wandering1
0f7b5a87fb
登记簿、文档与代码注释里的存量字母加数字编号（N-x / S-x / T-x / E-x / A-x / 卡号） 一律改写为语义短语，净删 2,028 处引用；删除基线与待确认、并行分道方案、排期详述、 采集保护收尾 4 篇（内容已并入 docs/任务规划/README 与登记簿）。 门禁机器与三张账同批重打：check_ids.py 新增变更记录行豁免与第二根护栏 undecidable_total_ceiling；check_test_traceability.py 只加 stdout/stderr UTF-8 reconfigure（TC_RE 未动）；check_cubemx_survival.py 的 --write 固定 newline=LF； id_registry / id_aliases（+19 条 retired-to-phrase）/ id_known_backlog 重打。 test/ 56 个文件同步 TC 标签语义化，其中 18 个 TU 改了 CHECK / printf 里的标签文字， 是本批唯一改变构建产物的文件集合。 为什么合成一笔、不拆四笔（实测撞闸，非偏好）：pre-commit 跑钩子前会 stash 未 staged 部分，拆开后中间提交必然是「新规则 + 旧语料」——实跑可判定 85.15% < 基线 86.00%、 不可判定 1,453 > 上限 1,166，编号门禁直接拦下。编号识别面与它描述的语料只能同码移动。 实跑基线（工作区全量）：754 文件 / 8,230 处编号字面量 / 可判定 7,079 = 86.01% （基线 86.0%，容差 0.1pp）/ 不可判定绝对数 1,151（上限 1,166）/ 校验 1-6 错误级 0 / 告警 = 悬空 2（App/algo/freq.c 的 S2，属 §4.4 同号不同义）+ 孤儿 50。 基线从 84.0 抬到 86.0 的理由见 docs/门禁说明/id-check.md §7.6：本批真删了 2,028 处 引用，可判定面随真实内容上升，不是把分母做小。同批新增排除 docs/硬件平台/ 语料，使 识别面少 264 处——芯片手册位号与网表料号不属编号空间（registry 有 excluded_paths_note）。 ⚠ 余量只剩 0.11pp（约 10 处）与绝对数 15 处：把「可判定的引用」改成散文会立刻撞第二 根护栏。另遗留一项：id_aliases 里 retired 的 N / S / T / A 别名没有 scope（U1~U5 有）， 今后有人新写一个 A-4，校验 3 不会响，只能靠人，建议下批补 scope。 固件不变证据：115 个 .c/.h 剥注释并归一字符串后与 HEAD 逐字节全等，残留代码差异 0； App / Src / Drivers 的字符串字面量零改动。@build 0 错误 0 警告；40/40 主机套件、2,889 断言全通过；覆盖率 line 89.2% / func 92.6%；pre-commit 48 钩子 --all-files 全绿； check_doc_links --all 通过（176 文档，章节引用无法判定 0）；逐字节卫生核过：14 个带 BOM 文件与 HEAD 一致、0 个 CR、0 个 U+FFFD，字符串字面量纯 ASCII。 .cubemx_survival_baseline.json 的 watchdog-module 哈希 56bf27 变 2bb051 属合法： Src/freertos.c 的 USER CODE 区内只有注释文字随编号改写，代码未变。 同批带上体积同码凭证与 RAM 台账行（@build 之后盖戳）：RW_IRAM1 79,008 B / 60.3%， RW_CCM 57,376 B / 87.9%，阈值 92%。
250 lines
14 KiB
C
250 lines
14 KiB
C
/*
|
||
* 模块名称：保护任务（L3 板端接线，B5）——实现
|
||
* 模块功能：见 protect_task.h。每拍三件事：
|
||
* ① L5-4 采样故障闭锁：adc_health_flags() 电平位命中 → 元件状态
|
||
* 复位（防陈旧判据）+ 本拍不 eval；
|
||
* ② prot_set_selfcheck()（L5-1 定值完整性巡检，40 项 sum32——
|
||
* B8 后 PS_ID_COUNT=40，开销
|
||
* 可忽略；失配 → prot_set 内部闭锁，eval 自动复位全元件）；
|
||
* ③ prot_elm_run()（phasor rms → 判据步进）+ 动作位图边沿日志；
|
||
* ④ 全局软压板 PS_GLOBAL_EN（104 YK12 两段式投退，B7）：退出 =
|
||
* 复位元件 + 停判据（与采样闭锁同构，独立边沿日志）；
|
||
