T 0535/20 (Sicherheitsrelevante Programmvariablen/PILZ) of 24.1.2023

Sachverhalt und Anträge

I. Die Beschwerde richtet sich gegen die Zwischenentscheidung der Einspruchsabteilung über die Aufrechterhaltung des vorliegenden europäischen Patents in geänderter Fassung auf der Grundlage eines "Hilfsantrags 2b".

II. Auf den folgenden Stand der Technik wird in dieser Entscheidung Bezug genommen:

E1: Siemens: "SIMATIC - Sicherheitstechnik in

SIMATIC S7, Systemhandbuch, Ausgabe 08/2005.

III. Mit ihrer Ladungsmitteilung gemäß Artikel 15 (1) VOBK 2020 teilte die Kammer unter anderem ihre negative vorläufige Meinung zur Frage der erfinderischen Tätigkeit bzw. unzulässigen Erweiterung mit. Außerdem wurde die Technizität des beanspruchten Gegenstands nach Artikel 52 (2) und (3) EPÜ diskutiert.

IV. Am 24. Januar 2023 fand eine mündliche Verhandlung vor der Kammer statt.

- Die Beschwerdeführerin 1 (Einsprechende 2) beantragte, die Entscheidung der Einspruchsabteilung aufzuheben und das Patent zu widerrufen.

- Die Beschwerdeführerin 2 (Patentinhaberin) beantragte in der Sache, die Entscheidung der Einspruchsabteilung aufzuheben und den Einspruch zurückzuweisen (Hauptantrag), hilfsweise das Patent auf der Grundlage der Ansprüche eines der Hilfsanträge BE1, BE2 und BE3, eingereicht mit Schreiben vom 27. April 2020, oder eines der Hilfsanträge BE1a, BE2a, BE3a, BE4, BE4a, BE4b, BE5, BE5a, BE6, BE6a, BE7 und BE7a eingereicht mit Schreiben vom 25. September 2020, oder eines der während der mündlichen Verhandlung vor der Kammer eingereichten Hilfsanträge BE8 und BE9 aufrechtzuerhalten.

- Die weitere Verfahrensbeteiligte, Einsprechende 1, beantragte, die Beschwerde der Patentinhaberin zurückzuweisen.

Am Ende der mündlichen Verhandlung verkündete die Kammer ihre Entscheidung.

V. Anspruch 1 des von der Einspruchsabteilung unverändert aufrechterhaltenen Patents (Hauptantrag) hat folgenden Wortlaut (Nummerierung von der Kammer hinzugefügt):

a) "Verfahren zum Erstellen eines Anwenderprogrammes für eine Sicherheitssteuerung (20), die dazu ausgebildet ist, eine automatisierte Anlage (22) mit einer Vielzahl von Sensoren (26) und einer Vielzahl von Aktoren (24) zu steuern,

b) wobei das Anwenderprogramm einen ersten Programmteil (74) umfasst, in dem sicherheitsrelevante Programmvariablen fehlersicher verarbeitet werden, und zumindest einen zweiten Programmteil (78) umfasst, in dem

nicht-sicherheitsrelevante Programmvariablen verarbeitet werden,

c) wobei für die nicht-sicherheitsrelevanten Programmvariablen innerhalb des zweiten Programmteils (78) eine fehlersichere Verarbeitung nicht erforderlich ist, gekennzeichnet durch folgende Schritte:

d) - Definieren einer Anzahl von sicherheitsrelevanten Programmvariablen (46),

e) - Definieren einer Anzahl von

nicht-sicherheitsrelevanten Programmvariablen (48),

f) - Auswählen einer sicherheitsrelevanten Programmvariablen (50) aus der Anzahl von sicherheitsrelevanten Programmvariablen (46),

g) - Auswählen einer ersten

nicht-sicherheitsrelevanten Programmvariablen (52) aus der Anzahl von nicht-sicherheitsrelevanten Programmvariablen (48), wobei der ersten

nicht-sicherheitsrelevanten Programmvariablen (52) beim Ausführen des Anwenderprogrammes wiederholt ein Momentanwert zugewiesen wird,

h) - Definieren zumindest einer Zuweisungsbedingung (54), die beim Ausführen des Anwenderprogrammes abgearbeitet wird,

i) - Definieren einer Zuordnung (56), die die ausgewählte erste nicht-sicherheitsrelevante Programmvariable (52) der ausgewählten

sicherheitsrelevanten Programmvariablen (50) zuordnet, wobei der Momentanwert der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen (52) beim Ausführen des Anwenderprogrammes in Abhängigkeit von der Zuweisungsbedingung (54) der ausgewählten

sicherheitsrelevanten Programmvariabeln [sic] (50) zugewiesen wird."

VI. Anspruch 1 der Hilfsanträge BE1, BE1a, BE3 und BE3a unterscheidet sich von Anspruch 1 des Hauptantrags dadurch, dass am Anfang von Merkmal h) vor "Definieren" das Wort "Freies" eingefügt wurde und dass am Ende die folgenden Merkmale hinzugefügt wurden (Nummerierung von der Kammer hinzugefügt):

j) "wobei als Zuweisungsbedingung (54) eine

Plausibilitätsabfrage definiert wird, mit der überprüft wird, ob die ausgewählte erste

nicht-sicherheitsrelevante Programmvariable (52) und eine ausgewählte weitere

nicht-sicherheitsrelevante Programmvariable konsistent zueinander sind, wobei die ausgewählte erste nicht-sicherheitsrelevante Programmvariable (52) und die ausgewählte weitere nicht-sicherheitsrelevante Programmvariable unterschiedliche physikalische Größen repräsentieren, die allerdings über eine physikalische Gesetzmäßigkeit zusammenhängen, oder

k) wobei als Zuweisungsbedingung (54) eine

Plausibilitätsabfrage definiert wird, mit der überprüft wird, ob die ausgewählte erste

nicht-sicherheitsrelevante Programmvariable (52) ein Vergleichskriterium erfüllt, das eine charakteristische Eigenschaft der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen (52) repräsentiert und auf ein zeitliches Verhalten der Momentanwerte gerichtet ist, so dass allein anhand der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen (52) festgestellt wird, ob eine für sicherheitsrelevante Programmvariablen geforderte Zuverlässigkeitsanforderung erfüllt ist."

