Ustalenia, rozbiórka i flashowanie termostatu EZAIoT Wi-Fi RF

W moim domu pozostało jedno urządzenie chmurowe Tuya i jest to mój termostat. T9W 2.0 R9BW 2.0 (firmy EZAIOT , ale możliwe, że są inni "dostawcy" jak SALCAR czy inni). Sprzedawane przez duży chiński rynek. Nie może być kontrolowany przez LocalTuya (z powodu jakiejś dziwnej wersji protokołu), tylko przez chmurę.
Moim celem jest uczynienie go lokalnie sterowalnym poprzez flashowanie na nim OpenBeken. Nie wiem jeszcze, jaki chip jest w środku, ale wydaje się, że jest to część termostatu pokojowego. Wydaje się również, że jest to urządzenie TuyaMCU (wyodrębniłem mnóstwo dpID z portalu iot.tuya.com, istnieje również model bez WiFi, w którym może całkowicie brakować chipa WiFi).

Składa się z 2 części -
* Odbiornik RF, który jest zasilany z sieci. RT-RC9PLUS 1.1_PCB v1.0 200100164
* termostat pokojowy z ekranem LCD, pokrętłem ustawień i WiFi, zasilany przez 2x baterie AA 1,5 V lub USB-C (lub oba).



Płytka odbiornika RF na zdjęciu poniżej. Wygląda na to, że jest tam część odbiorcza RF, przekaźniki, diody LED stanu, styki COM, OPEN, CLOSE i wejście zasilania. Przełącznik parowania i jakiś 20-pinowy chip, na którym nie ma inicjałów. Nie wydaje się być żadnym inteligentnym urządzeniem, tylko odbiornikiem RF.


Więcej informacji wkrótce!

Dodane po 1 [godzinie] 2 [minutach]:

Płytka termostatu wygląda następująco:

.

Po drugiej stronie znajduje się ekran LCD i niewiele więcej. Główny układ WiFi wygląda na 48-pinowy układ po lewej stronie. Czy to jakiś ESP32 wariant? ESP-WROOM-03 może? Konfiguracja płyty wygląda podobnie. Czytałem również postępy, które robisz z OpenESP! Świetna robota!
Następnie jest BAT32G127GH 232101T, który wygląda na jakiś kontroler LCD/MCU. Następnie jest jakiś nieoznaczony 8-pinowy chip.
Również 48-pinowy układ LGA i 8-pinowe układy SOIC mają usunięte etykiety i można na nich wydrukować 123456789.
Jakieś pomysły?
Są też 2 porty szeregowe, jeden oznaczony "LOG" i drugi na prawo od niego. I kilka pinów (VDD, SWDIO, SWCLK, GND, NRST) na spodzie miejsca na baterię.

Mam to z portu szeregowego o nazwie LOG:


Używając drugiego portu szeregowego - jeszcze nic, tylko jakieś śmieciowe dane. Nie próbowałem jeszcze odczytywać tego jako ESP32, muszę zrozumieć, jak to zrobić i jak zwolnić piny TX / RX, a które zwrzeć do masy w trybie rozruchu układu. Mam mniejsze doświadczenie z ESP

OBK obsługuje ESP32, więc możemy spróbować, a to naprawdę bardzo interesujące urządzenie, które znalazłeś. Dziękuję za udostępnienie.

W przypadku ESP wystarczy uziemić IO0 podczas ponownego uruchamiania, a następnie użyć esptool.py, najpierw wykonaj read.and i upewnij się, że zadziałało, więc masz kopię zapasową.

Może jest szansa, że odczyt zadziała bez przecinania ścieżek, jeśli nie, cóż... będziesz musiał zlokalizować, gdzie znajdują się linie RX / TX do MCU.

Widzę, że zrobiłeś też ekstrakcję dpID zgodnie z naszym przewodnikiem, to dobry początek.
https://www.elektroda.com/rtvforum/topic4021129.html

Podczas gdy OBK obsługuje ESP32, nie udało mi się sprawić, by UART działał poprawnie.
Ale to urządzenie to jakiś Realtek zgodnie z logiem. Który dokładnie chip jest mi nieznany, log jest niekompletny.
A flashowanie pewnie byłoby problematyczne, nie widzę żadnego strapping pinu na płytce. Czy jest to układ flash pomiędzy 2 mcus? Nie wygląda na to, ale jeśli masz ch341a i soic clip, możesz spróbować zrobić kopię zapasową

Nie widzę wyraźnie oznaczenia na układzie scalonym, czy możesz zrobić lepsze zdjęcie?

