feat(comm): 1.6.14~1.6.20 —— CAN-FD 数据段 5M、批量区改定长覆盖窗口(输入 PDO 496→600)、drop 口径修复、差分写仪表

1.6.14 CAN-FD 数据段 2Mbps→5Mbps：CONFIG_CAN_DATA_PRESCALER 9→3、BS1 3→4TQ
  (90MHz/(3×6TQ)，采样点 80%→83.3%)，仲裁段仍 1M。TDC filter/offset 维持 4 不做
  等比缩放（TDCMOD=CALC_AND_OFFSET 下硬件已自动测回路延时；放到 12 会让本节点回采
  错开约 6 个数据位，自发热帧被判错误帧）。配套电机 APP/BOOT data_prescaler=2。

1.6.15 段4 批量接收由"环形队列 + 变长紧排排空"改为 5×44B 定长覆盖窗口，输入 PDO
  496→600(75×64bit)，段5 诊断区 484→584。动机两条：现场 4000 帧/s 超旧容量 3 帧/拍
  恒丢 1 帧；更关键是排空赤字把队列长期压在饱和态，而 1.6.9~1.6.13 追的错标/拼接竞态
  正是饱和态喂出来的（判满用的 tail 滞后→生产者写进消费者刚读过的槽）。定长消灭
  tail/判满/pending，边界越界写在结构上不可能再犯。每槽带 u32 seqlock：buildInput 在
  PDI_Isr(preempt=0) 抢占主循环写侧，无它则主站会拿到"新 ID + 旧数据"拼出的假帧。
  out+in=984 ≤ 1024 硬上限，DPRAM 留 120B。语义变更：批量区从"不丢的事件流"变"最近
  N 帧窗口"，去重与丢帧判据移交主站按 seq 归一。三端同步 size.h/bridge/dc_app/
  gen_eeprom/DCU_ESI.xml，必须重烧固件 + 烧 EEPROM + 断电冷启动，只烧一边 SAFEOP 报
  AL 0x001A/0x0011。

1.6.16 段1/段3 快照 drop 计数口径修复（纯判据，PDO 布局逐字节不动）：旧判据
  s_rxValid 置位后永不清零 ⇒ 开机首帧后每帧都算丢弃，drop ≡ rx−1，是零灵敏度假仪表
  且把网页状态栏刷成 ERR。新增 s_rxPublished，判据改 s_rxValid && !s_rxPublished。

1.6.17~19 [DIFF-STATS] 差分写取证仪表，零行为变更，只加 0x2000 sub13..23(11 个只读
  UINT32) ⇒ 不动 PDO 长度/映射，无需重生成 SII。实测：每拍 27.4% 字节真变化(164B)、
  run 峰值 12~13、段2 占变化量 ~53%、段4 ~25%。
  1.6.19 推翻 1.6.18 的自我诊断：比对开销虚报不是 -Oz 把 memcpy 编成调用（手拼移位
  反而 21.3µs→41µs），真根因是 alignas(4) 到 const uint8_t* 形参处丢失，优化器无法
  证明 4 字节对齐。__builtin_assume_aligned + memcpy 后循环体缩成 ldr/ldr/cmp/bne、
  bl 归零。教训：测量工具自身的开销会直接变成结论。

1.6.20 基线对照版（当前提交状态 CONFIG_ECAT_DIFF_STATS=0）：同工况(电机在线无指令)
  实测 load 49.1% vs 仪表开的 51.6% ⇒ 仪表自身成本 2.4 个点，差分改造收益 = 0。
  按实测变化量推算 A1(段粒度条件写) 只值约 1 点(段2/段4 每拍都变，必然整块重写)，
  仅 A2(8B 块粒度 + run 上限退化为整写) 有空间 —— 推算值，未做 A/B 实测不作为结论。

