7771 Перепрошивка мозгов Obd2 серии Р2х (P2C, P2E, etc.) Опции

Тема создана для концентрации всех разрозненных сведений о контроллерах OBDII.
Список типов (P2C, Р2Е), конечно, не закрыт и обусловлен только наличием имеющейся пока информации о них. О Р2E рассказал Vladimir2, все его посты приведу ниже. Р2C теперь есть для исследований у меня, за что огромное спасибо одному хорошему человеку с форума .
Оба этих типа роднит несколько обстоятельств. Во-первых, это одни из первых контроллеров OВDII, но всю малину портит то обстоятельство, что собственно 16-пинового разъема OBDII у них нет . Поэтому их владельцы пролетают мимо всех благ цивилизации, которые она (цивилизация) создала программно и аппаратно для частного самостоятельного использования возможностей OBDII. К имеющемуся 3-пиновому разъему DLC пока вроде еще никто без дорогого сканера не подступился. Наработки в части DataLogging & RealTimeProgramming, доступные для OBDI, для этих типов не подходят (как и для P12&Р13&Р14).
Во-вторых, в этих контроллерах стоит одинаковый МК NEC uPD78214, очень мало описанный и изученный, в отличие от OKI 66507. Сейчас пытаюсь считать прошивку.
А пока далее приведено то, что уже было раньше на форуме.

Vladimir2:
В контроллере Р2С стоит микросхема САТ1155 фирмы Catalyst.
Data Sheet на нее я в сети не нашел. Наверное, микросхема уже устарела и снята с производства. Ближайшая по названию серия этой фирмы - САТ1161. Это флеш-память на 16 К!
У меня в микропроцессоре контроллера типа UPD78P214CW встроенная память программы тоже на 16 К!
Как вы думаете, зачем в мозгах мотора флеш-память большого объема?

Elep:  А структурная схема ECU есть? А то просто говорить о разных детальках очень сложно. Ну ты понимаешь, одна и та же деталь может выполнять разные функции...
Можно предположить, что на ней записан кусок программы, который не поместился во внутреннюю память. Прошивки Кости - 32кБ, а у тебя меньше что-ли?
p.s. Раз пошла такая пьянка, пора уже и мне свой ECU разбирать

Vladimir2:

А структурная схема ECU есть? А то просто говорить о разных детальках очень сложно.

Ага, еще про принципиальную спроси.
Нету ничегошеньки, разумеется.
Однако, больно интересно это.
На плате, кроме микропроцессора расположены:
1.Две микросхемы серии 74НС, одна 144, другая 257 - регистровые защелки или что то подобное.
2. Аналоговый мультиплексор 8 в 1 типа МС14051 - для АЦП процессора, наверное.
3. Две микросхемки от JRC типа 2904 в корпусе SO-8 - пока не знаю, что за фитюльки
4. Упомянутая микросхема от Catalyst
5. Микросхема от NEC типа НС 0D - пока не знаю какого назначения.

Все, больше микросхем нету никаких. Остальное - силовые и не очень ключи транзисторные. Так что схемка почти вся реализована на микропроцессоре.
И все же, зачем в мозгах вообще флеш-память?

Kotey.M:
Владимир, на мой взгляд надо читать эту флешку. Смотреть, что там и т.д. Возможно кусок программы, по которой комп работает. Наверняка его можно будет поправить.
А второй кусок в микропроцессоре. И из микропроцессора тоже надо читать информацию. Если он однократной записи, то надо иметь под рукой аналог, чтоб в него редактированную прошивку загнать. У тебя в чём основная проблема сейчас? Отпаять микропроцессор? - выполнимо. Считать с него? - выполнимо. Найти ему замену? - нужно искать.
Но, я думаю, в первую очередь, флешка должна быть подвергнута исследованию. Возможно, всё, что тебе нужно, в ней находится.

pothead:
http://www.autoserve.8m.com/StepByStep_OBD...ion_OBD_II.html

Vladimir2:
А где этот  перепрограммированный MCU для контроллера Р2С взять то?
Че то я не нашел.
Как и не понял Р2С - это ОБД1 или ОБД2? 

