20 W (pat) 4/11

BUNDESPATENTGERICHT W (pat) 4/11 Verkündet am 19. Januar 2015

…

BESCHLUSS In der Beschwerdesache betreffend das Patent 10 2006 054 124 …

BPatG 154 05.11 hat der 20. Senat (Technischer Beschwerdesenat) des Bundespatentgerichts auf die mündliche Verhandlung vom 19. Januar 2015 durch den Vorsitzenden Richter Dipl.-Phys. Dr. Mayer, den Richter Dipl.-Ing. Kleinschmidt, die Richterin Dorn und den Richter Dipl.-Geophys. Dr. Wollny beschlossen:

Die Beschwerde wird zurückgewiesen.

Gründe I.

Die Beschwerde der Patentinhaberin richtet sich gegen den Beschluss der Patentabteilung 31 des Deutschen Patent- und Markenamts vom 16. September 2010 (zugestellt am 26. November 2010), mit dem das Patent 10 2006 054 124 widerrufen worden ist. Die Patentabteilung vertrat die Auffassung, dass der Gegenstand des Patentanspruchs 1 in allen verteidigten Fassungen nicht die erforderliche Neuheit gegenüber der Druckschrift US 2003/0051203 A1 (E5) aufweise.

Im Verfahren befanden sich zu diesem Zeitpunkt insgesamt 14 Druckschriften:

D1 DE 10 2005 049 931 A1 D2 DE 196 14 654 C1 D3 DE 10 2005 015 864 A1 D4 US 5 469 150 A E1 PROFIBUS Profile, Order No. 3.092 - PROFIsafe – Profile for Safety Technology, Version 1.20, October 2002, Profibus Nutzerorganisation e.V., Karlsruhe E2 CAVALIERI, S. & MONFORTE, S.: Fault tolerance in Interbus-S standard, In: Computer Standards & Interfaces, Elsevier Science B. V., Lausanne, CH, Band 23, Nummer 3, Juli 2001, Seiten 223 bis 235, ISSN: 0920-5489,

E3 JP 61021640 A E4 DE 100 14 352 A1 E5 US 2003/0051203 A1 (E6 DE 10 2005 015 864 A1 = D3) E7 DE 197 42 716 A1 E8 DE 199 22 561 A1 E9 US 7 093 244 B2 E10 DE 197 16 197 A1.

Der Bevollmächtigte der Patentinhaberin und Beschwerdeführerin beantragt,

den Beschluss der Patentabteilung 31 des Deutschen Patent- und Markenamts vom 16. September 2010 aufzuheben und das Patent 10 2006 054 124 in unverändertem Umfang aufrechtzuerhalten.

Hilfsweise beantragt er,

das Patent auf der Grundlage folgender Unterlagen im Umfang eines der folgenden Hilfsanträge aufrechtzuerhalten:

Hilfsantrag I:

Patentansprüche 1 bis 32 vom 27. April 2012, bei Gericht eingegangen per Fax am 30. April 2012 Beschreibung und Zeichnungen wie Patentschrift Hilfsantrag Ia: Patentansprüche 1 bis 30, überreicht in der mündlichen Verhandlung am 19. Januar 2015 Beschreibung und Zeichnungen wie Patentschrift Hilfsantrag IV: Patentansprüche 1 bis 26 vom 2. September 2010, eingereicht im Einspruchsverfahren als Hilfsantrag III per Fax am selben Tag Beschreibung und Zeichnungen wie Patentschrift Hilfsantrag IVa: Patentansprüche 1 bis 26, überreicht in der mündlichen Verhandlung am 19. Januar 2015 Beschreibung und Zeichnungen wie Patentschrift Hilfsantrag V: Patentansprüche 1 bis 22 vom 2. September 2010, eingereicht im Einspruchsverfahren als Hilfsantrag IV per Fax am selben Tag Beschreibung und Zeichnungen wie Patentschrift Hilfsantrag Va:

Patentansprüche 1 bis 22, überreicht in der mündlichen Verhandlung am 19. Januar 2015 Beschreibung und Zeichnungen wie Patentschrift.

Er ist der Meinung, dass die Gegenstände der Patentansprüche nach dem Hauptund den Hilfsanträgen neu und auch erfinderisch seien.

Die Bevollmächtigten der Einsprechenden und Beschwerdegegnerin treten dieser Auffassung entgegen.

Sie beantragen,

die Beschwerde zurückzuweisen.

Die nebengeordneten Patentansprüche 1 und 17 gemäß Hauptantrag lauten:

„1. Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'), das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist, wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, mit den Schritten

- Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27),

- Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit,

- Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und

- Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit, wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden.“

„17. System zur Übertragung sicherheitsgerichteter Daten zur Steuerung eines Automatisierungssystems, insbesondere ausgebildet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, umfassend

- ein serielles Kommunikationssystem (1) mit wenigstens einem ersten und einem zweiten daran angeschlossenen Teilnehmer (21, 22, 21', 22', 23, 24, 26, 27),

- wenigstens eine erste, in dem ersten Teilnehmer (21, 21', 23, 26) angeordnete Auswerteeinheit (212, 232, 262), und

- wenigstens eine zweite, in dem zweiten Teilnehmer (22, 22', 24, 27) angeordnete Auswerteeinheit (222, 242, 272), wobei die zweite Auswerteeinheit zum Überprüfen einer von dem ersten Teilnehmer empfangenen Datennachricht und zum Generieren einer Quittungsnachricht in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht ausgebildet ist, die erste Auswerteeinheit zum Überprüfen einer von dem zweiten Teilnehmer empfangenen Quittungsnachricht ausgebildet ist, und der erste und/oder der zweite Teilnehmer dazu ausgebildet sind, im Fehlerfall eine Sicherheitsfunktion auszuführen, und wobei die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, welches für eine redundante Auswertung sicherheitsgerichteter Daten ausgebildet ist.“

Die nebengeordneten Patentansprüche 1 und 17 gemäß Hilfsantrag I lauten:

„1. Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'), das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist, wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, mit den Schritten

- Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27),

- Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit,

- Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und

- Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit, wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden und wobei das Überwachen der Funktionsfähigkeit einer Auswerteeinheit durch eine Überwachungsschaltung durch Ausführen einer in dem ausführenden Teilnehmer (22) hinterlegten Funktion (22p1, 22p2) erfolgt, und wobei vor Ausführen der Funktion Teile (22p2) der auszuführenden Funktion und/oder Parameter zum Ausführen der Funktion von einem weiteren Teilnehmer (21) zu dem ausführenden Teilnehmer (22) übertragen werden.“

„17. System zur Übertragung sicherheitsgerichteter Daten zur Steuerung eines Automatisierungssystems, insbesondere ausgebildet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, umfassend

