Полагаю, что есть какой-то другой путь решения проблемы, не связанный со снятием микросхемы EEPROM, внесением изменений в дамп и т.д., так как в интернете эта неисправность особо не обсуждается. Но работа была произведена. Получен положительный результат. Возможно, собранная информация кому-то чем-то поможет.

Данные по блоку:

| WABCO 115 34/07       | CONTROL UNIT ELC  |
| 051872  446 170 216 0 | SCANIA            |
| ECAS 6x2/BUS          | PART NO.: 1851677 |
| 24V e1 032063         | HW NO.: 1759698   |
|                       | 6870              | 

В чем проблема?

После ремонта тягача потребовалась настройка уровня подвески. Это делается в SDP3 за 5 шагов:

1. Перейти в режим калибровки и согласиться на её проведение;
2. Установить ходовой уровень (средний) подвески;
3. Установить максимальный уровень подвески;
4. Установить минимальный уровень подвески;
5. Рассчитать калибровочное значение и записать его в EEPROM.

На этапе 1 в EEPROM удаляется значение предыдущей калибровки. Если после этого процесс прервется или завершится с ошибкой, то возникнет описываемая проблема. На этапах 2-4 в EEPROM записываются показания с датчиков уровня подвески: один передний и один задний. На этапе 5, на основании полученных значений, производится расчет нового калибровочного коэффициента (тот, что был удален на этапе 1).

Если подвеска имеет какие-то неисправности, либо есть неисправность датчиков, либо нарушен порядок действий на этапах 2-4, то на этапе 5 будет рассчитан некорректный коэффициент, имеющий отрицательное значение. Он будет сохранен в EEPROM, и после этого повторная калибровка становится невозможной, по крайней мере через то же самое меню в SDP3.

На фото представлено окно, на котором можно увидеть неисправность. Вместо значений “-36” и “-34” мм отображается “-300” (вроде был) и шкала имеет красный фон. Слева, возле текстового описания, отображается по одному знаку вопроса. В логах диагностики фиксируется ошибка по блоку ELC. Если отключить датчик уровня, то возле знака вопроса появляется еще какой-то значок, вроде желтый треугольник.

Значение не изменяется при изменении уровня подвески, и это может вызвать подозрения на датчики уровня. В моём случае был нарушен регламент проведения процедуры калибровки. На этапе 3 был установлен минимальный уровень, и этот же минимальный уровень был записан на этапе 4. (об это ниже)

Как решить?

Нужно изменить значение калибровки на корректное. Это позволит снова войти в режим калибровки в программе SDP3.

На основании анализа дампов EEPROM и экспериментов с режимом калибровки была получена нужная информация.

Ниже показаны первые 128 байт из 2 КБ. (используется AT93C86). Дамп рабочий.

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F
00000000   00 86 0B 56 13 F8 0C EA  15 05 0F 64 19 00 7D 00    † V ш к   d  } 
00000010   7D C4 86 24 77 00 7D EB  06 12 CE 03 16 05 CF 0C   }Д†$w }л  О   П 
00000020   9A 15 B4 0E 14 19 00 7D  00 7D C4 86 24 77 00 7D   љ ґ    } }Д†$w }
00000030   D4 06 0C 17 FF FF 2C 1A  68 02 9C 19 FF FF B4 02   Ф   яя, h њ яяґ 
00000040   FF FF 27 06 FF FF 0E 05  FF FF 4B 05 8B 06 5D 04   яя' яя  яяK ‹ ] 
00000050   96 04 00 00 00 00 02 05  D7 04 BE 03 4B 04 EE 02   –       Ч ѕ K о 
00000060   CE 04 72 24 18 05 10 27  F3 05 54 2E 37 03 CB 03   О r$   'у T.7 Л 
00000070   B8 24 13 04 10 27 38 05  22 2E 86 02 00 00 00 00   ё$   '8 ".†     

Данные по адресам 0x4E…0x5F относятся к калибровке подвески. Формат int16, little-endian.

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F
00000040                                              5D 04   яя' яя  яяK ‹ ] 
00000050   96 04 00 00 00 00 02 05  D7 04 BE 03 4B 04 EE 02   –       Ч ѕ K о 

Запишу в столбец и переверну байты.

(Датчик 1 - вероятно это передний, 2 - задний. Отдельно я это не проверял. )

Значение по адресу 0x5E-0x5F = 0x02EE. Положительное. Это данные из успешно откалиброванной подвески.

Теперь данные из дампа с которым пришел блок. Дамп не рабочий.

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000040                                              A4 04                 ¤ 
00000050   92 04 00 00 00 00 F4 03  48 04 F4 03 48 04 3A FC   ’     ô H ô H :ü

Запишу в столбец и переверну байты.

Значение по адресам 0x5E, 0x5F = 0xFC3A. Старший бит равен 1, число отрицательное. Записано в дополнительном коде. По модулю это будет 0x3C6 или 966 в десятичной системе. То есть, как-то совпадает с рабочим значением, только вот знак минус.

Видно, что для верхнего и нижнего уровней установлено одно и то же значение, и оно меньше, чем ходовой уровень. Отсюда я предположил, что это стало причиной возникновения проблемы.

Рекомендации по ремонту

1. Считать EEPROM;
2. Сохранить копию оригинала;
3. Посмотреть что по адресу 0x5F. Если значение 0xF в старшей тетраде, или старший бит установлен, то “отремонтировать” EEPROM с помощью значений из рабочего дампа. Переписать только калибровочный коэффициент или все 18 байт;
4. Провести повторную калибровку;
5. В случае неудачи, понаблюдать за значениями уровней датчиков:
   • Они должны иметь такой же диапазон занчений как в рабочем дампе 900…1500 (dec);
   • Должно сохраняться неравенство между ходовым уровнем, верхним, нижним;
6. Если значения уровней не в указанном диапазоне (900…1500) или не различаются (различаются на малую величину), то проверить работоспособность датчиков;

При некоторых значениях, которые я хотел проверить и заливал их в EEPROM, подвеска жила своей жизнью. Поднималась, опускалась, задиралась морда. Ничего такого, просто надо быть готовым.

Может быть что после прошивки EEPROM с непонятными, но корректными значениями, на шкале уровней подвески будут значения не соответсвующие дейтсивтельности. Например, на горизонтально поднятой подвеске будет “200” мм перед и “-150” мм зад. После успешной калибровки это пройдет.

Микросхему EEPROM можно найти здесь:

А это обратная сторона платы.

Автоматчиески установился ходовой уровень. Все в порядке.

Если у вас остались вопросы или вы хотите предложить отремонтировать подобное оборудование - пишите

• Alarm No. 12: Memory error 1: A CPU error or an internal memory error was detected during the power ON self-check.
• Alarm No. 53: Excessive error 2: A difference between the actual and theoretical motor positions during servo OFF exceeded the setting value.

В данном случае ошибка 53 была следствием ошибки 12. Для поиска и устранения неисправности пришлось прибегнуть к исследованию прошивки. Аппарат построен на TMS320C6712D. Прошивка храниться во внешней ПЗУ S29AL004D70TFI02, для хранения настроек используется EEPROM AT25020.

Неисправность была устранена. Попутно, в ходе реверс-инжиниринга исполняемого кода, был обнаружен Offline Monitor доступный через последовательный порт RS422 выведенный на разъем CN4.

Статья состоит из трех разделов:

• Возможности программы Offline Monitor;
• Устранение неисправности;
• Некоторые детали которые могут пригодиться тем кто будет исследовать контроллеры из серии Mitsubishi MDS-R;

Monitor

Монитор позволяет читать/писать все доступные области памяти (flash/ram/eeprom/bus_io), получать диагностические сообщения, запускать внутренние тесты. Поддерживает 38 команд. Распиновка разъема для подключения приведена здесь. Для входа в режим монитора достаточно передать любой символ. При успешном переходе в этот режим, на 7seg индикаторе отобразиться надпись “On”.

