feat(comm): 1.6.51 CAN 空通道自动静默 + PDO 诊断 + OTA 布局共用头

变更点：
1. CAN-FD（device/CANFD.cpp、sys/config.h）
   - 发送统一 FD+BRS（DLC≤8 不再回退经典 CAN）；OTA 期仍按通道压制 BRS
   - 空通道自动识别：连续 5 个 1Hz 窗口无有效帧且有错误 → 静默上报；有帧即恢复
   - 三路 CAN 默认全开；RX parse budget 48→64
2. EtherCAT 桥 / PDO
   - 段1 增 txtxid/rx00ff；版本应答 0x00FF 粘滞发布，避免被 CONFIG 冲掉
   - STATUS 禁止写入 xrx 快照；processSeq 新鲜度救援
3. OTA / 配置
   - sys/config.h include 仓库内 shared/ota_layout.h（与 BOOT 共用，不再依赖仓外路径）
   - ota_boot_request 对齐配置页 word 布局
4. docs/audit_ecat_spi_wifi_ota_compatibility.md：ECAT/SPI/WiFi/OTA 兼容性审计
5. .gitignore：忽略 .trae/、docs/traework-import、评审过程稿

GD32E508_DCU_APP/sys/config.h

@@ -9,6 +9,8 @@
 #include <stdint.h>
 #include <stddef.h>
 #include "gd32e50x.h"
+/* APP/BOOT 共用 OTA Flash 布局（唯一真源）；相对路径见该头注释。 */
+#include "../shared/ota_layout.h"
 
