Merge branch 'wartung/einstellungen-stand-altreste' into wartung/restarbeiten

# Conflicts:
#	deploy/deploy.sh

deploy/deploy.sh

@@ -8,8 +8,9 @@
 #            erst beim nächsten Lauf (die alte Falle: bash lief nach dem Pull mit der alten Datei).
 #   Stufe 2: Prüftor (deploy/pruefen.sh), Abhängigkeiten, llama-swap-Config nur, wenn sich der
 #            Abzug in DIESEM Deploy geändert hat, Units/Drop-ins/Cron-Skripte/Skills/Plugins
-#            ausspielen, Dienste neu starten, Nachprüfung. Scheitert irgendein Schritt: zurück auf
-#            den alten Stand, Dienste neu starten, dringende Meldung.
+#            ausspielen (den Radar-Schalter der Oberfläche respektieren), Dienste neu starten,
+#            Nachprüfung, Stand-Datei schreiben. Scheitert irgendein Schritt: zurück auf den alten
+#            Stand, Dienste neu starten, dringende Meldung.
 #
 # Aufruf auf der Box:  bash ~/mission-control-v2/deploy/deploy.sh
 # Schalter: MC_DEPLOY_TROTZDEM=1 (auch bei laufenden Jobs), MC_DEPLOY_OHNE_TESTS=1 (Notfall),
@@ -21,6 +22,9 @@ export XDG_RUNTIME_DIR="${XDG_RUNTIME_DIR:-/run/user/$(id -u)}"
 API="http://127.0.0.1:9001"
 LSWAP_LIVE="/etc/llama-swap/config.yaml"
 DEPLOY_LOG="/srv/models/mc2-deploy.log"
+# Einstellungen der Oberfläche (Radar-Schalter, Update-Zeitfenster) und der Software-Stand (seit 24.09.2026).
+EINSTELLUNGEN="/srv/models/mc2-einstellungen.json"
+STAND_DATEI="/srv/models/mc2-stand.json"
 
 # Units, die ganz dem Repo gehören (deploy.sh spielt sie aus). Aktiviert wird nur, was laufen soll:
 # Konsole und Spracherkennung schlafen seit 24.09.2026 (disable --now), ihre Units bleiben aber aktuell.
@@ -42,6 +46,27 @@ SKILLS_ALT="autonomie konzept-fliessband llm-wiki morning-report orchestrator pr
             review trend-radar wartung konzept_fliessband llm_wiki morning_report projekt_start
             trend_radar betrieb-playbook pc-pfad-cache"
 
+# Radar-Schalter der Oberfläche (Einstellungen → Modell-Radar): Steht er auf aus, bleibt mc2-radar.timer aus.
+# Fehlt die Datei oder ist sie unlesbar, gilt „an“ wie vor dem Schalter.
+radar_aus() {
+  python3 - "$EINSTELLUNGEN" <<'PY' 2>/dev/null
+import json
+import sys
+
+try:
+    with open(sys.argv[1], encoding="utf-8") as f:
+        an = (json.load(f).get("radar") or {}).get("an", True)
+except (OSError, ValueError, AttributeError):
+    an = True
+sys.exit(0 if an is False else 1)
+PY
+}
+
+# Software-Stand für die Oberfläche (Einstellungen → Software-Stand): Commit, Betreff, Commit-Datum, Zeitpunkt.
+stand_schreiben() {
+  git log -1 --format='%h%n%cI%n%s' HEAD | python3 deploy/stand-schreiben.py "$STAND_DATEI"
+}
+
 # Laufende Update-Aufträge (Gruppe maintenance). Seit Phase 2 überleben Aufträge den Neustart von
 # MC2 (eigene systemd-Einheiten) — ein Download darf also weiterlaufen. Ein Update aber führt
 # Skripte aus diesem Checkout aus; die darf der Deploy nicht mitten im Lauf austauschen.
@@ -119,22 +144,37 @@ stufe2() {
     echo "Hinweis: Die lebende llama-swap-Config weicht vom Repo-Abzug ab (Änderung über die Oberfläche?) — nicht angefasst."
   fi
 
