DE3889017T2

DE3889017T2 - Datenkartenschaltungen.

Info

Publication number: DE3889017T2
Application number: DE3889017T
Authority: DE
Inventors: Michel Bron; Anil Gercekci; Peter David Hudson
Original assignee: Motorola Inc
Current assignee: NXP USA Inc
Priority date: 1987-06-30
Filing date: 1988-03-07
Publication date: 1994-10-20
Anticipated expiration: 2008-03-08
Also published as: DE3889017D1; GB8715268D0; HK4994A; EP0297209A2; GB2206431A; US4841133A; EP0297209B1; GB2206431B; EP0297209A3

Description

Diese Erfindung betrifft Datenkarten des Typs, bei dem ein integrierter Schaltkreis auf einem Halbleiter-Chip in eine Plastikkarte eingebettet ist, deren Größe ungefähr der Größe der sehr oft verwendeten Kredit- oder Scheckkarten entspricht. Solche Karten können sogenannte "Smart-Cards sein, die einen Mikroprozessor enthalten und für billige Debetkarten als Ersatz für Münzen bei Anwendungen, wie z. B. öffentlichen Telefonen, verwendet werden können.
Solche Karten müssen in der Lage sein, einen angemessenen Schutz gegen Mißbrauch und betrügerische Manipulation zu bieten. Wie zum Beispiel aus einem Artikel mit dem Titel "Intelligent Non-Volatile Memory for Smart Cards" von Robert DeFrancesco und Hartmuk Schrenk in IEEE Transactions on Consumer Electronics Vol. CE-32, Nr. 3, August 1986, Seiten 604-607, hervorgeht, ist das Speichern von Information als eine Ladung in einem nichtflüchtigen Speicher vorteilhaft, da es möglich ist, die Ladungen entweder mikroskopisch oder chemisch zu ermitteln oder sie während der Untersuchung ungültig zu machen.
Die in solchen Karten verwendeten Halbleiter-Chips enthalten im allgemeinen einen nichtflüchtigen elektronischen Zähler, der durch einen binären Aufwärtszähler und ein elektrisch löschbares PROM (EEPROM) gebildet wird. Das EEPROM wird mit einem Zählerwert programmiert, der den Wert der übrig gebliebenen oder benutzten Dienste anzeigt, und kann, wenn erforderlich, auch eine persönliche Identifikationsnummer (PIN) enthalten. Wenn eine neue Karte erstmals ausgegeben wird, wird in das EEPROM auch ein Anfangszählerwert einprogrammiert. Es ist jedoch möglich, daß Karten gestohlen oder anderweitig betrügerich erlangt werden bevor sie initialisiert worden sind, was es dem Betrüger erlaubt, sie mit dem Anfangszählerwert zu programmieren.
US-Patent Nr. 4,105,156 offenbart eine IC-Karte mit einem Speicher zum Speichern eines Schutzcodes, der die Karte nach der Herstellung und vor der Initialisierung schützt. Ein Benutzer gibt Daten in die Karte ein, indem er zuerst die Schutzcodenummer und dann die Daten eingibt. Wenn einmal die Dateneingabe vollendet ist, wird ein Gatter zerstört, so daß der Schutzcode im dem Speicher unzugänglich gespeichert ist, wodurch eine weitere Initialisierung der Karte verhindert wird.
Deutsche Patentanmeldung Nr. DE-A-3523237 und Europäische Patentanmeldung Nr. EP-A-0212615 offenbaren IC-Karten, bei denen Zugang zu einem Speicherbereich erlaubt ist, wenn ein Transportcode, der in der Karte gespeichert ist, mit einem extern angelegten Code übereinstimmt.
Es ist somit eine Aufgabe der vorliegenden Erfindung, ein erhöhtes Maß an Sicherheit gegen den Diebstahl nicht initialisierter Karten bereitzustellen und den für die Karte benötigten Speicherplatz zu verringern.
