[分享]終於買了Turner Motorsport 的晶片給E36 325 有改裝M3

[sytl2003]

等了10天. 終於買了Turner Motorsport 的晶片給E36 325 有改裝M3 Camshafts專用. po 個照片大家看一下...

[樂大]

那你之前直插m3的晶片效果如何啊..?
不能用嗎.>?

[sytl2003]

下面引用由小樂在 2008/01/02 03:46pm 發表的內容：
那你之前直插m3的晶片效果如何啊..?
不能用嗎.>?

都沒有人要給我測試原廠的M3晶片, 結果我用M3改裝的做測試..發現供油太濃怠速會飄..而且可能因為又是改裝的晶片,它的點火有再提前...所以還會敲缸..

[sytl2003]

今天下班時因為路上特別塞車,所以先小試了一下, 感覺低速時真的比其它晶片的反應還好很多, 不會笨笨的(因為除了M3的cam以外,我還改simota香菇頭進氣箱). 明天早上再來測試S檔的反應再來報告一下..

[樂大]

m3改裝用晶片本來供油就比較濃，點火也較提前沒錯..
裝在325上會供油過濃沒錯，所以你才會覺得起步笨笨的..!
你沒架空燃比機看看嗎..?

[sytl2003]

下面引用由小樂在 2008/01/02 11:52pm 發表的內容：
m3改裝用晶片本來供油就比較濃，點火也較提前沒錯..
裝在325上會供油過濃沒錯，所以你才會覺得起步笨笨的..!
你沒架空燃比機看看嗎..?

樂大...我不像你有那麼多的專業機器啦...如果你是我鄰居的話, 那該有多好...

[樂大]

下面引用由sytl2003在 2008/01/03 11:18am 發表的內容：
樂大...我不像你有那麼多的專業機器啦...如果你是我鄰居的話, 那該有多好...

看你要不要搬來雲林啊...!!
看你買的Turner Motorsport的晶片它的底部沒有像AA的晶片一樣有一個解碼的晶片...
意思就是..它應該是可以COPY出來的..!

[sytl2003]

下面引用由小樂在 2008/01/03 05:52pm 發表的內容：
看你要不要搬來雲林啊...!!
看你買的Turner Motorsport的晶片它的底部沒有像AA的晶片一樣有一個解碼的晶片...
意思就是..它應該是可以COPY出來的..!

你看我po的照片上就知道沒有..不過看你那個AA的晶片上面應該是EEprom的晶片, 若真要copy的話,把它點焊起來就可以把資料讀出來,
不過我把Turner motorsport的晶片貼紙拿起來後,只看到兩個小小的晶片, 一個是Flash,另一個不知是什麼晶片...我聽我們公司的FAE說資料應該是都存在flash上面,若要破解的話,還要點焊起來再拿去給專門的人破解...我直接拿去燒錄器想把資料讀出來,一般晶片都可以馬上讀出來, 結果每一個column的資料都是一樣的., ..大概是加密還是什麼的吧...

[PETER-sky]

下面引用由sytl2003在 2008/01/03 09:48pm 發表的內容：
你看我po的照片上就知道沒有..不過看你那個AA的晶片上面應該是EEprom的晶片, 若真要copy的話,把它點焊起來就可以把資料讀出來,
不過我把Turner motorsport的晶片貼紙拿起來後,只看到兩個小小的晶片, 一個是Flash ...

還有裡面不是有一組cam+gti香菇頭+晶片
整組說明安裝了有290pㄟ.
怎麼不整組給它敗下來.以後cam我好接手啊... :em03:

[sytl2003]

下面引用由PETER-sky在 2008/01/04 10:05am 發表的內容：
還有裡面不是有一組cam+gti香菇頭+晶片
整組說明安裝了有290pㄟ.
怎麼不整組給它敗下來.以後cam我好接手啊...

我只是區區325而已...那組套餐是給M3用的...

[sytl2003]

下面引用由小樂在 2008/01/02 11:52pm 發表的內容：
m3改裝用晶片本來供油就比較濃，點火也較提前沒錯..
裝在325上會供油過濃沒錯，所以你才會覺得起步笨笨的..!
你沒架空燃比機看看嗎..?

