1.БАТАРЕЙКА ФАТОВСКАЯ
2.ПОДЗАРЯД ПРИ СМЕНЕ РЕЖИМОВ БАТАРЕИ БЫЛ, ПОСКОЛЬКУ ЗЫЗА НА КОТОРОЙ ПЕРЕШИВАЛ ПИТАЕТСЯ ОТ ЗАРЯДКИ
3.ПОСЛЕДОВАТЕЛЬНАСТЬ ТАКАЯ КАК ВЫЛОЖЕНО - СНИМАЛ И СРАЗУ ВЫКЛАДЫВАЛ

ErikPshat, Ты ошибочно думаешь что после запроса к батарейке ЗЫЗА ищет флешку... Для того что бы она опросила карту ,ей нужно стартануть контроллер питания и зажечь зелёный светодиод. Она этого не делает. Ещё раз скажу что ЦП одинаковые и в 2000 TA88V3 и во всех 3000..И соответственно процедура старта в сервисный режим одинаковая. По непроверенным слухам, вроде в своё время дател выкладывал дамп батарейки пандора 3000 и мой знакомый проверял его и 3000 действительно стартовала с такой батарейки. Тогда было много шума вокруг дател...и службы безопасности Сони быстро прихлопнули ссылки на этот дамп. Мой знакомый успел его ухватить.....но и просрать тоже сумел :) Хард у него гикнулся...Я его спрашивал что бы он вспомнил что было изменено в дампе....Он говорил что байты сервисного серийника FF были на месте....менялось что то другое. Не могу сказать что мой знакомый говорит правду.....но что то похожее на правду может и есть. Ведь 3000 реагирует на FF и ей просто нужно что бы батарейка себя дальше правильно назвала...а этого не происходит...

хорошо бы ещё slim пандору погонять

Boryan, ого
с сервисным дампом дело бы веселее пошло

Не, байты записываются задом наперёд, поэтому первая цифра с конца не меняется.

Например:

• C006 = 06C0 = 1728 mAh
• C306 = 06C3 = 1731 mAh
• BF06 = 06BF = 1727 mAh

Поэтому эти разные данные можно списать на погрешности кол****ия тока. А то, что от фатки батарейка, я и предположил, потому что у неё 1800 mAh по стандарту, а у Слимки 1200 mAH.

Boryan, батарея Дател под 3000 - это был фейк.

Стоп.... во всех вышеперечисленных экспериментах была одна и та же батарея от фатки ????? тогда точно непонятны различия в предпоследнем байте - чаще это 06 но мы видели и 07 и другие значения...

ну так и чего, это же текущий заряд, максимум 1800, то есть 08 07, любые значения до этого максимума могут быть

Все прально, Эрик прав - максимально что мы видели это 0707 (1799) - полностью заряженный аккум....

Значит с первым запросом разобрались - возвращается флаг и уровень заряда, можно провести эксперимент - разрядить до максимума и попробовать вставить - наверное после первого запроса-ответа больше ничего не будет....

Надо проверить на батарее от слимки. Если будет в пределах XX04, значит точно ёмкость батареи.
Или разрядить батарейку.

Кстати, а где дамп памяти самой батреи?
Нужно ещё снять дамп заряженной батареи, а потом разряженной.

ErikPshat, Блин.....а может это так и есть...и может после ответа батарейки 0хFFFFFFFF.....на следующий запрос от зызы она должна дать ответ 0хFFFFFFF1.....на следующий 0хFFFFFFF2......или что то в этом роде....нафига она посылает столько запросов? Попробую ради интереса поставить на 3000 проц с TA88V3 и снять лог....хотя процы одинаковые ...но мало ли....так на дурака....Хотя по 2000 могу сказать что зыза переходит в сервисный режим и зажигает зелёный светодиод даже с выпаянным ЦП...а это говорит о том, что ЦП тут не при делах

не знал этого
тогда все логично)

Ins|der добавил 23-04-2010 в 18:05
так кто же все-таки опрашивает батарейку?
я думал, здесь схема вроде ЦП - контроллер питания - батарея - ЦП

Она посылает ровно 31 запрос, столько же сколько при изолированном контакте. Т.е. в результате ошибка ЗЫЗа пробует все повторить 31 раз.

