Зачем ему программатор,чип сам себе вливает eprom,правильно попросить только надо.
Блоками какими-то,как я понял
вызывает смущение по сканированию по адресам команд -
SCAN из DJI-Killer
Он и не будет отвечать по тем адресам, которые выдают данные из регистров. Он в другом режиме. И там другие адреса.
shura1971 писал(а):
Мне бы найти еще из Battery Firmware Hacking от Miller
Он ссылается на - bootROM API - sluu225.pdf
Не проблема, почитайте и это.
https://drive.google.com/file/d/1ZM6pmE ... sp=sharing
https://drive.google.com/file/d/1kFPiyy ... sp=sharing
https://www.radiokot.ru/forum/viewtopic ... start=1800

ссылки не доступны
бешка у меня есть

Чтож спасибо всем кто откликнулся!!! Пришло время вдумчивого чтения, скажем хочеться победить пресловутую прошивку Apple и научиться работать с чипами батарей, хотя бешка с основным потокам справляеться но всеже теорию хочеться понять, да и покупать лицуху за 250 баксов ради пары батарей Apple жаба душит.

Ссылки из темы 90 на радиокоте,
https://www.radiokot.ru/forum/viewtopic ... start=1780
https://drive.google.com/file/d/1ZM6pmE ... 66YoZ/view
https://drive.google.com/file/d/1kFPiyy ... kmbOT/view

sanchelo81
По порядку: какой чип? bq20z451? откуда известно что чип пустой? я пролистал сообщения, но не нашел где бы вы объяснили что и как произошло с чипом батареи.
Если вы перепрограммировали его БЕшкой, то полагаю вы запортили только EEPROM часть прошивки. Это другая ситуация, а не то что я с вами обсуждал.
Если чип новый, и это не продаваемый стандартный bq20z45, а именно bq20z451, купленный у китайцев, то полагаю, он будет действительно пустым. В этом случае никакие команды не нужны, чип сразу будет в буте при запуске. Но повторяю, это лишь в случае, если чип "заказной" - без прошивки.
Если прошивка там есть, и она работает штатно,то в бут его перевести можно командой.
Если чип bq20z451, там заказная прошивка, возможно даже не TI. Я с ними не работал, а с Apple вообще история особая.
Далее, если только EPROM пустой, то прошивка работает, но в безопасном режиме. И EVSW ее действительно не увидит. В ней нет средств работы в этом режиме.
Пока больше сказать нечего.

Alex_PP

Спасибо за подержку темы!!!

Чип от Apple это жертва которую не жалко для науки c прошивкой ниже 5.00 bq20z451 сохранил дамп , потом был специально затерт нулями в бешке, хотелось понять как они вообше работают и программируються не точто-бы интересорвал прям конкретно Apple, просто он стал жертвой эксперемента, да и есть интерес к разлочке этих чипов с прошивкой выше 5Й.

Также интересовало то как прошиваються новые чипы на заводе может есть какойто железный программатор в который в сокете вставляеться микросхема и прошиваеться. Поскольку затертый бешкой теперь действительно в EVSW не видеться в строчке DEV инфо пусто а раньше была как я пологаю версия EPROM чипа.

Также итересен такой момент бешка сохраняеет все одним файлом? как я пологаю EPROM+рабочая прошивка?

Теперь интересует как можно вернуть это чип к жизни, и возможно ли это теперь, средствами SMB протакола или дейтвительно есть какойто программатор который TI хранит у себя или EPROM чипа делаеться какимто масочным путем при изготовлении чипа.

И в каком состоянии продаються новые микросхемы у китайцев с записаным EPROM что позволит работать с ним EVSW или в состоянии пустышки, тогда каким образом его прошить посредсвом SMBпротокола? иначе какой смысл продавать пустышки если железного программатора для заливки EPROM для них в продаже нет.
---------- Добавлено спустя 24 минуты 26 секунд: ----------


EPROM=минимальный загрузчик для работы с EVSW

Рабочая прошивка=основная прошивка чипа с данными о батареи

Или на оборот?

На bq20zxx с запертым EEPROM, способа восстановить чип пока не видел. Из-за пустого EEPROM прошивка просто зависает и молчит по всем адресам. Такие чипы пока только под замену.

EEPROM это некая область данных с настройками.
Прошивка/Program это сама управляющая программа, она читает и использует эти настройки.

