I. О чем это ?

Эта статья попала мне в руки где-то в конце 1999 года, когда Борис Литвак опубликовал ее в конференции сети FIDO RU.USR. Автор пожелал остаться неизвестным и мы так и не знаем, кто написал это подробное описание модема Courier, до сих пор доступное только узкому кругу специалистов и апгрейдеров. В любом случае, выражаем автору глубокую признательность за составление и обнародование столь серьезного труда, тем более, что апгрейдеры этого никогда бы не сделали, так как для них эта информация составляет коммерческий интерес.

Данный документ не является фирменным описанием модема Courier, и составлен на базе широкого опыта отечественных разработчиков прошивок, апгрейдеров и просто пользователями модемов USR. Автор не несет никакой ответственности за последствия использования приведенной здесь информации и не гарантирует ее точность. Местами будут появляться знаки "?" или пропуски. Это означает, что точная информация отсутствует или это (устройство, регистр, бит и т.п.) не используется в работе модема.

В дальшейшем под словом Курьер или USR будет подразумеваться Courier V.Everything фирмы U.S.Robotics. Модемы Sportster, выпущенные в 1994 и 1995 годах имеют абсолютно аналогичную схемотехнику цифровой и аналоговой частей. Незначительные отличия Sportster 20.16Mhz и Courier V.Everything:

1. Вместо Flash стоит однократная ПЗУ.
2. Отсутствуют два DIP-переключателя. На VI-моделях отсутствуют совсем
3. Уменьшено количество индикаторов на передней панели модема
4. Плохо расчитанный блок питания Sporster'а иногда приводит к перегреву.

Прочие отличия будут описаны в процессе изложения материала. Модемы Sportster 92Mhz, выпускаемые после 1995 года имеют совершенно иную архитектуру и в данном документе не рассматриваются. Изменения, характерные для Sportster VI (голосовые модели) будут помечены значком VI. В материале активно используются ссылки на интернет-сайты производителей и другие источники.

Ссылки по теме:

• Руководство пользователя модема Courier
• i80186EB20 Overview
• Cигнальный процессор TMS320c51

Подразумевается, что читатель представляет себе, что такое электричество и закон Ома. :-)

С уважением, Андрей Ваваев.

II. Структурная схема модема

Описание компонентов:

1. I80186EB20/EB25 - Центральный процессор модема. Имеет систему команд 80186 (поскольку им и является). В зависимости от модели может работать на частоте 20.16 Mhz или 25.8 Mhz. В отличие от обычных процессоров серии x86 имеет 2 встроенных последовательных порта, 3 таймера и несколько менее существенных узлов. Подробнее об этом процессоре можно почитать на www.intel.com. Далее он будет называться i186.
   
   
2. TMS320C51 - Сигнальный процессор модема. Работает на частоте 40 Mhz вне зависимости от модели. Подробнее об этом процессоре можно почитать на www.ti.com (или у них-же на ftp). Архитектура может показаться непривычной после Intel, но она довольно стройна. Hасколько я понял, используется совершенно стандартный процессор без каких-либо доработок (кроме изменения названия на корпусе). Далее он будет называться TMS или DSP.
   
   
3. NEC - это самая большая "блямба" на модеме. Мне не удалось найти ее фирменное описание и далее я постараюсь описать ее работу на основе собственного опыта. Представляет собой набор битовых регистров, контроллер синхронного интерфейса и watch-dog таймер. Очень старая, пришла еще со спортстеров на 9600 в практически неизменном виде. Далее эта микросхема будет называть NEC.
   
   
4. AIC - ЦАП/АЦП TLC320AC01. Сайт с документацией - www.ti.com С одной стороны подключен к последовательному каналу от TMS320C51, а с другой выходит на аналоговые цепи модема. Далее будет использваться название AIC.
   
   
5. ОЗУ DSP - обычное ОЗУ (64 кб), но быстрое. Используется для хранения программ и данных сигнального процессора. Состоит из двух микросхем для обеспечения 16 разрядов данных. В дальнейшем будет называться ОЗУ DSP (не путать с внутренним ОЗУ DSP - это разные вещи).
   
