147 Commits

Author	SHA1	Message	Date
wandering1	0cbae7dab2	chore(ledger): pts 合入后回填台账/凭证/覆盖率 ... task/pts-snap 合入（merge 8c47005）：卡9 104 读快照 + COV 2 点确认 + 死区运行化 + 卡11 频率点绑源。@build 0/0：Code=218,128 / RO=21,624 / RW=1,272 / ZI=132,864；RW_IRAM1 76,688 B（58.5%）、CCM 57,376 B 不变； lane-d 侧 --no-verify 欠账清（Flash +348B/RAM +48B 与其申报一致）。 iec104.c 覆盖率行增量入基线（38/38 套件）。凭证重盖。	2026-10-25 12:09:23 +08:00
wandering1	8c47005fe9	merge: task/pts-snap 合入 v2-on-ui ... 任务 pts（1 个提交）经 task-worktree 回收： - feat(104遥测): 卡9改读L2快照+死区运行化2点确认 + 卡11绑频0x401D（道D M5/M6）	2026-10-25 12:04:58 +08:00
wandering1	acc547efaf	feat(104遥测): 卡9改读L2快照+死区运行化2点确认 + 卡11绑频0x401D（道D M5/M6） ... 卡 9（App/protocol/iec104/iec104_pts.*，「数据可信」，docs/子系统设计/ IEC104上行设计说明.md §3.1/§4 同步）： - 数据源换轨：板端默认 YC 源从直读 phasor 改为**整体透传 L2 遥测快照** （meas_get 双区无锁；"新不新、能不能信"只在发布侧判一次，M5-② 落地）； iec104_pts_src_t 表尾追加 yc_read_ex（带品质）——旧注入源走 legacy 退路， 品质由返回值推导，行为与卡 9 前**完全一致**（存量假源用例零改动） - 品质映射 s_q_map：MEAS_QDS_* 低字节=线上 QDS 同值直传；CLIPPED→IV （「削顶通道 104 恒 IV」口径不变、从点表绑死 -1 改品质驱动——UB/UC/IB/ IC/IN 五路现绑快照槽，V0.2/N-18 削顶消失后**零改动自动启用**）；IV 优先 NT；快照从未发布（开机 <200ms）→ IV|NT；无效信息体清零（旧线上口径保持） - 死区运行化：运行时副本 s_yc_db（ROM 默认 = 点表列，卡 6 额定 0.5% 档不变） + iec104_pts_yc_set_deadband()/iec104_pts_yc_deadband()——卡 10 运行参数段 （8020H）的接线点已留；非法 idx/负值/NaN 拒绝、成功时清该点待确认计数 - COV 遥测腿升级（lead 裁②"卡 9 是消费者"）：判定 = 相对**上次上送值**（非 上次读值，防慢漂移吃基准）连续 2 个新测量点越死区才确认上送；回摆入带即 撤销候选；品质翻转当拍直报（含 0x401D 的 IV 进出）。测量点推进：板端按 快照 seq 去重（100ms poll vs 200ms 快照——不去重则同一帧把单点噪声计满 2 点，抗噪语义失效）；注入源=每次调用一测点（单测步进自持） 卡 11：YC 表加 src 类型（PTS_SRC_MEAS/FREQ）；0x401D 绑快照 freq_hz（与 freq_get 同源）；snap.freq_valid==0 → IV 清零（卡 11 DoD 原句） 测试与文档：test/host/iec104 97→127 断言——TC-008 语义更新为 2 点确认； 新 TC-IEC104-025~028（024 号被存量 B7 用例裸标签占用，让号并改用全家长 形态）板端默认源走**真实 L2 链**（ring→phasor→freq→meas，非桩）：未发布 NT/值透传/CLIPPED→IV 清零/绑频收敛 ±0.02Hz/未新鲜 IV/死区运行档压旧档/ 回摆撤销/seq 去重同帧不计数/换帧只变品质按集合直报；id_registry 族游标 023→028；IEC104 上行设计说明 §3.1 表+注/§4/§7/§8 第 4 条/变更记录同步。 无新 .c（uvprojx 零改动）；PC 主站读回一致与频率 ±0.01Hz 属网络对端验证 ——步骤清单已发 lead 排窗，本轮零台架动作。 gate：@build 0 错 0 警（Code=218128 RO=21624 RW=1272 ZI=132864）；增量 vs adeef7d：Flash +348B、RAM(RW+ZI) +48B（低于 96B 预估，链接器并洞）， IRAM1 58.5% 不变；iec104Task 栈 worst=1456B margin=1104B(43%) PASS 无抬栈 （stack_report）；--all-files 全量实跑：其余钩子全绿（含修掉一处 cppcheck variableScope 后），仅 mem-budget + mem-numbers 两红 = 台账受管区 vs .map 漂移（回填属 lead 单写者区，批 1/道D-1 同口径）： gate: only mem-budget/mem-numbers pending lead ledger backfill BOM/CR/U+FFFD/字面量 ASCII 逐文件自查通过（未触碰带 BOM 文件）。	2026-10-25 12:03:29 +08:00
wandering1	efc3ed1c61	feat(台架): V5 复跑判读脚本 v5_log_gap_report——静默段自动判类 + stall/MISS 双零计数 ... 道F 批 2 支援 task-19（纯主机侧工具，零固件接触；合窗台架由 lead 执行， 本工具承担判读面）。 ① scripts/v5_log_gap_report.py：输入 serial-assistant 落盘日志，自动列 >=10s 静默段并逐段判类 NO-SOURCE / PROBE-WINDOW / BOOT-WINDOW / TRUE-STALL-SUSPECT——贴边证据 = 控制台两本账（CONSOLE dropped/tx fault） + syslog 三类 drop 的留痕行；口径唯一来源 = docs/子系统设计/ 控制台单写者日志设计说明.md 文末附录（2026-10-25 合并评估）。 task stall 计数 + MISS start 开机良性豁免内建（实机指南 §9 第 8 条）。 双钟源：采集相对钟 [+NNNms] 优先，缺行首钟退化设备绝对钟；RTC 前跳按 会话边界处理不产假静默、回拨钳制；会话切分 = 相对钟回退或 reset cause 锚点。--json 机读 / --report-only 只出报告 / --selftest 免台架自检。 退出码 0=双零达标 / 1=违规 / 2=日志不可用 / 3=用法（沿用 scripts 惯例）。 ② 用法十行落 docs/测试说明/实机测试实施指南.md §7.2（判据互链）。 【验证】py_compile 绿；--selftest 15/15 断言（双钟源、四类判定、良性豁免、 时钟边界、FAIL 判分路径全覆盖，断言即口径防漂移）；真实样例三份： B6 PROTECT_MISS = 2 条良性 MISS + 0 静默 + PASS；B9 prod = PASS； probe_stale_gate = 124 时点/2 会话/PASS；合成负样例（stall 行 + 34s/28s 静默段）RC=1 且 28s 段判 PROBE-WINDOW——与 V5 时代 ~28s 静默签名吻合。 【门禁自查】doc-links 首跑拦下一处自引用错号（开机良性豁免条实在 §9 第 8 条 而非 §4.3——§4.3 属看门狗设计说明），指南与脚本头两处一并改齐后绿。 【越界】无——写域 = 看板声明两件（脚本 + 指南 §7.2 互链行）。 【门禁】脚本类无 -unit-test 钩子义务（判定面由 --selftest 承担）。	2026-10-25 11:38:23 +08:00
wandering1	adeef7d21b	chore(ledger): meas 与 n17 两笔合入后回填台账/凭证/覆盖率并同步计数 ... task/meas-snap 合入（merge 9c2653c，meas 快照层，分支树冲突由 lead 并集 手工解：id_registry 三族 UIDATA/VOLSYNC/MEAS 共存，JSON 校验过；该合并 提交按 mem 域例外 --no-verify，理由=合并树 .map 滞后，回填本笔兑现）。 task/n17-probe 合入（merge 969fc5c，drop 路径异步化 Flash +16 B/RAM 0）。 合并后 @build 0/0：Code=217,828 / RO=21,600 / RW=1,264 / ZI=132,840； RW_IRAM1 76,664 B（58.5%）、CCM 87.9% 不变。覆盖率 38/38 套件基线登记 （meas.c 入账）；凭证按最终 .map 重盖。计数：钩子 44→45、单测钩子 20→21、总闸 37→38 套（AGENTS + 门禁 README）。	2026-10-25 10:37:05 +08:00
wandering1	62987b4596	Merge branch 'v2-on-ui' into task/meas-snap ... # Conflicts: # scripts/id_registry.json	2026-10-25 10:29:18 +08:00
wandering1	b746a1ff00	chore(ledger): ui-data 合入后回填台账/凭证/覆盖率并同步门禁计数 ... task/ui-data-feed 合入（merge 98664a1）：ui_data 三通道快照 + ui_data_feed 装配 + ui_w_soe 显示名 + 字库 +4 字（采/样/恢/效， 179→183）。合并后 @build 0/0：Code=217,204 / RO=21,504 / RW=1,256 / ZI=132,680；RW_IRAM1 76,512 B（58.4%）、CCM 87.9%。 lane-e 分支侧 --no-verify 欠账清；覆盖率基线登记 ui_data.c （37/37 套件、tested 41）；凭证重盖（L0c 恢复序列）。 AGENTS/门禁 README 计数 42→44 钩、18→20 单测钩子（n22+ui-data 两笔带进来）。	2026-10-25 10:07:15 +08:00
wandering1	48bc50e794	feat(遥测快照): 卡8 meas 双区快照模块 + adc_task 200ms 唯一发布点（道D M5） ... 卡 8（App/algo/meas.*，新增；布局权威 docs/任务规划/数据可信.md §4.5）： - meas_snap_t = §4.5 布局（sizeof 72 B；字段偏移由 TC-MEAS-002 钉死——卡 9/ UI 按整体拷贝消费，破布局=破协议；谐波 k-bin 扩展（docs/算法/继电保护功能 复现规划.md L2-8）只许尾部追加，留口注释已写进 meas.h） - 并发 = phasor 双区 + 单字节索引翻转（L2-7 同型，无锁）；seq 只增供判"换帧"； meas_get 失败路径清零填充（-2 未就绪时调用方可安全读） - 值口径 = A-lite 裁决（lead 2026-10-25 快裁，推翻票面全链）：基波有效值瞬时 透传，复用 phasor_calc 纯核 → 与 phasor 使用区同拍同值（TC-MEAS-005 逐位 相等钉死）；不做 4 点平均/方和根（§4.5"200 ms 是上送节拍不是平均窗"） - 品质注入：CLIPPED 位图唯一源 = adc_cal_flags()（「数据可信」§4.2 三态表， 编排方注入、本层不链 adc_cal）；取窗不足路 = IV|NT 且整帧 valid=0 但照常 发布（品质节拍性刷新）；TEMP = 最新一点透传 + NT（「数据可信」决策 5）； MEAS_QDS_* 低字节 = 104 QDS 线上值（本层不 include 协议层头——分层方向， 卡 9 直接截低字节映射）；OV 留位不填（判据待运行参数化，卡 10 域） - adc_task.c 编排：新帧拍 freq_run() 后按 **tick 经过**分频（非拍计数，idle/ skip 拍会拉长名义节拍）调 meas_tick()——全仓调用点数 = 1（「数据可信」§8 风险表"快照双写"行评审判据）；meas_init 挂 adc_task_init（不动 app_main.c）； 心跳新增 meas: 行（seq/v/ua·un·ia_mv/f/fv）作 M5 台架观测面 - 死区 2 点确认状态机本卡不建（卡 9 迁移 104 语义时随建，lead 裁③）；104 层 现有 deadband 常量未动；频率点绑定归卡 11 - 实测采样类判据（读数 vs 注入源）= 待台架实测，本卡零台架动作 测试与注册：新套件 test/host/meas（226/226，链真源 meas+phasor+sample_ring 免桩；覆盖 seq/双区无撕裂/布局/品质汇总/回绕/守卫）；id_registry 建族 TC-HOST-MEAS（游标 011）；meas-unit-test 钩子 + SIM_EXEMPT 一条 + uvprojx 仅增 meas.c 单条挂载（diff 已核零 UV4 抖动）；App/algo/README.md §1/§2/ §3.9/§4 同步（设计说明大节与 AGENTS 口径留 lead 收口，同批 1 先例） gate：@build 0 错 0 警（Code=216352 RO=21476 RW=1232 ZI=132128）；RAM 增量 RW+ZI = +152 B（快照双区恰 +144 B = 卡面 DoD；余 s_meas_ms 等编排状态）， IRAM1 57.8%→约 57.9%；Flash（Code+RO+RW）+696 B；adcTask 静态最坏链 1408 B / margin 1152 B（45%）PASS（stack_report 实测，无抬栈）；BOM/CR/U+FFFD/ 字面量 ASCII 逐文件自查通过（未触碰带 BOM 文件）。pre-commit run --all-files 实跑：其余钩子全绿（含 doc-links/id-check/ 覆盖率总闸/双端注册/ui-golden/全部主机单测套），仅 mem-budget + mem-numbers 两条红 = 台账受管区 vs .map 漂移（Flash/RAM 台账回填属 lead 单写者区，批 1 同口径）： gate: only mem-budget/mem-numbers pending lead ledger backfill	2026-10-25 10:02:10 +08:00
wandering1	98664a11ed	merge: task/ui-data-feed 合入 v2-on-ui ... 任务 ui-data（2 个提交）经 task-worktree 回收： - feat(ui-data): ui_data 三通道快照 + ui_data_feed 装配 + SOE 显示名映射 - feat(ui-font): 字库补 SOE 显示名用字 采/样/恢/效（179→183 字 / 274→278 字形）	2026-10-25 09:59:35 +08:00
wandering1	201d713226	feat(ui-data): ui_data 三通道快照 + ui_data_feed 装配 + SOE 显示名映射 ... 按 docs/UI设计/UI_数据供给设计说明.md 的 D 方案把 App→UI 数据通道落地： App 组帧、BSP 存帧、页面只读；UI 侧零 App include，薄包装只在两端适配层。 本笔是纯增层、不接任何页面 → 零像素变化（菜单 8 状态 + 内容页 11 页黄金 参考逐字节不变，simulator/tests/ref 无 diff，未刷基线）。 新增 - Drivers/BSP/UI/ui_data.{c,h}：实时量 rt / 参数 par / 装置信息 info 三通道存储 + 发布序号盖章 + 只读访问。零 App include、零 LVGL include（分层叶子）； 读写同在 uiTask 上下文串行 → 无锁、无双缓冲、无 seqlock（契约 §5.1）。 - App/app/ui_data_feed.{c,h}：快照唯一填充者。rt/info 每 200 ms 一帧，par 只在 prot_set_checksum() 变化时重发；首轮立即发布，免启动初期闪一下 "--"。 - Drivers/BSP/UI/ui_w_soe.{c,h}：SOE 二进制记录的显示名映射与注入式 reader 契约。未标定闭锁=7 / 标定复归=8 已进表——编号按 App/log/soe_rec.h 与 App/algo/prot_elm.h 现场数过（类型 1..8 + 哨兵 9、元件 0..8、ELM_NONE=0xFF、 FLG_IV=0x80），不采信文档与消息转述。reader 备好但两端未绑定：落盘侧还 没有只读 API（Lead 已裁该 API 归下一工作项），未注入按"无记录"空态渲染。 量纲诚实性（契约 §4.1 同步改成真值口径，不再抄旧码值表述） - eng 不写"0 = 原始码值"：标定层 ROM 系数是引脚侧 LSB，采样环折算出来的就是 ADC 引脚电压（承诺边界 docs/任务规划/数据可信.md §2.6）；电气 8 路 adc_cal_flags() 的 VALID 全置位才升 eng=1 二次值——整帧共用一个 eng，只要 还有一路是引脚电压就不能贴"二次值"标签，宁可整体保守。 - TEMP 不参与线性标定 → 恒带新增品质位 UI_DATA_Q_RAW=0x20，页面不挂单位。 - UB/UC/IB/IC/IN 无基波相量实例（V0.1 削顶）→ Q_IV|Q_OV；未满一周波 → Q_NT。 - 谐波另开 ph[] 相量实例槽带：yc 的语义通道下标容不下同通道的二次/五次谐波。 接线与双端注册 - App/task/ui_task.c：ui_menu_init 之前 ui_data_init + 首帧发布；主循环每轮 ui_data_feed_tick() 排在 ui_port_step 之前（本轮渲染用本轮刚发布的帧）。 - simulator/main.c：发布固定合成帧（无头与窗口两个初始化点，先于建页）； 定值不手抄 40 个数，改为链入 App/algo/prot_set.c 取出厂默认（抄表等于造 第二真相）；build_date 用固定串而非 __DATE__，否则跨天重建会把装置信息页 黄金参考刷掉，而黄金参考是判据本身。 - 注册：uvprojx 加 3 条（App 组 ui_data_feed.c + UI 组 ui_data.c/ui_w_soe.c）与 simulator/CMakeLists.txt；ui_data_feed.c 不进模拟器 → check_registration.py 的 SIM_EXEMPT 加一行（App/app/app_main.c 先例，已报备）。 主机单测与钩子 - test/host/ui_data：82 断言全绿。钉三类事：快照语义（首帧前读 -1、序号由本层 盖章、三通道互不串台、NULL 防御、init 幂等复位）；跨层不透明下标现场一致 （yc 序 = adc_semantic_t、q10 序 = prot_set_id_t，同一 TU 里 include 两侧头）； SOE 编号与名字表现场一致（八类事件都有名、采样/标定四个词互不相同、 名长不超列宽、越界回占位）。 - .pre-commit-config.yaml 加 ui-data-unit-test 钩子（第 43 个，Lead 已批自加）。 - scripts/id_registry.json 建族 TC-HOST-UIDATA（属主登记处 = 单测目录，同 TC-HOST-ADCCAL 先例；不建族则新号被编号门禁判"未登记前缀"）。 体积（相对 HEAD 台账 Code 215744 / RO 21396 / RW 1224 / ZI 131984） - Code +1272 B、RO +108 B（字库 4 字，见上一笔）、RW +24 B、ZI +696 B → ER_IROM1 238520 B（22.7%）、RW_IRAM1 76504 B（58.4%，台账 57.8%）。 - .map 逐项：ui_data.o 488 B（Code 184/RW 12/ZI 476）、ui_data_feed.o 221 B （1034/12/209）；LVGL 池 0 增量；ui_w_soe 未接线不进镜像（.map 无其符号）。 - 台架未跑（本笔零像素、零接线）：首帧时刻、200 ms 刷新、eng 升档与遥信 位图真值全部留"待台架实测"，接线完成后请 Lead 排窗。 遗留与风险（随回报进台账） - 写路径（契约 §6 的 param_request/state）不落：无消费者就是永不执行的死码， 随整定 4 页一起落；届时须先定"UI 整定 vs iec104Task 写 prot_set"的并发口径 （prot_set_set_sealed 的影子区非重入）。 - 公共地址 CA 未下发：固件里 CA 逐帧从 ASDU 头解析，无集中常量可取。 - 遥信位图与 App/protocol/iec104/iec104_pts.c 板端源是两处镜像（该文件位号 写在函数体内未导出，UI 不得 include 协议头），开入采集落地时应并成单源。 - 版本类字段是本文件内的宏（仓库无产品级版本登记表，值沿用页面既有显示 值）；软件校验位在拿到构建期 CRC 步骤前一律显示 "--"，不抄参考遗留值。 gate: 全量钩子（--all-files）40 项通过；cppcheck/test-cppcheck/coding-standard/ layer-deps（基线仍 3 条）/registration/bsp-err（存量 38 条不变）/font-charset/ id-check（增量无新账）/doc-links/ui-golden/主机单测与覆盖率全绿；唯一红项是 mem-numbers 与 mem-budget——两者只因 Flash/RAM 台账未回填（禁区，归 Lead）。 gate: only mem-budget/mem-numbers pending lead ledger backfill 自查：BOM（Drivers/BSP/UI/* 与 App/task/ui_task.c 保持 EF BB BF，新建 UI 两件 同规范；App/app 与 test/host 无 BOM 与本目录一致）；CR = 0 全 LF；U+FFFD = 0； 字符串字面量纯 ASCII（中文只进注释）。	2026-10-25 09:56:22 +08:00
wandering1	042e85820c	chore(ledger): n22 合入后回填台账/凭证/覆盖率基线 ... task/n22-flush 合入（merge 6f99dea）：vol_idle_sync 空闲 flush 兜底。 Code 215,744→215,932（+188 B）、RW 1,224→1,232（+8 B）、ZI 不变； RW_IRAM1 75,792 B（57.8%）、CCM 57,376 B（87.9%）不变——lane-f 分支侧 --no-verify 欠账清。覆盖率基线登记 vol_idle_sync.c（36/36 套件）。 凭证重盖（L0c 恢复序列）。	2026-10-25 09:29:55 +08:00
wandering1	484d068250	feat(存储): 写回缓存空闲 flush 兜底——卷空闲周期 CTRL_SYNC（登记簿 N-22 收口） ... 道F 批 2 / task-16。FTL 单页写回缓存（nand_ftl.c s_cache_dirty）与 dhara journal 只在换页/整页写/f_close 时刷出，漏网脏页的掉电驻留窗无上限。本 提交以最小面收口：不碰 GD5F/dhara 驱动，全部走既有 FatFs CTRL_SYNC 路径。 实现 App/fs/vol_idle_sync.[ch]（新增，仅 MCU 端，uvprojx App 组注册）： - 四级门：STORAGE_READY 就绪门 → 5 s 节流（无符号差回绕安全判据）→ vol_lock_wait(0) try（锁被持有=文件序列在做，跳过，不改 STOR 持有期 语义）→ disk_ioctl(0, CTRL_SYNC)； - clean 态脏标志+journal 双短路、零 NAND 触点；脏态最坏 = 一次 f_close 的同步段同型成本，不引入新磨损来源； - 失败按边沿 latch 一条 DBG_ERROR、成功重新武装；失败路径也成对放锁； - TEST_SUITE_STORAGE 构建整体 no-op（卷由 testTask 独占）。 接线：defaultTask 主循环 syslog_drain 之后（default_task.c v1.3）。 文档：docs/架构设计/STM32F4-Base存储架构说明.md §5.5 补空闲兜底与边界； 本板无掉电检测硬件、不做掉电前强制 flush、勿当掉电保护——口径同步落 注释与文档（sys_log_mcu.c 两处旧「暂不做」注释随实现改口）。 测试：新主机单测 test/host/vol_idle_sync/（TC-VOLSYNC-001..012，19 断言 全过）；scripts/id_registry.json 建 TC-HOST-VOLSYNC 族（仿 ADCCAL 先例）； .pre-commit-config.yaml 加 vol-idle-sync-unit-test hook（只加自己条目）。 越界申报（①②③ 均 lead 批准，④ 为门禁连带必要）： ① App/task/default_task.c 单点接线（include + 1 调用 + 头修改记录）； ② docs/架构设计/STM32F4-Base存储架构说明.md §5.5； ③ .pre-commit-config.yaml 单 hook + scripts/id_registry.json 单族； ④ scripts/check_registration.py SIM_EXEMPT 加一行（vol_idle_sync.c 模拟器 侧豁免，registration-check GAP 所需；与批准③同类别但未列名，特此申报）。 体积增量（vs scripts/ram_baseline.tsv 2026-10-25 行）： Flash(Code+RO) 237140→237328（+188 B）、RW 1224→1232（+8 B）、ZI 0； 增量 = 3 个文件级 static + 一处 DBG_ERROR 调用点；栈/堆无变化。 gate: only mem-budget/mem-numbers pending lead ledger backfill 全量 pre-commit --all-files：40 项 Passed，仅 mem-numbers（D-7 体积档）与 mem-budget 两条红 = 台账数字待回填（增量如上，属 lead 单写者禁区）； 其余含 doc-links/id-check/registration/test-coverage/全部主机单测皆绿。 @build 0 错误 0 警告（Code=215932 RO=21396 RW=1232 ZI=131984）。 台架：空闲 sync 实机节奏（clean 零触点、脏态时长、无心跳扰动）属实际 测量采样类——本批跳过，留「待台架实测」。	2026-10-25 09:23:20 +08:00
wandering1	bd7f15fc3e	chore(size): P1-10 合入后重盖体积凭证（v2 索引指纹） ... task/P1-10-test-fw 合入（merge 73f9e10，含 A5 指纹跨树稳定修复 / WD 掩码死分支复活 / %TEMP 分家 / 四 Fault 显式判据 / P1-10 四档实测）。 产品态体积与 383b450 逐项相同：Code=215,744 / RO=21,396 / RW=1,224 / ZI=131,984（零增量——掩码修复在产品构建走原分支）。 台架 f3 轮 VERDICT PASS（boot log 20261025_055725，bench PASS 已入台账）。	2026-10-25 06:08:25 +08:00
wandering1	54dd019950	chore(size): sync 追平后重盖体积同码凭证（v2 索引指纹，1396 文件） ... sync 合并（a281231）之后按 lead 的六步做重盖。合并带进来的主干凭证是 v1 格式 （383b450 用主干那版脚本盖的，schema=1），而本分支的 check_size_gate.py 已是 schema=2（7c4628b：身份取 git 索引 blob，跨 checkout / 跨工作树稳定）→ 不重盖则 L0c 与 CI 的体积门禁都会按设计报"schema 不符"。 盖戳前置（脚本自己会验，这里是实跑结果）： - 产品态 @build 0 错误 0 警告：Code=215744 RO=21396 RW=1224 ZI=131984，与 lead 信号 里的主干数字逐项相同；.map 晚于指纹范围内全部源码 mtime； - 受管区：RW_IRAM1 75,784 B / 57.82%、RW_CCM 57,376 B / 87.89%，都在线内（阈值 92%）； - 指纹范围内无未 staged 改动/未跟踪文件（第四道前置）→ 允许盖章。 凭证：索引指纹 abfd54b71de9…，1396 个文件（比追平前多 8 个：新增 adc_cal / prot_dim 等受管源码），测量时刻 2026-10-25T05:51:46+08:00，git_head=a281231 侧。 复核：--local rc=0、--ci rc=0（CI 侧按凭证数字复核红线，无需 Keil）。 为什么用 --stamp 而不是 --update：--update 会顺手往 scripts/ram_baseline.tsv 追加一行 当日趋势数据，而台账行归 lead 在 done 时统一回填（今天 383b450 刚回填过一笔， 再追加就是同日重复行）。这里只需要凭证，所以单独盖戳，tsv 一个字节没动。 RAM 增量：0 B（凭证是 JSON，不进固件；本次产品构建数字与主干逐项相同）。 gate：见本笔提交输出；未用 --no-verify。	2026-10-25 05:53:05 +08:00
wandering1	a28123115d	merge: v2-on-ui 追平至 task/P1-10-test-fw（含 A-3 卡5~7 与 B-3 记录 reader） ... 按 lead 信号 sync 追平：主干 59da40b（cal-lockout-dim）+ 891ca81（UI-rec-reader）+ 383b450（台账与凭证回填）合入本任务分支，为下一轮台架做准备（台架镜像必须建立在 追平后的代码上，否则烧进去的 hex 与主干不同码，体积门禁的凭证也对不上）。 唯一冲突：scripts/size_attestation.json —— **取主干侧**（383b450 刚按合并后的固件重盖 过，数字更新；本分支侧是 7c4628b 的 v2 格式戳，覆盖的是追平前的树）。取完即 `git add` 解决，没有手工拼接。**已知副作用**：主干那份是 v1 格式（schema=1），而本 分支的 check_size_gate.py 已升到 schema=2 → 在下一步 `ram_baseline.py --update` 重盖 之前，ci_local 的 L0c 会按设计报"凭证 schema 不符"。这不是回归，是合并两侧脚本版本 差一步，下面第 4 步就把它治好（也正是要请 lead 合这笔的原因：合完主干两边同版）。 合并后产品构建（实跑，非推演）：@build 0 错误 0 警告， Code=215744 RO=21396 RW=1224 ZI=131984 —— 与 lead 在信号里给的主干数字**逐项相同**； RW_IRAM1=75,784 B / 57.82%（追平前 75,632 B / 57.70%，+152 B 与"两笔合计 +152B"吻合）、 RW_CCM=57,376 B / 87.89% 未动、ER_IROM1 22.62%。说明本树固件内容已与主干同码。 本分支带来的（前四笔已在分支上，这里只登记合并面）： - 7c4628b 体积凭证指纹改索引 blob；16917bf CH395F 三档实测 + 阶段开关注释陷阱； - adabb6a 主机单测/覆盖率产物按工作树分家 + runs 独占（task-10）； - a9ba8ec 看门狗 HW 层掩码死分支复活（App/util，lead 背书写域）+ 存活基线 --write； - 5f1057a 套件 forbidden 换显式四 Fault 标签（GD5F 旧豁免的漏口一并堵上）。 与主干侧的文件交集只有 size_attestation.json 一处，已按上解决；.pre-commit-config.yaml 本轮是主干侧改的（道A 加了钩子相关条目），本分支没碰它，无并集冲突。 gate：本笔合并提交走完整 pre-commit（含 16 根单测钩子与 test-coverage 全量覆盖率 基线比对）；未用 --no-verify。	2026-10-25 05:41:49 +08:00
wandering1	383b4500d0	chore(ledger): UI-rec 与 cal-lockout 两笔合入后回填台账与凭证 ... task/UI-rec-reader（merge 891ca81）：reader 注入 Code +104/RO +8/ RW +4/ZI +4；task/cal-lockout-dim（merge 59da40b）：卡5 闭锁 + 卡6 三常数 + 卡7 prot_dim 套件，Code +200/RO +80（vs 含 UI-rec 的 前一构建）。合并后 @build 0/0：Code=215,744 / RO=21,396 / RW=1,224 / ZI=131,984；RW_IRAM1 75,784 B (57.8%)、CCM 57,376 B (87.9%)——两笔合计 RAM +152 B，远低于 92% 红线。 覆盖率 35/35 套件基线同步；凭证按 .map 重盖（L0c 恢复序列）。 道A M4 代码面与道B 批 1 三卡至此全部落地。	2026-10-25 05:32:46 +08:00
wandering1	59da40bb4a	merge: task/cal-lockout-dim 合入 v2-on-ui ... 任务 cal-lockout（1 个提交）经 task-worktree 回收： - feat(保护标定): 卡5 未标定闭锁 + 卡6 下游三常数重定 + 卡7 量纲回归单测	2026-10-25 05:28:05 +08:00
wandering1	891ca81995	merge: task/UI-rec-reader 合入 v2-on-ui ... 任务 UI-rec（1 个提交）经 task-worktree 回收： - refactor(UI): 记录页改注入式 reader，layer-deps 基线 6->3(道B task-6)	2026-10-25 05:22:31 +08:00
