86 lines
37 KiB
HTML
86 lines
37 KiB
HTML
|
<!DOCTYPE html><html lang="zh-CN"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width,initial-scale=1">
|
|||
|
|
<title>DCU_APP 专家评审 2026-10-19</title><style>
|
|||
|
|
body{font-family:"PingFang SC","Microsoft YaHei",sans-serif;margin:0;background:#f5f6f8;color:#1d2330;line-height:1.6}
|
|||
|
|
main{max-width:1280px;margin:0 auto;padding:24px 32px 64px;background:#fff}
|
|||
|
|
h1{font-size:26px;border-bottom:3px solid #2a5bd7;padding-bottom:8px}h2{font-size:20px;margin-top:36px;border-left:5px solid #2a5bd7;padding-left:10px}h3{font-size:16px}
|
|||
|
|
table{border-collapse:collapse;width:100%;font-size:13px;margin:12px 0}th,td{border:1px solid #d5d9e0;padding:6px 8px;vertical-align:top;text-align:left}th{background:#eef2fa}
|
|||
|
|
tr:nth-child(even) td{background:#fafbfd}.loc{font-family:Consolas,monospace;font-size:12px;word-break:break-all;color:#334}
|
|||
|
|
.sev,.st{display:inline-block;padding:1px 8px;border-radius:10px;font-size:12px;color:#fff;white-space:nowrap}
|
|||
|
|
.s0{background:#8b0000}.s1{background:#d9480f}.s2{background:#e8a317}.s3{background:#5c7cfa}
|
|||
|
|
.ok{background:#2b8a3e}.part{background:#e8a317}.bad{background:#c92a2a}.na{background:#868e96}
|
|||
|
|
pre{background:#0f1729;color:#d6e2ff;padding:14px;border-radius:6px;font-size:12px;overflow-x:auto}
|
|||
|
|
.kpi{display:flex;gap:12px;flex-wrap:wrap}.kpi div{flex:1;min-width:140px;border:1px solid #d5d9e0;border-radius:8px;padding:10px;text-align:center}.kpi b{font-size:24px;display:block}
|
|||
|
|
.note{background:#fff8e6;border:1px solid #f0d58a;padding:10px 14px;border-radius:6px}
|
|||
|
|
</style></head><body><main>
|
|||
|
|
<h1>GD32E508 DCU_APP 固件专家评审</h1>
|
|||
|
|
<p>仓库：<code>cbb/DCU_APP</code>（master @ <code>d8b3c97</code>，2026-10-11，APP 版本 1.7.4） 评审日期：2026-10-19 产出方式：多专家视角静态评审（未上板、未交叉编译）</p>
|
|||
|
|
<div class="kpi"><div><b style="color:#8b0000">1</b>致命</div><div><b style="color:#d9480f">12</b>严重</div><div><b style="color:#e8a317">28</b>一般</div><div><b style="color:#5c7cfa">6</b>建议</div><div><b>48 / 100</b>综合评分</div></div>
|
|||
|
|
|
|||
|
|
<h2>1. 项目概述与架构</h2>
|
|||
|
|
