fix(update): 重启交还 guard、OTA 支持 release/包两种来源、修三处真 bug

## 一、重启不再由 update 自己 systemctl（用户口径：应该通知 guard）

原 internal/update 直接 `systemctl restart homeagent`。三个问题：

① 杀掉整个 cgroup（unit 里 KillMode=control-group）⇒ **guard 跟着死**，
   而 guard 存在的意义就是不让自己死。
② 丢失 exit 42 语义：guard 的 failures/failbackRound/failbackDone 全丢。
③ 自毁竞态：发命令的进程正是被重启杀掉的进程 ⇒ CombinedOutput 可能报错，
   **一次成功的升级被误判失败而回滚**。

现在 internal/update 只到"产物就绪"：预检 → 备份 → 写 pending → 原子替换。
重启由调用方走**既有**通道（restartCh → exit 42 → guard 用新二进制重拉）：

· webui      h.kernelCtl.RequestKernelRestart（本来就有，且是白名单内）
· pluginmgr  p.sdk.KernelControl().RequestKernelRestart（见下面第三条）
· CLI        外部管理命令，restart unit 后按**版本自报**核对是否真生效

## 二、OTA 支持两种来源（release 自动更新 / 指定安装包）

新增 internal/update/source.go：

	Source{Kind: FromPackage, Path}  → 直接用本地包
	Source{Kind: FromRelease}        → 查最新 Release → 下载 → 校验 digest

ParseSource(pkg, release) 统一判空规则（pkg 优先），避免三端各写一套。
两条来源解析后进**同一条** Apply，不存在两份升级实现。

## 三、修三处已提交代码里的真 bug

① **HEAD 编译不过**：d17e261 提交了 kernelmod/update/mod.go（引用 ks.Update），
   但 kernelboot/kernelstate.go 的字段改动从未提交。干净 worktree 实测
   `ks.Update undefined` —— 推上去的仓库是坏的。本次补上。

② **kernelDataDir 算错一级**：Dir(Dir("/home/newqqagent/plugins")) = "/home"，
   而第 0 层 update 模块从 ks.DataDir=/home/newqqagent 读 pending
   ⇒ **agent 发起的升级一旦启动失败就永不回滚**（静默失效）。改为 Dir 一次。

③ **pluginmgr 的 KernelControl 恒为 nil**：它不在 kernelControlAllowed 里，
   于是 `if kc := p.sdk.KernelControl(); kc != nil` 永不成立 ⇒
   换完二进制**从不重启** ⇒ pending 留着 ⇒ 下次重启被判"未确认"而回滚。

   修法**不是**把 pluginmgr 加进完整白名单 —— 那等于让 LLM 能关机整个服务
   （kernel_control_gate_test 明确拦这个）。而是拆出**仅重启**授权：

	kernelControlAllowed  = {webui}       完整（含关机）
	kernelRestartAllowed  = {pluginmgr}   仅重启（shutdown 直接报错）

   两者的危险程度差一个量级：重启几秒后 guard 自己拉回来，关机不会自己回来。

## 四、EventBus：插件请求更新不必 import internal/update

新增 events.EventUpdateRequest，pluginmgr 订阅并受理：
scope=kernel → kernelUpdateApply；scope=plugin → pluginUpdate(apply)。

它在 internal/plugins/webui 的 SSE 守卫里显式登记为**内核内部控制事件**
（不该推给浏览器：前端要的是 update_progress/update_result，不是"谁发了请求"）。

## 五、顺手修掉的静默失败

· webui /kernel/update 原实现：**先**写 202 Accepted，**再**解析 body，
  之后每个错误都直接 `return` —— 用户看到"已受理"然后什么都没发生。
  改为同步 Apply（失败可如实报 HTTP 状态），成功后才请求重启。
· pluginmgr 拿不到控制通道时不再假装成功，而是回报 applied=true + 明确原因
  （否则用户以为已升级，进程却还在跑旧镜像）。
· update 事件 publishResult 的 errMsg 原先是死代码（`_ = errMsg`），
  按 payload 约定写回 error 字段。

cmd/homed-upgrade/main.go

@@ -33,8 +33,10 @@ import (
 	"flag"
 	"fmt"
 	"os"
+	"os/exec"
 	"path/filepath"
 	"strings"
+	"time"
 