VII. Anspruch 1 der Hilfsanträge BE2, BE2a, BE4 und BE4a unterscheidet sich von Anspruch 1 der Hilfsanträge BE1, BE1a, BE3 und BE3a dadurch, dass am Ende von Merkmal j) vor dem "oder" der folgende Wortlaut eingefügt ist:

"und wobei für eine der beiden Programmvariablen ein Umrechnen deren Momentanwerte unter Berücksichtigung der physikalischen Gesetzmäßigkeit erforderlich ist,".

VIII. Anspruch 1 der Hilfsanträge BE4b, BE5, BE5a, BE6 und BE6a unterscheidet sich jeweils von Anspruch 1 der Hilfsanträge BE2, BE2a, BE4 und BE4a wie folgt:

- In Anspruch 1 der Hilfsanträge BE4b, BE5a und BE6a wurde am Anfang von Merkmal h) das Wort "Freies" wieder gestrichen.

- In Anspruch 1 der Hilfsanträge BE6 und BE6a wurde Merkmal j) komplett gestrichen.

- In Anspruch 1 der Hilfsanträge BE5 und BE5a lautet Merkmal j) nun wie folgt (Hinzufügungen zu Anspruch 1 von Hilfsantrag BE1 unterstrichen):

j') "wobei als Zuweisungsbedingung (54) eine

Plausibilitätsabfrage definiert wird, mit der überprüft wird, ob die ausgewählte erste

nicht-sicherheitsrelevante Programmvariable (52) und eine ausgewählte weitere

nicht-sicherheitsrelevante Programmvariable konsistent zueinander sind, wobei die ausgewählte erste nicht-sicherheitsrelevante Programmvariable (52) und die ausgewählte weitere nicht-sicherheitsrelevante Programmvariable unterschiedliche physikalische Größen repräsentieren, die allerdings über eine physikalische Gesetzmäßigkeit zusammenhängen, wobei der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen (52) ein Momentanwert zugewiesen wird, der einen Wert eines mit einem ersten Sensor ermittelten ersten Sensorsignals repräsentiert, wobei der ausgewählten weiteren

nicht-sicherheitsrelevanten Programmvariablen ein Momentanwert zugewiesen wird, der einen Wert eines mit einem zweiten Sensor ermittelten zweiten Sensorsignals repräsentiert, wobei der erste und der zweite Sensor jeweils nicht-fehlersicher ausgebildet sind, und wobei für eine der beiden Programmvariablen ein Umrechnen deren Momentanwerte unter Berücksichtigung der physikalischen Gesetzmäßigkeit erforderlich ist, oder".

IX. Anspruch 1 der Hilfsanträge BE7 und BE7a unterscheiden sich von Anspruch 1 von Hilfsantrag BE5 bzw. BE5a dadurch, dass dass Merkmal k) gestrichen wurde.

X. Anspruch 1 des Hilfsantrags BE8 lautet wie folgt:

"Verfahren zum Erstellen eines Anwenderprogrammes für eine Sicherheitssteuerung (20), die dazu ausgebildet ist, eine automatisierte Anlage (22) mit einer Vielzahl von Sensoren (26) und einer Vielzahl von Aktoren (24) zu steuern, wobei das Anwenderprogramm sowohl Quellcode (80) als auch Maschinencode umfasst, wobei das Anwenderprogramm einen ersten Programmteil (74) umfasst, in dem sicherheitsrelevante Programmvariablen fehlersicher verarbeitet werden, und zumindest einen zweiten Programmteil (78) umfasst, in dem nicht-sicherheitsrelevante Programmvariablen verarbeitet werden, wobei für die nichtsicherheitsrelevanten Programmvariablen innerhalb des zweiten Programmteils (78) eine fehlersichere Verarbeitung nicht erforderlich ist,

wobei der Ersteller das Anwenderprogramm dadurch erstellt, dass er einem Computer (12) über eine an diesen angeschlossene Eingabeeinheit Eingaben zuführt,

gekennzeichnet durch folgende Schritte:

- Definieren einer Anzahl von sicherheitsrelevanten Programmvariablen (46),

- Definieren einer Anzahl von

nicht-sicherheitsrelevanten Programmvariablen (48),

- Auswählen einer sicherheitsrelevanten Programmvariablen (50) aus der Anzahl von sicherheitsrelevanten Programm variablen (46),

- Auswählen einer ersten nicht-sicherheitsrelevanten Programmvariablen (52) aus der Anzahl von

nicht-sicherheitsrelevanten Programmvariablen (48), wobei der ersten nicht-sicherheitsrelevanten Programmvariablen (52) beim Ausführen des Anwenderprogrammes wiederholt ein Momentanwert zugewiesen wird,

- Freies Definieren zumindest einer Zuweisungsbedingung (54), die beim Ausführen des Anwenderprogrammes abgearbeitet wird,

- Definieren einer Zuordnung (56), die die ausgewählte erste nichtsicherheitsrelevante Programmvariable (52) der ausgewählten sicherheitsrelevanten Programmvariablen (50) zuordnet, wobei der Momentanwert der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen (52) beim Ausführen des Anwenderprogrammes in Abhängigkeit von der Zuweisungsbedingung (54) der ausgewählten sicherheitsrelevanten Programmvariablen (50) zugewiesen wird,

wobei als Zuweisungsbedingung (54) eine Plausibilitätsabfrage definiert wird, mit der überprüft wird, ob die ausgewählte erste

nicht-sicherheitsrelevante Programmvariable (52) und eine ausgewählte weitere nicht-sicherheitsrelevante Programmvariable konsistent zueinander sind, wobei die ausgewählte erste nicht-sicherheitsrelevante Programmvariable (52) und die ausgewählte weitere nicht-sicherheitsrelevante Programmvariable unterschiedliche physikalische Größen repräsentieren, die allerdings über eine physikalische Gesetzmäßigkeit zusammenhängen, wobei der ausgewählten ersten

nicht-sicherheitsrelevanten Programmvariablen (52) ein Momentanwert zugewiesen wird, der einen Wert eines mit einem ersten Sensor ermittelten ersten Sensorsignals repräsentiert, wobei der ausgewählten weiteren nicht-sicherheitsrelevanten Programmvariablen ein Momentanwert zugewiesen wird, der einen Wert eines mit einem zweiten Sensor ermittelten zweiten Sensorsignals repräsentiert, wobei der erste und der zweite Sensor jeweils nicht-fehlersicher ausgebildet sind, und wobei für eine der beiden Programmvariablen ein Umrechnen deren Momentanwerte unter Berücksichtigung der physikalischen Gesetzmäßigkeit erforderlich ist, oder

