wandering1
b623a406ad
这四笔在主树里已经互相纠缠（同一次 @build 编译、同一份 .htm 度量），拆成四笔就不
存在任何一个被真编过的中间态，所以合一笔入库；下面按模块分段陈述，作者与出证归属
逐段写明。
—— 一、崩溃证据路径的整行独占收尾（log-maint-writer，task-26）——
上午那笔 1d4b6a17 之后，stack_report 报 iec104Task 静态最坏链 1,544 / margin 1,016，
低于 1,024 的 ISR 底线。真因不是新增局部缓冲，而是本模块与内核临界区之间新长出
一条环：taskEXIT_CRITICAL ⇒ vPortExitCritical ⇒ configASSERT ⇒ vApplicationAssertFailed
⇒ dbg_console_write_raw ⇒ 回到本模块。armlink 把这一整坨计入**每一个含临界区的
任务链**（vApplicationAssertFailed 的 Max Depth 由约 40 B 涨到 128 B + In Cycle），
所以九条链同涨约 80 B——同涨本身就排除了任何单个调用方。
改法两处：① 本模块三处窗口（取凭证 / 还凭证 / 整行入环）改用 CON_CRIT_ENTER/EXIT
（PRIMASK 保存恢复到局部变量；注释写全为什么不能直接 __enable_irq()——嵌套时会
替别人打开任务级临界区——以及屏蔽面变宽是有意为之）；② 异常/终点钩子里那对
自证空转的 begin/end 摘掉（异常态 begin 放行但不持有、end 是幂等空操作，调它只有
成本没有收益），任务态 STALL 行保留 begin/end，这个区分写进两处注释与文档 §4.4.1。
实测四棵树逐个 .htm 解析（身份钉 tree + Linker run 时刻 + 产物来源）：A=77779d49
链 1,456；B=1d4b6a17 链 1,464 / margin 1,096 PASS；C=含未提交钩子接线的工作树
1,544 / 1,016 FAIL；D=本轮修复后（Linker run 22:52）回到 **1,464 / 1,096 PASS**，
九条链齐降 80 B。断环图证：vPortExitCritical 由 136 B + In Cycle 变 8 B 且不再
In Cycle，con_tx_release 子树 152→8；Error_Handler 回到 280 + In Cycle = A 树同值
（既有发送环无人拆动）。顺带删掉 Src/freertos.c 崩溃路径里最后一个 HAL_Delay(200)
（该文件真实调用现为 0）。
测试：console_log 152→**153** 条（只增不减）；换钉不删防——015 现在钉「PRIMASK
窗口 2 次、深度 1、内核临界区 0 次」，新钉 015c 绝不等待，160 注入点搬到
con_pm_hook，176 强化到未调度路径连 PRIMASK 窗口都不开；红线水位
con_pm_at_tx_max 与 con_uart_crit_at_tx_max 双 0；判据⑦（延后的行与当场直发逐
字节相同）170b/171/178 仍全绿。作者自报并纠正一处：换钉时曾把 TC-CONLOG-015b 改
编号，而 015b 在生产注释与文档里都被引用——已恢复「编号不退役、语义搬过去」。
覆盖率 App/log/console_log.c 199/200 → 256/257 行、21/21 函数（只增）。
—— 二、未标定闭锁判据收成单点访问器（ui-param-writer，task-16）——
「UA/UN/IA 三相 VALID 全置位才允许跑判据」这条门控原先在两处各自镜像实现
（protect_task.c 的 s_cal_locked 与 ui_data_feed.c 的 feed_cal_block），改一处另一处
静默失效且无门禁可照。现新增 adc_cal_prot_blocked() 落在 App/algo/adc_cal，DTU_BENCH
特例收进一处；两个消费者同批改调、本地副本删除。作者还查实并纠正了我先前一句
错判：全仓 App/app→App/task 的 include 实为 0 条，故访问器不能落在 protect_task。
新增 TC-ADCCAL-018 八条（含冷启动即闭锁），adc_cal 套件 99/99。
—— 三、共享卷锁五态可观测性（ui-param-writer，task-17）——
原状比登记簿写的更糟：五个可区分态（未调用 / try 超时 / 分片超时 / fail-open /