wandering1	ffd462ef3c	feat(保护标定): 卡5 未标定闭锁 + 卡6 下游三常数重定 + 卡7 量纲回归单测 ... 卡 5（protect_task.c 第⑤闭锁源，「数据可信」§4.3 决策 1=闭锁）： - UA/UN/IA 的 adc_cal VALID 未全置位 → prot_elm_init + 本拍不 eval；每拍现查 flags、无自有状态（卡 12 标定写入后自动解锁）；判据链优先级 = 采样可信在前、 标定可用在后（数据都是旧的谈不上标定） - 边沿日志用 DBG_INFO 而非 [ERR]：未标定是出厂常态、非故障，且 @test 禁用 [ERR]（「默认构建保护不动作 = 期望」的台架判据同步项已在 MR 报 lead）； SOE 分型 SOE_T_CAL_BLOCK/RESUME（soe_rec.h 枚举尾追加，值 6/7——reader 侧 显示标签映射归道B reader，MR 已报） - 台架旁路 = 编译期宏 DTU_BENCH（§4.3：不进 cfg 不进 104；本仓所有提交目标 都不定义它 = 产品恒强制闭锁） 卡 6（下游三常数按工程量重定，依据同源 docs/任务规划/数据可信.md §2.3）： - FREQ_AMP_MIN（freq.h）：语义从拟定码值域重定为二次值 V——50 V = 0.5×Un （标称 100 V），断保险/PT 空载/浮空必低于之；数值沿用 50.0f 属巧合并在 注释明写；eng=0 过渡期本门恒失效 → OF/UF 按必不启动填充，与卡 5 同向安全 - k_yc[].deadband（iec104_pts.c）：9 点按「额定 0.5 %」规则重定：电压类 0.5 %×100 V=0.5、电流类 0.5 %×1 A=0.005、频率维持 0.5 Hz 绝对值（非额定 比，卡 10 运行参数化）；标称基准与 prot_set 头部同源，防两处真相 - g_prot_set_meta[]（prot_set.c）：数值/范围复核结论=不动（0~4×标称自洽）， 文件头补量纲口径块：A/V = 二次值、标称 100 V/1 A、OV120=1.2Un/UV20=.2Un/ 3U0 15=.15Un、OC1/2/3=10/5/2×Ir、OL=1.0×Ir；PS_ID_COUNT/blob VER 未动 - iec104 套件 TC-008 死区用例同步重定标（100.4 带内 / 101.25 越带），97/97 卡 7（test/host/prot_dim 新套件，真实链 adc_cal→ring→phasor→prot_elm）： - 用例从 ADC 码值出发、显式写出 code↔二次值互逆换算（dim_code vs apply）， 折算点被旁路或量纲再错位断言立刻翻转（M4 判据⑥「不该动作时不动作」） - 合成 ROM 覆写（#undef K_Q16 宏）模拟卡 12 标定后板级口径，走 adc_cal_set 正规路径置 VALID；b=-30 码全链对消进 rms 断言 - 38/38：基线静默（含 OL 低定值陷阱）、反错配对照（raw 码值灌环复现历史事故 必假动作 vs 经折算必静默）、OC1/2/3+OL+OV+UV+3U0 七类逐一：越限定值→ 受控启动拍→dly-2 不动作/+5 动作→返回系数带内保持→跌破释放、双件聚合位图 独立性（撤 IA 只回 OC1） 测试与注册：prot-dim-unit-test 钩子 + TC-HOST-PROTDIM 族（游标 010，B 层口径 同 ADCHEALTH/ADCCAL 先例）；无新 MCU 源文件（uvprojx/SIM_EXEMPT 零改动） gate：@build 0 错 0 警（Code=215640 RO=21388 RW=1220 ZI=131980 vs 基线 215440/19780/1220/131980 → Flash +1808 B、RAM 零增量）；protectTask 静态最坏 链 872 B/margin 1176 B（57%）PASS，adcTask 不变；staged 门禁除 mem-numbers/ mem-budget（台账漂移，回填归 lead）外全绿： gate: only mem-budget/mem-numbers pending lead ledger backfill BOM/CR/U+FFFD/字面量 ASCII 已逐文件自查（本轮未触碰带 BOM 文件）	2026-10-25 05:22:17 +08:00
wandering1	c4edf352fe	refactor(UI): 记录页改注入式 reader，layer-deps 基线 6->3(道B task-6) ... B-6 分层收紧（UI_数据供给设计说明.md §7.2 契约原样落地）： - ui_w_records：删 #include "sys_log.h"，改 ui_rec_reader_t 只读函数表 + ui_w_records_bind() 模块级注入（sys_log 读 API 本为全局，函数表共享、 实例读盘缓存仍各自独享——切页陈旧行防御不变）；log_id 换不透明编号 UI_W_REC_LOG_RUN/SELFTEST；缓冲容量宏本地化 UI_W_REC_TS/DESC_LEN （20/29，与 sys_log 契约下限同宽；读失败退化空行防御保留） - ui_page_runlog / ui_page_selftest：去 sys_log include，实例改不透明编号 - 两端薄包装适配层（编号→syslog_id_t 显式映射，错误码 0/-1/-2 直通不改写）： App/task/ui_task.c 与 simulator/main.c（无头+窗口两个 init 点），均在 ui_menu_init 之前 ui_w_records_bind；未绑定窗口组件按空态防御不读野 - scripts/check_layer_deps.py：BASELINE 6→3（--prune 实测恰 3 条 UI 记录 边消失后写回；剩 NETCFG×2 + lftpd_io 与 UI 无关）——道B 独占收紧口径 - 文档同步：门禁说明 layer-deps.md §1/§6/§9 与 README 计数 6→3； UI_数据供给设计说明.md §7.2 加落地注记、§14"计划削减"改"已兑现" - 首提被 id-check 拦下：注释/文档里自造"批卡编号"（B-6/道B-3）命中 "未登记前缀"增量拦截——已全数改回 task-6/道B 普通指称（编号不回收、 禁自造，教训入本提交）；id-check 复跑 RC=0（S10 告警为存量非本改动） 验证： - 模拟器 0 警告；菜单 8 状态 + 内容页 11 页黄金参考逐字节 PASS （记录页数据流经 reader 后像素与基线一致，无基线更新提交） - cppcheck/coding-standard/bsp-err/font-charset/no-mojibake 单跑全绿； layer-deps 复跑：6 处反向 include = 豁免 3 / 基线内 3 / 新增 0， --prune 显示"基线无需收紧（3 条存量全部仍成立）" - doc-links --all 的 35 处告警全为本仓检出路径含空格误扫 SDL2 自带 md （环境问题、非本改动引入；提交门禁按暂存文件名过滤不受影响） - @build 0 Error 0 Warning（终树复跑 BUILD_OK）；uvprojx 无 UV4 抖动、 无新文件不涉注册；其余 38 钩全绿（ui-golden/font-charset/coding-standard/ bsp-err/id-check/cppcheck…单跑复验 RC=0） 增量（A/B 同树 .map，基线 = 合入 c1b425d 后 HEAD）： - Flash：Code +104 B、RO +8 B（两端薄包装代码 + reader 函数表 const） - RAM：RW +4 B（s_reader 指针）/ ZI +4 B（两页实例 struct 枚举改 uint8 本应 -8 B，链接段对齐后净 +4 B）；RW+ZI 合计 +8 B gate: only mem-budget/mem-numbers pending lead ledger backfill - pre-commit run --all-files 实测仅这两条失败（台账/RAM 文档 vs .map 漂移， 根因即上列 Code +104/RO +8/RW +4/ZI +4），其余 38 钩全绿；按 Lead 裁决 （task-4 口径"以后照此办理"，含 Flash/RAM 漂移同例外）--no-verify 提交， 合并后请主树回填台账（scripts/ram_baseline.py --write 由 Lead 侧执行） - 手工自查通过：5 个 BOM 文件 BOM=EF BB BF 齐全、docs/py/main.c 保持无 BOM， 全部 10 文件 CR=0、U+FFFD=0 - 台账增量供回填：Flash Code +104 B、RO +8 B；RAM RW +4 B、ZI +4 B	2026-10-25 05:21:05 +08:00
wandering1	adabb6af12	fix(test): 主机单测/覆盖率产物按工作树分家 + 每次跑独占目录（task-10） ... 现象（2026-10-25 三条道并行开发实测，看板 task-10）：全量 ci_local 的 L0 里 test-cppcheck / test-coverage 偶发 "files were modified by this hook"，单独重跑 即绿、工作树零改动。根因在 unit_test_harness：obj/exe 直接落在**全机共用**的 %TEMP%，名字由套件名派生（%TEMP%\net_socket_tests.exe、%TEMP%\net_socket_obj）， 多棵工作树并行跑同名套件必然互踩。 真正要命的不是编不过，而是**结论张冠李戴**：A 树编译完，B 树把同名 exe 又盖一 遍，A 树随后 subprocess 执行的是 B 树编出来的二进制——两棵树的 summary_marker 一模一样，harness 分辨不出来，于是拿别人的运行结果给自己判 PASS。这种失败不会 变红，只会静默给出错误结论，比红难查一个量级。 修法（不是加锁）： - 产物根按**工作树**分家：%TEMP%\dtu_host\<仓库根路径 sha1 前 10 位>\。树身份取 harness 文件自身位置（test/host/common 往上三级），不依赖 cwd/环境变量；工作树 之间只联接 .venv 与模拟器 SDK，test/host 每棵树各有一份，所以这个身份可靠。 - **每次运行再独占一个子目录** runs\<pid>-<纳秒>\，obj 与 exe 都放进去，跑完 finally 删（含 Ctrl-C 路径）。这一步顺带把"同树并发同名套件"也消灭了：两个 进程既拿不到同一个 exe，也拿不到同一个 .obj（实测共享根时并发会因 obj 撞名 直接编不过，返回 rc=2）。没有牺牲缓存：每个测试单元就一个 .c，cl 每次整体重编， "共享 obj 省编译"本来就是错觉。**不加锁**：这里没有需要互斥的独占资源，只是 名字撞了；加锁等于把 L0.5 变成 build/bench 那样的全局串行。 - 独占目录里留 <exe>.owner.json（suite / repo_root / pid / started）：需要证明"这 份产物属于哪棵树哪次跑"时有的可查，不必靠时间戳猜。 - 编译返回 0 但产物不存在 → 明确报环境错误，绝不跑来路不明的二进制。 - 两个开关：DTU_HOST_BUILD 改产物根（CI/容器固定路径），DTU_HOST_BUILD_KEEP=1 保留本次目录（要单步调试 exe 时用）。判据单一事实源 = host_build_root()。 - scripts/check_test_coverage.py 同源改造：work_root 由固定共享名 dtu_test_cov 改为 复用 harness 的 host_build_root()/coverage，并同步 --work-dir 帮助文案与 docstring （docs 里"并行期每人只跑 --module 自己模块"那条规避就此作废，它是为绕开旧共享名 而写的）。顺带删掉因此不再使用的 import tempfile。 附带修一处同族不诚实（做本任务时从自己的输出里发现）：ci_local 的收尾那行以前 无条件打印"L0 + L0b + L0c + L0.5 全部通过"，--l05-only 时等于把没跑过的段宣布 为通过——正是 A-5 那个"SKIP 冒充 PASS"的镜像版。改为只列本次真正跑过的段。 自证（都是实跑，不是推演）： - 两棵树身份并发跑同一套件：把修好的 harness 复制成 A/B 两个树身份（repo_root 不 同 → 两个不同产物根），套件 BUILD 从真仓库加载，各跑 4 轮并发 → 8/8 rc=0， 两侧 roots 分别是 …\55deb98e3b 与 …\902100bc41，互不可见。 - 敌意场景：把两边 DTU_HOST_BUILD 强行指到同一目录（旧写法必撞 exe/obj）→ 8/8 rc=0，共享根下只剩一个空的 runs/。同树并发同理被这一条覆盖。 - 单套：test/host/sha256 rc=0（13/13），产物确实落在 …\4b9166f602\runs\<pid>-…； 覆盖率 --module sha256 rc=0（line=111/114 func=7/7），落在 …\coverage\sha256。 - 全量：ci_local --l05-only → 33 runner(s)，2276/2276 assertions passed，fail=0。 - 临时目录与 scratch 已清理（脚本在仓库外，不入库；ci-artifacts/ 之外无残留）。 文档：test/host/common/README.md 新增"产物目录归属"一节（落点结构、为什么按树、 为什么每次独占、两个开关、一行命令查当前树的产物根）；harness 顶部注释是判据正文。 docs 侧两处按分工归 lead 在 done 时统一改，合并请求里已给可直接粘贴的替换文本： docs/测试说明/主机单测覆盖率口径.md 的产物目录条与"坑 12"、以及并行任务工作树 方案.md 的产物归属条。AGENTS.md 与 docs/** 本次一个字节没动。 RAM/Flash 增量：0 B（纯测试工具链，不进固件）。gate：见提交钩子输出，未用 --no-verify。 遗留：tools/font_gen/make_font.py 同样用固定共享名（%TEMP%\simsun_regular.ttf、 font_extra_<cp>.c）——同一类跨树竞态，但属道B 字体域，我没动，建议另开一张卡。	2026-10-25 05:13:14 +08:00
wandering1	317e04219d	chore(ledger): UI-widgets 合入后重盖凭证并登记覆盖率分母 ... task/UI-widgets 合入（merge c1b425d，3 对组件文件 + 双端注册）。 组件暂无引用方 → 链接器剥离整 TU，Code/RW/ZI 与上一步相同 （215,440 / 1,220 / 131,980，RAM 零增量）；覆盖率分母 +7 文件 （untested 109→115，接线后转实测）。凭证按 @build 0/0 后 .map 重盖。	2026-10-25 04:42:33 +08:00
wandering1	d89c07c40c	chore(ledger): UI-widgets 合入后重盖凭证并登记覆盖率分母 ... task/UI-widgets 合入（merge c1b425d，3 对组件文件 + 双端注册）。 组件暂无引用方 → 链接器剥离整 TU，Code/RW/ZI 与上一步相同 （215,440 / 1,220 / 131,980，RAM 零增量）；覆盖率分母 +7 文件 （untested 109→115，接线后转实测）。凭证按 @build 0/0 后 .map 重盖。	2026-10-25 04:40:53 +08:00
wandering1	a5f7385cad	chore(ledger): cal-adc 合入后回填 Flash/RAM/覆盖率台账并重盖凭证 ... task/cal-adc-cal 合入（merge d39e5c9）：adc_cal 折算模块 + 系数落盘 + L5-2 rail_watch。Code 214,104→215,440（+1,336 B）、RO 20,388→21,308 （+920 B）、RW 1,204→1,220（+16 B）、ZI 131,852→131,980（+128 B）。 RAM 增量 +144 B（IRAM1 57.8%、CCM 87.9%，远低于红线）；adcTask 栈 worst 1344 B / margin 47%。清 lane-a 分支侧 --no-verify 欠账。 覆盖率基线登记 adc_cal.c（118/119 行 99.2%）；体积凭证按 @build 0/0 后的 .map 重盖（L0c 恢复序列）。	2026-10-25 04:28:52 +08:00
wandering1	d39e5c9ab5	merge: task/cal-adc-cal 合入 v2-on-ui ... 任务 cal-adc（1 个提交）经 task-worktree 回收： - feat(采集标定): 卡2 adc_cal 折算模块 + 卡4 系数落盘 + L5-2 码值贴轨检出	2026-10-25 04:22:34 +08:00