<p>DCU（GD32E508VE，Cortex-M33@180MHz，512KB Flash/128KB SRAM）是机器人整机的通信网关：EtherCAT 从站（LAN9252 经 EXMC 16 位 HBI，Beckhoff SSC 协议栈）、SPI0 从机连接 ESP32（WiFi/上位机）、3 路 CAN-FD 连接关节电机，并承担 DCU 本地 OTA 交接与电机固件中继 OTA。</p>
|
|||
|
|
<pre>
|
|||
|
|
EtherCAT 主站 ──100BASE-TX──▶ LAN9252 ESC ══EXMC HBI══╗
|
|||
|
|
Web/上位机 ──WiFi──▶ ESP32 ──SPI0 从机(PA15 CS / PB6 READY)══╣
|
|||
|
|
关节电机 ×N ◀──CAN-FD ×3 (CAN0/1/2, STB 脚)────────────────╣
|
|||
|
|
▼
|
|||
|
|
┌──────────────── GD32E508 DCU_APP ────────────────┐
|
|||
|
|
│ ISR: EXTI0 SYNC0(p0) │ EXTI10_15 SPI CS(p0) │ CAN RX(p0)│
|
|||
|
|
│ EXTI1 PDI/ESC IRQ(p1) │ EXTI2 SYNC1(p1) │ TIMER2(p1)│
|
|||
|
|
│ CAN TX / SPI0 ERR(p2) │ USART0(p3) │ SysTick(p15) │
|
|||
|
|
│ 主循环 TaskRunner: 喂狗 → SPI poll → CAN RX 解析 → │
|
|||
|
|
│ EcatMotorOta/MotorOtaRelay → SSC MainLoop → 周期任务 │
|
|||
|
|
│ Flash: BOOT 0x0800_0000 │ 备份 APP │ 主 APP 0x0804_8000 │
|
|||
|
|
│ OTA 配置页 0x0807_E000 (word0..9, shared/ota_layout.h)│
|
|||
|
|
└──────────────────────────────────────────────────┘
|
|||
|
|
</pre>
|
|||
|
|
<table><tr><th>目录</th><th>职责</th><th>规模/要点</th></tr>
|
|||
|
|
<tr><td class="loc">sys/</td><td>初始化、调度、OTA 交接、电机 OTA 中继、AES、临界区、HardFault</td><td>motor_ota_relay.cpp 1284 行；config.h 集中配置</td></tr>
|
|||
|
|
<tr><td class="loc">device/</td><td>CAN-FD、ADC、USART、Timer、看门狗、电机状态/版本</td><td>CANFD.cpp 2026 行（最大文件）</td></tr>
|
|||
|
|
<tr><td class="loc">device/spi/</td><td>ESP32 SPI Link v2 命令总线与各命令处理器</td><td>app_spi_command.cpp 1375 行；协议核心 spi_link_v2 在仓库外</td></tr>
|
|||
|
|
<tr><td class="loc">comm/</td><td>LAN9252/EXMC 驱动、SYNC、PDO、CAN 桥、电机 OTA 邮箱进料</td><td>esc_lan9252.cpp 718 行，关键路径 .ramfunc</td></tr>
|
|||
|
|
<tr><td class="loc">comm/ssc/</td><td>Beckhoff SSC 协议栈 + 本地移植层（dc_app.c、ESI、EEPROM 生成）</td><td>ecatslv.c 2512 行；PDO 输出 384B / 输入 600B，ESI/EEPROM/代码一致</td></tr>
|
|||
|
|
<tr><td class="loc">RTE/</td><td>GigaDevice 厂商库、启动文件、链接脚本</td><td>链接脚本含 .ramfunc 执行区；栈/堆定义三套并存</td></tr></table>
|
|||
|
|
|
|||
|
|
<h2>2. 评审范围与方法</h2>
|
|||
|
|
<ul><li>范围：GD32E508_DCU_APP 全部应用代码（约 2.7 万行，不含厂商库）、构建配置、仓库根目录文件、docs/ 与 .trae/ 下全部既有评审记录、README。</li>
|
|||
|
|
<li>专家组：①实时性/中断/DMA 与 SPI 链路；②OTA/Bootloader 与安全；③EtherCAT（LAN9252/SSC/CoE/PDO/DC）；④CAN-FD/外设驱动/系统骨架与故障保护；⑤构建、仓库卫生与可维护性。</li>
|
|||
|
|
