zhou yang和Claude Opus 5.5
7bf30e3c38
- warm_esp.{h,c}：warm_restart() 记下开着的路（RTC_NOINIT，魔数 + 掩码 + 反码）→ gpio_hold 锁五根 EN → 重启；
目标镜像没有能力标记（第 288 字节 PRCAPS1，.rodata_custom_desc）就不锁 —— 老固件写不动锁住的 EN。
warm_take()：软件复位 + 标记对得上才接管，一次性；再读 EN 真电平核对
- bringup：adopt 掩码；rail_en_init_keep() 接管的路写高、五根一律放开 hold（崩溃时旧锁可能还在）；
刀片不在 / mux 失联的接管路立刻关（SLOT_EMPTY arg 1）；第二段已开着的路不重开、不等 PG
- pca9555_init_keep()：方向寄存器是本固件写的才留 VBUS（掉过电的片子锁存器是 0xFF），键 / EDL 清零
- HAL：hal_gpio_hold()；ESP 输出脚配 INPUT_OUTPUT（读得到真电平）；sim 给 hold 建模
- 事件 LOG_EV_OTA arg 7 = 接管；兜底定时器回滚故意不走接管
- 顶层 CMake：phonerail.h 进 CMAKE_CONFIGURE_DEPENDS（否则镜像头版本停在旧值）；-u g_phonerail_caps 防 gc
- test_bringup 加 6 例（接管 / 非计划复位全关 / 空槽 / mux 失联 / PCA 掉过电 / hold 冻结），全工程 448 例全绿
- rack：固件库识别能力标记，推送对话框按「支持 / 不支持重启不断电」给不同提示（已部署）
- 需求文档：SR-6 改为「非计划复位全关」+ 计划内重启例外；§10.9 新增「重启不断电」
- 板 B：台架镜像（空槽强制 CH1 在位，未提交）开 CH1 → OTA 带重启 → 事件 18/7 mv=1，CH1 一直开着；
现跑 0.1.0-c3。未测：示波器看重启期间 EN / 输出毛刺（要插刀片）
Co-Authored-By: Claude Opus 5.5 <[email protected]>
174 行
9.1 KiB
C
174 行
9.1 KiB
C
/* OTA 的平台无关部分（C2，`固件开发计划.md` §7「OTA：双分区 + 失败回滚」）。
|
||
下载、写 flash、切启动分区、回滚在 ESP 胶水里（ota_esp.c）；这一半宿主机可测。
|
||
|
||
---- 2026-09-27 用户定的三条 --------------------------------------------
|
||
1. **下发通道**：`ota` 命令（经 MQTT/TLS 或 USB）只带 `url` + `sha256` + `size`；
|
||
镜像本身走**明文 HTTP** 下载（服务器上一个只读目录，不过门户门禁）。
|
||
完整性全靠 sha256：它走的是认证过的通道，明文下载改不了镜像 —— 改了哈希就对不上，
|
||
**哈希不对就不切分区**（写进去的那一半留在备用槽里，无害）。
|
||
2. **不签名**：拿得到 broker 后端口令的人本来就能关五路电，签名在这里多挡不了什么；
|
||
不烧 eFuse，USB 整片烧永远可用。
|
||
3. **回滚判据**：新固件启动后 `OTA_HEALTH_MS`（120 s）之内要**自证健康** ——
|
||
启动序列走完 + 连上 broker（已发出 state）。做不到 ⇒ 标记无效、重启回旧版。
|
||
新固件在自证之前崩了 / 看门狗了，bootloader 自己回滚（CONFIG_BOOTLOADER_APP_ROLLBACK_ENABLE）。
|
||
|
||
---- 重启还断不断电 ------------------------------------------------------
|
||
2026-09-27 起 OTA 的重启与超时回滚走 `warm_restart()`（warm_esp.c）：目标固件认接管 ⇒
|
||
EN 锁住、**手机不断电**；目标固件不认（推老版本）/ 兜底定时器回滚 / 新固件崩溃 ⇒
|
||
ESP 一复位 `EFUSE_EN` 靠下拉关掉，五台手机**硬断电一次**，起来后按意图逐路恢复（§10.9）。
|
||
不管哪种，`ota` 命令的 `reboot` **默认 0**：
|
||
只下载 + 校验 + 切启动分区，**下次复位才生效**；要立刻换就显式带 `"reboot":true`。
|
||
已经下好的同一个镜像（sha256 相同）再发一次带 `"reboot":true` 的，不重下，直接重启。
|
||
回滚也是一次复位，同样五路全断一次。
|
||
|
||
---- 状态 ----------------------------------------------------------------
|
||
写者是胶水（OTA 任务 / 链路任务），读者是命令处理器（status 的 `ota` 一块），
|
||
和 netcfg 的网络状态一样整块拷贝。 */
|
||
#ifndef OTA_H
|
||
#define OTA_H
|
||
|
||
#include <stdbool.h>
|
||
#include <stddef.h>
|
||
#include <stdint.h>
|
||
|
||
#include "hal_err.h"
|
||
|
||
