BLE 协议栈分层详解：物理层→链路层→状态机→跳频与设备地址

TL_JUNNAN

**刚接触 Telink BLE SDK 的新手往往会直接跳到代码层面——找 demo、配 ATT 表、调连接参数，却忽略了协议栈底层的物理层和链路层。结果遇到"为什么广播只在 37/38/39？""设备地址有几种？""跳频到底怎么跳？"这些问题时一头雾水。** **本系列文章从 BLE 协议栈最底层讲起，不涉及具体 SDK 函数，作为后续抓包实操、多连接灯显、ATT 服务分析等实战篇的前置铺垫。** --- ## 一、BLE 的三个关键词 **BLE（Bluetooth Low Energy）的设计目标可以用三个关键词概括：** * **可靠**：跳频 + CRC + 重传机制保证无线传输的可靠性 * **低功耗**：广播/连接参数的节能设计，极低占空比收发 * **低成本**：单芯片方案，无需外部射频前端 **BLE 与经典蓝牙（BR/EDR）是两套独立协议，不向下兼容。BLE 使用 2.4GHz ISM 频段，面向小数据量、间歇性传输场景（传感器、遥控器、标签、耳机等）。** --- ## 二、协议栈总览 **BLE 协议栈分为两大层：** ```  ┌──────────────────────────────────┐  │           Application            │  ├──────────────────────────────────┤  │  Host: GAP / GATT / ATT / SM /   │  │        L2CAP / HCI               │  ├──────────────────────────────────┤  │  Controller: Link Layer          │  │  (状态机 / 跳频 / 包格式)         │  ├──────────────────────────────────┤  │  Physical Layer (PHY)            │  │  (2.4GHz / GFSK / 40 信道)       │  └──────────────────────────────────┘ ``` * **Controller（控制器）**：包含 PHY（物理层）和 Link Layer（链路层），负责无线收发、跳频、状态机管理。通常跑在芯片上，与具体硬件强相关。 * **Host（主机）**：包含 L2CAP、ATT、GATT、SM、GAP 等，负责服务发现、属性读写、安全管理、连接参数协商等上层逻辑。HCI 是 Host 与 Controller 之间的标准接口（UART/USB/SDIO）。 **本篇重点讲 Controller 部分（PHY + Link Layer），因为这是最容易被忽视、却最影响理解的基础。** --- ## 三、Physical Layer：2.4GHz、40 信道与 GFSK 调制 ### 3.1 频段与信道 **BLE 工作在 2.4GHz ISM 频段，范围 2400MHz–2483.5MHz，共 83.5MHz 带宽。BLE 将其划分为 ****40 个物理信道**，每个信道宽度 **2MHz**（注意：经典蓝牙是 1MHz，BLE 翻倍是为了减少带外干扰）。 ```  2400MHz                                          2483.5MHz  |===|===|===|===|===|===|===|===|===|===| ... |===|    0   1   2   3   4   5   6   7   8   9       39   ^               ^               ^  37(=0)         38(=12)         39(=39)   ← 广播信道 →        ← 数据信道(0~36, 去掉37/38/39) → ``` ### 3.2 广播信道 37/38/39 **40 个信道中，有 3 个是****广播信道**，编号为 37、38、39。它们的物理位置分别是原信道 0、12、39，均匀分布在 2.4GHz 频段的两端和中间。 **为什么广播只用这 3 个信道？** 1. **与 Wi-Fi 频段隔离**：Wi-Fi 信道 1/6/11 集中在 2.4GHz 中间区域，BLE 把广播信道放在频段两端和中央，最大限度避开 Wi-Fi 干扰。 2. **快速发现**：广播只在 3 个信道上发，扫描方也只在这 3 个信道上收，3 信道轮询比 40 信道快一个数量级。 3. **抗干扰冗余**：即使某一广播信道被干扰，另外两个仍可工作。 ### 3.3 数据信道 **连接建立后，通信切换到剩余的 ****37 个数据信道**上（编号 0–36，去掉了 37/38/39）。连接态使用自适应跳频（AFH），在 37 个数据信道间跳转，进一步增强鲁棒性。 ### 3.4 GFSK 调制 **BLE PHY 使用 ****GFSK（高斯频移键控）** 调制： * **数据 "1" 对应正频率偏移，数据 "0" 对应负频率偏移。** * **高斯滤波器平滑相位 transition，降低带外辐射。** * **调制指数 0.5（BLE 1M），数据速率 1 Mbps（BLE 1M PHY）或 2 Mbps（BLE 2M PHY）。