У меня изначально была ошибка 3 при работе пылесоса, я разобрал АКБ зарядил банки по отдельности на фулл и теперь ошибки не появляется но пылик перестал заряжаться, светодиод мигает, но заряд не идет при этом ошибок нет. Также процент заряда теперь 36 вечно показывает.
Кстати ошибка 3 вываливалась сразу же когда я отключал силовые провода для мотора от платы. Есть какие то мысли по этому поводу)?

Замена зверя с заведомо рабочей платы результата не дала :(
Ошибка 7 так и осталась.
---------- Добавлено спустя 1 час 50 минут 56 секунд: ----------

Когда 40
Когда 39
Когда 12
Походу тут mcu отрабатывает нормально.

Готов выслать бмс с ошибкой 7.
Вот только есть ли толк ?

Что нарыл за это время:
1. Прошивка точно заблокирована, слить дамп "в лоб" не получится.
2. Камни от Holtek шьются своим программатором (11к на Али), причем ориг. перед первым включением просит on-line активацию (активирован ли клон - хз).
3. BMS управляет вообще всем пылесосом полностью - включая дисплей, в тех моделях где он есть.
4. Пересадка PT6111 с заведомо рабочей платы - результата не дала - всё таки флаг, всё таки в проце.
5. Акб от совместимых братьев-близнецов на другом проце. не подходят.
6. Проблема по всему миру и те же китайцы на своих ресурсах льют вёдра д**ма на сяоми и готовят коллективные иски.
7. В китае АКБ от безвыходности скупают как горячие пирожки (мыши плакали, но ели кактус)
8. Сяоми явно компенсирует недозаработанное на пылесосах продажей батарей.
9. УПАВШИЙ В ОШИБКУ камень БЛОКИРУЕТ подачу напряжения.

Вот тут я думаю можно ставить точку - ибо (как я понимаю) решение проблемы -это:
1. Замена родной БМС на китайский аналог (в идеале разработка платы "в размер"
2. Написание своей прошивки "с нуля"
2. имплантирование туда како-нибудь arduino nano с вышеобозначенной прошивкой.

В ПРИНЦИПЕ, учитывая кол-во абсолютно ЖИВЫХ (по банкам) АКБ по всему миру , которые идут в утиль - ТЕМА ИНТЕРЕСНАЯ.
НО УВЫ, мне не по зубам.
С другой стороны - повторю написанное выше, на 4 PDA сидят классные спецы.

Если в чем не прав - прошу поправить, стану чуть умней.

А что если вместо родной платы поставить BMS с алика на 7 акб (можно и свою сделать), пылесос станет тупым и будет работать всегда на одной мощности, но при этом будет работать, там условно найти такой же разьем и выход от BMS припаять сразу контактам мотора))
Кто что думает)?

Заодно выкинув все мозги из пылика ?
Точнее заменив их на связку мозги+регуль от квадрокоптера.

Почему бы и нет)?

НЕ проще тогда в Леруа купить трость за 1777р по акции, без всяких акб, с православным шнуром на 220в и не жах-жах себе мозги ?
---------- Добавлено спустя 2 часа 21 минуту 21 секунду: ----------

от платы пылесоса или бмс ?

Есть новые подробности:
Акб , который на G_10 падает в ошибку 3, без проблем запускает G_9 (младшая модель без дисплея).

Кто в курсе - "Написать прошивку с 0" - дорогое удовольствие ?

При наличии всех данных по устройству (схема, даташиты на все компоненты, протокол, требуемая функциональность, ограничения, реакция на ошибки или отклонение параметров, и т.п.), очень грубо, для данного устройства я бы оценил трудоемкость в один человеко-месяц.
Но сбор и анализ всех данных по устройству, если их не предоставляет заказчик, может потребовать в несколько раз большего времени (и тут нужна квалификация не только программиста). Плюс должны быть найдены/куплены все необходимые программные и аппаратные средства (среда разработки/отладки, настроенная под конкретный микроконтроллер, программатор/отладчик, подопытное устройство, а лучше несколько, так как в процессе можно что-нить пожечь). Еще нужна как минимум нормальная документация на примененный микроконтроллер, которая в случае с китайскими изделиями не всегда доступна. В итоге для данного устройства можно грубо рассчитывать месяца на три-четыре для одного специалиста широкого профиля. На его зарплату умножьте сами, плюс добавьте компенсацию за то, что на это время придется остановить основную работу.