#ifdef __cplusplus
|
||
extern "C" {
|
||
#endif
|
||
|
||
/* URL 上限 = 命令 JSON 的字符串上限（cmd_json.h 的 64）。服务器按 sha256 前 16 位起文件名，
|
||
`http://home.example:7765/fw/0123456789abcdef.bin` 才 47 个字符。 */
|
||
#define OTA_URL_MAX 64
|
||
|
||
/* 一个 app 槽的大小（partitions.csv 的 ota_0 / ota_1，各 3 MB）。size 超过它直接拒。
|
||
⚠️ 改分区表要跟着改这里 —— ESP 上 ota_esp_init() 会拿真分区大小核一遍，对不上只打错误日志。 */
|
||
#define OTA_SLOT_BYTES 0x300000u
|
||
|
||
/* 新固件自证健康的时限。WiFi 冷启动连上 + TLS 握手实测在 5~10 s 量级，
|
||
broker 的重连间隔是 10 s，120 s 够 WiFi 退避好几轮。 */
|
||
#define OTA_HEALTH_MS 120000u
|
||
|
||
typedef struct {
|
||
char url[OTA_URL_MAX + 1];
|
||
uint8_t sha256[32];
|
||
uint32_t size;
|
||
bool reboot; /* 校验通过后立刻重启（五路全断一次） */
|
||
} ota_req_t;
|
||
|
||
/* 失败原因。⚠️ 数字进事件日志（LOG_EV_OTA 失败那一条的 bus_mv），**只许追加**。 */
|
||
typedef enum {
|
||
OTA_E_NONE = 0,
|
||
OTA_E_HTTP = 1, /* 连不上 / HTTP 状态码不是 200 / 读超时 */
|
||
OTA_E_SIZE = 2, /* Content-Length 或实际字节数与 size 不符 */
|
||
OTA_E_HASH = 3, /* sha256 对不上 */
|
||
OTA_E_FLASH = 4, /* esp_ota_begin / write 失败 */
|
||
OTA_E_IMAGE = 5, /* esp_ota_end 验不过（不是 ESP 镜像 / 芯片不对 / 不是本工程） */
|
||
OTA_E_BOOT = 6, /* 切启动分区失败 */
|
||
OTA_E_NOSLOT = 7, /* 没有备用槽（分区表不是双槽）/ 新固件还没自证、不许覆盖回滚槽 */
|
||
OTA_E_COUNT,
|
||
} ota_err_t;
|
||
|
||
/* `LOG_EV_OTA` 的 arg。⚠️ 进 flash，只许追加。 */
|
||
typedef enum {
|
||
OTA_EV_START = 1, /* 开工下载 */
|
||
OTA_EV_READY = 2, /* 下完、校验过、已切启动分区 */
|
||
OTA_EV_FAIL = 3, /* 失败，bus_mv = ota_err_t */
|
||
OTA_EV_VALID = 4, /* 新固件自证健康，取消回滚 */
|
||
OTA_EV_ROLLBACK = 5, /* 新固件 OTA_HEALTH_MS 内没自证 ⇒ 标记无效、重启回旧版 */
|
||
OTA_EV_REBOOT = 6, /* 为了换固件而重启 */
|
||
OTA_EV_WARM = 7, /* 计划内重启后接管（没断电），bus_mv = 接管的路掩码，current_ua = 想接管却关掉的 */
|
||
} ota_ev_t;
|
||
|
||
typedef enum {
|
||
OTA_IDLE = 0, /* 没做过，或上一次失败了（看 err） */
|
||
OTA_DL, /* 正在下载 + 写 */
|
||
OTA_READY, /* 已校验、已切启动分区，等复位 */
|
||
} ota_phase_t;
|
||
|
||
typedef struct {
|
||
ota_phase_t phase;
|
||
ota_err_t err; /* 上一次的失败原因；OTA_E_NONE = 没失败过 / 成功了 */
|
||
uint32_t got; /* 已下载字节 */
|
||
uint32_t size; /* 本次（或上一次）的总字节 */
|
||
uint8_t sha256[32]; /* 本次（或已就绪的那个）镜像的哈希 */
|
||
bool pending; /* 正在跑的这份固件还没自证健康（OTA 后的第一次启动） */
|
||
char bad[24]; /* 被判无效的那份固件的版本号（回滚过才有），空 = 没有 */
|
||
} ota_status_t;
|
||
|
||
/* 胶水提供：把请求交给 OTA 任务（拷贝走），立刻返回。
|
||
只在 `ota_request()` 判定要开工时被调。返回非 HAL_OK = 任务没起来。 */
|
||
typedef hal_err_t (*ota_start_fn)(void *ctx, const ota_req_t *req);
|
||
/* 胶水提供：重启（已就绪的镜像，不用重下）。 */
|
||
typedef void (*ota_reboot_fn)(void *ctx);
|
||
|
||
