去年年底我接手了一个挺冷门的硬件复刻项目microduck-replica，目标很直接：把一个已经停产的智能桌面小设备“鸭子机器人”从仿真源码出发，在没有原厂原理图支持的前提下，通过静态评测的方式逆向复刻出一套可维护的硬件副本。这名字起得挺形象，microduck是产品代号，replica就是复刻。项目里最花时间的不是烙铁和风枪，而是把仿真源码和实物之间逐条逐项做证据比对——这也是标题里“证据工程”四个字的由来。这篇文章把我整个处理过程、工具选型、踩过的坑完整写出来，给准备做类似硬件逆向、开源复刻或者产品兼容性研究的工程师做个参考。
1. 先把思路捋清楚：microduck-replica到底在复刻什么
1.1 仿真源码不等于最终硬件
先泼一盆冷水：手里有仿真源码，不等于能直接照着画板子。
很多刚接触硬件逆向的朋友有个误区，觉得拿到原理图源文件或者逻辑仿真工程，就等于拿到了产品的“标准答案”，剩下的工作只是照着抄。实际做起来完全不是这么回事。microduck这台设备我查到设计资料的时候，最初也确实兴奋了一下，觉得既然连仿真工程都拿到了，复刻还不是分分钟的事。真正拆开机器，对着实物量了一圈之后才发现，量产硬件和设计源码之间的差距大到能让人怀疑人生。
仿真源码在电子设计流程里通常包含电路原理图、PCB布局、HDL逻辑描述或者仿真测试脚本，它代表的是设计意图，是工程师在开发阶段构造出来的“理想模型”。但工厂量产出来的板子，要经过器件采购、物料替换、产线调优、改版维护这一整条链路，任何一个环节都会让实物偏离原始设计。microduck这个项目里，我至少发现了三类典型偏差：电源芯片被换成了管脚兼容但开关频率不同的替代料；两个去耦电容的容值做了调整，排查之后确认是EMI整改的结果；还有一处GPIO上拉电阻从源码里的10k改成了4.7k，估计是产线上为了按键灵敏度做的修正。
所以如果直接把仿真源码当成唯一依据去复刻，做出来的板子大概率是“设计正确但无法量产”的试验板，甚至可能因为器件参数差异跑不起来。microduck-replica这个项目从一开始就把定位定得很清楚：不是简单抄板，而是要把仿真源码当成“预期模型”，把实物当成“实际证据”，用一套静态评测的方法把两者做交叉验证，最终产出一份可信的硬件副本。
1.2 为什么必须做“静态评测”
这里要解释一下我强调的“静态评测”。硬件分析大致分动态和静态两条路线。动态分析是给板子上电，用逻辑分析仪、示波器去抓总线时序，或者跑测试固件看行为表现。静态分析则是在不给电、或者只给极有限供电的条件下，通过外观检查、尺寸测量、丝印读取、连通性测试、固件镜像静态解析这些手段来获取信息。
microduck-replica选择静态路线为主，有很现实的原因。第一，这个产品本身带有一定的防拆设计，螺丝孔位被胶垫覆盖，外壳卡扣非常紧，内部主控芯片上还打了丝印，明显不希望别人一眼看出方案。动态调试需要给板子供电、接调试器，操作过程中稍有不慎就可能烧毁板上关键器件，一烧毁，证据就没了。第二，逆向工程讲究的是“先完整取证，再动作”，静态评测阶段能够把所有能读到的信息，比如器件型号、PCB走线、引脚连接关系、固件里的版本字符串，先尽量完整地采集下来，形成证据链，之后再做任何危险操作都有底稿可查。
实际效果也验证了这条路线是对的。我在不拆主控、不动Flash的情况下，就通过静态方式拿到了足够的证据，把整块板子的器件级BOM推了出来，并且还原了80%以上的连接关系。剩下20%是因为内层走线看不到，得靠网表推导和动态验证补完。这个比例对于一个没有原厂文档的逆向项目来说，已经足够支撑复刻工作了。
1.3 工具链与准备工作