и при этом каждый раз разный вопрос)

Вот ещё интересные данные из EEPROM батареи, выложенного здесь.
Там с самого начала идёт структура, схожая с серийником:

• 0807FFFF320DFFFF - какие-то данные: 07080D32
• 3412FFFF7856FFFF - серийник батареи 12345678

Но таких цифр в логах терминала не заметно. Если это хедер, то должен быть какой-то идентификатор.

разные вопросы при командах 80/81. я полагаю, что это могут быть вообще случайные просто данные. например, на их основе батарейка по неизвестному (нам) алгоритму вычисляет ответ, псп сравниваем с тем, что должно быть и понимает, что это оригинальная батарейка. или, например, если ответ оказывается каким-то особым, то стартует в сервисном режиме.

при изоляции - да.
при 3000 с FFFFFFFF - тоже. пытается заново начать протокол. 01, 0С, 80, 01, 0С, 80.......
А запросы 80 - всегда будут разные, в этом и прикол.

Батарейку опрашивает SYS CON такая мелкая микруха ....я про неё писал в начале ветки

Судя по логу, то микруха:

1. Идёт запрос статуса и оставшиегося заряда батареи.
2. Затем идёт сразу запрос серийника.
3. В третьих посылается код 80 с 9-байтными данными, я думаю, сгенерированными на основе предыдущих двух, ведь больше никаких данных не получалось.
4. Получает 16-байтный ответ, думаю контроллёр батареи что-то тоже решает, ксорит, складывает.

Теперь вся процедура повторяется и на основе предыдущих данных, генерируются новые данные.
После выполнения второй процедуры идёт запрос по коду 81 трижды и происходит запуск сервисного режима, если всё сходится.

может поможет..:
мне попалась китайская батарейка Slim из тех что не пандорится..
её ктото пытался сделать пандорой и попортил флеш - такая батарейка не стартует и внешне кажется что она мёртвая - подключил - оказалость есть базар. Его к сожалению не сохранил . Но что интересно - меняю серийник на фффффффф и на 80 вопрос батарейка начинает отвечать данными 000000000000000000000000! и заново всё 31 раз

