Decodage eprom 27c256 ==> analyseur de gaz facom xr642

[invite0e3b7ec9]

Bonjour à tous et à toutes

Voila je vous expose mon problème, j'ai récupéré un analyseur de gaz pour régler mes autos anciennes au poil. Il s'agit d'un facom XR642, le dernier étalonnage date de 2010 mais je ne souhaite pas m'en servir à titre pro juste personnel. J'ai changé la sonde à Oxygène ( c'est une pile electrochimique qui a une durée de vie de 18 mois ) elle était rincé.

L'appareil se mets en route, il détecte bien la sonde 0² cependant il m'affiche Err sur 3 afficheurs, après renseignement il s'agit du dépassement du délai d'étalonnage.
J'ai donc ouvert l'appareil et jeté un oeil rapide. Je précise que je connais pas non plus grand chose en electronique j'ai juste quelques bases lointaine...de ma licence radioamateur

Il y a un microcontroleur NEC D78C10G sans ROM interne, le programme est contenu dans une EPROM 27C256. Après beaucoup de recherche je pense qu'il faut une combinaison de touche au démarrage pour déclencher le mode Test ou Calibration... je n'ai pas encore trouvé... La seule chose que j'ai trouvé c'est qu'en tenant la touche CAL enfoncé et en allumant et eteignant l'appareil 2 fois de suite j'évite le préchauffage de 15 min il passe à 2min

Le clavier est composé de 7 touches et il y a une broche 6 fils qui se connecte sur le circuit imprimé depuis le clavier. Sur ces 6 broches j'ai 3 signaux carrés permanent 800 - 400 et 200Hz les 3 broches restantes des contacts qui envoient soit 800-400-200Hz sur des pins différents du microcontrolleur je vous ai fait un petit schéma


Je précise qu'aucune signal ne sort de la RS232 visiblement concu pour mettre un moniteur appelé Videotest

Ma question est la suivante, en lisant l'eprom et avec le peu de données que j'ai pensé vous qu'il sera possible de connaitre la procédure pour lancer la calibration ? Comment procéder pour desassembler le ficihier ? Etc...

Je ne maitrise absolument pas cette partie alors une aide serait la bienvenu

Je vais également avoir un émulateur d'eprom pour pourquoi pas faire des tests en temps réel
-----

[penthode]

HELLO ,

lire l'EPROM ne te servira à rien , le désassemblage d'un code binaire est quasi impossible.

[f6exb]

Bonjour,
Jette un oeil sur le forum usinages.com il y a une rubrique auto-moto ou des gars font de la restauration d'anciens engins. On ne sait jamais. Quelqu'un a peut-être croisé ton appareil.

[invite0e3b7ec9]

salut f6exb enchanté un collègue radioamateur

Malheureusement j'ai fait de très très nombreuses recherches j'ai trouvé pas mal d'infos mais seule celle ci me manque. Tu as raison je vais quand même poster un message là bas

Ca serait rageant de devoir mettre à la benne un appareil qui fonctionne pour un truc basique...

73's

[A voir en vidéo sur Futura]

[invite0e3b7ec9]

Ouais en fait il y a 2 calibrations :

L'autocalibration avec l'appui comme tu le dis de la touche CAL ( c'est une calibration auto que tu peux au besoin lancer toi même), mais cette auto calibration se base sur l'étalonnage fait par le technicien

L'étalonnage est en fait le réglage des zéros, ça se fait avec une bouteille de gaz étalon et cette fameuse combinaison de touche, il y a des résistances variables qui permettent l'ajustement

[nornand]

bjr; quitte a faire demande a Facom France directement , au pire ils te diront non !

[invite936c567e]

Bonjour

lire l'EPROM ne te servira à rien , le désassemblage d'un code binaire est quasi impossible.

Je ne suis pas vraiment d'accord avec cette affirmation.

Le fait est que j'ai déjà réalisé plusieurs fois cette opération sur des systèmes 8 bits, pratiquement à la main, à titre privé et professionnel. Cela réclame juste du temps, de la méthode et un désassembleur ou, à défaut, un désassembleur minimaliste réalisé à partir des specs du microprocesseur.

Avec une connaissance suffisante du microprocesseur et du câblage des périphériques, on peut dans un premier temps retrouver les points d'entrée du code et, de proche en proche, les parties exécutées et les points d'entrée secondaires. On peut en dégager un certain nombre de séquences significatives d'instructions et déterminer les zones de données. Les accès aux entrées-sorties et aux données reconnaissables permettent de caractériser la fonction des séquences qui les traitent et des données qui en découlent. Enfin, l'articulation chronologique et conditionnelle des séquences permet de dégager la structure globale du programme. On peut alors étudier plus précisément les quelques parties de code machine auxquelles on s'intéresse vraiment. Bref, généralement il n'est pas utile d'analyser complètement l'ensemble de la ROM pour arriver à ses fins.