未持锁却 release）生产侧零留痕，且 vol_lock.c 的返回值注释与代码相反——
fail-open（锁没建成、互斥已失效却在读写盘）被返 1 **谎报成取到锁**，而那正是
vol_lock.h 记录的台架实证故障（并发写坏 FTL → 喂狗点饥饿 → IWDG 误复位）的前置。
锁层加四个 volatile 计数（16 B 静态，零新局部、零新 callee、零日志、零 FatFs）与
不取锁的 vol_lock_get_stats()；13 处 try 调用点一字未动。**刻意不在锁层记时刻**：
记时刻要读 tick，等于给 defaultTask 取锁链添帧——诊断不值那几个字节；消费方若
自盖时间戳，那只能是被观测到的时刻而非发生时刻，.h 里已写明不得写成首次/末次。
四套本地假件各加 s_last_wait_to（字段名逐字一致），把「喂狗点取锁一律 timeout=0」
与「ftpTask 分片一律 100 ms」从注释纪律升级成会 FAIL 的断言；红-绿反证：临时把
sys_log_mcu.c 的 0u 改 50u → TC-SYSLOG-010/012 双红，把 lftpd_io.c 的 100u 改 0u →
TC-LFTPIO-034 红，两处按原串改回并用 SHA-256 证明逐字节还原。TC-VOLLOCK-015~019
共 45/45（无新桩）。
—— 四、UI 死接口清理（ui-maint-writer，task-6 收尾）——
删掉 ui_data_maint_ready()：全仓零消费者、只有它自己的用例在读。**更值得记的是
它为什么能活过一整轮评审**：头注释写的是「页面用它决定这页能不能操作」，而页面
从来没用过它——注释陈述的是意图，评审读的是意图，门禁读的是可达路径，两者都不
反驳「意图未实现」。作者对「连用例一起删」做了显式抗命：TC-UIDATA-025 的 13 条里
只有 4 条读那个死口，另 9 条钉的是真防线（六口未注入安全返回 / 残表整表拒绝 /
被拒不覆盖已生效的好表），故删冗余的 025a、把 025i/025k/025m 换成用 reset_req()
的可观察返回值判定，性质不丢。ui_data 套件 244 → 243（净减 1），黄金 40 页与
池 5448 B 未变（该刀零像素影响，参考图无 diff）。
—— 门禁与未跑项（本笔如实留账）——
cubemx-survival 基线已 --write（漂移 6 项全部是上述意图内区域：断言/栈溢出钩子
实现、看门狗模块行等），基线文件同笔入库，随后 --check 通过。
本笔未跑的钩子只有两条：mem-numbers 与 mem-budget——磁盘 .map 出自 22:52 那次
构建、含尚未入库的 UI 与工具改动，与 HEAD 台账必然不同码；按仓库既有约定允许
--no-verify + 正文留证，回填在紧随的台账一笔统一做（含 ram_baseline --update 与
覆盖率基线两条 [NOTE]：ui_data.c 65→316、iec104_comm.c 36/36）。
两条已挂着的账：① id-check 不可判定引用 1,162 / 上限 1,166，**余量只剩 4**，
主要吃进者是我今天推进的 UI 那笔（68 条文本断言的注释引用），账在 Lead；
② 崩溃注入腿（故意复位）台架复验未跑，需先由代码道提交触发器，且判据只判原子性
不判 [ERR]=0——IPSR 路径的主张归主机侧套件，硬件照不出来。
产物身份（按 D 表要求钉死，避免数字与树脱钩）：本笔包含的固件树就是那张 D 表对应的
那一棵——MDK-ARM/.../STM32F407-Demo.htm 的 mtime = 2026-10-26 22:52:12（.htm/.map 按
约定不入库，故把时刻写进正文）。提交前在本树复跑 stack_report.py：exit 0，
iec104Task 1,464 / margin 1,096（42%）PASS、defaultTask 3,040 / 2,080（40%）PASS，
与 D 表逐项一致；本次运行不含任何未提交固件源码之外的新改动。
App/algo/ — 采集与算法层（L1 / L2 / L3）
本目录的索引：文件清单、依赖、逐文件的"改代码必须知道"、构建与测试入口、新增模块动作。 详细设计——机制、契约、判据、为什么这样设计 →
docs/算法/采集与算法层设计说明.md（本文不复制其内容）。 分层归属与功能项状态 →docs/算法/继电保护功能复现规划.md§2.1； 通道映射唯一权威 →docs/硬件平台/ADC通道映射说明.md；采样节拍 →docs/子系统设计/ADC采样节拍设计说明.md。
1. 文件清单（一眼版）
