Осциллограф Rigol DS1054Z и его небольшая программная доработка

Эта модель осциллографа не новая и уже несколько лет назад обозревалась здесь. Но тот обзор был «взглядом снаружи» и лишь поверхностно касался внутренностей. Мой обзор будет ориентирован именно на внутренности устройства и его программное обеспечение. Предупреждение: Много букв и картинок. Заранее приношу извинения за многословность — некоторые вещи не получается изложить кратко.


С 2009 года я имел в хозяйстве более старую модель Rigol — DS1052E. К тому времени он уже успел отхватить в США награду «Продукт года» и был заметной вехой в развитии осциллографов с точки зрения цена/качество. В принципе, модель не сильно устарела и сейчас, только экран маловат и разрешение всего 320х200. Но в последнее время часто приходилось работать с SPI и желание трех-четырех каналов становилось все сильнее. Последним толчком послужила просьба друга найти ему нормальный недорогой осциллограф. После уточнения, что двухканального более чем достаточно, а 4 канала не требуется даже в теории, я расстался с DS1052E и заказал себе DS1054Z.

Комплект поставки

Комплект прибора минимально-достаточный:
1) Провод питания
2) Четыре щупа на 150 МГц
3) Кабель USB
4) Бумажки и мини-описание

Провод питания угловой, и (на мой взгляд) с неправильным углом — разъем питания установлен сбоку, но комплектный провод направлен не к центру прибора, а наружу. Вид сзади:
Это особенно обидно, поскольку входные и выходные вентиляционные отверстия сильно утоплены в боковинки корпуса, и прибор можно ставить вплотную к стенкам полки не боясь перекрыть поток воздуха. Уточню — справа можно, слева угловой провод питания будет выходить за габарит на 3-4 сантиметра. В этом случае прямой провод получается удобнее, но будет большой зазор сзади. Пока углового провода, развернутого на 180 градусов, найти не удалось.

Щупы — стандартные для Rigol'а, PVP2150. Если их и выпускает другой производитель, то специально для Rigol'а, даже на коаксиальном кабеле нет никакого текста, кроме «RIGOL» и «MADE IN CHINA». Еще хочется отметить, что аксессуары у Rigol'а не дешевые. Есть приблуды для DS1000Z, которые стоят в 10 (десять!) раз дороже самого прибора. Пассивный щуп на 500 МГц (RP3500A) стоит $231. Причем примерно за эту цену он реально и продается. Железка для монтажа в стойку обойдется в $144 (набор обычных крашеных железок на 4U и два десятка стандартных винтов к ним). Доставка в стоимость не входит.
Комплектный PVP2150 стоит $35.

В связи с этим, позволю себе маленькое отступление о соотношении цен на старую и новую модели. По сайту DS1052E дешевле DS1054Z на $53, в продаже разница будет несколько больше (по rurigol — около $60). Но к DS1054Z в комплекте идет на два кабеля больше. $35 * 2 = $70. Если исходить из формально-математического расчета, стоимость самих тушек получается практически одинаковой, а то и с перевесом в сторону DS1052E. Вот такой он, маркетинг…

USB кабель — 28AWG/2C+28AWG/1P, ферриты на концах имеются. Маркировки Rigol'а не имеется ;)

Один шнур и USB:


Комплектные бумажки особого интереса не представляют. Описание очень краткое, полное лучше взять с сайта. Лично я сразу засунул их в секцию шкафа, где хранятся подобные описания из категории «выбросить жалко, но не потребуются никогда».

Возможные альтернативы DS1054Z у Rigol'a.

Когда я выбирал обновку, то, разумеется, посмотрел — нет ли другого варианта Rigol'а, отвечающего исходному критерию «недорогой на 4 канала». Далее изложены краткие результаты сравнения линеек Rigol.

Итак, по сериям:

Простая (не Z) 1000-я серия несколько устарела (ей уж лет 10), экран меньше, а о разнице в стоимости с учетом комплекта щупов я уже писал. Каких-то существенных преимуществ у этой серии нет. Ранее у Rigol'a на сайте было разделение на 1000В/1000D/1000E/1000CA (там заметные отличия в аппаратуре), сейчас часть моделей перестали выпускать, а оставшиеся условно свели в одну серию. Видимо, назвать получившуюся серию «старье» показалось не политкорректным, поэтому назвали «1000 Series».

1000Z во-многом пришла на смену 1000. Внутренняя архитектура похожа на тысячники, но используется другая элементная база. Все модели имеют четыре канала.

2000-я серия не имеет четырехканальных моделей, да и заметно дороже серии 1000Z. Модели 2000E можно относить к этой серии весьма условно — частота АЦП у них 1Г/с (как и у 1000z), а даже младшие модели «честных» двухтысячников (с 2Гс/с) сразу минимум вдвое дороже. Если брать модель на 200 МГц — более чем втрое дороже (и всего два канала!). Это довольно старая (почти как и 1000) серия. Доступен хакерский апдейт, подобно 1000 и 1000z.

На серии 4000 возвращаются модели на 4 канала, но цена становится не совсем для личного использования — они от $2000 и выше (самая старшая модель — более $8000). Что там с возможностью взлома на большие частоты — вопрос открытый, но весьма вероятный. По крайней мере, официальная опция софтового обновления с 200 до 500 МГц на сайте Rigol'а есть. Всего за $6064.

Про серию 6000 промолчу по понятным причинам.

Если вернуться к 1000z, то, несмотря на внешнюю многочисленность моделей, по факту все они — это DS1054Z с добавлениями. Есть следующие опции:
1) Доступные частоты (1054/1074/1104)
2) Генератор сигналов (постфикс S)
3) Возможность (разъем) подключения логического анализатора (постфикс Plus)
4) Логический анализатор (префикс MSO вместо DS)

Есть еще всякие опции декодеров, триггеров и т.п., но они не зависят от модели и едины для всех тушек. Если просуммировать официальную стоимость всех опций и частот, разрешаемых программным апгрейдом, то получится около $1000. Впрочем, сейчас Rigol зачастую дает бесплатно эти опции при покупке нового аппарата.

