Siemens CC75, внебрачный сын Motorola?!, Исследование прототипа Siemens MARS, Mosel Поделиться Опции

[EXL]

История сотрудничества Siemens и Motorola имеет давние корни. Ещё в 2002 году Siemens лицензировал 3G-платформу i.300 у Motorola, чтобы застолбить за собой место на рынке только-только появившихся 3G/UMTS телефонов. Результатом их кооперации стали модели Siemens U10 (2002) и Siemens U15 (2003), которые по сути представляли собой Motorola A830 и Motorola A835 с несколько изменённым дизайном и ПО. Оба этих телефонов как в оригинальном исполнении Motorola, так и в Siemens'овском вполне себе обсуждались на нашем форуме и даже немного модифицировались пользователями, в их прошивку добавлялся русский язык, редактировались SEEM'ы. Но были они достаточно редкими и в продаже даже на их родных европейских и американских рынках встречались довольно нечасто.

Официальные рендеры Siemens U10, Motorola A820, Motorola A830, Siemens U15, Motorola A835, Motorola A845 и их сравнение между собой

В 2005 году компания Siemens, тогда ещё пока не ставшая BenQ-Siemens, решила выпустить на рынок максимально простой, но в то же время стильный телефон в линейке популярной 75-серии. Внутри компании он имел кодовое название MARS, а некоторые устройства в "Product name:" были подписаны как Mosel. Финальное маркетинговое название модели должно было быть Siemens CC75.

Официальные hi-res рендеры Siemens CC75

Официальный hi-res промо-материал Siemens CC75

Увы, планам компании Siemens не суждено было сбыться и CC75 к большому сожалению отменили. О причинах отмены этого замечательного телефончика сейчас можно только гадать и предполагать. Возможно что последующее слияние Siemens с BenQ повлекло за собой чистку портфолио компании от не особо перспективных моделей.

Мобильная аналитика по Siemens CC75 от Эльдара Муртазина, 4-й квартал 2005 года, источник: https://mobile-review.com/articles/2005/siemens-new.shtml

Муртазин на своём сайте тоже писал о том, что рыночная ниша устройства была не особо понятна и конкуренция с мобильными телефонами других производителей была бы жёсткой. Например, с теми же Motorola SLVR L2 и Motorola SLVR L6, которые вышли в первом квартале 2005 года и к моменту предполагаемого выхода Siemens CC75 на рынок уже во всю продавались. Печально, но может быть именно они и забили последний гвоздь в крышку этого прототипа? Ведь их позиционирование и дизайн были весьма схожими. Забавно, что Siemens CC75 ожидали в релизе многие дистрибьюторы мобильных телефонов и даже публиковали его в своих каталогах.

Наличие Siemens CC75 в каталогах "Евросеть", фотографии overglube. Высококачественный скан по ссылке.

Так вот, казалось бы, причём тут вообще Motorola?! А всё дело в том, что сердцем Siemens CC75 должен был стать до боли знакомый нам процессор Neptune LTE от Motorola/Freescale, который использовался на огромном количестве мобильных телефонов Motorola и не только, от RAZR V3 до E398.

Так бы и канул этот Siemens CC75 вместе со всей интересной информацией о нём в небытие, если бы не коллекционеры мобильных телефонов из сообщества Siemens Mobile, которые тщательнейшим образом задокументировали и зафотографировали этот прекрасный по своему дизайну телефон. Дизайн Siemens CC75, кстати позже будет обыгран во вышедшей в релиз модельке BenQ-Siemens S68 (его сравнение с CC75 на фотографиях ниже), но это уже другая история, никак не связанная с Motorola. Строгий стиль Siemens CC75: серебристый металл, стекло, угловатый дизайн по особому привлекает внимание. Телефон действительно был бы очень красивым, если бы вышел в релиз.

Фотографии прототипа Siemens CC75 в цвете "Aluminium Silver" из личных коллекций Александра Борисевича и Дмитрия Лысенко, материал из группы Siemens Mobile: https://vk.com/variety_of_siemens

Коллекционеры даже смогли раздобыть прототип Siemens CC75 в чёрном цвете, наверное, уникальный и единственный в своём роде аппарат, только посмотрите на это чудо.