5A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D9694DA952170023D482A5121500
000000000000000000000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A
0B80D91F4EC2EC55CFA4332BA5121500000000000000000000000000000000335A0201A2A5050610
1800275A020C97A50606FFFFFFFF525A0B80D999A2FFBBBA502E61B3A51215000000000000000000
00000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D9515B5D2483
2CF985E7A5121500000000000000000000000000000000335A0201A2A50506101800275A020C97A5
0606FFFFFFFF525A0B80D95B885CCB74321C88EDA512150000000000000000000000000000000033
5A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D95DBEEAE9C0DE507FE6A5121500
000000000000000000000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A
0B80D9F26E3A12BBEF91BD9DA5121500000000000000000000000000000000335A0201A2A5050610
1800275A020C97A50606FFFFFFFF525A0B80D9B4E12D40C8B17D74D5A51215000000000000000000
00000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D9789AFE976A
89CA716CA5121500000000000000000000000000000000335A0201A2A50506101800275A020C97A5
0606FFFFFFFF525A0B80D9318C97903BA70098E3A512150000000000000000000000000000000033
5A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D9460321D1C0A3E7E1DBA5121500
000000000000000000000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A
0B80D97EABD84C3F277A0212A5121500000000000000000000000000000000335A0201A2A5050610
1800275A020C97A50606FFFFFFFF525A0B80D918A32E675E64961E7BA51215000000000000000000
00000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D9FE23127E8A
C5F5EE5EA5121500000000000000000000000000000000335A0201A2A50506101800275A020C97A5
0606FFFFFFFF525A0B80D9F154918AFFCB673D73A512150000000000000000000000000000000033
5A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D99A42330B064CCF40C6A5121500
000000000000000000000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A
0B80D9519ECCC19DE966CD0CA5121500000000000000000000000000000000335A0201A2A5050610
1800275A020C97A50606FFFFFFFF525A0B80D94F896D7019E9962FC5A51215000000000000000000
00000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D93ABEDDD8EB
A2F20A0BA5121500000000000000000000000000000000335A0201A2A50506101800275A020C97A5
0606FFFFFFFF525A0B80D9F7AF730F5ABF0751A8A512150000000000000000000000000000000033
5A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D948D67BA29D86D59E70A5121500
000000000000000000000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A
0B80D9FE685E8E28791873C3A5121500000000000000000000000000000000335A0201A2A5050610
1800275A020C97A50606FFFFFFFF525A0B80D9FBDEDEEABC5F7BC644A51215000000000000000000
00000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D9E655AF9BD7
6454B17CA5121500000000000000000000000000000000335A0201A2A50506101800275A020C97A5
0606FFFFFFFF525A0B80D9B64C5EA8BEC51FC1D6A512150000000000000000000000000000000033
5A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D915BCF27206B0E4561CA5121500
000000000000000000000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A
0B80D94E23C82565E1463621A5121500000000000000000000000000000000335A0201A2A5050610
1800275A020C97A50606FFFFFFFF525A0B80D982F4E2158FDED26F26A51215000000000000000000
00000000000000335A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D90911488311
6AF906E2A5121500000000000000000000000000000000335A0201A2A50506101800275A020C97A5
0606FFFFFFFF525A0B80D9F30FE384751BB3385DA512150000000000000000000000000000000033
5A0201A2A50506101800275A020C97A50606FFFFFFFF525A0B80D9A5DDE6225A479FADCAA5121500
0000000000000000000000000000003300
поменял серийник на нормальный
005A0201A2A50506101900265A020C97A50606502E83321B5A0B800A8BB33A94C44AFC5AA0A51206
02859BEA802ABFBCB2934AB16421BFA7E65A0A81A183B92026B6B9C6C2A50A06C552AC9C318ABCBF
B55A0201A2A50506001900365A0B800AF1D48330A89EABEDBAA512068B1B8F0FD0DAF66F86398CF6
5C9D04FCB55A0A815E7B4F148F74840D4AA50A0650FD5E2647B491D61700
пытаюсь включить
4B6060F45A0201A2A50506101900265A020C97A50606502E83321B5A0B80044F5A13BA597A9C4DE4
A5121500000000000000000000000000000000335A0201A2A50506101900265A020C97A50606502E
83321B5A0B800A110C156DD13DC4D6C9A512063B68A7F730A9BCD3918821D179655DBA995A0A81E4
F916434E111D0464A50A0641B02DCB7EA39A901600


ещё раз напоминаю - это не рабочая батарейка - НО РАЗГОВОР ИНТЕРЕСНЫЙ!!!

вот хекс батарейки
E204FFFF5C10FFFF0A0028004100502EFFFF8332FFFFFFFFFFFFFFFFFFFFFFFF05000000FFFFFFFF FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF030041021A03C9FF7F027F02FFFFFFFF FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFBA046400A00016002000320030026A27D72675224B1F3993 FFFFFFFFFFFFFFFF01000000FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFF FFFF5039741466140100020003003E9D

Boryan, ErikPshat, таким образом, схема следующая:

микросхема sys con (на плате) - контроллер батареи (в батарее) - флешка eeprom (там же);
затем проверка на вшивость, если батарея сервисная, sys con переводит контроллер питания (на плате) в сервисный режим, если стандартная - в штатный.

другими словами, все что мы видели - разговор микрухи с контроллером батареи, я правильно понял?

Ins|der добавил 23-04-2010 в 19:51
stasik007, а что она ответит на вопрос 80 при запуске со стандартным серийником?
тут вроде логично, поскольку батарея паленая, она просто не знает как отвечать, а родная "псевдосервисная" отвечает, но не то, что приставка желает услышать (значит заложены соответствующие инструкции).