Для некоторых команд привожу описание, примеры использования и вывод.

mm

>mm
00000000 : 802A  ? 
00000002 : 0100  ? 
00000004 : 006A  ? 
00000006 : 0148  ? 
00000008 : 0362  ? M

md

>md 865c
0000865C : 520A 4D41 4F20 0A4B - 4F52 204D 4B4F 450A           .RAM OK.ROM OK.E
0000866C : 434E 4F20 0A4B 4545 - 5250 4D4F 4F20 004B           NC OK.EEPROM OK.
0000867C : 540A 4D49 494D 474E - 5320 4154 5554 2053           .TIMMING STATUS 
0000868C : 4B4F 0000 430A 5241 - 2044 5453 5441 5355           OK...CARD STATUS

>md 01940000 100
01940000 : 0384 0000 FFFF FFFF - B19F 7EC7 FFFF FFFF           ...........~....
01940010 : 0384 0000 FFFF FFFF - D631 7ECF FFFF FFFF           ...........~....
01940020 : 0384 0000 FFFF FFFF - 1700 7ED7 FFFF FFFF           ...........~....
01940030 : 0384 0000 FFFF FFFF - 6A11 7EE0 FFFF FFFF           .........j.~....
01940040 : 0384 0000 FFFF FFFF - B6B8 7EE8 FFFF FFFF           ...........~....
01940050 : 0384 0000 FFFF FFFF - 96E8 7EF0 FFFF FFFF           ...........~....
01940060 : 0384 0000 FFFF FFFF - B370 7EF8 FFFF FFFF           ........]..~....
01940070 : 0384 0000 FFFF FFFF - CE65 7F01 FFFF FFFF           ................
01940080 : 0384 0000 FFFF FFFF - EBC2 7F09 FFFF FFFF           ................
01940090 : 0384 0000 FFFF FFFF - 158D 7F11 FFFF FFFF           ........z.......
019400A0 : 0384 0000 FFFF FFFF - 7D3F 7F1A FFFF FFFF           ........,}......
019400B0 : 0384 0000 FFFF FFFF - C476 7F22 FFFF FFFF           ........d.".....
019400C0 : 0384 0000 FFFF FFFF - B4BE 7F2A FFFF FFFF           ..........*.....
019400D0 : 0384 0000 FFFF FFFF - D173 7F32 FFFF FFFF           ........a.2.....
019400E0 : 0384 0000 FFFF FFFF - ED84 7F3B FFFF FFFF           ........q.;.....
019400F0 : 0384 0000 FFFF FFFF - 099D 7F43 FFFF FFFF           ..........C.....

mf

>mf a001ffa0 100 00
>md.b a001ffa0
A001FFA0 : 00 00 00 00 00 00 00 00 - 00 00 00 00 00 00 00 00   ................
A001FFB0 : 00 00 00 00 00 00 00 00 - 00 00 00 00 00 00 00 00   ................
A001FFC0 : 00 00 00 00 00 00 00 00 - 00 00 00 00 00 00 00 00   ................
A001FFD0 : 00 00 00 00 00 00 00 00 - 00 00 00 00 00 00 00 00   ................

sum

>sum
Sum : 00000000 - FFFFFFFF = 0000

rst

>rst

************************************************************************
MITSUBISHI DRIVE SYSTEM
 MDS-R series Offline Monitor
 BND- 563W000-A1  (1.10)  (Apr  6 2006, 18:41:24)
 COPYRIGHT (C) 2003 MITSUBISHI ELECTRIC CORPORATION ALL RIGHTS RESERVED         
************************************************************************
Card Infomation
 NAME   : RL115-12/22(V2)
 MAC521 : OFF
 FLASH  : 0x90000000-????????[????byte) [??????????:Un known]
Digital Input
  EI1:L(400V)  EI2:L(CR Int)  EI3:L(Rsv)  EI4:L(ElcEMG)
  SW :L(0) M(1)
Analog Input
 CH Sym   min   max    pp    av
  1.IUL: 1458  1470    12  1464
  2.IVL: 1458  1468    10  1462
  3.IUM: 1457  1465     8  1460
  4.IVM: 1460  1468     8  1463
  5.STL:    0     0     0     0 [45s]
  6.STM:    0     0     0     0 [45s]
  7.THR:    0     0     0     0
  8.DIP:    0     5     5     0 [00]
System S/W: BND- 585W000-A4  (1.40)
************************************************************************

fw

>fw 90000000 1 2a
Program error

fdv

>fdv
 Manufacture ID : 01
 Device code    : 22BA

ed

>ed
 Drive No. : 6829300 
 Ron Time  : 00016983
 MC count  : 00002387
 Maintenance
  #0 :   
  #1 :   
  #2 :   
  #3 :   
 Status    :  
 Alarm
  #0 :  50-00015232  50-00011735  00-00000000
  #1 :  50-00015232  50-00010130  00-00000000
  #2 :  50-00015232  50-00009893  00-00000000
  #3 :  50-00015232  51-00009891  00-00000000
  #4 :  50-00015232  52-00007771  00-00000000
  #5 :  50-00015232  50-00006422  00-00000000
  #6 :  52-00014310  50-00006105  00-00000000
  #7 :  52-00014310  50-00003693  00-00000000

er

>er
00 : 36 38 32 39 33 30 30 20 20 20 20 20 20 20 20 20 
10 : 58 42 00 C1 57 42 00 C1 53 09 00 00 00 00 20 00 
20 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
30 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
40 : 80 3B 00 50 80 3B 00 50 80 3B 00 50 80 3B 00 50 
50 : 80 3B 00 50 80 3B 00 50 E6 37 00 52 E6 37 00 52 
60 : 00 31 1F 03 13 2E 00 00 00 00 00 00 00 00 00 00 
70 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
80 : D7 2D 00 50 92 27 00 50 A5 26 00 50 A3 26 00 51 
90 : 5B 1E 00 52 16 19 00 50 D9 17 00 50 6D 0E 00 50 
A0 : 00 31 0E 00 07 2E 00 00 00 00 00 00 00 00 00 00 
B0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
C0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
D0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
E0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
F0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 

ew

>ew 0 2
>er
00 : 02 38 32 39 33 30 30 20 20 20 20 20 20 20 20 20 
10 : 58 42 00 C1 57 42 00 C1 53 09 00 00 00 00 20 00 
20 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
30 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
40 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
50 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
60 : 00 31 1F 03 13 2E 00 00 00 00 00 00 00 00 00 00 
70 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
80 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
90 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
A0 : 00 31 0E 00 07 2E 00 00 00 00 00 00 00 00 00 00 
B0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
C0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
D0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
E0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
F0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 

ef

>ef 0 ff ff
>er
00 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
10 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
20 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
30 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
40 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
50 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
60 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
70 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
80 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
90 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
A0 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
B0 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
C0 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
D0 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
E0 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 
F0 : FF FF FF FF FF FF FF FF FF FF FF FF FF FF FF 00 

ec

>ec 
y/n ? y
>
>ed
 Drive No. : 
 Ron Time  : 00000000
 MC count  : 1229539657
 Maintenance
  #0 : II
  #1 : II
  #2 : II
  #3 : II
 Status    : I
 Alarm
  #0 :  00-00000000  00-00000000  00-00000000
  #1 :  00-00000000  00-00000000  00-00000000
  #2 :  00-00000000  00-00000000  00-00000000
  #3 :  00-00000000  00-00000000  00-00000000
  #4 :  00-00000000  00-00000000  00-00000000
  #5 :  00-00000000  00-00000000  00-00000000
  #6 :  00-00000000  00-00000000  00-00000000
  #7 :  00-00000000  00-00000000  00-00000000

dl

>dl
password : 
* XMODEM/128(SUM) Recieving ... 
Flash Sum = 0000

base

>base
 Base name : 45s : 45s

card

>card
Card Infomation
 NAME   : RL115-12/22(V2)
 MAC521 : OFF
 FLASH  : 0x90000000-????????[????byte) [??????????:Un known]

di

>di
Digital Input
  EI1:L(400V)  EI2:L(CR Int)  EI3:L(Rsv)  EI4:L(ElcEMG)
  SW :L(0) M(1)

ad

>ad
Analog Input
 CH Sym   min   max    pp    av
  1.IUL: 1460  1469     9  1464
  2.IVL: 1458  1468    10  1462
  3.IUM: 1455  1466    11  1460
  4.IVM: 1458  1468    10  1463
  5.STL:    0     0     0     0 [45s]
  6.STM:    0     0     0     0 [45s]
  7.THR:    0     0     0     0
  8.DIP:    0     6     6     0 [00]

ver

>ver
Boot   S/W: BND- 563W000-A1  (1.10)
System S/W: BND- 585W000-A4  (1.40)

err

>err
12-53 : EEPROM ERR
00 : 36 38 32 39 33 30 30 20 20 20 20 20 20 20 20 20 
10 : 58 42 00 C1 57 42 00 C1 53 09 00 00 00 00 20 00 
20 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
30 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
40 : 80 3B 00 50 80 3B 00 50 80 3B 00 50 80 3B 00 50 
50 : 80 3B 00 50 80 3B 00 50 E6 37 00 52 E6 37 00 52 
60 : 00 31 1F 03 13 2E 00 00 00 00 00 00 00 00 00 00 
70 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
80 : D7 2D 00 50 92 27 00 50 A5 26 00 50 A3 26 00 51 
90 : 5B 1E 00 52 16 19 00 50 D9 17 00 50 6D 0E 00 50 
A0 : 00 31 0E 00 07 2E 00 00 00 00 00 00 00 00 00 00 
B0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
C0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
D0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
E0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 
F0 : 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 