静态评测要用的工具门槛不高，但每一样都得备齐。测量工具我用的是数显游标卡尺，精度0.02mm，主要用来量PCB外形、定位孔间距、器件封装尺寸。光学工具方面，一个带LED补光的10倍到60倍连续变倍显微镜是刚需，看丝印、辨别被打磨过的芯片表面都靠它。万用表必须有蜂鸣档，做连通性测试没有它寸步难行。另外还建议准备一台可调温的热风枪和一把好的防静电镊子，拆屏蔽罩和观察板层结构的时候会用到。
软件层面，仿真源码里通常能导出网表文件和BOM，我习惯先用文本方式把BOM整理出来，再用KiCad建一个空白工程，把预期的器件清单和网络连接关系录进去。固件分析用binwalk加strings，读取Flash用esptool，这些工具在后文实操部分会具体展开。
2. 静态评测的完整方法论：建立证据链而不是抄板
2.1 证据链的四个环节
做硬件逆向最忌讳的就是东一榔头西一棒子，今天拆个电容，明天测个电感，最后一堆零散信息拼不成图。microduck-replica项目里我给自己定了一套证据链流程，四个环节分别是：预期建模、实物取证、交叉比对、差异裁决。任何信息没有在这四个环节里走完一遍，就不算有效证据，也就不会被用来支撑复刻决策。
预期建模是从仿真源码出发，把所有已知信息结构化。包括器件清单、各器件之间的连接网络、PCB叠层和阻抗要求、关键信号的走向。这一步的产出物是一份“预期网表”和一张“预期BOM”，后续所有实物测量都以它们为参照。实物取证则是对真实板子做无损或微损检查，把每个器件的实际型号、封装、位置、连接关系记录下来，形成“实物台账”。交叉比对就是把台账和预期模型逐项对照，所有对得上的打勾，对不上的亮红灯。差异裁决则是对每个亮红灯的差异点做原因分析，判断是物料替换、设计变更还是单纯我信息来源有误，并决定复刻时采用哪个版本。
这四个环节缺一不可。我见过有人做逆向时跳过预期建模，直接对着实物画原理图，结果画到后半段发现某颗芯片不知用途，又得回头翻资料。也有人不重视差异裁决，看到实物和源码不一致就跟源码死磕，浪费大量时间。按流程走，每一步都有产出物，即使中途中断，换个人接手也能顺着证据链继续推进。
2.2 从源码提取“预期态”
microduck的仿真源码并不是单一的文件，而是散落在工程仓库里的多个交付物，包括原理图PDF、PCB Gerber文件、固件工程的引脚分配头文件，还有一份针对传感器数据融合算法做的仿真模型。我的第一步工作就是把这些资料全部下载下来，逐一归类，然后建立一张“设计信息索引表”。
索引表按模块划分：主控、电源、传感器、执行机构、通信接口、人机交互。每个模块下列出该模块在源码里的关键设计参数，芯片型号、供电电压、通信总线、GPIO分配、关键电阻电容值。这一步很枯燥，但价值极大。有了这张表，后面在实物上看到任何一个器件，都能快速判断它在设计里的角色，也能立刻发现实物与设计的偏差。
举个例子，microduck的仿真源码里明确写了主控使用ESP32-S3系列，Flash规划是8MB，并预留了外置SPI PSRAM接口。取实物时，我先找到主控芯片，丝印是ESP32-S3-WROOM-1-N8R8，对照下来是8MB Flash加8MB PSRAM的模组。这个信息瞬间让我确认了三件事：模组版本与设计一致、运行内存充足、后面做固件分析时可以直接按ESP32-S3的工具链去处理。这就是预期建模带来的效率提升。
2.3 实物取证与比对矩阵
实物取证阶段要尽可能多地收集信息，然后全部填进一张比对矩阵。矩阵的行是每个器件或每条信号，列分别是源码预期值、实物实测值、一致性判断、备注说明。比如电源部分，源码预期用了一颗SY8089降压转换器，实物上我看到的丝印是S9B，查资料确认就是SY8089，一致性打勾。而Flash型号源码里写的是GD25Q64CSIG，实物丝印显示为XM25QH64C，两者容量一致但品牌不同，一致性打叉，备注栏写“同规格替代料，需确认时序兼容性”。
