feat(app): 1.6.39 —— 1.6.29 起未上板业务改动入库，启动链与已提交基线对齐

主体为工作区累积的业务改动（CAN/PDO/桥/SSC/task_manager 等，详目见
config.h 版本注释链），新增 CoE 0x100A 真版本上报与 0x2502 APP→BOOT
总线交接。启动链（startup/SystemInit/initial/systick/hardfault）与
HEAD 逐字节一致；1.6.35~38 的跳转诊断实验（3M 化/BKP 面包屑/
haltWithWatchdog）未提交、已整体回退，补丁存 _revert_backup_20260916/。
真机实测（配对 BOOT 1.1.0.18）：刷写 warm jump 与 reset cold jump 均可。

GD32E508_DCU_APP/sys/config.h

@@ -149,7 +149,25 @@ constexpr bool CONFIG_CAN_CH2_ENABLE = true;
  * ============================================================ */
 constexpr uint32_t APP_FW_VERSION_MAJOR = 1U;
 constexpr uint32_t APP_FW_VERSION_MINOR = 6U;
-constexpr uint32_t APP_FW_VERSION_PATCH = 33U;  /* 1.6.33: OP 输入新鲜度不变量(EcatDbg_OpInputFreshness)——SM-Synchron 下输入 PDO 只靠 PDI_Isr,通路一停主站读到冻缓冲(WKC/AL 仍正常=假连接);现 OP 内输入停更>5ms 由主循环强制 PDO_InputMapping+重开门。根治"连接看起来正常但 CPU/CAN 不更新、复位 GD32 才好"。 */ /* 1.6.32: SPI CS EXTI 提到抢占级0（见 app_spi_command configureExti），根治 CS release 被 PDI/RT_CRITICAL 延迟导致的 RX 撕裂(0xE8) *//*  /* 1.6.28：ESC 睡眠挂起门控(EscLan9252::pmSuspended)。pmDrive 进 D1-D3 置位后全固件 HBI 消费者静默——task_runner 停调 MainLoop/AL 守护/AL 心跳（MainLoop 每圈 HBI 读 0x220，睡眠中任何 HBI 访问含读都把芯片打回 D0，2026-09-12 实测休眠 ~20s 即被主站"复活"：芯片毫秒级被 GD32 自己叫醒、SM 失效后主站 wedge 重建 OP）；ethercat_sync 三 EXTI ISR 与 timer Sync0 路径清 pending 即返。解除：pmDrive 唤醒成功/op0 读到 D0 自愈/nrstDrive 释放复位/hardwareReset。配套主站侧 ecat_native /api/pm/hold 楔死看门狗豁免。 */  /* A/B 结束: 恢复 1.6.25 稀疏+差分写(用户裁定, 主站侧已有后台恢复兜底) */  /* A/B C组: SPARSE=0+DIFF=0, 回 1.6.21 恒全量 600B 写 ESC(查开机楔死) */  /* 1.6.25：P1 输入 PDO 差分写 ESC（三区：段1 桥状态/段2 电机密排/段3+5 快照诊断；变化后 3-buffer 冲刷协议，稳定段跳过；全跳过写末 2 字节完成 SM）。P2 csrRead 分级：verify 参数，SM/AL/邮箱默认双读，诊断/MII busy/init 轮询单读。开关 CONFIG_ECAT_DIFF_ESC_WRITE。 */ /* 1.6.24：pmDrive 进 D1/D2/D3 移除读回验证。板级实测：进入睡眠后任何 HBI 访问（含读，手册 6.3.4.2 只说写唤醒，芯片实际按主机 CS 活动判定）都会 <50ms 触发唤醒回 D0——读回验证自证失败，改为置信构造返回值（READY=0|SLEEP_EN=1|MODE=op）；「读状态」语义改为"若在睡眠则主动打破睡眠"。 */ /* 1.6.23：LAN9252 芯片级电源管理诊断路径。