Brennenstuhl Protokoll dekodieren

[Henning D. (henning_d)]

Hallo!

Ich bin gerade dabei, das Protokoll des "Brennenstuhl Primera-Line 
Funkschalt-Set RC 3600" (selbstlernende kodierung) zu analysieren und 
komme nicht weiter.

Diese Signale konnte ich bisher von der Fernbedienung aufzeichnen: 
(ursprünglich waren sie noch Manchester-kodiert; die letzten beiden 
Segmente, "2950 7080", habe ich nicht weiter dekodiert, da sie scheinbar 
besonders sind - wahrscheinlich eine Art "Footer")
http://pastebin.com/ujw202CD
C1.1 bedeutet Steckdose "C" einschalten, erstes Paket. D0.4 bedeutet D 
aus, viertes Packet. Für jeden Zustand (z.B. A an) sendet die 
Fernbedienung abwechselnd genau 4 unterschiedliche Pakete, das Ende der 
Pakete (die letzten 4 Bits) konnte ich bereits entschlüsseln, es steht 
für den Buchstaben.
Beim ersten Betätigen von "A an nehme ich also beliebig oft das erste 
Paket auf, dann, wenn ich "A an" loslasse und erneut betätige, nehme ich 
beliebig oft das zweite Paket auf, die Fernbedienung zählt also mit. 
Nach dem 4. folgt wieder das 1. usw. Diese Reihenfolge ändert sich 
nicht.
Welches nun das 1. Paket ist, habe ich willkürlich festgelegt.

Insgesamt gibt es aber nur 8 unterschiedliche Paket-Anfänge (die ersten 
20 Bits), die mal für Ein-, mal für Ausschalten eines Buchstaben stehen.
Laut Handbuch gibt es 2^24 Möglichkeiten:
"" Zum Kodieren des Systems stehen 16.777.216 unterschiedliche Codes zur 
Verfügung, die zufällig zugeordnet werden. ""
Da die Pakete aber ohne den Footer nur 24 Bits lang sind, und die 
Information zum ein/ausschalten auch enthalten sein muss, stimmt diese 
Aussage schonmal nicht ganz.

Wie dem auch sei, was mir Kopfschmerzen bereitet, sind die ersten 20 
Bits. Da die ersten 4 Bits konstant sind, gehe ich davon aus, dass sie 
eine Art Header bilden, ob sie zu einem eindeutigen Code meiner 
Fernbedienung gehören, kann ich nicht sagen, da ich nur eine 
Fernbedienung besitze.
Ohne diese ersten 4 Bits sieht das also so aus:

0 1 0 0 0 0 1 1 0 1 0 0 0 1 1 0   = 17222 (dez.)
0 1 0 1 1 0 0 1 1 0 1 0 1 0 1 1   = 22955
0 0 1 1 1 0 1 0 0 0 0 0 0 1 0 1   = 14853
1 0 0 1 0 1 0 0 1 1 0 1 1 0 0 0   = 38104
1 0 1 0 1 1 1 0 1 1 1 1 1 1 0 1   = 44797
0 0 0 0 0 0 0 0 1 1 1 0 0 1 0 0   = 00228
0 1 1 1 0 1 1 0 1 0 1 1 1 1 1 0   = 30398
1 0 1 1 1 0 1 1 0 1 0 1 1 1 0 0   = 47964

Da der Steckdose zum Lernen bereits ein Paket genügt, muss in jedem 
dieser Ausschnitte die ID der Fernbedienung enthalten sein.
Jetzt die große Frage an die Kryptologen: Wie ist sie kodiert?

Vielen Dank im Voraus für die Beschäftigung mit diesem Problem und ich 
freue mich auf Antworten,
Henning

[Dennis H. (c-logic)]

http://simple-solutions.de/forum/viewtopic.php?f=15&t=260&start=15 ??

[Henning D. (henning_d)]

Hallo,

vielen Dank für deine Antwort!

Den verlinkten Thread habe ich ebenfalls gefunden. Allerdings handelt es 
sich um ein anderes Brennenstuhl-Protokoll, zumal es eindeutige 
On/Off-Bits gibt, die ich von meiner Fernbedienung nicht mitsniffen 
konnte. Außerdem gibt es nur eine Paket-Art, meine Fernbedienung sendet 
4 unterschiedliche.

