Диагностика двигателя, логгирование и прошивка ECU. Опции

[cartmanes]

В 1.6 нет датчика maf, только map. Это значит, что карт maf scaling и maf smoothing
в прошивке быть не должно? Поправьте кто-нибудь.

[Artem NN]

Все правильно у нас MAP датчик и MAF нету.
Значит должны быть другие таблицы для MAP. (в случае выхода из строя датчика MAP или MAF - ECU работает в аварийном режиме по таблице).

Возможно должна быть еще таблица (не факт) - коррекция атмосферного давления от уровня моря в зависимости от высоты.

Перезалил полностью - Ассемблер это просто.

[Artem NN]

Найдена карта 2D (по описанию с EVO) - но возможно не точно.
скорость опроса RPM (изменяется от 8 - выключно, до 255 - очень быстро) по дефолту 128
и угол (по умолчанию 8 гр.) коррекции зажигания. (после всех измерений, вычислений и наложения всех карт угол коррекции будет меньше)

</map>
<map name="Idle Stability Timing Control1" type="2" active="1" help="" class="Timing" map_struct="" level="0">
<rows count="2" offset="#0" storagetype="uint8" func_2val="[value]" func_val2="[value]" format="%.2f" metric="" caption="" desc="">
<value>Sensitivity</value>
<value>Timing</value>
<value>Limit</value>
</rows>
<data scaling="evo7base_Timing" count="1" offset="#17A8" storagetype="uint16" metric="" incdata="0" view="num" color_dir="1"/>
</map>

Прикрепленные изображения

 

[Artem NN]

Цитата(Grundic @ 20.3.2010, 2:15)
Не могу понять следующее:
1. Как найти адрес начала и длину осей X и Y для ново-найденной 3D-карты
2. Как найти адрес начала оси Y для 2D-карты, размерность (кол-во бит/байт/значений).
3. Карт - море, но какая к чему относится (для чего нужна и через какую формулу её можно посмотреть в "нормальном виде"

Попробую описать как я ищу в IDA.
Как заводить прошивку в IDA (с выбором проца SH4 и диапазона памяти) я давал ссылку постами выше на сайт EVO.

Находим в EcuEdit (в EcuFlash) известную нам карту - ее адрес.



Далее открываем наш проект в IDA. Жмем G вбиваем наш адрес карты.
Далее видем -


Таблица (данные) начинаются с 5389. Сама таблица стартует с 537E. 30- показывает что таблица 3D. Встаем правой кнопкой на 537E - Rename (переименовываем в LOWOKT_537E)
Ниже 0xFF -вызов X и Y (запросы или переходы). OKT
Встаем на 5380 затем 5384 и жмем 2 раза D - преобразуем данные.
Так же у нас есть Data XREF - откуда приходит запрос. (там можно тоже посмотреть с каких адресов (таблицы или константы или еще что то))



После преобразования встаем мышкой на unk_FFFF883C и крутим колесико - раскрываем список.
Видим кучу адресов - откуда или куда идут запросы.
Нас интересует пока все адреса что связано с ROM (прошивка). Адреса в таких списках которые начинаются с FFFF нам пока не нужны - это RAM память. (может и потребуются позднее).
Далее выписываем в Exel или на листок все адреса. (лучше в Exel)
Лезем в EcuEdit в Hex редактор и ищем все эти адреса (как правило это 2D значения - RPM, LOAD, Celsius и т.д. хотя может быть и другое ссылки на 3D 2D и 1D), записываем размерности новых карт.
Смотрим какие по размерности подходят для нашей известной 3D таблице 5389. И подставляем нужные адреса в EcuEdit или XML. Естественно проверяем через формулы RPM и LOAD, Что бы все нормально отображалось. Найденные адреса RPM и LOAD вбиваем в IDA (клав. G), находим переименовываем и так же отслеживаем запросы и переходы т.е. прыгаем дальше.
Формулы (функции можно посмотреть по другим нормальным прошивкам).

Неизвестные карты 3D 2D очень сложно понять что они показывают и для чего нужны и через какие формулы нужно прогонять данные на выходе.
Короче пока только так методом подбора перебора.

[Artem NN]

Есть еще вариант (предположение).
Я пока в нем не совсем разобрался, но думаю что оно работает.
Трассировка при логгировании. Вроде есть и в EvoScan и в EcuEdit.
При логгировании (1D и 2D) прога обращается по адресам FFFF в MUT таблице в прошивке.
Эти адреса вроде как можно увидеть в проге EvoScan. Допустим запрос RPM - 21
По таблице MUT вертикаль 2 горизонталь 1 адрес RPM в RAM FFFF8945
Далее лезем в IDA и шерстим переходы. (клавиша G и вбиваем FFFF8945), далее жмем X и смотрим куда нам предлагают прыгнуть (переход).
переход идет в MUT таблицу по адресу 344DC (в нем у нас записано FFFF8945)
Далее записываем все переходи и просматриваем в поисках нужных таблиц и значений.