Если у нас затерт EEPROM то прошивка пытается запуститься, но сможет ли с пустым EEPROM, тут уже как её написали.
Если же у нас затерта сама прошивка(первые блоки, если затерт блок по средине, то мы тоже вероятно получим кирпич), вот именно тогда чип падает в BOOTROM и ждёт когда его прошьют. Именно в этом состоянии и продают пустые кастомные чипы, у них все области пустые из-за чего они находятся сразу в BootRom.


На самом деле думаю у этих чипов действительно есть какой-то аппаратный способ программирования(тот же Parallel IO или подобное), но в открытом доступе информации об этом нету, и скорее всего в ближайшее время не будет.

Вообще интересно как разработчики прошивок их делают. Явно есть какой-то доп метод отладки/прошивки. Сомниваюсь что при каждой ошибке в коде которая вешает чип, они берут новый чип а старый просто выбрасывают.
---------- Добавлено спустя 3 минуты 9 секунд: ----------
sanchelo81
Бешка вообще не трогает область прошивки, она работает только с EEPROM, её и сохраняет

Какой такой eeprom ?
Dataflash там
https://www.ti.com/lit/an/slua511b/slua ... e.com%252F

btomce
DataFlash это 'интерпретация' EEPROM.
Данные хранятся в EEPROM(область данных, DataMemory как его называют TI) а вот уже DataFlash это эти самые данные но выданы по группам(классам).
Кратко говоря EEPROM это RAW данные а DataFlash это настройки по пунктам. Можно сказать это одно и тоже.

Тоесть есть диапазон адресов памяти который поделен на части скажем условно есть та часть памяти которая необходима для того чтобы утилита от Ti увидела контроллер, а потом уже то что дает возможность увидеть его как батарею? Верно?
---------- Добавлено спустя 20 минут 52 секунды: ----------


как не трогает? трогает утилита от Ti теперь его не видет. Или возможно может утилита от Ti работает ток с готовой полной прошивкой. Тут ответ можно получить купив пустой чип подкинув его на плату и запустить утилиту от Ti

И еще такой момент если в чипе прошивка тогоже Apple или не стандартая то может быть такое что там свои команды адреса и т.д отличные от тех которые есть в документации Ti из общего доступа?

sanchelo81

Вы затерли настройки чипа, чип при загрузке просто зависает, он не понимает как ему надо работать и висит. Логично что и утилита его не видит, потому что чип просто завис.


Прошивка и EEPROM взаимодополняющие области, и одна спокойно может влиять на другую. Повторяю, прошивка это инструкция как чипу надо работать, а EEPROM это настройки для его правильной работы. Если настройки не правильные, результат может быть рандомный. У вас же чип просто завис.


Прошивка в 99% случаев должна так же реализовывать Standard SBS(Voltage, Current ...) а вот Extended SBS(PF, Operation Status, SubClass) может реализовать по своему. Тойсть обычные данные которые запрашивает ноутбук должны быть такими же, а вот сервисные команды могут быть сделаны по своему.
Так же при изменении прошивки надо менять и EEPROM, а то опять же можно получить кирпич.

Возможно, они с тем же алгоритмом работы прошивки в случае сбоя работы, как и bq8030, 8050, хотя кнш там прошивка Sanyo.
Конечно обязательно существует способ вывести чип из этого затупа, но алгоритм у TI может быть и свой. Можно по крайней мере проверить.
Не трогает. В этом и было заблуждение. Она программирует только EEPROM.
Только экспериментов нам не хватало. )) Раз экспериментируете - значит чип не жалко.
Здесь вам не университет. Мануал в руки - и вперед!

Ну теперь более мение картина скадывается, жалко мозгов не хватило прицепить анализатор i2c к NLBA1 когда лицуха работала зналбы сейчас их серкет и какие команды и пароли посылает эта железка батареям Apple
---------- Добавлено спустя 2 минуты 17 секунд: ----------


бешка или утилита от Ti?

ладно буду курить мануалы

поледний вопрос а ключь пожет быть только 8ми значный или еще какието варианты могут быть?

У bq8030 от sanyo что были у меня, при проблемах с EEPROM он отвечает по i2c/smbus выдавая 0x35-0x39 регистры. Bq20z же вообще перестаёт определятся по i2c/smbus, может конечно он просто не реализует smb_ACK, но как найти такое я хз.