[Dennis H. (c-logic)]

Ist die Reihenfolge korrekt ? So wie die Pakete angekommen sind ?

[Henning D. (henning_d)]

Die Reihenfolge der Pakete ist (wahrscheinlich) so richtig, d.h. beim 
ersten Drücken wird ein Paket beliebig oft hintereinander gesendet, beim 
zweiten Drücken (d.h. nach einen Loslassen) wird ein anderes Paket 
beliebig oft gesendet gesendet, welches hinter dem ersten steht usw.
Nach dem letzten kommt wieder das erste.
Beim monotonen Drücken eines Buttons wird nur jedes zweite Paket 
gesendet (siehe hier: pastebin.com/ujw202CD - wobei die Reihenfolge dort 
nicht richtig ist)
Ich überprüfe die Reihenfolge nochmal durch weitere Tests...

[Dennis H. (c-logic)]

Hatteste die Fernbedienung schonmal auf ?

[Henning D. (henning_d)]

Ja.
Ich hatte es auch schon geschafft, Knopf-Drücke zu simulieren. Das 
gefiel mir aber gar nicht, irgendwann fing dann auch die Fernbedienung 
an zu spinnen (vermutlich weil ich die Potentiale dieser merkwürdigen 
Matrix-Schaltung mangels theoretischer Kenntnisse durcheinander gebracht 
habe), jetzt funktioniert sie aber wieder ;)

Schalten kann ich die Steckdosen auch bereits über Funk mithilfe eines 
433Mhz Moduls, indem ich die aufgenommenen Codes einfach wieder sende.
Den Steckdosen scheint es auch egal zu sein, dass ich immer nur das eine 
Paket und nicht die anderen drei sende, mich interessiert aber dennoch, 
was ich dort genau sende und wie die ID der Fernbedienung lautet.
Und wozu die unterschiedlichen Pakete gut sind.

[Dennis H. (c-logic)]

Wegen dem "hatteste die Fernbedienung schonmal auf".
Würde mich interessieren welcher IC das realisiert.
Und so sinnvoll ist der Rotierende Code ja scheinbar nicht, wenn die 
Steckdose immer reagiert.

Bei Offener Fernbedienung könnt man mal vor den SAW-Generator mit einem 
Logikanalyser (o.ä.) dran.

[Henning D. (henning_d)]

Leider ist der 16-beinige IC nicht beschriftet. Was ich noch 
aufgezeichnet habe, ist die Beschaltung der Tasten:
https://ffp9cq.dm1.livefilestore.com/y2pyBR4uWOjtrwNzEQwAxq3H2RiazXIYIZh9bDEwXQeab2x9y3SJepkEzdO92KrIaU3g_CUd1m8OQAI8LDjmYr2hLDwZ9mLeBc9UkfzIlfqkZg/WP_20130819_002.jpg?psid=1

Die Fernbedienung steht dabei auf dem Kopf, die Nummern geben den Pin 
des ICs an.

Leider habe ich weder einen Logik Analyzer noch ein Oszilloskop, 
vielleicht kann ich das Signal aber mit einem μC abtasten.

[Dennis H. (c-logic)]

Schiesst das Ding am Signalausgang 12 Volt raus ?

[Dennis H. (c-logic)]

So richtig kann ich mir nicht vorstellen, daß das Protokoll so komplex 
sein soll.
Wie liest du es jetzt ein ?

[F. F. (foldi)]

Dennis Heynlein schrieb:
> So richtig kann ich mir nicht vorstellen, daß das Protokoll so komplex
> sein soll.
> Wie liest du es jetzt ein ?

Henning D. schrieb:
> Leider habe ich weder einen Logik Analyzer noch ein Oszilloskop

Sehr merkwürdiger Informationsgewinn.

[Dennis H. (c-logic)]

Jetzt sag nicht Scanner.

[Henning D. (henning_d)]

Ich habe die Pins des μC mal durchgemessen, entweder es liegt 3V oder 0V 
an. Leider kann ich nicht parallel messen und einen Knopf drücken ;)
Die Fernbedienung wird aber über eine 12V Batterie betrieben.