EscLan9252::pmDrive()（0xA2 action 30~34：30 读状态/31 进 D1/32 进 D2/33 进 D3/34 手动唤醒），按 DS 6.3 写 PMT_CTRL(0x084) PM_MODE+PM_SLEEP_EN（分两次写）；D3 前置两 PHY General Power Down（经 ESC 核心 MII 管理 0x0510-0x0514，PHY A 地址 0/2 运行期判定），唤醒=HBI 写 BYTE_TEST 后轮询 BYTE_TEST/READY（DWT CYCCNT 忙等，50µs 步进、上限 10ms——0xA2 在 CS EXTI ISR 上下文执行，禁用 SysTickTimer::delayMs 会死等；HBI 段 maskEnter 屏 EXTI0/1 防 SYNC0 突入）。唤醒后自动恢复 PHY 上电（自协商需数秒）。休眠期间 EtherCAT 通信中断属预期，主站 wkc 报错。 */ /* 1.6.22：P1 稀疏写 ESC。PDO_InputMapping 在密排布局下按 count 只写「段1+段2有效区(0..40+count*56)」与「段3+段5(544..599)」，跳过空槽区，省 HW_EscWriteIsr 的 PRAM 字节。开关 CONFIG_ECAT_SPARSE_ESC_WRITE=1；非密排/count 撑满自动回退整包。总长 600B/SII/主站解码不变。A/B：置 0 重编即 1.6.21 写侧。 */ /* 1.6.21：段 2 改「一帧=总线电机整轮状态」。用户裁定旧需求不对：不要 win_base 滑窗扫 27 槽，也不要段 4 历史帧覆盖窗反复重发。实测病理：接 3 个电机网页却看到 5 个状态帧——固定 5 槽里空槽 node_id=0 也占位，主站不滤就多报。本版：(1) 段 2 密排，count=本拍实际电机数(0..9)，空节点不占位，槽序按 node_id 升序，同号多通道取 seq 最新；主站 `for i in 0..count` 按槽内 node_id 自动识别，无需滑窗。(2) 删段 4 覆盖窗口（fillRxWindow/RxWinSlot 整套），非 STATUS 仍走段 1/3 最近一帧。(3) 差分填充：节点集合与各 seq 未变时整段复用影子，跳过 MotorState 重读与逐槽 48B 拷贝。(4) 输入 PDO 总长仍 600B，SII 无需重刷；段 2 扩到 32..543、段 3 前移到 544、段 5 仍 584。**主站解码必须同步**（decode_input/transport-ecat.js：count 密排 + 段 3 偏移 320→544）。 */
+/* 1.6.34：EtherCAT 侧补「APP→BOOT 交接」+ 版本自证。
+ *  (1) 新增 CoE 0x2502「GD32 boot request」(VAR UINT32, ACCESS_READWRITE，
+ *      comm/ssc/port/dc_app.c)：主站写 1 就请求本 APP 回引导程序。动作复用量产
+ *      SPI 0xB0 那条异步链（回调只置 pending，配置页 CHECK/AVAL/EN 三字的 Flash 写
+ *      + NVIC_SystemReset 在主循环 OtaBootRequest::process() 下一圈做），所以 SDO
+ *      响应先发、复位后到，不会把 SM1 半包留在总线上。APP 写的 EN=NOT_AVAL 正好命中
+ *      BOOT 救砖门 ecatArmed()=!(CHECK==AVAL&&EN==AVAL) ⇒ 直灌自动解锁，不需 word8 令牌。
+ *      动因：0x2500/0x2501 只在 BOOT，实测对跑着的 APP 写 0x2500 回
+ *      abort=0x06020000「对象不存在」，跑着的机器必须先交接才能走总线。
+ *  (2) CoE 0x100A 从 SSC 占位 "1.0" 改成真版本串（DEVICE_SW_VERSION_LEN 0x3→0x10、
+ *      acSoftwareversion 显式 LEN+1 防越界读、initial.cpp 起板时写），主站刷完可以在
+ *      总线上自证"新 APP 起来了、是哪一版"，不必再靠串口或 SPI PING 身份块。 */
+    /* 1.6.39：按用户裁定，跳转/启动链回退到 git 已提交基线（对齐 BOOT 46adcb7
+ *  = 1.1.0.14）——startup_gd32e50x_cl.s / system_gd32e50x.c / initial.cpp+h /
+ *  systick.cpp / hardfault.cpp 全部回到 HEAD：裸机诊断回到 115200、无
