改变输入，读取输出，对照假设进行验证。这对频率、幅度、偏移、AM 深度、FM 偏差、突发计数、对称性以及两种扫描特性都有效。文档中的每个公式都附带了其验证所用的采样点。

三项改进使其真正富有成效：

**观察总线，而非显示器。** 第 15 节测量了状态位对显示缓冲区的影响，128 位中有 74 位似乎不起作用。但其中许多并不驱动显示器，它们驱动的是*模拟组件*——而这些只能作为 C 总线上的电报可见。记录 `MOV SBUF,…` 和终止的 `MOVX @DPTR` 将已记录位的数量从 54 提升到了 75。

**按键，而非直接写 RAM。** 手动设置 RAM 字节会产生仪器从未进入的状态。这让我们付出了两个错误发现和一次撞入命令表的代价。通过模拟的 SAA3007 注入真实键码，可以得到固件实际到达的状态——正是对所有 256 个键码的暴力扫描揭示了哪个键触发哪个处理程序。

**首先怀疑你自己的模拟器。** 我们核心中的三个 bug 产生了“无法解释的”固件行为：`ACALL` 被执行为 `AJMP`，缺少辅助进位标志（因此 `DA A` 行为异常，固件看起来像是在用二进制计数），以及键盘中断被加倍。那个时期的所有发现之后都重新进行了测量。

---

## 走到这里的路

**先静态。** 一个带有完整操作码表的反汇编器，然后使用跳转表启发式进行递归下降。这产生了 30 508 字节的代码，并留下 13 637 字节无法解释。

**然后动态。** 一次跟踪运行——冷启动、全部 23 个前面板按键、旋钮的两个方向、每种操作模式、8600 万周期——标记每个实际执行的地址。与静态分析对照，它恰好发现了下降分析遗漏的**一个**区域，而 10 686 个无法解释的字节中有 5 个已知表块。

**然后是原理图。** 服务手册的 OCR 对原理图毫无用处，但 400 dpi 的页面图像非常出色。切成重叠的图块后，它们可读至引脚编号。六张图纸就是这样读出的——而在五条平行走线相距 90 像素的地方，目测被一个从位图中提取线段的脚本（`lines.py`）所取代。

**然后是两个被拔出的芯片。** 一个标有“SINUS 1.1”的 27C64 和一个 X28C64 被读出。两者都被放入原理图中，其内容被解码。

**然后是版本差异。** 对两个 ROM 进行标记化（使用相对跳转距离而非绝对目标），并对它们运行 `SequenceMatcher`，得到一个能在代码移动后仍然存活的地址映射——这就是 V1.3 符号被带到 V1.5 上的方式。

---

## 精彩之处

### Philips 交付了一个有噪声的波形

三个内置任意曲线位于 `A047h`、`A447h` 和 `A847h`。第三个的形状与 ROM 中已经以计算形式存在的表相同——但有 **563 次方向变化，而后者只有 13 次**，标准差为 4.1 LSB。

它是从模拟源采样而来，而非计算得出。偏差的均值为零，1024 个点中只有两个偏差超过 10——这不是不同的波形，而是*同一个*波形上带有噪声。

### 那个表是一个 30 dB 电平阶梯

干净版本在早期草稿中被描述为“一个带有十个 AM 深度的正弦波”，这是对图表的目测解读，而不是代码所说的内容。经过计算，1024 个点分成十个正弦弧，其跨度是```
255  171  120  80  56  38  26  17  12  8

固件实测读取范围是 `0100h–1EFFh`——六条曲线，精确到字节。该仪器是用小芯片构建的。

### 与不存在的设备通信的死代码

`9AFFh` 处的 186 字节与地址 `5Ah` 进行 I²C 通信——该地址在其他任何地方都未出现。在**两个**固件版本中，都没有跳转指向它。它与 `5Eh` 处的接口卡位于同一设备类型块中，只是 bank 位不同，并且它以两条十字节电报发送接收缓冲区和算术寄存器。这看起来像是针对从未出货的设备的工厂诊断程序。

### 你无法从任意 EEPROM 执行代码

一个显而易见的想法——将代码放入任意波形槽并跳转到它——从一开始就行不通。8051 是哈佛架构：指令通过 `/PSEN` 从程序 EPROM 取指，数据通过 `/RD` 从任意 EEPROM 读取。这不是被阻止了；只是线路根本不存在。

