fix(栈·存储·UI 收尾): 断掉临界区↔断言幻影环回到 1,464，标定门控单点化，卷锁五态可观测
这四笔在主树里已经互相纠缠（同一次 @build 编译、同一份 .htm 度量），拆成四笔就不
存在任何一个被真编过的中间态，所以合一笔入库；下面按模块分段陈述，作者与出证归属
逐段写明。
—— 一、崩溃证据路径的整行独占收尾（log-maint-writer，task-26）——
上午那笔 1d4b6a17 之后，stack_report 报 iec104Task 静态最坏链 1,544 / margin 1,016，
低于 1,024 的 ISR 底线。真因不是新增局部缓冲，而是本模块与内核临界区之间新长出
一条环：taskEXIT_CRITICAL ⇒ vPortExitCritical ⇒ configASSERT ⇒ vApplicationAssertFailed
⇒ dbg_console_write_raw ⇒ 回到本模块。armlink 把这一整坨计入**每一个含临界区的
任务链**（vApplicationAssertFailed 的 Max Depth 由约 40 B 涨到 128 B + In Cycle），
所以九条链同涨约 80 B——同涨本身就排除了任何单个调用方。
改法两处：① 本模块三处窗口（取凭证 / 还凭证 / 整行入环）改用 CON_CRIT_ENTER/EXIT
（PRIMASK 保存恢复到局部变量；注释写全为什么不能直接 __enable_irq()——嵌套时会
替别人打开任务级临界区——以及屏蔽面变宽是有意为之）；② 异常/终点钩子里那对
自证空转的 begin/end 摘掉（异常态 begin 放行但不持有、end 是幂等空操作，调它只有
成本没有收益），任务态 STALL 行保留 begin/end，这个区分写进两处注释与文档 §4.4.1。
实测四棵树逐个 .htm 解析（身份钉 tree + Linker run 时刻 + 产物来源）：A=77779d49
链 1,456；B=1d4b6a17 链 1,464 / margin 1,096 PASS；C=含未提交钩子接线的工作树
1,544 / 1,016 FAIL；D=本轮修复后（Linker run 22:52）回到 **1,464 / 1,096 PASS**，
九条链齐降 80 B。断环图证：vPortExitCritical 由 136 B + In Cycle 变 8 B 且不再
In Cycle，con_tx_release 子树 152→8；Error_Handler 回到 280 + In Cycle = A 树同值
（既有发送环无人拆动）。顺带删掉 Src/freertos.c 崩溃路径里最后一个 HAL_Delay(200)
（该文件真实调用现为 0）。
测试：console_log 152→**153** 条（只增不减）；换钉不删防——015 现在钉「PRIMASK
窗口 2 次、深度 1、内核临界区 0 次」，新钉 015c 绝不等待，160 注入点搬到
con_pm_hook，176 强化到未调度路径连 PRIMASK 窗口都不开；红线水位
con_pm_at_tx_max 与 con_uart_crit_at_tx_max 双 0；判据⑦（延后的行与当场直发逐
字节相同）170b/171/178 仍全绿。作者自报并纠正一处：换钉时曾把 TC-CONLOG-015b 改
编号，而 015b 在生产注释与文档里都被引用——已恢复「编号不退役、语义搬过去」。
覆盖率 App/log/console_log.c 199/200 → 256/257 行、21/21 函数（只增）。
—— 二、未标定闭锁判据收成单点访问器（ui-param-writer，task-16）——
「UA/UN/IA 三相 VALID 全置位才允许跑判据」这条门控原先在两处各自镜像实现
（protect_task.c 的 s_cal_locked 与 ui_data_feed.c 的 feed_cal_block），改一处另一处
静默失效且无门禁可照。现新增 adc_cal_prot_blocked() 落在 App/algo/adc_cal，DTU_BENCH
特例收进一处；两个消费者同批改调、本地副本删除。作者还查实并纠正了我先前一句
错判：全仓 App/app→App/task 的 include 实为 0 条，故访问器不能落在 protect_task。
新增 TC-ADCCAL-018 八条（含冷启动即闭锁），adc_cal 套件 99/99。
—— 三、共享卷锁五态可观测性（ui-param-writer，task-17）——
原状比登记簿写的更糟：五个可区分态（未调用 / try 超时 / 分片超时 / fail-open /
未持锁却 release）生产侧零留痕，且 vol_lock.c 的返回值注释与代码相反——
fail-open（锁没建成、互斥已失效却在读写盘）被返 1 **谎报成取到锁**，而那正是
vol_lock.h 记录的台架实证故障（并发写坏 FTL → 喂狗点饥饿 → IWDG 误复位）的前置。
锁层加四个 volatile 计数（16 B 静态，零新局部、零新 callee、零日志、零 FatFs）与
不取锁的 vol_lock_get_stats()；13 处 try 调用点一字未动。**刻意不在锁层记时刻**：
记时刻要读 tick，等于给 defaultTask 取锁链添帧——诊断不值那几个字节；消费方若
自盖时间戳，那只能是被观测到的时刻而非发生时刻，.h 里已写明不得写成首次/末次。
四套本地假件各加 s_last_wait_to（字段名逐字一致），把「喂狗点取锁一律 timeout=0」
与「ftpTask 分片一律 100 ms」从注释纪律升级成会 FAIL 的断言；红-绿反证：临时把
