fix(栈·存储·UI 收尾): 断掉临界区↔断言幻影环回到 1,464，标定门控单点化，卷锁五态可观测

这四笔在主树里已经互相纠缠（同一次 @build 编译、同一份 .htm 度量），拆成四笔就不
存在任何一个被真编过的中间态，所以合一笔入库；下面按模块分段陈述，作者与出证归属
逐段写明。

—— 一、崩溃证据路径的整行独占收尾（log-maint-writer，task-26）——
上午那笔 1d4b6a17 之后，stack_report 报 iec104Task 静态最坏链 1,544 / margin 1,016，
低于 1,024 的 ISR 底线。真因不是新增局部缓冲，而是本模块与内核临界区之间新长出
一条环：taskEXIT_CRITICAL ⇒ vPortExitCritical ⇒ configASSERT ⇒ vApplicationAssertFailed
⇒ dbg_console_write_raw ⇒ 回到本模块。armlink 把这一整坨计入**每一个含临界区的
任务链**（vApplicationAssertFailed 的 Max Depth 由约 40 B 涨到 128 B + In Cycle），
所以九条链同涨约 80 B——同涨本身就排除了任何单个调用方。
改法两处：① 本模块三处窗口（取凭证 / 还凭证 / 整行入环）改用 CON_CRIT_ENTER/EXIT
（PRIMASK 保存恢复到局部变量；注释写全为什么不能直接 __enable_irq()——嵌套时会
替别人打开任务级临界区——以及屏蔽面变宽是有意为之）；② 异常/终点钩子里那对
自证空转的 begin/end 摘掉（异常态 begin 放行但不持有、end 是幂等空操作，调它只有
成本没有收益），任务态 STALL 行保留 begin/end，这个区分写进两处注释与文档 §4.4.1。
实测四棵树逐个 .htm 解析（身份钉 tree + Linker run 时刻 + 产物来源）：A=77779d49
链 1,456；B=1d4b6a17 链 1,464 / margin 1,096 PASS；C=含未提交钩子接线的工作树
1,544 / 1,016 FAIL；D=本轮修复后（Linker run 22:52）回到 **1,464 / 1,096 PASS**，
九条链齐降 80 B。断环图证：vPortExitCritical 由 136 B + In Cycle 变 8 B 且不再
In Cycle，con_tx_release 子树 152→8；Error_Handler 回到 280 + In Cycle = A 树同值
（既有发送环无人拆动）。顺带删掉 Src/freertos.c 崩溃路径里最后一个 HAL_Delay(200)
（该文件真实调用现为 0）。
测试：console_log 152→**153** 条（只增不减）；换钉不删防——015 现在钉「PRIMASK
窗口 2 次、深度 1、内核临界区 0 次」，新钉 015c 绝不等待，160 注入点搬到
con_pm_hook，176 强化到未调度路径连 PRIMASK 窗口都不开；红线水位
con_pm_at_tx_max 与 con_uart_crit_at_tx_max 双 0；判据⑦（延后的行与当场直发逐
字节相同）170b/171/178 仍全绿。作者自报并纠正一处：换钉时曾把 TC-CONLOG-015b 改
编号，而 015b 在生产注释与文档里都被引用——已恢复「编号不退役、语义搬过去」。
覆盖率 App/log/console_log.c 199/200 → 256/257 行、21/21 函数（只增）。

—— 二、未标定闭锁判据收成单点访问器（ui-param-writer，task-16）——
「UA/UN/IA 三相 VALID 全置位才允许跑判据」这条门控原先在两处各自镜像实现
（protect_task.c 的 s_cal_locked 与 ui_data_feed.c 的 feed_cal_block），改一处另一处
静默失效且无门禁可照。现新增 adc_cal_prot_blocked() 落在 App/algo/adc_cal，DTU_BENCH
特例收进一处；两个消费者同批改调、本地副本删除。作者还查实并纠正了我先前一句
错判：全仓 App/app→App/task 的 include 实为 0 条，故访问器不能落在 protect_task。
新增 TC-ADCCAL-018 八条（含冷启动即闭锁），adc_cal 套件 99/99。

