key.c

源文件路径：hmi/key.c 所属模块：hmi（人机界面） 代码行数：8986

1. 文件职责

本文件是 EMS 人机界面的按键事件处理核心：它把硬件按键层（hardware/button/button.c 的 GetKey()）读出的键值，翻译成对全局界面状态块 LCD_RTDB 的读写，进而驱动 77 个 ui_*.c 界面文件重绘，并在用户确认/退出时把设置项写入 g_t_logic_info、g_t_inv_info、g_t_meter、IP_Address 等配置结构，最终通过 save_job_post() 投递掉电续传存储任务。

它处在数据流的输入 → 配置 → 落盘环节：上游是按键扫描（KeyPro() 写键值 FIFO，Key_Handle() 取键值），下游是 ui_*.c（读 LCD_RTDB 显示）与各设备中间件（inverter_*、meter_*、bms_*）。

文件由 uCOS-II 任务 task_hmi_parse（user/main.c:310 创建，优先级 TASK_HMI_PRIO = 21，栈 512 word）驱动，任务体内以 10 ms 周期调用 KeyPro() → Key_Handle() → Last_ID_Legal_Handle() → Lcd_Handler()（hmi/key.c:8960-8964）。

除按键外，本文件还兼管 LCD 背光 30 s 自动熄灭（Backlight_Handle/Backlight_Reload）、亚克力灯板/双色灯板 LED 的手动强制点灯（g_t_ate_ctrol.u8_set_sys_led_flag 置位时的测试通路）、以及身份有效期超时自动降级（Last_ID_Legal_Handle）。

2. 关键数据结构与宏

3. 函数清单

4. 核心逻辑解析

4.1 菜单状态机总体模型

本文件没有显式写的状态变量表，状态机就是三级光标 + 一个窗口枚举：

• LCD_RTDB.ui.bCurrWindow（ui_page）：当前界面，唯一的"状态"；
• LCD_RTDB.ui.bCurrCursor：界面内的行/条目索引（父菜单项，也用作设置页的行号）；
• LCD_RTDB.ui.bCurrSubCursor：行内正在编辑的"位/列"（0 表示该行未进入编辑态）。

迁移规则统一为：

1. 进入下一层：Key_Handle_Enter 根据 bCurrCursor 把 bCurrWindow 改成子窗口，并把 bCurrCursor 复位为 0（例如 hmi/key.c:6583-6640 的 mWindowMenu → mWindowStatus/mWindowHistory/mWindowSettings*/mWindowAbout）。
2. 返回上一层：Key_Handle_Cancel 把 bCurrWindow 改回父窗口，并把 bCurrCursor 设为父菜单中该项的下标，实现"回到原位置"。例如 mWindowStatusGrid → mWindowStatus 且 bCurrCursor=0（hmi/key.c:234-237），而 mWindowStatusSolar → bCurrCursor=1（:239-242）。
3. 进入/退出编辑态：设置页里 Enter 让 bCurrSubCursor 在 0…N 之间循环（0 = 不编辑，N 按该行被拆成几"位"决定），Up/Down 在 bCurrSubCursor != 0 时改数值、在 bCurrSubCursor == 0 时移动 bCurrCursor。这个二态分流遍布全文件，如 hmi/key.c:3188-3389（工作时间页）。

mWindowMain 是所有窗口的根：在 Key_Handle_Cancel 里按返回键只做两件事——若逆变器过载标志为真则清故障（hmi/key.c:212-222），不改变窗口。

4.2 按键分发与输入映射

Key_Handle（hmi/key.c:8762）是唯一入口：

1. Key_Code = GetKey()（:8766）从 button.c 的 10 字节键值 FIFO 取一次事件；
2. 键值为 0（KEY_NONE）则 LCD_RTDB.wLcdJumpMainCnt++，否则清零（:8768-8775）。该计数器被 hmi/ui/ui_control_exception.c:98 用 >= 900 判定"长时间无操作"从而强制弹回主界面；
3. switch (Key_Code) 映射（:8777）：

1. 收尾：LCD_RTDB.Admin_Debug == 0 时才执行 Backlight_Handle()（:8829-8832）——进入调试页时禁止背光超时熄灭，方便现场长时间观察。

