SanDisk高耐久性microSDXCカードのリバースエンジニアリングと分析

読むのが面倒な人のために：SanDisk HighEnduranceカードはSanDisk / Toshiba 3DTLCフラッシュメモリを使用します。これをインストールするのに、本来よりもはるかに長い時間がかかりました（そして、すべてSanDiskのおかげです！）。



以前、 DVRなどの書き込みが集中するアプリケーションで使用するSanDiskmicroSDカードを検討しました。次に、速度テストの結果を調べて、カードで使用されているNANDフラッシュのタイプについて考えました。SanDiskはカードの内部の詳細な説明を公開していないので、私は自分でカードをリバースエンジニアリングするしかありませんでした。

失敗したテクニカルサポート

情報を掘り下げたいと思って、SanDiskサポートにメールを送信し、高耐久性ラインで使用しているNANDフラッシュのタイプ、P / E（プログラム/消去）サイクル数などの耐久性メトリック、および一般的なものを尋ねました。書き込まれたテラバイト数（TBW）。残念ながら、SanDiskのサポートスタッフは、公開された仕様でカバーされていない情報を提供していないため、私の質問に満足のいく回答を提供できませんでした。彼らのカードはすべてMLCFlashを使用していると言われました。これは、TLC Flashの3ビットを「MLC」と呼んでも正しいです（Samsungのように）。

親愛なるジェイソン、



SanDiskグローバルカスタマーサポートにお問い合わせいただきありがとうございます。SanDiskファミリーの一員であることに感謝します。



SanDisk HighEnduranceビデオモニタリングカードについて詳しく知りたいとのことですが。すべてのメモリカードがマルチレベルセルフラッシュテクノロジーを使用していることをお知らせします。ただし、フラッシュの読み取り/書き込みサイクルの数は公開も文書化もされていません。読み取り速度と書き込み速度、つまり100 MB / sと40MB / sのみが公開されています。64 GBカードは、フルHDビデオを最大10,000時間記録できます。詳細はこちらをご覧ください。



SANDISK HIGH ENDURANCE VIDEO MONITORING microSD CARD



よろしく、..。

「やってみた」という言葉でメダルを差し上げます。

SDカードの構造

microSDカードはモノリシックデバイスのように見える場合があります。ただし、これらのカードは多くの異なるチップで構成されており、それぞれが異なる役割を果たします。最も単純なSDカードには、NANDフラッシュチップを制御し、ホスト（PC、カメラなど）、およびNANDフラッシュ自体（1つ以上のフラッシュクリスタルで構成される）と通信するコントローラーがあります。 Bunnie Studiosブログには、偽造品とその製造の説明など、SDカードの構造に関する優れた記事があります。





典型的なSDカードのブロック図



MicroSDカードは、多くの場合（常にではありませんが）、実稼働環境でのNANDフラッシュのプログラミングとテストに使用されるテストサイトです。それらはデータを回復するために使用できます、または欠陥のあるコントローラーまたはファームウェアでmicroSDカードを再利用します。カードをシンプルなNANDフラッシュに変えることができます。これについてはGaoLouisのブログで読むことができます。このようなテストサイトの標準は（1つのメーカー内であっても）ないことに注意してください。ただし、一部のメーカー、特にSanDiskには、リバースエンジニアリングを容易にするパターンがあります。

しゃがみコントローラー、潜んでいるテストパッド

MicroSDカードは、コントローラーとNANDフラッシュを1つの分離不可能なパッケージに組み合わせているため、「モノリシック」フラッシュデバイスのカテゴリに分類されます。多くのメーカーがフラッシュデータバスを非表示の（そして事実上ドキュメントがない）テストサイトに持ち込んでいます。彼らの助けを借りて、メモリカードやUSBフラッシュドライブの他のメーカーは、故障した部品から安価なドライブを製造しています。コントローラの電源を切るだけで、フラッシュは通常のチップと同じように使用できます。



