> 当前交付v0.38：板端固件EVT0.13 / PCB EVT0.20 / 柜内CAB0.35 / DFM0.1。当前DFM已由开发方确定并落实；原生CAD与v0.37字节相同。客户端已修正无效测量解码，14项互通及37项Python测试通过；这些是主机验证，实板/柜内/热/EMC/水力未验收，未采购或制造。历史段落按其标注版本解释。

> 以下保留相应历史版本的过程及证据；旧版数字和C41单电容风险不等同于当前EVT0.18结果。当前连接与滤波边界见docs/series-filter-review-v29.md。

# 柜内接线基线 · 24VDC 执行

电机主回路是两条独立并联支路，不是正反转。L1/L2/L3→总开关→各GV2L08磁保护→各LC1D09BL主触点→各LRD08→各泵U/V/W，泵按380–415V星形接线。PE接金属柜门、底板、泵壳和管路要求的等电位点。N仅用于220–240VAC控制电源支路，不经PCB。供电短路容量、主开关/分支/线缆协调须由柜厂核对。

220–240VAC控制支路经A9F74206（2P C6）和ICL-16R限涌器给HDR-100-24供电；AC柜内导线至少1.5mm²候选，最终按工厂校核。主隔离采用ABB OT25F4N2四极，门手柄OHY45J6、6mm轴OXP6X170，PE不经隔离开关。ICL输入L/N和输出L/N按原厂图，禁止两相380V供电。完整柜反复上电保守间隔≥5min，台架EEPROM掉电试验只切板卡24V支路，避免循环限涌器。

HDR-100-24输出分三个1441495电子保护候选支路：板卡+传感器、执行回路、报警回路。板卡J1直接接始终有电的24V支路和0V，不从泵允许链取电。

执行许可链：FCTRL_E.OUT/EXEC24→急停XB5AS8444第一NC→RM17TG20“相序/缺相健康时闭合”第一接点→PHASE_CHAIN_FIELD节点→MAC3低液位健康接点→XMLB010A2S11“未超压时闭合”接点→SAFE24。

- SAFE24→OL1的95–96（未跳闸时闭合）→OL1_HEALTH24→J7.1/K1_COM；J7.2/K1_NO→KM2的21–22常闭互锁→KM1.A1；KM1.A2→0V。
- SAFE24→OL2的95–96→OL2_HEALTH24→J8.1/K2_COM；J8.2/K2_NO→KM1的21–22常闭互锁→KM2.A1；KM2.A2→0V。
- 将 OL1_HEALTH24/OL2_HEALTH24 同时分别送J6.2/J6.3。这些点在PCB命令关闭时仍是有电健康，避免把停机误当成过载。共享上游保护断开时也会掉电，核心先按许可/缺水/高压处理。
- 24V板卡支路→KM1辅助NO13–14→J5.4；24V板卡支路→KM2辅助NO13–14→J6.1。两个NO只用于独立吸合反馈，不能短接到控制输出。
- J5.1许可：BOARD24→急停第二NC→相序健康第二组接点→FCTRL_B.13–14→FCTRL_E.13–14→FCTRL_A.13–14→J5.1；J5.2源水：源水健康接点下游；J5.3压力：高压健康接点下游；J6.4运行允许：独立24V控制支路经RUN_ENABLE常开开关，J5.5/J6.5→0V。若取自串联链中间，DI可能同时掉电，此为预期；每项保护需单独断开实测。

EVT0.18：J5.1板上R89→R90→R91（各750Ω）串联至0V，总2250Ω，仅给独立相序健康第二接点/急停第二NC增加采样负载，不接入SAFE24执行链。保留原LED串联2×1.5kΩ；单只内部短路仍有两只限流，外部导线/共同原因跨接仍需保护清除。见docs/permit-series-review-v32.md。

EVT0.19新增支路：PHASE_CHAIN_FIELD节点→J13.1→板上F4（SCHURTER3413.0006.22，125mA63VDC FF）→R92→R93→R94（各YAGEO RC2010FK-07680RL，680Ω）→公共0V；J13.2接同一控制0V。这个节点位于第一相序接点之后、MAC3之前。必须从受FCTRL_E电子保护的24V分支取电，不接板卡始终有电的24V，也不从SAFE24/OL健康点取电。J13只是负载端子，不提供新的健康GPIO，也不承载电机主回路。

