Es sind noch ein paar ausgetauschte Funkmodule zum Ei605C-D Rauchwarnmelder dazugekommen: Ei605MRF-D, Ei650M und die neuere Variante Ei600MRF. Da der TO bisher nur eine offensichtlich falsche Messung mit dem Oszilloskop auf der Vernetzungsleitung gemacht hat und bei der Funkkommunikation spekuliert habe ich mir den Funk etwas genauer angesehen. Die Funkmodule basieren auf einem PIC und einem TI/Chipcon RF Transceiver (PIC16F684 bzw. CC1000 bei den Ei605MRF und Ei650M, PIC16LF1936 bzw. CC1101 beim Ei600MRF). Das Bild im Anhang ist von einem Ei605MRF, Quelle ist die Dokumentation bei der FCC.
Das Auslesen des Codes ist bei den PICs gesperrt, man kann aber auf den EEPROM zugreifen. Dort steht nicht sehr viel, es werden dort sehr wahrscheinlich nur die Adressen der bei der "Hauscodierung" angelernten Funkmodule gespeichert (4 Byte je Adresse). Den Funk kann man per SDR beobachten oder auch in dem man sich die Kommunikation zu dem RF Transceiver mit einem Logic-Analyzer anschaut.
Bei der "Hauscodierung" (Anlernen der beteiligten Funkmodule) sind die Funkmodule dauernd auf Empfang und senden alle paar Sekunden ihre eigene Adresse.
Im normalen Betrieb der Warnmelder schalten die Funkmodule nur etwas alle 3 Sekunden kurz auf Empfang und sind ansonsten im "Power-Down" Modus. Falls ein Funkmodul etwas zu senden hat (z.B. weil es einen Alarm gibt oder der Test-Button gedrückt wurde) wird zuerst ein ca. 3.5 Sekunden langes "Wakeup" Signal geschickt um sicherzustellen dass das alle anderen Module mitbekommen und auf Empfang gehen. Dann kommt nach einer kurzen Pause ein ca. 1 Sekunde langes Kommando. Funkmodule die das Kommando empfangen haben senden scheinbar teilweise auch ein "Acknowledge" nach einer Pause, das habe ich aber nicht genauer untersucht.
Die Datenrate zum RF Transceiver beträgt 19200 Baud (RF Frequenz ist 868.499MHz, FSK Modulation), wobei der Transceiver für Manchester Kodierung konfiguriert ist, auf der Funkschnittstelle sind es also 38400 Baud. Während der langen Sendezeiten (3.5 Sekunden bzw. 1 Sekunde) wird ständig eine relativ kurze Datenfolge wiederholt, die ist ca. 10 ms lang (ca. 200 Bits).
Bei einem empfangenen Alarm oder Test wird vom Funkmodul die Batteriespannung des Melders auf den Eingang für die Vernetzung gelegt, also per "High" Pegel ein Alarm beim Melder ausgelöst.
Und noch kurz zum Ei603TYC-D Hitzewarnmelder: dort ist ein A5348 von Allegro MicroSystems verbaut, der ist zwar für Ionisationsrauchmelder gedacht, kann aber auch mit einem Thermistor als Hitzewarnmelder beschaltet werden. Auch für den A5348 gibt es das Datenblatt und auch bei dem wird auf der Vernetzungsleitung per "High" Pegel ein Alarm signalisiert ohne irgendwelche Datenpakete.