- `cmd1`/`cmd2` вместе образуют **опкод** (см. §6). 🔎 подтверждено по фрейм-билдеру официального приложения (`C6117b.m30831g`).
- `chunkCount` = общее количество чанков для этой команды; `chunkIndex` — **с 1**.
- `chunkLen` = количество байт `chunk` в этом фрейме.
- Одна BLE-запись может фрагментироваться по MTU канала; приёмник буферизует сырые байты и заново извлекает полные фреймы. Большие полезные нагрузки разбиваются на несколько чанков (одинаковые `cmd1/cmd2`, возрастающий `chunkIndex`) и собираются по порядку.

### Соглашение об опкодах (✅ подтверждено на проводе)

- `cmd1 = 0xFFFF`: `cmd2` в диапазоне `0x80xx`/`0x90xx` = телефон→часы (запрос/установка); `0x00xx`/`0xa0xx` = часы→телефон (ответ). Пары сопоставляются по младшему байту (`0x9055`↔`0xa055`, `0x8051`↔`0x0051`).
- специфичный для функции `cmd1`: суффикс `cmd2` = `0x0001` **SET**, `0x0002` **GET**, `0x0003` **ACK**.

### Тело чанка

Для каждого чанка тело — это `payloadPiece ‖ CRC32_LE(payloadPiece)` (4-байтный CRC, little-endian, zlib/IEEE). Если команда **зашифрована** (см. §3), весь `payloadPiece ‖ CRC` затем шифруется AES-128-CBC/PKCS7, и этот шифротекст становится `chunk` фрейма.

**Особенность открытого текста:** для опкодов без шифрования часы *учитывают* 4-байтный CRC в `chunkLen`, но **не** передают его. Поэтому при декодировании фрейма с открытым текстом фактическая длина данных равна `chunkLen − 4`. (Зашифрованные фреймы несут CRC внутри шифротекста как обычно.)

Размер чанка (чтобы зашифрованные чанки ложились на границы AES-блоков), при `maxWrite = mtu − 3`:
- зашифрованный: `floor((maxWrite − 11) / 16) * 16 − 4 − 1`
- открытый текст: `maxWrite − 11 − 4 − 1`

✅ Все наблюдаемые значения `chunkLen` зашифрованных фреймов были кратны 16 (выравнивание по блокам соблюдается).

---

## 3. Криптографические примитивы

- **AES-128-CBC** с дополнением **PKCS7** и **фиксированным IV** (из прошивки `CmfCharacteristic.AES_IV`):
  `50 51 52 53 54 55 56 57 60 61 62 63 64 65 66 5A`.
- **CRC32** (zlib/IEEE), выдаётся как 4 байта little-endian.
- **SHA-256** по конкатенации частей.

Вывод ключа:```
authkey      = SHA256( rnd1 ‖ rnd2 ‖ secret )[0..16]      // persisted across sessions
sessionKey   = SHA256( nonce ‖ authkey )[0..16]           // per connection

При `AUTH_FAILED (0xFFFF,0xA061)` или несовпадении подписи аутентификация завершается неудачей.

### 4.2 Повторное подключение (authkey уже известен)```
        set crypto key = authkey (persisted)
phone → AUTH_PHONE_NAME      (encrypted)  payload = 0xA5 ‖ model
watch → AUTH_WATCH_MAC       (encrypted)
phone → AUTH_NONCE_REQUEST   (encrypted)  payload = 0xA5
watch → AUTH_NONCE_REPLY     (encrypted)  payload = nonce
        sessionKey = SHA256(nonce ‖ authkey)[0..16]   → set crypto key = sessionKey
phone → AUTHENTICATED_CONFIRM_REQUEST (encrypted)  payload = 0xA5
watch → AUTHENTICATED_CONFIRM_REPLY   (encrypted)  → Initialized

Finish reply byte: `01` = активировано и сохранено; `0a` = сохранено, но **не** активировано / отклонено. На
Android каждая `DATA_CHUNK_WRITE` должна отправляться как **одна BLE-запись на кадр** — объединение и
повторная нарезка по MTU рассинхронизирует заголовки, и часы зацикливаются, запрашивая offset 0.

- **`9063` (фото) = APPEND.** Список циферблатов растёт (6→7); `watchfaceId = 0xFFFFFFFF` (кастомный
  sentinel), поэтому он никогда не отклоняется как дубликат, и часы автоматически активируют его.
- **`9075` (структурированный) = REPLACE** слот `old_id`. `old_id` **обязан** уже быть в списке
  (иначе `0a`). Чтобы переустановить уже присутствующий id, **сначала удалите его** (9055 list-minus-id),
  затем загружайте «свежий» — повторное использование id на месте даёт `0a`.

### 11.3 Фото / кастомный циферблат — ✅ полностью проверен end-to-end

**Контейнер** (побайтово проверенный round-trip; все поля little-endian):```
0x00  magic     6c 8d c4 a5
0x04  count     12 00 00 00   (=18)  [constant, NOT an element count]
0x08  00 × 8
0x10  lenFull   u32 LE        (length of the whole FULL block: tag+len+payload)
0x14  FULL  tag 04 48 47 3a ‖ payloadLen(u32 LE) ‖ LZ4(RGB565-LE)   → 466×466  [raw 434312 B]
      THUMB tag 04 38 c4 21 ‖ payloadLen(u32 LE) ‖ LZ4(RGB565-LE)   → 270×270  [raw 145800 B]
EOF-4 magic     6c 8d c4 a5   [trailer = magic repeated]

`size` = точная длина `.bin`; `FFFFFFFF` = пользовательский `watchfaceId`; `styleId` 0–4 выбирает встроенный
макет цифровых часов (он всегда отрисовывается — «выключить» нельзя); `posX/posY` задают его позицию (проверенные
56 / 77); `color565` задаёт его оттенок (например, `FFFF` = белый). ⚠️ Более короткая форма `A5 ‖ size ‖ watchfaceId`
**отклоняется** с завершением `0a` — используйте полный заголовок выше. (Эталонная реализация:
`core-rust/engine.rs::build_wf_init2`, повторяющая `C6135t.m31104u` в официальном приложении.)

