docs(N34)+test: E13 僵尸会话根因坐实；Phase 11 判据修正+一次性报告
E13（实验方案.md 新增 + E8/E11/E12 口径修正）： - 风暴态根因=僵尸会话，非芯片残渣：PC 网卡禁用/链路断开时 Windows 直接丢弃 socket 不发 FIN/RST → 芯片侧 ESTABLISHED 僵尸 → 单连接监听被占（:21 拒连）→ 下一 PASV 重监听与僵尸竞态 （accept 为垂死僵尸开枪 20ms 后 DISCONNECT）→ lftpd 5s 窗空转 → 425；每失败轮再生僵尸 → 自续数分钟 - "残渣跨烧录存活/需断电冷启动"口径作废：板上 CH395F RSTI 接 MCU NRST（V0.0 网表 :174），每次烧录即芯片硬件复位；"存活"是 锤击再生错觉。正确控制=下一臂前静置 ≥90s 清僵尸窗 - 自愈链端到端验证：TIMEOUT(在途 TX ≈30s)/keepalive(空闲 60/5/3) → pump → relisten → 端口恢复；E11 产品路径验证 17s 判死 PASS - 4 元组复用假设被否（pasv_probe.py：PASV 端口递增、PC 源端口随机） - e02_probe listener=FAIL 重解读：探针挂起 socket 未关（PC 内核 代 ACK keepalive）→ 拒连是单连接正确行为；真缺口=应用无法主动 拆会话 → 阶段 2 sock_reset 职责 Phase 11 测试修复（net_test_task.c，实跑暴露）： - 判据 >=60000ms 是按手册公式写的，实测判死 18~31s 会在正确固件 上假 FAIL → 改有界窗 10s~120s（下限防误杀存活空闲会话，上限 防判死缺位） - 报告后不释放 phase_active → 对已死连接 10ms 节奏刷 594 条假 FAIL → phase11_run 返回完成态，主循环释放等新连接再测 - 复跑两轮验证：30137ms 单次 PASS → 自动等新连接 → 二轮 accept 正常 - Test_Guide TC-NET-1101 判据/耗时同步；ch395f_test.h Phase 14 共存安全性注释（有整体超时不永久挡 accept） 工具：test/host/pasv_probe.py（每轮打印 PASV 端口+PC 源端口+结果）
This commit is contained in:
@@ -1081,7 +1081,7 @@ IDLE → ACCEPT → [SEND: 分块发 → DONE] / [RECV: 分块收+校验 → DON
|
||||
| 阶段 ID | TM-PHY-11 |
|
||||
|---------|-----------|
|
||||
| **类型** | PC 配合，netTask 运行 |
|
||||
| **耗时** | ~65–80 秒（60s idle + 探测窗；芯片定时语义以实测为准，见 E11） |
|
||||
| **耗时** | ~1.5–2 分钟（连接+网卡禁用后实测判死 18~31s，加恢复重连；芯片定时语义以实测为准，见 E11/E13） |
|
||||
| **入口** | `ENABLE_PHASE11_TESTS`（2026-10-13 起默认开启；服务器侧开关由 net 层在 CONNECT 后自动置位，`docs/芯片手册/CH395F.md` §5.56） |
|
||||
| **配置** | KeepAlive 空闲 60s，探测间隔 5s，3 次（`net_config.h`） |
|
||||
|
||||
@@ -1094,8 +1094,8 @@ IDLE → ACCEPT → [SEND: 分块发 → DONE] / [RECV: 分块收+校验 → DON
|
||||
| **类型** | 功能测试 |
|
||||
| **标题** | TCP 连接空闲超过 KeepAlive 阈值后自动断开 |
|
||||
| **前置条件** | 1. `NET_KEEPALIVE_IDLE_MS=60000` / `INTVL=5000` / `CNT=3`（`net_config.h`）<br>2. 对端须为**死对端**：PC 连接 8080 后**禁用网卡**制造"链路在、对端静默"（存活对端会 ACK 探测 → 永不 TIMEOUT；Windows 防火墙规则对已建立连接无效，E11 实证）<br>3. 勿与 Phase 6/9/10/13 混选（recv 互抢数据） |
