wandering1/STM32F4-Base
1
0
Fork 0
Code Issues 30 Pull Requests Actions Packages Projects 2 Releases Wiki Activity
712 Commits 3 Branches 0 Tags
69d70af4cf2a9ad63292d454f062f63cb426b508
Commit Graph

204 Commits

Author SHA1 Message Date
wandering1 69d70af4cf docs: 零点记录表改为与 adc 日志同序，补实测数据 
台架首次实测暴露一处抄数陷阱：adc: 日志列序是 UA UB UC UN IA
IB IC IN，而记录表按语义分组排成 UA UN IA / UB UC IB IC IN。
照日志从左往右抄进表格从上往下，UN/IA 就填成了 STM32 的 ~1000、
UB/UC 填成了 TPAFE 的 ~11450 —— 而 UN/IA 属 TPAFE、UB/UC 属
STM32，这两个量级在物理上不可能，看起来像"数据全错"。

- 记录表行序改为与 adc: 日志完全一致，并加"转换器"列，量级对不上
  时一眼能看出来
- 表前加警示，把这次踩坑的经过写成具体例子（不写"注意顺序"这种
  空话，写清错在哪、错成什么样）
- 补"怎么抄短接后的数"：只抄该路那一列，别贴整行；塌到 0 的不是
  你以为那一路，属映射问题转 §5.4，不是零点问题
- 补一句"短接后读到 0 是短接到位，不是取数失败"
- 记 2026-10-27 首次实测空载值（按日志列序归位）：UA 11429 /
  UB 1044 / UC 954 / UN 11453 / IA 11451 / IB 1040 / IC 1062 /
  IN 980，与 18:04 烧录后开机日志一致

§8 已知坑按属主决定删除，不再保留。
 2026-10-27 18:33:18 +08:00
wandering1 00f9958cbb docs: ADC 注入流程记录表并入各步，删 §9 与变更记录 
原来"§5 步骤"只给判据、表格集中在 §9，台架现场要来回翻页；
现在每步末尾就是该步的填表处，边做边填。

- §5.2 零点：参考表与记录表合成一张，8 路逐行留空
- §5.3 三点线性：目标/实测/码值/反算 + 两片转换器期望码同表
- §5.4 逐通道映射：8 行，含"是否符合预期"列
- §5.5 极性：三路 × 正负两点 + 对称性偏差
- 删 §9「记录表」整节与「变更记录」小节，章节回到 1~8
- §4 与 §5.4 里指向 §9 / 附录表的引用改为"本节记录表"
- docs/README.md 目录描述同步为"每步自带现场记录表"

变更记录虽按 docs/文档规范.md 表格属"建议"保留项，但本文是台架
作业指导书，历史沿革查 git log 即可，正文只留当前有效动作。
 2026-10-27 17:57:11 +08:00
wandering1 2b4c0e97c2 docs: ADC 注入流程 §4 补码值刻度图 
§4 的「码」定义表只有文字与数字，台架现场容易把 TPAFE 的
152.59 µV 与 STM32 的 805.66 µV 混着用。新增一张刻度尺对照
图（docs/images/ADC码值刻度.svg），上下两把尺子分别标出
11430 码 ≈ 1.744 V 与 1000 码 ≈ 0.806 V，把"同一整数在两片
转换器上代表不同电压"变成可见的；正文补一句两把尺子差 5.3
倍、§9 每格必须写明所属通道。

生成器 tools/arch_diagram/gen_adc_code_scale_svg.py 沿用图形绘制
流程 §3.2 约定（纯标准库 / html.escape / newline="\n" /
ElementTree 自检 + 文字溢出预检）；码制与 LSB 数据集中在
PANELS 常量，换芯片才重画。已登记到 tools/arch_diagram/README.md
与 docs/架构设计/图形绘制流程.md 的生成器表 + 变更记录。

目检用无头 Chrome 截图完成（cairosvg 未装，截图不入库）。
 2026-10-27 17:25:51 +08:00
wandering1 e50d2b5cf0 docs(adc): §4 补「码」的定义与两片转换器的刻度对照 
用户反馈"码这个单位第一次见"。补一张刻度对照表：
- TPAFE5160 16 位双极性，−32768~+32767，1 码 152.59 µV
- STM32 ADC1 12 位单极性，0~4095，1 码 805.66 µV

带换算示例（11430 码 ≈ 1.744 V，与 cal: 行 1743 mV 自洽），
并写明本文为何一律用码：固件打印的就是码，且把码换成伏正是本次
要验证的事，先换算等于默认了未验证的系数。
 2026-10-27 17:19:13 +08:00
wandering1 c92d503851 docs(adc): 修 §5.2 表格渲染，讲清零点这步怎么填 
原表单元格里写了未转义的竖线（绝对值符号），被 GFM 当成列分隔符，
整张表渲染成乱码，看不出要填什么。§6 判据汇总同病同修。

同时把这一步的操作讲清楚：
- §5.2 补"做什么"四步：断电短接 → 上电读 adc: → 抄进 §9.1 → 断电换下一路
- 明确本节只给判据，要填的表在 §9.1（原表看着像表单，实际是参考值）
- §9.1 记录表加"空载码值（浮空）"列与填法说明，让空载与短接两个数都留痕

表格列数已用脚本复检三份相关文档，全部对齐。
 2026-10-27 17:17:03 +08:00
wandering1 dc9ae01f50 docs(adc): 更正步骤 0 判据——端子对 AGND 不是 1 kΩ 
原判据写"端子侧应量到 1 kΩ 量级（串阻 + 转换器输入阻抗并联）"，两处错：

1. 端子到 AGND 是串联通路：R31(1k) → AIN_7P → 芯片内部 1 MΩ →
   AIN_7GND → R32(1k) → AGND，合计约 1.002 MΩ。1 kΩ 只在串阻两端成立。
2. 芯片输入阻抗是 1 MΩ 恒定（TPAFE5160 手册 "Analog Input
   Impedance" 节），量级上与 1 kΩ 并联不出 1 kΩ。

改为三行分测表：串阻两端 ≈1 kΩ / TPAFE 侧对 AGND ≈1 MΩ /
STM32 侧对 AGND 高阻不定量。并写明本步只排除短路、不验收正确性。

顺带把手册的匹配要求写进去：AIN_nP 与 AIN_nGND 两侧外接源阻抗
要相等以抵消失调误差，R31 / R32 各 1 kΩ 即为此——这就是 R32 的
存在理由（匹配，不是分压），补强"本板无分压"的结论。

ADC通道映射说明.md §7「前端偏置」行同步补 1 MΩ 与匹配依据。
 2026-10-27 17:12:54 +08:00
wandering1 9163a92d3b docs(adc): 前端拓扑改 SVG，③ 段定死 1:1（本板不是分压器） 
ASCII 拓扑图把 C44 / R32 画成挂在 ADC7 下的一根竖线，读起来像 2:1 分压，
恰是文档要否掉的结论。改为两个节点分开画的 SVG，并加 STM32 侧对照面板。

- 新增 tools/arch_diagram/gen_adc_frontend_svg.py →
  docs/images/ADC前端电路.svg（纯标准库 + 文字溢出预检 + 幂等重跑）
- docs/测试说明/ADC前端注入验证流程.md §2、docs/硬件平台/
  ADC通道映射说明.md §7.1 的 ASCII 图换成该 SVG
- ③ 段（AINn ↔ 转换器引脚）定死变比 1:1：ADCn 节点只有
  {串阻.2, 滤波 C, 转换器引脚}，无对地元件；"1k 到地"接在差分负端
- 305.18 / 1611.3 µV/码（读法 A）作废；数据可信.md §2.1 表改为
  引脚侧系数 152.59 / 805.66，卡 0 判据从"判别两种读法"降为
  "确认转换器 LSB 与逐通道映射"
- 顺带修 ADC通道映射说明.md §8 步骤 1 的 §5.1 自引用误判
  （文档名以 V0.0 开头被前缀规则误认，改写成全路径形式）

门禁：Keil 无关（纯文档 + 生成器）；check_ids --strict、
check_doc_links --all --sections-strict、pre-commit 全过。
 2026-10-27 17:08:56 +08:00
wandering1 343305b433 feat(adc): 心跳新增 adc: 行输出 9 路原始码值，并补卡 0 台架注入验证流程 
背景：ADC 采集的软件链路已全部打通（节拍、语义取数、折算、相量、
200 ms 快照、104/UI 消费），但"读数对不对"从未验证过——卡 0 的
已知电压注入一直挂账。挂账的直接原因之一是读数出口不够用：
固件只有 cal: 行（UA/UN/IA 三路，mV）与 first: 行（9 路码值，仅
开机一次），验 8 个通道 × 3 个注入点要复位二十余次。

改动一（App/task/adc_task.c，v3.3）
- 心跳新增 adc: 行，每 10 s 输出 9 路原始码值，与 first: 行同序
  同格式，台架"改电压 → 读一行"即可对表，全程免复位。
- 不并入 cal: 行：9 个码值会把该行推到 168 字符，撞
  DBG_CON_LINE_MAX(192) 的静默截断边界（截断不报错，只会少打几路，
  是最难发现的台架假数据来源）。
- 无新增跨任务状态、无新增外设访问；栈 +36 B（局部码值数组），
  adcTask 静态最坏 1400 B / 余量 1160 B（底线 1024 B），stack_report
  PASS；静态 RAM 不变，Flash +188 B。

改动二（新增 docs/测试说明/ADC前端注入验证流程.md）
- 卡 0 的执行侧：注入点清单、期望码值表、零点/线性/映射/极性/节奏
  五步、现场记录表、安全红线、已知坑。
- 固化 2026-10-27 的网表结论：逐通道追 V0.1.tel 确认 ADCn 节点上
  只有"串阻 2 脚 + 滤波电容 + 转换器引脚"，没有对地分流电阻；所谓
  "1k 到地"是 TPAFE 负输入脚 AIN_nGND 经 1k 拴到 AGND 的差分滤波。
  故本板不存在 2:1 分压，端子侧斜率 = 引脚侧斜率 = 6553.6 / 1241.2
  码/V。数据可信.md §2.1 的 305.18 / 1611.3 µV/码 确认不成立。
- 不验交流：台架无信号源，且五路单极性削顶。

改动三（索引与指针）
- docs/README.md 测试说明索引、测试文档模板规范.md 的 ADC 缩写行
  （原"待立"）同步。
- 数据可信.md 卡 0 增加指向该流程的指针（本表只写判据，不写怎么
  接表笔）。

门禁：Keil 构建 0 错误 0 警告；check_ids --strict 通过；
check_doc_links --all --sections-strict 通过（193 文档 / 2871 处引用）；
pre-commit 全过（含 cppcheck、编码规范、体积档、标定层与量纲回归
单测）；两处内存台账已按 --write / --update 刷新。
 2026-10-27 15:14:07 +08:00
wandering1 2fd8a86490 refactor(注释): 把内部阶段代号 S4 与 S7 换成平实语言——查不到的代号不算可检索锚点 
用户 2026-10-14 就定过这条（以后没人知道这种编码，要简单明确），这次把最后两处内部分层代号清干净：
· 串口自检判据里的 S7 → 直接写自检台账联合判定；用例追溯里的 S4 → 写用例追溯校验。
· 涉及烧录编排器与日志校验器的帮助文本、两份数据目录 README 的字段说明，以及看门狗、存储维护、
  实机测试、链路延迟四篇文档的同一处措辞。

判据没变，改的只是**读起来能不能查得到**：S7/S4 这类号在任何登记表里都查不到定义，注释里留着，
后来人只能靠问人——而这类内部分层代号正是当年编号失控的起点。门禁：doc-links 与 id-check 均 rc=0。
 2026-10-27 14:16:26 +08:00
wandering1 a275539c17 docs(全仓): 内容页黄金 47 → 53 的当前态同步——含钩子显示名，登记簿口径另笔 
task-9 让内容页黄金从 47 涨到 53（通讯设置页六态），本笔只做**当前态陈述**的同步；真值全部本轮实测：
`simulator/tests/ref/*.bin` = **53**；`git diff 31ca4a1f..HEAD` 对该目录 = **
6 个新增、零修改** ⇒ 存量 47 张
逐字节未变（这条是关键：新增页不该让旧页重生成，否则回归基线就失去意义）。

**四类命中各走各路，这是本笔的全部难点**（分类比替换重要得多）：
· 当前态 → 改，25 处页数，落在 16 只文件（AGENTS、钩子显示名、导航器 docstring、`lvgl-simulator` s
kill、
  门禁索引与 `ui-golden` 详解、UI 自动化流程、内容页架构、页面补齐规划与扩充方案、数据供给、自动化测
  试流程、覆盖率口径、测试开发标准流程、模拟器两份 README）；
· 变更记录历史行 → **一条不动**，另在其下一行插入当日「47 → 53」新行 6 条（含判据与零漂移证据）；
· **同数不同义 → 不动**：覆盖率口径里的「47 个 .c」「47 = 13+5+29」、ram_report 的表行号 47、`#47-D`
  诊断号、LSI 47kHz、47,360 栈字数、像素哈希 3476/3474 —— 一并替换就会毁掉六个不相干的事实；
· 带日期戳 / 自declare 冻结的快照 → 不臆改（数据供给篇那句上一笔已加「当时」，页面补齐规划里那张
  「2026-10-25 复核…剩 21 叶」的表自带「完成即冻结不回改」声明）。

复扫残留当前态 47 = **0**。⚠ 顺手纠一条**会教错方法**的陈旧：naive 计数 `grep -c '#page='` 上一笔写的是
22，现在真值是 **23**（文件头示例行也算一次）——旧文档里那个 22 **恰好等于新的正确 bound 数**，不改的话,
下一个人用错算法还能碰巧对上，比错更糟。

⚠ `AGENTS.md` 里本次有两件事同行相邻（本笔的内容页 53 页 + 批次三那句 `TC-*` 停发），**分两句说明**：
前者是计数同步，后者是昨天那条「批次三不坐」裁定的入口文案，二者不是同一件事。

钩子显示名改在 `.pre-commit-config.yaml`（47 → 53）。**这条必须与代码同批入库**：配置脏而未 stage 时
pre-commit 会直接报错挡住全仓任何提交（今天已实测两次），所以本笔先落它，把后面几笔的路清开。

自查：`check_doc_links --all` rc=0（203 篇）、`check_ids --strict` rc=0 且不可判定绝对
数 **979 未变**（新增
文本里的提交号与 `#page=comm` 没推高它）、`gen_task_table --check` 0、`check_bom_drift`
 0、18 只文件 noBOM /
LF / U+FFFD=0；行数变动 +49/−47 全部可归属（插 6、删 2、并 1），其余为 1:1 等行替换。登记簿销项与叶数
（`UI补齐.md` + `docs/任务规划/README.md`）**不在本笔** —— 那是口径变更不是计数同步。
 2026-10-27 13:54:05 +08:00
wandering1 13001f2ae4 feat(门禁): 栈判据定稿——静态 margin 唯一拦提交、运行时水位只告警、采集不健康整轮作废 
task-32 裁定落成可执行件（道F 交付）。不是二选一而是**分权**：静态最坏链 margin 仍是唯一拦提交项（由
`stack_report.py` 守，它本就把运行时峰值取进 max）；新增 `stack_gate.py` 管台架侧——趋势只出 WARN，
**绝对底线**（free_min < 25% cfg）是运行时唯一有 FAIL 权限的一档，**采集健康门不过 = VOID / exit 2**，
不红不绿、不进台账。把「daemon 死了 status 仍报正常、rx_lines=0」那类事故机械化：门不过与设备故障
exit 1 分开记，按码聚合的人不会把端口没开当成又崩了一次栈。

容差是推导的：tol = 上取整到 16 B 的 max(128 B, 2×实测摆动)，实测 80 B ⇒ 统一 160 B，登记进
`scripts/stack_tolerance.tsv` 带来源列；**改数权限写死**——只有台架重测后才允许回填，禁止为让某轮变绿
而调大容差（被这把尺考核的人不得当场决定尺子的松紧），且这句话**紧贴数值写**。

`--selftest` 14 条能红，开发中抓到作者三个真错（身份戳正则把 __DATE__ 月份写成三位数字、一度把跨轮戳
不同当 VOID 会让判据永不可用、文档 §4.0.2 被 doc-links 抓跨文档串号）。**不接 pre-commit**：它的输入
是台架串口采集，提交时既无设备也无当轮日志，挂上去要么永远 SKIP、要么拿上一轮日志判这一轮的码（与
体积门禁那条假凭证同族）。
 2026-10-27 11:31:53 +08:00
wandering1 728d60675f feat(UI/采集/104): 通讯设置页 + 开机账本 + adc_cal 可诊断化——三车道同树一次构建入库 
三条道在同一棵树上交付，故合并成**一次权威构建**（@build 0 错 0 警，Code=235236 RO=26308 RW=1572
ZI=136924）后同笔入库；台账已按该构建回填（`ram_baseline.py --update` + `--write`、`chec
k_mem_numbers.py
 --write`），凭证与实际 .map 同源。归属如下：

