fix(nand-ftl): 传输失败不再误标坏块 + format 不再被脏缓存挡死（#79）
根因（真机定案，问题 #79）：旧 dhara_nand_erase/prog() 把一切失败一律 mark_bad，而 mark_block_bad 每次**立即持久化**板级 BBT（不可撤销）—— 一次传输层/等忙抖动就把好块永久记成坏块。台架 129 个好块（1016–1142 连续段）被固化，journal prepare_head() 连续 8 次撞 is_bad → TOO_BAD → Cache flush FAIL → reformat 又被同一页挡住 → 整卷禁用、重启不恢复。 - 修复①：只有芯片明确回 E_FAIL/P_FAIL（状态位证据）才标坏； 传输/超时失败只报 DHARA_E_BAD_BLOCK 让 dhara 重试，不标坏 - 修复②：nand_ftl_format() 尽力刷一次脏缓存，失败即丢弃并继续 dhara_map_clear()（格式化语义本就是销毁映射；旧实现第一步返回， 恢复动作在同一页死锁，f_mkfs 全在旧映射上必失败） - C4 还债：新增跨调用失败类快照 nand_ftl_fault_get/clear（20 B， resume/读/刷/同步四点位记账）；defaultTask 探针按类分流， BSP_ERR_NO_SPACE 跳过重格式化（容量问题不该用 mkfs 解） - 哨兵与诊断：init 解锁块保护（A0h）后补回读校验（与 B0h ECC 同族 缺口，实测本板 A0h=0，非本次根因，留作哨兵）；gd5f_bbt_load() 合并后坏块数 > 出厂扫描时打「BBT after merge」，现场可区分 真坏与误标固化 - 测试：主机单测 149→178 全绿；新增 format 死锁（TC-NANDPORT-800.. 813b）、传输失败不标坏（207 语义翻转 + 208/505）；牙齿检查过—— 把修复回退即见红 - 真机：恢复动作 A 重建 BBT 清除已固化误标（3/3 PASSED，BBT version=71）；产品镜像复烧 [FS] FATFS mounted、配置出厂模板 落盘、0 条 flush FAIL——#79 真机闭环（旧卷内容随 map clear 作废，台架卷为可弃数据） - 文档：存储架构说明 §10.4 口径修正 + 新增 §10.4.1/§10.4.2（页级 失败升级链与误标持久化机理），存储维护与容量恢复 §2 补板级 BBT 独立持久化注记 + §2.1（动作 A 此前静默失效），登记簿 C4 销项 - Keil 0 错 0 警（Code=255552，与烧录验证镜像一致）；doc-links 213 文档通过
This commit is contained in:
+1
-1
@@ -21,7 +21,7 @@
|
||||
| # | 事项 | 发现 | 证据与现状 | 出处 |
|
||||
|---|---|---|---|---|
|
||||
| dhara 重试自旋残留 | **dhara 重试自旋残留**——`try_recover()` 的 `DHARA_MAX_RETRIES`(8) 自旋在坏块密集时仍可能长时间占用 defaultTask（喂狗点） | 2026-10-02 | 低优先：现有 `vol_lock` + 喂狗节奏缓解；若台架再出"存储侧喂狗饥饿"再排期 | `Lib/dhara/map.c` |
|
||||
| 可选全序列卷锁 | **可选全序列卷锁**——现卷锁仅覆盖 `syslog` / `cfg` / `lftpd` 三条路径（`vol_lock_wait(0)` try 语义），其它潜在访问点（如 UI 读日志）未纳入 | 2026-10-02 | 待评估：先确认是否真有第二写者；无则关闭本项 | `App/fs/vol_lock.{c,h}` |
|
||||
| 可选全序列卷锁 | **可选全序列卷锁**——现卷锁仅覆盖 `syslog` / `cfg` / `lftpd` 三条路径（`vol_lock_wait(0)` try 语义），其它潜在访问点（如 UI 读日志）未纳入。⚠ 原本挂在本题下的「dhara 失败类快照（C4）」待还项**已于 2026-11-04 由问题 #79 还清**（`nand_ftl_fault_get/clear` + 探针按类分流，见 `../架构设计/STM32F4-Base存储架构说明.md` §10.4 已闭环段）——本题现只剩**卷锁覆盖面**本身，不再被 C4 阻塞 | 2026-10-02；C4 拆分 2026-11-04 | 待评估：先确认是否真有第二写者；无则关闭本项 | `App/fs/vol_lock.{c,h}` |
|
||||
|
