Устройство игрового OLED-монитора и особенности гейминга на нем

54 минуты назад Прокомментировать Просмотры: 4

В этой публикации я делюсь опытом реверс-инжиниринга собственного монитора. Задумывались ли вы, каков объем оперативной памяти вашего дисплея? Сколько вычислительных ядер скрывается под его корпусом? И сколько независимых версий микропрограмм обеспечивают его работу?

Конечно, после прочтения вы вряд ли сразу смените прошивку на своем устройстве. Однако вы приобретете нечто бо́льшее: научитесь подступаться к изучению аппаратной начинки любых гаджетов. А возможно, даже решитесь написать собственный софт для них.

Введение

Меня всегда привлекало понимание того, как устроены окружающие вещи, и при этом я хочу, чтобы техника подчинялась моим правилам. К сожалению, в последние годы наблюдается странная тенденция к деградации пользовательского опыта. Базовые, интуитивно понятные концепции в новых поколениях устройств будто бы специально усложняют, либо разработчики просто изобретают велосипед, игнорируя удачные решения прошлого.

Ностальгическое брюзжание о том, «как было раньше»

Взять хотя бы мою старую микроволновку: всё было элементарно — открыл дверцу, загрузил еду, захлопнул, нажал единственную клавишу, и пошел разогрев. Нынешняя же печь заставляет чувствовать себя пилотом лайнера. Сначала ее нужно разбудить отдельной кнопкой питания, причем с заметной задержкой — устройство зачем-то загружается и демонстрирует приветственный логотип. Только после этого можно открыть дверцу (тоже с лагом), запустить процесс… Кажется мелочь, но почему древняя микропечь справлялась с этим мгновенно и без лишних церемоний?

Разумеется, большинство подобных раздражающих факторов можно было бы устранить корректировкой программного обеспечения. Но производители наглухо закрывают исходный код. И дело не вредности: выпуск бытового прибора с открытым ПО — задача куда более трудоемкая и дорогая, чем с проприетарным. Требуется согласовывать юридические лицензии для каждой библиотеки, готовить громоздкую документацию, защищать чужую интеллектуальную собственность. К тому же компании часто банально стыдятся показывать внутренний код из-за его низкого качества. В итоге рынок забит дешевым в производстве железом с закрытым, неоптимизированным софтом и полным отсутствием техдокументации.

Я давно лелеял мечту дойти до такого уровня квалификации и свободного времени, чтобы взять прошивку микроволновки, роутера или смартфона и переписать ее под себя. Наверняка подобные дерзкие мысли посещали и вас.

Раньше подобная затея казалась непосильной. Требовалось обладать глубокими экспертными знаниями в самых разных сферах: от системного программирования до схемотехники и чтения даташитов на тысячи электронных компонентов.

Но так было в доискусственно-интеллектуальную эпоху. С появлением продвинутых ИИ-ассистентов моя давняя мечта стала вполне осуществимой.

Помимо микроволновки, у меня есть отличный девайс — широкоформатный игровой OLED-монитор MSI MPG 341CQPX QD-OLED. Полтора года назад профильные издания захлебывались от восторга, расхваливая его великолепную цветопередачу и богатый функционал. Мне безумно нравится картинка, частота обновления в 240 Гц и четыре видеовхода. Меня устраивает в нем практически всё, за исключением мелких нюансов.

Самый очевидный раздражитель — при каждом включении монитор три секунды демонстрирует фирменный логотип MSI ярко-фуксиевого цвета.

Полюбоваться им пару раз забавно. Но спустя полтора года эксплуатации я и так прекрасно осведомлен, кто производитель. Когда в процессе тестирования различных источников приходится подолгу включать и выключать дисплей, эта обязательная заставка начинает изрядно бесить. Хотелось бы полностью убрать анимацию и ускорить старт. Разумеется, в штатном меню такой опции нет. (Спойлер: технически эта возможность в прошивке заложена, просто вендор заблокировал к ней доступ).

Второй момент — коммутация источников сигнала. Переключение между ними превращается в ~~настоящий кошмар~~ крайне утомительную процедуру. Если выбранный порт неактивен, монитор мгновенно уходит в спячку и перестает реагировать на клавиши. Выход из сна занимает те же драгоценные секунды. Ошиблись с выбором входа? Цикл повторяется: засыпание, пауза, попытка проснуться, вывод сообщения «Out of sync» (причем на доли секунды), погасший экран. Хотелось бы большей прозрачности: чтобы устройство честно рапортовало о типе поступающего сигнала и причинах его неприятия, а засыпало исключительно по моей команде, а не по собственному усмотрению.

