[BK7231N][CBU] ZMAi-90 Smart Energy Meter Teardown and Flashing

Cześć wszystkim!

Jakiś czas temu nabyłem inteligentny licznik energii ZMAi-90 do kontrolowania zużycia energii przez kilka serwerów.
Jest to wspólne urządzenie dla flasherów Tasmota: Link
Od początku chciałem przejąć kontrolę nad urządzeniem lokalnie z mojej sieci LAN, całkowicie usuwając usługi w chmurze. W rzeczywistości znalazłem kilka postów z około 2019 roku, w których ludziom udało się sflashować Tasmotę, gdy używali chipu ESP8266. Dlatego zdecydowałem się na zakup nowego, aby spróbować go sflashować.

Ku mojemu zaskoczeniu, urządzenia te zostały zaktualizowane i teraz są domyślnie dostarczane z CBU wykorzystującym chip BK7231N.

Po przeszukaniu Internetu natknąłem się na projekt OpenBeken, który dosłownie uratuje mi życie, ponieważ jest to teraz jedyny sposób, aby uczynić te urządzenia wolnymi od chmury bez konieczności ponownego lutowania nowego chipa.

Mam wszystkie narzędzia, dostarczę wysokiej jakości zdjęcia i mam 3 z tych urządzeń gotowych do złamania, jeśli zajdzie taka potrzeba, aby w pełni działały; ale potrzebuję wskazówek, biorąc pod uwagę, że moje doświadczenie z flashowaniem i elektroniką jest dość krótkie, a informacje dla każdego konkretnego urządzenia wydają się być bardzo różne.

Ten facet wykonał niesamowitą pracę polegającą na inżynierii wstecznej wszystkich połączeń między płytką WiFi a rzeczywistym przekaźnikiem, do tego stopnia, że nawet Tasmota dołączyła łatkę umożliwiającą mapowanie pinów tego urządzenia. Miałem więc nadzieję, że niektóre z informacji opublikowanych w tych postach będą przydatne, gdy urządzenie zostanie sflashowane, aby ułatwić konfigurację:
Część 1: Link
Część 2: Link
Część 3: Link
Teraz spójrzmy na kilka zdjęć.
Urządzenie z zewnątrz - dość prosty jednofazowy inteligentny licznik:

Otwórzmy go:

Druga płytka z przekaźnikiem:

Oraz moje urządzenie migające z precyzyjnymi chwytakami. Mam też Raspberry, którego mogę użyć do flashowania:

Tak więc, przedstawiłem problem, moje źródła i zasoby do mojej dyspozycji... od czego zacząć?! Chciałbym, aby okazało się to przydatne dla całej społeczności, abyśmy mogli opublikować kompletną procedurę, jak to zrobić krok po kroku.

Z góry wielkie dzięki!

P.D.: Jestem również świadomy tego innego postu na temat CBU Link , ale szczerze mówiąc jest on niezwykle niechlujny i trudny do naśladowania, plus urządzenie w tym poście używa innych pinów. Czy jakieś informacje z tego postu mają zastosowanie w moim przypadku?

Witamy w Elektrodzie,
pierwszym krokiem byłoby ustalenie, czy Zmai-90 jest wersją TuyaMCU, czy nie. O ile wiem, istnieją zarówno urządzenia ZMAI, które używają TuyaMCU z komunikacją UART między MCU a modułem WIFI, jak i urządzenia ZMAI, które używają innego układu sterującego.
Jeśli jest to wersja TuyaMCU, czy znane są już identyfikatory dpID pakietów? Jeśli nie, mamy do tego analizator: https://github.com/openshwprojects/TuyaMCUAnalyzer
Więc, gdzie jest podłączony port UART (TX1/RX1) CBU? Czy jest on podłączony do MCU? Czy jesteś w stanie wykonać zrzut flash 2MB z tego urządzenia do analizy?

