Feat: Wartungs-Riegel — nur EIN System-Update gleichzeitig

Bisher kein Schutz: Doppelklick/zwei Tabs konnten zwei update-engine.sh parallel
starten → racende .bak-Sicherung + parallele llama-swap-Restarts + sich gegenseitig
als kaputt sehende Postchecks.

Backend: jobengine.start_job bekommt group-Tag + active_in_group(); os/engine/swap/
hermes-update sind group="maintenance" und lehnen einen Start ab, solange eines laeuft
({ok:false, status:"busy", running:<label>}). Schuetzt auch gegen parallele Sessions.

Frontend: laeuft ein Wartungs-Job, zeigt der Drawer ein Banner "Update laeuft: <label>"
und sperrt "Jetzt aktualisieren" + "Nach Updates suchen". Logs/Job-Fortschritt/Dienste
bleiben voll nutzbar (Dashboard nicht hart gesperrt). Busy-Antwort wird als Hinweis gezeigt.
Modell-Upgrades bleiben erlaubt (parallel unkritisch).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

backend/services/maintenance.py

@@ -476,19 +476,32 @@ def check_updates_job(sudo_password: str | None = None) -> dict:
     return {"ok": True, "job_id": job_id}
 
 
+def _maintenance_busy() -> dict | None:
+    """Wartungs-Riegel: nur EIN binär-/dienst-veränderndes Update gleichzeitig. Verhindert
+    Doppelklick UND parallele Updates aus zwei Tabs/Sessions (racende .bak-Sicherung/Restarts)."""
+    if j := jobengine.active_in_group("maintenance"):
+        return {"ok": False, "status": "busy", "running": j.get("label")}
+    return None
+
+
 def os_update_job(sudo_password: str | None = None) -> dict:
+    if busy := _maintenance_busy():
+        return busy
     if err := check_sudo_needs_password(sudo_password):
         return err
     # Nach dem apt-Upgrade den Stack funktional prüfen (Job wird rot, wenn etwas kaputt ging).
     cmd = ("sudo apt-get update && sudo DEBIAN_FRONTEND=noninteractive apt-get upgrade -y "
            f"&& bash {STACK_POSTCHECK}")
-    job_id = jobengine.start_job(["bash", "-c", cmd], "OS-Update (apt)", sudo_password=sudo_password)
+    job_id = jobengine.start_job(["bash", "-c", cmd], "OS-Update (apt)",
+                                 group="maintenance", sudo_password=sudo_password)
     return {"ok": True, "job_id": job_id}
 
 
 def engine_update_job(sudo_password: str | None = None) -> dict | None:
     if not ENGINE_UPDATE_CMD:
         return None
+    if busy := _maintenance_busy():
+        return busy
     if err := check_sudo_needs_password(sudo_password):
         return err
 
@@ -500,13 +513,15 @@ def engine_update_job(sudo_password: str | None = None) -> dict | None:
     # neuen Build → on_done (Cache leeren) läuft nur dann; bei Rollback (Exit 1/2) bleibt das Badge.
     job_id = jobengine.start_job(["bash", "-c", ENGINE_UPDATE_CMD],
                                  "Engine-Update (llama.cpp Vulkan)",
-                                 on_done=on_done, sudo_password=sudo_password)
+                                 group="maintenance", on_done=on_done, sudo_password=sudo_password)
     return {"ok": True, "job_id": job_id}
 
 
 def swap_update_job(sudo_password: str | None = None) -> dict | None:
     if not SWAP_UPDATE_CMD:
         return None
+    if busy := _maintenance_busy():
+        return busy
     if err := check_sudo_needs_password(sudo_password):
         return err
 
@@ -518,7 +533,7 @@ def swap_update_job(sudo_password: str | None = None) -> dict | None:
     # Version → on_done (Cache leeren) läuft nur dann; bei Rollback (Exit 1/2) bleibt das Badge.
     job_id = jobengine.start_job(["bash", "-c", SWAP_UPDATE_CMD],
                                  "Router-Update (llama-swap)",
-                                 on_done=on_done, sudo_password=sudo_password)
+                                 group="maintenance", on_done=on_done, sudo_password=sudo_password)
     return {"ok": True, "job_id": job_id}
 
 
@@ -526,6 +541,8 @@ def hermes_update_job() -> dict:
     """Hermes-Agent aktualisieren wie die CLI (`hermes update` = git pull + Deps), danach
     den Gateway neu starten. Davor ein Sicherheits-Backup (unser deploy/backup.sh). Kein sudo
     (alles im User-Space). Läuft als Hintergrund-Job (kann ~1 Min dauern)."""
+    if busy := _maintenance_busy():
+        return busy
     git = system.find_hermes_agent_git()
     path = (git or {}).get("path") or os.path.expanduser("~/.hermes/hermes-agent")
     py = os.path.join(path, "venv", "bin", "python")
@@ -540,7 +557,8 @@ def hermes_update_job() -> dict:
     def on_done():
         _comp_cache.update(ts=0.0, data=[])  # Update-Status neu berechnen lassen
 
-    job_id = jobengine.start_job(["bash", "-c", cmd], "Hermes-Agent-Update", on_done=on_done)
+    job_id = jobengine.start_job(["bash", "-c", cmd], "Hermes-Agent-Update",
+                                 group="maintenance", on_done=on_done)
     return {"ok": True, "job_id": job_id}