Nutzung größerer Zellkapazität mit original Renault-BMS

FlipFlop schrieb: Da hier im Paralellthread gefragt wurde, hier eine Info wie es aktuell steht. Ich habe für meinen Akku mittels etwas trial-and-error die Parameter für die Kapa im BMS höher gesetzt. Nun habe ich noch ein BMS von Saarlodrie und zwei weitere aus meinen weiteren Akkus hier auf dem Tisch. In der Datenbank vom DDT sind auch schreibkommandos dokumentiert, die allerdingt mit ddt4all nicht angenommen werden.
Es gibt auf mindestens drei softwareversionen, dort werden die Parameter anders gespeichert als bei meinem ersten akku und werden im Betrieb auf die Werkseinstellungen zurückgesetzt. Gemeinsam haben sie aber ihre Schnittstelle zum parametrisieren. Nun bin ich seit Mai daran, die für die diagnosekommandos über Can verantwortliche SW zu reversen, die das Schreiben der Parameter über OBDII verwalten. Leider ist das für diese anwendung wirklich komplexe software, mehrere 10.000 zeilen Code, inklusive Real-time-betriebssystem. Falls jemand in assembler fit ist und gern auch einen rauchenden kopf möchte, möge die Person sich bei mir melden (einblick im anhang). Vielleicht lassen sich dabei auch weitere unklarheiten in den CAN-Messages im Twizy lösen.

Which software u use?

Es sind mindestens 3 Fälle bekannt, in denen es gelungen ist, defekte BMS dadurch wiederzubeleben, dass die Firmware aus einem funktionierenden BMS ausgelesen und dann auf das defekte geschrieben wurde.
Ob dabei die unterschiedliche Softwareversionen berücksichtigt wurden kann ich nicht sagen, vermutlich aber nicht.

Meine Idee wäre folgendes:
Wenn dir das Kunststück des Softwaretransfer ebenfalls gelingen würde, dann wäre vorstellbar nach einem Zellentausch einfach nur die Firmware im BMS zu tauschen.
Dann müsstest du "nur" noch bei einer Version herausfinden, an welcher Stelle in der Datei der SOH und die Zellkapazität gespeichert ist und diese dann entsprechend ändern.
Wenn es hilfreich wäre, dann könnte das Forum in einer Crowdfunding Aktion ein fabrikneues Original-BMS finanzieren und dann dessen Software als Basis für alle anderen dienen.

Natürlich wäre es eleganter, wenn man das BMS über den OBDII konfigurieren könnte.
Aber wenn dieser andere Weg einfacher zu realisieren wäre, dann wäre das auch okay.
Schließlich ist das nur einmalig nach dem Zellentausch nötig.

On two identical versions of bms with different soh with the same charge, read the firmware and compare

Ich hatte vor ein paar Wochen mit Kenneth geschnackt, der hat viele Original BMS rumliegen und würde einige zu dem Thema spenden.

Sag mit was du brauchst und ich hau ihn an.

Wenn 3/4/5 von uns jeweils 5 euro Porto in den Hut schmeißen hilft es auch die Dinger aus Norwegen zu verschicken da evtl auch steuern anfallen koennten.

- Bitte keine Diskussion über das Steuer Thema anfangen -

Danke, BMSse habe ich wohl aktuell genug, möchte auch gerade keine Annehmen, da ich die ja dann wieder wegschippern müsste und es gefühlt ja nicht mehr so schwer sein kann. Habe in den letzten zwei wochen viele dutzend stunden vor Ghidra verbracht, bin in größer werdenden schritten weitergekommen und teste jetzt schon ein paar vermutungen mit dem Debugger aus.

BMS-Software einfach überspielen halte ich für weniger schlau, es sitzen 3 Prozessoren auf dem BMS, die sich untereinander verstehen müssen, und bei den Zellomnitor-Controllern habe ich keine ahnung wie deren Firmware aussieht und habe sie noch nicht gelesen/geschrieben.

