T 1250/14 (Sicherheitsmodul/WAGO) of 9.11.2018

Sachverhalt und Anträge

I. Gegen die Zwischenentscheidung der Einspruchsabteilung, nach der das Patent in geänderter Fassung gemäß einem Hilfsantrag 3 den Erfordernissen des Übereinkommens genügt, legten sowohl die Einsprechenden 1 und 2 (Beschwerdeführerin 1 bzw. 2) als auch die Patentinhaberin (Beschwerdeführerin 3) jeweils Beschwerde ein.

II. In einer Mitteilung, die mit der Ladung zur mündlichen Verhandlung erging, nahm die Kammer in der Sache vorläufig Stellung und wies auf die in der mündlichen Verhandlung zu erörternden Fragen hin.

III. Mit Schreiben vom 4. Oktober 2018 reichte die Beschwerdeführerin 3 Anspruchssätze gemäß Hilfsanträgen 1 bis 5 ein.

IV. In der mündlichen Verhandlung vor der Kammer am 9. November 2018 reichte die Beschwerdeführerin 3 einen neuen Hilfsantrag 4 ein und nahm die bestehenden, mit Schreiben vom 4. Oktober 2018 eingereichten Hilfsanträge 4 und 5 zurück. Sie beantragte, die angefochtene Entscheidung aufzuheben und die Einsprüche zurückzuweisen (Hauptantrag), hilfsweise das Patent in geänderter Fassung auf der Grundlage eines der mit Schreiben vom 4. Oktober 2018 eingereichten Hilfsanträge 1 und 2 aufrechtzuerhalten oder gemäß Hilfsantrag 3 die Beschwerden der Einsprechenden zurückzuweisen oder das Patent in geänderter Fassung auf der Grundlage des während der mündlichen Verhandlung eingereichten Hilfsantrags 4 aufrechtzuerhalten.

Die Beschwerdeführerin 1 und die Beschwerdeführerin 2 beantragten jeweils, die angefochtene Entscheidung aufzuheben und das Patent zu widerrufen.

Am Ende der Verhandlung verkündete der Vorsitzende die Entscheidung der Kammer.

V. Anspruch 1 gemäß dem Hauptantrag, d.h. in der erteilten Fassung lautet:

"Sicherheitsmodul (5) mit Anschlüssen zur Verbindung mit einem zum Anschluss von Ein-/Ausgabemodulen (4a, 4b) für Feldgeräten vorgesehenen Bussystem-Steuerungsmodul (2) über einen Datenbus (3), dadurch gekennzeichnet, dass das Sicherheitsmodul (5) eine Datenverarbeitungseinheit (µC2) hat, die entsprechend der Bussystem-Steuerungseinheit (2) zur identischen Verarbeitung der über den Datenbus (3) übertragenen Daten eingerichtet ist, und dass die Datenverarbeitungseinheit (µC2) zur Sicherstellung einer ordnungsgemäßen Datenkommunikation mit einer Sicherheitsfunktion so eingerichtet ist, dass durch Datenaustausch über den Datenbus (3) mit der Bussystem-Steuerungseinheit (2) eine gegenseitige Überprüfung der Sicherheitsfunktion erfolgt."

VI. Anspruch 1 des Hilfsantrags 1 unterscheidet sich vom Anspruch 1 des Hauptantrags im wesentlichen durch das weitere Merkmal

"und das Sicherheitsmodul (5) zu dem Datenbus (3) hinzusteckbar ausgebildet ist, um mit weiteren Sicherheitsmodulen (5) unterschiedliche Sicherheitsstufen aufbauen zu können".

VII. Anspruch 1 des Hilfsantrags 2 unterscheidet sich vom Anspruch 1 des Hilfsantrags 1 im wesentlichen durch das weitere Merkmal

"wobei das Sicherheitsmodul (5) Druckkontakte an den Seitenflächen hat, die mit der Datenverarbeitungseinheit (µC2) in Verbindung stehen und zur Verbindung mit korrespondierenden Druckkontakten angrenzender Module(2, 4) und zum Aufbau des Datenbusses (3) eingerichtet sind".

