别再只插线了！用示波器‘偷看’USB-C PD协议握手全过程（附BMC/4B5B编码解析）

用示波器破解USB-C PD协议：从波形到数据的实战解码手册

当你的Type-C设备开始充电时，CC线上正上演着一场精密的数字对话。大多数工程师满足于使用现成芯片，但总有人想掀开协议的黑箱——比如用示波器直接捕获PD协议的原始波形。这不是简单的插线测试，而是一次硬件层面的协议逆向工程。

1. 解码前的硬件武装

1.1 示波器配置黄金法则

要捕捉纳秒级的BMC编码信号，你的示波器需要满足这些硬指标：

• 带宽≥200MHz：BMC编码的上升沿可能短至2ns
• 采样率≥1GS/s：推荐使用5GS/s以上捕获细节
• 探头选择：高阻差分探头（建议1MΩ/10pF）
• 触发设置：边沿触发+毛刺捕获模式

注意：CC线电压幅度通常只有0.25-1.25V，建议将示波器垂直分辨率设为100mV/div

1.2 信号接入技巧

实测中发现三个关键接入点：

1. CC1/CC2引脚：使用微型钩针直接连接
2. VBUS滤波电容：作为参考地线接入点
3. 隔离方案：建议使用光纤隔离器避免地环路干扰

# 示例：用PyVisa控制示波器捕获CC线信号 import pyvisa rm = pyvisa.ResourceManager() scope = rm.open_resource('USB0::0x1AB1::0x04CE::DS1ZA181806919::INSTR') scope.write(":TRIG:MODE EDGE;:TRIG:EDGE:SOUR CHAN1;:ACQ:POIN 1M") raw_data = scope.query_binary_values(":WAV:DATA? CHAN1", datatype='B')

2. BMC编码的波形密码

2.1 曼彻斯特变种的特征识别

BMC编码的每个比特周期(Tbit)固定为300ns±10%，通过脉宽区分0和1：

• 逻辑1：前200ns高电平+后100ns低电平
• 逻辑0：前100ns高电平+后200ns低电平

常见异常波形处理：

2.2 实战解码五步法

1. 锁定前导码：寻找连续的64个01交替周期（约19.2μs）
2. 提取SOP*：接下来的20位BMC编码对应Sync1/Sync2
3. 解析Header：16位4B5B编码包含报文类型和方向
4. 处理Payload：每字节先BMC解码再4B5B转换
5. 校验CRC：使用多项式0x11021计算校验值

# BMC解码示例（假设已捕获波形数据） $ python bmc_decoder.py --input waveform.csv --output decoded.txt Processing 64-bit preamble... Detected SOP': 0x3C7F2 (Sync1=0x1E3F, Sync2=0x1E3F) Message Header: 0x8A12 (Control Message from Sink) CRC Check: PASS

3. 4B5B编码的转换玄机

3.1 编码对照表实战应用

原始4B5B编码表在PD协议中有特殊扩展，关键映射如下：

3.2 手工解码技巧

当遇到无法识别的5B码时：

1. 检查前三位是否匹配已知模式
2. 尝试倒序解码（某些设备会反转LSB/MSB）
3. 对照相邻字节判断上下文语义

提示：使用Excel构建4B5B查找表能显著提升解码效率

4. 协议流程的波形实证

4.1 电压协商全流程捕获

通过实际捕获的波形还原完整交互过程：

1. Capability阶段
   Source发送的波形特征：

   • 前导码长度：64±2个周期
   • Header的MessageID字段递增
   • PDO数据包含多组电压/电流对

2. Request阶段
   Sink回应的关键参数：

   # 解析Request报文示例 def parse_request(payload): obj_pos = (payload[0] >> 4) & 0x7 voltage = (payload[1] << 8) | payload[2] current = (payload[3] << 8) | payload[4] return f"Request {obj_pos}号对象: {voltage/20}V {current/100}A"

3. PS_RDY确认
   成功案例的时序特征：

   • ACCEPT到PS_RDY间隔：典型值120-150ms
   • VBUS电压上升时间：应在1ms内完成切换

4.2 异常场景调试指南

5. 进阶：从解码到协议注入

掌握了协议解析后，可以尝试用FPGA实现协议注入：

// BMC编码生成模块示例 module bmc_encoder( input clk_300khz, input [7:0] data_in, output reg bmc_out ); always @(posedge clk_300khz) begin case(data_in[7:6]) 2'b00: bmc_out <= 1'b0; // 特殊控制字符处理 2'b11: begin // 生成BMC波形 bmc_out <= 1'b1; #200ns; bmc_out <= 1'b0; #100ns; end endcase end endmodule

硬件黑客的乐趣就在于，当你看着示波器上那些跳动的波形，突然意识到自己正在与设备进行最底层的对话——这种突破抽象层的直接掌控感，才是硬件调试的真正魅力所在。