I don't eat assembly like pizza, but why not?

Which software u use?

I will send over the Ghidra project using PM. I dont think i can publish the renault binaries for copyright reasons. Nice way to get into reversing with ghidra btw.

Rozhkov schrieb: On two identical versions of bms with different soh with the same charge, read the firmware and compare

Unfortunately, many more parameters than SOH change over time. There is extensive logging and history stored in the flash memory.

Falls mein BMS mit sturem 100% SOH zum auslesen gebrauchen kannst, sag bescheid

(ich möchte es nur irgendwann wieder zurück, man weiß ja nie )

Delvecchio schrieb: Do you mean the DDT based software or whatelse?
I also tried to write those bytes, both with DDT and directly via canbus, but my attempts wasn't successful, despite I tryed in all possible type of session.
I'm still convinced that finding a way to reuse the original BMS would be the preferable way at all.
A question: some posts earlier you wrote that also an hw modification was needed. Am I right?

Let me give some answers:

Yes the DDT4all software. It is obvious the BMS used in the Twizy is derived from a full grown distributed multi-Module BMS like in the zoe, and they just removed all unneccessary funtionality. Thats why there is often calls into software libraries just returning nothing, this functionality was removed compile-time with #ifdef or similar. See the similarities in the commands with X10 zoe definitions from the ECU.zip and the "forgotten" write commands in the X09 definitions. The write command I look to find may be another Command number, or, I think it may be a magic number/password you´d have to attach to the can message to get the write executed. I have found several functions checking some input against magic numbers in the flash mem like "12345678abcdef". To make progress, i want to do a debug session with obdII connected and the jtag debugger connected inside the twizy this weekend.
HW modification is needed if I use my current method: writing 0xffff to adress 30a4c, which was the number decreasing when i artificially depleated the SOH of a BMS. This value seems to refer to a SOH of around 127%. But I think we will do better with setting the Base capacity higher.

FlipFlop schrieb: ... or, I think it may be a magic number/password you´d have to attach to the can message to get the write executed.

This is my thought too, due to the expected payload length you can read in the X09 definitions.

I liebe es solche Beiträge zu lesen

Ich verstehe ganz grob folgendes: Ja, und, schreiben, wollen.

Cool

Boys you are such famous cracks.

Ich hab zwar einen Bastel-twizy, aber ich hab immer mehr das verlangen, einen Elektro-simulations-Twizy auf die werkbank zu legen. Akku, BMS, Lader, motor habe ich schon überzählig da, falls jemand einen kaputten Display, lenkstockschalter, zündschloss/wfs, UCH, Sevcon liegen hat, gerne melden. Ich nehme auch verkohlten kernschrott, so lange der Prozessor noch heile scheint, hauptsächlich möchte ich überall mal die software exrahieren und dann die kommunikation näher analysieren.

Sevcon hätte ich noch einen da. Gewaltsam geöffnet - aber die Elektronik müsste noch intakt sein.
Glaube das Ding ist mit der UCH verheiratet - die kann ich jedoch nicht mit anbieten - die läuft noch in meinem Twizy.

Ein paar debug sessions im Basteltwizy später, hab ich ne spannende Stelle gefunden, um persistent an SOH /Kapa zu drehen. Zum Validieren muss jetzt der stromsensor rausgeführt werden, damit man ihn testweise emulieren kann. An allen mir bisher bekannten Stellen kann das BMS mit bis zu 329Ah rechnen.

Apexx schrieb: Sevcon hätte ich noch einen da. Gewaltsam geöffnet - aber die Elektronik müsste noch intakt sein.
Glaube das Ding ist mit der UCH verheiratet - die kann ich jedoch nicht mit anbieten - die läuft noch in meinem Twizy.

Sobald man die Auslesesperre des Mikrocontollers im Sevcon (TMS320F28xx) überlistet bekommt, ist das verheiratete nebensache.

