Reverse engineering du protocole de diagnostic Rover

Salut,

Ça fait un moment que l'idée de faire de la rétro-ingénierie sur les calculos Rovers MEMS me trotte dans la tête et du coup je me suis lancé. Je vais donc consigner par ici ce que je bricole, des fois que ça donne des idées à certains. Je sais de source sure qu'il y a d'autres geeks sur ce forum .

Petit intro et état des lieux :
Les Mini SPI et MPI sont toutes nées avant la normalisation du protocole de diagnostic auto que l'on connait aujourd'hui, l'OBD ou OBD2. Avant, chaque constructeur faisait donc sa sauce dans son coin pour le diagnostic et il fallait dealer avec cette multitude de protocoles. De nos jours c'est emmerdant de rouler dans des bagnoles qui sont interrogeables avec un protocole propriétaire inconnu et qui nécessitent de se procurer des outils de diagnostic compatibles (pas toujours efficaces). Sans compter les coûts de ces outils qui arrivent aux environs de 300£ pour un lecteur Skykes Pickavant avec la cartouche Rover et les deux cables SPI / MPI.

Le but du jeu :
Étant utilisateur de logiciels Opensource autant que faire ce peu, l'idée serait de "libérer" ce protocole Rover, comprendre, l'étudier et le documenter. Ceci afin de faire moi même mon propre outil de diagnostic. D'ailleurs une fois qu'un protocole tombe dans le domaine public, ça fini par faire des petits et des tas projets intéressent se montent dessus. Inutile de dire que ces calculo Rover on les trouve dans les Cat', les Lotus, pleins d'autres Rovers / MG / Land+Range Rover et j'en passe. La banque d'organes Rover a été bien utilisée à l'époque.

Première étape, le matos :
Pour commencer il faut donc préparer un environnement de test proche de la voiture, pour éviter de faire le con avec quelque chose qui fonctionne. Il faut récupérer : un faisceau, un calculo, toutes les sondes et les divers équipements connectés au faisceau et qui interagissent avec le calculo. Plus une bonne alim 13.8V et un peu de fils & divers connecteurs pour refaire des connexions propres et diminuer les risques de court-jus.

Deuxième étape, câbler et démarrer la voiture :
Un bon repérage de chaque connecteur est nécessaire, ainsi que le repérage complet du connecteur "faisceau moteur" <-> "reste de la voiture". Ensuite on connecte le tout, on simule la mise sous tension et le contact.
J'en suis donc là et ça marche pas trop mal :




La suite un peu plus tard...

Si certains ont déjà joué avec ça, vous pouvez manifester, d'autres paires de zieux sur un projet comme ça ne feront pas de mal.

A+

Phil

Je vais suivre ça avec beaucoup d'attention et pour cause, ma MGF de 98 se trouve pile dans la période floue.
Avec sa prise de diag bâtarde, c'est Testbook Rover ou...rien.
Comme j'en ai acheté une pour pièces, complète et tournante je pensais faire une interface pour sortir sur une OBD2, mais comme je suis sur plusieurs projets à terminer dans un temps raisonnable, c'est stand by pour l'instant.

En voilà un projet intéressant !
avec quoi tu va leurrer les sondes et analyser les trames ?

GTM63 a écrit:

Je vais suivre ça avec beaucoup d'attention et pour cause, ma MGF de 98 se trouve pile dans la période floue.
Avec sa prise de diag bâtarde, c'est Testbook Rover ou...rien.
Comme j'en ai acheté une pour pièces, complète et tournante je pensais faire une interface pour sortir sur une OBD2, mais comme je suis sur plusieurs projets à terminer dans un temps raisonnable, c'est stand by pour l'instant.

Tu es donc concerné oui. Si tu pensais faire une interface, pas le choix que de découvrir le protocole comme je suis en train de le faire. Et c'est justement un défrichage qui pourra te servir.
Par contre le Testbook n'est pas obligatoire, il y a quelques outils alternatifs, mais qui fonctionnent plus ou moins bien. Il est certainement possible de passer ta voiture avec mon outil de diag Skypes Pickavant ACR4 mais avec une version 5 la cartouche Rover (qui n'est pas donnée ...).
Ensuite, ta prise OBD n'a que le plastique de commun avec la norme actuelle, il faut regarder ce qu'il y a dedans, on trouve en général le 2 fils du calculo mais aussi les fils de l'antivol (Lucas 5AS / 10AS) et parfois les airbag en direct.

trumpet a écrit:

En voilà un projet intéressant !
avec quoi tu va leurrer les sondes et analyser les trames ?