**Рецепт:** измените размер изображения до 466×466 (и миниатюры 270×270), преобразуйте в RGB565-LE сверху вниз,
при необходимости обнулите пиксели за пределами круга, сожмите каждое LZ4, соберите контейнер выше и загрузите
через конвейер `9063` с `watchfaceId = 0xFFFFFFFF`. (Эталонный кодек: `core-rust/watchface.rs`,
`work/codec_dfa.py`.)

### 11.4 Структурированный / магазинный циферблат — контейнер и кодеки ✅

**Расположение файла** — 36-байтовый заголовок повторяется **побайтно идентично как 36-байтовый нижний колонтитул** в конце файла
(✅ проверено на 15 циферблатах; парсер должен отклонять файл, если они различаются):```
[36-byte header][scene TLV (§11.7)][asset pool][36-byte header again]

> ⚠️ **Исправление (заменяет «нет блокирующей контрольной суммы»).** В более ранних ревизиях `@0x00` читался как
> per-dial идентификатор/хеш, а `@0x20` — как «3× u32 слова идентификатора/хеша \[не CRC]», и утверждалось, что CRC32/Adler32/
> байтовая сумма — все не совпадают. Оба слова **являются** CRC32 — более ранние тесты их пропустили, потому что
> вариант нестандартный, и потому что чтение «3 слова по адресу `0x20`» смешивало единственное слово CRC
> с первыми байтами контейнера сцены, который начинается по адресу `0x24` (аналогично «имя, повторённое по адресу
> `0x2c`» — это узел имени `0x86` сцены, §11.11). Находка из
> [freethinkel/fmc](https://github.com/freethinkel/fmc); повторно проверено здесь.

**CRC32-raw** = отражённый IEEE-полином `0xEDB88320`, **`init = 0`**, и **без финального XOR** — т.е.
ни `init=0xFFFFFFFF`, ни `^0xFFFFFFFF` стандартного `crc32`. Именно поэтому
готовый CRC32 никогда не совпадал. Обратите внимание на зависимость порядка: `crc_assets` находится внутри диапазона,
покрываемого `crc_tree`, поэтому **сначала записывайте `@0x20`, затем вычисляйте `@0x00`**.```python
def crc32_raw(data: bytes) -> int:          # tab = standard 0xEDB88320 reflected table
    c = 0                                    # init 0, no final inversion
    for b in data: c = tab[(c ^ b) & 0xFF] ^ (c >> 8)
    return c & 0xFFFFFFFF

crc_tree   = crc32_raw(f[0x04:0x24] + f[0x24:first_asset])
crc_assets = crc32_raw(f[first_asset:len(f)-36])

`kind` = `0x02`/`0x03`; `old_id` = текущий активный циферблат (из `9055`); `file_len` = реальный размер `.bin`
(= `@0x18 + 36`). Установка магазинного `.bin` как есть — гарантированный путь (Ring Data id 359 +
102 других подтверждены). (Ссылка: `core-rust/engine.rs::build_dial_replace_init`.)

### 11.5 Структурированная грамматика директории ✅ (декодирована и реализована — ПЕРЕСМОТРЕНО 2026-07-02)

> **⚠️ Пересмотр (2026-07-02): плоская схема записи `61 01 00` ниже была систематически
> СО СДВИГОМ НА ОДИН БАЙТ.** Тело сцены — это чистый TLV (§11.7); тело **листового** drawable (теги `0x30`/`0x38`
> статические, `0x70` указатель) выглядит так:
>
> ```
> 01 xx 00 [X u16][Y u16] …attrs… 61 [count u16][base u32][count×id u16] [05 05 00 01 pivX pivY]
> ```
>
> - атрибут `0x01` открывает тело: **X,Y = верхний левый угол** на холсте 466² (это `s16 x,y` из SDK
>   `sty_picture_t`).
> - **таблица кадров `61 …` закрывает тело** (`base` = указатель на ассет; `count` 1 = изображение, 10/11 =
>   атлас цифр — старый «тип записи `0a/0b`» на самом деле был этим count! — 7/13/2 = лист кадров усложнения).
> - дополнительные указатели: источник+масштаб `[src] 00 3c 00` внутри атрибута `0x01`; точка поворота в
>   **хвосте** `05 05 00 01 [pivX][pivY]`. **Центр вращения = `(X+pivX, Y+pivY)` для каждого указателя** —
>   не фиксированный (233,233): существуют смещённые от центра субциферблаты (например, стрелки циферблата 366 вращаются вокруг 150,150).
>
> Линейное сканирование `61 01 00` сшивало таблицу кадров+точку поворота элемента **N** с X/Y
> (и байтом тега, старым «f3») элемента **N+1** — это лишь *выглядело* правильным на аналоговых циферблатах, где
> соседние стрелки имеют почти идентичную геометрию. «Стена компактных вариантов» (спецификация 24 §24.4.5) была
> тем же неверным прочтением. Реализовано как `scan_scene_drawables` в `core-rust/watchface_struct.rs`
> и `wfweb/src/codec/parse.ts` (сцена = основной источник для изображений/указателей; плоское сканирование сохранено для
> текста + запасной вариант без конверта). Проверено оракулом `wfweb/compare.html` (рендер против официальных
> PNG из магазина, 99 циферблатов): 64→72 хороших, 8→5 плохих, средняя разница 9.3→7.4%.