· **通讯设置页**（道G task-9）：新增 `Drivers/BSP/UI/ui_page_comm.{c,h}`（通道六注入，与死
区页同骨架同纪
  律），`#page=comm` 绑定使 bound **21 → 22**、内容页黄金 **47 → 53**（旧 47 页字节零变化，
新增六态含
  WAIT/OK 两张）；`iec104_comm` 脏位 + store_save（**无事件位**）挂 defaultTask 同点位
轮询；`port_104` 由
  宏改走 getter、`IEC104_SERV_PORT` 删除；字体 +听/监（185 字全覆）。**实机链已闭环**：FTP 外改
[comm]
  的 ca/port → 复位 → 串口出现 `section 'comm' (2 keys)` 与 `i104: listening o
n 9004` → 还原 2404，全程无
  FAIL ⇒「重启即生效 + 端口真值」不是推断是实测。上限核对 6/8 段、2/16 键，超限现象由 TC-CONFIG-056/057
  钉死（注册 -1 + `comm init: FAIL` 锚 + getter 回 ROM），**不抬宏**。
· **开机账本**（道F task-12）：新增 `App/util/boot_stats.{c,h}`——上电次数落 SD2506 用户
 SRAM（magic +
  小端计数 + 版本 + 异或校验），一次上电 = 1 读 + ≤1 写，**零 NAND、零卷锁、零配置段**；四态互斥
  UNKNOWN / FRESH / CONTINUED / RESTARTED（BLF=1 才算电池域掉过电），**读失败绝不回写**；
文案口径「自 RTC
  电池周期起」，**禁写终身次数**。复位原因优先级链从 `app_main.c` 的 if-else 收进一份真源（串口与屏幕同
  源）；104 四个只增不清计数 + `iec104_serv_get_stats()` 留在 serv、未塞进 link（会被 open
/close 洗掉）。
  运行时长按用户裁定 = **只报本次开机以来**，零新增代码。新套件 `test/host/boot_stats` 21/21，五处注入
  **全部有牙**（含「漂一字节被校验和挡下而不是报 256 倍错账」）。
· **adc_cal 可诊断化**（道E task-43）：三个 volatile 计数 + `adc_cal_get_stats()`
/ `adc_cal_note_persisted()`
  （水位**盖写非自增**，因为一次 save 覆盖整档，数 save 会留假未落盘）；「差额 × 脏位」三态语义唯一落在
  `adc_cal.h`，其中「差额 > 0 且脏位恒 0」= 绕过语义 setter 的静默丢失；TC-ADCCAL-019~023。

三条**必须留档的自纠**（都是执行道自己报的，我不替他们润色）：
① stdint 那条断链是**宿主套件抓到、通讯道先修**，采集道承认自己是重复添加者并删掉自己那份；
② 「exit 2 不是证据，断言变红才是」——采集道第一版反证注入了未声明标识符导致编译错，差点当成功；
③ 套件汇总行原写 `s_total/s_total`，失败时会打印「21/21 PASSED (failed=1)」这种自相矛盾的行，已改。

另修：`check_registration.py` 的 `SIM_EXEMPT` 加一行豁免 `App/util/boot_stats.c
`（依赖 I2C 与 RCC 位掩码，
MCU 专属；核过 `sys_clock.c`/`sha256.c` 同形态先例），注册反向校验 exit 1 → 0。发号 TC-IEC1
04-034、
TC-UIDATA-029 已实抬游标（`TC-IEC104-033→034`、`TC-UIDATA-026→029`）。

门禁：id-check --strict 与 plain 均 rc=0、doc-links --all rc=0、注册校验 0、cppche
ck / coding-standard /
bom-drift 0；iec104 179/179、ui_data 295/295、boot_stats 21/21、adc_cal 11
7/117、run_par 67/67；菜单 8 状态
池 5368 不变、内容页 53/53。**已知遗留**：内容页数 47 → 53 的全仓文本同步尚未做（另卡跟踪），本笔只保
证代码与黄金一致；面板注键真机那一腿缺 CLI，交台架道补。
 2026-10-27 11:29:23 +08:00
wandering1 4c74cfa825 refactor(编号·批次二): 文档侧 194 处保护功能号改成功能名，定义表 7 张首格改语义标识 
批次二文档半（道 gate-docs 执行）。先纠三个数的口径账，别再拿任何旧数当准：**234 处是准数** —— 卡片写
52（Lead 用了门禁 Checker 的引用集合，它**刻意排除属主文档内部的定义位**）、道里先报 265（裸正则把
`SDL2-2.32.10` 里的 `L2-2` 当成功能号，误报 10 处）。最终边界口径 = 带左边界 + 跳过反引号代码段。

· 19 只文件 HEAD 共 234 处 → 现 40 处，**40 处 100% 落在变更记录行**（冻结历史，按 Q3 一条没动），
  非变更记录残留 **0**；改写 163 行 / 16 只文档。站点最多：规划文档 110→37、相量层单测说明 25→1、
  采集与数据处理短板评测 21→0、App/algo/README 26→0。
  （`App/algo/README.md` 由上一笔代码提交带上车，路径归属已在该笔正文注明，内容是本批改写）
· **定义表首列由编号改成语义标识**（编号规范 §3.3「表首格就是短语」的完全形态）：首列原为编号的表
  共 **7 张**（不是 5 张），删掉与之重复的「语义名」列；表头标签按域词区分——三张 L3 保护**元件**表
  保留 `| 元件 |`，四张 L1/L2 表用 `| 功能名 |`（把「元件」统一洗成功能名会丢掉领域信息）。
  七张表逐张核：表头竖线数 == 分隔行 == 首条数据行 == 列数+1；与 HEAD 逐块对拍**净新增不一致块 0**，
  并且正是这个对拍抓到第一版「三张表数据行已删列、表头没删」的破表。
· 7 处删号留下的残词/重复解释括号人工收口（如「L1-5（通道标定）」→「通道标定（一次系数 + 零漂）」），
  复扫待收口站点 0；措辞逐字取自映射表，无第二种说法。
· tools/arch_diagram 三只生成器 4 处（3 处 docstring + 1 处图形文案）与产物同批：重跑后**只有位图那张
  变 2 个 text 节点的换行位置**，画布 1580x740 与总行数不变，另两张逐字节未变；改前先干跑对照证明三张
  svg 原本与生成器一致（不在 stale 基线里）——`check_generated_fresh --only docs-svg` PASS。

本笔另含 **F-* 半批的文档面**（同一轮 `git add docs tools/arch_diagram AGENTS.md` 一并收进
，非误伤）：BSD
函数调用关系里 9 处反引号紧邻指针、属主文档 §7 的停发句与导读行（**12 条定义行原样保留、不删登记族**）、
以及 `gen_net_instability_svg.py` 与它的产物 `网络不稳根因总览.svg`（「唯一读者红线」那条的框宽自适应
526 → 551，右缘 1411 未越界，画布 1560x1468 不变）——该半批的**代码注释面**在下一笔。

⚠ 因 `docs/任务规划/登记簿.md` 与 `docs/任务规划/UI补齐.md` 正被另一张卡（UI 叶数复核）改动，本笔**不含
那两只文件**，批次二的 §9 存量收尾与它们同批提交。
 2026-10-27 09:05:24 +08:00
wandering1 95beaab313 refactor(编号): 第一批清号——登记簿旧号/阶段号/台架阶段裸形三族清零，位号目录排除 
按 §9 批次一执行。**这批的关键发现是「看着像 62 处编号，实际能算编号的只有一小半」**，所以先分类再动手，
没有按站点数硬清：

· **真·编号（已改名）**：`N-6`（`MDK-ARM/tcp_reconnect_probe.py` 的「TRAP-NET-17 / N-6
」→ 只留 TRAP 锚点
  + 中文说明）；台架阶段裸形 `T0`~`T3` 全部转成场景名——`e11_keepalive_probe.py` 的「静默对端 / 正常空闲存活」、
  `ftp_auth_bench.py` 的「匿名登录 / 未登录直接 NLST / 错口令锁定」、`serial_tool.py` 自检里的「行拆分 /
  解码回退链 / 时间戳行格式 / 端口建议」、`net_test_task.c` 与 `CH395F_Test_Guide.md` 的「空闲存活场景」、
  网络自愈设计里的「三路审计」。另把 `test/host/iec104_master.py` 的变量 `T0` 改成 `t_start`（那是起始时刻
  变量，被裸形族误抓）。
· **不是编号、但被误判（按 §4.4 处理，不改语料）**：`tools/netlist_semantics/` 里的 `T1` 是**网络变压
器位号**
  （硬件知识库），整目录进 `excluded_paths`，与 `docs/硬件平台/` 同口径；`BSD_Socket_API_函数调用关系.
md` 的
  `T1/T2/T3` 是 **Mermaid 节点名**，已改成语义节点（`RetryTick`/`PendTick`/`PendShimTic
k`/`ReconcileTick`）——
  图本身没变，只是节点不再叫字母号；`docs/门禁说明/gitlint.md` 里的 `T2` 是 **gitlint 自己的规则名**（不是本仓
  的号），已改写成规则描述；`docs/算法/傅氏算法详解.md` 的 `N-1` 是**数学记号**（求和上界 `x(N-1)`），保留不动，
  并在 §4.4 登记为「唯一已知误判」。
· **规范自身两处示例**顺手去掉字面量：`S3 / TM-PHY-01 / DP-03` → `S3 / TM-… / DP-…`；「报告 N-
16」→「报告 +
  登记簿旧号」。

结果（用门禁接口复测）：`TM` 族 0 引用、`T-TEST` 族只剩规范自身 2 处示例、`N` 族只剩数学记号 1 处；
`F-*`（38 站点 / 12 个号，代码注释里的网络设计条目号）**留下批单独做**，因为每处要读懂语义、不能替换字面量。

口径变更已写进 §4.4：位号目录 `tools/netlist_semantics/` 进排除面；`N-1` 声明为已知误判。歧义面收窄后，
新错误级仍为 0、`id-check --strict` exit 0。

⚠ 这批**刻意没有复活「别名表洗白」那条路**：`N-6` 这类死号不进 `id_aliases.json`，让门禁继续咬将来的残留
引用（与 FTP 死号同一处理，见 §5.7）。
 2026-10-27 07:39:00 +08:00
wandering1 31ca4a1faa docs(计数): 内容页黄金参考 40 → 47 页全仓同步，登记簿剩余项与顺序一并更新 
上一笔 UI 落地时我把「文档计数与真值同源」这件事留在了别人身上（setpage 的移交项写得很明白：内容页 40→47
的全仓计数改写由 Lead 派）。这一笔把它做完，**只改当前态陈述，历史不动**：

· **改成 47 的判据**：simulator/tests/ref/ 实测 47 张 .bin（7 张新增、存量 40 张逐字节零漂移），共 1
6 处当前态
  陈述跨 11 只文件同步——含 AGENTS 的 ui-golden 条目、**钩子显示名**（.pre-commit-config.yaml）
、门禁索引与
  ui-golden 详解的标题与正文、UI 自动化流程的页数与 PASS 文案与快检张数、内容页架构回归段、覆盖率口径的
  「不做 UI 单测」理由、启动自动化流程回归段、导航器脚本 docstring。
· **不改的两处，理由写明**：5 只文件里的历史变更记录行「27 → 40 页」是当天事实，原样保留，只在各文件
  变更记录顶部加一行 2026-10-27 的 40 → 47；UI_界面制作流程 的「< 40KB」是绘制缓冲红线，与本数无关，
  属扫描误报，不动。
· **一处加限定语而不是改数**：UI_自动化测试流程 的「文本断言 310 条、覆盖 40 页中的…」带 2026-10-26 实跑
  日期戳，那是那天的测量口径 ⇒ 改成「覆盖**当时** 40 页」，310 条不臆改，等下一次实跑回填真值。

顺带同步 docs/任务规划/README.md（登记簿销项，用户授权）：开篇「第一项是实现 param_request 写路径、然后做
整定 4 页」早已完成 ⇒ 改为剩余三项「通讯设置 → 记录 5 页 → 运行报告」；§2 顺序表「按 §1 的 1→5 推进」改为
「剩余 3 项按 1→3 推进（原第 1、2 两项已落地）」，与上一笔 UI补齐.md 的销项结果对齐。

三数同源自查：AGENTS 钩子数 51（YAML 解析口径）、内容页 47 页、门禁索引 27 篇均与配置一致；
check_doc_links.py --all exit 0、check_ids --strict exit 0 且不可判定绝对数 **1,156
 未变**（本笔没吃余量、
没新增编号引用）；13 只文件全部 noBOM / LF / U+FFFD=0 / 结尾换行齐。本笔零固件源，不改构建产物。
 2026-10-27 07:16:32 +08:00
wandering1 d286b69a2d chore(工具,文档): 台架 rc 语义与导航硬闸用例、门禁环境诊断、护栏还债算法、mem-budget 跨树口径 
四条道的收尾件同笔（全是 python 工具与文档，零固件源；各段归属按道署明）。

· **台架（bench-runner）**：verify_log.py 新增 classify_measurement() 与 measureme
nt.* 字段，零行/零锚点
  判 exit 2 并打 [MEASUREMENT-BROKEN]，**但同帧有 Forbidden 命中或自检故障仍判 1**（专门造了「零锚点 +
  [ERR] MEMFAULT」的陷阱日志实测——崩溃不许被降级成「没数据」）；--selftest 16 → 22 条。board_ui_nav.py
  把两条执行页安全闸做成 7 条常驻用例接进提交钩子跑的快检档，作者把自己用例**证伪三轮**（测试强制上限、
  清单清空时是崩不是判定、出厂默认被翻允许也照样绿）后三条危险改动逐条能红。台架卫生清单落 §7：每圈复位
  前 open + 断言 ready + 看 rx 增长（今晚 daemon 死了 status 自愈把它遮住）、**Forbidden 令牌不得落在
  英文单词内部**（裸 Fault 命中 default 两次假红）、改判定语义前先 grep 消费者。
· **环境（ui-param-writer）**：证伪卡片前提两处——identify 那个版本根本没有 tags 模块（RECORD 与磁盘逐项
  一致，pre-commit 自己也从 identify.identify 取 ALL_TAGS，全仓零引用），真问题是 44 条 system 钩子里
  42 条 entry 用裸 python → PATH 首位那个零第三方包解释器，今天没炸纯靠两件事同时成立。交付是**新增 entry
  硬规则 + 修复死顺序与回滚并标注等静默窗口**，没有动共享环境（此刻重装会让别人的钩子在半途换解释器）。
· **门禁（gate-docs-fixer 已入库的 51 号钩子）**：本篇带上 host-unit-tests 的裁定句落点说明。
· **内存（comm-config-writer）**：mem-budget skill 补跨树测量身份口径（脚本按 __file__ 定位产物、什么才算
  一次新测量、多链同涨同一数值的共享帧/幻影环归因法）+ 看门狗说明的指针行。

实测：verify_log --selftest 22/22、board_ui_nav --selftest-quick rc=0（硬闸 7/7）、
doc-links --all exit 0、
check_ids --strict exit 0 且绝对数 1,156 **未被本笔吃掉**；全部文件 LF / 无 BOM / U+FFFD=0
；本笔零固件源,
随上一批权威构建验证过（0 错 0 警），故不再单独 @build。
 2026-10-27 05:16:58 +08:00
wandering1 f1d0b5c2d9 docs(规范,门禁): 卷锁五态去裸形——本仓第一次真正还第二根护栏的债，并写清还债的算法 
最反直觉的是结果里的差值：36 处裸形态号全部清零，绝对数只从 1,162 降到 1,156（−6，余量 4 → 10 格）。
作者没把差值糊过去而是查到底：check_ids 只在字面量**落不进任何已登记族**时才计不可判定，撞进已登记族的
23 处本来就记在可判定侧，删它们分子分母同缩、比例反而从 86.74% 涨到 86.77%；真正在盲区里的只有族外
7 处，其中 1 处还被变更记录行豁免 ⇒ 账面 −6，算式对平（±1 属同窗别道在飞）。**这四条机制我写进
docs/门禁说明/id-check.md §6.10 并署名作者**——它是「怎么还这根护栏的债」的第一份操作口径。

