IHC Wireless protokol, hvordan er det lavet.....

[cgroen]

Jeg ved ikke om det er den rigtige undergruppe, og om dette indlæg overhovedet er interessant for denne side, men jeg tager chancen, skyd mig ikke

Indlægget er rigtig "nørdet" vil nogen nok mene, og ligger langt udenfor vanlig IHC problemstillinger, men jeg tænkte at der garanteret er nogle herinde (som alle andre steder) som roder med hvadsomhelst og har hovedet skruet rigtig godt på, som måske kan hjælpe/bidrage med viden om emnet

Jeg er igang med at få installeret IHC i mit hus, og dermed udskifte mit 23 år gamle hjemmelavede system (8051, 96 indgange og 128 udgange)....
I den forbindelse har jeg luret lidt på IHC wireless system for måske at lure lidt hvordan det virker ("indeni")...
Jeg har ikke fundet ud af de vise sten endnu, men måske er der andre herinde der har/vil rode med det.
Jeg skilte et af deres 6 tryk paneler og fandt forbindelserne mellem processoren (PIC18LF452) og RF kredsen (CC1020). Der er trukket 4 signaler til en SPI bus samt Clock og Data signal (delt TX og RX) mellem CPU og CC1020.
Jeg har optaget en del data vha Saleae logik analysator (som flere af jer måske kender/anvender).

Forbindelserne mellem CPU og CC1020 er som følger:
CC1020 PSEL <- CPU pin 23 (RA4)
CC1020 DCLK <- CPU pin 9 (RB0/INT)
CC1020 PDO -> CPU pin 42 (SDI)
CC1020 PDI <- CPU pin 43 (SDO)
CC1020 PCLK <- CPU pin 37 (SCK)
CC1020 DIO <-> CPU pin 22 (RA3)

Navne i parentes efter CPU ben numre er typen af I/O for det enkelt ben. Feks er CC1020 DCLK forbundet til ben 9 som er RB0/INT, et godt bud her er nok at det er interrupt funktionen der bruges da CC1020 sender clock ud både når der skal modtages og sendes data. SDI, SDO, SCK er fra CPU'ens SPI port.

Alle de data jeg har snuppet, billeder og datablad for CC1020 kan findes i en zip fil: https://www.dropbox.com/s/phgzrxe90bhqoie/Trådløs tryk data collect.zip?dl=0

[Bjarne Sørensen]

Det bliver spændende at følge dit projekt. Tak fordi og også lagde det her ind.

[Ole]

Tilslutter mig Bjarne, rigtig spændende projekt du har gang i der. :-)

[Lars1]

Jeg tror mange vil blive glade hvis du kan aflure kommunikations protokollen. Såvidt jeg ved er den dog krypteret, men mon ikke LK's wireless har samme problem som den alm. data protokol, at den køre ukrypteret når forbindelsen oprettes. I LK IHC's tilfælde vil sige når en wireless enhed linkes med en controller eller anden wireless enhed.

[cgroen]

18 timer siden, Lars1 skrev:

Jeg tror mange vil blive glade hvis du kan aflure kommunikations protokollen. Såvidt jeg ved er den dog krypteret, men mon ikke LK's wireless har samme problem som den alm. data protokol, at den køre ukrypteret når forbindelsen oprettes. I LK IHC's tilfælde vil sige når en wireless enhed linkes med en controller eller anden wireless enhed.

Det kan meget vel være at jeg slet ikke kan gennemskue hvordan det er skruet sammen (rent data/protokol mæssigt), men der er en hel masse super skarpe hjerner derude, og hvem ved, måske er dette en tilpas "intellektuel udfordring" til at de napper de data jeg har lavet, og ud fra dem kan komme med nogle vise ord til hvad der foregår. Jeg tænkte at det at samle data op, finde ud af hvilken RF kreds der bruges samt interfacet til CPU kunne være en hjælp til andre hvis nogen skulle føle sig fristet til at kikke på "opgaven"

 

[Lars1]

Nu har jeg ikke kigget på de data som du har opsamlet, men jeg er ret sikker på at hvis du ikke har opsamlet data når den wireless enhed linkes til controlleren, så vil man få MEGET svært ved at knække protokollen.

[cgroen]

Data for link processen kommer så snart jeg er på plads igen, sammen med en masse andre data

[Hubba Bubba]

Hej

Jeg har set på din data, må sige at det ser ganske fint ud, dog ser det ud til at "main" registeret i CC1020 chippen aldrig bliver sat.

Jeg er overbevist om at det er fordi at fjernbetjeningen ikke sender noget data, da den ikke er parret med en modtager enhed eller fordi den ikke er i "parrings mode" (når man holder A knappen nede og trykker på en af de andre knapper) på den måde står den og annoncere sig selv og dette vil kære at "main" registeret i CC1020 chippen bliver sat.

