最近在做那个SB2000 Mapper4游戏镜像修改工具的时候让WorkBuddy帮忙搜了很多资料，虽然近一段时间不会再继续跟进做SB2000相关项目了，但相关资料感觉应该放在这里存档，一方面方便别人查阅，另一方面将来万一自己要用，也会来这里找找看。下面就是一些纯粹的文档了，因为是WorkBuddy搜索来的，包括逆向分析也是WorkBuddy在做，所以不一定全都正确，使用的时候需要进一步验证和勘误。

SB2000机型开发资料来源

·         SB2000开发资料汇编

·         nesdev_NES20_Mapper602_SB2000

·         DPCM技术调研

·         贴吧_说说SB2000的图片_原文存档

·         贴吧_小霸王SB2000编程技术_原文存档

SB2000开发资料汇编

SB2000 机型开发资料

建立 2026-10-01 ｜ 本版修订 2026-10-03（第二版，剔除已证伪结论）

本文档只收录已确认可信的结论。 探索过程中被推翻的模型一律不再保留，

踩坑经验压缩为「规则」形式记录在第十四章，不复述过程。

可信度标记：

 已证实（源码级 + 实测互证） ｜  源码级确定（读源码可定论，未实测） ｜

 存疑 ｜  未验证

配套文档：

VirtuaNES编译指南.md（重编译补丁版模拟器）、

SB2000应用软件镜像分析.md（官方 100 张应用盘）、

贴吧_小霸王SB2000编程技术_原文存档.md、贴吧_说说SB2000的图片_原文存档.md

──────────────────────────────────────────────────

目录

1.    资料来源

2.    硬件规格

3.    CPU 内存映射与分页

4.    启动与装载约定

5.    BIOS 调用约定

6.    外设端口总表

7.    DMA 传送

8.    TIMER 与中断

9.    音频（DAC）

10.  显示系统

11.  素材与数据格式

12.  输入与其他外设

13.  工具链

14.  已验证成果

15.  模拟器补丁与自动验证

16.  工程规则与踩坑清单

17.  未解决问题与下一步

18.  附录：一句话速查

──────────────────────────────────────────────────

一、资料来源

 本机 curl 直连百度被风控拦截；archive.org 在当前网络不可达。

官方手册 PDF 需在浏览器中打开 https://cors.archive.org/download/sb-2000-manuals/SB-2000%20Manual.raw_text.pdf 下载。

──────────────────────────────────────────────────

二、硬件规格

──────────────────────────────────────────────────

三、CPU 内存映射与分页

3.1 地址空间

 $0000-$1FFF 与 $5000-$57FF 不是镜像。模拟器实测：写 $0300 后读 $5300 无变化，

反向亦然。两段是独立 RAM。真机分布待实物验证。

3.2 程序分页寄存器 `$4040-$4047`

写入值 data（00-FF）→ bank 号
  data <  $80  → BIOS ROM：BIOS[data * $1000]
  data >= $80  → 主 RAM   ：EPRAM[(data & $7F) * $1000]

·         $4040→$8000-$8FFF，…，$4047→$F000-$FFFF

·         复位默认 bank[i] = i ⇒ $C000-$FFFF（bank 4-7）开机常驻 BIOS

·         软件起始 bank = $80，可用至 $EF = 112 × 4 KB = 448 KB（与贴吧「最大 448KB」一致）

窗口 ↔ 端口对照表（bank = m_bPbank[(addr>>12)&7]，实测确认）：

极易踩坑：$4045 控制的是 $D000，不是 $8000。

若想读另一个 RAM bank 的数据（如音频/图案缓冲），必须用 $D000 窗口，

而 $8000 窗口里跑着程序自身 —— 读 $8000 只会拿到自己的机器码。

LDA #$84
STA $4040        ; $8000-$8FFF 映射到 RAM 偏移 ($84 & $7F)*$1000 = $4000

3.3 `$4300` / `$4301`

$4301 三层结论（2026-10-05 定案）：

 官方软盘 FC 游戏的数据本体是否为原生 NES ROM 映像 =  未验证（GAME.EXE 只是小加载器，

游戏数据在裸扇区且带 key=$02 盘防，未解密逐字节比对）。

「官方软盘 FC 游戏 = 走 $4301 RAM 引导」目前是 BIOS 代码 + nesdev 原文支撑的强推断，非逐字节实证。

──────────────────────────────────────────────────

四、启动与装载约定

4.1 EXE 程序头（16 字节，不能省）

.BYTE $4C,$10,$80,$AA,$55,$00,$00,$00
        .BYTE $00,$00,$00,$00,$00,$00,$00,$00

·         $00 必须是 JMP（4C），$01/$02 = 跳转目标（惯例 $8010）

·         $03/$04 = AA 55 = SB2000 软件专用标识

SB-DOS 加载器自检 $8000 处的 JMP $8010 与 AA 55，不匹配即拒绝加载。

tools/sb2k_mkdisk.py 输出的「程序头自检(4C 10 80): FAIL」即为明确信号。

 不要把 .GAM 容器头（4D 59 "MY"）误当作软件头。

4.2 AUTOEXEC.BAT

──────────────────────────────────────────────────

五、BIOS 调用约定

5.1 调度器入口

LDA #$19
        STA $063E
        LDA #$04
        STA $063F
        JSR $FFF0

调度器结构（$FFF0 -> $FD8E，反汇编实测）：

·         fn < $10：查 $05FB 三字节表（向量 + bank）

·         fn $10-3A：查 $E082 双字节表

·         fn $47-82：分段映射 BIOS ROM 16 KB 窗（$ED94 连设 $4040-$4043）再 JMP ($0010)

·         fn $80：查 $0391 标志选驱动体

·         出口自动恢复 $4040-$4043（从 $0639-$063C）——自研软件无需关心 bank

5.2 底层块读写（fn `$80`）

完整调用序列（逐条抄自官方 GAME.EXE，缺一步即挂死）：

1  $063E=$80, $063F=$00, JSR $FFF0          ; FDC 初始化
2  $063E=$7C, $063F=$03, JSR $FFF0          ; 取会话密钥 -> $6300
3  key = $6300; $6300 = 0
4  $6207 = $80                              ; 非 $80 时 BIOS 内部无限重试
5  $6200 = 磁头   ^ key                     ; ┐ CHS 寻址
   $6201 = 扇区   ^ key                     ; │ 磁头 0-1
   $6202 = 磁道   ^ key                     ; │ 扇区 1-18
   $6206 = 0                                ; │ 磁道 0-79
   $6205 = (512B扇区数) ^ key                ; ┘ 18×2×80 = 2880 = 1.44MB
   $6205 ×8 (ASL/ROL ×3)                    ; 4KB 块 -> 512B 扇区数
6  $6203 = 目标 RAM bank (不 XOR)
   $6204 = 0                                ; 零页指针增量，普通用法恒 0
7  $063E=$80, $063F=$04, JSR $FFF0          ; 执行读写 -> 状态在 $6208

关键语义：

5.3 读盘前置条件（模拟器实测，缺一即挂死）

实测矩阵：SEI+$4032=$FF → init 挂死；CLI+$4032=$FF → init 成功但 open 挂死；CLI+$4032=$00 → 全链路成功。