wandering1	3528644e9d	feat(采集标定): 卡2 adc_cal 折算模块 + 卡4 系数落盘 + L5-2 码值贴轨检出 ... 卡 2（App/algo/adc_cal.*，新增；adc_task.c:335 折算点收口）： - 模型：工程量 =(code+b)×k（「数据可信」§4.1）；k 以 int32 Q16(µV/码×65536) 落盘、b 以 int32 码值落盘；ROM 默认 = 卡 1 定死的引脚侧 LSB，Q16 下整除无 舍入（TPAFE 10,000,000=152.587890625 µV/码；STM32 52,800,000=805.6640625） - adc_task 每拍 frame[s] 改 adc_cal_apply()（现单位 = ADC 引脚电压 V，eng=0， 二次值语义等 VALID）；TEMP 透传码值（决策 5）；不缓存 k_f 副本——逐点由 RAM 现值派生（无回调设计下杜绝陈旧系数；18k flops/s 可忽略） - 三态 flags（§4.2）：VALID = 文件位图 ∧ k 在合法带；CLIPPED 按来源运行期 派生（V0.2/N-18 后自动恒 0）；消费者判可用性只查 adc_cal_flags() - 合法带哨兵：k∉ROM×[0.5,2.0] 或 |b|>8192 → 折算回退 ROM + 每通道每开机 一条 [ERR] + VALID 压制（位图说谎也兜住）——同时挡坏文件与坏标定 - 两点标定公式 adc_cal_two_point() 算术核齐备（int64、±舍入界、斜率/零点 守卫 -1/-2 分档）；台架两点标定（卡 12）按用户指示未跑，留台架注入口径： 心跳新增 cal: 行（ua/un/ia_mv 定点 + vl/cl/rail 位图，未标定 vl 应恒 0x00、 cl 应恒 0xE6，注入饱和电平 rail 位应起） 卡 4（[adc_cal] k_ua..k_in+valid / [adc_cal_ofs] b_ua..b_in，§4.4 布局）： - 两段注册进 cfg 引擎（data_size 33/32，不挂回调——RAM 副本即生效值）； adc_cal_init() 落 app_main_init 内核前（注册必须先于 defaultTask 的 cfg_file_load；跨任务读走 4 字节对齐字，µs 级混窗为「数据可信」§4.4 明载 设计）；文件缺失/损坏 = 引擎回退工厂默认 = ROM 表本体（默认即理论系数） - adc_cal_set()：整定写入口（属主上下文），越带拒绝 RAM 不动 - 单测走真实 cfg_file 引擎集成：文件值生效 / 越界 k 哨兵兜住且不报 VALID / 超长损坏文件回退默认且 flags 无 VALID（卡 4 DoD 原句）/ 段缺失默认 L5-2（adc_health v1.2，越界门限按 FS 百分比、码值域与标定正交）： - adc_health_rail_watch()：连续 20 拍（=一周波）贴同侧轨带（TPAFE±98%半量程、 STM32 顶 98%/底 2%，门限由 adc_cal_rail_ths 供）且此前见过中带释放沿才 锁存——空载恒 0 / 开机恒 0 合法工况不误报（短板评测 §6.2 判据①）； adc_task 编排：边沿 DBG_ERROR + SYSLOG 每开机一次 + 心跳 rail/edge 位图 - 健康用例 60/60（+13）：释放沿/清零/交替/双侧/init 复位/越界通道守卫 测试与注册：新套件 test/host/adc_cal（89/89，8 通道×≥3 码点期望值由 LSB 常数独立推导、Q16 无舍入、set 边界含端点、两点还原合成 k/b 往返）； 编号形态返工一轮：TC-ADCCAL-00A~00D 改 014~017、注释 FS-1 字样改写、 id_registry 族 pattern 转义修正、族游标登至 017；coding-standard 返工： 公开实现函数补齐函数头注释块（CODE-RULE-09） uvprojx 仅增 adc_cal.c 一条挂载（diff 已核零抖动）；SIM_EXEMPT/id_registry (TC-HOST-ADCCAL 族)/adc-cal-unit-test 钩子行按 new-source-file 与 B 层口径 补齐；覆盖率 34/34 套件 89.6%，adc_cal.c 99.2%（baseline --update 属共享 台账文件，留 lead done 后统一回填） gate：@build 0 错 0 警（Code=215440 RO=19780 RW=1220 ZI=131980）； RAM 增量 +144 B（RW+16/ZI+128：贴轨 9×6B + 两段 RAM 副本，IRAM1 57.7%→ 约 57.8%）；Flash +1336B/+920B RO。adcTask 栈 worst=1344B margin 1216B (47%) PASS（stack_report 实测）。staged 门禁除 mem-numbers/mem-budget 外 全绿（该两条 = 台账漂移，回填 --write 落 docs/内存管理/** 单写者区，按 Lead 既定例外归 lead done 后处理）： gate: only mem-budget/mem-numbers pending lead ledger backfill BOM/CR/U+FFFD/字面量 ASCII 已逐文件自查（本次未触碰任何带 BOM 文件）	2026-10-25 04:21:12 +08:00
wandering1	7c4628b043	fix(A5): 体积凭证指纹改取 git 索引 blob——跨 checkout 稳定，并拦未 staged 改动 ... 现象（道C-3 开工第一步就撞上，属于上一提交 e25e51c 引入的缺陷）： _wt/P1-10-test-fw 里 check_size_gate --local 报"不同码"，而两棵树 git status 全干净、 HEAD 同为 e1967cf。定位：主工作树的受管源码里 **1046/1388 个文件落成 CRLF**，新建 工作树同一提交落成 **LF**（实测 Drivers/BSP/dbg_cfg.h：1293 B/CRLF vs 1247 B/LF）， 但两者的**索引 blob 完全相同**（都是 c39395f7…）。根因是本仓 core.autocrlf=true 与 .gitattributes 的 eol=lf 并存——所以"工作树原始字节"根本不是跨 checkout 的稳定身份。 后果比红一次更糟：主树盖的凭证在**每一条道的平行工作树**里都会误红，runner 上同样 （checkout 出来的行尾取决于那台机器的配置）→ 门禁自己造 false positive。 修法（AGENTS「行尾不依赖 core.autocrlf」的机器化版本）： - 指纹 = git **索引** blob：`git ls-files -s` 的 path+blob 逐行聚合哈希（v2）， 跨 checkout / 跨机器一致；凭证 schema 从 1 抬到 2，旧凭证直接判"不符、重新盖戳"， 不做静默兼容（v1 凭证在别的树里必然误红，留着只会污染判读）。 - 新增第四道前置：**范围内有未 staged 改动/未跟踪文件时拒绝盖戳**——未 staged 的部分 不在索引里，凭证会声称覆盖一份并不存在的代码。已 git add 的不算脏：索引已含其内容， 正是"将要提交并被测量"的那一份。--local/--ci 同样把这类脏单独报出来。 - 新增守卫的机理性说明写在 index_snapshot() 上方与 docstring 的"指纹范围"节（唯一正文）。 - scripts/size_attestation.json：按 v2 重新盖戳（本树产品态实测 Code=214104 / RW=1204 / ZI=131852 / RW_IRAM1 75,632 B / RW_CCM 57,376 B，与主干 2026-10-25 台账行同源）。 验证： - 跨树一致性：_wt/P1-10-test-fw 与主工作树分别独立算索引指纹，结果都是 bf6ec94a761e…（1388 文件）→ CROSS-TREE STABLE。 - --stamp / --local / --ci 三态均 rc=0；凭证与 tsv 末行互证同源（Code=214,104 B）。 - 负向：在 test/board/ 放一个未跟踪探针文件 → --local 与 --stamp 双双 rc=1 并点名该 文件；删除后 --local 回到 rc=0（本树已确认干净，探针不留痕）。 - py_compile 通过；门禁实跑：no-mojibake / trailing-whitespace / end-of-file-fixer / check-added-large-files / id-check 全部 0。 RAM 增量：0 B（凭证与门禁脚本，不进固件）。gate：全过，未用 --no-verify。 ⚠ 需要 lead 做一步：合入后主树跑一次 python scripts/check_size_gate.py --stamp （或 ram_baseline.py --update）把 v1 凭证换成 v2，否则主树的 L0c 会报 schema 不符。	2026-10-25 04:18:32 +08:00
wandering1	e1967cf2ea	chore(size): A5 合入后重盖体积同码凭证 ... 合并 task/A5-size-gate 后主干指纹前进（凭证停留在分支基线）， 按门禁指引 @build 0/0 后 ram_baseline.py --update 重盖： Code=214,104 / RO=20,388 / RW=1,204 / ZI=131,852（A5 零体积增量， 数字与 d9ab955 台账行一致）。	2026-10-25 03:59:00 +08:00
wandering1	ba9450c50b	merge: task/A5-size-gate 合入 v2-on-ui ... 任务 A5（1 个提交）经 task-worktree 回收： - ci(A-5): 体积门禁补强制路径——同码凭证 + CI 无需 Keil 复核 92% 红线	2026-10-25 03:54:24 +08:00
wandering1	e25e51c378	ci(A-5): 体积门禁补强制路径——同码凭证 + CI 无需 Keil 复核 92% 红线 ... 背景：A-5 残余（docs/任务规划/测试与架构专项.md）说得很直白——mem-numbers 在 CI 被跳过（runner 无 Keil/无 .map），上一轮只把"跳过"声明成一条 ::warning::， "盲区本身未消除"：看到 CI 全绿仍会以为体积也守住了。 复核时本地侧同样漏：ram_baseline.py --gate 在无 .map 时自适应 SKIP 且返回 0； mem-budget 甚至没进 CI 的 SKIP 名单——它在 runner 上以"Passed"的面貌出现，实际 什么都没检查。两处共同点是**"没跑 = 通过"**。 做法：给体积数字配一条可提交、CI 可复核的**同码凭证**，而不是要求 runner 装 Keil。 - 新增 scripts/check_size_gate.py（口径与边界的唯一正文在其模块 docstring） · --stamp：只在三条都成立时才盖章——① .map 存在且解析得出执行区与 Grand Totals；② .map 不早于指纹范围内任何源码的 mtime；③ 受管区占比不超过 mem-budget 用的同一常数。凭证因此不是随手可写的。 · --local：工作树指纹必须等于凭证指纹，否则 FAIL（="改了代码但体积从没测过"） · --ci：不需要 Keil 也能判的两条——同码性 + 按凭证记录的数字复核 92% 红线 · --show：排障用。指纹 = git ls-files 范围内逐文件 sha256(路径+内容) 再聚合， 覆盖 App/ Drivers/ Src/ Inc/ Lib/ Middlewares/ test/board/ 与 MDK-ARM 的 .sct/.s - 新增 scripts/size_attestation.json：本树的凭证（由本树一次真实 @build 盖戳） - scripts/ram_baseline.py：--update 顺手盖戳——"每次 @build 后跑 --update"是既有 纪律，不新增人工步骤；在函数内 import 防成环；盖戳失败只告警、不改 --update 返回值（新鲜度由门禁自己 fail-closed 兜）。_util/_read_tsv 提为公开名 region_pct / read_tsv_rows 供其复用（体积口径禁第二处定义）；--gate 的无 .map 文案改成明说"SKIP 不等于 PASS"并指向兜底路径。 - scripts/ci_local.py：新增 L0c 体积门禁步（fail-closed、无条件照跑、约 0.3 s） 与 --size-only 开关；docstring 里把"无 .map 时跳过两根钩子"的语义补全。 - .gitea/workflows/ci.yml：L0 作业末尾加「体积门禁」步（if: always()，无需 Keil）； 主干 push 拦红、其余事件 --warn-only（分支上代码尚未定型，拦红只造噪音，还会 诱发多条道同时抢写 scripts/ 台账）；SKIP 名单补 mem-budget，让它诚实显示 Skipped 而不是假 Passed；文件头的"门禁盲区声明"改写为"已关闭为强制路径 + 仍守不住的三项"。run: 块全部纯 ASCII（PS 5.1 无 BOM 按 GBK 解码的实测坑）。 - scripts/README.md：登记新脚本与凭证文件，补用法行。 验证（工作树 _wt/A5-size-gate，分支 task/A5-size-gate） - @build 0 错 0 警：Code=213780 RO=18860 RW=1204 ZI=131852——与 ram_baseline.tsv 的 2026-10-24 行逐项相同（本改动不碰固件源码，指纹不变，零体积增量）。 - 门禁实跑全 0：check-yaml / trailing-whitespace / end-of-file-fixer / check-added-large-files / no-mojibake / id-check / doc-links / mem-budget。 - 负向 8 例全过：改凭证指纹 → --local 与 --ci 都 rc=1；凭证占比改成 95% → --ci rc=1，加 --warn-only 则 rc=0；凭证写成非法 JSON → rc=1；用 mtime 回拨的 .map 去 --stamp → 拒绝且不动凭证；把区 max 改小到必然超线再 --stamp → 同样拒绝。 - 正向：--stamp 之后 --local / --ci 均 rc=0，并与 tsv 末行互证同源。 - --update 的盖戳联动单独验（把 TSV_PATH 与凭证指到仓库内已 gitignore 的 ci-artifacts/ 探针文件，跑完清理，本树台账未被测试污染）。 - ci_local 全量：L0.5 33 runner / 2227 断言全绿、gitlint 10/10、L0c rc=0。L0 里 test-cppcheck 与 test-coverage 各报过一次"files were modified"——单独重跑两条 均 rc=0 且工作树无改动，判定为三条道并行跑主机单测时 %TEMP% 里按套件名派生 的 obj/exe 互相踩踏（harness 产物名全机共用一个 TEMP 目录），非本改动引入。 RAM 增量：0 B（未动固件源码，凭证数字与本树一次真实链接一致）。 gate：全部通过，未使用 --no-verify。 遗留 / 需要 lead 裁定 1. 合入后主干 push 会要求"同码测量"：done 流程在 @build 0/0 之后要多跑一条 python scripts/ram_baseline.py --update，并把 scripts/size_attestation.json （数字变了则连 scripts/ram_baseline.tsv）一并提交。这就是"强制"的含义，但 确实新增半步——若你想先只在本地强制（L0c），我把 CI 那步改成 --warn-only。 2. 文档口径同步我没做（docs/任务规划/**、docs/门禁说明/**、docs/CI/README.md 归主树）：A-5 销项时建议把"CI 不守体积"改为"CI 守同码性 + 红线，绝对数字仍 由本地真实构建产生"，正文引用 check_size_gate.py 的模块 docstring。 3. 编译器选项（uvprojx）刻意不进指纹：UV4 每次构建改写它且不入库，进指纹会让 门禁在"刚刚构建完"的那一刻自己变红；代价是改优化等级/宏不触发本门禁，需人工 重测——已写进边界正文。	2026-10-25 03:51:19 +08:00
wandering1	d9ab9552c3	chore(mem): 回填 UI-font 合入后的 Flash 台账快照 ... task/UI-font-subset 合入（RO-data 18,860→20,388 B，+1,528 B， 中文字库 119→179 字 / 274 字形所致；Code=214104、RW=1,204、 ZI=131,852 不变，RAM 零增量）。 done 后统一回填，清 lane-b 分支侧 --no-verify 欠账。	2026-10-25 03:31:44 +08:00
wandering1	65c5e7d310	chore(mem): 回填 cal-scale 合入后的 Flash/RAM 台账快照 ... cal-scale-doc 合入（Code 213780→214104，+324 B，Flash 增长来自 CFG_VAL_INT 编解码与错误分支；RW=1204 / ZI=131852 不变，RAM 零增量）。 ram_baseline.tsv 记录 2026-10-25：RW_IRAM1 75,632 B (57.7%) / RW_CCM 57,376 B (87.9%)。done 后统一回填，替代分支侧 --no-verify 欠账。	2026-10-25 03:19:18 +08:00
wandering1	15aa08552c	docs(问题记录): 删除项目审查与优化建议报告，结论并入模块文档与编号规范 ... 用户裁定：该报告大部分内容已闭环，可删除；仍有价值的迁到合适文档。删前逐条核对， 确认绝大多数结论在仓内早已有权威副本（LV_DRAW_SW_COMPLEX / osFlagsNoClear / SPI 分频 8 / 分层反向依赖存量基线等），只迁真正独有的四类内容： 1. 暂缓理由与重开条件（三条量化门槛）→ RAM 使用分析与优化方案 §4，并明确「本节是唯一 权威」，其它文档只留指针；同时把 10 处指向报告 §5.3 的重开条件引用改指该节。 2. 2026-10-22「常驻 vs 动态」三项诊断（静态前五块 43,462 B = 58%；动态面只有 heap_4， 故栈余量=CCM 余量；栈深主因是日志/配置写链）→ 同文档 §2.5。 3. `_fp_digits` 1,018 B 删不掉的机理与 F-6 根因修法（Q10 宏改单精度，−332 B，4.49e6 例 逐位等价）→ §2.6.4。 4. 「UI 侧缓冲进 CCM」要按 DMA 可达性二分（LVGL 池可进，帧缓冲/推流缓冲不可）→ 暂缓清单。 编号侧（报告曾是 6 个族的属主登记处）： - 原报告 §9 的 26 行「号 → 现在详述于」对照表迁到 docs/编号规范.md 新增 §4.5，6 族 owner_docs 改指该节。规范正文含大量写法示例，直接当定义集会误伤，故 check_ids.py 新增 `_def_owners`：snapshot_only 族剔除规范正文，只恢复可判定、不参与悬空/撞号/裸形 /紧邻判定（实测若不分，裸形 S1 误报 238 条、S-3 与登记簿 S-3 误判重复定义）。 - 11 个已死号（N-03b/N-10~N-13/N-20/N-21/N-24/N-26/S-1/S-2）在 id_aliases.json 登记 status=void 并写明去处——它们被约 110 处代码注释与文档引用，原先只靠「报告里顺带提过 一句」才算有定义，报告一删就集体悬空。N-21/S-1/S-2 一号两义，注记已分别标明。 - 顺带修 id_aliases.json 的 note 被脚本累积重复 26 次；修 registry 里 3 处仍指向改名前的 任务卡文件名（W1-采集保护收尾.md / W8-数据可信.md），以及 iec104_master.py 两处同类注释。 门禁：check_ids --strict 通过（可判定 8747/10410 = 84.02%，基线由 82.6% 抬到 84.0%）； check_doc_links --all --sections-strict 通过（177 文档）；pre-commit 相关钩子全过。	2026-10-25 02:08:58 +08:00