>err
RAM OK
ROM OK
ENC OK
EEPROM OK
TIMMING STATUS OK : 3.5msec COUNT ERR : 37
CARD STATUS    OK : ID:02 (exi2:0 trac:0 tin0:0 tin1:0)

Неисправность

Проблема заключалась в том, что контрольная сумма (далее КС) одного из параметров в eeprom была некорректной. Для данных по адресам 0x10…0x13 и 0x14…0x17 рассчитывается КС (сумма по модулю 256) и она должна быть равна 0x5A.

Командой er получаем дамп eeprom. Берем 8 байт с адреса 0x10. В моем случае это: 0x58 0x42 0x00 0xC1 0x57 0x42 0x00 0xC1. Для первых 4 байт КС равна: (0x58 + 0x42 + 0x00 + 0xC1) % 0xFF = 0x5B. Для следующих четырех байт: (0x57 0x42 0x00 0xC1) % 0xFF = 0x5A. КС 0x5B вызывает ошибку. Я исправил первое значение так, что бы оно соответствовало второму: заменил 0x58 на 0x57. Не помню почему именно так сделал.

Выполнить модификацию значения можно с помощью команды ew ew 10 57. Проверяем командой er 10 : 0x57 0x42 0x00 0xC1 0x57 0x42 0x00 0xC1 ... После перезагрузки контроллера, на 7seg было рабочее значение “Ab” без каких либо ошибок.
В логах команды err можете увидеть два вывода. Первый при некорректной КС, второй после исправления.

Заключение

Здесь можно скачать дамп flash и eeprom.

В архиве собрана различная документация и логи накопившееся за время выполнения ремонта. Ссылка на архив.
Там есть какие-то дампы участков памяти. Может пригодиться тем кто будет исследовать такой же или подобный сервопривод.

Здесь хранятся фото устройства. Ссылка

Если у вас остались вопросы или вы хотите предложить покопаться в подобном оборудовании - пишите в Telegram-чат

При включении загораются зелёный и жёлтый светодиоды, раздаётся звуковой сигнал. В инструкции есть расшифровка этой ошибки:
Указано, что только для RP100-B, но, как оказалось, актуально и для RP300-B. Колличество обжатий достигло 22000. Требуется обслуживание.

EEPROM

На плате установлена EEPROM Microchip 93LC46C. Корпус SOIC-8. Вывод ORG низкий (x8). Микросхема на фото в центре.

Дамп памяти с состоянием Service:

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000000   A3 56 F1 55 00 F1 55 AA  00 00 00 04 FF FF FF FF   £VñU ñUª    ÿÿÿÿ
00000010   E6 01 E9 01 E9 01 E6 01  E7 01 E5 01 E6 01 E7 01   æ é é æ ç å æ ç 
00000020   E5 01 E7 01 E6 01 E6 01  E6 01 E6 01 E7 01 E5 01   å ç æ æ æ æ ç å 
00000030   27 DA 14 33 06 96 20 4E  F0 55 0A 73 1F 0F 0A 00   'Ú 3 – NðU s    
00000040   00 30 31 35 30 30 39 30  36 31 39 30 39 32 30 30    015009061909200
00000050   36 68 65 FF FF FF FF FF  FF FF FF FF FF FF FF FF   6heÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000060   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000070   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ

Число 22000 в hex имеет вид 0x55F0. Видно, что по адресам 0x2 и 0x5 лежат значения 0x55F1 (16-bit little-endian). В десятичке это 22001. По адресу 0x38 находится вообще ровно то, что нужно - 0x55F0.
После некоторых экспериментов с содержимым памяти удалось восстановить структуру данных, при которой пресс начал функционировать. Ниже представлен дамп, в котором значение счётчика равняется 1:

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000000   A3 56 01 00 00 01 00 22  00 00 00 02 FF FF FF FF   £V     "    ÿÿÿÿ
00000010   E6 01 E6 00 E9 01 E6 01  E7 01 E5 01 E6 01 E7 01   æ æ é æ ç å æ ç 
00000020   E5 01 E7 01 E6 01 E6 01  E6 01 E6 01 E7 01 E5 01   å ç æ æ æ æ ç å 
00000030   27 DA 14 33 06 96 20 4E  F0 55 0A 73 1F 0F 0A 00   'Ú 3 – NðU s    
00000040   00 30 31 35 30 30 39 30  36 31 39 30 39 32 30 30    015009061909200
00000050   36 68 65 FF FF FF FF FF  FF FF FF FF FF FF FF FF   6heÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000060   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000070   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ

Рабочий дамп. Значение счётчика 1.

Значение для включения режима Service проверил в действии. Установил этот параметр равный трём. Результат на видео.

Рекомендации

1. Помимо сброса счетчика, проведите тех. обслуживание оборудования.
2. Не изменяйте уставку включения режима Service (22000). Лучше сбросить счётчик. Не известно как поведёт себя программа и какие у неё там могут быть переполнения.

Материалы

1. Паспорт на пресс;
2. Дамп EEPROM со значением счетчика 1;
3. Дамп EEPROM с режимом Service;
4. Фото обратной стороны платы;
5. Подключение температурного сенсора;

Перед подключением компьютера к частотному преобразователю убедитесь в отсутствии гальванической связи между землей (сигнал GND) и входным напряжением (сеть 230/400В). Используйте развязывающий трансформатор или ноутбук без подключения ЗУ.

EEPROM

Мигающий красный светодиод LED6 сигнализирует о проблеме. При нормальной работе устройства светодиод LED6 светится постоянно.

Рис. 1 Разъемы и светодиоды

В таблице приведены режимы работы светодиода

В случае некорректных данных в EEPROM пульта режим мигания следующий: Double lightning (200 ms ON/200 ms OFF/200 ms ON/1000 ms OFF)

Структура памяти

Рис. 2 Местоположение EEPROM на плате

Данные хранятся в блоке размером 0x555 байт. Смещение внутри блока последнего полезного байта с данными - 0x1C3. Далее следуют байты 0xFF которые, по всей видимости, не несут никакой полезной информации. Возможно блок имеет размер меньший чем 0x555 байт, но больше или равен 0x1C4. Это не так важно.
В памяти хранятся три идентичных блока с данными. Вероятно это сделано для восстановления информации по мажоритарному принципу. Контрольная сумма отсутствует.

Смещения блоков следующие:
Block 0: 0x0-0x554
Block 1: 0x555-0xAA9
Block 2: 0xAAA-0xFFE

Ниже приведено содержимое одного блока (Block 0):