+ *  __enable_irq、无 BKP 面包屑、无 haltWithWatchdog 兜底、无 3M 化。
+ *  业务改动全部保留（CAN/PDO/桥/睡眠/task_manager/0x100A 版本上报）。
+ *  未提交的 1.6.35~38 实验备份在 G:/Robot_v2/DCU/_revert_backup_20260916/。 */
+constexpr uint32_t APP_FW_VERSION_PATCH = 39U;  /* 1.6.33: OP 输入新鲜度不变量(EcatDbg_OpInputFreshness)——SM-Synchron 下输入 PDO 只靠 PDI_Isr,通路一停主站读到冻缓冲(WKC/AL 仍正常=假连接);现 OP 内输入停更>5ms 由主循环强制 PDO_InputMapping+重开门。根治"连接看起来正常但 CPU/CAN 不更新、复位 GD32 才好"。 */ /* 1.6.32: SPI CS EXTI 提到抢占级0（见 app_spi_command configureExti），根治 CS release 被 PDI/RT_CRITICAL 延迟导致的 RX 撕裂(0xE8) *//*  /* 1.6.28：ESC 睡眠挂起门控(EscLan9252::pmSuspended)。pmDrive 进 D1-D3 置位后全固件 HBI 消费者静默——task_runner 停调 MainLoop/AL 守护/AL 心跳（MainLoop 每圈 HBI 读 0x220，睡眠中任何 HBI 访问含读都把芯片打回 D0，2026-09-12 实测休眠 ~20s 即被主站"复活"：芯片毫秒级被 GD32 自己叫醒、SM 失效后主站 wedge 重建 OP）；ethercat_sync 三 EXTI ISR 与 timer Sync0 路径清 pending 即返。解除：pmDrive 唤醒成功/op0 读到 D0 自愈/nrstDrive 释放复位/hardwareReset。配套主站侧 ecat_native /api/pm/hold 楔死看门狗豁免。 */  /* A/B 结束: 恢复 1.6.25 稀疏+差分写(用户裁定, 主站侧已有后台恢复兜底) */  /* A/B C组: SPARSE=0+DIFF=0, 回 1.6.21 恒全量 600B 写 ESC(查开机楔死) */  /* 1.6.25：P1 输入 PDO 差分写 ESC（三区：段1 桥状态/段2 电机密排/段3+5 快照诊断；变化后 3-buffer 冲刷协议，稳定段跳过；全跳过写末 2 字节完成 SM）。P2 csrRead 分级：verify 参数，SM/AL/邮箱默认双读，诊断/MII busy/init 轮询单读。开关 CONFIG_ECAT_DIFF_ESC_WRITE。 */ /* 1.6.24：pmDrive 进 D1/D2/D3 移除读回验证。板级实测：进入睡眠后任何 HBI 访问（含读，手册 6.3.4.2 只说写唤醒，芯片实际按主机 CS 活动判定）都会 <50ms 触发唤醒回 D0——读回验证自证失败，改为置信构造返回值（READY=0|SLEEP_EN=1|MODE=op）；「读状态」语义改为"若在睡眠则主动打破睡眠"。 */ /* 1.6.23：LAN9252 芯片级电源管理诊断路径。EscLan9252::pmDrive()（0xA2 action 30~34：30 读状态/31 进 D1/32 进 D2/33 进 D3/34 手动唤醒），按 DS 6.3 写 PMT_CTRL(0x084) PM_MODE+PM_SLEEP_EN（分两次写）；D3 前置两 PHY General Power Down（经 ESC 核心 MII 管理 0x0510-0x0514，PHY A 地址 0/2 运行期判定），唤醒=HBI 写 BYTE_TEST 后轮询 BYTE_TEST/READY（DWT CYCCNT 忙等，50µs 步进、上限 10ms——0xA2 在 CS EXTI ISR 上下文执行，禁用 SysTickTimer::delayMs 会死等；HBI 段 maskEnter 屏 EXTI0/1 防 SYNC0 突入）。唤醒后自动恢复 PHY 上电（自协商需数秒）。休眠期间 EtherCAT 通信中断属预期，主站 wkc 报错。 */ /* 1.6.22：P1 稀疏写 ESC。PDO_InputMapping 在密排布局下按 count 只写「段1+段2有效区(0..40+count*56)」与「段3+段5(544..599)」，跳过空槽区，省 HW_EscWriteIsr 的 PRAM 字节。开关 CONFIG_ECAT_SPARSE_ESC_WRITE=1；非密排/count 撑满自动回退整包。