Siemens CC75, внебрачный сын Motorola?!, Исследование прототипа Siemens MARS, Mosel Поделиться Опции

[EXL]

История сотрудничества Siemens и Motorola имеет давние корни. Ещё в 2002 году Siemens лицензировал 3G-платформу i.300 у Motorola, чтобы застолбить за собой место на рынке только-только появившихся 3G/UMTS телефонов. Результатом их кооперации стали модели Siemens U10 (2002) и Siemens U15 (2003), которые по сути представляли собой Motorola A830 и Motorola A835 с несколько изменённым дизайном и ПО. Оба этих телефонов как в оригинальном исполнении Motorola, так и в Siemens'овском вполне себе обсуждались на нашем форуме и даже немного модифицировались пользователями, в их прошивку добавлялся русский язык, редактировались SEEM'ы. Но были они достаточно редкими и в продаже даже на их родных европейских и американских рынках встречались довольно нечасто.

Официальные рендеры Siemens U10, Motorola A820, Motorola A830, Siemens U15, Motorola A835, Motorola A845 и их сравнение между собой

В 2005 году компания Siemens, тогда ещё пока не ставшая BenQ-Siemens, решила выпустить на рынок максимально простой, но в то же время стильный телефон в линейке популярной 75-серии. Внутри компании он имел кодовое название MARS, а некоторые устройства в "Product name:" были подписаны как Mosel. Финальное маркетинговое название модели должно было быть Siemens CC75.

Официальные hi-res рендеры Siemens CC75

Официальный hi-res промо-материал Siemens CC75

Увы, планам компании Siemens не суждено было сбыться и CC75 к большому сожалению отменили. О причинах отмены этого замечательного телефончика сейчас можно только гадать и предполагать. Возможно что последующее слияние Siemens с BenQ повлекло за собой чистку портфолио компании от не особо перспективных моделей.

Мобильная аналитика по Siemens CC75 от Эльдара Муртазина, 4-й квартал 2005 года, источник: https://mobile-review.com/articles/2005/siemens-new.shtml

Муртазин на своём сайте тоже писал о том, что рыночная ниша устройства была не особо понятна и конкуренция с мобильными телефонами других производителей была бы жёсткой. Например, с теми же Motorola SLVR L2 и Motorola SLVR L6, которые вышли в первом квартале 2005 года и к моменту предполагаемого выхода Siemens CC75 на рынок уже во всю продавались. Печально, но может быть именно они и забили последний гвоздь в крышку этого прототипа? Ведь их позиционирование и дизайн были весьма схожими. Забавно, что Siemens CC75 ожидали в релизе многие дистрибьюторы мобильных телефонов и даже публиковали его в своих каталогах.

Наличие Siemens CC75 в каталогах "Евросеть", фотографии overglube. Высококачественный скан по ссылке.

Так вот, казалось бы, причём тут вообще Motorola?! А всё дело в том, что сердцем Siemens CC75 должен был стать до боли знакомый нам процессор Neptune LTE от Motorola/Freescale, который использовался на огромном количестве мобильных телефонов Motorola и не только, от RAZR V3 до E398.

Так бы и канул этот Siemens CC75 вместе со всей интересной информацией о нём в небытие, если бы не коллекционеры мобильных телефонов из сообщества Siemens Mobile, которые тщательнейшим образом задокументировали и зафотографировали этот прекрасный по своему дизайну телефон. Дизайн Siemens CC75, кстати позже будет обыгран во вышедшей в релиз модельке BenQ-Siemens S68 (его сравнение с CC75 на фотографиях ниже), но это уже другая история, никак не связанная с Motorola. Строгий стиль Siemens CC75: серебристый металл, стекло, угловатый дизайн по особому привлекает внимание. Телефон действительно был бы очень красивым, если бы вышел в релиз.

Фотографии прототипа Siemens CC75 в цвете "Aluminium Silver" из личных коллекций Александра Борисевича и Дмитрия Лысенко, материал из группы Siemens Mobile: https://vk.com/variety_of_siemens

Коллекционеры даже смогли раздобыть прототип Siemens CC75 в чёрном цвете, наверное, уникальный и единственный в своём роде аппарат, только посмотрите на это чудо.

Фотографии прототипа Siemens CC75 в цвете "Black" из личной коллекции Виталия Сироткина, материал из группы Siemens Mobile: https://vk.com/variety_of_siemens

Более того, Дмитрий Лысенко смог найти бывшего разработчика связанного с Siemens CC75, который продавал этот телефон на Авито и взять у него обширное интервью, полное очень любопытной инсайдерской информации. Обязательно прочитайте его, оно очень интересное!