—— 三、共享卷锁五态可观测性（ui-param-writer，task-17）——
原状比登记簿写的更糟：五个可区分态（未调用 / try 超时 / 分片超时 / fail-open /
未持锁却 release）生产侧零留痕，且 vol_lock.c 的返回值注释与代码相反——
fail-open（锁没建成、互斥已失效却在读写盘）被返 1 **谎报成取到锁**，而那正是
vol_lock.h 记录的台架实证故障（并发写坏 FTL → 喂狗点饥饿 → IWDG 误复位）的前置。
锁层加四个 volatile 计数（16 B 静态，零新局部、零新 callee、零日志、零 FatFs）与
不取锁的 vol_lock_get_stats()；13 处 try 调用点一字未动。**刻意不在锁层记时刻**：
记时刻要读 tick，等于给 defaultTask 取锁链添帧——诊断不值那几个字节；消费方若
自盖时间戳，那只能是被观测到的时刻而非发生时刻，.h 里已写明不得写成首次/末次。
四套本地假件各加 s_last_wait_to（字段名逐字一致），把「喂狗点取锁一律 timeout=0」
与「ftpTask 分片一律 100 ms」从注释纪律升级成会 FAIL 的断言；红-绿反证：临时把
sys_log_mcu.c 的 0u 改 50u → TC-SYSLOG-010/012 双红，把 lftpd_io.c 的 100u 改 0u →
TC-LFTPIO-034 红，两处按原串改回并用 SHA-256 证明逐字节还原。TC-VOLLOCK-015~019
共 45/45（无新桩）。

—— 四、UI 死接口清理（ui-maint-writer，task-6 收尾）——
删掉 ui_data_maint_ready()：全仓零消费者、只有它自己的用例在读。**更值得记的是
它为什么能活过一整轮评审**：头注释写的是「页面用它决定这页能不能操作」，而页面
从来没用过它——注释陈述的是意图，评审读的是意图，门禁读的是可达路径，两者都不
反驳「意图未实现」。作者对「连用例一起删」做了显式抗命：TC-UIDATA-025 的 13 条里
只有 4 条读那个死口，另 9 条钉的是真防线（六口未注入安全返回 / 残表整表拒绝 /
被拒不覆盖已生效的好表），故删冗余的 025a、把 025i/025k/025m 换成用 reset_req()
的可观察返回值判定，性质不丢。ui_data 套件 244 → 243（净减 1），黄金 40 页与
池 5448 B 未变（该刀零像素影响，参考图无 diff）。

—— 门禁与未跑项（本笔如实留账）——
cubemx-survival 基线已 --write（漂移 6 项全部是上述意图内区域：断言/栈溢出钩子
实现、看门狗模块行等），基线文件同笔入库，随后 --check 通过。
本笔未跑的钩子只有两条：mem-numbers 与 mem-budget——磁盘 .map 出自 22:52 那次
构建、含尚未入库的 UI 与工具改动，与 HEAD 台账必然不同码；按仓库既有约定允许
--no-verify + 正文留证，回填在紧随的台账一笔统一做（含 ram_baseline --update 与
覆盖率基线两条 [NOTE]：ui_data.c 65→316、iec104_comm.c 36/36）。
两条已挂着的账：① id-check 不可判定引用 1,162 / 上限 1,166，**余量只剩 4**，
主要吃进者是我今天推进的 UI 那笔（68 条文本断言的注释引用），账在 Lead；
② 崩溃注入腿（故意复位）台架复验未跑，需先由代码道提交触发器，且判据只判原子性
不判 [ERR]=0——IPSR 路径的主张归主机侧套件，硬件照不出来。