wandering1	1e6996ecd0	docs(任务规划): 波次号 W1~W8 改为语义名，两个任务卡文件改名 ... 用户裁定：W4 这类字母+数字让人难以理解。W 号看着像执行顺序，实际 W8 排在 W3/W4 之前，读者必须先查表才知道谁先谁后；去掉编号后执行顺序就是 §2.0 表 从上到下，少一层映射。 - 波次改语义名：采集保护收尾 / 数据可信 / 预算与内存 / 结构债 / 验证常态 / UI 扩展 / 仓库决策 - 文件改名（git mv）：W1-采集保护收尾.md → 采集保护收尾.md， W8-数据可信.md → 数据可信.md - 删掉只为编号存在而写的两条注记（W2/W3 槽位保留、W3 不重编号） - 并行分道方案的分支 ID 同步：task/W8-scale-doc → task/cal-scale-doc 等 - 编号登记表：WAVE 族标为废止并关闭悬空检查（属主文档已不再定义 W 号）， C-WAVE / D-WAVE 两族 title 补废止说明 - 同步 15 处跨文档引用（README 文件夹地图、产品需求 §9.2、编号规范 §4.1、 报告 §0.3 波次表、RAM 台账、保护规划变更记录等） - 不动的同形异义：网表 W4.0 封装宽度、芯片手册 W1 载带尺寸、MSVC /W4	2026-10-25 01:44:25 +08:00
wandering1	42886581ef	docs(mem): 回填内存台账到合入后的 .map（cov2 批次收口） ... 合入 task/cov2-p2-coverage 后在主干重新 @build，按受管产物口径回填： - scripts/ram_baseline.py --update + --write（tsv 与台账受管区） - scripts/check_mem_numbers.py --write（§2.1 内存快照） - 现状句数字改为现值；散文里复述历史快照数字的两处（旧 RW_IRAM1 占比）改为指向 docs/内存管理/data/ram_report_20261022.md，不再在 正文重复历史值——陈旧数字扫描按「上一个快照的区域值」判定， 复述历史数会被正当拦下，指向快照才是正解 合入后实测（.map 权威）：Code=213,780 / RO=18,860 / RW=1,204 / ZI=131,852 B；RW_IRAM1 75,632 B（57.7%）、RW_CCM 57,376 B（87.9%）、 Flash 233,844 B（22.3%）。相对合入前：ZI +352 B、Code +60 B、RW 不变， 来自 syslog_post 投递即拷贝（条目内嵌 desc[29]），详见 docs/子系统设计/运行与自检记录设计说明.md §4.4。 验证：@build 0 错误 0 警告；pre-commit run --all-files 全绿（39 项 通过，含 mem-numbers / mem-budget / test-coverage / id-check / doc-links --sections-strict）。合并本身无「双方都改过」的文件， 无并集残留风险。	2026-10-24 23:39:48 +08:00
wandering1	4a09d4c63f	fix(log): syslog_post 投递即拷贝（台架实证驱动的 B 方案整改） ... 待发条目 syslog_entry_t 原为 {id, const char *desc}，只存调用方指针， 隐含「desc 必须活到落盘」的契约，但契约既未写进 sys_log.h、也无机械 检查。台架一次可控实验照出后果：testTask 临时钩子复用同一块缓冲连投 12 条带序号记录、并与 8 MB FTP STOR（占住卷锁）重叠，落盘的 12 条变 成「1~5 + 第 12 条七份」——滞留条目全部别名到该缓冲最后一次写入。 叠加卷忙整批回投（条目可滞留到卷空闲），投栈缓冲即成悬垂读。 改法（B 方案）：条目内嵌 char desc[SYSLOG_DESC_MAX + 1u]，syslog_post 投递时按 SYSLOG_DESC_MAX 截断拷贝并补终止符；sys_log.h 参数说明同步 写明「投递即拷贝、不要求生命周期覆盖到落盘」。 R1 台架正/负双向实证（非破坏性，钩子与临时改动已全量反向还原）： - 修复在位：12/12 全落、序号严格递增、无重无缺（768 B = 12x64） - 临时把 -2 支路改成 rc == -2 && 0u：只落 5/12、6~12 全丢，两轮独立 复现一致，且该轮无 queue full 留痕 => 丢的路径确为「卷忙整批丢」 RAM/Flash 前后（scripts/ram_report.py 同口径，同一 .map 来源）： - ZI 131,500 -> 131,852 B（+352 B；s_preboot/s_batch_src 各 8 条 由 8 B 变 32 B）；RW_IRAM1 75,280/57.4% -> 75,632/57.7% - Code 213,720 -> 213,780 B（+60 B）；RW 1,204 B 不变 - RW_CCM 静态不变（57,376 B / 87.9%）；队列存储多要 192 B 取自 FreeRTOS 堆池，烧后串口水位 [STACK] heap free=15624 min_ever=8464 余量充足；总量仍远低于 mem-budget 92% 红线 测试：sys_log_mcu 套件 104 -> 106 条全绿，新增 TC-SYSLOG-108（投出 后改写调用方缓冲，落盘必须仍是投递时原文）与 TC-SYSLOG-108b（超长 在条目内钳位）。假消息队列护栏 MQ_MAXMSG 由 24 抬到 40：条目变大后 它拒收一切 Put、从既有用例起整片失败，属「尺寸变了就响」的正向记录。 主机侧此前照不出该类问题，是因为用例传字面量、静态存储期无限。 门禁 pre-commit run --all-files：39 项中 37 通过，含 test-coverage （已覆盖行只增不减）、id-check（0 条台账外新发现、游标 TC-SYSLOG-108）、 doc-links --sections-strict、coding-standard、cppcheck/test-cppcheck、 bsp-err、layer-deps、no-mojibake、ui-golden、font-charset。仅 mem-numbers 与 mem-budget 失败：docs/内存管理/ 受管台账仍记改前 131,500/213,720。按分支约定不在分支上 --write 受管台账，留待合回 主干时统一回填，故 --no-verify 提交。 真机：产品构建 0 错 0 警告，重烧 + 回读校验 OK（suite=NONE dstr=off）、 启动标记齐全、无 [ERR]、VERDICT PASS。	2026-10-24 23:15:18 +08:00
wandering1	5a806d8a26	fix(log,net): 处置主机单测照出的 10 条现状，撤销 1 条误报 ... 用户裁定「全部修」。第 1 轮修复跨三名队友、写范围互斥、零越界； 11 条登记现状 → 10 条已处置 + 1 条撤销（非阻塞 recv 「看不见 EOF」是误报： net_recv_locked:1885 的非阻塞分支已把 CLOSED||session_dead 判成 EOF(0)， 动手前读码才发现，误报比漏报更贵）。 存储与日志（App/log/sys_log_mcu.c、soe_store.c、cfg_file_store_mcu.c、sys_log.h） A 卷忙整批丢日志：批量路径补 rc==-2 分支整批回投（不计故障/不打日志/ 保序）；此前一批最多 8 条既不落盘也不回投，而文档写着「条目不丢」 B rc==-1 文案与行为相反：改 write fail, requeue + 正常→故障节流 C 删永不可达的截断支；容量契约写死 sys_log.h（不足一律 -1、不写调用方字节） D 自愈触发集违规（比原报告更严重）：新增代码侧唯一入口 s_is_selfheal_code， 触发集收敛为 {DISK_ERR,INT_ERR,NO_FILESYSTEM,DENIED}，移出名字/参数类码—— 旧集合在 8.3 同名同因下每轮删一次自己的历史日志且永不自愈，正是存储架构 §10.1 第 10 条严禁的归集；soe_store 侧同源取更保守子集（打开失败绝不 unlink） E 注释里的 FR_NO_SYSTEM 不存在，改 FR_NOT_READY / FR_NO_FILESYSTEM F syslog_post 满态留痕节流（A 修好后「队列常驻满」成必然场景，不修等于用 新刷屏换掉静默丢）；丢弃语义一字未改 NET（net_socket.c/.h、net_types.h、net_socket_sim.c、lftpd.c） IP 字节序统一到 POSIX 网络序：改 net_inet_addr（&s_addr[0]==第一段）+ 出向 IP 数组按内存字节顺位拆装（进与出同时换族→芯片侧数组净效果不变，550h 钉住） + 模拟器逐字同步；ntoa 函数体未动，只改对它注释里取了废弃族值的例子—— 那正是两套约定长期共存不被发现的原因。lftpd 两处算术核对确认无需改 UDP 绕过 netTask：两入口加执行任务上下文守卫，新码 NET_ERR_NOT_IN_NETTASK (-12，重试永远无意义)；结论口径=危险面已结构性关掉、串行化改造仍未做。 附带关掉第二条更隐蔽的路：非 netTask 自旋 recvfrom 期间控制块被 close 并 把同一 sockfd 分给新会话→旧自旋者消费新会话数据报 控制台（console_log.c/.h）：冷却改独立 s_con_cooling 标志（旧写法在 tick==0 那 拍冷却等于没记）；con_append 的判空位+推进 head+整行拷贝收进同一临界区（旧 为区外 check-then-act，环 >95% 满时可静默覆盖且既不打 [ERR] 也不计 dropped）； Instance==NULL 与僵尸通道分诊（未初始化绝不 reinit）；三本账分离 + 新读口 dbg_console_tx_timeout()；[ERR] 行改为发成功才销账 测试：net_socket 452、console_log 127、sys_log_mcu 104、soe_store 27、 cfg_file_store_mcu 34；回归 net_listener 34 / net_events 34 / net_pending 43 / net_select 22 / lftpd 35 / lftpd_inet 28 / lftpd_io 33 / iec104_serv 28 / nand_port 149 / vol_lock 33 / soe 32 / cfg_file 151 全绿。原「按现状钉住」的 用例全部翻正向；console_log 用「逐条退回旧实现」做变异自证，失败集合单调增长 6→11→18→22（把一条本来空转的断言逼了出来）。 游标抬升：TC-NETSOCK-545→560、TC-SYSLOG-100→107、TC-CONLOG-135→167。 文档：控制台设计说明 §4.1 口径与 §13-O2 销项 + v1.5；运行与自检记录 §4.4/§4.5 四条；存储架构 §10.1 第 10 条推论（指向 s_is_selfheal_code）；TRAP-NET-21 后续 条目；BSD 指南新增 §9.0 s_addr 唯一约定；覆盖率口径 §9「第 1 轮修复处置」表 + 后续项 5 条 + 台架复验 7 条 + 新坑 8 条 + 变更记录。 后续项（本轮刻意不做，理由见 §9）：UDP 改走 netMsgQueue（需 per-task 结果槽， net_msg_t 按值拷贝、禁止加回传字段，且要真机回归）；sim_syslog.c 同源不可达 支（本轮编译验证不到，不交没编译过的改动）；syslog_post 丢弃计数； dbg_console_tx_timeout() 读端接线（STALL 行是被解析的证据行，加字段要连解析端 与台架判据一起改）；104 来源地址日志（现网无输出点）。 gate: @build 0 errors 0 warnings（Code=213720 RO=18860 RW=1204 ZI=131500）。 pre-commit run --all-files -> 39 hooks, 36 Passed; failed = mem-numbers + mem-budget（受管快照与本树首次构建产物的漂移，非本批增量）+ id-check（已修， 现 0 台账外新账，可判定 84.63% > 基线 82.6%）。实测水位 RW_IRAM1 57.4%、 RW_CCM 87.9%，均低于 92% 红线；RAM/Flash 本批增量为数个 static 变量。 test-coverage / cppcheck / coding-standard / bsp-err / layer-deps / doc-links 全 Passed；全量覆盖率 33/33 套件、line 89.3%、func 92.3%、逐文件下降 0。 按仓内分支约定 --no-verify 提交，台账 --write 回填留待主工作树合并后。	2026-10-24 19:43:56 +08:00
wandering1	794906cdc8	test(host): P2 覆盖率批次，5 套主机单测与共享假 FatFs ... P2 五个文件全部进分母（三名队友并行，写范围互斥、零越界）： net_socket 420 条 / 881-883=99.8%、52-52 函数（S1~S6 分片） sys_log_mcu 75 条 / 310-313=99.0%、12-12 console_log 104 条 / 188-189=99.5%、15-15 cfg_file_store_mcu 34 条 / 97-97=100%、10-10 soe_store 26 条 / 78-79=98.7%、4-4 合计 659 条断言，P2 本体 1554-1561=99.6%、93-93 函数。 账：套件 28→33 全绿；files_tested 32→37；未触及 112→107（.c 34→29， 恒等式 29 = 0(P1剩) + 0(P2) + 29(P3) 咬合，§9 终点判据达成）；分母 4684→6245 插桩行；line 85.8%→89.3%；func 90.1%→92.2%（这批 5 个文件 全都以 ≥98.7% 进分母，故未摊薄）。--update-baseline 前后逐文件比对： 下降 0 个文件。 基建：新建 test/host/common/fatfs_fake.{h,c}（以真实 ff.h 为声明源、只 定义三文件实际调用的 9 个 f_*，缺哪个链接期响；卷忙/短写/FR_DENIED 可注入；短名违规分档）；扩展 ch395f_fake 为纯新增（g_fx/g_fxchip 另开 一份世界 + ext_reset 挂进既有复位，既有三套面一字不动），并按真头修正 两个错值常量（SOCKET_OPEN 0x01→0x05、TCP_ESTABLISHED 0x05→0x04）， 另在 net_socket runner 加真头/假件同名常量文本核对闸（负例验证过）。 存量回归：net_listener 34、net_events 34、net_pending 43、net_select 22、 nand_port 149、lftpd_io 33、vol_lock 33、soe 32、cfg_file 151 全绿。 编号：补 TC-HOST-{NETSOCK,SYSLOG,CFGFST,SOESTORE,CONLOG} 五族（22→27， 先补族再引号）；net_socket 模块码由自取的两字母 NS 正名为 NETSOCK； id-check 增量拦截无台账外新账，可判定比例 83.27%（基线 82.6%）。 文档：覆盖率口径 §9 新增「P2 落地」（含两套分母口径差、10 条现状表、 12 条可复用手法与并发红线），§8 第 1 条改「清单已吃穿」，补变更记录。 本提交未改任何生产代码（App/Drivers/Src/Lib/MDK-ARM 零触碰）。 10 条现状已逐条登记在 §9（含 sys_log_mcu.c:509~537 卷忙整批丢日志、 net_socket.c 同文件两套 IP 字节序、UDP 两 API 绕过 netTask），已获指示 全部修复，另开一轮（含测试字面量统一纯 ASCII）。 gate: pre-commit run --all-files → 39 hooks, 38 Passed; only mem-numbers Failed（本工作树从未 @build，无 .map 事实源，属分支期已知陷阱）； mem-budget Passed；test-coverage 与 id-check Passed。RAM/Flash 增量 = 0 （纯测试批次）。按仓内分支约定走 --no-verify，台账回填留待主树合并后。	2026-10-24 17:54:02 +08:00