VIII. Anspruch 1 des Hilfsantrags 3 lautet:

"Automatisierungssystem (1) mit einem Bussystem-Steuerungsmodul (2), einem Datenbus (3) und an den Datenbus (3) angeschlossene Ein-/Ausgabemodulen (4a, 4b) mit Anschlussklemmen für den Anschluss von Feldbusgeräten zur Datenkommunikation mit der Bussystem-Steuerungseinheit (2),

dadurch gekennzeichnet, dass

mehrere Sicherheitsmodule (5) mit dem Datenbus (3) verbunden sind, wobei

jedes Sicherheitsmodul (5) Anschlüsse zur Verbindung mit dem zum Anschluss der Ein-/Ausgabemodule (4a, 4b) für Feldgeräten vorgesehenen Bussystem-Steuerungsmodul (2) über den Datenbus (3) aufweist,

jedes Sicherheitsmodul (5) eine Datenverarbeitungseinheit (µC2) hat, die entsprechend der Bussystem-Steuerungseinheit (2) zur identischen Verarbeitung der über den Datenbus (3) übertragenen Daten eingerichtet ist, und dass

die Datenverarbeitungseinheit (µC2) zur Sicherstellung einer ordnungsgemäßen Datenkommunikation mit einer Sicherheitsfunktion so eingerichtet ist, dass durch Datenaustausch über den Datenbus (3) mit der Bussystem-Steuerungseinheit (2) eine gegenseitige Überprüfung der Sicherheitsfunktion erfolgt;

und die Bussystem-Steuerungseinheit (2) ebenfalls eine Datenverarbeitungseinheit (µC1) hat, die zur Sicherstellung einer ordnungsgemäßen Datenkommunikation mit einer Sicherheitsfunktion so eingerichtet ist, dass durch Datenaustausch über den Datenbus (3) mit den mehreren Sicherheitsmodulen eine gegenseitige Überprüfung der Sicherheitsfunktionen erfolgt."

IX. Anspruch 1 des Hilfsantrags 4 unterscheidet sich vom Anspruch 1 des Hilfsantrags 3 im wesentlichen dadurch, dass am Ende des Anspruchswortlauts das Merkmal

"um unterschiedliche Sicherheitsstufen bereitzustellen"

hinzugefügt ist.

X. Auf die folgenden Druckschriften wird im folgenden Bezug genommen:

E1: EP 1 128 241 B1; und

E12: WO 02/074596 A1.

Entscheidungsgründe

1. Das Patent betrifft ein Sicherheitsmodul bzw. ein Automatisierungssystem.

Aus dem wie im Patent beschriebenen Stand der Technik sind busbasierte Automatisierungssysteme für die Automatisierungstechnik bekannt. Dabei werden Informationen zur Steuerung von Komponenten des Automatisierungssystems über einen Datenbus übertragen. Das Automatisierungssystem wird zusätzlich mit einer Sicherheitsfunktion ausgestattet. Damit soll auch in einem kritischen Zustand des Automatisierungssystems, beispielsweise bei Ausfall einer Systemkomponente oder bei einer fehlerhaften Übertragung von Steuerungsinformation über den Datenbus, ein sicherer Betrieb gewährleistet und eine Gefährdung durch das Automatisierungssystem ausgeschlossen werden.

Vor diesem Hintergrund ist im Patent (Absatz [0009]) die Aufgabe genannt, einen flexibleren Aufbau eines Automatisierungssystems mit einer Sicherheitsfunktion zu ermöglichen. Zur Lösung dieser Aufgabe schlägt das Patent ein Sicherheitsmodul gemäß dem erteilten Anspruch 1 bzw. ein Automatisierungssystem gemäß dem erteilten Anspruch 9 vor.