De plus, je me rappelle qu'à une époque on pouvait trouver des logiciels pour réaliser automatiquement ce travail de rétro-ingénierie (par exemple pour analyser les ROMs des PC afin de réaliser des pilotes -- ou afin de craquer des protections ). Je ne me suis pas re-penché sur la question depuis longtemps, mais il n'est pas impossible qu'on puisse trouver ce genre d'outil sur Internet.

[penthode]

sauf que si le code a été optimisé , ou pire , compilé à partir d'un langage , ça devient inextricable.... bref

[invite0e3b7ec9]

Alors pour ce qui est de Facom, ils ont transmis le bébé à Fog ( qui est financièrement mal) et en appelant le contact a pas été très bon... j'ai essayé de demander le mode d'emploi en même temps...j'ai vite laisser tomber...

Pour ce qui est du code ça date de 1989 et c'est un appareil de mesure basique ça ne mesure que 4 valeurs, je sais pas si avec un tel appareil le code peut être aussi complexe j'en ai aucune idée

PA5CAL ton idée m'interesse après je suis pas sûr d'avoir les compétences pour ça, penses tu pouvoir retrouver le nom des outils pour cette retro engineering ? Tu fais comment pour analyser les données à l'oscillo ? J'ai un analyseur CAN que j'ai pas encore testé il devrait pouvoir voir les données en temps réel avec ça tu penses ?

J'aimerais bien arriver au bout du problème surtout que ça pourra aider un certain nombre de personne qui sont bloqués comme moi

[invite936c567e]

sauf que si le code a été optimisé , ou pire , compilé à partir d'un langage , ça devient inextricable.... bref

Inextricable, certainement pas. (La preuve, je l'ai fait, notamment sur des systèmes particulièrement compliqués). Et si c'est compilé à partir d'un langage, c'est au contraire beaucoup plus simple.

Il y a juste du boulot, du vrai, car ce n'est pas une tâche qu'on fait en deux clics comme on nous y habitue trop souvent aujourd'hui.

[invite936c567e]

PA5CAL ton idée m'interesse après je suis pas sûr d'avoir les compétences pour ça, penses tu pouvoir retrouver le nom des outils pour cette retro engineering ? Tu fais comment pour analyser les données à l'oscillo ? J'ai un analyseur CAN que j'ai pas encore testé il devrait pouvoir voir les données en temps réel avec ça tu penses ?

Les rétro-ingénieries que j'ai réalisées, je les ai faites pratiquement à la main, et dans un cas à l'aide d'un petit programme de désassemblage fait-maison que n'importe quel débutant pourrait faire lui-même. Le plus important, c'est d'apprendre comment fonctionne le microprocesseur, ce que la datasheet doit normalement complètement décrire.

Quant aux outils dont j'ai parlé, ils ont été installés sur un PC qui sont plus en ma possession aujourd'hui, et je ne me souviens plus de leur nom.


Je n'ai pas parlé d'analyser les signaux, mais juste de faire une analyse simplifiée du code contenu dans l'EEPROM, à tête reposée et sans rien faire fonctionner, afin de trouver les parties du code qui concernent plus spécifiquement ton problème. Il sera ensuite peut-être nécessaire de faire des mesures pour savoir comment ce problème se concrétise en fonction du déroulement du programme, mais il n'est pas sûr qu'il faille utiliser un oscilloscope pour cela.

[invite0e3b7ec9]

Bon j'ai démonté un peu plus en profondeur l'appareil mais ce qui est étonnant c'est qu'il n'y a aucune pile de sauvegarde ou qui pourrait servir pour le décompte du temps ( entre 2 etalonnages)

Par contre j'ai trouvé un petit composant NMC9346 qui semble être une petite EEPROM ( donc qui serait bien approprié à une calibrage...)

Ca semble beaucoup plus probable que ce soit LE composant qui embete tout le monde sachant qu'il est impossible d'effacer l'Eprom 27C256, et que le microcontrolleur ne contient pas de ROM

Vous en pensez quoi ?

