"Lauschangriff" am CAN-Bus - Theorie und Praxis

[Rudi Ratlos]

Serial Bluetooth Terminal V 1.48 (hast Du tatsächlich 1.49? die bekomme ich im play store nicht angeboten)

Das könnte daran liegen, dass du eine etwas ältere Android-Version hast. Ich habe ein Fairphone 5 mit Android 14. Und ja, bei mir ist es sicher die Version 1.49

Ja, VW (und fast alle Automarken) arbeiten mit einer CANspeed von 500kbps, außerdem haben die intern i.d.R. mehrere CAN-Busse (Antrieb, Komfort, Infotainment, Diagnose usw.) mit z.T. unterschiedlichen Geschwindigkeiten, auf die du dann über ein CAN-Gateway zugreifst. Dieses CAN-Gateway ist auch der Grund, dass du immer nur "den selben" Frame bekommst. Stell dir das Gateway wie einen Türsteher vor, der dich (deine Anfrage) nur dann durchlässt, wenn du die richtige "Parole" weißt.

Und auch ja, die 500kbps sind ungefiltert auch dem OBDLink zu viel.

Mit der "internen" Baudrate des OBDLink habe ich noch nicht experimentiert - in deren Forum wird allgemin die Ansicht vertreten, dass das eh' nix bringt...

Gruß Rudi

[Pfriemler]

Neues zur Displayansteuerung.
Ich hatte ja vor kurzem diese seltsame Displayanzeige, die erst nach dem Reboot der TCU verschwand. Noch leugnet man beim Hersteller, damit was zu tun zu haben, aber die Indizien sind zumindest deutlich. Unter anderem wurde gesagt, dass die TCU das Display nicht direkt adressiert.
Das könnte stimmen.
Bei meinem heutigen Test habe ich nach meinem Versuchstext gesucht und gefunden, dass er zuvor an die Adresse 0x2A1 geht. Genaugenommen erging ein als "$MESG,aus" an die TCU geschickter Befehl genau 10x (default, wenn ohne Sekundenangabe) etwa im Sekundentakt an diese Adresse und wurde nur Millisekunden später auf der 0x310 wiederholt. Die Löschnachricht "0x310 00 00 00 00 00 00 00 00" ergeht aber nur an die 0x310, und zwar ziemlich genau 4 Sekunden nach der letzten Nachricht. 10x in Sekunde 0..9 und 4 s Wartezeit ergeben ziemlich genau 13 Sekunden im Display.

Ich denke mir nun, dass die 0x2A1 eine Art "input" bei der ECU sein könnte. Eine an diese Adresse geschickte Nachricht wird dann an das Display weitergeleitet und, wenn keine weiteren Nachtrichten eintreffen, mit 8x 0x00 gelöscht. Die Nachrichten scheinen sogar eine Priorität zu haben, denn die "SIDESTAND"-Meldung der ECU war bei einem "Fahrversuch" nur blitzartig kurz zu sehen.

Als ich während der Displaystörung den Roller lud, bekam ich - solange die ECU offenbar aktiv war, denn ich hatte den Ladestrom bei eingeschaltetem Roller zugeführt, wonach die ECU also zu Beginn des Ladevorgangs aktiv war - auch ein sekündlich zappelndes "CHARGING" zu sehen, nicht aber nachdem die Ladung dauerhaft lief. Dem CAN-Log wurde das "CHARGING" ausschließlich an 0x310 gesendet (>60x pro Sekunde übrigens), wo es die sekündlich eintreffende seltsame Nachricht immer wieder sofort überschrieb. Diese kam aber nicht mehr, wenn das Laden länger lief, während sie auf der 0x2A1 weiterhin auftauchte.

[yunusucar]

Für die Konfiguration von BMS und ECU werden weitere ID's verwendet.
Die ID 0x233 dient zum Schreiben, die ID's 0x234 und 0x235 zum Lesen der Parameter des BMS.

@Gerold, genau auf Basis dieser Informationen habe ich inzwischen das Lesen über 0x234/0x235 an meinem BMS erfolgreich verifiziert.

Könntest du dir bitte meine Frage unten ansehen? Besonders die BMS Event Logs und der Soft Reset / resetBattery() wären für mich sehr hilfreich.

Hallo zusammen,

ich suche Hilfe zu einem Silence S01+ BMS mit KPLUS-OFF / INH-Zustand.

CAN funktioniert, die BMS-Parameter über 0x234/0x235 lassen sich sauber lesen. Aktuell sehe ich u. a.:

0x184 = 45 21 00 00 04 02 00 10
0x191 = 10 00 00 00 00 00 00 00

Daraus ergibt sich bei meinem Akku:

INH = 1
K_plus = 0
Thermal = 1

Die Zellspannungen und drei Temperatursensoren sind aktuell unauffällig.

Ich suche ausdrücklich keine geratenen Write-Befehle, sondern vorhandene Informationen oder Logs zu:

- CAN-Request für BMS Event Logs
- Soft Reset / resetBattery()
- Clear-Mechanismus für INH / Thermal / K-main error
- eventuell CAN-Mitschnitt aus der Silence Händler-/Sdiagnosis-Software

Besonders hilfreich wären CAN-Logs, DBC/XML/TXT-Dateien oder Screenshots der Händler-Software.

