TiMidity似乎很久没更新了，但是效率比FluidSynth快多了。
还有个WildMIDI，但是它不支持SoundFonts，只支持GUS音色。

我有一个新的想法，就是只逆向yamaha数据文件读取和调用相关的程序，然后剩余部分基于timidity的思路重新实现

重大进展，不需要 XOR 0x5A，第一阶段解密后，只做字节交换即可

我感觉 yamaha 有点鸡贼，做这个异或运算可能是想防内存 dump，所以在音频输出阶段很可能会再做一次异或运算，等我后续逆向结果

opencode+鸡爪（Ghidra）真好用～

我的猜测应该是正确的，在 0x10034DFB 和 0x10034E5E 这两个函数也有 XOR 0x5A 的操作

image696×803 149 KB

@gaozhe3321 你按照我的方法应该能拿到 PCM 格式的采样文件

我已经在着手写合成器了，目前是把 MIDI 处理部分的架构搭好了，接下来计划参考 QXGEdit 的代码进一步核实 tbl 文件内置数据结构
希望能最终实现对于 S-YXG50 的完整替代，可以跨平台使用，然后实现对于 S-YXG2006LE 的数据文件兼容，尽可能让这个只支持 XGLite 的软件实现尽可能对 FullXG 的支持（没有的乐器就退回基础乐器了）
后续实现 ALSA/Pipewire/JACK/CoreAudio 的多平台支持

最近跟SysEx干上了，但还好的是，无论是XG还是GS，他们的SysEx 本质上都是在指定内存地址写入数据，也就是说我可以借此了解到这类合成器的内存结构

接下来应该尝试实现对于tbl文件的读取了，但我需要先完成一个通用的内存结构，可以同时兼容S-YXG50和2006LE（甚至是更早期的 S-YXG 100 等）

我最近有点卡住了，根据AI逆向的结果，好像prevoice表是变长结构……这就很难受了

顺带，2006LE的数据结构也是奇葩，也是大量变长结构……

项目地址在这里 https://github.com/madaha-dev/madaha ，有兴趣的也可以一起看看

告诉你一个坏消息：2006LE 的数据文件里面是缺少了部分乐器的，Full XG 真的是“臣妾做不到”了

现在 S-YXG50 已经基本打通了从数据到波形的链路。但是 2006LE 的数据格式十分蛋疼，到目前为止卡在了半路上，目前只能确定里面有哪些乐器，但乐器到最终波形这部分，AI 也蒙圈了，2006LE 在这部分用了间接寻址，很难找函数

S-YXG50 TBL 文件格式分析

概述

Yamaha S-YXG50 软件合成器的音色库文件（.tbl）包含全部乐器定义、波形参数和鼓映射数据。
本文档基于 Ghidra 反编译 + GDB 动态追踪验证，完整还原了 TBL 文件的结构和解析流程。

两个版本：

• sxgbin41.tbl — 4MB 版本，含 9 个 16-bit 采样
• sxgbin21.tbl — 2MB 版本，全部 8-bit 采样

1. 文件头部 (0x00–0x63)

偏移    大小  字段
0x00    0x10  Header: "MU50 4MB V2.0" / "MU50 2MB V2.0"
0x10    0x0E  波形文件名: "SXGWAVE4.TBL" / "SXGWAVE2.TBL"
0x1E    0x01  解码标志 (0=加密, 1=已解码)
0x20    0x44  segLength[17] — 17 个 int32 LE, 每个数据段的字节长度

头部之后，17 个数据段从偏移 0x64 开始连续排列。

2. 数据段总表

3. 核心数据结构

3.1 Pre-voice 定义 (seg13/seg14)

pre-voice 定义是音色描述的最小单元。每个定义以 2 字节头开始：

偏移  大小  字段
+0     2    header: [bitmask, count_control]
              - header[0]: bitmask (不直接用于迭代)
              - header[1] bit1: 0→1个元素, 1→2个元素
+2     78×N  元素块 (N = count, 按 index 0,1 访问)

