固件 0.1.1-c5：硬重启后自动开机、MQTT 发布死锁、欠压放宽到 −250 mV

- 硬重启等到 PG 后长按电源键 5 s（新状态 hr-boot）：电池端上电的小米8
  停在关机态，原来的 power_cycle 等于关机。ACT_KEY_MS_ON 2000 → 5000
  （实测 2 s 松手即掉电）。NO_PG 时不按。
- 修死锁：执行器持 s_mtx 等 esp-mqtt 的 api_lock，esp-mqtt 任务持 api_lock
  分发 DISCONNECTED 时等 s_mtx。热点一断 USB/WiFi 全失联、按键可能松不开。
  执行器现在只往 s_outbox 拷贝，由 t_link 交给 esp-mqtt。
- SR-5 欠压一侧 −100 → −250 mV（T_SAFETY_UNDER_MV），过压仍 +100 mV：
  带屏开机峰值 2.1 A 时实测 −115 mV 被误关。需求 SR-5 / SW-2 / SW-5 / 验收表同步。

板 B 上板：power_cycle → hr-boot → 手机开机，最低 3778 mV / 2.12 A 不再跳闸。

Co-Authored-By: Claude Opus 5.5 <[email protected]>

需求文档.md

@@ -174,7 +174,7 @@ USB 通断」这些原本要人手做的动作全部电气化，交给板上 MCU
 | **SR-2** | **第一层 · 拓扑限幅**：分压网络与 DAC 量程在物理上把输出限死在 3.42 ~ 4.12 V（含最坏容差），全部落在正常锂电电压内。防固件 bug / I²C 误码 / MCU 跑飞 | §4 |
 | **SR-3** | **第二层 · eFuse 独立过压断开**（每路一颗，**最后一道硬件防线**）：OVP 4.36 V 标称、**断开而非钳位**、响应 2 µs；限流 4.45 A 恒流、不依赖 MCU | §5 |
 | **SR-4** | eFuse 的过压响应**必须来得及**：按最坏值（Buck 高侧限流 14 A、负载 2200 µF）核算，余量 ≥ 10 倍 | §5 |
-| **SR-5** | **第三层 · 软件监控**：电压偏离设定 >±100 mV 且持续 20 ms → 拉低该路 EN 并上报。**仅承担记录与告警，不承担实时保护** | §5 |
+| **SR-5** | **第三层 · 软件监控**：电压高于设定 >100 mV 或低于设定 >250 mV（欠压一侧 2026-09-28 放宽：小米8 带屏开机峰值 2.1 A 时实测 −115 mV），且持续 20 ms → 拉低该路 EN 并上报。**仅承担记录与告警，不承担实时保护** | §5 |
 | **SR-6** | **复位安全**：ESP32 **非计划**复位（上电、崩溃、看门狗、按 EN、esptool）期间，五路输出全关、五路 VBUS 全断、15 路按键全不按、5 路 EDL 全不触发、风扇不转。靠**上下拉电阻**保证，不靠固件。<br>**例外（2026-09-27 用户定）**：固件自己发起的**计划内重启**（OTA 换固件、自证超时回滚）锁住 `EFUSE_EN`、新固件接管，手机不断电；按键 / EDL 仍全松，VBUS 保持。见 §10.9「重启不断电」 | §8.1 / §22.4 |
 | **SR-7** | 放电 MOS 与 eFuse EN **硬件反相联锁**，物理上不可能同时导通 | §7.3 |
 | **SR-8** | **输入保护**：保险丝 + TVS + P-MOS 反接保护 | §2 |
@@ -277,10 +277,10 @@ USB 通断」这些原本要人手做的动作全部电气化，交给板上 MCU
 | ID | 需求 |
 |---|---|
 | **SW-1** | 崩溃检测 + 两级自动重启（§4.1）—— **整块板子最核心的价值** |
-| **SW-2** | 20 ms 周期巡检六路 INA226，电压偏离 >±100 mV 持续 20 ms 即关路告警（SR-5） |
+| **SW-2** | 20 ms 周期巡检六路 INA226，电压偏离 >+100 / −250 mV 持续 20 ms 即关路告警（SR-5） |
 | **SW-3** | 过流 / 故障事件记录：路号、时刻、电流值 —— 排查排线接触不良的唯一线索 |
 | **SW-4** | 单路电压微调接口（跑不稳的手机提到 4.0 V，或反向降压降温），**上限受 SR-13 约束** |
-| **SW-5** | 侧键序列：短按 100 ms 唤醒 / 长按 2 s 开机 / 长按 10 s 强制重启 / VOL−+PWR 进 Fastboot / VOL++PWR 进 Recovery |
+| **SW-5** | 侧键序列：短按 100 ms 唤醒 / 长按 5 s 开机（小米8 实测 2 s 不够，2026-09-28）/ 长按 10 s 强制重启 / VOL−+PWR 进 Fastboot / VOL++PWR 进 Recovery |
 | **SW-6** | EDL 时序**固定为** `EDL_EN=1` → `VBUS_EN=1` → 等枚举 → `EDL_EN=0`（先短接再插 USB） |
 | **SW-7** | 开机脚本执行「关充电」（写 `input_suspend` 类节点），路径需在首台机上确认后写死 |
 | **SW-8** | USB 反灌保护：检测到该路电流转负或母线上升，**200 ms 内**断开该路 VBUS |
@@ -1010,7 +1010,7 @@ FR-12 是「中（可选）」，建议**首版先不做**，把接口留出来
 | PR-4 / PR-5 | 扫 DAC 全量程 | 输出扫过 3.52 ~ 4.01 V，与公式误差 <1%；**任何码值都到不了 4.2 V** |
 | SR-2 | 固件写越界值 | 输出被拓扑限死，不越过上限 |
 | SR-3 / SR-4 | 人为断开反馈下电阻 | eFuse 断开，输出侧尖峰不超过 4.7 V |
-| SR-5 | 注入 ±150 mV 偏差 | 20 ms 内关路并产生告警记录 |
+| SR-5 | 注入 +150 / −300 mV 偏差 | 20 ms 内关路并产生告警记录 |
 | SR-6 | 手动复位 ESP32 | 示波器确认五路立即关断、15 路按键无一误触发、EDL 无触发 |
 | SR-7 | 固件同时置位 EN 与放电 | 硬件互斥，10 Ω 上无持续功耗 |
 | SR-9 | 可调电源把母线升到 13.5 V | 泄放导通并拉回 13.2 V 以下 |