GD32E508_DCU_APP/comm/ethercat_pdo.cpp

@@ -5,15 +5,24 @@
 #include "comm/ethercat_pdo.h"
 #include "comm/ethercat_can_bridge.h"
 #include "device/canfd.h"
+#include "sys/config.h"
 #include "sys/cpu_load.h"
+/* [DIFF-STATS] 临时仪表挂接（删除：去掉本块与 process() 内的 observe 块）。
+ * 上一行的 sys/config.h 必须在此之前：宏未定义时 #if 会静默按 0 求值，
+ * 开关就会被悄悄当成"关掉"。 */
+#if CONFIG_ECAT_DIFF_STATS
+#include "comm/ethercat_diff_stats.h"
+#endif
 
 #include <cstring>
 
-uint8_t EthercatPdo::s_out[EthercatPdo::kPdoOutBytes] = {0};
-uint8_t EthercatPdo::s_in[EthercatPdo::kPdoInBytes]   = {0};
+/* alignas(4) 必须在类内声明与出类定义上同时标注：AC6(Clang) 否则报
+ * "'alignas' must be specified on definition"。用途见 ethercat_pdo.h。 */
+alignas(4) uint8_t EthercatPdo::s_out[EthercatPdo::kPdoOutBytes] = {0};
+alignas(4) uint8_t EthercatPdo::s_in[EthercatPdo::kPdoInBytes]   = {0};
 /* 输入 PDO 的工作缓冲：buildInput 填这里，填完整块发布到 s_in（见 process()）。
  * 读侧 writeInputs 只读 s_in，因此永远看不到"填到一半"的镜像。 */
-uint8_t EthercatPdo::s_build[EthercatPdo::kPdoInBytes] = {0};
+alignas(4) uint8_t EthercatPdo::s_build[EthercatPdo::kPdoInBytes] = {0};
 
 volatile uint32_t EthercatPdo::s_outputCycles = 0U;
 volatile uint32_t EthercatPdo::s_inputCycles  = 0U;
@@ -41,13 +50,17 @@ void EthercatPdo::process()
      * EXTI1(ESC IRQ)，**挡不住 EXTI0(Sync0,preempt=0) 和 EXTI2(Sync1,preempt=1)**。
      *
      * 竞态：MainLoop 把 s_in 填到一半（如刚写完批量区第 1 条）时被 Sync0/Sync1
-     * 抢占 → 内层重入本函数，memset 清空后重填整个 496B，随后 PDO_InputMapping()
+     * 抢占 → 内层重入本函数，memset 清空后重填整个输入 PDO，随后 PDO_InputMapping()
      * 把这一份发给 ESC；外层回来又按自己那轮的进度接着往下写。于是发出去的镜像里
      * 批量区相邻两条来自**不同轮次**，而两轮之间环形队列 tail 已推进 —— 第 2 条
      * 就带上了另一条帧的内容。实测特征与此吻合：批量区第 1 条几乎不坏(0.06%)、
      * 第 2 条 30.75% 坏且内容是一条完整 CONFIG 帧；段 1/段 3 干净，因为它们每轮
      * 内容相同，被覆盖也看不出来。
      *
+     * 1.6.15 批量区改成定长覆盖窗口后，跨轮次混填不再产生"半新半旧"的假帧（每槽
+     * 自带 seqlock，且槽位固定、语义本就是"最近 N 帧"），但本防护仍然保留：省掉
+     * 一次无谓的整块重填，并让镜像保持同一轮次的一致性。
+     *
      * 处理：已在填充中就直接返回。输入 PDO 是周期量，跳过一次下一拍即补，
      * 远好过发出一份跨轮次拼接的镜像。 */
     static volatile bool s_building = false;
@@ -73,6 +86,13 @@ void EthercatPdo::process()
     fillDiagTail(s_build);
     memcpy(s_in, s_build, kPdoInBytes);
 
+#if CONFIG_ECAT_DIFF_STATS
+    /* [DIFF-STATS] 只测量：与上一份已发布镜像比对并累计到 1s 窗口，经 0x2000
+     * sub13..23 上报。不改变上面的整块写行为，因此本版本固件的输出与 1.6.16
+     * 逐字节一致。仪表自持上一份副本，这里不需要额外缓冲。 */
+    EthercatDiffStats::observe(s_in);
+#endif
+
     s_building = false;
 }