2. Anspruch 1 in der erteilten Fassung - Neuheit (Artikel 54 EPÜ)

2.1 E1 offenbart eine Automatisierungseinrichtung (Fig. 1), welche u.a. einen Funktionsblock mit einer Steuerung 2 und einer zentralen Überwachungseinrichtung 3, einen Datenbus 6 sowie eine dezentrale Ausgabe-Überwachungseinrichtung 9 umfasst. Der Funktionsblock ist ein Bussystem-Steuerungsmodul gemäß dem Wortlaut des Anspruchs 1 des Streitpatents. Die dezentrale Überwachungseinrichtung 9 ist wie aus der Fig. 1 ersichtlich an den Datenbus 6 angeschlossen. Dies impliziert, dass die dezentrale Überwachungseinrichtung 9 mit Anschlüssen versehen ist, über die sie mit dem Datenbus 6 und über diesen weiter mit dem Bussystem-Steuerungsmodul verbunden ist. Letzteres ist, wie ebenfalls aus der Fig. 1 ersichtlich, zum Anschluss von Ein-/Ausgabeeinheiten 4 eingerichtet (vgl. auch Absatz [0030]). Die dezentrale Überwachungseinrichtung 9 weist eine Datenverarbeitungseinheit auf (vgl. Absatz [0034], "... Operatoren 13, 14 und/oder logische Einheiten ..."), welche zur Berechnung von lokalen Ausgangsdaten QD aus Eingangsdaten I1 bis I3 ausgelegt ist. Ebenfalls aus den Eingangsdaten werden in der zentralen Überwachungseinrichtung 3 des Bussystem-Steuerungsmoduls sicherheitsrelevante Ausgangsdaten QZ berechnet. Die Daten QZ sind sicherheitsrelevant (vgl. E1, Spalte 6, Zeilen 38 bis 41) und stellen daher eine Sicherheitsfunktion im Sinne des Anspruchs 1 dar. Die Berechnung der lokalen Ausgangsdaten QD in der dezentralen Ausgabe-Überwachungseinrichtung 9 entspricht der Berechnung in der zentralen Überwachungseinrichtung 3 (vgl. Anspruch 8 von E1). Folglich ist die Datenverarbeitungseinheit in der dezentralen Ausgabe-Überwachungseinrichtung 9 zur identischen Datenverarbeitung entsprechend der zentralen Überwachungseinrichtung 3 ausgelegt. Die dezentrale Ausgabeüberwachungseinrichtung 9 ist somit ein Sicherheitsmodul im Sinne des vorliegenden Anspruchs 1. Soweit ist die Offenbarung von E1 unstrittig.

2.2 Entgegen der Auffassung der Beschwerdeführerin 3 ist die dezentrale Ausgabe-Überwachungseinrichtung 9 weiterhin dazu ausgelegt, dass durch Datenaustausch mit der zentralen Überwachungseinrichtung 3 eine gegenseitige Überprüfung der Sicherheitsfunktion erfolgt. Hierzu werden zum Einen die in der zentralen Überwachungseinrichtung 3 berechneten Ausgangsdaten QZ an die dezentrale Überwachungseinrichtung 9 übermittelt und dort mit den lokal berechneten Ausgangsdaten QD verglichen (siehe Absatz [0034]). Bei Gleichheit der Ausgangsdaten QZ und QD sind diese korrekt und können zur Steuerung an die periphere Einrichtung ausgegeben werden. Ergibt der Vergleich eine Ungleichheit, liegt ein Fehler in der Datenverarbeitung vorliegt. Der Vergleich ist somit seiner Natur nach gegenseitig, denn die zentrale und die dezentrale Überwachungseinrichtung werden wechselseitig auf die Korrektheit der jeweiligen Datenverarbeitung hin überprüft. Weiterhin werden im Fall, dass ein Fehler erkannt wird, Wiederholungen der Berechnungen durch die dezentrale Überwachungseinrichtung 9 initialisiert. Dies impliziert eine Übertragung geeigneter Information von der dezentralen zur zentralen Überwachungseinrichtung, um dort die Wiederholung der Berechnung in diesem Fall zu initialisieren. Es lieg somit ein Austausch von Daten vor.