总长 600B/SII/主站解码不变。A/B：置 0 重编即 1.6.21 写侧。 */ /* 1.6.21：段 2 改「一帧=总线电机整轮状态」。用户裁定旧需求不对：不要 win_base 滑窗扫 27 槽，也不要段 4 历史帧覆盖窗反复重发。实测病理：接 3 个电机网页却看到 5 个状态帧——固定 5 槽里空槽 node_id=0 也占位，主站不滤就多报。本版：(1) 段 2 密排，count=本拍实际电机数(0..9)，空节点不占位，槽序按 node_id 升序，同号多通道取 seq 最新；主站 `for i in 0..count` 按槽内 node_id 自动识别，无需滑窗。(2) 删段 4 覆盖窗口（fillRxWindow/RxWinSlot 整套），非 STATUS 仍走段 1/3 最近一帧。(3) 差分填充：节点集合与各 seq 未变时整段复用影子，跳过 MotorState 重读与逐槽 48B 拷贝。(4) 输入 PDO 总长仍 600B，SII 无需重刷；段 2 扩到 32..543、段 3 前移到 544、段 5 仍 584。**主站解码必须同步**（decode_input/transport-ecat.js：count 密排 + 段 3 偏移 320→544）。 */
     /* 1.6.19：[DIFF-STATS] 仪表成本终于测对了，并推翻 1.6.18 自己的判断。1.6.18 认定"是 -Oz 把 memcpy(&a,p,4) 编成函数调用"，改成手拼 4 字节移位，结果反汇编出**每字 8 条 ldrb.w**、比开销从 21.3µs/拍涨到 41µs/拍 —— 方向完全反了。真根因不在这里：alignas(4) 标在数组声明上只到调用点为止，而 observe(const uint8_t*) 的形参签名不带对齐信息，优化器无从证明指针 4 字节对齐，两版都只能逐字节走。修法是对两个入参各做一次 __builtin_assume_aligned(p,4) 再走 memcpy —— 反汇编确认循环体已缩成 ldr.w/ldr.w/cmp/bne 每字 4 条 (150 字 ≈ 750 cycle ≈ 4.2µs/拍，与最初估算同量级)，且整个函数 bl 归零(600B 快照拷贝也被折成字搬运)。教训：**测量工具的开销会直接变成结论**，"差分判断很贵"这句话差一点就被我自己造的假象坐实。被测量(变化字节数 25%、run 峰值 12)不受此影响，两版读数一致，仍然有效。 */
     /* 1.6.18：修 [DIFF-STATS] 仪表自己的假象 —— 比对循环里 `memcpy(&a,p,4)` 在 -Oz 下被编成**函数调用**而非单条 LDR，首轮实测 compare 开销虚报成 21.3µs/拍（≈300 次调用×995 拍），若拿它当"差分判断很贵"的证据就结论反了。改成小端 4 字节移位拼装：合法、不碰严格别名、且是 Clang 认得折 LDR 的模式。顺带把 alignas(4) 的理由改成"服务整块 memcpy"，比对本身不再依赖它。Code 52716→52768(+52B)，代价是体积不是速度。 */
     /* 1.6.17：新增 [DIFF-STATS] 临时仪表，为"输入 PDO 改差分写"取证，**零行为变更**。动机：差分写的收益完全取决于每拍真正变了多少字节、变化点碎成几个 run，而 run 碎片数决定它会不会把一次 600B 整块写退化成几百次带 PRAM_AVAIL 轮询的小写——这两个数今天没有实测依据，所以先只上仪表再决定做不做。实现：comm/ethercat_diff_stats.{h,cpp}，每拍在 PDI_Isr 里与上一份已发布镜像做 u32 粒度比对，按 1s 窗口(DWT 周期，同 cpu_load 手法)滚动，getter 只回报"上一个完整窗口"以免主站读到半累积值；量为 cycles / changedMax / runsTotal / runsMax / 段1..段5 各自变化字节 / 比对自身 DWT 开销。经对象字典 0x2000 sub13..23 上报（新增 11 个只读 UINT32）。**只加 SDO 子索引、PDO 长度与映射逐字节不动 ⇒ 无需重生成 SII、无需断电冷启动**，可与主站独立升级。整模块由 CONFIG_ECAT_DIFF_STATS 门控，置 0 后与 1.6.16 等价；挂接点统一 [DIFF-STATS] 标记，删除=删 2 文件+删标记行。已知副作用：开启时 sub9/sub10 写侧耗时含比对开销，不能直接与旧基线对拍，真实写侧基准须置 0 重测。 */

