T 1311/10 (Sicherheitssteuerung/BOSCH REXROTH) 12-04-2013

1. Anspruch 1 des Hauptantrags - erfinderische Tätigkeit (Artikel 56 EPÜ)

1.1 Die Druckschrift D1 offenbart ein programmierbares Mikrocomputersystem (Figur 1) zum Einsatz in einer sicherheitskritischen Umgebung. Das Mikrocomputersystem umfasst zum einen ein konventionelles PC-System, welches u.a. eine CPU 11 und einen Bus 18 aufweist und auf dem ein Betriebssystem 13A (Figur 3) sowie Anwendersoftware 13C ausgeführt wird (11 bis 22 in der Figur 1, vgl. auch Spalte 3, Zeilen 14 bis 46). Dieses konventionelle PC-System entspricht der Standard-Steuerung in Anspruch 1. Weiterhin umfasst das Mikrocomputersystem einen sicherheitskritischen Prozessor 10 zur Ausführung von sicherheitskritischen Funktionen (Spalte 3, Zeilen 47 bis 52). Der sicherheitskritische Prozessor kann dabei aus einer Einsteckkarte bestehen und in einen der Einsteckplätze des PC-Systems eingesteckt sein (Spalte 2, Zeilen 1 bis 5), also gemäß dem Wortlaut des Anspruchs 1 aus einem mit dem PC-Bus verbundenen Sicherheits-Modul bestehen. Weiterhin umfasst der sicherheitskritische Prozessor Hard- und Firmware in Form eines "watchdog timer" 104 (Figur 2) und eines "power supply monitor" 103 zur Ausführung der sicherheitskritischen Funktionen; letztere bestehen beispielsweise darin, zu verifizieren, dass die Versorgungsspannung innerhalb vorgegebener Grenzen liegt (Spalte 4, Zeilen 49 bis 56).

1.2 Hinsichtlich der Neuheit argumentierte die Beschwerdeführerin, die beanspruchte Steuerung unterscheide sich von dem aus D1 bekannten Mikroprozessorsystem durch die beiden Merkmale, dass die Steuerung zur Maschinen- und/oder Anlagenautomatisierung vorgesehen sei und dass die Hard- und/oder Firmware der Sicherheits-Module gemäß Fehler- und Ausfallsicherheit sicherheitszertifiziert ist.

1.3 Die Kammer stimmt nicht zu, dass das erste dieser Merkmale tatsächlich einen Unterschied gegenüber dem aus D1 bekannten Mikrocomputersystem bewirkt, denn letzteres ist zur Automatisierung einer Maschine oder Anlagen zumindest geeignet, indem das Mikrocomputersystem geeignete Steueranweisungen zur Maschinen- oder Anlagenautomatisierung generiert und diese Anweisungen als Daten über den Ein/Ausgabebus ausgibt.

Somit unterscheidet sich die beanspruchte Steuerung von dem aus D1 bekannten System lediglich darin, dass die Hard- und/oder Firmware der Sicherheits-Module gemäß Fehler- und Ausfallsicherheit sicherheitszertifiziert ist.

1.4 In Bezug auf die erfinderische Tätigkeit argumentierte die Beschwerdeführerin, es reiche für eine Sicherheitssteuerung nicht aus, Hard- und Firmware zu entwickeln, die zwar theoretisch sicherheits zertifizierbar ist, deren tatsächliche Zertifizierung jedoch praktisch unmöglich ist, z.B. wegen der Komplexität der Hard- und Firmware. Vielmehr müsse diese Hard- und Firmware der Sicherheitssteuerung tatsächlich zertifiziert sein. Daher unterscheide sich Hard- und Firmware, die tatsächlich zertifiziert ist, von Hard- und Firmware, die zwar theoretisch zertifizierbar sein mag, nicht jedoch tatsächlich sicherheitszertifiziert wurde. Die Verwendung von tatsächlich sicherheits zertifizierter Hard- und Firmware in einer Sicherheitssteuerung sei durch den Stand der Technik jedoch nicht nahegelegt.

1.5 Die Kammer folgt diesem Argument nicht. Nach Auffassung der Kammer dient die Sicherheitszertifizierung keinem eigentlichen technischen Zweck, sondern bringt lediglich zum Ausdruck, dass die Hard- oder Firmware bestimmten vorab festgelegten Sicherheitsanforderungen genügt, indem beispielsweise die Hard- und Firmware übergeprüft wird, ob sie bestimmte Tests besteht. Folglich werden die technischen Merkmale der Hard- oder Firmware nicht allein aufgrund einer Sicherzeitszertifizierung geändert. Daher kommt dem Umstand, dass eine Hard- oder Firmware sicherheitszertifiziert ist, für sich genommen kein technischer Beitrag zu.