产物身份（按 D 表要求钉死，避免数字与树脱钩）：本笔包含的固件树就是那张 D 表对应的
那一棵——MDK-ARM/.../STM32F407-Demo.htm 的 mtime = 2026-10-26 22:52:12（.htm/.map 按
约定不入库，故把时刻写进正文）。提交前在本树复跑 stack_report.py：exit 0，
iec104Task 1,464 / margin 1,096（42%）PASS、defaultTask 3,040 / 2,080（40%）PASS，
与 D 表逐项一致；本次运行不含任何未提交固件源码之外的新改动。

App/log/console_log.c

@@ -138,6 +138,41 @@ static TaskHandle_t      s_con_writer_task; /* 写者任务句柄（自等保护
  * ⚠ 这不是"锁"，是**所有权凭证**：拿不到就当场让路，绝不排队等待（见
  *   con_tx_try_claim 函数头：裸发一行 @115200 约 7.8 ms，把它包进临界区等于给
  *   启动窗口塞进 7.8 ms 的中断延迟与最坏喂狗抖动，比交错本身更糟）。 */
+/*
+ * 本模块"只有几条指令"的关中断窗口（道G task-26 收口时定，2026-10-26）
+ * ---------------------------------------------------------------------
+ * 刻意**不用** taskENTER_CRITICAL()/taskEXIT_CRITICAL()，改用 CMSIS 的 PRIMASK
+ * 保存 + 恢复。理由是一条只在**静态调用图**上看得见、真机上却很贵的坑：
+ *     taskEXIT_CRITICAL() => vPortExitCritical() => configASSERT()
+ *         => vApplicationAssertFailed()   （本仓断言钩子自 2026-09-29 起就调
+ *                                           dbg_console_write_raw 上报 file:line）
+ *         => 又回到本模块 => 又进临界区
+ * armlink 因此在本模块周围长出三条互递归环（con_tx_try_claim => vPortExitCritical、
+ * dbg_console_write_raw => con_tx_release、con_ring_try => vPortExitCritical），并把
+ * 这坨算进**每一条含临界区的任务链**：实测 vApplicationAssertFailed 的 Max Depth 从
+ * 约 40 B 变 128 B + In Cycle，defaultTask 3,040->3,120、netTask 1,920->2,000、
+ * iec104Task 1,464->1,544 —— 三条同涨 80 B 就是"加深在共享帧上"的铁证，iec104 的
+ * margin 因此掉到 1,016 < 1,024 ISR 底线。
+ * 换成 PRIMASK 之后：
+ *   ① 三个原语都是 core_cmFunc.h 里的静态内联 —— 零调用帧、零断言，那三条环不成立；
+ *   ② **屏蔽面变宽是有意的**：本 port（RVDS/ARM_CM4F）的临界区走 BASEPRI，只挡
+ *      优先级数值 >= configMAX_SYSCALL_INTERRUPT_PRIORITY 的中断，PRIMASK 连更高
+ *      优先级的也一起挡（NMI 与 HardFault 除外）。这是**语义变强**，不是变弱；窗口
+ *      只有几条指令（一次 test-and-set / 一次清属主 / 一次整行入环拷贝，与换之前
+ *      同宽度同时长），代价是几微秒级的额外屏蔽，读代码的人必须知道这一点。
+ *   ③ 不依赖调度器与 uxCriticalNesting，未注册期与中断里同样可用。
+ * ⚠ **为什么必须把 PRIMASK 存进局部变量、退出时原样写回，而不是直接 __enable_irq()**：
+ *   本模块的窗口可能嵌套在调用者已有的临界区里（断言/故障钩子、写者 drain 轮内的
+ *   留痕行都是）。无条件开中断 = **替别人把任务级临界区提前打开**，那是比交错严重
+ *   一个量级的竞态；保存/恢复则天然支持嵌套。保存量放局部而不是共享静态量，是因为
+ *   窗口可能被更高优先级上下文再次进入，共享量会被它改写、退出时就恢复错了。
+ * ⚠ 只允许包住"几条指令"的量级，**绝不允许**包住串口发送本身：一行 90 B @115200
+ *   约 7.8 ms，把它关进中断等于给启动窗口塞 7.8 ms 中断延迟与最坏喂狗抖动
+ *   （红线与机器判据见 con_tx_bounded 函数头与主机单测 TC-CONLOG-015b/177）。
+ */
+#define CON_CRIT_ENTER(pm_var)  do { (pm_var) = __get_PRIMASK(); __disable_irq(); } while (0)
+#define CON_CRIT_EXIT(pm_var)   do { __set_PRIMASK(pm_var); } while (0)
+
 static volatile TaskHandle_t s_con_tx_owner;
 static volatile uint8_t      s_con_tx_depth;   /* 同一任务重入深度（drain 轮内的裸发留痕行） */
 