|
||||
| **测试步骤** | 1. PC 连接 8080，不发数据<br>2. 立即禁用 PC 网卡（中间有交换机 → 设备侧 PHY 链路保持）<br>3. 等待芯片报 TIM_OUT（从连接起 ≥60s；实测对端失联后判死 ≈30s）<br>4. 本层 QUARANTINE → pump 重建 → s0 回 LISTEN<br>5. 恢复网卡，重连 8080 验证端口已恢复 |
|
||||
| **通过标准** | recv 返回 0 且耗时 ≥ 60s；s0 回 LISTEN 且可接受新连接 |
|
||||
| **测试步骤** | 1. PC 连接 8080，不发数据<br>2. 立即禁用 PC 网卡（中间有交换机 → 设备侧 PHY 链路保持）<br>3. 等待芯片报 TIM_OUT（实测判死窗：连接起 **18~31s**，芯片定时语义与手册公式 75s 不符，见实验方案 E11/E13）<br>4. 本层 QUARANTINE → pump 重建 → s0 回 LISTEN<br>5. 恢复网卡，重连 8080 验证端口已恢复 |
|
||||
| **通过标准** | recv 返回 0 且耗时落在 **10s~120s 有界窗**（下限防"存活空闲会话被误杀"——T2 实测存活对端静默 90s 不触发；上限防"判死缺位"）；s0 回 LISTEN 且可接受新连接。报告后测试自动释放 socket 等新连接再测（一次性，防对已死连接 10ms 节奏刷假 FAIL） |
|
||||
|
||||
---
|
||||
|
||||
|
||||
@@ -436,8 +436,12 @@ CNT 次无 ACK"后产生 SINT_STAT_TIM_OUT / DISCONNECT。怀疑本仓没有利
|
||||
- **已采纳转正（2026-10-13，用户批准）**：在 `handle_connect_event` 的 LISTENING
|
||||
分支加回一行 `ch395f_set_keepalive_enable(sock, 1)`（手册规定位置），并重新打开
|
||||
Phase 11 测试纳入回归；参数是否调优（如缩短 IDLE）由实测判死窗口需求决定。
|
||||
- ⚠ 台架副作用：本轮反复实验后设备落入 E8 残渣风暴态（详见 E12），需**冷启动
|
||||
（断电重上电）**恢复，MCU 复位/RESET_ALL 不足以清除。
|
||||
- ⚠ 台架副作用：本轮反复实验后设备落入当时称为"残渣风暴"的状态（详见 E12）。
|
||||
**该状态已由 E13 重新定性为僵尸会话，30~90s 自动清除，无需冷启动。**
|
||||
- **产品路径验证（2026-10-13 10:32，转正提交后产品固件）**：:7003 连接 →
|
||||
禁用 PC 网卡 51s → `[ERR] sock3 TIMEOUT`（**禁用后 17s**）→ QUARANTINE →
|
||||
pump → `auto-relisten ok` → 网卡恢复后新连接 PASS（KEEPLIVE 回显正常）
|
||||
→ 转正的一行在**产品固件**上闭环生效 ✓
|
||||
|
||||
### E12 结果（2026-10-13 07:18–08:05，SPI 缓存区 TSL 时序 A/B，临时实验固件）
|
||||
|
||||
@@ -481,6 +485,10 @@ memcpy；**吞吐无回退**（A 40×128KB 51.8s vs B 47.9s）。
|
||||
TIMEOUT → 即 E8 记录的**残渣风暴态**，且**跨烧录存活**（重烧 + @test PASS 后依旧）
|
||||
→ 与 E8"普通复位后仍 12%"一致。A 39/50 与 B 47/50 **两臂都出现**灾难轮
|
||||
→ 该差异**不能归因于 TSL**，E12 的连接级对比**被此状态噪声吞没，无结论**。
|
||||
> ⚠ **"跨烧录存活"口径已被 E13（2026-10-13 10:55）推翻**：板上 CH395F 的
|
||||
> RSTI 脚接 MCU NRST（`docs/硬件平台/V0.0_网表详细分析报告.md` :174
|
