fix(self-update): run external restart inside audit/notify boundary + runtime recovery tick (#971)

[jinon86]

문제 (#971, daegyo 4h15m 침묵 장애)

수동 체이닝 크론 라인(run; rc=11 → start.sh --restart; exit 0)이 재시작 실패를 감지하고도 신호를 버림:

• start.sh는 not-available-within-timeout을 정확히 보고했지만 trailing exit 0이 삼킴 → notify 없음
• 05:45 재시도 슬롯은 코드 변경이 없어 재시작을 시도하지 않음(업데이트만 재시도)
• self-update의 구조적 결과(degraded-no-services)는 체이닝된 재시작을 볼 수 없음

수정 — 외부 재시작을 스크립트 안으로

운영자 소유 훅 2개(self-update.services와 동일 신뢰 모델, 에이전트 쓰기 금지):

• ~/.claude/self-update.restart-cmd — 외부 재시작 명령 (예: Termux start.sh --restart -d)
• ~/.claude/self-update.health-cmd — 런타임 헬스 프로브 (exit 0 = healthy)

1. degraded 경로(코드 변경·재시작 0건): restart-cmd가 있으면 스크립트 안에서 실행 → 성공 시 ok/정리, 실패 시 audit + 즉시 notify + exit 7 + 복구 스냅샷 보존 (기존처럼 degraded/11은 restart-cmd 미설정 시에만)
2. up-to-date 틱: 두 훅이 모두 있으면 런타임 헬스를 검증하고, 다운이면 복구 재시작 1회 시도(runtime-recovered / runtime-down audit + notify) — 두 번째 데일리 슬롯이 updated-but-down 노드를 복구 가능
3. 크론 라인은 체이닝 없는 순수 ccc-self-update.sh run으로 단순화 가능 (docs에 마이그레이션 예시)

검증

• 테스트 16건 추가(총 73 pass): 변경+restart-cmd 성공 시 ok·실제 실행·audit / 실패 시 rc 7·restart-failures audit·즉시 notify·스냅샷 보존 / up-to-date 다운→복구 / 건강 시 미실행 / 복구 실패 시 rc 7·notify
• bash -n clean, 기존 57건 무회귀

후속 (별도 오너 승인)

Termux 2대(daegyo·gongyung) + gongmyoung의 크론 라인을 새 훅 파일 + 순수 run으로 교체하는 배포 작업 (머지 후 self-update로 코드 전파 뒤 진행).

Closes #971

[seoseo-ai]

Approved after explicit operator authorization using the local seoseo-ai credential.