- ein serielles Kommunikationssystem (1) mit wenigstens einem ersten und einem zweiten daran angeschlossenen Teilnehmer (21, 22, 21', 22', 23, 24, 26, 27),

- wenigstens eine erste, in dem ersten Teilnehmer (21, 21', 23, 26) angeordnete Auswerteeinheit (212, 232, 262), und

- wenigstens eine zweite, in dem zweiten Teilnehmer (22, 22', 24, 27) angeordnete Auswerteeinheit (222, 242, 272), wobei die zweite Auswerteeinheit zum Überprüfen einer von dem ersten Teilnehmer empfangenen Datennachricht und zum Generieren einer Quittungsnachricht in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht ausgebildet ist,

die erste Auswerteeinheit zum Überprüfen einer von dem zweiten Teilnehmer empfangenen Quittungsnachricht ausgebildet ist, und der erste und/oder der zweite Teilnehmer dazu ausgebildet sind, im Fehlerfall eine Sicherheitsfunktion auszuführen, und wobei die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, welches für eine redundante Auswertung sicherheitsgerichteter Daten ausgebildet ist und wobei wenigstens ein Teilnehmer dazu ausgebildet ist, das Überwachen der Funktionsfähigkeit einer Auswerteeinheit durch eine Überwachungsschaltung durch Ausführen einer in dem Teilnehmer (22) hinterlegten Funktion (22p1, 22p2) durchzuführen, wobei der wenigstens eine Teilnehmer (22) ferner dazu ausgebildet ist, zum Ausführen der Funktion ausführbare Funktionsteile (22p2) und/oder Parameter von einem weiteren Teilnehmer (21) anzufordern.“

Die nebengeordneten Patentansprüche 1 und 16 gemäß Hilfsantrag Ia lauten:

„1. Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'), das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist, wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, und wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/A-Mo- dul an ein übergeordnetes Bussystem angeschlossen ist, mit den Schritten - Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27), - Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit, - Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und - Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit, wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, und wobei das Überwachen der Funktionsfähigkeit der Auswerteeinheit des E/A-Moduls durch Ausführen einer im E/A-Modul hinterlegten Applikation erfolgt, und wobei in der Anlaufphase des Systems das E/A-Modul einen fehlenden Applikationsteil vom Sensor bzw. Aktor anfordert, und dieser den fehlenden Applikationsteil daraufhin zum E/A-Modul überträgt.“

„16. System zur Übertragung sicherheitsgerichteter Daten zur Steuerung eines Automatisierungssystems, insbesondere ausgebildet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, umfassend

- ein serielles Kommunikationssystem (1) mit wenigstens einem ersten und einem zweiten daran angeschlossenen Teilnehmer (21, 22, 21', 22', 23, 24, 26, 27), und wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/A-Modul an ein übergeordnetes Bussystem angeschlossen ist,

- wenigstens eine erste, in dem ersten Teilnehmer (21, 21', 23, 26) angeordnete Auswerteeinheit (212, 232, 262), und

- wenigstens eine zweite, in dem zweiten Teilnehmer (22, 22', 24, 27) angeordnete Auswerteeinheit (222, 242, 272), wobei die zweite Auswerteeinheit zum Überprüfen einer von dem ersten Teilnehmer empfangenen Datennachricht und zum Generieren einer Quittungsnachricht in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht ausgebildet ist, die erste Auswerteeinheit zum Überprüfen einer von dem zweiten Teilnehmer empfangenen Quittungsnachricht ausgebildet ist, und der erste und/oder der zweite Teilnehmer dazu ausgebildet sind, im Fehlerfall eine Sicherheitsfunktion auszuführen, und wobei die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, welches für eine redundante Auswertung sicherheitsgerichteter Daten ausgebildet ist, wobei das Überwachen der Funktionsfähigkeit der Auswerteeinheit des E/A-Moduls durch Ausführen einer im E/AModul hinterlegten Applikation erfolgt, und wobei in der An- laufphase des Systems das E/A-Modul einen fehlenden Applikationsteil vom Sensor bzw. Aktor anfordert, und dieser den fehlenden Applikationsteil daraufhin zum E/A-Modul überträgt.“

Die nebengeordneten Patentansprüche 1 und 14 gemäß Hilfsantrag IV lauten:

„1. Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'), das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist, wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, und wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/A-Modul an ein übergeordnetes Bussystem (40) angeschlossen ist, mit den Schritten

- Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27),

- Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit,

- Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und

- Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden.“

„14. System zur Übertragung sicherheitsgerichteter Daten zur Steuerung eines Automatisierungssystems, insbesondere ausgebildet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, umfassend

- ein serielles Kommunikationssystem (1) mit wenigstens einem ersten und einem zweiten daran angeschlossenen Teilnehmer (21, 22, 21', 22', 23, 24, 26, 27), wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/AModul an ein übergeordnetes Bussystem (40) angeschlossen ist,

- wenigstens eine erste, in dem ersten Teilnehmer (21, 21', 23, 26) angeordnete Auswerteeinheit (212, 232, 262), und

- wenigstens eine zweite, in dem zweiten Teilnehmer (22, 22', 24, 27) angeordnete Auswerteeinheit (222, 242, 272), wobei die zweite Auswerteeinheit zum Überprüfen einer von dem ersten Teilnehmer empfangenen Datennachricht und zum Generieren einer Quittungsnachricht in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht ausgebildet ist,

die erste Auswerteeinheit zum Überprüfen einer von dem zweiten Teilnehmer empfangenen Quittungsnachricht ausgebildet ist, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und der erste und/oder der zweite Teilnehmer dazu ausgebildet sind, im Fehlerfall eine Sicherheitsfunktion auszuführen, und wobei die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, welches für eine redundante Auswertung sicherheitsgerichteter Daten ausgebildet ist.“

Die nebengeordneten Patentansprüche 1 und 14 gemäß Hilfsantrag IVa lauten:

„1. Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'), das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist, wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, und wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/A-Modul an ein übergeordnetes Bussystem (40) angeschlossen ist, mit den Schritten

- Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27),

- Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit,

- Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und

- Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen sicherheitsgerichteten Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden.“

„14. System zur Übertragung sicherheitsgerichteter Daten zur Steuerung eines Automatisierungssystems, insbesondere ausgebildet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, umfassend

- ein serielles Kommunikationssystem (1) mit wenigstens einem ersten und einem zweiten daran angeschlossenen Teilnehmer (21, 22, 21', 22', 23, 24, 26, 27), wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/AModul an ein übergeordnetes Bussystem (40) angeschlossen ist,

- wenigstens eine erste, in dem ersten Teilnehmer (21, 21', 23, 26) angeordnete Auswerteeinheit (212, 232, 262), und