Возможно я ошибаюсь, но трассировка вроде все равно должна быть какая ни будь.

На EVO форуме прочел. Чел первооткрыватель данного проекта потратил 3 года на ковыряние прошивки. Это что то много очень.

Прикрепленные изображения

 

[Artem NN]

При дизассемблировании
обращайте внимание на функции SUB_CC6, C28 и E2
http://forums.evolutionm.net/ecuflash/4483...le-lookups.html первое сообщение от Logica.

далее машинный перевод: -

Поиск Оси сделан посредством вызова программы в sub_CC6. Вы сообщаете sub_CC6 где заголовок оси - назначая адрес в регистр r4.

Для столов 2D, Вы выполняете один поиск оси; для столов 3D, Вы выполняете два. Результат каждого вызова на sub_CC6 - величина сохраненная на этой оси' "адрес результата"; это - позиция на оси, что наиболее тесно (округлять в меньшую сторону), соответствует текущей величине оси ( позиция на оси ОБ/МИН, что большинство текущая машинная скорость).

Как только у вас быть позициями оси из sub_CC6, Вам нужно искать фактическую табличную величину. Для байтовых-широтных таблиц, Вы называете sub_C28; для текстовых-широтных таблиц, sub_E02.

Табличный заголовок имеет некоторое сходство в заголовке оси. Первый байт (или слово, для sub_E02), определяет имеет таблица два измерения (0x2) или три (0x3). Второй байт (или слово) - глобальная переменная, которая добавлена к любой величине возвращанной с таблицы. Затем, длинное слово описывается где позиция на X-axis сохранена в памяти (возвращанное из sub_CC6); на таблицу 3D, дополнительное длинное слово включено, а также один-байтовая величина, обозначающая длину колонки. После это, табличные данные следуют за, или в словом (для sub_E02) или байтом (sub_C28) формы.

Так, таблицы выглядят похожим на это:
Байт (или слово, для измеренных текстовых таблиц) для количества измерений: 2 = 2D, 3 = 3D. байт (или слово, для измеренных текстовых таблиц) для величины "добавленной" во все величины возвращанные из таблицы.
Длинное слово для позиции на X-axis. (скорее всего адрес FFFF)
Дополнительно, длинное слово для позиции на Y-axis в таблице 3D. (скорее всего адрес FFFF)
Дополнительно, байт (или слово, для измеренных текстовых таблиц) для длины каждой колонки в таблице 3D.
Серия слова или байтов, содержащих табличные данные.
Отметьте, что X и адресы позиции Y должны или сопоставление результат обращается из таблиц оси или соответствует паре адресов в которые Вы вручную скопировали результаты поиска оси.

Просто подобно с поисками оси, Вы установили регистр r4 по адресу таблицы Вы хотите выполнить поиск в. Когда управление возвращано, регистр r0 содержит интерполированную величину основанную на как "закрытие" величины оси были в помеченной позиции на оси.

Так, если Вы видите вызовы на sub_CC6 при читать ваше disassembly ROM, это - признак того, что поиск оси выполняется, и если Вы видите вызовы на sub_C28 или sub_E02, есть табличное событие поиска. Смотря на линии кода постепенно подготавливающего, что для любых назначений, чтобы регистрировать регистр r4 сообщит Вам где ось или табличные заголовки расположены. Нормально, кодовое право после вызова на sub_C28 или sub_E02 назначит регистр r0 в некоторый адрес памяти (или в конечном счете получите там, прыгая это вокруг из регистра, чтобы регистрировать), какое Вы можете зарегистрировать через таблицу MUT если Вы хотите держать глаз в величине, и можете дать Вам идею которого другой код, который использует, которым величина делает (например, код, который имеется дело с результатом из Высокого поиска Карты Октанового Топлива вероятно включено в топливо).