wandering1	ec2dbc9e01	chore(merge): 回填内存台账与钩子规范化，收口 task/cov-host-line-coverage ... done cov 已把 15 个提交合入主干（合并提交 c8de948），但它的门禁按已知顺序跑在 @build 之前（skill 实测陷阱那条），比对用的是合并前的旧 .map，台账必然失配。 这里按 skill 的官方处置在主工作树回填，使主干自身全绿。 内存台账（@build 已在 done 里跑过：0 错 0 警，Code=213652 RO=18860 RW=1192 ZI=131504；主工作树的 .map 是权威值）： - scripts/ram_baseline.py --update（趋势行 2026-10-24：RW_IRAM1 75,272 B 57.4% / RW_CCM 57,376 B 87.9%）+ --write（受管区）；check_mem_numbers.py --write。 - RAM使用分析与优化方案.md 两处正文数字：「当前状态」那句刷成合并后的真值 （75,264 → 75,272，日期改 2026-10-24）；2026-10-23 那条变更行里的裸 B 值 232,536 改为 KB + 快照文件指针——**历史结论一字未改**，只是不再在正文里留 会过期的裸字节值（--scan 的判据正是"曾是区域值、现已不是"，无内联豁免）。 - 补一行本次合并的变更：RAM +8 B（net_cfg.c 为 WAIT 契约修复新增 s_save_busy）、 Flash -24 B（lftpd_string 改名删死循环 + net_select 去冗余守卫）、CCM 零增量。 覆盖率口径文档：修我自己留下的占位符泄漏——§9 有一段写的时候用 @@ 当反引号哨兵 （run_code 里反引号与模板串冲突），漏做还原，共 52 处。后果不只是难看： - `docs/网络/网络自愈架构设计.md` §4.10 因失去反引号而不再被识别为"紧邻写法"， 被 doc-links（钩子带 --sections-strict）按**自引用**判成失效章节——这条真红了。 - "test/host/common/ch395f_fake.h + .c" 被整体当路径引用检查，报文件不存在。 - 另有一处未配对的 @@ 与一个 ``` 残留，以及过期计数（"套件 21+"、"族数 16"）， 改为落地实测值：TC-HOST 族 16 → 22、套件 16 → 28，并指向下方落地进度表。 核对：该文档 @@ 残留 0、U+FFFD 0、无 CRLF。 12 个 run_unit_test.py：end-of-file-fixer 去掉末尾多余空行。分支期我用 --no-verify 提交（只为跳过 .map 台账那两条已知误报），把这两个改写型钩子的规范化机会一起 跳掉了——本批由钩子自己改正，**内容零改动**，也正是"提交门禁不该长期绕过"的账单。 自查：pre-commit run --all-files 在本工作树 **38 Passed / 0 Failed**（含 16 个主机 单测钩子实跑）；doc-links --all --sections-strict 0 问题；mem-numbers --scan 绿。 未 push（推送需用户明确指示）。	2026-10-24 00:07:05 +08:00
wandering1	957ec64645	test(APP/104): iec104_serv 模块（28 条，84.2%）——P1 十三块全部进分母 ... P1 收官批次。新增 test/host/iec104_serv/，iec104_serv.c 覆盖 117/139 = 84.2%。 做法：把生产源整个 #include 进 TU，直接驱动它的 7 个 static 辅助函数——**不跑 iec104_serv_task 的无限主循环**（那是 never-returning 的任务体，不适合单测；事件组 相关支路用 sys_evtHandle=NULL 走"不可用"分支）。链路层与 pts 层给假件：链路协议本身 有 test/host/iec104 的 97 条专测，本模块只管服务怎么活、怎么死、怎么重生。 钉住的契约： - 建监听：2404 端口过 htons、绑 NET_INADDR_ANY；socket/bind/listen 任一失败都要把 已经拿到的号关掉（漏关就是每次重试漏一个 socket 号，CH395F 只有 8 个）。 - **网络代次一变就拆掉旧连接与旧监听并重建**：现场改 IP 后端口必须在新地址上继续 服务，这条不重建就是"设备换了 IP 之后 104 主站再也连不上"。 - accept 门控：监听未就绪不 accept；表项已失效时把监听号丢掉、下一轮重建。 - 单连接 socket 的断线语义：对端 FIN 时只关数据口，**监听必须留着**；数据号与监听 号同一个时绝不关（关了就端口失联）。recv 返 -1 且 errno 是 WOULDBLOCK 是正常空转， 不能当成错误丢连接；真错误则丢弃并**当场重建监听**，不留空窗。 - 判死用**连续**短写计数：一次成功即复位。写成累计就会把偶发拥塞误判成断线，主站 看到的就是莫名掉线（连到 3 次才判死，I104_SEND_FAIL_MAX）。 - 32 分频探活：无可读数据时不是每轮都去收（省 CPU 预算），到点才收一次；对端 FIN 后 复位计数器。协议状态掉回 IDLE 也要丢并重生（否则服务挂着但永不服务）。 - 时钟桥接两个溢出边界：epoch 秒超过 32 位一律拒绝且不碰时钟（截断写进 RTC 就是乱值）； 未对时（sys_clock_get 返回 UINT32_MAX）回 UINT64_MAX 哨兵而不是 0（否则对端会以为 设备时间是 1970-01-01）。 主机侧兼容处理（写进桩注释）：真实 App/util/sys_clock.h 会 include sd2506.h（RTC 芯片 驱动）一路拉到 HAL，PC 上编不动，故桩掉 sys_clock.h 但**两个签名与真实头逐字一致**； 104 的头散在 App 与 Drivers/BSP 的多个子目录（iec104_serv.h/iec104_link.h/iec104_pts.h/ task_watchdog.h/sys_events.h/prot_set.h/sd2506.h…），逐个手写 include 目录必漏且报错会 落在被测源上、极易误读成生产代码坏了——运行器改为**按目录实际是否含 .h 自动收集**。 自查：初跑红 2 条，都是我的场景问题（分频到点那轮 recv 返回 0 会走对端 FIN 支路， 应给 -1 + WOULDBLOCK；"重建失败丢监听号"必须同时让表项失效），改正后 28/28。 P1 收官合计：12 个新模块、**308 条断言**；套件 16 → **28** 全绿；files_tested 19 → **32**； 未触及 .c 47 → **34**；恒等式 34 = 0(P1 剩) + 5(P2) + 29(P3)；分母 2,893 → **4,684** 行； line=4020/4684（85.8%）、func=300/333（90.1%）。百分比"降"是摊薄不是回退（lftpd.c 64.3%、 lftpd_io.c 53.5% 这类只测主体的文件也进了分母），按 §5 口径该盯 files_tested/files_untested。 亮点：lftpd_inet.c **127/127 = 100%**、net_listener.c 99.2%、net_events.c 97.8%。 编号补建 TC-HOST-I104SRV（游标 041），TC-HOST 族数 20 → 22。§9 的落地进度表补齐并 统一为 NET 拆出的四块 ①②③④。 自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）； 10 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。 --all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填） 与 ui-golden（ref/*.bin 不入库）三条失败，与本分支改动无关。	2026-10-23 23:44:53 +08:00
wandering1	a0c261b5ee	test(NET/lftpd): lftpd 控制通道模块（35 条），FTP 一套四块全部进分母 ... 新增 test/host/lftpd/，lftpd.c 覆盖 304/473 = 64.3%。做法是把生产源整个 #include 进 TU，于是命令表 commands[]、17 个 static cmd_* 与 handle_control_channel 都能直接驱动： 假 inet 层给"脚本化命令行队列 + 响应记录"，假 io 层给"极简内存视图 + 可注入失败"， 认证与配置当可注入黑盒（认证本身有 test/host/ftp_auth 的 10 条专测，不重复验）。 钉住的契约（都是真机上贵、却难按需复现的那几类）： - STOR 传到一半写失败必须 **unlink 半成品**：否则 Flash 上永久留个坏文件，现场表现 是"升级包传坏了再也传不上去"。真机要卡准"传一半掐线"的时机，这里注一个短写就行。 - 数据通道是单连接 socket：LIST/RETR/STOR 用完必须关监听并把 data_socket 复位成 -1； accept 失败要报 425 不留残口，会话退出（QUIT 或对端断线）时 cleanup 也要关掉还没 用的被动监听。漏一次就是下一条命令拿着上一个号继续 accept，偶发连不上。 - 命令名缓冲只有 command_tmp[4+1]，前置判断 if (index >= 5) 就是防 memcpy 越界； 恰好 5 个字符必须被拒（改一行这条就响）。 - 认证前置白名单：未登录只放行 USER/PASS/QUIT/FEAT/SYST/NOOP，其余一律 530；口令错 必须清 auth_user_ok 强制重走 USER；被锁与口令错都只回 530，不给攻击者区分提示； 配置读不到时 USER 无法匹配、PASS 直接 530（fail-closed）。 - 写开关（[ftp] write_en=0）必须在**碰文件之前**挡住 STOR/DELE，且不去 accept 数据 通道；DELE 不许删目录。 - 227/229 编码：IP 经 net_htonl 后按高字节到低字节排（就是点分序），端口高/低两字节； 拿不到本机 IP 时要把刚建的监听关掉。FEAT 多行：首行 211-、四条能力无状态码、末行 211 结束（共 6 条响应）。 - 220 欢迎没送达（对端已走）就直接收工，不空转读命令；该留痕按真实分级算 INFO 而不是 ERROR（真实 private/lftpd_log.h 把 lftpd_log_peer 归到 INFO：任何人连 21 端口就走 就能无限制造固件级 ERROR，还会撞掉 @test 的 Forbidden 标记 [ERR]）。 - 传输循环每轮喂狗（lftpd_task_wd_beat 计数可断言）。 主机侧两个必要的兼容处理（都写在桩注释里，不是随手改）： 1. lftpd.c 会 include ff.h，而这份 FatFs 在 Windows 支路上把 winsock.h 拉进来，它带 "#define s_addr S_un.S_addr" 的 BSD 兼容宏，会把真实 net_types.h 里的字段声明 uint32_t s_addr; 展开成 uint32_t S_un.S_addr; 直接炸（实测 C2143 在 "." 前缺 ";"）。 桩里只 #undef 这个污染宏，让固件那份结构体定义原样参与编译，被测代码读的还是真字段。 2. 引号 include 先从 lftpd.c 自己目录找 private/lftpd_log.h，桩目录赢不过它——于是 顺着用真实那份（它只是把 lftpd_log_* 映射成 DBG_*），只桩最底下的 dbg_log.h。这样 真实日志分级也一起被编译验证，比我自己重写一套更对。 自查（35 条里前两轮红了 4 条，全是**我的期望/前置态写错**，实现均正确）：未登录时 FOO 被白名单以 530 拦掉测不到 502 分派；227 的 IP 顺序我把 htonl 前后搞反；FEAT 是 6 条响应我按 5 条索引；PASV 之后走完整会话会被 cleanup 关掉监听（那正是 006 要验的 行为），观察 PASV 留下的状态必须直调 cmd_pasv。 覆盖率与台账：套件 26 → 27 全绿；files_tested 30 → 31；未触及 .c 36 → 35；分母 4,072 → 4,545 行。**总体 line_rate 88.4% → 85.9% 是摊薄不是回退**（64.3% 的文件进 了分母），按 §5 口径要盯 files_tested/files_untested——它从 19 一路涨到 31。 恒等式 35 = 1(P1 剩 iec104_serv.c) + 5(P2) + 29(P3)。编号补建 TC-HOST-LFTPD （游标 034），族数 20 → 21。 自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）； 9 个文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）与 ui-golden （ref/*.bin 不入库）三条失败，与本分支改动无关。	2026-10-23 23:44:52 +08:00
wandering1	8aaf9bbb0e	test(NET/lftpd): lftpd_inet 模块（28 条，127/127 = 100%） ... FTP 的 socket 适配层吃满——全仓第一个 **100% 行覆盖**的文件（127/127）。 新增 test/host/lftpd_inet/，28 条断言全部 MSVC 编译通过并 PASS。 钉住的契约： - 端口字节序：bind 前必须过 net_htons（sin_port 的注释就写着"网络字节序"），问名字 回来要 ntohs 还原；问不到名字报 -1，不拿脏端口当结果。 - 失败路径一律关 socket：建口失败不 bind；bind 失败关口不 listen；listen 失败关口 并各留一条 ERROR（漏关就是白占一个号，CH395F 只有 8 个）。 - accept 每轮失败都让出 CPU（同一段里也喂狗），直到成功；**网络代次一变立刻撤掉 accept**——否则改了 IP 之后监听还挂在旧代次上，端口在新地址上根本不通。这是现场 最常见的自愈路径，台架上要凑"对面正连着我顺手改 IP"极难。 - 带超时的 accept：监听门撤防时**立即放弃**，不对着死监听耗满窗口；对端一直不开 数据通道就按 100ms 步进等满再 INFO 收场。 - read_line：CRLF 就地截成结束符（FTP 命令行的边界）；跨包分片要能拼出整行；读到 0 （对端关闭）立刻失败；-2 表示这一片超时继续等；其它负值**原样返回**（错误码不许被 吞成 -1）；等待按 200ms 分片、30 s 总预算到点退出（分片写错就饿死看门狗）；缓冲 填满仍无行尾要失败且**不越界写**（最后一格留给结束符）。 - 短写续传：net_send 可以只写一部分，续传必须从正确偏移接着写（少半条响应就是协议 错乱）；写 0 字节按失败处理；二进制写成功时回请求长度。 桩的口径：private/lftpd_inet.h 与 net_types.h 用真实头；net_socket.h 是桩但函数原型 与真实头逐字一致，并**照做真实头对 FreeRTOS.h / task.h 的 include**（lftpd_inet.c 的 TickType_t / vTaskDelay / pdMS_TO_TICKS 就是从那条链上拿的，桩少这一行就是 C2065）。 lftpd_task_wd_beat 是 __weak 空实现、主机侧替换不掉，因此用同段代码里的"睡 100ms" 次数当喂狗轮数的代理（写进桩注释，不假装能直接数到喂狗）。accept 循环带 100 轮跑飞 保险（net_select 批次被挂死教训换来的）。 覆盖率与台账：套件 25 → 26 全绿；files_tested 29 → 30；未触及 .c 37 → 36；分母 3,945 → 4,072 行；line=3599/4072（**88.4%**，连涨三批）、func=272/299（91.0%）。 恒等式 36 = 2(P1 剩：lftpd.c 与 iec104_serv.c) + 5(P2) + 29(P3) 仍咬合。编号补建 TC-HOST-LFTINET（游标 070），族数 19 → 20。 自查：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）； 9 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。 --all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填） 与 ui-golden（ref/*.bin 不入库，新 worktree 天生没有黄金参考）三条失败，与本分支无关。	2026-10-23 23:44:52 +08:00