Bien, cette question me permet de poster la suite, à savoir le plan théorique de reverse du protocole à proprement dit.

Coté câblage, la petite prise ronde sous le capot comporte 3 fils :

• Data IN (ECU)
  
• Data OUT (ECU)
  
• Masse
  

Les sondes ne sont donc pas interrogeables une par une, elles le sont toutes à travers le calculo.

L'idée est donc de regarder ce qu'il passe sur ces 2 lignes de données. Et dans la façon de faire, comme je possède déjà une outil de diagnostique il faut que je me débrouille à m'accrocher entre l'outil de diag et la voiture pour observer.

Pour ça, il faut donc fabriquer une interface qui va être passive et se contenter d'intercepter les données qui vont transiter.

A ce point, je fais deux suppositions, qui ne seront pas forcément les bonnes, mais qui permettent de commencer à regarder :

• Année 90 : protocole basique question / réponse qui ne demande pas de rapidité et d’efficience, ce qui veux dire "half duplex", à savoir un seul fil IN ou OUT actif en même temps. Il suffit donc de mélanger les 2 sur un seul fil et donc de tout récupérer plus facilement sur un fil.
  
• Protocole série : plus risqué, mais tellement fiable et encore utilisé aujourd'hui pour pas mal de chose. Ca permet de mettre un circuit standard derrière qui fait l'acquisition et renvoie ça sur une prise USB (chip FTDI)
  

Ci dessous le schéma qui en découle et qu'il faut réaliser :



Les rectangles sont des jumper et s'ils sont positionnés laissent passer ou coupe le jus.

Pour superviser les choses il faut mettre les jumper en mode SNIFFER.

Les broches RX et TX sont directement à câbler sur le composant FTDI qui va assurer l'acquisition et le renvoyer en USB au PC qui va enregistrer ce qui passe.

Si jamais les 2 suppositions ci dessus sont foireuses, il faudra rajouter un peu de chose à ce schéma et ça ne sera pas perdu. Les jumper me permettent de moduler sans souci et de rajouter une seconde carte à celle là au besoin.

Et cette interface prépare aussi le futur : l'ordi qui sera l'outil de diag et qui enverra les trames à la voiture. C'est le mode ACTIF.

Je suis par contre sure d'une chose : le niveau logique IN / OUT sont en TTL 5V standard. Ce qui permet de faire l'économie d'un étage de conversion de signaux. J'avais connecté l’oscilloscope en // pour obtenir l'info. Le circuit avec les portes NOR est donc un simple 74LS02 et il assure aussi (un peu) une isolation pour ne pas fumer l'ordi en cas de court-jus.

Prochaine étape la réalisation de l'interface... J'attends encore un câble USB avec le chip FTDI déjà soudé pour gagner du temps. Pour le reste, les connecteurs Rover rond j'ai déjà sourcé ça depuis un petit moment et la plaque est déjà un peu commencée.

A+

Phil

Et au niveau soft j'imagine que dans le monde libre il y a ce qu'il faut pour enregistrer et analyser ? ça change du temps ou on enregistrait à l'oscillo numerique.

Phil242 a écrit:

[Ensuite, ta prise OBD n'a que le plastique de commun avec la norme actuelle

Non, même pas, la prise ne ressemble pas du tout à une prise OBD.
Peut-être que c'est pas plus mal car mon scan aurait pu créer des problèmes s'il avait été possible de le brancher.
J'essaierais de faire une photo de la prise en question.

GTM63 a écrit:

Phil242 a écrit:

[Ensuite, ta prise OBD n'a que le plastique de commun avec la norme actuelle

Non, même pas, la prise ne ressemble pas du tout à une prise OBD.
Peut-être que c'est pas plus mal car mon scan aurait pu créer des problèmes s'il avait été possible de le brancher.
J'essaierais de faire une photo de la prise en question.

Le machin rond à 3 pinoches ? (on le voit sur la vidéo ci-dessus)

Pour le scan avec le mauvais outil, normalement ça ne craint pas grand chose.

Alors, un peu de nouveau, la fabrication de l'interface qui va permettre de s’intercaler et de regarder ce qui passe entre le calculo et l'outil de diag.