Offset      0  1  2  3  4  5  6  7   8  9  A  B  C  D  E  F

00000000   2E 18 00 19 00 00 00 01  FF FF FF FF FA 02 D7 52   .       ÿÿÿÿú ×R
00000010   FA 02 D7 53 FA 02 D7 54  FF FF FF FF FF FF 01 F4   ú ×Sú ×Tÿÿÿÿÿÿ ô
00000020   00 FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF    ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000030   12 37 F9 A1 00 00 00 19  00 00 05 11 14 01 11 14    7ù¡            
00000040   01 00 00 FF FF FF FF FF  FF FF FF FF FF FF FF FF      ÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000050   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000060   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000070   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000080   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000090   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000000A0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000000B0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000000C0   FF FF 00 00 00 00 00 00  00 00 00 00 00 00 00 01   ÿÿ              
000000D0   03 00 00 29 01 10 00 32  01 10 00 34 01 10 00 00      )   2   4    
000000E0   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                   
000000F0   00 00 03 00 00 2A 01 10  00 33 01 10 00 35 01 10        *   3   5  
00000100   00 00 00 00 00 00 00 00  00 00 00 00 00 00 00 00                   
00000110   00 00 00 00 00 00 00 00  00 00 00 00 02 03 04 80                  €
00000120   00 00 00 02 00 00 04 82  00 00 02 02 00 00 00 00          ‚        
00000130   00 00 04 00 00 00 00 00  00 00 04 00 00 00 00 00                   
00000140   00 00 04 00 00 00 00 00  00 00 04 00 00 00 00 00                   
00000150   00 00 04 00 00 00 00 00  00 00 04 00 00 00 04 81                   
00000160   00 00 00 02 00 00 04 83  00 00 02 02 00 00 04 84          ƒ       „
00000170   00 00 04 02 00 00 00 00  00 00 06 00 00 00 00 00                   
00000180   00 00 06 00 00 00 00 00  00 00 06 00 00 00 00 00                   
00000190   00 00 06 00 00 00 00 00  00 00 06 00 00 00 30 30                 00
000001A0   66 35 30 36 30 2D 6C 31  30 30 20 20 20 20 20 20   f5060-l100      
000001B0   20 20 20 20 20 20 20 20  20 20 20 20 20 20 00 01                   
000001C0   F6 00 00 01 FF FF FF FF  FF FF FF FF FF FF FF FF   ö   ÿÿÿÿÿÿÿÿÿÿÿÿ
000001D0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000001E0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000001F0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000200   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000210   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000220   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000230   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000240   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000250   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000260   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000270   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000280   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000290   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000002A0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000002B0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000002C0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000002D0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000002E0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000002F0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000300   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000310   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000320   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000330   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000340   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000350   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000360   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000370   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000380   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000390   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000003A0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000003B0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000003C0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000003D0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000003E0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000003F0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000400   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000410   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000420   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000430   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000440   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000450   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000460   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000470   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000480   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000490   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000004A0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000004B0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000004C0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000004D0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000004E0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
000004F0   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000500   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000510   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000520   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000530   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000540   FF FF FF FF FF FF FF FF  FF FF FF FF FF FF FF FF   ÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿÿ
00000550   FF FF FF FF FF                                     ÿÿÿÿÿ

Представленные данные являются корректными и если их записать в EEPROM (в три блока), то пульт не будет сообщать об ошибке кодом Double lightning (200 ms ON/200 ms OFF/200 ms ON/1000 ms OFF)

Для полного восстановления пульта необходимо записать в некоторые поля действительные MAC-адреса и серийный номер пульта.

В качестве примера приведу данные пульта продаваемого на eBay.

Рис. 3 Шильдик пульта с eBay

Скачать дамп eeprom

Кабель

В этой теме приведена схема кабеля (00.F5.0C0-0010) построенного на преобразователе MAX232 (для COM-порта). Там же есть ссылка на статью от поставщика продукции KEB с разъяснением по существующим кабелям и протоколам.

Кабель 00.F5.0C0-0010 можно построить на USB/SerialUART преобразователе поддерживающим сигналы RTS/CTS. Например, FT2232. Возможно понадобиться сдвинуть выходные уровни FT2232 до 5В. Я сразу делал с выходными уровнями 5В и не проверял работу с более низкими.
Через данный кабель возможно подключение только по протоколу HSP5. С протоколом HSP5 умеет работать COMBIVIS версий 5.x.

COMBIVIS 6.x подключается через последовательный порт только по протоколу DIN66019.
Для подключения COMBIVIS 6.x через последовательный порт к порту пульта X6B или к порту частотного преобразователя нужен конвертер протоколов 00.58.060-0040 (из DIN66019 в HSP5).

В кабеле на FT2232 есть одна особенность из-за которой не сразу удалось установить связь между COMBIVIS и оборудованием.
Дело было в сигнале RTS. Сигнал переходит в пассивное состояние (лог. 0) до окончания передачи. Это видно на экране логического анализатора:
Рис. 4 Различная длительность сигнала RTS

На картинке приведено рабочее значение (2000):

Рис. 5 Окно параметров соединения COMBIVIS 5.x

Позже была обнаружена рекомендация от производителя на тему сигнала RTS.

Распиновка разъемов

X6B Diagnostic interface

Контакты 7,8 в разъеме X6B я не использовал, по этому достоверно не знаю их назначение. Рис. 6 Распиновка X6B

Разъемы DB9 между частотным преобразователем и пультом оператора

Взято из документа spezifikation_hsp5.pdf
Рис. 7 Распиновка DB9 пульта и частоного преобразователя

IP адрес

К частотному преобразователю KEB, используя пульт KEB 00F5060-L100, так же можно подключиться через Ethernet-порт. Инструкция.
В случае когда IP адрес неизвестен, а он нужен для подключения, можно переключателями x16 и x1 включить режим KEB production test. Подробнее на картинке и в документации Вероятно сохраненный IP адрес, если он был установлен, сбросится в состояние по умолчанию: 0.0.0.0 . Рис. 8 Установка адреса с помощью ротационных переключателей x16, x1

Материалы

1. Архив с различной информацией;
2. Дамп EEPROM из статьи;
3. Схема кабеля 00.F5.0C0-0010, cnc-club;

Диагностика

Потребление неисправного усилителя, при подаче сигнала ACC, поднималось c 0 мА до 800 мА на 1 сек., потом снижалось до 110 мА. Звука нет.
На плате установлены три микросхемы УНЧ TDF8546TH/N2 подключенных к шине I2C. Выводы для подключения к шине показаны на картинке:
Анализа данных передаваемых по шине I2C позволил выявить неисправность одной из микросхем УНЧ, что в конечном счете являлось основной неисправностью устройства.

Анализ шины

Захват трафика производился с помощью логического анализатора LOGIC-U от компании 6-lab. Адреса микросхем на шине распределены следующим образом:

В УНЧ имеется 10 регистров:

• 5 регистров для чтения DB1, DB2, DB3, DB4, DB5;
• 5 регистров для записи IB1, IB2, IB3, IB4, IB5;

Адресации регистров нет. Команда чтения читает 5 регистров для чтения, команда записи пишет в 5 регистров для записи. Описание регистров TDF8546TH

На шине будут присутствовать различные команды чтения/записи регистров, но для определения неисправности нужны регистры чтения в определенный момент времени. Необходимо найти посылки в которых процессор включает режим диагностики УНЧ. Это делается установкой бита D1 в регистре IB1.

Instruction byte IB1

Запись значения 0x02 в регистр IB1 производится для трех микросхем УНЧ.

0.578961750000000,34,0xD4,0x02,Write,ACK
0.579022000000000,34,0xD4,0xE6,Write,ACK
0.579081125000000,34,0xD4,0x10,Write,ACK
0.579142000000000,34,0xD4,0x00,Write,ACK
0.579202875000000,34,0xD4,0xC0,Write,ACK
0.579344125000000,35,0xDC,0x02,Write,ACK
0.579404375000000,35,0xDC,0xE6,Write,ACK
0.579463500000000,35,0xDC,0x10,Write,ACK
0.579524375000000,35,0xDC,0x00,Write,ACK
0.579585250000000,35,0xDC,0xC0,Write,ACK
0.579725875000000,36,0xDE,0x02,Write,ACK
0.579786125000000,36,0xDE,0xE6,Write,ACK
0.579881500000000,36,0xDE,0x10,Write,ACK
0.579942375000000,36,0xDE,0x00,Write,ACK
0.580003250000000,36,0xDE,0xC0,Write,ACK

Через ~550 мс считывается результат диагностики.

1.134253750000000,49,0xD5,0x20,Read,ACK
1.134307875000000,49,0xD5,0xA0,Read,ACK
1.134362125000000,49,0xD5,0x20,Read,ACK
1.134416375000000,49,0xD5,0x20,Read,ACK
1.134470375000000,49,0xD5,0x00,Read,NAK
1.134602625000000,50,0xDD,0x20,Read,ACK
1.134656750000000,50,0xDD,0xA0,Read,ACK
1.134711125000000,50,0xDD,0x20,Read,ACK
1.134765250000000,50,0xDD,0x20,Read,ACK
1.134819375000000,50,0xDD,0x00,Read,NAK
1.134951000000000,51,0xDF,0x22,Read,ACK <-- проблема
1.135005250000000,51,0xDF,0xA0,Read,ACK
1.135059500000000,51,0xDF,0x20,Read,ACK
1.135113750000000,51,0xDF,0x20,Read,ACK
1.135204125000000,51,0xDF,0x00,Read,NAK

Если сопоставить полученные значения с регистрами, то получается что в УНЧ с адресами 0xD4 (0xD5) и 0xDE (0xDD) проблемы отсутствуют. Установлены биты открытых линий (не подключены динамики).
Для УНЧ с адресом 0xDE (0xDF) содержимым регистра DB1 является значение 0x22. Установлены биты D5 и D1.