wobei als Zuweisungsbedingung (54) eine Plausibilitätsabfrage definiert wird, mit der überprüft wird, ob die ausgewählte erste

nicht-sicherheitsrelevante Programmvariable (52) ein Vergleichskriterium erfüllt, das eine charakteristische Eigenschaft der ausgewählten ersten

nicht-sicherheitsrelevanten Programmvariablen (52) repräsentiert und auf ein zeitliches Verhalten der Momentanwerte gerichtet ist, so dass allein anhand der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen (52) festgestellt wird, ob eine für sicherheitsrelevante Programmvariablen geforderte Zuverlässigkeitsanforderung erfüllt ist,

wobei der vollständige Quellcode (80) in einem Quellcodespeicher (64) des Computers (12) abgespeichert und mittels eines Compilers (82) in Maschinencode übersetzt und zusätzlich mit einer CRC (Cyclic Redundancy Check) abgesichert wird,

wobei der vom Compiler (82) übersetzt Maschinencode in einem Programmspeicher (42) abgespeichert wird,

wobei für ein fehlersicheres Verarbeiten der sicherheitsrelevanten Programmvariablen im Programmspeicher (42) ein erster Maschinencode (84) und ein zweiter Maschinencode (86) abgespeichert werden, wobei der erste Maschinencode (84) für einen ersten Prozessor (30) der Sicherheitssteuerung (20) und der zweite Maschinencode (86) für einen zweiten Prozessor (32) der Sicherheitssteuerung (20) bestimmt ist,

wobei der erste Maschinencode (84) einen ersten Sicherheitscode (88) und einen Standardcode (90) umfasst, wobei der erste Sicherheitscode (88) zum einen diejenigen Sicherheitsanweisungen umfasst, die vom ersten Prozessor (30) im Rahmen der von der Sicherheitssteuerung (20) zu erledigenden Sicherheitsaufgaben abzuarbeiten sind, und zum anderen umfasst der erste Sicherheitscode (88) diejenigen Sicherheitsanweisungen, die vom ersten Prozessor (30) im Rahmen der Umwandlung, die durch die Zuordnung (36) und die Zuweisungsbedingung (34) definiert ist, abzuarbeiten sind, wobei der erste Sicherheitscode (88) somit Sicherheitssteuerungsanweisungen und Wandlungsanweisungen umfasst,

wobei der Standardcode (90) diejenigen Standardanweisungen umfasst, die vom ersten Prozessor (30) im Rahmen der von der ersten Sicherheitssteuerung (20) zu erledigenden Standardaufgaben abzuarbeiten sind,

wobei der zweite Maschinencode (86) einen zweiten Sicherheitscode (92) umfasst, der diejenigen Sicherheitssteuerungsanweisungen und Wandlungsanweisungen umfasst, die vom zweiten Prozessor (32) abzuarbeiten sind."

XI. Anspruch 1 von Hilfsantrag BE9 lautet wie folgt:

"Verfahren zum Erstellen eines Anwenderprogrammes für eine Sicherheitssteuerung (20) mit zwei Bearbeitungskanälen, die dazu ausgebildet ist, eine automatisierte Anlage (22) mit einer Vielzahl von Sensoren (26) und einer Vielzahl von Aktoren (24) zu steuern, wobei das Anwenderprogramm sowohl Quellcode (80) als auch Maschinencode umfasst, wobei das Anwenderprogramm einen ersten Programmteil (74) umfasst, in dem sicherheitsrelevante Programmvariablen fehlersicher verarbeitet werden, und zumindest einen zweiten Programmteil (78) umfasst, in dem

nicht-sicherheitsrelevante Programmvariablen verarbeitet werden, wobei für die nichtsicherheitsrelevanten Programmvariablen innerhalb des zweiten Programmteils (78) eine fehlersichere Verarbeitung nicht erforderlich ist, gekennzeichnet durch folgende Schritte:

- Definieren einer Anzahl von sicherheitsrelevanten Programmvariablen (46),

- Definieren einer Anzahl von

nicht-sicherheitsrelevanten Programmvariablen (48),

- Auswählen einer sicherheitsrelevanten Programmvariablen (50) aus der Anzahl von sicherheitsrelevanten Programmvariablen (46),

- Auswählen einer ersten nicht-sicherheitsrelevanten Programmvariablen (52) aus der Anzahl von

nicht-sicherheitsrelevanten Programmvariablen (48), wobei der ersten nicht-sicherheitsrelevanten Programmvariablen (52) beim Ausführen des Anwenderprogrammes wiederholt ein Momentanwert zugewiesen wird,

- Definieren zumindest einer Zuweisungsbedingung (54), die beim Ausführen des Anwenderprogrammes abgearbeitet wird,

- Definieren einer Zuordnung (56), die die ausgewählte erste nichtsicherheitsrelevante Programmvariable (52) der ausgewählten sicherheitsrelevanten Programmvariablen (50) zuordnet, wobei der Momentanwert der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen (52) beim Ausführen des Anwenderprogrammes in Abhängigkeit von der Zuweisungsbedingung (54) der ausgewählten sicherheitsrelevanten Programmvariablen (50) zugewiesen wird,

wobei beim Ausführen des Anwenderprogrammes ausgehend von der ausgewählten ersten nicht-sicheren Programmvariblen (52) eine duplizierte

nicht-sicherheitsrelevante Programmvariable erzeugt wird, so dass für jeden der beiden Bearbeitungskanäle eine eigenständige nicht-sicherheitsrelevante Programmvariable zur Verfügung gestellt wird, die jeweils eigenständig in eine sicherheitsrelevante Programmvariable umgewandelt wird."

