fix(protect): 采样陈旧时独立闭锁保护（判定层失明的兜底门）
问题：L5-4 闭锁读的 adc_health_flags() 只有 adcTask 每拍跑 adc_health_check() 才可能置位。TIM3 一停，adcTask 就永久阻塞在 osThreadFlagsWait（刻意的 fail-safe），check() 不再执行 → stall 位 永远是 0，而 protectTask 仍每 20 ms 拿冻在最后一帧的相量继续判据。 窗口最坏约 800 ms（停喂阈值）+ 2498 ms（IWDG 标称）≈ 3.3 s。 方案：保护侧建一条与消费者存活完全解耦的兜底新鲜度门。 - adc_health.c/h 新增 adc_health_age_stale()：无模块状态的纯判据， 参照系 adc_health_age_t 由调用方自存。故意不让 protectTask 去调 adc_health_check()——那是「每拍一次、单写者」的契约，两个上下文 同写会互相刷新差值基线，把现有判定层一起弄坏。 - 新增 ADC_HF_STALE = bit8（与判定层 bit0..bit7 位段错开）。本位 不由判定层写、不进 sticky、不进编排层 logged 位图。 - protect_task.c 用自己的时基直接读两个**中断侧递增**的计数器 （tpafe5160_frame_seq / adc_input_stm32_seq），并入掩码。两条车道 各自一份 primed：共用会让先观测的那条把标志置 1，另一条首拍拿 adv_ms = 0 算年龄 → 开机即误锁保护。 - 门限 PROT_STALE_AGE_MS = 100 + 20 = 120 ms，买的是时序阶梯： 判定层活着时它先报 0x1/0x2（带日志与自检留痕），死了只出现 0x100。闭锁最迟 140 ms，仍远小于最小动作延时（默认 1000 ms）。 实测： - @build 0 错 0 警：Code 213424 → 213520（+96 B）；ZI 131480 → 131504（+24 B = 两份 age 结构）；RW-data 1184 不变 - stack_report：protectTask 静态最坏链 872 B 不变（余 1176 B / 57%）、 adcTask 1320 B 不变——新判据无日志，不进最坏链 - 主机单测 45/45（新增 TC-ADCHEALTH-012..017 共 14 条断言：首拍只建 基线 / 超拍不判老 / 门限含等号 / 跨 tick 回绕 / 倒退按分工不判老 / 双观察者互不污染 / 空参数不判老） - 台架注入（一次性停 TIM3 300 ms 探针，验完已撤；探针固件与最终 固件 Program Size 逐字节相同）： [+5462ms] [ERR][PROT] sampling FAULT -> protection blocked (hf=0x00000100) [+5757ms] [PROT] sampling recovered -> protection resumed 同次开机 [ADC_TASK] health: 出现 0 次；MISS 快照缺的正是 bit6 （0x1F7 - 0x1B7 = 0x40，实证 adcTask 当时确实阻塞，不是"在跑但没报"）； reset cause: 仅 1 次（300 ms 被 800 ms 容忍吸收，闭锁不靠复位） 证据 docs/测试说明/boot_log_data/20261021_probe_stale_gate_boot_log.txt - 字节卫生：BOM 无 / CR 0 / U+FFFD 0；新增行无非法字面量 gate: only mem-budget/mem-numbers pending lead ledger backfill pre-commit run --all-files 失败仅这两条（台账受管快照与本树 .map 的 Flash/RAM 水位漂移，即本次 +96 B Code、+24 B ZI）。按并行分支约定 本分支不跑 --write，台账由 Lead 合并后统一回填。 文档同步：设计说明新增 §15（原相关文档改 §16），§7 位表加 bit8 行、 §8 责任矩阵与「已知窗口」段改写为已闭合、§10 盲区第 3 条、§11 用例 表、§12 判读手册、§14 改前清单全部跟上；位图配图补 bit8 列，并修掉 生成器把列数硬编码成 8 列导致新列被备注框盖住的问题。
This commit is contained in:
+36
-1
@@ -13,6 +13,13 @@
|
||||
* 线程约定：prot_elm_run / prot_set_selfcheck 仅本任务上下文（prot_elm.h）；
|
||||
* 跨上下文复归（104 YK11）经 prot_elm_request_reset 落请求。
|
||||
* 创建日期：2026-10-12（B5）
|
||||
* 修改记录：
|
||||
* v1.0 2026-10-12 王建锋 创建：L5-4 采样故障闭锁 + L5-1 定值巡检 + 判据节拍
|
||||
* v1.1 2026-10-21 王建锋 ①之外增加**兜底新鲜度门**：本任务用自己的时基直接
|
||||
* 看两个中断侧计数器是否还在前进（ADC_HF_STALE）。
|
||||
* adc_health 的 stall 位依赖 adcTask 每拍跑 check()，
|
||||
* 节拍源一停本任务就再没有任何人判"数据新不新"，
|
||||
* 而相量冻在最后一帧上还会被本任务继续用于判据
|
||||
*/
|
||||
#include "protect_task.h"
|
||||
|
||||
