概述

　　1、了解它的硬件

　　2,、弄清楚如何與它交談

　　3、轉(zhuǎn)儲其庫存固件

　　4,、讓它運行自定義代碼,，最好利用它：

　　GPIO 引腳（用于輸入和輸出）

　　彩色顯示

　　藍(lán)牙低功耗 （BLE） 功能

　　硬件介紹

　　拆開塑料外殼,，我們看到了一些有趣的東西：

　　Telink TLSR8232芯片系統(tǒng)（SoC）

　　0.96 英寸（160x80 像素）彩色顯示屏

　　一個約 100 mAh 的微型鋰電池和 USB 充電電路

　　振動電機

　　一個（最有可能的）假心率傳感器

　　核心組件

　　印刷電路板全圖

　　M6中的SoC是Telink TLSR8232（數(shù)據(jù)表），規(guī)格如下：

　　32位中央處理器：封閉式架構(gòu)（通常稱為tc32,，類似于ARM9,，關(guān)于它的介紹并不多）和24 MHz 時鐘速度；

　　16kB 的 SRAM,；

　　512kB 內(nèi)部閃存,；

　　用于低功耗模式的 32kHz 板載振蕩器；

　　用于調(diào)試和編程的 SWS（Single Wire Slave）接口,；

　　集成藍(lán)牙低功耗 （BLE） 收發(fā)器,；

　　低功耗運行（據(jù)稱在深度睡眠中約為 2 uA）；

　　幸運的是,，就在幾個月前,，研究人員在其破解的小米溫度計中看到了Telink芯片。此時,，我用@atc1441 的替代固件重新刷了它,。盡管它是不同的 SoC 模型，但這給了我一點希望和一個有價值的起點,。

　　焊盤

　　焊盤 （Exposed-Pad）,，有些封裝具有裸露焊盤，用來改善器件散熱的焊盤,。通常為非電氣絕緣，可根據(jù)電連接要求將其接地或電源,。

　　印刷電路板底部

　　印刷電路板底部

　　除了萬用表,、數(shù)據(jù)表，我什么也沒有,，我試圖找到這些焊盤的連接位置,。這就是我想出的：

　　單線（又名 SWire 或 SWS）接口

　　現(xiàn)在我們確定了手環(huán)的核心部件，如果你之前對 ESP32 進(jìn)行過編程,，你可能會依賴其引導(dǎo)加載程序并通過 UART 與它通信,。如果你之前編程或調(diào)試過 ARM 微控制器，你可能使用了 SWD（串行線調(diào)試）協(xié)議,。

　　在Telink-land 中,，類似的接口稱為Single Wire 或SWire。這就是應(yīng)用程序如何加載到其閃存中,、如何讀取和寫入內(nèi)存以及如何在運行時調(diào)試的方式,。

　　然而,，當(dāng)我們嘗試了解有關(guān)此界面的更多信息時，真正的挑戰(zhàn)才剛剛開始,。在現(xiàn)實世界中,，這些芯片是使用Telink官方的調(diào)試工具進(jìn)行調(diào)試的。

　　研究人員在找到存儲庫 TlsrTools 時,，其中有對 SWire 協(xié)議的兩頁描述,。這似乎是一個舊版本的Telink數(shù)據(jù)表的一部分，已經(jīng)被刪除,。

　　從 Pascal 到 Python

　　在編程/調(diào)試芯片時,，通常有三個活動部分：

　　我們要編程的目標(biāo)板

　　程序員硬件

　　與程序員通信的計算機軟件

　　計算機軟件的作用是向程序員硬件發(fā)送命令，并使其從目標(biāo)板讀寫數(shù)據(jù),。由于研究人員手邊沒有Windows設(shè)備,，所以我實現(xiàn)了一個基本的Python腳本，即 tlsr82-debugger-client.py,，它作為計算機軟件組件工作,。

　　我們現(xiàn)在可以使用這個 Python 腳本和 STM32 來解密 M6 手環(huán)中隱藏的信息。設(shè)置如下：

基于 STM32 的替代編程設(shè)置

　　SWire 規(guī)范

　　顧名思義,，單線用于在兩個設(shè)備之間來回傳輸數(shù)據(jù),。在我們的例子中，STM32 編程器（主）和目標(biāo)板（附屬）,。沒有像 SPI 或 I2C 那樣單獨的時鐘線,。單線拓?fù)湓试S兩個設(shè)備通信，但它們不能同時通信,。換句話說,，我們可以將 SWire 稱為異步、半雙工接口,。