改动面：App/fs/vol_lock.c 10 处、.h 6 处、vol_lock_test.c 14 处、卷锁单元测试说明.md 3 处 ⇒ 同口径
改后 0 处。四态语义只留 vol_lock.h 的 vol_lock_stats_t 注释一处，其余三处只描述断言并指回头文件，
不抄第二真源。除 4 行声明外全是注释文字，代码行为零改动。顺带消掉一个**同形两义**的撞号源。

实测：1,162（03:15:08）→ 1,156（03:21:56），写变更记录后复量仍 1,156（本笔没吃余量）；--strict exit
0；vol_lock 套件 45/45；**上限未动、刻意不跑 --update-baseline**（作者反对成立：重锚会把只减不增的线
按这次 −6 重画，白丢一次真还债的账面记录）；未改 id_registry.json / 台账，未跑 --all-files。
 2026-10-27 05:14:11 +08:00
wandering1 9a231831bc test(台架): HEAD 固件仅复位 4/4 全绿——两条曾被啃的行逐字节完整，并拿修复前归档反证 
这是今天第一份**硬件侧**证据（此前所有绿色都只到静态与主机侧为止）。身份按新口径钉：
以固件身份戳为准、SHA 只当坐标——**fw build: Oct 26 2026 22:52:09 suite=NONE dstr=off**
（坐标 HEAD b24b2b5f；该像与在库固件源同一棵树已由两条机械判据证过）。

计数严格按两句并列，不合并：**烧录启动 1 次**（00:25:06，@test rc=0，不进仅复位序列）+
**仅复位 4 次**（01:46~01:52，serial gen 273→276 单调递增，逐圈自证窗口不重叠、零重烧），4/4 PASS：
· [ERR] / CONSOLE dropped / 任一 Fault 令牌 / ERROR / assert 全部零命中；
· 两条历史受害行逐字节完整：[PROT] 91 px、[NAND_FTL] 56 px（行首 '[' 齐全、loose_neighbours=0、
  head_bad=0）——这正是「未注册期裸发丢行首」那一类缺陷的正面判据；comm init 57 px；
  prot set loaded ×4、CORRUPT ×0；boot→net init 733~786 ms；
· **反证**：同一把尺指向修复前归档 → rc=1 FAIL 并打回缺行首的邻居 ⇒ 四个 PASS 不是空跑；
· 锚定用的是仓内 verify_log.py --exact（b1280e3c 并进的那半，今晚第一次自用）；
· 堆与栈：heap free=15624 / min_ever=8464 与 task-30 逐字节相同；ui 峰值 4188 四轮内部零摆动、
  与上轮 max 持平（按 task-32 未定稿口径只报数、不做单次比较）；
· -CmpFile 排在全部采集之后（它会导致目标复位）→ No difference found。

**执行类页面的硬闸在真机上证死了**：--to clear / --to reset 在下钻前就拒绝（非零退出、连轨迹
文件都不生成、理由文本点名「第二次 ENTER 即真执行」）；--to clock 正常到达（9 步，ENTER 全落在
菜单上下文），时钟页渲染无缺字白框（年月日时分秒与页码行全显）。帧与判定已归档。

作者自报两次测量错误（都不是板子的问题，也都没有产出假绿，处理方式正是本仓要的）：
① 01:34 头一圈采到 0 字节。根因在测量侧：**常驻 serial daemon 已经死了**，而 serial_tool.py 的
   status 会自动拉起一个新 daemon，于是它一直「正常」地报 port.ready=false / rx_lines=0、日志只剩
   58 B——**status 的自愈把端口是死的这件事遮住了**。已立口径：每圈复位前 open + 断言 ready + 观察
   rx_lines 增长，不假设 @test 留下的端口状态能过夜。该圈按两条独立理由排除（前面有烧录、实际
   零字节），不进任何计数。
② 我自己加的 Forbidden 令牌 Fault 是**假红**：子串命中 de**fault**，打到 factory default password
   与 [STACK] default peak_used。已换成显式故障令牌（四个 Fault 本来都以 [ERR] 开头，裸 Fault 只是
   噪声）。这条口径移交 task-32：**Forbidden 令牌要短到不落在英文单词内部**。

一条观察移交（不下结论、不属台架职责）：装置墙钟显示 2026-10-26 18:00:35，而主机记录是当日
01:5x +08:00，固件日志时标与 daemon 时标也恒差 8 小时——**RTC 与 UTC/本地时区的语义归谁**由 Lead
路由（已立案，见 task-44）。

归档物：boot_log_data 下 20261027_bench42_{reset_only_boots_r1_r4,verdicts}.txt
与 _ui_clock_page.png；
README 台账行按新口径书写。编辑 README 前重读、编辑后复核：其他两条道的「证据可达性」规则与 §2.1
都还在，无 BOM / 无 U+FFFD / LF。
 2026-10-27 02:29:10 +08:00
wandering1 b24b2b5f31 docs(计数): 内容页黄金参考 27 → 40 全仓同源改写，含钩子显示名这最后一处不同码
CI / L0 静态门禁 (pre-commit) (push) Failing after 49s
Details
CI / L0.5 主机侧单测 (MSVC) (push) Failing after 45s
Details 
UI 三页落地后机器真值变了，文档却还写着 27 页——这不是笔误，是会骗人的现在时。
作者（batch-auditor）先自己从机器面取数再动笔：git ls-files 里 ref/*.bin = 40、
PAGES 40 项、TEXTS 37 页 310 条、ABSENT 16 页 29 条、池 5448 B 与常驻堆 5368 B 未变、
字库 183 字未扩。**它还纠了我一个数**：我报 ABSENT +19，实测 11 → 29 = +18；作者按
实测写文档，并且不在文档里写 ABSENT 总数，免得把我这个差 1 的数固化成第二真源。

改写面（现在时陈述，共 12 + 3 处）：AGENTS.md 的 ui-golden 半句、门禁说明 ui-golden.md
（标题与「拦不住什么」段）与索引行、simulator/tests/README.md、simulator/README.md 两处、
UI_自动化测试流程.md（310 条 / 40 页 / PASS 文案 / 覆盖面）、内容页架构.md、页面补齐规划.md、
主机单测覆盖率口径.md、自动化测试流程.md、测试开发标准流程.md，外加
.pre-commit-config.yaml 里 ui-golden 的显示名——那是「声明 / 文档 / 实跑」三数同源的最后
一处不同码：AGENTS 与门禁说明都已 40，配置里还写着 27。

两条纪律作者都自证了，不是口头：
· **历史数字一律保留**：8 处变更记录行里的 27 / 242 / 24 / 11 原样未改；两处带日期的
  验证记录只加限定语（「该下限此后已扩至 40 页，双次逐字节一致需按同口径重跑回填」），
  没有把 27 改成 40 去造连续性。
· **同名不同义的数字不许全局替换**：页面补齐规划.md:12 与 :157、页面扩充详细方案.md:649
  里的「27」是**空叶子口径**，与黄金参考数无关——三处故意没动。这条比改对更值钱。
· 余量自证（回退名下 12 文件复跑同一扫描器）：refs +0 / dec +0 / und +0 / 比值 +0.00pp /
  错误 +0，本笔零消耗，也未新增任何编号引用；simulator/tests/ref/ 下 40 个 .bin 零改动。

闸线现状照实挂着：id-check 不可判定 1,162 / 上限 1,166，**余量只剩 4**（吃进者是今天
UI 那笔的注释引用，账在 Lead）。清账之前任何人新增编号都可能直接撞闸。
 2026-10-27 00:16:07 +08:00
wandering1 b1280e3cd1 feat(台架工具): 原子性复验能力并进既有 verify_log 并接进 @test——旧口径判 PASS 的缺陷新口径判 FAIL 
关键决定是**不造第二只校验器**：卡片原建议把校验器放进 scripts/，但「标记校验」这个
能力已归 .dsh/skills/serial-boot-test/scripts/verify_log.py，再造一只就是本仓反对的
实现漂移（reset.bat 折进技能是同一类判断）。改为扩展它 + 把开关接进 run_boot_test.py
——**不接就等于吸收了没人用得到**；默认路径逐字节不变（不传开关时 exact_check 根本不进）。

新增：--exact 整行锚定（并把「含最长字面串却未整行命中」的邻居原样打出来，那就是
行级交错的特征）、--pair 跨复位配对、--allow-residual 与 --head-char 服务崩溃注入腿、
--include-comments 复现旧行为、--selftest 判别自检。钉长度改成显式 @@LEN=<n> 逃生口，
**不再是默认**。

最硬的一条实证（进文档表格，也钉成一条 selftest 用例）：同一份缺陷捕获——行首被吃、
尾巴完好的那行 NAND_FTL——旧 --required 子串口径判 **PASS（假绿）**，--exact 判 **FAIL
并打出缺行首的邻居**。口径据此改写：凡是这一行可能丢行首或被插字节的标记，一律
--exact，不许只用子串。

实测不是声称：--selftest 16/16；真日志三向（修复后 PASS / 修复前 FAIL+邻居 / 带 ASCII
溯源头不再被头里的 [ERR] 误报）；被动烟测（--flash-cmd 置空 = 不烧录、不动板上镜像、
只采 60 行空闲流量，bench 锁取了即还）证明四个开关在 @test 闭环里**真的执行了**；
空闲流量里 PROF 行长 124/78/123 交替，顺手再证一次「钉长度当默认」会天天假红。

作者自报四个自己的问题（都被自测抓到并修掉，卡里也写了）：残留行被重复计成交错邻居
（会假红）、一条断言写反、**CLI 参数忘了接进 verify()——最危险那种：功能静默空跑而
外面看着全绿**、以及误报 run_boot_test.py 变 CRLF（实为自己的检查把换行符写成了字面
量，两个文件复核均为纯 LF，别按那句去查）。

boot_log_data/README.md 里同时有两个道的内容：bench23 的台账行，与 task-25 那条道写的
「证据可达性」规则与 force-add 定案——autostash 往返后两侧都逐一确认仍在。三份 bench23
证据 txt 首次入库（可再生的采集文本；两张非再生 .bin 已随前一笔入库）。
 2026-10-26 23:42:34 +08:00
wandering1 496b4dc5e2 fix(台架脚本): board_ui_nav 的 UNKNOWN 回退键序改为 e-s-l，冷启动落在待机态不再空转 
旧逻辑 UNKNOWN 分支里的 l 条件**永不可达**：classify 只在 MENU 态填 cols，UNKNOWN 恒
cols=None ⇒ 回退实际等于静默连按 s。而本机待机态按 s/l 无效、要按 e 才进菜单 ⇒
冷启动恰好落在待机态时，闭环导航直接开不了工（症状是界面点不动，脚本却报正常）。

现在 BACKOFF_KEYS 默认 esl、--backoff-keys 可覆盖（要旧行为填 sl），回退时**循环消费
键序、绝不连按同一键**，并新增 _dump_unknown 把认不出的帧存证下来，免得下次只能靠
复述。同笔带上 task-24 在 19:41:56 重跑产生的 trace 归档（1 行，不是本次手改）。
 2026-10-26 23:42:27 +08:00
wandering1 b623a406ad fix(栈·存储·UI 收尾): 断掉临界区↔断言幻影环回到 1,464，标定门控单点化，卷锁五态可观测 
这四笔在主树里已经互相纠缠（同一次 @build 编译、同一份 .htm 度量），拆成四笔就不
存在任何一个被真编过的中间态，所以合一笔入库；下面按模块分段陈述，作者与出证归属
逐段写明。

—— 一、崩溃证据路径的整行独占收尾（log-maint-writer，task-26）——
上午那笔 1d4b6a17 之后，stack_report 报 iec104Task 静态最坏链 1,544 / margin 1,016，
低于 1,024 的 ISR 底线。真因不是新增局部缓冲，而是本模块与内核临界区之间新长出
一条环：taskEXIT_CRITICAL ⇒ vPortExitCritical ⇒ configASSERT ⇒ vApplicationAssertFailed
⇒ dbg_console_write_raw ⇒ 回到本模块。armlink 把这一整坨计入**每一个含临界区的
任务链**（vApplicationAssertFailed 的 Max Depth 由约 40 B 涨到 128 B + In Cycle），
所以九条链同涨约 80 B——同涨本身就排除了任何单个调用方。
改法两处：① 本模块三处窗口（取凭证 / 还凭证 / 整行入环）改用 CON_CRIT_ENTER/EXIT
（PRIMASK 保存恢复到局部变量；注释写全为什么不能直接 __enable_irq()——嵌套时会
替别人打开任务级临界区——以及屏蔽面变宽是有意为之）；② 异常/终点钩子里那对
自证空转的 begin/end 摘掉（异常态 begin 放行但不持有、end 是幂等空操作，调它只有
成本没有收益），任务态 STALL 行保留 begin/end，这个区分写进两处注释与文档 §4.4.1。
实测四棵树逐个 .htm 解析（身份钉 tree + Linker run 时刻 + 产物来源）：A=77779d49
链 1,456；B=1d4b6a17 链 1,464 / margin 1,096 PASS；C=含未提交钩子接线的工作树
1,544 / 1,016 FAIL；D=本轮修复后（Linker run 22:52）回到 **1,464 / 1,096 PASS**，
九条链齐降 80 B。断环图证：vPortExitCritical 由 136 B + In Cycle 变 8 B 且不再
In Cycle，con_tx_release 子树 152→8；Error_Handler 回到 280 + In Cycle = A 树同值
（既有发送环无人拆动）。顺带删掉 Src/freertos.c 崩溃路径里最后一个 HAL_Delay(200)
（该文件真实调用现为 0）。
测试：console_log 152→**153** 条（只增不减）；换钉不删防——015 现在钉「PRIMASK
窗口 2 次、深度 1、内核临界区 0 次」，新钉 015c 绝不等待，160 注入点搬到
con_pm_hook，176 强化到未调度路径连 PRIMASK 窗口都不开；红线水位
con_pm_at_tx_max 与 con_uart_crit_at_tx_max 双 0；判据⑦（延后的行与当场直发逐
字节相同）170b/171/178 仍全绿。作者自报并纠正一处：换钉时曾把 TC-CONLOG-015b 改
编号，而 015b 在生产注释与文档里都被引用——已恢复「编号不退役、语义搬过去」。
覆盖率 App/log/console_log.c 199/200 → 256/257 行、21/21 函数（只增）。

—— 二、未标定闭锁判据收成单点访问器（ui-param-writer，task-16）——
「UA/UN/IA 三相 VALID 全置位才允许跑判据」这条门控原先在两处各自镜像实现
（protect_task.c 的 s_cal_locked 与 ui_data_feed.c 的 feed_cal_block），改一处另一处
静默失效且无门禁可照。现新增 adc_cal_prot_blocked() 落在 App/algo/adc_cal，DTU_BENCH
特例收进一处；两个消费者同批改调、本地副本删除。作者还查实并纠正了我先前一句
错判：全仓 App/app→App/task 的 include 实为 0 条，故访问器不能落在 protect_task。
新增 TC-ADCCAL-018 八条（含冷启动即闭锁），adc_cal 套件 99/99。

—— 三、共享卷锁五态可观测性（ui-param-writer，task-17）——
原状比登记簿写的更糟：五个可区分态（未调用 / try 超时 / 分片超时 / fail-open /
未持锁却 release）生产侧零留痕，且 vol_lock.c 的返回值注释与代码相反——
fail-open（锁没建成、互斥已失效却在读写盘）被返 1 **谎报成取到锁**，而那正是
vol_lock.h 记录的台架实证故障（并发写坏 FTL → 喂狗点饥饿 → IWDG 误复位）的前置。
锁层加四个 volatile 计数（16 B 静态，零新局部、零新 callee、零日志、零 FatFs）与
不取锁的 vol_lock_get_stats()；13 处 try 调用点一字未动。**刻意不在锁层记时刻**：
记时刻要读 tick，等于给 defaultTask 取锁链添帧——诊断不值那几个字节；消费方若
自盖时间戳，那只能是被观测到的时刻而非发生时刻，.h 里已写明不得写成首次/末次。
四套本地假件各加 s_last_wait_to（字段名逐字一致），把「喂狗点取锁一律 timeout=0」
与「ftpTask 分片一律 100 ms」从注释纪律升级成会 FAIL 的断言；红-绿反证：临时把
sys_log_mcu.c 的 0u 改 50u → TC-SYSLOG-010/012 双红，把 lftpd_io.c 的 100u 改 0u →
TC-LFTPIO-034 红，两处按原串改回并用 SHA-256 证明逐字节还原。TC-VOLLOCK-015~019
共 45/45（无新桩）。