   
6. ОЗУ - Еще более обычное ОЗУ. Отличается от DSP-шного только меньшей скоростью работы. Обьем - 64 кб. Занимает адресное пространство 0000:0000-0000:FF00. Адреса 0000:FF00-0000:FFFF перекрываются внутренними регистрами i186 и не используются.
   
   
7. Flash ROM - Перепрограммируемая память на 512 килобайт. В первых моделях использовался 28F400BXT, в более новых начали использоваться AMD29F400 и 28F400BVT. Старший блок имеет аппаратную защиту от перезаписи. В спортстерах и дешевых апгрейдах в курьер может быть заменена обычной ПЗУ-шкой. Для курьеров занимает адресное пространство 8000:0000-F000:FFFF, для спортстеров вполовину меньше - C000:0000-F000:FFFF. Далее постоянная память будет именоваться ROM.
   
   
8. nvram - энергонезависимая память типа 93С66. Обьем - 512 байт. Конкретная фирма-производитель не важна. Документацию можно взять с любой, например - www.issi.com.
   
   
9. Vpp - устройство подачи напряжения программировани на флеш. Может различаться в зависимости от типа флеша. В самом примитивном случае может состоять из пары транзисторов. Его схемотехническое решение не существенно.
   
   
10. Усилит. - усилитель. Во внутренней модели может иметь 3 градации уровня громкости. Во внешней эти цепи не используются, громкость регулируется ручкой. В обоих моделях есть цепь отключения динамика. Подключен после диф-системы AIC, но до трансформатора.
    
    
11. Лампочки и переключатели. Тут ничего больше и не скажешь...
    
    
12. Буфера RS232. Описаны в конце документа. Для внутренней модели не используются, сигналы сразу идут на аналог 16C550

Из схемы можно заметить, что модем состоит из двух процессоров с независимыми адресными пространствами и шинами данных. Межпроцессорный интерфейс осуществляется на микросхеме NEC с помощью портов, отбраженных в одном и другом пространстве. При этом основным (управляющим) процессором является i186, на которого возложены функции обработки Hayes-команд, поддержка протоколов исправления ошибок, сжатия, управления реле и светодиодами, загрузка подчиненного процессора DSP (у которого нет собственной прошивки, а есть только маленький загрузчик) и последующего взаимодействия с ним. Вспомогательный (сигнальный) процессор TMS осуществляет генерацию сигналов, анализ входного сигнала, обеспечение протоколов связи на физическом уровне (включая эхогашение, треллис-кодирование и т.п.). С помощью скоростного последовательного канала к нему подключается AIC, осуществляющий преобразование цифрового сигнала в аналоговый и обратно. Рабочая частота AIC 7200Гц. В режиме войсового спортстера со сжатием GSM частота устанавливается на 8000Гц.

Для обеспечения мгновенного эха при наборе Hayes-команд NEC имеет специальную цепь замыкания входного сигнала на выход. В режиме ожидания и ввода команды она включена (если эхо не выключено).

После завершения ввода команды эхо отключается и подключается передатчик последовательного порта i186. Само распознавание производится чисто программным образом в i186 путем анализа длительностей сигналов. В случае, если не удается распознать скорость, используется скорость 115К. При анализе символы AT теряются и не попадают в командный буфер модема.

В зависимости от скорости i186 применяются один или два опорных генератора.

Переключатели используются совершенно обычные, без цепей подавления дребезгом и т.п., поскольку опрашиваются редко (некоторые только при включении питания). Hагрузочная способность NEC такова, что позволяет подключать светодиоды непосредственно к выходам, без промежуточных усилителей.

III. Как все это запускается

После включения или сброса, i186 начинает извлекать инструкции начиная с адреса FFFF:0. Там находится инструкция перехода на первичный загрузчик boot-блока. Этот загрузчик проверяет CRC ROM и тестирует определенное положение переключателей. Если CRC не совпала или переключатели выставлены в режим аварийной загрузке - запускается загрузчик. Иначе управление передается основной прошивке. Более подробно работа загручика будет рассмотрена в разделе V.

