别再只插线了！用示波器‘偷看’USB-C PD协议握手全过程（附BMC/4B5B编码解析）
用示波器破解USB-C PD协议：从波形到数据的实战解码手册
当你的Type-C设备开始充电时，CC线上正上演着一场精密的数字对话。大多数工程师满足于使用现成芯片，但总有人想掀开协议的黑箱——比如用示波器直接捕获PD协议的原始波形。这不是简单的插线测试，而是一次硬件层面的协议逆向工程。
1. 解码前的硬件武装
1.1 示波器配置黄金法则
要捕捉纳秒级的BMC编码信号，你的示波器需要满足这些硬指标：
- 带宽≥200MHz：BMC编码的上升沿可能短至2ns
- 采样率≥1GS/s：推荐使用5GS/s以上捕获细节
- 探头选择：高阻差分探头（建议1MΩ/10pF）
- 触发设置：边沿触发+毛刺捕获模式
注意：CC线电压幅度通常只有0.25-1.25V，建议将示波器垂直分辨率设为100mV/div
1.2 信号接入技巧
实测中发现三个关键接入点：
- CC1/CC2引脚：使用微型钩针直接连接
- VBUS滤波电容：作为参考地线接入点
- 隔离方案：建议使用光纤隔离器避免地环路干扰
# 示例：用PyVisa控制示波器捕获CC线信号 import pyvisa rm = pyvisa.ResourceManager() scope = rm.open_resource('USB0::0x1AB1::0x04CE::DS1ZA181806919::INSTR') scope.write(":TRIG:MODE EDGE;:TRIG:EDGE:SOUR CHAN1;:ACQ:POIN 1M") raw_data = scope.query_binary_values(":WAV:DATA? CHAN1", datatype='B')2. BMC编码的波形密码
2.1 曼彻斯特变种的特征识别
BMC编码的每个比特周期(Tbit)固定为300ns±10%，通过脉宽区分0和1：
- 逻辑1：前200ns高电平+后100ns低电平
- 逻辑0：前100ns高电平+后200ns低电平
常见异常波形处理：
| 波形特征 | 可能原因 | 解决方案 |
|---|---|---|
| 上升沿抖动>5ns | 探头接地不良 | 改用弹簧接地针 |
| 幅度衰减>30% | 阻抗不匹配 | 串联50Ω终端电阻 |
| 周期漂移>15% | 时钟不同步 | 启用硬件时钟恢复 |
2.2 实战解码五步法
- 锁定前导码：寻找连续的64个01交替周期（约19.2μs）
- 提取SOP*：接下来的20位BMC编码对应Sync1/Sync2
- 解析Header：16位4B5B编码包含报文类型和方向
- 处理Payload：每字节先BMC解码再4B5B转换
- 校验CRC：使用多项式0x11021计算校验值
# BMC解码示例（假设已捕获波形数据） $ python bmc_decoder.py --input waveform.csv --output decoded.txt Processing 64-bit preamble... Detected SOP': 0x3C7F2 (Sync1=0x1E3F, Sync2=0x1E3F) Message Header: 0x8A12 (Control Message from Sink) CRC Check: PASS3. 4B5B编码的转换玄机
3.1 编码对照表实战应用
原始4B5B编码表在PD协议中有特殊扩展，关键映射如下：
| 4B原始 | 5B编码 | PD特殊含义 |
|---|---|---|
| 0000 | 11110 | 前导码填充 |
| 1100 | 11010 | SOP'标识 |
| 1000 | 10010 | SOP"标识 |
| 1110 | 11100 | EOP结束符 |
3.2 手工解码技巧
当遇到无法识别的5B码时：
- 检查前三位是否匹配已知模式
- 尝试倒序解码（某些设备会反转LSB/MSB）
- 对照相邻字节判断上下文语义
提示：使用Excel构建4B5B查找表能显著提升解码效率
4. 协议流程的波形实证
4.1 电压协商全流程捕获
通过实际捕获的波形还原完整交互过程：
Capability阶段
Source发送的波形特征：- 前导码长度：64±2个周期
- Header的MessageID字段递增
- PDO数据包含多组电压/电流对
Request阶段
Sink回应的关键参数：# 解析Request报文示例 def parse_request(payload): obj_pos = (payload[0] >> 4) & 0x7 voltage = (payload[1] << 8) | payload[2] current = (payload[3] << 8) | payload[4] return f"Request {obj_pos}号对象: {voltage/20}V {current/100}A"PS_RDY确认
成功案例的时序特征：- ACCEPT到PS_RDY间隔：典型值120-150ms
- VBUS电压上升时间：应在1ms内完成切换
4.2 异常场景调试指南
| 故障现象 | 波形特征 | 解决方案 |
|---|---|---|
| 反复握手 | SOP'重复出现 | 检查Rp/Rd电阻值 |
| 电压不升 | 缺失PS_RDY | 验证FUSB302配置 |
| 通信中断 | CRC错误增多 | 调整CC线走线长度 |
5. 进阶：从解码到协议注入
掌握了协议解析后，可以尝试用FPGA实现协议注入：
// BMC编码生成模块示例 module bmc_encoder( input clk_300khz, input [7:0] data_in, output reg bmc_out ); always @(posedge clk_300khz) begin case(data_in[7:6]) 2'b00: bmc_out <= 1'b0; // 特殊控制字符处理 2'b11: begin // 生成BMC波形 bmc_out <= 1'b1; #200ns; bmc_out <= 1'b0; #100ns; end endcase end endmodule硬件黑客的乐趣就在于，当你看着示波器上那些跳动的波形，突然意识到自己正在与设备进行最底层的对话——这种突破抽象层的直接掌控感，才是硬件调试的真正魅力所在。