fix(栈·存储·UI 收尾): 断掉临界区↔断言幻影环回到 1,464，标定门控单点化，卷锁五态可观测
这四笔在主树里已经互相纠缠（同一次 @build 编译、同一份 .htm 度量），拆成四笔就不
存在任何一个被真编过的中间态，所以合一笔入库；下面按模块分段陈述，作者与出证归属
逐段写明。
—— 一、崩溃证据路径的整行独占收尾（log-maint-writer，task-26）——
上午那笔 1d4b6a17 之后，stack_report 报 iec104Task 静态最坏链 1,544 / margin 1,016，
低于 1,024 的 ISR 底线。真因不是新增局部缓冲，而是本模块与内核临界区之间新长出
一条环：taskEXIT_CRITICAL ⇒ vPortExitCritical ⇒ configASSERT ⇒ vApplicationAssertFailed
⇒ dbg_console_write_raw ⇒ 回到本模块。armlink 把这一整坨计入**每一个含临界区的
任务链**（vApplicationAssertFailed 的 Max Depth 由约 40 B 涨到 128 B + In Cycle），
所以九条链同涨约 80 B——同涨本身就排除了任何单个调用方。
改法两处：① 本模块三处窗口（取凭证 / 还凭证 / 整行入环）改用 CON_CRIT_ENTER/EXIT
（PRIMASK 保存恢复到局部变量；注释写全为什么不能直接 __enable_irq()——嵌套时会
替别人打开任务级临界区——以及屏蔽面变宽是有意为之）；② 异常/终点钩子里那对
自证空转的 begin/end 摘掉（异常态 begin 放行但不持有、end 是幂等空操作，调它只有
成本没有收益），任务态 STALL 行保留 begin/end，这个区分写进两处注释与文档 §4.4.1。
实测四棵树逐个 .htm 解析（身份钉 tree + Linker run 时刻 + 产物来源）：A=77779d49
链 1,456；B=1d4b6a17 链 1,464 / margin 1,096 PASS；C=含未提交钩子接线的工作树
1,544 / 1,016 FAIL；D=本轮修复后（Linker run 22:52）回到 **1,464 / 1,096 PASS**，
九条链齐降 80 B。断环图证：vPortExitCritical 由 136 B + In Cycle 变 8 B 且不再
In Cycle，con_tx_release 子树 152→8；Error_Handler 回到 280 + In Cycle = A 树同值
（既有发送环无人拆动）。顺带删掉 Src/freertos.c 崩溃路径里最后一个 HAL_Delay(200)
（该文件真实调用现为 0）。
测试：console_log 152→**153** 条（只增不减）；换钉不删防——015 现在钉「PRIMASK
窗口 2 次、深度 1、内核临界区 0 次」，新钉 015c 绝不等待，160 注入点搬到
con_pm_hook，176 强化到未调度路径连 PRIMASK 窗口都不开；红线水位
con_pm_at_tx_max 与 con_uart_crit_at_tx_max 双 0；判据⑦（延后的行与当场直发逐
字节相同）170b/171/178 仍全绿。作者自报并纠正一处：换钉时曾把 TC-CONLOG-015b 改
编号，而 015b 在生产注释与文档里都被引用——已恢复「编号不退役、语义搬过去」。
覆盖率 App/log/console_log.c 199/200 → 256/257 行、21/21 函数（只增）。
—— 二、未标定闭锁判据收成单点访问器（ui-param-writer，task-16）——
「UA/UN/IA 三相 VALID 全置位才允许跑判据」这条门控原先在两处各自镜像实现
（protect_task.c 的 s_cal_locked 与 ui_data_feed.c 的 feed_cal_block），改一处另一处
静默失效且无门禁可照。现新增 adc_cal_prot_blocked() 落在 App/algo/adc_cal，DTU_BENCH
特例收进一处；两个消费者同批改调、本地副本删除。作者还查实并纠正了我先前一句
错判：全仓 App/app→App/task 的 include 实为 0 条，故访问器不能落在 protect_task。
新增 TC-ADCCAL-018 八条（含冷启动即闭锁），adc_cal 套件 99/99。
—— 三、共享卷锁五态可观测性（ui-param-writer，task-17）——
原状比登记簿写的更糟：五个可区分态（未调用 / try 超时 / 分片超时 / fail-open /
未持锁却 release）生产侧零留痕，且 vol_lock.c 的返回值注释与代码相反——
fail-open（锁没建成、互斥已失效却在读写盘）被返 1 **谎报成取到锁**，而那正是
vol_lock.h 记录的台架实证故障（并发写坏 FTL → 喂狗点饥饿 → IWDG 误复位）的前置。
锁层加四个 volatile 计数（16 B 静态，零新局部、零新 callee、零日志、零 FatFs）与
不取锁的 vol_lock_get_stats()；13 处 try 调用点一字未动。**刻意不在锁层记时刻**：
记时刻要读 tick，等于给 defaultTask 取锁链添帧——诊断不值那几个字节；消费方若
自盖时间戳，那只能是被观测到的时刻而非发生时刻，.h 里已写明不得写成首次/末次。