||||
> "RSTI←NRST"）→ 每次 ST-LINK 烧录/复位都会**硬件复位芯片**；该状态实为
|
||||
> **僵尸会话**（E13），锤击几分钟内即再生，"跨烧录存活"是再生造成的错觉。
|
||||
|
||||
**结论（诚实口径）**：
|
||||
|
||||
@@ -489,7 +497,68 @@ TIMEOUT → 即 E8 记录的**残渣风暴态**，且**跨烧录存活**（重
|
||||
2. 依 Trap 25 铁律「不留未证明的复杂度」：**当前不建议改产品路径**，而是
|
||||
**登记该偏离 + 本轮证据**；B 变体作为**待用补丁**保留（若将来出现芯片批次
|
||||
差异、提高 SCK、或不明数据错位，可直接采用——它已证明无吞吐/正确性回退）。
|
||||
3. **方法学教训（后续 SPI 时序实验必读）**：本台架的**芯片残渣风暴态**必须在
|
||||
实验前后受控（冷启动断电重上电，或专用的"残渣清理协议"）；**MCU 覆写烧录
|
||||
（复位 + RESET_ALL）不足以清除**——实测同一镜像在重烧后仍可 0/50..47/50 摆动，
|
||||
跨臂污染使 A/B 失效。E8 起就存在的这条口径，本轮再次被独立复现。
|
||||
3. **方法学教训（E13 修正版，后续时序/连接类实验必读）**：本台架的**僵尸会话
|
||||
态**（曾称"芯片残渣风暴"）必须在实验前后受控：由"对端静默死亡"（网卡禁用/
|
||||
拔线/PC 崩溃）触发，芯片 TIMEOUT（有在途 TX ≈30s）/ keepalive（纯空闲
|
||||
≈75-90s）自动清除；锤击会在几分钟内再生僵尸 → 同一镜像重烧后仍可
|
||||
0/50..47/50 摆动、跨臂污染使 A/B 失效。**正确控制 = 下一臂开跑前静置
|
||||
≥90s 让僵尸清窗**，不是断电冷启动（RSTI←NRST，烧录本身就是芯片硬件复位）。
|
||||
|
||||
### E13 结果（2026-10-13 10:24–10:59，风暴态根因=僵尸会话：确定性复现，产品固件+网卡抖动注入）
|
||||
|
||||
**假设**：E8/E12 记录的"残渣风暴态"不是跨烧录存活的芯片内部残渣，而是
|
||||
**僵尸会话**（对端静默死亡 → 芯片侧 ESTABLISHED 未清）+ 单连接监听被僵尸占用 +
|
||||
PASV 重监听被垂死僵尸 accept 的竞态——且可由网卡抖动**确定性复现**。
|
||||
|
||||
**推翻"跨烧录存活"的硬件事实**：板上 CH395F 的 **RSTI 脚接 MCU NRST**
|
||||
（`docs/硬件平台/V0.0_网表详细分析报告.md` :174 "RSTI←NRST"；手册
|
||||
`docs/芯片手册/CH395F.md` :935 亦载"通过 RSTI 引脚拉低控制复位"）
|
||||
→ 每次 ST-LINK 烧录/复位（`-Rst -Run`）都会**硬件复位芯片**。
|
||||
"风暴态跨烧录存活"与接线事实矛盾——存活的不是芯片内部状态。
|
||||
|
||||
**排除 4 元组复用假设**（`test/host/pasv_probe.py`，本轮新增）：5 轮干净 STOR
|
||||
打印每轮 PASV 端口 + PC 源端口 → PASV 端口**递增**（49157→49161）、PC 源端口
|
||||
随机变化 → "芯片复用 PASV 端口 + TIME_WAIT 4 元组冲突"假设**被否**。
|
||||
|
||||
**确定性复现（100%，产品固件，零插桩）**：
|
||||
`ftp_integrity_test.py --rounds 40 --size 131072` 正常跑到第 21 轮（前 20 轮
|
||||
全 OK）→ **禁用 PC 网卡 8s**（10:55:01，打断传输中会话）→ 恢复网卡 →
|
||||
`n30_repro.py` 首连 :21 **ConnectionRefused**。
|
||||
|
||||
**因果链全程（串口日志）**：
|
||||
|
||||
| 时刻 | 事件 | 解读 |
|
||||
|---|---|---|
|
||||
