Spirit
Да Bq20 и т.д построено на CoolRisc, даже модуль давно в общем доступе есть. А вот новое ядро это bqbmp, если верить информации что нашёл то оно сделано TI и информацию о нём не распространяют, известно только что инструкции могут быть 8/16/22bit(ядро вроде 8bit)(подбор модулей из IDA Pro результата не дал). Там у чипов с этим ядром даже BootRom команды другие, и новый регион памяти добавлен.

Вернусь к теме злощасного bq20z451 С прошивкой Apple 5.11 и выше. Есть бешка лицуха,ev2400 китаец и чудное устройство NLBA1 в котором закончилась лицензия на сброс чипов продлевать её чет особо нет желания поскольку бешка все практически хавает но переодически залетают Apple батареи, бешка их не берет, писал админу сказали когда-нибудь добаваят, хотя NLBA1 сделали еще в 2022г причем вплоть до10й прошивки кажеться, есть пару дампов от Apple батарей и батареи дампы сохранял NLBA1 когда была рабочая лицензия, я правильно понимаю что пароль для Unseal храниться в дампе прошивки и он изменяемый? поскольку попадалась пара китайских батарей Apple с которой NLBA1 не справилась. Всетаки хочеться победить эту прошивку не охота иза пары батарей платить 25к
Идея разлочить батарею изменить и перезаписать ключ, и потом сравнить два дампа пришла поздно да и в тот момент все работало с лицухой.
Может кто поделеться идеями в этом направлении?

Можно ли выложить проги оттуда на сюда?
А то сходил я туда,не знаю куда...Прогу вижу,скачать где не вижу...
Спасибо

Если он и хранится там то не в явном виде а зашифрован. И кроме как в NLBA1 его не используешь .

ничего не зашифрованно, вполне читабельно распечатал BQ20z45 от Asus в бешке слил дамп в bqstudio считал команду с 0x60 я так понимаю тут храниться ключь Unseal он показаал его в дампе нашол строчку с темиже значениями ток в обратной последовательности, в дампе от Apple тоже все почти такоеже очень много похожих строк.

еще вопрос как эти чипы пустые прошивают? если его полностью стереть то чем туда прошивку заливают и как его программируют не совсем понятно

Хранится пароль в дампе eeprom, однако что вам это даст, если чип seal. Выложите свои дампы от похожих АКБ, если не затруднит.

Я думаю что яблочники не паряться на тему генерации паролей на каждый чип, он одинаковый может только меняться в разных прошивках, поскольку китайские батареии NLBA не смогла взломать там возможно китайцы свои ставят. Тут еще воппос как его прошить пустой или им на заводе загрузчик прошивают или есть какието команды которые не документированы и их нет в общем доступе, либо есть какойто программатор который их прошивает непосредственно в сокете чтобы потом уже работать через smbus. Попробывать заказать новую микросхему и перепаять и и глянуть по smbus будет ли откик? А насчет того что чип seal то если найти пароль в дампе которые слиты с батарей то есть вераятность что он универсальный для прошивок Apple. Вот такие мысли. Покрайне мере для прошивки Apple 5.0 он читаемый там их два один пароль SS и второй Fas точнее там установлен только один SS пароль Fas пустой тупо FFFF FFFF.

Другой момент еще интересен как чем и как прошить пустой чип или затертый я так понимаю никому это не удавалось?

Ничего не будет. Когда чип новый или стертый, там один загрузчик работает, бутлоадер. Он не хранится во флешке и при ресете стартует первым, затем передает управление программе, если она есть. Во многих общедоступных сериях чипов сразу есть предустановленная базовая прошивка от TI. В основном ее и используют многие производители ноутов и АКБ.
Они шьются по по smbus. Других вариантов исходя из цоколевки их корпусов, думаю нет. По поводу их загрузчика - все документировано и есть в открытом доступе, по крайней мере, для чипов серий bq803x, и думаю тот же у серий bq20zXX.
https://drive.google.com/file/d/1kFPiyy ... sp=sharing
Это не пустой, он есть именно такой стандартный, почитайте мануалы.
У jonpim речь была, полагаю, о чипах с хеш шифрованием, и 128-битными паролями. Они не хранятся в явном виде. У qb20z45 старый алгоритм, там при расселином чипе пароль и командой можно запросить в явном виде, незачем и дамп для этого изучать. ))

тогда каким образом прошивается загрузчик каким-то программатором? не нашол информации на эту тему а в том описании что есть про BootMode особо ничего не нашол есть команда чтоб перевести его туда но при условии что чип уже загрузился.

Этого не знаю. Скорее всего в масочном ПЗУ чипа предпрошит.

Чип в всегда запускается в bootmode, а затем если есть программа, передает управление ей. Это алгоритм любого контроллера.

да не пустой ну я это имел ввиду, просто были дампы решил поковырять, интересно каким способом эти все проги разлеливают чипы? подбирают пароли или всетаки есть какойто бекдор на уровне загрузчика?

бекдор полагаю есть в каждой прошивке, не в загрузчике, а именно в прошивке.

