A8：任务骨架与调度（5 个任务、两把锁）

需求 §10.3 落地。四件事： 1. 五任务表（tasks.c）：周期与优先级写在一张 const 表里，开机自检查的是相对顺序（safety 唯一最高、log 唯一最低、thermal 与 actuator 同级），外加「巡检周期必须长于 INA226 一帧转换 8.8 ms」。不过就 abort。 2. 节拍器（sched.c）：记下一次该醒的绝对时刻，回绕安全（int32_t 差判先后）。过载时跳过错过的整周期、保住相位，不补跑。 3. 两把锁（hal_lock）：I²C 与 74HC595，禁止嵌套持有 —— 这块板上两者没有交集，「拿着 A 去拿 B」永远是写错了。ESP 侧用 mutex 取优先级继承。 4. t_safety 的一个周期：拿锁 → 6 片 INA226 的 V+I + PCA9555 两端口 → 放锁。不死等锁（5 ms 超时就跳过这圈），一片读失败不中断整圈、保留上一圈的值。 I²C 占用由 HAL 按线上真实字节数记账（两个目标同一份代码），静态预算与实测必须相等：一次寄存器读 48 位，一圈 13 次事务 = 1560 µs / 20 ms = 7.8 %，与 §10.3 手算的「约 1.5 ms / 约 8 %」相符（本节的 46 位没数 STOP 和重复 START）。 sim 侧配套两样：假 I²C 事务真的把虚拟时钟花掉（否则时序测试是空话），以及可强制的加锁纪律检查（配一条反向测试，防止检查本身失灵）。 11 条 ctest（161 例）全绿，idf.py build 通过；16 个注错实验全部变红。 Co-Authored-By: Claude Opus 5 <[email protected]>
2026-09-07 07:35:39 +08:00
@@ -0,0 +1,58 @@
+/* 五个任务的那张表（需求 §10.3）。
+
+   §10.3 定了五个任务、各自的周期与优先级，还有一句最容易被写丢的话：
+   **`t_safety` 越界时直接操作 `EFUSE_EN` / `VBUS_EN`，不经任何队列或抽象层。**
+   这张表在这里的意义不是「方便建任务」，而是让那五行**有一个能被自检查的形状** ——
+   优先级顺序写反了不会报错，只会让巡检在总线忙的时候被挤到几十毫秒之后。
+
+   ---- 为什么周期与优先级要合在一张表里 ------------------------------------
+   因为它们是同一个判断的两半：`t_safety` 之所以是最高优先级，正是因为它有一个
+   20 ms 的硬节拍；`t_link` 之所以最低，正是因为它没有节拍（§10.2：失联不断电，
+   上位机慢一点没有任何后果）。分成两处写，改了一半的那天没人看得出来。
+
+   ⚠️ 事件驱动的三个任务（actuator / link / log）在本表里 `period_ms == 0`。
+   它们的队列与消息定义在 A9（执行器）/ A12（命令）/ A11（日志）里，本包只搭骨架。 */
+#ifndef TASKS_H
+#define TASKS_H
+
+#include <stdbool.h>
+#include <stdint.h>
+
+#ifdef __cplusplus
+extern "C" {
+#endif
+
+typedef enum {
+    TASK_SAFETY = 0, /* 20 ms，最高：SW-2 / SW-8 判据 + 直接操作 EN 引脚 */
+    TASK_THERMAL,    /* 1 s，中：两路 NTC + 载板 LM75 → 风扇 PWM 闭环 */
+    TASK_ACTUATOR,   /* 事件驱动，中：断电重启 / 按键序列 / EDL 序列 */
+    TASK_LINK,       /* 事件驱动，低：上位机命令与遥测 */
+    TASK_LOG,        /* 空闲，最低：事件环形缓冲落盘 */
+    TASK_COUNT,
+} task_id_t;
+
+typedef struct {
+    const char *name;
+    uint32_t    period_ms;   /* 0 = 事件驱动 */
+    int         prio;        /* FreeRTOS 优先级，越大越高 */
+    uint32_t    stack_bytes; /* ESP-IDF 的 xTaskCreate 收的是**字节**，不是字 */
+} task_desc_t;
+
+/* id 越界直接 abort。 */
+const task_desc_t *task_desc(task_id_t id);
+
+/* 启动自检的一部分（和 `rail_selftest()` 一样：不过就 abort，不降级）。
+   查的是**表本身的形状**，不碰硬件：
+     · 名字非空且不重复；
+     · `t_safety` 是**唯一**的最高优先级，`t_log` 是**唯一**的最低；
+     · thermal 与 actuator 同级（§10.3 都是「中」），link 严格低于它们、高于 log；
+     · 周期与 §10.3 逐格相符（20 ms / 1 s / 三个 0）；
+     · `t_safety` 的周期必须长于 INA226 的一帧转换时间，否则每次读到的是同一帧 ——
+       现象是「电流看起来非常稳」，而不是任何一种错误。 */
+bool task_table_ok(void);
+
+#ifdef __cplusplus
+}
+#endif
+
+#endif /* TASKS_H */