　　這意味著：

　　異步：由于沒有共享時鐘,，兩個設(shè)備必須以某種方式采用兼容的讀寫速度；

　　半雙工：每個設(shè)備必須知道什么時候應(yīng)該監(jiān)聽消息,，什么時候允許傳輸消息,。

　　為了實現(xiàn)協(xié)調(diào)，SWire 協(xié)議將責(zé)任歸屬于主盤和附屬設(shè)備,。主盤負(fù)責(zé)發(fā)起通信并管理數(shù)據(jù)傳輸之間的總線邏輯層,。從盤負(fù)責(zé)在預(yù)期的時間發(fā)送數(shù)據(jù)。下面我將一些真實世界的例子放在一起,，以便更清楚地說明這一點,。

　　發(fā)送單個位

　　首先要注意的是位是如何在線路中編碼的。每個位以五個時間單位傳輸：

　　要發(fā)送 0，請保持 1 個單元的低電壓和 4 個單元的高電壓,；

　　要發(fā)送 1,，保持低電壓 4 個單位時間和高電壓 1 個單位；

　　具體來說,，這是我用邏輯分析儀捕獲的真實 SWire 傳輸：

　　SWire 中 0 和 1 的示例

　　在上面的截圖中,，標(biāo)記為 25 和 26 的標(biāo)志之間有 8 位正在傳輸，但是很難解碼,。

　　發(fā)送單個字節(jié)

　　我們現(xiàn)在知道為了傳輸一個完整的字節(jié),，SWire 協(xié)議規(guī)定需要 9 位：

　　位 1：cmd 位。0 指定消息包含數(shù)據(jù),，1 指定消息是命令,；

　　位 2-8：消息內(nèi)容（8 位）；

　　低級別的一個時間單位表示消息結(jié)束,；

　　另外,，讓我們看一下 0xb0 字節(jié)的真實示例傳輸：

在 SWire 中發(fā)送一個字節(jié)的示例

　　發(fā)送最后一個低級別后，總線被釋放并恢復(fù)到其自然高電壓,。換句話說,，SWire 數(shù)據(jù)總線被拉高。

　　寫入請求

　　如上所述,，單個位和字節(jié)是如何在線路中編碼的,。接下來，我們來看看SWire協(xié)議是如何指定要寫入特定地址的字節(jié)的,。在該示例中,，主盤希望將一個字節(jié)b寫入從盤內(nèi)存中的地址addr。

　　為此,，主盤必須發(fā)送一個字節(jié)序列,，每個字節(jié)都按照上一節(jié)所述進(jìn)行編碼：

　　START字節(jié)，這個值總是 0x5a,；

　　目標(biāo)addr的最高有效8位,；

　　目標(biāo)addr的最低有效8位；

　　RW_ID字節(jié),，最重要的位應(yīng)該設(shè)置為0，用于寫入操作,；

　　字節(jié)值 b,；

　　END字節(jié)，它的值始終為 0xff,；

　　讓我們看看下面的例子：

　　在 SWire 中寫入數(shù)據(jù)的示例

　　在這個例子中,，我們可以看到字節(jié) 0x05 被寫入從盤的內(nèi)存地址 0x0602。

　　SWire 協(xié)議的變體

　　值得注意的是,，至少存在一個SWire協(xié)議的變體,。在另一種變體中,，主盤在 START 字節(jié)之后發(fā)送 3 個字節(jié)的 addr，而不是在我們的 SWire 協(xié)議中僅發(fā)送兩個字節(jié),。例如,，Telink 的 TLSR8251 SoC 中采用了 3 字節(jié)變體，用于我們上面提到的小米溫度計,。在 ATC_MiThermometer 存儲庫中基于 Python 的閃光器中,，我們可以看到在從主盤到從盤的讀/寫請求中指定了 3 個字節(jié)的 addr。

　　寫入多個字節(jié)

　　這是寫入單個字節(jié)要花費的能力,，幸運的是,，該協(xié)議讓我們一次寫入多個數(shù)據(jù)字節(jié)。為此,，主盤只需發(fā)送一個字節(jié)序列,，而不是像上面示例中的單個字節(jié)。