樂大..測試完晶片後,我有個問題. 就是當我裝AC的晶片時,裝了M3 cam以後,到了4200轉開始,我那個Simota香菇頭的聲浪超大聲的, 但是這片Turner 晶片雖然低中速明顯比AC的反應還好, 但是到了4200轉以後就沒有裝AC晶片時聲浪來的大聲. 是不是進氣變少了呢?這是怎麼一回事呢?

[0wnage]

下面引用由sytl2003在 2008/01/03 09:48pm 發表的內容：
你看我po的照片上就知道沒有..不過看你那個AA的晶片上面應該是EEprom的晶片, 若真要copy的話,把它點焊起來就可以把資料讀出來,
不過我把Turner motorsport的晶片貼紙拿起來後,只看到兩個小小的晶片, 一個是Flash ...

照一張照片來吧...有人知道原先行車電腦上的晶片編號嗎? 我懶的拆我的413電腦
[br][br][color=#FFFF00]-=-=-=-=- 以下內容由 0wnage 在 2008年01月05日 00:51am 時新增 -=-=-=-=-[/color]
找到了...原先的行車電腦是用27C512這一顆...
標準的16bit-CPU Interface要讀出來應該很好處理..
基本上作保護除了鎖Timing...不然就是它有一段bootloader去檢查EPROM的CHIP ID...
不太難的..只要知道一些東西...

[0wnage]

下面引用由sytl2003在 2008/01/03 09:48pm 發表的內容：
你看我po的照片上就知道沒有..不過看你那個AA的晶片上面應該是EEprom的晶片, 若真要copy的話,把它點焊起來就可以把資料讀出來,
不過我把Turner motorsport的晶片貼紙拿起來後,只看到兩個小小的晶片, 一個是Flash ...

你試試看用27C512的timing去讀晶片看看...應該可以讀的到東西...
你去買的時候他有向你要求車身編號的資料嗎?

[樂大]

下面引用由sytl2003在 2008/01/04 11:59pm 發表的內容：
樂大..測試完晶片後,我有個問題. 就是當我裝AC的晶片時,裝了M3 cam以後,到了4200轉開始,我那個Simota香菇頭的聲浪超大聲的, 但是這片Turner 晶片雖然低中速明顯比AC的反應還好, 但是到了4200轉以後就沒有裝AC晶　...

在國外的作法，改香菇頭就算是進氣大改裝了，必需配合晶片重新設定供油跟點火..
你把香菇頭換回原廠的看看，效果應該會比較好..!

下面引用由0wnage在 2008/01/05 01:38am 發表的內容：
你試試看用27C512的timing去讀晶片看看...應該可以讀的到東西...
你去買的時候他有向你要求車身編號的資料嗎?

應該不會輸入車身編號來確認ID...
一般鎖碼的話，都是跟我post 的那個AA 的晶片一樣在下方有一個解碼晶片，就算你把晶片裏的資料copy出來，但你沒有那個解碼晶片，就無法使ECU正確讀出晶片裏的資料..
所以那個解碼晶片才會用特殊的膠固定起來，就算你硬要把它拿起來，也破壞了那個晶片...

[0wnage]

下面引用由小樂在 2008/01/05 02:20am 發表的內容：
應該不會輸入車身編號來確認ID...
一般鎖碼的話，都是跟我post 的那個AA 的晶片一樣在下方有一個解碼晶片，就算你把晶片裏的資料copy出來，但你沒有那個解碼晶片，就無法使ECU正確讀出晶片裏的資料..
所以那個解 ...

Intel 8092 CPU 是沒有解碼機制的
所以如果CPU要讀的到程式碼一定是正確的程式碼才會執行..
如果有Image也許可以花時間用8092的反編譯器來反推程式碼..
我個人懷疑他是使用bootloader或者是GAL(可能在另一顆晶片上)去解Flash或EEPROM的資料 EEPROM通常都有晶片編號所以可以拿來加密或做給booloader或者是GAL作驗證..
還有我個人猜想的Bosch ECU是採取Execute-In-Place的方式..