Последней капелей стало появление у меня MacBook Pro. Предыдущий MacBook Air подключался без проблем: закрыл крышку — и картинка транслируется на внешний экран. С «прошкой» начались фокусы: с открытой крышкой всё отлично, стоит ее закрыть — дисплей выдает «Out of sync», «No signal» либо начинает бешено стробировать основными цветами RGB на максимальной яркости. Наверняка проблему можно раскопать в недрах macOS, но делать это вслепую с заблокированным ноутбуком — то еще удовольствие. Монитор мог бы протянуть руку помощи, но увы. Разработчики явно не стремились сделать его гибким и дружелюбным инструментом.

Поскольку у меня уже накопился удачный опыт применения ИИ для реверс-инжиниринга несложной периферии (вроде кухонного контроллера подсветки или 60 ГГц радара), а также жгучее желание разобраться в анатомии современного дисплея, я дал старт этому увлекательному проекту.

Начало исследования

Логично предположить, что вся логика работы монитора зашита в его управляющей программе. Компания MSI регулярно выкладывает апдейты. На момент старта актуальной была версия FW.037, тогда как в моем экземпляре значилась предыдущая — FW.034. Сохранение старой версии критически важно, так как процесс обновления позволяет проследить логику взаимодействия, а повторить его без исходного файла может не получиться.

Я уже знал, что «сердце» любого монитора — это скалер, специализированный чип, обрабатывающий видеопоток и выводящий картинку на матрицу.

Скачав официальный бинарник прошивки, я скормил его ИИ-агенту со следующим запросом:

Это проект по реверс инжинирингу прошивки (Scaler Firmware) монитора MSI MPG 341CQPX QD-OLED https://www.msi.com/Monitor/MPG-341CQPX-QD-OLED/support. Цель: узнать алгоритмы работы монитора с OLED панелью и возможно улучшить их. Проверить возможность увеличения кадровой частоты. Понять как можно собрать свою прошивку для монитора. Проверить есть-ли в этой прошивке управление кнопками монитора и алгоритмы взаимодействия с HDMI и Display Port входами. Прошивка лежит в файле MSI_MPG_341CQPX_QD-OLED_FW.037_0225.bin . Можно использовать различные внешние тулы типа Ghidra. Проведи начальный анализ задачи и прошивки и напиши план.

Спустя час работы агент выдал вердикт: «Скалер — Novatek NT68503, панель — SDC QMC340CA01_D01». Документация на оба компонента отсутствует в открытом доступе. Внутри кремниевого кристалла скалера уживаются сразу четыре процессорных ядра на совершенно разных архитектурах: один STBC (STandBy Controller) на базе 8051, два ядра Leon2 (SPARC) и один процессор Tensilica Xtensa. И весь этот зоопарк кода упакован в один-единственный файл! Огромное спасибо MSI за то, что прошивка не зашифрована. Нейросеть сразу обратила внимание на обилие отладочной информации и заброшенные UART-консоли с наборами команд — это существенно облегчало понимание внутренних процессов.

Архитектура монитора вырисовывалась следующим образом:

Контроллер STBC 8051 — отвечает за холодный старт, инициализацию остальных ядер и опрос периферии (кнопки, джойстик, USB).
Leon2 Main — основное «тяжелое» ядро с кодом объемом 1.4 МБ. Управляет OLED-матрицей, задает режимы отображения и рендерит графический интерфейс (OSD).
Leon2 Sub — вспомогательное ядро, целиком отданное под видеовходы. Протоколы HDMI и DisplayPort требуют жесткого соблюдения таймингов, обработку которых основное ядро могло бы сорвать.
Tensilica Xtensa — специализированный DSP-процессор, судя по всему, отвечающий за анализ яркости кадра и управление токовой подсветкой. На момент написания статьи это наименее изученный узел.

Еще через час ИИ откопал в коде скрытое сервисное меню и комбинацию для его активации (зажать джойстик и подать питание). Я тут же проверил на практике — комбинация сработала безупречно.