Фотографии стопки Siemens CC75 и других прототипов Siemens из интервью с бывшим разработчиком Elcoteq SE, источник: https://vk.com/@-145117607-intervu-s-razrabotchikom

Оказалось, что Siemens заказывал это устройство к производству не у самой Motorola, а у крупного финского субподрядчика Elcoteq SE, который занимался аутсорсом производства различной телекоммуникационной электроники для многих именитых производителей мобильных телефонов, в числе которых был как Siemens, так и сама Motorola. Elcoteq SE был достаточно крупной компанией и имел несколько центров разработки, расположенных в разных частях Европы. Несколько из них находились в России, в Санкт-Петербурге и занимались как разработкой плат, так и прошивок. Это объясняет почему в большинстве прототипов Siemens CC75 в интерфейсе во многих местах используются надписи на русском языке.

Фотографии Siemens CC75 в списке центра сертификации FCC: https://fccid.io/PWX-CC75/External-Photos/E...l-Photos-603771

Благодаря интервью с разработчиком и внимательности Azq2 были получены ссылки [1] и [2] на сервис сертификации FCC, где по FCC ID можно тоже найти некоторую информацию про Siemens CC75, включая руководство пользователя и его внутренние фотографии. Увы, но схемы и сервис-мануалы устройства там конфиденциальные. Доступные PDF-документы FCC можно скачать одним архивом по этой ссылке.

[EXL]

Самое интересное что можно получить из прототипа Siemens CC75 это дампы содержимого Flash ROM и IROM микросхем, которые было бы очень интересно исследовать. Что полезного это даст? Во-первых, полный дамп микросхем памяти мог бы помочь восстановить некоторые другие прототипы Siemens CC75, которые навечно застряли в состоянии вечной перезагрузки. Таких аппаратов известно мне 3-4 штуки. Во-вторых, дамп прошивки гипотетически можно будет запустить в утёкшем эмуляторе Neptune SimTech MOOSE, что позволит ещё более тщательно изучить и даже модифицировать прошивку этого прототипа. Интересующиеся Siemens CC75 люди смогли бы использовать этот эмулятор для ознакомления с тем как выглядит и как ощущается прошивка этого редкого устройства.

Запущенный Flash ROM прошивки Motorola SLVR L6i в эмуляторе SimTech MOOSE — наиболее близкий телефон по железу к Siemens CC75

Увы, но Siemens CC75 как и все прототипы, достаточно редко встречается "в дикой природе", а большинство обладателей этого устройства из числа коллекционеров мобильных телефонов довольно неохотно делятся какой-либо информацией и тем более не хотят производить различные программные и железные манипуляции с довольно дорогим аппаратом.

Для того, чтобы получить дампы регионов Flash-памяти и IROM-памяти необходимо проникнуть внутрь телефона. Аппараты, которые используют процессор Neptune LTE имеют два Boot Loader'а. Первый находится в IROM и зашивается заводом-изготовителем в сам SoC. Второй записан на Flash-чип и именно он инициализирует железо и стартует прошивку. Протокол общения второго бута по USB если и имеется, то к сожалению мне неизвестен, а вот первый бут должен иметь очевидную реализацию Motorola Flash Protocol, поскольку запекался в кремний на фабах Motorola/Freescale.

Поэтому в теории, Siemens CC75 может как и любая другая Motorola на Neptune LTE отправится в режим S Blank Neptune LTE при замыкании точек Test Point. Эта операция в контексте данного процессора простейшая и заключается в том, чтобы замкнуть питание Flash-микросхемы на землю. В этом случае при подаче питания первичный бут, находящийся в IROM, не сможет найти Flash-память и вторичный загрузчик на ней, поэтому запустит специальный Blank-режим. В теории звучит всё просто но на практике необходимо найти Test Point точки, при кратковременном замыкании которых и последующей подачи питания телефон бы отправлялся в Blank-режим. К счастью и среди коллекционеров мобильных телефонов бывают исключения и Den K решил поэкспериментировать над своим прототипом Siemens CC75 и найти нужные Test Point точки.

Прототипы Siemens CC75 с разъёмами Slim-Lumberg из личной коллекции Den K

Первый эксперимент с нахождением точки оказался неудачным, телефон опознавался компьютером как "Неизвестное USB-устройство", а вот вторая попытка дала положительный результат и Siemens CC75 определился как интерфейс NS Blank Neptune LTE. Аббревиатура "NS" здесь расшифровывается как Non-Secured, то есть модификация Neptune LTE без аппаратных систем криптозащиты (HAB, SecMem, RSA). Другие варианты подразумевают "S" — Secured, который был установлен в большинстве мобильных телефонов Motorola на платформе P2K, и "SE" — Secured-Engineering, который предназначался для инженерных прототипов Motorola.

Test Point для Siemens CC75, найденный Den K

Получив в распоряжение USB-интерфейс "NS Blank Neptune LTE" мы с Den K начали его исследовать. IROM реализует Motorola Flash Protocol, поэтому с этим интерфейсом могут взаимодействовать самые разные программы для телеонов Motorola, начиная с ramldr и заканчивая моим Flash Terminal, который был специально написан для снятия дампов с мобильных телефонов Motorola. Увы, но попытки заслать в Siemens CC75 разные RAMDLD-загрузчики от E398 (Blank/Flash), SLVR L6 (Flash) и LG G252 (Flash, ещё один ODM на NS Neptune LTE) любыми программами не увенчались успехом. Они засылаются в телефона, но запускаться и передавать что либо на USB-порт просто отказываются. Схема прошивки и чтения микросхем памяти через специальные загрузчики, загружаемые в RAM типична для многих мобильных телефонов.

