Запуск, меню и состояния старой прошивки

Исследован C:\dump\fw_128k.bin, восстановленные начальные данные RAM и сохранённый дизассемблерный листинг Untitled-1.txt. Дополнительно 20 проверок выполнили оригинальные ARM-инструкции на программном эмуляторе. Вызовы дисплея, GPIO и энергонезависимой памяти заменены записывающими заглушками; физический прибор не подключался.

Полный протокол: evidence/ui-verification.json; воспроизводимый запуск: tools/verify_ui.py. Протокол содержит SHA-256 исследованного BIN, адреса вызовов, аргументы и полученные переходы. Это проверка управления программой; работоспособность исполнительных узлов и длительности в реальных секундах таким способом не проверяются.

Основная архитектура

Вход прикладной программы — 0x104A4. Она последовательно вызывает настройку периферии, дисплея и данных, затем регистрирует через 0xDAB4 четыре задания и переходит в постоянный диспетчер 0xDC28.

В обработчике SysTick 0xE590 счётчик делится на 10: только каждый десятый вызов прерывания обслуживает таймеры заданий. Поэтому аргумент «10» не следует автоматически называть 10 мс. Дополнительная проверка даёт для него номинально 100 мс при нормальном начальном тактировании — см. timing.md. Диспетчер исполняет готовые задания по очереди; длительный обработчик способен задержать остальные.

Основное состояние — байт 0x20000094. Структура UI начинается с 0x200014D0, её общий счётчик — слово 0x200014D4. Функция 0xCF00 устанавливает несколько байтов состояния UI и обнуляет счётчики. 0x1ED8 очищает экран: восемь страниц по 128 записей нулевых байтов.

В 0x1056C при состоянии не менее 10 вызываются 0x1A8C, 0x11478, 0xAEC4, 0x1924, 0x1BC4 до обработки отдельного экрана. Это означает, что вход в большинство меню не останавливает этот общий вычислительный путь. Уточнения его расчётов находятся в отчёте об измерениях; один числовой тест state >= 10 нельзя считать полноценной моделью допустимости измерений во всех режимах.

Реальная последовательность запуска

Компилятор поместил таблицу переходов сразу после вызова 0xF1D2 по адресу 0x105FE. Её байты по 0x10602 были перепроверены непосредственно в BIN. В первоначальном экспорте Ghidra часть этих переходов была ошибочно представлена данными/инструкциями. Вход 0x1054C из первой автоматической декомпиляции ложный: там лежит литерал, настоящее начало обработчика — 0x1056C.

Таким образом, реальный маршрут — 2 → 3 → 6 → 4 → 5 → 10. Порядок номеров не отражает порядок этапов. Указанные числа вызовов измерены в отдельных исходных обработчиках с восстановленной начальной RAM; значения периферии и задержки задач при настоящем запуске могут менять итоговое поведение.

Надпись Starting с фиксированным ожиданием не доказывает контроля физической стабилизации газового сенсора. В исследованном 0x5570 нет критерия готовности по разбросу измерений или по отдельному датчику — переход происходит по счётчику. В 0x4848 проверка сигнализации является последовательностью команд включить/выключить: в этой функции не найдено чтения обратной связи, которое подтверждало бы реальный звук, вибрацию или свет.

Управление выходами установлено по веткам с подписанными экранами: Led Check переключает маску 0x40 в блоке 0x40000C00; Shock Check — маску 0x20 в 0x40000C40; Audio Check — маску 0x10 в 0x40000C80. Это программное сопоставление по UI и вызовам 0x91B4/0x91D2, не прозвонка платы и не гарантия активного уровня электрической схемы.

Кнопки и меню

Обработчик 0xFFF8 получает от распознавателя кнопок 0xC9C0 категорию события и номер кнопки. Для категории 0x10 номера 1/2/3 преобразуются в 0x1000/0x800/0x400; для категории 0x45 — в 0x8000/0x2000/0x4000. По использованию это разные виды нажатия; точные времена удержания и физические подписи кнопок требуют отдельной проверки.

Основной обработчик 0x1056C копирует накопленный код из 0x20000098 в 0x2000009C и очищает источник. В меню 0x4684 команды 0x400/0x1000 меняют пункт с циклическим переходом между 1 и 9, 0x800 выбирает его.

Имена подтверждаются 0x75E8 и восстановленной английской таблицей: 0x76DC использует запись размером 8 байтов по 0x200007FC + ID*8, указатель строки находится в её поле +4. Это связывает текст с используемым пунктом, а не просто отмечает наличие строки в файле.