-  # 4. Units und Drop-ins (alle Repo-Units, damit Box und Repo nicht auseinanderlaufen)
-  local ziel="$HOME/.config/systemd/user" u
+  # 4. Units und Drop-ins (alle Repo-Units, damit Box und Repo nicht auseinanderlaufen). Das Drop-in
+  #    mc2-autoupdate.timer.d/zeitfenster.conf gehört der Oberfläche (Einstellungen → Update-Zeitfenster):
+  #    Der Deploy überschreibt und löscht es nie.
+  local ziel="$HOME/.config/systemd/user" u aktiv="$AKTIV" radar_an=1
   for u in $UNITS; do
     install -m 644 "deploy/$u" "$ziel/$u"
   done
   install -D -m 644 deploy/mc2-steward.service.d-warmset.conf "$ziel/mc2-steward.service.d/warmset.conf"
   install -D -m 644 deploy/mission-control-2.service.d-override.conf "$ziel/mission-control-2.service.d/override.conf"
   systemctl --user daemon-reload
+  # Radar-Schalter der Oberfläche: Steht er auf aus, bleibt der Timer aus (vorher schaltete jeder Deploy ihn ein).
+  if radar_aus; then
+    radar_an=0
+    aktiv="${aktiv//mc2-radar.timer/}"
+    systemctl --user disable --now mc2-radar.timer >/dev/null 2>&1 || true
+    echo "Modell-Radar ist in den Einstellungen ausgeschaltet — es bleibt aus."
+  fi
   # shellcheck disable=SC2086
-  systemctl --user enable $AKTIV >/dev/null 2>&1
+  systemctl --user enable $aktiv >/dev/null 2>&1
   # shellcheck disable=SC2086
-  systemctl --user start mc2-radar.timer mc2-backup.timer mc2-morgenmeldung.timer projekte-sync.timer \
-    mc2-probe-wiederherstellung.timer
+  systemctl --user start mc2-backup.timer mc2-morgenmeldung.timer projekte-sync.timer mc2-probe-wiederherstellung.timer
+  # Den Radar-Timer nur ohne Nachholen starten (Persistent=true): Läuft er nicht, erst den Stempel auf jetzt
+  # setzen — sonst holt er den verpassten Lauf sofort nach, mitten am Tag.
+  if [ "$radar_an" = 1 ] && ! systemctl --user is-active --quiet mc2-radar.timer; then
+    mkdir -p "$HOME/.local/share/systemd/timers"
+    touch "$HOME/.local/share/systemd/timers/stamp-mc2-radar.timer"
+    systemctl --user start mc2-radar.timer
+  fi
   # Den Update-Timer nur starten, wenn er nicht schon läuft: Mit Persistent=true holt ein frisch
   # gestarteter Timer einen verpassten Sonntagslauf sofort nach (so am 24.09.2026 passiert). Neu
-  # gestartet wird die Box dabei ohnehin nur sonntags zwischen 04 und 07 Uhr (autoupdate.sh).
+  # gestartet wird die Box dabei ohnehin nur im Wartungsfenster (autoupdate.sh, wartungsfenster.sh).
   systemctl --user is-active --quiet mc2-autoupdate.timer || systemctl --user start mc2-autoupdate.timer
 
   # 5. Cron-Skripte für Hermes (~/.hermes/scripts ist die Vorgabe von `hermes cron --script`)
@@ -179,6 +219,7 @@ stufe2() {
 
   trap - ERR
   echo "$(date -Is) $neu (vorher ${vorher:0:7})" >> "$DEPLOY_LOG" 2>/dev/null || true
+  stand_schreiben || echo "Hinweis: Die Stand-Datei $STAND_DATEI ließ sich nicht schreiben."
   echo "✅ Deploy $neu ist live (vorher ${vorher:0:7})."
   homelab_mitziehen
 }