Entscheidungsgründe

1. Technischer Hintergrund des Patents

Anspruch 1 des Streitpatents betrifft die Erstellung eines Anwenderprogramms für die Steuerung einer Anlage mit Sensoren und Aktoren. In einem ersten Programmteil werden "sicherheitsrelevante Variablen" und in einem zweiten Programmteil "nicht-sicherheitsrelevante Variablen" verarbeitet. Ein Wert einer

"nicht-sicherheitsrelevanten Variable" kann einem Wert einer zugeordneten "sicherheitsrelevanten Variablen" in Abhängigkeit einer definierten "Zuweisungsbedingung" zugewiesen werden. Auf diese Weise können aus

nicht-sicherheitsrelevanten Daten nach einer entsprechenden Prüfung sicherheitsrelevante Daten gemacht werden. Somit wären für die Bereitstellung der Momentanwerte der sicherheitsrelevanten Programmvariablen keine fehlersicher ausgebildeten Sensoren ("Sicherheitssensoren") erforderlich, sodass die Gesamtkosten reduziert werden könnten (vgl. Absatz [0019] der Patentschrift).

2. Hauptantrag - Anspruch 1 - Artikel 52 (2) und (3) EPÜ

2.1 In der Mitteilung der Kammer nach Artikel 15 (1) VOBK 2020 (vgl. Punkt III oben) und der mündlichen Verhandlung vor der Kammer wurde die Frage, ob der Gegenstand von Anspruch 1 technischen Charakter im Sinne von Artikel 52 (1) EPÜ aufweist, unter Bezugnahme auf Artikel 52 (2) c) und (3) EPÜ diskutiert.

2.2 Da die Patentinhaberin ihr Einverständnis zur Prüfung dieses neuen Einspruchsgrunds im Sinne von G 1/95 (Leitsatz) verweigert hat, weist die Kammer in Anlehnung an G 9/91 (Gründe 18) lediglich darauf hin, dass diese Frage im Beschwerdeverfahren aufgeworfen wurde. Die Frage der Technizität einzelner Anspruchsmerkmale wird jedoch im Zusammenhang mit der Beurteilung der erfinderischen Tätigkeit nach Artikel 56 EPÜ aufgegriffen (vgl. Punkt 3.7 unten).

3. Hauptantrag - Anspruch 1 - Artikel 56 EPÜ

3.1 Anspruch 1 des Hauptantrags enthält folgende einschränkenden Merkmale (Merkmalsnummerierung der Kammer):

a) Verfahren zum Erstellen eines Anwenderprogramms für eine Sicherheitssteuerung, die dazu ausgebildet ist, eine automatisierte Anlage mit einer Vielzahl von Sensoren und einer Vielzahl von Aktoren zu steuern,

b) wobei das Anwenderprogramm einen ersten Programmteil umfasst, in dem sicherheitsrelevante Programmvariablen fehlersicher verarbeitet werden, und zumindest einen zweiten Programmteil umfasst, in dem nichtsicherheitsrelevante Programmvariablen verarbeitet werden,

c) wobei für die nicht-sicherheitsrelevanten Programmvariablen innerhalb des zweiten Programmteils eine fehlersichere Verarbeitung nicht erforderlich ist,

mit den folgenden Schritten:

d) Definieren einer Anzahl von sicherheitsrelevanten Programmvariablen,

e) Definieren einer Anzahl von

nicht-sicherheitsrelevanten Programmvariablen,

f) Auswählen einer sicherheitsrelevanten Programmvariablen aus der Anzahl von sicherheitsrelevanten Programmvariablen,

g) Auswählen einer ersten nicht-sicherheitsrelevanten Programmvariablen aus der Anzahl von

nicht-sicherheitsrelevanten Programmvariablen, wobei der ersten nicht-sicherheitsrelevanten Programmvariablen beim Ausführen des Anwenderprogramms wiederholt ein Momentanwert zugewiesen wird,

h) Definieren zumindest einer Zuweisungsbedingung, die beim Ausführen des Anwenderprogramms abgearbeitet wird,

i) Definieren einer Zuordnung, die die ausgewählte erste nicht-sicherheitsrelevante Programmvariable der ausgewählten sicherheitsrelevanten Programmvariablen zuordnet, wobei der Momentanwert der ausgewählten ersten nicht-sicherheitsrelevanten Programmvariablen beim Ausführen des Anwenderprogramms in Abhängigkeit von der Zuweisungsbedingung der ausgewählten sicherheitsrelevanten Programmvariablen zugewiesen wird.

3.2 Die Kammer geht in Übereinstimmung mit der angegriffenen Entscheidung von Dokument E1 als nächstliegendem Stand der Technik aus. Das Dokument ist ein Handbuch zur "SIMATIC S7 Steuerung" und beschreibt die zugehörigen fehlersicheren Automatisierungssysteme "S7 Distributed Safety" und "S7 F/FH Systems" (Deckblatt und Seite iii, Vorwort).

3.3 Als implizites Anwendungsgebiet der S7-Steuerung wird das Konzept "Safety Integrated" beschrieben, in dem auch Sensoren und Aktoren enthalten sind (Seite 1-2, Abschnitt "Safety Integrated"). Die vorgenannten Automatisierungssysteme umfassen sowohl Hard- als auch Softwarekomponenten, wobei der Anwender ein Sicherheitsprogramm in der Sprache STEP 7 erstellt (Seite 1-10, Bild 1.3 und viertletzter Absatz) (Merkmal a)).

In einem Prozessor des Automatisierungssystems

("F-CPU") laufen nun ein Standard-Anwenderprogramm und ein Sicherheitsprogramm ab, zwischen denen Daten ausgetauscht werden können, wobei im Sicherheitsprogramm nur fehlersichere (d. h. sicherheitsrelevante) Daten und Signale und im Standard-Anwenderprogramm alle (d. h. auch

nicht-sicherheitsrelevante) Daten verarbeitet werden dürfen (Seite 3-3, Bild 3-2 und letzten zwei Absätze). Im fehlersicheren Automatisierungssystem von E1 werden somit implizit fehlersichere Daten auch fehlersicher verarbeitet (Merkmale b) und c)).

Die Kammer ist ferner der Ansicht, dass bei der Verarbeitung von fehlersicheren und

nicht-fehlersicheren Daten notwendigerweise auch das Definieren von entsprechenden Variablen, das Auswählen von Variablen und das wiederholte Zuweisen von Momentanwerten zu Variablen implizit enthalten sind, um überhaupt ein lauffähiges Programm erstellen zu können (Merkmale d) bis g)).

