Disclaimer: Diese Prozedur erfordert den Aktor zu zerlegen und mit Strom zu versorgen. Je nach Methode besteht Gefahr durch Netzspannung und der Aktor kann durch die Prozedur potentiell zerstört werden.
Anwendungsfall: Wenn man einen Sicherheitsschlüssel gesetzt hat und einem die CCU abraucht (man aber leider kein Backup hat und/oder den Sicherheitsschlüssel nicht notiert hat) oder aber einen gebrauchten Aktor gekauft hat, der nicht ordnungsgemäß zurückgesetzt wurde (und bei dem ein Sicherheitsschlüssel gesetzt war), dann hält normalerweise ein Stück Elektroschrott in der Hand. Beim Werksreset (5 Sekunden Config Taste) fängt der Aktor nicht zu blinken an, sondern zeigt ein rotes Dauerlicht. Der Reset wird verweigert.
Um den Aktor doch noch flott zu bekommen, muss der Aktor geöffnet werden, so dass man an die ICs der Steuerplatine herankommt, muss dann aber wieder mit Strom versorgt werden.
a) Sicherere Methode: Die Steuerplatine ausbauen und mit einem Netzgerät mit der benötigten Betriebsspannung versorgen. Dafür ist natürlich ein entsprechendes Netzteil Vorraussetzung, sowie das Wissen an welche PINs diese anzulegen ist.
b) Wer da unsicher ist, kann auch den Aktor "rückwärts" wieder zusammenbauen. Die Relaisplatine in den Deckel einsetzen, Zwischenplastik drauf und die Steuerplatine aufstecken. Damit sollten alle Teile die 220V führen gut eingepackt sein. Am Besten noch mit einem Gummiband sichern, damit das nicht wieder rausrutscht. (Trotzdem ist von der Methode abzuraten, da immer die Gefahr eines Stromschlags besteht)
Die eigentliche Prozedur basiert auf einem Trick den ich zufällig gefunden habe um bei einem PC ein gesetzes BIOS Passwort zu umgehen. Dafür wird verhindert, dass das Passwort aus dem EEPROM ausgelesen wird, indem man SDA und SDL am IC kurzschliesst. Der PC bekommt keine Daten vom EEPROM und bootet ohne Passwort.
Ich dachte mir: Vielleicht funktioniert das irgendwie auch mit den Aktoren. Da ich diese ohnehin schon abgeschrieben hatte, war mir das Risiko eines Totalverlusts egal.
Vorgehensweise:
1.) Die PINs SDA, SDL und die beiden Masse PINs mit einem Draht, Schraubendreher o.ä. überbrücken (siehe roter Balken auf dem Bild im Anhang, evtl. reicht auch nur SDA+SDL - das sind die beiden linken PINs auf dem Foto)
2.) Die Config Taste drücken und gedrückt halten
3.) Jetzt erst die Stromzufuhr aktivieren (mir sind da die Hände ausgegangen, da musste mir dann meine Frau zur Hand gehen)
Folgendes Verhalten ist zu erwarten:
Die LED blinkt alle ca. 5 Sekunden einmal grün auf. Ich habe viel rumprobiert mit der Reihenfolge oben und es hat nicht immer auf Anhieb geklappt. Am besten diesen Zustand für 3-4 mal Aufblinken beibehalten.
4.) Die Überbrückung entfernen, die Config Taste bleibt aber gedrückt
5.) Nach ca. 5 Sekunden sollte die LED rot zu blinken anfangen. Dann wie beim normalen Werkreset Config loslassen und wieder 5 Sekunden drücken bis die LED schnell blinkt.
6.) Config loslassen - der Aktor ist zurückgesetzt.
Die Methode ist möglicherweise nicht 100% deterministisch. Ich musste das immer mehrmals probieren, konnte so aber erfolgreich zwei zuvor gesperrte Aktoren wieder aktivieren und sie versehen jetzt brav ihren Dienst.