Фотографии прототипа Siemens CC75 в цвете "Black" из личной коллекции Виталия Сироткина, материал из группы Siemens Mobile: https://vk.com/variety_of_siemens

Более того, Дмитрий Лысенко смог найти бывшего разработчика связанного с Siemens CC75, который продавал этот телефон на Авито и взять у него обширное интервью, полное очень любопытной инсайдерской информации. Обязательно прочитайте его, оно очень интересное!

Фотографии стопки Siemens CC75 и других прототипов Siemens из интервью с бывшим разработчиком Elcoteq SE, источник: https://vk.com/@-145117607-intervu-s-razrabotchikom

Оказалось, что Siemens заказывал это устройство к производству не у самой Motorola, а у крупного финского субподрядчика Elcoteq SE, который занимался аутсорсом производства различной телекоммуникационной электроники для многих именитых производителей мобильных телефонов, в числе которых был как Siemens, так и сама Motorola. Elcoteq SE был достаточно крупной компанией и имел несколько центров разработки, расположенных в разных частях Европы. Несколько из них находились в России, в Санкт-Петербурге и занимались как разработкой плат, так и прошивок. Это объясняет почему в большинстве прототипов Siemens CC75 в интерфейсе во многих местах используются надписи на русском языке.

Фотографии Siemens CC75 в списке центра сертификации FCC: https://fccid.io/PWX-CC75/External-Photos/E...l-Photos-603771

Благодаря интервью с разработчиком и внимательности Azq2 были получены ссылки [1] и [2] на сервис сертификации FCC, где по FCC ID можно тоже найти некоторую информацию про Siemens CC75, включая руководство пользователя и его внутренние фотографии. Увы, но схемы и сервис-мануалы устройства там конфиденциальные. Доступные PDF-документы FCC можно скачать одним архивом по этой ссылке.

[EXL]

Итак, небольшое исследование содержимого дампов микросхем и файловых систем целых четырёх инженерных прототипов Siemens CC75. Во-первых, спешу порадовать всех замечательной новостью. Кроме прототипа ahsim'а нам удалось снять дампы с более нового Siemens CC75 владельцем которого является Den K и ещё два своих прототипа сдампил коллекционер Дмитрий Лысенко, за что ему огромное спасибо! По итогу у нас получилось четыре FULL 32 MiB дампа образов флешек разных прототипов Siemens CC75 для дальнейших исследований!

Дампы Siemens CC75 от ahsim'а, Den K и Дмитрия Лысенко

1. IROM'ы

Для тех кто не в курсе мотороловской кухни, объясняю что IROM это внутренняя память самого SoC процессора, которая находится с ним на одном кристалле как и быстрая оперативная память IRAM. Тогда как RAM и ROM (Flash ROM) являются внешними по отношению к Neptune LTE и находятся на другой или других отдельных микросхемах. IROM является неперезаписываемым и намертво запекается в кремниевый кристалл процессора на фабе завода-изготовителя Freescale.

Через чтение области памяти 0x00000000...0x00400000 с "перехлёстом" был вычислен размер IROM, он оказался 1792 KiB (1.75 MiB), что полностью совпадает с размером IROM'ов на других Neptune LTE телефонах, таких как E398, RAZR V3, C650 и прочих. Побайтовое сравнение и чексуммы полностью идентичны во всех слитых IROM'ах, IROM'ы от Siemens CC75 полностью совпадают с IROM'ами от E398, RAZR V3, C650 байт-в-байт. Это значит что никакой разницы между IROM'ами NS Flash Neptune LTE (non-secure version) и S Flash Neptune LTE (secured RSA version) нет и инженерность SoC определяется лишь битами в его серийном UUID номере.

Одинаковый IROM у Siemens CC75 с E398, RAZR V3, C650 рождает парадокс. Почему же телефоны Motorola в Blank-режиме адекватно отвечают на команды Motorola Flash Protocol, а Siemens CC75 отвечает зануленным содержимым? На эту загадку до сих пор нет ответа, возможно как-то проверяется серийный номер UUID проца и в случае NS вырезаются/зануляются байты в ответе. Вот только зачем.

2. Full 32 MB Flash ROM dumps!

Итак, самое интересное и ценное в исследовании Siemens CC75 это их полные дампы Flash-микросхем от Spansion. Замечу, что как и все P2K-телефоны Motorola этот Siemens CC75 тоже использует порядок байт Big-Endian в прошивке и бутах.