 2026-10-05 重大更正：上面这条"全链路成功"是误判！

这套 $7B/$7C + $6543/$6560/$6561/$6569/$656B 的接口

从未真正交付过数据。当时判定"成功"的依据是

open 返回码为 0、以及 A/B 对照中 dump 增量恰好等于基线，

但那两者都无法区分"读到了数据"与"什么都没做"。

真正的读软盘 API 见 §5.4「读软盘到内存：BIOS 功能号 $80」。

本节保留仅为记录这段弯路。

5.3.1  `$4045` 的双用途陷阱（2026-10-04 实测，踩了 7 轮）

$4045 既是 CPU $D000-$DFFF 的 bank 窗口，又是磁盘驱动本体所在的映射页

（启动实测值 $4045=$05）。两个用途共用一个寄存器，后果是：

正确模型：

$656B = 磁盘 API 的目标 bank（另一套独立编号）
$4045 = CPU $D000 窗口的 bank

读盘前:  $4045 必须保持 $05（BIOS 调用期间）
读盘后:  想看数据才临时 $4045 = $656B
看完:    立刻 $4045 = $05 还回去, 再调下一次 BIOS

probe17 实测：$656B=$8A + $4045=$8A 才能在 $D000 读到数据；

漏掉"还回去"这一步，下一次读盘必挂。

缓冲区 bank 用 $8A 一类低位编号（probe17/VCAL46 实测有效）；

试过 $E0 段，第 2 块起读到的是垃圾。

5.3.2  DAC 开启后不能读盘（VCAL58 实测）

原因：$4034 bit7 打开后模拟器 DAC 线程开始工作，与 FDC 磁盘传输争用

emulated CPU，磁盘例程无法完成。这是模拟器实现限制，真实硬件不存在。

⇒ 读盘与送样必须交替进行（读一块立刻播一块），不能"先全读再全播"；

也不能"播完一块再读下一块"而中间不还 $4045。

5.4  读软盘到内存：BIOS 功能号 $80（ 原 §5.4 的 $656B 方案是错的 ）

本节是2026-10-05 的重大更正。

之前我们记录的「高层文件 API」（$7B 打开 / $7C 信息 / $7C/$0F 读块，

参数在 $6560/$6561/$6569/$656B，文件名走 $6543）——这一整套从未被实证，

用它写的 12 个探针（VCAL46~VCAL79）全部读不到数据。

正确做法：BIOS 功能号 `$80`（原帖第5楼 + MTV 播放器实证）

贴吧《小霸王SB2000编程技术》第 5 楼「BIOS调用」：

BIOS功能号=80 功能=读软盘到内存

调用序列（照搬 MTV 播放器 738 字节机器码 8030-809D）：

; ---- 1. 功能号与固定参数 ----
        LDA     #$80
        STA     $063E                ;  BIOS 功能号 = 80
        LDA     #$04
        STA     $063F                ; 原帖："为0读1盘"（MTV 实际写 $04）
        LDA     #$80
        STA     $6207                ;  固定值 $80（原帖勘误明确说"6207固定为80"）

; ---- 2. CHS 定位（ 按物理扇区，不是文件系统！）----
        LDA     #$00
        STA     $6200                ; 磁头 H
        LDA     #$01
        STA     $6201                ; 首扇区 S（1-based，范围 1-18）
        STA     $6202                ; 磁道 C

; ---- 3. 目标 bank 与长度 ----
        LDA     #<起始BANK>
        STA     $6203                ;  本次写入的目标起始 bank
        STA     $00F3                ;  当前 bank 指针（MTV 循环时每轮 += 步长）

        LDA     #<BANK数>
        STA     $00F4                ;  步长 = 读入的 bank 数
        STA     $6205                ; 16 位数的低字节
        LDA     #$00
        STA     $6206                ; 高字节
;    MTV 的做法：$6205:$6206 = $00F4 << 3（16 位左移 3 次）
;      因为 $00F4 << 3 = bank 数 × 8
        LDA     $6205
        ASL     A
        ROL     $6206
        ASL     $6205
        ROL     $6206
        ASL     $6205
        ROL     $6206
;    原帖："04和05通常为00，06不能为00"
;      ⇒ 步长不能太小。STEP=32 → $6206=$01（非0）最安全
        LDA     #$00
        STA     $6204

; ---- 4. 调用 ----
        JSR     $FFF0                ;  一次性读入 $00F4 个 4KB bank

参数语义（从 MTV 反汇编逐条确认）

LBA 换算（1.44MB 标准几何）

LBA = 磁道C × 36 + 磁头H × 18 + (首扇区S − 1)

例：读簇 2（我的镜像 data_sec=33）

C=0, H=1, S=16($10) → 0×36 + 1×18 + 15 = 33

这解释了此前所有失败

19.  $656B 那套参数根本不是读软盘 API。它可能是 SB-DOS 的更高层封装，

依赖 DOS 已初始化状态；我们从 AUTOEXEC 里直接调，DOS 上下文不完整 ⇒ 静默失败。

20.  fn=$80 是裸扇区读，绕过文件系统。所以

·         不需要文件句柄、不需要文件名

·         读进来的数据按 bank 顺序连续排列

·         播放器必须自己知道数据在软盘的哪个位置（原帖：$4800 是 WAV，$84800 起是图片）

21.  VCAL77 崩溃的原因：bank 数 = 1 ⇒ $6205/$6206 = $00/$00，

违反「$06 不能为 00」。

仍未解决

VCAL76~VCAL79 用这套 API 读盘后，目标 bank 里仍未观察到数据（屏幕纯黑 = DATAV $00）。

原版 MTV 机器码在我们制盘的镜像上也是立即返回 DOS 提示符。

⇒ 下一步应逐字节对照原帖的磁盘布局（EXE 在 $4200、autoexec 在 $4600、

WAV 在 $4800、图片在 $84800）重建镜像，再跑MTV 原版机器码。

MTV 的 $67FB 参数表实测值是 00 01 01 80 FF。

5.4 高层文件 API

 每次调用只读 256 字节到 4 KB RAM bank。读 512 字节必须指定两个不同 bank，

否则第二次覆盖第一次（VCAL47 实测踩过）。

写入路径的两个已知怪癖（V2 实测，根因未查）：

22.  关闭时把目录 size 与 FAT 链写坏（数据本身按线性落盘完好）；

23.  首次 4096 B 大块写的首个 512 B 落盘为零。

⇒ 大批量写盘应用底层 fn $80/$05 直写 + 制盘器预建 FAT 文件。

5.5 BIOS RAM 工作区（重要边界）

实测：变量放 $0744+ → 首次写盘即 ST=$A9；放 $0714-$0721 → 前 117 bank 后在 $F6 冻结；

放 $0780+ → 512 KB 全程 ST=$00 通过。

5.6 PRECALL / POSTCALL 顺序

·         fn $80/$00（init）之后不能立刻 POSTCALL：此刻 SNAPH 未快照，会把垃圾写进

$4044-$4047 破坏 BIOS ROM 窗 → 首个写盘 ST=$85

·         正确顺序：PRECALL → init → 读 $6300 → 快照 $4044-$4047 → 之后才配对 POSTCALL

5.7 `$4031` UM6576 模式序列

LDA #$65
        STA $4031
        LDA #$76
        STA $4031        ; 触发 SetVariant(NESVARIANT_UM6576)