[invite0e3b7ec9]

Alors ce soir je me suis penché sur ce NMC9346 et j'ai trouvé un document très intéressant sur le montage en tant que bridage avec code secret

Après avoir checker comment était branché mon NMC9346 je peux dire que
la pin 1 CS à PF7 du microcontroller
SK est branché sur le port PC6/C0 du microcontrolleur
et que les 2 pins 3/4 data in / data out sont connectés ensemble sur la pin PC5/CI du microcontrolleur

Par contre par rapport au doc le montage avec code à 5 entrées a toutes les pins séparés, le montage à 4 chiffres à les pins 3/4 ensembles et 1et2 ensemble vers un démultiplexeur sauf que sur mon montage je n'ai pas ça sur les pins 1/2 elles sont bien séparées et vont en direct au µC

Du coup j'ai branché l'oscillo sur l'entrée 3/4 voir ce que ça me donnait, donc au démarrage de l'appareil je n'ai rien, jusqu'à des instructions binaires passent et après l'appareil affiche le mot erreur je "décode" ça en 10011. Est ce l'instruction que je vois dans la datasheet 10011 pour EWEN ? ( document joint ) ?! J'ai pas assez de compétence pour comprendre ça...ça me dépasse un peu

Voila merci de votre aide

[invited14ca340]

Bonjour,
Serait-il possible de refaire la mesure à l'oscillo avec si possible le signal d'horloge SCK, SDO et éventuellement le CS? Car il y a plus de 8 bits qui passent et ça permettrait de savoir quelle commande est envoyée (certainement une lecture) et surtout de savoir quelle(s) est(sont) l'adresses et la(les) donnée lue

[invite0e3b7ec9]

Ouais j'ai commandé un analyseur logique ça serait sans doute beaucoup plus clair qu'avec mon oscillo en carton. J'attends également un pince DIP pour extraire le programme de 93C46

Au chapitre des nouvelles j'ai extrait le programme de l'eprom 27c256 ( qui est le programme général), l'eprom qui contient les données dynamiques est la 93c46.

J'ai trouvé chez un collègue radioamateur américain un programme pour desassembler le programme de l'eprom avec l'architecture du D78C10.

Je me retrouve avec un programme en langage assembleur, les instructions semblent séparés par la fonction RET ( return) alors je me posais la question de savoir si avec mon émulateur d'eprom je pouvais pas rentrer le programme par bloc afin d'identifier celui qui m'interesse

Ton hypothèse d'identifier les adresses m'interessent beaucoup car j'ai bcp de mal à faire la différences entre "l'adressage programme" et celle de l'"eprom" mais je pense que tu as raison une fois la données appelée identifié ça sera sans doute beaucoup plus simple

[invite0e3b7ec9]

Dsl pour les fautes j'ai posté dans relire et j'arrive pas à rééditer le message du coup ça me pique les yeux mais pas moyen de modifier hihi

[f6exb]

Bonjour,
As-tu pu déterminer l'adresse physique de la 93c46 ?

[invite0e3b7ec9]

Non parce que je comprends pas comme ça se détermine j'ai fait des recherches mais ça reste assez obscur pour moi

[invited14ca340]

Bonjour,
De ce que j'ai compris en relisant le message #13 c'est que la communication se fait en SPI 3-fils (CS, SCK et DATA bidirectionnelle puisque SDI et SDO reliées ensemble). Il n'y a pas d'adresse physique comme en I²C puisque l'adressage de la mémoire se fait par le Chip Select (CS donc actif à l'état haut).

Au scope il faut donc se synchroniser sur le CS sur front montant et récupérer ce qui circule sur la ligne de donnée. Il faut pouvoir récupérer le premier message qui passe à l'allumage, et si possible quelques autres après (si la plage mémoire de l'analyseur logique le permet, le mieux serait de récupérer tout qui passe avant que le message d'erreur s'affiche).

Un autre truc potentiellement intéressant à regarder serait de voir si il n'y a pas un composant horloge temps réel/calendrier (RTC) qui servirait de référence, puisque pour savoir que la date d'étalonnage est "périmée" il faut bien que l'appareil puisse savoir si on est en 1980 ou 2050

[f6exb]

La datasheet indique un CS à l'état haut pour valider le chip.

[invited14ca340]

Oui j'ai édité mon message, sur le coup j'ai eu un doute et en relisant la datasheet j'ai vu ça, une chance sur deux comme on dit

[invite0e3b7ec9]

Alors naruto c'est très interessant les infos que tu m'apportes...car je me pose la même question au niveau de la date... je n'ai trouvé aucune pile de sauvegarde dans l'appareil hormis la pile electrolytique ( sonde a oxygene) mais ça délivre entre 8 et 13mv ... je suis pas sûr que ça puisse servir pour la sauvegarde.