Folglich stellt die Erfindung eine Datenkarte des Typs bereit, der einen integrierten Schaltkreis auf einem in einer Karte eingebetteten Halbleiter-Chip umfaßt, wobei der Schaltkreis einen nichtflüchtigen Speicher mit einem darin vorprogrammierten Transportcode, Steuerschaltungen zum Steuern des Schaltkreises, einen Vergleicher mit einem ersten Eingang, der mit einem Eingangsknoten des Schaltkreises verbunden ist, um einen extern angelegten Code zu empfangen, und einem zweiten Eingang, der mit dem Speicher verbunden ist, um den extern angelegten und den Transportcode zu vergleichen, und einen ersten irreversiblen Schalter enthält,
wobei der erste irreversible Schalter mit einem Ausgang des Vergleichers verbunden ist, so daß der erste irreversible Schalter betätigt wird, wenn der extern angelegte und der Transportcode übereinstimmen;
wobei die Datenkarte gekennzeichnet ist durch:
eine erste Abtasteinrichtung, die zwischen die Steuerschaltung und den ersten Schalter geschaltet ist, um abzutasten, ob der erste Schalter betätigt worden ist, wodurch der Transportcode aus dem Speicher gelöscht und die Initialisierung des Speichers durch die Steuerschaltung freigegeben wird, wenn der erste Schalter betätigt worden ist,
und
eine Sperreinrichtung, die mit der Steuerschaltung verbunden ist, um zu verhindern, daß der Speicher gelesen oder programmiert wird, wenn der erste Schalter nicht betätigt worden ist.
Die Initialisierung des Speichers, der bevorzugt einen elektrisch löschbaren programmierbaren Nurlesespeicher (EEPROM) umfaßt, kann das Einprogrammieren eines persönlichen Sicherheitscodes und eines Anfangszählerwert in den Speicher einschließen.
Der irreversible Schalter umfaßt vorzugsweise eine Sicherung, die durch Anlegen eines Hochstromimpulses durchgeschmolzen wird.
Es wird natürlich einzusehen sein, daß, obwohl eine solche Datenkarte einen verbesserten Sicherheitsgrad gegen den Diebstahl nicht initialisierter Karten besitzt, wenn solche Karten illegal erlangt werden, es möglich sein kann, zu versuchen, verschiedene extern angelegte Codes einzugeben, bis der Richtige gefunden wird. Obwohl dies, abhängend von der Länge des Codes, eine große Zahl von Versuchen mit sich bringen kann, wäre es wünschenswert, die Sicherheit der Karte noch weiter zu verbessern, um Versuche in großer Zahl zu verhindern.
Folglich kann die Debetkarte weiter einen zweiten irreversiblen Schalter umfassen, vorzugsweise ebenfalls eine Sicherung, der mit einem Ausgang des Vergleichers verbunden ist, so daß der zweite irreversible Schalter betätigt wird, wenn der extern angelegte und der Transportcode nicht übereinstimmen.
Die Debetkarte umfaßt vorzugsweise weiter eine zweite Abtasteinrichtung, die zwischen die Steuerschaltung und den zweiten Schalter geschaltet ist, um abzutasten, ob der zweite Schalter betätigt worden ist, sowie eine Abschalteinrichtung zum Abschalten des Schaltkreises, wenn der zweite Schalter betätigt worden ist.
In einer bevorzugten Ausführung sind der erste und zweite Schalter parallel mit dem Ausgang des Vergleichers verbunden, so daß die Ausgabe eines Signals von dem Vergleicher veranlaßt, daß entweder der erste oder der zweite Schalter betätigt wird.
Beide irreversiblen Schalter sind vorzugsweise Sicherungen mit einer gleichen Empfindlichkeit.
Es ist klar, daß eine Datenkarte mit irreversiblen Schaltern zwischen verschiedenen Betriebsarten während der Herstellung durch Aktivieren der Schalter nicht getestet werden kann, um zu prüfen, ob der Schaltkreis in den verschiedenen Betriebsarten zufriedenstellend arbeitet, da dies die Aktivierung der Schalter beinhalten würde, die dann zerstört werden würden.
Folglich kann die Debetkarte weiter eine Testeinrichtung umfassen, um den Zustand eines irreversiblen Schalters zu simulieren, wodurch der Schaltkreis getestet werden kann, ohne den irreversiblen Schalter zu aktivieren.