SanDiskカードの場合、テストサイトのピン配置に関する情報は非常に不足しています。世代ごとに違いはありますが、レイアウトはほとんど変わりません。電源とアースのピンが交換されることがあるため、この違いは致命的となる可能性があります（極性が正しくない場合、チップは即座に停止します！）。



私のカード（およびUltraではない高価なラインの会社のカードの多く）には、テストパッドがニスではなく、レーザーカットされたシリアル番号が付いたある種のスクリーン印刷エポキシで覆われています。私はそれを暖め、こすり落とし、そしてこの非常に壊れやすいコーティングをテストパッドからなんとか取り除くことができました。そうすることで、私はシリアル番号も削除しました-おそらくこれは保証シールのようなものです。





エポキシテストパッドの





概要テスト



パッド痕跡のエポキシコーティングを除去した後、私はテストパッドの見慣れたレイアウトに出くわしました。それにいくつかの追加のものが以下に追加されました。

インターフェイスモジュールの作成

インターフェイスモジュールの概念は非常に単純です。テストパッドごとに、アクセスしやすいように大きなパッドにつながるワイヤーを引き出し、通常のSDバスをSDコネクターに接続して、NANDフラッシュバスをいじりながらコントローラーが機能するようにします。テストサイトのサイズが小さく、その数が多いことを考慮すると、結果が少しずさんなものになる可能性があります。





インターフェースモジュールアセンブリ





インターフェースモジュール、拡大写真



まず、カードを両面テープでブレッドボードに貼り付けました。次に、すべてのパッドを錫メッキし、小さな1uFセラミックコンデンサをカードのVccパッドとGNDパッドにはんだ付けしました。 40 AWG（0.1mm）のエナメル線を使用して、各テストパッドをブレッドボードの対応するピンに接続しました。追加のサイトと合わせて、これは28本の小さなワイヤーになりました！



SDコネクタには、HTC " XTC 2ClipからAndroidフォンを保守するためのデバイスを備えたケーブルを使用しました「フレキシブルリモートSDカード」のように機能し、小さなフレックスケーブルを介して信号をルーティングしました。ノイズや増幅から保護するためにケーブルを銅テープで包み、構造を強化するためにブレッドボードの外側のパッドにテープをはんだ付けしました。次に、ケーブルの端を錫メッキしました。エナメルを塗ったワイヤーをカードのピンに接続してから、抵抗付きのLEDを電源ワイヤーに挿入して、カードの電源がいつ供給されたかを確認しました。

バス分析

テスト連絡先によってすべてのテストサイトを広げたので、カード内にあるNANDフラッシュへのアクセスに関してこれらの連絡先が何を担当しているかを理解し始めることができました。







一般的に、ピンのレイアウトはほとんどのSanDiskmicroSDカードと同じでした。



すべてのピンからの信号を分析するために、DSLogicPlusロジックアナライザーを使用しました..。データ転送のピン配置はすでにわかっており、最も困難な作業（データバス、制御、アドレス、コマンド、書き込み保護、ビジー/フリーステータス）がすでに行われています。ただし、各接点の役割はすぐには明らかではありませんでした-私が見つけたピン配置には、NANDフラッシュでの作業を許可するバスの最小数が含まれていました-コントローラーをリセットモードにしてデータバス制御から切断する制御バスを除きます（これは後で重要になります） ..。



DSLogicで利用可能な最大速度で（そして利用可能な32MBバッファーを使用して）データバスをリッスンすることにより、初期化時にコントローラーからNANDフラッシュに送信されたコマンドの明確なリストをコンパイルすることができました。

バスリスニングとNANDI / Oの基本（コマンド、アドレスの書き込み、データの読み取り）

具体的には、RESET（0xFF）とREAD ID（0x90）の2つのコマンドを探しました。コマンドシーケンスを探すときは、データバスと制御バスがいつどのように変化するかを知ることが重要です。私はすべてを段階的に説明しようとします。興味のある方は、Micronのマニュアルをお勧めします。このマニュアルには、NANDフラッシュの基本について説明し、その動作原理に関する詳細情報が記載されています。