2.3 Die Beschwerdeführerin 3 argumentierte, die im Anspruch 1 spezifizierten Daten und die gegenseitige Überprüfung seien dahingehend zu verstehen, dass sowohl das im Bussystem-Steuerungsmodul berechnete Ergebnis an das Sicherheitsmodul übertragen und von diesem mit dem von ihm selbst berechneten Ergebnis verglichen werde als auch das im Sicherheitsmodul berechnete Ergebnis an das Bussystem-Steuerungsmodul übermittelt von diesem mit dem von ihm berechneten Ergebnis verglichen werde. Der Anspruch verlange daher einen Austausch des jeweils berechneten Ergebnisses zwischen dem Bussystem-Steuerungsmodul und dem Sicherheitsmodul. Weiterhin verlange eine Gegenseitigkeit der Überprüfung einen jeweiligen Vergleich der Ergebnisse sowohl im Bussystem-Steuerungsmodul als auch im Sicherheitsmodul. Durch den jeweiligen Vergleich werden insbesondere Störungen der Datenübertragung zwischen dem Bussystem-Steuerungsmodul und dem Sicherheitsmodul erfasst. In E1 hingegen werde das berechnete Ergebnis nur von der zentralen zur dezentralen Überwachungseinrichtung übertragen und es finde nur eine einseitige Überprüfung der Sicherheitsfunktion in der dezentralen Überwachungseinrichtung statt.

2.4 Diese Argumente sind nicht stichhaltig. In der gesamten Patentschrift findet sich kein Hinweis, dass die Begriffe "Datenaustausch" und "gegenseitige Überprüfung" wie von der Beschwerdeführerin 3 angegeben zu verstehen sind. Das Patent vermeidet es, eine konkrete Implementierung der Sicherheitsfunktion bzw. ein konkretes Beispiel für die Überprüfung der Sicherheitsfunktion zu geben; lediglich im Absatz [0023] findet sich ein Hinweis auf den zu erreichenden Zweck der Überprüfung, nämlich Datenverarbeitungsfehler zu erkennen. Ansonsten wird im Patent vermieden, für die zur Sicherstellung der ordnungsgemäßen Datenkommunikation verwendete Sicherheitsfunktion auch nur ein Beispiel anzugeben. Daher kommt die von der Patentinhaberin angegebene Auslegung, wonach der Anspruch 1 auf das oben in Punkt 2.3 genannte Beispiel beschränkt sein soll, nicht in Betracht. Vielmehr wird der Anspruch allein dahingehend beschränkt, dass anhand eines Austauschs geeigneter Daten zwischen der Bussystem-Steuereinheit und dem Sicherheitsmodul sowie einer Überprüfung, die ihrer Natur nach gegenseitig ist, die Sicherheitsfunktion überprüft wird. Wo diese Überprüfung stattfindet ist durch den Wortlaut nicht festgelegt. Die in E1 beschriebene Überprüfung durch die dezentrale Überwachungseinrichtung ist daher allein schon deswegen gegenseitig, da aufgrund des Kriteriums, ob die Ergebnisse miteinander übereinstimmen oder voneinander abweichen, die Überprüfung inhärent für das eine Modul in Bezug auf das andere und gleichermaßen umgekehrt erfolgt.

2.5 Das beanspruchte Sicherheitsmodul unterscheidet sich daher nicht von der dezentralen Überprüfungseinrichtung 9 in E1 und ist folglich nicht neu (Artikel 54 EPÜ). Der Einspruchsgrund gemäß Artikel 100 a) EPÜ steht daher der Aufrechterhaltung des Patents in der erteilten Fassung entgegen.