врага нужно знать в лицо :) Это системный контроллер с TA88V3 на ТА90 он меньше размером....он и отвечает за всё....сейчас нету под рукой разобранной 3000
http://s61.radikal.ru/i171/1004/f3/54f8614b3995.jpg

Boryan добавил 23-04-2010 в 19:57
Ins|der, да именно это разговор sys con с контроллером батарейки

Boryan добавил 23-04-2010 в 20:03
stasik007, Сделай из китайской дохлой батарейки аппаратно пандору...оторви питание флешки ....и вставь её в 3000 и лог их базара сюда выложи....Странно как аппаратная пандора вообще работает если в ней флешка оторванна....ведь помимо FF во флехе ещё много чего сидит...а если она оторвана то что читает контроллер батарейки?

Boryan добавил 23-04-2010 в 20:08
И какой то он тупой этот контроллер при всей своей навороченности и крутости ..не видит что у него флеху отрывают..и продолжает работать :)

FF читает, надо полагать. но видимо там ничего не лежит важного. собственно для ответа на эти вопросы псп вроде ничего кроме серийника из еепрома читать не требуется. но тогда не понятно, почему вот эта китайская сломанная не работает.

stasik007, ты лучше дамп батарейки в bin. выкладывай заливай на слил.ру и ссылку сюда....а то в таком виде он как то неприглядно выглядит :) либо приводи в божеский вид его...:)

так там отрывают ногу data out только..

тут компактность важна

pronvit,
ты уверен? А я думал что питалово отрывают....но это сути не меняет...флехи то на борту контроллера в обеих случаях нету.

ну так написано в той статье на ps2dev. и в этом случае флешка как раз как бы есть, и видимо по электронике получается, что отсутствие контакта там значит ff, там это объяснено, но я не догнал

Как то не сильно продуктивно у вас получилось, я тоже
сегодня не добрался до своей псп. Вообще из всего что можно
на данный момент, это изучать длинные команды. Самое простое,
это пробрутить батарейку для поиска криптоалга. Все остальное
не перспективно, если в коротких командах и есть какието флаги
активных состояний, это в любом случае только инфа.

так криптоалгоритм не так важен, все равно в сервисной батарейке будет ответ другой, по другому алгоритму.
по-моему надо сделать следующее, я уже писал, собрать устройство, которое будет отвечать на все запросы, кроме 80/81, а их переадресовывать батарейке, тогда можно попробовать во все ответы, кроме имеющих другое значение (то есть во флаг из команды 01 надо, а в заряд батареи нет) запихать всякие особые значения, ну или все по порядку, и смотреть, что будет. ну и в 80/81 можно попробовать пихать ff, 00 и тд, но тут из-за длины угадать вероятность мала.

Алгоритм не может меняться, поскольку приемник
имеет только один криптоалг, так же как и один протокол.
В старой псп считывался только серийник для перевода в
сервис, в 3000й возможно задействуется еще инфа но в
пределах криптованых пакетов. Вообще, снять криптоалг с
батарейки (если конечно в ней нет лока на брут) это достаточно
интересно, поскольку врятли для каждого протокола соньковцы
сделали бы особый крипт. Снятие этого криптоалга, очень перспективно.
Нужно только точно знать, есть ли возможность ввода в сервис 3000
через батарейку. А то получится что раскапаем в криптопакетах
какуюнибудь ерунду типа: "цикл заряда", ид производителя..)

э.. почему только один? да и вообще, например так - я посылаю батарейке X, если вернет X+1, значит все как обычно, если вернёт X+2, значит сервисная, а если что-то еще, то вообще левая.

к тому же с чего вы все-таки взяли, что там есть именно шифрование.. если бы я делал такую штуку для проверки официальности батарейки, то сделал бы отсылку ей случайного набора байт, а она должна посчитать из них ответ по алгоритму, известному только ей и мне. не факт, что там вообще есть какие-то зашифрованные данные. передавать там особо нечего, шифрование более-менее делать в таких мелких контроллерах тоже сомнительно.

вот здесь:

такое ощущение, что пропущен целый кусок кода (6 строк в начале, если сравнивать с логом в шапке), серийник опять же только раз проверяется (а должен два)

wtf, что это за код спереди?
отсутствует команда 5A02 03 A0, после проверки ответов на 80 и 81 следует конец разговора (а должны выдаваться служебные команды).

