## 文件基本信息| 属性 | 值 ||---|---|| **文件名** | rdlapp无扩展名 || **大小** | 29,364 字节 || **文件格式** | ELF 32-bit小端序 || **ELF 类型** | ET_EXEC独立可执行文件 || **目标 ABI** | ARM EABI (AEABI) || **目标架构** | ARM iWMMXtIntel Wireless MMX Technology || **编译器** | GCC 3.3.1 — MontaVista Linux 3.3.12004-10 || **动态链接器** | /lib/ld-linux.so.2 || **依赖的库** | libpthread.so.0、libc.so.6glibc 2.0 / 2.1 / 2.3.2 |---## 用途概述rdlapp 是摩托罗拉Motorola早期 Linux 智能手机平台上使用的**固件烧录工具**属于 **RDLRadio Description Language / Resource Download** 工具链的核心组件。它负责将固件写入设备内的多个闪存分区包括应用处理器系统和基带处理器通信固件。---## 硬件接口与操作设备该工具直接通过 Linux 字符设备节点操作硬件闪存| 设备节点 | 用途 ||---|---|| /dev/mtd0 / /dev/mtd | MTDMemory Technology Device主闪存分区 || /dev/apflash | 应用处理器Application Processor闪存 — 写入主系统固件 || /dev/bpflash | 基带处理器Baseband Processor闪存 — 写入基带通信固件 || /dev/usbhflash0 | USB 主机闪存 — 通过 USB 连接进行烧录 || /dev/mem | 物理内存直接访问 |---## 功能分析### 闪存操作- **读取 / 写入**read() / write()- **定位**lseek() 定位到指定闪存地址- **擦除**ioctl(MEMERASE) 通过 IO 控制命令擦除闪存块- **地址验证**校验启动加载器地址范围防止写入无效地址### 系统控制- REBOOT / RESTART — 烧录完成后重启设备- POWER_DOWN — 烧录完成后关机- 看门狗管理adogADOG — 防止烧录过程死锁### 通信协议- **RQRCS**Request Resources— 主机端请求资源- **RSRCS**Response Resources— 设备端响应资源- 用于主机PC与设备之间的 USB 或串行通信- 基于 pthreads 实现并发处理### 内存管理- malloc、memcpy、memset、memcmp 等标准 C 库函数- 包含 Can not allocate memory 等多处错误处理逻辑### 错误处理与日志- 使用 syslog 进行系统日志记录- 提供详细的 printf 风格调试输出- Data is different at 0x%.8x — 数据校验失败- Writing at 0x%.8x — 写入进度跟踪- Erase Failed — 擦除失败- reboot failed, errno %d — 重启失败---## 同目录关联文件| 文件名 | 大小 | 类型 | 说明 ||---|---|---|---|| rdlapp | 29,364 B | ARM ELF 可执行 | **主烧录程序**本文件 || ppmd | 16,620 B | ARM ELF 可执行 | Power Policy Manager 守护进程管理设备电源状态 || pmcomm | 7,336 B | ARM ELF 可执行 | Power Management Communication 工具与电源管理子系统通信 || getent | 16,296 B | ARM ELF 可执行 | 标准 GNU getent 工具获取 Name Service Switch 条目 || locale | 28,924 B | ARM ELF 可执行 | 标准 GNU locale 工具区域信息查询 || ppm_policy.txt | 1,145 B | 文本配置 | 电源策略配置文件定义功耗模式参数 || mkfifo | 0 B | 空文件 | Sentinel 标记指示需要创建命名管道 | 注目录下还有一个同名的 rdlapp 文件位于 D:\DownLoads\Motorola\RDL\rdlapp根目录大小同为 29,364 字节。### ppm_policy.txt 电源状态一览配置文件中定义了以下电源策略名称| 策略名称 | 说明 ||---|---|| active_low / active_high | 活动模式高低性能变体 || acop* 系列 | 多种应用处理器ACOP特定策略 || mem_bound | 内存密集型任务策略 || cpu_bound | CPU 密集型任务策略 || mem_cpu_bound | 综合密集型任务策略 || idle | 空闲状态 || standby | 待机状态 || sleep | 睡眠状态 || deepsleep | 深度睡眠状态 |---## 历史背景该工具属于 2004–2008 年间摩托罗拉 **Linux 智能手机平台** 的固件烧录工具链。