** --- ## 四、Link Layer：包格式与状态机 ### 4.1 空中包格式 **BLE 链路层的空口包结构如下：** ```  ┌──────────┬───────────────┬──────────────┬───────┐  │ Preamble │ Access Address│     PDU      │  CRC  │  │  (1B)    │    (4B)       │  (2~257B)    │ (3B)  │  └──────────┴───────────────┴──────────────┴───────┘ ``` * **Preamble（前导码，1 字节）**：接收机用于频率同步和自动增益控制，固定为 `0xAA` 或 `0x55`。 * **Access Address（访问地址，4 字节）**：标识一条连接。广播包固定为 `0x8E89BED6`；连接建立后，主从双方协商一个随机的 32 位地址。 * **PDU（协议数据单元，2–257 字节）**：实际载荷，类型取决于当前状态（广播 PDU / 数据 PDU / 控制 PDU）。 * **CRC（3 字节）**：覆盖 PDU 的完整性校验。 > **一个容易搞混的点：广播包和数据包的 Access Address 不同。广播固定 **`0x8E89BED6`，数据包是随机值——这就是为什么抓包时能一眼区分"这个包是广播还是连接后数据"。 ### 4.2 链路层五种状态机 **Link Layer 定义了 5 种状态，任何时刻设备只能处于其中一种：** ```           ┌─────────┐           │ Standby │←─────────────────────┐           └────┬────┘                       │       建广播   │     禁广播                  │           ┌────▼────┐                ┌──────┴───┐           │Advrtising│───发起连接──→ │ Initiating│           └────┬────┘                └──────┬───┘       开始扫描  │                            │ 连接建立           ┌────▼────┐                ┌──────▼───┐           │ Scanning │                │Connection │           └─────────┘                └───────────┘ ``` | **状态**        | **行为**                                                     | **生活化类比**             | | --------------- | ------------------------------------------------------------ | -------------------------- | | **Standby**     | **关 RF，功耗最低，靠按键/定时器唤醒**                       | **遥控器待机**             | | **Advertising** | **发广播包（ADV\_IND/ADV\_DIRECT\_IND），可回 SCAN\_RSP**    | **耳机开盖广播"我在这里"** | | **Scanning**    | **被动收 ADV\_IND/SCAN\_IND；主动发 SCAN\_REQ 等 SCAN\_RSP** | **手机扫描附近设备**       | | **Initiating**  | **发 LL\_CONNECTION\_REQUEST 尝试建连**                      | **手机点击"连接"**         | | **Connection**  | **双向数据收发、协商连接参数（Interval/Latency/Timeout）**   | **已连接通信中**           | > **重点提醒："分清楚是谁发的"——广播包、扫描请求、连接请求各自的方向要画清楚。Advertising 是 Slave（从机）发，Scanning 是 Master（主机）收，Initiating 是 Master 发连接请求。** ### 4.3 连接态的关键参数 **进入 Connection 状态后，通信由以下参数控制：** | **参数**                | **说明**                   | **典型值**       | | ----------------------- | -------------------------- | ---------------- | | **Connection Interval** | **主从通信间隔**           | **7.5ms – 4s**  | | **Slave Latency**       | **从机可跳过的连接事件数** | **0 – 499**     | | **Supervision Timeout** | **超时断连阈值**           | **100ms – 32s** | * **Connection Interval 越大，功耗越低但延迟越高。