauptantrags bedürfen keiner weiteren, isolierten Prüfung, weil die Beklagte sowohl schriftsätzlich als auch in der mündlichen Verhandlung zu erkennen gegeben hat, dass sie die erteilte Fassung als geschlossenen Anspruchssatz versteht und das Streitpatent in der Reihenfolge erteilte Fassung und Hilfsantrag verteidigt, wobei explizit nur der Hilfsantrag  dahingehend zu verstehen sei (vgl. Schriftsatz vom 6. April 2017), dass jeder Anspruch auch separat verteidigt wird (vgl. BGH, Beschluss vom 27. Juni 2007 – X ZB 6/05, BGHZ 173, 47 - Informationsvermittlungsverfahren II; Beschluss vom 26. September 1996 – X ZB 18/95, GRUR 1997, 120 - Elektrisches Speicherheizgerät; BPatG, Urteil vom 29. April 2008 – 3 Ni 48/06 (EU), BPatGE 51, 45 – Ionenaustauschverfahren).

2. Keiner der Patentansprüche der hilfsweise verteidigten Fassung ist zur Selbstbeschränkung des erteilten Patents geeignet, da dem jeweiligen Gegenstand die Patentfähigkeit fehlt. Im Ergebnis kann daher dahingestellt bleiben, ob bei Patentanspruch 1 nach Hilfsantrag der von der Klägerin ebenfalls behauptete Nichtigkeitsgrund der unzulässigen Erweiterung gegenüber den ursprünglichen Anmeldeunterlagen (Art. II § 6 Abs. 1 Satz 1 Nr. 3 IntPatÜG) und bei Patentanspruch 12 nach Hilfsantrag der Nichtigkeitsgrund der Erweiterung des Schutzbereichs (Art. II § 6 Abs. 1 Satz 1 Nr. 4 IntPatÜG) vorliegt.

2.1 Patentanspruch 1

a) Der Patentanspruch 1 nach Hilfsantrag ist zweiteilig gefasst und unterscheidet sich vom erteilten Patentanspruch 1 in dem geänderten Merkmal 1.6^HAPA1 und den hinzugefügten Merkmalen 1.7a^HAPA1 und 1.8a^HAPA1 (Änderungen gegenüber der erteilten Fassung unterstrichen):

1.6^HAPA1 wobei die erste Steuereinheit und die Signaleinheit jeweils sicherheitsbezogene Einrichtungen aufweisen, um eine fehlersichere Kommunikation miteinander über den Feldbus zu gewährleisten,

1.7a^HAPA1 und zusätzlich zur eigentlichen Datenkommunikation Sicherheitsfunktionen ausführen, die die erforderliche Fehlersicherheit im Hinblick auf die Steuerung von sicherheitskritischen Prozessen gewährleisten,

1.8a^HAPA1 wobei die zweite Steuereinheit keine sicherheitsbezogenen Einrichtungen aufweist,

b) Patentanspruch 1 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeignet, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale 1.1 bis 1.5, 1.7, 1,8 1.9 und 1.10 wird auf die Ausführungen zur erteilten Fassung verwiesen.

Wie der Figur 1 der D4 zu entnehmen ist, findet auch dort die fehlersichere Kommunikation zwischen der ersten Steuereinheit im Busteilnehmer 12 und der Signaleinheit 14 über den Feldbus 10 statt (Merkmal 1.6 ^HAPA1 ). Das Merkmal 1.7a^HAPA1 entspricht dem mit dem gerichtlichen Hinweis vom 28. Dezember 2016 formulierten Verständnis des Senats bezüglich des Merkmals 1.6. Die weitere Charakterisierung der sicherheitsbezogenen Einrichtungen geht also nicht über den bisherigen Gehalt des Merkmals 1.6 hinaus und kann somit auch die Patentfähigkeit des Anspruchs 1 nicht stützen.

Wie zur erteilten Fassung des Patentanspruchs 1 ausgeführt, realisiert der Fachmann bei der Nacharbeit der Lehre der D4 eine zweite Steuereinheit für sicherheitsunkritische Prozesse in der aus dem Interbus-Standard bekannten Master-Steuereinrichtung 11, welche keine sicherheitsbezogenen Funktionen aufweist (vgl. D2, Sp. 1, Z. 7 bis 27; Merkmal 1.8a ^HAPA1 ).