[gktuning]

Какая то новая прога (толи логгер толи трассер - пока не разобрался).
Кто по английски шарит, просьба расскрыть тему пошире.

http://www.mztec.org/evo/livemap/
http://forums.evolutionm.net/ecuflash/4542...ve-map-app.html

Livemap - это прога для online настройки EVO с прошивками от Tephra (tephra V7)
работает с ОЗУ ECU и кабелем O.P 1.3M (U)
Подробней на forums.evolutionm

[cartmanes]

В словаре авто сокращений написано: manifold air temperature - температура воздуха во впускном коллекторе, а
Intake air temperature - температура впускного воздуха. Наверно есть 2 датчика температуры

[Titus]

cartmanes, вот может быть. Я просто очень точно знаю, например, по 1.6 - что у него стоит MAP+IAT - то есть, Датчик Абсолютного Давления и Датчик Температуры Впускного коллектора - это все выглядит в виде единого блочка, висит как раз на впуске, после дроссельной заслонки (ближе к двигу), названия именно из тех.документации. Может быть, в обозначениях IAT превращается в MAT, либо, действительно два датчика стоят. Просто, не хотелось бы, чтобы тут ошиблись (IMG:style_emoticons/default/wink.gif)

[cartmanes]

Нашел в сети мнение, что датчик MAT используется в системах на MAPe, а IAT - на MAFe.

[gktuning]

Разница в этих обозначениях существует только на турбо-моторах, т. к. температура воздуха до и после турбины
может сильно отличаться. Вообще верно IAT - температура всасываемого воздуха (встроен в расходомер - он там виден.
Это деталька, по виду напоминающая импортный диод малой мощности, припаянный выводами к двум черным проводкам.)
MAT - температура во впускном коллекторе - встречается крайне редко. Я видел однажды
на EVO8 JDM с индексом MR, это заводской тюнинг, там стоял кроме расходомера MAT и MAP. К сожалению слитая с него прошивка не сохранилась, было бы интересно посмотреть как это там активируется. Вообще в прошивках мициков (особенно EVO), встречается много разных незадействованых карт. Иногда функции, связанные с ними отключены в битовых регистрах (Periphery), иногда, похоже, нет кода подпрограмм, обращающихся к ним. Скорее всего это сделно для амологации (своего рода сертификация FIA). Для участия в соревнованиях должна быть выпущена серийно определенная партия автомобилей в том виде, в каком они будут участвовать в соревнованиях.
Все функции должны присутствовать, но могут быть отключены.

[Artem NN]

dmitrij_b - пятая и шестая строчки
это адреса в памяти RAM
FFFF883C и FFFF883E
Если в IDA нажмем G вбиваем первый или второй адрес
далее встаем на него и жмем X - предлагает куда дальше прыгнуть

в этих адресах видим все оси X и (или) Y (активные и нет) которые есть в прошивке для карт 3D и 2D.
у этих адресов рядом всегда функция SUB_CC6 (у таблиц SUB_C28)

Далее я по каждому адресу прохожу и раскрываю вызов колесиком мышки.
т.е. если рядом видим эти SUB 6 и 28 значит есть ось и есть таблица.
Но бывает часто что ось есть а вызова на нее нету(Xref) (нет ни CC6 ни С28) т.е. не активна.
Еще эти Sub обращаются (загружаются) всегда на 4 и 10 регистры.

[dmitrij_b]

ROM он автоматом определяет. RAM в sh7052.idc устанавливается, как и вектора прерываний, от которых дизассемблер и пляшет...

Нажми Shift-F7. Должно вылезти вот такое окошко:

[Artem NN]

Вот что у меня показывает во Shift+F7

Какой то сегмент SEG002 лишний. может из за него далее не видно ??


еще нашел по адресу FFFF8844 кучу таблиц 2D и одну ось для них.
как ни странно у этих таблиц и оси в Xref нет SUB_C28 и SUB_CC6, есть только один общий адрес 8844 в RAM

cartmanes- у меня IDA 5.2.0.908 крякнутая - архив 71,5мб

все работает с первого запуска. (непомню откуда скачал )


К IDA есть еще какой то плагин HEXray но для чего он не знаю.

[dmitrij_b]

Вот что у меня показывает во Shift+F7

Какой то сегмент SEG002 лишний. может из за него далее не видно ??

Понятненько. У тебя ROM в два раза больше, чем на самом деле. Надо его ополовинить.
Поэтому в верхнем баре вторая половина рома и пустая....
seg002 можно просто выкинуть. Он вообще не при делах с 7052 процом. Но мешать не должен. Просто он опять-же пустой.

[gktuning]

Немного документации по SH7052 и его ассемблеру. Буду рад, если поможет.

Прикрепленные файлы

 ASM_sh7052f.zip ( 5,15 мегабайт ) Кол-во скачиваний: 595

 

[Artem NN]

Порядок действий по заведению прошивки с IDA. (http://forums.evolutionm.net/ecuflash/448378-dev-disassembly-beginners-guide-evo-ecu-table-lookups-2.html)

1. Запускаем прогу и выбираем открыть наш hex или rom файл.

2. Выбираем проц Hitachi: SH4B


3.Далее делаем рабочую область памяти ROM и создаем RAM.