In einem Händler-Dokument habe ich außerdem folgenden Ablauf gefunden:

Flag k-main error on
→ Update setting and checking
→ prüfen, ob der Flag verschwindet

Falls jemand weiß, was „Update setting and checking“ konkret in der Software macht, wäre das ebenfalls sehr hilfreich.

Falls jemand schon einmal den Traffic beim „Soft Reset“, „Event Logs Export“ oder „Update setting and checking“ mitgeschnitten hat, wäre genau das die gesuchte Information.

Vielen Dank!

[Gerold]

Für den "reserBattery" sendet die Software eine Frame mit

Code: Alles auswählen

ID: 0x250, DLC: 2, Data: 0xFA 0x05

über den CAN-Bus. Getestet habe ich das aber bisher nicht, ich weis auch nicht, was dabei zurückgesetzt wird.

Zum Auslesen des Event-Logs muss ein Frame mit

Code: Alles auswählen

ID: 0x1ED, DLC: 1, Data: 0x00

gesendet werden. Das Log wird dann über die ID 0x1EE gesendet und sieht z.B. so aus:

Code: Alles auswählen

Time Stamp,ID,Extended,Dir,Bus,LEN,D1,D2, D3,D4,D5,D6,D7,D8
4437908859,000001EE,false,Rx,0,8,20,81, 1A,08,01,0F,17,38, 01.08.26 15:23:38
4437909464,000001EE,false,Rx,0,8,21,81, 22,10,F2,0E,FF,0E, 0x1022 Schlüsselstart, Vmin=3826mV, Vmax=3839mV
4437909809,000001EE,false,Rx,0,6,22,81, 17,17,13,00,00,00, Tmin=23°C, Tmax=23°C, ?
4437912974,000001EE,false,Rx,0,8,10,81, 1A,08,01,0F,17,38, 01.08.26 15:23:56
4437913594,000001EE,false,Rx,0,8,11,81, 04,30,58,23,15,00, 0x3004 Zeitänderung 15:23:58
4437914540,000001EE,false,Rx,0,6,12,81, FA,08,0F,00,00,00,
4437917733,000001EE,false,Rx,0,8,00,81, 1A,08,01,0C,1A,09, 01.08.26 12:26:09
4437918340,000001EE,false,Rx,0,8,01,81, 10,10,F1,0E,FE,0E, 0x1010 Aus
4437918680,000001EE,false,Rx,0,6,02,81, 16,17,13,00,00,00,
4437921640,000001EE,false,Rx,0,8,F0,80, 1A,08,01,0C,19,37, 01.08.26 12.25.55
4437922243,000001EE,false,Rx,0,8,F1,80, 22,10,F2,0E,FF,0E, 0x1022 Schlüsselstart
4437922587,000001EE,false,Rx,0,6,F2,80, 16,17,13,00,00,00,
4437927887,000001EE,false,Rx,0,8,E0,80, 1A,08,01,0C,0E,21, 01.08.26 12:14:33
4437927944,000001EE,false,Rx,0,8,E1,80, 10,10,F7,0E,FE,0E, 0x1010 Aus
4437927954,000001EE,false,Rx,0,6,E2,80, 16,17,13,00,00,00,

Ein Event wird in 3 Zeilen angezeigt. Die Erste enthält Datum und Uhrzeit, die Zweite das Event selbst gefolgt von weiteren eventabhängigen Infos.
Die Events sind codiert, so steht 0x1022 für einen Schlüsselstart des Rollers. Ich selbst habe aber leider keine vollständige Liste aller Codes.

Was sich unter "Update setting and checking" verbirgt, würde mich auch interessieren.

[yunusucar]

Hallo Gerold, vielen Dank – der Event-Log-Request funktioniert auf meinem S01+ BMS einwandfrei.
Ich bekomme u.a. die Eventcodes 0x1021, 0x1023 und einmal 0x10A0. Weißt du zufällig, welche Bedeutung insbesondere 0x10A0 in der Silence-Software hat?

Noch eine wichtige Frage: Auf welcher BMS-Hardware-/Firmware-Version basieren deine Informationen zu resetBattery (0x250 FA 05) und zum Event-Log (0x1ED/0x1EE)? Stammt das direkt aus einer bestimmten Version der Silence/Dealer-Software, oder hast du es an deinem eigenen S01-BMS analysiert?

Mein Fahrzeug ist ein Silence S01+, und es scheint verschiedene BMS-Hardware-Revisionen zu geben. Deshalb möchte ich vor dem Reset sicherstellen, dass der Befehl auch für meine BMS-Version gedacht ist.

Falls du weißt, wie man die BMS Hardware-/Firmware-Version über CAN ausliest, wäre das für mich ebenfalls sehr hilfreich.

[Gerold]

Code: Alles auswählen

0x1021  Encendido periodico AFE refresh reading 
0x1023	Encendido por cargador interno
0x10A0	Inicio de sistema: motivo de reset

Die Infos stammen aus einer Silence Software. Keine Ahnung, wie die BMS Hadrware-/Firmware-Version ausgelesen wird.