wandering1	59e6d77224	test(NET): net_events 模块（34 条，覆盖 97.8%），NET 三块收官 ... 假 CH395F 的第三批、也是 NET 域最后一块。net_events.c 覆盖 175/179 = 97.8%。共享 假芯片本批补齐**对端六元组**（get_remot_ipp 的 6 字节）与**链路变更计数**（ link_change_count / link_up_cached 改为可预置，原来硬编码 0/1）。 钉住的契约（都是真机上会发生、却不能按需复现的那类）： - 对端六元组解析：remote_ip 是**低字节在前**拼的（192.168.1.50 -> 0x3201A8C0，与 网络序相反）。钉住它是防止有人"顺手改成大端"，让所有按 IP 比对/白名单静默错位。 - 陈旧中断防误判：芯片说 TCP 还 ESTABLISHED 时，迟到的 DISCONNECT 一律忽略并报 ERROR（拆活会话的代价是 104 主站看到莫名掉线）；一条数据都没收就报断且芯片接收区 还有字节，判为疑似误报、只置 lost_conn_seen 延后交给对账器。 - 正常断开：优雅级沉降 + session_dead + last_peer_port 记旧端口 + 转 CLOSED + 发事件。 - 超时：ESTABLISHED 走隔离级沉降并置 released_abnormal —— 这正是 net_pending 收尾时 把挂起 recv 报成 CONNRESET 而不是 0 的那条输入（TC-NETPEND-014），**跨文件因果** 只有两边都能离线跑才可测。 - 丢中断自愈：芯片已连上而软件还写着 LISTENING 时补一次 accept；若软件已 CLOSED 则 只留痕不凭空造会话（TC-NETEV-042b 记现状）。 - 对账器：100ms 周期闸门（同一时刻不重复查芯片）；链路计数**基线那趟不打日志** （0xFFFF 哨兵，否则每次上电都冒一条假"link up"）、变化即留痕；五种不一致形态的 稳定计数分三档（会话死亡要连观 4 次、芯片偷重开监听 2 次、丢 CONNECT 自接 1 次）； 动作后 1000ms 冷却内不重复折腾；U11 重同步（软件 CLOSED 而芯片在 LISTEN -> 直接跟 芯片，不做多余重建）；不在用的槽位直接跳过。 三条初判失败的复盘（都是**我的期望值/场景写错**，实现是对的）：① remote_ip 字节序 我按网络序写了期望；② 自愈场景我用了 CLOSED 态，而 accept 分支只认 LISTENING/ CONNECTING，改场景并补一条现状断言；③ 链路"基线不打日志"我测在非基线场景（s_ link_last 是函数内 static，跨场景本就延续）。对账器的 s_last/s_bad[]/s_cool[] 都是 函数内 static（外部够不着），因此每个形态**各占一个 fd**、时基单调前进，互不串扰。 覆盖率与台账：套件 24 → 25 全绿；files_tested 28 → 29；未触及 .c 38 → 37；分母 3,766 → 3,945 行；line=3472/3945（**88.0%**，连涨两批）、func=263/290（90.7%）。 恒等式 37 = 3(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建 TC-HOST-NETEV（游标 058）， 族数 18 → 19。 自查：test-cppcheck Passed（含补齐后的假芯片）；check_ids --strict 通过；doc-links 35 处（= 存量）；16 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后 统一 --write 回填）与 ui-golden（simulator/tests/ref/*.bin 不入库，新 worktree 没有 黄金参考）三条失败，与本分支改动无关；提交按并行分支约定走 --no-verify。	2026-10-23 23:44:51 +08:00
wandering1	b4441f0e1e	test(NET): net_pending 模块（43 条，覆盖 87.1%），钉住通知值回传契约 ... 假 CH395F 的第二批消费者。新增 test/host/net_pending/，net_pending.c 覆盖 169/194 = 87.1%。共享假芯片补了**缓冲尺寸宏链的同构转抄**（RAM_BLOCK 512 / SEND_BLOCKS 2 → SEND_BUF 1024；RECV_BLOCKS 4 → RECV_BUF 2048 → SPI_DMA_BUF 2052 → SPI_DMA_MAX_PAYLOAD 2048），于是 net_pending.h 里的 NET_SEND_CHUNK_MAX 是**真值 1024**，分块断言测的是芯片上界而不是假件自己发明的数字。 本模块的核心契约是跨上下文回传：AGENTS 模块约定写着 net_* 的错误码经**任务通知值** 回传（net_msg_t 按值拷入队列，netTask 改的是自己那份副本，调用方永远看不到；也勿给 net_msg_t 加回传字段，否则调用方读到栈垃圾）。台架读不到通知值，所以把 xTaskNotify 做成可观测假件（记目标句柄与通知值）之后，这条契约才第一次被真正验证。 钉住的契约： - 注册闸门：越界 fd 报 BADF；同 fd 已有挂起报 BUSY；caller 为空报 BUSY；**属主任务 自己发起被拒**（自己等自己等于死锁 netTask）；to_ms=0 记为无限等（不置 deadline）。 - 到达与截断：读量钳在调用方缓冲内（绝不越界写别人的 buf）；readable 但芯片没数据时 只清标志继续等，不误交 0 字节。 - 收尾四条分支：还有残留先把最后一包读走再收尾（**不丢尾包**）；干净结束报 0 并按 auto_relisten 请求重开监听（不自动重开的不被偷偷要求重建）；released_abnormal 报 CONNRESET 而不是 0（调用方要能分辨好坏收尾）；session_dead 与 CLOSED 同路。 - settle_close：没挂起时直接返回不打扰芯片；有残留交还字节数；无残留报 CONNRESET。 - 挂起发送：参数校验（buf 空 / len<=0 / sent<0 / sent>=len 报 INVAL）；单次写入钳在 NET_SEND_CHUNK_MAX；**deadline 每写一轮就续期**（还在推进就不该被 1000ms 掐死， FTP 上传大文件最容易撞这条）；停滞不前进才报 TIMEDOUT；槽位消失或会话塌掉都**交还 已发字节数**（不是错误码，调用方据此算进度）；cancel 留痕且幂等；**clear 不发通知** （与 recv 侧同一条纪律，不给调用方假答复）。 自查：42/43 首跑，唯一红的是**我的测试构造缺陷**——无限等那条没先把槽位置成在用， 被 in_use==0 兜底分支提前收口，测不到时间轴；补 mk_sock 后 43/43。reset_all 从上一 批的教训直接带过来（连被测模块的 static 挂起表与属主句柄一起复位），这次没再红。 覆盖率与台账：套件 23 → 24 全绿；files_tested 27 → 28；未触及 .c 39 → 38；分母 3,572 → 3,766 行；line=3297/3766（87.5%）、func=255/282（90.4%）。恒等式 38 = 4(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建 TC-HOST-NETPEND（游标 040）， 族数 17 → 18；注册表仍只做增量插入。 自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）； 12 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。 --all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填） 与 ui-golden（ref/*.bin 不入库）三条失败，与本分支改动无关。	2026-10-23 23:44:51 +08:00
wandering1	0a3b932395	test(NET): 假 CH395F 芯片落地 + net_listener 模块（34 条，覆盖 99.2%） ... 按 §9 规格做假芯片的第一批消费者。新增 test/host/common/ch395f_fake.{h,c}：15 个 函数的**真实原型逐字照抄**（含 ch395f_sock_state_t{open,tcp_state} 与 ERR_SUCCESS/ PROTO_TYPE_TCP/SOCKET_CLOSED/TCP_CLOSED/TCP_LISTEN 的真实取值），脚本化模型沿用本仓 既有假件风格：读函数按调用序号取返回队列（耗尽回落最后一个值）、写函数记次数与 最近入参、外加一条**调用顺序日志**让时序契约可断言。两条芯片怪癖必须复刻： ① get_sock_int_status **整体读即清**、无按位清除手段（AGENTS 模块约定 B3 实证坑， 不复刻就照不出"顺手全量清一遍把别的在用 Socket 门焊死"）；② *_cached 是**缓存值** 而非现场值，"监听还活着"的判据是 (open != CLOSED && tcp_state == LISTEN)。 各模块 stub/ch395f.h **只做转发** include 共享件（规格里拍板的方案）：三份假芯片各自 漂移会让"假件与被测代码同时错"再也报不出来，签名与常量只能有一份定义。 新增 test/host/net_listener/，34 条断言，net_listener.c 覆盖 125/126 = **99.2%**。 钉住的契约（真机上一闪而过、台架凑不齐的组合）： - 四道互相牵制的时间闸门：30ms 退避（20ms 不重试、30ms 重试）、隔离级 400ms 与 优雅级 100ms（399ms/99ms 不放行、400ms/100ms 放行）、**800ms 上限只留痕且不放弃 请求**（留痕只打一次，到 2000ms 预算耗尽才报 ERROR 交对账器）。排期登记里那句 "沉降窗 800ms 上限只留痕"至此第一次有了可执行的验证。 - 该不该重建：芯片仍报 LISTEN 就不重建且清空请求；有挂起 recv/send 时让路但**保留 请求**（挂起结束自动补做）；五种条件静默放弃（非 LISTENING/CLOSED 态、 auto_relisten=0、非 STREAM、local_port=0、in_use=0）。 - 失败不留半成品：open 失败关回去并回 BUSY；listen 失败也必须 close_socket。 - 重建后簿记：转 LISTENING、清 send_ready/recv_bytes/remote_ip(_arr)/remote_port、旧 remote_port 记进 last_peer_port、清 lost_conn_seen/released_abnormal；源端口与协议 取自表项本身（监听端口不能漂）。 - 芯片时序：清接收 → 关断 → 读即清 → 读状态（顺序不可换）；清理接收区单次读钳到 256B、最多 16 轮、读到空即停。越界 fd 全程静默且不打扰芯片；请求去重保留首个 reason。 测试自查修了两处（都不是生产问题但值得记）： ① reset_all 只复位假世界、**没复位被测模块自己的 static**（s_relisten_req/_next/_dead/ _quarantine/_settle_*/_capped），一上来红了 9 条；改用模块自带的 net_listener_clear() 清，顺带验证了 clear 的完整性。 ② 沉降窗边界必须在**独立场景**测：放行判定与 30ms 退避共用 s_relisten_next，同一条 链里"恰好 400ms"那轮 tick 会被上一轮设的退避槽挡掉。这本身是个该知道的事实—— **hold 到点后最坏还要再等一个退避周期（实测 ≤30ms）才真正放行**，已写进用例注释。 另留痕一处死分支：net_relisten_locked 的 NET_ERR_BADF 从 tick **不可达**（tick 在调用 前就因表项为空放弃），TC-NETLIS-026 记着，新增调用点时要重新审视。 桩的口径：net_listener.h/net_types.h/net_config.h/net_pending.h 用**真实头**（net_sock_t 字段与各枚举一改即编译期报错）；net_socket.h 是桩，但 net_set_errno 与 NET_ERR_RETURN_1 照抄真实头同名宏（net_socket.h:528/532）；真实 net_pending.h 原型带 TaskHandle_t，故 宿主 FreeRTOS.h 补一个 void* typedef（只出现在签名里，被测代码从不传它）。 覆盖率与台账：套件 22 → 23 全绿；files_tested 26 → 27；未触及 .c 40 → 39；分母 3,446 → 3,572 行；line=3128/3572（87.6%，本批净涨因为新进来的文件几乎全绿）、 func=243/266（91.3%）。恒等式 39 = 5(P1 剩) + 5(P2) + 29(P3) 仍咬合。编号补建 TC-HOST-NETLIS（游标 026），族数 16 → 17；注册表仍只做增量插入。 自查：test-cppcheck Passed（连假芯片一起过）；check_ids --strict 通过；doc-links 35 处 （= 存量）；新增文件 BOM/CR/U+FFFD/行尾逐项净。**本增量零生产代码改动**，未跑 @build。 --all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填） 与 ui-golden（ref/*.bin 不入库，新 worktree 天生没有黄金参考）三条失败，与本分支无关。	2026-10-23 23:44:50 +08:00
wandering1	5224f21622	fix(NET,lftpd): 处置覆盖率照出的三处死路径（改名 + 修 timeout=0 + 激活异常集） ... 三处都由本轮 P1 新增的主机单测照出，用户逐条裁定后实施。共同性质：都不是改动引入 的回归，而是**从没被执行到的分支**——生产路径上要么没有调用者、要么没走边界，所以 编译器（0 错 0 警）、cppcheck、真机日志对它都无话可说。 1) 缺陷一（选 a：改名，行为零变化） lftpd_string_trim 的尾部循环起点落在 strlen(p) 那一格 NUL，isspace(0) 为假 → 循环体一次都不执行，"尾部空白从未被裁"，而名字承诺两头都去。改名 lftpd_string_ltrim + 删掉那条死循环 + 在 .h/.c 写明"只去前导"。不去尾才是对的： RFC 959 以命令终止符 CRLF 界定命令，参数（PASS 口令、含空格的文件名）的尾随 空格属于参数本体，去掉等于静默改数据；CRLF 已由 lftpd_inet_read_line 截断。 调用点 lftpd.c 同步改名。全库无遗留真引用（余 6 处旧名均为解释改名历史的散文）。 2) 缺陷二（按推荐修） net_select 的 timeout = {0,0} 换算出 timeout_ms = 0，而退出条件写着 if ((timeout_ms > 0) && (已用时 >= timeout_ms)) → 超时永不生效，退化成死等； POSIX 语义是"只查一轮立即返回"。去掉 timeout_ms > 0 这个错误前置即可。就绪 检查在本判断之前，故有就绪时仍立刻带计数返回；同文件 net_poll_events 的 timeout >= 0 本来就对，现在两条对齐。风险面：拿它当"非阻塞查一遍"会让 netTask 回不到主循环，而 netTask 在 IWDG required_mask 里（串行 socket 栈唯一执行者）。 3) 缺陷三（选 ①：按 POSIX 置位） exceptfds 是恒为空的死参数：循环开头 p_sock == NULL → continue 先跳过，而 check_socket_error() 只有"表项为空 / fd 越界"才返回 1，越界的 i 又不在本循环 范围内 → 调用方按 POSIX 直觉用它收异常，永远什么都收不到，且返回码不报错。 把异常判定提到 continue 之前：表项不存在的 fd 计入 exceptfds 与返回计数，并更新 函数注释。选 ① 会改变返回计数语义，故补一条"未请求异常集时不计数"的用例， 确保只查可读的老调用方不被误伤（TC-NETSEL-012b）。 测试同步翻转：原 TC-NETSEL-008 / TC-NETSEL-012 是"现状桩、改了会响"，现在改成正向 契约，并新增 TC-NETSEL-012c（异常位只落到被请求的那个集合）；TC-LFTSTR-005 从 "尾部不裁"的现状登记改为正向契约（尾随空格必须保留）。net_select 22/22、 lftpd_io 33/33 全绿。 @build：0 错误 0 警告。实测体积 ER_IROM1 232,512 B（快照 232,536 → **−24 B**）、 Flash 233,704 B（−20 B）、RW_IRAM1 75,272 B（+8 B 是上一提交 net_cfg 那个字节， 本批零新增）、**RW_CCM 57,376 B 不变**；四档百分比 22.2/57.4/87.9/22.3 全不变。 Code 减少 36 B 即删掉的死循环。 覆盖率台账：门禁如实报了一次 lftpd_string.c 已覆盖行 8 → 7（**代码少了一行**，不是 覆盖退化），已 --update-baseline 重登；现 22/22 套件、line=3003/3446（87.1%）、 func=236/259（91.1%）、tested_files=26、untested_files=118。 文档：主机单测覆盖率口径 §9 新增"三处死路径的处置"小节（裁定、改法、影响、钉住 它的用例一一对应），并把两处"等裁定"的登记改为已处置。 自查：coding-standard / test-cppcheck / id-check --strict（无台账外新账）/ doc-links （35 处 = 存量）全过；八个改动文件与 HEAD 逐项比对 BOM/CR/U+FFFD/行尾无变化 （这几个文件本就不带 BOM，未被动过）。pre-commit --all-files 仍只有三条失败且与 本分支无关：mem-numbers / mem-budget（.map 与 docs/内存管理 受管快照漂移，增量见 上，按并行分支约定不在分支里 --write，等 Lead 合并后统一回填）与 ui-golden （simulator/tests/ref/*.bin 在 .gitignore 内，新建 worktree 天生没有黄金参考）。	2026-10-23 23:44:48 +08:00
