wandering1
b623a406ad
这四笔在主树里已经互相纠缠（同一次 @build 编译、同一份 .htm 度量），拆成四笔就不
存在任何一个被真编过的中间态，所以合一笔入库；下面按模块分段陈述，作者与出证归属
逐段写明。
—— 一、崩溃证据路径的整行独占收尾（log-maint-writer，task-26）——
上午那笔 1d4b6a17 之后，stack_report 报 iec104Task 静态最坏链 1,544 / margin 1,016，
低于 1,024 的 ISR 底线。真因不是新增局部缓冲，而是本模块与内核临界区之间新长出
一条环：taskEXIT_CRITICAL ⇒ vPortExitCritical ⇒ configASSERT ⇒ vApplicationAssertFailed
⇒ dbg_console_write_raw ⇒ 回到本模块。armlink 把这一整坨计入**每一个含临界区的
任务链**（vApplicationAssertFailed 的 Max Depth 由约 40 B 涨到 128 B + In Cycle），
所以九条链同涨约 80 B——同涨本身就排除了任何单个调用方。
改法两处：① 本模块三处窗口（取凭证 / 还凭证 / 整行入环）改用 CON_CRIT_ENTER/EXIT
（PRIMASK 保存恢复到局部变量；注释写全为什么不能直接 __enable_irq()——嵌套时会
替别人打开任务级临界区——以及屏蔽面变宽是有意为之）；② 异常/终点钩子里那对
自证空转的 begin/end 摘掉（异常态 begin 放行但不持有、end 是幂等空操作，调它只有
成本没有收益），任务态 STALL 行保留 begin/end，这个区分写进两处注释与文档 §4.4.1。
实测四棵树逐个 .htm 解析（身份钉 tree + Linker run 时刻 + 产物来源）：A=77779d49
链 1,456；B=1d4b6a17 链 1,464 / margin 1,096 PASS；C=含未提交钩子接线的工作树
1,544 / 1,016 FAIL；D=本轮修复后（Linker run 22:52）回到 **1,464 / 1,096 PASS**，
九条链齐降 80 B。断环图证：vPortExitCritical 由 136 B + In Cycle 变 8 B 且不再
In Cycle，con_tx_release 子树 152→8；Error_Handler 回到 280 + In Cycle = A 树同值
（既有发送环无人拆动）。顺带删掉 Src/freertos.c 崩溃路径里最后一个 HAL_Delay(200)
（该文件真实调用现为 0）。
测试：console_log 152→**153** 条（只增不减）；换钉不删防——015 现在钉「PRIMASK
窗口 2 次、深度 1、内核临界区 0 次」，新钉 015c 绝不等待，160 注入点搬到
con_pm_hook，176 强化到未调度路径连 PRIMASK 窗口都不开；红线水位
con_pm_at_tx_max 与 con_uart_crit_at_tx_max 双 0；判据⑦（延后的行与当场直发逐
字节相同）170b/171/178 仍全绿。作者自报并纠正一处：换钉时曾把 TC-CONLOG-015b 改
编号，而 015b 在生产注释与文档里都被引用——已恢复「编号不退役、语义搬过去」。
覆盖率 App/log/console_log.c 199/200 → 256/257 行、21/21 函数（只增）。
—— 二、未标定闭锁判据收成单点访问器（ui-param-writer，task-16）——
「UA/UN/IA 三相 VALID 全置位才允许跑判据」这条门控原先在两处各自镜像实现
（protect_task.c 的 s_cal_locked 与 ui_data_feed.c 的 feed_cal_block），改一处另一处
静默失效且无门禁可照。现新增 adc_cal_prot_blocked() 落在 App/algo/adc_cal，DTU_BENCH
特例收进一处；两个消费者同批改调、本地副本删除。作者还查实并纠正了我先前一句
错判：全仓 App/app→App/task 的 include 实为 0 条，故访问器不能落在 protect_task。