||||
## 3. 硬件（V0.1 缺陷 → V0.2 改版项）
|
||||
|
||||
|
||||
@@ -643,7 +643,7 @@ LPN 与原始码的位置**就地分类并打印（`ftl_err_name()` 给可读名
|
||||
|
||||
| dhara 错误 | 归类 | 处置上为什么不同 |
|
||||
|---|---|---|
|
||||
| `ECC` / `TOO_BAD` | `BSP_ERR_CRC` | 位翻转不可纠或页太坏：**是页级问题**，读重试 / 由 dhara 换页，不代表卷坏 |
|
||||
| `ECC` / `TOO_BAD` | `BSP_ERR_CRC` | 位翻转不可纠或页太坏：**是页级问题**，读重试 / 由 dhara 换页，不代表卷坏（**但见下方 10.4.1：页级失败会因重试语义升级成整卷禁用**） |
|
||||
| `JOURNAL_FULL` / `MAP_FULL` | `BSP_ERR_NO_SPACE` | 介质还健康，是 **journal / 映射层块池见底**：该走容量恢复（`../测试说明/专项验证/存储维护与容量恢复.md`），此时重格式化只是把问题推回去 |
|
||||
| `BAD_BLOCK` / `RECOVER` / `NOT_FOUND` / `CORRUPT_MAP` / 越界 | `BSP_ERR_IO` | 映射或介质**完整性**故障：保卷 + 上报，不许自愈重格式化 |
|
||||
|
||||
@@ -651,7 +651,80 @@ LPN 与原始码的位置**就地分类并打印（`ftl_err_name()` 给可读名
|
||||
checkpoint（`DHARA_E_TOO_BAD`）才算真空白卷"，本表则保证失败**可读**——两者合起来
|
||||
才是"别把瞬态毛刺当卷损坏去 `f_mkfs`"（旧行为：单次 I2C/SPI 抖动 → 清 map → 整卷
|
||||
重格式化 → 静默销毁全部用户数据）。
|
||||
- **仍未闭环**：分类目前**只进日志**；`disk_read`/`disk_write` 对 FatFs 仍只能回 `RES_ERROR`
|
||||
（那是 FatFs 的契约）。要让 defaultTask 的卷健康探针**按类分支**，还需要一个跨调用
|
||||
存活的失败类快照（`nand_ftl_last_error()`，8 B；代价是要先定多写者纪律——
|
||||
defaultTask 与 testTask 都会碰存储）→ 即登记簿条目「可选全序列卷锁」的待还项。
|
||||
- **已闭环（2026-11-04，问题 #79）**：分类不再只进日志。`nand_ftl.c` 新增跨调用
|
||||
失败快照 `nand_ftl_fault_get()` / `nand_ftl_fault_clear()`（`nand_ftl_fault_t`，
|
||||
20 B：`active`/`op`/`cls`/`lpn`/`count`），在 `disk_initialize` 的 resume 失败、
|
||||
`ftl_read_page`、`ftl_flush_cache`、`disk_ioctl(CTRL_SYNC)` 四个失败点记账；
|
||||
defaultTask 的卷健康探针在 `storage_bring_up()` 里读它并按类分流：
|
||||
`BSP_ERR_NO_SPACE` → **跳过重格式化**（只上报 `storage full`，留待容量恢复），
|
||||
其余类 → 才 reformat。多写者纪律：语义是"最近一次"而非累计账本，并发下可能被
|
||||
另一路覆盖（诊断用途可接受），故不加锁、不做权威计数。
|
||||
|
||||
### 10.4.1 「页级 TOO_BAD」为什么会升级成「整卷禁用」（2026-11-04 台架实证，问题 #79）
|
||||
|
||||
本表上一版只写了「`TOO_BAD` 是页级问题，不代表卷坏」。这句话在**单次读写**的尺度上
|
||||
成立，但在**连续重试**的尺度上会误导——台架现场正是这条误解造成的：
|
||||
|
||||
```
|
||||
[NAND_FTL] Map resumed: 14094/97504 sectors used ← 映射本身健康
|
||||
[ERR][NAND_FTL] Cache flush FAIL: LPN=211 dhara=TOO_BAD class=-7
|
||||
[ERR] [FS] volume FAT invalid (fr=1), reformatting...