For at kunne finde ud af hvilken frekvens fjernbetjening arbejder på, skal dette register sættes, så vi kan bruge formlen i datasheetet til at regne frekvensen ud.

Hvis du har mulighed for at lave et nyt sniff med din logik analysator hvor fjernbetjeningen er i parrings mode, så vil jeg prøve at se på det igen

[cgroen]

Hej "Hubba"

Tusind tak for tilbagemeldingen! Enheden var parret med en modtager (IHC Controller) på det tidspunkt! Jeg er dog sandt at sige ikke sikker på at Controlleren var tilsluttet på det tidspunkt!

Jeg har monteret panelet nu, men jeg vil fluks bestille et nyt panel idag (4 knaps) så der er noget at måle på !

Såsnart jeg får fingre i den, så får jeg proberne monteret så der kan sniffes løs

Mange tak!

 

Edit: et 6 knaps panel er bestilt, kommer om 2 dage

[cgroen]

Kom lige i tanke om at jeg havde skriblet nogle simple ting omkring protokollen etc:

 

https://ing.dk/artikel/kamp-om-standarder-til-automatiske-hjem-76981

"Endelig er der Lauritz Knudsens bud, IHC Wireless, der bygger på Wavenis-teknologi. 
Wavenis benytter 868 Mhz-båndet i Danmark og har med sine 2,4 kbit/s en lav båndbredde."

http://www.ann.ece.ufl.edu/courses/eel6935_11fal/papers/Survey of home automation networks.pdf
Tilsyneladende er Wavenis 3DES/128 bit krypteret ?

[Hubba Bubba]

Hej cgroen

Jeg vil selvfølgelig ikke garantere at det er muligt at revers engineere deres kontakter, har dog fundet et par ret detaljeret eksempler på nogle som har gjort noget lignende

https://www.progz.nl/homeautomation/2015/01/04/reverse-engineering-remote-itho-cve-eco-rft-part-3/

Hvis den fjernbetjening som du har lavet et sniff på, var parret med en controller, så skulle jeg mene at den vil prøve at sende data om de tryk der sker på kontakterne til controlleren, hmm...

Jeg har selv en personlig interesse i at få fjernbetjeningerne til at virke med andet end en IHC wireless controller, da jeg har nogle IoT enheder som jeg ønsker at kunne styre og fordi at jeg ikke er interesseret i at give 5k for en controller til 2-3 fjernbetjeningerne og fordi det er IHC's fjernbetjeningerne som passer rent design mæssigt bedst sammen med alle de andre el-installationer (som også er fra LK).

At IHC wireless benytter Wavenis-teknologi, er lige netop det som er problemet, man kan ikke benytte dem sammen med andet udstyr kan godt se at der i den tabel som du linker til står at Wavenis er 3DES/128 bit krypteret... om det er sandt, har jeg ingen anelse om, da jeg ikke rigtigt kender til disse standarter.

Har selv en 4-tryk's kontakt liggende, jeg har desværre ingen logik analysator, men jeg har et PIC-kit 2 liggende, som vist nok skulle være kompatibel med PIC18LF452 chippen, jeg vil derfor se om det skulle være muligt at læse firmwaren ud og så på den måde revers engineere kontakten, bliver dog først når jeg igen lige for tid til dette

 

[cgroen]

Det lyder spændende!
Jeg kunne såmænd godt klare mig uden at kende til protokollen, men det ville være fedt at hitte ud af den, har et par skumle planer hvis det kan lade sig gøre at hitte ud af protokol osv!
Og så skal man aldrig sige nej til en udfordring på forhånd

[cgroen]

Nå, så kom der en 6 knaps wireless tryk

Jeg har derudover taget en ø80 wireless dæmper (som før var bundet til min IHC controller, men den er slettet fra projektet/unlinket samt jeg har resat den, trykket på B knappen indtil lysdioden blinker rød/grøn).

Dvs, både trykknap og dimmer er helt jomfruelige.

Jeg har monteret testpunkter på trykknap panelet, og er igang med at koble logik analysator på igen.

Jeg har fundet at LOCK signalet fra CC1020 også er interessant (og bragt ud fra kredsen og koblet til CPU). Den vil derfor komme med i mine fremtidige "snif" af data.

Inden da, prøvede jeg for spas at tænde min spektrum analyzer og lytte omkring 868 MHz. Jeg kan se at når jeg trykker på knapperne (1/2) på dimmeren, så kommer der traffik fra den, der kommer et signal på 868.3 MHz. Det ser dog også ud til at den kan sende to andre steder, den højeste frekvens omkring 869 MHz og den "mellemste" imellem 869 og 868.3. Disse to fik jeg ikke gemt billeder af, men det ser ud til den kan springe i frekvens også..?

Indtil videre et par billeder af testsetup, nu vil jeg rode med opsamling etc...