GD32E508_DCU_APP/sys/initial.cpp

@@ -37,6 +37,11 @@ uint8_t  AppInitializer::s_initState = AppInitializer::kInitOk;
 uint8_t  AppInitializer::s_resetCause = 0U;
 uint8_t  AppInitializer::s_faultCodes[AppInitializer::kModuleCount] = {0U};
 
+/* CoE 0x100A「Software version」写入口，实现在 comm/ssc/src/coeappl.c（C 链接）。
+ * APP 侧原本一直回 SSC 占位 "1.0"，主站在总线上读不到版本，只能靠 SPI PING 的
+ * 4 字节二进制身份块；这条总线读数是刷写后「新 APP 真起来了」的自证。 */
+extern "C" void AppSetSoftwareVersion(const char *version);
+
 namespace {
 
 struct InitEntry {
@@ -279,6 +284,16 @@ void AppInitializer::init()
     OtaBootRequest::init();
     mark(kOtaBootReq);
 
+    /* 版本号写进 CoE 0x100A：唯一真源是 sys/config.h 的 APP_FW_VERSION_*，
+     * 不在别处再抄一遍字符串。 */
+    {
+        char ver[20];
+        snprintf(ver, sizeof ver, "%u.%u.%u",
+                 (unsigned)APP_FW_VERSION_MAJOR, (unsigned)APP_FW_VERSION_MINOR,
+                 (unsigned)APP_FW_VERSION_PATCH);
+        AppSetSoftwareVersion(ver);
+    }
+
     TaskManager::init();
     mark(kTaskManager);
 

