Keyless Go

Keyless Go beschreibt ein automatisches System, ein Fahrzeug ohne aktive Benutzung eines Autoschlüssels (also „keyless“, zu deutsch „schlüssellos“) zu entriegeln und durch das bloße Betätigen des Startknopfes zu starten. Ermöglicht wird das durch einen Keyless-Go-Schlüssel mit Chip, den der Fahrzeughalter mit sich führt. „KEYLESS GO“ ist eine eingetragene Wortmarke der Daimler AG.^[1]

Funktionsweise

Einzelne Hardware-Blöcke im Keyless-Entry/Go-Steuergerät

Sobald sich eine Hand dem Türgriff eines mit Keyless Go ausgestatteten Fahrzeuges bis auf wenige Zentimeter nähert, wird das System mit Hilfe eines kapazitiven oder optischen Näherungssensors aus dem sogenannten „Sleep-Mode“ geweckt und über mehrere im Fahrzeug verteilte Antennen ein codiertes Anfragesignal mit einer LF-Frequenz von 125 bzw. 130 kHz (Audi: 20 kHz) ausgesendet. Das System geht darauf in einen Empfangsmodus im UHF-Bereich (Europa: 433 MHz bzw. 868 MHz, Japan und USA: 315 MHz) und wartet auf Bestätigung. Ist der Schlüssel mit dem RFID-Transponder in Reichweite, empfängt er auf 125 kHz das Signal, decodiert es und sendet es mit einer neuen Codierung im UHF-Frequenzband wieder aus. Im Fahrzeug decodiert es wiederum ein Steuergerät. Da das Keyless-Go-Steuergerät beide Codiertabellen kennt, kann es die eigene ursprüngliche Aussendung mit dem gerade empfangenen Signal vergleichen. Gibt es innerhalb einer definierten Zeit keine korrekte Antwort, passiert nichts und das System schaltet wieder auf Standby. Ein Ziehen des Türgriffes hat keine Wirkung, da der Zustand des Türschlosses vom Keyless-Go-System nicht verändert wurde. Stimmen jedoch beide Codes überein, bewirkt das eine Authentisierung, das System gibt das Schloss frei, und ein Ziehen des Griffes öffnet die Tür. Alternativ kann das Fahrzeug auch mit der Fernbedienung geöffnet werden. Zudem gibt es einen mechanischen Notschlüssel, mit dem sich zumindest die Fahrertür öffnen lässt. Ein Fahrzeugschlüssel eines Keyless-Fahrzeugs besteht daher aus dem mechanischen Schlüssel, der Fernbedienung und einem RFID-Transponder. Bei aktuellen Fahrzeugen ist der elektronische Schlüssel sowohl als Fernbedienung als auch als Transponder gestaltet, ein mechanischer Notschlüssel dient nur noch als Befestigung am Schlüsselbund.

Der Motorstartvorgang entspricht im Wesentlichen dem des Türentriegelungsvorgangs, nur dass hier der Motorstart-/Stoppknopf betätigt wird. Entscheidend für die Funktion ist, dass das Keyless-Go-Steuergerät den Transponder als im Fahrzeug befindlich erkannt hat. In der Entwicklungsphase ist die Innen-Außen-Abgrenzung eines der schwierigsten Unterfangen. So sollte der Endbenutzer den Schlüssel überall innerhalb des Fahrzeugs ablegen können, wobei der Schlüssel stets innen erkannt werden muss. Außerdem muss dafür Sorge getragen werden, dass der Schlüssel außerhalb des Fahrzeugs überall als außen erkannt wird und sich die Reichweite nicht zu stark erhöht.

Sofern es der Besitzer wünscht, verriegelt sich das Fahrzeug automatisch, sobald sich der Transponder außerhalb einer bestimmten Reichweite befindet. Entsprechend den im Fahrzeug vorgegebenen Bedingungen für Größe, Position, Stromverbrauch von Antennen und Elektronik sowie zulässige Sendeenergie sind die erzielten Reichweiten gering. Dieser Effekt ist aus Sicherheitsgründen ausdrücklich erwünscht. Dieses Bedienszenario ist die bei Keyless-Go-Systemen umstrittenste Funktion; sie ist deshalb abschaltbar bzw. wird von vielen Herstellern nicht angeboten.