### 最后是频率编码

显示数字行位于发送到 PCF8576 的图像中的 `3Eh–43h` 处，所有位置共享同一种段编码，而字节 `43h` 在第 7 和第 8 个十进制位之间从 kHz 切换到 MHz。由此：```
f = M · 10^(D−8) kHz

没有丢失自检，没有表格被移动，也没有出现失效的菜单项。按住 LOCAL，打开开关，让菜单计数到 8，按一个键。

时序来自 MCS-51 数据手册。两个模拟器现在都在指令旁计数机器周期（`mcyc`，来自 `mcs51.CYCLES`），步进等待循环测得每单位 **1009 µs** —— 在 140 BPM 下每十六分音符 106.95 ms，偏离目标 0.2 %。这个数字以前是手工计算的 1006 µs，漏掉了两条指令。

`mkdoom.py` 也可以转换 MIDI 文件。必须选择一个声部（最高音、最低音或某一个通道），并且短于约 25 ms 的片段会被合并 —— 低于这个长度，低音无法完成一个完整振荡，你只会听到一声咔嗒。

---

## 然后它竟然是复音的

上面的旋律是一个声部。它不必如此，原因在于我们之前读过却忽略的服务手册中的一句话：

> 在信号生成期间，不同的信号幅度采样从 RAM 中读出。如果基本信号波形被改变 [...] 相应的幅度采样由 **CPU 加载到 RAM 中**。

PM5139 是一个 **1024 点波表 DDS**。TWS 在任何朴素意义上都不是三角波发生器 —— 它是一个相位累加器，为单元 4 上的快速 RAM 产生 0…1023 的读取地址，而该 RAM 由 CPU 通过 C 总线填充。正弦、方波、锯齿波和任意波形都是同一机制：一张表。

而这张表恰好保存**输出信号的一个周期**。因此，由*谐波之和*构建的表在其 1024 个点上仍然是周期性的，并且会作为和弦播放。不是琶音，不是调制技巧 —— 而是多个音符同时以完整的 20 Vpp 发声，在它们发声时 CPU 完全不做任何事。由于分音必须是表频率的整数倍，音程以纯律呈现，而对于持续和弦来说，这本来就是更好的调音。

`M27512_PM5139_V20_chords.bin` 已在仓库中，可直接烧录 —— 即和弦版本的连复段，带包络。要自己构建，或使用你自己的 MIDI 文件代替内置连复段：```
python3 mkpoly.py --chord crunch M27512_PM5139_V20.bin out.bin
python3 mkpoly.py --chord crunch --midi yours.mid --channel 1 \
        M27512_PM5139_V20.bin out.bin

---

## 我们自己的六种任意波形

![六个任意波形槽位](https://assets.kitploit.com/production/public/readmes/54732/9fa22b75c34e4aaa83df1b2afd284353e019cb65f181a83e5cdeceb57ea32937/4b15ae02ae1bec49f3d1b6ab79c480cd3a73b10818c41a8b04be57ab6f691ef7-display-v1.webp)

`D310_image_V20.bin` 会填满 EEPROM 中的每一个槽位——烧录芯片值得做一次：

| 槽位 | 波形 | Vpp | 用途 |
|---|---|---|---|
| 1 | sinc，8 个瓣 | 12.17 | 带宽限制、过冲 |
| 2 | 振铃，Q≈6 | 17.81 | 建立行为 |
| 3 | ECG | 12.80 | 演示 |
| 4 | 阶梯波，16 级双极性 | 20.00 | 线性度、分辨率 |
| 5 | 全波整流正弦 | 10.00 | 与原版相同，但为计算生成 |
| 6 | 多音，5 个音调 | 20.00 | 互调 |

两个重要且容易出错的细节：

**零居中优于拉伸。** 显而易见的做法是将每条曲线拉伸到整个值范围。不要这样做：仪器的直流偏移来自独立的模拟通路，并叠加一个*固定*电压，而拉伸后的非对称曲线的直流分量会*随幅度*缩放。每次改变电平时你都得重新调整偏移。将波形的自然零点放在转换器的零点上，代价是 0.2 到 1 位——相对于原始模拟通路已经贡献的 16 LSB 噪声而言。这不是真正的代价。

**在浮点中缩放，只舍入一次。** 先舍入再拉伸会带来 1.0–1.5 个量化步长的误差；在浮点中缩放并只舍入一次则能达到最优的 0.5。

该目录需要为每条曲线提供一个标识字节（1280 个曲线字节的校验和，起始值 `55h`），以及以 10 位值左对齐六位的 min/max。标识字节弄错，仪器会显示 **Err 8** 并拒绝任意波形源——这正是第一次实际烧录时发生的情况。