<li>方法：逐条以当前 HEAD 的 <code>文件:行号</code> 为证据（grep/源码核对），既有审计结论逐条复核；BOOT 侧仅在 OTA 鉴权一项跨仓查阅 GD32E50X_BOOT，其余 BOOT/ESP32 行为标为本仓库不可验证。</li>
|
|||
|
|
<li>局限：未交叉编译、未上板；时序数值为静态推算；共享协议 spi_link_v2 在仓库外未审。</li></ul>
|
|||
|
|
<p class="note">安全提示：仓库根目录文件 “-” 含电机 OTA 主密钥常量。本报告只描述该风险，不转载任何密钥值。</p>
|
|||
|
|
|
|||
|
|
<h2>3. 问题清单</h2>
|
|||
|
|
<table><tr><th>编号</th><th>严重度</th><th>领域</th><th style="width:16%">文件:行号</th><th>现象</th><th>风险</th><th>修改建议</th></tr><tr><td>R-01</td><td><span class='sev s0'>致命</span></td><td>OTA/安全</td><td class='loc'>comm/ssc/port/dc_app.c:330-351；跨仓 GD32E50X_BOOT sys/OTA.cpp:848-866、:960</td><td>SDO 0x2502 写 1 即触发回 BOOT 并把 EN 置 NOT_AVAL；BOOT 的 ecatArmed() 仅凭 CHECK/EN 不同时为 AVAL 即放行；之后 ecatFeed/ecatCommit 写入明文，CRC 由设备对自己写入的内容计算，不与发送方提供值比对</td><td>任何能接入 EtherCAT 网段的主站都可无鉴权把任意固件刷入 DCU（含恶意或错误镜像），整机失控/变砖</td><td>引入镜像签名（ECDSA/Ed25519）或至少 HMAC，BOOT 在 commit 前验签；0x2502 增加挑战-应答令牌并要求 AL≤PREOP、电机未运行</td></tr><tr><td>R-02</td><td><span class='sev s1'>严重</span></td><td>实时/SPI</td><td class='loc'>device/spi/app_spi_command.cpp:591、:1317；comm/esc_lan9252.cpp:366-383</td><td>EXTI10_15（SPI CS）配置为 preempt 0，与 SYNC0、CAN RX 同级；ESP32 全部命令在该 ISR 内同步执行，0xA2 唤醒诊断在 ISR 内以 50µs 步进轮询两段各最多 200 次（最长约 20ms）</td><td>SYNC0 抖动/丢拍导致 SM 看门狗或 Sync 错误掉 SAFEOP；CAN FIFO0（3 帧）溢出丢反馈帧</td><td>onCsRelease 只做快照+立即重装 DMA，命令处理移至主循环或 PendSV；EXTI10_15 降至 preempt≥1；0xA2 改为状态机异步完成</td></tr><tr><td>R-03</td><td><span class='sev s1'>严重</span></td><td>CAN/并发</td><td class='loc'>device/CANFD.cpp:284-317、:1255-1321；comm/ethercat_can_bridge.cpp:119、:337</td><td>CanTxConcurrencyGuard 只屏蔽 EXTI10_15 与本通道 TX 中断；enqueueTx 同时被 Sync0_Isr(preempt 0)/PDI_Isr(preempt 1) 经 EtherCAT 桥调用，可抢占 TX ISR 的 drainTxQueueIsr 与主循环 transmitFrame（注释 281 行声称可防 PDI，与实现不符）</td><td>软件队列 count 读改写丢失更新；两路同时选中同一空邮箱导致帧被覆盖/丢失</td><td>所有 enqueueTx/transmitFrame/drain 统一使用 PRIMASK 短临界区（仅包指针/计数与邮箱装填），或把 EtherCAT 侧发送改为单生产者无锁环形队列</td></tr><tr><td>R-04</td><td><span class='sev s1'>严重</span></td><td>安全/故障保护</td><td class='loc'>comm/ssc/port/dc_app.c:641-651；comm/esc_lan9252.cpp:552-568</td><td>OP→SAFEOP（主站丢失/SM 看门狗超时）时 APPL_StopOutputHandler 仅调用 EcatCan_ResetSequenceState；不清空 CAN 软件 TX 队列、不下发电机停机/零力矩；过程数据看门狗 0x0420 被放宽至 1s；SPI 链路丢失亦无超时处理</td><td>通信中断后电机继续执行最后指令或已排队指令最长约 