—— 四、UI 死接口清理（ui-maint-writer，task-6 收尾）——
删掉 ui_data_maint_ready()：全仓零消费者、只有它自己的用例在读。**更值得记的是
它为什么能活过一整轮评审**：头注释写的是「页面用它决定这页能不能操作」，而页面
从来没用过它——注释陈述的是意图，评审读的是意图，门禁读的是可达路径，两者都不
反驳「意图未实现」。作者对「连用例一起删」做了显式抗命：TC-UIDATA-025 的 13 条里
只有 4 条读那个死口，另 9 条钉的是真防线（六口未注入安全返回 / 残表整表拒绝 /
被拒不覆盖已生效的好表），故删冗余的 025a、把 025i/025k/025m 换成用 reset_req()
的可观察返回值判定，性质不丢。ui_data 套件 244 → 243（净减 1），黄金 40 页与
池 5448 B 未变（该刀零像素影响，参考图无 diff）。

—— 门禁与未跑项（本笔如实留账）——
cubemx-survival 基线已 --write（漂移 6 项全部是上述意图内区域：断言/栈溢出钩子
实现、看门狗模块行等），基线文件同笔入库，随后 --check 通过。
本笔未跑的钩子只有两条：mem-numbers 与 mem-budget——磁盘 .map 出自 22:52 那次
构建、含尚未入库的 UI 与工具改动，与 HEAD 台账必然不同码；按仓库既有约定允许
--no-verify + 正文留证，回填在紧随的台账一笔统一做（含 ram_baseline --update 与
覆盖率基线两条 [NOTE]：ui_data.c 65→316、iec104_comm.c 36/36）。
两条已挂着的账：① id-check 不可判定引用 1,162 / 上限 1,166，**余量只剩 4**，
主要吃进者是我今天推进的 UI 那笔（68 条文本断言的注释引用），账在 Lead；
② 崩溃注入腿（故意复位）台架复验未跑，需先由代码道提交触发器，且判据只判原子性
不判 [ERR]=0——IPSR 路径的主张归主机侧套件，硬件照不出来。

产物身份（按 D 表要求钉死，避免数字与树脱钩）：本笔包含的固件树就是那张 D 表对应的
那一棵——MDK-ARM/.../STM32F407-Demo.htm 的 mtime = 2026-10-26 22:52:12（.htm/.map 按
约定不入库，故把时刻写进正文）。提交前在本树复跑 stack_report.py：exit 0，
iec104Task 1,464 / margin 1,096（42%）PASS、defaultTask 3,040 / 2,080（40%）PASS，
与 D 表逐项一致；本次运行不含任何未提交固件源码之外的新改动。
 2026-10-26 23:31:05 +08:00
wandering1 0f8b88337e docs(门禁): 主机侧单测覆盖面改写成口径陈述，第三处计数不同源一并修 
「22 根专属钩子」是**口径**不是缺口：test/host 实测 42 个目录去掉 common/__pycache__
= 40 套带 run_unit_test.py，配置里带 -unit-test 后缀的只有 22 根 ⇒ 其余 18 套
（含 ui_sink、console_log、net_socket、lftpd 三兄弟、sys_log_mcu、iec104_serv、
task_prof…）没有独立 files: 触发面，但每次提交都被 test-coverage 总闸全量真跑，
失败照样拦——执行面无洞的证据核到源码：check_test_coverage.py:134 用 rglob 发现
全部 40 套，:44-46 的退出码语义写死「有单测失败即 1」。缺的只是秒级归因。

补钩子的判据也现成：pre-commit 4.x 移除了 always: true，没有 files: 触发面就等于
永不跑，所以**不能**靠"补第 23 根"解决，要补就得先给该模块划触发面。

顺带查出同类的第三处不同源（也在 docs/门禁说明/ 内）：host-unit-tests.md 自己还写
着「16 个钩子 / 另有 12 套 / 总闸跑 28 套」，三个数全部过期，已改成 22 / 18 / 40，
§1 表补齐 2026-10-25 增补的六行，§6 第 4 条重写成覆盖面台账，§9 留变更记录。
另用 git log -S 核实原句「23 个 / 含 ui-sink 七个」是双重错：ui-sink-unit-test、
iec104-serv-unit-test、console-log-unit-test 在配置历史里**从未存在**过。
页数不变（26 篇），钩子数不变（声明 50 / 实跑 50 / 专属单测钩子 22）。
 2026-10-26 19:27:01 +08:00
wandering1 7d9db33a25 chore(门禁+文档): 生成器幂等钩子落地，文档真值与 UI 清单销项同步 
新增 generated-fresh 钩子（scripts/check_generated_fresh.py，只读）：把 gen_menu.py、
中文字库链、tools/arch_diagram/gen_*.py 拷进系统临时目录重跑，与工作区逐字节必须
一致；钩子本身不写仓库、不 stash 别人在飞的改动。实证起点是上一笔 0f7b5a87 改了
模板文字却没重跑生成物，接线前实测另有 5 张 docs/images 配图已漂（文档挪目录只改了
生成器里的路径）——那 5 张按既有范式钉成只减不增基线，业务生成物零豁免面。

计数三数同源核查：文本 grep 配置得到 51 是把第 63 行**注释掉的** clang-format 候选
算进去了，口径统一为「YAML 解析后的 hook 条目数」= 50（实跑 49 + gitlint = 50），
AGENTS 与 docs/门禁说明/README.md §2 用同一条自查命令。顺带更正「主机侧单测 23 个
（含 ui-sink）」：实为 22 个，test/host/ui_sink 有 run_unit_test.py 却没有 per-module
钩子，只有覆盖率总闸跑得到它（已另立待办，不当既成事实写进文档）。

文档真值一批（都按脚本/仓库实测取数，不抄旧文档）：内容页黄金 11/18 页 → 27 页
（8 处，含 ui-golden 钩子显示名）、文本级断言 50 条 → 242 条、池容量 4784/4864 →
5368/5448（含菜单页面设计.md 与同文档 1.5 节自相矛盾的那处）、页面补齐规划的立项
快照加限定语（日期按该文档自身标题 2026-10-23，不臆造现值）。变更记录里的历史数字
（11 页、50 条、老基线时代的绝对峰值）一律不改；无法实测的绝对峰值改成增量口径并
标注「待按新基线重测」。

销项（用户裁定 2026-10-26）：UI补齐.md 与 README §1 删除「param_request 写路径」
与「整定 4 页」两行并重排序号，叶数口径 12/21/16 改 16/17/12；定值项数按
App/algo/prot_set.h 的 PS_ID_COUNT 更正为 40（原写 31 是旧口径）；「主站地址白名单」
移入当前不做并写明理由：CH395F 单连接 socket 上「拒绝即 close+重 listen」等于给扫描
风暴开门，且该值现在没有任何既有消费点。

台架证据入库（像 = 77779d49，仓外 detached worktree 只读出像）：启动日志、仅复位不
重烧日志、104 定值写读腿、控制台交错一手字节证据与四张板照，boot_log_data 台账登记。
.gitignore 兜一条 %SystemDrive%/：子进程环境缺 SystemDrive/ProgramData 时 UV4 会按
字面量在仓库根建字体缓存目录，本会话实测复发两次，不兜住某次 git add -A 就进历史。

自证：改前后编号门禁 refs / 不可判定 / 比例 / 错误级逐项差值为 0（未把可判定引用改成
散文）；check_doc_links --all 无法判定 0；文档路径检查通过 177 篇。

本笔不含三条在飞源码道与板端导航脚本修复，它们各自单独一笔。

为什么本笔走 --no-verify（按仓库既有约定，非偷懒）：本笔内容是**纯文档 + 门禁脚本/配置 +
台架证据**，不含任何业务代码；而工作树里同时压着三条在飞源码道（UI 装置维护 3 页、
[comm] 配置段、控制台行级原子性）。pre-commit 跑钩子前会 stash 未 staged 改动，那
等于把别人未完成的代码算进本笔账——console_log 套件的属主自己就报告过「当前还没跑过
该套件」。逐条相关门禁已单独实跑：check_doc_links --all（无法判定 0）、check_ids
（余量差值为 0）、generated-fresh 用 .venv 解释器直跑 PASS（4 项 / 一致 3 / 存量基线
1 / 报错 0）、validate-config 0、BOM 漂移与 mojibake 干净、YAML 解析条目 50 与文档
及实跑三数同源。唯一会红的是 mem-budget：磁盘上的 .map 含上述在飞代码，与 HEAD 台账
不同码；台账与体积凭证由我在源码道全部落地后统一重建回填。证据文件：
ci-artifacts/commitA2.log（上一次尝试的完整钩子输出）。

另记一条本笔实测到的坑（已写进 AGENTS「Python 环境」与 docs/门禁说明/generated-fresh.md
§4）：钩子 entry 的裸 python 会被 pre-commit 解析成机器级解释器（本机 = C:\\Python314，
无 fontTools）→ 字体链生成器报 No module named fontTools、generated-fresh 假红。修法
是脚本内自己按「显式 var > 当前解释器 > 仓库 .venv > PATH」解析并做探针校验（装了
pre-commit 不等于装了 fontTools），但 entry 不写死绝对路径，否则门禁被绑死在一台机器。
这与 scripts/ci_local.py 文件头记的 2026-10-11「L0 全灭」是同一族问题的第二次发作。

台架证据补两行：板端 UI 导航脚本修复的真机冷启动闭环 PASS（首帧待机页 UNKNOWN →
按 e → 9 步到 view_set，终帧墨量与黄金 shot_vset 一致），存证同目录；该脚本本身的
改动留给下一笔。
 2026-10-26 18:26:47 +08:00
wandering1 77779d49d6 feat(ui+记录): 整定写路径与四类页落地，五类记录写入方补齐 
UI 面：ui_data 增加深度 4 参数写队列（请求 168 B、队列 .bss 672 B）与状态机
OK/ERR_RANGE/ERR_LOCKED/ERR_BUSY，ui_data_feed 出队后按注入 ops 走「闭锁 → 整批
预检 → 逐项 prot_set_set_sealed」，只提交改动位图；par 帧尾追加 cal_block
（口径 = UA/UN/IA 三路 ADC_CAL_F_VALID，与 protect_task 判据同构，不用 rt.eng
反推，V0.1 下 eng 恒 0）、UI_DATA_VER 升到 2。参数/定值/控制字/软压板四叶绑定
内容页（UI_PAGE_MAP_COUNT 12→16，复用四个查看模块，零新增 .c），编辑态按
is_editable 分派，LOCK（写不进去）与「未标定」（仍可改值）两源两通道两词。

记录面：syslog_request_clear/state/apply 三段式删除 API（UI 只发请求，落地在
defaultTask 的 drain 尾部且必须后置，卷锁一律 try，幂等只认 FR_NO_FILE）；
事故/告警/启动/操作/遥控五类各有一个真实写入点，记录类型 = 日志 ID 本身
（一类一个 /log 严格 8.3 文件；64B 定长体没有类型字段位，塞字段会砸掉既有读者）。
为守 protectTask 872 B 静态最坏链另拆 syslog_post_quiet()（无 DBG 的投递核，
丢弃留痕挪到 drain 侧差值补发），syslog_post 对外语义逐字不变。

为什么两道合成一笔而不是各一笔（实测，不是省事）：simulator/main.c 同时消费
两道新增 API（整定 pump 与 logtest 清除用例），按道切文件会让中间提交编不过；
RAM 受管快照与体积同码凭证描述的是合并后的 .map，拆开必落在「台账与 .map 不同
码」这条红线上。pre-commit 跑钩子前会 stash 未 staged 部分，这类耦合没法绕。

实测：@build 0 错误 0 警告；Code 228,260 / RO 24,960 / RW 1,440 / ZI 135,976 B；
RW_IRAM1 79,992 B = 61.0%、RW_CCM 87.9%（阈值 92%）；九个任务静态最坏链全 PASS，
protectTask 872 B / 57% 改前后逐字节不变（记录投递没垫栈）。主机单测 ui_data 82→
164、sys_log_mcu 106→137、prot_elm 47→60、iec104 141→154、iec104_serv 28→34，
既有断言零删改；48 个钩子 --all-files 全绿；编号门禁可判定 86.34%（基线 86.0%）、
不可判定 1,153 处低于上限 1,166；doc-links 无法判定 0；UI 黄金 18 页扩到 27 页
连跑两次逐字节一致；字库 diff 空。

顺手修掉三处既有缺陷（都是本轮第一个消费者才暴露）：sim_syslog.c 的 s_paths 行宽
16 而 "sim_selftest.log" 正好 16 字符没有 NUL 位（stat/remove 读越过数组尾，此前
靠后面 .rodata 碰巧为 0）；ui_w_setlist 二态行 ENTER 不回绕（控制字与软压板出厂值
全在最后一项，按了像没反应而叠层里已是越界值）；生成物 ui_menu_tab.h 与 gen_menu.py
模板漂移（上一笔改了模板没重跑生成器），现随生成器输出对齐。

未收口（不算完成）：保存后重启值保持与主站 C_RD 读回两条只能上板，台架窗口执行；
LOCK 屏显与越界反显的页面侧在模拟器造不出来（模拟器不跑定值自检、无 NAND），
已由生成侧单测与代码注释点名差距；同类页数与钩子数陈述残留另立待办。
 2026-10-26 15:51:12 +08:00
wandering1 0f7b5a87fb chore(编号): 存量编号全量转语义短语，门禁识别面与语料同批重打 
登记簿、文档与代码注释里的存量字母加数字编号（N-x / S-x / T-x / E-x / A-x / 卡号）
一律改写为语义短语，净删 2,028 处引用；删除基线与待确认、并行分道方案、排期详述、
采集保护收尾 4 篇（内容已并入 docs/任务规划/README 与登记簿）。

门禁机器与三张账同批重打：check_ids.py 新增变更记录行豁免与第二根护栏
undecidable_total_ceiling；check_test_traceability.py 只加 stdout/stderr UTF-8
reconfigure（TC_RE 未动）；check_cubemx_survival.py 的 --write 固定 newline=LF；
id_registry / id_aliases（+19 条 retired-to-phrase）/ id_known_backlog 重打。

test/ 56 个文件同步 TC 标签语义化，其中 18 个 TU 改了 CHECK / printf 里的标签文字，
是本批唯一改变构建产物的文件集合。

为什么合成一笔、不拆四笔（实测撞闸，非偏好）：pre-commit 跑钩子前会 stash 未 staged
部分，拆开后中间提交必然是「新规则 + 旧语料」——实跑可判定 85.15% < 基线 86.00%、
不可判定 1,453 > 上限 1,166，编号门禁直接拦下。编号识别面与它描述的语料只能同码移动。

实跑基线（工作区全量）：754 文件 / 8,230 处编号字面量 / 可判定 7,079 = 86.01%
（基线 86.0%，容差 0.1pp）/ 不可判定绝对数 1,151（上限 1,166）/ 校验 1-6 错误级 0 /
告警 = 悬空 2（App/algo/freq.c 的 S2，属 §4.4 同号不同义）+ 孤儿 50。

基线从 84.0 抬到 86.0 的理由见 docs/门禁说明/id-check.md §7.6：本批真删了 2,028 处
引用，可判定面随真实内容上升，不是把分母做小。同批新增排除 docs/硬件平台/ 语料，使
识别面少 264 处——芯片手册位号与网表料号不属编号空间（registry 有 excluded_paths_note）。

⚠ 余量只剩 0.11pp（约 10 处）与绝对数 15 处：把「可判定的引用」改成散文会立刻撞第二
根护栏。另遗留一项：id_aliases 里 retired 的 N / S / T / A 别名没有 scope（U1~U5 有），
今后有人新写一个 A-4，校验 3 不会响，只能靠人，建议下批补 scope。

固件不变证据：115 个 .c/.h 剥注释并归一字符串后与 HEAD 逐字节全等，残留代码差异 0；
App / Src / Drivers 的字符串字面量零改动。@build 0 错误 0 警告；40/40 主机套件、2,889
断言全通过；覆盖率 line 89.2% / func 92.6%；pre-commit 48 钩子 --all-files 全绿；
check_doc_links --all 通过（176 文档，章节引用无法判定 0）；逐字节卫生核过：14 个带
BOM 文件与 HEAD 一致、0 个 CR、0 个 U+FFFD，字符串字面量纯 ASCII。

.cubemx_survival_baseline.json 的 watchdog-module 哈希 56bf27 变 2bb051 属合法：
Src/freertos.c 的 USER CODE 区内只有注释文字随编号改写，代码未变。