3. Anspruch 1 des Hilfsantrags 1 - Artikel 84 EPÜ

3.1 Durch das hinzugefügte Merkmal (siehe Punkt VI oben) wird ein Mangel an Klarheit herbeigeführt:

3.2 Der Ausdruck "zu dem Datenbus hinzusteckbar ausgebildet" suggeriert eine besondere Ausprägung der Form, Gestalt oder mechanischen Bauweise des Sicherheitsmoduls, die jedoch unbestimmt ist. Eine spezifische, durch den Ausdruck "hinzusteckbar" bestimmte Ausgestaltung wäre bestimmt, wenn das Gegenstück, also der Datenbus, zu dem das Sicherheitsmodul "hinzugesteckt" werden soll, in seiner Form, Gestalt oder mechanischen Bauweise hinreichend bestimmt wäre. Dies ist hier nicht der Fall, der Datenbus ist diesbezüglich überhaupt nicht bestimmt.

3.3 Des Weiteren ist der Begriff "unterschiedliche Sicherheitsstufen" unbestimmt. Auch auch unter Hinzuziehung der Beschreibung ist nicht zu klären, was unter einer "Sicherheitsstufe" zu verstehen ist, worin der Unterschied zwischen "unterschiedlichen Sicherheitsstufen" besteht und welche Kausalität zwischen einer "Hinzusteckbarkeit" eines Sicherheitsmoduls und dem Unterschied in einer Sicherheitsstufe besteht. Die Kammer teilt nicht die Auffassung der Beschwerdeführerin 3, nach der bereits die Möglichkeit, mehrere Sicherheitsmodule zu dem Datenbus "hinzuzustecken", das Vorhandensein von unterschiedlichen Sicherheitsstufen hinreichend spezifiziert.

3.4 Der Anspruch 1 des Hilfsantrags 1 erfüllt daher nicht die Erfordernisse des Artikels 84 EPÜ.

4. Anspruch 1 des Hilfsantrags 2 - Artikel 84 EPÜ

Der Anspruch 1 des Hilfsantrags 2 erfüllt aus den für den Anspruch 1 des Hilfsantrags 1 geltenden Gründen ebenfalls nicht das Erfordernis des Artikels 84 EPÜ. Die hinzugefügten Merkmale (siehe Punkt VII oben) definieren lediglich, wie ein über mehrere Module sich erstreckender Datenbus aufgebaut werden kann. Jedoch wird dadurch insbesondere der oben unter Punkt 3.2 festgestellte Mangel nicht ausgeräumt.

Der Anspruch 1 des Hilfsantrags 2 erfüllt daher nicht die Erfordernisse des Artikels 84 EPÜ.

5. Anspruch 1 des Hilfsantrags 3 - erfinderische Tätigkeit (Artikel 56 EPÜ)

5.1 Anspruch 1 des Hilfsantrags betrifft ein Automatisierungssystem mit mehreren mit dem Datenbus verbundenen Sicherheitsmodulen. Die Ausführungen oben unter Punkt 2 berücksichtigend unterscheidet sich das beanspruchte Automatisierungssystem von dem in E1 beschriebenen System dadurch, dass mehrere Sicherheitsmodule vorhanden sind, jedes Sicherheitsmodul Anschlüsse zur Verbindung mit dem zum Anschluss der Ein-/Ausgabemodule für Feldgeräte vorgesehenen Bussystem-Steuerungsmodul über den Datenbus aufweist und jedes Sicherheitsmodul eine Datenverarbeitungseinheit hat, die entsprechend der Bussystem-Steuerungseinheit zur identischen Verarbeitung der über den Datenbus übertragenen Daten eingerichtet ist.

5.2 Aufgrund der Mehrzahl von Sicherheitsmodulen ergeben sich mehr Möglichkeiten, wie die Überprüfung der Sicherheitsfunktion implementiert werden kann. Daher liegt die objektive technische Aufgabe, die sich ausgehend von E1 dem Fachmann stellt, darin ein Automatisierungssystem bereitzustellen, welches mehr Flexibilität bei der Implementierung einer Überprüfung der Sicherheitsfunktion ermöglicht.