Zum Erfassen der Pakete habe ich anfangs das Debug-Tool des 
Pilight-Projekts (http://www.pilight.org/) verwendet, später habe ich 
dazu selbst ein Programm entwickelt, welches die gleichen Ergebnisse 
ausgibt.
Mit dem Autor des Pilight-Projekts habe ich bereits über dieses 
Protokoll diskutiert (http://www.pilight.org/showthread.php?tid=2). Da 
wir es nicht geschafft haben, die ID der Fernbedienung zu enträtseln, 
ist es nicht möglich gewesen, einen generischen Protokoll-Handler zu 
entwickeln - u.a. darum frage ich hier.


Zum Erkennen der Pakete nimmt das Programm mithilfe der LIRC-Bibliothek 
die Pulse-Längen des Ausganges eines 433-Mhz-Receivers auf (also der 
Zeitabstand zwischen zwei Flanken) und analysiert Wiederholungen und 
sucht nach Footern (also sehr langen Längen).
Die Pulse-Längen werden auf mehrfache von 295 normiert.
Ein Paket stellt den wiederholenden Abschnitt einer solchen Sequenz dar.

Da, wie ich bereits herausgefunden habe, das Brennenstuhl-Protokoll 
manchester kodiert ist, wird eine 0 durch ein langes, dann ein kurzes 
Signal kodiert, die 1 durch ein kurzes, dann ein langes Signal.
Bestätigt wird dies insbesondere durch die eindeutige Nummerierung der 
Buchstaben (C: 1, All: 2, B: 5, D: 6, A: 7), die konstant bei allen 4 
auftretenden Paketen ist.

Hier die Rohdaten, obwohl sie informationstechnisch gleichwertig zu den 
dekodierten Daten sind: http://pastebin.com/MMDnPVaM

>> Sehr merkwürdiger Informationsgewinn.

Meine Aussage oder die gesammelten Daten ohne diese Werkzeuge?

>> Jetzt sag nicht Scanner.

Hmm, was meinst du damit?

[F. F. (foldi)]

Henning D. schrieb:
> ohne diese Werkzeuge?

Das da.

Kauf dir mal einen AL für 10 Euro. Gibt es genug Links hier, wie man den 
crackt. Sigrok ist auch schon wieder weiter.

[Dennis H. (c-logic)]

Interessant. Feste Impuls-Länge von 5 Einheiten.
1 4 oder 3 2
Ich kucks mir in Excel grad an

[Dennis H. (c-logic)]

Sind da irgendwelche Adresspins auf der Fernbedienung selbst ?
Mäuseklavier oder so ?

[Henning D. (henning_d)]

1 4 bedeutet eben 1; 3 2 -> 0

Und wenn du mit Mäuseklavier soetwas meinst: 
http://siablog.de/files/2009/08/DIP-Switch.png
muss ich dich leider enttäuschen. Dann wüsste ich ja die (binäre) ID ;)

Übrigens: Vielen Dank für deine Mühe!

[F. F. (foldi)]

Guck doch mal auf diesen Seiten:
http://www.maltepoeggel.de/?site=usbfunk&p=3&lang=de

Da die bei, 
http://www.steckerchecker.de/die-praktischen-features-der-steckerchecker-app/
alles mit einer App steuern, müssen die Protokolle wohl gleich sein.

[F. F. (foldi)]

Hier würde ich auch noch mal suchen:
http://www.fhemwiki.de/wiki/Hauptseite

[Henning D. (henning_d)]

Die verlinkten Seiten werde ich mir gleich mal anschauen. Tatsächlich 
lässt sich auch ab und zu ein dritter Zustand erkennen.