Y'a un quartz 11Mhz relié à X1 -X2 du proc je vais voir si je trouve autre chose sur le PCB


Pour le scope j'ai fait cette capture CS/Data, ca c'est une des premieres captures faites, cette trame apparaissait dès le démarrage quasiment ( à force de bidouiller éteindre allumer elle a changé...sans pouvoir retrouver celle ci

CHIP SELECT = TOUCHE.png

Après cette donnée y'a plus rien qui passe par le 93C46 jusqu'au message d'erreur, par contre j'ai une intuition qui me dit que le 93c46 apparemment quand il est configuré en "serrure electronique" doit recevoir la clé en une fois. Justement cette clé semble avoir d'après les datasheet de montage 5 chiffres et c'est exactement le nombre de CS que j'ai d'affilée avant que le message erreur apparaissent...

Une fois le message d'erreur apparu l'appareil arrête le préchauffage et ça envoie plusieurs trame on les voit au dessus sur cette capture
Je pense que n'analyseur logique va quand même m'aider à y voir plus clair

NMC1.gif

Voila la capture avec clock et data en rouge c'est de mémoire la longueur du CS pendant cette période c'est pour ça que me paraissait énorme

CLOCK TOUCHE.png


Je posterai la photo de la "nouvelle" trame au démarrage enfin c'est les données durant le premier CS qui change

Je vais de ce pas inspecter le pcb voir si je trouve ce circuit de référence de temps

[invite0e3b7ec9]

J'ai regardé attentivement le PCB j'ai pas trouvé sur celui ci de circuit qui pourrait faire penser à ce montage Y'a 3 platines au total une dessous pour le reste de l'affichage et l'autre c'est la sonde infrarouge pour la mesure des gaz ( c'est un module d'un autre fabricant dont je pense pas qu'il y ai qqchose là dessus)

J'ai fait une photo de la platine
en rouge les multi/demultiplexeur
en blanc les ampli op
en rose les composants pour le port rs232
en jaune la 27c256
en bleu la 93c46

[invite0e3b7ec9]

J'ai fait une capture avec le chip select + horloge au total 27 top horloge sur 1 chip select

CS HORLOGE.png

Et la même chose avec les trames data et CS ( on voit d'ailleurs bien la nouvelle trame en premiere position je ne sais pas prkoi elle a changé, c'est à force de faire des manip mais je n'ai pas d'explication )

CHIP DATA.png

Voila ce que j'ai trouvé je vois dans une datasheet 25 cycles horloge, je suis )à 27 ... je m'y perds un peu
2018-07-15 17_07_26-DatasheetArchive.com.png

[invite0e3b7ec9]

Bon j'ai un peu avancé encore j'avais vu que l'eprom contenait deux fois le même programme
un qui commence a 0000 et l'autre à 4000

la premiere instruction c'est JMP 13c8 donc saut vers l'instruction 13c8 à 4000 j'ai la même chose cependant j'ai viré tout le programme entre 0000 et 3999 ne laissant que le langage qui m'interessait et ça démarre toujours alors qu'a 13c8 j'ai plus rien, donc je pense qu'il y a un dans le 93c46 une instruction qui stipule quelle partie du programme est interessante...ou ajoute 4000 à toutes les lignes 13c8 et 53c8 sont les mêmes lignes

J'ai fait ça avec une simulateur d'eprom j'ai déjà identifié quelques trucs mais rien de sensationnel

[invite0e3b7ec9]

Si je laisse la première partie du programme sans entre 0000 et 3999 sans la seconde partie ça démarre pas, si je laisse juste la seconde partie sans la première ça démarre nickel

J'en conclue que quelques choses "ajoute" 4000 aux "adresses" ou aux lignes d'instructions car le programme est exactement le même quand bien même la ligne 13c8 est stipulée dans le programme 2eme partie et que cette ligne n'existe plus ça démarre quand même

[f6exb]

Pour ajouter "4000" le bit A14 passe de 0 à 1.
Quelque chose à voir par là ?

[f6exb]

Autre remarque :
Au #1 tu dis que mode 1 est à la masse. D'après la datasheet, dans ce cas le uP adresse 4 ou 16 K externes. Or la 256 en fait 32.

[invite0e3b7ec9]

Ouais je vais verifier ça j'ai vu ça aussi ....je vais refaire la verif ce soir...

Vivement que j'ai ma pince dip pour le 93c46 et l'analyseur logique car je m'y perds un peu

[invite0e3b7ec9]

Au chapitre des bonnes nouvelles j'ai trouvé un inter caché (j avais pas assez ouvert les yeux) et en ouvrant l'inter et en faisant une double manip d'inter on/off il s'est mis en mode test mais pour le moment rien de mieux