Möglicherweise lässt sich die Methode auch auf andere Aktoren (z.B. den fast baugleichen Schaltaktor) anwenden. Ich hatte noch eine gesperrte 12 Tasten Fernbedienung, diese war aber erstens uralt (Seriennummer EEQ....) und hatte zweitens einen anderen EEPROM Chip (nur 6 PINs statt 8 ). Hier war ich leider erfolglos.
Falls das bei euch bei einem anderen Aktor klappt, bitte in diesem Thread Aktoren und Firmware Version posten (ich hatte Aktoren mit der aktuellen FW 2.11).
Gruß,
Jörg
achtung!!!
nach schaltplan des sw1pbu/bl1pbu ist pin8 vom eeprom aber 3v3!!!
somit gibt es ja einen kurzschluss mit masse am pin7.
edit:
pin8 ist in beiden schaltplänen identsch 3v3.
also nur die 3 linken pins brücken, nicht noch den rechten.
trotzdem danke für die anleitung. das werde ich demnächst mal probieren.
HM-LC-SW1PBU-FM mit fw2.1 beim ersten mal erfolgreich resettet . :)
ich habe es vor dem entfernen der brücke 4x blinken lassen. die pausen zwischen dem blinken haben bei mir gefühlt 10 sek gedauert. ich wollte fast schon aufgeben.
zur spannungsversorgung habe ich 2 neue mignon batterien (3,26v leerlaufspannung) zwischen die äusseren pins des verbindungssteckers geschaltet. natürlich alles ohne relaisplatine.
als brücke habe ich eine kleine krokoklemme über das eeprom geklemmt (pins 3,4,5,6 gebrückt), wodurch ich eine hand mehr hatte. ;)
nochmal danke für die super anleitung.
gruss frank
als nächstes würde ich gerne ein HM-LC-SW1-PL2 resetten.
hier muss ich mir leider erst ein passenden torx T6 besorgen. meiner kommt nicht tief genug.
hat eventuell jemand eine bastelanleitung/schaltplan für diesen aktor? dann könnte ich mich schon mal vor dem öffnen schlau machen.
das ist noch das alte Gehäuse, gell? Nein. Ich könnte höchstens mal einen neuen und einen alten aufmachen und vergleichen.
Für den neuen eckigen habe ich - aber Du sicher auch ...
genau, die "spacigen" alten.
zu "zwischensteckern" habe ich gar keine schaltpläne.
Der alte und neue PL sind doch extrem unterschiedlich. Anbei zwei Fotos meines "alten" offen.
edit: nein, ich habe die nicht zusammengelötet, die kamen so ab Werk
edit2: IC3 ist der Schaltregler (Viper), IC4 ist der EEPROM, der gleiche Chip wie im Rolladenaktor. Man sieht auf dem Foto direkt die beiden SDA- und SCL-Leitungen, die direkt zum Atmel gehen. _WC_ (bzw. im Bl1PBU WP genannt) sollte GND haben, also die drei brücken. Viel Glück!
Im neuen PL ist EEPROM IC3 gar nicht mehr bestückt, die Daten wird der Atmel also intern speichern. Da dürfte dann auch der Kurzschlusstrick nicht mehr helfen.
edit 3: Als Brücke könnte man auch ein Messkabel nemen und die Prüfspitze zwischen den beiden Pins parken (das andre Ende an GND).
Also erst mal: sehr geil. Solche Hacks sind doch extremst mein Geschmack!
Zitat von: Adimarantis am 26 April 2020, 22:23:59
Möglicherweise lässt sich die Methode auch auf andere Aktoren (z.B. den fast baugleichen Schaltaktor) anwenden. Ich hatte noch eine gesperrte 12 Tasten Fernbedienung, diese war aber erstens uralt (Seriennummer EEQ....) und hatte zweitens einen anderen EEPROM Chip (nur 6 PINs statt 8 ). Hier war ich leider erfolglos.
Ich habe auch eine RC-12, aber ich finde auf meinen Dokufotos keinen 8 oder 6-Beiner. Leider auch kein Schaltplan. Was ein "DG2491" ist, verrät mir Google nicht.
