Осциллограф Tektronix MDO3000 — убита прошивка

[iROOT_]

Имеется осциллограф Tektronix серии MDO3000 у которого убил прошивку путем обесточивания во время этого процесса. Результат при включении горят все кнопки и больше никаких признаков жизни.
Работает на базе процессора Freescale i.MX6 SoloLite.
На основе документации понял что должна быть возможность ввести процессор в режим загрузки через USB OTG.
http://www.freescale.com/webapp/sps/site/prod_summary.jsp?code=i.MX6Q&fpsp=1&tab=Documentation_Tab
Блок схема загрузки из документа IMX6DQRM на 374 странице:
http://storage1.static.itmages.ru/i/15/0626/h_1435327798_8526506_8e2646d349.png

По факту в режим загрузки по OTG он не входит, то есть при подсоединении к компьютеру никак не определяется.
На плате каких-либо джамперов или DIM-переключателей как на отладочных платах с этим процессором нету.

Частичные фотографии основной платы те что есть (новые пока лень снимать):
Плата с задней стороны, ключ процессора находится сверху слева

http://storage1.static.itmages.ru/i/15/0626/h_1435342537_6413976_07734e2aa3.jpeg

На плате есть два таких разъема
http://storage1.static.itmages.ru/i/15/0626/h_1435342608_1598772_92acc646b9.jpeg

Есть полный обзор данного осциллографа от EEVblog
https://youtu.be/VFX47ZGOn_o

Нужны идеи как реанимировать прошивку.

[musor]

ищие сервис ман это рас...
ищите разьем JTAG 'эт два
ну и адаптер под него с прожкой шитья эт ТРИ
по симптомам убит БУТ, так что или такой способ или...искать Биос флешку сдувать и шить ее на програматоре потом на место-причем что там за флеха и чем ее шить болшой вопрос слыхал что там NOR флешка
и что за ламерство дергать питало при прошивке! скока мам так убито по бивосам

[iROOT_]

что за ламерство дергать питало при прошивке! скока мам так убито по бивосам

Шаловливые ручки решили посмотреть что в прошивке и для пробы заменили BMP картинки которые отображаются при включении и прошивке, как итог они перестали отображаться. Пару раз прошился нормально, но в один момент забыл вытащить флешку с прошивкой и не правильно оценив время выключил.

Сделал полные фотографии основной платы. Пришлось со вспышками повозится чтобы надписи на чипах читались.
http://storage1.static.itmages.ru/i/15/0626/h_1435350887_6210362_c4ed452986.jpeg
http://storage2.static.itmages.ru/i/15/0626/h_1435350918_1389199_f4fc6646b3.jpeg

Прошивка представляет собой в образе с файловой системой ext2 размером 47 185 920 байт. Внутри уже есть файловая система Linux в формате Squashfs.

[Tolmi]

J5501 очень похож на обычный Altera ByteBlaster, по крайней мере второй и десятый вывод, судя по фото, очень похоже, что сидят на земле. И обвязка рядом характерная - LVC125A, LVC08A. Можно это проверить, 2,10-й - земля, 4-й питание, думаю там 3,3В. Если это так, то скорее всего это он, а к нему есть и переходники и софт. Рядом, правда зачем-то явно специально расположен J5302, я не думаю, что случайно. Как-бы не пришлось его закорачивать, для ввода схемы в режим ISP. Но это уже из области догадок, которые на деле ничем не обоснованы. Просто интуиция.

[iROOT_]

J5501 очень похож на обычный Altera ByteBlaster, по крайней мере второй и десятый вывод, судя по фото, очень похоже, что сидят на земле. И обвязка рядом характерная - LVC125A, LVC08A. Можно это проверить, 2,10-й - земля, 4-й питание, думаю там 3,3В. Если это так, то скорее всего это он, а к нему есть и переходники и софт. Рядом, правда зачем-то явно специально расположен J5302, я не думаю, что случайно. Как-бы не пришлось его закорачивать, для ввода схемы в режим ISP. Но это уже из области догадок, которые на деле ничем не обоснованы. Просто интуиция.