Историческое чтение плоских записей (заменено, сохранено для контекста):

- **Статическое изображение** (`61 01 00`): `asset_ptr(u32) ‖ elemId(u16) ‖ 05 05 00 01 ‖ pivotX(u16) ‖
  pivotY(u16) ‖ 3B ‖ 01 ‖ 1b 00 ‖ X(u16) ‖ Y(u16)`. Верхний левый угол на холсте 466² = `(X−pivotX, Y−pivotY)`.
- **Указатель/стрелка** — та же запись изображения, поворачивается во время выполнения. **Центр вращения = `(X+pivotX, Y+pivotY)`**
  (≈ 233,233 на аналоговых циферблатах). **Источник данных — это `u8` по смещению записи `+36`**, масштаб `u16` по
  `+38` (=60): `0x0a`/`0x70` = часы (`h·30°+m·0.5°`), `0x0e`/`0x71` = минуты (`m·6°+s·0.1°`),
  `0x12`/`0x72` = секунды (`s·6°`). ✅ подтверждено дизассемблированием геттеров (запасной вариант RTC 10:10:30).
- **Виджет текста / числа** (`61 0a 00`): `asset_ptr(u32) ‖ [10×u16 метрики шрифта] ‖ 40 01 00 ‖ флаг ‖
  3B ‖ 01 ‖ u16 ‖ X(u16) ‖ Y(u16)`. `asset_ptr` указывает на глиф «0»; цифра *d* = ассет по
  `index("0") + d` (10 последовательных спрайтов cf=5, например `0123456789` и пунктуация `,°`). ✅ отрендерено.
- **Заполнение усложнения = индекс кадра** (✅ подтверждено для цифровых/перечисляемых/шкальных усложнений, count>1):
  значение индексирует **предварительно отрендеренный лист кадров** в `.bin` — `frame = (count−1)·val/100` (проценты) или
  `frame = value` (перекидная цифра / перечисление). Таблица кадров = подзапись `61 ‖ count(u16) ‖ base(u32) ‖
  count×id(u16)`. Например, большие часы 327 Digit Max — это лист из 13 кадров (числа 0–12), `frame = hour`.
- **Кольцо прогресса / дуга = секторный клип во время выполнения** (✅ 2026-07-02, **исправляет чтение «кольца — это листы кадров»
  в спецификации 25 §2**): тег элемента **`0x81`** несёт **один** полный диск (`61` таблица кадров
  `count == 1`), а частичный клин — это тот диск, **обрезанный до сектора круга** (`frac = value/max`,
  по часовой стрелке от 12 часов) — проверено попиксельно на 322 Glare 2 и подтверждено `count==1` на
  **20 циферблатах**. На диске: тело `0x81` = под `0x01` (геометрия `x@+0 y@+2 w@+4 h@+6`, встроенный `61 1 base`
  = диск) + под `0x5b` (спецификация дуги). Реализовано в wfweb (`blendSector`).
  ⚠️ Подзапись `0x5b` — это **не** просто «`max` u16 `@+4`», как документировалось ранее — это читало
  младшую половину `max i32` и пропускало **углы начала/конца развёртки и ширину штриха**, которые находятся сразу
  после неё. Также существует процедурный собрат `0x80`/`0x5a` (с явным радиусом), который этот документ
  никогда не охватывал. Полная структура записи и то, что не так с прежним предположением «по часовой стрелке от 12 часов»:
  **§11.15**.
- **Идентификатор источника данных** — блок атрибутов `82` элемента находится на `delim+3` (после последнего `40 01 00`),
  а **идентификатор источника — это `u8` по `+0x14`** (также `relX@+0x07 s16`, `relY@+0x09 s16`, `anchor@+0x0C/0E`,
  `mode@+0x15`, `frame-count@+0x1A`). Anchor < 0 = выравнивание по краю родителя. 🔎 Прошивка разрешает
  идентификатор через таблицу геттеров из 142 записей по адресу `0x101f371c` (каждая вызывает `ux2sys_get(type)`).
  ⚠️ **Предпочтительно читать идентификатор как `meta[9]` структуры (§11.11)** — фиксированное поле — вместо этого прямого
  сканирования атрибута `82`, которое является источником сдвига на один байт, описанного в §11.8/§11.9. Полная таблица идентификаторов в §16; обратите
  внимание, что метки здоровья/погоды, ранее перечисленные в этом разделе (`0x19` ЧСС, `0x1b` батарея,
  `0x24` температура, `0x36` шаги), **оспариваются и, вероятно, неверны** — см. блок ⚠️ в §16.
  (Пример группы `0x07:0x0b:0x0f` = ЧЧ:ММ:СС ниже не затронут.)
- **Узел группы** (`0x68`): вкладывает свои дочерние элементы в собственное тело TLV (`0x60` = значение/текст,
  `0x30` = статический); каждый `0x60` несёт свой идентификатор источника на `data+16`. Например, группа `0x07:0x0b:0x0f` =
  часы ЧЧ:ММ:СС. Парсер элементов TLV = `0x100db55c` (таблица переходов, индексируемая по `tag−0x70`).