Скормив агенту фотографию сервисного меню, я получил сопоставление его пунктов с областями прошивки. Выяснилось, что в памяти монитора хранятся уникальные для каждого экземпляра данные: серийный номер, суммарная наработка панели в часах и калибровочные таблицы. Агент проявил разумную осторожность и автоматически прописал себе правило: категорически запрещать любые попытки записи во флеш-память до тех пор, пока не будет обнаружено точное место хранения этих уникальных параметров и не будет сделан их бэкап. Он даже предположил, что эта область называется FE2P (Flash-emulated EEPROM). Впрочем, позже выяснилось, что конкретно в этой модели всё устроено иначе (но не будем забегать вперед). 🙂

Далее я сфотографировал стандартное OSD-меню. Нейросеть сопоставила пункты интерфейса с сервисными данными и выдала мне готовую карту команд, которые управляющий софт отправляет на OLED-панель.

Стало очевидно, что низкоуровневые алгоритмы обслуживания матрицы зашиты внутри самой панели — наш софт лишь отдает высокоуровневые команды и ждет ответа. Жаль, детали самого процесса регенерации пикселей остались за кадром. Но это также означало, что OLED-модуль оснащен собственным микроконтроллером и автономной прошивкой. Предлагаю по ходу чтения мысленно суммировать количество процессоров и прошивок — в финале сверим результаты.

Следующей задачей было понять принцип опроса элементов управления. Я сформулировал агенту такой запрос (сохраняю оригинальные опечатки из живой сессии):

Попробуй найти в коде обработку нажатий кнопок на мониторе, возможно там есть скрытые комбинации, типа вызова сервисного меню. У монитора 2 конопки, одна из них — это включение монитора и отправка его в сон, а вторая — функциональная с назначаемой функцией. Еще есть джойстик с 4-мя направлениями и возможностью на него нажимать.

Десять минут работы ИИ — и передо мной массив инсайтов. Оказывается, джойстик оцифровывается не через дискретные линии, а через аналоговый вход! Пять позиций управления висят на одной линии скалера, а различаются они по уровню падения напряжения. Ниже приведена примерная схемотехника подобного узла (информация дополнена по сравнению с первыми днями исследований).

Кроме того, код содержал рудименты программной эмуляции нажатий клавиш путем отправки команд в ядро Main. Зачем это заложено — загадка.

На этом моя первая четырехчасовая сессия (включая раздумья и диалоги с Claude Code) подошла к концу из-за исчерпания лимитов. Что мне удалось выяснить?

ИИ построил детальную карту официального бинарника от MSI:

0x000000-0x001900  8051 STBC bootloader (reset vector: LJMP 0x13F7)
0x004000-0x004200  Таблица JEDEC ID SPI-флеша, 57 записей по 6 байт
                   (SST, Macronix, Winbond, GigaDevice, EON, AMIC, ESMT, ISSI, Fudan)
0x006000-0x006048  Таблица разделов, 9 записей по 8 байт
0x010000-0x02E600  8051: основной код, MailBox, ADC-кнопки, отладочная консоль
0x030000-0x03D900  Tensilica Xtensa LE: контур LDC/ABL, своя отладочная консоль
0x050000-0x0A5600  Leon2 Sub, SPARC BE (85 % валидных опкодов)
0x0A6000-0x0A8800  Таблица указателей 0xA00xxxxx (символы/векторы Sub)
0x0B0000-0x0CF500  SPARC BE (81 %)
0x0D0000-0x0D8100  service runtime Leon2 Main @0xA0028000: traps, HAL, mailbox
0x0EC000-0x0F1B00  Инициализированные данные Leon2 Main → RAM 0xA8024000:
                   VERSION=37 @0x0EC020, дескрипторы и указатели на OSD-ресурсы
0x118000-0x11F800  60 EDID (база + CTA-861 + DisplayID), MSI 0x4DD0 "MPG341CX OLED"
0x11A000-0x128000  Данные (низкая энтропия, H=2.40)
0x128100-0x26A100  Leon2 Main, SPARC BE (73 %) + OSD-ресурсы и языковые строки

Контроллер монитора базируется на четырех разнородных ядрах.
Каждое ядро имеет собственный UART для отладочного вывода и приема команд.
OLED-панель управляется по собственному закрытому протоколу.
Где-то в недрах устройства спрятаны уникальные калибровочные данные, которые необходимо вычитать и забэкапить до того, как предпринимать рискованные манипуляции вроде правки сервисного меню.