Померил и пометил на картинке черным — землю, красным — 3.3 В, синим — 0 В. При прикосновении щупом к четвертому контакту щелкает релюхой (где-то на передней плате, где все органы управления) как в момент нажатии на кнопку питания.
http://storage1.static.itmages.ru/i/15/0630/h_1435692837_1571918_c591411663.jpeg

Меня тут беспокоит что при включении чип под вторым радиатором начинает очень сильно греться, прям обжигает. Не думаю что такой маленький радиатор и 8 сантиметровый вентилятор может хоть как-то его охладить.

[Rtmip]

iROOT_, судя по блок схеме мне показалось, что все попытки загрузки ведут к USB.
Правда не понял, при чем там OTG? Имеется ввиду, что флешку ему надо подсунуть? Пусть так.
Учитывая ваше описание проблемы попробуйте снять с платы serial eeprom и подсунуть ему флешку с прошивкой.
На фото плохо видно, но похоже это U3401.
Идея в том, что он сейчас видит образ в eeprom и не стартует на загрузку по USB.
А учитывая, что в eeprom сейчас может быть "битый" образ, благодаря вашим стараниям, ничего не работает и
наоборот, что-то сильно греется...
Ну а без eeprom ему ничего не останется, как стартовать загрузку с USB.
Ну или почитайте там руководство, может ему кнопку какую зажать при включении, чтобы он принудительно общался по USB?

[iROOT_]

iROOT_, судя по блок схеме мне показалось, что все попытки загрузки ведут к USB.
Правда не понял, при чем там OTG? Имеется ввиду, что флешку ему надо подсунуть? Пусть так.
Учитывая ваше описание проблемы попробуйте снять с платы serial eeprom и подсунуть ему флешку с прошивкой.
На фото плохо видно, но похоже это U3401.
Идея в том, что он сейчас видит образ в eeprom и не стартует на загрузку по USB.
А учитывая, что в eeprom сейчас может быть "битый" образ, благодаря вашим стараниям, ничего не работает и
наоборот, что-то сильно греется...
Ну а без eeprom ему ничего не останется, как стартовать загрузку с USB.
Ну или почитайте там руководство, может ему кнопку какую зажать при включении, чтобы он принудительно общался по USB?

За выбор откуда грузится отвечают пины BOOT_MODE[1:0], но изменить их никак нельзя.
http://storage1.static.itmages.ru/i/15/0701/h_1435735589_3960105_f2a865b394.png
Еще есть 28 пинов которые отвечают за настройку загрузки.
Сам USB OTG идет напрямую от процессора (можно видеть две дорожки под транзистором Q4301) к разъему похожему на PCI-E 1x и выходит на заднюю плату к разъему USB типа B.

На чипе U3401 значок Texas Instruments и обозначение 36 СС306, похоже на SN74CBTD3306 DUAL FET BUS SWITCH WITH LEVEL SHIFTING. Так что это точно не EEPROM, скорее те два чипа которые заклеены наклейкой (U5301 и U5302). При включении осциллографа одновременно загораются DS3201 и DS3202, через короткое время второй отключается, а первый продолжает гореть.

Заказал на Ali копию Altera USB-Blaster.



Вам нужно прочитать Правила форума.
viewtopic.php?f=19&t=6538
Нарушение Правил форума п. 2.7
aen

[Rtmip]

...На чипе U3401 значок Texas Instruments и обозначение 36 СС306, похоже на SN74CBTD3306 DUAL FET BUS SWITCH WITH LEVEL SHIFTING. Так что это точно не EEPROM, скорее те два чипа которые заклеены наклейкой (U5301 и U5302)...

Под наклейками не serial eeprom.
Вы можете ее найти на плате? Суть в том, что загрузка в соответствии с вашей же блок-схемой алгоритма может перейти к загрузке
из serial eeprom, а в случае неудачи и к USB. Разве не проще провести эксперимент и проверить эту возможность?
Еще лучше будет запаять чистую serial eeprom на место старой и посмотреть на поведение, а вдруг?