Daten können zudem vom Standard-Anwenderprogramm zum Sicherheitsprogramm übertragen werden. Da diese Daten unsicher sind, "muss der Anwender durch zusätzliche prozessspezifische Plausibilitätskontrollen im Sicherheitsprogramm sicherstellen, dass keine gefährlichen Zustände entstehen können" (Seite 3-4, vorletzter Absatz). Für die Datenkonvertierung zwischen dem Standard-Anwenderprogramm und dem Sicherheitsprogramm bzw. für die Konvertierung von Standard- nach F-Datentypen sind Bausteine einer sogenannten "F-Bibliothek" vorgesehen (Seite 7-10, Tabelle 7-3). Um nun Momentanwerte aus dem

Standard-Anwenderprogramm in das Sicherheitsprogramm übertragen zu können, ist implizit eine Zuordnung einer Variablen aus dem Standard-Anwenderprogramm zu einer Variablen aus dem Sicherheitsprogramm und das entsprechende Zuweisen von Werten implizit enthalten (Teil des Merkmals i)). Die Details der Übertragung von Werten wie die Verwendung von "Merkern" oder speziellen "Registern" ändern entgegen den Argumenten der Patentinhaberin (Punkte 4.6 und 4.7 des Schreibens vom 27. April 2020) nichts an der obigen Betrachtungsweise, da in Anspruch 1 die Zuweisung des Werts einer Variablen zu einer anderen Variable auch nicht weiter technisch spezifiziert ist.

3.4 Dokument E1 offenbart somit ein Verfahren zum Erstellen eines Anwenderprogramms mit den Merkmalen a) bis g) und eines Teils des Merkmals i). Nach Ansicht der Kammer offenbart E1 allerdings keine "Zuweisungsbedingung" und auch keine Zuweisung eines Werts einer Variablen des Standard-Anwenderprogramms zu einer Variablen des Sicherheitsprogramms in Abhängigkeit von einer solchen Zuweisungsbedingung (Merkmal h) und Teil des Merkmals i)).

3.5 Die Kammer folgt in diesem Zusammenhang nicht der Begründung der Einspruchsabteilung in "Hinweis 3" und "Hinweis 4" auf Seite 20. Die auf Seite 3-4 von E1 genannten Plausibilitätskontrollen zur Verhinderung von gefährlichen Zuständen müssen nicht unbedingt die Zuweisung eines Werts bzw. dessen Übertragung in das Sicherheitsprogramm regeln, sondern könnten auch die Weiterverarbeitung von Werten regeln, die vorher ohne jede weitere Prüfung oder Einschränkung in das Sicherheitsprogramm übertragen worden sind. Auch findet sich kein Hinweis, dass die "F-Bausteine" zur Datenkonvertierung (Seite 7-10) die Konvertierung tatsächlich von einer "Bedingung" abhängig machen.

3.6 Somit ist der Gegenstand von Anspruch 1 in der Tat neu gegenüber E1 (Artikel 54 EPÜ). Bezogen auf das Verfahren von E1 würde die Anwendung der obigen Unterscheidungsmerkmale wiederum bedeuten, dass bereits die Zuweisung eines Werts einer Variablen des

Standard-Anwenderprogramms zu einer Variablen des Sicherheitsprogramms vom Ausgang einer Plausibilitätsprüfung abhängig wäre. Der zu übertragende Wert würde mithin bei nicht bestandener Plausibilitätsprüfung erst gar nicht in das Sicherheitsprogramm übertragen werden.

3.7 Die bloße, abstrakte Zuordnung von (technisch) nicht näher definierten (Momentan-)"Werten" zwischen zwei nicht näher definierten Kategorien von "Programmvariablen" (wie sicherheitsrelevante und nicht-sicherheitsrelevante Variablen) nach einer (technisch) nicht näher definierten "Zuweisungsbedingung" kann jedoch nach Auffassung der Kammer keine glaubhafte technische Wirkung hervorrufen, geschweige denn einen konkreten, aus dem Anspruch ableitbaren technischen Vorteil nach sich ziehen. Folglich können die obigen Unterscheidungsmerkmale nach der ständigen Rechtsprechung der Beschwerdekammern auch nicht zu einer erfinderischen Tätigkeit beitragen (siehe z. B. T 641/00, Leitsatz I; G 1/19, Gründe 49).

3.8 Selbst wenn man arguendo zugunsten der Patentinhaberin annehmen sollte, dass die Unterscheidungsmerkmale zum technischen Charakter von Anspruch 1 beitrügen, bestünde die zugehörige objektive Aufgabe nach Ansicht der Kammer lediglich in der Implementierung der Plausibilitätskontrolle bei der entsprechenden Programmdatenkonvertierung von E1 für den Fall, dass keine Sicherheitssensoren verwendet werden.

Für eine Fachperson auf dem Gebiet der Automatisierungstechnik wäre es aber durchaus einleuchtend, dass ein Wert bei nicht bestandener Plausibilitätsprüfung nicht mehr wie üblich vom Sicherheitsprogramm berücksichtigt werden darf und dass seine Übertragung in das Sicherheitsprogramm bzw. die Zuweisung des Werts der nicht-sicherheitsrelvanten Variable der zugeordneten sicherheitsrelevanten Variable mithin nicht erforderlich ist. Sollte beispielsweise die Minimierung des Datentransfers zwischen den beiden Programmen relevant sein, würde die Fachperson bereits die Zuweisung des Werts der Variablen des Standard-Anwenderprogramms zur zugeordneten Variable des Sicherheitsprogramms von der Plausibilitätsprüfung abhängig machen und damit bei der Lösung der obigen objektiven Aufgabe ohne erfinderisches Zutun sehr wohl zum Gegenstand von Anspruch 1 zu gelangen.

3.9 Die Patentinhaberin erkennt in diesem Zusammenhang an, dass E1 durchaus den Transfer von Daten offenbart, argumentiert aber, dass beim erfindungsgemäßen Verfahren die Zuweisung bereits bei der Erstellung des Anwenderprogramms, d. h. bei der Programmierung, stattfinde und es somit je nach Compiler auf verschiedene Steuerungen portiert werden könne. Man müsse sich bei der Erstellung des Anwenderprogramms noch nicht auf eine Steuerung festlegen. Beim Verfahren von E1 sei es jedoch anders, da dort der entsprechende Datentransfer über besondere in der Hardware festgelegte "Marker" bzw. "Register" geschehe, so dass das Programm zwingend auf der entsprechenden Steuerung laufen und diese bereits bei der Programmierung feststehen müsse. Diese Abhängigkeit von der verwendeten Hardware ergebe sich zudem auch aus der Tatsache, dass in E1 unter der Überschrift "Zusammenspiel der Komponenten" zuerst der Punkt "Hardware projektieren" und anschließend als weiterer Schritt "Sicherheitsprogramm erstellen" aufgelistet seien (Seite 1-10). Auch sei in E1 an keiner Stelle die Definition von "Variablen" offenbart.

