Форвард-М. Странный домофон со странными функциями

Приветствую всех!

Пожалуй, самыми странными среди домофонов являются не какие-то раритетные экземпляры с оптическими или магнитными ключами, а «локальные» модели, выпускавшиеся одним предприятием (зачастую вообще по части основной своей деятельности с домофонами не связанным) для одного города или региона. В самом деле, столь странных конструктивных решений, какие встречаются там, порой не встретить больше нигде. Про пару таких девайсов я уже рассказывал, и вот ко мне попал очередной — некий «Форвард» весьма странного вида и с не менее странной схемотехникой.

Итак, в сегодняшней статье посмотрим на один из самых распространённых в Сибири домофонов. Заодно узнаем, зачем в нём RTC и батарейка, как его оживить и что ещё отличает его от привычных нам экземпляров. Традиционно будет много интересного.

❯ Суть такова

Первая версия такой панели — Форвард-М. Оптических, магнитных или ещё каких-то ключей в них предусмотрено не было, только обычные Touch memory.

Более поздний вариант — Форвард-МВ. Здесь есть аналоговая видеокамера, прошивка тоже отличается.

А вот ещё более новая панель.

❯ Обзор оборудования

Вот такая панель досталась мне.

Это одна из первых версий — «Форвард-М», появившийся в 2007 году. По сравнению с какими-нибудь раритетными «Элтисами» он ещё совсем новый… Интересно выглядит индикатор, словно позаимствованный от каких-то часов, DVD-плеера или ещё какого бытового прибора.

С обратной стороны только металлическая крышка без каких-либо надписей.

Снимем её.

Внутри нас ждёт много интересного: съёмная плата коммутатора, какие-то перемычки и самое неожиданное — батарейка. Зачем она тут, если у домофона нет NVRAM или чего-то подобного? Скоро разберёмся.

Рядом с ней RTC от Dallas.

Под платой коммутации микроконтроллер ATMega32 с какой-то наклейкой и микросхема памяти. Прошивка ожидаемо защищена от чтения, тут ничего нового.

Снимем плату.

С обратной стороны мало интересного — кнопки, индикатор, а также стабилизатор и мощный транзистор, прижатые для охлаждения к корпусу.

Корпус многое повидал на своём веку, но всё ещё держится.

Первый запуск

Первым делом пробуем подать питание.

Загорелась подсветка, на индикаторе появились бегущие сегменты, а домофон даже начал куда-то звонить. Отлично, всё работает.

Играет он, к слову говоря, восьмибитный «Дым над водой»…

А вот звуки панели «Форвард-МВ». Эту мелодию вызова, думаю, узнает каждый…

❯ Пароли

Теперь очередь паролей.

Инструкции нет, зато стандартный код для входа в режим программирования вполне известен — это 77395201.

Увы, на мой домофон он не подошёл, так что придётся разбираться самому.

❯ Память

Пароля нет, так что достаём из панельки EEPROM и читаем её программатором. Далее открываем её в HEX и смотрим, что там есть интересного.

Данные с нулевого адреса вплоть до 176Fh — явно таблица ключей.

Далее идёт область параметров.

За ней вся память пустая, только лишь в конце два байта таки записаны. Судя по всему, это признак того, что EEPROM исправна и размечена.

❯ Упрощённый режим

В области параметров нашёл интересную последовательность BC 61 4E. Интересна она тем, что в десятичной системе это 12345678.

Явно какой-то код, незадействованный или отключенный. Само собой, ввод этого числа ничего не дал, поэтому я перезаписал эту последовательность и ряд соседних байт на 01h.

Набираем 16843009 — 01 01 01 01 в шестнадцатеричной системе. О, что-то получилось!

Но радость быстро ушла: вместо «P» на индикаторе почему-то загорелось «П». На нажатие кнопок домофон также не реагировал. Странно, однако. Оказалось, что это этакий упрощённый режим записи ключей. Если в этом режиме приложить ключ, то он сохранится в памяти, больше при этом ничего делать нельзя. За включение и выключение этого кода, как выяснилось, отвечает байт по адресу 1846h: 01h, если упрощённый режим разрешён, 05h — если запрещён. С хранением ключей всё тоже довольно просто: в память помещаются три последних байта номера, между собой записи разделяются двумя нулевыми байтами.

Вот так это работает.

❯ Про режим программирования

После некоторых поисков удалось найти полный список функций в режиме программирования:

• P0 — запись ключей

• P1 — удаление отдельных ключей

• P2 — сброс памяти ключей

• P3 — время открытия двери

• P4 — выбор типа замка

• P5 — блокировка и разблокировка квартир

• P6 — номер первой квартиры

• P7 — ввод пользовательского кода

• P8 — вкл/выкл пользовательского кода

• P9 — смена пароля

Как нетрудно догадаться, этот пользовательский код и предназначен для записи ключей в упрощённом режиме. А вот кодов для открытия двери почему-то нет, равно как и какого-либо упоминания часов. Ладно, придётся искать дальше.

RTC

Так и не найдя чего-то подходящего, продолжаем модифицировать память.

Забиваем единичными байтами другую область, и… на индикаторе действительно отобразилось текущее время!

Вскоре удалось локализовать и отвечающий за это флаг. Лежит он по адресу 185Dh. Принцип всё тот же, что и для пароля пользователя: 01h — часы работают, 05h — не работают.

Помните ту шутку про то, что читать инструкцию к микроволновке было слишком лень, отчего её просто включили в полночь?

Здесь это актуально как никогда: возможность установки времени отсутствует, так что единственный возможный вариант — отпаять батарейку и подключить её в нужный момент. Если установить время и загрузить «модифицированную» прошивку, можно превратить домофон в часы.

❯ Так что же в итоге?

Пообщавшись с товарищем, у которого также имелась такая панель, выяснил, что были «Форварды-М», которые батарейки и RTC не имели. Что же до модели «МВ», то там возможность установки времени имелась штатно (хотя, судя по всему, ни в одной обслуживающей компании ей не пользовались). Зачем в моей панели, с прошивкой от «обычной» версии, такая функция, мне решительно неведомо.

Такие дела.