sys_log_mcu.c 的 0u 改 50u → TC-SYSLOG-010/012 双红，把 lftpd_io.c 的 100u 改 0u →
TC-LFTPIO-034 红，两处按原串改回并用 SHA-256 证明逐字节还原。TC-VOLLOCK-015~019
共 45/45（无新桩）。
—— 四、UI 死接口清理（ui-maint-writer，task-6 收尾）——
删掉 ui_data_maint_ready()：全仓零消费者、只有它自己的用例在读。**更值得记的是
它为什么能活过一整轮评审**：头注释写的是「页面用它决定这页能不能操作」，而页面
从来没用过它——注释陈述的是意图，评审读的是意图，门禁读的是可达路径，两者都不
反驳「意图未实现」。作者对「连用例一起删」做了显式抗命：TC-UIDATA-025 的 13 条里
只有 4 条读那个死口，另 9 条钉的是真防线（六口未注入安全返回 / 残表整表拒绝 /
被拒不覆盖已生效的好表），故删冗余的 025a、把 025i/025k/025m 换成用 reset_req()
的可观察返回值判定，性质不丢。ui_data 套件 244 → 243（净减 1），黄金 40 页与
池 5448 B 未变（该刀零像素影响，参考图无 diff）。
—— 门禁与未跑项（本笔如实留账）——
cubemx-survival 基线已 --write（漂移 6 项全部是上述意图内区域：断言/栈溢出钩子
实现、看门狗模块行等），基线文件同笔入库，随后 --check 通过。
本笔未跑的钩子只有两条：mem-numbers 与 mem-budget——磁盘 .map 出自 22:52 那次
构建、含尚未入库的 UI 与工具改动，与 HEAD 台账必然不同码；按仓库既有约定允许
--no-verify + 正文留证，回填在紧随的台账一笔统一做（含 ram_baseline --update 与
覆盖率基线两条 [NOTE]：ui_data.c 65→316、iec104_comm.c 36/36）。
两条已挂着的账：① id-check 不可判定引用 1,162 / 上限 1,166，**余量只剩 4**，
主要吃进者是我今天推进的 UI 那笔（68 条文本断言的注释引用），账在 Lead；
② 崩溃注入腿（故意复位）台架复验未跑，需先由代码道提交触发器，且判据只判原子性
不判 [ERR]=0——IPSR 路径的主张归主机侧套件，硬件照不出来。
产物身份（按 D 表要求钉死，避免数字与树脱钩）：本笔包含的固件树就是那张 D 表对应的
那一棵——MDK-ARM/.../STM32F407-Demo.htm 的 mtime = 2026-10-26 22:52:12（.htm/.map 按
约定不入库，故把时刻写进正文）。提交前在本树复跑 stack_report.py：exit 0，
iec104Task 1,464 / margin 1,096（42%）PASS、defaultTask 3,040 / 2,080（40%）PASS，
与 D 表逐项一致；本次运行不含任何未提交固件源码之外的新改动。
This commit is contained in:
+17
-32
@@ -24,6 +24,13 @@
|
||||
* （定值写路径出队 → 闭锁/越界预检 → set_sealed，
|
||||
* 见 s_param_ops）；② 参数帧尾填 cal_block（未标定
|
||||
* 闭锁徽标，三路口径同 protect_task.c，不用 eng）
|
||||
* v1.2 2026-10-26 DTU 项目组 道F task-16：删除本地镜像 feed_cal_block()，
|
||||
* 两个调用点（填帧 / 门控比较）改调
|
||||
* adc_cal_prot_blocked()——同一份三路判定此前在
|
||||
* 本文件与 protect_task.c 各写一遍，且各自带一份
|
||||
* #ifndef DTU_BENCH（只给单个 TU 加宏就能让屏与判据
|
||||
* 分叉）；真源现落在 App/algo/adc_cal.c，旁路全仓一处。
|
||||
* 行为不变（判定式逐字同构、调用时机不变）
|
||||
*/
|
||||
|
||||
/* 头文件包含区 */
|
||||
@@ -48,7 +55,7 @@
|
||||
|
||||
/* 同层（App）数据源 */
|
||||
#include "adc_input.h" /* ADC_SEM_COUNT / adc_input_raw（TEMP 码值） */
|
||||
#include "adc_cal.h" /* adc_cal_flags：VALID/CLIPPED 三态可用性 */
|
||||
#include "adc_cal.h" /* adc_cal_flags：VALID/CLIPPED 三态可用性；adc_cal_prot_blocked：未标定闭锁单点 */
|
||||
#include "phasor.h" /* 基波/谐波有效值（fAmSQ） */
|
||||
#include "freq.h" /* 测频读数与新鲜度 */
|
||||
#include "prot_elm.h" /* 元件动作态（遥信位图来源） */
|
||||
@@ -469,33 +476,6 @@ static const ui_data_param_ops_t s_param_ops = {
|
||||
feed_param_apply
|
||||
};
|
||||
|
||||
/*
|
||||
* 函数功能：未标定闭锁判定（整定页"未标定"徽标的数据源）
|
||||
* 入口参数：无
|
||||