* ⑤ 未标定闭锁（「数据可信」卡 5，M4 唯一新增行为变更）：UA/UN/IA
|
||
* 的 adc_cal VALID 位未全置位 → 工程量还只是 ADC 引脚电压
|
||
* （eng=0），拿去比二次值定值必然错判 → 复位元件 + 本拍不 eval。
|
||
* 默认构建（未标定）恒闭锁是**期望行为**：边沿用 DBG_INFO 而非
|
||
* [ERR]（未标定是出厂常态、不是故障；每次开机都走这条沿，
|
||
* [ERR] 还会误触 @test 禁用标记）；台架旁路只走编译期宏
|
||
* DTU_BENCH（「数据可信」§4.3：不进 cfg、不进 104，本仓任何
|
||
* 提交目标都不定义它）。判定优先级 = 采样可信在前、标定可用
|
||
* 在后（数据都旧了谈不上标定）。
|
||
* 定值/元件初始化在 app_main_init（内核前，B5）；本任务只消费。
|
||
* 线程约定：prot_elm_run / prot_set_selfcheck 仅本任务上下文（prot_elm.h）；
|
||
* 跨上下文复归（104 YK11）经 prot_elm_request_reset 落请求。
|
||
* 创建日期：2026-10-12（B5）
|
||
* 修改记录：
|
||
* v1.0 2026-10-12 王建锋 创建：L5-4 采样故障闭锁 + L5-1 定值巡检 + 判据节拍
|
||
* v1.1 2026-10-21 王建锋 ①之外增加**兜底新鲜度门**：本任务用自己的时基直接
|
||
* 看两个中断侧计数器是否还在前进（ADC_HF_STALE）。
|
||
* adc_health 的 stall 位依赖 adcTask 每拍跑 check()，
|
||
* 节拍源一停本任务就再没有任何人判"数据新不新"，
|
||
* 而相量冻在最后一帧上还会被本任务继续用于判据
|
||
* v1.2 2026-10-25 DTU 项目组 卡 5：新增第⑤路「未标定闭锁」（adc_cal_flags
|
||
* VALID 口径，docs/任务规划/数据可信.md §4.3）：
|
||
* 采样恢复分支内、巡检/压板之前判；边沿 INFO 对
|
||
* + SOE_T_CAL_BLOCK/RESUME（不用 [ERR]：未标定是
|
||
* 常态非故障，且 @test 禁用 [ERR]）；DTU_BENCH
|
||
* 编译期旁路（本仓目标不定义 = 产品恒强制闭锁）
|
||
*/
|
||
#include "protect_task.h"
|
||
|
||
#include "cmsis_os2.h"
|
||
|
||
#define DBG_TAG "[PROT]"
|
||
#define DBG_LINE_BUF_MAX 128U
|
||
#include "dbg_log.h"
|
||
|
||
#include "adc_input.h" /* adc_input_stm32_seq()：DMA 完成计数（中断侧写） */
|
||
#include "adc_health.h"
|
||
#include "adc_cal.h" /* 卡 5：adc_cal_flags() VALID = 未标定闭锁源 */
|
||
#include "console_log.h" /* dbg_console_writer_ready()：启动锚点行门控（B6） */
|
||
#include "prot_elm.h"
|
||
#include "prot_set.h"
|
||
#include "soe_store.h" /* B9：动作/复归边沿 → SOE 投递（零 FS，队列异步） */
|
||
#include "task_watchdog.h"
|
||
#include "tpafe5160.h" /* tpafe5160_frame_seq()：帧序号（BUSY EXTI 写） */
|
||
|
||
/* L5-4 采样故障电平闭锁位：stall（可自愈）+ backward（锁存）都须停判据。
|
||
* 锁存类（FRSTDATA/HW_ERR 等）不在此列——它们是一次性事件痕迹，不构成
|
||
* "当前测量不可信"；持续 stall/backward 才是。 */
|
||
#define PROT_HF_LOCK_MASK (ADC_HF_TPAFE_STALL | ADC_HF_STM32_STALL | \
|
||
ADC_HF_SEQ_BACKWARD | ADC_HF_STALE)
|
||
|
||
/* 兜底新鲜度门限。判定层的 stall 是 100 ms，但那是"每拍都在跑的观察者"的口径；
|
||
* 本门每 20 ms 才观测一次，最坏比判定层晚一整周期 → 取 100 + 20 = 120 ms，让
|
||
