docs: 六轮验证文档剔除104读数通道+字母编号黑话清扫

注入流程/数据可信/故障录波设计说明三份文档与速查图
全部剔除104作为量测工具（YC交叉、0x401D/0x4012观察项、
§8.6第7步整行；总耗时150改135 min）；104仍是固件消费者
与送检参照，架构表述保留。

注入流程全文清扫：A档/B档/定量档/定性档/段档/标量档等
字母编号与黑话清零；波形轮注简化为三句；通用动作段重写
为编号四步。

数据可信属主同步：§4.6前提表、§4.6.2三行判据、§4.6.3
读数点对比表、DoD证据归档口径。

内存内容分配策略.md:22修复编号改名事故（STM32L4被误替换
成「出口与记录」），按git原文恢复。

速查图生成器gen_ac_rounds_svg.py三处文案+脚注同步改并重跑，
脚本与产物同笔提交。

.pre-commit-config.yaml

@@ -360,19 +360,19 @@ repos:
         files: ^(App/fs/vol_idle_sync\.(c|h)|App/task/default_task\.c|test/host/vol_idle_sync/.*|test/host/common/unit_test_harness\.py)$
         pass_filenames: false
 
-      # 7g) 时间同步（time_sync）主机侧单元测试（2026-10-10 加）
+      # 7g) 时间同步（time_sync）主机侧单元测试（2026-10-10 加，2026-11-04 随 :8888 退役收缩）
-      #     背景：time_sync.c 是 TCP 时间同步协议状态机，也是探针窗口心跳缺口那项看门狗风险的**全部
+      #     背景：:8888 退役后 time_sync.c 只剩 timeSyncTask 载体编排——就绪屏障 + 200ms 校时节拍
-      #     逻辑贡献者**——"listen 重建 -> 800ms~1s 心跳间隔"由本模块的分片延时/退避/
+      #     + SNTP 客户端调用。探针窗口心跳缺口那项看门狗风险的逻辑贡献者（分片延时节奏、屏障
-      #     结算等待组成，板端只能看到"是否复位"这一结果，看不到各段延时是否如设计。本钩子
+      #     等待态喂心跳）仍在本模块，板端只能看到"是否复位"这一结果，看不到各段延时是否如设计；
-      #     用 MSVC 离线编译真实源文件（#include 纳入）+ 可脚本化的网络/事件桩（含 longjmp
+      #     本钩子用 MSVC 离线编译真实源文件（#include 纳入）+ 可脚本化的事件/代次/SNTP 桩
-      #     跳出 for(;;) 任务循环），把分片喂狗节奏、监听退避、报文重组（半包/粘连/EOF/真错/
+      #     （含 longjmp 跳出 for(;;) 任务循环），把分片喂狗节奏、屏障分片、代次下传逐条钉死。
-      #     预算耗尽/tick 回绕）、重听门控逐条钉死。
+      #     历史（监听退避、TIME 报文重组、30s 预算、tick 回绕用例）随 :8888 退役删除，见 git 历史。
-      #     files 含被测源与其头、被测的真实看门狗头，以及 harness 本身。
+      #     files 含被测源与其头、节拍契约头 time_sntp.h、被测的真实看门狗头，以及 harness 本身。
       - id: time-sync-unit-test
         name: 时间同步单测（主机侧）
         entry: python test/host/time_sync/run_unit_test.py
         language: system
-        files: ^(App/sync/time_sync\.(c|h)|App/util/task_watchdog\.h|test/host/time_sync/.*|test/host/common/unit_test_harness\.py)$
+        files: ^(App/sync/time_sync\.(c|h)|App/sync/time_sntp\.h|App/util/task_watchdog\.h|test/host/time_sync/.*|test/host/common/unit_test_harness\.py)$
         pass_filenames: false
 
       # 7h) ADC 采样有效性校验主机侧单元测试（2026-10-11 加）
@@ -672,7 +672,7 @@ repos:
       #       疑似 MSBuild 节点争用；此后 3 次干净树连跑均绿。判据：单次失败先复跑一次再看，
       #       连续两次失败才当真（不许直接 --no-verify 绕过）。
       - id: ui-golden
-        name: UI 像素回归（菜单 8 状态 + 内容页 66 张 黄金参考）
+        name: UI 像素回归（菜单 8 状态 + 内容页 74 张 黄金参考）
         entry: python scripts/check_ui_golden.py
         language: system
         files: ^(Drivers/BSP/UI/|App/task/ui_task\.(c|h)$|simulator/(tests|sim|src)/|simulator/main\.c$|simulator/CMakeLists\.txt$|simulator/lv_conf\.h$|scripts/check_ui_golden\.py$|\.pre-commit-config\.yaml$)
@@ -682,7 +682,7 @@ repos:
       #      背景：大窗实测——靠预置键序盲走到深页时，9 帧里只有 3 帧真是它声称的态；
       #      KEY 的 ACK 是空应答、不携带状态，所以**画面是唯一事实源**。判据脚本
       #      scripts/board_ui_nav.py 据此改成闭环：每按一键重新认屏再决定下一个键。
-      #      本钩子跑它的**快检档** --selftest-quick：只核"认屏认得对"（接线当时 18 张、现 66 张黄金参考 +
+      #      本钩子跑它的**快检档** --selftest-quick：只核"认屏认得对"（接线当时 18 张、现 74 张黄金参考 +
       #      真机留档帧，目录不在版本控制里、缺就整段跳过），秒级、无构建产物依赖。
       #      ⚠ 不挂完整 --selftest：第三段闭环需要 lvgl_sim.exe（构建产物，新工作树里没有）
       #        —— 正是同一天 mem-numbers 缺 .map 那课的形状；脚本对缺 exe 报 FAIL 并给出

AGENTS.md

@@ -16,7 +16,7 @@
 
 - **采集**：TPAFE5160（计量级 8 路，并行总线）+ 片内 ADC1（9 路，DMA）→ TIM3 1 kHz 节拍 + 原子快照 → adcTask → 语义取数与有效性校验 → 全周傅氏相量 → **测频与遥测快照（`meas` 200 ms 双区，104 与 UI 共用同一份上游）**+ 保护判据（protectTask 20 ms 判据节拍）→ 104 遥信/遥测上送
 - **存储**：GD5F SPI NAND → dhara FTL → FatFs → `/log` 运行/自检等七本记录 + SOE、`/config.ini` 配置、FTP 根目录
-- **网络**：CH395F → netTask 串行 socket 栈 → FTP(21) / 对时(8888) / RemoDispBus 远程显示(7003) / IEC 60870-5-104 上行(工厂默认 2404)
+- **网络**：CH395F → netTask 串行 socket 栈 → FTP(21) / RemoDispBus 远程显示(7003) / IEC 60870-5-104 上行(工厂默认 2404)；对时 = timeSyncTask 的 SNTP 客户端（UDP 123 主动出网，:8888 推送监听已退役）
 - **人机**：LVGL 160×160 单色菜单（uiTask），**与 PC 模拟器同一份 UI 源码**，远端可看图 + 注键
 
 **目录地图**（只列顶层——稳定边界；细结构自己 `ls`，别背路径；**仓库根不放一次性产物**——提交信息草稿 / 临时改写脚本 / 门禁输出与日志一律进 `ci-artifacts/`（已忽略，口径见 `.gitignore` 尾注），根目录只留工程配置与两份生成器输入 `ui_menu_tree.txt`、`ui_cn_chars.txt`）：

App/app/sys_events.h

@@ -27,7 +27,7 @@ extern osEventFlagsId_t sys_evtHandle;
 #define SYS_EVT_NET_READY      (1u << 0)  /* netTask：net_init + PHY 稳定完成 */
 #define SYS_EVT_STORAGE_READY  (1u << 1)  /* defaultTask：FTL/FatFS 挂载完成 */
 #define SYS_EVT_FTP_READY      (1u << 2)  /* ftpTask：lftpd_start 完成后置位；暂无消费者（预留） */
-#define SYS_EVT_TIMESYNC_READY (1u << 3)  /* 预留：timeSyncTask 在跑但不置本位，生产者消费者都没有 */
+#define SYS_EVT_TIMESYNC_READY (1u << 3)  /* SNTP 首个校验通过的同步完成（App/sync/time_sntp.c 置位；就绪位，osFlagsNoClear 消费） */
 #define SYS_EVT_NET_RECONFIG   (1u << 4)  /* UI：请求立即应用新网口配置（netTask 消费后重建网络） */
 #define SYS_EVT_CFG_SAVE       (1u << 5)  /* UI：网口配置保存请求（defaultTask = 配置引擎属主，消费并写盘） */
 #define SYS_EVT_CONSOLE_TX     (1u << 6)  /* 控制台单写者：生产者入环形缓冲后置位，defaultTask 消费并发送

App/protocol/iec104/iec104_comm.h

@@ -48,7 +48,7 @@ extern "C" {
  * 同款先例）：
  *   ca   1..65535：0 为非法公共地址（104 半字地址域，点表无 0 号站）
  *   port 1024..65535：拒绝把监听端口配到 1..1023 系统保留段，避免误配顶掉
- *   系统服务；与 8888/7003 带内相撞属配置者责任（启动锚点
+ *   系统服务；与 7003 带内相撞属配置者责任（启动锚点
  *   "i104: listening on %u" 打印实际端口，可核） */
 #define IEC104_COMM_CA_MIN    1u
 #define IEC104_COMM_CA_MAX    65535u

App/sync/README.md

@@ -7,16 +7,18 @@
 
 | 文件 | 作用 |
 |---|---|
-| `time_sync.c/h` | **时间同步任务**：等待网络就绪 → 与时间源交互 → 校准墙钟 |
+| `time_sync.c/h` | **时间同步任务载体**：等待网络就绪 → 200 ms 节拍驱动 SNTP 客户端（:8888 私有推送已于 2026-11-04 退役，理由见墙钟维护说明 §15） |
+| `time_sntp.c/h` | **SNTP 校时客户端**（2026-11-04 落地）：由 time_sync 任务循环驱动的 UDP/123 轮询，编解码用 `Lib/coreSNTP/` 序列化器，配置读 `[sntp]` 段（属主 `../../Drivers/BSP/NETCFG/sntp_cfg.c`）；单测 `test/host/sntp/` |
 
 ## 工作流
 
 ```
 timeSyncTask 启动
    ↓ osEventFlagsWait(SYS_EVT_NET_READY, ...|osFlagsNoClear)   // 状态位不可消费！
-time_sync 主循环 → 与时间源通信 → sys_clock 校准
+time_sync 主循环（200 ms 节拍，长等待分片 ≤50ms 逐片喂心跳）
-   ↓
+   ↘ 每轮 time_sntp_run(gen)：到点主动向 [sntp] 服务器发 48 B 查询
-置 SYS_EVT_TIMESYNC_READY
+     （单轮等待切片 ≤50 ms），校验通过按策略步进/只记日志，
+     首个通过的同步置 SYS_EVT_TIMESYNC_READY；网络代次变化自弃旧 socket
 ```
 
 > ⚠️ 等待**就绪位**（`SYS_EVT_NET_READY`）必须 `osFlagsNoClear`——它是状态位，
@@ -24,6 +26,5 @@ time_sync 主循环 → 与时间源通信 → sys_clock 校准
 
 ## 相关文档
 
-- `docs/子系统设计/系统墙钟时间维护说明.md` — 墙钟基准 / tick 回绕防护
+- `docs/子系统设计/系统墙钟时间维护说明.md` — 墙钟基准 / tick 回绕防护 / §15 :8888 退役注记 / §16 SNTP
-- `test/host/time_sync_server.py` — PC 端对时推送服务（测试用）
 - `docs/架构设计/项目启动顺序管理.md` — 就绪屏障

App/sync/time_sntp.c

@@ -0,0 +1,624 @@
+/*
+ * 模块名称：Time SNTP — 板端 SNTP 客户端（状态机实现）
+ * 模块功能：见 time_sntp.h。节拍由 timeSyncTask 主循环驱动（每 ≤200ms 一次），
+ *           报文编解码用 vendor coreSNTP serializer（仅 serializer 层——
+ *           client 层要求自带 transport 接口与定时器，本仓 UDP 已队列化在
+ *           net_socket，节奏循环留在任务里，见 #57 调研 §4.1）
+ * 适用平台：STM32407ZGTx + CH395F；模拟器/主机单测经 stub 编译
+ * 作者：王建锋
+ * 创建日期：2026-11-04
+ * 修改记录：
+ *   v1.0  2026-11-04  王建锋  创建初始版本（SNTP 客户端接入，#57 调研结论：
+ *                             RFC 4330 §10 节奏、§5.3 防欺骗判据、§5.5 步进策略、
+ *                             钟面 = 本地时间（UTC+8 固定，§1.1 裁定））
+ */
+
+#include <string.h>
+
+#include "time_sntp.h"
+
+#include "core_sntp_serializer.h"
+#include "net_socket.h"
+#include "sntp_cfg.h"
+#include "sys_clock.h"
+#include "sys_events.h"
+#include "sys_log.h"
+
+/* 深调用链模块（与 time_sync.c 同任务栈预算口径，见其文件头注释）：
+ * 日志行缓冲收到 128 B（默认 192） */
+#define DBG_LINE_BUF_MAX 128U
+#define DBG_TAG "[SNTP]"
+#include "dbg_log.h"
+
+/* 私有宏定义区 */
+
+#define SNTP_SERVER_PORT        123U
+/* 应答超时：基础 5s，失败逐次翻倍封顶 60s（RFC 4330 §10：间隔递增；
+ * 翻倍节奏 = "超时即退避"，下一次请求最早在 timeout_ms 之后发出） */
+#define SNTP_RESP_TIMEOUT_BASE_MS  5000U
+#define SNTP_RESP_TIMEOUT_MAX_MS   60000U
+/* 首次请求随机散布 1~5 分钟（RFC 4330 §10 避免同批设备上电撞服务器） */
+#define SNTP_FIRST_DELAY_MIN_MS    60000U
+#define SNTP_FIRST_DELAY_SPAN_MS   240000U
+/* 等应答期的单次收片粒度（看门狗 100ms 抽样窗约束，同 time_sync.c 第 8b 轮口径） */
+#define SNTP_RECV_SLICE_MS         50U
+/* 步进策略（调研 §5.5）：|钟差| < 2s 只记录不步进（防 RTC 秒抖动来回拨针） */
+#define SNTP_STEP_DEADBAND_MS      2000
+/* 内部钟面 = 本地时间（#56 裁定 §1.1：sys_clock 存"钟面秒"，104 写 UTC 的
+ * 8 小时差已有文档口径）——SNTP 给的是 UTC，落钟面前加固定东八区偏移；
+ * 全仓无时区存储，本常量与 UI 手工对时同口径（:8888 推送已退役） */
+#define SNTP_TZ_LOCAL_OFFSET_SECS  28800U
+/* 合理性下限：2020-01-01 UTC；上限 = sys_clock 钟面域 0x7FFFFFFF 扣除时区 */
+#define SNTP_UNIX_MIN_VALID        1577836800U
+#define SNTP_UNIX_MAX_UTC          (0x7FFFFFFFUL - SNTP_TZ_LOCAL_OFFSET_SECS)
+/* 收包缓冲：48B 报文 + 富余（>48 的扩展按 BSD 语义截断，serializer 只读前 48） */
+#define SNTP_RX_BUF_SIZE           64U
+
+/* 状态机 */
+#define SNTP_ST_IDLE        0   /* 停用 / 从未启用 */
+#define SNTP_ST_WAIT_DUE    1   /* 等下一次请求窗口 */
+#define SNTP_ST_SEND        2   /* 本轮应发请求 */
+#define SNTP_ST_WAIT_RESP   3   /* 等应答（每次 run 收一个 ≤50ms 片） */
+
+/* 静态变量定义区 */
+
+static struct {
+    uint8_t  state;             /* SNTP_ST_* */
+    int      fd;                /* UDP socket（-1 = 未开） */
+    uint32_t gen;               /* 打开 socket 时的网络代次 */
+    uint32_t due_ms;            /* 下一次请求的 tick 锚点（回绕安全比较） */
+    uint32_t timeout_ms;        /* 当前应答超时（失败翻倍，成功复位） */
+    uint32_t deadline_ms;       /* 本轮应答截止 tick */
+    uint8_t  srv;               /* 0 = 主 server1，1 = 备 server2 */
+    uint8_t  no_srv_logged;     /* "未配置服务器"只警一次（配置态，不是故障） */
+    uint8_t  ready_posted;      /* SYS_EVT_TIMESYNC_READY 已投（一次性） */
+    uint32_t sync_count;        /* 校验通过次数（含死区内未步进） */
+    int32_t  last_off_ms;       /* 最近一次钟差（int64 截断，诊断用） */
+    SntpTimestamp_t t1;         /* 本轮请求时间（serializer 要求跨收发保存） */
+    uint8_t  pkt[SNTP_PACKET_BASE_SIZE];   /* 请求报文（48B，静态省栈） */
+} s_ctx;
+
+static uint32_t s_rng;          /* xorshift32：散布/防欺骗随机数（非密钥用途） */
+static uint8_t  s_rng_seeded;
+
+/* 私有函数区 */
+
+/*
+ * 函数功能：PRNG 播种一次（芯片 96 位 UID 折叠 ^ tick ^ 当前钟面）
+ * 入口参数：无
+ * 返回值：无
+ * 限定条件：任务上下文
+ * 函数说明：F407 软件上无可用硬件 RNG 通路（HAL_RNG 在 hal_conf 关闭），
+ *          此处只需要"不可预测的 16 位低分数 + 上电散布"，UID 折叠足够；
+ *          非 MCU 构建（宿主单测/模拟器）不碰 0x1FFF7A10，用固定盐——
+ *          防欺骗强度依赖的是应答 echo 回 T1（含随机低 16 位）的攻击者
+ *          不可知性，真机上由 UID+tick 提供
+ */
+static void s_rng_seed_once(void) {
+    uint32_t seed;
+
+    if (s_rng_seeded != 0u) {
+        return;
+    }
+#ifdef STM32F407XX
+    {
+        const volatile uint32_t *uid = (const volatile uint32_t *)0x1FFF7A10UL;
+        seed = uid[0] ^ (uid[1] * 2654435761UL) ^ uid[2];
+    }
+#else
+    seed = 0x9E3779B9UL;
+#endif
+    seed ^= (uint32_t)xTaskGetTickCount();
+    seed ^= sys_clock_get();
+    if (seed == 0u) {
+        seed = 0xA5A5A5A5u;
+    }
+    s_rng = seed;
+    s_rng_seeded = 1u;
+}
+
+/*
+ * 函数功能：xorshift32 随机数
+ * 入口参数：无
+ * 返回值：伪随机 uint32（播种前兜底返回黄金比例常数，不会为 0）  uint32_t
+ */
+static uint32_t s_rng_next(void) {
+    uint32_t x = s_rng;
+
+    if (x == 0u) {
+        x = 0x9E3779B9u;
+    }
+    x ^= x << 13;
+    x ^= x >> 17;
+    x ^= x << 5;
+    s_rng = x;
+    return x;
+}
+
+/*
+ * 函数功能：回绕安全的"到点"判断
+ * 入口参数：now - 当前 tick；due - 目标 tick  uint32_t
+ * 返回值：1 - 已到/已过；0 - 未到  uint8_t
+ */
+static uint8_t s_tick_due(uint32_t now, uint32_t due) {
+    return ((int32_t)(now - due) >= 0) ? 1u : 0u;
+}
+
+/*
+ * 函数功能：IPv4 四字节是否全零（未配置）
+ * 入口参数：p_ip - 4 字节  const uint8_t *
+ * 返回值：1 - 全零；0 - 已配置  uint8_t
+ */
+static uint8_t s_ip_is_zero(const uint8_t *p_ip) {
+    return ((p_ip[0] | p_ip[1] | p_ip[2] | p_ip[3]) == 0u) ? 1u : 0u;
+}
+
+/*
+ * 函数功能：取当前应使用的服务器 IP（按 s_ctx.srv 选主/备，缺位自动落另一侧）
+ * 入口参数：无
+ * 返回值：4 字节 IP 指针；主备都未配置返回 NULL  const uint8_t *
+ */
+static const uint8_t *s_server_ip(const sntp_cfg_t *p_cfg) {
+    const uint8_t *pri = p_cfg->server_pri;
+    const uint8_t *bak = p_cfg->server_bak;
+
+    if (s_ctx.srv == 0u) {
+        if (s_ip_is_zero(pri) == 0u) {
+            return pri;
+        }
+        s_ctx.srv = 1u;
+    }
+    if (s_ip_is_zero(bak) == 0u) {
+        return bak;
+    }
+    if (s_ip_is_zero(pri) == 0u) {
+        s_ctx.srv = 0u;
+        return pri;
+    }
+    return NULL;
+}
+
+/*
+ * 函数功能：主备切换（仅两侧都配置时有效；失败退避时调用）
+ * 入口参数：p_cfg - 配置副本  const sntp_cfg_t *
+ * 返回值：无
+ */
+static void s_server_toggle(const sntp_cfg_t *p_cfg) {
+    if ((s_ip_is_zero(p_cfg->server_pri) == 0u) &&
+        (s_ip_is_zero(p_cfg->server_bak) == 0u)) {
+        s_ctx.srv = (s_ctx.srv == 0u) ? 1u : 0u;
+    }
+}
+
+/*
+ * 函数功能：当前 UTC 秒（钟面有效才返回）
+ * 入口参数：p_utc - 输出 UTC 秒  int64_t *
+ * 返回值：1 - 钟面有效；0 - 未初始化/早于合理性下限  uint8_t
+ */
+static uint8_t s_utc_now(int64_t *p_utc) {
+    uint32_t face = sys_clock_get();
+
+    if ((face == UINT32_MAX) ||
+        ((uint64_t)face < (uint64_t)SNTP_UNIX_MIN_VALID + SNTP_TZ_LOCAL_OFFSET_SECS)) {
+        return 0u;
+    }
+    *p_utc = (int64_t)face - (int64_t)SNTP_TZ_LOCAL_OFFSET_SECS;
+    return 1u;
+}
+
+/*
+ * 函数功能：取当前 SNTP 时间戳（1900 纪元秒 + 毫秒分数）
+ * 入口参数：p_ts - 输出  SntpTimestamp_t *
+ * 返回值：无
+ * 函数说明：钟面无效（冷启动）时用"纪元差 + 开机秒 + 随机扰动"构造非零且
+ *          每次上电唯一的时间戳——serializer 只要求 T1 非零防欺骗，冷启动
+ *          路径的成功处理不使用 clockOffset（直接采用服务器 T3），乱值无害
+ */
+static void s_ts_now(SntpTimestamp_t *p_ts) {
+    int64_t utc;
+    uint32_t ms;
+
+    ms = (uint32_t)xTaskGetTickCount();
+    if (s_utc_now(&utc) != 0u) {
+        /* uint32 加和天然回绕 = SNTP era 进位语义（2036 年后仍成立） */
+        p_ts->seconds = (uint32_t)(utc + (int64_t)SNTP_TIME_AT_UNIX_EPOCH_SECS);
+    }
+    else {
+        p_ts->seconds = SNTP_TIME_AT_UNIX_EPOCH_SECS + (ms / 1000u) + (s_rng_next() & 0xFFFFu);
+    }
+    p_ts->fractions = (ms % 1000u) * (1000u * SNTP_FRACTION_VALUE_PER_MICROSECOND);
+}
+
+/*
+ * 函数功能：打开并绑定 UDP socket（客户端侧动态端口）
+ * 入口参数：gen - 当前网络代次  uint32_t
+ * 返回值：0 - 成功；-1 - 失败（fd 保持 -1）  int
+ * 函数说明：UDP bind 恒开芯片服务器形态 Socket（PR #74 后语义），
+ *          端口 0 = 动态分配；发送用带目的地址的 net_sendto，不经
+ *          net_udp_set_peer 轻切换（每包显式对端，源过滤未证不依赖）
+ */
+static int s_socket_open(uint32_t gen) {
+    struct net_sockaddr_in addr;
+    int s;
+
+    s = net_socket(NET_AF_INET, NET_SOCK_DGRAM);
+    if (s < 0) {
+        DBG_ERROR("net_socket FAIL errno=%d", net_get_errno());
+        return -1;
+    }
+    (void)memset(&addr, 0, sizeof(addr));
+    addr.sin_family      = NET_AF_INET;
+    addr.sin_port        = net_htons(0u);          /* 0 = 动态本地端口 */
+    addr.sin_addr.s_addr = NET_INADDR_ANY;
+
+    if (net_bind(s, (struct net_sockaddr *)&addr, (int)sizeof(addr)) != 0) {
+        DBG_ERROR("udp bind FAIL errno=%d", net_get_errno());
+        net_close(s);
+        return -1;
+    }
+    s_ctx.fd  = s;
+    s_ctx.gen = gen;
+    return 0;
+}
+
+/*
+ * 函数功能：关闭 UDP socket（代次变化 / 配置停用 / 死 fd 时调用）
+ * 入口参数：无
+ * 返回值：无
+ */
+static void s_socket_close(void) {
+    if (s_ctx.fd >= 0) {
+        net_close(s_ctx.fd);
+        s_ctx.fd = -1;
+    }
+}
+
+/*
+ * 函数功能：一次失败收口——超时翻倍（封顶）并重排下一次请求
+ * 入口参数：now - 当前 tick  uint32_t
+ * 返回值：无
+ * 函数说明：状态回 WAIT_DUE；socket 保留（轻问题不重开，代次变化才重开）
+ */
+static void s_fail_backoff(uint32_t now) {
+    uint32_t t = s_ctx.timeout_ms * 2u;
+
+    if (t > SNTP_RESP_TIMEOUT_MAX_MS) {
+        t = SNTP_RESP_TIMEOUT_MAX_MS;
+    }
+    s_ctx.timeout_ms = t;
+    s_ctx.due_ms = now + t;
+    s_ctx.state = SNTP_ST_WAIT_DUE;
+}
+
+/*
+ * 函数功能：int64 毫秒钟差截断到 int32（日志/诊断口）
+ * 入口参数：off - 毫秒钟差  int64_t
+ * 返回值：截断后的 int32 毫秒  int32_t
+ */
+static int32_t s_off_clamp(int64_t off) {
+    if (off > 2147483647LL) {
+        return 2147483647;
+    }
+    if (off < -2147483647LL) {
+        return -2147483647;
+    }
+    return (int32_t)off;
+}
+
+/*
+ * 函数功能：校验通过的应答落地——步进策略 + 节奏复位 + 就绪事件
+ * 入口参数：p_resp - 解析出的应答数据；now - 当前 tick  uint32_t
+ * 返回值：无
+ * 函数说明：见文件头步进策略注释；**任何校验通过都算一次成功同步**
+ *          （含死区内未步进），复位退避并按 poll_min 重排下一轮；
+ *          首个成功投 SYS_EVT_TIMESYNC_READY（状态位，不消费）；
+ *          每次实际步进落一条 quiet 操作记录（"clock set by SNTP"，
+ *          与 104 同口径，失败不落痕）
+ */
+static void s_handle_success(const SntpResponseData_t *p_resp, uint32_t now) {
+    int64_t utc;
+    int64_t new_utc;
+    int32_t off_ms = s_off_clamp(p_resp->clockOffsetMs);
+    uint8_t clock_valid;
+
+    s_ctx.sync_count++;
+    s_ctx.last_off_ms = off_ms;
+    s_ctx.timeout_ms = SNTP_RESP_TIMEOUT_BASE_MS;
+    s_ctx.due_ms = now + (uint32_t)sntp_cfg_poll_min() * 60000u;
+    s_ctx.state = SNTP_ST_WAIT_DUE;
+
+    if ((s_ctx.ready_posted == 0u) && (sys_evtHandle != NULL)) {
+        (void)osEventFlagsSet(sys_evtHandle, SYS_EVT_TIMESYNC_READY);
+        s_ctx.ready_posted = 1u;
+    }
+
+    clock_valid = s_utc_now(&utc);
+    if (clock_valid != 0u) {
+        int64_t off = p_resp->clockOffsetMs;
+
+        if ((off <= (int64_t)SNTP_STEP_DEADBAND_MS) &&
+            (off >= -(int64_t)SNTP_STEP_DEADBAND_MS)) {
+            /* 死区：本地钟足够准，不拨针也不写 RTC（防 SD2506 无谓磨损） */
+            DBG_INFO("off=%ldms within deadband, no step", (long)off_ms);
+            return;
+        }
+        /* 四元组中点估计：把"服务器秒"折算到本地应有的 UTC 秒 */
+        {
+            int64_t off_s = (off >= 0) ? ((off + 500) / 1000) : ((off - 500) / 1000);
+            new_utc = utc + off_s;
+        }
+    }
+    else {
+        /* 冷启动（钟面未初始化/早于 2020）：钟差不可信，直接采用服务器 T3 */
+        uint32_t t3_secs = 0u;
+        uint32_t t3_us   = 0u;
+
+        if (Sntp_ConvertToUnixTime(&p_resp->serverTime, &t3_secs, &t3_us) != SntpSuccess) {
+            DBG_ERROR("unix convert FAIL");
+            return;
+        }
+        new_utc = (int64_t)t3_secs;
+    }
+
+    if ((new_utc < (int64_t)SNTP_UNIX_MIN_VALID) || (new_utc > (int64_t)SNTP_UNIX_MAX_UTC)) {
+        DBG_ERROR("target unix out of domain, skip step");
+        return;
+    }
+
+    (void)sys_clock_set_unix((uint32_t)(new_utc + (int64_t)SNTP_TZ_LOCAL_OFFSET_SECS));
+    syslog_post_quiet(SYSLOG_OPER, "clock set by SNTP");
+    DBG_INFO("step offset=%ldms face=%lu", (long)off_ms,
+             (unsigned long)(uint32_t)(new_utc + (int64_t)SNTP_TZ_LOCAL_OFFSET_SECS));
+}
+
+/*
+ * 函数功能：收包校验 + 反欺骗判据 + 解析落地（WAIT_RESP 态的单包处理）
+ * 入口参数：p_buf - 载荷；len - 长度；p_src - 源地址；now - tick  uint32_t
+ * 返回值：1 - 本轮已收口（成功或按失败处理，调用方可停止收片）；
+ *         0 - 该包丢弃，继续等到 deadline  uint8_t
+ * 函数说明：判据顺序 = 长度 → 源地址（IP+端口必须 = 本轮请求目的）→
+ *          stratum≤15 → LI≠3（服务器未同步告警态）→ serializer 校验
+ *          （mode=4、origin 与 T1 含随机低 16 位精确匹配、时间戳非零、
+ *          KoD 分类）。调研 §5.3：LI=3 / stratum>15 serializer 不拦，
+ *          必须在这里补；KoD 与畸形应答按失败退避（KoD 语义里
+ *          ChangeServer 换服务器，RATE 保留当前服务器）
+ */
+static uint8_t s_handle_packet(const uint8_t *p_buf, int len,
+                               const struct net_sockaddr_in *p_src,
+                               const uint8_t *p_srv_ip, uint32_t now) {
+    const sntp_cfg_t *cfg = sntp_cfg_get();
+    SntpResponseData_t resp;
+    SntpTimestamp_t t4;
+    SntpStatus_t st;
+
+    if (len < (int)SNTP_PACKET_BASE_SIZE) {
+        DBG_INFO("WARN: short resp len=%d, drop", len);
+        return 0u;
+    }
+    if ((memcmp(&p_src->sin_addr.s_addr, p_srv_ip, 4u) != 0) ||
+        (p_src->sin_port != net_htons(SNTP_SERVER_PORT))) {
+        /* 防欺骗第一道：应答源必须是我们刚发过请求的那个 IP:123 */
+        DBG_INFO("WARN: resp from unexpected src, drop");
+        return 0u;
+    }
+    if ((p_buf[1] & 0x7FU) > 15u) {
+        DBG_INFO("WARN: stratum=%u invalid, drop", (unsigned)(p_buf[1] & 0x7FU));
+        s_fail_backoff(now);
+        return 1u;
+    }
+    if ((p_buf[0] >> 6) == 3u) {
+        /* LI=3：服务器自己没同步，时间不可用；再等多久也一样 → 直接失败 */
+        DBG_INFO("WARN: server not synced (LI=3)");
+        s_server_toggle(cfg);
+        s_fail_backoff(now);
+        return 1u;
+    }
+
+    s_ts_now(&t4);
+    st = Sntp_DeserializeResponse(&s_ctx.t1, &t4, p_buf, (size_t)len, &resp);
+
+    switch (st) {
+    case SntpSuccess:
+        s_handle_success(&resp, now);
+        return 1u;
+
+    case SntpRejectedResponseChangeServer:
+    case SntpRejectedResponseOtherCode:
+        DBG_INFO("WARN: kiss-of-death code=%lu, switch server",
+                 (unsigned long)resp.rejectedResponseCode);
+        s_server_toggle(cfg);
+        s_fail_backoff(now);
+        return 1u;
+
+    case SntpRejectedResponseRetryWithBackoff:
+        DBG_INFO("WARN: kiss-of-death RATE, backoff");
+        s_fail_backoff(now);
+        return 1u;
+
+    case SntpInvalidResponse:
+    default:
+        /* originate 不匹配 / 时间戳为零 / mode 错 = 伪造或损坏：丢弃继续等 */
+        DBG_INFO("WARN: invalid resp st=%d, drop", (int)st);
+        return 0u;
+    }
+}
+
+/*
+ * 函数功能：发起一轮请求（SEND 态执行体：选服务器 → 开 socket → 序列化 → 发送）
+ * 入口参数：net_gen - 网络代次；now - 当前 tick  uint32_t
+ * 返回值：无
+ * 函数说明：成功 → 状态进 WAIT_RESP；任一失败 → 主备切换（适用时）+
+ *          s_fail_backoff 退避重排；服务器未配置 → 停在 WAIT_DUE 只警一次，
+ *          等下一次 run（配置补齐即恢复，不产生退避——没发过请求不算失败）
+ */
+static void s_send_round(uint32_t net_gen, uint32_t now) {
+    const sntp_cfg_t *cfg = sntp_cfg_get();
+    const uint8_t *srv_ip;
+    struct net_sockaddr_in dst;
+
+    srv_ip = s_server_ip(cfg);
+    if (srv_ip == NULL) {
+        if (s_ctx.no_srv_logged == 0u) {
+            DBG_INFO("WARN: enabled but no server configured");
+            s_ctx.no_srv_logged = 1u;
+        }
+        return;
+    }
+    s_ctx.no_srv_logged = 0u;
+
+    if (s_ctx.fd < 0) {
+        if (s_socket_open(net_gen) != 0) {
+            s_fail_backoff(now);
+            return;
+        }
+    }
+
+    s_ts_now(&s_ctx.t1);
+    if (Sntp_SerializeRequest(&s_ctx.t1, s_rng_next(), s_ctx.pkt,
+                              sizeof(s_ctx.pkt)) != SntpSuccess) {
+        /* T1 为 0 才会失败（ts 构造保证非零）——真到这儿是构造性 bug */
+        DBG_ERROR("serialize FAIL");
+        s_fail_backoff(now);
+        return;
+    }
+
+    (void)memset(&dst, 0, sizeof(dst));
+    dst.sin_family      = NET_AF_INET;
+    dst.sin_port        = net_htons(SNTP_SERVER_PORT);
+    (void)memcpy(&dst.sin_addr.s_addr, srv_ip, 4u);
+
+    if (net_sendto(s_ctx.fd, s_ctx.pkt, (int)sizeof(s_ctx.pkt), 0,
+                   (struct net_sockaddr *)&dst, (int)sizeof(dst))
+        != (int)sizeof(s_ctx.pkt)) {
+        DBG_ERROR("sendto FAIL errno=%d", net_get_errno());
+        s_server_toggle(cfg);
+        s_fail_backoff(now);
+        return;
+    }
+
+    s_ctx.deadline_ms = now + s_ctx.timeout_ms;
+    s_ctx.state = SNTP_ST_WAIT_RESP;
+    /* 发送轮不占收片时间，立即让出回主循环 */
+}
+
+/* 函数定义区 */
+
+/**
+ * 函数功能：SNTP 客户端单步驱动——由 timeSyncTask 主循环每轮调用一次
+ * 入口参数：net_gen - 当前网络代次（time_sync 循环持有）  uint32_t
+ * 返回值：无
+ * 限定条件：仅 timeSyncTask 上下文；单次调用最多停留一片 SNTP_RECV_SLICE_MS，
+ *          看门狗喂点由调用方节奏保证；配置热读 [sntp] RAM 副本，无需重启
+ */
+void time_sntp_run(uint32_t net_gen) {
+    const sntp_cfg_t *cfg;
+    uint32_t now = (uint32_t)xTaskGetTickCount();
+
+    s_rng_seed_once();
+    cfg = sntp_cfg_get();
+
+    /* 网络代次变化：旧 socket 随芯片复位失效，弃掉重排首轮散布 */
+    if (net_gen != s_ctx.gen) {
+        s_socket_close();
+        s_ctx.gen = net_gen;
+        s_ctx.state = SNTP_ST_IDLE;
+        s_ctx.no_srv_logged = 0u;
+    }
+
+    if (cfg->enable == 0u) {
+        if (s_ctx.state != SNTP_ST_IDLE) {
+            s_socket_close();
+            s_ctx.state = SNTP_ST_IDLE;
+        }
+        return;
+    }
+
+    if (s_ctx.state == SNTP_ST_IDLE) {
+        s_ctx.state = SNTP_ST_WAIT_DUE;
+        s_ctx.timeout_ms = SNTP_RESP_TIMEOUT_BASE_MS;
+        s_ctx.due_ms = now + SNTP_FIRST_DELAY_MIN_MS +
+                       (s_rng_next() % SNTP_FIRST_DELAY_SPAN_MS);
+    }
+
+    switch (s_ctx.state) {
+    case SNTP_ST_WAIT_DUE:
+        if (s_tick_due(now, s_ctx.due_ms) != 0u) {
+            s_send_round(net_gen, now);
+        }
+        return;
+
+    case SNTP_ST_SEND:
+        s_send_round(net_gen, now);
+        return;
+
+    case SNTP_ST_WAIT_RESP: {
+        uint8_t rxbuf[SNTP_RX_BUF_SIZE];
+        struct net_sockaddr_in src;
+        int src_len = (int)sizeof(src);
+        int n;
+
+        (void)memset(&src, 0, sizeof(src));
+        n = net_recvfrom_to(s_ctx.fd, rxbuf, (int)sizeof(rxbuf),
+                            SNTP_RECV_SLICE_MS,
+                            (struct net_sockaddr *)&src, &src_len);
+        if (n > 0) {
+            const uint8_t *srv_ip = s_server_ip(cfg);
+            if (srv_ip == NULL) {
+                s_fail_backoff(now);
+                return;
+            }
+            (void)s_handle_packet(rxbuf, n, &src, srv_ip, now);
+            return;
+        }
+        if (n == -2) {
+            /* 本片等满无数据：看总截止 */
+            if (s_tick_due(now, s_ctx.deadline_ms) != 0u) {
+                DBG_INFO("WARN: resp timeout, tmo=%lu ms", (unsigned long)s_ctx.timeout_ms);
+                s_server_toggle(cfg);
+                s_fail_backoff(now);
+            }
+            return;
+        }
+        if (n == -1) {
+            int e = net_get_errno();
+
+            DBG_ERROR("recvfrom FAIL errno=%d", e);
+            if ((e == NET_ERR_BADF) || (e == NET_ERR_CONNRESET) ||
+                (e == NET_ERR_INVAL)) {
+                /* fd 已死（重建取消/非法）：关掉等代次/下轮重开 */
+                s_socket_close();
+                s_fail_backoff(now);
+            }
+            /* 其余瞬时错误：继续等到 deadline，超时自然收口 */
+            return;
+        }
+        /* n == 0：UDP 语义下不应出现（EOF 是 TCP 概念），防御收口 */
+        s_fail_backoff(now);
+        return;
+    }
+
+    default:
+        s_ctx.state = SNTP_ST_IDLE;
+        return;
+    }
+}
+
+/**
+ * 函数功能：累计校验通过的同步次数（诊断口）
+ * 入口参数：无
+ * 返回值：同步成功次数  uint32_t
+ * 限定条件：任意上下文只读
+ */
+uint32_t time_sntp_sync_count(void) {
+    return s_ctx.sync_count;
+}
+
+/**
+ * 函数功能：最近一次校验通过应答的毫秒钟差（诊断口，int64 截断值）
+ * 入口参数：无
+ * 返回值：(T2-T1+T3-T4)/2 毫秒，截断到 int32；从未成功为 0  int32_t
+ * 限定条件：任意上下文只读；仅日志/排障用，不作判据
+ */
+int32_t time_sntp_last_offset_ms(void) {
+    return s_ctx.last_off_ms;
+}

App/sync/time_sntp.h

@@ -0,0 +1,53 @@
+/*
+ * 模块名称：Time SNTP — 板端 SNTP 客户端（UDP 48 字节报文）
+ * 模块功能：按 [sntp] 段配置向主/备 SNTP 服务器发送 RFC 4330 请求、校验应答
+ *           （originate 精确匹配 + 源地址 + mode/stratum/LI/KoD）、计算钟差并
+ *           按阈值步进本地墙钟（sys_clock_set_unix，钟面 = 本地时间 UTC+8），
+ *           首次成功后置 SYS_EVT_TIMESYNC_READY；报文编解码用 vendor 的
+ *           coreSNTP serializer（Lib/coreSNTP，MIT）
+ * 适用平台：STM32F407ZGTx + CH395F（timeSyncTask 内运行，模拟器不编）
+ * 作者：王建锋
+ * 创建日期：2026-11-04
+ */
+
+#ifndef TIME_SNTP_H
+#define TIME_SNTP_H
+
+#ifdef __cplusplus
+extern "C" {
+#endif
+
+#include <stdint.h>
+
+/*
+ * 函数功能：SNTP 客户端节拍入口（幂等、非阻塞——除等待应答期一次 ≤50ms 收片）
+ * 入口参数：net_gen - 调用方本轮读取的网络代次（net_get_generation()）  uint32_t
+ * 返回值：无
+ * 限定条件：**仅 timeSyncTask 上下文**调用（看门狗心跳由调用方在片间喂，
+ *          本模块单次调用最长驻留 = 一个 50ms 收片，满足 100ms 抽样窗约束）
+ * 函数说明：内部状态机 停用 → 到期 → 发送 → 等应答 → 步进/退避；配置
+ *          （sntp_cfg_get()）每轮现读，代次变化自动弃旧 Socket 重开
+ */
+void time_sntp_run(uint32_t net_gen);
+
+/*
+ * 函数功能：取累计成功同步次数（诊断/测试锚点）
+ * 入口参数：无
+ * 返回值：成功次数（含死区内的"未步进但校验通过"）  uint32_t
+ * 限定条件：无
+ */
+uint32_t time_sntp_sync_count(void);
+
+/*
+ * 函数功能：取最近一次校验通过应答的钟差（诊断锚点）
+ * 入口参数：无
+ * 返回值：钟差毫秒，截断到 int32；正 = 本地钟落后服务器；从未成功 = 0  int32_t
+ * 限定条件：无
+ */
+int32_t time_sntp_last_offset_ms(void);
+
+#ifdef __cplusplus
+}
+#endif
+
+#endif /* TIME_SNTP_H */

App/sync/time_sync.c

@@ -1,7 +1,7 @@
 /*
- * 模块名称：Time Sync — PC 本地时间推送接收（TCP）
+ * 模块名称：Time Sync — timeSyncTask 载体（网络校时节拍宿主）
- * 模块功能：在独立任务 timeSyncTask 中以 TCP Server 方式监听端口，接收 PC 推送的本地时间包，
+ * 模块功能：独立任务 timeSyncTask：等网络就绪后按固定节拍驱动 SNTP 校时客户端
- *          调用 sys_clock_set_unix() 更新系统墙钟并写回 SD2506 RTC
+ *          （App/sync/time_sntp.c），长等待一律分片并逐片喂任务心跳
  * 适用平台：STM32F407ZGTx + CH395F
  * 作者：王建锋
  * 创建日期：2026-08-27
@@ -10,53 +10,45 @@
  *   v1.1  2026-08-28  王建锋  改为 TCP Server，迁入独立任务 timeSyncTask，
  *                           所有 socket 操作经 net_socket 线程安全 API 走消息队列，
  *                           netTask 仅负责 net_poll/net_process_messages，多任务并发安全
- *   v1.3  2026-10-27  DTU 项目组  道G task-50：对时**成功应用**后投一条 quiet
- *                           操作记录（"clock set by 8888"）——task-49 盘点盘出
- *                           "104 对时留痕、本端口不留"的同类不对称，Lead 批准补齐；
- *                           被拒不落痕；epoch 时标语义未裁定，本改动不碰、不补
- *                           任何时区补偿。
  *   v1.2  2026-10-02  王建锋  第 8b 轮消抖：等待片长 200ms→50ms，并把各处长
  *                           等待（500/2000/200ms）统一走 time_sync_delay_fed()
  *                           按 ≤50ms 分片、每片喂心跳——消除"心跳滑出两个连续
  *                           100ms 抽样窗"的节拍抖动（第 7 轮台架 snap=0x17）
+ *   v1.3  2026-10-27  DTU 项目组  道G task-50：对时**成功应用**后投一条 quiet
+ *                           操作记录（"clock set by 8888"）——task-49 盘点盘出
+ *                           "104 对时留痕、本端口不留"的同类不对称，Lead 批准补齐
+ *   v1.4  2026-11-04  DTU 项目组  SNTP 客户端接入（#57 调研落地）：accept 轮询
+ *                           片内驱动 time_sntp_run()（48B UDP 请求/应答状态机
+ *                           在 App/sync/time_sntp.c，节奏/退避/步进策略见该文件）
+ *   v2.0  2026-11-04  DTU 项目组  私有 TCP :8888 对时退役（SNTP 上线后退出历史
+ *                           舞台）：监听重建、"TIME" 包重组、OPER 留痕、头阻塞
+ *                           收口整条链随退——历史协议与退役理由见
+ *                           docs/子系统设计/系统墙钟时间维护说明.md §15 退役注记；
+ *                           PC 推送工具 time_sync_server.py 与探针 e02_probe.py
+ *                           同日删除。本任务收缩为纯节拍宿主：NET_READY 屏障 →
+ *                           200ms 循环驱动 time_sntp_run()。心跳分片纪律
+ *                           （v1.2，第 8b 轮消抖）与屏障喂心跳（2026-10-02
+ *                           台架修复）原样保留。
  */
 
-#include <string.h>
 #include "time_sync.h"
+#include "time_sntp.h"
 #include "net_socket.h"
-#include "sys_clock.h"
 #include "sys_events.h"
-#include "sys_log.h"
 #include "task_watchdog.h"
 
-/* 深调用链模块（timeSyncTask 栈仅 2048 B，本任务链 = 建监听 → net_bind → CH395F）：
+/* 看门狗分片等待：单次延时的分片上限。须显著小于看门狗抽样窗
- * 日志行缓冲收到 128 B（默认 192），本模块最长行渲染后 < 128 → 不截断 */
-#define DBG_LINE_BUF_MAX 128U
-#define DBG_TAG "[TIME_SYNC]"
-#include "dbg_log.h"
-
-/* 监听端口：PC 推送端（TCP 客户端）需连到本端口 */
-#define TIME_SYNC_PORT   8888
-
-/*
- * 头阻塞修复 + 挂起请求（pending）化（timeSync 侧；lftpd 侧见 lftpd_inet.c）：
- * 旧实现用单次 30s 阻塞 net_recv（默认 NET_RECV_TIMEOUT_MS）等时间包——等待期间
- * netTask（全部 socket 操作的唯一执行者）被独占，其余任务的网络操作（远端显示 /
- * FTP）整体停摆（历史审计遗留问题）。
- * 2026-09-22 先落地分片有界读（5ms 片），同日 pending 化后改为"挂起请求"：
- * 每次等待 = 一次挂起登记（netTask 零占用，完成按主循环节拍检查），调用方
- * 单次超时 = 剩余总预算（总等待 ≤ TIME_SYNC_TOTAL_BUDGET_MS，语义与旧 30s
- * 一致）；等待期间调用方在自己上下文睡任务通知，旧分片协议（片长/片间让出）退役。
- */
-#define TIME_SYNC_TOTAL_BUDGET_MS 30000U
-
-/* 看门狗分片等待：单次 net_recv_to 的等待片长上限。须显著小于看门狗抽样窗
  * （task_watchdog.c WD_POLL_PERIOD_MS=100ms）——片长 ≤50ms 时每片前喂的心跳
  * 必然落在同一个 100ms 抽样窗内，消除"心跳恰好滑过两个连续窗口"的边界抖动
  * （第 7 轮台架稳态 snap=0x17 即抽样窗 vs 心跳节拍的良性错位，第 8b 轮消抖）。
- * 语义上仅把一次长等待拆成多次短等待，总预算不变。 */
+ * 语义上仅把一次长等待拆成多次短等待，总时长不变。 */
 #define TIME_SYNC_WAIT_SLICE_MS     50U
 
+/* 主循环节拍：每轮驱动一次 SNTP 状态机后的等待时长，与 :8888 时代的
+ * accept 轮询片同值（time_sntp_run 对单次驻留另有 ≤50ms 收片上限，
+ * 与本延时片叠加不破 100ms 抽样窗，心跳纪律不变）。 */
+#define TIME_SYNC_TICK_MS           200U
+
 /*
  * 函数功能：可喂心跳的延时（把长等待切成 ≤50ms 短片，每片喂一次心跳）
  * 入口参数：ms - 总延时（ms）  uint32_t
@@ -77,147 +69,16 @@ static void time_sync_delay_fed(uint32_t ms) {
     }
 }
 
-/*
- * 函数功能：创建并监听 TCP 时间同步服务端口
- * 入口参数：无
- * 返回值：监听 Socket 描述符（>=0），失败返回 -1
- * 限定条件：net_init() 已成功；可在非 netTask 上下文调用
- * 函数说明：net_socket/net_bind/net_listen 均为线程安全 API，内部经消息队列由 netTask 串行处理。
- *          单连接模式下监听 Socket 在收到连接后会转为数据通道，连接关闭后即被释放，
- *          因此每次调用都会新建监听 Socket（与 lftpd 同模式），失败自动重试。
- */
-static int time_sync_open_listener(void) {
-    int retry;
-
-    for (retry = 0; retry < 5; retry++) {
-        task_wd_beat(TASK_WD_TIMESYNC);   /* 每次重试前喂心跳（见下方 500ms/2000ms 延时） */
-        int s = net_socket(NET_AF_INET, NET_SOCK_STREAM);
-        if (s < 0) {
-            DBG_ERROR("time_sync: net_socket FAIL");
-            time_sync_delay_fed(500U);
-            continue;
-        }
-
-        struct net_sockaddr_in addr;
-        memset(&addr, 0, sizeof(addr));
-        addr.sin_family      = NET_AF_INET;
-        addr.sin_port        = net_htons(TIME_SYNC_PORT);
-        addr.sin_addr.s_addr = NET_INADDR_ANY;
-
-        if (net_bind(s, (struct net_sockaddr *)&addr, sizeof(addr)) != 0) {
-            DBG_ERROR("time_sync: bind port %d FAIL", TIME_SYNC_PORT);
-            net_close(s);
-            time_sync_delay_fed(2000U);
-            continue;
-        }
-
-        if (net_listen(s) != 0) {
-            DBG_ERROR("time_sync: listen FAIL");
-            net_close(s);
-            time_sync_delay_fed(2000U);
-            continue;
-        }
-
-        DBG_INFO("time_sync: TCP listen on :%d (sock=%d)", TIME_SYNC_PORT, s);
-        return s;
-    }
-
-    return -1;
-}
-
-/*
- * 函数功能：处理一个已建立的时间同步连接
- * 入口参数：conn_sock - 已建立的连接 Socket 描述符（单连接模式下即监听 Socket 自身）
- * 返回值：无
- * 函数说明：pending 读取 PC 发来的时间包（"TIME"+uint32 大端 本地时间），解析后
- *          写回 RTC。**不在此 close**（单连接模式下 conn_sock 即
- *          监听 fd，close 连监听一起毁、重建窗 ~0.3-1s；net 层 auto_relisten
- *          已把同 fd 收回监听，外层直接续 accept——lftpd 样板）。每次等待 =
- *          一次挂起请求（netTask 零占用），单次超时 = 剩余总预算
- *          （≤30s，语义与旧 30s 阻塞一致）；跨调用累积，容忍时间包被 TCP 分段送达
- */
-static void time_sync_handle_conn(int conn_sock) {
-    uint8_t buf[16];
-    int got = 0;
-    TickType_t t0 = xTaskGetTickCount();
-
-    while (got < (int)sizeof(buf)) {
-        /* 单次预算 = 剩余总预算（pending：等待期 netTask 零占用，调用方
-         * 在自己上下文睡任务通知，旧片间 vTaskDelay(1) 让出退役）
-         * ⚠ 看门狗约束：本任务在 required_mask 内，而单次 net_recv_to 可睡满
-         * 30s 预算 —— 等待期必须周期性喂心跳，否则"对端连上但不发时间包"这种
-         * 完全正常的场景会被判为任务卡死（见设计说明 §4.4 长耗时白名单）。
-         * 做法：把长等待切成 WD 窗口内的短片（片长 ≤200ms），每片先喂心跳。 */
-        TickType_t elapsed = xTaskGetTickCount() - t0;
-        uint32_t rem = (elapsed >= (TickType_t)pdMS_TO_TICKS(TIME_SYNC_TOTAL_BUDGET_MS)) ? 0U
-                     : (uint32_t)((TickType_t)TIME_SYNC_TOTAL_BUDGET_MS - elapsed);
-        if (rem == 0U) {
-            DBG_INFO("time_sync: no TIME packet in 30s, drop conn");
-            break;                   /* 总预算耗尽（语义同旧 30s 超时） */
-        }
-        task_wd_beat(TASK_WD_TIMESYNC);
-        if (rem > TIME_SYNC_WAIT_SLICE_MS) {
-            rem = TIME_SYNC_WAIT_SLICE_MS;   /* 分片：等待期保持心跳节奏 */
-        }
-        int n = net_recv_to(conn_sock, buf + got, (int)(sizeof(buf) - got), rem);
-        if (n > 0) {
-            got += n;
-            if (got >= 8) {
-                break;               /* 时间包收齐，解析 */
-            }
-            continue;                /* 包未收齐（分段送达），继续等余下字节 */
-        }
-        if (n == 0) {
-            break;                   /* 对端关闭（EOF） */
-        }
-        if (n == -2) {
-            continue;                /* 本片预算等满无数据 → 下一片重算剩余预算 */
-        }
-        break;                       /* 真错误 */
-    }
-
-    if (got >= 8) {
-        if (buf[0] == 'T' && buf[1] == 'I' && buf[2] == 'M' && buf[3] == 'E') {
-            uint32_t epoch = ((uint32_t)buf[4] << 24) |
-                             ((uint32_t)buf[5] << 16) |
-                             ((uint32_t)buf[6] << 8)  |
-                             ((uint32_t)buf[7]);
-            if (sys_clock_set_unix(epoch) == 0) {
-                /* 操作留痕（道G task-50）：对时改的是装置时钟——与 104 的
-                 * "clock set by 104"（App/task/iec104_serv.c 对时处）同类同口径，
-                 * 补齐 task-49 盘出的不对称。**被拒不投**：失败不得记成"时钟被改过"；
-                 * 连续两次成功各投一条——每次对时是独立事件，无合并语义。
-                 * quiet 口：本任务栈 2048 B（见本文件 DBG_LINE_BUF_MAX 段），
-                 * syslog_post 的两个满态留痕分支各内联约 216 B 行缓冲，不选它。
-                 * ⚠ 记录里的时标语义（本端口写钟面、104 写 UTC 的 8 小时差）
-                 *   未裁定——留痕按现有通道原样落，不做任何时区补偿。 */
-                syslog_post_quiet(SYSLOG_OPER, "clock set by 8888");
-            }
-            DBG_INFO("time_sync: wall clock updated (epoch=%lu)", (unsigned long)epoch);
-        }
-    } else {
-        /* 头阻塞收口（docs/网络/网络自愈架构设计.md §5.2 E13）：本层放弃会话 → 主动拆除。
-         * 挂起但 TCP 仍活的客户端（PC 内核自动 ACK keepalive，芯片僵尸判不死）
-         * 会永久占住单连接监听；EOF 路径 drop 幂等返 0（net 层已 relisten）。
-         * 模拟器多连接后端 conn≠ls，由 sim 实现按数据 fd 关闭。 */
-        (void)net_drop_conn(conn_sock);
-    }
-
-    /* 原 net_close(conn_sock) 已删——单连接模式 conn==监听 fd，
-     * close 毁监听（AGENTS 模块约定：EOF 时应用层不得 close）；net 层
-     * auto_relisten 已把同 fd 收回 LISTENING，外层循环直接续 accept。
-     * 模拟器多连接后端 conn≠ls，由调用方（外层）负责关数据 fd。 */
-}
-
 /*
  * 函数功能：时间同步任务主体（独立 FreeRTOS 任务）
  * 入口参数：argument - 未使用
  * 返回值：无
  * 限定条件：net_init() 已由 netTask 完成；netTask 正在处理消息队列
- * 函数说明：等待网络栈就绪后，循环：建监听 -> 等连接 -> 处理 -> **同 fd 续
+ * 函数说明：等待网络栈就绪后，按 TIME_SYNC_TICK_MS 节拍驱动 SNTP 校时客户端
- *          accept**（会话收尾不 close，监听跨会话常驻，仅网络
+ *          （time_sntp_run 内部：UDP socket 懒建/代际变化自弃旧归还，
- *          代次变化时重建）。全部 socket 操作经消息队列由 netTask 串行执行，
+ *          等待应答期单次驻留 ≤50ms）。心跳 = 每轮循环头一次 + 延时片每片
- *          与本任务/其它网络任务并发安全。
+ *          一次；本任务在 IWDG required_mask 内，节拍上没有任何超过抽样窗
+ *          的不喂窗口。全部 socket 操作经消息队列由 netTask 串行执行。
  */
 void time_sync_task(void *argument) {
     (void)argument;
@@ -225,13 +86,12 @@ void time_sync_task(void *argument) {
     task_wd_bind(TASK_WD_TIMESYNC);   /* FTL 心跳路由：登记本任务句柄（入口一次） */
 
     /* 等网络栈真正就绪（取代拍脑袋的 8s 魔法延时），确保 netTask 已开始处理消息；
-     * osFlagsNoClear：就绪位是状态，不能被本任务消费掉（否则其它等待者永不唤醒） */
+     * osFlagsNoClear：就绪位是状态，不能被本任务消费掉（否则其它等待者永不唤醒）。
+     * 2026-10-02 台架修复：等待改 100ms 分片 + 每片喂心跳——IWDG 必需掩码含
+     * TS 位，原 osWaitForever 无心跳 → 启动初期（存储已就绪、网络未就绪）
+     * 掩码 800ms 不可达 → 停喂 → 复位循环（2026-10-02 台架根因之一）。
+     * 100ms 分片 = 抽样窗，纯任务睡眠零队列开销。 */
     if (sys_evtHandle != NULL) {
-        /* osFlagsNoClear：就绪位是状态，不能被本任务消费掉（否则其它等待者永不唤醒）。
-         * 2026-10-02 台架修复：等待改 100ms 分片 + 每片喂心跳——IWDG 必需掩码含
-         * TS 位，原 osWaitForever 无心跳 → 启动初期（存储已就绪、网络未就绪）
-         * 掩码 800ms 不可达 → 停喂 → 复位循环（2026-10-02 台架根因之一）。
-         * 100ms 分片 = 抽样窗，纯任务睡眠零队列开销。 */
         for (;;) {
             uint32_t r = osEventFlagsWait(sys_evtHandle, SYS_EVT_NET_READY,
                                           osFlagsWaitAny | osFlagsNoClear, 100u);
@@ -242,53 +102,15 @@ void time_sync_task(void *argument) {
         }
     }
 
-    /* 监听 fd 跨会话常驻：仅首次/网络代次变化/被毁时重建 */
-    int ls = -1;
-
     for (;;) {
-        /* 心跳：本任务在 required_mask 内。以下每一处可能长于 100ms 抽样窗的
+        /* 心跳：本任务在 required_mask 内。time_sntp_run 的收片驻留 ≤50ms
-         * 阻塞点（监听重试 2s、accept 轮询 200ms/次、收尾 50ms）都就近补心跳。 */
+         * 落在两次心跳之间（循环头 + 下面延时片每片前置），抽样窗不破。 */
         task_wd_beat(TASK_WD_TIMESYNC);
 
-        /* 记录本次监听对应的网络代次；代次变化（网络重建）则放弃旧监听重建 */
+        /* 网络代次随参数下传：断网/重建由 time_sntp_run 内部自理（关闭旧
-        uint32_t gen = net_get_generation();
+         * socket 归还），代次变化后下一轮自然在新网上重新发起。 */
+        time_sntp_run(net_get_generation());
 
-        if (ls < 0) {
+        time_sync_delay_fed(TIME_SYNC_TICK_MS);
-            ls = time_sync_open_listener();
-            if (ls < 0) {
-                DBG_ERROR("time_sync: open listener FAIL, retry later");
-                time_sync_delay_fed(2000U);
-                continue;
-            }
-        }
-
-        /* 等待 PC 连接：net_accept 在无连接时立即返回 -1，循环重试同一监听 Socket */
-        int conn = -1;
-        do {
-            conn = net_accept(ls, NULL, NULL);
-            if (conn < 0) {
-                if (net_get_generation() != gen) {
-                    net_close(ls);   /* 网络重建：旧监听失效，回外层重建 */
-                    ls = -1;
-                    break;
-                }
-                time_sync_delay_fed(200U);
-            }
-        } while (conn < 0);
-
-        if (conn < 0) {
-            DBG_INFO("time_sync: network re-init, relisten");
-            continue;
-        }
-
-        time_sync_handle_conn(conn);
-        /* 会话收尾不 close（单连接模式 conn==ls，close 连监听
-         * 一起毁）；net 层 auto_relisten 已把同 fd 收回 LISTENING，下轮循环
-         * 直接续 accept。模拟器多连接后端（conn≠ls）才关数据 fd。 */
-        if (conn != ls) {
-            net_close(conn);
-        }
-
-        time_sync_delay_fed(50U);
     }
 }

App/sync/time_sync.h

@@ -1,13 +1,14 @@
 /*
- * 模块名称：Time Sync — PC 本地时间推送接收（TCP）
+ * 模块名称：Time Sync — timeSyncTask 载体（网络校时节拍宿主）
- * 模块功能：以 TCP Server 方式监听 TIME_SYNC_PORT，接收 PC 推送的本地时间包，
+ * 模块功能：timeSyncTask 任务入口：等网络就绪后按固定节拍驱动 SNTP 校时客户端
- *          更新系统墙钟并写回 SD2506 RTC
  * 适用平台：STM32F407ZGTx + CH395F
  * 作者：王建锋
  * 创建日期：2026-08-27
  * 修改记录：
  *   v1.0  2026-08-27  王建锋  创建初始版本（UDP 推送）
  *   v1.1  2026-08-28  王建锋  改为 TCP Server，迁入独立任务 timeSyncTask
+ *   v2.0  2026-11-04  DTU 项目组  TCP :8888 对时退役，TIME_SYNC_PORT 宏随退，
+ *                           任务收缩为 SNTP 节拍宿主（细节见 time_sync.c 文件头）
  */
 
 #ifndef TIME_SYNC_H
@@ -19,16 +20,13 @@
 extern "C" {
 #endif
 
-/* 监听端口：PC 推送端（TCP 客户端）需连到本端口 */
-#define TIME_SYNC_PORT   8888
-
 /*
  * 函数功能：时间同步任务主体（独立 FreeRTOS 任务）
  * 入口参数：argument - FreeRTOS 传入参数（未使用）
  * 返回值：无
  * 限定条件：net_init() 已由 netTask 完成；网络消息队列由 netTask 处理
- * 函数说明：以 TCP Server 方式监听 TIME_SYNC_PORT，接收 PC 推送的本地时间包，
+ * 函数说明：等网络就绪后按 200ms 节拍驱动 SNTP 校时客户端（App/sync/time_sntp.c），
- *          经消息队列（由 netTask 串行执行）完成 socket 操作，更新系统墙钟。
+ *          socket 操作经消息队列（由 netTask 串行执行）完成。
  *          该任务与 FTP 等其它网络任务并发安全。
  */
 void time_sync_task(void *argument);

App/task/default_task.c

@@ -48,6 +48,7 @@
 #include "main.h"
 #include "ff.h"
 #include "nand_ftl.h"
+#include "bsp_err.h"     /* BSP_ERR_NO_SPACE / BSP_ERR_CRC：卷健康探针按失败类分流（C4） */
 #include "net_cfg.h"
 #include "cfg_file.h"
 #include "run_par.h"     /* 运行参数段落盘（「数据可信」这一项，配置引擎属主 = 本任务） */
@@ -523,30 +524,56 @@ static FRESULT storage_bring_up(FATFS *fs) {
             FS_VOL_PROBE(hfr);   /* 两击确认 */
         }
         if (hfr != FR_OK) {
+            /* C4 消费点（2026-11-04，问题 #79）：探针只拿到 FRESULT，失败类在
+             * disk_read/disk_write 返回时就被 FatFs 契约抹掉了。这里把 FTL 留下的
+             * 跨调用快照读出来，**先判"重格式化有没有意义"再决定动作**——
+             * 这正是 存储架构说明 §10.4 那条一直只写在文档里、没有消费者的判据。
+             *
+             * 为什么必须先判：BSP_ERR_NO_SPACE 是 journal/映射层块池见底（介质健康），
+             * 重格式化只会把问题推回去（文档原文）；而 BSP_ERR_CRC 才是"页级太坏，
+             * 换页/reformat 可能救"。两类都走 reformat 的话，块池见底会被反复擦盘。 */
+            nand_ftl_fault_t fault;
+
+            nand_ftl_fault_get(&fault);
+            if (fault.active != 0u) {
+                DBG_ERROR("[FS] probe failed (fr=%d), FTL last fault: op=%u class=%ld lpn=%lu count=%lu",
+                          (int)hfr, (unsigned)fault.op, (long)fault.cls,
+                          (unsigned long)fault.lpn, (unsigned long)fault.count);
+            }
+
             /* ⚠ FR_INVALID_NAME 绝不可入本集合：它是路径名语法错误（纯 RAM 判定、
              * 不碰盘），与卷健康无关（曾误入 → "无限重格式化"事故） */
             if (hfr == FR_DENIED || hfr == FR_INVALID_OBJECT ||
                 hfr == FR_INT_ERR || hfr == FR_DISK_ERR ||
                 hfr == FR_NO_FILE || hfr == FR_NO_PATH ||
                 hfr == FR_NO_FILESYSTEM) {
-                DBG_INFO("[FS] volume FAT invalid (fr=%d), reformatting...",
+                /* 按失败类分流：块池见底 ≠ 介质坏。前者擦卷救不回来，只上报
-                         (int)hfr);
+                 * （后续应走容量恢复，见 存储维护与容量恢复.md），后者才 reformat。 */
-                f_mount(NULL, "", 0);
+                if ((fault.active != 0u) && (fault.cls == (int32_t)BSP_ERR_NO_SPACE)) {
-                /* 格式化前清空 FTL map 树（同首启路径：新卷从空树写起） */
+                    DBG_ERROR("[FS] volume probe failed: FTL out of space, "
-                (void)nand_ftl_format();
+                              "reformat skipped (needs capacity recovery, not mkfs)");
-                {
+                    syslog_post(SYSLOG_SELFTEST, "storage full");
-                    static uint8_t fs_work2[FF_MAX_SS];
+                    fr = FR_INT_ERR;
-                    MKFS_PARM opts2 = { FM_FAT32, 0, 0, 0, 0 };
-                    fr = f_mkfs("", &opts2, fs_work2, sizeof(fs_work2));
-                    if (fr == FR_OK) {
-                        fr = f_mount(fs, "", 1);
-                    }
-                }
-                if (fr == FR_OK) {
-                    DBG_INFO("[FS] volume reformatted OK");
                 } else {
-                    DBG_ERROR("[FS] volume repair failed (fr=%d)", (int)fr);
+                    DBG_INFO("[FS] volume FAT invalid (fr=%d), reformatting...",
-                    syslog_post(SYSLOG_SELFTEST, "storage fault");
+                             (int)hfr);
+                    f_mount(NULL, "", 0);
+                    /* 格式化前清空 FTL map 树（同首启路径：新卷从空树写起） */
+                    (void)nand_ftl_format();
+                    {
+                        static uint8_t fs_work2[FF_MAX_SS];
+                        MKFS_PARM opts2 = { FM_FAT32, 0, 0, 0, 0 };
+                        fr = f_mkfs("", &opts2, fs_work2, sizeof(fs_work2));
+                        if (fr == FR_OK) {
+                            fr = f_mount(fs, "", 1);
+                        }
+                    }
+                    if (fr == FR_OK) {
+                        DBG_INFO("[FS] volume reformatted OK");
+                    } else {
+                        DBG_ERROR("[FS] volume repair failed (fr=%d)", (int)fr);
+                        syslog_post(SYSLOG_SELFTEST, "storage fault");
+                    }
                 }
             } else {
                 /* 其余错误（写保护/卷锁/参数类）不重格式化——只上报，
@@ -685,7 +712,7 @@ static void wave_store_drain(void) {
         }
     }
     if ((why == NULL) && (s_wscan_done == 0u)) {
-        FRESULT rr;
+        FRESULT rr = FR_OK;
 
         fr = f_opendir(&s_wdir, WAVE_ST_DIR);
         if (fr == FR_OK) {

Drivers/BSP/GD5F2GQ5UE/gd5f2gq5ue.c

@@ -8,6 +8,11 @@
  *     2026-07-16  王建锋  创建初始版本
  *     2026-07-17  王建锋  切换硬件 SPI，修正擦除地址，参考 NuttX 驱动
  *     2026-08-27  补充函数注释（代码规范 V1.0）；修正工厂坏块扫描为首页；增加 BBT 持久化
+ *     2026-11-04  问题 #79 取证配套：① init 解锁块保护（A0h）后补回读校验——
+ *                       与 2026-10-23 修过的 ECC（B0h）同族的"只写不回读"缺口
+ *                       （实测本板 A0h 已为 0，写保护非本次根因，校验留作哨兵）；
+ *                       ② `gd5f_bbt_load()` 合并后若坏块数 > 出厂扫描数则打一条
+ *                       "BBT after merge"，让现场一眼区分真坏与误标固化。
  */
 
 /* 头文件包含区 */
@@ -839,6 +844,39 @@ int32_t gd5f2gq5ue_init(void) {
         DBG_ERROR("Unlock block protection failed: %d", ret);
         return ret;
     }
+    /* 回读 A0h 校验保护位**真正清零**（2026-11-04，问题 #79 取证发现）。
+     *
+     * 为什么必须校验：本项与 2026-10-23 修过的 ECC(B0h) 是同一条缺陷的另一半——
+     * `gd5f_set_feature()` 只写不回读，"写了但没生效"对上层完全不可见。
+     * A0h 没清干净的后果比 ECC 没开更直接：**整片只读**。
+     *
+     * 台架现场（11-04 17:40 本次启动，`repair-nand-volume` 取证）：
+     *   BBT scan: 0 bad blocks found     ← 介质出厂坏块为 0
+     *   读操作全部正常（Map resumed / FAT 探针能读到内容）
+     *   写操作**全部**失败：LPN=211（块 3）与 LPN=15（块 0）两个不同块
+     *   连 nand_ftl_format() 后的 map sync 都失败 → storage disabled
+     * "读正常 + 写全废 + 跨多个无关块 + 出厂坏块为 0" 这组特征排除了
+     * "某一页/某一块真坏"（那不会跨块、也不会让全新 map sync 失败），
+     * 指向芯片处于**写保护态**。
+     *
+     * 判据：A0h bit0-3 (BP0..BP3) 与非易失的 BP 位组合决定保护范围；
+     * 读到非 0 即保护未解除，必须**明确失败**而不是继续跑（继续跑会让
+     * 上层把"写保护"误判成"介质损坏"，进而反复格式化——正是本单现场）。
+     */
+    {
+        uint8_t prot = 0;
+
+        ret = gd5f_private_get_feature(GD5F_REG_PROTECT, &prot);
+        if (ret != GD5F_OK) {
+            DBG_ERROR("Read A0h failed: %d", ret);
+            return ret;
+        }
+        if (prot != 0u) {
+            DBG_ERROR("Block protection NOT cleared (A0h=0x%02X), NAND is read-only",
+                      prot);
+            return GD5F_ERROR;
+        }
+    }
 
     DBG_INFO("Locating BBT pool...");
     ret = gd5f_private_bbt_locate_pool();
@@ -854,6 +892,20 @@ int32_t gd5f2gq5ue_init(void) {
         DBG_ERROR("Load persisted BBT failed: %d (use scanned BBT)", ret);
     }
 
+    /* 【#79】持久化 BBT 若把连续段判坏（出厂扫描 0 坏块、底层写全部成功），
+     * 那是运行期误标被固化后的结果，不是介质坏。此处只打一条汇总，
+     * 让下次现场一眼能区分"真坏"与"误标"。 */
+    {
+        uint32_t bad = 0;
+        for (uint32_t b = 0; b < GD5F_TOTAL_BLOCKS; b++) {
+            if ((s_bbt[b >> 3] >> (b & 7)) & 1) bad++;
+        }
+        if (bad > 0) {
+            DBG_ERROR("BBT after merge: %lu bad blocks (factory scan was 0)",
+                      (unsigned long)bad);
+        }
+    }
+
     DBG_INFO("NAND init OK");
     return GD5F_OK;
 }

Drivers/BSP/GD5F2GQ5UE/nand_ftl.c

@@ -25,10 +25,31 @@
  *                       单一真源 + 两条负数组编译期守卫：越界上界依赖
  *                       log2_ppb，换料时只改 GD5F_* 而忘改字面量会**静默**
  *                       把守卫算大 = 越界守卫失效，现改为直接编译错
+ *     2026-11-04  王建锋  问题 #79（台架 LPN=211 恒 TOO_BAD 致 f_mount 失败、
+ *                       整卷禁用）两处修复：
+ *                       ① `nand_ftl_format()` 不再被脏缓存 flush 失败挡住——
+ *                       旧实现先 flush、失败即 return，导致**恢复动作自己在
+ *                       同一页上死锁**（map 从未清过，f_mkfs 在旧映射上必失败）。
+ *                       格式化语义本就是销毁映射，故尽力刷一次后无条件丢缓存；
+ *                       ② 补 C4 跨调用失败类快照（`nand_ftl_fault_get/clear`），
+ *                       让 disk_initialize/读/刷/同步的失败归类能穿过 FatFs 的
+ *                       RES_ERROR 边界，供 defaultTask 探针按类分流（见 存储架构
+ *                       说明 §10.4）；③ .c 自包含 include 本模块头（主机侧单测
+ *                       直接 #include 本文件，缺头则类型不可见）。
+ *                       ④（真机取证后定案）`dhara_nand_erase/prog()` 不再把
+ *                       **传输层/等忙失败**当坏块证据：只有芯片明确回 E_FAIL /
+ *                       P_FAIL 才标坏。真凶即在此——非坏类失败被标坏后由
+ *                       mark_block_bad 立即持久化（不可撤销），台架 BBT 遂固化
+ *                       129 个误标块（1016–1142 连续段），journal prepare_head()
+ *                       连续 8 次 is_bad → TOO_BAD → 整卷禁用；已固化的误标由
+ *                       恢复动作 A 重建 BBT 清除（见 存储维护与容量恢复 §2.1）。
  */
 
 /* 头文件包含区 */
 #include <string.h>
+#include "nand_ftl.h"   /* 本模块公开契约：失败快照类型（C4）与 nand_ftl_* 原型。
+                         * 必须自包含——旧版靠调用方先 include 本头，主机侧单测
+                         * 直接 #include "nand_ftl.c" 时类型不可见（实测编译错）。 */
 #include "gd5f2gq5ue.h"
 #include "ff.h"
 #include "diskio.h"
@@ -125,10 +146,19 @@ static uint8_t                s_copy_buf[FTL_PAGE_SIZE];
 /* 初始化状态 */
 static uint8_t                s_initialized;
 
+/* 失败快照（C4）：把"最近一次存储失败"的归类带出函数边界。
+ * 为什么需要：disk_read/disk_write 对 FatFs 只能回 RES_ERROR（FatFs 契约），
+ * 失败类在 return 那一刻就被抹掉，上层因此无法区分「页级 TOO_BAD，重格式化可解」
+ * 与「块池见底 / 映射损坏，重格式化只会把问题推回去」。
+ * 多写者纪律：defaultTask 与 testTask 都会碰存储，故语义是"最近一次"而非账本；
+ * 并发下可能被另一路覆盖——诊断用途可接受，记在此处以免日后误当权威计数。 */
+static nand_ftl_fault_t       s_fault;
+
 /* ======================== 私有函数声明 ======================== */
 
 static bsp_err_t ftl_flush_cache(void);
 static bsp_err_t ftl_read_page(dhara_sector_t lpn);
+static void      ftl_fault_note(uint32_t op, bsp_err_t cls, dhara_sector_t lpn);
 
 /* SPI 原语从 gd5f2gq5ue.h 获取 */
 
@@ -184,6 +214,52 @@ static bsp_err_t ftl_class_from_dhara(dhara_error_t err) {
     }
 }
 
+/* ======================== 失败快照（C4） ======================== */
+
+/*
+ * 函数功能：记录一次存储失败到跨调用快照
+ * 入口参数：op  - 失败的操作（NAND_FTL_OP_*）
+ *           cls - 失败类（ftl_class_from_dhara 的结果）
+ *           lpn - 涉及逻辑页号（未知传 NAND_FTL_LPN_NONE）
+ * 返回值：无  void
+ * 限定条件：可在任何上下文调用；本函数只写几个字，不加锁（见下方顺序说明）
+ * 函数说明：**不覆盖已有的非 NONE 归类除非新失败更具体**——不，刻意选择
+ *   "后写覆盖"：快照回答的是"最近一次失败是什么"，最靠近处置点的现场才有用。
+ *   count 单独累计，用来回答另一个问题："是不是一直在撞同一页"（本单现场正是
+ *   LPN=211 反复失败 15 次）。两者分开存，避免为了统计把最近现场挤掉。
+ *
+ *   写入顺序是有意的：先写内容字段，最后置 active=1（写侧无锁，读侧可能
+ *   在任意指令边界被抢占）。这样读到 active=1 时内容字段必然已经写好；
+ *   最坏情况是读到旧内容 —— 诊断用途可接受，且不会比"没有快照"更差。
+ */
+static void ftl_fault_note(uint32_t op, bsp_err_t cls, dhara_sector_t lpn) {
+    s_fault.op  = op;
+    s_fault.cls = (int32_t)cls;
+    s_fault.lpn = (uint32_t)lpn;
+    if (s_fault.count < 0xFFFFFFFFu) {
+        s_fault.count++;
+    }
+    s_fault.active = 1u;
+}
+
+void nand_ftl_fault_get(nand_ftl_fault_t *p_out) {
+    if (p_out == NULL) {
+        return;
+    }
+    /* 整结构拷贝：调用方拿到的是一致快照，不会一半新一半旧 */
+    *p_out = s_fault;
+}
+
+void nand_ftl_fault_clear(void) {
+    /* 先清 active 再清内容：反序会让读侧看到 active=0 但 count 仍是旧值，
+     * 虽然无害，但"active=0 时其余字段无意义"这条契约更该由写法保证 */
+    s_fault.active = 0u;
+    s_fault.op     = NAND_FTL_OP_NONE;
+    s_fault.cls    = (int32_t)BSP_OK;
+    s_fault.lpn    = NAND_FTL_LPN_NONE;
+    s_fault.count  = 0u;
+}
+
 /* ======================== 页面缓存管理 ======================== */
 
 static bsp_err_t ftl_flush_cache(void) {
@@ -196,6 +272,7 @@ static bsp_err_t ftl_flush_cache(void) {
         bsp_err_t cls = ftl_class_from_dhara(err);   /* 只在失败分支需要（cppcheck variableScope） */
         DBG_ERROR("Cache flush FAIL: LPN=%lu dhara=%s class=%d",
                   s_cached_lpn, ftl_err_name(err), cls);
+        ftl_fault_note(NAND_FTL_OP_FLUSH, cls, s_cached_lpn);
         return cls;
     }
 
@@ -210,6 +287,7 @@ static bsp_err_t ftl_read_page(dhara_sector_t lpn) {
         bsp_err_t cls = ftl_class_from_dhara(err);   /* 只在失败分支需要（cppcheck variableScope） */
         DBG_ERROR("Page read FAIL: LPN=%lu dhara=%s class=%d",
                   lpn, ftl_err_name(err), cls);
+        ftl_fault_note(NAND_FTL_OP_READ, cls, lpn);
         return cls;
     }
 
@@ -243,9 +321,24 @@ int dhara_nand_erase(const struct dhara_nand *n, dhara_block_t b, dhara_error_t
     }
 
     ret = gd5f_block_erase(ftl_phy_block(b));
-    if (ret == GD5F_ERASE_FAIL || ret != GD5F_OK) {
+    if (ret != GD5F_OK) {
-        dhara_nand_mark_bad(n, b);
+        if (ret == GD5F_ERASE_FAIL) {
-        dhara_set_error(err, DHARA_E_BAD_BLOCK);
+            /* 芯片明确回 E_FAIL：该块确实擦不净，标坏是正确处置 */
+            DBG_ERROR("Erase failed with E_FAIL: block=%lu", (unsigned long)b);
+            dhara_nand_mark_bad(n, b);
+            dhara_set_error(err, DHARA_E_BAD_BLOCK);
+        } else {
+            /* 【#79 核心修复】传输层/等忙失败（GD5F_ERROR / GD5F_WAIT_EXPIRED）
+             * 不是坏块证据：芯片根本没回 E_FAIL，把块标坏等于把"线抖了一下"
+             * 固化成"这块永久报废"，并立即写进持久化 BBT（不可撤销）。
+             * 这类失败只报 BAD_BLOCK 让 dhara 重试，**不标坏**。
+             * 真机取证（2026-11-04 17:53）：出厂扫描 0 坏块、底层 prog/erase
+             * 全部成功，而持久化 BBT 把 1016–1142 连续段判坏，prepare_head()
+             * 连续 8 次撞 is_bad → DHARA_E_TOO_BAD → 整卷禁用。 */
+            DBG_ERROR("Erase transport/timeout failure (not a bad block): "
+                      "block=%lu ret=%d", (unsigned long)b, ret);
+            dhara_set_error(err, DHARA_E_BAD_BLOCK);
+        }
         return -1;
     }
     return 0;
@@ -264,15 +357,27 @@ int dhara_nand_prog(const struct dhara_nand *n, dhara_page_t p, const uint8_t *d
     gd5f_write_enable();
     ret = gd5f_program_load(0, data, FTL_PAGE_SIZE);
     if (ret != GD5F_OK) {
-        dhara_nand_mark_bad(n, p >> n->log2_ppb);
+        /* 【#79】装载失败是传输层问题（SPI/DMA/等忙），芯片未回 P_FAIL，
+         * 不得标坏块；只报 BAD_BLOCK 让 dhara 重试。 */
+        DBG_ERROR("Program load transport failure (not a bad block): "
+                  "page=%lu ret=%d", (unsigned long)phy_pg, ret);
         dhara_set_error(err, DHARA_E_BAD_BLOCK);
         return -1;
     }
 
     ret = gd5f_program_exec(phy_pg);
-    if (ret == GD5F_PROGRAM_FAIL || ret != GD5F_OK) {
+    if (ret != GD5F_OK) {
-        dhara_nand_mark_bad(n, p >> n->log2_ppb);
+        if (ret == GD5F_PROGRAM_FAIL) {
-        dhara_set_error(err, DHARA_E_BAD_BLOCK);
+            /* 芯片明确回 P_FAIL：页确实写不进去，标坏是正确处置 */
+            DBG_ERROR("Program failed with P_FAIL: page=%lu", (unsigned long)phy_pg);
+            dhara_nand_mark_bad(n, p >> n->log2_ppb);
+            dhara_set_error(err, DHARA_E_BAD_BLOCK);
+        } else {
+            /* 【#79】传输层/等忙失败不是坏块证据，不标坏，只重试 */
+            DBG_ERROR("Program transport/timeout failure (not a bad block): "
+                      "page=%lu ret=%d", (unsigned long)phy_pg, ret);
+            dhara_set_error(err, DHARA_E_BAD_BLOCK);
+        }
         return -1;
     }
 
@@ -431,6 +536,14 @@ DSTATUS disk_initialize(BYTE pdrv) {
     s_cached_lpn = (dhara_sector_t)-1;   /* -1 表示缓存未加载；LPN 0 合法，不能用 0 作哨兵 */
     s_cache_dirty = 0;
 
+    /* 失败快照初值：一次上电从"无失败"起算。刻意放在 map_init 之后、
+     * resume 之前——resume 失败本身就是要被记进快照的第一件事。 */
+    s_fault.active = 0u;
+    s_fault.op     = NAND_FTL_OP_NONE;
+    s_fault.cls    = (int32_t)BSP_OK;
+    s_fault.lpn    = NAND_FTL_LPN_NONE;
+    s_fault.count  = 0u;
+
     {
         dhara_error_t err = DHARA_E_NONE;
         if (dhara_map_resume(&s_map, &err) < 0) {
@@ -453,6 +566,9 @@ DSTATUS disk_initialize(BYTE pdrv) {
                 DBG_ERROR("Map resume failed (dhara=%s class=%d), volume kept, "
                           "storage unavailable", ftl_err_name(err),
                           ftl_class_from_dhara(err));
+                ftl_fault_note(NAND_FTL_OP_MAP_RESUME,
+                               ftl_class_from_dhara(err),
+                               (dhara_sector_t)NAND_FTL_LPN_NONE);
                 return STA_NOINIT;
             }
         } else {
@@ -598,6 +714,8 @@ DRESULT disk_ioctl(BYTE pdrv, BYTE cmd, void *buff) {
             dhara_error_t err;
             if (dhara_map_sync(&s_map, &err) < 0) {
                 DBG_ERROR("Map sync failed: %d", err);
+                ftl_fault_note(NAND_FTL_OP_SYNC, ftl_class_from_dhara(err),
+                               (dhara_sector_t)NAND_FTL_LPN_NONE);
                 return RES_ERROR;
             }
         }
@@ -634,20 +752,52 @@ int nand_ftl_format(void) {
         }
     }
 
+    /* 处置开始：清掉历史失败快照，此后新失败重新记账
+     * （否则一次旧失败会永久污染"本次格式化到底成没成"的判定） */
+    nand_ftl_fault_clear();
+
+    /* 【本单核心修复 2026-11-04，问题 #79】
+     * 旧实现先 `if (ftl_flush_cache() != BSP_OK) return GD5F_ERROR;`——而
+     * ftl_flush_cache() 在失败分支**不清 s_cache_dirty**（那是刻意的：写不进去
+     * 就不能假装写成功了），于是只要脏页落在"写不动的那个 LPN"上，
+     * 本函数就在第一道闸门返回，**dhara_map_clear() 永远执行不到**。
+     *
+     * 台架现场（11-04 08:16 与 08:42 两次独立捕获，head/tail/epoch 一字不变）：
+     *   探针写 /fschk.tmp → disk_write → flush LPN=211 失败（TOO_BAD）
+     *   → 重试同页再次失败 → 判卷损坏 → 走本函数 → 又被同一页挡住
+     *   → f_mkfs 在旧映射上跑 → 失败 → 3 轮重试耗尽 → storage disabled。
+     * 每次启动必现、断电重启不恢复，因为 s_cache_dirty 与 LPN=211 的脏数据
+     * 在**同一次启动内**恒存，而每轮启动都会重新踩上同一条路。
+     *
+     * 为什么"跳过 flush 直接丢缓存"在这里是正确的：
+     *   本函数的语义是**销毁整卷逻辑映射**（头文件：「破坏性：整卷逻辑地址→
+     *   物理映射作废」，只允许显式命令/恢复流程调用；现存两个调用点
+     *   ——首启无卷与 FAT 探针判卷损坏——都紧接着 f_mkfs 重建卷）。既然这份
+     *   脏页映射注定被扔掉，为它挡住格式化既救不回数据，又让**恢复动作本身
+     *   永久失效**。故：尽力刷一次（成功则顺带落盘、日志更干净），失败就
+     *   丢缓存并继续——这正是"格式化"该有的优先级。
+     *
+     * ⚠ 不得把本改动挪到普通写路径：disk_write/disk_read 里的 flush 失败
+     *   必须继续向上报错（那是"这次写没落地"的真相），只有本函数有权丢弃缓存。
+     */
     if (ftl_flush_cache() != BSP_OK) {
-        return GD5F_ERROR;
+        DBG_ERROR("format: dirty cache at LPN=%lu undiscardable, "
+                  "dropping it (map is being destroyed anyway)", s_cached_lpn);
     }
+    /* 无条件失效页面缓存：格式化后旧映射作废，绝不能让它再被当成有效缓存 */
+    s_cache_dirty = 0;
+    s_cached_lpn = (dhara_sector_t)-1;
 
     dhara_map_clear(&s_map);
 
     if (dhara_map_sync(&s_map, &err) < 0) {
-        DBG_ERROR("Map sync after clear failed: %d", err);
+        DBG_ERROR("Map sync after clear failed: %s class=%d",
+                  ftl_err_name(err), ftl_class_from_dhara(err));
+        ftl_fault_note(NAND_FTL_OP_SYNC, ftl_class_from_dhara(err),
+                       (dhara_sector_t)NAND_FTL_LPN_NONE);
         return GD5F_ERROR;
     }
 
-    s_cache_dirty = 0;
-    s_cached_lpn = (dhara_sector_t)-1;
-
     DBG_INFO("NAND FTL formatted, capacity: %lu pages", dhara_map_capacity(&s_map));
     return GD5F_OK;
 }

Drivers/BSP/GD5F2GQ5UE/nand_ftl.h

@@ -19,6 +19,40 @@ extern "C" {
 
 #include <stdint.h>
 
+/*
+ * 失败快照（C4）：把"最近一次存储失败的归类"从失败点带出来。
+ *
+ * 为什么要单独成一个结构而不是复用 bsp_err_t：调用方需要的不只是失败类，
+ * 还要能回答"这次失败值不值得再试一次"（重试同一 LPN 会不会又撞同一页）。
+ * 故带上 LPN 与 op，便于 run.log/wdev.log 里一条日志说清现场。
+ *
+ * 字段：
+ *   active  - 1 = 快照可用（自上次 nand_ftl_fault_clear() 以来发生过失败）
+ *   op      - 失败发生的操作（NAND_FTL_OP_*），0 = 无
+ *   cls     - 失败类（bsp_err_t：BSP_ERR_CRC / BSP_ERR_NO_SPACE / BSP_ERR_IO …）
+ *   lpn     - 失败涉及的逻辑页号（未知时填 NAND_FTL_LPN_NONE）
+ *   count   - 自上次 clear 以来累计的失败次数（饱和不减，用于判"反复撞同一页"）
+ *
+ * 尺寸：5 × uint32 = **20 B**，无隐式填充（字段全为 4 字节宽，任何编译器布局一致）。
+ * 不引入任何动态分配。
+ */
+#define NAND_FTL_LPN_NONE      ((uint32_t)0xFFFFFFFFu)
+
+#define NAND_FTL_OP_NONE       ((uint32_t)0u)
+#define NAND_FTL_OP_MAP_RESUME ((uint32_t)1u)   /* disk_initialize 的 dhara_map_resume */
+#define NAND_FTL_OP_READ       ((uint32_t)2u)   /* ftl_read_page（FatFs 读路径） */
+#define NAND_FTL_OP_FLUSH      ((uint32_t)3u)   /* ftl_flush_cache（写回路径） */
+#define NAND_FTL_OP_SYNC       ((uint32_t)4u)   /* disk_ioctl(CTRL_SYNC) 的 map sync */
+
+typedef struct {
+    uint32_t active;       /* 1 = 快照可用（自上次 nand_ftl_fault_clear() 以来发生过失败） */
+    uint32_t op;           /* 失败发生的操作（NAND_FTL_OP_*），0 = 无 */
+    int32_t  cls;          /* 失败类（bsp_err_t：BSP_ERR_CRC / BSP_ERR_NO_SPACE / BSP_ERR_IO …）。
+                            * 写死 int32_t 宽度：bsp_err_t 是 int，跨编译器布局才稳定 */
+    uint32_t lpn;          /* 失败涉及的逻辑页号（未知时 = NAND_FTL_LPN_NONE） */
+    uint32_t count;        /* 自上次 clear 以来累计失败次数（饱和不减，用于判"反复撞同一页"） */
+} nand_ftl_fault_t;
+
 /*
  * 函数功能：初始化 FTL（等价于 disk_initialize(0)：SPI 起链 + dhara_map_resume）
  * 入口参数：无
@@ -53,6 +87,33 @@ int nand_ftl_format(void);
  */
 void nand_ftl_deinit(void);
 
+/*
+ * 函数功能：取"最近一次存储失败"的跨调用快照（C4，2026-11-04 补还）
+ * 入口参数：p_out - 快照输出  nand_ftl_fault_t*  可为 NULL（=只查询是否有失败）
+ * 返回值：无  void（新 API 不把"有没有失败"塞进返回值：本函数是纯查询，
+ *         判定一律读 p_out->active）
+ * 限定条件：任何任务上下文可读；**仅诊断用途**，不得据此自动清卷/重格式化
+ * 函数说明：为什么需要它——disk_read/disk_write 对 FatFs 只能回 RES_ERROR
+ *   （FatFs 契约），失败类在函数返回时就被抹掉，上层因此无法区分
+ *   「页级 TOO_BAD，重格式化可解」与「块池见底 / 映射损坏，重格式化只会把问题
+ *   推回去」。本快照把 nand_ftl.c 就地分类的结果留在 RAM 里，供
+ *   defaultTask 的卷健康探针按类分支（消费点见 storage_bring_up()）。
+ *   ⚠ 多写者：defaultTask 与 testTask 都可能触发写入失败，故快照是"最近一次"
+ *   语义、非累计账本；并发下可能被另一路覆盖（诊断场景可接受）。
+ *   成功路径**不清**它（失败证据要留存到显式 clears），语义同 dbg latch。
+ */
+void nand_ftl_fault_get(nand_ftl_fault_t *p_out);
+
+/*
+ * 函数功能：清除失败快照（把 active 置 0）
+ * 入口参数：无
+ * 返回值：无
+ * 限定条件：仅"已按快照处置完毕"的调用方清除（当前 = defaultTask 卷修复路径）
+ * 函数说明：不清就会让一次历史失败永久污染后续判定；清早了又会丢掉现场。
+ *   调用点因此只有一处，见 storage_bring_up() 的重格式化分支。
+ */
+void nand_ftl_fault_clear(void);
+
 #ifdef __cplusplus
 }
 #endif