Dzięki za szybką odpowiedź!

p.kaczmarek2 napisał:

Pierwszym krokiem byłoby ustalenie, czy twój Zmai-90 jest wersją TuyaMCU, czy nie....
Jeśli jest to wersja TuyaMCU, czy znane są już dpID pakietów?

W linku, który podałem, są wymienione liczby, które wydają się być dpID. Czy mógłbyś potwierdzić?
https://templates.blakadder.com/ZMAi-90.html

p.kaczmarek2 napisał:

Więc, gdzie jest podłączony port UART (TX1/RX1) CBU? Czy jest on podłączony do MCU?

Nigdy wcześniej tego nie robiłem, ale domyśliłem się, że to, o co pytasz, można osiągnąć, przepuszczając napięcie 3,3 V przez mały głośnik i sprawdzając, które punkty płytki zamykają obwód (i powodują, że głośnik wydaje sygnał dźwiękowy) za pomocą pinów TX1/RX1. Jeśli to założenie jest poprawne, moje ustalenia są następujące:
To są piny TX1/RX1:


Łączą się one z tymi pinami na układzie RN8209C


Inne punkty gdzie zaobserwowałem łączność z oboma pinami RX1 i TX1 na chipie RN8209C. Czerwony oznacza silne połączenie, zielony słabe (może rezystor w ścieżce):

p.kaczmarek2 napisał:

Czy jesteś w stanie wykonać zrzut 2MB flash z tego urządzenia do analizy?

Biorąc pod uwagę te nowe informacje, czy mógłbyś potwierdzić, gdzie muszę przylutować/podłączyć kable, aby wykonać zrzut? Czy zadziała, jeśli podłączę kable do pinów na chipie RN8209C?

Dzięki.

Jestem trochę zdezorientowany, jak zrobić zrzut flash 2MB z układu RN8209C , ponieważ jego piny nie pokrywają się z typowym rozmieszczeniem innych układów, których używałem wcześniej, takich jak BIOS. Jakieś wskazówki?


.

Flash dump powinien być pobrany z modułu WiFi, abyśmy mogli przywrócić firmware Tuya w przypadku, gdy coś pójdzie nie tak. Nie flashujemy samego MCU. OpenBeken powinien być w stanie komunikować się z MCU, jeśli używany jest TuyaMCU. Jeśli nie, możemy spróbować zaimplementować wymagany protokół...

CBU jest bardzo podobny do CB3S/CB2S, możesz poszukać na naszym kanale samouczków CB2S: https://www.youtube.com/@elektrodacom

Ah! Przepraszam, myślałem, że poprosiłeś mnie o dostarczenie zrzutu chipu RN, a nie CBU. Popracuję nad uzyskaniem zrzutu z CBU.

Inne pytanie, aby użyć analizatora TuyaMCU do identyfikacji dpID, w jaki sposób mogę uzyskać zrzut pakietów hex? Czy muszę przechwycić komunikację między CBU a MCU?

Dzięki.
.

Istnieje wiele sposobów, aby sobie z tym poradzić. Jednym z nich byłoby przechwycenie samych danych hex i użycie naszego analizatora:
https://github.com/openshwprojects/TuyaMCUAnalyzer
problem polega na tym, że musisz nigdy nie podłączać konwertera USB na UART do urządzeń zasilanych z sieci , Powinieneś użyć do tego optoizolatora i nie jestem pewien, czy dobrze wiesz, jak radzić sobie z tego rodzaju procesem. Praca z siecią może być bardzo niebezpieczna.

Alternatywnie możesz spróbować uzyskać dpID z samej Tuya. Nie znam dokładnego procesu, ale z tego co wiem, można też po prostu utworzyć bezpłatne konto deweloperskie Tuya, sparować urządzenie z Tuya i sprawdzić tam punkty danych opublikowane przez to urządzenie. Być może jest tu ktoś inny, kto wie więcej na ten temat, nie wiem, może @ferbulous? To byłoby bezpieczniejsze podejście.
Oto coś, co może pomóc, chociaż jest to dla Zigbee, ale powinno być takie samo dla WiFi:
https://www.zigbee2mqtt.io/advanced/support-n..._tuya_data_points.html#_7-display-device-logs
Powiązane: https://community.home-assistant.io/t/localtu...-local-keys-but-also-dp-data-point-ids/423236

Ostatnią opcją (i najgorszą opcją) byłoby zgadywanie. Wiesz, jeśli urządzenie jest zasilane napięciem 230 V i wysyła coś w rodzaju 2300, możemy dość łatwo zgadnąć, że jest to napięcie (pomnożone przez 10)... ale nadal sugerowałbym najpierw wypróbowanie drugiej opcji. Tę z witryną Tuya.