新增 TC-ADCCAL-018 八条（含冷启动即闭锁），adc_cal 套件 99/99。
—— 三、共享卷锁五态可观测性（ui-param-writer，task-17）——
原状比登记簿写的更糟：五个可区分态（未调用 / try 超时 / 分片超时 / fail-open /
未持锁却 release）生产侧零留痕，且 vol_lock.c 的返回值注释与代码相反——
fail-open（锁没建成、互斥已失效却在读写盘）被返 1 **谎报成取到锁**，而那正是
vol_lock.h 记录的台架实证故障（并发写坏 FTL → 喂狗点饥饿 → IWDG 误复位）的前置。
锁层加四个 volatile 计数（16 B 静态，零新局部、零新 callee、零日志、零 FatFs）与
不取锁的 vol_lock_get_stats()；13 处 try 调用点一字未动。**刻意不在锁层记时刻**：
记时刻要读 tick，等于给 defaultTask 取锁链添帧——诊断不值那几个字节；消费方若
自盖时间戳，那只能是被观测到的时刻而非发生时刻，.h 里已写明不得写成首次/末次。
四套本地假件各加 s_last_wait_to（字段名逐字一致），把「喂狗点取锁一律 timeout=0」
与「ftpTask 分片一律 100 ms」从注释纪律升级成会 FAIL 的断言；红-绿反证：临时把
sys_log_mcu.c 的 0u 改 50u → TC-SYSLOG-010/012 双红，把 lftpd_io.c 的 100u 改 0u →
TC-LFTPIO-034 红，两处按原串改回并用 SHA-256 证明逐字节还原。TC-VOLLOCK-015~019
共 45/45（无新桩）。
—— 四、UI 死接口清理（ui-maint-writer，task-6 收尾）——
删掉 ui_data_maint_ready()：全仓零消费者、只有它自己的用例在读。**更值得记的是
它为什么能活过一整轮评审**：头注释写的是「页面用它决定这页能不能操作」，而页面
从来没用过它——注释陈述的是意图，评审读的是意图，门禁读的是可达路径，两者都不
反驳「意图未实现」。作者对「连用例一起删」做了显式抗命：TC-UIDATA-025 的 13 条里
只有 4 条读那个死口，另 9 条钉的是真防线（六口未注入安全返回 / 残表整表拒绝 /
被拒不覆盖已生效的好表），故删冗余的 025a、把 025i/025k/025m 换成用 reset_req()
的可观察返回值判定，性质不丢。ui_data 套件 244 → 243（净减 1），黄金 40 页与
池 5448 B 未变（该刀零像素影响，参考图无 diff）。
—— 门禁与未跑项（本笔如实留账）——
cubemx-survival 基线已 --write（漂移 6 项全部是上述意图内区域：断言/栈溢出钩子
实现、看门狗模块行等），基线文件同笔入库，随后 --check 通过。
本笔未跑的钩子只有两条：mem-numbers 与 mem-budget——磁盘 .map 出自 22:52 那次
构建、含尚未入库的 UI 与工具改动，与 HEAD 台账必然不同码；按仓库既有约定允许
--no-verify + 正文留证，回填在紧随的台账一笔统一做（含 ram_baseline --update 与
覆盖率基线两条 [NOTE]：ui_data.c 65→316、iec104_comm.c 36/36）。
两条已挂着的账：① id-check 不可判定引用 1,162 / 上限 1,166，**余量只剩 4**，
主要吃进者是我今天推进的 UI 那笔（68 条文本断言的注释引用），账在 Lead；
② 崩溃注入腿（故意复位）台架复验未跑，需先由代码道提交触发器，且判据只判原子性
不判 [ERR]=0——IPSR 路径的主张归主机侧套件，硬件照不出来。
产物身份（按 D 表要求钉死，避免数字与树脱钩）：本笔包含的固件树就是那张 D 表对应的
那一棵——MDK-ARM/.../STM32F407-Demo.htm 的 mtime = 2026-10-26 22:52:12（.htm/.map 按
约定不入库，故把时刻写进正文）。提交前在本树复跑 stack_report.py：exit 0，
iec104Task 1,464 / margin 1,096（42%）PASS、defaultTask 3,040 / 2,080（40%）PASS，