4.3 数值编辑算法

n_power(u8 num, u8 n)（hmi/key.c:135）：朴素循环累乘，result = 1 起算，n 为 0 时返回 1。用于把"编辑第几位"换算成位权 1/10/100/1000。

Button_Handle(u32 *data, u8 bit_index, u8 flag, u32 max, u32 min)（hmi/key.c:158）：

temp = n_power(10, bit_index);          // 位权
flag == PLUS(0):
    if (*data <= max - temp)  *data += temp;
    else if (*data <  max)    *data  = max;
    else if (*data == max)    *data  = min;      // 满量程回绕到下限
flag == SUB(1):
    if (*data >= min + temp)  *data -= temp;
    else if (*data >  min)    *data  = min;
    else if (*data == min)    *data  = max;      // 下限回绕到上限
    else if (*data == min-1)  *data  = max;      // 防御性分支

调用方统一用 bit_index = 位总数 - bCurrSubCursor（例如电压点 4 位、电压时间 5 位，见 hmi/key.c:1919-1921、:1989-1991）。

Button_ChangeEthernetSettingLiteral(u8 *Number, u8 AddSubFlag)（hmi/key.c:1624）：把 IP 的一个十进制段（0…255）按 bCurrSubCursor % 3 分成三个编辑位——余 1 编辑百位、余 2 编辑十位、余 0 编辑个位，每一位独立按 100/10/1 步进并自行回绕，例如百位：temp <= 155 → +100；155 < temp < 200 → 255；temp >= 200 → temp -= 200（:1631-1645）。减方向对称实现（:1683-1722）。此函数绕过了 Button_Handle，因为 IP 段的回绕规则不是简单的上下限。

4.4 取消键（返回键）：回退 + 落盘

Key_Handle_Cancel（hmi/key.c:206）是"改就标记、退出才落盘"策略的主要执行者：绝大多数设置页只在返回键里真正写逆变器/中间件并清标志。Key_Handle_Enter 也承担落盘，但只在下级界面切换处（例如语言 :8567、并网功率限制 :7851-:7875、AC 并机 :8195-:8198），因为这几页没有"编辑态"概念。它的每个分支模式一致：

if (bCurrSubCursor == 0)              // 不在编辑态 → 退出本页
{
    if (bSettingSaveFlag == 1)        // 本次编辑真的改过值
    {
        if (xxx_flag == 1) { 调用逆变器/中间件写入; xxx_flag = 0; }
        ...
        bSettingSaveFlag = 0;
    }
    bCurrWindow = <父窗口>; bCurrCursor = <父项下标>; bCurrSubCursor = 0;
}
else bCurrSubCursor = 0;              // 在编辑态 → 只退出编辑态，不落盘

典型落盘动作（行号来自真实搜索）：

4.5 身份与密码状态机

身份有效期（Last_ID_Legal_Handle，hmi/key.c:76）：

admin / installer : OSTimeGet() - time_setting_into_last > 3600000 → id_none   (1 h, OS_TICKS_PER_SEC = 1000)
user              : OSTimeGet() - time_setting_into_last > 1800000 → id_none   (30 min)

调用点在任务主循环 hmi/key.c:8962，即每 10 ms 检查一次。

进入设置页的免密通道（Key_Handle_Enter 的 mWindowMenu case 2，hmi/key.c:6596-6630）：若 is_last_id_legal() 非 0（id_none == 0，所以可直接当布尔用），则 identity = g_t_ui_login.id_setting_into_last 并按身份直接跳 mWindowSettingsAdmin / mWindowSettingsInstaller / mWindowSettingsUser；否则 identity = id_none 跳 mWindowPassword。

密码输入状态机（hmi/key.c:6720-6862）：

• mWindowPassword 下 Enter：bCurrSubCursor == 0 → 进第 1 位（置 1）；1 ≤ bCurrSubCursor < 4 → 校验"管理员高 4 位是否中途出错"后 bCurrSubCursor++；bCurrSubCursor == 4（4 位已满）→ 做一次完整判定。
• Up/Down 只对第 bCurrSubCursor-1 位做 0↔9 循环（hmi/key.c:1795-1807、:4172-4184），第 0 位（光标位）不参与数值编辑。
• 判定矩阵（admin_password_half_right 位域 + 掩码 0x07）：