(Das Teil hatte Probleme mit dem Rüttelkontakt und fror dann regelmäßig komplett ein - Ursache waren kalte Löststellen auf dem Verbinder zum Funkmodul.)
Zitat von: Pfriemler am 27 April 2020, 15:02:29
Ich habe auch eine RC-12, aber ich finde auf meinen Dokufotos keinen 8 oder 6-Beiner. Leider auch kein Schaltplan. Was ein "DG2491" ist, verrät mir Google nicht.
Meiner war sehr alt und anders aufgebaut. Ich nehme mal an das die 8 leeren Kontakte mit der Beschriftung IC3 mal ein EEPROM beheimatet haben, aber wie schon oben diskutiert der Speicher jetzt in den Controller gewandert ist. Den "Jailbreak" hat EQ3 wohl bewusst oder unbewusst bei neuen Komponenten gefixt.
ich habe jetzt zwei HM-LC-SW1-PL2 (fw1.9 und fw1.12) probiert.
leider klappt es hier (noch?) nicht. die led will einfach nicht blinken nach dem anschalten der spannung. wenn ich dann nach 30-60 sec warten, die eeprom brücke entferne, startet die erste phase des reset blinkens. allerdings verweigert er dann nach erneutem taster drücken, die 2. phase des reset.
ich vermute jetzt mal, dass der "trick" eventuell nur mit devices funktioniert, die ota-update fähig sind, da die einschaltprozedur zum manuellen starten des updates identisch ist.
Hallo
Hab gemeint das nur SEC Geräte nicht ohne Sicherheitsschlüssel zurückgesetzt werden können?
Bei allen anderen sollte das zurücksetzen doch auch ohne Schlüssel gehen?
Nö, ich kenne das anders. SEC und nicht-SEC unterscheiden sich nur darin, dass SEC immer mit Signierung arbeitet. Bei den anderen kann sie optional zugeschaltet werden.
Mir ist nicht ganz klar, ob das Setzen eines eigenen AES-Schlüssels die Resetprozedur ebenfalls unterbindet oder ob der AES-Schlüssel bei einem Reset am Gerät nur nicht zurückgesetzt wird. Ein Gerät mit einem eigenen Sicherheitsschlüssel kann jedenfalls nicht mit einer Zentrale verwendet werden, die diesen Schlüssel nicht kennt.
Ein weiteres Problem liegt vor, wenn am Aktor der manuelle Reset gesperrt wurde (localResDis = on).
Die hier versuchte Prozedur soll verhindern, dass Geräte, bei denen AES-Signierung eingeschaltet wurde und die mit einem anderen Sicherheitsschlüssel versehen sind, diesen (nebst der gesamten Konfiguration) beim Booten aus dem Speicher lesen. Der Aktor verhält sich dann wie ein Gerät ohne AES mit Standardschlüssel und kann wieder manuell resettet werden, wobei das dann auch in den Speicher geschrieben wird. Der Aktor ist dann wieder "wie neu".
Wer's besser weiß, bitte sagen!
Hab deshalb bei eBay vor einem Kauf von Sec Devices immer zweimal nachgefragt und das Reset bestätigen lassen.
Da hat ich bei den Aktoren etc. wohl immer Glück.
Hab da im Homematic Forum aber nicht (noch nicht, werde da noch weiter suchen) viel gefunden.
Nur etwas von einer Tastersperre die das Anlernen unterbindet.
Diese wird dann wohl auch das Reset unterbinden.
"Sec" sagt gar nichts bzg aes aus!
meine sec-sd(1) können gar kein aes.
bei meinen sec-sc/rhs war ab werk kein aes aktiv, aber ich kônnte es aktivieren. ebenso bei vielen devices ohne "sec"
sobald ein eigener aes key assigned ist, kann kein reset durch knöpfchen drücken gemacht werden. nur noch über eine zentrale, doie den key kennt.
nun.auch bei einigen devices ohne zentrale mit dem "trick".