3.10 Nach Ansicht der Kammer enthält Anspruch 1 keine Einschränkung, wonach beim Erstellen des Programms die Hardware der Steuerung noch nicht definiert sein darf. Auch wenn man dem Argument der Patentinhaberin folgen und bei E1 die Programmerstellung für eine bereits projektierte, konkrete Steuerung (und nur für diese) annehmen sollte, würde jedoch Anspruch 1 durchaus auch ein solches Verfahren umfassen. Es ist zwar zutreffend, dass das Dokument E1 kein Definieren von Variablen und kein Zuweisen von Werten an Variablen explizit offenbart. Die in E1 genannten "Variablen" scheinen eher Einstellungen zu sein. Allerdings besteht kein Zweifel daran, dass eine Steuerung in E1 Werte verarbeitet, die physikalische Prozessgrößen wiedergeben und mithin veränderlich sind (siehe z. B. Seite 2-10 unten oder Seite 3-9 oben). Solche veränderlichen Werte werden in Programmen als "Variablen" verarbeitet, die notwendigerweise vorher definiert werden müssen und denen die Werte, die verarbeitet werden sollen, zugeordnet werden müssen.

3.11 Das Verfahren von Anspruch 1 des Hauptantrags beruht daher - ausgehend von E1 - nicht auf einer erfinderischen Tätigkeit. Somit steht Artikel 100 a) i.V.m. 56 EPÜ der Aufrechterhaltung des Patents wie erteilt entgegen.

4. Hilfsanträge BE1, BE1a, BE3 und BE3a - Anspruch 1 - Artikel 123 (2) EPÜ

4.1 In Anspruch 1 der Hilfsanträge BE1, BE1a, BE3 und BE3a wurden im Vergleich zu Anspruch 1 des Hauptantrags zwei "oder"-verknüpfte Merkmale j) und k) hinzugefügt (vgl. Punkt VI oben), in denen zwei Alternativen einer Plausibilitätsabfrage der Zuweisungsbedingung definiert werden. In der ersten Alternative der Zuweisungsbedingung nach Merkmal j) werden zwei Variablen auf deren Konsistenz zueinander geprüft, die unterschiedliche physikalische Größen repräsentieren. Diese einzige Offenbarung dafür findet sich in den ursprünglich eingereichten Anmeldungsunterlagen in der Beschreibung auf Seite 8 unten und oben auf Seite 9. Allerdings folgt auf die Offenbarung dieser Möglichkeit auf Seite 9 oben der Hinweis:

"In diesem Fall ist jedoch für eine der beiden Programmvariablen ein Umrechnen deren Momentanwerte unter Berücksichtigung der physikalischen Gesetzmäßigkeit erforderlich".

4.2 Die Verwendung von Variablen, die unterschiedliche physikalische Größen repräsentieren, ist somit an die vorgenannte Umrechnung gekoppelt, die allerdings in Anspruch 1 der Hilfsanträge BE1, BE1a, BE3 und BE3a fehlt. Das führt wiederum zu einer unzulässigen Zwischenverallgemeinerung.

4.3 Die Hilfsanträge BE1, BE1a, BE3 und BE3a sind somit nach Artikel 123 (2) EPÜ nicht gewährbar.

5. Hilfsanträge BE2, BE2a, BE4 und BE4a - Anspruch 1 Artikel 56 EPÜ

5.1 Im Gegensatz zu Anspruch 1 der Hilfsanträge BE2, BE2a, BE4 und BE4a wurde in Merkmal j) die Umrechnung der Variablen, die unterschiedliche physikalische Größen repräsentieren und die auf ihre Konsistenz zueinander geprüft werden, hinzugefügt und damit die Ursache für die unzulässige Zwischenverallgemeinerung beseitigt.

5.2 Die zweite Alternative gemäß Merkmal k) richtet sich nun im Wesentlichen darauf, dass eine einzige

nicht-sicherheitsrelevante Variable ein Kriterium erfüllt, das sich wiederum auf ein charakteristisches "zeitliches Verhalten" von deren Werten richtet. Ein Vergleich mit den Werten einer anderen Variable ist hierbei aber nicht nötig.

5.3 Eine solche Plausibilitätskontrolle gemäß Merkmal k) kann beispielsweise in der Überprüfung bestehen, ob der zeitliche Verlauf von Temperatur- oder Druckwerten Sprünge aufweist oder sich, insbesondere gemessen an Erfahrungswerten, zu schnell oder zu langsam ändert. Ungeachtet der Frage, welcher technische Effekt von diesem Merkmal hervorgerufen wird, ist einer Fachperson allerdings bewusst, dass anhand des zeitlichen Verlaufs von bestimmten Momentanwerten eine Aussage darüber getroffen werden kann, ob diese Werte korrekt ermittelt worden sein können oder ein Fehler bei der Messung angenommen werden muss. Es ist demnach für eine Fachperson naheliegend, die Plausibilitätsabfrage auf die Überprüfung des "zeitlichen Verhaltens" der Werte einer Variablen zu richten.

5.4 Die zweite Alternative der Plausibilitätsabfrage nach Merkmal k) trägt daher im Zusammenhang mit der Implementierung der Plausibilitätskontrolle im System von E1 (vgl. Punkt 3.8 oben) auch nicht zu einer erfinderischen Tätigkeit bei. Das Verfahren von Anspruch 1 des Hauptantrags beruht daher - ausgehend von E1 - ebenfalls nicht auf einer erfinderischen Tätigkeit.

