固件 0.1.0-c3：计划内重启不断电（OTA / 回滚锁住 EFUSE_EN，新固件接管；SR-6 改写）

- warm_esp.{h,c}：warm_restart() 记下开着的路（RTC_NOINIT，魔数 + 掩码 + 反码）→ gpio_hold 锁五根 EN → 重启；
  目标镜像没有能力标记（第 288 字节 PRCAPS1，.rodata_custom_desc）就不锁 —— 老固件写不动锁住的 EN。
  warm_take()：软件复位 + 标记对得上才接管，一次性；再读 EN 真电平核对
- bringup：adopt 掩码；rail_en_init_keep() 接管的路写高、五根一律放开 hold（崩溃时旧锁可能还在）；
  刀片不在 / mux 失联的接管路立刻关（SLOT_EMPTY arg 1）；第二段已开着的路不重开、不等 PG
- pca9555_init_keep()：方向寄存器是本固件写的才留 VBUS（掉过电的片子锁存器是 0xFF），键 / EDL 清零
- HAL：hal_gpio_hold()；ESP 输出脚配 INPUT_OUTPUT（读得到真电平）；sim 给 hold 建模
- 事件 LOG_EV_OTA arg 7 = 接管；兜底定时器回滚故意不走接管
- 顶层 CMake：phonerail.h 进 CMAKE_CONFIGURE_DEPENDS（否则镜像头版本停在旧值）；-u g_phonerail_caps 防 gc
- test_bringup 加 6 例（接管 / 非计划复位全关 / 空槽 / mux 失联 / PCA 掉过电 / hold 冻结），全工程 448 例全绿
- rack：固件库识别能力标记，推送对话框按「支持 / 不支持重启不断电」给不同提示（已部署）
- 需求文档：SR-6 改为「非计划复位全关」+ 计划内重启例外；§10.9 新增「重启不断电」
- 板 B：台架镜像（空槽强制 CH1 在位，未提交）开 CH1 → OTA 带重启 → 事件 18/7 mv=1，CH1 一直开着；
  现跑 0.1.0-c3。未测：示波器看重启期间 EN / 输出毛刺（要插刀片）

Co-Authored-By: Claude Opus 5.5 <[email protected]>

firmware/HANDOFF.md

@@ -1,10 +1,30 @@
 # 交接
-更新：2026-09-27　完成 **C2 OTA**（双槽 + 失败回滚，已上板实测正常 / 哈希错 / 回滚三条路径）
+更新：2026-09-27　**0.1.0-c3：重启不断电**（计划内重启锁住 EFUSE_EN、新固件接管；SR-6 已改写）
 
 ## 一句话现状
-`ota` 命令（经 MQTT 或 USB）给 URL + sha256 + size，板子自己经 HTTP 下载、边下边算哈希、对上才切启动分区；
-新固件 120 s 内连不上 broker 就回滚。**26 个 ctest、442 个用例全绿**，`idf.py build` 通过（0xF32E0，槽 3 MB，余 68%）。
-板 B（COM5）现在跑 **0.1.0-c2**（最后一次就是经 OTA 推上去的）。定稿写在需求 §10.8「C2 定稿的 OTA」。
+OTA 换固件 / 超时回滚现在走 `warm_restart()`（`main/warm_esp.c`）：目标固件认接管 ⇒ 手机不断电；
+崩溃 / 看门狗 / 上电 / 兜底回滚仍全关（SR-6）。**26 个 ctest、448 个用例全绿**。板 B 跑 **0.1.0-c3**（经 OTA 推上去的）。
+定稿写在需求 §10.9「重启不断电」。C2 OTA 的说明在下面。
+
+## 重启不断电（c3）
+- 三道闸：RTC 标记（软件复位 + 魔数 / 反码，一次性）· 目标镜像能力标记（第 288 字节 `PRCAPS1`，老固件不认就不锁）· 起来后读 EN 真电平核对。
+- `rail_en_init_keep(adopt)` **五根一律放开 hold**：崩溃时上一条命的锁可能还在。
+- `pca9555_init_keep()`：方向寄存器是我们写的才留 VBUS；键 / EDL 清零。
+- 实测：台架镜像（空槽强制 CH1 在位，**没提交**）开 CH1 → OTA 带重启 → 事件 `18/7 mv=1`（新固件读到 IO9 仍为高、接管）。
+  ⚠️ 没测到的：示波器上看 EN 在重启期间有没有毛刺（`warm_take` 读到高只能说明「起来时还是高」）；
+  「锁着 + 非计划复位」这条路径只有宿主机测试（真板上造不出来）。插上刀片 + 手机后要看一次手机有没有掉电重启。
+- **第一次从 c2 升到 c3 仍会断电一次**：锁 EN 的是**正在跑**的固件，c2 不会锁。
+
+## 下一步（没人定，候选）
+- 示波器验证：插一片刀片，CH 开着，OTA 带重启，抓 EN / 输出电压（`scope_*` 工具）。
+- 小毛病（以前就有）：PCA9555 不应答时 `power off` 回 `busy`，其实 eFuse 已经关了、意图也清了（`from_hal` 把 VBUS 失败的 HAL_ERR_STATE 映射成了 busy）。
+- 服务器 fw 目录不会自动清理旧镜像（每个 ~1 MB，问题不大）。
+
+## 踩到的坑（c3）
+- `.rodata_custom_desc` 没人引用会被 `--gc-sections` 丢掉 ⇒ `main/CMakeLists.txt` 加 `-u g_phonerail_caps`。
+- `PROJECT_VER` 在 CMake 配置时读 ⇒ 改 `phonerail.h` 不会重配，镜像头版本会是旧的 ⇒ 顶层加了 `CMAKE_CONFIGURE_DEPENDS`。
+- 撤掉台架补丁后要**重新编译**再推：`build/phonerail.bin` 还是台架版（这次推错了一次，已换回）。
+- Git Bash heredoc 里的 Python 写 `\0` 又变成真 NUL 了（这次在 rack/firmware.py）—— 含反斜杠的一律写 .py 文件。
 
 ## 怎么推固件
 ```
@@ -16,11 +36,6 @@ python tools/ota_push.py b81f3fc9c8bc --status
 再在服务器上用后端账号经 1884 发命令、盯遥测。
 **rack 管理界面「固件」页也能推**（2026-09-27 加，上传 → 选板 → 可选立刻重启并二次确认；见 `rack/README.md`「推固件」）。
 
-## 下一步（没人定，候选）
-- ~~rack 界面加「推固件」~~ ✅ 2026-09-27 已上线。
-- 「重启不断电」：ESP 复位时 EN 被下拉 ⇒ OTA / 回滚都会让五台手机掉电一次。要避免得在复位前 `gpio_hold_en` 各路 EN、
-  并改 bringup 第 1 步「安全态」只在上电复位时做 —— 动的是安全链，要先讨论。
-- 服务器 fw 目录不会自动清理旧镜像（每个 ~1 MB，问题不大）。
 
 ## C2 改了什么
 - `partitions.csv` 重排（16 MB）：**nvs 0x9000 没动**；ota_0 / ota_1 各 3 MB；otadata 0x610000；evlog 挪到 0x612000（历史事件清空了一次）。