| 文件 | 层 | 作用（一句话） | 主要对外入口 | 覆盖规划项 |
|---|---|---|---|---|
adc_input.h / .c |
L1 | 统一语义取数：两片转换器的码值按语义（UA…IN / 温度）暴露，并消费 STM32 ADC1 的 DMA 乒乓缓冲 |
adc_input_init() adc_input_poll() adc_input_raw() |
L1-2 / L1-3 / L1-4 |
adc_health.h / .c |
L1 | 采样有效性判定：吃计数快照，产出静默 / 丢帧 / 单调性 / 错误增量故障位（判定与告警编排分离）；L5-2 残余的码值贴轨观察器同层 | adc_health_check() adc_health_flags() adc_health_rail_watch() |
L1-6 / L5-2（残余） |
adc_cal.h / .c |
L1.5 | 通道标定折算（「数据可信」卡 2/卡 4）：工程量 =(code+b)×k，Q16 系数/零点两段落盘 + 三态 flags + 合法带哨兵 + 两点公式 | adc_cal_apply() adc_cal_flags() adc_cal_set() |
L1-5（M4 半边） |
meas.h / .c |
L2 发布 | 遥测快照（「数据可信」卡 8，M5 地基）：200 ms 基波有效值 + 品质快照，双区无锁读，全仓唯一发布者 = adcTask | meas_tick() meas_get() meas_seq() |
M5（卡 9/11 与 UI 是读者） |
sample_ring.h / .c |
L2 输入 | 按语义通道存最近 2 周波（40 点），供相量层"以当前时刻为终止"取窗 | sample_ring_push_frame() sample_ring_window() |
L2 输入（为 L2-6 供数） |
phasor.h / .c |
L2 | 全周傅氏：一周波 20 点 DFT → 基波 / 谐波相量（有效值口径），双区原子切换供无锁读 | phasor_run() phasor_get() phasor_calc() |
L2-1 / L2-2 / L2-3 / L2-6 / L2-7 |
freq.h / .c |
L2 派生量 | 频率测量：相邻两拍基波相量共轭乘积取角 + 自适应窗滑动平均 + 假值钳制 + 幅值门（UA→IA 源回退） | freq_run() freq_get() freq_valid() |
L3-5 测量侧（测频范围 → docs/算法/继电保护功能复现规划.md §4.2） |
prot_set.h / .c |
L3 输入 | 保护定值模型：Q10 定点 RAM 表 + 范围校验 + 校验和封存 / 自检 / 闭锁 + 持久化 blob 纯逻辑 | prot_set_load_raw() prot_set_get_f() prot_set_selfcheck() |
L5-1 载体 |
prot_elm.h / .c |
L3 | 保护元件框架：通用"越限 + 返回系数滞回 + 定时限"核 + 数据驱动实例表（过流三段 / 过负荷 / 过压 / 欠压 / 零序过压 / 过频 / 低频） | prot_elm_run() prot_elm_eval() prot_elm_active_mask() |
L3-1 / L3-3 / L3-4 / L3-5 / L3-6（软件侧） |
依赖（自下而上、无环）：adc_input.h（纯枚举 + 声明）← adc_cal（另依赖 cfg_file.h 接口，
纯头文件级）← sample_ring ← phasor ← freq；meas ← sample_ring + phasor
（仅 phasor_calc 纯核；频率/品质由调用方注入，不链 freq/adc_cal）；
prot_set 独立；prot_elm ← prot_set + phasor + freq。
adc_health 只吃调用方喂进来的计数 / 码值，不反向依赖 L1 实现（L5-2 贴轨门限由调用方
从 adc_cal_rail_ths() 取，本层仍零算法依赖）。
除 adc_input.c 外全部零平台依赖（只用 stdint.h / math.h / stddef.h 与本目录头）
→ 可被主机单测 #include 原样纳入、免桩跑。adc_input.c 另依赖 adc.h（hadc1）与
tpafe5160.h（快照），主机侧以桩头替身。
2. 一拍的数据流（一眼版）
adc_input_poll() → adc_input_raw() ×9 → adc_cal_apply() ×9（L1.5 折算，现口径 =