### 11.6 Матрица авторства

| Путь | Статус | Примечания |
|---|---|---|
| Фотоциферблат из любого изображения | ✅ **готово** | §11.3; проверено на устройстве |
| Установка любого из 103 магазинных циферблатов | ✅ **готово** | §11.4; `9075`, `old_id`=активный |
| Перекраска фона cf=4 магазинного циферблата | ✅ **работает вживую** | заменить полную полезную нагрузку на месте, задать ассету `len` **новый** размер блока (≤ старого), сохранить тот же размер файла, чистая установка |
| Повторное авторство через шаблонирование (замена пикселей любого слоя + перемещение геометрии) | ✅ **рендерится через BLE** | циферблат 373: фон→голубой + спрайт cf=5→красный + перемещён X 224→100, всё отрендерено, стрелки живые |
| 100 %-синтетический структурированный циферблат с нуля | ✅ **билдер готов, проверен офлайн** | билдер конверта `0x20` в `watchface_struct.rs` (`build_container`/`serialize`/`validate_container`); round-trip всех 103 циферблатов байт-в-байт + синтетика проходит валидатор прошивки (§11.7). 🟡 рендер на устройстве через `9075` ещё не снят на видео |
| Системные шрифты (`.font`) | ✅ **декодирование/рендер (все)** | бинарник LVGL (не проприетарный); 32 числовых шрифта (`num*/nm*`, без сжатия) + 24 текстовых шрифта (`font*`, LVGL RLE `comp=1`) — все декодируются: 12208 глифов, 0 переполнений, полный ASCII. RLE = LVGL v8.3 `lv_font_fmt_txt.c` (3-состояния SINGLE/REPEATE/COUNTER + построчный XOR-префильтр), портировано 1:1, без дизассемблирования |

⚠️ Ловушки перекраски/повторного авторства, вызывающие чёрный экран или `0a`: оставление **старого `len` ассета** (часы
читают за пределы блока → переполнение → чёрный экран); **увеличение файла** (отклоняется при установке); повторное использование
идентификатора **на месте** вместо чистой установки; **переупорядочивание ассетов** без исправления цепочки размеров блоков в хвосте ссылок
(§11.11). Сегодня это не фатально, но всё равно пишите правильно: любое изменение сцены или пула ассетов
аннулирует два слова **CRC32** в заголовке — пересчитайте оба (§11.4), `@0x20` перед `@0x00`.

### 11.7 Конверт сцены `0x20` — декодирован и билдер реализован ✅

Повторно авторизованный **настоящий** циферблат рендерится, потому что сохраняет конверт сцены файла. Чисто синтетическое
тело из плоских записей `61 …` **отклоняется** — парсер прошивки (`WFManager_Parser`, `0xdb35c`)
требует, чтобы тело (со смещения `0x24`) начиналось с контейнера сцены `0x20`. Полный файл:```
[0x00,0x24)  header:  perDialId@0 · version=1@4 · name[16]@8 · size_a@0x18 · size_b@0x1c · idWord0@0x20
[0x24, fa)   scene:   20 <u16 L0> ( 21 <u16 L1> ( 86 <len>=name , 30/70/80/81… drawables ) [ 22 … AOD ] )
[fa, EOF)    assets:  [dimsWord u32][len u32][payload = 1f 00 01 00 + LZ4] …
   size_a = filesize−36 · size_b = filesize−36−first_asset · 0x27+L0 == first_asset

> ✅ Это объединяет «магические смещения» из §11.5/§11.8/§11.9. Эти разделы находят поля *относительно
> байта `0x61` таблицы кадров* — что просто `+0x12` этой структуры, так что `−18`/`−16` = `x`/`y` и
> **`−5` = `meta[9]`, идентификатор источника**. Те же байты, одна чистая компоновка. Эвристика
> прямого сканирования атрибута `82`, которая систематически ошибалась на единицу, вообще не нужна: читайте `meta[9]` структуры.
> `max` числового поля — это также просто `meta[11..13]` (например, поля дня месяца несут `max = 99`).

**Хвост ссылки** (`61`) — как узел указывает на свои битовые карты:```
+0x00  0x61      [tail type]
+0x01  count u16 [1 = single image · 10/11 = digit atlas · N = pick-list / frame sheet]
+0x03  base  u32 [ABSOLUTE FILE OFFSET of the first asset block]
+0x07  count × u16  = the BLOCK SIZE (8 + payload len) of each referenced asset, in order

`id` — это идентификатор источника данных (§16), включая **синтетические идентификаторы слотов** из §11.13. Операторы, с
подсчётом частоты встречаемости по 15 циферблатам:

| op | значение | встречаемость |
|---|---|---|
| `0x01` | рисовать, если `value == val` | 99 |
| `0x81` | то же, что `0x01` (бит `0x80` установлен — встречается на взаимоисключающих вариантах) | 48 |
| `0x02` | **скрыть**, если `value == val` | 7 |
| `0x03` | рисовать, если `value == val`, где `val` — это **маркер отсутствия данных** (например, HR `1000`) | 13 |
| `0x05` | рисовать, если `value >= val` | 58 |
| `0x06` | рисовать, если `value <= val` | 50 |
| `0x04` | ⚠️ **неизвестно** — 15 вхождений, подтверждённой семантики нет | 15 |

Правило комбинирования (как реализовано в эталонном рендерере, маска `op & 0x7f`): записи с равенством
объединяются через **ИЛИ**, затем записи hide/`>=`/`<=` должны **все** выполняться.

Этот единственный механизм покрывает большую часть изменчивости формата во время выполнения и объясняет структуры, которые выглядят
как дублированные виджеты:

- **Макеты 12ч / 24ч и метрические / имперские** — два набора виджетов, наложенных в одном месте, каждый привязан к
  `id 0x73` (флаг единиц измерения) со значением `val` 0 или 1. На циферблате 275 таких пар шесть (12 узлов).
- **Заглушки «нет данных»** — операция `0x03` против контрольного значения, например `id 0x5f, val 1000` (циферблат 275, дважды):
  рисуется тире-арт вместо температуры, когда метрика недоступна.
- **Сегментированные подсветки** — парный диапазон `0x05`/`0x06`, например цепочка Metaball, где каждое звено загорается
  в своё собственное 5-минутное окно.
- **Альтернативы для слотов усложнений** — привязаны к синтетическим идентификаторам слотов из §11.13.

