概述

　　1、了解它的硬件

　　2、弄清楚如何與它交談

　　3、轉(zhuǎn)儲(chǔ)其庫(kù)存固件

　　4、讓它運(yùn)行自定義代碼，最好利用它：

　　GPIO 引腳（用于輸入和輸出）

　　彩色顯示

　　藍(lán)牙低功耗 （BLE） 功能

　　硬件介紹

　　拆開塑料外殼，我們看到了一些有趣的東西：

　　Telink TLSR8232芯片系統(tǒng)（SoC）

　　0.96 英寸（160x80 像素）彩色顯示屏

　　一個(gè)約 100 mAh 的微型鋰電池和 USB 充電電路

　　振動(dòng)電機(jī)

　　一個(gè)（最有可能的）假心率傳感器

　　核心組件

　　印刷電路板全圖

　　M6中的SoC是Telink TLSR8232（數(shù)據(jù)表），規(guī)格如下：

　　32位中央處理器：封閉式架構(gòu)（通常稱為tc32，類似于ARM9，關(guān)于它的介紹并不多）和24 MHz 時(shí)鐘速度；

　　16kB 的 SRAM；

　　512kB 內(nèi)部閃存；

　　用于低功耗模式的 32kHz 板載振蕩器；

　　用于調(diào)試和編程的 SWS（Single Wire Slave）接口；

　　集成藍(lán)牙低功耗 （BLE） 收發(fā)器；

　　低功耗運(yùn)行（據(jù)稱在深度睡眠中約為 2 uA）；

　　幸運(yùn)的是，就在幾個(gè)月前，研究人員在其破解的小米溫度計(jì)中看到了Telink芯片。此時(shí)，我用@atc1441 的替代固件重新刷了它。盡管它是不同的 SoC 模型，但這給了我一點(diǎn)希望和一個(gè)有價(jià)值的起點(diǎn)。

　　焊盤

　　焊盤 （Exposed-Pad），有些封裝具有裸露焊盤，用來改善器件散熱的焊盤。通常為非電氣絕緣，可根據(jù)電連接要求將其接地或電源。

　　印刷電路板底部

　　印刷電路板底部

　　除了萬(wàn)用表、數(shù)據(jù)表，我什么也沒有，我試圖找到這些焊盤的連接位置。這就是我想出的：

　　單線（又名 SWire 或 SWS）接口

　　現(xiàn)在我們確定了手環(huán)的核心部件，如果你之前對(duì) ESP32 進(jìn)行過編程，你可能會(huì)依賴其引導(dǎo)加載程序并通過 UART 與它通信。如果你之前編程或調(diào)試過 ARM 微控制器，你可能使用了 SWD（串行線調(diào)試）協(xié)議。

　　在Telink-land 中，類似的接口稱為Single Wire 或SWire。這就是應(yīng)用程序如何加載到其閃存中、如何讀取和寫入內(nèi)存以及如何在運(yùn)行時(shí)調(diào)試的方式。

　　然而，當(dāng)我們嘗試了解有關(guān)此界面的更多信息時(shí)，真正的挑戰(zhàn)才剛剛開始。在現(xiàn)實(shí)世界中，這些芯片是使用Telink官方的調(diào)試工具進(jìn)行調(diào)試的。

　　研究人員在找到存儲(chǔ)庫(kù) TlsrTools 時(shí)，其中有對(duì) SWire 協(xié)議的兩頁(yè)描述。這似乎是一個(gè)舊版本的Telink數(shù)據(jù)表的一部分，已經(jīng)被刪除。

　　從 Pascal 到 Python

　　在編程/調(diào)試芯片時(shí)，通常有三個(gè)活動(dòng)部分：

　　我們要編程的目標(biāo)板

　　程序員硬件

　　與程序員通信的計(jì)算機(jī)軟件

　　計(jì)算機(jī)軟件的作用是向程序員硬件發(fā)送命令，并使其從目標(biāo)板讀寫數(shù)據(jù)。由于研究人員手邊沒有Windows設(shè)備，所以我實(shí)現(xiàn)了一個(gè)基本的Python腳本，即 tlsr82-debugger-client.py，它作為計(jì)算機(jī)軟件組件工作。

　　我們現(xiàn)在可以使用這個(gè) Python 腳本和 STM32 來解密 M6 手環(huán)中隱藏的信息。設(shè)置如下：

基于 STM32 的替代編程設(shè)置

　　SWire 規(guī)范

　　顧名思義，單線用于在兩個(gè)設(shè)備之間來回傳輸數(shù)據(jù)。在我們的例子中，STM32 編程器（主）和目標(biāo)板（附屬）。沒有像 SPI 或 I2C 那樣單獨(dú)的時(shí)鐘線。單線拓?fù)湓试S兩個(gè)設(shè)備通信，但它們不能同時(shí)通信。換句話說，我們可以將 SWire 稱為異步、半雙工接口。