@@ -22,17 +29,33 @@
|
||||
#define DBG_LINE_BUF_MAX 128U
|
||||
#include "dbg_log.h"
|
||||
|
||||
#include "adc_input.h" /* adc_input_stm32_seq()：DMA 完成计数（中断侧写） */
|
||||
#include "adc_health.h"
|
||||
#include "console_log.h" /* dbg_console_writer_ready()：启动锚点行门控（B6） */
|
||||
#include "prot_elm.h"
|
||||
#include "prot_set.h"
|
||||
#include "soe_store.h" /* B9：动作/复归边沿 → SOE 投递（零 FS，队列异步） */
|
||||
#include "task_watchdog.h"
|
||||
#include "tpafe5160.h" /* tpafe5160_frame_seq()：帧序号（BUSY EXTI 写） */
|
||||
|
||||
/* L5-4 采样故障电平闭锁位：stall（可自愈）+ backward（锁存）都须停判据。
|
||||
* 锁存类（FRSTDATA/HW_ERR 等）不在此列——它们是一次性事件痕迹，不构成
|
||||
* "当前测量不可信"；持续 stall/backward 才是。 */
|
||||
#define PROT_HF_LOCK_MASK (ADC_HF_TPAFE_STALL | ADC_HF_STM32_STALL | ADC_HF_SEQ_BACKWARD)
|
||||
#define PROT_HF_LOCK_MASK (ADC_HF_TPAFE_STALL | ADC_HF_STM32_STALL | \
|
||||
ADC_HF_SEQ_BACKWARD | ADC_HF_STALE)
|
||||
|
||||
/* 兜底新鲜度门限。判定层的 stall 是 100 ms，但那是"每拍都在跑的观察者"的口径；
|
||||
* 本门每 20 ms 才观测一次，最坏比判定层晚一整周期 → 取 100 + 20 = 120 ms，让
|
||||
* "判定层先报（带日志与自检留痕）、本门兜底（判定层死了也报）"的时序阶梯成立。
|
||||
* 排查时 hf 里 0x1/0x2 与 0x100 的先后，本身就是"判定层当时活着吗"的答案。 */
|
||||
#define PROT_STALE_AGE_MS (ADC_HEALTH_STALL_MS + PROTECT_TASK_CYCLE_MS)
|
||||
|
||||
/* 兜底门的参照系：两条车道各存一份。⚠ primed 标志也必须各自独立——若共用一个，
|
||||
* 先被观测的那条会把它置 1，另一条首拍就拿 adv_ms = 0 去算年龄 → 开机即误锁。
|
||||
* 状态放调用方而不是复用 adc_health 的模块级状态：那个是"每拍一次、单写者"的
|
||||
* 契约，两个任务同写会互相刷新差值基线，把现有判定层一起弄坏。 */
|
||||
static adc_health_age_t s_age_tp; /* TPAFE 车道 */
|
||||
static adc_health_age_t s_age_a1; /* STM32 车道 */
|
||||
|
||||
static uint32_t s_prev_active; /* 上拍动作位图（边沿日志用） */
|
||||
static uint8_t s_prev_hf_lock; /* 上拍采样闭锁态（边沿日志用） */
|
||||
@@ -89,6 +112,18 @@ void protect_task(void *argument) {
|
||||
uint32_t now = osKernelGetTickCount();
|
||||
uint32_t hf = adc_health_flags();
|
||||
|
||||
/* 兜底新鲜度门（L5-4 的独立通道）：节拍源停摆时 adcTask 会永久阻塞在
|
||||
* osThreadFlagsWait（那是刻意的 fail-safe），check() 不再执行 → stall 位
|
||||
* 永远是 0。这里用本任务自己的时基直接读两个**中断侧递增**的计数器，
|
||||
* 与 adcTask 的存亡无关；两者都只要 TIM3 还在触发就会前进。
|
||||
* STM32 车道只更新参照系、不额外置位：任一侧老了就同一个位闭锁。 */
|
||||
if (adc_health_age_stale(&s_age_tp, tpafe5160_frame_seq(), now,
|
||||
PROT_STALE_AGE_MS) != 0u) {
|
||||
hf |= ADC_HF_STALE;
|
||||
}
|
||||
(void)adc_health_age_stale(&s_age_a1, adc_input_stm32_seq(), now,
|
||||
PROT_STALE_AGE_MS);
|
||||
|
||||
/* 启动锚点行：控制台写者注册后首拍补打（2026-10-10 门控纪律，adcTask
|
||||
* 首帧同款）。写者注册前 con_append 走无锁裸发，与 defaultTask 启动日志
|
||||
* 逐字节交错——B6 台架实证：本行曾损坏为 "st[art: cycle=220ms elm=70"
|
||||
|
||||
Reference in New Issue
Block a user