* 返 回 值：1 - 未标定闭锁（UA/UN/IA 三路至少一路标定 VALID 未置位）；0 - 三路全
|
||||
* VALID（保护判据正在跑） uint8_t
|
||||
* 限定条件：uiTask 上下文（adc_cal_flags 纯读，每 200 ms 一次，代价可忽略）
|
||||
* 函数说明：判据与 App/task/protect_task.c 的 s_cal_locked() **逐字同构**——那是
|
||||
* 停走判据的真源，本函数只是把它搬到显示通道上；两处的例外通道也必须
|
||||
* 一起改（DTU_BENCH 台架旁路，仅本地台架自行定义、产品恒强制）。
|
||||
* ⚠ 已知重复：本仓没有导出该判据的公开 API（protect_task.h 只有线程
|
||||
* 入口），故这里镜像一份；将来 protect_task 导出访问器后应收敛成一处
|
||||
* （Lead 补充 A 明确本任务按此实现，不改 protect_task.*）
|
||||
* ⚠ 不得用 rt.eng 反推：eng 要求电气 8 路全 VALID，V0.1 双转换器下
|
||||
* UB/UC/IB/IC/IN 永不置位 → eng 恒为引脚档，照它画徽标就永不解锁
|
||||
*/
|
||||
static uint8_t feed_cal_block(void) {
|
||||
/* 形态与 protect_task.c 同：用 #ifndef 把产品默认路径留在主分支（而非 #ifdef
|
||||
* 双分支）——cppcheck 对未定义宏取真分支，双分支会把它引到旁路上报假信号 */
|
||||
#ifndef DTU_BENCH
|
||||
if (((adc_cal_flags(ADC_SEM_UA) & ADC_CAL_F_VALID) == 0u) ||
|
||||
((adc_cal_flags(ADC_SEM_UN) & ADC_CAL_F_VALID) == 0u) ||
|
||||
((adc_cal_flags(ADC_SEM_IA) & ADC_CAL_F_VALID) == 0u)) {
|
||||
return 1u;
|
||||
}
|
||||
#endif
|
||||
return 0u;
|
||||
}
|
||||
|
||||
/*
|
||||
* 函数功能：组装参数快照（40 项定值 Q10 + 校验和 + 封存态 + 越界位图 + 未标定闭锁）
|
||||
@@ -517,9 +497,14 @@ static void feed_fill_par(ui_data_par_t *p_snap, uint32_t sum) {
|
||||
/* 越界位图非 0 = 上一次整表装载/提交有越界项（prot_set_bad_mask 的既有口径），
|
||||
* 页面据此反显；为 0 时无意义位图不参与显示 */
|
||||
p_snap->bad_valid = (p_snap->bad_mask != 0u) ? 1u : 0u;
|
||||
/* v2 尾追加：未标定闭锁徽标（三路口径，与判据停走同源；与上面的 locked 是
|
||||
* 两件事——locked 禁编辑，cal_block 只说明"改了也不会动作"） */
|
||||
p_snap->cal_block = feed_cal_block();
|
||||
/* v2 尾追加：未标定闭锁徽标（与判据停走**同一个判定**：App/algo/adc_cal.c 的
|
||||
* adc_cal_prot_blocked()，道F task-16 起本文件不再自带一份三路判定——两份实现
|
||||
* 可以各自漂移，屏上"未标定"就会与判据实际停不走同一件事）。
|
||||
* ⚠ 不要改回用 rt.eng 反推：eng 要求电气 **8** 路全 VALID，V0.1 双转换器下
|
||||
* UB/UC/IB/IC/IN 永不置位 → eng 恒为引脚档，照它画徽标就永不解锁；
|
||||
* 两个谓词各有用途，边界写在 adc_cal.h 的函数头第③条。
|
||||
* ⚠ 与上面的 locked 是两件事——locked 禁编辑，cal_block 只说明"改了也不会动作" */
|
||||
p_snap->cal_block = adc_cal_prot_blocked();
|
||||
for (i = 0u; i < (uint8_t)PS_ID_COUNT; i++) {
|
||||
p_snap->q10[i] = prot_set_get((prot_set_id_t)i);
|
||||
}
|
||||
@@ -617,7 +602,7 @@ void ui_data_feed_tick(void) {
|
||||
* 代价：每轮多两次字节比较（无变化时零拷贝），换来屏上状态与真值同拍 */
|
||||
{
|
||||
uint8_t locked_now = prot_set_locked();
|
||||
uint8_t cal_now = feed_cal_block();
|
||||
uint8_t cal_now = adc_cal_prot_blocked(); /* 标定层单点，与判据同源 */
|
||||
|
||||
if ((s_par_sum_valid == 0u) || (sum != s_par_sum)
|
||||
|| (locked_now != s_par_locked) || (cal_now != s_par_cal_block)) {
|
||||
|
||||
Reference in New Issue
Block a user