Déjà, on s'équipe avec une pince qui sertie les câbles et pas les cosses de merdes :



Ca permet de faire un mâle / femelle propre afin de ne couper aucun faisceau :





Ce qui donne une fois câblé ensemble ceci :



Avec la connexion à l'USB pour brancher au milieu l'ordi :



Zoom sur l'interface et les petits swith de config que j'ai mis à la place des jumpers auxquels je pensais, c'est plus propre :



Et puis l'envers du décor, qui rappel que c'est à l'état de proto :




Voilà pour cette seconde phase, c'est pas trop moche et ça devrait ne pas trop courjuter dans tous les sens.
Ce WE j'aurais certainement le temps de faire des essais.

trumpet a écrit:

Et au niveau soft j'imagine que dans le monde libre il y a ce qu'il faut pour enregistrer et analyser ? ça change du temps ou on enregistrait à l'oscillo numerique.

Bien pas tant que ça. Il y a des tas d'outils pour sniffer les données sur tous les bus en gros, mais il faut avoir déjà mis en forme.
Je compte utiliser cet outil là pour le protocole série : http://jpnevulator.snarl.nl/
Machin inconnu complet et qui sort de je ne sais où, merci Google ! Mais ça permet de faire de l'acquisition sur port série via un chip qui émule la connexion en USB et avec timing directement mis à coté des trames, pile poil ce qu'il me faut.

L'oscillo numérique qui est devenu de nos jour un analyseur logique a encore de beaux jours devant lui car le FPGA qui le fait tourner est bien plus rapide qu'un simple ordi et la précision est devenue diabolique.

Et si mes 2 suppositions de half duplex et de protocole série s'avèrent foireuses, je vais essayer d'en trouver pour regarder les signaux, je n'aurais pas le choix. Mais l'interface sera prête et donc j'aurais juste à me piquer sur les pinoche du câble USB.

As-tu une connaissance du bus CAN ?

Pour tes sondes il va falloir que tu puisses faire varier leur valeur, de façon à repérer les variations de comportement du calculateur.
La démarche est élégante mais je te pensais plus enclin à la recherche de documents décrivant ce protocole, il en existe forcément. Enfin peut-être sont-ils perdus, je me souviens d'avoir participé au retro-engineering du metro ligne D de Lyon, Alstom ayant perdu toute trace des documents de la gestion du train.

salut

tres beau projet !!

bossant dans le monde de la formation auto,je suis electronicien a la base,  je me suis fait une maquette d'injection mais moto (k1200) qui dans l'esprit ressemble au monopoint de la mini pour montrer les signaux des capteurs.

Je voulais faire une maquette pour ma spi (1er génération avec deux connecteur sur le calculo) mais le temps manque.

Au taf on an un valise ex sagem qui dialogue avec ma mini, j'avais essayer la bosch kts650 mais sans résultat sur les spi mais positif sur les mpi.

Comme la spi est référencé avec la bosch, j'avais essayé de reprendre l'interface de la sagem (simplement des résistance de pull up) mais sans résultat. Le dialogue sur la bosch est sur un seul fil alors que la mini ressemble plus a du rx/tx sur deux fils type rs232.

le choix de ta valise est pas mal car je crois que tu demande la mesure des sondes une par une alors qu'avec la sagem, on voit tout l'ensemble sur un pc. le sniffage en sera plus "facile".

Pour info et de memoire, le bus CAN en diag moteur n'a été utilisé que vers la fin du siecle dernier sur les modèles grand public (golf4).

a+
antoine

ps: je suis aussi de sortie avec les miniacs en juillet, on pourra en causer de vive voix.

trumpet a écrit:

As-tu une connaissance du bus CAN ?

Pour tes sondes il va falloir que tu puisses faire varier leur valeur, de façon à repérer les variations de comportement du calculateur.
La démarche est élégante mais je te pensais plus enclin à la recherche de documents décrivant ce protocole, il en existe forcément. Enfin peut-être sont-ils perdus, je me souviens d'avoir participé au retro-engineering du metro ligne D de Lyon, Alstom ayant perdu toute trace des documents de la gestion du train.

Si j'avais supposé que ça fonctionnait avec un bus CAN j'aurais directement pris une interface toute faite. Un coup de Wikipedia montre que les calculo Rover ont été en prod un peu avant le pondage de la norme V0 de la norme CAN;
https://fr.wikipedia.org/wiki/Controller_Area_Network
Rover a du faire le design en 90 et mis en prod en 91 les premiers calculos sur les Mini.