同批带上体积同码凭证与 RAM 台账行（@build 之后盖戳）：RW_IRAM1 79,008 B / 60.3%，
RW_CCM 57,376 B / 87.9%，阈值 92%。
 2026-10-26 12:28:14 +08:00
wandering1 a92baa269e docs(boot_log_data): f3rounds 验收两轮日志存档 + id-check 二进制工件跳过 
道F task-22 commit 2/2（F1 票收尾）。素材 = 2026-10-25 最终主干 1a624b1（含看门狗
v1.5 按位分账 + F3 推流心跳边界）上的两轮 30min 判据轮；serial-assistant live 日志
按字节偏移切片（不 clear、行边界对齐），gz 前置 ASCII 头行记录偏移窗/负载定义/
v1.1 判据结论。原 megawin 16:18-16:48 摘录因 @test clear 轮转灭失（全盘无副本，
lead 核定非事故），归档位按裁改存这两只（v1.1 判据下的达标基线 + 残留真信号）。

轮①（:7003 relisten_stress 单独 30min，2200 connect/close 零拒绝）= PASS：
stall=0；MISS 758 条 NET 缺席=0（旧 12 条 NET 参与组合消失达成）；uisn 在途峰
103ms / uis 完成峰 183ms / UI 周期最坏 254ms——F2 复合零误报 + F3 阻塞型治愈的
定案样本。sha256 前 16 = 383dd291f37c6a5d（gz 165KB / raw 1.87MB）。

轮②（e02_probe 单独 30min，50 掉线窗）= FAIL（如实申报，零放水）：stall=8 = 3
事件（20:06:05/20:16:54/20:20:30；mask=0x1E7 纯 UI×7 + 0x167 UI+I104×1，h= 环全部
>=8 连窗真申报）；饿死型证据链：每样本点 uisn=0 + mg=217/262 + 拖点在 feed/port
墙钟而非推流段——「reconcile 突发饿死 uiTask」登记行与 E-27/28 批 3 的直接立项
证据（lead 裁定单列，处置方向 = 优先级矩阵复核 / reconcile 突发分片让路两条）。
全窗无 IWDG 复位。sha256 前 16 = b44eb3371c25e04c（gz 79KB / raw 0.75MB）。

README §3 表首两行沿用 B6/B7 验收轮先例（第三列放判据摘要）+ 表后存档说明行
（判读证据存档 != [STACK] 水位快照；判据口径指针 §7.2/工具名）。

【配套门禁修复（越界申报，因果耦合）】id-check 对二进制工件按文本 errors=replace
扫描：gz 乱码流随机拼出「字母-数字」形态伪编号，把无关存量顶成校验 1 台账外新账
（本 gz 入库实测拦下提交；png 属同类侥幸未撞形态）。iter_files 增加二进制嗅探跳过
（gzip 魔数或头 2KB 含 NUL → binary_skipped），与 noise_literals/盲区同口径；
docs/门禁说明/id-check.md §6 第 9 条 + 变更记录同步。教训自含：修复说明里引用噪声
示例本身会被再扫一遍——文档措辞只描述形态不举例（本次真实返工一次）。
scripts/check_ids.py 可写工具面，非登记簿/单写者文件；.pre-commit-config.yaml 未动。

【门禁】本树补跑 @build 0/0 落 .map；--all-files 48 绿 0 红；uvprojx UV4 抖动未入库；
登记簿双销项 + 新语义行 = lead 单写，本提交不碰 docs/任务规划/**。
 2026-10-25 20:51:44 +08:00
wandering1 4c05b58f3a feat(tools): v5 判读工具 v1.1——MISS 降级诊断行，违规只看 stall 与嫌疑段 
道F task-22（F1，大窗判读三票之首）commit 1/2。违规口径改造：
violation := task stall>0 或 真停滞嫌疑静默段>0；MISS start 自 v1.1 起整体降级
为诊断行（看门狗 v1.5 按位分账后它只是复合缺席边沿，不代表停喂，设计说明
docs/子系统设计/看门狗设计说明.md §6.1）。v1.0 把运行期 MISS 计入违规是我在
task-19 把判读口径收紧过头——2026-10-25 台架 70min 窗 1262 条运行期 MISS 经
逐窗归因实为重建风暴复合边沿（456 条贴探针窗）+ FTP 传输窗抖动（632 条），
非心跳丢失，予以纠正（当轮 FAIL 判定的误伤面即此）。

【新增输出】MISS 归因诊断（人读 + --json miss_diag）：开机良性 / 探针窗内 /
窗外运行期 三分类 + 窗外每分钟速率 top5；counters 同步扩字段，旧字段
（miss_runtime 等）保留不动，既有 JSON 消费方零破坏。stall 行文本不变，
语义注释更新 = v1.5 起每行都是「同一任务 800ms 单串」真猎物。

【自检】--selftest 15→18 断言：新增 v1.1 回归钉 = 零 stall + 运行期 MISS 样例
必须 PASS，且归因计数（探针窗内 1 / 窗外 1）与分钟分桶正确；PASS 文案与新
口径同步（改口径先改文档再改脚本的漂移闸语义保持）。

【文档】实机测试实施指南 §7.2 判读工具块重写（v1.1 口径 + 降级依据 + stall
语义指针）；N-2 销项条件同段由「stall 与 MISS 双零」改为「stall 与真停滞嫌疑
段双零」。开机豁免（§9 第 8 条）保留、仅作用于 MISS 诊断分类。

【顺手修（越界申报）】scripts/check_size_gate.py 无参/非法参直调在 print_help
崩（argparse 对 help 做 %-插值，「92% 红线」裸 % + 中文 = ValueError；lead 派
单附注确认）：help 改 92%%，加注释防复发；--ci 功能语义零改动。非本票写域，
系 lead 明示「要不要顺手修由你定」。

【票内待办（commit 2/2）】boot_log_data 的 gz 摘录：原定素材（16:18-16:48
megawin 段）**已不可得**——serial-assistant state 日志被后续 @test 窗 clear
轮转，全盘（含 Temp/ci-artifacts）无副本，已报 lead。替代落点 = 本轮 F2/F3
验收两轮 30min 判据轮（最终主干 1a624b1，效果取证素材）各出一只 gz 入库 +
README 索引，语义上是「v1.1 判据下的达标基线」比旧误判窗更有归档价值。

【门禁】--all-files 48 全绿（本树补跑一次 @build 落地 .map 后 mem-numbers/
budget 自然绿，数字 224860/24640/1332/135100 与凭证同码一致；固件源码零
改动）；uvprojx UV4 抖动未入库。
 2026-10-25 19:10:29 +08:00
wandering1 3e03375c88 merge: task/navtool-repo 合入 v2-on-ui 
任务 navtool（2 个提交）经 task-worktree 回收：
- docs(UI自动化): 新增第七节「板端有状态导航判据」+ 过密码口径指针
- feat(判据脚本): 板端 UI 有状态导航器入库 scripts/board_ui_nav.py
 2026-10-25 18:06:19 +08:00
wandering1 c23b21eed8 docs(UI自动化): 新增第七节「板端有状态导航判据」+ 过密码口径指针 
票 = task-25 第二半（配套上一笔的 scripts/board_ui_nav.py）。

docs/UI设计/UI_自动化测试流程.md 新增第七节：
- 7.1 为什么必须闭环：KEY 空帧 + 盲走 9 帧仅 3 帧名副其实的实测表（含每帧落点与墨量），
  三张证据 PNG 落 docs/测试说明/boot_log_data/（弹框裁切现场、盲走落密码页、盲走停在级联）。
  「512 bits 神秘空白态」在表里定名为**密码输入页**——走带 #P 注记的叶子时第一屏是要密码。
- 7.2 认屏三判据（表格：判据 + 为什么这样判）与两条实测纪律（l 收列、#P 注记顺序）。
- 7.3 四种用法与钩子档位：钩子只跑快检档，完整档（含闭环）合入前 / 上板前手工跑；「没跑」
  与「跑过且通过」在脚本输出里是两种打印，不互相顶替。
- 7.4 四条已知限度：末两行叶子弹框被裁（真机定位留台架窗口取证，是取证题不是编码题）、
  同标题多态不区分、与黄金文案的有意耦合、快检不证导航。
- 7.5 过密码口径：查看 000 / 修改 123，键序与黄金回归编辑态完全一致；只读判据不自动升格。
docs/UI设计/UI_数据供给设计说明.md 追加落地注·五（指针级）：写路径（批 5）必须把「过密码」
当显式状态——快照层不提供「曾否进过某页」，可写性只由 UI 权限态与 par.locked 决定。

纯文档与取证图，无行为改动。取证 PNG 由 simulator/i1_to_png.py 从留档帧转出（4 倍放大，与
其余 UI 证据图同规格）；本笔钩子按各自触发面执行，其中 doc-links 会核对本节新增的两处
相对链接与三张图的存在性。
 2026-10-25 18:02:32 +08:00
wandering1 2d16fdddc0 fix(看门狗): 停喂判定按位分账——复合串窗不再误停喂（2026-10-25 大窗判读 F2） 
道F task-23。动因 = 2026-10-25 台架大窗判读：9 条 stall 行里 16:24/16:28 两起为
复合判据误升级——旧逻辑喂狗前置 = 全必需位同窗跑过，任一窗缺任一位即断喂，
复合连续 8 窗申报 stall；UI 一窗缺、IEC104 下一窗缺、再下窗 FTP 缺这类互不相干
的亚秒抖动被串成 800ms 假停摆（mg=877/918，两事件中无任何任务达单任务容忍线）。
16:39 那起才是真 UI 单任务串（~1.2s，bit4 到 8 连击——受害者面修复 = F3 票）。

【改造】stall/停喂唯一判据 = 任一必需位自己的连续缺席窗数（s_miss_bits[] 分账，
+9B BSS）：同一任务 8 窗（800ms）没跑过 → 申报 + 停喂 → IWDG 自然溢出
（IWDGRSTF 权威归因不变）；所有位连击 <8 的缺席窗照常喂狗；位出现即该位清零，
掩码外位不入账（wd_required_mask 随构建变化自动跟随、不留旧账）。`MISS start`
保留为复合边沿诊断行（不再代表停喂，判读口径以设计说明 §6.1/§11.1 为准）。
代价：真停摆从挂死到复位总时长最坏 +约 0.7s（≈2.5s 最坏 / ≈3.3s 标称），V2
台架判据「声明 stall 后 ≤2.5s 复位」不受影响（申报时点未变，停喂起点即申报）。

【测试】test/host/watchdog 断言按新判据改写 5 处（004/005/006/008/013：缺席窗
照常喂），新增 TC-WATCHDOG-017（20 窗 UI/NET 交替缺席：零 stall + 20 窗持续喂——
旧复合判据必在第 8 窗误报，回归钉）与 TC-WATCHDOG-018（同位 8/9/10 连击必报停
+ 停喂；恢复窗喂、账本重启，第二段亚容忍串重新从零计）。47/47 全绿。

【文档】看门狗设计说明 §0/§2.2（停喂链加「v1.5 起字面成立」注）/§3.2/§5.3/
§6.1/§11.1/§11.6 大窗补记 + 变更记录；看门狗单元测试说明（用例表 + 47 断言 +
变更记录，顺带修正 TC-WATCHDOG-003 行 10-12 后未跟的 `0x37`→`0x1F7`）。

【越界申报】① docs/测试说明/看门狗单元测试说明.md——票面写域外，但该文档
§4 自要求「行为变更须同步改单测与本文」，执行性同步；② 根目录
.cubemx_survival_baseline.json——cubemx-survival 钩子对 task_watchdog.c（watchdog-
module 审计项 = 全文哈希基线）明示「有意改动请 --write 重建基线」，重建后
31 通过 / 0 失败。均非他人并行改动面。

【门禁】@build 0 错误 0 警告（Code=224768 RO=24640 RW=1328 ZI=135096）。
--all-files 43 绿；红仅 mem-numbers/mem-budget = 台账漂移（vs 2026-10-25 行：
Code +80B / ER_IROM1 249328→249408 / ZI +8B（s_miss_bits）/ IRAM1 约 +8B，待回填）。
id-check 增量拦截通过（首跑拦下变更记录里 TC-003/TC-004 裸形，已改全 ID）、
test-coverage 通过、cubemx-survival 通过。
gate: only mem-budget/mem-numbers pending lead ledger backfill

【台架】等你排窗两轮（各 ≥30min）：单独 relisten_stress :7003 / 探针轮。判据按
v1.1 口径 = stall 行零为硬判据；预期本修复后 16:24/16:28 型复合误升级归零，
MISS start 仍会出现（诊断量）；16:39 型 UI 真单串在 F3 落地前仍可能照报——
那属于「判据抓对了人」，请连同 mask 一起记给我。
 2026-10-25 17:58:18 +08:00
wandering1 7099c56c34 chore(ledger): pages 批 1~4 合入后回填凭证/覆盖率并同步黄金参考计数 
task/pages-ui 合入（merge dea7591 + 修复 498cc60）：三页回炉 + SOE 页 +
四查看页 + 遥信 33 行页 + ui_data 三通道 + soe_store 只读 API + 字库与
门禁配套共 12 笔。凭证重盖（Code=224,688 / RW_IRAM1 78,992 B=60.3% /
CCM 87.9%）；覆盖率基线 39/39 套件复算。ui-golden 黄金参考 11→18 页
随批 4 扩容，AGENTS 门禁行/索引行与门禁说明两处、覆盖率口径一处同步；
两篇新详解（bom-guard/setview-check）已由道E 交付、索引去"待补"。
memset 隐式声明一条教训：分支树增量构建"0 警"不覆盖未重编文件，
done 主树全量重编才是终判。
 2026-10-25 15:49:42 +08:00
wandering1 efc3ed1c61 feat(台架): V5 复跑判读脚本 v5_log_gap_report——静默段自动判类 + stall/MISS 双零计数 
道F 批 2 支援 task-19（纯主机侧工具，零固件接触；合窗台架由 lead 执行，
本工具承担判读面）。

① scripts/v5_log_gap_report.py：输入 serial-assistant 落盘日志，自动列
   >=10s 静默段并逐段判类 NO-SOURCE / PROBE-WINDOW / BOOT-WINDOW /
   TRUE-STALL-SUSPECT——贴边证据 = 控制台两本账（CONSOLE dropped/tx fault）
   + syslog 三类 drop 的留痕行；口径唯一来源 = docs/子系统设计/
   控制台单写者日志设计说明.md 文末附录（2026-10-25 合并评估）。
   task stall 计数 + MISS start 开机良性豁免内建（实机指南 §9 第 8 条）。
   双钟源：采集相对钟 [+NNNms] 优先，缺行首钟退化设备绝对钟；RTC 前跳按
   会话边界处理不产假静默、回拨钳制；会话切分 = 相对钟回退或 reset cause
   锚点。--json 机读 / --report-only 只出报告 / --selftest 免台架自检。
   退出码 0=双零达标 / 1=违规 / 2=日志不可用 / 3=用法（沿用 scripts 惯例）。
② 用法十行落 docs/测试说明/实机测试实施指南.md §7.2（判据互链）。

【验证】py_compile 绿；--selftest 15/15 断言（双钟源、四类判定、良性豁免、
时钟边界、FAIL 判分路径全覆盖，断言即口径防漂移）；真实样例三份：
B6 PROTECT_MISS = 2 条良性 MISS + 0 静默 + PASS；B9 prod = PASS；
probe_stale_gate = 124 时点/2 会话/PASS；合成负样例（stall 行 + 34s/28s
静默段）RC=1 且 28s 段判 PROBE-WINDOW——与 V5 时代 ~28s 静默签名吻合。

【门禁自查】doc-links 首跑拦下一处自引用错号（开机良性豁免条实在 §9 第 8 条
而非 §4.3——§4.3 属看门狗设计说明），指南与脚本头两处一并改齐后绿。
【越界】无——写域 = 看板声明两件（脚本 + 指南 §7.2 互链行）。
【门禁】脚本类无 -unit-test 钩子义务（判定面由 --selftest 承担）。
 2026-10-25 11:38:23 +08:00
wandering1 c89c8effd4 docs(日志): N-2 × S8 合并评估收口——S8 判已达成、IT/DMA 维持否决、N-2 收敛 V5 复跑 
道F 批 2 / task-18（评估任务：结论即交付，零代码改动，未顺手重构）。