- wenigstens eine zweite, in dem zweiten Teilnehmer (22, 22', 24, 27) angeordnete Auswerteeinheit (222, 242, 272), wobei die zweite Auswerteeinheit zum Überprüfen einer von dem ersten Teilnehmer empfangenen Datennachricht und zum Generieren einer Quittungsnachricht in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht ausgebildet ist, die erste Auswerteeinheit zum Überprüfen einer von dem zweiten Teilnehmer empfangenen Quittungsnachricht ausgebildet ist, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen sicherheitsgerichteten Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und der erste und/oder der zweite Teilnehmer dazu ausgebildet sind, im Fehlerfall eine Sicherheitsfunktion auszuführen, und wobei die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, welches für eine redundante Auswertung sicherheitsgerichteter Daten ausgebildet ist.“

Die nebengeordneten Patentansprüche 1 und 12 gemäß Hilfsantrag V lauten:

„1. Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'), das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist, wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/A-Modul an ein übergeordnetes Bussystem (40) angeschlossen ist, und wobei zwischen den ersten und den zweiten Teilnehmer ein, insbesondere als mechanisches Element ausgebildetes Steuer- oder Sensorelement (70) geschaltet ist, das keine Auswerteeinheit umfasst, mit den Schritten - Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27), - Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit, - Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und - Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden.“

„12. System zur Übertragung sicherheitsgerichteter Daten zur Steuerung eines Automatisierungssystems, insbesondere ausgebildet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, umfassend

- ein serielles Kommunikationssystem (1) mit wenigstens einem ersten und einem zweiten daran angeschlossenen Teilnehmer (21, 22, 21', 22', 23, 24, 26, 27), wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/AModul an ein übergeordnetes Bussystem (40) angeschlossen ist,

- wenigstens eine erste, in dem ersten Teilnehmer (21, 21', 23, 26) angeordnete Auswerteeinheit (212, 232, 262), und

- wenigstens eine zweite, in dem zweiten Teilnehmer (22, 22', 24, 27) angeordnete Auswerteeinheit (222, 242, 272), wobei zwischen den ersten und den zweiten Teilnehmer ein, insbesondere als mechanisches Element ausgebildetes Steueroder Sensorelement (70) geschaltet ist, das keine Auswerteeinheit umfasst, die zweite Auswerteeinheit zum Überprüfen einer von dem ersten Teilnehmer empfangenen Datennachricht und zum Generieren einer Quittungsnachricht in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht ausgebildet ist, die erste Auswerteeinheit zum Überprüfen einer von dem zweiten Teilnehmer empfangenen Quittungsnachricht ausgebildet ist, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und der erste und/oder der zweite Teilnehmer dazu ausgebildet sind, im Fehlerfall eine Sicherheitsfunktion auszuführen, und wobei die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, welches für eine redundante Auswertung sicherheitsgerichteter Daten ausgebildet ist.“

Die nebengeordneten Patentansprüche 1 und 12 gemäß Hilfsantrag Va lauten:

„1. Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'), das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist, wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/A-Modul an ein übergeordnetes Bussystem (40) angeschlossen ist, und wobei zwischen den ersten und den zweiten Teilnehmer ein als mechanisches Element ausgebildetes Steuer- oder Sensorelement (70) geschaltet ist, das keine Auswerteeinheit umfasst, mit den Schritten

- Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27),

- Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit,

- Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und

- Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen sicherheitsgerichteten Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, wobei das mechanische Element mit einem Ausgang der ersten Auswerteeinheit und mit einem Eingang der zweiten Auswerteeinheit verbunden ist, und wobei ein Ausgang der zweiten Auswerteeinheit mit einem Eingang der ersten Auswerteeinheit verbunden ist, so dass der Signalweg vom Ausgang der ersten Auswerteeinheit zum Eingang der zweiten Auswerteeinheit durch das mechanische Element verläuft.“

„12.System zur Übertragung sicherheitsgerichteter Daten zur Steuerung eines Automatisierungssystems, insbesondere ausgebildet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, umfassend

- ein serielles Kommunikationssystem (1) mit wenigstens einem ersten und einem zweiten daran angeschlossenen Teilnehmer (21, 22, 21', 22', 23, 24, 26, 27), wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist, wobei das E/A- Modul an ein übergeordnetes Bussystem (40) angeschlossen ist, - wenigstens eine erste, in dem ersten Teilnehmer (21, 21', 23, 26) angeordnete Auswerteeinheit (212, 232, 262), und - wenigstens eine zweite, in dem zweiten Teilnehmer (22, 22', 24, 27) angeordnete Auswerteeinheit (222, 242, 272), wobei zwischen den ersten und den zweiten Teilnehmer ein, insbesondere als mechanisches Element ausgebildetes, Steueroder Sensorelement (70) geschaltet ist, das keine Auswerteeinheit umfasst, die zweite Auswerteeinheit zum Überprüfen einer von dem ersten Teilnehmer empfangenen Datennachricht und zum Generieren einer Quittungsnachricht in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht ausgebildet ist, die erste Auswerteeinheit zum Überprüfen einer von dem zweiten Teilnehmer empfangenen Quittungsnachricht ausgebildet ist, wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen sicherheitsgerichteten Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und der erste und/oder der zweite Teilnehmer dazu ausgebildet sind, im Fehlerfall eine Sicherheitsfunktion auszuführen, und wobei die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden, welches für eine redundante sicherheitsgerichteter Daten ausgebildet ist, wobei das mechanische Element mit einem Ausgang der ersten Auswerteeinheit und mit einem Eingang der zweiten Auswerteeinheit verbunden ist, und wobei ein Ausgang der zweiten Auswerteeinheit mit einem Eingang der ersten Auswerte- einheit verbunden ist, so dass der Signalweg vom Ausgang der ersten Auswerteeinheit zum Eingang der zweiten Auswerteeinheit durch das mechanische Element verläuft.“

Wegen weiterer Einzelheiten wird auf den Inhalt der Akte verwiesen.

II.

Die Beschwerde der Patentinhaberin ist zulässig; sie führt jedoch nicht zum Erfolg, da die jeweils mit dem Patentanspruch 1 gemäß dem Haupt- und den Hilfsanträgen verbundene Lehre nicht patentfähig ist (§ 21 Abs. 1 Nr. 1 PatG i. V. m. § 3 bzw. § 4 PatG).

1. Das Streitpatent betrifft laut Patentschrift DE 10 2006 054 124 B4, Absatz [0001], die Sicherheitstechnik von Automatisierungssystemen, und hierbei ein Verfahren und ein System zur sicheren Datenübertragung zwischen Teilnehmern eines zur Steuerung einer Anlage eingesetzten Kommunikationssystems.