Хотя все 13 моделей в линейке получены путем добавления функций к базовой модели DS1054Z, у самого DS1054Z опции официально недоступны — считается младшей моделью со всеми вытекающими.

По ценам опций раскладка получается следующая (они немного зависят от других опций):
50->70 МГЦ: +$70
70->100 МГц: +$50..$100
Разъем для логического анализатора: +$40..60
Полный логический анализатор: +$180..230
Генератор: +$180..200

Про опцию частот написано неоднократно — это программное ограничение, никакой дополнительной аппаратуры не требующее. Элементная база идентична, подозрения о разбраковке по частотам пока ничем не подтверждены, а по тестам отличия между моделью на 100 МГц и разблокированной 50 МГц получаются такого же порядка, как между разными оригинальными на 100 МГц.
По поводу легкости разблокировки ходит относительно достоверная конспирологическая теория, что ситуация выгодна самому Rigol'у. Вставить в прошивку стойкий криптоалгорим, не позволяющий разблокировку без модификации прошивки, довольно несложно даже студенту. Вместо этого, уже более 10 лет Rigol для проверки валидности ключа используются слабые, легко реверсируемые алгоритмы. Понятно, что серьезные организации не будут заниматься взломом прошивок. Rigol'ы есть в реестре СИ, и не думаю, что взломанному аппарату дадут свидетельство о поверке. В то же время, возможность легкого апгрейда будет работать более чем хорошо как реклама марки. Осциллограф с набором опций, обошедшийся домашнему пользователю в $400, при официальной покупке организацией потянет на более чем $1300.

Остальные опции включают в себя аппаратные добавки и недоступны для владельцев DS1054Z.
Аппаратные добавки включают в себя две кнопки на передней панели, два разъема сзади, разъем спереди и отдельные блоки генератора и логического анализатора.

Вот передняя панель моего аппарата:

Вот полнофункциональный MSO1104Z:

Видно отсутствие двух кнопок под CH4.

Фрагмент моей передней панели крупнее:

А теперь тот же фрагмент в момент включения аппарата и теста светодиодов:

Хорошо видно, что есть не только проемы в пластмассе, но даже светодиоды индикации выбора кнопок припаяны на плате и управляются. Всё отличие моего осциллографа — это другая наклейка и нет кнопок-резинок.

Опция Plus включает в себя разъем на передней панели и уже упомянутую кнопку. Стоимость по комплектующим — явно не более $5. Вот этот разъем с кабелем:
Rigol хочет за него от $40 и выше. Были ревизии основной платы Rigol с местом для установки дополнительного чипа, но реально он никогда туда не ставился. Сейчас вся электроника логического анализатора установлена во внешнем модуле RPL1116. Если потом покупать отдельно, RPL1116 обойдется в $293. В сумме с опцией Plus — порядка $350. Поэтому если нужен логический анализатор от Rigol, лучше купить его сразу в версии MSO (там полный комплект: и разъем, и RPL1116 вместе) — будет почти вдвое дешевле.

Вообще, опция логического анализатора обходится дорого. Разница между DS1054Z и MSO1074Z — $300. За эти деньги можно взять более чем неплохую приставку к компьютеру. Из своего личного опыта могу сказать, что в большинстве случаев достаточно либо пятибаксового анализатора на 68013, либо 4х каналов осциллографа. Логический анализатор Rigol целесообразен в довольно узкой области, когда:
1) Число сигналов более четырех и не более 16.
2) Частота больше 50 МГц (короткий отрезок 68013 может захватить и на 48 МГц, если с доработками)
3) Частота меньше 100-150 МГц
4) На плате есть выводы для подключения тест-клипс.

Добавлю, что при отладке FPGA проще и удобнее использовать функцию встроенного логического анализатора. Для Альтеры она поддерживается для всех сколь-нибудь серьезных чипов (основной критерий — наличие блоков памяти), у Xilinx тоже что-то такое имеется.

По поводу частот. Несмотря на анонсируемые частоты захвата в 500 МГц и выше, на частотах выше 100 МГц клипсы логического анализатора вносят такое влияние в схему, что ее поведение становится совершенно непохожим на состояние без клипс. Но даже если и это не учитывать, позволю себе привести выдержку из описания логического анализатора серии 1000z:
Peak Detect Digital channel: 4 ns
Minimum Detect Pulse Width digital channel: 10 ns
Т.е. пики менее 4 ns анализатор имеет право вообще не заметить, а полнофункционально он может работать с частотами менее 100 МГц. Также нужно учесть, что при использовании 8 каналов ЛА остается только 3 канала осциллографа, при 16 — только два.

На мой взгляд, проще и выгоднее взять приставку к компьютеру типа LA5016, к которому есть SDK для написания своих анализаторов. По скорости захвата близко, а стоит менее $200. Или hantek на 32 канала… или еще много вариантов, в зависимости от потребностей и кошелька.

Генератор представляет собой небольшую дочернюю плату, устанавливаемую на разъем основной платы осциллографа:

К ней подключены два отдельно монтируемых BNC-разъема, выходящие на заднюю часть прибора (рядом с существующим разъемом).
Выглядит это так:

Дополнительно, на передней панели имеется еще кнопка (Source, ниже предыдущей). Теоретически, генератор полезен и, на первый взгляд, соответствует Rigol-овскому DS1022z. Совпадают частота сэмплирования (200 МГц), число каналов (2), разрядность ЦАП (14) и максимальная частота сигнала (25 МГц). Но, если присмотреться, то отличия есть. Во-первых, точность частоты. Для DS1022z это 1-2 ppm, для встроенного — 50-100 ppm. 50 ppm — это обычная точность кварца среднего уровня. Видимо, именно такой и стоит на дочерней плате. Шаг выставления частоты также отличается (1 мкГц против 0.1Гц). С длиной памяти сэмплов отличия еще больше — 2Mpts против 16Kpts. Причем в отдельном генераторе память можно раскрыть до 16Mpts (без аппаратных доработок, софтовым ключом). Аналогичные отличия есть и в скорости нарастания, точности амплитуды, джиттере, THD. Это все можно было бы и простить, если бы модуль стоил порядка $50-100. Но отдельно плата не продается и в DS1054Z не устанавливается. Т.е. разница по стоимости между DS1054Z (без генератора) и DS1074Z-S (самая дешевая модель с генератором) будет $260. Учитывая, что за $359 можно купить целый отдельный генератор DG1022Z, имеющий свой экран, цифровую клавиатуру для ввода частоты, значительно большую память точек, локальную сеть, больше выходов BNC и лучшие параметры, получается не так интересно.