Походу есть программатор
BQ-BATTERY-PROGRAMMER-SW software development kit (SDK) is a collection of robust software command line tools that assist with the process of programming, testing, or assembling packs that use TI Battery management products. The executables in this software work with the MKST-3P-ALT-EV2300 MKS (...)
https://www.ti.com/product/BQ20Z40

Это лишь аналог/версия EV2300 в виде маленькой платки. Никаких особенностей скорее всего нету.

БЕшка конечно. Ведь про нее у вас речь там шла. Ей вы шили и стирали.
---------- Добавлено спустя 1 минуту 49 секунд: ----------
В случае с bq20z45 - Да, только такой 4 байта. Хотя - все зависит от прошивки. ))

Просто не могу понять если стер в бешке почему утилита от ti тоже не видит его? ладноб бешка его не видела как батарею а то и утилита от Ti тоже не видит просто пытаюсь понять карту памяти этого контроллера, я просто провадил аналогию с ПК есть биос есть Винда винду стерли но ПК живой и можно заново поставить а тут все стерли и как вобще с ними работать поэтому и спрашивал про железный программатор а тут пока получаеться что их прошить можно только софтово и когда он изначально в рабочем состоянии.
Ладно для науки заказал чистый с китая посмотреть какая программа как его увидит и как он там определяться будет. Я так понимаю с пустым контроллером этой модели никто не работал. Как приедет результаы опубликую тут пока толком ничего не скажешь.

в прошивке от Apple ключ в дампе длинный вместо 0414 XXXX там 40бит причем на всех 3х батареях одинаковые а остальные ключи теже что и в даташите на BQ20z45
И на других батареях.

Я думаю сама прошивка из 40 битного ключа формирует 4 битный зать бы алгоритм ключь это какраз наверное и результат этого вычисления мож ошибаюсь конешно Х.З.
Кому тема поп поводу яблочных батарей интересна кидайте идеи будем пробывать распаролить.

Вы производством заняться хотите? ))
---------- Добавлено спустя 2 минуты 35 секунд: ----------
Вам же объясняли. Стерта бласть EEPROM. прошивка не может понять данные из нее и виснет. Лучше бы вы всю память стерли., а не только EEPROM. Тогда бы он в Буте был. Но БЕшка этого не умеет.
---------- Добавлено спустя 1 минуту 50 секунд: ----------
Увидет EVSW полагаю. Н точно вам никто не поручится. Это форум по ремонту все же. И тако случай редкий.
Какой именно чип вы заказать хотите? 45 или 451?

да ну нафиг зачем, просто интерес проскаивают батарейки время от времени вот и учусь с ними работать.
---------- Добавлено спустя 45 секунд: ----------


да и тот и тот закажу
---------- Добавлено спустя 41 секунду: ----------

45 будет скорее всего с предпрошивкой по умолчанию. Отвечать будет везде.
451 будет думаю пустой. Хотя не поручусь.

Alex_PP

проведите аналогию
epprom=БИОС
прошивка= Виндовс
или наоборот
а то я запутался совсем
или предпрошивка это то что дожна видеть TI
---------- Добавлено спустя 1 минуту 24 секунды: ----------


придут отпишусь сюда что нужно выложу я думаю многим будет интерестно да некоторые вопросы могут отпасть сами.

Прошивки нового поколения из 128 го ключа делают вообще 256 байтный кажется, добавляя к нему хардверную часть. Почитайте мануалы про чипы 30zXX или 40xx, там такие используют. И программа там bqStudio уже.

Скажем условно:

EPROM=это вся память МК Dataflash
предпрошивка=Биос,настройки, минимум для запуска МК
прошивка=Виндовс, это уже рабочая часть прошивки которая и определяет ее как батарею

Верно?
а то просто каждый интерпретирует по своему я запутался.

Это микроконтроллеры, а не персоналиный комп. Там нет биоса или виндовса.
Есть исходный загрузчик Бутлоадер. Его непросто поменять.ю но бывает можно если в нем самом таковое предусмотрено.
И есть прошивка - программа, которая выполняется после отработки Бута.
А насчет EEPROM и Прошивки, то контроллер иметт единую область Flash памяти. Она адресами поделена на часть DATA и Software.Просто адресами!
В одной из них лежит прошивка, в другой данные для ее работы. Бутлоадер. об этом может и не знать, для него все едино. Но порамматор знает, какой адрес данных, а какой прошивки.
Хотя нет, Бутлоадер знает стартовый адрес софта. Он не в начале памяти.

