ランエボＥＣＵデータ書き換え

解析ログ

1999.5.20	生け贄ＥＣＵ・流出バイナリ入手
1999.5.25	H8 CPUマニュアル入手、解析開始
1999.5.26	通信ルーチン発見
1999.6.7	リライトシステム応答
1999.6.18	読み出し成功
1999.6.21	通信アダプタ完成
1999.6.29	書き込み成功

ＣＰＵについて

　日立の H8/539Fのカスタム版らしい。 ブートプログラミングモードが殺してあるみたいだ。





内蔵メモリの書き換え

　ユーザープログラミングモードは生きていて、ＣＰＵモードを変更しリセットをかけると内蔵のメモリ書き換えシステムが起動する。 あとはシステムと通信して書き換えを行うだけだ。

Vpp端子に+12Vを印加しECUを起動すると、ECUに内蔵の書き換えプログラムが、ROMエリアからSRAMに転送されて制御が移る。

　Vpp端子は基板上で他の回路へ接続されているので、信号の衝突を避けるためにトランジスタの足を浮かせておく。






コマンド・プロトコル

　ECU側の通信設定は、9,600bps, S8N1である。

データを１バイト送出する毎に次の様な交信を行う

(コマンド等)
      ECU             PC
------------------------------
           <------  data       データ１バイト
      data ------>             送ったデータのエコー
           <------  ACK        ACK. 任意のデータ１バイト

(戻り値)
      ECU             PC
------------------------------
   results ------>             戻り値
           <------  ACK        ACK. 任意のデータ１バイト



コマンド一覧を以下に示す。
• IDENTIFY - 0x00

  認証コマンド

  　リライトモードでECUを起動して最初に１度だけ発行する。

  +0	+1	+2	+3	+4	+5	+6	+7	+8
  command	engine code						comm. speed	op. area
  0x00	エンジンコード						0x28: 9,600bps 0x18:19,200bps	0x06: 0x20000 - 0x2ffff以外 0x09: 0x20000 - 0x2ffffのみ 0x0c: すべてのエリア

  
  
  

• ERASE - 0x20

  全消去 ※消去したら、ちゃんとリライトシステムプログラムを再転送すること。でないと永久昇天する。

  コマンド形式

  +0
  command
  0x20

  
  戻り値

  +0
  results
  0xc1: 消去完了

  
  
  

• WRITE - 0x40

  データ書き込み

  
  
  

• CHECKSUM - 0x81

  - チェックサム計算

  
  
  

• MEMORY DUMP - 0x80

  - データ読み出し

  
  
  

• TEMPORARILY WRITE - 0x4d

  - 仮想書き込み

  
  
  

• EXECUTE - 0x50

  - プログラムの実行





通信コネクター





　日立製のF-ZTAT評価ボードのピン配置と互換である。 ここんとこにISP通信アダプタを接続する。

アダプタは、拙作Ｈ８用ＩＳＰアダプタや、後述のRS232Cレベルコンバータとトグルスイッチで作る、なんちゃって(爆)アダプタが使用可能である。



ちなみにユニットのぶっ壊しかた

ここんとこにマイナスドライバーを突っ込んで引っぱり出す	ケースの奥のこの部分で接着剤で貼り付いている





即席書き込み機

　H8用ISP書き込み機を自作できる人は、作ってもらえれば問題ないが、10箇所以上のハンダ付けは死ぬ〜という人向けの即席アダプタの作り方を紹介する。

書き込み機は、RS232Cレベルコンバータが手に入れば、残りはトグルスイッチで代用できる。 ポケコンやザウルスのRS232Cアダプタでも良いのだが、出力電圧やスピードに問題があるので、今回は、アルファープロジェクトという会社で販売しているレベルコンバーター基板 PC-RS-03 (3,500円)を使うことにする。


(注)北斗電子のFLASH1は使えません。・・・本来の使い方じゃないから使ってくれるなって。(泣)





PC-RS-03レベル変換器

ECUとの配線図

JST製 PH型コネクタ



　きれいに仕上げたい人は JST製PHコネクタ(2mmピッチ8ピン)を買ってきてＥＣＵ基板に付けると良い。 ＥＣＵにリード線を直接ハンダ付けして、レベル変換器のコネクタを抜き差ししてもＯＫ。