Стало очевидно: чтобы продвигаться дальше и не превратить дорогой девайс в тыкву, необходимо добраться до платы, найти микросхему флеш-памяти и слить ее дампы. Имея на руках полный бэкап, можно не бояться экспериментов — в случае сбоя всегда удастся вернуть исходное состояние программатором. К тому же дамп поможет понять, как именно прошивка из дистрибутива укладывается на физические чипы памяти.

Вскрытие (монитора)

Главной целью становилось получение физического доступа к потрохам: подключение к UART-портам ядер и считывание флеш-памяти.

У меня имелся богатый опыт разборки ноутбуков и смартфонов, а также софт-аппаратные навыки чтения микросхем прищепкой Pomona. Большинство ноутбучных BIOS записаны в стандартных чипах SOIC8 с торчащими по бокам ножками — их можно запросто охватить прищепкой прямо на плате, даже без подачи питания на устройство.

Анализ кода показал активное использование SPI Flash, а значит, микросхема памяти распаяна где-то на плате, и до нее можно дотянуться. (Аналогичный процесс для других устройств я описывал здесь).

Загвоздка была лишь в том, чтобы этот монитор аккуратно вскрыть.

Вся моя предыдущая практика учила: залог успеха — официальный мануал по разборке (Service Manual). В крайнем случае — гайды энтузиастов или iFixit. Попытки ковырять корпус вслепую почти неизбежно ведут к заломам пластика и повреждению защелок.

А ломать свой прекрасный монитор без единого битого пикселя мне категорически не хотелось.

В Сети ничего по моей модели не нашлось. Зато обнаружилась инструкция от Dell на близкий по духу Alienware AW3423DWF с точно такой же изогнутой OLED-панелью 1800R. В документе рекомендовалось использовать специальную мягкую подушку для защиты матрицы и подробно описывалась карта защелок. Характерно, что на иллюстрациях Dell внутренности платы были заретушированы цветными квадратами. Секретность уровня Госдепа, не иначе.

Вооружившись надеждой, я атаковал техподдержку MSI, сославшись на европейские директивы по утилизации бытовой техники, требующие предоставлять инструкции по разборке. Идея подсказана ИИ, разумеется. 🙂 Предсказуемо получив вежливый отказ под предлогом «наличия опасных высоких напряжений внутри», я решил действовать самостоятельно.

Тут нужно сделать ремарку: я человек увлекающийся. Именно поэтому я обхожу стороной видеоигры — могу просидеть за ними ночи напролет. Подобные технические расследования затягивают ничуть не меньше. Видишь белые пятна на карте неизвестного мира и азартно прокладываешь маршрут, преодолевая препятствия.

Очередной вызов — вскрыть неразборный корпус, сохранив идеальный товарный вид, не оставив царапин и задиров, и при этом не имея фирменной подушки для матрицы. Но сделать это было жизненно необходимо. 🙂

Замену фирменной подушке составила обычная домашняя перинка, расстеленная на мягкой кровати. Монитор лег лицом вниз. Стойка уже была демонтирована — это единственные четыре винта снаружи. Дальше предстояла борьба со скрытыми пластиковыми клипсами.

Сначала я пытался работать традиционными медиаторами от iFixit и тонкими лопатками. Бесполезно. Пластик корпуса оказался высочайшего качества — жесткий, упругий, а защелки держали намертво.

Пример тупикового пути: слишком мягкие медиаторы и недостаточное усилие.

В голове постоянно крутилась мысль: только бы не сломать, иначе весь смысл исследования испарится. Вспоминался классический кадр из фильма:

Казалось, достаточно найти заветную точку, нажать — и крышка сочным щелчком отскочит сама.

Оружием победы стали прочные пластиковые лопатки для демонтажа автомобильного интерьера, армированные стекловолокном.

Суть метода сводилась к отгибанию краев задней крышки наружу, чтобы фиксаторы выскакивали из пазов. Процесс требовал крепких… нет, железных нервов: клипсы расстегивались с оглушительным треском, напоминающим пушечный выстрел. Тем не менее, корпус не пострадал. Теперь в моем репозитории хранится полная схема защелок.