* "判定层先报（带日志与自检留痕）、本门兜底（判定层死了也报）"的时序阶梯成立。
|
||
* 排查时 hf 里 0x1/0x2 与 0x100 的先后，本身就是"判定层当时活着吗"的答案。 */
|
||
#define PROT_STALE_AGE_MS (ADC_HEALTH_STALL_MS + PROTECT_TASK_CYCLE_MS)
|
||
|
||
/* 兜底门的参照系：两条车道各存一份。⚠ primed 标志也必须各自独立——若共用一个，
|
||
* 先被观测的那条会把它置 1，另一条首拍就拿 adv_ms = 0 去算年龄 → 开机即误锁。
|
||
* 状态放调用方而不是复用 adc_health 的模块级状态：那个是"每拍一次、单写者"的
|
||
* 契约，两个任务同写会互相刷新差值基线，把现有判定层一起弄坏。 */
|
||
static adc_health_age_t s_age_tp; /* TPAFE 车道 */
|
||
static adc_health_age_t s_age_a1; /* STM32 车道 */
|
||
|
||
static uint32_t s_prev_active; /* 上拍动作位图（边沿日志用） */
|
||
static uint8_t s_prev_hf_lock; /* 上拍采样闭锁态（边沿日志用） */
|
||
static uint8_t s_prev_plate_out; /* 上拍全局软压板退出态（边沿日志用，B7） */
|
||
static uint8_t s_prev_cal_lock; /* 上拍未标定闭锁态（边沿日志用，卡 5） */
|
||
|
||
/*
|
||
* 函数功能：未标定闭锁判定（「数据可信」卡 5 / §4.3）
|
||
* 入口参数：无
|
||
* 返 回 值：1 - 闭锁（判据停走）；0 - 放行 uint8_t
|
||
* 限定条件：仅本任务上下文（adc_cal_flags 纯读，任意上下文可读）
|
||
* 函数说明：判据 = UA/UN/IA 三路 VALID **全**置位——恰好是 V0.1 唯一有效的
|
||
* 三个测量通道（双转换器无共同采样触发）；UB/UC/IB/IC/IN 即使将来标定也另受 CLIPPED
|
||
* 品质约束（M5 快照层处理），不掺和进本闭锁源。VALID 随 cfg
|
||
* load/poll 与卡 12 标定自动翻转，本函数无自有状态（每拍现查，
|
||
* 无陈旧标志位）。台架调试旁路 = 编译期 -DDTU_BENCH（§4.3 决策 1
|
||
* 的例外通道，仅本地台架构建自行定义；产品恒强制）。
|
||
*/
|
||
/* 形态说明：用 #ifndef DTU_BENCH 把"产品默认路径"留在主分支（而非 #ifdef
|
||
* 双分支）——cppcheck 对未定义宏取真分支，双分支写法会把它引到旁路分支上
|
||
* 报 knownConditionTrueFalse 假信号（实测 2026-10-25）。 */
|
||
static uint8_t s_cal_locked(void) {
|
||
#ifndef DTU_BENCH
|
||
if (((adc_cal_flags(ADC_SEM_UA) & ADC_CAL_F_VALID) == 0u) ||
|
||
((adc_cal_flags(ADC_SEM_UN) & ADC_CAL_F_VALID) == 0u) ||
|
||
((adc_cal_flags(ADC_SEM_IA) & ADC_CAL_F_VALID) == 0u)) {
|
||
return 1u;
|
||
}
|
||
#endif
|
||
return 0u;
|
||
}
|
||
|
||
/*
|
||
* 函数功能：动作位图变化沿日志 + SOE 投递（逐变化元件）
|
||
* 入口参数：active - 本拍 prot_elm_active_mask()
|
||
* 函数说明：V0.1 无出口硬件（规划 R7），动作 = 遥信 + 日志 + SOE。
|
||
* SOE 走 soe_store_post（纯 RAM 投递，落盘由 defaultTask 异步执行，
|
||
* 本任务零 NAND I/O——protect 静态最坏链不变，B9 DoD 硬约束）。
|
||
* value = 元件状态打包（bit0 asserted / bit1 picked / bit2 enabled）。
|
||
*/
|
||
static void s_log_active_edge(uint32_t active) {
|
||
uint32_t chg = active ^ s_prev_active;
|
||
uint32_t i;
|
||
|
||
for (i = 0u; (i < (uint32_t)PE_COUNT) && (chg != 0u); i++) {