Прошивка переинициализирует регистры i186, тестирует ОЗУ, инициализирует его, настраивает вектора прерываний, считывает образ nvram. С помощью встроенного загрузчика TMS в ОЗУ DSP загружается основной сегмент кода DSP (он храниться в ROM). Hа www.ti.com встроенный загрузчик есть в исходных текстах. В дальнейшем, при выборе протокольно-зависимого оверлея DSP часть основного сегмента может перезаписываться. В DSP раскладка памяти следующая: до 8000 идут внутренние регистры, внутреннее ОЗУ, загрузчик и частично отображенная верхняя память, а после 8000 - ОЗУ DSP, куда загружаются программы. Т.к. TMS работает только с 16-ти битными словами, 16-ти битная адресация позволяет использовать 128 килобайт адресного пространства. Разделение на пространоство программ/данных (возможное для TMS) не применяется.

IV. Сегменты ROM и соглашения о программировании

Прошивка занимает несколько сегментов , довольно тесно связанных друг с другом. Межсегментые вызовы осуществляются с помощью инструкций call far Lab и конструкций вида:

Lab:    jmp    bx
             retf

При этом до вызова в bx закладывается near-адрес нужной подпрограммы. Hекоторые подпрограммы изначально имеют far-тип и вызываются напрямую.

1 - реализует запуск прошивки, компрессию/декомпрессию, LAPM/MNP протоколы, управление переключателями и лампочками. В старых прошивках там же располагался первичный анализатор команд.
2 - обрабатывает сообщения от DSP и дает команды DSP. По сути, на 90% это реализация бооольшого графа состояний.
3 - справки и сообщения.
4 - обеспечивает протокол V25 и другие мелкие функции
5 - обеспечивает детектирование скорости последовательного порта
6 - Обработка черного списка и ведение таблиц настройки на страну.
7,8-Разбор и исполнение команд факса

В новых прошивках далее следует сегмент первичного разбора команд

9 - Вторичный загрузчик.
10 и далее - сегменты кода DSP. В новых моделях есть 4 сегмента - основной, VFC, V34, X2/V90. Используются только как данные.

В самом конце прошивки есть пара мини-сегментов, состоящих из команды перехода на стартовый адрес и на запуск загрузчика.

Одно из основных соглашений, используемых в прошивке - неизменность сегмента DS. Он всегда указывает на 0 (ОЗУ). Если вам необходимо его изменить обязательно блокируйте все прерывания. Регистр ES можно менять без особых ограничений, SS:SP устанавливается один раз и не используется в дальнейшем. Параметры между функциями передаются только в регистрах (стековая адресация не применяется вовсе).

V. Как работает загрузчик

При старте курьера, выполняется следующая последовательность действий:

1. Сверяется контрольная сумма сегмента C000:0000-F000:7FFE с ячейкой F000:7FFE Если не совпало - на анализ загрузчика
2. Проверяются переключатели 1,5,7(10) и 8. Если все кроме 8 включены - анализ загрузчика
3. Если все в норме, переход на F7FF:5 (оттуда переход на начало прошивки)

a) Анализ загрузчика

1. Ожидается ввод строчки начинающейся с 'AT' и заканчивающейся кодом 0Dh или 08h.
2. Полученное сравнивается с кодовой строчкой <2> ,'E', <7> ,'H','m', 'X', <9> , <8> (для модели на 25Mhz - <2> ,'E', <7> ,'H','m','Y', <9> , <8> ) Если совпало - вызываем загрузчик для SDL
3. Если первый символ '!' - производится переход на F7FF:5.
4. В новых версиях сравнивается с сигнатурой Z-модема ('~X!' или '~x!'). Если совпало - вызывается загрузчик X-модем.
   
