A8：任务骨架与调度（5 个任务、两把锁）

需求 §10.3 落地。四件事：

1. 五任务表（tasks.c）：周期与优先级写在一张 const 表里，开机自检查的是
   相对顺序（safety 唯一最高、log 唯一最低、thermal 与 actuator 同级），
   外加「巡检周期必须长于 INA226 一帧转换 8.8 ms」。不过就 abort。

2. 节拍器（sched.c）：记下一次该醒的绝对时刻，回绕安全（int32_t 差判先后）。
   过载时跳过错过的整周期、保住相位，不补跑。

3. 两把锁（hal_lock）：I²C 与 74HC595，禁止嵌套持有 —— 这块板上两者没有交集，
   「拿着 A 去拿 B」永远是写错了。ESP 侧用 mutex 取优先级继承。

4. t_safety 的一个周期：拿锁 → 6 片 INA226 的 V+I + PCA9555 两端口 → 放锁。
   不死等锁（5 ms 超时就跳过这圈），一片读失败不中断整圈、保留上一圈的值。

I²C 占用由 HAL 按线上真实字节数记账（两个目标同一份代码），静态预算与实测
必须相等：一次寄存器读 48 位，一圈 13 次事务 = 1560 µs / 20 ms = 7.8 %，
与 §10.3 手算的「约 1.5 ms / 约 8 %」相符（本节的 46 位没数 STOP 和重复 START）。

sim 侧配套两样：假 I²C 事务真的把虚拟时钟花掉（否则时序测试是空话），
以及可强制的加锁纪律检查（配一条反向测试，防止检查本身失灵）。

11 条 ctest（161 例）全绿，idf.py build 通过；16 个注错实验全部变红。

Co-Authored-By: Claude Opus 5 <[email protected]>

firmware/main/phonerail.h

@@ -1,23 +1,23 @@
-/* PhoneRail 固件公共头 —— 与硬件无关，宿主机与 ESP32-S3 上都编得过。 */
-#ifndef PHONERAIL_H
-#define PHONERAIL_H
-
-/* 固件版本。规则：<主>.<次>.<修订>-<最后完成的任务包> */
-#define PHONERAIL_FW_VERSION "0.1.0-a7"
-
-/* 通道数。五路直供，见设计文档 §2。 */
-#define PHONERAIL_RAIL_COUNT 5
-
-#ifdef __cplusplus
-extern "C" {
-#endif
-
-/* 返回 PHONERAIL_FW_VERSION。存在的意义是让宿主机测试有一个真的会被链接进去的
-   符号 —— 骨架期用来证明「同一份 main/ 源码两个目标都编得过」。 */
-const char *phonerail_version(void);
-
-#ifdef __cplusplus
-}
-#endif
-
-#endif /* PHONERAIL_H */
+/* PhoneRail 固件公共头 —— 与硬件无关，宿主机与 ESP32-S3 上都编得过。 */
+#ifndef PHONERAIL_H
+#define PHONERAIL_H
+
+/* 固件版本。规则：<主>.<次>.<修订>-<最后完成的任务包> */
+#define PHONERAIL_FW_VERSION "0.1.0-a8"
+
+/* 通道数。五路直供，见设计文档 §2。 */
+#define PHONERAIL_RAIL_COUNT 5
+
+#ifdef __cplusplus
+extern "C" {
+#endif
+
+/* 返回 PHONERAIL_FW_VERSION。存在的意义是让宿主机测试有一个真的会被链接进去的
+   符号 —— 骨架期用来证明「同一份 main/ 源码两个目标都编得过」。 */
+const char *phonerail_version(void);
+
+#ifdef __cplusplus
+}
+#endif
+
+#endif /* PHONERAIL_H */