Вопросы по определению подтипа контроллера, а точнее, его разъема (OBDIIa или OBDIIb) сведены в тему Obd2a Vs Obd2b, В чем разница?.

3. Две микросхемки от JRC типа 2904 в корпусе SO-8 - пока не знаю, что за фитюльки

Это два (в одной микросхеме) независимых прецизионных компаратора. Есть datasheet.

Жень, а почему Р2С отнесен к семейству ОБД2? Откуда это?
На форуме pgmfi.org мне тоже американцы сказали, что Р2С из семейства ОБД2, но тоже - без аргументов.
Мои сомнения:
- На ОБД2 всегда задействованы две лямбды - они обеспечивают более жесткий экологический контроль. У меня - одна.
- Нет ОБД2 - разъема.
А может, вообще, есть версии Р2С в ОБД1 и ОБД2 исполнении в зависимости от зашивки программы? Такое в голову не приходило?
Ведь там почти все программно реализовано и имеется минимум аппаратных различий по самому контроллеру. Что-что, а уж протокол обмена по DLC однозначно определяется прошивкой и может разработчиком меняться на ходу. У меня зашивка - японическая, а у американцев - иховская. Поэтому, говоря противоположное, мы можем оба оказаться правыми.
И - супергипотеза. А может, изменив зашивку можно вывести на DLC протокол обмена ОБД2, и воспользоваться всеми благами цивилизации.....

У меня на ОБД2 - вообще ни одной лямбды
И разъёма нет...

У меня на ОБД2 - вообще ни одной лямбды
И разъёма нет...

А поршня то хоть есть? :rofl:

У меня на ОБД2 - вообще ни одной лямбды

А сразу сказать нельзя было?

А сразу спросить?
Я так понял, ты хочешь упростить изготовление разъёма?
Костя, лучше делать всё полностью - я не знаю, на какой машине этот комп будет ездить

Костя хочет увеличить ресурс лампочки "СЕ" (чтоб загоралась реже).

А почему Р2С отнесен к семейству ОБД2? Откуда это?

Это в т.ч. из темы Разъем Obd 2, На праворульках есть?.

Как раз OBD2 на японской хонде ЕСТЬ. Тестер стандарта ОБД2 считывает показания с 3-хпинового разъема (который рядом с 2-хпиновым, где мы чекенжин замыкаем) - на старых машинах. На торнео - только ОБД2. Форма разъема ни о чем не говорит: для разных марок и моделей/годов они могут отличаться - для этого в комплекте с тестерами идет набор разъемов: для параллельного и последовательного чтения разных форм. А сигнал/коды - стандарта ОБД2

Уверенность автора не оставляет места сомнениям .

А почему Р2С отнесен к семейству ОБД2? Откуда это?

Это в т.ч. из темы Разъем Obd 2, На праворульках есть?.

Уверенность автора не оставляет места сомнениям .

Тут вот какое дело.
Пока я экспериментировал с К-лайн адаптером я мог грешить на свои плюхи.
Но после безуспешных попыток законнектить ELM323 с Р2С я сильно разуверился в таких уверенных заявлениях, не оставляющих сомнениям места.
В ELM323 процесс опознания и установления коннекта зашит внутри микросхемы и от софта, компа и всего остального - не зависит.
Еще раз повторю гипотезу - протокол стыка зависит не только от типа и конструктива контроллера, но и от версии зашивки.
По другому я результаты экспериментов никак истолковать не могу.