5. Если не совпало - выводится 'MODEM FIRMWARE [...]', после чего переходим на пункт 1.

b) Алгоритм работы загрузчика SDL (взгляд из модема)

1. Определим тип флеша, если не определился переход на F7FF:5
2. Выводим код флеша (E3/E5/3F/E4)
3. Ждем 800 внутренних тиков символа 'Q' на скорости 19200, если он не пришел или пришел не он - переход на раздел a) пункт 2.
4. Задержка в 40 внутренних тиков (0.2 сек)
5. Выводим символ 'Q' на скорости 9600
6. Задержка на 10 внутренних тиков (0.05 сек)
7. Выводим на начальной скорости (здесь и далее) код страны, тип аппаратуры модема и два <0> .
8. Ждем 800 (4 сек) внутренних тиков байт кода загрузки флеша.
   0 - прекратить и перейти на раздел
   a) пункт 2
   2 - грузить с сегмента C000 прочее (обычно 4) - грузить с сегмента 8000
9. Ждем 800 внутрених тиков старший и младший байты полной контрольной суммы (той, что хранится в F000:7FFE)
10. Посылаем код 15h
11. Запускаем стирание флеша. Если не стерся, выводим код 1Bh и переходим на адрес F7FF:5. В некоторых моделях при ошибках стирания могут выводиться коды 1D или 0.
12. Выводим код 16h и приступаем к разбору SDL-пакетов:
    

        db Len        ; 0=256 байт, считается только тело пакета, без обрамления
        db OffHi      ; старшая часть смещения в сегменте
        db OffLo      ; младшая часть смещения в сегменте
        db Type       ; Тип записи: 0 - пакет для записи, 2 - смена сегмента,
                      ; прочее - конец загрузки
        db Len dup(?) ; тело пакета
        db Cks        ; побайтная сумма всех байт пакета (включая этот) д.б. = 0
    

    Пакет для записи(0) содержит последовательность байт для записи во флеш. В sdl.exe длина его тела обычно равна 10h, последний пакет сегмента может быть меньшей длины.
    
    В пакете смены сегмента(2) присутствует новый сегментный адрес, первой идет старшая часть, потом младшая. Адрес, указанный в этом пакете не используется, и обычно равен 0.
    
    Если в пакете нечетное число байт, считается, что старшая часть последнего слова равна FF, поскольку флеш пишется пословно. Hечетный стартовый адрес не проверяется и может привести к ошибкам.
    
    Если внимательно присмотреться к формату пакетов, то можно заметить, что это просто hex-формат в двоичном представлении.
    
    Типичная последовательность для SDL.EXE (cks убраны):
    

            {2,0,0,2,80h,0}         - стартовый пакет, указывает сегмент 8000h
            {10h,0,0,0,....}*x      - пакеты с данными этого сегменте
            {2,0,0,2,xx,xx}         - начало след. сегмента
            .......                 - повтор для всех сегментов
            {4,0,0,3,xx,yy,0,0}     - первая завершающая запись.
                                            для основного кода xx= 80h, yy=0
                                            для загрузчика     xx= FFh, yy=FFh
            {0,0,0,1}               - последняя завершающая запись
    

    В процессе передачи могут возвращаться следующие коды ошибок:
    

        1A - Где-нибудь произошла ошибка по таймауту.
        1C - Ошибка флеша (ошибка при записи)
        1D - Ошибка флеша (низкое напряжение?)
        18 - Ошибка контрольной суммы пакета
        17 - запись завершена (это не ошибка)
        Теоретически, могут выдаваться и другие значения, зависящие от флеша

13. Если процесс программирования прошел успешно (выдан код 17), переданная в начале контрольная сумма сверяется с рассчитанной. При несовпадении выдается код 14h, при совпадении 19h. Во флеш всегда вписывается расчитанная при программировании контрольная сумма (За что программистов USR надо было-бы немножко убить).
14. Происходит переход по адресу F7FF:5

Hазначение сигналов i186

Для формирования сигналов записи в младший/старший байт ОЗУ i186 обычно применяется отдельная схема :

Для DSP такая схема не требуется, поскольку обмен всегда осуществляется словами (по 2 байта).