|
||
const uint32_t bit = 1u << i;
|
||
|
||
if ((chg & bit) != 0u) {
|
||
prot_elm_state_t st;
|
||
|
||
chg &= ~bit;
|
||
prot_elm_state((prot_elm_id_t)i, &st);
|
||
DBG_INFO("elm %s asserted=%u picked=%u",
|
||
prot_elm_name((prot_elm_id_t)i),
|
||
(unsigned)st.asserted, (unsigned)st.picked);
|
||
(void)soe_store_post(
|
||
((active & bit) != 0u) ? (uint8_t)SOE_T_ELM_ASSERT
|
||
: (uint8_t)SOE_T_ELM_RETURN,
|
||
(uint8_t)i,
|
||
(uint32_t)st.asserted | ((uint32_t)st.picked << 1)
|
||
| ((uint32_t)st.enabled << 2));
|
||
}
|
||
}
|
||
s_prev_active = active;
|
||
}
|
||
|
||
/*
|
||
* 函数功能：protectTask 线程入口
|
||
* 入口参数：argument - 未用
|
||
* 返 回 值：无（不返回）
|
||
* 函数说明：无就绪屏障（判据只依赖 phasor 使用区，未就绪时 prot_elm_run
|
||
* 整拍自跳；采样闭锁另有 adc_health 电平位兜底）→ 上电即跑。
|
||
* 每拍喂看门狗（TASK_WD_PROTECT，产品 required_mask 0x1F7）。
|
||
*/
|
||
void protect_task(void *argument) {
|
||
uint8_t start_logged = 0u; /* 启动锚点行留痕（writer-ready 门控，B6） */
|
||
|
||
(void)argument;
|
||
|
||
for (;;) {
|
||
uint32_t now = osKernelGetTickCount();
|
||
uint32_t hf = adc_health_flags();
|
||
|
||
/* 兜底新鲜度门（L5-4 的独立通道）：节拍源停摆时 adcTask 会永久阻塞在
|
||
* osThreadFlagsWait（那是刻意的 fail-safe），check() 不再执行 → stall 位
|
||
* 永远是 0。这里用本任务自己的时基直接读两个**中断侧递增**的计数器，
|
||
* 与 adcTask 的存亡无关；两者都只要 TIM3 还在触发就会前进。
|
||
* STM32 车道只更新参照系、不额外置位：任一侧老了就同一个位闭锁。 */
|
||
if (adc_health_age_stale(&s_age_tp, tpafe5160_frame_seq(), now,
|
||
PROT_STALE_AGE_MS) != 0u) {
|
||
hf |= ADC_HF_STALE;
|
||
}
|
||
(void)adc_health_age_stale(&s_age_a1, adc_input_stm32_seq(), now,
|
||
PROT_STALE_AGE_MS);
|
||
|
||
/* 启动锚点行：控制台写者注册后首拍补打（2026-10-10 门控纪律，adcTask
|
||
* 首帧同款）。写者注册前 con_append 走无锁裸发，与 defaultTask 启动日志
|
||
* 逐字节交错——B6 台架实证：本行曾损坏为 "st[art: cycle=220ms elm=70"
|
||
* 致 @test 锚点 MISS（控制台单写者日志设计说明.md §3.4）。 */
|
||
if ((start_logged == 0u) && (dbg_console_writer_ready() != 0u)) {
|
||
DBG_INFO("protect task start: cycle=%ums elm=%u",
|
||
(unsigned)PROTECT_TASK_CYCLE_MS, (unsigned)PE_COUNT);
|
||
start_logged = 1u;
|
||
}
|
||
|
||
if ((hf & PROT_HF_LOCK_MASK) != 0u) {
|
||
/* L5-4：测量链不可信 → 复位元件（本任务上下文，直接 init 合法）
|
||
* 并跳过判据；stall 自愈后下一拍自动恢复 */
|
||
