Firmware

Die Firmware eines Carrera HYBRID-Autos ist das Programm, das auf dem Funkchip im Auto selbst läuft. Sie empfängt die Befehlspakete per Bluetooth Low Energy, setzt die Zielwerte für Gas und Lenkung in Motor- und Servobewegungen um, liest den Streckensensor aus, hält das Auto in einer bestimmten Betriebsart selbst auf der Bahn und meldet seinen Zustand an die App. Die Firmware stammt vom Hersteller und ist nicht offengelegt; alles in diesem Artikel ist aus Mitschnitten des Funkverkehrs der Original-App, aus Fahrversuchen mit OmegaSim und aus dem Abgleich mit einer unabhängigen Protokollbeschreibung („seVen“) erschlossen. Was belegt ist und was nicht, steht jeweils dabei.

Ein Gerät wie das HYBRID-Auto hat keinen „Computer“ im üblichen Sinn, sondern einen Mikrocontroller: einen kleinen Chip mit Prozessor, Speicher und Funkteil. Das fest gespeicherte Programm darauf heißt Firmware („feste Ware“, zwischen Hardware und Software). Sie läuft ab dem Einschalten in einer Schleife: Funkpakete annehmen, Sensor lesen, Motor und Servo stellen, Meldung senden. Vermutet wird ein Chip der Familie Nordic nRF52, weil das Auto zwei typische Nordic-Dienste anbietet (Nordic UART Service und Nordic Secure DFU); gesichert ist der Chiptyp nicht.

Die App schickt keine Motorspannung, sondern einen Zielwert: „so viel Gas“, „so viel Lenkung“. Wie schnell das Auto diesen Wert erreicht, wie stark es beschleunigt und wie es Grip findet, entscheidet ein Regler in der Firmware. Ein Regler vergleicht ständig Soll und Ist und stellt nach. Deshalb sind zwei Autos mit gleicher Firmware und gleichem Befehl gleich schnell, auch wenn die App unterschiedlich ist.

OTA („over the air“) heißt: Die Firmware wird per Funk ausgetauscht, ohne Kabel. DFU (Device Firmware Update) ist das Verfahren dafür. Bei Nordic-Chips startet ein Schreibbefehl auf einen bestimmten Kanal einen Bootloader, ein kleines Startprogramm, das die neue Firmware entgegennimmt, prüft und einspielt. Ein falscher Befehl auf diesem Kanal kann das Auto in den Update-Modus versetzen.

Die Befehle sind Folgen von Bytes, meist hexadezimal geschrieben (0x20 = 32 = 0010 0000). Ein einzelnes gesetztes Bit kann eine ganze Betriebsart umschalten; Einzelheiten in Carrera HYBRID#Grundlagen und Hexadezimalsystem.

Mit OmegaSim lässt sich die Firmware weder auslesen noch aktualisieren. Was man tun kann:

1. Den Firmware-Stand in der Original-App des Herstellers prüfen und dort Updates einspielen.
2. Nach einem Update in OmegaSim prüfen, ob Streckencodes noch ankommen: Entwickler → Doku/Monitor (Zeitleiste der Mustercodes) oder einfach eine Runde fahren und auf die Rundenzählung achten.
3. Bei Auffälligkeiten den Selbsttest laufen lassen (Entwickler → Selbsttest) und das Ergebnis mit dem Datum des Updates melden (siehe Mitmachen).
4. Den DFU-Kanal im BLE-Explorer (Entwickler → BLE-Werkbank) nicht beschreiben. Der Explorer fragt vor jedem Schreibzugriff dort nach.

OmegaSim hat keine Einstellungen für die Firmware. Folgende Optionen wirken aber auf Firmware-Funktionen, weil sie Bytes setzen, die die Firmware auswertet:

• der Versionsstand der eigenen Autos (wird nicht ausgelesen)
• ob die Bytes 8, 10 und 12 des Befehls (nach seVen Fahrstil, Fahrassistent, Hersteller) das Fahrverhalten im Auto ändern
• ob die Meldung ein gemessenes Tempo enthält (nach seVen Byte 14)
• die genaue Rückwärtsgrenze (nach seVen Byte 0x80)
• wie die Firmware aus einem Strichcode die gemeldete Zahl bildet
• mit welchem Verfahren das letzte Byte der Meldung gebildet wird (eine CRC-8 wie beim Befehl ist es nach Nachrechnung nicht)
• was das Auto tut, wenn keine Befehle mehr kommen; ein sicherer Halt ist vermutet, nicht gemessen
• ob die Firmware im Selbstführungsmodus den Lenkwert als gewünschte Querlage auf der Fahrbahn deutet oder weiter als Radwinkel (siehe unten)
• ob ein künftiges Update das Protokoll ändert

Die interne Dokumentation hält fest, dass sich die Firmware während der Untersuchung schon einmal geändert hat, mit unbekannter Auswirkung; Messungen zu Strichcodes tragen deshalb ein Datum.