Im Streitpatent, Absätze [0002] und [0003], wird ausgeführt, Sicherheitstechnik werde bei automatisierten Prozessen eingesetzt, um Mitarbeiter vor Verletzungen zu schützen und die Funktionsfähigkeit von Anlagen zu bewahren. Dazu werde der Signalweg einer Sicherheitsfunktion betrachtet, der aus sicheren Geräten, wie Steuereinheiten, Sensoren oder Aktoren, und deren Verbindungen untereinander bestehe. Diese Verbindungen würden meist in paralleler Verdrahtung ausgelegt, was einen hohen Aufwand zur Fehleraufdeckung erfordere. Diese geschehe durch Diagnosefunktionen der sicheren Geräte. Je nach Sicherheitsanforderung würden diese Systeme redundant oder z. T. auch diversitär ausgelegt.

In moderneren Systemen lösten sichere Netzwerke gewisse Strecken durch serielle Verbindungen ab, um den Signalweg zwischen Ein-/Ausgangskomponente und Steuerung zu vereinfachen. Jedoch sei die serielle Vernetzung mit aktuellen Netzwerklösungen kostenintensiv (Streitpatent, Absatz [0004]).

Aus der DE 10 2005 049 931 A1 (D1) sei eine Sende-/Empfangsvorrichtung zur drahtlosen Übertragung von Datenrahmen gemäß IEEE 802.15.4 bekannt, welche eine Sende-/Empfangseinheit aufweise. Zur Erhöhung der Robustheit der Datenübertragung derselben sei das Bestätigen von empfangenen Datenrahmen durch Bestätigungsrahmen vorgesehen (Streitpatent, Absatz [0005]).

Für die Übertragung/Verarbeitung sicherheitsgerichteter Daten, die zur Steuerung sicherheitsrelevanter Anlagen-Prozesse dienten, würden besondere Anforderungen gelten. Nach dem Stand der Technik seien sicherheitsrelevante Komponenten des Systems ab einem bestimmten Sicherheitslevel mehrkanalig (redundant) aufzubauen. In einem Automatisierungsbussystem könnten Sicherheitsbuskomponenten (Busteilnehmer), die einer sicherheitsrelevanten Maschine zugeordnet seien, mit redundanten Hardwarekomponenten ausgerüstet sein. Gleichzeitig könnten auch die zentrale Steuerung und der Bus mehrkanalig aufgebaut oder eine von der Prozesssteuerung getrennte, redundant aufgebaute Sicherheitssteuerung für sicherheitsrelevante Komponenten vorgesehen sein. Der Bus sei mit einem sicheren Protokoll versehen, wobei dieses selbst eine Redundanz aufweisen könne. Die Sicherheitssteuerung führe die Verknüpfungen der sicherheitsbezogenen Eingangsinformationen durch und übermittle sicherheitsbezogene Verknüpfungsdaten an Ausgangskomponenten, die die empfangenen Sicherheitsmaßnahmen bearbeiteten und nach positiver Prüfung an die Peripherie ausgäben. Ferner schalteten sie ihre Ausgänge in einen sicheren Zustand, wenn sie einen Fehler feststellten oder in vorgegebener Zeit keine gültigen Daten mehr empfingen (vgl. EP 1 188 096 B1). Ferner sei auch bekannt, sichere Kommunikationsteilnehmer bereitzustellen, bei denen eine Erhöhung der Sicherheit durch eine redundante Auswertelogik in Kombination mit einem Fail-Safe-Vergleicher erreicht werde,

was jedoch durch die redundante Bereitstellung von Hardware zu erhöhten Kosten führe (Streitpatent, Absätze [0006] bis [0009]).

Aufgabe der Erfindung sei es daher, in einem Kommunikationssystem eine sichere Datenübertragung auf einfache und kostengünstige Weise unter Einsatz von Standardkomponenten und unter Einbindung von einfachen mechanischen Sensoren bereitzustellen und ein sicherheitsbezogenes Kommunikationssystem zu zeigen, welches mit geringen Hardware-Kosten auskomme und flexibel angepasst werden könne (Streitpatent, Absätze [0010] und [0011]).

2. Der Senat und die Verfahrensbeteiligten erachten als maßgeblichen Fachmann für die Beurteilung der Lehre des Streitpatents übereinstimmend einen Diplom-Ingenieur mit Fachhochschulabschluss, der mehrjährige Erfahrung in der Entwicklung und im praktischen Einsatz der Automatisierungstechnik und der dabei eingesetzten Sicherheitstechnik besitzt.

3. Zum Hauptantrag Der Patentanspruch 1 lässt sich wie folgt gliedern:

1.1 Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten (21, 21', 23, 26) und einem zweiten (22, 22', 24, 27) Teilnehmer eines Kommunikationssystems (1, 1'),

1.2 das zur seriellen Datenübertragung zwischen den Teilnehmern (21, 22, 21', 22', 23, 24, 26, 27) ausgebildet ist,

1.3 wobei der erste Teilnehmer eine erste Auswerteeinheit (212, 232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, mit den Schritten

1.4 - Übertragen einer Datennachricht von dem ersten Teilnehmer (21, 21', 23, 26) zu dem zweiten Teilnehmer (22, 22', 24, 27),

1.5 - Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit

1.6 - Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht, und

1.7 - Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit,

1.8 wobei eine redundante Auswertung sicherheitsgerichteter Daten erfolgt, bei der die erste und zweite Auswerteeinheit je einen Teil eines korrespondierenden Paares von Auswerteeinheiten zur Erreichung einer verteilten Redundanz bilden.

Die Lehre des Patentanspruchs 1 nach Hauptantrag ist nicht neu gegenüber dem aus der Druckschrift US 2003/0051203 A1 (E5) bekannten Stand der Technik und daher nicht patentfähig (§ 21 Abs. 1 Nr. 1 PatG i. V. m. § 3 PatG).

Aus der Druckschrift US 2003/0051203 A1 (E5) ist insbesondere im Zusammenhang mit den Figuren 9 und 11 bekannt, dass ein Austausch von Daten im dort beschriebenen Automatisierungssystem prinzipiell zwischen einem sogenannten „producer“ und einem sogenannten „consumer“ stattfindet. In Absatz [0075] wird hierzu ausgeführt, dass unter einem „producer“ ganz allgemein jedes logische Bauelement („logical device“) zu verstehen ist, das als Sender einer Datennachricht („message“) agiert. Analog hierzu ist unter jedem logischen Bauelement, das als Empfänger einer Datennachricht fungiert, ein „consumer“ zu verstehen. Unter diesen Bezeichnungen sind also nicht nur die vordergründig als Großeinheiten des dortigen Automatisierungssystems herausgehobenen Komponenten zu verstehen (vgl. Figur 1: „input module 14“, „industrial controller 12“, „output module 16“), sondern prinzipiell jedes logische Bauelement oder ein Komposit aus mehreren dieser Elemente, die im gegebenen technischen Kontext eine Sende- („producer“) bzw. Empfangsfunktionalität („consumer“) an ihrem Ort im Automatisierungssystem ergeben oder aufweisen.