ADC 引脚电压 V）+ adc_health_rail_watch() ×9（L5-2，码值域）→ sample_ring_push_frame()
→ phasor_run() → freq_run() → 消费者（adcTask 心跳与 L1 健康判定；protectTask 每 20 ms 取相量 / 频率跑
prot_elm_run()；每 200 ms meas_tick() 发布遥测快照供 iec104Task / uiTask 读，卡 8）。节拍 = TIM3 1 kHz 更新事件，两片转换器同源触发。
完整数据流图与初始化落点 → docs/算法/采集与算法层设计说明.md §2。
3. 逐文件要点（只留"改代码时必须知道"的；机制与理由见设计文档）
改本目录前先记五条红线：① 取数只经
adc_input_raw()，不写死下标；② 禁止跨转换器做 相位 / 功率 / 矢量运算（双转换器无共同采样触发）；③ 帧值已是 L1.5 工程量，但 未标定（adc_cal_flags()无 VALID）时单位只是 ADC 引脚电压，不是端子二次值——下游消费精度判据见「数据可信」§4.2 三态 表；④ 工程量 → 帧的唯一折算点是adc_cal_apply()，禁止旁路再乘系数；⑤ 本层不建任务、 不等事件、不写日志（adc_cal的[ERR]哨兵留痕是唯一例外，且每通道每开机一次），*_init()才可在内核前调。 全文 →docs/算法/采集与算法层设计说明.md§10。
3.1 adc_input.c / adc_input.h — L1 语义取数
- 语义映射表
k_adc_map[]的内容唯一权威是docs/硬件平台/ADC通道映射说明.md；V0.2 改版只改表内容，API 不动。 adc_input_poll()仅任务上下文（TPAFE 快照是临界区）；STM32 侧固定滞后 1 拍。- 四类 STM32 计数（
adc1_seq/adc1_gap/adc1_err/adc1_hw）成因不同，勿混读。 - 本目录唯一允许出现 HAL 调用的文件。→
docs/算法/采集与算法层设计说明.md§3。
3.2 sample_ring.c / .h — L2 输入采样环
- 整帧写入后才推进写指针 → 取到的窗永远落在整帧边界。
- 本拍取数失败 → 整拍跳过入环（
adc_task.c的skip），绝不补 0 点。 - 不做跨通道运算、不做丢帧判定（只出
frames()计数）。→docs/算法/采集与算法层设计说明.md§5。
3.3 phasor.c / .h — L2 相量计算
- 系数表预乘 √2/N →
fAmSQ直接是有效值（口径docs/算法/傅氏算法详解.md§2.3）。 - 实例表
k_inst[]数据驱动：新增实例只在表尾加一行。 - 任一实例不足一周波 → 本拍整体不产出（不切使用区）；每拍 20 点全部重算（不做增量递推）。
- →
docs/算法/采集与算法层设计说明.md§6。
3.4 adc_health.c / .h — L1 有效性判定
- 三类位严格分开：电平（可自愈）/ 锁存（必留痕）/ 边沿事件（仅当拍）；静默 ≠ 丢帧。
- gap 不告警（消费者超拍是已知现象）；告警编排在
adc_task.c，不在本层。 - 首拍
check()只建基线。→docs/算法/采集与算法层设计说明.md§4。
3.5 prot_set.c / .h — 保护定值模型（L5-1 载体）
- 装载 all-or-nothing：任一项越界整表不装载，越界项由
prot_set_bad_mask()指认。 - 批量
prot_set_set()后必须prot_set_seal()；单项原子写用prot_set_set_sealed()。 - 定值项 / 实例只许尾部追加（枚举序 = 数组序 = 校验和覆盖序）。
- blob 换代（返回 2）≠ 损坏（返回负）：前者打 INFO、不记自检。→
docs/算法/采集与算法层设计说明.md§8、§12.3。
3.6 prot_elm.c / .h — L3 保护元件框架
- 数据缺失两种处理刻意不同：相量类任一未就绪 → 整拍跳过；频率类无有效读数 → 按方向填"必不启动"值，不整拍跳过。
prot_set_locked()或投退 = 0 → 元件整体复位不判据；跨上下文复归走prot_elm_request_reset()。- 零序过流（IN 走 STM32）故意不在实例表；OF / UF 无独立 104 遥信点，只经 YX15 总聚合可见。
prot_elm_init()须在phasor_init()之后。→docs/算法/采集与算法层设计说明.md§9。
3.7 freq.c / .h — 频率测量（L3-5 的测量输入）