|
||||
[ERR] [FS] volume repair failed (fr=1)
|
||||
[ERR] [FS] f_mount failed (fr=1) ← 3 轮重试
|
||||
[ERR] [FS] storage retries exhausted (fr=1), storage disabled
|
||||
```
|
||||
|
||||
两个独立的放大机制叠在一起：
|
||||
|
||||
1. **`ftl_flush_cache()` 失败不清 `s_cache_dirty`**（刻意的：写不进去不能假装写成功）
|
||||
⇒ 缓存里那一页仍是脏的，**下一次任何存储访问都会重试同一个 LPN**。15 条
|
||||
`Cache flush FAIL` 就是这么来的，11 秒内撞 15 次。
|
||||
2. **`nand_ftl_format()` 旧实现先 flush、失败即 `return GD5F_ERROR`** ⇒ 本应"销毁
|
||||
映射重建卷"的恢复动作，被**同一页**在第一步挡住，`dhara_map_clear()` 从未执行；
|
||||
接着 `f_mkfs` 在**旧映射**上跑，必然失败。每轮启动都重新踩同一条路，故
|
||||
**重启不恢复**。
|
||||
|
||||
- **判据修正**：`TOO_BAD` 仍归类 `BSP_ERR_CRC`（归类没错），但"不代表卷坏"必须加上
|
||||
限定——**不代表介质坏，不代表卷内容好**。单个 LPN 反复写不进去，配合"脏缓存不清 +
|
||||
格式化被挡"这两条，足以让整卷在本次启动内不可用。
|
||||
- **处置修正**：`nand_ftl_format()` 现在尽力刷一次缓存，失败则**丢弃缓存并继续**
|
||||
`dhara_map_clear()`——格式化语义本就是销毁整卷映射（见 `nand_ftl.h` 该函数注释
|
||||
「破坏性」），为一份注定作废的脏页挡住恢复动作没有任何收益。⚠ 该"丢弃"权限
|
||||
**只在 format 内**；`disk_read`/`disk_write` 的 flush 失败必须继续向上报 `RES_ERROR`。
|
||||
- **与 10.4 表的关系**：格式化的**该不该做**由失败类决定（§10.4 快照分流），
|
||||
格式化的**做得成做不成**不再被脏缓存劫持（本节）。两者一起才是完整判据。
|
||||
|
||||
### 10.4.2 上游真凶定案：误标坏块被持久化（2026-11-04 真机闭环，问题 #79）
|
||||
|
||||
10.4.1 的两条放大机制修掉后真机**并未恢复**——`format` 这次确实清了 map，但紧随的
|
||||
`Map sync after clear failed: TOO_BAD` 说明**全新的 map 也落不了盘**。逐层加临时
|
||||
诊断（prog/erase 原语失败打印 → is_bad 命中打印 → BBT 合并后打印）后定案：
|
||||
|
||||
| 观测 | 结论 |
|
||||
|---|---|
|
||||
| `[NAND] BBT scan: 0 bad blocks found` | 出厂无坏块 |
|
||||
| prog/erase 原语 `[DIAG]` **零输出** | 底层写**全部成功**，TOO_BAD 不来自当次 I/O 失败 |
|
||||
| `BBT: 129/2048 blocks bad`（合并持久化 BBT 后） | 坏块全部来自**持久化 BBT 的 OR 叠加** |
|
||||
| 误标是 1016–1142 **连续段**；`Map head=65024`>>6 = **1016** 正中段首 | 不是随机位老化形态 |
|
||||
| `is_bad hit` 连续命中 1016..1142 | `prepare_head()` 连续 8 次撞坏 → `DHARA_E_TOO_BAD`（journal.c:820-832） |
|
||||
|
||||
**机理链**：某次台架操作（断电 / ST-LINK reset 打在写窗口内）造成**传输层/等忙失败**
|
||||
→ 旧 `dhara_nand_erase/prog()` 把一切失败都 `dhara_nand_mark_bad()` →