и опять это число, как и ранее на сервисе 3000й

а разве нелзя допустить что ответ выдаётся после манипуляций с содержимым отдельных ячеек еепром
в пользу этого и говорит то что после затирания определённых областей батарейка вобще перестаёт откликаться - срабатывает защита но от чего?

одно другому не мешает, от запроса ответ точно зависит, возможно, зависит и от данных в еепроме. но тогда не ясно, как работает батарейка с оторванной ножкой.

с оторваной ножкой она и не работает - зыза шлёт туда запросы а ответа нет
примерно тоже происходит если включтить приставку от адаптера без батарейки - запросы туда тоже постоянно идут

В еепроме наверняка тоже много кусков криптованых.
Что может делать батарейка и зачем там такой сложный
протокол.. самый простой ответ, для идентификации и допуска
к каким то скрываемым функциям. Батарейка является неким ключем.
Возможно в старых псп в алге была ошибка неучитывающая ффки в
серийнике, в новых это могло быть пофиксено.

да не, в смысле с оторванной ножкой еепрома пандора же работает. а в этом случае из него всегда читается ff (и получается серийник ff), если бы на основе еепрома строился ответ, он был бы неправильным тоже..
вообще кстати интересно проверить, о чем разговаривает псп2000 с запандоренной таким образом батареей.

stasik007, а предыдущие логи с китайской батарейкой - это какая PSP

по поводу оторванной ножки:

stasik007 добавил 23-04-2010 в 22:27
это 3000

stasik007 добавил 24-04-2010 в 01:51
исходя из разобраных дампов нет подозрения что ключом к успеху ожет быть напряжение питания батарейки - например зыза проверяет напряжение питания , затем серийник и если питание не выше чем у стандартной батарейки или не конкретная его величина не жмёт руку?
а исходя из схемы напряжение может быть аж до 5V но искать стоит в районе 4.5
А порог напряжения выставлен в еепроме. Тогда подтверждается легенда о существовании прошивки еепрома для 3000 модели - идея красивая ;-)
и если это так то надо будет найти отвечающие за это байты , изменить, затем дозарядить батарейку и пробовать (и главное не переборщить а то рванёт)

вопрос такой - МОЖЕТ НАПРЯЖЕНИЕ ПИТАНИЯ ВЛИЯТЬ НА РЕЗУЛЬТАТ ОТВЕТА НА 80 комманду?

stasik007, дай нам пожалуйста так-же все данные терминала от оригинальной батареи Слимки 1200 mAh вместе с дампом EEPROM. Как в прошлый раз.

И ещё!
В шапке во вложении лежит прога-дампер EEPROM батареи.
Папку с программой "ospbt_060" ложить в ms0:/PSP/GAME/
Просьба всем, кому не лень, выкладывать дампы оригинальных батарей на www.slil.ru в архиве с коротким названием.
Не плохо было бы, чтобы было несколько дампов одной батарейки, но с разным уровнем заряда.
В PSP есть 3 уровня 67-100%, 33-66% и 0-33%. При 5% уходит в спячку.

Дампы сопровождать следующими сведениями (есть на наклейке):

• MODEL PSP: 110 или S110
• BATTERY PACK: 3.6V 1800mAh
• Код батареи: 6724EWE (под штрихкодом)
• Мелкий код внизу: 2-581-224-16
• Заряд на момент снятия дампа: 33% (посмотреть в настройках системы)

Желательно название дампа выкладывать в следующем формате:

• eeprom_S110_1200mAh_07921WMA1221_3-268-513-02_74%_TohaMEN.bin

Цитата:

Внимание! Не заливайте дампы от чужих батареек в свою батарейку, например от батареи 1800mAh в батарею 1200mAh, от батареи одного производителя в батарею другого производителя. Это приведёт к брику батареи!

• MODEL PSP: PSP-S110
• BATTERY PACK: 3.6V 1200mAh
• Код батареи: 07921WMA1221
• Мелкий код внизу: 3-268-513-02
• Заряд на момент снятия дампа: 74%
• Примечание: Запондорина

eeprom_S110_1200mAh_07921WMA1221_3-268-513-02_74%_Tohamen.bin