5.3 Der Fachmann würde bei der Suche nach einer Lösung dieser Aufgabe die Druckschrift E12 berücksichtigen. E12 offenbart ein Verfahren zur Ansteuerung von Komponenten eines verteilten sicherheitsrelevanten Systems (siehe die Zusammenfassung). Das Verfahren ist anhand einer Bremssteuerung konkret beschrieben, es ist jedoch was die sicherheitsrelevanten Eigenschaften des Systems betrifft ausdrücklich nicht auf elektrische Bremssysteme beschränkt (vgl. Seite 11, Zeilen 30 bis 34). Das sicherheitsrelevante System umfasst eine Vielzahl von über einen Datenbus miteinander verbundenen Modulen R_1, R_m, welche eine jeweils zugehörige Aktorik Akt_1, Akt_m steuern. Jedes Modul umfasst ein eigenes Mikrorechnersystem P_1, P_m mit jeweils einem eigenen Mikroprozessor Pro_1, Pro_m (vgl. Seite 12, Zeilen 8 bis 18). Jedes Modul ist über einen Kommunikationscontroller an den Datenbus K_1 angeschlossen (Seite 12, Zeilen 19 bis 21). Es ist vorgesehen, dass der Programmcode C1, den der Prozessor PRO_1 eines bestimmten Moduls R_1 zur Ansteuerung der diesem Modul zugehörigen Aktorik beinhaltet und welcher abhängig von einem Eingangssignal E1 zur Ermittlung eines Ansteuersignals A11 für die Aktorik Akt_1 abgearbeitet wird, identisch auch in den Prozessoren Pro_m der anderen Module R_m vorhanden ist und dort ebenfalls in Abhängigkeit des Eingangssignals E1 abgearbeitet wird (Seite 13, Zeilen 8 bis 24). Jeder dieser Prozessoren Pro_m erhält weiterhin das von dem Prozessor Pro_1 berechnete Ergebnis und vergleicht dieses mit dem jeweils selbst berechneten Ergebnis (Seite 14, Zeilen 8 bis 12) und sendet and das Modul P_1 eine entsprechende Statusinformation, welche im Modul P_1 ausgewertet wird (Seite 14, Zeilen 12 bis 28). Die Auswertung kann flexibel erfolgen, d.h. sie ist eine logische UND-Verknüpfung oder eine Mehrheitsentscheidung (Seite 14, Zeilen 28 bis 31). E12 lehrt somit dem Fachmann, in dem sicherheitsrelevanten System eine Mehrzahl von Sicherheitsmodulen vorzusehen, indem bereits vorhandene Steuermodule zusätzlich mit einer Funktion zur Überprüfung der Sicherheitsfunktion der anderen Module ausgerüstet werden, und die Überprüfung der Sicherheitsfunktion flexibel zu gestalten, beispielsweise als Mehrheitsentscheidung. Der Fachmann würde daher ausgehend von E1 und unter Berücksichtigung von E12 zu einem eine Automatisierungssystem mit einer Mehrzahl von Sicherheitsmodulen gelangen, wobei alle Module über entsprechende Anschlüsse an den Datenbus angeschlossen sind und deren Datenverarbeitungseinheit zur identischen Verarbeitung der über den Datenbus übertragenen Daten eingerichtet sind vorsehen, und würde infolgedessen in naheliegender Weise zu dem beanspruchten Automatisierungssystem gelangen.