1s 以上，存在机械安全风险（若电机侧无指令超时则升级为致命）</td><td>定义安全输出态：StopOutput 时清空各通道 TX 队列并广播停机帧；PD 看门狗恢复 100ms 量级；SPI/CAN 指令源分别加超时</td></tr><tr><td>R-05</td><td><span class='sev s1'>严重</span></td><td>OTA</td><td class='loc'>sys/config.h:359 对 shared/ota_layout.h:48；sys/ota_boot_request.cpp:62-80</td><td>CONFIG_OTA_CONFIG_WORD_COUNT=8，而布局真源 OTA_LAYOUT_WORD_COUNT=10；擦页重写路径只回写 word0..7</td><td>每次进 BOOT 请求都会抹掉 word8（ECAT arm 令牌）与 word9（崩溃计数），崩溃门失效、ECAT 刷写语义被破坏</td><td>直接以 OTA_LAYOUT_WORD_COUNT 定义该常量（删除 config.h 中重复的页地址常量）</td></tr><tr><td>R-06</td><td><span class='sev s1'>严重</span></td><td>OTA</td><td class='loc'>sys/ota_boot_request.cpp:64-80</td><td>配置页采用“读→擦整页→逐字写回”，无双页/日志式提交</td><td>擦除后写回前掉电，整页为 0xFF，BOOT 落入 stay_boot_wait_ota，完好 APP 不再启动，备份标志丢失</td><td>双页（A/B）+序号+CRC 的原子提交，或只做 1→0 的追加式写标志</td></tr><tr><td>R-07</td><td><s
|
|||
|
|
|
|||
|
|
<h2>4. 既有评审结论跟踪</h2>
|
|||
|
|
<h3>4.1 docs/audit_ecat_spi_wifi_ota_compatibility.md（2026-09-18，v2.0）</h3>
|
|||
|
|
<p>修订跟踪已另存为 <code>docs/audit_ecat_spi_wifi_ota_compatibility.rev2026-10-19.md</code>，原文件保留并在文首加注指向本次评审。</p>
|
|||
|
|
<table><tr><th>原编号</th><th>原结论</th><th>当前状态</th><th>证据</th><th>本次对应</th></tr><tr><td>VULN-01</td><td>SPI CS ISR 与 SYNC0 同处 preempt 0 且同步执行耗时命令</td><td><span class='st bad'>仍存在</span></td><td class='loc'>app_spi_command.cpp:591、:1317；承诺的“<2µs 解耦”未实施</td><td>R-02</td></tr><tr><td>VULN-02</td><td>Preempt 0 阻塞导致 CAN FIFO0 溢出</td><td><span class='st part'>部分修复</span></td><td class='loc'>CAN RX 提升为 preempt 0（config.h:373），FIFO 改为丢新不覆旧（CANFD.cpp:448）；阻塞源 VULN-01 仍在</td><td>R-02</td></tr><tr><td>VULN-03</td><td>PDI_Isr 显式屏蔽 SYNC0</td><td><span class='st bad'>仍存在</span></td><td class='loc'>ethercat_sync.cpp:142-147、:161-166（原文引用行号已漂移）</td><td>R-16</td></tr><tr><td>VULN-04</td><td>DMA 在 processCommand 之后才重装</td><td><span class='st bad'>仍存在</span></td><td class='loc'>app_spi_command.cpp:1317→1320</td><td>R-17</td></tr><tr><td>VULN-05</td><td>按铃事件被查询帧抹除</td><td><span class='st bad'>仍存在（影响面缩小）</span></td><td class='loc'>app_spi_command.cpp:1245-1250；m_savedEventBuf 不存在</td><td>R-18</td></tr><tr><td>VULN-06</td><td>m_logBuf 被 preempt 0 撕裂</td><td><span class='st na'>原结论不再适用</span></td><td class='loc'>日志改为单生产者环形缓冲，且 