与 D 表逐项一致；本次运行不含任何未提交固件源码之外的新改动。
196 lines
12 KiB
C
196 lines
12 KiB
C
/*
|
||
* 模块名称：通道标定与量纲折算（L1.5，「数据可信」卡 2/卡 4）
|
||
* 模块功能：把 adc_input 的原始码值折算成工程量——模型与系数口径的唯一落点：
|
||
* 工程量 = (code + b) × k_f，k_f = k[µV/码] × 1e-6
|
||
* k 以 int32 **Q16**（µV/码 × 65536）落盘、b 以 int32 码值落盘，
|
||
* RAM 副本注册进 cfg_file 引擎（[adc_cal] / [adc_cal_ofs] 两段，
|
||
* 布局见 docs/任务规划/数据可信.md §4.4）；**不挂回调**——RAM 副本
|
||
* 即生效值，逐点折算现取现用（1 kHz × 9 通道 = 9k 次/秒浮点乘，可忽略）。
|
||
* 三态可用性：ADC_CAL_F_VALID（已按变比标定 → 工程量为二次值）与
|
||
* ADC_CAL_F_CLIPPED（V0.1 硬件削顶）由 adc_cal_flags() 单点查询，
|
||
* 104 / UI / 保护闭锁（卡 5）共用（docs/任务规划/数据可信.md §4.2）。
|
||
* **未标定闭锁的判定本身也归本层**（`adc_cal_prot_blocked()`）：它讲的是
|
||
* 「这几路标定齐了没」，属标定层事实，不是任务编排逻辑——保护任务与 UI
|
||
* 组装器都只是它的消费者（道F task-16 把此前的两份实现收成一份）。
|
||
* ⚠ 输出单位口径 = **ADC 引脚电压 V**（eng=0）：ROM 默认系数按卡 1
|
||
* 定死的引脚侧 LSB（TPAFE 152.59 µV/码、STM32 805.66 µV/码，见
|
||
* docs/硬件平台/ADC通道映射说明.md §7.1）；端子变比（卡 0b）与两点
|
||
* 标定（卡 12）完成前不得把输出当二次值消费。TEMP 不参与线性标定
|
||
* （决策 5），adc_cal_apply() 原样透传码值。
|
||
* 本层**纯算法 + 纯数据**：不碰寄存器、不等事件；adc_cal_init() 内核前
|
||
* 可调（注册进引擎必须先于 cfg_file_load，FTP 鉴权确立的契约）；apply/flags
|
||
* 任意上下文可读（cfg RAM 副本 4 字节对齐字读写在 Cortex-M4 上原子，
|
||
* 与 defaultTask 的 load/poll 复位存在 µs 级混窗——设计接受，见 .c 头）。
|
||
* 适用平台：STM32F407ZGTx（Cortex-M4F）；主机侧 L0.5 单测 test/host/adc_cal/
|
||
* 作者：DTU 项目组
|
||
* 创建日期：2026-10-25（道A 卡 2/卡 4）
|
||
* 修改记录：
|
||
* v1.0 2026-10-25 DTU 项目组 创建：Q16 系数/零点 + 折算/flags/集
|
||
* v1.1 2026-10-25 DTU 项目组 卡 10：+adc_cal_b_codes()（run_par 回显/RMW 用）
|
||
* v1.2 2026-10-26 DTU 项目组 道F task-16：+adc_cal_prot_blocked()——「UA/UN/IA
|
||
* 三路 VALID 是否齐」这份判据停走条件从
|
||
* protect_task.c 与 ui_data_feed.c 的两份重复实现收成本层
|
||
* 单点（DTU_BENCH 旁路同时收成一处）
|
||
*/
|
||
|
||
#ifndef ADC_CAL_H
|
||
#define ADC_CAL_H
|
||
|
||
#include <stdint.h>
|
||
|
||
#include "adc_input.h" /* adc_semantic_t（语义通道编号 = 系数表下标口径） */
|
||
|
||
#ifdef __cplusplus
|
||
extern "C" {
|
||