新负载在源水/高压/过载断开时仍给第一相序接点提供电流，不得把任何负载导线接成跨接MAC3/XMLB/LRD或急停的旁路线。第一和第二接点使用各自独立支路，不能把2250Ω第二组负载计到第一组。F4只保护F4下游板上负载，J13前的导线/端子短路仍依赖FCTRL_E电子保护；完整分断与清除配合没有通过实测。任一负载电阻或F4开路会失去新增负载且不自动报警；维护需在源水接点断开的低压台架条件下单独量第一接点电流。禁止用实际运行泵组制造故障。

新负载10mA目标仅在23～25.5V执行源、总压降≤1V、声明阻值温漂模型、F4正常导通条件下覆盖；18V板卡组件试验不满足该目标。30V只用于隔离限能的负载组件台架，不允许扩大接触器执行电源范围。详见docs/phase-first-review-v33.md。

上面的单接点串联许可链不等于经认证的功能安全系统，不能声明SIL/PL。如设备风险评估要求冗余急停/防焊死回路，应增加合适的安全继电器、双主接触器和反馈检测并重新设计；原理图中的按钮STOP是运行停止，不能替代柜门急停。

接触器线圈为24V DC，LC1D09BL低功耗2.4W且带内置抑制，具体到货版本/极性按供货数据核对，A1正、A2负。续流器件会影响释放时间，必须实际测辅助接点断开在2s容限内，并证明互锁链没有绕过。

压力A-10二线：J3.1→U+、传感器U-→J3.2；J3.3不接二线传感器。液位LH-10同理J4.1/J4.2，通气电缆防潮终端固定在干燥柜内，不堵通气孔。若三线型号或独立外电源不得直接按此二线图接。

报警：有电正常时K3吸合，J9.1/COM到J9.3/NC断开；故障/板卡断电时闭合。24V报警支路→J9.1→J9.3→XB5KSB及红灯→0V。同一24V电源全失电时蜂鸣器不会响；需检测全柜失电，应将同一干接点另接由独立电源供电的BMS/PLC输入。J9.2/NO可给健康指示。J10备用不接执行器。

水路：源水箱（泵入口低于最低水位）→隔离阀/过滤器→分两支→各入口隔离阀→各泵→各止回阀→各出口隔离阀→共用压力总管→压力罐/压力传感器/压力表/高压开关/安全泄压支管→负载。安全阀与受保护容积间不能装可关隔离阀；泄放管排到可观察的安全回水/排水点。止回阀保证一台停机时不被另一台倒灌。

所有回路先用低压台架验证，不带电机测试PCB。电机主电源作业由具备资质的柜厂完成，不能把原生PCB图纸作为成套柜认证。

RUN_ENABLE为操作许可，撤销后由控制软件停机；它不串入OL健康采样电源。急停、缺水、机械超压和过载仍直接切断执行电源。日常关闭运行许可不能产生两泵过载假信号。

## 柜门按钮连接

24V板卡支路分别经AUTO XB5AA31的NO→J12.1；STOP XB5AA42的NC→J12.2；RESET XB5AA61的NO→J12.3；MAN1、MAN2各XB5AA21的NO→J12.4、J12.5；J12.6→控制0V。每个按钮贴永久中文/英文功能标签。STOP正常未按下必须给J12.2提供24V，否则所有启用命令会被停止覆盖。

按钮线路不能给GPIO/SWD端子接24V。初始台架操作也需建立J12.2健康24V回路；不要用软件跳过停止输入。拔掉J12.2导线应停机且撤销启用，复接后仍保持未启用；再按AUTO才允许工作。保持停止时远程AUTO/MAN命令必须不能启动。物理动作与最大停止延迟需台架实测，主机逻辑测试不替代。

## EVT0.11 继电器更新

K1..K4改为G5Q-14 DC5；1/5线圈、2COM、3NO、4NC。J7–J10外部针号保持原定义，5V B140不接24V支路。HDR-100-24设24.0V；冷态电流须≤0.25A/路。18–30V板卡试验不扩展执行范围；感性寿命与实际反馈释放待测。 详细依据与待执行记录见docs/relay-output-review-v15.md及relay-bench-record-v15.csv（从包根目录进入）。

柜门STOP的PA9与本地PC14独立；当前C41/C51串联滤波抑制理想单电容短路导致的接地掩盖，但两只同时短路、焊桥、实际漏电/EMC和停止时间仍待验证。此运行停止输入没有获得完整单故障安全资格，详见docs/series-filter-review-v29.md。独立急停/许可链仍按本图直接切线圈，完整台架和风险评审尚未执行。