 /* ============================================================
  * 功能开关（调试/特性总闸 — 改这里即可开关，改完重编）
@@ -40,22 +42,21 @@
  * @note  0=不识别版本帧、不推送。与 ESP32 端 motor_version 缓存配对。
  *        版本为按需查询的低频数据，独立于 0xC5 周期推送。
  */
-#define CONFIG_MOTOR_VERSION_ENABLE               1
+#define CONFIG_MOTOR_VERSION_ENABLE                 1
 /** @brief 最大电机节点数 (node ID 1-9)。 */
 constexpr uint8_t CONFIG_MOTOR_MAX_NODES = 9U;
 /** @brief 电机离线判定超时 (ms)。超过此时间未收到 STATUS 帧则标记 offline。 */
 constexpr uint16_t CONFIG_MOTOR_OFFLINE_MS = 3000U;
-/** @brief SPI 命令逐帧日志（#if）。1.6.29 诊断：开启后仅异常路径会输出
- * （非v2帧/未知type/SEQ跳变/session不匹配），逐帧"收到非刷写"行已在
- * app_spi_command.cpp 关闭，正常状态 UART 静默。定位完改回 0。 */
+/** @brief SPI 命令逐帧日志（#if）。开启后仅异常路径输出
+ * （非v2帧/未知type/SEQ跳变/session不匹配），正常状态 UART 静默。 */
 #define CONFIG_SPI_APP_LOG_ENABLE                 1
 /** @brief CAN_SEND 成功帧详细日志（#if）。 */
 #define CONFIG_SPI_CAN_SEND_VERBOSE_LOG           0
 /** @brief CAN-FD BRS 使能（canfd.cpp #if）。
  * 关闭 BRS: 数据段用仲裁段同速率，牢牢性更高。
  * 电机 BOOT 无法正确接收 BRS 高速段→nonce(16B FD+BRS)被拒绝→握手失败。
- * 1.6.1 起：保持 1U 也可——motor_ota_relay 在 OTA 期间经 CanFd::setChannelBrsSuppress
- * 按通道压制 BRS（与 ARD 切换同一 enterState 钩子，结束必恢复），日常吞吐不受影响。 */
+ * motor_ota_relay 在 OTA 期间经 CanFd::setChannelBrsSuppress 按通道压制 BRS，
+ * 结束必恢复，日常吞吐不受影响。 */
 #define CONFIG_CAN_FD_BRS_ENABLE                  1U
 /** @brief 启动时总线探测帧；正常固件关。 */
 #define CONFIG_CAN_STARTUP_BUS_TEST_ENABLE        0
@@ -70,10 +71,18 @@ constexpr uint16_t CONFIG_MOTOR_OFFLINE_MS = 3000U;
  *        电机拓扑下无对端应答，默认关以消除持续错误帧。需要回放测试波形时打开。
  */
 #define CONFIG_CAN_PERIODIC_TEST_TX_ENABLE        0
-/** @brief CAN0/1/2 通道使能。CH1/CH2 未接设备，关闭避免持续 CAN 错误 + 占 SPI 带宽。 */
+/** @brief CAN0/1/2 通道使能（**强制开关，兜底用**）。
+ *  日常不再靠它区分"有没有接设备"：未接设备的通道 RX 浮空会持续 STUFF、REC 冲 ~130，
+ *  现由 canfd.cpp 的"空通道自动识别"在运行时判定并静默上报（只抑制打印，硬件保持
+ *  NORMAL 接收，插上设备有帧即自动恢复）。三路默认全开，交给自动逻辑。 */
 constexpr bool CONFIG_CAN_CH0_ENABLE = true;
 constexpr bool CONFIG_CAN_CH1_ENABLE = true;
 constexpr bool CONFIG_CAN_CH2_ENABLE = true;
+/** @brief 空通道自动静默的观察窗口：连续多少个 1Hz 窗口"无有效帧且有错误"才判定为空通道。
+ *  加滞回，避免偶发丢拍/慢流量（<1Hz）被误判。 */
+constexpr uint32_t CONFIG_CAN_QUIET_WINDOW_SEC = 5U;
+/** @brief 启动后多久开始允许自动静默（避开电机上电/自检期的正常错误）。 */
+constexpr uint32_t CONFIG_CAN_QUIET_AFTER_SEC = 10U;
 /** @brief 主循环 WFI（main.cpp #if）。 */
 #define CONFIG_MAIN_LOOP_WFI_ENABLE               0
 /** @brief EtherCAT SYNC0 同步模式（#if）。 */
@@ -96,22 +105,20 @@ constexpr bool CONFIG_CAN_CH2_ENABLE = true;
  *         不能与历史写侧基准对拍——要看差分潜力就只看 sub13..22，要看真实写侧耗时请置 0 重测。 */
 #define CONFIG_ECAT_DIFF_STATS                    0
 /**
- * @brief 输入 PDO 稀疏写 ESC（1.6.22 P1）：按密排 count 只写「段1+段2有效区」与「段3+段5」，
+ * @brief 输入 PDO 稀疏写 ESC：按密排 count 只写「段1+段2有效区」与「段3+段5」，
  *        跳过未用到的空槽区（40+count*56 .. 543），省 HW_EscWriteIsr 的 PRAM 字节数。
- * @note  0=恒 600B 整包写（A/B 基线）；1=分段写。非 1.6.21 密排布局（magic≠0xA5）或
- *        count 撑满时自动回退整包。**总长/SII/主站解码均不变**；空洞区在 ESC 中为该
- *        SM 缓冲上次残留，主站必须继续只按 count 迭代（1.6.21 已如此）。
- *        验收看 0x2000 sub10（EscWrite 周期）与 load_perm，同工况开关各测一轮。
+ * @note  0=恒 600B 整包写；1=分段写。非密排布局（magic≠0xA5）或 count 撑满时
+ *        自动回退整包。**总长/SII/主站解码均不变**；空洞区在 ESC 中为该 SM 缓冲
+ *        上次残留，主站必须继续只按 count 迭代。
  */
 #define CONFIG_ECAT_SPARSE_ESC_WRITE              1
 /**
- * @brief 输入 PDO 差分写 ESC（1.6.25 P1）：在稀疏写之上，按「段头(0..543)+段尾(544..599)」
+ * @brief 输入 PDO 差分写 ESC：在稀疏写之上，按「段头(0..543)+段尾(544..599)」
  *        与上次写入影子比对；内容稳定且冲刷完成则整段跳过，省 PRAM 字节。
  * @note  3-buffer 安全：SM3 三缓冲轮转，不能只对「上一拍发布镜像」比——目标缓冲
  *        里是 2 拍前的内容。采用「变化后连续写 3 拍冲刷」协议：变化当拍写并置
  *        flush=2，随后 2 拍强制写完 3 个缓冲，稳定后才允许跳过。全段跳过时强制
  *        写末 2 字节完成 SM 事件应答。0=关闭，退回稀疏写/整包。SII/主站解码不变。
- *        验收：CONFIG_ECAT_DIFF_STATS 取数后对拍 sub10；或与 1.6.22 基线 A/B。
  */
 #define CONFIG_ECAT_DIFF_ESC_WRITE                1
 /** @brief 启动横幅与 main 进度打印。 */
@@ -149,46 +156,7 @@ constexpr bool CONFIG_CAN_CH2_ENABLE = true;
  * ============================================================ */
 constexpr uint32_t APP_FW_VERSION_MAJOR = 1U;
 constexpr uint32_t APP_FW_VERSION_MINOR = 6U;
-/* 1.6.34：EtherCAT 侧补「APP→BOOT 交接」+ 版本自证。
- *  (1) 新增 CoE 0x2502「GD32 boot request」(VAR UINT32, ACCESS_READWRITE，
- *      comm/ssc/port/dc_app.c)：主站写 1 就请求本 APP 回引导程序。动作复用量产
- *      SPI 0xB0 那条异步链（回调只置 pending，配置页 CHECK/AVAL/EN 三字的 Flash 写
- *      + NVIC_SystemReset 在主循环 OtaBootRequest::process() 下一圈做），所以 SDO
- *      响应先发、复位后到，不会把 SM1 半包留在总线上。APP 写的 EN=NOT_AVAL 正好命中
- *      BOOT 救砖门 ecatArmed()=!(CHECK==AVAL&&EN==AVAL) ⇒ 直灌自动解锁，不需 word8 令牌。
- *      动因：0x2500/0x2501 只在 BOOT，实测对跑着的 APP 写 0x2500 回
- *      abort=0x06020000「对象不存在」，跑着的机器必须先交接才能走总线。
- *  (2) CoE 0x100A 从 SSC 占位 "1.0" 改成真版本串（DEVICE_SW_VERSION_LEN 0x3→0x10、
- *      acSoftwareversion 显式 LEN+1 防越界读、initial.cpp 起板时写），主站刷完可以在
- *      总线上自证"新 APP 起来了、是哪一版"，不必再靠串口或 SPI PING 身份块。 */
-    /* 1.6.40：HBI 起板探针放行判据从「HBI_IDX_0==0x1234」换成「BYTE_TEST 往返」，
- *  根治 warm jump 后自检「降级 ethercat / EXMC 总线未就绪」+ 0xA2 全回 0xE1。
- *  实测链（2026-09-16）：BOOT 1.1.0.18 短路跳转前 RST# 后，刷完 warm jump 必现
- *  fault_codes[10]=1、module_mask 缺 bit10/11；reset（芯片不掉电）却正常。
- *  根因不在 BOOT 发没发复位：cold 路径芯片自带 POR、IDX_0 天然 0x1234，与
- *  PB10 那发有没有落地无关；warm 路径 BOOT 的 bootEcatDeinit 最后一条 HBI 写
- *  把索引寄存器留在 0x0054(IRQ_CFG)，「读复位默认值」的探针对 warm 必然假阴性。
- *  本版：BYTE_TEST（索引写+数据读完整往返）为唯一放行门；任一判据不过补一发
- *  RST# 再探一轮（SSC 未起，零代价）；两轮仍不通=总线物理不通，维持降级；
- *  BYTE_TEST 通但 IDX_0 异常=放行+诊断。s_busReady 语义同步改写（0xE1 门不变）。 */