А простенький отдельный китайский генератор с 100ppm частоты обойдется существенно дешевле.

Итак, если оставить только «знаковые» модели, получается:
$400 — DS1054Z (без генератора и ЛА)
$660 — DS1074Z-S (с генератором)
$700 — MSO1074Z (с ЛА)
$900 — MSO1074Z-S (с генератором и ЛА)

На мой взгляд, если нет требований к компактности, лучше взять DS1054Z, программно раскрыть его до DS1104Z и (при необходимости) докупить отдельный внешний генератор и логический анализатор-приставку к компьютеру. Как-нибудь «сэкономить» с аппаратными опциями, используя хакерские методы, невозможно — добавить кнопки и разъем на переднюю панель не сложно, но потребуется еще блок логического анализатора, стоящий примерно те же $300, а модуля генератора и вовсе нет в свободной продаже.

Отличия от DS1052E.

Если сравнивать с предыдущей моделью, то (кроме увеличения количества каналов), принципиальных отличий не очень много. Экран стал более четким, стало вдвое больше контекстных кнопок. Правая часть передней панели несколько сжалась (отдавая место экрану). Самое непривычное отличие — другое расположение кнопки включения, первое время рука на автомате тянулась к верхней крышке.
В отзывах некоторые владельцы жаловались на сильный шум вентилятора. Да, шум есть, но по моим ощущениям совершенно такой же, как и в DS1052E. Как по силе, так и по тональности. По сути, это даже не столько шум вентилятора, сколько шум воздуха, проходящего через все дырки и извилины внутри осциллографа. Уменьшать его за счет большего нагрева внутренности — не самая лучшая идея.
Отличия в менюшках для меня оказались не существенными — чуть больше пунктов, чуть иначе расположены.
Габариты прибора остались практически прежними, на столе он встал точно на место прежней модели.

Подводя итог, я могу сказать, что результат достигнут — я получил привычный для меня аппарат на нужное мне число каналов.

Что внутри

Обзор был бы совсем неинтересен без «вскрытия». Вскрытие будет производиться по двум направлениям — аппаратура и анализ прошивки.

Аппаратура.
Схемотехника DS1054Z принципиально ничем не отличается от многих других цифровых осциллографов. Существенно упрощает анализ применение публично-доступной элементной базы. Все основные компоненты можно купить, их описания также доступны.

Первый блок осциллографа, куда приходят сигналы — входные усилители. В DS1054Z их четыре штуки, все каналы одинаковы. В отличие от многих других, тут нет отдельного канала запуска. В классическом осциллографе канал запуска подключался к компаратору, определяющему момент начала развертки. Для нормального отображения сигнала в аналоговых осциллографах приходилось применять специальные линии задержки, обычно представляющие собой моток (или отрезок) коаксиального кабеля. В цифровых для этого используется память.
В DS1054Z источником запуска можно выбрать любой из каналов. Никакого отдельного компаратора тоже нет, сигналы сравниваются после оцифровки. Это дает возможность введения сложных триггеров, сильно упрощает схему и работу синхронизации, но имеет и свои минусы.
С правой стороны сзади расположен один BNC-разъем. У него две выбираемые функции. Через него может выдаваться сигнал соответствия/несоответствия осциллограммы и задаваемого шаблона. Для домашнего использования это практически бесполезная функция.
Также этот BNC может быть выходом срабатывания триггера. Вот тут и проявляются подводные грабли. Сигнал триггера запуска формируется программно, путем обработки отсчетов АЦП уже в цифровом виде. Как следствие — огромная задержка относительно входного сигнала, обусловленная задержками внутри АЦП (до 128 тактов) и при дальнейшей передаче. Суммарно получаются сотни наносекунд. Сюда еще добавляем имеющийся джиттер относительно исходного сигнала в единицы наносекунд (обусловлен частотой сэмплирования АЦП и частотами обработки в цифровой части). Получившийся в результате сигнал запуска становится употребим с большими оговорками. Вот скриншот с примером:

В канал 2 подан исходный сигнал. Выход триггера соединен кабелем с входом 3. Курсор А установлен на момент срабатывания триггера (-4нс, но это не принципиально). Курсор B установлен в самое начало фронта выхода триггера. Результат — задержка в 350нс. Если менять уровень триггера (пометка «T» справа), то задержка совершенно не меняется.
Впрочем, если нужно синхронизировать внешний логический анализатор, имеющий буфер и настраиваемое положение триггера запуска, все не так и плохо. Но иметь в виду эту задержку нужно, т.к. выход аппаратного триггера запуска у более дорогих аппаратов дает задержку в сотню раз меньше.

Каждый из каналов входных усилителей выполняет несколько функций:
1) Усиление/ослабление входного сигнала для приведения его в диапазон работы АЦП.
2) Управление полосой сигнала (аналоговый фильтр низких частот)
3) Переключение между открытым и закрытым входом. Если несколько упростить, то в режиме закрытого входа в цепь подключен конденсатор, отсекающий постоянную составляющую сигнала.
4) Согласование с входом АЦП. В большинстве современных скоростных АЦП используется дифференциальный вход. Входной усилитель получает сигнал через один провод (коаксиальный), а выдает в АЦП два сигнала (взаимно инверсных). Дифференциальная линия повышает устойчивость к помехам.

Входные схемы с передней стороны:

Хорошо видно, что два канала имеют не только идентичную схему, но даже расположение компонентов совпадает. Кроме дискретных компонентов, в схеме присутствует сдвоенный низкошумящий усилитель TL072С, трехканальный коммутатор HC4053 (третий канал которого явно заземлен и не используется), 8-битный сдвиговый регистр 595 (SN74AHC595) и цифровой сдвоенный потенциометр AD5207. HC4053, TL072C и AD5207 поделены пополам между каналами.