2.1. 0x10000000-0x10007FFF, FBL, Bootloader

Как и у телефонов Motorola, в самом начале дампа Siemens CC75 идёт вторичный бут Flash Boot Loader версии 07.53 в котором имеется строка "© Copyright Motorola 2002". Бут очень старый, похоже что использовался ещё в телефонах линейки TRIPLETS: Motorola V300, V400, V500, V600 и др. Возможно что именно этот бут от условного V600 входил в пресловутую платформу Motorola/Freescale i.250, на это намекает в его самом конце такая строка как "Motorola (I250-000)", всё остальное здесь стандартно и совпадает с бутами от Motorola.

Строка "Motorola (I250-000)" в буте Siemens CC75

Буты в дампах ahsim и Den K одинаковые, буты в дампах Дмитрия Лысенко тоже одинаковые, но при этом между собой эти два разных набора бутов не совпадают. Версия при этом у них одна и та же, 07.53, но адрес точки входа в бут в случае обоих прототипов Дмитрия Лысенко другой: 0x10002B78 вместо 0x10002BC0, это может говорить о том, что в бут инженеры Elcoteq/Siemens могли внести изменения и перекомпилировать его для каких-то своих нужд, не меняя версию.

2.2. 0x10008000-0x1000FFFF, CG5, hwcfg

Здесь хранятся настройки инициализации различного железа на плате, которые используются бутом и прошивкой телефона. Во всех четырёх дампах hwcfg полностью одинаковый.

2.3. 0x10010000-0x1001FFFF, CG6, PDS

Кодовая группа, где хранятся калибровки дисплея, клавиатуры, сети, батареи, bluetooth, SIM-Lock, история прошивок и другая самая разная информация. Во всех четырёх дампах версия PDS_2006, как в древних телефонах платформы TRIPLETS. Вторая копия PDS по адресу 0x10018000 не используется и полностью пуста (кроме заголовка) на всех телефонах. В прототипе Den K упоминается более ранняя прошивка M2_ADE-G_C_13.3.0_R_0B.08.62, тогда как на телефоне у него самого стоит M2_ADE-G_C_13.7.0_R_0B.08.62, это намёк на то что его прототип прошивался. Забавно, что упомянутая старая версия прошивки в прототипе Den K оказалась на прототипах Siemens CC75 коллекционера Дмитрия Лысенко. Больше ничего интересного в PDS найдено не было.

2.4. 0x10020000-0x1003FFFF, PANICS, Panics Data

Пустая кодовая группа во всех дампах, видимо функциональность сбора паник отключена. Прототипы Siemens CC75 не умеют писать паники, либо пишут их в другое место, например, в файловую систему.

2.5. 0x10040000-0x1007FFFF, CG3, DSP Firmware, DSP Patches

Прошивка DSP-ядра процессора Neptune LTE, которая загружается в него при включении телефона. Несмотря на то, что в P2K Info всех 4-ых дампов Siemens CC75 её версия 62E1E0, побайтовое сравнение выявило различия между самым новым прототипом Den K и остальными. Неизвестно с чем связаны эти различия при неизменности версии. Снова простая перекомпиляция DSP Firmware без изменения версии?

2.6. 0x10080000-0x100800C3, CG0, Memory Map

Карта памяти прошивки даёт следующие результаты по списку кодовых групп во Flash-памяти:

Код

CG0:  0x10080000-0x1008FFFF
CG1:  0x100A0000-0x110FFFFF
CG2:  -
CG3:  0x10040000-0x1007FFFF
CG4:  -
CG5:  0x10008000-0x1000FFFF
CG6:  0x10010000-0x1001FFFF
CG7:  -
CG8:  -
CG9:  -
CG10: -
CG11: -
CG12: -
CG13: -
CG14: -
CG15: -
CG16: -
CG17: -
CG18: 0x11FE0000-0x11FE07FF
CG19: -
CG20: 0x11300000-0x1131FFFF

Как и в случае с кодовой группой CG3/DSP, у прототипа Den K имеются некоторые различия в карте памяти прошивки, видно что инженеры меняли размеры и адресацию кодовых групп:

Код

CG0:  0x10080000-0x1009FFFF
CG1:  0x100A0000-0x111FFFFF
CG20: 0x11200000-0x1121FFFF

Увеличен размер CG0, увеличен размер CG1, CG20 передвинута несколько выше. Ещё я заметил, что CG0 расширена в сравнении с телефонами Motorola, где она является просто небольшой картой памяти размера 0xC4 байт и дальше следует код CG1, тут же добавлен какой-то другой код.