Ich habe die Reihenfolge noch einmal überprüft, jetzt sollte sie 
stimmen: http://pastebin.com/VayxBvU1

Die Reihenfolge ist jetzt so, dass, egal welche Taste ich auf der 
Fernbedienung drücke, immer ein Paket gesendet wird, welches um 1 größer 
ist, beispielsweise:

Device: A Status: Off Package Number: 4
Device: A Status: Off Package Number: 1
Device: A Status: Off Package Number: 1
Device: A Status: Off Package Number: 1
Device: A Status: Off Package Number: 2
Device: A Status: Off Package Number: 2
Device: B Status: Off Package Number: 3
Device: B Status: Off Package Number: 3
Device: B Status: Off Package Number: 3
Device: B Status: On  Package Number: 4
Device: B Status: On  Package Number: 4
Device: B Status: On  Package Number: 4
Device: B Status: On  Package Number: 1
Device: B Status: On  Package Number: 1
Device: C Status: On  Package Number: 2
Device: C Status: On  Package Number: 2
Device: C Status: On  Package Number: 2
Device: C Status: On  Package Number: 3
Device: C Status: On  Package Number: 3
Device: C Status: Off Package Number: 4
Device: C Status: Off Package Number: 4
Device: D Status: Off Package Number: 1
Device: D Status: Off Package Number: 1
Device: D Status: On  Package Number: 2
Device: D Status: On  Package Number: 2
Device: D Status: On  Package Number: 2
Device: D Status: On  Package Number: 3
Device: D Status: On  Package Number: 3
Device: D Status: On  Package Number: 4
Device: D Status: On  Package Number: 4
Device: D Status: On  Package Number: 1
Device: D Status: On  Package Number: 1

Ich habe die doppelt erkannten Pakete nicht entfernt.
Man sieht zumindest, dass nur nach einem Loslassen der Counter erhöht 
wird.

In dem Pastebin-Abschnitt, wo die Pakete nach Anfang geordnet sind, 
lassen sich interessante Muster erkennen...

[Frank (Gast)]

Hier steht auch Einiges dazu: 
http://www.simple-solutions.de/forum/viewtopic.php?f=15&t=260

[Dennis H. (c-logic)]

Henning:
Leider geht das nicht auf.
"1 4 bedeutet eben 1; 3 2 -> 0"

Mit Excel ist mir ein Drittes Symbol aufgefallen.
"2 4"

Aber wie ich sehe hast du dein Problem gelöst.

[Henning D. (henning_d)]

Gelöst habe ich es leider immer noch nicht, zum Erkennen habe ich die 
bereits aufgezeichneten Pakete verwendet. Das Problem bei dem dritten 
Symbol ist, dass es sich nur kaum vom ersten unterscheidet, und das 
debug Tool, mit dem ich die Pakete aufgezeichnet habe, rundet auf 
vielfache von 295 - wodurch das dritte Symbol schnell zum ersetn wird. 
Deswegen will ich jetzt mit meinem eigenen Record-Tool erneut Pakete 
aufzeichnen.

[Dennis H. (c-logic)]

Das dritte Symbol ist aber zu Eindeutig ein eigenes :)
Das kannste nicht unter den Tisch fallen lassen.

[Dennis H. (c-logic)]

Was ist denn, wenn die Lückenzeit die Information enthält ?

[Henning D. (henning_d)]

Nachdem ich jetzt ca. 190 Messungen mit meinem Debug-Tool durchgeführt 
habe (pro Zustands also ca. 19 Messungen, pro Zustands-Paket etwa 5), 
bei dem die Werte nicht auf Vielfache von 295 gerundet werden, ist das 
dritte Symbol nicht mehr zu finden (http://pastebin.com/nPsYKD7M wenn 
jemand die Werte in einem anderen Format haben will, bitte melden).

Ich habe mal alle Werte zusammengefasst, die in das selbe Intervall mit 
einer Länge von 80 fallen und jeweils den Mittelwert gebildet:

443.052481256694 (Σ: 2801, σ: 4.271292933725446)
1083.9935783089547 (Σ: 2803, σ: 5.415385002320137)
941.3099762470309 (Σ: 1684, σ: 4.378349915257277)
587.4821852731592 (Σ: 1684, σ: 5.392353253393124)
2953.379679144385 (Σ: 187, σ: 4.870539385709441)
7123.026737967914 (Σ: 187, σ: 6.084461804909552)
332 (Σ: 1, σ: 0)
1127 (Σ: 1, σ: 0)
386 (Σ: 2, σ: 12)

Wenn ich nach den selben Regeln jeweils zwei aufeinanderfolgende Pakete 
zusammenfasse, ergibt sich:
443.052481256694, 1084.00856836844 (Σ: 2801)
941.3172905525847, 587.4842543077838 (Σ: 1683)
2953.379679144385, 7123.026737967914 (Σ: 187)
929, 584 (Σ: 1)
332, 1084 (Σ: 1)
386, 1084.5 (Σ: 2)

Die Werte mit Σ < 3 führe ich einfach mal auf die Ungenauigkeit von LIRC 
zurück.