Myślę, że podobne tematy można też przeczytać na naszym forum, na przykład:
OpenBK7231T (WB3S) Config for Hiking DDS238-2 Smart Meter: Tasmota Guide & Teardown

W porządku, usmażyłem pierwszy chip. Ekran przestał drukować jakiekolwiek informacje po wielu resetach zasilania, kiedy próbowałem zrzucić zawartość pamięci flash. Z jakiegoś powodu nie mogłem uzyskać żadnego sygnału z pinów TX1/RX1 na CBU.... Próbowałem z różnymi szybkościami transmisji, różnymi portami COM, różnymi urządzeniami (urządzenie USB-UART i Arduino One).

Zastanawiam się, czy nie zepsułem chipa przed tymi testami, dlatego nie otrzymałem żadnych komunikatów.

Będę próbował z następnym urządzeniem... Mam jeszcze 2 dostępne do usmażenia!

Nigdy nie należy podłączać takiego urządzenia do komputera, gdy jest ono również podłączone do sieci! Jest to bardzo niebezpieczne. Zasilanie może nie być odizolowane. Należy zachować szczególną ostrożność. Sondowanie UART jest możliwe tylko po zastosowaniu modułu izolatora.

Dzięki za ostrzeżenie, ale nie podłączyłem zasilania! Wykonywałem tylko reset zasilania poprzez odłączenie kabla 3,3 V i ponowne podłączenie.

Żeby było jasne, robiłem to tylko na płytce drukowanej jednostki CBU oddzielnie, odłączonej od przekaźnika i innych komponentów.

Czy jesteś pewien, że wykonujesz ten proces poprawnie? Jaka jest konfiguracja odczytu 2MB flash urządzenia? Czy używasz naszego narzędzia do flashowania? https://github.com/openshwprojects/BK7231GUIFlashTool

Proszę nie mylić naszego narzędzia do flashowania (BK7231tool), które służy do odczytu 2MB zrzutu BK7231 i późniejszego flashowania OpenBeken do niego z naszym analizatorem protokołu Tuya, który służy do przechwytywania i dekodowania komunikacji TuyaMCU z modułem WIFI.

Używałem bk_writer1.60 i postępowałem zgodnie z instrukcjami na tym filmie: Link
Niemniej jednak nie używałem tego samego urządzenia USB-UART co na filmiku, tylko programatora CH341A. Pin CBU TX1 podłączony do USB-UART RX, pin CBU RX1 do USB-UART TX i GND + 3,3V. To wszystko.

Nie wykryłem niczego po kliknięciu "read", a następnie spróbowałem użyć pinów TX / RX na Arduino, aby odczytać surowe bity, ale CBU nie wyemitował ani jednego bitu przez piny TX.

bkWriter 1.60 może nie działać dobrze dla platformy N (BK7231N), działa dobrze dla BK7231T.
Spróbuj podejścia hid_download_py lub wypróbuj nasz nowy flasher.
https://github.com/openshwprojects/BK7231GUIFlashTool


Czy postępujesz zgodnie z procedurą flashowania?
1. kliknij czytaj
2. odłącz zasilanie
3. Ponownie podłącz zasilanie, aby "uzyskać magistralę" i rozpocząć odczyt

Alternatywnie możesz spróbować zmienić punkt 2:
2. Odłącz 3,3 V od zasilania do Bekena, następnie weź przewód VDD od strony Bekena i zwrzyj go do GND, a następnie odłącz go od GND i podłącz z powrotem do zasilania (zapewnia to, że BK się zresetuje, tylko upewnij się, że nie pomylisz przewodów, nie zwieraj zasilania do masy)

Tak, postępowałem dokładnie według tej procedury. Używając następujących pinów:




Są też te inne piny, których nie próbowałem:


W następnej kolejności wypróbuję nowe oprogramowanie.