5.4 Die Beschwerdeführerin 3 argumentierte, es bestehe für den von E1 ausgehenden Fachmann kein Anlass, mehr als ein einziges Sicherheitsmodul vorzusehen, da in E1 die Aufgabe der Überprüfung der Sicherheitsfunktion bereits abschließend einem einzigen Sicherheitsmodul gelöst ist. Da das Bussystem von E1 hierarchisch organisiert ist mit einem übergeordneten Bussystem-Steuerungsmodul und einem untergeordneten Sicherheitsmodul, das System in E12 hingegen als verteiltes Bussystem mit hierarchisch gleichgeordneten Modulen aufgebaut ist und daher im Widerspruch zu E1 steht, würde der von E1 ausgehende Fachmann E12 nicht berücksichtigen. Auch ist das System in E12 kein Automatisierungssystem, sondern für Steuerungsaufgaben in der Automobiltechnik konzipiert. E12 würde den von E1 ausgehenden Fachmann höchstens dazu führen, auf die dezentrale Ausgangs-Überwachungseinheit, d.h. das Sicherheitsmodul, zu verzichten und stattdessen eine Überprüfung der Sicherheitsfunktion nur in zu steuernden Modulen vorzunehmen. Dies würde den Fachmann sogar von der beanspruchten Lösung wegführen.

5.5 Diese Argumente überzeugen nicht. Entgegen der Auffassung der Beschwerdeführerin 3 würde der Fachmann bei der Suche nach einer Lösung E12 schon deshalb berücksichtigen, da diese Druckschrift sich insbesondere mit der Implementierung einer Überprüfung einer Sicherheitsfunktion in einem zu steuernden System befasst. Das konkrete Beispiel eines Bremssystems in E12 ist ausdrücklich nur beispielhaft genannt. Weiterhin ergibt sich weder aus dem Patent noch aus E1 oder E12 ein Hinweis, dass für die Überprüfung der Sicherheitsfunktion die Organisation des Bussystems, d.h. hierarchisch oder verteilt, einen Einfluss hat. Sowohl im Patent als auch in E1 und E12 erfolgt diese Überprüfung dezentral. Es ist weiterhin unerheblich, dass in E12 die Sicherheitsüberprüfung als weitere Funktion in bereits vorhandenen Modulen R_1, R_m zusätzlich zu der jeweils bereits vorhandenen Funktion vorgesehen wird, denn diese Module werden aufgrund dieser zusätzlichen Funktion - auch - zu Sicherheitsmodulen. Im Anspruch 1 ist das Sicherheitsmodul nicht auf ein Modul beschränkt, dessen alleinige Aufgabe die Überprüfung einer Sicherheitsfunktion ist und das keine weitere Funktion in dem Steuerungssystem wahrnehmen darf. Es ist daher für die Beurteilung der erfinderischen Tätigkeit unerheblich, dass in E12 das Sicherheitsmodul in einer Weiterbildung eines bereits vorhandenen Steuermoduls besteht.

5.6 Folglich beruht das Automatisierungssystem gemäß dem Anspruch 1 des Hilfsantrags 3 nicht auf einer erfinderischen Tätigkeit. Der Einspruchsgrund gemäß Artikel 100 a) EPÜ steht der Aufrechterhaltung des Patents auf der Grundlage des Hilfsantrags 3 entgegen.

6. Hilfsantrag 4 - Artikel 84 EPÜ

Das weitere Merkmal des Anspruchs 1 des Hilfsantrags 4 (siehe oben Punkt IX) führt auch in dem auf das Automatisierungssystem gerichteten Anspruch den in Punkt 3.3 genannten Mangel an Klarheit herbei. Die Bereitstellung mehrerer Sicherheitsmodule und einer Bussystem-Steuereinheit erlaubt Systeme "mit mehrfacher Redundanz und damit verbundener höherer Sicherheit", siehe Absatz [0019] der Patentschrift. Aus diesem Absatz ist jedoch entgegen der Auffassung der Beschwerdeführerin 3 eine klare Bedeutung des Begriffs "unterschiedliche Sicherheitsstufen" für das Automatisierungssystem nicht ableitbar.

Der Anspruch 1 des Hilfsantrags 4 erfüllt daher nicht die Erfordernisse des Artikels 84 EPÜ.

7. Da kein Antrag vorliegt, auf dem das Patent aufrecht erhalten werden kann, ist das Patent zu widerrufen.

Entscheidungsformel

Aus diesen Gründen wird entschieden:

1. Die angefochtene Entscheidung wird aufgehoben.

2. Das Patent wird widerrufen.