2.2 Abhängige Patentansprüche 2 bis 11

2.2.1 Patentanspruch 2

Wie zu Merkmal 1.6 der erteilten Fassung ausgeführt, ist die Steuereinheit in dem Busteilnehmer 12 dazu geeignet, ein fehlersicheres Bustelegramm zu erzeugen, bei dessen Empfang die Signaleinheit den sicherheitskritischen Prozeß in einen sicheren Zustand überführt (vgl. D4, Sp. 4; Z. 39 bis 56).

2.2.2 Patentanspruch 3

In der D4 wird bezüglich der Absicherung der zu übertragenden Daten auf den Standard EN 954-1 verwiesen, aus dem sich entsprechende Maßnahmen zur Vermeidung bzw. Beherrschung von Fehlern ergeben. Gemäß dieser Norm beinhalten bei Anwendungen mit höherem Risiko praktische Maßnahmen neben Redundanz auch eine Diversität (vgl. N1, S. 5, li. Sp.). Der Fachmann ist an die Vorgaben der einschlägigen Norm EN 954-1 gebunden. Das Verständnis der technischen Lehre der  D4 umfasst für den Fachmann somit zwangläufig das Einhalten der durch die Norm EN 954-1 vorgeschriebenen Maßnahmen und deshalb liest der Fachmann bei der Nacharbeitung der Lehre der D4 mit, dass eine Diversität bei mehrkanaligen  Strukturen vorzusehen ist.

2.2.3 Patentanspruch 4

Wie zu Merkmal 1.8 des Hilfsantrags ausgeführt, erkennt der Fachmann in der D4 die zweite Steuerung in der Master-Steuerungseinrichtung 11, die getrennt von der ersten Steuereinrichtung im Busteilnehmer 12 an den Feldbus 10 angeschlossen ist (vgl. D4, Fig. 1).

2.2.4 Patentanspruch 5

Die E/A-Kanäle in den Busteilnehmern 12, 13 und 14 gemäß der D4 stellen Eingänge und Ausgänge bereit, über die die Signaleinheit Zustandssignale des sicherheitskritischen Prozesses einlesen und Steuersignale zum Steuern des sicherheitskritischen Prozesses ausgeben kann (vgl. D4, Sp. 1, Z. 54 bis 57; Sp. 3, Z. 23 bis 28). Ein Ausführungsbeispiel einer derartigen Signaleinheit ist auch der in Bezug genommenen D2 zu entnehmen (vgl. D2, Fig. 2, Busteilnehmer 30; Sp. 4, Z. 30 bis 33 (Sensoren 100, 102); Sp. 5, Z. 42 bis 46 (Schalter 170, 180)).

2.2.5 Patentanspruch 6

Wie zu Merkmal 1.8 des Patentanspruchs 1 gemäß Hilfsantrag ausgeführt, beinhaltet die zweite Steuerung (Master-Steuerung 11) den Busmaster.

2.2.6 Patentansprüche 7 bis11

Gemäß der Lehre nach dem Ausführungsbeispiel der D4 handelt es sich bei dem Feldbus um einen Interbus (entsprechend dem kennzeichnenden Merkmal des Patentanspruchs 8), der standardmäßig einen umlaufenden Telegrammverkehr zwischen einzelnen an den Feldbus angeschlossenen Einheiten bereitstellt (entsprechend dem kennzeichnenden Merkmal des Patentanspruchs 7). Die erste Steuereinheit in dem Busteilnehmer 12 ist bezogen auf eine Umlaufrichtung des Telegrammverkehrs vor der Signaleinheit 14 angeordnet (vgl. D4, Fig. 1; entsprechend dem kennzeichnenden Merkmal des Patentanspruchs 9). Gemäß der Offenbarung in der D4 in Spalte 3, Zeile 38 bis 40 können die Busteilnehmer die Informationen in den Datenpaketen 15 bearbeiten. Die erste Steuereinheit in dem Busteilnehmer 12 muss daher zwingend Mittel aufweisen, um Telegrammdaten, die an die Signaleinheit 12 adressiert sind, durch fehlersichere Telegrammdaten zu ersetzen (entsprechend dem kennzeichnenden Merkmal des Patentanspruchs 10). Gemäß der Lehre der D4 können sich im System mehrere Eingangs- und Ausgangseinrichtungen befinden (vgl. Sp. 5, Z. 18 bis 22; entsprechend dem kennzeichnenden Merkmal des Patentanspruchs 11).