Задняя часть:

С обратной стороны все каналы одинаковы, микросхемы не делятся. Кроме дискретных элементов имеется вспомогательный усилитель TLC274 (маркировка P274), коммутатор HC4053 (на нем собран эрзац-ЦАП), реле FTR-B3-GA4.5Z (smd, standard type, напряжение — 4.5В, покрытие — золото по никелю) и твердотельное реле cosmo y214s.
Если кого-то интересуют подробности, то на eevblog были рукописные картинки с фрагментами схем входных цепей.
Пока же отмечу только тот факт, что ВЧ-цепочка входного усилителя собрана целиком на дискретных элементах. Все микросхемы обеспечивают только управление уровнем, компенсацию постоянного смещения и другие вспомогательные функции. Кстати, набор этих микросхем (и релюшек) практически не изменился по сравнению с DS1052E. В DS1052E использовалась дополнительная ВЧ-микросхема (AD8370?), которая в DS1054Z заменена на несколько транзисторов.

Далее все каналы сходятся к АЦП:

Маркировка Rigol не должна смущать, энтузиасты давно докопались, что это фактически HMCAD1511 от AD. В старом DS1052E стояли пять двухканальных AD9288 (причем есть подозрения, что в слегка «разогнанном» варианте).

Внутри HMCAD1511 находится четырехканальный переконфигурируемый АЦП, обеспечивающий суммарную скорость по всем каналам в 1 ГС/с. Соответственно, при двух каналах — по 500, при четырех — по 250.
Выходные каналы — последовательные (LVDS). Микросхема стоит на сайте AD $47.
На картинке хорошо видно, как сверху подходят 4 дифференциальные линии от входных усилителей.
Справа от АЦП на картинке расположен синтезатор частоты ADF4360-7. Тоже от AD. Он заметно дешевле — $3.3.

Если поверхностно прочитать документацию, может возникнуть вопрос — как прибор обеспечивает 12 бит при 8-битном АЦП? Ответ довольно прост — суммированием отсчетов. В 12-битном режима сумма 16-ти последовательных отсчетов даст дополнительные четыре бита, при этом пропорционально уменьшая частоту. И это не Rigol такие «жулики» — подобный механизм есть в приборах многих фирм. К сожалению, скоростные АЦП на 12-14 бит дороже, а схемотехника осциллографа становится сложнее. Осциллографы с более чем 14 аппаратными битами нужно очень поискать (и запастись чемоданом денег) — это одна из причин, почему обычным цифровым осциллографом невозможно протестировать качественный аудиотракт. Его восьми бит разрешения попросту не хватит для вылавливания искажений на уровне 16-24-битного звука.

Общая схема функционирования следующая:
1) Процессор настраивает синтезатор частоты и АЦП
2) Синтезатор выдает нужную частоту на АЦП.
3) АЦП преобразует входные сигналы и выдает по LVDS (там несколько линий данных и синхронизации) в сторону FPGA.



В осциллографе процесс получения данных с АЦП работает постоянно, до смены режима. Что пропустить, а с какого места захватить сигнал — определяют настройки FPGA. Она является логическим центром осциллографа. В DS1052E стояла Altera (EP3C5, Cyclone 3), в DS1054Z поставили Xilinx XC6SLX25 в BGA корпусе на 488 выводов. Стоит около $50. Несколько новее и мощнее, чем Cyclione 3. Самая младшая в таком корпусе из всей линейки Spartan 6. На плате закрыта радиатором, который добрые люди уже снимали:


Непосредственно к FPGA подключены две микросхемы памяти — H5PS5162GFR (64МБ 667MHz DDR2 с организацией 16*32М) и CY7C1360C-200AXC (256K*36 200MHz Pipelined SRAM).

Суммарно оба чипа обойдутся примерно в $10.
Чип памяти DDR2 по теоретической пропускной способности даже немножко превышает требуемый гигабайт в секунду. При обмене безусловно имеются задержки и накладные затраты (в том числе — на динамическую регенерацию), но внутри чипа FPGA тоже наберется под сотню килобайт модулей памяти и писать по одному байту никто не будет. Каким образом используется синхронная память мне неизвестно. В DS1052E стояла только она.
К сожалению, какие-то конкретные детали работы с памятью выяснить сложно, практически невозможно. Прошивка хоть и открыта, но IDA для FPGA не существует ;)

Кроме основной FPGA, в приборе имеется еще Actel ProASIC3 A3P030 VQG100 на 30000 вентилей.

По всей вероятности, выполняет вспомогательные функции и используется для подключения всяких кнопок и прочего. Основное отличие от главной — прошивка сидит у нее внутри (XC6SLX25 загружается извне и сразу после включения прибора не может работать). Также вполне возможно, что это защита от тиражирования — прошивку из Актеля просто так не вытащить и не скопировать. Это единственный не копируемый элемент осциллографа — остальные прошивки можно либо считать, либо они открыто лежат в памяти. Чип стоит менее $10.

Последним важным элементом является главный мозг осциллографа — микроконтроллер MCIMX283DVM4B. Это процессор с ядром ARM926EJ-S семейства i.MX28 от nxp/freescale. Работает на 450 МГц и внутри содержит много всего:
— Ethernet контроллер
— Два USB контроллера
— Контроллер LCD (видеокарта-лайт)
— стандартная кучка PWM/последовательных каналов/низкоскоростных ЦАП/АЦП и т.п.
Стоимость чипа — около $10. Отнюдь не самый производительный процессор, однако его вполне хватает даже на относительно тяжелые задачи, типа преобразование Фурье и вывода результата в реальном времени.
Возвращаясь к сравнению FPGA vs CPU можно сказать, что даже на в пять раз более дорогой XC6SLX25 не получится создать аналог этого процессора — просто не хватит логических ячеек на реализацию всех встроенных аппаратных функций.

К микроконтроллеру подцеплена DRAM (H5PS5162GFR, как и у FPGA)

и flash H27U1G8F2BTA на 128М.

В продаже именно такой не нашел, но дорогой она не может быть.
Эта память разделена на два раздела: пользовательский раздел для хранения данных (внутри прибора монтируется в /user) и системную область (монтируется в /sys). На пользовательский раздел отведено 90МБ, остальное — системе. Системный раздел для пользователя невидим, при выборе места для сохранения показывается только /user.