Bei vielen Fahrzeugen (z. B. Mercedes-Benz S-Klasse, Toyota Prius, VW Phaeton) ist zum Verriegeln des Fahrzeuges ein kleiner Knopf oder Sensor zu betätigen, der sich außen am Türgriff befindet. Ein Blinkerleuchten bestätigt, wie bei der üblichen Verriegelung, den Verriegelungsvorgang.

Sonderfälle

Keyless Go soll in der Lage sein, Sonderfälle zu erkennen und entsprechend darauf zu reagieren. Standardbeispiele sind:

• Transponder befindet sich im Kofferraum
• Mehrere Transponder befinden sich im Fahrzeug
• Transponder geht während der Fahrt verloren
• Transponderbatterie leer (Limp-Home)
• Extrem schnelles Ziehen des Türgriffes (Überlistung der Annäherungserkennung)
• Nachträgliche Neucodierung der Transponder nach Verlust oder Diebstahl
• Benutzer prüft, ob die Türen tatsächlich automatisch verriegelt werden^[2][3]

Problemfälle

Es ist enorm wichtig, dass das Fahrzeug nicht gestartet werden kann, wenn der Keyless-Go-Schlüssel sich außerhalb des Fahrzeugs befindet. Hier wurde eine maximale Überlappung zwischen detektiertem Innen- und Außenbereich von 10 cm (gemessen an der Seitenscheibe/Frontscheibe) definiert, d.h. oberhalb von 10 cm ist der Schlüssel entweder definitiv innen oder außen, unterhalb von 10 cm („Grauzone“) darf die Positionserkennung des Transponderschlüssel falsch sein. So ist sichergestellt, dass in Alltagssituationen der Fahrer (vorausgesetzt er trägt den Transponder bei sich) z.B. sein Fahrzeug betanken und das im Innenraum sitzende Kind nicht den Motor starten kann.

Die Reichweite der beim Keyless Go verwendeten LF-Antennen ist begrenzt. Je nach Fahrzeuginnenraum kann es somit vorkommen, dass der Transponder vom Keyless-System als „nicht im Fahrzeug vorhanden“ detektiert wird, obwohl er sich aber tatsächlich dort befindet. Dieses Phänomen des „toten Winkels“ erklärt sich indirekt aus dem vorhergehenden Abschnitt: Ein Keyless-System ist in der Regel optimiert auf sein Verhalten im Grenzbereich an den Seitenscheiben (bzw. Frontscheibe) und natürlich den „Alltagspositionen“ im normalen Fahrbetrieb. Aufgrund wirtschaftlicher Aufwand-/Nutzenabschätzungen wird dabei auf eine perfekte Detektion im „Grenzbereich“ verzichtet. Insbesondere bei außergewöhnlichen Beladungszuständen des Fahrzeugs (Ladung mit hohem Metallvolumenanteil) werden die vom Steuergerät ausgesendeten LF-Frequenzen stark reflektiert und/oder absorbiert, so dass hier eventuell Fehldetektionen vorkommen können.

Sicherheit

Funktionale Sicherheit

Bedingt durch die begrenzte zulässige Sendeleistung liegt die Reichweite bei 125 kHz nur bei maximal 2 Metern und bei 433 MHz bei einigen 10 Metern. Eine naheliegende Idee für Fahrzeugdiebe wäre es demzufolge, die Reichweite des Keyless Go für ihre Zwecke mit Hilfe von zwei Relaisstationen auf das erforderliche Maß zu erhöhen. Dieses Szenario nennt sich „Relay-Station-Attack“ RSA.

Große Variante der RSA

Ein Angreifer mit der ersten Relaisstation befindet sich in der Nähe des Fahrzeugs und ein zweiter Angreifer mit einer zweiten Relaisstation hält sich in unmittelbarer Nähe des rechtmäßigen Transponderbesitzers auf. Der Angriff würde also in der Form erfolgen, dass die große räumliche Distanz zwischen dem rechtmäßigem Besitzer und dem Fahrzeug mit Hilfe der Relaisstationstechnik elektronisch verkleinert würde. Sowohl dem Keyless-Go-Steuergerät im Fahrzeug, als auch dem Transponder in der Nähe seines Besitzers würde eine scheinbar normale Umgebung „vorgegaukelt“.