попробую заказать новый чип впаять в батарею и считать тойже бешкой что она сможет прочитать. Иначе не совсем понимаю по логике кому нужны пустые чипы как с ними то работать? либо есть какойто прогер для прошивки который спрятан от мира сего и произодитель TI берегет его от постаронних глаз и который есть только у производителей батарей, или при производстве чипов в них попадает прошивка производителя батарей ну я чет подругому не могу понять как это должно работать, уж простите если что не так говорю

есть пустая пикросхема как работать то сней? пусть тотже stm32 идет с предустановленым загрузчиком но если его снести то к чипу прогером через сокет можно достучаться и заново прошить. а тут как это работает

да зачем вам сдался бутлоадер??? Это же не программа по которой он работает. его и менять то незачем.
Если чип без предпрошивки - пустой, то и там бутлоадер есть. Именно для обеспечения загрузки софта.
Но Бешка ничего вам не прочтет. Она не с ним общается.
bqa20z45 будет продаваться с предпрошивкой TI. Многие производители специально заказывают у TI серии чипов без предпрошитого софта. Такие есть, например bq80xx. Купленный чип bqa20z45 (без 3й цифры в конце), будет общаться с БЕшкой своей стандартной прошивкой. А вот bq8030, bq8050, bq8055 - нет. Но их можно прошить по SMBus используя команды бутлоадера.

Вот уже коечто спасибо!!!, тогда каким образом туда попадает прошивка вот это и пытаюсь выяснить мануалы почитал но там на эту тему ничего явного не нашол, я понимаю что бешка общаеться с самой прошивкой посредством SMB

вот я тоже склоняюсь к этому, тогда где эти команды? или я не то смотрел просто я их не нашол, есть программатор ev2400 софт ti который позваляет подключиться к чипу но когда он с прошивкой но тойже бешкой я затер полностью чип ради опыта теперь софт от ti его не видит вот и интересно новый чип если впаять увидит ли таже утилита от ti или нет может в нем есть какаято предпрошивка которая позволят ему работать с утилитой ti а потом уже тото залить внего и как с помощью бутлоодера туда что то залить? прошу прощения может я что то не так думаю не пинайте.
должен же быть какойто набор команд который дает возможность что то туда залить и работать с загрузчиком или какойто минимум предпрошивка которая позволяет с ним работать

Именно так.
С помощью софта EVSW для соответствующей версии чипа, вы их зальете. Хотя я не пробовал. Не было таких. Команды есть в той доке, которую вам дал.
---------- Добавлено спустя 3 минуты 8 секунд: ----------

Думаю, ему не надо видеть данные SBS. Есть страница заливки прошивки. Там и пробуйте. Но там не бинарники, а srec файлы. Ими он их шьет.

ок спасибо за информацию буду разбираться попозже отпишусь о результатах. для начала нужновернуть к жизни затертый контроллер а там уже дальше ковырять прошивку на предмет разселивания чипа.
---------- Добавлено спустя 1 час 45 минут 22 секунды: ----------
Alex_PP

прошу прощения за назойливость но хочеться получить какойто минимум информации чтобы понять как дальше работать с ними, опыта не имел

подключился в EVS к пустому чипу пишет No Acknowledge VB_T2H_HACK
не пойму какую команду ввести чтоб получить какойто отклик от чипа и проверить соединение


также нашол в даташите ножки
RESET
MRST
не совсем понятно их назначение в описании написато просто соединить их между собой для работы контроллера может они используються непостредственно при программировании?
---------- Добавлено спустя 58 минут 38 секунд: ----------
вот еще нашол пункт про соединение но не могу понять что это

Packet Error Checking
The bq20z40/bq20z45 can receive or transmit data with or without PEC.
In the write-word protocol, if the host does not support PEC, the last byte of data is followed by a stop
condition. If the host does not support PEC, the [HPE] bit should be set to 0 (default).
In the write-word protocol, the bq20z40/bq20z45 receives the PEC after the last byte of data from the
host. If the host does not support PEC, the last byte of data is followed by a stop condition. After receipt of
the PEC, the bq20z40/bq20z45 compares the value to its calculation. If the PEC is correct, the
bq20z40/bq20z45 responds with an ACKNOWLEDGE. If it is not correct, the bq20z40/bq20z45 responds
with a NOT ACKNOWLEDGE and sets an error code. If the host supports PEC, the [HPE] bit should be
set to 1.
In the read-word and block-read in master mode, the host generates an ACKNOWLEDGE after the last
byte of data sent by the bq20z40/bq20z45. The bq20z40/bq20z45 then sends the PEC, and the host,
acting as a master receiver, generates a NOT ACKNOWLEDGE and a stop condition.
Related Variable:
• DF:Configuration:Registers(64):Operation Cfg B(2)[HPE]
---------- Добавлено спустя 15 минут 37 секунд: ----------
По этим пунктам подскажите как проверить откликаеться чип или нет?
поскольку прошить не получается прошивку сделал в формате srec но пишет нет соединения может команда нужна какаято? как его пнуть чтоб он тут както засветился может ножки каие замкнуть?