Итак, кое-что я с имеющимся контроллером Р2С сделал. А именно в направлении решения задачи №1 – считывание штатной прошивки.
Методическая подготовка.
Первый камень в фундамент будущего здания знаний с вывеской «NEC uPD78214» был заложен Wovan’ом прошлым летом. Именно он впервые предоставил даташыт на этот МК. Впоследствии я нарыл более удобный, официальный NEC’овский неотсканенный даташыт. Вот он. 487 стр. (3 Мб). В дальнейшем все ссылки будут по умолчанию на него.

Есть еще три версии, но они менее удобны, хотя могут оказаться полезными, т.к. отличаются содержанием:
Road Map по NEC\'овским МК. (0,5 Мб). Редкий файл.
DataSheet, 60 стр. (2,5 Мб).
DataSheet, 72 стр. (2,5 Мб).
Если у кого-то найдется еще что-нибудь по теме, то буду приятно удивлен, т.к. инфы по этому МК крайне мало. Фирма-изготовитель очень странно не предоставляет информацию о семействе МК серии 78K/II, прямо как заговор какой-то. В документации имеется много ссылок на официальные документы по этой серии, но их нигде нет…
Как стало понятно из документа, МК uPD78214 имеет внутреннюю RОМ размером 16 кБ. Место под внешнюю память на плате не предусмотрено. ROM масочная (прожигается при изготовлении), поэтому вариант с перепрограммированием МК отпал сразу. МК с буквой Р (78Р214) имеют память PROM (electrically writable PROM), которая, в отличие от масочной, может быть прошита пользователем, но тоже однократно. Здесь вырисовывается лазейка, в которую я захотел проскользнуть, но об этом позже.
Остался вариант с размещением памяти программ на внешней ROM. Здесь вроде небезнадежно. Имеется вход EA, переключающий МК на чтение программы из внешней памяти. Адресное пространство ROM совпадает (access to the external memory mapped to the same area as the internal ROM). Это есть гуд и дает надежду подменить прошивку на внешней РОМ. Правда, забегая вперед, скажу, что это на определенном этапе и помешает.
Подмена прошивки на внешней РОМ кроме возможности корректировки параметров дает еще и шанс уже подумать о самодельном (но только аппаратном) RTP (Real-Time Programming), а это уже для этого типа контроллеров невиданная роскошь и широкие перспективы. Но об этом пока рано говорить.
Итак, надо сделать первый шаг – считать внутреннюю прошивку. Конечно, выпаяв МК, что не проблема. Что потом с ним делать? Вероятно, вставить в программатор, читающий микроконтроллеры NEC этого семейства. Остается пустяк – найти, где взять программатор? Проблема решается быстро : а нигде. Когда даташыт как подарок, программатор вымерших микроконтроллеров-призраков тем более из области фантастики.
Ладно, допустим сделаем сами, используя описание. Как перевести МК в режим чтения внутренней РОМ? Возвращаюсь к найденной упомянутой выше лазейке. Идея заключается в использовании режима программирования для МК с PROM (чаптер 17 на стр.428). Второй брачной ночи с одноразовым МК не получится, но в этом режиме имеется возможность процедуры считывания PROM (стр.430). Необходимо погрузить МК в нирвану (PROM Programming Mode) путем соединения его выводов по схеме на стр.40. Далее стандартные процедуры по выставлению адреса, считыванию данных – алгоритм и тайминги на стр.430-431. Вроде осуществимо. Смущает только, что у меня имеется только uPD78214 с masked ROM, а не с PROM (uPD78P214), но спасибо и за это добрым людям, остается надеяться, что режиме чтения PROM и масочное ПЗУ тоже считается.
Аппаратная часть.
Для осуществления вышеизложенного был собран макет программатора, общий вид которого приведен на фото.