[sytl2003]

下面引用由0wnage在 2008/01/05 03:41am 發表的內容：
Intel 8092 CPU 是沒有解碼機制的
所以如果CPU要讀的到程式碼一定是正確的程式碼才會執行..
如果有Image也許可以花時間用8092的反編譯器來反推程式碼..
我個人懷疑他是使用bootloader或者是GAL(可能在另一顆晶片 ...

晶片照片來了..

[sytl2003]

下面引用由小樂在 2008/01/05 02:20am 發表的內容：
應該不會輸入車身編號來確認ID...
一般鎖碼的話，都是跟我post 的那個AA 的晶片一樣在下方有一個解碼晶片，就算你把晶片裏的資料copy出來，但你沒有那個解碼晶片，就無法使ECU正確讀出晶片裏的資料..
所以那個解 ...

樂大...您是說若要用這片TURNER的晶片要換回原廠的進氣箱效果會比較好, 但是會比我先前用AC搭配香菇頭來的好嗎??我現在只感覺turner在中低速比較好,但是AC在中高速比較好, 真難選擇.....而且我發現裝了tuner後比較耗油...怎麼會這樣....

[sytl2003]

[這篇文章最後由sytl2003在 2008/01/06 02:08am 第 1 次編輯]

下面引用由0wnage在 2008/01/05 01:38am 發表的內容：
你試試看用27C512的timing去讀晶片看看...應該可以讀的到東西...
你去買的時候他有向你要求車身編號的資料嗎?

我就是用27C512去讀的...讀出來的程式碼每一行都全部一樣, 很奇怪,..與一般的晶片不同, .他沒有要求車身編號.

[0wnage]

[這篇文章最後由0wnage在 2008/01/06 04:12pm 第 10 次編輯]

下面引用由sytl2003在 2008/01/06 00:30am 發表的內容：
我就是用27C512去讀的...讀出來的程式碼每一行都全部一樣, 很奇怪,..與一般的晶片不同, .他沒有要求車身編號.

Intel 8096(Internal ROMless) 的Reset程式進入點在Address = x2080h, 你的ROM Reader可以設定從 位置 x2080h 讀一段起來嗎? Intel 8096是16bit的CPU所以第一條完整的程式碼應該存在x2080h與x2081h(27C512是資料寬度8bit的 所以要至少讀兩次 CPU才有一條完整的指令 不過8096的指令長度是1byte到5bytes之間)
ROM Reader都是由頭(x0000h)讀到尾(xFFFF)或由尾讀到頭 所以XILINX CPLD看你是直接由頭讀起就不給你讀了
Bosch 3.3.1 ECU的Schematic 我沒看過 不過就Bosch 3.1的Schematic 來看位置線是直接接過去的
所以代表了ROM上面的 x2080h 以前應該是沒有使用到所以也沒有資料 CPU上的x2080h之前是給內部記憶體, Register Profile, 中斷等 Mapping.
27C512在8096上要存取那ROM x2080h 之前的資料CPU內外位置線是一樣的那是存取不到資料的 除非外部位置線對應不是直接接上 而是把27C512的位置線對應shift幾條可能還要加上glue logic 才有辦法直接對應到x0000h
這樣做花的零件可能要多上幾顆 以成本考量 我寧可其把ROM上的 x2080h之前浪費掉也不會多花零件 而且還要付出後面位置資料存取不到的代價


硬體方面要破掉讀出來其實不難
因為可使用的保護為鎖Timing (讀取速度太快不讓你讀 慢過頭也不讓你讀)
程式編碼驗證 (CPLD Hold 住CPU訊號先驗證Flash的Chip Unique ID是否正確 正確後才進行解碼 但是CPU只能跑的是解碼後的程式資料)
讀取範圍驗證(頭尾讀CPLD不進行解碼)