• 成功登录后一律 set_ui_login_info(identity) 刷新有效期，再把 4 位密码缓冲清零（多处，如 :6743、:6778、:6831、:6845）。
• Key_Handle_Cancel 在 mWindowPassword 下：bCurrSubCursor >= 1 只做退格；退到 0 再按则清空 4 位、清 admin_password_half_right、回主菜单 bCurrCursor = 2（hmi/key.c:299-316）。

身份退出：mWindowSettingsUser / mWindowSettingsAdmin / mWindowSettingsInstaller 按返回键时，若 is_last_id_legal() 为真 → 进 mWindowSettingsExit；否则直接回主菜单并把 bCurrCursor 恢复到"设置"项（hmi/key.c:338-351、:1468-1481、:1592-1605）。mWindowSettingsExit 页面有 bCurrSubCursor == 1 的开关项（Up/Down 翻转 LCD_RTDB.Setting_Exit_Flag，:1812），若退出时该标志为 1，则同时把 g_t_ui_login.id_setting_into_last = id_none（:321-:326），实现"退出并注销身份"。

4.6 栅格保护（安规）参数写入通路

这是界面里唯一"编辑 → 逆变器寄存器 → E2"三段式均完整的分支，也是权限差异最明显的地方：

• admin（hmi/key.c:1909-2082、:2201-2452）：可编辑全部 16 个电压项（含 10 min 过压点）与 14 个频率项（含恢复点），光标范围由 Key_Handle_Down 的 bCurrCursor < 10 限定（:4292-:4296）。
• installer（hmi/key.c:2083-…、:7353-…）：只能编辑一部分；在电压页改"一阶过压点"时会把二阶、三阶过压点一起置变更标志（:2090-:2092），即三联同步下发。
• user：mWindowSettingsUserFuncGrid 只暴露功率限制与一键强充两页（hmi/key.c:7151-7176）。

编辑时的通用约定：每次改值都置 bSettingSaveFlag = 1，并置该参数的独立 *_flag；只有在 Key_Handle_Cancel 里 bSettingSaveFlag == 1 时才真正调用 inverter_set_* 并清标志，然后清 bSettingSaveFlag（例如 :412-490）。这就是"改就标记、退出才下发"的双缓冲策略。

例外：mWindowSettingsUserPowerLimit 与 mWindowSettingsUserForceCharge 是边改边下发，Up/Down 里直接写 g_t_logic_info 并立即 save_job_post(LOGIC_CONFIG_PAGE)（hmi/key.c:3088-3098、:5534-:5544），同时调用 Set_Setup_Config_Status(FALSE) / Set_Setup_Config_Extend1_Status(FALSE) 通知云端"本地设置已变更"（:3101-3102、:5547-:5548）。

4.7 时间、日期、网络、语言

日期编辑（Key_Handle_Up mWindowSettingsUserSysDateTime，hmi/key.c:3708-3885）是文件里唯一带历法运算的算法：

• 年 +1：先判闰年 bYears % 4 == 0 且 bMonths == 2 且 bDays == 29 → 先把日改为 28 再 bYears++（:3716-3727）；bYears > 98 回绕 0。
• 月 +1：switch (bMonths) 分四组处理——12→1；2/4/6/7/9/11 直接 +1；1→2 时按闰年把 bDays 夹到 29 或 28；3/5/8/10→+1 时若 bDays == 31 夹到 30（:3731-3781）。
• 日 +1：按月份分 31 天组（<=30 → +1，否则 1）、2 月（闰年 <=28，平年 <=27）、30 天组（<=29 → +1）（:3783-3848）。
• 时/分 +1：bHours <= 22 则 +1，否则 0；bMinutes <= 58 则 +1，否则 0（:3854-3875）。

注意这里用的是"闰年 = 能被 4 整除"的简化规则（:3718、:3748、:3806），没有处理 2100 这类世纪年，但对 0…99 的两位年表示是无害的。

Down 方向在 hmi/key.c:6205 起做了对称实现。落盘只在 Key_Handle_Cancel 里 Set_RTC(&LCD_RTDB.LCD_DATETIME)（:1355）。