TX2 służy tylko do wysyłania dziennika debugowania. TX1/RX1 służy zarówno do flashowania, jak i TuyaMCU

Brak powodzenia. Próbowałem zarówno włączać/wyłączać jak i zwierać CEN.




Czy jest możliwe, że inny chip na płycie uniemożliwia komunikację na TX1?

Czy drugi chip nadal znajduje się na tej samej płycie? Czy łączą się poprzez UART1, czyli RX1 i TX1?

Bardzo często zdarza się, że drugi chip podłączony poprzez UART blokuje programowanie. Musiałem wielokrotnie wycinać ścieżki lub wylutowywać chip, żeby flashowanie zadziałało. Powinieneś teraz sprawdzić multimetrem, czy RX1/TX1 jest nadal podłączony gdzieś na tej płycie.

Tak. Jak wyjaśniłem w moich poprzednich postach, układ miernika energii (RN8209C) znajduje się na tej samej płytce co BCU. BCU TX1/RX1 łączy się tutaj:



Czy jest możliwe wyłączenie tego układu bez odlutowywania? Ten post sprawił, że działa w podobnym urządzeniu jak to:

.

Powinno być możliwe wprowadzenie tego chipa w stan RESET, ale w tym celu należy zapoznać się z arkuszem danych. Zwykle idę drogą „rozlutowania” lub „wycięcia śladu”, bo jest bardziej uniwersalna.

Próbowałem wprowadzić go w tryb resetowania, korzystając z karty technicznej, poprzez zwarcie pinu RST do GND. Nadal nie wykryto komunikacji na RX1 / TX1 ... Ani jednego bitu.

Utknąłem i nie wiem, jak postępować. Wszelkie porady?

A także, jeśli wysyłam ten przedmiot do Ciebie, czy byłbyś w stanie zrobić kilka badań na nim i opublikować wyniki?

Dzięki.
.

Mogę to zrobić i często to robię dla użytkowników na tym forum, ale nadal mam kilka urządzeń w kolejce, więc może wystąpić niewielkie opóźnienie. Co więcej, wyniki silnie zależą od protokołu zastosowanego w samym urządzeniu. Jeśli to TuyaMCU, to będzie bardzo łatwe w obsłudze, około godziny pracy, ale jeśli w jakiś sposób korzysta z niestandardowego protokołu, może to zająć znacznie więcej czasu.

Przyszła paczka od OP, więc próbuję zbadać to urządzenie.

Na podkładkach jest GND, RX, TX i VDD:

Mogę odczytać pamięć flash, ALE TYLKO, stosując sztuczkę - skróć VDD od strony modułu WiFI do GND, a następnie pozostaw go pływającego, nadal będzie czytany:


Nie mogę flashować moim trikiem i nie mogę zresetować RN8209C, ponieważ RST jest na RX... aby flashować, musisz wylutować RN8209C:


Dołączona kopia zapasowa 2MB.

P6 (PWM0) to dioda WiFiLED

Dodano po 7 [minutach]:

P26 (PWM5) to dioda LED z końcówką

Dodano po 2 [minutach]:

gdzieś jest przekaźnik mostkowy, słyszałem, jak klika, kiedy losowo zamieniałem piny, potrzebne są dwa gpio

Dodano po 2 [minutach]:

P16 to jeden z pinów przekaźnika mostkowego

Dodano po 2 [minutach]:

P14-P16 to para przekaźników mostkowych

Dodano po 1 [minutach]:

tak, przekaźnik działa:


Dodano po 8 [minutach]:

P7 to przycisk PAIR na urządzeniu

Dziękuję, że byłeś taki szybki!