#endif
|
||
|
||
/* 通道可用性标志（adc_cal_flags() 返回值位） */
|
||
#define ADC_CAL_F_VALID (0x01u) /* k 已按变比标定 → 工程量为二次值（卡 12 后置位） */
|
||
#define ADC_CAL_F_CLIPPED (0x02u) /* 硬件削顶（V0.1 STM32 侧单极性无偏置）→ 交流量不可信 */
|
||
|
||
/*
|
||
* ROM 默认系数（int32 Q16 = µV/码 × 65536，卡 1 定死的引脚侧口径）：
|
||
* TPAFE ±5 V 档：10 V 跨度 / 65536 码 = 152.587890625 µV/码 → ×65536 = 10,000,000（整）
|
||
* STM32 0~3.3 V：3.3 V / 4096 码 = 805.6640625 µV/码 → ×65536 = 52,800,000（整）
|
||
* 两个默认值在 Q16 下**无舍入**（系数定点舍入项从误差预算里抹掉，
|
||
* 选型依据 → docs/任务规划/数据可信.md §4.1）
|
||
*/
|
||
#define ADC_CAL_K_Q16_TPAFE (10000000L)
|
||
#define ADC_CAL_K_Q16_STM32 (52800000L)
|
||
|
||
/* 系数合法带（「数据可信」§8 风险表）：k 必须落在板级 ROM 系数的 ×[0.5, 2.0]
|
||
* 区间内；带宽用 ROM 值移位实现（>>1 / <<1），不设独立宏防两处真相 */
|
||
|
||
/* 零点偏移幅值上限（码值）：超此即判文件损坏/异常标定，回退 ROM 并留痕 */
|
||
#define ADC_CAL_B_MAX (8192L)
|
||
|
||
/*
|
||
* 函数功能：标定层初始化——RAM 副本置 ROM 默认 + 注册两段进 cfg 引擎（幂等）
|
||
* 入口参数：无
|
||
* 返 回 值：无
|
||
* 限定条件：内核启动前调用（app_main_init）；注册必须先于 cfg_file_load
|
||
* （「所有受管段先注册、后 load」契约，见 Drivers/BSP/NETCFG/net_cfg.c 的
|
||
* net_cfg_load 注释）
|
||
* 函数说明：段属主为 defaultTask（配置引擎），本模块只提供 RAM 副本与默认值；
|
||
* 文件值由引擎 load/poll 原地写入 RAM 副本，本层逐点折算现读
|
||
*/
|
||
void adc_cal_init(void);
|
||
|
||
/*
|
||
* 函数功能：码值 → 工程量折算（「数据可信」§4.1 模型）
|
||
* 入口参数：sem - 语义通道（TEMP 透传不折算） adc_semantic_t
|
||
* code - 原始码值（TPAFE 16 位补码 / STM32 0..4095） int32_t
|
||
* 返 回 值：工程量浮点（未标定时单位 = ADC 引脚电压 V；VALID 后置位 = 二次值） float
|
||
* 限定条件：无（任意上下文，纯读）
|
||
* 函数说明：eng = (code + b) × k[µV/码] × 1e-6，由 Q16 现值派生，无缓存副本
|
||
* （避免无回调下的陈旧系数）；k/b 越合法带 → 该通道回退 ROM 默认 +
|
||
* 首见沿 [ERR] 留痕（adc_cal_init 重置留痕位），flags 同时不报 VALID
|
||
*/
|
||
float adc_cal_apply(adc_semantic_t sem, int32_t code);
|
||
|
||
/*
|
||
* 函数功能：读通道可用性标志（消费者判「能不能信」的唯一入口）
|
||
* 入口参数：sem - 语义通道 adc_semantic_t
|
||
* 返 回 值：ADC_CAL_F_VALID / ADC_CAL_F_CLIPPED 组合；TEMP 恒 0；sem 越界恒 0 uint32_t
|
||
* 限定条件：无
|
||
* 函数说明：VALID = 文件位图置位 **且** 该通道 k 在合法带内（哨兵不落状态，