CONFIG_SPI_APP_LOG_ENABLE=0</td><td>—</td></tr><tr><td>VULN-07</td><td>Flash 擦写未关中断致 BusFault 死锁</td><td><span class='st bad'>仍存在，但机理描述有误</span></td><td class='loc'>仍用库函数擦写、仅关 SPI0/EXTI10_15（ota_boot_request.cpp:62-64、228-229）；单 Bank 擦除时取指为停顿而非 BusFault，实际后果为 20~30ms 中断阻塞</td><td>R-07</td></tr><tr><td>VULN-08</td><td>CAN 0x320 路径同步 requestEnterBoot</td><td><span class='st bad'>仍存在</span></td><td class='loc'>ota_boot_request.cpp:199-213</td><td>R-07</td></tr><tr><td>VULN-09</td><td>复位前无外设优雅关停</td><td><span class='st bad'>仍存在</span></td><td class='loc'>ota_boot_request.cpp:246-257</td><td>R-27</td></tr><tr><td>VULN-10</td><td>FWDGT 未延展，BOOT 10s 窗口崩溃锁死</td><td><span class='st bad'>仍存在（BOOT 侧喂狗需跨仓确认）</span></td><td class='loc'>文件内无 fwdgt_*；config.h:338-345 为 DIV64/1874</td><td>R-27</td></tr><tr><td>VULN-11</td><td>word count=8 抹除 word8/9；clearCrashCount 栈越界</td><td><span class='st na'>前半仍存在；“栈越界”原结论不成立</span></td><td class='loc'>config.h:359=8；clearCrashCount 走 writeWord 路径（ota_boot_request.cpp:52-53、133），不触达 words[] 下标——与 ecat-dcu-flash-crypto-audit 结论一致</td><td>R-05</td></tr><tr><td>VULN-12</td><td>EtherCAT 桥未检查 OTA 通道锁</td><td><span class='st ok'>已修复</span></td><td class='loc'>ethercat_can_bridge.cpp:112、:332</td><td>—</td></tr><tr><td>VULN-13</td><td>SPI 桥/突发未检查 OTA 通道锁</td><td><span class='st ok'>已修复（新发现 CAN0 桥接模式旁路）</span></td><td class='loc'>app_spi_cmd_can_bridge.cpp:83；app_spi_cmd_can_burst.cpp:85；旁路见 R-11</td><td>R-11</td></tr><tr><td>VULN-14</td><td>start() 加锁前存在漏包窗口</td><td><span class='st part'>部分修复</span></td><td class='loc'>motor_ota_relay.cpp:1098-1108 入口 PRIMASK 加锁；残留 cancel 竞态</td><td>R-08</td></tr><tr><td>VULN-15</td><td>ACK 处理跨圈滞后（调度反序）</td><td><span class='st ok'>已修复</span></td><td class='loc'>task_runner.cpp:550-553 在 relay process 之前先 hasRxFrame→taskCanRxParse</td><td>—</td></tr><tr><td>VULN-16</td><td>RX 软件队列深度 16 过小</td><td><span class='st ok'>已修复</span></td><td class='loc'>canfd.h:277 深度改为 64</td><td>—</td></tr><tr><td>审计总评</td><td>自评“98.6 分 / PRODUCTION READY / 全部闭环”</td><td><span class='st na'>原结论不成立</span></td><td class='loc'>第 6 章补丁套件大部分未合入；引用的
|
|||
|
|
<h3>4.2 compose/spec、.trae 与 README</h3>
|
|||
|
|