In einer bevorzugten Ausführung wird die Testeinrichtung durch ein Testsignal freigegeben, um einen Test zu beginnen, und enthält einen dritten irreversiblen Schalter, vorzugsweise eine Sicherung, die bei Beendigung des Tests betätigt wird. Die Testeinrichtung kann eine Logikschaltung umfassen, die bevorzugt den Zustand des ersten und des zweiten irreversiblen Schalters simuliert.
Die vorliegende Erfindung wird nun ausführlicher als Beispiel unter Bezugnahme auf die Zeichnungen beschrieben. Inhalt der Zeichnungen:
Fig. 1 ist ein Blockschaltbild eines Teils eines integrierten Schaltkreises zur Verwendung in erfindungsgemäßen Debetkarten.
Fig. 2 ist ein Ablaufplan zum Betrieb des Schaltkreises von Fig. 1 im Transportmodus.
Fig. 3 ist ein Ablaufplan zum Betrieb des Schaltkreises von Fig. 1 im Benutzermodus.
Fig. 4 ist eine Ausführung einer Schaltung zum Testen der Funktion des Schaltkreises von Fig. 1.
Fig. 5 ist eine zweite Ausführung einer Schaltung zum Testen der Funktion des Schaltkreises von Fig. 1.
Wie Fig. 1 zeigt, umfaßt ein integrierter Schaltkreis für eine Debetkarte einen nichtflüchtigen Zähler, ein Schieberegister 4 und einen Nurlesespeicher (ROM) 6 oder ein programmierbares ROM. Dieses ROM 6 wird für die Identifikation des Kartentyps gemäß den ISO-Normen verwendet. Der nichtflüchtige Zähler ist aus einem binären Aufwärtszähler 2 ohne Umgriff und aus entsprechenden elektrisch löschbaren PROM-Bits (EEPROM) 8 gebildet. Die Funktion des EEPROM und der übrigen Schaltung erfordert eine Programmsteuerschaltung 10. Die Steuerschaltung hat drei Versorgungseingänge - einen Programmierspannungseingang 12, einen Versorgungsspannungseingang 14 und einen Referenzspannungseingang 16. Er hat ferner drei Anschlüsse - einen Daten-Ein/Ausgabeport 18, einen Takteingang 20 und einen Rückstelleingang 22.
Beim normalen Gebrauch durch einen Benutzer, nachstehend "Benutzermodus" genannt, folgt der Ablauf den im Ablaufdiagramm von Fig. 3 gezeigten Schritten. Wenn die Karte für eine Transaktion in ein Dienstleistungsgerät eingeführt wird, wird der Schaltkreis mit Strom versorgt und zurückgesetzt (40). Die in dem EEPROM 8 gespeicherten Daten werden an den Zähler 2 übertragen (42). Zu dieser Zeit werden auch die in dem ROM 6 gespeicherten Daten an das Schieberegister 4 übertragen, um zu prüfen, ob die Karte für die Transaktion gültig ist.
Wenn diese Prüfung erfolgt ist, kann der Benutzer die Karte kontrollieren (44), um den Wert in dem Zähler 2 über das Schieberegister 4 zu lesen (46), um zu prüfen, ob der mit der Karte maximal verfügbare Kredit schon erreicht worden ist. Wenn noch Kredit vorhanden ist, kann der Benutzer eine Dienstleistung erlangen, wobei der Zähler 2 inkrementiert (48) wird und jedes zusätzliche Bit einem vorbestimmten Geldwert, z. B. einem Cent, entspricht. Nach dem Ende der Transaktion wird, bevor die Stromversorgung abgeschaltet und die Karte herausgezogen wird, der in dem Zähler 2 gespeicherte Wert in das nichtflüchtige EEPROM programmiert (50). Wenn die Karte das nächste Mal benutzt wird, wird der Zähler 2 mit diesem neuen Wert voreingestellt.
Wie aus dem Obigen ersichtlich ist, muß, bevor eine Karte einem Benutzer übergeben werden kann, diese durch Programmieren des EEPROM mit dem Betrag des verfügbaren Kredits initialisiert werden.
Um eine Sicherheit gegen unberechtigte Initialisierung gestohlener Karten in der Zeit zwischen der Herstellung und der berechtigten Initialisierung, d. h. während der Zeit der Lagerung und des Transports, nachstehend Transportmodus, zu bieten, wird in das EEPROM 8 ein Sicherheits- oder Transportcode einprogrammiert. Dieser Transportcode ist am Ausgangsanschluß 18 nicht lesbar und wird während der Initialisierungsphase gelöscht.