-constexpr uint32_t APP_FW_VERSION_PATCH = 40U;  /* 1.6.33: OP 输入新鲜度不变量(EcatDbg_OpInputFreshness)——SM-Synchron 下输入 PDO 只靠 PDI_Isr,通路一停主站读到冻缓冲(WKC/AL 仍正常=假连接);现 OP 内输入停更>5ms 由主循环强制 PDO_InputMapping+重开门。根治"连接看起来正常但 CPU/CAN 不更新、复位 GD32 才好"。 */ /* 1.6.32: SPI CS EXTI 提到抢占级0（见 app_spi_command configureExti），根治 CS release 被 PDI/RT_CRITICAL 延迟导致的 RX 撕裂(0xE8) *//*  /* 1.6.28：ESC 睡眠挂起门控(EscLan9252::pmSuspended)。pmDrive 进 D1-D3 置位后全固件 HBI 消费者静默——task_runner 停调 MainLoop/AL 守护/AL 心跳（MainLoop 每圈 HBI 读 0x220，睡眠中任何 HBI 访问含读都把芯片打回 D0，2026-09-12 实测休眠 ~20s 即被主站"复活"：芯片毫秒级被 GD32 自己叫醒、SM 失效后主站 wedge 重建 OP）；ethercat_sync 三 EXTI ISR 与 timer Sync0 路径清 pending 即返。解除：pmDrive 唤醒成功/op0 读到 D0 自愈/nrstDrive 释放复位/hardwareReset。配套主站侧 ecat_native /api/pm/hold 楔死看门狗豁免。 */  /* A/B 结束: 恢复 1.6.25 稀疏+差分写(用户裁定, 主站侧已有后台恢复兜底) */  /* A/B C组: SPARSE=0+DIFF=0, 回 1.6.21 恒全量 600B 写 ESC(查开机楔死) */  /* 1.6.25：P1 输入 PDO 差分写 ESC（三区：段1 桥状态/段2 电机密排/段3+5 快照诊断；变化后 3-buffer 冲刷协议，稳定段跳过；全跳过写末 2 字节完成 SM）。P2 csrRead 分级：verify 参数，SM/AL/邮箱默认双读，诊断/MII busy/init 轮询单读。开关 CONFIG_ECAT_DIFF_ESC_WRITE。 */ /* 1.6.24：pmDrive 进 D1/D2/D3 移除读回验证。板级实测：进入睡眠后任何 HBI 访问（含读，手册 6.3.4.2 只说写唤醒，芯片实际按主机 CS 活动判定）都会 <50ms 触发唤醒回 D0——读回验证自证失败，改为置信构造返回值（READY=0|SLEEP_EN=1|MODE=op）；「读状态」语义改为"若在睡眠则主动打破睡眠"。 */ /* 1.6.23：LAN9252 芯片级电源管理诊断路径。EscLan9252::pmDrive()（0xA2 action 30~34：30 读状态/31 进 D1/32 进 D2/33 进 D3/34 手动唤醒），按 DS 6.3 写 PMT_CTRL(0x084) PM_MODE+PM_SLEEP_EN（分两次写）；D3 前置两 PHY General Power Down（经 ESC 核心 MII 管理 0x0510-0x0514，PHY A 地址 0/2 运行期判定），唤醒=HBI 写 BYTE_TEST 后轮询 BYTE_TEST/READY（DWT CYCCNT 忙等，50µs 步进、上限 10ms——0xA2 在 CS EXTI ISR 上下文执行，禁用 SysTickTimer::delayMs 会死等；HBI 段 maskEnter 屏 EXTI0/1 防 SYNC0 突入）。唤醒后自动恢复 PHY 上电（自协商需数秒）。休眠期间 EtherCAT 通信中断属预期，主站 wkc 报错。 */ /* 1.6.22：P1 稀疏写 ESC。PDO_InputMapping 在密排布局下按 count 只写「段1+段2有效区(0..40+count*56)」与「段3+段5(544..599)」，跳过空槽区，省 HW_EscWriteIsr 的 PRAM 字节。开关 CONFIG_ECAT_SPARSE_ESC_WRITE=1；非密排/count 撑满自动回退整包。总长 600B/SII/主站解码不变。A/B：置 0 重编即 1.6.21 写侧。 */ /* 1.6.21：段 2 改「一帧=总线电机整轮状态」。用户裁定旧需求不对：不要 win_base 滑窗扫 27 槽，也不要段 4 历史帧覆盖窗反复重发。实测病理：接 3 个电机网页却看到 5 个状态帧——固定 5 槽里空槽 node_id=0 也占位，主站不滤就多报。本版：(1) 段 2 密排，count=本拍实际电机数(0..9)，空节点不占位，槽序按 node_id 升序，同号多通道取 seq 最新；主站 `for i in 0..count` 按槽内 node_id 自动识别，无需滑窗。(2) 删段 4 覆盖窗口（fillRxWindow/RxWinSlot 整套），非 STATUS 仍走段 1/3 最近一帧。(3) 差分填充：节点集合与各 seq 未变时整段复用影子，跳过 MotorState 重读与逐槽 48B 拷贝。(4) 输入 PDO 总长仍 600B，SII 无需重刷；段 2 扩到 32..543、段 3 前移到 544、段 5 仍 584。**主站解码必须同步**（decode_input/transport-ecat.js：count 密排 + 段 3 偏移 320→544）。 */
-    /* 1.6.19：[DIFF-STATS] 仪表成本终于测对了，并推翻 1.6.18 自己的判断。1.6.18 认定"是 -Oz 把 memcpy(&a,p,4) 编成函数调用"，改成手拼 4 字节移位，结果反汇编出**每字 8 条 ldrb.w**、比开销从 21.3µs/拍涨到 41µs/拍 —— 方向完全反了。真根因不在这里：alignas(4) 标在数组声明上只到调用点为止，而 observe(const uint8_t*) 的形参签名不带对齐信息，优化器无从证明指针 4 字节对齐，两版都只能逐字节走。修法是对两个入参各做一次 __builtin_assume_aligned(p,4) 再走 memcpy —— 反汇编确认循环体已缩成 ldr.w/ldr.w/cmp/bne 每字 4 条 (150 字 ≈ 750 cycle ≈ 4.2µs/拍，与最初估算同量级)，且整个函数 bl 归零(600B 快照拷贝也被折成字搬运)。教训：**测量工具的开销会直接变成结论**，"差分判断很贵"这句话差一点就被我自己造的假象坐实。被测量(变化字节数 25%、run 峰值 12)不受此影响，两版读数一致，仍然有效。 */
-    /* 1.6.18：修 [DIFF-STATS] 仪表自己的假象 —— 比对循环里 `memcpy(&a,p,4)` 在 -Oz 下被编成**函数调用**而非单条 LDR，首轮实测 compare 开销虚报成 21.3µs/拍（≈300 次调用×995 拍），若拿它当"差分判断很贵"的证据就结论反了。改成小端 4 字节移位拼装：合法、不碰严格别名、且是 Clang 认得折 LDR 的模式。顺带把 alignas(4) 的理由改成"服务整块 memcpy"，比对本身不再依赖它。Code 52716→52768(+52B)，代价是体积不是速度。 */
-    /* 1.6.17：新增 [DIFF-STATS] 临时仪表，为"输入 PDO 改差分写"取证，**零行为变更**。动机：差分写的收益完全取决于每拍真正变了多少字节、变化点碎成几个 run，而 run 碎片数决定它会不会把一次 600B 整块写退化成几百次带 PRAM_AVAIL 轮询的小写——这两个数今天没有实测依据，所以先只上仪表再决定做不做。实现：comm/ethercat_diff_stats.{h,cpp}，每拍在 PDI_Isr 里与上一份已发布镜像做 u32 粒度比对，按 1s 窗口(DWT 周期，同 cpu_load 手法)滚动，getter 只回报"上一个完整窗口"以免主站读到半累积值；量为 cycles / changedMax / runsTotal / runsMax / 段1..段5 各自变化字节 / 比对自身 DWT 开销。经对象字典 0x2000 sub13..23 上报（新增 11 个只读 UINT32）。**只加 SDO 子索引、PDO 长度与映射逐字节不动 ⇒ 无需重生成 SII、无需断电冷启动**，可与主站独立升级。整模块由 CONFIG_ECAT_DIFF_STATS 门控，置 0 后与 1.6.16 等价；挂接点统一 [DIFF-STATS] 标记，删除=删 2 文件+删标记行。已知副作用：开启时 sub9/sub10 写侧耗时含比对开销，不能直接与旧基线对拍，真实写侧基准须置 0 重测。 */
-    /* 1.6.16：修段 1/段 3 快照 drop 的计数口径（纯判据修复，PDO 布局逐字节不动）。病理：`onCanFrame` 里判的是 `if (s_rxValid) ++s_dropCount`，而 s_rxValid 置位后**永不清零**（只有 flags bit0 清统计会归零计数，不动 valid），于是开机收到第一帧之后**每一帧都算一次丢弃**，drop ≡ rx−1 (mod 2^16)。实测 period=1ms、CAN 侧 6000 帧/s 时 drop 同样 6000/s，与 rx_count 逐拍 1:1（Δ 完全相等），(rx−1) mod 65536 与上报值精确吻合。后果：主站 `/api/motor/state` 的 bridge.drop 被 transport-ecat.js 当状态栏 **ERR** 显示、且它是桥全局值三通道同数 → 网页"ERR 多得离谱"其实只是收帧速率，零灵敏度、纯假仪表；calibrate_ecat_metrics 一类拿 drop 做分子分母的判据恒得 100%。本版加 s_rxPublished（写侧置 false / buildInput 段 1 发布分支置 true，与段 4 的 s_rxWinSeen 同一套"未被任何一拍取走才算丢"约定），判据改 `s_rxValid && !s_rxPublished`；计数落在 xrxSeq 奇数窗口内，消费者判奇会跳过段 1/段 3 故不会并发置位，读+自增对消费者等效原子。flags bit0 清统计时一并置 published=true，免得清零后的第一帧被误计。s_rxValid 语义不变（"有过接收"，flags bit0 与 backlog 取通道都依赖它常驻），故 ecat.html 短快照、daemon 的 xrx 分派、ESP32 侧 0xC1 全部零改动。**修完不会归零**：段 1/段 3 是单槽、每拍只能发布 1 帧，6000 帧/s @1ms 下仍约 5000/s（≈rx 的 0.83），这个数自此真正的含义是"快照槽位跟不上收帧速率"，不是总线错误；真·CAN 错误仍看 ESP32 `/can/feedback` 的 err/TEC/REC，真·入窗丢帧看段 4 的 OVF(362) 与 seq 空洞。 */
-    /* 1.6.15：批量接收改**定长覆盖窗口**，输入 PDO 496→600（75×64bit）。动机：1.6.1 瘦身后批量区是"环形队列 + 变长紧排排空"，容量 3 帧/拍(=3000 帧/s)，现场 4000 帧/s 下每拍恒丢 1 帧（can_cadence lost=512/drain FAIL）；更糟的是排空赤字把队列长期压在饱和态，而 1.6.9~1.6.13 追的错标/拼接竞态正是饱和态喂出来的（判满用的 tail 一旦滞后，生产者就写进消费者刚读过的槽）。本版按用户裁定改成覆盖式：生产者(onCanFrame)按自己游标写、绕圈覆盖，消费者(fillRxWindow)每拍整块取值 —— 没有 tail/判满/pending，那个滞后握手的载体直接不存在。定长(5×44B@364)让主站不必推游标，1.6.10 那类边界越界写诊断区的错在结构上不可能再犯。**每槽必须带 u32 seqlock**：buildInput 跑在 PDI_Isr(preempt=0) 会抢占主循环写侧，没有它主站能拿到"新 ID + 旧数据"拼出的假帧（不是"差一个周期"，是现实中不存在但看起来合法的帧，与刚修的拼接同形）。seq 兼作主站去重与丢帧判据（空洞数=被覆盖未取的帧），与从站侧新加的 OVF("未取先覆"次数) 互为对账仪表。语义变更：批量区从"保证不丢的事件流"变成"最近 N 帧窗口"——同一帧会连续几拍重复出现，低频一次性帧(版本/节点应答)在突发下可能被静默覆盖；主站 daemon 层按 seq 去重后归一成事件流，故 motor.js/ecat.html/can_cadence.py 判据不变、前端零改动。容量：5 槽=5000 帧/s@1ms，对 4000 帧/s 留 25% 余量（STATUS 自 1.6.9 起不入窗，实际入窗量是 CONFIG 量级）；覆盖窗口**不创造容量**，槽数 < 帧/拍 仍会静默丢帧。段1..3(0..359) 逐字节不动，段5 诊断区 484→584。三端同步：ethercat_pdo_size.h / bridge.h+cpp / dc_app.c(62→75) / gen_eeprom.py / DCU_ESI.xml / ecat_native.c decode_input(新增 600..639 分支，向后自适应 496 与 640)。必须重烧固件 + 烧 EEPROM + 断电冷启动，只烧一边 SAFEOP 报 AL 0x001A/0x0011。 */
-    /* 1.6.14：CAN-FD 数据段 2Mbps→5Mbps（CONFIG_CAN_DATA_PRESCALER 9→3、CONFIG_CAN_DATA_BS1 3TQ→4TQ ⇒ 90MHz/(3×6TQ)，采样点 80%→83.3%；TDC filter/offset 4→12 tq 维持约 400ns，因 TDCF/TDCO 以数据段 tq 为单位）。动机：电机 STATUS48B+CONFIG24B×2 节点@1kHz 加 1kHz 下行 CMD，2Mbps 下负载约 120%（实测总线帧数被钉在 ~4993 帧/s），高频下发时 RX FIFO 拥塞。仲裁段仍 1Mbps 不变。配套：电机 APP 与 BOOT 的 data_prescaler 同步改 2（60MHz/(2×6TQ)=5Mbps）——FD 数据段速率必须全总线一致，节点 TX 都带 fd_brs。 */