<p>汇总于 <code>docs/compose/spec/REVIEW_STATUS_2026-10-19.md</code>。</p>
|
|||
|
|
<table><tr><th>记录</th><th>原结论/内容</th><th>当前状态</th></tr><tr><td class='loc'>docs/compose/spec/ecat-dcu-flash-crypto-audit.md</td><td>DCU 刷写无载荷加密；word count=8；CAN 路径同步；无 teardown/fwdgt；BOOT 侧不可验证</td><td>仍成立；补充：BOOT 侧经跨仓核实 arm 门可被 0x2502 无鉴权打开（R-01）</td></tr><tr><td class='loc'>docs/compose/spec/lan9252-perf-audit.md</td><td>P1 差分写 ESC、P2 csrRead verify 分级</td><td>已实现：config.h:134 SPARSE=1、:143 DIFF=1；esc_lan9252.h:84 csrRead(verify)。上机对拍仍待做；front-matter updated 日期与提交时间不符</td></tr><tr><td class='loc'>docs/compose/spec/ecat-wkc-periodic-dip.md</td><td>主因 B：输出侧每 256 拍强制全量读</td><td>机制仍存在（ethercat_pdo.cpp:114-134），未见修复提交；仍待现场 A/B 对拍</td></tr><tr><td class='loc'>docs/compose/spec/tiered-pdo-mapping.md</td><td>status: designed，按电机数分档收缩 SM3</td><td>未实现：全仓无 tier 相关代码，SM3 仍为 600B</td></tr><tr><td class='loc'>docs/compose/spec/warm-jump-ecat-probe.md</td><td>起板探针改为 BYTE_TEST 放行</td><td>已实现并保留（esc_lan9252.cpp 使用 LAN9252_BYTE_TEST_VALUE）</td></tr><tr><td class='loc'>.trae/specs/fix-ethercat-realtime-comm-risks</td><td>s_periodicSeq、safe* 接口、PDO 三缓冲</td><td>被后续 SSC 集成取代：periodicIsr/三缓冲桥已删除，PDO 由 SSC 3-buffer SM 完成</td></tr><tr><td class='loc'>.trae/specs/fix-ecat-postaudit-risks</td><td>H1 safe* 收窄；M1 SYNC0 RAM 化；M2 NVIC 分组前移；M3 删 readBlock</td><td>H1/M3 已落地（safe*、readBlock 均已不存在）；M1 已落地（ethercat_sync.cpp:112、:188 .ramfunc）；M2 已落地（initial.cpp:222）</td></tr><tr><td class='loc'>.trae/specs/fix-ecat-pdo-and-runtime-issues</td><td>S1 PDI 偏移分离、S2 process 桥、S3 AL 守卫、M4-M7</td><td>S1/S2 被 SSC 架构取代；S3 部分保留（ethercat_slave.h:32 getAlState）；M4-M7 随旧路径删除</td></tr><tr><td class='loc'>.trae/documents/cleanup-residual-low-risk-optimizations.md</td><td>13 项低风险清理</td><td>抽查均已落地：canfd_diag_t、m_ringTxLen、s_pushCount 已删除，sys/hardfault.h 已删除，spinDelay/armRingPending 已提取，ADC 匿名 namespace 已合并</td></tr><tr><td class='loc'>README.md</td><td>工程结构说明</td><td>大面积过时（见 R-40）</td></tr></table>
|
|||
|
|
|
|||
|
|
<h2>5. 优先级修复路线图</h2>
|
|||
|
|
<table><tr><th>阶段</th><th>时限建议</th><th>事项</th><th>对应问题</th></tr>
|
|||
|
|
<tr><td>P0 止血</td><td>1 周内</td><td>轮换电机 OTA 密钥并移出版本库；配置页 word 数改为 10；0x2502/CAN 0x320 加状态门控与临时口令；StopOutput 清空 CAN 队列并下发停机；PD 看门狗回到 100ms 量级</td><td>R-01 R-05 R-07 R-04 R-10 R-13 R-15</td></tr>