4. Подтверждаем имя проца.

5. Открывается рабочее окно дизассемблера

6. Далее жмем G и вбиваем адрес ROM 0000
Далее жмем 3 раза D - преобразуем данные (у меня получилось unk_9CA4)

7. Жмем мышой по unc_9CA4 (или что получилось у вас) и прыгаем туда.

Жмем клавишу C - обратное преобразование

далее IDA раскрывает прошивку


далее подгружаю файлик 7052.idc (жмем на шестеренку и выбираем файл)

ну а далее пользуюсь клавишами X - показывает куда можно прыгнуть (откуда идут запросы), С D- преобразование данных, G - прыжок на нужный адрес.
прыгаю по прошивке и смотрю что к чему относится. (с ассемблером пока хреново, не могу понять что куда пишится и где и какие вычисления происходят).

[dmitrij_b]

Можно проще. Подгрузить бинарник, выбрать тип проца (SH3B или SH4B я разницы не заметил. Самое интересное что SH7052 это SH2). Память всю оставить по умолчению - то есть создается только секция ROM с размером равным размеру файла. Потом сразу подгрузить 7052.idc - этот скрипт проставит вектора прерываний, создаст секции RAM и регистров ввода/вывода, запустит разбор кода.

2 Artem NN сделай размер секции ROM 0x40000 . Хотя на самом деле это уже больше вопрос эстетики. Код у тебя IDA обрабатывает весь, просто сзади к нему прицеплена еще одна пустая тележка такого-же размера.
А размер бинарника у тебя 256kB или 512? Должен быть, в теории, 256.

[Artem NN]

В выходные покатался с ноутбуком (прошел ТО с ксеноном (IMG:style_emoticons/default/rolleyes.gif) ) снимал логи.
Катался в городе, максимум разгонялся до 80 км/ч. двиг крутил до 4000об/мин. Бензин 92.
К сожалению не удалось залогить поездку в гору (нагрузка) - т.к. небыло по близости горы (затяжного подъема).
В начале EcuEdit и EvoScan не хотели видить ECU.
C экуэдитом разобрался сменив скорость порта с 65200 до 15625 - сразу все законнектилось и пошла запись. (я уж думал у меня кабелю трындец пришел)
А вот шаманство с Эвосканом ни к чему не привело - показывал старт коннекта (и EFI и OBD-II) а затем выдавал ошибку и закрывал коннект. Незнаю чего делать ??
Так же пока незнаю как считать ошибки с ECU в этих прогах. (и можно ли считать SRS ошибки - лампа горит на панели.??)

Мой файл лога.  ecuEdit_MUT_2010_04_18.rar ( 74,63 килобайт ) Кол-во скачиваний: 631


Что поразило - температура ОЖ 103 градуса. Температура воздуха на впуске с 41 гр. поднялась до 65 и плясала в этом пределе постоянно. (У меня нулевик стоит)
Возникает вопрос и даже не один.
1. Нулевик сосет подкапотный горячий воздух ?
2. Дроссель (впускной коллектор) с датчиком Т. воздуха нагрелся от двигателя ??
3. В дроссель идут патрубки с ОЖ - может от этого получается нагрев водящего воздуха??

При надавливании на тапку (разгона еще нет) LOAD (нагрузка) закидывает аж за 100 (100-130). Затем идет разгон и LOAD падает постепенно до 50-60. (а говорили что наш MAP датчик наддув не видит ) ???

Ну и несколько скринов:
AFR - смесь (128 это 14,7 - если больше 128 то смесь обогащается)


Угол зажигания до верхней мертвой точки (в градусах) (если стоит минус то после ВМТ)


Нажатие на тапку (газ) в %


Ну и кусок лога - разгон



Есть еще вопрос по дентонации (Knock)

В логе их несколько Knock ADC, Base, Change, Dinamics, Flag, Learn (обучение ??), Retard, Var. Кто ни то может расшифровать кто из них за что отвечает ??
И на какой смотреть в первую очередь ?? По каким идет коррекция ??
Я так понял что ECU идет управление все время по картам High и при дентонации (которой именно?) сваливается на LOW. Если дентонация пропадает - ECU сразу
переключается опять на High. ?

[Artem NN]

Выкладываю мануал от Мерлина
http://www.4g63evolution.net/viewtopic.php?f=52&t=96

 Merlins_EcuFlash_EVO_7_8_9_TUNING_GUIDE_V1.7a.rar ( 3,69 мегабайт ) Кол-во скачиваний: 11325


Тут собраны труды разных корифеев (для Evo 7 8 9 - для нас так же подойдет на 80%) в плане прошивки и тюнинга.