固件 A15：启动顺序 + 降级矩阵（bringup.{h,c}，已上板）

- 启动序列从 app_main.c 拆进 main/bringup.{h,c}，宿主机可测：
  bringup_devices()（§10.9 第 1~4 步）→ 起 t_safety → bringup_power_restore()（第 5~6 步）
- 六片 INA226 写 Config/Calibration（之前没做，电流恒 0）；输入侧 0x43 登记对调接
- 按「意图」逐路上电、错开 100 ms、每路等 PG 500 ms，等不到关回去并记 LOG_EV_PG_TIMEOUT(17)
- 意图只由 power 命令改（cmd_env_t.intent → NVS phonerail/rail_want）
- §10.10 逐行降级：INA/DAC/PCA9555/mux/PRSNT#/CH224A；mux 失联时不碰主干
- BOOT 事件 arg = 复位原因；HUB_RST# 仍只在上电复位时脉冲
- rail_volt_init() 一片失败不再放弃另一片；CH224A 主干 / 通道 5 两处都找
- sim：sim_gpio_rise_us / sim_gpio_set_hook，sim_gpio_drive 可在配置前调
- test_bringup.c 24 例 + test_cmd 意图 1 例，共 425 例全绿；版本 0.1.0-a15
- rack：事件表加 17 PG_TIMEOUT（已部署）

Co-Authored-By: Claude Opus 5.5 <[email protected]>

firmware/HANDOFF.md

@@ -1,44 +1,49 @@
 # 交接
-更新：2026-09-27　完成 **A14 + C1**（WiFi/MQTT 链路 + 经 USB 配网，需求 §10.8「A14 定稿的 MQTT 链路」）
+更新：2026-09-27　完成 **A15**（启动顺序 + 降级矩阵，需求 §10.9 / §10.10）
 
 ## 一句话现状
-板 B（`b81f3fc9c8bc`）经 WiFi `CANBOX-5G` → 公网 → home 服务器 mosquitto 8883（TLS）**真连网跑通**：
-retained state、1 s 遥测、命令 / 判重 / `link` / `empty` / `parse` 回应全对。两条链路（USB + MQTT）都已上板。
-**23 个 ctest、400 个用例全绿**，`idf.py build` 通过（**0xE2220，分区只剩 12%**）。板 B 烧的是 0.1.0-a14，配置已存 NVS。
+启动序列从 `app_main.c`（只进 IDF、一行测不到）拆进 `main/bringup.{h,c}`，宿主机 `test_bringup.c` **24 例**逐个「拔掉」器件对 §10.10 逐行。
+**24 个 ctest、425 个用例全绿**，`idf.py build` 通过（**0xE2C60，分区剩 11%**）。板 B（COM5）已烧 **0.1.0-a15**。
 
 ## 下一步
-固件还欠 **A15**（启动顺序 + 降级矩阵）/ **A16**（风扇闭环接进 t_thermal 任务体）。
-或者转**服务器侧前后端**（需求 D7）：后端以 `phonerail-backend` 订阅 `phonerail/+/rsp|tele|state`，经 `<base>/cmd` 下发。
+- **A16**：风扇闭环接进 `t_thermal` 任务体（app_main.c 的 `task_thermal` 还是空壳；`cmd_env.thermal` 仍是 NULL）。
+- 服务器：`rack/backend/prrack/protocol.py` 已加事件 17，已部署（HOST=10.5.5.13，26 例过）。
+- 待核：CH224A 读到 5000 mA（100 W），而 PROGRESS 早上记的是 20V/3A —— 换了充电器，还是 0x50 的理解有误？
 