3. Nebengeordnete Patentansprüche 12 bis 15

3.1 Patentanspruch 12

a) Patentanspruch 12 nach Hilfsantrag lässt sich folgendermaßen gliedern (ohne Bezugszeichen, Änderungen gegenüber der erteilten Fassung von Patentanspruch 1 durchgestrichen bzw. unterstrichen):

1.1^HAPA12 Steuerungssystem zum Steuern von eines Gesamtprozesses, der einen sicherheitskritischen Prozessen Teilprozess und außerhalb des sicherheitskritischen Teilprozesses liegende nicht-sicherheitskritische Anteile beinhaltet, die keine sicherheitsbezogenen Zusatzmaßnahmen erfordern,

1.2^HAPA12 mit einer ersten Steuereinheit zum Steuern eines des sicherheitskritischen Prozesses Teilprozesses,

1.3 ^HAPA12 mit einer Signaleinheit, die über E/A-Kanäle mit dem sicherheitskritischen Prozess Teilprozess verknüpft ist,

1.4 ferner mit einem Feldbus, über den die erste Steuereinheit und die Signaleinheit verbunden sind,

1.5 und mit einem Busmaster zum Steuern der Kommunikation auf dem Feldbus,

1.5a^HAPA12 wobei der Busmaster den übrigen an den Feldbus angeschlossenen Busteilnehmern übergeordnet ist, so dass ein Busteilnehmer ohne Erlaubnis des Busmasters keine Daten an andere Busteilnehmer senden kann,

1.5b^HAPA12 wobei die erste Steuereinheit als einfacher Busteilnehmer, d.h. ohne eine Busmasterfunktionalität an den Feldbus angeschlossen ist,

1.6^HAPA1 wobei die erste Steuereinheit und die Signaleinheit jeweils sicherheitsbezogene Einrichtungen aufweisen, um eine fehlersichere Kommunikation miteinander über den Feldbus zu gewährleisten,

1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehrkanalige Struktur aufweisen,

1.8^HAPA12 ferner mit einer zweiten an den Feldbus angeschlossenen Steuereinheit zum Steuern von der sicherheitsunkritischen Anteile des Gesamtprozesses Prozessen,

1.8a^HAPA12 wobei die erste Steuereinheit aufgrund der sicherheitsbezogenen Einrichtungen eine sichere Steuereinheit ist, während die zweite Steuereinheit eine Standard-Steuereinheit ist,

1.9 wobei der Busmaster getrennt von der ersten Steuereinheit und der Signaleinheit an den Feldbus angeschlossen ist, und

1.10^HAPA12 wobei die erste Steuereinheit ein eigenständiges Steuerprogramm zum Steuern des sicherheitskritischen Prozesses Teilprozesses aufweist, das die erste Steuereinheit in die Lage versetzt, den sicherheitskritischen Prozess Teilprozess unabhängig von anderen Steuereinheiten und somit eigenständig fehlersicher zu steuern,

1.10a^HAPA12 wobei der sicherheitskritische Teilprozess die Überwachung von Schutzgittern, Schutztüren oder Lichtschranken beinhaltet.

b) Patentanspruch 12 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeignet, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale 1.4, 1.5, 1.7 und 1.9 wird auf die Ausführungen zur erteilten Fassung verwiesen.