SanDisk High Endurance 128GBRESETコマンドトラッキングとロジックアナライザー。点線は、書き込みコマンドとリセットコマンドの出現を示しています。





SanDisk High Endurance 128GBRESETコマンドトラッキングとロジックアナライザー。点線は、読み取り/書き込みコマンドの外観を示しています。



RESETコマンドがNANDフラッシュに送信されると、/ CE（チップ選択、アクティブロー）バスが最初にプルダウンされます。次に、CLEバス（コマンドラッチイネーブル）がプルアップされます。データバスは、スケジュールされた値0xFF（バイナリ）に設定されます。次に、/ WE（書き込みイネーブル、アクティブロー）バスが高電圧から低電圧になり、次に高電圧に戻ります（/ WEバスが低電圧から高電圧に変わると、データバスからのデータがチップに転送されます。いわゆるシグナルエッジです。 "）; CLEバスが下に引き戻され、通常に戻ります。次に、フラッシュチップはR / B（準備完了/ビジーステータス）バスをプルダウンしてリセットでビジーであることを示し、終了するとバスをトップレベルに戻します。



READ IDコマンドも同様に機能しますが、コマンド0x90（1001 0000）をデータバスに書き込んだ後、CLEではなくALE（Address Latch Enable）バスをプルアップし、0x00（すべてのバイナリゼロ）を書き込んで/になります。私たちはより低い状態に。チップは、それに書き込まれたNANDフラッシュIDを内部読み取りレジスタに転送し、データはバス/ REの各エッジでデバイスから読み取られます（読み取りイネーブル、アクティブロー）。ほとんどのデバイスでは、これは4〜8バイトのデータです。

NANDフラッシュID

各NANDフラッシュデバイスには、特定のメーカーおよびその他のメーカー固有の機能データに関連付ける独自の（ほとんどの場合）一意の識別子があります。つまり、JEDEC技術協会によって割り当てられたメーカーIDのみが明確に定義されています。



最初のバイトはチップの製造元を示し、残り（2から6）はデバイスの特性を定義します。これらはすべて、製造元によって決定されます。ほとんどのNANDメーカーは、デバイスの仕様の公開に非常に消極的であり、SanDisk（したがってToshiba / Kioxia）は、オンラインでリークされたわずかに古い東芝データシートを除いて、このデータによって非常に厳しく管理されています。これらの企業は製造能力を共有しているため、製造元が定義したデータのデータ構造を相互に照合できるという知識に基づいた推測を行うことができます。



128GB SanDisk High Enduranceカードについては、0x45 48 9A B3 7E 72 0D0EのNANDフラッシュIDを使用します。これらの数値のいくつかは、東芝の仕様と比較できます。







すべてのバイト値を明確に決定できるわけではありませんが、SanDisk HighEnduranceカードがBiCS33D TLCNANDフラッシュを使用していることを確認できました-少なくともこれは3DNANDであり、信頼性の点で従来のフラットNANDを大幅に上回っています。残念ながら、この情報だけでは、コントローラーが書き込み操作にSLCキャッ​​シングメカニズムを利用しているかどうかを判断できません。



チップの製造プロセスのジオメトリは、フラッシュIDの最初の4バイトと、SM3271USBフラッシュコントローラーおよびSM2258XTコントローラー用のSiliconMotionのツールの構成ファイルの行との比較に基づいて決定されます。DRAMレスSSD。これらのツールは、それぞれSDTNAIAMA-256GおよびSDUNBIEMM-32Gチップからの疑わしいSKUを提供しますが、これはこのカードのフラッシュメモリ構成に対応していないようです。

外部制御

NANDフラッシュから正しいIDを取得していることを確認したかったので、Texas Instruments MSP430FR2433デバッグボードを接続し、必要なRESETおよびREAD IDコマンドを送信し、JEDECパラメータページチップの非表示パラメータから追加データを並行して抽出する最も簡単なコードを記述しました。