搭载此平台的典型设备包括- **Motorola E680 / E680i / E680g**- **Motorola A780**- **Motorola A1200明系列**- **Motorola ROKR E6**- **Motorola E2**这些设备均采用- **应用处理器**Intel XScale PXA 系列ARM 架构支持 iWMMXt SIMD 指令集- **基带处理器**独立芯片飞思卡尔 / TI 等负责蜂窝通信- **操作系统**MontaVista Linux基于 Linux 2.4/2.6 内核的商业嵌入式 Linux 发行版- **闪存方案**MTDMemory Technology Device分区架构---## 架构总结PC 主机烧录工具│├── USB / 串行RQRCS/RSRCS 协议│├── /dev/apflash ──── 应用处理器闪存 ──── Intel XScale PXA│ │├── /dev/bpflash ──── 基带处理器闪存 ──── 基带芯片│ │└── /dev/mtd0 ────── 系统分区闪存 ──── Linux 内核根文件系统rdlapp 是这套架构中**连接 PC 与手机硬件之间的桥梁**负责将固件镜像安全、可靠地写入对应闪存分区。# rdlapp 通信协议详细说明---## 底层通信通信链路为 **USB/串行**底层通过 read() / write() 收发原始字节。打开的设备节点包括 /dev/usbhflash0USB 主机闪存和 /dev/bpflash基带处理器闪存。---## 帧格式所有命令与响应均采用统一帧格式[STX0x02][Command Tag (ASCII, null-terminated)][Payload]| 字段 | 长度 | 说明 ||---|---|---|| 0x02 | 1 字节 | 帧起始标志STX。发送函数 data_send(0xd278) 自动在头部插入接收解析器识别到 0x02 后开始解帧 || Command Tag | 变长3–10 字节 | ASCII 命令名称以 \0 结尾 || Payload | 变长 | 命令参数或响应数据 |---## 命令标签匹配机制标签比较器 tag_compare(0xc398) 将接收缓冲区中的数据与已知命令字符串逐字节比较直到**命令字符串遇到 \0null 终止符**则视为匹配。命令表位于 .data 段 0x168D0共 9 个条目每个 8 字节4 字节字符串指针 4 字节 handler_id。匹配成功后返回 handler_id0–11分发表跳转到对应处理函数。---## 命令速查表### Host→Device 命令| 发送标签 | 完整命令名 | Handler ID | case | 处理函数 | 说明 ||---|---|---|---|---|---|| ERASE | ERASE | 0 | 0 | 0xc8f4 | 擦除闪存指定地址范围 || ADDR | ADDR | 1 | 1 | 0xc784 | 设置烧录起始地址带校验和 || BIN | BIN | 2 | 2 | 0xcb48 | 接收二进制数据并写入闪存 || POWER_DOWN | POWER_DOWN | 3 | 3 | 0xcefc→0xd250 | 关机——实际走 reboot 路径 || RQHW | RQHW | 5 | 5 | 0xce1c | 请求硬件信息 || RQSN | RQSN | 8 | 8 | 0xcd88 | 请求序列号 || RQVN | RQVN | 10 | 10 | 0xce48 | 请求版本号 || RQRCS | RQRCS | 7 | 7 | 0xcf18 | 请求资源信息 || RESTART | RESTART | 11 | 11 | 0xd188→0xcf18 | 重启设备 |### Device→Host 响应| 响应标签 | 对应请求 | 处理函数 | 说明 ||---|---|---|---|| RSRCS | RQRCS | 0xc8f4 | 资源信息响应 || RSHW | RQHW | 0xcefc | 硬件信息响应 || RSSN | RQSN | 0xc784 | 序列号响应 || RSVN | RQVN | 0xcb48 | 版本号响应 |---## 每条命令的详细格式### 1. ERASE — 擦除闪存**格式**0x02 ERASEAAAAAAAADELIMBBBBBBBB| 字段 | 长度 | 说明 ||---|---|---|| ERASE | 5 字节 | 命令标签 || AAAAAAAA | 8 字节 | 起始地址ASCII 十六进制如 01AC0000 || DELIM | 1 字节 | 分隔符0x20 空格或任意单字节 || BBBBBBBB | 8 字节 | 结束地址含ASCII 十六进制 |**处理逻辑0xcff0→0xbc3c伪代码**cvoid handle_ERASE(uint8_t *input) {uint32_t start ascii_hex_parse(input, 8); // 前 8 字符uint32_t end ascii_hex_parse(input 9, 8); // 跳过 1 字节分隔符uint32_t len end - start 1;flash_erase(start, len);}int flash_erase(uint32_t start, uint32_t len) {// 对齐到 1MB 边界uint32_t blocks len 20; // 1MB 0x100000pthread_mutex_lock(mtx);g_erase_flag 1;pthread_cond_signal(cond);pthread_mutex_unlock(mtx);// 等待后台工作线程就绪while (g_ready ! 1)pthread_cond_wait(cond, mtx);uint8_t *buf malloc(0x100000); // 分配 1MB 缓冲区for (int i 0; i blocks; i) {// 定位到闪存地址lseek(fd, start i * 0x100000, SEEK_SET);// 填充缓冲区为 0xFFNAND 擦除后的默认值memset(buf, 0xFF, 0x100000);// 写入擦除后的空数据write(fd, buf, 0x100000);// 验证读回来对比read(fd, verify_buf, 0x100000);if (memcmp(buf, verify_buf, 0x100000) ! 