### 11.13 Настраиваемые слоты усложнений — `0x85` + `0x5f` ✅ (заменяет §11.8)

В §11.8 был сделан вывод, что активная метрика настраиваемого усложнения — это состояние оперативной памяти устройства и не может быть
восстановлена из файла. **Это было неверно** — и меню метрик слота, и его выбор по умолчанию
находятся в `.bin`. Каждый узел `0x85` несёт родственный узел `0x5f`:```
+0x00  slotIndex u8   [0-based position among sibling 0x85 nodes]
+0x01  count     u8   [how many metrics this slot offers]
+0x02  activeIdx u8   [index into the list below = the DEFAULT SHOWN METRIC]
+0x03  count × u8     [the metric ids themselves (§16)]           … NUL padding

Сопряжение жёсткое: `0x80` всегда несёт ровно `0x01` + **19-байтный** `0x5a`, `0x81` всегда ровно
`0x01` + **17-байтный** `0x5b` (✅ 26/26 колец на 15 циферблатах). ⚠️ Но **обрезанный по изображению `0x81`
доминирует** — 25 из этих 26. Процедурный вариант `0x80`/`0x5a` появился **один раз** (циферблат 273), так что его
поле `radius` и 19-байтная раскладка опираются на единственный образец; относитесь с подозрением, пока не увидите снова.

`frac = clamp((value − min) / (max − min), 0, 1)`, и заполненная дуга идёт от `start` к `end`.
Нулевой угол — на **3 часах**, положительное направление — по часовой стрелке. Измеренные примеры:

| циферблат | тег | min..max | start → end | ширина | radius |
|---|---|---|---|---|---|
| 273 Activity Mood | `0x5a` | 0..100 | **−102,8° → 102,8°** | 42 | 222 |
| 273 Activity Mood | `0x5b` | 0..100 | 270,0° → 90,0° | 80 | (изображение) |
| 276 Dichotomy | `0x5b` | 0..100 | 60,0° → −120,0° | 23 | (изображение) |
| 304 Elaborate 2 | `0x5b` | 0..100 | −2,0° → 358,0° | 24 / 80 | (изображение) |
| 366 Combo | `0x5b` | 0..100 | 0,0° → 270,0° | 18 | (изображение) |
| 368 Function | `0x5b` | 0..100 | 0,0° → 360,0° | 20 | (изображение) |

> ⚠️ **Это исправляет предположение «по часовой стрелке от 12 часов»** из §11.5. Это лишь частный
> случай `start = 0, end = 3600` (полный оборот, где соглашение ненаблюдаемо). Реальные циферблаты используют
> **частичные шкалы** (веер ±102,8° у 273, трёхчетвертное кольцо 270° у 366) и **отрицательные развёртки**
> (60° → −120° у 276), поэтому рендерер, который всегда рисует полный круг сверху, отображает их неверно.
> 🟡 Точное соглашение о нулевом угле и правило направления взяты из рендерера fmc, перепроверены
> по этим значениям на диске — не подтверждены попиксельно на устройстве этим репозиторием.
> Обратите внимание: `frac = value/max` и результат обрезки сектора `0x81` из §11.5 **были** проверены (циферблат 322).

⚠️ **Нерешено: 3-байтный хвост `01 00 kk`.** `kk` принимает правдоподобные значения (104, 152, 216,
232, 248), и очевидная гипотеза — радиус; **проверено и опровергнуто**: циферблат 366 использует `kk = 104`
и для кольца 82×82, и для кольца 166×166, а циферблат 273 использует `kk = 232` и для кольца 440×440, и для кольца 284×284.
Не радиус, не диаметр. Возможно, непрозрачность/стиль. Передавайте как есть.

🟡 **Сообщённая ловушка, здесь не проверена:** в рендерере fmc число `0x60`, чей исходный id совпадает с id
**любого** кольца на том же экране, отображает `round(frac × 100)` вместо сырого значения — так,
число пульса рядом с кольцом пульса показывает `36` вместо `71 уд/мин`. Их документированный
обходной путь — разместить кольцо и число на двух **псевдонимных** id одной метрики (шаги
`0x19`/`0x26`/`0x49`, калории `0x1c`/`0x1e`/`0x48`). Является ли это поведением прошивки или особенностью
их рендерера — **не установлено**; стоит проверить вживую, прежде чем проектировать под это.

---

## 12. Детали массовой передачи и OTA

Таблица передачи — в §6. Дополнительные подтверждённые пункты:

- **AGPS/EPO** ✅: первый записанный чанк начинается с ASCII-заголовка `000000010000…`. Полный
  цикл init → `[A05F ↔ 905F]×N` → finish наблюдался в эфире (~892 чанка).
- **OTA прошивки** (`9040`–`9042`, finish `9041`) 🔎: структура сопоставлена; полезная нагрузка INIT2 = байты версии
  (например, `0b 00 00 39` = 11.0.0.57). **Не проверено в полевых условиях** (приложение отключает обновление прошивки здесь). Образы
  прошивки, по-видимому, **без подписи — целостность только CRC32** (асимметричной подписи в RE не наблюдалось).
- ⚠️ Поскольку OTA и `FACTORY_RESET (009A 0001)` используют аутентифицированную сессию, одной валидной BLE-
  аутентификации достаточно, чтобы стереть или (в принципе) «окирпичить» часы. Обращайтесь осторожно.