Die Prozedur, der zum Starten der Initialisierungsphase zu folgen ist, ist in Fig. 2 der Karte im Transportmodus dargestellt. Nach Einschalten der Stromversorgung und Rückstellen des Schaltkreises (52) wird ein Code in den Schaltkreis eingegeben (54) und durch einen Vergleicher 24 mit dem Transportcode verglichen (56). Wenn die beiden Codes übereinstimmen, wird ein mit dem Ausgang des Vergleichers 24 verbundener irreversibler Schalter in Form einer Sicherung 26 durchgeschmolzen (58). Die Abtasteinrichtung 32 ermittelt, ob die Sicherung 26 durchgeschmolzen ist oder nicht und leitet das Ergebnis an die Steuerschaltung 10.
Wenn ermittelt wird, daß die Sicherung 26 durchgeschmolzen worden ist, d. h. daß der richtige Code eingegeben worden ist, wird der Transportcode gelöscht und neue Daten zur Initialisierung der Karte werden eingegeben (60) und in das EEPROM 8 einprogrammiert (62). Die Karte ist nun im Benutzermodus und beim nächsten Anlegen der Stromversorgung wird der Funktionsablauf dem in Fig. 3 gezeigten folgen.
Durch Verwendung der gleichen Speicherstellen sowohl für den Transportcode als auch später für den Zählerwert der Karte im Benutzermodus wird kein weiterer Speicherplatz für die Karten benötigt, während eine größere Sicherheit geboten wird. Diese Doppelnutzung erlaubt somit einen dichten Entwurf des Schaltkreises auf dem Halbleiterchip und verhindert auch die Entdeckung des Transportcodes, sobald eine Karte für die öffentliche Verwendung initialisiert worden ist, da er gelöscht und überschrieben wird.
Es wird einleuchten, daß, wenn solche Karten, wie oben beschrieben, im Transportmodus gestohlen werden, durch Betrüger noch verschiedene Versuche unternommen werden könnten, um die Codes passend zu machen. Deshalb ist eine zweite Sicherung 28 vorgesehen, ebenfalls mit dem Ausgang des Vergleichers 24 verbunden, die durchgeschmolzen (64) wird, wenn der eingegebene Code und der Transportcode nicht übereinstimmen. In diesem Fall ermittelt die Abtasteinrichtung 34, daß die Sicherung 28 durchgeschmolzen worden ist, und weiteres Eingeben und Vergleichen von Codes mit dem gespeicherten Transportcode wird durch die Sperreinrichtung 30 blockiert, so daß sich die Karte in einem Sperrmodus befindet.
Es ist wichtig, daß die Funktion des Chips im Transportmodus symmetrisch ist, ganz gleich welche der beiden Sicherungen durchgeschmolzen ist. Dies soll einem Betrüger zuvorkommen, der versucht, das Durchschmelzen der Sicherung 28 nach Eingeben eines falschen Codes zu vermeiden, indem er z. B. den an den Chip angelegten Strom oder die Spannung begrenzt, wenn die Sicherung 28 durchgeschmolzen sein sollte. Deshalb sind beide Sicherungen 26 und 28 identisch, benötigen den gleichen Stromwert zu ihrem Durchschmelzen und sind parallel mit dem Ausgang des Vergleichers und mit der gleichen Versorgungsspannung verbunden, so daß es unmöglich ist, auch bei Veränderungen in der Versorgungsspannung, einen der Sicherungsschaltungsausgänge zu ändern, ohne den anderen zu ändern. Aus den gleichen Gründen sind auch beide Abtasteinrichtungen 32 und 34 identisch.
Außerdem darf die Karte nur vom Transportmodus in den Benutzermodus gehen, wenn die Sicherung 26 durchgeschmolzen und die Sicherung 28 nicht durchgeschmolzen ist (68). Wenn dies nicht der Fall ist, z. B. wenn beide Sicherungen irgendwie durchgeschmolzen sind, wird die Karte ebenfalls in den Sperrmodus gebracht. Die Karte ist somit im Transportmodus gegen unberechtigte Initialisierung gesichert, da nur ein Versuch beim Eingeben eines Codes erlaubt ist, um den Transportcode zu treffen.