Jeśli soic8 jest rzeczywiście układem flash, to prawdopodobnie jest to układ RTL8720DN. Co jest problematyczne, ponieważ nie ma jeszcze dla niego wsparcia. Ale dodanie wsparcia dla niego jest obecnie w moich planach.
Czy Twoje urządzenie widzi sieci 5 GHz z aplikacji stockowej?

Jest jeszcze co najmniej jeden Realtek z zewnętrznym układem flash. Widziałem go podczas kręcenia wideo CH341:
https://www.youtube.com/watch?v=z9uLPo9QAY8&t=81s

RTL8710BX + 25VQ16ATIG

>>21442803 Nie sądzę, żebym kiedykolwiek widział AmebaZ w formacie QFP48. Próbowałem też wygooglować układy z rodziny AmebaZ2, ale widziałem tylko QFP40/QFP32. Wątpię, aby Ameba1 były nadal używane, więc pozostaje AmebaD.

insmod napisał:

ale jak masz ch341a i soic clip to możesz spróbować zrobić backup

Mam kilka programatorów eeprom/flash. Muszę tylko wiedzieć jaki to może być flash, wtedy mogę spróbować go odczytać.

p.kaczmarek2 napisał:

Nie widzę wyraźnie oznaczenia na układzie scalonym, możesz zrobić lepsze zdjęcie?

.
Zrobię później zdjęcia lepszym aparatem, ale zarówno układ soic8 jak i układ 48pin mają wymazane oznaczenia i zastąpione numerami 12345678. Chińczycy próbowali ukryć czym są te chipy. Jest też chip po prawej stronie (prawdopodobnie odbiornik RF), który również ma wymazane oznaczenia.
Ale tak, zrobię lepsze zdjęcie, a następnie opublikuję je tutaj.

insmod napisał:

Czy twoje urządzenie widzi sieci 5 GHz z aplikacji stockowej?

Z logu wnioskuję, że mogą być 2 interfejsy WLAN po pierwszych linijkach. Aplikacja Tuya? Jak mogę to sprawdzić? Próbując ponownie sparować urządzenie z punktem dostępowym 5 GHz?

W każdym razie dzięki za interakcje, to rzeczywiście dość specyficzne urządzenie. Po kilku poszukiwaniach dowiedziałem się, że niektóre z tych termostatów rzeczywiście są wyposażone w układ Tuya WBR3D Realtek RTL8720DN, który jest rzeczywiście dwuzakresowy.

>>21442902 Zwykle flash ma około 4mb w urządzeniach DN, ale w niektórych urządzeniach może mieć 8mb (jak WBRG1, nie DN, ale ta sama rodzina chipów).
2 interfejsy to AP i STA, więc nie ma związku z pasmami. Tak, spróbuj ponownie sparować.
I spróbuj zrobić log od momentu włączenia do co najmniej momentu próby połączenia/uruchomienia trybu ap.
Dodatkowo możesz spróbować wejść w tryb flash, jeśli to rzeczywiście DN.
Przed włączeniem zasilania podłącz log tx do gnd, odłącz go po włączeniu. Jeśli zacznie spamować na uart (ten sam symbol przy 921600 bodów, nie jestem pewien, czy dobrze pamiętam), to jest to układ DN.
Aby zrzucić przez uart, pobierz https://github.com/pvvx/pvvx.github.io/blob/master/RSH-GW018_DM/bin/wbrg1.zip, rozpakuj go i uruchom
.
I dla pewności

Nie polecam jeszcze udostępniać kopii zapasowej, ponieważ nadal będziesz musiał uruchomić oryginalny firmware, przynajmniej do czasu przeportowania openbekena.

insmod napisał:

Zwykle flash ma około 4mb w urządzeniach DN, ale w niektórych urządzeniach może mieć 8mb

Masz na myśli flash SOIC8 czy zintegrowany flash w chipie? Po wejściu w tryb flash, który flash jest odczytywany? A może obie są używane? Wybacz, nie poznałem jeszcze zbyt dobrze tych układów. Nawet łatwiej byłoby mi odczytać flash SOIC klipsem lub przez odlutowanie.