|
||||
`gd5f2gq5ue_mark_block_bad()` **每次都立即持久化 BBT**（轮转池 + 版本号 + CRC，
|
||||
不可撤销）→ 误标固化 → 此后每轮启动 journal 写头爬进误标段即 TOO_BAD。这解释了
|
||||
「11-03 20:54 还好的、11-04 起每轮必现、重启不恢复」的全部特征。
|
||||
|
||||
- **修复**：只有芯片明确回 `E_FAIL` / `P_FAIL`（状态位证据）才标坏；传输层/超时
|
||||
只报 `DHARA_E_BAD_BLOCK` 让 dhara 重试，**不标坏**。回归用例
|
||||
TC-NANDPORT-207/208/505（主机侧，178 条全绿；把修复回退即见红）。
|
||||
- **哨兵**：`gd5f2gq5ue_init()` 解锁块保护（A0h）后补回读校验（与 B0h ECC 同族
|
||||
缺口；实测本板 A0h=0，写保护非本次根因，校验留作哨兵）；`gd5f_bbt_load()` 合并后
|
||||
坏块数 > 0 且出厂扫描为 0 时打 `BBT after merge: %lu bad blocks (factory scan
|
||||
was 0)`——现场一眼区分真坏与误标。
|
||||
- **存量误标的处置**：代码修复只防未来。已固化的 129 个误标用恢复动作 A
|
||||
（`TEST_SUITE_STORAGE` + `ENABLE_STORAGE_RECOVERY_TESTS`，重建 BBT + format）
|
||||
清除：`BBT rebuilt and persisted` → `Storage Recovery: 3/3 PASSED` →
|
||||
持久化 BBT version=71。产品镜像复烧后 `[FS] FATFS mounted`、
|
||||
`[CFG] load: file missing, factory template generated`，0 条 flush FAIL。
|
||||
⚠ 动作 A 语义 = 卷内容全失（旧卷随 map clear 作废），本次台架卷为可弃数据。
|
||||
|
||||
|
||||
@@ -17,9 +17,25 @@
|
||||
## 2. 为什么"容量"需要单独恢复（根因）
|
||||
|
||||
- 健康满容量 = **96064 pages（187 MB）**（`No valid map found, creating fresh` 分支下的满值）。
|
||||
> ⚠ 2026-11-04 台架待核（问题 #79）：三次捕获都打 `capacity: 97504 pages = 190 MB`
|
||||
> （比本基线大 1440 页），且**故障前后数值一致**（不是被扣损的结果）。两种可能未定：
|
||||
> ① 台架那块板的 `bb_last/bb_current` 与"全新初始化"不同口径；② 本文基线陈旧。
|
||||
> 判定方法：台架跑一次动作 B（全片擦除 + 断电重启，走 `dhara_map_clear` 全新分支）
|
||||
> 后读同一行的 `capacity:`——若仍是 97504，则本文基线应改。（另：本行是**故障本身
|
||||
> 无关**的证据，见 架构说明 §10.4.1：容量正常 ⇒ 不是块池耗尽。）
|
||||
> **2026-11-04 更新（问题 #79）**：当日跑的是动作 A（非 B），BBT 重建 0 坏块 +
|
||||
> format 后容量仍报 97504=190 MB；且 129 个误标坏块存在期间读数也是 97504
|
||||
> （误标只毁 journal 写头，不改本行读数）。基线改判**仍需动作 B**，未跑，本行保留。
|
||||
- dhara 的坏块计数 `bb_current` / `bb_last` **持久化写在 journal checkpoint 头里**
|
||||
（`Lib/dhara/journal.c` 的 `hdr_set_bb_current/hdr_set_bb_last`，随 checkpoint 一起落盘）。
|
||||
容量按 `good_blocks = num_blocks − max(bb_last, bb_current) − 1` 递减。