Vor diesem Hintergrund ist aus der Druckschrift E5 ein Verfahren zur sicheren Datenübertragung zwischen wenigstens einem ersten Teilnehmer (vgl. Figur 2: Komposit aus der Kombination der Einzelkomponenten „28a, 30a, 32a, 36a“) und einem zweiten Teilnehmer (vgl. Figur 2: Komposit aus der Kombination der Einzelkomponenten „28b, 30b, 32b, 36b“) eines Kommunikationssystems bekannt, das zur seriellen Datenübertragung zwischen den Teilnehmern ausgebildet ist (z. B. Abstract: „A highly reliable industrial control system is produced using a network running a standard serial protocol …“ i. V. m. Absatz [0017]: „FIG. 6 is a schematic representation of a data word transmitted over the standard serial network ...“ und Absatz [0043]: “The microcontrollers 30a and 30b may communicate with each other through an internal bus 34 ...“ (Unterstreichungen hinzugefügt); Merkmale 1.1, 1.2), wobei der erste Teilnehmer 28a, 30a, 32a, 36a eine erste Auswerteeinheit und der zweite Teilnehmer 28b, 30b, 32b, 36b eine zweite Auswerteeinheit umfasst, die beide die Funktionalität zur Verarbeitung digitaler Daten aufweisen (vgl. Absatz [0043]: „Microcontrollers 30a and 30b provide a computer processor, memory and a stored program for executing safety protocol programs ...“; Merkmal 1.3).

Ein Übertragen einer Datennachricht im Sinne des Streitpatents von dem genannten ersten Teilnehmer mit dem Controller-Bauteil 30a zu dem zweiten Teilnehmer mit dem Controller-Bauteil 30b ist ebenfalls realisiert, da die Sende-/ Empfangsfunktionalitäten, wie für die Großeinheiten („input module 14“, „industrial controller 12“,„output module 16“) im Detail dargelegt, auch für Untereinheiten derselben gelten (vgl. obige Ausführungen zu „producer“ und „consumer“). Zum Datenaustausch wird in Absatz [0093] anhand konkreter Beispiele ausgeführt: „... the producer 80 upon run-time will send safety messages 84 (encapsulated in the standard network message 61 per safety message 60 as has been described above) to the consumer 82 per FIG. 11.“ sowie in Absatz [0051]: „All data transmitted … may be forwarded in conformance with the safety protocol described throughout the present invention.“ und Absatz [0062]: „In this case, the operation of safety protocol circuits 32a and 32b (nämlich u. a. das wechselseitige Senden von zu generieren- den „safety messages 60“ im Sinne eines Producer-Consumer-Paars) are implemented in the firmware of the microcontrollers 30a and 30b (sind also im kleinen Rahmen des „input module 14“ implementiert) …“ (Unterstreichungen hinzugefügt; Merkmal 1.4).

Dem bekannten Verfahren nach der Druckschrift E5 ist auch das nachfolgende Überprüfen der Datennachricht durch die zweite, in dem zweiten Teilnehmer angeordnete Auswerteeinheit und das Übertragen einer Quittungsnachricht von dem zweiten Teilnehmer zu dem ersten Teilnehmer in Abhängigkeit des Ergebnisses der Überprüfung der Datennachricht zu entnehmen, denn das hier angeführte CRC-Datenwort stellt ein übliches Hilfsmittel für die Überprüfung der Übertragung von Daten(rahmen) zwischen einem Sender („producer“) und einem Empfänger („consumer“) auf Korrektheit dar, unabhängig davon, welches Bauteil aktuell als Sender oder Empfänger fungiert (Figur 11 auf „consumer“-Seite i. V. m. Absatz [0097] bis [0099]: „... to check the CRC of the message 84 … Assuming that the CRC is correct ... an acknowledgement message 100 is returned to the producer 80.“ (Unterstreichungen hinzugefügt; Merkmale 1.5, 1.6).

Weiterhin erfolgt bei dem bekannten Verfahren das Überprüfen der Quittungsnachricht durch die erste, in dem ersten Teilnehmer angeordnete Auswerteeinheit (Absatz [0103]: „...the data sent in message 84 is compared to the data of the acknowledgement message 100.“ (Unterstreichung hinzugefügt; Merkmal 1.7).

Das anspruchsgemäße Merkmal 1.8, das auf ein sog. „korrespondierendes Paar von Auswerteeinheiten“ abzielt, stellt zur Überzeugung des Senates nur eine Zusammenfassung der mit den vorangegangenen Merkmalen 1.1 bis 1.7 verbundenen technischen Maßnahmen und ihren Wirkungen dar und ist daher bei dem bekannten Verfahren nach der Druckschrift E5 ebenfalls erfüllt; dies ergibt sich direkt aus der Offenbarungsstelle für dieses Merkmal im Absatz [0013] des Streitpatents „… Es erfolgt somit eine redundante Überprüfung durch die erste und zweite Aus- werteeinheit, wobei der erste und zweite Teilnehmer ein korrespondierendes Teilnehmerpaar bilden.“ (Unterstreichung hinzugefügt; Merkmal 1.8).

Das Verfahren des Patentanspruchs 1 gemäß Hauptantrag ist demnach aus der Druckschrift E5 bekannt und somit mangels Neuheit nicht patentfähig.

4. Zum Hilfsantrag I Der Patentanspruch 1 gemäß Hilfsantrag I weist zwei den Anspruch 1 gemäß Hauptantrag ergänzende Merkmale auf; sie lauten in numerischer Fortsetzung der bisherigen Gliederung im Einzelnen:

1.9 das Überwachen der Funktionsfähigkeit einer Auswerteeinheit durch eine Überwachungsschaltung durch Ausführen einer in dem ausführenden Teilnehmer (22) hinterlegten Funktion (22p1, 22p2) erfolgt,

1.10 und wobei vor Ausführen der Funktion Teile (22p2) der auszuführenden Funktion und/oder Parameter zum Ausführen der Funktion von einem weiteren Teilnehmer (21) zu dem ausführenden Teilnehmer (22) übertragen werden.

Das Verfahren des Patentanspruchs 1 gemäß Hilfsantrag I ist nicht patentfähig, da es dem Fachmann durch das aus der Druckschrift US 2003/0051203 A1 (E5) bekannte Verfahren nahegelegt ist und folglich auf keiner erfinderischen Tätigkeit beruht (§ 21 Abs. 1 Nr. 1 PatG i. V. m. § 4 PatG).

Bezüglich der Merkmale 1.1 bis 1.8 wird vollinhaltlich auf die entsprechenden Ausführungen zum Hauptantrag verwiesen.