【结论（全文 = docs/子系统设计/控制台单写者日志设计说明.md 文末附录 A.1-A.4）】
A.1 S8（非阻塞日志；需求出处 = 链路延迟测试说明 §9.2/§10.2）在**生产者侧已由
    单写者形态达成**：实测日志税 4402µs/行（L10）→ 亚微秒~µs 级整行入环；
    溢出 = 有界 200ms + dropped 账 + [ERR]；冲刷 = 有界裸发。S8 判**已实现**。
A.2 TX 中断/DMA（原案后半）维持 D4 否决；复议条件绑定 S-3（TX-only 根治 ORE
    僵尸，批 2.5 独占轮）：根治后 tx_timeout 实测增量 > 0 才复议——S-3 之前
    动 TX 路径 = 给即将被移除的场景写两遍代码。
A.3 与 N-2 合并判定 = 同源不同题：判据②（丢弃可观测）已具备（v1.5 三本账 +
    syslog 丢弃账）；判据① 运行期窗内静默随 N-17（merge 969fc5c）待复跑核验，
    附录并给出「无源 vs 真停滞」机判口径（账目增量 / [ERR] dropped 行对照）。
    销项条件 = V5 复跑（e02_probe + FTP ≥30min）运行期 stall 与非开机 MISS 双零；
    销项动作与登记簿行清理归 lead，本提交未碰 docs/任务规划/**。
A.4 遗留面全部既有（O1/O2/O3/O4/S-3 归属不变），无新增。

【最小实现】判定为**无需**（三结论：已实现/否决/观察窗内）。唯一候选（O2 的
STALL 证据行接 tx_timeout）涉 App/util 与台架证据行解析端，超本卡写域，维持
O2 后续项登记。

【改动】纯文档 3 个：控制台单写者日志设计说明.md（附录 + §11 时间线 + 修订
记录 v1.6）；链路延迟测试说明.md §10.2 第 9 条划状态 + 第 14 条现状互链；
实机测试实施指南.md §7.2 结论段互链 N-17 修复与销项条件。

【越界申报】docs/子系统设计 + docs/测试说明 3 篇——评估类任务的结论落文档
即交付物本身，同 n22 批准②的先例类别；未碰单写者/登记表以外他人文件。

【门禁】check_doc_links --all：本单 3 篇引用全绿（首轮照出附录 3 处跨行/裸形
小节引用已改紧邻完整路径写法；仓内余 32 条 = simulator/SDL2 第三方路径空格
既有噪音，与主干一致、非本单引入）；id-check exit 0。零代码 → 无需 @build；
soe_store/道E 窗口零交集（本卡零代码）。
 2026-10-25 11:01:00 +08:00
wandering1 db9f256fd0 docs(收口): 批 1 台架记录与门禁/产物分家口径落档（道C 文案兑现） 
- test/board/ch395f_test.h：f3 轮台架记录追加——VERDICT PASS，
  task stall 468→14（net 类 431→0，掩码复活实锤），余 13 条为
  netTask 自挂起前喂一次 vs 精确匹配判据的语义打架 + 1 条 uiTask
  瞬态 + 1 条设计内 P2 留痕；lead 裁决不放宽超集判定
- 主机单测覆盖率口径.md：中间产物路径 L80 与坑 12 重写为
  %TEMP%/dtu_host/<工作树哈希>/ 分家 + runs 独占（adabb6a 落地，
  旧固定共享名作废；判据正文指向 harness 顶部）
- 并行任务工作树方案.md §5 表：单测产物一行——不需要锁但必须
  按树分家（对照 build/bench 真独占）
- 门禁说明/cubemx-survival.md §6：新增第 7 条「基线漏项=静默不检」
  （net-msgq-adopt 实证，--write 后抽查新增条目）
- 门禁说明/id-check.md §5：拦下过真事追加——P1-10 注释裸编号被
  校验 6 拦（紧邻写法在 C 注释同样生效）
 2026-10-25 06:12:02 +08:00
wandering1 411594bf67 feat(采集标定): 卡1 TPAFE 量程口径定死 + 卡3 cfg_file 补 CFG_VAL_INT 
卡 1（文档口径；卡 0/12 实测类按用户指示跳过，只落口径与占位）：
- ADC通道映射说明.md 文首摘要行的 ±10 V 更正为 ±5 V 双极性：板上 RANGE
  接 GND，±5 V 满量程 = 10 V 跨度，LSB ≈ 152.59 µV/码（@引脚）
- §7 TPAFE 量程行重写并括注 ±10 V 是芯片可选档（RANGE=HIGH，跨度 20 V、
  LSB 305.18 µV）、本板未用；§1 缺陷实质 2 补「满量程 = 10 V 跨度」
- 新增 §7.1 端到端量纲链路分段口径：②引脚侧 LSB 系数定死（TPAFE 152.59 /
  STM32 805.66 µV/码，纯转换器事实、与前端网络无关，卡 2 的 ROM 默认按此
  冻结）；③1k+1k 网络「2:1 分压 vs 源阻抗匹配」两读法待卡 0 注入斜率判别；
  ④端子→AINn 变比为仓库缺口待卡 0b；305.18/1611.3 定性为读法 A 的条件值、
  判别前禁入代码；§9 变更记录编号不动（继保规划有指向本文件 §9 的跨文档
  引用），新增行追加于其后
- 全仓其余 ±10 V 仅剩芯片手册转写与 tpafe5160 RANGE 枚举可选档注释
  （芯片能力描述，非本板口径）；数据可信.md §2.1 冲突挂账归 lead 销项

卡 3（代码；cfg_file.c 带 BOM，编辑后核 EF BB BF 完好）：
- 新增值类型 CFG_VAL_INT（枚举尾部追加、既有值不变；len 1/2/4 小端补码）：
  s_decode_int() = strtol + ERANGE + 宽度上下界双校验（两端 long 均 32 位，
  超范围文本饱和成 LONG_MAX 仅比界抓不住，ERANGE 必查）；s_encode() 带负号
  %ld 输出；cfg_file_register() 拒 INT 非法 len
- 单测新增 TC-CONFIG-006/007/008：-1 / INT32_MIN / INT32_MAX / 越界拒绝
  （含饱和带 2147483648）/ 编码带负号 / [sys] 段 load-save-load 往返一致 /
  注册拒绝 INT len=3 —— cfg_file 套件 200/200 PASS
- 回归：net_cfg 45/45、ftp_cfg 16/16 PASS，既有 network/ftp 段行为不变
- 越界改动说明：TC-CONFIG-006~008 定义行登记进属主文档
  docs/测试说明/配置文件单元测试说明.md（id-check 增量拦截要求在属主登记处
  补定义，该文件不在本卡写范围但为门禁唯一修复路径，仅追加 3 行用例 + 1 行
  变更记录，lead 评审时留意）

gate：@build 0 错误 0 警告（Code=214104 RO=18860 RW=1204 ZI=131852）；
RAM 增量 0 B（RW/ZI 与 ram_baseline 2026-10-24 行完全一致，IRAM1 57.7%、
CCM 87.9% 不变），Flash +324 B；uvprojx 零挂载变化、未入库。
staged 门禁全绿，唯 mem-numbers / mem-budget 因 Flash 增量需台账回填
（--write 目标 docs/内存管理/** 属单写者文件，本道不得触碰）：
gate: only mem-budget/mem-numbers pending lead ledger backfill
（--all-files 全量自查确认失败面仅此两条；BOM/CR/U+FFFD/字面量 ASCII 已
手工自查）
 2026-10-25 03:13:32 +08:00
wandering1 15aa08552c docs(问题记录): 删除项目审查与优化建议报告，结论并入模块文档与编号规范 
用户裁定：该报告大部分内容已闭环，可删除；仍有价值的迁到合适文档。删前逐条核对，
确认绝大多数结论在仓内早已有权威副本（LV_DRAW_SW_COMPLEX / osFlagsNoClear / SPI 分频 8
/ 分层反向依赖存量基线等），只迁真正独有的四类内容：

1. 暂缓理由与重开条件（三条量化门槛）→ RAM 使用分析与优化方案 §4，并明确「本节是唯一
   权威」，其它文档只留指针；同时把 10 处指向报告 §5.3 的重开条件引用改指该节。
2. 2026-10-22「常驻 vs 动态」三项诊断（静态前五块 43,462 B = 58%；动态面只有 heap_4，
   故栈余量=CCM 余量；栈深主因是日志/配置写链）→ 同文档 §2.5。
3. `_fp_digits` 1,018 B 删不掉的机理与 F-6 根因修法（Q10 宏改单精度，−332 B，4.49e6 例
   逐位等价）→ §2.6.4。
4. 「UI 侧缓冲进 CCM」要按 DMA 可达性二分（LVGL 池可进，帧缓冲/推流缓冲不可）→ 暂缓清单。

编号侧（报告曾是 6 个族的属主登记处）：
- 原报告 §9 的 26 行「号 → 现在详述于」对照表迁到 docs/编号规范.md 新增 §4.5，6 族
  owner_docs 改指该节。规范正文含大量写法示例，直接当定义集会误伤，故 check_ids.py
  新增 `_def_owners`：snapshot_only 族剔除规范正文，只恢复可判定、不参与悬空/撞号/裸形
  /紧邻判定（实测若不分，裸形 S1 误报 238 条、S-3 与登记簿 S-3 误判重复定义）。
- 11 个已死号（N-03b/N-10~N-13/N-20/N-21/N-24/N-26/S-1/S-2）在 id_aliases.json 登记
  status=void 并写明去处——它们被约 110 处代码注释与文档引用，原先只靠「报告里顺带提过
  一句」才算有定义，报告一删就集体悬空。N-21/S-1/S-2 一号两义，注记已分别标明。
- 顺带修 id_aliases.json 的 note 被脚本累积重复 26 次；修 registry 里 3 处仍指向改名前的
  任务卡文件名（W1-采集保护收尾.md / W8-数据可信.md），以及 iec104_master.py 两处同类注释。

门禁：check_ids --strict 通过（可判定 8747/10410 = 84.02%，基线由 82.6% 抬到 84.0%）；
check_doc_links --all --sections-strict 通过（177 文档）；pre-commit 相关钩子全过。
 2026-10-25 02:08:58 +08:00
wandering1 7048e9cb9a docs(任务规划): 瘦身为只留待办，波次条目改用语义名 
任务规划目录只保留将来要做的事：删掉已完成的证据链与已作废的历史快照，
并把波内条目的 C/D 短码全部换成语义名。

为什么删 C/D 短码：它们同字母不同义——C 组在 UI_界面制作流程.md 里是
UI 设计约束（屏幕/字符集/文本/编码），D 组在控制台单写者日志设计说明.md
与配置文件设计说明.md 里是决策记录。同一串短码在三处指三件事，读的人
只能猜，所以条目一律改用一行短语作标识。

- 排期详述.md 重写为「结构债与验证常态」，条目全语义名，出处列留冻结号
- README.md 删修订记录块（本文件自述不留变更记录），波次行改语义描述
- W1-采集保护收尾.md 67→30 行，只留 M3 送检与 B10 卡
- 基线与待确认.md 73→15 行，删已作废的旧栈表与旧余量数字
- 登记簿.md 逐行收缩到未闭环残余，N-29 的 .git 订正为实测 233 MB
- 测试与架构专项.md 删 S1-c（106 例已落地，且被覆盖率总闸覆盖）
- 并行分道方案.md 删批 0，修两处会返回 rc=3 的 new 命令形态
- 覆盖率口径：套件 16→33、未挂钩子 12→17、墙钟 25s→67s（实测）
- 同步 10 处跨文档引用，指向合并或删除后的新位置
 2026-10-25 01:35:21 +08:00
wandering1 92b8bf9bcf docs(任务规划): 销项 S1-c，纠偏并行分道与覆盖率套件数 
cov / cov2 两批主机单测已合入 v2-on-ui，规划侧随之过期，本次一并纠偏。

销项 S1-c（sys_log / time_sync 主机侧单测）：
- test/host/sys_log_mcu/ 106 例、test/host/time_sync/ 4 例均已落地，且被
  test-coverage 总闸（^App/|^Drivers/BSP/|^test/host/）全量跑到，比专属钩子
  覆盖面更宽，故按"完成项删除"规则从 测试与架构专项.md 删表行与 §2.2 整节。
- 后续小节顺移：A-4 §2.3→§2.2、A-5 §2.4→§2.3，同步改 暂缓-RS485.md 的引用。
- 头部补证据指针到 主机单测覆盖率口径.md §9「P1 落地」/「P2 落地」。
- 任务规划/README.md：测试/基础设施 6→5，W5 行与顺序图去掉 S1-c。

并行分道方案：
- 删「批 0 回收 cov」整节（冲突矩阵上移为 §6.1、done 动作变 §6.2），
  §8 执行清单去掉批 0 段。
- 道C 去掉 S1-c，四分支缩为三分支；冲突矩阵里道C 不再占
  .pre-commit-config.yaml 与 test/host/**。
- C1 行去掉已闭环的 E-25（net_select 两处死路径已由主机单测照出并修掉）。
- 修正原 §8 两处会直接跑挂的写法：new 必须两个参数（<ID> <slug>），单参 rc=3；
  ID 全局唯一（台账 .state/<ID>.json），同簇多任务须靠 ID 区分。
- 补 abort 陷阱：失效 .git 时停在 "is not a working tree"，不会替你 rmtree，
  需手工删目录 + 删台账 + git worktree prune，删前先查联接。

覆盖率口径：
- 套件数 16→33，未挂钩子 12→17，全量耗时 25 s→67 s（2026-10-25 实测，
  33 套 5609/6279 行 = 89.3%、函数 92.3%，rc=0 无回退）。

门禁：check_ids --strict 增量拦截通过（校验8 84.62% ≥ 基线 82.6%）；
check_doc_links --all --sections-strict 178 个文档通过。
 2026-10-25 01:16:42 +08:00
wandering1 ea7d0170e2 docs(test): 补第 3 轮变更记录（台架必验项 + 投递即拷贝） 
合回主干后补上批次变更记录表尾这一行（上一步提交时故意跳过：当时在分支上，
变更记录属单写者文档、按纪律留到主干统一处理）。

行内容覆盖：台架 7 条必验项的实测结论（3 条硬通过、第 5 条给出非破坏性正/负
双向证明 12/12 vs 5/12、第 6 条经用户裁定暂停、需物理拔接 TX 的子项因读端未
接线而不可见）、第一次全量超时的真因（Public 配置文件 + 入站 Allow 只绑被放行
解释器，两条均已登记在 Trap 记录里）、以及由该实验驱动的投递即拷贝改动与它的
 RAM 代价。

另记两条自我教训进正文：快投递测到的是设计内的投递侧丢弃（测错对象）；钩子
return 导致 testTask 退出被看门狗复位、污染自己的计数。

验证：pre-commit（暂存范围）相关钩子全绿；文档字节口径无 BOM / LF / 无 U+FFFD。
 2026-10-24 23:54:11 +08:00
wandering1 4a09d4c63f fix(log): syslog_post 投递即拷贝（台架实证驱动的 B 方案整改） 
待发条目 syslog_entry_t 原为 {id, const char *desc}，只存调用方指针，
隐含「desc 必须活到落盘」的契约，但契约既未写进 sys_log.h、也无机械
检查。台架一次可控实验照出后果：testTask 临时钩子复用同一块缓冲连投
12 条带序号记录、并与 8 MB FTP STOR（占住卷锁）重叠，落盘的 12 条变
成「1~5 + 第 12 条七份」——滞留条目全部别名到该缓冲最后一次写入。
叠加卷忙整批回投（条目可滞留到卷空闲），投栈缓冲即成悬垂读。

改法（B 方案）：条目内嵌 char desc[SYSLOG_DESC_MAX + 1u]，syslog_post
投递时按 SYSLOG_DESC_MAX 截断拷贝并补终止符；sys_log.h 参数说明同步
写明「投递即拷贝、不要求生命周期覆盖到落盘」。

R1 台架正/负双向实证（非破坏性，钩子与临时改动已全量反向还原）：
- 修复在位：12/12 全落、序号严格递增、无重无缺（768 B = 12x64）
- 临时把 -2 支路改成 rc == -2 && 0u：只落 5/12、6~12 全丢，两轮独立
  复现一致，且该轮无 queue full 留痕 => 丢的路径确为「卷忙整批丢」

RAM/Flash 前后（scripts/ram_report.py 同口径，同一 .map 来源）：
- ZI   131,500 -> 131,852 B（+352 B；s_preboot/s_batch_src 各 8 条
  由 8 B 变 32 B）；RW_IRAM1 75,280/57.4% -> 75,632/57.7%
- Code 213,720 -> 213,780 B（+60 B）；RW 1,204 B 不变
- RW_CCM 静态不变（57,376 B / 87.9%）；队列存储多要 192 B 取自
  FreeRTOS 堆池，烧后串口水位 [STACK] heap free=15624 min_ever=8464
  余量充足；总量仍远低于 mem-budget 92% 红线