以太网：Enter 时把 IP_Address.wIpAddressX/wSubNetMaskX/wGateWayX 拷进 LCD_RTDB.bIpAddress/bSubnetMask/bDefaultGateway（hmi/key.c:8429-8442），并把 6 字节 MAC 拆成 12 个十六进制字符（:8444-8461）。Up/Down 用 Button_ChangeEthernetSettingLiteral(&LCD_RTDB.bIpAddress[(bCurrSubCursor-1)/3], 0/1) 编辑（:3900、:3914）。落盘见 4.4 表。

语言：mWindowSettingsUserSysLanguage 的 bCurrCursor（0/1）就是 u8_language，Enter 时 LCD_RTDB.u8_language = bCurrCursor; save_job_post(SYSTEM_BASE_PARA_PAGE);（hmi/key.c:8567-8570）。

4.8 系统级动作

4.9 背光与指示灯

• 点亮：任一 KEY_DOWN_* 事件后 open_lcd_backlight() + s_u8_backlight_sts = 1 + Backlight_Reload()（hmi/key.c:8781-8804）。
• 熄灭：Backlight_Handle() 中 s_u8_backlight_sts == 1 && OSTimeGet() - T_Turn_On_s > 30000（30 s，tick=1 ms）→ 关背光并清状态（:8736-8741）。
• 禁止熄灭：LCD_RTDB.Admin_Debug != 0 时整个 Backlight_Handle() 被跳过（:8829）。
• LED：task_hmi_parse 在 g_t_ate_ctrol.u8_set_sys_led_flag == TRUE 时进入"手动点灯"分支，遍历 id = 0…LED_NUM-1，用 led_get_bit_state(id) 读云端/ATE 下发的位，用 led_hw_control(id, on) 驱动 gpio，然后 continue 跳过整轮 LCD 逻辑（:8917-:8925）。这是产线自动测试态。

4.10 任务调度与 uCOS-II 配合

task_hmi_parse（hmi/key.c:8888）：

1. 一次性初始化：inverter_read_display_type() 读机型决定显示类型（:8894）→ led_display_test() → 若为 DISPLAY_LCD_CHARACTER_E 则 Lcd_Init()、Button_Init()，每步之间 IWDG_Feed() 喂狗（:8898-:8904）；把 g_t_system_base_info.u16_user_password、u8_language、IP_Address.IPmethod 载入 LCD_RTDB（:8911-:8913）。
2. 主循环（for(;;)，：8915）：
   • 若 u8_set_sys_led_flag == TRUE：手动点灯 + OSTimeDlyHMSM(0,0,0,100) + continue；
   • 若显示类型变热插拔（inverter_read_display_type() 返回值变化）：重新 Lcd_Init()/Button_Init()（:8927-:8944）；
   • 每 1000*60*10 tick（10 min）调一次 Lcd_Init() 做显示自恢复（:8946-:8951）；
   • led_display(l_u8_display_config)（:8953）；
   • 编译期过滤（INVERTER_TYPE != GINLONG/GOODWE/KELONG/INVERTER_NULL，:8956-8957）通过且为 LCD 字符屏时，依次执行 KeyPro(); Key_Handle(); Last_ID_Legal_Handle(); Lcd_Handler(); 后 OSTimeDlyHMSM(0,0,0,10)（10 ms）；否则 OSTimeDlyHMSM(0,0,0,100)（100 ms）。
3. 本文件没有建立/等待任何信号量、消息邮箱或事件；与其它任务的耦合全部通过共享全局（LCD_RTDB、g_t_logic_info、IP_Address、g_t_ate_ctrol）和 save_job_post() 的存储任务消息实现。唯一的任务级同步是 OSTimeDlyHMSM 主动让出 CPU，以及 Key_Handle_Cancel 里重置前的 OSTimeDlyHMSM(0,0,5,0)（:1315、:8543）。