2.7. 0x100800C4-0x1008FFFF, CG0, Flashstrap?

Начиная с 0x100800C4 размещается неизвестная Thumb-функция, назначение которой не совсем ясно (прыжок в CG1 скорее всего идёт отсюда). Непонятно зачем и с какой целью для этой функции нужно было откусывать такой большой объём Flash-памяти, да ещё и увеличивать его размер в более новых прототипах. За исключением этой функции размером ~200 байт блок кодовой группы дальше полностью пустой.

Предположительно это некий "Flashstrap", если разобрать эту функцию в IDA Pro, то видны обращения в периферию по адресам 0x24849005 и 0x24849000 и далее JMP-прыжок по адресу в R0, скорее всего на начало кода в CG1.

2.8. 0x100A0000-0x110FFFFF, CG1, Program, Software

Собственно самая крупная и главная кодовая группа в прошивке телефона Siemens CC75 и его моторольских родственников, где находится весь скомпилированный код прошивки, который изобилует кучей Motorola'измов и Siemens'измов. Большинство мотороловских черт вроде функции pu_main и версионирования тут сохранено. Кстати о версиях, в четырёх снятых нами дампах версии прошивок следующие:

Код

Mars SW v1.00 ----- ----- M2_ADE-G_C_12.14.0_R_0B.08.62 ahsim
Mars SW v2.00 v2.00 v3.20 M2_ADE-G_C_13.3.0_R_0B.08.62  Dmitry Lysenko
Mars SW v2.00 v2.00 v3.20 M2_ADE-G_C_13.3.0_R_0B.08.62  Dmitry Lysenko
Mars SW v2.00 v3.00 v4.10 M2_ADE-G_C_13.7.0_R_0B.08.62  Den K

Как видно из таблицы выше, прототип Den K как и предполагалось, оказался самым поздним, а прототип ahsim пока является самым ранним. Предположительное объяснение всех этих версий на примере прототипа Siemens CC75 владельцем которого является Den K:

v2.00, Mars SW -- общая базовая версия части прошивки Siemens.
v3.00 -- версия прошивки, которая отображается в меню телефона.
v4.10 -- неизвестно, возможно версия оболочки или наполнения файловой системы.
13.7.0 -- общая базовая версия части прошивки Motorola/Freescale.
0B.08.62 -- неизвестно, возможно версия той части GSM-стека, которая крутится на MCU/ARM.

Рядом со странным версионированием от Motorola и Freescale встречается так же некое название Freescale M2, возможно что это синоним названия платформы Motorola/Freescale i.250-021 и последнее кстати встречается в этих дампах в написании 250-012, что скорее всего опечатка.

Более подробно основной код прошивки Siemens CC75 будет изучаться несколько позднее.

2.9. 0x11300000-0x1131FFFF, CG20, Redbend FoTA

Неизвестная кодовая группа, которая не встречается в телефонах Motorola на Neptune LTE. Содержит скомпилированный код. В заголовке идёт адрес в начало IRAM+1 (Thumb?), возможно CG20 копируется туда? Может быть что это какой-то загрузчик с протоколами Siemens, позволяющий обновлять прошивку? В коде этой кодовой группы очень часты обращения к периферийным адресам, а ещё встречаются строки вида "Starting update", "current app is corrupt or mismatch delta base version", "Error, sector size is not power of 2", "Redbend - Init start version". Может быть это какой-то модуль FoTA?

Siemens использовал наработки компании Red Bend по технологии FoTA в своих мобильных телефонах

Гугление по фразе Red Bend Siemens действительно подтвердило мою догадку. Интересно, можно ли извлечь из этого FoTA-модуля что-то полезное, например, функцию инициализации параметров флешки Spansion и поблочного стирания и записи?