Ausgehend von D1 als dem nächstliegenden Stand der Technik besteht somit der einzige Unterschied der beanspruchten Steuerung nicht in einem technischen Beitrag. Gemäß der gefestigten Rechtssprechung der Beschwerdekammern (vgl. T 0641/00 (erster Leitsatz), Abl. EPA 2003, 352) kann ein nichttechnischer Beitrag zum Stand der Technik jedoch keine erfinderische Tätigkeit begründen.

1.6 Folglich beruht die Steuerung gemäß Anspruch 1 nicht auf einer erfinderischen Tätigkeit (Artikel 52 (1) und 56 EPÜ) und der Hauptantrag ist daher nicht gewährbar.

2. Anspruch 1 des Hilfsantrags 1 - Klarheit (Artikel 84 EPÜ)

2.1 Das weitere Merkmal, wonach sich die Sicherheitsmodule "gegenseitig überwachen, wodurch ein gesicherter Zustand für die automatisierte Maschine und/oder Anlage gewährleistet ist", ist unklar, da aus dem Merkmal nicht zu erahnen ist, in welchem Umfang eine gegenseitige Überwachung der Sicherheits-Module erfolgen soll oder welchen Einfluss eine gegenseitige Überwachung auf den gesicherten Zustand einer automatisierten Maschine und/oder Anlage haben soll.

2.2 Zur Erläuterung dieses Merkmals verwies die Beschwerdeführerin in der mündlichen Verhandlung auf zwei Passagen der veröffentlichten Anmeldung, und zwar auf Seite 8, Zeilen 12 bis 16

"Die Datenübertragung zwischen der Sicherheits-Steuerung 30 und der dezentralen Sicherheits-E/A 42 erfolgt über die auch für die nicht-sichere Kommunikation genutzten Übertagungswege [sic], wird jedoch zusätzlich durch die aus den Normen und der Literatur bekannten Fehlermodelle abgesichert. Hierzu können Verfahren wie Bildung von Checksummen, Nummerierung, Zeitüberwachung und Redundanz eingesetzt werden."

sowie Seite 9, Zeilen 4 bis 12

"Die sicherheitsbezogenen Funktionseinheiten weisen jede für sich die für die angestrebte Sicherheitskategorie (Kat. 3 oder Kat. 4 gemäß EN 954-1) beziehungsweise die für den Sicherheitsintegritätslevel (SIL2 oder SIL3 gemäß EN 61508) normativ geforderte Architektur und Sicherheitsintegrität auf. Hierzu können zweikanalig redundanter Aufbau, zyklische Diagnose im Betrieb mit ausreichendem Deckungsgrad sowie genügend geringe Fehler- und/oder Ausfallwahrscheinlichkeit vorgesehen sein. Für diese Funktionseinheiten wird von der Konzepterstellung bis zur Außerbetriebnahme der in der EN 61508 definierte Lebenszyklus zugrunde gelegt und bei der Entwicklung werden alle erforderlichen fehlervermeidenden Maßnahmen getroffen."

Diese Passagen betreffen jedoch nicht die gegenseitige Überwachung von Sicherheits-Modulen: Die erstgenannte Passage auf Seite 8 beschreibt lediglich die Absicherung der Datenkommunikation zwischen einem Sicherheitsmodul und der dezentralen Sicherheits-Ein/Ausgabe, also einer Schnittstelle der Steuerung; die zweite Passage auf der Seite 9 zählt beispielhaft Maßnahmen auf, um eine bestimmte Sicherheitsintegrität der Sicherheits-Module zu gewährleisten, eine gegenseitige Überwachung der Sicherheits-Module ist jedoch von keiner dieser Maßnahmen berührt. Daher können die genannten Passagen nicht zum Verständnis des oben erwähnten Merkmals beitragen.

2.3 Da der Anspruch 1 nicht das Erfordernis der Klarheit erfüllt (Artikel 84 EPÜ), ist der Hilfsantrag 1 nicht gewährbar.

3. Anspruch 1 des Hilfsantrags 3 - erfinderische Tätigkeit (Artikel 56 EPÜ)

3.1 Das weitere Merkmal, wonach die Sicherheitsmodule derart ausgelegt sind, dass sie im Fehlerfall autark für sich alleine das Erreichen eines gesicherten Zustands erreichen, drückt nach Auffassung der Kammer lediglich den Zweck einer Sicherheitssteuerung, nämlich das zu steuernde System in einer sicherheitskritischen Situation zuverlässig zu kontrollieren, um Schaden zu verhindern, in anderen Worten aus. Für genau diesen Zweck ist der sicherheitskritische Prozessor in D1 vorgesehen (vgl. Spalte 1, Zeilen 62 bis 67). Somit ist das genannte weitere Merkmal dem sicherheitskritischen Prozessor in D1 inhärent und kann daher nicht zur erfinderischen Tätigkeit beitragen.