0)return -1;}free(buf);return 0;}**示例** 擦除 0x01AC0000 ~ 0x01BFFFFF1.25MB0x02 ERASE01AC0000 01BFFFFF---### 2. ADDR — 设置烧录地址**格式**0x02 ADDRAAAAAAAACC| 字段 | 长度 | 说明 ||---|---|---|| ADDR | 4 字节 | 命令标签 || AAAAAAAA | 8 字节 | 目标烧录地址ASCII 十六进制 || CC | 2 字节 | **校验和**ASCII 十六进制 |**校验和算法**将 AAAAAAAA 这 8 个 ASCII 字符的 ASCII 码值**直接求和**取结果的低 8 位。checksum (input[0] input[1] input[2] input[3] input[4] input[5] input[6] input[7]) 0xFF**处理逻辑0xc784伪代码**cvoid handle_ADDR(uint8_t *input) {// 步骤 1: 计算校验和uint8_t expected_checksum 0;for (int i 0; i 8; i)expected_checksum input[i];// 步骤 2: 解析地址和校验值uint32_t addr ascii_hex_parse(input, 8);uint8_t chk ascii_hex_parse(input 8, 2);// 步骤 3: 验证校验和if (!g_initialized) {send_error(0x88); // 未初始化return;}if (expected_checksum ! chk) {send_error(0x80); // 校验和错误return;}// 步骤 4: 检查烧录状态机是否允许写入if (g_erase_in_progress 0 (g_flags 2) 0) {g_flash_address addr; // 存储烧录地址}// 步骤 5: 进入 BIN 接收模式switch_to_bin_mode(addr);// 步骤 6: 错误处理if (错误)send_error(0x83);}**示例** 设置地址为 0x01AC0000校验和计算ASCII 字符 01AC00000x30 0x31 0x41 0x43 0x30 0x30 0x30 0x30 0x1750x175 0xFF 0x750x02 ADDR01AC000075---### 3. BIN — 烧录二进制数据**格式**0x02 BINLLData...| 字段 | 长度 | 说明 ||---|---|---|| BIN | 3 字节 | 命令标签 || LL | 2 字节 | 数据长度**大端序Big-Endian** 的 uint16 || Data | LL 字节 | 要写入闪存的原始二进制数据 |**处理逻辑0xcb48伪代码**cvoid handle_BIN(uint8_t *input, int some_flag, uint8_t *end_ptr) {// 读取大端 16 位长度uint16_t length (input[0] 8) | input[1];uint8_t *data input 2; // 指向实际数据// 检查状态只有在 ADDR 命令设置了地址后才能接收数据if (g_bin_mode ! 1) {syslog(LOG_ERR, Error: not in BIN mode);send_error(0x83);return;}// 计算剩余空间和填充对齐int remaining end_ptr - data;int padding (4 - ((uintptr_t)data 3)) 3;// 4 字节对齐处理将不足对齐的部分从数据末尾修补到开头if (padding 0) {// memmove 尾部字节到对齐位置for (int i 0; i remaining; i)data[padding i] data[remaining - 1 - i];data padding;}// 将数据写入闪存由后续函数 0xc43c / 0xd4b8 处理写入write_flash(g_flash_address, data, length);g_flash_address length; // 地址自动递增}**示例** 发送 16 字节数据 0x11 0x22 ... 0x880x02 BIN\x00\x10\x11\x22\x33\x44\x55\x66\x77\x88\x99\xAA\xBB\xCC\xDD\xEE\xFF---### 4. RQRCS — 请求资源信息**格式**0x02 RQRCS无额外载荷。**处理逻辑0xcd88伪代码**cvoid handle_RQRCS(uint8_t *input) {// 构建资源响应头8 字节uint8_t resp_hdr[8];resp_hdr[0] 0x00; // 状态resp_hdr[1] 0x0D; // 分隔符CR?resp_hdr[2] 0x02; // 子版本/标识resp_hdr[3] 0x00; // 保留resp_hdr[4] 0xFF; // 掩码resp_hdr[5] 0x00; // 保留resp_hdr[6] 0x01; // 资源计数小端resp_hdr[7] 0x00;// 构建完整响应包build_response(g_resource_value, resp_hdr, 8);// 通过 data_send 发送标签为 RSRCSdata_send(RSRCS, resp_hdr);}**响应Device→Host**0x02 RSRCS[8 bytes resource data]资源数据块格式| 偏移 | 长度 | 典型值 | 含义 ||---|---|---|---|| 0 | 1 | 0x00 | 状态码0正常 || 1 | 1 | 0x0D | 分隔符 || 2 | 1 | 0x02 | 版本/标识 || 3 | 1 | 0x00 | 保留 || 4 | 1 | 0xFF | 掩码/能力位 || 5 | 1 | 0x00 | 保留 || 6–7 | 2 | 0x0001 | 资源数量小端序 uint16 |---### 5. RQHW — 请求硬件信息**格式**0x02 RQHW无额外载荷。