4.11 界面层级与父菜单归属（界面文件必须项）

菜单树由 Key_Handle_Enter 的 bCurrCursor → 子窗口 映射唯一确定：

mWindowMain ──Enter──▶ mWindowMenu                    (key.c:6578)
mWindowMenu (bCurrCursor 0..3)
 ├─0─▶ mWindowStatus                                  (6586)
 │      ├─0─▶ mWindowStatusGrid    ├─1─▶ mWindowStatusSolar
 │      ├─2─▶ mWindowStatusBattery ├─3─▶ mWindowStatusUPS   ├─4─▶ mWindowStatusComm   (6642-6673)
 ├─1─▶ mWindowHistory                                 (6591)
 │      ├─0..5─▶ History*           ├─6─▶ Button_Get_ErrorLogInfo() + mWindowHistoryErrorLog  (6675-6718)
 ├─2─▶ [is_last_id_legal ? 按身份直达 Settings{Admin|Installer|User} : mWindowPassword]  (6596-6630)
 └─3─▶ mWindowAbout                                   (6632)

mWindowPassword ─成功─▶ SettingsUser / SettingsInstaller / SettingsAdmin   (6720-6862)
mWindowSettingsUser  (bCurrCursor 0..2) ─▶ UserFunc / UserSys / MachineReset           (6868-6888)
mWindowSettingsAdmin (bCurrCursor 0..8) ─▶ UserFunc / AdminSafety / UserSys / AdminDebug /
                                         ResetEnergy / ResetMeter / FactoryReset /
                                         FactoryMode / MachineReset                    (8572-8633)
mWindowSettingsInstaller (0..3)       ─▶ UserFunc / AdminSafety / UserSys / MachineReset (8695-8720)
mWindowSettingsUserFunc (bCurrCursor 0..9; id_user 只能进 0)
  └─▶ Connection / Battery / UserFuncGrid / UPSsystem / WorkModeSelect / Backupbox /
      CTRate / ParallelOption / GridForming / Generator                              (6890-7012)
mWindowSettingsUserFuncGrid ─▶ GridExport / GridVolLimit / GridFreqLimit / GridProtectThold /
      GridProtectEnable / GridPQRespMode / GridDRMs / PowerLimit / ForceCharge /
      {PowFac|GridPQRespModeVolt...}                                                   (7150-7351)
mWindowSettingsUserFuncGenerator ─▶ Controllers / Enable / GCATS / Mode / RateOutput  (7035-7091)

返回路径（Key_Handle_Cancel）与上表逐条对称，并负责把父菜单的 bCurrCursor 复位到对应下标（例：mWindowSettingsUserFuncGeneratorRateOutput → mWindowSettingsUserFuncGenerator 且 bCurrCursor = 4，hmi/key.c:1135-1137）。

4.12 每行/每项的显示内容与取值来源

界面的绘制在 hmi/ui/ui_*.c 与 hmi/lcd.c（Lcd_Handler() 在 hmi/lcd.c:36，靠 bCurrWindow 变化触发整屏重绘，靠 bClearMainBody 触发局部清屏），本文件只负责填值与改值。LCD_RTDB 就是两者之间的契约。典型取值来源：

4.13 写入配置时的落盘与校验动作

分三类：

1. 逆变器参数类（栅格保护、安规、并机、N 线继电器）：Key_Handle_Cancel 中按 *_flag 逐个调用 inverter_set_*，bSettingSaveFlag 归零表示"已提交"；安规额外走 save_job_post(INVERTER_CONFIG_PAGE)（:1489）。
2. EMS 配置类：写 g_t_logic_info.t_config_data.* 后调 save_job_post(LOGIC_CONFIG_PAGE)，出现在工作时间页（:1205）、并机/油机（:8269-:8413）、系统模式（:7959）、开机密码外的语言（SYSTEM_BASE_PARA_PAGE）。
3. 运行期参数类（不做持久化）：g_t_logic_info.Force_Charge_user、g_t_logic_info.u16_user_charge_cut_soc、g_t_inv_info.t_safty_info 下的 GFCI 使能位——见风险点。

校验基本都是"进入界面时夹取 + 编辑时钳位"两层：Button_Handle 的上下限来自 key.h 的一组 *_MAX/MIN 宏；进入界面时再做一次范围/枚举合法性检查（如 :6905-6912、:6984-:6992、:7300-:7325）。没有集中式的"参数组合合法性"校验函数（IsBackupBoxParametersLegal() 在 :1241-:1244 被注释掉了）。

5. 对外接口

本文件导出（供其他模块调用）

extern struct RTC_DateTime SYSTEM_DATETIME; 虽写在 hmi/key.h:229，但本文件并未使用该变量（实际用的是 LCD_RTDB.LCD_DATETIME 与 Set_RTC()）。