副作用：SetVariant 会 delete 并重建 PPU 对象，调色板与 PPU 寄存器全部回默认值

（CRAM 内容保留）⇒ 切换后必须重写调色板与 $2000/$2001/$2008。

 在原版（未重编译）模拟器上，EXE 运行期写 $4031 无法推进到 UM6576 模式，

因为 Nes::Reset() 强制回 STD 变体。补丁版已绕过此限制，见第十、十五章。

──────────────────────────────────────────────────

六、外设端口总表

贴吧已勘误的三处

──────────────────────────────────────────────────

七、DMA 传送 `$4048-$404F`

源码 MapperSB2K::WriteLow 语义，与贴吧逐字段吻合 ：

src_addr = ((Reg1 & 15) << 15) | ((Reg3 & 0x7F) << 8) | Reg2;
p_src    = ((Reg1 & 0x10) ? EPRAM : BIOS) + src_addr;   // bit4 选源
dst_addr = (Reg5 << 8) | Reg4;                          // 16 位
len      = (Reg7 << 8) | Reg6;
if (len & 1) len++;                                     // 奇数自动 +1

if (Reg0 & 0x20) { /* Work RAM 模式 */ }
else {
    if (dst_addr & 0x8000) p_dst = EVRAM + (dst_addr & 0x7FFF) + m_bVbank * 0x8000;
    else                   p_dst = CRAM  + dst_addr;
    memcpy(p_dst, p_src, len);
}

·         源 bank 是 32 KB 粒度：$00-$0F = BIOS ROM 512 KB，$10-$1F = 主 RAM 512 KB

·         源 bank 换算：CPU 窗口 $90-$97 = EPRAM $10000-$17FFF ⇒ Reg1=$12 对应 EPRAM+$10000

·         应用套路：配合 $4300 切显存 bank 循环 16 次，可把软盘读出的 512 KB 图片数据

一次一张铺满 512 KB 显存（= 16 张 32 KB 全屏图）

标准写法（VRAM 模式，32 KB）：

LDA #$00        ; Reg0: bit5=0(VRAM), 启动位留后
        STA $4300       ; 选显存页
        LDA #$10        ; Reg1: bit4=1(EPRAM) + bank0
        STA $4049
        LDA #<DATA     ; Reg2
        STA $404A
        LDA #$00        ; Reg3
        STA $404B
        LDA #$00        ; Reg4  -> 目的 $8000
        STA $404C
        LDA #$80        ; Reg5  -> bit15=1 ⇒ 写 EVRAM
        STA $404D
        LDA #$00        ; Reg6  -> 长度 $0400
        STA $404E
        LDA #$04        ; Reg7
        STA $404F
        LDA #$80        ; Reg0:  启动，必须最后写
        STA $4048

 DMA 走 MapperSB2K::ExWrite，完全不受 $20xx 地址掩码影响，

是三条写入路径中最可靠的一条。

──────────────────────────────────────────────────

八、TIMER 与中断

8.1 寄存器

8.2 频率公式

递减率 = 1662607 / (($4034 & $0F) + 1)              ← 只由预分频决定，与 reload 无关
IRQ 频率 = 1662607 / (($4034 & $0F) + 1) × ($4035 + 1)

实测：$4034=$CF / $4035=$F0 ⇒ 16 × 241 = 3856 周期 ≈ 431.2 Hz（MTV 程序所用档）。

8.3 IRQ 屏蔽语义

$4032 位7 = 1 屏蔽 / 0 允许（位5=键盘，位3=FDC 同理）。两重证据：

24.  探针实测：解除屏蔽后 IRQ 计数 +2；

25.  官方应用软件的 DAC 播放例程在每次等待下一次 IRQ 前坚持

$4032=$FF（全屏蔽=应答）→ $4032=$7F（bit7=0 → 只允许 TIMER IRQ）。

若 bit7 是「允许」，写完 $7F 后不可能再等到 IRQ，必然死锁 ⇒ 官方代码本身即极性证明。

8.4 BIOS TIMER 分发

BIOS IRQ handler 检查 $4033 后调用零页 ($24) 指针程序（音乐程序写 $24/$25，

CLI 开 IRQ）。BIOS 黑盒未完全逆向，但官方应用软件的 IRQ 驱动 DAC 播放例程印证了该结构。

8.5 TIMER 使用的两个陷阱

26.  $4036 只能读一次 —— 比较与更新基准若用两次读数，中间跨过重载会永久丢失该轮回绕

（实测漏 5/40 轮）。正确做法：单次读数，复用同一个 A。

27.  停表后必须停止轮询 —— $4034=0 后 $4036 冻结，新值==旧值 会被误判为「回绕」

而虚增计数。用软件标志（如 TACT）在轮询入口直接返回。

──────────────────────────────────────────────────

九、音频（DAC）

9.1 两条完全独立的音频路径（关键认知）

路径 A（NES 主音频 / APU）：
    apu->Process() → DirectSound 缓冲 → g_WaveRec.Out()      ← 内置录音抓这条
    位置：EmuThread.cpp:1156

路径 B（SB2000 DAC）：
    $4027 → dpp → pcmBuf → wavDAC.Write() → CWaveOut          ← DAC 走这条
    位置：MapperSB2K.cpp（独立线程 DACThreadProc）

⇒ VirtuaNES 的 WAV 录音功能抓不到 SB2000 DAC 的声音。

实测 wave/SB2K_BIOS.wav（624,750 字节）中 624,706 个样本全部等于 128（8-bit 静默值）。

这解释了「用户能听到蜂鸣，但录音全静音」的矛盾。

 但路径 A（APU）已实测可用（2026-10-04，VCAL60）。

APU 走 apu->Write() 完全不经过 mapper171，与 FDC 无争用，

内置录音能抓到，详见 §12.4。

⇒ 建议：新的音频需求优先走 APU，而不是 DAC。

DAC 这条路在模拟器上有并发争用问题（§5.3.2），且只能靠补丁版的

dump_dac.pcm 观察，用户无法直接试听。

APU 侧现已实测打通两条路：

- 合成器通道（方波/三角波/噪声）→ §12.4

- DPCM 采样回放（可播原始音频数据）→ §12.5

⇒ 音频播放器的推荐实现：DPCM 回放。 它既能播放任意音频素材，

又完全避开 DAC 的所有坑。

9.2 采样率与分频

// MapperSB2K::ExWrite(0x4027) —— 首次写时锁存
div = ((m_bReg4034 & 15) + 1) * (m_bReg4035 + 1);
m_nDACRate = 1662607 / div;

wavDAC.Open() 会向上表 {8000, 11025, 16000, 22050, 32000, 44100, 48000}

取最接近的标称率打开。

 贴吧「$CF/$FF = 8000 bps 档」是错的：16×256 = 4096 ⇒ 仅 ≈406 Hz。

实物 MTV 程序用 $CF/$F0（≈431 Hz）。而 $80/$67 档可达 ≈16 kHz，

足够播放音乐（见 9.6）。

9.3  送样率必须与播放率匹配

CPU 实际送样速率由 cycles 决定：

CPU 送样率 = 1662607 / (每样本 cycles)
wavOut 率  = 1662607 / div
失配       → 缓冲区欠载/过载，听感是断续、变调、爆音
 匹配条件：每样本 cycles == div

送样循环 cycles 拆解（参考实现）：

PL_LOOP:
        LDA  BEATL       ; 3
        BNE  PL_NZ       ; 2
        LDA  BEATH       ; 3
        BNE  PL_NZ       ; 2
        DEC  BEATL       ; 5
        LDA  PHASE       ; 3   ┐
        BNE  PL_HI       ; 2/3 ┤ 状态读取
        LDA  LO          ; 2   ┘  必须是立即数 LDA #LO
        STA  $4027       ; 4   写样本
        JSR  SAMPDLY     ; 6
        DEC  CNT         ; 5
        BNE  PL_LOOP     ; 3

SAMPDLY:
        LDX  DLOOP       ; 2
SD1:    DEX              ; ┐
        BNE  SD1         ; ┘ 5/轮
        LDX  DNOP        ; 2
SD2:    DEX              ; ┐
        BNE  SD2         ; ┘ 5/轮
        RTS              ; 6