3.2 元素 (Element) — 78 字节

3.3 WaveEntry (seg16) — 16 字节

计算:

startAddr = baseAddr - negOffset    // PCM 起始位置
loopPoint = baseAddr + loopStart     // 循环折返点
sampleLen = loopPoint - startAddr    // 总采样长度
attackLen = baseAddr - startAddr     // 攻击段长度 (= negOffset)
loopLen   = loopStart                // 循环段长度 (= 0 则无循环)

3.4 SXGWAVE 波形文件

PCM 数据存储在 SXGWAVE*.TBL 中，采样率 22050Hz，单声道。

4. 程序解析流程

MIDI (bankMSB, bankLSB, program, note, velocity)
  │
  ├─ selector = XGBankMSBTable[bankMSB]           // seg08
  │   if selector == 1: selector = XGBankLSBTable[bankLSB]  // seg09
  │
  ├─ prevoiceIdx = XGProgramTable[selector×128 + program]   // seg12
  │
  ├─ byte_offset = prevoiceIdx × 2                 // Ghidra: *2 (uint16_t* 指针算术)
  │
  ├─ elementCount = (seg13[byte_offset+1] & 2) ? 2 : 1  // header[1] bit1
  │
  ├─ 按 INDEX 遍历 element[0..count-1]:
  │   if abs(note  - elem[1]) <= elem[2]  → key 匹配
  │   if abs(vel   - elem[3]) <= elem[4]  → vel 匹配
  │   匹配 → 存入 matched[]
  │
  ├─ 对每个匹配 element:
  │   ├─ range = MIDI key                    // FUN_100140f0
  │   ├─ init element params                 // vtable[0x51c]
  │   ├─ entry = seg15[elem[0]]             // waveform_FUN_10004df0
  │   │   while (entry.keyEnd.range < range && !entry.keyEnd.bit7)
  │   │       entry++                        // 链扫描 (16B 步进)
  │   │   return entry                       // 匹配的 WaveEntry*
  │   └─ WaveEntry* → voice                  // vtable[0x38c]
  │
  └─ 多个 element → 多个 voice → 混音输出

关键点

1. 元素个数: header[1] bit1 = 0 → 1个; = 1 → 2个
2. 元素访问: 按 INDEX 0,1（非 bitmask 顺序）
3. 范围匹配: abs(note - center) <= span（center+span，非传统 min/max）
4. 链扫描 用 MIDI key 作为 range，按 (keyEnd & 0x7F) < range 推进
5. 力度分层 在 element 级别实现：不同 vel 范围的 element 指向不同 chain
6. 多层叠音: count=2 时两个 element 各自走完整处理链，产生两个 voice，混音输出

5. DrumData (seg05) — 30 字节

6. 验证与调试

GDB 动态追踪结果（S-YXG50.exe, DLL base 0x10000000）:

# Prog 0 (Acoustic Grand Piano), note=60 vel=100
FUN_10017060: elem[0]=37[1]=0[2]=127[3]=1[4]=127 Note[1]=60[3]=100[10]=0
FUN_100140F0: elem[15]=0[16]=60 Note[1]=60[6]=77[10]=0
WAVE: seg15_idx=37 range=60

# MSB=0 LSB=41 Prog=0 (Dream) — 双采样叠层
17000# RET: matchCount=2
MATCH# elem[0]=236 seg15=236
MATCH# elem[0]=37  seg15=37
WAVE# seg15_idx=236 range=60
WAVE# seg15_idx=37 range=60

确认结果：

• Note[1] = MIDI key, Note[3] = velocity, Note[10] = 0 (vel 匹配开启)
• chain 扫描的 range = MIDI key
• matchCount = 匹配的 element 数（最大 2）
• 每个匹配 element 独立创建 voice

7. 解析器

sxgparser.py — Python 解析和提取工具。

# 解析一个音符
python3 sxgparser.py from_veg/sxgbin21.tbl --note 0 0 0 60 100

# 提取 WAV
python3 sxgparser.py from_veg/sxgbin21.tbl --note 0 0 0 60 100 --extract

# 指定叠加层 (Dream: --element 0 或 --element 1)
python3 sxgparser.py from_veg/sxgbin21.tbl --note 0 41 0 60 100 --extract --element 1

# 使用 GS 模式
python3 sxgparser.py from_veg/sxgbin21.tbl --gs --note 0 0 0 60 100

程序匹配率

TBL	匹配率	格式
sxgbin21.tbl	128/128	全部 8-bit
sxgbin41.tbl	128/128	119×8-bit + 9×16-bit