配線図中のスイッチはプログラムモードと通常モードの切り替えである。 作業の流れとしては以下のような感じ。





モード切替オン　→　IGオン　→　evostat/evoflash/evoreadの利用

　　→　モード切替オフ　→　IGオフ　→　終了





書き込みユーティリティー

　汎用書き込みアダプタを使用するユーティリティを製作中。

ベクターシェアレジにて 20,000円で頒布予定。

AT互換機PC-DOS専用。 Win98/MeのDOS窓でも動くか知らんが、書き込み中に割り込み入ってフラッシュ失敗しても知らんよ。(爆)

　気軽にＰＣ接続が確認できるよう、evostatコマンドはフリーソフトとする。 書き込みコマンドを発行しない限りECUのデーターが破壊される心配はない。
これでアダプタのテストをし、エンジンコードが読めるのを確認した上で、書き換えソフトを使って作業を進めてほしい。

　なお、チップの定格書き換え回数は、100回である。 100回書き換えたらフラッシュメモリの寿命で、昇天すると、思った通りに書き換えができなくなる。 AKI-H8の例からすると、200回はイケるかも？という報告もあるが、寿命が近づいたと感じたら(？)、ノーマルに戻して大事に使った方が良い。




いいかい？寿命は100回、100回だよ。 100回のトライでデーターを仕上げる自信ある？？





evostat - ECU情報の読み出し

[構文]
evostat {-2} {-v}

[説明]

ＥＣＵ内に記録される、エンジンコードを表示する。 同時にライセンスサーバー問い合わせ用パスコードを生成する。
オプション-2 を指定すると COM2ポートにスイッチされる。 また、-v を指定すると、ソフトウェアのバージョンが表示される。
　なお、evostat.exeはフリーソフトである。



evoread - メモリー読みだし
[構文]
evoread {-2} {-v} 読み出しコード 開始アドレス 終了アドレス 出力ファイル名
[例]
evoread 005423058920 10200 102ff output.bin
[説明]
ＥＣＵ内部のデータを読み出す。 読み出し可能な領域は 0x10000 - 0x2ffffのデータ領域全てである。 読み出しコードは読み出しオペレーションのためにＥＣＵへ送る MEMORY DUMPコマンドの専用暗証コードで、evostatコマンドで生成した問い合わせコードを作者が用意するライセンスサーバーWebページのフォームに入力・変換し得られるコードを記述する。
オプション-2 を指定すると COM2ポートにスイッチされる。デフォルトは COM1。 また、-v を指定すると、ソフトウェアのバージョンが表示される。



evoflash - FLASHメモリのフラッシュ
[構文]
evoflash {-2} {-v} エンジンコード 入力ファイル名
[例]
evoflash c4225b332687 input.bin
[説明]
ＥＣＵ内部メモリ(Flash-EEPROM)の前半部分にデータを書き込む。 リライトシステム自体を書き換えているので、データ復帰前に事故が起きた場合、ＥＣＵは永久昇天する。 入力ファイルは evoreadで読み出す事のできるメモリーエリア 0x10000 - 0x1ffffのデータで、サイズは必ず 65,536バイトでなければなない。 さらに、それに含まれるプログラムコード部分には異常があってはならない。 異常のあるデータを書き込んだ場合は、ほぼ間違いなく二度と書き込みはできなくなる。 エンジンコードは書き込みオペレーションを実行するのに必要である。 エンジンコードは evostatコマンドで生成した問い合わせコードを作者が用意するライセンスサーバーWebページのフォームに入力・変換し得られる暗証コードである。

オプション-2 を指定すると COM2ポートにスイッチされる。 また、-v を指定すると、ソフトウェアのバージョンが表示される。

参考文献

• H8/500シリーズプログラミングマニュアル第４版 - 日立製作所
• H8/539F-ZTAT^TMハードウェアマニュアル第４版 - 日立製作所
• 二電源版F-ZTATマイコンオンボード書き込みアプリケーションノート第３版 - 日立製作所

---

E-mail	-- LINK FREE --
HOME		LAST