Czy więc zrobiłem to źle, używając pinów TX1/RX1 po drugiej stronie płytki, czy też są to te same piny, których użyłeś?

Zabawne jest także to, że trzeba odlutować chip RN... czy nie da się tego obejść?

Ostatnie pytanie: widzę, że wymyśliłeś kilka połączeń LED i funkcję przekaźnika, ale co z pomiarem mocy (całkowita pobierana moc i prąd W)? Czy to będzie działać z OpenBK, czy nie?

Dzięki.

thebeardeddragon napisał:

Czy więc zrobiłem to źle, używając pinów TX1/RX1 po drugiej stronie płytki, czy też są to te same piny, których użyłeś?

RX1/TX1 po drugiej stronie płytki są takie same, jak na CBU.
Użyłem tak zwanego „tricku” lub „hacka” do odczytu flasha, podłączyłem GND, TX, RX VDD do mojego konwertera USB na UART i 3,3 V LDO, a na narzędziu flash zacząłem czytać flash, a następnie zwarty moduł WiFi VDD do GND w celu wymuszenia rozładowania kondensatorów a potem zostawiłem VDD pływający, ale nadal czyta flash, to to samo, co pokazał tutaj EEVBlog:
EEVblog #831 – Zasilanie mikro bez pinu zasilania!
Zrobiłem to, ponieważ umożliwiło to zasilanie modułu Wi-Fi, ale pozostawiło MCU bez zasilania. W przeciwnym razie MCU zakłócałoby flashowanie.

Mimo to nie próbuj tego, zapis OBK i tak się nie powiódł, najprawdopodobniej dlatego, że zapis flash wymaga większego prądu

thebeardeddragon napisał:

Zabawne jest także to, że trzeba odlutować chip RN... czy nie da się tego obejść?

Musiałem wylutować RN bo jest on podłączony poprzez UART do modułu WiFi. Jak powiedziano powyżej, udało mi się odczytać flash bez niego, ale nie mogłem w ten sposób napisać nowego oprogramowania.
RN trzeba wylutować, bo i tak RST_N jest na RX, więc niestety nie da się tego ustawić w stan RESET bez blokowania UART.

thebeardeddragon napisał:

Ostatnie pytanie: widzę, że wymyśliłeś kilka połączeń LED i funkcję przekaźnika, ale co z pomiarem mocy (całkowita pobierana moc i prąd W)? Czy to będzie działać z OpenBK, czy nie?

Obawiam się, że to trochę potrwa, oto jak wykonało to urządzenie:

Zbadam teraz płytkę drukowaną, aby określić połączenia, ale wydaje się, że potrzebny będzie niestandardowy sterownik dla wyświetlacza LCD i miernika mocy.

Świetnie, dziękuję za Twój wysiłek. To brzmi jak dobry postęp.

Nie przejmowałbym się zbytnio oprogramowaniem sprzętowym ekranu LCD, ale pomiar mocy jest dość ważny.

To urządzenie wysyła całkowitą liczbę do Tuya Cloud, która zaczyna się od 0 przy pierwszej konfiguracji, a następnie zwiększa się o 1 na każde 0,1 kWh.

Na przykład całkowite zużycie 230 kWh zostanie wysłane jako „2300”.

Jeśli więc widzisz, że chip wysyła taki odczyt, być może możesz go wyeksportować.

Oto projekt najważniejszych połączeń:

Spróbuję obsłużyć miernik mocy, ale będzie to wymagało napisania sterownika od zera.

GPIO jako szablon:


Dodano po 2 [godzinach] 11 [minutach]:

Próbuję porozumieć się z RN...

Weryfikacja:

suma kontrolna pasuje!

Dodano po 2 [godzinach] 29 [minutach]:

@thebeardeddragon ok, zaimplementowałem operację odczytu za pomocą CRC:

Bez obciążenia:

Z żarówką 60W:

Konfiguracja testowa:

Test autotransformatora, 220V:

247V:

194V:
194V.