Hier noch ein weiteres Feedback zum "alternativen" Reset:
Soeben erfolgreich an einem HM-LC-Sw4-DR durchgeführtm, FW v2.8.
Bei dem Aktor waren die Gerätetasten gesperrt und er war nicht resettet. Ohne die Kanaltaste 1 ist aber kein Reset möglich.
3,3V mittels Netzgerät an IC2 angelegt, PIN 5+6 am IC4 gebrückt.
Sonstige Vorgehensweise wie vom TE beschrieben.
Ich danke dem TE für die hervorragende Anleitung! :D
HM-LC-SW4-WM ließ sich auf auf die beschriebene Weise zurücksetzen. Es blinken dann alle vier LEDs der Kanäle und anschließend kann man den Werksreset durchführen.
Vielen Dank an den Themenstarter! War schon drauf und dran, das Ding wegzuwerfen.
Als nächstes versuche ich mein Glück mit einem Wasserwächter, den man angeblich überhaupt nicht zurücksetzen kann, wenn er nicht abgelernt wurde...
Ich habe hier einen HM-SCI-3-FM, kann man den ebenfalls so resetten?
Da hilft wahrscheinlich nur eins: Probieren - das wichtigste ist, rauszufinden ob das Teil einen gesonderten Speicherchip hat und dort die Datenleitungen auf Masse ziehen.
Würde ich aber nur machen, wenn du das Teil sonst sowieso entsorgen wolltest. Ich habe das erfolglos einer alten 8-Tasten FB probiert und solange rumprobiert bis das Teil endgültig hinüber war.
Jörg
Laut meiner Bauanleitung (Papier) gibt es keinen Speicherchip. Ein Prozessor überwacht die Eingänge und weckt den Steuerprozessor auf, wenn es eine Änderung gibt. Der dritte im Bunde ist das Funkmodul. Ich sehe keine Chance.
Weiß jemand welche Pins ich bei dem Heizkörperthermostat (HMIP-eTRV-2) überbrücken muss?
Bild von Platine im Anhang.
Schaut schlecht aus. Da dürfte der Speicher in dem grossen Chip integriert sein. Das vorne (CC1101) ist der Funkchip und sonst seh ich keinen.
wie funktioniert der Hack denn eigentlich technisch, was wird über das überbrücken der eeprom Pins erreicht? Könnte man auch ein eeprom eines baugleichen und noch zurücksetzbaren Aktors verwenden?
Kann ELV kostenpflichtig einen vorhandenen Aktor zurücksetzen oder die Firmware auf einen Stand aktualisieren bei dem der Hack nachgewiesener weise funktioniert?
Greetz
Eldrik
Siehe erster Post:
Die eigentliche Prozedur basiert auf einem Trick den ich zufällig gefunden habe um bei einem PC ein gesetzes BIOS Passwort zu umgehen. Dafür wird verhindert, dass das Passwort aus dem EEPROM ausgelesen wird, indem man SDA und SDL am IC kurzschliesst. Der PC bekommt keine Daten vom EEPROM und bootet ohne Passwort.
Wie's funktioniert wurde hier mehrfach berichtet.
Zitat von: eldrik am 11 Dezember 2021, 17:17:47
Könnte man auch ein eeprom eines baugleichen und noch zurücksetzbaren Aktors verwenden?
Wenn Du den Eprom umlötest, bekommt das Gerät gespeicherte Daten und hmID des Bauteilspenders. Das kannst Du dann zurücksetzen, aber beim Wiedereinsetzen des alten Chips ist das Problem wieder da.
ZitatKann ELV kostenpflichtig einen vorhandenen Aktor zurücksetzen oder die Firmware auf einen Stand aktualisieren bei dem der Hack nachgewiesener weise funktioniert?
Ob der Hack funktioniert oder nicht, hängt weniger vom Firmwarestand, sondern mehr vom Hardwarestand ab (siehe oben erwähnte alte und neue Schaltzwischenstecker), also ob man von außen in den Ausleseprozess eingreifen kann. Ohne externes Eprom wird das eben nichts.
