test(guard): 验收链改名入库 + 补真退出码；tx 冻结守卫真机门槛两段

之前 e2e_web_send_latency.py / recover_ecat_after_reset.py / measure_click_to_motion.py
全在 .gitignore 里（e2e_/measure_ 通配），换台机器 clone 就跑不了验收；且
recover 脚本零失败路径（--skip-e2e 无条件退 0）。现在统一到已跟踪的 check_ 前缀，
.gitignore 一行例外都不用加，并把"跑过了"和"恢复了"绑成一件事。

- check_recover_after_reset.py：force_reopen 后改为轮询到 dc=1/250us/loop=1/op=1/
  wkc>=3（上限 15s，替掉原来单点采样那次假 loop=0），并断言守卫心跳在涨、
  发一帧 3s 内出口必须跟上；退出码 0/1/2（前置不满足=BLOCKED=2）。
- check_web_send_latency.py：新增第 6 段读 health.guard（旧 exe 无 guard 块 /
  alive_ticks 不涨 都算 FAIL），第 5 段改调已入库的 check_click_to_motion.py。
  它每次发送只等 2s，结构上看不到 8s 判据，所以只报"守卫当时是死是活"，
  不拿它冒充触发验证。
- check_guard_idle_silence.py：健康总线的"另一极"——90s 静默 + 25s 1Hz 发送，
  要求心跳在涨、armed 恒 0、fires/wr 零增量、每次发送都被消费。这是防
  "把守卫修成重连风暴"的真机版（对应离线 T1b/T4/T5/T6）。
- check_guard_fires_hw.py：需人在场按 GD32 RESET 制造冻结，证明 armed 秒起、
  tx_stale_s 爬过 8s、fires +1、日志有 [GUARD] 全量重连、松手后 20s 内出口
  重新前进，再验证 60s 冷却内不第二次触发；--with-pm-hold 另证"静音"时心跳仍在涨。
  只认 guard.fires，不认 wr（wr 汇总所有恢复路径，会以错误的理由通过）。
- guard_probe.py：两个真机脚本共用同一份前置判据与通路选择（先 :2625 页面代理，
  再直连 native 8090..8095）。前置没满足一律 BLOCKED——loop=0 或 pm_hold=1 时判据
  按设计是静音的，那种"绿了"毫无意义，所以判据只放一个执行点。

README.md

@@ -48,6 +48,8 @@ esp32_app.vbs  esp32_web.vbs  serve.bat    三个启动入口
 | `test_app_lease.py` / `test_app_lease_e2e.mjs` | 关窗停总线 |
 | `test_esf_pack.py` | PDO 快发 ESF1 打包 |
 | `check_esf_latency.py` / `check_latency_breakdown.py` / `check_e2e_click_motion.py` | 快发与点击延迟测量 |
+| `check_web_send_latency.py` / `check_recover_after_reset.py` / `check_click_to_motion.py` | 网页全链路自测（原 `e2e_web_send_latency.py`）、GD32 复位后恢复并验收、点击→STATUS 动作 |
+| `check_guard_idle_silence.py` / `check_guard_fires_hw.py` / `guard_probe.py` | tx 冻结守卫真机门槛：健康总线不许被重连 / 制造冻结证明守卫真会触发；共用前置与通路（改 native 后跑，见 `tools/ecat/MIGRATION.md` 加固段） |
 | `browser_check_{refresh,tick,floor,period}.mjs` | 浏览器侧 DOM/节拍实测 |
 | `probe_ecat_slot_atomicity.py` / `probe_ecat_vs_wifi.py` | 可复用采样器（gitignore 白名单） |
 
@@ -389,6 +391,13 @@ esp32_app.vbs  esp32_web.vbs  serve.bat    三个启动入口
     `_fill_can_out` 逐字节对拍通过后固化的；改 `fill_can_out`/`pack_tx_batch` 后必跑。
     原 16 项假从站后端自测（含窗口自适应 SparseSlave 专项）已随 Python 后端删除，
     其覆盖结论记录在 `tools/ecat/MIGRATION.md`。
+  - `G:\Robot_v2\DCU\tools\ecat\check_guard_regression.bat` —— **tx 冻结守卫**回归门槛。
+    现场症状：点一次「发送 CMD」后 GD32 不消费输出 PDO，health 全绿而
+    `bridge.tx_count/ack` 冻死，看着像网页慢，实为 EtherCAT 楔死。默认三段
+    （纯逻辑 38 项 / 源码契约 / 构建指纹）不碰网卡、十几秒出结论；`--live` 加稳定性
+    套件与 90s 空闲静默；`--live --wedge` 加真机触发（要按一次 GD32 RESET，电机停一下）。
+    SKIP 不折算 PASS：有段没跑就退 2。改 `wedge_worker`/`guard_tx.h`/发送路由后必跑；
+    30 秒自检与判据契约见 `tools/ecat/MIGRATION.md` 的「加固 2026-09-21」段。
   - `node scripts/test_ecat_autostart.mjs` —— 自动接入链条（stub 后端，
     不依赖板子，19 项覆盖开网卡/幂等/换网卡/各级失败语义）。
   - `node scripts/test_motor_refresh.mjs` —— 刷新速度每链路一份（55 项，