-    /* 1.6.13：根治 —— 1.6.12 的 PDI 入口预抽实测（60s 正弦指令负载，链路活性已断言）：overfull 50/s→0 但指纹违规仍 ~92/s、torn 在无溢出阶段 1-7/s 持续涨 —— 判决：溢出只是共犯之一，**357µs 的 PDI 阻塞窗口本身**才是病理母体（窗口内 FIFO 满溢毁窗口 + 被冻结的取帧路径留着不依赖溢出的换帧路径，MI/MP 只抓到少数）。本版釜底抽薪：CAN RX ISR 提到 preempt=0（CONFIG_IRQ_PREEMPT_CAN_RX，与 SYNC0 同级互不抢占）—— RX 不再被 PDI/SYNC1/SCHED 压住，FIFO 深度 ≤2、溢出与冻结同时消失，receiveFrameChecked 的多字取数自此真正原子；TX ISR 留在 2（PDI 上下文有 TX 提交，提 0 会引入提交/释放竞争）。代价：SYNC0/PDI 偶发 µs 级延迟（RX ISR ~3µs/帧×8kHz≈2.4% 占空），相对 1ms 周期是零头。PDI 预抽 pumpAllChannels 随之撤除（失去意义且引入 PDI/ISR 双消费者风险）。保留 1.6.12 的诚实管道（校验只计不丢）与诊断布局（overfull@490、relto@492、seq u16@488）作为验证仪表：修好 = reject/torn/overfull 恒 0。 */
-    /* 1.6.12：源头修复 —— 用户裁定"过滤是遮羞布，修采集源头，前端只许诚实反馈"。1.6.11 上线后实测（repro_cmdload 正弦负载）reject@494 仍以 ~384/s 增长：RFOD=DISABLE 挡不住溢出毁窗口（本 IP 满溢时 DISCARD 语义存疑，或毁帧发生在满态下的读并发路径），内容校验丢弃只是把坏数据拦在计数前。本版两处：(1) **源头**：CanFd::pumpAllChannels() 挂进 onEscIrqExti 的 PDI_Isr 入口 —— 在 buildInput 357µs 长阻塞（CAN ISR preempt=2 全程被压）开始之前把三路 FIFO 抽干，阻塞窗口起点深度=0、窗口内到达 ≤2-3 帧，3 深度 FIFO 从"必然打满"变成"必然不满"；preempt=1 + SYNC0 已关的上下文保证与 CAN ISR 取帧互斥，与主循环批量队列生产零交集。(2) **诚实管道**：内容校验改为只计不丢（reject@494 恒 0 = 源头修好；还在涨 = 源头未愈且页面如实显示），诊断区加挂判决性测量：seq 488 拆 u16、overfull(RFO0)@490、release_timeout@492（原重入计数位，恒 0 让出）。reject 与 overfull 是否同涨 = "残余拼接是否仍源自溢出"的判决。 */
-    /* 1.6.11：根治残余拼接 —— 1.6.10 的 settle 延迟实测无效（正弦指令负载下拼接率不变），节点指纹实验（两电机反相正弦+速度限 200/150 打指纹）实锤拼接是**跨节点**的：node3 的 STATUS 帧头 24B = node2 的完整 CONFIG（速度指纹 200.0、角度 1142° 均属 node2 轨迹），且 CONFIG↔CONFIG 同型拼接结构校验抓不到（两边都合法）—— 电机 TX 不可能发出别的电机的字节 ⇒ 混合点在 GD32 RX 侧。真根因：can_init 的 rec_fifo_overwrite=ENABLE —— FIFO 满时覆盖最旧邮箱，而最旧邮箱正是 CPU 正在读的输出窗口；buildInput 在 PDI_Isr 占 ~357µs 压住 CAN ISR，发指令时总线 ~8kHz、阻塞窗口内 ~3 帧打满 FIFO 深度 → 覆盖进行中被读走 = 拼接（MI/MP 回读挡不住：MI 是覆盖序列最后更新的一环；settle 延迟也挡不住：非时间竞态而是溢出策略）。本版：(1) rec_fifo_overwrite=DISABLE —— 溢出丢新帧置 RFO0(rx_fifo_overfull_count 已统计)，周期量丢一拍下拍即补，与软件队列"满丢新不覆旧"同则；(2) 撤 settle 延迟（无效且白烧 CPU）；(3) 保留 1.6.10 的重取循环删除与边界修正，并新增入队前内容校验（STATUS 温度/电压量程+帧间斜率、CONFIG 未使用区/模式）丢结构矛盾帧、计数段5@494 —— 作为溢出之外的纵深防御（实测能挡跨型拼接，挡不住同型 CONFIG↔CONFIG，故必须配合 (1)）。验证：正弦指令负载 60s，指纹违规 40→0。 */
-    /* 1.6.10：根治拼接帧 —— 1.6.9 的"队列覆写"定性被自测推翻为**次要**：段 2 电机槽(MotorState 路径，与批量环形队列完全独立)出现同签名拼接(node2 槽头 = node3 CONFIG 前缀 03c12200，解出 mcuTemp=-161.25)，且 rx_torn/pdo_reentry 自启动恒 0 —— 两条独立下游同时中招 ⇒ 混合点在共同上游 CAN RX ISR；校验恒不报 ⇒ 拼接发生在 MI/MP 判据盲区。真根因=1.6.7 的"校验失败原地重取"：RFIFOMDATA0 读指针随读自动前进且不因换帧复位，attempt1 失败后 attempt2 从错位指针开读，MI/MP 比对的是窗口身份、管不住指针错位，于是"校验通过、内容为上一帧尾巴拼下一帧开头"。实测(自测脚本 scripts/selftest_torn.py，按拍去重+灵敏度自证)：空闲 0%(35k 条)，电机活跃时 9.155%(56835/620838，STATUS 错标为 CONFIG 占绝对多数)。本版：(1) 去掉重取循环，校验失败即 release+丢帧+rx_torn 计数(1.6.6 语义，STATUS/CONFIG 均 1kHz 周期量，丢一拍下拍即补)；(2) fillRxBatch 边界改判段 5 起点 ECAT_DIAG_OFF_LOAD(484) 而非 PDO 全长(496)——潜伏越界写诊断区，当前容量下触不到，容量放宽即咬人；(3) releaseFifo0 自清后补 settle 延迟 —— 烧(1)(2)后实测活跃流量下仍残余 0.11% 跨节点拼接(node2 槽头=node3 CONFIG 前缀，且 rx_torn 已正常计数 146，证明窗口换帧路径已被挡住)，定性为 RFD 自清只代表 dequeue 握手完成、下一帧 MDATA 还在逐字搬运(MI/MP 先落数据区后落)，while 连排的第二次读紧跟 release 即拿到陈旧头+新鲜尾，MI/MP 回读对这种陈旧全盲；空闲每 ISR 单帧故 0%、活跃连排才中招，与实测分布吻合。 */
-    /* 1.6.9：拿到实证并定位真根因 —— 给主站加了同拍 raw+parsed 的只读诊断路由(/api/motor/rxraw)后抓到：**坏帧在原始 PDO 字节里就已经是错的**（如 off=72 处条目声称 id=0x20101/dlc=24，数据却是合法 STATUS：mcuTemp=35.92 motTemp=33.55 pwrV=23.972），而主站 parsed 与 raw 逐字节一致 —— 坏在从站写入侧，与主站解析无关。根因：批量接收环形队列长期饱和下，生产者覆写了消费者正在读的槽。实测证据：CAN 侧约 4000 帧/s 而批量区每拍最多 3 条(=3000 帧/s)，净积压使 pending 恒 8/12、lost 几乎每拍都有、count 恒取满 3；消费者 fillRxBatch 又攒到循环末才发布 s_rxRingTail，生产者判满用的正是这个滞后值，于是把新帧写进消费者刚读过但未发布的槽，拷进 PDO 的 id/dlc/data 遂来自不同帧（错标率 1.77%）。两处修复：(1) onCanFrame 入队**过滤 STATUS 帧** —— 完整 STATUS 本就由段 2 按槽上报，主站 drainRx() 拿到 STATUS 也直接 continue 丢掉，让它占队列纯属重复，正是它把队列压爆；(2) fillRxBatch 改为整条拷贝到局部副本再用，并逐条发布 tail，使生产者判满始终基于真实进度。
-    1.6.8：曾判定为"输入 PDO 填充跨上下文重入"并加了双缓冲发布 + 重入计数(段5@492)。**该假说事后被证伪**：SM-Synchron 稳态下 MainLoop 分支的门控 (!bEscIntEnabled||!bEcatFirstOutputsReceived)&&!bDcSyncActive 恒为假不执行，Sync0 因 free-run 无 DC 脉冲不触发，Sync1 与 PDI_Isr 同为 preempt=1 不能抢占 —— buildInput 实际只在 PDI_Isr 单上下文跑。双缓冲发布本身是正确加固，予以保留。
-    1.6.7：接着 1.6.6 治 CAN 取帧拼接。1.6.6 的校验只读 MP 的 TS/DLENC，TS 是 16 位计数器、相邻帧可能同值，DLENC 更常同为 48，于是"ID 报 STATUS、数据却是 CONFIG 帧"这种错配从校验漏了过去。本版三处改动：(1) 回读校验再加上 MI（完整 ID/帧格式），ID 变了就一定是换了帧，没有巧合空间；(2) 校验失败改为原地重取最多 3 次而不是直接丢弃 —— 失败时窗口里躺着的正是完整的新帧，重读一次通常就能拿全；(3) 整段取数放进 BASEPRI 临界区，挡住 preempt>=1 的 EtherCAT 中断。注：事后（1.6.8）证明本版方向不是主因，但这三条本身仍是正确的加固，予以保留。
-    1.6.6：根治 ECAT/CAN 偶发乱码 —— 取帧不再用厂商库 can_message_receive。一条 48B CANFD 报文要对同一地址 CAN_RFIFOMDATA0 连读 12 次才取完，整个过程不原子；而厂商库置 RFD0 后既不等硬件自清也不校验，取数过程会横跨 dequeue、读出两帧拼接。现改为本地 receiveFrameChecked()：取数前后各读一次 MP，比对 TS[31:16] 与 DLENC，不一致即判定邮箱窗口被换帧，整帧丢弃并计入 Diag::rx_torn_count（经输入 PDO 段 5 偏移 486 原保留位上报，PDO 长度不变、EEPROM 无需重刷）；releaseFifo0() 置位后轮询等自清，且改用直接赋值 —— 原来的 |= 是读改写，会把期间硬件置起的 RFF0/RFO0(rc_w1) 顺手清掉，FIFO 溢出证据就是这么丢的。另修 ISR 里 frame.id/stats.last_rx_id 取自三路共享的 s_diag.last_rx_id（而 data 取自局部 rx_message，会串出"A 通道 id 配 B 通道数据"），一律改用本帧局部 rxId。
-    1.6.5：段 2 电机槽补 seqlock（MotorSlot.wr_seq）。buildInput 跑在 PDI_Isr，会抢占主循环的 MotorState::onCanFrame，而那里是"先 seq=++global_seq、后 memcpy(slot.data,48)"——抢占落在 memcpy 中途就会发布"新 seq + 半新半旧 48B"，主站只按 seq 判新鲜度分辨不出，混合边界若落在 float 的符号/指数字节(B16/B20/B24)就是网页上的偶发离谱值。现消费者见 wr_seq 为奇数即跳过本槽（该 56B 留零，主站按 node_id==0 跳过、下拍自愈），win_count 改报窗口跨度而非填充数以保持按 i 定位。CONFIG 路径不套锁：它只写 config_* 与恒等的 node_id/channel，buildInput 不同读这些。槽布局不变 ⇒ 输入 PDO 仍 496B，EEPROM/SII 无需重刷。
-    1.6.4：电机槽 40B→56B（8B 头 + v0.74 的 48B STATUS），每拍槽数 7→5（段 2 的 280B 正好 5×56）。修掉两件事：buildInput 按 48B 拷贝时溢出 16B 盖住段 3 长帧快照；主站侧 STATUS 被截到 32B 使 InitStatus(B32-35) 永远拿不到、网页把"无数据"显示成 NORMAL。槽数×槽长不变 ⇒ 输入 PDO 仍 496B，EEPROM/SII 无需重刷；主站需同步 MOT_SLOT_SIZE / MOT_SLOTS_PER_PDO / MOT_STATUS_DLC。
-    1.6.3：processOutput 不再从 out 回读 WIN@8——1.6.0 起 out 只在 seq 沿那拍新鲜，无沿周期里它是上一次全量读的残值，于是每拍用开机首拍的 0 盖掉 peekOutput 刚取到的新值，电机状态扫描窗口被钉死在基址 0，槽位 7..26（node3 及以上）永不上报，只有主站真发一帧才复位。WIN 的每拍刷新改由 peekOutput 独占。判据：不发任何帧，从站回显 win_base 也应等于主站请求值。 */
+constexpr uint32_t APP_FW_VERSION_PATCH = 51U;  /* 1.6.50: CAN 空通道自动识别与降噪 */
 constexpr uint32_t APP_FW_VERSION_BUILD = 0U;
 