Die App sendet zwei Werte: Gas um 0xDF und Lenkung −127 … +127 (Byte 6 und 7). Alles Weitere entscheidet die Firmware. Daraus folgt für OmegaSim:

• Ein eigenes Fahrmodell kann nur über diese zwei Bytes wirken. OmegaSim rampt das Gas über die Zeit hoch, rechnet Gänge, Reifen und Reibkreis und schneidet den Lenkwert, aber nichts davon erreicht das Auto anders als über Byte 6 und 7 (siehe Fahrverhalten).
• Unterschiede zwischen Autos (Akku, Mechanik) bleiben, weil die Firmware keine Tempo-Rückmeldung liefert, nach der die App regeln könnte.

Das Auto bietet den Dienst Nordic Secure DFU an (0000fe59-0000-1000-8000-00805f9b34fb). Im Mitschnitt vom 13.08.2026 erscheint darunter das Merkmal 8ec90003-f315-4f60-9fb8-838830daea50 mit dem Eigenschaftsbyte 0x28 (schreiben und Indication), der „Bootloader-Trigger“ des Nordic-Verfahrens. Über ihn kann der Hersteller mit seiner App neue Firmware aufspielen.

OmegaSim spielt keine Firmware auf. Die vier DFU-UUIDs stehen in DANGER_UUIDS; der BLE-Explorer färbt sie rot und fragt vor jedem Schreiben ausdrücklich nach^[1]:

// src/10-ble-explorer.js, Merkmalsliste des BLE-Explorers
if (isDanger && !confirm(
  'Das ist der Nordic Secure DFU / Bootloader-Kanal für Firmware-Updates, ...\n' +
  'Ein falscher Schreibzugriff kann das Auto in den Update-Modus versetzen ' +
  'oder die Firmware beschädigen.\n\nWirklich trotzdem schreiben?'
)) return;

Der normale Fahrbetrieb berührt den DFU-Dienst nie: Die Garage fordert beim Verbinden nur den Nordic UART Service an (optionalServices: [NUS_SERVICE]).

„Selbst fahren“ hat zwei Bedeutungen, und beide treffen sich in der Firmware.

In der Leseart „Auf der Bahn“ hält sich das Auto selbst auf der Bahn. Die Original-App schaltete im Leitplanken-Modus zusätzlich einen Vorausblick ein. Aus den Mitschnitten ergeben sich folgende Paketfelder für die Selbstführung^[2]:

Die Querregelung geschieht im Auto: Das Protokoll enthält keine Meldung der Querlage, und bei einem Meldetakt von rund 69 ms (14,6 Hz) könnte die App ohnehin nicht schnell genug nachregeln. Byte 10 ist nach den Mitschnitten nicht das, was das Lesen von Codes freischaltet: In einer Aufnahme vom 21.08. sendete die Original-App 0x60 und bekam 463 Codes.

OmegaSim setzt diese Bytes (car.modeBytes) in drei Lagen: für NPCs (der Leitplanken-Modus ist bei ihnen fest eingeschaltet), für das Spielerauto unter Autopilot oder Fahrhilfe, und beim Streckenscan. Es nimmt sie zurück, sobald das Auto die Bahn nicht mehr liest (entprellt über abseitsJetzt(), ab Werk 1 s): Dann deutet das Auto den Lenkwert wieder als Radstellung, und der Fahrer kann selbst zurück auf die Bahn lenken.

Noch nicht gesichert ist, wie die Firmware den Lenkwert im Selbstführungsmodus genau deutet. Der Code von OmegaSim nimmt an, dass er dort eine gewünschte Querlage bedeutet; CARRERA_HYBRID.md weist darauf hin, dass das nie gemessen wurde. Der „Querlage-Prüfstand“ in den NPC-Optionen schickt deshalb einen festen Wert direkt auf Byte 7, damit sich am Auto prüfen lässt, ob es neben der Mitte bleibt.

In zwei Rennlagen ersetzt OmegaSim die Eingabe des Fahrers, statt sie nur zu formen. Entschieden wird das in autopilotGrund()^[3]:

Der Autopilot fährt über synthetische Eingaben in physicsStep(), nicht über einen zweiten Sender: Zwei Sender auf demselben Merkmal würden sich um den 45-ms-Takt streiten. Unter Autopilot gehen Fahrgefühl-Faktor und Akku-Ausgleich nicht ins Gas ein, damit das Spielerauto genau so schnell fährt wie die NPCs.

seVen hat eine byteweise Beschreibung des HYBRID-Protokolls geteilt. In den tragenden Teilen stimmt sie mit den eigenen Messungen überein: Rahmenlänge, Rahmenkennung 0xAF, Byte 6 Tempo um 0xDF, Byte 7 Servo, Byte 11 Zähler, Byte 12 Kachelcode. Die sieben Abweichungen aus CARRERA_HYBRID.md^[4]:

Umgekehrt fehlte in seVens Beschreibung, dass der Sensor zwei Codetabellen hat, je eine pro Leseart.