Dass das Steuerungssystem sowohl zum Steuern eines sicherheitskritischen Prozesses (mittels der ersten Steuereinheit), als auch eines sicherheitsunkritischen Prozesses (mittels der zweiten Steuereinheit) geeignet ist, ist bereits dem ursprünglichen Wortlaut der Merkmale 1.2 und 1.8 zu entnehmen. Die in den Anspruch 12 zusätzlich aufgenommenen Erläuterungen zur Unterteilung des Steuerungsprozesses in einen sicheren und einen nicht sicheren Anteil stellen also kein neues Merkmal dar und werden deshalb bereits vom erteilten Anspruch 1 erfasst. Zudem ist das Steuerungssystem nach der D4 ebenfalls dazu geeignet, da sich im Bussystem sicherheitsbezogene Eingangs- und Ausgangseinrichtungen gemischt mit nicht sicherheitsbezogenen Ein- bzw. Ausgangseinheiten befinden können (vgl. D4, Sp. 5, Z. 18 bis 22; Merkmale 1.1 ^HAPA12 , 1.2 ^HAPA12 , 1.3 ^HAPA12 , 1.8 ^HAPA12 , 1.10 ^HAPA12 ).

Gemäß der D4 wird durch die Master-Steuereinrichtung 11 die eigentliche Übertragung der Daten gewährleistet (vgl. D4, Sp. 3, Z. 45 bis 47). Die übrigen Busteilnehmer können diese in den Datenpaketen enthaltenen Daten bearbeiten (vgl. D4, Sp. Sp. 3, Z. 38 bis 40). Mithin ist der Busmaster der D4 (Master-Steuereinrichtung 11) den übrigen an den Feldbus angeschlossenen Busteilnehmern übergeordnet, so dass ein Busteilnehmer ohne Erlaubnis des Busmasters (die Master-Steuereinrichtung 11 ermöglicht die Kommunikation auf dem Feldbus) keine Daten an andere Busteilnehmer senden kann (Merkmal 1.5a ^HAPA12 ). Bei der aus der D4 bekannten ersten Steuereinheit handelt es sich somit um einen einfachen Busteilnehmer, d. h. er ist ohne eine Busmasterfunktionalität an den Feldbus angeschlossen (Merkmal 1.5b ^HAPA12 ). Wie zur erteilten Fassung ausgeführt, handelt es sich bei der Steuereinheit gemäß der D4 aufgrund der sicherheitsbezogenen Einrichtungen um eine sichere Steuereinheit, während es sich bei der zweiten Steuereinheit um eine aus dem Interbus-System bekannte Standard-Steuereinheit handelt (Merkmal 1.8a ^HAPA12 ). Gemäß der von der D4 in Bezug genommenen D2 beinhalten die sicherheitskritischen (Teil-)Prozesse beispielsweise die Überwachung von Schutzgittern (vgl. D2, Sp. 4, Z. 1 bis 2) und das Verriegeln von Türen (vgl. D2, Sp. 1, Z. 61 bis 62) (Merkmal 1.10a ^HAPA12 ).

c) Auch der nachrangig zur Verteidigung mit Patentanspruch 12 gestellte Hilfsantrag der Beklagten, wonach im Unterschied zu Anspruch 12, Merkmal 1.10a^HAPA12, der sicherheitskritische Teilprozess nur noch die Überwachung von Lichtschranken beinhaltet, ist zur Selbstbeschränkung nicht geeignet, da gemäß der für den Fachmann einzuhaltenden Norm EN 954-1 insbesondere die Überwachung von Lichtschranken zu den zu berücksichtigenden Anwendungsfällen bei sicherheitsgerichteten Steuerungen zählen (vgl. N1, S. 3, li. Sp, 2. Spiegelstrich).

3.2 Patentanspruch 13

a) Patentanspruch 13 nach Hilfsantrag lässt sich folgendermaßen gliedern (Änderungen gegenüber der erteilten Fassung von Patentanspruch 1 durchgestrichen bzw. unterstrichen):

1.1 Steuerungssystem zum Steuern von sicherheitskritischen Prozessen,

1.2 mit einer ersten Steuereinheit zum Steuern eines sicherheitskritischen Prozesses,

1.3 mit einer Signaleinheit, die über E/A-Kanäle mit dem sicherheitskritischen Prozess verknüpft ist,