Es gibt also die Folge 443, 1084 (=> 1) und 941, 587 (=> 0) und 2953, 
7123 (=> Header/Footer).

Ich habe hier mal die 4 Pakete von All On visualisiert, wo man auch sehr 
genau sieht, dass die Summe von zwei Pulses immer konstant ist:
http://test.sui.li/oszi/img/16a75eac1d08df2332f4bb87050b2bf3.png
http://test.sui.li/oszi/img/033da4f4d344386aedb86cf0aa9498e6.png
http://test.sui.li/oszi/img/de55022c23f5d14dc67d673227923676.png
http://test.sui.li/oszi/img/206ed11c5b7359f5a8e195e2d984d01c.png
(http://test.sui.li/oszi/ ist übrigens ein sehr interessantes Tool)

[Dennis H. (c-logic)]

Kann das sein, daß bei Kanal D und All die Daten verdreht sind ON <-> 
OFF ?

[Henning D. (henning_d)]

Das scheint alles sehr verdreht zu sein, schon hier 
(http://pastebin.com/VayxBvU1) unten, wo ich die Pakete nach ihrem 
Anfang sortiert habe, fällt Z (=All) und D heraus und sind "verdreht". 
(Ich habs als Z kodiert, damit All nicht so ins Auge sticht.)

Übrigens scheint das "Conn Air Home Automation Gateway" aus diesem 
Thread 
(http://www.simple-solutions.de/forum/viewtopic.php?f=15&t=260&start=255) 
tatsächlich das Brennenstuhl RC 3600 Protokoll zu sprechen: Ein Benutzer 
am Ende, dem ich auch schon geantwortet habe, hat ein Paket mitsniffen 
können (ich habe es mal in die Binärdarstellung konvertiert):
Für ein:
0,1,1,0,0,0,0,0,0,1,1,0,0,0,1,1,1,1,0,1,1,0,0,0 + Header
Für aus:
0,1,1,0,0,0,0,1,1,0,1,0,1,0,0,0,1,0,0,0,1,0,0,0 + Header

Meine Steckdosen lassen sich damit sogar anlernen. Ich kann sogar ein 
Bit am Anfang ändern, ich muss es dann aber an beiden Paketen ändern, 
damit es noch funktioniert.
Zum Anlernen braucht die Steckdose ein An-Signal.
Ich werde mal noch etwas damit herumspielen, bis ich ein paar 
Möglichkeiten durchprobiert habe, kann es aber noch etwas dauern, da das 
Anlernen mit ca. 6 Sekunden löschen und 4 Sekunden neu aufnehmen doch 
recht lange braucht.

Ich habe übrigens den Brennenstuhl-Support mal angeschrieben, leider 
können die mir nicht weiterhelfen ;)

[Dennis H. (c-logic)]

Wir bräuchten mehr Pakete :)

[Henning D. (henning_d)]

Ich habe durch Brute-Force ein weiteres Paket-Paar gefunden:
An:
1, 0, 0, 0, 1, 1, 1, 1, 1, 1, 1, 0, 1, 1, 1, 0, 1, 0, 1, 0, 1, 1, 1, 0