比对矩阵的好处是信息密度高，一页纸能看完全部差异点。我在项目里维护了一张大概50行的矩阵，覆盖了所有关键器件和20组关键信号，后期复刻原理图时基本不再需要频繁翻源码和照片，只看这一张表就够了。做完这一步我也发现了，microduck的仿真源码和量产板之间的器件一致率大概85%，剩下15%的差异基本都是被动元件参数微调或同规格替代料，主控、传感器、通信芯片等核心方案完全一致。
3. 实操记录：从拆解到原理图复刻的全过程
3.1 拆解与器件台账
实际动手拆解之前，我先给设备整体拍了360度外观照片，记录接口布局、螺丝位置、防拆标签的位置。外壳的处理没什么捷径，用塑料撬片沿着卡扣边缘慢慢划开，切记不要用金属螺丝刀硬撬，否则外壳会留下永久损伤。microduck的卡扣设计得比较紧，我试过用热风枪对着卡扣区域吹了十几秒，让塑料稍微软化一点再撬，效果明显好很多。
打开外壳之后，先别急着拆主板，把能观察到的信息先全部记录一遍。PCB的版号丝印、生产日期代码、J-Link或UART调试接口附近是否有预留焊盘、天线的净空区域和走线方式，这些都是重要证据。我拿着微距镜头对着PCB正反面各拍了一轮高清照片，之后所有器件台账工作基本都可以对着照片完成，不用反复开合板子。
器件台账按位置编号记录，比如U1、U2、R1、C1，每个编号对应一个实际器件，记录其坐标、封装、丝印、实测尺寸。建立台账时最怕漏，所以我会用网格法，把PCB分成左上、左下、中上、中下、右上、右下几个区域，逐一扫描。microduck的板子面积不大，大约5cm乘4cm，单面板加部分双面布局，整个台账花了两个小时就录完了，大概30个器件，主控、Flash、传感器、电机驱动、电源、按键、LED、接插件全部覆盖。
3.2 连通性验证与引脚映射
器件台账做完之后，下一步是验证器件之间的连接关系。这一步我用的工具很简单，万用表蜂鸣档加一把自制的测试探针。方法听起来很“土”，但确实可靠：先把主控的每一路IO引脚位置找出来，然后从IO引脚出发，测量它和周围电阻、按键、传感器引脚之间的导通关系，记录哪些网络是直连的，哪些中间串了电阻。
这个环节里最值得关注的是按键和LED的GPIO映射。microduck的互动功能主要靠两个触摸按键和一颗RGB LED实现，按键在PCB上是以铜箔感应盘形式存在的。我用蜂鸣档从感应盘出发，一路追踪到主控的某个引脚，再用万用表确认感应盘和主控地之间只有一个大电阻，基本就能判定这是一个触摸按键输入。对照源码里的引脚分配表，果然这个引脚被配置为触摸传感器输入。三条类似的验证做下来，整个映射关系就闭环了。
连通性验证的时候有个经验，不要只看直连，还要测量串阻值。microduck的I2C总线上，主控和传感器之间各串了一颗1k电阻，如果不测阻值只看通断，很容易把这两颗电阻忽略掉，导致复刻时漏掉保护电阻，影响总线稳定性。测量时注意要把万用表调到电阻档，记录实际阻值，再和源码里的典型值比对。
3.3 固件静态取证
硬件信息采集完之后，我做了固件层的静态取证。这一步的目标不是反编译整个固件，而是先确认固件里有哪些可以作为“版本证据”的字符串，比如产品型号、编译时间、协议版本、Wi-Fi SSID前缀等。
操作上，我先用镊子夹住Flash芯片的供电脚，临时阻断供电，然后用esptool的read_flash命令把整个8MB Flash镜像读出来。这里有个前提，如果Flash开启了加密或者读取保护，读出来的数据会无法解析，这种情况我后文会说。microduck的Flash没有被加密，所以很顺利地得到了一个完整的镜像文件。
