STM32F4-Base/App/task/protect_task.c

/*
 * 模块名称：保护任务（L3 板端接线，B5）——实现
 * 模块功能：见 protect_task.h。每拍三件事：
 *           ① L5-4 采样故障闭锁：adc_health_flags() 电平位命中 → 元件状态
 *              复位（防陈旧判据）+ 本拍不 eval；
 *           ② prot_set_selfcheck()（L5-1 定值完整性巡检，40 项 sum32——
 *              B8 后 PS_ID_COUNT=40，开销
 *              可忽略；失配 → prot_set 内部闭锁，eval 自动复位全元件）；
 *           ③ prot_elm_run()（phasor rms → 判据步进）+ 动作位图边沿日志；
 *           ④ 全局软压板 PS_GLOBAL_EN（104 YK12 两段式投退，B7）：退出 =
 *              复位元件 + 停判据（与采样闭锁同构，独立边沿日志）。
 *           定值/元件初始化在 app_main_init（内核前，B5）；本任务只消费。
 * 线程约定：prot_elm_run / prot_set_selfcheck 仅本任务上下文（prot_elm.h）；
 *           跨上下文复归（104 YK11）经 prot_elm_request_reset 落请求。
 * 创建日期：2026-10-12（B5）
 * 修改记录：
 *   v1.0  2026-10-12  王建锋  创建：L5-4 采样故障闭锁 + L5-1 定值巡检 + 判据节拍
 *   v1.1  2026-10-21  王建锋  ①之外增加**兜底新鲜度门**：本任务用自己的时基直接
 *                             看两个中断侧计数器是否还在前进（ADC_HF_STALE）。
 *                             adc_health 的 stall 位依赖 adcTask 每拍跑 check()，
 *                             节拍源一停本任务就再没有任何人判"数据新不新"，
 *                             而相量冻在最后一帧上还会被本任务继续用于判据
 */
#include "protect_task.h"

#include "cmsis_os2.h"

#define DBG_TAG "[PROT]"
#define DBG_LINE_BUF_MAX 128U
#include "dbg_log.h"

#include "adc_input.h"        /* adc_input_stm32_seq()：DMA 完成计数（中断侧写） */
#include "adc_health.h"
#include "console_log.h"      /* dbg_console_writer_ready()：启动锚点行门控（B6） */
#include "prot_elm.h"
#include "prot_set.h"
#include "soe_store.h"        /* B9：动作/复归边沿 → SOE 投递（零 FS，队列异步） */
#include "task_watchdog.h"
#include "tpafe5160.h"        /* tpafe5160_frame_seq()：帧序号（BUSY EXTI 写） */

/* L5-4 采样故障电平闭锁位：stall（可自愈）+ backward（锁存）都须停判据。
 * 锁存类（FRSTDATA/HW_ERR 等）不在此列——它们是一次性事件痕迹，不构成
 * "当前测量不可信"；持续 stall/backward 才是。 */
#define PROT_HF_LOCK_MASK   (ADC_HF_TPAFE_STALL | ADC_HF_STM32_STALL | \
                             ADC_HF_SEQ_BACKWARD | ADC_HF_STALE)

/* 兜底新鲜度门限。判定层的 stall 是 100 ms，但那是"每拍都在跑的观察者"的口径；
 * 本门每 20 ms 才观测一次，最坏比判定层晚一整周期 → 取 100 + 20 = 120 ms，让
 * "判定层先报（带日志与自检留痕）、本门兜底（判定层死了也报）"的时序阶梯成立。
 * 排查时 hf 里 0x1/0x2 与 0x100 的先后，本身就是"判定层当时活着吗"的答案。 */
#define PROT_STALE_AGE_MS   (ADC_HEALTH_STALL_MS + PROTECT_TASK_CYCLE_MS)

/* 兜底门的参照系：两条车道各存一份。⚠ primed 标志也必须各自独立——若共用一个，
 * 先被观测的那条会把它置 1，另一条首拍就拿 adv_ms = 0 去算年龄 → 开机即误锁。
 * 状态放调用方而不是复用 adc_health 的模块级状态：那个是"每拍一次、单写者"的
 * 契约，两个任务同写会互相刷新差值基线，把现有判定层一起弄坏。 */
static adc_health_age_t s_age_tp;    /* TPAFE 车道 */
static adc_health_age_t s_age_a1;    /* STM32 车道 */

static uint32_t s_prev_active;    /* 上拍动作位图（边沿日志用） */
static uint8_t  s_prev_hf_lock;   /* 上拍采样闭锁态（边沿日志用） */
static uint8_t  s_prev_plate_out; /* 上拍全局软压板退出态（边沿日志用，B7） */

/*
 * 函数功能：动作位图变化沿日志 + SOE 投递（逐变化元件）
 * 入口参数：active - 本拍 prot_elm_active_mask()
 * 函数说明：V0.1 无出口硬件（规划 R7），动作 = 遥信 + 日志 + SOE。
 *           SOE 走 soe_store_post（纯 RAM 投递，落盘由 defaultTask 异步执行，
 *           本任务零 NAND I/O——protect 静态最坏链不变，B9 DoD 硬约束）。
 *           value = 元件状态打包（bit0 asserted / bit1 picked / bit2 enabled）。
 */
static void s_log_active_edge(uint32_t active) {
    uint32_t chg = active ^ s_prev_active;
    uint32_t i;

    for (i = 0u; (i < (uint32_t)PE_COUNT) && (chg != 0u); i++) {
        const uint32_t bit = 1u << i;

        if ((chg & bit) != 0u) {
            prot_elm_state_t st;

            chg &= ~bit;
            prot_elm_state((prot_elm_id_t)i, &st);
            DBG_INFO("elm %s asserted=%u picked=%u",
                     prot_elm_name((prot_elm_id_t)i),
                     (unsigned)st.asserted, (unsigned)st.picked);
            (void)soe_store_post(
                ((active & bit) != 0u) ? (uint8_t)SOE_T_ELM_ASSERT
                                       : (uint8_t)SOE_T_ELM_RETURN,
                (uint8_t)i,
                (uint32_t)st.asserted | ((uint32_t)st.picked << 1)
                | ((uint32_t)st.enabled << 2));
        }
    }
    s_prev_active = active;
}