Zur dritten aufgezeichneten Prüfsumme nennen die Quellen zwei Werte: CARRERA_HYBRID.md schreibt 0x83, der Kommentar in src/20-protocol.js 0xE0. Welcher Wert zu welchem Paket gehört, ist hier nicht nachgeprüft.

Leerlaufpaket der Original-App: AF 00 00 00 00 00 DF 00 80 00 60 00 01 00 82 04 00 00 00.

1. CRC-8 nach OmegaSim: Startwert 0xFF, über 19 Byte gerechnet → 0x33. Das ist die aufgezeichnete Prüfsumme; die Firmware nimmt das Paket an.
2. XOR über dieselben 19 Byte (seVen): 0xAF ⊕ 0xDF ⊕ 0x80 ⊕ 0x60 ⊕ 0x01 ⊕ 0x82 ⊕ 0x04 = 0x17. Das passt nicht zur Aufzeichnung.
3. Byte 14 = 0x82 = 1000 0010: Bit 7 (Ausdruck) und Bit 1 (Scheinwerfer). Diese Aufzeichnung stammte also aus der Stellung „Ohne Bahn“; auf der Schiene hätte das Auto damit nichts gelesen.

Ein NPC im Leitplanken-Modus, Gas 0,55 (Δ 70), Lenkung 0, Licht an, nächste drei Teile Gerade, Rechtskurve, Rechtskurve:

1. Byte 6 = (0xDF + 70) mod 256 = 293 − 256 = 37 = 0x25.
2. Byte 10 = 0x20, Byte 15 = 0x0C (statt 0x60/0x04).
3. Byte 14 = Bahn 0x20 | Scheinwerfer 0x02 = 0x22.
4. Bytes 16–18 = 02 04 04.
5. Der Rest wie beim Spielerpaket, dann CRC-8.

Fährt dieser NPC von der Bahn (Byte 12 0x00 länger als die Entprellzeit), setzt OmegaSim modeBytes auf null, und das nächste Paket hat wieder 0x60/0x04 und Nullen in 16–18.

Heute: Δ min −64 → Byte 0x9F. Vorschlag: Δ −95 → 223 − 95 = 128 = 0x80, genau der Bereichsanfang nach seVen. Der Rückwärtsweg wüchse von 64 auf 95 Stufen, also um (95 − 64) / 64 = 48 %. Δ −96 ergäbe 0x7F und läge schon außerhalb des beschriebenen Rückwärtsbereichs.

• OmegaSim kann nach einem Firmware-Update des Herstellers unbrauchbar werden; die Lizenzseite der App weist darauf hin.
• Alle Aussagen gelten für den Stand August 2026. Ein Update kann Codetabellen, Byte-Bedeutungen oder die Prüfsumme ändern.
• Ohne Versionsabfrage lassen sich Fehlermeldungen von Nutzern nicht einem Firmware-Stand zuordnen.
• Die Selbstführung ist eine Black Box: Wie stark die Firmware den Lenkwert berücksichtigt, ist offen; ein Versuch dazu (Versatz 0 % gegen 100 %, Abgänge und Rundenzeiten zählen) ist in der Doku beschrieben, aber nicht ausgewertet.

• Carrera HYBRID
• Original-App
• Strecke
• OmegaBle
• Fahrverhalten
• NPC-Fahrverhalten
• Safety Car und Reinigungswagen
• Glossar

• src/10-ble-explorer.js: KNOWN_UUIDS, DANGER_UUIDS, crc8(), MIN_THROTTLE_DELTA
• src/20-protocol.js: buildCommandPacket(), TRACK_BIT_RAIL, TRACK_BIT_PRINT
• src/60-track.js: AUTO_MODE, RAIL_MODE, isStartCode()
• src/50-drive.js: autopilotGrund(), abseitsJetzt(), offtrackEinMs
• src/90-ghosts.js: ghostLookahead(), Zuweisungen von car.modeBytes
• src/70-race.js: ZIEL_SPERRE_BIT, AKKU_LEER
• CARRERA_HYBRID.md, tools/parse_btsnoop.py (die Mitschnitte selbst sind nicht im Repository)

• Browserfassung, Android-App und Quellcode: Links auf der Hauptseite