---

## 13. Датчики

✅ Аппаратное обеспечение, доступное через BLE:

- **Оптический PPG** — пульс (ручной/авто/тренировка/покой), SpO₂ и стресс на основе ВСР.
- **3-осевой акселерометр** — шаги, дистанция, калории, стадии сна, подъём запястья, каденс.
- **GNSS/GPS** (с поддержкой AGPS) — трек тренировки (`WORKOUT_GPS`) и отправка местоположения (`GPS_PUSH`).

**Нет** барометра/альтиметра, компаса, гироскопа или датчика температуры кожи/тела. Внутренний
термистор NTC (температура платы/батареи) существует, но читается **только** через AT-канал
(`AT GETNTCTEMP`, §14) — поток истории температуры кожи `0155` на этом SKU пуст.

**Перехват виджетов данных** (настоящего API усложнений/привязки данных нет — см. §11.5): существующие
текстовые поля часов можно перепрофилировать для отображения внешних данных с одного взгляда. Проверено ✅: строка
**города** погоды (`WEATHER_SET_1`, например, `"BRA 2x1 ARG"` появилась на виджете) и поля музыки
**трек/исполнитель**; список **контактов** (20 × имя[32]+номер[25]) работает как прокручиваемая панель
данных. Всё это push-уведомления, а не постоянные усложнения.

---

## 14. AT-канал завода / оболочки (`77d4ff01` / `77d4ff02`)

Отдельный текстовый AT-канал, независимый от фреймового протокола. ✅ проверено вживую:

- **Чтение:** `AT GETSECRET` (16-байтный секрет сопряжения), `GETVERSION`, `GETSN`, `GETNAME`, `GETPID`,
  `GETBATLV` (сырые мВ, например, `3853mv`), `GETGSENSOR` (сырой акселерометр в g, `X=… Y=… Z=…`),
  `GETNTCTEMP` (°C, внутренний NTC).
- **Запись / действие:** `AT SETMOTOR=1` (вибрация мотора), `SETHR/SETHRV/SETSPO2=…` (тестовая
  инъекция датчиков), `SETLCDSWITCH/SETGPSSWITCH/SETKEYSWITCH`.

Ответы заканчиваются на `,OK`. Команды `SET*` обычно выполняются, но могут не возвращать `,OK` по BLE — проверяйте
в каждом конкретном случае.

---

## 15. Функции, ограниченные прошивкой / недоступные (🔎 RE прошивки)

Некоторые функции присутствуют в прошивке, но отключены SKU/регионом и **недоступны с телефона/BLE** —
для них нужна модификация прошивки, что выходит за рамки здесь:

- **ChatGPT голос** — шлюз = id функции `ux2sys` `0x9e`, заполняется из NVRAM/EFUSE/региона при загрузке; на
  этом SKU флаг поддержки `908b = 00`. Не влияет ни телефон, ни аккаунт, ни BLE (подтверждено
  экспериментом + RE). Приложение — лишь ретранслятор; аудио идёт телефон → облако Nothing.
- **Кровяное давление** — полная подсистема существует в прошивке, отключена SKU/регионом.
- **Alipay / NFC-платежи** — полный UI присутствует, только для китайского SKU.
- **Отсутствует в аппаратном обеспечении/прошивке:** ЭКГ, SOS/экстренная помощь, универсальный NFC.

---

## 16. Id источников данных / геттеров усложнений

Не нужны для создания BLE-клиента, но **критичны для создания или рендеринга циферблата**: это значение
`meta[9]` (§11.11), которое привязывает виджет к живым данным, `id` условия видимости (§11.12) и
записи меню метрик слота (§11.13). Прошивка разрешает его через **таблицу диспетчеризации геттеров из 142 записей**
по адресу `0x101f371c`, каждая запись вызывает `ux2sys_get(type)` (🔎 RE прошивки).

### Время / дата — ✅ хорошо установлено

| id | значение | id | значение |
|---|---|---|---|
| `0x01` | час (12/24ч по настройке устройства) | `0x0f`, `0x12` | секунда (плавная) |
| `0x04` | час (24ч) | `0x10`, `0x11` | десятки / единицы секунд |
| `0x07` | час (принудительно 24ч) | `0x71`, `0x72` | секунда (тикающая / угол стрелки) |
| `0x02`, `0x03` | десятки / единицы часа-12ч | `0x13` | флаг AM/PM (0 = AM, 1 = PM) |
| `0x05`, `0x06`, `0x08`, `0x09` | десятки / единицы часа | `0x15`, `0x16` | месяц |
| `0x0a`, `0x70` | угол часовой стрелки | `0x17` | день месяца |
| `0x0b` | минута | `0x18` | день недели (0 = понедельник ⚠️) |
| `0x0c`, `0x0d` | десятки / единицы минут | `0x0e`, `0x71` | угол минутной стрелки |

Id десятков/единиц рисуют **одну цифру** — виджет, привязанный к одному из них, отображает один глиф, а не всё
значение (циферблат 284 Square). Id углов стрелок (§11.5): `0x0a`/`0x70` час = `ч·30° + м·0,5°`,
`0x0e`/`0x71` минута = `м·6° + с·0,1°`, `0x12`/`0x72` секунда = `с·6°` (✅ подтверждено дизассемблированием
геттеров, запасной вариант RTC 10:10:30).