Aus der Druckschrift E5 ist insbesondere im Absatz [0089] ausgeführt, dass Auswerteeinheiten im Rahmen eines Konfigurationsprozesses als „consumer“ entsprechende Konfigurationsdaten empfangen, diese Daten überprüfen und deren Empfang auch bestätigen können („In this start-up process, … the connections are confirmed from the controller 12 to the input module 14 ... In particular, the producers 80 in controller 12 (shown in FIG. 9) send out open connection messages … to the input module 14 … . The appropriate consumers 82 respond with connection acknowledgment message 70c … respectively. The producers 80 in controlller 12 and input module 14 then send the configuration data to the consumer 82 in the controller 12 as indicated by messages 70e and 70f. The controller's consumers 82 check to see that the configuration data matches their configuration data and then send acknowledgment messages 70f and 70g acknowledging that match … .“, Unterstreichungen hinzugefügt). Dem Fachmann ist auf Grund seiner Erfahrungen bekannt, dass er bei sicherheitsrelevanten Systemen die ordnungsgemäße Funktionsfähigkeit der einzelnen Komponenten sicherstellen muss, indem er nach der Konfigurierung insbesondere einen automatisierten Test (Selbsttest) mit den übermittelten Konfigurationsdaten (Parameter) durchführen muss, d. h. er wird die Funktionsfähigkeit einer Auswerteeinheit überwachen, indem er dort eine hinterlegte Funktion (= Programm) ausführt und hierbei die vorher übertragenen Parameter nutzt (vgl. auch die Ausführungen in der Patentschrift Absatz [0002] zum Einsatz von Diagnosefunktionen zur Fehleraufdeckung). (Merkmale 1.9, 1.10).

Das Verfahren des Patentanspruchs 1 gemäß Hilfsantrag I ergibt sich somit für den Fachmann auf Grund seiner Fachkenntnisse auf naheliegende Weise in Kenntnis der Druckschrift E5 und ist mangels erfinderischer Tätigkeit nicht patentfähig.

5. Zum Hilfsantrag Ia Der Patentanspruch 1 gemäß Hilfsantrag Ia ändert den Patentanspruch 1 gemäß Hauptantrag wie folgt ab (Änderungen hierzu fett bzw. durchgestrichen):

1.1-1.2 1.3a wobei der erste Teilnehmer eine erste Auswerteeinheit (212,

232, 262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222, 242, 272) umfasst, mit den Schritten 1.3c und wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist 1.3d wobei das E/A-Modul an ein übergeordnetes Bussystem (40) angeschlossen ist, mit den Schritten 1.4-1.8 1.11 und wobei das Überwachen der Funktionsfähigkeit der Auswerteeinheit des E/A-Moduls durch Ausführen einer im E/A-Modul hinterlegten Applikation erfolgt, 1.12 und wobei in der Anlaufphase des Systems das E/A-Modul einen fehlenden Applikationsteil vom Sensor bzw. Aktor anfordert, und dieser den fehlenden Applikationsteil daraufhin zum E/A-Modul überträgt.

Das Verfahren des Patentanspruchs 1 gemäß Hilfsantrag Ia ist nicht patentfähig, da es sich für den Fachmann in naheliegender Weise aus dem Stand der Technik, wie er aus der Druckschrift US 2003/0051203 A1 (E5) bekannt ist, auf Grund seines fachmännischen Wissens ergibt und somit nicht auf einer erfinderischen Tätigkeit beruht (§ 21 Abs. 1 Nr. 1 PatG i. V. m. § 4 PatG).

Hinsichtlich der Merkmale 1.1, 1.2 und 1.4 bis 1.8 wird auf die entsprechenden Ausführungen zum Hauptantrag verwiesen.

Das Merkmal 1.3c, nämlich dass einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere Teilnehmer als E/A-Modul ausgebildet sein sollen, ist aus der Druckschrift E5, Absätze [0038], [0041] und [0042] bekannt. Im Einzelnen wird dort nämlich ausgeführt, dass u. a. Lichtgitter und Näherungsdetektoren (als „Schalter“ bezeichnet) Teil einer Sensorik und für die Absendung von Daten in einem Netzwerk („network 15“) verantwortlich sind (Absatz [0038]: „The input signals 18 may come from a switch 19 which may be any of a variety of devices producing safety input signals including but not limited to emergency stop switches, interlock switches, light curtains and other proximity detectors. …”; Unterstreichungen hinzugefügt), wobei diese „Schalter“ auch so ausgestaltet sein können, dass sie zwei redundante Datenausgänge besitzen, über die sie die Daten/Signale versenden (Absatz [0041]: „…the switch 19 may produce redundant signals 18a and 18b where signal 18a is … from a first contact within the switch 19, and signal 18b is from a second independent contact within switch 19. …“; Unterstreichung hinzugefügt). Diese einzelnen Signale können somit wie einzelne Sensorsignale aufgefasst und, analog zu den Ausführungen im Rahmen des Hauptantrags, jeweils mittels der Prozessoren 30a und 30b über den internen Bus 34 über die Sicherheitsprotokollkreise 32a und 32b miteinander verglichen/ausgewertet werden (Absatz [0042]: „The input module 14 may include redundant interface circuitry 28a receiving signals 18a and interface circuitry 28b receiving signal 18b. Alternatively, … interface circuitry 28a and 28b may each receive both signal 18a and 18b (for internal comparison) or may receive signals 18a and 18b from a single contact. …”; Unterstreichung hinzufügt). Die beiden bekannten Teilnehmer (Komposit „28a, 30a, 32a, 36a“ als erster Teilnehmer und Komposit „28b, 30b, 32b, 36b“ als zweiter Teilnehmer) weisen beide auch den Baustein der „interface circuitry 28a, 28b“ auf, die als Einfallstor für die Sensorsignale 18a und 18b dient und gleichsam selbst jeweils als „Sensor“ im Sinne des Streitpatents interpretiert werden kann (Absatz [0038], [0042]). Die ebenfalls in den Teilnehmern verwirklichten „standard network protocoll circuits 36a, 36b“ stellen aus Sicht der Teilnehmer E/A-Module zur „Außenwelt“ dar, die hierfür an einen übergeordneten Bus („network 15“) angeschlossen sind (Absatz [0046], insb. „The standard network protocol circuits 36a and 36b transmits signals from the input module 14 on the network 15 to be received at the controller 12 ...“; Unterstreichungen hinzugefügt), so dass insgesamt ein redundanter Aufbau für die Teilnehmer entsteht (Figur 2, links), wobei ein „interface circuitry“ des einen Teilnehmers in naheliegender Weise über die mit dem internen Bus verbundenen Mikrocontroller mit dem „standard network protocol circuit“ des anderen Teilnehmers kommunizieren kann (Absatz [0044], [0045], insb.: „The microcontrollers 30a and 30b may communicate with each other through an internal bus to compare signals 18a and 18b as will be described. Microcontrollers 30a and 30b in turn connect to standard network protocol circuits 36a and 36b ...”). Somit sind für beide Teilnehmer sowohl die Sensor- als auch die E/A-Funktionalität verwirklicht und entsprechend auch verteilt einsetzbar (Merkmale 1.3c, 1.3d).