GD32E508_DCU_APP/sys/ota_boot_request.cpp

@@ -223,3 +223,15 @@ void OtaBootRequest::process()
     while(1) {
     }
 }
+
+/*--------------------------------------------------------------------------
+ * EtherCAT CoE 0x2502 的入口（comm/ssc/port/dc_app.c 是 C 文件，调不到类静态方法，
+ * 与 EcatPdo_* 同一形状）。写 1 走的是和 SPI 0xB0 完全相同的那条异步链：
+ * 这里只置标志，配置页三字的 Flash 写入 + NVIC_SystemReset 在主循环
+ * OtaBootRequest::process() 下一圈做 —— SDO 响应先发、复位后到，
+ * 不会把 SM1 半包留在总线上。
+ *-------------------------------------------------------------------------*/
+extern "C" void EcatEnterBootRequestAsync(void)
+{
+    OtaBootRequest::requestEnterBootAsync();
+}

GD32E508_DCU_APP/sys/task_manager.cpp

@@ -40,13 +40,15 @@ void TaskManager::init()
  * @param[in]  taskMask 待置位的任务位图掩码。
  * @param[out] 无。
  * @retval    无返回值。
- * @note      该操作不清除其他已存在的任务位。
+ * @note      该操作不清除其他已存在的任务位；通过 __LDREXW/__STREXW 独占访问循环实现无锁原子置位。
  */
 void TaskManager::set(uint32_t taskMask)
 {
-    uint32_t save = RT_CRITICAL_SAVE();
-    g_scheduler.task_flags |= taskMask;
-    RT_CRITICAL_RESTORE(save);
+    uint32_t val;
+    do {
+        val = __LDREXW(&g_scheduler.task_flags);
+    } while (__STREXW(val | taskMask, &g_scheduler.task_flags) != 0U);
+    __DMB();
 }
 
 /**
@@ -54,15 +56,15 @@ void TaskManager::set(uint32_t taskMask)
  * @param[in]  无。
  * @param[out] 无。
  * @retval uint32_t 返回当前待执行任务位图。
- * @note      内部通过关中断实现对 `task_flags` 的原子交换。
+ * @note      通过 __LDREXW/__STREXW 独占访问循环实现对 `task_flags` 的原子读取与清零，彻底避免被 Preempt 0 ISR 抢占丢失标志。
  */
 uint32_t TaskManager::takePending()
 {
     uint32_t pending;
-    uint32_t save = RT_CRITICAL_SAVE();
-    pending = g_scheduler.task_flags;
-    g_scheduler.task_flags &= ~pending;
-    RT_CRITICAL_RESTORE(save);
+    do {
+        pending = __LDREXW(&g_scheduler.task_flags);
+    } while (__STREXW(0U, &g_scheduler.task_flags) != 0U);
+    __DMB();
     return pending;
 }
 

GD32E508_DCU_APP/sys/task_manager.h

@@ -33,7 +33,7 @@ public:
      * @param[in]  无。
      * @param[out] 无。
      * @retval uint32_t 返回当前待执行任务位图。
-     * @note      内部通过关中断保证原子性，供 TaskRunner 消费。
+     * @note      内部通过 Cortex-M 独占访问循环(__LDREXW/__STREXW)保证原子性，供 TaskRunner 消费。
      */
     static uint32_t takePending();
 
@@ -42,7 +42,7 @@ public:
      * @param[in]  taskMask 待置位的任务位图掩码。
      * @param[out] 无。
      * @retval    无返回值。
-     * @note      内部通过 BASEPRI 临界区(RT_CRITICAL_SAVE/RESTORE)保证可由主循环与 ISR 共享调用。
+     * @note      内部通过 Cortex-M 独占访问循环(__LDREXW/__STREXW)保证可由主循环与任意抢占优先级 ISR 共享调用。
      */
     static void set(uint32_t taskMask);
 

GD32E508_DCU_APP/sys/task_runner.cpp

@@ -11,6 +11,7 @@
 #include "device/motor_state.h"
 #include "device/motor_version.h"
 #include "sys/config.h"
+#include "sys/initial.h"
 #include "sys/ota_boot_request.h"
 #include "sys/motor_ota_relay.h"
 #include "sys/task_manager.h"