四套本地假件各加 s_last_wait_to（字段名逐字一致），把「喂狗点取锁一律 timeout=0」
与「ftpTask 分片一律 100 ms」从注释纪律升级成会 FAIL 的断言；红-绿反证：临时把
sys_log_mcu.c 的 0u 改 50u → TC-SYSLOG-010/012 双红，把 lftpd_io.c 的 100u 改 0u →
TC-LFTPIO-034 红，两处按原串改回并用 SHA-256 证明逐字节还原。TC-VOLLOCK-015~019
共 45/45（无新桩）。
—— 四、UI 死接口清理（ui-maint-writer，task-6 收尾）——
删掉 ui_data_maint_ready()：全仓零消费者、只有它自己的用例在读。**更值得记的是
它为什么能活过一整轮评审**：头注释写的是「页面用它决定这页能不能操作」，而页面
从来没用过它——注释陈述的是意图，评审读的是意图，门禁读的是可达路径，两者都不
反驳「意图未实现」。作者对「连用例一起删」做了显式抗命：TC-UIDATA-025 的 13 条里
只有 4 条读那个死口，另 9 条钉的是真防线（六口未注入安全返回 / 残表整表拒绝 /
被拒不覆盖已生效的好表），故删冗余的 025a、把 025i/025k/025m 换成用 reset_req()
的可观察返回值判定，性质不丢。ui_data 套件 244 → 243（净减 1），黄金 40 页与
池 5448 B 未变（该刀零像素影响，参考图无 diff）。
—— 门禁与未跑项（本笔如实留账）——
cubemx-survival 基线已 --write（漂移 6 项全部是上述意图内区域：断言/栈溢出钩子
实现、看门狗模块行等），基线文件同笔入库，随后 --check 通过。
本笔未跑的钩子只有两条：mem-numbers 与 mem-budget——磁盘 .map 出自 22:52 那次
构建、含尚未入库的 UI 与工具改动，与 HEAD 台账必然不同码；按仓库既有约定允许
--no-verify + 正文留证，回填在紧随的台账一笔统一做（含 ram_baseline --update 与
覆盖率基线两条 [NOTE]：ui_data.c 65→316、iec104_comm.c 36/36）。
两条已挂着的账：① id-check 不可判定引用 1,162 / 上限 1,166，**余量只剩 4**，
主要吃进者是我今天推进的 UI 那笔（68 条文本断言的注释引用），账在 Lead；
② 崩溃注入腿（故意复位）台架复验未跑，需先由代码道提交触发器，且判据只判原子性
不判 [ERR]=0——IPSR 路径的主张归主机侧套件，硬件照不出来。
产物身份（按 D 表要求钉死，避免数字与树脱钩）：本笔包含的固件树就是那张 D 表对应的
那一棵——MDK-ARM/.../STM32F407-Demo.htm 的 mtime = 2026-10-26 22:52:12（.htm/.map 按
约定不入库，故把时刻写进正文）。提交前在本树复跑 stack_report.py：exit 0，
iec104Task 1,464 / margin 1,096（42%）PASS、defaultTask 3,040 / 2,080（40%）PASS，
与 D 表逐项一致；本次运行不含任何未提交固件源码之外的新改动。
This commit is contained in:
+15
-30
@@ -16,8 +16,11 @@
|
||||
* [ERR]（未标定是出厂常态、不是故障；每次开机都走这条沿，
|
||||
* [ERR] 还会误触 @test 禁用标记）；台架旁路只走编译期宏
|
||||
* DTU_BENCH（「数据可信」§4.3：不进 cfg、不进 104，本仓任何
|
||||
* 提交目标都不定义它）。判定优先级 = 采样可信在前、标定可用
|
||||
* 在后（数据都旧了谈不上标定）。
|
||||
* 提交目标都不定义它），且该宏**只作用于判定本体**
|
||||
* adc_cal_prot_blocked()（App/algo/adc_cal.c，全仓唯一一处 #ifndef；
|
||||
* 道F task-16 之前本文件另有一份判定，两处可被分别开关 = 屏上
|
||||
* 「未标定」与判据停能量分叉，这就是收敛的原因）。判定优先级 =
|
||||
* 采样可信在前、标定可用在后（数据都旧了谈不上标定）。
|
||||
* 定值/元件初始化在 app_main_init（内核前，B5）；本任务只消费。
|
||||
* 线程约定：prot_elm_run / prot_set_selfcheck 仅本任务上下文（prot_elm.h）；
|
||||
* 跨上下文复归（104 YK11）经 prot_elm_request_reset 落请求。
|
||||
@@ -35,6 +38,12 @@
|
||||
* + SOE_T_CAL_BLOCK/RESUME（不用 [ERR]：未标定是
|
||||
* 常态非故障，且 @test 禁用 [ERR]）；DTU_BENCH
|
||||
* 编译期旁路（本仓目标不定义 = 产品恒强制闭锁）
|
||||
* v1.3 2026-10-26 DTU 项目组 道F task-16：本文件的三路判定 s_cal_locked()
|
||||
* 删除，改调 App/algo/adc_cal.c 的 adc_cal_prot_blocked()
|
||||
（同一事实的单一真源；DTU_BENCH 旁路随之收成一处）。
|
||||
行为不变：判定式、调用位置（采样恢复分支内、巡检/压板