Код

// Neptune LTE SoC Addressing

0x00000000: IROM (1.75 MB)
0x03FC0000: IRAM (256 KB)

0x10000000: Flash (32 MB)
0x12000000: RAM (8 MB)

Внутренний загрузчик IROM, он же первичный бут, реагирует на посылаемые команды корректно и даже отвечает на них в USB-порт. Вот только во всех этих ответах имеется одна странность — хотя их длина корректна и коррелирует с ожидаемой, содержимое ответа полностью занулено, причём не FF-байтами как это обычно бывает в случае с NOR Flash, а 00-байтами. Простыми словами, телефон реагирует на команды корректно, но отвечает нулями. Из-за этой очень странной особенности мы пока не можем снять с прототипа Siemens CC75 дамп его микросхем.

RQHW — ответ 23 байта в обоих случаях и RQRC — ответ 11 байт в обоих случаях, но у Siemens CC75 везде нули

Что мы с Den K только не делали! Даже по итогу поставили USB-сниффер и проанализировали сырые USB-пакеты которыми отвечал телефон на посылаемые ему команды. Увы, везде эти "00 00 00 00..." нулевые байты, а мы были так близко к решению этой интересной задачи!

USB sniffing Siemens CC75 с использованием Device Monitoring Studio

И ведь неясно где именно кроется корень проблемы. Это может быть какие-то нестандартные решения USB-порта Slim-Lumberg, так и намеренная защита от считывания информации с прототипов со стороны Motorola/Freescale.

Код функции util_ui8_to_hexasc(), которая отвечает за формирование ASCII HEX ответа в IROM

Стоит поменять в коде IROM вот эту функцию таким образом как это показано на скриншоте выше, то телефон на USB-команды будет отвечать именно так, как нам отвечает Siemens CC75. В конце-концов Den K проверил оба своих прототипа с разъёмами Slim-Lumberg и оба они к сожалению отвечали нулевыми байтами.

Подведу промежуточный итог. Несмотря на не слишком воодушевляющие результаты, опускать руки ещё рано, как и терять надежду того, что с Siemens CC75 наконец-то получится снять дамп. Вот краткий план действий того, что стоило бы проверить.

🟩 Проверить, а не идут ли данные по другим контрольным линиям USB. USB has four flavors of transfers: bulk, interrupt, isochronous and control. К примеру, TCI/TCMD (он же P2K-режим) использует control, тогда как используемый нами Motorola Flash Protocol подвязан на bulk. Нет
❌ Проверить прототип Siemens CC75 с Mini-USB портом от overglube. Проверено, поток данных занулен как и в случае обычных Siemens CC75 со Slim-Lumberg.
🟩 Попытаться написать собственный загрузчик или найти/подобрать готовый. Запатчить его, если это потребуется. Здесь многое упирается в инициализацию Flash-памяти.
🟩 Попытаться связаться с бывшим разработчиком Elcoteq SE и узнать у него информацию про Siemens CC75. Возможно, он сможет поделиться какими-то файлами по типу загрузчиков.
🟩 Попытаться расковырять стандартный протокол Siemens CC75, благо есть зацепка в лице прошивальщика Siemens CFX65 тоже называемого MARS. Прототип подключенный к этой программе при нажатии разных кнопок может перезагружаться или выключаться.
✅ Попытаться перевести Siemens CC75 в P2K-режим, так как на чешских форумах была найдена информация о том, что это возможно. Попытаться связаться с BonfireCZ, которому это удалось. Все известные прототипы Siemens CC75 теперь переходят в P2K-режим.
🟩 Произвести выпаивание Flash-чипа на программатор для последующего дампа его содержимого. Самый сложный из оставшихся вариантов, наряду с нахождением JTAG, если он вообще распаян.

В заключение, хотелось бы выразить слова благодарности тем людям, материал которых я использовал при написании этой статьи:

• Дмитрию Лысенко, коллекционеру из коммьюнити https://vk.com/variety_of_siemens
• Александру Борисевичу, коллекционеру из коммьюнити https://vk.com/variety_of_siemens
• Виталию Сироткину, коллекционеру из коммьюнити https://vk.com/variety_of_siemens
• Неизвестному сотруднику Elcoteq SE, давшему интервью https://vk.com/@-145117607-intervu-s-razrabotchikom
• overglube, коллекционеру из коммьюнити https://vk.com/variety_of_siemens и пользователю MotoFan.Ru
• Den K, коллекционеру из коммьюнити https://vk.com/variety_of_siemens и участнику siepatchdb@c.j.r
• PUNK-398, пользователю форума MotoFan.Ru