Pour ce qui est de la "variation", je pense plus a un système qui repose sur un protocol de type ISO7816 des cartes à puces par exemple : un truc du style "commande + sens + longueur" qui en gros dit en un seul header ce qu'il va se passer dans la commande en cours; Puis s'en suis les datas optionnels et la réponse du calculo avec un octet de CRC, STATUS ou de ACK à la fin. Toujours à l'initiative du maitre : l'appareil de diag. Le calculo est esclave. J'ai rarement vu d'autres subtilités dans ce genre de protocole basique. En ensuite une commande par sonde, ou un paramètre qui désigne la sonde et une seul commande d'interrogation. Une fois accroché comme un morbak sur le BUS je devrais le déterminer assez vite.

Pour la recherche de doc, j'en ai écumés des forums Anglais. Mais nada ! Même les schémas internes de réparations des calculos n'ont pas filtrés. Mais je sais de source sure que c'est dispo chez les gens qui ont pignon sur rue de l'après vente des calculos comme ATP en GB. Mais comme ils font de l'argent avec ça, c'est préservé au coffre.
En somme le monopole par la connaissance d'une boite noire, qui ulcère les libristes et que défendent les "GROS" ! D’où les oppositions farouches au brevets logiciels qui sont d'actualité, on le voit bien sur un projet comme celui là : immobilisme parfait sur le sujet lié au manque de connaissance ...

Pour le reverse du Metro, sympa comme projet Je me serais bien amusé la dessus. Je savais pas que tu avais des compétences plus informatiques / électroniques (j'étais resté sur l'électricité).

Phil

antgomez a écrit:

salut

tres beau projet !!

bossant dans le monde de la formation auto,je suis electronicien a la base,  je me suis fait une maquette d'injection mais moto (k1200) qui dans l'esprit ressemble au monopoint de la mini pour montrer les signaux des capteurs.

Je voulais faire une maquette pour ma spi (1er génération avec deux connecteur sur le calculo) mais le temps manque.

Au taf on an un valise ex sagem qui dialogue avec ma mini, j'avais essayer la bosch kts650 mais sans résultat sur les spi mais positif sur les mpi.

Comme la spi est référencé avec la bosch, j'avais essayé de reprendre l'interface de la sagem (simplement des résistance de pull up) mais sans résultat. Le dialogue sur la bosch est sur un seul fil alors que la mini ressemble plus a du rx/tx sur deux fils type rs232.

le choix de ta valise est pas mal car je crois que tu demande la mesure des sondes une par une alors qu'avec la sagem, on voit tout l'ensemble sur un pc. le sniffage en sera plus "facile".

Pour info et de memoire, le bus CAN en diag moteur n'a été utilisé que vers la fin du siecle dernier sur les modèles grand public (golf4).

a+
antoine

ps: je suis aussi de sortie avec les miniacs en juillet, on pourra en causer de vive voix.

Des infos bien intéressante, dont une qui est dommage : différence entre la SPI et la MPI. Mince.

Joli jouet cet outil Bosch !
C'est bizarre que si elle est connue dans l'outil tu n'aies pas réussi. Peut-etre une histoire de cable. Ou alors : il y SPI et SPI : les versions un ou deux connecteurs ont une génération d'écart il me semble et si ça se trouve elle ne fonctionne que sur les SPI plus récentes. Tu l'as testé sur une SPI dernière génération ?

Alors on se voit en juillet, c'est cool ça !!!

salut

la valise bosch reclame un adaptateur qui n'existe plus !

comme je pensai que ce n'etait un pb de pull-up, j'ai essayer d'un coller la sagem

j'y ai mis un coup d'oscillo, la valise envoi quelque signaux mais pas de reponse du calculo.

a+
antoine

Moi j ai suivi ce tuto qui fonctionne tres bien et pour 20 euros t as un moyen de diag avec quelques actuateurs http://alum.wpi.edu/~colinb/mems_interface.html

Rha ! Je suis passé à coté de ça ! C'est pile-poil ce qu'il faut ce truc là.

Je retourne lire !

Excellent ce site ! Il y a vraiment tout ce qu'il faut, le boulot est déjà fait  

C'est même plus archaïque que ce que je pensais, un octet pour une commande et un gros buffer dans lequel on pioche toutes les valeurs des sondes.