@@ -277,6 +312,7 @@ static HAL_StatusTypeDef con_tx_bounded(const uint8_t *p_buf, uint16_t len) {
  */
 static uint8_t con_tx_try_claim(void) {
     TaskHandle_t me;
+    uint32_t pm;
     uint8_t got = 0U;
 
     if (__get_IPSR() != 0U) {
@@ -292,13 +328,13 @@ static uint8_t con_tx_try_claim(void) {
         }
         return (uint8_t)CON_TX_HELD;
     }
-    taskENTER_CRITICAL();
+    CON_CRIT_ENTER(pm);   /* 窗口选型与嵌套语义理由见 CON_CRIT_ENTER 定义处 */
     if (s_con_tx_owner == NULL) {
         s_con_tx_owner = me;
         s_con_tx_depth = 1U;
         got = 1U;
     }
-    taskEXIT_CRITICAL();
+    CON_CRIT_EXIT(pm);
 
     return (got != 0U) ? (uint8_t)CON_TX_HELD : (uint8_t)CON_TX_NO;
 }
@@ -314,6 +350,7 @@ static uint8_t con_tx_try_claim(void) {
  */
 static void con_tx_release(uint8_t held) {
     TaskHandle_t me;
+    uint32_t pm;
 
     if (held != (uint8_t)CON_TX_HELD) {
         return;
@@ -326,12 +363,12 @@ static void con_tx_release(uint8_t held) {
         s_con_tx_depth--;
         return;
     }
-    taskENTER_CRITICAL();
+    CON_CRIT_ENTER(pm);
     if (s_con_tx_owner == me) {
         s_con_tx_owner = NULL;
         s_con_tx_depth = 0U;
     }
-    taskEXIT_CRITICAL();
+    CON_CRIT_EXIT(pm);
 }
 
 /*
@@ -606,9 +643,14 @@ void dbg_console_drain(void) {
  */
 static uint8_t con_ring_try(const char *p_buf, uint16_t len)
 {
+    uint32_t pm;
     uint8_t fitted = 0U;
 
-    taskENTER_CRITICAL();
+    /* 窗口用 PRIMASK 而不是 taskENTER_CRITICAL()：后者会经 vPortExitCritical 里的
+     * configASSERT 接回断言钩子，再回到本模块，静态调用图上长出一条环，armlink 把它
+     * 整条记进**每一条含临界区的任务链**（实测三条链同涨 80 B）。理由全文见
+     * CON_CRIT_ENTER 定义处。屏蔽时长与换之前一致（就是这一次整行拷贝）。 */
+    CON_CRIT_ENTER(pm);
     if ((uint16_t)((DBG_CON_RING_SIZE - 1U) - con_used()) >= len) {
         uint16_t head = s_con_head;
         uint16_t first = (uint16_t)(DBG_CON_RING_SIZE - head);
@@ -627,7 +669,7 @@ static uint8_t con_ring_try(const char *p_buf, uint16_t len)
         s_con_head = (uint16_t)((uint16_t)(head + len) & (DBG_CON_RING_SIZE - 1U));
         fitted = 1U;
     }
-    taskEXIT_CRITICAL();
+    CON_CRIT_EXIT(pm);
 
     return fitted;
 }