### Здоровье / датчики / погода — ⚠️ спорно, читайте колонку доказательств

| id | значение (лучшее текущее прочтение) | доказательства |
|---|---|---|
| `0x19` | **шаги** | в меню слотов 368 рядом с `0x1a`; совпадает с `parse.ts` этого репозитория |
| `0x1a` | **пульс** | в меню слотов 368 рядом с `0x5f` и `0x19` |
| `0x1c` | калории | меню слотов, иконка пламени в сопутствующем приложении |
| `0x1e` | калории (псевдоним) | корпус |
| `0x22` / `0x23` | дистанция км / мили (целая часть) | корпус |
| `0x74` / `0x75` | дистанция км / мили (дробная часть) | корпус |
| `0x76` | дистанция (форма слота) | меню слотов, иконка дороги |
| `0x24` | **заряд батареи %** | меню слотов, иконка молнии |
| `0x30` | заряд батареи % | корпус |
| `0x36` / `0x5f` | температура | `0x5f` = меню слотов, иконка облако-солнце; 361 TempoG привязывает обычное число |
| `0x48` | периоды активности (часы стояния) | меню слотов, иконка стоящей фигуры |
| `0x8b` | ИКВ | меню слотов |
| `0x73` | флаг 24ч / метрических единиц | корпус |
| `0x25`–`0x27`, `0x49`, `0x6c`, `0x6f` | % цели / псевдонимы слотов шагов и калорий | корпус |
| `0x6a` | ⚠️ неопознанная метрика слота | появляется в 4 меню слотов |
| `0x79 + slotIndex` | **синтетический** — не метрика; id выбора слота (§11.13) | ✅ §11.13 |

> ⚠️ **Три таблицы в этом репозитории расходились; эта — согласование.** Более ранние редакции §16
> и §11.5 читали `0x19` как пульс, `0x1b` как заряд батареи, `0x24` как температуру и `0x36` как шаги —
> и `wfweb/src/codec/mock.ts` до сих пор кодирует это прочтение, тогда как `wfweb/src/codec/parse.ts` кодирует
> другое (`0x19` шаги, `0x24` % цели, `0x48` периоды активности, `0x1a` погода). Таблица выше следует
> лучше обоснованному прочтению (метки откалиброваны fmc по иконкам меню слотов виджетов самого сопутствующего
> приложения, см. §Источники). **Код ещё не изменён — `mock.ts` и `parse.ts` по-прежнему не согласованы
> друг с другом и с этой таблицей.** Относитесь к меткам id здоровья как к ⚠️, пока кто-то не привяжет
> поле к каждому id и не прочитает часы.
>
> Самое сильное единичное доказательство — **меню слотов циферблата 368 Function** (§11.13), которое предлагает
> `0x5f 0x1c 0x19 0x48 0x24 0x76 0x1a 0x8b` как **восемь различных выбираемых пользователем метрик** в одном меню.
> Какими бы ни были метки, никакие две из этих восьми не могут быть одной метрикой — что исключает
> одновременное `0x19` = `0x1a` = пульс и `0x24` = `0x5f` = температура.

Кольцевые/дуговые усложнения с **листом кадров** индексируют предварительно отрендеренный кадр (например, 50 % = кадр 50 из 100),
встроенный в `.bin`, который вы отправляете (§11.5), так что внешний RES-пакет не нужен; кольца без изображений
рисуются из спецификации дуги (§11.15).

---

### Быстрые карточки (домашние плитки) — `QUICK_CARD (906D)` ✅

Домашние плитки часов. Телефон выбирает только **какие** плитки показывать и в **каком порядке** — плитки
рендерит прошивка (канала контента нет). Первый байт полезной нагрузки = подкоманда: `00` = GET, `01` =
SET; **обе используют `0x906D`** (`0x906C` указан, но не используется — запрос к нему истекает по таймауту). Ответ = `A06D`.

> 🛑 Отправка выдуманного `assemblyId` **стирает экраны часов** (они принимают список, не могут сопоставить
> id, ничего не показывают). Отправляйте только те id, которые вы **считали** через GET; восстановление — через официальное приложение или
> сброс к заводским настройкам.

**Ответ GET** ✅: `status(1) ‖ 00 ‖ N(1) ‖ N × группа`, группа = `tag=01 ‖ K(1) ‖ K×(assemblyId, sportId)`.
Реальный кадр: `01 00 04  01 02 5d00 6100  01 03 1900 2e00 2300  01 03 5c00 0400 5a02  01 03 4800 5100 5300`
= 4 экрана / 11 карточек (`5a02` = карточка Sport, sportId 2).

**Слоты:** на каждом экране **4 слота**. Тип карточки задаёт её размер — `circular`/`square` = 1 слот,
`rectangle` = 2 слота. Проверка — чистая арифметика слотов (Σ ≤ 4 на экран); взаимоисключающих
карточек нет. `sportId` равен `0`, кроме карточек Sport (87–91). Id `64` и `95` не существуют.

**Каталог `assemblyId`** (каждый логический тип = непрерывный диапазон из 6 вариантов стиля `_0`..`_5`;
`0` = пустой слот):

| дес. | карточка | дес. | карточка |
|----|----|----|----|
| 0 | пустой слот | 49–53,97–98 | Погода |
| 1–6 | Шаги | 54–58 | Таймер |
| 7–12 | Калории | 59–62 | Дыхание |
| 13–18 | Периоды активности | 63,65–67 | Секундомер |
| 19–24 | Умеренная активность | 68–71 | Батарея |
| 25–30 | Пульс | 72–76 | Недавние |
| 31–36 | SpO₂ | 77–81 | Контакты |
| 37–42 | Стресс | 82–86 | Циферблат / телефон |
| 43–48 | Сон | 87–91 | Спорт (`sportId` ≠ 0) |
| 92 | Музыка | 93/94/96 | Запись активности / PAI / Цикл |

---

## Приложение A. Каталог стоковых циферблатов (id → имя)

§11 ссылается на циферблаты по числовому id (275 SlopeTime, 322 Glare 2, 357 Silhouette, …). Id
`273`–`376` — это магазинные/стоковые лица; id — это то, что `DIAL_COMMAND (9055/a055)` сообщает как активный и
что `9075` принимает как `old_id` (§11.4). 100 из 103 известных id названы ниже; остальные —
заглушки ROM (§11.4). Имена и группировка — как показывает официальное сопутствующее приложение.