拿到镜像后，先用binwalk扫描文件结构，确认里面包含了几段可识别的固件分区。然后再用strings命令配合grep搜索关键词，比如“microduck”“fw_ver”“ESP32”。结果在镜像偏移0x120000附近找到了一串类似“microduck_fw_v2.3.1_build20240912”的字符串。这个信息直接和源码仓库里的版本标签对应上了，源码里tag v2.3.1的提交时间和这个build日期吻合。这又是一个非常典型的证据链闭环，仿真源码、量产固件、产品实物三个维度指向同一版本，说明我手里的实物和仿真源码确实是同一个产品代次。
另外还从固件里提取到了BLE广播名称和UUID列表，这些信息在复刻阶段可以用来验证通信协议是否兼容。值得一提的是，固件分析过程一定要做哈希校验，读出的镜像先算MD5存档，后面任何分析都基于哈希一致的副本，避免取证过程污染原始数据。
3.4 复刻原理图与PCB要点
证据链建立完毕，复刻工作就进入“照着画”的阶段了。我在KiCad里新建工程，按模块逐步搭建原理图。模块划分和前面的索引表保持一致：电源树、ESP32-S3最小系统、传感器组、电机驱动、人机交互。
电源树是第一个要画的模块。microduck使用USB 5V输入，经过SY8089降压到3.3V供给主控和传感器，另外还有一路直接从5V供给电机驱动。复刻时需要注意SY8089的反馈电阻分压网络，原板用的反馈上拉电阻是220k、下拉是82k，输出约3.35V。我比较谨慎，直接在KiCad里按实测阻值录入，并且预留了0603封装的调试点，方便后续动态调试时微调电压。
主控模块相对标准化，ESP32-S3-WROOM-1模组的外围电路基本固定，但有两个细节要抄到位：一是模组底部的散热焊盘必须连接地层，并且过孔要打成阵列，否则高频工作下温升会比较快；二是模组的Strapping引脚，GPIO0、GPIO3等，原板上拉了电阻连接到Flash的WP和HOLD脚，复刻时不能简化，否则下载模式判定会出问题。
PCB布线阶段，因为我已经有了原板的实物照片，可以直接“抄布局”。不过抄布局不是像素级复制，关键是要抄三样东西：天线净空区、差分走线、去耦电容位置。microduck的2.4G天线区域在板边，走线净空和原板保持一致，避免金属器件遮挡。I2C总线和SPI Flash的数据线虽然没有跑差分，但原板把它们布置在相邻层并用地包围，我也照做了，实测信号质量很好。
4. 常见坑位与排查实录
4.1 丝印缺失下的器件识别
做逆向最大的敌人不是复杂电路，而是看不清的丝印。microduck板上有几颗小封装电阻电容因为位置太靠近加热器件，丝印已经被高温烤得模糊不清，还有一颗电源芯片表面丝印被刻意抹除了一部分。
遇到这种情况，第一反应不要是刮开丝印，而是先量封装和尺寸。用游标卡尺测三边，再和常见封装尺寸表比对，能大概率锁定封装类型。然后看周边电路拓扑，如果一颗三端器件旁边有电感、输出电容到某个电压域，基本可以判断是DC-DC，再配合输入输出电压和频率行为，就能推断出具体型号范围。我遇到的那颗“被抹掉”的电源芯片，就是通过输入5V、输出3.3V、开关脚连接一颗2.2uH电感，判断出是SY8089的同系列产品，后来用示波器测了开关频率确认无误。
对于电阻阻值识别，丝印烤糊的情况下可以测色环，但更实用的是测相邻引脚的电压关系。静态评测阶段没有供电，所以最可靠的方式还是观察它在电路里的位置，比如LED限流电阻通常在100到1k之间，I2C上拉电阻常见4.7k或10k，先按经验估一个值，等动态调试时再根据实际发光亮度或总线波形微调。
4.2 源码与实物版本差异处理