freq_run()仅 adcTask 上下文，须在phasor_run()之后同拍调；保护口径 =freq_get() == 0 && freq_valid() == 1。- 精度靠自适应窗长（窗长 = 泄漏纹波周期的整数倍）；定长平均压不到 0.02 Hz， 换窗长 = 换精度，二者不是独立旋钮。
- 源切换即废相位基准重建（UA / IA 无共同相位基准，即双转换器无共同采样触发）。
- 判据 J1~J6 与实测口径 →
docs/算法/采集与算法层设计说明.md§7.2（与test/host/freq/freq_test.c文件头同源）。
3.8 adc_cal.c / .h — L1.5 通道标定折算（「数据可信」卡 2 / 卡 4）
- 折算模型：工程量 = (code + b) × k；k 落盘用 int32 Q16（µV/码 × 65536）、b 用
int32 码值（负零点靠
CFG_VAL_INT）——单位与定点格式的选型依据见docs/任务规划/数据可信.md§4.1，勿改回 V/码 直存（Q16 只剩 20 个刻度）。 - ROM 默认 = 卡 1 定死的引脚侧 LSB（TPAFE 152.59 / STM32 805.66 µV/码，
docs/硬件平台/ADC通道映射说明.md§7.1）；表下标 = 语义枚举（UA0…IN7）， V0.2 改版与本目录adc_input映射表同步改。 - 三态可用性
adc_cal_flags()：VALID（已按变比标定，二次值成立——卡 0b/12 前恒 0） / CLIPPED（运行期按来源派生，V0.2 后自动清零）。消费者判「能不能信」只许查它，adc_cal_apply()不返回可用性（「数据可信」§8 风险表）。 - 合法带哨兵：k ∉ ROM×[0.5,2.0] 或 |b| > 8192 → 折算回退 ROM + 每通道每开机一条
[ERR]+ VALID 被压制（即便文件位图说已标定）；这层兜底同时挡坏文件与坏标定。 adc_cal_set()/adc_cal_two_point()：整定与两点公式的算术核已齐备（单测还原合成 k/b）；台架两点标定（卡 12）待实测，本层不含注入。- cfg 两段
[adc_cal]/[adc_cal_ofs]不挂回调（RAM 副本即生效值，引擎 load/poll 原地改写，逐点现读）；注册在app_main_init()内核前完成，必须先于cfg_file_load。
3.9 meas.c / .h — 遥测快照发布（L2 发布侧，「数据可信」卡 8）
- 唯一发布者 = adcTask：
phasor_run()/freq_run()同拍、200 ms tick 经过分频 调meas_tick()（非拍计数——idle/skip 拍拉长名义节拍）。docs/任务规划/数据可信.md §8 风险表"快照双写"行 = 评审判据：全仓meas_tick调用点数须为 1；iec104Task / uiTask 只读。 - 值口径（批 2 卡 8 A-lite 裁决）：基波有效值瞬时透传，与 phasor 使用区 同拍同核逐位相等（单测钉死）；不做 4 点平均 / 谐波方和根——按 docs/任务规划/数据可信.md §4.5"上送节拍非平均窗，再平均引入滞后"；谐波 k-bin 轨 （docs/算法/继电保护功能复现规划.md L2-8）扩展只许结构尾部追加， docs/任务规划/数据可信.md §4.5 字段序 = 协议（布局由单测按偏移钉死，72 B × 双区）。
- 并发 = phasor 双区 + 单字节索引翻转（L2-7 同型，无锁）；seq 只增供消费者判换帧。
- 品质注入：削顶位图唯一源 =
adc_cal_flags()（口径 docs/任务规划/数据可信.md §4.2 三态表；由 adc_task 编排注入，本层不链adc_cal）；TEMP = 最新一拍原始值透传 +NT（「数据可信」决策 5）；MEAS_QDS_*低字节与 104 QDS 线上字节同值 （本层不 include 协议层头——分层方向）。 - 104 死区迁移 / 频率点绑定 = 卡 9/卡 11（道D 后续分支）；读数与注入源比对 = 待台架实测。
4. 构建与测试
4.1 挂载与模拟器边界
- 九个
.c已登记在MDK-ARM/STM32F407-Demo.uvprojx；../App/algo已在<IncludePath>内。 - 本层不进
simulator/CMakeLists.txt（UI 模拟器不跑采集链路）：九个文件全部登记在scripts/check_registration.py的SIM_EXEMPT（附理由），registration-check钩子反向校验（登记簿条目「rs485_task 白名单缺口」）。
