A5：74HC595 24 位链 + 影子寄存器单一写入点

15 路侧键 + 5 路 EDL_EN + HUB_RST 在一条 24 位链上，内存里只有一份影子，
唯一写入点是 sr595_flush()。发送顺序 U33 → U22 → U21，每字节 QH 先发。

位表是从 .claude/pcb1-parts.json 的真实焊盘网络逐脚核回来的，不是照文档抄 ——
设计文档 §17.2 那张是 09-04 的两片版，§26.18 重排后 15 路里有 12 路对不上。
顺手把 §17.2 与 §8.2 里过期的两张表都改了。

sim 侧新增按 datasheet 建模的假移位链（SRCLK 上升沿移一格、RCLK 上升沿锁存），
只看线上真实发生的边 —— 对着驱动自己的影子变量断言等于自己证明自己。
四个注错进去的 bug（字节序反、OE# 先使能、安全影子写 0、位表写成算式）全被拦住。

上电顺序按「先锁存安全值、再使能 OE#」写死：三片 MR# 接死在 +3V3，
上电时移位寄存器内容不确定，先拉低 OE# 就是把随机值放到 15 个栅极上。

Co-Authored-By: Claude Opus 5 <[email protected]>
Claude-Session: https://claude.ai/code/session_01QYuExfgyYa6DzRRcUso8M8

firmware/components/phonerail_hal/sim/sim_hal.h

@@ -66,6 +66,31 @@ int sim_gpio_level(int pin);
 /* 被 hal_gpio_write() 写成功过几次。断言「改 CH1 没动 CH2~5」用得上（A5）。 */
 uint32_t sim_gpio_writes(int pin);
 
+/* ---------------- 74HC595 ×3 的 24 位链 ---------------- */
+
+/* 按 datasheet 建模的假移位链，**只看线上真实发生的边**（SRCLK / RCLK 上升沿）。
+   对着驱动自己的影子变量断言等于自己证明自己 —— 字节顺序发反、每帧多打一个时钟、
+   RCLK 打早了，影子变量一律看不出来。位号与 sr595.h 一致：0 = U21.QA，23 = U33.QH。
+
+   attach 之后移位寄存器与输出锁存器被塞成 0xA5A5A5：真板子上电时它们的内容
+   **不确定**（`MR#` 接死在 +3V3，没有复位线），驱动必须先锁存安全值再使能 OE#。 */
+void sim_sr595_attach(int ser_pin, int srclk_pin, int rclk_pin, int oe_pin);
+
+uint32_t sim_sr595_outputs(void); /* 输出锁存器（不管 OE# 是高是低） */
+uint32_t sim_sr595_shift(void);   /* 移位寄存器当前内容（还没锁存的那一份） */
+uint32_t sim_sr595_clocks(void);  /* SRCLK 上升沿总数：一帧应当正好 +24 */
+uint32_t sim_sr595_latches(void); /* RCLK 上升沿总数：一帧应当正好 +1 */
+int      sim_sr595_oe(void);      /* OE# 当前电平。初值 1 —— 板上 R609 拉着 */
+
+/* OE# 第一次被拉低那一刻的现场。断言「输出使能之前已经锁存过安全值」用：
+   驱动要是把顺序换了，enable_latches 会是 0、enable_outputs 会是那坨 0xA5A5A5。 */
+bool     sim_sr595_enabled(void);
+uint32_t sim_sr595_enable_latches(void);
+uint32_t sim_sr595_enable_outputs(void);
+
+/* 某一位在栅极上的实际电平；OE# 为高时返回 -1（高阻，不是 0）。 */
+int sim_sr595_pin(int bit);
+
 /* ---------------- PWM ---------------- */
 
 int      sim_pwm_pin(int ch);      /* 未配置返回 -1 */