Drivers/BSP/NETCFG/net_cfg.c

@@ -32,6 +32,8 @@
 
 #include "ftp_cfg.h"
 
+#include "sntp_cfg.h"
+
 /* 深调用链模块（net_cfg_load/save 在 defaultTask 启动链与保存链上）：
  * 日志行缓冲收到 128 B（默认 192），本模块最长行渲染后 < 128 → 不截断 */
 #define DBG_LINE_BUF_MAX 128U
@@ -80,6 +82,16 @@ static const cfg_key_def_t s_net_keys[] = {
     { "mac",  CFG_VAL_MAC, offsetof(net_cfg_t, mac), 6u },
 };
 
+/* [sntp] 段键表（sntp_cfg_t 布局内偏移；数据本体在 sntp_cfg.c——分层门禁
+ * layer-deps 要求段描述符的组装集中在本文件：NETCFG 里只有 net_cfg.c /
+ * ftp_cfg.c 在反向依赖基线上，[sntp] 是新增模块，不再往基线添条目） */
+static const cfg_key_def_t s_sntp_keys[] = {
+    { "enable",   CFG_VAL_UINT, offsetof(sntp_cfg_t, enable),     1u },
+    { "server1",  CFG_VAL_IP4,  offsetof(sntp_cfg_t, server_pri), 4u },
+    { "server2",  CFG_VAL_IP4,  offsetof(sntp_cfg_t, server_bak), 4u },
+    { "poll_min", CFG_VAL_UINT, offsetof(sntp_cfg_t, poll_min),   2u },
+};
+
 /* 函数定义区 */
 
 /*
@@ -122,6 +134,35 @@ static void s_net_register(void) {
     s_done = 1u;
 }
 
+/*
+ * 函数功能：向 cfg_file 引擎注册 [sntp] 段（幂等）
+ * 入口参数：无
+ * 返回值：无
+ * 限定条件：load/save 前调用（net_cfg_load 内统一编排）
+ * 函数说明：数据本体与工厂默认由 sntp_cfg.c 出（sntp_cfg_data/defaults）；
+ *          无变更回调——SNTP 客户端每轮直读 RAM 副本，保存后的"立即生效"
+ *          走既有 SYS_EVT_NET_RECONFIG（网络重建 → 代次变化 → 客户端重开
+ *          Socket）链，本段无需单独挂接
+ */
+static void s_sntp_register(void) {
+    static uint8_t s_done;
+    cfg_section_reg_t reg;
+
+    if (s_done != 0u) {
+        return;
+    }
+    (void)memset(&reg, 0, sizeof(reg));
+    reg.name = "sntp";
+    reg.p_data = sntp_cfg_data();
+    reg.p_defaults = sntp_cfg_defaults();
+    reg.data_size = sizeof(sntp_cfg_t);
+    reg.p_keys = s_sntp_keys;
+    reg.key_count = 4u;
+    reg.p_cb = NULL;
+    (void)cfg_file_register(&reg);
+    s_done = 1u;
+}
+
 /*
  * 函数功能：判断 6 字节 MAC 是否全零
  * 入口参数：p_mac - MAC 指针（不可为 NULL）  const uint8_t *
@@ -148,8 +189,10 @@ static bool s_mac_is_zero(const uint8_t *p_mac) {
  */
 int net_cfg_load(void) {
     s_net_register();
-    /* [ftp] 段一并注册（所有受管段必须先注册、后 load，引擎按注册表解析） */
+    /* [ftp] / [sntp] 段一并注册（所有受管段必须先注册、后 load，引擎按注册表解析）；
+     * [sntp] 描述符在本文件组装——见 s_sntp_register 分层门禁注 */
     ftp_cfg_register();
+    s_sntp_register();
 
     /* 旧档 NCFG 迁移已于 2026-10-10 删除（net_cfg_legacy 移除；理由见文件头 v1.3）。
      * 若卷上仍残留 /cfg/netcfg.bin：不读、不删、不迁移 → 配置回落工厂默认 */

Drivers/BSP/NETCFG/sntp_cfg.c

@@ -0,0 +1,103 @@
+/*
+ * 模块名称：SNTP 配置核心 (SNTP Configuration Core)
+ * 模块功能：RAM 配置副本 + 工厂默认 + 读写出口（INI [sntp] 段：
+ *           enable/server1/server2/poll_min）；加载/保存编排复用 [network]
+ *           段的既有链路（net_cfg_load/save + UI 保存行请求链）。段描述符
+ *           由 net_cfg.c 的 s_sntp_register() 组装注册——分层门禁 layer-deps
+ *           要求本模块不 include 配置引擎头（App/cfg/cfg_file.h），只留
+ *           数据本体与访问器
+ * 适用平台：STM32F407ZGTx / PC 模拟器（两端共用）
+ * 作者：王建锋
+ * 创建日期：2026-11-04
+ * 修改记录：
+ *     v1.0  2026-11-04  王建锋  创建初始版本（SNTP 客户端接入，#57 调研结论：
+ *                               出厂默认关闭、服务器 IPv4 字面量、周期 1~1440 分钟）
+ *     v1.1  2026-11-04  王建锋  分层门禁口径改造：注册编排移出本模块（见 .h 同名注）
+ */
+
+/* 头文件包含区 */
+#include <string.h>
+
+#include "sntp_cfg.h"
+
+/* 静态变量定义区 */
+
+/* RAM 配置副本：以工厂默认值静态初始化（落 .data），自启动即有效——
+ * 不依赖 cfg_file_load 是否成功（与 net_cfg s_cfg 同一口径）。
+ * 命名带 s_sntp_ 前缀：net_cfg.c 与本文件会在同一 TU 里被主机单测并入
+ * （test/host/net_cfg），裸 s_cfg/s_defaults 会同名重定义 */
+static sntp_cfg_t s_sntp_cfg = {
+    .enable     = SNTP_CFG_DEF_ENABLE,
+    .server_pri = SNTP_CFG_DEF_SERVER,
+    .server_bak = SNTP_CFG_DEF_SERVER,
+    .poll_min   = SNTP_CFG_DEF_POLL_MIN,
+};
+
+/* 工厂默认（引擎注册 p_defaults 指向；与 s_sntp_cfg 初值共用宏单一来源） */
+static const sntp_cfg_t s_sntp_defaults = {
+    .enable     = SNTP_CFG_DEF_ENABLE,
+    .server_pri = SNTP_CFG_DEF_SERVER,
+    .server_bak = SNTP_CFG_DEF_SERVER,
+    .poll_min   = SNTP_CFG_DEF_POLL_MIN,
+};
+
+/* 函数定义区 */
+
+/*
+ * 函数功能：取 [sntp] 段 RAM 副本（引擎注册专用写入口）
+ * 入口参数：无
+ * 返回值：RAM 配置副本指针（恒非空）  sntp_cfg_t *
+ * 限定条件：仅 net_cfg.c 组段描述符用；业务读走 sntp_cfg_get()，
+ *          UI 编辑走 sntp_cfg_set()
+ */
+sntp_cfg_t *sntp_cfg_data(void) {
+    return &s_sntp_cfg;
+}
+
+/*
+ * 函数功能：取工厂默认值（引擎注册 p_defaults 指向）
+ * 入口参数：无
+ * 返回值：工厂默认结构指针（只读，恒非空）  const sntp_cfg_t *
+ * 限定条件：仅 net_cfg.c 组段描述符用
+ */
+const sntp_cfg_t *sntp_cfg_defaults(void) {
+    return &s_sntp_defaults;
+}
+
+/*
+ * 函数功能：取 [sntp] 段 RAM 副本（只读）
+ * 入口参数：无
+ * 返回值：RAM 配置副本指针（恒非空）  const sntp_cfg_t *
+ * 限定条件：无
+ */
+const sntp_cfg_t *sntp_cfg_get(void) {
+    return &s_sntp_cfg;
+}
+
+/*
+ * 函数功能：更新 RAM 副本（不写盘）
+ * 入口参数：p_new - 新配置（NULL 忽略）  const sntp_cfg_t *
+ * 返回值：无
+ * 限定条件：UI 编辑路径（net_cfg_set 同口径：整结构体一次拷贝，
+ *          写盘走 net_cfg_save_request 整档链，属主 defaultTask）
+ */
+void sntp_cfg_set(const sntp_cfg_t *p_new) {
+    if (p_new != NULL) {
+        (void)memcpy(&s_sntp_cfg, p_new, sizeof(s_sntp_cfg));
+    }
+}
+
+/*
+ * 函数功能：取轮询周期（带外自愈读出口）
+ * 入口参数：无
+ * 返回值：合法范围内 = 存储值；0 或 >1440 = 工厂默认 60  uint16_t
+ * 限定条件：无
+ */
+uint16_t sntp_cfg_poll_min(void) {
+    uint16_t v = s_sntp_cfg.poll_min;
+
+    if ((v < SNTP_CFG_POLL_MIN_MIN) || (v > SNTP_CFG_POLL_MIN_MAX)) {
+        return SNTP_CFG_DEF_POLL_MIN;
+    }
+    return v;
+}

Drivers/BSP/NETCFG/sntp_cfg.h

@@ -0,0 +1,97 @@
+/*
+ * 模块名称：SNTP 配置（[sntp] 段）
+ * 模块功能：板端 SNTP 客户端配置——RAM 副本 + 工厂默认 + 读写出口
+ *           （[sntp] 段：enable / server1 / server2 / poll_min）；段描述符
+ *           由 net_cfg.c 在 net_cfg_load 里组好交引擎（分层门禁 layer-deps：
+ *           本模块不 include 引擎头）；消费者（App/sync/time_sntp.c）与 UI 页
+ *           经 sntp_cfg_get() 只读访问，配置引擎属主仍为 defaultTask
+ * 适用平台：STM32F407ZGTx / PC 模拟器（两端共用）
+ * 作者：王建锋
+ * 创建日期：2026-11-04
+ * 修改记录：
+ *     v1.0  2026-11-04  王建锋  创建初始版本（SNTP 客户端接入，#57 调研结论）
+ *     v1.1  2026-11-04  王建锋  分层门禁口径：sntp_cfg_register 改为
+ *                               sntp_cfg_data/sntp_cfg_defaults 数据口，
+ *                               段描述符编排移 net_cfg.c（本模块不再依赖引擎头）
+ */
+
+#ifndef SNTP_CFG_H
+#define SNTP_CFG_H
+
+#ifdef __cplusplus
+extern "C" {
+#endif
+
+#include <stdint.h>
+
+/* 轮询周期合法范围（分钟）；范围外的存储值读取时回落工厂默认（同 [comm]
+ * 频段自愈口径，见 iec104_comm.c 带外值自愈） */
+#define SNTP_CFG_POLL_MIN_MIN  1u
+#define SNTP_CFG_POLL_MIN_MAX  1440u
+
+/* 工厂默认：enable=0（出厂不启用，调研 §6 产品口径）、服务器留空
+ * （0.0.0.0 = 未配置，客户端跳过该服务器）、poll_min=60（1 小时） */
+#define SNTP_CFG_DEF_ENABLE   0u
+#define SNTP_CFG_DEF_SERVER   { 0u, 0u, 0u, 0u }
+#define SNTP_CFG_DEF_POLL_MIN 60u
+
+typedef struct {
+    uint8_t enable;          /* 1 = 启用 SNTP 客户端；0 = 停用（默认） */
+    uint8_t server_pri[4];   /* 主 SNTP 服务器 IPv4（全零 = 未配置） */
+    uint8_t server_bak[4];   /* 备 SNTP 服务器 IPv4（全零 = 无备） */
+    uint16_t poll_min;       /* 成功后的轮询周期（分钟，1~1440） */
+} sntp_cfg_t;
+
+/*
+ * 函数功能：取 [sntp] 段 RAM 副本（引擎注册专用写入口）
+ * 入口参数：无
+ * 返回值：RAM 配置副本指针（恒非空，静态常驻）  sntp_cfg_t *
+ * 限定条件：仅供 net_cfg.c 组 [sntp] 段描述符交配置引擎（net_cfg_load 编排）；
+ *          分层门禁 layer-deps：本模块不 include cfg_file.h，段注册集中在
+ *          net_cfg.c（同层基线文件）完成
+ */
+sntp_cfg_t *sntp_cfg_data(void);
+
+/*
+ * 函数功能：取工厂默认值（引擎注册 p_defaults 指向）
+ * 入口参数：无
+ * 返回值：工厂默认结构指针（只读，恒非空）  const sntp_cfg_t *
+ * 限定条件：同上，net_cfg.c 组段描述符专用
+ */
+const sntp_cfg_t *sntp_cfg_defaults(void);
+
+/*
+ * 函数功能：取 [sntp] 段 RAM 副本（只读）
+ * 入口参数：无
+ * 返回值：恒非 NULL（静态常驻，load 前初值 = 工厂默认）  const sntp_cfg_t *
+ * 限定条件：无
+ * 函数说明：defaultTask poll 重载瞬间可能读到撕裂值——IPv4 4 字节 / uint16
+ *          在本平台是单条 LDR 指令天然原子，enable 单字节同理；即便撕裂，
+ *          SNTP 客户端最坏多用一次旧值，下一轮自愈（配置变更本就罕见）
+ */
+const sntp_cfg_t *sntp_cfg_get(void);
+
+/*
+ * 函数功能：更新 RAM 副本（不写盘）
+ * 入口参数：p_new - 新配置（NULL 忽略）  const sntp_cfg_t *
+ * 返回值：无
+ * 限定条件：UI 编辑路径专用（net_cfg_set 同口径）；写盘须走
+ *          net_cfg_save_request 整档链（属主 defaultTask）
+ */
+void sntp_cfg_set(const sntp_cfg_t *p_new);
+
+/*
+ * 函数功能：取轮询周期（带外自愈读出口）
+ * 入口参数：无
+ * 返回值：合法范围内 = 存储值；0 或 >1440 = 工厂默认 60  uint16_t
+ * 限定条件：无
+ * 函数说明：不改写 RAM 副本（UI 显示的仍是用户写的原值，避免"保存后
+ *          数字自己变了"的困惑）；消费方（time_sntp）用本口而非裸字段
+ */
+uint16_t sntp_cfg_poll_min(void);
+
+#ifdef __cplusplus
+}
+#endif
+
+#endif /* SNTP_CFG_H */

Drivers/BSP/UI/ui_font_cn_12.c

@@ -437,6 +437,11 @@ static LV_ATTRIBUTE_LARGE_CONST const uint8_t glyph_bitmap[] = {
     0x9f, 0x52, 0x2a, 0x7d, 0x48, 0xa9, 0x11, 0x26,
     0x60,
 
+    /* U+52A1 "务" */
+    0x10, 0x7, 0xf1, 0x44, 0x7, 0x3, 0x19, 0x90,
+    0xc2, 0x3, 0xfc, 0x10, 0x82, 0x10, 0x82, 0x21,
+    0x80,
+
     /* U+52A8 "动" */
     0x1, 0xe, 0x20, 0x4, 0x1, 0xff, 0x92, 0x42,
     0x50, 0x4a, 0x89, 0x89, 0x3f, 0x44, 0x8, 0x82,
@@ -515,6 +520,11 @@ static LV_ATTRIBUTE_LARGE_CONST const uint8_t glyph_bitmap[] = {
     0xc8, 0x9, 0x7d, 0x28, 0xa5, 0xf5, 0x0, 0xc0,
     0x70,
 
+    /* U+5668 "器" */
+    0x7b, 0xc9, 0x49, 0xef, 0x2, 0x40, 0x45, 0xff,
+    0xc2, 0x81, 0x8c, 0xc0, 0x6f, 0x79, 0x29, 0x3d,
+    0xe0,
+
     /* U+56DE "回" */
     0xff, 0xe0, 0x18, 0x6, 0x79, 0x92, 0x64, 0x99,
     0xe6, 0x1, 0x80, 0x7f, 0xf8, 0x4,
@@ -549,6 +559,11 @@ static LV_ATTRIBUTE_LARGE_CONST const uint8_t glyph_bitmap[] = {
     0x52, 0xaa, 0x76, 0x40, 0xcc, 0x57, 0x35, 0x81,
     0x10,
 
+    /* U+5907 "备" */
+    0x10, 0x7, 0xf1, 0x44, 0x7, 0x3, 0x19, 0x80,
+    0xcf, 0xe1, 0x24, 0x3f, 0x84, 0x90, 0xfe, 0x10,
+    0x40,
+
     /* U+590D "复" */
     0x3f, 0xe8, 0x2, 0xff, 0x10, 0x23, 0xfc, 0x40,
     0x8f, 0xf0, 0x80, 0x3f, 0xca, 0x10, 0x3c, 0x38,
@@ -800,6 +815,10 @@ static LV_ATTRIBUTE_LARGE_CONST const uint8_t glyph_bitmap[] = {
     0x3f, 0xc8, 0x12, 0x4, 0xff, 0x20, 0x48, 0x13,
     0xfc, 0x81, 0x40, 0x50, 0x18, 0x1c,
 
+    /* U+670D "服" */
+    0x7b, 0xe9, 0x45, 0x28, 0xbd, 0x64, 0xa0, 0x97,
+    0xde, 0xaa, 0x55, 0x4a, 0x49, 0x56, 0x6c, 0x80,
+
     /* U+671F "期" */
     0x48, 0x9, 0x3f, 0xf4, 0xa4, 0x97, 0x9e, 0x92,
     0x5e, 0x4a, 0x4f, 0xfd, 0x20, 0x25, 0x24, 0xc3,
@@ -1515,24 +1534,24 @@ static const lv_font_fmt_txt_glyph_dsc_t glyph_dsc[] = {
     {.bitmap_index = 898, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 915, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 932, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 949, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 949, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 963, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 966, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
-    {.bitmap_index = 979, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 980, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 995, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 996, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1012, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1012, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1028, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1029, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1045, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1045, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1061, .adv_w = 192, .box_w = 9, .box_h = 10, .ofs_x = 1, .ofs_y = -1},
+    {.bitmap_index = 1062, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1073, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1078, .adv_w = 192, .box_w = 9, .box_h = 10, .ofs_x = 1, .ofs_y = -1},
-    {.bitmap_index = 1089, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1090, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1106, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1123, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1140, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1157, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1174, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1191, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 1191, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1205, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1208, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1222, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1225, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
     {.bitmap_index = 1239, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1256, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1273, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
@@ -1540,29 +1559,29 @@ static const lv_font_fmt_txt_glyph_dsc_t glyph_dsc[] = {
     {.bitmap_index = 1307, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1324, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1341, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1358, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1358, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1374, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1375, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1391, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1392, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1408, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1409, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1425, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1442, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1459, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 1459, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1473, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1476, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1490, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1493, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1507, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1510, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
     {.bitmap_index = 1524, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1541, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1558, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1575, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1575, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1591, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1592, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1608, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1609, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1625, .adv_w = 192, .box_w = 9, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 1626, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1639, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1642, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1656, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1659, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1673, .adv_w = 192, .box_w = 9, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 1676, .adv_w = 192, .box_w = 9, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
-    {.bitmap_index = 1687, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1690, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1704, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1707, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 1721, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 1724, .adv_w = 192, .box_w = 9, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
     {.bitmap_index = 1738, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1755, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 1772, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
@@ -1583,132 +1602,136 @@ static const lv_font_fmt_txt_glyph_dsc_t glyph_dsc[] = {
     {.bitmap_index = 2027, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 2044, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 2061, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2078, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2078, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2094, .adv_w = 192, .box_w = 9, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 2095, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2107, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2112, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2124, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2129, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2140, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2145, .adv_w = 192, .box_w = 9, .box_h = 11, .ofs_x = 1, .ofs_y = -2},
-    {.bitmap_index = 2157, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2158, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2171, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2175, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2188, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2191, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2205, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2208, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2222, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2222, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2239, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2238, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2256, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2255, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2273, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2272, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2290, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2289, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2307, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2306, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2324, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2323, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2341, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2340, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2358, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2357, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2375, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2374, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2392, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2391, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2408, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2408, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2424, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2425, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2441, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2442, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2458, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2459, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2475, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2475, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2492, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2491, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2509, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2508, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2526, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2525, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2543, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2542, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2560, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2559, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2577, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2576, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2594, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2593, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2611, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2610, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2628, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2627, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2645, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2644, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2662, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2661, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2679, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2678, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2693, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2695, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2710, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2712, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2727, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2729, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2744, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 2746, .adv_w = 192, .box_w = 10, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2759, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2760, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2776, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2777, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2793, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2794, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2810, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2811, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
     {.bitmap_index = 2826, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2843, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2843, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2859, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2860, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2876, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2877, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 2893, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2910, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2910, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2927, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2926, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2944, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2943, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2961, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2960, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2978, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2977, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 2995, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 2994, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3012, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3011, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3029, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3028, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3046, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3045, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3063, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3062, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3080, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3079, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3097, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3096, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3114, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3113, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3131, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3130, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3148, .adv_w = 192, .box_w = 9, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 3147, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3162, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3164, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3179, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3181, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3196, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3198, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3213, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3215, .adv_w = 192, .box_w = 9, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
-    {.bitmap_index = 3230, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3229, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3247, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3246, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3264, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3263, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3281, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3280, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3298, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3297, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3315, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3314, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3332, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3331, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3349, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3348, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3366, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3365, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3383, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3382, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3400, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3399, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3417, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3416, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3434, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3433, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3451, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3450, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3468, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3467, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3485, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3484, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3502, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3501, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3519, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3518, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3536, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3535, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3553, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3552, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3570, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3569, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3587, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3586, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3604, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3603, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3621, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3620, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3638, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3637, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3655, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3654, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3672, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3671, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3689, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3688, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3706, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3705, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3723, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3722, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3740, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3739, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 3756, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 3773, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 3790, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3807, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3807, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3824, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3823, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3841, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3840, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3858, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3857, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3875, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3874, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3892, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 3891, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3907, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 3908, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3922, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
+    {.bitmap_index = 3925, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3937, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3942, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 3954, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3959, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
-    {.bitmap_index = 3971, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3974, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
-    {.bitmap_index = 3988, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 3989, .adv_w = 192, .box_w = 10, .box_h = 12, .ofs_x = 1, .ofs_y = -2},
-    {.bitmap_index = 4005, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 4004, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 4022, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 4021, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 4038, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 4055, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
     {.bitmap_index = 4072, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 4089, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 4089, .adv_w = 192, .box_w = 11, .box_h = 11, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 4106, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 4105, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 4123, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 4122, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 4140, .adv_w = 192, .box_w = 2, .box_h = 4, .ofs_x = 2, .ofs_y = 0},
+    {.bitmap_index = 4139, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 4141, .adv_w = 192, .box_w = 2, .box_h = 6, .ofs_x = 2, .ofs_y = 0},
+    {.bitmap_index = 4156, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
-    {.bitmap_index = 4143, .adv_w = 165, .box_w = 8, .box_h = 10, .ofs_x = 1, .ofs_y = -1} /* U+25B6 */
+    {.bitmap_index = 4173, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 4190, .adv_w = 192, .box_w = 11, .box_h = 12, .ofs_x = 0, .ofs_y = -2},
+    {.bitmap_index = 4207, .adv_w = 192, .box_w = 2, .box_h = 4, .ofs_x = 2, .ofs_y = 0},
+    {.bitmap_index = 4208, .adv_w = 192, .box_w = 2, .box_h = 6, .ofs_x = 2, .ofs_y = 0},
+    {.bitmap_index = 4210, .adv_w = 165, .box_w = 8, .box_h = 10, .ofs_x = 1, .ofs_y = -1} /* U+25B6 */
 };
 
 /*---------------------
@@ -1719,31 +1742,32 @@ static const uint16_t unicode_list_1[] = {
     0x0, 0x1, 0x2, 0x2ca0, 0x2ca9, 0x2caa, 0x2cad, 0x2cdb,
     0x2d2b, 0x2d2c, 0x2d44, 0x2d96, 0x2ded, 0x2dee, 0x2dfc, 0x2e7d,
     0x2e81, 0x2edc, 0x3005, 0x300c, 0x3011, 0x3013, 0x3039, 0x309a,
-    0x30a6, 0x30d6, 0x30ea, 0x30ed, 0x3148, 0x31b6, 0x31da, 0x322b,
+    0x30a6, 0x30d6, 0x30ea, 0x30ed, 0x3141, 0x3148, 0x31b6, 0x31da,
-    0x323f, 0x3262, 0x326c, 0x3271, 0x3276, 0x3283, 0x328f, 0x3297,
+    0x322b, 0x323f, 0x3262, 0x326c, 0x3271, 0x3276, 0x3283, 0x328f,
-    0x32a8, 0x32cc, 0x32cf, 0x32ea, 0x3308, 0x357e, 0x3580, 0x3594,
+    0x3297, 0x32a8, 0x32cc, 0x32cf, 0x32ea, 0x3308, 0x3508, 0x357e,
-    0x35d0, 0x35e0, 0x362b, 0x367f, 0x37ad, 0x37b6, 0x37d1, 0x39f0,
+    0x3580, 0x3594, 0x35d0, 0x35e0, 0x362b, 0x367f, 0x37a7, 0x37ad,
-    0x39f7, 0x39f8, 0x3a3a, 0x3a3e, 0x3a66, 0x3c92, 0x3cc7, 0x3cd8,
+    0x37b6, 0x37d1, 0x39f0, 0x39f7, 0x39f8, 0x3a3a, 0x3a3e, 0x3a66,
-    0x3d14, 0x3d2f, 0x3d46, 0x3d96, 0x3da0, 0x3da2, 0x3daf, 0x3db5,
+    0x3c92, 0x3cc7, 0x3cd8, 0x3d14, 0x3d2f, 0x3d46, 0x3d96, 0x3da0,
-    0x3dda, 0x3df2, 0x3df3, 0x3df5, 0x3ea1, 0x3edb, 0x3f02, 0x3f0f,
+    0x3da2, 0x3daf, 0x3db5, 0x3dda, 0x3df2, 0x3df3, 0x3df5, 0x3ea1,
-    0x40d7, 0x40eb, 0x4135, 0x4136, 0x4144, 0x4145, 0x420e, 0x4229,
+    0x3edb, 0x3f02, 0x3f0f, 0x40d7, 0x40eb, 0x4135, 0x4136, 0x4144,
-    0x4245, 0x4247, 0x4249, 0x436d, 0x43d6, 0x43de, 0x43e5, 0x43e8,
+    0x4145, 0x420e, 0x4229, 0x4245, 0x4247, 0x4249, 0x436d, 0x43d6,
-    0x4410, 0x4414, 0x4480, 0x4485, 0x4496, 0x44de, 0x45a0, 0x45a8,
+    0x43de, 0x43e5, 0x43e8, 0x4410, 0x4414, 0x4480, 0x4485, 0x4496,
-    0x45bf, 0x45ca, 0x45cc, 0x45da, 0x461f, 0x4685, 0x46a7, 0x46c1,
+    0x44de, 0x45a0, 0x45a8, 0x45ad, 0x45bf, 0x45ca, 0x45cc, 0x45da,
-    0x46d7, 0x4760, 0x48c1, 0x49c0, 0x49c1, 0x4a03, 0x4a1b, 0x4a55,
+    0x461f, 0x4685, 0x46a7, 0x46c1, 0x46d7, 0x4760, 0x48c1, 0x49c0,
-    0x4ae2, 0x4b00, 0x4b82, 0x4be1, 0x4beb, 0x4c28, 0x4ca5, 0x4cc9,
+    0x49c1, 0x4a03, 0x4a1b, 0x4a55, 0x4ae2, 0x4b00, 0x4b82, 0x4be1,
-    0x4f59, 0x50e7, 0x50e8, 0x5156, 0x5177, 0x518c, 0x53c8, 0x53d5,
+    0x4beb, 0x4c28, 0x4ca5, 0x4cc9, 0x4f59, 0x50e7, 0x50e8, 0x5156,
-    0x53ec, 0x5571, 0x5594, 0x55ab, 0x5685, 0x56a1, 0x570c, 0x570e,
+    0x5177, 0x518c, 0x53c8, 0x53d5, 0x53ec, 0x5571, 0x5594, 0x55ab,
-    0x57da, 0x5872, 0x58ab, 0x5937, 0x596b, 0x5979, 0x598f, 0x59cc,
+    0x5685, 0x56a1, 0x570c, 0x570e, 0x57da, 0x5872, 0x58ab, 0x5937,
-    0x5b1b, 0x5b9b, 0x5d5f, 0x5d68, 0x5d7f, 0x5d8d, 0x5d94, 0x5df1,
+    0x596b, 0x5979, 0x598f, 0x59cc, 0x5b1b, 0x5b9b, 0x5d5f, 0x5d68,
-    0x5e0e, 0x5fba, 0x608a, 0x6122, 0x614f, 0x61a3, 0x6217, 0x66ec,
+    0x5d7f, 0x5d8d, 0x5d94, 0x5df1, 0x5e0e, 0x5fba, 0x608a, 0x6122,
-    0x6765, 0x6a06, 0x6a41, 0x6a44, 0x6a4f, 0x6a50, 0x6a5e, 0x6a82,
+    0x614f, 0x61a3, 0x6217, 0x66ec, 0x6765, 0x6a06, 0x6a41, 0x6a44,
-    0x6a85, 0x6a8f, 0x6a97, 0x6a9b, 0x6bbf, 0x6bc5, 0x6c2a, 0x6c93,
+    0x6a4f, 0x6a50, 0x6a5e, 0x6a82, 0x6a85, 0x6a8f, 0x6a97, 0x6a9b,
-    0x6e0f, 0x6e1d, 0x6e33, 0x6e67, 0x6e70, 0x6e71, 0x6e74, 0x6ea0,
+    0x6bbf, 0x6bc5, 0x6c2a, 0x6c93, 0x6e0f, 0x6e1d, 0x6e33, 0x6e67,
-    0x6ea1, 0x6eba, 0x6ef3, 0x6f05, 0x6f88, 0x6fed, 0x7067, 0x706d,
+    0x6e70, 0x6e71, 0x6e74, 0x6ea0, 0x6ea1, 0x6eba, 0x6ef3, 0x6f05,
-    0x706f, 0x733f, 0x7345, 0x73a1, 0x73b9, 0x741f, 0x7488, 0x748d,
+    0x6f88, 0x6fed, 0x7067, 0x706d, 0x706f, 0x733f, 0x7345, 0x73a1,
-    0x7494, 0x7498, 0x74d2, 0x7504, 0x753c, 0x7596, 0x7602, 0x7715,
+    0x73b9, 0x741f, 0x7488, 0x748d, 0x7494, 0x7498, 0x74d2, 0x7504,
-    0x7731, 0x7828, 0x7836, 0x792c, 0x7d78, 0xddac, 0xddba
+    0x753c, 0x7596, 0x7602, 0x7715, 0x7731, 0x7828, 0x7836, 0x792c,
+    0x7d78, 0xddac, 0xddba
 };
 
 /*Collect the unicode lists and glyph_id offsets*/
@@ -1754,12 +1778,12 @@ static const lv_font_fmt_txt_cmap_t cmaps[] =
         .unicode_list = NULL, .glyph_id_ofs_list = NULL, .list_length = 0, .type = LV_FONT_FMT_TXT_CMAP_FORMAT0_TINY
     },
     {
-        .range_start = 9654, .range_length = 1, .glyph_id_start = 319,
+        .range_start = 9654, .range_length = 1, .glyph_id_start = 323,
         .unicode_list = NULL, .glyph_id_ofs_list = NULL, .list_length = 0, .type = LV_FONT_FMT_TXT_CMAP_FORMAT0_TINY
     },
     {
         .range_start = 8544, .range_length = 56763, .glyph_id_start = 96,
-        .unicode_list = unicode_list_1, .glyph_id_ofs_list = NULL, .list_length = 223, .type = LV_FONT_FMT_TXT_CMAP_SPARSE_TINY
+        .unicode_list = unicode_list_1, .glyph_id_ofs_list = NULL, .list_length = 227, .type = LV_FONT_FMT_TXT_CMAP_SPARSE_TINY
     }
 };
 

Drivers/BSP/UI/ui_page_oper.c

@@ -5,8 +5,8 @@
  *           注入 reader 取自 sys_log（/log/oper.log，容量上限 512 条，满时删除重建）；
  *           空日志显示单条伪行"无记录"；向框架 ui_content_page 提供页面描述符（零 LVGL 对象）
  * 记录口径（本文件只读显示、不实现写入方；权威表 App/log/README.md §五类记录）：
- *           触发判据 = 人工/远端操作留痕：定值保存、强制复归、对时（8888 与 104）、清除记录；
+ *           触发判据 = 人工/远端操作留痕：定值保存、强制复归、对时（SNTP 与 104）、清除记录；
- *           写入点   = App/task/default_task.c（定值保存）、App/protocol/iec104/iec104_pts.c（复归与整定写入）、App/task/iec104_serv.c 与 App/sync/time_sync.c（对时）、App/log/sys_log_mcu.c（清除记录留痕，OPER 自身除外）；
+ *           写入点   = App/task/default_task.c（定值保存）、App/protocol/iec104/iec104_pts.c（复归与整定写入）、App/task/iec104_serv.c 与 App/sync/time_sntp.c（对时）、App/log/sys_log_mcu.c（清除记录留痕，OPER 自身除外）；
  *           "记录类型 = 日志 ID 本身"（一类记录一个文件，记录体内没有类型字段位，
  *           Lead 裁定 2026-10-26）——本页只读 oper.log 一个文件，不做跨文件混排。
  * 台架待补（不在本批，已登记 docs/任务规划/登记簿.md）：真 NAND 上真实记录的翻页读取、

Drivers/BSP/UI/ui_page_registry.c

@@ -26,6 +26,7 @@
 #include "ui_page_runlog.h"
 #include "ui_page_runreport.h"
 #include "ui_page_selftest.h"
+#include "ui_page_sntp.h"
 #include "ui_page_soe.h"
 #include "ui_page_start.h"
 #include "ui_page_view_param.h"
@@ -58,6 +59,7 @@ const ui_page_entry_t g_ui_page_map[UI_PAGE_MAP_COUNT] = {
     {  27u, &ui_page_clear_desc },   /* node 27  清除记录 */
     {  29u, &ui_page_comm_desc },   /* node 29  通讯设置 */
     {  30u, &ui_page_net_cfg_desc },   /* node 30  网口设置 */
+    {  31u, &ui_page_sntp_desc },   /* node 31  SNTP设置 */
     {  33u, &ui_page_soe_desc },   /* node 33  SOE记录 */
     {  34u, &ui_page_accident_desc },   /* node 34  事故记录 */
     {  35u, &ui_page_oper_desc },   /* node 35  操作记录 */

Drivers/BSP/UI/ui_page_registry.h

@@ -25,7 +25,7 @@ typedef struct {
     const content_page_def_t *desc;  /* 页面描述符（Flash const） */
 } ui_page_entry_t;
 
-#define UI_PAGE_MAP_COUNT  30u   /* 绑定了内容页的叶子数 */
+#define UI_PAGE_MAP_COUNT  31u   /* 绑定了内容页的叶子数 */
 
 extern const ui_page_entry_t g_ui_page_map[UI_PAGE_MAP_COUNT];
 

Drivers/BSP/UI/ui_page_sntp.c

@@ -0,0 +1,431 @@
+/*
+ * 模块名称：UI Page SNTP (SNTP设置内容页)
+ * 模块功能：SNTP设置叶子节点的内容页数据 + 行为——5 行列表（启用/主服务器/
+ *           备服务器/周期(分) + 保存行，5 行每页共 1 页）；
+ *           行槽顶 = 24+14i、选中白带 x=2..156 高 13、名 x=4 / 值 x=54；
+ *           值取自 sntp_cfg RAM 副本（[sntp] 段，defaultTask 上电自 Flash
+ *           加载，net_cfg_load 统一注册）；
+ *           编辑模式：ENTER 进选中编辑行（地址行 = 字节光标反显，周期行 =
+ *           整值反显），↑↓ 调值、←→ 移字节光标 / 粗调周期、ENTER 确认退出；
+ *           启用行为开关行：可编辑态 ENTER 直接切换（无字节光标）；
+ *           权限：edit_capable=1——查看密码 → 只读（编辑/保存键无效），
+ *           修改密码 → 可编辑；保存行 ENTER → 投递保存请求
+ *           （net_cfg_save_request 整档链：属主任务 defaultTask 写盘；
+ *           [sntp] 消费方每轮直读 RAM 副本 + 网络代次重建自动收口，
+ *           无需独立 apply 通道）；保存行值随交接状态显示
+ *           ENTER/WAIT/OK/ERR；
+ *           向框架 ui_content_page 提供页面描述符（零 LVGL 对象）
+ * 适用平台：STM32F407ZGTx / PC 模拟器（两端共用）
+ * 作者：王建锋
+ * 创建日期：2026-11-04
+ * 修改记录：
+ *     v1.0  2026-11-04  王建锋  创建初始版本（板端 SNTP 客户端接入，#57 调研结论；
+ *                               布局/编辑语义复刻 ui_page_net_cfg.c 先例）
+ */
+
+/* 头文件包含区 */
+#include <string.h>
+
+#include "ui_page_sntp.h"
+
+#include "net_cfg.h"    /* net_cfg_fmt_ipv4 + 整档保存请求链（save request/state） */
+
+#include "sntp_cfg.h"
+
+#include "ui_tokens.h"
+
+/* 私有宏定义区 */
+
+/*
+ * 布局取值：行骨架用 ui_tokens.h 的列表页令牌（UI_LIST_TOP / UI_ROW_PITCH /
+ * UI_ROW_BAND_H / UI_BUF_STRLEN），本文件只留本页私有的两列 x 与行数
+ * （与网口设置页同栅格：值列 ≥54，IPv4 定长 15 字符 90px 止于 143，在
+ * 选中白带 x=2..156 内）。
+ */
+#define SN_ROW_COUNT     5u     /* 1 开关行 + 2 地址行 + 1 周期行 + 1 保存行 */
+#define SN_EN_ROW        0u     /* 启用（开关行） */
+#define SN_ADDR_ROW_MIN  1u     /* 地址行范围 1..2（主/备服务器） */
+#define SN_ADDR_ROW_MAX  2u
+#define SN_POLL_ROW      3u     /* 周期行（分钟） */
+#define SN_SAVE_ROW      4u     /* 保存行下标 */
+#define SN_LEFT_X        4      /* 左列 x（名） */
+#define SN_RIGHT_X       54     /* 右列 x（值） */
+
+/* 周期编辑步进与合法带（与 sntp_cfg.h getter 带一致；带外读回 60 自愈） */
+#define SN_POLL_MIN      1u
+#define SN_POLL_MAX      1440u
+#define SN_POLL_BIG_STEP 60u
+
+/* 静态变量定义区 */
+
+/* 页面运行态（每次开页经 init_cb 重置；约 2 B） */
+static uint8_t s_editing;    /* 1 = 编辑中（被编辑行 = 当前选中行） */
+static uint8_t s_cursor;     /* 地址行编辑活动字节（0..3） */
+
+/* 函数定义区 */
+
+/*
+ * 函数功能：判断两区域是否相交（与 ui_content_page.c / ui_page_net_cfg.c 同实现）
+ * 入口参数：a - 区域 1  const lv_area_t *
+ *           b - 区域 2  const lv_area_t *
+ * 返回值：true - 相交；false - 不相交
+ * 限定条件：无
+ */
+static bool sn_areas_intersect(const lv_area_t *a, const lv_area_t *b) {
+    int32_t x1 = (a->x1 > b->x1) ? a->x1 : b->x1;
+    int32_t y1 = (a->y1 > b->y1) ? a->y1 : b->y1;
+    int32_t x2 = (a->x2 < b->x2) ? a->x2 : b->x2;
+    int32_t y2 = (a->y2 < b->y2) ? a->y2 : b->y2;
+
+    return (x1 <= x2 && y1 <= y2);
+}
+
+/*
+ * 函数功能：生成指定地址行的值串（与 refresh 值列同源，编辑光标定位与行文本一致）
+ * 入口参数：row - 地址行下标（1..2）  uint16_t
+ *           p_buf - 输出缓冲（≥ UI_BUF_STRLEN）  char *
+ * 返回值：无
+ * 限定条件：p_buf 非空
+ * 函数说明："192.168.001.100"（每段 3 位补零定长，字节 i 恒在字符 4i 起），
+ *          与网口设置页 IP 行同格式（net_cfg_fmt_ipv4）
+ */
+static void sn_fmt_addr(uint16_t row, char *p_buf) {
+    const sntp_cfg_t *cfg = sntp_cfg_get();
+    const uint8_t *field = (row == SN_ADDR_ROW_MIN) ? cfg->server_pri : cfg->server_bak;
+
+    net_cfg_fmt_ipv4(field, p_buf, UI_BUF_STRLEN);
+}
+
+/*
+ * 函数功能：动态行刷新（逐行取名/值）
+ * 入口参数：row   - 行下标（0..4）  uint16_t
+ *           name  - 名缓冲（≥ UI_BUF_STRLEN，框架栈缓冲）  char *
+ *           value - 值缓冲（≥ UI_BUF_STRLEN，框架栈缓冲）  char *
+ * 返回值：无
+ * 限定条件：页面打开（框架绘制链内逐行调用）
+ * 函数说明：周期行显示 RAM 副本原值（不做带外回显换算——带外值经
+ *          sntp_cfg_poll_min() 读回 60 属消费侧自愈口径，UI 忠实显示
+ *          用户写入值，避免"保存后数字自己变了"）；
+ *          保存行值随保存交接状态（net_cfg_save_state）显示 ENTER/WAIT/OK/ERR
+ */
+static void sn_refresh(uint16_t row, char *name, char *value) {
+    const sntp_cfg_t *cfg = sntp_cfg_get();
+
+    name[0] = '\0';
+    value[0] = '\0';
+
+    switch (row) {
+        case SN_EN_ROW:
+            (void)memcpy(name, "启用", sizeof("启用"));
+            if (cfg->enable != 0u) {
+                (void)memcpy(value, "开启", sizeof("开启"));
+            }
+            else {
+                (void)memcpy(value, "关闭", sizeof("关闭"));
+            }
+            break;
+        case SN_ADDR_ROW_MIN:
+            (void)memcpy(name, "主服务器", sizeof("主服务器"));
+            sn_fmt_addr(SN_ADDR_ROW_MIN, value);
+            break;
+        case SN_ADDR_ROW_MAX:
+            (void)memcpy(name, "备服务器", sizeof("备服务器"));
+            sn_fmt_addr(SN_ADDR_ROW_MAX, value);
+            break;
+        case SN_POLL_ROW:
+            (void)memcpy(name, "周期(分)", sizeof("周期(分)"));
+            (void)lv_snprintf(value, UI_BUF_STRLEN, "%u", (unsigned)cfg->poll_min);
+            break;
+        case SN_SAVE_ROW:
+            (void)memcpy(name, "保存", sizeof("保存"));
+            switch (net_cfg_save_state()) {
+                case NET_CFG_SAVE_ST_WAIT:
+                    (void)memcpy(value, "WAIT", sizeof("WAIT"));
+                    break;
+                case NET_CFG_SAVE_ST_OK:
+                    (void)memcpy(value, "OK", sizeof("OK"));
+                    break;
+                case NET_CFG_SAVE_ST_FAIL:
+                    (void)memcpy(value, "ERR", sizeof("ERR"));
+                    break;
+                default:
+                    (void)memcpy(value, "ENTER", sizeof("ENTER"));
+                    break;
+            }
+            break;
+        default:
+            break;
+    }
+}
+
+/*
+ * 函数功能：切换启用开关（只改 RAM 副本）
+ * 入口参数：无
+ * 返回值：无
+ * 限定条件：可编辑权限（key_cb 已把门）
+ */
+static void sn_toggle_enable(void) {
+    sntp_cfg_t cfg = *sntp_cfg_get();
+
+    cfg.enable = (cfg.enable != 0u) ? 0u : 1u;
+    sntp_cfg_set(&cfg);
+}
+
+/*
+ * 函数功能：调整被编辑地址行的活动字节（0..255 环绕，实时落 RAM 副本）
+ * 入口参数：row   - 地址行下标（1..2）  uint16_t
+ *           delta - 调整方向（>0 = +1，<0 = -1）  int8_t
+ * 返回值：无
+ * 限定条件：编辑模式（s_cursor 有效）
+ * 函数说明：只改 RAM 副本；写盘须显式经保存行投递 net_cfg_save_request
+ *          （net_cfg_adjust_octet 同口径）
+ */
+static void sn_adjust_octet(uint16_t row, int8_t delta) {
+    sntp_cfg_t cfg = *sntp_cfg_get();
+    uint8_t *field = (row == SN_ADDR_ROW_MIN) ? cfg.server_pri : cfg.server_bak;
+
+    field[s_cursor] = (uint8_t)((field[s_cursor] + ((delta > 0) ? 1u : 255u)) % 256u);
+    sntp_cfg_set(&cfg);
+}
+
+/*
+ * 函数功能：调整周期（分钟）值（实时落 RAM 副本）
+ * 入口参数：step - 步长（有符号；±1 在 1..1440 带内环绕，±60 触带钳位）  int16_t
+ * 返回值：无
+ * 限定条件：编辑模式（选中周期行）
+ */
+static void sn_adjust_poll(int16_t step) {
+    sntp_cfg_t cfg = *sntp_cfg_get();
+    int32_t v = (int32_t)cfg.poll_min;
+
+    if (v < (int32_t)SN_POLL_MIN || v > (int32_t)SN_POLL_MAX) {
+        v = (int32_t)SNTP_CFG_DEF_POLL_MIN;    /* 带外起点先落回默认再步进 */
+    }
+    if (step == 1) {
+        v = (v >= (int32_t)SN_POLL_MAX) ? (int32_t)SN_POLL_MIN : (v + 1);
+    }
+    else if (step == -1) {
+        v = (v <= (int32_t)SN_POLL_MIN) ? (int32_t)SN_POLL_MAX : (v - 1);
+    }
+    else {
+        v += step;    /* ±60 粗调：钳带不环绕（大步进环绕会跨带跳变，失序） */
+        if (v < (int32_t)SN_POLL_MIN) {
+            v = (int32_t)SN_POLL_MIN;
+        }
+        if (v > (int32_t)SN_POLL_MAX) {
+            v = (int32_t)SN_POLL_MAX;
+        }
+    }
+    cfg.poll_min = (uint16_t)v;
+    sntp_cfg_set(&cfg);
+}
+
+/*
+ * 函数功能：页面自绘（编辑模式：选中行值内活动区域反显）
+ * 入口参数：layer - 绘制层  lv_layer_t *
+ *           clip  - 重绘区  const lv_area_t *
+ * 返回值：无
+ * 限定条件：页面打开（框架绘制链末尾调用）
+ * 函数说明：非编辑模式无附加绘制（行/带/页脚全由框架）；地址行编辑 = 活动
+ *          字节反显（同网口设置页），周期行编辑 = 整值反显；
+ *          1bpp：black=暗底 white=亮字
+ */
+static void sn_draw_cb(lv_layer_t *layer, const lv_area_t *clip) {
+    char value[UI_BUF_STRLEN];
+    lv_area_t box;
+    uint32_t start;
+    uint32_t seg_len;
+    int32_t slot_y;
+    int32_t x0;
+    int32_t w;
+    uint16_t sel;
+
+    if (s_editing == 0u || ui_content_page_is_editable() == false) {
+        return;
+    }
+
+    sel = ui_content_page_selected_row();
+    if (sel == SN_ADDR_ROW_MIN || sel == SN_ADDR_ROW_MAX) {
+        sn_fmt_addr(sel, value);
+        start = (uint32_t)s_cursor * 4u;    /* 字节 i 字符偏移 4i（%03u + 点） */
+        seg_len = 3u;
+    }
+    else if (sel == SN_POLL_ROW) {
+        (void)lv_snprintf(value, UI_BUF_STRLEN, "%u",
+                          (unsigned)sntp_cfg_get()->poll_min);
+        start = 0u;
+        seg_len = (uint32_t)strlen(value);  /* 周期行：整值反显 */
+    }
+    else {
+        return;    /* 防御：开关行/保存行不进编辑态，无光标可画 */
+    }
+
+    slot_y = UI_LIST_TOP + (int32_t)sel * UI_ROW_PITCH;
+    x0 = SN_RIGHT_X + (int32_t)lv_text_get_width(value, start, LV_FONT_DEFAULT, 0);
+    w = (int32_t)lv_text_get_width(value + start, seg_len, LV_FONT_DEFAULT, 0);
+
+    box.x1 = x0 - 1;
+    box.x2 = x0 + w;
+    box.y1 = slot_y;
+    box.y2 = slot_y + UI_ROW_BAND_H - 1;
+    if (!sn_areas_intersect(&box, clip)) {
+        return;    /* 编辑光标不在重绘区：跳过（culling） */
+    }
+
+    /* 反显：黑底白字（与选中行白带黑字相反，方能在带内凸显活动段） */
+    lv_draw_rect_dsc_t fd;
+
+    lv_draw_rect_dsc_init(&fd);
+    fd.base.layer = layer;
+    fd.bg_color = UI_COL_BG;
+    fd.bg_opa = LV_OPA_COVER;
+    lv_draw_rect(layer, &fd, &box);
+
+    {
+        lv_draw_label_dsc_t ld;
+        char seg[8];    /* 段文本：地址 3 字符 / 周期 ≤4 字符，+ '\0' */
+
+        /* 只绘制"段文本"本身（防 LVGL 按 coords 宽折行溢出，见网口设置页同注释） */
+        memcpy(seg, value + start, seg_len);
+        seg[seg_len] = '\0';
+
+        lv_draw_label_dsc_init(&ld);
+        ld.base.layer = layer;
+        ld.text = seg;
+        ld.text_static = 0u;    /* 栈缓冲（同帧有效） */
+        ld.color = UI_COL_FG;
+        ld.ofs_x = 1;           /* box.x1 = x0-1，+1 = x0（与框架行文本原点一致） */
+        ld.ofs_y = 0;           /* 与行文本垂直对齐（text_dy = 0） */
+        lv_draw_label(layer, &ld, &box);
+    }
+}
+
+/*
+ * 函数功能：页面按键处理（列表页 + 编辑模式）
+ * 入口参数：key - LVGL 键值  lv_key_t
+ * 返回值：true - 页已处理（框架跳过内置语义）；false - 未处理
+ * 限定条件：页面打开；经框架键分发调用（uiTask 上下文）
+ * 函数说明： 1. 编辑模式（地址行/周期行）：地址行 ↑↓ 调活动字节（0..255
+ *              环绕）、←→ 移字节光标（首↔末环绕）；周期行 ↑↓ ±1 分带内环绕、
+ *              ←→ ±60 分钳带；ENTER 确认退出编辑（值已实时落 RAM 副本）；
+ *              ESC 恒关页（框架保证，未保存调整留在 RAM，下次开页重显、
+ *              不写盘、重启失效——网口设置页同口径）
+ *           2. 正常模式：ENTER 启用行 → 直接切换开关；ENTER 地址行/周期行 →
+ *              进编辑模式；ENTER 保存行 → 投递整档保存请求
+ *              net_cfg_save_request（属主任务 defaultTask 写盘，[sntp] 段
+ *              随档落盘；消费方每轮直读 RAM 副本，网络代次重建自动收口）；
+ *              ↑↓ 落框架移选、← 落框架关页；只读态 ENTER 一律忽略
+ */
+static bool sn_key_cb(lv_key_t key) {
+    uint16_t sel = ui_content_page_selected_row();
+
+    if (s_editing != 0u) {
+        if (sel < SN_ADDR_ROW_MIN || sel > SN_POLL_ROW) {
+            s_editing = 0u;    /* 防御：编辑中选中行越界（编辑态移选被拦截，不应发生） */
+            return false;
+        }
+
+        switch (key) {
+            case LV_KEY_UP:
+                if (sel == SN_POLL_ROW) {
+                    sn_adjust_poll(1);
+                }
+                else {
+                    sn_adjust_octet(sel, 1);
+                }
+                ui_content_page_invalidate();
+                return true;
+            case LV_KEY_DOWN:
+                if (sel == SN_POLL_ROW) {
+                    sn_adjust_poll(-1);
+                }
+                else {
+                    sn_adjust_octet(sel, -1);
+                }
+                ui_content_page_invalidate();
+                return true;
+            case LV_KEY_LEFT:
+                if (sel == SN_POLL_ROW) {
+                    sn_adjust_poll(-(int16_t)SN_POLL_BIG_STEP);
+                }
+                else {
+                    s_cursor = (uint8_t)((s_cursor + 3u) % 4u);    /* 光标左移，首绕末 */
+                }
+                ui_content_page_invalidate();
+                return true;
+            case LV_KEY_RIGHT:
+                if (sel == SN_POLL_ROW) {
+                    sn_adjust_poll((int16_t)SN_POLL_BIG_STEP);
+                }
+                else {
+                    s_cursor = (uint8_t)((s_cursor + 1u) % 4u);    /* 光标右移，末绕首 */
+                }
+                ui_content_page_invalidate();
+                return true;
+            case LV_KEY_ENTER:
+                s_editing = 0u;    /* 确认（值已在 RAM 副本）；退出编辑 */
+                ui_content_page_invalidate();
+                return true;
+            default:
+                return false;     /* ESC 框架恒关页；其余键落内置忽略 */
+        }
+    }
+
+    if (key == LV_KEY_ENTER && ui_content_page_is_editable() != false) {
+        if (sel == SN_EN_ROW) {
+            sn_toggle_enable();
+            ui_content_page_invalidate();
+            return true;
+        }
+        if (sel >= SN_ADDR_ROW_MIN && sel <= SN_POLL_ROW) {
+            s_editing = 1u;
+            s_cursor = 0u;
+            ui_content_page_invalidate();
+            return true;
+        }
+        if (sel == SN_SAVE_ROW) {
+            (void)net_cfg_save_request();   /* 投递整档保存请求：属主任务写盘 */
+            ui_content_page_invalidate();
+            return true;
+        }
+    }
+
+    return false;
+}
+
+/*
+ * 函数功能：重置页面运行态
+ * 入口参数：无
+ * 返回值：无
+ * 限定条件：框架 ui_content_page_open 内调用（开页后一次）
+ * 函数说明：页面模块静态态不随屏/容器建毁自动复位，须自重置（编辑态/光标）
+ */
+static void sn_init_cb(void) {
+    s_editing = 0u;
+    s_cursor = 0u;
+}
+
+/*
+ * 页面描述符（外部链接：生成物 ui_page_registry.c 按菜单树 #page=sntp 绑定引用）：
+ * 列表页（5 行 1 页，动态值）+ 可编辑（edit_capable，还须修改权限）
+ * + ← 拦截（编辑模式移字节光标/粗调周期；ESC 恒不可拦截）
+ */
+const content_page_def_t ui_page_sntp_desc = {
+    .id = "sntp",
+    .title = "SNTP设置",
+    .selectable = 1u,
+    .key_intercept = 1u,
+    .edit_capable = 1u,
+    .top_y = UI_LIST_TOP,
+    .pitch = UI_ROW_PITCH,
+    .band_h = UI_ROW_BAND_H,
+    .text_dy = 0,
+    .left_x = SN_LEFT_X,
+    .right_x = SN_RIGHT_X,
+    .rows_per_page = SN_ROW_COUNT,
+    .row_count = SN_ROW_COUNT,
+    .refresh = sn_refresh,
+    .init_cb = sn_init_cb,
+    .draw_cb = sn_draw_cb,
+    .key_cb = sn_key_cb,
+};

Drivers/BSP/UI/ui_page_sntp.h

@@ -0,0 +1,30 @@
+/*
+ * 模块名称：UI Page SNTP (SNTP设置内容页)
+ * 模块功能：SNTP设置叶子节点的内容页描述符（5 行列表：启用/主服务器/
+ *          备服务器/周期(分) + 保存行；可编辑页：修改权限下 ENTER 进编辑、
+ *          地址行 ↑↓ 调字节 ←→ 移光标、周期行 ↑↓ ±1 ←→ ±60、
+ *          保存行 ENTER 投递整档保存请求，属主任务写盘）
+ * 适用平台：STM32F407ZGTx / PC 模拟器（两端共用）
+ * 作者：王建锋
+ * 创建日期：2026-11-04
+ * 修改记录：
+ *     v1.0  2026-11-04  王建锋  创建初始版本（板端 SNTP 客户端接入）
+ */
+
+#ifndef UI_PAGE_SNTP_H
+#define UI_PAGE_SNTP_H
+
+#include "ui_content_page.h"
+
+#ifdef __cplusplus
+extern "C" {
+#endif
+
+/* 页面描述符（生成物 ui_page_registry.c 按菜单树 #page=sntp 注记绑定引用；.id = "sntp"） */
+extern const content_page_def_t ui_page_sntp_desc;
+
+#ifdef __cplusplus
+}
+#endif
+
+#endif /* UI_PAGE_SNTP_H */

Lib/coreSNTP/LICENSE

@@ -0,0 +1,19 @@
+MIT License
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

Lib/coreSNTP/core_sntp_serializer.c

@@ -0,0 +1,845 @@
+/*
+ * coreSNTP
+ * Copyright (C) 2021 Amazon.com, Inc. or its affiliates.  All Rights Reserved.
+ *
+ * SPDX-License-Identifier: MIT
+ *
+ * Permission is hereby granted, free of charge, to any person obtaining a copy of
+ * this software and associated documentation files (the "Software"), to deal in
+ * the Software without restriction, including without limitation the rights to
+ * use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of
+ * the Software, and to permit persons to whom the Software is furnished to do so,
+ * subject to the following conditions:
+ *
+ * The above copyright notice and this permission notice shall be included in all
+ * copies or substantial portions of the Software.
+ *
+ * THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+ * IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS
+ * FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR
+ * COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER
+ * IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN
+ * CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
+ */
+
+/**
+ * @file core_sntp_serializer.c
+ * @brief Implementation of the Serializer API of the coreSNTP library.
+ */
+
+/* Standard includes. */
+#include <string.h>
+#include <stdbool.h>
+#include <assert.h>
+
+/* Include API header. */
+#include "core_sntp_serializer.h"
+
+#include "core_sntp_config_defaults.h"
+
+/**
+ * @brief The version of SNTP supported by the coreSNTP library by complying
+ * with the SNTPv4 specification defined in [RFC 4330](https://tools.ietf.org/html/rfc4330).
+ */
+#define SNTP_VERSION                        ( 4U )
+
+/**
+ * @brief The bit mask for the "Mode" information in the first byte of an SNTP packet.
+ * The "Mode" field occupies bits 0-2 of the byte.
+ * @note Refer to the [RFC 4330 Section 4](https://tools.ietf.org/html/rfc4330#section-4)
+ * for more information.
+ */
+#define SNTP_MODE_BITS_MASK                 ( 0x07U )
+
+/**
+ * @brief The value indicating a "client" in the "Mode" field of an SNTP packet.
+ * @note Refer to the [RFC 4330 Section 4](https://tools.ietf.org/html/rfc4330#section-4)
+ * for more information.
+ */
+#define SNTP_MODE_CLIENT                    ( 3U )
+
+/**
+ * @brief The value indicating a "server" in the "Mode" field of an SNTP packet.
+ * @note Refer to the [RFC 4330 Section 4](https://tools.ietf.org/html/rfc4330#section-4)
+ * for more information.
+ */
+#define SNTP_MODE_SERVER                    ( 4U )
+
+/**
+ * @brief The position of the least significant bit of the "Leap Indicator" field
+ * in first byte of an SNTP packet. The "Leap Indicator" field occupies bits 6-7 of the byte.
+ * @note Refer to the [RFC 4330 Section 4](https://tools.ietf.org/html/rfc4330#section-4)
+ * for more information.
+ */
+#define SNTP_LEAP_INDICATOR_LSB_POSITION    ( 6 )
+
+/**
+ * @brief Value of Stratum field in SNTP packet representing a Kiss-o'-Death message
+ * from server.
+ */
+#define SNTP_KISS_OF_DEATH_STRATUM          ( 0U )
+
+/**
+ * @brief The position of least significant bit of the "Version" information
+ * in the first byte of an SNTP packet. "Version" field occupies bits 3-5 of
+ * the byte.
+ * @note Refer to the [RFC 4330 Section 4](https://tools.ietf.org/html/rfc4330#section-4)
+ * for more information.
+ */
+#define SNTP_VERSION_LSB_POSITION           ( 3 )
+
+/**
+ * @brief The integer value of the Kiss-o'-Death ASCII code, "DENY", used
+ * for comparison with data in an SNTP response.
+ * @note Refer to [RFC 4330 Section 8](https://tools.ietf.org/html/rfc4330#section-8)
+ * for more information.
+ */
+#define KOD_CODE_DENY_UINT_VALUE            ( 0x44454e59U )
+
+/**
+ * @brief The integer value of the Kiss-o'-Death ASCII code, "RSTR", used
+ * for comparison with data in an SNTP response.
+ * @note Refer to [RFC 4330 Section 8](https://tools.ietf.org/html/rfc4330#section-8)
+ * for more information.
+ */
+#define KOD_CODE_RSTR_UINT_VALUE            ( 0x52535452U )
+
+/**
+ * @brief The integer value of the Kiss-o'-Death ASCII code, "RATE", used
+ * for comparison with data in an SNTP response.
+ * @note Refer to [RFC 4330 Section 8](https://tools.ietf.org/html/rfc4330#section-8)
+ * for more information.
+ */
+#define KOD_CODE_RATE_UINT_VALUE            ( 0x52415445U )
+
+/**
+ * @brief Macro to represent exactly half of the total number of seconds in an NTP era.
+ * As 32 bits are used to represent the "seconds" part of an SNTP timestamp, the half of
+ * the total range of seconds in an NTP era is 2^31 seconds, which represents ~68 years.
+ *
+ * @note This macro represents the edge case of calculating the client system clock-offset
+ * relative to server time as the library ASSUMES that the client and server times are within
+ * 2^31 seconds apart in duration. This is done to support calculating clock-offset for the
+ * cases when server and client systems are in adjacent NTP eras, which can occur when NTP time
+ * wraps around in 2036, and the relative NTP era presence of client and server times is
+ * determined based on comparing first order difference values between all possible NTP era
+ * configurations of the systems.
+ */
+#define CLOCK_OFFSET_MAX_TIME_DIFFERENCE    ( ( ( ( int64_t ) INT32_MAX + 1 ) * 1000 ) )
+
+/**
+ * @brief Macro to represent the total number of milliseconds that are represented in an
+ * NTP era period. This macro represents a duration of ~136 years.
+ *
+ * @note Rationale for calculation: The "seconds" part of an NTP timestamp is represented in
+ * unsigned 32 bit width, thus, the total range of seconds it represents is 2^32,
+ * i.e. (UINT32_MAX + 1).
+ */
+#define TOTAL_MILLISECONDS_IN_NTP_ERA       ( ( ( int64_t ) UINT32_MAX + 1 ) * 1000 )
+
+/**
+ * @brief Structure representing an SNTP packet header.
+ * For more information on SNTP packet format, refer to
+ * [RFC 4330 Section 4](https://tools.ietf.org/html/rfc4330#section-4).
+ *
+ * @note This does not include extension fields for authentication data
+ * for secure SNTP communication. Authentication data follows the
+ * packet header represented by this structure.
+ */
+typedef struct SntpPacket
+{
+    /**
+     * @brief Bits 6-7 leap indicator, bits 3-5 are version number, bits 0-2 are mode
+     */
+    uint8_t leapVersionMode;
+
+    /**
+     * @brief stratum
+     */
+    uint8_t stratum;
+
+    /**
+     * @brief poll interval
+     */
+    uint8_t poll;
+
+    /**
+     * @brief precision
+     */
+    uint8_t precision;
+
+    /**
+     * @brief root delay
+     */
+    uint32_t rootDelay;
+
+    /**
+     * @brief root dispersion
+     */
+    uint32_t rootDispersion;
+
+    /**
+     * @brief reference ID
+     */
+    uint32_t refId;
+
+    /**
+     * @brief reference time
+     */
+    SntpTimestamp_t refTime;
+
+    /**
+     * @brief origin timestamp
+     */
+    SntpTimestamp_t originTime;
+
+    /**
+     * @brief receive timestamp
+     */
+    SntpTimestamp_t receiveTime;
+
+    /**
+     * @brief transmit timestamp
+     */
+    SntpTimestamp_t transmitTime;
+} SntpPacket_t;
+
+/**
+ * @brief Utility macro to fill 32-bit integer in word-sized
+ * memory in network byte (or Big Endian) order.
+ *
+ * @param[out] pWordMemory Pointer to the word-sized memory in which
+ * the 32-bit integer will be filled.
+ * @param[in] data The 32-bit integer to fill in the @p wordMemory
+ * in network byte order.
+ *
+ * @note This utility ensures that data is filled in memory
+ * in expected network byte order, as an assignment operation
+ * (like *pWordMemory = word) can cause undesired side-effect
+ * of network-byte ordering getting reversed on Little Endian platforms.
+ */
+static void fillWordMemoryInNetworkOrder( uint32_t * pWordMemory,
+                                          uint32_t data )
+{
+    uint8_t * pByteMemory = ( uint8_t * ) pWordMemory;
+
+    assert( pWordMemory != NULL );
+
+    pByteMemory[ 0 ] = ( uint8_t ) ( data >> 24 );
+    pByteMemory[ 1 ] = ( uint8_t ) ( ( data >> 16 ) & 0x000000FFU );
+    pByteMemory[ 2 ] = ( uint8_t ) ( ( data >> 8 ) & 0x000000FFU );
+    pByteMemory[ 3 ] = ( uint8_t ) ( ( data ) & 0x000000FFU );
+}
+
+/**
+ * @brief Utility macro to generate a 32-bit integer from memory containing
+ * integer in network (or Big Endian) byte order.
+ * @param[in] ptr Pointer to the memory containing 32-bit integer in network
+ * byte order.
+ *
+ * @return The host representation of the 32-bit integer in the passed word
+ * memory.
+ */
+static uint32_t readWordFromNetworkByteOrderMemory( const uint32_t * ptr )
+{
+    const uint8_t * pMemStartByte = ( const uint8_t * ) ptr;
+
+    assert( ptr != NULL );
+
+    return ( uint32_t ) ( ( ( ( uint32_t ) pMemStartByte[ 0 ] ) << 24 ) |
+                          ( 0x00FF0000U & ( ( ( uint32_t ) pMemStartByte[ 1 ] ) << 16 ) ) |
+                          ( 0x0000FF00U & ( ( ( uint32_t ) pMemStartByte[ 2 ] ) << 8 ) ) |
+                          ( ( uint32_t ) pMemStartByte[ 3 ] ) );
+}
+
+/**
+ * @brief Utility to return absolute (or positively signed) value of an signed
+ * 64 bit integer.
+ *
+ * @param[in] value The integer to return the absolute value of.
+ *
+ * @return The absolute value of @p value.
+ */
+static int64_t absoluteOf( int64_t value )
+{
+    return ( value >= 0 ) ? value : ( ( int64_t ) 0 - value );
+}
+
+/**
+ * @brief Utility to determine whether a timestamp represents a zero
+ * timestamp value.
+ *
+ * @note This utility is used to determine whether a timestamp value is
+ * invalid. According to the SNTPv4 specification, a zero timestamp value
+ * is considered invalid.
+ *
+ * @param[in] pTime The timestamp whose value is to be inspected for
+ * zero value.
+ *
+ * @return `true` if the timestamp is zero; otherwise `false`.
+ */
+static bool isZeroTimestamp( const SntpTimestamp_t * pTime )
+{
+    bool isSecondsZero = ( pTime->seconds == 0U ) ? true : false;
+    bool isFractionsZero = ( pTime->fractions == 0U ) ? true : false;
+
+    return( isSecondsZero && isFractionsZero );
+}
+
+/**
+ * @brief Utility to convert the "fractions" part of an SNTP timestamp to milliseconds
+ * duration of time.
+ * @param[in] fractions The fractions value.
+ *
+ * @return The milliseconds equivalent of the @p fractions value.
+ */
+static uint32_t fractionsToMs( uint32_t fractions )
+{
+    return( fractions / ( 1000U * SNTP_FRACTION_VALUE_PER_MICROSECOND ) );
+}
+
+/**
+ * @brief Utility to safely calculate difference between server and client timestamps and
+ * return the difference in the resolution of milliseconds as a signed 64 bit integer.
+ * The calculated value represents the effective subtraction as ( @p serverTimeSec - @p clientTimeSec ).
+ *
+ * @note This utility SUPPORTS the cases of server and client timestamps being in different NTP eras,
+ * and ASSUMES that the server and client systems are within 68 years of each other.
+ * To handle the case of different NTP eras, this function calculates difference values for all
+ * possible combinations of NTP eras of server and client times (i.e. 1. both timestamps in same era,
+ * 2. server timestamp one era ahead, and 3. client timestamp being one era ahead), and determines
+ * the NTP era configuration by choosing the difference value of the smallest absolute value.
+ *
+ * @param[in] pServerTime The server timestamp.
+ * @param[in] pClientTime The client timestamp.
+ *
+ * @return The calculated difference between server and client times as a signed 64 bit integer.
+ */
+static int64_t safeTimeDifference( const SntpTimestamp_t * pServerTime,
+                                   const SntpTimestamp_t * pClientTime )
+{
+    int64_t eraAdjustedDiff = 0;
+
+    /* Convert the timestamps into 64 bit signed integer values of milliseconds. */
+    int64_t serverTime = ( ( int64_t ) pServerTime->seconds * 1000 ) + ( int64_t ) fractionsToMs( pServerTime->fractions );
+    int64_t clientTime = ( ( int64_t ) pClientTime->seconds * 1000 ) + ( int64_t ) fractionsToMs( pClientTime->fractions );
+
+    /* The difference between the 2 timestamps is calculated by determining the whether the timestamps
+     * are present in the same NTP era or adjacent NTP eras (i.e. the NTP timestamp overflow case). */
+
+    /* First, calculate the first order time difference assuming that server and client times
+     * are in the same NTP era. */
+    int64_t diffWithNoEraAdjustment = serverTime - clientTime;
+
+    /* Store the absolute value of the time difference which will be used for comparison with
+     * different cases of relative NTP era configuration of client and server times. */
+    int64_t absSameEraDiff = absoluteOf( diffWithNoEraAdjustment );
+
+    /* If the absolute difference value is 2^31 seconds, it means that the server and client times are
+     * away by exactly half the range of SNTP timestamp "second" values representable in unsigned 32 bits.
+     * In such a case, irrespective of whether the 2 systems exist in the same or adjacent NTP eras, the
+     * time difference calculated between the systems will ALWAYS yield the same value when viewed from
+     * all NTP era configurations of the times.
+     * For such a case, we will ASSUME that the server time is AHEAD of client time, and thus, generate
+     * a positive clock-offset value.
+     */
+    if( absSameEraDiff == CLOCK_OFFSET_MAX_TIME_DIFFERENCE )
+    {
+        /* It does not matter whether server and client are in the same era for this
+         * special case as the difference value for both same and adjacent eras will yield
+         * the same absolute value of 2^31.*/
+        eraAdjustedDiff = CLOCK_OFFSET_MAX_TIME_DIFFERENCE;
+    }
+    else
+    {
+        /* Determine if server time belongs to an NTP era different than the client time, and accordingly
+         * choose the 64 bit representation of the first order difference to account for the era.
+         * The logic for determining the relative era presence of the timestamps is by calculating the
+         * first order difference (of "Server Time - Client Time") for all the 3 different era combinations
+         * (1. both timestamps in same era, 2. server time one era ahead, 3. client time one era ahead)
+         * and choosing the NTP era configuration that has the smallest first order difference value.
+         */
+        int64_t diffWithServerEraAdjustment = serverTime + TOTAL_MILLISECONDS_IN_NTP_ERA -
+                                              clientTime;                                     /* This helps determine whether server is an
+                                                                                               * era ahead of client time. */
+        int64_t diffWithClientEraAdjustment = serverTime -
+                                              ( TOTAL_MILLISECONDS_IN_NTP_ERA + clientTime ); /* This helps determine whether server is an
+                                                                                               * era behind of client time. */
+
+        /* Store the absolute value equivalents of all the time difference configurations
+         * for easier comparison to smallest value from them. */
+        int64_t absServerEraAheadDiff = absoluteOf( diffWithServerEraAdjustment );
+        int64_t absClientEraAheadDiff = absoluteOf( diffWithClientEraAdjustment );
+
+        /* Determine the correct relative era of client and server times by checking which era
+         * configuration of difference value represents the least difference. */
+        if( ( absSameEraDiff <= absServerEraAheadDiff ) && ( absSameEraDiff <= absClientEraAheadDiff ) )
+        {
+            /* Both server and client times are in the same era. */
+            eraAdjustedDiff = diffWithNoEraAdjustment;
+        }
+        /* Check if server time is an NTP era ahead of client time. */
+        else if( absServerEraAheadDiff < absSameEraDiff )
+        {
+            /* Server time is in NTP era 1 while client time is in NTP era 0. */
+            eraAdjustedDiff = diffWithServerEraAdjustment;
+        }
+        /* Now, we know that the client time is an era ahead of server time. */
+        else
+        {
+            /* Server time is in NTP era 0 while client time is in NTP era 1. */
+            eraAdjustedDiff = diffWithClientEraAdjustment;
+        }
+    }
+
+    return eraAdjustedDiff;
+}
+
+/**
+ * @brief Utility to calculate clock offset of system relative to the
+ * server using the on-wire protocol specified in the NTPv4 specification.
+ * For more information on on-wire protocol, refer to
+ * [RFC 5905 Section 8](https://tools.ietf.org/html/rfc5905#section-8).
+ *
+ * @note The following diagram explains the calculation of the clock
+ * offset:
+ *
+ *                 T2      T3
+ *      ---------------------------------   <-----   *SNTP/NTP server*
+ *               /\         \
+ *               /           \
+ *     Request* /             \ *Response*
+ *             /              \/
+ *      ---------------------------------   <-----   *SNTP client*
+ *           T1                T4
+ *
+ *  The four most recent timestamps, T1 through T4, are used to compute
+ *  the clock offset of SNTP client relative to the server where:
+ *
+ *     T1 = Client Request Transmit Time
+ *     T2 = Server Receive Time (of client request)
+ *     T3 = Server Response Transmit Time
+ *     T4 = Client Receive Time (of server response)
+ *
+ *  Clock Offset = T(NTP/SNTP server) - T(SNTP client)
+ *               = [( T2 - T1 ) + ( T3 - T4 )]
+ *                 ---------------------------
+ *                              2
+ *
+ * @note Both NTPv4 and SNTPv4 specifications suggest calculating the
+ * clock offset value, if possible. As the timestamp format uses 64 bit
+ * integer and there exist 2 orders of arithmetic calculations on the
+ * timestamp values (subtraction followed by addition as shown in the
+ * diagram above), the clock offset for the system can be calculated
+ * ONLY if the value can be represented in 62 significant bits and 2 sign
+ * bits i.e. if the system clock is within 34 years (in the future or past)
+ * of the server time.
+ *
+ * @param[in] pClientTxTime The system time of sending the SNTP request.
+ * This is the same as "T1" in the above diagram.
+ * @param[in] pServerRxTime The server time of receiving the SNTP request
+ * packet from the client. This is the same as "T2" in the above diagram.
+ * @param[in] pServerTxTime The server time of sending the SNTP response
+ * packet. This is the same as "T3" in the above diagram.
+ * @param[in] pClientRxTime The system time of receiving the SNTP response
+ * from the server. This is the same as "T4" in the above diagram.
+ * @param[out] pClockOffset This will be filled with the calculated offset value
+ * of the system clock relative to the server time with the assumption that the
+ * system clock is within 68 years of server time.
+ */
+static void calculateClockOffset( const SntpTimestamp_t * pClientTxTime,
+                                  const SntpTimestamp_t * pServerRxTime,
+                                  const SntpTimestamp_t * pServerTxTime,
+                                  const SntpTimestamp_t * pClientRxTime,
+                                  int64_t * pClockOffset )
+{
+    /* Variable for storing the first-order difference between timestamps. */
+    int64_t firstOrderDiffSend = 0;
+    int64_t firstOrderDiffRecv = 0;
+
+    assert( pClientTxTime != NULL );
+    assert( pServerRxTime != NULL );
+    assert( pServerTxTime != NULL );
+    assert( pClientRxTime != NULL );
+    assert( pClockOffset != NULL );
+
+    /* Perform first order difference of timestamps on the network send path i.e. T2 - T1.
+     * Note: The calculated difference value will always represent years in the range of
+     *[-68 years, +68 years]. */
+    firstOrderDiffSend = safeTimeDifference( pServerRxTime, pClientTxTime );
+
+    /* Perform first order difference of timestamps on the network receive path i.e. T3 - T4.
+     * Note: The calculated difference value will always represent years in the range of
+     *[-68 years, +68 years]. */
+    firstOrderDiffRecv = safeTimeDifference( pServerTxTime, pClientRxTime );
+
+    /* Now calculate the system clock-offset relative to server time as the average of the
+     * first order difference of timestamps in both directions of network path.
+     * Note: This will ALWAYS represent offset in the range of [-68 years, +68 years]. */
+    *pClockOffset = ( firstOrderDiffSend + firstOrderDiffRecv ) / 2;
+}
+
+/**
+ * @brief Parse a SNTP response packet by determining whether it is a rejected
+ * or accepted response to an SNTP request, and accordingly, populate the
+ * @p pParsedResponse parameter with the parsed data.
+ *
+ * @note If the server has rejected the request with the a Kiss-o'-Death message,
+ * then this function will set the associated rejection code in the output parameter
+ * while setting the remaining members to zero.
+ * If the server has accepted the time request, then the function will set the
+ * rejectedResponseCode member of the output parameter to #SNTP_KISS_OF_DEATH_CODE_NONE,
+ * and set the other the members with appropriate data extracted from the response
+ * packet.
+ *
+ * @param[in] pResponsePacket The SNTP response packet from server to parse.
+ * @param[in] pRequestTxTime The system time (in SNTP timestamp format) of
+ * sending the SNTP request to server.
+ * @param[in] pResponseRxTime The system time (in SNTP timestamp format) of
+ * receiving the SNTP response from server.
+ * @param[out] pParsedResponse The parameter that will be populated with data
+ * parsed from the response packet, @p pResponsePacket.
+ *
+ * @return This function returns one of the following:
+ * - #SntpSuccess if the server response does not represent a Kiss-o'-Death
+ * message.
+ * - #SntpRejectedResponseChangeServer if the server rejected with a code
+ * indicating that client cannot be retry requests to it.
+ * - #SntpRejectedResponseRetryWithBackoff if the server rejected with a code
+ * indicating that client should back-off before retrying request.
+ * - #SntpRejectedResponseOtherCode if the server rejected with a code
+ * other than "DENY", "RSTR" and "RATE".
+ */
+static SntpStatus_t parseValidSntpResponse( const SntpPacket_t * pResponsePacket,
+                                            const SntpTimestamp_t * pRequestTxTime,
+                                            const SntpTimestamp_t * pResponseRxTime,
+                                            SntpResponseData_t * pParsedResponse )
+{
+    SntpStatus_t status = SntpSuccess;
+
+    assert( pResponsePacket != NULL );
+    assert( pResponseRxTime != NULL );
+    assert( pParsedResponse != NULL );
+
+    /* Clear the output parameter memory to zero. */
+    ( void ) memset( pParsedResponse, 0, sizeof( *pParsedResponse ) );
+
+    /* Determine if the server has accepted or rejected the request for time. */
+    if( pResponsePacket->stratum == SNTP_KISS_OF_DEATH_STRATUM )
+    {
+        /* Server has sent a Kiss-o'-Death message i.e. rejected the request. */
+
+        /* Extract the kiss-code sent by the server from the "Reference ID" field
+         * of the SNTP packet. */
+        pParsedResponse->rejectedResponseCode =
+            readWordFromNetworkByteOrderMemory( &pResponsePacket->refId );
+
+        /* Determine the return code based on the Kiss-o'-Death code. */
+        switch( pParsedResponse->rejectedResponseCode )
+        {
+            case KOD_CODE_DENY_UINT_VALUE:
+            case KOD_CODE_RSTR_UINT_VALUE:
+                status = SntpRejectedResponseChangeServer;
+                break;
+
+            case KOD_CODE_RATE_UINT_VALUE:
+                status = SntpRejectedResponseRetryWithBackoff;
+                break;
+
+            default:
+                status = SntpRejectedResponseOtherCode;
+                break;
+        }
+    }
+    else
+    {
+        /* Server has responded successfully to the time request. */
+
+        SntpTimestamp_t serverRxTime;
+
+        /* Map of integer value to SntpLeapSecondInfo_t enumeration type for the
+         * "Leap Indicator" field in the first byte of an SNTP packet.
+         * Note: This map is used to not violate MISRA Rule 10.5 when directly
+         * converting an integer to enumeration type.
+         */
+        const SntpLeapSecondInfo_t leapIndicatorTypeMap[] =
+        {
+            NoLeapSecond,
+            LastMinuteHas61Seconds,
+            LastMinuteHas59Seconds,
+            AlarmServerNotSynchronized
+        };
+
+        /* Set the Kiss-o'-Death code value to NULL as server has responded favorably
+         * to the time request. */
+        pParsedResponse->rejectedResponseCode = SNTP_KISS_OF_DEATH_CODE_NONE;
+
+        /* Fill the output parameter with the server time which is the
+         * "transmit" time in the response packet. */
+        pParsedResponse->serverTime.seconds =
+            readWordFromNetworkByteOrderMemory( &pResponsePacket->transmitTime.seconds );
+        pParsedResponse->serverTime.fractions =
+            readWordFromNetworkByteOrderMemory( &pResponsePacket->transmitTime.fractions );
+
+        /* Extract information of any upcoming leap second from the response. */
+        pParsedResponse->leapSecondType = leapIndicatorTypeMap[
+            ( pResponsePacket->leapVersionMode >> SNTP_LEAP_INDICATOR_LSB_POSITION ) ];
+
+        /* Store the "receive" time in SNTP response packet in host order. */
+        serverRxTime.seconds =
+            readWordFromNetworkByteOrderMemory( &pResponsePacket->receiveTime.seconds );
+        serverRxTime.fractions =
+            readWordFromNetworkByteOrderMemory( &pResponsePacket->receiveTime.fractions );
+
+        /* Calculate system clock offset relative to server time, if possible, within
+         * the 64 bit integer width of the SNTP timestamp. */
+        calculateClockOffset( pRequestTxTime,
+                              &serverRxTime,
+                              &pParsedResponse->serverTime,
+                              pResponseRxTime,
+                              &pParsedResponse->clockOffsetMs );
+    }
+
+    return status;
+}
+
+
+SntpStatus_t Sntp_SerializeRequest( SntpTimestamp_t * pRequestTime,
+                                    uint32_t randomNumber,
+                                    void * pBuffer,
+                                    size_t bufferSize )
+{
+    SntpStatus_t status = SntpSuccess;
+
+    if( pRequestTime == NULL )
+    {
+        status = SntpErrorBadParameter;
+    }
+    else if( pBuffer == NULL )
+    {
+        status = SntpErrorBadParameter;
+    }
+    else if( bufferSize < SNTP_PACKET_BASE_SIZE )
+    {
+        status = SntpErrorBufferTooSmall;
+    }
+
+    /* Zero timestamps for client request time is not allowed to protect against
+     * attack spoofing server response containing zero value for "originate timestamp".
+     * Note: In SNTP/NTP communication, the "originate timestamp" of a valid server response
+     * matches the "transmit timestamp" in corresponding client request packet. */
+    else if( isZeroTimestamp( pRequestTime ) == true )
+    {
+        status = SntpErrorBadParameter;
+    }
+    else
+    {
+        /* MISRA Ref 11.5.1 [Void pointer assignment] */
+        /* More details at: https://github.com/FreeRTOS/coreSNTP/blob/main/MISRA.md#rule-115 */
+        /* coverity[misra_c_2012_rule_11_5_violation] */
+        SntpPacket_t * pRequestPacket = ( SntpPacket_t * ) pBuffer;
+
+        /* Fill the buffer with zero as most fields are zero for a standard SNTP
+         * request packet.*/
+        ( void ) memset( pBuffer, 0, sizeof( SntpPacket_t ) );
+
+        /* Set the first byte of the request packet for "Version" and "Mode" fields */
+        pRequestPacket->leapVersionMode = 0U /* Leap Indicator */ |
+                                          ( SNTP_VERSION << SNTP_VERSION_LSB_POSITION ) /* Version Number */ |
+                                          SNTP_MODE_CLIENT /* Mode */;
+
+
+        /* Add passed random number to non-significant bits of the fractions part
+         * of the transmit timestamp.
+         * This is suggested by the SNTPv4 (and NTPv4) specification(s)
+         * to protect against replay attacks. Refer to RFC 4330 Section 3 for
+         * more information.
+         * Adding random bits to the least significant 16 bits of the fractions
+         * part of the timestamp affects only ~15 microseconds of information
+         * (calculated as 0xFFFF * 232 picoseconds).
+         */
+        pRequestTime->fractions = ( pRequestTime->fractions
+                                    | ( randomNumber >> 16 ) );
+
+        /* Update the request buffer with request timestamp in network byte order. */
+        fillWordMemoryInNetworkOrder( &pRequestPacket->transmitTime.seconds,
+                                      pRequestTime->seconds );
+        fillWordMemoryInNetworkOrder( &pRequestPacket->transmitTime.fractions,
+                                      pRequestTime->fractions );
+    }
+
+    return status;
+}
+
+
+SntpStatus_t Sntp_DeserializeResponse( const SntpTimestamp_t * pRequestTime,
+                                       const SntpTimestamp_t * pResponseRxTime,
+                                       const void * pResponseBuffer,
+                                       size_t bufferSize,
+                                       SntpResponseData_t * pParsedResponse )
+{
+    SntpStatus_t status = SntpSuccess;
+    /* MISRA Ref 11.5.1 [Void pointer assignment] */
+    /* More details at: https://github.com/FreeRTOS/coreSNTP/blob/main/MISRA.md#rule-115 */
+    /* coverity[misra_c_2012_rule_11_5_violation] */
+    const SntpPacket_t * pResponsePacket = ( const SntpPacket_t * ) pResponseBuffer;
+
+    if( ( pRequestTime == NULL ) || ( pResponseRxTime == NULL ) ||
+        ( pResponseBuffer == NULL ) || ( pParsedResponse == NULL ) )
+    {
+        status = SntpErrorBadParameter;
+    }
+    else if( bufferSize < SNTP_PACKET_BASE_SIZE )
+    {
+        status = SntpErrorBufferTooSmall;
+    }
+
+    /* Zero timestamps for client request time is not allowed to protect against
+     * attack spoofing server response containing zero value for "originate timestamp".
+     * Note: In SNTP/NTP communication, the "originate timestamp" of a valid server response
+     * matches the "transmit timestamp" in corresponding client request packet. */
+    else if( isZeroTimestamp( pRequestTime ) == true )
+    {
+        status = SntpErrorBadParameter;
+    }
+    /* Check if the packet represents a server in the "Mode" field. */
+    else if( ( pResponsePacket->leapVersionMode & SNTP_MODE_BITS_MASK ) != SNTP_MODE_SERVER )
+    {
+        status = SntpInvalidResponse;
+    }
+
+    /* Check if any of the timestamps in the response packet are zero, which is invalid.
+     * Note: This is done to protect against a nuanced server spoofing attack where if the
+     * SNTP client resets its internal state of "Client transmit timestamp" (OR "originate
+     * timestamp" from server perspective) to zero as a protection against replay attack, an
+     * an attacker with this knowledge of the client operation can spoof a server response
+     * containing the "originate timestamp" as zero. Thus, to protect against such attack,
+     * a server response packet with any zero timestamp is rejected. */
+    else if( ( isZeroTimestamp( &pResponsePacket->originTime ) == true ) ||
+             ( isZeroTimestamp( &pResponsePacket->receiveTime ) == true ) ||
+             ( isZeroTimestamp( &pResponsePacket->transmitTime ) == true ) )
+    {
+        status = SntpInvalidResponse;
+    }
+
+
+    /* Validate that the server has sent the client's request timestamp in the
+     * "originate" timestamp field of the response. */
+    else if( ( pRequestTime->seconds !=
+               readWordFromNetworkByteOrderMemory( &pResponsePacket->originTime.seconds ) ) ||
+             ( pRequestTime->fractions !=
+               readWordFromNetworkByteOrderMemory( &pResponsePacket->originTime.fractions ) ) )
+
+    {
+        status = SntpInvalidResponse;
+    }
+    else
+    {
+        /* As the response packet is valid, parse more information from it and
+         * populate the output parameter. */
+
+        status = parseValidSntpResponse( pResponsePacket,
+                                         pRequestTime,
+                                         pResponseRxTime,
+                                         pParsedResponse );
+    }
+
+    return status;
+}
+
+SntpStatus_t Sntp_CalculatePollInterval( uint16_t clockFreqTolerance,
+                                         uint16_t desiredAccuracy,
+                                         uint32_t * pPollInterval )
+{
+    SntpStatus_t status = SntpSuccess;
+
+    if( ( clockFreqTolerance == 0U ) || ( desiredAccuracy == 0U ) || ( pPollInterval == NULL ) )
+    {
+        status = SntpErrorBadParameter;
+    }
+    else
+    {
+        uint32_t exactIntervalForAccuracy = 0U;
+        uint8_t log2PollInterval = 0U;
+
+        /* Calculate the poll interval required for achieving the exact desired clock accuracy
+         * with the following formulae:
+         *
+         * System Clock Drift Rate ( microseconds / second ) = Clock Frequency Tolerance (in PPM )
+         * Maximum Clock Drift ( milliseconds ) = Desired Accuracy ( milliseconds )
+         *
+         * Poll Interval ( seconds ) =     Maximum Clock Drift
+         *                              ---------------------------
+         *                                System Clock Drift Rate
+         *
+         *                           =  Maximum Drift ( milliseconds ) * 1000 ( microseconds / millisecond )
+         *                             ------------------------------------------------------------------------
+         *                                        System Clock Drift Rate ( microseconds / second )
+         *
+         *                           =    Desired Accuracy * 1000
+         *                             ------------------------------
+         *                               Clock Frequency Tolerance
+         */
+        exactIntervalForAccuracy = ( ( uint32_t ) desiredAccuracy * 1000U ) / clockFreqTolerance;
+
+        /* Check if calculated poll interval value falls in the supported range of seconds. */
+        if( exactIntervalForAccuracy == 0U )
+        {
+            /* Poll interval value is less than 1 second, and is not supported by the function. */
+            status = SntpZeroPollInterval;
+        }
+        else
+        {
+            /* To calculate the log 2 value of the exact poll interval value, first determine the highest
+             * bit set in the value. */
+            while( exactIntervalForAccuracy != 0U )
+            {
+                log2PollInterval++;
+                exactIntervalForAccuracy /= 2U;
+            }
+
+            /* Convert the highest bit in the exact poll interval value to the nearest integer
+             * value lower or equal to the log2 of the exact poll interval value. */
+            log2PollInterval--;
+
+            /* Calculate the poll interval as the closest exponent of 2 value that achieves
+             * equal or higher accuracy than the desired accuracy. */
+            *pPollInterval = ( ( ( uint32_t ) 1U ) << log2PollInterval );
+        }
+    }
+
+    return status;
+}
+
+SntpStatus_t Sntp_ConvertToUnixTime( const SntpTimestamp_t * pSntpTime,
+                                     uint32_t * pUnixTimeSecs,
+                                     uint32_t * pUnixTimeMicrosecs )
+{
+    SntpStatus_t status = SntpSuccess;
+
+    if( ( pSntpTime == NULL ) || ( pUnixTimeSecs == NULL ) || ( pUnixTimeMicrosecs == NULL ) )
+    {
+        status = SntpErrorBadParameter;
+    }
+
+    if( status == SntpSuccess )
+    {
+        /* Handle case when SNTP timestamp is in SNTP era 0 time range
+         * (i.e. time before 7 Feb 2036 6:28:15 UTC). */
+        if( pSntpTime->seconds >= SNTP_TIME_AT_UNIX_EPOCH_SECS )
+        {
+            *pUnixTimeSecs = pSntpTime->seconds - SNTP_TIME_AT_UNIX_EPOCH_SECS;
+        }
+        else
+        {
+            /* Handle case when timestamp represents date in SNTP era 1
+             * (i.e. time from 7 Feb 2036 6:28:16 UTC onwards). */
+            *pUnixTimeSecs = UNIX_TIME_SECS_AT_SNTP_ERA_1_SMALLEST_TIME + pSntpTime->seconds;
+        }
+
+        /* Convert SNTP fractions to microseconds for UNIX time. */
+        *pUnixTimeMicrosecs = pSntpTime->fractions / SNTP_FRACTION_VALUE_PER_MICROSECOND;
+    }
+
+    return status;
+}

Lib/coreSNTP/include/core_sntp_config.h

@@ -0,0 +1,24 @@
+/*
+ * 模块名称：coreSNTP 定制配置（本仓 glue 文件，非 vendor 原文）
+ * 模块功能：core_sntp_config_defaults.h 在**未**定义 SNTP_DO_NOT_USE_CUSTOM_CONFIG
+ *           时会包含本文件；本仓使用 vendor 库的 serializer 层，默认值即所需
+ *           ——日志宏 LogError/LogWarn/LogInfo/LogDebug 保持 defaults 的编译期
+ *           空实现：serializer 的失败路径都已有应用层 DBG 判读（time_sntp.c
+ *           在调用点按返回码记录），库内再开日志只增栈/Flash 不增信息量。
+ *           错误/丢弃类留痕统一放调用方（App/sync/time_sntp.c），
+ *           避免 vendor 文件与本仓日志栈耦合。
+ * 适用平台：STM32F407ZGTx / 主机单测（test/host/sntp）
+ * 作者：王建锋
+ * 创建日期：2026-11-04
+ * 修改记录：
+ *     v1.0  2026-11-04  王建锋  创建初始版本（SNTP 客户端接入 #57）
+ */
+
+#ifndef CORE_SNTP_CONFIG_H
+#define CORE_SNTP_CONFIG_H
+
+/* 本文件刻意不覆盖任何默认宏；如将来需要库内日志，在此映射：
+ *   #define LogError(message)  ...
+ * （注意 vendor 调用形态为 LogError(("..."))——参数自带外括号） */
+
+#endif /* CORE_SNTP_CONFIG_H */