 
@@ -298,7 +266,7 @@ constexpr uint32_t CONFIG_CAN_RX_FILTER_ID = CONFIG_CAN_STATUS_ID;
 /** @brief CAN 接收过滤器标准帧掩码；0x7FF 表示精确匹配 11-bit ID。 */
 constexpr uint32_t CONFIG_CAN_RX_FILTER_MASK = 0x7FFU;
 /** @brief 单次 CAN 接收解析任务最多消费的软件队列帧数。 */
-constexpr uint32_t CONFIG_CAN_RX_PARSE_BUDGET = 48U;
+constexpr uint32_t CONFIG_CAN_RX_PARSE_BUDGET = 64U;   /* 8kHz PDO 下主循环间隙短，单次多清一些 */
 
 /** @brief 用户调度定时器实例。 */
 constexpr uint32_t CONFIG_SCHED_TIMER_INSTANCE = TIMER2;
@@ -325,7 +293,7 @@ constexpr uint32_t CONFIG_TASK_PERIOD_TEMP_SAMPLE_TICKS = 10U;
 /** @brief 调度基准节拍：10ms 计数周期，单位 100us tick。 */
 constexpr uint32_t CONFIG_TASK_PERIOD_CAN_RX_TICKS = 100U;
 /** @brief 调度基准节拍：CAN 周期发送任务周期，100 tick = 10ms。
- *  @note  原 1ms/帧过密，改为 10ms/帧以降低 CAN 总线负载与 GD32 邮箱压力。 */
+ *  @note  1ms/帧过密，10ms/帧可降低 CAN 总线负载与 GD32 邮箱压力。 */
 constexpr uint32_t CONFIG_TASK_PERIOD_CAN_TX_TICKS = 100U;
 /** @brief 调度基准节拍：心跳周期，单位 100us tick。 */
 constexpr uint32_t CONFIG_TASK_PERIOD_HEARTBEAT_TICKS = 10000U;
@@ -352,6 +320,11 @@ constexpr uint32_t CONFIG_FWDGT_TIMEOUT_MS = 3000U;
  * BOOT 版本在 OTA 配置页中的 Flash 存储地址
  * 与 BOOT 工程 sys/config.h 保持一致
  * ============================================================ */
+/**
+ * @brief APP 持续喂狗满该秒数后清 BOOT 侧连续 FWDGT 崩溃计数（word9）。
+ * @note  必须 > FWDGT 超时(3s)数倍；init 不清，避免 3s 内崩溃永远攒不到阈值。
+ */
+constexpr uint32_t CONFIG_CRASH_CLEAR_AFTER_SEC = 30U;
 constexpr uint32_t CONFIG_OTA_CONFIG_PAGE_ADDR  = 0x0807E000U;
 constexpr uint32_t CONFIG_BOOT_VERSION_ADDR0    = CONFIG_OTA_CONFIG_PAGE_ADDR + 0x18U;
 constexpr uint32_t CONFIG_BOOT_VERSION_ADDR1    = CONFIG_OTA_CONFIG_PAGE_ADDR + 0x1CU;
@@ -365,16 +338,10 @@ constexpr uint32_t CONFIG_NVIC_PRIORITY_GROUP          = NVIC_PRIGROUP_PRE4_SUB0
 constexpr uint32_t CONFIG_IRQ_PREEMPT_ETHERCAT_SYNC    = 0U;
 constexpr uint32_t CONFIG_IRQ_PREEMPT_SCHED            = 1U;
 constexpr uint32_t CONFIG_IRQ_PREEMPT_CAN              = 2U;
-/* 1.6.13：CAN RX 提到 preempt=0（与 EtherCAT SYNC0 同级）。
- * 1.6.12 的 PDI 入口预抽实测：溢出确实大降（overfull 50/s→0）但拼接照旧
- * （指纹违规 ~92/s，且 torn 在无溢出阶段仍 1-7/s 在涨）—— 357µs 的 PDI
- * 阻塞窗口本身就是病理：窗口内 FIFO 满溢毁窗口的同时，被冻结的取帧路径
- * 还留着不依赖溢出的换帧路径（MI/MP 只抓到少数）。preempt=0 一并掐断：
- * RX ISR 不再被 PDI/SYNC1/SCHED 压住（FIFO 深度 ≤2，溢出与冻结同时消失），
- * 且与 SYNC0 同级互不抢占 —— receiveFrameChecked 的多字取数自此真正原子。
- * TX ISR 留在 2：PDI 上下文有 TX 提交，提到 0 会引入提交/释放竞争。
- * 代价：SYNC0/PDI 偶发 µs 级延迟（RX ISR ~3µs/帧 × ~8kHz ≈ 2.4% 占空），
- * 相对 1ms 周期与 165µs 总线时间是零头。 */
+/* CAN RX 抢占级 = 0（与 EtherCAT SYNC0 同级、互不抢占）。
+ * 目的：RX ISR 不被 PDI/SYNC1/SCHED 压住，FIFO 深度可压到 ≤2，
+ * 多字取帧真正原子。TX 留在 2：PDI 上下文有 TX 提交，提 0 会引入
+ * 提交/释放竞争。代价：SYNC0/PDI 偶发 µs 级延迟（RX ~3µs/帧×8kHz≈2.4%）。 */
 constexpr uint32_t CONFIG_IRQ_PREEMPT_CAN_RX           = 0U;
 constexpr uint32_t CONFIG_IRQ_PREEMPT_ETHERCAT_ESC     = 1U;
 constexpr uint32_t CONFIG_IRQ_PREEMPT_ETHERCAT_SYNC1   = 1U;
@@ -382,9 +349,7 @@ constexpr uint32_t CONFIG_IRQ_PREEMPT_SPI_USART        = 3U;
 /* ============================================================
  * EtherCAT LAN9252 配置（开关见顶部 CONFIG_MAIN_LOOP_WFI / ETHERCAT_SYNC_MODE）
  * ============================================================ */
-/* 1.5.27:CONFIG_ETHERCAT_ISR_MAX_US_THRESHOLD / CONFIG_ESC_PDI_INPUT_OFFSET /
- * CONFIG_ESC_PDI_OUTPUT_OFFSET / CONFIG_ETHERCAT_PDO_SIZE 随死代码 EthercatSlave::
- * periodicIsr 三缓冲一并删除;PDO 交换由 SSC(dc_app.c APPL_*, 4×64bit=32B) 完成。 */
+/* PDO 交换由 SSC(dc_app.c APPL_*) 完成。 */
 