每样本 div = 33 + 5 × DLOOP + 5 × DNOP
最低 div = 33（DLOOP=0, DNOP=0），最高送样率约 50 kHz
音高公式：方波频率 = 送样率 / (2 × BLK)

9.4 DAC 输出格式与 dpp

·         输出 pcmBuf[n] = (data ^ 0x80) << 8，即无符号 8 位 → 有符号 16 位，零点在 128

·         DAC 是逐样本原样输出，不做任何重采样 ⇒ 素材采样率必须等于 1662607/div，否则变调

·         dpp 不是重采样器，而是消爆音峰值保持滤波器；连续累积 > DAC_FADE_THRESHOLD(512)

会整块丢弃 ⇒ 单次连续喂入不宜超过 512 字节，不能靠连续狂写 $4027

·         CPU 写入是阻塞式（DAC 线程缓冲满时 STA $4027 自然阻塞），无法超量预填

·         $4034 bit7 = DAC 开/关；TimerTick 在 DAC 开启时把 tick ×1.5（模拟器防欠载）

·         IsThrottleRequired() 在 m_bDACOn 时返回 TRUE ⇒ 写 DAC 的程序在模拟器里跑得很慢

9.5 送样率匹配实例

VCAL39（$4034=$80 / $4035=$67 ⇒ div=104）：

LDX #$08 / DEX / CPX #$00 / BNE（8 轮）+ 循环固定开销 = 104 cycles/样本，与 div 精确对齐。

9.6 分块播放架构（VCAL47，已实现）

BIOS 文件 API：每次读 256 字节到 4 KB RAM bank
每帧 (1/50 s = 20 ms) 需 15986/50 = 320 样本
=> 每缓冲 512 样本（2 bank × 256）= 32 ms 播放时间，留 12 ms 余量给读盘
双缓冲：A($8A + $8C) / B($8B + $8D) 轮换

离线模拟结果：

素材必须预重采样到目标档位：

9.7 RAM bank 窗口机制

// MapperSB2K.cpp:1343
bank = m_bPbank[(addr >> 12) & 7];
if (bank < 0x80) return BIOS[bank*0x1000 | (addr&0x0FFF)];
else             return EPRAM[(bank & 0x7F)*0x1000 + (addr & 0x0FFF)];

$4045 写入的是 m_bPbank[5]，控制 CPU $8000-$8FFF 的 4 KB 窗口。

磁盘 API 的 $656B 是另一套 bank 号（目标 RAM bank），两者独立。

──────────────────────────────────────────────────

十、显示系统

 本章是全项目最容易出错的地方，请务必先读 10.1。

10.1  首要事实：显示模型取决于模拟器构建版本

同一份 SB2000 程序，在原版 EXE 与补丁版 EXE 下走的是两条完全不同的渲染路径：

原版走 PPU_STD 的原因（源码级定案）：

⇒ EXE 运行期写 $4031=$65/$76 无法推进到 UM6576 模式，

所以 PPU_UM6576 从未被实例化，addr & 0xE007 掩码始终生效。

掩码塌缩表（原版，写调色板 = 乱写控制寄存器）：

该掩码已在原版二进制中确认（VirtuaNES.exe offset 0x094511：AND EDX,0xE007，

紧邻 MOV EDX,EDI = addr）。

 这也是「改了调色板却看到画面变化」的真相 —— 那不是颜色生效，

而是控制寄存器被改的副作用。「整屏纯白」的经典伪证据同理：

$2041→$2001 把 BG 关掉，整屏填 BGPAL[0]，而 BGPAL[0] 恰好被改成白色。

判断调色板是否生效，绝不能只看画面颜色。

10.2 原版 EXE：GA 可写性总表（`PPU_STD`）

MapperSB2K::Reset() 的 bank 映射 + PPU::Reset() 的 bVromWe = 0 共同决定：

// PPU_STD::Write 的 $2007 分支
if( PPU_MEM_TYPE[bank] != BANKTYPE_VROM ){ PPU_MEM_BANK[bank][vaddr] = data; }
else if( bVromWe ) { ... }        // ← bVromWe=0 时也不写

其余语义（标准 FC 路径）：

·         GA 只有 14 位（$0000-$3FFF），$4000 及以上被截断/镜像

·         调色板在 $3F00-$3FFF

·         $2006 是标准 FC 的 loopy 路径：第一次写高 6 位，第二次写低 8 位

·         $2005 是纯 X/Y 滚动寄存器

⇒ 原版 EXE 下，图案数据只能靠 DMA 写 EVRAM。 这不是可选加速通道，

而是当时唯一能把图形数据送进图案区的手段。

10.3 补丁版 EXE：UM6576 显示模型（`PPU_UM6576::Scanline`）

命名表（每格 2 字节，行跨度 64 字节）：

tile_base = (m_bReg2000 & 3) * 2048;
if (tile_y >= 32) {                    // 纵向第二页
    tile_y -= 32;
    if (m_bReg2000 & 2) tile_base -= 4096;   // 2,3 -> 0,1
    else                tile_base += 4096;   // 0,1 -> 2,3
}
if (tile_x & 0x20) tile_addr = tile_base + 2048 + tile_y * 32 * 2 + (tile_x & 31) * 2;
else               tile_addr = tile_base + tile_y * 32 * 2 + tile_x * 2;
tile_name = PPU_Read(tile_addr + 1) * 256 + PPU_Read(tile_addr);

每屏 32×32 格 × 2 字节 = 2048 字节；可见 240 行 ⇒ 30 个 tile 行（$0000-$077F），

第 30/31 行是滚动余量。

tile 寻址：

// 4 色模式（$2008 bit7 = 0）
tile_bank   = tile_name >> 12;           // = attr 高 4 位 -> 调色板组 0..15
tile_offset = (tile_name & 0xFFF) * 16;  // 低 12 位 -> 图案地址
plane[0] = PPU_Read(tile_offset + 0 + y);   // y = (scanline + PosY) & 7
plane[1] = PPU_Read(tile_offset + 8 + y);
color    = m_bPalette[tile_bank * 4 + index];  // index = plane0 | plane1<<1

// 16 色模式（$2008 bit7 = 1）
tile_bank   = (tile_name >> 12) & 0x0C;  // 4 plane 共用一组 4 色
tile_offset = (tile_name & 0xFFE) * 16;  // 16 字节对齐
plane[0..3] = PPU_Read(tile_offset + 0/8/16/24 + y);

$2007 写入路径（与原版截然不同）：

// PPU_UM6576::Write case 0x2007
nes->mapper->PPU_Write(GA, data);
if (m_bReg2000 & 4) GA += 32; else GA += 1;

// MapperSB2K::PPU_Write
if      (addr <  0x8000) CRAM[addr] = data;                                  //  可写
else if (addr >= 0x8000) EVRAM[m_bVbank*0x8000 + (addr & 0x7FFF)] = data;     //  可写

⇒ 补丁版下 $2007 可直接写图案区与命名表，无需 DMA。

（但 tile_offset = (tile_name & 0xFFF) * 16 上限 $1FF0，仍落在 CRAM 内。）

其他寄存器：

10.4 显示编写规则（两版通用部分）

10.5 截图判读规范

VirtuaNES 窗口 532×543，布局：

裁剪矩形必须用上述范围。直接用 tools/sb2k_imgstat.py（已内置正确矩形 + 2× 降采样）。

10.6 PAL 50 Hz 实机时序

VirtuaNES 以 PAL 50 Hz 运行所有 SB2000 程序，这就是实机的实际运行速度。

此前按 NTSC 1.789773 MHz 估算会产生 7.6% 偏差。

1662607 就是 PAL 制式 6502 的真实频率，不是 1.66 GHz。

交叉验证：33248 × 50 = 1,662,400，与 1,662,607 差 0.0125%

延时量重算表：

10.7 显示通路已验证 ，但「长期独占 PPU」仍未定案

已证实（VCAL49 实测，2026-10-03）：程序完全掌控显示链路。

out/probe/VCAL49.IMG 运行截图清楚显示 顶部 4 行蓝色 tile 条

（(42,105,223) × 3072 像素 = 4 行 × 32 格），下方是 SB-DOS 启动画面

（All rights reserved / A:\>vcal49.exe）。

⇒ 确认以下全部可用（UM6576 语义）：

仍未定案：t≥26 秒画面变全黑。即程序后续执行时画面消失。

两种可能：

28.  程序自己关掉了显示；

29.  SB-DOS / BIOS 在 EXE 运行期间仍会重绘 PPU。

原先「SB-DOS 只在启动阶段作画」的结论建立在「整屏纯白」伪证据上（见 10.1 末），

必须用本节的实证方法重验：写入可辨识图案（而非纯色），长时间观测其是否被覆盖。

若确为 BIOS 抢占，则需要在 EXE 里周期性重绘，或接管 IRQ。

──────────────────────────────────────────────────

十一、素材与数据格式

11.1 软盘镜像格式（实测）

标准 PC 1.44 MB FAT12。实测 BPB：

根目录极简：只有 GAME.EXE（3-5 KB 小加载器）+ AUTOEXEC.BAT。

游戏数据不在 FAT 里，在裸扇区/隐藏区。

开发提示：改造盘时只需替换裸数据 + 改 GAME.EXE，不必理会 FAT。

11.2 `.GAM` 游戏容器格式

从 Nes.cpp 的 NEStoGAM/MakeGAM 完整解出。头部大小随容量变化：

PRG≤128K+CHR≤256K → 0x49；PRG 256K → 0x69；PRG 512K → 0xA9。

偏移      内容
0x00      魔数 'M','Y' (4D 59)
0x02      GAM 总长度, 24 位小端: size = h[04]<<16 | h[03]<<8 | h[02]
0x0C      固定 $03FE
0x10      PROM 装载起始 bank = 256 - PRG/16K (128K→$F8, 256K→$F0, 512K→$E0)
0x18      固定 $001A
0x1A      与 h[0x08] 相同 (= PRG/4K + 34)
hs-2..1   标题长度×3 (16 位小端); titlelen = 该值/3
hs        3 份标题数据, 每份 titlelen 字节
0x200     CHR 数据 (VROMsize = CHR_8K数 × $2000); 无 CHR 时填 $20000 字节 $20
0x200+    PROM, 每个 16K 块 i 占 $4006 字节:
            6 字节 MMC3 序列 {0x0B, h[0x10]+i, 0x00, 0x80, 0x00, 0x40} + $4000 PRG

长度自检（两份金样本吻合）：

11.3 DRW 图片格式

·         结构 = 3 字节标识 "ZXM"(5A 58 4D) + 16 字节调色板 + 22,400 字节像素 = 22,419 字节

·         验证：100 张镜像中 28 个 DRW 全部 size=22419，26 个头为 "ZXM"

·         像素 = 700 tile（28×25，224×200）× 32 字节；tile 内平面优先：偏移 = 平面 z×8 + 行 j

·         字节 bit7→0 = 该行 8 像素左→右；索引 bit z = 位平面 z（4 bpp 16 色）

·         调色板字节取值 $00-$3F（64 色寄存器值），下标 ↔ 调色板寄存器一一对应

·         PC 转换要点：转 224×200 16 色 BMP 时调色板必须取自系统 64 色，否则自动转色多数出错

python tools/sb2k_png2drw.py 输入.png 输出.DRW --size 224x200 --group 0 --view 预览.png

11.4 官方「有声播放图片」.EXE（第 15 楼）

·         文件布局：$0000 机器码（装载至 $8000）+ $1000-$7FFF = 28 KB WAV 音乐

（4000 bps 8 位单声道 7 秒，不填则静音）+ $8000 起 = 13 张图片 × 32 KB

·         13×32K + 32K = 448 K = EXE 最大体积（与 bank $80-$EF 一致）

·         图片区格式同 DRW 但 256×240（960 tile）；播放速度字节 D2（4 kbps，8 kbps 改 E0/E2）

·         制作流程：WinHex 合成 → 存 EXE → WinImage 加入软盘镜像

11.5 系统 64 色 RGB 表

楼主给出 64 组 (B,G,R,0) 四元组 BASIC 数组，完整表见

贴吧_说说SB2000的图片_原文存档.md。中段数值需实测校准（探针：写 $2040-$207F

各值 → 截图取色 → PC 端比对）。

11.6 未知格式

PIC(50) / XBW(72) / TKF(32) / IDX(306) / BIN(555) —— 沿用 DRW 的

「猜排布 → 渲染 → 肉眼判读」流程。

──────────────────────────────────────────────────

十二、输入与其他外设

12.1 键盘 `$4020-$4022`

$4020 = 时序控制（写）
$4021 = 键盘输出移位寄存器
$4022 bit7 = clk，bit0 = dir(1=写)
     上升沿且 dir=1 时把 $4021 发给键盘
     bit2=1 时 1 ms 后产生 IRQ（经 $4033 bit5）
键盘数据就绪由 nes->pad->ExRead(0) 轮询，就绪后读 ExRead(1)

12.2 鼠标 `$4023-$4025`

$4023 选择外设（0=手柄，1=鼠标），$4024/$4025 为数据口。

手柄在 BIOS 层已确认可用；键盘/鼠标尚无自写探针实测。

12.3 精灵 / OAM （部分）

·         标准 $4014 OAM DMA 有效；写 $2014 无效（实测 OAM 无变化）

·         贴吧「2014 端口，和 FC 一样」是笔误/误传

·         精灵调色板在 UM6576 下读 m_bPalette[16 + (attr&3)*4 + index]

·         完整精灵显示未实测

12.4 PSG / APU  **已实测发声（2026-10-04，VCAL60）**

$4000-$4017 是标准 2A03 APU。Mapper 不接管，Nes::WriteReg() 对 $4000-$4013

直接调 apu->Write()，完全不经过 mapper171 硬件。

实测结论：APU 通道在 SB2000 上正常工作，能发出可辨识的乐音。

 这是绕过 DAC 的关键路径：DAC 走独立线程、与 FDC 争用 emulated CPU，

且内置录音抓不到；APU 走 apu->Process() → DirectSound → g_WaveRec.Out()，

与 FDC 无争用，且内置录音直接可听。

寄存器用法（标准 2A03）：

LDA     #$05                ; bit0=SQ1, bit2=TRI
        STA     $4015               ; 使能
        LDA     #$BF                ; $4000: 音量 15, 无包络
        STA     $4000
        LDA     #$08                ; $4001: 关闭扫描器
        STA     $4001
        LDA     #$8C                ; $4002: 周期低 8 位
        STA     $4002
        LDA     #$F9                ; $4003: [len|Thigh|flag] T=396 -> C4
        STA     $4003

频率公式：f = 1662607 / (16 × (T + 1))；三角波 f = 1662607 / (32 × (T + 1))。

 内置录音的保存路径是硬编码的 wave\<ROM名>.wav，

GetSaveFileName 弹窗里填别的名字无效。自动化脚本要用

tools/sb2k_apurec.py，它在录音后自动去 wave\ 目录取文件。

12.5 DPCM / DMC 采样回放  **已实测（2026-10-04，VCAL61）**

$4010-$4013 + $4015 bit4。DMC 是 APU 里唯一能直接播放内存中原始采样数据的通道：

// APU_INTERNAL::RenderDPCM()
ch4.cur_byte = nes->Read( ch4.address );   // ← 直接从 CPU 地址空间取样

⇒ 素材只要在程序自身内存里即可，完全不涉及 DAC 路线上那个未解的 $656B bank 语义问题。

寄存器语义（与直觉差异很大，务必照抄）

APU_INTERNAL::WriteDPCM 的实际实现（addr & 3 分支）：

完整采样地址 = 0xC000 + ($4012 << 6) + ($4010 & 0x3F)

⇒ 三个关键约束：

30.  循环位是 $4010 bit6，不是 $4013 bit7（后者只管长度）

31.  $4012 左移 6 位 ⇒ 地址低 6 位由 $4010 补齐，素材必须 64 字节对齐

32.  DMC 只能访问 $C000-$FFFF ⇒ 素材若在 $8000 段，

需临时把 $4044 设成 $80 让 $C000 段也映射到同一 EPRAM；

播放期间必须保持（DMC 每次取样都实时查 m_bPbank[4]）

采样率：f = 1662607 / (16 × (T+1)) [PAL]

·         T=15 → 6494 Hz → 811 字节/秒

·         T=14 → 6927 Hz → 865 字节/秒（VCAL61 用这个）

VCAL61 实测结果

LDA     #$80
        STA     $4044                ;  让 $C000 段也映射到 EPRAM
        LDA     #$01                 ; offset >> 6
        STA     $4012
        LDA     #$31
        ORA     #$4E                 ;  bit6=循环, bit0-3=T=14
        STA     $4010
        LDA     #<LEN
        LSR     A
        LSR     A
        LSR     A
        LSR     A
        ORA     #$80
        STA     $4011                ; 长度使能 + 长度/16
        LDA     #$10                 ; $4015 bit4 = DMC 使能
        STA     $4015

分段续播 （VCAL63 实测）

$4013 上限只有 4081 字节（(L<<4)+1，L 仅 7 位），所以 16 KB 素材

必须软件分段。实测方案：

·         块 A 在 EPRAM 0x0072 → $4044=$80, $4012=hi=1, $4010&0x3F=lo=$32

·         块 B 在 EPRAM 0x1012 → $4044=$81, hi=0, lo=$12

·         轮询 $4015 bit4 检测播完 → 切 $4044 + $4012/$4013 → 立即重启

·         实测 5.5 s 起声，连续 17.0 秒无间断，主频呈周期性变化

（496→1038→1252→593 Hz）= 块交替特征，证明热切换无缝。

详细调研文档

见 docs/SB2000资料/DPCM技术调研.md —— 含 nesdev 权威寄存器规格、

位序问题（真机 LSB / 模拟器 MSB 相反）、16 档采样率对照表、

容量约束分析、以及 5 项音质优化方向（低通预滤波、直流偏置移除、

增益选择、段间对齐、平方根 delta 压缩）。

编码工具

tools/sb2k_pcm2dpcm.py：8-bit PCM → 1-bit DPCM。

--table 打印 16 档采样率对照表；--lsb-first 输出真机格式。

不能用"相邻样本差分符号" —— DPCM 是积分器，直接取差分会得到极高频抖动（听感白噪声）。

必须用贪心跟踪：每步选让积分器电平最接近目标值的 bit。

python tools/sb2k_pcm2dpcm.py assets/audio/still_alive_15986.pcm out/MUSIC.dpcm \
        --period 14 --gain 4.0 --max 20000 --loop

DPCM 只有 7-bit 动态范围 + 1-bit 积分，音质是芯片音乐/电子琴风格，

不可能还原 PCM 原样，但足以听出旋律与节奏。

 汇编器 EQU 不支持 | 运算，$40 | $0E 要写成 $4E。

12.6 LPC 语音 `$4302`

仅源码注释，无探针。

──────────────────────────────────────────────────

十三、工具链

13.1 汇编与反汇编

 汇编器注释只认 ;（行首 # 会被当助记符 → ValueError: bad number）。

 零页间接 (zp) 不存在（真 6502 也没这模式），合法替代是 STA (zp),Y。

 前向引用用 0x200 占位估长度以避免 zp/abs 长度漂移。

13.2 制盘与镜像

13.3 模拟器自动运行与判读

13.4 离线模拟（零人工介入验证）

# 音频播放器完整离线验证
python tools/sb2k_audiosim2.py out/probe/VCAL47.BIN \
        --pcm assets/audio/still_alive_15986.pcm --rate 15986 --max 6000000

# DAC 录音分析
python tools/sb2k_daccheck.py dump_dac.pcm --div 104 \
       --ref assets/audio/still_alive_15986.pcm

13.5 素材转换

13.6 分析辅助

13.7 py65 移植要点（踩坑记录）

坑 3 最隐蔽：若统一按绝对寻址解释，STA $10 会把下一条指令的操作码当地址高字节，

导致零页变量写到错误地址 —— 程序行为完全错乱且无任何报错。

13.8 本地测试环境

──────────────────────────────────────────────────

十四、已验证成果

14.1 MEMDUMP V3 —— 全主存转储

·         功能：把 512 KB 主 RAM（bank $80-$FF = 128 banks × 4 KB）全部写入软盘

·         盘：mkdisk --pre-out RAMDUMP.BIN 1024 预建 FAT12 文件

（簇 7-1030 = LBA 38-1061，size=524288，链完整）

·         程序（tools/sb2k_memdump3.asm）：每 bank（4 KB = 8 扇区）fn $80/$05 直写，

$6203 = 源 bank（FDC 每 8 扇区自动 bank+1），LBA→CHS 运行时 16 位除法（÷36 取道、余数分头/扇）

·         结果：ST=$00 全程；目录 size=524288、FAT 链 1024 簇完整；

bank $80 开头 = 程序本体 4C 10 80 AA 55

·         交叉验证：V2（高层写）vs V3（底层写）两份 512 KB 转储仅差 0.45%（2349 B，

全部位于 bank $80 程序自身与 bank $F5 BIOS 暂存区——两处本就应不同），

其余 126 bank 逐字节一致

·         RAM 分布：非零仅 bank $80（程序）、$F5（BIOS 暂存区）、$F8-$FB（系统工作区），其余全零

14.2 PI100 —— 100 位圆周率

·         算法：Machin 公式 PI = 16·arctan(1/5) − 4·arctan(1/239)，交错泰勒级数

·         算术：Q4.368 定点（46 字节大数），DIVBIG = 368 步移位减法（unrolled 46×ROL 链）；

x=5 收敛 79 项 / x=239 23 项，除数 ≤159

·         计时：TIMER 纯轮询 $4032=$A0（屏蔽 IRQ 但计数照常）、$4034=$CF、$4035=$FF

⇒ 一轮 = 16×256 = 4096 cycles

·         结果：真机 TIME=17182 MS / CYCLES=30738848，屏幕 5 行 × 20 位输出

100 位小数全部正确；Python 复算 NB=368 时 100 位全对

早期 PI（Q8.40 定点版）也已完成：输出 PI = 3.1415926535，误差 1.8e-12。

14.3 音频播放器 VCAL47 （离线验证通过）

·         分块播放架构见 9.6，20 秒素材、12.11 秒有效播放

·         修掉的三个真 bug：

33.  PLAYBUF 循环计数错误（INX/TXA/AND #$01 在 X=0 时立即退出，只播 1 个样本）

→ 改成外层 LDY #2 × 内层 LDX #0..255

34.  READ512 两块写同一 bank → 第二次覆盖第一次 → 改成两个不同 bank

35.  CURBUF 与 BANK 不同步 → 统一用 BANK 作唯一真值

14.4 图片查看器 VCAL48

DRW → DMA → 显示链路已实现（tools/sb2k_vcal48.asm，成品 out/probe/VCAL48.IMG）。

显示效果待补丁版模拟器编译后确认（见 10.7）。

14.5 MTV 官方播放器反汇编 （存档参考）

MTV播放器_反汇编.txt / mtv_player_738.bin。结构全部来自实际反汇编，非推测：

对本项目的价值：「BIOS 读盘 + DMA 铺显存 + TIMER 播音」三件套的完整可运行参考实现。

 该程序是手打录入的论坛代码，多处与源码/实测矛盾

（$4035 实际用 $F0 而非帖称 $FF；$4032 写入方向与 IRQ 语义冲突；

实测 738 字节而非 768）。可借鉴架构，不可直接照抄代码。

──────────────────────────────────────────────────

十五、模拟器补丁与自动验证

15.1 已应用的补丁

补丁 1 使 mapper 171 在首次访问 $20xx 时自动切到 UM6576 变体，

绕过了 $4031 状态机与 Nes::Reset() 的限制。

副作用：切换会重建 PPU 对象，调色板与 PPU 寄存器回默认值，须重写（见 5.7）。

 编译产物验证通过（2026-10-03）：VirtuaNES.exe（879616 B）中

0x57B99 处 cmp dword [eax+0xC8],0xAB + je +0x0C 直接跳过

0x57BAC 的 AND EDX,0xE007 ⇒ mapper 171 走完整地址；Read 路径同理。

 补丁 3 的位宽陷阱（已修，待重编译）：

pcmBuf 实际是 short[]（16-bit），wavDAC.Write(pcmBuf, 1024) 收的是

1024 字节。原补丁按 BYTE* 写 512 字节 ⇒ 拿到

[低字节,高字节,...] 交错数据，症状为

直流偏置 ≈ -65、削顶 ~52%、与 8-bit 素材匹配 ≈ 0%。

正确做法：传 1024 字节，由 DACRec_Write 内部只取每个 short 的高字节。

这也说明分析 dump 前必须先确认位宽，否则会误判为「波形损坏」。

15.2 两个 dump 文件的分工

 两者都落在 EXE 所在目录（fopen 用相对路径），

不是项目目录。sb2k_verify.sh 需据此复制。

判读要点：

·         dump.pcm 有但 dump_dac.pcm 空 ⇒ dpp 把样本全丢了（波形太平）

·         dump.pcm 空 ⇒ 没有任何程序写 $4027

·         dump_dac.pcm 有非 128 样本 ⇒ DAC 播放链路通

15.2.1  dump 无法区分「用户程序」与「BIOS」——重要限制

实测定案（2026-10-03）：DUMP_DAC_DATA 记录的是全局 $4027 写入流，

不区分来源。SB-DOS / BIOS 自身在开机与提示过程中也会写 $4027，

这些声音会一并被记录。

决定性证据：

两个毫不相干的程序产生逐字节完全一致的 dump，

且 dump 的前 32 字节在镜像文件任何位置都搜不到。

⇒ 因此：

验证用户程序音频正确性的唯一可靠方法 = 离线模拟

（tools/sb2k_audiosim2.py），它能区分 BIOS 调用与用户 $4027 写入。

真实听感验证只能由用户在模拟器中试听确认。

15.3 一键验证流水线

bash tools/sb2k_verify.sh            # 音频 + 显示
bash tools/sb2k_verify.sh audio      # 只音频
bash tools/sb2k_verify.sh display    # 只显示

流程：运行镜像 → 检查 dump_dac.pcm 是否生成 → 未生成则明确提示编译指南；

已生成则复制 + 分析。已实测：未打补丁时能正确检出并给出指引。

15.4 编译方式

tools/sb2k_build.bat + docs/SB2000资料/VirtuaNES编译指南.md。

 沙箱内直接调用 MSBuild 会被安全策略拦截（判为 LOLBin），

cmd.exe 与 Start-Process -Verb RunAs（UAC）亦被拦截。

需用户在管理员 cmd 执行一条命令。

15.5 编译后可直接验证的镜像

15.6 补丁版实测状态（2026-10-03）

VCAL48 剩余问题：READB 每次 BIOS 调用只返回 256 字节（硬件限制），

但主循环每次只读 1 次却 DMA 512 字节 ⇒ 数据量不足一半，

且 bank 只在 $8A/$8B 间轮换。需改为每块 2 次 READB + 2 次 DMA。

──────────────────────────────────────────────────

十六、工程规则与踩坑清单

16.1 6502 编程陷阱

16.2 SB2000 编程约束

16.3 方法论（血泪教训，压縮版）

──────────────────────────────────────────────────

十七、未解决问题与下一步

17.1 能力完备度

17.2 优先级路线图

17.3 中文显示线索

扫描 100 张应用盘发现：

·         WBX.BIN / BXM.BIN（各 65536 B）出现在绝大多数应用盘 —— 头 32 字节是

6502 代码（AD 3F 06 / 6C 10 00），不是字库，实为五笔输入法模块：

BXM.BIN 偏移 $0800 起出现 61 C8 E7 CB FD D3 D6… = ASCII 'a' + GB2312 汉字串

·         推论：汉字字库不在软盘上，应在 512 KB BIOS ROM 内

⇒ 下一课题：在 BIOS_PRG.BIN 中搜索 16×16 点阵区（连续 32 字节块 + GB2312 顺序），

并定位 BIOS 取字模的功能号。应用盘内已知 GB2312 字符串可直接用作「明文-字模」对齐基准。

──────────────────────────────────────────────────

附录：一句话速查

== 装载 ==
软件头 4C xx xx AA 55 00 00 ...（16 字节，SB-DOS 自检，缺则拒绝加载）
装载 $8000，bank $80 起，上限 $EF → 448 KB
AUTOEXEC.BAT：GAME.EXE 非必需，程序名任意，行尾必须 CRLF，可多行

== CPU / 内存 ==
CPU 窗口 $8000-$FFFF = 8 个 4KB bank，端口 $4040-$4047
  bank < $80 → BIOS ROM[bank*$1000]；bank >= $80 → EPRAM[(bank&$7F)*$1000]
$4300 = 显存 bank(0-15，每页 32KB)
$4301 写 $55 = RAM 引导/软复位 → 正常 NES 模式（BIOS 独占使用，官方软盘 FC 游戏走此路；官方 EXE 从不写；模拟器只做了 RAM 取指切换、PPU 不回切 ⇒ 该路径未完整）
$0000-$1FFF 工作 RAM（UM6576 才是 8KB）  $5000-$57FF RAM 镜像（非 $0000 段镜像）
$6000-$7FFF ERAM 8KB

== BIOS 调用 ==
功能号 → $063E，参数 → $063F，然后 JSR $FFF0
调度器出口自动恢复 $4040-$4043（不管 $4044-$4047）
底层读盘 $80/$04: $6200磁头(0-1) $6201扇区(1-18) $6202磁道(0-79) ^key
             $6203=目标bank $6205/06=512B扇区数(×8) $6207=$80
             状态在 $6208（非 $6300）: 00成功/10越界/18失败/1A重试耗尽
             数据每 8 扇区(4KB) bank+1
高层文件API: 名→$6543("A:\名.EXT") 模式→$6560(0读)
             $7B/$09开 → 句柄$6561 → $7C/$0D信息→$6568-6A → $656B=目标bank
             → $7C/$0F读(单次仅 256B!) → $7B/$0A关，错误码 $6300
读盘前置: CLI + $4032位3=0 + 不破坏 $4044-$4047 + 文件名带 "A:\"
init 后先快照 $4044-$4047 再 POSTCALL
RAM 工作区: 禁写 $0718-$074F；安全 $0700-$0713 / $0780-$07AF

== DMA $4048-$404F（不受 $20xx 掩码影响，最可靠）==
4048 bit7启动(最后写) bit5=0→VRAM/1→WorkRAM
4049 bit4=1→源EPRAM/0→BIOSROM，bit3-0=32KB bank号
404A/B 源偏移  404C/D 目的(bit15=1→EVRAM)  404E/F 长度(奇数+1)
源bank 32KB 粒度: $00-$0F=ROM512K, $10-$1F=RAM512K；$12 → EPRAM+$10000
标准 32KB 写 EVRAM: 4049=$10 404A=lo 404B=$00 404C=$00 404D=$80 404E=$00 404F=$04 → 4048=$80

== TIMER / IRQ（PAL）==
CPU = 1662607 Hz（不是 1.66GHz），50Hz 帧，每帧 33252 cycles
$4034 bit7启动 bit6连续 bit5时基 低4位预分频；$4035=重载 $4036=当前值
IRQ 频率 = 1662607 / ((4034&15 + 1) × (4035+1))
$4032 = 屏蔽(1屏蔽,0允许) bit7=TIMER bit5=键盘 bit3=FDC
$4033 = 状态(只读) 同位序
$4036 只读一次(两次读之间跨重载会丢回绕)；停表后停止轮询

== DAC ==
写 $4027 即出声；采样率在首次写时锁存 = 1662607/div
$4034=$80 $4035=$67 → div=104 → 15986Hz（标称16000，误差+0.09%）
 送样 cycles 必须 == div，否则断续/变调/爆音
输出 (data^0x80)<<8，PCM 零偏移=128；无重采样 → 素材必须预重采样
单次连续喂 ≤512 字节（dpp 峰值保持 512 超限整块丢弃）
方波音高 = 送样率 / (2×BLK)
录音抓不到 DAC（两条独立音频路径），需 DUMP_DAC_DATA / dump_dac.pcm

== 显示（先确认模拟器版本！）==
【原版 EXE】PPU_STD：$20xx 被 &0xE007 掩码 → $2040-$204F 塌缩成 $2000-$2007
  ⇒ 调色板只能走 $3F00-$3FFF；GA 14 位($0000-$3FFF)
  ⇒ 图案区 $0000-$1FFF 是 BANKTYPE_VROM，$2007 写入【被丢弃】→ 必须用 DMA 写 EVRAM
   "改了调色板画面就变"是控制寄存器被污染的假象；"整屏纯白"是 BG 被误关
【补丁版 EXE】UM6576：完整地址
  调色板 $2040-$207F(64项=16组×4色)；$2008 bit7=4色/16色
  命名表 $0000/$0800/$1000/$1800（$2000&3 选屏），每格 2 字节 [tile][attr]
  图案 offset=(tile_name&$FFF)*16（16色:(tile_name&$FFE)*16）
  4色: plane0=off+0..7, plane1=off+8..15；色 = palette[tile_bank*4 + index]
  16色: plane0..3 = off+0/8/16/24；tile_bank=(tile_name>>12)&0x0C
   屏0 全填同一 tile 号 → 全屏共用该 tile 图案（纯色背景只填 1 个 tile）
   图案区放 tile $200 以上（GA $2000+），避开命名表 $0000-$1FFF
【通用】BG 使能 = $2001 bit3（写 $01 会整屏填 BGPAL[0] = 灰屏）
      每笔成对写 $2006 前先 LDA $2002 复位 toggle（读才复位）
      $2006 先高后低；启动后 CLI 否则 FDC IRQ 锁死
截图裁剪 (10,55)-(521,532) 512×478；引导 10~13s；DELAY≈0.709s WAIT8≈5.67s

== 素材格式 ==
DRW = "ZXM"(3) + 调色板(16) + 像素(22400) = 22419 字节
  700 tile(28×25)×32B，平面优先，offset = 平面z×8 + 行j
.GAM = 'MY' 容器（mapper4 专用），头 0x49/0x69/0xA9 随容量
盘 = 1.44MB FAT12，512B/扇区，2880 扇区；GAME.EXE 只是加载器，数据在裸扇区

== 6502 ==
多字节加减/移位: 低字节→高字节；CPX/CPY/CMP 会破坏 C（循环判终用内存计数器+DEC）
立即数必须写 LDA #SYM（漏 # 变零页读取，静默出错）
嵌套循环内外层用不同寄存器（DEX/DEY 从 0 绕回 $FF）

──────────────────────────────────────────────────

附录 A：外部权威资料索引（2026-10-05 检索）

A.1 NES 2.0 Mapper 602 = Subor SB-2000（nesdev 官方 wiki）

URL: https://www.nesdev.org/wiki/NES_2.0_Mapper_602

SB2000 在 nesdev 上被正式收录为 NES 2.0 Mapper 602。原文要点：

The first 512 KiB of its PRG address space are PRG-ROM, the second 512 KiB are PRG-DRAM.

There are 256 KiB of CHR-RAM, selectable via an outer bank register in 32 KiB amounts.

PRG 地址空间布局：

扩展寄存器：

软驱控制器是 Intel 82077兼容。

 这条官方定义印证了我们实测的 EPRAM 映射规则：

bank < $80→BIOS，bank >= $80→DRAM[(bank & $7F)]。

也确认了 bank $80 是 DRAM 的第一个 4 KiB 页——

我们的程序就装在那里，所以往 $80 读盘会覆盖自己。

A.2 贴吧《小霸王SB2000编程技术》（中文社区，最实用）

出处：百度贴吧「步步高多媒体学生电脑吧」帖子 tieba.baidu.com/p/9825415521

作者：ID 名为「钳工87430545」——正是这几年提取 SB2000 BIOS、制作模拟器的那位。

 这是目前唯一一份系统的 SB2000 编程技术文档，价值极高。

注意：帖子很长，抓取到的只是前两节（内存、显存），

磁盘 API 一节（很可能就是 $656B 的说明）尚未取到。

一、内存（原文摘录）：

小霸王SB2000多媒体学生电脑内存有512K（ROM）+512K内存（RAM）+8K+2K。

512K（地址：8000-BFFF）+ 8K（6000-7FFF）+ 2K（0000-07FF）。

其中，512K 内存可以通过 4040-4047 这8个端口切BANK到BANK8-BANKF。

只支持4K切。BANK号=00-FF（16进制），其中 00-7F为ROM，即固化的BIOS。

开机后，BANK[04-07]这16K常驻C000-FFFF。

进入后DOS运行的软件加载到RAM8000-BFFF，第一个BANK号=80。

软件最大支持448KB，加载后BANK号为[80, 81...EF]。

软件没有文件头，仅要求头16个字节 = 4C XX XX AA 55 00 00 ....。

第一个字节就是软件的第一条指令，必须为JMP指令。

$03、$04 = AA 55 是SB2000的软件的专用标识。

前16K字节4个4K的BANK不用切BANK，可以直接使用。地址=8000-BFFF。