Для стыковки микроконтроллера с сетью используется чип Micrel KSZ8051RNL (Ethernet PHY, 100 М). Стоит около $2. Ничего интересного, обычный стык MII <-> Ethernet.

Также на плате имеется nvram winbond 25x40BVNIG (W25X40VNIG) — 4Mbit (256KB) с шиной SPI (там хранится первичный загрузчик и настройки). Прочую мелочевку (транзисторы, стабилизаторы и т.п.) я рассматривать не буду, там ничего особо интересного нет.

Осталось упомянуть о нескольких имеющихся интерфейсах.
USB host процессора выведен на переднюю панель — туда можно подключать флешки для сохранения данных. В DS1052E аналогичный вход располагался там же. Скорость записи зависит от флешки, но в целом пишет медленно.

Второй USB (OTG) выведен сзади, рядом с сетевым гнездом. Через него можно управлять осциллографом или распечатывать на принтере через pictbridge. В опциях еще имеется GPIB адаптер по доступной цене в $346. В чем ценность управления осциллографом через GPIB — «мне не понять, я не рыбак». Впрочем, для какой-то реальной производственной задачи это не такие большие деньги.

Вместо ранее имевшегося RS-232, установлено гнездо локальной сети. Подключение к сети обычное, без каких-то real-time расширений или специальных промышленных протоколов. О его возможностях разговор будет далее, при анализе прошивки.

Прошивка.

Далее будет только текст, картинки кончились. Вполне вероятно, текст покажется скучным, занудным или изобилующим непонятными терминами. Мое дело предупредить ;)

Еще до получения прибора я посмотрел его прошивку. Это у меня нечто среднее между хобби и навязчивой идеей. Кто-то вяжет носки, кто-то фигурки девушек собирает, кто-то в обед раскладывает пасьянс, а мне интересно разглядывать программные кишки чужих устройств. Без какой-то явной коммерческой выгоды (хотя и такое бывало, постфактум), «only for fun».
На сайте Rigol прошивка отдается свободно, без регистраций или долгих поисков. Но только последней версии. Возможно, что там где-то лежат и старые версии, но не настолько открыто. В сети можно найти еще пяток разных версий, особой пользы от которых нет — в последней прошивке пока не нашли (за полгода) новых глюков, зато исправлены некоторые (но не все) старые.
Все модели семейства DS1000Z имеют идентичное программное обеспечение. Отличия возникают уже после загрузки, когда прибор опрашивает внешние модули и проверяет лицензии (опции). Единство прошивки — это принципиальное отличие от нынешнего состояния серии 1000, где тип прошивки зависит как минимум от суффикса модели.

Вообще то, правильнее говорить не о прошивке, а о файле обновления. Почему? — этот файл не является монолитом, это архив, содержащим несколько независимых файлов, которые распаковываются в процессе обновления и записываются в разные места. Причем набор файлов в разных обновлениях отличается — один из предыдущих файлов включал в себя обновление загрузчика. Последние версии его (загрузчик) не обновляют. Я анализировал прошивку 04.04.03.02.
Формат GEL-файла достаточно прозрачен и хорошо реверсируется без какой-либо документации. Единственная небольшая помеха — некоторые файлы (в том числе исполняемая часть прошивки) сжаты. К счастью, в сети есть небольшая программа, предназначенная для распаковки GEL-файлов Rigol. Она в пару кликов вытаскивает из архива файлы, распаковывая запакованные. Дальнейший анализ прошивки показал, что там используется стандартный алгоритм, замечательно распаковываемый (и запаковываемый) исходниками 7zip.
В типичной прошивке имеются следующие файлы:
/sys/SparrowAPP.out — основное приложение
/sys/SparrowFPGA.hex — прошивка основной FPGA
/sys/SparrowDGFPGA.hex — прошивка FPGA дополнительной платы генератора
/sys/logo.hex — стандартная заставка при включенни (800 x 480)
/sys/guiResData.hex — разные ресурсы (менюшки, несколько шрифтов, справка)
/sys/guiPicData.hex — большие картинки (хранится упакованным)
/sys/SparrowConfig.hex — заставка при включенни для Plus-моделей
Еще пара файлов содержит всякие заготовки для калибровки и прочего:
/sys/SparrowWaveTable.hex
/sys/SparrowCalFile.hex

Исполняемым файлом является SparrowAPP.out. Технически это обычный файл в формате elf, который можно без проблем загрузить в IDA и там рассматривать. Механизмы защиты целостности довольно просты, используется огромное количество CRC32 — иногда 3 разных для одного файла (запакованный, распакованный + внутри elf). Для нормального рассматривания прошивки необходимо не забыть, что стандартный инициализатор перемещает инициализируемые данные при старте программы. Таких данных там много, отнюдь не только нулевых.

О коде прошивки

В приборе не используются «большие» операционные системы. Собственно, это было понятно уже по размеру файла обновления (менее 5МБ). В качестве ядра (для функций запуска процессов, синхронизации, выделения памяти и т.п.) используется не самая новая версия MQX (3.7 или 3.8 — точно не пытался определить). Ядро относительно небольшое, размер идет на десяток килобайт исполняемого кода, с драйверами может за сотню перевалит. Здесь о драйверах можно говорить смело, поскольку работа со многими устройствами идет в стиле open/write/read/ioctl/close. Даже если нужно прочитать пару байт по одной из внутренних шин SPI, никакого ожидания битов готовности, прерываний на каждый байт и т.п. нет. Подготавливается буфер, настраивается устройство и контроллер DMA, запускается процесс обмена. Далее совершенно не важно, будет ли передано 2 байта или 2 мегабайта. Аналогично и с сетью, и с обоими USB, и с i2c.