FlipFlop schrieb: Sobald man die Auslesesperre des Mikrocontollers im Sevcon (TMS320F28xx) überlistet bekommt, ist das verheiratete nebensache.

Jetzt mach uns keine Hoffnungen!
_DAS_ wäre für die Ersatzteilbeschaffung ein Träumchen!

Nach ein paar weiteren Reverse-Engineering Sessions hier das momentane Ergebnis:

-Die Geschichte mit den Schreib-befehlen über OBDII habe ich raus und kann nun alle Parameter schreiben, die auf der höchsten authorisationsebene von LG zugänglich sind. Es sind auch einige "undokumentierte" Kommandos aufgetaucht und die in den DDT/Clip datenstrukturen "geheimen" Kommandos, die Delvecchio mal ausprobiert hat, können wir ausführen. (Da war der Zensor bei Renault wohl pinkeln) Das meiste undokumentierte ist aber lediglich Seriennummern/Statuszeug, was wohl nur in der Produktion nützlich ist, aber ich habe noch nicht umfassend durchgeschaut.

-Der Schreib-Befehl 3B_66, der sich auch auf die SOH/Batteriekapazitäts Speicheradresse bezieht, kann leider nur Kilometerstand und geladene Kilowattstunden schreiben. Leider sind die Zell-Eigenschaften Hard-Coded und nicht parametrierbar Also bleibt es erst einmal dabei, BMS an jemand mit PPC-Necus-Programmiergerät (z.b. ich) schicken, Programmierstecker anlöten und die Kalibrationstabellen im Speicher überschreiben. Die Idee, euch einfach eine DDT-Datenbank zum selbstparametrieren des BMS zuschicken zu können, ist also tot.

Über 6,33kWh geht es nur mit Softwarepatch:


-Kalibrationstabellen: Die Zelleigenschaften der Originalzellen sind detailliert hinterlegt, falls jemand die Zellen 2nd-use mit einem anderen BMS weiternutzen möchte. Lade/entladelimits, Gesamtladungsmenge, Ladungsmenge->SOC-mapping,Leerlaufspannung->SOC-mapping, Lade/Entladestromlimits abhängig von Zelltemperatur und SOC, SOC->USOC-Mapping. Das sind auch die Parameter, die ich für die nutzung neuer Zellen jetzt überschrieben habe und wir können damit jede Batterie bis 14 Zellen benutzen, theoretisch kann das BMS auch 14s LiFePO4. Kapazitätsgrenze gibts praktisch keine (float geht bis 3.4028235 × 10^38 ), und es bleibt alles 100% kompatibel.
Die Offsets der Tabellen habe ich jetzt bei den vorhandenen BMS-Teilenummern
293A06508R 293A00999R 293A06820R
rausgeschrieben, die unterscheiden sich leider wirklich in der Software-version. Falls jemand eine andere hat, muss ich reinschauen oder Stumpf eine der Firmwares drüberbügeln.



-Es gibt es auf dem ding einen Bootloader, der die gesamte Software inkl. der Zellkalibration per OBDII überschreiben kann. Mir fehlt aber jetzt die Motivation, das weiterzuverfolgen, ich schätze nochmal Wochenlang arbeit. Ich kann auch mein Dekompilat zur verfügung stellen, wenn jemand an großem Sudoku interessiert ist.

-Ich flashe euch gern BMS wenn ihr es mir zuschickt. Wer einen Akku umbaut, schraubt ja ohnehin den Deckel ab. Dann werde ich ne Kaffekasse einrichten, um weitere experimente zu ermöglichen und die bisherigen Ausgaben etwas zu dämpfen, denn mit den zwei Testkaninchen-Akkus und den Programmieradaptern bin ich jetzt bald bei 2k, ohne Arbeitszeit. Jeder kann geben was er mag, z.b. einen anteiligen Preis des eingesparten neu-BMS. Was ich nicht tun werde, ist SOH und Akkukilometer für euren T-Gebrauchtverkauft zu nullen.