Mithin sind drei verschiedene Betriebsarten für die Karte vorgeschlagen worden - der Benutzermodus, der Transportmodus und der Sperrmodus. In jeder dieser Betriebsarten sind verschiedene Funktionen nicht verfügbar. Um die Karte während oder nach der Herstellung zu testen, muß es möglich sein, sicherzustellen, daß das Durchschmelzen der einzelnen Sicherung den Modus der Karte tatsächlich ändern und die mit dem einzelnen Modus verbundenen einzelnen Funktionen erlauben oder sperren wird. Sicher kann dies nicht durch tatsächliches Durchschmelzen der Sicherung getestet werden, da dies nicht umkehrbar ist. Deshalb ist ein weiterer, Testmodus genannter Modus vorgesehen, der von den anderen Modi durch eine weitere Sicherung, die bei Vollendung des Tests durchgeschmolzen wird, getrennt ist.
Der Testmodus wird durch eine Logikschaltung bereitgestellt, die die anderen Modi durch Einklinken von Steuer- und Testsignalen simuliert und sie anstelle des wirklichen Zustands der Sicherungen benutzt.
Fig. 4 zeigt eine Ausführung einer solchen Logikschaltung. In dieser Schaltung wird ein Testsignal an den Knoten 70, ein Daten- oder Steuersignal an Knoten 72 und ein Taktsignal an den Knoten 74 angelegt. Die Sicherungen 26 und 28 sind als zwischen VDD und Masse geschaltet dargestellt. Die Signale von den Sicherungen 26 und 28 sind über jeweilige Inverter 76 und 78 mit jeweiligen UND-Gattern 80 und 82 verbunden, deren andere Eingänge über einen Inverter 84 mit dem Testsignal von Knoten 70 verbunden sind. Das nicht invertierte Testsignal von Knoten 70 ist mit den ersten Eingängen der jeweiligen UND-Gatter 86 und 88 verbunden, deren andere Eingänge jeweils mit den Ausgängen der Flipflops 90 und 92 verbunden sind. Die Flipflops werden von den Ausgängen der UND-Gatter 94 und 96 gesetzt, die als Eingänge die Test- und Datensignale bzw. die Test- und Taktsignale haben, so daß ein Flipflop 90 den Zustand der Sicherung 26 und das andere Flipflop 92 den Zustand der Sicherung 28 simuliert.
Indem die Ausgänge der UND-Gatter 80, 86 und 82, 88 jeweils den ODER- Gattern 100 und 102 zugeführt werden, hängt der Ausgang der ODER- Gatter nur von dem Zustand der Flipflops 90 und 92, wenn ein Testsignal vorhanden ist, oder nur von dem Zustand der Sicherungen 26 und 28 ab, wenn kein Testsignal vorhanden ist. Diese Ausgänge werden dann von den betreffenden Abtasteinrichtungen 32 und 34 abgetastet. Bei Ende des Tests wird eine zwischen den Knoten 70 und das UND-Gatter 94 geschaltete Sicherung (nicht gezeigt) durchgeschmolzen, so daß der Ausgang der ODER-Gatter 100 und 102 einzig vom Zustand der Sicherungen 26 und 28 abhängt.
Eine andere Ausführung einer geeigneten Logikschaltung zeigt Fig. 5, wo die UND-Gatter 80 und 82 und die ODER-Gatter 100 und 102 für jede Sicherung durch ein einziges EXKLUSIV-ODER-Gatter 104 und 106 ersetzt sind. Alle anderen Teile dieser Schaltung sind die gleichen wie in Fig. 4 gezeigt, und die Ausgänge von den EXKLUSIV-ODER-Gattern 104 und 106 sind die gleichen wie von den ODER-Gattern 100 und 102.
Es wird einleuchtend sein, daß, obwohl ein serielles Anlegen der Testdaten an die Flipflops dargestellt ist, abhängig von der Verfügbarkeit der Schaltungseingänge ein paralleles Anlegen ebenfalls möglich ist. Es wird ebenfalls einleuchten, daß, obwohl nur zwei Logikschaltungen zur Simulation des Zustands der Sicherungen dargestellt sind, verschiedene andere Ausführungen ebenfalls möglich sind.