/* 清状态、登记两个回调。宿主机测试传假的；NULL = 没有 OTA（命令回 state）。 */
|
||
void ota_init(ota_start_fn start, ota_reboot_fn reboot, void *ctx);
|
||
|
||
/* ---- 校验（命令处理器用） ------------------------------------------------ */
|
||
|
||
/* 只收 `http://` 开头、可打印 ASCII、没有空白 / 引号 / 反斜杠，长度 ≤ OTA_URL_MAX。
|
||
https 不收：板子上没有给下载服务器的 CA（用户定的就是明文 + 哈希）。 */
|
||
bool ota_url_ok(const char *url);
|
||
|
||
/* 64 位**小写**十六进制 → 32 字节。大写、长度不对、非十六进制都是 false。
|
||
只收小写是为了让「同一个镜像」只有一种写法（READY 时按哈希判是不是同一个）。 */
|
||
bool ota_parse_sha256(const char *hex, uint8_t out[32]);
|
||
|
||
/* 32 字节 → 64 位小写十六进制 + 0（out 至少 65）。 */
|
||
void ota_sha256_hex(const uint8_t sha[32], char out[65]);
|
||
|
||
typedef enum {
|
||
OTA_ACT_START = 0, /* 开工下载 */
|
||
OTA_ACT_REBOOT, /* 同一个镜像已就绪，直接重启 */
|
||
OTA_ACT_NOTHING, /* 同一个镜像已就绪、这次也不要求重启：回 ok，什么都不做 */
|
||
OTA_ACT_BUSY, /* 正在下载 */
|
||
OTA_ACT_PENDING, /* 正在跑的固件还没自证：备用槽里是回滚用的旧版，不许覆盖 */
|
||
} ota_action_t;
|
||
|
||
/* 拿当前状态判一个（已校验过参数的）请求该怎么办。纯函数，宿主机测。 */
|
||
ota_action_t ota_plan(const ota_status_t *st, const ota_req_t *req);
|
||
|
||
/* 命令处理器入口：判 + 执行（调 start / reboot 回调）。
|
||
返回 0 = 接下了（开工 / 重启 / 已就绪），其余见 ota_action_t（BUSY / PENDING），
|
||
或 -1 = 没有 OTA 能力（没登记回调 / start 失败）。 */
|
||
int ota_request(const ota_req_t *req);
|
||
|
||
/* ---- 状态（胶水写、命令处理器读） ----------------------------------------- */
|
||
void ota_status_set(const ota_status_t *st);
|
||
void ota_status_get(ota_status_t *st);
|
||
const char *ota_phase_str(ota_phase_t p);
|
||
const char *ota_err_str(ota_err_t e);
|
||
|
||
/* ---- 健康判据（新固件第一次启动时，链路任务每圈问一次） ------------------ */
|
||
|
||
typedef enum {
|
||
OTA_H_NONE = 0, /* 不在待验证状态，什么都不用做 */
|
||
OTA_H_WAIT, /* 还没自证，也还没超时 */
|
||
OTA_H_VALID, /* 自证了 ⇒ 胶水标记有效、取消回滚 */
|
||
OTA_H_ROLLBACK, /* 超时 ⇒ 胶水标记无效、重启回旧版 */
|
||
} ota_health_t;
|
||
|
||
typedef struct {
|
||
bool pending; /* 正在跑的固件处于待验证 */
|
||
uint32_t now_ms; /* 上电起算 */
|
||
bool boot_done; /* app_main 走完了（五个任务都起来了） */
|
||
bool wifi_set; /* 配了 WiFi */
|
||
bool wifi_up;
|
||
bool mqtt_set; /* 配了 broker */
|
||
bool mqtt_up; /* 连上 broker、已发 state */
|
||
} ota_health_in_t;
|
||
|
||
/* 判据：启动走完 + 「网络该通的那一层」通了。
|
||
· 配了 broker ⇒ 要 MQTT 连上（这是 OTA 的通道，它不通这块板就再也收不到下一次 OTA）；
|
||
· 只配了 WiFi ⇒ 要 WiFi 连上（下载走的是它）；
|
||
· 都没配 ⇒ 只看启动走完（那块板只能经 USB 管，不会因为「没网」被误回滚）。
|
||
超时判的是 `now_ms >= OTA_HEALTH_MS`；**启动走完之前不判健康**，但超时照样算。 */
|
||
ota_health_t ota_health(const ota_health_in_t *in);
|
||
|
||
#ifdef __cplusplus
|
||
}
|
||
#endif
|
||
|
||
#endif /* OTA_H */
|