私が最初に邪魔になったのは、RESETコマンドを送信しようとするたびにMSP430が自動的にリセットされることでした。これは、MSP430ボードの限られた電源がこの電流に対応できないことを示していました。これは、「バスの競合が発生した場合に発生する可能性があります「2台のデバイスが互いに戦っているときに、特定のデジタルバスに高電圧と低電圧を同時に印加しようとしています。内蔵のカードコントローラーをオフにする方法に関する無料の情報がないため、何が起こっているのか理解できませんでした。 （そしてこのため、彼はNANDバスを「解放」し、別のデバイスがそれを制御できるようにします。）



A1テストパッド（図を参照）がコントローラーのリセットバスであり、その電圧を低い位置に保つと、コントローラはNANDフラッシュバスの制御を完全に解放します。その後、マイクロコンピュータからのコードは、障害なくフラッシュIDを正しく読み取ることができました。





カードからフラッシュIDを読み取る

JEDEC設定ページ...または少なくともSanDiskがそれを使って行ったこと！

利用可能な場合、JEDECパラメータページには、フラッシュチップの詳細な特性（NANDフラッシュIDよりもはるかに詳細）が含まれ、さらに、より標準化されています。しかし、SanDiskは標準を無視し、独自の標準を使用することを選択したことが判明しました。通常、ページはASCII文字列「JEDEC」で始まりますが、重複する文字列「SNDK」（取引所の会社名）と、JEDEC仕様のいずれとも一致しないその他のデータが見つかりました。まあ、試してみる価値があります。



前に示したのと同じArduinoスケッチを使用してデータを収集し、1536バイトのデータを受け取りました。 Ideoneで、最初の512バイトをきちんとしたHEXダンプに変換する小さなプログラムを作成しました。



Offset 00:01:02:03:04:05:06:07:08:09:0A:0B:0C:0D:0E:0F 0123456789ABCDEF

------ --+--+--+--+--+--+--+--+--+--+--+--+--+--+--+-- ----------------

0x0000 53 4E 44 4B 53 4E 44 4B 53 4E 44 4B 53 4E 44 4B SNDKSNDKSNDKSNDK

0x0010 53 4E 44 4B 53 4E 44 4B 53 4E 44 4B 53 4E 44 4B SNDKSNDKSNDKSNDK

0x0020 08 08 00 08 06 20 00 02 01 48 9A B3 00 05 08 41 ..... ...H.....A

0x0030 48 63 6A 08 08 00 08 06 20 00 02 01 48 9A B3 00 Hcj..... ...H...

0x0040 05 08 41 48 63 6A 08 08 00 08 06 20 00 02 01 48 ..AHcj..... ...H

0x0050 9A B3 00 05 08 41 48 63 6A 08 08 00 08 06 20 00 .....AHcj..... .

0x0060 02 01 48 9A B3 00 05 08 41 48 63 6A 08 08 00 08 ..H.....AHcj....

0x0070 06 20 00 02 01 48 9A B3 00 05 08 41 48 63 6A 08 . ...H.....AHcj.

0x0080 08 00 08 06 20 00 02 01 48 9A B3 00 05 08 41 48 .... ...H.....AH

0x0090 63 6A 08 08 00 08 06 20 00 02 01 48 9A B3 00 05 cj..... ...H....

0x00A0 08 41 48 63 6A 08 08 00 08 06 20 00 02 01 48 9A .AHcj..... ...H.

0x00B0 B3 00 05 08 41 48 63 6A 08 08 00 08 06 20 00 02 ....AHcj..... ..

0x00C0 01 48 9A B3 00 05 08 41 48 63 6A 08 08 00 08 06 .H.....AHcj.....

0x00D0 20 00 02 01 48 9A B3 00 05 08 41 48 63 6A 08 08 ...H.....AHcj..