1.4 ferner mit einem Feldbus, über den die erste Steuereinheit und die Signaleinheit verbunden sind

1.5 und mit einem Busmaster zum Steuern der Kommunikation auf dem Feldbus

1.6^HAPA1 wobei die erste Steuereinheit und die Signaleinheit jeweils sicherheitsbezogene Einrichtungen aufweisen, um eine fehlersichere Kommunikation miteinander über den Feldbus zu gewährleisten,

1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehrkanalige Struktur aufweisen,

1.8^HAPA13 ferner mit einer zweiten Steuereinheit zum Steuern von sicherheitsunkritischen Prozessen,

1.9 wobei der Busmaster getrennt von der ersten Steuereinheit und der Signaleinheit an den Feldbus angeschlossen ist, und

1.10 wobei die erste Steuereinheit ein eigenständiges Steuerprogramm zum Steuern des sicherheitskritischen Prozesses aufweist, das die erste Steuereinheit in die Lage versetzt, den sicherheitskritischen Prozess unabhängig von anderen Steuereinheiten zu steuern, und

1.10a^HAPA13 wobei die Signaleinheit nur zum Teil eine sichere Signaleinheit ist, da nur ein Teil der über die Signaleinheit abgewickelten Signale einer Steuerung und Kontrolle durch die sicherheitsbezogenen Einrichtungen unterliegt, wobei die Signaleinheit mit ihrem sicheren Teil durch die erste Steuereinheit und mit ihrem nicht-sicheren Teil durch die zweite Steuereinheit gesteuert wird.

b) Patentanspruch 13 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeignet, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale 1.1 bis 1.10 (die Änderung in Merkmal 1.8 ist rein textuell) wird auf die Ausführungen zur erteilten Fassung verwiesen.

In der Druckschrift D4 ist durch die vollumfängliche Bezugnahme auf die Druckschrift D2 ein Busteilnehmer 30 offenbart, der über eine Busanschaltvorrichtung 70 an einen Interbus angeschaltet ist. Dort ist eine sicherheitsbezogene Schaltungsanordnung 80 implementiert, die Sicherheitsfunktionen ausführen kann. Diese Schaltungsanordnung 80 weist hierzu einen Sicherheitsbaustein 90 auf. Die Eingänge 92, 93 des Sicherheitsbausteins 90 sind mit Sensoren 100, 102 verbunden. Der Sicherheitsbaustein 90 dient dazu, die von den Sensoren 100 und 102 kommenden Eingangsdaten zu negieren und als sicherheitsbezogene negierte Daten zusammen mit einer Prüfinformation der Bus-Anschalteinrichtung 70 zuzuführen. Dadurch wird das Sicherheitsverhalten des Interbus-Systems verbessert, da die Datenübertragungssicherheit erhöht wird (vgl. D2, Fig. 2; Sp. 4, Z. 4 bis 58). Der Summenrahmen des Interbus-Protokolls wird einem Buszyklus zur Master-Steuereinrichtung 20 übertragen (vgl. Sp. 5, Z. 6 bis 8).

Der Busteilnehmer 30 kann nicht nur sicherheitsbezogene Informationen zur Master-Steuereinrichtung 20 übertragen, sondern im Gegenzug auch Daten oder Informationen von der Master-Steuereinrichtung 20 empfangen, die von der Busanschaltvorrichtung 70 ausgelesen werden (vgl. D2, Sp. 5, Z. 23 bis 28). Die sicherheitsbezogenen Informationen werden dem Sicherheitsbaustein 90 zugeführt, dort interpretiert und ggfs. wird eine Sicherheitsfunktion ausgelöst, z. B. indem die Schalter 170, 180 geöffnet werden, so dass die im Ausführungsbeispiel beschriebene Drehmaschine 110 und der Schweißroboter 120 von dem Interbus abgetrennt werden (vgl. Sp. 5, Z. 47 bis Sp. 6, Z. 3).