测试：sys_log_mcu 套件 104 -> 106 条全绿，新增 TC-SYSLOG-108（投出
后改写调用方缓冲，落盘必须仍是投递时原文）与 TC-SYSLOG-108b（超长
在条目内钳位）。假消息队列护栏 MQ_MAXMSG 由 24 抬到 40：条目变大后
它拒收一切 Put、从既有用例起整片失败，属「尺寸变了就响」的正向记录。
主机侧此前照不出该类问题，是因为用例传字面量、静态存储期无限。

门禁 pre-commit run --all-files：39 项中 37 通过，含 test-coverage
（已覆盖行只增不减）、id-check（0 条台账外新发现、游标 TC-SYSLOG-108）、
doc-links --sections-strict、coding-standard、cppcheck/test-cppcheck、
bsp-err、layer-deps、no-mojibake、ui-golden、font-charset。仅
mem-numbers 与 mem-budget 失败：docs/内存管理/ 受管台账仍记改前
131,500/213,720。按分支约定不在分支上 --write 受管台账，留待合回
主干时统一回填，故 --no-verify 提交。

真机：产品构建 0 错 0 警告，重烧 + 回读校验 OK（suite=NONE dstr=off）、
启动标记齐全、无 [ERR]、VERDICT PASS。
 2026-10-24 23:15:18 +08:00
wandering1 924ac3d428 test(host): 断言字面量统一纯 ASCII，30 文件 1535 行 
用户裁定「统一」。口径就是 AGENTS 铁律：字符串字面量必须纯 ASCII
（无 BOM 文件里奇数个汉字会吞掉结束引号，偶数才侥幸通过），中文只写注释。
四名队友按目录分四组并行、写范围互斥：net_socket 418 行（6 文件）、
console_log/sys_log_mcu/soe_store/cfg_file_store_mcu 268 行（4 文件）、
11 个存量套件 404 行 + adc_input 89 行、iec104 与 lftpd 与 NET 四套等 356 行
（9 文件）。runner 的 .py 文档串不在口径内（Python 源不经 ARMCC 代码页）。

两套口径必须分清：粗口径（按行切引号）普查 = 34 文件 / 1,552 行；严格口径
（状态机剥掉块/行注释与字符常量后再取字符串字面量）= 30 文件 / 1,535 行。
差值那 4 个文件的命中全在注释里（ns_peers.c、net_socket/stub/ns_rtos.h、
common/ch395f_fake.h、common/fatfs_fake.c）——按口径一处都不该改，改了等于
把中文从注释里搬走、正好违背口径。粗口径绝不能当交付判据，否则要么白改
注释、要么留下「这行为什么没改」的悬案。

Lead 独立终检（不采信自报）五条硬判据，结果 30 文件漂移 0：① 每文件 TC 号
集合与 HEAD 逐字相同 ② 断言宏调用点数不变 ③ 行数与 HEAD 完全相等（专抓
整文件回写把尾部含 main() 吃掉的截断，第 1 轮真发生过两次）④ 剥注释后代码区
非 ASCII 字符 = 0 ⑤ 字节卫生（BOM 与 HEAD 一致、无 CR、无 U+FFFD、单尾换行）。
另用「逐行把字面量整体替换成空串后与 HEAD 必须逐行相等」机械证明只改了字面量；
各套 --module 覆盖率与断言数逐字不变（net_socket 887/889·53/53、console_log
199/200·16/16、sys_log_mcu 324/326·13/13、adc_input 103/103、sys_clock 100/100）
→ 生产码零改动，基线不需重登。

闸拦下一处真实回归（我的验收器没抓到）：ns_s6_edges.c 翻译时把一个上一轮
已整改成平实描述的编号又写回了 CHECK 标签。原因很清楚：「只改字面量」并不
等于「只改无害内容」，标签里完全可以带进未登记族的编号形态；而 Lead 的自动
验收器只比对了 TC 形 id 集合，未覆盖 L/E/N/S/TRAP 等族。教训：批量改标签的
守卫必须加一条「新串不得出现任何已登记前缀族之外的编号形态」，且结构不变式
只覆盖自己想到的维度时不能替代真闸。
Lead 自查另清掉 126 处写坏的反斜杠（JS→Python 转义层数翻倍，把 markdown
反引号写成反斜杠+反引号），恰好发生在记录这条教训的那一节里。

文档：docs/测试说明/主机单测覆盖率口径.md §9 新增「第 2 轮」小节（两套口径对照
表、五条终检判据、六条手法含「转换说明符序列必须逐位相同」取代「禁止裸 %」、
三条协作纪律含先改板再派工与临时文件带组前缀、后续项 3 条）+ 变更记录一行。

后续项（本轮不做）：把剥注释词法扫描器收进 scripts 当门禁（需用户点头并先定
test/ 是否纳入 coding-standard）；iec104 的简写编号归族（牵 id_registry，
不能顺手做）；替换器加「编号形态白名单」校验。

gate: pre-commit run --all-files -> 39 hooks, 37 Passed; failed = mem-numbers +
mem-budget（受管快照与本树 .map 的漂移，属第 1 轮生产码改动的遗留，非本批
增量）。本批只碰 test/host/**，不进 Keil 编译面也不进模拟器 CMake，**RAM/Flash
增量 = 0**；实测水位 RW_IRAM1 57.4%、RW_CCM 87.9%，均低于 92% 红线。
id-check 0 台账外新账（可判定 84.63% > 基线 82.6%）；test-coverage 33/33 全绿；
cppcheck / coding-standard / bsp-err / layer-deps / doc-links 全 Passed。
按仓内分支约定 --no-verify 提交，台账 --write 回填留待主工作树合并后。
 2026-10-24 21:00:17 +08:00
wandering1 5a806d8a26 fix(log,net): 处置主机单测照出的 10 条现状，撤销 1 条误报 
用户裁定「全部修」。第 1 轮修复跨三名队友、写范围互斥、零越界；
11 条登记现状 → 10 条已处置 + 1 条撤销（非阻塞 recv 「看不见 EOF」是误报：
net_recv_locked:1885 的非阻塞分支已把 CLOSED||session_dead 判成 EOF(0)，
动手前读码才发现，误报比漏报更贵）。

存储与日志（App/log/sys_log_mcu.c、soe_store.c、cfg_file_store_mcu.c、sys_log.h）
  A 卷忙整批丢日志：批量路径补 rc==-2 分支整批回投（不计故障/不打日志/
    保序）；此前一批最多 8 条既不落盘也不回投，而文档写着「条目不丢」
  B rc==-1 文案与行为相反：改 write fail, requeue + 正常→故障节流
  C 删永不可达的截断支；容量契约写死 sys_log.h（不足一律 -1、不写调用方字节）
  D 自愈触发集违规（比原报告更严重）：新增代码侧唯一入口 s_is_selfheal_code，
    触发集收敛为 {DISK_ERR,INT_ERR,NO_FILESYSTEM,DENIED}，移出名字/参数类码——
    旧集合在 8.3 同名同因下每轮删一次自己的历史日志且永不自愈，正是存储架构
    §10.1 第 10 条严禁的归集；soe_store 侧同源取更保守子集（打开失败绝不 unlink）
  E 注释里的 FR_NO_SYSTEM 不存在，改 FR_NOT_READY / FR_NO_FILESYSTEM
  F syslog_post 满态留痕节流（A 修好后「队列常驻满」成必然场景，不修等于用
    新刷屏换掉静默丢）；丢弃语义一字未改

NET（net_socket.c/.h、net_types.h、net_socket_sim.c、lftpd.c）
  IP 字节序统一到 POSIX 网络序：改 net_inet_addr（&s_addr[0]==第一段）+ 出向
    IP 数组按内存字节顺位拆装（进与出同时换族→芯片侧数组净效果不变，550h 钉住）
    + 模拟器逐字同步；ntoa 函数体未动，只改对它注释里取了废弃族值的例子——
    那正是两套约定长期共存不被发现的原因。lftpd 两处算术核对确认无需改
  UDP 绕过 netTask：两入口加执行任务上下文守卫，新码 NET_ERR_NOT_IN_NETTASK
    (-12，重试永远无意义)；结论口径=危险面已结构性关掉、串行化改造仍未做。
    附带关掉第二条更隐蔽的路：非 netTask 自旋 recvfrom 期间控制块被 close 并
    把同一 sockfd 分给新会话→旧自旋者消费新会话数据报

控制台（console_log.c/.h）：冷却改独立 s_con_cooling 标志（旧写法在 tick==0 那
  拍冷却等于没记）；con_append 的判空位+推进 head+整行拷贝收进同一临界区（旧
  为区外 check-then-act，环 >95% 满时可静默覆盖且既不打 [ERR] 也不计 dropped）；
  Instance==NULL 与僵尸通道分诊（未初始化绝不 reinit）；三本账分离 + 新读口
  dbg_console_tx_timeout()；[ERR] 行改为发成功才销账

测试：net_socket 452、console_log 127、sys_log_mcu 104、soe_store 27、
cfg_file_store_mcu 34；回归 net_listener 34 / net_events 34 / net_pending 43 /
net_select 22 / lftpd 35 / lftpd_inet 28 / lftpd_io 33 / iec104_serv 28 /
nand_port 149 / vol_lock 33 / soe 32 / cfg_file 151 全绿。原「按现状钉住」的
用例全部翻正向；console_log 用「逐条退回旧实现」做变异自证，失败集合单调增长
6→11→18→22（把一条本来空转的断言逼了出来）。
游标抬升：TC-NETSOCK-545→560、TC-SYSLOG-100→107、TC-CONLOG-135→167。

文档：控制台设计说明 §4.1 口径与 §13-O2 销项 + v1.5；运行与自检记录 §4.4/§4.5
四条；存储架构 §10.1 第 10 条推论（指向 s_is_selfheal_code）；TRAP-NET-21 后续
条目；BSD 指南新增 §9.0 s_addr 唯一约定；覆盖率口径 §9「第 1 轮修复处置」表 +
后续项 5 条 + 台架复验 7 条 + 新坑 8 条 + 变更记录。

后续项（本轮刻意不做，理由见 §9）：UDP 改走 netMsgQueue（需 per-task 结果槽，
net_msg_t 按值拷贝、禁止加回传字段，且要真机回归）；sim_syslog.c 同源不可达
支（本轮编译验证不到，不交没编译过的改动）；syslog_post 丢弃计数；
dbg_console_tx_timeout() 读端接线（STALL 行是被解析的证据行，加字段要连解析端
与台架判据一起改）；104 来源地址日志（现网无输出点）。

gate: @build 0 errors 0 warnings（Code=213720 RO=18860 RW=1204 ZI=131500）。
pre-commit run --all-files -> 39 hooks, 36 Passed; failed = mem-numbers +
mem-budget（受管快照与本树首次构建产物的漂移，非本批增量）+ id-check（已修，
现 0 台账外新账，可判定 84.63% > 基线 82.6%）。实测水位 RW_IRAM1 57.4%、
RW_CCM 87.9%，均低于 92% 红线；RAM/Flash 本批增量为数个 static 变量。
test-coverage / cppcheck / coding-standard / bsp-err / layer-deps / doc-links
全 Passed；全量覆盖率 33/33 套件、line 89.3%、func 92.3%、逐文件下降 0。
按仓内分支约定 --no-verify 提交，台账 --write 回填留待主工作树合并后。
 2026-10-24 19:43:56 +08:00
wandering1 794906cdc8 test(host): P2 覆盖率批次，5 套主机单测与共享假 FatFs 
P2 五个文件全部进分母（三名队友并行，写范围互斥、零越界）：
  net_socket 420 条 / 881-883=99.8%、52-52 函数（S1~S6 分片）
  sys_log_mcu 75 条 / 310-313=99.0%、12-12
  console_log 104 条 / 188-189=99.5%、15-15
  cfg_file_store_mcu 34 条 / 97-97=100%、10-10
  soe_store 26 条 / 78-79=98.7%、4-4
合计 659 条断言，P2 本体 1554-1561=99.6%、93-93 函数。

账：套件 28→33 全绿；files_tested 32→37；未触及 112→107（.c 34→29，
恒等式 29 = 0(P1剩) + 0(P2) + 29(P3) 咬合，§9 终点判据达成）；分母
4684→6245 插桩行；line 85.8%→89.3%；func 90.1%→92.2%（这批 5 个文件
全都以 ≥98.7% 进分母，故未摊薄）。--update-baseline 前后逐文件比对：
下降 0 个文件。

基建：新建 test/host/common/fatfs_fake.{h,c}（以真实 ff.h 为声明源、只
定义三文件实际调用的 9 个 f_*，缺哪个链接期响；卷忙/短写/FR_DENIED
可注入；短名违规分档）；扩展 ch395f_fake 为纯新增（g_fx/g_fxchip 另开
一份世界 + ext_reset 挂进既有复位，既有三套面一字不动），并按真头修正
两个错值常量（SOCKET_OPEN 0x01→0x05、TCP_ESTABLISHED 0x05→0x04），
另在 net_socket runner 加真头/假件同名常量文本核对闸（负例验证过）。
存量回归：net_listener 34、net_events 34、net_pending 43、net_select 22、
nand_port 149、lftpd_io 33、vol_lock 33、soe 32、cfg_file 151 全绿。

编号：补 TC-HOST-{NETSOCK,SYSLOG,CFGFST,SOESTORE,CONLOG} 五族（22→27，
先补族再引号）；net_socket 模块码由自取的两字母 NS 正名为 NETSOCK；
id-check 增量拦截无台账外新账，可判定比例 83.27%（基线 82.6%）。

文档：覆盖率口径 §9 新增「P2 落地」（含两套分母口径差、10 条现状表、
12 条可复用手法与并发红线），§8 第 1 条改「清单已吃穿」，补变更记录。
本提交未改任何生产代码（App/Drivers/Src/Lib/MDK-ARM 零触碰）。

10 条现状已逐条登记在 §9（含 sys_log_mcu.c:509~537 卷忙整批丢日志、
net_socket.c 同文件两套 IP 字节序、UDP 两 API 绕过 netTask），已获指示
全部修复，另开一轮（含测试字面量统一纯 ASCII）。

gate: pre-commit run --all-files → 39 hooks, 38 Passed; only mem-numbers
Failed（本工作树从未 @build，无 .map 事实源，属分支期已知陷阱）；
mem-budget Passed；test-coverage 与 id-check Passed。RAM/Flash 增量 = 0
（纯测试批次）。按仓内分支约定走 --no-verify，台账回填留待主树合并后。
 2026-10-24 17:54:02 +08:00
wandering1 2d7c4fd40b ci(gates): test-coverage 的触发面补上门禁自身，否则改坏 files: 就没人跑这根闸 
上一提交落地后立刻暴露这个口子：那次提交里新钩子显示 Skipped (no files to check)，
因为它自己的 files: 不含 .pre-commit-config.yaml —— 也就是说，任何人改坏这一行
正则（哪怕只是打错一个字符），这根闸就永久静默停用，而提交照样全绿。这正是
本仓反对的"会静默失效的门禁"，且已有先例处置：lv-conf-sync 与 bsp-err 都把
"门禁自身"写进触发面。

验证方式（不是只测绿的一半）：
- 改前：pre-commit run test-coverage --files .pre-commit-config.yaml → Skipped
- 改后：同一命令 → 实跑并 Passed（约 45 s，28 套）
代价：以后改门禁配置要多等 45 秒——这种提交本来就是低频操作，值。

顺带修两处上一批留下的表述：
- 口径 §8 的 YAML 块补同一个 files: 模式（保持与落库那份一致）。
- 该节抬头那句我上次写坏了：JS 里把续行写成独立表达式，导致"…README.md 里只挂
  一行索引指向本文"这半句被丢掉，句子断在文档名上。已补全。
- 门禁说明 host-unit-tests.md 的触发面描述同步为"含门禁自身"，并写明理由。

自查：doc-links --all --sections-strict 通过；改动文件 U+FFFD = 0、无 CRLF；
零代码改动故未跑 @build。未 push。
 2026-10-24 07:53:40 +08:00
wandering1 744a1cb086 ci(gates): 接线 test-coverage 覆盖率总闸（FAIL 语义），并修三处已成假话的门禁文档 
用户裁定 2026-10-24：缺 mscoverage 组件时**失败**，不做 skip。于是 P1 之后那个
"钩子只挂 16/28 套"的缺口关闭了。