Lib/coreSNTP/include/core_sntp_config_defaults.h

@@ -0,0 +1,144 @@
+/*
+ * coreSNTP
+ * Copyright (C) 2020 Amazon.com, Inc. or its affiliates.  All Rights Reserved.
+ *
+ * SPDX-License-Identifier: MIT
+ *
+ * Permission is hereby granted, free of charge, to any person obtaining a copy of
+ * this software and associated documentation files (the "Software"), to deal in
+ * the Software without restriction, including without limitation the rights to
+ * use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of
+ * the Software, and to permit persons to whom the Software is furnished to do so,
+ * subject to the following conditions:
+ *
+ * The above copyright notice and this permission notice shall be included in all
+ * copies or substantial portions of the Software.
+ *
+ * THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+ * IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS
+ * FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR
+ * COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER
+ * IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN
+ * CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
+ */
+
+/**
+ * @file core_sntp_config_defaults.h
+ * @brief This file represents the default values for the configuration macros
+ * of the coreSNTP library.
+ *
+ * @note This file SHOULD NOT be modified. If custom values are needed for
+ * any configuration macro, a core_sntp_config.h file should be provided to
+ * the SNTP library to override the default values defined in this file.
+ * To build the library with the core_sntp_config.h file, make sure to
+ * not set the SNTP_DO_NOT_USE_CUSTOM_CONFIG preprocessor macro.
+ */
+
+#ifndef CORE_SNTP_CONFIG_DEFAULTS_H_
+#define CORE_SNTP_CONFIG_DEFAULTS_H_
+
+/* The macro definition for SNTP_DO_NOT_USE_CUSTOM_CONFIG is for Doxygen
+ * documentation only. */
+
+/**
+ * @brief Define this macro to build the SNTP library without the custom config
+ * file core_sntp_config.h.
+ *
+ * Without the custom config, the SNTP library builds with
+ * default values of config macros defined in core_sntp_config_defaults.h file.
+ *
+ * If a custom config is provided, then SNTP_DO_NOT_USE_CUSTOM_CONFIG should not
+ * be defined.
+ */
+#ifdef DOXYGEN
+    #define SNTP_DO_NOT_USE_CUSTOM_CONFIG
+#endif
+
+/* SNTP_DO_NOT_USE_CUSTOM_CONFIG allows building the SNTP library
+ * without a custom config. If a custom config is provided, the
+ * SNTP_DO_NOT_USE_CUSTOM_CONFIG macro should not be defined. */
+#ifndef SNTP_DO_NOT_USE_CUSTOM_CONFIG
+    #include "core_sntp_config.h"
+#endif
+
+/**
+ * @brief Macro that is called in the SNTP library for logging "Error" level
+ * messages.
+ *
+ * To enable error level logging in the SNTP library, this macro should be mapped to the
+ * application-specific logging implementation that supports error logging.
+ *
+ * @note This logging macro is called in the SNTP library with parameters wrapped in
+ * double parentheses to be ISO C89/C90 standard compliant. For a reference
+ * POSIX implementation of the logging macros, refer to core_sntp_config.h files, and the
+ * logging-stack in demos folder of the
+ * [AWS IoT Embedded C SDK repository](https://github.com/aws/aws-iot-device-sdk-embedded-C).
+ *
+ * <b>Default value</b>: Error logging is turned off, and no code is generated for calls
+ * to the macro in the SNTP library on compilation.
+ */
+#ifndef LogError
+    #define LogError( message )
+#endif
+
+/**
+ * @brief Macro that is called in the SNTP library for logging "Warning" level
+ * messages.
+ *
+ * To enable warning level logging in the SNTP library, this macro should be mapped to the
+ * application-specific logging implementation that supports warning logging.
+ *
+ * @note This logging macro is called in the SNTP library with parameters wrapped in
+ * double parentheses to be ISO C89/C90 standard compliant. For a reference
+ * POSIX implementation of the logging macros, refer to core_sntp_config.h files, and the
+ * logging-stack in demos folder of the
+ * [AWS IoT Embedded C SDK repository](https://github.com/aws/aws-iot-device-sdk-embedded-C/).
+ *
+ * <b>Default value</b>: Warning logs are turned off, and no code is generated for calls
+ * to the macro in the SNTP library on compilation.
+ */
+#ifndef LogWarn
+    #define LogWarn( message )
+#endif
+
+/**
+ * @brief Macro that is called in the SNTP library for logging "Info" level
+ * messages.
+ *
+ * To enable info level logging in the SNTP library, this macro should be mapped to the
+ * application-specific logging implementation that supports info logging.
+ *
+ * @note This logging macro is called in the SNTP library with parameters wrapped in
+ * double parentheses to be ISO C89/C90 standard compliant. For a reference
+ * POSIX implementation of the logging macros, refer to core_sntp_config.h files, and the
+ * logging-stack in demos folder of the
+ * [AWS IoT Embedded C SDK repository](https://github.com/aws/aws-iot-device-sdk-embedded-C/).
+ *
+ * <b>Default value</b>: Info logging is turned off, and no code is generated for calls
+ * to the macro in the SNTP library on compilation.
+ */
+#ifndef LogInfo
+    #define LogInfo( message )
+#endif
+
+/**
+ * @brief Macro that is called in the SNTP library for logging "Debug" level
+ * messages.
+ *
+ * To enable debug level logging from SNTP library, this macro should be mapped to the
+ * application-specific logging implementation that supports debug logging.
+ *
+ * @note This logging macro is called in the SNTP library with parameters wrapped in
+ * double parentheses to be ISO C89/C90 standard compliant. For a reference
+ * POSIX implementation of the logging macros, refer to core_sntp_config.h files, and the
+ * logging-stack in demos folder of the
+ * [AWS IoT Embedded C SDK repository](https://github.com/aws/aws-iot-device-sdk-embedded-C/).
+ *
+ * <b>Default value</b>: Debug logging is turned off, and no code is generated for calls
+ * to the macro in the SNTP library on compilation.
+ */
+#ifndef LogDebug
+    #define LogDebug( message )
+#endif
+
+#endif /* ifndef CORE_SNTP_CONFIG_DEFAULTS_H_ */

Lib/coreSNTP/include/core_sntp_serializer.h

@@ -0,0 +1,521 @@
+/*
+ * coreSNTP
+ * Copyright (C) 2021 Amazon.com, Inc. or its affiliates.  All Rights Reserved.
+ *
+ * SPDX-License-Identifier: MIT
+ *
+ * Permission is hereby granted, free of charge, to any person obtaining a copy of
+ * this software and associated documentation files (the "Software"), to deal in
+ * the Software without restriction, including without limitation the rights to
+ * use, copy, modify, merge, publish, distribute, sublicense, and/or sell copies of
+ * the Software, and to permit persons to whom the Software is furnished to do so,
+ * subject to the following conditions:
+ *
+ * The above copyright notice and this permission notice shall be included in all
+ * copies or substantial portions of the Software.
+ *
+ * THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+ * IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY, FITNESS
+ * FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE AUTHORS OR
+ * COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER LIABILITY, WHETHER
+ * IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM, OUT OF OR IN
+ * CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE SOFTWARE.
+ */
+
+/**
+ * @file core_sntp_serializer.h
+ * @brief API for serializing SNTP request packets and, and de-serializing SNTP
+ * response packets.
+ * This API layer adheres to the SNTPv4 specification defined in
+ * [RFC 4330](https://tools.ietf.org/html/rfc4330).
+ */
+
+#ifndef CORE_SNTP_SERIALIZER_H_
+#define CORE_SNTP_SERIALIZER_H_
+
+/* Standard include. */
+#include <stdint.h>
+#include <stddef.h>
+
+/* *INDENT-OFF* */
+#ifdef __cplusplus
+    extern "C" {
+#endif
+/* *INDENT-ON* */
+
+/**
+ * @ingroup sntp_constants
+ * @brief The base packet size of request and response of the (S)NTP protocol.
+ * @note This is the packet size without any authentication headers for security
+ * mechanism. If the application uses a security mechanism for communicating with
+ * an (S)NTP server, it can add authentication data after the SNTP packet is
+ * serialized with the @ref Sntp_SerializeRequest API function.
+ */
+#define SNTP_PACKET_BASE_SIZE                         ( 48U )
+
+/**
+ * @ingroup sntp_constants
+ * @brief Number of SNTP timestamp fractions in 1 microsecond.
+ *
+ * The fraction's part of an SNTP timestamp is 32-bits wide, thereby, giving a
+ * resolution of 2^(-32) seconds ~ 232 picoseconds.
+ *
+ * @note The application can use this value to convert microseconds part of system
+ * time into SNTP timestamp fractions. For example, if the microseconds
+ * part of system time is n microseconds, the fractions value to be used for the
+ * SNTP timestamp part will be n * SNTP_FRACTION_VALUE_PER_MICROSECOND.
+ */
+#define SNTP_FRACTION_VALUE_PER_MICROSECOND           ( 4295U )
+
+/**
+ * @ingroup sntp_constants
+ * @brief The seconds part of SNTP time at the UNIX epoch time, which represents
+ * an offset of 70 years (in seconds) between SNTP epoch and UNIX epoch time.
+ * SNTP uses 1st Jan 1900 UTC as the epoch time, whereas UNIX standard uses
+ * 1st Jan 1970 UTC as the epoch time, thereby, causing an offset of 70 years
+ * between them.
+ *
+ *  Difference of 70 years = ((70 * 365) + 17 leap days) * 24 * 3600 seconds
+ *
+ * @note If your system follows UNIX time, the application can use this value to
+ * convert seconds part of a system time to seconds part of the equivalent SNTP
+ * time. For example, if the seconds part of system time is n seconds, the seconds
+ * value to be used for the SNTP timestamp will be n + SNTP_TO_UNIX_OFFSET_SECS.
+ */
+#define SNTP_TIME_AT_UNIX_EPOCH_SECS                  ( 2208988800U )
+
+/**
+ * @ingroup sntp_constants
+ * @brief The seconds value of SNTP timestamp for the largest UNIX time when
+ * using signed 32-bit integer for seconds.
+ * The largest time representable with a 32-bit signed integer in UNIX time
+ * is 19 Jan 2038 3h 14m 7s UTC. However, as the SNTP time overflows at
+ * 7 Feb 2036 6h 28m 16s UTC, therefore, the SNTP time for the largest UNIX time
+ * represents the time duration between the 2 timestamps.
+ *
+ * SNTP Time at Largest       Time Duration in the range
+ * Signed 32-bit UNIX time =  [7 Feb 2036 6:28:16, 19 Jan 2038 3:14:07]
+ */
+#define SNTP_TIME_AT_LARGEST_UNIX_TIME_SECS           ( 61505151U )
+
+/**
+ * @ingroup sntp_constants
+ * @brief The UNIX time (in seconds) at the smallest SNTP time in era 1,
+ * i.e. UNIX time at 7 Feb 2036 6:28:16 UTC/
+ *
+ * Time Duration = 7 Feb 6:28:16 UTC (SNTP Era 1 Epoch) -
+ *                 1 Jan 1970 0:0:0 UTC (UNIX epoch)
+ *               = 66 years, 37 days, 6 hours, 28 minutes and 16 seconds
+ *               = ((66 * 365) + 16 leap days) * 24 * 3600) + (6 * 3600)
+ *                 + (28 * 60) + 16
+ */
+#define UNIX_TIME_SECS_AT_SNTP_ERA_1_SMALLEST_TIME    ( 2085978496U )
+
+/**
+ * @ingroup sntp_constants
+ * @brief The fixed-length of any Kiss-o'-Death message ASCII code sent
+ * in an SNTP server response.
+ * @note An SNTP server sends a Kiss-o'-Death message to reject a time request
+ * from the client. For more information on the Kiss-o'-Death codes, refer to the
+ * [SNTPv4 specification Section 8](https://tools.ietf.org/html/rfc4330#section-8).
+ */
+#define SNTP_KISS_OF_DEATH_CODE_LENGTH                ( 4U )
+
+/**
+ * @ingroup sntp_constants
+ * @brief The value for the #SntpResponseData_t.rejectedResponseCode member
+ * when that the server response packet does not contain a Kiss-o'-Death
+ * message, and therefore, does not have a "kiss code".
+ * The server sends a "kiss-code" only when it rejects an SNTP request
+ * with a Kiss-o'-Death message.
+ */
+#define SNTP_KISS_OF_DEATH_CODE_NONE                  ( 0U )
+
+/**
+ * @ingroup sntp_enum_types
+ * @brief Enumeration of status codes that can be returned
+ * by the coreSNTP Library API.
+ */
+typedef enum SntpStatus
+{
+    /**
+     * @brief Successful operation of an SNTP API.
+     */
+    SntpSuccess,
+
+    /**
+     * @brief Invalid parameter passed to an API function.
+     */
+    SntpErrorBadParameter,
+
+    /**
+     * @brief Server sent a Kiss-o'-Death message to reject the request for time.
+     * This status can be returned by the @ref Sntp_ReceiveTimeResponse API.
+     */
+    SntpRejectedResponse,
+
+    /**
+     * @brief Server sent a Kiss-o'-Death message with non-retryable code (i.e. DENY or RSTR).
+     */
+    SntpRejectedResponseChangeServer,
+
+    /**
+     * @brief Server sent a Kiss-o'-Death message with a RATE code, which means that
+     * client should back-off before retrying.
+     */
+    SntpRejectedResponseRetryWithBackoff,
+
+    /**
+     * @brief Server sent a Kiss-o'-Death message with a code, specific to the server.
+     * Application can inspect the ASCII kiss-code from @ref Sntp_DeserializeResponse API.
+     */
+    SntpRejectedResponseOtherCode,
+
+    /**
+     * @brief Application provided insufficient buffer space for serializing
+     * or de-serializing an SNTP packet.
+     * The minimum size of an SNTP packet is #SNTP_PACKET_BASE_SIZE
+     * bytes. */
+    SntpErrorBufferTooSmall,
+
+    /**
+     * @brief Server response failed validation checks for expected data in SNTP packet.
+     */
+    SntpInvalidResponse,
+
+    /**
+     * @brief Poll interval value is under 1 second which cannot be calculated
+     *  by @ref Sntp_CalculatePollInterval.
+     */
+    SntpZeroPollInterval,
+
+    /**
+     * @brief The user-defined DNS resolution interface, @ref SntpResolveDns_t, failed to resolve
+     * address for a time server. This status is returned by the @ref Sntp_SendTimeRequest API.
+     */
+    SntpErrorDnsFailure,
+
+    /**
+     * @brief Networking operation of sending or receiving SNTP packet through the user-defined UDP
+     * transport interface, @ref UdpTransportInterface_t, failed.
+     * This status is returned by either of @ref Sntp_SendTimeRequest OR @ref Sntp_ReceiveTimeResponse
+     * APIs.
+     */
+    SntpErrorNetworkFailure,
+
+    /**
+     * @brief Time server is not authenticated from the authentication data in its response.
+     * This status can be returned by the user-supplied definition of the
+     * @ref SntpValidateServerAuth_t authentication interface.
+     */
+    SntpServerNotAuthenticated,
+
+    /**
+     * @brief Failure from the user-supplied authentication interface, @ref SntpAuthenticationInterface_t,
+     * in either generating authentication data for SNTP request OR validating the authentication
+     * data in SNTP response from server.
+     */
+    SntpErrorAuthFailure,
+
+    /**
+     * @brief A timeout occurred in sending time request packet over the network to a server through the
+     * @ref Sntp_SendTimeRequest API.
+     */
+    SntpErrorSendTimeout,
+
+    /**
+     * @brief A timeout has occurred in receiving server response with the @ref Sntp_ReceiveTimeResponse
+     * API.
+     */
+    SntpErrorResponseTimeout,
+
+    /**
+     * @brief No SNTP packet for server response is received from the network by the
+     * @ref Sntp_ReceiveTimeResponse API.
+     */
+    SntpNoResponseReceived,
+
+    /**
+     * @brief The SNTP context passed to @ref Sntp_SendTimeRequest or @ref Sntp_ReceiveTimeResponse APIs is
+     * is uninitialized.
+     */
+    SntpErrorContextNotInitialized
+} SntpStatus_t;
+
+/**
+ * @ingroup sntp_enum_types
+ * @brief Enumeration for leap second information that an SNTP server can
+ * send its response to a time request. An SNTP server sends information about
+ * whether there is an upcoming leap second adjustment in the last day of the
+ * current month.
+ *
+ * @note A leap second is an adjustment made in atomic clock time because Earth's rotation
+ * can be inconsistent. Leap seconds are usually incorporated as an extra second insertion
+ * or second deletion in the last minute before midnight i.e. in the minute of 23h:59m UTC
+ * on the last day of June or December. For more information on leap seconds, refer to
+ * https://www.nist.gov/pml/time-and-frequency-division/leap-seconds-faqs.
+ */
+typedef enum SntpLeapSecondInfo
+{
+    NoLeapSecond = 0x00,              /**< @brief There is no upcoming leap second adjustment. */
+    LastMinuteHas61Seconds = 0x01,    /**< @brief A leap second should be inserted in the last minute before midnight. */
+    LastMinuteHas59Seconds = 0x02,    /**< @brief A leap second should be deleted from the last minute before midnight. */
+    AlarmServerNotSynchronized = 0x03 /**< @brief An alarm condition meaning that server's time is not synchronized
+                                       * to an upstream NTP (or SNTP) server. */
+} SntpLeapSecondInfo_t;
+
+/**
+ * @ingroup sntp_struct_types
+ * @brief Structure representing an SNTP timestamp.
+ *
+ * @note The SNTP timestamp uses 1st January 1900 0h 0m 0s Coordinated Universal Time (UTC)
+ * as the primary epoch i.e. the timestamp represents current time as the amount of time since
+ * the epoch time.
+ * Refer to the [SNTPv4 specification](https://tools.ietf.org/html/rfc4330#section-3) for more
+ * information of the SNTP timestamp format.
+ */
+typedef struct SntpTimestamp
+{
+    uint32_t seconds;   /**< @brief Number of seconds since epoch time. */
+    uint32_t fractions; /**< @brief The fractions part of the SNTP timestamp with resolution
+                         *   of 2^(-32) ~ 232 picoseconds. */
+} SntpTimestamp_t;
+
+/**
+ * @ingroup sntp_struct_types
+ * @brief Structure representing data parsed from an SNTP response from server
+ * as well as data of arithmetic calculations derived from the response.
+ */
+typedef struct SntpResponse
+{
+    /**
+     * @brief The timestamp sent by the server.
+     */
+    SntpTimestamp_t serverTime;
+
+    /**
+     * @brief The information of an upcoming leap second in the
+     * server response.
+     */
+    SntpLeapSecondInfo_t leapSecondType;
+
+    /**
+     * @brief If a server responded with Kiss-o'-Death message to reject
+     * time request, this is the fixed length ASCII code sequence for the
+     * rejection.
+     *
+     * The Kiss-o'-Death code is always #SNTP_KISS_OF_DEATH_CODE_LENGTH
+     * bytes long.
+     *
+     * @note If the server does not send a Kiss-o'-Death message in its
+     * response, this value will be #SNTP_KISS_OF_DEATH_CODE_NONE.
+     */
+    uint32_t rejectedResponseCode;
+
+    /**
+     * @brief The offset (in milliseconds) of the system clock relative to the server time
+     * calculated from timestamps in the client SNTP request and server SNTP response packets.
+     * If the the system time is BEHIND the server time, then the clock-offset value is > 0.
+     * If the system time is AHEAD of the server time, then the clock-offset value is < 0.
+     *
+     * @note This information can be used to synchronize the system clock with a "slew",
+     * "step" OR combination of the two clock correction methodologies depending on the degree
+     *  of system clock drift (represented by the clock-offset) and the application's
+     * tolerance for system clock error.
+     *
+     * @note The library calculates the clock-offset value using the On-Wire
+     * protocol suggested by the NTPv4 specification. For more information,
+     * refer to https://tools.ietf.org/html/rfc5905#section-8.
+     *
+     * @note The library ASSUMES that the server and client systems are within
+     * ~68 years of each other clock, whether in the same NTP era or across adjacent
+     * NTP eras. Thus, the client and system times MUST be within ~68 years (or
+     * 2^31 seconds exactly) of each other for correct calculation of clock-offset.
+     *
+     * @note When the server and client times are exactly 2^31 (or INT32_MAX + 1 )
+     * seconds apart, the library ASSUMES that the server time is ahead of the client
+     * time, and return the clock-offset value of INT32_MAX.
+     */
+    int64_t clockOffsetMs;
+} SntpResponseData_t;
+
+
+/**
+ * @brief Serializes an SNTP request packet to use for querying a
+ * time server.
+ *
+ * This function will fill only #SNTP_PACKET_BASE_SIZE bytes of data in the
+ * passed buffer.
+ *
+ * @param[in, out] pRequestTime The current time of the system, expressed as time
+ * since the SNTP epoch (i.e. 0h of 1st Jan 1900 ). This time will be serialized
+ * in the SNTP request packet. The function will use this parameter to return the
+ * timestamp serialized in the SNTP request. To protect against attacks spoofing
+ * server responses, the timestamp MUST NOT be zero in value.
+ * @param[in] randomNumber A random number (generated by a True Random Generator)
+ * for use in the SNTP request packet to protect against replay attacks as suggested
+ * by SNTPv4 specification. For more information, refer to
+ * [RFC 4330 Section 3](https://tools.ietf.org/html/rfc4330#section-3).
+ * @param[out] pBuffer The buffer that will be populated with the serialized
+ * SNTP request packet.
+ * @param[in] bufferSize The size of the @p pBuffer buffer. It should be at least
+ * #SNTP_PACKET_BASE_SIZE bytes in size.
+ *
+ * @note It is recommended to use a True Random Generator (TRNG) to generate
+ * the random number.
+ * @note The application MUST save the @p pRequestTime value for de-serializing
+ * the server response with @ref Sntp_DeserializeResponse API.
+ *
+ * @return This function returns one of the following:
+ * - #SntpSuccess when serialization operation is successful.
+ * - #SntpErrorBadParameter if an invalid parameter is passed.
+ * - #SntpErrorBufferTooSmall if the buffer does not have the minimum size
+ * for serializing an SNTP request packet.
+ */
+/* @[define_sntp_serializerequest] */
+SntpStatus_t Sntp_SerializeRequest( SntpTimestamp_t * pRequestTime,
+                                    uint32_t randomNumber,
+                                    void * pBuffer,
+                                    size_t bufferSize );
+/* @[define_sntp_serializerequest] */
+
+/**
+ * @brief De-serializes an SNTP packet received from a server as a response
+ * to a SNTP request.
+ *
+ * This function will parse only the #SNTP_PACKET_BASE_SIZE bytes of data
+ * in the passed buffer.
+ *
+ * @note If the server has sent a Kiss-o'-Death message to reject the associated
+ * time request, the API function will return the appropriate return code and,
+ * also, provide the ASCII code (of fixed length, #SNTP_KISS_OF_DEATH_CODE_LENGTH bytes)
+ * in the #SntpResponseData_t.rejectedResponseCode member of @p pParsedResponse parameter,
+ * parsed from the response packet.
+ * The application SHOULD respect the server rejection and take appropriate action
+ * based on the rejection code.
+ * If the server response represents an accepted SNTP client request, then the API
+ * function will set the #SntpResponseData_t.rejectedResponseCode member of
+ * @p pParsedResponse parameter to #SNTP_KISS_OF_DEATH_CODE_NONE.
+ *
+ * @note If the server has positively responded with its clock time, then this API
+ * function will calculate the clock-offset. For the clock-offset to be correctly
+ * calculated, the system clock MUST be within ~68 years (or 2^31 seconds) of the server
+ * time mentioned. This function supports clock-offset calculation when server and client
+ * timestamps are in adjacent NTP eras, with one system is in NTP era 0 (i.e. before 7 Feb 2036
+ * 6h:28m:14s UTC) and another system in NTP era 1 (on or after 7 Feb 2036 6h:28m:14s UTC).
+ *
+ * @note In the special case when the server and client times are exactly 2^31 seconds apart,
+ * the library ASSUMES that the server time is ahead of the client time, and returns the
+ * positive clock-offset value of INT32_MAX seconds.
+ *
+ * @param[in] pRequestTime The system time used in the SNTP request packet
+ * that is associated with the server response. This MUST be the same as the
+ * time returned by the @ref Sntp_SerializeRequest API. To protect against attacks
+ * spoofing server responses, this timestamp MUST NOT be zero in value.
+ * @param[in] pResponseRxTime The time of the system, expressed as time since the
+ * SNTP epoch (i.e. 0h of 1st Jan 1900 ), at receiving SNTP response from server.
+ * This time will be used to calculate system clock offset relative to server.
+ * @param[in] pResponseBuffer The buffer containing the SNTP response from the
+ * server.
+ * @param[in] bufferSize The size of the @p pResponseBuffer containing the SNTP
+ * response. It MUST be at least #SNTP_PACKET_BASE_SIZE bytes
+ * long for a valid SNTP response.
+ * @param[out] pParsedResponse The information parsed from the SNTP response packet.
+ * If possible to calculate without overflow, it also contains the system clock
+ * offset relative to the server time.
+ *
+ * @return This function returns one of the following:
+ * - #SntpSuccess if the de-serialization operation is successful.
+ * - #SntpErrorBadParameter if an invalid parameter is passed.
+ * - #SntpErrorBufferTooSmall if the buffer does not have the minimum size
+ * required for a valid SNTP response packet.
+ * - #SntpInvalidResponse if the response fails sanity checks expected in an
+ * SNTP response.
+ * - #SntpRejectedResponseChangeServer if the server rejected with a code
+ * indicating that client cannot be retry requests to it.
+ * - #SntpRejectedResponseRetryWithBackoff if the server rejected with a code
+ * indicating that client should back-off before retrying request.
+ * - #SntpRejectedResponseOtherCode if the server rejected with a code that
+ * application can inspect in the @p pParsedResponse parameter.
+ */
+/* @[define_sntp_deserializeresponse] */
+SntpStatus_t Sntp_DeserializeResponse( const SntpTimestamp_t * pRequestTime,
+                                       const SntpTimestamp_t * pResponseRxTime,
+                                       const void * pResponseBuffer,
+                                       size_t bufferSize,
+                                       SntpResponseData_t * pParsedResponse );
+/* @[define_sntp_deserializeresponse] */
+
+/**
+ * @brief Utility to calculate the poll interval of sending periodic time queries
+ * to servers to achieve a desired system clock accuracy for a given
+ * frequency tolerance of the system clock.
+ *
+ * For example, from the SNTPv4 specification, "if the frequency tolerance
+ * is 200 parts per million (PPM) and the required accuracy is one minute,
+ * the maximum timeout is about 3.5 days". In this example, the system
+ * clock frequency tolerance is 200 PPM and the desired accuracy is
+ * 60000 milliseconds (or 1 minute) for which this API function
+ * will return the maximum poll interval value as 2^18 seconds (or ~3 days).
+ *
+ * @note The poll interval returned is a power of 2, which is the
+ * standard way to represent the value. According to the SNTPv4 specification
+ * Best Practices, an SNTP client SHOULD NOT have a poll interval less than 15 seconds.
+ * https://tools.ietf.org/html/rfc4330#section-10. This API function DOES NOT
+ * support poll interval calculation less than 1 second.
+ *
+ * @param[in] clockFreqTolerance The frequency tolerance of system clock
+ * in parts per million (PPM) units. This parameter MUST be non-zero.
+ * @param[in] desiredAccuracy The acceptable maximum drift, in milliseconds,
+ * for the system clock. The maximum value (0xFFFF) represents ~1 minute of
+ * desired clock accuracy. This parameter MUST be non-zero.
+ * @param[out] pPollInterval This is filled with the poll interval, in seconds
+ * calculated as the closest power of 2 value that will achieve either the
+ * exact desired or higher clock accuracy @p desiredAccuracy, for the given clock
+ * frequency tolerance, @p clockFreqTolerance.
+ *
+ * @return Returns one of the following:
+ *  - #SntpSuccess if calculation is successful.
+ *  - #SntpErrorBadParameter for an invalid parameter passed to the function.
+ *  - #SntpZeroPollInterval if calculated poll interval is less than 1 second.
+ */
+/* @[define_sntp_calculatepollinterval] */
+SntpStatus_t Sntp_CalculatePollInterval( uint16_t clockFreqTolerance,
+                                         uint16_t desiredAccuracy,
+                                         uint32_t * pPollInterval );
+/* @[define_sntp_calculatepollinterval] */
+
+
+/**
+ * @brief Utility to convert SNTP timestamp (that uses 1st Jan 1900 as the epoch) to
+ * UNIX timestamp (that uses 1st Jan 1970 as the epoch).
+ *
+ * Refer to (this image)[docs/doxygen/images/Ntp_To_Unix_Time.png].
+ *
+ * @note The function also correctly handles SNTP era overflow (from 7 Feb 2036 6h 28m 16s,
+ * i.e., SNTP era 1) to ensure accurate conversion across SNTP eras.
+ *
+ * @param[in] pSntpTime The SNTP timestamp to convert to UNIX time.
+ * @param[out] pUnixTimeSecs This will be filled with the seconds part of the
+ * UNIX time equivalent of the SNTP time, @p pSntpTime.
+ * @param[out] pUnixTimeMicrosecs This will be filled with the microseconds part
+ * of the UNIX time equivalent of the SNTP time, @p pSntpTime.
+ *
+ * @return Returns one of the following:
+ *  - #SntpSuccess if conversion to UNIX time is successful
+ *  - #SntpErrorBadParameter if any of the passed parameters are NULL.
+ */
+/* @[define_sntp_converttounixtime] */
+SntpStatus_t Sntp_ConvertToUnixTime( const SntpTimestamp_t * pSntpTime,
+                                     uint32_t * pUnixTimeSecs,
+                                     uint32_t * pUnixTimeMicrosecs );
+/* @[define_sntp_converttounixtime] */
+
+
+/* *INDENT-OFF* */
+#ifdef __cplusplus
+    }
+#endif
+/* *INDENT-ON* */
+
+#endif /* ifndef CORE_SNTP_SERIALIZER_H_ */

MDK-ARM/STM32F407-Demo.uvprojx

@@ -337,7 +337,7 @@
               <MiscControls>--diag_suppress=1,68,111,188,191,546,1293</MiscControls>
               <Define>USE_HAL_DRIVER,STM32F407xx,NDEBUG</Define>
               <Undefine />
-              <IncludePath>../Inc;../Drivers/STM32F4xx_HAL_Driver/Inc;../Drivers/STM32F4xx_HAL_Driver/Inc/Legacy;../Drivers/CMSIS/Device/ST/STM32F4xx/Include;../Drivers/CMSIS/Include;../Drivers/BSP;../Drivers/BSP/CH395F;../Drivers/BSP/GD5F2GQ5UE;../Drivers/BSP/TPAFE5160;../Drivers/BSP/SD2506;../Drivers/BSP/RS485;../Drivers/BSP/ScreenLink;../Drivers/BSP/NET;../Drivers/BSP/NET/lftpd;../Drivers/BSP/NETCFG;../App;../App/app;../App/algo;../App/cfg;../App/fs;../App/log;../App/sync;../App/task;../App/protocol/iec104;../App/util;../Middlewares/Third_Party/FreeRTOS/Source/include;../Middlewares/Third_Party/FreeRTOS/Source/CMSIS_RTOS_V2;../Middlewares/Third_Party/FreeRTOS/Source/portable/RVDS/ARM_CM4F;../Lib/dhara;../Lib/FatFs;../test/board;../Lib/lvgl;../Drivers/BSP/UI;../Lib</IncludePath>
+              <IncludePath>../Inc;../Drivers/STM32F4xx_HAL_Driver/Inc;../Drivers/STM32F4xx_HAL_Driver/Inc/Legacy;../Drivers/CMSIS/Device/ST/STM32F4xx/Include;../Drivers/CMSIS/Include;../Drivers/BSP;../Drivers/BSP/CH395F;../Drivers/BSP/GD5F2GQ5UE;../Drivers/BSP/TPAFE5160;../Drivers/BSP/SD2506;../Drivers/BSP/RS485;../Drivers/BSP/ScreenLink;../Drivers/BSP/NET;../Drivers/BSP/NET/lftpd;../Drivers/BSP/NETCFG;../App;../App/app;../App/algo;../App/cfg;../App/fs;../App/log;../App/sync;../App/task;../App/protocol/iec104;../App/util;../Middlewares/Third_Party/FreeRTOS/Source/include;../Middlewares/Third_Party/FreeRTOS/Source/CMSIS_RTOS_V2;../Middlewares/Third_Party/FreeRTOS/Source/portable/RVDS/ARM_CM4F;../Lib/dhara;../Lib/FatFs;../test/board;../Lib/lvgl;../Drivers/BSP/UI;../Lib;../Lib/coreSNTP/include</IncludePath>
             </VariousControls>
           </Cads>
           <Aads>
@@ -952,6 +952,11 @@
               <FileType>1</FileType>
               <FilePath>..\App\sync\time_sync.c</FilePath>
             </File>
+            <File>
+              <FileName>time_sntp.c</FileName>
+              <FileType>1</FileType>
+              <FilePath>..\App\sync\time_sntp.c</FilePath>
+            </File>
             <File>
               <FileName>default_task.c</FileName>
               <FileType>1</FileType>
@@ -1688,6 +1693,11 @@
               <FileType>1</FileType>
               <FilePath>..\Drivers\BSP\NETCFG\ftp_cfg.c</FilePath>
             </File>
+            <File>
+              <FileName>sntp_cfg.c</FileName>
+              <FileType>1</FileType>
+              <FilePath>..\Drivers\BSP\NETCFG\sntp_cfg.c</FilePath>
+            </File>
             <File>
               <FileName>nand_ftl.c</FileName>
               <FileType>1</FileType>
@@ -2359,6 +2369,16 @@
             </File>
           </Files>
         </Group>
+        <Group>
+          <GroupName>Lib/coreSNTP</GroupName>
+          <Files>
+            <File>
+              <FileName>core_sntp_serializer.c</FileName>
+              <FileType>1</FileType>
+              <FilePath>..\Lib\coreSNTP\core_sntp_serializer.c</FilePath>
+            </File>
+          </Files>
+        </Group>
         <Group>
           <GroupName>Test</GroupName>
           <Files>
@@ -3716,6 +3736,11 @@
               <FileType>1</FileType>
               <FilePath>..\Drivers\BSP\UI\ui_page_wave_play.c</FilePath>
             </File>
+            <File>
+              <FileName>ui_page_sntp.c</FileName>
+              <FileType>1</FileType>
+              <FilePath>..\Drivers\BSP\UI\ui_page_sntp.c</FilePath>
+            </File>
           </Files>
         </Group>
         <Group>

README.md

@@ -122,7 +122,7 @@ STM32F4-Base/
 │   ├── algo/              # 采集与算法层（语义取数与有效性 adc_input / 全周傅氏相量 phasor+freq / 保护判据 prot_set+prot_elm）
 │   ├── cfg/               # 配置引擎（cfg_file 解析/持久化/迁移 + 存储后端）
 │   ├── fs/                # 卷锁（vol_lock，syslog/cfg/lftpd 三条路径 try 语义）
-│   ├── sync/              # 时间同步（time_sync 任务）
+│   ├── sync/              # 时间同步（time_sync 任务载体 + time_sntp SNTP 客户端）
 │   ├── log/               # 日志（sys_log 运行/自检记录、console_log 控制台单写者）
 │   ├── task/              # FreeRTOS 任务实现
 │   │   ├── default_task.c/h # 存储挂载 + 配置引擎属主 + syslog 写者
@@ -175,9 +175,7 @@ STM32F4-Base/
 │   └── host/              # 主机端脚本（PC 侧；串口回归入口在 .dsh/skills/serial-boot-test/）
 │       ├── ch395f_socket_test.py # Socket 通信测试
 │       ├── ftp_test.py / ftp_up_dl_test.py / ftp_regression.py / ftp_integrity_test.py / ftp_capture.py
-│       ├── e02_probe.py         # 队头阻塞专项探针
+│       └── latency_peer.py      # 链路时延 PC 对端
-│       ├── latency_peer.py      # 链路时延 PC 对端
-│       └── time_sync_server.py  # 时间同步推送服务
 ├── docs/                   # 项目文档（全量索引见 docs/README.md）
 │   ├── README.md           # 文档索引：目录结构 + 推荐阅读顺序 + 全量清单
 │   ├── 任务规划/            # 统一待办登记簿（README 排序权威 + 拆分文件）
@@ -325,7 +323,6 @@ UI 改动回归门禁（菜单像素回归 + 内容页黄金参考 + 池水位
 | `ftp_regression.py` | FTP 功能回归（会话流程全序列） |
 | `ftp_integrity_test.py` | FTP 传输完整性压测（多轮 SHA-256 校验） |
 | `ftp_capture.py` | FTP 流量抓取 |
-| `time_sync_server.py` | 时间同步推送服务（PC → 板子） |
 
 ### 串口调试
 

docs/README.md

@@ -139,7 +139,7 @@ docs/
 | [`ADC输入层单元测试说明.md`](测试说明/单元测试/ADC输入层单元测试说明.md) | adc_input 语义通道映射 / ADC1 顺序扫描（**Rank↔通道判据**）/ poll 契约 / HAL 故障路径，70 用例 |
 | [`相量层单元测试说明.md`](测试说明/单元测试/相量层单元测试说明.md) | phasor 全周傅氏系数表 / 幅值·相位 / 谐波抑制与提取 / 频偏 / 采样环 / 双区交换，57 用例 |
 | [`卷锁单元测试说明.md`](测试说明/单元测试/卷锁单元测试说明.md) | vol_lock 创建 / 获取 / 释放契约（**fail-open 不变量**：创建失败仍返回 1 且零阻塞）/ 幂等 / 超时透传，33 断言点 |
-| [`时间同步单元测试说明.md`](测试说明/单元测试/时间同步单元测试说明.md) | time_sync 分片喂狗延时 / 监听退避 / 时间包重组 / 任务主循环（探针窗口心跳缺口的全部逻辑贡献者），80 断言点 |
+| [`时间同步单元测试说明.md`](测试说明/单元测试/时间同步单元测试说明.md) | time_sync v2.0：分片喂狗延时 / 就绪屏障（100 ms 分片·NoClear）/ SNTP 节拍与网络代次交接 / 未出网守门（:8888 退役后的任务载体），33 断言点 |
 | [`主机单测覆盖率口径.md`](测试说明/单元测试/主机单测覆盖率口径.md) | **跨全部 16 套 主机侧纯逻辑单测的覆盖率**：`scripts/check_test_coverage.py` 用法 / 统计面与生成物例外 / 基线增量门禁（只拦回退）/ **为什么本机拿不到分支覆盖** / 九条限制与盲区 / 未挂 pre-commit 的三条理由与待粘 YAML |
 
 **板级测试/**（上板测试：模块测试指南 + 实机实施流程；动手写测试前先读）

docs/UI设计/UI_数据供给设计说明.md

@@ -694,7 +694,7 @@ typedef struct {
 | 4 | 未标定时页面明确标识（不把码值当伏特） | 目检 + 文本断言（`eng=0` 时带标记） |
 | 5 | 首帧前显示 `--` 而非 `0.000` | 模拟器：不 publish 直接开页，断言文本 |
 | 6 | 定值整定全链闭环 | 就地改 → 保存 → 重启 → 值保持 + 校验和自检通过 + 主站 C_RD 一致。**半收口（2026-10-26）**：模拟器侧「改 → 保存 → OK → 回首屏新值已在帧里」已由像素 + 文本断言覆盖（黄金用例 `sparam_save` / `sparam_landed`，越界侧 `sparam_oob`）；**重启保持与主站 C_RD 一致只能上板**——模拟器没有 NAND，`apply()` 到 `prot_set_set_sealed()` 就是终点，这条差距已登记在 `docs/测试说明/专项验证/模拟器差距清单.md`；另注意 40 项里有 13 项 `comm_addr=0`（纯本地项），主站侧根本读不到，不能拿 C_RD 当它们的判据 |
-| 7 | 像素回归稳定 | `ui-golden` 连续两次运行零差异。**已验（2026-10-26，当时下限为 27 页）**：27 页连跑两次逐字节一致（含整定 9 态）——**集合现已扩至 66 张**，**双次一致已验（2026-10-29：同一批 66 张连跑三次逐字节一致，池水位 5,448 B；菜单 8 状态连跑三次亦一致，5,368 B）**；轮询定时器不影响——无头模式不调 `lv_timer_handler()`（§9.2 注 6） |
+| 7 | 像素回归稳定 | `ui-golden` 连续两次运行零差异。**已验（2026-10-26，当时下限为 27 页）**：27 页连跑两次逐字节一致（含整定 9 态）——**集合现已扩至 74 张**，**双次一致已验（2026-10-29：同一批 66 张连跑三次逐字节一致，池水位 5,448 B；菜单 8 状态连跑三次亦一致，5,368 B）**；轮询定时器不影响——无头模式不调 `lv_timer_handler()`（§9.2 注 6） |
 | 9 | 「写不进去」与「改了不动作」两条事实互不冒充 | 反向文本断言（`check_content_pages.py` 的 `ABSENT`：查看页与只读态不得出现「未标定」徽标与「保存」行）+ 台架：未制造该态——要它必须改坏 /prot_set.bin（破坏产品配置存储，用户裁定 2026-10-26 不做），故 LOCK 态目前只有代码级证据与三重反证（ENTER 被正常消费、遥信 YX31=OFF、开机 CORRUPT=0），**没有像素证据** |
 | 8 | 主机单测覆盖数据模块 | `test/host/ui_data` 全绿并挂 pre-commit 钩子 |
 

docs/UI设计/UI_自动化测试流程.md

@@ -26,7 +26,7 @@ cmake --build simulator/build --config Debug   # 0) 构建模拟器（须 0 警
 | 步 | 脚本/命令 | 门禁内容 | 预期输出 |
 |---|---|---|---|
 | 1 | `simulator/tests/check_menu_rows.py` | 菜单 8 状态：选中行白带 / 非选行黑底白字 / 框体 1px 边框 / 往返像素一致（MENU-STATE-03==MENU-STATE-01、MENU-STATE-06==MENU-STATE-01、MENU-STATE-07==MENU-STATE-02）+ MENU-STATE-00 池基线 | `PASS: 8 状态全部断言通过（8 图，池基线 5368 B）` |
-| 2 | `simulator/tests/check_content_pages.py` | ① 文本级断言（字形模板匹配，正向 444 条 + 反向 45 条，独立于 `ref/`）→ ② 66 张截图与 `ref/` 黄金参考**逐字节**比对 + 开页-关页往返池水位 | `PASS: 66 内容页 + 往返池水位全部通过`（文本断言先于像素比对，失败即中止） |
+| 2 | `simulator/tests/check_content_pages.py` | ① 文本级断言（字形模板匹配，正向 484 条 + 反向 45 条，独立于 `ref/`）→ ② 74 张截图与 `ref/` 黄金参考**逐字节**比对 + 开页-关页往返池水位 | `PASS: 74 内容页 + 往返池水位全部通过`（文本断言先于像素比对，失败即中止） |
 | 3 | `keil-build` skill（`keil_build.py`） | MCU 端编译（UI 源码双端共用，改一端必须过另一端） | 退出码 0 = BUILD_OK |
 | 4 | `scripts/check_coding_standard.py` | 代码规范 V1.0 机械检查 | PASS |
 
@@ -52,7 +52,7 @@ cmake --build simulator/build --config Debug   # 0) 构建模拟器（须 0 警
 | `POOL_AFTER_ROUNDTRIP` | check_content_pages.py | **5448 B** | 开页-关页往返后水位 = 基线 + 一次性残留 80 B |
 
 > 水位历史：4784 →（2026-09-14 待机模块常驻 +656）5440 / 5520 →（2026-10-11 裁剪 LVGL 控件类 −72）5368 / 5448。
-> 后一次漂移已核实为**有意且更优**：像素逐字节未变（**裁剪当时黄金参考只有 11 页**，在裁剪**前**生成、裁剪后全部一致；该集合现已扩至 66 张），
+> 后一次漂移已核实为**有意且更优**：像素逐字节未变（**裁剪当时黄金参考只有 11 页**，在裁剪**前**生成、裁剪后全部一致；该集合现已扩至 74 张），
 > 且一次性残留仍是 80 B（5448 − 5368）→ 泄漏特征未变，只是 `lv_theme_apply` 不再为已不存在的控件类登记样式条目。
 
 **漂移处理**：菜单/页面结构或样式变更导致门禁失败时，先确认新值合理（残留分解见
@@ -61,7 +61,7 @@ cmake --build simulator/build --config Debug   # 0) 构建模拟器（须 0 警
 
 ## 四、黄金参考（入库）与目检 PNG（本地产物）
 
-`simulator/tests/ref/*.bin`（像素黄金参考，66 张 × 3200 B）**随仓库入库**；派生的 `.png`
+`simulator/tests/ref/*.bin`（像素黄金参考，74 张 × 3200 B）**随仓库入库**；派生的 `.png`
 目检图仍是本地产物（`.gitignore`）。入库的理由：比对是**逐字节**的，基线不入库时任何新克隆
 或新工作树跑 `ui-golden` 都必然 FAIL（缺基准），这条门禁就只在"有老副本的机器"上真实存在。
 可复现性实测（2026-10-22）：两份各自独立构建的 `lvgl_sim`（不同构建目录、相隔 11 天的代码）
@@ -154,7 +154,7 @@ cmake --build simulator/build --config Debug   # 0) 构建模拟器（须 0 警
 ### 7.3 用法与门禁档位
 
 ```powershell
-# 认屏快检：66 张黄金参考（+ 若有台架留档帧），秒级，不需要构建产物
+# 认屏快检：74 张黄金参考（+ 若有台架留档帧），秒级，不需要构建产物
 & '.venv\Scripts\python.exe' scripts/board_ui_nav.py --selftest-quick
 # 完整自检：再加全绑定页闭环导航（需模拟器可执行文件，约 30 s）
 & '.venv\Scripts\python.exe' scripts/board_ui_nav.py --selftest

docs/UI设计/内容页架构.md

@@ -453,7 +453,7 @@ extern const content_page_def_t ui_page_device_info_desc;   /* 描述符（Flash
 ## 八、验证与回归
 
 - **门禁**（`ui-verify` skill / `UI_自动化测试流程.md`）：
-   0) 模拟器构建 0 警告 → 1) 菜单 8 状态像素回归 + 池基线 → 2) 内容页文本断言 + 66 张黄金参考逐字节比对
+   0) 模拟器构建 0 警告 → 1) 菜单 8 状态像素回归 + 池基线 → 2) 内容页文本断言 + 74 张黄金参考逐字节比对
    （网口设置 4 态 + 密码页 4 态等）+ 开页-关页往返水位 → 3) Keil 构建 0 错 0 警 → 4) 代码规范检查
 - **门禁常量**（脚本头部）：`MENU_POOL_BASELINE = 5368 B`、`POOL_AFTER_ROUNDTRIP = 5448 B`
 - **失败处置**：像素不一致 = 代码 bug（修代码，**禁止**刷参考掩盖）；**有意**改视觉 →

docs/UI设计/页面补齐规划.md

@@ -81,7 +81,7 @@
 | 26 | 手动录波 | 操作页（确认） | `wave_ring_request` 手动触发经 `ui_data_wave_ops_t` 注入 | ✅ 已落地（`ui_page_wave_manual.c`，2026-10-29 录波 UI 道；配套新增「录波回放」叶 node 43 = `ui_page_wave_play.c`，不在本表 27 叶之列） |
 | 27 | 清除记录 | 操作页（选类型 + 确认） | `sys_log`（**缺删除 API**） | 🔶 需补 API |
 | 29 | 通讯设置 | 可编辑列表（4~6 项） | 104 公共地址/端口/主站（当前固定） | 🔶 需 `comm_cfg` |
-| 31 | SNTP设置 | 可编辑列表（3 项） | SNTP 客户端 | ❌ 未实现（产品口径亦未定） |
+| 31 | SNTP设置 | 可编辑列表（3 项） | SNTP 客户端 | ✅ 已落地（`ui_page_sntp.c`，2026-11-04 板端 SNTP 接入立项；形态较原规划多 1 行 = 启用/主服务器/备服务器/周期(分) + 保存行，编辑语义复刻网口设置页） |
 | 33 | SOE记录 | 动态列表（每记录 2 行） | `/log/soe.log` 二进制 64B | ✅ 已落地（`ui_page_soe.c`） |
 | 34 | 事故记录 | 动态列表 | /log/accid.log（SYSLOG_ACCIDENT，写入点 protect_task.c） | ✅ 已落地（ui_page_accident.c，2026-10-28） |
 | 35 | 操作记录 | 动态列表 | /log/oper.log（SYSLOG_OPER，写入点 4 处：定值保存 / 复归 / 对时 / 清除记录） | ✅ 已落地（ui_page_oper.c，2026-10-28） |
@@ -94,6 +94,7 @@
 
 **2026-10-28 复核**：本表 27 叶中 **22 叶已落地**（本批 +6：记录 5 页与运行报告，见 docs/任务规划/UI补齐.md §2 与 docs/任务规划/登记簿.md §7）；未落地的 5 叶 = 遥信类型 / 遥信防抖 / 双点遥信（无开入硬件）+ 手动录波（无录波模块）+ SNTP设置（产品口径未定），取舍与重开条件见 docs/任务规划/UI补齐.md §5。口径闭合：本表 22 叶 + 立项前就已绑定、不在本表内的 6 叶（装置信息 / 交流量 / 直流量 / 网口设置 / 自检记录 / 运行记录）= 现值已绑 28 叶（= UI_PAGE_MAP_COUNT）；本表未落地 5 叶 = 菜单树未绑 5 叶（33 − 28）。复核方法：按缩进判叶子（有更深缩进后继者即非叶子），再按行内 #page= 数已绑。**2026-10-29 补充**：「手动录波」已随故障录波独立立项（docs/子系统设计/故障录波设计说明.md；原卡片登记簿 2026-10-30 销项并入该文 §10），上面那行数字仍是 2026-10-28 当日复核值，未随立项改动。
 **2026-10-29 二补（录波 UI 道落地）**：本表「手动录波」转已落地（23 叶）；菜单树另新增「录波回放」叶（node 43，不在本表立项快照内）——现值 43 节点 / 34 叶 / 已绑 30 / 未绑 4（= 遥信 3 + SNTP 1，UI_PAGE_MAP_COUNT = 30），口径复核方法与上一段相同
+**2026-11-04 复核（板端 SNTP 接入立项，#57 调研结论）**：本表「SNTP设置」转已落地（24 叶）——`ui_page_sntp.c` 绑 `#page=sntp`，[sntp] 段经 `net_cfg_load` 注册、SNTP 客户端在 timeSyncTask 轮询（`App/sync/time_sntp.c`）；现值 43 节点 / 34 叶 / 已绑 31 / 未绑 3（= 遥信 3，UI_PAGE_MAP_COUNT = 31），口径复核方法与上一段相同
 
 ---
 
@@ -205,7 +206,7 @@ ui_page_ac / ui_page_yx / ui_page_setlist ...
 
 9. **`ui_w_editor`**（§3.2）→ **定值整定 4 页**（8/9/10/11）。
 10. **通讯设置**（29）：需先建 `comm_cfg`（`[comm]` 段：104 公共地址/端口/主站地址），照 `net_cfg` 的"RAM 副本 + 保存请求交接"范式。
-11. **SNTP设置**（31）：**建议只做页面不接线**，或直接推迟到 SNTP 立项——当前对时走 8888 端口私有协议，SNTP 是另一条链。
+11. **SNTP设置**（31）——已落地（2026-11-04）：页面读写 `[sntp]` 段 RAM 副本（`ui_page_sntp.c`，PR 链 #73/#77）；原「当前对时走 8888 端口私有协议」口径作废——8888 已退役（#78），SNTP 即对时唯一网络来源。
 
 **退出判据**：就地改一条定值 → 保存 → 掉电重启 → 值保持且校验和自检通过；主站 C_RD 读到同一值。
 

docs/images/BSD网络栈分层.svg

@@ -9,8 +9,8 @@
 <text x="251" y="139" font-size="13" fill="#1e293b" text-anchor="middle">net_send() / net_recv() / net_close()（线程安全封装）</text>
 <rect x="468" y="116" width="431" height="38" rx="8" fill="#ffffff" stroke="#2563eb" stroke-opacity="0.55"/>
 <text x="684" y="139" font-size="13" fill="#1e293b" text-anchor="middle">net_select() / net_poll_events() / net_set_event_cb()</text>
-<rect x="44" y="164" width="601" height="38" rx="8" fill="#ffffff" stroke="#2563eb" stroke-opacity="0.55"/>
+<rect x="44" y="164" width="620" height="38" rx="8" fill="#ffffff" stroke="#2563eb" stroke-opacity="0.55"/>
-<text x="344" y="187" font-size="13" fill="#1e293b" text-anchor="middle">消费方：lftpd（FTP :21）· time_sync（对时 :8888）· ui_net_sink（远程显示 :7003）</text>
+<text x="354" y="187" font-size="13" fill="#1e293b" text-anchor="middle">消费方：lftpd（FTP :21）· time_sntp（SNTP 出向对时）· ui_net_sink（远程显示 :7003）</text>
 <rect x="26" y="262" width="1148" height="140" rx="12" fill="#f5f3ff" stroke="#7c3aed" stroke-opacity="0.45"/>
 <text x="44" y="288" font-size="17" font-weight="700" fill="#7c3aed">消息队列</text>
 <text x="124" y="288" font-size="12" fill="#64748b">osMessageQueue · CubeMX 生成，在 MX_FREERTOS_Init() 中创建</text>

docs/images/交流六轮速查.svg

@@ -1,24 +1,23 @@
 <svg xmlns="http://www.w3.org/2000/svg" width="1060" height="680" viewBox="0 0 1060 680" font-family="Microsoft YaHei, Segoe UI, PingFang SC, sans-serif">
 <rect x="46.0" y="106.0" width="314.0" height="246.0" rx="10" fill="#eff6ff" stroke="#2563eb" stroke-width="2"/>
 <text x="58.0" y="132.0" font-size="15" font-weight="700" fill="#0f172a">幅值轮</text>
-<text x="348.0" y="132.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#2563eb">先做 · 主用例</text>
+<text x="348.0" y="132.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#2563eb">先做 · 三档幅度</text>
 <rect x="58.0" y="142.0" width="290.0" height="86.0" rx="6" fill="#ffffff" stroke="#cbd5e1" stroke-width="1"/>
 <line x1="62.0" y1="185.0" x2="344.0" y2="185.0" stroke="#94a3b8" stroke-width="0.8" stroke-dasharray="3 3"/>
 <line x1="68.0" y1="161.2" x2="338.0" y2="161.2" stroke="#2563eb" stroke-width="1" stroke-dasharray="5 4"/>
 <line x1="68.0" y1="208.8" x2="338.0" y2="208.8" stroke="#2563eb" stroke-width="1" stroke-dasharray="5 4"/>
 <polyline points="68.0,185.0 69.9,182.9 71.9,180.7 73.8,178.6 75.8,176.6 77.7,174.6 79.7,172.7 81.6,170.9 83.5,169.3 85.5,167.7 87.4,166.3 89.4,165.1 91.3,164.0 93.3,163.1 95.2,162.3 97.1,161.8 99.1,161.4 101.0,161.3 103.0,161.3 104.9,161.5 106.8,161.9 108.8,162.5 110.7,163.3 112.7,164.2 114.6,165.4 116.6,166.7 118.5,168.1 120.4,169.7 122.4,171.4 124.3,173.2 126.3,175.1 128.2,177.1 130.2,179.2 132.1,181.3 134.0,183.4 136.0,185.5 137.9,187.7 139.9,189.8 141.8,191.9 143.8,193.9 145.7,195.9 147.6,197.7 149.6,199.5 151.5,201.1 153.5,202.6 155.4,204.0 157.4,205.2 159.3,206.3 161.2,207.1 163.2,207.8 165.1,208.3 167.1,208.6 169.0,208.8 170.9,208.7 172.9,208.4 174.8,208.0 176.8,207.3 178.7,206.5 180.7,205.5 182.6,204.3 184.5,203.0 186.5,201.5 188.4,199.9 190.4,198.2 192.3,196.3 194.3,194.4 196.2,192.4 198.1,190.3 200.1,188.2 202.0,186.1 204.0,183.9 205.9,181.8 207.9,179.7 209.8,177.6 211.7,175.6 213.7,173.7 215.6,171.8 217.6,170.1 219.5,168.5 221.5,167.0 223.4,165.7 225.3,164.5 227.3,163.5 229.2,162.7 231.2,162.0 233.1,161.6 235.1,161.3 237.0,161.2 238.9,161.4 240.9,161.7 242.8,162.2 244.8,162.9 246.7,163.7 248.6,164.8 250.6,166.0 252.5,167.4 254.5,168.9 256.4,170.5 258.4,172.3 260.3,174.1 262.2,176.1 264.2,178.1 266.1,180.2 268.1,182.3 270.0,184.5 272.0,186.6 273.9,188.7 275.8,190.8 277.8,192.9 279.7,194.9 281.7,196.8 283.6,198.6 285.6,200.3 287.5,201.9 289.4,203.3 291.4,204.6 293.3,205.8 295.3,206.7 297.2,207.5 299.2,208.1 301.1,208.5 303.0,208.7 305.0,208.7 306.9,208.6 308.9,208.2 310.8,207.7 312.7,206.9 314.7,206.0 316.6,204.9 318.6,203.7 320.5,202.3 322.5,200.7 324.4,199.1 326.3,197.3 328.3,195.4 330.2,193.4 332.2,191.4 334.1,189.3 336.1,187.1 338.0,185.0" fill="none" stroke="#2563eb" stroke-width="2" stroke-linejoin="round"/>
-<text x="68.0" y="151.0" font-size="10.5" fill="#64748b">峰 ±1.414 V · 基波 RMS 1.000 V</text>
+<text x="68.0" y="151.0" font-size="10.5" fill="#64748b">峰 ±1.414 V · 基波有效值 1.000 V</text>
 <text x="58.0" y="244.0" font-size="11" font-weight="700" fill="#2563eb">注入</text>
-<text x="94.0" y="244.0" font-size="11.5" fill="#64748b">UA（R31）端子侧，正弦 50.000 Hz、1.000 V</text>
+<text x="94.0" y="244.0" font-size="11.5" fill="#64748b">UA（R31）端子侧，正弦 50.000 Hz，三档 Vpp</text>
-<text x="94.0" y="260.0" font-size="11.5" fill="#64748b">rms</text>
+<text x="94.0" y="260.0" font-size="11.5" fill="#64748b"> 2.828 / 1.414 / 0.566</text>
 <text x="58.0" y="280.0" font-size="11" font-weight="700" fill="#2563eb">判据</text>
-<text x="94.0" y="280.0" font-size="11.5" fill="#0f172a">ua_mv 中位数 ≈ 万用表 × 1000，偏差 ≤2 %</text>
+<text x="94.0" y="280.0" font-size="11.5" fill="#0f172a">每档 ua_mv ≈ 万用表 × 1000，偏差 ≤2 %</text>
-<text x="58.0" y="300.0" font-size="11" font-weight="700" fill="#2563eb">出口</text>
+<text x="58.0" y="300.0" font-size="11" font-weight="700" fill="#2563eb">读数</text>
-<text x="94.0" y="300.0" font-size="11.5" fill="#64748b">meas: ua_mv 为主；104 0x4011 只作交叉读</text>
+<text x="94.0" y="300.0" font-size="11.5" fill="#64748b">meas: ua_mv 为主（1 mV 分辨率）</text>
-<text x="94.0" y="316.0" font-size="11.5" fill="#64748b">数</text>
 <rect x="372.0" y="106.0" width="314.0" height="246.0" rx="10" fill="#f0fdfa" stroke="#0d9488" stroke-width="2"/>
 <text x="384.0" y="132.0" font-size="15" font-weight="700" fill="#0f172a">波形轮</text>
-<text x="674.0" y="132.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#0d9488">真 RMS ≠ 基波</text>
+<text x="674.0" y="132.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#0d9488">真有效值 ≠ 基波</text>
 <rect x="384.0" y="142.0" width="290.0" height="86.0" rx="6" fill="#ffffff" stroke="#cbd5e1" stroke-width="1"/>
 <line x1="394.0" y1="161.2" x2="664.0" y2="161.2" stroke="#94a3b8" stroke-width="0.9" stroke-dasharray="5 4"/>
 <polyline points="400.0,185.0 400.7,182.5 401.3,180.0 402.0,177.6 402.6,175.3 403.3,173.0 403.9,170.9 404.6,169.0 405.2,167.2 405.9,165.7 406.6,164.3 407.2,163.2 407.9,162.3 408.5,161.7 409.2,161.3 409.8,161.2 410.5,161.4 411.1,161.8 411.8,162.5 412.5,163.5 413.1,164.6 413.8,166.0 414.4,167.7 415.1,169.5 415.7,171.4 416.4,173.6 417.0,175.8 417.7,178.2 418.4,180.6 419.0,183.1 419.7,185.6 420.3,188.1 421.0,190.6 421.6,193.0 422.3,195.3 422.9,197.5 423.6,199.6 424.3,201.5 424.9,203.2 425.6,204.7 426.2,206.0 426.9,207.0 427.5,207.9 428.2,208.4 428.8,208.7 429.5,208.7 430.2,208.5 430.8,208.0 431.5,207.3 432.1,206.3 432.8,205.0 433.4,203.6 434.1,201.9 434.7,200.1 435.4,198.0 436.1,195.9 436.7,193.6 437.4,191.2 438.0,188.7 438.7,186.3 439.3,183.7 440.0,181.3 440.6,178.8 441.3,176.4 441.9,174.1 442.6,172.0 443.3,169.9 443.9,168.1 444.6,166.4 445.2,165.0 445.9,163.7 446.5,162.7 447.2,162.0 447.8,161.5 448.5,161.3 449.2,161.3 449.8,161.6 450.5,162.1 451.1,163.0 451.8,164.0 452.4,165.3 453.1,166.8 453.7,168.5 454.4,170.4 455.1,172.5 455.7,174.7 456.4,177.0 457.0,179.4 457.7,181.9 458.3,184.4 459.0,186.9 459.6,189.4 460.3,191.8 461.0,194.2 461.6,196.4 462.3,198.6 462.9,200.5 463.6,202.3 464.2,204.0 464.9,205.4 465.5,206.5 466.2,207.5 466.9,208.2 467.5,208.6 468.2,208.8 468.8,208.7 469.5,208.3 470.1,207.7 470.8,206.8 471.4,205.7 472.1,204.3 472.8,202.8 473.4,201.0 474.1,199.1 474.7,197.0 475.4,194.7 476.0,192.4 476.7,190.0 477.3,187.5 478.0,185.0" fill="none" stroke="#0d9488" stroke-width="1.8" stroke-linejoin="round"/>
@@ -27,17 +26,17 @@
 <text x="529.0" y="226.0" font-size="10.5" text-anchor="middle" fill="#64748b">方波</text>
 <polyline points="580.0,185.0 580.7,183.4 581.3,181.8 582.0,180.2 582.6,178.6 583.3,177.0 583.9,175.4 584.6,173.8 585.2,172.2 585.9,170.6 586.6,169.0 587.2,167.4 587.9,165.8 588.5,164.2 589.2,162.6 589.8,161.4 590.5,163.0 591.1,164.6 591.8,166.2 592.5,167.8 593.1,169.4 593.8,171.0 594.4,172.6 595.1,174.2 595.7,175.8 596.4,177.4 597.0,179.0 597.7,180.6 598.4,182.2 599.0,183.8 599.7,185.4 600.3,187.0 601.0,188.6 601.6,190.2 602.3,191.8 602.9,193.4 603.6,195.0 604.3,196.6 604.9,198.2 605.6,199.8 606.2,201.4 606.9,203.0 607.5,204.6 608.2,206.2 608.8,207.8 609.5,208.2 610.2,206.6 610.8,205.0 611.5,203.4 612.1,201.8 612.8,200.2 613.4,198.6 614.1,197.0 614.7,195.4 615.4,193.8 616.1,192.2 616.7,190.6 617.4,189.0 618.0,187.4 618.7,185.8 619.3,184.2 620.0,182.6 620.6,181.0 621.3,179.4 621.9,177.8 622.6,176.2 623.3,174.6 623.9,173.0 624.6,171.4 625.2,169.8 625.9,168.2 626.5,166.6 627.2,165.0 627.8,163.4 628.5,161.8 629.2,162.2 629.8,163.8 630.5,165.4 631.1,167.0 631.8,168.6 632.4,170.2 633.1,171.8 633.7,173.4 634.4,175.0 635.1,176.6 635.7,178.2 636.4,179.8 637.0,181.4 637.7,183.0 638.3,184.6 639.0,186.2 639.6,187.8 640.3,189.4 641.0,191.0 641.6,192.6 642.3,194.2 642.9,195.8 643.6,197.4 644.2,199.0 644.9,200.6 645.5,202.2 646.2,203.8 646.9,205.4 647.5,207.0 648.2,208.6 648.8,207.4 649.5,205.8 650.1,204.2 650.8,202.6 651.4,201.0 652.1,199.4 652.8,197.8 653.4,196.2 654.1,194.6 654.7,193.0 655.4,191.4 656.0,189.8 656.7,188.2 657.3,186.6 658.0,185.0" fill="none" stroke="#0d9488" stroke-width="1.8" stroke-linejoin="round"/>
 <text x="619.0" y="226.0" font-size="10.5" text-anchor="middle" fill="#64748b">三角</text>
-<text x="394.0" y="151.0" font-size="10.5" fill="#64748b">同峰值对齐（不是同 Vrms）</text>
+<text x="394.0" y="151.0" font-size="10.5" fill="#64748b">同设 Vpp 2.828 V（不是同有效值）</text>
 <text x="384.0" y="244.0" font-size="11" font-weight="700" fill="#0d9488">注入</text>
-<text x="420.0" y="244.0" font-size="11.5" fill="#64748b">同峰值 1.414 V 改方波 / 三角（面板有效值各</text>
+<text x="420.0" y="244.0" font-size="11.5" fill="#64748b">同设 Vpp 2.828 V 改方波 / 三角（面板有效</text>
-<text x="420.0" y="260.0" font-size="11.5" fill="#64748b">异）</text>
+<text x="420.0" y="260.0" font-size="11.5" fill="#64748b">值各异）</text>
 <text x="384.0" y="280.0" font-size="11" font-weight="700" fill="#0d9488">判据</text>
 <text x="420.0" y="280.0" font-size="11.5" fill="#0f172a">读数只跟基波：方波 ≈1278、三角 ≈817，±2 %</text>
-<text x="384.0" y="300.0" font-size="11" font-weight="700" fill="#0d9488">出口</text>
+<text x="384.0" y="300.0" font-size="11" font-weight="700" fill="#0d9488">读数</text>
 <text x="420.0" y="300.0" font-size="11.5" fill="#64748b">meas: ua_mv；抬头记万用表响应类型</text>
 <rect x="698.0" y="106.0" width="314.0" height="246.0" rx="10" fill="#f0fdf4" stroke="#16a34a" stroke-width="2"/>
 <text x="710.0" y="132.0" font-size="15" font-weight="700" fill="#0f172a">相位轮</text>
-<text x="1000.0" y="132.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#16a34a">定量 · 取段</text>
+<text x="1000.0" y="132.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#16a34a">定量 · 录波</text>
 <rect x="710.0" y="142.0" width="290.0" height="86.0" rx="6" fill="#ffffff" stroke="#cbd5e1" stroke-width="1"/>
 <line x1="714.0" y1="185.0" x2="996.0" y2="185.0" stroke="#94a3b8" stroke-width="0.8" stroke-dasharray="3 3"/>
 <polyline points="720.0,185.0 721.9,183.4 723.9,181.8 725.8,180.2 727.8,178.6 729.7,177.1 731.7,175.6 733.6,174.1 735.5,172.7 737.5,171.4 739.4,170.1 741.4,168.9 743.3,167.7 745.3,166.7 747.2,165.7 749.1,164.8 751.1,164.0 753.0,163.3 755.0,162.7 756.9,162.2 758.8,161.8 760.8,161.5 762.7,161.3 764.7,161.2 766.6,161.3 768.6,161.4 770.5,161.7 772.4,162.0 774.4,162.5 776.3,163.1 778.3,163.7 780.2,164.5 782.2,165.4 784.1,166.3 786.0,167.4 788.0,168.5 789.9,169.7 791.9,170.9 793.8,172.3 795.8,173.7 797.7,175.1 799.6,176.6 801.6,178.1 803.5,179.7 805.5,181.3 807.4,182.9 809.4,184.5 811.3,186.1 813.2,187.7 815.2,189.3 817.1,190.8 819.1,192.4 821.0,193.9 822.9,195.4 824.9,196.8 826.8,198.2 828.8,199.5 830.7,200.7 832.7,201.9 834.6,203.0 836.5,204.0 838.5,204.9 840.4,205.8 842.4,206.5 844.3,207.1 846.3,207.7 848.2,208.1 850.1,208.4 852.1,208.6 854.0,208.7 856.0,208.7 857.9,208.6 859.9,208.4 861.8,208.1 863.7,207.7 865.7,207.1 867.6,206.5 869.6,205.8 871.5,204.9 873.5,204.0 875.4,203.0 877.3,201.9 879.3,200.7 881.2,199.5 883.2,198.2 885.1,196.8 887.1,195.4 889.0,193.9 890.9,192.4 892.9,190.8 894.8,189.3 896.8,187.7 898.7,186.1 900.6,184.5 902.6,182.9 904.5,181.3 906.5,179.7 908.4,178.1 910.4,176.6 912.3,175.1 914.2,173.7 916.2,172.3 918.1,170.9 920.1,169.7 922.0,168.5 924.0,167.4 925.9,166.3 927.8,165.4 929.8,164.5 931.7,163.7 933.7,163.1 935.6,162.5 937.6,162.0 939.5,161.7 941.4,161.4 943.4,161.3 945.3,161.2 947.3,161.3 949.2,161.5 951.2,161.8 953.1,162.2 955.0,162.7 957.0,163.3 958.9,164.0 960.9,164.8 962.8,165.7 964.7,166.7 966.7,167.7 968.6,168.9 970.6,170.1 972.5,171.4 974.5,172.7 976.4,174.1 978.3,175.6 980.3,177.1 982.2,178.6 984.2,180.2 986.1,181.8 988.1,183.4 990.0,185.0" fill="none" stroke="#16a34a" stroke-width="2" stroke-linejoin="round"/>
@@ -45,13 +44,14 @@
 <text x="720.0" y="226.0" font-size="10.5" font-weight="700" fill="#16a34a">UA 0° 实线</text>
 <text x="798.0" y="226.0" font-size="10.5" font-weight="700" fill="#e11d48">UN +90° 红虚线</text>
 <text x="710.0" y="244.0" font-size="11" font-weight="700" fill="#16a34a">注入</text>
-<text x="746.0" y="244.0" font-size="11.5" fill="#64748b">UA（R31）与 UN（R28）同源同幅 1.000 Vrms</text>
+<text x="746.0" y="244.0" font-size="11.5" fill="#64748b">UA（R31）与 UN（R28）同源同幅 Vpp 2.828 </text>
-<text x="710.0" y="264.0" font-size="11" font-weight="700" fill="#16a34a">判据</text>
+<text x="746.0" y="260.0" font-size="11.5" fill="#64748b">V</text>
-<text x="746.0" y="264.0" font-size="11.5" fill="#0f172a">同段内相位差 ≈0°，B 通道改 90° 应跟到 ≈90</text>
+<text x="710.0" y="280.0" font-size="11" font-weight="700" fill="#16a34a">判据</text>
-<text x="746.0" y="280.0" font-size="11.5" fill="#0f172a">°，±2°</text>
+<text x="746.0" y="280.0" font-size="11.5" fill="#0f172a">同段内相位差 ≈0°，B 通道改 90° 应跟到 ≈90</text>
-<text x="710.0" y="300.0" font-size="11" font-weight="700" fill="#16a34a">出口</text>
+<text x="746.0" y="296.0" font-size="11.5" fill="#0f172a">°，±2°</text>
-<text x="746.0" y="300.0" font-size="11.5" fill="#64748b">wave_read.py fft 定量；phasor(hb) 只核</text>
+<text x="710.0" y="316.0" font-size="11" font-weight="700" fill="#16a34a">读数</text>
-<text x="746.0" y="316.0" font-size="11.5" fill="#64748b">象限</text>
+<text x="746.0" y="316.0" font-size="11.5" fill="#64748b">wave_read.py fft 定量；phasor(hb) 只核</text>
+<text x="746.0" y="332.0" font-size="11.5" fill="#64748b">象限</text>
 <rect x="46.0" y="366.0" width="314.0" height="246.0" rx="10" fill="#fffbeb" stroke="#d97706" stroke-width="2"/>
 <text x="58.0" y="392.0" font-size="15" font-weight="700" fill="#0f172a">测频轮</text>
 <text x="348.0" y="392.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#d97706">A 档无数 = 过</text>
@@ -68,8 +68,8 @@
 <text x="58.0" y="524.0" font-size="11" font-weight="700" fill="#d97706">判据</text>
 <text x="94.0" y="524.0" font-size="11.5" fill="#0f172a">A 档如实报不可测：valid=0、UI 显 --；报 5</text>
 <text x="94.0" y="540.0" font-size="11.5" fill="#0f172a">0.00 反而是 bug</text>
-<text x="58.0" y="560.0" font-size="11" font-weight="700" fill="#d97706">出口</text>
+<text x="58.0" y="560.0" font-size="11" font-weight="700" fill="#d97706">读数</text>
-<text x="94.0" y="560.0" font-size="11.5" fill="#64748b">freq(hb) 0.01 Hz；UI Hz、104 0x401D</text>
+<text x="94.0" y="560.0" font-size="11.5" fill="#64748b">freq(hb) 0.01 Hz；UI Hz</text>
 <rect x="372.0" y="366.0" width="314.0" height="246.0" rx="10" fill="#fff1f2" stroke="#e11d48" stroke-width="2"/>
 <text x="384.0" y="392.0" font-size="15" font-weight="700" fill="#0f172a">削顶轮</text>
 <text x="674.0" y="392.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#e11d48">负向 · 单独日志</text>
@@ -81,24 +81,24 @@
 <text x="420.0" y="504.0" font-size="11.5" fill="#64748b">UB（R52）：DC −1.00 V 保持 ≥5 s，或 2.0 </text>
 <text x="420.0" y="520.0" font-size="11.5" fill="#64748b">Hz 正弦</text>
 <text x="384.0" y="540.0" font-size="11" font-weight="700" fill="#e11d48">判据</text>
-<text x="420.0" y="540.0" font-size="11.5" fill="#0f172a">连续 20 拍贴底 → rail / edge 锁存 + 104 </text>
+<text x="420.0" y="540.0" font-size="11.5" fill="#0f172a">连续 20 拍贴底 → rail / edge 锁存；50 Hz</text>
-<text x="420.0" y="556.0" font-size="11.5" fill="#0f172a">该路 IV 清零；50 Hz 正弦不锁存 = 预期</text>
+<text x="420.0" y="556.0" font-size="11.5" fill="#0f172a"> 正弦不锁存 = 预期</text>
-<text x="384.0" y="576.0" font-size="11" font-weight="700" fill="#e11d48">出口</text>
+<text x="384.0" y="576.0" font-size="11" font-weight="700" fill="#e11d48">读数</text>
-<text x="420.0" y="576.0" font-size="11.5" fill="#64748b">cal: rail / edge；取段再跑 shape 对表</text>
+<text x="420.0" y="576.0" font-size="11.5" fill="#64748b">cal: rail / edge；录波再跑 shape 对表</text>
 <rect x="698.0" y="366.0" width="314.0" height="246.0" rx="10" fill="#f5f3ff" stroke="#7c3aed" stroke-width="2"/>
 <text x="710.0" y="392.0" font-size="15" font-weight="700" fill="#0f172a">谐波轮</text>
-<text x="1000.0" y="392.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#7c3aed">定量 · 取段</text>
+<text x="1000.0" y="392.0" font-size="10.5" text-anchor="end" font-weight="700" fill="#7c3aed">定量 · 录波</text>
 <rect x="710.0" y="402.0" width="290.0" height="86.0" rx="6" fill="#ffffff" stroke="#cbd5e1" stroke-width="1"/>
 <line x1="714.0" y1="445.0" x2="996.0" y2="445.0" stroke="#94a3b8" stroke-width="0.8" stroke-dasharray="3 3"/>
 <polyline points="720.0,445.0 721.9,442.2 723.9,439.5 725.8,437.1 727.8,435.0 729.7,433.4 731.7,432.3 733.6,431.6 735.5,431.3 737.5,431.3 739.4,431.4 741.4,431.5 743.3,431.5 745.3,431.3 747.2,430.9 749.1,430.2 751.1,429.2 753.0,428.1 755.0,426.8 756.9,425.7 758.8,424.7 760.8,424.0 762.7,423.7 764.7,423.8 766.6,424.4 768.6,425.5 770.5,427.0 772.4,428.8 774.4,430.7 776.3,432.7 778.3,434.5 780.2,436.0 782.2,437.2 784.1,438.0 786.0,438.5 788.0,438.6 789.9,438.4 791.9,438.0 793.8,437.7 795.8,437.4 797.7,437.4 799.6,437.7 801.6,438.4 803.5,439.4 805.5,440.8 807.4,442.5 809.4,444.4 811.3,446.3 813.2,448.1 815.2,449.7 817.1,451.0 819.1,451.9 821.0,452.5 822.9,452.6 824.9,452.5 826.8,452.2 828.8,451.8 830.7,451.5 832.7,451.4 834.6,451.6 836.5,452.2 838.5,453.1 840.4,454.5 842.4,456.1 844.3,458.0 846.3,459.9 848.2,461.8 850.1,463.5 852.1,464.9 854.0,465.8 856.0,466.3 857.9,466.3 859.9,465.8 861.8,465.0 863.7,464.0 865.7,462.8 867.6,461.6 869.6,460.5 871.5,459.6 873.5,458.9 875.4,458.6 877.3,458.5 879.3,458.5 881.2,458.7 883.2,458.7 885.1,458.6 887.1,458.2 889.0,457.3 890.9,456.1 892.9,454.3 894.8,452.2 896.8,449.7 898.7,446.9 900.6,444.0 902.6,441.2 904.5,438.6 906.5,436.3 908.4,434.4 910.4,433.0 912.3,432.1 914.2,431.5 916.2,431.3 918.1,431.3 920.1,431.4 922.0,431.5 924.0,431.5 925.9,431.2 927.8,430.7 929.8,429.9 931.7,428.8 933.7,427.6 935.6,426.4 937.6,425.3 939.5,424.4 941.4,423.8 943.4,423.7 945.3,424.0 947.3,424.8 949.2,426.0 951.2,427.6 953.1,429.4 955.0,431.4 957.0,433.3 958.9,435.0 960.9,436.5 962.8,437.5 964.7,438.2 966.7,438.5 968.6,438.5 970.6,438.3 972.5,437.9 974.5,437.6 976.4,437.4 978.3,437.4 980.3,437.9 982.2,438.7 984.2,439.8 986.1,441.4 988.1,443.1 990.0,445.0" fill="none" stroke="#7c3aed" stroke-width="2" stroke-linejoin="round"/>
 <text x="720.0" y="411.0" font-size="10.5" fill="#64748b">基波 + 2 次 + 5 次</text>
 <text x="710.0" y="504.0" font-size="11" font-weight="700" fill="#7c3aed">注入</text>
-<text x="746.0" y="504.0" font-size="11.5" fill="#64748b">IA（R19）：基波 0.800 + 二次 0.160 + 五</text>
+<text x="746.0" y="504.0" font-size="11.5" fill="#64748b">IA（R19）：分三注，基波 Vpp 2.263、二五次</text>
-<text x="746.0" y="520.0" font-size="11.5" fill="#64748b">次 0.160 Vrms</text>
+<text x="746.0" y="520.0" font-size="11.5" fill="#64748b">各 Vpp 0.453</text>
 <text x="710.0" y="540.0" font-size="11" font-weight="700" fill="#7c3aed">判据</text>
-<text x="746.0" y="540.0" font-size="11.5" fill="#0f172a">Ia2 / Ia5 各 ≈0.160 Vrms，±2 %（最坏峰值</text>
+<text x="746.0" y="540.0" font-size="11.5" fill="#0f172a">Ia2 / Ia5 各读数 ≈0.160 V，±2 %（最坏峰</text>
-<text x="746.0" y="556.0" font-size="11.5" fill="#0f172a"> 1.58 V 留余量）</text>
+<text x="746.0" y="556.0" font-size="11.5" fill="#0f172a">值 1.58 V 留余量）</text>
-<text x="710.0" y="576.0" font-size="11" font-weight="700" fill="#7c3aed">出口</text>
+<text x="710.0" y="576.0" font-size="11" font-weight="700" fill="#7c3aed">读数</text>
 <text x="746.0" y="576.0" font-size="11.5" fill="#64748b">wave_read.py fft --ch 4；UI Ia2 / Ia5 </text>
 <text x="746.0" y="592.0" font-size="11.5" fill="#64748b">目检旁证</text>
 <line x1="46.0" y1="634.0" x2="1014.0" y2="634.0" stroke="#cbd5e1" stroke-width="1"/>

docs/images/项目架构总览.svg

@@ -1,5 +1,5 @@
-<svg xmlns="http://www.w3.org/2000/svg" width="1560" height="1192" viewBox="0 0 1560 1192" font-family="Microsoft YaHei, Segoe UI, PingFang SC, sans-serif">
+<svg xmlns="http://www.w3.org/2000/svg" width="1560" height="1240" viewBox="0 0 1560 1240" font-family="Microsoft YaHei, Segoe UI, PingFang SC, sans-serif">
-<rect x="0" y="0" width="1560" height="1192" fill="#ffffff"/>
+<rect x="0" y="0" width="1560" height="1240" fill="#ffffff"/>
 <text x="26" y="40" font-size="20" font-weight="700" fill="#0f172a">STM32F4-Base 项目分层架构</text>
 <text x="26" y="62" font-size="13" fill="#64748b">STM32F407ZGTx @168MHz · FreeRTOS V10.3.1 (CMSIS-RTOS2) · 上层只依赖相邻下层</text>
 <rect x="26" y="78" width="1508" height="92" rx="12" fill="#eff6ff" stroke="#2563eb" stroke-opacity="0.45"/>
@@ -7,7 +7,7 @@
 <text x="134" y="104" font-size="12" fill="#64748b">顶层共享配置 · 被 UI 与基础服务共用</text>
 <rect x="44" y="116" width="489" height="38" rx="8" fill="#ffffff" stroke="#2563eb" stroke-opacity="0.55"/>
 <text x="288" y="139" font-size="13" fill="#1e293b" text-anchor="middle">net_cfg（网口配置：IP/掩码/网关/MAC · /config.ini [network] 段）</text>
-<rect x="26" y="214" width="741" height="284" rx="12" fill="#f5f3ff" stroke="#7c3aed" stroke-opacity="0.45"/>
+<rect x="26" y="214" width="741" height="332" rx="12" fill="#f5f3ff" stroke="#7c3aed" stroke-opacity="0.45"/>
 <text x="44" y="240" font-size="17" font-weight="700" fill="#7c3aed">② UI 层</text>
 <text x="129" y="240" font-size="12" fill="#64748b">Drivers/BSP/UI · 一份显存三出（模拟器/屏板/远程）</text>
 <rect x="44" y="252" width="162" height="38" rx="8" fill="#ffffff" stroke="#7c3aed" stroke-opacity="0.55"/>
@@ -32,7 +32,7 @@
 <text x="330" y="419" font-size="13" fill="#1e293b" text-anchor="middle">ui_font_cn_12（中文字体）</text>
 <rect x="444" y="396" width="172" height="38" rx="8" fill="#ffffff" stroke="#7c3aed" stroke-opacity="0.55"/>
 <text x="530" y="419" font-size="13" fill="#1e293b" text-anchor="middle">ui_deco（浅 V 装饰）</text>
-<rect x="793" y="214" width="741" height="284" rx="12" fill="#f0fdfa" stroke="#0d9488" stroke-opacity="0.45"/>
+<rect x="793" y="214" width="741" height="332" rx="12" fill="#f0fdfa" stroke="#0d9488" stroke-opacity="0.45"/>
 <text x="811" y="240" font-size="17" font-weight="700" fill="#0d9488">③ 基础服务层</text>
 <text x="935" y="240" font-size="12" fill="#64748b">应用侧服务 / 编排</text>
 <rect x="811" y="252" width="170" height="38" rx="8" fill="#ffffff" stroke="#0d9488" stroke-opacity="0.55"/>
@@ -55,77 +55,77 @@
 <text x="960" y="467" font-size="13" fill="#1e293b" text-anchor="middle">cfg_file · prot_set_store（配置引擎）</text>
 <rect x="1119" y="444" width="148" height="38" rx="8" fill="#ffffff" stroke="#0d9488" stroke-opacity="0.55"/>
 <text x="1193" y="467" font-size="13" fill="#1e293b" text-anchor="middle">lftpd（FTP :21）</text>
-<rect x="1277" y="444" width="227" height="38" rx="8" fill="#ffffff" stroke="#0d9488" stroke-opacity="0.55"/>
+<rect x="811" y="492" width="355" height="38" rx="8" fill="#ffffff" stroke="#0d9488" stroke-opacity="0.55"/>
-<text x="1391" y="467" font-size="13" fill="#1e293b" text-anchor="middle">time_sync（TCP 对时 :8888）</text>
+<text x="988" y="515" font-size="13" fill="#1e293b" text-anchor="middle">time_sntp（SNTP 对时，UDP 出向；:8888 已退役）</text>
-<rect x="26" y="542" width="1508" height="140" rx="12" fill="#f0fdf4" stroke="#16a34a" stroke-opacity="0.45"/>
+<rect x="26" y="590" width="1508" height="140" rx="12" fill="#f0fdf4" stroke="#16a34a" stroke-opacity="0.45"/>
-<text x="44" y="568" font-size="17" font-weight="700" fill="#16a34a">④ 中间件层</text>
+<text x="44" y="616" font-size="17" font-weight="700" fill="#16a34a">④ 中间件层</text>
-<text x="151" y="568" font-size="12" fill="#64748b">通用库 / 协议栈</text>
+<text x="151" y="616" font-size="12" fill="#64748b">通用库 / 协议栈</text>
-<rect x="44" y="580" width="675" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
+<rect x="44" y="628" width="675" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
-<text x="381" y="603" font-size="13" fill="#1e293b" text-anchor="middle">net_socket / net_select / net_events / net_listener / net_pending（BSD API + 阻塞模型）</text>
+<text x="381" y="651" font-size="13" fill="#1e293b" text-anchor="middle">net_socket / net_select / net_events / net_listener / net_pending（BSD API + 阻塞模型）</text>
-<rect x="729" y="580" width="147" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
+<rect x="729" y="628" width="147" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
-<text x="803" y="603" font-size="13" fill="#1e293b" text-anchor="middle">FatFs（文件系统）</text>
+<text x="803" y="651" font-size="13" fill="#1e293b" text-anchor="middle">FatFs（文件系统）</text>
-<rect x="887" y="580" width="186" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
+<rect x="887" y="628" width="186" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
-<text x="980" y="603" font-size="13" fill="#1e293b" text-anchor="middle">nand_ftl（dhara FTL）</text>
+<text x="980" y="651" font-size="13" fill="#1e293b" text-anchor="middle">nand_ftl（dhara FTL）</text>
-<rect x="1083" y="580" width="164" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
+<rect x="1083" y="628" width="164" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
-<text x="1165" y="603" font-size="13" fill="#1e293b" text-anchor="middle">LVGL v9.3（图形库）</text>
+<text x="1165" y="651" font-size="13" fill="#1e293b" text-anchor="middle">LVGL v9.3（图形库）</text>
-<rect x="1258" y="580" width="177" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
+<rect x="1258" y="628" width="177" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
-<text x="1347" y="603" font-size="13" fill="#1e293b" text-anchor="middle">sys_clock（墙钟基准）</text>
+<text x="1347" y="651" font-size="13" fill="#1e293b" text-anchor="middle">sys_clock（墙钟基准）</text>
-<rect x="44" y="628" width="219" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
+<rect x="44" y="676" width="219" height="38" rx="8" fill="#ffffff" stroke="#16a34a" stroke-opacity="0.55"/>
-<text x="153" y="651" font-size="13" fill="#1e293b" text-anchor="middle">task_watchdog（IWDG 判定）</text>
+<text x="153" y="699" font-size="13" fill="#1e293b" text-anchor="middle">task_watchdog（IWDG 判定）</text>
-<rect x="26" y="726" width="1508" height="92" rx="12" fill="#fffbeb" stroke="#d97706" stroke-opacity="0.45"/>
+<rect x="26" y="774" width="1508" height="92" rx="12" fill="#fffbeb" stroke="#d97706" stroke-opacity="0.45"/>
-<text x="44" y="752" font-size="17" font-weight="700" fill="#d97706">⑤ 驱动层</text>
+<text x="44" y="800" font-size="17" font-weight="700" fill="#d97706">⑤ 驱动层</text>
-<text x="134" y="752" font-size="12" fill="#64748b">Drivers/BSP · 芯片时序/中断</text>
+<text x="134" y="800" font-size="12" fill="#64748b">Drivers/BSP · 芯片时序/中断</text>
-<rect x="44" y="764" width="178" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
+<rect x="44" y="812" width="178" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
-<text x="133" y="787" font-size="13" fill="#1e293b" text-anchor="middle">ch395f（SPI2 + DMA）</text>
+<text x="133" y="835" font-size="13" fill="#1e293b" text-anchor="middle">ch395f（SPI2 + DMA）</text>
-<rect x="232" y="764" width="163" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
+<rect x="232" y="812" width="163" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
-<text x="314" y="787" font-size="13" fill="#1e293b" text-anchor="middle">gd5f2gq5ue（SPI1）</text>
+<text x="314" y="835" font-size="13" fill="#1e293b" text-anchor="middle">gd5f2gq5ue（SPI1）</text>
-<rect x="406" y="764" width="195" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
+<rect x="406" y="812" width="195" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
-<text x="503" y="787" font-size="13" fill="#1e293b" text-anchor="middle">tpafe5160（并行 16 位）</text>
+<text x="503" y="835" font-size="13" fill="#1e293b" text-anchor="middle">tpafe5160（并行 16 位）</text>
-<rect x="611" y="764" width="133" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
+<rect x="611" y="812" width="133" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
-<text x="677" y="787" font-size="13" fill="#1e293b" text-anchor="middle">sd2506（I2C1）</text>
+<text x="677" y="835" font-size="13" fill="#1e293b" text-anchor="middle">sd2506（I2C1）</text>
-<rect x="754" y="764" width="171" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
+<rect x="754" y="812" width="171" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
-<text x="840" y="787" font-size="13" fill="#1e293b" text-anchor="middle">rs485（UART4 + DE）</text>
+<text x="840" y="835" font-size="13" fill="#1e293b" text-anchor="middle">rs485（UART4 + DE）</text>
-<rect x="935" y="764" width="388" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
+<rect x="935" y="812" width="388" height="38" rx="8" fill="#ffffff" stroke="#d97706" stroke-opacity="0.55"/>
-<text x="1130" y="787" font-size="13" fill="#1e293b" text-anchor="middle">sb_link · sb_proto（屏板链路 · USART1 700 kbaud）</text>
+<text x="1130" y="835" font-size="13" fill="#1e293b" text-anchor="middle">sb_link · sb_proto（屏板链路 · USART1 700 kbaud）</text>
-<rect x="26" y="862" width="1508" height="92" rx="12" fill="#f1f5f9" stroke="#475569" stroke-opacity="0.45"/>
+<rect x="26" y="910" width="1508" height="92" rx="12" fill="#f1f5f9" stroke="#475569" stroke-opacity="0.45"/>
-<text x="44" y="888" font-size="17" font-weight="700" fill="#475569">⑥ 内核 / HAL</text>
+<text x="44" y="936" font-size="17" font-weight="700" fill="#475569">⑥ 内核 / HAL</text>
-<text x="176" y="888" font-size="12" fill="#64748b">调度 · 外设抽象</text>
+<text x="176" y="936" font-size="12" fill="#64748b">调度 · 外设抽象</text>
-<rect x="44" y="900" width="329" height="38" rx="8" fill="#ffffff" stroke="#475569" stroke-opacity="0.55"/>
+<rect x="44" y="948" width="329" height="38" rx="8" fill="#ffffff" stroke="#475569" stroke-opacity="0.55"/>
-<text x="208" y="923" font-size="13" fill="#1e293b" text-anchor="middle">FreeRTOS V10.3.1（CMSIS-RTOS2 · heap_4）</text>
+<text x="208" y="971" font-size="13" fill="#1e293b" text-anchor="middle">FreeRTOS V10.3.1（CMSIS-RTOS2 · heap_4）</text>
-<rect x="383" y="900" width="189" height="38" rx="8" fill="#ffffff" stroke="#475569" stroke-opacity="0.55"/>
+<rect x="383" y="948" width="189" height="38" rx="8" fill="#ffffff" stroke="#475569" stroke-opacity="0.55"/>
-<text x="478" y="923" font-size="13" fill="#1e293b" text-anchor="middle">STM32 HAL（时基 TIM7）</text>
+<text x="478" y="971" font-size="13" fill="#1e293b" text-anchor="middle">STM32 HAL（时基 TIM7）</text>
-<rect x="582" y="900" width="144" height="38" rx="8" fill="#ffffff" stroke="#475569" stroke-opacity="0.55"/>
+<rect x="582" y="948" width="144" height="38" rx="8" fill="#ffffff" stroke="#475569" stroke-opacity="0.55"/>
-<text x="655" y="923" font-size="13" fill="#1e293b" text-anchor="middle">CMSIS / 启动文件</text>
+<text x="655" y="971" font-size="13" fill="#1e293b" text-anchor="middle">CMSIS / 启动文件</text>
-<rect x="26" y="998" width="1508" height="140" rx="12" fill="#fff1f2" stroke="#e11d48" stroke-opacity="0.45"/>
+<rect x="26" y="1046" width="1508" height="140" rx="12" fill="#fff1f2" stroke="#e11d48" stroke-opacity="0.45"/>
-<text x="44" y="1024" font-size="17" font-weight="700" fill="#e11d48">⑦ 硬件</text>
+<text x="44" y="1072" font-size="17" font-weight="700" fill="#e11d48">⑦ 硬件</text>
-<text x="117" y="1024" font-size="12" fill="#64748b">STM32F407ZGTx @168MHz</text>
+<text x="117" y="1072" font-size="12" fill="#64748b">STM32F407ZGTx @168MHz</text>
-<rect x="44" y="1036" width="179" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="44" y="1084" width="179" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="133" y="1059" font-size="13" fill="#1e293b" text-anchor="middle">CH395F 以太网（SPI2）</text>
+<text x="133" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">CH395F 以太网（SPI2）</text>
-<rect x="233" y="1036" width="201" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="233" y="1084" width="201" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="334" y="1059" font-size="13" fill="#1e293b" text-anchor="middle">GD5F2GQ5UE NAND（SPI1）</text>
+<text x="334" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">GD5F2GQ5UE NAND（SPI1）</text>
-<rect x="445" y="1036" width="182" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="445" y="1084" width="182" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="536" y="1059" font-size="13" fill="#1e293b" text-anchor="middle">TPAFE5160 ADC（并行）</text>
+<text x="536" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">TPAFE5160 ADC（并行）</text>
-<rect x="637" y="1036" width="163" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="637" y="1084" width="163" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="718" y="1059" font-size="13" fill="#1e293b" text-anchor="middle">SD2506 RTC（I2C1）</text>
+<text x="718" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">SD2506 RTC（I2C1）</text>
-<rect x="810" y="1036" width="202" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="810" y="1084" width="202" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="912" y="1059" font-size="13" fill="#1e293b" text-anchor="middle">RS-485（UART4 · 未接线）</text>
+<text x="912" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">RS-485（UART4 · 未接线）</text>
-<rect x="1023" y="1036" width="219" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="1023" y="1084" width="219" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="1133" y="1059" font-size="13" fill="#1e293b" text-anchor="middle">屏板（USART1 · 700 kbaud）</text>
+<text x="1133" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">屏板（USART1 · 700 kbaud）</text>
-<rect x="1253" y="1036" width="249" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="1253" y="1084" width="249" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="1377" y="1059" font-size="13" fill="#1e293b" text-anchor="middle">RS232#1 日志（UART5 · 115200）</text>
+<text x="1377" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">RS232#1 日志（UART5 · 115200）</text>
-<rect x="44" y="1084" width="77" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
+<rect x="44" y="1132" width="77" height="38" rx="8" fill="#ffffff" stroke="#e11d48" stroke-opacity="0.55"/>
-<text x="82" y="1107" font-size="13" fill="#1e293b" text-anchor="middle">6x LED</text>
+<text x="82" y="1155" font-size="13" fill="#1e293b" text-anchor="middle">6x LED</text>
 <line x1="780.0" y1="176.0" x2="780.0" y2="199.0" stroke="#94a3b8" stroke-width="2.5"/>
 <path d="M 780.0 206.0 l -6 -9 h 12 z" fill="#94a3b8"/>
-<line x1="396.5" y1="504.0" x2="396.5" y2="527.0" stroke="#94a3b8" stroke-width="2.5"/>
+<line x1="396.5" y1="552.0" x2="396.5" y2="575.0" stroke="#94a3b8" stroke-width="2.5"/>
-<path d="M 396.5 534.0 l -6 -9 h 12 z" fill="#94a3b8"/>
+<path d="M 396.5 582.0 l -6 -9 h 12 z" fill="#94a3b8"/>
-<line x1="1163.5" y1="504.0" x2="1163.5" y2="527.0" stroke="#94a3b8" stroke-width="2.5"/>
+<line x1="1163.5" y1="552.0" x2="1163.5" y2="575.0" stroke="#94a3b8" stroke-width="2.5"/>
-<path d="M 1163.5 534.0 l -6 -9 h 12 z" fill="#94a3b8"/>
+<path d="M 1163.5 582.0 l -6 -9 h 12 z" fill="#94a3b8"/>
-<line x1="780.0" y1="688.0" x2="780.0" y2="711.0" stroke="#94a3b8" stroke-width="2.5"/>
+<line x1="780.0" y1="736.0" x2="780.0" y2="759.0" stroke="#94a3b8" stroke-width="2.5"/>
-<path d="M 780.0 718.0 l -6 -9 h 12 z" fill="#94a3b8"/>
+<path d="M 780.0 766.0 l -6 -9 h 12 z" fill="#94a3b8"/>
-<line x1="780.0" y1="824.0" x2="780.0" y2="847.0" stroke="#94a3b8" stroke-width="2.5"/>
+<line x1="780.0" y1="872.0" x2="780.0" y2="895.0" stroke="#94a3b8" stroke-width="2.5"/>
-<path d="M 780.0 854.0 l -6 -9 h 12 z" fill="#94a3b8"/>
+<path d="M 780.0 902.0 l -6 -9 h 12 z" fill="#94a3b8"/>
-<line x1="780.0" y1="960.0" x2="780.0" y2="983.0" stroke="#94a3b8" stroke-width="2.5"/>
+<line x1="780.0" y1="1008.0" x2="780.0" y2="1031.0" stroke="#94a3b8" stroke-width="2.5"/>
-<path d="M 780.0 990.0 l -6 -9 h 12 z" fill="#94a3b8"/>
+<path d="M 780.0 1038.0 l -6 -9 h 12 z" fill="#94a3b8"/>
-<text x="26" y="1174" font-size="12" fill="#94a3b8">上层只依赖相邻下层（单向）；UI 层与基础服务层同级并列，均使用顶层 net_cfg。跨层调用细节见 docs/架构设计/项目架构总览.md §1.2</text>
+<text x="26" y="1222" font-size="12" fill="#94a3b8">上层只依赖相邻下层（单向）；UI 层与基础服务层同级并列，均使用顶层 net_cfg。跨层调用细节见 docs/架构设计/项目架构总览.md §1.2</text>
 </svg>

docs/产品需求/产品需求设计文档.md

@@ -126,7 +126,8 @@ flowchart LR
     end
     DEV -- "USB：ST-Link 下载器" --> TGT
     DEV -- "USB→RS-232 适配器：RS232#1 @115200 调试日志" --> TGT
-    TGT -- "以太网 CH395F<br/>FTP:21 / 对时:8888 / 远程显示:7003" --> RMT
+    TGT -- "以太网 CH395F<br/>FTP:21 / 远程显示:7003" --> RMT
+    TGT -. "对时：SNTP 客户端 UDP 123 出向（:8888 已退役）" .-> NTP["现场/公网 NTP 源"]
 ```
 
 | 环境 | 角色 | 必需性 |
@@ -153,7 +154,7 @@ flowchart LR
 1. **开关柜现场部署**：设备上电 → 按 `/config.ini` 出厂 IP 组网 → 主站连工厂默认 :2404 总召 →
    现场用屏板看测量、按按键翻菜单；死机由看门狗自恢复（无需到场）。
 2. **远程运维**：PC 经 :7003 看同一份 UI、注键操作；FTP 取 `/log`（运行/自检/SOE 记录）
-   与 `/config.ini`；改 IP 后 2~5 s 生效不重启；PC 推 :8888 对时。
+   与 `/config.ini`；改 IP 后 2~5 s 生效不重启；SNTP 出向对时（原 PC 推 :8888 已退役）。
 3. **脱离 PC 独立带屏运行**：串口屏板直连 USART1（700 kbaud），主机 275 ms 召唤、
    ≤200 ms 回 4208 B 帧（3200 B 显存 + 状态灯掩码 + info）——无 PC 也能看与按（§5.16）。
 4. **保护运行（等标定解锁）**：1 kHz 采样 → 全周傅氏相量 → 20 ms 判据节拍 → 动作只落
@@ -250,7 +251,7 @@ flowchart LR
 |---|---|---|---|
 | P0 | FR-NET 网络通信（§5.1） | ✅ | CH395F + BSD 抽象 + 单连接自愈 |
 | P0 | FR-STO 存储（§5.2） | ✅ | SPI NAND→dhara→FatFs，卷自愈 |
-| P0 | FR-TIME 时间（§5.3） | ✅ | SD2506 墙钟 + :8888 对时（2038 已知限） |
+| P0 | FR-TIME 时间（§5.3） | ✅ | SD2506 墙钟 + SNTP 对时（原 :8888 已退役；2038 已知限） |
 | P0 | FR-CFG 配置引擎（§5.4） | ✅ | INI 段键表 + 外科保存 + 免重启生效 |
 | P0 | FR-LOG 记录与日志（§5.5） | ✅ | 定长记录 + 控制台单写者 |
 | P0 | FR-WD 看门狗（§5.7） | ✅ | 心跳位图 + 复位原因 + Fault 现场 |
@@ -319,10 +320,16 @@ flowchart LR
 - 实现：`sys_clock_init()` 读一次 RTC 建基准（无效时按默认值自动校时）；base+delta 法；30 天惰性再基准化（防 49.7 天 tick 回绕）；`sys_clock_get_str()` → `"YYYY-MM-DD HH:MM:SS"`。
 - 判据：日志时间戳真实正确；主机侧单测 100 断言点通过。
 