Aus:
1, 0, 0, 0, 1, 1, 1, 0, 0, 1, 1, 1, 0, 1, 0, 0, 0, 1, 0, 0, 1, 1, 1, 0

Leider dauert die Suche nach Aus-Paketen sehr lange (für dieses eine 
Paket habe ich 16.000 andere gesendet)...
Da ich jede meiner drei Steckdosen mit je drei Codes programmieren kann, 
es 4 mögliche Aus-Pakete gibt und die letzten 4 Bits (wahrscheinlich) 
bekannt sind, ist die Wahrscheinlichkeit eines Aus-Pakets 1 zu 30.000.
Leider kann ich nur 4 Pakete pro Sekunde senden (mit je 4 
Wiederholungen), sodass ich wahrscheinlich gerade mal alle 2 Stunden ein 
neues Paket entdecke.
Hinzu kommt, dass ich programmiertechnisch nicht feststellen kann, ob 
die Schaltung erfolgreich war.
Billig-Netzteile habe zwar wie Sand am Meer, nur weiß ich leider nicht, 
wie ich eine sichere Schaltung baue, um per GPIO die externen 
Stromkreise zu überwachen. Reicht es, die Massen aller Netzteile zu 
verbinden und jeweils über einen Spannungsteiler den Plus-Pol an einen 
GPIO Pin anzuschließen?
Als Plattform nutzte ich den Raspberry Pi und möchte ihn nur äußerst 
ungern kaputt machen.

[Henning D. (henning_d)]

So, ich habe jetzt neue Daten, die vielleicht weiterhelfen.
Nachdem mein Programm nun 3 Tage lang zufällige Pakete gesendet, um am 
Ende doch alle 2^20 Kombination ausprobiert hat, habe ich 36 Pakete 
entdeckt, die insgesamt drei Steckdosen ausschalten, wobei jede mit 3 
On-Codes programmiert wurde.

Hier die Codes mit einer Analyse:
http://pastebin.com/Jh2tzFFT

Als nächstes werde ich nach den weiteren On-Paketen suchen. Immerhin 
kann ich die Such-Reihenfolge schon etwas optimieren (also nicht mehr 
ganz zufällig), da die ersten 4 Bits vorhersehbar zu sein scheinen.

[Henning D. (henning_d)]

Die On-Codes habe ich jetzt auch herausgefunden, und alles nochmal 
einzeln getestet.

Hier die vollständige Liste:
http://pastebin.com/RgQ4VCyw

Mit den alten Paketen (http://pastebin.com/VayxBvU1) kommen jetzt schon 
ein paar Pakete zusammen...

[derchrome (Gast)]

Moin moin, ich bin auch grade dabei ein wenig mit dem Protokoll zu 
experimentieren, aber irgendwie bekomme ich die Steckdosen nicht 
geschaltet.

Womit hast du die geschaltet? Mit Pilight?

Gruß
Raimund

[Henning D. (henning_d)]

Hallo,

ja, ich hab das mit Pilight geschaltet. Musste dazu aber ein 
benutzdefiniertes Paket versenden, welches ich vorher aufgezeichnet 
habe.
Da ich außerdem noch eine json-Schnittstelle haben wollte, habe ich 
letztendlich ein eigenes Tool geschrieben.
Wenn Interesse besteht, kann ich das veröffentlichen.

Grüße,
Henning

[derchrome (Gast)]

Oh ja bitte!

[Lukas R. (Gast)]

Henning D. schrieb:
> ja, ich hab das mit Pilight geschaltet. Musste dazu aber ein
> benutzdefiniertes Paket versenden, welches ich vorher aufgezeichnet
> habe.
> Da ich außerdem noch eine json-Schnittstelle haben wollte, habe ich
> letztendlich ein eigenes Tool geschrieben.
> Wenn Interesse besteht, kann ich das veröffentlichen.


Hallo!
Wäre es möglich das aufgezeichnete benutzerdefinierte Paket zu bekommen? 
Habe nur eine einzelne unprogramierte Dose ohne Fernbedienung...
Danke!
Lukas

[Daniel (Gast)]

Habe auch solche Steckdosen von Brennenstuhl mit den 4 rollenden Codes. 
Hat irgendwer es noch mal weiter probiert einen Sinn hinter den on- und 
off-codes zu finden?

[Henning D (Gast)]

Nope. Habe inzwischen meinen Informatik Bachelor und Master gemacht und 
hab immer noch keine Ahnung, wie der Code funktioniert. Ich schätze, es 
braucht einen Doktor dazu... Ich denke, es wäre einfacher, andere 
Steckdosen zu kaufen. Mittlerweile sollten sogar WLAN Steckdosen 
einigermaßen erschwinglich sein.