Bei geschlossenen Schaltern 170, 180 werden über diese Schalter insbesondere Steuerdaten, Prozeß- und Parameterdaten – entsprechen sicherheitsunkritischen Daten – zu der Drehmaschine 110 bzw. dem Schweißroboter 120 oder von diesen zur Bus-Anschalteinrichtung übertragen. Dieser Übertragungsweg geht, wie der Figur 2 der D2 unmittelbar zu entnehmen ist, nicht über den Sicherheitsbaustein 90 (vgl. D2, Fig. 2; Sp. 5, Z. 42 bis 46).

Somit offenbart die technische Lehre der D4, die der Fachmann mit den Ausführungen der inkorporierten D2 versteht, eine Signaleinheit 30, die nur zum Teil eine sichere Signaleinheit ist, da nur ein Teil der über die Signaleinheit abgewickelten Signale einer Steuerung und Kontrolle durch die sicherheitsbezogenen Einrichtungen unterliegt. Der Fachmann liest dabei mit, dass die Signaleinheit mit ihrem sicheren Teil durch die aus der D4 bekannte erste Steuereinheit und mit ihrem nicht-sicheren Teil durch die aus der D4 bekannte zweite Steuereinheit gesteuert wird (vgl. Ausführungen zur erteilten Fassung; Merkmal 1.10a ^HAPA13 ).

3.3 Patentanspruch 14

Patentanspruch 14 nach Hilfsantrag lässt sich folgendermaßen gliedern (Änderungen gegenüber der erteilten Fassung von Patentanspruch 1 durchgestrichen bzw. unterstrichen):

1.1 Steuerungssystem zum Steuern von sicherheitskritischen Prozessen,

1.2^HAPA14 mit einer zumindest zwei ersten Steuereinheit zum Steuern eines von zumindest zwei sicherheitskritischen Prozesses Prozessen,

1.3^HAPA14 mit einer zumindest zwei Signaleinheiten, die jeweils über E/A-Kanäle mit dem jeweils einem sicherheitskritischen Prozess verknüpft ist sind,

1.4^HAPA14 ferner mit einem Feldbus, über den die ersten Steuereinheiten und die Signaleinheiten verbunden sind

1.5 und mit einem Busmaster zum Steuern der Kommunikation auf dem Feldbus

1.5a^HAPA14 wobei die ersten Steuereinheiten und die Signaleinheiten jeweils als einfache Busteilnehmer, d.h. ohne Busmasterfunktionalität an den Feldbus angeschlossen sind,

1.6^HAPA14 wobei die zumindest zwei ersten Steuereinheiten und die zumindest zwei Signaleinheiten jeweils sicherheitsbezogene Einrichtungen aufweisen, um eine fehlersichere Kommunikation miteinander über den Feldbus zu gewährleisten,

1.7 wobei die sicherheitsbezogenen Einrichtungen jeweils eine mehrkanalige Struktur aufweisen,

1.8^HAPA13 ferner mit einer zweiten Steuereinheit zum Steuern von sicherheitsunkritischen Prozessen,

1.9^HAPA14 wobei der Busmaster getrennt von der n ersten Steuereinheiten und der n Signaleinheiten an den Feldbus angeschlossen ist, und

1.10^HAPA14 wobei die ersten Steuereinheiten jeweils ein eigenständiges Steuerprogramm zum Steuern des von einem der sicherheitskritischen Prozesses aufweisen t, wobei das Steuerprogramm die ersten Steuereinheiten jeweils in die Lage versetzt, den einen der sicherheitskritischen Prozesse unabhängig von den anderen Steuereinheiten und somit eigenständig fehlersicher zu steuern,

1.10a^HAPA12 wobei der sicherheitskritische Prozess die Überwachung von Schutzgittern, Schutztüren oder Lichtschranken beinhaltet.

b) Patentanspruch 14 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeignet, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale 1.1, 1.5 und 1.7 (die Änderung in Merkmal 1.8 ist rein textuell) wird auf die Ausführungen zur erteilten Fassung verwiesen.