Claims

1. Datenkarte des Typs, der einen integrierten Schaltkreis auf einem in einer Karte eingebetteten Halbleiter-Chip umfaßt, wobei der Schaltkreis einen nichtflüchtigen Speicher (8) mit einem darin vorprogrammierten Transportcode, eine Steuerschaltung (10) zum Steuern des Schaltkreises, einen Vergleicher (24) mit einem ersten Eingang, der mit einem Eingangsknoten des Schaltkreises verbunden ist, um einen extern angelegten Code zu empfangen, und einem zweiten Eingang, der mit dem Speicher (8) verbunden ist, um den extern angelegten und den Transportcode zu vergleichen, und einen ersten irreversiblen Schalter (26) enthält,

wobei der erste irreversible Schalter (26) mit einem Ausgang des Vergleichers (24) verbunden ist, so daß der erste irreversible Schalter (26) betätigt wird, wenn der extern angelegte und der Transportcode übereinstimmen;

wobei die Datenkarte gekennzeichnet ist durch:

eine erste Abtasteinrichtung (32), die zwischen die Steuerschaltung (10) und den ersten Schalter (26) geschaltet ist, um abzutasten, ob der erste Schalter (26) betätigt worden ist, wodurch der Transportcode aus dem Speicher (8) gelöscht und die Initialisierung des Speichers (8) durch die Steuerschaltung (10) freigegeben wird, wenn der erste Schalter (26) betätigt worden ist, und

eine Sperreinrichtung (30), die mit der Steuerschaltung (10) verbunden ist, um zu verhindern, daß der Speicher (8) gelesen oder programmiert wird, wenn der erste Schalter (26) nicht betätigt worden ist.

2. Datenkarte nach Anspruch 1, weiter umfassend einen zweiten irreversiblen Schalter (28), der mit einem Ausgang des Vergleichers (24) verbunden ist, so daß der zweite irreversible Schalter (28) betätigt wird, wenn der extern angelegte und der Transportcode nicht übereinstimmen.

3. Datenkarte nach Anspruch 2, weiter umfassend eine zweite Abtasteinrichtung (34), die zwischen die Steuerschaltung (10) und den zweiten Schalter (28) geschaltet ist, um abzutasten, ob der zweite Schalter betätigt worden ist, und eine Abschalteinrichtung, die mit der Steuerschaltung verbunden ist, um den Schaltkreis unbrauchbar zu machen, wenn der zweite Schalter betätigt worden ist.

4. Datenkarte nach Anspruch 2 oder 3, bei der der erste (26) und der zweite (28) Schalter parallel mit dem Ausgang des Vergleichers verbunden sind, so daß die Ausgabe eines Signals von dem Vergleicher veranlaßt, daß entweder der erste oder der zweite Schalter betätigt wird.

5. Datenkarte nach einem der vorangehenden Ansprüche, bei der der erste irreversible Schalter (26) eine Sicherung ist.

6. Datenkarte nach einem der Ansprüche 2 bis 5, bei der der zweite irreversible Schalter (28) eine Sicherung ist.

7. Datenkarte nach Anspruch 6, bei der der erste und der zweite irreversible Schalter Sicherungen mit der gleichen Empfindlichkeit sind, so daß der gleiche Strom erforderlich ist, um jede Sicherung durchzuschmelzen.

8. Datenkarte nach einem der vorangehenden Ansprüche, weiter umfassend eine Testeinrichtung, um den Zustand des irreversiblen Schalters zu simulieren, wodurch der Schaltkreis getestet werden kann, ohne den irreversiblen Schalter zu aktivieren.

9. Datenkarte nach Anspruch 8, bei der die Testeinrichtung ein Flipflop (90), dessen Ausgang mit einem ersten Eingang eines UND-Gatters (86) verbunden ist, wobei ein zweiter Eingang des UND-Gatters geschaltet ist, um ein Testsignal (TEST) zu empfangen, und ein EXKLUSIV-ODER- Gatter (104) umfaßt, dessen erster Eingang mit dem Ausgang des UND- Gatters (86) und dessen zweiter Eingang mit dem irreversiblen Schalter (26) verbunden ist.

10. Datenkarte nach Anspruch 8, bei der die Testeinrichtung ein Flipflop (90), dessen Ausgang mit einem ersten Eingang eines ersten UND- Gatters (86) verbunden ist, wobei ein zweiter Eingang des ersten UND- Gatters (86) geschaltet ist, um ein Testsignal (TEST) zu empfangen, ein zweites UND-Gatter (80), dessen erster Eingang mit dem irreversiblen Schalter (26) verbunden ist, und dessen zweiter Eingang das Testsignal über einen Inverter (84) empfängt, und ein ODER-Gatter (100) umfaßt, das geschaltet ist, um an seinen Eingängen die Ausgänge der zwei UND-Gatter zu empfangen.

11. Datenkarte nach einem der Ansprüche 9 bis 10, umfassend eine erste und zweite Testeinrichtung, um den Zustand des ersten bzw. zweiten irreversiblen Schalters zu simulieren.

12. Datenkarte nach einem der Ansprüche 8 bis 11, bei der die Testeinrichtung einen dritten irreversiblen Schalter enthält, der bei Abschluß des Tests betätigt wird.