本文件调用的外部函数/变量

6. 依赖关系

依赖（本文件 include 或使用）

• 直接 #include（hmi/key.c:13-30）：<includes.h>（uCOS-II 统一头）、<math.h>、ems.h、data.h、system_config.h、inverter.h、logic.h、key.h、lcd.h、ht1621.h、meter.h、bms.h、button.h、led.h、gpio.h、iwdg.h、generator.h、modbus.h。
• 关键全局：LCD_RTDB、g_t_logic_info、g_t_inv_info、g_t_meter、g_t_system_base_info、g_t_ate_ctrol、g_stNetSysInfo、IP_Address、error_log。
• 关键宏/常量来自 data/system_config/system_config.h（存储页号）与 midware/inverter/inverter.h（Safety_Max、VDE0126_50HZ、AS4777_2、TOR_ERZEUGER、ALPHAESS_TYPE、INOVANCE_TYPE）、logic/logic.h（UPS_RESERVE_SOC_MAX/MIN、GC_CHARGE）。

被依赖（哪些文件会用到它）

• user/main.c:310 创建 task_hmi_parse 任务（唯一强依赖）。
• hmi/lcd.c：Lcd_Handler() 读 LCD_RTDB.ui.bCurrWindow 决定画哪个界面。
• hmi/ui/ui_main.c、hmi/ui/ui_control_exception.c：读 LCD_RTDB.ui.bCurrWindow、wLcdJumpMainCnt；后者在长时间无操作时 Lcd_Reset_LCD_RTDB() 强制回主界面并从 mWindowMain 重画。
• 全部 77 个 hmi/ui/ui_*.c：以 LCD_RTDB 为数据契约显示，其中带输入项的页面（如 ui_setting_user_sys_ethernet.c、ui_setting_user_func_grid_voltage.c）依赖本文件维护的 bCurrCursor/bCurrSubCursor 来高亮当前编辑位。
• hmi/key.c 导出的 Backlight_Reload() 原型被放在 hmi/lcd.h:430 而不是 hmi/key.h，形成跨头文件的错位声明（见风险点）。

7. 备注与风险点

1. GFCI 阈值写错映射（明确的复制粘贴 bug）：hmi/key.c:610-624 里 60 mA / 150 mA / 300 mA 三个标志对应的写入全部传 LCD_RTDB.u16_gfci_30mA_pro_threshold，而不是各自的 u16_gfci_60mA/150mA/300mA_pro_threshold。界面能独立编辑 4 个值（:4868-:4907），但退出时后三个都拿 30 mA 的值下发。
2. 油机 TOU 时间编辑的位权不一致：Up 用 Button_Handle(..., 2 - bCurrSubCursor, PLUS, GENERATOR_TIME_LIMIT_MAX(24), 0)（:3650、:3656），Down 用 3 - bCurrSubCursor（:6147、:6153）。当 bCurrSubCursor == 1 时 Down 的位权为 100，远大于上限 24，Button_Handle 会走到 *data > min 分支把值直接压到 0，表现为"小时/起止时间按一下减号就归零"。
3. Button_Handle 的无符号下溢：max - temp 与 min + temp 都在 u32 域内运算（:166、:181）。一旦某个调用点传入 temp > max，条件恒真并执行 *data += temp，直接冲出上限。当前调用点的 bit_index 都由 常量 - bCurrSubCursor 生成且已保证 temp < max，但该函数本身没有任何防御，属于隐式契约。
4. 多个界面的写路径被整段注释掉，成了"能改不能存"的空壳：
   • 功率因数页 mWindowSettingsUserGridPQRespModePowFac：Enter 里对 g_t_inv_info.t_config_data.PF_mode/PF_Value/Q_Value/... 的装载全部注释（:7271-:7281），Cancel 里也只清 *_flag（:831-:846），没有任何逆变器写入。
   • PQ 电压/PQ 曲线页：LCD_RTDB.Pu_*、Qu_*、Prate_* 的装载与回写全部注释（:698-:756、:867-:899）。
   • AS4777 持续运行页：4 个频率点只有 *_flag 置位/清零，没有 inverter_set_* 或 g_t_inv_info 赋值（:649-:686、:7662-:7671）。
   • DRM 页：g_u16_drms_q_set_point 的赋值被注释（:904、:7256）。
   • 备份盒参数合法性校验 IsBackupBoxParametersLegal() 被注释（:1241-:1244）。

