feat(ota): 电机 OTA 支持 EtherCAT 模式（CoE 邮箱进料 + 通道独占锁）

进料口从「只有 ESP32 SPI 一条」扩成两条，中继引擎不变：主站经 CoE 0x2511 数据窗
把电机固件明文灌进 GD32 的 48KB SRAM 暂存区，再由 comm/ecat_motor_ota 泵进原有
4KB 环缓；AES 握手、CAN 单发停等、重发、0AAC 运行确认全部沿用 MotorOtaRelay。
纯网线（ESP32 WiFi 关断、/motor/ota 打不通）场合因此也能刷电机。
偏移/幂等判据仍只有一份：feedData 拆出 feedAt，两个进料口共用。

同时把审计报告 VULN-12/13/14 落地（此前只存在于文档，一行未实现）：start() 第一条
语句在 PRIMASK 内原子置位 s_channel_lock_mask，EtherCAT 桥接 sendBatch/processOutput
与 SPI 0xC0/0xC7 对锁定通道回新码 0xE7=「被电机 OTA 独占」，不冒充「邮箱满」0xE4。
反向互斥一并补上：电机 OTA 活跃时 requestEnterBoot() 直接拒绝——SPI 0xB0、CoE 0x2502、
CAN 0x320 三条交接入口共用这一个判据，避免复位把刷写腰斩在 erase 之后。

完整性口径按链路分开，不互相冒充：块级 CRC32 + 整镜像 CRC32 都在从站核，且核过才
让电机进 BOOT——失败时电机仍跑旧 APP、擦除没开始，不存在「先擦再验」的变砖路径。
CRC 为 CRC-32/B（poly 0x04C11DB7，初值 0xFFFFFFFF，无反射无末尾异或），与 v2_crc32
同算法（用公开向量 123456789=0x0376E6E7 对过）。

块长取 1024 而不是 BOOT 用的 4096：SSC 的分段下载缓冲是全工程唯一的 malloc 用户，
而 APP 的 __HEAP_SIZE 只有 3KB，4096 会被从站当场回 abort 0x05040005 Out of memory
（BOOT 的堆是 16KB 才撑得住 4096——块长能抄，堆抄不了）。这是跨仓常量，须与
tools/ecat 的 MFO_CHUNK_OBJ 同步。

APP 1.7.4（RAM ZI 97156）。已实测：0x2510 参数写与一块 1016B 数据写均被从站接受
（staged=1016、phase bit4）；端到端电机刷写待复测（native 块长修复后未跑完整一轮）。

GD32E508_DCU_APP/sys/task_runner.cpp

@@ -21,6 +21,7 @@
 #include "comm/ethercat_slave.h"
 #include "comm/ethercat_sync.h"
 #include "comm/ethercat_can_bridge.h"
+#include "comm/ecat_motor_ota.h"
 #include "comm/esc_exmc_bus.h"
 #include "comm/esc_lan9252.h"
 
@@ -171,6 +172,9 @@ void TaskRunner::taskCanTxSend()
         if (!CanFd::isChannelEnabled(ch)) {
             continue;
         }
+        if (MotorOtaRelay::isChannelLocked(ch)) {
+            continue;   /* 电机 OTA 独占：诊断帧也不许挤这条通道 */
+        }
 
         uint8_t data[64];
         data[0] = 0xC0U;
@@ -591,10 +595,14 @@ void TaskRunner::runPending()
      * 非活跃时立即返回，开销可忽略。 */
     /* 负载率挂钩：relay 活跃时才计 busy——isActive() 是廉价枚举判断，
      * 空闲路径零挂钩开销；计数段覆盖等 ACK/超时/发包的真实工作。 */
-    const bool motorOtaActive = MotorOtaRelay::isActive();
+    const bool motorOtaActive = MotorOtaRelay::isActive() || EcatMotorOta::sessionActive();
     if (motorOtaActive) {
         CpuLoad::beginWork();
     }
+    /* EtherCAT 邮箱进料（comm/ecat_motor_ota.cpp）：把本地 48KB 暂存区按环缓空位
+     * 泵进 relay。放在 relay::process() 之前，同圈刚泵进去的字节立刻能被弹包。
+     * WiFi/SPI 链路下 s_started=false，这里第一次判断就返回，开销可忽略。 */
+    EcatMotorOta::process();
     MotorOtaRelay::process();
     /* 数据发送推进：主循环每圈调用，按 SysTick 钟表控制每包间隔
      * （替代原靠 tick100us 计数 + TASK_MOTOR_OTA_TX 的方式，消除计数器竞争）。 */