1.134951000000000,51,0xDF,0x22,Read,ACK

Data byte DB1

D5 and D4 - это открытая линия, а D1 - это короткое замыкание на + питания.
При такой неисправности перепроверить результаты диагностики можно омметром. Сопротивление между одной из линий канала 2 и плюсом питания действительно составляло несколько ом, в отличии от десятков кОм на других линиях.

Ремонт

Неисправная микросхема была демонтирована. График потребления тока изменился. Потребление поднималось до ~550 мА и оставалось на этом уровне. При подключении к ГУ усилитель воспроизводил звук по оставшимся каналам.

Новая микросхема TDF8546TH/N2 была заказана на Aliexpress
Исправный усилитель без подключенния к ГУ потребляет 800 мА.

Материалы

1. Datasheet AK4613;
2. Datasheet V850. Размер 6.7 Мб;
3. Datasheet TDF8546TH;
4. Схема подключения усилителя;
5. Слой TOP в высоком разрешении. Размер 9.4 Мб;
6. Слой BOT в высоком разрешении. Размер 10.2 Мб;

• Индикация присутствует, нет реакции на кнопку (клавиши, входы);
• Устройство не подключается к сети;
• Индикация отсутствует, нет реакции на кнопку. По “железу” полный порядок;

Ранее была опубликована статья по ремонту привода штор. (ссылка) Способ универсальный, стирающую прошивку можно заливать в другие устройства, но это более трудоемкий процесс по сравнению с описываемым.
В версии May 17 2022 JN5169-monitor добавлены функции: стирания PDM, стирание EEPROM и восстановление MAGIC NUMBER. Подробно как работает monitor написано здесь.

Стирание PDM и стирание EEPROM различаются тем, что первая производит очистку памяти функциями “файловой системы”, а вторая стирает память вместе с “файловой системой”.

Функция восстанволения MAGIC NUMBER нужна для возврата работоспособности девайса без процедуры перепрошивки памяти микроконтроллера JN5169.

Шаги

1. Разберите устройство и подключите USB-UART адаптер к пинам порта. Распиновку для некоторых устройств можно найти здесь;
2. Переведите JN5169 в режим bootloader замкнув вывод /BOOT на GND и подав питание;
3. Скачайте проект JN5169-monitor;
4. В папке /wire найдите скрипт upload.py. Откройте его в текстовом редакторе и укажите правильный номер порта (port=’COMx’,);
5. Запустите скрипт. При правильном подключении и настройке Вы увидите следующий результат:
6. Перезагрузите устройство в нормальный режим (высокий уровень /BOOT);
7. Подключитесь к последовательному порту с помощью Putty или подобной программы. Параметры порта 115200 8n1;
8. Нажмите Enter. Вы увидите сообщение:
9. Нажмите на клавиатуре последовательно .p (символ точка, символ ‘p’). Эта команда выполнит стирание PDM.
10. Нажмите на клавиатуре последовательно .r (символ точка, символ ‘r’). Эта команда вернет устройство в рабочее состояние.

Если после перезагрузки устройство не заработало, то либо это был не программный сбой, либо в процессе восстановления что-то пошло не так. В любом случаи обращайтесь в Telegram-чат, постараемся помочь.

Прежде всего хочу обратить Ваше внимание на следующее:

Все эксперименты проводите только со своим оборудованием. Скорее всего доступ к ZigBee сети соседа, без его согласия, является негласным получением информации.

Способ основывается на уязвимости чипа JN5169. Первый материал на эту тему здесь. Мы продолжили развитие проекта JN5169-monitor и добавили функцию, которая позволяет прочитать Network key из EEPROM.

В большинстве систем домашней автоматизации, основанных на ZigBee с профилем Home Automation, используется стандартный ключ шифрования APS именуемый Link key: ZigBeeAlliance09 (5A 69 67 42 65 65 41 6C 6C 69 61 6E 63 65 30 39) Для профиля ZLL (лампочки Hue), используется ключ 9F 55 95 F1 02 57 C8 A4 69 CB F4 2B C9 3F EE 31 (1)
Зная Link key можно построить карту сети, выяснить тип устройства, по MAC адресу определить производителя чипа (косвенно может указывать на производителя устройства). Полезные данные и команды шифруются другим ключом который называется Network key. Все девайсы получают и сохраняют его при добавлении в сеть.

Network key генерируется при создании сети и, как правило, не меняется на протяжении длительного времени. Имея этот ключ можно присоеденится к сети.

Хорошим примером является устройство Aqara WXKG12LM. Это универсальная кнопка. Одним из применений, предложенным производителем, может быть дверной звонок (Smart Doorbell).(2) Предполагается что устройство располагается в общедоступном месте. Как вы сможете убедиться, чтение ключа занимает немного времени. Факт чтения нигде не фиксируется. После всех манипуляций устройство сохраняет свою работоспособность.

1. Разберите WXKG12LM и подключите USB-UART адаптер к обозначенным на фото контактам;
2. Переведите JN5169 в режим bootloader замкнув вывод /BOOT на GND и подав питание;
3. Скачайте проект JN5169-monitor;
4. В папке /wire найдите скрипт upload.py. Откройте его в текстовом редакторе и укажите правильный номер порта (port=’COMx’,);
5. Запустите скрипт. При правильном подключении и настройке Вы увидите следующий результат:
6. Перезагрузите устройство в нормальный режим (высокий уровень /BOOT);
7. Подключитесь к последовательному порту с помощью Putty или подобной программы. Параметры порта 115200 8n1;
8. Нажмите Enter. Вы увидите сообщение:
9. Нажмите клавишу ‘n’. Если устройство было в сети, то в ответ получите всю необходимую информацию. (3)
   • Channel - канал ZigBee;
   • PanID - идентификатор сети;
   • NwkAddr - короткий адрес устройства в сети;
   • ExtPanID - MAC адрес координатора;
   • Key - Network key;
10. Нажмите на клавиатуре последовательно .r (символ точка, символ ‘r’). Эта команда вернет устройство в рабочее состояние.

Проверить ключ можно с помощью Wireshark.

Вместо WXKG12LM может быть любое другое устройство построенное на микроконтроллере JN5169.

Ссылки

1. ZLL master key
2. WXKG12LM на сайте Aqara
3. Идентификаторы PDM выделенные для ZigBee стека

Эта статья носит образовательный характер. Если что-то сломаете, сами будете чинить.

Способ первый. OTA exploit
Способ второй. Wire exploit
Заключение

Мне известны два производителя Zigbee устройств использующих чипы JN5169 - это Heiman и Xiaomi (Aqara). Далее просто Aqara.
У Heiman чипы открыты, так что нет никакого интереса их рассматривать. Xiaomi же наоборот, более распространены, имеют больший ассортимент датчиков и закрывают свои чипы для обратного чтения прошивки.

У такого подхода есть преимущества и недостатки. Начну с последнего. Большинство устройств не имеют функции OTA обновления. То что в них зашили на заводе, с тем они и будут, в свое время, утилизированы. Справедливости ради стоит заметить, что даже первые версии устройств 2015-2016 годов выпуска, нормально работают по сей день и нет особой нужды их обновлять. Но замечено, что эти же модели датчиков, купленные позже, имеют версию прошивки повыше. Списка изменений нет, но что-то исправляют.

Преимущество закрытого чипа связано с безопасностью. Например, размещение zigbee кнопки дверного звонка перед входной дверью, либо датчика температуры за окном, не должно вызывать беспокойство по причине их похищения. Цель похищения может состоять не только в завладении чужим имуществом, но так же и в желании завладеть ключами шифрования для доступа к вашей сети. А почему бы и нет? Последствия такой утечки данных предугадать сложно, но потрепать вам нервы мигающим светом или вывести из строя часть вашего оборудования - не составляет труда.