设备返回带 RSHW 标签的硬件配置数据。---### 6. RQSN — 请求序列号**格式**0x02 RQSN设备返回带 RSSN 标签的设备序列号。---### 7. RQVN — 请求版本号**格式**0x02 RQVN设备返回带 RSVN 标签的固件版本号。---### 8. POWER_DOWN — 关机/重启**格式**0x02 POWER_DOWN处理函数 0xcefc 调用 watchdog_kick(0xd250)cvoid handle_POWER_DOWN() {// 入口 0xd250: 踢看门狗 → 等待线程 → 重启g_watchdog_active 1;wait_for_worker_thread();pthread_join(worker_thread, ret);if (ret ! 0)syslog(LOG_ERR, return code from pthread_join() is %d, ret);reboot(LINUX_REBOOT_CMD_RESTART);if (ret -1)syslog(LOG_ERR, reboot failed, errno %d, errno);} 注尽管命令名为 POWER_DOWN实际执行的是 reboot() 而非断电。---### 9. RESTART — 重启**格式**0x02 RESTART处理函数 0xcf18 调用 0xd264与 POWER_DOWN 相同但入口不同同样执行看门狗踢动 reboot()。---## 错误响应当命令解析或执行失败时设备通过 send_error(0xd478) 发送错误响应cvoid send_error(uint8_t error_code) {uint8_t packet[2];packet[0] error_code;packet[1] 0x00; // 终止符data_send(RSRCS, packet); // 错误信息使用 RSRCS 标签返回}| 错误码 | 含义 ||---|---|| 0x80 | 校验和不匹配ADDR 命令验证失败 || 0x83 | 操作失败多种内部错误路径 || 0x85 | 未知命令标签未匹配表中任何条目 || 0x88 | 未初始化闪存尚未初始化 |---## 完整的固件烧录会话示例 阶段 1: 握手 Host → Device: 0x02 RQRCSDevice → Host: 0x02 RSRCS\x00\x0D\x02\x00\xFF\x00\x01\x00[通信建立完成] 阶段 2: 擦除目标区域 Host → Device: 0x02 ERASE01AC0000 01BFFFFFDevice → Host: [无显式响应 / 通过 RSRCS 返回擦除状态] 阶段 3: 循环烧录数据块 Host → Device: 0x02 ADDR01AC000075 // 设置地址 0x01AC0000Host → Device: 0x02 BIN\x00\x10\x11\x22... // 烧录 16 字节Host → Device: 0x02 ADDR01AC001076 // 设置地址 0x01AC0010Host → Device: 0x02 BIN\x00\x20\x33\x44... // 烧录 32 字节// ... 重复 ADDR BIN 直到整个固件写入完成 ... 阶段 4: 重启 Host → Device: 0x02 RESTARTDevice: 执行 reboot()设备重启运行新固件---## 关键内部函数参考| 地址 | 函数名 | 作用 ||---|---|---|| 0xc210 | ascii_hex_parse(str, len) | 将 ASCII 十六进制字符串转为 uint32A-F 减 0x370-9 减 0x30每 nibble 左移 4 位 || 0xc2d8 | uint32_to_ascii_hex(val, buf, n) | 将 uint32 拆成 n 个 ASCII hex nibble写入 buf || 0xc398 | tag_compare(cmd_str, input) | 逐字节比较直到 cmd_str 遇到 \0 则视为匹配 || 0xc670 | build_response(table, buf, count) | 构建响应包每字节转为 2 字符 ASCII hex 写入 buf || 0xd1b0 | cmd_tag_matcher(table, count, input) | 遍历命令表返回匹配的 handler_id无匹配返回 0x0D || 0xd278 | data_send(tag, payload) | 构建并发送帧插入 0x02 STX tag 字符串 payload 数据 || 0xd478 | send_error(code) | 构建并发送错误响应 || 0xd4b8 | send_data_msg(tag_str) | 构建包含特定标签的复杂响应消息并发送 || 0xbc3c | flash_erase(start, len) | 执行闪存擦除以 1MB 为单位分块擦除 || 0x96ac | watchdog_kick() | 看门狗管理 线程清理 最终调用 reboot() |