固件 0.1.0-c3：计划内重启不断电（OTA / 回滚锁住 EFUSE_EN，新固件接管；SR-6 改写）

- warm_esp.{h,c}：warm_restart() 记下开着的路（RTC_NOINIT，魔数 + 掩码 + 反码）→ gpio_hold 锁五根 EN → 重启；
  目标镜像没有能力标记（第 288 字节 PRCAPS1，.rodata_custom_desc）就不锁 —— 老固件写不动锁住的 EN。
  warm_take()：软件复位 + 标记对得上才接管，一次性；再读 EN 真电平核对
- bringup：adopt 掩码；rail_en_init_keep() 接管的路写高、五根一律放开 hold（崩溃时旧锁可能还在）；
  刀片不在 / mux 失联的接管路立刻关（SLOT_EMPTY arg 1）；第二段已开着的路不重开、不等 PG
- pca9555_init_keep()：方向寄存器是本固件写的才留 VBUS（掉过电的片子锁存器是 0xFF），键 / EDL 清零
- HAL：hal_gpio_hold()；ESP 输出脚配 INPUT_OUTPUT（读得到真电平）；sim 给 hold 建模
- 事件 LOG_EV_OTA arg 7 = 接管；兜底定时器回滚故意不走接管
- 顶层 CMake：phonerail.h 进 CMAKE_CONFIGURE_DEPENDS（否则镜像头版本停在旧值）；-u g_phonerail_caps 防 gc
- test_bringup 加 6 例（接管 / 非计划复位全关 / 空槽 / mux 失联 / PCA 掉过电 / hold 冻结），全工程 448 例全绿
- rack：固件库识别能力标记，推送对话框按「支持 / 不支持重启不断电」给不同提示（已部署）
- 需求文档：SR-6 改为「非计划复位全关」+ 计划内重启例外；§10.9 新增「重启不断电」
- 板 B：台架镜像（空槽强制 CH1 在位，未提交）开 CH1 → OTA 带重启 → 事件 18/7 mv=1，CH1 一直开着；
  现跑 0.1.0-c3。未测：示波器看重启期间 EN / 输出毛刺（要插刀片）

Co-Authored-By: Claude Opus 5.5 <[email protected]>

firmware/components/drv/include/pca9555.h

@@ -133,6 +133,12 @@ hal_err_t pca9555_probe(void);
    通道必须由调用方先选好（本驱动不碰 mux）。 */
 hal_err_t pca9555_init(int slot);
 
+/* 同上，但输出锁存器里 `keep_mask` 那几位**保留现值**（「重启不断电」时留 VBUS，
+   按键 / EDL 照样清零 —— 重启前正按着的键，起来就松开）。
+   **只在这片的方向寄存器已经是 PCA9555_CONFIG0_INIT 时才留**：否则它掉过电，
+   锁存器是复位值 0xFF，留下来 = 凭空打开 VBUS。`keep_mask` 只许是 Port0 的输出位。 */
+hal_err_t pca9555_init_keep(int slot, uint8_t keep_mask);
+
 /* 巡检主路径：**一次事务**读两个输入端口（PCA9555 的读指针在 0x00 / 0x01 之间
    toggle，这两个字节是 datasheet 保证的）。 */
 typedef struct {

firmware/components/drv/pca9555.c

@@ -164,18 +164,45 @@ hal_err_t pca9555_probe(void)
     return (c0 == PCA9555_DIR_ALL_INPUT && c1 == PCA9555_DIR_ALL_INPUT) ? HAL_OK : HAL_ERR_BUS;
 }
 
+static hal_err_t init_with(int slot, uint8_t out0);
+
 hal_err_t pca9555_init(int slot)
 {
     if (slot < 0 || slot >= PCA9555_SLOT_COUNT) {
         return HAL_ERR_ARG;
     }
+    return init_with(slot, 0x00);
+}
+
+hal_err_t pca9555_init_keep(int slot, uint8_t keep_mask)
+{
+    if (slot < 0 || slot >= PCA9555_SLOT_COUNT || (keep_mask & (uint8_t)~PCA9555_P0_OUT_MASK) != 0) {
+        return HAL_ERR_ARG;
+    }
+    uint8_t   cfg0 = 0;
+    uint8_t   out0 = 0;
+    hal_err_t err = read_reg(PCA9555_REG_CONFIG0, &cfg0);
+    if (err == HAL_OK) {
+        err = read_reg(PCA9555_REG_OUTPUT0, &out0);
+    }
+    if (err != HAL_OK) {
+        return err;
+    }
+    /* ⭐ 只有「这片已经被上一条命配过」才留：方向字不是我们写的那个 = 它掉过电（复位值
+       0xFF 的输出锁存器里 VBUS 位是 1），照留就是凭空把 VBUS 打开。 */
+    const uint8_t keep = (cfg0 == PCA9555_CONFIG0_INIT) ? (uint8_t)(out0 & keep_mask) : 0u;
+    return init_with(slot, keep);
+}
+
+static hal_err_t init_with(int slot, uint8_t out0)
+{
     /* 方向字的合法性是编译期就能判的事，assert 拦的是「哪天有人顺手改了常量」。 */
     assert(pca9555_dir_safe(0, PCA9555_CONFIG0_INIT));
     assert(pca9555_dir_safe(1, PCA9555_CONFIG1_INIT));
 