[iROOT_]

...На чипе U3401 значок Texas Instruments и обозначение 36 СС306, похоже на SN74CBTD3306 DUAL FET BUS SWITCH WITH LEVEL SHIFTING. Так что это точно не EEPROM, скорее те два чипа которые заклеены наклейкой (U5301 и U5302)...

Под наклейками не serial eeprom.
Вы можете ее найти на плате? Суть в том, что загрузка в соответствии с вашей же блок-схемой алгоритма может перейти к загрузке
из serial eeprom, а в случае неудачи и к USB. Разве не проще провести эксперимент и проверить эту возможность?
Еще лучше будет запаять чистую serial eeprom на место старой и посмотреть на поведение, а вдруг?

Не могу найти. Понятно что надо вынудить начать загрузку через OTG, но паять что-либо на плате не хочу, уже попробовал с батарейкой.

Чипы ISSI
http://www.issi.com/WW/pdf/42-45S32800G.pdf

Чипы Micron
http://www.micron.com/parts/dram/ddr2-sdram/mt47h64m16hr-25e
http://www.micron.com/parts/dram/ddr3-sdram/mt41j128m16jt-125

Тут возможно есть что-то полезное
http://debugmo.de/2013/03/whats-inside-tektronix-dpo5034/

Видно работу светодиодов справа, у меня так не горят
https://www.youtube.com/watch?v=VFX47ZG ... &t=1h4m52s

[Rtmip]

Ничего не увидел по этим ссылкам...
Может и нет на плате еепром.
Но как то должна быть возможность прошивки.

[musor]

почти уверен сто в сис флещн тех что под бумагрй =идт FF или мусор
думаю и бут убит нах...й так что... про USB хабудб
ищи JTAG
или дуй флехи и на програматор-но если не умеещь лучще в сервис отвези(отправь)-видит Аллах так железка целее будет

[iROOT_]

Совсем немного осталось и программатор будет у меня, уже выпущен таможней.
Пока не имею представления как работать с JTAG.
В прошивке есть shell скрипт для обновления прошивки. Как можно будет понять какое из MTD устройств чему соответствует?

[m.ix]

В корпусах ЧАК-ЧАК сидит прошивка под 163 и 164 корпусом с бумажкой.



Так что только только внешним внутрисхемным программатором это можно сделать, будет весьма долго и упороно делать.
Там типа 4 мегабайта в каждой.

А с помощью программатора, это сделать куда веселеее, сдуть и через панельку BGA перепрошить.

убил прошивку путем обесточивания во время этого процесса.

ВОт это и есть один большой недостаток внутрисхемного программирования.
Такое везде и повсеместно встречается.
Так что сдувай микру и ищи того у кого есть такой же оцил и прогер с BGA переходниками.

[musor]

В корпусах ЧАК-ЧАК сидит прошивка под 163 и 164 корпусом с бумажкой.



Так что только только внешним внутрисхемным программатором это можно сделать, будет весьма долго и упороно делать.
Там типа 4 мегабайта в каждой.

А с помощью программатора, это сделать куда веселеее, сдуть и через панельку BGA перепрошить.

Так что сдувай микру и ищи того у кого есть такой же оцил и прогер с BGA переходниками.

цена такого прогера как как ик у самого осликаа

[m.ix]

Я б перепрошил бы
при двух условиях

1 сдуть сеи чипы
2 кроватки под BGA

[iROOT_]

Вот скрипт для обновления прошивки http://pastebin.com/n2fTuYCR
Из него точно можно что-нибудь почерпнуть.

Сохранил в архивах распакованную прошивку. Распаковать если кто не знает можно с помощью 7-Zip.

