我是怎么打开车库门的：ASKOOK手动解码及重放

本文以打开无线控制的电动车库卷帘门为目标，深入研究了ASK/OOK的编／解码，并用树莓派五元钱的五元钱的发射模块实现了打开车库门的各种姿势。本文适用于主流315/433MHz射频遥控。

背景

车库装了电动卷帘门，为了了解其安全性，也是为了能自主控制，研究了下其遥控原理。其实在这个过程中，我测试了家里几乎所有的无电线遥控器，包括电动窗帘、投影幕布、电动衣架、车钥匙。除了车钥匙，其它都是类似的，即ASK/OOK编码。

ASK，简单的理解，就是调幅，用不同的幅度来代表不同的信息。OOK是ASK的特例，因为只有0和1要表示，可以用有载波来代表1，无载波来代表0。但实际上并不是这么直接，通常会加上脉宽调制（PWM）以提高抗干扰能力。

用HackRF确定可行性

据说有的车库门是滚动码的（编码是变化的），我们可以先用HackRF做个简单的重放攻击测试。

录制2秒的信号并重放：

部分运行提示：

实测用录制的信号是可以控制的（如果不行，注意调整HackRF放大器的增益）。但这个没多大技术含量，而且成本高，数据量也大。我们的目标是解码后再重新编码／重放。

用GNU Radio录制信号

用GNU Radio搭一个简单的接收框图，一方面将接收信号保存到文件，另一方面将信号以瀑布图显示作为实时反馈。因为遥控信号是433.92MHz，中心频率设在这个附近都可以；采样率2M就够了。

图1：gnuradio-companion 连接框图

下图是运行时的瀑布图，其中按了5次遥控器。

图2：gnuradio-companion 运行时的瀑布图

用 Inspectrum 手动解码

用apt-get安装inspectrum，或下载最新的Inspectrum代码，按照文档自行编译。试过Debian和Mac下都没问题（Mac下用MacPorts要安装一堆依赖）。编译就不多说了，下面是解码的主要步骤：

1. 用Inspectrum打开前面录制的文件，设置采样率为录制时的采样率（2M）； 2. 水平拖动，找到有信号的区域； 3. 在原始信号上右键，Add derived plot => Add sample plot； 4. 此时原始信号上会出现两条水平线，用鼠标拖动，调节中心频率的位置和宽度； 5. 在原始信号上右键，Add derived plot => Add amplitude plot； 6. 在Amplitude plot上右键，Add derived plot => Add threshold plot； 7. 勾选”Enable cursors”，此时会出现两条竖线； 8. Zoom放大信号图，移动两条竖线，使其宽度包含一个符号。注意跳过前导的高低电平（start1, start0）。数据通常是脉宽编码的，一对高低电平的组合代表一个bit：高电平较宽的代表1，低电平较宽的代表0。从图中应该能看出这个规律。 9. 改变符号数，使其包含整个信号区域（图中是65个符号，这相当于完整的key），并调节首尾对齐（结束时通常有较长的低电平），这时可以得到符号的速率，即波特率（对OOK，其实等同于比特率）。

图3：用Inspectrum解码的步骤

最后，在Amplitude plot或Threshold plot上分别点右键，Extract symbols (to stdout)，可以得到解码的数据。其中前者相当于模拟信号，简单理解：正数代表1，负数代表0；后者才是我们想要的bit流。

图4：用Inspectrum解码的结果

为确认解码正确，可以再选一段信号区域，做同样的操作，看结果是否一致。毕竟ASK抗干扰不强，有时候可能会差一两个bit。通常，按一下遥控器，同样的数据会重复发送几次。

遥控信号编码分析

根据前面的解码，以及对更多遥控器的分析，可以归纳出一个模型。一个ASK信号包含如下部分（参数）：

start1: 起始的高电平时间长度； start0: 起始的低电平时间长度； stop0: 结束的低电平时间长度； period: 每个bit的周期，在PWM编码中，每个bit都对应一对高/低电平，而且总是先高后低； duty: 占空比，比如占空比是75%，则意味着一个周期内如果75%左右是高电平，则代表1; 而75%左右是低电平则代表0； bits: 实际的bit流。

这里的占空比肯定是大于50%的，通常在75%左右比较合适，这样既能拉开（每个周期内）两种电平的比例差，减少接收端的误判；又能保证接收时能采样到两种电平，也是为了减少误码。试想对于99%的占空比，1%周期的电平很可能被接收端采样不到，导致采样到199%（甚至更长）周期的同一种电平，这样解码时就会出错。