|
||||
之前）、边沿日志与 SOE 分型全部照旧；s_prev_cal_lock
|
||||
仍只作边沿日志用，**不是**判据缓存
|
||||
*/
|
||||
#include "protect_task.h"
|
||||
|
||||
@@ -46,7 +55,7 @@
|
||||
|
||||
#include "adc_input.h" /* adc_input_stm32_seq()：DMA 完成计数（中断侧写） */
|
||||
#include "adc_health.h"
|
||||
#include "adc_cal.h" /* 卡 5：adc_cal_flags() VALID = 未标定闭锁源 */
|
||||
#include "adc_cal.h" /* 卡 5：adc_cal_prot_blocked() = 未标定闭锁判定单点（道F task-16） */
|
||||
#include "console_log.h" /* dbg_console_writer_ready()：启动锚点行门控（B6） */
|
||||
#include "prot_elm.h"
|
||||
#include "prot_set.h"
|
||||
@@ -80,32 +89,6 @@ static uint8_t s_prev_hf_lock; /* 上拍采样闭锁态（边沿日志用）
|
||||
static uint8_t s_prev_plate_out; /* 上拍全局软压板退出态（边沿日志用，B7） */
|
||||
static uint8_t s_prev_cal_lock; /* 上拍未标定闭锁态（边沿日志用，卡 5） */
|
||||
|
||||
/*
|
||||
* 函数功能：未标定闭锁判定（「数据可信」卡 5 / §4.3）
|
||||
* 入口参数：无
|
||||
* 返 回 值：1 - 闭锁（判据停走）；0 - 放行 uint8_t
|
||||
* 限定条件：仅本任务上下文（adc_cal_flags 纯读，任意上下文可读）
|
||||
* 函数说明：判据 = UA/UN/IA 三路 VALID **全**置位——恰好是 V0.1 唯一有效的
|
||||
* 三个测量通道（双转换器无共同采样触发）；UB/UC/IB/IC/IN 即使将来标定也另受 CLIPPED
|
||||
* 品质约束（M5 快照层处理），不掺和进本闭锁源。VALID 随 cfg
|
||||
* load/poll 与卡 12 标定自动翻转，本函数无自有状态（每拍现查，
|
||||
* 无陈旧标志位）。台架调试旁路 = 编译期 -DDTU_BENCH（§4.3 决策 1
|
||||
* 的例外通道，仅本地台架构建自行定义；产品恒强制）。
|
||||
*/
|
||||
/* 形态说明：用 #ifndef DTU_BENCH 把"产品默认路径"留在主分支（而非 #ifdef
|
||||
* 双分支）——cppcheck 对未定义宏取真分支，双分支写法会把它引到旁路分支上
|
||||
* 报 knownConditionTrueFalse 假信号（实测 2026-10-25）。 */
|
||||
static uint8_t s_cal_locked(void) {
|
||||
#ifndef DTU_BENCH
|
||||
if (((adc_cal_flags(ADC_SEM_UA) & ADC_CAL_F_VALID) == 0u) ||
|
||||
((adc_cal_flags(ADC_SEM_UN) & ADC_CAL_F_VALID) == 0u) ||
|
||||
((adc_cal_flags(ADC_SEM_IA) & ADC_CAL_F_VALID) == 0u)) {
|
||||
return 1u;
|
||||
}
|
||||
#endif
|
||||
return 0u;
|
||||
}
|
||||
|
||||
/*
|
||||
* 函数功能：动作位图变化沿日志 + SOE 投递（逐变化元件）
|
||||
* 入口参数：active - 本拍 prot_elm_active_mask()
|
||||
@@ -256,7 +239,9 @@ void protect_task(void *argument) {
|
||||
/* 卡 5：未标定闭锁——夹在「采样可信」与「巡检/压板」之间：
|
||||
* eng=0 域（引脚电压）拿去比二次值定值必然错判（UV 尤甚），
|
||||
* 标定 VALID 未全置位前整条判据链停走（「数据可信」§4.3 决策 1） */
|
||||
if (s_cal_locked() != 0u) {
|
||||
/* 判定本体在 adc_cal_prot_blocked()（标定层单点，道F task-16）：本任务
|
||||
* 只是消费者，不再自带一份三路判定 */
|
||||
if (adc_cal_prot_blocked() != 0u) {
|
||||
if (s_prev_cal_lock == 0u) {
|
||||
DBG_INFO("uncalibrated -> protection blocked (UA/UN/IA VALID not all set)");
|
||||
(void)soe_store_post((uint8_t)SOE_T_CAL_BLOCK,
|
||||
|
||||
Reference in New Issue
Block a user