 	"github.com/JianFeeeee/HologramAgent/internal/update"
 )
@@ -67,6 +69,7 @@ func main() {
 	binPath := flag.String("bin", "/usr/local/bin/homed", "当前运行的内核二进制路径")
 	pluginsDir := flag.String("plugins", "/home/newqqagent/plugins", "外部插件目录（探测兼容性用）")
 	apply := flag.Bool("apply", false, "真正执行升级（默认只探测+预检）")
+	unit := flag.String("unit", "homeagent", "重启用的 systemd 单元名（仅 -apply 时使用）")
 	flag.Parse()
 
 	if *pkgPath == "" && !*release {
@@ -146,8 +149,50 @@ func main() {
 		return
 	}
 
-	// ── 6. 真正升级（备份 → 替换 → 重启 → 后置验证 → 失败回滚）──
-	if err := update.DoUpgrade(root, *binPath, newDG, *pluginsDir, upgradeDataDir(*binPath)); err != nil {
+	// ── 6. 真正升级：预检 → 备份 → pending → 原子替换（**不含重启**）──
+	out, err := update.Apply(root, *binPath, newDG, upgradeDataDir(*binPath), nil)
+	if err != nil {
 		fail("升级失败: %v", err)
 	}
+	fmt.Printf("\n新内核已就位：%s → %s\n备份保留在 %s\n", out.From.Version, out.To.Version, out.BackupDir)
+
+	// ── 7. 重启服务并核对版本 ──
+	//
+	// ★ 为什么 CLI 可以停下服务：它**不在**被守护的 cgroup 里，是外部管理命令，
+	// 与"worker 自己 systemctl restart 自杀"是两件事。
+	// 服务在跑时优先让它走既有重启通道（guard 重拉、不计失败轮次）——
+	// 那需要 WebAPI 的 api_key，这里只做最朴素的外部重启，并如实报告结果。
+	fmt.Printf("\n== 重启服务（unit %s）==\n", *unit)
+	if rerr := restartUnit(*unit); rerr != nil {
+		fmt.Printf("⚠️ 重启失败: %v\n", rerr)
+		fmt.Printf("   新内核已在磁盘上就位，pending 标记也已写入：\n")
+		fmt.Printf("   · 服务下次启动时会自动确认新版本；若新版本起不来，第 0 层 update 模块会自动回滚\n")
+		fail("需要手动重启服务才能生效")
+	}
+
+	// 版本复核：等二进制自报版本变成期望值（最多 60s）。
+	// 用版本而不是进程状态：只有版本能证明"跑起来的确实是新的"。
+	deadline := time.Now().Add(60 * time.Second)
+	for time.Now().Before(deadline) {
+		if v, verr := update.ReadBinVersion(*binPath); verr == nil &&
+			v.Version == nv.Version && v.Commit == nv.Commit {
+			fmt.Printf("\n✅ 升级完成：%s (commit %s)\n", v.Version, update.ShortCommit(v.Commit))
+			return
+		}
+		time.Sleep(time.Second)
+	}
+	if v, verr := update.ReadBinVersion(*binPath); verr == nil {
+		fmt.Printf("⚠️ 版本复核未通过：期望 %s/%s，实际 %s/%s\n",
+			nv.Version, update.ShortCommit(nv.Commit), v.Version, update.ShortCommit(v.Commit))
+	}
+	fail("重启后未能确认新版本已生效（若服务起不来，下次启动会自动回滚）")
+}
+
+// restartUnit 重启 systemd 单元（外部管理动作）。
+func restartUnit(unit string) error {
+	out, err := exec.Command("systemctl", "restart", unit).CombinedOutput()
+	if err != nil {
+		return fmt.Errorf("%v (%s)", err, strings.TrimSpace(string(out)))
+	}
+	return nil
 }