Kleine Variante der RSA

Wie oben, nur mit dem Unterschied, dass der 433-MHz-UHF-Rückkanal des Transponders nicht über die Relaisstation umgesetzt, sondern vom Fahrzeug direkt empfangen wird. Demzufolge reduziert sich die maximale Reichweite der Attacke auf wenige 10 Meter, während sie bei der großen Variante theoretisch nahezu beliebig groß sein könnte. Der Vorteil (für den Autodieb) ist hier der reduzierte technische Aufwand.

Maßnahmen gegen Relay-Station-Attack Angriffe

Herstellerabhängig gibt es bei Keyless-Go-Systemen unter Einbeziehung der Thatcham-Kriterien^[4] mehrere Ansätze, das zu verhindern oder zumindest zu erschweren. Die bekanntesten sind:

• Messung der Gruppenlaufzeit und Erkennung bei Überschreitung^[5]
• Zweitonverfahren^[6] über Intermodulationsmessung und Intercept Point dritter Ordnung: Erkennung illegaler Intermodulationsprodukte im Nutzkanal
• Miteinbeziehung der empfangenen elektrischen Feldstärke im Transponder
• Messung der Anschwingzeit des 125-kHz-Schwingkreises
• Einsatz komplexer Modulationsarten (z. B. Quadraturamplitudenmodulation), die eine einfache Relaisstation nicht demodulieren/modulieren kann

Systemsicherheit

Keyless Go kommuniziert mit weiteren Geräten, um deren Funktionen freizugeben oder zu sperren. Je nach Fahrzeugtyp sind das folgende Systeme^[7]:

• ELV: Elektronische Lenkradsperre (engl. ESCL Electric Steering Column Lock)
• EZS: Elektronisches Zündschloss (engl. EIS Electronic Ignition Switch)
• Zentralverriegelung, Wegfahrsperre und Alarmanlage
• Motorsteuergerät
• Body Control Unit, Türsteuergerät, Komfortsteuergerät

Weitere Produktnamen

Für Keyless Go existieren noch weitere Produktnamen. Hier eine Auswahl der im deutschsprachigen Raum bekanntesten:

• CID Customer Identification Device (Lancia)
• Emotion Control Unit ECU (Aston Martin), optional für 22.000 € in einer Jaeger LeCoultre-Uhr
• Komfortschlüssel (Audi), bis Mai 2008 „Advanced Key“
• Keyless Access oder KESSY (Volkswagen, Skoda, Subaru, Hella)
• Keycard Handsfree / SES Smart Entry System (Renault)
• KeyFree Power (Ford)
• Keyless Drive / Keyless Vehicle (Volvo)
• Keyless Start (Suzuki)
• Komfortzugang bzw. Comfort Access (BMW)
• LogIn (Mazda)
• PASE Passive Start Entry System (Siemens VDO)
• PEPS Passive Entry Passive Start / Open & Start (Opel, ContiTemic & Hella)
• PEG Passive Entry Go (DaimlerChrysler, Hella)
• PE/PG Passive Entry Passive Go und CE/CG Comfort Entry Comfort Go (Bosch)
• Smart Entry & Start (Toyota)
• Smart Key (KIA)

Keyless Entry bzw. Keyless Go ist nicht zu verwechseln mit Remote Keyless Entry, was die englischsprachige Bezeichnung für eine Funk-Fernbedienung ist.

Geschichte

Erstes Keyless-Entry/Go-Steuergerät der Serie 1999 für die Mercedes-Benz S-Klasse

Entwickelt und erstmals im April 1999 in Serie eingeführt wurde Keyless Go durch Mercedes-Benz und Siemens VDO in den Modellen der S-Klasse.

Ausblick

Die Designziele der verschiedenen Automobilhersteller sind nie einheitlich. Hier eine lose Aufzählung einiger unterschiedlicher Tendenzen in (S)erien- und (V)orentwicklung.