Помимо обновления ПО, есть несколько причин зачем нужен файл с прошивкой:

1. Замена микроконтроллера вышедшего из строя. Самопроизвольный выход из строя - история достаточно редкая, но не все просто смотрят на тот же “геркон”, некоторые в него еще и залезают;
2. Сбой EEPROM. А это случается чаще. Суть в том, что при выходе из zigbee сети, в память может записаться некорректная информация и устройство больше не сможет вернуться в сеть. Решить проблему возможно только стиранием EEPROM. Особенностью JN5169 является то, что доступа к EEPROM из bootloader нет. Для его стирания прошивальщиком используется загрузка и исполнение кода в RAM. При уровне блокировки CRP=1 - загружать данные в RAM запрещено;
3. Исследование. В прошивках можно найти много интересного. Большой объем flash памяти позволяет оставить в коде различные отладочные функции, либо сервисный режим, который может расширить функционал давно знакомого устройства;

Способ первый. OTA exploit

Способ не универсальный, подходит только для тех устройств которые могут обновляться через OTA.

1. Bootloader

1.1 Code read protection

Все чипы JN5169 имеют заводской bootloader. Для его запуска нужно установить на выводе 22 (DO1) низкий уровень и перезагрузить микроконтроллер. Информацию об этом можно найти на странице 77 в datasheet и страница 6 Application Note: JN-AN-1003 На странице 6 приведена диаграмма. По ней видно какие условия необходимо соблюсти, чтобы попасть в процедуру “Run UART-Flash serial programmer”, которая позволит производить операции с внутренней flash памятью. Для операции чтения нужно чтобы “Code read protection level” (CRP) равнялся 0. Об уровнях защиты написано на странице 10 Application Note: JN-AN-1003 и странице 12

Посмотрим что там с уровнем CRP в aqara реле. Для этого понадобится UART преобразователь с уровнями 3.3V и утилита JN51xx Production Flash Programmer Мануал по утилите здесь.

Преобразователь подключить согласно схеме. RX-TX, TX-RX. Перед подачей питания на плату реле, замкните вывод /BOOT на GND. Запустите утилиту JN51xx Production Flash Programmer, передав ей следующие параметры: JN51xxProgrammer.exe -V 0 -s COM5 -P 115200 --deviceconfig.
Если все правильно настроено, то ответ будет следующим:

COM5: Detected JN5169 with MAC address 00:15:8D:00:03:00:FF:9F
COM5: Device configuration: JTAG_DISABLE_CPU,VBO_200,CRP_LEVEL1,EXTERNAL_FLASH_NOT_ENCRYPTED,EXTERNAL_FLASH_LOAD_ENABLE

Из ответа следует что уровень защиты - CRP_LEVEL1. В таблице 8 перечислено что можно делать при таком уровне.

Ребята из команды alephsecurity.com подробно изучили bootloader, архитекутру JN5169 и попытались обойти его защиту. Весь их опыт подробно описан в этих статьях: раз, два, три. Рекомендую!

1.2 Magic number

Перед тем как передать управление программе, bootloader должен найти ее в памяти. Это необходимо делать из-за возможности расположить прошивку со смещением относительно начального адреса. Чуть ниже я объясню зачем нужен этот механизм.
В Application Note: JN-AN-1003, на странице 7 подробно описан процесс поиска. Если кратко, то bootloader проверяет начало каждого сектора, начиная с нулевого, на наличие Boot Image Record (BIR). Главным признаком BIR является Magic number. Для JN5169 этот номер соответствует значению 0x123456781122334455667788. На странице 17 приведена структура BIR. Если в начале какого-то сектора будет найден корректный Magic number, то производится проверка еще некоторых значений и в случае успеха управление передается программе. Если начало программы находится в отличном от нулевого секторе, то предварительно настраиваются регистры REG_SYS_FLASH_REMAP и REG_SYS_FLASH_REMAP2 страница 8.

2. OTA-обновление

Подробно про кластер OTA я напишу как-нибудь потом. Сейчас же, для того чтобы донести суть метода, обозначу основные моменты.

2.1 Header

В обновляемом девайсе должна быть реализована клиентская часть OTA кластера с необходимыми командами. Некоторые устройства выдают в ответе на Simple req. то что у них есть клиентская часть OTA, но по факту на все запросы отвечают что функция не поддерживается.

Для того чтобы начался процесс прошивки, необходимо верно указать параметры:

• Manufacturer id;
• Версия прошивки;
• Image types;

Значение перечисленных полей легко определить отправив с сервера команду Image Notify. Клиент ответит запросом Query Next Image Request в которой будет содержаться интересующая информация. Для aqara реле значения такие:

• Manufacturer id = 0x115f;
• Версия прошивки. Желательно что бы версия была выше текущей (0x23). Можно указать 0xffffffff;
• Image types = 0x0101;

ZigBee Cluster Library Frame
    Frame Control Field: Cluster-specific (0x01)
    Sequence Number: 199
    Command: Query Next Image Request (0x01)
    Payload
        Field Control: 0x00
        Manufacturer Code: Lumi United Techology, Ltd Shenzhen (0x115f)
        Image Type: Manufacturer Specific (0x0101)
        File Version: 0x00000023
            0000 0000 .... .... .... .... .... .... = Application Release: 0
            .... .... 0000 0000 .... .... .... .... = Application Build: 0
            .... .... .... .... 0000 0000 .... .... = Stack Release: 0
            .... .... .... .... .... .... 0010 0011 = Stack Build: 35

Есть еще один момент. В OTA заголовке есть какая-то строка с указанием зашифрован ли образ. Если она в новой прошивке отличается от того что записано в текущей, то процесс обновления будет прерван после получения нескольких блоков. Для всех обновляемых по OTA девайсов (Aqara) эта строка должна быть DR1175r1v1UNENCRYPTED00000. Если дать поиск по примерам от NXP, то значение DR1175r1v1UNENCRYPTED00000 будет найдено в примере DimmableLight. DR1175 - это маркировка платы Lighting/Sensor Expansion Board. Смею предположить, что ребята из LUMI взяли в качестве базового указанный выше пример, либо с него подтянули работу с OTA, так как значение Image types тоже совпадает.

2.2 Invalidate current image and validate upgrade image

Объем памяти в JN5169 - 512 КБ. Этого достаточно, в большинстве случаев, чтобы использовать внутреннюю flash для хранения новой прошивки получаемой через OTA. Размер прошивки aqara реле примерно 180 КБ.

Теперь в чем вся суть. Например, текущая прошивка располагается в младшей половине памяти (Блок 0 = 0x00-0x3ffff). При OTA обновлении обновленная прошивка сохраняется в старшую половину памяти (Блок 1 - 0x40000-0x7ffff). После получения всего образа прошивки и проверки CRC происходит следующее:

1. Обновленная прошивка, записанная в блок 1, не имеет в своем заголовке Magic number (все байты 0xff). Если в данный момент процессор перезапустится, то загрузится текущая версия прошивки из блока 0;
2. Текущая версия прошивки из блока 0 записывает Magic number в заголовок обновленной прошивки из блока 1. Если в данный момент проц перезапустится, то загрузится прошивка из блока 0 (в данном примере текущая версия);
3. Текущая версия прошивки портит в своем заголовке Magic number (все 0x0) и программно ресетит процессор;
4. Bootloader проверяет все сектора в поисках Magic number и находит его в начале блока 1, где располагается обновленная версия прошивки. Далее настраиваются регистры ремапа и происходит запуск программы;
5. Предыдущая версия прошивки в блоке 0, с испорченным Magic number, будет хранится во flash памяти до следующего обновления. Bootloader будет ее пропускать;

А что, если в качестве OTA обновления передать программу, которая инициализирует UART и сделает кое что для нас изнутри процессора?