这意味着这些页面上的 *_flag/bSettingSaveFlag 会空转，用户以为保存成功。

1. GFCI 使能位不落盘：Key_Handle_Enter 在 :7628-:7656 调用 5 个 inverter_set_*/inverter_set_gfci_detect_enable 等，代码里明确写了 //需要保存e2 却没有 save_job_post()，断电会丢。
2. Force_Charge_user / u16_user_charge_cut_soc 不持久化：Up（:3121、:3129）、Down（:5567、:5574）、Enter（:7889、:7903）都只写 g_t_logic_info，没有任何 save_job_post()，且 midware/inverter/parallel.c:1744 会把它清 FALSE，即这两个值实际是纯运行期量。
3. is_last_id_legal() 语义与命名不符：函数返回的是身份值（hmi/key.c:65-68），却大量当作布尔使用（:339、:1469、:1593、:6597）。只因 id_none == 0 才成立；若将来在 ID_E 前插入枚举项就会破坏。
4. 身份有效期只在 HMI 任务里刷新，用 tick 绝对值相减：OSTimeGet() - time_setting_into_last > 3600000。OSTimeGet() 是 u32 毫秒计数，约 49.7 天回绕；time_setting_into_last 是 u32，跨回绕时差值会变成极大值从而立即失效——影响仅是"需要重新输密码"，但属于未处理的回绕。
5. key.h 里存在误导性/失效声明：
   • void Button_Get_SystemTime(void);（hmi/key.h:240）在本文件未定义，同名函数是 hmi/ui/ui_setting_user_sys_date.c:11 的 static 版本，头文件声明毫无作用且容易误用。
   • extern struct RTC_DateTime SYSTEM_DATETIME;（hmi/key.h:229）本文件未使用。
   • void Backlight_Reload(void); 声明放在 hmi/lcd.h:430 而非 key.h。
6. 死枚举与死宏：mWindowSettingsUserFuncGridFreqLimitSustainedOp（hmi/lcd.h:60）在 key.c 中零引用（只有带 _AS4777 后缀的那个在用）；GRID_FREQ_DROOPRATE_MAX/MIN、GRID_OF_REDUCE_POWER_DELAY_TIME_MAX/MIN、INVERTER_POWER_PERCENT_LIMIT_MAX/MIN（hmi/key.h:61-65、:150-151）全工程无引用。
7. 空函数残留：Button_Get_ErrorLogInfo()（hmi/key.c:101）函数体为空，但被 Enter 在打开故障日志页前调用（:6709），实际未做任何预处理。
8. 魔法数字：3600000 / 1800000（身份有效期，:81、:88）、30000（背光超时，:8736）、0x07 掩码与 (1<<0/1/2) 位域（密码校验，:6731-:6849）、ADMIN_PASSWORD / 10000 与 % 10000 的 7 位密码拆分（:6765、:6808）、230 * 3 的并网功率换算（:3097、:5543、:7870）、* 10 的安规时间单位换算（:7195-:7201）均无具名宏。
9. min - 1 分支的实际语义：Button_Handle 的 else if (*data == min-1)（:193）在 min == 0 时是 0xFFFFFFFF 判断，只有 *data 本身为全 1 时命中，属于防御性死代码。
10. mWindowSettingsAdminDebug* 页面的光标上限不统一：Down 里 Power 页上限 2、Battery/MeterAC/MeterDC 页上限 10（:6510-:6536），Up 只做 > 0 递减（:4013-:4039），实际行数由 ui_setting_admin_debug_*.c 决定，本文件不保证一致。
11. 竞态：LCD_RTDB、g_t_logic_info 等被 HMI 任务（prio 21）与其它任务（如逻辑调度、网络任务）共享，本文件读改写时没有关闭中断也没有互斥量。像工作时间页那样一次写 27 个字段（:1183-:1203）存在被其它任务读到中间态的可能，只是这些字段多用于周期调度容忍抖动，未见实际故障记录。