• S: Dezentralisierung einiger Baugruppen zur besseren Skalierung, d. h. Baugruppen können sowohl in Keyless-Go-Fahrzeugen als auch in solchen ohne Keyless Go eingesetzt werden. Beispielsweise kann derselbe dezentrale UHF-Empfänger ohne Modifikation im Basismodell ohne Keyless Go, wie auch im Modell mit Keyless-Go-Sonderausstattung eingesetzt werden.
• S: Reduktion der Anzahl der verwendeten Antennen, um bei geringem Komfortverlust auch Kleinwagen mit einem Keyless-Go-System ausstatten zu können.
• V: Einsatz biometrischer Verfahren zur Authentisierung (Sicherheits und Personalisierung)
• V: Kommunikation zwischen Transponder und Keyless-Steuergerät erfolgt über Frequenzen im Mikrowellenbereich. Ähnlich der Physik von Radaranlagen^[5] würde eine genaue Abstandsmessung zwischen Transponder und Fahrzeug eine Komfortsteuerung des Systems ergeben, z.B. definierbare Zonen um das Fahrzeug.
• V: Ersatz der magnetischen Antennen durch kapazitive Flächenstrahler, welche die Wirkung des elektrischen Feldes ausnutzen (Kostenminimierung).

Literatur

• Schmitz/Roser (Bosch): A New State-of-the-Art Keyless Entry System. SAE-Papers, Stuttgart 1998, SAE 980381.
• Schmitz/Kruppa/Crowhurst (Bosch): Safety and Security Considerations of New Closure Systems. SAE-Papers, Wuppertal/Stuttgart/Clayton (AUS) 2000, SAE 2000-01-1304.

Belege

1. ↑ Keyless Go in der Registrierauskunft des Deutschen Patent- und Markenamtes (DPMA)
2. ↑ Sobald ein Fahrzeug wie gewünscht verriegelt wurde, würde ein Überprüfen der Verriegelung durch Ziehen des Türgriffes genau das Gegenteil bewirken: Das Fahrzeug würde augenblicklich automatisch entriegeln. Bei Renault gibt es daher ein Zeitfenster von drei Sekunden nach Verriegelung, um das zu prüfen, ohne dass entriegelt wird
3. ↑ Möchte ein Benutzer die gewünschte automatische Verriegelung durch Beobachtung überprüfen, befindet er sich dabei zwangsweise zu nah am Fahrzeug: Das System würde die automatische Verriegelung nicht aktivieren.
4. ↑ Die Thatcham-Kriterien (Englisch) sind eigens von der Versicherungsindustrie aufgestellte Bedingungen für sichere Fahrzeuge, die die gesetzlichen Mindestanforderungen übertreffen.
5. ↑ ^{a b} Da sich Funk- und Radarwellen per Lichtgeschwindigkeit von etwa 300.000 km/s ausbreiten, müsste eine Auswerteelektronik, welche 1 Meter Laufzeitunterschied erkennen wollte, eine Auflösung von etwa 3,3 Nanosekunden besitzen. Andererseits darf sie sich nicht durch natürlich bedingte Laufzeitverlängerungen, wie z. B. Reflexionen an einem Metallgaragentor, negativ beeinflussen lassen.
6. ↑ Bei einem Relaisstationsangriff ergeben sich innerhalb der Relaisstation aus den zwei erzeugten Ursprungsfrequenzen f1 und f2 die Mischprodukte f3 = |2·f1 - f2| und f4 = |f1 - 2·f2|, welche ohne Relaisstation nicht vorhanden wären. Die neu entstandenen Frequenzen f3 und f4 sind dann zwangsläufig innerhalb des Nutzkanals des Empfängers und können somit gemessen werden. Ein Angreifer würde anhand der Existenz von f3 und f4 erkannt werden, während bei einem regulären Bedienvorgang f3 und f4 nicht vorhanden wären.
7. ↑ Nicht alle Kombinationen sind sinnvoll, deshalb erfolgt hier nur eine lose Aufzählung.

Weblinks

• Resistive/Capacitive Identification for Keyless Go (Englisch)