-**FR-TIME-2 网络对时**
+**FR-TIME-2 网络对时**（已退役 2026-11-04，由 FR-TIME-3 接替）
 - 需求：PC 主动通过 TCP :8888 推送时间到设备，设备写回 RTC。
-- 实现：`timeSyncTask` 等 `NET_READY` → TCP listen :8888 → 收 PC 推送 → 写 RTC；30 s 无包则掉线重建监听。
+- 退役：**已由 FR-TIME-3 SNTP 取代并退役**——`:8888` 监听、8 字节 "TIME" 协议、PC 推送器随
-- 判据：对时后设备墙钟更新、日志时间戳正确。
+  工单 #78 删除；网络校时唯一入口 = SNTP（FR-TIME-3）。历史实现见 git 历史与
+  `docs/子系统设计/系统墙钟时间维护说明.md` §15。
+
+**FR-TIME-3 SNTP 校时** ✅（2026-11-04）
+- 需求：设备作 SNTP（RFC 4330）客户端从配置的 IPv4 服务器经 UDP/123 取时写回 RTC；使能、主/备服务器、轮询周期可配（UI「SNTP 设置」页或 `/config.ini` `[sntp]` 段，保存后随下一轮生效）。
+- 实现：`timeSyncTask` 200 ms 校时节拍驱动（`time_sync.c` v2.0，:8888 退役后任务即纯宿主；≤50 ms 收片切片，不饿任务狗与 IWDG）；48 字节报文由 vendored coreSNTP 序列化器（`Lib/coreSNTP/`）编解码，节奏与判据在本方；防伪 = OriginTimestamp 须逐位等于发出的 T1（含随机小数位），mode / stratum / 闰秒指示 / Kiss-o'-Death 按 RFC 拒绝；主备轮换 + 失败指数退避（5 s 起、60 s 封顶）+ 首轮 1~5 分钟随机；成功时 |offset| < 2 s 只记日志不阶跃，更大偏差阶跃写回 SD2506——钟面 = 本地时间（UTC+8，沿用本地钟面时基口径，取舍见 docs/任务规划/UI补齐.md §4 时基口径注）；首个校验通过的同步置 `SYS_EVT_TIMESYNC_READY`。
+- 判据：主机单测 `test/host/sntp`（报文格式 / 伪造拒收 / KoD 轮换 / 退避与周期 / 阶跃域守卫）；真机 = 使能并配置服务器后时钟与时间源一致、`[SNTP] step offset=` 日志在场（台架窗口统一做）。
 
 > **已知限制**：uint32 epoch → **2038 年**上限。
 
@@ -613,7 +620,7 @@ flowchart LR
   上电次数 + 本次复位原因快照）与 iec104_serv 的四个只读观测计数，经 info 帧下发
   （口径 docs/UI设计/UI_数据供给设计说明.md §4.4）。
 - 判据：五类记录各有写入点、可翻最近 20 条、空记录明确显示"无记录"、共用 reader——**软件面已满足**
-  （空态与四个范围标签由 66 张像素黄金钉住；模拟器侧这些文件没有写入方，只拍到空态）。
+  （空态与四个范围标签由 74 张像素黄金钉住；模拟器侧这些文件没有写入方，只拍到空态）。
   真记录翻页、掉电后保持、清除记录后归零、boot_count 自增与四态判定**待台架复核**
   （docs/任务规划/登记簿.md §7）。
 
@@ -1193,7 +1200,7 @@ for (i = 1; i < LED_COUNT; i++)                                            /* LE
 | 服务 | 协议 / 端口 | 用途 | 核对方法 |
 |---|---|---|---|
 | FTP | TCP **21** | 文件上传/下载（根目录 `/`，NAND 存储） | 登录后任意 FTP 客户端列目录/读写（鉴权见 §7.6） |
-| 墙钟对时 | TCP **8888** | PC 主动推送时间到设备 | 对时后核对设备时间 / 日志时间戳 |
+| 墙钟对时（SNTP 客户端） | UDP 出向 **123**（主/备服务器 `[sntp]` 段，enable=0 出厂默认） | 设备主动取 NTP 源时间写 RTC（:8888 推送监听**已删除**，2026-11-04，§6.3） | 使能后核对设备时间 / 日志时间戳与 `[SNTP] step offset=` 留痕 |
 | 远程显示（RemoDispBus） | TCP **7003** | 远端看图（160×160 1bpp）+ 远端导航按键 | DTU-RemoteLCD 或任意 TCP 客户端连 7003 收帧 |
 | IEC 60870-5-104 上行 | TCP **工厂默认 2404** | 被控站接入：遥测/遥信上送、总召、遥控/定值下发（点表见 §6.8） | 任意 104 主站连 2404，STARTDT+总召往返（→ `docs/子系统设计/IEC104上行设计说明.md`） |
 
@@ -1249,11 +1256,13 @@ for (i = 1; i < LED_COUNT; i++)                                            /* LE
 
 > 详见 `docs/UI设计/RemoDispBus协议与接收设计说明.md`。MCU 与模拟器**共用同一份** `ui_net_sink.c`。
 
-### 6.3 对时协议
+### 6.3 对时协议（SNTP 客户端）
 
-- **载体**：TCP :8888，PC 主动推送，设备接收并写 RTC。
+- **载体**：设备作 **SNTP（RFC 4330）客户端**，向 `[sntp]` 段配置的主/备服务器 UDP/123 出向取时，写回 RTC。
-- **行为**：`timeSyncTask` 监听 → 收包 → 写回 RTC；30 s 无包则掉线重建监听（约 4 s）。
+- **行为**：`timeSyncTask` 200 ms 节拍到点发 48 字节请求，应答经 OriginTimestamp 逐位防伪校验后按阈值步进；主备轮换 + 失败指数退避（5 s 起、60 s 封顶）。
-- **待补充**：推送报文的具体帧格式（当前实现细节见 `App/sync/time_sync.c` 与 `test/host/time_sync_server.py`）。
+- **退役**：原 **TCP :8888 PC 推送**（8 字节 `"TIME"` 帧）已于 2026-11-04 退役删除（工单 #78），
+  帧格式与实现细节见 git 历史；协议口径与教训沉淀于 `docs/子系统设计/系统墙钟时间维护说明.md` §15/§16。
+- **详规**：报文编解码用 vendored coreSNTP 序列化器（`Lib/coreSNTP/`），判据见 §5.3 FR-TIME-3。
 
 ### 6.4 FTP 服务
 
@@ -1404,7 +1413,7 @@ mac=00:00:00:00:00:00
 | 指标 | 基线值 | 来源 |
 |---|---|---|
 | M3 压力档帧周期 | med 60.1 / p95 66.4 / max 69.3 ms（零尖峰） | `docs/测试说明/专项验证/链路延迟测试说明.md` |
-| 队列响应性（挂起客户端） | 92.5 ms（pending 一期） | `test/host/e02_probe.py` |
+| 队列响应性（挂起客户端） | 92.5 ms（pending 一期） | 台架实测（探针 `e02_probe.py` 已删除——2026-11-04 随 :8888 退役，正文见 git 历史） |
 | FTP 传输速率 | 约 49 / 60 KB/s（上传/下载） | 128 KB 实测 |
 | 网络重建生效 | 2~5 s（含等链路 ≤3 s） | 配置设计 |
 | UI 刷新 | 10 ms 循环 | `ui_task_func` |
@@ -1539,10 +1548,11 @@ pre-commit run --all-files
 > 图里的节点数、绑页与密码门读数由 `tools/arch_diagram/gen_menu_tree_svg.py` 现算自真值 `ui_menu_tree.txt`（改菜单树 → 同步脚本内 `NODE_SRC` 重跑）；级联框在屏上怎么摆（几何）→ `docs/UI设计/菜单页面设计.md` §4.1。
 
 **规模**：菜单节点 **9** 个（含根）+ 叶子节点 **34** 个 = **43** 节点；最大深度 **4 级（主界面 / 一级 / 二级 / 三级菜单）**。
-**绑定现状**（2026-10-29 复扫）：**已绑内容页 30 叶 / 未绑 4 叶**（页面注册表 `UI_PAGE_MAP_COUNT` = 30，
+**绑定现状**（2026-11-04 复扫）：**已绑内容页 31 叶 / 未绑 3 叶**（页面注册表 `UI_PAGE_MAP_COUNT` = 31，
-与已绑叶数一致）；未绑 4 叶 = 无开入硬件 3 + SNTP 1（取舍与重开条件见
+与已绑叶数一致）；未绑 3 叶 = 无开入硬件 3（取舍与重开条件见
 docs/任务规划/UI补齐.md §5）；原「当前执行 6 项」（记录 5 页 + 运行报告）已于 2026-10-28 落地绑页，
-「手动录波」与「录波回放」两叶于 2026-10-29 随录波道绑页（判据见 docs/子系统设计/故障录波设计说明.md §4.1 与 §8.1）。
+「手动录波」与「录波回放」两叶于 2026-10-29 随录波道绑页（判据见 docs/子系统设计/故障录波设计说明.md §4.1 与 §8.1），
+「SNTP 设置」叶于 2026-11-04 随 SNTP 客户端立项绑页（判据见 §5.3 FR-TIME-3 与 docs/网络/BSD_Socket_API_使用指南.md §6.1）。
 
 **根页（主界面）7 个一级条目**：装置信息 / 实时数据 / 参数定值 / 三遥设置 / 装置维护 / 通讯参数 / 记录查询。
 
@@ -1576,7 +1586,7 @@ docs/任务规划/UI补齐.md §5）；原「当前执行 6 项」（记录 5
 
 ### 8.3 内容页
 
-**已绑 30 页**（按分组；逐页形态见 [`docs/UI设计/页面补齐规划.md`](../UI设计/页面补齐规划.md)）：
+**已绑 31 页**（按分组；逐页形态见 [`docs/UI设计/页面补齐规划.md`](../UI设计/页面补齐规划.md)）：
 
 | 分组 | 页面 | 形态 |
 |---|---|---|
@@ -1586,21 +1596,21 @@ docs/任务规划/UI补齐.md §5）；原「当前执行 6 项」（记录 5
 | 参数定值 | 整定 4 页（参数 / 定值 / 控制字 / 软压板） | 可编辑（写值 + 置脏 + 保存反馈） |
 | 三遥设置 | 遥测死区 / 遥测系数 | 可编辑（运行参数段，`0x8030~0x804F`） |
 | 装置维护 | 时钟设置 / 强制复归 / 清除记录 / 手动录波 | 操作页（执行类必须出真反馈，不得"点了没效果"；手动录波触发后回读同一份计数，判据见 docs/子系统设计/故障录波设计说明.md §8.2） |
-| 通讯参数 | 通讯设置 / 网口设置 | 可编辑（`[comm]` / `[network]` 段，保存后按各自生效时机） |
+| 通讯参数 | 通讯设置 / 网口设置 / SNTP 设置 | 可编辑（`[comm]` / `[network]` / `[sntp]` 段，保存后按各自生效时机；SNTP 页改后立即随下一轮生效，判据见 §5.3 FR-TIME-3） |
 | 记录查询 | SOE 记录 / 自检记录 / 运行记录 | 记录列表（共用 reader） |
 | 记录查询 | 事故记录 / 操作记录 / 保护告警 / 保护启动 / 遥控记录 | 记录列表（每记录 2 行、空态显「无记录」；写入点与判据见 App/log/README.md §五类记录） |
 | 记录查询 | 运行报告 | 只读列表 13 行分 2 页；四个数逐个挂范围标签（自电池周期 / 本次开机），跨开机累计按裁定不做 |
 | 记录查询 | 录波回放 | 单通道波形页（阶梯线自绘、8 路切换、单位徽标、削顶标记、空态与不可读态显式文案）；显示契约见 docs/子系统设计/故障录波设计说明.md §8.1 |
 
-**未绑 4 叶**（2026-10-28：记录 5 页与运行报告页已落地绑页，原「当前执行 6 项」清零；2026-10-29：
+**未绑 3 叶**（2026-10-28：记录 5 页与运行报告页已落地绑页，原「当前执行 6 项」清零；2026-10-29：
-录波道落地，「手动录波」叶子随之一并绑页）：
+录波道落地，「手动录波」叶子随之一并绑页；2026-11-04：SNTP 客户端立项落地，「SNTP 设置」叶绑页）：
-遥信类型 / 遥信防抖 / 双点遥信 = 等开入硬件（§9.1.1「出口与开入」）；SNTP 设置 = 等 SNTP 对时（§9.1.2「SNTP 对时」）。
+遥信类型 / 遥信防抖 / 双点遥信 = 等开入硬件（§9.1.1「出口与开入」）。
 
 - 内容页为**独立全屏屏**，由框架一次性自绘（**零 LVGL 子对象**），`ESC` 返回菜单屏。
 - 菜单导航状态**不压层**，返回即原样还原；同一时刻至多一个内容页打开。
 - 节点→页映射在逻辑层 `menu_content_page_for(node)`；未绑叶子进入空白终点框（不伪造数据）。
 - 数据供给走**注入通道**（rt / par / info / 遥测死区与系数第四表），页面不直接触算法层；
-  像素黄金用例当前 **66 张**（菜单 8 状态另计；2026-10-28 记录 5 页与运行报告 2 页落地 +7 张；2026-10-29 录波 UI 道 6 张：手动录波 3 态 + 录波回放 3 态）。
+  像素黄金用例当前 **74 张**（菜单 8 状态另计；2026-10-28 记录 5 页与运行报告 2 页落地 +7 张；2026-10-29 录波 UI 道 6 张：手动录波 3 态 + 录波回放 3 态；2026-11-04 SNTP 设置页 +8 张）。
 
 ### 8.4 密码与权限
 
@@ -1664,7 +1674,7 @@ docs/任务规划/UI补齐.md §5）；原「当前执行 6 项」（记录 5
 | **多规约栈** | 17 | 12 种 | 1 种（104） | +11 种（101 / 102 / 103 / CDT / ModBus / Whm_GB / 61850 / CAN + 子站侧 3 类） |
 | **国密算法** | 18 | `Comm/Ecc/` 全套 | 0 | SM2 / SM3 / ECDSA |
 | **软压板铺开** | 11 | 9 面（表容量 32） | 1 面 | +8 面 |
-| **SNTP 对时** | 17 | 参考对时走 SNTP | 私有 TCP 8888 + 104 `C_CS` | SNTP 客户端 |
+| **SNTP 对时** | 17 | 参考对时走 SNTP | **SNTP 客户端已落地**（2026-11-04：coreSNTP 序列化器 + `[sntp]` 配置 + UI 设置页 + timeSyncTask 接入，判据 §5.3 FR-TIME-3）；另有 104 `C_CS`（私有 TCP 8888 已随 #78 退役删除） | 台架真机对时判据（现场时间源，docs/任务规划/登记簿.md） |
 | **固有参数** | 1 | `8001H~800AH` 字符串类参数 | 未实现（无法短浮点上送） | 随送检点表设计 |
 | **遥测增强** | 4、5 | k=1~9 谐波方和根 + 4 点平均 | 仅基波轨 | 谐波 / 等周波调频 / 零序自产外接切换 三条算法轨 |
 | **屏板链路对齐** | 20 | **串口屏板通道**（**700000 8N1 / USART1 TTL 直连、无 DE**，帧 A 6 B 召唤、帧 B **4208 B** 应答：显存 3200 B + **状态灯 4 B 位掩码** + 4 B info）+ **7003 四命令**（INIT **16 B**，单色口径）+ 续传 / 拒绝握手 / 链路监视 / F1·F2 | **串口通道已交付**（4208 B 应答 / 状态灯掩码 / 键上行 / 双出口并发，屏板链路设计说明 §9.1）；7003 四命令（INIT **8 B**）；无续传、无 `bNeedFlash` 拒绝、无 1 分钟监视、键值 6 个 | 7003 报文口径 6 项（`参考产品复刻明细.md` §11 第 2~9 条）；串口侧验收尾巴见屏板链路设计说明 §9.2 |
@@ -1748,7 +1758,7 @@ docs/任务规划/UI补齐.md §5）；原「当前执行 6 项」（记录 5
 | 3 | 远程显示 | DTU-RemoteLCD 连 7003 | 出图（160×160 1bpp）+ 远端菜单导航可用 |
 | 4 | FTP | FTP 客户端连 :21 | 列目录 / 读写 `/` 下文件 |
 | 5 | UI 功能 | 远端操作 | 菜单 7 项导航、内容页、密码（查看 `000` / 修改 `123`）、网口设置保存后立即生效 |
-| 6 | 对时 | PC 推送 8888 | 设备墙钟更新、日志时间戳正确 |
+| 6 | 对时 | SNTP 配置服务器对时（原 PC 推送 8888 已退役） | 设备墙钟更新、日志时间戳正确 |
 | 7 | 掉电保持 | 写文件 / 改网口配置 / 改定值 → 重启 | 数据仍在（`/config.ini`、`/prot_set.bin` 按新值生效） |
 | 8 | LED 状态 | 目检 | 6 路 LED 随系统状态变化（低电平点亮） |
 | 9 | 104 总召与变位 | PC 主站连工厂默认 :2404 → STARTDT → 总召 | 四组数据回全、`actterm` 正常；制造变位后 COT=3 上送 |

docs/任务规划/README.md

@@ -31,12 +31,12 @@
 
 ## 1. UI 补齐（执行清单已于 2026-10-28 清空）
 
-菜单树共 34 叶（节点行合计 43）：按行内 #page= 实测**已绑 30 叶、未绑 4 叶**（2026-10-29 复扫，
+菜单树共 34 叶（节点行合计 43）：按行内 #page= 实测**已绑 31 叶、未绑 3 叶**（2026-11-04 SNTP 设置
-判定规则与重跑命令见 docs/任务规划/UI补齐.md §1「叶数判定与复核」）。未绑的 4 叶因缺少开入硬件
+叶随 #73 立项转绑 +1，判定规则与重跑命令见 docs/任务规划/UI补齐.md §1「叶数判定与复核」）。未绑的 3 叶
-或 SNTP 产品定义而不做（原因与重开条件见 docs/任务规划/UI补齐.md §5）——**手动录波与录波回放两叶
+因缺少开入硬件不做（原因与重开条件见 docs/任务规划/UI补齐.md §5）——**手动录波与录波回放两叶
 已随录波道绑页**，「不做」清单里的录波那一项已销。
-**口径闭合**：未绑 4 = 待做 0（§1 清单已清空）+ 不做 4（遥信 3 / SNTP 1）；**43 是节点行数、不是叶数**（= 9 个菜单节点 + 34 叶）。
+**口径闭合**：未绑 3 = 待做 0（§1 清单已清空）+ 不做 3（遥信 3）；**43 是节点行数、不是叶数**（= 9 个菜单节点 + 34 叶）。
-已绑叶数以生成物 UI_PAGE_MAP_COUNT 为准：不剔 ui_menu_tree.txt 文件头的注释示例行时，按 #page= 文本计数会得 31（= 30 + 1 行示例）。
+已绑叶数以生成物 UI_PAGE_MAP_COUNT 为准：不剔 ui_menu_tree.txt 文件头的注释示例行时，按 #page= 文本计数会得 32（= 31 + 1 行示例）。
 
 **UI 补齐执行清单已于 2026-10-28 清空**：记录 5 页（事故 / 操作 / 保护告警 / 保护启动 / 遥控）与
 运行报告页同日落地并绑页，内容页黄金参考 53 → 60 张（runreport 分 2 页，第 2 页单独拍一张；判据 = simulator/tests/ref/ 入库 shot_*.bin 实数，张数 = 页面个数 + 分页多拍的那一张；**该集合 2026-10-29 已扩至 66 张**，多出的是录波回放页 6 态）。
@@ -64,7 +64,7 @@ docs/测试说明/专项验证/模拟器差距清单.md §2.3「开机账本 boo
 | **5** | 标准源送检与第三方 104 主站验收 | 等待标定完成 | 两点标定完成且保护 VALID 已置位；送检窗口前 2 日冻结特性 |
 | **6** | 保护元件与采集增强 | 等待标准源或硬件改版 | 保护先解除未标定闭锁；三相同时刻类功能等 V0.2 硬件 |
 | **7** | 验证窗口事项 | 逢条件顺带 | CI runner、PC peer、CH340、负向故障注入条件到位时执行 |
-| **8** | 独立模块与暂缓项 | 当前不排 | 开入开出、SNTP、104 文件传输单独立项；RS-485 与内存优化按各自重启条件 |
+| **8** | 独立模块与暂缓项 | 当前不排 | 开入开出、104 文件传输单独立项（SNTP 已单独立项并于 2026-11-04 落地 #73，:8888 随 #78 退役）；RS-485 与内存优化按各自重启条件 |
 | **独立** | **故障录波（1 kHz · 8 路原始码值 · 单通道回放）** | **代码面已交付；2026-10-31 远程半轮过六项、2026-11-02 回放页枚举缺陷已修复闭环，余注量对表与人到场项** | 用户裁定 2026-10-29 **录波先行**：数据面最小闭环 → 手动与保护启动触发 → 回放页。三块的**代码侧判据已收口**（主机单测 113 / 170 / 110 全 rc=0、双端编译 0 错误 0 警告、板端编码器与 PC 侧解码器字节级互验、手动录波与录波回放两叶已绑页、内容页黄金参考扩至 66 张）；**2026-10-31 远程半轮已过六项**（真 FAT 落盘、触发→落盘全部落在 2 s 封存超时窗内、冷却恢复、轮转、PC 侧坏段拒收、冻结窗内 104 并发）；同轮发现的缺陷「回放页段表枚举恒空」**已于 2026-11-02 远程修复并板级闭环**（根因 = 读侧 `wave_store_seg_path()` 返回值判错，顺带修键处理缺失效；回放页真段/切段/切道已实测，登记簿条目已销项，证据见设计说明 §10「回放页枚举恒空缺陷修复记录」）；**没跑的是注量对表那半轮**（注 1 V / 50 Hz、与 `meas:` 行和 104 浮点遥测对表、回放页放坏段与空态画面）加 P 触发 / bench T 源，全部结果与清单见 `docs/子系统设计/故障录波设计说明.md` §10「板级远程半轮记录」。**板级判据、留痕名清单与执行顺序图的属主 = docs/子系统设计/故障录波设计说明.md §9 与 §10**（原卡片登记簿 2026-10-30 随销项并入后删除）；**与 UI 道互斥**（菜单树与中文字库是整文件生成物，同刻只允许一条道写）——本波按此串行执行：UI 道在数据面与接线冻结之后才动生成物 |
 
 ### 2.1 关键依赖

docs/任务规划/UI补齐.md

@@ -8,20 +8,22 @@
 
 ## 1. 目标与范围
 
-菜单树共 **34 叶**（节点行合计 43，缩进即层级）：按行内 `#page=` 实测**已绑 30 叶、未绑 4 叶**，
+菜单树共 **34 叶**（节点行合计 43，缩进即层级）：按行内 `#page=` 实测**已绑 31 叶、未绑 3 叶**，
-页面映射表 `UI_PAGE_MAP_COUNT` = 30（与已绑叶数一致）。未绑 4 叶 = §5 明确不做的 **4 叶**
+页面映射表 `UI_PAGE_MAP_COUNT` = 31（与已绑叶数一致）。未绑 3 叶 = §5 明确不做的 **遥信 3 叶**，
-（遥信 3 / SNTP 1），与下面分类表逐项对得上；2026-10-29 录波 UI 道把「手动录波」从不做转为
+与下面分类表逐项对得上；2026-10-29 录波 UI 道把「手动录波」从不做转为
-落地并新增「录波回放」叶，绑 +2（手动转绑 + 新叶）/ 叶 +1；2026-10-28 记录 5 页与运行报告页落地后，
+落地并新增「录波回放」叶，绑 +2（手动转绑 + 新叶）；2026-11-04 SNTP 客户端立项（Issue #57 拍板
+选型、#73 拍板节奏），SNTP 设置叶转绑定（+1）；2026-10-28 记录 5 页与运行报告页落地后，
 原「需补配置或写入方」的 6 叶缺口清零并按销项删行（该行内容见本节末与 §3）。
 
 | 分类 | 数量 | 当前怎么处理 |
 |---|---:|---|
 | 无开入硬件 | 3 | 不做：遥信类型、遥信防抖、双点遥信 |
-| 缺独立模块或产品定义 | 1 | 不做：SNTP 设置（手动录波已于 2026-10-29 随故障录波 UI 道落地转绑定，不再列不做） |
+
+（原「缺独立模块或产品定义：SNTP 设置」行已于 2026-11-04 随 SNTP 客户端立项转绑定销项；手动录波更早，2026-10-29 随故障录波 UI 道转绑。）
 
 现有基础：`ui_w_editor` / `ui_w_setlist` / `ui_page_action` 已就绪；`ui_data` 已扩到**四通道**
 （rt / par / info + 遥测死区与系数用的第四张注入表）；像素黄金用例与字符集门禁已存在，内容页黄金
-现有 **66 张**（菜单 8 状态另计；2026-10-29 录波 UI 道 +6 张：手动录波 3 态 + 录波回放 3 态）。**装置维护 3 页、遥测死区/系数 2 页、通讯设置页、记录 5 页与
+现有 **74 张**（菜单 8 状态另计；2026-10-29 录波 UI 道 +6 张：手动录波 3 态 + 录波回放 3 态；2026-11-04 SNTP 设置页 +8 张）。**装置维护 3 页、遥测死区/系数 2 页、通讯设置页、SNTP 设置页、记录 5 页与
 运行报告页都是把这套基础接上真实消费者做出来的，不另发明一套机制。**
 逐页形态见 `docs/UI设计/页面补齐规划.md`；数据契约见
 `docs/UI设计/UI_数据供给设计说明.md`。本文件保留范围、完成判据与不做的取舍口径（执行清单已于 2026-10-28 清空）。
@@ -31,11 +33,11 @@
 1. **节点行** = `ui_menu_tree.txt` 里非空、非 `#` 开头的行（当前 **43** 行，含根「主界面」）。
 2. **缩进即层级**（每级 2 空格；Tab 会被 `gen_menu.py` 直接拒绝）：某节点行之后再没有更深缩进的行 = **叶**
    （当前 **34** 叶）；有更深缩进后继者 = 菜单节点（当前 **9** 个）。等价于生成物口径 `ui_menu_tab_has_children(node) == false`。
-3. **绑定**：叶行行尾带 ` #page=` = 已绑（当前 **30** 叶）；不带的 = 未绑（当前 **4** 叶）。
+3. **绑定**：叶行行尾带 ` #page=` = 已绑（当前 **31** 叶）；不带的 = 未绑（当前 **3** 叶）。
-4. **闭合**：`未绑 = 待做 + 不做` —— 当前待做 **0**（§2 清单已清空）+ 不做 **4**（遥信 3 / SNTP 1）= **4**，
+4. **闭合**：`未绑 = 待做 + 不做` —— 当前待做 **0**（§2 清单已清空）+ 不做 **3**（遥信 3）= **3**，
    与上面的分类表、§5「当前不做」表逐项对得上。
 5. **别拿 `grep -c '#page='` 当已绑叶数**：2026-10-28 实测它得 **29**，比真值多 1 —— 文件头第 5 行是规则说明里的
-   ` #page=<模块名>` 示例行（不是节点行），必须先剔注释/示例行；剔完的 30 才等于生成物 `UI_PAGE_MAP_COUNT`。
+   ` #page=<模块名>` 示例行（不是节点行），必须先剔注释/示例行；剔完的数才等于生成物 `UI_PAGE_MAP_COUNT`（现 31）。
 
 复核命令（复用生成器自己的解析器 `tools/menu_gen/gen_menu.py` 的 `parse_tree`，不另写一套计数逻辑，免得与生成物脱钩）：
 
@@ -49,7 +51,7 @@
 三个已踩过的错算法（每种都同时给**当时**与**2026-10-28 重跑**的产物——错法不会自己失效，只是错数跟着已绑叶数一起漂）：
 **把 42 个节点行当叶子**（多算 9 个菜单节点：当时已绑 21 叶 → 得「未绑 21」，2026-10-28 同一错法得「未绑 14」= 42 − 28）；
 **`grep -c '#page='` 当时得 23**（当时已绑 22 叶，多的那 1 正是文件头注释第 5 行的 `#page=<模块名>` 示例字样，必须先剔注释行；
-2026-10-28 同一命令得 29 = 当时已绑 28 + 该示例行 1；2026-10-29 现值 31 = 已绑 30 + 示例行 1）；**按叶子名去重得 29**（`参数`/`定值`/`控制字`/`软压板` 在「整定」「查看」下各一份，
+2026-10-28 同一命令得 29 = 当时已绑 28 + 该示例行 1；2026-10-29 当时值 31 = 已绑 30 + 示例行 1；2026-11-04 现值 32 = 已绑 31 + 示例行 1）；**按叶子名去重得 29**（`参数`/`定值`/`控制字`/`软压板` 在「整定」「查看」下各一份，
 4 对同名不能合并；2026-10-28 重跑仍是 29 = 33 叶 − 4 对同名）。
 （21 / 23 两个错数分属 2026-10-27「已绑 21 叶」与「已绑 22 叶」两个时点的实测，只用来说明错法，不代表现值；
 去重 29 与上面 grep 现值 29 **只是撞号**：一个是「合并同名叶」、一个是「不剔注释行」，都与真值 30（2026-10-29 现值）无关。）
@@ -97,8 +99,11 @@
 **单写者约束**：`ui_menu_tree.txt`、页面注册表、字库生成物不得由多个分支同时修改。
 `MDK-ARM/*.uvprojx` 的新源文件注册按双端注册规则处理。
 
-**时基口径未定，勿顺手统一**：面板时钟页与 8888 对时把「本地钟面当 epoch」写入，而 104 `C_CS` 按 CP56Time2a 的
+**时基口径已裁定，勿顺手改语义**：口径 = 「先本地为准，内部真源是本地钟面」（用户裁定 2026-10-27，
-UTC 写入，后写者赢 ⇒ 装置墙钟与主机本地时刻恒差 8 小时。用户裁定前**不要改动 RTC/epoch 语义**，也不要把
+`../子系统设计/系统墙钟时间维护说明.md` §1.1）；当时冲突双方「面板时钟页 vs 8888 对时 vs 104 `C_CS` 写 UTC」中的
+8888 已于 2026-11-04 退役（写入口现为 SNTP / UI 手工 / 104 `C_CS`，一律先换算成本地钟面再落库）。唯一待决的是
+104 **上行** `CP56Time2a` 是否转 UTC（送检前单独定，前引
+`../子系统设计/系统墙钟时间维护说明.md` §1.1 末）。裁定前**不要改动 RTC/epoch 语义**，也不要把
 时钟设置页的「回读 RTC」判据改成按某一时区补偿——那等于替产品做掉一个未定的决定。
 
 **保护闭锁必须可见**：整定页可以修改定值，但当前产品在 UA/UN/IA 未标定时保护判据闭锁。
@@ -112,7 +117,6 @@ UTC 写入，后写者赢 ⇒ 装置墙钟与主机本地时刻恒差 8 小时
 | 项目 | 不做原因 | 重开条件 |
 |---|---|---|
 | 遥信类型 / 防抖 / 双点 3 页 | V0.1 无开入硬件，配置没有消费者 | 开入固件立项后，与开入开出一起做 |
-| SNTP 设置 | 当前使用 8888 私有对时协议，SNTP 链路与产品口径均未建立 | SNTP 客户端立项 |
 | net 层与其他结构债 | 当前只做 UI，避免两条主线互相拖慢 | UI 当前清单完成后，按 README §2 切换 |
-| RTC 时基统一 | 两套写入口径并存（面板与 8888 写本地钟面、104 写 UTC），恒差 8 小时；统一任一侧都要动 104 上行语义或 UI 判据 | 用户裁定时基方向后，作为跨模块变更单独立项 |
+| 104 上行 UTC 换算（原「RTC 时基统一」） | 内部口径已由用户裁定（2026-10-27：本地钟面为真源，各写入口先换算再落库，见 §4 注），「恒差 8 小时」的后写者赢阶段已结束；剩下的只是 104 上行是否按标准转 UTC，动了要改 104 上行语义 | 送检/第三方主站验收方向定下来后，作为跨模块变更单独立项（墙钟说明 §1.1 末） |
 | 主站地址白名单 | CH395F 单连接 socket 上「拒绝即 close+重 listen」等于给扫描风暴开门，且该值现在没有任何既有消费点 | 有真实消费场景或多连接后端立项时再评 |

docs/任务规划/数据可信.md

@@ -46,7 +46,7 @@
 |---|---|
 | 判断现在这些数能信到什么程度 | §1 这张图 + §2.6（静态证到哪）+ §2.7（动态没证什么） |
 | 改采集 / 算法 / 品质位相关代码 | §2.1 §2.2 §2.3（口径）+ §4.1~§4.5（设计依据） |
-| 上台架做正弦验证 | §4.6（接法、六轮判据、读数出口、坑）+ §5 的「信号发生器动态波形验证」卡 |
+| 上台架做正弦验证 | §4.6（接法、六轮判据、数字从哪儿读、坑）+ §5 的「信号发生器动态波形验证」卡 |
 | 看还差谁、按什么顺序做 | §5 任务卡 + §6 顺序图 |
 | 确认某件事是**故意不做**而不是漏了 | §9；有没有踩坑风险看 §8 |
 
@@ -157,11 +157,11 @@ V0.1 恒命中 UB/UC/IB/IC/IN，位图 `0xE6`），它表示"这路不能测交
 
 | 下游 | 现在 | 为什么 |
 |---|---|---|
-| 基波有效值（RMS） | 🟡 算法在 PC 上证过（幅值 ≤1 %、49/51 Hz 下 ≤1.5 %），**经真 ADC 后一次没测** | 1 V 正弦进 ADC 后 `fAmSQ` 是否 = 1 V，无实测 |
+| 基波有效值 | 🟡 算法在 PC 上证过（幅值 ≤1 %、49/51 Hz 下 ≤1.5 %），**经真 ADC 后一次没测** | 1 V 正弦进 ADC 后 `fAmSQ` 是否 = 1 V，无实测 |
 | 相位 | ❌ 从未在真信号上比过；且代码里**没有跨通道相位符号约定** | 只许比同片内通道（§9 的硬件限制） |
 | 频率 | ❌ **恒不启动** | 幅值门 50 V 是二次值口径，引脚域 ≤5 V 恒不过（§2.3 #1）→ UI `Hz` 行恒 `--`、104 `0x401D` 恒 IV |
 | 削顶 / 品质 | 🟡 位图逻辑对，真削顶路径没跑过 | `rail:` 那条 `[ERR]` 至今只在直流饱和里起过 |
-| 谐波 C04 / C05 | ❌ 实例建了，**无消费者、无出口** | `prot_elm.c` 无引用，`meas` 只算 `harm=1` |
+| 谐波 C04 / C05 | ❌ 实例建了，**无消费者、无处上送** | `prot_elm.c` 无引用，`meas` 只算 `harm=1` |
 | 保护判据 | 🔒 闭锁中 | §4.3 |
 
 → **下一跳就是 §4.6**：把一根真正的 50 Hz 正弦从**已经验证过的那个注入点**灌进去，
@@ -242,7 +242,7 @@ M4 的六条退出判据（逐条对齐现状，别整格打勾）：
 - 与"自检失败 / 采样故障闭锁"同构（`PROT_HF_LOCK_MASK` 那一套），**不新增机制**。
 - 现有台架 `/serial-boot-test` 的期望会因此变化——**这是有意的**，任务卡里同步更新判据。
 - 台架调试要旁路只能走编译期开关 `DTU_BENCH`，不进 cfg、不进 104。
-  ⚠ **`DTU_BENCH` 只旁路这一处**：它**不**旁路 §2.3 #1 的测频幅值门，也不产生任何读数出口。
+  ⚠ **`DTU_BENCH` 只旁路这一处**：它**不**旁路 §2.3 #1 的测频幅值门，也不产生任何新的读数通道。
 
 ### 4.4 落盘：拆两段，不碰引擎
 
@@ -300,7 +300,7 @@ typedef struct {
 | 注入点已经验证过，且就在那儿 | `docs/测试说明/专项验证/ADC前端注入验证流程.md` §3 的注入点清单（串联电阻端子侧 = `U5` 排针）；③ 段 1:1 已拿到台架证据（§2.6） |
 | **不知道 ④ 变比也能验算法** | 注入点在 ④ **之前**，发生器给的电压就是引脚电压，算法链要证的正是"引脚域里算得对不对" |
 | 幅度小两个数量级 | 只需 ±2 V 以内的正弦（TPAFE 侧判据上限）；端子二次值验证要上 100 V / 220 V，风险与设备都在那一级 |
-| 现有静态验证的读数出口可直接复用 | 串口心跳 + 104 YC，零固件改动（§4.6.3） |
+| 现有静态验证的读数的地方可直接复用 | 串口心跳，零固件改动（§4.6.3） |
 
 **这一跳证的是功能性**（算得对不对、品质报得实不实、节拍稳不稳），**不是计量**（误差几级）——
 发生器不当"标准"的界线见 §4.6.5 与 §7 #9。
@@ -313,34 +313,37 @@ typedef struct {
 > **轮次名一律用语义短语（用户裁定 2026-10-30：清退"字母+数字"判据号）**：D1 → 幅值轮、D2 → 波形轮、
 > D3 → 相位轮、D4 → 测频轮、D5 → 削顶轮、D6 → 谐波轮；本族旧号作废不得再取走
 > （与二极管位号、网络自愈决策记录、链路延迟缺陷编号只是同形，各不相干）。
+>
+> **注入幅度一律按峰峰值 Vpp 设定（用户裁定 2026-11-04）**：发生器面板的有效值显示不当设定基准
+> （同一个 Vpp 换波形后有效值显示跟着变，切波形瞬间还残留上一波形的值）；万用表 AC 档与板上读数
+> 天然是有效值刻度，正弦下 有效值 = Vpp ÷ 2.828，换算着比。
 
 | 轮次 | 验什么 | 接法 | 读哪 | 过判据 |
 |---|---|---|---|---|
-| **幅值轮** | 基波幅值计量 | UA（R31 / `AIN1`）注 1.000 Vrms、50.000 Hz 正弦 | `meas:` 的 `ua_mv`；或 104 `0x4011` | 读数 = 万用表 AC 档读数，偏差 ≤2 %（与静态同档）。⚠ 别用 `phasor(hb)` 行比幅值——那是 ×0.1 定点，注 1 V 只剩 10 格（§4.6.3） |
+| **幅值轮** | 基波幅值计量 | UA（R31 / `AIN1`）注 Vpp 2.828 V（= 峰值 ±1.414 V）、50.000 Hz 正弦 | `meas:` 的 `ua_mv` | 读数 = 万用表 AC 档读数，偏差 ≤2 %（与静态同档）。⚠ 别用 `phasor(hb)` 行比幅值——那是 ×0.1 定点，注 1 V 只剩 10 格（§4.6.3） |
 | **波形轮** | 读数是否只跟基波走 | 同幅值改方波、三角 | 同上 | 期望值 = **基波分量有效值**（同峰值下的基波 / 峰值比：方波 ≈ **0.90**，闭式 4/π ÷ √2 = 0.900、20 点整周期 DFT 实算 0.904；三角 ≈ **0.573**，闭式 8/π² ÷ √2 = 0.573、实算 0.578），**不是**真有效值（方波 = 1.000、三角 = 0.583 峰值）；偏差 ≤2 %。算术与逐波形对照表见 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §8.5 的波形卡。顺带把"这台仪表读的是基波"这条口径钉进文档——用户拿真有效值表去对会以为差了 10 % |
-| **相位轮** | 相位 | UA 与 UN 两路**同片**（都走 TPAFE）注同幅、同相 | **定量档**：录波段文件 `test/host/wave_read.py fft`（浮点重算基波相位；段内表序 `UA` = 0、`UN` = 3）；**定性档**：`phasor(hb)` 各行 `Re=` / `Im=` | **定量档**：同段内两路相位差 ≤2°，把发生器相位改 90° 后差值跟到 ≈90°。**定性档只判"跟随"**（差值落进 80°~100°）——`phasor` 出口是 ×0.1 定点，1.000 Vrms 时每格 0.1 V，角度量化最坏 ≈ atan(0.1 / 0.707) ≈ 8°，判不动 2°（§4.6.3）。⚠ 段与发生器**无绝对相位锁定**（触发瞬间钉在段内点 159），只能比**同段内两路**的相对差，跨段比相位或拿发生器相位当绝对基准都不成立。**只许比同片内**——跨转换器无同刻性（§9），STM32 那五路还有 1 拍乒乓滞后 |
+| **相位轮** | 相位 | UA 与 UN 两路**同片**（都走 TPAFE）注同幅、同相 | **定量档**：录波段文件 `test/host/wave_read.py fft`（浮点重算基波相位；段内表序 `UA` = 0、`UN` = 3）；**定性档**：`phasor(hb)` 各行 `Re=` / `Im=` | **定量档**：同段内两路相位差 ≤2°，把发生器相位改 90° 后差值跟到 ≈90°。**定性档只判"跟随"**（差值落进 80°~100°）——`phasor` 串口行是 ×0.1 定点，Vpp 2.828 V（板上读数 ≈1000 mV）时每格 0.1 V，角度量化最坏 ≈ atan(0.1 / 0.707) ≈ 8°，判不动 2°（§4.6.3）。⚠ 段与发生器**无绝对相位锁定**（触发瞬间钉在段内点 159），只能比**同段内两路**的相对差，跨段比相位或拿发生器相位当绝对基准都不成立。**只许比同片内**——跨转换器无同刻性（§9），STM32 那五路还有 1 拍乒乓滞后 |
-| **测频轮** | 测频 | 同幅值轮的 1 V/50 Hz | `freq(hb):` 与 104 `0x401D` | **预期就是"不出数"**（幅值门 50 V 在引脚域恒不过，§2.3 #1）→ 这条的判据是"如实报不可测"（`freq_valid=0`、UI `Hz` 显示 `--`、104 上送 IV），**不是**报出一个错误的 50.00。想真验 45~55 Hz 精度（PC 侧判据 0.02 Hz）须临时把 `FREQ_AMP_MIN` 降到引脚域量级（如 0.5 V）单跑一轮 → §7 #8 + §8 风险行 |
+| **测频轮** | 测频 | 同幅值轮的 1 V/50 Hz | `freq(hb):` | **预期就是"不出数"**（幅值门 50 V 在引脚域恒不过，§2.3 #1）→ 这条的判据是"如实报不可测"（`freq_valid=0`、UI `Hz` 显示 `--`），**不是**报出一个错误的 50.00。想真验 45~55 Hz 精度（PC 侧判据 0.02 Hz）须临时把 `FREQ_AMP_MIN` 降到引脚域量级（如 0.5 V）单跑一轮 → §7 #8 + §8 风险行 |
-| **削顶轮** | 削顶与品质路由（**负向用例**） | 给 UB（R52 / `AIN2`）注 **DC −1.00 V 并保持 ≥5 s**；或 1.000 Vrms 而频率 **2.0 Hz** 的正弦——两档都能造出"连续贴同一侧轨带"。⚠ **注 50 Hz 同幅正弦造不出锁存，且这是预期而非故障**：1 kHz 下一个周波只 20 点、正半周必落中带，而 `adc_health_rail_watch()` 任何一拍回中带就把计数清零（`App/algo/adc_health.c`），连续贴底最长 ≈ 209/360 × 20 ≈ 11 拍 < 20。TPAFE 侧在 ±2 V 判据上限内造不出这条（轨带 ±32112 码 ≈ ±4.9 V），只有 STM32 那五路能做 | `cal:` 行的 `rail=` / `edge=`；`rail: edge=…` 的 `[ERR]` 行；104 `0x4012`；段文件档另加 `wave_read.py shape` 的三把尺子（`--strict` / 再加 `--clip-superset` / 不带），逐条配法见 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §8.5 的削顶卡 | 负半周钉下轨 → **连续 20 拍同侧后该路贴轨位锁存**（`ADC_RAIL_N_RUN = 20`，`App/algo/adc_health.h:174`）、`edge` 起沿、104 上该路 IV 且值清零。锁存另有**释放沿前提**：该通道此前须出现过中带样本 → **先上电见基线摆动、再开发生器输出**，开机就注会测出假不通过。撤掉注入后 `rail` 仍非 0 是 sticky 语义（只有 `adc_health_rail_init()` / 复位清）——**复位后仍不清才是 bug**。⚠ 这条会**故意造出 `[ERR]`**，而 `/serial-boot-test` 的 forbidden 标记含 `[ERR]` → 人工判读、排在最后单独一轮（§8 第一行） |
+| **削顶轮** | 削顶与品质路由（**负向用例**） | 给 UB（R52 / `AIN2`）注 **DC −1.00 V 并保持 ≥5 s**；或 Vpp 2.828 V 而频率 **2.0 Hz** 的正弦——两档都能造出"连续贴同一侧轨带"。⚠ **注 50 Hz 同幅正弦造不出锁存，且这是预期而非故障**：1 kHz 下一个周波只 20 点、正半周必落中带，而 `adc_health_rail_watch()` 任何一拍回中带就把计数清零（`App/algo/adc_health.c`），连续贴底最长 ≈ 209/360 × 20 ≈ 11 拍 < 20。TPAFE 侧在 ±2 V 判据上限内造不出这条（轨带 ±32112 码 ≈ ±4.9 V），只有 STM32 那五路能做 | `cal:` 行的 `rail=` / `edge=`；`rail: edge=…` 的 `[ERR]` 行；段文件档另加 `wave_read.py shape` 的三把尺子（`--strict` / 再加 `--clip-superset` / 不带），逐条配法见 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §8.5 的削顶卡 | 负半周钉下轨 → **连续 20 拍同侧后该路贴轨位锁存**（`ADC_RAIL_N_RUN = 20`，`App/algo/adc_health.h:174`）、`edge` 起沿。锁存另有**释放沿前提**：该通道此前须出现过中带样本 → **先上电见基线摆动、再开发生器输出**，开机就注会测出假不通过。撤掉注入后 `rail` 仍非 0 是 sticky 语义（只有 `adc_health_rail_init()` / 复位清）——**复位后仍不清才是 bug**。⚠ 这条会**故意造出 `[ERR]`**，而 `/serial-boot-test` 的 forbidden 标记含 `[ERR]` → 人工判读、排在最后单独一轮（§8 第一行） |
-| **谐波轮** | 谐波轨 | 基波 + 20 % 二次 + 20 % 五次（IA 上注）。⚠ 峰值预算：1.000 Vrms 基波 + 两个 20 % 分量的最坏对齐 ≈ 1.98 V 已顶 ±2 V 红线 → 基波用 **0.800 Vrms**、二次与五次各 0.160 Vrms | **定量档**：段文件 `test/host/wave_read.py fft --ch 4 --all`（`IA` = 段内表序 4，直接给基波与 2 / 5 次谐波 RMS，单位 mV）；**旁证**：UI 交流量页 `Ia2` / `Ia5`（1 mV）与 `phasor(hb) C04-IA-F2` / `C05-IA-F5`（×0.1 定点，只证这根轨不是恒 0） | 谐波轨读数 = 注入分量（**±2 %，走定量档**；周期行档判不动：0.160 Vrms 在 ×0.1 出口只有 1~2 格）。⚠ 这两根轨**目前没有任何下游消费者**（`prot_elm.c` 无引用、`meas` 只算 `harm=1`），所以谐波轮只证"算得对"，**不证"有人用"**——出口归 §9 的谐波轨立项 |
+| **谐波轮** | 谐波轨 | 基波 + 20 % 二次 + 20 % 五次（IA 上注）。⚠ 峰值预算：Vpp 2.828 V 基波 + 两个 20 % 分量的最坏对齐峰值 ≈ 1.98 V 已顶 ±2 V 红线 → 基波用 **Vpp 2.263 V**、二次与五次各 Vpp 0.453 V | **定量档**：段文件 `test/host/wave_read.py fft --ch 4 --all`（`IA` = 段内表序 4，直接给基波与 2 / 5 次谐波有效值，单位 mV）；**旁证**：UI 交流量页 `Ia2` / `Ia5`（1 mV）与 `phasor(hb) C04-IA-F2` / `C05-IA-F5`（×0.1 定点，只证这根轨不是恒 0） | 谐波轨读数 = 注入分量（**±2 %，走定量档**；周期行档判不动：读数 0.160 V 在 ×0.1 串口行上只有 1~2 格）。⚠ 这两根轨**目前没有任何下游消费者**（`prot_elm.c` 无引用、`meas` 只算 `harm=1`），所以谐波轮只证"算得对"，**不证"有人用"**——接到哪、给谁用，归 §9 的谐波轨立项 |
 
 **先做幅值 / 波形 / 削顶三轮**（纯读数、无跨通道约定），相位 / 谐波次之，测频轮视 §7 #8 的裁定。每条的两档跑法（周期行标量档 /
 录波段文件定量档）、触发动作、耗时排布与失败分诊在 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §8.6。
 
-#### 4.6.3 读数出口（零固件改动）
+#### 4.6.3 数字能从哪儿读（零固件改动）
 
-| 出口 | 有什么 | 坑 |
+| 读数的地方 | 有什么 | 坑 |
 |---|---|---|
 | 串口每 10 s 心跳（`App/task/adc_task.c` 心跳块） | `adc:`（9 路码值）、`cal:`（三路 mV + `vl`/`cl`/`rail`/`edge` 位图）、`phasor(hb)`（逐实例 `Re` / `Im` / `rms`）、`freq(hb)`、`meas:`（快照轨） | MicroLIB 无 `%f`，全是定点：`phasor` ×0.1（**1 V 注入只剩 10 格**）、`freq` ×0.01 Hz、`cal:` / `meas:` ×1000（1 mV）。10 s 一行的单点瞬时值对 50 Hz 等价于随机相位抽样 |
-| 104 YC（现成 PC 主站 `test/host/iec104_master.py`） | `0x4011`~`0x4018` 八个电气量 + `0x401D` 频率，**浮点无量化**，还带品质 | UB/UC/IB/IC/IN 恒 IV、值清零 → 那五路只能回读串口码值域 |
 | UI 交流量页 | `Ua` / `U0` / `Ia` / `Ia2` / `Ia5` / `Hz` / 标定徽标 共 7 行 | 160×160 单色；`--` **同时**表示"没数"和"有数但不可信" → 不能当判据，只能当旁证 |
-| **段文件样本出口（代码侧已落地，2026-10-29）** | 每次触发一段：`/wave/WAVE00.BIN` 起共 100 个号轮转（FTP 根下可见），8 路 × 320 点原始码值加封存瞬间的标定与品质快照；PC 侧 `test/host/wave_read.py` 提供 dump / fft / shape / plot 四个子命令（bench 工具，纯标准库，自带 `--selftest`） | 「比对派生标量」已可升级成「PC 独立重算 vs 板上读数」对表（判据与执行步骤见 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §4，格式属主见 `docs/子系统设计/故障录波设计说明.md` §6.2 与 §6.3）。**但板级那一轮还没跑**（注 1 V / 50 Hz、与 `meas:` 与 104 YC 对表、CRC 不符必须拒收的实测，见 `docs/子系统设计/故障录波设计说明.md` §10）；示波器仍旧只作旁证、不当判据。段内点序：触发瞬间落在段内点 159（预触发 160 点的最后一点），段的绝对相位与发生器无锁定关系，可核对的是相对相位与极性 |
+| **段文件（原始样本，代码侧已落地，2026-10-29）** | 每次触发一段：`/wave/WAVE00.BIN` 起共 100 个号轮转（FTP 根下可见），8 路 × 320 点原始码值加封存瞬间的标定与品质快照；PC 侧 `test/host/wave_read.py` 提供 dump / fft / shape / plot 四个子命令（bench 工具，纯标准库，自带 `--selftest`） | 「比对派生标量」已可升级成「PC 独立重算 vs 板上读数」对表（判据与执行步骤见 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §4，格式属主见 `docs/子系统设计/故障录波设计说明.md` §6.2 与 §6.3）。**但板级那一轮还没跑**（注 1 V / 50 Hz、与 `meas:` 对表、CRC 不符必须拒收的实测，见 `docs/子系统设计/故障录波设计说明.md` §10）；示波器仍旧只作旁证、不当判据。段内点序：触发瞬间落在段内点 159（预触发 160 点的最后一点），段的绝对相位与发生器无锁定关系，可核对的是相对相位与极性 |
-| **仍然没有的（2026-10-29 更新）** | 没有命令控制台、也没有「把窗里 20 / 40 个点导出来」的定点 dump 子命令——**但样本出口本身已成立**（上一行的段文件：一次 320 点 / 8 路，比原来规划的 20 / 40 点窗更宽） | 现场取回一律走现成 FTP（21 端口），形状就地看回放页单通道、或在 PC 侧用同一脚本出图；示波器只对照发生器、不当判据。**判据已升级为「PC 独立重算 vs 板上读数」对表**，对表的执行轮次待台架（见 `docs/子系统设计/故障录波设计说明.md` §11） |
+| **仍然没有的（2026-10-29 更新）** | 没有命令控制台、也没有「把窗里 20 / 40 个点导出来」的定点 dump 子命令——**但原始样本这条通道本身已成立**（上一行的段文件：一次 320 点 / 8 路，比原来规划的 20 / 40 点窗更宽） | 现场取回一律走现成 FTP（21 端口），形状就地看回放页单通道、或在 PC 侧用同一脚本出图；示波器只对照发生器、不当判据。**判据已升级为「PC 独立重算 vs 板上读数」对表**，对表的执行轮次待台架（见 `docs/子系统设计/故障录波设计说明.md` §11） |
 
 #### 4.6.4 接法与红线（照抄既有红线，不新发明）
 
 - 注入点：串联电阻的**端子侧**焊盘（`U5` 排针），逐路清单见 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §3；
   引脚侧没有串阻保护，必须外串 **10 k** 限流。
-- 幅度按**峰值**算，别看 Vrms 数字：1.000 Vrms 正弦峰值已 1.414 V；TPAFE 侧按判据只到 **±2 V**（满量程 ±5 V），
+- 幅度按**峰峰值 / 峰值**核，别看有效值数字：Vpp 2.828 V 正弦峰值已 ±1.414 V；TPAFE 侧按判据只到 **±2 V 峰值（= Vpp 4 V）**（满量程 ±5 V），
   STM32 那五路是 **0~3.3 V 单极性**——给它们注交流只能是削顶轮那种"故意削顶"的用例，峰值同样不得超 3.3 V。
 - 发生器与板**必须共地**（否则量到的是两地之间的差），且不形成地环：优先单点共地、必要时发生器浮地。
 - **不许**因为"反正发生器便宜"就往端子侧上额定电压——那是 §5 第二张卡（要变比）与 §9（要标准源）的范围。
@@ -352,7 +355,7 @@ typedef struct {
 | 端子二次值 | 注入点在 ④ 之前，算出来还是引脚域 | §5「端子/子板变比确认」 |
 | 精度等级（0.5 级 / 1 级） | 发生器自己的幅值误差本身就是要被校的量，不能冒充标准源 | §5「两点标定与精度验收」+ §7 #1 |
 | 跨转换器相位 / 功率 / 对称分量 | 两片转换器无共同采样触发（V0.1 硬件缺陷）+ STM32 侧 1 拍乒乓滞后；量纲链路口径见通道映射说明的链路分段一节 | §9（本波不做矢量类运算） |
-| THD / 谐波方和根 | 固件里只有两根谐波轨，没有合成出口 | §9（挂谐波轨立项） |
+| THD / 谐波方和根 | 固件里只有两根谐波轨，没有合成后的数送出去 | §9（挂谐波轨立项） |
 | 温升、EMC、长时间漂移 | 单轮台架不覆盖 | 送检与型式试验 |
 
 ---
@@ -366,14 +369,14 @@ typedef struct {
 
 | 标识（任务名）| DoD（可验证验收判据） | 硬依赖 | 资源 | 写范围 | 状态 |
 |---|---|---|---|---|---|
-| **信号发生器动态波形验证** | 按 §4.6.2 跑完六轮（测频轮允许以"如实报不可测"通过），逐条记实测 / 判据 / 结论；执行步骤与判据表**新增到** `docs/测试说明/专项验证/ADC前端注入验证流程.md`（直流节之后开一节"交流"），实测结论在 `docs/硬件平台/ADC通道映射说明.md` §8.1 之后新开一节；证据（串口日志 + 104 落库）归档 `docs/测试说明/测试数据/boot_log_data/` | 静态注入闭环（✅ 2026-10-27）+ 一台能出 50 Hz 正弦、幅度可调到 1 Vrms 的交流信号发生器（**不需要标准源、不需要端子加压**） | 🔴 台架 + 手边发生器 | `docs/测试说明/`、`docs/硬件平台/` | ⬜ |
+| **信号发生器动态波形验证** | 按 §4.6.2 跑完六轮（测频轮允许以"如实报不可测"通过），逐条记实测 / 判据 / 结论；执行步骤与判据表**新增到** `docs/测试说明/专项验证/ADC前端注入验证流程.md`（直流节之后开一节"交流"），实测结论在 `docs/硬件平台/ADC通道映射说明.md` §8.1 之后新开一节；证据（串口日志 + 录波段文件）归档 `docs/测试说明/测试数据/boot_log_data/` | 静态注入闭环（✅ 2026-10-27）+ 一台能出 50 Hz 正弦、幅度可调到 Vpp 2.828 V 的交流信号发生器（**不需要标准源、不需要端子加压**） | 🔴 台架 + 手边发生器 | `docs/测试说明/`、`docs/硬件平台/` | ⬜ |
 | **端子/子板变比确认** | 给出"端子电压 → ADC 引脚电压"的比值（万用表同时量端子与引脚，或查子板原理图后实测核对），写入 `docs/硬件平台/ADC通道映射说明.md`；据此判定 `eng` 能否置 1；数据缺失则本波只交付引脚电压并登记缺口 | 已知电压注入验证（✅）；**与动态验证无依赖关系**，可并行 | 🟡 子板实物或原理图 | `docs/硬件平台/` | ⬜ |
 | **两点标定与精度验收** | 电压 4 路（UA/UB/UC/UN）+ 电流 4 路（IA/IB/IC/IN）各做两点标定（零点 + 满度，温度不纳入），写入 `[adc_cal]` 并置 `VALID`；误差 ≤ 目标精度（待定：0.5 级 / 1 级 → §7 #1）；证据归档 | 端子/子板变比确认；削顶五路的处置结论（削顶轮） | 🟡 标准源 / 继保测试仪 | `docs/算法/`、`docs/测试说明/测试数据/boot_log_data/` | ⬜ |
 
 **为什么把动态验证排在第一**（不是因为它最重要，而是因为它把后面两张卡踩实）：
 
 1. 它**不依赖任何外部资源**，而另两张卡都在等东西；等待期正好做它。
-2. 它复用刚闭环的注入点与读数出口，**边际成本几乎为零**。
+2. 它复用刚闭环的注入点与读数的地方，**边际成本几乎为零**。
 3. 它会先把削顶轮那类"预期内的 `[ERR]`"暴露在台架规程里并写清判读，避免第二、三张卡跑到一半
    才发现"自动化测试把这轮读成 FAIL"。
 4. 它顺手把"发生器能证 / 不能证"的界线钉住，两点标定开跑时判据不会串档。
@@ -434,9 +437,9 @@ flowchart TD
 | 风险 | 触发条件 | 缓解 |
 |---|---|---|
 | **削顶负向用例被当成固件 bug** | 做削顶轮时 STM32 那五路必然钉下轨 → `rail: edge=…` 是 `[ERR]` 行，而 `/serial-boot-test` 的 forbidden 标记含 `[ERR]` → 整轮被判 FAIL | 判读规则写进流程文档："做削顶轮的这一轮 `[ERR] rail:` 属预期，只人工判读、不计入 `/serial-boot-test` 结论"，或把这五路排在最后单独一轮并事先声明。同时别忘 `cl=0xE6` 是**来源派生**（§2.6），不是本轮新削出来的 |
-| **拿发生器的精度当标准用** | 用发生器自报 Vrms 当基准值去比 | 基准 = 万用表 AC 档实测（§7 #9）；发生器只当"波形干净、频率可锁"的信号源，它自己的幅值误差正是要被校的量 |
+| **拿发生器的精度当标准用** | 用发生器自报的有效值数字当基准值去比 | 基准 = 万用表 AC 档实测（§7 #9）；发生器只当"波形干净、频率可锁"的信号源，它自己的幅值误差正是要被校的量 |
 | **临时改了 `FREQ_AMP_MIN` 忘了还原** | 走 §7 #8 的 B 方案 | 改动落在产品头文件里、会编进固件。单列一条收尾判据：还原后 `/keil-build` 0 错误 0 警告 + `git diff` 里 `App/algo/freq.h` 必须为空；并在 §7 #8 那行留一句"本轮台架已还原" |
-| **峰值当成有效值，顶到量程外** | 只看 Vrms 数字：1.000 Vrms 峰值已 1.414 V | 接线前按**峰值**核一遍：TPAFE 侧 ≤±2 V、STM32 侧峰值必须 <3.3 V（且负半周本就钉轨，只作削顶轮用） |
+| **峰值当成有效值，顶到量程外** | 只看面板有效值数字：正弦有效值 1.000 V = Vpp 2.828 V，峰值已 ±1.414 V | 接线前按**峰值**核一遍：TPAFE 侧 ≤±2 V、STM32 侧峰值必须 <3.3 V（且负半周本就钉轨，只作削顶轮用） |
 | **发生器与板不共地 / 地环** | 两台设备各自接电网地 | 单点共地，必要时发生器浮地；读数漂或出现与幅度无关的偏置先查这里 |
 | **非整 50 Hz 注入被当成 `meas` 抖动 bug** | 注 49.5 / 50.5 Hz | `meas` 是**瞬时基波有效值透传、200 ms 是上送节拍不是平均窗**（§4.5）→ 快照轨会有拍频式周期间跳动，属预期。测频腿要扫频时读 `freq(hb)`，别读 `meas:` |
 | **`cfg` 键数顶格** | 后续给 `[adc_cal]` 加键 | 已按 8+1 / 8 拆段；加键前先看 `CFG_FILE_MAX_KEYS`，必要时再拆 |
@@ -452,9 +455,9 @@ flowchart TD
 | 不做 | 理由 / 归属 |
 |---|---|
 | THD / 谐波方和根真有效值、快照 4 点平均 | 挂 `docs/算法/继电保护功能复现规划.md` 的「遥测谐波轨（可选）」一起做；快照保持"基波有效值 + 直取相量"口径（§4.5） |
-| **谐波轨的消费出口**（C04 / C05 目前无人消费） | 谐波轮只证"算得对"；接线到判据或上送属谐波轨立项范围，本波不动 |
+| **谐波轨被谁消费**（C04 / C05 目前无人消费） | 谐波轮只证"算得对"；接线到判据或上送属谐波轨立项范围，本波不动 |
 | 端子级额定电压、绝缘耐压、温升 | 要标准源 / 型式试验条件；本波所有注入都在 `U5` 排针侧 ±2 V 以内 |
-| 录波（原始码值段文件） | **已交付代码面**（2026-10-29 立项并当日落地；判据属主 `docs/子系统设计/故障录波设计说明.md` §10，原卡片登记簿 2026-10-30 销项并入）本卡「动态波形验证」的样本出口**已**由录波段文件承担（§4.6.3 出口表已改），排序也随之调整（`docs/子系统设计/故障录波设计说明.md` §11）；**没跑的是板级那一轮**（§10） |
+| 录波（原始码值段文件） | **已交付代码面**（2026-10-29 立项并当日落地；判据属主 `docs/子系统设计/故障录波设计说明.md` §10，原卡片登记簿 2026-10-30 销项并入）本卡「动态波形验证」的原始样本**已**由录波段文件承担（§4.6.3 读数地点表已改），排序也随之调整（`docs/子系统设计/故障录波设计说明.md` §11）；**没跑的是板级那一轮**（§10） |
 | 104 文件传输（规约侧读文件） | 仍独立待排；现场与台架取回一律走现成 FTP（21 端口），规约侧文件服务等送检或第三方交接需求再议 |
 | 等周波调频 | 与标定正交、无标准源时判据不可达，见 `docs/算法/继电保护功能复现规划.md` §3.1 |
 | 功率 / 相位跨相比较 / 功率因数 / 对称分量 | **V0.1 硬件禁止**：跨转换器无同一时刻性，`docs/硬件平台/ADC通道映射说明.md` §7 通道归属行 |
@@ -472,9 +475,9 @@ flowchart TD
 |---|---|
 | **`docs/测试说明/专项验证/ADC前端注入验证流程.md`** | **执行步骤的属主**。本文只写"证到哪、判据是什么、为什么这么排"；怎么接表笔、读哪一行、填哪张表一律在那篇里。动态验证的**步骤**同样落那篇（新开"交流"节），本文 §4.6 只留判据 |
 | **通道映射说明** | `docs/硬件平台/ADC通道映射说明.md` §7.1（①②③④ 链路分段）与 §8.1（静态六项实测）是**量纲与实测记录的属主**；本文 §2.1 / §2.6 是它的**消费者**，不另立口径，动态实测结论也回写该文件 |
-| **`docs/子系统设计/故障录波设计说明.md`** | 录波段文件是本卡「动态波形验证」的**样本出口**，数据面代码侧已落地（2026-10-29：环与段格式在 `App/algo/wave_ring.c` / `App/algo/wave_store.c`，PC 侧 `test/host/wave_read.py`）；判据从「比对派生标量」升级为「PC 独立重算 vs 板上读数」对表的**执行轮次待台架**，动态验证的排序已因此让位给录波数据面（用户裁定 2026-10-29，理由与三处口径变更见 docs/子系统设计/故障录波设计说明.md §11） |
+| **`docs/子系统设计/故障录波设计说明.md`** | 录波段文件是本卡「动态波形验证」的**原始样本来源**，数据面代码侧已落地（2026-10-29：环与段格式在 `App/algo/wave_ring.c` / `App/algo/wave_store.c`，PC 侧 `test/host/wave_read.py`）；判据从「比对派生标量」升级为「PC 独立重算 vs 板上读数」对表的**执行轮次待台架**，动态验证的排序已因此让位给录波数据面（用户裁定 2026-10-29，理由与三处口径变更见 docs/子系统设计/故障录波设计说明.md §11） |
 | **`docs/算法/采集与算法层设计说明.md`** | 算法与判据正文（全周傅氏、测频、保护元件）；本文只规定"这些算法的信度到什么程度" |
-| **`docs/子系统设计/IEC104上行设计说明.md`** | 动态验证的**读数出口**（`0x4011`~`0x4018` + `0x401D`）；送检验收索引在 `docs/任务规划/登记簿.md` §7 |
+| **`docs/子系统设计/IEC104上行设计说明.md`** | 104 上行协议本体（点表 `0x4011`~`0x4018` + `0x401D`、品质位绑定）——送检与验收的参照；**不是本验证轮的读数通道**；送检验收索引在 `docs/任务规划/登记簿.md` §7 |
 | **送检验收** | 标准源送检依赖本文「两点标定与精度验收」；顺序不可倒（先变比 → 再标定 → 才解卡 → 才送检，§6） |
 | **UI 补齐** | 已交付的 `meas_snap_t` + `adc_cal_flags()` 供 `ui_data_rt_t` 填 `eng`：现为 0 = 引脚电压，变比确认拿到变比后才升 1 = 二次值。**UI 不必等本文任何一张卡** |
 | **双转换器无共同采样触发（V0.2 硬件改版）** | 本波的 `CLIPPED` 位就是这条硬件缺陷在软件里的可见形态；V0.2 改版后该位恒 0，页面与 104 绑定零改动 |

docs/任务规划/登记簿.md

@@ -21,7 +21,7 @@
 | # | 事项 | 发现 | 证据与现状 | 出处 |
 |---|---|---|---|---|
 | dhara 重试自旋残留 | **dhara 重试自旋残留**——`try_recover()` 的 `DHARA_MAX_RETRIES`(8) 自旋在坏块密集时仍可能长时间占用 defaultTask（喂狗点） | 2026-10-02 | 低优先：现有 `vol_lock` + 喂狗节奏缓解；若台架再出"存储侧喂狗饥饿"再排期 | `Lib/dhara/map.c` |
-| 可选全序列卷锁 | **可选全序列卷锁**——现卷锁仅覆盖 `syslog` / `cfg` / `lftpd` 三条路径（`vol_lock_wait(0)` try 语义），其它潜在访问点（如 UI 读日志）未纳入 | 2026-10-02 | 待评估：先确认是否真有第二写者；无则关闭本项 | `App/fs/vol_lock.{c,h}` |
+| 可选全序列卷锁 | **可选全序列卷锁**——现卷锁仅覆盖 `syslog` / `cfg` / `lftpd` 三条路径（`vol_lock_wait(0)` try 语义），其它潜在访问点（如 UI 读日志）未纳入。⚠ 原本挂在本题下的「dhara 失败类快照（C4）」待还项**已于 2026-11-04 由问题 #79 还清**（`nand_ftl_fault_get/clear` + 探针按类分流，见 `../架构设计/STM32F4-Base存储架构说明.md` §10.4 已闭环段）——本题现只剩**卷锁覆盖面**本身，不再被 C4 阻塞 | 2026-10-02；C4 拆分 2026-11-04 | 待评估：先确认是否真有第二写者；无则关闭本项 | `App/fs/vol_lock.{c,h}` |
 
 ## 3. 硬件（V0.1 缺陷 → V0.2 改版项）
 
@@ -42,6 +42,7 @@
 | rs485_task 白名单缺口 | **KNOWN_GAPS 白名单清理**——现存唯一缺口 = `App/task/rs485_task.c`（RS-485 接线门禁未满足、刻意不接线，随 RS-485 采集链路 暂缓，见 `暂缓-RS485.md`） | 白名单不清 = "写了不编译"盲区仍在 | 随 RS-485 采集链路 一并出白名单（`--strict` 供审计复跑） | 结构债 | 报告 N 族残余（报告已删） |
 | 缩堆迁 CCM 后半（暂缓） | **内存优化簇剩余**：原报告缩堆建议的后半（缩堆 56→32 KB → 迁 CCM）· 同类三项 | ⏸ **整簇暂缓**（2026-10-15 用户裁定）：没有功能在等这块预算，而搬迁要动 scatter、要逐条过 DMA 可达性清单、缩堆还要上板复测。⚠ 代价落在"以后加任务 / 抬栈 / 加堆"那一刻——CCM 只剩 7,904 B、FreeRTOS 堆 `min_ever` 8,464 B，届时 `mem-budget` 会先报警 | 重开条件见 `../内存管理/RAM使用分析与优化方案.md` §4。⚠ **原报告另有一条已判定不可行**（CMSIS-RTOS2 `freertos_os2.h` 有 `#if (configMAX_PRIORITIES != 56) #error`，改小直接编译失败），不再列入 | **暂缓** | 报告 R 族剩余/§5.5（报告已删） |
 | 仓库体积膨胀观察 | **仓库膨胀**：`.git` **233 MB**（2026-10-25 实测）+ 手册图片 36.3 MB（受控文件合计仅 79.3 MB，`.git` 已是它的 3 倍） | clone/备份慢，且持续恶化 | 降采样 / 拆 submodule / LFS 三选一 **+ 一次 `git filter-repo` 历史重写**（三项都不解决历史膨胀）。**已决策（2026-10-11）：暂不处理、登记观察**——推送/协作前重评 | **仓库决策** | 报告 D 族 |
+| 静态链硬线双 FAIL | **timeSyncTask / iec104Task 静态最坏链跌破 ISR 硬线**（判据 = margin ≥ max(1024 B, cfg×30%)，静态 margin 是唯一拦提交项但尚未挂 pre-commit 钩子，口径见 `../内存管理/RAM使用分析与优化方案.md` §4.0.7 第③条）——2026-11-04 复测：master 2b848c4a timeSyncTask **2056 B（余 504）**、iec104Task **1600 B（余 960）**，双 FAIL；#78 合入后 timeSyncTask **1904 B（余 656）**，只减不增（−152 B = 旧 8888 任务自身帧）。两链同尾 = `ch395f SPI 故障收尾 → dbg_console_drain 幻影环`（`../内存管理/RAM使用分析与优化方案.md` §4.0.7「休眠环」在 #74 UDP / #77 SNTP 出向链接入后被重新展开） | 抬栈属 Ask-first：先台架复采 `[STACK]` 水位（scripts/stack_gate.py 三档判据），拿真实余量再定抬栈或接受现状；幻影环是 armlink 记账非设备故障，**不得写成优化收益也不得当作已越线事故** | ⏳ 待台架复采 | #78 复测留痕 `docs/内存管理/data/stack_report_20261104.md`；`../内存管理/RAM使用分析与优化方案.md` §2.3 |
 
 ---
 
@@ -67,6 +68,7 @@
 | **网络负向场景台架验证** | 拔线、SPI 故障注入、远显压力条件 | PHY 拔线、芯片级 `net_init` 失败、短写压测 | 本文件 §1 |
 | **CI 远端闭环未验证** | runner 与第二台机器 | 验证远端两 job 闭环和不同工具路径 | 本文件 §4 |
 | **UI 六页真机判据（记录 5 页 + 运行报告）** | 台架：NAND 里有真实事件记录、SD2506 电池域可控、104 主站可连 | 上板复核六件事：真记录翻页与掉电后保持、清除记录后对应页归零、上电一次看 `boot_count` +1、拔 RTC 电池后 `seq_state` 落 RESTARTED、IWDG 复位后 `rst_cause` 落 IWDG、主站连一次看 `conn_up` +1（模拟器侧这些记录文件无写入方、无 `boot_stats`、无 104 协议栈，黄金只拍得到空态「无记录」与固定假数据的显示口径） | 六个页面模块文件头「台架待补」段 + `../测试说明/专项验证/模拟器差距清单.md` §2.3 开机账本一行 |
+| **SNTP 校时真机判据** | 台架：板与 PC SNTP 服务器（192.168.31.161 / .13）同网段可达 | `[sntp]` 使能 + 配服务器后上板复核：`[SNTP] step offset=` 步进日志、钟面与时间源一致（本地 UTC+8 口径）、`poll_min` 周期到点重对、拔线后指数退避与主备轮换、恢复后回到周期 | `../子系统设计/系统墙钟时间维护说明.md` §16 |
 
 **送检顺序不可倒过来**：产品构建当前要求 UA/UN/IA 的标定 VALID 全部置位才走保护判据。
 未完成标准源标定就送检，保护会表现为不动作。保持该闭锁，不用非标准源标定走捷径。
@@ -81,7 +83,6 @@
 | **开入开出与遥信配置 3 页** | 固件和 V0.1 硬件均无可配开入对象；出口还涉及 GPIO 安全电平、保持/脉冲和回读自检 | 开入开出作为独立模块立项，再与 UI 页面同批 |
 | **故障录波** | 独立子系统，不是补一个页面——**2026-10-29 已立项**：设计与板级判据属主 docs/子系统设计/故障录波设计说明.md（§10；原卡片登记簿 2026-10-30 销项并入后删除） | 已解除暂缓；执行按该文 §10 顺序图，UI 道互斥 |
 | **104 文件传输（规约侧读文件）** | 录波取回走现成 FTP 已够用，规约侧文件服务是另一件事 | 送检或第三方交接需求明确后单独立项 |
-| **SNTP 设置** | 当前对时走 8888 私有协议，SNTP 客户端与产品口径未定 | SNTP 客户端立项 |
 | **RS-485 整簇** | 用户决定暂缓 | `暂缓-RS485.md` |
 
 ## 9. 开放问题

docs/内存管理/RAM使用分析与优化方案.md

@@ -47,10 +47,10 @@ dhara 失败类 +84；RO 另 +208，全是该失败类名表）→ `ER_IROM1`
 <!-- MEM_SNAPSHOT:BEGIN generated by scripts/check_mem_numbers.py -->
 | 区域 | 用量 | 容量 | 占比 |
 |---|---|---|---|
-| ER_IROM1 | 278,956 B (272.42 KB) | 1,048,576 B (1024 KB) | 26.6% |
+| ER_IROM1 | 283,512 B (276.87 KB) | 1,048,576 B (1024 KB) | 27.0% |
-| RW_IRAM1 | 94,624 B (92.41 KB) | 131,072 B (128 KB) | 72.2% |
+| RW_IRAM1 | 94,736 B (92.52 KB) | 131,072 B (128 KB) | 72.3% |
 | RW_CCM | 57,376 B (56.03 KB) | 65,280 B (64 KB) | 87.9% |
-| **Flash (ROM 合计)** | **281,008 B (274.4 KB)** | 1,048,576 B (1024 KB) | **26.8%** |
+| **Flash (ROM 合计)** | **285,584 B (278.9 KB)** | 1,048,576 B (1024 KB) | **27.2%** |
 <!-- MEM_SNAPSHOT:END -->
 
 各区的容量与常量来源：
@@ -125,7 +125,7 @@ dhara 失败类 +84；RO 另 +208，全是该失败类名表）→ `ER_IROM1`
 | ftpTask | `1024*4` | 4KB | lftpd FTP 服务 | 740 B（余 81%）/ 静态 1216 B |
 | testTask | `2048*4` | 8KB | 测试套件（产品构建不创建；存储套件深链需要） | 未创建 / 静态 496 B |
 | defaultTask | `1280*4` | 5KB | FatFS 挂载/探针 + 配置引擎 + syslog + 栈水位探针 | 2152 B（余 41%）/ 静态 **3016 B**（栈余量收口时抬栈 1024→1280，2026-10-12） |
-| timeSyncTask | `640*4` | 2.5KB | TCP 时间同步 | 616 B（余 50%）/ 静态 **1264 B**（栈余量收口时抬栈 512→640，2026-10-12） |
+| timeSyncTask | `640*4` | 2.5KB | 网络校时节拍宿主（SNTP 客户端；:8888 监听 2026-11-04 退役 #78，任务入口不变） | 616 B（余 50%，2026-10-12 实测）/ 静态 **1904 B**（2026-11-04 #78 交付态复测，`docs/内存管理/data/stack_report_20261104.md`；链尾 `time_sntp_run→net_sendto→ch395f_spi_fault_set→控制台 drain 幻影环`，§4.0.7 同族记账。**master 2b848c4a 同判据实测 2056 B = FAIL**，本 PR 只减不增（−152 B = 旧任务自身帧）——FAIL 属 #77/#74 后既有债，与 iec104Task 1600 B 同源，见登记簿「静态链硬线双 FAIL」；台架 `[STACK]` 水位待复采后再定抬栈与否，未据静态值擅自抬栈） |
 | adcTask | `640*4` | 2.5KB | TPAFE5160 采样消费 + 全周傅氏相量 + 有效性校验（TIM3 1 kHz 节拍，ADC 采集链路→全周傅氏相量→「采样有效性校验」 2026-10-11） | **952 / 2560**（余 1608 B / 62%，台架 `/serial-boot-test` 实测 2026-10-11）；静态 **1320 B**（2026-10-12 复测，保护判据接线后） |
 | iec104Task | `640*4` | 2.5KB | IEC104 上行服务（默认 2404 监听 + link 状态机，IEC 104 上行 2026-10-12） | 未上板 / 静态 **1456 B**（拆链→重建监听→net_bind→SPI 故障→日志尾，日志主导；512 words 时余 592 B < ISR 底线 → 抬至 640，余 1104 B / 43%） |
 | protectTask | `512*4` | 2KB | 保护判据节拍（prot_elm_run 消费者 + 「自检失败闭锁」采样闭锁，保护任务 2026-10-12） | 未上板 / 静态 **872 B**（float 判据 + phasor 快照 + 日志尾，余 1176 B / 57%） |

docs/内存管理/RAM预算台账.md

@@ -15,19 +15,19 @@
 <!-- MEM_BUDGET:BEGIN generated by scripts/ram_baseline.py -->
 | 区域 | 用量 | 容量 | 占比 | 门禁（≤92%） |
 |---|---|---|---|---|
-| ER_IROM1 (Flash) | 278,956 B | 1,048,576 B | 26.6% | 参考 |
+| ER_IROM1 (Flash) | 283,512 B | 1,048,576 B | 27.0% | 参考 |
 | RW_CCM | 57,376 B | 65,280 B | 87.9% | PASS |
 | UNINIT_CCM | 48 B | 256 B | 18.8% | 参考 |
-| RW_IRAM1 | 94,624 B | 131,072 B | 72.2% | PASS |
+| RW_IRAM1 | 94,736 B | 131,072 B | 72.3% | PASS |
 
 | 子系统（静态 RW+ZI；除 RTOS 堆在 CCM 外均在 SRAM1） | 现值 | 配额 | 状态 |
 |---|---|---|---|
 | 网络 | 13,958 B | 12 KB | ⚠ 超 1.6 KB |
 | 存储 | 7,072 B | 12 KB | OK |
-| UI | 36,473 B | 16 KB | ⚠ 超 19.6 KB |
+| UI | 36,475 B | 16 KB | ⚠ 超 19.6 KB |
 | RTOS 堆 | 57,376 B | 56 KB | 堆=配额 |
-| 应用 | 26,333 B | 8 KB | ⚠ 超 17.7 KB |
+| 应用 | 26,433 B | 8 KB | ⚠ 超 17.8 KB |
-| 其它 | 10,780 B | — | 参考 |
+| 其它 | 10,792 B | — | 参考 |
 <!-- MEM_BUDGET:END -->
 