3. Действуем

Нам понадобится:

1. OTA-сервер. Я буду использовать координатор на чипе JN5169 и управляющую программу ZGWUI. Инструкцию по созданию координатора рекомендую посмотреть здесь. При создании статьи я прошил версию ZiGate. В тамошней версия ZigbeeNodeControlBridge почему-то сломан OTA, хотя в оригинальной от NXP нормально работает. Скорость выбирайте 115200, на 1M не все USB-UART адаптеры корректно работают. ZGWUI.exe найдете в примере от NXP.
   Можно использовать zigbee2mqtt c любым поддерживаемым стиком, только необходимо перенести OTA репозиторий к себе на компьютер, чтобы зазря не беспокоить Koenkk;
2. Прошивка которая будет “подсунута” девайсу в качестве обновления. Скачать можно отсюда.
3. Терминал PuTTY или любой другой умеющий писать в логи непечатные символы;
4. Редактор WinHex или аналогичный;
5. JN51xx Production Flash Programmer;
6. USB-UART адаптер;
7. Aqara реле (либо привод штор, розетка);

Запустить Zigbee сеть

1. Settings: port, 115200, 8n1, none flow control.
2. Open port
3. Нажмите Erase PD
4. Установите желаемый канал. По умолчанию 11
5. Нажмите Start NWK
6. Нажмите Permit Join указав параметры: Address 0, Interval 0xFF

Лог при выполнении пунктов 4-6. У вас должно быть что-то подобное

Type: 0x8000
 (Status)
  Length: 5
  Status: 0x00 (Success)
  SQN: 0x00
  Message: 
Type: 0x8000
 (Status)
  Length: 5
  Status: 0x00 (Success)
  SQN: 0x00
  Message: 
Type: 0x8024
 (Network Up)
  Status: 0x01
  Short Address: 0x0000
  Extended Address: 0x158D00028C036A
  Channel: 11
Type: 0x8000
 (Status)
  Length: 5
  Status: 0x00 (Success)
  SQN: 0x00
  Message: 

После выполнения пункта 6, ваш координатор готов принять новые устройства. Активируйте на реле режим сопряжения.

После успешного добавления в сеть, в логах найдите анонс с коротким адресом реле. Скопируйте адрес без 0x. У меня это B0AC

 (End Device Announce)
  Short Address: 0xB0AC

Перейдите на вкладку OTA Cluster (номер 7 на картинке с ZGWUI). Нажмите кнопку Load Image и выберите файл с обновлением. Для кнопки Image Notify укажите следующие данные: Short, короткий адрес(B0AC),1,1,JITTER,1,1,1,1

Нажмите Image Notify. Если все сделано правильно, то начнет процесс передачи прошивки. Размер прошивки, конечно, великоват для своего функционала, нужно будет оптимизировать. Подождать придется 4 минуты 30 сек, если между реле и координатором 1 hop и в сети нет спамящих нодов.

Пока передается прошивка, можете запустить PuTTY. Укажите номер порта, скорость 115200 8n1. Логирование пока не включайте.

После завершения передачи файла (+ 5 секунд) устройство переключится на новую прошивку. В терминал будет отправлено приветствие с подсказкой.

• f - чтение всей flash памяти (0x00080000 - 0x000FFFFF);
• w - программа сформирует файл прошивки (ID файла + корректный MAGIC_NUMBER + все данные прошивки) и выдаст его в терминал;

Включите логирование и нажмите ‘w’. После прекращения передачи данных (оценить визуально в окне терминала) вам необходимо удалить из лога возможный заголовок, который формируют некоторые терминальные программы. В PuTTY это выглядит так:

0d 0a - это последние символы заголовка PuTTY, далее идут данные прошивки (0f 03 00 0b…)

Полученный файл прошивки можно сразу же проверить, прошив его утилитой JN51xx Production Flash Programmer

JN51xxProgrammer.exe -V 1 -s COM5 -P 115200 -f putty.bin

Устройство (реле) должно снова заработать как и прежде. Если этого не произошло, и вы не находите ошибки в своих действиях, просьба обратиться ко мне. Возможно потребуется доработать алгоритм. Контакты в разделе About

Способ второй. Wire exploit

Здесь информации будет поменьше, так как практически все что нужно представлено в описании первого способа.

Открываем описание на bootloader и смотрим таблицу 8

В последнем столбце указано какие действия можно совершать при CRP = 1. Среди всего прочего, есть такая операция как Flash program request. Запись до 128 байт по указанному адресу. Вспомните как bootloader выполняет поиск валидного образа прошивки в памяти и каким образом OTA клиент переходит на новую прошивку. Собрав эти знания в кучу, можно предположить такой подход:

1. Испортить MAGIC_NUMBER в текущей прошивке с помощью Flash program request;
2. Записать свою прошивку куда-нибудь повыше, с корректным MAGIC_NUMBER, используя всё ту же Flash program request;

Какой функционал заложить в свою прошивку, думаю, объяснять не стоит :)

Как правило, в устройствах которые не имеют возможности обновлять ПО через OTA, прошивка начинается с начального адреса.
С OTA сложнее, там прошивка может быть в любой половине памяти, в зависимости от того сколько раз обновлялось ПО. Но если образ прошивки не занимает всю половину памяти (остается еще как минимум один свободный сектор), то проблем так же нет.

Здесь вы сможете найти прошивку и скрипт который все сделает. Функционал прошивки тот же что для OTA.

В этот раз предлагаю взять другое устройство, например датчик дверей и окон (геркон). Схема подключения здесь

1. Перейдите в режим bootloader;
2. Укажите в скрипте нужный порт;
3. Запустите скрипт;
4. Перезапустите JN5169 предварительно подключившись к нему терминальной программой (115200 8n1);

Результат работы скрипта:

Успешно запущенная программа:

Со всеми неудачами и вопросами - пишите. Контакты в разделе About

Заключение

Теперь о том, что можно предпринять для повышения защиты.

В первом случае стоит подписывать свои прошивки или шифровать их, механизмы в функционале OTA это предусматривают. Запрещать обратное чтение прошивки.

Во втором случае. По началу я подумал про способ, когда все свободное пространство заполняется нулями, но потом посмотрел внимательнее таблицу 8 и нашел что команда Sector erase request доступна в CRP1.

Привязка прошивки к MAC адресу чипа, который лежит в OTP. Но это такое, просто повышается стоимость реверса и стоимость производства.

Исправить bootloader. Не проверял можно ли переписывать эту область flash.

Для необновляемых девайсов можно произвести своего рода обфускацию кода, чтобы он вырос в размерах на всю flash память. Но опять же, имея 2 девайса, можно частями достать прошивку.

У меня больше нет адекватных вариантов, кроме как установка CRP = 2. В виду того что биты CRP хранятся в OTP, то JN5169 из микроконтроллера с flash памятью, превращается в микроконтроллер с PROM.

На этом вопрос чтения прошивки еще не закрыт. Есть еще один способ получения прошивки, но чтобы вы могли его повторить, нужно доделать некоторый инструментарий. Пусть это будет тема для последующей статьи.

Прошивка протестирована на устройстве с обозначением MCCGQ11LM. Допускаю что она подойдет для MCCGQ01LM.

Для того что бы сохранить возможность подключать датчики с новой прошивкой к родному координатору (для пользователей MiHome), все необходимые для этого идентификаторы в zigbee сети соответствуют MCCGQ11LM. Так же частично реализован функционал мануфактурного кластера 0xFF01.

Отличия

1. В обновленной прошивке реализован механизм быстрого переподключения при потере родителя (rejoining). В оригинальной прошивке для этого нужно ждать несколько часов (по мои тестам около 7), причем генерация событий по срабатыванию геркона или нажатие на кнопку не ускоряют этот процесс.

2. Добавлен клиентский кластер OnOff. Возможность передавать команды устройствам имеющие серверный кластер OnOff (реле, лампочки) без участия координатора (binding). Помимо передачи команды, датчик так же отправляет ReportAttribute координатору.

3. Обновление прошивки через OTA. Обновление начинается только после уведомления со стороны OTA-сервера (Image Notify).

Режим работы

Подключение к zigbee сети производится удерживанием кнопки не менее 4 сек. Процесс поиска сопровождается миганием синего светодиода. Каналы сканируются последовательно с 11 по 26 один раз. На каждом канале отправляется по три Beacon request.

Подключившись к сети, датчик репортит мануфактурный кластер 0xff01 и после этого в течение 10 секунд находится в активном состоянии опрашивая родителя запросами Data request. Далее он переходит в спящий режим. Потребление в спящем режиме составляет около 1мкА.

Датчик просыпается раз в 20 минут. Это время не настраивается. После просыпания, он репортит кластер 0xff01, пингует родителя отправляя data request и снова засыпает.

Замыкание/размыкание геркона сопровождается однократным миганием светодиода. Если был настроен binding, то отправляется соответствующая команда. Так же репортится координатору текущее состояние кластера OnOff вне зависимости от настроект биндинга.

Короткое нажатие на кнопку сопровождается однократным миганием светодиода. Коодинатору репортится атрибут с моделью устройства Model Identifier (0x0005), это нужно для работы с MiHome, а так же репортится мануфактурный кластер 0xff01. Поведение устройства повторяет поведение оригинального устройства MCCGQ11LM.