Язык написания — «C» с очень небольшим налетом плюсовости. Таблицы функций есть, но наследование и прочие подобные вещи не применяются (или настолько редки, что я их просто не заметил). По всей видимости, откомпилирован чем-то типа IAR, скорее всего без опций оптимизации. Вот типичный пример ассемблерного кода внутри прошивки:
ADD R1, R9, R9,LSL#2
LDR R2, =SRQ_SendData
STR R5, [R2,R1,LSL#3]
ADD R1, R9, R9,LSL#2
LDR R2, =SRQ_SendData
ADDS R1, R2, R1,LSL#3
STR R4, [R1,#SRQ_Struct.field_4]
ADD R1, R9, R9,LSL#2
LDR R2, =SRQ_SendData
ADDS R1, R2, R1,LSL#3
STRB R0, [R1,#SRQ_Struct.field_18]
ADD R0, R9, R9,LSL#2
LDR R1, =SRQ_SendData
ADDS R0, R1, R0,LSL#3
STR R6, [R0,#SRQ_Struct.field_8]

Т.е. для заполнения четырех соседних полей в массиве структур, компилятор каждый раз загружает адрес массива и умножает индекс в массиве на размер структуры. Минимальный оптимизатор просто выбросил бы повторные вычисления и выдал бы что-то вроде следующего:
ADD R1, R9, R9,LSL#2
LDR R2, =SRQ_SendData
ADDS R1, R2, R1,LSL#3
STR R5, [R1]
STR R4, [R1,#SRQ_Struct.field_4]
STRB R0, [R1,#SRQ_Struct.field_18]
STR R6, [R1,#SRQ_Struct.field_8]
С другой стороны, это очень упрощает анализ кода, реверсировать до C можно практически по шаблону.

В прошивке достаточно сильное разделение на модули, порождающее кучу вложенных вызовов. Но это еще полбеды. Несколько выбивается из «микроядерности» интерфейс между различными модулями. Модулем в данном случае я называю набор функций для какой-то отдельной задачи. Например — модуль работы с опциями, модуль параметров вертикальной развертки, модуль логического анализатора, модуль управления генератора и так далее.
Всем этим модулям часто требуется получать параметры от других или, наоборот, отдавать им команду. Для этого каждый модуль регистрирует свое имя в некотором пространстве имен и таблицу-массив с идентификаторами запросов и ссылками на подпрограммы, реализующие эти запросы. У каждого идентификатора обычно есть до трех методов: получить параметр, задать параметр и проверить доступность параметра.
Пример такой таблицы:
ConfDescr <0xA00, sub_402609B0, NULL, NULL, NULL, 0>
ConfDescr <0xA02, sub_402609F4, sub_40260B7C, NULL, NULL, 0>
ConfDescr <0xA01, sub_40260A7C, sub_40260AEC, NULL, NULL, 0>
ConfDescr <0xA05, sub_40260F18, NULL, NULL, NULL, 0>
ConfDescr <0x100000E, sub_402611D4, NULL, NULL, NULL, 0>
ConfDescr <0x1000004, sub_402609F4, NULL, NULL, NULL, 0>

Вызов для получения данных (параметра) выглядит следующим образом:
MOVS R2, SP; Buffer
MOV R1, 0x601
LDR R0, =aMeasure_1
BL GetSettings

Если перевести на «C»: GetSettings(«Measure», 0x601, Buffer);

Несколько упрощая, GetSettings сначала находит модуль с указанным именем (простым тупым поиском по списку), потом пытается найти в таблице строку с заданным идентификатором (тоже последовательным поиском). Если нашла — ставит в системную очередь запрос на вызов подпрограммы. Сначала я не понял, зачем такой хитрый вызов в монолитном приложении. На первый взгляд, заголовочный файл с именами функций вида Name_of_module__GetSome ничуть не хуже, чем заголовочник с кучей define-идентификаторов. В первом случае вызов функции потребует в тысячи раз (это не преувеличение!) меньше времени, да и при компиляции будет явно видно, если какую-то функцию забыли или неправильно вызвали. Например, если в применяемом варианте указать имя одного модуля, а идентификатор от другого, то на этапе компиляции проблема найдена не будет.
Но при дальнейшем анализе выяснилось, что этими функциями пользуются не только подпрограммы внутри исполняемого файла. Файл описания меню тоже содержит ссылки для обращения к данным модулям. Видимо, Rigol решил создать свою версию чего-то типа activeX. Для менюшек — понятно. Но они в этот же интерфейс завернули обработку запросов по USB и сети. Боюсь, такое решение не ускорило работу этих функций…

В силу использования микроядра, имеющихся 64 Мегабайт оперативной памяти более чем достаточно, особенно учитывая, что для хранения/захвата сигналов у FPGA есть собственные 64 МБ. Немного забегая вперед скажу, что у осциллографа практически всегда свободно более 20 МБ памяти для malloc. Никакой особой оптимизации использования памяти не производится. Например, когда осциллограф обновляет прошивку (а он это делает не выходя в какое-то специальное состояние), то он просто резервирует память под образ прошивки (5 мегабайт), потом резервирует память под распакованные файлы (еще около 4 МБ) и запускает распаковку.

Кроме самого ядра и драйверов устройств, внутри имеются еще многочисленные библиотеки:
lwip — для сетевого стека
libpng — работа с картинками в формате png
zlib — для png
libjpeg — для сохранения в jpeg
что-то не идентифицируемое (практически без текстовых сообщений) для tiff и bmp
uffs — поддержка файловых систем на внутренней флешке
Есть куски криптографических библиотек для RC5, XXTEA и т.п.

Часть библиотек легко идентифицируются по именам файлов в assert, например:
E:\SparrowVersionRelease\VersionGit\00.04.04.00.00_20160126\Code\Vendor\MQX\usb\host\source\classes\msd\usb_host_msd_bo.c
или:
E:\Pragram\DP800\lxi\lwip\core\dhcp.c

Авторское название каталога (во втором случае) оставлено как есть.

Есть следы еще нескольких мелких библиотек, но надежно идентифицировать их затруднительно. Библиотеки с названиями типа «minixml» пишет каждый второй студент-программист. Да и смысла особого нет, никакой полезной информации эта идентификация не принесет.