# mount -t ext2 -o loop MDO3000_v1.20.img ext2
# tar -zcvf ext2.tar.gz ext2
https://yadi.sk/d/JKxg97NhhqnJD

# mount -t squashfs -o loop ext2/filesystem.img filesystem
# tar -zcvf filesystem.tar.gz filesystem
https://yadi.sk/d/K01MhSj3hqnLH

Есть интересная тема со реверсом алгоритма генерации ключей активации.
Изначально в осциллографе работают только две функции. Это сам осциллограф и анализатор спектра. Можно купить аппаратные ключи которые заблокируют кучу другого функционала. Но стоят эти ключи ого-го. Вот сколько просят за чипы которые активируют программные функции http://www.chipdip.ru/catalog-show/oscilloscope-accessories/?p.1519=модуль+программ&p.0=Tektronix&gq=MDO
Бесплатно можно активировать только цифровой вольтметр, если зарегистрировать прибор на сайте и получить ключ активации. Но какой-то товарищ узнал этот алгоритм генерации ключей активации и написал программу на Python.
http://www.eevblog.com/forum/testgear/mdo3000-hacking/
Тут я отдельно упаковал готовые бинарники и исходники для второго и третьего (переписал ради интереса) питона.
https://yadi.sk/d/dHslf9uAhqohF

Если подумать то MDO3014 (как у меня) и MDO3104 отличается только частотой дискретизации и полосой пропускания. А в пробниках наверняка просто зашито полоса для ограничения.
Вот что можно активировать:

Спойлер

100MHz 100MHz bandwidth
1GHz 1GHz bandwidth
200MHz 200MHz bandwidth
2GHz 2GHz bandwidth
300MHz 300MHz bandwidth
350MHz 350MHz bandwidth
500MHz 500MHz bandwidth
70MHz 70MHz bandwidth
AERO Aerospace serial bus
AFG Arbitrary Function Generator
AUDIO Audio serial bus key
AUTO Automotive serial bus
AUTOMAX Full Automotive serial bus
BETA Beta release
BW0T1 Upgrade bandwidth from 70MHz to 100MHz
BW0T2 Upgrade bandwidth from 70MHz to 200MHz
BW1T10 Upgrade bandwidth from 100MHz to 1GHz
BW1T2 Upgrade bandwidth from 100MHz to 200MHz
BW1T3 Upgrade bandwidth from 100MHz to 350MHz
BW1T5 Upgrade bandwidth from 100MHz to 500MHz
BW2T10 Upgrade bandwidth from 200MHz to 1GHz
BW2T3 Upgrade bandwidth from 200MHz to 350MHz
BW2T5 Upgrade bandwidth from 200MHz to 500MHz
BW3T10 Upgrade bandwidth from 350MHz to 1GHz
BW3T5 Upgrade bandwidth from 350MHz to 500MHz
BW5T10 Upgrade bandwidth from 500MHz to 1GHz
CAL Calibration bit for manufacturing test
COMP Computer serial bus
DDU Distribution Demo Unit
DEMO Internal demo unit
DVM Digital Voltmeter
EMBD Embedded serial bus
ENET Ethernet serial bus
FLEX FlexRay serial bus
LMT Limit/Mask test
MSO Mixed Signal Oscilloscope
PWR Power analysis
SA Spectrum analyzer maximum input frequency
SEC Security lockout
TRIG RF triggering
USB USB serial bus
VID HD and Custom Video

[iROOT_]

Померил пирометром радиатор чипа посередине, максимальная температура 72,5°С (выставил коэффициент излучение 0.3)
Программатор получил, теперь изучаю как с ним работать. Запустил OpenOCD в Kali Linux запущенный в VMWare. Программатор автоматически подцепляется при запуске виртуальной машины.
При присоединении его к JTAG разъему диоды слева горят постоянно. Думаю верный знак.
Но из-за отсутствия конфигов работа с JTAG не возможна. Нет описание платы, как начать не понятно.
Печалит что не работает SourceForge.

https://events.ccc.de/congress/2009/Fah ... 5_JTAG.pdf
http://reverseengineering.stackexchange ... d-use-jtag
http://ednolo.alumnos.upv.es/?p=1824

http://microsin.net/programming/ARM/ope ... part1.html
http://microsin.net/programming/ARM/ope ... part2.html
http://microsin.net/programming/ARM/ope ... part3.html

[iROOT_]