Все команды и репорты отправляются с флагом ожидания подтверждения (Acknowledgement Request: True). В случае отсутствия подтверждения в установленное время, запрос повторяется еще 4 раза и если не стало лучше, то устройство переходит в режим переподключения (rejoining). Сканируется сеть и если будет найден координатор, либо роутер, с тем же PANID, способный принять еще одно прямое подключение, то производится подключение к нему без выхода из сети. Это сработает даже в случаи выключенного координатора, если датчик реджойнится к роутеру. Событие, которое вызвало пробуждение датчика, будет отправлено уже новому родителю.
Процесс переподключения занимает 1-4 секунды.

Если был зафиксирован момент потери родителя, но переподключится к новому не получилось (например выключили в доме электричество), то датчик засыпает и повторит попытку переподключения при следующем пробуждении.

При настройке биндинга, после отправки команды с координатора, спящий датчик нужно будить при помощи кнопки.

Кластеры, атрибуты

Simple Descriptor
  Endpoint: 1
  Profile: Home Automation (0x0104)
  Application Device: 0x0002
  Application Version: 0x0001
  Input Cluster Count: 2
  Input Cluster List
    Input Cluster: Basic (0x0000)
      Attribute: ZCL Version (0x0000)
        Data Type: 8-Bit Unsigned Integer (0x20)
        Uint8: 1 (0x01)
      Attribute: Application Version (0x0001)
        Data Type: 8-Bit Unsigned Integer (0x20)
        Uint8: 100 (0x64)
      Attribute: Stack Version (0x0002)
        Data Type: 8-Bit Unsigned Integer (0x20)
        Uint8: 2 (0x02)
      Attribute: HW Version (0x0003)
        Data Type: 8-Bit Unsigned Integer (0x20)
        Uint8: 2 (0x02)
      Attribute: Manufacturer Name (0x0004)
        Data Type: Character String (0x42)
        String: LUMI
      Attribute: Model Identifier (0x0005)
        Data Type: Character String (0x42)
        String: lumi.sensor_magnet.aq2
      Attribute: Date Code (0x0006)
        Data Type: Character String (0x42)
        String: 20210420
      Attribute: Power Source (0x0007)
        Data Type: 8-Bit Enumeration (0x30)
        Power Source: Battery (0x03)
      Attribute: Software Build Id (0x4000)
        Data Type: Character String (0x42)
        String: 3000-0001
    Input Cluster: On/Off (0x0006)
  Output Cluster Count: 2
  Output Cluster List
    Output Cluster: OTA Upgrade (0x0019)
    Output Cluster: On/Off (0x0006)

Мне пока не удалось определить назначение некоторых значений мануфктурного кластера 0xff01 (ID 4 и ID 0xA), но основая его часть все таки реализована. Данные записаны в формате ID:DATA_TYPE:VALUE

Attribute: 0xff01
Data Type: Character String (0x42)
String: 

1d                    размер блока данных  
01 21 16 0d           uint16 напряжение батарейки 0xd16 - 3350 - 3.35 V
03 28 19              int8 температура с сенсора в JN5169 0x19 - 25 C
04 21 00 00           uint16 назначение не определено
05 21 01 00           uint16 счетчик включений датчика. Сбрасывается после выхода из сети. Хранится в PDM. 0x0001 
06 24 18 00 00 00 00  uint40 счетчик переключений геркона. Сбрасывается после выхода из сети. Хранится в PDM. 0x0000000018 - 24
0a 21 00 00           uint16 назначение не определено 
64 10 01              boolean Состояние контактов геркона. 1 - open (on), 0 - close (off)

Обновление прошивки

Смена прошивки с оригинальной на альтернативную производится через bootloader. Последующие обновления прошивки можно производить через OTA.

В соответствии с распиновкой подключить UART преобразователь. Уровень сигнала TX +3.3V. Для питания можно использовать штатную батарейку. Для перевода процессора в режим перепрошивки, необходимо что бы на момент подачи питания, либо выхода из RST, сигнал /BOOT имел низкий уровень (подключен к земле).

Существует несколько программ для работы с bootloader JN5169:

• JN51xx Production Flash Programmer;
• Jenprog;
• JennicModuleProgrammer;

Загрузка прошивки через JN51xx Production Flash Programmer выглядит так:

JN51xxProgrammer.exe -V 1 -s COM5 -P 115200 -f fw_mccgq11lm_100.bin

COM5 - номе порта;
115200 - если преобразователь позволяет, можно указать 1000000 (1М);
fw_mccgq11lm_100.bin - прошиваемый файл;

Прошивки лежат здесь

Если прошиваемый процессор не имеет Lock-бита (заменен на новый), то можно добавить ключи для верификации прошивки и стирания PDM -v --eraseeeprom=full

Документация к JN51xx Production Flash Programmer

Успешное завершение процесса

Для запуска прошитого датчика необходимо его перезагрузить, но при этом сигнал /BOOT должен быть высоким (отключен от земли).

После первого включения необходимо очистить PDM. Для этого нажмите и удерживайте кнопку не менее 4 сек. Это приведет к выходу из сети, если в PDM что-то осталось от предыдущей прошивки, и запустит процесс поиска новой сети.

Из-за бага в оригинальной прошивке, существует вероятность получить неработоспособный прибор при попытке переподключить его к zigbee сети.

Из-за некорректных значений в PDM, электропривод не инициирует процедуру сопряжения с zigbee сетью, хотя присоединение разрешено и емкость сети позволяет принимать новые устройства. При этом синий светодиод на электроприводе индицирует процесс поиска сети в течении отведенного для этого времени.

Если проанализировать трафик захваченный сниффером, то видно что устройство рассылает Beacon Request, получает ответ в котором Association Permit = True, Router Capacity = True, End Device Capacity = True, но игнорирует его и через несколько секунд отправляет Beacon Request снова.

Для того что бы вернуть устройство в рабочий вид, необходимо очистить EEPROM в контроллере JN5169. Из-за установленного Lock-бита , который не позволяет получить доступ к EEPROM из бутлоадера, нужно в начале загрузить прошивку которая очистит EEPROM “изнутри” и только после этого можно записывать рабочую прошивку электропривода.

Шаг 1

Извлечь плату с контроллером, отсоединив её от устройства.

Шаг 2

В соответствии с распиновкой подключить UART преобразователь с уровнем сигнала TX– +3.3 вольта. Оптимально использовать USB-UART преобразователь с источником на 3.3 вольта для того что бы запитать плату.

Сигнал /BOOT необходимо подключить к GND. Учитывайте что на определенных шагах этот сигнал должен быть отключен от GND.

GND – GND
+3.3V – +3.3V
Rx – TX
TX – RX
/BOOT – GND
RST – nc

Шаг 3

Скачать архив. Он содержит утилиту JN51xx Production Flash Programmer, прошивки и bat-файлы для запуска прошивальщика.

Шаг 4

Подключить UART преобразователь к компьютеру.
Подать питание на плату электропривода, если используется внешний БП. В файле prog_erase.bat (и prog_curtain.bat) указать COM-порт к которому подключен преобразователь (в оригинальном файле указан COM5). Запустить скрипт.
Так же процесс может быть запущен командой:

JN51xxProgrammer.exe -V 1 -s COM5 -P 115200 -f lumi_curtain_erase_pdm_v1.bin

Процесс прошивки

Успешное завершение процесса

Шаг 5

Обесточить плату. Отключить от GND сигнал /BOOT. Подать питание на плату. Красный светодиод должен мерцать (частота 20 Гц). Если это так, можно двигаться дальше (шаг 6). Отсутствие свечения красного светодиода, либо его ровное (постоянное) свечение, без мерцания, говорит о какой-то ошибке. Рекомендую начать с шага 2 внимательно повторяя все что написано.

Шаг 6

Обесточить плату. Сигнал /BOOT подключить к GND. Подать питание на плату. Запустить prog_curtain.bat Так же процесс может быть запущен командой:

JN51xxProgrammer.exe -V 1 -s COM5 -P 115200 -f lumi_curtain_0034_07172020.bin

На вопрос ответ “Y”

Процесс прошивки такой же как на шаге 4, только длиться в 2.5 раза дольше.

Шаг 7

Обесточить плату. Отключить от GND сигнал /BOOT. Так же можно отключить UART преобразователь так как процесс восстановления закончен.

Шаг 8

Проверить работоспособность электропривода подключив его к zigbee сети.

По мере выхода новых прошивок для электропривода будет обновляться репозиторий.