Очень много места занимают шрифты и картинки-иконки. Шрифты растровые, с поддержкой большой таблицы символов (часть строк — ascii, часть — unicode на два байта). Картинки хранятся в виде 16-битных образов RGB565 с заголовком из полей ширины и высоты.
Для таблиц символов используется что-то типа 16-битного юникода, хотя практически все текстовые сообщения в elf восьмибитные. Используются два уровня локализации — системные сообщения могут быть английские и китайские (и в паре мест — только китайские), а интерфейс пользователя многоязычный (10 языков). Но русификация мне как-то не понравилась, надежнее использовать английскую версию. Минимум половина русских сокращений настолько непонятны, что без документации не догадаться. Вероятно, китайскую еще надежнее (фирменная опечатка Rigol — pulses/pluses), но я еще не настолько пессимист из анекдота. Встроенная справка есть только на английском и китайском. Справка не очень полезная, скорее из разряда «чтоб было».

Сеть и порты, используемые в осциллографе

Сетевой стек обеспечивает возможность подключения к осциллографу по сети, но функций самостоятельного подключения к внешним ресурсам не имеет (и хорошо, а то эта повсеместно внедряемая облачная идеология уже переходит в извращения). Даже функция connect из lwip не вкомпилировалась в приложение. Максимум — рассылка broadcast/udp внутри локальной сети.
На задней части осциллографа можно видеть «рекламу» LXI протокола. Практически все порты так или иначе относятся к реализации этого стандарта. Там реализовано достаточно много функций — 1117 (тысяча сто семнадцать!). Один из популярных вариантов первого использования SCPI — ввод опций, не ломая пальцы на встроенном редакторе кода опции, командой :SYSTem:OPTion:INSTall . Таким же образом можно их и снести («SYSTem: OPTion: UNINSTall»), вернув аппарат к исходному состоянию. Методы совершенно официальные, документированные Rigol. Если не учитывать того, откуда получена строка лицензии ;)

TCP/80 — http, web сервер. Для пользователя ничего особо полезного нет. Включен для обеспечения требований lxi и выдает несколько xml-страничек описания устройства.

UDP/111, TCP/111 — VXI-11 Sun-RPC и port-mapper. Для LXI.
TCP/617 — часть VXI-11
TCP/618 — часть VXI-11
TCP/619 — часть VXI-11

TCP/943 — При некоторых настройках может выдавать текстовую строчку и сразу отключаться. Внутреннее имя «silverlight».

TCP/4530 — недокументированная альтернатива 5555. Внутреннее имя «silver server».

UDP/5353 — mDNS (Multicast DNS) Это такой локальный DNS без выделенного сервера. Читать по ключевым словам zeroconf, bonjour, avahi. Часть стандарта LXI.

TCP/5555 — SCPI интерфейс. Если кратко, то удаленное управление осциллографом. Почти полностью описан в «RIGOL Programming Guide» для DS1000Z. Там 260 страниц. Часть функций не описано или описано в аналогичном документе на другие модели. Не думаю, что как-то секретят, скорее имеет место быть легкое разгильдяйство — функции пишут одни, документацию — другие. Этот интерфейс доступен и через USB с идентичным синтаксисом команд. Часть LXI.

TCP/5566 — недокументированная альтернатива 5555

UDP/6000 — В ответ на пакет с "?" выдает информацию об устройстве (модель, серийный номер). Внутреннее имя «seek resource». Я его тоже использовал для определения IP-адреса осциллографа в локальной сети.

TCP/6666 — Текстовый интерфейс, куда можно послать команды «KILL SOCKET:5555» и «KILL SOCKET:5566» — вызывает отключение всех клиентов по указанным портам. Внутреннее имя «socketControl».

Как можно заметить, никаких telnet/ssh нет.

Обновление ПО

Когда прибор обнаруживает вставленную usb-флешку (при запуске загрузчика или при вставке в процессе работы), он проверяет наличие файла с именем DS1000ZUpdate.GEL и, при его наличии, выдает сообщение пользователю. Далее происходит следующее:
1) Пользователь подтверждает обновление (или не подтверждает — тогда все заканчивается)
2) Прибор загружает файл в оперативную память (все несколько мегабайт), проверяет его корректность и переносит в системный раздел флеш-памяти.
3) Старые файлы стираются
4) Новые файлы распаковываются из GEL и записывается.

Прошивка пишется не в какой-то определенный адрес флеша, а как обычный файл на диск. Единственное исключение — прошивки с встроенным первичным загрузчиком. В этом случае образ загрузчика записывается в SPI NVRAM.
Первичный загрузчик находит прошивку только по имени. Если при обновлении возникла ошибка, есть шанс выжить — загрузчик умеет дораспаковывать GEL-файл, если не находит распакованной версии. Впрочем, лучше не проверять надежность этого алгоритма.
Возможности обновления по сети нет.
После завершения обновления нужно перезагрузить устройство. До перезагрузки можно работать как обычно.

Также в осциллографе есть скрытая функция — если в резервных секторах FAT32 на usb-флешке обнаруживается сектор со специальной сигнатурой, в прошивке раскрываются дополнительные возможности, позволяющие легко «окирпичить» осциллограф. Из полезных функций — возможность просмотреть системный раздел и возможность загрузить предыдущую версию прошивки. Механизм независим от обновлений (т.е. флешка может иметь прошивку и не иметь сигнатуры, иметь сигнатуру и не иметь прошивки и так далее..)

Запуск

Загрузка прибора производится в две стадии. Сначала в адрес 0x41000000 загружается относительно небольшой первичный загрузчик (сотни килобайт) из SPI nvram. Это штатная функция процессора. Загрузчик меняется достаточно редко, последнее его обновление вышло несколько лет назад. Является сильно урезанным вариантом основной прошивки, включает в себя только системные функции и файловые библиотеки. Сети нет. Основные функции — загружать основную прошивку в формате elf и обновлять ее с флешки.

После загрузки основного приложения SparrowAPP.out (стартовый адрес — 0x40000000, начало памяти), управление передается ему и первичный загрузчик более не используется. Приложение производит стандартную инициализация MQX (стеки, приоритеты и прочие моменты, одинаковые для всех приложений), потом запускается настройка самого прибора.
Упрощенная последовательность запуска:
1) Первичная инициализация (DMA, IO, ...)
2) Монтируем /sys (3 повтора при ошибках)
3) Загружаем в память /sys/SparrowFPGA.hex — прошивка основной FPGA
4) Загружаем в память /sys/SparrowDGFPGA.hex — прошивка FPGA генератора
5) Загружаем основную FPGA (10 попыток)
6) Получаем ревизию платы
7) Если есть, загружаем FPGA генератора (10 попыток)
8) Загружаем /sys/guiResData.hex — картинки
9) Регистрируем модули, запускаем процессы.