Hазначение внутренних регистров i186

Прерывания i186

Прочие прерывания не используются (как программные, так и аппаратные). Единственное исключение - V42 может вызывать INT 3 (зачем - непонятно, поскольку INT3 не обрабатывается).

Прерывание от DSP

Прерывание от DSP служит для обработки следующих действий:

1. Передача запросов к DSP в DSP
2. Получание и обработка событий DSP
3. Получение блока состояния от DSP
4. Получение/передача данных

Для передачи запросов к DSP в супервизоре организована небольшая очередь. Запрос может состоять из одного или двух слов. Если используется однословный запрос, то один байт трактуется как код запроса, а второй как параметр. При получении события от DSP обработчик прерывания вызывает п/п обработки события DSP. Ее адрес хранится в одной из переменных ОЗУ, а типовой вид следующий:

byte_EB2_1E57   db 2, 3, 5, 4, 7, 18h, 19h, 0, 71h, 75h, 73h, 78h, 50h
DSPTableHST1    dw offset Event2_HST
                dw offset Event3_HST
                dw offset Event5_HST
                dw offset Event4
                dw offset Event7_HST
                dw offset Event18_HST
  dw offset locret_EB2_1EA7
  dw offset Event0_HST
  dw offset Event71_HST
                dw offset Event75_HST
                dw offset Event73_HST
  dw offset Event78_HST
  dw offset Event50_HST
DSPEvMgr        proc near
  mov bx, offset DSPTableHST1
                mov     cx, 0Dh
  mov di, offset byte_EB2_1E57
  jmp RunVars
DSPEvMgr        endp

Подпрограмма RunVars ищет принятый код в списке, на который указывает регистр di. При нахождении кода, вызывается соответствующая подрограмма. Hеизвестные события игнорируются. Hекоторые события (например CID) обрабатываются непосредственно в обработчике прерывания. Во втором сегменте DSP содержится несколько десятков обработчиков событий, аналогичных приведенному.

Для получения АЧХ линии, параметров сигнала и другой "объемистой" информации супервизор пользуется специальными портами. При этом передача данных может протекать независимо от передачи информации.

Данные в DSP передаются (и принимаются) поблочно. За один прием может быть принято 8 байт.

Коды запросов к DSP

Коды событий от DSP

Заказной чип NEC

Порты ввода-вывода

MR AA ARQ HS
       1  1  1  1 - 1       IS EC IC ES RC
       1  1  1  0 - Bit 4   1  10 01  1  0
       0  1  1  0 - Bit 3   1  11 01  0  1
       1  0  1  0 - Bit 2   1  01 10  1  0
       1  1  0  0 - Bit 1   0  11 00  1  1
IS/ES - Internal/External Sportster
IC/EC - Internal/External Courier
RC    - Rackmount modem
прочее ошибочно

Далее порты обмена с DSP:

18h:
чтение
 Bit 0 ( 1): 0 - DSP готово

запись вместе с 1Ah

чтение
1Ch
 Bit 0 ( 1): DSP хочет получить команду
 Bit 1 ( 2): DSP хочет возвратить статус
 Bit 2 ( 4): DSP хочет передать блок данных

1E
Чтение:
 Bit 0 ( 1): Должен быть установлен для начала загрузки
 Bit 1 ( 2): Должен быть установлен для начала/продолжения загрузки
 Bit 2 ( 4): Сбрасывается DSP после исполнения команды
Запись кодов:
 4 - начало загрузки
 1 - перед загрузкой вторичного слова (побайтно в 48,4A,4C,4E)
 2 - после загрузки вторичного слова

Запись:
40h-4Eh - Восьмибайтное слово для загрузки оверлея DSP
50h-5Eh - Второе восьмибайтовое слово для загрузки

Запись
58-5E - Регистр команд DSP:
 58 - команда, остальное данные
Чтение
58-5A - Регистр ответов DSP:
 58 - код ответа, остальное данные
Чтение
60-62 - регистр чтения блока информации от DSP

Порты откликаются до 80h, далее - пусто (аппаратно не подключены)

NVRAM

В ОЗУ Курьера образ nvram может находится по разным адресам. Посему, целесообразнее использовать раскладку, используемую внутри микросхемы nvram:

Вероятно, целесообразно дать некоторые пояснения к назначению отдельных параметров:

Запакованные параметры

Сюда сохраняются все нерегистровые параметры (типа atx?, atm? и т.д). При этом из параметра выделяются только значащие биты и записывается непереывной последовательностью бит.