if (s_prev_hf_lock == 0u) {
|
||
DBG_ERROR("sampling FAULT -> protection blocked (hf=0x%08lX)",
|
||
(unsigned long)(hf & PROT_HF_LOCK_MASK));
|
||
(void)soe_store_post((uint8_t)SOE_T_SAMPLE_BLOCK,
|
||
SOE_ELM_NONE,
|
||
hf & (uint32_t)PROT_HF_LOCK_MASK);
|
||
}
|
||
s_prev_hf_lock = 1u;
|
||
prot_elm_init();
|
||
} else {
|
||
if (s_prev_hf_lock != 0u) {
|
||
DBG_INFO("sampling recovered -> protection resumed");
|
||
(void)soe_store_post((uint8_t)SOE_T_SAMPLE_RESUME,
|
||
SOE_ELM_NONE, 0u);
|
||
s_prev_hf_lock = 0u;
|
||
}
|
||
/* 卡 5：未标定闭锁——夹在「采样可信」与「巡检/压板」之间：
|
||
* eng=0 域（引脚电压）拿去比二次值定值必然错判（UV 尤甚），
|
||
* 标定 VALID 未全置位前整条判据链停走（「数据可信」§4.3 决策 1） */
|
||
if (s_cal_locked() != 0u) {
|
||
if (s_prev_cal_lock == 0u) {
|
||
DBG_INFO("uncalibrated -> protection blocked (UA/UN/IA VALID not all set)");
|
||
(void)soe_store_post((uint8_t)SOE_T_CAL_BLOCK,
|
||
SOE_ELM_NONE, 0u);
|
||
s_prev_cal_lock = 1u;
|
||
}
|
||
prot_elm_init();
|
||
} else {
|
||
if (s_prev_cal_lock != 0u) {
|
||
DBG_INFO("calibration VALID -> protection unlocked");
|
||
(void)soe_store_post((uint8_t)SOE_T_CAL_RESUME,
|
||
SOE_ELM_NONE, 1u);
|
||
s_prev_cal_lock = 0u;
|
||
}
|
||
/* L5-1 巡检：定值区与封存校验和不符 → prot_set 闭锁（下一拍起
|
||
* eval 自动复位全元件）。B7 收口：104 定值写改走
|
||
* prot_set_set_sealed（影子区写+封存后单字交换），selfcheck 另有
|
||
* seqlock 式复核（提交撞见 = 本轮跳过），误锁窗口已消除。 */
|
||
(void)prot_set_selfcheck();
|
||
/* 全局软压板（PS_GLOBAL_EN，104 YK12 两段式投退，B7）：退出 =
|
||
* 保护停止判据并复位元件状态（重新投入从干净快照起步） */
|
||
if (prot_set_get_ctl(PS_GLOBAL_EN) == 0u) {
|
||
if (s_prev_plate_out == 0u) {
|
||
DBG_INFO("global plate OUT -> protection disabled");
|
||
(void)soe_store_post((uint8_t)SOE_T_PLATE_OUT,
|
||
SOE_ELM_NONE, 0u);
|
||
s_prev_plate_out = 1u;
|
||
}
|
||
prot_elm_init();
|
||
} else {
|
||
if (s_prev_plate_out != 0u) {
|
||
DBG_INFO("global plate IN -> protection enabled");
|
||
(void)soe_store_post((uint8_t)SOE_T_PLATE_IN,
|
||
SOE_ELM_NONE, 1u);
|
||
s_prev_plate_out = 0u;
|
||
}
|
||
prot_elm_run(now);
|
||
}
|
||
}
|
||
}
|
||
|
||
s_log_active_edge(prot_elm_active_mask());
|
||
|
||
task_wd_beat(TASK_WD_PROTECT);
|
||
osDelay(PROTECT_TASK_CYCLE_MS);
|
||
}
|
||
}
|