前面已经说过，microduck的源码和实物大约有15%的差异。这些差异不是随便忽略或强行统一就行的，必须逐个记录并做出“复刻版本决策”。我的处理方式是建立一张差异决策表，每一行包含差异描述、可能原因、对功能的影响、复刻建议。
举个例子，源码里按键上拉电阻用的是10k，实物上是4.7k。查了一下主板改版记录，这个改动发生在某个批次的产线校准之后，原因是10k上拉在潮湿环境下触摸检测基准漂移偏大，改成4.7k后稳定性提升。我在复刻时采用了4.7k，并且在上拉电阻位置保留了并联焊盘，如果后续想调试触摸灵敏度，可以直接叠加一颗10k电阻并联出约3.2k的效果，比重新打样方便得多。
这类版本差异处理原则是：以核心功能兼容为准，不盲目追求与源码或实物的绝对一致。microduck的通信行为和传感器行为没有受这些参数微调影响，所以复刻版采用“尽量靠近实物、保留调试手段”的策略，既能还原真实产品表现，又给后续优化留了空间。
4.3 固件读取失败与读取保护
静态取证最难受的时刻，是Flash读取回来的数据全是FF，或者只有开头一小段有效后面全是乱码。第一次遇到时我还以为是探针接触不良，反复试了三次才确认是Flash使能了读取保护。
ESP32系列的Flash读取保护机制是基于eFuse控制的，如果原厂在量产时烧录了对应的eFuse位，那么外部工具直接读SPI Flash是拿不到明文固件的。microduck的实物没有开启这个保护，算是运气好，但我在这个项目后期帮朋友看另一款设备时遇到了同样的保护，所以总结一下处理思路。
遇到读取保护，最忌讳的想法是硬破解，一方面难度极大，另一方面存在法律风险。正确的做法是调整取证目标，不追求拿到完整固件明文，而是通过周边证据去推断固件的功能和版本。比如读取Flash虽失败，但通过主控的日志串口在特定按键组合下输出的启动信息，可以拿到编译日期和版本号。再比如通过测量不同工作模式下的GPIO电平变化，可以反推部分固件逻辑。这些行为层面的信息足够支撑硬件兼容性复刻，并不一定需要完整固件。
另外要强调，做这类项目时一定注意授权边界。只有对你自己拥有、或者明确授权可以研究的设备做逆向复刻才是合规的。microduck-replica正是基于该设备已由版权方以开源协议发布仿真源码这一前提下进行的学习研究，整个项目也保持了非商业用途的定位，复刻资料以开源方式回馈社区。
4.4 合规边界与后续扩展
前面提到合规，这里再展开多说几句。硬件逆向和开源复刻处在合法与侵权之间的灰色地带，不同地区法律制度不同。我个人执行的标准很简单：没有明确授权的情况下，绝不绕过任何软件授权保护机制，不提取或传播受保护的固件内容，不将复刻成果用于商业牟利。microduck-replica因为原始仿真源码本身以开放许可发布，且实物设备也已由原作者公开拆解，所以整个项目在法律框架内是安全的。如果你的项目涉及商业产品或专利技术，动手之前务必找专业法律人士确认边界。
项目做完之后，当前阶段只是完成了静态评测和原理图级复刻。后续我打算做两块扩展：一是动态验证，把复刻出来的板子刷入官方允许分发的固件，跑一遍功能回归测试，对比原机的传感器数据、电机响应和BLE交互行为；二是外壳和结构件的复刻，因为microduck的造型偏可爱路线，外壳用3D扫描加逆向建模可以很好地还原，这部分我正在用摄影测量方式做点云重建。这两个方向做完，整个microduck-replica才算真正闭环。
我自己在这个项目里最大的体会是，硬件逆向的核心能力不是焊接和量测，而是建立证据链的思维方式。每一步操作都在为后续环节提供背景，每一个测量数据都能在某个维度支撑结论，所有信息拧成一条完整的证据链后，复刻就变成了水到渠成的事。如果你正准备做类似的设备复刻或兼容性研究，建议从建立索引表和比对矩阵开始，先别急着拆机，把已知信息结构化之后，实操效率会高出一大截。