为什么挂这一根而不是补 12 根 per-module 钩子：本闸跑**全部 28 套**，并且守
"已覆盖行只增不减"的基线台账。这是 per-module 钩子结构性做不到的——删掉一套
测试，它那根钩子只会因为"没有文件要检查"而静默跳过（Skipped 不等于失败）。
实测接线代价：45 s（28 套，含 28 次 MSVC 编译与插桩运行）。

FAIL 语义已按本仓"合成自证"的纪律验证（不是只测绿的那一半）：把
DTU_MS_COVERAGE 指到一个不存在的文件 → 钩子 Failed、脚本退出码 2、并打印可
执行的 [ENV] 提示（说明该 exe 装在哪、怎么覆盖）。脚本对显式环境变量刻意
"不做自动探测回退"，所以指错会被点名，而不是悄悄换一份工具跑出另一本账。

顺手修掉三条**现在已经不成立**的文档说法（门禁文档最贵的就是骗人）：
- 口径 §7 第 8 条：原写"只有 BuildTools 且没勾代码覆盖率工具的机器会退出码 2"。
  实测本机 Community 18.10 与 BuildTools 18.9 **两份安装都自带**该 exe（mtime
  2026-09-15 02:30 / 2026-09-05 16:17，都是各自安装当日，不是后来补勾）→ VS 18
  的 BuildTools 默认就带它。真实风险面只剩：裸 MSVC 无 VS 的机器、环境变量指错、
  以及靠 PATH 兜底的环境。
- 门禁说明 host-unit-tests.md 盲区第 4 条：原写"没有对应钩子的模块 = 零回归"——
  如今 12 套新模块由总闸兜住，这句话已经不成立，改成两种口径并写清触发面。
- 同篇第 6 条：原写"无覆盖率统计"。行/函数覆盖**已有**度量（本闸出 Cobertura 并
  守基线），仍无的只是分支覆盖——那是用户裁定 2026-10-23 记下的**已接受缺口**，
  不是待办，改口时把这个区分写清楚。

钩子计数同步（新增 1 根 → 声明 40 根 / pre-commit 阶段 39 根 + commit-msg 的
gitlint，已用脚本核对，不是手数）：AGENTS.md（总数、枚举、索引表）、
pre-commit使用说明.md（66 / 91 / 234 三处，含清点日期）、门禁说明 README
（正文与索引标题，另加一行索引指向口径文档——23 篇不变，同一事实不在两处维护）、
门禁说明 gitlint.md（--no-verify 跳过的"其它 38 个"→39）、并行任务工作树方案。

自查：end-of-file-fixer 与 trailing-whitespace 复跑 Passed（首轮 --all-files 只
因末行空行红过一次，已按钩子自身规范化）；doc-links --all --sections-strict 通过
（178 个文档）；id-check --strict 零台账外新账；8 个改动文件 U+FFFD = 0、无 CRLF。
零代码改动，故未跑 @build。未 push。
 2026-10-24 07:50:53 +08:00
wandering1 2c3939494d docs(测试): 更正覆盖率口径 §8 的接线理由——现在缺口换了方向 
P1 合入后本仓主机单测从 16 套涨到 28 套，而 pre-commit 只挂 16 个 -unit-test
钩子。§8 理由 1 写的是"再加一份全量插桩等于同一件事做两遍"——这句话在只有
16 套时成立，现在**反了**：P1 新增的 12 套（net_cfg / ftp_cfg / prot_set_store /
task_prof / lftpd_io / net_select / net_listener / net_pending / net_events /
lftpd_inet / lftpd / iec104_serv）目前只被 ci_local 的 L0.5（自动发现）与
check_test_coverage.py 跑到，**不在提交钩子里**。

仍然不擅自接线，理由只剩 §8 第 2 条那一个，而且它是要用户裁定的：挂之前必须
先定"缺 VS 可选组件（mscoverage）时 skip 还是 FAIL"——选 skip 就是造一根会
静默失效的门禁（与 AGENTS 里"pre-commit 4.x 移除了 always: true、必须靠 files:
覆盖"是同一类坑）；选 FAIL 则任何没装该组件的机器都提交不了。与其悄悄挂一根
可能假绿的钩子，不如把缺口写在文档里。

同时更新 §8 下一步第 1 条的过期数字：P1 已吃完（files_tested 19 → 32），
下一步是 P2 的 5 个文件 / 2,226 行；"把已有 19 个文件从 88% 推到 95%"改成按
当前实测口径表述。核对：该文档 U+FFFD=0、无 CRLF，doc-links 钩子 Passed。
 2026-10-24 00:11:20 +08:00
wandering1 ec2dbc9e01 chore(merge): 回填内存台账与钩子规范化，收口 task/cov-host-line-coverage 
done cov 已把 15 个提交合入主干（合并提交 c8de948），但它的门禁按已知顺序跑在
@build 之前（skill 实测陷阱那条），比对用的是合并前的旧 .map，台账必然失配。
这里按 skill 的官方处置在主工作树回填，使主干自身全绿。

内存台账（@build 已在 done 里跑过：0 错 0 警，Code=213652 RO=18860 RW=1192
ZI=131504；主工作树的 .map 是权威值）：
- scripts/ram_baseline.py --update（趋势行 2026-10-24：RW_IRAM1 75,272 B 57.4% /
  RW_CCM 57,376 B 87.9%）+ --write（受管区）；check_mem_numbers.py --write。
- RAM使用分析与优化方案.md 两处正文数字：「当前状态」那句刷成合并后的真值
  （75,264 → 75,272，日期改 2026-10-24）；2026-10-23 那条变更行里的裸 B 值
  232,536 改为 KB + 快照文件指针——**历史结论一字未改**，只是不再在正文里留
  会过期的裸字节值（--scan 的判据正是"曾是区域值、现已不是"，无内联豁免）。
- 补一行本次合并的变更：RAM +8 B（net_cfg.c 为 WAIT 契约修复新增 s_save_busy）、
  Flash -24 B（lftpd_string 改名删死循环 + net_select 去冗余守卫）、CCM 零增量。

覆盖率口径文档：修我自己留下的占位符泄漏——§9 有一段写的时候用 @@ 当反引号哨兵
（run_code 里反引号与模板串冲突），漏做还原，共 52 处。后果不只是难看：
- `docs/网络/网络自愈架构设计.md` §4.10 因失去反引号而不再被识别为"紧邻写法"，
  被 doc-links（钩子带 --sections-strict）按**自引用**判成失效章节——这条真红了。
- "test/host/common/ch395f_fake.h + .c" 被整体当路径引用检查，报文件不存在。
- 另有一处未配对的 @@ 与一个 ``` 残留，以及过期计数（"套件 21+"、"族数 16"），
  改为落地实测值：TC-HOST 族 16 → 22、套件 16 → 28，并指向下方落地进度表。
  核对：该文档 @@ 残留 0、U+FFFD 0、无 CRLF。

12 个 run_unit_test.py：end-of-file-fixer 去掉末尾多余空行。分支期我用 --no-verify
提交（只为跳过 .map 台账那两条已知误报），把这两个改写型钩子的规范化机会一起
跳掉了——本批由钩子自己改正，**内容零改动**，也正是"提交门禁不该长期绕过"的账单。

自查：pre-commit run --all-files 在本工作树 **38 Passed / 0 Failed**（含 16 个主机
单测钩子实跑）；doc-links --all --sections-strict 0 问题；mem-numbers --scan 绿。
未 push（推送需用户明确指示）。
 2026-10-24 00:07:05 +08:00
wandering1 957ec64645 test(APP/104): iec104_serv 模块（28 条，84.2%）——P1 十三块全部进分母 
P1 收官批次。新增 test/host/iec104_serv/，iec104_serv.c 覆盖 117/139 = 84.2%。
做法：把生产源整个 #include 进 TU，直接驱动它的 7 个 static 辅助函数——**不跑
iec104_serv_task 的无限主循环**（那是 never-returning 的任务体，不适合单测；事件组
相关支路用 sys_evtHandle=NULL 走"不可用"分支）。链路层与 pts 层给假件：链路协议本身
有 test/host/iec104 的 97 条专测，本模块只管服务怎么活、怎么死、怎么重生。

钉住的契约：
- 建监听：2404 端口过 htons、绑 NET_INADDR_ANY；socket/bind/listen 任一失败都要把
  已经拿到的号关掉（漏关就是每次重试漏一个 socket 号，CH395F 只有 8 个）。
- **网络代次一变就拆掉旧连接与旧监听并重建**：现场改 IP 后端口必须在新地址上继续
  服务，这条不重建就是"设备换了 IP 之后 104 主站再也连不上"。
- accept 门控：监听未就绪不 accept；表项已失效时把监听号丢掉、下一轮重建。
- 单连接 socket 的断线语义：对端 FIN 时只关数据口，**监听必须留着**；数据号与监听
  号同一个时绝不关（关了就端口失联）。recv 返 -1 且 errno 是 WOULDBLOCK 是正常空转，
  不能当成错误丢连接；真错误则丢弃并**当场重建监听**，不留空窗。
- 判死用**连续**短写计数：一次成功即复位。写成累计就会把偶发拥塞误判成断线，主站
  看到的就是莫名掉线（连到 3 次才判死，I104_SEND_FAIL_MAX）。
- 32 分频探活：无可读数据时不是每轮都去收（省 CPU 预算），到点才收一次；对端 FIN 后
  复位计数器。协议状态掉回 IDLE 也要丢并重生（否则服务挂着但永不服务）。
- 时钟桥接两个溢出边界：epoch 秒超过 32 位一律拒绝且不碰时钟（截断写进 RTC 就是乱值）；
  未对时（sys_clock_get 返回 UINT32_MAX）回 UINT64_MAX 哨兵而不是 0（否则对端会以为
  设备时间是 1970-01-01）。

主机侧兼容处理（写进桩注释）：真实 App/util/sys_clock.h 会 include sd2506.h（RTC 芯片
驱动）一路拉到 HAL，PC 上编不动，故桩掉 sys_clock.h 但**两个签名与真实头逐字一致**；
104 的头散在 App 与 Drivers/BSP 的多个子目录（iec104_serv.h/iec104_link.h/iec104_pts.h/
task_watchdog.h/sys_events.h/prot_set.h/sd2506.h…），逐个手写 include 目录必漏且报错会
落在被测源上、极易误读成生产代码坏了——运行器改为**按目录实际是否含 .h 自动收集**。

自查：初跑红 2 条，都是我的场景问题（分频到点那轮 recv 返回 0 会走对端 FIN 支路，
应给 -1 + WOULDBLOCK；"重建失败丢监听号"必须同时让表项失效），改正后 28/28。

P1 收官合计：12 个新模块、**308 条断言**；套件 16 → **28** 全绿；files_tested 19 → **32**；
未触及 .c 47 → **34**；恒等式 34 = 0(P1 剩) + 5(P2) + 29(P3)；分母 2,893 → **4,684** 行；
line=4020/4684（85.8%）、func=300/333（90.1%）。百分比"降"是摊薄不是回退（lftpd.c 64.3%、
lftpd_io.c 53.5% 这类只测主体的文件也进了分母），按 §5 口径该盯 files_tested/files_untested。
亮点：lftpd_inet.c **127/127 = 100%**、net_listener.c 99.2%、net_events.c 97.8%。
编号补建 TC-HOST-I104SRV（游标 041），TC-HOST 族数 20 → 22。§9 的落地进度表补齐并
统一为 NET 拆出的四块 ①②③④。

自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）；
10 个新增/改动文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。
--all-files 仍只有 mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）
与 ui-golden（ref/*.bin 不入库）三条失败，与本分支改动无关。
 2026-10-23 23:44:53 +08:00
wandering1 a0c261b5ee test(NET/lftpd): lftpd 控制通道模块（35 条），FTP 一套四块全部进分母 
新增 test/host/lftpd/，lftpd.c 覆盖 304/473 = 64.3%。做法是把生产源整个 #include 进
TU，于是命令表 commands[]、17 个 static cmd_* 与 handle_control_channel 都能直接驱动：
假 inet 层给"脚本化命令行队列 + 响应记录"，假 io 层给"极简内存视图 + 可注入失败"，
认证与配置当可注入黑盒（认证本身有 test/host/ftp_auth 的 10 条专测，不重复验）。

钉住的契约（都是真机上贵、却难按需复现的那几类）：
- STOR 传到一半写失败必须 **unlink 半成品**：否则 Flash 上永久留个坏文件，现场表现
  是"升级包传坏了再也传不上去"。真机要卡准"传一半掐线"的时机，这里注一个短写就行。
- 数据通道是单连接 socket：LIST/RETR/STOR 用完必须关监听并把 data_socket 复位成 -1；
  accept 失败要报 425 不留残口，会话退出（QUIT 或对端断线）时 cleanup 也要关掉还没
  用的被动监听。漏一次就是下一条命令拿着上一个号继续 accept，偶发连不上。
- 命令名缓冲只有 command_tmp[4+1]，前置判断 if (index >= 5) 就是防 memcpy 越界；
  恰好 5 个字符必须被拒（改一行这条就响）。
- 认证前置白名单：未登录只放行 USER/PASS/QUIT/FEAT/SYST/NOOP，其余一律 530；口令错
  必须清 auth_user_ok 强制重走 USER；被锁与口令错都只回 530，不给攻击者区分提示；
  配置读不到时 USER 无法匹配、PASS 直接 530（fail-closed）。
- 写开关（[ftp] write_en=0）必须在**碰文件之前**挡住 STOR/DELE，且不去 accept 数据
  通道；DELE 不许删目录。
- 227/229 编码：IP 经 net_htonl 后按高字节到低字节排（就是点分序），端口高/低两字节；
  拿不到本机 IP 时要把刚建的监听关掉。FEAT 多行：首行 211-、四条能力无状态码、末行
  211 结束（共 6 条响应）。
- 220 欢迎没送达（对端已走）就直接收工，不空转读命令；该留痕按真实分级算 INFO 而不是
  ERROR（真实 private/lftpd_log.h 把 lftpd_log_peer 归到 INFO：任何人连 21 端口就走
  就能无限制造固件级 ERROR，还会撞掉 @test 的 Forbidden 标记 [ERR]）。
- 传输循环每轮喂狗（lftpd_task_wd_beat 计数可断言）。

主机侧两个必要的兼容处理（都写在桩注释里，不是随手改）：
1. lftpd.c 会 include ff.h，而这份 FatFs 在 Windows 支路上把 winsock.h 拉进来，它带
   "#define s_addr S_un.S_addr" 的 BSD 兼容宏，会把真实 net_types.h 里的字段声明
   uint32_t s_addr; 展开成 uint32_t S_un.S_addr; 直接炸（实测 C2143 在 "." 前缺 ";"）。
   桩里只 #undef 这个污染宏，让固件那份结构体定义原样参与编译，被测代码读的还是真字段。
2. 引号 include 先从 lftpd.c 自己目录找 private/lftpd_log.h，桩目录赢不过它——于是
   顺着用真实那份（它只是把 lftpd_log_* 映射成 DBG_*），只桩最底下的 dbg_log.h。这样
   真实日志分级也一起被编译验证，比我自己重写一套更对。

自查（35 条里前两轮红了 4 条，全是**我的期望/前置态写错**，实现均正确）：未登录时
FOO 被白名单以 530 拦掉测不到 502 分派；227 的 IP 顺序我把 htonl 前后搞反；FEAT 是
6 条响应我按 5 条索引；PASV 之后走完整会话会被 cleanup 关掉监听（那正是 006 要验的
行为），观察 PASV 留下的状态必须直调 cmd_pasv。

覆盖率与台账：套件 26 → 27 全绿；files_tested 30 → 31；未触及 .c 36 → 35；分母
4,072 → 4,545 行。**总体 line_rate 88.4% → 85.9% 是摊薄不是回退**（64.3% 的文件进
了分母），按 §5 口径要盯 files_tested/files_untested——它从 19 一路涨到 31。
恒等式 35 = 1(P1 剩 iec104_serv.c) + 5(P2) + 29(P3)。编号补建 TC-HOST-LFTPD
（游标 034），族数 20 → 21。

自查门禁：test-cppcheck Passed；check_ids --strict 通过；doc-links 35 处（= 存量）；
9 个文件 BOM/CR/U+FFFD/行尾逐项净。零生产代码改动，未跑 @build。--all-files 仍只有
mem-numbers / mem-budget（.map 台账漂移，等 Lead 合并后统一回填）与 ui-golden
（ref/*.bin 不入库）三条失败，与本分支改动无关。
 2026-10-23 23:44:52 +08:00