feat(update): update 注册为内核标准模块（第 0 层）+ 启动失败自动回滚

## 为什么必须是第 0 层（用户口径）

update 肩负「启动失败回滚上一次升级」的职责，该职责必须**早于所有模块**。

若排在后面：升级后新内核在 memory/llm 阶段崩了，而回滚还没跑 ⇒ 机器进
崩溃循环，只能靠 guard 的 failback（受限启动）兜底。failback 是最后手段，
不该承担"换错二进制"这种**已知可回滚**的故障。

⇒ Requires() 为空 ⇒ 依赖图天然把它放 Layers[0]。

## 两段式升级确认（rollback.go）

	升级成功 ──→ 写 pending 标记（"这个版本尚未被确认能启动"）
	                ↓
	        重启 → 内核启动 → update 模块（第 0 层）读标记
	                ↓
	   ┌────────────┴────────────┐
	  标记还在                   标记已不在
	（上次升级没能活到清除）      （上次升级已确认成功）
	     ↓                          ↓
	  回滚到备份版本               正常继续 + 清标记

清除时机：模块跑完自检后立刻清。只依赖"进程活着且执行到第 0 层"，
不依赖其他模块 ⇒ 不会误判。

**为什么不用 TTL / 重启次数**：那是 guard 已有的 failback，但判据是
"崩了几次"，不是"这次升级该不该撤销"。用重启次数会在"新版本偶发崩溃"时
误回滚 —— 而那种情况该修的是崩溃，不是回退版本。

## 分层（与仓库其他模块同一惯例）

	internal/update/           业务实现（三端共用：CLI/WebAPI/agent 工具）
	internal/kernelmod/update/  适配层（读 ks → 调业务包 → 写回 ks）

参照 supervisor 模块：实现在 internal/supervisor，模块里只做装配。
分开的理由：internal/update 被三端调用，它们都没有 KernelState。

## 标记写入时机（一个真实的顺序坑）

MarkPendingUpgrade 在**替换二进制之前**调用。反过来（替换后才写）会在
"替换成功但没来得及写标记就崩了"时丢标记 ⇒ 下次启动不知道该回滚。

且写标记失败 ⇒ **放弃本次升级**（未替换任何文件）：没有标记就没有回滚
能力，而不带回滚的升级等于赌运气。

## 回滚失败必须响亮

备份不存在时返回 error，调用方（模块 Init）必须中止启动 —— 继续装配等于
用一个已知起不来的版本。错误文案带备份路径与标记路径（删标记即可放弃回滚），
人能照着修。

## 判据

internal/update/rollback_test.go 10 条，2 条经变异验证：
· TestRollback_RestoresBackup —— 二进制+depgraph 同批回滚、标记清除、
  坏版本留档 homed-broken-*、版本轨迹记录
  变异：回滚后不清标记 ⇒ 红
· TestRollback_MissingBackupIsLoud —— 备份缺失时报错且可执行
  变异：静默返回 nil ⇒ 红
· TestPendingMarker_AbsentIsNotError —— 无标记返回 (nil,nil) 而非 error
  （否则每次启动都走"回滚失败"分支 ⇒ 内核永远起不来）
· TestPendingMarker_CorruptIsActionable —— 标记损坏时提示可删
· TestStateSummary_* —— 回滚信息进 healthcheck；nil 安全

## 顺带修正的既有判据

· runtime_dep_test.go：L0 设施集合从 2 个变 3 个（新增 kernel.version），
  改为断言**集合**而非顺序（注册表本就是乱序的）
· facilities.go：新增 FacVersion，并登记为 internalOnlyFacilities
  （它是启动时序事实，不是插件契约 —— facilities_sync_test 的守卫正确拦住了
  "把内部标记泄漏成对外契约"）

三个 DoUpgrade 调用点补 dataDir 参数（标记落点必须与内核 --data 一致）。

internal/update/kernel.go

@@ -247,7 +247,7 @@ func FileSize(p string) int64 {
 //
 // 每一步失败都往回退，且**回滚后必须能正常启动**——这是本函数的核心承诺：
 // 宁可升级失败，不可让机器起不来。
-func DoUpgrade(root, binPath, newDG, pluginsDir string) error {
+func DoUpgrade(root, binPath, newDG, pluginsDir, dataDir string) error {
 	newBin := FindFile(root, "homed")
 	if newBin == "" {
 		return fmt.Errorf("包内无 homed")
@@ -277,8 +277,39 @@ func DoUpgrade(root, binPath, newDG, pluginsDir string) error {
 	}
 	fmt.Printf("已备份 %d 个文件 → %s\n", len(targets), backup)
 
+	// ── 写待确认升级标记（在替换**之前**）──
+	//
+	// 顺序很关键：先写标记再替换。若反过来（替换后才写），"替换成功但
+	// 没来得及写标记就崩了"会丢标记 ⇒ 下次启动不知道该回滚。
+	//
+	// 标记由 update 模块（第 0 层）在下次启动时读；读到就说明上次升级
+	// 留下的版本没能活到清除标记 ⇒ 回滚（见 internal/update/rollback.go）。
+	curVer := &BinVersion{}
+	if v, verr := ReadBinVersion(binPath); verr == nil {
+		curVer = v
+	}
+	if dataDir != "" {
+		if perr := MarkPendingUpgrade(dataDir, PendingRecord{
+			FromVer:    curVer.Version,
+			FromCommit: curVer.Commit,
+			ToVer:      nv.Version,
+			ToCommit:   nv.Commit,
+			BackupDir:  backup,
+		}); perr != nil {
+			// 写不成功 ⇒ 放弃本次升级：没有标记就没有回滚能力，
+			// 而不带回滚的升级等于赌运气。
+			return fmt.Errorf("写升级确认标记失败（放弃升级，未替换任何文件）: %w", perr)
+		}
+		fmt.Printf("已写升级确认标记 → %s\n", pendingPath(dataDir))
+	}
+
 	rollback := func(cause error) error {
 		fmt.Printf("\n❌ %v\n== 开始回滚 ==\n", cause)
+		if dataDir != "" {
+			if cerr := ClearPendingUpgrade(dataDir); cerr != nil {
+				fmt.Printf("  ⚠️ 清除升级确认标记失败: %v\n", cerr)
+			}
+		}
 		for _, t := range targets {
 			src := filepath.Join(backup, filepath.Base(t))
 			if err := CopyFile(src, t); err != nil {