5.5 Auch die Hilfsanträge BE2, BE2a, BE4 und BE4a sind somit nach Artikel 56 EPÜ nicht gewährbar.

6. Hilfsanträge BE4b, BE5, BE5a, BE6 und BE6a - Anspruch 1 - Artikel 56 EPÜ

6.1 Die Änderung in Anspruch 1 von Hilfsantrag BE4b, BE5a und BE6a, nämlich das Streichen des Worts "Freies" in Merkmal h), schränkt den Gegenstand nicht weiter ein und kann somit ebenfalls nicht zu einer erfinderischen Tätigkeit beitragen.

6.2 Die Änderungen in Anspruch 1 von Hilfsantrag BE5, BE5a, BE6 und BE6a, nämlich das Erzeugen der Werte der auf Konsistenz geprüften zwei Variablen mit fehlersicheren Sensoren in Merkmal j) bzw. das komplette Streichen dieses Merkmals, betreffen ausschließlich die erste Alternative für die Plausibilitätsabfrage und können somit ebenfalls nicht zu einer erfinderischen Tätigkeit gemäß der zweiten Alternative der Plausibilitätsabfrage nach Merkmal k) beitragen.

6.3 Die Einschätzung der erfinderischen Tätigkeit bezüglich Anspruch 1 der Hilfsanträge BE2, BE2a, BE4 und BE4a gilt daher ebenso für Anspruch 1 von jedem der Hilfsanträge BE4b, BE5, BE5a, BE6 und BE6a, der somit ebenfalls nicht auf einer erfinderischen Tätigkeit beruht.

6.4 Die Hilfsanträge BE4b, BE5, BE5a, BE6 und BE6a sind daher auch nicht gewährbar (Artikel 56 EPÜ).

7. Hilfsanträge BE7 und BE7a - Anspruch 1 - Artikel 56 EPÜ

7.1 Anspruch 1 von Hilfsantrag BE7 bzw. BE7a unterscheidet sich jeweils von Anspruch 1 des Hilfsantrags BE5 bzw. BE5a dadurch, dass Merkmal k) gestrichen wurde und somit nur noch die erste Alternative der Plausibilitätsabfrage gemäß Merkmal j') enthalten ist, bei der im Wesentlichen zwei Variablen, denen durch nicht-fehlersichere Sensoren ermittelte Werte zugewiesen werden, auf ihre Konsistenz zueinander geprüft werden.

7.2 Anspruch 1 von Hilfsantrag BE7 unterscheidet sich von Anspruch 1 des Hauptantrags somit allein durch Merkmal j'), das gemäß Merkmal a) im Rahmen der Erstellung eines Anwenderprogramms, d. h. unabhängig von einer späteren Ausführung auf der Sicherheitssteuerung, eine bestimmte Form der "Zuweisungsbedingung" definiert. Die Schritte und Überlegungen in Merkmal j') mögen sich im Ergebnis zwar irgendwie im Anwenderprogramm niederschlagen, benötigen aber zu ihrer Ausführung keine technischen Mittel. Die abstrakte Idee, zwei unterschiedliche physikalische Größen darstellende Variablen miteinander auf ihre Konsistenz zu prüfen, sind keine technischen Überlegungen. Merkmal j') trägt deshalb auch nicht zu einer erfinderischen Tätigkeit bei.

Darüber hinaus kann der Ursprung der Werte der Variablen, nämlich der Umstand, dass sie von

nicht-fehlersicheren Sensoren stammen, dem Merkmal j') auch keinen technischen Charakter verleihen, da keine technischen Einschränkungen zur Messung selber gemacht werden. Merkmal j') geht also nicht über die bloße Verwendung von Sensordaten in dem zu erstellenden Verfahren hinaus. Die bloße Verwendung von Sensoren zur (vorgelagerten) Gewinnung der Werte für die entsprechenden Variablen hat im Verfahren von Anspruch 1 keinen ursächlichen technischen Effekt und kann mithin auch nicht zu einer erfinderischen Tätigkeit beitragen (T 1798/13, Gründe 2.7 und 2.8; T 1615/17, Gründe 2.4).

7.3 Das Weglassen der Einschränkung "Freies" in Merkmal h) kann ebenfalls nicht zu einer erfinderischen Tätigkeit beitragen, sodass auch Anspruch 1 des Hilfsantrags BE7a nicht auf einer erfinderischen Tätigkeit beruht.

7.4 Die Hilfsanträge BE7 und BE7a sind daher auch nicht nach Artikel 56 EPÜ gewährbar.

8. Hilfsanträge BE8 und BE9 - Zulassung

8.1 Die Hilfsanträge BE8 und BE9 sind während der mündlichen Verhandlung und damit nach Zustellung der Ladung eingereicht worden. Ihre Zulassung in das Beschwerdeverfahren unterliegt damit den Vorschriften des Artikels 13 (2) VOBK 2020.

8.2 Nach Artikel 13 (2) VOBK 2020 bleiben Änderungen des Beschwerdevorbringens eines Beteiligten nach Zustellung der Ladung grundsätzlich unberücksichtigt, es sei denn, der Beteiligte hat stichhaltige Gründe dafür aufgezeigt, dass "außergewöhnliche Umstände" vorliegen. Zudem können die in Artikel 13 (1) VOBK 2020 genannten Kriterien bei der Anwendung von Artikel 13 (2) VOBK berücksichtigt werden. Gemäß Artikel 13 (1) VOBK 2020 bedürfen wiederum Änderungen des Beschwerdevorbringens eines Beteiligten nach Einreichung seiner Beschwerdebegründung rechtfertigender Gründe seitens des Beteiligten und ihre Zulassung steht im Ermessen der Kammer. Bei der Ausübung ihres Ermessens berücksichtigt die Kammer insbesondere den Stand des Verfahrens, die Eignung der Änderung zur Lösung der aufgeworfenen Fragen und ob die Änderung prima facie die aufgeworfenen Fragen ausräumt und keinen Anlass zu neuen Einwänden gibt.

8.3 In Anspruch 1 des Hilfsantrags BE8 sind im Vergleich zu den Ansprüchen aller bislang im Verfahren befindlichen Anträge nun zusätzlich zahlreiche Merkmale hinzugefügt worden, die neue Aspekte betreffen, die bislang in keinem der bereits eingereichten Anträge enthalten waren. Insbesondere betreffen die neuen Merkmale die Aufteilung des erzeugten Programms bzw. dessen

Quell- und Maschinencodes in verschiedene Programmblöcke und deren Ablage in einem Speicher des bei der Programmerstellung verwendeten Computers. Sie stellen damit einen weiteren Versuch dar, einzelnen Merkmalen von Anspruch 1 einen technischen Charakter zu verleihen. Zudem wurde hinzugefügt, dass die Sicherheitssteuerung, für die das Anwenderprogramm erstellt wird, zwei Prozessoren umfasst.