     /* ⛔ 顺序就是安全本身（头文件那个框）：**输出锁存器先清零，方向最后改**。
        复位值 0xFF 的输出锁存器 + 先改方向 = 三个键全按下 + VBUS 上电。 */
-    hal_err_t err = write_verify(PCA9555_REG_OUTPUT0, 0x00);
+    hal_err_t err = write_verify(PCA9555_REG_OUTPUT0, out0);
     if (err != HAL_OK) {
         return err;
     }
@@ -206,7 +233,7 @@ hal_err_t pca9555_init(int slot)
         return err;
     }
 
-    s_out0[slot] = 0;
+    s_out0[slot] = out0;
     return HAL_OK;
 }
 

firmware/components/phonerail_hal/esp/hal_gpio_esp.c

@@ -17,7 +17,9 @@ hal_err_t hal_gpio_config(int pin, hal_gpio_mode_t mode)
     }
     gpio_config_t cfg = {
         .pin_bit_mask = 1ULL << pin,
-        .mode = (mode == HAL_GPIO_OUTPUT) ? GPIO_MODE_OUTPUT : GPIO_MODE_INPUT,
+        /* 输出也开输入缓冲：`hal_gpio_read()` 读到的是**引脚上的真电平**，不是寄存器。
+           「重启不断电」靠它核对锁住的 EN 脚是不是真的还是高（warm_esp.c）。 */
+        .mode = (mode == HAL_GPIO_OUTPUT) ? GPIO_MODE_INPUT_OUTPUT : GPIO_MODE_INPUT,
         .pull_up_en = (mode == HAL_GPIO_INPUT_PULLUP) ? GPIO_PULLUP_ENABLE : GPIO_PULLUP_DISABLE,
         .pull_down_en = GPIO_PULLDOWN_DISABLE,
         .intr_type = GPIO_INTR_DISABLE,
@@ -45,3 +47,12 @@ hal_err_t hal_gpio_read(int pin, int *level)
     *level = gpio_get_level(pin);
     return HAL_OK;
 }
+
+hal_err_t hal_gpio_hold(int pin, bool on)
+{
+    if (pin < 0 || pin >= PIN_MAX) {
+        return HAL_ERR_ARG;
+    }
+    return ((on ? gpio_hold_en(pin) : gpio_hold_dis(pin)) == ESP_OK) ? HAL_OK : HAL_ERR_ARG;
+}
+

firmware/components/phonerail_hal/include/hal_gpio.h

@@ -2,6 +2,8 @@
 #ifndef HAL_GPIO_H
 #define HAL_GPIO_H
 
+#include <stdbool.h>
+
 #include "hal_err.h"
 
 #ifdef __cplusplus
@@ -24,6 +26,12 @@ hal_err_t hal_gpio_write(int pin, int level);
 /* level 用出参，是为了把「读到低电平」和「读失败」分开。 */
 hal_err_t hal_gpio_read(int pin, int *level);
 
+/* 引脚保持（「重启不断电」用，warm_esp.c / rail_cfg.c）。on = 把**此刻的引脚状态**锁住：
+   之后的配置与写入只改寄存器、不改引脚，**跨软件复位 / 看门狗复位保持**，上电复位才释放。
+   off = 放开，引脚跟上寄存器现值 —— 所以接管的顺序是「先配成输出、写好电平，再放开」。
+   ⚠️ 锁着的脚固件写不动：`t_safety` 关不掉。只许在 esp_restart() 的前一刻锁，起来第一件事放开。 */
+hal_err_t hal_gpio_hold(int pin, bool on);
+
 #ifdef __cplusplus
 }
 #endif

firmware/components/phonerail_hal/sim/hal_gpio_sim.c

@@ -13,6 +13,9 @@ typedef struct {
     uint64_t        rise_us; /* 最后一次 0→1 的虚拟时刻（µs），0 = 没有过 */
     bool            ext;     /* 外部世界在驱这根线（`sim_gpio_drive`），跨 config 保持 */
     int             ext_level;
+    bool            held;    /* hal_gpio_hold：引脚锁在 pad 上，`level` 只是寄存器 */
+    int             pad;     /* 锁着时引脚上的电平 */
+    uint32_t        holds;   /* 被锁过几次 */
 } pin_t;
 
 static sim_gpio_hook_t s_hook;
@@ -40,12 +43,40 @@ void sim_gpio_reset_internal(void)
 