　　這意味著：

　　異步：由于沒有共享時(shí)鐘，兩個(gè)設(shè)備必須以某種方式采用兼容的讀寫速度；

　　半雙工：每個(gè)設(shè)備必須知道什么時(shí)候應(yīng)該監(jiān)聽消息，什么時(shí)候允許傳輸消息。

　　為了實(shí)現(xiàn)協(xié)調(diào)，SWire 協(xié)議將責(zé)任歸屬于主盤和附屬設(shè)備。主盤負(fù)責(zé)發(fā)起通信并管理數(shù)據(jù)傳輸之間的總線邏輯層。從盤負(fù)責(zé)在預(yù)期的時(shí)間發(fā)送數(shù)據(jù)。下面我將一些真實(shí)世界的例子放在一起，以便更清楚地說明這一點(diǎn)。

　　發(fā)送單個(gè)位

　　首先要注意的是位是如何在線路中編碼的。每個(gè)位以五個(gè)時(shí)間單位傳輸：

　　要發(fā)送 0，請(qǐng)保持 1 個(gè)單元的低電壓和 4 個(gè)單元的高電壓；

　　要發(fā)送 1，保持低電壓 4 個(gè)單位時(shí)間和高電壓 1 個(gè)單位；

　　具體來說，這是我用邏輯分析儀捕獲的真實(shí) SWire 傳輸：

　　SWire 中 0 和 1 的示例

　　在上面的截圖中，標(biāo)記為 25 和 26 的標(biāo)志之間有 8 位正在傳輸，但是很難解碼。

　　發(fā)送單個(gè)字節(jié)

　　我們現(xiàn)在知道為了傳輸一個(gè)完整的字節(jié)，SWire 協(xié)議規(guī)定需要 9 位：

　　位 1：cmd 位。0 指定消息包含數(shù)據(jù)，1 指定消息是命令；

　　位 2-8：消息內(nèi)容（8 位）；

　　低級(jí)別的一個(gè)時(shí)間單位表示消息結(jié)束；

　　另外，讓我們看一下 0xb0 字節(jié)的真實(shí)示例傳輸：

在 SWire 中發(fā)送一個(gè)字節(jié)的示例

　　發(fā)送最后一個(gè)低級(jí)別后，總線被釋放并恢復(fù)到其自然高電壓。換句話說，SWire 數(shù)據(jù)總線被拉高。

　　寫入請(qǐng)求

　　如上所述，單個(gè)位和字節(jié)是如何在線路中編碼的。接下來，我們來看看SWire協(xié)議是如何指定要寫入特定地址的字節(jié)的。在該示例中，主盤希望將一個(gè)字節(jié)b寫入從盤內(nèi)存中的地址addr。

　　為此，主盤必須發(fā)送一個(gè)字節(jié)序列，每個(gè)字節(jié)都按照上一節(jié)所述進(jìn)行編碼：

　　START字節(jié)，這個(gè)值總是 0x5a；

　　目標(biāo)addr的最高有效8位；

　　目標(biāo)addr的最低有效8位；

　　RW_ID字節(jié)，最重要的位應(yīng)該設(shè)置為0，用于寫入操作；

　　字節(jié)值 b；

　　END字節(jié)，它的值始終為 0xff；

　　讓我們看看下面的例子：

　　在 SWire 中寫入數(shù)據(jù)的示例

　　在這個(gè)例子中，我們可以看到字節(jié) 0x05 被寫入從盤的內(nèi)存地址 0x0602。

　　SWire 協(xié)議的變體

　　值得注意的是，至少存在一個(gè)SWire協(xié)議的變體。在另一種變體中，主盤在 START 字節(jié)之后發(fā)送 3 個(gè)字節(jié)的 addr，而不是在我們的 SWire 協(xié)議中僅發(fā)送兩個(gè)字節(jié)。例如，Telink 的 TLSR8251 SoC 中采用了 3 字節(jié)變體，用于我們上面提到的小米溫度計(jì)。在 ATC_MiThermometer 存儲(chǔ)庫(kù)中基于 Python 的閃光器中，我們可以看到在從主盤到從盤的讀/寫請(qǐng)求中指定了 3 個(gè)字節(jié)的 addr。

　　寫入多個(gè)字節(jié)

　　這是寫入單個(gè)字節(jié)要花費(fèi)的能力，幸運(yùn)的是，該協(xié)議讓我們一次寫入多個(gè)數(shù)據(jù)字節(jié)。為此，主盤只需發(fā)送一個(gè)字節(jié)序列，而不是像上面示例中的單個(gè)字節(jié)。