2.10. 0x11380000-0x11FDFFFF, CG2, Flex, File System & SEEMs

Файловая система лежит по адресу 0x11380000 как и на большинстве TRIPLETS'ов по типу Motorola V600. Она немного похожа на Intel FHS используемый в телефонах Motorola, но похоже что magic'и блоков перебиты разработчиками Siemens/Elcoteq на некий Kent:

Пример начала блока файловой системы в Siemens CC75 с "Kent" magic'ом

Внутри этой кодовой группы находятся все файлы телефона и SEEMs (настройки). Увы, но образы CG2 от Siemens CC75 не открываются ни во FlexParser04, ни в deflex, программах для разбора CG2 в телефонах Motorola. Кстати, блоки в этой кодовой группе тоже разделены по 0x20000.

Забавно, что во флексе и в PDS у Siemens CC75 нашлась версия флекса "GI9V600000AA081" от V600, что ещё раз сближает эту платформу Freescale M2, Motorola i.250-021 с телефонами линейки TRIPLETS, а именно Motorola V600.

2.11. 0x11FE0000-0x11FE07FF, CG18, SW Signature

В обычных телефонах Motorola в этом блоке содержится RSA-подпись прошивки CG1, но на прототипах Siemens CC75 этот блок пустует, хотя размечен в CG0. Значит ли это что если бы Siemens CC75 вышел в продажу, то его прошивка была бы защищена RSA, как у обычных телефонов Motorola? Этого мы уже никогда не узнаем.

3. Файловая система

Внутри файловой системы телефона, которая сливается программой P2K Tools VS имеются как привычные файлы для Motorola, так и для Siemens. Есть все основания полагать, что стандартные мотороловские директории перемаплены следующим образом:

Код

sys/ => /a/mobile/settings
img/ => /a/mobile/picture/*.bmp/*.jpg
anim/ => /a/mobile/picture/*.gif
audio/ => /a/mobile/audio

Контентное наполнение телефона отличается среди прототипов. В старых используются изображения из стоков Motorola и рингтоны Elcoteq, а вот в более новом протике Den K используются рингтоны и изображения Siemens.

Изображения в разных прототипах Siemens CC75: стоки Motorola/Freescale и Siemens

В директории /a/mobile/settings/ собраны все инородные для телефонов Motorola файлы меню и настроек. Вот только и для обычной Siemens-кухни x65 и x75 серий они тоже инородны. По итогу Siemens CC75 имеет уникальную прошивку, поэтому его инженерам-разработчикам многое нужно было переписывать с нуля.

4. Попытка эмуляции Siemens CC75 в SimTech MOOSE

Мы с fkcoder'ом в Telegram-чате MotoFan.Ru целых три часа пытались завести дампы Siemens CC75 в утёкшем эмуляторе SimTech MOOSE, но пока без какого-либо существенного результата. Мы нашли функцию pu_main, но дальше выполнение падает на 0x1032FA46, и падает оно очень неприятным образом, эмулятор перестаёт реагировать на branch'и при исполнении кода. Неизвестно пока куда двигаться дальше. Список функций-патчей и break'ов для дальнейших попыток:

Код

arm br 100AB70E
#arm br 100AC604
arm br 100AB718
arm br 100AB71C
arm br 100AB720
arm br 100AB724
arm br 100AB728
#arm wh 0x1032FA46 4600
#arm wh 0x1032FA48 4600
arm wh 0x1032FA4A 4600
arm wh 0x1032FA4C 4600
arm br 1032FA4A
arm br 1032FA50
arm br 1032FA54
arm br 1032FA5A
arm br 1032FA5E
arm br 1032FA62
arm br 1032FA68
arm br 1032FA6C

Возможно в будущем при попытках эмуляции LG G252, LG S3500 нам удасться решить и проблему с Siemens CC75 и довести его хотя бы до стартового экрана.

Запущенный bootloader 07.53 от Siemens CC75 в эмуляторе SimTech MOOSE на профиле V600

А вот бут Siemens CC75 на профиле Motorola V600 как и ожидалось в эмуляции запустился нормально и даже показал версию прошивки. Но это мало что даёт.