 /* ---------- EXMC 引脚配置(GD32E508 EXMC 标准映射) ---------- */
 constexpr uint32_t CONFIG_ESC_EXMC_BASE_ADDR = 0x60000000U;

GD32E508_DCU_APP/sys/cpu_load.cpp

@@ -115,3 +115,8 @@ __attribute__((section(".ramfunc"), noinline)) void CpuLoad::tick()
         cpuLoadRollWindow(now);
     }
 }
+
+/* C 侧挂钩：供 ecatappl.c / dc_app.c 计入 EtherCAT 过程数据路径。
+ * 与 beginWork/endWork 共用深度计数器，嵌套不重不漏。 */
+extern "C" void CpuLoad_Enter(void) { CpuLoad::beginWork(); }
+extern "C" void CpuLoad_Leave(void) { CpuLoad::endWork(); }

GD32E508_DCU_APP/sys/cpu_load.h

@@ -16,11 +16,12 @@
  *   - 全部挂钩 ISR：TIMER2(100µs 调度)、SysTick、EXTI0/1/2(EtherCAT Sync0/PDI/
  *     Sync1)、TIMER0(DC 定时档)、CAN0-2 RX+TX、SPI0+EXTI10_15、USART0。
  *     DC 模式下 Sync0_Isr 的 EXMC 过程数据搬运由此计入——这是大头，不能漏。
- *   - 主循环非延迟段：TaskManager 派发的周期任务、0xB0 进 BOOT 处理、
- *     电机 OTA relay 推进（isActive() 门控，空闲时零挂钩开销）。
- * 不计入项：SSC MainLoop 轮询、AppSpiCommandBus.poll()、看门狗喂狗等常开检查
- * （free-run 调试模式下 PDO 应用跑在主循环轮询路径，不计入；生产走 DC 模式，
- * 等价工作在 Sync0 ISR 内已计入）。
+ *   - 主循环非延迟段：TaskManager 派发任务、BOOT、OTA relay、新鲜度救援、
+ *     free-run 下 **1ms 节流** 的过程数据应用（有 CpuLoad 挂钩）。
+ *   - PDI/Sync0 ISR 全程（含 SM 类型下每拍 Process/映射）——负载随 PDO Hz 升。
+ * 不计入：MainLoop/SSC/poll 空转。
+ * 性能约束：PDI 热路径不得「凡 AL 事件就 Process/InputMapping」——8kHz 时
+ * 单拍超 ~120µs 墙会掉速；输出用 12B 探针，process 兜底读带新鲜度门。
  *
  * 并发协议（无关中断、无临界区）：enter/exit 用 LDREX/STREX 原子改深度，
  * 任一优先级可抢占任意上下文而不破坏计数——STREX 失败方重试时会看到已修正的
@@ -34,6 +35,17 @@
 
 #include <stdint.h>
 
+#ifdef __cplusplus
+extern "C" {
+#endif
+/** C 侧挂钩（ecatappl.c / dc_app.c）。与 beginWork/endWork 同一深度计数器。 */
+void CpuLoad_Enter(void);
+void CpuLoad_Leave(void);
+#ifdef __cplusplus
+}
+#endif
+
+#ifdef __cplusplus
 /**
  * @brief CPU 负载率测量。
  * @note 全静态类，与 SysTickTimer 同风格。
@@ -93,5 +105,6 @@ public:
     static volatile uint16_t s_loadPerm;  /**< 最近一个完整窗口的负载率(0.1%) */
     static volatile uint32_t s_seq;       /**< 完成滚动的窗口计数 */
 };
+#endif /* __cplusplus */
 
 #endif /* SYS_CPU_LOAD_H */

GD32E508_DCU_APP/sys/initial.cpp

@@ -7,7 +7,7 @@
  *   ADC → CANFD → OtaBootRequest → TaskManager → Scheduler →
  *   EtherCAT(+Sync 可选) → Watchdog → report
  *
- * 1.5.34：各模块 init 从"盲配置"改为带检查（寄存器回读 / 节拍验证 / 校准超时），
+ * 各模块 init 带检查（寄存器回读 / 节拍验证 / 校准超时），
  * 失败不置位；复位源/模块位图/critical 失败位图经 getter 导出供 SPI 0xA3 上报。
  */
 
@@ -38,8 +38,7 @@ uint8_t  AppInitializer::s_resetCause = 0U;
 uint8_t  AppInitializer::s_faultCodes[AppInitializer::kModuleCount] = {0U};
 
 /* CoE 0x100A「Software version」写入口，实现在 comm/ssc/src/coeappl.c（C 链接）。
- * APP 侧原本一直回 SSC 占位 "1.0"，主站在总线上读不到版本，只能靠 SPI PING 的
- * 4 字节二进制身份块；这条总线读数是刷写后「新 APP 真起来了」的自证。 */
+ * 主站总线读此对象可自证「新 APP 真起来了」。 */
 extern "C" void AppSetSoftwareVersion(const char *version);
 
 namespace {
@@ -200,9 +199,8 @@ void AppInitializer::report()
                fail_list[0] != '\0' ? fail_list : "?");
     }
 
-    /* 日志完整性自证：串口 TX 缓冲溢出会静默吞字节，1.5.40 及之前实测使 [ECAT] 诊断
-     * 出现 "bus eaabled"/"pdi_type=0x8Dexect" 等掉字，并两次导致 LAN9252 故障误定性。
-     * 1.5.41 起缓冲满时自旋腾位，仅 USART 外设异常才丢弃；非 0 即代表上面的日志不可全信。 */
+    /* 日志完整性自证：串口 TX 缓冲溢出会静默吞字节。
+     * 缓冲满时自旋腾位，仅 USART 外设异常才丢弃；非 0 即代表上面的日志不可全信。 */
     const uint32_t dropped = Usart0::droppedBytes();
     if (dropped != 0U) {
         printf("[APP] WARN: uart dropped %u bytes, 以上日志可能不完整\r\n",
@@ -308,13 +306,11 @@ void AppInitializer::init()
     }
 
     /* ---- EtherCAT: EXMC 总线探活 → SSC 协议栈初始化 → SYNC0/IRQ 中断使能 ----
-     * 1.5.27:改经 EthercatSlave::init()（内部调用 EscLan9252::init 并记录
-     * chipId/AL 状态诊断，此前该函数无调用点、s_escReady 恒为 false）。
      * 门控用 EscLan9252::isBusReady()（BYTE_TEST 通过）而非 isEscReady()：
      * 冷启动时 AL=INIT，SSC 必须照常启动并等待主站配置。
-     * 1.5.39:追加 isCoreReady() 门控——EscLan9252::init() 已等待 EEPROM(SII)
+     * 另需 isCoreReady()——EscLan9252::init() 已等待 EEPROM(SII)
      * 加载完成（DL_STATUS bit0）；未加载时 EtherCAT 核心寄存器写静默丢弃，
-     * SSC 的 AL Event Mask/邮箱 SM 配置会全部落空（主站恒读 AL=INIT 的根因），
+     * SSC 的 AL Event Mask/邮箱 SM 配置会全部落空（主站恒读 AL=INIT），
      * 此时跳过 SSC 并以独立故障码上报。
      * EEPROM 校验/烧录延迟到主循环执行，避免阻塞 init（烧录需 ~20s）。 */
     EthercatSlave::init();
@@ -337,7 +333,9 @@ void AppInitializer::init()
         printf("[ECAT] EXMC bus not ready, SSC skipped\r\n");
     }
 
-    /* 看门狗放最后：PSC/RLD 写入经硬件确认才置位 */
+    /* 看门狗放最后：PSC/RLD 写入经硬件确认才置位。
+     * 崩溃计数不在这里清：须喂狗稳定满 CONFIG_CRASH_CLEAR_AFTER_SEC
+     * （task_runner 每圈 maybeClearCrashCount），否则主循环崩溃攒不到阈值。 */
     const uint8_t wdgFault = Watchdog::init();
     if (wdgFault == Watchdog::kFaultOk) {
         mark(kWatchdog);