軟體方面他可能在在前段有加一段程式碼去讀ROM中特定的資料(實際上該驗證資料可能擺在CPLD上 以特定讀取方式來作驗證及啟動CPLD解碼 這算第二層保護) 把ROM的資料反組譯後把那一段保護程式碼修掉強制啟動CPLD作第二層解碼就好了 這利用一般的MCU 開發板就可以很方便的讀出來 不過要寫一點小程式

只要知道CPU架構 來對症下藥 破解應該是不難的

如果MCU開發板及ROM Reader齊備 一到兩週應該可以完整的破解這顆晶片

[樂大]

下面引用由0wnage在 2008/01/06 02:17pm 發表的內容：
只要知道CPU架構 來對症下藥 破解應該是不難的...

架構..
這是m3.1.1的ecu架構，也就是bosch413的

[0wnage]

下面引用由小樂在 2008/01/07 04:55pm 發表的內容：
炭N是bosch413的

413 的電腦使用在9/92 to early 95, 是DME 3.3.1的
Processor Type: MCS-96
EPROM Type: 27C512
Memory: On 8096
在第一批的M50B25 在9/91-8/92之間是使用DME 3.1
Processor Type: 8052/8051
EPROM Type: 27C256
Momory: External Memory
我以經拆了我的413電腦所以可以確定架構是8096+27C512的組合
接下來就是要找一顆晶片來玩了

[樂大]

不用找了啦，我直接給你原廠325的程式就可以了..!

例如..節氣門全開時的點火map
HEX D0 10 05 06 05 07 0A 05 07 0B 09 09 09 0F 12 13 08 60
D0:NE(rpm)
10:是16進位的值
最後的 60H (=96十進位)意思就最大值在((2^8)*40)-(40*96) = 6400
其他的進位.......LSB=40
最後的RPM為6400轉，那往前算可得
最後第二個為08 所以可得08*40=320，6400 - 320 = 6080轉
再來的13H換算成十進位就是19，所以19 * 40 = 760，6080 - 760 = 5320轉
全部算出來可以得到16個轉速區
680 880 1120 1320 1600 2000 2200 2480 2920 3280 3640 4000 4600 5320 6080 6400
只要你能修改這個值，就可以改變原廠晶片上的供油和點火的數據了.

[0wnage]

下面引用由小樂在 2008/01/07 07:09pm 發表的內容：
不用找了啦，我直接給你原廠325的程式就可以了..!
把它叫出來，就可以看到原廠供油和點火的設定
原廠的map是依空氣流計電壓和RPM為數據變化
怠速時的供油map 位置: E967
...

如果是原廠的ROM就不需要破解直接拿到ROM Reader然後反組譯
花點時間就可以找到以上項目的位置了 我想以上的位置是很實用的
如果有人想要去改自己的ROM 切記你要把Checksum檢查碼作出來 不然是跑不動的 有EWS的盡量也不要玩
如果要把利用原廠的MAP加到7000RPM也許要小改一點程式碼把查表範圍加大 再括展MAP表到7000就好了
這裡是我看過的一個討論串 講了蠻多一些413的東西可以參考
http://forums.bimmerforums.com/forum/showthread.php?t=431228

[eason lan]

小樂大大~
小弟有個問題請教~
小弟413電腦改市面販售的8000轉晶片~
但都只路跑5~6趟或車停幾天~就被修回6700斷油
剛裝都粉正常~而且感覺明顯!!
可以請問是哪出問題嗎??
如汽油壓力~排氣管??
希望站上各位大大指教!!

[ZeroSea]

好奇m50tub25裝s50b30us cams後,配合這顆Turner Motorsport出的改裝晶片馬力可以增加多少??

http://www.turnermotorsport.com/BMW-...ine-parts.aspx
m50tub25+ chip: 22hp/20ft-lbs
m50tub25+ air intake + chip: 27hp/25ft-lbs
m50tub25+ air intake + exhaust + chip: 30hp/28ft-lbs
m50tub25+ air intake + exhaust + m3 cams + chip: 40hp/32ft-lbs

個人推算m3 cams+chip約加30hp

[ZeroSea]

改裝c/p值, 芭樂>>>尾段 ,哈哈哈~