A5：74HC595 24 位链 + 影子寄存器单一写入点

15 路侧键 + 5 路 EDL_EN + HUB_RST 在一条 24 位链上，内存里只有一份影子，
唯一写入点是 sr595_flush()。发送顺序 U33 → U22 → U21，每字节 QH 先发。

位表是从 .claude/pcb1-parts.json 的真实焊盘网络逐脚核回来的，不是照文档抄 ——
设计文档 §17.2 那张是 09-04 的两片版，§26.18 重排后 15 路里有 12 路对不上。
顺手把 §17.2 与 §8.2 里过期的两张表都改了。

sim 侧新增按 datasheet 建模的假移位链（SRCLK 上升沿移一格、RCLK 上升沿锁存），
只看线上真实发生的边 —— 对着驱动自己的影子变量断言等于自己证明自己。
四个注错进去的 bug（字节序反、OE# 先使能、安全影子写 0、位表写成算式）全被拦住。

上电顺序按「先锁存安全值、再使能 OE#」写死：三片 MR# 接死在 +3V3，
上电时移位寄存器内容不确定，先拉低 OE# 就是把随机值放到 15 个栅极上。

Co-Authored-By: Claude Opus 5 <[email protected]>
Claude-Session: https://claude.ai/code/session_01QYuExfgyYa6DzRRcUso8M8

firmware/components/phonerail_hal/sim/hal_gpio_sim.c

@@ -15,6 +15,11 @@ static pin_t s_pin[SIM_GPIO_PINS];
 
 void sim_gpio_reset_internal(void); /* 只给 sim_hal_reset() 用 */
 
+/* 假 74HC595 链的窃听口（sim_sr595.c）。没 attach 过就是个空动作。
+   放在这里而不是让测试自己数边：移位链要看的是**电平的跳变**，
+   而 hal_gpio_write() 写同一个值也会计一次 writes。 */
+void sim_sr595_gpio_hook(int pin, int level);
+
 void sim_gpio_reset_internal(void) { memset(s_pin, 0, sizeof(s_pin)); }
 
 static bool valid(int pin) { return pin >= 0 && pin < SIM_GPIO_PINS; }
@@ -30,6 +35,12 @@ hal_err_t hal_gpio_config(int pin, hal_gpio_mode_t mode)
     /* 上拉输入没人驱动时读回高电平 —— 五路 FLT/PG 都是开漏 + 上拉，
        「没有故障」在假板子上也必须是 1，不然测试会把默认 0 当成一直有故障。 */
     p->level = (mode == HAL_GPIO_INPUT_PULLUP) ? 1 : 0;
+    /* 配成输出的那一刻引脚就开始驱动了（ESP-IDF 的 gpio_config 也是这个行为，
+       输出寄存器复位值 0）。`KEY_OE#` 正是靠这一条：配成输出 = 输出立刻使能，
+       所以 sr595_init() 必须等安全值锁存完了再配它。 */
+    if (mode == HAL_GPIO_OUTPUT) {
+        sim_sr595_gpio_hook(pin, p->level);
+    }
     return HAL_OK;
 }
 
@@ -40,6 +51,7 @@ hal_err_t hal_gpio_write(int pin, int level)
     }
     s_pin[pin].level = level ? 1 : 0;
     s_pin[pin].writes++;
+    sim_sr595_gpio_hook(pin, s_pin[pin].level);
     return HAL_OK;
 }