 - **门禁**：pre-commit `mem-budget` 钩子（`scripts/ram_baseline.py --gate`）——

docs/内存管理/data/stack_report_20261104.md

@@ -0,0 +1,97 @@
+# Stack budget report
+
+- Source: `MDK-ARM\STM32F407-Demo\STM32F407-Demo.htm` (Keil static call graph)
+- Linker run: Wed Nov 04 17:43:34 2026
+- Global maximum stack usage: **3040 B** (any call tree)
+
+Rule: `margin = cfg - max(static_max_depth, runtime_peak)` must be >= max(1024 B ISR, 30% of cfg).
+
+| Task | Entry | Cfg (B) | Static max (B) | Runtime peak (B) | Worst (B) | Margin (B) | Margin % | Verdict |
+|---|---|---|---|---|---|---|---|---|
+| defaultTask | `StartDefaultTask` | 5120 | 3040 | - | 3040 | 2080 | 40% | PASS |
+| netTask | `StartNetTask` | 3840 | 1936 | - | 1936 | 1904 | 49% | PASS |
+| ftpTask | `StartFtpTask` | 4096 | 1600 | - | 1600 | 2496 | 60% | PASS |
+| uiTask | `StartUiTask` | 16384 | 1632 | - | 1632 | 14752 | 90% | PASS |
+| testTask | `start_test_task` | 8192 | 744 | - | 744 | 7448 | 90% | PASS |
+| timeSyncTask | `time_sync_task` | 2560 | 1904 | - | 1904 | 656 | 25% | FAIL |
+| adcTask | `adc_task_func` | 2560 | 1424 | - | 1424 | 1136 | 44% | PASS |
+| iec104Task | `iec104_serv_task` | 2560 | 1600 | - | 1600 | 960 | 37% | FAIL |
+| protectTask | `protect_task` | 2048 | 880 | - | 880 | 1168 | 57% | PASS |
+
+`Static max` = armlink worst-case call-tree depth; `Runtime peak` = measured high-water mark (boot + whatever workload ran before the sample); `Worst` = max of the two, which is what the verdict is computed from.
+
+## Worst call chain per task
+
+### defaultTask: 3040 B (own frame 0 B)
+
+```
+StartDefaultTask -> default_task_func -> storage_bring_up -> net_cfg_load -> cfg_file_load -> s_write_template -> s_write_doc -> cfg_store_write_atomic -> f_rename -> sync_fs -> disk_ioctl -> ftl_flush_cache -> dhara_map_write -> prepare_write -> auto_gc -> dhara_map_gc -> try_recover -> raw_gc -> trace_path -> dhara_journal_read_meta -> dhara_nand_read -> gd5f_read_from_cache -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+### netTask: 1936 B (own frame 0 B)
+
+```
+StartNetTask -> net_task_func -> net_process_messages -> net_close_locked -> net_udp_settle_close -> net_udp_datagram_read -> ch395f_read_recv_buf -> ch395f_spi_dma_transfer -> ch395f_spi_fault_set -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+### ftpTask: 1600 B (own frame 24 B)
+
+```
+StartFtpTask -> lftpd_start -> lftpd_inet_listen -> net_bind -> net_udp_bind_exec -> ch395f_open_socket -> ch395f_poll_cmd_status -> ch395f_get_cmd_status -> ch395f_write_cmd -> ch395f_spi_fault_set -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+### uiTask: 1632 B (own frame 0 B)
+
+```
+StartUiTask -> ui_task_func -> ui_port_service_keys -> lv_refr_now -> lv_display_refr_timer -> refr_invalid_areas -> refr_area -> refr_configured_layer -> refr_obj_and_children -> refr_obj -> lv_obj_redraw -> refr_obj (Cycle)
+```
+
+### testTask: 744 B (own frame 224 B)
+
+```
+start_test_task -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+### timeSyncTask: 1904 B (own frame 0 B)
+
+```
+time_sync_task -> time_sntp_run -> s_send_round -> net_sendto -> net_udp_sendto_exec -> net_send_locked -> ch395f_write_send_buf -> ch395f_spi_dma_transfer -> ch395f_spi_fault_set -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+### adcTask: 1424 B (own frame 384 B)
+
+```
+adc_task_func -> adc_health_report -> syslog_post -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+### iec104Task: 1600 B (own frame 160 B)
+
+```
+iec104_serv_task -> s_serv_poll -> s_service_link -> s_drop_conn -> s_bind_listen -> net_bind -> net_udp_bind_exec -> ch395f_open_socket -> ch395f_poll_cmd_status -> ch395f_get_cmd_status -> ch395f_write_cmd -> ch395f_spi_fault_set -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+### protectTask: 880 B (own frame 160 B)
+
+```
+protect_task -> s_log_active_edge -> dbg_console_write_line -> con_append -> dbg_console_drain -> MX_UART5_Init -> HAL_UART_Init -> HAL_UART_MspInit -> Error_Handler -> dbg_console_write_line (Cycle)
+```
+
+## Frame-size ranking (own frame, top 15)
+
+| Bytes | Function |
+|---|---|
+| 624 | `lv_draw_sw_arc` |
+| 400 | `ui_task_wave_seg_win` |
+| 400 | `draw_line_skew` |
+| 384 | `adc_task_func` |
+| 384 | `sb_link_poll` |
+| 352 | `lv_draw_sw_triangle` |
+| 352 | `net_stack_bring_up` |
+| 352 | `net_udp_datagram_read` |
+| 344 | `ui_w_editor_draw` |
+| 328 | `lv_obj_redraw` |
+| 328 | `view_frame_draw_cb` |
+| 324 | `s_transform` |
+| 320 | `wd_stall_evidence` |
+| 312 | `nc_draw_cb` |
+| 312 | `sn_draw_cb` |

docs/内存管理/内存内容分配策略.md

@@ -19,7 +19,7 @@
 
 关键事实：
 
-1. **CCM 对 CPU 是全速内存**。Cortex-M4 无 语义取数与有效性 cache，"CCM 是慢内存"的直觉只适用于带 cache 的核（M7/出口与记录/H7 的非 cacheable 旁路），**在本芯片上不成立**——任何"按速度分配区域"的论证对本文档无效。
+1. **CCM 对 CPU 是全速内存**。Cortex-M4 无 L1 cache，"CCM 是慢内存"的直觉只适用于带 cache 的核（M7/L4/H7 的非 cacheable 旁路），**在本芯片上不成立**——任何"按速度分配区域"的论证对本文档无效。
 2. **DMA 对 CCM 地址的传输静默不落地**。2026-09-21 首轮 CCM 实验实证：以 CCM 上栈缓冲（dhara meta 132B / is_free 64B）为 DMA 源/目的时传输不生效，引发 FTL 重格式化循环与幻影坏块。此后 DMA 阈值提至 1024B 消除。**工程规则按"DMA 不可达 CCM"执行，不论数据手册如何表述。**
 3. CCM 存在性已用 `ST-LINK_CLI -r32 0x10000000` 本机实测可读写；**克隆片可能缺 SRAM3，换料必须重测并回退布局**。
 4. 工程不进入 Stop/Standby 低功耗模式，两区域掉电保留行为无差异，不构成分配判据。

docs/子系统设计/故障录波设计说明.md

@@ -2,11 +2,11 @@
 
 > **模块名称**：故障录波——采样源沿用 TIM3 1 kHz 节拍，专用录波环（`App/algo/wave_ring.c`，已落地）、触发、落盘（defaultTask 是文件系统唯一写者）、取回（FTP 21 端口）、现场回放（UI 单通道页）。
 > **文档定位**：本波的**设计属主**——口径、通道集、数据形态、触发模型、文件格式、预算与所有权边界、显示契约、二期不返工的结构约束在此定稿。**板级判据与本波执行顺序的属主即本文 §9 与 §10**——原任务规划下的《故障录波》卡片登记簿已于 2026-10-30 随销项并入本文后删除（沿革见 §14）；排期顺位在 `docs/任务规划/README.md` §2.0「独立」行。
-> **状态**：设计已定稿，**数据面 + 触发与落盘接线 + UI 两个页面（手动录波、录波回放）的代码面已交付（2026-10-29）**——主机单测 113 / 170 / 110 全 rc=0、双端编译 0 错误 0 警告、板端编码器与 PC 侧解码器两份独立实现字节级互验通过。**没做完的只有板级判据那一轮**（注量对表、FTP 拉回、与 `meas:` 和 104 浮点 YC 对表、CRC 不符必须拒收的实测、回放页放一段真波、两个待台架核数值），逐条列在本文 §10 板级各行。三条已裁定口径见 §1.2。**2026-10-31 远程半轮**已把其中不需要到场与注入的六样跑过（落盘道、触发时序、冷却恢复、轮转、PC 侧坏段拒收、104 并发）——结果与回放页新缺陷「段表枚举恒空」全在 §10「板级远程半轮记录」小节；**该缺陷已于 2026-11-02 远程修复并板级闭环**（根因 = 读侧 `wave_store_seg_path()` 返回值判错 + 键处理缺失效，证据与前后对拍见 §10「回放页枚举恒空缺陷修复记录」）。
+> **状态**：设计已定稿，**数据面 + 触发与落盘接线 + UI 两个页面（手动录波、录波回放）的代码面已交付（2026-10-29）**——主机单测 113 / 170 / 110 全 rc=0、双端编译 0 错误 0 警告、板端编码器与 PC 侧解码器两份独立实现字节级互验通过。**没做完的只有板级判据那一轮**（注量对表、FTP 拉回、与 `meas:` 对表、CRC 不符必须拒收的实测、回放页放一段真波、两个待台架核数值），逐条列在本文 §10 板级各行。三条已裁定口径见 §1.2。**2026-10-31 远程半轮**已把其中不需要到场与注入的六样跑过（落盘道、触发时序、冷却恢复、轮转、PC 侧坏段拒收、104 并发）——结果与回放页新缺陷「段表枚举恒空」全在 §10「板级远程半轮记录」小节；**该缺陷已于 2026-11-02 远程修复并板级闭环**（根因 = 读侧 `wave_store_seg_path()` 返回值判错 + 键处理缺失效，证据与前后对拍见 §10「回放页枚举恒空缺陷修复记录」）。
 > **相关文档**：
 > `docs/子系统设计/ADC采样节拍设计说明.md`（节拍与时序账的属主；本文 §3 的数据源就是它）
 > `docs/硬件平台/ADC通道映射说明.md`（网名 `AINn` 不等于板级 `ADCn`，也不等于转换器通道号；链路分段与削顶归属）
-> `docs/任务规划/数据可信.md` §4.6（动态波形验证判据；录波落地后它的读数出口升级，见 §11）
+> `docs/任务规划/数据可信.md` §4.6（动态波形验证判据；录波落地后它的读数通路升级，见 §11）
 > `docs/架构设计/STM32F4-Base存储架构说明.md` §10.1（FatFs 两条实证陷阱与 8.3 短名限制）
 > `docs/内存管理/内存内容分配策略.md` §6 与 R6 规则（新增静态缓冲大于 4 KB 的前置动作）
 > `docs/UI设计/内容页架构.md`、`docs/UI设计/RemoDispBus协议与接收设计说明.md`（回放页与远端看图的能力边界）
@@ -311,7 +311,7 @@ flowchart TD
 - **实际落地形态（逐字）**：打印点在 `App/task/adc_task.c`:782 行，格式串 `"wave: seg=%lu armed=%u src=%s pts=%u err=%lu ovf=%lu drop=%lu"`——**字段名与顺序就是上面的模板**（台架与 PC 脚本按行名 grep，动它就断脚本）；`src` 取 M（手动）/ P（保护）/ T（定时自抓）/ `-`（本次上电还没触发过）；`armed` 只在 FREEZE 与 SEALED 为 1（COOL 期只挡新触发不录新段，画进 armed 会被台架误读）；`seg` 是累计**成功回执**的段数、不是轮转号；`err` = 落盘失败 + SEALED 滞留超时自弃（含 §5.2 第四条的 ring abandoned 判废），由环内计数收口，落盘道不数第二份账。`err` 与 `ovf` 的**已知容差**（lead 裁定 2026-10-29，不修只入档）：这两个计数是跨上下文的读-改-自增（`ovf` 由任意上下文的拒绝路径加、`err` 由 adcTask 的滞留自弃与 defaultTask 的落盘失败分别加），本层双端编译、不许引 FreeRTOS / CMSIS 的临界区内在函数，所以并发拒绝或并发失败时**理论上可能少计一次**。定性为**观测计数的已知容差**：只用于趋势与判读，**不作为任何判据的唯一依据**——要坐实「冷却期内确实来了第二次触发」，同时看 `armed` 与那一刻 `/log/start.log` 的时刻。契约原文见 `App/algo/wave_ring.h` 文件头「观测计数的已知容差」段；
 - **落盘道失败留痕名清单（2026-10-30 并入原卡片登记簿；台架判读按名索引，不新增第二种形态）**：单板上一律一行 `[WAVE] seg drop: <原因> (idx=… written=…)`，统一打印点 `App/task/default_task.c`:816——`crc selftest FAIL` / `mkdir /wave` / `opendir /wave` / `readdir /wave` / `seg_path` / `pack_start` / `f_open` / `pack_next` / `f_write short` / `pack stall` / `f_close` / `len mismatch` / **`ring abandoned`**（最后一条即 §5.2 第四条陷阱的处置留痕，代码与主机单测面已有、板级未测，观察项见 §10）；另有一条非失败的慢段留痕 `[WAVE][WARN] seg held <毫秒> ms (idx=…)`（`App/task/default_task.c`:831）——搬得慢不是错，真失败才走 `seg drop`。
 - 只在原先静默的黑洞处补锚点，别重复已有步骤——每条 DBG 日志约 90 B Flash 加 216 B 栈（`AGENTS.md` 的日志与工具链节）；
-- 该行已同步进 `docs/测试说明/专项验证/ADC前端注入验证流程.md` 的读数出口表（2026-10-29；同一张表还登记了段文件出口与 PC 侧读段工具）。
+- 该行已同步进 `docs/测试说明/专项验证/ADC前端注入验证流程.md` 的读数地点表（2026-10-29；同一张表还登记了录波段文件与 PC 侧读段工具）。
 
 ---
 
@@ -322,7 +322,7 @@ flowchart TD
 | 主机侧纯逻辑单测（新增，进 `test/host/`） | ① 环：预触发与后触发点数、冻结与解冻、冷却丢弃计数；② 段格式编解码往返，含 CRC 不符、零长度、字节数不符三条失败路径；③ 触发状态机三条来路（手动 / 保护 / bench）。**环与格式必须是纯逻辑**（不碰寄存器、不碰 RTOS）才能这样测——这是 `App/algo/` 既有分层纪律 |
 | PC 侧工具的定性 | `test/host/wave_read.py` 是 **bench 工具**（`test/host/` 下的 loose .py，先例 `test/host/ftp_capture.py`），**不是**主机单测套件 → 不建 `run_unit_test.py`、不加 pre-commit 专属钩子（专属钩子默认不补，按 Lead 裁定 2026-10-27）；它自带 `--selftest` 就是它的自带回归，跑法与四个子命令见 `docs/测试说明/专项验证/ADC前端注入验证流程.md` §4 |
 | 跨工具链分叉（实证，写进来是为了下一个模块别重踩） | 两份录波 .c 只 include 自身头（链上只有 stdint.h）时，ARMCC 报 22 条 identifier "NULL" is undefined；而主机 MSVC / gcc 会传递性把 stddef.h 拉进来，**主机单测完全照不出这个分叉** → 新增模块需要用 NULL 就自己 include stddef.h（与 `App/algo/sample_ring.c` 同口径，别塞公共头） |
-| 板级 | 信号发生器注 1 V / 50 Hz → 手动一段 → FTP 拉回 → PC 脚本量出周波数、幅值、极性与注入一致；再把 PC 重算的基波有效值与板上 `meas:` 与 104 浮点 YC 对表。**判据只量四样：周波数、幅值、极性、钉轨路数——不比绝对相位**（理由见 §4.2「段内点序」：触发瞬间在工频周期内任意落点，段字节里没有绝对时间参考；真要比相位必须让发生器给同步触发，本波不做）。**钉轨对表的合格判据 = 头位图 ⊇ 实测钉轨路数，且差异必须能由注入条件解释**——因为 `clip_mask` 是按来源派生的链路可信性标记（§6.2 偏移 24 行），不是本段实测值：只加直流或小幅注入时那五路本就不该钉轨，硬取等式会假红。**同段另起一条强观察项**：V0.1 下这五路若在做**交流注入**时反而没钉轨，先怀疑接线或该路根本没被驱动——这是告警面，不是失败面（等式仍作为默认尺子留在 PC 侧 `shape --strict` 里，因为它有这个信号价值；要放行差异用那条判据的解释权，不靠改尺子）。**§5.2 第四条的板级观察项（代码与单测面已有、板级未测）**：bench 连续自抓期间人为把卷占住 2 s 以上（例如同一段跑 FTP 大文件读），看串口 `wave:` 行的 `err` 是否加一、是否只出现**一条** `[ERR] … seg drop: ring abandoned` 留痕（不是每拍刷屏）、且段号不推进（下一段仍写同号文件） |
+| 板级 | 信号发生器注 1 V / 50 Hz → 手动一段 → FTP 拉回 → PC 脚本量出周波数、幅值、极性与注入一致；再把 PC 重算的基波有效值与板上 `meas:` 对表。**判据只量四样：周波数、幅值、极性、钉轨路数——不比绝对相位**（理由见 §4.2「段内点序」：触发瞬间在工频周期内任意落点，段字节里没有绝对时间参考；真要比相位必须让发生器给同步触发，本波不做）。**钉轨对表的合格判据 = 头位图 ⊇ 实测钉轨路数，且差异必须能由注入条件解释**——因为 `clip_mask` 是按来源派生的链路可信性标记（§6.2 偏移 24 行），不是本段实测值：只加直流或小幅注入时那五路本就不该钉轨，硬取等式会假红。**同段另起一条强观察项**：V0.1 下这五路若在做**交流注入**时反而没钉轨，先怀疑接线或该路根本没被驱动——这是告警面，不是失败面（等式仍作为默认尺子留在 PC 侧 `shape --strict` 里，因为它有这个信号价值；要放行差异用那条判据的解释权，不靠改尺子）。**§5.2 第四条的板级观察项（代码与单测面已有、板级未测）**：bench 连续自抓期间人为把卷占住 2 s 以上（例如同一段跑 FTP 大文件读），看串口 `wave:` 行的 `err` 是否加一、是否只出现**一条** `[ERR] … seg drop: ring abandoned` 留痕（不是每拍刷屏）、且段号不推进（下一段仍写同号文件） |
 | 板级·触发来路（2026-10-30 并入原卡「手动触发与保护启动接线」板级段） | 真机面板按一次「手动录波」出一段；造一次过流，段号与该时刻 `/log/start.log` 事件对齐；冷却期内二次触发只加 `ovf` 不重录（**同时看 `armed` 与那一刻 start.log 的时刻，不要只盯 `ovf` 数字**——容差见 §9）；冻结窗口内 104 上送与保护判据不受影响（这条是「丢录波样本不丢采集」的验收） |
 | 板级·回放页（2026-10-30 并入原卡「现场单通道回放页」板级段） | 真机上放一段真波（不是模拟器合成节拍）；远端看图能拍到该页做留证（只作留证，不是波形通路，§8.4）；**空态与 CRC 失败态绝不允许画成一条直线**——用坏段在真机复现一次。**2026-10-31 远程半轮进展见下「板级远程半轮记录」小节**：PC 侧坏段拒收已过；回放页坏段/空态画面的测试面**已于 2026-11-02 枚举缺陷修复后打开**（真机已验证真段显示 + 切段切道，见下「回放页枚举恒空缺陷修复记录」小节），坏段/空态两画面本身仍是到场轮要拍的项 |
 | UI | `ui-verify` 五步；回放页入 `ui-golden` 黄金参考（**参考图一旦入库只能改代码对齐，禁止刷参考掩盖**）；新叶走 `gen_menu.py` 重生成 + 字库链 |
@@ -380,8 +380,8 @@ try 锁纪律）照常读出并显示 ⇒ try 锁读径正常；`manual_req` 作
 「0 段缓存」，回放页从此假显「无录波段」、直到下一次 `manual_req` 才重试；失败应不钉表、
 下键重试，与 soe_store 读者同纪律。
 
-**本半轮没跑的（人到场轮清单）**：注量对表（周波数 / 幅值 / 极性 / 钉轨路数）、`meas:` 与 104
+**本半轮没跑的（人到场轮清单）**：注量对表（周波数 / 幅值 / 极性 / 钉轨路数）、`meas:`
-浮点 YC 数值对表、两个待台架核数值（封存超时窗 §4.2 兜底行与冷却时长 `App/algo/wave_ring.h`）、P 触发与 start.log 对齐（还得先解标定闭锁）、
+浮点数值对表、两个待台架核数值（封存超时窗 §4.2 兜底行与冷却时长 `App/algo/wave_ring.h`）、P 触发与 start.log 对齐（还得先解标定闭锁）、
 bench T 源与卷占用 2 s 的 `ring abandoned` 观察（需 bench 构建）、~~回放页坏段画面与空态画面
 （等枚举缺陷修复后才有测试面）~~ **（2026-11-02 枚举缺陷修复后测试面已开，见下小节）**、
 `task_prof` 读路径耗时峰值。**执行动作侧**（到场的人做什么、
@@ -447,7 +447,7 @@ bench 锁全程持有；三次烧录（埋点 / 诊断加强 / 根因修复）
 | 旧口径 | 新口径 | 原因 |
 |---|---|---|
 | 「录波通道必须先有工程量，排在本波之后」 | 录波录**原始码值**，不等工程量；解释靠头里的系数快照 | §3.2：现在根本没有工程量，等下去等于永远不动 |
-| 动态波形验证的读数出口 = 派生标量（`meas:` / 104 / `phasor(hb)`） | 派生标量仍是**判据**，但样本改从录波段导出 → 判据升级为「PC 独立重算 vs 板上读数」对表 | 录波段就是现成的样本出口，不必再造一条串口通路 |
+| 动态波形验证读数的地方 = 派生标量（`meas:` / 104 / `phasor(hb)`） | 派生标量仍是**判据**，但样本改从录波段导出 → 判据升级为「PC 独立重算 vs 板上读数」对表 | 录波段就是现成的样本来源，不必再造一条串口通路 |
 | 动态波形验证「手边可做、排在最前」 | 排在录波 P1 之后（用户裁定 2026-10-29：录波先行） | 先有样本通路，验证才不留遗憾 |
 
 （2026-10-30 更新：原卡片登记簿已销项并入本文，§10 尾有本波执行顺序图；排期顺位在 `docs/任务规划/README.md` §2.0「独立」行。）

docs/子系统设计/看门狗设计说明.md

@@ -223,7 +223,7 @@ static HAL_StatusTypeDef iwdg_deferred_start(const IWDG_HandleTypeDef *a_h) { (v
 |---|---|---|---|
 | NAND 初始化 / `f_mkfs` / `dhara_map_resume` / `f_mount` | 启动段 | 数百 ms ~ 数秒 | **① 启动段不启动狗**（§4.1） |
 | PHY 链路等待（60×50 ms） | `net_stack_bring_up` | 最长 3 s | **② 分片心跳**：循环内每轮 `task_wd_beat` |
-| `time_sync_handle_conn` 的 30 s 总预算 | `App/sync/time_sync.c` | 单次可睡满 30 s | **② 切片**：`TIME_SYNC_WAIT_SLICE_MS=200` 夹住每次 `net_recv_to` 的 `rem`，每片先喂位（总预算语义不变） |
+| `time_sntp_run` 的单次响应等待（UDP `net_recvfrom_to`） | `App/sync/time_sntp.c` | 单次调用 ≤1 片 `SNTP_RECV_SLICE_MS=50` | **② 切片**：响应总预算（5 s 起指数放大）拆成 50 ms 片，任务 200 ms 节拍每轮喂位（旧 `time_sync_handle_conn` 30 s 预算行随 :8888 退役于 2026-11-04 删除，见 `../子系统设计/系统墙钟时间维护说明.md` §15） |
 | 就绪屏障等待（NET/STORAGE READY） | net / ui / ftp / timesync 入口 | 不定 | **② 分片**：等待按 100 ms 分片并喂位 |
 | 卷锁等待（FatFs 多任务） | `lftpd_io.c`、`App/fs/vol_lock.h` | 不定 | **② 分片**：100 ms 分片阻塞 + 每片 `lftpd_task_wd_beat()` |
 | 卷锁 try 失败（defaultTask / uiTask **从不等锁**，取不到就跳过本轮） | `App/fs/vol_lock.c` 观测计数 | 不定 | **④ 只计数、不在失败分支留日志**：锁层记 5 态（`acquired` / `try_timeout` / `blk_timeout` / `failopen`，16 B 静态），读口 `vol_lock_get_stats()` **不取锁**、任意上下文可调。为什么不许在 try 失败处补一条日志——唯一能把事写下来的通道（`/log/wdev.log`、`run.log`）自己也要取这把锁，而卷锁**非递归**，被卷忙挡住时既写不出还会自取死锁；一次性留痕交给 syslog 唯一写者按差值 latch 补投（道G task-17，接口口径见 `App/fs/vol_lock.h`） |
@@ -376,7 +376,7 @@ snapshot == required → miss_streak=0、证据门闩复位、喂狗
 | netTask | 主循环；`net_stack_bring_up` 的 PHY 等待循环内；就绪屏障等待分片；入口 `task_wd_bind()` |
 | ftpTask | 主循环 = lftpd 事件循环：`lftpd.c` 事件循环每轮、RETR/STOR 每分片；`lftpd_inet.c` 连接/数据等待每轮每片；`lftpd_io.c` 卷锁等待每片；入口 `task_wd_bind()` |
 | uiTask | 主循环；就绪屏障等待分片；入口 `task_wd_bind()` |
-| timeSyncTask | 主循环；监听重试（500 ms/2 s）前；accept 轮询；`time_sync_handle_conn` 的 **200 ms 切片**；屏障等待分片；入口 `task_wd_bind()` |
+| timeSyncTask | 主循环（200 ms 校时节拍，每轮首行喂位；`time_sntp_run` 单次 ≤50 ms 片 + `time_sync_delay_fed` 50 ms 分片）；屏障等待 100 ms 分片；入口 `task_wd_bind()`（旧「监听重试 / accept 轮询 / handle_conn 200 ms 切片」三处埋点随 :8888 退役于 2026-11-04 删除，墙钟说明 §15） |
 | adcTask | 主循环每 1 ms 节拍 `task_wd_beat(TASK_WD_ADC)`；**不做 NAND I/O → 不登记 FTL 心跳路由**（无需 `task_wd_bind()`） |
 | testTask | **不埋点、不登记、不入掩码** |
 | NAND FTL | `gd5f2gq5ue.c`：长操作入口 `nand_ftl_wd_beat()` + `nand_ftl_wd_feed()`；`gd5f_wait_busy` 每 100 ms 双管（路由到调用者任务） |

docs/子系统设计/系统墙钟时间维护说明.md

@@ -24,8 +24,9 @@
 
 ### 1.1 时基口径：内部一律**本地钟面**（用户裁定 2026-10-27）
 
-**裁定原文：「时基先本地为准」。** 定的是**冲突时谁赢**：面板时钟页与 8888 对时把「本地钟面当 epoch」写入，
+**裁定原文：「时基先本地为准」。** 定的是**冲突时谁赢**：（当时的）面板时钟页与 8888 对时把「本地钟面当
-而 104 的 `C_CS NA`（对时命令）携的是 UTC，两条写入口**后写者赢** ⇒ 装置墙钟与主机本地时刻恒差 8 小时。
+epoch」写入，而 104 的 `C_CS NA`（对时命令）携的是 UTC，两条写入口**后写者赢** ⇒ 装置墙钟与主机本地时刻
+恒差 8 小时（8888 已于 2026-11-04 退役，写入口现为 SNTP / UI / 104，见 §15、§16）。
 本裁定结束「后写者赢」：**内部真源 = 本地钟面**，任何来源写入前都要先换算成本地钟面再落库。
 
 这条同时也纠正了**本文自己的矛盾**（这才是 8 小时的根）：§2 曾写 epoch = 「自 1970-01-01 00:00:00 **UTC**
@@ -298,8 +299,8 @@ uint32_t now = sys_clock_get();   /* Unix 秒，可用于 FatFS 文件时间、
 | 项目 | 现状 | 可扩展方向 |
 |------|------|------------|
 | 时间范围 | 受 `uint32_t` 限制至 2038 | 改用 `uint64_t`/`time_t` 扩展 |
-| 运行期校准 | 30 天惰性再基准化已实现（§7）：纯自我参照、零 I2C；**有意不**周期性重读 RTC 重锚——RTC 漂移（±20ppm ≈ ±1.7 s/天）远大于 Tick 漂移，重锚反而降低精度；时间纠偏由时间同步（§15）负责 |
+| 运行期校准 | 30 天惰性再基准化已实现（§7）：纯自我参照、零 I2C；**有意不**周期性重读 RTC 重锚——RTC 漂移（±20ppm ≈ ±1.7 s/天）远大于 Tick 漂移，重锚反而降低精度；时间纠偏由时间同步（§16）负责 |
-| 网络校时 | 已实现（PC 推送 / TCP，见第 15 节） | SNTP/NTP 公网校时仍可作为后续扩展 |
+| 网络校时 | **SNTP 客户端 / UDP 123（§16，2026-11-04 落地）为唯一网络校时来源**；PC 推送 / TCP 8888 同日退役（§15） | NTP 公网源需现场路由，口径不变；104 `C_CS` 写入口径见 §1.1 末待决项 |
 | 时区 | **口径已定：内部一律本地钟面，不存时区**（用户裁定 2026-10-27，见 §1.1） | 「API 层加偏移参数」这条旧建议**作废**；唯一待决的是 104 上行是否要转 UTC（§1.1 末，送检前定） |
 
 ### 13.1 用户 SRAM 的占用分配（共享资源，用之前先在这里登记）
@@ -333,85 +334,57 @@ SD2506 有 **70 字节电池保持用户 SRAM**（寄存器 `2CH~71H`，`Drivers
 | `Drivers/BSP/SD2506/sd2506.c` / `.h` | SD2506 RTC I2C 驱动（`sd2506_get_time` / `sd2506_set_time`） |
 | `App/app/app_main.c` | 初始化调用顺序：`sd2506_init()` → `boot_stats_init()`（用户 SRAM 上电账本，§13.1）→ `sys_clock_init()` |
 | `App/util/boot_stats.c` / `.h` | 用户 SRAM 上电账本 + 本次开机复位原因快照（占用见 §13.1；单测 `test/host/boot_stats/`） |
-| `App/sync/time_sync.c` / `time_sync.h` | 时间同步实现（TCP Server，`timeSyncTask`） |
+| `App/sync/time_sync.c` / `time_sync.h` | `timeSyncTask` 实现（网络校时节拍宿主；TCP :8888 推送监听 2026-11-04 退役，§15）；单测 `test/host/time_sync/` |
-| `test/host/time_sync_server.py` | PC 端时间推送客户端（TCP） |
+| `App/sync/time_sntp.c` / `time_sntp.h` | SNTP 校时客户端（§16，同任务内由 200 ms 校时节拍驱动）；单测 `test/host/sntp/` |
+| `Drivers/BSP/NETCFG/sntp_cfg.c` / `.h` | `[sntp]` 配置段属主（注册在 `net_cfg_load()`） |
+| `Lib/coreSNTP/` | vendored coreSNTP v2.0.0 序列化器（MIT，仅 serializer + LICENSE；48 字节报文编解码） |
 
 ---
 
-## 15. 时间同步（PC 推送 / TCP）
+## 15. 时间同步（PC 推送 / TCP :8888）——已退役（2026-11-04）
 
-除 RTC 自身走时与开发期校时宏外，系统支持由 **PC 通过 TCP 主动推送本地墙钟** 来同步板子时间，使板子时间与开发电脑一致（无需公网 NTP）。
+> **状态：已退役。** SNTP 客户端上线（§16，PR #77）当日，`:8888` 推送监听、8 字节 "TIME" 协议、
+> PC 端推送器 `test/host/time_sync_server.py` 与探针 `test/host/e02_probe.py` 一并删除，网络校时
+> **唯一入口 = §16 SNTP**。历史实现（协议帧、监听/退避状态机、约 80 断言点的主机单测、真机验收日志）
+> 以 git 历史为准（`App/sync/time_sync.c` v1.x 与本节旧版）；旧验证锚点
+> `[TIME_SYNC] time_sync: TCP listen on :8888 (sock=1)` 仅供解读旧日志（`scripts/v5_log_gap_report.py`
+> 的探针窗口分类器仍识别 `no TIME packet`，属历史取证，不改）。
 
-### 15.1 模块与角色
+- **当初定位**：开发期让板子时间对齐 PC（无需公网 NTP）——PC 周期推固定 8 字节帧
+  `"TIME"(54 49 4D 45) + uint32 大端"本地 Unix 时间戳"（与电脑显示一致）`，板端校验魔术字后走
+  `sys_clock_set_unix()` 同一收口写回 SD2506（§1.1 口径的第二个历史写入口）。
+- **退役理由**：① SNTP 落地后它只剩"开发期工具"定位，与 SNTP 双写并存时现场钟面**后写者赢**、
+  节奏不可控；② 单连接监听被 `time_sync_handle_conn()` 全程占用，一条连接不结算（30 s 预算/
+  半包等待）其他对时全排队——head-of-line 风险，为喂狗才做的 200 ms 分片只是缓解；③ 依赖 PC 上
+  Python 推送器在场，现场不可持续；真机对时判据已由 UI 对时页 + `[SNTP]` 日志/OPER 痕覆盖。
+- **仍然有效的教训**：CH395F 单连接 TCP 服务在收到 **FIN 时会丢弃该 socket 内尚未读走的缓冲数据**
+  （旧推送器因此必须 sendall 后保持读至 EOF/2 s 超时）。`lftpd`、`ui_net_sink` 与今后任何常驻
+  TCP 服务同样受此约束（先结算再断开）；UDP 校时（§16）无此坑。
+- **Socket 预算变化**：`alloc_socket()` 从 0 分配、硬件 Socket 号=下标的机制不变；常驻监听由
+  21/8888/7003 三个减为 21/7003 两个，SNTP 的 1 个 UDP Socket 仍懒创建、按代次/开关归还（§16）。
+- **TCP 而非 UDP 的旧论证**（选 TCP 的队列/串行化背景）已被 2026-11-03 UDP 并入消息队列
+  （`docs/网络/BSD_Socket_API_使用指南.md` §9.0）与本文第 16 节的落地取代，不再单独成立。
 
-| 角色 | 提供方 | 说明 |
+---
-|------|--------|------|
-| 时间同步服务端（板子） | `App/sync/time_sync.c` / `time_sync.h` | TCP Server，监听 `TIME_SYNC_PORT`（默认 8888） |
-| 同步任务 | `timeSyncTask`（FreeRTOS 任务） | 独立任务，由 `Src/freertos.c` 创建（优先级 `osPriorityNormal`，栈 2KB） |
-| 时间推送端（PC） | `test/host/time_sync_server.py` | Python TCP 客户端，周期推送本机本地时间 |
-| 落盘接口 | `sys_clock_set_unix()` | 收到时间包后调用，内部转 `sd2506_time_t` 并写回 SD2506 |
 
-### 15.2 协议
+## 16. SNTP 校时（客户端，2026-11-04 落地）
 
-PC 每轮发送固定 8 字节帧：
+- 模块与任务骨架：`App/sync/time_sntp.c/.h` 由 `timeSyncTask`（`App/sync/time_sync.c` v2.0，:8888
-
+  退役后该任务即纯校时节拍宿主）驱动——屏障等 `SYS_EVT_NET_READY`（100 ms 分片喂心跳）→ 主循环
-```
+  每 200 ms 一轮：`task_wd_beat` → `time_sntp_run(net_get_generation())`（应答收片 ≤50 ms，不饿任务狗；
-字节 0..3 : 魔术字 "TIME"（0x54 0x49 0x4D 0x45）
+  代次变化由 `time_sntp_run` 内部弃旧 Socket 自重建）→ `time_sync_delay_fed(200)` 分片续心跳；
-字节 4..7 : 本地 Unix 时间戳，uint32，大端（PC 本地时间，含时区，与电脑显示一致）
+  48 字节报文编解码 = vendored coreSNTP 序列化器（`Lib/coreSNTP/`，MIT，零堆），节奏与准入判据在本方。
-```
+- 配置：`/config.ini` `[sntp]` 段（`enable` / `server1` / `server2` / `poll_min`，属主 `Drivers/BSP/NETCFG/sntp_cfg.c`，
-
+  注册在 `net_cfg_load()`）；现场改法 = UI「通讯参数 → SNTP 设置」页（密码叶）保存后随下一轮生效，或 FTP 改文件（4 s 落定）。
-板子 `time_sync_handle_conn()` 读取后校验魔术字，取大端 uint32 调用 `sys_clock_set_unix(epoch)` 更新运行基准并写回 RTC。
+  出厂默认**不启用**、服务器为空——不配不发任何 UDP 包。
-
+- 时钟面换算：SNTP 给的是 UTC，落库前加固定东八区偏移（`SNTP_TZ_LOCAL_OFFSET_SECS 28800`）写 `sys_clock_set_unix()`
-### 15.3 任务流程
+  （连带回写 SD2506）——这正是 §1.1 裁定「任何来源写入前先换算成本地钟面」的第三个写入口；装置仍不存时区。
-
+- 判据（RFC 4330 §10 口径）：OriginTimestamp 逐位等于发出时的 T1（含低 16 位随机小数位，防伪造/防重放）；
-`timeSyncTask` 启动后先等待 `SYS_EVT_NET_READY` 事件标志（取代旧版 8s 魔法延时；网络不就绪则一直等待），进入循环：
+  mode=4、stratum 1~15、闰秒指示 ≠3、服务器 Kiss-o'-Death 按 DENY/RSTR（换服务器）与 RATE（退避）分流；
-
+  响应源地址必须等于请求目的地址。失败：超时指数退避（5 s 起、60 s 封顶）+ 主备轮换；成功：恢复 `poll_min` 周期。
-```c
+- 步进策略：|offset| < 2 s 只记日志不步进；≥ 2 s 或冷启动直接步进并留痕 `[SNTP] step offset=`、`syslog` OPER
-/* osFlagsNoClear：就绪位是"状态"不是"事件"，任何消费者都不得把它清掉
+  「clock set by SNTP」；首个校验通过的同步置 `SYS_EVT_TIMESYNC_READY`（就绪位，不覆盖后续步进语义）。
- * （否则其它等待者永不唤醒——2026-09-21 FTP 永不监听事故的根因） */
+- 与 8888 的关系（历史）：2026-11-04 当日 SNTP 落地在前（PR #77）、:8888 清除在后，中间两路短暂
-osEventFlagsWait(sys_evtHandle, SYS_EVT_NET_READY, osFlagsWaitAny | osFlagsNoClear, osWaitForever);
+  并存、同一 `sys_clock_set_unix` 收口**后写者赢**；退役后本模块是**唯一网络校时入口**，
-
+  `sys_clock_set_unix` 现存三个写入口 = SNTP / UI 手工对时 / 104 `C_CS`（口径见 §1.1）。
-for (;;) {
+- 主机单测：`test/host/sntp/`（报文格式、防伪拒收、KoD、退避与周期、阶跃域守卫、配置注册表）。
-    ls = time_sync_open_listener();    /* net_socket + net_bind + net_listen，失败重试 */
-    conn = net_accept(ls, NULL, NULL); /* 阻塞等待 PC 连接（无连接立即返回 -1，循环重试） */
-    time_sync_handle_conn(conn);       /* net_recv 读到 8 字节 → sys_clock_set_unix → net_close */
-    /* conn（单连接模式下即 ls）被 net_close 释放，下次循环重建监听 */
-}
-```
-
-> 单连接模式下监听 Socket 收到连接后即转为数据通道，连接关闭后被释放；因此每轮循环都**重新创建监听 Socket**（与 `lftpd` 同模式），与 FTP 不冲突。
-
-### 15.4 为什么用 TCP 而非 UDP
-
-- 所有 socket 操作（`net_socket` / `net_bind` / `net_listen` / `net_accept` / `net_recv` / `net_close`）均走 `net_socket` 的**线程安全 API**，内部经消息队列由 `netTask` 串行执行；
-- netTask 因此只需做 `net_poll()` + `net_process_messages()`，不掺杂任何应用层网络逻辑；
-- **TCP 的全部 API 已经是基于消息队列的**（已在 `net_socket.c` 实现）；UDP 的 `net_bind` / `net_sendto` / `net_recvfrom` **曾经**绕过队列，**2026-11-03 已并入队列**（改造事实见 `docs/网络/BSD_Socket_API_使用指南.md` §9.0）。也就是说：**"UDP 不安全"不再是本节选 TCP 的理由**——本节结论不变（现有 TCP:8888 时间同步通道继续有效），但若日后要换成 UDP（#57 SNTP 方向），不再需要先改 net 层。
-
-### 15.5 Socket 分配与冲突
-
-- `net_socket()` 从 0 开始分配第一个空闲 Socket 控制块（`alloc_socket()`），并把硬件 Socket 号设为该下标；调用时的第三个参数（0）仅为协议占位，不影响分配。
-- 当前启动顺序：FTP 任务（`NET_READY` + `STORAGE_READY` 屏障满足后，无魔法延时）先监听 → 占用一个 Socket（单连接模式下监听通道复用为数据通道）；时间同步任务（`NET_READY` 后）后监听 → 占用另一个空闲 Socket。二者不冲突。
-- 单连接模式允许**任意** Socket 作为"监听 + 数据复用"通道，且总共 8 个 Socket，FTP 与时间同步各用 1 个，余量充足。
-
-### 15.6 客户端实现要点（避坑）
-
-PC 端 `test/host/time_sync_server.py` 发送 8 字节后**必须保持连接打开**，等待板子读取（或短延时）后再 `close()`：
-
-- 若发送后立刻关闭，CH395F 在收到 FIN 时会**丢弃接收缓冲里尚未被板子读出的 8 字节**；
-- 板子 `net_recv` 经消息队列异步执行（有 ~10ms+ 调度延迟），等它去读时连接已 DISCONNECT、缓冲已清空，`net_recv` 走 CLOSED 分支返回 0，时间包丢失、同步失败；
-- 客户端改为 `sendall` 后 `recv` 直到板子主动关闭（EOF）或 2s 超时，即可保证板子先读到数据。
-
-### 15.7 验证
-
-板子日志应出现：
-
-```
-[TIME_SYNC] time_sync: TCP listen on :8888 (sock=1)
-[NET] sock1 standalone accept
-[NET] recv sock1 len=8
-[CLK] sys_clock_set: wall clock updated to <epoch>
-[CLK] sys_clock_set: SD2506 RTC written
-[TIME_SYNC] time_sync: wall clock updated (epoch=<epoch>)
-```
-
-PC 端 `python test/host/time_sync_server.py` 每 `interval` 秒推送一次，epoch 随电脑本地时间递增即表示同步正常。

docs/子系统设计/网络配置说明.md

@@ -197,6 +197,37 @@ write=1
   [adc_cal] 9 键 / [adc_cal_ofs] 8 键 / [run_par] 9 键 / [comm] 2 键）；段/键上限
   的机器钉 = `test/host/cfg_file` TC-CONFIG-056/057。
 
+### 3.7 `[sntp]` 段：SNTP 校时参数（2026-11-04 新增，板端 SNTP 客户端接入，#57 调研结论）
+
+板端 SNTP 客户端的持久载体（消费方 = `App/sync/time_sntp.c`，挂在 timeSyncTask
+既有循环上，48 字节报文走 PR #74 后的 UDP socket 通道；数据本体 =
+`Drivers/BSP/NETCFG/sntp_cfg.h/.c`（纯段数据 + 读写出口，不依赖引擎头——分层门禁
+layer-deps 口径），段描述符由 `net_cfg.c` 的 `s_sntp_register()` 组装，注册编排 =
+`net_cfg_load()` 统一调用——与 [ftp] 同路径，「先注册后 load」成立）：
+
+| 键 | 含义 | 工厂默认 | getter 合法带（带外自愈回默认） |
+|---|---|---|---|
+| `enable` | 校时开关 | **0（出厂关闭）** | 0/1，非 1 一律视为关 |
+| `server1` | 主 SNTP 服务器 | **0.0.0.0（留空）** | 点分 IPv4 字面量（引擎 `s_decode_ip4` 解析；**无 DNS**） |
+| `server2` | 备 SNTP 服务器 | 0.0.0.0 | 同上；主服务器超时/拒绝（KoD DENY·RSTR）自动切换 |
+| `poll_min` | 轮询周期（分钟） | 60 | 1 ~ 1440（带外读回 60，**不写回 RAM**，`sntp_cfg_poll_min()`） |
+
+- **零足迹口径**：出厂默认关闭 + 服务器留空 → 不开 socket、不发一个字节（与
+  「FTP 未配置不监听」一致）；配了可达时服务器的现场才启用。
+- **生效链路**：页面保存行 → `SYS_EVT_CFG_SAVE` 整档外科落盘（引擎属主 defaultTask
+  不变）；客户端每轮直接读 RAM 副本，**无段回调、不新增事件位**。网络重建
+  （代次变化）时 UDP socket 随芯片复位被弃用，客户端检测 `net_get_generation()`
+  变化后关闭旧 fd 并**重新 1~5 分钟随机散布**首轮（RFC 4330 §10 口径）——
+  即 §4.2 自愈机制在 UDP 客户端侧的自然延伸（表内 TCP 三服务之外）。
+- **时钟面口径**：校验通过的服务器时间折算为 UTC 后**恒加 28800 s**（本地
+  UTC+8，单一「本地钟面」口径，#56 裁决，见
+  `docs/子系统设计/系统墙钟时间维护说明.md` §1.1；工程不存时区）再交
+  `sys_clock_set_unix()`（内部含 SD2506 RTC 写回）；`|offset| ≤ 2 s` 只记录
+  不拨针（防 RTC 无谓磨损）。冷启动（钟面无效）直接采用服务器 T3。
+  防欺骗/退避/KoD 细则 → `App/sync/time_sntp.c` 文件头 +
+  `test/host/sntp`（TC 命名即判据）。
+- 容量台账：本段上线后 `/config.ini` 受管段 = **7/8**（前 6 段见 §3.6，本段 4 键）。
+
 ---
 
 ## 4. 生效链路
@@ -232,7 +263,7 @@ sequenceDiagram
 
 **机制**：`请求 → netTask 重建 → 代次号 → 服务自愈`
 
-**约束与对策**：网络重建会复位 CH395F，所有监听 Socket 随之失效；而三个 TCP 服务（FTP :21 / 对时 :8888 / 远程显示 :7003）的监听由各自任务持有。为此引入"网络代次号"——各服务检测到代次变化后主动重建监听，在新 IP 上恢复服务。
+**约束与对策**：网络重建会复位 CH395F，所有监听 Socket 随之失效；而两个常驻 TCP 服务（FTP :21 / 远程显示 :7003；对时 :8888 已退役，2026-11-04）的监听由各自任务持有。为此引入"网络代次号"——各服务检测到代次变化后主动重建监听，在新 IP 上恢复服务。
 
 ```mermaid
 sequenceDiagram
@@ -240,7 +271,7 @@ sequenceDiagram
     participant CFG as net_cfg
     participant NT as netTask
     participant NS as net_socket
-    participant SVC as FTP/对时/远程显示
+    participant SVC as FTP/远程显示/对时(SNTP 出向)
 
     UI->>CFG: 保存行 ENTER → net_cfg_save()（写盘）
     CFG->>NT: net_cfg_request_apply() → 回调置 SYS_EVT_NET_RECONFIG
@@ -250,12 +281,12 @@ sequenceDiagram
     SVC->>SVC: 轮询发现代次变化 → 关闭旧监听 → 重建监听（新 IP）
 ```
 
-**三个服务的自愈点**：
+**各服务的自愈点**：
 
 | 服务 | 端口 | 检测位置 | 自愈方式 |
 |---|---|---|---|
 | FTP | 21 | `lftpd_inet_accept()` | 代次变化 → 返回 -1 → `lftpd_start` 外层循环重建监听 |
-| 对时 | 8888 | `time_sync_task()` 的 accept 循环 | 代次变化 → 关旧监听 → 回外层重建 |
+| 对时（SNTP 客户端） | UDP 出向（无监听） | `time_sntp_run(net_gen)` 每轮比对代次 | 代次变化 → 弃旧 Socket 归还 → 下轮到点懒重建（2026-11-04 起原 :8888 监听行随退役删除） |
 | 远程显示 | 7003 | `ui_net_sink_poll()` | 代次变化 → 关旧监听/客户端 → 重建 |
 
 **关键设计点**：
@@ -302,7 +333,8 @@ ENTER 进入选中地址行 → `↑/↓` 调活动字节（0..255 **环绕**）
 
 | 文件 | 职责 |
 |---|---|
-| `Drivers/BSP/NETCFG/net_cfg.h/.c` | 配置核心：RAM 副本 + 工厂默认 + 加载/保存编排 + MAC 影子 + IPv4 格式化（[network] 段注册） |
+| `Drivers/BSP/NETCFG/net_cfg.h/.c` | 配置核心：RAM 副本 + 工厂默认 + 加载/保存编排 + MAC 影子 + IPv4 格式化（[network] 段注册；`net_cfg_load()` 一并注册 [ftp]/[sntp]） |
+| `Drivers/BSP/NETCFG/sntp_cfg.h/.c` | [sntp] 段核心：RAM 副本 + 工厂默认 + 注册 + `poll_min` 带外自愈出口（`App/sync/time_sntp.c` 每轮只读） |
 | `App/cfg/cfg_file.h/.c` | 通用配置文件引擎（双端共享核心：解析/校验/外科保存/模板/沉降轮询） |
 | `App/cfg/cfg_file_store.h` | 存储后端接口（带路径的文件操作） |
 | `App/cfg/cfg_file_store_mcu.c` | MCU 后端：FatFS `/config.ini`（`/config.TMP` + `f_rename` 原子写） |

docs/子系统设计/配置文件设计说明.md

@@ -156,6 +156,7 @@ mac=00:00:00:00:00:00
 | `App/util/sys_clock.c/.h` | 修改 | MCU | 新增 `sys_clock_get_time()`（日历时间获取器）；改归 ④中间件层，自 `App/` 移入 `App/util/` |
 | `Drivers/BSP/NETCFG/net_cfg.h/.c` | 重构 | 双端 | `net_cfg_*` API 不变；load/save 走 cfg_file；注册 `[network]` 段 |
 | `App/protocol/iec104/iec104_comm.h/.c` | 新增（2026-10-26 道G task-8） | 双端（模拟器编译但无消费路径） | 配对模块注册 `[comm]` 段（104 ca/端口，ca 1..65535 / port 1024..65535 合法带 getter 自愈）；内核前 `iec104_comm_init()` 注册（同 [adc_cal]/[run_par] 先注册后 load 契约）；生效 = 改后重启（键表与理由 → `docs/子系统设计/网络配置说明.md` §3.6）；**不走 scripts 白名单**——`.c` 按 new-source-file 口径同笔进 uvprojx + `simulator/CMakeLists.txt` |
+| `Drivers/BSP/NETCFG/sntp_cfg.h/.c` | **新增**（2026-11-04 板端 SNTP 接入） | 双端（模拟器编译但无 sync 消费路径） | 注册 `[sntp]` 段（enable / server1 / server2 IPv4 字面量 / poll_min 1..1440 getter 带外自愈，iec104_comm 先例）；`net_cfg_load()` 内与 [ftp] 同编排注册；消费方 `App/sync/time_sntp.c`（MCU 单端链接）；键表与生效口径 → `docs/子系统设计/网络配置说明.md` §3.7；new-source-file 口径 uvprojx + `simulator/CMakeLists.txt` 双登记 |
 | `Drivers/BSP/NETCFG/net_cfg_legacy.c` | **已删除**（2026-10-10；曾于 P3 新增） | — | 旧 NCFG blob 解析 + 迁移；随"不保留旧档兼容"整体移除（见 §9.1） |
 | `Drivers/BSP/NETCFG/net_cfg_store.h` / `net_cfg_store_mcu.c` | **删除** | — | 由 `cfg_file_store.*` 取代 |
 | `simulator/sim/net_cfg_store_sim.c` | **删除** | 模拟器 | 由 `cfg_file_store_sim.c` 取代 |
@@ -589,3 +590,4 @@ void adc_cfg_init(void)
 | 2026-10-04 | **P0-1 真机独立复跑 PASS（二次确认，代码零改动）**——`@build` 0/0（增量，无源文件新于镜像）→ `@test` **VERDICT PASS（rc=0）**：`[2026-10-04 00:01:21][CFG] load: OK (523B, heap free 8840B)` + `[NET_CFG] load: OK ip=192.168.1.100`，Forbidden `FAIL`/`ERROR`/`HardFault`/`[ERR]` 零命中，`selftest: no fault record`（先清掉 2026-10-02/03 故障注入窗口遗留的 67 条台账）→ ST-LINK 全片回读 `No difference found`（`0x08000000~0x08040F9B`）。**本次为 `待处理内容.md` §4.1「待验证」唯一未闭环项（P0-1）的收口**，该节现已清空 |
 | 2026-10-10 | v1.14：**删除旧档 NCFG 迁移（D10 撤销）**——`Drivers/BSP/NETCFG/net_cfg_legacy.{c,h}` 整体移除、`cfg_store_legacy_path()` 撤销（MCU / 模拟器后端与主机单测 `test/host/cfg_file/cfg_file_test.c` 同步删除），`net_cfg_load` 不再调用 `net_cfg_legacy_migrate()`；旧档 `/cfg/netcfg.bin` 若存在则被**忽略**（不读、不删、不迁移），配置回落工厂默认。理由：该一次性路径把整条配置写链挂进启动期调用图，defaultTask 静态最坏栈链 **+600 B**（该链整体 5312 → 2776 B，另三个杠杆见 `docs/内存管理/RAM使用分析与优化方案.md`），而本仓库不存在携带旧档的设备。连带影响：`App/util` 的 CRC-16/MODBUS 失去唯一调用者（现为零调用者）；模拟器 `--cfgtest` 不再覆盖迁移场景；§2 D10 / §3.5 / §4.2 / §5.1 / §6.2 / §6.4 / §7 / §9 / §11.1 同步 |
 | 2026-10-26 | v1.15：**新增 `[comm]` 段（道G task-8，「UI 补齐」波次里的非 UI 前置项）**——`App/protocol/iec104/iec104_comm.h/.c` 配对模块（104 公共地址 / 监听端口 2 键，getter 合法带自愈，adc_cal 先例）；内核前 `iec104_comm_init()` 注册（[adc_cal] / [run_par] 同「先注册后 load」契约）；生效 = **改后重启**（不挂回调、不新增事件位，区别于 [network] 免重启重建）；段占位 5→6 / 8，键表与主站地址不做理由 → `docs/子系统设计/网络配置说明.md` §3.6；机器钉 = `test/host/cfg_file` TC-CONFIG-056/057（段/键上限）+ `test/host/iec104` TC-IEC104-031~033（模板/重载/带外/ca 端到端）
+| 2026-11-04 | v1.16：**新增 `[sntp]` 段（板端 SNTP 客户端接入，#57 调研结论落地）**——`Drivers/BSP/NETCFG/sntp_cfg.h/.c`（enable / server1 / server2 / poll_min 4 键；出厂默认**关闭 + 服务器留空 + 60 分钟** = "未配置零网络足迹"口径；`poll_min` 带外自愈 1..1440 → 60 不写回 RAM）；数据本体 = `Drivers/BSP/NETCFG/sntp_cfg.h/.c`（不依赖引擎头，分层门禁 layer-deps 口径），段描述符由 `net_cfg.c` 的 `s_sntp_register()` 组装，注册编排 = `net_cfg_load()`（与 [ftp] 同编排，先注册后 load）；消费方 = `App/sync/time_sntp.c`（挂 timeSyncTask 既有循环，vendor `Lib/coreSNTP` serializer 做 48B 报文编解码/防欺骗校验）；保存立即生效 = 每轮直读 RAM 副本 + 网络代次重建弃 UDP socket 重散布，**无段回调、不新增事件位**；段占位 6→7 / 8；键表与生效细则 → `docs/子系统设计/网络配置说明.md` §3.7；机器钉 = `test/host/net_cfg` TC-NETCFG-005/006b..d/007（段注册契约）+ `test/host/sntp`（RFC 4330 §10 节奏 / §5.3 防欺骗 / §5.5 步进策略 / poll 钳位）

docs/架构设计/STM32F4-Base存储架构说明.md

@@ -643,7 +643,7 @@ LPN 与原始码的位置**就地分类并打印（`ftl_err_name()` 给可读名
 
 | dhara 错误 | 归类 | 处置上为什么不同 |
 |---|---|---|
-| `ECC` / `TOO_BAD` | `BSP_ERR_CRC` | 位翻转不可纠或页太坏：**是页级问题**，读重试 / 由 dhara 换页，不代表卷坏 |
+| `ECC` / `TOO_BAD` | `BSP_ERR_CRC` | 位翻转不可纠或页太坏：**是页级问题**，读重试 / 由 dhara 换页，不代表卷坏（**但见下方 10.4.1：页级失败会因重试语义升级成整卷禁用**） |
 | `JOURNAL_FULL` / `MAP_FULL` | `BSP_ERR_NO_SPACE` | 介质还健康，是 **journal / 映射层块池见底**：该走容量恢复（`../测试说明/专项验证/存储维护与容量恢复.md`），此时重格式化只是把问题推回去 |
 | `BAD_BLOCK` / `RECOVER` / `NOT_FOUND` / `CORRUPT_MAP` / 越界 | `BSP_ERR_IO` | 映射或介质**完整性**故障：保卷 + 上报，不许自愈重格式化 |
 
@@ -651,7 +651,80 @@ LPN 与原始码的位置**就地分类并打印（`ftl_err_name()` 给可读名
   checkpoint（`DHARA_E_TOO_BAD`）才算真空白卷"，本表则保证失败**可读**——两者合起来
   才是"别把瞬态毛刺当卷损坏去 `f_mkfs`"（旧行为：单次 I2C/SPI 抖动 → 清 map → 整卷
   重格式化 → 静默销毁全部用户数据）。
-- **仍未闭环**：分类目前**只进日志**；`disk_read`/`disk_write` 对 FatFs 仍只能回 `RES_ERROR`
+- **已闭环（2026-11-04，问题 #79）**：分类不再只进日志。`nand_ftl.c` 新增跨调用
-  （那是 FatFs 的契约）。要让 defaultTask 的卷健康探针**按类分支**，还需要一个跨调用
+  失败快照 `nand_ftl_fault_get()` / `nand_ftl_fault_clear()`（`nand_ftl_fault_t`，
-  存活的失败类快照（`nand_ftl_last_error()`，8 B；代价是要先定多写者纪律——
+  20 B：`active`/`op`/`cls`/`lpn`/`count`），在 `disk_initialize` 的 resume 失败、
-  defaultTask 与 testTask 都会碰存储）→ 即登记簿条目「可选全序列卷锁」的待还项。
+  `ftl_read_page`、`ftl_flush_cache`、`disk_ioctl(CTRL_SYNC)` 四个失败点记账；
+  defaultTask 的卷健康探针在 `storage_bring_up()` 里读它并按类分流：
+  `BSP_ERR_NO_SPACE` → **跳过重格式化**（只上报 `storage full`，留待容量恢复），
+  其余类 → 才 reformat。多写者纪律：语义是"最近一次"而非累计账本，并发下可能被
+  另一路覆盖（诊断用途可接受），故不加锁、不做权威计数。
+
+### 10.4.1 「页级 TOO_BAD」为什么会升级成「整卷禁用」（2026-11-04 台架实证，问题 #79）
+
+本表上一版只写了「`TOO_BAD` 是页级问题，不代表卷坏」。这句话在**单次读写**的尺度上
+成立，但在**连续重试**的尺度上会误导——台架现场正是这条误解造成的：
+
+```
+[NAND_FTL] Map resumed: 14094/97504 sectors used      ← 映射本身健康
+[ERR][NAND_FTL] Cache flush FAIL: LPN=211 dhara=TOO_BAD class=-7
+[ERR] [FS] volume FAT invalid (fr=1), reformatting...
+[ERR] [FS] volume repair failed (fr=1)
+[ERR] [FS] f_mount failed (fr=1)                       ← 3 轮重试
+[ERR] [FS] storage retries exhausted (fr=1), storage disabled
+```
+
+两个独立的放大机制叠在一起：
+
+1. **`ftl_flush_cache()` 失败不清 `s_cache_dirty`**（刻意的：写不进去不能假装写成功）
+   ⇒ 缓存里那一页仍是脏的，**下一次任何存储访问都会重试同一个 LPN**。15 条
+   `Cache flush FAIL` 就是这么来的，11 秒内撞 15 次。
+2. **`nand_ftl_format()` 旧实现先 flush、失败即 `return GD5F_ERROR`** ⇒ 本应"销毁
+   映射重建卷"的恢复动作，被**同一页**在第一步挡住，`dhara_map_clear()` 从未执行；
+   接着 `f_mkfs` 在**旧映射**上跑，必然失败。每轮启动都重新踩同一条路，故
+   **重启不恢复**。
+
+- **判据修正**：`TOO_BAD` 仍归类 `BSP_ERR_CRC`（归类没错），但"不代表卷坏"必须加上
+  限定——**不代表介质坏，不代表卷内容好**。单个 LPN 反复写不进去，配合"脏缓存不清 +
+  格式化被挡"这两条，足以让整卷在本次启动内不可用。
+- **处置修正**：`nand_ftl_format()` 现在尽力刷一次缓存，失败则**丢弃缓存并继续**
+  `dhara_map_clear()`——格式化语义本就是销毁整卷映射（见 `nand_ftl.h` 该函数注释
+  「破坏性」），为一份注定作废的脏页挡住恢复动作没有任何收益。⚠ 该"丢弃"权限
+  **只在 format 内**；`disk_read`/`disk_write` 的 flush 失败必须继续向上报 `RES_ERROR`。
+- **与 10.4 表的关系**：格式化的**该不该做**由失败类决定（§10.4 快照分流），
+  格式化的**做得成做不成**不再被脏缓存劫持（本节）。两者一起才是完整判据。
+
+### 10.4.2 上游真凶定案：误标坏块被持久化（2026-11-04 真机闭环，问题 #79）
+
+10.4.1 的两条放大机制修掉后真机**并未恢复**——`format` 这次确实清了 map，但紧随的
+`Map sync after clear failed: TOO_BAD` 说明**全新的 map 也落不了盘**。逐层加临时
+诊断（prog/erase 原语失败打印 → is_bad 命中打印 → BBT 合并后打印）后定案：
+
+| 观测 | 结论 |
+|---|---|
+| `[NAND] BBT scan: 0 bad blocks found` | 出厂无坏块 |
+| prog/erase 原语 `[DIAG]` **零输出** | 底层写**全部成功**，TOO_BAD 不来自当次 I/O 失败 |
+| `BBT: 129/2048 blocks bad`（合并持久化 BBT 后） | 坏块全部来自**持久化 BBT 的 OR 叠加** |
+| 误标是 1016–1142 **连续段**；`Map head=65024`>>6 = **1016** 正中段首 | 不是随机位老化形态 |
+| `is_bad hit` 连续命中 1016..1142 | `prepare_head()` 连续 8 次撞坏 → `DHARA_E_TOO_BAD`（journal.c:820-832） |
+
+**机理链**：某次台架操作（断电 / ST-LINK reset 打在写窗口内）造成**传输层/等忙失败**
+→ 旧 `dhara_nand_erase/prog()` 把一切失败都 `dhara_nand_mark_bad()` →
+`gd5f2gq5ue_mark_block_bad()` **每次都立即持久化 BBT**（轮转池 + 版本号 + CRC，
+不可撤销）→ 误标固化 → 此后每轮启动 journal 写头爬进误标段即 TOO_BAD。这解释了
+「11-03 20:54 还好的、11-04 起每轮必现、重启不恢复」的全部特征。
+
+- **修复**：只有芯片明确回 `E_FAIL` / `P_FAIL`（状态位证据）才标坏；传输层/超时
+  只报 `DHARA_E_BAD_BLOCK` 让 dhara 重试，**不标坏**。回归用例
+  TC-NANDPORT-207/208/505（主机侧，178 条全绿；把修复回退即见红）。
+- **哨兵**：`gd5f2gq5ue_init()` 解锁块保护（A0h）后补回读校验（与 B0h ECC 同族
+  缺口；实测本板 A0h=0，写保护非本次根因，校验留作哨兵）；`gd5f_bbt_load()` 合并后
+  坏块数 > 0 且出厂扫描为 0 时打 `BBT after merge: %lu bad blocks (factory scan
+  was 0)`——现场一眼区分真坏与误标。
+- **存量误标的处置**：代码修复只防未来。已固化的 129 个误标用恢复动作 A
+  （`TEST_SUITE_STORAGE` + `ENABLE_STORAGE_RECOVERY_TESTS`，重建 BBT + format）
+  清除：`BBT rebuilt and persisted` → `Storage Recovery: 3/3 PASSED` →
+  持久化 BBT version=71。产品镜像复烧后 `[FS] FATFS mounted`、
+  `[CFG] load: file missing, factory template generated`，0 条 flush FAIL。
+  ⚠ 动作 A 语义 = 卷内容全失（旧卷随 map clear 作废），本次台架卷为可弃数据。
+