Die Merkmale 1.11 und 1.12, nach denen das Überwachen der Funktionsfähigkeit der Auswerteeinheit des E/A-Moduls durch Ausführen einer im E/A-Modul hinterlegten Applikation erfolgt und wobei in der Anlaufphase des Systems das E/A-Modul einen fehlenden Applikationsteil vom Sensor bzw. Aktor anfordert und dieser den fehlenden Applikationsteil daraufhin zum E/A-Modul überträgt, stellen fachmännische Maßnahmen im Rahmen einer funktionsnotwendigen Konfigurationsphase der Komponenten eines Automatisierungssystems dar, wie sie im Rahmen des Hilfsantrags I erläutert werden (Merkmale 1.11, 1.12).

Das Verfahren des Patentanspruchs 1 gemäß Hilfsantrag Ia ergibt sich somit für den Fachmann in naheliegender Weise aus dem Stand der Technik und seinem Fachwissen.

6. Zu den Hilfsanträgen IV und IVa Der Patentanspruch 1 gemäß Hilfsantrag IV ändert den Patentanspruch 1 gemäß Hauptantrag wie folgt ab (Änderungen im Vergleich zum Wortlaut des Patentanspruchs 1 gemäß Hauptantrag fett bzw. durchgestrichen):

1.1-1.2 1.3a wobei der erste Teilnehmer eine erste Auswerteeinheit (212,232,262) und der zweite Teilnehmer eine zweite Auswerteeinheit (222,242,272) umfasst, mit den Schritten 1.3c und wobei einer der Teilnehmer als Sensor oder Aktuator eines Automatisierungssystems und der andere als E/A-Modul ausgebildet ist 1.3d wobei das E/A-Modul an ein übergeordnetes Bussystem (40) angeschlossen ist, mit den Schritten 1.4, 1.5 1.5a wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und 1.6-1.8 Der Patentanspruch 1 gemäß Hilfsantrag IVa unterscheidet sich von dem gemäß Hilfsantrag IV lediglich durch die Aufnahme eines Wortes in das Merkmal 1.5a, das nun als Merkmal 1.5aa wie folgt lautet (Änderung fett hervorgehoben):

1.5aa wobei das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen sicherheitsgerichteten Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst, und Das Verfahren des jeweiligen Patentanspruchs 1 gemäß den Hilfsanträgen IV und IVa ist ebenfalls nicht patentfähig, da es sich für den Fachmann, ausgehend vom Stand der Technik gemäß der Druckschrift US 2003/0051203 A1 (E5), jeweils in naheliegender Weise auf Grund seiner Fachkenntnisse ergibt und somit nicht auf einer erfinderischen Tätigkeit beruht (§ 21 Abs. 1 Nr. 1 PatG i. V. m. § 4 PatG).

Hinsichtlich der Merkmale 1.1, 1.2, 1.4, 1.5 und 1.6 bis 1.8 wird auf die entsprechenden Ausführungen zum Hauptantrag und hinsichtlich der Merkmale 1.3a, 1.3c und 1.3d auf die entsprechenden Ausführungen zum Hilfsantrag Ia verwiesen.

Die erfolgte Ergänzung des Merkmalskontexts mit dem Verfahrensschritt gemäß Merkmal 1.5a, dass „das Überprüfen der Datennachricht und/oder der Quittungsnachricht ein Überprüfen der in der Nachricht enthaltenen Daten auf Plausibilität zur Auswertung von Eingangs- und/oder Ausgangssignalen umfasst“, ist ebenfalls bereits aus der Druckschrift E5 bekannt. Der Begriff der „Plausibilität“ von Daten besitzt im relevanten technischen Fachwortschatz keine einheitliche Bedeutung und ist auch in den Ursprungsunterlagen bzw. der Patentschrift nicht weiter spezifiziert. Im Zusammenhang mit der Überprüfung einer Datennachricht auf „Plausibilität“ nach ihrer Übertragung über ein Kommunikationsnetz versteht der Fachmann vorliegend auch, dass diese Nachricht mit geeigneten Mitteln daraufhin untersucht wird, ob sie korrekt übermittelt wurde. Zu diesem Zweck sieht die Druckschrift E5 die Verwendung eines Datenworts als Prüfwert („CRC“) vor, z. B. auf Basis von Nutzdaten in einem Datenrahmen, und weist somit auch eine mit diesem Merkmal verbundene, entsprechende Maßnahme auf (z. B. Absatz [0072], „Also appended to the I/O data 52 and part of the safety error detection data 58 is a cyclic redundancy code (CRC).”; Merkmal 1.5a).

Die Konkretisierung der zu überprüfenden Daten als „sicherheitsgerichtet“ im Sinne von sicherheitsrelevant ändert das Verfahren der Überprüfung auf „Plausibilität“ nicht ab und kann somit keine erfinderische Tätigkeit begründen. (Merkmal 1.5aa).

Das Verfahren des jeweiligen Patentanspruchs 1 gemäß den Hilfsanträgen IV und IVa ergibt sich somit ebenfalls für den Fachmann auf Grund seiner Fachkenntnisse aus dem Stand der Technik.

7. Zu den Hilfsanträgen V und Va Der Patentanspruch 1 gemäß Hilfsantrag V ändert den Patentanspruch 1 gemäß Hilfsantrag IV wie folgt (Änderungen im Vergleich zum Wortlaut des Patentanspruchs 1 gemäß Hilfsantrag IV fett bzw. durchgestrichen):

1.1, 1.2, 1.3a, 1.3c, 1.3d, 1.3e und wobei zwischen den ersten und den zweiten Teilnehmer ein, insbesondere als mechanisches Element ausgebildetes, Steuer- oder Sensorelement (70) geschaltet ist, das keine Auswerteeinheit umfasst, 1.4, 1.5, 1.5a, 1.6 - 1.8 Für den Hilfsantrag Va werden an dieser Version – neben der Streichung eines Wortes – weitere Ergänzungen vorgenommen (Änderungen im Vergleich zum Wortlaut des Patentanspruchs 1 gemäß Hilfsantrag V fett bzw. durchgestrichen):

1.1, 1.2, 1.3a, 1.3c, 1.3d, 1.3ea und wobei zwischen den ersten und den zweiten Teilnehmer ein, insbesondere als mechanisches Element ausgebildetes, Steuer- oder Sensorelement (70) geschaltet ist, das keine Auswerteeinheit umfasst, 1.4, 1.5, 1.5aa, 1.6 - 1.8 1.13 wobei das mechanische Element mit einem Ausgang der ersten Auswerteeinheit und mit einem Eingang der zweiten Auswerteeinheit verbunden ist, und wobei ein Ausgang der zweiten Auswerteeinheit mit einem Eingang der ersten Auswerteeinheit verbunden ist, so dass der Signalweg vom Ausgang der ersten Auswerteeinheit zum Eingang der zweiten Auswerteeinheit durch das mechanische Element verläuft.