Ce soir j'ai tout connecté ensemble, le diagnostique du faisceau sur le bureau se fait bien, mais je ne choppe aucune trame avec le PC. Avec les infos du site je vais moins me galérer, ça ira plus vite sur les vitesses parités etc.

Merci valant1 !

Bien sur ce n'est pas du CAN, mais ça peut y ressembler dans le principe, vu que c'est de la même époque.
Je ne suis pas né électricien, c'était juste un moyen plus fiable de me mettre à mon compte !

Bon, j'ai compris pourquoi mon bordel d'acquisition ne marche pas : j'utilise des cables USB de conversion en TTL 3.3V et forcément la caisse c'est du 5V ... J'ai d'ailleurs eu de la chance de ne pas faire de signaux de fumée !

Les bons adaptateurs sont commandés, la suite dès que le facteur aura officié.

Phil242 a écrit:

Bon, j'ai compris pourquoi mon bordel d'acquisition ne marche pas : j'utilise des cables USB de conversion en TTL 3.3V et forcément la caisse c'est du 5V ... J'ai d'ailleurs eu de la chance de ne pas faire de signaux de fumée !

Les bons adaptateurs sont commandés, la suite dès que le facteur aura officié.

ce serai interressant que tu ameliore le soft pour pouvoir agir sur le co, le mec fourni le code source

valant1 a écrit:

ce serai interressant que tu ameliore le soft pour pouvoir agir sur le co, le mec fourni le code source

J'ai tout pris sur le site, c'est de l'or en barre ce que le mec a fait !

Ca compile sous Windoz et Linux, ça se met en librairie et donc ça se réutilise dans d'autre projets facilement. Le mec a d'ailleurs fait comme ça l'interface graphique, ça utilise son premier truc comme librairie. C'est un mec qui fait ça tous les jours au taf qui a pondu ça et c'est une sacrée chance !

J'ai donc tout branché à travers mon interface maison, le diag fonctionne comme il doit et je peux commencer à regarder ce qu'il se passe.

Mais j'en suis toujours à galérer pour acquérir proprement les signaux. Ca commence à marcher car j'arrive à récupérer ce qui sort de l'outil de diagnostique, mais pas la réponse de l'ECU. Ce qui est cool, c'est que je sais que c'est conforme à l'aide du site du mec.
J'ai reçu des modules USB <-> TTL, 3 différents, mais ça ne marche pas mieux pour la ligne OUT de l'ECU ou IN de l'outil de diag. J'ai aussi collé un analyseur logique TTL dessus, rien à faire. J'ai sorti l'oscillo qui a 30 ans, histoire de deviner les tronches des signaux, mais c'est pas super adapté.

Je vais essayer de me faire prêter un vrai oscillo à mémoire.

Car sans cette acquisition propre il ne sera pas possible d'étudier le protocole et par exemple voir ce qui manque, comme le suggère Valant avec réglage du CO ou l'ajustement du stepper.

Voilà le tout en image :







S'il y a un vrai électronicien qui me lit et que ça l'insipire

salut

quand tu mesure tes signaux a l'oscillo, tu as que la valise de diag ou aussi le "renifleur" ?

sinon on en reparle ce weekend

a+
antoine

Salut Anto,

Bien content de t'avoir rencontré ce WE. Même si mon départ anticipé à fait que l'on a pas causé autant que l'on aurait voulu.

Donc, tu as la réponse, mais je la poste quand même : tout est bien branché en même temps. Sans l'interface maison je ne peux pas chopper les signaux facilement. Mais j'ai le même comportement en mettant l'analyseur logique et / ou l'oscillo. Comme c'est des entrées TTL ou haute impédance de l'oscillo, ça ne perturbe pas. La preuve c'est que le diag se déroule le plus normalement du monde.

Dès que j'aurais un meilleurs forme je me remet à tout ça. J'ai reçu un analyseur logique, toujours une copie Chinoise à 10$, mais il sera neuf et je verrais bien ce que donne l'acquisition avec celui-là.

Phil

salut Phil

avant de remiser la mini pour des problèmes d'eau, je vais essayer l'injecteur de 1,8l et de regarder ce que ma valise donne comme signaux a l'oscillo.

a+ et soigne toi bien

antoine

C'est quelle ref ton injecteur 1.8L ? Il y en a eu au moins 3 monté sur les blocs Renault 1.8L.

A mon avis tu vas pisser l'essence par les 2 pots de motos