叠层乐器 (50/128 程序)

多个 element 叠层的乐器。用 --element N 选择提取哪层。

8. 致谢

• Ghidra SRE — 静态分析
• GDB + Wine — 动态追踪验证
• Yamaha S-YXG50 — 优秀的软件合成器
• TBL解析工具

现在S-YXG50我觉得基本上应该是通了，那么接下来我应该考虑去解决S-YXG2006LE了

如果能将这个也解析清楚，那么Madaha最难的部分基本上已经过去了

效果器什么的，原理基本上差不太多，根据 XG Spec写就是了

我不得不吐槽一下 S-YXG2006LE 的数据格式，搞了一个什么鬼的树结构……直接把AI干烧了

逆向笔记：Yamaha S-YXG2006LE sxgbnw6l.tbl 文件格式

注意：以下内容为AI生成，可能存在错误，我已经调教了很久，才达到现在这个效果

前言

Yamaha S-YXG2006LE 是 Yamaha 开发的 XGLite 标准 VST 合成器。其音色参数存储在 sxgbnw6l.tbl (716,608 B) 中，格式标记为 UTG VPRM。波形数据文件 (xgdat6l.tbl) 不在本文讨论范围。

方法

• 静态分析: Ghidra 反编译 S-YXG2006LE.DLL (x86 PE, 基址 0x10000000)
• 运行时验证: Linux + Wine, VST 宿主 MidiPlayer6, 通过 /proc/PID/mem 读取进程内存确认关键指针和数据结构

文件全局布局

段偏移表位于 params+0x18，DLL 通过 *(params+0x24)、*(params+0x28) 等访问各段基址。

运行时验证: params 地址通过搜索进程内存中 "UTG VPRM" 签名定位，确认其内容与文件完全一致。

描述符 (乐器定义)

查找链

bankMSB + bankLSB → Sec0[bankMSB×128+bankLSB] = bank_group (byte, 0xFF=空)
  → Sec1[bank_group×128+prog] = sec2_idx (ushort, 0xFFFF=空)
    → Sec2[sec2_idx] = 描述符绝对文件偏移 (uint32)
      → 描述符数据

DLL 函数: sec1_sec2_instr_descriptor_lookup @ 0x1002C8B0。

描述符头部 (40B)

ZoneBlock (16B)

紧接头部的 N 个 ZoneBlock，每 zone 一个：

Per-zone 额外数据 (16B/zone)

ZoneBlock 段之后紧接每 zone 的额外数据，这是 Seg5 索引的真正来源：

运行时验证: 读取进程内存中所有 141 个 waveform entries，确认 field14=params，seg5_get_type1_wid_based 使用 f1_lo = per-zone 高16位。126/128 程序 seg5_idx=383 (0x017F)，余下 drum/effects 为 1 或 2。

Seg5 波形参数表 (Section 6)

位置: params + 0x9CE8C。1989 条 × 20B。

寻址公式

DLL 函数 seg5_get_type1_wid_based @ 0x1002C750:

int seg5_get_type1_wid_based(int entry, uint f1_lo) {
    if (-1 < (char)(f1_lo >> 8)) {
        // 路径 A: f1_lo 高字节 < 0x80
        return *(*(entry + 0x2c) + 0x30)   // offset_table[6] = 0x9CE8C
             + (f1_lo & 0xFFFF) * 0x14      // seg5_idx × 20
             + *(entry + 0x2c);             // + params
    }
    if ((f1_lo & 0xf000) == 0xc000) {
        // 路径 B: 未在标准音色中触发
        return *(*(entry + 0x34) + 0x243c) + (f1_lo & 0xfff) * 0x14;
    }
    // 路径 C: 未在标准音色中触发
    return *(*(entry + 0x24) + 0x10) + (f1_lo & 0x7fff) * 0x14 + *(entry + 0x24);
}

其中 entry+0x2c = field14 = params 基址。*(entry+0x2c) + 0x30 = *(params + 0x30) = 0x9CE8C。

简化:

Seg5[seg5_idx] 地址 = params + 0x9CE8C + seg5_idx × 20

逆向确认: 通过 DLL 反编译 + 运行时内存读取 Seg5[127] 和 Seg5[383] 验证偏移量公式。

Waveform entry (运行时内存结构)

stride 0x38 (56B), 共 141 个条目。waveform_table_init @ 0x1002B220 中创建。

+0x00..+0x23: 函数指针表 (9×uint32)
  +0x14: seg5_get_type1_wid_based
  +0x20: tree_vtab20_sec3_ptr_get
+0x24:        null (0)
+0x28:        filetype (uint32: 1 或 2)
+0x2c:        field14 = params_ptr

运行时验证: 进程内存中读取到 140 个 filetype=1 entries, 1 个 filetype=2, 全部 field14 = 同一个 params 地址。

Section 3 — 树遍历

Section 3 开头 40B = 10 个内部偏移:

ioff = [0x38D68, 0x38E18, 0x38E34, 0x38E50, 0x38E6C,
        0x38E88, 0x38EA4, 0x38EC0, 0x38F4C, 0x38F68]

Section 3+0x28 = offset_table[6048] (uint32)。每 wave_id 一条，两个用途:

1. per-note block: data[sec3 + offset_table[wid] + note] — 取该 note 的 PCM block 号
2. 树遍历入口

树节点 (28B)

Section 3 内部偏移指向的树节点:

+0x00: uint32 f0
+0x04: uint32 f1
+0x08: uint32 f2
+0x0C: uint32 f3 (byte[0] bit7 = 分支方向)
+0x10: 4B 左子节点 (大端序)
+0x14: uint32
+0x18: 4B 右子节点 (大端序)

遍历算法

tree_traverse_wave_id_to_seg5 @ 0x1002C320:

首次迭代: 入口节点地址直接使用
每次迭代:
  1. 方向: f3.byte[0] & 0x80 → 1=左子(+0x10), 0=右子(+0x1C)
  2. 子值: 4字节大端序 & 0x7FFFFFFF
  3. 叶子判断: 子值.byte[0] < 0x80 (有符号无符号均可)
     叶子 → 返回子值指针; 否则继续
  4. 解析下一节点:
     tree_vtab20_sec3_ptr_get @ 0x1002C910:
       bit30=0: params + *(uint32*)(params + sec3_off + 子值×4)
       bit30=1: *(entry+0x24) + *(*(entry+0x24)+4) + (子值&0x3FFFFFFF)×0xB0

逆向确认: DLL 代码反编译。但该遍历到 Seg5 索引的完整映射链路尚未在运行时验证。

Section 4/5 — 调制参数

Section 4: 4块 × 128B, Section 5: 1064块 × 128B。值范围 0-255，为连续调制值（非开关）。

示例: Grand Piano Zone 0 的 keyzone 从 note=0 的值 10 平稳递增到 note=127 的值 65。对应 Zone 的 velzone 从 vel=0 的值 126 平滑递减到 vel=127 的值 0。

精确 DSP 含义不确定: 所有 zone 在匹配的 note+velocity 下同时激活，keyzone/velzone 值控制音量/滤波/EG 参数。其具体算法需要分析渲染循环。

Zone 模型: 声音叠加

• 一个乐器描述符有 N 个 ZoneBlock (Grand Piano = 16)
• 对给定 (note, velocity)，所有满足 kz[note] != 0 && vz[vel] != 0 的 zone 同时激活
• Grand Piano note=60, vel=100: 10 个 zone 同时激活，各自有独立 wave_id
• 各 zone 共用同一 seg5_idx (同组波形几何参数)
• velzone 值平滑变化，无切换式门限 → 对应听感上的"仅音量变化"

确认: 通过文件数据分析 128 个程序的 per-zone seg5_idx 全部归一（383/1/2 三组），velzone 值呈连续分布。

当前实现的限制: parser 仅返回第一个非零 zone，未实现多 zone 叠加。

PCM 偏移

当 per-note block 值 block > 0 时:

PCM 样本偏移 = (block × 24092 + 11) // 22

当 block = 0 (波表模式) 时:

攻击段: sample_start = Seg5[seg5_idx].loopStart - Seg5[seg5_idx].negOffset
循环段: loop_start   = Seg5[seg5_idx].loopStart
         loop_end    = Seg5[seg5_idx].loopStart + Seg5[seg5_idx].loopEnd