 ## 本次新增/修改的文件
-- `main/netcfg.{h,c}` **新** — 配置校验 / 持有 / 存储回调；网络状态；「密码永不外泄」
-- `main/mlink.{h,c}` **新** — topic、入站消息校验、WiFi 退避、遥测节拍、上线消息
-- `main/cmd_net.c` **新** — `wifi` / `mqtt`（只收 USB）/ `net` 三条命令；新增错误码 `link`（11）、命令号 10~12（冻结）
-- `main/mlink_esp.{h,c}` **新**（只进 IDF）— NVS、WiFi STA、esp-mqtt（TLS，enqueue 不阻塞）、遥测
-- `main/certs/evse_ca.pem` **新** — 服务器 mosquitto 的自签 CA（公钥证书），`EMBED_TXTFILES`
-- `main/cmd_json.h` — 字符串上限 32 → 65（WPA2 口令 63）
-- `main/app_main.c` / `CMakeLists.txt` — 接线；REQUIRES 加 wifi / netif / event / timer / nvs / mqtt
-- `test/test_net.c`（10 例）**新**；`test_cmd.c` 冻结编号更新；版本号 `0.1.0-a14`
+- `main/bringup.{h,c}` **新** — 两段：`bringup_devices()`（§10.9 第 1~4 步 + 降级）、`bringup_power_restore(want)`（第 5~6 步）
+- `main/app_main.c` — 启动段换成两段调用；**`t_safety` 在两段之间 spawn**（上电时巡检已在看）；
+  `evlog_init_ex(esp_reset_reason())` 挪到最前；NVS 键 `phonerail/rail_want` 存「意图」；`hub_reset_pulse_once()` 搬进 bringup.c
+- `main/cmd.h` / `cmd_exec.c` — `cmd_env_t` 加 `intent` 回调，只有 `power` 命令真的生效时调
+- `main/evlog.{h,c}` — `evlog_init_ex(boot_arg)`；新事件 **`LOG_EV_PG_TIMEOUT = 17`**
+- `main/rail.{h,c}` — `rail_volt_init_one(addr)`；`rail_volt_init()` 一片失败**不再放弃另一片**
+- sim：`sim_gpio_rise_us()`、`sim_gpio_set_hook()`；`sim_gpio_drive()` 可在配置前调、跨 config 保持（刀片把 PRSNT# 短到地与固件何时配脚无关）
+- `test/test_bringup.c` **新**（24 例）；`test_cmd.c` +1（意图）；`test_evlog.c` 冻结号 +17；版本 `0.1.0-a15`
 
-## 服务器上改了什么（home 服务器，mosquitto 1.6.9，evse 项目共用）
-- `evse.passwd` 加用户 `b81f3fc9c8bc`、`phonerail-backend`；`evse.acl` 末尾追加 phonerail 段（`pattern … phonerail/%u/…`）。
-- ⛔ **修了 evse 原有的漏洞**：8883 listener 缺 `cafile` ⇒ TLS 根本没生效、**公网明文**。补 `cafile /etc/mosquitto/certs/ca.crt` 后重启；
-  改前 8883 上零成功连接（日志自 09-24 起），evse-backend 走本机 1884，重启后 5 s 自动重连。
-- 三个文件都有 `.bak-20260927-*` 备份。口令在 `/root/phonerail/mqtt.env`（700 目录，仅 root）。
+## §10.10 各行落在哪
+| 行 | 行为 | 用例 |
+|---|---|---|
+| 刀片 INA226 无应答 | 照常上电、`blind`、I2C_LOST(rail, 0x40) | `test_row_rail_ina_missing_keeps_power` |
+| DAC 无应答 | 不关输出、另一片照样初始化、影子回 3.90 | `test_row_dac_missing_…` |
+| PCA9555 无应答 | 照常上电，PG 改按 INA226 电压；两样都看不见 = 开着报 unverified | `test_row_pca_*`（3 例） |
+| mux 选不中 | 脉冲一次 MUX_RST#，仍不通 ⇒ 一路不开、MUX_LOST，不碰主干 | `test_row_mux_*`（2 例） |
+| PRSNT# 高 | 不发一个总线字节、不上电；想开的才记 SLOT_EMPTY | `test_row_empty_slot_*`（2 例） |
+| CH224A 读不到 / 偏低 | 按 60 W / 按读到的，PD_LIMIT 事件 | `test_row_pd_*` + 通道 5 兜底 |
+| 看门狗复位 | BOOT.arg = 复位原因 | `test_row_watchdog_reset_is_recorded_in_boot` |
+| **I²C 总线挂死** | ⛔ **没做**（9 个时钟恢复在 HAL 层） | — |
 