[cgroen]

Første sæt data. Trykknap enhed er ikke bundet (frisk fra kassen). Der sættes strøm på, dette giver ingen aktivitet på signalerne til CC1020.
Jeg trykker så på tast 3 ("nButton 1" går lav på billedet nedenfor), dette giver aktivitet i ca 3.7 sekunder.
Analysator data for dette er i "Unbound-Button 3 pressed" som er vedhæftet.

Dette giver også et "blip" på Spektrum analyzer på 868.3 MHz

Unbound-Button 3 pressed.logicdata

[cgroen]

For god ordens skyld gjorde jeg det samme for knap 4, 2 separate opsamlinger, begge med strømmen fjernet inden

 

 

Unbound-Button 4 pressed first.logicdata

Unbound-Button 4 pressed second.logicdata

[cgroen]

Dette sæt er fra en binding til min IHC controller. Jeg oprettede 6 knaps wireless enhed i Visual, gik ind i "Link" for enheden. Derefter satte jeg strøm på 6 knaps enheden, trykkede på "A" knappen (LED blinker), og trykkede derefter på "1", LED slukker efter noget tid. Data i dette sæt er fra hele sekvensen

 

Binding to IHC controller.logicdata

[cgroen]

Derefter slettede jeg trykket igen, og lavede en ny bind. En lille detalje er at såsnart jeg trykker på "A" knappen så starter kommunikationen mellem CPU og CC1020. Jeg har sat analysatoren op så den starter med at sample så snart der er en trailing edge på PSEL (CS) til CC1020. Det passer rimeligt med at der går ca 1 sekund (og ca 1 1/2 i første bind test) inden jeg trykker på "1" (hvor der igen sker en ændring i data). Interessant at se at der er en mængde kommunikation, ialt 7 sekunder snakkes der frem og tilbage...

(blot for en god ordens skyld, serienummeret (ID?) på 6 knaps enheden er 640217378048)

 

Binding to IHC controller second.logicdata

[cgroen]

En anden test, her trykkes på knap "3" efter enheden er bundet. Det er tydeligt at der først sendes en "press" kommando (på forkant af knappen) og at der så sendes en "release" kommando på bagkant af knappen.

 

Bound-pressing button 3.logicdata

[cgroen]

En anden test, her trykkes på knap "3" efter enheden er bundet. Det er tydeligt at der først sendes en "press" kommando (på forkant af knappen) og at der så sendes en "release" kommando på bagkant af knappen.

 

[cgroen]

Samme situation igen, blot er knap 3 nedtrykket i længere tid (ca 3 sekunder)

 

Bound-pressing button 3 - long.logicdata

[cgroen]

Så er det slut med spam herfra indtil videre, skulle der være en eller anden  der har nogle gode ideer til videre "snifning" af data, så sig til! Jeg lader opstillingen stå nogen tid, så er det nemt at prøve andre scenarier!

 

[Bjarne Sørensen]

Spændende projekt, jeg kan dog ikke bedrage til den del 

[cgroen]

 

52 minutter siden, Bjarne Sørensen skrev:

Spændende projekt, jeg kan dog ikke bedrage til den del 

Skidt pyt, jeg håber der er en eller anden kløgtig person som kan kaste lys over selve kommunikationen/kryptering osv, så kan vi forhåbentlig få en ide om der er noget at gøre eller om det er håbløst

 

Nu når jeg alligevel er ved at pille i wireless produkter, så valgte jeg også at skille en af mine to "reserve wireless dimmere". De er opbygget lidt anderledes end jeg umiddelbart ville have troet, de er lavet med ialt 3 print, printet der sidder ved "fronten" med knapperne på har CC1020 kredsen og den samme PIC CPU som 6 knaps panelet har. "power" delen i dæmpereren består af 2 print, det ene er "hjernen" og sin egen CPU (PIC16F916), de 2 print snakker sammen vi 6 forbindelser. Det 3. print indeholder power delen, dette snakker med CPU printet via 7 forbindelser. Det er sjovt (lidt) at man ikke blot har ladet CPU'en på "RF" printet styre lysdæmperen og så spare det ekstra "CPU print" væk som forbinder RF printet med power printet.

Men der er nok en god forklaring op dette

Et par billeder af en ø80 wireless dæmper

 

 

 

[Hubba Bubba]

Hej cgroen

Mange tak for din data.

Jeg har desværre ikke haft tid til at se på dette, da kalenderen lige for tiden er lidt presset, regner dog med at se nærmere på det igen, omkring påske

Men det er nogle meget fine test cases som du har lavet og det ser meget interessant ud med de frekvenser som du har målt dig frem til, (Og i øvrigt, cool setup du har dig der )

Jeg vender stærkt tilbage når jeg har fået set nærmere på det.

[cgroen]

Det lyder dejligt

Jeg har test setup liggende klar, det er blot at proppe et USB3 kabel i analysatoren og teste løs hvis der er andre ting der kunne være interessant at sniffe!

[janushansen]

gik denne tråd helt i stå... ellers spænde læsning!