|
|||
|
|
<tr><td>P1 实时性重构</td><td>2~4 周</td><td>SPI 命令处理移出 preempt 0 ISR（CS ISR 只快照+重装 DMA）；统一 CAN TX 并发模型（含 CAN0 桥接）；ISR 内禁 printf；0xC1 大缓冲静态化、统一栈定义并加栈守护</td><td>R-02 R-03 R-11 R-12 R-16~R-22</td></tr>
|
|||
|
|
<tr><td>P2 OTA 可靠性</td><td>1~2 月</td><td>镜像签名验签（BOOT 协同）；配置页 A/B 原子提交；电机 OTA cancel 改主循环单上下文；AES-CTR/GCM+TRNG nonce；复位前外设 teardown 与看门狗策略</td><td>R-01 R-06 R-08 R-09 R-10 R-27~R-29</td></tr>
|
|||
|
|
<tr><td>P3 EtherCAT 规范性</td><td>1~2 月</td><td>Free-Run/DC 丢失处理按规范降级；PRAM 超时 abort；中断屏蔽改引用计数；邮箱几何不符即拒绝；Vendor ID/ESI 版本</td><td>R-14 R-30~R-34 R-46</td></tr>
|
|||
|
|
<tr><td>P4 工程化</td><td>持续</td><td>文件名大小写、spi_link 纳入子模块、开启 -Wall、.gitignore 清理、README 重写、主机侧单元测试 + Gitea Actions CI、提交按主题拆分</td><td>R-35~R-41</td></tr></table>
|
|||
|
|
|
|||
|
|
<h2>6. 总结评分</h2>
|
|||
|
|
<table><tr><th>维度</th><th>权重</th><th>得分</th><th>理由</th></tr>
|
|||
|
|
<tr><td>实时性与中断设计</td><td>20%</td><td>45</td><td>SPI 命令仍在 preempt 0 同步执行；临界区策略与中断级别不匹配</td></tr>
|
|||
|
|
<tr><td>通信协议（EtherCAT/SPI/CAN）</td><td>20%</td><td>60</td><td>PDO 尺寸三方一致、差分写/RAM 化扎实；CAN TX 并发与 SSC 边界处理有缺口</td></tr>
|
|||
|
|
<tr><td>安全与故障保护</td><td>20%</td><td>30</td><td>刷写无鉴权、密钥硬编码泄露、通信丢失无安全输出态</td></tr>
|
|||
|
|
<tr><td>OTA/Bootloader 可靠性</td><td>15%</td><td>40</td><td>通道锁已加，但配置页非原子、word 数错配、cancel 竞态</td></tr>
|
|||
|
|
<tr><td>代码质量与可维护性</td><td>15%</td><td>60</td><td>注释详实、无 TODO/#if 0 残留、清理计划已落实；大文件与注释漂移、无测试</td></tr>
|
|||
|
|
<tr><td>构建与仓库卫生</td><td>10%</td><td>45</td><td>“-” 产物与密钥进仓、外部绝对路径依赖、大小写不一致、无告警</td></tr>
|
|||
|
|
<tr><th>综合</th><th>100%</th><th>48</th><th>功能完整、调试可观测性强，但距可量产尚有 P0/P1 级工作</th></tr></table>
|
|||
|
|
<h3>亮点</h3><ul>
|
|||
|
|
<li>EtherCAT 关键路径（SYNC0 入口、HBI 访问）已 RAM 化并改直接寄存器操作，抖动意识强。</li>
|
|||
|
|
<li>ESI、EEPROM 生成脚本与代码常量的 PDO 布局（输出 384B/输入 600B，SM2 0x1400、SM3 0x1880 三缓冲）完全一致。</li>
|
|||
|
|
<li>VULN-12/13/15/16 已修复：EtherCAT/SPI 桥均检查 OTA 通道锁，ACK 当拍消费，RX 队列 64 深。</li>
|
|||
|
|
<li>APP 版本号单一来源并下发至 CoE 0x100A 与 SPI ping；诊断计数与 DWT 剖分完善。</li>
|
|||
|
|
<li>.trae 清理计划 13 项已落实，代码中无 TODO/FIXME 与 #if 0 残留。</li></ul>
|
|||
|
|
<p style="color:#868e96;font-size:12px">本报告由多专家视角静态评审生成；所有行号基于 d8b3c97。代码变化后请以最新代码复核。</p>
|
|||
|
|
</main></body></html>
|