Эта микросхема не при делах, она абсолютно пассивна, и никакой памяти в ней нет. Это просто интерфейс между сборкой литиевых элементов и микроконтроллером, полностью управляемый со стороны микроконтроллера.

Можно управлять мотором пылесоса C2004 m10-g-2, писали выше через китайский контроллер например:
https://aliexpress.ru/item/1005004599375648.html
https://aliexpress.ru/item/1005004519943724.html
https://aliexpress.ru/item/1005005565519372.html
или собрать свой например на этом https://aliexpress.ru/item/33000213756.html
Питание подать с аккумуляторов по силовым проводам, а на 3 управляющих, подвесить контроллер.


У меня пылесос без экрана, поэтому я ничего не теряю отказавшись от сложной ксиомивсой схемы, причем сделанной с подвохом.

Продавец утверждает что все огрехи плат типо вылечены и не улетает в блоки, думаю закажу посмотрю

https://aliexpress.ru/item/100500571132 ... 1674470335

Нашелся, однако. На китайском. И немного не для той модификации. Но ничего интересного, просто вторичная защита от перезаряда.
PDF

Дело действительно не в кривой прошивке. Я разобрал всю схему, балансировки в ней тупо нет. Никакой. PT6111 имеет ключи, для того, чтобы организовать балансировку под управлением контроллера, но все ноги управления этими ключами сидят на земле. Измерять напряжение на ячейках контроллер может (и делает это даже на залоченной плате), но это все.

Опишу свой порядок действий, который мне успешно помог восстановить не заблокированную, разбалансированную, батарею, с минимум усилий. Разбалансировка проявлялась, малым временем работы (5 сек.) после полной зарядки.
Рабочее место:
1) Источник питания с регулировкой выходного напряжения и уровня ограничения тока.
2) Вольтметр/мультиметр.
3) Резистор 5 – 10 оМ, мощностью не менее 3Вт.
4) Отвертка Torx, размер не помню.
Порядок действий:
1) Зарядить батарею.
2) Снять с батареи пластиковый корпус. Больше отпаивать и демонтировать ничего не нужно.
3) Вольтметром измерить напряжение всех 7 банок.
4) Банки, у которых напряжение выше 4.1 В, разрядить до соответствующего напряжения с помощью резистора, подключая его напрямую к банкам в составе схемы. Напряжение контролировать с отключенным резистором при помощи вольтметра.
5) Банки, у которых напряжение менее 4.1 В, зарядить при помощи источника питания, так же подключая его напрямую к банкам в составе схемы, соблюдая полярность, предварительно выставив на нем выходное напряжение 4.1 В, ограничение по току не более 1.25А. Контролировать заряд мульти метром с отключённым источником питания.
6) Собрать батарею, использовать.

Hi folks,

Apologize for the English but I do not speak Russian.

I am walking in the same boots like you by having a dead Xiaomi G9 battery.
I really appreciate Serg7536's documentation on the protocol!

I have some ideas of overcoming this issue:
The HF5032Q is likely very similar to the HT32F50220 or HT32F50230.
If you download and unzip this Device firmware pack for Keiland do a search for HF5032Q you will find similar defines in the headers:



As a first glance I have hacked openOCD support for the MCU: https://github.com/martonmiklos/openocd ... x0_support
however as you mentioned below the flash is read protected.

I noticed that the HT32F502x0 MCUs has a built in bootloader which could be activated by booting with the PA9_BOOT pin pulled low.
The Boot pin is connected to the resistor marked in the attached image.

It is likely triggering the bootloader mode, because if I pull low the LED sequence does not get played.

More information from the bootloader mode could be found here:
https://www.holtek.com.tw/webapi/639350 ... alv100.pdf

In the bottom of this document the bootloader commands are documented.
The read memory command has a return code for the read protection:
F: Failed read operation - security lock is enabled or address out of range

However the CRC check does not lists any failure codes.
So in theory we could generate CRC for each address.

To decrypt the original image from the CRC values I have had several ideas:
Plan A (CRC cracking):
I have purchased a HT32F50220 (which is on the way from China) what I am planning to fill up with with values and extract the CRC for a lot of values.
By having a map between a lot of values and their CRCs I am planning to use this tool to figure out the algorithm and the seed:
https://reveng.sourceforge.io/

Plan B (reverse engineering the bootloader):
The bootloader resides in a known address 0x1F000000. From an unlocked MCU it is likely dumpable: either via SWD or by writing some code which dumps out via UART.
By having the bootloader binary we could analyze the CRC algorithm.