docs/架构设计/软件架构与运行时规格.md

@@ -42,7 +42,7 @@
 | `ftpTask` | 1024 / 4096 | Normal | 等网络**且**存储（`WaitAll`）→ `lftpd_start("/", 21)` → 单客户端会话循环 |
 | `testTask` | 2048 / 8192 | BelowNormal | 测试套件入口（`test/board/test_config.h` 选择）。**产品构建不创建**（未选套件时立即 `vTaskDelete` 回收其 8 KB CCM 栈） |
 | `uiTask` | 4096 / 16384 | BelowNormal | 等网络 → `ui_port_init`/`ui_menu_init`/`ui_standby_init`（空闲 60 s 切待机屏）/`ui_net_sink` → 10 ms 刷新 + 数据注入 |
-| `timeSyncTask` | 640 / 2560 | Normal | 等网络 → TCP :8888 收 PC 推送时间 → 写 RTC |
+| `timeSyncTask` | 640 / 2560 | Normal | 等网络 → 200 ms 校时节拍 `time_sntp_run()`（SNTP 客户端 UDP 出向 → 写 RTC；:8888 推送监听已退役 2026-11-04） |
 | `adcTask` | 640 / 2560 | AboveNormal | **采集主线唯一消费者**：每拍 `adc_input_poll()`（TPAFE 快照 + ADC1 DMA 帧）→ `adc_health` 有效性 → `phasor_run()` 相量 → `freq_run()` 测频 → 每 200 ms `meas_tick()` 发布遥测快照 |
 | `iec104Task` | 640 / 2560 | Normal | 等网络 → TCP 工厂默认 :2404 监听 → 104 链路状态机（总召/变位/周期/遥控/定值/对时）+ 断链重听 + 网络代次自愈 |
 | `protectTask` | 512 / 2048 | Normal | **20 ms 判据节拍**：采样故障闭锁判定 → 定值校验和巡检 → `prot_elm_run()` 元件判据 → 动作边沿投递 SOE（**不做 NAND I/O**） |
@@ -115,7 +115,7 @@ sequenceDiagram
     N-->>F: set SYS_EVT_NET_READY
     F->>F: wait NET_READY|STORAGE_READY（All|NoClear）→ lftpd_start("/", 21)
     U->>U: wait NET_READY（Any|NoClear）→ ui_port_init → ui_menu_init → ui_net_sink_start(7003)
-    I->>I: wait NET_READY（Any|NoClear）→ TCP listen :2404（默认）/ :8888
+    I->>I: wait NET_READY（Any|NoClear）→ TCP listen :2404（默认）/ 200ms SNTP 校时节拍
 ```
 
 > **顺序铁律**：① 配置段注册必须**先于** `cfg_file_load`（否则 FTP 上传的段不生效）；

docs/架构设计/项目架构总览.md

@@ -43,9 +43,9 @@
 | 录波链路（三任务交接） | adcTask `wave_ring_push()/tick()`（与相量主线同拍**并行**、互不阻塞）→ 触发冻结、后触发计满封段 → defaultTask 见 `wave_ring_sealed()` 游标分次搬进 `/wave` → uiTask 单通道回放页；落盘回执才解冻。取回 = FTP :21 |
 | SOE 链路 | protectTask 动作/复归边沿 `soe_store_post()`（纯 RAM：取时标 + 组 64B 记录 + 队列，**零文件系统**）→ defaultTask（`/log` 唯一写者，`syslog_drain` 尾部挂接）落 `/log/soe.log` |
 | `lftpd` / `net_cfg` / 测试 → `FatFs` → `nand_ftl` → `gd5f2gq5ue` | 文件、配置、录波段与 SOE 落 NAND |
-| `ui_net_sink` / `time_sync` → `net_socket` | 远程显示 :7003 / 对时 :8888 共用同一 TCP 栈；屏板链路走 USART1 串口（不经 TCP），与 :7003 是同一份显存的两个出口（**串口为主**） |
+| `ui_net_sink` / `time_sync` → `net_socket` | 远程显示 :7003 走 TCP；对时 = `time_sntp` 经同一消息队列走 **UDP 出向**（:8888 监听已退役，2026-11-04，墙钟说明 §15）；屏板链路走 USART1 串口（不经 TCP），与 :7003 是同一份显存的两个出口（**串口为主**） |
 | `ui_menu` → `ui_content_page` → `ui_page_*` | 框架 + 页面插件（描述符解耦；节点→页面绑定由注册表 `ui_page_registry.c` 生成，见 §6） |
-| `time_sync` / `sys_clock` → `sd2506` | 墙钟基准与写回 RTC |
+| `time_sntp` / `sys_clock` → `sd2506` | 墙钟基准与写回 RTC（对时写钟入口，:8888 退役后唯一网络来源） |
 | `ui_port` / `ui_page_*` → `LVGL` | UI 全部绘制走 LVGL（1bpp 离屏渲染到内存帧缓冲） |
 
 ### 1.3 端到端链路鸟瞰（另一视角：一个电气量走到底）
@@ -72,7 +72,7 @@
 | `ftpTask` | 4096 | Normal | 等网络**且**存储（`WaitAll`）→ `lftpd_start("/", 21)` → 单客户端会话循环（断开后经 `net_listener` 重建监听）；录波段文件的取回通道 | `StartFtpTask` |
 | `testTask` | 8192 | BelowNormal | 测试套件入口（`test/board/test_config.h` 选择）。**产品构建不创建**：CubeMX 生成区无条件建后，`MX_FREERTOS_Init()` 在未选套件时（`!TEST_SUITE_SELECTED`）立即 `vTaskDelete` 回收其 8KB CCM 栈（2026-10-04） | `start_test_task` |
 | `uiTask` | 16384 | BelowNormal | 等网络 → `ui_port_init`/`ui_menu_init`/`ui_standby_init`(空闲 60s 切待机屏)/`ui_net_sink` → 10ms 刷新：`ui_data_feed_tick()` 三帧装配 + 屏板链路驱动（组帧 B / 出键 / 离线判定 / 状态灯位）+ 录波回放页 | `ui_task_func` |
-| `timeSyncTask` | 2560 | Normal | 等网络 → TCP :8888 收 PC 推送时间 → 写 RTC | `time_sync_task` |
+| `timeSyncTask` | 2560 | Normal | 等网络 → 200 ms 校时节拍 `time_sntp_run()`（SNTP 客户端，UDP 出向；写 RTC 经 `sys_clock_set_unix`。:8888 推送监听已退役 2026-11-04） | `time_sync_task` |
 | `adcTask` | 2560 | AboveNormal | 纯消费者 + **唯一发布者**：`osThreadFlagsWait` 等 TIM3 1kHz 唤醒（ISR 内 `adc_tick_irq_notify` 置位）→ `adc_input_poll()`（TPAFE 原子快照 + STM32 ADC1 DMA 双缓冲）→ 标定折算 → 相量 → 测频；录波支路 `wave_ring_push()/tick()`；**每 200ms `meas_tick()` 发布遥测快照**（双区无锁，104 与 UI 共用同一份上游） | `adc_task_func` |
 | `iec104Task` | 2560 | Normal | 等网络 → IEC 60870-5-104 上行（工厂默认 :2404 监听 + link 状态机；遥测读 meas 快照、遥信读 `prot_elm` 元件态，COV 死区/变位上送；`[comm]`/`[run_par]` 配置；IEC 104 上行/第二轮）。任何构建都创建，纳入 IWDG `required_mask` | `iec104_serv_task` |
 | `protectTask` | 2048 | Normal | 保护判据 20ms 节拍：`prot_elm_run()` + 「自检失败闭锁」采样故障闭锁 + 定值校验和巡检 + 动作/复归边沿 SOE 投递（保护任务）；⚠ **当前处于「未标定闭锁」态**——`adc_cal_flags()` 无 VALID 时判据停走，两点标定写入 `[adc_cal]` 后自动解卡（用户裁定 2026-10-25：保持闭锁，不用万用表走捷径）；纳入 IWDG `required_mask`（产品 `0x1F7`） | `protect_task` |
@@ -155,7 +155,7 @@ sequenceDiagram
 
     F->>F: wait NET_READY|STORAGE_READY（All|NoClear）→ lftpd_start("/", 21)<br/>→ 串口输出：waiting for connection...
     U->>U: wait NET_READY（Any|NoClear）→ ui_port_init → ui_menu_init → ui_net_sink_start(7003)<br/>→ 10ms 循环：ui_data_feed_tick + 屏板组帧/出键/灯位
-    T->>T: wait NET_READY（Any|NoClear）→ TCP listen :8888
+    T->>T: wait NET_READY（Any|NoClear）→ 200ms 校时节拍 time_sntp_run()（SNTP 客户端 UDP 出向）
     I->>I: wait NET_READY（Any|NoClear）→ IEC104 listen 默认 :2404（遥测读 meas 快照 / 遥信读 prot_elm）
     P->>P: 20ms 判据节拍 prot_elm_run()（不依赖网络；未标定即闭锁停走）+ SOE 边沿投递
     C->>C: wait TIM3 1kHz 唤醒（ISR adc_tick_irq_notify）→ adc_input_poll() 纯消费<br/>→ 标定→相量→测频 → wave_ring_push/tick → 每 200ms meas_tick() 发布快照
@@ -217,7 +217,7 @@ flowchart TB
     NS --> Q["netMsgQueue<br/>（串行化到 netTask）"]
     Q --> NT["netTask<br/>net_poll() + net_process_messages()"]
     NS --> C1["lftpd<br/>FTP :21"]
-    NS --> C2["time_sync<br/>对时 :8888"]
+    NS --> C2["time_sync 任务<br/>time_sntp SNTP 客户端<br/>UDP 123 出向（:8888 已退役）"]
     NS --> C3["ui_net_sink<br/>RemoDispBus :7003"]
     NS --> C4["iec104_serv<br/>104 上行默认 :2404"]
     C3 -.->|"回送 1bpp 帧 + 接收远端按键"| CLIENT["DTU-RemoteLCD 客户端"]
@@ -321,7 +321,7 @@ STM32F4-Base/
 │   ├── cfg/                配置引擎：cfg_file（静态态单任务收敛于 defaultTask）、store（MCU=FreeRTOS 堆）、
 │   │                       prot_set_store（/prot_set.bin 原子写，保护定值持久化）
 │   ├── fs/                 卷锁 vol_lock（syslog / cfg / lftpd 三条路径 try 语义）、vol_idle_sync
-│   ├── sync/               time_sync（TCP 对时服务）
+│   ├── sync/               time_sync（timeSyncTask 载体）、time_sntp（SNTP 校时客户端，UDP）
 │   └── util/               sys_clock（墙钟）、task_watchdog（IWDG 判定状态机）、boot_stats、sha256、task_prof
 ├── Drivers/BSP/            纯手工驱动/服务（不受 CubeMX 保护）
 │   ├── CH395F/             以太网 MAC+PHY（SPI2 + DMA）

docs/测试说明/专项验证/ADC前端注入验证流程.md

@@ -1,49 +1,22 @@
 # ADC 前端注入验证流程（台架）
 
-> **这篇是什么**：已知电压注入验证的**执行侧**——判据与实测记录在 `docs/硬件平台/ADC通道映射说明.md` §8.1，
+> **这篇是什么**：已知电压注入验证的**执行侧**——怎么写表笔、读哪行日志、填哪张表、结果往哪回写。判据与实测记录在属主文档：直流轮 `docs/硬件平台/ADC通道映射说明.md` §8.1、交流轮 `docs/任务规划/数据可信.md` §4.6.2；**本文只写怎么跑**，分叉时判据从属主。证不到什么见 `docs/任务规划/数据可信.md` §4.6.1 与 §4.6.5，本文不重抄。
-> 这边写怎么接表笔、读哪一行日志、填哪张表、结果往哪回写。
 >
-> **本文分两个轮次**：§1~§7 = **直流轮次**（零点 / 线性 / 通道映射 / 极性，2026-10-27 六项 PASS，
+> **两个轮次**：§1~§7 = **直流轮次**（2026-10-27 六项 PASS，只需万用表 + 电位器 + 串口日志）；§8 = **交流轮次**（幅值 / 波形 / 相位 / 测频 / 削顶 / 谐波），一台信号发生器接 §3 同一批注入点就能跑，等标准源的只有**精度等级**。V0.1 五路单极性削顶（`UB/UC/IB/IC/IN`）在交流轮次只作"预期削顶"负向用例。
-> 证的是"一条水平线的高度"；**不需要**示波器、信号源、标准源，**只需要**一块万用表 + 一个电位器 + 串口日志）。
-> §8 = **交流（正弦）动态验证轮次**（六轮：幅值 / 波形 / 相位 / 测频 / 削顶 / 谐波，证的是"给定电压算得对不对、品质报得实不实、节拍稳不稳"）——
-> 一台信号发生器接在本文 §3 的同一批注入点上就能跑，**同样不用等标准源**；
-> 等标准源的只是**精度等级**那一步（`docs/任务规划/数据可信.md` §5 的「两点标定与精度验收」）。
-> V0.1 有五路单极性削顶（`UB/UC/IB/IC/IN`），它们在交流轮次里只能作"预期削顶"的负向用例。
->
-> **判据的属主是 `docs/任务规划/数据可信.md` §4.6.2**（六轮各验什么、过判据是多少），本文 §8 只写**怎么跑**。
-> 两边于 2026-10-29 对齐；若将来再分叉，分两类裁定：**「验什么、算不算过」从
-> `docs/任务规划/数据可信.md` §4.6.2**，**「期望值怎么算、怎么接线怎么跑」从本文 §8**。
-> 这一跳为什么不用等标准源、又证不到什么，见其 §4.6.1 与 §4.6.5，本文不重抄。
-
----
 
 ## 1. 为什么非做不可
 
-下游已经全部按"工程量"消费：保护判据、104 遥测、UI 交流量页读的都是 `adc_cal_apply()` 的输出。系数错
+下游全部按"工程量"消费（保护判据、104 遥测、UI 交流量页读 `adc_cal_apply()` 输出）。系数错一倍，三处一起错，**没有任何一处会报错**。这一步是**给整条链路量纲盖章**，不是"补充测试"。
-一倍，三处一起错，且**没有任何一处会报错**。"通路活"（9 通道转换成功、零超时、互异非饱和、跨次开机
-读数不同）不证明读数对。所以这一步的性质是**给整条链路的量纲盖章**，不是"补充测试"。
 
 ## 2. 前置事实：这个前端不是分压器
 
-2026-10-27 按 `docs/硬件平台/V0.1.tel` 逐通道追线，以 UA 为例（图由
+2026-10-27 按 `docs/硬件平台/V0.1.tel` 逐通道追线（图由 `tools/arch_diagram/gen_adc_frontend_svg.py` 生成，改图改脚本重跑）：
-`tools/arch_diagram/gen_adc_frontend_svg.py` 生成，改图请改脚本重跑，勿手改 SVG）：
 
 ![UA 通道前端：端子 → R31 → ADC7 → TPAFE AIN_7P；C44 / R32 在差分负端，不在信号通路上](../../images/ADC前端电路.svg)
 
-`ADC7` 这个节点上**只有** R31、C44、U3.61 三样东西，**没有对地电阻**。所谓"1k 到地"是 R32，
+`ADC7` 节点只有 R31、C44、U3.61，**无对地电阻**；"1k 到地"是 R32 接 TPAFE 负输入脚 AIN_7GND，属差分滤波非信号分压。STM32 侧同样无分流电阻。结论：① **不存在 2:1 分压**（`docs/任务规划/数据可信.md` §2.1 已改引脚侧系数 152.59 / 805.66），只需确认转换器 LSB 与逐通道映射；② **端子侧斜率 = 引脚侧斜率**，端子侧注入安全且能直接验 LSB。
-它接在 TPAFE 的**负输入脚 AIN_7GND**（芯片手册 pin62）上，是把差分负端经 1k 拴到 AGND，
-属于差分滤波，不是信号分压。STM32 侧更直接（图 B）：`AIN2 —[R52 1k]— ADC17 —[C111]— AGND`，
-同样没有分流电阻，连 R32 那个接地电阻都没有。
 
-**由此得到两条可直接用的结论**：
+期望斜率（由转换器满量程推出）：
-
-1. **不存在 2:1 分压**。旧口径"板级系数 305.18 / 1611.3 µV/码"（按 2:1 折算到 `AINn` 侧的条件值）
-   在本板上不成立；`docs/任务规划/数据可信.md` §2.1 已于 2026-10-27 改为引脚侧系数（152.59 / 805.66）。
-   所以已知电压注入验证只需**确认转换器 LSB 与逐通道映射**，不必再判别两种读法。
-2. **端子侧斜率 = 引脚侧斜率**。所以在**端子侧**注入既安全（有 1k 串阻护着芯片）又能直接验 LSB，
-   不必去碰 LQFP 引脚。
-
-期望斜率（由转换器满量程事实推出，与前端无关）：
 
 | 转换器        | 满量程                     | LSB              | **期望斜率**       |
 | ---------- | ----------------------- | ---------------- | -------------- |
@@ -52,7 +25,7 @@
 
 ## 3. 注入点清单
 
-串联电阻的两只焊盘就是两个注入层级：**1 脚 = 端子侧（靠 U5）**，**2 脚 = 引脚侧（靠转换器）**。
+串阻两只焊盘 = 两个注入层级：**1 脚 = 端子侧（靠 U5）**，**2 脚 = 引脚侧（靠转换器）**。
 
 | 语义 | 串阻  | 端子侧节点           | 引脚侧节点   | 转换器脚        | 期望斜率          |
 | -- | --- | --------------- | ------- | ----------- | ------------- |
@@ -66,60 +39,41 @@
 | IN | R48 | `AIN11`（U5.C10） | `ADC11` | U17.36（PA2） | 1241.2        |
 | 温度 | R47 | `V_ZL2`（U5.C11） | `ADC14` | U17.41（PA5） | 不验（非线性，不参与标定） |
 
-> 引脚侧没有串阻保护，注入前**必须外串 10 k 限流**。除非端子侧结果对不上、需要分离
+> 引脚侧无串阻保护，注入前**必须外串 10 k 限流**；除非端子侧对不上需分离"转换器的错"和"前端的错"，否则不用引脚侧。
-> "转换器的错"和"前端的错"，否则不要用引脚侧。
 
-## 4. 读数出口（固件只有下面这些周期行，没有命令控制台）
+## 4. 数字能从哪儿读（固件只有下面这些周期行，没有命令控制台）
 
-> **样本出口已落地（代码侧，2026-10-29）**：故障录波的数据面已进仓（格式与判据属主见 docs/子系统设计/故障录波设计说明.md §6.2 与 §6.3、板级判据见 §10、口径变更见该文 §11；原卡片登记簿 2026-10-30 销项并入后删除）——每次触发一段，段文件直接给出 8 路 × 320 点原始码值，动态验证的判据因此**可以**从「比对下表这些派生标量」升级为「PC 独立重算 vs 板上读数」对表。下表仍是固件唯一的**周期行**出口（段文件不是周期行，只在触发时产生），两种出口对表用。
+> **录波段文件能力已落地（2026-10-29）**：故障录波数据面进仓（格式属主 `docs/子系统设计/故障录波设计说明.md` §6.2/§6.3、板级判据 §10；口径变更 2026-10-30 并入该文 §11，原卡片登记簿销项后删除）——每次触发一段，段文件直接给 8 路 × 320 点原始码值，判据可从「比对派生标量」升级为「PC 独立重算 vs 板上读数」互相对表。下表是固件**周期性**打印的全部输出行（段文件只在触发时产生，不在其中），两类数字互为对照。
 
-| 日志行                                                         | 频率     | 内容                       | 用途                  |
+| 日志行 | 频率 | 内容 | 用途 |
-| ----------------------------------------------------------- | ------ | ------------------------ | ------------------- |
+|---|---|---|---|
-| `adc: UA=.. UB=.. UC=.. UN=.. IA=.. IB=.. IC=.. IN=.. T=..` | 每 10 s | **9 路原始码值**              | 本次验证的主读数            |
+| `adc: UA=.. UB=.. UC=.. UN=.. IA=.. IB=.. IC=.. IN=.. T=..` | 每 10 s | **9 路原始码值** | **直流轮（§1~§7）主要读的数** |
-| `cal: ua_mv=.. un_mv=.. ia_mv=.. vl=.. cl=..`               | 每 10 s | UA/UN/IA 折算后毫伏 + 标定/削顶位图 | 旁证：码值 → 电压是否自洽      |
+| `cal: ua_mv=.. un_mv=.. ia_mv=.. vl=.. cl=..` | 每 10 s | UA/UN/IA 毫伏 + 标定/削顶位图 | 旁证：码值→电压自洽 |
-| `first: UA=.. … T=..`                                       | 每次开机一次 | 9 路原始码值                  | 与 `adc:` 行互校（同序同格式） |
+| `first: UA=.. … T=..` | 每次开机一次 | 9 路原始码值 | 与 `adc:` 互校（同序同格式） |
-| `frames=.. idle=.. adc1_err=.. tgap=..`                     | 每 10 s | 采集健康计数                   | 步骤 4 的节奏判据          |
+| `frames=.. idle=.. adc1_err=.. tgap=..` | 每 10 s | 采集健康计数 | 判节奏用（判据在 §5.5，即步骤 4） |
-| `phasor(hb) C0x-…: Re=.. Im=.. rms=..`（逐实例）、`freq(hb): f=.. valid=..` | 每 10 s | 基波相量分量与测频读数（×0.1 / ×0.01 定点） | **交流轮次的主读数**（直流轮次只作旁证） |
+| `phasor(hb) C0x-…: Re=.. Im=.. rms=..`、`freq(hb): f=.. valid=..` | 每 10 s | 基波相量与测频（×0.1 / ×0.01 定点） | **交流轮（§8）主要读的数**（直流轮只旁证） |
-| `meas: seq=.. v=.. ua_mv=.. un_mv=.. ia_mv=.. f=.. fv=..`            | 每 10 s | 200 ms 遥测快照轨（基波有效值 mV） | 交流轮次的幅值比对（1 mV 分辨率，比 phasor 行细） |
+| `meas: seq=.. v=.. ua_mv=.. un_mv=.. ia_mv=.. f=.. fv=..` | 每 10 s | 200 ms 遥测快照轨（基波有效值 mV） | 交流幅值比对（1 mV 分辨率） |
-| **段文件** `/wave/WAVE00.BIN` 起共 100 个号轮转（FTP 根下可见，与 /log 平级） | 每次触发一段（手动 / 保护启动 / bench 定时） | 8 路 × 320 点原始码值 + 封存瞬间的标定与品质快照（布局见 docs/子系统设计/故障录波设计说明.md §6.2） | **样本出口**：交流轮次的主对表源——预触发 160 点 + 后触发 160 点，触发瞬间落在段内点 159 |
+| **段文件** `/wave/WAVE00.BIN` 起 100 号轮转（FTP 根下，与 /log 平级） | 每次触发一段 | 8 路 × 320 点 + 封存瞬间标定与品质快照（`docs/子系统设计/故障录波设计说明.md` §6.2） | **录波档要用的原始样本**：预触发 160 + 后触发 160 点，触发瞬间在段内点 159 |
-| PC 侧脚本 `test/host/wave_read.py`（不是固件日志，bench 工具，纯标准库） | 手动跑；`--selftest` 是它的自带回归 | 四个子命令：dump（逐字段与双 CRC）/ fft（全周傅氏重算基波有效值与相位）/ shape（削顶与形态判定，可 `--strict`）/ plot（出 SVG 或 PNG，PNG 用 `-o` 落文件） | 把段文件还原成周波数、幅值、相位、削顶判定与图 = 「PC 独立重算」这条判据的执行体；CRC 不符或零长度它必须**拒绝**而不是画出东西 |
+| PC 侧 `test/host/wave_read.py`（纯标准库） | 手动跑；`--selftest` 自带回归 | 四子命令：dump（逐字段双 CRC）/ fft（全周傅氏重算基波有效值与相位）/ shape（削顶与形态，可 `--strict`）/ plot（SVG/PNG，PNG 用 `-o`） | 「PC 独立重算」执行体；CRC 不符或零长度必须**拒绝** |
 
-> ⚠ 直流轮次用不到后两行，但**它们一直都在**。交流轮次（判据见 `docs/任务规划/数据可信.md` §4.6）
+> ⚠ 交流轮次（判据 `docs/任务规划/数据可信.md` §4.6）必须用 `meas:` 比幅值，别用 `phasor(hb)`——那行 ×0.1 定点，注 1 V 只剩 10 格。
-> 必须用 `meas:` 或 104 YC 比幅值，别用 `phasor(hb)` 行——那行是 ×0.1 定点，注 1 V 只剩 10 格。
 
-`adc:` 行是 2026-10-27 新增的（`App/task/adc_task.c` 心跳块），此前只有 `cal:` 的三路，
+`adc:` 行 2026-10-27 新增（`App/task/adc_task.c` 心跳块），此前验 8 通道要复位二十余次，现在**全程不必复位**。
-验 8 个通道要复位二十余次。现在**全程不必复位**。
 
-**「码」是什么**：ADC 输出的**原始整数**，中文常写「码值」/「AD 码」，英文对应 raw code / counts。
+**「码」是什么**：ADC 原始整数，**不是物理量**——电压 = 码 × LSB：
-它表示"多少个最小刻度（LSB）"，**本身不是物理量**——电压 = 码 × LSB，而两片转换器的 LSB 不同：
 
-| 转换器 | 位数与极性 | 码的范围 | 1 码 = | 换算示例 |
+| 转换器 | 位数与极性 | 码范围 | 1 码 | 示例 |
 |---|---|---|---|---|
-| TPAFE5160 | 16 位双极性 | −32768 ~ +32767（共 65536 码 = 10 V 跨度） | 152.59 µV | 11430 码 × 152.59 µV ≈ **1.744 V** |
+| TPAFE5160 | 16 位双极性 | −32768~+32767（65536 码 = 10 V） | 152.59 µV | 11430 码 ≈ **1.744 V** |
-| STM32 ADC1 | 12 位单极性 | 0 ~ 4095（共 4096 码 = 3.3 V 跨度） | 805.66 µV | 1000 码 × 805.66 µV ≈ **0.806 V** |
+| STM32 ADC1 | 12 位单极性 | 0~4095（4096 码 = 3.3 V） | 805.66 µV | 1000 码 ≈ **0.806 V** |
 
-同一个整数落在两把刻度尺上代表不同电压（图由 `tools/arch_diagram/gen_adc_code_scale_svg.py`
+![两把刻度尺：TPAFE 16 位双极性 1 码 152.59 µV；STM32 12 位单极性 1 码 805.66 µV](../../images/ADC码值刻度.svg)
-生成，改图请改脚本重跑，勿手改 SVG）：
 
-![两把刻度尺：TPAFE5160 16 位双极性 −32768~+32767、1 码 152.59 µV、11430 码≈1.744 V；STM32 ADC1 12 位单极性 0~4095、1 码 805.66 µV、1000 码≈0.806 V](../../images/ADC码值刻度.svg)
+**两把尺子不能混用**（同样"1000"差 5.3 倍）。§5 各表每格必须写明哪一路（UA/UB/… 属 TPAFE，T 属 STM32），抄错一行全盘作废。本文一律用"码"不用"伏"：固件 `adc:` 行打印的就是码；**标定还没做，把码换成伏正是本次要验证的事**。判据：**TPAFE ≤ 30 码、STM32 ≤ 5 码**（≈4.6 mV / ≈4.0 mV）。
 
-**两把尺子不能混用**：同样是"1000"，在 TPAFE 上是 0.153 V，在 STM32 上是 0.806 V，差 5.3 倍。
+⚠ **TPAFE 档 2026-10-27 由 ≤10 放宽到 ≤30**：首次实测残差 UA −14 / UN −15 / IA −13（≈2 mV）。原 ≤10 比实测噪声还紧，必然误判。残差若 >30 码 → 前端有真实失调，回前端查，不得再放宽。
-所以 §5 各步的记录表里每一格都必须写明是哪一路（UA/UB/… 属 TPAFE，T 属 STM32），
-抄错一行全盘结论作废。
 
-本文一律用"码"而不是"伏"，有两个理由：① 固件 `adc:` 行打印的就是码，抄数不用心算；
+⚠ `adc:` 行某路取数失败时该槽打 0，"9 路全 0"读作"没数据"，判据看同一心跳 `frames` 是否还在涨。
-② **标定还没做，把码换成伏正是本次要验证的事**——先换算再用，等于默认了尚未验证的系数。
-判据按转换器分两档：**TPAFE 侧 ≤ 30 码、STM32 侧 ≤ 5 码**——即短接后读数离 0 不超过
-30 / 5 个刻度，折算 **≈4.6 mV / ≈4.0 mV**。两档数值差 6 倍是因为两种刻度差 5.3 倍
-（TPAFE 152.59 µV/码、STM32 805.66 µV/码），统一到物理量后都在 4~5 mV 量级。
-
-⚠ **TPAFE 档于 2026-10-27 由 ≤10 放宽到 ≤30**：首次实测三路残差 UA −14 / UN −15 / IA −13
-（≈2 mV），按 16 位 /10 V 跨度算只有 0.02% FS。原来的 ≤10（≈1.5 mV）定判据时**没有实测依据**，
-比实测噪声还紧，必然误判失败。**这不是"把判据改成能过"**——若残差继续增大（>30 码 / ≈4.6 mV），
-说明前端确有真实失调（R32 侧接地断、TPAFE 失调），那时必须回前端查，不得再放宽。
-
-⚠ `adc:` 行某路取数失败时该槽打 0，所以"9 路全 0"要读作"没数据"，判据是同一份心跳里
-`frames` 是否还在涨。
 
 ## 5. 步骤
 
@@ -129,25 +83,17 @@
 
 | 量哪里 | 期望 | 验的是什么 |
 |---|---|---|
-| **串阻两端**（1 脚 ↔ 2 脚，即端子侧焊盘 ↔ 引脚侧焊盘） | **≈ 1 kΩ** | 串阻焊好、没虚焊 |
+| **串阻两端**（1 脚 ↔ 2 脚） | **≈ 1 kΩ** | 串阻焊好、没虚焊 |
-| **注入点 ↔ AGND**（TPAFE 侧，UA/UN/IA） | **≈ 1 MΩ 量级** | 无意外短路；**不是 1 kΩ** |
+| **注入点 ↔ AGND**（TPAFE 侧 UA/UN/IA） | **≈ 1 MΩ 量级** | 无意外短路；**不是 1 kΩ** |
-| **注入点 ↔ AGND**（STM32 侧，UB/UC/IB/IC/IN） | 高阻，不定量 | 无设计直流通路，只作短路排查 |
+| **注入点 ↔ AGND**（STM32 侧 UB/UC/IB/IC/IN） | 高阻，不定量 | 无设计直流通路，只作短路排查 |
 
-### 5.2 步骤 1：零点（这一步是整套测试的分水岭）
+### 5.2 步骤 1：零点（这一关先过：零点都不干净，后面每一步的数都不可信）
 
-**做什么**（8 路逐个重复，每路约 1 分钟）：
+**做什么**（8 路逐个，每路约 1 min）：断电把该路**注入点短接 AGND**（短接线先 0 Ω 档确认直通）→ 上电等 `adc:` 行 → 抄进下表 → 断电拆线换下一路。
 
-1. 断电，把该路**注入点短接到 AGND**（短接线之前先用 0 Ω 档确认该点与 AGND 直通）；
+**记录**（现场填；判据只看"短接后"列，"空载"列留证）：
-2. 上电，等 `adc:` 行出现（每 10 s 一行，9 路码值都在里面）；
-3. 把该路码值抄进**下面的零点记录表**；
-4. 断电拆短接线，换下一路。
 
-**记录**（现场填；判据只看"短接后"那一列，"空载"列是留证用）：
+> ⚠ **本表行序 = `adc:` 日志列序**（UA UB UC UN IA IB IC IN），照日志**从左往右**抄，别按"TPAFE 三路 / STM32 五路"分组。2026-10-27 就栽在这里：按语义分组抄，UN/IA 填成 STM32 ~1000、UB/UC 填成 TPAFE ~11450——量级物理上不可能。**"转换器"列就是给这一眼准备的**。
-
-> ⚠ **本表行序 = `adc:` 日志的列序**（UA UB UC UN IA IB IC IN），照着日志**从左往右**抄，
-> 不要按"TPAFE 三路 / STM32 五路"重新分组。2026-10-27 现场实测就栽在这里：按语义分组抄，
-> 结果 UN/IA 填成了 STM32 的 ~1000、UB/UC 填成了 TPAFE 的 ~11450——而 UN/IA 属 TPAFE、
-> UB/UC 属 STM32，这两个量级在物理上不可能。**"转换器"列就是给这一眼准备的**。
 
 | 通道 | 转换器 | 端子侧节点 | 空载码值（浮空） | 短接 AGND 后码值 | 判据 |
 | --- | --- | --- | --- | --- | --- |
@@ -160,26 +106,15 @@
 | IC | STM32 | `AIN10`（U5.C9） | 991~1092 | 0 | ≤ 5 |
 | IN | STM32 | `AIN11`（U5.C10） | 979~1065 |1~2 | ≤ 5 |
 
-**为什么这一步最关键**：空载（输入浮空）读数比判据高两个数量级，最可能的解释是输入悬空后
+**2026-10-27 实测：8 路全部 PASS。** 短接后 **0~5 码**（TPAFE ≤4.6 mV、STM32 ≤4.0 mV），远小于零点补偿上限 `ADC_CAL_B_MAX`（8192 码），**可正常标定、不触发回退**。
-漏电流在滤波电容上建立的平衡点——短接 AGND 后应塌回 0。但如果**短接后仍读 11430**，那就是
-真实偏置，且超过零点补偿上限 `ADC_CAL_B_MAX`（8192 码）——`adc_cal_set()` 会直接拒掉、
-回退 ROM 系数、永远置不了 `VALID`，保护也就永远解不了锁。**那种情况必须回前端查**
-（R32 那侧接地是否断、TPAFE 是否失调），不能靠软件补偿。
 
-**2026-10-27 实测结论：8 路全部 PASS。** 短接后落在 **0~5 码**（TPAFE ≤4.6 mV、STM32 ≤4.0 mV），
+⚠ **IB 最贴边**：2~5 码正好触上限（1.6~4.0 mV，物理没问题），**八路里余量最小**；日后 IB 零点变大第一个查 R49 那侧（`AIN9` / U5.A8）。
-全部远小于零点补偿上限 `ADC_CAL_B_MAX`（8192 码），**可以正常标定、不会触发回退**。
-空载 → 短接的塌陷幅度：TPAFE 约 11430 → 0~4（三个数量级），STM32 约 1000 → 0~5（两个数量级），
-两者都证明短接真实到位、输入前端没有意外直流通路。
 
-⚠ **IB 最贴边**：2~5 码，上限 5 码正好触到。折算 1.6~4.0 mV，物理上没问题，但**它是八路里
+### 5.3 步骤 2：三点线性（用 UA，免复位）
-余量最小的一路**；若日后 IB 零点继续变大，第一个该查的是 R49 那侧（`AIN9` / U5.A8）。
 
-### 5.3 步骤 2：三点线性（用 UA 做，免复位）
+3.3 V 轨经 10 k 电位器分压作源，逐点注入，**每点同时记两个数**：万用表读注入点电压、`adc:` 行读码值。
 
-3.3 V 轨经 10 k 电位器分压作源，逐点注入。**每点同时记两个数**：万用表读注入点实际电压、
+**记录**（UA 三点；"目标"列是靶子，"实测"列填万用表）：
-`adc:` 行读对应码值。
-
-**记录**（UA 一路，三点；"目标"列是调电位器的靶子，"实测"列填万用表读数）：
 
 | 目标注入 | 实测电压（万用表） | 码值 | 反算 µV/码 | TPAFE 期望码 | STM32 期望码 |
 | -------- | --------- | -- | ------- | --------- | --------- |
@@ -189,26 +124,17 @@
 
 拟合 R² = 0.9999997　斜率 = 6544.2 码/V　偏差 = −0.14 %　截距 = −7.2 码（≈ −1.1 mV）
 
-反算 LSB = 152.81 µV/码，与 TPAFE 期望 152.59 差 0.14 %——**与斜率偏差同源，是同一个数**。
+反算 LSB = 152.81 µV/码，与 TPAFE 期望 152.59 差 0.14 %——**与斜率偏差同源**。期望码两列并列：同样三点也可复验 STM32 侧某路，两列差 5.3 倍，一眼确认表笔接的是哪片转换器。
 
-期望码两列并列，是因为同样的三个注入点也可能拿去复验 STM32 侧某一路（UA 对不上时换路交叉验证）；
+判据：三点拟合 **R² ≥ 0.999**、斜率偏差 **≤ 2 %**。偏差 > 2 % **先查前端**（焊点、串阻实际值、电位器负载效应），不要用系数凑。
-两列数值差 5.3 倍，一眼能确认手上这支表笔当前接的是哪一片转换器。
 
-判据：三点线性拟合 **R² ≥ 0.999**，斜率与期望值偏差 **≤ 2 %**。
+**2026-10-27 实测：PASS。** R² = 0.9999997、斜率偏差 −0.14 %。
-
-偏差 > 2 % 时**先查前端**（焊点、串阻实际值、电位器负载效应），不要用系数去凑——
-把硬件的错固化成"标定值"是最坏的结果。
-
-**2026-10-27 实测结论：PASS。** R² = 0.9999997（判据 ≥0.999）、斜率偏差 −0.14 %（判据 ≤2 %）。
-三条残差 −2.0 / +3.5 / −1.4 码，落在读数噪声内，**无系统性弯曲**——即前端在这三个点上确实是
-线性的，不存在未识别的分压元件。这是"③ 段变比 = 1:1"在台架上的第一次直接证据。
 
 ### 5.4 步骤 3：极性（只 TPAFE 三路）
 
-TPAFE 是双极性、二进制补码，可以注负压；STM32 是单极性，负半周测不了。给 UA/UN/IA 各加一个
+TPAFE 双极性补码可注负压；STM32 单极性负半周测不了。UA/UN/IA 各加 **−1.0 V** 点。
-**−1.0 V** 点。
 
-**记录**（三路各两个点）：
+**记录**（三路各两点）：
 
 | 通道 | +1.0 V 码值 | −1.0 V 码值 | 对称性偏差 |
 | -- | --------- | --------- | ----- |
@@ -216,40 +142,26 @@ TPAFE 是双极性、二进制补码，可以注负压；STM32 是单极性，
 | UN | 6549 | −6568 | 0.29 % |
 | IA | 6548 | −6566 | 0.27 % |
 
-判据：−1.0 V 点码值为**负**且落在 **−6554** 附近，幅值与 +1.0 V 点对称（差值 ≤ 2 %）
+判据：−1.0 V 点码值**为负**且落在 **−6554** 附近，与 +1.0 V 对称（差 ≤ 2 %）→ 符号位与补码解释正确。
-→ 符号位与补码解释正确。这一步专门补"连极性都没证过"这个缺口。
 
-**2026-10-27 实测结论：PASS。** 三路 −1.0 V 点全部为负，落在 −6566~−6568（相对 −6554 偏
+**2026-10-27 实测：PASS。** 三路 −1.0 V 全负，落在 −6566~−6568；对称性 0.27 %~0.34 %，远小于 2 %。
-−0.18 %~−0.21 %）；对称性偏差 0.27 %~0.34 %，远小于 2 % 判据。**补码符号位解释正确**。
 
 ### 5.5 步骤 4：节奏（注入期间顺带看）
 
-注入期间 `frames=` 应仍**严格 1000 Hz 递增**（10 s 间隔 +10000 左右），`idle=0`，
+注入期间 `frames=` 应仍**严格 1000 Hz 递增**（10 s +10000 左右），`idle=0`、`adc1_err=0`。
-`adc1_err=0`。这一条替代了原方案里"用示波器看 U3.14 BUSY 有脉冲"的判据——不需要示波器。
 
-**2026-10-27 实测结论：PASS。** 注入**前**（20:58 那次开机）与注入**后**（21:29）各取两行相隔
+**2026-10-27 实测：PASS。** 注入**前**（20:58）与**后**（21:29）各取两行相隔 10 s 心跳，两边都是 **Δ9998 码 / ≈10.0 s ≈ 1000.1 Hz**，`idle=0`、`adc1_rc=0`、`adc1_err=0`：
-10 s 的心跳，两边都是 **Δ9998 码 / ≈10.0 s ≈ 1000.1 Hz**，`idle=0`、`adc1_rc=0`、`adc1_err=0`：
 
 | 时点 | `frames=` 两行 | Δ | 折算 |
 |---|---|---|---|
 | 注入前（20:58） | 29997 → 39995 | 9998 | 1000.5 Hz |
 | 注入后（21:29） | 1819639 → 1829637 | 9998 | 1000.1 Hz |
 
-⚠ **口径说明**：这两次是"注入**前后**"，不是"注入**进行中**"——已知电压注入验证判据 ⑤ 要的正是"注入前后
-`tpafe5160_frame_seq()` 仍严格 1000 Hz 递增"，故按此口径已达标。若日后要连"进行中"也钉住，
-在任一注入过程里再抓两行即可（注入不改变 TIM3 硬件触发，理论上无影响，但没测过就不算证过）。
-
-`adc1_gap` / `tgap` / `skip` 是**本次开机以来的累计值**（548 / 363 / 183），10 s 内只增 3 / 2 / 1，
-占比约 0.03 %，属正常漏检量级，不是停摆。
-
 ### 5.6 步骤 5：回写
 
-1. 把实测斜率、零点、映射结果写进 `docs/硬件平台/ADC通道映射说明.md` §8，把"尚未执行"改成
+1. 实测斜率、零点、映射写进 `docs/硬件平台/ADC通道映射说明.md` §8（"尚未执行"改实测值 + 日期）；
-   实测值 + 日期；
+2. 确认无分压后，把 `docs/硬件平台/ADC通道映射说明.md` §7.1 量纲链路的第 3 段（`AINn` 焊盘 ↔ 转换器引脚）改成实测结论；
-2. 若实测确认无分压，同步在 `docs/硬件平台/ADC通道映射说明.md` §7.1 的链路分段表把第 ③ 段
+3. `docs/任务规划/数据可信.md` 已知电压注入行按"完成即删"销项；判据与证据属主 `docs/硬件平台/ADC通道映射说明.md` §8.1。
-   （`AINn` ↔ 转换器引脚）从"待台架实测"改为实测结论；
-3. `docs/任务规划/数据可信.md` 的已知电压注入验证行按"完成即删"销项；判据与实测证据的属主是
-   `docs/硬件平台/ADC通道映射说明.md` §8.1。
 
 ## 6. 判据汇总
 
@@ -262,438 +174,321 @@ TPAFE 是双极性、二进制补码，可以注负压；STM32 是单极性，
 | 极性 | −1.0 V → −6554 码             | −6566 / −6568 / −6566，对称性 ≤0.34 % | PASS | 补码符号处理错                     |
 | 节奏 | 注入期间仍 1000 Hz                | 注入前/后各 **Δ9998 / 10 s ≈ 1000 Hz**，`idle=0`、`adc1_err=0` | PASS | 注入改变了输入共模，触发转换异常            |
 
-**总体结论（2026-10-27）**：**六项全部 PASS**。合起来证明了三件事：
+**总体结论（2026-10-27）**：**六项全部 PASS**——结论一：从焊盘到转换器引脚那一段变比 1:1、无隐藏分压；结论二：8 路语义 ↔ 物理端子一一对应；结论三：TPAFE 补码符号位正确。全部闭环（→ `docs/硬件平台/ADC通道映射说明.md` §8.1）。⚠ **两项残留**（不影响 PASS）：**串扰**未单独证；**节奏**只测注入前后。
-① ③ 段（`AINn` ↔ 转换器引脚）**变比确为 1:1**，无隐藏分压（斜率偏差 −0.14 %）；
-② 8 路语义 ↔ 物理端子**一一对应**（零点步骤逐路代偿）；
-③ TPAFE 补码符号位解释正确（对称性 ≤0.34 %）。
-已知电压注入验证的判据 ①②③④⑤⑥ 至此全部闭环（判据与实测记录 → `docs/硬件平台/ADC通道映射说明.md` §8.1）。
-
-⚠ **两项残留口径**（不影响本轮 PASS，但别当成已验证）：**串扰**未单独证（见上表"映射"行）；
-**节奏**只测了注入前后、没测注入进行中。两项若日后怀疑，各自的补做方法已写在对应小节。
 
 ## 7. 安全红线
 
-1. **STM32 侧严禁超过 3.3 V**（VDDA + 0.3 V 即击穿），电位器上限就接 3.3 V 轨，不要接 5 V。
+1. **STM32 侧严禁超过 3.3 V**（VDDA + 0.3 V 即击穿），电位器上限接 3.3 V 轨。
-2. **TPAFE 侧按判据只到 ±2 V**，虽芯片容 ±5 V，但判据不需要更大。
+2. **TPAFE 侧按判据只到 ±2 V**（芯片容 ±5 V 但判据不需要更大）。
-3. **端子侧不许直接上额定电压**（220 V / 100 V 二次值）。本次是直流低压注入，
+3. **端子侧不许直接上额定电压**（220 V / 100 V 二次值）；"加压试保护"另排（`docs/硬件平台/ADC通道映射说明.md` §7.1 ④ 行）。
-   与"加压试保护"是两件事，后者要等端子/子板变比确认（`docs/硬件平台/ADC通道映射说明.md` §7.1 链路分段表 ④ 行）之后单独排。
+4. **引脚侧注入必须外串 10 k**，先接线后上电、先断电后拆线。
-4. **引脚侧注入必须外串 10 k**，且先接线后上电、先断电后拆线。
+5. 注入源与板子**共地**；电位器一端 3.3 V、一端 AGND、抽头串 10 k 到注入点。
-5. 注入源与板子**共地**；电位器一端接 3.3 V、一端接 AGND、中间抽头串 10 k 到注入点。
 
 ---
 
 ## 8. 交流（正弦）动态验证轮次（六轮：幅值 / 波形 / 相位 / 测频 / 削顶 / 谐波）
 
-> **判据的属主是 `docs/任务规划/数据可信.md` §4.6.2**（六轮各验什么、过判据是多少），本节只写**怎么跑**：
+> **引用写法**：引用判据文档小节一律「路径 + 小节号」紧邻；只写 §8.x 的是本文自己的节。本节只写**怎么跑**（接哪个点、发生器怎么设、读哪行哪个字段、期望值怎么算、结果往哪回写）。
-> 接哪个点、发生器怎么设、读哪一行的哪个字段、期望值怎么算、结果往哪回写。两边于 2026-10-29 对齐；将来
-> 若再分叉，按两类裁定——**「验什么、算不算过」从 `docs/任务规划/数据可信.md` §4.6.2，「期望值怎么算、
-> 怎么接线怎么跑」从本节**。为什么这一跳不用等标准源、以及它证不到什么，看其 §4.6.1 与 §4.6.5，本节不重抄。
->
-> **引用写法**：本节凡引用判据文档的小节，一律写成「文件名 + 小节号」的紧邻形式；只写 §8.x 的是本文自己的节。
 
-先下图建立全局轮廓——每一轮注什么波形、验什么、读哪个出口，再进 §8.5 逐轮执行卡：
+![六轮一图速查：注入信号形状 → 接法与设定 → 判据一句话 → 数字从哪儿读；过判据属主在 数据可信.md §4.6.2](../../images/交流六轮速查.svg)
 
-![六轮一图速查：注入信号形状 → 接法与设定 → 判据一句话 → 主读数出口；过判据属主在 数据可信.md §4.6.2](../../images/交流六轮速查.svg)
+### 8.1 动手前先弄清楚：数字从哪儿读、能读到多细（决定今天判得动哪几轮）
 
-### 8.1 动手前先把出口分辨率算清楚（决定今天能判到哪一档）
+这轮能读到数字的地方共 5 处——3 处是**串口周期打印的日志行**、1 处是**板子屏幕**、1 处是**触发录波段文件后在 PC 上重算**。分辨率天差地别，各自判得动的轮次也不同，下表逐处列清：
 
-这一轮和直流轮次**不一样：样本出口已经有了**。2026-10-29 故障录波的数据面并入主干，一次触发就是一段
+| 在哪儿读 | 看到的形态 | 数字精度 | 判得动什么 | 判不动什么（为什么） |
-`/wave/WAVE<NN>.BIN`（`NN` = 00~99 轮转号；8 路 × 320 点原始码值 + 封存瞬间的标定与品质快照），PC 侧 `test/host/wave_read.py` 把它还原成
-周波数、幅值、**相位**、谐波与削顶判定。所以本轮每条用例都有两个档：**周期行标量档**（只读串口 / 104 / UI，
-快，不用 FTP）与**段文件对表档**（多一次触发 + 一次取段 + 跑脚本，判得到位）。各出口的实际分辨率如下——
-这张表决定每条用例走哪个档：
-
-| 出口 | 打印处 | 分辨率 | 能判 | 判不动 |
 |---|---|---|---|---|
-| `meas: seq=.. v=.. ua_mv=.. un_mv=.. ia_mv=.. f=.. fv=..` | `App/task/adc_task.c:605` | **1 mV**（整数毫伏，只发 UA/UN/IA） | 幅值轮、波形轮的幅值 ≤2 % | 相位、谐波、其余五路 |
+| **串口心跳行** `meas:`（打印处 `App/task/adc_task.c:605`，200 ms 一行） | `meas: seq=.. v=.. ua_mv=.. un_mv=.. ia_mv=.. f=.. fv=..` | **1 mV**（整数毫伏；电气量只发 UA/UN/IA 三路） | 幅值轮、波形轮的幅值 ≤2 % | 相位、谐波（这行没这两个数）；其余五路（这行不发） |
-| 104 YC `0x4011`~`0x4018` + `0x401D`（短浮点 + 品质） | `App/protocol/iec104/iec104_pts.c:70` | 3 位有效数字 ≈ 0.01 V | 单个静态工作点的幅值交叉读数、品质 IV | **小步进**（每点 0.5 V / 0.005 A 变化死区）、相位、谐波 |
+| **串口心跳行** `phasor(hb)`（打印处 `App/task/adc_task.c:209`） | `phasor(hb) C0x-…-F1: Re=.. Im=.. rms=.. (x0.1)` | **0.1 V、向下截断**（×0.1 定点） | 有数没数、量级、象限 | ⚠ 相位 ≤2°、谐波 ±2 % 想都别想：注 Vpp 2.828 V（板上 ≈1000 mV）时 `rms` 满打满算 10 格，20 % 谐波只占 2 格 |
-| `phasor(hb) C0x-…-F1: Re=.. Im=.. rms=.. (x0.1)` | `App/task/adc_task.c:209` | **0.1 V，且向下截断** | 有数没数、量级、象限 | ⚠ **相位轮的 ≤2° 与谐波轮的 ±2 %**：注 1.000 Vrms 时 `rms` 只有 10 格，20 % 的谐波只有 2 格 |
+| **串口心跳行** `freq(hb)`（打印处 `App/task/adc_task.c:224`） | `freq(hb): f=.. valid=.. (x0.01)` | 0.01 Hz | 测频轮的读数和新鲜度（`valid`） | — |
-| `freq(hb): f=.. valid=.. (x0.01)` | `App/task/adc_task.c:224` | 0.01 Hz | 测频轮的读数与新鲜度 | — |
+| **板子屏幕** 主界面→实时数据→交流量（代码 `Drivers/BSP/UI/ui_page_ac.c:47`） | 页 7 行 `Ua/U0/Ia/Ia2/Ia5/Hz/量纲`；量值行 3 位小数、Hz 行 2 位 | **1 mV**（靠人眼看屏 + 拍照留证） | 谐波轮 `Ia2`/`Ia5` 幅值；幅值轮交叉旁证；测频轮 `Hz` 显 `--` | 相位（页面上没有角度） |
-| UI 交流量页 `Ua/U0/Ia/Ia2/Ia5`（3 位小数）、`Hz`（2 位） | `Drivers/BSP/UI/ui_page_ac.c:47` | **1 mV**（人工目检 + 拍照留证） | 谐波轮谐波幅值、幅值轮交叉旁证、测频轮的 `Hz` 显 `--` | 相位（页面上没有角度） |
+| **录波段文件 + PC 重算**：一次触发写一段 `/wave/WAVE<NN>.BIN` 到板 FTP 根目录（`NN` = 00~99 轮转），取回本机用 `test/host/wave_read.py` 算（`dump`/`fft`/`shape`/`plot`，纯标准库；格式属主 `docs/子系统设计/故障录波设计说明.md` §6.2/§6.3，2026-10-29 并入主干） | 段内 8 路 × 320 点原始码 + 封存瞬间的标定与品质快照 | `fft` 浮点重算：基波有效值、相位、2 次与 5 次谐波有效值（mV） | 相位 ≤2°、谐波 ±2 %——**只有这条路判得动**；顺带 PC 独立重算与板上数字互相对表 | 段与发生器**没有绝对相位锁**（触发点固定在段内点 159）→ 只能比同一段内的相对相位；一段 320 ms，不代表长时间稳定 |
-| 录波段文件 `/wave/WAVE<NN>.BIN`（`NN` = 00~99，100 个号轮转；FTP 根下，与 `/log` 平级）+ `test/host/wave_read.py`（`dump` / `fft` / `shape` / `plot`，纯标准库） | **已落地**（2026-10-29 并入 `v2-on-ui`；格式属主 `docs/子系统设计/故障录波设计说明.md` §6.2 与 §6.3） | 一次触发 8 路 × 320 点原始码值；`fft` 给基波 RMS、相位、2 次与 5 次谐波 RMS（mV） | **相位轮的 ≤2° 与谐波轮的 ±2 % 现在判得动**：PC 独立重算 vs 板上读数对表 | 段与发生器**无绝对相位锁定**（触发点在段内点 159）→ 只能比同段内相对相位；320 ms 快照不等于长时间稳定性 |
 
-**所以每条用例按两个档摆**（出口从"缺样本"变成"有段文件"的经过与口径变更，见 `docs/子系统设计/故障录波设计说明.md` §11；原卡片登记簿 2026-10-30 销项并入该文 §10）：
+**六轮用例先定「什么证据才算过」——这张快查表逐轮指定证据档**（背景：2026-10-29 录波段文件能力落地后，判据档位跟着重划过一次，经过见 `docs/子系统设计/故障录波设计说明.md` §11）：
 
-| 档 | 条目 | 说明 |
+| 证据档 | 哪些轮用 | 过关要求 | 定这个档的原因 |
-|---|---|---|
+|---|---|---|---|
-| **周期行就判得动** | 幅值、波形、测频、削顶四轮（削顶轮的接法要按 §8.5 改，原因写在那张卡里） | 判据在 `meas:` / 104 / `freq(hb)` / `rail:` 上分辨率都够，不取段也能收工 |
+| **心跳档**——串口周期行看够，**不用录波** | 幅值、波形、测频、削顶（削顶的接法以 §8.5 削顶卡为准，别按 50 Hz 老接法想当然） | 串口周期行（`meas:` / `freq(hb)` / `rail:` 位图）达判据即算过 | 判据阈值 ≥ 周期行分辨率（±2 % 对 1 mV、位图对 1 bit），录波无增益 |
-| **段文件档才判到位** | 相位轮、谐波轮 | 段文件已落地 → 浮点重算，≤2° 与 ±2 % 都是**定量**判据；周期行退为旁证，只在没取到段时走定性档。触发动作与命令写在 §8.5 的相位卡 / 谐波卡 |
+| **录波档**——**必须录一段波**才算定量 | 相位、谐波 | 面板触发手动录波 → FTP 把段文件取回 → `wave_read.py fft` PC 浮点重算，与板上读数对表达判据 | 板上周期行是 ×0.1 截断定点（上限表「判不动」列），≤2°、±2 % 只有重算才判得动；谐波轮就算拿 UI 的 1 mV 也不行——**屏上那个数本身就是板子 DFT 算出来的答案**，系数表用错行、索引错位这类算术错会原样透传到屏上，必须靠 PC 独立重算当第二把尺子（段文件还顺带核对频位：100 Hz 确落 2 次 bin）；**没录段文件只能退回「心跳档」记，定量判据不算过** |
-| **要改代码的退路** | 相位轮抬倍数、测频轮 B 档 | 段文件落地后相位轮这条基本不必走；测频轮 B 档（放宽 `FREQ_AMP_MIN`）仍是唯一路子。两者都要重编 + 烧录 + 按 §8.9 还原，**动手前先问用户** |
+| **改码退路**（默认不走） | 相位抬打印倍数、测频放宽 `FREQ_AMP_MIN` | 仅当录波档不可用（段取不回、PC 跑不了脚本）才考虑；做则重编 + 烧录 + 按 §8.9 全量还原 | 动了固件就不是「零改动验证」了——**动手前必须问用户** |
 
 ### 8.2 设备清单与开机前置门
 
 | 项 | 要求 | 为什么 / 怎么核 |
 |---|---|---|
-| 信号发生器 | 正弦 / 方波 / 三角，**并有 DC 档**；频率可锁 50.000 Hz、也能设到 2 Hz；幅度 0~3 Vpp | **只要求"波形干净、幅度稳、频率锁得住"**，它的刻度不当基准（`docs/任务规划/数据可信.md` §7 #9）。DC 档是给削顶轮改法 A 用的 |
+| 信号发生器 | 正弦 / 方波 / 三角，**并有 DC 档**；频率可锁 50.000 Hz、也能设 2 Hz；幅度 0~3 Vpp | 只要求"波形干净、幅度稳、频率锁得住"，刻度不当基准（`docs/任务规划/数据可信.md` §7 #9）。DC 档给削顶轮的直流削顶档 |
-| ⚠ 发生器输出端接设置 | 接板子时设成**高阻负载**，不要按 50 Ω 端接 | 按 50 Ω 端接而实际接的是高阻板输入 → 面板值与真实电压差 2 倍；这是台架"差一倍"最常见来源 |
+| ⚠ 发生器端接 | 接板子时设**高阻负载**，不按 50 Ω 端接 | 50 Ω 端接而实际高阻 → 面板值与真实电压差 2 倍；台架"差一倍"最常见来源 |
-| 万用表 AC 档 | 能读到 mV；**记明型号与响应类型**（真 RMS / 均值响应） | 基准就是它；波形轮那一步两种表的读数都与基波期望差很多，不记响应类型就说不清是谁错 |
+| 万用表 AC 档 | 能读 mV；**记明型号与响应类型**（真有效值 / 均值）——判别法：表身或说明书没印 "True RMS" 就当均值档；拿发生器注一个 Vpp 2.828 V 方波到 AC 档，读数 ≈1.41 V = 真有效值档、≈1.57 V = 均值档（差 11 %，一眼分辨） | 基准就是它；波形轮两种表读数都与基波期望差很多，不记响应类型说不清谁错 |
-| 板子 | 产品构建（`test/board/test_config.h` 四个 `TEST_SUITE_*` 全注释）+ `/keil-build` 0 错误 0 警告 + 烧录 `-Rst -Run` 与回读校验 | → `stlink-flash` skill 与 AGENTS.md「构建与验证」 |
+| 板子 | 产品构建（`test/board/test_config.h` 四 `TEST_SUITE_*` 全注释）+ `/keil-build` 0 错 0 警 + 烧录 `-Rst -Run` + 回读校验 | → `stlink-flash` skill 与 AGENTS.md「构建与验证」 |
-| `[adc_cal]` 状态 | **保持未标定**（`eng=0`），别为"读数好看"先写标定值 | 现在 `meas:` / `phasor` 的量纲是 **ADC 引脚电压 V**（`App/algo/meas.h` 文件头的 A-lite 口径）；标定一生效就换成二次值，本节全部期望值作废 |
+| `[adc_cal]` 状态 | **保持未标定**（`eng=0`），别为"读数好看"先写标定值 | 现在 `meas:` / `phasor` 量纲是 **ADC 引脚电压 V**——未标定态的设计本来就不折算（`App/algo/meas.h`）；标定一生效换二次值，本节全部期望值作废 |
-| 串口 | 全程抓 RX 落盘：用 `serial-assistant` skill（`open` → `clear` → 跑 → 读日志文件或 `log --tail`） | 日志文件就是证据本体，§8.10 归档归档的就是它；**长跑别用 `/serial-boot-test`**——它绑定一轮启动语义（静默 8 s、总超时 30 s、`max_boot_count` = 1，且 forbidden 含 `[ERR]`，而削顶轮故意造 `[ERR]`），约 135 min 的 session 必然超时或误判；daemon 全量写 `state/serial.log`（20 MB 上限自动截头保尾 10 MB）→ `docs/测试说明/流程与规范/自动化测试流程.md` 长时间采集一节 |
+| 串口 | 全程抓 RX 落盘：`serial-assistant` skill（`open` → `clear` → 跑 → 读日志 / `log --tail`） | 日志文件就是证据本体，§8.10 归档它；**长跑别用 `/serial-boot-test`**——它绑一轮启动语义（静默 8 s、总超时 30 s、`max_boot_count`=1，forbidden 含 `[ERR]`，削顶轮故意造 `[ERR]`），约 135 min 必超时或误判；daemon 写 `state/serial.log`（20 MB 截头保尾 10 MB）→ `docs/测试说明/流程与规范/自动化测试流程.md` 长时间采集 |
-| 网口（可选） | 要读 104 那一路就插网线、PC 与板同网段（出厂 192.168.31.100），跑现成主站 `test/host/iec104_master.py`（`--ip` / `--port` / `--addr`） | 104 是浮点无量化 + 带品质，是 `meas:` 之外的第二条腿 |
+| FTP 客户端 | 走 21 端口取段文件（出厂 `[ftp]` 账号，连续 5 次失败锁 60 s） | 相位 / 谐波的定量判据只能拿段文件来算；`/wave/WAVE<NN>.BIN`（00~99 轮转），**取回本机后立刻改名归档**，否则下次触发盖掉 |
-| FTP 客户端 | 走现成 21 端口取段文件（出厂 `[ftp]` 账号，连续 5 次失败锁 60 s） | 段文件是相位 / 谐波轮定量档的样本出口；段文件名 `/wave/WAVE<NN>.BIN`（00~99 轮转），**取完立刻改名归档**，否则下一次触发把它盖掉 |
+| 录波触发路径 | 产品构建唯一**免改代码**路径 = UI 菜单第 26 叶「手动录波」确认页（`Drivers/BSP/UI/ui_page_wave_manual.c` → `App/task/ui_task.c:605`） | 保护启动上升沿也算触发，但保护判据现处**未标定闭锁**（AGENTS.md「现状」），别指望自动来段；bench 自抓在 `DTU_BENCH` 且 `WAVE_BENCH_AUTOCAP` 非 0（默认 0，`App/task/adc_task.c:153`），开它走 §8.9 |
-| 录波触发路径 | 产品构建里唯一**免改代码**的路径 = UI 菜单第 26 叶「手动录波」确认页（`Drivers/BSP/UI/ui_page_wave_manual.c` → `App/task/ui_task.c:605`） | 保护启动上升沿也算一次触发，但保护判据现处**未标定闭锁**态（AGENTS.md「现状」），别指望它自动来段；bench 定时自抓在双层编译门 `DTU_BENCH` 且 `WAVE_BENCH_AUTOCAP` 非 0 之内（默认 0，`App/task/adc_task.c:153`），开它就走 §8.9 的还原判据 |
 | 共地 | 发生器 LO/GND 与板 AGND **单点**相连 | 不共地量到的是两地之差；现象见 §8.8 |
 
-**开机前置门**——接发生器**之前**日志就该长这样，不满足先回 §5 步骤 5.5 查节奏，别往下做：
+**开机前置门**——插上网线、开了串口采集、**还没接发生器**之前，串口日志就该通过下面 8 条；任何一条不过，先回 §5.5 处理，别带着脏链往下跑：
 
-- `adc:` 行 10 s 一行，同一心跳里 `frames` 在涨（"9 路全 0"要读成"没数据"，§4 尾注）；`idle=0`、`adc1_err=0`；
+| # | 看什么 | 正常该是这样 | 为什么容易看错 / 不满足怎么办 |
-- `meas:` 的 `v=1`、`seq` 每 10 s 约 +500（200 ms 一帧；不涨 = 发布闸门停）；
+|---|---|---|---|
-- `cal:` 的 `cl=0xE6` —— **这是来源派生**（V0.1 那五路本就触底，见 `docs/任务规划/数据可信.md` §2.6），既不是本轮战果也不是本轮故障；
+| 1 | `adc:` 行 | 10 s 一行；`frames` 在涨；`idle=0`、`adc1_err=0` | **九路数值全 0 不等于"没数据"**（没输入当然读 0，判据是 `frames` 涨不涨，§4 尾注）；`frames` 不涨或 `adc1_err≠0` → §5.5 |
-- 四个位图 `vl` / `cl` / `rail` / `edge` 同一个位序（语义通道枚举 `App/algo/adc_input.h:38`）：bit0 `UA`、bit1 `UB`、
+| 2 | `meas:` 行 | `v=1`；`seq` 每 10 s 约 +500（200 ms 一条） | `seq` 不涨 = 发布闸门停 → §5.5 |
-  bit2 `UC`、bit3 `UN`、bit4 `IA`、bit5 `IB`、bit6 `IC`、bit7 `IN`、bit8 `TEMP` → `0xE6` = bit1/2/5/6/7 = `UB/UC/IB/IC/IN`；
+| 3 | `cal:` 行的 `cl=0xE6` | **开机就该是这个数，不是故障** | 这是来源派生静态掩码：V0.1 硬件上 `UB/UC/IB/IC/IN` 五路本就触底（`docs/任务规划/数据可信.md` §2.6）。非战果非故障，别去"修"它。位序（`App/algo/adc_input.h:38`）：bit0~8 = `UA UB UC UN IA IB IC IN TEMP`，`0xE6` = bit1/2/5/6/7 恰好这五路 |
-- **先上电、在基线里看到 `adc: UB` 有正常摆动，再开发生器输出**：贴轨锁存要求该通道"此前出现过中带样本"（释放沿前提，
+| 4 | **开机与注入的先后** | 先上电 → 在串口看到 `adc: UB` 数值有正常摆动 → **再**开发生器输出 | 顺序反了会埋雷：贴轨锁存要求该通道"此前出现过中带样本"（`App/algo/adc_health.c` `adc_health_rail_watch()`），开机就注大信号，削顶轮的锁存**装不上**，测出假"不锁存" |
-   `App/algo/adc_health.c` 的 `adc_health_rail_watch()`），开机就注大信号会让削顶轮的锁存**装不上**，测出假不通过。
+| 5 | 开机单发行 | `first:`、`phasor(first)`、`freq(first)` 各只一条（`App/task/adc_task.c:478`/`:201`） | 数心跳周期时把它们剔掉，别算进"每 10 s 一行"里 |
-- 开机各有一条 `first:` 与 `phasor(first)` / `freq(first)` 单发行（`App/task/adc_task.c:478` 与 `App/task/adc_task.c:201`
+| 6 | `phasor(hb)` 行 | 有数就打出来 | **有数 ≠ 数有效**：这行只查 `phasor_get()==0` 不看 valid 位（`App/task/adc_task.c:209`），判读必须配着 `vl`/`cl`/`rail` 一起看 |
-  的 `tag` 参数），与 10 s 一轮的 `hb` 行是两拨——数心跳时别把 `first` 计进去；
+| 7 | `health:` / `sampling fault:` | 不该出现 | 这些位只吃序号差/错误计数/tick 差（`App/algo/adc_health.c:91-189`），注入多大正弦都不该点亮；亮了 = 节拍/丢帧问题 → §8.8 |
-- `phasor` 行**只要有数就打**：打印条件只有 `phasor_get() == 0`，不带任何 valid 位（`App/task/adc_task.c:209`）→
+| 8 | `wave:` 行（`App/task/adc_task.c:782`） | 基线 `armed=0`、`err=0`、`ovf=0`、`drop=0`；`seg=` 成段数（**0 也正常**，从没触发过就该是 0） | 后面每触发一段核一次：`seg` +1 且那三个计数**不涨**；计数涨了先按 §8.8 分诊再谈读数 |
-  「phasor 有数」既不说明标定可用、也不说明这一路没在削顶，判读必须配 `vl` / `cl` / `rail` 三个位图一起看；
-- 注入正弦**不会**点亮 `health:` 或 `sampling fault:` 那几行：`adc_health` 的位只吃序号差、错误计数增量与 tick 差
-  （`App/algo/adc_health.c:91-189`），与波形幅值无关；它们若亮是节拍 / 丢帧问题，别归因给发生器（§8.8 同一条）。
-- `wave:` 行（`App/task/adc_task.c:782`）基线：`armed=0`、`err=0`、`ovf=0`、`drop=0`，`seg=` 是本开机以来的成段数（**可以是 0**）。
-  本轮每触发一段就核 `seg` +1 且那三个计数不涨；涨了先按 §8.8 的落盘行分诊，别接着往上下注入。
 
 ### 8.3 接线的四条（与直流轮次比，差别只在第 2、3 条）
 
-1. **注入点与直流轮次完全相同**：§3 清单的**端子侧**焊盘（`U5` 排针，串阻的 1 脚侧）。③ 段 1:1 已由直流轮次实测
+1. **夹子接哪儿**：跟直流轮同一个位置——§3 清单的**端子侧**焊盘（`U5` 排针，串阻 1 脚侧）。接这里的好处是**读数与设定值不用换算**：从焊盘到 ADC 引脚这一段是 1:1（直流轮已实测盖章，斜率偏差 −0.14 %，见 §6），端子侧电压就是引脚电压。⚠ 换个位置注（直接进引脚）才需要外串 10 k（§7 第 4 条），照本条接就不用。
-   （斜率偏差 −0.14 %，§6），所以端子侧电压就是引脚电压，不用再算变比。引脚侧仍须外串 10 k（§7 第 4 条）。
+2. **幅度一律按峰峰值 Vpp 设定**，别拿面板有效值显示当设定基准——同一个 Vpp 换波形后有效值显示跟着变，切波形瞬间那格还残留上一波形时代的值（2026-11-02 实测就被坑过一轮，见波形轮注）。对表时注意换算：发生器设定 = Vpp；万用表 AC 档与板上读数天然是有效值刻度，正弦下 有效值 = Vpp ÷ 2.828。
-2. **幅度按峰值核，别看面板上的 Vrms**：1.000 Vrms 正弦峰值已 1.414 V。
 
-| 侧 | 判据上限（§7 红线 2） | 允许的最大正弦 Vrms | 本节用量 |
+| 侧 | 判据上限（§7 红线 2） | 允许的最大正弦 Vpp | 本节用量 |
 |---|---|---|---|
-| TPAFE（`UA` / `UN` / `IA`） | ±2 V 峰值 | 1.414 Vrms | **1.000 Vrms**（峰值 1.414 V） |
+| TPAFE（`UA`/`UN`/`IA`） | 峰值 ±2 V | 4 V | **2.828 V**（= 峰值 ±1.414 V） |
-| STM32（`UB` / `UC` / `IB` / `IC` / `IN`） | 0~3.3 V 单极性 | 无正向意义 | 只在削顶轮用：注交流 = **故意触底**，负半周本就钉 0 |
+| STM32（`UB`/`UC`/`IB`/`IC`/`IN`） | 0~3.3 V 单极性 | 无正向意义 | 只在削顶轮用：注交流 = **故意触底**，负半周本就钉 0 |
 
-3. **一次只注一路**（相位轮除外，它要 `UA` 与 `UN` 两路同源），换表笔前先关输出。端子侧串阻是 **1 k**（R31 / R28 / R19 / R52 …），
+3. **一次只注一路**（相位轮除外，它要 `UA` 与 `UN` 两路同源），换表笔前先关输出。端子侧串阻 **1 k**（R31/R28/R19/R52…）。STM32 五路负半周经**片内**钳位灌向 VDDA（网表 `docs/硬件平台/V0.1.tel` :228-241 实证：无外置钳位二极管、无隔直电容）；Vpp 2.828 V 时峰值电流 ≈ **1.1 mA**（量级估算），**别往上加幅度**——这种注入只允许出现在削顶轮。
-   STM32 那五路负半周经**片内**钳位 / ESD 路径灌向 VDDA——网表 `docs/硬件平台/V0.1.tel` :228-241 逐条实证这些节点只有
+4. **电流通道也是注电压**：`IA` 注入点同样是电压进 R19 端子侧。这一轮证"给定引脚电压算得对不对"，不是"一次侧 1 A 怎么办"——后者要变比，属 `docs/任务规划/数据可信.md` §5 的端子 / 子板变比确认。
-   「电容 .2 + 串阻 .2 + MCU 脚」三件，**无外置钳位二极管、无隔直电容**，所以这条电流走的是芯片内部路径；
-   1.000 Vrms 时峰值电流约 (1.414 − 0.3) / 1 k ≈ **1.1 mA**（按片内钳位压降 0.3 V 估、仓内无实测，只用来论证量级），
-   但**别往上加幅度**——这种注入只允许出现在削顶轮这类"故意削顶"的用例里。
-4. **电流通道也是注电压**：`IA` 的注入点同样是电压进 R19 端子侧。这一轮证的是"给定引脚电压算得对不对"，
-   不是"一次侧 1 A 怎么办"——后者要变比，属 `docs/任务规划/数据可信.md` §5 的端子 / 子板变比确认。
-
-四条接线画在一张图上（发生器 → 端子侧焊盘是一条主干，万用表并接、共地是两条必须存在的旁路）：
-
-```mermaid
-flowchart LR
-  G["信号发生器<br/>输出端接 = 高阻<br/>（按 50 Ω 端接读数差 2 倍）"] -->|"注 UA / UN / IA：端子侧焊盘<br/>（1:1 已由直流轮次实测）"| R31["串阻 1 k 的 1 脚侧<br/>R31 / R28 / R19 …"]
-  R31 --> FE["前端分压 / 滤波"] --> U5["U5 排针 → 转换器引脚<br/>（TPAFE AIN_x 或 STM32 脚）"]
-  M["万用表 AC 档<br/>记响应类型"] -.->|"并接同一注入点<br/>量真实加到板上的电压"| R31
-  G -.->|"LO/GND 与板 AGND<br/>单点共地"| AGND["板 AGND"]
-  AGND -->|"不共地量到的是两地之差"| U5
-  G -.->|"注 UB 等 STM32 那五路（仅削顶轮）<br/>负半周经片内钳位 ≈1.1 mA"| R52["R52 端子侧"] --> STM["STM32 ADC 脚<br/>（无外置钳位 / 隔直电容）"]
-```
 
 ### 8.4 记录表抬头（每条用例一份，与日志一起归档）
 
-```text
+这份抬头回答一个问题：**这组数字是在什么条件下量出来的**。缺任何一项，三个月后这页记录就没法复核，§8.10 归档台账的「固件版本」栏也就没有出处。做法只有一件事——照着下表，从右边写的地方**抄**过来，不用你判断任何数：
-日期 ____ / 操作人 ____ / 板子序列号 ____
+
-固件 commit ________（/keil-build 0 错误 0 警告：是 / 否）
+| 要抄的信息 | 从哪儿抄、为什么它要紧 |
-发生器：型号 ______  输出端接 = 高阻 / 50 Ω   波形 ____  频率设定 ____
+|---|---|
-万用表：型号 ______  AC 响应类型 = 真 RMS / 均值        共地方式 = 单点 / 发生器浮地
+| 日期、操作人 | 王建锋 |
-注入点：路名 ____（端子侧 U5 / 引脚侧外串 ____ Ω）
+| 板子序列号 + 固件版本 | 串口开机日志里 `fw build:` 开头那一行，**整行照抄**（例：`fw build: Nov 2 2026 14:21:24 suite=NONE dstr=off`）。不抄版本，下次构建一变，这批数就对不上号。 |
-[adc_cal] = 未标定（eng=0）—— 必须是这个状态
+| 发生器型号 + 端接 | VICTOR 2026H（端接必须设"高阻"，设成 50 Ω 输出会被砍一半，所有期望值作废） |
-基线（未注时）：meas: ua_mv=____ un_mv=____ ia_mv=____  rail=0x____  cl=0x____
+| 万用表型号 + 响应类型 | FNIRST-DMT-99 + 真有效值档（判别法见 §8.3 设备表；波形轮不写响应类型，说不清 1414/1570 谁对谁错） |
-段文件（走定量档的用例）：文件名 ________  触发方式 = 手动 / 保护 / bench  取回时刻 ________
+| 标定状态 | 串口 `cal:` 行行尾 `eng=` 后面的数，**必须是 0**（未标定）。是 1 就停下——全部期望表都是按引脚电压写的，标定态下整表不适用。 |
-脚本：test/host/wave_read.py（先跑 --selftest：通过 / 否）  fft / shape / dump 输出与 plot 图归档在 ________
+| 基线读数 | **开信号发生器之前**，从串口各抄一行：`meas:` 行的 ua_mv / un_mv / ia_mv，`cal:` 行的 rail / cl。没有这行，分不清"本来就是零"还是"注了没进来"。 |
-```
+
 ### 8.5 逐条执行卡
 
-**每条卡的通用动作**：接好 → 开输出 → 等 ≥30 s（相量窗 + `meas` 200 ms 轨稳定）→ 取**连续 ≥10 行**心跳 →
+**通用动作（六张卡都按这个走）**：
-先确认 `frames` 还在涨、`adc1_err=0`，再核数 → 关输出 → 填表。"连续 ≥10 行"不是保守：`meas:` 是
-**瞬时基波有效值透传**、200 ms 是上送节拍不是平均窗（`docs/任务规划/数据可信.md` §4.5），
-单行读数带拍频式跳动，必须看一片取**中间水平（中位数）**才能定数。
 
-通用动作主干与两处分岔（采集链没清 → 回头修；偏差没进 → 先复核查再判）：
+1. 接好线、开发生器输出，等 ≥30 s 读数稳定；
+2. 从串口取**连续 ≥10 行**心跳，先确认 `frames` 在涨、`adc1_err=0`（采不到算不得数），再核对卡片要求的读数——数字要取这 ≥10 行的**中位数**，别拿单行（`meas:` 是瞬时基波有效值透传、200 ms 是上送节拍非平均窗，`docs/任务规划/数据可信.md` §4.5，单行带拍频式跳动）；
+3. 这张卡的判据要录波取证的：抄完数后，从面板第 26 叶「手动录波」触发一段，把录波页屏上显示的文件名（`WAVE<nn>`）抄进该轮记录表；分析前在本机跑一次 `test/host/wave_read.py --selftest`，**不通过，分析结果不算证据**（不赶时间，第 7 步统一取回再做，§8.6）；
+4. 关掉发生器输出，把数填进该卡记录表。
 
-```mermaid
+**两种情况先修再测，别往下走**：采集链没清（`frames` 不涨 / `adc1_err≠0`）→ 查 §8.8；偏差没进判据 → 先复查三件事（端接 / 万用表响应类型 / 共地），改完重测，复查仍超才进 §8.8。
-flowchart TD
-  W["接好本路，开机前置门已过（§8.2）"] --> ON["开发生器输出"]
-  ON --> ST["等 ≥30 s：相量窗与 meas 轨稳定"]
-  ST --> HB["取连续 ≥10 行心跳"]
-  HB --> Q1{"frames 在涨、adc1_err = 0 ？"}
-  Q1 -->|"否：是节拍 / 丢帧问题"| TRI["先查 §8.8 分诊<br/>别归因给波形"]
-  TRI -.->|"修复后重来"| ST
-  Q1 -->|是| MED["10 行读数排序<br/>取第 5、6 个的平均 = 中位数"]
-  MED --> Q2{"与期望的偏差在判据内？"}
-  Q2 -->|是| OK["记通过"]
-  Q2 -->|"否"| CHK["先复核查：发生器端接、<br/>万用表响应类型、共地"]
-  CHK -->|"复查仍超"| BAD["记不通过，进 §8.8 分诊"]
-  CHK -->|"查出问题改完重测"| ST
-  OK --> OFF["关输出，填记录表"]
-  BAD --> OFF
-  OFF --> NEXT["下一条 / 下一轮"]
-```
 
-为什么这一步是"中位数"而不是单行或平均——机理与操作：
+#### 幅值轮（先做：三档幅值的偏差都在 ±2 % 内）
 
-![为什么连取 10 行取中位数：窗滑动让读数拍频式上下跳（左）；中位数贴着密集簇，平均被毛刺拖走（右）](../../images/交流定数取中位数.svg)
+一句话：发生器注 50.000 Hz 正弦，**Vpp 2.828 / 1.414 / 0.566 V 三档挨个来**，每档从串口 `meas:` 行读 `ua_mv`，和并接在同一注入点上的万用表读数比——**每档偏差 ≤2 % 就算通过**。
-
-#### 幅值轮：基波幅值（主用例，先做）
 
 | 项 | 内容 |
 |---|---|
 | 接法 | 发生器 → `UA`（R31 / `AIN1` / U5.A3）端子侧；万用表 AC 档**并同一注入点**——量真实加到板上的电压，不是面板值 |
-| 设定 | 正弦、50.000 Hz、**1.000 Vrms**（峰值 1.414 V） |
+| 设定 | 正弦、50.000 Hz，三档挨个来：**Vpp 2.828 V → 1.414 V → 0.566 V**（档位不用拧精确，记万用表实际读数就行） |
-| 主读数 | `meas: ua_mv=`（1 mV） |
+| 读哪个数 | `meas: ua_mv=`（1 mV） |
-| 期望与判据 | `ua_mv` ≈ 万用表读数 × 1000，偏差 **≤2 %**（与静态同档） |
+| 通过判据 | 每档 `ua_mv` ≈ 万用表读数 × 1000，偏差 **≤2 %**（与静态轮同档） |
-| 交叉读数 | 104 `0x4011`（短浮点）应 ≈ 万用表读数，单位是**引脚电压域**（`eng=0`，不是二次值） |
-| 坑 ① | **别用 `phasor(hb)` 比幅值**——×0.1 定点，1 V 只剩 10 格（§4 尾注同一条） |
-| 坑 ② | 104 每点 0.5 V（电流 0.005 A）变化死区，生效值在 `App/algo/run_par.c` 的 `[run_par]` 副本：1.000 → 1.100 V **不会**上报变化，那是死区不是坏了；连续扫幅度只看 `meas:` |
-| 坑 ③ | **`cal: ua_mv` 与 `meas: ua_mv` 同名不同物**：前者是当拍瞬时码折算（`App/task/adc_task.c:587`），后者是 200 ms 快照里那一周波的基波有效值（`App/task/adc_task.c:605`），50 Hz 下二者可以差很多——`App/task/adc_task.c:595-599` 的原注就是**勿互为判据**，幅值轮只认 `meas:` |
 
-记录表（记录表每一行 = 连续 10 行心跳 `ua_mv` 的**中位数**：排序后取第 5、6 个的平均；
+记录表（每行 = 连续 10 行心跳 `ua_mv` 的**中位数**：排序取第 5、6 个平均；不取单行、不取峰值。"序号"是一次重测）：
-不取单行、不取峰值——单行带拍频跳动，毛刺行会拖偏算术平均。表里"序号"是一次重测）：
 
 | 序号 | 万用表 AC (V) | `meas: ua_mv` | 期望 = 万用表 × 1000 | 偏差 % | 结论 |
 |---|---|---|---|---|---|
-| 1 | | | | | |
+| 1 | 0.998 | 996 | 998 | -0.20 | PASS |
-| 2 | | | | | |
+| 2 | 0.499 | 498 | 499 | -0.20 | PASS |
-| 3 | | | | | |
+| 3 | 0.248 | 249 | 248 | +0.40 | PASS |
-
-**加做（3 min，非判据）**：0.500 / 0.200 Vrms 两点看是否**等比**——不是验精度，是看有没有隐藏的触底或死区。
-0.2 Vrms 那点 104 必然被死区吞掉，只读 `meas:`。
 
 #### 波形轮：读数是否只跟基波走（同峰值改波形）
 
-按**峰值对齐**（不是按 Vrms 对齐）：三者峰值都取 1.414 V，发生器面板 Vrms 分别约 正弦 1.000 V、方波 1.414 V、
+三个波形都按**峰峰值对齐**：发生器统一设 **Vpp 2.828 V**（峰值 ±1.414 V）。期望的**基波有效值**（全周傅氏基波口径：`App/algo/phasor.c:3` 系数已预乘 √2/N、`fAmSQ` 直接就是有效值；下表 20 点整周期 DFT 值按固件同一个窗算）：
-三角 0.816 V。期望的**基波有效值**（全周傅氏基波口径：`App/algo/phasor.c:3` 的系数已预乘 √2/N、`fAmSQ` 直接就是
-有效值；下表的 20 点整周期 DFT 值就是按固件同一个窗算的）：
 
-| 波形 | 基波有效值 / 峰值 | 峰值 1.414 V 时的期望 `ua_mv` | 真有效值 / 峰值（对照） |
+| 波形 | 基波有效值 / 峰值 | Vpp 2.828 V 时的期望 `ua_mv` | 真有效值 / 峰值（对照） |
 |---|---|---|---|
 | 正弦 | 0.707 | 1000 | 0.707 |
 | 方波 | 0.904（闭式 4/π/√2 = 0.900） | ≈1278 | 1.000 |
 | 三角 | 0.578（闭式 8/π²/√2 = 0.573） | ≈817 | 0.583 |
 
-- 判据：读数 = **基波**期望 ±2 %，**不是**真有效值。方波那栏最直观——真 RMS 表会读 ≈1414 mV、
+- 判据：读数 = **基波**期望 ±2 %，**不是**真有效值。方波栏：真有效值表 ≈1414 mV、均值响应表 ≈1570 mV、板上 ≈1278 mV——**正是"读的是基波"的证据，不是 bug**；抬头必须写清万用表响应类型（判据文档同一条）。
-  均值响应表读 ≈1570 mV，而板上读 ≈1278 mV，**这正是"这台仪表读的是基波"的证据，不是 bug**；
+- 系数：方波基波 = 4/π × 峰值、三角 = 8/π² × 峰值，除 √2 得基波有效值 → 闭式 **0.900 / 0.573**，20 点 DFT 实算 **0.904 / 0.578**（`docs/任务规划/数据可信.md` §4.6.2 同值，算术以本节为准）。
-  所以抬头里必须写清万用表响应类型（判据文档同一条：拿真有效值表去对会以为差了 10 %）。
-- 系数的来路：方波基波幅值 = 4/π × 峰值、三角 = 8/π² × 峰值，再除 √2 得基波有效值 → 闭式 **0.900 / 0.573**，
-  20 点整周期 DFT 实算 **0.904 / 0.578**；`docs/任务规划/数据可信.md` §4.6.2 的"波形轮"行与本节同值，算术以本节为准。
 
 记录表：
 
-| 波形 | 峰值设定 (V) | 面板 Vrms | 万用表 AC 实测 | `ua_mv` | 期望 | 偏差 % | 结论 |
+| 波形 | 设定 Vpp (V) | 万用表 AC 实测 (V，有效值档) | `ua_mv` | 期望 | 偏差 % | 结论 |
-|---|---|---|---|---|---|---|---|
+|---|---|---|---|---|---|---|
-| 方波 | 1.414 | | | | ≈1278 | | |
+| 方波 | 2.828 | 1.407 | 1269 | ≈1278 | -0.70 | PASS |
-| 三角 | 1.414 | | | | ≈817 | | |
+| 三角 | 2.828 | 0.814 | 807 | ≈817 | -1.22 | PASS |
 
 #### 相位轮：相位（只许比同片内）
 
 | 项 | 内容 |
 |---|---|
-| 接法 | `UA`（R31）与 `UN`（R28）**都走 TPAFE**，同幅 1.000 Vrms、同相——发生器单路输出分两路即天然同相；双通道机型则两通道都设 0° |
+| 接法 | `UA`（R31）与 `UN`（R28）**都走 TPAFE**，同幅 Vpp 2.828 V（峰值 ±1.414 V）、同相（发生器单路分两路即天然同相；双通道机型两通道都设 0°） |
-| 读数 | `phasor(hb) C02-UA-F1: Re=.. Im=..` 与 `C03-UN-F1: Re=.. Im=..`，各取 `atan2(Im, Re)` 再比差值 |
+| 读数 | `phasor(hb) C02-UA-F1` 与 `C03-UN-F1`，各取 `atan2(Im, Re)` 再比差值 |
-| 判据（§4.6.2） | **定量档**：同相时同段内两路相位差 ≤2°，把发生器（或 B 通道）改 90° 后差值跟到 ≈90°；**定性档只判跟随**（差值落进 80°~100°，容差写进记录表） |
+| 判据（`docs/任务规划/数据可信.md` §4.6.2） | **录波档**：同段内两路相位差 ≤2°，改 90° 后差值 ≈90°；**心跳档只判跟随**（差值落 80°~100°，容差写记录表） |
-| ⚠ 分辨率 | 出口只有 ×0.1 且向下截断：1.000 Vrms 时 Re/Im 各只有 ±10 格，**一格就是 0.1 V** → 角度量化误差最坏 ≈ atan(0.1 / 0.707) ≈ 8°，**≤2° 今天用串口判不出来** |
+| ⚠ 分辨率 | 串口行的 ×0.1 向下截断：Vpp 2.828 V（板上 ≈1000 mV）时 Re/Im 各 ±10 格，**一格 0.1 V** → 角度量化误差最坏 ≈ 8°，**≤2° 串口判不出来** |
-| 三个档 | ① **段文件定量档（首选，零改代码）**：同一次注入触发一段，`test/host/wave_read.py fft` 重算基波相位，比**同段内** `UA`（表序 0）与 `UN`（表序 3）的相位差——浮点重算，不受 ×0.1 量化限制，≤2° 判得动，动作见下面第 2 段；② **定性档**：没取到段时退而用，同相 ≈0°、改 90° 后差值落进 80°~100° 即算跟随，容差写进记录表；③ **抬倍数退路**：临时把 `log_phasors()` 的倍数改成 ×1000 并改掉行尾 `(x0.1)`，跑完按 §8.9 还原——段文件档已落地，这条基本不必走，要走仍**先问用户** |
+| 怎么取证 | ① **录波档（首选，零改代码）**：触发一段，`wave_read.py fft` 重算基波相位，比同段内 `UA`（表序 0）与 `UN`（表序 3）相位差——浮点重算不受 ×0.1 量化限制，≤2° 判得动（动作见下段）；② **心跳档**：没录到段文件时退用，同相 ≈0°、改 90° 后差值落 80°~100° 即算跟随；③ **抬倍数退路**：临时 `log_phasors()` 倍数改 ×1000 并改行尾 `(x0.1)`，跑完按 §8.9 还原——录波档可用时基本不必走，要走**先问用户** |
-| 红线 | **只许比同片内**：跨转换器无同刻性（V0.1 硬件缺陷）+ STM32 那五路另有 1 拍乒乓滞后 → `docs/硬件平台/ADC通道映射说明.md` §7 |
+| 红线 | **只许比同片内**：跨转换器无同刻性（V0.1 硬件缺陷）+ STM32 五路另有 1 拍乒乓滞后 → `docs/硬件平台/ADC通道映射说明.md` §7 |
 
-记录表（定性档；定量档记脚本输出，归档口径见 §8.10 第 1 条）：
+记录表（按心跳档抄屏；录了波的轮次直接记脚本输出，归档口径见 §8.10 第 1 条）：
 
-| 发生器相位设定 | C02-UA `Re` / `Im` | C03-UN `Re` / `Im` | 两路 `atan2` 之差 | 结论 |
+| 发生器相位设定 | C02-UA `Re`/`Im` | C03-UN `Re`/`Im` | 两路 `atan2` 之差 | 结论 |
 |---|---|---|---|---|
-| 0° / 0° | | | | |
+| 0° / 0° | -8 / -5 | -8 / -5 | 心跳档两路象限全同 → Δ=0.0°（×0.1 判不动 ≤2°）；**录波档 WAVE06 段实测 Δφ = 0.07°**（fft：UA 995.79 mV ∠+18.23° / UN 995.70 mV ∠+18.16°） | **PASS**（录波档 ≤2°） |
-| 0° / 90° | | | | |
+| 0° / 90° | -2 / -9 | 9 / -2 | atan2：UA -102.53°、UN -12.53° → 差 **+90.0°**，跟随成立（该点未录段文件，心跳档判据 80°~100°） | **PASS**（心跳档） |
 
-**段文件定量档的具体动作（相位轮首选，零改代码）**
+**录波档的具体动作（相位轮首选，零改代码）**
 
-1. `UA`（R31）与 `UN`（R28）两路接同一发生器输出（同相），注 **1.000 Vrms / 50.000 Hz**；
+1. `UA`（R31）与 `UN`（R28）两路接同一发生器输出（同相），注 **Vpp 2.828 V / 50.000 Hz**；稳定 ≥30 s 后在 UI「手动录波」确认页触发一次；成段有**秒级**延迟（落盘在 defaultTask，卷空闲后搬段）→ 等 `wave:` 行 `seg=` +1、`armed` 回 0 再取文件；
-2. 稳定 ≥30 s 后，在 UI「手动录波」确认页触发一次；成段有**秒级**延迟（落盘在 defaultTask，卷空闲后一次心跳搬完整段）
+2. FTP 取 `/wave/WAVE<NN>.BIN`，**取完立刻改名**（100 号轮转会被覆盖）；
-   → 等串口 `wave:` 行的 `seg=` +1、`armed` 回 0 再去取文件；
+3. 跑 `& '.venv\Scripts\python.exe' test/host/wave_read.py fft WAVE<NN>.BIN --all`——每个整周波给一行：基波有效值、相位、2 次与 5 次谐波有效值（mV，系数镜像 `App/algo/phasor.c`）；
-3. FTP 取 `/wave/WAVE<NN>.BIN`（本轮那一段的确切号），**取完立刻改名**——100 个号轮转会被覆盖；
+4. 判据：`UA`（`--ch 0`）与 `UN`（`--ch 3`）在**同一周波**内相位差——同相 ≈0°，改 90° 后 ≈90°，容差 ±2°（`docs/任务规划/数据可信.md` §4.6.2）；
-4. 主机侧跑：`& '.venv\Scripts\python.exe' test/host/wave_read.py fft WAVE<NN>.BIN --all`
+5. ⚠ 段**绝对**相位与发生器无锁定（触发瞬间落在段内点 159）→ **只能比同段内相对差**，跨段比相位不成立（段内点序 `docs/子系统设计/故障录波设计说明.md` §6.2）；
-   —— 每个整周波给一行：基波 RMS、相位、2 次与 5 次谐波 RMS（单位 mV，系数镜像 `App/algo/phasor.c`）；
+6. 交叉旁证：同一段先 `dump`（逐字段 + 双 CRC16），再 `plot --ch 0`（CRC 不符或零长度**必须拒收**）；板上 `phasor(hb)` 象限应与脚本一致（×0.1 只够核象限）。
-5. 判据：`UA`（`--ch 0`）与 `UN`（`--ch 3`）在**同一周波**内的相位差——同相注入应 ≈0°，把发生器（或 B 通道）改 90° 后应 ≈90°，
-   容差 ±2°（`docs/任务规划/数据可信.md` §4.6.2"相位轮"行）；
-6. ⚠ 段的**绝对**相位与发生器没有锁定关系（触发瞬间固定落在段内点 159），所以**只能比同段内两路的相对差**；
-   跨段比相位、或拿发生器相位当绝对基准都不成立（段内点序见 `docs/子系统设计/故障录波设计说明.md` §6.2）；
-7. 交叉旁证：同一段先 `dump`（逐字段 + 双 CRC16，看封存瞬间的标定与品质快照），再 `plot --ch 0`（CRC 不符或零长度它
-   **必须拒收**而不是画出半张图）；板上 `phasor(hb)` 的 `Re` / `Im` 象限应与脚本给的象限一致（×0.1 只够核象限）。
 
-#### 测频轮（默认 A 档 = 判"如实报不可测"）
+#### 测频轮（现状：测不出频率才是对的）
+
+一句话：给 `UA` 注与幅值轮同样的 Vpp 2.828 V / 50.000 Hz 正弦，看串口 `freq(hb)` 行——**固件现状就不该出数**，出数反而是算错了。
 
 | 项 | 内容 |
 |---|---|
-| 接法与设定 | 同幅值轮（`UA`，1.000 Vrms / 50.000 Hz） |
+| 接法与设定 | 同幅值轮（`UA`，Vpp 2.828 V / 50.000 Hz） |
-| 读数 | `freq(hb): f=.. valid=..`；UI 交流量页 `Hz`；104 `0x401D` |
+| 读数 | `freq(hb): f=.. valid=..`；UI 交流量页 `Hz` |
-| 期望（A 档 = 现状） | **就是不出数**：幅值门 `FREQ_AMP_MIN 50.0f`（`App/algo/freq.h:62`，`App/algo/freq.c:231` 拿它与基波有效值比）在引脚电压域恒不过 → `valid=0`、`f=0`、UI `Hz` 显 `--`、104 `0x401D` 上送 IV |
+| 期望（现状固件） | **就是不出数**：幅值门 `FREQ_AMP_MIN 50.0f`（`App/algo/freq.h:62`，`App/algo/freq.c:231` 拿它与基波有效值比）在引脚电压域恒不过 → `valid=0`、`f=0`、UI `Hz` 显 `--` |
 | 判据 | **如实报不可测**，而不是报一个看起来对的 50.00。若门限没改却报出 50.00 → 反而是 bug，停下查 `App/algo/freq.c` |
-| B 档（要用户先点头） | 临时把 `FREQ_AMP_MIN` 由 `50.0f` 降到 `0.5f` → 重编（`/keil-build`，要 build 锁）+ 重烧 → 扫 45.000 / 50.000 / 55.000 Hz 三点，PC 侧判据 0.02 Hz → 跑完**必须还原**，收尾判据见 §8.9 |
+| 另有一档（需先取得同意） | 临时把 `FREQ_AMP_MIN` 由 `50.0f` 降到 `0.5f` → 重编（`/keil-build`，要 build 锁）+ 重烧 → 扫 45.000 / 50.000 / 55.000 Hz 三点，PC 侧判据 0.02 Hz → 跑完**必须还原**，收尾判据见 §8.9。这一档要改固件重烧，动它之前先问过你；不做也不影响上面那条判据成立 |
-| 坑 | 非整 50 Hz 时 `meas:` 会拍频式跳动，属预期 → **扫频读 `freq(hb)`，别读 `meas:`**（`docs/任务规划/数据可信.md` §8 风险表同一条）；测频的取源顺序是先 `UA`（相量实例 C02）再退 `IA`（C01）（`App/algo/freq.c:47`）——本卡注 `UA` 走的就是 UA 源；若哪天只注 `IA`，测频会跟着 IA 走，别以为它锁在 UA |
+| 坑 | 非整 50 Hz 时 `meas:` 拍频式跳动属预期 → **扫频读 `freq(hb)` 别读 `meas:`**（`docs/任务规划/数据可信.md` §8 同一条）；取源先 `UA`（C02）再退 `IA`（C01）（`App/algo/freq.c:47`）——注 `UA` 走 UA 源；若只注 `IA`，测频跟 IA 走 |
-
-记录表（A 档）：
-
-| 频率设定 (Hz) | `freq(hb)` f | valid | UI `Hz` | 104 `0x401D` 品质 | 结论 |
-|---|---|---|---|---|---|
-| 50.000 | | | | | |
-
-#### 削顶轮：触底与品质路由（负向用例）
-
-- **判据**（`docs/任务规划/数据可信.md` §4.6.2"削顶轮"行）：给 `UB`（R52 / `AIN2` / U5.B7）注 **DC −1.00 V 保持 ≥5 s**
-  或 **1.000 Vrms / 2.0 Hz** 的正弦 → 负半周钉下轨 → 连续 20 拍同侧后该路贴轨位锁存、`edge` 起沿、104 该路 IV 且值清零。
-- ⚠ **注 50 Hz 同幅正弦造不出这个锁存，这是实现约束不是固件缺功能**：锁存条件是"连续 `ADC_RAIL_N_RUN = 20` 拍
-  贴同一侧轨带"（`App/algo/adc_health.h:174`），而 `adc_health_rail_watch()` 里**任何一拍回到中带就把两侧计数清零**；
-  1 kHz 下一个 50 Hz 周波只有 20 个点、正半周必然落在中带 → 连续贴底最长 ≈ 209°/360° × 20 ≈ **11 拍 < 20**。
-- **轨带数值**（`App/algo/adc_cal.c:452` 的 `adc_cal_rail_ths()`，TEMP 不监视）：STM32 侧贴底 = 码 ≤ **81**（2 % FS ≈ 65 mV）、
-  贴顶 = 码 ≥ 4013；TPAFE 侧 = ±32112 码（≈ ±4.9 V）→ **TPAFE 侧这一条在 ±2 V 判据上限内根本造不出来**，
-  只有 STM32 那五路能做。
-- **改法 A（首选，零固件改动）**：发生器切 **DC 输出 −1.00 V** 注 `UB` 端子侧，保持 ≥5 s。期望：`cal:` 的 `rail=0x002`、
-  `edge=0x002`、一条 `[ERR] rail: edge=0x2 sticky=0x2 (code-domain, 20-run+release)`（`App/task/adc_task.c:428`）、
-  104 `0x4012` 该路 IV 且值清零、`adc: UB` 码值贴 0。撤掉注入后 **sticky 位不随输入恢复而清**（锁存语义，
-  只有 `adc_health_rail_init()` / 复位清）→ 复位一次并把"是否随复位清"记进表：这条实测行为是本轮的产出之一。
-- **改法 B**：发生器 1.000 Vrms 但**频率设 2.0 Hz** → 负半周 250 ms = 250 拍贴底 ≥ 20 → 锁存；
-  顺带证"贴轨检测与工频无关"这条口径。
-- **50 Hz 档照跑，判据就是"不锁存"**：记下 `adc: UB` 负半周钉 0 而 `rail` 仍 `0x000` —— 这一档证的是
-  "锁存要连续 20 拍同侧"这条实现约束本身，不是失败，也不是战果。
-- **反向假阳性**：反过来注一个峰值 <65 mV（<46 mVrms）的 50 Hz 小信号，会让 `UB` 一路贴底而**锁存**——
-  那是"信号小到进不了中带"，不是削顶。读 `rail` 时要把这条一起排除。
-- **与 `cl` 区分**：`cl=0xE6` 是**来源派生**的静态触底掩码（`docs/任务规划/数据可信.md` §2.6），削顶轮要的是动态
-  `rail=` / `edge=`；别拿 `cl` 当本轮战果。
 
 记录表：
 
-| 步 | 设定 | `rail` | `edge` | `[ERR] rail:` 行数 | 104 `0x4012` | 复位后 `rail` | 结论 |
+| 频率设定 (Hz) | `freq(hb)` f | valid | UI `Hz` | 结论 |
-|---|---|---|---|---|---|---|---|
+|---|---|---|---|---|
-| 1 | 50.000 Hz / 1.000 Vrms 正弦 | | | | | 不适用 | |
+| 50.000 | 0 | 0 | 未记（期望 `--`，与 fv 同源，无补测价值） | **PASS**：冻结窗口 229 行 `freq(hb)` **全部** `f=0.00 valid=0 src=0`（含 UA 满幅 Vpp 2.828 V 注入时段）——幅值门 `FREQ_AMP_MIN=50.0f`（`App/algo/freq.h:62`、`App/algo/freq.c:231`）拿**电压域有效值**比（`phasor(hb)` rms=9 = ×0.1 V 刻度），引脚域 ≈1 V 恒不过门 → **如实报不可测**，与现状判据逐字一致 |
-| 2 | DC −1.00 V（改法 A） | | | | | | |
-| 3 | 2.0 Hz / 1.000 Vrms（改法 B） | | | | | | |
 
-**段文件档的两把尺子（现在能把"来源派生 vs 实测"一次核清）**
+#### 削顶轮：触底与品质路由（负向用例）
 
-`shape` 拿**实测**贴轨判定与段头 `clip_mask` 对表；而段头那一位**来自通道来源、从不实测**（`test/host/wave_read.py`
+- **判据**（`docs/任务规划/数据可信.md` §4.6.2"削顶轮"行）：给 `UB`（R52 / `AIN2` / U5.B7）注 **DC −1.00 V 保持 ≥5 s** 或 **Vpp 2.828 V / 2.0 Hz** 正弦 → 负半周钉下轨 → 连续 20 拍同侧后该路贴轨位锁存、`edge` 起沿。
-文件头的实证与本卡上面的 `cl=0xE6` 同源，两处互证）→ 三种注入分别配三把尺子：
+- ⚠ **50 Hz 同幅正弦造不出锁存，是实现约束不是固件缺功能**：锁存条件"连续 `ADC_RAIL_N_RUN = 20` 拍贴同一侧轨带"（`App/algo/adc_health.h:174`），`adc_health_rail_watch()` 里**任何一拍回中带就清零**；1 kHz 下一个 50 Hz 周波只有 20 点、正半周必落中带 → 连续贴底最长 ≈ 209°/360° × 20 ≈ **11 拍 < 20**。
+- **轨带数值**（`App/algo/adc_cal.c:452` `adc_cal_rail_ths()`，TEMP 不监视）：STM32 贴底 = 码 ≤ **81**（2 % FS ≈ 65 mV）、贴顶 = 码 ≥ 4013；TPAFE = ±32112 码（≈ ±4.9 V）→ **TPAFE 侧在 ±2 V 判据上限内造不出来**，只有 STM32 五路能做。
+- **直流削顶档（首选，零固件改动）**：发生器切 **DC −1.00 V** 注 `UB` 端子侧，保持 ≥5 s。期望：`rail=0x002`、`edge=0x002`、一条 `[ERR] rail: edge=0x2 sticky=0x2 (code-domain, 20-run+release)`（`App/task/adc_task.c:428`）、`adc: UB` 贴 0。撤掉注入后 **sticky 位不随输入恢复而清**（只有 `adc_health_rail_init()` / 复位才清）→ 复位一次记录"是否随复位清"，本轮战果之一。
+- **工频对照档**：原接法注 50 Hz → 连续贴底最长 ≈ **11 拍 < 20**，**不锁存是预期**，非失败非战果。
+- **2 Hz 低频削顶档**：发生器 Vpp 2.828 V 但**频率设 2.0 Hz** → 负半周 250 ms = 250 拍贴底 ≥ 20 → 锁存；顺带证"贴轨检测与工频无关"。
+- **反向假阳性**：注 Vpp <130 mV（峰值 <65 mV）的 50 Hz 小信号会让 `UB` 贴底**锁存**——"信号太小进不了中带"，不是削顶。读 `rail` 时一并排除。
+- **与 `cl` 区分**：`cl=0xE6` 是**来源派生**静态贴底掩码（`docs/任务规划/数据可信.md` §2.6），削顶轮要动态 `rail=`/`edge=`；别把 `cl` 当本轮战果。
+
+记录表：
+
+| 步 | 设定 | `rail` | `edge` | `[ERR] rail:` 行数 | 复位后 `rail` | 结论 |
+|---|---|---|---|---|---|---|
+| 1 | 50.000 Hz / Vpp 2.828 V 正弦 | 0x000 | 0x000 | 0 | 未测 | ✓ 不锁存（正弦连续贴底 ≈11 拍 < 20，本步证"连续 20 拍"约束本身，非战果非失败） |
+| 2 | DC −1.00 V ≥5 s（直流削顶档） | — | — | — | — | **本轮未做**：冻结窗 16:25–17:03 段日志 `rail` 恒 0x000、零 `[ERR]`，与"未做"一致；16:25 前日志已被 daemon 截头，无法反证。补做与否待排 |
+| 3 | 2.0 Hz / Vpp 2.828 V（低频削顶档） | 0x000 | 0x000 | 0 | 未记 | ⚠ **待确认注入哪一路**：注 `UB` → 期望锁存 `rail=0x002`，填 0x000 即 FAIL 需重测；注 `UA`（对照点，`docs/任务规划/数据可信.md` §4.6.2）→ 0x000 = 期望（TPAFE 侧轨带在 ±2 V 判据上限内造不出，不会锁存） |
+
+**段文件档的两个量具（"来源派生 vs 实测"一次分清）**
+
+`shape` 拿**实测**贴底与段头 `clip_mask` 对表；段头 bit **来源派生、从不实测**（`test/host/wave_read.py` 文件头与 `cl=0xE6` 同源互证）→ 三种注入各配一个量具：
 
 | 注入 | 命令 | 期望 |
 |---|---|---|
-| 改法 A（`UB` 注 DC −1.00 V 保持 ≥5 s） | `shape WAVE<NN>.BIN --strict` | 实测贴底落进 bit1；段头静态已含 bit1 → 等式成立。**实测冒出段头没有的位**才算失败 = 有别的路被推到轨上，先查接线 |
+| 直流削顶档（`UB` DC −1.00 V ≥5 s） | `shape WAVE<NN>.BIN --strict` | 实测贴底落 bit1；段头已含 bit1 → 等式成立。**实测冒出段头没有的 bit** = 失败，先查接线 |
-| 极小注入 / 未驱动通道 | 同上再加 `--clip-superset` | 换成"段头覆盖实测"这把尺子：容忍"封存了但本轮没贴轨"；实测有、段头没有仍然失败 |
+| 极小注入 / 非驱动通道 | 同上 + `--clip-superset` | "段头覆盖实测"：容"封存了但没贴底"；实测有、段头没有仍判失败 |
-| 原接法（50 Hz 正弦注 `UB`） | `shape WAVE<NN>.BIN`（不带 `--strict`） | 只读逐通道贴轨游程：正弦过零必回中带，`--min-run` 默认 4 也可能判不出贴轨——**别把"没判"读成 bug** |
+| 原接法（50 Hz 注 `UB`） | `shape WAVE<NN>.BIN` | 只读贴底 run：正弦过零必回中带，`--min-run` 默认 4 判不出——**别把"判不出"读成 bug** |
 
-`--min-run`（连续几点算贴轨）与固件的"连续 20 拍"是**两把不同的尺子**，别互相换算；固件侧结论仍以 `rail:` / `edge=`
+`--min-run` 与固件"连续 20 拍"是**两个量具**，别互换；固件侧结论以 `rail:`/`edge=` 为准（本卡上半）。
-位图为准（本卡上半段）。
 
-#### 谐波轮：谐波轨（**段文件 `fft` 定量档 + UI 目检旁证**）
+#### 谐波轮：谐波卡（录波档 fft + UI 目检旁证）
 
 | 项 | 内容 |
 |---|---|
 | 接法 | 发生器 → `IA`（R19 / `AIN8` / U5.B5）端子侧 |
 | 设定 | 基波 + 20 % 二次 + 20 % 五次（发生器有谐波叠加 / ARB 模式就用它） |
-| ⚠ 峰值预算 | 1.000 Vrms 基波 + 两个 20 % 分量的最坏对齐峰值 ≈ 1.414 + 0.283 + 0.283 = **1.98 V，已顶到 ±2 V 判据上限**。所以基波改 **0.800 Vrms**、二次与五次各 0.160 Vrms，最坏峰值 ≈ 1.58 V 留余量；期望值随之换算 |
+| ⚠ 峰值预算 | 基波 Vpp 2.828 V + 2 个 20 % 分量，最坏对齐峰值 ≈ 1.414 + 0.283 + 0.283 = **1.98 V，已顶到 ±2 V 判据上限**。所以基波改 **Vpp 2.263 V**、二次与五次各 Vpp 0.453 V，最坏峰值 ≈ 1.58 V 留余量；期望值随之换算 |
-| 主读数 | UI 交流量页 `Ia2` / `Ia5` 两行——**3 位小数 = 1 mV**（`Drivers/BSP/UI/ui_page_ac.c:47`），目检 + 拍照；远端可走 7003 看图截屏 |
+| 读哪个数 | UI 交流量页 `Ia2`/`Ia5`（3 位小数）——**1 mV**（人工目检 + 拍照留证，`Drivers/BSP/UI/ui_page_ac.c:47`）；谐波幅值、交叉旁证 |
-| 期望与判据 | 期望 ≈ 各分量注入值（0.160 Vrms）±2 % |
+| 期望与判据 | 板上读数（有效值刻度）≈ 各分量 0.160 V（对应设定 Vpp 0.453 V）±2 % |
-| 旁证 | `phasor(hb) C04-IA-F2` / `C05-IA-F5` 的 `rms=`：×0.1 只有 1~2 格，**只能证明这根轨不是恒 0**，判不了 ±2 %（§8.1） |
+| 旁证 | `phasor(hb) C04-IA-F2`/`C05-IA-F5` 的 `rms=`：×0.1 只 1~2 格，**只能证"该轨非恒 0"**，判不了 ±2 %（§8.1） |
-| 没有谐波叠加功能时 | 分三次单注：只注 0.160 Vrms / 100 Hz → `Ia2` 有数、`Ia5` 应 ≈0；只注 0.160 Vrms / 250 Hz → `Ia5` 有数、`Ia2` 应 ≈0；再注纯基波 → 两行都 ≈0。这一档证的是"两根轨各认各的次"，**不证叠加工况**，结论里要写明 |
+| 无谐波叠加功能时 | 三次单注：只注 Vpp 0.453 V / 100 Hz → `Ia2` 有数（读数 ≈0.160 V）、`Ia5` 应 ≈0；只注 Vpp 0.453 V / 250 Hz → `Ia5` 有数、`Ia2` 应 ≈0；再注纯基波 Vpp 2.263 V → 两轨都 ≈0。这一档证"两轨各认各的次"，**不证叠加工况**，结论里写清 |
-| 口径 | 这两根轨**目前没有任何下游消费者**（`App/algo/prot_elm.c` 无引用、`meas` 只算基波）→ 谐波轮只证"算得对"，不证"有人用"；出口归属 `docs/任务规划/数据可信.md` §9 的谐波轨立项 |
+| 口径 | 这两轨**当前无下游消费者**（`App/algo/prot_elm.c` 无引用、`meas` 只算基波）→ 谐波轮只证"算得对"，不证"有人用"；这两轨归谁用，见 `docs/任务规划/数据可信.md` §9 谐波轨立项 |
 
 记录表：
 
 | 注入分量 | 发生器设定 | UI 读数 (V) | 期望 (V) | 偏差 % | `phasor` 旁证 | 结论 |
 |---|---|---|---|---|---|---|
-| 基波 0.800 Vrms + 二次 0.160 + 五次 0.160 | | `Ia2=` / `Ia5=` | 0.160 / 0.160 | | | |
+| A 只注二次 | 100.00 Hz / Vpp 0.453 V | `Ia=0` / `Ia2=0.158` / `Ia5=0` | 0.160 / ≈0 | **−1.25 %** | —（A/B 步落在 18:22–18:28 日志盲区，心跳旁证未留） | **过**（±2 % 内；选择性成立——100 Hz 没漏进基波 / 五次桶） |
+| B 只注五次 | 250.00 Hz / Vpp 0.453 V | `Ia=0` / `Ia2=0` / `Ia5=0.152` | ≈0 / 0.160 | **−5.0 %**（超 ±2 %） | —（同上盲区） | **待定分诊**：选择性成立（基波 / 二次桶 = 0），但 250 Hz 幅值超差——按注"五次超差分诊"复核查再改本行 |
+| C 纯基波 | 50.00 Hz / Vpp 0.453 V（实际按 0.453 注，Vpp 2.263 那档未做） | `Ia=0.159` / `Ia2` `Ia5` 未抄屏 | ≈0 / ≈0 | 基波 **−0.6 %**（对 0.160 读数） | **有**：18:33:43 起串口可见窗 `C01 rms=1 / C04 rms=0 / C05 rms=0`，与 C 步工况吻合 | **过**（两谐波轨零值经串口旁证补认；基波 −0.6 % 与幅值轮同档一致） |
+| 叠加（原行，**本轮不做**） | 基波 + 二次 + 五次同段 | — | — | — | — | 发生器无谐波叠加 / ARB 功能 → 本轮不做·设备缺口·TC-PHASOR-006 单测覆盖（`test/host/phasor/phasor_test.c`，3 条谱线各 ±1 %，实跑 57/57 PASSED） |
 
-**段文件定量档（谐波现在判得到位）**
+> **2026-11-02 本轮执行档注**：发生器无叠加功能，按本卡"无谐波叠加功能时"行走**三注替代档**（用户裁定）。每注稳定后读 UI `Ia2`/`Ia5`（3 位小数 = 1 mV，判据 ±2 % 只作用于 0.160 那一行），并各触发一段录波取回跑 `fft WAVE<NN>.BIN --ch 4 --all`：A 的二次行应 ≈160 mV、五次行 ≈0；B 相反；C 两谐波行 ≈0。单注峰值 ≈0.226 V（0.800 基波 ≈1.13 V），远离 ±2 V 判据上限，无贴轨风险。
 
-同一次注入（基波 0.800 Vrms + 二次 0.160 + 五次 0.160，峰值预算见上表）触发一段、FTP 取回后跑：
+> **五次超差分诊注**（B 行 −5.0 %，2026-11-02）：最可能位置在**发生器本身**——多数函数发生器在 250 Hz 段带载（高阻）输出幅值会 sag，5 % 量级完全在其规格影内；板端 50 Hz 幅值轮三点 −0.2 % ~ +0.4 % 只锚定 50 Hz 频响，**证不到 250 Hz**。一刀分两边：**B 步工况用万用表（真有效值档）直接量发生器输出端**——表读 ≈0.152 → 发生器 sag、板端忠实，B 行改判"过（按实际注入基准）"并在设定列补记实测；表读 ≈0.160 → 板端频响嫌疑，登记 IA 前端 250 Hz 频响专项（R19 通道滤波网表核算），不再归因给仪表。同段顺带触发一段录波，`fft --ch 4 --all` 的五次行与 UI `Ia5` 互核（同链复核查，非独立证据，只排除显示档笔误）。
+
+**录波档动作（谐波现在判得到位）**
+
+同一次注入（叠加档设想值：基波 Vpp 2.263 V + 二次与五次各 Vpp 0.453 V，峰值预算见上表；本轮发生器无叠加功能、未跑此档）触发一段，FTP 取回跑：
 