常数 24092 和 22 未在 DLL 代码中找到为字面常量，为经验推导。公式对所有 128 程序验证通过，但推导方式为猜测。这些常数可能来自编译器优化后的魔数乘法，或在波形解码阶段隐含确定。

验证总结

我目前在尝试实现S-YXG50的功能了，2006LE 因为代码比较复杂，这个等后续处理

不过万幸的是，2006LE 有 mac 版本，甚至还带了调试符号……（Yamaha也有马大哈时刻）

报告一下进度

1. S-YXG50 的读取部分完成了
2. MIDI处理线程基本上完成了
3. 正在实现 Tone Generator 部分，目前在实现 Oscillator 部分，这部分是产生声音的

官方文档里面对于该部分的描述：

image1498×787 104 KB

%% Tone Generator 的结构图，这个是 Mermaid 语法
flowchart LR
    subgraph Main
      direction LR
      %% 音频串行链路 (主音频流)
      Osc[Oscillator] --> LPF
      LPF --> HPF
      HPF --> Amp[Amplifier]
      Amp --> EQ
      EQ --> Pan
    end
    Pan --> Out((Output))

    %% 可选模块组 (对应图中的 Option 括号)
    subgraph Opt1["Option"]
        direction TB
        CutoffHPF[Cutoff]
        CutoffHPF --> HPF
    end

    subgraph Opt2["Option"]
        direction TB
        EQC[EQ]
        EQC --> EQ
    end

    subgraph Params
       direction LR
       subgraph OscParams
           direction TB
           PEG["PEG<br>Key On<br>Initial Level<br>Attack Time<br>Release Time<br>Release Level<br>Key Off"]
           Port["Portamento"]
           PitchBend["Pitch Bend"]
           Pitch["Pitch"]
           Delay["Delay"]
       end

       %% 滤波控制信号 (Filter)
       subgraph LPFParams
       direction TB
       Cutoff["Cutoff"] --> LPF    
       FEG["FEG<br>Key On<br>Attack Time<br>Decay Time<br>Release Time<br>Key Off"] --> LPF
       Res["Resonance"] --> LPF
       end

       %% 音量控制信号 (Volume)
       subgraph AmpParams
       AEG["AEG<br>Key On<br>Attack Time<br>Decay Time<br>Sustain Level<br>Release Time<br>Key Off"]
       Volume["Volume"]
       end

       %% 声像控制信号 (Pan)
       subgraph PanParams
       PanCtrl["Pan"]
       end

       LFO["LFO (~)"] --> Delay
       LFO --> LPF
       LFO --> Amp
    end
    %% 音高控制信号汇聚 (Pitch)
    PEG --> Osc
    Port --> Osc
    PitchBend --> Osc
    Pitch --> Osc

    %% LFO 输出，分配到多个模块
    Delay --> Osc

    %% 音量控制信号 (Volume)
    AEG --> Amp
    Volume --> Amp

    %% 声像控制信号 (Pan)
    PanCtrl --> Pan

现在的进度

Tone Generator 我让 AI 帮我实现了（不知道实现效果如何）

接下来把完整的混音管线实现了，基本上就可以开始测试了

希望能成功

在AI的帮助下，现在madaha可以播放钢琴曲了

控制器/RPN/NRPN等我还没测试，鼓和SFX我还完全没动，但是总体看起来是有希望了

我录了一段，可以听听 （48000Hz，快速Sinc插值）
https://pan.baidu.com/s/1HWaNGpda4p4trmK9z3fwag?pwd=2333

由于deepseek涨价，后续开发会慢下来了……不过目前还是能播放钢琴曲的

其实你可以考虑看看mame的代码，mu50基本完全模拟了，4m完整版rom
mu50|690x327

软件版的SYXG50和MU50真机实际上差的还是不少

加上本贴主要对SYG软件全部重构，或许用处不大(目测)

mame的mu50值得参考的是：他们逆向了整个swp00的meg模块，所有的效果器已经全部是纯cpp代码实现而不是vliw解释器，此外，swp00的awm2对于采样的envelope等操作也值得借鉴