Попробовал UrJTAG

Код: Выделить всё

UrJTAG 0.10 #2007
Copyright (C) 2002, 2003 ETC s.r.o.
Copyright (C) 2007, 2008, 2009 Kolja Waschk and the respective authors

UrJTAG is free software, covered by the GNU General Public License, and you are
welcome to change it and/or distribute copies of it under certain conditions.
There is absolutely no warranty for UrJTAG.

warning: UrJTAG may damage your hardware!
Type "quit" to exit, "help" for help.

jtag> cable usbblaster
Connected to libftdi driver.
jtag> detect
jtag> discovery
Detecting IR length ... -1
Error: Invalid IR length!
jtag> 

Если не включить осциллограф, то команда detect выдает:

Код: Выделить всё

warning: TDO seems to be stuck at 0

Если включить и не замкнуть джампер рядом с разъемом, то выдает:

Код: Выделить всё

warning: TDO seems to be stuck at 1

А если включить и замкнуть джампер, то ничего не выдает.

Что это может значить? Включена защита, установлена большая задержка или прибор слишком сложный?

Есть краткая справка по командам:

Спойлер

Код: Выделить всё

jtag> help
Command list:

frequency    setup JTAG frequency
cable        select JTAG cable
reset        reset JTAG chain
discovery    discovery of unknown parts in the JTAG chain
idcode       Read IDCODEs of all parts in a JTAG chain
detect       detect parts on the JTAG chain
detectflash  detect parameters of flash chips attached to a part
help         display this help
quit         exit and terminate this session
scan         read BSR and show changes since last scan
signal       define new signal for a part
salias       define an alias for a signal
bit          define new BSR bit
register     define new data register for a part
initbus      initialize bus driver for active part
print        display JTAG chain list/status
part         change active part for current JTAG chain
bus          change active bus
instruction  change active instruction for a part or declare new instruction
shift        shift data/instruction registers through JTAG chain
dr           display active data register for a part
get          get external signal value
test         test external signal value
debug        set logging/debugging level
shell        run a shell command
set          set external signal value
endian       set/print endianness
peek         read a single word
poke         write a single word
pod          Set state of POD signal(s)
readmem      read content of the memory and write it to file
writemem     write content of file to the memory
flashmem     burn flash memory with data from a file
eraseflash   erase flash memory by number of blocks
lockflash    lock flash memory by number of blocks
unlockflash  unlock flash memory by number of blocks
include      include command sequence from external repository
script       run command sequence from external file
addpart      manually adds parts on the JTAG chain
usleep       Sleep some number of microseconds
bfin         Blackfin specific commands
pld          configure a Programmable Logic Device from file
svf          execute svf commands from file
bsdl         manage BSDL files

Type "help COMMAND" for details about a particular command.
jtag>

Что отсюда могли отпаять?
http://storage3.static.itmages.ru/i/15/0718/h_1437233465_9337629_98c63ccf0d.jpeg

[iROOT_]

Снова вернулся к попыткам сделать что-либо с JTAG. На этот раз поставил в Windows минимальную версию Quartus, а именно Quartus II Web Edition. Установщик 1.4 Гб, на диске 5.12 Гб.
Запустил JTAG Chain Debugger, сплошные непонятки, то определяется, то не определяется и постоянно в разных количествах.
Для интереса сохранил несколько логов и объединил — http://pastebin.com/50btS7Fy
http://storage2.static.itmages.ru/i/15/0730/h_1438247894_1075998_c83d7fc063.png
http://storage3.static.itmages.ru/i/15/0730/h_1438247921_8480907_979959c028.png

Jtag Live Buzz не определяет адаптер.
TopJtag не определяет цепи.

Universe Scan даже запустился.

Может содрать одну из наклеек на чипе?

[musor]

сдери
яб сразу содрал ...чо терять если нет гарантии
хотя....там 2 флешки от интела по 4 или 8(16)метров....в навиках такие стоят тож
то что шьются они внутрисхемно 100% ! надо всеж с житагом разбираться
сейчас все так делается...и не толко в осликах
внешний загрузчик жтага должен инитить проц и перевести в режим писать в флещку....