 ```text
 & '.venv\Scripts\python.exe' test/host/wave_read.py fft WAVE<NN>.BIN --ch 4 --all
 ```
 
-`fft` 逐整周波给**基波 RMS + 2 次与 5 次谐波 RMS**（mV，浮点重算），±2 % 在这条档是定量判据；`--ch` 是段内通道表序，
+`fft` 每整周波给一行：**基波有效值 + 2 次与 5 次谐波有效值**（mV，浮点重算），±2 % 是定量判据；`--ch` = 段内通道表序，`IA` = 4（`UA UB UC UN IA IB IC IN`，TEMP 不录，`App/algo/wave_ring.h:216`）。UI 目检退**旁证**（证"板上与脚本算的是同一个东西"），不是替代判据。THD 与根均方不在本轮（`docs/任务规划/数据可信.md` §4.6.5）。
-`IA` = 4（表序 `UA UB UC UN IA IB IC IN`，TEMP 不录，`App/algo/wave_ring.h:216`）。UI 目检与 7003 截图降为**旁证**——
-它证的是"板上 `Ia2` / `Ia5` 与脚本算的是同一件事"（差值应在显示位数之内），不是替代判据。THD 与方和根仍不在本轮，
-口径见 `docs/任务规划/数据可信.md` §4.6.5。
 
-### 8.6 顺序与耗时（一次台架 session 跑完）
+### 8.6 顺序与耗时（一个台架轮次跑完）
 
-| 序 | 做什么 | 预计 | 备注 |
+| 序 | 做什么 | 估算 | 注 |
 |---|---|---|---|
-| 0 | 前置门 + 基线 30 s | 10 min | §8.2，不满足就停 |
+| 0 | 前置门 + 基线 30 s | 10 min | §8.2，不满足先停 |
-| 1 | 幅值轮（含 0.5 / 0.2 Vrms 加做） | 15 min | 主用例 |
+| 1 | 幅值轮（三档幅值） | 15 min | 先做 |
-| 2 | 波形轮（方波 / 三角，峰值对齐） | 15 min | 抬头里记万用表响应类型 |
+| 2 | 波形轮（方波 / 三角，峰值对齐） | 15 min | 记万用表响应类型 |
-| 3 | 谐波轮：段文件 `fft` 定量档 + UI 目检旁证（同一次注入触发一段） | 25 min | 命令见 §8.5 的谐波卡 |
+| 3 | 相位轮：段文件相对相位（`UA`/`UN` 同源，再改 90°） | 20 min | 没录到段文件时退心跳档 |
-| 4 | 相位轮：段文件相对相位档（`UA` / `UN` 同源，再移 90°） | 20 min | 定性档只在没取到段时退用 |
+| 4 | 测频轮（判"如实报不可测"） | 5 min | 现状就该不出数 |
-| 5 | 测频轮 A 档 | 5 min | 判"如实报不可测" |
+| 5 | 削顶轮：50 Hz 对照 + 直流档 + 2 Hz 档 + 复位复核 | 30 min | **单独日志**，§8.7 |
-| 6 | 削顶轮：50 Hz 档 + 改法 A + 改法 B + 复位复观（每档各触发一段） | 30 min | **单独一份日志**，判读规则见 §8.7 |
+| 6 | 谐波轮：段文件 `fft` + UI 旁证 | 25 min | §8.5 谐波卡 |
-| 7 | 同一份接线下把 104 交叉读数复跑一遍 | 15 min | `test/host/iec104_master.py` |
+| 7 | 段文件取回 + 脚本归档（FTP + `dump`/`fft`/`shape`/`plot`） | 15 min | 取完立刻改名，100 号轮转 |
-| 8 | 取段与脚本产物归档（FTP `get` + `dump` / `fft` / `shape` / `plot`） | 15 min | 每段取完立刻改名，100 号轮转会覆盖 |
+| — | 改固件的档：测频门限降到 `0.5f` / 相位串口行抬十倍读数分辨率 | +40 min | **这两档要改代码、重烧固件，动手前一定先问过用户**；各含重编 + 烧录 + 还原 |
-| — | （需用户点头）测频轮 B 档 / 相位轮抬倍数档 | +40 min | 各含一次重编、烧录与还原；段文件落地后相位轮这条基本不必走 |
 
-合计约 **135 min**（不含"需用户点头"那两档）。取段与跑脚本集中在末尾第 8 行统一做，中间各条只负责"触发 + 让
+合计约 **135 min**（= 上表各行相加；不含"需用户点头"两档）。各步含换线/改设定/抄表的间隙，前后一步可留点重叠，实际往往用不满。段文件取回与脚本跑集中在第 7 步统一做，中间各步只"触发 + `seg=` +1"，避免反复插拔网线。
-`seg=` +1"，免得一次 session 里反复插拔网线。
 
-### 8.7 `[ERR]` 的判读规则（削顶轮单独跑、单独归档）
+### 8.7 `[ERR]` 判读与 `/serial-boot-test` forbidden 冲突说明（削顶轮单独一份日志）
 
-- 削顶轮会**故意造出** `[ERR] rail: edge=… sticky=… (code-domain, 20-run+release)`，而 `/serial-boot-test` 的 forbidden 标记含
+- 削顶轮**故意造** `[ERR] rail: edge=… sticky=… (code-domain, 20-run+release)`，而 `/serial-boot-test` forbidden 含 `[ERR]`（AGENTS.md「构建与验证」）→ **别拿 `/serial-boot-test` 标记校验当结论**：改人工判读，归档写清"预期 [ERR]：贴轨锁存负向用例"（`docs/任务规划/数据可信.md` §8 风险表同一条）。
-  `[ERR]`（AGENTS.md「构建与验证」）→ **这一轮不要把 `/serial-boot-test` 的标记校验当结论**：改人工判读，并在归档文件名与
+- 除这一条 `[ERR] rail:`，**任何 `[ERR]` 都是失败**；四个 Fault 崩溃日志也以 `[ERR]` 开头 → 出现 Fault 即本次不通过（`docs/子系统设计/看门狗设计说明.md` §10），别接着注入。
-  抬头里写明「预期 [ERR]：贴轨锁存负向用例」；§8.6 已把它排在最后单独一轮（`docs/任务规划/数据可信.md` §8 风险表「削顶负向用例被当成固件 bug」行同一条）。
+- 每次开机 `rail:` 沿只打一条、`SYSLOG` 只记一次（设计不是漏报）；想看第二条沿就复位一次。
-- 除这一条 `[ERR] rail:` 之外，**任何 `[ERR]` 都是不通过**；四个 Fault 的崩溃日志也以 `[ERR]` 开头 →
-  出现 Fault 立即停线取现场（`docs/子系统设计/看门狗设计说明.md` §10），别再继续注。
-- 每次开机 `rail:` 边沿只打一条、`SYSLOG` 也只留痕一次（"adc code rail fault" 进 `selftest.log`）——这是设计不是漏报；
-  要看第二次边沿就复位一次。
 
 ### 8.8 失败分诊（先查这一列，别急着改固件）
 
 | 现象 | 先查 | 依据 |
 |---|---|---|
-| 与万用表差约 2 倍 | 发生器输出端接设成了 50 Ω | §8.2 表第 2 行 |
+| 与万用表差约 2 倍 | 发生器输出端接设成 50 Ω | §8.2 表第 2 行 |
-| 差约 5.3 倍，或数字带 6553.6 / 1241.2 的痕迹 | 拿错刻度，或把 `adc:` 的码值当 mV 读 | §2 两把尺子、§4「码是什么」 |
+| 差约 5.3 倍，或数带 6553.6 / 1241.2 痕迹 | 拿错刻度尺，或把 `adc:` 码值当 mV 读 | §2 两把尺子、§4「码是什么」 |
-| `phasor` 行 `rms` 只有 10 格量级 | 正常（×0.1），不是 bug | §4 尾注、§8.1 |
+| `phasor` 行 `rms` 只 10 格量级 | 正常（×0.1），不是 bug | §4 尾注、§8.1 |
-| 非整 50 Hz 时 `meas:` 来回跳 | 预期：瞬时透传、200 ms 不是平均窗 → 改读 `freq(hb)` | `docs/任务规划/数据可信.md` §8 风险表 |
+| 非整 50 Hz 时 `meas:` 拍频式跳动 | 预期：瞬时透传、200 ms 不是平均窗 → 改读 `freq(hb)` | `docs/任务规划/数据可信.md` §8 风险表 |
-| 104 读数不动 | 每点 0.5 V / 0.005 A 变化死区（生效值 `App/algo/run_par.c`） | §8.5 的幅值卡坑 ② |
+| 50 Hz 正弦注 `UB` 但 `rail` 不锁存 | **预期**（连续贴底不足 20 拍）→ 改用直流档或 2 Hz 档重注 | §8.5 削顶卡 |
-| 50 Hz 正弦注 `UB` 但 `rail` 不锁存 | **预期**（连续贴底不足 20 拍）→ 改法 A / B | §8.5 的削顶卡 |
+| 改 DC 也不锁存 | 释放沿前提没满足：开机后该路从未出现中带样本 → 先建基线再注 | `App/algo/adc_health.c`、§8.2 前置门末条 |
-| 改 DC 也不锁存 | 释放沿前提没满足：开机后该通道没出现过中带样本 → 先建基线再注入 | `App/algo/adc_health.c`、§8.2 前置门末条 |
+| 撤掉注入后 `rail` 仍非 0 | 锁存语义（sticky），只 `adc_health_rail_init()` / 复位才清 → 复位后仍不清**才是** bug | §8.5 削顶卡直流削顶档 |
-| 撤掉注入后 `rail` 仍非 0 | 锁存语义（sticky），只 `adc_health_rail_init()` / 复位清 → 复位后仍不清**才是** bug | §8.5 的削顶卡改法 A |
+| 读数带与幅值无关的偏移或漂移 | 共地 / 地环 | §8.2 共地行 |
-| 读数带与幅度无关的偏置或漂移 | 共地 / 地环 | §8.2 末行 |
+| `meas: seq` 不涨 | 发布闸门停 → 先查采集链，别判波形 | §8.2 前置门 |
-| `meas: seq` 不涨 | 发布闸门停 → 先查采集链，别判交流 | §8.2 前置门 |
+| `health:` 或 `sampling fault:` 亮 | 与注入波形无关：`adc_health` 的位只吃序号差、错误计数增量与 tick 差（`App/algo/adc_health.c:91-189`）→ 查节拍 / 丢帧，别查发生器 | §8.2 前置门 |
-| `health:` 或 `sampling fault:` 亮 | 与注入的波形无关：`adc_health` 的位只吃序号差、错误计数增量与 tick 差（`App/algo/adc_health.c:91-189`）→ 查节拍 / 丢帧，别查发生器 | §8.2 前置门 |
+| 9 路全 0 | 读作"没数据"，不是"输入零" | §4 尾注 |
-| 9 路全 0 | 读作"没数据"，不是"输入为零" | §4 尾注 |
+| `wave_read.py` 报错退出 / 拒画 | **这是正确行为**：CRC 不符或零长度必须拒收而不是画出半张图 → 取回一段、查是不是传输半品；仍拒 `dump` 看双 CRC16 哪个不符 | `test/host/wave_read.py` 文件头 |
-| `wave_read.py` 报错退出 / 拒绝出图 | **这是正确行为**：CRC 不符或零长度它必须拒收而不是画出东西 → 重取一份、核对是不是搬到一半的半成品；仍拒收就 `dump` 看两处 CRC16 哪个不符 | `test/host/wave_read.py` 文件头 |
+| `shape --strict` 说实测与段头不等 | 先分量具：段头 `CLIPPED` bit 是**来源派生、从不实测**；DC 偏移 / 极小注入 / 非驱动通道该换 `--clip-superset` | §8.5 削顶卡段文件档 |
-| `shape --strict` 说实测与段头不等 | 先分清尺子：段头 `CLIPPED` 位来自**通道来源、从不实测**；DC 偏置 / 极小注入 / 未驱动通道应改用 `--clip-superset` | §8.5 的削顶卡段文件档 |
+| 触发后 `seg=` 不涨或 `drop`/`ovf` 涨 | 落盘路径在 defaultTask、卷空闲后才搬段，先等几秒；仍不涨查 `wave:` 行三个计数与 `/wave` 目录可写（`[ftp]` 写权限） | `App/task/adc_task.c:782` |
-| 触发后 `seg=` 不涨或 `drop` / `ovf` 涨 | 落盘道在 defaultTask 卷空闲后才搬段，先等几秒；仍不涨查 `wave:` 行三计数与 `/wave` 目录可写（`[ftp]` 写权限） | `App/task/adc_task.c:782` |
 
-### 8.9 收尾判据（走过临时改动的一条都不许留）
+### 8.9 还原与收尾清单（临时改动一律还原）
 
-| 临时改动 | 收尾判据 |
+| 临时改动 | 还原判据 |
 |---|---|
-| 测频轮 B 档：`FREQ_AMP_MIN` 50.0f → 0.5f（`App/algo/freq.h:62`） | 还原 + `/keil-build` 0 错误 0 警告 + **`git diff` 里 `App/algo/freq.h` 必须为空** + 在 `docs/任务规划/数据可信.md` §7 #8 那行留一句"本轮台架已还原" |
+| 测频轮改码档：`FREQ_AMP_MIN` 50.0f → 0.5f（`App/algo/freq.h:62`） | 还原 + `/keil-build` 0 错 0 警 + `git diff` 的 `App/algo/freq.h` 为空 + `docs/任务规划/数据可信.md` §7 #8 留"本轮台架已还原" |
-| 相位轮改倍数：`log_phasors()` 的 `* 10.0f` → `* 1000.0f`（`App/task/adc_task.c:209`） | 同上，`git diff` 里 `App/task/adc_task.c` 必须为空 |
+| 相位轮抬倍数：`log_phasors()` `* 10.0f` → `* 1000.0f`（`App/task/adc_task.c:209`） | 同上，`git diff` 的 `App/task/adc_task.c` 为空 |
-| 为 bench 定时自抓开过编译门（`DTU_BENCH` + `WAVE_BENCH_AUTOCAP` 非 0，`App/task/adc_task.c:153`） | 还原成默认 0 + `/keil-build` 0 错误 0 警告 + `git diff` 里 `App/task/adc_task.c` 必须为空（产品镜像里这段必须零存在） |
+| bench 定时自抓门（`DTU_BENCH` + `WAVE_BENCH_AUTOCAP` 非 0，`App/task/adc_task.c:153`） | 还原默认 0 + `/keil-build` 0 错 0 警 + `git diff` 的 `App/task/adc_task.c` 为空 |
-| 只动接线与发生器、没动代码 | `git status` 除归档目录外干净 |
+| 只动接线与发生器 | `git status` 除归档目录外干净 |
-| 全程 | `test/board/test_config.h` 四个套件宏保持全注释（产品构建）；烧录仍须 `-Rst -Run` + 回读校验 |
+| 全程 | `test/board/test_config.h` 四套件宏全注释（产品构建）；烧录 `-Rst -Run` + 回读校验 |
 
-### 8.10 归档与回写（跑完必做，缺一算没收尾）
+### 8.10 归档与回写（跑完必做，缺一条不算收尾）
 
-1. **证据归档** → `docs/测试说明/测试数据/boot_log_data/`，沿用现有命名惯例（日期_主题_类型.txt）：
+1. **证据归档** → `docs/测试说明/测试数据/boot_log_data/`（日期_主题_类型.txt）：`20261104_ac_amp_meas_log.txt`、`20261104_ac_clip_rail_log.txt`；UI 照片同目录。**录波档多用例多带两份**：段原件（`20261104_ac_phase_wave<nn>.BIN`）+ 脚本输出（`fft`/`shape`/`dump` 文本 + `plot` 图）——录波档证据本体是**那段原始码值**，日志只是旁证；段原件被覆盖就取不回来，先改名再触发下一段。
-   `20261104_ac_amp_meas_log.txt`、`20261104_ac_clip_rail_log.txt`、`20261104_ac_iec104_log.txt`；UI 目检照片同目录
+2. **实测结论回写** → `docs/硬件平台/ADC通道映射说明.md` §8.1 之后**新开一节**（`docs/任务规划/数据可信.md` §5 DoD 这么分）。本文只留"怎么跑"，**不抄实测数**。
-   （该目录若不收图，就在抬头里写清照片存放位置）。**走段文件定量档的用例另加两样**：取回的段原件（原始字节，
+3. **本文回写** → 只在 §8.1 表下加一句指针（"YYYY-MM-DD 已跑通，实测见 …"）；**不建第二份结论表**（`docs/文档规范.md` 同一事实只详述一处）。
-   `20261104_ac_phase_wave<nn>.BIN`）与脚本输出（`fft` / `shape` / `dump` 三份文本 + `plot` 的图）——定量档的证据本体是
+4. **判据一致性** → 本文 §8 期望值算术、接法与证据分档已写进 `docs/任务规划/数据可信.md` §4.6.2（2026-10-29）。再分叉按开头指引块裁定（语义从那节、算术与步骤从本文），**不在本文建第二份判据表**。
-   **那一段原始码值**，日志只是旁证；段原件一旦覆盖就再也拿不回来，先改名再触发下一段。
+5. **销项** → `docs/任务规划/数据可信.md` §2.7 与 §6 卡片表按"完成即删"，属 Ask first，须用户指示。
-2. **实测结论回写** → `docs/硬件平台/ADC通道映射说明.md`，在 §8.1（直流轮次）之后**新开一节**——
-   任务卡 `docs/任务规划/数据可信.md` §5 的 DoD 就是这么分的。本文只留"怎么跑"，**不抄实测数**。
-3. **本文回写** → 只在 §8.1 那张表下加一行指针级别的句子（"YYYY-MM-DD 已按本节跑通，实测见 …"）；
-   不在本文建第二份结论表，否则两份必然漂移（`docs/文档规范.md` 同一事实只在一处详述）。
-4. **判据文档的一致性维护** → 本文 §8 的期望值算术、接法与出口分档已写进
-   `docs/任务规划/数据可信.md` §4.6.2（2026-10-29：波形轮的逐波形系数、削顶轮的 DC / 2 Hz 接法与 50 Hz 档的
-   "不锁存属预期"、相位轮与谐波轮的"定量档走段文件、定性档走 `phasor(hb)`"）。今后两边若再分叉，按开头引导块的
-   两类裁定处理（语义从那节、算术与步骤从本文），**别在本文另立第二份判据表**。
-5. **销项** → `docs/任务规划/数据可信.md` §2.7 与 §6 卡片表里这一条按登记簿「完成即销项」处理，属 Ask first，
-   须用户明确指示后再做。
 
-### 8.11 这一轮证不到（别让读数长得像证据）
+### 8.11 这一轮证不到什么（别把读数当证据）
 
-`docs/任务规划/数据可信.md` §4.6.5 那张五行表整条适用（端子二次值 / 精度等级 / 跨转换器相位与功率与对称分量 /
+判据属主 `docs/任务规划/数据可信.md` §4.6.5（端子二次值 / 精度等级 / 跨转换器相位与功率与对称分量 / THD 与谐波根均方 / 温升 EMC 长时间漂移）。本节按录波能力落地改过三条（2026-10-29 并入录波数据面后）：**录波段文件已可用** → 相位 / 谐波走录波档，结论**形状级**非标量级；**板端对表还没跑过**（`docs/子系统设计/故障录波设计说明.md` §10），本轮是第一份实测；**段与发生器无绝对相位锁定**（触发点在段内点 159）→ 只能比同段相对相位；**320 点 = 320 ms**，不等于长时间稳定性。示波器只作旁证。
-THD 与谐波方和根 / 温升 EMC 长时间漂移）只适用，本节按出口已落地改三条现状（2026-10-29 录波数据面并入主干之后）：
-**样本出口已成立**（`/wave/WAVE<NN>.BIN` + `test/host/wave_read.py`）→ 相位轮 / 谐波轮走定量档时结论是**形状级**，不再只是标量级；
-但**板级那一轮对表本身还没跑过**（判据见 `docs/子系统设计/故障录波设计说明.md` §10），本轮跑出来的就是第一批实测；
-段与发生器**没有绝对相位锁定**（触发瞬间只钉在段内点 159）→ 能核的是同段内两路的**相对**相位与极性，
-全局相角基准仍证不到；一次触发只有 320 点 = 320 ms，**不等于长时间稳定性**。示波器仍旧只作旁证、不进判据。
 
-再补一条「别把台架做成功能性重复」的边界：**算法本体的精度已经在纯数字域钉住了**——`test/host/phasor/phasor_test.c`
+边界：**算法精度已在纯数字域钉住**——`test/host/phasor/phasor_test.c` TC-PHASOR-003/004/006、`test/host/freq/freq_test.c` J1，全把已知正弦直接灌 `sample_ring`、绕开 `adc_cal` 折算（幅值是工程量口径非引脚 µV）。§8 只证"信号到 `sample_ring` 之前"：发生器刻度与端接、前端串阻与滤波电容幅频、两转换器同刻性、码到 mV 折算、各处打印的量化损失。过**不等于**"算法精度已实测验证"。
-的 TC-PHASOR-003 与 TC-PHASOR-004（基波 = 峰值 / √2 容差 1 %、注入相角容差 0.5°）和 TC-PHASOR-006（2 / 3 / 5 次
-谐波 1 %），以及 `test/host/freq/freq_test.c` 的扫频判据 J1（45~55 Hz 内 ≤0.02 Hz），都是把已知正弦**直接喂进
-`sample_ring`**，绕过了 `adc_cal` 的折算（那里的幅值是工程量口径，不是引脚 µV）。所以 §8 这一轮真正要证的只有
-「信号走到 `sample_ring` 之前」那一段：发生器刻度与输出端接、前端串阻与滤波电容的幅频、两片转换器的同刻性、
-码到 mV 的折算、出口的量化。这一轮过了**不等于**「算法精度已实测验证」，结论里别那么写。

docs/测试说明/专项验证/存储维护与容量恢复.md

@@ -17,9 +17,25 @@
 ## 2. 为什么"容量"需要单独恢复（根因）
 
 - 健康满容量 = **96064 pages（187 MB）**（`No valid map found, creating fresh` 分支下的满值）。
+  > ⚠ 2026-11-04 台架待核（问题 #79）：三次捕获都打 `capacity: 97504 pages = 190 MB`
+  > （比本基线大 1440 页），且**故障前后数值一致**（不是被扣损的结果）。两种可能未定：
+  > ① 台架那块板的 `bb_last/bb_current` 与"全新初始化"不同口径；② 本文基线陈旧。
+  > 判定方法：台架跑一次动作 B（全片擦除 + 断电重启，走 `dhara_map_clear` 全新分支）
+  > 后读同一行的 `capacity:`——若仍是 97504，则本文基线应改。（另：本行是**故障本身
+  > 无关**的证据，见 架构说明 §10.4.1：容量正常 ⇒ 不是块池耗尽。）
+  > **2026-11-04 更新（问题 #79）**：当日跑的是动作 A（非 B），BBT 重建 0 坏块 +
+  > format 后容量仍报 97504=190 MB；且 129 个误标坏块存在期间读数也是 97504
+  > （误标只毁 journal 写头，不改本行读数）。基线改判**仍需动作 B**，未跑，本行保留。
 - dhara 的坏块计数 `bb_current` / `bb_last` **持久化写在 journal checkpoint 头里**
   （`Lib/dhara/journal.c` 的 `hdr_set_bb_current/hdr_set_bb_last`，随 checkpoint 一起落盘）。
   容量按 `good_blocks = num_blocks − max(bb_last, bb_current) − 1` 递减。
+- **⚠ 还有一处独立于 dhara 计数的坏块持久化**：板级 BBT（`gd5f2gq5ue.c` 的
+  `s_bbt[]` 轮转池，`mark_block_bad` 每次**立即落盘、不可撤销**）。2026-11-04 的
+  台架故障根因即在此：传输层失败被旧 `dhara_nand_erase/prog()` 误当坏块证据标坏，
+  129 个好块固化进 BBT，journal 写头爬进误标段 → `prepare_head()` 连续 8 次
+  `is_bad` → `TOO_BAD` → 整卷禁用（机理见 架构说明 §10.4.2）。这种"误标卷"的**处置
+  就是动作 A**（重扫出厂坏块会覆盖误标并持久化）；A 后若 `BBT after merge` 再报
+  非零增量，看的是新增标坏日志 `Erase/Program ... (not a bad block)` 有没有出现。
 - `dhara_journal_clear()`（即 `nand_ftl_format()` 走的路）只做 `bb_last = bb_current`，**不归零**——
   所以动作 A 清不掉被扣掉的容量，断电重扫也一样（计数从 checkpoint 读回）。
 - 只有让下次启动 `dhara_map_resume` **失败**、走 `dhara_map_clear` 的**全新初始化**分支
@@ -27,6 +43,23 @@
 - 记账的触发：一次 `program verify` 失败（日志 `[ERR][NAND_FTL] program verify: data mismatch, blk N`）
   就让 dhara 多记一个坏块；破坏性套件（写完擦、坏块注入、格式化）会累积这个数字。
 
+### 2.1 动作 A 在 2026-11-04 之前是**静默失效**的（问题 #79，已修）
+
+`nand_ftl_format()` 旧实现的第一步是 `if (ftl_flush_cache() != BSP_OK) return GD5F_ERROR;`，
+而 `ftl_flush_cache()` 失败时刻意**不清** `s_cache_dirty`。于是只要脏页落在"写不动的那个
+LPN"上，格式化就在第一道闸门返回，`dhara_map_clear()` **从未执行**——动作 A 名义上跑了，
+实际上一个映射都没清，紧随其后的 `f_mkfs` 仍在旧映射上工作、必然失败。
+
+- **现场特征**：`Cache flush FAIL: LPN=<固定值> dhara=TOO_BAD` 连打十余条 →
+  `reformatting...` → `volume repair failed (fr=1)` → `storage disabled`，且**每次启动必现**。
+  看到这条链就别再连续重试动作 A，先确认脏缓存是否正卡在坏页上。
+- **修复后判据**：跑动作 A/B 时若出现新增日志
+  `format: dirty cache at LPN=<n> undiscardable, dropping it (map is being destroyed anyway)`
+  → 说明确实撞上了"脏页卡坏页"，但**格式化已经继续执行**（这是预期行为，不是新故障）。
+  其后应能看到 `NAND FTL formatted, capacity: ...`。
+- 语义边界：丢弃脏缓存的权限**只在 format 内**。`disk_read`/`disk_write` 的 flush 失败
+  必须继续向上报 `RES_ERROR`——那是"这次写没落地"的真相。
+
 ## 3. 操作步骤（以容量恢复为例）
 
 1. `test/board/test_config.h`：取消注释 `TEST_SUITE_STORAGE`；

docs/测试说明/专项验证/链路延迟测试说明.md

@@ -39,7 +39,7 @@ MCU 侧真实处理只占 6.7ms，任务拾取/调度约 2.3ms（2026-09-22 重
 |---|---|---|
 | 远端显示 RemoDispBus | 7003 | `ui_net_sink`（真实 uiTask 生产路径） |
 | FTP（lftpd） | 21 | 控制 + PASV 数据通道（数据通道复用监听 Socket，CH395F 单连接模型） |
-| 对时 | 8888 | `time_sync` |
+| 对时（本文实测时在场；2026-11-04 随 #78 退役，对时改 SNTP 出向） | 8888 | `time_sync`（历史） |
 | 时延测试链路（M2） | 8080 | Phase 13 测试协议（服务器驱动） |
 
 客户端 = DTU-RemtoeLCD（`remo_disp_server.py`，与本工程同级的独立项目，目录名含历史拼写 `Remtoe`）。

docs/测试说明/单元测试/主机单测覆盖率口径.md

@@ -736,7 +736,7 @@ uint16_t ch395f_link_change_count(void);
 | 类别 | 体量 | 为什么不做 | 那它靠什么把关 |
 |---|---|---|---|
 | 芯片驱动（寄存器/时序） | `ch395f.c`(801)、`gd5f2gq5ue.c`(689)、`sd2506.c`(264)、`tpafe5160.c`(157)、`rs485.c`(79) = **1,990 行** | 把 HAL 与寄存器假到底 ≈ **重写一遍驱动**，测的是自己的桩而不是硬件行为（SPI 分频必须 8、DMA 流、I2C 时序在桩里怎么编都"对"） | 板级套件（`board-test-suite` skill）+ `/serial-boot-test` 真机日志 + 4 个 Fault 现场；陷阱逐条登记在 `docs/问题记录/CH395F_Trap_Records.md`、`docs/问题记录/GD5F2GQ5UE_Trap_Records.md`、`docs/问题记录/SD2506_Trap_Records.md` |
-| UI 侧 | 17 个 `.c` = **1,942 行** | 与 PC 模拟器是**同一份源码**，行为回归已由 `ui-golden`（菜单 8 状态 + 内容页 66 张像素黄金参考）覆盖；再写单测是第三份重复投资 | `ui-verify` skill 五步 + `docs/UI设计/UI_自动化测试流程.md` |
+| UI 侧 | 18 个 `.c` = **2,373 行**（2026-11-04 随 `ui_page_sntp.c` 从 17 个/1,942 行递增） | 与 PC 模拟器是**同一份源码**，行为回归已由 `ui-golden`（菜单 8 状态 + 内容页 74 张像素黄金参考）覆盖；再写单测是第三份重复投资 | `ui-verify` skill 五步 + `docs/UI设计/UI_自动化测试流程.md` |
 | 任务编排 | `default_task.c`(281)、`adc_task.c`(171)、`net_task.c`(123)、`protect_task.c`(90)、`ui_task.c`(71)、`rs485_task.c`(11) = **747 行** | 每个只有 4~5 个函数，主体是"按顺序调别人"；真逻辑在被调模块里（那些已测或在 P1/P2）。给编排层写单测最容易写成"断言我调了几次"的自证 | 真机启动锚点计数 + IWDG `required_mask`（`/serial-boot-test`）+ `docs/架构设计/项目启动顺序管理.md` |
 | 内核前装配 | `app_main.c`(135) | 被测对象本身就是"`osKernelStart` 之前不许调内核 API"的时序，主机侧无法忠实复现（PC 上没有那个约束） | 同上 + `cubemx-survival` 审计 |
 

docs/测试说明/单元测试/时间同步单元测试说明.md

@@ -1,93 +1,75 @@
 # 时间同步单元测试说明（主机侧）
 
-> **模块**：Time Sync（`App/sync/time_sync.c` + `App/sync/time_sync.h`）
+> **模块**：Time Sync（`App/sync/time_sync.c` + `App/sync/time_sync.h`）——timeSyncTask 载体
-> **测试类型**：**主机侧纯逻辑单元测试**——在 PC 上离线验证 TCP 时间同步协议
+> **测试类型**：**主机侧纯逻辑单元测试**——在 PC 上离线验证任务编排逻辑（分片喂狗延时 /
-> 状态机（分片喂狗延时 / 监听建立与退避 / 时间包重组 / 任务主循环），零硬件、零烧录、
+> 就绪屏障等待 / SNTP 节拍驱动 / 网络代次交接），零硬件、零烧录、毫秒级、不占 MCU 的 RAM。
-> 毫秒级、不占 MCU 的 RAM。
+> **状态**：✅ v2.0（:8888 退役后，33 断言点，已挂 pre-commit 钩子）
-> **状态**：✅ 已落地（80 断言点，`/W4` 0 告警，已挂 pre-commit 钩子）
+> **日期**：2026-11-04（v2.0；v1.0 2026-10-10 的 TCP :8888 协议状态机套随 #78 退役重写）
-> **日期**：2026-10-10
 > **关联文档**：
 > [`../../../AGENTS.md`](../../../AGENTS.md)（平台约束与看门狗铁律）、
 > [`测试开发标准流程.md`](../流程与规范/测试开发标准流程.md)（测试分层与门禁总览）、
 > [`看门狗单元测试说明.md`](看门狗单元测试说明.md)（喂狗位图判定状态机）、
-> [`卷锁单元测试说明.md`](卷锁单元测试说明.md)（同批落地的姊妹篇）、
+> [`../../子系统设计/系统墙钟时间维护说明.md`](../../子系统设计/系统墙钟时间维护说明.md)（§15 退役历史 / §16 SNTP 现行设计）、
-> [`../../子系统设计/看门狗设计说明.md`](../../子系统设计/看门狗设计说明.md)（`required_mask` / 抽样窗 / 长耗时白名单）、
+> [`../../子系统设计/看门狗设计说明.md`](../../子系统设计/看门狗设计说明.md)（`required_mask` / 抽样窗 / 长耗时白名单）
-> [`../../任务规划/README.md`](../../任务规划/README.md)（登记条目「探针窗口心跳缺口」）、
-> 历史审计（netTask 头阻塞；属主文档已于 2026-10-15 删除，现状见 [`../../网络/Net层阻塞模型架构设计.md`](../../网络/Net层阻塞模型架构设计.md)）
 
 ---
 
 ## 1. 概述
 
-### 1.1 为什么单独做主机侧单测
+### 1.1 为什么退役后仍要单独做主机侧单测
 
-本模块是**两件已知风险的当事方**，而两件风险的成因**全部是本模块的纯逻辑**：
+:8888 监听、`TIME` 包重组状态机、监听退避重试随 2026-11-04 退役删除（旧套 80 断言点的
+主体），但任务本身**不能删**——它是 timeSyncTask 的载体，SNTP 校时客户端
+（`App/sync/time_sntp.c`，设计见墙钟说明 §16）挂在它的 200 ms 节拍下运行。留存的纯逻辑
+仍然全是「误复位」当事方，且真机上只能"跑起来看复位不复位"间接观察：
 
-1. **探针窗口心跳缺口（看门狗余量）**：登记簿条目记录"time_sync 监听重建期间心跳缺口 800ms~1s，
+1. **心跳节奏**：`time_sync_delay_fed()` 的分片喂心跳（片长 ≤ 50 ms）与主循环每轮首行喂位；
-   距 IWDG 最坏超时 1701ms 余量仅约 0.7s"。该缺口的每一段都由本模块产生——
+   就绪屏障等待（100 ms 分片）未就绪时每轮也要补心跳——这是 2026-10-02 台架根因的回归防线。
-   `time_sync_delay_fed()` 的**分片喂狗节奏**、监听重试退避（500 / 2000ms）、
+2. **SNTP 宿主的节拍契约**：每轮恰好调一次 `time_sntp_run(当前代次)`；网络代次变化必须
-   `accept` 轮询退避（200ms）、收尾延时（50ms），以及"就绪屏障等待态也要喂心跳"。
+   **原样、当轮**传给客户端（代次交接是 `time_sntp_run` 内部弃旧 Socket 重建的唯一触发）。
-   真机上只能靠"跑起来看复位不复位"间接观察；主机侧可**逐片断言**心跳次数与片长。
+3. **网络未就绪绝不出网**：屏障通过之前不得读代次、不得驱动 SNTP。
-2. **头阻塞**：旧实现用单次 30s 阻塞 `net_recv` 等时间包，独占 `netTask`，
-   使其余任务的网络操作整体停摆。现改为"分片有界读 + 总预算"，本单测钉死其**分片语义**
-   （单次等待片长恒 ≤ 50ms、总预算 30s 不因分片而改变）。
 
-次要理由：**时间包重组状态机**（累积到 8 字节才解析、TCP 分段送达、EOF / 真错误 /
+旧套钉死的「头阻塞回归防线」（单次等待片长恒 ≤ 50 ms、总预算不因分片改变）语义由
-本片超时三种返回码分支、tick 回绕）是纯逻辑，板端套件无法精确构造
+SNTP 模块自己的主机套 `test/host/sntp/` 与本文的延时分片用例共同接力。
-"分段 + 预算耗尽 + tick 回绕"这类组合。
 
 ### 1.2 被测对象与桩
 
-测试单元**原样 `#include` 生产源文件**，平台依赖由 7 个桩头替身 + 1 个真实头组成：
+测试单元**原样 `#include` 生产源文件**，平台依赖由 5 个桩头替身 + 3 个真实头组成：
 
 ```
 test/host/time_sync/time_sync_test.c
     ├── #include "FreeRTOS.h" / "task.h" / "cmsis_os2.h"   ← 桩
-    ├── #include "net_socket.h" / "sys_clock.h" /
+    ├── #include "net_socket.h" / "sys_events.h"           ← 桩
-    │           "sys_events.h" / "dbg_log.h"                ← 桩
     ├── #include "task_watchdog.h"                          ← 真实头（App/util/）
+    ├── #include "time_sntp.h"                              ← 真实头（App/sync/，签名对表）
     └── #include "time_sync.c"                              ← 生产源文件（App/sync/），原样纳入
 ```
 
 | 头文件 | 来源 | 桩提供的能力 |
 |---|---|---|
 | `FreeRTOS.h` | 桩 | `TickType_t` = `uint32_t`；`configTICK_RATE_HZ` = 1000（故 `pdMS_TO_TICKS(ms) == ms`） |
-| `task.h` | 桩 | `vTaskDelay`（记录每片时长）、`xTaskGetTickCount`（返回可控 tick） |
+| `task.h` | 桩 | `vTaskDelay`（记录每片时长）；tick 时钟桩保留（生产侧现不再读 tick，留给未来用例） |
-| `cmsis_os2.h` | 桩 | `osEventFlagsWait`（按脚本返回就绪 / 超时） |
+| `cmsis_os2.h` | 桩 | `osEventFlagsWait`（按脚本返回就绪 / 超时，可第 N 次 `longjmp` 跳出） |
 | `sys_events.h` | 桩 | `sys_evtHandle` + `SYS_EVT_NET_READY` 等位定义 |
-| `sys_clock.h` | 桩 | `sys_clock_set_unix`（记录 epoch 与调用次数） |
+| `net_socket.h` | 桩 | **只剩 `net_get_generation`**（脚本化代次序列）——故意裁剪：生产代码若再引入监听类 API 会在本套编译/链接期即失败（绊线），旧 :8888 形态不会无声复活 |
-| `dbg_log.h` | 桩 | `DBG_ERROR` / `DBG_INFO` 计数（`g_tstest_err_count` / `g_tstest_info_count`） |
-| `net_socket.h` | 桩 | `socket` / `bind` / `listen` / `accept` / `close` / `recv_to` / `get_generation` / `htons` **全部脚本化** |
 | `task_watchdog.h` | **真实**（`App/util/`） | 提供 `task_wd_id_t` / `TASK_WD_TIMESYNC`；`task_wd_beat` / `task_wd_bind` 由测试文件实现（记录心跳节奏与位号） |
+| `time_sntp.h` | **真实**（`App/sync/`） | 契约头（仅 timeSyncTask 上下文、单次 ≤50 ms 收片、调用方负责片间喂心跳）；`time_sntp_run` 由测试文件实现（记录每轮收到的代次 + 可第 N 次 `longjmp`） |
 | `time_sync.h` | **真实**（`App/sync/`） | 只 `#include <stdint.h>`，无平台依赖 |
 
 `include_dirs` 顺序为 **`stub` → `App/util` → `App/sync` → 本目录**：桩目录必须排在
 前面，否则会被真实头抢先命中。
 
-> ⚠ `dbg_log.h` 桩**不得**定义 `DBG_LINE_BUF_MAX` / `DBG_TAG`——生产源（`time_sync.c:28-29`）
+### 1.3 关键契约（生产代码侧）
-> 已先定义它们，桩再定义会触发 C4005 宏重定义告警。
 
-### 1.3 关键约定：分片喂心跳与报文重组契约
+- **心跳必须落在同一个 100 ms 抽样窗内**：看门狗抽样窗 `WD_POLL_PERIOD_MS = 100 ms`
-
+  （`App/util/task_watchdog.c`）。`time_sync_delay_fed()` 把任意长等待切成
-**（一）心跳必须落在同一个 100ms 抽样窗内。**
+  ≤ `TIME_SYNC_WAIT_SLICE_MS` = **50 ms** 短片，每片前喂一次心跳。
-看门狗抽样窗为 `WD_POLL_PERIOD_MS = 100ms`（`App/util/task_watchdog.c`）。若一次长等待
+- **主循环节拍**：`task_wd_beat` → `time_sntp_run(net_get_generation())` →
-（如 2000ms 退避）期间不喂心跳，或心跳节奏恰好滑过两个连续抽样窗，该任务就会被判"卡死"。
+  `time_sync_delay_fed(TIME_SYNC_TICK_MS=200)`。SNTP 单次调用最多停留一片 50 ms
-故 `time_sync_delay_fed()` 把任意长等待切成 **≤ `TIME_SYNC_WAIT_SLICE_MS` = 50ms** 的短片，
+  （`SNTP_RECV_SLICE_MS`，契约见 `time_sntp.h`），节拍间隙由载体任务喂位覆盖。
-**每片前**喂一次心跳——语义等价于一次长延时，仅把心跳节奏钉在窗内（第 8b 轮台架消抖）。
+- **就绪屏障**：`osEventFlagsWait(sys_evtHandle, SYS_EVT_NET_READY,
-
+  osFlagsWaitAny | osFlagsNoClear, 100)`——就绪位**不得被消费**（`osFlagsNoClear`，
-**（二）`net_recv_to()` 的四态返回。**
+  见 AGENTS「RTOS 与内存」）；`sys_evtHandle == NULL`（模拟器）跳过屏障。
-`time_sync_handle_conn()` 的重组循环依赖该契约：
-
-| 返回 | 含义 | 本模块动作 |
-|---|---|---|
-| `> 0` | 收到 `n` 字节 | 累加；`>= 8` 即收齐并解析，否则继续等余下字节 |
-| `0` | 对端关闭（EOF） | 退出循环，**不解析** |
-| `-1` | 真错误 | 退出循环，**不解析** |
-| `-2` | 本片预算等满、无数据 | 重算剩余预算，**下一片**继续 |
-
-**（三）总预算不因分片而改变。**
-单次 `net_recv_to` 的等待片长 ≤ 50ms，但**跨片累积**仍以 `t0 = xTaskGetTickCount()`
-为基准、总预算 `TIME_SYNC_TOTAL_BUDGET_MS` = 30000ms。tick 回绕由无符号减法天然处理。
 
 ### 1.4 测试环境
 
@@ -114,67 +96,50 @@ test/host/time_sync/time_sync_test.c
 
 | 项 | 说明 |
 |---|---|
-| **触发范围** | `App/sync/time_sync.c` / `time_sync.h`、`App/util/task_watchdog.h`，或 `test/host/time_sync/**`、`test/host/common/unit_test_harness.py` 变动 |
+| **触发范围** | `App/sync/time_sync.c` / `time_sync.h` / `time_sntp.h`、`App/util/task_watchdog.h`，或 `test/host/time_sync/**`、`test/host/common/unit_test_harness.py` 变动 |
 | **门禁层级** | **主机侧纯逻辑单测**（介于静态门禁与板端测试套件之间）：主机侧、秒级、纯逻辑 |
 | **pre-commit 钩子** | `time-sync-unit-test`（本地钩子，`.pre-commit-config.yaml` §7g） |
-| **汇总行** | `=== Time Sync Tests: 80/80 PASSED (failed=0) ===` |
+| **汇总行** | `=== Time Sync Tests: 33/33 PASSED (failed=0) ===` |
-| **与板端测试的关系** | 互补：本单测保证**延时节奏与重组逻辑**符合设计；板端保证**真实 TCP 时序 + IWDG 不误复位**（该心跳缺口的实际余量只能由板端长跑判定） |
+| **与板端测试的关系** | 互补：本单测保证**节拍编排与代次交接**符合设计；板端保证**真实 UDP/SNTP 时序 + IWDG 不误复位** |
 
 ---
 
 ## 2. 测试用例
 
-> 命名 `TC-TS-NNN`（TS = Time Sync）。断言数（80）多于用例数（27），因为每个用例通常
+> **编号停发口径**：本文档不再使用 `TC-TIMESYNC-NNN`（新条目一律语义短语，
-> 包含 2~9 条子断言（后缀 `b` / `c` …）。桩状态在每用例前由 `fakes_reset()` 复位。
+> [`../../编号规范.md`](../../编号规范.md) §0）；旧编号族已随退役整批作废，不复用。
+> 断言用**语义标签**命名。桩状态在每用例前由 `fakes_reset()` 复位。
 
-### 2.1 `time_sync_delay_fed` — 分片喂心跳延时（TC-TIMESYNC-001..006）
+### 2.1 `time_sync_delay_fed` — 分片喂心跳延时（`tc_delay_fed`）
 
-| 用例 | 断言 |
+| 场景 | 断言 |
 |---|---|
-| **TC-TIMESYNC-001** | `delay_fed(0)` 既不睡眠也不喂狗（零开销快路径） |
+| 0 ms | 不睡眠不喂狗（零开销快路径） |
-| **TC-TIMESYNC-002** | 恰好一片（50ms）：1 次 `vTaskDelay(50)` + 1 次心跳 |
+| 恰一片 50 ms | 1 次 `vTaskDelay(50)` + 1 次心跳 |
-| **TC-TIMESYNC-003** | 非整片（120ms）切成 **50 / 50 / 20** 三片，每片喂一次心跳 |
+| 非整片 120 ms | 切成 **50 / 50 / 20** 三片，每片喂一次心跳 |
-| **TC-TIMESYNC-004** | 长延时（2000ms）= **40 片 × 50ms**，每片喂心跳（监听退避路径） |
+| 200 ms 节拍 | **4 片 × 50 ms**，每片喂心跳 |
-| **TC-TIMESYNC-005** | 不足一片（49ms）单片处理，**不**被拆成 0 |
+| 不足一片 49 ms | 单片处理，**不**被拆成 0 |
-| **TC-TIMESYNC-006** | 总预算 30s = **600 片**，片长上限**恒** 50ms |
+| 30 s 长等待 | **600 片**，片长上限**恒** 50 ms |
 
-### 2.2 `time_sync_open_listener` — 监听建立与退避（TC-TIMESYNC-010..015）
+### 2.2 `time_sync_task` — 任务主循环（`tc_task`）
 
-| 用例 | 断言 |
+生产 `time_sync_task` 是 `for(;;)`，桩在脚本耗尽时 `longjmp` 跳出后断言副作用
+（§4.1）。四个场景：
+
+| 场景 | 断言 |
 |---|---|
-| **TC-TIMESYNC-010** | 首次成功：`socket` / `bind` / `listen` 各 1 次；端口经 `net_htons(8888)`；`sin_family` = `NET_AF_INET`；成功路径**无退避延时** |
+| **A · NULL 屏障 + 单轮**（`sys_evtHandle == NULL`，第 2 次读代次时跳出） | 跳过屏障直接进循环；代次读 2 次、`time_sntp_run` 1 次且收到代次 = 1；延时 4 片 × 50 ms；心跳 6 次（轮首 + 4 片 + 跳出前轮首）；全部打 `TASK_WD_TIMESYNC` 位 |
-| **TC-TIMESYNC-011** | `bind` 失败 → **关闭该 socket** + 退避 2000ms（40 片）+ 留痕 `DBG_ERROR`，随后重试成功 |
+| **B · 代次 1→2 当轮交接**（第 3 次读代次时跳出） | `time_sntp_run` 收到代次**逐轮 = 1、2**（代次变化当轮原样送达，客户端内部弃旧 Socket 自重建）；延时 8 片；心跳 11 次 =（1+4）×2+1 |
-| **TC-TIMESYNC-012** | `listen` 失败 → 关闭该 socket + 退避 2000ms，随后重试成功 |
+| **C · 就绪屏障 2 次超时 + 1 次就绪**（跳出屏障后立即读代次失败跳出） | `osEventFlagsWait` 3 次、超时参 **100 ms**、选项 `osFlagsWaitAny \| osFlagsNoClear`（**就绪位不被消费**）；未就绪两轮各补 1 次心跳 + 循环首行 1 次 = 3；`task_wd_bind` 已先登记心跳路由；SNTP 未跑（网络未就绪绝不出网） |
-| **TC-TIMESYNC-013** | `socket` 连续失败 → **5 次后返回 -1**；5 条 `DBG_ERROR`；5 × 500ms 退避（50 片） |
+| **D · 屏障永不就绪**（第 4 次等待时跳出） | 等待 4 次全超时、循环未挂死（2026-10-02 台架根因回归防线）；每次超时后各喂 1 次心跳 + 首行 = 3；**代次 0 读、SNTP 0 跑** |
-| **TC-TIMESYNC-014** | 第 3 次重试成功并返回**新**描述符；恰好尝试 3 次；两次失败退避 500ms × 2 |
-| **TC-TIMESYNC-015** | 心跳总次数 = 每轮重试（5）+ 每片延时（50）；**心跳位恒为 `TASK_WD_TIMESYNC`** |
 
-### 2.3 `time_sync_handle_conn` — 时间包重组状态机（TC-TIMESYNC-020..029）
+### 2.3 SNTP 驻留不拖垮心跳（`tc_sntp_dwell_then_continue`）
 
-| 用例 | 断言 |
+`time_sntp_run` 第 2 次调用时跳出：第 1 轮完整走完（首行心跳 + 4 延时片）后第 2 轮
-|---|---|
+再次进入客户端——**每轮节拍都回到 SNTP**，驻留（应答收片 ≤ 50 ms）之后循环照常续转，
-| **TC-TIMESYNC-020** | 8 字节一次收齐 → **大端**解析 epoch + 更新墙钟 1 次 + 关连接；首次请求 16 字节；单次等待片长 = 50ms；留痕 `wall clock updated` |
+心跳位恒为 `TASK_WD_TIMESYNC`。
-| **TC-TIMESYNC-021** | 分段送达（4+4）→ 累积后解析正确；读了两次；第二次**只请求剩余 12 字节**；每片 50ms |
-| **TC-TIMESYNC-022** | 一次到达 16 字节 → **只取前 8 字节**；一次读够即停 |
-| **TC-TIMESYNC-023** | 前缀非 `"TIME"` → **不更新墙钟**，但仍关闭连接 |
-| **TC-TIMESYNC-024** | 对端关闭（`n == 0`）→ 立即退出、不解析；关闭连接 |
-| **TC-TIMESYNC-025** | 真错误（`n == -1`）→ 立即退出、不解析 |
-| **TC-TIMESYNC-026** | 只收到 4 字节后 EOF → **不足 8 字节不解析**；期间继续等待后续字节 |
-| **TC-TIMESYNC-027** | 30s 预算耗尽 → 不再读（只读 1 次）+ 留痕 `no TIME packet in 30s, drop conn` + 关连接 |
-| **TC-TIMESYNC-028** | 剩余预算不足一片 → **末片按剩余（20ms）切分** |
-| **TC-TIMESYNC-029** | **32 位 tick 回绕** → 预算计算仍正确（无符号减法） |
 
-### 2.4 `time_sync_task` — 任务主循环（TC-TIMESYNC-040..044）
+**当前结果**：33/33 PASSED（`failed=0`）。
-
-| 用例 | 断言 |
-|---|---|
-| **TC-TIMESYNC-040** | `sys_evtHandle == NULL` → **跳过就绪屏障**；`accept` 轮询 3 次（2 次无连接 + 1 次成功）；收到时间包并更新墙钟；延时片数 = 4+4+1（200+200+50ms）且**全部按 50ms 分片**；心跳次数 = 主循环 1 + 退避 8 + 收连接 1 + 收尾 1 + 次轮 1 = **13**；所有心跳均打 `TASK_WD_TIMESYNC` 位 |
-| **TC-TIMESYNC-041** | 就绪屏障轮询 3 次（2 次未就绪 + 1 次就绪）；屏障等待按 **100ms 分片**；等待 `SYS_EVT_NET_READY` 位；`osFlagsWaitAny \| osFlagsNoClear`（**就绪位不被消费**）；未就绪的两次各喂一次心跳；仍先 `task_wd_bind` 登记心跳路由 |
-| **TC-TIMESYNC-042** | 屏障等待 4 次均未就绪 → **循环未挂死**（跳出并继续）；每次未就绪后各喂一次心跳（2026-10-02 台架根因的**回归防线**） |
-| **TC-TIMESYNC-043** | 网络代次变化 → **关闭旧监听**并重监听；留痕 `network re-init, relisten`（另含 2 条 listen 成功）；每次循环只轮询一次 `accept` 即放弃 |
-| **TC-TIMESYNC-044** | 监听建立失败 → 内部重试 5 次后放弃；6 条 `DBG_ERROR`（5 条 `net_socket FAIL` + 1 条 `retry later`）；退避 5×500ms + 2000ms = **90 片**；心跳次数 = 2 + 5 + 50 + 40 = **97**；所有心跳均打 `TIMESYNC` 位 |
-
-**当前结果**：80/80 PASSED（`failed=0`）。
 
 ---
 
@@ -182,11 +147,11 @@ test/host/time_sync/time_sync_test.c
 
 1. **纯延时类**：直接调 `time_sync_delay_fed(ms)`，断言 `s_delay_calls`（片数）与
    `s_delays[]`（每片时长）以及 `s_beat_calls`（心跳数）。
-2. **脚本化网络**：给 `s_gen_seq[]` / `s_evt_seq[]` / `recv_step_t` 数组填序列，
+2. **脚本化节拍**：给 `s_gen_seq[]` / `s_evt_seq[]` 数组填序列，再驱动任务循环。
-   再驱动被测函数。
+3. **跳出任务循环**：桩在脚本化调用计数达到预设值时调 **`longjmp(s_jmp, N)`** 强行跳出
-3. **跳出任务循环**：生产 `time_sync_task` 是 `for(;;)`，无法自然返回。桩在脚本耗尽时
+   （见 §4.1），跳出后正常断言；SNTP 侧用 `s_sntp_run_longjmp_at`，代次侧用
-   调 **`longjmp(s_jmp, N)`** 强行跳出（见 §4.1），跳出后正常断言。
+   `s_gen_longjmp_at`，屏障侧用 `s_evt_longjmp_at`。
-4. `CHECK(cond, "描述")` 断言；在 `main()` 里注册（并同步更新本文档 §2）。
+4. `CHECK(cond, "语义标签")` 断言；在 `main()` 里注册（并同步更新本文档 §2）。
 
 ---
 
@@ -196,36 +161,30 @@ test/host/time_sync/time_sync_test.c
 
 `time_sync_task` 是永不返回的任务循环。本单测在 `main()` 里 `setjmp` 设跳转点，
 桩在"脚本化调用计数达到预设值"时 `longjmp` 回来，然后断言循环期间产生的副作用
-（心跳次数 / 延时片数 / `accept` 次数 / 墙钟更新）。
+（心跳次数 / 延时片数 / SNTP 轮次与代次）。
 
 **取舍**：这比"把循环体抽成可测函数"更贴近真实——**测的就是任务主体本身**，
 不需要为了可测性改动生产代码结构。代价是**必须精确设定跳出点**：跳出点设错
-（多一次或少一次桩调用）会导致断言数不符，`TC-TIMESYNC-040` 的跳出点曾因此修正。
+（多一次或少一次桩调用）会导致断言数不符。
 
 ### 4.2 ⚠ C 的"暂定定义"会静默合并同名静态量
 
-本文件曾出现一个**无任何编译告警**的缺陷：文件作用域下两处 `static int s_bind_calls;`
+历史教训（2026-10-10，v1.0 套）：文件作用域下两处 `static int s_bind_calls;`
 （一处给 `task_wd_bind` 桩、一处给 `net_bind` 桩）被 C 的**暂定定义（tentative
-definition）规则静默合并为同一个对象**——于是 `task_wd_bind` 与 `net_bind` 共用一个计数器，
+definition）规则静默合并为同一个对象**，8 条断言失败且**无任何编译告警**。
-8 条断言失败（72/80）。
 
-**教训**：同一编译单元内**所有** `static` 变量名必须唯一，哪怕是不同桩的"各自的"计数器。
+**教训**：同一编译单元内**所有** `static` 变量名必须唯一。扩展用例时**务必**先
-修复手法是把看门狗侧改名为 `s_wd_bind_calls` / `s_wd_bind_id_bad`，并加注释说明。
+`grep` 目标名字是否已被占用。
-扩展用例时**务必**先 `grep` 目标名字是否已被占用。
 
-### 4.3 桩不模拟真实 TCP 时序
+### 4.3 桩不模拟真实 UDP/SNTP 时序
 
-`net_recv_to` / `net_accept` 桩按脚本返回，**不**模拟真实的分段到达时刻、重传、窗口、
+`net_recvfrom_to` 等由 `test/host/sntp/` 套覆盖报文级行为；本套的 `time_sntp_run` 桩
-CH395F 缓冲区边界。因此本单测能保证的是"**给定返回码序列，状态机反应正确**"，
+只记录"被调了几次、收到什么代次"。因此本套能保证的是"**给定节拍与脚本，任务编排正确**"，
-**不能**保证真实链路上的时序行为——后者属板端与 PC 对端（`test/host/time_sync_server.py`）职责。
+**不能**保证真实链路的 SNTP 时序——后者属 `test/host/sntp/` 与板端职责
+（真机台架对时判据已登记，见墙钟说明 §16 与 #73）。
 
-### 4.4 探针窗口心跳缺口的实际余量仍由板端判定
+### 4.4 心跳缺口的实际余量仍由板端判定
 
-本单测把"每片喂心跳、片长 ≤ 50ms、退避值正确"这些**逻辑前提**钉死，但该缺口关注的
+本单测把"每片喂心跳、片长 ≤ 50 ms、屏障每轮补心跳"这些**逻辑前提**钉死，但端到端
-是**端到端心跳缺口 vs IWDG 超时**——这还取决于真实调度延迟、`netTask` 排队时长、
+心跳缺口 vs IWDG 最坏超时（1701 ms）还取决于真实调度延迟与 `netTask` 排队时长，
-Flash 写耗时等主机侧无法建模的因素。故：
+主机侧无法建模——板端 V5 长跑继续兜底（`../板级测试/实机测试实施指南.md` §7）。
-
-- 本单测 ✅ 保证"逻辑上不会出现超过 50ms 的**无喂狗**窗口"；
-- 板端 ✅ 保证"实测缺口 + 调度抖动仍小于 1701ms"。
-
-两者都过，这个心跳缺口才能闭环。

docs/测试说明/板级测试/实机测试实施指南.md

@@ -243,7 +243,9 @@ $cli = if ($env:DTU_STLINK_CLI) { $env:DTU_STLINK_CLI } else { (Get-Command ST-L
 - **30s 周期重试**，不自驻留死循环；
 - 恢复后各 TCP 服务（FTP 21 等）**据代次号重建监听**，功能正常。
 
-**验证手段**：`test/host/e02_probe.py`（网络探针）+ UI 网口设置页改 IP。
+**验证手段**：FTP 客户端连 :21 + UI 网口设置页改 IP（观察代次号重建监听）。原网络探针
+`e02_probe.py` **已删除**（2026-11-04 随 :8888 退役，正文见 git 历史）——它当时挂的是 :8888
+time_sync 触发形态，退役后该触发场景不再存在。
 
 **2026-10-03 台架结论**：
 - **正常路径 ✅**：V5 长跑（30 min，FTP 512 KB 上/下传）**120/120 PASS、零 IWDG 复位**，

docs/测试说明/流程与规范/测试开发标准流程.md

@@ -276,7 +276,7 @@ static void phaseN_run(void) {
 | **`test/host/nand_port/run_unit_test.py`** | `test/host/nand_port/` | **主机侧纯逻辑单测**：离线编译真实 `Drivers/BSP/GD5F2GQ5UE/nand_ftl.c` + 真实 dhara，以 **RAM 假芯片**驱动，149 断言钉死 is_free 整页扫描与六个入口的越界守卫 |
 | **`scripts/ci_local.py`** | `scripts/` | **本地跑与 CI 等价的门禁**（静态门禁 + 主机侧纯逻辑单测）：自动选用装了 pre-commit 的解释器；`.map` 自适应跳过 `mem-numbers`；退出码 0/1/2 与 CI 对齐。见 §9.3 |
 | `.serialtest/config.json` | 仓库 | **串口端口单一配置源**（当前 COM6 / 115200）；换端口只改这个文件 |
-| `test/host/ftp_*.py`（4 个）/ `ch395f_socket_test.py` / `time_sync_server.py` | `test/host/` | PC 端交互测试工具（FTP 客户端 / socket 回显 / 对时推送） |
+| `test/host/ftp_*.py`（4 个）/ `ch395f_socket_test.py` | `test/host/` | PC 端交互测试工具（FTP 客户端 / socket 回显；原对时推送 `time_sync_server.py` 已随 :8888 退役删除，2026-11-04） |
 | `simulator/tests/*.py`（4 个） | `simulator/tests/` | LVGL 模拟器回归脚本（见 §5） |
 
 ### 4.2 主机侧纯逻辑单测（纯逻辑，无硬件）
@@ -373,7 +373,7 @@ cmake --build simulator/build --config Debug   # 0) 构建模拟器（须 0 警
 | 层 | 载体 | 抓住什么 |
 |---|---|---|
 | 文本层 | `check_content_pages.py` 字形模板匹配（310 条、覆盖当时 37 页，解析字体 cmap / glyph_dsc / bitmap） | 缺字显示空白 / 标签写错等**静默失败**（不依赖 `ref/`，先于像素比对运行、失败即中止防误刷参考） |
-| 像素层 | 内容页黄金参考 66 张（64 页）+ 菜单 8 状态，与黄金参考逐字节比对 | 几何 / 样式 / 光标反显 / 整体外观 |
+| 像素层 | 内容页黄金参考 74 张 + 菜单 8 状态，与黄金参考逐字节比对 | 几何 / 样式 / 光标反显 / 整体外观 |
 | 池水位层 | `MENU_POOL_BASELINE=5368 B` / `POOL_AFTER_ROUNDTRIP=5448 B` | LVGL 内存池泄漏 / 结构性漂移（量的是 `used`，与 `LV_MEM_SIZE` 总大小无关） |
 
 ### 5.3 黄金参考与字体纪律
@@ -609,7 +609,6 @@ CI 就静默停摆（2026-10-11 实测 run 16~21 共 12 个 job 零日志）。
 | `run_boot_test.py` / `verify_log.py` + `serial_tool` | 自动化闭环三件套（纯 Python 标准库 / 仓库内置） |
 | `ftp_test.py` / `ftp_capture.py` / `ftp_up_dl_test.py` / `ftp_speed_test.py` | FTP PC 端测试工具 |
 | `ch395f_socket_test.py` | CH395F PC 端 socket 回显 / 大文件传输工具 |
-| `time_sync_server.py` | 对时推送 PC 端服务器 |
 
 ## 附录 B：模块测试文档
 

docs/测试说明/流程与规范/自动化测试流程.md

@@ -119,7 +119,7 @@
 
 - **初始化回归**：`App/task/ui_task.c` 已有 `UI port init: OK` / `UI menu init: OK` / `UI net sink: started`
   打印（见 `run_boot_test.py` 命令示例）；将其加入 `--required` 即可经串口自动回归 UI 初始化。
-- **屏幕内容回归**：由 LVGL 模拟器像素回归覆盖（文本级断言 + 66 张黄金参考 + 池水位门禁，
+- **屏幕内容回归**：由 LVGL 模拟器像素回归覆盖（文本级断言 + 74 张黄金参考 + 池水位门禁，
   见 `docs/UI设计/UI_自动化测试流程.md`）；上机屏幕仍需人工目检（见 `测试开发标准流程.md` §1）。
 
 ## 扩展用法

docs/环境与部署/项目部署环境要求.md

@@ -35,7 +35,8 @@ flowchart LR
 
     DEV -- "USB：下载器（ST-Link 等）" --> TGT
     DEV -- "USB 串口 USART1<br/>COMx @115200 调试日志" --> TGT
-    TGT -- "以太网（CH395F）<br/>FTP:21 / 对时:8888 / 显示:7003" --> RMT
+    TGT -- "以太网（CH395F）<br/>FTP:21 / 远程显示:7003" --> RMT
+    TGT -. "对时：SNTP 客户端 UDP 123 出向（原 :8888 推送已退役）" .-> NTP["现场 NTP / 时间源"]
 ```
 
 | 环境 | 角色 | 必需性 |
@@ -567,7 +568,7 @@ $env:DTU_KEIL_UV4 = 'D:\NotExist\UV4.exe'   # 仅当前会话，不动用户级
 | 服务 | 协议/端口 | 用途 | 核对方法 |
 |---|---|---|---|
 | 远程显示（RemoDispBus） | TCP **7003** | 远端看图（160×160 1bpp，3200 B/帧，客户端 LCDMEM 拉取）+ 远端导航按键 | DTU-RemoteLCD 或任意 TCP 客户端连 7003 收帧 |
-| 墙钟对时 | TCP **8888** | PC 主动推送时间到设备 | 对时推送后核对设备时间 / 日志时间戳 |
+| 墙钟对时（SNTP 客户端） | UDP **123**（出向；主/备服务器配 `[sntp]` 段，enable 默认关） | 设备作 SNTP 客户端从时间源取时写回 RTC（原 PC 推送 TCP :8888 已于 2026-11-04 退役删除） | 使能对时后核对设备时间 / 日志时间戳 |
 | FTP | TCP **21** | 文件上传/下载（根目录 `/`，NAND 存储） | 任意 FTP 客户端列目录/读写 |
 
 > 现场组网要求：设备与客户端**同网段**（默认 .100/24、网关 .1）；跨网段部署先按 §4.1 改 IP 再上线。
@@ -575,7 +576,7 @@ $env:DTU_KEIL_UV4 = 'D:\NotExist\UV4.exe'   # 仅当前会话，不动用户级
 ### 4.3 存储与运行时
 
 - 文件系统：FatFS（FAT32）挂 NAND；**上电无卷自动格式化**（`f_mkfs`）；格式化会清除卷上全部文件（含网口配置 `/config.ini`）
-- RTC：SD2506 芯片（驱动 `Drivers/BSP/SD2506/`）提供墙钟基准与日志时间戳；首次使用建议先经 8888 对时
+- RTC：SD2506 芯片（驱动 `Drivers/BSP/SD2506/`）提供墙钟基准与日志时间戳；首次使用建议配 `[sntp]` 段启用 SNTP 对时（或 UI 手工对时）
 - 启动时序：`app_main_init`（存储 → 时钟 → RS485 → NAND → ADC → 启动转换）→ 就绪屏障（STORAGE / NET / FTP / TIMESYNC 事件）→ 六任务运行；详见 `docs/架构设计/项目启动顺序管理.md`、`docs/架构设计/项目架构总览.md`
 
 ### 4.4 现场验收清单
@@ -587,7 +588,7 @@ $env:DTU_KEIL_UV4 = 'D:\NotExist\UV4.exe'   # 仅当前会话，不动用户级
 | 3 | 远程显示 | DTU-RemoteLCD 连 7003 | 出图（160×160 1bpp）+ 远端菜单导航可用 |
 | 4 | FTP | FTP 客户端连 :21 | 列目录 / 读写 `/` 下文件 |
 | 5 | UI 功能 | 屏幕 / 远端操作 | 菜单 7 项导航、内容页、密码（查看 `000` / 修改 `123`）、网口设置保存后立即生效 |
-| 6 | 对时 | PC 推送 8888 | 设备墙钟更新、日志时间戳正确 |
+| 6 | 对时 | 配 `[sntp]` 段启用 SNTP（或 UI 手工对时；原 PC 推送 8888 已退役） | 设备墙钟更新、日志时间戳正确 |
 | 7 | 掉电保持 | 写文件 / 改网口配置 → 重启 | 数据仍在（`/config.ini` 按新值生效） |
 | 8 | LED 状态 | 目检 | 6 路 LED 随系统状态变化（低电平点亮） |
 
@@ -599,7 +600,7 @@ $env:DTU_KEIL_UV4 = 'D:\NotExist\UV4.exe'   # 仅当前会话，不动用户级
 |---|---|---|
 | 操作系统 | 任意（Windows / Linux / macOS，有浏览器或 Python 即可） | 与设备同网段 |
 | 远程显示客户端 | **DTU-RemoteLCD**（独立项目：Flask + WebSocket 参考实现）或任意符合 RemoDispBus 协议的 TCP 客户端 | 连设备 **TCP 7003**；协议见 `docs/UI设计/RemoDispBus协议与接收设计说明.md` |
-| 对时工具 | 任意可 TCP 推送的工具/脚本 | 向设备 **8888** 推送 |
+| 对时时间源 | 现场可达的 SNTP/NTP 服务器（配 `[sntp]` 段 server1/server2） | 设备作客户端 UDP/123 出向取时；原「向设备 8888 推送」的 TCP 工具随退役不再需要 |
 | FTP 客户端 | 任意（资源管理器 / FileZilla 等） | 设备端 lftpd，端口 21 |
 | 浏览器 | Chrome / Edge | 查看参考客户端 Web 页；开发期浏览文档 SVG 图 |
 

docs/算法/继电保护功能复现规划.md

@@ -87,7 +87,7 @@
 | 遥信 | 双位置遥信上**双点**，其余**单点**；点号 `0+` |
 | 遥控 | **双点命令**，合闸选择 `82H`、执行 `02H`；点号 `6000H+` |
 | **RS-485** | **对下 ModBus RTU 采集**（下行采集口，非上行口） |
-| 对时 | 点表要求 **SNTP `192.168.1.121:5105`**；本项目**保留自定义 TCP 8888**，SNTP 本期不实现（产品定义中的对时方式） |
+| 对时 | 点表要求 **SNTP `192.168.1.121:5105`**；本项目 **SNTP 客户端已落地**（2026-11-04，#73：`[sntp]` 段配服务器、**固定 UDP/123**），原自定义 TCP 8888 **已退役删除**（#78）——点表的**非标端口 5105 尚不满足**（客户端端口不可配），要按点表对接需给 `[sntp]` 增「服务器端口可配」小改 |
 | 固有参数 | `8001H~800AH`：终端类型/操作系统/制造商/硬件版本/软件版本/校验码/规约类型/型号/ID/MAC |
 | 运行参数 | `8020H~8058H`：死区（电流/交流电压/直流电压/功率/频率/功率因数）、PT/CT 变比、负荷越限/重载/过载报警、录波投退与定值、功率置负 |
 | 定值 | `8820H~8882H`：过流 I/II/III 段、零序过流 I/II 段、重合闸、低压/低频、励磁涌流闭锁、小电流接地等 |
@@ -127,7 +127,7 @@
 | # | 事项 | 处置 |
 | --- | --- | --- |
 | 产品定义中的后备电源与直流遥测裁剪 | `UBA` 后备电源电压、`V1/V2` 直流量三路遥测的硬件来源 | **本期不做**——V0.1 无对应硬件通道，不加子板/通道；点表此三项本期空缺 |
-| 产品定义中的对时方式 | 对时 | **保留自定义 TCP 8888**；点表要求的 **SNTP 5105 本期不实现** |
+| 产品定义中的对时方式 | 对时 | **SNTP 客户端已落地**（2026-11-04，#73）；原自定义 TCP 8888 已退役删除（#78）；点表要求的 **SNTP 5105 非标端口仍未实现**（客户端固定 UDP/123，端口不可配） |
 | 产品定义中的本期保护范围 | 保护/控制范围 | **本期 = 骨架全做 + 有效通道子集闭环**（2026-10-10 用户确认），评估见 §1.6 |
 
 > **产品定义 至此全部闭环**：上行 IEC 60870-5-104 / 持续采集 / 1000 Hz 已定（§1.5 表 1~4）；产品定义中的后备电源与直流遥测裁剪 / 产品定义中的对时方式 本期不做或维持现状；产品定义中的本期保护范围 的范围裁剪见 §1.6。

docs/网络/BSD_Socket_API_使用指南.md

@@ -890,7 +890,7 @@ void net_generation_inc(void);
 | `net_get_generation` | 获取当前网络代次号（首次 `net_init` 成功前为 0，每次网络重建 +1） |
 | `net_generation_inc` | 代次号加 1（netTask 重建成功、网络已可用后调用） |
 
-**用途**：长驻 TCP 服务（FTP :21 / 对时 :8888 / 远程显示 :7003）在监听循环中检测代次号变化后主动重建监听 Socket，网口配置立即生效后可自动在新 IP 上恢复（重建会断开既有连接，属预期行为）。详见 `docs/子系统设计/网络配置说明.md` §4。
+**用途**：长驻 TCP 服务（FTP :21 / 远程显示 :7003；对时 :8888 已退役，2026-11-04）与 UDP 出向客户端（SNTP，代次变化弃旧 socket 懒重建）在循环中检测代次号变化后主动重建，网口配置立即生效后可自动在新 IP 上恢复（重建会断开既有连接，属预期行为）。详见 `docs/子系统设计/网络配置说明.md` §4。
 
 #### net_poll - 状态轮询
 

docs/网络/Net层阻塞模型架构设计.md

@@ -613,7 +613,7 @@ net_pending_capture_owner()                 ← 捕获执行者
 
 | 指标 | 值 | 来源 / 条件 |
 |---|---|---|
-| 队列响应性（挂起连接下） | **92.5 ms** | `test/host/e02_probe.py`：挂起对时客户端 + FTP banner 探测 |
+| 队列响应性（挂起连接下） | **92.5 ms** | 台架实测（探针 `e02_probe.py` 已删除——2026-11-04 随 :8888 退役，正文见 git 历史）：挂起对时客户端 + FTP banner 探测 |
 | M3 静默档帧周期 | med 58.9 / p95 69.9 / max 72.1 ms | `docs/测试说明/专项验证/链路延迟测试说明.md` §6.3（零尖峰） |
 | M3 压力档帧周期 | med 60.1 / p95 66.4 / max 69.3 ms | 同上（零尖峰） |
 | netTask 栈峰值 | **1116 B / 3840 B（余 70%）**，FTP 传输期峰 **1164 B**；静态最坏链 ≈1.9 KB | `docs/内存管理/RAM使用分析与优化方案.md` §2.3 |

docs/网络/网络自愈架构设计.md

@@ -32,7 +32,8 @@
 > - 带连字符的 `E-<nn>` = **历史审计发现**编号（属主文档已于 2026-10-15 删除，
 >   编号冻结于 `docs/编号规范.md` §4.3）——
 >   §5.2 末行引用它是为了记录该发现的**收口台架**，**不是**实验编号
->   （证据：`test/host/e02_probe.py` 的文档串自述它是该审计发现的 timeSync 触发形态探针）；
+>   （证据：`test/host/e02_probe.py`（已随 :8888 退役于 2026-11-04 删除，正文见 git 历史）
+>   的文档串自述它是该审计发现的 timeSync 触发形态探针）；
 > - 该审计编号族已冻结、不再新增，引用一律改说人话。
 
 ## 1. 为什么是这个架构
@@ -111,7 +112,8 @@ fd 别名让这个边沿**必须有人接**，而"谁重建监听"在类型上
 
 1. **不支持多监听**——`docs/问题记录/CH395F_Trap_Records.md` 附 FTP 改造清单第 4 条
    「CH395F 多连接模式不支持多监听（类型：架构）」，处置即 `fun_para=0x00`。
-   本产品有 21/8888/7003 **三个常驻监听** + 会话期动态 PASV 监听。
+   本产品有 21/7003/2404 **三个常驻监听** + 会话期动态 PASV 监听（当时第三个是 :8888 对时，
+   2026-11-04 退役后由 104 :2404 在列——结论不依赖具体端口组合，见墙钟说明 §15）。
 2. 池分配按**源端口匹配**（`docs/芯片手册/CH395F.md` §9.2.6 L1295），多监听器的池会互相串。
 3. 实测：「多连接模式下最多接受 3 个客户端（Socket 1~3），Socket 4~7 的 CONNECT 中断从不触发」、
    「多个 Socket 数据互相覆盖」——即 TRAP-NET-02/-11。
@@ -612,8 +614,9 @@ DISCONNECT 会被 `(void)` 丢掉。但 RECV_OK 是条件位（下轮补回）
 > 「假设 → 方法 → 判据 → 它门禁哪个决策」四段式；本表只给**方法与结论**，原始记录（假设、
 > 原始日志、统计）已归档，取用命令见 §12。
 > ⚠ **这些编号是冻结标识**：`net_socket.c` / `net_events.c` / `net_listener.c` 注释、
-> `test/host/e02_probe.py`、`test/host/e6_soak.py`、`docs/问题记录/CH395F_Trap_Records.md`
+> `test/host/e6_soak.py`、`docs/问题记录/CH395F_Trap_Records.md`
-> 都直接引用它们，**重排或改名会断链**。
+> 都直接引用它们（原 `test/host/e02_probe.py` 已删除——2026-11-04 随 :8888 退役，正文见 git 历史），
+> **重排或改名会断链**。
 > ⚠ 末行 **不是实验编号**——它记录的是**历史审计发现**
 > （带连字符的 `E-<nn>` 族，属主文档已于 2026-10-15 删除并冻结），列在此处只为记录该发现的**收口台架**。
 > 区分规则：**带连字符 = 审计发现，无连字符 = 自愈实验**。
@@ -640,7 +643,7 @@ DISCONNECT 会被 `(void)` 丢掉。但 RECV_OK 是条件位（下轮补回）
 | **E17** | **单一所有者收口**：`net_listener_try`（当场动作、**无状态门**，各调用点自带门）改为 `net_listener_request`（只登记意图）+ `net_listener_tick`（唯一执行者，门集含"芯片已在 LISTEN 即了结"），同板全量回归 | 全绿；**延后一轮（≤1 ms）执行不伤即时性**（恢复窗 p50 与当场动作持平）；relisten 留痕减半 | §4.2 登记/执行分离；§9.2 门集；§11.1 判据 |
 | **E18** | **负向注入打靶 · 三轮**（注入代码不入库）：① 吞掉 DISCONNECT（在 i104 的 200 ms accept 轮询窗内 RST）；③ 绕过本层簿记直接 close 芯片空闲监听；⑤ 开盲区吞掉芯片自发的中断 + 等芯片真 CLOSED 再 open+listen | **①③⑤ 全部命中并救回**；①⑤ 的前提会被更快的消费者路径消解 → 常态 0 命中；⑤ 还要先越过芯片 `FIN_WAIT_2`（E15 的 2MSL 长尾，实测 ≈1 s） | §4.1.4 / §4.1.5：**三条均不可降级为只留痕**；⑤ 的**取消挂起 recv/send** 不可省 |
 | **E19** | **`force open` 反事实 A/B**（本层已收口 CLOSED + 芯片停 `FIN_WAIT_2` `0x05/0x06` + **对端挂住不关** = 队头阻塞场景；A = 现状放行，B = 只留痕不放行） | **放行与不放行的端口恢复时刻同一分布** → 动作在全部可产现场景内无可测收益；真正兜住"监听器永久失效"的是 **D10 预算 + 形态④ 重新登记**。两条实测坑：① 本层直接改 `state` **不会**进沉降窗（窗只由 `net_listener_settle` 开启）；② `relisten retry budget exhausted` 在此被稳定复现 = 对端不配合拆链的签名，**非回归** | §4.3：800 ms 上限降级为**只留痕**（`keep waiting` 只留首末、隔离标志不清 → 继续排渣） |
-| **队头阻塞审计**（非实验编号） | `test/host/e02_probe.py` 台架定案 `net_drop_conn` 收口后的时序 | 对端配合（收到 FIN 后其内核 close）：`TIME_WAIT` ~150 ms → 形态④ relisten，恢复全程 ~500 ms；对端内核存活但不 close：芯片停 `FIN_WAIT_2` 长尾，**监听恢复受限于对端 close** | §4.6 |
+| **队头阻塞审计**（非实验编号） | `net_drop_conn` 收口后的时序由台架定案（探针 `e02_probe.py` 已删除，2026-11-04 随 :8888 退役，正文见 git 历史） | 对端配合（收到 FIN 后其内核 close）：`TIME_WAIT` ~150 ms → 形态④ relisten，恢复全程 ~500 ms；对端内核存活但不 close：芯片停 `FIN_WAIT_2` 长尾，**监听恢复受限于对端 close** | §4.6 |
 
 ## 6. 红线（明确不做的事）
 
@@ -723,15 +726,18 @@ DISCONNECT 会被 `(void)` 丢掉。但 RECV_OK 是条件位（下轮补回）
 | `net_listener_armed` | 唯一监听门控；**必须放行 ESTABLISHED**（§4.2） |
 | `net_listener_tick`（唯一执行者） | 门集**只在这一处**：状态 ∈ {LISTENING, CLOSED} + 监听型 + **芯片已在 LISTEN 即视为达成、绝不 open**（U12 结构性防护）+ 挂起保险。登记侧 `net_listener_request` 因此**不需要**状态门——任何"当场动作 + 调用点各自补门"的写法都会把 U12 风险复制 N 份（对已 LISTENING 的 fd 再 open+listen 会因 USE 错误走进关闭分支、**关掉正听着新 SYN 的 Socket**） |
 
-### 9.3 三个服务的连接结束契约（现状）
+### 9.3 长驻网络形态的连接结束契约（现状）
 
 | 服务 | 连接结束信号 | 监听重建者 | 备注 |
 |---|---|---|---|
 | `lftpd` 控制 :21 | `read_line != 0`；阻塞挂起 recv 保证 CLOSED 时必被结束（FIN→0 / 异常→CONNRESET） | net 层；应用**永不** close 控制 fd | 契约一致，**正面样板** |
-| `time_sync` :8888 | EOF / 预算耗尽 → `net_drop_conn` 拆会话保监听 | net 层（形态④） | 同 fd 即监听 fd，应用侧**不得** `net_close`（红线 8）→ 走 §4.6 |
 | `ui_net_sink` :7003 | `net_recv` 返 0 或真错误；非阻塞收帧 | net 层 | 重建条件**不得**写成 `net_get_sock(g_listen)==NULL`（fd 不释放 → 恒假）；靠 `session_dead` 电平 + 形态④ |
 | 模拟器后端 | `recv` 0 恒可得、fd 分离 | 无需 | Winsock 原生；对上述全部失效模式**零覆盖**（D6：双模型分裂暂不消除） |
 
+> **历史行（:8888，2026-11-04 退役删除）**：`time_sync` :8888 | EOF / 预算耗尽 → `net_drop_conn`
+> 拆会话保监听 | net 层（形态④）| 同 fd 即监听 fd，应用侧**不得** `net_close`（红线 8）→ 走 §4.6。
+> 退役后本表不再有应用侧 `net_drop_conn` 调用者（原全仓唯一调用者 `time_sync.c` 已随监听删除）。
+
 ## 10. 决策记录
 
 | # | 决定 | 依据 |

docs/门禁说明/README.md

@@ -80,7 +80,7 @@
 | [`cubemx-survival.md`](cubemx-survival.md) | `cubemx-survival` | CubeMX 重生成会不会把定制静默抹掉（人工目检审计兜底） | `.ioc`、`Src/`、`Inc/` | 已写 |
 | [`test-suite-switch.md`](test-suite-switch.md) | `test-suite-switch` | 板级套件开关必须互斥；全注释 = 产品构建 | `test/board/test_config.h` | 已写 |
 | [`font-charset.md`](font-charset.md) | `font-charset` | UI 用到的汉字是否都在子集字体里（缺字 = 白框） | `Drivers/BSP/UI/**`、字体脚本 | 已写 |
-| [`ui-golden.md`](ui-golden.md) | `ui-golden` | UI 像素回归：菜单 8 状态 + 内容页 66 张黄金参考图比对 | UI 源码、模拟器 | 已写 |
+| [`ui-golden.md`](ui-golden.md) | `ui-golden` | UI 像素回归：菜单 8 状态 + 内容页 74 张黄金参考图比对 | UI 源码、模拟器 | 已写 |
 | [`bom-guard.md`](bom-guard.md) | `bom-guard` | 带 BOM 的文件被编辑工具剥掉 BOM（ARMCC 换解码 → 假语法错） | `Drivers/BSP/UI/**` 等名单内文件 | 已写 |
 | [`setview-check.md`](setview-check.md) | `setview-check` | 定值查看行表与 `prot_set` 枚举序 / `g_prot_set_meta` 上下限是否同一份口径 | `tools/setview_check/**`、`ui_w_setview.*` | 已写 |
 | （专篇待补，档位与限度正文在 [`../UI设计/UI_自动化测试流程.md`](../UI设计/UI_自动化测试流程.md) §7.3） | `uinav-selftest` | 板端 UI 导航器认屏快检（黄金参考帧分类；完整闭环档=合入前/上板前手工跑，快检不互替） | `scripts/board_ui_nav.py`、`simulator/tests/ref/*.bin` | 指针 |

docs/门禁说明/ui-golden.md

@@ -1,4 +1,4 @@
-# `ui-golden` — UI 像素回归（菜单 8 状态 + 内容页 66 张黄金参考）
+# `ui-golden` — UI 像素回归（菜单 8 状态 + 内容页 74 张黄金参考）
 
 > 一句话：改 UI 源码时，把模拟器增量重编 + 两条 golden 回归串成一次提交门禁，**像素对不上就拦**。
 > 它是包装器：真正的判据在被包装的两条脚本与参考图里。
@@ -11,7 +11,7 @@
 ## 1. 它在查什么
 
 - 菜单侧：整棵菜单树的行渲染结果（8 个状态）与参考图逐像素比对；
-- 内容页侧：66 张黄金参考（= 66 个截图态条目，同一内容页的多个状态各一张：分页页多拍的第 2 屏与确认链/录波的各态都单独计条目），逐张与参考图比对；
+- 内容页侧：74 张黄金参考（= 74 个截图态条目，同一内容页的多个状态各一张：分页页多拍的第 2 屏与确认链/录波的各态都单独计条目），逐张与参考图比对；
 - 参考图 `simulator/tests/ref/*.bin` **就是判据本身**。
 
 ## 2. 为什么要它（有牙的实测）
@@ -57,7 +57,7 @@
 
 1. **参考图即判据**：刷新参考图 = 修改判据。评审时必须盯 `simulator/tests/ref/` 的 diff；
    一旦"顺手更新"，此后所有回归都只在和错的基线比。**门禁无法阻止这件事**，只能靠评审。
-2. 只覆盖 8 个菜单状态 + 66 张内容页黄金参考：未列入的状态（密码错误态、超长文本、缺字渲染、
+2. 只覆盖 8 个菜单状态 + 74 张内容页黄金参考：未列入的状态（密码错误态、超长文本、缺字渲染、
    无 SD 卡 / 挂载失败的降级显示）**不会有任何回归**。
 3. 跑的是**模拟器那份配置**，不是固件那份 —— 两份 `lv_conf.h` 漂移时，回归结论不能外推到固件
    （所以 `lv-conf-sync` 是本门有效性的前提）。

scripts/board_ui_nav.py

@@ -1247,7 +1247,7 @@ def selftest_board_frames(clf):
 
 
 def selftest_refs(clf):
-    """仓库黄金参考（66 张）逐帧分类自检：每张图的期望值 = 它的文件名。
+    """仓库黄金参考（74 张）逐帧分类自检：每张图的期望值 = 它的文件名。
 
     这一组是**语义正确的基线**（模拟器与板端同一份 UI 源码），用来把"分类器错了"与
     "留档帧本来就是走歪的"分开——两类失败含义完全不同，混在一起就只能靠猜。

scripts/check_registration.py

@@ -105,6 +105,7 @@ SIM_EXEMPT = [
     ("App/fs/vol_idle_sync.c", "MCU 存储属主后台空闲同步（FatFs disk_ioctl + 卷锁 + sys_events），主机侧纯逻辑单测覆盖于 test/host/vol_idle_sync/，模拟器无消费路径"),
     ("App/log/console_log.c", "MCU 控制台输出，模拟器无消费路径"),
     ("App/sync/time_sync.c", "对时任务（net+RTOS），MCU 专属"),
+    ("App/sync/time_sntp.c", "SNTP 校时客户端（net+RTOS+sys_clock 依赖，2026-11-04 立项落地），MCU 专属；主机侧纯逻辑单测覆盖于 test/host/sntp"),
     ("App/task/adc_task.c", "固件 FreeRTOS 任务，模拟器不跑固件任务"),
     ("App/task/default_task.c", "固件 FreeRTOS 任务，模拟器不跑固件任务"),
     ("App/task/iec104_serv.c", "固件 FreeRTOS 任务（104 上行，B4），模拟器不跑固件任务"),

scripts/ram_baseline.py

@@ -85,6 +85,7 @@ def subsystem_of(obj):
                      "task_prof", "boot_stats", "vol_idle_sync",
                      "sys_", "cfg_", "dbg_", "console_log", "task_watchdog",
                      "sha256", "tpafe", "sd2506", "test_task", "time_sync",
+                     "time_sntp",
                      "default_task")):
         return "应用"
     return "其它"

scripts/ram_baseline.tsv

@@ -16,4 +16,4 @@ date	code	ro	rw	zi	er_irom1	er_pct	iram1	iram1_pct	ccm	ccm_pct	top_rwzi
 2026-10-30	246720	29836	2052	149708	276556	26.4	94336	72.0	57376	87.9	heap_4.o=57376;lv_mem_core_builtin.o=16384;lftpd.o=7884;ui_net_sink.o=6770;ui_port.o=6432;nand_ftl.o=6216;wave_ring.o=5296;sb_link.o=4376;ch395f.o=4162;console_log.o=4132
 2026-11-02	247548	29836	2052	149740	277384	26.5	94368	72.0	57376	87.9	heap_4.o=57376;lv_mem_core_builtin.o=16384;lftpd.o=7884;ui_net_sink.o=6802;ui_port.o=6432;nand_ftl.o=6216;wave_ring.o=5296;sb_link.o=4376;ch395f.o=4162;console_log.o=4132
 2026-11-03	249112	29836	2052	149996	278948	26.6	94624	72.2	57376	87.9	heap_4.o=57376;lv_mem_core_builtin.o=16384;lftpd.o=7884;ui_net_sink.o=6802;ui_port.o=6432;nand_ftl.o=6216;wave_ring.o=5296;sb_link.o=4376;ch395f.o=4162;console_log.o=4132
-2026-11-04	249120	29836	2052	149996	278956	26.6	94624	72.2	57376	87.9	heap_4.o=57376;lv_mem_core_builtin.o=16384;lftpd.o=7884;ui_net_sink.o=6802;ui_port.o=6432;nand_ftl.o=6216;wave_ring.o=5296;sb_link.o=4376;ch395f.o=4162;console_log.o=4132
+2026-11-04	254332	30824	2072	150104	285156	27.2	94752	72.3	57376	87.9	heap_4.o=57376;lv_mem_core_builtin.o=16384;lftpd.o=7884;ui_net_sink.o=6802;ui_port.o=6432;nand_ftl.o=6236;wave_ring.o=5296;sb_link.o=4376;ch395f.o=4162;console_log.o=4132

scripts/size_attestation.json

@@ -1,25 +1,25 @@
 {
-  "built_at": "2026-11-04T09:25:23+08:00",
+  "built_at": "2026-11-04T18:58:01+08:00",
-  "fingerprint": "2f112c1679d6145a49f70f6f208ade9a1e4fa573aad3cacdaa98b0ed2aac6855",
+  "fingerprint": "e144163b2fe1843cedb07864b926cab203f608524605a75fec38dc660b661d29",
-  "fingerprint_files": 1468,
+  "fingerprint_files": 1479,
   "fingerprint_source": "git-index",
   "gated_regions": [
     "RW_IRAM1",
     "RW_CCM"
   ],
-  "git_head": "f10bb8df659e201efbacf04978c7442493fe94df",
+  "git_head": "1f94015434ba809e7e3645316ad3fb4f331824c9",
   "map": "MDK-ARM/STM32F407-Demo/STM32F407-Demo.map",
-  "map_mtime": 1793753528,
+  "map_mtime": 1793789873,
   "pct": {
-    "ER_IROM1": 26.6,
+    "ER_IROM1": 27.19,
     "RW_CCM": 87.89,
-    "RW_IRAM1": 72.19,
+    "RW_IRAM1": 72.29,
     "UNINIT_CCM": 18.75
   },
   "regions": {
     "ER_IROM1": {
       "max": 1048576,
-      "size": 278956
+      "size": 285156
     },
     "RW_CCM": {
       "max": 65280,
@@ -27,7 +27,7 @@
     },
     "RW_IRAM1": {
       "max": 131072,
-      "size": 94624
+      "size": 94752
     },
     "UNINIT_CCM": {
       "max": 256,
@@ -37,10 +37,10 @@
   "schema": 2,
   "scope_note": "\u540c\u7801\u51ed\u8bc1\uff1a\u6307\u7eb9\u8986\u76d6\u56fa\u4ef6\u4f53\u79ef\u76f8\u5173\u6e90\u7801\uff0c\u53e3\u5f84\u89c1\u672c\u811a\u672c docstring",
   "sizes": {
-    "code": 249120,
+    "code": 254332,
-    "ro_data": 29836,
+    "ro_data": 30824,
-    "rw_data": 2052,
+    "rw_data": 2072,
-    "zi_data": 149996
+    "zi_data": 150104
   },
   "threshold_pct": 92.0,
   "worktree_dirt_at_stamp": 0,

scripts/test_coverage_baseline.json

@@ -208,13 +208,21 @@
       "lines_covered": 227,
       "lines_valid": 255
     },
+    "App/sync/time_sntp.c": {
+      "func_rate": 1.0,
+      "funcs_covered": 18,
+      "funcs_valid": 18,
+      "line_rate": 0.9153,
+      "lines_covered": 227,
+      "lines_valid": 248
+    },
     "App/sync/time_sync.c": {
       "func_rate": 1.0,
-      "funcs_covered": 4,
+      "funcs_covered": 2,
-      "funcs_valid": 4,
+      "funcs_valid": 2,
       "line_rate": 1.0,
-      "lines_covered": 100,
+      "lines_covered": 20,
-      "lines_valid": 100
+      "lines_valid": 20
     },
     "App/task/iec104_serv.c": {
       "func_rate": 0.75,
@@ -369,12 +377,20 @@
       "lines_valid": 36
     },
     "Drivers/BSP/NETCFG/net_cfg.c": {
-      "func_rate": 0.9375,
+      "func_rate": 0.9412,
-      "funcs_covered": 15,
+      "funcs_covered": 16,
-      "funcs_valid": 16,
+      "funcs_valid": 17,
-      "line_rate": 0.9643,
+      "line_rate": 0.9685,
-      "lines_covered": 108,
+      "lines_covered": 123,
-      "lines_valid": 112
+      "lines_valid": 127
+    },
+    "Drivers/BSP/NETCFG/sntp_cfg.c": {
+      "func_rate": 1.0,
+      "funcs_covered": 5,
+      "funcs_valid": 5,
+      "line_rate": 0.9474,
+      "lines_covered": 18,
+      "lines_valid": 19
     },
     "Drivers/BSP/ScreenLink/sb_link.c": {
       "func_rate": 1.0,
@@ -560,9 +576,10 @@
     },
     "net_cfg": {
       "files": {
-        "Drivers/BSP/NETCFG/net_cfg.c": 112
+        "Drivers/BSP/NETCFG/net_cfg.c": 127,
+        "Drivers/BSP/NETCFG/sntp_cfg.c": 19
       },
-      "lines_total": 112,
+      "lines_total": 146,
       "ok": true
     },
     "net_events": {
@@ -685,6 +702,14 @@
       "lines_total": 114,
       "ok": true
     },
+    "sntp": {
+      "files": {
+        "App/sync/time_sntp.c": 248,
+        "Drivers/BSP/NETCFG/sntp_cfg.c": 19
+      },
+      "lines_total": 267,
+      "ok": true
+    },
     "soe": {
       "files": {
         "App/log/soe_rec.c": 87,
@@ -724,9 +749,9 @@
     },
     "time_sync": {
       "files": {
-        "App/sync/time_sync.c": 100
+        "App/sync/time_sync.c": 20
       },
-      "lines_total": 100,
+      "lines_total": 20,
       "ok": true
     },
     "ui_data": {
@@ -818,6 +843,7 @@
     "App/protocol/iec104/iec104_comm.c",
     "App/protocol/iec104/iec104_link.c",
     "App/protocol/iec104/iec104_pts.c",
+    "App/sync/time_sntp.c",
     "App/sync/time_sync.c",
     "App/task/iec104_serv.c",
     "App/util/boot_stats.c",
@@ -839,6 +865,7 @@
     "Drivers/BSP/NET/net_udp.c",
     "Drivers/BSP/NETCFG/ftp_cfg.c",
     "Drivers/BSP/NETCFG/net_cfg.c",
+    "Drivers/BSP/NETCFG/sntp_cfg.c",
     "Drivers/BSP/ScreenLink/sb_link.c",
     "Drivers/BSP/ScreenLink/sb_proto.c",
     "Drivers/BSP/UI/ui_data.c",
@@ -847,16 +874,16 @@
   ],
   "totals": {
     "files_generated_excluded": 5,
-    "files_tested": 52,
+    "files_tested": 54,
-    "files_untested": 173,
+    "files_untested": 177,
-    "func_rate": 0.9266,
+    "func_rate": 0.929,
-    "funcs_covered": 619,
+    "funcs_covered": 641,
-    "funcs_valid": 668,
+    "funcs_valid": 690,
-    "line_rate": 0.9012,
+    "line_rate": 0.901,
-    "lines_covered": 8372,
+    "lines_covered": 8552,
-    "lines_valid": 9290,
+    "lines_valid": 9492,
-    "modules_ok": 47,
+    "modules_ok": 48,
-    "modules_total": 47
+    "modules_total": 48
   },
   "untested_sources": [
     {
@@ -903,6 +930,10 @@
       "code_lines": 264,
       "path": "Drivers/BSP/SD2506/sd2506.c"
     },
+    {
+      "code_lines": 261,
+      "path": "Drivers/BSP/UI/ui_page_sntp.c"
+    },
     {
       "code_lines": 251,
       "path": "Drivers/BSP/UI/ui_page_wave_play.c"
@@ -1219,6 +1250,10 @@
       "code_lines": 26,
       "path": "Drivers/BSP/UI/ui_port.h"
     },
+    {
+      "code_lines": 25,
+      "path": "Drivers/BSP/NETCFG/sntp_cfg.h"
+    },
     {
       "code_lines": 25,
       "path": "Drivers/BSP/bsp_err.h"
@@ -1355,6 +1390,10 @@
       "code_lines": 12,
       "path": "App/app/app_main.h"
     },
+    {
+      "code_lines": 12,
+      "path": "App/sync/time_sntp.h"
+    },
     {
       "code_lines": 12,
       "path": "App/task/iec104_serv.h"
@@ -1375,10 +1414,6 @@
       "code_lines": 12,
       "path": "Drivers/BSP/UI/ui_net_sink_backend.h"
     },
-    {
-      "code_lines": 11,
-      "path": "App/sync/time_sync.h"
-    },
     {
       "code_lines": 11,
       "path": "App/task/net_task.h"
@@ -1427,6 +1462,10 @@
       "code_lines": 11,
       "path": "Drivers/BSP/UI/ui_page_reset.h"
     },
+    {
+      "code_lines": 11,
+      "path": "Drivers/BSP/UI/ui_page_sntp.h"
+    },
     {
       "code_lines": 11,
       "path": "Drivers/BSP/UI/ui_page_soe.h"
@@ -1475,6 +1514,10 @@
       "code_lines": 10,
       "path": "App/fs/vol_idle_sync.h"
     },
+    {
+      "code_lines": 10,
+      "path": "App/sync/time_sync.h"
+    },
     {
       "code_lines": 10,
       "path": "App/task/default_task.h"

simulator/CMakeLists.txt

@@ -126,6 +126,7 @@ set(UI_SOURCES
     ${UI_DIR}/ui_page_yk.c
     ${UI_DIR}/ui_page_wave_manual.c
     ${UI_DIR}/ui_page_wave_play.c
+    ${UI_DIR}/ui_page_sntp.c
 )
 
 # 运行/自检记录引擎（双端共享核心 + 平台存储后端；MCU 端编 sys_log_mcu.c，见 Keil 工程）
@@ -137,6 +138,7 @@ set(SYSLOG_SOURCES
 set(NETCFG_SOURCES
     ${NETCFG_DIR}/net_cfg.c
     ${NETCFG_DIR}/ftp_cfg.c
+    ${NETCFG_DIR}/sntp_cfg.c
     ${PROJECT_ROOT}/App/cfg/cfg_file.c
     sim/cfg_file_store_sim.c
 )

simulator/README.md

@@ -53,7 +53,7 @@ simulator/
 | `build_sim.bat` / `build_sim.ps1` | 一键构建入口：vswhere 探测本机 VS 大版本（16=2019 / 17=2022 / 18=2026，取已装最高）→ 映射 CMake 生成器；`build/` 缓存生成器与本机不符（换机/升级 VS）时自动删除重建（带重试，抗文件锁）。**构建入口一律走它，文档/命令中勿写死生成器版本**；`.bat` 仅负责绕过 PowerShell 执行策略并转交 `.ps1` |
 | `CMakeLists.txt` | 收集 LVGL 源码（`../Lib/lvgl`）+ 共享 UI 源码（`../Drivers/BSP/UI`）+ 通用配置文件引擎（`../App/cfg_file.c`、`../Drivers/BSP/NETCFG` 的 net_cfg；`net_cfg_legacy` 已于 2026-10-10 删除）+ `sim/` 平台层，链接预编译 SDL2，产出 `lvgl_sim.exe` |
 | `i1_to_png.py` | 把 `--screenshot` 产出的 I1(1bpp) 原始位图转成 PNG，便于离线比对设计稿。详见 §3.5 |
-| `tests/` | 无头回归脚本（菜单 8 状态像素回归 + 内容页 66 张：文本断言 / 反向断言 / 黄金参考逐字节比对）；`ref/shot_*.bin` **随仓库入库**（判据本体，改动等于改判据，评审须逐页过目），`ref/*.png` 是本地派生的目检图（`.gitignore` 挡掉）。详见 §3.6 |
+| `tests/` | 无头回归脚本（菜单 8 状态像素回归 + 内容页 74 张：文本断言 / 反向断言 / 黄金参考逐字节比对）；`ref/shot_*.bin` **随仓库入库**（判据本体，改动等于改判据，评审须逐页过目），`ref/*.png` 是本地派生的目检图（`.gitignore` 挡掉）。详见 §3.6 |
 
 > **共享代码不复制**：`ui_menu.c` / `ui_font_cn_12.c` / `ui_net_sink.c` 直接引用 `Drivers/BSP/UI/` 下的原件，
 > MCU 与 PC 两端永远同步。**不要**在本目录内复制 UI 源码。
@@ -222,7 +222,7 @@ UI 改动的自动化门禁脚本（完整流程见 `docs/UI设计/UI_自动化
 | 脚本 | 原理 | 失败输出 |
 |------|------|----------|
 | `check_menu_rows.py` | 键序注入（u/d/e/s）跑 8 个菜单状态，断言选中行白带、非选行黑底白字、框体边框、往返状态逐像素一致；MENU-STATE-00 池水位须等于脚本内 `MENU_POOL_BASELINE` | 未过断言清单 + 保留临时截图 |
-| `check_content_pages.py` | ① 文本断言（解析字体字形，在截图 y 带内精确匹配期望串，不依赖 `ref/`）② **反向断言**（`ABSENT` 表：某串**不该**出现，如查看页/只读态不得出现「未标定」徽标与「保存」行——像素参考会被 `--update` 刷成"自证正确"，反向断言不依赖参考图）③ **66 张**无头截图与 `tests/ref/shot_*.bin` **逐字节**比对（含 2026-10-26 新增的整定 9 态：进页 / 保存行 / 只读态 / 编辑态 / 越界 / 保存 OK / 落定后可读 / 二态回绕）；另校验开页-关页往返池水位 = `POOL_AFTER_ROUNDTRIP` | 文本未命中项 / 反向断言被命中 / 差异像素数 + 双方 ink runs 对照 |
+| `check_content_pages.py` | ① 文本断言（解析字体字形，在截图 y 带内精确匹配期望串，不依赖 `ref/`）② **反向断言**（`ABSENT` 表：某串**不该**出现，如查看页/只读态不得出现「未标定」徽标与「保存」行——像素参考会被 `--update` 刷成"自证正确"，反向断言不依赖参考图）③ **74 张**无头截图与 `tests/ref/shot_*.bin` **逐字节**比对（含 2026-10-26 新增的整定 9 态：进页 / 保存行 / 只读态 / 编辑态 / 越界 / 保存 OK / 落定后可读 / 二态回绕）；另校验开页-关页往返池水位 = `POOL_AFTER_ROUNDTRIP` | 文本未命中项 / 反向断言被命中 / 差异像素数 + 双方 ink runs 对照 |
 | `check_remo_sink.py` | 启动**窗口**模拟器（非无头，`CREATE_NEW_PROCESS_GROUP` 防管道阻塞），经 TCP 7003 发 LCDMEM 取 1bpp 帧；断言首帧=LCDMEM（无 INIT 污染）/位图 3200 字节/非平凡；复用 `i1_to_png` 出目检 PNG；与无头参考（`lvgl_sim --screenshot`）逐位比对 <2% 判 MATCH。守护"INIT 污染 / 快照卡死"两个历史缺陷 | 各判据失败原因 + `sim_err.txt` 尾部 + 保留 PNG（默认不删，`--clean` 才删） |
 
 - **黄金参考与目检 PNG**（`ref/*.bin` **入库**、`ref/*.png` 本地派生不入库）：换机或想目检时——

simulator/tests/README.md

@@ -11,7 +11,7 @@
 | `check_content_pages.py` | **内容页回归**：各内容页渲染比对 |
 | `check_remo_sink.py` | **推流（RemoDispBus）回归**：接收端渲染比对 |
 | `regen_ref_png.py` | 由 `ref/*.bin` 批量出**目检 PNG**（不产生基准；基准由 `check_content_pages.py --update` 刷） |
-| `ref/*.bin` | **像素黄金参考（入库）**：66 张 × 3200 B，160×160 单色打包（2026-10-29 录波 UI 道 +6 张） |
+| `ref/*.bin` | **像素黄金参考（入库）**：74 张 × 3200 B，160×160 单色打包（2026-10-29 录波 UI 道 +6 张；2026-11-04 SNTP 设置页 +8 张） |
 