-## 验收命令与结果
+注错验证过：删掉 `ina226_set_reversed(0x43)` ⇒ 第一条红；错开改成 1 ms ⇒ 两条红。
+
+## 上板实测（板 B，五槽空）
 ```
-$ bash host/test.sh                      # 100% tests passed, 0 tests failed out of 23（400 例）
-$ python tools/prlink.py COM5 net        # "wifi":"up","ip":"192.168.8.108","mqtt":"up"
-服务器：mosquitto_sub -h 127.0.0.1 -p 1884 -u phonerail-backend … -t 'phonerail/#' -v
+status: "fw":"0.1.0-a15","in":{"mv":12034,"ua":98500}   ← 输入电流第一次是真值（以前 Calibration 没写，恒 0）
+events: [27, 51, 0, 1(BOOT), 11(ESP_RST_USB), …]  [28, 155, 0, 16(PD_LIMIT), 0, 1000(=100 W), 5000 mA]
 ```
-注错验证过：放开「只收 USB」、去掉 JSON 字符串清洗 → 各自有用例变红。
+没有 I2C_LOST ⇒ 两片 DAC / 输入侧 INA226 / CH224A 都在主干应答。复位原因是 USB ⇒ 没碰 HUB_RST#，COM5 没掉。
+**上电复位路径（Hub 脉冲、DAC NVM 核对）和有刀片时的逐路上电还没在实物上走过**——要等刀片 + 手机上架。
 
 ## 踩到的坑（只写会再犯的）
-- ⛔ **`openssl s_client … | grep "Verify return code"` 不能证明 TLS 通了**：握手失败、没拿到证书时它也打 `0 (ok)`。要看 `Cipher is` / `Protocol`。
-- ⛔ mosquitto 1.6：listener 只有 certfile/keyfile、没有 cafile/capath ⇒ **静默退化成明文**。TLS 选项改动要 restart，HUP 不生效。
-- esp-tls 的「Certificate verified.」在握手失败时也会打，别被它带偏；服务器抓包（tcpdump 看 RST 时机）最快。
-- 服务器 pid 文件不在 `/var/run/mosquitto.pid`，HUP 用 `pgrep -x mosquitto`。`mosquitto_passwd -b`（1.6.9）会把文件内容打到终端，不是出错。
-- 本机（192.168.8.x）与服务器（10.5.5.x）不同网段，板子只能走公网 `home.example:8883`；**明文 mqtt:// 只许用在同一局域网**。
-- 固件 0xE2220 / 1 MB：WiFi + MQTT + TLS ≈ 600 KB。**C2（OTA 双分区）前必须重排分区表**（模组是 16 MB，sdkconfig 只按 8 MB 用）。
-- WiFi 断开原因码 3（AUTH_LEAVE）是重配网时我们主动断的，不是故障；201 = 找不到 AP（比如只有 5 GHz）。
+- ⛔ **mux 死了主干也够不着**：`i2cbus_xact(TRUNK)` 先写 mux「全关」，失败就不跑回调。别以为「DAC 在主干上就不受 mux 影响」。
+- sim 里同一地址在主干和某通道各挂一个，主干那颗 `present=false` 时仍会先被匹配 ⇒ NAK。测「只在通道 5」要主干上干脆不挂。
+- 设定电压**不持久化**：热重启后五路回到 3.90 V（bringup 把 DAC 重写成安全值）。上位机要的话重下。
+- `python` 在这台机器的 Git Bash 里是 Windows Store 占位程序，会挂住；一律用 `/c/Python314/python`。