phase1b: Backend entruempelt und robuster (35 tote Routen raus, Sperren, ehrliche Update-Pruefung)

Ballast raus:
- 35 Routen ohne Nutzer entfernt (agent/*, fit, roles, ctx, drafts, groups, routing/policy,
  system/history, system/self-update, maintenance/reboot, zeitmaschine/inhalt, zeitplan,
  voice/health|metrics|trace|voices|reference|tts). Von 95 auf 60.
- Tote Module geloescht: agent-Router, roles, agent_aktivitaet, metrics_history (samt
  10-s-Sampler), voice_metrics, migrate_config, parse_mc2_timeout, scripts/.
- Unbenutzte Funktionen und Konstanten entfernt (Modell-Upgrade-Empfehlung, Draft-/Kontext-
  Setzer, Konsole, PC-Ausfuehrer-Probe, Routing-Policy-Editor ...).

Robuster:
- Jobs in eigener Prozessgruppe (Abbrechen beendet wirklich alles), Zeitlimit je Job-Art,
  start_job_exklusiv: zwei Klicks starten kein doppeltes Update mehr; alte Jobs raeumen sich auf.
- Update-Pruefung meldet Fehler (pruef_fehler, Lampe "Pruefung unklar") statt "aktuell".
- Nach jedem Update sofort neu pruefen (update_stand) statt 10 Minuten alten Stand zeigen.
- llama-swap-Config: Sperre (RLock + flock) fuer UI, Radar, Aufraeumen und Hirn-Umstellung.
- Hermes-Config: bei Lesefehler nichts schreiben, atomar, mit Sicherung.
- Live-Strom und Gateway-Warnung blockieren den Event-Loop nicht mehr (Lucy, OpenChamber).
- Gateway antwortet bei Engine-Ausfall im OpenAI-Fehlerformat (502) statt nacktem 500.
- Abgestuerzte Waechter-Pruefung wird ein gelber Hinweis statt still zu verschwinden.
- Download laedt nur den gewuenschten Quant (vorher bei Fehlen alle Teile aller Varianten),
  Download-Jobs in Gruppe "download"; HF-Suche kodiert den Suchbegriff.
- Herkunftspruefung: schreibende /api-Aufrufe fremder Webseiten werden abgelehnt (keine
  Anmeldung, User-Entscheid); Skripte, Desktop-Lucy und /v1 unveraendert.
- Modellpfade: Eintragen und Loeschen nur innerhalb von MODELS_DIR.
- Dienste-Liste fragt keine abgebauten Dienste mehr ab (PC-Ausfuehrer haette 3 s gekostet).
- SSE-Fehlerzeilen von /api/voice/chat als gueltiges JSON.
- mission-control-2.service: --timeout-graceful-shutdown 3 (Neustart ohne 10-s-Haenger).

Tests: 92 gruen (neu: Herkunft, Quant-Auswahl, abgestuerzte Pruefung).

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

backend/routers/gateway_proxy.py

@@ -161,10 +161,20 @@ def _inject_language(body: dict, alias: str) -> None:
     elif isinstance(first_sys.get("content"), list):
         first_sys["content"].append({"type": "text", "text": _LANG_DIRECTIVE})
 
+def _upstream_fehler(text: str, status: int = 502, headers: dict | None = None) -> JSONResponse:
+    """Fehler im OpenAI-Format statt eines nackten 500 (24.09.2026): Hermes, OpenChamber und Lucy
+    können damit umgehen und zeigen den Grund an."""
+    return JSONResponse({"error": {"message": text, "type": "upstream_error"}},
+                        status_code=status, headers=headers)
+
+
 @router.get("/models")
 async def models(request: Request):
     client = request.app.state.gw_client  # geteilter Keep-Alive-Client (siehe app.py lifespan)
-    r = await client.get(f"{LLAMA_SWAP_URL}/v1/models", timeout=10.0)
+    try:
+        r = await client.get(f"{LLAMA_SWAP_URL}/v1/models", timeout=10.0)
+    except httpx.HTTPError as exc:
+        return _upstream_fehler(f"Engine nicht erreichbar: {exc.__class__.__name__}")
     try:
         data = r.json()
     except ValueError:
@@ -275,7 +285,10 @@ async def _proxy(path: str, request: Request):
     url = f"{LLAMA_SWAP_URL}{path}"
     if body.get("stream"):
         req = client.build_request("POST", url, json=body, timeout=None)
-        r = await client.send(req, stream=True)
+        try:
+            r = await client.send(req, stream=True)
+        except httpx.HTTPError as exc:
+            return _upstream_fehler(f"Engine nicht erreichbar: {exc.__class__.__name__}", headers=routed)
         if r.status_code != 200:
             await r.aread()
             try:
@@ -293,8 +306,15 @@ async def _proxy(path: str, request: Request):
                 await r.aclose()
         return StreamingResponse(gen(), media_type="text/event-stream", headers=routed)
 
-    r = await client.post(url, json=body, timeout=600.0)
-    resp_json = r.json()
+    try:
+        r = await client.post(url, json=body, timeout=600.0)
+    except httpx.HTTPError as exc:
+        return _upstream_fehler(f"Engine nicht erreichbar: {exc.__class__.__name__}", headers=routed)
+    try:
+        resp_json = r.json()
+    except ValueError:
+        log.warning("%s: Engine-Antwort ist kein JSON (HTTP %s): %.200s", path, r.status_code, r.text)
+        return _upstream_fehler(f"Engine lieferte keine gültige Antwort (HTTP {r.status_code}).", headers=routed)
     if isinstance(resp_json, dict):
         record_usage(resp_json.get("usage"), alias)
         if any(isinstance(c, dict) and c.get("finish_reason") == "length"