Управление будет осуществляться микроконтроллером Cygnal (CPU для краткости), расположенным на отдельной плате. Выбор чисто субъективный. Однако, впереди маячит пока нерешенный вопрос: если удастся считать первый байт прошивки, то что с ним делать дальше? Надо же где-то его записать. Так вот чтобы не заморачиваться еще и с передачей байтов прошивки на РС или не лепить еще одну микросхему-авоську перепрограммируемой памяти (которую опять же потом на обычном программаторе и считывать придется), можно записывать данные во внутреннюю flash-память Cygnal’а (32 кБ, 16 кБ прошивки легко поместятся). А уж удобная среда разработчика потом позволит легко скопировать содержимое внутренней флэшки в отдельный файл.
Фото платы управления (CPU).



Сам пациент (MCU) расположился также на отдельной плате в панельке. Схема подключения выполнена по требованиям на стр.40.
Неоновую подсветку решил пока не ставить .






Программа для CPU написана на ассемблере в меру разумения новичка в этом деле.
Результаты.
Результат пока один. На русскую букву «икс». Не погрузился MCU c masked ROM в нирвану, предусмотренную для MCU c PROM, несмотря на полную идентичность в остальных параметрах и архитектуре. Фокус не удался. Теперь уже это выглядит логичным, но не попробовать использовать этот шанс тоже было бы неправильно. К тому же при наличии 78P214 должно получиться.
А вот теперь вопросы и просьбы.
1. Для спецов – проверить на наличие методических и пр. ошибок, т.к. я не профи.
2. Всем интересующимся – высказывать предложения по дальнейшим действиям.
3. Следующий предполагаемый шаг – запустить MCU с внешней РОМ и программой в ней попытаться считать внутреннюю РОМ. Электрически не проблема, загвоздка в программе. Пока примерно такой план:
3.1. Во-первых, на чем писать? Упоминаемый в документации ассемблер RA78K/II (стр.462) сейчас не ищется никак. Можно ли писать программу сразу в двоичных машинных кодах, одинаковы ли они (коды) для всех МК или опять у каждого семейства свои? Например, в х51-совместимых МК команда увеличения аккумулятора на 1 всегда имеет двоичный код 00010111, хотя в различных ассемблерах мнемоника может записываться по-разному. Поэтому даже при отсутствии ассемблера можно извратиться и написать несложную программку. Вопрос к спецам: применимо ли это для рассматриваемого МК?
3.2. Во-вторых, как говорилось выше, адресация при размещении программы во внешней (доступно 64 кБ) или во внутренней РОМ (доступно 16 кБ) совпадает:


Но вот обещанный минус: при запуске с внешней РОМ содержимое внутренней (наша цель) становится недоступным! Т.е. при попытке считать содержимое ячейки 0000 или любой другой из адресного пространства первых 16-ти кБ ВНУТРЕННЕЙ РОМ будет честно считываться содержимое ВНЕШНЕЙ, т.к. вывод EA установлен в режим внешней РОМ (мы из нее стартуем)…
Предлагаю решить проблему так (возможно ли такое в принципе?):
- стартуем с внешней памятью (ЕА=лог.0);
- первая же команда осуществляет переход за пределы адресного пространства первых 16-ти кБ (на адрес 04000Н на рисунке), все последующие выполняются там же, «в небесах»;
- переключаем ЕА в лог.1 – подключается внутренняя РОМ, но выполнение-то программы уже идет с верхних адресов!;
- с «небес» считываем байт за байтом ставшие доступными нижние 16 кБ – нашу цель, куда переписывать – неважно, дело техники (см. выше).
Возможен ли такой фокус?

Скажите диджею, я просто - ..уею.
Реально ..уею, скажите диджею.

Женя, респект!

Как ты считаешь?
От чего зависит решение производителя, какой микроконтроллер устанавливать в данный момент в данные мозги данного типа, NEC uPD78214 или NEC uPD78P214? Возможно, что только от наличия того или иного типа МК на складе Denshigiken. Может быть стоит поискать Р2С с uPD78P214? Прошивки по идее ничем не должны отличаться для одинаковых моторов (по мощности) с одинаковыми типами трансмиссии, одного рынка сбыта. Если мое предположение верно, то в принципе можно считать прошивку для Р2С всего лишь один раз, а потом конвеерным способом её загонять в добавленную внешнюю память многих мозгов этого типа.
Если повезёт, то прочитаем, например, вариаторную прошивку, а если мозги потом на меху ставить - просто по дорожкам проследить какими джамперами/резисторами отрубается вариатор.

