refactor: enforce layered crates and Rust audit gates

docs/chassis.md

@@ -280,7 +280,7 @@ effort_raw = clamp( PID(target_rpm, measured_rpm, dt) + feedforward × target_rp
 | 一起动就飞 | 前馈过大 or 限流远大于实际所需 | ff → 0、限流贴近实际 |
 | 稳态有静差 | 摩擦未被积分吃掉 | 检查 `ki` 是否被抗饱和长期冻结 |
 
-### 7.4 被控对象模型（`sim-harness::motor_model`）
+### 7.4 被控对象模型（`motor-model::MotorPlant`）
 
 逐拍离散（`dt` 秒，电调坐标系：正电流 → 正转速）：
 
@@ -299,7 +299,7 @@ effort_raw = clamp( PID(target_rpm, measured_rpm, dt) + feedforward × target_rp
 ## 8. 配置参考（chassis.toml）
 
 样例：[`config/chassis.toml.example`](../config/chassis.toml.example)。
-schema 由 [`chassis-config`](../crates/chassis-config) 定义，**守护进程与整定工具共用同一份**——
+schema 由 [`chassis-config`](../crates/config/chassis) 定义，**守护进程与整定工具共用同一份**——
 这样"整定工具用的限流"和"守护进程用的限流"不可能悄悄不一致。
 
 ### 8.1 顶层
@@ -308,11 +308,23 @@ schema 由 [`chassis-config`](../crates/chassis-config) 定义，**守护进程
 | --- | --- |
 | `[can] interface` | 底盘总线 SocketCAN 接口名（如 `can0`） |
 | `[can.function] interface` | 预留的功能总线（云台 / 拨弹），必须与底盘总线**不同名** |
+| `[remote]` | 可选 DR16/D-BUS 遥控输入；缺省时保持静止 |
 | `[chassis]` | 控制循环与安全超时、速度上限 |
 | `[mecanum]` | `half_length` / `half_width` / `wheel_radius`（米） |
 | `[[motor]]` × 4 | 顺序固定 FL / FR / RL / RR |
 
-### 8.2 `[chassis]`（缺省值）
+### 8.2 `[remote]`（可选）
+
+| 键 | 默认 | 含义 |
+| --- | --- | --- |
+| `kind` | 必填 | 当前支持 `dr16` |
+| `device` | `/dev/ttyS2` | D-BUS UART 设备 |
+| `timeout_ms` | 100 | 合法帧断流后立即失能 |
+| `deadband` | 0.05 | 摇杆满量程死区，之后使用平方曲线 |
+| `ramp_ms` | 500 | 零到满量程逐轴斜坡；失能/断流立即归零 |
+| `invert_vx/vy/omega` | false | 实车方向校正 |
+
+### 8.3 `[chassis]`（缺省值）
 
 | 键 | 默认 | 含义 |
 | --- | --- | --- |
@@ -322,7 +334,7 @@ schema 由 [`chassis-config`](../crates/chassis-config) 定义，**守护进程
 | `motor_command_timeout_ms` | 50 | 驱动层命令租约（必须 ≥ `control_period_ms`） |
 | `max_vx` / `max_vy` / `max_omega` | 3.0 / 3.0 / 6.0 | 速度限幅（m/s、m/s、rad/s） |
 
-### 8.3 `[[motor]]`
+### 8.4 `[[motor]]`
 
 | 键 | 含义 |
 | --- | --- |
@@ -334,12 +346,14 @@ schema 由 [`chassis-config`](../crates/chassis-config) 定义，**守护进程
 | `current_limit` | effort 限幅（raw），同时是 PID 钳位点 |
 | `kp` / `ki` / `kd` / `feedforward` | 速度环增益（整定的产物写回这里） |
 
-### 8.4 校验规则（`Config::validate`）
+### 8.5 校验规则（`Config::validate`）
 
 - 电机数必须**恰好 4**；麦轮几何必须为正；四个超时必须 > 0；
   `motor_command_timeout_ms ≥ control_period_ms`；速度上限 > 0；`gear_ratio > 0`；
 - 底盘总线**只允许一种协议族**（四轮不能混用 C620 / C610）；
 - 功能总线接口名不得与底盘总线相同（双 CAN 物理隔离）；
+- `[remote]` 若启用：设备名非空，`timeout_ms` / `ramp_ms` > 0，`deadband ∈ [0, 0.5)`，
+  且遥控断流超时不得晚于底盘指令超时；
 - `deny_unknown_fields`：**拼错的键直接报错**，不会被静默忽略。
 
 ---
@@ -441,7 +455,7 @@ chassis-tune sweep --preset config/tune.toml --samples 128       # CLI 覆盖预
 | `field_updown` | bench | **up-down** 1200 rpm | 实战验收：升 / 降 / 回零双向，阈值收紧到 12% / 3% |
 
 **预设 schema**（`version = 1`，未知键报错，见
-[`crates/tuning/src/lib.rs`](../crates/tuning/src/lib.rs)）：
+[`crates/tooling/tuning/src/lib.rs`](../crates/tooling/tuning/src/lib.rs)）：
 
 ```toml
 version = 1
@@ -588,7 +602,7 @@ cargo run --release -p spin -- motor -- --interface can0 --dry-run
 | 整定 | 指标（合成轨迹解析解）、参数空间（界内 / 确定性 / 对数分布 / 分层覆盖）、成本（硬约束罚值）、搜索（同 seed 逐位复现、优于手调基线）、报告（CSV/TOML/JSON 往返） | 全平台（CI 跑 `just tune-smoke`） |
 | **预设** | schema 往返、逐字段覆盖、优先级（CLI > 预设 > 内置）、未知键 / 越界 / 缺失报错、**`config/tune.toml` 全部预设可解算**、命名与后端一致、安全参数不可注入 | 全平台 |
 | vcan 集成 | vcan0 双 socket 收发，真实内核 CAN 栈 | Linux（`#[ignore]`，CI 显式跑） |
-| 实车台架 | `spin chassis` 四轮定速：链路/反馈、方向、转速稳态、过速保护、安全停机；`chassis-tune --backend bench` 逐次试验 + 重复性复验 | armv7 + slcan/SocketCAN（人工） |
+| 实车台架 | `spin chassis` 四轮定速：链路/反馈、方向、转速稳态、过速保护、安全停机；`spin rc` 只读监视 DR16；`chassis-tune --backend bench` 逐次试验 + 重复性复验 | armv7 + slcan/SocketCAN（人工） |
 | 交叉检查 | `aarch64-unknown-linux-gnu` 全 workspace check；armv7 静态构建 `chassisd` | CI |
 
 ### 13.2 每个阶段完成后的门禁（`just lint` + 以下）