У большинства исследованных меню общий таймаут counter > 0x6E возвращает в рабочий экран. У Select Gas, обработчик 0x3B74, порог другой — counter > 0x32. Число вызовов до возврата зависит от начального значения счётчика; для заводского меню 0x5D50 эксперимент подтвердил 110 вызовов без ввода. Таймаут — часть поведения UI, которую стоит явно задавать для каждого режима.

Вход в калибровку и заводские действия

0x4330 действительно реализует Input Password: две редактируемые десятичные цифры и сравнения с фиксированными константами, зависящие от выбранного пункта. Для пунктов Zero Adjust/Cal Gas после успешного сравнения открывается выбор канала/подменю калибровки. Это не доказательство общей защищённости сервисного доступа; чужие фиксированные коды переносить в собственную прошивку не следует.

0x3338 показывает Cal Gas, далее 0x6180 рисует три варианта: Zero Cal, Other Cal, Exit. Первые два ведут в 0xD2; там 0x3B74 циклически выбирает канал 0–3 и направляет в обработчик Zero Adjust (state 0x1E), Zero Cal (state 0x28) или Other Cal (state 0x64) в зависимости от выбранной операции. Пункты Stand Value, Real Value, Zero Value, Mark point нужно связывать с конкретными стадиями расчёта по отчёту о калибровке, а не трактовать по одним словам.

Заводские действия разделены:

• state 0xB4, функция 0x5D50: выбор Default Setting/Save Data;
• state 0xB5, функция 0x5CA0: SaveCurrentData + As Factory Data; команда 0x1000 вызывает 0x112E8, 0x400 выходит без такого вызова;
• state 0xB6, функция 0x5C00: Restore Default; команда 0x1000 вызывает 0x11150, 0x400 выходит без такого вызова.

Эти четыре варианта подтверждения/отмены проверены на исходных инструкциях с подменой функций хранения. На реальном приборе действий не выполнялось.

Важная особенность загрузки: 0x39F4 после чтения EEPROM 0xEC проверяет value != 0x5A || value != 0xA5 и поэтому всегда присваивает RAM-флагу 0x200000E9 значение 0xA5 (0x3B24…0x3B34). Это подтверждается инструкциями сравнения и ветвления. Назначение флага следует устанавливать по потребителям; саму ошибочную проверку двух допустимых значений воспроизводить в новой прошивке не нужно.

Имена газов действительно индексированы, но каналы задаются конфигурацией

0x77E8 в английской ветке берёт имя из 0x20000A8C + type*11. Начальная RAM содержит точное соответствие 0 → EX, 1 → O2, 2 → H2S, 3 → CO, 11 → CH4, 15 → CO2, 23 → VOC. Полный список из первых 25 записей сохранён в протоколе.

В 0x3B74 тип для вывода берётся из конфигурации канала: 0x20000EA3 + channel*0x13 + 2. Поэтому тип 1 означает O2, но канал с индексом 1 не обязан всегда быть кислородным. EX — именно текст прошивки; конкретный сенсор, принцип измерения и физическая распиновка из этой надписи не следуют.

Что заложить в будущую прошивку

• Явные состояния питания, зарядки, загрузки настроек, готовности датчиков, проверки сигнализации, измерения и обслуживания. У каждого состояния должны быть входные действия, критерий завершения, таймаут и реакция на ошибку.
• Готовность измерения должна иметь собственный статус. Анимация запуска и фиксированная задержка не заменяют проверку валидных данных, калибровки и условий готовности сенсора.
• Разделить тест включения исполнительного узла и подтверждение его исправности. Если аппаратная обратная связь не предусмотрена, интерфейс не должен заявлять, что электрическая проверка доказала работу звука/вибрации/света.
• Обработку измерений и тревог вызывать с определённым периодом независимо от рисования экранов и редактирования меню. Поведение во время калибровки, зарядки и восстановления настроек описать явно.
• Для кнопок определить короткое/долгое нажатие, повтор, подавление дребезга и отмену; для редакторов — таймаут, сохранение и выход без записи. Не распределять эту политику неявно по обработчикам экранов.
• Отдельно хранить заводские параметры и рабочие настройки; подтверждать восстановление и сохранение калибровки, отражать результат записи и делать его проверяемым после перезапуска.
• Разделить индекс физического канала, тип газа и модель датчика. Название газа на экране должно следовать проверенной конфигурации, а возможность выбора газа не должна создавать видимость физической смены сенсора.

Наличие этих программных состояний в старом приборе не определяет окончательные параметры и требования нового устройства. Для будущей модели полезны структура сценариев и проверяемые переходы; длительности, коэффициенты, электрические настройки и допуски потребуют своих данных.