Сам по себе тип прошивки не критичен. (Я знаю - ты убеждён в обратном ).
Возможно покатит тема с ОБД1 где на одной прошивке можно запускать туеву хучу мозгов, не смотря на то, что из мозгов этих прошивка читается совершенно иная по структуре. Т.е. главное, чтобы микроконтроллер был один и тот же.

А вообще меня удивляет размер прошивки. В ОБД1 он 32 кб, но там нулей всяко менее половины.

Наверное мозги неВТЕКовые и там нет двух карт, которые порядочно места хавают.

Значит во ВТЕКовых мозгах должно быть как минимум 32 кила.

Я пока не знаю, что будет труднее, найти Р2С с uPD78P214 (если вообще есть такие) и использовать твой готовый девайс или прочесть прошивку с помощью навешенной внешней памяти.

Во всяком случае стоит попробовать поискать ИМХО.
Можно людей попросить пофотать мозги в своих машинах.

Если мое предположение верно, то в принципе можно считать прошивку для Р2С всего лишь один раз, а потом конвеерным способом её загонять в добавленную внешнюю память многих мозгов этого типа.

Я пока не знаю, что будет труднее, найти Р2С с uPD78P214 (если вообще есть такие) и использовать твой готовый девайс или прочесть прошивку с помощью навешенной внешней памяти.

У меня такой микропроцессор в машине. С буквой Р - однократно программируемый.

Восхищение перед упорством Жени.
Но скепсис перебивает.
Скока я ни встречал западных штучек запрограммированных, - везде стоит защита от чтения памяти. Не исключено, что поэтому фокус не удался и с масочно-программированным контроллером.
Фокус с троянской программой в верхней части памяти тоже может не получиться. Потому как контроллеры - машины с физически разнесенными по памяти кодами программы и данными. Троянская программа не сможет прочесть коды в нижней части адресного пространства, поскольку они закрыты битом защиты в т.ч. и от ВНУТРЕННЕГО чтения.

Блин, знать бы японский, написать бы на Honda - мол так и так, есть фанаты вашей марки, вы эти контроллеры все-равно уже не выпускаете. Подарите исходники!

Кстати, обратите внимание на левый верхний угол печатки ECU. Там место под микросхему и доп.сборку иммобилайзера. Иммо, вроде японцы для внутреннего рынка не ставят. У меня там тоже пусто. Но плата то разведена. Значит, такие контроллеры широко шли и в Европу и в Штаты. И работали там с интерфейсом ОБД2!
Получается, что интерфейс шины DLC определяется только зашивкой программы.

Я наоборот уверен, что бита защиты от чтения прошивки нет. При наличии такой библии по 78214 прошерстил описания всех регистров и пр. - нет нигде упоминания про защиту от чтения.
Владимир, программа не троянская, она же не в RAM располагаться будет, а как обычно, в ROM. Только по адресам выше первых 16 кБ. При использованиии внутренней ROM доступно только 16 кБ, а при использовании внешней - эти же 16 плюс еще 48 кБ. Вот только вопрос - будут ли доступны верхние 48 кБ, если МК перевести в режим с внутренней (internal) RAM...

Костя, согласен. Но прошивка на таких МК всегда будет 16 кБ. Больше только при использовании внешней памяти, а таких контроллеров вроде нет. Да это не важно. Все равно все модификации возможны будут только при использовании внешней памяти, а она может быть до 64 кБ.

