仪器注册与硬件调试 · 软件逻辑与时序梳理

┌───────────────────────── 测试/操作员工作站（单机） ─────────────────────────┐
│                                                                            │
│  Plugin.IntegrationTest.exe（主程序进程，一切 UI 与业务调用方的宿主）      │
│  ├─ Plugin.DeviceConfig   仪器仪表注册页（编辑草稿/发布门禁/版本管理）      │
│  ├─ Plugin.DeviceDebug    硬件调试页（会话状态机/维护申请/CAN·电源·PLC面板）│
│  ├─ Aging.Infrastructure  DeviceManager / DeviceService / AutoDeviceFacade  │
│  │   ├─ Local 设备 → 直驱驱动（CanDriverAdapter 等，物理会话在本进程）      │
│  │   └─ Broker 设备 → BrokeredCanDriver 代理驱动（不持物理会话）         │
│  └─ LayeredResourceManager ──┐（进程内缓存 grants + 委托 DbLeaseStore）     │
│                               │                                            │
│        命名管道 RPC           │        ┌───────────────────────────────────┤
│   aging.brokerId.v1（帧协议） │        │  DeviceBroker.exe（共享仪器宿主进程）│
│        ◄──────────────────────┴────────┤  BrokerServer：三重关卡+SessionGate │
│                                        │  DbLeaseStore(broker-b01) 读仲裁库 │
│                                        │  CanDriverAdapter → 物理会话唯一持有│
│                                        └───────────────────────────────────┘
│  数据层（本机 SQLite，禁止网络盘）：                                        │
│   data.db  配置库：DeviceDefinition(含执行位置5列)/DeviceChannel/Slot映射/版本 │
│   arb.db   仲裁库：resource_state/lease_history/recovery_checkpoint/authority_meta │
│   debug.db  调试会话库：debug_session（状态机持久化）＋操作日志              │
└────────────────────────────────────────────────────────────────────────────┘

Local 直连适合已分配给唯一执行进程、可独立连接的设备；物理会话在客户端进程内。
Broker 代理适合跨进程共享设备：物理会话由 DeviceBroker.exe 唯一持有，客户端只做 RPC 委托。

注：CAN 总线模拟器（CanSimulator）是进程内虚拟总线——主程序与宿主各自持有一套 CAN_BUS_1 实例，跨进程不可见；真实硬件（物理卡/总线）天然共享，无此限制。测试环境用同宿主的 CAN-004 作为 CAN-003 的对端。

 1. DeviceConfig.InitFinish          → 建库/迁移 data.db（PRAGMA 检查→ALTER 补执行位置5列）
 2. SeedPresetCanDevices()           → 预置 CAN-001/002/003（必须先于基础设施：Bootstrapper 扫库决定驱动注册）
 3. InitializeAutoServices()
    3.1 InfrastructureBootstrapper.Initialize(data.db 路径)
        a. DbLeaseStore(arb.db, "local-main")
        b. ReconcileAfterBoot          ← 启动对账：SweepExpired + ApproveRecovery 回收上次进程泄漏租约
        c. LayeredResourceManager 注册进 UtilContainer（"ResourceManager"/"LeaseCoordinator"）
        d. DeviceManager / DeviceService / PowerSupplyService / AutoDeviceFacade / CanBusService
        e. RegisterBrokeredDrivers   ← 扫 data.db：ExecutionMode='Broker' 的设备注册
                                           BrokeredCanDriver(管道=aging.{BrokerId}.v1, 携启动时 configHash)
    3.2 从 UtilContainer 拉取 IAutoDeviceFacade / ICanBusService，注册 Local CAN 直驱
    3.3 TryStartDeviceBroker()       ← 若存在 Broker 设备：Process.Start DeviceBroker.exe
                                           --db data.db --arb arb.db --broker broker-b01
 4. DeviceDebug.InitFinish           → 从 UtilContainer 取 DeviceManager/DeviceService/ResourceManager
                                       （必须在 3 之后！倒置会取到 null，仲裁/驱动复用链路全部静默降级）
 5. ForceRefreshForTest()×2          → 两插件列表刷新
 Window_Closing：Kill DeviceBroker 子进程（其物理会话随进程消亡，租约靠 TTL+启动对账收口）

                    注册页保存设备(含执行位置) ──► data.db
                                  │
 Bootstrapper 启动扫描             ▼
   ExecutionMode='Local'  ──► DriverFactory.CreateDriver ──► 直驱（本进程物理会话）
   ExecutionMode='Broker' ──► BrokeredCanDriver(deviceId, aging.{BrokerId}.v1, hash₀)
                                  │  hash₀ = DeviceConfigHash.Compute(data.db)
                                  │  规则与 DeviceConfigModel.ComputeConfigHash 完全一致：
                                  │  DEVICE(id|kind|driver|transport|endpoint|mode|authority|broker|sessionKey)
                                  │  + CHANNEL + SLOT 三段拼接 SHA256；OwnerProcessId 不参与
                                  ▼ 每次 RPC 携带
                     宿主出队时与自己重算的生效 hash 对账 → 不一致 RejectedConfigMismatch