|
||
* 天然跟随 load/poll 重载）；CLIPPED = V0.1 静态表（UB/UC/IB/IC/IN）
|
||
*/
|
||
uint32_t adc_cal_flags(adc_semantic_t sem);
|
||
|
||
/*
|
||
* 函数功能：**未标定闭锁判定**——保护判据所需的三路标定是否齐（「数据可信」卡 5
|
||
* / §4.3；道F task-16 把它从两处重复实现收敛成这一份真源）
|
||
* 入口参数：无
|
||
* 返 回 值：1 - 闭锁（UA/UN/IA 中至少一路 `ADC_CAL_F_VALID` 未置位，判据链应停走）；
|
||
* 0 - 三路全 VALID（标定侧允许判据跑） uint8_t
|
||
* 限定条件：任意上下文（纯读 `adc_cal_flags()`，与它同一条并发契约：int32 对齐
|
||
* 字读写原子、cfg poll 重载 µs 级混窗设计接受）；**现查，本层不留任何状态**
|
||
* 函数说明：① **为什么恰好这三路**：V0.1 把 8 路电气量分给两片转换器（AGENTS
|
||
* 「双转换器无共同采样触发」），UA/UN/IA = TPAFE 侧这三路是**唯一有效**
|
||
* 的测量通道；UB/UC/IB/IC/IN 即使将来标定也另受 `CLIPPED` 品质约束
|
||
* （M5 快照层处理），不掺进本闭锁源。
|
||
* ② ⚠ **不得当「保护在跑」的总括用**：判据停走共四路来源，本函数只覆盖
|
||
* 第二路——(a) L5-4 采样故障闭锁（`adc_health_flags()`）；(b) 本函数
|
||
* （未标定）；(c) 定值校验和失配闭锁（`prot_set_locked()`）；(d) 全局软压板
|
||
* 退出（`PS_GLOBAL_EN` = 0）。要判「这拍到底评估了没有」必须四路一起看
|
||
* （编排顺序见 `App/task/protect_task.c`）。
|
||
* ③ ⚠ **两个同族谓词与它不是一件事，不要顺手合并**（三种口径各有用途）：
|
||
* · 电气 **8** 路全 VALID 才升 eng=二次值（量纲标签，判据在
|
||
* `App/app/ui_data_feed.c` 的 `feed_eng()`）——并进来会让部分标定的整帧
|
||
* 被误标二次值；反过来把本三路口径当 8 路用，V0.1 下 UB/UC/IB/IC/IN
|
||
* 永不置位 → 徽标与停走**永不解除**；
|
||
* · 逐通道打印 VALID/CLIPPED 位图是诊断输出（`App/task/adc_task.c`），
|
||
* 不是判定。
|
||
* ④ 台架调试旁路 = 编译期 `-DDTU_BENCH`（「数据可信」§4.3 决策 1 的例外通道，
|
||
* 仅本地台架自行定义；本仓任何工程档都不定义 = 产品恒强制）。旁路**只在
|
||
* 本函数实现内部这一处**，调用方不再各自写 `#ifndef`：否则有人只给单个
|
||
* TU 加宏，屏上「未标定」徽标与判据停走当场分叉，且 0 错误 0 警告。
|
||
*/
|
||
uint8_t adc_cal_prot_blocked(void);
|
||
|
||
/*
|
||
* 函数功能：读通道当前生效系数（µV/码，浮点）
|
||
* 入口参数：sem - 语义通道 adc_semantic_t
|
||
* 返 回 值：k[µV/码]（回退后口径）；TEMP / 越界返 0 float
|
||
* 限定条件：无
|
||
* 函数说明：L5-2 门限换算、日志与整定界面回显用；勿据其反推二次值（看 flags）
|
||
*/
|
||
float adc_cal_k_uv(adc_semantic_t sem);
|
||
|
||
/*
|
||
* 函数功能：读通道当前生效零点偏移（码值，浮点）——adc_cal_k_uv 的孪生入口
|
||
* 入口参数：sem - 语义通道 adc_semantic_t
|
||
* 返 回 值：b[码值]（越带时为 0，与折算同视图）；TEMP/越界返 0 float
|
||
* 限定条件：无
|
||