Boot mode надо перевести чип командой
Например есть програмка DJI battery killer,там bq30z55 влетает в бут на ура,можно подсмотреть как....
и пиши епром или флэш

2.10 Communications
The bq20z40/bq20z45 uses SMBus v1.1 with master mode and packet error checking (PEC) options per
the SBS specification.
2.10.1 SMBus On and Off States
The bq20z40/bq20z45 detects an SMBus off state when SMBC and SMBD are logic-low for ≥2 seconds.
Clearing this state requires either SMBC or SMBD to transition high. Within 1 ms, the communication bus
is available.
2.10.2 Packet Error Checking
The bq20z40/bq20z45 can receive or transmit data with or without PEC.
In the write-word protocol, if the host does not support PEC, the last byte of data is followed by a stop
condition. If the host does not support PEC, the [HPE] bit should be set to 0 (default).
In the write-word protocol, the bq20z40/bq20z45 receives the PEC after the last byte of data from the
host. If the host does not support PEC, the last byte of data is followed by a stop condition. After receipt of
the PEC, the bq20z40/bq20z45 compares the value to its calculation. If the PEC is correct, the
bq20z40/bq20z45 responds with an ACKNOWLEDGE. If it is not correct, the bq20z40/bq20z45 responds
with a NOT ACKNOWLEDGE and sets an error code. If the host supports PEC, the [HPE] bit should be
set to 1.
In the read-word and block-read in master mode, the host generates an ACKNOWLEDGE after the last
byte of data sent by the bq20z40/bq20z45. The bq20z40/bq20z45 then sends the PEC, and the host,
acting as a master receiver, generates a NOT ACKNOWLEDGE and a stop condition.
Related Variable:
• DF:Configuration:Registers(64):Operation Cfg B(2)[HPE]
2.10.3 bq20z40/bq20z45 Slave Address
The bq20z40/bq20z45 uses address 0x16 on the SMB for communication

Дока sluu313a.pdf
Mode. In Full Access mode, the command to go to boot ROM can be sent. Related Variables: • SBS:ManufacturerAccess(0x00):Seal Device(0x0020). •
и так далее...

спасибо, щас гляну
---------- Добавлено спустя 25 минут 30 секунд: ----------
[quote="sanchelo81"]Дока sluu313a.pdf
Mode. In Full Access mode, the command to go to boot ROM can be sent. Related Variables: • SBS:ManufacturerAccess(0x00):Seal Device(0x0020). •
и так далее...[/quote

тут вроде написано как прошитый чип перевести в бут а мой пустой и утилита от TI не может законектиться с ним

UNSEAL команду перво наперво..не?

Чип в утилите не виден, выдает ошибку при вводе команд, тут вопрос как с ним законектиться чтоб туда залить то что там было.
---------- Добавлено спустя 4 минуты 3 секунды: ----------
Вот и пытаюсь разобраться может на заводе есть какаято предварительная прошивка которая делает его доступным в своей утилите? а потом уже все остальное или както его запустить чтоб он в утилите както обозначился чтоб залить туда то что там было. Он был специально затерт в бешке предварительно сохранил прошивку. Тут пока нечего разселивать он пустой.

Ну открываем 46 страницу 313 доки раздел security и что я вижу
3 режима,самый последний

BootROM режим
Device can be reprogrammed
Даж картинку нарисовали жеж.

Вогнать туда чип нуна.Конечно же так просто он не ответит....на асякие команды...

The order of the bytes, when entered in ManufacturerAccess, is the reverse of what is written to or read
from the part. For example, if the first and second words of the UnSealKey block read returns 0x1234 and
0x5678, then in ManufacturerAccess, 0x3412 and 0x7856 should be entered to unseal the part

пробывал заводской ключь тишина

команду я нашол
Write 0x0f00 to
ManufacturerAcces

Поправка,с радиокота.Цитирую.Может читали
НАДО перевести в БУТ-режим принудительно.
Не переведете. Видно и вы своими действиями вогнали чип в безопасный режим. Почитайте, что с этим делать, на Карозиуме, да и здесь про это я писал где то.
Пока не прошьете корректные данные в EEPROM, он останется в безопасном. Как из него в Бут попасть, я не знаю.
На заводе я думаю, сразу заливают и прошивку и EPROM. Тогда все сразу работает. Такое как у вас, бывает только в случае аварии во время операции прошивки.
чип в безопасном режиме. Он итак ждет от вас данных EEPROM. Прямо таки, готов их принять. Не надо Бута. ))
Я же дал вам направление, куда копать. Карозиум, Safe Mode, Vlab (Прошивка контроллера батарей ноутбука), и здесь, по этой теме. Все есть, уверяю вас.
Хотя бы вот сюда загляните:
viewtopic.php?p=821909#p821909
https://www.radiokot.ru/forum/viewtopic ... 8#p4421168

тоесть в бут его можно перевести при рабочей прошивке, верно? сейчас у него пустой EPROM поэтому утилита его не видет?
И тогда вопрос есть ли программатор который допустим прошивает EPROM пустого чипа? Потому как я таких даже не слышал. Или они прошиваються также через SMbus в тойже утилите BEVS?