8.3.1 Zum einen wurde hier die mangelnde Technizität der obigen Merkmale bereits in der Ladungsmitteilung der Kammer angesprochen, sodass bereits vor der mündlichen Verhandlung vor der Kammer durchaus Anlass und Gelegenheit bestand, darauf entsprechend zu reagieren.

8.3.2 Zum anderen ändern die hinzugefügten Merkmale nichts an dem erstellten Anwenderprogramm, sondern betreffen im Wesentlichen die interne Speicherorganisation des verwendeten Computers. Dieser Aspekt ist im bisherigen Verfahren nicht berücksichtigt worden und stellt für die Kammer und die Einsprechenden einen überraschenden, neuen Sachverhalt dar, der eventuell eine zusätzliche Recherche erforderlich machen würde, die so kurzfristig unmöglich erscheint. Gleiches gilt für den Aspekt, dass die Sicherheitssteuerung jetzt zwei Prozessoren umfasst.

8.3.3 Folglich liegen hier keine "außergewöhnlichen Umstände" im Sinne von Artikel 13 (2) VOBK 2020 vor.

8.3.4 Zudem gehen in der Sache die hinzugefügten, auf den Computer bezogenen Merkmale prima facie nicht über das hinaus, was die Fachperson bei der Implementierung des Verfahrens zur Ausführung auf dem Computer vorsehen würde. Der aus Binärzahlen bestehende Maschinencode zur Ausführung auf einer Steuerung wird immer aus einem für die erstellende Person handhabbaren Quellcode erzeugt, selbst wenn es sich um die maschinennahe Assemblersprache handelt, ganz zu schweigen von höheren Programmiersprachen. Ferner lassen sich in einem erzeugten Anwenderprogramm enthaltene Anweisungen immer mit beliebigen Bezeichnungen versehen ("erster Maschinencode", "zweiter Maschinencode", "erster Sicherheitscode"), die aber nicht notwendigerweise technischer Natur sein müssen und daher auch nicht - zumindest prima facie - zu einer erfinderischen Tätigkeit beitragen können. Zudem ist auch der Einsatz einer Fehlerredundanz für eine Fachperson auf dem Gebiet der Sicherheitssteuerungen eine naheliegende Maßnahme, sodass auch die Maßnahme, dass die Sicherheitssteuerung zwei Prozessoren aufweist prima facie nicht zu einer erfinderischen Tätigkeit beitragen kann.

8.4 Anspruch 1 des Hilfsantrags BE9 entspricht Anspruch 12 des Hilfsantrags BE1 und richtet sich auf die Erstellung eines Anwenderprogramms für eine zweikanalige Sicherheitssteuerung. Im Vergleich zu Anspruch 1 des Hauptantrags wurden die Merkmale hinzugefügt, dass die "nicht-sicherheitsrelevante Variable" wegen der zwei Kanäle dupliziert wird und dass die zwei "nicht-sicherheitsrelevanten Variablen" in jeweils eine "sicherheitsrelevante Variable" umgewandelt werden. Die Größen, deren Werte von den Kanälen verarbeitet werden, und die Zuweisungsbedingung sind jedoch nicht näher spezifiziert.

8.4.1 Dokument E1 offenbart diesbezüglich die Erfassung derselben Prozessgröße mit mechanisch getrennten Gebern (Seite 5-5, Bild 5-3; Seite 5-7, Bild 5-7; Seite 5-8, Bild 5-8). Dies impliziert eine duplizierte Variable, da die vom zusätzlichen Geber gelieferten Werte dieselbe Prozessgröße betreffen und im System in einer Variablen verarbeitet werden müssen, die der Variablen für die Werte des anderen Gebers entspricht. Die beiden Kanäle werden zusammengefasst und danach nur die Werte des niederwertigen Kanals dem Sicherheitsprogramm zur Verfügung gestellt (vgl. Seite 5-6 oben). Daraus ergibt sich unweigerlich, dass die Werte des nicht niederwertigen Kanals ausschließlich einer

"nicht-sicherheitsrelevanten Variable" zugewiesen werden und demnach auch die Werte des anderen Kanals in einer "nicht-sicherheitsrelevanten Variablen" vorliegen müssen, um letztendlich beide Kanäle zusammenfassen zu können.

8.4.2 Die oben genannten hinzugefügten Merkmale des Verfahrens von Anspruch 1 unterscheiden sich von denen von E1 somit nur dadurch, dass beide

"nicht-sicherheitsrelevanten Variablen" jeweils in eine "sicherheitsrelevante Variable" umgewandelt werden,

d. h. die Zusammenfassung findet vor der Übertragung in das Sicherheitsprogramm statt.

8.4.3 Nach Ansicht der Kammer ist es jedoch ein bloßes Implementierungsdetail, ob die Werte der beiden Kanäle zuerst zusammengefasst und dann in das Sicherheitsprogramm übertragen oder ob die Werte zuerst in das Sicherheitsprogramm übertragen und danach zusammengefasst werden. Jedenfalls trägt dieser Unterschied nicht zu einer erfinderischen Tätigkeit bei, sodass Anspruch 1 von Hilfsantrag BE9 - zumindest prima facie - den Einwand der mangelnden erfinderischen Tätigkeit nicht ausräumen kann.

8.5 In Anbetracht des fortgeschrittenen Verfahrensstands, dem Fehlen von "außergewöhnlichen Umständen" (vgl. Punkt 8.3.3 oben) und des Umstands, dass die Hilfsanträge BE8 und BE9 prima facie die aufgeworfenen Fragen nicht ausräumen (vgl. Punkte 8.3.4 und 8.4 oben), sondern vielmehr neue Fragen aufwerfen, wurden sie nicht in das Verfahren zugelassen.

9. Da kein gewährbarer Anspruchssatz vorliegt, muss das Streitpatent widerrufen werden.

Entscheidungsformel

Aus diesen Gründen wird entschieden:

1. Die angefochtene Entscheidung wird aufgehoben.

2. Das Patent wird widerrufen.