* 函数说明：104 运行参数段（「数据可信」卡 10）b 覆盖回显与 k 单侧改写的 RMW
|
||
* 读侧用（App/algo/run_par.c）；勿据其反推二次值（看 flags）。
|
||
*/
|
||
float adc_cal_b_codes(adc_semantic_t sem);
|
||
|
||
/*
|
||
* 函数功能：整定入口——写通道系数与零点，并置位 VALID（「数据可信」卡 4）
|
||
* 入口参数：sem - 语义通道（电气 8 路） adc_semantic_t
|
||
* k_q16 - 系数，µV/码 × 65536 内 int32_t
|
||
* b_codes - 零点偏移，码值 内 int32_t
|
||
* 返 回 值：0 - 成功；-1 - 参数非法/越出合法带（RAM 不动，[ERR] 留痕） int
|
||
* 限定条件：**整定路径上下文**（defaultTask 标定流程/整定链；卡 10 起 iec104Task
|
||
* 经 App/algo/run_par.c 的 0x8040~/0x8048~ 直通写亦为授权写者——写的仍是
|
||
* 引擎对齐 int32 单字，µs 级混窗契约同「数据可信」§4.4）。勿在 adcTask 调用
|
||
* 函数说明：只写 RAM 副本；落盘由属主经 cfg_file_save 完成（卡 10 前整定链
|
||
* 未接，台架两点标定（卡 12）是首个消费者）
|
||
*/
|
||
int adc_cal_set(adc_semantic_t sem, int32_t k_q16, int32_t b_codes);
|
||
|
||
/*
|
||
* 函数功能：两点标定公式（「数据可信」卡 12 的算术核，纯函数无状态）
|
||
* 入口参数：c_lo/c_hi - 两点码值（c_hi > c_lo） int32_t
|
||
* v_lo_uv/v_hi_uv - 两点实测电压（µV，v_hi > v_lo，端子/引脚域均可） int32_t
|
||
* p_k_q16 / p_b - 输出：系数（Q16）与零点偏移（码值） int32_t *
|
||
* 返 回 值：0 - 成功；-1 - 参数/斜率非法；-2 - 零点越 ±ADC_CAL_B_MAX（先查前端，
|
||
* 不得用系数凑错斜率，「数据可信」§8 风险表） int
|
||
* 限定条件：无（纯整数运算，主机侧可直接单测）
|
||
* 函数说明：k = (v_hi−v_lo)×65536/(c_hi−c_lo)（四舍五入），b = v_lo×65536/k − c_lo；
|
||
* 实测注入未做（台架待跑），本函数即「公式齐备」的交付物
|
||
*/
|
||
int adc_cal_two_point(int32_t c_lo, int32_t c_hi, int32_t v_lo_uv, int32_t v_hi_uv,
|
||
int32_t *p_k_q16, int32_t *p_b);
|
||
|
||
/*
|
||
* 函数功能：通道码值域「贴轨带」门限（L5-2 越界检出的门限来源，按 FS 百分比）
|
||
* 入口参数：sem - 语义通道 adc_semantic_t
|
||
* p_lo_th - 下轨带上界（code ≤ 此值判触底） int32_t *
|
||
* p_hi_th - 上轨带下界（code ≥ 此值判触顶） int32_t *
|
||
* 返 回 值：0 - 已给出门限；-1 - TEMP/越界（不做贴轨监视） int
|
||
* 限定条件：无
|
||
* 函数说明：TPAFE 双极性 ±98% FS（±32112）；STM32 上轨 98% FS（4013）、
|
||
* 下轨 2% FS（81）；判定状态机在 adc_health_rail_watch()（L5-2）
|
||
*/
|
||
int adc_cal_rail_ths(adc_semantic_t sem, int32_t *p_lo_th, int32_t *p_hi_th);
|
||
|
||
#ifdef __cplusplus
|
||
}
|
||
#endif
|
||
|
||
#endif /* ADC_CAL_H */
|