• 分派点在驱动层：DeviceService 不感知 Local/Broker——它只从 DeviceManager.GetDriver(deviceId) 取驱动。上层（自动化门面、调试面板）零改动。
• 配置哈希 = 快照指纹：Broker 用 DeviceConfigHash.Compute（与注册页同算法，缺表跳过空段）每 2s 惰性重算。

设备下拉变更
 1. LoadDeviceInfo(deviceId)              ← 读 data.db：Kind/Endpoint/EffectiveVersion
 2. OpenSession(deviceId)                 ← DebugSessionManager
      a. GetActiveSessionByDevice → 命中且在本进程内存 → 复用返回
      b. 命中但仅存在于 debug.db（进程重启遗留死会话）→ 强制回收为 Closed 再新建
      c. 新建 session（State=ReadOnly，写 debug_session 表 + 入内存缓存）
 3. DeviceManager.ConnectAsync(deviceId)
      Local  直驱 ConnectAsync：注册总线节点/建立 TCP…
      Broker BrokeredCanDriver → RPC CONNECT（无租约也允许：仅登记宿主物理会话，无总线输出）
      异常→仅连接状态显示"连接失败"，不抛出
 4. UpdateButtonStates()                  ← "进入维护"仅 ReadOnly 时可用
 5. LoadPanel(kind)
      CAN 面板：ExistingDriver = DeviceManager.GetDriver(deviceId)
        ├─ 非 null（Broker 设备）→ 面板复用该驱动，禁止本地直驱（不 Dispose 外部驱动）
        └─ null（未注册）→ 降级本地直驱（模拟器语义，owns=true）
      面板连接后：DispatcherTimer 100ms 轮询启动（UpdateStats + 代理驱动邮箱抽取）
 顶部"连接状态"与面板内"状态"为两个指标：前者=DeviceManager 通路，后者=面板实际使用的驱动

7.1 发送（维护模式下，CAN-003 → 总线）

面板"发送" → BrokeredCanDriver.SendCommandAsync("SEND:0x123:55 66")
 └─ BrokerClientChannel.EnsureConnectedAsync     ← 惰性：管道断开自动重连+重握手
     └─ Hello → 宿主回 {ServerEpoch, ConfigHash, BrokerId, ProtocolVersion}
        协议主版本不符 → 断开拒绝
 └─ SubmitTask（帧=4字节大端长度+UTF8 JSON 封套；RequestId 关联、deadline 超时）
     Body={DeviceId, OpCode=SEND, Payload, ResourceKey=deviceId, ClientInstanceId}
          ▼ ─────────── DeviceBroker.exe ───────────
     ①白名单+域内设备过滤          非本域/未知op → Failed
     ②configHash 对账(INV-04)    不一致 → RejectedConfigMismatch("先 Apply 再 I/O")
     ③栅栏再校验(INV-01/03)      RecoveryRequired→拒绝；无 Active 租约→RejectedStaleLease
     ④SessionGate（按 PhysicalSessionKey 串行原子片段）
        队列等待 5s 超时 → Failed RESOURCE_BUSY（确定未执行，可安全重试）
     ⑤CanDriverAdapter.SendFrame（宿主进程物理/模拟总线）
     ⑥ResultBody{State, Readback, ServerEpoch} 同管道返回
          ▼ ─────────── 客户端 ───────────
     Succeeded→返回设备响应串 | RejectedStaleLease→抛 LEASE_STALE
     ConfigMismatch→抛异常 | Unknown(超时/片段中异常)→TimeoutException 禁止假定未执行(INV-06)

7.2 接收（总线帧 → 面板显示）

总线广播 → 宿主内 node(CAN-003) 收帧 → RxCount++，帧入 _recvBuffer + 节点邮箱
客户端面板 DispatcherTimer(100ms) 每 10 tick（≈1s）：
   DrainBrokerMailbox → RPC QUERY "RECV_ALL"（只读，无需租约）
     → 解析 "RECV_ALL:n:id:data[:ts]|…" → AddReceivedFrame(RX, 来源=BUS@broker)
     RPC 失败（宿主不可达等）静默跳过，下一秒重试，不弹错误
（Local 直驱设备无需轮询：DriverFrameReceived 事件即时显示）
对端模拟：真实硬件同一总线天然互通；模拟器场景用同宿主的 CAN-004 作对端验证。

• owner↔clientInstanceId 弱对齐：同机 arb.db 栅栏只做存在性/相位检查，未校验申请者身份与请求连接一一对应（待签名凭据/epoch token）。
• 模拟器跨进程总线：CanSimulator 进程内实例互不相通，跨进程收发仅同宿主设备间可达；真实硬件无此限制。
• 推迟能力：Draining 自动让渡、周期任务/订阅/ResultOutbox、父设备 Permit 多通道仲裁、Prepare/Activate 两段式跨域预留、发布预览差异。
• UI 待办：App.Success/App.Warn 标题未本地化；退出维护后设备选择器被重置；临时诊断日志（brokerrx_diag.log）待验证通过后撤除；RecoveryRequired 尚无人工审批 UI（当前由启动对账代偿）。
• BrokerId/OwnerProcessId 语义：OwnerProcessId 为 MVP 占位（当前进程 PID），Broker 常驻进程应为其宿主 PID 且随宿主重启更新——不入哈希的设计已预留。

本文档与代码实况同步于 2026-11-09；实现变更请同步更新本文件。