- **По умолчанию** (6) — `273` Activity Mood · `274` Sun Circle · `275` SlopeTime · `276` Dichotomy · `277` Prismatic Time · `280` Multifunction
- **Аналоговые** (34) — `286` Sundial · `287` Simple Dial · `292` City · `294` Sudoku · `305` Dots · `306` Large Number · `309` Gradient · `310` Glare · `311` Bold · `313` Classical · `314` Fragment · `315` Infinite · `316` Trailing · `322` Glare 2 · `326` Chrono Master · `327` Digit Max · `328` Coherent · `329` Wheel · `330` Zenith · `331` Intersection · `335` Time Phase · `336` Energetic · `338` Chronos · `341` Dual View · `346` Time Windmill · `347` Large Panel · `349` Theatre · `352` Elegant Sweep · `360` Explorer · `364` SportPulse · `370` Hemisphere · `371` ActiveTrio · `372` Time Wheel · `373` Traditional Pointer
- **Цифровые** (41) — `281` Metaball · `282` Radar Sweep · `283` Radio · `285` Widgets · `288` Type · `289` Rotate · `290` Gradual · `291` Vertical · `293` Stairs · `296` Ladder · `297` Ray · `298` Eclectic · `299` Echo · `300` Mono Dial · `301` Orbit · `302` Calendar · `303` Space · `307` Sprung · `308` Sundial 2 · `319` One Line · `320` Orienteer · `321` Revolution · `323` Dash · `324` Finesse · `325` Metric · `333` Circularity · `334` Globe of Time · `337` Time Finder · `339` Suprematism · `340` Sport Mode · `345` Time Dot · `350` Timeline · `351` Cyclopes · `353` Dual phase · `357` Silhouette · `359` Ring data · `361` TempoG · `362` Steady · `365` Elegance · `369` Solar System · `376` Digits time
- **Многофункциональные** (10) — `304` Elaborate 2 · `344` InfoMeter · `348` Tumbler · `354` Dual · `363` Vintage · `366` Combo · `367` Complex Figure · `368` Function · `374` Cirquary · `375` InfoHub
- **Креативные** (8) — `284` Square · `312` Disc · `317` Disc 2 · `318` Dominos · `332` Flux · `342` Perfect Match · `343` Progress Day · `358` Asteroid
- **Дивали** (1) — `295` Vortex

---

## Источники

Байтовые раскладки выше реконструированы из прошивки (1.0.0.73), официального APK (3.5.7) и
расшифрованных живых захватов с реального устройства. Эталонная реализация этого проекта находится в
`core-rust/src/{commands,frame,crypto,health,session}.rs` (Rust), редакторе TypeScript `wfweb/` и
Python-инструментах `cmftool/` (`pair.py`, `session.py`, `wf_codec.py`, `upload_custom.py`, …).

**Включённые независимые работы.** [freethinkel/fmc](https://github.com/freethinkel/fmc) — это
редактор циферблатов SvelteKit + маркетплейс для тех же часов — независимо провёл обратную разработку
формата `.bin` на корпусе из ~100 лиц и достиг нескольких результатов, которых в этом документе не было или которые были неверны.
Их `docs/cmf-protocol.md`, `src/lib/modules/editor/lib/{wf,render}.ts` и
`src/lib/modules/device/lib/ble.ts` стоит прочитать напрямую. Принятые находки, каждая повторно проверена
по байтам циферблатов перед включением сюда:

| Находка | Где | Статус здесь |
|---|---|---|
| Оба заголовочных слова — CRC32 (нестандартный вариант) | §11.4 | ✅ повторно проверено 9/9 циферблатов; **исправляет** «нет блокирующей контрольной суммы» |
| Условия видимости, тег `0x02` | §11.12 | ✅ повторно проверено; было недокументировано |
| Список метрик слота + активный `activeIdx` по умолчанию, `0x79 + slotIndex` | §11.13 | ✅ повторно проверено на 275/368/273/304; **заменяет** §11.8 |
| Флаг возможности акцентного оттенка `meta[7] == 4` | §11.14 | ✅ распространённость повторно проверена; было недокументировано |
| Полная спецификация дуги (углы развёртки, ширина, радиус) | §11.15 | ✅ повторно проверено; **исправляет** «`max` u16 `@+4`» |
| Хвостовые `u16` ref — размеры блоков, а не id глифов | §11.11 | ✅ повторно проверено точно на атласе из 10 глифов |
| 36-байтный футер; вариант магического байта `0x02`; `0x86` = 64 Б; встроенный предпросмотр `0x28` | §11.4, §11.11 | ✅ повторно проверено |
| Метки id здоровья/погоды откалиброваны по меню слотов сопутствующего приложения | §16 | ⚠️ принято как лучшее прочтение; конфликты отмечены |
| UUID сервиса оболочки — `77d4e67c-…`, и область видимости `optionalServices` Web Bluetooth | §1 | ⚠️ отчёт с одного устройства, здесь не повторно проверено |
| Число с id, совпадающим с кольцом, отображает процент | §11.15 | 🟡 сообщено, **не** проверено здесь |
| Каталог стоковых циферблатов id → имя | Приложение A | ✅ принято как есть |