 ## 使用方式
 

simulator/tests/check_content_pages.py

@@ -114,6 +114,17 @@ PAGES = [
     ("netcfg_ro",   "ddddde de e"),                # 查看密码 000 → 只读态
     ("netcfg_edit", "ddddde de uruuruuue e"),      # 编辑模式：IP 首字节光标反显
     ("netcfg_save", "ddddde de uruuruuue dddd e"), # 保存行 ENTER → 值列 OK
+    # ---- SNTP 设置页（node 31，通讯参数下第 3 项，#P 叶；[sntp] 工厂默认：
+    #      enable=0 / 主备服务器 0.0.0.0 / 周期 60 分，见 Drivers/BSP/NETCFG/sntp_cfg.c）
+    # 导航同网口设置（ddddde 落通讯参数），再 dd 选到第 3 叶 SNTP设置。
+    ("sntp",           "ddddde dde uruuruuue"),              # 首屏：工厂默认 + 保存行 ENTER
+    ("sntp_ro",        "ddddde dde e"),                      # 查看密码 000 → 只读态
+    ("sntp_edit",      "ddddde dde uruuruuue d e"),          # 主服务器编辑：首段字节光标反显
+    ("sntp_oct",       "ddddde dde uruuruuue d e r u e"),    # 光标右移 + 段值 +1 → 000.001.000.000
+    ("sntp_en",        "ddddde dde uruuruuue e"),            # 启用行 ENTER → 开启（开关行无编辑态）
+    ("sntp_poll",      "ddddde dde uruuruuue ddd e"),        # 周期行编辑：整值反显
+    ("sntp_poll_big",  "ddddde dde uruuruuue ddd e r e"),    # ←→ ±60 粗调：60 → 120 分
+    ("sntp_save",      "ddddde dde uruuruuue e dddd e"),     # 开启 + 保存行 ENTER → 值列 OK
     # ---- 道F task-3 装置维护三页（根菜单第 5 项 = 4 下；子项 0/1/3 = 时钟/复归/清除）
     # 键序读法与上面同源：e 进子菜单后再 e 打开叶子（叶子带 #P → 先落密码页），
     # "uruuruuue" = 修改口令 123（可编辑态），单一个 e = 查看口令 000（只读态）。
@@ -178,7 +189,7 @@ PAGES = [
     # 计数范围/复位原因/主站接入 + 范围标签"本次开机"，第 2 页钉 104 另外三枚（发送帧数
     # 128 / 发送失败 0 / 接收字节 4096）与页脚真实页码 2/2。四枚假数据值互不相同是刻意的：
     # 行错位/串行只有"像素 + 逐行文本断言"两把尺子同时才照得出来（Lead 裁定 2026-10-28，
-    # 因此当时用例是 53+7=60 张，不是 53+6=59；现集合 66 张，见 PAGES 表）。
+    # 因此当时用例是 53+7=60 张，不是 53+6=59；现集合 74 张，见 PAGES 表）。
     ("runreport",    "dddddde dddddddd e"),
     ("runreport_p2", "dddddde dddddddd e dddddddd"),   # 页内再 8 下 → 第 2 页（选中落 r0=发送帧数）
     # ── 故障录波 UI 道（2026-10-29）：手动录波三态 + 回放三态（真实波形/空态/坏段）──
@@ -532,6 +543,55 @@ TEXTS = {
         ("r1名", "子网掩码", (38, 52), False),
         ("r4名", "保存", (80, 95), False),
     ],
+    # ---- SNTP 设置页：工厂默认 关闭 / 000.000.000.000 ×2 / 60 / ENTER。
+    # 地址行为 net_cfg_fmt_ipv4 定长 15 字符（%03u 补零，与网口设置页同真源）；
+    # 周期行是纯十进制（无补零）；字节光标 = 黑底白字小段，编辑态文本断言
+    # 只钉"名 + 选中带"，被光标覆盖的段值改在退出编辑后的 sntp_oct 上钉全串。
+    "sntp": [
+        ("标题", "SNTP设置", (0, 24), False),
+        ("r0名", "启用", (24, 38), True), ("r0值", "关闭", (24, 38), True),
+        ("r1名", "主服务器", (38, 52), False), ("r1值", "000.000.000.000", (38, 52), False),
+        ("r2名", "备服务器", (52, 66), False), ("r2值", "000.000.000.000", (52, 66), False),
+        ("r3名", "周期(分)", (66, 80), False), ("r3值", "60", (66, 80), False),
+        ("r4名", "保存", (80, 95), False), ("r4值", "ENTER", (80, 95), False),
+        ("页脚", "第 1 页，共 1 页", (140, 160), False),
+    ],
+    "sntp_ro": [
+        ("标题", "SNTP设置", (0, 24), False),
+        ("r0名", "启用", (24, 38), True), ("r0值", "关闭", (24, 38), True),
+        ("r1名", "主服务器", (38, 52), False), ("r1值", "000.000.000.000", (38, 52), False),
+        ("r3名", "周期(分)", (66, 80), False), ("r3值", "60", (66, 80), False),
+        ("r4名", "保存", (80, 95), False),
+        ("页脚", "第 1 页，共 1 页", (140, 160), False),
+    ],
+    "sntp_edit": [
+        ("标题", "SNTP设置", (0, 24), False),
+        ("r1名", "主服务器", (38, 52), True),   # 选中带落到 r1
+        ("r0名", "启用", (24, 38), False),
+        ("r2名", "备服务器", (52, 66), False), ("r2值", "000.000.000.000", (52, 66), False),
+        ("r4名", "保存", (80, 95), False),
+    ],
+    "sntp_oct": [
+        ("r1值改后", "000.001.000.000", (38, 52), True),    # 退出编辑后选中带仍停在 r1
+        ("r2值未动", "000.000.000.000", (52, 66), False),
+        ("r0值未动", "关闭", (24, 38), False),
+    ],
+    "sntp_en": [
+        ("r0名", "启用", (24, 38), True), ("r0值切后", "开启", (24, 38), True),
+        ("r4名", "保存", (80, 95), False),
+    ],
+    "sntp_poll": [
+        ("r3名", "周期(分)", (66, 80), True),   # 选中带 = 编辑行
+        ("r0名", "启用", (24, 38), False),
+    ],
+    "sntp_poll_big": [
+        ("r3值粗调后", "120", (66, 80), True),   # +60 钳带步进；退出编辑后选中带仍停在 r3
+        ("r3名", "周期(分)", (66, 80), True),
+    ],
+    "sntp_save": [
+        ("r0值", "开启", (24, 38), False),
+        ("r4名", "保存", (80, 95), True), ("r4值", "OK", (80, 95), True),
+    ],
     # ── 道F task-2：整定 4 页文本级断言 ─────────────────────────────────────────
     # 值全部来自 simulator/main.c 的固定帧（prot_set 出厂默认 + cal_block 恒 1），
     # 每条断言都是"某个具体事实"：徽标在不在、保存行在第几页、越界提示、改值后落没落。
@@ -909,7 +969,7 @@ EXTRA = {
 # sim_oper.log 已经攒了 3 条（192 B = 3×64 B）→ "操作记录"页读到的是真记录，
 # 空态判据（第 0 行"无记录"）根本拍不到。**判据本身没错，错在跑它的环境被前面的写路径
 # 污染了**，所以给这 5 页各开一个空目录 = 现场"这些日志文件还不存在"的确定态；
-# 其余 55 页环境一字不变（对当时存量 53 张黄金零影响，实测逐字节零漂移；当时集合 60 张，现集合 66 张）。
+# 其余 55 页环境一字不变（对当时存量 53 张黄金零影响，实测逐字节零漂移；当时集合 60 张，现集合 74 张）。
 FRESH_CWD = ("accident", "oper", "alarm", "start", "yk")
 
 

test/board/storage_test.h

@@ -33,7 +33,7 @@ void storage_test_run(void);
 /* 存储套件恢复测试（默认关闭）：取消注释并编译 STORAGE 套件运行一次，
  * 即可重建 BBT（清除 TC-STORAGE-03 等注入的坏块）并重新格式化，恢复设备干净态。
  * 恢复完成后建议重新注释并编译正常构建。 */
-//#define ENABLE_STORAGE_RECOVERY_TESTS  /* 台架已跑过一次恢复（2026-09-20 BBT 回出厂态），保持注释 */
+//#define ENABLE_STORAGE_RECOVERY_TESTS  /* #79：2026-11-04 已用本开关清除 129 个误标坏块并 format 成功，保持注释 */
 
 /* 恢复模式的扩展（默认关闭，需与上面 ENABLE_STORAGE_RECOVERY_TESTS 同时打开）：
  * 把 dhara 可见区**整片擦净**（连 journal checkpoint 一起），用于**把被扣掉的容量恢复回来**。

test/host/README.md

@@ -10,7 +10,6 @@
 |---|---|
 | `run_boot_test.py` | **`/serial-boot-test` 一键闭环**：开串口+清日志 → 烧录 → wait-idle → `verify_log` 校验（退出码 0=PASS） |
 | `verify_log.py` | **日志标记校验**：Required / Forbidden 标记 → PASS / FAIL；可选 `--require-suite-summary` 校验套件汇总行（`=== <名称>: N/M PASSED (failed=0) ===` 且 `N>0`），抓"没跑到汇总行/断言数为 0"的盲区 |
-| `e02_probe.py` | 头阻塞专项探针 |
 
 ### 网络 / FTP
 
@@ -38,7 +37,9 @@
 | 脚本 | 作用 |
 |---|---|
 | `latency_peer.py` | 链路时延测试的 PC 对端（peer） |
-| `time_sync_server.py` | 时间同步推送服务（对时源） |
+
+> 原 `time_sync_server.py`（:8888 推送对时源）已随 :8888 退役删除（2026-11-04，#78）；
+> 对时改为板端 SNTP 客户端出向（墙钟说明 §16），台架用真实/私有 NTP 源即可。
 
 ### 主机侧单元测试（纯逻辑，无硬件）
 
@@ -62,9 +63,9 @@
 | `vol_lock/run_unit_test.py` | **卷锁单测**：离线编译真实 `App/fs/vol_lock.c`，33 断言点覆盖创建 / 获取 / 释放契约（**fail-open 不变量**：创建失败仍返回 1 且零阻塞）/ 幂等 / 超时透传 |
 | `vol_lock/vol_lock_test.c` | 测试单元本体（`#include` 生产源码 + CMSIS 互斥桩） |
 | `vol_lock/stub/` | 桩头文件（`cmsis_os.h`） |
-| `time_sync/run_unit_test.py` | **时间同步单测**：离线编译真实 `App/sync/time_sync.c`，80 断言点覆盖分片喂狗延时 / 监听退避 / 时间包重组（半包·粘连·EOF·真错·预算耗尽·tick 回绕）/ 任务主循环（**探针窗口心跳缺口的全部逻辑贡献者**） |
+| `time_sync/run_unit_test.py` | **时间同步任务载体单测（v2.0）**：离线编译真实 `App/sync/time_sync.c`，33 断言点覆盖分片喂狗延时 / 就绪屏障（100 ms 分片、`osFlagsNoClear`、永不就绪不挂死）/ SNTP 节拍驱动与**网络代次当轮交接** / 未出网守门（:8888 退役后任务即纯校时节拍宿主） |
 | `time_sync/time_sync_test.c` | 测试单元本体（`#include` 生产源码 + 网络 / 事件 / RTOS 可脚本化桩 + `longjmp` 跳出 `for(;;)` 任务循环） |
-| `time_sync/stub/` | 桩头文件（`FreeRTOS.h` / `task.h` / `cmsis_os2.h` / `net_socket.h` / `sys_clock.h` / `sys_events.h` / `dbg_log.h`） |
+| `time_sync/stub/` | 桩头文件（`FreeRTOS.h` / `task.h` / `cmsis_os2.h` / `net_socket.h`（裁剪至 `net_get_generation`，**编译期绊线**：生产码若再引监听类 API 立刻炸）/ `sys_events.h`） |
 | `iec104/run_unit_test.py` | **IEC 60870-5-104 协议栈单测（IEC 104 上行）**：离线编译真实 `App/protocol/iec104/` 三模块 + 数据源（prot_set/prot_elm/phasor/sample_ring），**82** 用例覆盖 CP56 往返 / APCI 半帧·粘帧·坏帧 / STARTDT 握手 / 总召分片+RBT / COV 死区 / k=12 窗满 / w=8 触发 S / t1·t2·t3 / N(R) 倒退判故障 / 遥控·定值两段式与 PN / C_CS / 未知类型·地址错误应答 |
 | `nand_port/run_unit_test.py` | **dhara NAND 移植层单测**：离线编译真实 `Drivers/BSP/GD5F2GQ5UE/nand_ftl.c` + 真实 `Lib/dhara/{journal,map}.c`，以 **RAM 假芯片**驱动，**149** 断言覆盖 is_free 整页扫描 / 六个 HAL 入口的越界守卫 / 故障注入 / dhara map"写入 → 重新 resume"场景 |
 | `nand_port/nand_port_test.c` | 测试单元本体（`#include` 生产源码 + RAM 假芯片；内联一份"只看页首 64 B"的**旧算法对照**，证明断言能咬人） |
@@ -139,7 +140,8 @@
 - 本目录**被 pre-commit 门禁的 cppcheck / 代码规范排除**（`test/` 豁免）；
   但各模块的 `run_unit_test.py` 自身**作为独立钩子**参与门禁（见上，共 22 个）
 - 台架探针族分工（2026-10-13 起）：**自愈/Trap 常备回归腿在本目录**（`relisten_stress` /
-  `ftp_abort_probe` / `n30_repro` / `e02_probe` / `e6_soak` 等）；`MDK-ARM/*.py` 只余被文档**当作
+  `ftp_abort_probe` / `n30_repro` / `e6_soak` 等；`e02_probe` 已随 :8888 退役删除，2026-11-04）；
+  `MDK-ARM/*.py` 只余被文档**当作
   可信判据引用过**的三件（`ftp_freeze_probe` / `tcp_reconnect_probe` / `bench_verdict`）——
   2026-10-22 清掉了一批既无人引用、又因设备侧启用鉴权而再也登录不上的历史一次性探针
   （`MDK-ARM/ftp_retr_abort_probe.py` 与整个 `MDK-ARM/bench_diag/`（4 个诊断脚本）），需要时从
@@ -157,5 +159,5 @@
 - `docs/测试说明/单元测试/ADC输入层单元测试说明.md` — ADC 输入层单测（逐 Rank 钉死映射）
 - `docs/测试说明/单元测试/相量层单元测试说明.md` — 相量层单测（傅氏系数 / 双区交换）
 - `docs/测试说明/单元测试/卷锁单元测试说明.md` — 卷锁单测（fail-open 不变量）
-- `docs/测试说明/单元测试/时间同步单元测试说明.md` — 时间同步单测（探针窗口心跳缺口逻辑贡献者）
+- `docs/测试说明/单元测试/时间同步单元测试说明.md` — 时间同步任务载体单测 v2.0（SNTP 节拍 / 代次交接 / 未出网守门）
 - `docs/测试说明/板级测试/CH395F_Test_Guide.md`、`FTP_Test_Guide.md`

test/host/e02_probe.py

@@ -1,112 +0,0 @@
-#!/usr/bin/env python3
-"""头阻塞专项台架探针（timeSync 侧，A/B 对照用）。
-
-场景（历史审计的头阻塞触发形态，属主文档已于 2026-10-15 删除）：
-  1. 一个"挂起"的对时客户端连上 :8888 后不发任何数据（空闲/故障客户端，
-     常见工况）——旧固件在此触发 30s 阻塞 net_recv 独占 netTask，
-     全体消费者的队列消息停摆最长 30s；
-  2. 2s 后从 PC 发起 FTP(:21) 连接，测 banner 到达时延 = 队列响应性：
-     修复前 ≈ 25~30s（队头冻结），修复后 ≈ 数百 ms 内；
-  3. 34s 时 30s 总预算应已耗尽：设备拆掉该会话（net_drop_conn：
-      FIN 关闭 + 本层收口 + 重监听），随后**本探针模拟守规矩对端**：
-      close 自己的 socket；
-  4. 芯片回 CLOSED（TC-NET-204 模式 A：TIME_WAIT 过渡 ~150ms）→ relisten，
-      :8888 应能再接受新连接（3s 重试窗内）；新连接发完整 8 字节 TIME 包 →
-      设备应落 "wall clock updated"。
-
-⚠ 定案口径（TRAP-NET-07 定案更正 2026-10-11 + 《网络自愈架构设计》§5.2 E13）：CH395F close
-**无 RST 语义**。若对端内核存活（app 挂起但 socket 不关，内核自动 ACK FIN），
-芯片停在 FIN_WAIT_2、监听恢复受限于对端 close——探针第 3 步的 close 正是
-模拟"对端配合"这一可恢复边界；不配合场景的兜底是芯片 TIMEOUT/keepalive
-拆僵尸会话（E13 定案，30~90s）。
-
-用法: python e02_probe.py <run-tag>
-退出码: 0 = 队列响应性 PASS；1 = FAIL；2 = 探针自身异常
-"""
-import socket
-import sys
-import time
-
-import bench_defaults  # 台架连接默认值单一真源
-
-DEV = bench_defaults.DEVICE_IP
-tag = sys.argv[1] if len(sys.argv) > 1 else "run"
-
-t0 = time.time()
-
-
-def log(msg):
-    print("[%s] %9.3f %s" % (tag, time.time() - t0, msg), flush=True)
-
-
-def main():
-    # 1. 挂起对时客户端：连接后不发任何数据
-    ts = socket.create_connection((DEV, 8888), timeout=5)
-    log("time-sync conn open (hung client: sends nothing)")
-
-    # 2. 2s 后测 FTP banner 时延（队列响应性）
-    time.sleep(2.0)
-    t1 = time.time()
-    banner = None
-    try:
-        ftp = socket.create_connection((DEV, 21), timeout=35)
-        banner = ftp.recv(256)
-        dt = time.time() - t1
-        log("FTP banner after %8.1f ms: %r" % (dt * 1000, banner[:40]))
-        ftp.close()
-    except Exception as e:
-        dt = time.time() - t1
-        log("FTP connect FAIL after %8.1f ms: %r" % (dt * 1000, e))
-        dt = None
-    queue_ok = (banner is not None) and (dt is not None) and (dt < 3.0)
-    log("queue responsiveness: %s (banner %s ms)"
-        % ("PASS" if queue_ok else "FAIL",
-           ("%.0f" % (dt * 1000)) if dt is not None else "n/a"))
-
-    # 3. 等 30s 总预算耗尽（设备应拆会话：FIN + 本层收口 + 重监听）
-    remain = 34.0 - (time.time() - t0)
-    if remain > 0:
-        time.sleep(remain)
-
-    # 3b. 模拟守规矩对端：设备已发 FIN（drop_conn），本端 close 配合拆链。
-    #     CH395F close 无 RST 语义（TRAP-NET-07 定案更正）：不配合的内核存活对端
-    #     会把芯片停在 FIN_WAIT_2，监听恢复受限于对端 close——不在本探针判据内。
-    try:
-        ts.close()
-        log("hung client socket closed (cooperate with device FIN)")
-    except OSError:
-        pass   # 设备已先拆连，本地 close 报 ECONNRESET 属预期
-
-    # 4. 监听应已重建（芯片 TIME_WAIT 过渡 ~150ms + relisten）：3s 重试窗
-    t2 = time.time()
-    listener_ok = False
-    ts2 = None
-    while time.time() - t2 < 3.0:
-        try:
-            ts2 = socket.create_connection((DEV, 8888), timeout=2)
-            break
-        except Exception as e:
-            log("second time-sync conn retry: %r" % (e,))
-            time.sleep(0.3)
-    if ts2 is not None:
-        dt2 = time.time() - t2
-        epoch = int(time.time())
-        log("new time-sync conn in %6.0f ms, sent full TIME packet (epoch=%d)"
-            % (dt2 * 1000, epoch))
-        ts2.sendall(b"TIME" + epoch.to_bytes(4, "big"))
-        time.sleep(1.5)   # 留时间给设备处理并打日志
-        ts2.close()
-        listener_ok = True
-    else:
-        log("second time-sync conn FAIL (3s window)")
-    log("OVERALL: queue=%s listener=%s"
-        % ("PASS" if queue_ok else "FAIL", "PASS" if listener_ok else "FAIL"))
-    return 0 if (queue_ok and listener_ok) else 1
-
-
-if __name__ == "__main__":
-    try:
-        sys.exit(main())
-    except Exception as e:
-        print("[%s] PROBE ERROR: %r" % (tag, e), flush=True)
-        sys.exit(2)

test/host/ftp_auth_bench.py

@@ -14,7 +14,8 @@
     T7 会话结束重连、错口令一次     → 期望 530 且计数已清零（T5 成功清零）
 
 注意：CH395F 单连接——每步用完必须 quit() 释放 socket，否则下一步连不上；
-      跑之前确保 UI 远程显示(7003)/对时(8888)客户端未占用 socket。
+      跑之前确保 UI 远程显示(7003)客户端未占用 socket（对时 :8888 已退役，
+      SNTP 只占 UDP 通道，与 TCP 单连接语义无关）。
 
 用法（设备默认见 bench_defaults.DEVICE_IP，出厂口令 admin/admin）：
     & '.venv\\Scripts\\python.exe' test/host/ftp_auth_bench.py

test/host/nand_port/nand_port_test.c

@@ -109,6 +109,12 @@ static int s_fail_check_ecc;
 static int s_fail_program_load;
 static int s_fail_program_exec;
 static int s_fail_block_erase;
+/* 定向坏页注入（问题 #79）：非 0 时，**只有**该物理页的 program_exec 失败 */
+static uint32_t s_fail_program_page = 0u;
+/* 传输层失败注入（问题 #79）：非 0 时 erase / program_exec 返回传输/超时错误
+ * （GD5F_ERROR，芯片**没有**回 E_FAIL/P_FAIL），用于验证"不得标坏块"。 */
+static int s_fail_erase_transport;
+static int s_fail_exec_transport;
 
 /* ---- SPI 原语（stub/gd5f2gq5ue.h 声明，签名与真实驱动逐字一致） ---- */
 
@@ -190,6 +196,15 @@ int32_t gd5f_program_exec(uint32_t page_addr) {
     if (s_fail_program_exec != 0) {
         return GD5F_PROGRAM_FAIL;
     }
+    if (s_fail_exec_transport != 0) {
+        return GD5F_ERROR;      /* 传输/等忙失败：芯片没回 P_FAIL */
+    }
+    /* 定向坏页注入（问题 #79）：现场是**某一个 PPA 恒写不进去**，其余页正常。
+     * 全局 s_fail_program_exec 无法复现"只有那一页坏"的形态——它连格式化
+     * 之后的新写入也一起打死，反而测不出"换个页就能写"这个关键结论。 */
+    if ((s_fail_program_page != 0u) && (page_addr == s_fail_program_page)) {
+        return GD5F_PROGRAM_FAIL;
+    }
 
     /* 严格语义探针：目标页已有非 0xFF 字节 = 双编程（is_free 误判的现场证据） */
     for (i = 0; i < FAKE_PAGE_SIZE; i++) {
@@ -217,6 +232,9 @@ int32_t gd5f_block_erase(uint32_t block_addr) {
     if (s_fail_block_erase != 0) {
         return GD5F_ERASE_FAIL;
     }
+    if (s_fail_erase_transport != 0) {
+        return GD5F_ERROR;      /* 传输/等忙失败：芯片没回 E_FAIL */
+    }
     (void)memset(&s_chip[block_addr * FAKE_PAGES_PER_BLOCK][0], 0xFF,
                  (size_t)FAKE_PAGES_PER_BLOCK * FAKE_PAGE_SIZE);
     return GD5F_OK;
@@ -282,6 +300,9 @@ static void fake_chip_reset(void) {
     s_fail_program_load = 0;
     s_fail_program_exec = 0;
     s_fail_block_erase = 0;
+    s_fail_program_page = 0u;   /* 定向坏页注入复位（0 = 不注入，0 号页本身也不允许当靶） */
+    s_fail_erase_transport = 0;
+    s_fail_exec_transport = 0;
     g_nandtest_err_count = 0;
     g_nandtest_info_count = 0;
     g_nandtest_debug_count = 0;
@@ -659,9 +680,10 @@ static void tc_prog(void) {
     CHECK(g_fake_mark_bad_cnt == 1u, "program failure marks exactly one block bad");
     CHECK(g_fake_mark_bad_log[0] == 2u, "the block marked bad is the page's own block");
 
-    /* TC-NANDPORT-207：program_load 失败（装载阶段）-> 同样 BAD_BLOCK + 标坏该块，
+    /* TC-NANDPORT-207：program_load 失败（装载阶段）-> BAD_BLOCK，但**不标坏块**。
-     * 且在 exec 之前就短路（真实芯片：02h 都没成，10h 自然不发） */
+     * 【#79 修复】装载失败是传输层问题（02h 都没送达芯片），芯片从未回 P_FAIL，
-    printf("[TC-NANDPORT-207] program_load failure -> BAD_BLOCK + mark bad\n");
+     * 把块标坏等于把"线抖了一下"固化成永久坏块。旧实现在此标坏，本用例把守。 */
+    printf("[TC-NANDPORT-207] program_load failure -> BAD_BLOCK, NO mark bad\n");
     fake_chip_reset();
     s_fail_program_load = 1;
     err = DHARA_E_NONE;
@@ -669,8 +691,21 @@ static void tc_prog(void) {
           "program_load failure -> -1");
     CHECK(err == DHARA_E_BAD_BLOCK, "program_load failure -> DHARA_E_BAD_BLOCK");
     CHECK(g_fake_program_exec_cnt == 0u, "load failure short-circuits before program_exec");
-    CHECK(g_fake_mark_bad_cnt == 1u, "load failure marks exactly one block bad");
+    CHECK(g_fake_mark_bad_cnt == 0u, "load failure must NOT mark bad (transport, not media)");
-    CHECK(g_fake_mark_bad_log[0] == 3u, "the block marked bad is the page's own block");
+    CHECK(fake_bad_unchanged(), "load failure leaves the BBT untouched");
+
+    /* TC-NANDPORT-208：program_exec 传输/超时失败（芯片未回 P_FAIL）-> 不标坏块。
+     * 【#79 核心】真机现场：出厂 0 坏块、底层写全部成功，而持久化 BBT 把
+     * 1016–1142 连续段判坏——正是这类失败被旧实现标坏并固化所致。 */
+    printf("[TC-NANDPORT-208] program_exec transport failure -> BAD_BLOCK, NO mark bad\n");
+    fake_chip_reset();
+    s_fail_exec_transport = 1;
+    err = DHARA_E_NONE;
+    CHECK(dhara_nand_prog(&s_ut_nand, 4u * 64u, page_buf, &err) == -1,
+          "program_exec transport failure -> -1");
+    CHECK(err == DHARA_E_BAD_BLOCK, "program_exec transport failure -> DHARA_E_BAD_BLOCK");
+    CHECK(g_fake_mark_bad_cnt == 0u, "exec transport failure must NOT mark bad");
+    CHECK(fake_bad_unchanged(), "exec transport failure leaves the BBT untouched");
 }
 
 /* ===================== TC-NANDPORT-300..307：dhara_nand_read ===================== */
@@ -867,15 +902,27 @@ static void tc_erase(void) {
     CHECK(dhara_nand_erase(&s_ut_nand, UT_OOB_BLOCK - 1u, &err) == 0,
           "erase block == num_blocks - 1 -> 0");
 
-    /* TC-NANDPORT-504：擦除失败 -> BAD_BLOCK + 标坏该块 */
+    /* TC-NANDPORT-504：芯片回 E_FAIL 的擦除失败 -> BAD_BLOCK + 标坏该块（正确处置） */
-    printf("[TC-NANDPORT-504] erase failure -> BAD_BLOCK + mark bad\n");
+    printf("[TC-NANDPORT-504] erase E_FAIL -> BAD_BLOCK + mark bad\n");
     fake_chip_reset();
     s_fail_block_erase = 1;
     err = DHARA_E_NONE;
     CHECK(dhara_nand_erase(&s_ut_nand, 3u, &err) == -1, "block_erase failure -> -1");
     CHECK(err == DHARA_E_BAD_BLOCK, "block_erase failure -> DHARA_E_BAD_BLOCK");
-    CHECK(g_fake_mark_bad_cnt == 1u, "erase failure marks exactly one block bad");
+    CHECK(g_fake_mark_bad_cnt == 1u, "erase E_FAIL marks exactly one block bad");
     CHECK(g_fake_mark_bad_log[0] == 3u, "the block marked bad is the one that failed");
+
+    /* TC-NANDPORT-505：擦除传输/超时失败（芯片未回 E_FAIL）-> 不标坏块。
+     * 【#79 核心】这是把 129 个好块误标并持久化的那条路径；标坏是**不可撤销**
+     * 的持久化动作，只有芯片明确回 E_FAIL 才允许。 */
+    printf("[TC-NANDPORT-505] erase transport failure -> BAD_BLOCK, NO mark bad\n");
+    fake_chip_reset();
+    s_fail_erase_transport = 1;
+    err = DHARA_E_NONE;
+    CHECK(dhara_nand_erase(&s_ut_nand, 5u, &err) == -1, "erase transport failure -> -1");
+    CHECK(err == DHARA_E_BAD_BLOCK, "erase transport failure -> DHARA_E_BAD_BLOCK");
+    CHECK(g_fake_mark_bad_cnt == 0u, "erase transport failure must NOT mark bad");
+    CHECK(fake_bad_unchanged(), "erase transport failure leaves the BBT untouched");
 }
 
 /* ===================== TC-NANDPORT-600..605：is_bad / mark_bad ===================== */
@@ -981,6 +1028,168 @@ static void tc_dhara_scenario(void) {
           "write + resume scenario: zero double-program violations (scenario guard)");
 }
 
+/* ===================== TC-NANDPORT-800..813：问题 #79 回归 =====================
+ *
+ * 现场（2026-11-04 台架，两次独立捕获）：
+ *   探针写 /fschk.tmp → disk_write → ftl_flush_cache 对 LPN=211 反复 TOO_BAD
+ *   → 判卷损坏 → storage_bring_up 调 nand_ftl_format() 想重建
+ *   → **旧版 format 先 flush 同一脏页、失败即 return** → map 从没被清过
+ *   → f_mkfs 在旧映射上跑 → 3 轮重试耗尽 → storage disabled（每次启动必现）。
+ *
+ * 本组测三件事：
+ *   ① 脏缓存写不进去时，format **仍然成功**并清掉映射（修复点）；
+ *   ② format 后脏缓存被丢弃，不会带着旧 LPN 幽灵继续写（配套不变量）；
+ *   ③ 失败快照（C4）真的把"操作 / 失败类 / LPN / 次数"带出函数边界（新能力）。
+ *
+ * 假芯片的失败注入是**按页**的（s_fail_program_exec 是全局开关），而现场是
+ * "某个 LPN 的写回恒定失败"。这里用"让 program_exec 恒失败"逼近同一形态：
+ * 脏页写不进去 → flush 必失败，正是旧版 return 的那个分支。
+ */
+
+/* 把脏缓存喂进去：直接经 FatFs 叶子的 disk_write 不可行（那会先触发 init），
+ * 故手工构一个与 disk_write 相同的前置状态：缓存里有一页待写数据。 */
+static void prep_dirty_cache(uint32_t lpn, uint8_t seed) {
+    fake_chip_reset();
+    s_cached_lpn = (dhara_sector_t)lpn;
+    fake_fill_pattern(s_cache_buf, FTL_PAGE_SIZE, seed);
+    s_cache_dirty = 1u;
+}
+
+static void tc_format_survives_flush_failure(void) {
+    uint8_t before[FTL_PAGE_SIZE];
+
+    /* ---- 前置：一个已建好、里面真有数据的卷（模拟台架"卷原本可用"） ---- */
+    fake_chip_reset();
+
+    s_ut_nand.log2_page_size = 11u;
+    s_ut_nand.log2_ppb = 6u;
+    s_ut_nand.num_blocks = (unsigned int)FAKE_USABLE_BLOCKS;
+    dhara_map_init(&s_map, &s_ut_nand, s_page_buf, 4);
+    memset(s_cache_buf, 0, FTL_PAGE_SIZE);
+    s_cached_lpn = (dhara_sector_t)-1;
+    s_cache_dirty = 0;
+    s_initialized = 1;
+
+    (void)dhara_map_clear(&s_map);
+    {
+        dhara_error_t e;
+        (void)dhara_map_sync(&s_map, &e);
+    }
+
+    fake_fill_pattern(s_cache_buf, FTL_PAGE_SIZE, 0xA5u);
+    {
+        dhara_error_t e;
+        CHECK(dhara_map_write(&s_map, 0u, s_cache_buf, &e) == 0,
+              "TC-NANDPORT-800 precondition: sector 0 written");
+    }
+    fake_fill_pattern(s_cache_buf, FTL_PAGE_SIZE, 0x5Au);
+    {
+        dhara_error_t e;
+        CHECK(dhara_map_write(&s_map, 1u, s_cache_buf, &e) == 0,
+              "TC-NANDPORT-801 precondition: sector 1 written");
+    }
+    CHECK(dhara_map_size(&s_map) == 2u, "TC-NANDPORT-802 precondition: 2 sectors used");
+
+    /* ---- 关键形态：缓存脏着（脏页写不出去），此时调 format() ----
+     * 阶段 A 用"介质整体写不动"逼近最坏情况：program_load 全失败 ⇒ dhara 反复
+     * 标坏块 + 重试 8 次后 TOO_BAD，正是 `Cache flush FAIL: LPN=211 … TOO_BAD`
+     * 那条日志的来源。这一阶段**只断言死锁被打破**，不断言 format 返回 OK——
+     * 介质真的全写不动时它本来就落不了盘，报错是诚实的。 */
+    memset(s_cache_buf, 0xC3, FTL_PAGE_SIZE);
+    s_cached_lpn = (dhara_sector_t)211u;   /* 与现场 LPN=211 同形 */
+    s_cache_dirty = 1u;
+    memcpy(before, s_cache_buf, FTL_PAGE_SIZE);
+
+    s_fail_program_load = 1;
+    (void)nand_ftl_format();
+
+    /* ★ 本单的核心断言：**旧实现到这里 map 一个字节都没清**
+     *   （它在 ftl_flush_cache() 失败那行就 return 了，dhara_map_clear 从未执行）。
+     *   新实现必须已经把 map 清空、缓存作废——这正是"恢复动作本身被永久挡住"
+     *   这条死锁的破点。 */
+    CHECK(dhara_map_size(&s_map) == 0u,
+          "TC-NANDPORT-804 format clears the map even when dirty-cache flush fails (fix for #79)");
+    CHECK(s_cache_dirty == 0u, "TC-NANDPORT-805 format discards the dirty cache flag");
+    CHECK(s_cached_lpn == (dhara_sector_t)-1,
+          "TC-NANDPORT-806 format invalidates cached LPN (no ghost page reuse)");
+    CHECK(memcmp(s_cache_buf, before, FTL_PAGE_SIZE) == 0,
+          "TC-NANDPORT-807 format does not fabricate page content");
+
+    /* ---- 阶段 B：介质可用后（新片上电 = 无坏块积累、map 重新 resume），
+     *      format 必须产出真正可写的空卷。现场对应"下次可写的格式化"。 ---- */
+    fake_chip_reset();          /* 同时复位全部失败注入 */
+    dhara_map_init(&s_map, &s_ut_nand, s_page_buf, 4);
+    memset(s_cache_buf, 0, FTL_PAGE_SIZE);
+    s_cached_lpn = (dhara_sector_t)-1;
+    s_cache_dirty = 0;
+    s_initialized = 1;
+    nand_ftl_fault_clear();
+
+    {
+        int rc = nand_ftl_format();
+
+        CHECK(rc == GD5F_OK, "TC-NANDPORT-808 on recovered media: format returns OK");
+        CHECK(dhara_map_size(&s_map) == 0u,
+              "TC-NANDPORT-808b on recovered media: map is empty after format");
+    }
+    {
+        dhara_error_t e;
+        int wrc;
+
+        fake_fill_pattern(s_cache_buf, FTL_PAGE_SIZE, 0x11u);
+        wrc = dhara_map_write(&s_map, 0u, s_cache_buf, &e);
+        CHECK(wrc == 0, "TC-NANDPORT-809 after format: new volume accepts writes");
+        CHECK(dhara_map_size(&s_map) == 1u, "TC-NANDPORT-810 after format: map counts 1 sector");
+    }
+
+    /* ---- 失败快照（C4）：新能力，把失败类带出函数边界 ---- */
+    nand_ftl_fault_clear();
+    {
+        nand_ftl_fault_t f;
+
+        nand_ftl_fault_get(&f);
+        CHECK(f.active == 0u, "TC-NANDPORT-811 fault snapshot clear -> inactive");
+        CHECK(f.count == 0u, "TC-NANDPORT-811b fault snapshot clear -> count reset");
+    }
+
+    /* 造一次可归类的失败：脏缓存 + 写不动 */
+    fake_chip_reset();
+    memset(s_cache_buf, 0x77, FTL_PAGE_SIZE);
+    s_cached_lpn = (dhara_sector_t)211u;
+    s_cache_dirty = 1u;
+    s_fail_program_load = 1;
+    {
+        bsp_err_t cls = ftl_flush_cache();
+        nand_ftl_fault_t f;
+
+        CHECK(cls != BSP_OK, "TC-NANDPORT-812a injected flush failure returns an error class");
+
+        nand_ftl_fault_get(&f);
+        CHECK(f.active == 1u, "TC-NANDPORT-812 fault snapshot becomes active after a failure");
+        CHECK(f.op == NAND_FTL_OP_FLUSH, "TC-NANDPORT-812b snapshot records the failing operation");
+        CHECK(f.cls == (int32_t)cls, "TC-NANDPORT-812c snapshot records the failure class");
+        CHECK(f.lpn == 211u, "TC-NANDPORT-812d snapshot records the failing LPN");
+        CHECK(f.count == 1u, "TC-NANDPORT-812e snapshot counts the failure");
+    }
+
+    /* 再失败一次：count 累计（现场是同一页撞 15 次） */
+    {
+        nand_ftl_fault_t f;
+
+        (void)ftl_flush_cache();
+        nand_ftl_fault_get(&f);
+        CHECK(f.count == 2u, "TC-NANDPORT-813 repeated failures accumulate (same-page retry)");
+        CHECK(f.lpn == 211u, "TC-NANDPORT-813b repeated failures keep the same LPN");
+    }
+
+    s_fail_program_load = 0;
+    s_fail_program_page = 0u;
+    nand_ftl_fault_clear();
+    s_initialized = 0;
+    s_cached_lpn = (dhara_sector_t)-1;
+    s_cache_dirty = 0;
+}
+
 /* ===================== main ===================== */
 
 int main(void) {
@@ -1023,6 +1232,9 @@ int main(void) {
     printf("-- dhara map scenario (real dhara, fake chip) --\n");
     tc_dhara_scenario();
 
+    printf("-- format survives dirty-cache flush failure + fault snapshot (issue #79) --\n");
+    tc_format_survives_flush_failure();
+
     printf("\n=== NAND Port Tests: %d/%d PASSED (failed=%d) ===\n",
            s_passed, s_total, s_failed);
     return (s_failed == 0) ? 0 : 1;

test/host/net_cfg/net_cfg_test.c

@@ -16,6 +16,11 @@
  *               口令判定归 test/host/ftp_cfg/ 模块，两边不重复也不互相顶包。
  *               （不能把 ftp_cfg.c 也 include 进来：两个 .c 都有 static s_cfg，
  *               同一个 TU 里直接重定义。）
+ *             - [sntp] 段：描述符由 net_cfg.c 的 s_sntp_register() 组装（分层
+ *               门禁后 sntp_cfg.c 不再自注册），所以本测试直接**编译真实的
+ *               sntp_cfg.c 数据本体**（纯 stdint/string，无引擎依赖，改名后的
+ *               s_sntp_cfg 与 net_cfg.c 的 s_cfg 不再同名冲突），并用假引擎
+ *               截获注册内容——段键表/偏移/默认值的机器钉在这里打。
  *           ⚠ 引擎的解析/写盘/沉降契约已由 test/host/cfg_file/（103 条）覆盖，
  *             本模块刻意不重测引擎，只测 net_cfg.c 这一层的编排与交接。
  *
@@ -37,8 +42,10 @@
  *   TC-NETCFG-003 未 load 时 gw  = 192.168.31.1
  *   TC-NETCFG-004 未 load 时 mac = 全零（哨兵 = 不覆盖芯片内置 MAC）
  *   —— 注册与 load（TC-NETCFG-005..011）——
- *   TC-NETCFG-005 首次 load 注册 [network] 段恰好一次（且 load 返回 0）
+ *   TC-NETCFG-005 首次 load 注册 [network]+[sntp] 各恰好一次（且 load 返回 0）
  *   TC-NETCFG-006 首次 load 一并注册 [ftp] 段（FTP 鉴权：所有受管段先注册、后 load）
+ *   TC-NETCFG-006b [sntp] 描述符内容：段名/键表（enable/server1/server2/poll_min
+ *               偏移 0/1/5/10 长 1/4/4/2）/默认值（关 + 60 分钟）/无变更回调
  *   TC-NETCFG-007 重复 load 不重复注册（幂等；否则引擎按"段名重复"拒登 → 静默失配）
  *   TC-NETCFG-008 注册描述符内容：段名/尺寸/键数/默认值指针/变更回调/数据指针 = RAM 副本
  *   TC-NETCFG-009 load 成功：返回 0 且留一条 INFO、不误报 ERROR
@@ -100,8 +107,10 @@
 /* 真实引擎头（接口原汁）+ 被测生产源（原样纳入）；dbg_log.h 命中本目录 stub */
 #include "cfg_file.h"
 #include "net_cfg.h"
+#include "sntp_cfg.h"
 
 #include "net_cfg.c"
+#include "sntp_cfg.c"
 
 /* ===================== 断言框架 ===================== */
 
@@ -137,6 +146,7 @@ typedef struct {
     const void *p_defaults;
     size_t      data_size;
     uint8_t     key_count;
+    const cfg_key_def_t *p_keys;   /* 键表是生产文件里的 static const，指针长期有效，不必深拷贝 */
     void      (*p_cb)(void);
 } fake_reg_t;
 
@@ -179,6 +189,7 @@ int cfg_file_register(const cfg_section_reg_t *p_reg)
     rec->p_defaults = p_reg->p_defaults;
     rec->data_size  = p_reg->data_size;
     rec->key_count  = p_reg->key_count;
+    rec->p_keys     = p_reg->p_keys;
     rec->p_cb       = p_reg->p_cb;
     g_reg_n++;
     return 0;
@@ -278,14 +289,41 @@ static void tc_register_load(void)
     printf("-- TC-NETCFG-005..011 register + load --\n");
     fake_reset();
     rc = net_cfg_load();
-    CHECK((rc == 0) && (g_reg_n == 1) && (strcmp(g_regs[0].name, "network") == 0),
+    CHECK((rc == 0) && (g_reg_n == 2) && (strcmp(g_regs[0].name, "network") == 0),
-          "TC-NETCFG-005 first load registers [network] exactly once");
+          "TC-NETCFG-005 first load registers [network] + [sntp] exactly once each");
     CHECK((g_ftp_reg_calls == 1) && (g_load_calls == 1),
           "TC-NETCFG-006 also registers [ftp], registered before load");
+    {
+        const fake_reg_t *rs = (g_reg_n == 2) ? &g_regs[1] : NULL;
+        const sntp_cfg_t *d = (const sntp_cfg_t *)(rs != NULL ? rs->p_defaults : NULL);
+        int keys_ok = (rs != NULL) && (rs->key_count == 4u) && (rs->p_keys != NULL);
+        CHECK((rs != NULL) && (strcmp(rs->name, "sntp") == 0) && keys_ok &&
+              (rs->data_size == sizeof(sntp_cfg_t)) &&
+              (rs->p_data == (const void *)sntp_cfg_data()) &&
+              (rs->p_cb == NULL),
+              "TC-NETCFG-006b [sntp] descriptor: name/4 keys/size/RAM copy/no cb");
+        CHECK(keys_ok &&
+              (strcmp(rs->p_keys[0].name, "enable") == 0) &&
+              (rs->p_keys[0].type == CFG_VAL_UINT) &&
+              (rs->p_keys[0].offset == 0u) && (rs->p_keys[0].len == 1u) &&
+              (strcmp(rs->p_keys[1].name, "server1") == 0) &&
+              (rs->p_keys[1].type == CFG_VAL_IP4) &&
+              (rs->p_keys[1].offset == 1u) && (rs->p_keys[1].len == 4u) &&
+              (strcmp(rs->p_keys[2].name, "server2") == 0) &&
+              (rs->p_keys[2].type == CFG_VAL_IP4) &&
+              (rs->p_keys[2].offset == 5u) && (rs->p_keys[2].len == 4u) &&
+              (strcmp(rs->p_keys[3].name, "poll_min") == 0) &&
+              (rs->p_keys[3].type == CFG_VAL_UINT) &&
+              (rs->p_keys[3].offset == 10u) && (rs->p_keys[3].len == 2u),
+              "TC-NETCFG-006c [sntp] key table: enable/server1/server2/poll_min at 0/1/5/10");
+        CHECK((d != NULL) && (d->enable == 0u) && (d->poll_min == 60u) &&
+              (d->server_pri[0] == 0u) && (d->server_bak[0] == 0u),
+              "TC-NETCFG-006d [sntp] factory defaults: off + empty servers + 60 min");
+    }
 
     rc = net_cfg_load();
-    CHECK((rc == 0) && (g_reg_n == 1) && (g_ftp_reg_calls == 2),
+    CHECK((rc == 0) && (g_reg_n == 2) && (g_ftp_reg_calls == 2),
-          "TC-NETCFG-007 repeated load does not re-register [network]");
+          "TC-NETCFG-007 repeated load does not re-register [network]/[sntp]");
 
     CHECK((strcmp(g_regs[0].name, "network") == 0) &&
           (g_regs[0].data_size == sizeof(net_cfg_t)) &&

test/host/net_cfg/run_unit_test.py

@@ -21,6 +21,9 @@
 桩的边界（细节见测试单元文件头）：
     配置文件引擎用**真实头**（接口原汁）+ 测试单元内的可控实现；[ftp] 段的
     ftp_cfg_register 只计数——它归 test/host/ftp_cfg/ 模块，两边不互相顶包。
+    sntp_cfg.c 是分层门禁后的纯数据本体，随 net_cfg.c 一并编译入 TU，
+    [sntp] 段描述符（键表/偏移/工厂默认）由假引擎截获断言——段注册契约
+    的机器钉在本模块（TC-NETCFG-005/006b..d/007）。
 
 用法（仓库根目录）：
     python test/host/net_cfg/run_unit_test.py

test/host/sntp/run_unit_test.py

@@ -0,0 +1,63 @@
+#!/usr/bin/env python3
+# -*- coding: utf-8 -*-
+"""SNTP 客户端（time_sntp）的主机侧纯逻辑单元测试运行器（纯标准库）。
+
+做什么：
+    用本机 MSVC 编译 test/host/sntp/sntp_test.c（它以 #include 纳入**生产源
+    文件** App/sync/time_sntp.c + Drivers/BSP/NETCFG/sntp_cfg.c + vendor
+    Lib/coreSNTP/core_sntp_serializer.c），在 PC 上离线跑：
+      RFC 4330 §10 节奏（初始 1~5min 随机散布 / 失败超时翻倍封顶 60s / 成功按
+      poll_min 重排）、§5.3 防欺骗（应答源 IP:port / originate 含随机低位精确
+      匹配 / mode / LI=3 / stratum>15 / KoD DENY·RSTR·RATE·他码）、§5.5 步进
+      策略（±2s 死区只记录、冷启动直采 T3、钟面 = 本地 UTC+8 恒加 28800、
+      值域守卫）、[sntp] 配置注册与 poll 钳位、网络代次/停用收口与 socket 生命周期。
+    失败即非 0 退出。零硬件、零烧录、毫秒级。
+
+    工具链探测 / 编译运行 / 退出码判定全部委托通用 harness
+    `test/host/common/unit_test_harness.py`（本文件只做声明）。
+
+为什么要主机侧单测（而不是只用真机）：
+    SNTP 的失败路径（伪造应答、KoD、超时风暴、tick 回绕）在真机上不可复现或
+    要等小时级；且本模块直接拨 RTC（sys_clock→SD2506 写回），拨错一次就是
+    事故——判据必须逐包断言。真机只做正向链路回归（PC W32Time 对端）。
+
+用法（仓库根目录）：
+    & '.venv\\Scripts\\python.exe' test/host/sntp/run_unit_test.py
+
+退出码：0=PASS / 1=测试失败 / 2=环境错误（找不到编译器 / 编译失败 / 无汇总行）。
+
+设计依据：#57 调研（docs 见 sntp-调研报告.md）+ App/sync/time_sntp.c 文件头；
+创建日期：2026-11-04
+"""
+import os
+import sys
+
+HERE = os.path.dirname(os.path.abspath(__file__))
+ROOT = os.path.dirname(os.path.dirname(os.path.dirname(HERE)))
+# harness 位于 test/host/common/
+sys.path.insert(0, os.path.join(ROOT, "test", "host", "common"))
+
+from unit_test_harness import TestBuild, run_host_unit_test  # noqa: E402
+
+# 顺序敏感：stub 目录必须**先于**生产目录，才能覆盖 FreeRTOS.h / task.h /
+# cmsis_os2.h / net_types.h / net_socket.h / sys_clock.h / sys_events.h /
+# sys_log.h / dbg_log.h（真实头会拖入整套 FreeRTOS / HAL / CH395F）。
+# cfg_file.h 用**真实头**（App/cfg，纯 stdint/stddef——注册描述符契约原汁）；
+# sntp_cfg.h / time_sntp.h 用真实头（接口契约原汁）。
+BUILD = TestBuild(
+    name="SNTP Client Tests",
+    src=os.path.join(HERE, "sntp_test.c"),
+    include_dirs=[
+        os.path.join(HERE, "stub"),
+        os.path.join(ROOT, "App", "sync"),
+        os.path.join(ROOT, "App", "cfg"),
+        os.path.join(ROOT, "Drivers", "BSP", "NETCFG"),
+        os.path.join(ROOT, "Lib", "coreSNTP"),
+        os.path.join(ROOT, "Lib", "coreSNTP", "include"),
+        HERE,
+    ],
+    summary_marker="=== SNTP Client Tests:",
+)
+
+if __name__ == "__main__":
+    sys.exit(run_host_unit_test(BUILD))

test/host/sntp/sntp_test.c

@@ -0,0 +1,967 @@
+/*
+ * 模块名称：Time SNTP 主机单测（test/host/sntp）
+ * 模块功能：把 App/sync/time_sntp.c + Drivers/BSP/NETCFG/sntp_cfg.c +
+ *           vendor Lib/coreSNTP/core_sntp_serializer.c 一起编进本 TU，
+ *           用脚本化 net/sys_clock/dbg fake 驱动状态机，验证：
+ *           RFC 4330 §10 节奏（初始散布/失败翻倍封顶/成功重排）、§5.3 防欺骗
+ *           （源 IP:port / originate 精确匹配 / mode / LI=3 / stratum / KoD）、
+ *           §5.5 步进策略（±2s 死区、冷启动直采 T3、时区面 +28800）、
+ *           poll 钳位与 set 入口、代次/停用收口。
+ *           （[sntp] 段描述符注册断言在 test/host/net_cfg——分层门禁后
+ *           描述符由 net_cfg.c 组装，本套件只并 sntp_cfg.c 数据本体。）
+ * 约束：生产 .c 以 #include 方式并入——static 白盒可达；fake 计数前缀唯一，
+ *       避免同名 tentative static 静默合并（2026-10-10 教训）。
+ */
+#include <stdint.h>
+#include <stdio.h>
+#include <string.h>
+
+/* stub 头先行：fake 定义要用到这些类型/宏 */
+#include "FreeRTOS.h"
+#include "task.h"
+#include "cmsis_os2.h"
+#include "net_types.h"
+#include "net_socket.h"
+#include "sys_clock.h"
+#include "sys_events.h"
+#include "sys_log.h"
+#include "dbg_log.h"
+
+/* ---- fake 存储（stub/dbg_log.h 已声明 g_dbg_*_count extern，此处落定义） ---- */
+int g_dbg_err_count;
+int g_dbg_warn_count;
+int g_dbg_info_count;
+
+/* 系统 tick（ms） */
+static uint32_t g_tick;
+
+/* 时钟面：UINT32_MAX = 未初始化；其余 = 本地秒 */
+static uint32_t g_face;
+static uint32_t g_face_set_last;
+static int g_face_set_calls;
+
+/* 事件标志 / 操作日志 */
+osEventFlagsId_t sys_evtHandle;      /* 测试里指到假对象（非 NULL） */
+static int g_evt_calls;
+static uint32_t g_evt_last;
+static int g_syslog_calls;
+static syslog_id_t g_syslog_last_id;
+
+/* ---- net fake ---- */
+#define SNTP_T_NET_SEND_MAX 8
+#define SNTP_T_NET_RECV_MAX 8
+#define SNTP_T_NET_IP(o1,o2,o3,o4) { (o1), (o2), (o3), (o4) }
+
+static uint32_t g_gen;
+static int g_sock_next_fd = 100;
+static int g_sock_opens;
+static int g_sock_close_calls;
+static int g_last_close_fd = -1;
+static int g_bind_calls;
+static int g_bind_ret;               /* 脚本：0 成功 / -1 失败 */
+static int g_errno_val;
+static int g_send_calls;
+static uint8_t g_sent_ip[4];
+static uint16_t g_sent_port_be;
+static uint8_t g_sent_pkt[128];
+static int g_sent_len;
+static int g_send_ret;               /* 脚本：48 / -1 */
+static int g_send_history_n;         /* 每轮 send_calls 快照（历史计数） */
+
+struct sntp_t_recv {
+    int kind;                        /* NET_RECV_* */
+    int len;                         /* kind==DATA 有效 */
+    uint8_t data[128];
+    uint8_t ip[4];
+    uint16_t port_be;
+};
+static struct sntp_t_recv g_recv_q[SNTP_T_NET_RECV_MAX];
+static int g_recv_head, g_recv_tail;
+static uint32_t g_recv_last_timeout_ms;   /* 最近一次 recv 的片超时（50ms 断言） */
+
+/* ---- cfg fake：[sntp] 段描述符组装已移 net_cfg.c（分层门禁），注册内容
+ * 断言归 test/host/net_cfg；本套件只需 sntp_cfg.c 数据本体可用，无引擎调用 ---- */
+
+/* ---- dbg 宏（stub/dbg_log.h 已声明 g_dbg_*，此处无需再定义宏） ---- */
+
+/* ---- sys_clock / sys_events / sys_log / cmsis fake 实现 ---- */
+uint32_t sys_clock_get(void)
+{
+    return g_face;
+}
+
+int sys_clock_set_unix(uint32_t unix_secs)
+{
+    g_face_set_calls++;
+    g_face_set_last = unix_secs;
+    g_face = unix_secs;
+    return 0;
+}
+
+uint32_t xTaskGetTickCount(void)
+{
+    return g_tick;
+}
+
+uint32_t osEventFlagsSet(osEventFlagsId_t ef_id, uint32_t events)
+{
+    (void)ef_id;
+    g_evt_calls++;
+    g_evt_last = events;
+    return events;
+}
+
+void syslog_post_quiet(syslog_id_t id, const char *desc)
+{
+    (void)desc;
+    g_syslog_calls++;
+    g_syslog_last_id = id;
+}
+
+/* ---- net fake 实现 ---- */
+static void sntp_t_net_reset(void)
+{
+    g_sock_next_fd = 100;
+    g_sock_opens = 0;
+    g_sock_close_calls = 0;
+    g_last_close_fd = -1;
+    g_bind_calls = 0;
+    g_bind_ret = 0;
+    g_errno_val = 0;
+    g_send_calls = 0;
+    g_send_ret = 48;
+    g_send_history_n = 0;
+    g_recv_head = g_recv_tail = 0;
+    g_recv_last_timeout_ms = 0;
+    memset(g_sent_ip, 0, sizeof(g_sent_ip));
+    memset(g_sent_pkt, 0, sizeof(g_sent_pkt));
+    g_sent_len = 0;
+    g_sent_port_be = 0;
+}
+
+static void sntp_t_push_recv(int kind, const uint8_t *data, int len,
+                             const uint8_t *ip, uint16_t port_be)
+{
+    struct sntp_t_recv *r;
+
+    if (g_recv_tail - g_recv_head >= SNTP_T_NET_RECV_MAX) {
+        printf("recv queue overflow\n");
+        return;
+    }
+    r = &g_recv_q[g_recv_tail++ % SNTP_T_NET_RECV_MAX];
+    r->kind = kind;
+    r->len = len;
+    r->port_be = port_be;
+    if (data != NULL && len > 0) {
+        memcpy(r->data, data, (size_t)len);
+    }
+    if (ip != NULL) {
+        memcpy(r->ip, ip, 4);
+    } else {
+        memset(r->ip, 0, 4);
+    }
+}
+
+int net_socket(int domain, int type)
+{
+    (void)domain;
+    (void)type;
+    g_sock_opens++;
+    return g_sock_next_fd++;
+}
+
+int net_bind(int sockfd, const struct net_sockaddr *addr, int addrlen)
+{
+    (void)sockfd;
+    (void)addr;
+    (void)addrlen;
+    g_bind_calls++;
+    return g_bind_ret;
+}
+
+int net_sendto(int sockfd, const void *buf, int len, int flags,
+               const struct net_sockaddr *dest, int addrlen)
+{
+    const struct net_sockaddr_in *d = (const struct net_sockaddr_in *)dest;
+
+    (void)sockfd;
+    (void)flags;
+    (void)addrlen;
+    g_send_calls++;
+    g_send_history_n = g_send_calls;
+    if (len > 0 && len <= (int)sizeof(g_sent_pkt)) {
+        memcpy(g_sent_pkt, buf, (size_t)len);
+    }
+    g_sent_len = len;
+    if (dest != NULL) {
+        memcpy(g_sent_ip, &d->sin_addr.s_addr, 4);
+        g_sent_port_be = d->sin_port;
+    }
+    return g_send_ret;
+}
+
+int net_recvfrom_to(int sockfd, void *buf, int len, uint32_t timeout_ms,
+                    struct net_sockaddr *src, int *addrlen)
+{
+    struct sntp_t_recv *r;
+    struct net_sockaddr_in *sin = (struct net_sockaddr_in *)src;
+
+    (void)sockfd;
+    g_recv_last_timeout_ms = timeout_ms;
+    if (g_recv_head == g_recv_tail) {
+        return -2;                    /* 队列空 = 无应答（合同 -2） */
+    }
+    r = &g_recv_q[g_recv_head++ % SNTP_T_NET_RECV_MAX];
+    if (r->kind != NET_RECV_DATA) {
+        return r->kind;               /* -2 超时 / -1 错误 / 0 防御 */
+    }
+    if (r->len > len) {
+        r->len = len;
+    }
+    memcpy(buf, r->data, (size_t)r->len);
+    if (src != NULL && addrlen != NULL && *addrlen >= (int)sizeof(*sin)) {
+        memset(sin, 0, sizeof(*sin));
+        sin->sin_family = NET_AF_INET;
+        sin->sin_port = r->port_be;
+        memcpy(&sin->sin_addr.s_addr, r->ip, 4);
+    }
+    return r->len;
+}
+
+int net_close(int sockfd)
+{
+    g_sock_close_calls++;
+    g_last_close_fd = sockfd;
+    return 0;
+}
+
+int net_get_errno(void)
+{
+    return g_errno_val;
+}
+
+uint32_t net_get_generation(void)
+{
+    return g_gen;
+}
+
+/* ---- 生产代码并入（顺序：vendor → 配置 → 客户端） ---- */
+#include "core_sntp_serializer.c"
+#include "sntp_cfg.c"
+#include "time_sntp.c"
+
+/* ---- 测试框架 ---- */
+static int g_total, g_pass, g_fail;
+
+#define CHECK(cond, name)                                                   \
+    do {                                                                    \
+        g_total++;                                                          \
+        if (cond) { g_pass++; }                                             \
+        else { g_fail++; printf("  FAIL %s (line %d)\n", (name), __LINE__); } \
+    } while (0)
+
+static void s_case_reset(void)
+{
+    sntp_cfg_t *c;
+
+    /* 配置先归零，再借代次跳变走"生产复位通道"（关 socket + 状态回 IDLE） */
+    c = (sntp_cfg_t *)(void *)sntp_cfg_get();
+    c->enable = 0u;
+    memset(c->server_pri, 0, 4);
+    memset(c->server_bak, 0, 4);
+    c->poll_min = 60u;
+
+    g_gen++;
+    (void)time_sntp_run(g_gen);
+
+    g_tick = 10000u;                  /* 避开 0 */
+    g_face = UINT32_MAX;
+    g_face_set_calls = 0;
+    g_face_set_last = 0u;
+    g_evt_calls = 0;
+    g_evt_last = 0;
+    g_syslog_calls = 0;
+    g_dbg_err_count = g_dbg_warn_count = g_dbg_info_count = 0;
+    sntp_t_net_reset();
+    sys_evtHandle = (osEventFlagsId_t)&g_evt_calls;   /* 假句柄：非 NULL */
+
+    s_ctx.srv = 0u;
+}
+
+static void s_cfg_enable(const uint8_t *pri, const uint8_t *bak, uint16_t poll)
+{
+    sntp_cfg_t *c = (sntp_cfg_t *)(void *)sntp_cfg_get();
+
+    c->enable = 1u;
+    if (pri != NULL) { memcpy(c->server_pri, pri, 4); }
+    if (bak != NULL) { memcpy(c->server_bak, bak, 4); }
+    c->poll_min = poll;
+}
+
+/* 推进到"下一次"发出请求（基线=当前计数，有界轮询），返回 1=新发一包 */
+static int s_run_until_send(uint32_t max_ms)
+{
+    uint32_t t;
+    int base = g_send_calls;
+
+    for (t = 0; t < max_ms; t += 200u) {
+        g_tick += 200u;
+        time_sntp_run(g_gen);
+        if (g_send_calls > base) {
+            return 1;
+        }
+    }
+    return 0;
+}
+
+/* 从 g_sent_pkt 的 transmit 时间戳（40..47）拼一条合法应答（不含 KoD） */
+static void s_build_resp(uint8_t *out, uint8_t li, uint8_t stratum,
+                         uint32_t t2_sec, uint32_t t2_frac,
+                         uint32_t t3_sec, uint32_t t3_frac)
+{
+    memset(out, 0, 48);
+    out[0] = (uint8_t)(((li & 3u) << 6) | (4u << 3) | 4u);   /* VN4 mode=4 */
+    out[1] = stratum;
+    memcpy(&out[24], &g_sent_pkt[40], 8);                    /* originate = T1 原样 */
+    /* recvTs 非零（serializer 要求三时间戳非零） */
+    out[32] = (uint8_t)(t2_sec >> 24); out[33] = (uint8_t)(t2_sec >> 16);
+    out[34] = (uint8_t)(t2_sec >> 8);  out[35] = (uint8_t)t2_sec;
+    out[36] = (uint8_t)(t2_frac >> 24); out[37] = (uint8_t)(t2_frac >> 16);
+    out[38] = (uint8_t)(t2_frac >> 8);  out[39] = (uint8_t)t2_frac;
+    out[40] = (uint8_t)(t3_sec >> 24); out[41] = (uint8_t)(t3_sec >> 16);
+    out[42] = (uint8_t)(t3_sec >> 8);  out[43] = (uint8_t)t3_sec;
+    out[44] = (uint8_t)(t3_frac >> 24); out[45] = (uint8_t)(t3_frac >> 16);
+    out[46] = (uint8_t)(t3_frac >> 8);  out[47] = (uint8_t)t3_frac;
+}
+
+static uint32_t s_be32(const uint8_t *p)
+{
+    return ((uint32_t)p[0] << 24) | ((uint32_t)p[1] << 16) |
+           ((uint32_t)p[2] << 8) | (uint32_t)p[3];
+}
+
+/* 等应答态喂一包（服务器地址 = 本轮实际发送目的），返回后状态自取 */
+static void s_feed(const uint8_t *resp, int len, const uint8_t *src_ip,
+                   uint16_t src_port)
+{
+    sntp_t_push_recv(NET_RECV_DATA, resp, len, src_ip, src_port);
+    g_tick += 200u;
+    time_sntp_run(g_gen);
+}
+
+/* ============================ 测试用例 ============================ */
+
+static void tc_poll_clamp(void)
+{
+    sntp_cfg_t *c;
+
+    /* [sntp] 段描述符/键表/默认值的注册断言在 test/host/net_cfg（描述符
+       已改由 net_cfg.c 组装）；这里只钉客户端实际消费的 poll 钳位口 */
+    s_case_reset();
+    c = (sntp_cfg_t *)(void *)sntp_cfg_get();
+    c->poll_min = 0u;    CHECK(sntp_cfg_poll_min() == 60u, "cfg: poll 0 -> 60");
+    c->poll_min = 1441u; CHECK(sntp_cfg_poll_min() == 60u, "cfg: poll 1441 -> 60");
+    c->poll_min = 2u;    CHECK(sntp_cfg_poll_min() == 2u, "cfg: poll 2 kept");
+    CHECK(c->poll_min == 0u || c->poll_min == 2u || c->poll_min == 1441u,
+          "cfg: clamp no writeback");
+    c->poll_min = 60u;
+
+    /* set(NULL) 不改写 + set 整包拷贝（UI 编辑入口的行为钉） */
+    sntp_cfg_set(NULL);
+    CHECK(sntp_cfg_poll_min() == 60u, "cfg: set(NULL) no-op");
+}
+
+static void tc_disabled_silent(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    ((sntp_cfg_t *)sntp_cfg_get())->enable = 0u;
+    (void)time_sntp_run(g_gen);
+    CHECK(g_send_calls == 0 && g_sock_opens == 0, "disable: no send/no socket");
+}
+
+static void tc_first_send_window(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint32_t t0;
+
+    s_case_reset();
+    t0 = g_tick;
+    s_cfg_enable(pri, NULL, 60u);
+    CHECK(s_run_until_send(320000u) == 1, "first: send happened");
+    CHECK(g_tick - t0 >= SNTP_FIRST_DELAY_MIN_MS && g_tick - t0 <=
+          SNTP_FIRST_DELAY_MIN_MS + SNTP_FIRST_DELAY_SPAN_MS, "first: 1..5min window");
+    CHECK(g_send_calls == 1, "first: single send");
+    CHECK(g_sent_len == 48, "first: 48B request");
+    CHECK(g_sent_pkt[0] == 0x23u, "first: LI0 VN4 mode3");
+    CHECK(g_sent_port_be == net_htons(123u), "first: dst port 123 BE");
+    CHECK(memcmp(g_sent_ip, pri, 4) == 0, "first: dst = server1");
+    CHECK(s_be32(&g_sent_pkt[40]) != 0u, "first: T1 nonzero");
+    CHECK(g_sock_opens == 1 && g_bind_calls == 1, "first: socket opened+bound");
+}
+
+static void tc_cold_start_step_t3(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t resp[48];
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    g_tick = (g_tick / 1000u) * 1000u;               /* 分数归零，期望精确 */
+    /* 冷启动：偏移乱也无妨——直接采用服务器 T3（调研 §5.5）。
+     * T3 用真实当前时刻（服务器不受本地冷钟 epoch 起点影响） */
+    {
+        const uint32_t real_unix = 1750000000u;      /* 2025-06-15，域内 */
+        s_build_resp(resp, 0u, 5u,
+                     SNTP_TIME_AT_UNIX_EPOCH_SECS + real_unix + 1u, 0u,
+                     SNTP_TIME_AT_UNIX_EPOCH_SECS + real_unix, 0u);
+        s_feed(resp, 48, pri, net_htons(123u));
+        CHECK(time_sntp_sync_count() >= 1u, "cold: sync counted");
+        CHECK(g_face_set_calls == 1, "cold: step once");
+        CHECK(g_face_set_last == real_unix + 28800u,
+              "cold: face = T3 unix + 8h");
+    }
+    CHECK(g_syslog_calls == 1 && g_syslog_last_id == SYSLOG_OPER, "cold: oper log");
+    CHECK(g_evt_calls == 1 && g_evt_last == SYS_EVT_TIMESYNC_READY, "cold: ready evt");
+    /* 成功节奏：下一轮 = poll_min（60 分钟），退避复位 */
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE && s_ctx.timeout_ms == 5000u,
+          "cold: backoff reset");
+}
+
+static void tc_step_valid_clock(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t resp[48];
+    uint32_t t1s;
+    uint32_t face_before = 1750000123u + 28800u;     /* 有效本地钟（2025+） */
+
+    s_case_reset();
+    g_face = face_before;
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    g_tick = (g_tick / 1000u) * 1000u;
+    /* 服务器快 30s：T2=T3=T1+30s，T4=T1 → offset=+30000ms（>2s 死区 → 步进） */
+    s_build_resp(resp, 0u, 5u, t1s + 30u, 0u, t1s + 30u, 0u);
+    s_feed(resp, 48, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 1, "step: stepped once");
+    CHECK(g_face_set_last == face_before + 30u, "step: face += 30s");
+    CHECK(time_sntp_last_offset_ms() >= 29499 && time_sntp_last_offset_ms() <= 30001,
+          "step: offset ~30000ms");
+}
+
+static void tc_deadband_no_step(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t resp[48];
+    uint32_t t1s;
+    uint32_t cnt0 = time_sntp_sync_count();
+
+    s_case_reset();
+    g_face = 1750000000u + 28800u;
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    g_tick = (g_tick / 1000u) * 1000u;
+    /* ±1s < 2s 死区：只记录不拨针（防 SD2506 磨损，调研 §5.5） */
+    s_build_resp(resp, 0u, 5u, t1s, 0u, t1s + 1u, 0u);
+    s_feed(resp, 48, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 0, "deadband: no step");
+    CHECK(g_syslog_calls == 0, "deadband: no oper log");
+    CHECK(time_sntp_sync_count() == cnt0 + 1u, "deadband: counted sync");
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE, "deadband: next poll scheduled");
+}
+
+static void tc_anti_spoof_src(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t other[] = SNTP_T_NET_IP(192, 168, 31, 66);
+    uint8_t resp[48];
+    uint32_t t1s;
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    s_build_resp(resp, 0u, 5u, t1s, 0u, t1s, 0u);
+    /* 源 IP 不对：丢弃继续等（§5.3 第一道） */
+    s_feed(resp, 48, other, net_htons(123u));
+    CHECK(g_face_set_calls == 0, "spoof: wrong ip not stepped");
+    CHECK(s_ctx.state == SNTP_ST_WAIT_RESP, "spoof: still waiting");
+    /* 源端口不对（123→999）：同样丢弃 */
+    s_feed(resp, 48, pri, net_htons(999u));
+    CHECK(g_face_set_calls == 0 && s_ctx.state == SNTP_ST_WAIT_RESP, "spoof: wrong port");
+    /* originate 篡改：丢弃 */
+    resp[24] ^= 0xA5u;
+    s_feed(resp, 48, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 0 && s_ctx.state == SNTP_ST_WAIT_RESP, "spoof: bad originate");
+    /* mode=3（服务器回显错 mode）：serializer 判无效 → 丢弃 */
+    s_build_resp(resp, 0u, 5u, t1s, 0u, t1s, 0u);
+    resp[0] = (uint8_t)((resp[0] & 0xF8u) | 3u);
+    s_feed(resp, 48, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 0 && s_ctx.state == SNTP_ST_WAIT_RESP, "spoof: bad mode");
+    /* 短包（<48）：丢弃 */
+    s_feed(resp, 40, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 0 && s_ctx.state == SNTP_ST_WAIT_RESP, "spoof: short pkt");
+    /* 最后合法包仍可达：链路未被误伤 */
+    s_build_resp(resp, 0u, 5u, t1s, 0u, t1s, 0u);
+    g_face = 1750000000u + 28800u;
+    s_feed(resp, 48, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 0, "spoof: valid after noise (deadband)");
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE, "spoof: recovered to schedule");
+}
+
+static void tc_li3_stratum(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t bak[] = SNTP_T_NET_IP(192, 168, 31, 13);
+    uint8_t resp[48];
+    uint32_t t1s;
+    int sends_at_li;
+
+    s_case_reset();
+    s_cfg_enable(pri, bak, 60u);
+    (void)s_run_until_send(320000u);
+    /* LI=3：服务器没同步 → 立即失败 + 切备 + 翻倍退避（serializer 不拦，我们拦） */
+    t1s = s_be32(&g_sent_pkt[40]);
+    s_build_resp(resp, 3u, 5u, t1s, 0u, t1s, 0u);
+    sends_at_li = g_send_calls;
+    s_feed(resp, 48, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 0, "li3: no step");
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE && s_ctx.timeout_ms == 10000u,
+          "li3: doubled backoff");
+    CHECK(s_ctx.srv == 1u, "li3: switched to backup");
+    /* 备机应答 stratum=16（非法）：失败退避但不再切换（只拦包不怪服务器方向？
+     * 调研：stratum 非法 = 无效应答 → 退避；主备保持） */
+    (void)s_run_until_send(20000u);
+    CHECK(g_send_calls == sends_at_li + 1, "li3: retry to backup");
+    CHECK(memcmp(g_sent_ip, bak, 4) == 0, "li3: dst=backup now");
+    t1s = s_be32(&g_sent_pkt[40]);
+    s_build_resp(resp, 0u, 16u, t1s, 0u, t1s, 0u);
+    s_feed(resp, 48, bak, net_htons(123u));
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE && s_ctx.timeout_ms == 20000u,
+          "stratum16: backoff");
+    /* 本仓无 DBG_WARN 宏（dbg_log.h 只有 ERROR/INFO/DEBUG，net_udp.c:756 钉），
+     * 生产侧 WARN 走 DBG_INFO("WARN: …")——计数看 info */
+    CHECK(g_dbg_info_count >= 2, "stratum/li3: warned");
+}
+
+static void tc_kod(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t bak[] = SNTP_T_NET_IP(192, 168, 31, 13);
+    uint8_t resp[48];
+    uint32_t t1s;
+
+    s_case_reset();
+    s_cfg_enable(pri, bak, 60u);
+    /* KoD stratum=0 + refId 码：DENY → 切备（§5.3/RFC） */
+    (void)s_run_until_send(320000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    s_build_resp(resp, 0u, 0u, t1s, 0u, t1s, 0u);
+    resp[12] = 'D'; resp[13] = 'E'; resp[14] = 'N'; resp[15] = 'Y';
+    s_feed(resp, 48, pri, net_htons(123u));
+    CHECK(g_face_set_calls == 0 && s_ctx.srv == 1u, "kod DENY: switch");
+    /* RATE：退避但保留当前服务器 */
+    (void)s_run_until_send(20000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    s_build_resp(resp, 0u, 0u, t1s, 0u, t1s, 0u);
+    resp[12] = 'R'; resp[13] = 'A'; resp[14] = 'T'; resp[15] = 'E';
+    s_feed(resp, 48, bak, net_htons(123u));
+    CHECK(s_ctx.srv == 1u && s_ctx.timeout_ms == 20000u, "kod RATE: keep+backoff");
+    /* 未知码：按 OtherCode 切走 */
+    (void)s_run_until_send(40000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    s_build_resp(resp, 0u, 0u, t1s, 0u, t1s, 0u);
+    resp[12] = '?'; resp[13] = '?'; resp[14] = '?'; resp[15] = '?';
+    s_feed(resp, 48, bak, net_htons(123u));
+    CHECK(s_ctx.srv == 0u, "kod other: switch");
+}
+
+static void tc_timeout_backoff_cap(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint32_t t;
+    int i;
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    /* 无应答：5s 片到点 → 退避翻倍；socket 保留 */
+    for (t = 0; t < 6000u; t += 200u) {
+        g_tick += 200u;
+        time_sntp_run(g_gen);
+    }
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE && s_ctx.timeout_ms == 10000u,
+          "timeout: doubled 5s->10s");
+    CHECK(g_sock_close_calls == 0, "timeout: socket kept");
+    /* 连打封顶 60s（RFC 间隔递增），单参数化推进：每轮 = 应窗 + 应答窗 */
+    for (i = 0; i < 10 && s_ctx.timeout_ms < SNTP_RESP_TIMEOUT_MAX_MS; i++) {
+        uint32_t win = s_ctx.timeout_ms * 2u + 2000u;
+        (void)s_run_until_send(win);
+        for (t = 0; t < win && s_ctx.state == SNTP_ST_WAIT_RESP; t += 200u) {
+            g_tick += 200u;
+            time_sntp_run(g_gen);
+        }
+    }
+    CHECK(s_ctx.timeout_ms == SNTP_RESP_TIMEOUT_MAX_MS, "timeout: cap 60s");
+}
+
+static void tc_poll_pacing_after_success(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t resp[48];
+    uint32_t t1s, t;
+    int send_at_success;
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 2u);       /* 2 分钟一轮（钳位带内） */
+    (void)s_run_until_send(320000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    s_build_resp(resp, 0u, 5u, t1s, 0u, t1s, 0u);
+    s_feed(resp, 48, pri, net_htons(123u));
+    send_at_success = g_send_calls;
+    /* 下一轮 = poll_min*60s：1 分 50s 内不应有第 2 包 */
+    for (t = 0; t < 110000u; t += 200u) {
+        g_tick += 200u;
+        time_sntp_run(g_gen);
+    }
+    CHECK(g_send_calls == send_at_success, "poll: not early (<2min)");
+    for (t = 0; t < 20000u; t += 200u) {
+        g_tick += 200u;
+        time_sntp_run(g_gen);
+        if (g_send_calls > send_at_success) { break; }
+    }
+    CHECK(g_send_calls == send_at_success + 1, "poll: second round on time");
+}
+
+static void tc_no_server_warn_once(void)
+{
+    uint32_t t;
+
+    s_case_reset();
+    s_cfg_enable(NULL, NULL, 60u);     /* enable 但两侧全零 */
+    for (t = 0; t < 700000u; t += 1000u) {
+        g_tick += 1000u;
+        time_sntp_run(g_gen);
+    }
+    CHECK(g_send_calls == 0, "nosrv: never sends");
+    CHECK(g_dbg_info_count >= 1, "nosrv: warned");
+    {
+        int w0 = g_dbg_info_count;
+        g_tick += 1000u;
+        time_sntp_run(g_gen);
+        CHECK(g_dbg_info_count == w0, "nosrv: warn once only");
+    }
+    /* 配置补齐即恢复（不发请求不算失败，无退避拖尾） */
+    {
+        sntp_cfg_t *c = (sntp_cfg_t *)(void *)sntp_cfg_get();
+        uint8_t pri[] = SNTP_T_NET_IP(10, 0, 0, 9);
+        memcpy(c->server_pri, pri, 4);
+        CHECK(s_run_until_send(320000u) == 1, "nosrv: recovers on config");
+        CHECK(memcmp(g_sent_ip, pri, 4) == 0, "nosrv: new server used");
+    }
+}
+
+static void tc_disable_closes_socket(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    sntp_cfg_t *c;
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    CHECK(g_sock_opens == 1, "disable: opened once");
+    c = (sntp_cfg_t *)(void *)sntp_cfg_get();
+    c->enable = 0u;
+    g_tick += 200u;
+    time_sntp_run(g_gen);
+    CHECK(g_sock_close_calls == 1 && s_ctx.state == SNTP_ST_IDLE, "disable: closed+idle");
+    g_tick += 200u;
+    time_sntp_run(g_gen);
+    CHECK(g_sock_close_calls == 1, "disable: no double close");
+}
+
+static void tc_gen_change_resets(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    int before;
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    before = g_send_calls;
+    /* 网络代次变化（UI 保存重建 / 链路复位）：弃 socket 重新散布；
+     * 同一次 run 内 enable==1 时 IDLE 立即重排为 WAIT_DUE（重新 1..5min 散布） */
+    g_gen++;
+    g_tick += 200u;
+    time_sntp_run(g_gen);
+    CHECK(g_sock_close_calls == 1 && s_ctx.state == SNTP_ST_WAIT_DUE &&
+          s_ctx.gen == g_gen, "gen: close+re-spread");
+    {
+        uint32_t t;
+        for (t = 0; t < 59000u; t += 200u) {   /* 首 59s 不该再发 */
+            g_tick += 200u;
+            time_sntp_run(g_gen);
+        }
+        CHECK(g_send_calls == before, "gen: fresh 1..5min re-spread");
+    }
+}
+
+static void tc_send_fail_switch(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t bak[] = SNTP_T_NET_IP(192, 168, 31, 13);
+
+    s_case_reset();
+    s_cfg_enable(pri, bak, 60u);
+    g_send_ret = -1;
+    g_errno_val = NET_ERR_NOSPACE;
+    (void)s_run_until_send(320000u);
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE && s_ctx.timeout_ms == 10000u,
+          "sendfail: backoff");
+    CHECK(s_ctx.srv == 1u, "sendfail: switched");
+    g_send_ret = 48;
+    (void)s_run_until_send(20000u);
+    CHECK(memcmp(g_sent_ip, bak, 4) == 0, "sendfail: retry to backup");
+}
+
+static void tc_recv_err_deadfd(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint32_t t;
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    sntp_t_push_recv(NET_RECV_ERR, NULL, 0, NULL, 0);
+    g_errno_val = NET_ERR_CONNRESET;
+    g_tick += 200u;
+    time_sntp_run(g_gen);
+    CHECK(g_last_close_fd >= 100 && s_ctx.fd == -1, "recverr: dead fd closed");
+    CHECK(s_ctx.state == SNTP_ST_WAIT_DUE, "recverr: backoff");
+    /* 下一轮到点自动重开 socket */
+    for (t = 0; t < 12000u; t += 200u) {
+        g_tick += 200u;
+        time_sntp_run(g_gen);
+        if (g_send_calls >= 2) { break; }
+    }
+    CHECK(g_send_calls == 2 && g_sock_opens == 2, "recverr: reopened");
+}
+
+static void tc_oversized_resp_ok(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+    uint8_t resp[64];
+    uint32_t t1s;
+
+    s_case_reset();
+    g_face = 1750000000u + 28800u;
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    t1s = s_be32(&g_sent_pkt[40]);
+    memset(resp, 0xAA, sizeof(resp));
+    s_build_resp(resp, 0u, 5u, t1s, 0u, t1s, 0u);      /* 前 48 合法，尾部垃圾 */
+    s_feed(resp, 56, pri, net_htons(123u));            /* 截断交付 = BSD 语义 */
+    CHECK(time_sntp_sync_count() >= 1u && s_ctx.state == SNTP_ST_WAIT_DUE,
+          "oversize: parsed first 48");
+}
+
+static void tc_recv_slice_50ms(void)
+{
+    uint8_t pri[] = SNTP_T_NET_IP(192, 168, 31, 161);
+
+    s_case_reset();
+    s_cfg_enable(pri, NULL, 60u);
+    (void)s_run_until_send(320000u);
+    g_recv_last_timeout_ms = 0u;
+    g_tick += 200u;
+    time_sntp_run(g_gen);
+    CHECK(g_recv_last_timeout_ms == SNTP_RECV_SLICE_MS, "slice: 50ms watchdog-safe");
+}
+
+static void tc_helpers_direct(void)
+{
+    uint32_t x, i, prev;
+
+    s_case_reset();
+    /* 回绕安全到期比较 */
+    CHECK(s_tick_due(1000u, 900u) == 1u, "due: past");
+    CHECK(s_tick_due(800u, 900u) == 0u, "due: future");
+    CHECK(s_tick_due(5u, 0xFFFFFFF0u) == 1u, "due: wrap past");
+    CHECK(s_tick_due(0xFFFFFFF0u - 5u, 0xFFFFFFF0u) == 0u, "due: wrap future");
+    /* int64 截断 */
+    CHECK(s_off_clamp(3000LL) == 3000, "clamp: passthrough");
+    CHECK(s_off_clamp(9999999999999LL) == 2147483647, "clamp: hi");
+    CHECK(s_off_clamp(-9999999999999LL) == -2147483647, "clamp: lo");
+    /* xorshift 永不为 0（0 会卡死） */
+    s_rng_seed_once();
+    prev = s_rng_next();
+    CHECK(prev != 0u, "rng: nonzero");
+    for (i = 0; i < 100000u; i++) {
+        x = s_rng_next();
+        if (x == 0u) { break; }
+        prev = x;
+    }
+    CHECK(prev != 0u && i == 100000u, "rng: stream nonzero 100k");
+    /* 冷启动兜底 T1 域：2036 前进位用 uint32 环绕语义（seconds 直接 ++ 可回绕） */
+    {
+        SntpTimestamp_t ts;
+        g_face = 0xFFFFFFFFu - 1000u;   /* 钟面 > 0x7FFFFFFF → 视为无效域外? */
+        /* s_utc_now: face>=MIN+TZ 且 !=UINT32_MAX → 有效；epoch 加法环绕 */
+        s_ts_now(&ts);
+        {
+            /* uint32 模运算逐项环绕，与 s_ts_now 内部语义一致 */
+            uint32_t expu = (uint32_t)((0xFFFFFFFFu - 1000u - 28800u) +
+                                       SNTP_TIME_AT_UNIX_EPOCH_SECS);
+            CHECK(ts.seconds == expu, "ts: era wrap");
+        }
+        g_face = UINT32_MAX;
+    }
+}
+
+/* 把 host 序 32bit 以大端铺进 p[0..3]（origin/receive/transmit 字段都要大端） */
+static void s_fill_be(uint8_t *p, uint32_t v)
+{
+    p[0] = (uint8_t)(v >> 24); p[1] = (uint8_t)(v >> 16);
+    p[2] = (uint8_t)(v >> 8);  p[3] = (uint8_t)v;
+}
+
+static void tc_serializer_vendored(void)
+{
+    SntpTimestamp_t t1, t4;
+    SntpResponseData_t r;
+    SntpTimestamp_t zero = { 0u, 0u };
+    uint8_t req[48];
+    uint8_t resp[48];
+    uint32_t us = 0u, us2 = 0u;
+
+    s_case_reset();
+    t1.seconds = SNTP_TIME_AT_UNIX_EPOCH_SECS + 1000000000UL;   /* 2001+，era0 */
+    t1.fractions = 0x12345678UL;
+    CHECK(Sntp_SerializeRequest(&t1, 0xAABBCCDDu, req, 48u) == SntpSuccess, "ser: ok");
+    CHECK(req[0] == 0x23u, "ser: LI0 VN4 mode3");
+    /* 防欺骗核心：randomNumber>>16（16bit）OR 进 T1 分数低位 + 回写 pRequestTime
+     * ——应答必须原样 echo 这个合成值，否则判无效 */
+    CHECK(t1.fractions == (0x12345678u | 0xAABBu), "ser: random merged into fractions");
+    CHECK(s_be32(&req[40]) == t1.seconds && s_be32(&req[44]) == t1.fractions,
+          "ser: BE transmit stamped");
+    CHECK(Sntp_SerializeRequest(&zero, 0u, req, 48u) == SntpErrorBadParameter,
+          "ser: zero T1 rejected");
+    CHECK(Sntp_SerializeRequest(&t1, 0u, req, 47u) == SntpErrorBufferTooSmall,
+          "ser: small buf");
+    /* 合法应答 round-trip：origin = 序列化后的 t1 精确回显（大端） */
+    memset(resp, 0, 48);
+    resp[0] = (uint8_t)((0u << 6) | (4u << 3) | 4u);
+    resp[1] = 5u;
+    s_fill_be(&resp[24], t1.seconds); s_fill_be(&resp[28], t1.fractions);
+    s_fill_be(&resp[32], t1.seconds + 1u); s_fill_be(&resp[36], 0u);
+    s_fill_be(&resp[40], t1.seconds + 2u); s_fill_be(&resp[44], 0x00000102u);
+    t4 = t1;
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r) == SntpSuccess,
+          "ser: deserialize ok");
+    CHECK(r.leapSecondType == NoLeapSecond, "ser: leap none");
+    CHECK(r.serverTime.seconds == t1.seconds + 2u, "ser: T3 parsed");
+    /* originate 不匹配 → InvalidResponse（客户机据此丢弃继续等待） */
+    resp[24] ^= 0xFFu;
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r) == SntpInvalidResponse,
+          "ser: origin mismatch rejected");
+    resp[24] ^= 0xFFu;
+    /* mode≠4：回显包/伪造包直接判无效 */
+    resp[0] = (uint8_t)((resp[0] & 0xF8u) | 3u);
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r) == SntpInvalidResponse,
+          "ser: mode!=4 rejected");
+    /* KoD：stratum=0 + refId 码分类（DENY/RSTR 换服、RATE 退避、其余 OtherCode） */
+    resp[0] = (uint8_t)((4u << 3) | 4u);
+    resp[1] = 0u;
+    resp[12] = 'D'; resp[13] = 'E'; resp[14] = 'N'; resp[15] = 'Y';
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r)
+              == SntpRejectedResponseChangeServer, "ser: KoD DENY");
+    resp[12] = 'R'; resp[13] = 'A'; resp[14] = 'T'; resp[15] = 'E';
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r)
+              == SntpRejectedResponseRetryWithBackoff, "ser: KoD RATE");
+    resp[12] = 'R'; resp[13] = 'S'; resp[14] = 'T'; resp[15] = 'R';
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r)
+              == SntpRejectedResponseChangeServer, "ser: KoD RSTR");
+    resp[12] = '?';
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r)
+              == SntpRejectedResponseOtherCode, "ser: KoD other");
+    resp[1] = 5u;
+    /* 2036 纪元语义：era0 尾回减、era1 头回加 */
+    {
+        SntpTimestamp_t e;
+        e.seconds = SNTP_TIME_AT_UNIX_EPOCH_SECS;   /* 1970-01-01 恰在界上 */
+        e.fractions = 0u;
+        CHECK(Sntp_ConvertToUnixTime(&e, &us, &us2) == SntpSuccess && us == 0u,
+              "ser: epoch boundary -> unix 0");
+        e.seconds = SNTP_TIME_AT_UNIX_EPOCH_SECS - 1u;   /* era-1 起点附近 */
+        CHECK(Sntp_ConvertToUnixTime(&e, &us, &us2) == SntpSuccess &&
+              us == UNIX_TIME_SECS_AT_SNTP_ERA_1_SMALLEST_TIME +
+                    (SNTP_TIME_AT_UNIX_EPOCH_SECS - 1u), "ser: era1 wrap");
+    }
+}
+
+static void tc_offset_math(void)
+{
+    /* 四元组中点：T1 含随机低分数（fractionsToMs 向下取整抹掉）、T4 无 → 精确 5000ms */
+    SntpTimestamp_t t1, t4;
+    SntpResponseData_t r;
+    uint8_t resp[48];
+    int64_t exp;
+
+    s_case_reset();
+    t1.seconds = SNTP_TIME_AT_UNIX_EPOCH_SECS + 1500000000UL;
+    t1.fractions = (4295000u * 123u) | 0x1234u;   /* 123ms + 亚 ms 随机噪声 */
+    memset(resp, 0, 48);
+    resp[0] = (uint8_t)((4u << 3) | 4u);
+    resp[1] = 3u;
+    s_fill_be(&resp[24], t1.seconds); s_fill_be(&resp[28], t1.fractions);
+    {
+        uint32_t f = 4295000u * 123u;             /* 服务器对齐到整 ms */
+        uint32_t s = t1.seconds + 5u;             /* T2 = T3 = T1 + 5s */
+        s_fill_be(&resp[32], s); s_fill_be(&resp[36], f);
+        s_fill_be(&resp[40], s); s_fill_be(&resp[44], f);
+    }
+    t4.seconds = t1.seconds;
+    t4.fractions = 4295000u * 123u;               /* 本地 ms 分量（无随机） */
+    CHECK(Sntp_DeserializeResponse(&t1, &t4, resp, 48u, &r) == SntpSuccess, "off: ok");
+    exp = r.clockOffsetMs;
+    CHECK(exp == 5000LL, "off: (T2-T1+T3-T4)/2 == 5000ms exact");
+}
+
+int main(void)
+{
+    setvbuf(stdout, NULL, _IONBF, 0);
+    printf("=== SNTP Client Tests ===\n");
+
+#define TC(fn) do { printf("[" #fn "]\n"); fn(); } while (0)
+    TC(tc_poll_clamp);
+    TC(tc_disabled_silent);
+    TC(tc_first_send_window);
+    TC(tc_cold_start_step_t3);
+    TC(tc_step_valid_clock);
+    TC(tc_deadband_no_step);
+    TC(tc_anti_spoof_src);
+    TC(tc_li3_stratum);
+    TC(tc_kod);
+    TC(tc_timeout_backoff_cap);
+    TC(tc_poll_pacing_after_success);
+    TC(tc_no_server_warn_once);
+    TC(tc_disable_closes_socket);
+    TC(tc_gen_change_resets);
+    TC(tc_send_fail_switch);
+    TC(tc_recv_err_deadfd);
+    TC(tc_oversized_resp_ok);
+    TC(tc_recv_slice_50ms);
+    TC(tc_helpers_direct);
+    TC(tc_serializer_vendored);
+    TC(tc_offset_math);
+#undef TC
+
+    printf("\n=== SNTP Client Tests: %d/%d PASSED (failed=%d) ===\n",
+           g_pass, g_total, g_fail);
+    return (g_fail == 0) ? 0 : 1;
+}

test/host/sntp/stub/FreeRTOS.h

@@ -0,0 +1,5 @@
+#ifndef SNTP_TEST_FREE_RTOS_H
+#define SNTP_TEST_FREE_RTOS_H
+#include <stdint.h>
+typedef uint32_t TickType_t;
+#endif /* SNTP_TEST_FREE_RTOS_H */

test/host/sntp/stub/cmsis_os2.h

@@ -0,0 +1,14 @@
+/* 主机测试固件（test/host/sntp）：cmsis_os2.h 替身——事件标志最小子集。 */
+#ifndef SNTP_TEST_CMSIS_OS2_H
+#define SNTP_TEST_CMSIS_OS2_H
+#include <stdint.h>
+typedef void *osEventFlagsId_t;
+#define osFlagsWaitAll            0u
+#define osFlagsNoClear            0u
+#define osFlagsErrorUnknown       ((uint32_t)0xFFFFFFFFu)
+#define osFlagsErrorTimeout       ((uint32_t)0xFFFFFFFEu)
+#define osFlagsErrorParameter     ((uint32_t)0xFFFFFFFAu)
+#define osFlagsErrTimeout         osFlagsErrorTimeout
+uint32_t osEventFlagsWait(osEventFlagsId_t ef_id, uint32_t flags, uint32_t options, uint32_t timeout);
+uint32_t osEventFlagsSet(osEventFlagsId_t ef_id, uint32_t events);
+#endif /* SNTP_TEST_CMSIS_OS2_H */