Zastanawiam się również, jaki jest cel dla Realtek MCU. Mam nadzieję, że transmisja RF i parowanie RF odbywa się w ramach innego MCU, a układ Realtek tylko odbiera dane z MCU i wykonuje część WiFi.
W innym przypadku może być trudno przeprogramować parowanie itp. Dla mnie brzmi to dość problematycznie .

I zrobiłem kilka lepszych zdjęć. Może będzie łatwiej określić chipy.
.

12 nóżek na stronę? QFN48? RTL8720DN ma 48...

>>21443701
Widziałem twój post na tuya-local GitHub. Uczestniczyłem tam z innym nickiem. Spróbuję zrzucić firmware używając instrukcji @insmod. Zakładając, że jest to RTL8720DN, który teraz najprawdopodobniej jest.

fajnie. tak. zaciekawiło mnie to i zacząłem się rozglądać

insmod napisał:

Jeśli zacznie spamować na uart (ten sam symbol przy 921600 baud, nie wiem czy dobrze pamiętam), to jest to DN chip.

.
Tak, robi to. Teraz próbuję uruchomić skrypt Pythona.

Zakładając DN może być konieczne dodanie większego opóźnienia, jak tutaj https://www.elektroda.com/rtvforum/topic4093142-180.html#21437842

>>21443868
Dzięki! 1000 opóźnienia nie wystarczyło, po ustawieniu 5000 zadziałało.
Tutaj są zrzuty. Rzucę na nie okiem, ale pewnie niewiele z nich wyciągnę.

Zapętlenie na RTL8720DN


czy to może być RTL8721D?

>>21444049
Tak, wiele odniesień do RTL8721D.

To urządzenie komunikuje się przez 433MHz RF (dwukierunkowe FSK). Znalazłem kilka odniesień do tego w zrzucie. Zastanawiam się, czy ten układ obsługuje komunikację RF natywnie, czy też opiera się na innym MCU.

Rozmiar pamięci flash to 4 MB, prawda?

Wygląda na to, że tak. Przetnij plik 8mb na pół i obie połówki są identyczne.

Dodano po 29 [minutach]: .

>>21444049

Być może nie. Oprogramowanie układowe BW16E/RTL8720DN jest również pełne odniesień do RTL8721D.

Ponieważ obecnie nie jest możliwe flashowanie tego urządzenia, przechodzę na bardzo prosty system termostatu z jednym przekaźnikiem esphome podłączonym do mojej kuchenki i jednym urządzeniem termostatycznym w salonie. Jeśli ktoś jest zainteresowany, proszę o kontakt.

>>21552341
Dlaczego nie jest to możliwe? Dodałem wsparcie dla RTL8720D około 3 miesiące temu.
Testowałem go na WBRG1 8mb, BW16 4mb i BW16 2mb i wszystkie działają ok.
GPIO i uart w pełni działają.

>>21552351
Przepraszam, nie śledziłem aktualizacji na urządzeniach RTL przez jakiś czas. Świetna robota!

Co do tego urządzenia - tak naprawdę nie wiedzieliśmy, który wariant układu Realtek to był, ponieważ nazwa układu została zeskrobana, dostępny był tylko firmware, który czytałem. Jeśli zrozumiem, który to wariant, mogę go sflashować.

>>21552775
To może być tylko chip AmebaD, ponieważ udało Ci się wykonać kopię zapasową za pomocą narzędzia, które opublikowałem wcześniej.
Nie zadziałałoby to dla niczego innego, próbowałem nawet użyć go z AmebaDplus i nie udało się.
OpenRTL8720D obsługuje wszystkie układy AmebaD, czyli RTL8721CSM, RTL8720DN, RTL8720DF, RTL8721DM, RTL8722DM, RTL8711TTF. Ale nie RTL87xxDA (AmebaDplus).
Jeśli go sflashujesz - będzie działać.

>>21552848
Próbuję od razu!

[size=9:d42295ab2ab]Dodano po 25 [minutach]:[/size:d42295ab2ab]

>>21552848
Jeszcze jedno pytanie. Czy powinienem flashować za pomocą jakiegoś innego narzędzia GUI, które widziałem w postach, czy jest to możliwe za pomocą tego samego skryptu Pythona, za pomocą którego odczytuję firmware?