---

## 浏览器模拟器

`PM5139_Simulator.html` 是一个单一的自包含文件——无需构建步骤，无依赖，无网络。打开它，原始 V1.3 固件就会在你面前启动。

8051 核心运行真实代码。定时器、中断、C 总线和 I²C 均被模拟；显示内容从实际的 PCF8576 数据流解码，按键在 P3.3 上生成脉宽编码的 SAA3007 波形。电池备份 RAM 已预加载，任意波形 EEPROM 在启动时生成并由固件自身校验。

冷启动大约需要 900 万条指令，所以给它一秒钟。

---

## 仓库布局```
Documentation
  PM5139_Hardware_Reference.md      the main document, 35 sections
  PM5139_Firmware_Modification.md   how to change the firmware and flash it back
  PM5139_Tables.md                  command and message tables, both versions
  PM5139_Changelog_V13_V15.md       what changed from V1.3 to V1.5, in prose
  PM5139_Bit_Crossreference.md      flags 20h–2Fh: set / cleared / tested
  HANDOVER.md                       state of play
  BACKLOG.md                        open questions, each with an entry point

Firmware and data
  M27512_PM5139_V13.bin  V15.bin    the two original dumps
  M27512_PM5139_V20.bin             our own version
  D310_image.bin                   the arbitrary EEPROM as read out
  D310_image_V20.bin               six waveforms of our own, ready to burn
  PCF8570_image.bin                NVRAM in the factory state
  PM5139_V13_annotated.asm  V15     the annotated listings

Emulation
  emu.py system.py system2.py keys.py    Python core and peripherals
  core.js                                the same core in JavaScript
  shell.html + build.py                  -> PM5139_Simulator.html

Analysis
  mcs51.py analyze2.py seqdiff.py mapv15.py symbols.py annotate.py

Building
  romfix.py mkv20.py mkarb.py waveforms.py asm51.py mkdoom.py
  midi.py mid2ton.py mkchord.py mkpoly.py

Measurement scripts          (see "Using the tools")
  bitmap.js flags.js cmd16.js iface.js trace.js arb.js xrange.js
  polytest.js cyclecheck.py
  limits.js param.js keycodes.js decade.js whoruns.js remote.js
  display.js digits.js readout.js nvram.js nv2.js nv3.js …

### 构建 V2.0```bash
python3 mkv20.py                                  # from V1.5 (default)
python3 mkv20.py M27512_PM5139_V13.bin out.bin    # or from V1.3
python3 romfix.py M27512_PM5139_V20.bin           # verify the checksum

### 添加旋律```bash
# the built-in bass line, into a separate image
python3 mkdoom.py M27512_PM5139_V20.bin M27512_PM5139_V20_melody.bin

# or bring your own tune (no MIDI file is shipped here)
python3 midi.py song.mid                                # what is in the file
python3 mid2ton.py song.mid --voice high                # inspect the conversion
python3 mkdoom.py --midi song.mid --channel 1 M27512_PM5139_V20.bin out.bin

node doomtest.js M27512_PM5139_V20_melody.bin           # play it back in the emulator

### 图表```bash
python3 plot_waveforms.py                                    # V2.0 by default
python3 plot_waveforms.py M27512_PM5139_V13.bin out.png
python3 plot_v20.py                                          # before/after

### 阅读原理图```bash
pdftoppm -f 157 -l 157 -r 400 -png pm5138A_service_manual.pdf page
python3 lines.py page-157.png 1200 800 3000 2400 150

---

## 刷回固件

> **保留你的原始 EPROM。** 读取两次，比对转储，把芯片放进抽屉里。
> 这里的一切只有在你还拥有它的情况下才可逆。

固件在开机时对已占用范围进行字节和校验，并与紧随其后的字节进行比较。如果出错，你会得到 `Err 1` 和无限循环——仪器无法启动。`romfix.py` 会计算并插入正确的值；这里的每个构建脚本都已经调用了它。

| 版本 | 范围 | 校验和字节 | 值 |
|---|---|---|---|
| V1.3 | `0000h–AC6Fh` | `AC70h` | `F2h` |
| V1.5 | `0000h–B3C9h` | `B3CAh` | `99h` |