wandering1	658bc40ccc	test(NET): net_select 模块（21 条）与 NET 域首份 ch395f 桩，登记两处死路径 ... P1 的 NET 四块开了第一块：新增 test/host/net_select/，21 条断言全部 MSVC 编译 通过并 PASS。net_select.c 一个芯片函数都不调，所以它是四块里唯一不需要假芯片的， 先把它拿下，顺带把 NET 域的桩骨架立起来。 钉住的契约： - 就绪位回写：入参集合里未就绪的 fd 必须被清掉，只留就绪的（POSIX 语义）；未请求 的集合不被写回、可以传 NULL。 - 状态准入：LISTENING 即使 readable 也不算可读（accept 语义不在这层）；ESTABLISHED + send_ready 才可写；CONNECTING 时 send_ready 不作数。 - 边界：nfds 为 0 / 负 / 超过 NET_MAX_SOCKETS 都返回 -1（不许扫出 socket 表外）。 - 超时算术：tv_usec 是**整除截断**（1999us 当 1ms 而不是 2ms）；timeout=NULL 时 无限等并由对端事件唤醒；poll 的 timeout=0 首轮即退、每轮先清 revents。 用可控 tick（每问一次 +1）+ 可控 osDelay（计数、可指定轮数后造一个就绪 socket） 把这些变成确定性轮数，台架上根本构造不出"没人来连时该怎么退"。 照出两处**死路径**（只登记，未改语义；全库唯一调用点 test/board/net_test_task.c 传的是 NULL 与非零 tv，今天没有受害者）： 1. net_select 的 timeout = {0,0} 换算出 timeout_ms = 0，而退出条件写的是 if ((timeout_ms > 0) && (已用时 >= timeout_ms)) → **超时 0 永不触发退出**，退化成 无限等；POSIX 在这里必须立刻返回 0。同文件 net_poll_events 写的 timeout >= 0 是对的，两条并排放着正好是对照。风险面：谁拿它当"非阻塞查一遍"，netTask 就 回不到主循环，而 netTask 在 IWDG required_mask 里。 2. exceptfds 是恒为空的死参数：循环体开头 p_sock == NULL → continue 先跳过， check_socket_error 的 NULL 分支从 select 里到不了。按 POSIX 直觉用它收异常的人 会永远什么都收不到。 两处都用"现状桩"钉成改了会响（用例名里写明不是期望行为）。另修掉我自己写错的一条 用例：给 timeout=NULL 又没有就绪 fd，直接死循环——已在假 osDelay 里加了 500 轮 保险（跑飞就 exit(2)），因为挂死的测试会把 exe 文件名占住、让后续构建报 LNK1104。 桩的边界写死在文件头：net_select.h / net_types.h / net_config.h 用真实头（net_sock_t 字段名与 NET_SOCK_STATE_* 一改即编译期报错）；main.h / cmsis_os.h / FreeRTOS.h / task.h 是本目录桩；新建的 ch395f.h 是**空壳**，只服务不调芯片函数的文件—— net_pending / net_events / net_listener 直接调十余处 ch395f_*，要的是可脚本化返回的 假芯片，不要把这个空壳当成"NET 域桩已就绪"。 覆盖率：套件 21 → 22 全绿；files_tested 25 → 26；未触及 .c 41 → 40；分母 3,332 → 3,446 行；net_select.c 97/114（85.1%）。恒等式更新为 40 = 6(P1 剩) + 5(P2) + 29(P3)。 编号按 B 层口径补建 TC-HOST-NETSEL（游标 019），TC-HOST 族现共 16 族；注册表仍只 做增量插入。 自查：test-cppcheck Passed；check_ids --strict 通过；doc-links = 35 处（= 存量）； BOM/CR/U+FFFD/行尾逐项净。本增量零生产代码改动，未跑 @build。--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）与 ui-golden （ref/*.bin 不入库，新 worktree 天生没有黄金参考）三条失败，与本分支无关。	2026-10-23 23:44:48 +08:00
wandering1	6bdf063f50	test(NET/lftpd): P1 增补 lftpd_io 模块（33 条），登记 FTP 域一处潜伏缺陷 ... 新增 test/host/lftpd_io/：一个 TU 同时纳入生产源 lftpd_io.c 与 lftpd_string.c （两者静态符号不冲突，省一套桩），33 条断言全部 MSVC 编译通过并 PASS。 钉住的契约（都是真机上偶发、日志看不出根因的那类）： - 路径规范化：**".." 上跳过头仍被钳在根内**（"/a" + "../../x" = "/x"）——FTP 客户端 可发任意路径，这是安全属性；绝对名忽略 base、"." 丢弃、段间多余斜杠折叠、 NULL 入参容忍、全空结果归 "/"。 - 分配失败：这个函数返回 pvPortMalloc 出来的指针（历史上正是它落在 C 库 malloc 上， RAM 方案 §4.2.1）。用**可注入失败的假堆**跑两条分支：首块失败 → NULL；结果缓冲 失败 → NULL **且第一块已 vPortFree**（不泄漏堆）。模拟器宿主 CRT 永不失败，这条 只有假堆能构造。 - 卷锁时机：open 成功**故意不释放**（整个传输期独占卷，由 close 释放），失败必须 释放并留 ERROR；单文件槽守卫 s_file_open 命中时**不碰卷锁也不碰 FatFs**。 - 等卷锁循环每轮喂看门狗（lftpd_task_wd_beat）：defaultTask 与 FTP 争卷时这里可能 空转上百毫秒，漏喂就是整机复位。脚本化 vol_lock_wait 的返回序列直接构造 2 轮空等。 - lftpd_string_trim：行首空白由**返回指针**跳过、原缓冲不搬移（调用点 lftpd.c 用的 正是返回值）；全空白串返回空串。 **本批照出一处，未改语义、只登记**：lftpd_string_trim 的尾部循环写成 for (i = strlen(p); i >= 0 && isspace(p[i]); i--)，i 起步那格是 NUL、isspace(0) 为假 → 循环一次都不执行，**尾部空白与 CRLF 从未被裁掉**。今天不发作是因为 CRLF 在 lftpd_inet_read_line 里已用 strstr 截断、且唯一调用点只关心行首；风险在于"以后有人 拿它去尾部空白"不会生效。修法只要一行（i 从 strlen(p)-1 起），但那会改变 FTP 参数 （含空格的文件名/口令）的可见行为，需要 FTP 域一起过，**留给用户裁定**；当前用 TC-LFTSTR-005 把现状钉成"改了会响"（明确标注是现状桩、不是期望行为）。 未覆盖也写在文件头：lftpd_io_read/write/close/stat/unlink/opendir/readdir/closedir 要先把假 FIL/FILINFO 的字段语义（fptr、obj.objsize、fname 等）做实，否则断言会落在 假件自己写的规则上；这 8 个 f_* 只给了可链接的 FR_INT_ERR 实现，走进即失败不静默。 覆盖率：套件 20 → 21 全绿；files_tested 23 → 25；未触及 .c 43 → 41；分母 3,163 → 3,332 行；lftpd_io.c 85/159（53.5%）、lftpd_string.c 8/10。总体 line_rate 88.9% → 87.2% —— **这是摊薄不是回退**（新进来的文件只测了一半，分母涨得比分子快），已按 §5 口径写进口径文档 §9 的落地进度表；恒等式更新为 41 = 7(P1 剩) + 5(P2) + 29(P3)。 编号：按 B 层口径补建 2 族 TC-HOST-LFTPIO（游标 037）与 TC-HOST-LFTSTR（005）， TC-HOST 族现共 **15** 族；id_registry.json 仍只做增量插入（无重排）。 自查：test-cppcheck Passed；coding-standard Passed；check_ids --strict 通过（无台账外 新账）；check_doc_links --all = 35 处（= 存量，本分支贡献 0）；新增/改动文件 BOM/CR/ U+FFFD/行尾卫生逐项净。**本增量零生产代码改动**（只加测试、注册表与文档），故未跑 @build。pre-commit --all-files 仍只有三条失败且与本分支无关：mem-numbers / mem-budget （本 worktree 上次 @build 生成的 .map 与受管快照漂移，增量 ER_IROM1 +12B、RW_IRAM1 +8B、CCM 0，按并行分支约定不在分支里 --write，等 Lead 合并后统一回填）与 ui-golden （simulator/tests/ref/*.bin 在 .gitignore 内，新 worktree 天生没有黄金参考）。	2026-10-23 23:44:47 +08:00
wandering1	b1291f1308	test(NETCFG,CFG): P1①四个主机单测模块，并修 net_cfg 的 WAIT 契约与定长错记 ... 按 docs/测试说明/主机单测覆盖率口径.md §9 的清单吃 P1 第①批「配置与工具」四块， 新增 4 个主机单测模块共 104 条断言，全部 MSVC 编译通过并 PASS： - test/host/net_cfg/（45 条）：出厂默认可用、注册幂等与内容、load 报 -1 仍返回 0 （RAM 恒有效契约）、跨任务保存交接状态机 IDLE/WAIT/OK/FAIL、MAC 三态优先级、 IPv4 定长格式化。 - test/host/ftp_cfg/（16 条）：[ftp] 段注册（**p_cb 必须为 NULL**，口令下次登录才 生效）、默认口令判定大小写不敏感、NULL 一律判不等（fail-closed）。 - test/host/prot_set_store/（16 条）：blob 返回码分流 1 无档 / 0 成功 / **2 换代 （只打 INFO）** / -1 损坏；写盘失败必须回置脏标志（否则定值静默丢失）。 - test/host/task_prof/（27 条）：无效样本闸门（防 DWT 复位把 max 抬到 2^32）、 未 enter 就 exit 不记账、首次 5s + 每 2s 节流、环形缓冲与裸发两通道、 周期→微秒换算随 SystemCoreClock 变。 覆盖率收益（已 --update-baseline 登记）：套件 16 → 20 全绿；files_tested 19 → 23； 未触及 125 → 121 个文件（.c 47 → 43、9,657 → 9,228 行）；分母 2,893 → 3,163 插桩 行；line=2811/3163（88.9%）、func=225/240（93.8%）。§9 的恒等式同步更新且仍咬合： 43 = 9(P1 剩) + 5(P2) + 29(P3)、9,228 = 2,188 + 2,226 + 4,814。 新单测照出并修掉两处真问题（都在 net_cfg，不是测试写错）： 1. 实现违反自己的文档契约：net_cfg.h 明写"属主任务写盘中显示 WAIT"，但 net_cfg_save_run 为了不丢新请求会先清 pending 再写盘 → 写盘那几百毫秒里 UI 保存行退回上一轮的 OK/IDLE（第一次保存按 ENTER 后屏幕上还是 ENTER），用户只 会再按一次。补 s_save_busy 标志，TC-NETCFG-028/026/030 钉死（含失败路径必须 清 busy，否则 UI 永久卡 WAIT）。 2. "定长 11 字符"是错的：%03u.%03u.%03u.%03u = 4 段×3 位 + 3 个点 = **15**。这个数 错了 4 处（net_cfg.h、net_cfg.c、网络配置说明.md 两处）——是我照抄它才撞上 FAIL，错在文档不是代码。已全部更正，并确认 len ≥ 16 的要求与 UI_BUF_STRLEN=32 本来就没问题（无截断风险）。 桩的口径（沿用既有模块，不另起一套）：真实头优先——cfg_file.h / cfg_file_store.h / console_log.h / prot_set.h 全用真头（接口一漂移就编译期报错），只有 main.h 必须桩 （真实 main.h 拉整棵 HAL 头树，PC 上编不动；桩里字段名与位掩码宏名与 CMSIS 一致）。 prot_set_store 连真实 prot_set.c 一起编：blob 的编解码与脏标志在它里面，只有拿真 serialize 产出的 blob 才能造出"换代"与"损坏"两种真实形态，手搓等于测自己的桩。 配置引擎本身（解析/写盘/沉降）归 test/host/cfg_file 的 103 条，本批不重复测。 编号门禁：按 2026-10-21 批 3 的 B 层口径补建 4 族 TC-HOST-*（NETCFG 游标 056 / FTPCFG 014 / PROTSTOR 016 / TASKPROF 020，代码即属主登记处）。这一步不是走形式： 建族之前文档里引用 TC-NETCFG-028 被判「台账之外新账」直接卡提交，建族后才通过； 编号规范 §8.4 变更记录加一行说明族数 9 → 13。id_registry.json 只做增量插入（+88 行， 无重排）。 自查（提交时 pre-commit run --all-files，**仅 3 条失败且都与本分支改动无关**）： - mem-numbers / mem-budget：本 worktree 因需验证代码改动而 @build 过，新生成的 .map 与 docs/内存管理 受管快照漂移。实测增量 ER_IROM1 +12 B、RW_IRAM1 +8 B、Flash +16 B、**CCM 0**，水位百分比全不变（改动 = 1 个静态字节 + 几条指令）。按并行分支 约定**不在分支里 --write**，台账由 Lead 合并后统一回填。 - ui-golden：simulator/tests/ref/*.bin 写在 .gitignore 里（黄金参考是本地生成物）， 新建的 worktree 天生没有，报的是"缺黄金参考"而非像素差异；本分支零 UI 文件改动。 - 其余全部 Passed，含 @build 0 错误 0 警告、test-cppcheck（它抓到过我一条 p!=NULL 后又解引用的写法，已改为断言+显式守卫）、coding-standard、doc-links（35 处=存量）、 id-check --strict、mojibake 与 BOM/CR/U+FFFD/行尾逐项卫生。 - 自审修掉自己写的两条恒真断言（形如 x==0?1:1 的假绿）与一个重复编号标签。 - 4 个新模块**尚未挂 pre-commit 钩子**：.pre-commit-config.yaml 是单写文件，任务工作 树内不改；覆盖率脚本按 test/host/**/run_unit_test.py 自动发现，已实跑 20/20。 - 未跑 @test：改动仅 1 个静态字节 + UI 保存行的显示时序，无硬件语义变化。	2026-10-23 23:44:47 +08:00
wandering1	6505cef9df	feat(门禁): coding-standard 加 CODE-RULE-20 禁 C 库堆分配（销 §4.8 空白 ②） ... 规则：在**掩码后**的文本上匹配 malloc/calloc/realloc/strdup/strndup/ free/aligned_alloc 调用。三条判据都是踩过坑之后定的—— - 大小写敏感：pvPortMalloc / vPortFree（唯一允许的配对）不会误报； - 词边界 \b：dhara_nand_is_free(、buf_alloc( 这类同形后缀不误报； - 用掩码：注释与字符串字面量里写 malloc 不报（规范示例就踩过这种）。 覆盖名比 AGENTS 列的五枚多带上 strndup / aligned_alloc——同族同类， 漏一个就等于留后门。 出处不在规范 V1.0，在平台约束：MicroLIB 的 C 堆由 startup_stm32f407xx.s 的 Heap_Size EQU 0x200 只有 512 B，KB 级分配必返 NULL，而模拟器（宿主 CRT 堆）完全正常、**照不出来**——配置引擎 2026-09-18 那次堆分配纠偏与 lftpd 的 malloc 隐患都是**先上线才发现**的那类，靠评审等于没管。 落地前按 门禁说明/coding-standard.md §8 的纪律先全库普查：钩子范围内 C/H 共 151 个文件，命中**只有** simulator/sim/cfg_file_store_sim.c 两行， 即 cfg_store_alloc/cfg_store_free = **平台分配后端的宿主侧实现**（设计依据 写在 docs/子系统设计/配置文件设计说明.md 的"MCU 端 = pvPortMalloc、 模拟器端 = 宿主 CRT"）。所以零基线、直接硬拦截；豁免用脚本里的 HEAP_ALLOC_ALLOWLIST（**文件路径 + 函数名**双条件），刻意不做目录级豁免： 下次谁要碰 C 堆就得往这张表加一行，评审看得见。 自证：临时样例文件里 malloc/calloc/free 各报一处，pvPortMalloc/vPortFree/ buf_alloc(、注释、字符串五种陷阱形态全部不误报； pre-commit run coding-standard --all-files → **Passed**（= 全库零存量）。 顺带修三处口径不一致： - 规范 V1.0 §6.1 的示例自己写着 malloc/free（通用 C 模板遗留）→ 已在示例 下加"本仓例外，别照抄"批注，事实源指向 AGENTS.md 平台约束； - docs/门禁说明/mem-budget.md 里"这条纪律只靠 AGENTS 铁律与评审"已过期 → 更正为由 CODE-RULE-20 机器拦截； - AGENTS.md 平台约束条加"已机器拦截 + 唯一豁免"一句；scripts/README.md 补登 check_test_coverage.py（上一个提交漏登记）。 另：本次一并修好上一处编辑事故——报告 §4.8 曾被我的脚本调用截成半句 （只落第一行、丢掉 malloc 那半句），已重写为"两处空白均已闭合"。 自查：pre-commit run --files（9 个改动文件）适用项全 Passed； check_doc_links.py --all = 35 处，与主干同数（本分支贡献 0）； check_ids.py --strict 通过（裸编号 P0-1 改平实说法，避免记成新账）； 9 个文件 BOM/CR/U+FFFD/行尾与 HEAD 逐项一致。本轮零 .c/.h 改动，未跑 @build、未占 build/bench 锁；分支已 rebase 到 v2-on-ui，覆盖率脚本全量 回归仍 16/16、line=2552/2893 不变。	2026-10-23 23:44:46 +08:00