ELV kann auch Geräte zurücksetzen, die keinen Eprom haben, das wird dann dort mit Programmiergerät gemacht, vermutlich im Rahmen eines Firmwareupdates - die sind aber in dieser Form praktisch nicht für Otto Normalheinz verfügbar.
Man kann ja Geräte mit entsprechender Technik auch mit alternativer Firmware flashen - wenn es denn eine passende gibt.
Ein stumpfes Löschen von Speicherbereichen mit Programmiergerät dürfte nicht möglich und auch nicht sinnvoll sein - für viele Geräte wird ja eine einheitliche OTA-Firmware angeboten, die Geräte wissen aber aus einem separaten Speicherbereich mehr über das was sie sind. Wenn man das zerstört...
ja das "wie" im ersten Post habe ich tatsächlich ausgeblendet und mich wohl nur auf die Durchführung konzentriert mea culpa :)
Ich vermute das es ggfs. auch mit dem Hinweis von frank zusammenhängen könnte, dass die Geräte OTA fähig sein müssen, ich habe hier einen HM-LC-SW4-DR mit externem eeprom und FW 1.9 der sich nicht in den schnellen Blinkrythmus des resets überführen lässt (nur anlernen blink, danach kein schnelles blinken), mit der FW 2.8 scheint es jedoch geklappt zu haben, was mir mit der FW 1.9 nicht geglückt ist.
Zitat von: altobelli am 08 Juni 2020, 21:08:48
Hier noch ein weiteres Feedback zum "alternativen" Reset:
Soeben erfolgreich an einem HM-LC-Sw4-DR durchgeführtm, FW v2.8.
Bei dem Aktor waren die Gerätetasten gesperrt und er war nicht resettet. Ohne die Kanaltaste 1 ist aber kein Reset möglich.
3,3V mittels Netzgerät an IC2 angelegt, PIN 5+6 am IC4 gebrückt.
Sonstige Vorgehensweise wie vom TE beschrieben.
Ich danke dem TE für die hervorragende Anleitung! :D
Greetz
Eldrik
Zitat von: frank am 28 April 2020, 11:14:53
ich habe jetzt zwei HM-LC-SW1-PL2 (fw1.9 und fw1.12) probiert.
leider klappt es hier (noch?) nicht. die led will einfach nicht blinken nach dem anschalten der spannung. wenn ich dann nach 30-60 sec warten, die eeprom brücke entferne, startet die erste phase des reset blinkens. allerdings verweigert er dann nach erneutem taster drücken, die 2. phase des reset.
ich vermute jetzt mal, dass der "trick" eventuell nur mit devices funktioniert, die ota-update fähig sind, da die einschaltprozedur zum manuellen starten des updates identisch ist.
ich hatte bei diesen beiden geräten damals auch mal die externen eeprom ics mit arduino plus passendem sketch ausgelesen. leider waren dort auch keine keys zu finden. sah aus als wären dort nur ein paar registerwerte für peers gespeichert.
Hallo zusammen,
Kann mir jemand sagen, welche PIN´s hier gebrückt werden müssen?
Ist ein HM-Sec-Mdir-2.
Danke!
Den MDIR (ohne -2) habe ich selbst und die Anleitung in Papierform. Völlig anderes Layout. Dort befindet sich der EEPROM in unmittelbarer Nachbarschaft zum Hauptchip (bei Dir links halb unter dem Funkmodul versteckt). Wenn der MDIR-2 überhaupt noch einen EEPROM hat, dann liegt er möglicherweise unerreichbar unter dem Funkmodul. Ich finde auch keine Pendants zu den beiden 8-Beinern rechts des Funkmoduls. Sehr seltsam.
Wenn jemand den Schaltplan des MDIR-2 hat: Ich sammle alles ..., bitte PN schicken.
Ok, Danke für die Info.
Hab ihn zu ELV geschickt.