| 10:55:01 | 网卡禁用：PC 内核直接丢弃全部 socket，**不发任何 FIN/RST** | 芯片毫不知情 → sock2/sock4 成 **ESTABLISHED 僵尸**；设备侧 30s 内零网络事件 |
|
||||
| 10:55:30 | `[ERR][NET] sock2 TIMEOUT` | 芯片**重传耗尽**（设备有未 ACK 的在途 TX）→ 僵尸清除，**+30s** |
|
||||
| 10:55:31 | `sock2 pump: chip not listening (0x05/0x00) -> relisten` → `auto-relisten ok` | 本层 pump 接住 → 监听复活 |
|
||||
| 10:55:43 | 新连接 accept → PASV → `sock4 standalone accept` → **20ms** 后 `suspect DISCONNECT on live conn (chip 0x05/0x00), defer to reconcile` | **PASV 竞态**：sock4 的僵尸（被打断轮遗留）未清，新监听器的 accept 为垂死僵尸开枪 → lftpd 5s accept 窗空转 → 425 |
|
||||
| ~10:58 | n30 ×3 全 OK | sock4 僵尸被 TIMEOUT/reconcile 清除 → 自愈完成 |
|
||||
|
||||
**结论**：
|
||||
|
||||
1. **风暴态根因 = 僵尸会话**，不是芯片残渣：对端静默死亡（网卡禁用/拔线/PC
|
||||
崩溃/进程被杀）是注入源；上午 E11 反复网卡抖动 + E12 460 轮锤击
|
||||
= 完美风暴生成器。失败率随时间摆动（E8 的 2%~54%）= 僵尸生成/清除的节奏。
|
||||
2. **"跨烧录存活"是错觉**：重烧后芯片干净，但锤击几分钟内再生半死会话。
|
||||
E8/E12 的"需断电冷启动"口径作废（见上方修正标记）。
|
||||
3. **现有自愈链端到端有效**（② keepalive 转正 + pump + 对账① 的合力，
|
||||
本轮首次在同一场景全链验证）：
|
||||
- 有在途 TX 的僵尸：芯片 TIMEOUT（重传耗尽）≈30s；
|
||||
- 纯空闲僵尸：keepalive 60/5/3（E11 T5 实测 30s、产品验证 17s）；
|
||||
- 本层 pump/对账接住事件 → relisten → 端口恢复。
|
||||
4. **剩余缺口（阶段 2 收口）**：PASV 重监听**不预清**数据 Socket——僵尸未清
|
||||
就在同一 Socket 上开新监听 → accept 为垂死僵尸开枪 → 5s 窗。阶段 2
|
||||
`sock_reset`（open 前 close+等 CLOSED）直接消除该竞态。
|
||||
5. **e02_probe listener=FAIL 重解读**（非阶段 1.5 回归）：探针的挂起客户端
|
||||
socket 在 PC 侧仍打开（脚本在第二次连接尝试之后才 close），PC **内核**会对
|
||||
芯片 keepalive 探测自动 ACK → 僵尸会话"活着" → 单连接监听被占、拒新连接是
|
||||
**正确行为**；探针预期（"预算耗尽 → 设备拆连接"）与阶段 1-5"EOF 不 close"
|
||||
设计冲突。真实缺口 = **应用层无法主动拆掉自己放弃的会话** → 也是阶段 2
|
||||
`sock_reset` 的职责（应用侧形态）。
|
||||
6. 顺带登记（显示层，低）：`[FTP] connection received from 100.1.168.192:21`
|
||||
——对端地址显示为设备自身 IP 的字节序反转 + 端口 21，疑似 lftpd 日志把
|
||||
local 地址当 peer 地址打印（不影响功能，未立项）。
|
||||
|
||||
**工具与留痕**：`test/host/pasv_probe.py`（新增）；pktmon 抓包留存
|
||||
`%TEMP%\n30_cap.etl`（3.9MB，含网卡抖动窗口，设备 IP 过滤）。
|
||||
|
||||
Reference in New Issue
Block a user