Далее в приборе работает несколько независимых процессов, переключаемых по таймеру ядром. Есть системный процесс (обозванный framework), который ожидает сообщений в своей очереди сообщений и обрабатывает их, вызывая вспомогательные модули.

Ошибки в ПО и их устранение

Последняя официальная прошивка вышла примерно год назад. Сразу хочу отметить, что каких-то заметных проблемных мест в ней немного. Есть несколько опечаток в интерфейсе и командах, пара ошибок в обработчике протокола запросов, легкое несоответствие стандарта обмена через USB (но не в самом протоколе). И, разумеется, есть относительно много моментов, которые хоть и не являются ошибками, но интересны с точки зрения доработки и улучшения.

Что касается опечаток, то их исправление обычно не является сложным. К сожалению — не в этот раз. Фирма Rigol приложила определенные усилия, чтобы исправить прошивку было не просто. В файле прошивки имеется специальный фрагмент, содержимое которого специальным образом преобразуется и сверяется с прошивкой. Причем, можно менять все файлы, кроме исполняемого. Код, занимающийся этой проверкой в загрузчике, удалось найти довольно быстро, но он занимал чуть менее 10 килобайт. Понять, что делают 10 килобайт неизвестного кода (ничего похожего я не видел), выполняющего какие-то хитрые манипуляции со сверхдлинными целыми числами возможно, но… лень. Впрочем eevblog есть инициативная группа из пары людей, занимающаяся процессом анализа этого кода, которые обещают, что вот-вот решат проблему. В прошлом году близкого решения не было, и я решил поискать обходные пути. Если в горе сложно пробить туннель, то ее можно обойти. И только я начал анализировать, как именно проверяется прошивка, меня ждало удивительно открытие. Оказывается, сверяется только текстовая строчка версии прошивки и значение ее CRC32. Строчку версии менять вообще никакого резона нет, а подделать CRC — элементарная задача. Тем более, что проверяется контрольная сумма запакованного потока, к концу которого можно легко добавить 4 байта. Таким образом, и загрузчик был удовлетворен, и в образ (после распаковки) не нужно вносить изменений. Пожалуй, в этом весь Rigol — накрутить сложных алгоритмов, и оставить рядом потенциальную дыру. Что мешало воспользоваться каким-нибудь более-менее стойким алгоритм ЭЦП — совершенно непонятно.

Когда программа для разборки и сборки прошивки была готова, а пара известных опечаток устранены, встал вопрос — как устранять и отлаживать ошибки, чуть более сложные, чем опечатки? Все-таки, сам процесс загрузки новой прошивки занимает несколько минут и не совсем безопасен даже для оригинальной прошивки. И пусть даже зависание при загрузке можно устранить заливкой оригинальной прошивки через загрузчик, так работать неудобно.
Первоначально, я подумывал о внедрении своего относительно большого фрагмента кода с запуском дополнительной задачи, обслуживающей какой-нибудь порт UDP или TCP. Но подумав еще, я решил не плодить лишние сущности — есть ранее упомянутый порт 6000/UDP с практически нулевым функционалом, отвечающим на всего одну команду. К нему был дописан фрагмент, выполняющий три дополнительные команды:
1) читать блок памяти
2) писать двойное слово
3) вызвать подпрограмму
Плюс такого решения — пока нет пакетов на порт 6000, мое дополнение не запускается и мои потенциальные ошибки никак не приведут осциллограф к зависанию при запуске.

Все эти простые действия растянулись почти на полгода. На текущий момент имеется прошивка для DS1000Z и утилита к ней со следующим функционалом:
1) Возможность прочитать память осциллографа. Рекордов скорости нет, но сотни килобайт в секунду обеспечиваются. Т.е. скачать даже всю память осциллографа (в чем обычно нет никакой необходимости) можно менее чем за 10 минут. Прошивка из памяти (3.5 МБ) скачивается менее чем за 10 секунд.
2) Возможность записать память осциллографа. Тут несколько медленнее, но загружать больше десятка килобайт требуется редко, а это занимает секунды.
3) Возможность выполнить вызов функции с не более чем двумя параметрами и получить ответ

Эти три функции позволяют загружать небольшие программы в память осциллографа и выполнять их там.

Последовательность обычно следующая:
1) Вызвать функцию malloc прошивки для получения блока памяти под программу (адрес malloc мне известен).
2) Записать в выделенный блок программу. Т.к. блок выделен стандартным образом, не нужно беспокоиться, что кто-то его перетрет или он перетрет что-то
3) Запустить загруженную программу.
Для удобства, эта последовательность реализована в программе по отдельному ключу.

Далее есть два варианта:
— если программа простая/быстрая, то можно просто ее выполнить и вернуть управление обработчику, освободив память.
— если программа долгая или постоянно работающая, то можно запустить новую задачу, а после запуска вернуть управление обработчику (и не освобождать память).

Пока удалось устранить некоторые мелкие ошибки и перенести отлаженные исправления в прошивку. Но у меня вечно не хватает времени, поэтому результаты моих «исследований» выложены на eevblog в надежде, что коллективный разум будет быстрее.

Там лежит измененная прошивка, набор утилит, библиотека и примеры загружаемых модулей. Все (включая патч) в исходных текстах. Примеры модулей простенькие — мигания светодиодами.
Исключительно для шутки (как раз на 1 апреля) добавлен модуль, заставляющий осциллограф играть марш из Star Wars на встроенном динамике. Функциональность осциллографа при работе этого модуля полностью сохраняется. Переделка со старой досовской программы заняла всего минут 15.

Откомпилировать свой модуль несложного — достаточно иметь IAR, примеры модулей есть. Существенно больше времени требует разборки с «внутренними кишками» осциллографа. Но мое дело дать удочку — за рыбу я не в ответе.
На этом заканчиваю, т.к. более 150К букв не дают. К счастью.