 static bool valid(int pin) { return pin >= 0 && pin < SIM_GPIO_PINS; }
 
+/* 引脚上的电平：锁着看 pad，没锁看寄存器。 */
+static int pad_of(const pin_t *p) { return p->held ? p->pad : p->level; }
+
+/* 引脚真的变了才通知外部世界（假 595 / 假 mux / 测试的钩子）。 */
+static void notify(int pin, int was)
+{
+    pin_t    *p = &s_pin[pin];
+    const int now = pad_of(p);
+    if (now == was) {
+        return;
+    }
+    if (was == 0 && now == 1) {
+        p->rise_us = hal_time_now_us();
+    }
+    sim_sr595_gpio_hook(pin, now);
+    sim_mux_gpio_hook(pin, now);
+    if (s_hook != NULL) {
+        s_hook(pin, now);
+    }
+}
+
 hal_err_t hal_gpio_config(int pin, hal_gpio_mode_t mode)
 {
     if (!valid(pin)) {
         return HAL_ERR_ARG;
     }
     pin_t *p = &s_pin[pin];
+    if (p->held) {
+        /* 锁着：方向与寄存器照改，引脚不动（ESP 的 gpio_hold 就是这样）。 */
+        p->configured = true;
+        p->mode = mode;
+        p->level = 0;
+        return HAL_OK;
+    }
     p->configured = true;
     p->mode = mode;
     /* 上拉输入没人驱动时读回高电平 —— 五路 FLT/PG 都是开漏 + 上拉，
@@ -71,27 +102,65 @@ hal_err_t hal_gpio_write(int pin, int level)
     if (!valid(pin) || !s_pin[pin].configured || s_pin[pin].mode != HAL_GPIO_OUTPUT) {
         return HAL_ERR_ARG;
     }
-    const int was = s_pin[pin].level;
-    s_pin[pin].level = level ? 1 : 0;
-    s_pin[pin].writes++;
-    s_pin[pin].seq = ++s_seq;
-    if (was == 0 && s_pin[pin].level == 1) {
-        s_pin[pin].rise_us = hal_time_now_us();
+    pin_t *p = &s_pin[pin];
+    if (p->held) {
+        p->level = level ? 1 : 0; /* 只改寄存器；writes 不计 —— 线上什么都没发生 */
+        return HAL_OK;
     }
-    sim_sr595_gpio_hook(pin, s_pin[pin].level);
-    sim_mux_gpio_hook(pin, s_pin[pin].level);
+    const int was = p->level;
+    p->level = level ? 1 : 0;
+    p->writes++;
+    p->seq = ++s_seq;
+    if (was == 0 && p->level == 1) {
+        p->rise_us = hal_time_now_us();
+    }
+    sim_sr595_gpio_hook(pin, p->level);
+    sim_mux_gpio_hook(pin, p->level);
     if (s_hook != NULL) {
-        s_hook(pin, s_pin[pin].level);
+        s_hook(pin, p->level);
     }
     return HAL_OK;
 }
 
+hal_err_t hal_gpio_hold(int pin, bool on)
+{
+    if (!valid(pin)) {
+        return HAL_ERR_ARG;
+    }
+    pin_t *p = &s_pin[pin];
+    if (on) {
+        if (!p->held) {
+            p->pad = p->level;
+            p->held = true;
+            p->holds++;
+        }
+        return HAL_OK;
+    }
+    if (p->held) {
+        const int was = p->pad;
+        p->held = false;
+        notify(pin, was);
+    }
+    return HAL_OK;
+}
+
+void sim_gpio_preheld(int pin, int level)
+{
+    assert(valid(pin));
+    pin_t *p = &s_pin[pin];
+    p->held = true;
+    p->pad = level ? 1 : 0;
+    p->level = 0;
+}
+
+bool sim_gpio_held(int pin) { return valid(pin) && s_pin[pin].held; }
+
 hal_err_t hal_gpio_read(int pin, int *level)
 {
     if (!valid(pin) || !s_pin[pin].configured || level == NULL) {
         return HAL_ERR_ARG;
     }
-    *level = s_pin[pin].level;
+    *level = pad_of(&s_pin[pin]);
     return HAL_OK;
 }
 
@@ -110,7 +179,13 @@ void sim_gpio_drive(int pin, int level)
 
 int sim_gpio_level(int pin)
 {
-    if (!valid(pin) || !s_pin[pin].configured) {
+    if (!valid(pin)) {
+        return -1;
+    }
+    if (s_pin[pin].held) {
+        return s_pin[pin].pad; /* 锁着的脚即使这一条命还没配过，线上也是有电平的 */
+    }
+    if (!s_pin[pin].configured) {
         return -1;
     }
     return s_pin[pin].level;

firmware/components/phonerail_hal/sim/sim_hal.h

@@ -120,6 +120,11 @@ void sim_gpio_drive(int pin, int level);
 /* 该脚当前电平：输出脚 = 固件驱动的值，输入脚 = 外部驱动的值。没配过返回 -1。 */
 int sim_gpio_level(int pin);
 
+/* 「上一条命锁住的脚」：模拟计划内重启之后、这一条命还没配之前，引脚被 hold 在 level。
+   （sim_hal_reset() 之后调，代表重启前后外部世界是连续的。） */
+void sim_gpio_preheld(int pin, int level);
+bool sim_gpio_held(int pin);
+
 /* 被 hal_gpio_write() 写成功过几次。断言「改 CH1 没动 CH2~5」用得上（A5）。 */
 uint32_t sim_gpio_writes(int pin);