zhou yang和Claude Opus 5
ec31891429
需求 §10.3 落地。四件事： 1. 五任务表（tasks.c）：周期与优先级写在一张 const 表里，开机自检查的是 相对顺序（safety 唯一最高、log 唯一最低、thermal 与 actuator 同级）， 外加「巡检周期必须长于 INA226 一帧转换 8.8 ms」。不过就 abort。 2. 节拍器（sched.c）：记下一次该醒的绝对时刻，回绕安全（int32_t 差判先后）。 过载时跳过错过的整周期、保住相位，不补跑。 3. 两把锁（hal_lock）：I²C 与 74HC595，禁止嵌套持有 —— 这块板上两者没有交集， 「拿着 A 去拿 B」永远是写错了。ESP 侧用 mutex 取优先级继承。 4. t_safety 的一个周期：拿锁 → 6 片 INA226 的 V+I + PCA9555 两端口 → 放锁。 不死等锁（5 ms 超时就跳过这圈），一片读失败不中断整圈、保留上一圈的值。 I²C 占用由 HAL 按线上真实字节数记账（两个目标同一份代码），静态预算与实测 必须相等：一次寄存器读 48 位，一圈 13 次事务 = 1560 µs / 20 ms = 7.8 %， 与 §10.3 手算的「约 1.5 ms / 约 8 %」相符（本节的 46 位没数 STOP 和重复 START）。 sim 侧配套两样：假 I²C 事务真的把虚拟时钟花掉（否则时序测试是空话）， 以及可强制的加锁纪律检查（配一条反向测试，防止检查本身失灵）。 11 条 ctest（161 例）全绿，idf.py build 通过；16 个注错实验全部变红。 Co-Authored-By: Claude Opus 5 <[email protected]>
119 行
3.8 KiB
C
119 行
3.8 KiB
C
#include "t_safety.h"
|
|
|
|
#include <assert.h>
|
|
#include <stdio.h>
|
|
#include <string.h>
|
|
|
|
#include "hal_i2c_acct.h"
|
|
#include "hal_lock.h"
|
|
#include "rail_cfg.h"
|
|
#include "tasks.h"
|
|
|
|
void t_safety_init(safety_snap_t *s)
|
|
{
|
|
assert(s != NULL);
|
|
memset(s, 0, sizeof(*s));
|
|
/* 游标对齐到「现在」，否则第一圈会把启动期间（器件初始化）的事务算进来。 */
|
|
s->bus_cursor = hal_i2c_acct_bits();
|
|
}
|
|
|
|
hal_err_t t_safety_step(safety_snap_t *s)
|
|
{
|
|
assert(s != NULL);
|
|
s->cycles++;
|
|
|
|
hal_err_t err = hal_lock_take(HAL_LOCK_I2C, T_SAFETY_LOCK_TIMEOUT_MS);
|
|
if (err != HAL_OK) {
|
|
/* 规矩 1：不死等。这一圈作废，20 ms 后重来。 */
|
|
s->skipped++;
|
|
s->bus_us = hal_i2c_acct_window_us(&s->bus_cursor);
|
|
return err;
|
|
}
|
|
|
|
hal_err_t first = HAL_OK;
|
|
|
|
/* 五路 —— 地址查表，**不许算**（rail_cfg.h 那条禁令）。 */
|
|
for (int rail = 1; rail <= PHONERAIL_RAIL_COUNT; rail++) {
|
|
ina226_vi_t vi;
|
|
const hal_err_t e = ina226_read_vi(rail_cfg(rail)->ina_addr, &vi);
|
|
s->rail_ok[rail - 1] = (e == HAL_OK);
|
|
if (e == HAL_OK) {
|
|
s->rail[rail - 1] = vi; /* 规矩 2：失败就留着上一圈的值，别清零 */
|
|
} else {
|
|
s->i2c_errors++;
|
|
if (first == HAL_OK) {
|
|
first = e;
|
|
}
|
|
}
|
|
}
|
|
|
|
/* 第六片：输入侧。 */
|
|
{
|
|
ina226_vi_t vi;
|
|
const hal_err_t e = ina226_read_vi(INA226_ADDR_INPUT, &vi);
|
|
s->input_ok = (e == HAL_OK);
|
|
if (e == HAL_OK) {
|
|
s->input = vi;
|
|
} else {
|
|
s->i2c_errors++;
|
|
if (first == HAL_OK) {
|
|
first = e;
|
|
}
|
|
}
|
|
}
|
|
|
|
/* PCA9555 的两个输入端口一次事务读完（自增指针）。 */
|
|
{
|
|
pca9555_in_t in;
|
|
const hal_err_t e = pca9555_read_inputs(&in);
|
|
s->io_ok = (e == HAL_OK);
|
|
if (e == HAL_OK) {
|
|
s->io = in;
|
|
} else {
|
|
s->i2c_errors++;
|
|
if (first == HAL_OK) {
|
|
first = e;
|
|
}
|
|
}
|
|
}
|
|
|
|
hal_lock_give(HAL_LOCK_I2C);
|
|
|
|
/* A10 的判据接在这里：越界**直接**写 EFUSE_EN / VBUS_EN（规矩 3），
|
|
而且要在放锁之后 —— 那两根线是 GPIO 直连，和 I²C 没关系，
|
|
拿着总线锁去操作引脚只会把别的任务多挡一会儿。 */
|
|
|
|
s->bus_us = hal_i2c_acct_window_us(&s->bus_cursor);
|
|
return first;
|
|
}
|
|
|
|
uint32_t t_safety_budget_us(void)
|
|
{
|
|
/* 上面那一圈真正发出去的事务，逐条数：
|
|
6 片 INA226 × 2 次寄存器读（母线电压 + 电流）
|
|
1 次 PCA9555 读（一次事务读回两个输入端口）
|
|
每次都是「写 1 字节寄存器号 + 读 2 字节」的形状。 */
|
|
const uint32_t txns = INA226_COUNT * 2u + 1u;
|
|
return (uint32_t)hal_i2c_bits_to_us((uint64_t)txns * hal_i2c_txn_bits(1, 2));
|
|
}
|
|
|
|
uint32_t t_safety_load_permille(uint32_t bus_us, uint32_t period_ms)
|
|
{
|
|
if (period_ms == 0) {
|
|
return 0;
|
|
}
|
|
return (uint32_t)(((uint64_t)bus_us * 1000ull) / ((uint64_t)period_ms * 1000ull));
|
|
}
|
|
|
|
int t_safety_format(const safety_snap_t *s, char *buf, size_t len)
|
|
{
|
|
assert(s != NULL && buf != NULL && len > 0);
|
|
const uint32_t period = task_desc(TASK_SAFETY)->period_ms;
|
|
const uint32_t pm = t_safety_load_permille(s->bus_us, period);
|
|
return snprintf(buf, len,
|
|
"t_safety: cycles=%u skipped=%u i2c_err=%u bus=%u us/%u ms load=%u.%u%%",
|
|
(unsigned)s->cycles, (unsigned)s->skipped, (unsigned)s->i2c_errors,
|
|
(unsigned)s->bus_us, (unsigned)period, (unsigned)(pm / 10u),
|
|
(unsigned)(pm % 10u));
|
|
}
|