GD32E508_DCU_APP/sys/ota_boot_request.cpp

@@ -10,18 +10,18 @@
 #include "sys/systick.h"
 
 namespace {
-/** Bootloader OTA 配置页地址，与 BOOT 工程 sys/config.h 保持一致。 */
-constexpr uint32_t kOtaConfigPageAddr = 0x0807E000U;
-constexpr uint32_t kAppLatestAvalAddr = kOtaConfigPageAddr + 0x00U;
-constexpr uint32_t kAppLatestEnAddr = kOtaConfigPageAddr + 0x08U;
-constexpr uint32_t kAppLatestCheckAddr = kOtaConfigPageAddr + 0x10U;
-/** BOOT 版本号在 OTA 配置页中的存储地址：word6=major|minor, word7=patch|build。 */
-constexpr uint32_t kBootVersionAddr0 = kOtaConfigPageAddr + 0x18U;
-constexpr uint32_t kBootVersionAddr1 = kOtaConfigPageAddr + 0x1CU;
-constexpr uint32_t kOtaAval = 0x00000000U;
-constexpr uint32_t kOtaNotAval = 0xFFFFFFFFU;
-constexpr uint32_t kFmcPageSize = 0x00000800U;
-constexpr uint32_t kRebootDelayMs = 20U;
+/** Bootloader OTA 配置页地址与 word 布局：唯一真源 shared/ota_layout.h。 */
+constexpr uint32_t kOtaConfigPageAddr   = OTA_LAYOUT_CONFIG_PAGE;
+constexpr uint32_t kAppLatestAvalAddr   = OTA_LAYOUT_ADDR_LATEST_AVAL;
+constexpr uint32_t kAppLatestEnAddr     = OTA_LAYOUT_ADDR_LATEST_EN;
+constexpr uint32_t kAppLatestCheckAddr  = OTA_LAYOUT_ADDR_LATEST_CHECK;
+constexpr uint32_t kBootVersionAddr0    = OTA_LAYOUT_ADDR_BOOT_VER0;
+constexpr uint32_t kBootVersionAddr1    = OTA_LAYOUT_ADDR_BOOT_VER1;
+constexpr uint32_t kBootCrashCountAddr  = OTA_LAYOUT_ADDR_CRASH_COUNT;
+constexpr uint32_t kOtaAval             = OTA_LAYOUT_AVAL;
+constexpr uint32_t kOtaNotAval          = OTA_LAYOUT_NOT_AVAL;
+constexpr uint32_t kFmcPageSize         = OTA_LAYOUT_PAGE_SIZE;
+constexpr uint32_t kRebootDelayMs       = 20U;
 
 static bool writeWord(uint32_t addr, uint32_t value)
 {
@@ -122,6 +122,29 @@ BootVersion OtaBootRequest::readBootVersion()
     };
 }
 
+/**
+ * @brief 清零连续 FWDGT 崩溃计数。
+ * @note  与 BOOT OTA_CRASH_STAY_MAX 门配套。写 0（AVAL）可对 1→0 直接编程。
+ */
+bool OtaBootRequest::clearCrashCount()
+{
+    return otaConfigSet(kBootCrashCountAddr, kOtaAval);
+}
+
+/**
+ * @brief 喂狗运行满 CONFIG_CRASH_CLEAR_AFTER_SEC 后清崩溃计数（每上电至多一次）。
+ */
+void OtaBootRequest::maybeClearCrashCount(uint32_t uptime_sec)
+{
+    static bool s_cleared = false;
+    if (s_cleared || uptime_sec < CONFIG_CRASH_CLEAR_AFTER_SEC) {
+        return;
+    }
+    if (clearCrashCount()) {
+        s_cleared = true;
+    }
+}
+
 /**
  * @brief 写入 Bootloader OTA 等待标志，并安排稍后软复位。
  * @return true 表示标志写入成功；false 表示 Flash 配置页写入失败。
@@ -197,7 +220,7 @@ void OtaBootRequest::process()
         if(!ok) {
             s_spiFrozenForBoot = false;
             nvic_irq_enable(SPI0_IRQn, 2U, 0U);
-            nvic_irq_enable(EXTI10_15_IRQn, 0U, 1U);  /* 1.6.32: 与 configureExti 一致提到抢占级 0 */
+            nvic_irq_enable(EXTI10_15_IRQn, 0U, 1U);  /* 与 configureExti 一致：抢占级 0 */
             /* requestEnterBoot 失败时 s_rebootPending 仍为 false */
             return;
         }

GD32E508_DCU_APP/sys/ota_boot_request.h

@@ -40,6 +40,19 @@ public:
      */
     static BootVersion readBootVersion();
 
+    /**
+     * @brief 清零 BOOT 侧连续 FWDGT 崩溃计数（配置页 word9）。
+     * @note  不要在 init 里立刻调用；见 maybeClearCrashCount()。
+     */
+    static bool clearCrashCount();
+
+    /**
+     * @brief APP 持续喂狗满 CONFIG_CRASH_CLEAR_AFTER_SEC 后清一次崩溃计数。
+     * @param[in] uptime_sec 当前 APP 运行秒数（g_app_uptime_sec）。
+     * @note  挂在主循环；init 未走完或 30s 内崩溃时计数保留，BOOT 才能攒到阈值。
+     */
+    static void maybeClearCrashCount(uint32_t uptime_sec);
+
     /**
      * @brief 尝试处理一帧 CAN 接收报文。
      * @param[in] channel 报文来源 CAN 通道。

GD32E508_DCU_APP/sys/task_runner.cpp

@@ -237,7 +237,7 @@ void TaskRunner::taskCanRxParse()
                                  s_runtime.last_rx_data,
                                  s_runtime.last_rx_len);
 #endif
-        /* 1.5.53:旁路投递给 EtherCAT PDO 桥。放在分发链末尾且**不消费**帧
+        /* 旁路投递给 EtherCAT PDO 桥。放在分发链末尾且**不消费**帧
          * (不 return、不 continue),因此 OTA relay / 电机状态的取帧不受影响——
          * 本队列只有 taskCanRxParse 一个消费者,新增第二个消费者会互相抢帧。 */
         EthercatCanBridge::onCanFrame(s_runtime.last_rx_channel,
@@ -284,31 +284,26 @@ bool TaskRunner::copyAdcSample(Adc::Sample *out)
 
 /* SSC 侧 AL 诊断快照(dc_app.c): [19:16]=AL 状态 [31:24]=AL 错误码 [15:0]=AL 事件寄存器 */
 extern "C" uint32_t EcatDbg_ReadAlDiag(void);
-/* SSC 侧 AL Event Mask(0x204) 守护(dc_app.c, 1.5.48):缺位自愈+WARN,返回实际值/0xFFFF=不适用 */
+/* SSC 侧 AL Event Mask(0x204) 守护(dc_app.c):缺位自愈+WARN,返回实际值/0xFFFF=不适用 */
 extern "C" uint32_t EcatDbg_GuardAleventMask(void);
-/* 1.6.33:OP 输入新鲜度不变量 — 输入 PDO 停更则主循环强制重写(根治假连接) */
+/* OP 输入新鲜度不变量 — 输入 PDO 停更则主循环强制重写 */
 extern "C" void EcatDbg_OpInputFreshness(void);
 
 /**
- * @brief 1.5.48/1.5.49 AL Event Mask(0x204) 守护 + SM2 事件楔死自愈 + 1.5.52 邮箱
- *        SM 地址/长度失配自愈：250ms 周期。
- * @note  实测"停止回 INIT 后重进 OP"概率性挂起(SAFEOP+0x001B, WKC=3/3 但
- *        bEcatFirstOutputsReceived 不置位,0x220 bit10 挂起 10s 无人处理)——
- *        PDI_Isr 通路楔死。守护在 SAFEOP 后 1s 内替 PDI_Isr 完成工作(置位
- *        标志+应答事件),主站 12s OP 等待窗口内可自愈;WARN 携带全部内部旗标,
- *        下次复现一行日志定位楔死路径(详见 dc_app.c 注释)。
- *        1.5.52:周期 1s→250ms——新加的邮箱地址自愈(1.5.52 根治 SSC 侧
- *        u16EscAddrSendMbx 错位楔死,详见 dc_app.c)必须快过主站 SDO 超时
- *        (~700ms),否则自愈永远落在主站放弃之后,形同虚设。
- *        1.5.59:邮箱楔死已根治(mailbox.c 几何常量化,CSR 错值无进入缓存路径),
- *        本守护降级为运行期内存踩踏兜底;且修复了 1.5.52~1.5.58 的 SWAPWORD
- *        字节序 bug——那段时期本守护的失配判定恒短路,实际从未生效过。
+ * @brief AL Event Mask(0x204) 守护 + SM2 事件楔死自愈 + 邮箱 SM 地址/长度失配自愈：
+ *        250ms 周期。
+ * @note  PDI_Isr 通路楔死时(0x220 bit10 挂起)守护在 SAFEOP 后 1s 内替 PDI_Isr
+ *        完成工作(置位标志+应答事件),主站 12s OP 等待窗口内可自愈;WARN 携带
+ *        全部内部旗标,下次复现一行日志定位楔死路径(详见 dc_app.c 注释)。
+ *        周期必须快过主站 SDO 超时(~700ms),否则自愈永远落在主站放弃之后。
+ *        邮箱几何已构建期常量化(mailbox.c),CSR 错值无进入缓存路径;
+ *        本守护降级为运行期内存踩踏兜底。
  */
 static void ethercatAleMaskGuard()
 {
     static uint32_t s_lastGuardMs = 0U;
     if (!EthercatSync::isActive() || EscLan9252::pmSuspended()) {
-        /* 1.6.27:睡眠挂起期一并静默——守护内部读 SM 起止/长度与 0x204/0x220
+        /* 睡眠挂起期一并静默——守护内部读 SM 起止/长度与 0x204/0x220
          * 全是 HBI 访问,会把睡着的芯片叫醒 */
         return;
     }
@@ -320,7 +315,7 @@ static void ethercatAleMaskGuard()
 }
 