BQ-BMS-PROGRAMMER-SW это просто оптимизация работы с чипами. Там есть альтернативный алгоритм, но это думаю мало что меняет. Просто оптимизация. Надо же им вас чем то удивить! ))

Вот теперь понятно, стало. Просто ждать теперь пустые контроллеры и смотреть как они софтом определяться будут. А так только догадки

Ну нельзя же без знаний микроконтроллеров и их работы - идти и программировать батареи. Начать изучение надо было оттуда. Это же основы.

есть такая.
---------- Добавлено спустя 6 минут 19 секунд: ----------


я изначально наверное не так вопрос поставил, я знаю что память уних она и одна поделена, просто сбило с толку отсутствие железного программатора в миру и как работать с пустой микросхемой, опять таки что значит пустой?.... тут тоже не понятно...
пустую я так понимаю ее никто в руках не делжал и не пробывал работать с ней.
ну только ждать скажем так условно пыстые или х.з. какие они придут от китайцев а там уже смотреть что значит пустая.
---------- Добавлено спустя 36 минут 8 секунд: ----------
Нарыйл кучу батарей ненужных с разными контроллерами возьму затру в них память и посмотрю что и как потом будет определяться. Просто для науки
---------- Добавлено спустя 5 минут 33 секунды: ----------
Ладно прошивка Apple есть попробую разобрать её дисасембером.

По поводу прошивок Apple
вот это смотрели?

https://www.youtube.com/watch?v=_9ErnoLVxCA
https://media.blackhat.com/bh-us-11/Mil ... lic_WP.pdf

посмотрю пригодиться
---------- Добавлено спустя 7 минут 6 секунд: ----------
Alex_PP

я так понимаю способов взлома много посути информация была на эти темы уже 10лет назад просто эта тема особо ни интеерестна никому, париться иза батарейки которой цена 1т. шас немного тема ожила благодоря мавикам ну и из спортивного интереса. там стандартные ключи для bq20zXXX так по форумам полазил почитал, и как я понял у кого своя прошивка там и возникают сложности.
---------- Добавлено спустя 1 час 56 минут 34 секунды: ----------
There are two ways to authenticate and unseal thebattery. The first is with a 4 byte unseal key that is passed using the
ManufacturerAccess->Unseal Device SBS command. Another way is through the
Authenticate SBS command which uses a SHA-1 based authentication transform.
Extended SBS commands include things like getting safety alerts and controlling the
hardware FETs. An even higher mode of privilege is possible called Full Access. A
separate 4 byte password is needed to enter Full Access mode from Unsealed mode.
Full access mode allows you to, for example, enter Boot Rom mode which allows low
level access to the hardware.
Macbook batteries ship with a default unseal password (0x36720414). This was found
by reverse engineering a Macbook battery update. On Macbook batteries, the full
access mode password is also hardcoded and default (0xffffffff).
There are also a large variety of Flash Data values available. This contains things like
configuration information. In order to access Flash Data, one writes the subclass ID to
SBS command 0x77 (DataFlashClass) then reads or writes the value for that Flash
Data using SBS command 0x78 (DataFlashClassSubClass).
In Mac OS X, there is a mechanism for (root privileged) processes to communicate with
the battery using IOKit. You can open up the IOService AppleSmartBatteryManager.
Then, you can read and write to this service using the
IOConnectMethodStructureIsStructure0 API. I have code which can read and write
arbitrary SBS commands to the battery.
---------- Добавлено спустя 6 минут 16 секунд: ----------
Ключь который стоял в старых прошивках 0x36720414 они получили в ходе обновлеения прошивки АКБ разобрав её он был читаемый. Потом яблочники поменяли алгоритм да и обновления для АКБ не выходили. Пробывать на рабочем буке циплятся к батареи пытаться получить доступ к памяти АКБ через MacOS и слушать шину я думаю таким образом ребята из UBRT и NLBA их и вскрыли или просто симитировали подключение ноутбука к батареии с Root правами и както разобрались с этим вопросом, стопудово MacOS может получать доступ к памяти контроллеера, хотябы для тогоже обновления прошивки в МК батарееии.

способ получения ключа изи SHA-1
ток не могу понять что это за способ что для этого нужно и как он работает может кто подсказать?

Нужен дизасембер для СoolRISC816 только чет не гуглиться