Жень, ты не горячись.
В описании регистров этого и не будет. Бит защиты упоминается в описании программирования. Т.е. перед программированием записывается в софте программатора слово конфигурации. В этом слове есть биты, отвечающие за режим программирования, в т.ч. и бит защиты. Программатор шьет всю программу, считывает ее для верификации и только после этого прожигает защитный бит. Бит работает так. При обращении к области памяти, где зашита программа - читаются нули, или единички. Причем читаются нулями не только на шину данных, но и во внутренние регистры. Бит защиты блокирует внутренний строб выборки из памяти. Так организовано в большинстве микроконтроллеров. Так ли в 78Р214? - не знаю. Не проверял. Если дашь ссылку на описание - попробую найти.

Расскажи, как именно выглядела неудачная попытка с масочным кристаллом. Что именно не читалось?

Теперь про 16 кБ. В этом контроллере справа внизу, чуть ниже IC3, на фотку не попало, размещена флешка емкостью еще 16 кБ. Я уже об этом писал. Так вот, я даже гипотетически не могу предположить, что она там делает. Для чего в контроллере флеш такого объема, если не для хранения карт топлива и зажигания в т.ч. на режимах VTEC?

Короче надо пробовать читать 78Р214 с помощью готовых девайсов.

Привет Женя, удивлен твоим упорством.
Ход твоих мыслей понятен.
Я не имею возможности скачать для просмотра Дата Шиты по приведенным тобою ссылочкам.
По теме вижу большой затык. Писать программу в двоичных или шестнадцатиричных кодх (машкодах) - гемороидальное занятие, но при отсутствии нормального и, что очень важно, совместимого с данным типом чипа, ассемблера другого пути нет. При написании проги для считывания внутренней памяти, т.е. запуска контроллера с внешней памяти, первое что нужно абсолютно точно знать, это содержимое первых 64 байт, т.е. векторов (Vector Table Area). Если нет точной инфы, то это тупик, как грится нужен правильный старт. Возможна эта инфа есть в дата шитах.
Про команды для NEC uPD78214 ничего не могу сказать, т.к. никакой инфы не нашел. Позвонил на свое предыдущее место работы (НИИ АЭМ), поспрашал очень вумных людев, никто ничего толкового проэтот камень не знает.
Идея со считыванием памяти через процедуру перепрошивки ПРОМ интересный ход, в целом все логично. Но нужен программатор.
И последнее, согласен с Vladimir2 по поводу считывания нижней внутренней памяти, может не быть такой возможности.

ЗЫ-1 Я не считаю себя супер-пупер профи, просто чуток разбираюсь в этом и высказал свое мнение, просьба сильно не пинать.
ЗЫ-2 Еще раз снимаю шляпу перед упорством ищущих.
ЗЫ-3 Если что накопаю по теме через свою предыдущую работу в НИИ обязательно тут отпишусь.

Жень, беру свои слова обратно. :blush
Подробно просмотрел мануал на 78214. Действительно, с кристалла 78Р214 считать содержимое программы можно. Защиты от чтения там нету.

Теперь дилемма. На машине стоит как раз 78Р214. Процедура выпайки и чтения непроста. Нужно панельку-переходник распаять под какой-нибудь серийный программатор и на нем скачать. Программатор то я поищу у себя на работе. Но работать надо быстро - машина то на приколе стоять будет. Только чтобы это было не для спортивного интереса, хотелось бы знать, а что дальше?

Ну заполучили мы дамп. Допустим, разобрались, как его модифицировать. Куда закачать модифицированный код? Чистых кристаллов 78Р214 наверно днем с огнем не найдешь. Уж программатор - ладно. Можно приспособить другой через переходник самодельный. А куда потом шить код?
Во внешнюю память? Распаяв ее на приклеенной к плате панельке?

Че то руки у меня зачесались....
Мне то собсно, много и не надо. Ограничитель мне не помеха. Вот интерфейс DLC переписать бы под ОБД2 - вот это было бы да.....
Там, небось, всего лишь подпрограммку обработки прерывания заменить - и все.

Какие мысли будут, Жень?