Gemäß der Offenbarung der D4 können sich im Bussystem des bekannten Steuerungssystems mehrere sicherheitsbezogene Eingangs- und Ausgangseinrichtungen gemischt mit nicht sicherheitsbezogenen Ein- bzw. Ausgangseinheiten befinden. Somit wird auch in der D4 ein System mit zumindest zwei ersten Steuereinheiten zum Steuern von zumindest zwei sicherheitskritischen Prozessen und mit zumindest zwei Signaleinheiten, die jeweils über E/A-Kanäle mit dem jeweils einen sicherheitskritischen Prozess verknüpft sind, offenbart (vgl. Sp. 5, Z. 18 bis 20; Merkmale 1.2 ^HAPA14 , 1.3 ^HAPA14 , 1.4 ^HAPA14 , 1.6 ^HAPA14 , 1.9 ^HAPA14 , 1.10 ^HAPA14 ). Die ersten Steuereinheiten und die Signaleinheiten sind dabei jeweils als einfache Busteilnehmer, d. h. ohne Busmasterfunktionalität an den Feldbus angeschlossen (vgl. Ausführungen zu Patentanspruch 12; Merkmal 1.5a ^HAPA14 ). Bezüglich Merkmal 1.10a ^HAPA12 und dem nachrangig zur Verteidigung mit Patentanspruch 14 gestellten Hilfsantrag der Beklagten, wonach im Unterschied zu Anspruch 14, letztes Merkmal, der sicherheitskritische Teilprozess nur noch die Überwachung von Lichtschranken beinhaltet, wird auf die Ausführungen zu Merkmal 1.10a^HAPA12 des Patentanspruchs 12 nach Hilfsantrag verwiesen.

3.4 Patentanspruch 15

a) Patentanspruch 15 nach Hilfsantrag unterscheidet sich vom Patentanspruch 1 nach Hilfsantrag in dem nach Merkmal 1.9 eingefügten Merkmal:

1.9a^HAPA15 wobei die erste Steuereinheit geeignet ist, ein fehlersicheres Bustelegramm zu erzeugen, bei dessen Empfang die Signaleinheit den sicherheitskritischen Prozeß in einen sicheren Zustand überführt, und

und in dem zusätzlichen Merkmal aus Patentanspruch 12 nach Hilfsantrag

1.10a^HAPA12 wobei der sicherheitskritische Prozess die Überwachung von Schutzgittern, Schutztüren oder Lichtschranken beinhaltet.

b) Patentanspruch 15 nach Hilfsantrag ist zur Selbstbeschränkung nicht geeignet, da der Gegenstand als nicht neu gegenüber der DE 198 40 562 A1 (D4) gilt.

Bezüglich der unveränderten Merkmale wird auf die Ausführungen zu Patentanspruch 1 nach Hilfsantrag und zu Merkmal 1.10a^HAPA12 auf die Ausführungen zu Patentanspruch 12 nach Hilfsantrag verwiesen.

Merkmal 1.9a^HAPA15 entspricht dem auf Patentanspruch 1 nach Hilfsantrag rückbezogenen Patentanspruch 2, dessen Gegenstand ebenfalls aus der Druckschrift D4 bekannt ist. Es wird hierzu auf die entsprechenden Ausführungen zu Patentanspruch 2 unter III./2.1 verwiesen.

4. abhängige Patentansprüche 16 und 17

Die auf die nebengeordneten Patentansprüche 12 bis 15 nach Hilfsantrag rückbezogenen Patentansprüche 16 und 17 entsprechen den auf Patentanspruch 1 nach Hilfsantrag rückbezogenen Ansprüchen 2 und 5, bezüglich deren Offenbarung in der D4 auf die Ausführungen unter III./2.1 und 2.4 in Verbindung mit Patentanspruch 1 nach Hilfsantrag verwiesen wird.

5. Da weder Patentanspruch 1 in der erteilten Fassung noch ein nebengeordneter Patentanspruch oder Unteranspruch in der mit dem Hilfsantrag verteidigten Fassung patentfähig ist, hat das Streitpatent in keiner der verteidigten Fassungen Bestand.

III.

Die Kostenentscheidung beruht auf § 84 Abs. 2 PatG i. V. m. §§ 91 Abs. 1 Satz 1, 100, 101 Abs. 2 ZPO, die Entscheidung über die vorläufige Vollstreckbarkeit auf § 99 Abs. 1 PatG i. V. m. § 709 ZPO.