И вот заветный результат:

Что скрывается внутри?

После двух суток борьбы с корпусом возникает ложное чувство, будто основные трудности позади. Но игра только набирает обороты. Внимательно изучаем плату. Вы же догадались, что справа расположена плата скалера, а слева — силовой блок питания?

Визуальный осмотр выявил:

Загадочный нераспаянный 14-контактный разъем CN4008.
Разъем CN4002, куда заведена плата с кнопками и джойстиком.
Разъем CN7003 с пустыми пинами.
Кнопку SW4101 неизвестного назначения.
Несколько пустых посадочных мест под разъемы. Очень хочется верить, что на каких-то из этих контактов висят те самые UART-консоли.

Не забываем о поисках микросхемы флеш-памяти. На видимой стороне платы обнаруживается пара-тройка микросхем в корпусах SOIC8. Рука уже тянется за прищепкой, но здравый смысл и привычка сверяться с даташитами останавливают. Проверка маркировки показала: видимые на этой стороне чипы памяти к прошивке отношения не имеют. 🙁

Задача усложняется. Придется изучать обратную сторону платы. Откручиваем крепеж (включая стойки видеовходов), аккуратно отсоединяем шлейфы (широкие ленточные разъемы сверху пока трогать боязно), отклеиваем металлизированный скотч — и плата переворачивается.

Ура, здесь обнаружились еще три микросхемы SOIC8. Снова сверка документации. На сей раз две из них действительно микросхемы памяти, но целевая SPI Flash — лишь одна, под индексом U1508. Вторая, U4003, представляет собой EEPROM с интерфейсом I2C, а опыта работы с такими чипами у меня пока не было.

Цепляю прищепку, подключаю Raspberry Pi и утилитой flashrom вычитываю U1508. Объем составляет 256 КБ — явно маловато для основной прошивки, но какая-то служебная часть здесь живет. Отправляю дамп ИИ на анализ и получаю отчет U1508: оказывается, это две разные прошивки USB-хаба VL211. Пока откладываем.

Второй чип, U4003, — это ST M24256 EEPROM на 32 КБ. Прошу агента подготовить почву:

В проекте есть микросхема U4003 типа 24256FP. Ее описание в файле docs/eeprom-u4003.md , а спецификация в datasheets/m24256e-f.pdf. Напиши инструкцию как прочитать данные из этой микросхемы не снимая ее с платы с помощью Raspberry Pi. В файле с описанием уже есть подобная инструкция, но она мне кажется не совсем верной, т.к. ее писали без даташита.

Агент выдал схему коммутации выводов Raspberry Pi с прищепкой и набросал скрипт на Python. На выходе получился 32-килобайтный файл. Беглый взгляд на дамп показал, что полезных данных там от силы килобайт, остальное забито нулями (0xFF).

После анализа ИИ сделал вывод: перед нами те самые уникальные параметры конкретного экземпляра монитора. Содержимое совпало со структурой сервисного меню: здесь прописаны часы наработки OLED-панели и цветовые калибровочные коэффициенты.

Отличные новости: персональный бэкап сохранен, и в случае факапа я смогу вернуть монитор к исходному состоянии. Но где же прячется прошивка скалера? Следующий кандидат на очереди — металлический экран, наглухо припаянный с лицевой стороны платы. И тут я задумываюсь. До сих пор мои действия не нарушали гарантию: корпус и винтики открывались без следов. Но выпайка экранирующего кожуха — это уже жесткое вмешательство. С другой стороны, без этого не добраться до основной памяти, а в случае краха восстановить софт будет нечем. Собравшись с духом, принимаю решение выпаивать экран.

Под экраном

При должной сноровке и терпении выпайка экрана оказалась не столь страшной. Шесть массивных точек припоя по периметру — и кожух снят.

Под ним обнаружился очередной сюрприз: массивный радиатор, укрывающий сам скалер, четыре чипа оперативной памяти DDR3 общей емкостью 1 ГБ и, наконец, искомый чип U4002 — SPI Flash объемом 32 МБ. Вот здесь прошивка точно есть. Но есть нюанс…

Микросхема выполнена в корпусе WSON8. У нее отсутствуют привычные выводы по бокам — контакты в виде миниатюрных пятачков спрятаны под днищем корпуса. Типоразмер чипа — 8×6 мм.