** * **Slave Latency 允许从机在某些连接事件中不回复，进一步省电。** * **Peripheral（从机）在 Central（主机）最后一个比特后 150μs 回复，这个固定时间差叫做 T\_IFS（Inter Frame Space）。** --- ## 五、跳频与信道选择 ### 5.1 为什么跳频？ **跳频有三个目的：** 1. **抗干扰**：如果某个信道被 Wi-Fi/其他设备占用，跳频可以避开它。 2. **安全性**：频谱分析攻击者难以持续监听某一条连接。 3. **频谱利用率**：多设备共存在同一频段，跳频让不同连接错开使用信道。 ### 5.2 Channel Map 与自适应跳频（AFH） **BLE 连接态使用 ****Channel Map** 管理信道可用性： * **Channel Map 是一个 37 位的位图，每位对应一个数据信道，标记"可用"或"不可用"。** * **主机（Central）持续监测信道质量，把性能差的信道标记为不可用，保证后续跳频不选它。** * **这个机制叫 ****AFH（Adaptive Frequency Hopping）**，自适应跳频。 **每次连接事件在下一个可用信道上收发，跳频序列由 Access Address 通过算法确定，主从双方使用相同算法保证同步。** --- ## 六、设备地址 ### 6.1 48 位地址构成 **BLE 设备地址为 ****48 位（6 字节）**，在链路层包中作为设备标识符，与以太网 MAC 地址类似。 **设备地址分两大类，每类又有子类型：** ### 6.2 Public Device Address（公共地址） * **需向蓝牙 SIG 组织申请，全球唯一。** * **高 24 位是公司 OUI（Organizationally Unique Identifier），低 24 位由厂商分配。** * **例如 **`A4:C1:38:xx:xx:xx`（以 Telink 为例）。 * **永久固定，不变更，适用于无隐私要求的设备。** ### 6.3 Random Address（随机地址） **随机地址分三种子类型：** | **子类型**                                | **说明**                                              | **典型场景**                              | | ----------------------------------------- | ----------------------------------------------------- | ----------------------------------------- | | **Static Address**                        | **上电随机生成或固定写入，生命周期内不变**            | **无隐私要求的固定设备（传感器、标签）**  | | **Non-resolvable Private Address (NRPA)** | **完全随机、不可被解析，定时轮换**                    | **临时广播场景（仅广播不连接的 Beacon）** | | **Resolvable Private Address (RPA)**      | **随机地址 + IRK，仅持有 IRK 的对端能解析出真实身份** | **隐私保护场景（手机、耳机）**            | **RPA 的工作原理：** * **RPA 的前 24 位为随机 prand，后 24 位为用 IRK（Identity Resolving Key）对 prand 做 AH（Address Hash）运算后的结果。** * **对端用自己保存的 IRK 重新计算 hash，与地址后 24 位比对，一致则识别为"已知设备"。** * **配对过程中交换 IRK，后续连接时对端就能解析 RPA——这就是"可解析"的含义。** * **未持有 IRK 的第三方只能看到随机地址，无法追踪设备。** > **RPA/IRK 的具体配对流程与抓包验证，留到本系列第二篇"Ellisys 抓包实操"中展开。** --- ## 七、小结与下一步 **本篇梳理了 BLE 协议栈最底层的基础知识：** * **PHY**：2.4GHz、40 信道、GFSK 调制、37/38/39 广播信道 * **Link Layer**：包格式（Preamble + Access Address + PDU + CRC）、5 种状态机 * **跳频**：Channel Map + AFH 自适应跳频 * **设备地址**：Public + Random（Static / NRPA / RPA） **这些概念在后续实战篇中会反复用到：抓包时你要看 Access Address 区分广播和连接、看 Channel Map 理解跳频序列；多连接时要理解 Connection Interval 怎么分时；配对时要看 IRK 怎么解析 RPA。**