 /**
- * @brief 1.5.32 ECAT 心跳：主循环存活证明 + ESC AL 状态/事件寄存器快照。
+ * @brief ECAT 心跳：主循环存活证明 + ESC AL 状态/事件寄存器快照。
  * @note  仅在同步 ISR 激活(SSC 在跑)时打印。心跳停 = 主循环卡死；
  *        al=0x1 且 evt bit0 长期置位 = SSC 没处理 AL 请求；
  *        al 与主站读到的不一致 = ESC 写回路径问题。
@@ -328,7 +323,7 @@ static void ethercatAleMaskGuard()
 static void ethercatAlHeartbeat()
 {
     if (!EthercatSync::isActive() || EscLan9252::pmSuspended()) {
-        /* 1.6.27:睡眠挂起期静默——读 0x0130/0x0220 即 HBI 访问,读即唤醒 */
+        /* 睡眠挂起期静默——读 0x0130/0x0220 即 HBI 访问,读即唤醒 */
         return;
     }
     const uint32_t alDiag = EcatDbg_ReadAlDiag();
@@ -433,8 +428,7 @@ void TaskRunner::taskDiagnosticPrint()
 #endif
 
         if (EthercatSlave::isEscReady()) {
-            /* 1.5.27:periodicIsr 已删除(死代码,无调用点),PDO 交换由 SSC
-             * Sync0_Isr → ECAT_Application → dc_app.c APPL_* 完成。 */
+            /* PDO 交换由 SSC Sync0_Isr → ECAT_Application → dc_app.c APPL_* 完成。 */
             printf("[ECAT] ESC ready (chip id=0x%08lX), PDO via SSC Sync0_Isr\r\n",
                    (unsigned long)EthercatSlave::getChipId());
         } else {
@@ -506,7 +500,6 @@ void TaskRunner::taskDiagnosticPrint()
                    (unsigned long)g_app_uptime_sec);
             s_prev_esc_ready = esc_ready;
         }
-        /* 1.5.27:periodicIsr ISR 统计随死代码一并删除 */
         /* DC SYNC0 通路验证：仅在有脉冲增量时打印（未接主站时静默）。 */
         ethercatSyncCounterPrint();
         ethercatAlHeartbeat();
@@ -546,11 +539,23 @@ void TaskRunner::runPending()
 {
     Watchdog::feed();
 
+    /* 高 PDO 频率时：有帧就解析，但**每圈限一次**且预算内尽量清空。
+     * 每圈都跑满 budget 在 2kHz 可能抢太多主循环（实测达成率掉到 85%）。
+     * 8kHz 下主循环间隙极短，仍需入口排水，否则 gseq/s 从 ~3750 掉到数百。 */
+    if (CanFd::hasRxFrame()) {
+        CpuLoad::beginWork();
+        taskCanRxParse();
+        CpuLoad::endWork();
+    }
+
+    /* 喂狗稳定满 30s 才清 BOOT 崩溃计数（每上电一次）。init 就清会让
+     * 主循环 3s 内 FWDGT 崩溃永远攒不到 OTA_CRASH_STAY_MAX。 */
+    OtaBootRequest::maybeClearCrashCount(g_app_uptime_sec);
+
     /* === HBI 周期诊断:每 20 秒重新跑一次 EXMC/HBI 探活,方便热插拔/焊接后观察 ===
-     * 1.5.27:EtherCAT 同步 ISR 激活后停止(diagDump 会把 EXMC 引脚切成 GPIO,
+     * EtherCAT 同步 ISR 激活后停止(diagDump 会把 EXMC 引脚切成 GPIO,
      * 拆毁运行中的总线;诊断的 bit-bang 也与 HBI 事务互斥冲突)。
-     * 1.5.33:整块由 CONFIG_ESC_EXMC_DIAG 门控,默认关闭——硬件已确认全通,
-     * 不再每 20s 拆总线做探针;换板/补焊排查浮空时置 1 恢复。 */
+     * 整块由 CONFIG_ESC_EXMC_DIAG 门控,默认关闭;换板/补焊排查浮空时置 1 恢复。 */
 #if CONFIG_ESC_EXMC_DIAG
     static uint32_t s_lastDiagSec = 0xFFFFFFFFU;
     if (!EthercatSync::isActive()
@@ -562,9 +567,9 @@ void TaskRunner::runPending()
     }
 #endif
 
-    /* 延迟 EEPROM 烧录已删除(1.5.29)：ESI 镜像改由 EtherCAT 主站侧刷写
+    /* ESI 镜像由 EtherCAT 主站侧刷写
      * (tools/ecat/ecat_flash_eeprom.py 经 ESC 0x0500 EEPROM 接口)，
-     * 固件不再承担烧录/校验职责。 */
+     * 固件不承担烧录/校验职责。 */
 
     /* poll() 含按铃超时看门狗(cancelRing)，必须每轮无条件执行。
      * 主动推送已随 2026-08 请求驱动改造移除，此处仅需消费请求响应的按铃。 */
@@ -580,7 +585,7 @@ void TaskRunner::runPending()
 
     /* 电机 OTA relay：活跃时每圈推进状态机（等 ACK / 超时 / 发下一包）。
      * 非活跃时立即返回，开销可忽略。 */
-    /* 负载率挂钩（1.5.63）：relay 活跃时才计 busy——isActive() 是廉价枚举判断，
+    /* 负载率挂钩：relay 活跃时才计 busy——isActive() 是廉价枚举判断，
      * 空闲路径零挂钩开销；计数段覆盖等 ACK/超时/发包的真实工作。 */
     const bool motorOtaActive = MotorOtaRelay::isActive();
     if (motorOtaActive) {
@@ -594,26 +599,28 @@ void TaskRunner::runPending()
         CpuLoad::endWork();
     }
 
-    /* 2026-08 请求驱动改造：0xC1 CAN 反馈 / 0xC5 电机状态 / 0xC4 ADC 已改为
-     * ESP32 周期查询（主动按铃推送全部移除，避免 OTA 期间悬空按铃刷屏）。
-     * 仅保留事件驱动、低频的 0xC6 电机版本推送。 */
+    /* 仅保留事件驱动、低频的 0xC6 电机版本推送。 */
     motorVersionPushStep();
 
     /* SSC 协议栈主循环：AL 状态机 + 邮箱处理 + FreeRun PDO。
      * 每轮无条件调用，SSC 内部自行判断是否有待处理事件。
      * DC 模式下 PDO 交换由 SYNC0 ISR (Sync0_Isr) 完成，此处仅处理低优先级逻辑。
-     * 1.6.27:ESC 睡眠(D1-D3)挂起期整段停调——MainLoop 每圈必读 0x220(AL 事件
-     * 寄存器,经 HBI),而睡眠中任何 HBI 访问(含读)都会把芯片打回 D0,
-     * 2026-09-12 实测休眠后 ~20s 即被"复活"。 */
+     * ESC 睡眠(D1-D3)挂起期整段停调——MainLoop 每圈必读 0x220(AL 事件
+     * 寄存器,经 HBI),而睡眠中任何 HBI 访问(含读)都会把芯片打回 D0。
+     *
+     * 负载口径（恢复 1.5.63）：MainLoop **不**计入 busy。
+     * 实时模式主循环是 NOP 忙等，每圈都调 MainLoop；整段计入会把
+     * load_perm 抬到恒 ~99%（250Hz 也「占满」，与历史 4kHz≈80% 曲线对不上）。
+     * 过程数据成本应由 PDI/Sync0 ISR 挂钩体现，见 sys/cpu_load.h。 */
     if (!EscLan9252::pmSuspended()) {
         MainLoop();
-        /* 1.6.33:OP 输入新鲜度不变量。与 MainLoop 同拍调用——正常时
+        /* OP 输入新鲜度不变量。与 MainLoop 同拍调用——正常时
          * PDI_Isr 已在刷新,这里只做廉价 seq 比对;停更超 5ms 才强制重写。
          * 睡眠期与 MainLoop 一并跳过(读 HBI 会唤醒芯片)。 */
         EcatDbg_OpInputFreshness();
     }
 
-    /* 1.5.48:AL Event Mask(0x204) 守护——每圈入口执行,内部 250ms 节流。
+    /* AL Event Mask(0x204) 守护——每圈入口执行,内部 250ms 节流。
      * 放 MainLoop 旁而非诊断任务:守护必须独立于诊断打印频率,
      * OP 等待期(12s)内从站进 SAFEOP 后 1s 内即介入自愈。 */
     ethercatAleMaskGuard();
@@ -621,7 +628,7 @@ void TaskRunner::runPending()
     const uint32_t pending = TaskManager::takePending();
     if(pending == 0U) return;
 
-    /* 负载率挂钩（1.5.63）：派发的周期任务属"非延迟工作"，整段计入 busy；
+    /* 负载率挂钩：派发的周期任务属"非延迟工作"，整段计入 busy；
      * 前面的常开轮询(Watchdog/poll/MainLoop/guard)不计入，见 sys/cpu_load.h。 */
     CpuLoad::beginWork();
     if(pending & (1UL << TASK_ADC_VREF_SAMPLE))  taskAdcVrefSample();