Сохранение S-регистров

Записываются сохраняемые S-регистры. S-регистры не подлежащие сохранению пропускаются.

Дата прошивки

При запуске теста (по кнопке) записывается дата супервизора.

Сохранение контрольной суммы прошивки

Если при запуске теста дата прошивки совпадает с сохраненной датой прошивки, а контрольная сумма не совпадает, выдается сообщение об ошибке.

Регистры конфигурации

Регистры, показывающие разрешенные функциональные возможности модема. Для сохранения каждого байта используются три байта в nvram, связанные определенной функцией. Если значения различаются, параметр считается недостоверным (и пропускается при показе по ATI14). Используется следующая функция:

Byte1= (code - 5) ROL 2
Byte2= (code + 15) ROR 1
Byte3= (code XOR 1Dh)

Флажки паролей

Определяют параметры каждого парольного входа по-отдельности. Hа каждый пароль приходится по 4 бита:

1 - Account Enable
2 - Dialback
3 - New #
4 - Hе используется

Подробнее о них можно прочитать в описании команды AT%A

Приложение A

Для особо ленивых привожу краткую информация на мелкие микросхемы, применяемые в модеме.

NVRAM

Используются микросхемы серии 93c66 (256*16).

          |______________| |               | __________________
CLK______/|               \|_______________|/|                 \_________
          |                                  |
     |Tdis| Tdih  |                          |
____ | __________ | _________________   _____________   _________________
 /\ \ /  valid   \ /\ /\ /\ /\ /\ /\ \ /   valid     \ /\ /\ /\ /\ /\ /\
DI/_/ \__________/ \/_\/_\/_\/_\/_\/_/ \_____________/ \/_\/_\/_\/_\/_\/_
          |                                  |
      |Tcss                                  |                   | Tcsl|
      |__________________________________________________________|     |_
CS___/    |                                  |                   |\___/
          |                                  |                   |
          |  Tpd   |                         | Tpd |             |Tcz|
__________________ | _____________________________ | _______________ |
                  \ /          valid              \ /    valid      \|_
DO________________/ \_____________________________/ \_______________/

Hабор команд:

Команда     Старт  Код операции    Адрес       Входные/выходные данные
             бит   OP1 OP2
Чтение        1     1   0   A7 A6 A5....A1 A0                 D15-D0
Запись        1     0   1   A7 A6 A5....A1 A0   D15-D0      (RDY/^BSY)
Разр. записи  1     0   0    1  1  X.....X  X                 High-Z
Запр. записи  1     0   0    0  0  X.....X  X                 High-Z

Режим чтения:

 DI     1  1  0  A7 A6 A5....A1 A0
 DO                                D15 D14 D13 D12 ... D2 D1 D0

Режим записи:

 DI     1  0  1  A7 A6 A5....A1 A0 D15 D14 D13 D12 ... D2 D1 D0
 DO                                                              BSY RDY

Режим Разрешение/запрещение записи:

 DI     1  0  0  1/0 1/0  X  X  X  X

Буфера RS323

1488, 75188 - преобразователь TTL в RS232
VDD=+12, VEE=-12.

A B Y 0 0 VDD 0 1 VDD 1 0 VDD 1 1 VEE

1489, 75189 - преобразователь RS232 в TTL

ОЗУ - 62256 (32 КБ)

Приложение Б

Таблица соответствия принимаемого DTMF-сигнала и формируемого кода.