Das Verfahren des jeweiligen Patentanspruchs 1 gemäß den Hilfsanträgen V und Va ist ebenfalls nicht patentfähig, da es sich jeweils in naheliegender Weise aus dem Stand der Technik (Druckschrift US 2003/0051203 A1 (E5)) auf Grund der Fachkenntnisse des Fachmanns ergibt und somit nicht auf einer erfinderischen Tätigkeit beruht (§ 21 Abs. 1 Nr. 1 PatG i. V. m. § 4 PatG).

Gemäß Hilfsantrag Va wird der Merkmalskontext zunächst dahingehend präzisiert, dass „zwischen den ersten und den zweiten Teilnehmer ein als mechanisches Element ausgebildetes Steuer- oder Sensorelement (70) geschaltet ist, das keine Auswerteeinheit umfasst“. Dies ist aus der Druckschrift E5 bekannt, nämlich in Form des den Quasi-Sensorsignalen 18a, 18b zugrundeliegenden Sensors / Schalters (Figur 2, „switch 19“; Merkmal 1.3e).

Die angegebene Verschaltung des mechanischen Elements gestaltet offensichtlich das anspruchsgemäße Verfahren nicht weiter aus und kann somit die erfinderische Tätigkeit nicht begründen (Merkmal 1.13).

Somit ist das Verfahren des Patentanspruchs 1 gemäß den Hilfsanträgen V und Va mangels erfinderischer Tätigkeit nicht patentfähig.

8. Nachdem sich die Gegenstände der jeweiligen Patentansprüche 1 gemäß Hauptantrag und gemäß aller Hilfsanträge als nicht patentfähig erweisen und die Patentinhaberin, ohne dass sich für den Senat Zweifel an dem prozessualen Begehren ergeben haben, beantragt, das Patent jeweils mit bestimmten vollständigen Anspruchssätzen aufrechtzuerhalten, war das Patent insgesamt zu widerrufen

(BGH, Beschluss vom 27. Februar 2008 - X ZB 10/07, GRUR-RR 2008, 456 Rn. 22 m. w. N. - Installiereinrichtung).

9. Bei dieser Sachlage kann den Anträgen der Patentinhaberin und Beschwerdeführerin, den Widerrufsbeschluss der Patentabteilung vom 16. September 2010 aufzuheben und in Folge das Patent auf Basis eines der von ihr gestellten Anträge aufrechtzuerhalten, nicht stattgegeben werden.

Die Beschwerde war daher zurückzuweisen.

Rechtsbehelfsbelehrung Gegen diesen Beschluss des Beschwerdesenats steht den am Beschwerdeverfahren Beteiligten die Rechtsbeschwerde zu (§ 99 Absatz 2, § 100 Absatz 1, § 101 Absatz 1 des Patentgesetzes).

Da der Senat die Rechtsbeschwerde nicht zugelassen hat, ist sie nur statthaft, wenn gerügt wird, dass

1. das beschließende Gericht nicht vorschriftsmäßig besetzt war, 2. bei dem Beschluss ein Richter mitgewirkt hat, der von der Ausübung des Richteramtes kraft Gesetzes ausgeschlossen oder wegen Besorgnis der Befangenheit mit Erfolg abgelehnt war, 3. einem Beteiligten das rechtliche Gehör versagt war, 4. ein Beteiligter im Verfahren nicht nach Vorschrift des Gesetzes vertreten war, sofern er nicht der Führung des Verfahrens ausdrücklich oder stillschweigend zugestimmt hat, 5. der Beschluss aufgrund einer mündlichen Verhandlung ergangen ist, bei der die Vorschriften über die Öffentlichkeit des Verfahrens verletzt worden sind, oder 6. der Beschluss nicht mit Gründen versehen ist

(§ 100 Absatz 3 des Patentgesetzes).

Die Rechtsbeschwerde ist beim Bundesgerichtshof einzulegen (§ 100 Absatz 1 des Patentgesetzes). Sitz des Bundesgerichtshofes ist Karlsruhe (§ 123 GVG).

Die Rechtsbeschwerde ist innerhalb eines Monats nach Zustellung des Beschlusses beim Bundesgerichtshof schriftlich einzulegen (§ 102 Absatz 1 des Patentgesetzes). Die Postanschrift lautet: Bundesgerichtshof, Herrenstraße 45 a, 76133 Karlsruhe.

Sie kann auch als elektronisches Dokument eingereicht werden (§ 125a Absatz 2 des Patentgesetzes in Verbindung mit der Verordnung über den elektronischen Rechtsverkehr beim Bundesgerichtshof und Bundespatentgericht (BGH/BPatGERVV) vom 24. August 2007 (BGBl. I S. 2130)). In diesem Fall muss die Einreichung durch die Übertragung des elektronischen Dokuments in die elektronische Poststelle des Bundesgerichtshofes erfolgen (§ 2 Absatz 2 BGH/BPatGERVV).

Die Rechtsbeschwerde kann nur darauf gestützt werden, dass der Beschluss auf einer Verletzung des Rechts beruht (§ 101 Absatz 2 des Patentgesetzes). Die Rechtsbeschwerde ist zu begründen. Die Frist für die Begründung beträgt einen Monat; sie beginnt mit der Einlegung der Rechtsbeschwerde und kann auf Antrag von dem Vorsitzenden verlängert werden (§ 102 Absatz 3 des Patentgesetzes). Die Begründung muss enthalten:

1. die Erklärung, inwieweit der Beschluss angefochten und seine Abänderung oder Aufhebung beantragt wird;

2. die Bezeichnung der verletzten Rechtsnorm; 3. insoweit die Rechtsbeschwerde darauf gestützt wird, dass das Gesetz in Bezug auf das Verfahren verletzt sei, die Bezeichnung der Tatsachen, die den Mangel ergeben

(§ 102 Absatz 4 des Patentgesetzes).

Vor dem Bundesgerichtshof müssen sich die Beteiligten durch einen beim Bundesgerichtshof zugelassenen Rechtsanwalt als Bevollmächtigten vertreten lassen (§ 102 Absatz 5 des Patentgesetzes).

Dr. Mayer Kleinschmidt Dorn Dr. Wollny Pü