4.2 主机侧单测（L0.5）——生产源文件以 #include 原样纳入
| 模块 | 命令 | pre-commit 钩子 |
|---|---|---|
| 相量 / 采样环 | & '.venv\Scripts\python.exe' test/host/phasor/run_unit_test.py |
phasor-unit-test |
| ADC 输入层 | & '.venv\Scripts\python.exe' test/host/adc_input/run_unit_test.py |
adc-input-unit-test |
| 有效性校验 | & '.venv\Scripts\python.exe' test/host/adc_health/run_unit_test.py |
adc-health-unit-test |
| 定值模型 | & '.venv\Scripts\python.exe' test/host/prot_set/run_unit_test.py |
prot-set-unit-test |
| 元件框架 | & '.venv\Scripts\python.exe' test/host/prot_elm/run_unit_test.py |
prot-elm-unit-test |
| 频率测量 | & '.venv\Scripts\python.exe' test/host/freq/run_unit_test.py |
freq-unit-test |
| 通道标定（含真实 cfg_file 引擎集成） | & '.venv\Scripts\python.exe' test/host/adc_cal/run_unit_test.py |
adc-cal-unit-test |
| 遥测快照（布局钉死/双区无撕裂/品质汇总） | & '.venv\Scripts\python.exe' test/host/meas/run_unit_test.py |
meas-unit-test |
改本目录任一 .c/.h，提交时对应钩子自动跑。用例清单与判据数字的属主是各
test/host/<模块>/ 与 docs/测试说明/ 下的单测说明，本文不复制（三处抄数字必然打架）。
4.3 板端
@build 0 错误 0 警告 → @test 看 [ADC_TASK] 首拍 / 心跳（phasor(...)、freq(...)、
cal: ua_mv=… vl=0x00 cl=0xE6 rail=…、ring / skip / adc1_* / tgap）；
健康判据 = 零 [ERR]（健康告警与标定哨兵全以 [ERR] 开头，误报会被闭环直接抓住；
vl 在未标定默认构建必须为 0x00，卡 5 闭锁落地后 cal: 行就是台架期望的直接证据）。
→ docs/算法/采集与算法层设计说明.md §12。
5. 新增一个算法模块的固定动作
- 在本目录建
xxx.c/h，文件头写模块注释块（规范 V1.0），尽量零平台依赖以便免桩单测。 - 用
new-source-fileskill 注册到MDK-ARM/STM32F407-Demo.uvprojx（新建子目录还要补<IncludePath>）。 模拟器侧二选一：有消费路径 → 加simulator/CMakeLists.txt；纯算法无消费路径 → 加scripts/check_registration.py的SIM_EXEMPT（照本目录既有七条写理由），否则registration-check拦。 - 加
test/host/<模块>/主机单测 +.pre-commit-config.yaml钩子（照phasor-unit-test抄）。 - 消费者写在
App/task/，本层只出"数"；跨转换器禁令见 §3 开头四条红线。 - 在本 README §1 清单加一行，并在
docs/算法/采集与算法层设计说明.md里写清该模块的契约与理由。
6. 相关文档
- 本层设计与判据：
docs/算法/采集与算法层设计说明.md - 通道映射权威口径：
docs/硬件平台/ADC通道映射说明.md - 分层与功能项清单：
docs/算法/继电保护功能复现规划.md - 傅氏算法与有效值口径：
docs/算法/傅氏算法详解.md - 采样节拍（TIM3 1 kHz + TRGO 触发 ADC1 / DMA）：
docs/子系统设计/ADC采样节拍设计说明.md - 相量层 / ADC 输入层单测细则：
docs/测试说明/相量层单元测试说明.md、docs/测试说明/ADC输入层单元测试说明.md - RAM 与栈台账：
docs/内存管理/RAM使用分析与优化方案.md