0x00E0 00 08 06 20 00 02 01 48 9A B3 00 05 08 41 48 63 ... ...H.....AHc

0x00F0 6A 08 08 00 08 06 20 00 02 01 48 9A B3 00 05 08 j..... ...H.....

0x0100 41 48 63 6A 08 08 00 08 06 20 00 02 01 48 9A B3 AHcj..... ...H..

0x0110 00 05 08 41 48 63 6A 08 08 00 08 06 20 00 02 01 ...AHcj..... ...

0x0120 48 9A B3 00 05 08 41 48 63 6A 08 08 00 08 06 20 H.....AHcj.....

0x0130 00 02 01 48 9A B3 00 05 08 41 48 63 6A 08 08 00 ...H.....AHcj...

0x0140 08 06 20 00 02 01 48 9A B3 00 05 08 41 48 63 6A .. ...H.....AHcj

0x0150 08 08 00 08 06 20 00 02 01 48 9A B3 00 05 08 41 ..... ...H.....A

0x0160 48 63 6A 08 08 00 08 06 20 00 02 01 48 9A B3 00 Hcj..... ...H...

0x0170 05 08 41 48 63 6A 08 08 00 08 06 20 00 02 01 48 ..AHcj..... ...H

0x0180 9A B3 00 05 08 41 48 63 6A 08 08 00 08 06 20 00 .....AHcj..... .

0x0190 02 01 48 9A B3 00 05 08 41 48 63 6A 08 08 00 08 ..H.....AHcj....

0x01A0 06 20 00 02 01 48 9A B3 00 05 08 41 48 63 6A 08 . ...H.....AHcj.

0x01B0 08 00 08 06 20 00 02 01 48 9A B3 00 05 08 41 48 .... ...H.....AH

0x01C0 63 6A 08 08 00 08 06 20 00 02 01 48 9A B3 00 05 cj..... ...H....

0x01D0 08 41 48 63 6A 08 08 00 08 06 20 00 02 01 48 9A .AHcj..... ...H.

0x01E0 B3 00 05 08 41 48 63 6A 08 08 00 08 06 20 00 02 ....AHcj..... ..

0x01F0 01 48 9A B3 00 05 08 41 48 63 6A 08 08 00 08 06 .H.....AHcj.....



DSLogicアナライザーを使用してさらに分析すると、コントローラーには、上記と同じ繰り返しデータで満たされた4128 bp（4Kb + 32 bp）パラメーターページが必要であることがわかりました。

リセットの問題

ロジックアナライザからのデータを調べたところ、コントローラがREAD IDコマンドを2回送信しましたが、最初はフラッシュをリセットせずに送信しました（通常、チップに電源を投入した直後に実行する必要があります）。チップから返されるデータは、控えめに言っても奇妙なものであることがわかりました。







ロジックだけを解析してIDを取得しようとしていたので、最初は混乱しました。しかし、NAND Flashからのデータ回復に豊富な経験を持つ人と話をした後、これがSanDiskのデバイスの標準であることを知りました。彼らは特別なコマンドとデータ構造について非常に緩いです。4番目のバイトを信じるなら、ブロックサイズは4 MBであり、これは最新のFlashチップにとってもっともらしいように見えます。最初のバイトがチップメーカーが東芝であったことを除いて、残りの情報は私には意味がありません。

結論

SanDiskが長期カードでどのようなチップを使用しているかという単純な質問に対する答えを得ようとして、私は行き過ぎました。信頼性の向上と長期的な運用のために3DNANDテクノロジーを使用することについて、彼らは誇らしげに話すことができたようですが、そうではありません。

ファイル

興味のある方のために、カードをオンにした後に傍受したデータを投稿します。また、Arduinoのラフスケッチを投稿して、NANDIDとパラメーターページを手動で読み取ることができるようにします。

• 傍受されたデータ＃1
• 傍受されたデータ＃2
• ArduinoのNANDI / Oスケッチ