LC1D09BL执行供电候选窗口23.0～25.5V；HDR设24.0V，记录全保护链导通时A1/A2实测电压，在柜内线圈周围≤60°C时不得低于19.2V厂家吸合下限。窗口和温升未获实测资格；不要用30V板卡试验替代执行链试验。当前专项见docs/system-selection-review-v30.md及system-bench-v30.csv。

## CAB0.34外部保护接线（历史；13–14留空已被CAB0.35替代）

HDR输出+24V母排分别用独立1.0mm²导线进入三只IN+；每只IN-单独接控制0V母排，仅给模块内部供电。每只OUT分别建立BOARD24、EXEC24、ALARM24。所有板卡、传感器、线圈和报警负载的负极直接回控制0V母排，不经任一保护器IN-端子串联回流。模块端剥线8mm、匹配管型端头；下游端子按各自规格处理，不统一套用8mm。每路导线、端子和标签均见external-protection-wires-v34.csv；不使用未经确认的桥接条。

EXEC24位于原急停/相序/低水位/高压/过载/继电器/互锁链上游；J13仍取第一相序接点后、MAC3前。第二相序健康接点独立采样仍用板卡支路。电子保护器不代替急停、主隔离或电机热保护，不增加任何旁路。13–14远传NO各自绝缘留空，没有接到控制器，没有新增故障类型或远程复位。保护器本地灯显示其状态；现有控制器只能记录已实现的输入/反馈故障，不能保证识别具体保护器跳闸。报警支路自身失效或总电源失效时蜂鸣器不响。


保留独立硬接点保护。开柜处理前隔离泵动力，撤销RUN_ENABLE并按STOP，确认两路输出和反馈都关闭；保持停止、检查故障及线路，按精确型号说明书确认实际档位并进行本地恢复。5s仅作为厂家冷却描述，不写自动重试指令；该NO型号不接SI-R远程复位端。应实测断电/欠压/手动关闭/跳闸后重启行为。

恢复支路后读回状态，必要时RESET清除已锁故障，RESET不得启用；观察仍未启用、两输出/反馈均关闭，解除停止后须人工AUTO/MAN且等待完整停止间隔。现有源码control.c对采到双过载健康掉电且已启用的情形锁定F_START并撤销armed；未采到短暂掉电、保护器复位行为和真实输入延时没有台架证据，不能据源码证明所有电源瞬态均无自动恢复。专门的复位、瞬态及停止波形项见台架CSV。


## CAB0.35当前接线

BOARD24→急停第二NC→RM17健康第二接点→FCTRL_B.13–14→FCTRL_E.13–14→FCTRL_A.13–14→J5.1。J5.5/J6.5及板卡回流接控制0V。每只IN-只用于模块自身供电，负载仍直接回0V母排。13–14属于无源故障信号接点，只承载现有J5.1的2250Ω串联负载与光耦输入，不能接电机/线圈，不从保护器OUT跨接这些接点，也不把三组接点并联。具体导线18行见external-protection-wires-v35.csv。保护器端用1.0mm²铜线、温度等级≥75°C和匹配端头，按各端子剥线规格。

第一急停/相序/缺水/机械高压/过载/继电器/互锁执行链保持；J13仍取第一相序接点后、MAC3前。新增NO串联只加强运行许可诊断，不是认证安全冗余。第二相序接点保留独立负载；三只保护器的信号接点同样承载其电流。接点粘连或被跨接可以掩盖故障，不能声明单故障安全或安全等级。板卡支路完全断电时依靠既有上电未启用行为；不能声称无供电的MCU记录了故障。

故障遥信断开而板卡仍工作的条件下，现有permit输入变为不健康；若此前无锁定故障，control.c锁定F_ESTOP并清armed、manual、demand及两输出。若已有故障，则保留首故障且保持停机。报警沿用K3；在板卡有电且存储健康时，状态变化沿用既有事件记录，故障名是“急停/许可链断开”，无法区分哪一路支路跳闸；通过三个本地灯定位。若报警支路自身故障，蜂鸣器无电，但控制状态仍可供有电通信读取；若板卡或整柜失电则同电源通信/蜂鸣均不可用。没有新增独立事件编号、专用DI、远程复位或UPS。


当前设置及恢复见docs/external-protection-review-v35.md，柜内接线以external-protection-wires-v35.csv为准。v34留空端子要求不适用当前版。