/*
 * 函数功能：protectTask 线程入口
 * 入口参数：argument - 未用
 * 返 回 值：无（不返回）
 * 函数说明：无就绪屏障（判据只依赖 phasor 使用区，未就绪时 prot_elm_run
 *           整拍自跳；采样闭锁另有 adc_health 电平位兜底）→ 上电即跑。
 *           每拍喂看门狗（TASK_WD_PROTECT，产品 required_mask 0x1F7）。
 */
void protect_task(void *argument) {
    uint8_t start_logged = 0u;    /* 启动锚点行留痕（writer-ready 门控，B6） */

    (void)argument;

    for (;;) {
        uint32_t now = osKernelGetTickCount();
        uint32_t hf  = adc_health_flags();

        /* 兜底新鲜度门（L5-4 的独立通道）：节拍源停摆时 adcTask 会永久阻塞在
         * osThreadFlagsWait（那是刻意的 fail-safe），check() 不再执行 → stall 位
         * 永远是 0。这里用本任务自己的时基直接读两个**中断侧递增**的计数器，
         * 与 adcTask 的存亡无关；两者都只要 TIM3 还在触发就会前进。
         * STM32 车道只更新参照系、不额外置位：任一侧老了就同一个位闭锁。 */
        if (adc_health_age_stale(&s_age_tp, tpafe5160_frame_seq(), now,
                                 PROT_STALE_AGE_MS) != 0u) {
            hf |= ADC_HF_STALE;
        }
        (void)adc_health_age_stale(&s_age_a1, adc_input_stm32_seq(), now,
                                   PROT_STALE_AGE_MS);

        /* 启动锚点行：控制台写者注册后首拍补打（2026-10-10 门控纪律，adcTask
         * 首帧同款）。写者注册前 con_append 走无锁裸发，与 defaultTask 启动日志
         * 逐字节交错——B6 台架实证：本行曾损坏为 "st[art: cycle=220ms elm=70"
         * 致 @test 锚点 MISS（控制台单写者日志设计说明.md §3.4）。 */
        if ((start_logged == 0u) && (dbg_console_writer_ready() != 0u)) {
            DBG_INFO("protect task start: cycle=%ums elm=%u",
                     (unsigned)PROTECT_TASK_CYCLE_MS, (unsigned)PE_COUNT);
            start_logged = 1u;
        }

        if ((hf & PROT_HF_LOCK_MASK) != 0u) {
            /* L5-4：测量链不可信 → 复位元件（本任务上下文，直接 init 合法）
             * 并跳过判据；stall 自愈后下一拍自动恢复 */
            if (s_prev_hf_lock == 0u) {
                DBG_ERROR("sampling FAULT -> protection blocked (hf=0x%08lX)",
                          (unsigned long)(hf & PROT_HF_LOCK_MASK));
                (void)soe_store_post((uint8_t)SOE_T_SAMPLE_BLOCK,
                                     SOE_ELM_NONE,
                                     hf & (uint32_t)PROT_HF_LOCK_MASK);
            }
            s_prev_hf_lock = 1u;
            prot_elm_init();
        } else {
            if (s_prev_hf_lock != 0u) {
                DBG_INFO("sampling recovered -> protection resumed");
                (void)soe_store_post((uint8_t)SOE_T_SAMPLE_RESUME,
                                     SOE_ELM_NONE, 0u);
                s_prev_hf_lock = 0u;
            }
            /* L5-1 巡检：定值区与封存校验和不符 → prot_set 闭锁（下一拍起
             * eval 自动复位全元件）。B7 收口：104 定值写改走
             * prot_set_set_sealed（影子区写+封存后单字交换），selfcheck 另有
             * seqlock 式复核（提交撞见 = 本轮跳过），误锁窗口已消除。 */
            (void)prot_set_selfcheck();
            /* 全局软压板（PS_GLOBAL_EN，104 YK12 两段式投退，B7）：退出 =
             * 保护停止判据并复位元件状态（重新投入从干净快照起步） */
            if (prot_set_get_ctl(PS_GLOBAL_EN) == 0u) {
                if (s_prev_plate_out == 0u) {
                    DBG_INFO("global plate OUT -> protection disabled");
                    (void)soe_store_post((uint8_t)SOE_T_PLATE_OUT,
                                         SOE_ELM_NONE, 0u);
                    s_prev_plate_out = 1u;
                }
                prot_elm_init();
            } else {
                if (s_prev_plate_out != 0u) {
                    DBG_INFO("global plate IN -> protection enabled");
                    (void)soe_store_post((uint8_t)SOE_T_PLATE_IN,
                                         SOE_ELM_NONE, 1u);
                    s_prev_plate_out = 0u;
                }
                prot_elm_run(now);
            }
        }

        s_log_active_edge(prot_elm_active_mask());

        task_wd_beat(TASK_WD_PROTECT);
        osDelay(PROTECT_TASK_CYCLE_MS);
    }
}