In the case if the Plan A and B fails I will likely utilize a glitching attack.
The bootloader is likely nothing special, just some code running from a write protected flash area.
The HT32 Series Microcontroller Flash Programming manual does not say anything about flash read protection (i.e. to protect the flash read accesses from the code running on the MCU),
so it is very likely that the bootloader code checks the security bits and do a decision on the read (and dump). In the case if we can glitch this decision we could get the ISP bootloader to dump the flash.

Stay tuned!

Hi martonmiklos!
Do not worry about English, it's not a problem.
Perhaps someone will be interested in the complete G9 battery circuit diagram, it is here.
G9_battery_Circuit_Diagram_PDF+PNG

Hi Serg7536!

Many thanks for the nice, detailed schematic! I appreciate the time spent on the creation!

In the meantime I managed to get the HT32FlashCommander working by finding a link to the previous 1.09d version in archive.org:
https://web.archive.org/web/20221002222 ... _v109d.exe
This included the usbcmd.dll and ispcmd.dll what is missing from the 1.0.10.

And it turned out that it does not speak the ASCII protocol at all which is documented in the ISP/IAP user manual...

Then I turned to the command line version to the HT32 Flash commander (which worked out of the box). This has options for both IAP/ISP mode, it has option for CRC calculation too, but it also speaks some binary protocol in both modes.
My plan is to wait until my HT32F50220s arrive from china, get one of the bootloader working with that see how the CRC goes and then move back to the G9 board.

На G9 с таким же контроллером батарейки успешно перепаковал. Контроллер не был залочен. Батарея просто не держал нагрузку. В паралель ничего не подпаивал.

Sidney: Помните, в каком порядке вы отключали ячейки?

Разбираем как обычно против часовой стрелки с плюса последней банки с максимальным напряжением и заканчиваем минусом. Собираем с минуса и по возрастанию плюсовые клеммы.

Контроллер, принимает решение о блокировке на основе результатов замера напряжений на ячейках, и, скорее всего, не однократного замера, а нескольких. Опрос этих напряжений он производит через PT6111 когда не спит, а не спит он когда подключен зарядник или нажата кнопка включения, а также секунд 10 после этого. В режиме спячки на выводе 12 (Enable) микросхемы PT6111 присутствует логический ноль, коммутация запрещена, ничего контроллер замерить не может, соответственно, не должен и блокироваться.
При пропадании питания (разрыве цепи литиевых ячеек в любом месте) в первую очередь лишается питания PT6111 и встроенный в нее линейный стабилизатор. В цепи питания микроконтроллера напряжение сохраняется еще от 8 до 10 секунд за счет конденсаторов. При этом, если контроллер уже спит, он не видит пропадание питания, не просыпается и не обращается к PT6111 для замера напряжений. Вторичная защита HTL6217 также не выдает выходного сигнала (ну это и понятно, она сигнализирует о перенапряжении). Таким образом, отключать литиевые ячейки можно в любом порядке, нужно только обеспечить отсутствие сигналов P0 и BU на разъеме в течение примерно 10 секунд после разрыва цепи элементов.
При обратном появлении питания контроллер практически сразу после старта выставляет сигнал разрешения работы PT6111 на 0,5 секунды, хотя адреса ячеек на CS0..2 не перебирает, они стоят в 111 - замер между VB7 и VB8, это самый верхний элемент 8-элементной сборки, в данном случае 7-элементной батареи эти ноги просто замкнуты между собой, то есть контроллер должен видеть ноль вместо напряжения ячейки. Возможно это просто инициализация железа или стартовая проверка. То есть и при подключении питания, если не трогать входы P0 и BU, ничего заблокироваться не должно.
Несмотря на это, перед манипуляциями с незалоченной батареей я бы предварительно замкнул 1 и 4 контакты разъема программирования P1, поставив таким образом микроконтроллер в состояние сброса, и разомкнул бы их только поле того, как все напряжения на батарее будут в норме. И отключение, как написано выше у Sidney, действительно лучше начинать с плюса верхней ячейки (подключение в обратном порядке), чтобы не выйти за пределы допустимой разницы напряжений по входам VBx микросхемы PT6111 (ибо китаезы сэкономили на защитных стабилитронах по этим входам, как предлагается в даташите).

Добрый день коллеги. Столкнулся с такой же проблемой и ищу ее решение. Кому-нибудь удалось сбросить ошибку и разблокировать материнскую плату пылесоса?