Auch das weitere Merkmal, wonach die programmierbare Steuerung als rückwirkungsfreie Kombination aus Standard-Steuerungsfunktionen und mindestens einem Sicherheits-Modul ausgeführt ist, drückt lediglich den Zweck der Sicherheitssteuerung aus, dass sicherheitskritische Entscheidungen über den Betrieb einer Maschine zwingend separat und unabhängig von der Steuerung der Maschine im Standardbetrieb zu treffen sind, damit jegliche Auswirkung einer Fehlfunktion der Standardsteuerung auf die von der Sicherheitssteuerung zu treffenden Entscheidungen verhindert wird. Daher ist eine Sicherheitssteuerung zwingend rückwirkungsfrei von der Standardsteuerung aufgebaut; dieses Merkmal kann daher auch nicht zur erfinderischen Tätigkeit beitragen.

3.2 Die Beschwerdeführerin argumentierte, hinsichtlich der geforderten Rückwirkungsfreiheit unterscheide sich die Erfindung von D1 dadurch, dass gemäß der Erfindung jeglicher Einfluss der Standardsteuerung auf die Sicherheitssteuerung vermieden wird und nicht lediglich eine Auswirkung nur auf die von der Sicherheitssteuerung zu treffenden Entscheidungen.

3.3 Dieses Argument überzeugt die Kammer nicht, denn in Anspruch 1 sind die sicherheitstechnischen Merkmale der Sicherheitssteuerung, auf die sich die Rückwirkungsfreiheit bezieht, nicht näher definiert.

3.4 Folglich beruht die Steuerung gemäß dem Anspruch 1 des Hilfsantrags 3 nicht auf einer erfinderischen Tätigkeit (Artikel 52 (1) und 56 EPÜ). Der Hilfsantrag 3 ist somit nicht gewährbar.

4. Hilfsantrag 5 - Zulässigkeit

4.1 Gemäß Artikel 12 (2) der Verfahrensordnung der Beschwerdekammern (VOBK) muss "Die Beschwerdebegründung ... den vollständigen Sachvortrag eines Beteiligten enthalten". Artikel 13 (1) VOBK räumt der Kammer einen Ermessensspielraum ein, "Änderungen des Vorbringens eines Beteiligten nach Einreichung seiner Beschwerdebegründung ... zuzulassen und zu berücksichtigen". Bei der Ausübung ihres Ermessens zur Zulässigkeit von Anträgen, die wie im vorliegenden Fall erst in der mündlichen Verhandlung, also nach der Beschwerdebegründung, eingereicht wurden, berücksichtigt die Kammer gemäß der gefestigten Rechtsprechung der Beschwerdekammern u.a., ob diese Anträge eindeutig gewährbar sind.

4.2 Bezüglich des ersten zusätzlichen Merkmals in Anspruch 1 des Hilfsantrags 5, d.h. der dezentral angeordneten, über einen Automatisierungs- oder Antriebsbus innerhalb der programmierbaren Steuerung ansteuerbaren Ausgänge, bemerkt die Kammer, dass in D1 ein I/O-Controller 17 offenbart ist, welcher einen Ausgang des Mikrocomputersystems darstellt und über den CPU-Bus 18 angesteuert wird. Weiterhin bemerkt die Kammer bezüglich des weiteren Merkmals, wonach die programmierbare Steuerung über den Automatisierungs- oder Antriebsbus mit über den jeweiligen Bus ansteuerbaren Antrieben verbunden ist, dass aus D1 bekannt ist, dass das Mikrocomputersystem über einen I/O-Bus mit externen Geräten (z.B. einem Drucker) verbunden ist und mit diesen über den I/O-Bus kommuniziert (vgl. Spalte 3, Zeilen 40 bis 44).

Die durch die zusätzlichen Merkmale spezifizierten Ausgänge sowie die Verbindung der programmierbaren Steuerung mit externen Geräten scheinen folglich in dem aus D1 bekannten Mikroprozessorsystem in gleicher Weise vorhanden zu sein.

Es ist der Kammer daher nicht ersichtlich, wie die zusätzlichen Merkmale des Anspruchs 1 des Hilfsantrags 5 in Kombination mit den übrigen, bereits in den Punkten 1 und 3 diskutierten Anspruchsmerkmalen zu einer erfinderischen Tätigkeit führen können. Folglich ist der Hilfsantrag 5 nicht eindeutig gewährbar.

4.3 In Ausübung ihres Ermessens gemäß Artikel 13 (1) VOBK wurde der Hilfsantrag 5 von der Kammer daher nicht in das Verfahren zugelassen.

5. Da kein gewährbarer Antrag vorliegt, ist die Beschwerde zurückzuweisen.