在真实硬件上通过惨痛教训学到的两件事：

- 任意 EEPROM 需要重新计算其**标识字节**，否则每次启动都会得到 `Err 8`，并且无法选择 ARB 源。
- 如果刷写后 ARB 行为异常，在怀疑镜像之前，先检查插座的第 28 脚是否插好。

---

## 这有多可靠？

所有标记为已验证的内容，都是通过在模拟器中调用原始例程在多个采样点上确认的，通常还会与清单或原理图进行交叉核对。

出错的地方，会被记录下来，而不是悄悄修复：

- **三个模拟器 bug**（`ACALL` 被当作 `AJMP`、缺少 AC 标志、键盘中断被加倍）在项目中期阶段一直存在。所有受影响的发现之后都重新测量过——显示位图结果一致，选通分配与服务手册相符，并且第 16 节被发现缺少两个选通。
- **一个合成 NVRAM 镜像**从未从真实仪器中读出，它伪造了两项发现，包括“旋转旋钮只能在一个方向上工作”。修复方法是给固件一个无效的 NVRAM，让它写入自己的出厂状态。
- **手动设置的 RAM 状态**会产生仪器永远不会采用的配置。这曾两次导致错误结论，一次导致崩溃进入命令表。
- **`core.js` 每个周期计数一条指令**，而不是机器周期。对于排序来说没问题，但对于绝对时序来说是错误的——这里的时序声明来自 MCS-51 数据手册。

任何属于假设而非测量的内容，都会在文中说明。

---

## 仍未解决

- **128 个状态位中的 36 个**需要六种操作配置文件之外的激励——自检、错误路径、接口通信。
- **从偏移 0Dh 开始的 NVRAM 字段。** 到那里的布局已经测量（`NVRAM offset + 4Bh = RAM address`），校验标记已经理解（字节和，起始值 `AAh`，25 字节）。
- **在 `8871h` 区域中，哪条任意命令到达 13 个子块中的哪一个。** 只存在四个直接令牌比较；其余都根据位测试分支。
- **远程命令是否可以绕过参数范围检查。**
- **波形加载例程**是完整重新实现中剩余的最难依赖——没有它们就没有输出信号。
- **PM5139 如何从与其 10 MHz 兄弟型号相同的时钟产生 20 MHz。** 该链路暗示其低通滤波器位于 10 MHz 而不是 5 MHz，但这需要 PM5139 手册来确认。

如果你拥有其中一台仪器，有两件事会很有帮助：一份 **PM5139 服务手册**，以及来自**其他固件版本**的转储（V1.4 可能存在，也可能不存在）。

---

## 来源

- **`pm5138A_service_manual.pdf`** —— 主要硬件来源。176 页，已 OCR；正文用 `pdftotext -layout` 读取很干净，原理图必须渲染为图像。扫描件中缺少第 4-3 到 4-28 页。
- **PM5139 用户手册**（Fluke）—— 三语扫描件，没有文本层；第 3.7.4.6 节记录了任意命令。值得自己 OCR——英文部分位于 PDF 第 13–145 页。
- **PM5136 用户手册** —— 作为交叉检查很有用：其错误编号和命令列表显示了最小型号缺少哪些参数，这独立确认了 ROM 中的参数顺序。
- **三种型号的数据手册** —— 每种波形的工作限制。

这些手册是第三方文档，**不在本仓库中重新分发**。它们可以在网上找到。

---

## 许可与使用

两类材料，适用不同条款——确切范围见 [LICENSE](https://github.com/doctormord/philips-pm-5139-5138a-5136-firmware-project/blob/main/LICENSE)：

- **逆向工程工作是 MIT 许可。** 文档、工具、两个模拟器、符号表、注释、生成的波形和图表。你可以随意使用。
- **Philips 固件不是我们可以许可的。** ROM 镜像、出厂芯片转储、反汇编清单和浏览器模拟器（其中嵌入了 V1.3 镜像）复制或衍生自 Philips 的工作。它们在这里作为研究对象，用于互操作性、维修和记录这些已停止支持数十年的仪器。在我们自己的工作混入的地方——注释、V2.0 中修正的波形——只有那部分贡献是 MIT。

如果你持有原始固件的权利并反对，请开一个 issue，它将被移除。

如果你使用了这里的任何内容，我们很感激能有一个回链。如果你发现错误，请开一个 issue——这里的每一项声明都指明了它所依据的地址或测量，因此它应该是可证伪的。