5. Рассуждения о Blank/Flash режимах

До сих пор непонятно как зайти во Flash-режим на Siemens CC75. Я продизасмил прошивку СС75 и нашёл сочетание кнопок клавиатуры при которой прошивка запускает Bootloader, это 0xFD3D, на телефонах Motorola такое сочетание генерируют зажатые кнопки * и #, но на Siemens CC75 это увы не работает.

Мы с ahsim'ом нашли способ зайти в бут его прототипа CC75 через P2K-режим, вот как он его описывает:

Телефон подключен к кабелю, жму в P2K Tools перейти во Flash-режим, но он не переходит. Далее долго жму красную кнопку, подтверждаю выключение - белый экран постоянно светится - в диспетчере определяется как Motorola Flash Interface.

Но это не всегда срабатывает, иногда телефон просто пишет какие-то странные цифры в углу экрана:

Неизвестный цифровой код в левом углу экрана вместо перехода в бут, фотография ahsim

А ещё этот способ, к сожалению, не работает на прототипе Den K, в его случае при нажатии кнопки "перейти во Flash-режим" в P2K Tools VS телефон просто гасит экран, но никуда не переключается. Самое интересное, что Siemens CC75 в режиме NS Flash Neptune LTE нормально отвечает на команды Motorola Flash Protocol, в отличие от режима NS Blank Neptune LTE где ответы отправляются пустые/зануленными. Кстати, USB_VID и USB_PID в режиме NS Flash Neptune LTE совпадают с теми, которые используют телефоны Motorola: VID_22B8, PID_4903.

Вообще в телефонах Motorola во Flash Interface (бутлоадер, режим S Flash Neptune LTE) можно войти тремя известными способами:

1. С помощью P2K-режима на включенном телефоне, что мы и протестировали ahsim'ом. Способ бесполезен если телефон программный труп или в бутлупе.
2. Зажатие определённых кнопок, которые дадут комбинацию 0xFD3D на определённом адресе. Это зажатые * и # кнопки на Motorola. В бутлоадере Siemens CC75 тоже захардкожено это же значение. Вот только до сих пор неизвестно, генерирует ли его какое-либо сочетание кнопок на CC75 и может ли вообще оно генерировать подобное.
3. Замыкание пинов 4 и 5 (13 и 14) на мотороловском CeBUS разъёме. По схеме это замыкание шаров Neptune LTE с обозначениями OPT1 и OPT2 между собой. Неизвестно, прокинуто ли это куда-то в разъём Slim-Lumber, и выведено вообще хотя бы на плату? Den K попытался найти эти OPT-точки, но пока не смог.

Siemens CC75 в режиме бута в программе RSD Lite, фотография ahsim

В любом случае, даже если мы найдём 100% способ заходить в бут на телефонах Siemens CC75, мы всё равно не сможем ничего записать в него из-за отсутствия RAMDLD'ов. Когда ahsim смог отправить свой Siemens CC75 в привычный моторольский бут, мы сразу же протестировали несколько RAMDLD'ов:

• RAMDLD, которым снимают и пишут 16 MiB и 32 MiB дампы на телефонах Motorola
• RAMDLD от E398
• RAMDLD от V600
• RAMDLD от LG G252
• RAMDLD от LG S3500

Увы, все они виснут после команды JUMP, вероятно из-за того что не могут проинициализировать Flash-память Spansion, поскольку в большинстве случаев в телефонах Motorola (и наверное LG) использовались флешки от ST и Intel, совместимые между собой.

Так что пока для решения проблемы залития слитых дампов обратно в прототипы Siemens CC75 я вижу только методы:

1. Искать другие телефоны на платформе Motorola/Freescale i.250 и похожих, кроме Siemens CC75, LG G252, LG S3500 могут быть ещё какие-то телефоны. И если в них юзается флешка Spansion, то RAMDLD'ы от их прошивок подойдут и для CC75!
2. Спросить сотрудника Elcoteq, который участвовал в разработке Siemens CC75, возможно какие-то файлики у него остались или прошивки, которыми они шили прототипы.
3. Пробовать сделать подходящий RAMDLD самому, раскопав инициализацию флешки Spansion и команды стирания и записи блоков по даташитам и мануалам. Скорее всего это довольно сложная задача.

К этому сообщению я прикрепляю архив с четырьмя известными на сегодня дампами Siemens CC75 и всем сопутствующим контентом.

Прикреплённые файлы: