中国移动 TCL T36 Max 硬核拆解：海思 Hi5671Y 主控与串口启动日志

中国移动定制的 TCL T36 Max，2024 年 12 月出厂，是一台 AX3000 的千兆双频 Wi-Fi 6 路由器。这型号在线上不算出名，但它在中国移动 2023 年那份《智能硬件质量报告》里，31 款 AX3000 路由器的综合评测中表现最好，天线 OTA 那一项也是最优的一档。

那份报告里还有个细节挺有意思：按芯片平台分组看，MTK 方案的表现在前面，海思次之；但综合表现最好的几台里，T36 Max 用的正是海思方案。既然手上有一台闲置的，那就拆开看看这套方案到底堆了多少料。

规格速查

先把这台机器能确认的参数集中列一下，方便对照，后面再逐项说这些数字是怎么来的。

项目	参数
产品名称	AX3000 千兆双频无线路由器
型号	T36 Max
主控	海思 Hi5671Y，双核 ARMv7（内核识别为 Cortex-A9）
内存	256MB DDR3L（ESMT Elixir 2Gbit 颗粒，系统可用约 224MB）
闪存	128MB SPI NAND（江波龙 FORESEE 1Gbit）
无线	海思 Hi5622，单颗双频，2.4G 574Mbps 加 5G 2402Mbps
射频前端	四颗独立 FEM，2.4G 两路、5G 两路
网口	1 个 WAN 加 3 个 LAN，全千兆
天线	四根外置，固定式
按键	RESET 小孔、`WPS` 键各一个
系统	Linux 5.10.0，32 位 ARMv7
供电	12V 1A，标称整机功耗小于 12W
管理地址	192.168.10.1 或 http://cmcc.wifi/

表里的产品名称、电源规格、管理地址来自机身铭牌；综合评测的名次来自中国移动那份公开报告；主控、内存、闪存、无线的型号是把照片放大到能看清字写的；容量、分区和 CPU 那几项是开机日志里读出来的。哪一项是哪来的，下面逐节都会交代。

外观和接口

中国移动 TCL T36 Max 路由器正面，白色立式机身印有中国移动与 TCL 双标，四根外置天线竖在机身后侧 — 机身正面。左边是中国移动的标，右边是 TCL，面板上压了一圈 X 形纹路。四根天线都在后侧，不可拆。

白色立式机身，正面左侧是中国移动的标，右侧是 TCL，下半部分压了一圈 X 形纹路。四根天线全部装在后侧，固定式，拧不动也拆不下来——想换高增益天线的话，这条路是断的。

T36 Max 背部接口，从左到右为 RESET 小孔、WPS 按键、LAN1 至 LAN3 三个千兆网口、WAN 口和 12V 电源口 — 背部的接口全貌：`RESET` 小孔、`WPS` 按键、`LAN1` 到 `LAN3`、`WAN`、`DC IN`。标签上写的是千兆双频，这四个口都是千兆。

背面一排接口，从左到右是 RESET 小孔、WPS 键、LAN1 到 LAN3、WAN、DC IN。没有 USB，也没有独立的电源开关，想彻底断电只能拔插头。WPS 键做得比较实，是能按下去的那种，不是那种一按就陷进壳里的软胶。

T36 Max 机身铭牌，标注产品名称 AX3000 千兆双频无线路由器、型号 T36 Max 与电源规格 12V 1A — 背面铭牌。密码那两栏已经打码——原厂把默认密码直接印在机器上，这件事后面还会说到。

铭牌信息给得算全：管理地址 192.168.10.1 或 http://cmcc.wifi/，电源 12V 1A，CMIIT ID 是 2023AP0378，制造商写的是深圳 TCL 智能家庭科技有限公司，生产日期 2024 年 12 月 30 日。按 12V 1A 算，整机功耗的上限是 12W，这个数字对一台 AX3000 来说是很常规的量级。

有一个细节值得单独拎出来：默认账号、默认密码、Wi-Fi 密码三栏，原厂是明文印在机身背面的。我刚配好网那两天还没来得及改密码，谁把机器翻过来看一眼就进去了。铭牌上的字改不掉，能做的只有配完网立刻把 Wi-Fi 密码和管理密码都换掉。

拆开之后：一块主板，四根馈线

T36 Max 拆开底壳后的内部全貌，主板左侧的 IPEX 天线座各引出一根馈线走到外壳四角，中部压着黑色平板散热片 — 拆开之后的样子。主板平放在底壳里，四根馈线从左侧的天线座引到外壳四角，中间那块黑色的是散热片。

拆解过程没顾上拍，直接看里面。结构挺规整：主板平放在下壳上，四根天线馈线从主板左侧引出来，沿走线槽走到外壳四角，走线槽是壳上直接做出来的，不用扎带也不用胶。

馈线的接点一共四个，都挤在主板左边，丝印分别标着 5G PA1、5G PA0、2G PA1、2G PA0，位号是 JB1601、JB1501、JF1401、JF1301。四个点走四根线，也就是 2.4G 两路、5G 两路，跟面板上那四根天线刚好对上，不存在多出来一根备用的说法。

主板：两个屏蔽罩，一块平板散热片

T36 Max 主板正面全貌，板号 MR-AX305H V1.1，右侧八边形屏蔽罩内是主控与内存，中部是射频部分的屏蔽罩 — 主板正面。板号 `MR-AX305H V1.1`，右侧那个八边形金属框里是主控和内存，中部是无线部分。

主板正面最显眼的是右侧那个八边形金属屏蔽罩，造型不是常见的方框，正中间还留了一个圆形凸点。这个罩子底下是主控和内存两颗芯片，旁边隔着一圈白色丝印框的是无线部分，两处罩子把发热和射频分开。

板号印在板子右侧：MR-AX305H V1.1，下面一行日期是 2023.07.14，再往下是 UL 认证号 E503744 和板材等级 XS-M94V-0。板子是 2023 年年中的设计，机器是 2024 年 12 月出厂的，中间隔了一年半，这个时间差在运营商定制机里很常见。

T36 Max 主板背面，几乎没有贴片元件，左上角留着一片原厂焊接屏蔽罩留下的堆锡区域 — 主板背面。大片走线，几乎没有元件，左上那一片是原厂焊接留下的堆锡。

背面基本是空的，大片走线，几乎没有元件，只在左上角留了一片明显的堆锡，那是原厂焊屏蔽罩留下的痕迹。四颗射频前端模组倒是装在背面，位置就在无线芯片的正后方，这样从天线座到功放的走线最短。

T36 Max 拆下的黑色铝散热片背面，贴着两块蓝色导热垫，主控对应位置涂了大面积灰色导热硅脂 — 散热片内侧。两块导热垫加上一摊硅脂（我打的），垫子底下压的是主控和内存。

散热是这个价位常见的做法：一块黑色平板铝片，内侧贴两块蓝色导热垫，正对主控的位置另外涂了一摊硅脂。没有鳍片，靠铝片把热量摊开再由外壳带出去，所以手摸外壳温热是正常的。铭牌上写的整机功耗小于 12W，热量的天花板本身就不高，这套散热压得住。

一颗一颗认：板上这六颗芯片

下面每一颗都是把照片放大到极限才读出来的。这几颗的丝印都只有一毫米多高，还有反光，有几位字符确实不敢保证，读不准的地方我会直接写出来。

主控：海思 Hi5671Y

T36 Max 主控芯片特写，丝印为海思 Hi5671Y，位号 U121，位于八边形金属屏蔽罩内 — 主控：`Hi5671Y`，位号 `U121`。下面三行 `RBCV200`、`ATQQ2M5S5`、`9988-CN 05` 是版本和批次码。

第一行是海思的标加 Hi5671Y，位号 U121，这颗就是整台机器的主控。公开资料里同平台的其他机型把这颗写成 Hi5671YV200，标称双核，主频有 1GHz 和 1.2GHz 两种写法，这个差异后面看日志那一节再说。

顺带一提，板上找不到独立的千兆交换芯片。日志里跑起来的 lsw、pfe、pie 三个模块都是 SoC 内部带出来的网络引擎，四个网口直接挂在主控上，外挂交换这一颗被省掉了。这样省成本也省板面，代价是所有转发都压在这颗双核身上。

内存：ESMT Elixir 256MB DDR3L

T36 Max 内存颗粒，ESMT 晶豪 Elixir N2CC2G16JR-EK，2Gb 即 256MB DDR3L — 内存：`ESMT`（晶豪）的 `Elixir N2CC2G16JR-EK`。`2G16` 是 2Gbit、16 位位宽，也就是 **256MB**，位号 `UF901`。

这颗跟主控挨着，同在一个屏蔽罩里。料号 N2CC2G16JR-EK 拆开看：2G 是容量 2Gbit，16 是位宽 16 位，乘起来就是 256MB；EK 那一段对应 DDR3L。旁边一行 2405 是批次码，按惯例是 2024 年的第 5 周前后。

ESMT 就是晶豪科技，Elixir 是它面向内存模组的品牌。这颗单颗 16 位宽、2Gbit 的颗粒，是这个价位路由器的常见配置，不需要成对贴，一颗就够。

闪存：江波龙 FORESEE 128MB SPI NAND

T36 Max 闪存芯片，江波龙 FORESEE F35SQA001G，1Gbit 即 128MB SPI NAND — 闪存：`FORESEE`（江波龙）的 `F35SQA001G`，位号 `U1`。`001G` 是 1Gbit，即 **128MB**。

位号 U1，摆在主板的左下角。FORESEE 是江波龙的存储品牌，料号 F35SQA001G 里 001G 是容量位，1Gbit 换算下来 128MB，走的是串行接口。SPI NAND 只要 6 根左右的引脚，比老式的并行 NAND 省引脚也省板面，低端到中端的路由器现在基本都用这种。

无线：海思 Hi5622

T36 Max 无线芯片特写，丝印为海思 Hi5622 GFCV100，位号 UH1，一颗芯片管 2.4G 与 5G 两路无线 — 无线：`Hi5622` 的 `GFCV100`，位号 `UH1`。2.4G 和 5G 都归它管，板上就这一颗。

丝印三行：Hi5622、GFCV100、RTQ05M2M1，末尾还有一段 9524-CN 02。板上只有这一颗无线芯片，2.4G 和 5G 都从它出来，这也是这类 AX3000 方案的标准配置。

按公开规格书，2.4G 侧 2×2 天线最高 574Mbps，5G 侧 2×2 加 160MHz 频宽最高 2402Mbps，两个数字加起来 2976Mbps——所谓 AX3000，标的就是这个 2976 凑到三千的整数。信号从这颗芯片出来之后还要经过外置功放再上天线，功放的事下一节说。

四路射频前端，两组不同丝印

T36 Max 主板背面四颗射频前端模组，两颗一组共两组不同丝印，分别对应 2.4G 和 5G 的两条天线通路 — 四颗射频前端模组（FEM）排成一排，左边两颗和右边两颗的丝印不一样，也就是两种型号。

主板背面排着四颗射频前端模组，两颗一组，两组丝印不同。一组读作 8591SD，下面两行 022397、F12424；另一组读作 B239SD，下面两行 226078、FH2945。后面那两行都是批次码，不是型号。

这两组分别对应哪个频段，我是按板上位号数字推的：天线座那边是 H1601、H1501 走 5G，H1401、H1301 走 2.4G；背面这四颗的位号是 UB1601、UB1501、UB1401、UF1301，数字一一对上，所以 8591SD 落在 5G 那两路，B239SD 落在 2.4G 那两路。

这颗芯片的频段分法不靠猜也能理解：主控和无线芯片本身做不到那么大的发射功率，所以每一路都要外挂一颗功放，四根天线就是四颗。很多同价位的机器这里只贴两颗或者干脆用内置的，四颗独立封装算是肯花钱的地方。

至于型号，这两组丝印在公开渠道都查不到对应的规格书。同平台的其他机型在这个位置常见的是康希通信的 KCT 系列和立积的 RTC 系列，但手上这两组字符跟能查到的料号都对不上，具体是哪家的哪一颗，只凭丝印我认不出来，这里就不硬认了。

电源部分

DC 座旁边挤着三路降压，各配一颗 2R2 电感，位号是 PU1、PU3、PU4 和 PL1、PL3、PL4；主板右下角还有一路单独的 PU5 配 PL5，专门给无线部分供电。输入 12V 分成多路降压，比只用一路大电流的方案干净，各部分的干扰也好隔离。电解电容标的是 25V，对 12V 输入来说余量留得够。

原厂在板上留了个串口

T36 Max 主板右下角的 JP1 四孔焊盘，是原厂预留的 UART 串口位，旁边是 WiFi-2G、WiFi-5G 指示灯丝印 — 右边那排四个孔就是 `JP1`，旁边 `WiFi-2G`、`WiFi-5G` 是两颗指示灯的位号，这几处丝印是找串口的唯一线索。

主板右下角靠近指示灯那一带，有一排四个焊盘，位号 JP1，没装针脚，外壳上也没有对应的开孔。四个孔正好是一正一负加收发，这是原厂留给产线调试的串口，不是给用户用的。

这台机器没有现成的软入口可以进去：FTP 和 SSH 在固件里都是默认关闭的，网上也没有现成的超级密码可以套。所以想看得更深，从这四个焊盘下手是最直接的路子——硬件不设防，软件设防，这四个孔就是那个缺口。

接线和参数

T36 Max 主板焊好四针排针并接上杜邦线，通过 CH340 转 USB 模块接到电脑读取串口启动日志 — 焊上排针、接好杜邦线，主板通电就能读串口了。板号 `MR-AX305H V1.1` 在这里也能对上。

用于读取 T36 Max 串口的 CH340G 转 USB 小板，板上标注 5V、3V3、TXD、RXD、GND 引脚 — 手边这块 CH340G 是最常见的 USB 转 TTL，十几块钱一个，板上引出的针脚标着 `5V`、`3V3`、`TXD`、`RXD`、`GND`。

焊四根针上去，杜邦线接到 CH340 转 USB 的小板，另一端插电脑。有三件事要注意：TXD 和 RXD 要交叉接，模块的 TX 对板子的 RX；地线必须共；电源脚别接，主板自己有电，只接三根信号线最稳。

MobaXterm 串口会话设置界面，选择 CH340 对应的 COM 口，波特率 115200，数据位 8 停止位 1 无校验 — 串口参数：`115200`、8 数据位、1 停止位、无校验。串口号每次插拔都可能变，以设备管理器里看到的为准。

参数是 115200、8 数据位、1 停止位、无校验，不用猜——下面日志里那一行 console=ttyS0,115200 就是答案。串口号每次插拔都可能变，我这次一回是 COM4，一回是 COM7，认准设备管理器里 CH340 那一项就行，别照着上次的端口号硬填。

启动日志里读出来的东西

T36 Max 串口终端里的内核启动日志输出，可见 EasyMesh 初始化、域名解析与 wan_4096 接口等信息 — 串口里刷出来的内核日志。这台机器日志量不小，图里只是其中一段，关键的几行下面单独摘出来。

通电的那一瞬间串口就开始刷了，U-Boot、内核、驱动、应用一路跑下来几百行。硬件参数全在里面，而且都是机器自己报的，不是从规格书上抄的——这也是这一节跟前面认丝印的区别：认丝印靠眼睛，读日志靠证据。

256MB 内存、128MB 闪存，开机自己报

U-Boot 起来没几行就是这两句，干脆利落。

U-Boot 2020.01 (Oct 17 2024 - 02:12:17 +0000) for luofu, Build: jenkins-ROM_HI_AX3000_CMCC_V1.0-139
DRAM:  256 MiB
NAND:  128 MiB

两个数字跟板上那两颗颗粒的丝印完全一致：内存是 2Gbit 就是 256MB，闪存是 1Gbit 就是 128MB。颗粒和固件自报的容量对上了，这一条不用再怀疑。

后面那串构建信息也有用。U-Boot 用的是 2020.01 这个版本，编译时间 2024 年 10 月 17 日；for luofu 是板型代号，日志里内核认出来的机器型号字符串也是同一个词；ROM_HI_AX3000_CMCC_V1.0-139 拆开看就是海思 AX3000 平台、中国移动定制、V1.0 版本，末尾 139 是构建号。

闪存的规格也报了：页 2KB、块 128KB、带 40 字节 OOB，典型的 SPI NAND 参数，跟板上那颗 FORESEE 对得上。另外日志里还提了一句千兆 PHY 的版本号，网口那一侧也是千兆，跟铭牌上写的对得上。

15 个分区，一半是备胎

接下来内核把闪存切成 15 块，从启动代码一路排到别的用途。

分区	大小	用途
`esbc`	256 KiB	启动代码
`uboota` / `ubootb`	各 768 KiB	U-Boot 双份
`enva` / `envb`	各 256 KiB	环境变量双份
`fac`	2 MiB	出厂参数
`cfga` / `cfgb`	各 2 MiB	配置双份
`log`	5 MiB	日志区
`pstore`	256 KiB	内核崩溃现场
`kernela` / `kernelb`	各 6 MiB	内核双份
`rootfsa` / `rootfsb`	各 35 MiB	根文件系统双份
`other`	约 32.5 MiB	未命名

加起来正好 128 MiB，也就是这颗 NAND 的全部容量，一个字节都没浪费。值得看的是里面那五组同名配对：uboot、env、cfg、kernel、rootfs 全是 A、B 两份，大小一模一样。

这套设计的作用是升级时只写其中一份，写坏了还能从另一份起来。光猫和定制路由器这类常年无人值守、还要被远程推送升级的设备，基本都会这么做，代价是闪存要按两倍来规划：两个 35 MiB 的 rootfs，一下就吃掉 70 MiB。

当前跑的是 A 份还是 B 份，日志里有一句 show boot_reg: 11，后面跟着把启动标志改写成 10，这是双系统切换用的那个寄存器。至于具体哪一份在用，从这几行还看不出来。

根文件系统挂的是 rootfsa 那 35 MiB，格式是 squashfs，跑在 UBI 层上。这个格式天生只读，后面应用启动时满屏的 Read-only file system 就是从这来的。

双核 A9，主频 1GHz 上下

内核报 CPU 是 ARMv7 架构、两个核，中间还有一条 L2C-310 二级缓存的初始化信息，抬头写的就是 Cortex-A9——这条比型号字符串更能说明核心是什么。

主频日志里没有直接写，只有一行校准值 1993.93 BogoMIPS。BogoMIPS 不是跑分，是内核开机时用延时循环标出来的一个系数，对 A9 这一代大致是主频的两倍，反推就是 1GHz 左右。

这里有个对不上的地方：公开资料里同一颗芯片，有的写 1GHz，有的写 1.2GHz。手上这台按日志只敢认到 1GHz 这一档，到底是同一个型号有多个版本，还是资料抄错了，从这台机器上看不出来。

内存 256MB，系统只认 224MB

颗粒是 256MB，U-Boot 也报 256 MiB，但到内核手里就缩水了。

Memory: 229692K/247808K available (9206K kernel code, 1465K rwdata, 2896K rodata, 1080K init, 533K bss, 18116K reserved)

这行能把去向拆开看：内核接手时总共有 242MB 左右，自己占掉代码段、只读数据段这一堆，再加 17.7MB 的保留区，最后可用 224MB。

从 256MB 到 242MB 中间还少着十几兆，这段日志里没写用途。跟之前拆过的那台光猫不一样，这台的内核命令行里既没有 ddr_realsize 也没有 mem= 可以对照，所以这一层只能停在这里，不猜。

无线是两套 radio，不是两张卡

Wi-Fi 起来的时候打了很长一坨，中间有两次明显的初始化：一次是 vap0 那一组，一次是 vap8 那一组。vap0 是 2.4G，模式 b/g/n/ax；vap8 是 5G，模式 a/n/ac/ax，SSID 分别是 CMCC-2DCG 和 CMCC-2DCG-5G——跟铭牌上印的两个默认名字完全一致。

这两组其实是同一颗 Hi5622 的两套 radio。板上无线芯片就那一颗，PCIe 上两个通道各探了一次，系统里分成 wlan0 和 wlan1 两个名字，双频合一的芯片走的都是这个形态。明白这一点之后再看那份规格书里 2.4G、5G 各写一行芯片型号的排版，就知道那是表格栏目，不是两颗芯片。

另外还有一路叫 CMCC-GUIDE-LINK 的，是配网引导用的开放 SSID，没设密码。vap2 到 vap7、vap9 到 vap15 这一堆在日志里全是关闭状态，应该是访客网络和 Mesh 预留的槽位。

无线固件不是烧在闪存里的静态文件，而是开机时下载进去的，512KB，路径是 /lib/firmware/hi_wifi/FIRMWARE.bin。功放校准表也是这时候写下去的，2.4G 和 5G 各一套，日志里能看到两大串参数。空口公平这块也开了，日志里有一行 atf_mode 设置成功，作用是多设备同时在线时不会让一个慢设备拖住所有人。

还有两条把 5G 的雷达检测关掉的命令：DFS 和 CAC 都设成了 0。这两个机制是 5G 的某些信道为了避免干扰气象雷达而设的，正常开着的话，用到这些信道要先静默探测一分钟左右才能发信号。这台在启动阶段直接把它关掉了，是运营商配置这么要求的、还是仅仅是初始化时的默认值，日志里看不出来，我不下结论。

固件里那套中国移动的东西

这套固件不是个清爽的路由器系统，往上压了一整层运营商的业务框架，从启动日志里能看得很清楚。

最明显的是 Java。日志里一路往下走：adduser 加一个 osgi 用户、prepare java env、把文件铺到 /usr/cmcc_fwk 和 /usr/cmcc_app。这是在系统里搭一个 OSGi 容器，运营商的智能网关业务就跑在上面。一台百来块的路由器里跑 Java 容器，这是运营商定制机和零售机的最大区别。

然后是 TR-069，远程管理协议，日志里那一串 tr069ConfigQid 就是它的配置表；再往下是 EasyMesh 的初始化、两个插件目录 dpiPlugin_V2.1.0 和 vasdocker_V2.1.0，以及一份从 /cmccap 拷过来的配置文件。这几个东西决定了这台机器能被运营商远程管到什么程度。

这些步骤里有一半直接在报错：建目录失败、拷文件失败，原因全写着 Read-only file system。根文件系统是只读的 squashfs，往里面写东西当然写不进去。机器就这么一路错着往下走，最后照样把 Wi-Fi 和网络服务都拉起来了，从功能上看不出来出过问题。

两个远程维护的口子默认是关掉的：FTP_ENABLE 是 0，SSH_ENABLE 也是 0，但系统里躺着一个 /etc/telnet_manage.sh。这些是运营商上门维护时用的通道，出厂状态下不对外。

还有一类报错跟运营商无关，是固件自己的毛病。ip_set.ko、ip_set_hash_ip.ko 这几个模块加载失败，报的是 invalid module format 和 duplicate symbol——这些功能已经编进内核了，固件里又带了一份独立的 .ko，重复。同样的情况在 iptables 上也有，日志里好几条自定义 target 找不到，说明对应的扩展模块根本没编进去。这类问题不影响日常用，但说明打包的时候没做干净，属于那种翻日志才会发现的瑕疵。

小结

这台机器的定位很清楚：运营商集采的 AX3000，成本卡得很紧，好在没有在关键地方偷工。

给得实在的地方有四处：四颗独立射频前端、256MB 内存配 128MB 闪存、五组 A/B 双份分区，还有那四根外置天线。这个组合放在一百多块的机器上算是满配，跟它在中国移动那份评测里拿到的名次对得上。

省的地方也很直白：散热片是一块平板铝，没有鳍片；外壳上没有主动散热的开口；网口只给千兆，没有 2.5G。考虑到这是 2023 年的方案、2024 年的产品，这几点都在意料之中。

真正让我意外的是串口。原厂在板上留了四个焊盘，没装针脚，壳上也没开孔，说明它是留给产线的。焊上去之后能读到的东西比拆机多得多——内存、闪存、分区、CPU、无线，全是开机自己报的，比对着芯片猜靠谱。

同类的拆解我还写过几台，小米 BE3600 那台是四核高通方案、带 2.5G 口，联通 HG6371F 从猫是博通方案，移动 H5-9 是光猫，感兴趣可以对着看做工差别：《小米 BE3600 硬核拆解》《联通 HG6371F 从猫底层拆解》《中国移动 H5-9 光猫拆解》。想弄清光口那边的事，可以看《一文彻底搞懂 PON 技术》。

文中所有丝印、命令输出都拍了图。有认错的型号或者漏掉的芯片，欢迎在评论区留言指正，我回头补进正文。手上还有几台运营商定制的机器没拆，想看哪台报个型号，我看看能不能找得到。