|
||||
- **⚠ 还有一处独立于 dhara 计数的坏块持久化**：板级 BBT（`gd5f2gq5ue.c` 的
|
||||
`s_bbt[]` 轮转池，`mark_block_bad` 每次**立即落盘、不可撤销**）。2026-11-04 的
|
||||
台架故障根因即在此：传输层失败被旧 `dhara_nand_erase/prog()` 误当坏块证据标坏，
|
||||
129 个好块固化进 BBT，journal 写头爬进误标段 → `prepare_head()` 连续 8 次
|
||||
`is_bad` → `TOO_BAD` → 整卷禁用（机理见 架构说明 §10.4.2）。这种"误标卷"的**处置
|
||||
就是动作 A**（重扫出厂坏块会覆盖误标并持久化）；A 后若 `BBT after merge` 再报
|
||||
非零增量，看的是新增标坏日志 `Erase/Program ... (not a bad block)` 有没有出现。
|
||||
- `dhara_journal_clear()`（即 `nand_ftl_format()` 走的路）只做 `bb_last = bb_current`，**不归零**——
|
||||
所以动作 A 清不掉被扣掉的容量，断电重扫也一样（计数从 checkpoint 读回）。
|
||||
- 只有让下次启动 `dhara_map_resume` **失败**、走 `dhara_map_clear` 的**全新初始化**分支
|
||||
@@ -27,6 +43,23 @@
|
||||
- 记账的触发：一次 `program verify` 失败（日志 `[ERR][NAND_FTL] program verify: data mismatch, blk N`）
|
||||
就让 dhara 多记一个坏块；破坏性套件（写完擦、坏块注入、格式化）会累积这个数字。
|
||||
|
||||
### 2.1 动作 A 在 2026-11-04 之前是**静默失效**的（问题 #79，已修）
|
||||
|
||||
`nand_ftl_format()` 旧实现的第一步是 `if (ftl_flush_cache() != BSP_OK) return GD5F_ERROR;`，
|
||||
而 `ftl_flush_cache()` 失败时刻意**不清** `s_cache_dirty`。于是只要脏页落在"写不动的那个
|
||||
LPN"上，格式化就在第一道闸门返回，`dhara_map_clear()` **从未执行**——动作 A 名义上跑了，
|
||||
实际上一个映射都没清，紧随其后的 `f_mkfs` 仍在旧映射上工作、必然失败。
|
||||
|
||||
- **现场特征**：`Cache flush FAIL: LPN=<固定值> dhara=TOO_BAD` 连打十余条 →
|
||||
`reformatting...` → `volume repair failed (fr=1)` → `storage disabled`，且**每次启动必现**。
|
||||
看到这条链就别再连续重试动作 A，先确认脏缓存是否正卡在坏页上。
|
||||
- **修复后判据**：跑动作 A/B 时若出现新增日志
|
||||
`format: dirty cache at LPN=<n> undiscardable, dropping it (map is being destroyed anyway)`
|
||||
→ 说明确实撞上了"脏页卡坏页"，但**格式化已经继续执行**（这是预期行为，不是新故障）。
|
||||
其后应能看到 `NAND FTL formatted, capacity: ...`。
|
||||
- 语义边界：丢弃脏缓存的权限**只在 format 内**。`disk_read`/`disk_write` 的 flush 失败
|
||||
必须继续向上报 `RES_ERROR`——那是"这次写没落地"的真相。
|
||||
|
||||
## 3. 操作步骤（以容量恢复为例）
|
||||
|
||||
1. `test/board/test_config.h`：取消注释 `TEST_SUITE_STORAGE`；
|
||||
|
||||
Reference in New Issue
Block a user