>>21553039
Możliwe jest flashowanie go za pomocą skryptu, wystarczy użyć wf zamiast rf

>>21553080
Tak, to działa. Musiałem użyć narzędzia Windows, skrypt pythona zawiódł z błędnymi sumami kontrolnymi po zapisie.



Ale kiedy odłączę adapter UART, uruchamia się standardowe oprogramowanie układowe. Kiedy podłączę UART, uruchamia się OpenRTL8720D. Mogę to stwierdzić, ponieważ wyświetlacz świeci wszystkimi pikselami po uruchomieniu OpenRTL8720D.

>>21553227
To dziwne, nie słyszałem wcześniej o takim zachowaniu.
Dla pewności wykonaj OTA raz, aby upewnić się, że oba sloty firmware są sflashowane OBK.
Ale może się mylisz? To urządzenie jest najprawdopodobniej dostarczane z TuyaMCU i zwykle kontroluje wyświetlacz.

>>21553231
Oba sloty na pewno nie są sflashowane. Ok, spróbuję wykonać OTA.

Tak - za każdym razem, gdy piny GND, TX i RX są podłączone do mojego adaptera FTDI, uruchamia OpenRTL8720D, ekran pokazuje wszystkie piksele (jak test ekranu) i działa web-ui itp.

Kiedy jest odłączony, wtedy wyświetlacz temp. działa i nie ma śladu OpenRTL8720D - brak hotspotu, brak połączenia wifi.

Teraz zgaduję - ekran musi być jakoś zainicjowany, może ustawienie DPids na jakąś wartość? Kiedy stockowe FW się inicjalizuje, jest ten sam test ekranu, ale po sekundzie inicjalizuje się w pełni.

aktualizacja:
OTA:

.

BTW podczas uruchamiania bez adaptera szeregowego w rogu ekranu pokazuje się 02 (to normalne zachowanie), prawdopodobnie oznacza to, że FW2 jest uruchomiony. Jak mogę flashować drugi slot? Myślę, że FW1 uruchamia się, gdy TX lub RX jest wysoki podczas uruchamiania.

To nie tak powinno działać.
Btw, jakiego obrazu używasz do ota? Właśnie użyłem tego i zadziałało: https://github.com/openshwprojects/OpenBK7231...wnload/1.18.102/OpenRTL8720D_1.18.102_ota.img
Być może spróbuj dodać "startdriver tuyamcu" do autoexec.bat lub polecenia startowego

Dodane po 3 [minutach]:

A tak dla pewności, zasilasz płytę przez pin VDD? Jeśli tak, to usuń go i zostaw tylko GND i TX.

insmod napisał:

Btw, jakiego obrazka używasz do ota? Właśnie użyłem tego i zadziałało: https://github.com/openshwprojects/OpenBK7231...wnload/1.18.102/OpenRTL8720D_1.18.102_ota.img

Użyłem tego samego pliku. Próbowałem również OpenRTL8720D_1.18.101_ota.img . Próbowałem zarówno przesłać go do aplikacji internetowej, jak i wkleić link do strony OTA. Nic - w ogóle tego nie robi.

insmod napisał:

Może spróbuj dodać 'startdriver tuyamcu' do autoexec.bat lub komendy startowej

.
Już to zrobiłem, nic się nie zmieniło.

Dodano po 4 [minutach]: .

insmod napisał:

A tak dla pewności, zasilasz płytę przez pin VDD? Jeśli tak to usuń go i zostaw tylko GND i TX.

Tak, przez VDD. Ok, zaraz spróbuję.

Dodano po 6 [minutach]: .

insmod napisał:

Jeśli tak, to usuń go i zostaw tylko GND i TX.

Ok. Uruchamia stockowe oprogramowanie układowe. Jeśli podłączę również RX, to samo.
Mogę uruchomić FW1, gdy podłączę GND, RX, TX i VCC. (czyli OpenRTL8720D)

Aktualizacja:
OTA działało z Chrome, z Firefoxa jakoś nie działało. Teraz po uruchomieniu pokazuje, że jest to FW2 na stronie głównej OpenRTL8720. Ale nadal stary firmware uruchamia się po usunięciu VCC.